Chemical Plant Explosion Accident (Cause) Analysis Using AcciMap and FRAM

채칠 구; 동현 서; 태호 김

doi:10.7731/KIFSE.613c0e37

요 약

화학공장의 사고를 예방하기 위하여 사고의 근원적인 원인을 밝혀내고 대책을 제시하는 것이 중요하다. 눈에 명확하게 보이는 사고 발생 요인들이 존재한다는 가정에 따라 직접적인 사고원인을 제거하면 사고를 예방할 수 있는 경우가 늘어나며, 사고의 원인도 설비적⋅인적 요인 외에 사회적 요인을 포함한 여러 요인이 복합적으로 작용하는 경우가 증가하고 있다. 특히 복잡⋅고도화되고 공정 간의 연관성이 높은 경우 사고 원인을 분석할 때에는 사고의 직접적인 원인을 찾아내는 순차적인 접근과 함께 조직과 관련된 통합적인 시스템 분석방법으로 접근할 필요성이 커지고 있다. 이와 같은 이유로 국외에서는 2000년 전후로 AcciMap과 FRAM 등 시스템적 관점에서 통합적으로 사고를 분석 하는 기법을 도입하여 적용하고 있으나, 아직 국내에서는 적용된 사례나 연구결과를 찾아보기 어려운 실정이다. 본 연구에서는 국내 화학공장에서 발생한 사고사례를 시스템적 사고분석 기법을 이용하여 사고를 분석하였으며 향후 사고조사 시 시스템적 분석기법을 활용할 수 있는 방안을 제시하였다.

ABSTRACT

To prevent accidents in chemical plants, it is important to identify the root cause of the accident and suggest countermeasures. When accident factors are known, eliminating the cause of the accident can increase its prevention. The number of factors, including social factors, in addition to human factors, is increasing. When analyzing the cause of an accident when it is complex, advanced, and the connection between processes is high, there is a growing need to approach it with an integrated system analysis method related to the organization, along with a sequential approach to determine the direct cause of the accident. Several countries have introduced and applied techniques for integrated analysis of accidents from a systematic viewpoint, such as AcciMap and the functional resonance accident model (FRAM) that were developed around 2000. However, it remains difficult to find cases or research results applied in Korea. In this study, accidents in Korean chemical factories are analyzed using systematic accident analysis techniques, and a plan to utilize systematic analysis techniques for future accident investigations is developed.

KeyWords: Accident analysis technique, The map of an accident (AcciMap), Functional resonance analysis method (FRAM)

1. 서 론

화학공장의 화재⋅폭발 및 독성물질 누출로 인한 중대산업사고를 예방하기 위한 공정안전관리제도(PSM) 도입 후 약 25년이 지난 시점(1)에서 화학공장의 시스템 운영수준은 지속적으로 향상되었고 사고의 건수도 점차 감소하고 있지만, 사고가 발생할 경우 사회적인 문제가 되기도 한다(2,3). 사고 원인도 눈으로 보이는 설비적⋅인적 요인 외에 사회적 요인을 포함한 여러 요인이 복합적으로 관련된 경우가 증가(4)하고 있으며, 이러한 사고를 예방하기 위해서는 사고를 분석할 때 사고의 직접적인 원인을 찾아내는 순차적인 접근뿐만 아니라 기술, 조직 등과 관련된 통합적인 관점에서 시스템을 바라보고 접근할 필요성이 증가고 있다. 이와 같은 이유로 국외에서는 시스템을 통합적으로 분석하기 위하여 2000년 전후로 FRAM(5), AcciMap(6,7) 등의 사고분석 기법을 도입하여 적용하고 있으나 아직 국내에서는 적용된 사례나 연구결과를 찾아보기 어려운 실정이다. 본 연구에서는 현재까지 제안된 시스템적 사고분석기법 중 대표적인 것으로 분류되는 FRAM(5)과 AcciMap(6,7)을 이용하여 화학공장의 시운전 중 발생한 사고를 분석하여 사고조사 시 직접적인 원인 이외에 기술, 조직 등 시스템적인 요인이 사고의 원인일 경우 관계 기관 및 사업장에서 사고조사 기법을 적용하여 사고를 예방할 수 있는 정책 방안을 제시하고자 한다.

