A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

당신이 거대한 우주선이나 분주한 공항처럼 복잡한 기계가 왜 가끔 사고를 내는지 이해하려고 노력하고 있다고 상상해 보십시오. 오랫동안 안전 전문가들은 이 기계들을 도미노 줄처럼 바라보았습니다. 그들은 "만약 하나의 도미노가 쓰러지면(실수가 발생하면), 그것이 다음 도미노를 쓰러뜨려 결국 전체 줄이 무너질 수 있다"라고 생각했습니다. 이것을 '가산적(additive)' 관점이라고 합니다. 즉, 총 위험도를 찾기 위해 작은 실수들을 단순히 더하는 방식입니다. 하지만 현실 세계는 훨씬 더 무질서합니다. 때로는 두 개의 작은 실수가 단순히 합쳐지는 것이 아니라, 서로 곱해지기도 합니다. 이는 베이킹 소다와 식초를 섞는 것과 같습니다. 따로 있을 때는 해롭지 않지만, 함께 있으면 거대한 거품 폭발을 일으킵니다. 이것을 '비가산적(non-additive)' 또는 '공명적(resonant)' 위험이라고 부릅니다.

우리가 보고 있는 이 논문은 복잡한 시스템(예: 항공업계)이 예기치 못한 상황을 어떻게 처리하는지를 연구하는 회복 탄력성 공학(Resilience Engineering) 분야에서 나왔습니다. 이 논문은 FRAM(기능적 공명 분석법)이라는 도구를 사용하는데, 이는 시스템이 수행해야 하는 모든 작업과 그 작업들이 서로 어떻게 소통하는지를 매핑합니다. FRAM의 큰 문제점은 무엇이 잘못될 수 있는지에 대한 그림을 그리는 데는 뛰어나지만, 그것이 얼마나 심각할지에 대한 '수치'를 주는 데는 매우 서툴다는 점이었습니다. 이는 폭풍의 지도는 가지고 있지만 풍속을 측정할 방법은 없는 것과 같습니다. 이 논문은 **초렛 적분(Choquet integral)**과 **스구에노 측도(Sugeno measures)**라는 정교한 수학을 도입하여 이 문제를 해결하려 합니다. 이것들을 '단순히 숫자를 더하는 것이 아니라, 어떤 실수가 다른 실수를 얼마나 악화시키는지, 혹은 어떤 실수가 서로를 상쇄할 수 있는지를 이해하는 아주 똑똑한 계산기'라고 생각하십시오. 저자들은 우리가 드디어 이 '폭발적인' 오류의 혼합에 정확한 숫자를 부여하여 비행기의 안전을 지킬 수 있는지 알고 싶어 합니다.

논문의 핵심 아이디어: "폭발" 계산기

저자인 주앙 길레르메 파울러(João Guilherme Fowler)와 모이세이르 마차두 카르도주 주니어(Moacyr Machado Cardoso Júnior)는 FRAM 지도와 이 특별한 수학을 결합한 새로운 프레임워크를 구축했습니다. 그들은 이를 **초렛-스구에노 프레임워크(Choquet–Sugeno Framework)**라고 부릅니다. "실수 A 플러스 실수 B는 나쁜 날이다"라고 단순히 말하는 대신, 이들의 새로운 방식은 "실수 A와 실수 B가 서로를 얼마나 증폭시키는가?"라고 묻습니다.

이를 테스트하기 위해, 그들은 매우 구체적이고 위험도가 높은 공항 업무인 **'비행기가 착륙하거나 이륙하는 동안 차량이 교차할 수 있도록 활주로를 비워주는 작업'**의 디지털 모델을 만들었습니다. 이것은 지상 차량과 비행 기체가 서로 만나지 않아야 하는 위험한 춤과 같습니다. 그들은 새로운 수학을 사용하여 40년에 걸친 세 가지 실제 항공 재난을 분석했습니다:

1. 아에로플로트 3352편 (1984년): 러시아에서 비행기가 활주로 위의 정비 차량에 충돌했습니다.
2. LATAM 항공 페루 2213편 (2022년): 리마에서 비행기가 이륙 중 소방차와 충돌했습니다.
3. 재즈 항공 646편 (2026년): 뉴욕(라가디아 공항)에서 비행기가 착륙 중 소방차와 충돌했습니다.

발견된 사실: "팀워크"의 숨겨진 위험

이 논문이 발견한 가장 흥미로운 점은 전통적인 수학이 위험의 거대한 부분을 놓치고 있다는 것입니다.

저자들이 기존의 '가산적' 수학(실수를 단순히 더하는 방식)을 사용하여 위험을 계산했을 때 얻은 수치가 있었습니다. 하지만 새로운 초렛-스구에노 수학을 사용했을 때, 위험 점수는 눈에 띄게 치솟았습니다. 그들은 두 기능이 동시에 실패하여 서로를 악화시키는 '팀워크'가 전체 위험의 **10.9%에서 16.5%**를 차지한다는 것을 발견했습니다.

