전력망 제어실의 계측 검증 장치에 대형 언어모델을 붙이려는 시도가 이어지고 있다. 바뀌는 것은 검출 성능이 아니라 검사가 던지는 질문이다. 기존 검사는 계측값이 계통 모형과 앞뒤가 맞는지를 묻고, 새 판정기는 그 운전 상태가 있을 법한지를 묻는다. 질문이 다르면 답을 믿을 근거도 달라진다.
송전망을 운영하는 사람이 보는 화면에는 각 모선의 전압, 각 선로에 흐르는 전력, 차단기의 개폐 상태가 뜬다. 모선은 변전소 안에서 여러 선로와 변압기가 한데 모였다 갈라지는 접속점을 말한다. 그런데 화면의 숫자는 현장 계기가 보낸 값을 그대로 옮긴 것이 아니다. 중간에 상태추정이라는 계산이 한 번 들어간다.
이유는 단순하다. 현장에서 올라오는 값에는 오차가 섞인다. 계기 자체의 정밀도 한계, 통신 중 유실, 고장 난 센서가 보내는 엉뚱한 값이 뒤섞인다. 게다가 계통의 모든 지점을 같은 순간에 다 재지도 못한다. 그래서 제어센터는 들어온 값을 직접 띄우지 않고, 회로 방정식에 가장 잘 들어맞는 하나의 계통 상태를 역산해 그 결과를 화면에 올린다.
출력이 가는 곳은 화면만이 아니다. 어느 발전기를 얼마나 돌릴지 정하는 경제급전, 선로 하나가 갑자기 빠졌을 때 계통이 버티는지 미리 돌려 보는 상정사고 해석이 모두 이 추정 결과를 받아 돌아간다. 추정값을 흔들면 화면과 자동 계산이 함께 흔들린다는 뜻이다. 전력망 사이버보안 문헌이 이 단계를 오래 붙들고 있는 까닭이 여기 있다.
그렇다면 이 계산에 붙어 있는 검사 장치는 무엇을 검사하도록 만들어졌는가. 이 질문에 답하지 않으면 그 다음 논의가 서지 않는다.
상태추정의 틀은 1970년 1월 IEEE Transactions on Power Apparatus and Systems에 3편으로 나뉘어 실린 프레드 슈웨페(Fred C. Schweppe)의 논문에서 나왔다. 존 와일즈와 함께 쓴 1편이 120~125쪽, 더글러스 롬과 함께 쓴 2편이 125~130쪽, 단독으로 쓴 3편이 130~135쪽이다. 이 논문들은 상태를 계산하는 방법과 함께, 모형 오차를 검출하고 식별하는 개념을 처음부터 같이 제시했다. 검사 장치는 설계의 일부였다.
검사의 원리는 잔차다. 추정을 마치면 추정된 상태로부터 되계산한 계측값이 나온다. 실제로 들어온 값과 이 되계산값의 차이가 잔차이며, 잔차의 가중제곱합이 통계적으로 카이제곱 분포를 따른다는 가정 아래 임계값과 비교한다. 임계값을 넘으면 불량데이터가 섞여 있다고 판정하고, 잔차가 가장 큰 계측을 하나씩 빼면서 다시 계산한다.
구체적인 숫자를 넣어 보면 규모가 잡힌다. 연구용 표준 계통으로 널리 쓰이는 IEEE 300모선 계통을 예로 들어 본다. 이 계통에서 계측 행렬은 1,122×300 크기다. 계측 행렬은 계통의 연결 구조와 선로 임피던스로부터 만들어지는 행렬로, 각 상태변수가 각 계측값에 어떻게 반영되는지를 담는다. 계측 1,122개에 상태변수 300개이므로 자유도는 822이고, 유의수준 5%에서 임계값은 약 889.8이다. 잔차 제곱합이 이 값을 넘으면 경보가 뜨고, 넘지 않으면 정상으로 넘어간다.
