⚡ electrical engineering

The Iberian Blackout: A Black Swan or a Gray Rhino? A Protection-Aware Dynamic Voltage Security Assessment

2025년 4월 이베리아 반도의 블랙아웃에 착안하여, 본 논문은 과전압 연쇄 위험을 예측하고 최적의 신속 무효 전력 완화 전략을 산출하기 위해 비선형 하이브리드 모델을 활용하는 보호 인지형 동적 전압 보안 평가 프레임워크를 제안한다.

원저자: Abdallah Alalem Albustami, Ahmad F. Taha

게시일 2026-06-16

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Abdallah Alalem Albustami, Ahmad F. Taha

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

핵심 요약: 전력망의 "회색 코뿔소(Gray Rhino)"

전력망을 거대하고 복잡한 고속도로 시스템이라고 상상해 보세요. 2025년 4월 28일, 스페인과 포르투갈에서 대규모 교통 정체(정전)가 발생했습니다. 공식 조사 결과, 이 사건은 "회색 코뿔소"로 불렸습니다.

**블랙 스완(Black Swan)**은 어디선가 갑자기 나타나는 드물고 예측 불가능한 괴물입니다 (예: 하늘에서 떨어지는 공룡).
**회색 코뿔소(Gray Rhino)**는 당신을 향해 돌진하고 있는 거대하고 명백한 위협이지만, 모두가 너무 바빠서 부딪히기 전까지는 알아차리지 못하는 존재입니다.

이 논문의 저자들은 이번 정전이 갑작스러운 괴물이 아니었다고 주장합니다. 그것은 달려오는 코뿔소였습니다. 경고 신호는 이미 있었습니다. 전압은 너무 높아지고 있었고, 안전 스위치는 너무 민감했으며, "브레이크"(무효 전력 제어 장치)는 너무 느리거나 아예 없었습니다.

문제점: "잘못된 속도계"

이 논문이 지목하는 핵심 문제는 안전을 측정하는 방식의 불일치입니다.

당신이 자동차를 운전하고 있다고 상상해 보세요. 계기판에는 엔진의 속도(송전 측)가 표시되지만, 변속기(변압기)로 인한 기어 변속 때문에 도로와 관련된 실제 속도(로컬 그리드)는 다를 수 있습니다.

기존 방식: 전력망 운영자들은 오직 "엔진 속도"(송전 전압)만을 관찰했습니다. 그 수치가 괜찮아 보이기만 하면 자동차가 안전하다고 생각했습니다.
실제 상황: "기어 변속"(변압기) 설정이 엔진이 시사하는 것보다 로컬 바퀴가 훨씬 더 빠르게 돌도록 되어 있었습니다. 로컬 안전 센서(계전기)는 바퀴가 너무 빨리 도는 것을 보고 브레이크를 꽉 밟아 엔진의 전원을 차단해 버렸습니다.

발전기 하나가 탈락(정지)했을 때, 그 발전기는 단순히 전력을 생산하는 것만 멈춘 것이 아니라, 과잉 에너지를 "흡수"하는 것도 멈췄습니다. 이로 인해 다음 발전기에게는 전압 스파이크가 더 높게 발생했고, 결국 그 발전기 또한 탈락하게 되었습니다. 이는 도미노가 쓰러질 때마다 다음 도미노를 더 빠르게 쓰러뜨리는 연쇄 반응이었습니다.

해결책: "보호막 계산기"

저자들은 보호막 계산기 역할을 할 새로운 도구를 만들었습니다. 이 도구는 단순히 엔진 속도를 체크하는 대신, 실시간으로 세 가지 중요한 질문을 던집니다.

진짜 위험은 어디에 있는가? 이 도구는 메인 송전선뿐만 아니라 안전 센서가 위치한 정확한 지점(로컬 바퀴)의 전압을 살핍니다.
얼마나 빨리 반응할 수 있는가? 이 도구는 안전 센서가 작동하기 전에 "브레이크"(인버터나 STATCOM 같은 빠른 제어 장치)가 상황을 늦출 수 있는지 계산합니다. 사람이 스위치를 올리는 것은 너무 느리지만, 컴퓨터 제어 장치는 충분히 빠르다는 점을 알고 있습니다.
정보가 불충분하다면 어떻게 할 것인가? 이 도구는 누락된 데이터를 고려합니다. 만약 센서의 설정값을 정확히 모른다면, 안전을 위해 최악의 시나리오를 가정합니다.

도구가 작동하는 방식 (비유)

전력망을 사람들이 소리를 지르고 있는(전압) 붐비는 방이라고 생각해 보세요.

