설비가 멈추면 위험도 멈춘다는 착각

석유화학 공장의 셧다운 정비, 즉 턴어라운드는 생산설비를 계획적으로 정지하고 검사·세정·교체·보수·개조를 수행하는 기간이다. 평소 접근하기 어려운 설비를 열어 건전성을 회복한다. 그러나 공정이 멈췄다는 사실만으로 설비가 무에너지·무물질 상태가 되는 것은 아니다. 배관에는 잔압과 잔류물이 남고, 드레인과 벤트는 막힐 수 있으며, 연결된 다른 계통은 계속 운전될 수 있다. 질소 퍼지, 스팀 블로잉, 세정, 용접, 인양, 비계 설치처럼 정비를 위해 새로 투입된 에너지도 있다.

따라서 제목의 ‘사고가 집중된다’는 표현을 특정 발생 비율로 단정하는 말로 읽어서는 안 된다. 사업장별 작업 범위와 집계 기준이 다르고, 공개 통계만으로 모든 정비기의 사고 빈도를 하나의 수치로 일반화하기 어렵다. 여기서는 CSB의 기동·정지 사고 안전 다이제스트와 개별 사고조사가 반복해서 보여 주는 구조적 조건을 다룬다. 정비기에는 비정상 상태, 많은 작업자, 임시 구성, 여러 허가 작업과 촉박한 의사결정이 같은 시간과 공간에 겹친다. 위험은 각각의 작업 수가 아니라 이들 사이의 상호작용에서 커진다.

정상 운전의 방호층이 사라지는 과도상태

정상 운전에서는 유량·압력·온도·액위가 정해진 범위에 머물고, 자동제어와 경보, 운전자의 경험도 그 상태를 중심으로 쌓인다. 셧다운과 재가동에서는 밸브 정렬이 계속 바뀌고, 일부 계기는 우회되거나 정비 중이며, 배관은 비워졌다가 다시 채워진다. 액체와 가스의 흐름 방향도 평상시와 달라질 수 있다. 이런 상태를 과도상태 또는 비정상 운전 상태라고 한다. 설비가 완전히 정지한 한 점이 아니라 정상 운전에서 정지로, 정지에서 정비로, 정비에서 재가동으로 이동하는 과정 전체가 관리 대상이다.

미국 OSHA의 공정안전관리 기준 29 CFR 1910.119은 운전절차가 초기 기동, 정상 운전, 임시 운전, 비상정지, 정상정지와 턴어라운드 후 재가동을 각각 다루도록 한다. 이는 같은 설비라도 상태별 위험과 허용 조건이 다르다는 뜻이다. 정지 중에 변경된 계기, 임시 호스, 제거된 블라인드, 잠긴 밸브, 해제된 인터록을 최신 도면과 절차에 반영하지 않으면 재가동 팀은 어제의 설비를 오늘의 도면으로 운전하게 된다. 정비 종료를 작업 완료 목록으로만 보지 않고, 설계 상태와 현장 상태가 다시 일치하는지 확인하는 인계 과정으로 봐야 한다.

동시작업은 허가서 여러 장의 합이 아니다

턴어라운드에는 화기작업, 배관 개방, 밀폐공간 진입, 고소작업, 인양, 방사선투과검사, 전기작업과 세정이 가까운 위치에서 동시에 진행된다. 각 작업이 단독으로 허가 조건을 충족해도 서로의 조건을 깨뜨릴 수 있다. 위층의 용접 불티가 아래층 개방 배관으로 떨어질 수 있고, 세정제가 예상하지 못한 증기를 만들 수 있으며, 이동식 크레인이 대피로를 막을 수 있다. 한 팀의 환기팬이 다른 팀의 가스 구름을 작업자 쪽으로 옮길 수도 있다.

CSB의 Wacker 폴리실리콘 사고 조사 발표는 위험물질이 든 배관에서 볼트 체결 작업이 진행되는 동안 같은 구조물에서 다른 도급 인력이 보온 작업을 하고 있었지만, 동시작업 위험이 평가되지 않았다고 지적했다. 교훈은 허가서별 적합성만 확인해서는 부족하다는 것이다. 공간·시간·에너지·배출 경로가 겹치는 작업을 하나의 지도에서 보고, 충돌하면 순서를 바꾸거나 구역을 분리해야 한다.

실무에서는 매 교대 전 SIMOPS 조정회의에서 작업허가서를 공정구역도 위에 올려놓는 방식이 유용하다. 개방 작업의 바람 방향과 영향 반경, 화기작업 위치, 밀폐공간 출입구, 인양 반경, 비상 대피로, 가스검지기와 소방설비의 사용 가능 상태를 함께 표시한다. 중요한 것은 회의 참석자 수가 아니라 충돌을 발견했을 때 작업을 연기하거나 중지할 권한이 누구에게 있는지 명확히 하는 것이다.

