Design and Development of an AI-Based Security and Safety System for Hydrogen Explosion Hazard Mitigation in Nuclear Fission Power Plants

기술 요약: 원자력 발전소의 수소 폭발 위험 완화를 위한 AI 기반 보안 및 안전 시스템의 설계 및 개발

1. 문제 정의 및 동기
본 논문은 원자력 발전소(NPP) 내에서 발생하는 가연성 가스 폭발, 특히 수소의 폭연(deflagration) 및 잠재적인 폭연-폭굉 전이(deflagration-to-detonation transition)라는 치명적인 위험을 다룬다. 저자는 해당 위험이 화학적 성격임을 명시한다. 즉, 상업용 핵분열 노심은 무기급 폭발에 필요한 초임계 연쇄 반응을 유지할 수 없으므로, 이는 핵적 에너지 방출이 아닌 화학적 폭발이다. 수소의 주요 발생원은 다음과 같이 식별된다:

• 정상 운전: 배터리 가스 방출, 냉각재 방사선 분해(radiolysis), 발전기 수소 냉각 계통 누설.
• 중대 사고: 연료 피복재의 고온 지르코늄-증기 산화(예: 후쿠시마 다이이치에서 관찰된 사례)를 통한 급격한 수소 생성.

현재의 보호 전략은 고정 임계값 기반의 계측기와 운영자의 대응에 의존하고 있다. 저자는 이러한 방식이 중대 사고 시 나타나는 수소 농도의 거의 지수적인 증가 속도에 대응하기에는 너무 느린 경우가 많다고 주장한다. 또한, 계측 제어(I&C) 시스템의 디지털화가 가속화됨에 따라, 센서를 속이거나 인터록(interlock)을 무력화할 수 있는 사이버 물리적 공격의 영역인 사이버 보안 위협이 도입되고 있다. 조기 경보 AI 탐지, 확률적 위험 추정, 그리고 사이버 보안 보호를 하나의 통합된 설계된 안전 시스템으로 결합하는 통합 아키텍처가 부재한 실정이다.

2. 제안된 방법론: AI-S3 아키텍처
본 논문은 IEEE Std 384의 독립성 및 중복성 기준을 충족하면서 현대적인 AI 기술을 통합하도록 설계된 5계층 아키텍처인 **AI 기반 보안 및 안전 시스템(AI-S3)**을 제안한다.

• 제1계층 (현장 센싱): 수소, 산소, 온도 및 압력을 감지하기 위해 다양한 중복 센서(촉매식, 적외선식, 음향식, 열식)를 활용한다.
• 제2계층 (에지 데이터 취득): 신호 컨디셔닝, 시간 동기화 및 로컬 버퍼링을 처리하여 네트워크 경로가 실패하더라도 이벤트 전 데이터를 보존한다.
• 제3계층 (AI 분석 코어): 세 가지 하위 모델을 포함하는 중앙 지능 계층이다.
  • 이상 탐지(Anomaly Detection): 시계열 센서 데이터를 분석하기 위해 LSTM(Long Short-Term Memory) 네트워크와 오토인코더(autoencoder)를 사용한다. 이는 고정 임계값을 넘기 전, 이상 징식(anomalous rates of rise)을 나타내는 편차(재구성 오차)를 식별하여 예상 센서 값을 예측한다.
  • 예측 위험 엔진(Predictive Risk Engine): 베이지안 신념 네트워크(Bayesian belief networks)를 사용하여 실시간 센서 증거와 이상 점수를 바탕으로 폭발 이벤트의 사후 확률을 지속적으로 업데이트한다.
  • 사이버 보안 침입 탐지(Cybersecurity Intrusion Detection): 지도 학습 기반 머신러닝을 사용하여 ICS/SCADA 네트워크 트래픽의 이상 징후를 분류하며, 탐지된 침입을 직접적인 작동 트리거가 아닌, 영향을 받은 센서 데이터의 신뢰도를 낮추는 근거로 취급한다.
• 제4계층 (의사결정 및 중재): 모든 AI 출력을 제어하는 결정론적 규칙 기반 계층이다. AI가 생성한 경보는 권고(advisory) 입력으로 취급된다. 자동 완화 명령은 AI의 신뢰도가 독립적인 하드와이어드(hard-wired) 인터록 로직과 일치할 때만 발행된다. 이러한 분리는 안전 기능이 결정론적이고 검사 가능함을 보장한다.
• 제5계층 (작동): 환기 제어, 수동 자가 촉매 복구기(PAR) 활성화, 점화기 작동 및 설계된 벤트(venting) 실행과 같은 확정된 명령을 수행한다.

