체르노빌 비상정지 버튼, 누르고 3초 뒤 출력이 오히려 올랐다 — 양성 스크램

비상정지 버튼(AZ-5)을 눌렀다, 3초 뒤 무슨 일이 있었나

엘리베이터를 타면 문 옆 조작판에 빨간 버튼이 하나 붙어 있다. 무엇을 하는 버튼인지는 설명을 읽지 않아도 안다 — 누르면 멈춘다. 그리고 그렇게 아는 데에는 조건이 붙지 않는다. 기계가 무엇을 하던 중이었든 상관없이 멈추라는 명령 하나만 남는 것, 그게 비상정지 장치를 다른 스위치와 구별해 주는 성질이다.

체르노빌 원자력발전소 4호기 제어실에서 그 버튼이 눌린 것은 1986년 4월 26일 새벽 1시 23분 40초였다. 흔히 AZ-5 로 불리는 버튼인데, 뒤에 볼 1992년 보고서는 EPS-5 로 적는다. 원자로를 급히 세우는 비상정지 계통을 작동시키는 스위치다. 3초 뒤인 01:23:43, 원자로 출력은 530 MW(th)를 넘어서고 있었다. 그날 시험을 돌리던 출력은 200 MW(th)였다 — 괄호 안의 th 는 열출력이라는 뜻이다.

그날 시험은 터빈발전기가 멈추는 동안 남은 회전으로 발전소 자체 설비에 전력을 얼마나 댈 수 있는지 보는 것이었다. 이 초 단위 기록은 그 시험의 시각표에 남은 것이다. 국제원자력기구(IAEA)의 국제원자력안전자문단이 1992년에 낸 보고서 INSAG-7 이 그 표를 실었고, 이 글은 그 본문과 두 부속서를 근거로 삼는다.

답부터 말하면 이렇다. 원자로 안에서 연료가 들어 있고 핵반응이 실제로 일어나는 높이 7 m 구간을 노심이라고 부른다. 그 핵반응을 이어 가는 것은 중성자라는 입자이고, 이것을 잘 흡수하는 물질을 노심에 밀어 넣으면 반응이 준다. 그 일을 하는 긴 막대가 제어봉이다. 소련이 만든 흑연 감속 원자로 RBMK 의 제어봉은 대부분 그 흡수체 아래에 흑연 막대(원문 displacer)를 하나 더 달고 있었다. 봉이 내려오는 처음 몇 초 동안, 노심 아래쪽에서는 물이 그 흑연 막대로 바뀌었다.

물은 중성자를 제법 흡수한다. 흑연은 물만큼 흡수하지 못한다. 그래서 위쪽에서 흡수체가 노심으로 들어오는 동안, 아래쪽에서는 반대 방향의 일이 벌어졌다 — 반응을 누르고 있던 물이 덜 누르는 물질로 갈리면서 그 자리의 반응이 세진 것이다. INSAG-7 은 이 효과를 positive scram 이라고 부른다. 한국어 통용 역어는 확인되지 않아, 이 글에서는 양성 스크램으로 옮긴다.

그러면 물어야 할 것은 누가 잘못 눌렀느냐가 아니다. 비상정지 장치가 듣느냐 마느냐는 그날 원자로가 놓인 상태에 달려 있었다. 그리고 그 상태를 알려 주는 숫자는 정작 제어반 계기에 없었다.

제어봉은 왜 이런 모양인가 — 흡수체 아래에 흑연을 단 이유

그 상태가 왜 그렇게 중요한지는 봉의 생김새에서 시작한다. RBMK 제어봉은 흡수체 하나로 끝나지 않는다 — INSAG-7 본문은 흡수체의 양 끝에 흑연 막대가 붙어 있다고 적고, 이 글에서 볼 것은 그중 아래쪽이다. 흡수체와 그 흑연 막대는 맞붙어 있지 않다. 둘 사이에는 물로 찬 구간이 있고, INSAG-7 본문은 그 길이를 1.25 m 라고 적는다. 봉이 움직이면 그 물 구간도 함께 내려간다.

