전력계통 · 사고 분석
2025년 4월 28일, 스페인과 포르투갈 전역이 한낮에 멈춰 섰다. 유럽 송전계통 운영자 연합(ENTSO-E)이 11개월 만에 내놓은 472쪽짜리 최종보고서는, 이 사고가 단 한 번의 고장이 아니라 여러 약점이 맞물려 전압을 끌어올린 끝에 일어난 일임을 가리킨다.
한낮 12시 33분, 스페인과 포르투갈의 전등이 한꺼번에 꺼졌다. 신호등이 멈추고 지하철 승객이 터널에 갇혔으며, 병원은 비상발전기로 버텼다. 수천만 명이 길게는 약 10시간 동안 전기 없이 지냈다. 지난 20여 년간 유럽에서 일어난 가장 심각한 정전이었다.
사고 직후 가장 많이 나온 질문은 단순했다. "재생에너지 때문인가?" 태양광과 풍력 비중이 높은 한낮에 일어난 일이라, 손가락은 곧장 그쪽을 향했다. 그러나 11개월간의 조사 끝에 나온 결론은 다른 곳을 가리킨다. 무너진 것은 발전원의 종류가 아니라 전압을 붙들어 두는 능력이었다.
이 글은 ENTSO-E(유럽 송전계통 운영자 연합, European Network of Transmission System Operators for Electricity) 전문가패널이 2026년 3월에 발간한 최종보고서를 바탕으로, 그날 90초 동안 계통에서 무슨 일이 벌어졌는지, 왜 막지 못했는지, 그리고 보고서가 무엇을 바꾸라고 권고했는지를 정리한 것이다. 전력공학을 전공하지 않은 독자도 따라올 수 있도록, 핵심 개념마다 비유를 곁들였다.
한눈에 보기
그날은 스페인의 전형적인 봄날이었다. 기온은 온화했고 대체로 맑았다. 태양광 발전량은 며칠 전과 비슷했고, 풍력은 변동이 있었지만 평소 범위 안이었다. 보고서가 분명히 한 점은, 날씨도 발전량도 수요도 그날 특별히 이상하지 않았다는 것이다. "재생에너지가 평소보다 많아서 사고가 났다"는 가설은 이 지점에서 이미 설득력을 잃는다.
오전 내내 재생에너지 발전이 늘면서 도매 전력가격은 낮아졌고, 스페인은 프랑스-포르투갈-모로코로 합쳐 약 5기가와트(GW)를 수출하고 있었다. 그런데 오전 9시 무렵부터 전압의 변동성이 조금씩 커지기 시작했다. 10시 30분께에는 400킬로볼트(kV) 송전망 일부에서 전압이 435kV에 근접했다 - 다만 넘지는 않았다.
붕괴 30분 전, 계통에는 두 차례의 진동(oscillation)이 나타났다. 12시 03분 - 08분의 첫 진동은 0.63헤르츠(Hz)의 국지적 진동으로, 인버터 기반 설비가 일으킨 것으로 분류됐다. 12시 19분 - 22분의 두 번째는 0.2Hz의 대륙 규모 지역 간 진동(inter-area oscillation)이었다.
전력계통의 진동은 그네를 미는 것과 비슷하다. 그네의 고유 주기에 맞춰 계속 밀면, 작은 힘이라도 흔들림이 점점 커진다. 0.2Hz 진동은 유럽 대륙 전체가 동서로 천천히 출렁이는 큰 그네였고, 0.63Hz 진동은 이베리아 안에서 더 빠르게 떨리는 작은 그네였다. 문제는 이 진동을 잡으려고 운영자가 취한 조치들이었다.
운영자들은 진동을 줄이기 위해 스페인의 수출을 줄이고, 남부의 내부 송전선을 연결하고, 프랑스-스페인 간 초고압직류송전(HVDC, High Voltage Direct Current) 연계선의 운전 모드를 바꿨다. 이 조치들은 진동을 효과적으로 가라앉혔다. 그러나 그 부작용으로 이베리아의 전압이 올라갔다. 진동이라는 한 문제를 끄려다 전압이라는 다른 불씨에 기름을 부은 셈이었다.
