오세백의 "다시 쓰는 현대공학 참사 보고서"

첨단 공학으로 개발한 시스템은 완벽하게 보이기도 하지만, 작은 설계 결함이나 사람의 실수로 큰 피해를 일으키기도 한다. 시스템에 대한 지나친 신뢰와 자만은 경계해야 한다. 대형사고로 이어진 공학시스템의 실패 사례를 들여다보며 ‘사람의 중요성’을 되새긴다.

[연재] '닫혀야할 자동밸브가..' 멜트다운 치달은 고장·실수

(2) 1979년 스리마일섬 원전 방사능 누출사고





1979년 3월 28일 미국 펜실베니아 주의 주도(州都)인 해리스버그(Harrisburg)에 있는 작은 라디오 방송국의 교통 리포터가 경찰차와 소방차가 원자력발전소가 있던 스리마일섬으로 출동하는 것을 목격했다. 이어 원자력발전소 냉각탑에서 평시에는 보이던 하얀 연기가 나지 않는 것을 목격하고는, 방송국 국장이었던 마이크 핀텍(Mike Pintek)에게 이 사실을 알렸다. 핀텍은 원전으로 전화를 걸었는데 공교롭게도 전화는 원전 제어실의 어떤 남자에 연결되었다. “여기에 문제가 생겨서 지금은 통화할 수 없어요. 레딩(Reading)에 있는 본사에 전화하세요.” 핀텍은 원전을 운영하는 전력회사에 전화를 걸어 상황을 확인하고 오전 8시25분에 방송을 한다. 원전에서 사고가 발생한지 4시간 반 만에 스리마일섬 원전 사고는 세상에 이렇게 알려진다.

 

00TMI1스리마일섬 원전의 2010년 6월의 모습. 사고가 난 2호기는 폐쇄되었지만 1호기는 냉각탑에서 하얀 연기가 나는 것에서 볼 수 있듯이 아직도 가동 중이다. 출처/wikipedia

 

지난해 일본 후쿠시마 원전 방사능 누출 사고로 인해 원자력 발전의 안정성에 대한 사회적 관심이 다시 높아졌다. 1954년 상용 원자력 발전이 시작된 이후 원전의 경제성과 안정성에 대해 사회적으로 많은 논란이 있어 왔다. 원자력발전소에서는 크고 작은 사고가 지속적으로 발생해왔는데, 1979년에 발생한 스리마일섬(Three Mile Island; TMI) 원전 사고(이하 ‘TMI 원전 사고’)는 미국에서 발생한 최악의 원전 사고로서 원자력 발전의 안전성에 대해 큰 경각심을 불러왔다. 원자력 발전을 이용하는 대부분의 국가에서, 원전은 에너지 정책이나 핵무기 개발과 관련되어 있기 때문에, 각국 정부는 국민에게 원자력 발전이 굉장히 안전하다는 이미지를 심어줄 필요가 있었고, 많은 경우에 사고가 축소·은폐되어 왔다. 특히 옛소련에서는 정부가 언론을 장악하면서 대부분의 사고가 국민에게 알려지지 않았고, 사고 처리도 제대로 이루어지지 않았다.

 

TMI 원전 사고는 여러 안전장치가 겹겹히 설치되었는데도 예상치 않은 시나리오에 의해 사고가 발생할 수 있고 방사능이 원전 외부로 유출될 수 있다는 것을 확인시켜 주었다. 이후 미국에서는 원자력 발전에 대한 반대 여론이 급격히 높아졌으며, 미국 정부는 원자력 발전에 관련된 여러 규제를 강화하며 그에 따라 새로운 원전 건설이 전면 중단되기에 이르렀다.(TMI 원전 사고 이후에는 새로운 원전이 건설되지 않았고, 올해가 되어서야 조지아 주의 보그틀(Vogtle)발전소에 2개의 원자로를 새로 짓는 것이 승인되었다.)

 

TMI 원전 사고는 작은 기계 고장으로 시작되었는데, 사람들의 실수가 동반되면서 큰 사고로 발전했다. 공학 참사를 소개할 때 빠질 수 없는 사례로서, 시스템뿐 아니라 사람에 의한 영향이 얼마나 큰지를 여실히 보여준 경우이다. 사고의 기술적인 면에서는 최악의 방사능 누출 사고로 일컬어지는 체르노빌 사고의 전조의 성격을 띠고 있다. 사고 당시 원전의 정확한 상태 파악이 이루어지지 않았고, 원전을 운영하는 전력회사, 관리·감독기관(원자력규제위원회; Nuclear Regulatory Council; NRC), 인근 지자체 정부 간의 원활한 의사소통이 이루어지지 않는 가운데 정확하지 않은 정보가 보도 매체를 통해 알려지면서 큰 혼란을 초래하였다. 이 글에서는 TMI 원전 사고가 일어난 배경과 과정, 그 이후 처리에 대해 소개한다.

 

 

어머니의 새 압력 밥솥

00dotline

등학교 4학년 쯤 되었을까? 어머니가 새 압력 밥솥을 장만하셨다. 우연인지 필연인지, 새 압력 밥솥으로 첫번째 밥을 하려는 참에 어머니가 갑자기 시장에 다녀오실 일이 생겼고, 내가 밥이 되는 동안 압력 밥솥을 지키고 있는 임무를 맡게 되었다. 압력 밥솥은 밥을 지을 때 물이 끓어서 생긴 증기를 밀폐시켜 압력 밥솥의 내부 압력을 높이는데, 압력이 높아지면 물의 끓는 점도 높아져서 섭씨 100도보다 높은 온도에서 밥을 빨리 지을 수 있게 해 준다. 반대로 높은 산에서는 기압이 낮아 물이 100도보다 낮은 온도에서 끓기 때문에 밥이 설 익는다.

 

아래 그림 1에 나타난 것처럼 압력 밥솥의 뚜껑 부분에는 압력추와 증기 배출구로 이루어진 압력조절 밸브가 달려 있는데, 내부 압력이 일정 이상 높아지면 “딸랑 딸랑” 소리를 내면서 증기를 배출함으로써 내부 압력을 조절한다.