봉마다 생김새가 조금씩 달랐다. 자동 제어에 쓰는 봉 열두 개에는 흑연 막대가 달려 있지 않았고, 아래에서 노심으로 들어오는 단축 흡수봉도 따로 있었다. 이 글이 보는 것은 흑연 막대가 달린 봉들이다.

봉을 끝까지 뽑아 올리면 이 조립품은 노심 안에 이렇게 앉는다. INSAG-7 본문 그림 1 의 치수로 보면 길이 4.5 m 의 흑연 막대가 높이 7 m 노심의 한가운데에 놓이고, 그 위와 아래에 물기둥이 1.25 m 씩 남는다. 흡수체는 노심 위로 완전히 빠져나와 그 아래 끝이 노심 상단보다 0.20 m 높은 곳에 걸려 있다.

여기서 낱말 하나를 정해 둔다. 핵반응이 불어나는 쪽인지 잦아드는 쪽인지를 나타내는 값이 반응도다. 더하면 출력이 오르고, 빼면 내린다. 흡수체를 노심에 넣는 일은 반응도를 빼는 일이고, 흡수하는 물을 덜 흡수하는 흑연으로 바꾸는 일은 반응도를 더하는 일이다. 양성 스크램이 바로 그 더하는 쪽이다. 스크램은 원자로를 급히 세우는 비상정지를 뜻하고, 양성은 그 순간 반응도가 더해진다는 뜻이다.

왜 흑연을 매달았을까? 봉을 뽑으면 그 자리가 비고, 원자로 안이니 그 빈자리에는 냉각수가 찬다. 그런데 물은 중성자를 흡수하므로, 물이 찬 채로 두면 나중에 봉을 다시 넣을 때 얻는 효과가 그만큼 줄어든다. 물보다 중성자를 덜 흡수하는 흑연으로 그 자리를 미리 채워 두면 봉의 힘이 오히려 커진다. INSAG-7 본문은 이 설계 의도를 봉의 반응도 값을 키운다(augmenting the reactivity worth)고 적는다.

그러니 흑연 막대는 안전을 깎으려고 붙인 부품이 아니었다. 정지 장치를 더 세게 만들려고 붙인 부품이었다. 다만 봉이 실제로 움직이기 시작하면, 같은 부품이 잠깐 반대 방향으로 일한다. 자전거를 왼쪽으로 돌리려면 핸들을 오른쪽으로 먼저 꺾어야 한다. 먼저 반대로 가는 이런 응답을 카운터스티어 편에서 다뤘다.

제어봉이 내려올 때 벌어지는 일 — 물이 흑연으로 바뀐다

정지 신호가 떨어지면 봉은 위에서부터 내려온다. 이때 노심을 세로로 훑어보면 서로 다른 두 가지 일이 동시에 일어난다. 위쪽에서는 흡수체가 노심으로 들어온다. 아래쪽에서는 흑연 막대가 내려가면서 그 아래에 있던 물을 밀어낸다.

그림 1 의 프레임을 하나씩 읽어 보자. 버튼을 누른 순간에는 흡수체가 아직 노심 밖에 있고, 노심 안은 위아래 물 1.25 m 씩과 그 사이 흑연 4.5 m 로 차 있다. 1초 뒤에는 흡수체가 겨우 0.20 m 들어왔는데 아래쪽 물기둥은 이미 1.25 m 에서 0.85 m 로 줄어 있다. 3초 뒤에는 흡수체 1.00 m 가 들어와 있고, 아래쪽 물은 0.05 m 만 남는다.

9초 뒤 프레임까지 가도 노심 안에 들어와 있는 흡수체는 3.40 m 로, 노심의 절반을 채우지 못한다. 반면 아래쪽 물기둥은 3초를 조금 넘긴 시점에 이미 다 없어져 있다. 위쪽에서 벌어지는 일은 18초에 걸쳐 천천히 끝나고, 아래쪽에서 벌어지는 일은 처음 몇 초에 몰려서 끝나는 것이다.