여기서 이 검사가 실제로 무엇을 묻는지가 드러난다. 이 검사는 지금 계통이 안전한 상태인지 묻지 않는다. 들어온 계측값들이 서로, 그리고 계통 모형과 앞뒤가 맞는지만 묻는다. 두 질문은 겹치는 데가 있지만 같지 않다. 계통이 운영상 위태로운 상태여도 계측값끼리 앞뒤가 맞으면 이 검사는 조용히 통과한다.
이 성질을 공격자 관점에서 정리한 연구가 2009년 시카고에서 열린 ACM 컴퓨터·통신 보안 학술대회에서 발표됐다. 야오 리우, 펑 닝, 마이클 라이터가 쓴 이 논문은 2011년 5월 ACM Transactions on Information and System Security 14권 1호 13번 논문으로 확장돼 실렸다.
핵심은 한 줄짜리 정리다. 계측 벡터 z에 공격 벡터 a를 더할 때, a가 계측 행렬 H의 열들을 선형결합한 것이면 조작 뒤의 잔차 크기가 조작 전과 정확히 같아진다.
a = Hc 이면 ‖za − Hx̂a‖ = ‖z − Hx̂‖
증명은 사영행렬 계산 몇 줄로 끝난다. 추정된 상태는 정확히 c만큼 어긋나는데 잔차는 하나도 움직이지 않는다. c의 각 원소는 공격자가 임의로 고를 수 있으므로 어긋나는 폭에도 상한이 없다. 검출기가 보는 양 자체가 원리상 변하지 않으므로, 알고리즘을 다듬어도 결과는 같다.
계측기를 대량으로 장악해야 하는 것도 아니다. 실제 계통의 계측 행렬은 성긴 행렬이다. 물리적으로 붙어 있지 않은 설비는 서로 연결되지 않으므로 행렬의 대부분이 0으로 찬다. 앞의 IEEE 300모선 계통에서 가장 성긴 열은 0이 아닌 원소가 4개뿐이며, 그 열 하나를 그대로 공격 벡터로 쓸 수 있다. 계측기 1,122개 가운데 4개, 0.4%가 안 된다. 논문의 실험에서 이 벡터를 찾는 데 걸린 시간은 일반 PC로 110밀리초 남짓이었다. 실험은 IEEE 9·14·30·118·300모선 표준 시험 계통을 대상으로 한 모의였고, 실제 계통 자료를 쓴 것은 아니다.
여기까지만 읽으면 방어 쪽이 궁지에 몰린 것처럼 보인다. 그런데 같은 논문이 전제와 한계를 나란히 적어 두었다. 첫째, 공격자는 대상 계통의 현재 구성, 특히 어느 선로가 지금 붙어 있는지를 알아야 한다. 이 정보는 설비 정기보수와 예기치 못한 정지 때문에 수시로 바뀌고 보통 전력회사 제어센터 안에만 있다. 둘째, 계측값 자체를 바꿔야 하는데 계기 상당수는 출입이 통제되는 변전소 안에 있다. 셋째, 이 논문은 직류 조류 모형을 전제했다. 선로 저항을 무시하고 전압 크기를 1로 고정하는 선형 근사이며, 계통이 커질수록 비선형성이 커져 이 근사로 만든 공격의 실효가 줄어든다. 저자들은 결론에서 이 공격들이 현실 제약에 강하게 묶여 있어 당장의 위협은 아니라고 못박았다.
잔차 검정의 빈틈은 계측 배치가 결정하는 구조적 성질에 가깝다. 이를 가장 선명하게 보여주는 것이 임계 계측이라는 개념이다.
이 문제와 해법은 오래전에 정리됐다. 첸젠과 알리 아부르가 2006년 11월 IEEE Transactions on Power Systems 21권 4호 1608~1615쪽에 실은 논문은 불량데이터 검출이 계측 중복도와 직결돼 있어 임계 계측에 실린 불량데이터는 검출되지 않는다고 짚고, 위상측정장치를 몇 군데 전략적으로 더 놓으면 임계 계측을 중복 계측으로 바꿀 수 있음을 보였다. 위상측정장치는 여러 지점의 전압과 전류 위상을 GPS 시각에 맞춰 동시에 재는 장비다. 즉 검출 능력의 한계가 계측 설계의 문제로 진단됐고, 그에 맞는 처방이 함께 제시됐다.
