Original Article Approach towards qualification of TCP/IP network components of PFBR

📌 Overview

https://doi.org/10.1016/j.net.2022.06.015

이 프로젝트는 인도 Kalpakkam에 건설 중인 500 MWe 원형 고속증식로(PFBR, Prototype Fast Breeder Reactor)의 분산 디지털 제어 시스템(DDCS)에 사용되는 TCP/IP 네트워크 구성요소를 검증(qualification)하려는 사례입니다. 출발점은 원자력 안전 규제 요건이었고, 이후 상용(commercially available) 네트워크 구성요소가 안전 관련(safety-related) 시스템에 적합한지를 증명하는 suitability analysis 방법론으로 확장되었습니다.

해결하려는 문제는 명확합니다. 원자력 발전소의 제어 시스템은 안전, 보안, 신뢰성, 결함 허용(fault tolerance)이 규제 기관(AERB) 지침에 따라 보장되어야 합니다. 그러나 스위치, 서버/디스플레이 스테이션, 제어 노드의 TCP/IP 모듈 같은 요소는 상용 제품이므로, 규제 승인을 받기 위해서는 별도의 적합성 분석이 필요합니다. 이 논문은 그 검증 접근법을 제시합니다.

📌 Features

분산 디지털 제어 시스템(DDCS) 3계층 구조

이 프로젝트는 제어 노드(bottom tier), 프로세스 컴퓨터/서버(middle tier), 디스플레이 스테이션(top tier)으로 구성된 3-tier 아키텍처를 다룹니다. 지리적으로 분산된 제어 시스템이 switched Ethernet 네트워크를 통해 중앙 서버 및 디스플레이 스테이션과 연결되며, TCP 프로토콜이 신뢰성 있는 connection-oriented 통신을 보장합니다.

Fail-safe 통신 검증

제어 노드는 RFC-791(IP), RFC-792(ICMP), RFC-793(TCP), IEEE802.3(EMAC)을 준수합니다. 데이터 또는 acknowledgment 패킷이 3회 도달하지 않으면 링크가 unhealthy로 선언되고 fail-safe 동작이 개시됩니다. 논문은 이 동작을 다양한 장애 조건에서 검증합니다.

네트워크 임페어먼트(impairment) 테스트

패킷 손상(corruption), 손실(drop), 지연(delay), 순서 뒤바뀜(out-of-order), 중복(duplicate), 버스트(burst) 도착 등 실제 현장에서 발생 가능한 장애를 network impairment tool로 주입하고 링크 거동을 분석합니다.

스위치 벤치마킹과 보안 기능 검증

RFC-2544 방법론에 따라 layer-2/3 스위치의 routing latency, throughput, frame loss를 벤치마크합니다. 또한 rate limiting, MAC/IP binding, port disabling, multicast limiting, DoS 공격 대응 같은 보안 기능도 검증합니다.

네트워크 지연(latency) 특성화

운영자가 마우스를 클릭한 시점부터 CPU가 명령을 처리하는 시점까지의 실제 응답 시간을 측정하여, 연료 취급 및 제어·안전봉 구동 시스템의 200 ms 요건을 충족하는지 확인합니다. 평균 27.2 ms의 응답 시간이 관측되었습니다.

📌 Developer

이 논문은 인도 IGCAR(Indira Gandhi Centre for Atomic Research)의 Aditya Gour, Tom Mathews, R.P. Behera가 수행한 연구입니다. 저자들은 PFBR의 실시간 fault-tolerant 컴퓨터 기반 제어 시스템(RTC)과 네트워크 구성요소 설계·검증 경험을 바탕으로 이 방법론을 정립했습니다.

이 배경은 프로젝트 구조에서도 확인됩니다. 원 논문은 단순 네트워크 테스트가 아니라 제어 노드용 진단(diagnostics) 펌웨어, 서버/디스플레이 스테이션용 GUI 소프트웨어 설계부터 스위치 벤치마킹, 보안 검증, 지연 측정까지 포함하는 종합적인 qualification 프레임워크를 제시합니다. 이 연구는 Nuclear Engineering and Technology 저널(Volume 54, Issue 11, 2022)에 Creative Commons 라이선스 open access로 게재되었습니다.

📌 System Architecture

이 프로젝트의 구조는 크게 두 계층으로 나눌 수 있습니다.

첫 번째는 field control path입니다.

