완벽한 안전은 신기루②...확신의 위험

①에 이어서 계속

우리가 일상적으로 느끼지는 못하지만 공기의 압력은 의외로 엄청 큰 힘이다. 해수면에서는 제곱미터(㎡) 면적에 대략 10톤 정도의 힘이 작용한다. 진공으로 된 방이 있다면 물을 10m 높이까지 채워야 바닥에 작용하는 압력이 같아질 정도로 대기압은 큰 힘이다. (그래서 바다에서 잠수할 때 10m씩 내려갈 때마다 압력은 1기압씩 상승한다.) 2천m에서는 이 기압이 ㎡당 8톤 정도, 10㎞에서는 2.5톤 정도이므로, 10㎞ 고도에서 비행하는 항공기의 내부가 2천m 고도의 기압에 맞춰져있다면, 동체의 안에서 밖으로 밀어내는 압력이 ㎡당 5.5톤에 이른다.

그런데, 항공기를 개발할 때 이 5.5톤의 압력을 견디도록 설계하지 않는다. 대기압이 늘 일정하지도 않고, 운항고도 또한 더 올라갈 수도 있다. 재료의 재질도 완벽하게 균일하지 않고, 제작과정에서의 오차도 있을 수 있다. 이 모든 것 외에도 우리가 인지하지 못하는 불확실한 영역이 존재하기 때문에 설계에 여유를 두어야 한다. 따라서 ‘안전계수’라는 개념을 적용하여 이 배수만큼 여유를 가지도록 만들어진다. 항공기 구조물은 일반 기계, 건물, 교량, 댐과 달리 무게에 아주 민감하다. 안전하게 만들기 위해 구조물을 지나치게 튼튼하게 만들면, 무거워진 만큼 승객과 연료량이 줄어들므로 경제성이 떨어진다. 따라서 이 불확실성의 영역을 얼마나 잘 줄여 최소한의 안전계수에서도 안전과 경제성을 함께 확보할 수 있냐는 것이 곧 기술수준이다. 안전계수가 1인 설계는 없다. 항공기 구조에는 보통 1.5를 적용한다.

항공기 수명 연장으로 생기는 ‘피로 파괴’

2차 세계대전 후반기로 갈수록 연합군 측 항공기들에 원인을 알 수 없는 파손이 늘어났다. ‘피로 파괴’였다. 전투가 격렬할 때는 적기의 기총이나 지상의 대공포에 맞아 손실되는 항공기들이 많았기에 어차피 항공기의 수명이 길지 못했다. 하지만 후반기에는 많은 출격에도 불구하고 전투에서 손상을 입을 확률이 낮았기에 항공기의 비행시간이 자연히 길어졌고, 그에 따라 이전에 드러나지 않던 피로 파괴 현상이 보이기 시작한 것이다. 의약의 발달로 수명이 늘어난 인류에게 각종 노인성 질환이 늘어난 것과 같은 이치이다. 항공기에서 발견된 이런 피로 파괴들은 이후 개발되는 항공기의 설계에 반영되었다.

코멧이 설계될 당시 규정에서는 정적 안전계수는 2로 하여 설계하며, 기준 하중의 1.33배의 조건에서 시험하여 손상이 발생하지 않음을 보여야 했다. 즉, 기본 조건에서 동체 안팎의 압력 차이로 ㎡당 5.5톤의 압력이 작용한다며, 설계에서는 11톤의 압력에도 견딜 수 있도록 하여야 하고, 5.5톤의 1.33배인 7.3톤의 압력을 실제로 가한 다음 손상 유무를 확인해서 검증하여야 했다. 또한 1.25 배의 하중을 1만번 이상(이후 규정에서는 1만5,000번) 가해 피로 파괴가 일어나지 않음을 보여야 했다. 개발과정에서 이 기준은 조금씩 상향되었으나, 코멧은 아무런 문제가 없었다.

코멧의 개발사인 de Havilland사는 안전계수를 규정보다 더 높게 책정하여, 설계에서 2.5를 사용하였고, 2배의 하중을 가해서 구조물이 잘 견딤을 확인하였다. 피로 하중 또한 개발 과정 중 2년간에 걸쳐 1만6,000 번 이상의 반복된 하중을 가했음에도 아무런 문제가 발생하지 않았다. 따라서 불과 1,000번 내외의 이착륙만 한 항공기들에서 발생한 사고였기에 피로파괴는 원인에서 제외되었다.