2. AcciMap and FRAM

2.1 AcciMap

2.1.1 개념

AcciMap은 Rasmussen이 1997년에 발표한 사고분석 모델로 Figure 1과 같이 복잡한 사회-기술적 시스템을 개인과 조직 및 관계자의 계층적 구조로 구성되어 있다고 보고, 이 모델에서의 안전 개념은 각 계층 또는 수준 간의 상호작용(interaction)으로부터 나타나는 속성으로 간주하고 있다. 즉 사고가 발생했던 현장만 볼 것이 아니라 전체 시스템 간에 어떠한 상호작용이 있었는지의 문제를 살펴봐야 한다고 기술하고 있다(8,9).

Figure 1

Risk management in an dynamic society⁽⁹⁾.

AcciMap에서 제시하고 있는 계층 구조는 Figure 2와 같이 정부(government), 규제자/협회(regulators, associations), 회사(company), 관리자(management), 직원(staff), 작업(work)으로 이루어져 있으며, 사고 발생에 기여한 원인 요소들(causal factors)의 연관성에 따라 계층별로 배열하는 방식으로 모델을 작성한다(9,10).

Figure 2

System-based accidents analysis methods⁽¹¹⁾.

AcciMap은 사회ㆍ기술적 시스템의 모든 부분에 있는 요인들이 어떻게 사고에 기여했는지를 입증하는 데 특히 유용하고, 사고를 명확하고 간결하게 요약한 정보를 제공할 수 있고, 전체 시스템 구조에 걸친 사고의 전파를 시각화(visialization)할 수 있는데 이것은 상위 수준에서 안전에 대한 개입을 쉽게 할 수 있다(12).

2.1.2 분석방법 및 절차

AcciMap 기법을 이용하여 사고를 분석하는 순서는 ① 사고 원인을 정리할 빈 AcciMap 준비, ② 사고 데이터에서 분석할 부정적인 결과를 식별, ③ 사고와 인과관계를 가지는 원인을 식별, ④ 각 원인에 대한 적절한 AcciMap레벨을 구분, ⑤ 사고 원인을 준비하고 원인에 맞는 적절한 표현 준비, ⑥ 사고 원인을 재배열하여 인과관계 링크 삽입, ⑦ 인과관계 공백을 채우고, 인과적 논리 확인, ⑧ 안전 권고사항 공식화 순으로 진행한다. 또한 AcciMap 분석절차에서 조직 수준이상의 사고원인을 관련된 개인에 초점을 맞추지 않도록 하고 있다.

2.1.3 적용 사례

AcciMap은 식수 오염, 급성 호흡기 증후군 발생, 가스 플랜트 폭발, 글렌브룩(Glenbrook) 열차충돌과 호주 국방 항공기 사고 등과 같은 다양한 사고를 분석하는데 사용되었다.

2.2 FRAM

2.2.1 개념

Functional resonance analysis method (FRAM)은 레질리언스 엔지니어링(resilience engineering) 및 Safety-II 사고를 반영하는 분석 도구 중 하나로 볼 수 있으며(13) Hollnagel(14)이 2004년에 발표하였다. FRAM의 목적은 일반적으로 발생하는 정상적인 작업에 대한 간결하고 체계적인 설명을 제공하는 것이다. FRAM은 일종의 방법론으로 현상이 발생하는 방식에 대하여 “성공과 실패의 동등성 원칙”, “근사 조정의 원칙”, “발현되는 결과의 원칙”, 기능들의 관계에서의 “기능공명의 원칙” 등 4가지 원칙에 기반을 두고 있다(15).

