2.1 수소철도차량 시스템 구성

수소철도는 고압으로 저장된 수소를 화학 반응을 통해 전기 에너지로 전환하여 주행 동력을 얻는 친환경 철도차량이다. 이러한 수소철도의 동력원은 크게 수소를 안전하게 저장 및 공급하는 수소연료시스템(Hydrogen Fuel System)과 공급된 수소를 이용하여 실질적인 전력을 생산하고 제어하는 수소연료전지 전력시스템(Fuel Cell Power System)으로 구성할 수 있다.

그림 1 수소철도 시스템 구성

Fig. 1 Hydrogen powered railway System configuration

수소연료전지 전력시스템 (FCPS, Fuel Cell Power System)은 수소연료시스템으로부터 공급된 수소와 흡입된 산소를 전기화학적으로 반응시켜 철도차량 추진에 필요한 전력을 생산하는 시스템이다. 수소연료전지 전력시스템은 전력 생산의 주체인 스택과 이를 지원하는 보조기기(BOP, Balance of Plant) 및 전력변환장치로 구성된다. 연료전지 스택은 단위 셀을 직렬 적층한 모듈로, 철도차량의 대용량 출력 요구조건에 맞추어 복수 스택(Multi-stack) 구조로 설계된다.

스택의 작동을 지원하는 보조기기(BOP)는 수소 공급·재순환, 공기 공급, 열관리, 전력 변환 계통으로 구성된다. 수소 공급 및 재순환 계통은 스택 음극에 적정 압력의 수소를 공급하고, 이젝터나 재순환 블로워로 미반응 수소를 재사용하며, 퍼지 밸브를 통해 질소 및 수분 축적을 방지한다. 공기 공급 계통은 양극 반응에 필요한 공기를 고효율 압축기로 공급하고 막 가습기를 거쳐 전해질막 건조를 막는다. 열관리 계통은 대량의 반응열을 제거하여 최적 온도(60~80°C)를 유지하도록 라디에이터, 워터펌프, 냉각수 제어 밸브 등으로 운용된다. 끝으로 전력 변환 및 제어 계통은 스택의 변동 직류 전압을 차량 요구전압으로 변환하는 단방향 DC/DC 컨버터로 구성된다. FCPS의 일반적인 시스템 구성은 IEC 63341-1에서 제시한 그림 2와 같다.

그림 2 IEC 63341-1 수소연료전지전력시스템 예시

Fig. 2 Example of FCPS in IEC 63341-1

수소연료시스템은 외부 충전 인프라로부터 전달받은 수소를 차량 내에 안전하게 저장하고, 운행 조건 및 전력 요구량에 맞추어 적절한 압력, 온도, 유량으로 수소를 FCPS에 공급하는 기능을 담당한다. 또한 고압 수소 다루기에 따른 과압, 과온, 누출 등 비상 상황을 감지하고 차단하거나 방출하는 안전기능을 담당한다.

수소연료시스템의 내부 구성은 크게 저장, 충전 및 분배, 감압 및 공급, 그리고 안전 및 방출 계통으로 구별된다.

우선 수소 저장 모듈은 철도차량의 하부 또는 상부 공간 배치 특성을 고려하여 35MPa 또는 70MPa 수준의 고압 복합재 용기(Type 4) 다수를 매니폴드로 연결하여 구성한다.

충전 및 분배 계통은 외부 충전기 연결을 위한 수소 리셉터클, 가스 역류를 방지하는 체크밸브, 과압을 방지하는 안전밸브 및 각종 상태 측정용 센서로 이루어진다. 감압 및 공급 계통은 저장용기 내의 높은 압력을 연료전지 입력 압력 수준으로 낮추는 레귤레이터와 비상시 수소 흐름을 즉시 차단하는 전동 차단밸브로 구성된다. 안전 및 방출 계통은 화재 발생 시 고온에 의해 작동하여 내부 수소를 차량 상부로 신속히 방출하는 감열식 압력방출장치(TPRD)와 용기 및 배관 주변의 누출을 실시간 감지하는 수소 감지기 등을 포함한다. 수소저장시스템의 일반적인 시스템 구성은 IEC 63341-2에서 제시한 그림 3과 같다.