그럼에도 12시 32분 00초 시점에 400kV 전압은 420kV 미만이었고, 진폭 20밀리헤르츠(mHz)를 넘는 의미 있는 진동도 없었다. 겉으로 보기엔 계통은 안정돼 있었다. 실제로 사고 전 지역협조센터(RCC)의 운영계획 분석은 계통을 안전하다고 판단했고, 고장 하나가 나도 견디는 'N-1' 기준을 만족한다고 봤다. 위험은 그 어떤 표준 점검에도 잡히지 않은 곳에 숨어 있었다.
전문가패널은 사고가 12시 32분 00초에 시작됐다고 판단했다. 그 순간부터 전 계통이 무너지기까지 걸린 시간은 약 90초. 그 안에서도 결정적 붕괴는 마지막 6초에 집중됐다.
12시 32분 00초부터 48초 사이, 스페인의 대형 재생에너지 발전기(5메가와트 초과)의 유효전력 출력이 약 500MW 줄었다. 이 발전기들이 고정 역률(fixed power factor) 모드로 운전 중이었던 탓에, 유효전력이 줄자 무효전력 출력도 함께 변했다. 같은 시간 배전망에서는 약 317MW의 순부하가 늘었는데, 1MW 미만의 작은 옥상 태양광이 탈락하고 전압 상승에 따라 부하가 늘어난 결과였다.
12시 32분 57초, 그라나다 지역의 한 변전소에서 400/220kV 변압기가 트립됐다. 220kV 측 과전압 보호가 동작한 것이다. 트립 직전 이 변압기는 355MW를 계통에 공급하면서 165메가바(Mvar)의 무효전력을 흡수하고 있었다. 이 설비가 떨어져 나가자 전압은 한 단계 더 뛰었다.
이후 1초 남짓한 사이에 사태가 폭주했다. 12시 33분 16초경 바다호스 지역 2개 변전소에서 727MW의 태양광-태양열이, 12시 33분 17초 - 18초에는 세고비아-우엘바-바다호스-세비야-카세레스에서 928MW의 풍력-태양광이 잇따라 탈락했다. 일부는 과전압 보호 때문이었지만, 패널은 대부분의 트립 원인을 끝내 규명하지 못했다. 다만 일부 발전기의 과전압 보호 정정값이 규정상 허용 전압 한계보다 낮게 설정돼 있었다는 점은 확인됐다. 이 무렵 누적 손실은 2.5GW를 넘어섰다.
12시 33분 19초, 스페인과 포르투갈은 유럽의 나머지 계통과 동기(synchronism)를 잃기 시작했다. 자동 부하차단과 계통방어계획이 설계대로 작동했지만, 붕괴를 막지는 못했다. 12시 33분 20초 모로코와의 교류 연계가 저주파수로 트립됐고, 12시 33분 21초에는 프랑스-스페인 간 교류 가공선이 동기 이탈 보호로 분리됐다 - 이 분리가 교란이 유럽 본토로 번지는 것을 막았다. 마지막으로 12시 33분 24초, 아직 전력을 보내던 HVDC 선로마저 트립되면서 이베리아는 완전히 고립됐고, 모든 계통 지표가 한꺼번에 무너졌다.
대륙의 모든 발전기는 같은 박자로 회전하는 거대한 합주단과 같다. 메트로놈에 맞춰 함께 도는 동안에는 서로를 붙들어 안정된다. 이베리아가 박자를 놓치고 점점 어긋나자, 합주단은 이 한 무리를 강제로 떼어냈다(프랑스-모로코 연계 분리). 본대를 지키기 위한 절단이었지만, 떨어져 나온 이베리아는 홀로 균형을 잡지 못하고 무너졌다.
대형 정전이라고 하면 흔히 '주파수가 떨어져서'를 떠올린다. 발전과 수요의 균형이 깨지면 주파수(유럽은 50Hz)가 흔들리고, 그것이 무너지면 정전이 온다는 그림이다. 그러나 이번 사고의 출발점은 주파수가 아니라 전압이었다. 보고서가 거듭 강조하는 핵심이 바로 이것이다.
