- 전력시스템의 규모가 커질수록 송전선의 탈락으로 인한 시스템붕괴의 확률이 높아진다.
- 안전도를 유지하기 위한 발전기 출력을 비실시간(off-line)에서 수동으로 계산할 수 없다. 
- 실시간에서 상태추정을 해, 상정사고분석, 그리고 안전도를 유지하기 위한 SCED(안전도유지 경제급전)를 실행해야 시스템붕괴를 예방할 수 있다.

김영창 공학박사

전력시스템운용의 안전도
전력시스템운용에서 신뢰도, 적정성, 안전도를 정의하면 다음과 같다. 신뢰도(reliability)는 전력시스템 구성요소가 기능을 정상적으로 발휘해 주어진 기준 이내에서 소비자에게 전력을 전달하는 수행능력의 정도를 나타낸다. 신뢰도는 빈도, 지속시간, 전력공급에 미치는 영향의 크기 등에 의해 측정된다. 적정성(adequacy)은 전체 시스템의 관점에서 구성요소의 불확실한 고장정지를 고려해 소비자에게 언제라도 필요한 전기를 공급할 수 있는 능력을 말한다. 안전도(security)는 전력시스템이 단락고장(short-circuit fault), 예상하지 못한 시스템 구성요소의 탈락 등으로 인해 발생한 교란을 견디어 내고 정상상태로 복귀할 수 있는가를 검토하는 것이다.
전력시스템운용에서 말하는 신뢰도와 발전기건설계획을 수립할 때 적정설비예비력을 결정하는 신뢰도지표(예, 공급지장시간 또는 LOLP)는 서로 다른 의미를 갖는다. 발전기건설계획을 수립하는 단계에서의 신뢰도지표는 주어진 미래의 어느 년도의 8760 시간 동안 발전기의 예방보수 및 확률적 고장정지로 인한 출력의 합이 시간대별 전력수요보다 작게 될 시간을 말하는 것이다. 이렇게 계산된 신뢰도지표는 발전설비의 과부족 여부를 판단하는 기준 또는 제약조건으로 사용되는 것이다. 시스템운용의 단계에서는 주어진 급전의 시간단위(예를 들면 5분)마다 순동예비력을 확보해 부하차단을 최소화하면서 소비자부하를 충족시키는 것이 신뢰도유지 업무이다. 신뢰도의 유지는 적정성과 관계가 깊다고 말할 수 있다. 
전력시스템운용에서 가장 우선적인 것은 주파수의 유지이며 두 번째는 안전도를 유지하는 것이고 세 번째는 연료비를 최소화하는 것이다. 어떤 발전기가 운전 중에 불시에 고장정지를 일으키면 시스템에서 탈락된다. 나머지 건전한 발전기들은 모자라는 총출력(운전 중인 발전기출력의 합)의 부족분을 보충해 주파수가 더 이상 하락하지 않도록 한다. 그러면 시스템운용이 정상상태로 회복할 수 있다. 실시간 시스템운용 중에 하나의 송전선이 낙뢰(lightening) 등으로 인해 손상을 입어 보호계전기의 동작으로 인해 탈락될 수 있다. 이런 경우, 탈락되기 직전의 사고송전선에 흐르던 전력은 빛의 속도로 나머지의 건전한 송전선으로 이전할 것이며 건전한 송전선로의 전력흐름은 모두 변동한다. 이러한 결과로 인해 나머지의 건전한 송전선이 과부하 상태로 되지 않고 시스템운용이 지속되도록 발전기출력을 재배치한다면 안전도가 유지된다.

