STPA[VisualPro Tech Insight] 전원을 끊을 수 없는 정비 — 인터록이 꺼진 시간을 누가 보고 있는가

VisualPro Tech Brief

전원을 끊을 수 없는 정비가 있다 — 인터록이 꺼진 시간을 누가 보고 있는가

LOTO로 막을 수 없는 정비 — 인터록이 꺼진 시간에 남는 네 겹과, 정비 절차서 한 건에 던질 다섯 가지 질문

반도체 설비 정비 안전  |  STPA 제어 구조  |  VWAY 안전분석 칼럼

LOTO인터록 바이패스SEMI S2 · S10 · E30위험성평가중대재해처벌법STPA

반도체 장비 정비의 기본은 에너지 차단이다. 전원을 내리고 잠그고 표지를 건다. 이게 되는 정비는 안전하다.

문제는 그게 안 되는 정비다. X선 장비의 선량을 맞추려면 X선을 쏴야 하고, RF 매칭을 잡으려면 RF를 걸어야 하고, 반송 로봇의 티칭을 다시 잡으려면 로봇을 움직여야 한다. 전원을 켠 채 커버를 열고 손을 넣는 정비가 있고, 이때는 평소 작업자를 지켜 주던 인터록을 정비 키로 일부러 끈다.

이 시간 동안 작업자를 지키는 건 더 이상 인터록이 아니다. 네 겹의 다른 것들이다.

장치는 다 있다. 질문은 하나다. 이 네 겹이 우리 정비 절차서에서 실제로 작동하는가, 그리고 그걸 누가 확인하는가.

2024년 5월 27일, 한 반도체 사업장에서 웨이퍼 분석용 X선 장비를 정비하던 작업자 2명이 방사선에 피폭됐다. 한 명의 손 피폭선량은 94시버트로, 피부·손발 연간 선량한도(0.5시버트)의 188배였다.

원자력안전위원회 조사에서 드러난 것은 고장이 아니었다. 차폐체를 열어도 X선이 차단되지 않도록 인터록 배선이 변경돼 있었고, 정비는 방사선안전관리자의 개입 없이 자체 절차서와 작업자 판단으로 진행됐다. 방사선안전관리자 2명이 기기 694대를 맡고 있었다. 누가, 언제, 왜 배선을 바꿨는지는 확인되지 않았고 책임에 대한 판단은 수사 중이다.

이 글은 그 책임을 묻지 않는다. 위 표에 대입하면 보이는 것만 본다. ③ 작업 허가가 비어 있었고, ④ 가시성이 비어 있었다. 인터록은 꺼져 있었는데 그 사실이 관리 체계 어디에도 도달하지 않았다. 배선이 바뀐 장비는 겉보기에 멀쩡했고 작업 보고서에는 그 사실이 적힐 칸이 없었다.

반도체 현장의 안전 체계는 촘촘하다. SEMI S10으로 장비 위험을 평가하고 HAZOP으로 공정 편차를 따지고, PTW와 LOTO, 변경관리(MOC)로 정비를 통제한다. 그런데 이 도구들이 던지는 질문을 나란히 놓으면, 전원을 켠 채 인터록을 끈 시간이 어디에도 들어 있지 않다.

제도에도 같은 틈이 있다. 「사업장 위험성평가에 관한 지침」 제15조는 정비·보수를 수시평가 사유로 정하지만 주기적·반복적 작업으로 이미 평가한 경우는 제외한다. 예방정비가 '정기 PM'으로 분류되면, 이번 정비에서 인터록 배선을 건드리는지와 상관없이 평가가 생략될 수 있다. 중대재해처벌법 시행령 제4조는 바로 이 위험성평가 절차를 경영책임자 의무 이행의 근거로 인정한다. 평가가 빠지면 근거도 빈다.

네 겹이 작동하는지는 체크리스트로 답하기 어렵다. 장비에 명령이 들어오는 경로와 정보가 나가는 경로를 한 장에 전부 그려야 보인다. 이것이 STPA(System-Theoretic Process Analysis)의 첫 단계, 제어 구조도다. MIT의 낸시 레버슨(Nancy Leveson) 교수가 체계화한 이 기법은 사고를 부품 고장이 아니라 제어가 부적절하게 이루어진 결과로 보고, 누가 무엇을 통제하며 어떤 정보를 받는지부터 그린다.

아래는 X선 분석 장비 정비를 가상 모델로 구성해 VWAY의 안전분석 도구 VisualPro로 그린 제어 구조다.

그려 놓고 보면 네 겹의 상태가 눈에 들어온다.

이 한 장에서 출발해 위험한 제어 행위 9개와 손실 시나리오 27개를 따라갔다. 나온 대책은 낯설지 않다. Offline 전환, 정비 모드 자동 복원, 작업 유형별 허가, 인터록 기능 시험, 하드와이어 차단 회로. 모두 업계가 아는 것이다. STPA가 한 일은 새 대책을 만든 게 아니라, 아는 대책이 어느 정비의 어느 순간에 빠져 있는지를 명령 경로를 따라 짚은 것이다.

둘로 나눴다. 앞의 셋은 EHS가 내일 절차서를 펴고 확인할 수 있는 것, 뒤의 둘은 장비 구매 사양과 SEMI S2 평가에서 장비사에 요구할 것이다.

전원을 켠 채 인터록을 끄는 정비 절차서 한 건을 고른다. 그 작업 동안 장비에 명령이 들어오는 길과 정보가 나가는 길을 모두 적고 화살표로 이어 한 장을 그린다. 그리고 다섯 질문을 던진다. 답이 막히는 곳이 네 겹 중 비어 있는 겹이다.

VWAY는 그 한 장을 함께 그린다. 인터록을 끄는 정비 절차서 한 건을 보내 주시면 제어 구조 한 장과 다섯 질문의 답을 그려 돌려드린다.