원자력발전소의 무선통신 기술 동향

원자력발전소(NPP: Nuclear Power Plant)의 계측 제어 계통 네트워크 구조는 안전성(Safety), 가용성(Availability), 결정성(Determinism), 그리고 규제 준수(Regulatory Compliance)라는 상호 연계된 요구 조건을 동시에 만족하도록 설계된다. 일반 산업 플랜트와 달리, 원전은 설계 기준 사고(Design Basis Events), 안전 등급 분리(Safety Class Separation), 독립성(Independence), 단일 고장 기준(Single Failure Criterion) 등의 안전 설계 원칙을 충족해야 하며, 또한 사이버보안 프로그램 요구사항(Cyber Security Program Requirements)을 포함하는 규제 환경의 준수를 전제로 한다. 이러한 제약 조건은 네트워크 아키텍처의 구조적 특성을 규정하며, 결과적으로 원전 통신 및 제어 네트워크는 유선 기반(Wired-Centric)의 계층적 분리 구조와 심층방어(DID: Defense-in-Depth) 전략을 중심으로 설계된다. 특히 안전 계통과 비안전 계통 간에는 물리적 또는 논리적 분리 구조가 적용되며, 이를 통해 공정 제어의 신뢰성과 발전소 운전 안전성을 동시에 확보할 수 있다.

기존 원자력발전소 디지털 계측제어 시스템(Digital I&C: Digital Instrumentation and Control)의 사이버 보안 설계는 산업제어시스템(ICS: Industrial Control System) 보안 원칙과 원자력 규제 요구사항을 기반으로 수행된다[1,4]. 국제표준 IEC 62645는 디지털 시스템을 보안 구역(Security Zone)과 보안 경계(Security Boundary)로 구분하고, 구역 간 통신을 통제하는 보안 아키텍처를 요구한다[5,7]. 이러한 구조는 NIST SP 800-82에서 제시하는 산업제어시스템 네트워크 분리 원칙과 유사하며, 미국 원자력규제위원회(NRC: U.S. Nuclear Regulatory Commission)의 규제 지침에서도 안전 계통과 비안전 계통 간의 네트워크 분리를 핵심 보안 요구사항으로 제시하고 있다[2]. 따라서 원전 I&C 네트워크는 보안 구역 기반의 네트워크 분리와 접근 통제, 데이터 흐름 제어 등의 보안 메커니즘을 통해 사이버 위협으로부터 발전소 I&C를 보호하도록 설계된다.

그림 1에 원자력발전소의 계측제어 시스템의 계층적 네트워크 구조와 안전‧비안전 제어 시스템 간의 기능적 분리 및 보안 아키텍처를 나타냈다.

그림 1.

NPP I&C 네트워크 구조

출처 AI 이용 이미지 작성

최하위 계층에는 실제 발전소 설비와 직접 연결되는 물리 공정 계층(Physical Process Layer)이 위치하며, 원자로, 터빈 설비, 냉각 계통, 펌프 및 배관 등 발전소의 실제 물리적 공정이 포함된다. 이 계층에는 온도 센서, 압력 트랜스미터, 방사선 검출기 등 다양한 공정 센서(Process Sensor)와 제어 밸브, 펌프 모터 등 액추에이터가 설치되어 공정 상태를 측정하고 제어 신호를 수행한다. 상위에는 제어 시스템 계층이 위치하며, 공정 제어용 프로그램 가능 논리 제어기(PLC: Programmable Logic Controller) 및 원격단말장치(RTU: Remote Terminal Unit)와 Safety PLCs가 공정 데이터를 수집하고 제어 알고리즘을 수행하여 설비를 자동으로 제어한다. 이 과정에서 안전 계통과 비안전 계통 간 데이터 흐름은 단방향 게이트웨이(Unidirectional Gateway)를 통해 제한적으로 전달되어 제어망의 보안 격리를 강화한다. 다음 상위 계층은 주 제어실(Main Control Room) 및 인간–기계 인터페이스(HMI: Human–Machine Interface) 영역으로, 운영자 콘솔과 워크스테이션을 통해 발전소 운전 상태를 실시간으로 감시하고 필요한 제어 명령을 수행한다.

HMI 계층보다 상위에 있는 발전소 제어 네트워크(Plant Control Network) 영역은 터빈 제어 및 일반 공정 제어를 수행하는 비안전 제어 시스템(Non-Safety Control System)과 원자로 보호 시스템(RPS: Reactor Protection System) 및 공학적 안전설비 시스템(ESF: Engineered Safety Feature)으로 구성된 안전 계측제어 시스템(Safety I&C System)으로 구분된다. 안전 계통은 비안전 계통과 물리적‧논리적으로 분리되어 설계되어 발전소 안전 기능의 독립성을 확보한다. 발전소 제어 네트워크 상위에는 제어망과 기업 정보 네트워크 간 직접적인 통신을 방지하기 위한 중간 보안 영역인 비무장지대 네트워크(DMZ: Demilitarized Zone)가 구성되며, 플랜트 데이터 이력 관리 시스템(Plant Data Historian)을 활용하여 발전소 운전 데이터를 중간 저장‧관리한 후 상위 네트워크로 제한적으로 전달함으로써 산업제어 시스템의 보안성과 네트워크 격리 수준을 향상시킨다. 이와 구분되는 기업 정보기술 네트워크 계층은 기업 비즈니스 시스템 및 데이터 분석 플랫폼으로 구성되어 발전소 운영 데이터를 기반으로 경영 의사결정 지원, 운영 성능 평가 및 장기 데이터 관리 기능을 수행한다.