배관 개방은 마지막 볼트가 아니라 첫 식별에서 시작된다

플랜지, 맨홀, 드레인, 계기 연결부를 여는 순간은 잔류 물질이 사람과 직접 만날 수 있는 경계다. 하지만 위험 통제는 볼트를 풀기 직전이 아니라 작업 대상을 식별할 때 시작된다. 같은 높이와 색의 배관이 나란히 지나고, 태그가 난간이나 보온재에 가려지며, 도면의 번호와 현장 표기가 다르면 숙련자도 다른 설비를 선택할 수 있다. ‘근처의 잠금장치가 있는 플랜지’처럼 간접 단서에 의존하는 순간 오인 가능성이 생긴다.

2024년 PEMEX Deer Park 정유공장 황화수소 누출을 다룬 CSB 최종 조사보고서는 도급 작업자가 의도한 플랜지에서 약간 떨어진 활성 배관을 잘못 열었다고 결론 내렸다. 광범위한 작업허가에는 서로 다른 위험의 작업이 묶여 있었고, 작업 중지점과 운전원 입회 조건도 명확하게 실행되지 않았다. 보고서는 정비 중인 인접 유닛의 다수 작업자가 누출 경로에 놓이는 위험도 충분히 평가되지 않았다고 지적했다.

따라서 배관 개방 전에는 최신 P&ID와 현장 배관을 대조하고, 운전·정비 양측이 정확한 작업점을 손으로 가리키는 현장 합동확인을 해야 한다. 태그 번호, 유체명, 흐름 방향, 상·하류 차단점과 블라인드 위치를 독립적인 두 가지 이상 수단으로 확인한다. 작업허가는 ‘이 구역의 여러 블라인드 제거’처럼 넓게 묶기보다 위험과 중지점이 다른 개방 작업을 구분해야 한다. 볼트 일부를 풀기 전 운전원 재확인 같은 홀드 포인트는 문장 한 줄이 아니라 서명·현장 입회·작업 재개 승인의 행위로 설계해야 한다.

격리는 밸브를 닫는 행위가 아니라 무에너지를 증명하는 과정이다

차단밸브를 닫고 자물쇠를 걸었다고 격리가 완성되는 것은 아니다. 밸브 시트는 누설할 수 있고, 공용 헤더나 바이패스, 계기 배관, 열팽창, 중력, 잔류 압력과 반응열이 에너지를 다시 만들 수 있다. 전기뿐 아니라 압력, 온도, 화학반응, 회전, 위치에너지까지 확인해야 한다. 설비의 위험과 작업 결과가 크다면 이중 차단과 배출, 블라인드 삽입 또는 물리적 분리처럼 신뢰도가 높은 방법을 위험성평가에 따라 선택한다.

OSHA의 잠금·표지 절차 해석 지침은 복잡한 공정설비 정비에서 운전원이 계통을 차단·배출·세정한 뒤 정비팀과 에너지 통제를 검토하고, 작업자가 개인 잠금 또는 그룹 잠금 체계에 참여하는 방식을 설명한다. 또한 배관 개방은 운전 부서가 발행한 특별 작업허가로 관리하고 운전원이 감시하는 방식을 제시한다. 핵심은 격리 책임을 운전팀에만 넘기거나 정비팀에만 맡기지 않는 것이다. 운전은 공정 상태를 알고, 정비는 사람이 실제로 노출되는 작업점을 안다. 두 지식이 현장에서 만나야 한다.

격리 확인표에는 ‘밸브 닫힘’뿐 아니라 잔압 배출 확인, 드레인 유로 확보, 퍼지 완료, 검출 대상 물질, 영에너지 확인 방법, 블라인드 번호와 설치 방향, 잠금함 참여자, 교대 인계가 포함되어야 한다. 작업 범위가 변하거나 인접 계통 상태가 달라지면 기존 허가를 그대로 연장하지 말고 격리 경계를 다시 검토한다.

도급 인력 증가는 정보 전달의 설계를 요구한다

정비기에는 전문 공종과 단기 인력이 대규모로 들어온다. 이들은 용접이나 비계, 세정, 검사 기술에는 숙련됐어도 해당 공장의 배관 배치, 경보음, 바람길, 대피 집결지, 운전 중인 인접 계통까지 자동으로 알지는 못한다. 공통 입문교육만으로 오늘 맡은 설비의 위험이 전달됐다고 볼 수 없다. 작업자가 다른 유닛으로 이동하거나 작업 범위가 바뀌면 새로운 공정 위험과 보호조치를 다시 설명해야 한다.