그림 3 IEC 63341-2 수소연료시스템 예시

Fig. 3 Example of HFS in IEC 63341-2

2.2 수소철도차량 시스템 기능 분석

수소철도차량은 동작 상태에 따라 운행모드, 수소충전모드, 주박모드로 구분할 수 있으며, 각 동작 상태에 따라 수소연료전지 전력시스템(FCPS) 및 수소연료시스템(HFS)의 운용 기능과 작동 상태가 달라진다. 따라서 차량이 처한 운용 환경과 동작 상태에 따라 유발될 수 있는 잠재적 위험원이 상이하게 형성되며, 이에 따른 주요 안전 고려사항 역시 차별적으로 정의되어야 한다.

운행모드는 수소연료시스템에서 수소를 연속적으로 공급하고 수소연료전지 전력시스템이 전력을 생산한다. 수소충전모드는 외부 수소충전 설비와 차량의 리셉터클이 물리적으로 연결되어 고압의 수소를 차상 저장용기로 주입하는 상태이다. 주박모드는 수소시스템이 모두 정지(전원 OFF)한 상태이다. 각 운용모드에 따른 주요 시스템 상태는 Table 1과 같다.

3.1 위험원 식별

위험원 식별을 위해 일반산업분야 수소시스템 및 철도분야에 적용되는 수소시스템 표준에서 식별된 위험원을 분석하였다. ISO/TR 15916:2015은 수소시스템의 안전한 사용을 위한 일반지침으로 안전과 관련된 수소특성 설명 및 기본적인 안전고려사항, 위험원, 위험도를 정의하였다. ISO/TR 15916:2015은 일반지침으로 특정 분야에 수소적용을 위한 세부 안전요구사항은 다루지 않으며 철도분야에 적용되는 수소시스템의 안전요구사항은 IEC 63341-1:2025, IEC 63341-2:2025에서 정의하였다. IEC 63341-1:2025은 철도적용 수소연료전지전력시스템 안전을 위해 위험원 식별, 수소 누출 관리, 화재 등을 정의하였으며 IEC 63341-1:2025은 위험원 식별, 폭발분위기 관리 등을 정의하였다. ISO/TR 15916:2015, IEC 63341-1:2025, IEC 63341-2:2025에서 제시한 주요 위험원은 Table 2와 같다.

시스템 정의를 기반으로 안전에 영향을 미칠수 있는 모든 위험원을 식별하기 위하여 HAZOP(Hazard and Operability Study) 기법을 적용하여 위험원 분석을 수행하였다. HAZOP 기법은 시스템 수명주기 초기 단계에서 상위 수준의 물리적인 특성변수를 정의하고 지침단어(없음, 초과, 미만 등)를 적용하여 특성변수가 설계의도에서 이탈한 상태 분석을 통해 위험원을 식별하였다.

수소연료전지전력시스템은 전력생산 기능에 대하여 수소압력(유량), 온도, 전력 등의 물리적 특성변수를 정의하고 수소압력에 지침단어 없음(수소공급실패), 초과(수소과압), 미만(수소저압), 추가(이물질 유입), 감소(수소누출), 반대(수소역류) 등을 식별하였으며 화재, 폭발 또는 인명사상을 유발할 수 있는 위험원은 수소 누출 및 수소 과압으로 분석되었다. 전력은 초과(전기적 결함(단락, 절연손상 등)), 없음/미만/불안정(비정상적인 전력출력), 소음 초과 등 위험원과 시스템 정지 후 초과(잔여전기에너지, 잔여수소누출) 등 위험원을 식별하였으며 화재, 폭발, 인명사상 등 사고를 유발할 수 있는 주요 위험원은 Table 3과 같다.

수소연료시스템은 수소저장(기밀유지), 수소충전, 수소공급제어(ON/OFF) 기능에 대하여 수소압력(유량), 온도 등의 물리적 특성변수를 정의하여 위험원을 식별하였다. 수소압력 초과(수소과압), 미만(수소저압), 추가(이물질 유입), 감소(수소누출), 반대(수소역류), 과압(고압)) 및 온도 초과(고온)/미만(저온) 등 위험원과 부품 날림. 소음초과 등 위험원을 식별하였으며 화재, 폭발, 인명사상 등 사고를 유발할 수 있는 주요 위험원은 Table 4와 같다.