 

00TMI2그림 1. 압력 밥솥은 증기가 새지 않도록 단단히 밀폐하여 밥솥 내부의 압력을 높힌다. 높은 압력에서는 물의 끓는 점도 함께 올라간다. 뚜껑에는 압력이 과도하게 증가하는 것을 막기 위해 배출 밸브와 안전 밸브가 설치되어 있다. 출처/네이버, 네이트

 

어머니는 “한 10분 쯤 있다가 딸랑 딸랑 소리가 나면 한 1~2분 있다가 불을 꺼라”라고 말씀하시고는 시장으로 가셨다. 어린 마음에 압력 밭솥 앞에서“딸랑 딸랑” 소리가 나기를 기다리고 있었는데, 아무리 기다려도 “딸랑 딸랑” 소리가 나지 않는 것이다! (어릴 때는 시간이 참 안 간다.) 혹시 고장이라도 난 건 아닐까 하고 “딸랑이” 부분을 이리 저리 만져 보았는데 아무런 이상이 없었다. 어머니가 집에 돌아오실 때까지도 압력 밥솥에서는 “딸랑 딸랑” 소리가 나지 않았고, 먼가 이상한 것을 눈치채신 어머니가 밥솥을 열어보는 순간 아뿔싸! 밥은 온통 갈색으로 변했고 밥솥 바닥은 새까맣게 타 있었다. 내가 고장이 났는지 확인해 본다고 “딸랑이” 를 만졌을 때 그 딸랑이 밸브가 열린 채로 있으면서 물은 다 끓어서 날라가 버리고 밥은 타버린 것이었다. 새 압력 밥솥으로 처음 밥을 짓는 데 밥솥이 타 버렸으니 어머니의 마음도 새까맣게 탔겠지만 어린 나에게 밥솥을 맡긴 본인의 실수라고 생각하셨는지 크게 혼나지는 않았다.

 

뒤돌아보면 TMI 원전 사고는 이 일화와 매우 유사한 점이 있다. 압력 밥솥의 딸랑이가 열려 있었던 것처럼 원자로를 식혀주는 냉각수 압력을 조절하는 가압기의 증기 배출 밸브가 열려 있었다. 또한 내가 압력 밥솥의 “딸랑이”가 열려 있던 것을 몰랐던 것처럼, TMI 원전 제어실에서도 가압기 증기 배출 밸브가 열려 있던 것을 몰랐다. 결국 압력 밥솥에서 물이 다 끓어서 날아가 버리고 밥과 밥솥이 새까맣게 타버린 것처럼, 원자로에서도 냉각수가 외부로 유출되면서 원자로가 과열되고 이로 인해 핵연료가 녹는 사고(노심용융, Melt down)가 발생했다. 다행히 사고 후 수일에 걸쳐 냉각수를 복구했고, 원자로 압력 용기나 격납 건물은 수소 폭발에도 불구하고 온전하여 대부분의 방사능 물질이 차폐되었지만, 일부 방사능 물질이 원자력 발전소 외부 대기나 강으로 누출되었다.

 

 

스리마일 섬 원전의 구조

00dotline

TMI 원전 사고 이해를 위해 원자력발전소의 구조와 원리에 대해 핵심만 간단히 소개한다. (더 자세한 설명이나 우리나라 원전의 현황은 한국원자력안전기술연구원의 원전안전 운영 정보시스템을 참고. 참고자료실에 여러 형태의 원전에 대한 자세한 설명 뿐 아니라 현재 우리나라에서 가동 중인 원전의 현황과 어떤 종류의 사고들이 있었는지 확인할 수 있다.) 원자력 발전에서는 핵연료(일반적으로 우라늄)를 핵분열 반응을 통해 태워 물을 끓이고 그 증기로 발전기를 돌려 전기를 만들어낸다. 핵분열 반응은 우라늄에 외부 중성자가 흡수되면 우라늄이 더 안정한 다른 원소로 분열되면서 큰 에너지를 방출하고 그 과정에서 여분의 중성자가 생성되는 것을 가리킨다.

 

이 중성자들은 다시 근처의 우라늄에 흡수되면서 연쇄적으로 핵분열 반응을 일으키기 때문에, 짧은 시간에 큰 에너지를 방출할 수 있다. 원자력 발전에서 핵분열 반응을 조절하기 위해 감속재와 제어봉이 주로 사용되는데, 감속재는 핵분열 반응에서 생성된 중성자의 속도를 느리게 하여 핵분열 반응을 증가시키고(중성자가 너무 빠르면 우라늄에 흡수되지 않고 그냥 통과해 버려 핵분열 반응이 연쇄적으로 발생하지 않게 된다), 제어봉은 중성자를 흡수하여 핵분열 반응을 멈추게 한다.

 

TMI 원전은 미국 기업 밥콕앤윌콕스가 개발한 가압경수로(Pressurized Water Reactor: PWR)로서, 경수(중수[2H2O]가 아닌 일반 물)를 감속재로 사용한다. ‘가압’이라는 말은 원자로 내부의 냉각수를 고압으로 유지해 물이 끓지 않도록 한다는 뜻이다 (다른 종류의 원전으로 비등형원자로(Boiling Water Reactor: BWR)가 있는데, 원자로 내부를 순환하는 냉각수를 직접 끓여 증기를 만든다.) TMI 원전의 대략적 구조는 아래의 그림 2와 같은데, 가압경수로인 PWR의 가장 큰 특징은 냉각수 순환이 1차 계통과 2차 계통으로 분리되어 있다는 점이다. 1차 계통 냉각수는 원자로 노심(Reactor core, 그림 2에서 1)에서 핵분열 반응에 의해 가열되어 가압기(Pressurizer, 6)를 거쳐 증기발생기(Steam Generator, 3)에 공급된다. 증기발생기에서는 가열된 1차 계통의 냉각수가 차가운 2차 계통의 냉각수를 가열하여 증기를 만들어내는데, 이 증기가 발전기(Generator, 11)에 연결된 회전날개(Turbine, 10)를 돌려 전기를 만든다.

