재가동 중 액위 표시를 그대로 믿어도 될까요?: BP 텍사스시티 정유공장 폭발
재가동 중 쌓이는 액체를 액위 표시와 방출 계통은 어떻게 알려 주었을까요?
30초 요약
2005년 3월 23일 약 13시 20분, 미국 BP 텍사스시티 정유공장의 이성화 공정 재가동 중 폭발이 일어나 15명이 사망하고 180명이 다쳤습니다. 증류탑에 들어온 액체가 빠져나가지 못한 채 쌓였고, 압력방출 계통을 통해 대기로 쏟아졌습니다.
CSB는 액위계와 경보의 실패뿐 아니라 재가동 준비, 인력·훈련, 임시 건물 배치와 경영진의 공정안전 관리까지 조사했습니다. 이 사고의 재가동 점검은 밸브를 여는 순서에서 끝나지 않습니다. 계기가 보여주는 범위와 실제 재고, 방출물의 도착 위치, 그곳에 머무는 사람까지 이어집니다.
작업 배경과 사고 경위
라피네이트 분리탑은 정비를 마친 뒤 운전에 복귀하는 중이었습니다. 약 52m 높이의 탑 하부를 측정하는 액위계는 탑 전체 액체 높이를 보여주는 장치가 아니었습니다. 정상운전 때 필요한 하부 범위만 읽도록 설치된 계기를 재가동 중 과충전 판단에 사용했습니다.
재가동 전부터 수리가 필요한 계기와 장치가 있었습니다. CSB 조사에서 액위 전달기와 시창의 문제, 움직이지 않는 압력제어밸브가 드러났습니다. 액위 전달기는 정비 일정 안에 수리하지 못했고, 일부 경보 시험도 완료되지 않았습니다. 그런데 절차서에는 관련 확인이 끝난 것으로 서명이 남았습니다.
회사는 정비 후 재가동에 앞서 기술팀이 안전설비, 절차, 교육과 시험 상태를 확인하는 PSSR 절차를 적용해 왔습니다. 그러나 해당 구역의 공정안전 조정자는 적용 범위를 알지 못했고, 이번 재가동에서는 그 검토가 수행되지 않았습니다. 비필수 인원을 주변 공정에서 철수시키는 확인도 이 절차에 포함돼 있었습니다.
3월 23일 새벽에는 라피네이트가 설비에 들어왔습니다. 03시 09분 액위 관련 경보 하나가 울렸지만 별도의 고액위 경보는 울리지 않았습니다. 야간조는 충전 뒤 재가동을 중단했고, 다음 조가 이어받을 때까지 탑의 액체 배출을 조절하는 밸브가 닫힌 상태로 남았습니다.
주간조는 앞선 충전 범위와 완료한 절차를 충분히 전달받지 못했습니다. 절차서는 한 번에 이어지는 재가동을 전제로 했고, 중간에 멈췄다가 다음 조가 다시 시작하는 상태를 다루지 않았습니다. 탑뿐 아니라 열교환기와 연결 배관에도 액체가 들어 있다는 정보가 정확히 공유되지 않았습니다.
이후 3시간 넘게 유입은 이어졌지만 액체가 탑에서 빠져나가지 않았습니다. 실제 재고는 증가하는데 액위 표시가 내려가는 현상까지 나타났습니다. 액체가 탑 상부 배관으로 넘어가 아래쪽 압력방출밸브에 높은 압력을 가했고, 열린 방출밸브를 통해 블로다운 드럼으로 흘렀습니다.
블로다운 드럼과 대기 개방 스택도 액체를 수용하지 못했습니다. 스택 위로 분출한 액체는 떨어지면서 증발해 가연성 증기운을 만들었습니다. CSB는 근처에서 공회전 중이던 디젤 픽업트럭의 역화를 가장 가능성 높은 점화원으로 판단했습니다.
설비·작업 원리
증류는 혼합물을 가열해 성분별 휘발성 차이로 분리하는 작업입니다. 재가동 때는 유입량, 배출량, 가열량과 순환 상태가 계속 변합니다. 정상운전 화면의 액위 숫자만으로 탑 전체 재고를 파악하려 하면 측정 범위를 넘은 액체를 놓칠 수 있습니다.
이 탑의 액위 전달기는 하부 약 1.5m 구간을 측정했습니다. 탑 높이 약 52m와 측정 구간은 큰 차이가 납니다. 표시가 100%에 가까워졌을 때 이는 측정 구간이 찼다는 뜻이지, 탑 전체 용량의 100%를 정밀하게 보여준다는 뜻이 아닙니다. 계기 범위와 실제 설비 치수를 함께 읽어야 하는 이유입니다.