트리거(계기): 누군가 유리잔을 떨어뜨립니다 (발전기 탈락).
도미노 효과: 유리잔이 깨지면서 모두가 깜짝 놀랍니다. 만약 방 안의 분위기가 이미 긴박하다면(높은 전압), 이 놀람은 다른 사람이 꽃병을 떨어뜨리게 만들고, 이는 또 다른 놀람을 유발합니다.
기존 화면: 방이 전반적으로 시끄러운지만 확인했습니다.
새로운 화면:
- 유리잔 바로 옆에 서 있는 특정 사람(보호 대상 계전기)의 상태를 듣습니다.
- 유리잔이 깨질 때 그 특정 사람이 얼마나 흔들릴지 계산합니다.
- 근처에 이 사람을 진정시킬 수 있는 "진정제"(빠른 제어 장치)가 있는지 확인합니다.
- 만약 흔들림이 너무 강하고 진정제가 너무 느리다면, 도구는 이렇게 말합니다: "멈추세요! 아직 유리잔을 떨어뜨리지 마세요. 혹은, 더 빠른 진정제를 준비하세요."

이 도구가 실제로 하는 일

이 논문은 "스크리닝(선별)" 과정을 설명합니다. 이 도구는 엔지니어들이 보통 수행하는 무겁고 느린 시뮬레이션을 대체하는 것이 아니라, 그 전에 위치하여 안전한 시나리오를 걸러내고 엔지니어가 위험한 시나리오에만 집중할 수 있도록 돕습니다.

리스크 순위 매기기: 수천 가지의 가능한 이벤트(발전기가 꺼지거나 풍력 발전의 속도가 변하는 등)를 검토하여, "이 5개는 위험하고, 나머지 995개는 괜찮다"라고 분류합니다.
해결책 찾기: 시나리오가 위험하다고 판단되면, 연쇄 탈락을 막기 위해 필요한 정확한 "빠른 에너지" 양을 계산합니다. 예를 들어, "연쇄 탈락을 막으려면 300밀리초 이내에 70단위의 에너지를 주입해야 한다"라고 말할 수 있습니다.
누락된 정보 처리: 데이터가 불분명한 경우(센서의 정확한 설정을 모르는 경우 등), 도구는 추측하지 않습니다. 대신 "데이터 제한적(Data Limited)"이라고 표시하며, "더 나은 데이터를 얻기 전까지는 안전을 보장할 수 없다"라고 알립니다.

결과: 효과가 있었는가?

저자들은 이 도구를 이베리아 시스템의 2,000-버스 복제 모델을 포함한 여러 전력망 모델에 테스트했습니다.

안전 우선: 이 도구는 위험한 상황을 단 한 번도 놓치지 않았습니다. 복잡한 시뮬레이션이 "정전(Blackout)"이라고 판정하면, 이 도구도 "위험(Danger)"이라고 판정했습니다.
속도: 전체 시뮬레이션을 실행하는 것보다 2배에서 9배 더 빨랐습니다.
"회색 코뿔소" 확인: 테스트 결과, 가장 큰 리스크는 두 가지에서 왔음을 보여주었습니다.
1. "흡수 능력" 상실: 발전기가 탈락할 때, 에너지를 흡수하는 기능이 멈추면서 전압 스파이크가 발생합니다.
2. 고정된 설정값: 재생 에너지원(풍력 등)이 전압 설정을 조정하지 않고 출력 속도만 바꿀 때, 의도치 않게 전압을 안정화하는 대신 오히려 높여버리는 현상이 발생합니다.

결론

이 논문은 단순히 "정전이 발생했다"라고 말하는 데 그치지 않습니다. "우리가 잘못된 속도계를 보고 있었고, 우리의 브레이크가 너무 느렸기 때문에 정전이 발생했다"라고 말합니다.

이 새로운 도구는 올바른 속도계(로컬 센서)를 바라보고, 사고가 나기 전에 브레이크(빠른 제어 장치)가 자동차를 멈출 수 있는지 확인하는 방법입니다. 이는 무섭고 예측 불가능한 "블랙 스완" 이벤트를, 운영자가 미리 보고 멈출 수 있는 관리 가능한 "회색 코뿔소"로 바꾸어 놓습니다.

