수위계가 멈춰도 탱크 넘침을 막을 수 있을까요?: 번스필드 유류저장소 폭발
액위계와 독립 고액위 스위치가 함께 작동하지 않을 때 탱크 넘침을 어떻게 알아챌 수 있을까요?
30초 요약
2005년 12월 11일 영국 번스필드 저유소에서 휘발유 저장탱크가 넘친 뒤 증기운 폭발과 화재가 발생했습니다. 사망자는 없었지만 40명 넘게 다쳤고 화재는 5일간 이어졌습니다. 넘침을 알려야 할 액위계와 자동으로 입고를 멈춰야 할 독립 고액위 스위치가 모두 제 역할을 하지 못했습니다.
고액위 스위치는 정기적으로 시험했지만 시험 뒤 정상 운전 위치를 유지하는 장치가 빠져 있었습니다. 방호 장치의 개수보다 중요한 것은 무엇을 시험했고, 시험 뒤 어떤 상태로 돌려놓았으며, 그 장치가 실제 입고를 멈출 수 있는가입니다.
작업 배경과 사고 경위
12월 10일 18시 50분부터 UKOP South 배관으로 무연휘발유가 912번 탱크에 들어왔습니다. 탱크 용량은 600만L였고 자동 액위계 ATG의 값은 제어실 화면에 표시됐습니다. 입고 중에는 탱크의 액위가 계속 상승해야 하는 상태였습니다.
11일 03시 05분부터 액위 표시가 더 이상 올라가지 않았습니다. 실제 유입은 계속됐지만 표시가 경보 설정값 아래에 머물러 ATG에 연결된 경보들이 작동하지 못했습니다. 제어실은 경보에 의존해 입고를 감시했고 과충전 위험을 알아차리지 못했습니다.
탱크에는 ATG와 별도로 독립 고액위 스위치 IHLS가 있었습니다. 이 장치는 높은 액위를 감지하면 입고 배관의 밸브를 닫고 경보를 내도록 설치됐습니다. 그러나 이번에는 액위 상승을 감지하지 못해 최종 경보와 자동 정지가 모두 작동하지 않았습니다.
05시 37분에는 탱크가 넘치기 시작했습니다. 휘발유가 지붕 통기구로 흘러나왔고, 방유제 주변에서 보이기 시작한 흰 구름은 바람이 거의 없는 조건에서 주변으로 퍼졌습니다. HSE·환경청 보고서는 이 구름을 탄화수소와 얼음 결정이 섞인 것으로 추정했습니다.
주변 주민과 탱크로리 운전자가 구름을 보고 직원에게 알렸습니다. 06시 01분 화재경보 버튼이 눌렸고 소방펌프가 작동한 직후 큰 폭발이 일어났습니다. 보고서는 펌프 시동 때 생긴 불꽃을 가능한 점화원으로 설명합니다. 그때까지 탱크 밖으로 나온 휘발유는 25만L를 넘었습니다.
폭발 뒤 불은 주변 저장탱크로 번졌습니다. 소방대는 여러 지역에서 동원됐고 대량의 물과 포를 사용했습니다. 연료와 소화수가 방유제 밖으로 새어 배수로와 지하로 이동하면서 화재 진압 뒤에도 환경오염 관리가 남았습니다.
설비·작업 원리
자동 액위계는 운전자가 현재 액위를 보고 입고를 조정하는 수단입니다. 독립 고액위 차단은 운전 감시가 실패했을 때 유입을 끊는 방호입니다. 같은 신호를 여러 화면에 표시하거나 같은 전달기의 설정값을 나누는 것만으로 독립성이 확보되지는 않습니다. 어떤 센서·전원·신호처리·최종 밸브를 공유하는지 확인해야 합니다.
912번 탱크의 IHLS는 시험 레버로 기능 일부를 확인할 수 있었습니다. 시험 뒤 레버를 정상 위치에 두고 자물쇠로 고정해야 했지만, 공급·설치·유지보수 과정에서 자물쇠의 안전상 기능이 제대로 전달되지 않았습니다. 단순히 무단 조작을 막는 장치로 이해한 사람도 있었습니다.
따라서 시험할 때 접점이 바뀌었다는 기록만으로 정상 운전 중 보호 기능을 증명할 수 없었습니다. 레버가 비작동 위치에 남거나 그 위치로 움직일 수 있으면 액위가 높아져도 신호가 나오지 않습니다. 시험 결과에는 작동 확인뿐 아니라 복구 위치와 고정 상태가 함께 남아야 합니다.