철저한 사고 분석...의외의 결과가 나오다

가능한 모든 조치를 취했음에도 동일한 양상의 사고가 또 발생하자 사고조사위원회는 문제의 원인에 대해 다시 짚어보기 시작했다. 이번에는 피로 파괴에 대한 가능성도 보기로 했다. 이를 위해, 당시 운용 중이던 코멧 항공기 한 대를 사진에서 보는 것처럼 통째로 물탱크 속에 넣고 압력 시험을 실시했다. 공기 중에서 시험할 수도 있었지만, 시험 중 구조 손상이 생겨 파손되는 경우 고공에서의 공중 폭발과 같이 파괴가 급속히 진행되고 잔해가 흩어질 수 있기에 동체 안과 밖을 모두 물로 채우고, 동체 내부의 수압을 올려 외부와 압력 차이를 주었다.

이 시험 결과 놀랍게도 1,836번(문헌에 따라 몇 번의 차이가 존재)만에 균열이 발견되었다. 당시 이 기체는 1,221회 비행했으므로 그걸 감안하면 3,057번 만에 피로에 의한 균열이 생긴 셈이다. 비록 전방 동체와 중간 동체를 나누어서 한 시험이었지만, 기존에 확인한 전방동체 1만8,000회, 중간 동체 1만6000회의 수명보다 터무니없이 낮은 수치였다. SAA 201편 항공기는 불과 800여회 만에 사고가 일어났다. 조사에 사용되었던 이 기체도 만일 운항을 지속했으면 동일한 사고에 직면했을 것이었다.

한편, 사고기의 잔해를 수거한 후 복원하여 사고의 원인을 찾는 작업도 진행되고 있었다. 1954년 4월에 추락한 SAA 201편 항공기는 수심 1,000m의 해저 면에 가라앉았지만, 1월에 추락한 BOAC 781편 항공기는 엘바 섬 근처의 수심 100m 정도 바다에 파편이 떨어지면서 잔해 수거가 가능했다. 최초로 수중 TV까지 도입해 잔해를 회수한 결과 구조물의 70% 정도, 엔진은 80% 정도의 잔해를 건질 수 있었고, 이를 이용해 복원한 결과 손상이 조종석 뒤쪽 천장에 설치된 항법용 안테나 창틀에서 시작되었을 가능성이 보였다. 수조시험에서 확인된 손상 부위는 비상 탈출구 쪽 창으로 BOAC 781편 항공기의 손상 부위와 위치는 달랐지만 형태는 유사했다.

둘 다 창의 모서리에서 피로에 의한 균열이 발생한 것이었다. 지금의 여객기들은 창을 거의 둥근 형태에 가깝게 제작한다. 모서리가 날카로우면 그 부근에 힘이 집중되어 불리하다. 이 부분은 판을 겹치고 리벳으로 고정하였는데, 그 작업과정에서 리벳접합부 주위에 작은 균열들이 발생하고, 이것이 사용시간이 늘어나면서 점차 커져 피로파괴로 이어졌다. 사고의 직접 원인은 이것으로 확인되었다. 하지만 보다 근원적인 의문이 발생했다. 왜 이런 결함이 개발과정에서는 발견되지 않았냐는 것이었다.

사고조사위원회에서 밝혀낸 원인은 개발 과정에서의 부적절한 시험절차 때문이었다. de Havilland 사는 안전도를 높이기 위해 개발과정에서 규정(1.33배)보다 오히려 더 가혹한 2배의 하중을 가한 후 구조물에 이상이 없는 것을 확인한 다음, 그 기체를 이용해 피로 시험을 실시했다. 이때 당시 아무도 인지하지 못했지만, 시험 중에 가해진 높은 압력으로 재료들이 눌리면서 작은 균열들이 메워지는 ‘뜻밖의 효과’가 발생하였다. 이 덕분에 충분한 피로수명을 인증 받은 항공기는 성공적으로 개발과정을 졸업하였다. 하지만, 이후 양산 과정에서는 더 이상 그런 시험이 (절차상) 필요 없었기에 생략되었고, 제작 과정에서 발생한 작은 균열은 그대로 남아 결국 짧은 피로수명으로 이어진 것이었다.

안전도를 올리기 위해 한 작업이 오히려 안전을 떨어뜨린 결과를 낳았지만, 당시 어느 누구도 예견할 수 없는 일이었다. 현재는 절차가 개선되어, 더 이상 정적 하중 시험을 거친 항공기를 가지고 피로 시험을 하지 않는다. 또한 모서리를 훨씬 둥그스름하게 만든다. 영국정부는 이 보고서의 전면 공개를 결정하였고 전세계 누구나 볼 수 있다. 비행기를 개발하는 모든 회사들은 이제 동일한 실수를 반복하지 않아도 된다. 현대의 항공기 안전은 이런 수많은 희생과 이어진 합리적 개선 절차 덕분에 확보된 것이다.