 

00TMI33

그림 2.  스리마일섬 원전(가압경수로)의 개략적 구조. TMI 원전 사고 당시 가압기의 증기 배출 밸브(PORV, 7)가 열려 있어 사고 발생 2시간이 지나서야 블록 밸브(Block valve, 9)를 이용하여 증기 배출이 차단되었다. 또한 증기발생기(3)에 연결된 비상 냉각수 공급관의 블록 밸브(24)가 닫혀 있었으며, 방사능에 오염된 1차 계통 냉각수가 보조건물(Auxiliary Building)로 유출되어 냉각수에 녹아 있던 방사능 물질이 환기구(22)를 통해 대기로 방출되었다. 출처/IEEE Spectrum 1979 (※ '사진 크게 보기' 기능이 없어 그림 속 숫자들을 식별하는 데 불편이 크기에 위 그림을 둘로 나눈 뒤 확대해 다시 싣습니다.)

00TMI3_100TMI3_2

 

증기발생기에서 냉각된 1차 계통의 냉각수는 냉각수 펌프(Reactor Coolant Pump, 5)에 의해 원자로 노심으로 다시 순환된다. 터빈을 돌리는 데 사용된 2차 계통의 증기는 냉각탑(Cooling Tower, 13)에서 공급되는 외부 냉각수에 의해 응축기(Condenser, 12)에서 다시 물로 변환되고 이온변환기(Demineralizer, 14)에서 불순물이 제거된 뒤에 펌프(Main Feedwater Pump, 23)에 의해 다시 증기발생기로 순환된다. 원자로와 1차 냉각 계통은 격납건물(Reactor Building, Containment)에 설치되고, 증기발생기를 제외한 2차 계통은 터빈 빌딩에 설치된다. 따라서 방사선에 노출되는 1차 계통 냉각수와 발전기를 돌리는 데 사용되는 2차 계통 냉각수가 서로 분리된다.

 

원자로 내부를 순환하는 1차 계통 냉각수가 증기로 변환되면 냉각수 흐름을 방해하고 원자로가 가열되거나, 중성자 흡수가 낮아져 핵분열 반응이 가속될 수 있다. 따라서 높은 온도에서도 물을 액체 상태로 유지하기 위해 가압기(Pressurizer, 6)가 사용된다. 물의 압력이 높아지면 압력 밥솥에서 그런 것처럼, 끓는 점이 올라가기 때문에 높은 온도에서도 물을 액체 상태로 유지할 수 있다. 가압기의 구조도 압력 밥솥과 비슷한데, 내부에는 물과 증기가 함께 섞여 있고 하단에는 가열기, 상단에는 살수 노즐이 있다. 압력을 높힐 때는 가열기를 이용하여 증기를 더 만들어 압력을 높히고, 압력을 낮출 때는 살수 노즐에서 냉각수를 뿌려 증기 일부를 물로 변환(응축)해 압력을 낮춘다.

 

압력이 지나치게 높아지면 압력 밥솥의 “딸랑이”와 같이 가압기 상단의 배출 밸브(Pilot Operated Relief Valve, 7)가 열리면서 증기가 배출되고 압력이 낮아진다. 가압기에서 배출된 증기는 격납건물 내의 증기 배출 탱크(Drain Tank)에 저장된다. 원자로 격납 건물 바닥에는 배수조(sump)가 있으며, 이 배수조가 일정 수위 이상으로 차게 되면 보조건물에 마련된 방사능폐기물 저장탱크(Radiation waste storage tank)로 옮겨진다. 보조건물에는 1차 계통 냉각수 양을 조절하기 위한 냉각수 보충 탱크(Makeup tank, 18)가 있고, 비상시에 고압 주입 펌프(High Pressure Injection Pump, 15)에 의해 냉각수가 원자로에 직접 주입될  있다. 냉각수가 너무 많을 경우에는 배출 라인(Let-down)을 통해 붕산염 물 저장 탱크(Borated Water Storage Tank, 붕산염은 중성자를 흡수하여 핵분열 반응을 느리게 함)에 저장된다. 1차 냉각수에 녹아 있는 방사성 물질(주로 제논[Xe]과 같은 비활성 기체)은 배출가스 압축기(Waste Gas Compressor)에 의해 배출가스 감쇠탱크(Waste gas decay tank, 20)에 저장된다.

 

원자로가 급격히 과열되는 경우 크게 두 가지 긴급 조치가 취해지는데, 첫번째는 원자로 비상정지(SCRAM)라 불리는 방법으로 모든 제어봉을 원자로에 긴급히 삽입하는 것이다. 제어봉은 중성자를 흡수하기 때문에 핵분열이 연쇄적으로 발생하는 것을 차단한다. 두번째 방법은 노심긴급냉각장치(ECCS; Emergency Core Cooling System)라 불리는데, 여러 장치가 복합적으로 사용되지만 TMI 원전에서 사용된 방법은 저장되어 있는 냉각수를 고압 펌프(위 그림 2에서 15)를 이용하여 원자로 내부에 직접 주입하는 것이다. 스리마일 사고에서는 이 두가지 방법이 모두 사용되었지만 (ECCS는 부분적으로 사용됨) 핵연료봉이 녹으면서 방사능 물질이 누출되는 노심 용융이 발생했다.

 

 

아아, 닫혀야 할 자동밸브가 작동하지 않았다!

00dotline

국 펜실베니아 주 스리마일섬에서 전력회사인 메트로폴리탄 에디슨(Met Ed)이 운영하던 원전 2호기에서 1978년 3월 28일 새벽 4시에 사고가 시작되었다. 사고 당시 원자로는 정격 출력의 97%로 운전되고 있었고 2차 계통 냉각수에 사용되던 필터(condensate polisher, 응축기와 냉각수 펌프 사이에 설치되어 물에 녹은 미네랄을 제거하는 필터, 그림 2에서 14)를 청소하고 있었는데, 이 필터에 연결된 펌프가 고장나면서 2차 계통 냉각수 순환이 멈추었다.

