KR101608646B1

KR101608646B1 - 원자력 발전소의 발전소보호계통의 운전 시스템과 이를 이용한 운전방법

Info

Publication number: KR101608646B1
Application number: KR1020140074179A
Authority: KR
Inventors: 강성곤
Original assignee: 한국수력원자력 주식회사
Priority date: 2014-06-18
Filing date: 2014-06-18
Publication date: 2016-04-04
Also published as: KR20150145000A

Abstract

본 발명은 원자력 발전소의 발전소보호계통의 운전 시스템과 이를 이용한 운전방법에 관한 것이다. 본 발명에 따른 운전 시스템은 발전소보호계통의 운전상태를 센싱하는 안전계통 센서와; 상기 안전계통 센서와 동일한 운전상태를 센싱하며 공통원인고장에 의해 영향받지 않는 비안전계통 센서와; 동일한 운전상태에 대해 상기 안전계통 센서가 센싱한 값과 상기 비안전계통 센서가 센싱한 값이 소정의 값 이상 차이가 나는 경우, 공통원인고장이라고 판단하는 판단부를 포함한다.

Description

원자력 발전소의 발전소보호계통의 운전 시스템과 이를 이용한 운전방법{Operating system for plant protection system of nuclear power plant and Method of operating using the same}

본 발명은 원자력 발전소의 발전소보호계통의 운전 시스템과 이를 이용한 운전방법에 관한 것이다.

종래에는 소프트웨어 기반의 디지털 I&C가 원자력발전소에 적용된 경우가 없었으므로 발전소보호계통의 공통원인 고장을 고려하지 않았다. 공통원인 고장이란 운영시스템이 소프트웨어에 고장을 일으키는 것으로 공통원인 고장이 발생하면 센서에서 측정한 공정운전 값이 제대로 전달되지 않는 등의 문제가 발생한다.

그러나 디지털 I&C의 기술이 발전하면서 최근 건설된 원자력발전소에서 안전 및 비안전계통 전체에 디지털 I&C가 적용되면서 규제지침에 따라 공통원인 고장을 고려한 설계를 하도록 요구하게 되었다.

이러한 공통원인 고장에 대비하기 위해 주제어실에서는 안전제어반에 DIS(Diverse Indication System: DIS)와 다양성 수동 작동 스위치(Diverse Actuation Switch: DAS)를 추가하여 규제지침에 대응하고 있다.

그러나 실제로 운전원이 발전소보호계통의 공통원인 고장을 확인하기 위한 운전수단이 없어 운전원은 설계기준 사고와 같은 발전소 과도 상황에서는 발전소보호계통의 공통원인 고장으로 인해 안전기능의 자동동작이 수행되지 않고 있는지 등을 구분하기가 어려운 문제점이 있다.

한국 등록 제10-0876014호(2008년 12월 26일 공개) 미국 등록 제7,877,627호(2011년 1월 25일 공개)

따라서 본 발명의 목적은 공통원인 고장으로 인한 안전기능의 문제를 판단할 수 있는 시스템과 운전방법을 제공하는 것이다.

상기 본 발명의 목적은 원자력 발전소의 발전소보호계통의 운전 시스템에 있어서, 발전소보호계통의 운전상태를 센싱하는 안전계통 센서와; 상기 안전계통 센서와 동일한 운전상태를 센싱하며 공통원인고장에 의해 영향받지 않는 비안전계통 센서와; 동일한 운전상태에 대해 상기 안전계통 센서가 센싱한 값과 상기 비안전계통 센서가 센싱한 값이 소정의 값 이상 차이가 나는 경우, 공통원인고장이라고 판단하는 판단부를 포함하는 운전 시스템에 의하여 달성된다.

상기 비안전계통 센서는 APC-S(Auxillary Process Cabinet-Safety), 비안전계통 I&C, 노심운전제한치 감시 시스템(COLSS) 및 노외중성가속 감시 시스템(ENFMS) 중 적어도 어느 하나에 포함되어 있을 수 있다.

상기 운전상태는 노심출력, 가압기 압력, 핵비등이탈율, 국부출력밀도, 증기발생기 수위, 증기발생기 압력, 원자로 건물 압력 및 원자로 냉각재계통 유량 중에서 선택되는 적어도 어느 하나를 포함할 수 있다.

상기 판단부가 공통원인 고장이라고 판단한 경우, 이를 운전원에게 알리는 알람부를 더 포함할 수 있다.

상기 알람부는 운전원 화면에 원자로 정지 및 안전설비 작동에 대한 관련 운전상태와 설정치를 나타낼 수 있다.