사고조사 결과를 바탕으로 안전도와 성능이 훨씬 개량된 코멧4가 개발되었고 1958년 비행을 재개하였다. 하지만 그로부터 두세달 후, 코멧보다 성능이 월등히 뛰어난 보잉 707기가 상용 운항을 시작하였고, 곧이어 더글러스사의 DC-8기도 대서양 횡단 비행에 투입되었다. 모두 코멧보다 크고 빠르고 더 긴 거리를 날 수 있었다. 새로운 기술로 개발된 뛰어난 성능의 후발 주자 등장에 코멧이 활동할 수 있는 공간은 없었다.

6년 앞서 시작하여 최초의 상용 제트 여객기로서 선점 효과를 누릴 수 있었지만 설계 오류를 만회하느라 들인 시간으로 인해 그 기회를 상실했다. 코멧은 추가로 좀 더 제작되어 영국군에서 일부 사용하기도 하였지만, 민간에서의 정기 운항은 1980년에 막을 내렸다. 시제기 포함 총 114대가 제작되었다.

복잡계 설계의 핵심 fail-safe 개념 정립

코멧의 사고는 항공기 안전도 향상에 큰 기여를 했다. 코멧이 아니었어도 누구에게나 벌어질 수 있는 사고였다. 우리의 인지 능력이 미치는 범위에서 최대한 성실하게 대비하였지만 안전을 확실하게 보장하는 것은 불가능하다는 것을 깨달았다. 이것은 이후 항공기나 원자력 발전소처럼 복잡한 시스템의 안전 설계 철학에 기본 변화를 가져왔다.

이전의 방식은 운용기간 내내 안전할 수 있도록 설계에 충분히 반영하는 것(safe-life)이라면, 이제는 파손이 생기더라도 시스템의 안전이 확보되도록 하는 개념(fail-safe)이 함께 적용된다. 고장이 나지 않는 구조물을 설계하는 것이 아니라, 예를 들어 구조물을 3중으로 설계하고 그 중 하나가 고장이 나더라도 남은 두 개를 이용해서 안전하게 가까운 곳에 착륙하도록 만드는 것이다. 현재는 새로 개발되는 항공기가 형식승인을 받으려면 어떤 단일 고장이라도 그것 때문에 비행기가 파손되는 일이 없다는 것을 입증해야 한다.

얼마 전 우리 공군의 최신 전투기 F-35기의 일부 핵심 기능이 작동 불능상태에 빠지자 조종사가 긴급하게 동체 착륙을 하였다. 엔진은 작동하였지만 주요 계기가 모두 작동 불능 상태이고 착륙장치 또한 내려지지 않았다. 이후 조사에서 새가 엔진 흡입구로 빨려 들어가면서 이상을 일으킨 것이 1차 원인이며, 이후 어떤 계통으로 그런 현상이 발생했는지는 조사 중이라고 한다. 이런 고성능 항공기의 조종간은 모두 전자식으로 작동한다. 대부분의 항공전자장비가 작동하지 않았음에도 그나마 조종간은 작동했다는 것은 이런 fail-safe 설계의 덕분이다. 핵심 장비들은 다중화 되어 있고 분산되어 있다. fail-safe 개념의 적용으로 항공기의 안전은 크게 개선되었다.

완벽한 안전은 어디에도 없다

하지만 이런 fail-safe 설계조차 안전을 완벽하게 보장하지는 못한다. fail-safe 개념은 사고의 유형을 고려해서 그에 대한 대비를 하는 것인데, 이 사고의 유형은 우리가 생각하는 범위 내에서만 만들어 낼 수 있는 것이고, 그나마 어디까지 적용할 것인지에 대해 여전히 사람이 판단하는 몫이 남아있다.

한 때 여객기 시장에서 아무도 넘보지 못할 ‘절대 강자’ 보잉을 현재와 같은 위기로 빠뜨린 737MAX 항공기가 좋은 사례이다. 737MAX 항공기는 7,000대 이상 제작된 베스트셀러 737NG의 성능을 한 단계 업그레이드 시킨 항공기로 주목 받았다. 더 커진 고효율의 엔진은 항공기 주위를 지나는 공기의 흐름에 영향을 미쳐 이전과는 약간 다른 불안정한 영역이 새로 생겼다. 이를 바로 잡으려 보잉은 기수가 지나치게 들릴 경우 이를 감지해서 자동으로 내리는 MCAS라는 기능을 만들어 비행제어 컴퓨터에 넣었다. 이 기종의 조종 계통은 이전의 737처럼 이중화(二重化) 되어 있다. 하나가 고장 나더라도 다른 하나를 이용해서 안전하게 착륙하도록 만들어졌다.