PEMEX 사고에서도 작업자들은 격리·비움이 끝난 턴어라운드 유닛에서 일부 운전 중인 인접 유닛으로 갑자기 재배치됐지만, 달라진 조건을 충분히 전달받지 못했다. OSHA PSM 기준도 턴어라운드·보수·전문작업을 수행하는 도급업체를 별도로 다루며, 원청이 알려진 화재·폭발·독성 누출 위험과 비상조치 정보를 제공하고 도급업체의 수행을 평가하도록 요구한다. 도급업체 역시 작업자가 현장 안전수칙을 이해하고 따르도록 해야 한다.

좋은 인계는 서명 명단보다 확인 질문으로 증명된다. 작업자는 무엇을 열 것인지, 어떤 물질이 남을 수 있는지, 어느 밸브와 블라인드가 자신을 보호하는지, 경보가 울리면 어느 방향으로 대피하는지 자기 말로 설명할 수 있어야 한다. 언어와 문해 수준을 고려한 도면·사진·색상 표기도 필요하지만, 색 하나만을 유일한 식별 수단으로 삼아서는 안 된다.

일정 압박이 방호층을 얇게 만드는 방식

턴어라운드는 정지 하루마다 생산과 계약 일정에 영향을 주므로 진도 압박이 크다. 일정 자체가 사고 원인은 아니지만, 지연 비용만 보이고 위험 비용이 의사결정표에서 사라지면 방호층이 하나씩 얇아진다. 현장 합동확인을 전화 승인으로 바꾸고, 별도 허가가 필요한 작업을 넓은 허가서에 묶고, 검사 결과가 나오기 전에 다음 공종을 투입하고, 가스 수치가 좋았던 과거 기록으로 현재 측정을 대신하게 된다. 야간 연장과 교대 변경은 누가 어떤 격리를 책임지는지 흐릴 수 있다.

일정 관리는 안전과 대립하는 별도 체계가 아니라 공정안전의 입력값이어야 한다. 작업계획에는 격리 설치·검증, 가스 제거, 냉각, 시료 결과, 변경관리, 재가동 전 안전검토에 필요한 시간을 먼저 고정해야 한다. 늦어진 작업을 따라잡기 위해 동시작업을 추가할 때는 SIMOPS 위험성평가를 다시 수행한다. 중지권을 행사한 팀이나 지연을 보고한 감독자가 불이익을 받지 않도록 하고, 생산 책임자와 안전 책임자가 해제할 수 없는 최소 홀드 포인트를 정한다. ‘정시 완료’와 함께 허가 재발행 횟수, 격리 오류 발견, 작업중지 후 개선처럼 선행지표를 관리하면 일정 압박이 숨겨지는 것을 줄일 수 있다.

가스 측정은 허가 도장이 아니라 변화 감시다

개방 전 가스 측정은 설비 안에 무엇이 남았는지 확인하는 중요한 방호층이다. 그러나 한 번의 정상 수치는 이후 작업 전체를 보증하지 않는다. 드레인이 막혔다가 열리거나, 밸브가 누설하거나, 슬러지를 교란하거나, 퍼지와 환기 상태가 바뀌면 대기는 다시 변한다. 측정기는 예상 물질을 감지할 수 있는 센서와 범위를 가져야 하며, 사용 전 기능 확인과 교정 상태, 펌프·호스의 이송시간을 점검해야 한다. 측정 위치도 개구부 한 점이 아니라 상·중·하부, 사각부, 작업자의 호흡 위치와 예상 누출 경로를 반영해야 한다.

한국산업안전보건공단의 상압저장탱크의 검사·보수 및 변경에 관한 기술지침 C-C-6-2025은 탱크 검사·보수 전에 화재·폭발과 질식·중독 위험을 확인하고, 안전작업허가와 필요한 조치를 거친 뒤 작업하며, 내부 검사 또는 보수 시작 전에 가스와 산소 농도를 측정하도록 제시한다. 구체적 허용값은 물질, 작업, 법령과 사업장 기준에 따라 정해야 하므로 이 글에서는 하나의 농도 수치를 모든 작업에 적용하지 않는다.

측정 기록에는 가스명, 위치, 시간, 설비 상태, 환기 조건과 측정자를 함께 남겨야 한다. 화기작업, 밀폐공간, 독성물질 개방처럼 상태 변화가 치명적인 작업은 연속감시 또는 위험 변화 속도에 맞춘 재측정 기준을 정한다. 경보가 울리면 원인을 찾으러 접근하는 절차가 아니라 즉시 작업중지·대피·구역통제 후 권한 있는 인력이 원격 또는 보호된 방식으로 상태를 확인하는 절차가 먼저 작동해야 한다.