전력망을 수도관에 빗대면, 주파수는 물이 흐르는 박자이고 전압은 물을 미는 압력이다. 발전과 수요가 어긋나면 박자(주파수)가 흔들리지만, 이번에는 그 전에 압력(전압)이 먼저 치솟았다. 압력이 너무 높아지면 곳곳의 안전밸브(과전압 보호장치)가 차례로 터지고, 밸브가 터질수록 압력은 더 높아진다. 주파수가 떨어진 것은 이미 발전기들이 우수수 떨어져 나간 한참 뒤, 사실상 마지막 단계의 일이었다.
여기서 무효전력(reactive power)이라는 개념이 등장한다. 전압을 일정하게 유지하려면 무효전력을 적절히 주고받아야 한다. 전압이 낮으면 무효전력을 공급(생산)해 끌어올리고, 전압이 높으면 무효전력을 흡수해 끌어내린다.
맥주를 따를 때 생기는 거품을 떠올려 보자. 거품 자체는 마실 수 없지만(일을 하지 않지만), 거품이 너무 많거나 적으면 잔이 제대로 채워지지 않는다. 무효전력은 전력망의 거품과 같다. 직접 일(유효전력)을 하지는 않지만, 그 양을 맞춰 줘야 전압이 적정선에 머문다. 그날 이베리아에는 전압을 끌어내릴 '거품을 흡수할 능력'이 결정적인 순간에 부족했다.
그날의 붕괴는 하나의 양(+)의 되먹임 고리로 요약된다. 전압이 오르자 일부 발전기의 과전압 보호가 동작해 발전기가 떨어져 나갔다. 그런데 떨어져 나간 발전기들은 원래 무효전력을 흡수해 전압을 눌러 주던 자원이기도 했다. 이들이 사라지자 전압은 더 올라갔고, 그러면 또 다른 발전기가 떨어져 나갔다. 멈출 줄 모르는 고리였다.
이 고리를 끊으려면 두 가지 중 하나가 필요했다. 전압을 빠르게 끌어내릴 무효전력 흡수 자원을 즉시 투입하거나, 발전기들이 전압이 올라도 섣불리 떨어져 나가지 않도록 버텨 주는 것이다. 그날은 둘 다 충분히 작동하지 않았다. 다음 장은 그 이유를 하나씩 짚는다.
전문가패널은 빠른 전압 상승을 만든 요인들을 '근본원인 트리(root cause tree)'로 정리했다. 어느 하나가 단독 범인은 아니었다. 여러 약점이 동시에 맞물렸다. 그중 이해의 핵심이 되는 것들을 추린다.
12시 33분 00초 기준, 남부 스페인의 무효전력 자산 상황은 다음 그림과 같았다. 가장 눈에 띄는 것은 분로 리액터(shunt reactor) - 전압을 끌어내리는 전용 장비 - 의 막대다. 약 2,700Mvar의 흡수 용량이 손도 대지 않은 채 남아 있었다.
전압을 즉시 끌어내릴 수 있는 가장 직접적인 무기가 절반 넘게 묶여 있었던 셈이다. 이유는 두 가지였다. 분로 리액터가 자동이 아니라 수동 조작이어서 운영자의 판단과 처리 시간이 필요했고, 사고 직전 진동을 잡는 과정에서 전압이 낮아지자 일부 리액터가 이미 분리돼 있었다. 전압이 폭주로 치닫는 마지막 국면에서 운영자가 다시 손으로 투입하기엔 사태가 너무 빨랐다.
그날 규정상 재생에너지 발전기는 고정 역률(fixed power factor) 모드로 무효전력을 공급하도록 돼 있었다. 이는 무효전력을 유효전력에 비례해서만 내보내고, 전압 변화에는 반응하지 않는 방식이다.
온도조절기 없는 난방기를 떠올려 보자. 방이 더워지든 추워지든 정해진 세기로만 돈다. 고정 역률 모드의 재생에너지가 그랬다. 전압이 위험하게 치솟아도 "전압을 끌어내리자"고 무효전력 흡수를 늘리는 식의 대응을 하지 못했다. 방이 타들어 가는데 난방기는 설정값만 지키고 있던 셈이다.