안전도유지의 필요성
전력시스템 구성요소 가운데 하나가 탈락하는 초기화 사건(initiating event)의 발생을 예측할 수는 없으므로 사고가 발생하더라도 시스템이 위험상태(emergency state)로 가지 않도록 운용되어야 한다. 시스템 구성요소는 제한범위 내에서 운전되도록 설계되었으므로 주어진 범위를 벗어나면 전력시스템에서 분리시키는 보호계전기에 의해 보호를 받고 있다. 만약 하나의 송전선로가 탈락해 나머지의 건전한 송전선로 가운데 하나에 과부하를 유발시키면 이 선로는 보호계전기에 의해 또다시 탈락할 것이다. 이것을 연쇄탈락(cascading outage)이 시작되는 것이라 하며 이에 따라 모든 발전기가 거의 동시에 탈락해 전력시스템이 완전히 붕괴할 수 있다. 이것을 시스템붕괴라고 말한다. 대부분 시스템은 하나의 초기화 사건이 다른 구성요소를 과부하상태로 만들어 연쇄탈락이 파급되지 않도록 방어적으로 운용된다. 이것이 안전도를 유지하는 전력시스템운용의 핵심이다.
순동예비력도 적정한 수준으로 확보되어 있고 주파수도 정상적으로 유지되고 있다고 하자. 이런 경우 송전망의 연쇄탈락이 시작하면 발전기가 출력을 정상적으로 낼 수 있어도 생산한 전력을 수송할 통로가 사라졌으므로, 운전 중인 발전기가 동기(synchronization)를 유지하며 운전할 수 없게 된다. 그러므로 각각의 발전기가 제멋대로 회전하다가 견디지 못하고 탈락하게 된다. 이 상황은 약 8초 내지 10초 사이에 일어나며 운전 중인 발전기가 짧은 순간 내에 모두 탈락해 전국의 전력공급이 없어지는 것이다. 송전선탈락이 발생하지 않을 것이라고 주장하는 것은 확률론적 가정이 아니라 결정론적(deterministic) 가정일 뿐이다. 전력시스템이 한 번 붕괴하면 이를 복구하는 것은 상당히 어렵다는 점을 유념해야 한다. 시스템복구훈련은 미국 전력회사의 경우 정기적으로 시행된다.

연쇄탈락 방지의 알고리즘
대부분 대규모 전력시스템은 시스템운용자가 안전도를 유지하기 위해 전력시스템을 감시하면서 운용할 수 있도록 한다. 전력시스템운용의 안전도유지는 급전실에서 수행하는 다음과 같은 3개의 큰 기능 즉 전력시스템 감시(monitoring), 상정사고 분석(contingency analysis), 안전도제약 최적조류계산(SCED)이다.
첫째, 전력시스템 감시기능은 시스템운용자가 시스템의 상태에 관한 최신 정보를 얻도록 하는 것이다. 이것은 앞의 세 가지 기능 가운데 가장 중요한 기능이다. 몇 개 발전기가 전력을 공급하던 초기 시스템운용과 달리 시스템을 효과적으로 운용하기 위해서는 중요한 정보가 실시간으로 원격계측제어장치에 의해 계측되어야 하고 계측값이 감시제어자료획득 시스템의 마스터 스테이션으로 전송되어야 한다. 원격계측제어 시스템이라고 말하는 ‘계측 제어 전송’ 시스템은 전압의 크기와 위상, 전류의 크기와 위상, 송전선 전력흐름, 모선 별 소비자부하, 변전소 내의 차단기와 개폐기의 상태 등을 감시할 수 있는 시스템으로 진화되었다. 또한, 발전기출력, 변압기 탭의 위치 등과 같은 중요한 정보도 원격으로 계측될 수 있다. 이렇게 많고 다양한 정보가 동시에 전송되면 전력시스템운용자는 실시간시스템운용을 하는 시간 구간(예를 들면 5분 이내)에서 이것을 검증할 수도 없다. 그러므로 급전실에 설치되어 있는 컴퓨터가 원격계측에 의해 수집된 정보를 처리하고 데이터베이스에 저장해 이 정보를 급전실의 화면에 게시한다. 이것보다 더 중요한 것은 컴퓨터는 정보를 분석해 구성요소가 운전의 제한범위를 벗어나 있는 것을 전력시스템운용자에게 알려주고 허용범위를 벗어나는 경우 경보를 전달하는 것이다. 전력시스템 감시기능은 상태추정 프로그램을 통해서 실행된다. 이와 같은 전력시스템은 시스템운용자가 원격으로 차단기를 조작하거나, 개폐기를 분리하거나 변압기 탭을 조정할 수 있도록 하는 감시제어자료획득 시스템과 결합해 사용된다. 이것은 이엠에스와 시스템운용자에게 발전기와 송전망을 감시하고 과부하 또는 과전압에 대해 조치를 취할 수 있도록 해준다.