상기 안전설비 작동은 안전주입 작동, 원자로 건물 격리 작동, 원자로 건물 살수 작동, 주증기 격리 작동 및 보조급수 작동 중 적어도 어느 하나를 포함할 수 있다.

상기 공통원인 고장이라고 판단한 경우, 운전원이 해당 운전상태를 수동으로 조절할 수 있는 수동 작동부를 더 포함할 수 있다.

상기 수동작동부는 운전원의 실수로 인한 작동을 방지하기 위한 인터락 버튼을 포함할 수 있다.

상기 본 발명의 목적은 원자력 발전소의 발전소보호계통의 운전 시스템의 운전방법에 있어서, 안전계통 센서를 통해 발전소보호계통의 운전상태를 센싱하는 단계와; 공통원인고장에 의해 영향받지 않는 비안전계통 센서를 통해 상기 안전계통 센서와 동일한 운전상태를 센싱하는 단계와; 동일한 운전상태에 대해 상기 안전계통 센서가 센싱한 값과 상기 비안전계통 센서가 센싱한 값이 소정의 값 이상 차이가 나는 경우, 공통원인고장이라고 판단하는 단계를 포함하는 운전방법에 의해 달성된다.

상기 판단부가 공통원인 고장이라고 판단한 경우, 이를 운전원에게 알람하는 단계를 더 포함할 수 있다.

상기 알람단계는 운전원 화면에 원자로 정지 및 안전설비 작동에 대한 관련 운전상태와 설정치를 나타내는 단계를 포함할 수 있다.

상기 공통원인 고장이라고 판단한 경우, 운전원이 해당 운전상태를 수동으로 조절할 수 있는 수동 작동부가 마련되어 있을 수 있다.

본 발명에 따르면 공통원인 고장으로 인한 안전기능의 문제를 판단할 수 있는 시스템과 운전방법이 제공된다.

도 1은 본 발명의 실시예에 따른 운전 시스템의 블록도이고,
도 2는 본 발명의 실시예에 따른 알람화면을 나타낸 것이고,
도 3은 본 발명의 실시예에 따른 또 다른 알람화면을 나타낸 것이고,
도 4는 본 발명의 실시예에 따른 수동작동부를 나타낸 것이다.

이하 도면을 참조하여 본 발명을 더욱 상세히 설명한다.

첨부된 도면은 본 발명의 기술적 사상을 더욱 구체적으로 설명하기 위하여 도시한 일 예에 불과하므로 본 발명의 사상이 첨부된 도면에 한정되는 것은 아니다.

원자력발전소에서 발전소보호계통에 디지털 I&C를 적용한 경우에는 원자력 규제지침에서 요구하는 것처럼 발전소보호계통의 공통원인 고장(Common Cause Failure)을 고려하여 설계를 수행하여야 한다.

여기서 말하는 공통원인고장이란 실제 동작 조건(Triggering Mechanism)이 될 때까지 발견되지 않고 잠복하는 소프트웨어 고장(Software Fault)을 말한다. 이러한 소프트웨어 고장은 설계오류(Design Error)로 기인한다(IEEE 7-4.3.2). 이러한 잠복하는 고장은 발전소보호계통의 여러 디비젼에 존재하기 때문에 규칙적으로 분포하고 있는 특징이 있다. 특정 운전조건이 되어 고장이 포함된 소프트웨어가 동작하게 되면 동시에 안전기능을 수행하는 발전소보호계통의 여러 디비젼 기능을 무력화시키면서 공통원인 고장이 발생한다.

본 발명에서는 디지털 I&C로 구성된 원자력발전소에서 발전소보호계통(PPS: Plant Protection System)의 공통원인고장(Common Cause Failure)으로 인해 발전소보호계통의 안전기능이 자동적으로 수행되지 않을 경우를 대비하여 운전원이 수동으로 안전기능을 조치할 수 있도록 운전원에게 공통원인고장을 알리게 된다.

발전소보호계통에서 공통원인고장을 가진 상태에서 설계기준사고(Design Basis Accident)가 발생하면 그 사실을 빠른 시간 내에 운전원에게 알리고, 운전원은 발전소보호계통의 공통원인고장을 판단한 후 수동으로 원자로를 정지(Reactor Trip)시키고, 필요 시 공학적 안전설비(Engineered Safety Features)를 수동으로 작동(NUREG-0800, BTP 7-19 요건"GUIDANCE FOR EVALUATION OF DIVERSITY AND DEFENSE-IN-DEPTH IN DIGITAL COMPUTER-BASED INSTRUMENTATION AND CONTROL SYSTEMS ")시켜야 한다.