이러한 상위 정보 시스템은 발전소 제어 네트워크와 직접 연결되지 않고 보안 경계 영역을 통해 제한적으로 연계되어 산업제어 시스템의 보안성을 확보하도록 설계된다. 이와 같은 계층적 네트워크 구조는 발전소 제어 시스템의 안정성과 보안을 확보하기 위한 심층방어 기반 네트워크 아키텍처를 반영한 것으로, 각 계층 간 기능적 분리와 제한된 데이터 흐름을 통해 시스템 간 간섭을 최소화하고 원자력발전소의 안전한 운전을 지원하도록 설계된다(그림 2). ¹⁾

그림 2

Defense-in-Depth 환경에서의 원전 ICS 계층 구조 및 무선통신 적용 영역

출처 Reproduced with permission from INTERNATIONAL ATOMIC ENERGY AGENCY, “Application of Wireless Technologies in Nuclear Power Plant Instrumentation and Control Systems,” IAEA, NP-T-3.29, Vienna, 2020[9].

표 1은 원자력발전소 네트워크 구조를 일반 산업 플랜트 및 기업 IT 네트워크와 비교하여 나타낸 것이다. 원자력발전소의 디지털 계측제어 네트워크는 발전소의 안전 운전과 원자로 보호를 최우선 목적으로 설계되며, 안전 계통 계측제어 시스템과 비안전 계통 계측제어 시스템이 기능적으로 구분된 다계층 구조(Field–Control–Plant–Enterprise)를 기반으로 구성된다. 이러한 구조는 매우 높은 안전 요구 수준을 충족하기 위해 안전 계통과 비안전 계통 간의 물리적‧논리적 분리를 적용하고, 심층방어 개념 및 다중 보안 계층을 통해 시스템 신뢰성과 사이버 보안성을 동시에 확보하도록 설계된다. 또한, 발전소 제어망과 상위 네트워크 간 데이터 흐름은 단방향 통신 또는 DMZ를 이용 제한적 연계 방식으로 운영되어 외부 위협의 전파를 최소화한다. 반면, 일반 산업 플랜트의 제어 네트워크는 생산 공정 자동화와 효율성 향상을 주된 목표로 하며, PLC 및 분산 제어 시스템(DCS: Distributed Control System) 기반의 3~4계층 구조(Field–Control–SCADA–IT)를 중심으로 일부 논리적 네트워크 분리와 방화벽 기반 보안 체계를 적용한다. 기업 IT 네트워크의 경우 기업 업무 지원과 정보 관리를 목적으로 서버, 스토리지 및 클라우드 중심의 통합 또는 계층형 네트워크 구조를 구성하며, 상대적으로 자유로운 데이터 통신과 IT 보안 정책 중심의 운영 특성을 가진다.

이처럼 원자력발전소 네트워크는 적용 표준, 보안 구조, 데이터 흐름 제어 및 통신 신뢰성 요구 측면에서 차별화된 특성을 보이며, 이는 발전소 안전 기능의 독립성과 안정적 운전을 보장하기 위한 핵심 설계 원칙이라 할 수 있다.

1.1 심층방어 단계에 따른 필요 기술

원전의 계측‧제어 시스템은 단일 고장이나 인적 오류가 중대 사고로 확대되는 것을 방지하기 위해 심층방어 개념에 기반한 다층적 구조로 설계‧운영된다[1]. 심층방어는 원전 하위 시스템을 기능적 요구사항과 안전 중요도에 따라 상호 독립적인 다섯 단계로 구분하고, 각 단계가 이전 단계의 실패를 보완하도록 구성되는 것이 특징이다. Level 1은 정상 운전 유지와 기본 공정 제어 기능을 수행하며, Level 2는 비정상 상태를 조기에 감지하고 제어하여 사고 진행을 예방하는 보호 및 제한 기능을 담당한다. Level 3은 사고 발생 시 원자로 보호계통과 공학적 안전설비를 통해 노심 손상과 방사성 물질 방출을 방지하는 단계이며, Level 4와 Level 5는 각각 중대사고 영향 완화와 외부 비상 대응을 통해 방사선 영향을 최소화하는 것을 목표로 한다. 이와 같은 심층방어 기반 계측제어 아키텍처에서는 단계별 안전 중요도와 기능적 역할에 따라 요구되는 기술 특성이 상이하며, 적용 가능한 통신 및 제어 기술 또한 차별화된다. 특히 Level 1~3 영역은 원자로 안전 기능과 직접 연계되므로 고신뢰성‧저지연‧결정론적 특성을 확보할 수 있는 유선 중심의 통신 구조와 시스템 간 기능적 독립성이 필수적으로 요구된다[8]. 반면, Level 4~5 영역에서는 상황인지와 정보 전달의 연속성이 중요해지며, 이동형 장비와 비상 센서 적용이 확대됨에 따라 제한적 데이터율의 무선통신 기술이 보조적 수단으로 활용될 수 있다. 따라서 심층방어 단계별 기술 적용은 안전 중요도와 실시간성 요구 수준을 고려한 계층적 통신 전략에 기반하여 설계될 필요가 있다.