같은 하강 하나가 위에서는 "흡수체가 들어온다"로 읽히고 아래에서는 "물이 사라진다"로 읽힌다. 어느 쪽이 이기는지는 봉의 생김새만으로 정해지지 않는다. 핵반응이 노심 안에 어떻게 퍼져 있느냐에 달렸다 — INSAG-7 본문도 이 효과의 크기가 출력 밀도의 공간 분포와 원자로의 운전 상태에 달렸다고 적는다.

그래서 이 장치는 언제나 같은 방향으로 듣는 장치가 아니었다. 원문이 적어 둔 것을 둘로 간추릴 수 있다. 하나는 봉이 끝까지 뽑힌 자리에서 내려오는 것이고, 다른 하나는 노심의 출력이 위아래 두 봉우리로 갈라져 위쪽 절반과 아래쪽 절반이 거의 따로 도는 것이다. 사고 직전의 4호기가 그 두 조건을 한꺼번에 채우고 있었다.

3초 동안의 산수

봉이 얼마나 빨리 내려오는지는 원문에 적혀 있다. 비상정지 신호가 걸리면 0.4 m/s 로 내려가고, 상한 위치에서 출발해 노심을 다 통과하는 데 18초가 걸린다. 채널(봉이 오르내리는 관)이 좁아 봉이 헤치고 내려가야 하는 냉각수가 완충기처럼 봉을 늦췄다는 것이 INSAG-7 본문의 설명이다.

이 속도가 있으면 아래쪽 물기둥이 언제 다 밀려나는지는 나눗셈 하나다. 물기둥 1.25 m 를 0.4 m/s 로 나누면 된다.

원문이 적은 전삽입 18초도 같은 나눗셈 근처에 있다. 노심 높이 7 m 를 같은 속도로 나누면 이렇다.

17.5초는 노심 7 m 만 센 값이고, 출발점이 노심 위 0.20 m 라는 것까지 세면 원문의 18초에 닿는다. 등속 가정이 크게 틀리지 않았다는 뜻이다. 같은 가정으로 식 1 와 식 2 이 쓴 값들을 한 번에 뽑으면 이렇다.

# 가정: 제어봉이 상한 위치에서 0.4 m/s 로 등속 하강한다.
# 치수·속도는 전부 INSAG-7 (본문 §2.3·그림 1, 부속서 II p.103).
from fractions import Fraction as F

speed = F(2, 5)            # 0.4 m/s
core = F(7)                # 노심 높이 7 m
gap_above = F(1, 5)        # 흡수체 하단이 노심 상단 위 0.20 m
bottom_water = F(5, 4)     # 하부 물기둥 1.25 m

t_water = bottom_water / speed
t_full = core / speed
travel_3s = speed * 3
travel_9s = speed * 9

print(f"하부 물기둥이 다 바뀌는 시각 : {float(t_water):.3f} s")
print(f"3 s 뒤 이동 거리            : {float(travel_3s):.2f} m")
print(f"  그때 노심 안 흡수체       : {float(travel_3s - gap_above):.2f} m")
print(f"  남은 하부 물기둥          : {float(bottom_water - travel_3s):.2f} m")
print(f"9 s 뒤 이동 거리            : {float(travel_9s):.2f} m = 노심의 {float(travel_9s / core) * 100:.1f} %")
print(f"7 m 를 다 내려가는 시간     : {float(t_full):.1f} s")

하부 물기둥이 다 바뀌는 시각 : 3.125 s
3 s 뒤 이동 거리            : 1.20 m
  그때 노심 안 흡수체       : 1.00 m
  남은 하부 물기둥          : 0.05 m
9 s 뒤 이동 거리            : 3.60 m = 노심의 51.4 %
7 m 를 다 내려가는 시간     : 17.5 s

마지막 계측 기록이 남은 01:23:49 는 버튼 9초 뒤다. 그때까지 봉이 내려간 거리가 3.60 m, 노심 높이의 51.4 %다. 다만 9초는 계측 기록이 끊긴 시각이지 봉이 멈춘 시각이 아니다. 원문은 봉이 끝내 "절반쯤 내려간" 곳에서 멈췄다고만 적고 몇 초에 멈췄는지는 적지 않으니, 우리 값은 그 서술과 어긋나지 않는다는 정도로 읽으면 된다. 그림 2 에 함께 그린 붉은 점선은 사고 뒤 개조된 봉의 하강이다.