 

증기발생기에 2차 계통 냉각수가 공급되지 않으면 원자로에 연결된 1차 계통 냉각수가 충분히 차갑게 되지 않고, 따라서 원자로가 과열되고 1차 계통 냉각수 압력이 올라간다. 그에 따라 가압기에 연결된 배기밸브(Pilot Operated Relief Valve/PORV, 파일럿 작동 배기 밸브. 그림 2에서 7)가 열리면서 여분의 압력을 제거하기 시작했지만 압력은 계속 올라갔다. 사고 발생 8초 후에는 비상정지가 가동하고 모든 제어봉이 즉시 원자로 내부에 삽입되어 핵분열 반응을 정지시켰지만 핵연료가 붕괴하면서 발생하는 잔열이 남아 있었다.

 

이 잔열은 정격 출력의 약 6% 정도로 작지만 노심 용융이 발생할 수 있기 때문에 원자로를 계속해서 냉각해주어야 한다. 비상정지가 가동되고 PORV가 열려 있으면서 1차 냉각 계통의 압력이 떨어지기 시작하는데 사고 발생 13초 후에는 가압기 내 압력이 2205 psi(대기압의 약 150배)까지 떨어졌고, 이 시점에서 가압기의 배출밸브(PORV)가 자동으로 닫혀야 했다.

 

하지만 이 밸브가 닫히지 않았다! 마치 압력 밥솥에서 “딸랑이”가 열린 채로 있었던 상태가 된 것이다. 더 큰 문제는 이 밸브가 열려 있는 상태를 제어실에서 알아차리지 못한 것인데, 원전 제어실 계기판의 신호는 밸브가 열렸는지 닫혔는지를 표시하는 것이 아니라 밸브를 작동시키는 전기 신호의 상태를 표시하는 것이었다. 즉, 밸브를 닫으라는 신호는 보내졌지만 실제로는 밸브가 열려 있었던 것이다. 이것은 설계상의 중요한 하자로서, 이 밸브가 정상적으로 닫혔다면 TMI 원전 사고가 이처럼 커지지 않았을 것이다.

 

사고가 진행되면서 수백 개의 경고등이 켜졌고 중요하지 않은 신호들을 끌 수 없도록 설계되어 원전 제어실에서는 원자로의 정확한 상태를 파악하는 데 큰 어려움을 겪었다. 일부 신호들은 계기판 뒷면에 설치되어 있었고 일부 계기판들은 ‘수리중 표시(tag)’에 가려져 있었다. 계기판은 원전 운전원들이 여러 신호를 한 눈에 파악하기 어렵게 설계되어 있었다 (아래 사진). 사고 당시 교대 감독이었던 윌리엄 지위(William Zewe)는 청문회에서 “계기판 신호들을 다 갖다 버리고 싶었어요. 우리에게 유용한 정보는 하나도 얻을 수 없었습니다”라고 증언하였다. 요즘 사용자 인터페이스 (User Interface; UI)에 대한 관심이 높은데, 원전 제어판은 UI가 전혀 사용자 친화적이지 않았다.

 

사고 발생 14초 후에는 안전장치 중 하나인 비상 펌프가 가동되어 증기발생기에 냉각수 공급을 시작했는데, 하지만 비상 펌프 3개 중에서 2개는 그 역할을 하지 못했다. 그 이유는 이 펌프들에 연결된 블록밸브(그림 2에서 24)가 사고 발생 전 수리 과정에서 닫혔기 때문이다. 제어실에서는 사고 발생 후 8분이 되어서야 밸브가 닫혀 있었다는 것을 확인했다.

 

00TMI4사고가 난 스리마일섬 원전 2호기의 제어실. 출처/케메니 (Kemeny) 보고서, 1979

 

2차 계통에서 1차 계통 냉각수를 충분히 식혀 주지 못하고 가압기를 통해 증기가 배출되면서, 결국 원자로는 계속해서 과열되었다. 사고 발생 1분 45초가 지나자 증기발생기안의 냉각수가 끓기 시작했고 그에 따른 부피 팽창에 의해 가압기 내의 수위가 상승한다. 사고 발생 2분 후, 가압기 내 수위는 계속 상승했는데, 1차 계통 냉각수의 압력이 갑자기 떨어지기 시작했다. 그에 따라 고압으로 물을 주입하는 2개의 펌프가 자동으로 작동하기 시작했다. 이 고압 펌프는 1차 계통 냉각수를 보충해 주는 것으로, 정상 작동하면 1차 계통 냉각수 압력은 증가하고 냉각수 온도는 떨어져야 하지만, PORV가 열려 있었기 때문에 냉각수 압력은 계속 떨어졌다.

 

 

도리어 냉각수 펌프 가동을 중단하는 실수가…

00dotline

충된 냉각수로 인해 가압기 내 수위는 계속 증가했고, 가압기가 완전히 물로 채워지면 원자로 제어가 어려워지는 것을 걱정한 나머지 제어실에서는 이 고압 펌프 가동을 중지시킨다. 이는 TMI 원전 사고가 더 커지는 큰 실수 중의 하나인데, 제어실에서 냉각수 부족을 전혀 눈치채지 못했고, 교육 과정에서 가압기가 완전히 물로 채워지는 상태(going solid)를 피하도록 교육받았기 때문이다.