두 번째로 중요한 안전도 유지기능은 상정사고분석이다. 이 분석의 결과는 전력시스템이 방어적으로 운용되도록 하는 것이다. 여기에서 상정사고라는 용어는 사고(contingency)를 의미하는 것이지만 이엠에스의 프로그램이 하나의 사고가 일어나면 어떤 상태가 되는가를 알아내려 할 때 사고로 인해 선로 또는 발전기가 없다고 가정하는 경우 사용하는 용어이다. 그러므로 안전도유지 여부를 판단하는 이엠에스의 상정사고분석 과정에서는 ‘사고’ 대신 ‘상정사고’라는 용어를 사용한다. 
전력시스템에서 발생하는 여러 가지 사고는 시스템운용자가 대응조치를 취할 수 없는 아주 짧은 시간 내에 발생해 사건이 종료해버리고 심각한 문제를 일으킬 수 있다. 1초~8초 사이에 송전선로가 연쇄적으로 탈락해 발전기가 동시에 모두 정지해버리므로 이렇게 짧은 시간 동안 전화로 상의하거나 수동으로 300개 이상의 발전기에 지시하고 조치할 것이 없다는 것이다. 시시각각으로 변동하는 모선 별 소비자부하의 변동에 따라 발전기출력을 재배치할 때 5분마다 시스템운용자가 연쇄탈락이 일어나지 않도록 개별 발전기출력을 계산해 신호를 보낼 수도 없다. 상정사고분석은 실시간이 아닌 다른 시간에 계산해 본 발전기출력을 사용해 지금의 시스템부하 변동에 대해 적용할 수도 없는 것이다. 이러한 사유로 인해 상태추정과 상정사고분석을 실시간에서 실행하고 시스템붕괴를 예방해야 하는 것이다.
이러한 시스템운용의 특성 때문에 이엠에스는 일어날 가능성이 있는 사고를 가상해 사고발생 후에 나머지 건전한 선로가 과부하를 일으키지 않도록 발전기출력을 재배치하는 기능을 갖고 있다. 상정사고분석 프로그램은 시스템해석 모델에 근거해 사건을 가정하고, 일어날 가능성이 있는 과부하에 대해 이엠에스가 사전에 발전기 출력기준점을 조정하는 조치를 취해 연쇄탈락이 시작되지 않도록 함으로 시스템붕괴를 예방한다. 상정사고분석 프로그램은 SCED에 내장된 조류계산 프로그램을 이용하며 사고가 상정되면 사고의 영향 또는 결과를 네트워크 구성형태 프로그램을 위한 데이터베이스에서 수정해 계산한다.
세 번째 중요한 안전도 유지기능은 SCED를 실행하는 것이다. 이 기능은 송전선에서 초기화 사건이 일어나더라도 연쇄탈락으로 이어지지 않기 위해 사고를 상정한 선로의 제약용량을 변경해 최적조류계산(OPF)을 다시 실행해 발전기의 출력기준점을 재배치하는 것이다. 연료비최소화는 상정사고제약조건을 만족하며 총연료비를 최소가 되도록 하는 개별 발전기의 출력을 계산함으로 이루어지는 것이다.
그림-23은 송전망의 예제를 보인 것이며 굵은 화살표는 모선별 부하를 나타낸다. 예를 들어 사고를 상정한 선로-1의 전력조류가 100만 킬로와트인 상황에서 사고에 의해 탈락하면 이 선로의 전력조류가 건전한 송전선-2, 3, 4, 6, 7, 8, 9, 10으로 흘러가서 이 선로에는 자신의 전력조류에 더해 100만킬로와트의 일부분의 전력이 추가될 것이므로 과부하상태가 될 수도 있다. 그런데 만약 선로-3이 과부하로 되어 탈락하면 2개 선로가 탈락하는 상황으로 되고 두 번째로 탈락한 선로에 흐르던 전력이 나머지의 건전한 송전선로로 추가적으로 흘러가면 제3의 송전선로가 탈락될 것이 분명하며 이 상황이 연쇄적으로 파급된다. 왜냐하면 송전선로 하나의 탈락으로 인해 이미 하나의 선로가 탈락하였기 때문이다. 이때 송전선로-1의 사고를 초기화 사건이라고 말한다.