압력방출밸브는 압력이 높아지면 유체를 내보내 설비를 보호합니다. 다만 열린 밸브 뒤쪽이 안전해야 그 기능이 이어집니다. 이번에는 가연성 액체가 대기 개방 계통으로 흘렀습니다. 방출밸브 작동을 확인하는 시험과, 실제 방출량을 드럼이 받아낼 수 있는지 검토하는 일은 서로 다른 점검입니다.
CSB는 이 계통이 액체를 안전하게 수용하고 증기를 처리할 플레어 계통에 연결되지 않은 낡은 설계라고 지적했습니다. 대기 개방구를 높이 설치해도 액체 분출과 증기운 형성의 위험이 사라지지 않습니다. 검토 대상에는 기체 방출뿐 아니라 액체 과충전 시나리오도 들어가야 합니다.
유입·유출 누적량은 액위계와 다른 방식으로 재고 변화를 살펴볼 단서가 됩니다. 그러나 유량계 하나를 추가한다고 자동으로 독립 방호가 생기지는 않습니다. 화면이 불균형을 알아보기 쉽게 보여주는지, 이상을 인지했을 때 누가 유입을 멈추는지, 다른 경로로 유입이 계속될 수 있는지까지 정해야 합니다.
재가동 승인에서는 계기의 고장과 공정 상태의 모순을 연결해 볼 수 있어야 합니다. 예를 들어 공급이 계속되는데 배출이 없고 액위까지 내려간다면, 표시를 믿고 공급을 늘리기 전에 재고 수지를 검토해야 합니다. 이때 유량 누적값과 밸브 위치, 공정 온도 변화가 같은 설명을 뒷받침하는지 확인합니다. 각 계기에는 측정 범위와 오차가 있으므로 하나를 다른 하나의 무조건적인 정답으로 삼지 않습니다.
지원 인력의 이름이 계획표에 있는 것과 실제로 재가동을 지원하는 것도 다릅니다. CSB는 경험 있는 인력이 다른 공정의 정비에 배치되고, 제어실 운전자가 여러 공정을 감시한 상황을 설명했습니다. 재가동 계획에는 누가 다른 업무에서 빠져 현장 확인을 맡는지, 누가 제어실에서 이상 추세를 감시하는지, 책임자가 자리를 비우면 누가 인수하는지가 구체적으로 들어가야 합니다.
공개 사실 시간표와 조사 결과
CSB는 운전자의 절차 이탈을 개인의 실수만으로 설명하지 않았습니다. 재가동 지원 인력, 감독, 교대 인계, 비정상 상황 훈련과 피로를 함께 다뤘습니다. 연속된 장시간 근무와 정비 일정 압박 속에서 여러 설비를 감시하는 체계가 고위험 재가동을 충분히 지원하지 못했습니다.
기존의 낮은 개인 재해율은 대형 누출·폭발 위험을 보여주지 못했습니다. 미끄러짐이나 경미한 부상 기록이 좋아져도 고장 난 안전계기, 반복되는 방출, 미완료 정비가 남을 수 있습니다. CSB는 경영진이 공정안전에 필요한 자원과 성과지표를 별도로 다루도록 권고했습니다.
같은 해 영국 번스필드에서도 액위 표시 실패와 과충전이 증기운 폭발로 이어졌습니다. 텍사스시티는 재가동 중 증류탑과 압력방출 계통, 번스필드는 입고 중 저장탱크와 고액위 차단장치가 핵심이었습니다. 공통으로 살펴볼 것은 표시가 틀렸을 때 유입을 멈추는 방호가 실제 작동하는지입니다.
CSB의 API 권고는 압력방출·감압 설계에서 과충전을 검토하고, 최악의 액체 방출량에 맞는 드럼과 배관 용량을 평가하며, 가연성 방출을 받는 대기 개방 블로다운 계통의 대안을 다루도록 했습니다. 설비를 그대로 둔 채 경보 설정값만 바꾸는 조치는 방출 이후의 피해 경로를 해결하지 못합니다. 설계 변경 검토에는 드럼에서 액체가 넘친 뒤 도달할 장소도 포함돼야 합니다.
