일반적인 실패가 산업계 거대 기업에 지진 효과를 미칠 수 있는 방법

올해 초, 보잉 항공기의 도어 플러그가 비행 중에 떨어졌습니다. 볼트가 없어서였습니다. 이 사건은 이와 같은 간단한 고장이 종종 더 큰 문제의 신호인 이유를 보여줍니다. 존 다우너는 말합니다.

간단하고 예방할 수 있는 제조 또는 유지 관리 오류로 인해 항공편이 위험에 처하는 것은 광범위한 영향을 미칠 수 있는 비정상적인 상황입니다.

1월 6일, 알래스카 항공 1282편(보잉 737 맥스 9)이 오리건주 포틀랜드에서 이륙하던 중, 항공기 구조의 큰 부분인 동체 도어 플러그가 비행 중에 풀렸습니다. 플러그가 빠지자, 기내에서 엄청난 굉음과 폭풍이 치며 격렬하게 감압이 풀리면서 머리받침이 고정 장치에서 떨어져 나갔습니다. 파열 바로 앞에 앉은 십 대 소년의 어머니는 셔츠가 몸에서 찢어져 공허 속으로 빨려 들어가는 것을 보고 소년을 꼭 붙잡았습니다.

그 끔찍한 사고에서 아무도 죽지 않았습니다. 기적적으로는 어느 정도였지만, 매우 아슬아슬한 일이었습니다. 고장난 동체 섹션 바로 옆의 좌석이 비어 있지 않았거나 안전벨트 표시등이 켜지지 않았다면, 그 사건은 치명적일 수 있었을 것입니다.

현대 제트 여객기의 위험한 고장은 일반적으로 극히 드문 일이지만, 이 맥락에서도 플러그 폭발은 특이하고 우려스럽습니다. 예비 보고서에 따르면 근접 원인은 충격적으로 평범했습니다. 보잉이 플러그를 올바르게 고정하지 못한 것 같습니다 . 잘못된 도어 플러그는 주거 지역에서 발견되었을 때 중요한 볼트 4개가 없었고, 이후 검사 결과 다른 항공기 동체에 플러그가 부적절하게 볼트로 고정되어 있는 것으로 밝혀졌습니다 .

안전 조사가 끝날 때 볼트가 빠진 이론이 확인된다면 , 그 이론을 차별화하는 것은 고장의 순전히 평범한 특성일 것입니다. 제트 여객기가 기계적 이유로 고장이 나는 경우, 그 이유는 볼트가 빠진 것보다 훨씬 더 복잡하고 흥미로운 경향이 있습니다(적어도 공학적 관점에서). 그런 평범하고 피할 수 있는 제조 또는 유지 관리 오류로 인해 비행이 위험에 처하는 것은 불길한 의미를 가진 이상 현상입니다.

제가 여기서 말하고자 하는 바를 이해하려면 사건을 맥락에 맞게 설명하는 것이 도움이 되고, 그러기 위해서는 한 걸음 물러나 제트 여객기를 우리가 기대했던 만큼 신뢰할 수 있게 만드는 데 내재된 어려움에 대해 잠깐 생각해 보는 것이 도움이 됩니다. 극도의 신뢰성은 어렵고, 특히 혹독한 환경에서 작동하는 복잡한 기술에서는 더욱 그렇습니다. 이는 충분히 직관적입니다. 하지만 그것이 제기하는 과제의 본질과 항공 산업이 그러한 과제를 관리한 방식은 둘 다 널리 오해받고 있습니다.

최근 몇 년 동안 보잉은 737 Max 단거리 여객기와 관련해 심각한 문제를 처리해야 했습니다. (출처: Getty Images)

제트 여객기에 기대하는 극도의 신뢰성은 다른 거의 모든 시스템에 기대하는 "일반적인" 신뢰성과는 의미 있게 다른 과제를 제기합니다. 본질적으로 이는 자주 고장나지 않는 복잡한 시스템을 설계하는 과제가 해당 시스템과 그 작동의 복잡성을 아는 데 있기 때문입니다. (즉, 엔지니어가 시스템이 어떻게 고장날 수 있는지 더 잘 이해할수록 고장을 예방할 수 있는 능력이 더 커진다는 것입니다.)

하지만 시스템의 실패율을 낮추는 데 필요한 지식의 깊이와 그 지식을 얻는 어려움은 선형적으로 확장되지 않습니다. 산소 없이 높은 산을 오르는 것처럼, 각 단계는 점점 더 어려워집니다. 따라서 시스템의 안정성을 두 배로 늘리려면 두 배 이상의 노력이 필요하고, 이런 식으로 계속됩니다.

이 관계를 이해하기 위해 99.99%의 시간 동안 신뢰할 수 있는 시스템(즉, 10,000시간의 작동 중 1회 이상 고장나지 않는 시스템)을 구축하는 작업을 고려해 보세요. 이를 달성하기 위해 엔지니어는 해당 기간 동안 시스템이 어떻게 동작할지 이해해야 합니다. 즉, 시스템이 직면할 수 있는 외부 조건, 여러 요소가 이러한 조건과 상호 작용하는 방식, 그리고 그 밖의 많은 사항을 이해해야 합니다. 그리고 이를 위해 10,000시간에 한 번만 발생할 수 있는 종류의 사건을 정확하게 포착할 수 있을 만큼 실제 세계를 충분히 대표하는 추상화(이론, 테스트, 모델)가 필요합니다.