재가동은 정비의 끝이 아니라 또 하나의 고위험 작업이다

정비가 끝나면 제거했던 블라인드를 복구하고 밸브를 운전 위치로 돌리며 인터록과 경보를 되살린다. 이때 미완료 작업, 임시 수리, 잘못 설치된 부품, 공구와 잔재물, 반대로 연결된 계기, 닫히지 않은 드레인이 숨어 있을 수 있다. 변경된 설비를 운전자가 이해하지 못하면 공정이 정상 범위로 들어오기 전에 잘못된 대응이 이어진다.

OSHA의 PSM 부록 C 이행 지침은 턴어라운드 중 동종교체가 아닌 변경을 변경관리 절차로 다루고, 도면과 운전절차를 갱신하며, 필요한 교육과 재가동 전 검토를 수행하도록 설명한다. 재가동 전 안전검토는 체크표를 빨리 닫는 회의가 아니다. 설계와 일치하는 설치, 안전·운전·정비·비상 절차, 변경관리 조치, 교육 완료, 안전장치 복구를 현장에서 증명하는 관문이다. 재가동 중에는 필수 인력만 위험구역에 남기고, 비필수 정비와 화기작업을 분리하며, 비정상 징후가 나타날 때 중지할 조건과 책임자를 미리 정한다.

사고 구조를 끊는 여덟 가지 운영 질문

셧다운 정비의 통제 수준은 문서 수보다 다음 질문에 답할 수 있는지로 점검할 수 있다.

  1. 오늘 공정 상태는 완전 정지, 부분 운전, 퍼지, 시험, 재가동 중 무엇이며 현장에 어떻게 표시되는가?

  2. 서로 영향을 주는 동시작업은 누가 매 교대 식별하고, 충돌 시 어떤 작업을 중지하는가?

  3. 개방할 설비를 도면과 현장에서 두 주체가 독립적으로 확인했는가?

  4. 모든 에너지원과 유입 경로를 차단하고 잔압·잔류물 없음까지 어떤 방법으로 증명했는가?

  5. 작업자 재배치와 범위 변경 때 공정 위험·대피·보호조치를 다시 전달했는가?

  6. 가스 측정의 대상, 위치, 시점, 재측정 조건과 경보 후 행동이 위험 시나리오와 맞는가?

  7. 일정이 늦어졌을 때 생략할 수 없는 홀드 포인트와 작업중지 권한이 보장되는가?

  8. 재가동 전 변경, 임시조치, 블라인드, 밸브, 계기, 인터록과 미완료 작업을 누가 최종 확인하는가?

여덟 질문은 독립된 점검표가 아니라 하나의 연결망이다. 배관 식별이 정확해도 격리가 틀리면 위험하고, 격리가 맞아도 인접 화기작업이 시작되면 조건이 변한다. 측정이 적절해도 교대 인계에서 설비 상태가 누락되면 다음 팀은 오래된 전제로 일한다. 그래서 턴어라운드의 핵심 관리 단위는 개별 작업이 아니라 공정 상태와 작업 간 인터페이스다.

결론: 정비 물량보다 인터페이스를 관리하라

셧다운 정비 기간의 위험은 ‘사람이 많아서’ 또는 ‘작업자가 실수해서’라는 한 문장으로 설명되지 않는다. 정상 운전의 안정된 조건이 사라진 상태에서 여러 공종이 겹치고, 배관과 에너지 경계가 계속 바뀌며, 낯선 도급 인력이 일정 압박 속에서 이동한다. 개별 허가와 교육이 존재해도 그 사이의 연결이 끊기면 잘못된 설비 개방, 잔류물 노출, 점화, 대피 지연이 하나의 사고 경로로 이어질 수 있다.

예방의 출발점은 모든 작업을 더 빨리 승인하는 것이 아니라 상태를 보이게 만드는 것이다. 현재 운전 상태, 격리 경계, 동시작업 충돌, 가스 조건, 책임자와 중지점을 한 화면과 한 현장 언어로 맞춘다. 그리고 범위·인력·바람·공정 상태가 변할 때 허가를 다시 검토한다. 턴어라운드는 설비를 멈추는 행사가 아니라 위험의 구성이 빠르게 변하는 임시 공장을 운영하는 기간이다. 그 관점이 서야 정비 완료와 안전한 재가동을 같은 목표로 관리할 수 있다.

참고 자료

표지 사진

Pexels 원본 사진