여기서 조심할 것이 있다. 식 1 의 3.125초와 기록에 남은 "버튼 3초 뒤"가 가깝다는 것은 우리가 한 산수의 관찰이지, 원문이 그 둘을 인과로 이어 놓은 것이 아니다. 오히려 원문은 다른 이야기를 함께 적는다. 출력 기록계에는 "작은 감소 뒤 증가"가 찍혔고, 부속서 II 의 세 계산 모형은 모두 첫 1초 동안 반응도가 내려간 다음에 오른다고 한다.

이상할 것은 없다. 위에서는 흡수체가 들어오고 아래에서는 물이 빠지는 두 일이 동시에 벌어지니, 처음에는 위쪽이 이긴다. 사고 직전 노심의 출력 분포는 위아래로 봉우리가 둘인 모양이었고 그중 위 봉우리가 컸다. 출력이 아래로 옮겨 간 것은 봉이 들어간 뒤의 결과다. 그러니 정확한 문장은 "누르자마자 올랐다"가 아니라 "잠깐 내려갔다가, 아래쪽이 이기면서 올랐다"이다.

사고 2년 반 전에 이미 알려져 있었다

이 결함이 사고로 처음 드러난 것은 아니다. 부속서 I 은 발견 시점을 1983년 11~12월로 적는다. 리투아니아의 이그날리나 1호기와 체르노빌 4호기의 시운전 과정에서 실험으로 확인됐고, 원문의 표현으로는 사고보다 거의 2년 반 앞선 때였다.

그림 3 에서 강조된 칸이 그 2년 반이다. RBMK 설계 책임자는 이 사실을 다른 RBMK 발전소들에 알렸고, 문제를 고칠 설계 변경을 하겠다고 말했다. 변경은 없었다. 운전 지침서에 넣으라고 스스로 권고한 절차 조치도 채택되지 않았다는 것이 INSAG-7 본문의 문장이다.

무엇을 할 수 있었는지도 문서에 남아 있다. 시운전을 맡은 위원회들은 그 자리에서 조치를 제안했다. 설계 기관이 내놓은 기술적 조치에는 이런 것들이 있었다 — 짧은 흡수봉의 수를 늘리는 것, 흡수체와 흑연 막대를 잇는 구간을 길게 하는 것, 아예 흑연 막대 없는 초기 설계안으로 돌아가는 것. 사고 전에 시행된 것은 하나도 없다. 과학 책임자 쪽이 남긴 경고는 더 구체적이었다. 원자로 출력이 절반으로 내려가면 남아 있는 반응도 여유가 줄고 노심 위아래의 출력 모양이 일그러지는데, 그 상태에서 비상정지 계통이 작동하면 양의 반응도가 들어올 수 있다는 것이었다.

왜 그랬을까? 보고서는 그 자리에 한 문장을 남긴다.

효과 자체를 소련 전문가들이 처음 인정한 것은 1987년 빈에서 열린 원자력 성능·안전 회의에서였고, 그것이 사고 판정에 반영된 문서가 1992년의 INSAG-7 이다. 발견에서 사고까지의 2년 반 동안 봉의 설계는 그대로였다. 알려졌다는 것과 그것이 절차서와 계기판에 닿았다는 것은 서로 다른 일이다. 이 연표에서 아무 일도 일어나지 않은 칸이 사고 바로 앞 칸이다.

ORM — 운전원이 다른 용도로 알던 숫자

노심 아래쪽에 반응도가 더해지느냐 마느냐는 봉이 얼마나 뽑혀 있느냐에 달려 있다. 그 상태를 하나의 숫자로 요약하는 값이 있었다. 모든 제어봉과 안전봉(비상정지에 쓰는 봉)을 다 뽑으면 생길 여분의 반응도를, 표준 봉 하나가 감당하는 반응도의 몇 배인지로 센 값이다. 운전 반응도 여유(operating reactivity margin), 줄여서 ORM 이라고 한다.