FRAM은 활동(작업의 일부, 일련의 동작)이 일반적으로 발생하는 방식을 설명하거나 표현하기 위한 체계적인 접근 방식이며, 그 표현방식이 FRAM 모델이라 할 수 있다. FRAM 모델은 Figure 3과 같이 시스템에서 작동하고 있는 기능(function)을 도출하고, 기능의 6가지 측면(입력, 출력, 선행조건, 자원, 통제, 시간)을 육각형의 꼭짓점에 나타낸 후 상호 관계를 선으로 연결하여 작성한다(13,15).

Figure 3

Six aspects of functionality in FRAM⁽¹⁵⁾.

FRAM을 사용하면 사고에 대한 어떤 모형도 가정하지 않고 시스템의 일상적 작동(운영) 상황을 표현할 수 있고, 동일한 현상의 사고가 다양한 원인에 의해 다양한 방식으로 발생할 수 있다는 것을 보여줄 수 있는 장점이 있다(13,15).

2.2.2 분석방법 및 절차

FRAM을 이용한 사고분석은 다음과 같이 이루어진다. (1) 시스템 기능의 도출 및 특성화이다. 여기에는 시스템 자료수집과 기능을 도출하고, 6개 요인에 대한 기능을 특성화하고, FRAM 모델의 현상화가 포함된다. (2) 기능의 수행 변동성을 파악하고, (3) 기능 변동성의 파급효과를 분석(일명 기능공명 파악이라고 함), (4) 기능 변동성 기반의 대응방안을 모색하는 순서로 진행한다.

2.2.3 적용사례

FRAM을 이용한 사고분석은 항공기 사고, 작업방식 이해(보건 분야), 항만의 위험성 평가, 철도사고 분석 등 다양한 분야에 적용하고 있다.

3. 분석대상 선정 및 분석방법

3.1 분석대상 선정

화학공장의 신설설비의 설치 후 시운전 과정에서 원인모를 폭발이 발생하는 사고를 분석 대상으로 하였다. 이러한 유형의 사고는 국내에서 비교적 자주 발생하고 있기 때문에 시스템적 분석을 통해 사고와 관련된 직·간접적인 원인을 추가적으로 찾아볼 필요가 있을 것으로 판단하여 선정하였다.

3.1.1 사고개요

분석대상 사고는 A사 OO공장에서 유리 제조공정 설비의 정비보수 작업 후 시운전과정에서 원인 미상의 폭발이 발생하여 근로자 9명이 부상을 당하고 설비와 공장 구조물이 일부 파손된 재해이다.

3.1.2 사고 발생 공정

전체 공정은 ① 유리를 제작하는데 필요한 원료를 공급받아 계량하고 혼합하여 가마로 공급한 후, ② 계량되어 혼합된 유리 원료를 고온의 용융로 내부에서 녹여 유리 성형의 초기단계인 유리물을 형성, ③ 용융된 유리를 성형화 하여 판 형태로 만든 후, 성형된 유리를 서냉하여 고강도의 유리를 생산하는 공정순이며, 사고는 계량되어 혼합된 유리 원료를 고온의 용융로 내부에서 녹여 유리 성형의 초기단계인 유리물을 형성하는 공정에서 발생하였다.

3.1.3 사고발생 물질 및 설비

사고 발생 물질은 원료인 수소(H₂)와 질소(N₂), 분위기 가스인 혼합가스(H₂ + N₂)를 사용하며, 분위기 가스는 Bath 상부의 노즐을 통해 공급되며 10개의 섹션으로 나누어져 있고, 상압에서 운전되며 운전 온도는 730 °C~1,200 °C이다.

3.2 분석방법

사고 관련 자료는 안전보건공단에서 작성한 재해조사의견서와 사고 조사자 및 일본 사업장 담당, 한국 사업장 공장장, 업무 담당자와의 면담을 통해 수집하였다. 수집한 자료를 바탕으로 AcciMap 및 FRAM 분석 방법에 따른 사고 모델을 작성하고, 사고 원인 관련 요소를 도출하였다.