여기에 더해, 유효전력이 빠르게 바뀔 때(예: 가격 신호에 따른 출력 조정) 고정 역률 자원은 무효전력도 비례해서 급변시켰다. 즉 전압을 흔드는 쪽으로 작용했다. 재생에너지 자체가 전압을 제어할 수 없는 것은 아니다 - 문제는 그날의 '운전 모드'와 규정이었다. 실제로 스페인은 사고 두 달 뒤인 2025년 6월 해당 운영절차(PO 7.4)를 개정해 재생에너지가 전압 제어에 기여하도록 바꿨고, 이 개정은 2026년 3월에 전면 시행됐다.
유럽 공통 규정(SO GL)이 정한 400kV 송전망의 조화된 전압 범위는 380 - 420kV다. 그런데 스페인은 자국에 적용되는 특례 규정에 따라 과도 상태에서 435kV까지 운전할 수 있었다. 문제는 발전기들이 435kV 또는 440kV에서 분리되도록 설정돼 있었다는 점이다. 운영 상한과 발전기 분리 전압 사이의 여유가 거의 없었다. 전압이 조금만 더 올라도 곧장 발전기 탈락으로 이어지는 구조였다.
분석 결과, 최소 10건의 발전기 분리가 적용 규정과 맞지 않았다. 일부 과전압 보호는 연결점에서 멀리 떨어진 곳의 전압으로 동작하거나, 지연 없이 즉시 트립되도록 설정돼 있었다. 이런 '예민한' 설정은 전압이 잠깐 출렁이거나 과도하게 오를 때 불필요하게 발전기를 떨어뜨렸다.
또 하나의 사각지대는 1MW 미만의 분산 발전, 특히 옥상 태양광이었다. 배전망에 연결된 이 작은 인버터들은 송전단 전압이 허용 범위 안에 있을 때조차 과전압으로 인식해 줄줄이 탈락했다. 그런데 이들은 운영자에게 실시간으로 보이지 않는다. 패널조차 인버터 제조사 두 곳이 자발적으로 제공한 데이터에 의존해야 했을 만큼, 무엇이 언제 얼마나 떨어져 나갔는지 파악하기 어려웠다.
스페인과 포르투갈의 계통방어계획은 주파수 급락에 따라 자동으로 작동했고, 설계대로 움직였다. 그러나 막지 못했다. 패널의 시뮬레이션은, 설령 관성(inertia)이 훨씬 컸더라도 이 사건의 전개 순서상 동기 이탈을 피할 수 없었을 것이라고 본다. 발전기들이 연쇄적으로 떨어져 나가면서 계통을 붙들어 두는 동기화 토크가 너무 빠르게 줄어, 이미 '돌이킬 수 없는 지점'에 도달했기 때문이다. 기존 방어계획은 주파수 문제에 맞춰져 있었지, 빠른 전압 폭주를 끊도록 설계돼 있지 않았다.
보고서 발간 기자회견에서 ENTSO-E 이사회 의장 다미안 코르티나스는 사고의 책임 소재에 관한 질문에 다음과 같이 정리했다.
"문제는 재생에너지가 아니라 전압 제어다 - 발전원의 종류와는 무관하다."
— 다미안 코르티나스, ENTSO-E 이사회 의장 (2026년 3월 기자회견)이 결론은 2025년 6월 스페인 송전사업자 레드 엘렉트리카가 내놓은 자체 보고서와도 맥을 같이한다. 472쪽 보고서에서 '재생에너지'는 거의 언급되지 않으며, 권고의 대부분은 전압 제어에 집중돼 있다. 다만 균형 잡힌 시각을 위해 덧붙이면, 사고를 키운 약점들 - 고정 역률 운전, 소형 태양광의 과전압 탈락, 동기기 감소에 따른 진동 감쇠 부족 - 가운데 상당수가 인버터 기반 자원의 빠른 확산 속도에 규정과 운영 관행이 따라가지 못한 데서 비롯됐다는 점도 사실이다. 즉 "재생에너지가 일으킨 사고"는 아니지만, "재생에너지 시대에 맞게 계통 운영의 틀을 바꾸지 못해 일어난 사고"라는 해석은 가능하다. 보고서의 권고가 가리키는 방향도 정확히 그쪽이다.
붕괴는 90초 만에 일어났지만, 복구는 정연하게 진행됐다. 사고 직후 포르투갈(REN)과 스페인(레드 엘렉트리카)은 각자의 계통복구계획을 즉시 발동했고, 프랑스(RTE)는 자국 전압 회복 절차에 들어갔다.