1.2 제외 구역

미국 원자력규제위원회와 미국 EPRI(Electric Power Research Institute)는 원자력발전소 환경에서 무선 송신기 등 전자기파 발생원이 계측‧제어 장비에 미치는 영향을 보수적으로 관리하기 위해, 장비의 전자기 감도 한계와 허용 전기장 강도 간 최소 8dB 이상의 여유 확보를 권고하고 있다[8]. 이러한 여유 기준은 측정 불확실성, 설치 환경 변화 및 다중 송신원에 의한 전자기장 중첩 효과 등을 고려한 안전 계수로, 시험 환경과 실제 운전 조건 간 차이를 보완하기 위한 목적을 가진다[9]. 특히 안전 관련 장비가 밀집된 원전 환경에서는 전자기적 간섭(EMI: Electromagnetic Interference)에 의한 기능 이상을 예방하는 것이 중요하며, 해당 기준은 무선 장치 적용 시 제외 구역(Exclusion Zones) 설정, 송신 전력 제한 및 설치 위치 선정의 주요 설계 근거로 활용된다. 보수적 여유 확보 원칙은 심층방어 개념과 연계되어 원전 계측제어 시스템의 기능적 독립성과 운전 신뢰성을 유지하는 데 중요한 역할을 한다.

2.1 무선 시스템 적용 요구사항

원자력발전소 환경에서 무선 시스템을 적용하기 위해서는 계측제어 장비에 대한 전자기적 간섭을 최소화하는 것이 핵심 요구사항으로 고려된다. 이를 위해 무선 송신 장치와 전자기적으로 민감한 설비 간 충분한 물리적 분리를 확보하는 제외 구역 개념이 적용되며, 송신 전력 제한 및 설치 위치 최적화 등의 보수적 설계 기준이 요구된다. 또한, 원전 구조물의 금속 차폐 특성으로 인해 다중 경로 페이딩과 신호 감쇠가 빈번하게 발생하므로, 확산 스펙트럼 및 주파수 호핑 기법을 활용한 통신 강건성 확보가 필요하다. 아울러 격납 건물 내부의 높은 방사선 환경은 마이크로컨트롤러 및 전원 회로 등 반도체 소자의 신뢰성 저하 요인으로 작용할 수 있으므로, 방사선 내성을 고려한 장비 설계와 시험‧검증이 병행되어야 한다. 따라서 원전 무선 시스템의 적용은 전자기 간섭 영향, 방사선 환경 및 전파 전달 특성의 변동성을 종합적으로 고려한 보수적 설계 기준에 기반하여 수행될 필요가 있다.

2.2 무선 시스템 구성 방식

그림 3과 같이 원자력발전소 격납 건물 환경에서의 무선 시스템은 격납 내부 무선망과 외부 유선망을 결합한 하이브리드 구조가 가장 신뢰성이 높은 구성 방식으로 평가된다. 격납 건물 내부 설비에 설치된 무선 송신기는 단거리 무선통신을 통해 공정 및 상태 자료를 수집하며, 격납 경계부에 배치된 무선 수신 게이트웨이가 이를 모아서 데이터 전달의 효율성을 확보한다. 이후 수집된 데이터는 격납 관통부를 통해 유선통신망으로 연계되어 외부 계통 및 상위 감시‧제어 시스템으로 전달된다.

그림 3

원전에서의 무선통신 시스템 구조

출처 Reproduced with permission from INTERNATIONAL ATOMIC ENERGY AGENCY, “Application of Wireless Technologies in Nuclear Power Plant Instrumentation and Control Systems,” IAEA, NP-T3.29, Vienna, 2020[9].

이러한 구조는 격납 벽을 통한 전파 투과를 최소화함으로써 전자기적 간섭 가능성과 규제 부담을 줄이는 동시에, 내부 구간에서는 무선 기술이 가지는 설치 유연성과 유지보수 효율성을 확보할 수 있는 장점이 있다. 따라서 본 하이브리드 구성은 심층 방어 개념과 제외 구역 원칙을 고려한 원전 무선 시스템 적용에 있어 보수적이면서도 현실적인 설계 방안으로 평가될 수 있다.