 

사고 발생 5분이 지나자 과열된 원자로 내부에서 냉각수가 끓기 시작했고 기포가 발생했다. 이로 인해 원자로 안전을 위협하는 여러 가지 현상이 나타났는데, (1)원자로 내부의 물이 끓으면서 발생하는 기포들이 냉각수 흐름을 방해하여 연료봉의 온도가 더욱 높아지게 되었고, (2)기포는 물보다 차지하는 부피가 크기 때문에 가압기 내 수위는 계속 높아져서 원전 제어실에서 냉각수 부족을 의심하지 못했고, (3)열린 상태로 있던 가압기 배출밸브와 냉각수 배출시스템을 통해 냉각수가 계속 유출되어 원자로 내부의 냉각수는 계속 부족해졌고 그에 따라 결국 연료봉이 노출되어 노심 융해가 발생했다. 그리고 (4)가압기 배출밸브를 통해 배출된 1차 냉각수가 배출 탱크 넘어서 격납 건물 배수조로 넘쳐 흐르게 되었다 (그림 2 참조).

 

이 배출된 1차 냉각수는 방사능 물질에 오염되어 있는데, 배출이 계속되자 결국 보조 건물 내의 배수 탱크로 유입된다. 이는 물에 함유된 방사능 물질이 격납 건물 외부로 유출되었음을 의미하고, 결국 방사능 물질은 보조건물 환기구를 통해 대기로 유출되었다. 이 배수 펌프는 새벽 4시 39분이 되어서야 정지되었는데, 이미 8000 갤론(약 3만 리터)의 오염된 냉각수가 보조 건물로 배출된 후였다.

 

사고 발생 1시간 후에는 원자로 1차 냉각 계통에 연결된 4개의 냉각수 펌프들에 기포가 유입되면서 펌프가 심하게 진동하기 시작했다. 결국 제어실에서는 펌프 고장을 방지하기 위해 새벽 5시 14분 펌프 2개를 정지시켰고 5시 27분에는 나머지 2개도 정지시켰다. 결국 부족한 냉각수로 인해 사고 발생 약 2시간 후부터는 원자로 내부의 냉각수 수위가 핵연료 봉 아래로 떨어지게 되고 핵연료봉이 노출되었다.

 

핵연료봉이 노출되면 잔열에 핵연료봉을 감싸고 있던 지르코늄 합금이 공기와 반응하여 수소가 발생되고, 이어 핵연료가 녹으면서 방사능 물질이 대량으로 발생하기 시작했다. 발생된 수소가 축적되면 수소 폭발이 일어날 가능성이 있다. TMI 원전에서는 사고 당일 오후 1시 50분경 수소 폭발이 발생했는데 다행히도 원자로나 격납 건물이 손상을 입지는 않았다. (일본 후쿠시마 원전에서는 이 수소 폭발로 인해 원자로 격납 건물이 파괴되었다.)

 

00TMI5그림 3. 스리마일섬 원전 원자로 손상 정도를 나타냄. 핵연료봉의 상단 절반 정도가 녹아 없어져 공간이 생겼다. 파손된 연료봉 및 잔해를 볼 수 있다. 출처/ IEEE Spectrum, 1984


사고는 계속 진행되고 새벽 6시에 새롭게 교체된 원전 운전원들이 가압기 증기 배출관 온도가 지나치게 높다는 것을 확인하고 가압기 배출밸브가 열려 있을 가능성을 제기했다. 결국 사고 발생 2시간 22분이 지나서야 가압기에 달린 보조 밸브(그림 2에서 9)가 닫히게 되는데, 이미 약 12만 리터(1차 계통 전체 냉각수의 약 3분의 1)에 달하는 냉각수가 배출된 이후였다.

 

오전 6시 30분 보조 건물의 방사선 수치가 시간당 1 렘(1 rem =10 mSv, 국제 방사선방호위원회가 권고한 일반인 인공 방사능 연간 노출 한도가 1 mSv. 방사선 업무 종사자의 피폭 허용량이 1년당 50 mSv. CT 촬영이 7 mSv 정도 피폭량을 지님)으로 측정되었고, 6시 45분에 측정된 1차 냉각수 방사선 수치는 평소보다 300배나 높았다. 이는 이미 노심 용융이 진행되면서 원자로가 방사능 물질에 의해 심하게 오염되었음을 의미한다. 사고 후 분석에서는 오전 6시 48분에 이미 연료봉의 약 3분의 2가 냉각수 없이 노출되었으며 연료봉의 온도는 최고 화씨 4000도(섭씨 2200도)까지 올라간 것으로 추정되었다.

 

 

마침내 비상사태 선포, 혼란스런 대피 행렬

00dotline

침 7시경 발전소에 비상사태가 선포되고 7시 15분에는 보조빌딩에 있던 직원들이 대피했다. 이와 함께 상급 감독기관에 사고 현황이 보고되었다. 7시 20분 격납건물에서 측정된 방사선량은 시간당 800 렘에 달했다. 8시 26분 고압 펌프를 재가동하여 냉각수 보충을 시작했고, 오전 10시 30분이 되어서야 연료봉이 다시 냉각수에 잠겼다. 오전 11시에는 스리마일섬에서 필수 인원을 제외한 모든 직원에게 대피 명령이 내려졌다.

 

00TMI6 » 펜실베니아 부주지사 윌리엄 스크랜톤 (좌측) 과 펜실베니아 비상 관리국 국장 오란 핸더슨이 사고 당일 기자 회견을 하고 있다. 출처/ 케메니 보고서, 1979

사고 수습에는 원전 제어실, 전력회사(Met Ed), 스리마일섬 인근 지자체, 펜실베니아 주정부, 미국 원자력규제위원회(NRC), 에너지성, 백악관을 비롯한 여러 기관들이 개입했는데, 단일 지휘 체계가 확립되지 않고 서로 엇갈리는 정보들이 쏟아지면서 의사소통에 큰 혼돈이 있었다. 또한 언론 매체가 시시 각각 보도를 하면서, 미끄럽지 못한 언론에 대한 대응으로 더 큰 혼란을 초래하였다. 이러한 위기 상황에서 언론에 발표를 할 때는 “예상보다 상황이 좋지 않습니다”보다는 “생각했던 것 만큼 상황이 나쁘지는 않습니다”가 될 수 있도록 보수적으로 상황을 판단할 필요가 있는데도, 전력회사 쪽이 사고 초기에 모든 상황이 통제되고 있다는 낙관적 전망을 발표한 이후에 상황이 더 나빠지자 원래 발표를 번복하게 되었다.