위험원은 계층구조를 가지며 Fig. 4와 같이 철도시스템 수준의 원인은 시스템경계에서 시스템 수준의 위험원이 되며 시스템 수준의 원인은 하부시스템 수준의 위험원으로 구성된다.

그림 4 시스템 경계별 위험원

Fig. 4 Hazard with respect to the system boundary

IEC 62278-2:2025은 위험원 계층구조에 대하여 충돌사고를 유발할 수 있는 철도시스템 수준의 위험원은 철도차량 신호위반, 원인은 제동거리 초과이며 시스템 수준의 제동장치 위험원(철도시스템 수준의 원인)은 제동거리 초과, 원인은 기관사 제동 미실행, 외부 대책은 비상제동으로 설명하고 있다.

수소철도차량은 Fig. 5와 같이 Table 2의 화재, 폭발, 파열, 질식 등은 사고로 정의하고 사고를 유발할 수 있는 위험원은 수소누출 또는 수소과압 등으로 분석하였으며 수소 취성, 기계적/전기적/환경적 충격, 외부 화재 등은 위험원을 유발하는 주요 원인으로 분석하였다.

그림 5 수소누출 사고 시나리오

Fig. 5 Hydrogen leak accident scenario

3.2 원인 분석

위험원을 제거하거나 허용 가능 수준으로 관리하기 위하여 위험원을 유발하는 원인을 분석하였다. 원인 분석은 수소시스템 상위수준의 기능, 인터페이스, 하드웨어, 소프트웨어, 환경, 인적요인 등 위험원을 유발할 수 있는 모든 요인을 고려하였으며, 주요 위험원을 유발하는 주요 원인은 Table 5와 같다.

수소누출을 유발하는 원인은 시스템 고장, 인터페이스 오류, 시스템 파손, 수소 방출을 원인으로 분석하였다. 수소시스템 고장은 수소연료전지전력시스템 및 수소연료시스템의 하부시스템/구성품에 대한 하드웨어, 소프트웨어 고장을 포함하며 인터페이스 오류는 수소충전/공급/배출, 전기적, 물리적 인터페이스 오류를 포함한다. 시스템 파손은 수소 취성, 열차진동/충격, 외부 충격(열차충돌, 외부 물질 충돌/탈락 등), 충전 중 비정상적인 열차이동, 수분/화학물질 등으로 인한 부식, 마모/열화, 수명주기 초과, 외부 물질 유입, 고압 수소 등으로 인한 파손을 포함한다. 수소 방출은 정상상태에서 연속적인 수소 방출, 정상상태에서 주기적 또는 간헐적인 1차 수소 방출, 정상상태에서 드물게 발생하는 짧은 기간동안 2차 수소 방출을 포함한다. 수소 기체는 가장 작고 가벼운 분자로 미세경로에도 누출이 가능하고 물질을 투과하는 특성으로 인해 정상상태에서 연속적으로 수소가 누출되며 누출율을 관리한다. 1차 수소방출은 수소연료전지전력시스템의 퍼지가 해당되며 2차 수소방출은 과압 또는 화재 등으로 인한 압력 배출, 시스템 파손 등으로 인한 비정상적인 수소 방출을 포함한다.

과압을 유발하는 원인은 수소충전소 오류, 시스템 고장(배관/밸브 막힘, 레귤레이터 고장 등), 화재, 열적 충격으로 분석하였다. 수소연료시스템은 수소충전소에서 고압으로 수소를 충전하고 중압으로 감압하여 수소연료전지에 공급한다. 고압 수소의 과압은 충전소 오류(과압 또는 급속 충전)으로 인해 발생하며 중압수소의 과압은 레귤레이터의 고장으로 인해 발생한다. 기체는 부피가 일정할 경우 온도가 높아지면 압력이 증가하여 열적 충격을 과압의 원인으로 분석하였다. 열적 충격은 날씨로 인한 주변 온도(고온, 저온), 시스템에서 동작 중 발생하는 열, 상온에서 기체 수소방출 시 줄-톰슨 효과로 인한 온도 상승을 포함하며 화재, 전기적 결함(단락) 등으로 인한 온도 상승은 별도로 구분하였다.