하지만, 완전한 이중화(二重化)가 아니었다. 계통은 서로 독립되어 있었고, 주작동 상태의 감지기가 고장날 경우 다른 쪽에서 이걸 인지하고 개입할 수 없는 불완전한 구조였다. 정상적인 비행 상태였음에도 불구하고, 고장 난 감지기에서 오는 정보를 받은 비행제어컴퓨터는 항공기가 불안전한 상태로 빠질 것으로 판단하고 기수를 숙이는 명령을 계속 내게 된다. 고도가 떨어지자 조종사는 사력을 다해 다시 복구하고, 컴퓨터는 기수를 더욱 숙이고, 이 과정이 반복되면서 결국 추락에 이르게 되었다.

이런 가능성에 대해 아무도 생각을 못한 건 아니다. 보잉 내부에서도 개발 당시 이런 가능성에 대해 의문을 제기했으나 가능성이 높지 않다고 묵살되었다. 가장 좋은 것은 감지기를 삼중화(三重化)시켜 투표를 통해 값이 이상한 하나를 제외시키는 방법이다. 하지만 감지기 두 개가 동시에 고장 나는 바람에 항공기가 추락한 경우도 생겼으므로 이것도 완벽하지는 않다. 또한 737NG 기종에서 이런 2중 구조로도 오랫동안 문제없이 날았으니 신형비행기도 그럴 것으로 기대했다. 하지만 신형 비행기에 설치된 MCAS의 자동 조종장치는 그런 의도대로 작동하지 않았다. 두 감지기에서 나오는 신호를 비교하여 차이가 날 경우 조종사에게 알려주는 기능만 있었어도 조종사는 이 기능을 끈 채 수동으로 정상 비행할 수 있었을텐데, 보잉은 그러지 않았다.

복잡계 어디에서나 발생할 수 있는 예측불가형 사고

원자력 발전소는 핵분열을 적절히 제어해서 원하는 전력을 생산하는 장치인데, 이 제어기능이 작동하지 않으면 노심은 현대 기술로서는 손쓰기 어려운 고온 상태로 빠져버리게 된다. 따라서 냉각 기능이 중요한데, 단일 방식은 신뢰성이 제한되므로 당연히 겹겹의 안전장치가 갖추어져있다. 즉 여기에도 fail-safe 개념이 적용되어 있다. 후쿠시마 원전도 그러했다. 평시에는 원전에서 발생하는 전기로 냉각계통을 작동시키지만, 원전의 발전기가 작동을 멈춘 상태에서도 연료봉을 안전하게 보관하는 상태로 가져갈 수 있게 외부 전원도 함께 이용할 수 있도록 하였다. 강력한 지진으로 원자력 발전이 멈추고 이 외부전원까지 끊어지자, 그 다음 대비책인 비상 디젤 발전기가 가동을 시작하였다, 그러나 지진이 발생하고 50분 이후 닥친 15미터 높이의 해일에 넘어 들어온 바닷물로 이 비상발전기가 일시에 작동을 멈추었다. 또한, 비상발전기 작동 불능 상태에 대비해 설치되었던 보조 배터리마저 침수되어 작동하지 않았다.

파도에 대한 대비가 없는 것은 아니었다. 다만, 설계 당시 예상한 가장 높은 파도는 5m였다. 태풍이 불어도 끄떡없는 수준이라 생각했지만, 15m의 지진해일은 예상하지 못했다. 이처럼 다중의 안전장치를 만들어 놓았기에 안전하다고 믿었지만 결국은 예상을 넘는 조건이 발생함에 따라 재앙적 수준의 사고에 이르렀다.

안전과 경제성은 서로 싸우지 않는다

안전은 늘 경제성과 싸운다. 완벽한 안전 시스템이라는 것은 존재하지 않고, 극단적인 수준의 안전도 향상에는 비용도 많이 들기에 과거의 경험을 바탕으로 적절한 선에서 타협한다. 하지만 이 싸움은 일방적인 게임일 수 있다. 안전하지 않은 시스템은 결코 경제적이지도 않다는 것을 우리는 수없이 봐왔다. 인류의 현재 능력으로는 복잡계의 사고 가능성을 0(제로)이라 확신하는 것은 불가능하다. 문제점이 드러나면 해결하고, 그 과정에서 쌓은 지식으로 다음 설계는 좀 더 개선시켜 나가면서 사고의 확률을 줄이는 과정을 통해 지금의 문명을 유지하고 있다.

우리는 모두 확률로 말한다. 사고의 확률이 0(제로)인 경우는 결코 없다. 문제의 가능성을 조금이라도 더 찾아내서 줄이려는 노력을 끊임없이 해야 한다. 무사고가 지속되면 방심하게 되고, 과거의 경험에 의존하여 만드는 새로운 시스템에는 과거에 없던 새로운 문제가 발생할 가능성이 늘 존재한다는 사실을 잊어서는 안된다.