직류 근사를 벗어난 대응도 이어졌다. 가브리엘라 후크와 조지프 지암파파가 2012년 9월 IEEE Transactions on Smart Grid 3권 3호 1362~1370쪽에 실은 논문은 교류 상태추정을 대상으로 은닉형 주입 공격의 취약성을 분석하는 기법을 내놨다. 구차오쥔, 피닛 지루티티자런, 모하 모타니가 2015년 9월 같은 학술지 6권 5호 2476~2483쪽에 실은 논문은 교류 상태추정에서 주입 조작을 검출하는 방법을 다뤘다. 계통 상태가 짧은 시간에 급변하지 않는다는 성질을 이용해, 한 시점의 잔차 대신 시계열의 상관 구조를 보는 접근도 여기 속한다.
이 사실은 논의의 출발점을 바꾼다. 잔차 검정으로는 못 잡으니 새로운 지능이 필요하다는 구도는 성립하지 않는다. 잔차 검정은 애초에 그 일을 하도록 만들어지지 않았고, 그 일을 맡는 다른 방법들은 이미 계통공학 안에 있다. 그러니 언어모델을 이 자리에 놓았을 때 실제로 무엇이 새로 생기는지를 따로 물어야 한다.
최근 몇 년 사이 제어실 자료를 대형 언어모델에 넣고 이상 여부를 묻는 시도가 늘었다. 조류계산 결과표와 계측 자료를 파일로 올리고, 계통 운영의 기본 규칙을 자연어로 설명한 뒤, 어디가 이상한지 짚어 보라고 지시하는 방식이다. 보고되는 판정 근거는 서로 비슷한 종류다. 발전기 출력이 한순간에 수십 퍼센트 뛰는 것은 기계적으로 불가능하다, 전압은 거의 그대로인데 부하만 크게 줄었다면 부하가 전압에 반응하는 방식과 맞지 않는다, 전기적으로 멀리 떨어진 모선들이 똑같은 폭으로 함께 움직이는 것은 자연스러운 부하 변동으로 보기 어렵다.
이 판단들은 잔차 검정을 정밀하게 다듬은 결과가 아니다. 아예 다른 질문에 대한 답이다. 잔차 검정은 계측이 모형과 일관되는지를 묻고, 이 판단들은 그 운전 상태가 있을 법한지를 묻는다.
제어센터의 자료 흐름을 왼쪽에서 오른쪽으로 놓고, 두 검사가 각각 던지는 질문을 아래에 적었다.
있을 법한지를 묻는 일은 원래 사람 몫이었다. 리우와 닝과 라이터도 2011년 논문에서, 오늘날 전력망에서는 제어센터 인력이 의사결정에 관여하며 경험 있는 운전원이라면 이런 공격이 만든 이상을 알아챌 수 있다고 적었다. 그러니 지금 벌어지는 일은 검출기의 성능 향상이라기보다 방어선의 이동이다. 사람이 눈으로 훑고 감으로 걸러 내던 자리에 자동 판정이 들어선다.
이동에는 대가가 따른다. 첫 번째 대가는 기준값이다. 있을 법한지를 판정하려면 무엇이 정상인지 알아야 하는데, 전력망에서 그 기준은 보편 상수가 아니다.