시스템 고온 또는 저온의 원인은 화재, 열적 충격 및 충전소 오류로 인한 온도 상승을 원인으로 분석하였다.

과다한 소음을 유발하는 원인은 퍼지 또는 수소 배출 시 발생하는 소음으로 분석하였다.

전기적 결함을 유발하는 원인은 전자기 간섭, 단락, 절연 저하, 아크/스파크 등을 포함하며 수소연료전지전력시스템은 정지 후 일정 기간동안 스택내부의 잔여 수소, 산소로 인해 잔여전압이 출력되며 잔여 전압으로 인해 유지보수 시 인명사상이 발생할 수 있어 원인에 포함하였다.

수소연료시스템의 최저동작압력 이하를 유발하는 원인은 시스템 고장, 인터페이스 오류, 수소방출로 분석하였으며 수소 역류의 원인은 시스템 고장(밸브 고장 등), 인터페이스 오류, 시스템 파손으로 분석 및 부품 이탈(날아감)의 원인은 시스템 파손, 수소방출로 분석하였다.

모든 위험원을 유발하는 공통적인 원인으로 인적요인, 설계오류, 제작오류, 설치오류, 운영오류, 유지보수오류로 분석하였다. 인적요인은 부주의로 인한 실수, 기억실패로 인한 망각, 잘못된 규정/지식을 적용하는 착각, 규정 미준수 등이 포함된다. 설계오류는 시스템 사양서 부재 또는 오류, 인적요인이 포함되며 제작/설치/운영/유지보수 오류는 관련 절차/매뉴얼의 부재 또는 오류, 인적요인이 포함한다.

3.3 위험도 수용 원칙(RAP, Risk Acceptance Principle)

IEC 62278-2:2025는 위험도 수용 여부를 결정하기 원칙으로 실무지침 적용, 참고 시스템과 비교, 명시적 위험도 평가 등 3가기를 제시하였으며 위험원 관리에 가장 적합한 원칙을 결정하여야 한다. 실무지침 적용을 선택하면 철도분야에서 널리 인정되는 법령, 표준 등을 적용하여 위험원이 관리되는 경우 위험도는 허용가능한 것으로 수용하고 추가적인 분석은 요구되지 않는다. 참고 시스템과 비교를 선택하면 안전이 입증된 유사한 기능, 인터페이스, 환경 등을 가진 시스템과 관련된 위험도는 수용한다. 명시적 위험도 평가는 실무지침 또는 참고시스템 적용이 불가능한 경우에 위험원의 발생빈도, 심각도, 위험도를 평가하며 위험도가 허용기준 이하인 경우 위험도를 수용한다. 위험도 수용원칙이 결정되면 안전요구사항은 실무지침 또는 참고시스템 또는 명시적 위험도 산정에서 도출된 목표를 제시하여야 한다.

수소시스템은 철도분야에서 널리 인정되는 철도안전법의 철도차량기술기준, 고압가스안전관리법의 수소저장용기 KGS 코드, 철도분야 수소시스템 국제표준 등이 있으며 해당 법령, 표준은 수소시스템의 위험원을 관리하기 위한 설계, 안전, 시험 관련 요구사항 등이 규정되어 있어 수소시스템 위험도 수용원칙으로 실무지침 적용을 선택하고 각 위험원별 위험도를 관리하기 위한 안전요구사항은 관련 법령, 표준으로 제시하였다.

다만, 수소법의 노면전차 수소연료전지 KGS 코드는 IEC 63341-1 등 철도분야의 요구사항과 전자기적합성 시험요건을 충분히 반영하고 있지 않다. 따라서 철도 운용환경에서 발생가능한 위험원을 체계적으로 관리하기에는 한계가 있다고 판단하여 본 연구의 안전요구사항 도출에는 적용하지 않았다.