4. 사고분석 결과

4.1 AcciMap 분석 결과

AcciMap을 통해 도출된 사고 관련 원인 요소들은 Figure 4와 같다. 그림에서 파란색으로 표시한 항목은 재해조사 의견서에서 제시된 사항이고, 붉은색으로 표시한 사항은 면담을 통해 추가로 파악된 사고 관련 요소이다. 재해조사 의견서에 제시된 내용을 보면 관리적인 측면에서 보면 운전절차서에 인화성 물질을 확인하고 제거하는 절차가 없었고, 신설 설비에 대한 공정 위험성 평가를 실시하지 않았으며, 감전 위험에 대한 안전작업 허가서를 발행하지 않았다. 한국공장의 관리감독자는 인화성 가스가 존재하는 지역에 대하여 폭발위험장소 설정을 검토하지 않았고, 정비 보수 협력업체 관리감독자는 신설 설비에 대하여 작업 위험성 을 간과하고 작업하였다. 한국공장의 정비보수 협력업체 작업자는 인화성 가스가 체류할 위험이 있음에도 불구하고 통풍이나 환기 등의 위험성 제거조치를 하지 않았고, 인화성 가스의 농도 측정과 Bath 내부에 인화성 가스가 유입된 상태에서 예방조치를 하지 않고 전원을 투입하였다. 추가적인 면담을 통해 확인한 결과 일본 경영진은 설계, 개발 단계 위험성 평가 결과를 한국 경영진에 공유하지 않았고, 한국소재 일본 생산팀과 생산팀 소속 관리 감독자도 안전작업 지침과 작업 위험성 평가 결과를 한국의 생산팀과 관리 감독자에게 공유하지 않았다. 이 결과를 보면 재해조사 의견서에 제시된 원인 외에 회사의 경영진, 한국과 일본의 생산팀⋅정비보수팀ㆍ관리감독자와 정비보수를 위한 협력업체간의 여러 가지 다양한 요소들 간의 사고와 관련된 원인을 계층별로 도출할 수 있었으며, 원인 요소들 간의 상호 관계를 그림에서 파악할 수 있다.

Figure 4

AcciMap analysis results.

4.2 FRAM 분석 결과

FRAM 분석에 필요한 기능(function)을 도출하기 위한 시스템의 범위는 일본의 설계ㆍ개발 및 운영단계에서 부터 한국의 제조공장에서의 제작ㆍ설치 및 시운전단계의 일련의 작업을 수행하는 과정으로 설정하였다. 사고와 관련된 원인 요소들을 Figure 5와 같이 나타내었다. 모델에서 일본의 설계ㆍ개발 및 운영과 관련된 기능은 녹색, 한국의 설계ㆍ개발 및 운영과 관련된 기능은 회색, 위험성 평가와 관련된 기능은 황색, 안전운전절차와 관련된 부분은 적색, 설비를 제작ㆍ설치하기 위한 협력업체 관련된 기능은 청색으로 표시하였다. 이와 같이 작성된 FRAM 모델로부터 기능의 변동성과 그 파급효과를 파악하여 Table 1에 정리하였다. Figure 5에서와 같은 모델을 이용하면 시스템을 구성하는 기능간의 연결 관계를 파악할 수 있으며, 각 기능으로부터 파생되는 위험성에 대한 예측도 가능하다. 예를 들어 “신설 설비 및 공정의 위험성 평가” 기능에서 생성되는 출력은 “안전작업 허가, 안전운전 지침서 작성” 등 많은 부분에 연결되어 있어 변동성에 따른 파급효과가 클 것을 예상할 수 있으며, “안전작업 절차서 준비” 기능은 “가동전 점검, 시운전 기능”과 연결 되어 있기 때문에 이 또한 변동성의 파급효과가 클 것임을 예상할 수 있다.

Figure 5

A FRAM model related to accident.