그림 23에서 보면 송전선로-1이 사고에 의해 탈락한 다음, 송전선로-2, 3, 4가 탈락할 가능성이 가장 높다. 그림에서 북쪽 하부시스템과 남쪽 하부시스템 사이에 4개 송전선로가 있으며 북쪽의 시스템수요와 총출력(발전기출력의 합)이 균형이 이루어지지 않고 있다고 가정한다. 그러면 남쪽 하부시스템에 속한 발전기들이 남쪽 하부시스템수요를 공급하고도 출력을 더 많이 내어 북쪽으로 수송하고 있을 것이다. 사고가 일어나기 전에 이 전력은 송전선로-1, 2, 3, 4를 통해 북쪽으로 흐르고 있었으므로 송전선로-1의 탈락으로 인해 2, 3, 4의 송전선로가 북쪽으로 흐르는 전력을 더 많이 떠맡아야 하므로 다른 건전한 선로보다도 사고 전후의 전력흐름의 변동이 가장 크다고 보기 때문이다. 여기에서 북쪽과 남쪽의 하부시스템이라고 말한 것은 남쪽과 북쪽의 송전망은 조밀해 보이고 중간에 몇 개 송전선로 밖에 없어 네트워크의 모양으로 보아 허리가 대단히 좁아 보이므로, 편의상 남쪽과 북쪽이라고 표현한 것이며 하나의 전력시스템의 형태에 따른 표현일 뿐이다. 실제로 하나의 송전선로가 탈락해 연쇄탈락이 일어날 가능성은 송전선로-1, 2, 3, 4가 아니더라도 남쪽과 북쪽의 어느 선로에서도 존재한다. 
교류전력시스템에서 전력흐름은 ‘물리학의 법칙’에 따라 빛의 속도로 움직이며 사고 직후의 전력이동은 최소저항의 경로를 찾아가는 ‘전자의 흐름‘의 특성에 의해 이루어진다. 급전원이 계산을 해 어디로 이전하라 명령할 수도 없고 명령할 틈도 없다. 송전선로-1에 흐르던 전력이 어떤 비율로 다른 송전선로로 이전할 것인가를 파악하기 위해 전력조류계산을 다시 실행한다. 사고가 실제로 일어난 것이 아니고 컴퓨터 프로그램이 네트워크 데이터베이스에서 해당 선로를 사고가 난 것으로 상정하고 이 선로를 임시로 제거한 네트워크모델을 이용해 계산하는 것이다. 그러면 건전한 송전선로의 전력흐름이 다시 계산된다. 실제로 전력흐름의 이동은 모든 송전선의 전력흐름에 골고루 영향을 미치지만, 상정사고가 일어난 부근의 송전선로가 과부하를 일으키기에 가장 영향을 많이 받는 것이다.
이러한 연쇄탈락을 예방하기 위해 상정사고를 검토하는 대상선로의 전력흐름 제약조건을 50만킬로와트로 수정하면 이 선로가 탈락해도 연쇄적으로 사고가 파급되지 않는다는 것을 계산에 의해 알아낸 다음, 사고를 상정한 송전선의 전력흐름 제약조건을 50만킬로와트로 수정해 SCED를 다시 계산한다. 이것을 상정사고제약(contingency constraint)을 추가하는 것이라고 말한다. 이와 같은 계산을 상정사고 검토대상 목록에 있는 선로에 대해 모두 실행하며 상정사고 제약조건을 만들어 제약조건을 수정해 놓는다.