전압 범위가 그런 사례다. 모선 전압이 정격의 0.95배에서 1.05배 사이에 있어야 한다는 값은 자주 등장하지만, 북미 송전망의 신뢰도 기준을 제정하고 강제하는 기관인 NERC가 정해 놓은 숫자가 아니다. NERC의 송전계통 계획 기준인 TPL-001-5.1은 정상 상태 전압과 사고 후 전압 변동에 대해 이렇게 규정한다.
within acceptable limits as established by the Planning Coordinator and the Transmission Planner
계획 조정자와 송전 계획자가 정한 허용 범위 안에서
NERC 신뢰도 기준 TPL-001-5.1, 정상 상태 성능 주석 g
숫자를 기준이 정해 주지 않는다. 그 계통을 계획하는 주체가 정한다. 운영 쪽 기준인 VAR-001-5도 마찬가지여서, 송전 운영자가 전압 또는 무효전력 스케줄과 그에 딸린 허용 대역을 직접 설정하도록 요구한다. 0.95에서 1.05라는 값은 널리 쓰이는 관행이지 규범 자체가 아니며, 회사와 전압 등급에 따라 다르다.
범용 모델이 사전학습으로 갖고 있는 것은 관행 쪽이다. 특정 계통의 실제 허용 대역, 개별 발전기의 실제 출력 변화율 한계, 그 지역 부하의 계절별 특성은 프롬프트에 넣어 주지 않으면 모델 안에 없다. 넣어 준다면 그 값들이 어디서 왔고 누가 갱신하는지가 새 관리 항목으로 생긴다. 판정의 근거는 프롬프트에 실린 표에 놓이는데, 그 표를 관리하는 일은 기존 계통 데이터베이스를 관리하는 일과 성격이 같다.
두 번째 갈래는 화면이다. 단선도를 위조해 운전원이 잘못 판단하게 만드는 공격을 상정하고, 그 화면을 자동으로 읽어 이상을 잡자는 발상이 나와 있다. 단선도는 3상 회로를 선 하나로 줄여 그린 계통도로, 제어실에서 계통의 연결 상태를 보여주는 기본 화면이다.
여기에는 기술적 걸림돌이 하나 있다. 이미지와 문장을 함께 처리하는 모델은 그림 속 요소들의 위치 관계를 잘 다루지 못한다. 2023년 10월 양젠웨이 등이 공개한 세트오브마크 프롬프팅은 이 약점을 우회하는 방법이다. 이미지를 분할 모델로 영역별로 쪼갠 뒤 각 영역에 숫자나 문자 표식을 덧씌워 모델에 넣으면, 모델이 몇 번 영역이라는 이름표를 매개로 위치를 다룰 수 있게 된다. 표식을 붙인 상태에서는 지시 대상을 찾는 과제 성능이 크게 올라간다고 보고됐다.
뒤집어 읽으면 표식이 없는 그림만으로는 위치 판단이 서지 않는다는 뜻이다. 그리고 표식을 미리 붙이려면 어느 영역이 무엇인지 이미 알아야 한다. 화면 위조를 잡겠다는 목적에 비추면 이것은 작지 않은 순환이다. 표식을 붙이는 쪽이 정답 구조를 쥐고 있다면, 그 구조를 화면과 직접 대조하는 결정적 검사를 쓰지 못할 이유가 없다.
더 큰 문제는 전제 쪽에 있다. 사이버 공격으로 실제 정전이 일어난 사례는 화면 위조로 진행되지 않았다.
2015년 12월 23일 우크라이나에서 벌어진 일이 그렇다. 북미 전력업계의 정보공유분석센터인 E-ISAC과 보안 교육기관 SANS가 2016년 3월 18일 공동으로 낸 분석 보고서에 따르면, 그날 오후 3시 35분경부터 키이우주 배전회사에서 110킬로볼트 변전소 7곳과 35킬로볼트 변전소 23곳이 3시간 동안 분리됐다. 뒤에 밝혀진 바로는 배전회사 3곳이 30분 안에 함께 공격받아 약 22만 5000호가 정전됐고, 최소 27개 변전소가 계통에서 떨어져 나갔다.