복구는 두 방향에서 진행됐다. 하나는 자체 기동 능력을 갖춘 발전소에서 시작하는 '아래에서 위로(bottom-up)' 방식의 블랙스타트(black-start)였고, 다른 하나는 프랑스와 모로코 연계선을 통해 외부에서 전기를 받아 '위에서 아래로(top-down)' 살리는 방식이었다. 일부 블랙스타트는 여러 차례 시도 끝에 성공했고, 자체 기동에 실패한 섬은 이웃 구역에서 전기를 받아 되살렸다. 13시 04분 모로코 연계가, 12시 43분과 13시 35분에는 프랑스발 송전선이 차례로 전압을 공급하기 시작했다.
그 결과 포르투갈 송전망 복구는 4월 29일 0시 22분에, 스페인 송전망의 완전 복구는 같은 날 4시경에 마무리됐다. 정전 발생 시점부터 따지면 각각 약 12시간과 16시간이었다. 다만 패널은 복구 과정에서 드러난 약점도 짚었다. 블랙스타트 기동 실패와 섬 유지의 어려움, 일부 배전사업자와 발전사의 음성통신 시스템 장애, 그리고 배전망 복구에 관여한 설비의 관측성 부족이었다.
패널은 이번 사고에서 도출한 21개 권고를 제시했다. 근본원인과 직접 연결된 것과, 조사 결과 도움이 되리라 판단한 것으로 나뉜다. 주제별로 핵심을 정리하면 다음과 같다.
전압 제어와 무효전력 관리
고정 역률 대신 전압에 반응하는 제어 모드를 가능한 한 사용하고, 규정 이전에 연결된 기존 발전기에도 전압 제어 의무를 확대하는 방안을 검토한다. 실시간 전압 측정에 기반한 중앙집중형-구역형 자동 전압 조정도 모색한다.
380 - 420kV의 조화된 범위를 유럽 전역에 실효적으로 적용하고, 그 밖에서 운전하게 하는 예외를 없앤다. 운영 상한과 발전기 분리 전압 사이에 충분한 안전 여유를 확보하기 위함이다.
실시간으로 나타날 계통 수요를 미리 평가해 정적-동적 무효전력 자원을 적절히 조합하고, 분로 리액터를 사전 정의된 제어로 자동 투입하는 방안을 검토한다. 가변 리액터-STATCOM 등 더 유연한 장비도 설계 단계에서 고려한다.
진동 감쇠와 동적 감시
대륙유럽 동기지역(CE SA) 차원에서 요구 감쇠 수준을 정의하고, 전력계통안정화장치(PSS, Power System Stabilizer)와 인버터 기반 감쇠 기능 등을 우선 적용한다. 위상측정장치(PMU)를 효율적으로 활용해 진동을 조기에 자동 탐지하고 발생원을 찾는다.
발전기 탈락 억제
발전기와 인출 설비의 보호 정정값이 하위 계통이용자의 내전압 능력과 정합하는지 점검한다. 측정 오차로 인한 불필요한 탈락을 막도록 과-저전압 임계값과 최소 동작 지연(예: 100밀리초 이상)에 충분한 여유를 둔다.
옥상 태양광을 포함한 Type A 발전모듈이 일정 전압-시간 곡선 동안 분리되지 않고 견디도록 한다. 유럽 전역에 소규모 태양광이 급증한 만큼, 고전압 시 불필요한 탈락을 막는 것이 계통 안정의 관건이다.
배전망에 연결된 인버터(옥상 태양광 등 1MW 미만)의 분리-재병입 거동을 산업계와 함께 규명한다. 이번 조사에서 가장 데이터가 부족했던 사각지대다.
계통방어계획 현대화
분산자원을 인지하는 적응형 저주파 부하차단(LFDD, Low-Frequency Demand Disconnection)을 도입하고, 주파수뿐 아니라 빠른 전압 변화-진동 같은 빠른 이상을 조기에 식별해 기존 수단이 무력화되기 전에 개입하도록 방어계획을 갱신한다.
복구 준비태세
현실적인 블랙스타트 시험을 3년마다, 또는 주요 제어-보호 변경 후 의무화한다. 보조기기-여자기-조속기-소내부하 등 발전소 측 요소까지 점검하고, 가능하면 부하-배터리-양수발전을 포함해 실제 시나리오에 가깝게 한다.