이는 매우 중요한 일입니다. 만약 당신이 개별적인 실수만을 본다면, 실제 위험의 거의 6분의 1에 달하는 부분을 보지 못하는 눈먼 상태가 된다는 뜻입니다. 논문은 이 '보이지 않는 위험'이 단 한 명의 사람이 치명적인 실수를 하지 않았음에도 불구하고 왜 사고가 발생하는지에 대한 이유라고 주장합니다. 그것은 바로 작은 오류들의 '결합'이 재앙을 만들어내기 때문입니다.

주인공: 관제사의 뇌

모델 내에서, 저자들은 전체 시스템의 가장 중요한 '허브'로서 한 가지 특정 직무를 식별했습니다: 바로 **항공 교통 관제(ATC) 상황 인식 (F1)**입니다. 이것은 기본적으로 관제사가 모든 비행기와 차량의 위치를 항상 정확하게 파악하는 능력을 의미합니다.

샤플리 값(Shapley value)(각 부분이 전체에 얼마나 기여하는지를 측정하는 도구)이라는 수학적 도구를 사용하여, 저자들은 이 하나의 기능이 전체 위험의 **36.7%**를 담당하고 있다는 것을 발견했습니다. 이는 그다음으로 중요한 직무의 기여도보다 두 배 이상 높은 수치입니다!

• 교훈: 만약 관제사가 '큰 그림(big picture)'을 놓친다면(피로, 주의 산만, 혹은 통신 불량 등), 전체 시스템은 매우 취약해집니다. 논문은 이 영역을 개선하는 것, 즉 관제사의 주의력을 날카롭게 유지하고 정보를 명확하게 전달하는 것이 이러한 충돌을 예방하는 가장 효과적인 방법이라고 제안합니다.

작동하지 않은 "장벽들"

모델은 또한 RIMCAS(차량이 활주로에 있을 때 관제사에게 경고를 보내는 레이더 시스템)와 같은 안전 시스템도 살펴보았습니다. 1984년 사고 당시에는 이 시스템이 존재하지 않았습니다. 2022년과 2026년 사고에서는 이 시스템이 존재했지만 '저하된(degraded)' 상태였습니다(예를 들어, 차량이 적절한 트랜스폰더를 갖추지 못해 제대로 작동하지 않음).

수학적 분석 결과, 관제사의 인식(F1)과 차량 교차(F5)가 모두 실패했을 때, 안전 시스템(F8)은 압도당했습니다. 이는 마치 열 개의 불이 동시에 난 방에 단 하나의 소화기만 있는 것과 같습니다. 논문은 '실패의 팀워크'가 너무 강력했기 때문에 안전 장벽이 위험을 상쇄하는 데 아주 적은 부분만을 담당할 수 있었다고 밝혔습니다. 저자들은 단순히 기술을 업그레이드하는 것(예: 차량에 더 나은 트랜스폰더를 장착하는 것)이 최선의 해결책이지만, 이는 관제사의 인식이 함께 보호될 때만 유효하다고 제안합니다.

"다운스트림(Downstream)"의 함정

또 다른 놀라운 발견은 **통신 및 복창(F7)**에 관한 것이었습니다. 많은 안전 모델에서 사람들은 조종사나 운전자가 메시지를 반복해서 말하면 그것이 오류를 잡아내는 안전망 역할을 할 것이라고 생각합니다. 하지만 이 논문의 모델은 이 특정 시스템에서 통신은 '수호자'가 아니라 단지 **'메신저'**일 뿐임을 보여줍니다.

만약 관제사(F4)가 실수를 하여 잘못된 허가를 내린다면, 그것을 복창하는 사람(F7)은 그 잘못된 허가를 그대로 전달할 뿐입니다. 그들은 단지 들은 대로 반복하는 것이기에 오류를 바로잡을 수 없습니다. 논문은 '대장(clearance decision)'이 고장 났다면 '메신저'를 완벽하게 만드는 데 돈을 낭비해서는 안 된다고 주장합니다.

결론

저자들은 자신들의 방법이 전문가의 의견과 역사적 데이터를 기반으로 한 시뮬레이션이지, 모든 안전 문제를 해결하는 마법 지팡이는 아니라는 점을 분명히 하고 있습니다. 그러나 그들은 자신들의 수학적 모델이 견고하다고 확신합니다. 그들은 비가산적 상호작용(오류의 폭발적인 혼합)이 실재하며 측정 가능하다는 것을 증명했습니다.

이 새로운 프레임워크를 사용함으로써, 안전 관리자들은 추측을 멈추고 어디에서 '공명'이 발생하는지를 정확히 볼 수 있습니다. 그들은 LATAM 2213편이 가장 위험한 사례(위험 점수 0.710)였다는 것을 알 수 있는데, 이는 시스템의 모든 단일 요소가 동시에 문제를 일으켜 가장 큰 위험의 폭발을 만들어냈기 때문입니다. 반면, 1984년 사고는 깊지만 좁았습니다. 몇 개의 부분만이 실패했기에 전체적인 '공명'은 더 낮았습니다.

요약하자면, 이 논문은 우리가 안전을 바라보는 새로운 렌즈를 제공합니다. 복잡한 시스템에서 1 + 1은 2가 아닙니다. 때로는 10이 될 수도 있습니다. 그리고 우리가 하늘을 계속 안전하게 지키고 싶다면, 도미노의 개수를 세는 것을 멈추고 폭발의 크기를 측정하기 시작해야 합니다.