 

이후 원자로를 정상 상태로 복구하려는 노력이 계속 되었고, 여러 자료를 바탕으로 원자로의 정확한 상태 및 피해 상황에 대한 분석이 이루어 졌다. 여러 지점에서 주기적으로 방사선 측정이 진행되면서 방사능 물질 누출을 감시하였는데, 이 과정에서 일부 잘못된 측정값들이 보도 되면서 혼란을 가중시켰다. 또한 만일의 사태에 대비하여 주민 대피 계획이 수립되었는데, 주민을 대피 시킬 것인지 말 것인지, 대피시킨다면 언제 대피시킬 것인지, 대피 반경을 얼마로 할 것인지에 대해 각 기관들의 의견이 엇갈렸다.

 

결국 사고 발생 이틀 후에 원자로 내부의 피해가 예상보다 크다는 분석 결과가 나왔다. 펜실베니아 주지사였던 리차드 손버그(Richard Thornburgh)는 원전 반경 5마일(8km) 내의 임산부와 아동을 대상으로 대피 권고를 내리자, 뒤이어 약 20만 명의 주민이 자발적으로 대피 행렬에 나섰다. 후에 손버그는 주민 대피 권고에 대해 이렇게 회상했다.

 

“주민 대피에는 위험이 따릅니다. 노약자나 중환자실 환자, 인큐베이터 속 신생아들을 대피시킬 때 발생할 수 있는 인명 피해부터, 질서 있게 대피하더라도 발생할 수 있는 교통 사고에 이르기까지 다양한 종류의 인명 피해가 예상됩니다. 이런 종류의 주민 대피는 지금까지 한 번도 이루어진 적이 없고, 홍수나 태풍으로 인한 주민 대피와는 그 성격이 많이 다릅니다. 반경 5마일 내 주민 대피를 준비할 때, 그것이 반경 10마일, 20마일, 나아가 100마일까지 미칠 영향을 고려해야 합니다.”

 

사고 후 거의 한달이 지난 4월 27일에야 원자로 내부 냉각수가 펌프를 이용하지 않은 자연 순환상태에 이르렀고 냉각수의 온도도 끓는 점 밑으로 내려오게 되었다. 그제서야 향후 14년에 걸친 방사능 오염 제거 작업을 시작할 수 있었던 것이다. 원전에서 방사능 오염이 얼마나 심했는지 1980년 7월에 원자로 격납건물에 처음 사람이 들어갈 수 있게 되었고 1982년이 되어서야 사진을 통해 연료봉의 피해 상황을 확인하게 되었다. 손상된 원자로와 방사능 물질, 오염된 건물을 처리하는데 총 100억 달러 (1달러를 1000원으로 환산한다면 한화로 약 10조원)가 소요되었다.

 

 

다행히, 우려보다 작았던 방사능 누출 피해

00dotline

TMI 원전 외부로 나간 방사능 물질 누출은 크게 두가지 경로를 거쳐 발생했다. 첫 번째는 누출된 냉각수에 녹아 있던 방사능 물질(주로 제논과 같은 비활성 기체)로 보조건물의 환기구를 통해 대기로 누출되었는데, 총 누출량은 480 페타 베크렐 (480 × 1015 Bq) 정도로 추정된다. 갑상선 암을 유발하는 것으로 알려진 방사성 요오드-131의 유출량은 약 600 기가 베크렐 (600 × 109 Bq) 정도로 나타나 예상보다는 많지 않은데, 이는 2호기 원전이 가동된 지 석 달 정도밖에 되지 않아서 원자로 내부에 이 물질의 축적이 덜 이뤄졌기 때문인 것으로 분석되었다. 원자로 내부에서는 핵연료봉의 90%가 손상을 입었으며 연료의 절반 정도가 녹아 약 370 엑사 베크렐 (370 × 1018 Bq)에 달하는 방사능 물질이 남아 있었다. 원자로 내부는 이처럼 심한 손상을 입었지만 다행히도 압력 용기와 격납 건물이 파손되지 않아서 방사능 물질의 대량 외부 유출을 막을 수 있었다. (체르노빌 사고에서는 폭발로 인하여 원자로 건물이 파손되면서 방사능 물질이 전 유럽으로 광범위하게 확산되었다.)

 

또 다른 방사능 물질 누출로는 냉각수를 비롯한 저준위 하수(원자로 터빈이나 제어실, 격납건물·보조건물이 아닌 일반 건물 등에서 나오는 물)가 방류된 것이다. 이 저준위 하수는 평소에는 방사능에 거의 오염되지 않지만 사고 이후 그 오염 정도가 평소보다 높기 때문에 방류하지 않고 저장하고 있었다. 하지만 그 저장량이 많아지고 방사능 오염 정도가 원자력 규제 위원회의 허용치보다 낮았기 때문에 약 150만 리터에 달하는 하수가 별도의 처리 없이 인근 강으로 방류되었다.

 

TMI 원전 사고로 인한 방사선 피해는 매우 작은데, 원전으로부터 반경 16km 내의 주민들은 평균 0.08 밀리시버트(mSv)에 노출되었으며 최대 1 밀리시버트를 넘지 않은 것으로 분석되었다. 1밀리 시버트는 일반인이 노출되는 연간 자연 방사선 양의 약 3분의 1 정도이다.

 

 

작은 기계 고장이 큰 사고가 되기까지...

00dotline

작은 기계 고장으로 시작된 사고가 노심 용융 및 주민 대피에 이르는 큰 사고가 되기까지 크게 세 가지 요인을 꼽을 수 있다.