복구 중 분산자원의 단계적 재병입 체계를 마련하고 배전사업자의 가시성을 확보한다. 또한 공중 통신망과 독립적으로 최소 24시간 견디는 정전대비 음성통신과 핵심 도구를 갖춘다. 이번 복구에서 통신 장애가 일부 지역의 회복을 늦췄기 때문이다.
이 밖에 사후 분석용 공통계통모델 스냅샷 절차(R13), 조사 데이터 거버넌스 표준화(R14), HVDC의 STATCOM 무효전력 지원(R12), 복구 공동훈련(R20) 등이 포함됐다. 패널은 권고의 이행 점검이 자신들의 권한 밖이라는 점도 분명히 했다. 권고는 강제가 아니라, 재발 방지를 위한 자발적 조치이자 향후 규제 개정의 토대로 제시된 것이다.
이베리아의 사고는 먼 나라 이야기로만 보기 어렵다. 한국 역시 태양광-풍력 등 인버터 기반 자원이 빠르게 늘고 있고, 호남과 제주처럼 특정 지역에 발전이 몰려 장거리로 전력을 실어 보내는 구조가 강해지고 있다. 이번 사고가 드러낸 약점들은 발전원의 종류가 아니라 '인버터 시대에 맞지 않은 운영 틀'에서 비롯됐다는 점에서, 한국 계통 운영에도 그대로 적용되는 질문을 던진다.
첫째는 무효전력과 전압 제어의 정합성이다. 재생에너지가 전압 변화에 능동적으로 반응하도록 운전 모드와 접속 규정이 설계돼 있는지, 전압을 빠르게 끌어내릴 동적 무효전력 자원(가변 리액터, STATCOM, 동기조상기 등)이 실시간으로 투입될 수 있는지가 핵심이다. 수동 조작에 의존하는 자원은 이번처럼 초 단위로 전개되는 사고에서는 늦을 수밖에 없다.
둘째는 보호 정정값과 분산자원의 관측성이다. 발전기와 인버터의 과전압-내전압 보호 설정이 계통 규정과 정합하는지, 측정 오차로 불필요하게 탈락하지 않도록 충분한 지연과 여유가 있는지 점검할 필요가 있다. 특히 옥상 태양광처럼 운영자에게 보이지 않는 소형 분산자원이 임계 순간에 어떻게 거동하는지는, 한국에서도 데이터가 부족한 사각지대일 가능성이 크다.
셋째는 이런 빠른 전압 동특성을 사전에 들여다볼 분석 역량이다. 패널이 이번 조사에서 대륙유럽 계통의 시뮬레이션 모델을 새로 만들어 진동과 전압 거동을 재현해야 했던 것처럼, 인버터가 일으키는 빠른 현상은 전자기 과도(EMT, Electromagnetic Transient) 수준의 정밀 모사를 요구한다. 사고가 난 뒤가 아니라 나기 전에 위험을 보려면, 계통을 충분히 세밀하게 들여다볼 수 있어야 한다.
이베리아 정전은 거대한 단일 고장이 일으킨 사고가 아니었다. 평범한 봄날, 표준 점검에 모두 통과한 계통에서, 진동을 잡으려는 조치가 전압을 올리고, 올라간 전압이 발전기를 떨어뜨리고, 떨어진 발전기가 전압을 다시 올리는 고리가 90초 만에 반도를 무너뜨렸다. 어느 약점도 단독으로는 치명적이지 않았지만, 같은 날 같은 자리에서 맞물리자 결과는 전면적이었다.
그래서 보고서의 메시지는 어느 한 발전원을 탓하는 데 있지 않다. 인버터 기반 자원이 빠르게 늘어나는 계통에서, 전압을 붙들어 두는 능력 - 무효전력 제어, 보호 정정의 정합성, 분산자원의 가시성, 빠른 현상을 끊어 줄 방어 체계 - 을 그 속도에 맞게 새로 설계하라는 것이다. 21개 권고 가운데 새로운 기술을 요구하는 것은 거의 없다. 대부분 이미 존재하는 수단을, 제때 제대로 쓰도록 운영과 규정의 틀을 고치라는 주문이다.