그런데 이 숫자는 제어반의 계기에 떠 있지 않았다. 전용 데이터 계통이 모든 측정값을 한 바퀴 돌아 ORM 을 계산하는 데 10~15분이 걸렸고, 그 계산 장비는 제어반에서 50 m 쯤 떨어진 곳에 있었다. 비상정지 계통이 이 값을 읽어 스스로 동작하도록 물려 있지도 않았다.

사고 당시의 값은 사고가 끝난 뒤에 계산됐다. 부속서 I 은 01:22:30 시점의 자기테이프를 사후에 돌려 얻은 값이 수동 제어봉 8개에 해당한다고 적는다. 부속서 II 는 사고 직전에 그 값이 6~8개를 넘지 않는 데까지 떨어져 있었다고 적는다. 제어실에서는 그때 이 값을 알지 못했다.

더 중요한 것은 운전원이 이 숫자를 무엇으로 알고 있었느냐다. INSAG-7 은 운전원들이 ORM 하한을 노심의 출력 분포를 제어하는 데 필요한 값으로 여기는 데 익숙했고, 그 값이 안전상의 의미를 갖는다는 것은 알지 못했다고 적는다.

이 숫자가 왜 정지 장치와 이어지는지는 INSAG-7 본문 §4.2 가 한 문장으로 적어 둔다. 봉 무리가 출력 급등을 막는 데 기여하려면, 정지 신호 뒤 봉이 노심에 처음 들어가는 그 구간에서 이미 반응도를 뚜렷이 줄이기 시작해야 한다. 봉 끝이 노심 가장자리에 걸려 있으면 처음 들어가는 구간이 그 일을 하지 못한다.

부속서 I 은 더 나아간다. ORM 값이 출력 분포를 제어하는 능력도 좌우했지만, 그보다 먼저 비상정지 계통이 제 기능을 하는지를 좌우했다고 적는다. 그런데 그 점은 1986년 전까지 운전 절차서에 반영되지도, RBMK 발전소 사람들에게 설명되지도 않았다.

그러니 안전을 결정하는 숫자가 안전장치를 다루는 사람의 손에 없었던 셈이다. 숫자도 있었고 규정도 있었다. 다만 그 규정이 무엇을 지키는 규정인지가 어디에도 적혀 있지 않았다.

무엇이 확정이고 무엇이 아닌가 — 두 문서의 판정 수위가 다르다

여기서부터는 문서마다 수위가 다르다. 같은 사건을 INSAG-7 본문과 부속서 I 이 서로 다른 강도로 적었고, 그 차이를 뭉개면 안 된다. INSAG-7 본문의 결론 절에서 넷째 항은 모른다는 말로 시작한다.

그 항은 원자로를 파괴한 출력 급등을 무엇이 시작했는지 확실히는 모른다(not known for certain)고 적는다. 그러고는 곧이어 봉 쪽을 가리킨다. 시험 동안 완전히 뽑혀 있던 제어봉과 안전봉이 삽입되며 더해진 반응도가 아마 결정적인 기여 요인이었을 것(was probably a decisive contributory factor)이라는 것이다.

부속서 I 은 다르다. 소련의 산업·원자력 안전 감독 국가위원회가 요청해 꾸린 조사위원회가 쓴 문서다. 이 문서는 사고를 개시한 사건이 그 버튼을 누른 것이었다고 단정한다. 다만 원자로가 낮은 출력에서 허용치보다 많은 수동 제어봉을 뽑아 둔 채로 돌고 있을 때 눌렀다는 조건을 함께 단다. 1992년 보고서는 두 판정을 나란히 실었고, 어느 한쪽으로 정리하지 않았다.