여기서 발전소보호계통이라 함은 원자로 정지 기능을 수행하는 설비(RPS: Reactor Protection System)와 공학적 안전설비 작동 기능을 수행하는 설비(ESF-CCS: Engineered Safety Feature-Component Control System)를 총칭하여 일컫는 말로 최근 건설된 원자력 발전소의 발전소보호계통은 PLC(Programmable Logic Controller)라는 디지털 플랫폼을 적용하여 구성된다.

설계기준사고 발생 시 발전소보호계통의 자동동작 기능에 따라 발전소를 안전하게 정지(Trip)시킬 수 있는 신호가 발생하여 원자로를 정지시키고, 필요시 공학적안전설비를 자동 동작시켜야 한다.

하지만, 발전소보호계통에서 공통원인고장을 가진 상태에서는 설계기준사고가 발생하더라도 발전소보호계통을 구성하고 있는 PLC 플랫폼의 공통원인고장(PLC 플랫폼은 동일한 CPU 보드, I/O 보드 및 동일한 운영시스템을 이용하여 원자로 정지 기능과 공학적 안전 설비 작동 기능을 구현함에 따라 운영시스템의 소프트웨어가 운영되면서 고장을 일으킬 수 있는 공통원인고장 요소가 내재되어 있을 경우, 해당 소프트웨어 에러를 포함하는 루프를 사용할 경우에는PLC Platform 전체가 동시에 고장나는 경우를 배제할 수가 없음(NUREG-0800, BTP 7-19 요건))에 따라 안전기능 수행이 필요한 경우에 안전기능을 자동으로 수행할 수 없는 경우가 발생한다.

따라서, 설계기준사고 발생 시 발전소보호계통의 기능이 요구됨에도 불구하고, 공통원인고장으로 인해 발전소보호계통이 자동으로 동작되지 않음을 운전원에게 알리고 운전원이 수동으로 발전소보호계통을 작동시키도록 요구하는 기능이 필요하다.

도 1은 본 발명의 실시예에 따른 운전시스템의 개략도이다.

안전계통 센서(10)와 비안전계통 센서(20)에서는 동일한 운전상태에 대해 센서를 이용하여 운전상태(온도, 유량, 압력 등)를 읽는다. 여기서 안전계통 센서(10)는 공통원인고장에 의해 영향받는 센서를 말하고, 비안전계통 센서(20)는 공통원인고장에 의해 영향받지 않고 운전원에게 전달되는 센서를 말한다.

설계기준 사고 시 발전소보호계통에서 공통원인고장이 발생한다면 발전소보호계통 프로세서에서는 센서에서 감지한 발전소의 실제 값을 제대로 처리하는 기능을 상실한다. 따라서 주제어실의 대형정보표시판과 운전콘솔의 관련 운전화면에서는 발전소 실제값을 표시하지 못하고, 공통원인고장 이전의 정상상태 값만을 표시하는 상황을 고려할 수 있다.

이러한 상황에서는 APC-S(Auxiliary Process Cabinet-Safety) 캐비넷을 통해 보호계통의 센서값을 다양성지시계통(DIS)로 전달하는 값과 안전계통과 동일한 프로세스 상태를 감지하는 비안전계통의 측정값을 기준으로 안전계통의 해당 측정값의 신뢰성 여부를 확인할 수 있다.

본 발명에서는 판단부(30)가 이러한 역할을 수행한다. 즉 판단부(30)는 양 측정값이 일정치 이상의 차이를 보이면 공통원인 고장이라고 판단한다.

공통원인고장 여부를 판단하기 위해 센싱하는 운전상태(즉, 공정변수)는 8개 변수 일수 있으며, 노심출력(중성자), 가압기 압력(PZR press), 핵비등이탈율(DNBR: Departure from Nucleate Boiling Ratio), 국부출력 밀도(LPD: Local Power Density), 증기발생기 수위(SG level), 증기발생기 압력(SG Press), 원자로 건물 압력(Rx building press), 원자로 냉각재계통 유량(RCS Flow)일 수 있다. 이들은 원자로보호계통과 공학적 안전설비를 작동시키는 변수들이다. 다른 실시예에서는 이들 8 개 변수 중 일부만을 사용하거나, 다른 변수를 추가할 수 있다.

판단부(30)는 보호계통 작동을 위해 측정된 8개 변수의 값과 APC-S에서 처리된 값과 비안전계통 I&C에서 처리된 값을 비교하여 고장여부를 판단한다.

공통원인고장이라고 판단되면 알림부(40)에서는 공통원인고장이 발생하였음을 운전원에서 알린다. 알리는 방법은 소리 또는/및 화면 표시가 가능하다. 예를 들어, 경보와 함께 동시에 대형정보표시판과 운전콘솔의 운전화면에서는 자동으로 "CCF 확인 화면"이 Pop-up 되도록 할 수 있다.