 

첫째, 기계 고장 및 설계 하자

 

장 큰 설계 하자로는 제어실 계기판에 가압기 증기배출밸브의 상태가 아닌 밸브를 열고 닫는 전기 신호의 상태를 표시하도록 한 것이다. 이로 인해 증기 가압기 증기 배출 밸브의 실제 상태를 제어실에서 확인할 수 없었다. 또한 제어실 및 계기판 설계가 운전원들과의 상호 작용을 고려하지 않고 만들어져 있다는 점도 들 수 있다. 사고가 나자 수백 개의 경고 신호가 한꺼번에 켜졌고 이것들을 강제로 끌 수 없어 정확한 상태 파악이 어려웠다. 사고와 관련된 일부 신호는 계기판 뒤쪽에 배치되어 있었고, 일부 계기는 사고가 나자 측정 범위를 넘어 버려 정확한 정보를 제공하지 못했다. 설계 상에 냉각수 부족 사태를 대비한 장치들이 있었지만 대부분 파이프나 펌프를 통해 대량의 냉각수가 새는 경우에만 대비하여 TMI 원전 사고와 같이 서서히 냉각수가 새는 경우에는 대비하지 못했다.

 

둘째, 사람의 실수

 

전원들이 원전의 상태를 정확하게 파악하지 못하고 사태를 더 크게 몰고 간 것은 의심의 여지가 없다. 초기에 증기 발생기에 연결된 비상 펌프들이 작동되었을 때 밸브가 닫혀있던 것을 8분이 지나서야 확인했다. 더욱 치명적인 것은 가압기 증기 배출 밸브가 열린 것을 인식하지 못하고 사고 발생 2시간 동안 냉각수 부족을 전혀 의심하지 못했다는 것이다. 또한 냉각수 부족으로 인해 자동으로 가동된 노심 긴급 냉각 장치 (고압 펌프에 의한 냉각수 공급) 마저도 중단시키는 실수를 범했다. 고압으로 냉각수를 원자로에 주입하는 이 장치가 계속해서 가동되었다면 원자로 내부에서 연료봉이 노출되는 일은 아마도 발생하지 않았을 것이다. 가압기 증기배출밸브의 상태를 제어실에서 확인할 수는 없었지만, 제어실 계기판에서 가압기의 배출관 온도가 지나치게 높았기 때문에 냉각수가 유출되는 것을 의심할 수 있었고, 또한 냉각수 펌프가 심하게 진동하는 것을 냉각수 부족으로 원자로가 과열되어 냉각수에 기포가 발생한 것을 의심할 수 있어야했다. 원전의 내부에 대한 충분한 이해 없이 원전의 상태를 정확하게 인식하지 못하여 적절한 조치를 취하지 못했고 더 나아가 잘못된 조치가 행해지며 사고가 걷잡을 수 없이 커진 것이다.

 

셋째, 감독기관의 문제와 제도적인 문제

 

TMI 원전 사고에서 발생한 실수는 개개인의 잘못이라기보다는 원전 운전원들에 대한 적절한 교육과 훈련 부족에 기인한 것으로 볼 수 있다. 전력회사가 실시한 교육은 주로 평상시 원전 운전에 대한 것이었고 원자로 내부 상황에 대한 이해나 비상 상황에 대비한 교육은 부족했다. 원전 제어시에 가압기가 완전히 물에 차지 않도록 하는 것이 중요한 것으로 교육받았고, 그에 따라 가압기 수위가 원자로 냉각수 양을 말해주는 유일한 척도로 이해되었다. 운전원들 중 경력이 있는 사람들은 주로 소형 군용 원자로(주로 해군에서 사용되는 원자력 잠수함)를 운전해 본 경험이 있었지만 상용 원전은 그 규모가 크고 여러 센서나 안전 장치들이 달랐다. 상대적으로 신입 직원들은 원자로 내부에 대한 이해 없이 주로 기계적인 작동 부분에 대한 교육만을 받았다.

 

추후 조사를 통해 전력회사에는 원자로 운영에 필요한 전문성과 인력이 부족한 것으로 드러났다. 장비와 소재의 관리 감독이 부실했고, 여러 절차에 대한 확인과 적용에도 문제가 있었다. 안전과 관련한 문제들이 제대로 보고되지 않고 분석되지 않고 해결되지 않았다. 1977년 9월 TMI 원전과 같은 유형의 원자로가 가동되던 다른 원자력발전소에서 같은 사고가 있었다. 가압기 증기배출밸브가 고장나 약 20분 간 밸브가 열려 있었고, 고압 냉각수 주입 장치가 가동되었는데 이 원전 운전자들도 원자로 내부의 냉각수 양을 가압기 수위로 판단하여 냉각수 주입 장치를 조작하는 실수를 범했다. 원전 개발사와 원자력 규제 위원회가 사고를 조사했지만 별다른 시정 조치가 취해지지 않았고, 사고 정보도 공유되지 않았다. TMI 사고 1년 전 원전 개발사의 한 기술자는 내부 문건을 통해 이러한 사고가 원자로 최고 출력 가동 중에 발생했다면 노심 용융이 발생할 가능성이 매우 크다고 지적하고, 냉각수 양을 예측할 때 가압기 수위만 확인하는 것은 잘못된 절차라고 지적했다. 이러한 정보가 제대로 공유되고 적절한 시정 조치가 취해졌다면 TMI 원전 사고는 막을 수 있었다는 얘기다.

 

원자력규제위원회도 그 책임을 피할 수 없었다. 원자력규제위원회는 그 규모가 방만하고 각 지부와 여러 사무소들 간의 의사소통이 원활하게 이루어지지 않았다. 비상 상황이나 안전 조치에 대한 감독과 기술 조언이 부족했고, 원전 감독 및 허가에서는 큰 규모의 냉각수 유출 사고나 하나의 원인에 의한 사고만을 고려하였다. TMI 원전 사고와 같이 여러 가지 작은 원인에 의해 서서히 냉각수가 유출되는 사고에는 취약할 수 밖에 없었다.