기술 요약: 보호 인지형 동적 전압 보안 평가

문제 정의
본 논문은 2025년 4월 28일 발생한 이베리아 블랙아웃(Iberian Blackout)에 의해 드러난 특정 클래스의 시스템 취약성을 다룹니다: **보호 장치 주도형 과전압 연쇄 탈락(protection-driven overvoltage cascades)**입니다. 장기적인 부하 역학이나 $QV$ 곡선에 초점을 맞춘 고전적인 전압 안정성 문제와 달리, 이 메커니즘은 고전압 운전 상태에서 발생하는 현상을 포함합니다. 즉, 가용한 제어 장치가 대응하기 전에 합리적인 이벤트(예: 발전기 탈락, 고정 역률 램프 변화, 션트 스위칭 등)가 보호 계전 측정 위치(집합 버스, 변압기 저압 측, 또는 발전소 내부 버스)에서 급격한 전압 상승을 유발하는 상황입니다.

핵심적인 운영 질문은 다음과 같습니다: 실시간 또는 계획 도구가 시스템이 "보호 취약 상태(protection-fragile)"로 진입하고 있음을 감지할 수 있는가? 즉, 다음으로 발생 가능한 탈락이나 램프 변화가 보호 전압을 계전기 임계값 위로 밀어 올려, 무효 전력 흡수 능력의 상실로 인한 자기 강화적 탈락 연쇄를 초래할 것인가? 저자들은 기존의 정적 점검 및 느린 비선형 시뮬레이션이 이러한 시간-중요 스크리닝 계층에는 불충분하다고 주장합니다.

방법론
저자들은 에너지 관리 시스템(EMS)/실시간 컨틴전시 분석(RTCA)과 완전한 비선형 시계열 시뮬레이션(TDS) 사이의 스크리닝 계층 역할을 하는 **보호 인지형 동적 전압 보안 평가(Protection-Aware Dynamic Voltage Security Assessment)**를 제안합니다. 이 방법론은 세 가지 기둥에 의존합니다:

하이브리드 DAE 모델링 및 유한 윈도우 맵(Finite Window Maps):
- 시스템은 자동 전압 조정기(AVR), 인버터 기반 자원(IBR), STATCOM, HVDC 링크 및 보호 로직을 명시적으로 포함하는 비선형 하이브리드 미분-대수 방정식(DAE) 프레임워크를 사용하여 모델링됩니다.
- 평가는 **모드별(mode-wise)**로 수행됩니다: 특정 평가 윈도우 동안 이산 상태(토폴로지, 션트 상태, 탭 위치, 리미터 활성화)는 고정되지만, 연속적인 역학 관계는 유지됩니다.
- 저자들은 계전기의 시간 범위(통상적으로 1초 미만에서 수 초 사이)와 관련된 특정 시간 지평에 대해, (단순히 송전측 버스가 아닌) 계전 측정 측에서의 전압 응답을 계산하는 유한 윈도우 전압 맵을 도출합니다.
정규화된 마진 침식 및 연쇄 탈락 스크리닝:
- 이 방법은 각 보호 자산 $i$ 에 대해 후보 이벤트 $j$ 에 대한 정규화된 과전압 마진 침식( $K_{ij}$ )을 정의합니다. 이 지표는 남은 마진( $h_i = V_{trip} - V_{current}$ )이 해당 이벤트에 의해 얼마나 소비되는지를 정량화합니다.
- 가산 임계값 맵을 사용하는 **단조 픽업 연쇄 스크리닝(monotone pickup cascade screen)**이 개발되었습니다. 시드 이벤트와 후속 탈락들로부터의 마진 침식 합계가 1을 초계하면 연쇄 탈락이 예측됩니다.
- 계전 설정, 탭 위치 또는 보호 측 전압이 누락되었거나 불확실한 경우, 이 방법은 잘못된 안전 인증을 내리는 대신 "데이터 제한적(data-limited)" 판정을 내리기 위해 유계 구간(bounded intervals)을 사용하여 **강건한 인증서(robust certificates)**를 생성합니다.
완화 최적화:
- 고위험 시나리오에 대해, 이 방법은 계전 윈도우 내에서 보호 전압을 임계값 아래로 유지하기 위해 필요한 최소 신속 무효 전력 동작을 계산하는 선형 최적화 문제를 해결합니다.
- 결정적으로, 이 최적화는 제어 장치를 명목 용량이 아닌 유용한 유한 윈도우 권한(useful finite-window authority)(예: STATCOM, 전압 모드 인버터)에 따라 순위를 매기며, 계전 dwell time 내에 작동할 수 없는 느린 제어 장치(예: 수동 션트 리액터)는 명시적으로 제외합니다.