도 2는 운전원 화면에 표시되는 공통원인고장을 알리는 화면을 예시한 것이다. 가로행에 8개의 운전상태가 도시되고 안전계통 I&C에서 측정한 값, APC-S, ENFMS, COLSS에서 측정한 값과, 비안전계통 I&C에서 측정한 값이 도시된다. 판단부(30)는 각 운전상태에 대해 미리 설정한 값보다 차이가 크면 비정상이라고 판단한다.

여기서, 설정한 값은 다양하게 변화할 수 있다. 예를 들어, 절대값 크기에 따라 비정상이라고 판단하는 수치 차이가 달라질 수 있으며, 시간 개념이 추가될 수도 있다.

도 3은 공통원인고장에 따른 작동 관련변수 및 설정치를 알리는 화면을 예시한 것이다. 공통고장원인에 대하여 작동시켜야 하는 6가지(원자로 정지, 안전주입 작동, 원자로 건물 격리 작동, 원자로 건물 살수 작동, 주증기 격리 작동 및 보조급수 작동) 작동원이 나열되어 있으며 이들 작동원의 운전과 관련된 운전상태가 표시되어 있다. 예를 들어 안전주입계통은 가압기 압력(PZR press)과 원자로 건물 압력의 수치에 따라 작동여부를 결정하면 된다. 작동여부를 결정할 수치값도 같이 도시되어 있다.

경보논리에 따라 운전원에게 경보를 제공하여 대응 조치를 취하도록 요구되는데, 이를 위해 수동 작동부(50)가 마련된다.

발전소보호계통의 공통원인고장을 판단하는 운전화면과 함께 운전원이 바로 필요한 조치를 취할 수 있도록 원자로 정지관련 채널별 A/B/C/D 스위치 4개와 공학적 안전설비를 수동으로 작동시킬 수 있도록 각 계통별로 다양성 수동 작동 스위치(DAS)를 원자로 운전원 운전콘솔과 터빈 운전원 운전콘솔 중간에 별도의 스위치 박스를 설치(도4)하여 수동으로 안전기능을 작동시킬 수 있도록 한다.

현재 APR+ 원자력발전소에서는 비안전계통 I&C와 안전계통 I&C로 크게 두 가지 구조로 되어 있으며 비안전계통 I&C는 분산제어시스템(Distributed Control System: DCS)으로 구현되고, 발전소보호계통은 프로그램머블 논리 제어기(Programmable Logic Controller: PLC)로 구현된다.

그리고 DCS에서는 모든 발전소 정보 즉 비안전계통 I&C에서 처리된 정보와 발전소보호계통에서 처리된 정보를 모두 가지고 있어 운전원에게 다양한 형태로 정보를 처리하여 대형정보표시판 및 각 운전원의 운전콘솔에서 운전화면으로 정보를 제공하고 있다.

또한, 최근 건설된 원자력발전소 설계에서는 안전제어반에서 공통원인 고장 시 운전원에게 필요한 정보를 확인할 수 있도록 정보를 표시하는 운전수단(DIS: Diverse Indication System) 및 다양성 수동 작동 스위치(DAS: Diverse Actuation Switch)을 별도로 제공하고 있다.

그러나 DIS 화면과 DAS는 운전콘솔과 별도로 구성되어 있어 운전원이 관련정보를 확인하기 위해서는 안전제어반까지 걸어가서 정보를 확인하고 기억한 후 다시 운전콘솔로 와서 운전을 수행하고, 다시 조치를 취하기 위해서는 안전제어반으로 가서 조치를 취해야 하는 육체적 부하 및 인지 부하가 존재한다.

본 발명에서는 비상운전 시 이외에 인적 실수로 인한 원자로 정지 및 공학적 안전설비 작동을 방지하기 위하여 스위치 앞에 인터락 버튼을 설치하여 운전원이 수동으로 스위치를 동작시킬 경우에는 인터락 버튼을 누른 후 각각의 스위치를 눌러야 신호가 전송되도록 한다.

전술한 실시예들은 본 발명을 설명하기 위한 예시로서, 본 발명이 이에 한정되는 것은 아니다. 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자라면 이로부터 다양하게 변형하여 본 발명을 실시하는 것이 가능할 것이므로, 본 발명의 기술적 보호범위는 첨부된 특허청구범위에 의해 정해져야 할 것이다.