 

 

TMI 원전 사고 이후 많은 것이 바뀌었다. 원자력 발전의 안전에 대해 크게 걱정하지 않던 분위기가 180도로 바뀌어서 안전 및 규제에 보다 많은 중점을 두게 되었다. 사고 이후 원전 종사자의 피폭치를 기록하게 되었고, 원전에서도 보조 건물을 비롯한 다른 부분에서도 방사선 차폐가 강화되었다. 비상상황에 대비한 계획이 수립되고, 절차 매뉴얼도 예/아니오로 답할 수 있는 질문을 통해 현상을 파악하고 원자로의 냉각 기능을 잃지 않는 것에 더욱 더 중점을 두게 되었다. 원자력규제위원회에도 대대적인 조직 개편이 시행되었으며, 원전 종사자에 대한 교육기관이 설립되었다.

 

원전에서 사고가 나면 가장 큰 피해를 입는 원전 인근 지자체는 비상계획을 수립하였고 비방사성 요오드(요오드는 갑상선에 축적되는데 비방사성 요오드를 일정량 복용하면 갑상선이 방사성 요오드를 더 흡수할 수 없어 축적을 방해함)와 방호복을 비롯한 안전 장비들을 비축했다.

 

TMI 원전 사고는 여러 겹의 안전 장치가 준비되어 있는 시스템이라도 사람의 실수에 의해 큰 사고가 발생할 수 있음을 여실히 보여준다. 시스템을 설계하는 사람에게는 작은 실수가 얼마나 큰 결과를 가져올 수 있는지를 상기시켜 주고, 시스템을 사용하는 사람들에게는 시스템의 특성 파악과 비상 상황에 대한 교육이 매우 중요함을 알려준다.

 

 


[참고 문헌]

00dotline

1. Kemeny, John G. (October 1979). Report of The President’s Commission on the Accident at Three Mile Island: The Need for Change: The Legacy of TMI. Washington, D.C.: The Commission. ISBN 0-935758-00-3. (http://www.nrc.gov/reading-rm/doc-collections/fact-sheets/3mile-isle.html)

2. Three Mile Island 1979: 30 years on. E. V. Roey, SCKCEN, 2009.

3. Rogovin, Mitchell (1980). Three Mile Island: A report to the Commissioners and to the Public, Volume I. Nuclear Regulatory Commission, Special Inquiry Group.

4. http://en.wikipedia.org/wiki/Three_Mile_Island_accident

  • 구글
  • 카카오
  • 싸이월드 공감
  • 인쇄
  • 메일
오세백 기계공학 박사, 미국 반도체 검사장비 개발업체 연구원
실리콘벨리에 있는 반도체 검사장비 개발업체인 KLA-Tencor에서 광계측 기술을 개발하는 연구원으로 일하고 있다. 응용광학 전공으로 카이스트를 거쳐 매사추세츠공대(MIT) 기계공학과에서 박사학위를 받았다. 첨단공학 기술이 사람 사는 세상에 어떤 영향을 끼치는가에 관심이 많다.
이메일 : sboh@alum.mit.edu      

최신글




최근기사 목록

  • 챌린저호 폭발사고 전날, 번복된 ‘발사반대’ 의견챌린저호 폭발사고 전날, 번복된 ‘발사반대’ 의견

    다시 쓰는 현대공학 참사 보고서오세백 | 2013. 04. 09

    [6] 우주왕복선 설계 결함과 무리한 발사가 빚은 인재 1986 년 1월 28일 여느 겨울보다 훨씬 추운 아침, 미국 플로리다주의 케네디우주센터는 우주왕복선 챌린저호 발사 준비로 분주했다. 챌린저호에는 ”선생님을 우주로(Teacher in Space)” 프로그...

  • 구미 불산사고로 되돌아본 인도 보팔참사의 교훈구미 불산사고로 되돌아본 인도 보팔참사의 교훈

    다시 쓰는 현대공학 참사 보고서오세백 | 2013. 01. 02

    (5) 안전기준 미비와 관리감독 구멍…보팔 가스유출 참사 1984 년 12월 3일 새벽 3시, 인도 보팔(Bhopal)에 사는 영화감독 아샤이 치트레(Ashay Chitre)는 창밖에서 들려오는 소음에 잠을 깼다. 당시에 임신 7개월이던 부인 로히니가 창문을 열자 하얀...

  • 프로그램 단위오차 탓에..화성 궤도위성 실종사건프로그램 단위오차 탓에..화성 궤도위성 실종사건

    다시 쓰는 현대공학 참사 보고서오세백 | 2012. 10. 12

    (4) 1999년 화성기후 관측위성(MCO)의 궤도진입 실패 원인은1999년 9월23일 새벽(미국 서부 현지시각) 미국항공우주국(NASA) 산하 제트추진연구소의 지상관제소는 급박 하게 돌아가고 있었다. 9개월 전에 발사한 “화성 기후 관측 위성”이 드디어 화...

  • 허블 우주망원경의 1.3mm 오차가 빚은 큰 사고허블 우주망원경의 1.3mm 오차가 빚은 큰 사고

    다시 쓰는 현대공학 참사 보고서오세백 | 2012. 08. 08

    (3) 허블망원경의 구면수차 오류, 발생부터 수리까지   많은 사람의 기대와 우려 속에서 허블 우주망원경이 1990년 4월 드디어 대기권 밖의 궤도에 진입했다. 한 달여 간의 기본적인 테스트를 거친 뒤, 모든 사람들이 기대했던 첫 번째 관측 영상...

  • [새연재] '첨단시스템의 굴욕' 챌린저호 참사의 기억들[새연재] '첨단시스템의 굴욕' 챌린저호 참사의 기억들

    다시 쓰는 현대공학 참사 보고서오세백 | 2012. 05. 16

    (1) 연재를 시작하며   #1. 1986년 서울 아시안게임을 앞두고 온 나라가 정신이 없었다(지금 생각하면 아시안게임 때문에 나라가 시끄럽던 것이 아니었던 것 같다). 당시 나는 여느 초등학생과 마찬가지로 만화에나 나올 법한 우주선, 로봇 등에 ...