Table 1

System Functions, the Variance of Functions, and the Resonance Effects

Major function	Variance of function	Resonance effect of the variance(Casual factor of accident)
1. Establishment of basic plan for facility expansion (Management of Japan)	• Basic plans can be established without considering the overall circumstances of Korea when establishing plans to expand facilities.	• When establishing a facility expansion plan, it is not confirmed that the risks of the design phase are identified in advance
2. Establishment of basic plan for facility expansion (Korea management)	• If the facility is similar to the existing facility, the risk assessment of the new facility may be omitted at the design stage	• Expanded facilities similar to existing facilities, omitted the risk assessment of facilities during the design phase
3. Establishment of basic plan for expansion of facilities by production team (both countries)	• Differences in communication between the two countries exist when establishing a master plan for the expansion of new facilities.	• Communication and basic planning between production team employees dispatched from Japan and employees belonging to Korean factories were not smooth.
4. Establishment of detailed plans for expansion of facilities by production team (both countries)	• In the case of discrepancy between Korean and Japanese laws when establishing detailed plans for expansion of new facilities, it will interfere with the establishment of detailed plans.	• Operation of the new facility expansion was not properly carried out in accordance with the guidelines for change management of the Fair Safety Management System, a domestic law.
5. Establishment of extension plan for Korean production team	• Failure to meet domestic regulations may result in a disruption in the establishment of a facility expansion plan.	• Safety measures and removal of flammable substances are not implemented when handling flammable substances in the Industrial Safety and Health Regulations
6. Identify facility manufacturing and installation companies (Korea Maintenance Team)	• If there is no manufacturing or installation company with sufficient experience and know-how, installation and operation may be disrupted.	• The concentration of flammable gas shall be measured from time to time during operation of the facility, but no measurement is made.
7. Identify facility manufacturing and installation companies (Korea Maintenance Team)	• The variability is low	-
8. Facility manufacturing and installation contract	• If there is no manufacturing or installation company with sufficient experience and know-how, installation and operation may be disrupted.	• The concentration of flammable gas shall be measured from time to time during operation of the facility, but no measurement is made.
9. Communicate health and safety information to suppliers	• If information on risk assessment and safety health is not delivered properly, there is a high risk of accidents such as serious industrial accidents during work.	• Risk assessment such as power outage test and mixed gas mixing test was not conducted, and risk was not properly communicated to suppliers.
10. Support for the establishment of safety work plans for suppliers	• There is a possibility that there will be a deviation depending on the applicant’s experience and skill level when supporting the establishment of a safety plan for partner companies.	• Not aware of the possibility of internal fire or explosion atmosphere after disassembly, repair of hydrogen-based facilities
11. Review Partner Safety Work Plan	• If there is no standardized manual when reviewing a safety work plan, the review of the safety work plan may be omitted.	• Hazardous atmosphere caused by combustible mixer occurs because information on inactivation is not mentioned when supplying atmospheric gas to Bath facility.
12. Risk assessment of new facilities and processes (production and maintenance team)	• Risk assessment results for new facilities may not be shared in advance • May not take action based on risk assessment results	• Experts such as piping, valves, and process design did not participate in the risk assessment because the organization of the assessment team was defined only as "experts who know technical matters about the process clearly"
13. Share new facility process risk assessment results to partner companies	• If the process risk assessment of the new facility is not shared with the partner company, there is a high risk of accidents such as serious industrial accidents during work.	• Risk assessment of hazardous work such as power failure test and mixed gas mixing test was not conducted, and risk was not properly communicated to suppliers.
14. Expansion of new facilities	• Failure to issue a safety work permit may result in an accident	• Electricity-related power outage tests are at risk of electric shock due to high voltage, but no safety work permit has been issued.
15. Pre-operation inspection for facility testing	• Missing items in accordance with pre-operation inspection instructions will not result in accurate inspection	• Accident occurred before pre-operation inspection
16. Test operation in the order of combination- kiln-Bath-LEHR process	• Less likely to be up and running by reorder	-
17. Preparation of safety work procedures	• If the details of the safety procedures are not specific, it is likely to lead to accidents.	• When supplying atmospheric gas to the Bath facility, the information on deactivation is not mentioned in detail, causing a dangerous atmosphere due to the combustible mixer.
18. Prototype production	• The variability is low	-