Field Sensors / Actuators
        ↓ GPIO / I/O
RTC / RTU Control Node (VME bus, dual redundant)
        ↓ Dual TCP/IP Offload Module (WIZnet)
Switched Ethernet

두 번째는 network/service path입니다.

RTC Control Node
        ↓ TCP/IP over Ethernet
Layer-2 / Layer-3 Switch (triplicated LAN)
        ↓ Switched Network
Central Server (Process Computer) / Display Station (MCR GUI)

Field control path는 센서·액추에이터를 제어하는 실시간 경로입니다. 반면 network/service path는 제어 노드와 중앙 서버/디스플레이 스테이션 간 데이터 통신을 담당합니다. 이 분리가 중요합니다. 정상 조건에서는 주 제어실(MCR)에서 전체 플랜트를 제어하지만, 네트워크 손실이나 진단 실패 같은 장애 조건에서는 RTC 시스템이 항상 fail-safe 출력을 보장하여 플랜트 안전을 유지합니다.

📌 Role and Application of the WIZnet's Chip

이 프로젝트에서 확인되는 WIZnet chip은 W3150A+ 및 NM7010B+ TCP/IP offload module입니다. 이 모듈들은 hardwired TCP/IP stack을 내장한 네트워크 프로세서를 사용하며, RTC 제어 노드의 CPU와 연결되어 이더넷 통신을 처리합니다. 논문에 따르면 PFBR에는 약 1,300개의 WIZnet 모듈이 dual redundant 구성으로 사용됩니다.

이 프로젝트에서 WIZnet 모듈의 역할은 명확합니다. Hardwired TCP/IP stack을 통해 임베디드 시스템 소프트웨어 아키텍처를 단순하고(simple), 결정론적이며(deterministic), 실시간 성능을 보장할 만큼 높은 신뢰성(highly reliable)으로 만드는 것입니다. 각 CPU 카드는 두 개의 네트워크 모듈을 가지며, 모듈당 4개의 소켓을 사용합니다.

이 차이가 중요합니다. 원자력 안전 관련 제어 시스템은 일반 통신 시스템과 다릅니다. TCP retry 값(3회)과 timeout(140 ms)이 모듈 통신에 설정되어 있어, 손상·손실·지연 패킷 상황에서도 예측 가능한 fail-safe 거동을 보장합니다. 논문 검증 결과, WIZnet 모듈은 165시간 burn-in 테스트에서 zero packet drop과 zero malformed packet을 기록했습니다.

📌 Related Existing Contents & Expansion Value

WIZnet Hardwired TCP/IP Chip (W5500 / W3150A+)

Similarity Point:
논문이 사용하는 W3150A+와 NM7010B+는 WIZnet의 hardwired TCP/IP offload 계열로, W5500 등 후속 제품과 동일한 설계 철학(hardwired stack, SPI/버스 연결, 독립 소켓)을 공유합니다. Fail-safe와 결정론적 통신이 필요한 임베디드 제어 use case에서 직접 연결됩니다.

Difference:
일반 maker 프로젝트가 스마트홈·IoT 환경에서 W5500을 사용하는 반면, 이 논문은 원자력 안전 관련 시스템이라는 극한의 신뢰성·규제 요건 환경에서 WIZnet 모듈을 검증합니다.

Connection Value:
두 관점을 함께 보면 WIZnet의 hardwired TCP/IP 접근법이 취미용 IoT부터 원자력 제어까지 확장 가능한 network foundation임을 설명할 수 있습니다.

📌 Market & Application Value

이 프로젝트가 적용될 수 있는 분야는 원자력 발전소 I&C, 발전 플랜트 제어, 산업용 안전 계장 시스템(SIS), 프로세스 자동화, 그리고 결함 허용이 요구되는 실시간 분산 제어 시스템 등입니다.

B2C 관점보다는 B2B/산업 관점에서 의미가 큽니다. 안전 critical 제어 시스템은 규제 승인, 결함 허용, 장기 신뢰성이 핵심이며, 이 지점에서 hardwired TCP/IP stack을 내장한 WIZnet 모듈은 설계상 설득력이 있습니다.

기존 소프트웨어 TCP/IP stack과 비교했을 때, 이 프로젝트의 차별점은 “결정론적이고 검증 가능한 하드웨어 기반 통신”에 있습니다. 소프트웨어 stack은 OS 스케줄링에 따라 지연이 변동될 수 있지만, hardwired stack은 예측 가능한 거동을 제공하여 안전 시스템의 qualification을 단순화합니다.