ATG의 고착도 갑자기 처음 나타난 문제가 아니었습니다. 2005년 8월 말 정비 후 복귀부터 사고 전까지 14차례 멈췄습니다. 계기를 위로 올렸다가 다시 내려놓는 임시 처치로 표시를 되살리기도 했지만, 고착 원인은 제대로 해결되지 않았습니다. 기록이 빠진 고장도 있었습니다.
반복 고장을 관리할 때는 최근 한 번의 정상 표시보다 고장 빈도와 미해결 원인을 봐야 합니다. 임시 복구 후 언제까지 사용할지, 입고를 중단해야 하는 조건은 무엇인지, 영구 수리와 기능 확인을 누가 끝낼지가 정해져야 합니다. 정상으로 돌아온 숫자가 결함의 제거까지 뜻하지는 않습니다.
입고 계획에는 남은 공간과 유량뿐 아니라 유입을 실제로 멈추는 시간도 들어갑니다. 제어실이 직접 조절하지 못하는 외부 배관 유량이 바뀌면 여유시간도 달라집니다. 경보 확인, 연락, 밸브 작동과 잔류 유입을 모두 고려해 운전 한계를 정해야 합니다.
방유제는 탱크 밖으로 나온 액체를 담는 2차 방호입니다. 하지만 벽 높이와 용량만 맞아도 충분한 것은 아닙니다. 이음부, 관통 배관과 타이바 구멍의 누출 경로가 화재 중에도 막혀 있어야 합니다. 번스필드에서는 이 부분과 외부 저류·배수 체계가 함께 실패했습니다.
스위치 시험은 센서부터 최종 차단 밸브까지 어느 부분을 포함했는지 구분해야 합니다. 레버를 움직여 접점이 바뀌는 시험은 액체가 실제 설정 높이에 도달했을 때의 기계적 움직임이나 밸브의 폐쇄까지 모두 확인한 시험과 다릅니다. 시험 중 우회한 기능이 있다면 작업 종료 때 해제됐는지도 확인합니다. 제조사의 절차가 현장에 설치된 모델과 배선·배관 조건에 맞는지도 함께 검토해야 합니다.
독립 차단 장치의 시험 기록에는 단순한 합격 표시보다 다음 시험자가 재현할 수 있는 조건이 필요합니다. 시험 방법, 작동점, 관찰한 최종 장치의 반응, 정상 복구 상태와 남은 결함을 기록합니다. 고장 수리 뒤에도 같은 기능 범위를 다시 시험해야 합니다. 번스필드의 스위치는 정기 시험을 거쳤지만, 시험 뒤 레버를 정상 위치에 고정하지 않으면 보호 기능을 잃을 수 있었습니다.
공개 사실 시간표와 조사 결과
HSE·환경청은 설계·정비 결함 뒤에 관리 체계의 실패가 있었다고 결론 내렸습니다. 장치 제조사, 설치·정비업체와 운영사가 필요한 정보를 충분히 주고받지 않았고 운영사는 안전 핵심 장치의 구매·설치·시험을 제대로 감독하지 못했습니다.
입고량 증가와 업무 부담, 본사의 기술 지원 부족도 조사 대상이었습니다. 여러 탱크 화면이 겹쳐 있는 제어실에서 912번 탱크 화면은 뒤쪽에 놓여 있었습니다. 경보에 의존하는 운전 방식과 신뢰할 수 없는 계기가 결합해 표시 고착을 발견하기 어려워졌습니다.
BP 텍사스시티와 비교하면 두 사고 모두 액체가 계속 들어오는 동안 실제 재고와 표시값의 차이를 놓쳤습니다. 다만 번스필드는 저장탱크 지붕에서 넘쳤고 BP는 증류탑의 방출 계통으로 액체가 이동했습니다. 현장 비교에서는 설비 이름보다 잘못된 표시 뒤에 남아 있는 차단 기능을 확인하는 것이 유용합니다.
운영사가 외부 전문업체에 정비를 맡겨도 안전 핵심 부품의 기능을 이해할 책임까지 사라지지는 않습니다. 구매 사양에 실제 사용 목적을 적고, 설치 후 도면·설명서와 현장 상태를 맞추며, 설명서가 불충분하면 공급자에게 보완을 요구해야 합니다. 장치가 오직 고액위 차단에 쓰이는지 다른 용도로도 쓰이는지에 따라 필요한 시험과 복구 조건이 달라질 수 있습니다.
방유제의 2차 저류와 부지 전체의 3차 저류는 함께 검토할 부분입니다. 탱크 하나의 누출을 담을 수 있는 공간이 있어도 화재가 길어지면 소화수까지 계속 더해집니다. 배수구와 침투 시설의 위치를 모르면 오염수가 예상하지 못한 경로로 빠질 수 있습니다. 훈련에서는 진압수 공급뿐 아니라 오염수 유출 통보, 배수 차단과 추가 저류 공간의 사용까지 실제 배치에 맞춰 확인하는 것이 좋습니다.