Claims

원자력 발전소의 발전소보호계통의 운전 시스템에 있어서,
발전소보호계통의 운전상태를 센싱하는 안전계통 센서와;
상기 안전계통 센서와 동일한 운전상태를 센싱하며 공통원인고장에 의해 영향받지 않는 비안전계통 센서와;
동일한 운전상태에 대해 상기 안전계통 센서가 센싱한 값과 상기 비안전계통 센서가 센싱한 값이 소정의 값 이상 차이가 나는 경우, 공통원인고장이라고 판단하는 판단부를 포함하는 운전 시스템.
제1항에서,
상기 비안전계통 센서는 APC-S(Auxillary Process Cabinet-Safety), 비안전계통 I&C, 노심운전제한치 감시 시스템(COLSS) 및 노외중성가속 감시 시스템(ENFMS) 중 적어도 어느 하나에 포함되어 있는 것을 특징으로 하는 운전 시스템.
제1항에서,
상기 운전상태는 노심출력, 가압기 압력, 핵비등이탈율, 국부출력밀도, 증기발생기 수위, 증기발생기 압력, 원자로 건물 압력 및 원자로 냉각재계통 유량 중에서 선택되는 적어도 어느 하나를 포함하는 것을 특징으로 하는 운전 시스템
제1항에서,
상기 판단부가 공통원인 고장이라고 판단한 경우, 이를 운전원에게 알리는 알람부를 더 포함하는 것을 특징으로 하는 운전시스템.
제4항에서,
상기 알람부는 운전원 화면에 원자로 정지 및 안전설비 작동에 대한 관련 운전상태와 설정치를 나타내는 것을 특징으로 하는 운전시스템.
제5항에서,
상기 안전설비 작동은 안전주입 작동, 원자로 건물 격리 작동, 원자로 건물 살수 작동, 주증기 격리 작동 및 보조급수 작동 중 적어도 어느 하나를 포함하는 것을 특징으로 하는 운전시스템.
제1항에서,
상기 공통원인 고장이라고 판단한 경우, 운전원이 해당 운전상태를 수동으로 조절할 수 있는 수동 작동부를 더 포함하는 것을 특징으로 하는 운전시스템.
제7항에서,
상기 수동작동부는 운전원의 실수로 인한 작동을 방지하기 위한 인터락 버튼을 포함하는 것을 특징으로 하는 운전시스템.
원자력 발전소의 발전소보호계통의 운전 시스템의 운전방법에 있어서,
안전계통 센서를 통해 발전소보호계통의 운전상태를 센싱하는 단계와;
공통원인고장에 의해 영향받지 않는 비안전계통 센서를 통해 상기 안전계통 센서와 동일한 운전상태를 센싱하는 단계와;
동일한 운전상태에 대해 상기 안전계통 센서가 센싱한 값과 상기 비안전계통 센서가 센싱한 값이 소정의 값 이상 차이가 나는 경우, 공통원인고장이라고 판단하는 단계를 포함하는 운전방법.
제9항에서,
상기 비안전계통 센서는 APC-S(Auxillary Process Cabinet-Safety), 비안전계통 I&C, 노심운전제한치 감시 시스템(COLSS) 및 노외중성가속 감시 시스템(ENFMS) 중 적어도 어느 하나에 포함되어 있는 것을 특징으로 하는 운전방법.
제9항에서,
상기 운전상태는 노심출력, 가압기 압력, 핵비등이탈율, 국부출력밀도, 증기발생기 수위, 증기발생기 압력, 원자로 건물 압력 및 원자로 냉각재계통 유량 중에서 선택되는 적어도 어느 하나를 포함하는 것을 특징으로 하는 운전방법.
제9항에서,
공통원인 고장이라고 판단한 경우, 이를 운전원에게 알람하는 단계를 더 포함하는 것을 특징으로 하는 운전방법.
제12항에서,
상기 알람단계는 운전원 화면에 원자로 정지 및 안전설비 작동에 대한 관련 운전상태와 설정치를 나타내는 단계를 포함하는 것을 특징으로 하는 운전방법.
제13항에서,
상기 안전설비 작동은 안전주입 작동, 원자로 건물 격리 작동, 원자로 건물 살수 작동, 주증기 격리 작동 및 보조급수 작동 중 적어도 어느 하나를 포함하는 것을 특징으로 하는 운전방법.
제9항에서,
상기 공통원인 고장이라고 판단한 경우, 운전원이 해당 운전상태를 수동으로 조절할 수 있는 수동 작동부가 마련되어 있는 것을 특징으로 하는 운전방법.
제15항에서,
상기 수동작동부는 운전원의 실수로 인한 작동을 방지하기 위한 인터락 버튼을 포함하는 것을 특징으로 하는 운전방법.