계산 쪽 사정도 깔끔하지 않다. 부속서 II 는 세 계산 모형이 내놓은 출력 급등 배수를 나란히 싣는데, 원문 자신이 그 값들을 놀랄 만큼 다르다고 적는다.

그림 4 의 막대 길이보다 눈여겨볼 것이 원문의 바로 다음 문장에 있다. 부속서 II 의 세 모형 중 어느 것도, 버튼 3초 뒤에 출력과 출력 증가율의 비상 설정치를 넘었다는 신호가 나온 그 사실을 재현하지 못한다. 계산끼리도 다르고 기록과도 맞지 않는다. 확정되지 않았다는 말은 이런 상태를 가리킨다.

1992년 보고서가 한 일은 증거의 무게를 설계 쪽으로 옮긴 것이다. 판정을 뒤집은 것이 아니다. 무게가 옮겨 간 것과 사실이 확정된 것은 서로 다르다.

고친 목록이 곧 결함 목록이다

그 이동이 무슨 뜻인지는 사고 뒤에 고친 목록이 보여 준다. 무엇이 적용됐는지는 INSAG-7 부록과 부속서 II 가 나누어 적는다. 봉의 전삽입 시간이 18초에서 12초로 줄었다. 봉 24개를 더 단 고속 비상정지 계통이 들어가, 필요할 때 2.5초 안에 충분한 음의 반응도를 넣도록 했다.

제어봉은 아래쪽에 물기둥을 남기지 않고 흡수 구간이 더 긴 새 설계로 교체됐다. 노심에는 고정 흡수체가 추가됐는데, 부록은 90개까지로, 부속서 II 는 80~90개로 적는다. 연료 농축도는 2.0 %에서 2.4 %로 올라갔다. ORM 하한은 26~30봉에서 43~48봉이 됐다.

INSAG-7 자신은 이 목록을 조심스럽게 적는다. 부록의 문장은 전부 INSAG 가 그렇게 전해 들었다는 형식이고, 직접 확인했다고 쓰지 않는다. 같은 내용을 단정형으로 적는 쪽은 소련 전문가들이 쓴 부속서 II 다.

그래도 목록을 거꾸로 읽으면 무엇이 비어 있었는지가 그대로 보인다. 삽입이 느렸고, 빨리 듣는 계통이 따로 없었고, 봉 아래에 물기둥이 남았고, 뽑아 둘 수 있는 봉의 수가 너무 많았다. 고쳐 놓은 항목 하나하나가 그 전까지는 결함이었다.

이 사고가 목록 바깥에 남긴 것이 하나 더 있다. 안전장치가 듣는 조건이 그날의 운전 상태에 달려 있다면, 그 조건은 운전하는 사람이 볼 수 있는 자리에 있어야 한다. 그 조건을 요약한 숫자는 제어반에서 50 m 떨어진 계산기가 10~15분에 걸쳐 내놓는 값이었다. 정지 장치는 설계된 대로 움직였고, 그것으로는 모자랐다. INSAG-7 본문 §5.1 에 이런 문장이 있다.

"It only matters that such a deficiency existed and that it could have been the cause of the accident."

그런 결함이 있었다는 것, 그리고 그것이 사고의 원인이 될 수 있었다는 것만이 중요하다.

남는 것은 범인이 아니라 점검 목록이다. 안전장치를 달아 두는 일은 그 목록의 첫 줄일 뿐이다.

더 읽기

• IAEA, The Chernobyl Accident: Updating of INSAG-1, Safety Series No. 75-INSAG-7 (1992) — 본문·부속서 I·II 전문(148쪽). https://www-pub.iaea.org/MTCD/publications/PDF/Pub913e_web.pdf
• World Nuclear Association, "RBMK Reactors" — 제어봉 구조와 사고 후 개조의 요약. https://world-nuclear.org/information-library/appendices/rbmk-reactors
• 호롱스, 「왼쪽으로 돌려면 먼저 오른쪽으로 꺾어야 한다 — 카운터스티어를 만드는 우반평면 영점」 — 먼저 반대로 가는 응답을 다룬 형제 글. https://horongs.com/bicycle-countersteering/