액위계가 멈추면 일부 감독자는 계기를 가장 높은 위치까지 올렸다가 다시 내려놓아 표시를 되살렸습니다. 하지만 고착의 근본 원인은 규명되지 않았고, 고장 기록도 일관되지 않았습니다. 정비업체 역시 반복 출동 횟수를 분석하지 않았습니다. 표시가 다시 움직였다는 사실과 고장 원인을 제거했다는 판단은 별개의 문제입니다. 동일 증상이 되풀이되면 임시 복구 횟수와 운전 조건을 모아 정비 범위를 다시 정해야 합니다.
| 시점 | 확인된 사실 | 근거 |
|---|---|---|
| 2005-12-10 18:50 | 912번 탱크 입고 시작 | HSE p.10 |
| 2005-12-11 03:05 | ATG 표시 고착 | HSE p.10 |
| 2005-12-11 05:37 | 탱크 넘침 시작 | HSE p.11 |
| 2005-12-11 06:01 | 경보·펌프 작동 뒤 폭발 | HSE p.11 |
| 사고 후 | 화재5일, 사망0·부상40명 초과 | HSE pp.11–12 |
피해와 비상 대응
폭발은 인근 산업지역의 건물에도 큰 피해를 줬습니다. 일요일 이른 아침이라 주변이 비교적 한산했고 사망자는 없었지만, 이를 비슷한 탱크 사고의 예상 피해로 삼을 수는 없습니다. 시간대별 재실 인원과 사업장 밖 노출도 함께 평가해야 합니다.
오염물은 새는 방유제와 배수·침투 시설을 통해 지하로 이동했습니다. 보고서는 연료 성분과 당시 소화포의 PFOS를 다룹니다. 저유소 아래 대수층은 식수 취수와 연결돼 있어 환경청의 감시가 필요했습니다. 보고 당시 식수 공급에 영향이 없었다는 설명과 장기 오염 가능성은 별개의 사항입니다.
비상계획에는 불을 끄는 양만큼 오염된 소화수를 어디에 둘지도 정해야 합니다. 배수도와 실제 배수구가 맞는지, 평상시 열린 배출구를 비상시에 누가 차단하는지, 사업장 밖으로 흘러갈 경로는 없는지 현장에서 확인해야 합니다.
우리 현장 확인 질문
| 질문 | 확인 방법 |
|---|---|
| 고액위 스위치 시험 뒤 정상 위치와 고정 상태는 누가 확인하나요? | 시험 절차에 복구·고정 확인과 최종 차단 기능의 확인 범위를 명시합니다. 접점 시험과 전체 계통 시험의 결과를 구별해 기록합니다. |
| 같은 액위계가 반복해서 멈추면 입고를 계속할 기준이 있나요? | 고장 이력과 임시 조치 만료 조건을 묶어 검토합니다. 계기가 다시 움직였다는 이유만으로 고장을 종료 처리하지 않습니다. |
| 외부 배관 유량이 바뀌면 정지 여유시간을 다시 계산하나요? | 잔여 용량과 최대 유입량, 통보·밸브 폐쇄 지연을 함께 검토합니다. 공급 측과 수입 측이 같은 정지 절차를 갖도록 맞춥니다. |
| 방유제의 이음과 관통부는 화재 상황에서도 액체를 잡아두나요? | 도면에서 끝내지 말고 관통부와 배수구를 직접 대조합니다. 누출 경로와 비상 저류 공간을 확인한 뒤 소화수 계획에 반영합니다. |
국내 현장 적용
현재 국내 유사 작업의 기준은 산업안전보건기준에 관한 규칙 고용노동부령 제450호(시행 2026-03-02)입니다. 아래 내용은 현재 작업에 적용할 기준이며 사고 당시의 위법 판단은 해당 사건의 조사·재판 결과를 따릅니다.
제277조는 화학설비를 수리·개조한 뒤 사용하는 경우 등의 점검과 원재료 종류를 포함한 용도 변경 시 점검사항을 정합니다. 부식 검토와 정비 기록을 재사용 승인에 연결합니다.
제279조는 화재·폭발에 의한 산업재해의 급박한 위험이 있는 경우 즉시 작업을 중지하고 안전한 장소로 대피시키도록 규정합니다. 위험이 없다고 확인될 때까지 관계자 외 출입을 금지하고 표시해야 합니다.
이 사고를 현장에서 본다면
저는 복구한 경보와 트립이 실제로 작동하는지를 기능시험으로 확인합니다.
안전상 중요한 미해결 사항은 단순 보완목록으로 넘기지 않고, 가동 전 안전점검 절차에 따라 승인합니다.