이렇게 상정사고분석과 SCED를 실행하면 연쇄탈락을 일으키지 않고 시스템 전체의 비용최소화가 이루어지는 개별 발전기의 출력이 계산되고 이것이 발전기 조속기의 출력기준점을 변경하라는 신호로 현장 발전기의 조속기에 전송된다. 이러한 계산과정을 미리 비실시간에서 계산해 보는 것으로 대체할 수는 없는 것이다. 모선 별 소비자부하의 변동에 따라 실시간에서 발전기출력을 고쳐 놓아야 한다. 송전선로를 송전망확장계획 수립단계에서 충분히 많이 건설해 놓았으므로 검토하지 않아도 되는 것이 아니다. 계획단계에서 미래의 어떤 해의 모선 별 소비자부하를 미리 알아 계산해 볼 수도 없고 특히 5분 단위까지 소비자부하를 모선 별로 미리 알아내는 것도 불가능하며 발전기출력을 송전망확장계획의 수립단계에서 지정해 놓을 수도 없기 때문이다. 실시간에서 모선 별로 소비자부하가 변동될 때마다 SCED에 의해 발전기출력을 계산해 안전도를 유지하고 전력시스템붕괴를 예방해야 한다. 이것이 실시간 SCED프로그램 실행의 필요성이며 이것을 경시해 일어난 전력시스템붕괴에 대한 외국의 “사고 후 기술분석” 보고서가 많다.
만약 송전선로 1, 2, 3. 4가 남쪽의 전력을 수송하기 어려웠기 때문에 안전도유지의 문제를 일으켰고 미리 송전선로를 문제가 되는 선로의 부근에 더 충분하게 건설했더라면 안전도유지의 검토를 할 필요가 없다고 주장할지도 모른다. 그러나 송전선로 건설을 많이 해 놓았다고 해 안전도유지 문제를 검토할 필요성이 없어지는 것은 아니다. 왜냐하면 현재의 실시간 전력시스템운용에서 4개 송전선로의 용량을 증가해 놓았다던가 아니면 몇 개의 송전선로를 건설해 놓았다면 남쪽의 변동비가 낮은 발전기가 더욱 출력을 높여 이 부근의 선로에 전력이 더욱 많이 흐르고 있을 것이고 이때 송전선로의 탈락에 따른 연쇄탈락의 확률도 여전히 크기 때문이다. 안전도유지의 검토를 위한 상정사고분석은 송전망의 구성형태 및 모선 별 소비자 부하의 시간별 변동에 따라 항상 실시간에서 실행해야 하는 중요항목이다. 
미국 EPRI는 전력시스템 붕괴원인으로 위상 불안정, 설비 과부하, 전압불안정, 자연현상 등을 말한다. 위상 불안정은 발전기, 변전소, 소비자부하 사이의 위상 차이가 커지면 생기는 것인데 이런 경우 발전기가 탈락하면서 정전을 유발시킬 수 있다. 어떤 장치를 개폐할 때 오작동이 발생해 설비가 과부하로 되거나, 앞에서 설명한 바와 같이 어떤 송전선의 탈락으로 인해 다른 송전선로에 과부하가 발생하고 연쇄탈락이 발생해 시스템이 붕괴할 수 있다. 그리고 유효전력과 무효전력의 적정 여유도를 유지하지 못할 경우 정전이 발생할 수 있으며 이는 시스템 복구(system restoration)에도 영향을 미친다. 자연현상으로는 한파 및 태풍, 지진 및 지구자기교란(GMD: Geo-magnetic Disturbances) 등이 있다. 나머지 원인으로는 고의적인 파괴 및 부적절한 제어시스템의 활용, 그리고 부적절한 송전선 주변의 나뭇가지 치기(trimming) 등 유지보수의 문제 등이 있다.  

그림-23 전력시스템붕괴 예시를 위한 송전망

선로용량에 제약이 있으면 전압위상의 차이가 커져 과도안정도의 문제가 생기고 무효전력수송이 어려워져 전압유지 또는 전압불안정도가 커진다. 따라서 전압붕괴가 일어날 수도 있는 것이다.