📌 External Indicators

📌 WIZnet Strategic Value

이 프로젝트의 핵심 가치는 WIZnet의 hardwired TCP/IP offload module이 원자력 안전 관련 실시간 제어 시스템의 통신 backbone으로 검증되었다는 점입니다. WIZnet 모듈은 이 구조에서 단순 네트워크 add-on이 아니라, 결정론적이고 fail-safe한 통신을 보장하는 핵심 요소입니다.

외부 개발자에게 주는 메시지도 명확합니다.

• Hardwired TCP/IP stack은 결정론적 real-time 통신을 제공하고,
• RFC/IEEE 표준 준수로 규제 qualification을 단순화하며,
• Dual redundant 구성으로 fault tolerance를 확보한다.

이 조합은 일반적인 소프트웨어 stack 기반 통신보다 안전 critical 환경에서 설득력이 큽니다. 원자력 제어 노드는 장기간 무중단 운용되어야 하고, 통신 장애가 곧 안전 문제로 이어질 수 있습니다. 따라서 hardwired TCP/IP 기반의 예측 가능한 거동은 실제 제품·시스템 기획 단계에서 중요한 설계 요소가 됩니다.

📌 Summary

이 프로젝트는 인도 PFBR 원자로의 분산 디지털 제어 시스템(DDCS)에 사용되는 TCP/IP 네트워크 구성요소 — 제어 노드의 WIZnet TCP/IP offload module, layer-2/3 스위치, 서버/디스플레이 스테이션 — 를 검증하는 종합적인 suitability analysis 방법론을 제시합니다.

가장 중요한 WIZnet 관점의 가치는 hardwired TCP/IP stack을 내장한 WIZnet 모듈이 원자력 안전 시스템의 극한 신뢰성 요건을 충족하며 검증되었다는 점입니다. 약 1,300개 모듈이 dual redundant로 사용되었고, 165시간 연속 테스트에서 zero packet drop과 zero malformed packet을 기록했으며, RFC/IEEE 표준 준수도 확인되었습니다.

이 프로젝트는 hardwired TCP/IP 접근법이 어떻게 결정론적이고 fail-safe한 통신을 제공하여, 원자력을 포함한 안전 critical 실시간 제어 시스템에서 신뢰성 있게 활용될 수 있는지를 보여주는 검증 사례로 보는 것이 적절합니다.

📌 FAQ

1. 이 프로젝트는 어떤 문제를 해결하려는가?

상용 네트워크 구성요소(스위치, 서버, TCP/IP 모듈)가 원자력 안전 관련 시스템에 적합한지를 규제 기관 승인 관점에서 증명하는 문제를 다룹니다. 논문은 이를 위한 suitability analysis 방법론과 테스트 플랫폼을 제시합니다.

2. WIZnet 모듈은 이 프로젝트에서 어떤 역할을 하는가?

WIZnet의 W3150A+ / NM7010B+ TCP/IP offload module은 RTC 제어 노드의 이더넷 통신을 담당합니다. Hardwired TCP/IP stack을 통해 결정론적이고 신뢰성 높은 real-time 통신을 제공하며, 약 1,300개가 dual redundant로 사용됩니다.

3. 검증 결과는 어땠는가?

165시간 burn-in 테스트에서 zero packet drop과 zero malformed packet을 기록했고, 패킷 손상·손실·지연·순서 뒤바뀜 등 장애 조건에서 예상대로 fail-safe 거동을 보였습니다. RFC-791/792/793 및 IEEE802.3 표준 준수도 확인되었습니다.

4. 개발자가 이 프로젝트에서 재사용할 수 있는 부분은 무엇인가?

제어 노드용 진단 펌웨어와 GUI 소프트웨어 설계, network impairment 기반 테스트 방법론, RFC-2544 스위치 벤치마킹 절차, 스위치 보안 기능 및 DoS 검증 방법, 네트워크 지연 측정 방법을 참고할 수 있습니다.

5. 실제 응답 시간 성능은 어느 정도인가?

운영자 마우스 클릭부터 CPU 명령 처리까지 평균 27.2 ms가 측정되어, 연료 취급 및 제어·안전봉 구동 시스템의 200 ms 요건을 충분히 만족했습니다.

📌 Reference Link

https://www.sciencedirect.com/science/article/pii/S1738573322002972

https://doi.org/10.1016/j.net.2022.06.015