주요 기여

메커니즘 합성: 본 논문은 ENTSO-E 최종 보고서의 조사 내용을 일반화된 시스템 수준의 메커니즘으로 변환하여, 고정 역률 램프 변화, 무효 전력 흡수 상실, 그리고 보호 설정이 어떻게 마진을 침식시키는지 식별했습니다.
보호 인지형 평가: 전통적인 도구와 달리, 이 방법은 계전 측정 측에서의 전압 보안을 계전 관련 시간 윈도우에 대해 평가하며, 보호 탈락의 이산적 특성과 제어기(AVR, IBR, HVDC)의 구체적인 역학을 고려합니다.
운영 워크플로우: 시드 이벤트를 순위화하고, 연쇄 탈락의 고정점(fixed points)을 예측하며, 누락된 데이터를 유계값으로 처리하여 데이터 제한적 상황을 다루고, 예방적 신속 제어 동작을 계산하는 완전한 스크리닝 워크플로우를 구성했습니다.
검증 및 재현: 저자들은 2000-버스 시스템에서 이베리아 과전압 연쇄 탈락 메커니즘을 재현하였으며, 네 가지 벤치마크 시스템(Kundur, IEEE 39, NPCC, GBnetwork)에 대해 비선형 TDS를 통해 스크리닝 성능을 검증했습니다.

결과

안전 성능: 140개의 검증된 시드 이벤트 전체에 대해, 스크리닝은 **위험한 허위 미탐지(false negatives)를 제로(0)**로 기록했습니다. 모든 위험한 비선형 TDS 케이스는 탈락으로 예측되거나 데이터 제한적(불확칙성으로 인해)으로 분류되었습니다.
보수적인 허위 경보: 스크리닝은 약 18%의 사례(주로 고정 역률 램프 및 발전소 탈락 계열)에서 안전한 이벤트를 위험한 것으로 분류하는 보수적인 허위 경보(false positives)를 생성했습니다. 이는 무시하기보다는 추가 검증을 트리거하기 위한 의도된 결과입니다.
트리아지(Triage) 효율성: 스크리닝은 전체 TDS 스윕보다 2.4배에서 9배 더 빠릅니다. 더 중요한 것은, GBnetwork 벤치마크에서 스크리닝이 후보 라이브러리의 50%만을 비선형 시뮬레이션으로 보냄으로써 위험한 이벤트의 97%를 식별해 냈다는 점입니다. 즉, 트리아지를 가능하게 합니다.
완화: 최적화는 마진을 회복시키는 신속한 무효 전력 동작(예: STATCOM 흡수, IBR을 전압 모드로 전환)을 성공적으로 식별했습니다. 또한 가용 제어 장치가 불충분한 시나리오(최적화의 양의 슬랙 발생)를 정확히 찾아냈습니다.
관측 가능성의 영향: 본 연구는 완전한 보호 측 텔레메트리가 이상적이지만, 탭 비율과 오차 범위를 이용한 **유계 재구성(bounded reconstruction)**을 통해 "데이터 제한적" 판정을 결정론적 안전 인증으로 전환하는 것이 가능하다는 것을 입증했습니다.

의의 및 주장
본 논문은 이베리아 블랙아웃이 '블랙 스완(Black Swan)'이 아니라, 구조적 약점(낮은 마진, 고정 역률 운전, 보호 설정 불일치)이 식별 가능했던 '그레이 라이노(Gray Rhino)'(예견 가능한 고확률 위협)였다고 주장합니다.

본 연구의 의의는 이러한 정적 약점을 동적이고 운영 가능한 스크리닝 능력으로 전환했다는 데 있습니다. 저자들은 송전측 전압 제한이 필요하긴 하지만 충분하지 않다고 주장합니다. 이 메커니즘에 대한 안전을 확보하려면 보호 측 마진, 해당 마진에 대한 이벤트의 영향, 그리고 유한 윈도우 제어 응답을 동시에 평가해야 합니다.

이 프레임워크는 운영자가 다음을 수행할 수 있는 실질적인 도구를 제공합니다:

시스템이 보호 취약 상태에 접근하고 있는지 감지.
운영자의 조치(예: 스위칭, 램핑)가 연쇄 탈락을 유발할 위험도를 기준으로 순위 결정.
탈락이 발생하기 전, 구체적이고 신속한 무효 전력 완화 조치 계산.
"안전", "위험", "데이터 제한적" 상태를 구분하여 불확실성을 관리함으로써, 데이터 누락이 잘못된 확신으로 이어지지 않도록 보장.

저자들은 구체적인 이베리아 궤적은 복잡했을지라도, 근본적인 취약성 클래스는 일반적이며 제안된 보호 인지형 동적 평가를 통해 스크리닝 및 완화될 수 있다고 결론짓습니다.