공격자는 상태추정을 속이지 않았다. 특정 직원을 겨냥해 악성 첨부파일을 보내는 표적형 전자우편으로 업무망에 들어와 자격증명을 훔치고, 가상사설망을 통해 제어망으로 넘어온 뒤, 운전원 워크스테이션에 이미 깔려 있던 원격 관리 기능을 그대로 써서 차단기를 열었다. 화면은 거짓을 보여준 것이 아니라 공격자의 손에 조작되고 있었다. 보고서는 정전의 실제 원인이 제어시스템 자체의 조작과 그로 인한 제어권 상실이라고 못박고, 이후 킬디스크로 워크스테이션의 마스터부트레코드를 지워 시야를 잃게 만든 것은 복구를 지연시킨 요인이었다고 정리했다. 변전소의 시리얼-이더넷 변환장치에는 악성 펌웨어를 올려 원격 복구 경로를 끊었고, 고객센터에는 전화 폭주 공격을 걸어 정전 신고를 막았다.
지금까지 확인된 유일한 계통 정전 공격에서 방어가 무너진 지점은 화면이 진실을 보여주는가가 아니라 누가 조작 권한을 쥐고 있는가였다. 화면 위조 탐지가 방어의 중심이라는 전제는 문헌 속 위협 모형에서 나온 것이지 사고 기록에서 나온 것이 아니다. 그 전제 위에 얹힌 자동 판정기는 실제로 일어난 공격의 어느 단계도 막지 못한다. 자격증명 도용, 원격 접속 경로, 조작 권한 분리가 그 사건의 실패 지점이었다.
세 번째 갈래는 판정기 자체다. 판정하는 주체를 하나 더 놓는 일은 지켜야 할 대상을 하나 더 만드는 일이기도 하다.
화면 이미지를 읽어 판정하는 구성에서 이 문제가 가장 뚜렷하다. 2023년 7월 코넬 테크의 유진 바그다사리안 등이 공개한 연구는 이미지와 소리에 사람 눈과 귀로는 알아채기 어려운 교란을 심어, 여러 양식을 함께 처리하는 모델에 지시를 주입할 수 있음을 보였다. 사용자가 그 이미지에 대해 평범한 질문을 하면 모델이 공격자가 정해 둔 문장을 내놓거나, 그 뒤 대화 전체가 공격자의 지시를 따르게 된다. 공개된 시연은 LLaVA와 PandaGPT라는 두 공개 모델을 대상으로 한 개념 증명이며, 상용 제어실 제품을 시험한 것은 아니다. 화면 조작으로 사람을 속이는 것을 막겠다고 화면을 읽는 판정기를 놓았는데, 그 판정기가 같은 화면을 통해 지시를 받을 수 있다는 뜻이다. 방어 장치가 새 공격 경로가 되는 구조는 보안 설계에서 늘 경계하는 형태다.
재현성도 걸린다. 규제 대상 설비의 판정 장치는 같은 입력에 같은 출력을 내야 사후 검증과 감사가 성립한다. 그런데 언어모델 추론은 표집 온도를 0으로 두어도 실행마다 결과가 달라진다. 2025년 9월 10일 호러스 허와 싱킹머신스랩이 공개한 분석은 그 주된 원인이 부동소수점 연산 순서 자체가 아니라 배치 불변성의 부재라고 짚었다. 추론 서버는 여러 요청을 묶어 한꺼번에 처리하는데, 묶음의 크기가 그때그때 몰리는 요청량에 따라 달라진다. 묶음 크기가 달라지면 내부 합산 순서가 달라지고, 같은 프롬프트라도 출력이 바뀐다. 같은 글의 실험에서는 공개 모델 Qwen3-235B에 온도 0으로 동일한 프롬프트를 1,000번 넣었더니 서로 다른 결과가 80가지 나왔고, 앞의 102개 토큰까지는 모두 같다가 103번째에서 갈라졌다. 연산 커널을 묶음 크기와 무관하게 다시 짜자 1,000개 결과가 서로 같아졌지만 처리 시간이 늘었다. 같은 조건에서 1,000개 요청을 처리하는 데 기존 구성은 26초, 재현성을 확보한 구성은 55초, 주의집중 커널을 손본 뒤에는 42초가 걸렸다.