수학적 기초
시스템은 다음과 같은 특정 물리 및 통계 모델에 의해 뒷받침된다:

• 수소 역학: 집중 매개변수 질량 수지 방정식과 대류-확산-반응 방정식을 통해 수소 생성률($G$), 환기량($Q$), 복구기 반응 속도($R_{PAR}$)에 따른 농도 변화($C_{H2}$)를 시뮬레이션한다.
• 복구기 반응 속도론: 수소 소비율을 예측하기 위해 아레니우스(Arrhenius) 온도 의존성을 사용하여 모델링한다.
• 이상 점수(Anomaly Scoring): LSTM 재구성 오차의 이동 평균 및 표준 편차를 기반으로 적응형 임계값($\theta$)을 계산함으로써, 다양한 기저 상태(예: 느린 배터리 가스 방출 vs 급격한 중대 사고 과도 상태)에 대한 민감도를 확보한다.
• 위험 정량화: 결함 수형도(fault-tree analysis)를 사용하여 기존 고정 임계값 시스템 대비 AI-S3 시스템의 최상위 이벤트 발생 확률을 비교함으로써 위험 감소 계수(RRF)를 산출한다.

3. 주요 기여
본 논문은 다음과 같은 구체적인 기여를 주장한다:

• 정밀한 위험 정의: 적용 가능한 물리학 및 완화 기술을 확립하기 위해 화학적 수소 폭발 위험을 핵적 에너지 방출과 명확히 구분하였다.
• 수학적 모델링: AI 기반 이상 탐지에 적합한 수소 생성, 수송 및 촉매 복구 모델을 개발하였다.
• 통합 아키텍처: IEEE Std 384 및 IEC 62443을 준수하면서 이상 탐지, 확률적 위험 추정 및 사이버 보안 침입 탐지를 하나의 프레임워크로 통합하는 새로운 시스템 설계를 제시하였다.
• 안전 게이트 설계: 모든 학습된(AI) 구성 요소를 권고 계층으로 한정하여, 안전에 직결된 작동 로직이 결정론적 제어 하에 있도록 함으로써 AI의 "자격 검증 격차(qualification gap)" 문제를 해결하였다.

4. 평가 및 결과
실제 운영 시설에 프로토타입을 배치하지 않았으므로, 본 논문은 시뮬레이션 및 가상의 데이터를 기반으로 한 예시적 평가를 제시한다.

• 성능: 시뮬레이션 결과, AI-S3는 고정 임계값 계측기보다 훨씬 빠르게 이상 수소 축적 및 네트워크 동작을 식별할 수 있음을 보여준다.
• 응답 여유(Response Margin): 시스템은 AI 조기 경보 레벨이 고정 하드 알람 설정값을 통과하는 시점 사이의 시간 차이인 "응답 시간 여유"($\Delta t$)를 정량화하여 제공한다. 이 여유 시간은 운영자가 완화 조치를 시작할 수 있는 시간을 벌어준다.
• 사이버 회복력: 모델은 사이버 침입을 탐지하고 베이지안 위험 업데이트에서 센서 증거의 가중치를 조정하는 능력을 입증하여, 조작된 데이터가 원치 않는 발전소 반응을 유발하는 것을 방지한다.

5. 의의 및 한계
본 논문은 AI-S3를 기존의 방어 심층 구조(예: PAR 및 위험 구역 전기 분류)를 대체하는 것이 아니라 보완하는 개념적 프레임워크로 포지셔닝한다.

• 의의: 주요 가치는 AI를 조기 경보 및 위험 추정을 위해 통합하면서도, 안전 무결성을 유지하기 위해 작동 로직을 AI로부터 엄격히 격리하는 아키텍처 제안에 있다. 이 접근 방식은 운영자의 응답 여유를 연장하고 사이버 물리적 공격으로부터 안전 시스템을 보호하는 것을 목표로 한다.
• 겸허한 결론 및 향후 과제: 저자는 결과가 예시적이며 실제 발전소 배치를 위해 검증되지 않았음을 명시적으로 밝힌다. 저자는 "자격 검증 격차"를 지적하며, IEC 61508/61513에 따른 공식적인 검증, 타당성 확인 및 안전 무결성 레벨(SIL) 인증이 향후 필수 단계임을 언급한다. 결론적으로, 시스템 배포 전 실제 발전소 시뮬레이터 데이터 학습, 공식적인 사이버 보안 침투 테스트, 그리고 발전소별 확률론적 위험 평가(PRA)와의 통합이 필요하다고 강조한다.