4.3 분석 결과 비교

4.3.1 사고 원인 관련 요소 도출 결과

AcciMap, FRAM을 이용한 사고 분석결과 모두에서 재해조사의견서에서 제시한 사고 원인보다 더 많은 사고원인 관련 요소를 포함하고 있는 것으로 나타났다. AcciMap 기법에 따른 분석 결과를 FRAM 기법에 반영할 경우 일부 내용을 제외하면 두 기법의 결과는 유사하게 나타났지만 일부 차이를 발견할 수 있다. 이러한 이유는 FRAM 분석기법에서는 기술적인 부분은 변동성이 작은 것으로 간주되는 특성 때문으로 판단되었다.

4.3.2 사고 모형

AcciMap 모형은 그 자체가 사고 원인과 관련된 요소를 포함하고 있기 때문에 모형을 처음 작성한 후 계속해서 사고 관련 원인 요소들을 추가하고 관계도를 수정하는 작업을 반복하는 것이 필요했다. 또한, 모델 자체에 사고의 원인이나 결정 사항이 기술되어 있기 때문에 모델링 과정을 통해 사고 발생에 기여한 직접적인 원인이나 관련 요인들을 찾아 나갈 수 있다.

FRAM 분석에서는 시스템의 범위를 설정한 후에 기능(function)을 도출하고, 도출된 기능 간의 연결 관계를 찾는 과정에서 새로운 기능을 추가하거나 변경하면서 모형을 수정하는 작업이 필요했다. FRAM 모형은 각 기능으로 구성되어 있고, 각 기능간의 연결 관계를 파악할 수 있는 기회를 제공하였지만, 기능의 수가 많아짐에 따라 가독성(readability)이 떨어지는 경향을 보였다. FRAM 분석은 기본적으로 제시된 모델이 없기 때문에 시스템의 범위를 어떻게 설정하는지가 결과에 중요한 영향을 미쳤다.

5. 결론 및 제언

화학공장과 같이 복잡하고 고도화되어 있으며, 공정 간의 연관성이 높은 공정과 관련된 사고를 예방하기 위해서는 사고를 분석할 때 사고의 직접적 원인을 찾아 제거하는 기존의 순차적 접근 방식뿐만 아니라 사회ㆍ기술 및 조직 등과 관련된 전반적인 시스템의 측면에서 접근할 필요가 있다. AcciMap을 이용하면 회사의 경영진, 생산팀ㆍ정비보수팀ㆍ관리감독자와 정비보수를 위한 협력업체 등 여러 가지 다양한 요소들 간의 사고와 관련된 원인을 계층별로 도출할 수 있고, 원인 요소들 간의 상호 관계를 파악할 수 있다. FRAM을 이용하면 사고가 다양한 원인에 의해 다양한 방식으로 발생할 수 있다는 것을 보여주고 있으며 기능적 측면을 고려할 수 있는 장점이 있으나, 공간적ㆍ시간적 상호 의존관계를 명확하게 설명할 수 없는 단점이 있다. 이와 같이 사고를 분석할 경우에는 일차적인 사고 원인을 밝혀내는 것과 더불어 각각의 계층별 문제점과 구성요소 간의 상호관계 및 의사소통의 문제점을 파악하면 전체적인 측면에서 시스템 전체의 구성요소별로 사고를 예방하기 위한 대안도 제시가 가능할 것이다. 본 연구에서 분석하고 평가한 사례는 관련 기관이나 사업장에서 사고예방을 위한 사전 위험성 평가 및 사고가 발생하였을 경우 사고조사 시 관련 전문가가 활용할 수 있을 것이다.