규제 절차는 이 속도로 움직이지 않는다. 클라우드로 호출하는 판정기를 제어센터 계통에 붙이려면 NERC의 중요기반시설보호 기준, 이른바 CIP 기준의 적용 범위 문제를 먼저 통과해야 한다. 이 기준들은 오랫동안 가상화와 클라우드를 명시적으로 다루지 않았다. NERC가 2024년 7월 관련 개정안을 제출했고, 미국 연방에너지규제위원회는 2025년 9월 18일 승인 제안을 낸 뒤 2026년 3월 19일 명령 제919호로 이를 승인했다. 개정 CIP 기준 11건, 신설 용어 정의 4건, 수정 정의 18건이 여기 들어갔다. 가상 머신과 클라우드 구성 요소를 규칙 안에 자리 잡게 하는 데만 이만한 시간이 들었다.
지연시간은 별개로 남는다. 계통 보호와 실시간 제어의 판단 시간은 초 이하 단위인데 외부 클라우드 왕복은 그 규모가 아니다. 그래서 이런 판정기는 운전원에게 정보를 건네는 층에 놓이게 된다. 그렇다면 그것은 검출기가 아니라 조언자이고, 조언자의 품질 요건은 검출기의 요건과 다르다. 오경보를 몇 퍼센트로 묶었는지보다, 틀렸을 때 사람이 알아볼 수 있게 근거를 내놓는지가 더 중요해진다.
정리하면 이렇다. 상태추정에 붙은 잔차 검정은 계측값이 계통 모형과 앞뒤가 맞는지를 검사하도록 1970년에 설계됐고, 지금도 그 일만 한다. 공격 벡터가 계측 행렬의 열공간에 놓이면 잔차가 전혀 움직이지 않는다는 성질은 2011년에 정리로 확인됐지만, 같은 논문이 공격의 전제와 한계도 함께 적었다. 게다가 잔차 검정의 빈틈은 공격자가 만든 것이 아니다. 임계 계측의 잔차가 0으로 고정된다는 사실은 계측 중복도가 낮으면 저절로 생기는 성질이며, 그에 대한 처방은 2006년에 계측 배치 문제로 제시됐다.
언어모델을 이 자리에 놓았을 때 새로 생기는 것은 다른 검사다. 운전 상태가 있을 법한지를 묻는 검사이고, 그것은 원래 사람이 하던 판단이다. 이 검사에는 세 가지 값을 치러야 한다. 무엇이 정상인지를 정하는 기준값이 계통마다 다르고 표준이 정해 주지 않으므로 그 값의 출처와 갱신 책임이 새로 생긴다. 화면을 읽는 판정기는 화면을 통해 지시받을 수 있어 방어 장치가 공격 경로가 된다. 같은 입력에 같은 출력이 나오지 않는 장치는 감사와 사후 검증이 어렵고, 재현성을 확보하면 처리 속도를 내준다.
그리고 이 검사가 겨냥하는 위협 자체를 다시 볼 필요가 있다. 사이버 공격으로 정전이 일어난 유일한 확인 사례에서 공격자는 계측을 위조하지도, 화면을 위조하지도 않았다. 훔친 자격증명으로 정당한 조작 기능을 썼다. 계측과 화면의 진실성을 지키는 일과 조작 권한을 지키는 일은 다른 문제이며, 지금까지의 사고 기록은 후자를 가리킨다.
남는 물음은 이 판정기를 어디에 놓을 것인가다. 실시간 제어 루프 안에 넣으려면 지연시간과 재현성과 인증 절차를 모두 통과해야 하고, 그 조건들은 서로 맞물려 있어 하나씩 풀리지 않는다. 운전원에게 붙이는 조언 계층에 놓으면 그 조건들은 느슨해지지만, 그때 평가해야 할 것은 검출률이 아니라 사람의 판단을 실제로 나아지게 하는지 여부다. 두 자리는 요구하는 증거의 종류가 다르며, 지금 발표되는 성능 수치의 상당수는 어느 쪽 자리를 겨냥하는지 밝히지 않은 채 제시된다. 그 구분이 정리되기 전에는 같은 숫자가 서로 다른 주장을 떠받치는 데 계속 쓰이게 된다.