공정안전 성과지표는 사고가 난 뒤의 사망·부상 수만 모으는 방식에서 벗어나야 합니다. 이 사례에서 추적할 항목은 미완료 안전계기 정비, 경보 시험 누락, 반복 방출과 재가동 승인 조건의 미충족입니다. 현장 부서가 이 신호를 발견했을 때 예산·인력·일정을 바꿀 수 있는 관리 단계까지 보고가 올라가야 합니다. 현장 개인에게만 주의를 요구하면 반복되는 결함이 남습니다.
| 시점 | 확인된 사실 | 근거 |
|---|---|---|
| 2005-03-22 | 계기·경보 점검 일부 미완료 | CSB pp.48–49 |
| 2005-03-23 03:09 | 액위 경보 작동, 별도 고액위 경보 미작동 | CSB p.50 |
| 2005-03-23 교대 | 야간 충전 후 중단, 배출 밸브 닫힘 상태 인계 | CSB pp.51–52 |
| 2005-03-23 재가동 | 유입 지속·액체 배출 없음, 과충전 | CSB pp.21–23 |
| 2005-03-23 13:20 | 폭발, 사망15·부상180 | CSB p.17 |
| 2007-03-20 | CSB 최종 보고서 | CSB 표제 |
피해와 비상 대응
사망자 15명은 블로다운 계통 가까이에 있던 임시 트레일러 안이나 주변에서 일하던 협력업체 근로자였습니다. 재가동을 직접 조작하지 않는 사람도 공정의 방출·폭발 범위 안에 있으면 피해를 입습니다. 임시 사무실과 휴게·회의 공간의 위치는 편의나 빈자리만으로 결정할 수 없습니다.
임시 건물은 영구 건물보다 쉽게 옮길 수 있지만 폭발에 더 취약할 수 있습니다. CSB는 API에 임시 트레일러를 별도 방법으로 평가하도록 권고했습니다. 배치도 검토에서는 평상시 인원뿐 아니라 정비 기간에 늘어나는 협력업체 인원과 재가동 시점의 잔류 인원도 포함해야 합니다.
대피 계획은 경보를 듣고 나가는 경로만을 뜻하지 않습니다. 재가동 전에 노출 인원을 줄이고, 방출구와 차량 통행·점화원이 겹치는 구역을 통제하는 결정도 피해를 줄이는 조치입니다. 차량 엔진과 임시 설비를 허용할 위치는 예상 누출 범위를 바탕으로 검토해야 합니다.
우리 현장 확인 질문
| 질문 | 확인 방법 |
|---|---|
| 계기 표시와 유입·유출량이 맞지 않으면 어느 단계에서 재가동을 멈추나요? | 계기 측정 범위, 실제 충전량과 배출 경로를 같은 기록에서 비교합니다. 차이를 설명하지 못하면 추가 공급·가열을 진행하지 않는 중단 기준을 절차에 둡니다. |
| 미완료 계기 수리가 남아 있는데 재가동 승인란에 서명할 수 있나요? | 수리 목록과 기능시험 결과를 승인 문서에 연결합니다. 서명 여부만 확인하지 말고 시험한 대상, 미시험 항목과 승인 권한을 추적합니다. |
| 중단된 재가동을 다음 조가 이어받을 때 무엇을 다시 확인하나요? | 마지막 완료 단계, 닫힌 밸브, 이미 채워진 배관·열교환기와 경보 상태를 남깁니다. 계속운전 절차와 중단 후 복귀 절차가 같은지 검토합니다. |
| 압력방출밸브 뒤의 드럼과 배관은 액체 유입까지 견디나요? | 설계 시나리오에서 액체량과 처리 경로를 확인하고, 대기 방출 시 사람·차량에 닿을 범위를 평가합니다. 용량 부족을 운전자의 빠른 대응만으로 보완하지 않습니다. |
| 재가동 시간에 임시 사무실과 주변 작업장에 누가 남나요? | 정비 계약업체까지 포함한 재실 인원과 건물 용도를 확인합니다. 이동 가능한 건물의 재배치와 비필수 인원 철수를 재가동 승인 전에 끝냅니다. |
국내 현장 적용
현재 국내 유사 작업의 기준은 산업안전보건기준에 관한 규칙 고용노동부령 제450호(시행 2026-03-02)입니다. 아래 내용은 현재 작업에 적용할 기준이며 사고 당시의 위법 판단은 해당 사건의 조사·재판 결과를 따릅니다.
제277조는 화학설비를 수리·개조한 뒤 사용하는 경우 등의 점검과 원재료 종류를 포함한 용도 변경 시 점검사항을 정합니다. 부식 검토와 정비 기록을 재사용 승인에 연결합니다.
제279조는 화재·폭발에 의한 산업재해의 급박한 위험이 있는 경우 즉시 작업을 중지하고 안전한 장소로 대피시키도록 규정합니다. 위험이 없다고 확인될 때까지 관계자 외 출입을 금지하고 표시해야 합니다.
이 사고를 현장에서 본다면
저는 기계적으로 조립이 끝났는지와 안전하게 운전할 준비가 되었는지를 나누어 확인합니다.
계기 연결과 경보·트립·인터록 복구, 필요한 기능시험까지 확인 범위에 넣습니다.