그러나 실제 세계는 엔지니어링 추상화가 완벽하게 재현할 수 없는 방식으로 "지저분"하기 때문에 그러한 대표성을 달성하는 것이 어려울 수 있습니다. 10,000시간 동안 예상치 못한 재앙적인 일이 많이 발생할 수 있습니다. 아마도 비정상적인 환경 조건으로 인해 예상치 못한 방식으로 재료에 스트레스가 가해져 부식되거나 피로해질 수 있습니다. 또는 모호한 입력 조합으로 인해 필수 소프트웨어 구성 요소가 충돌하거나 불규칙하게 작동할 수 있습니다. 오래된 진부한 말처럼 우리는 모르는 것을 모르기 때문에 이러한 일은 예상하기 어렵습니다.

이제 시스템에 필요한 신뢰성이 99.99%에서 99.999%로 상승할 때 어떤 일이 일어나는지 생각해 보세요. 이 새로운 벤치마크를 달성하기 위해 엔지니어는 10,000 시간마다가 아니라 100,000 시간마다 발생할 수 있는 사건을 고려해야 합니다. 훨씬 더 모호한 가능성의 훨씬 더 큰 집합입니다. 그리고 그렇게 됩니다. 이 "9의 행진"에서 새로운 소수점 하나하나는 엔지니어가 추상화에서 포착하고 설계에서 수용해야 하는 요소의 모호함이 10배나 증가함을 나타냅니다.

따라서 증가할 때마다 그들의 신뢰성 계산이 시스템이 어떻게 기능하는지에 대한 그들의 이해를 벗어나는 난해하고 있을 법하지 않은 무언가, 즉 아무도 테스트하거나 모델링하려고 생각하지 않은 어떤 속성이나 상황의 조합에 의해 무너질 가능성이 점점 더 커집니다. (다른 곳에서 저는 그러한 실패를 " 합리적 사고 "라고 부르자고 제안했습니다. 부분적으로는 합리적으로 유지되지만 그럼에도 불구하고 잘못된 믿음에서 발생하기 때문이고, 부분적으로는 인식론적으로 그러한 실패가 발생할 것으로 기대하는 것이 합리적이기 때문입니다.)

이것이 우리가 제트 여객기의 안전성을 이해해야 하는 맥락입니다. 인식론적 불확실성과 그 숨겨진 위험의 렌즈를 통해 볼 때, 지난 수십 년 동안의 민간 항공의 안전 기록은 놀라울 정도입니다. 기술적 실패로 인한 항공기 사고율은 중요한 시스템의 평균 고장 시간이 10,000시간 또는 100,000시간이 아니라 10억 시간 이상임을 의미 합니다 .

이런 종류의 시간 척도에 따른 실패를 고려할 때, 심지어 매우 모호한 고려 사항도 중요해질 수 있습니다. 예를 들어, 특정한 달의 위상이나 별의 정렬에서만 나타날 수 있는 예상치 못한 상호 작용이나 현상입니다.

보잉의 CEO인 데이비드 캘훈(오른쪽)은 올해 상원 청문회에서 회사의 기업 문화에 대한 질문에 답해야 했습니다(출처: 게티 이미지)

따라서 20세기 공학적 업적으로서, 상업 비행의 순전히 평범하고 지루한 면은 아폴로 달 착륙의 예외성과 드라마와 맞먹습니다. 그리고 이 집단적 업적에 대한 영예를 단일 조직에 돌려야 한다면, 그것은 보잉이어야 할 것입니다. 이 회사는 제트 여객기 혁명의 선두에 있었고, 그 뒤를 이은 제트 시대 대부분 동안 민간 여객기의 선도적 제조업체였습니다. 맨해튼 프로젝트보다 더 많은 비용이 들었던, 전시 개발의 혁명적 B-29 슈퍼포트리스 는 현대 제트 여객기를 가능하게 한 핵심 기술과 설계 원칙의 많은 부분을 개척했습니다.

보잉과 그 동료들이 이 높은 신뢰성을 달성한 과정은 일상적으로 잘못 표현됩니다. 우리는 엔지니어링을 객관적이고 규칙에 따라 관리되는 과정으로 생각하도록 조건화되었으며, 제트 여객기를 신뢰할 수 있게 만드는 작업은 이 언어로 확고하게 표현됩니다. 그래서 우리는 현대 항공 여행의 엄청난 일상성이 점점 더 세부적인 엔지니어링 분석과 엄격한 규제 감독, 즉 테스트, 모델, 측정 및 계산에 기반을 두고 있다고 들었습니다.

그러나 소시지와 경전처럼 이러한 공식적 관행은 생산 상황을 면밀히 살펴보면 점점 더 허황된 것처럼 보입니다. 가장 철저한 테스트와 모델조차도 수십억 시간의 운항에서 제트 여객기의 실제 성능의 모든 미묘한 부분을 정확하게 식별하고 재현할 수 있을 것이라고 기대할 수 없습니다. 그것은 불가능한 일입니다.

따라서 대부분의 엔지니어링 상황에서 엄격한 분석과 감독만으로 충분하지만, 제트 여객기가 요구하는 종류의 성능을 제공하기 훨씬 전에 그 유용성이 약해집니다. 이 분야에서 일하는 엔지니어는 추상화의 한계와 불확실성을 넘어야 하며, 여기에 극도의 신뢰성이라는 진정한 과제가 있습니다.

면밀히 살펴보면, 업계는 실용적이지만 궁극적으로 정량화할 수 없는 일련의 관행을 활용하여 이러한 과제를 헤쳐 나갔습니다. 이러한 관행은 본질적으로 경험으로부터 배우는 느린 과정입니다. 엔지니어는 현실적으로 계산하고 측정할 수 있는 모든 것을 계산하고 측정한 다음, 테스트와 모델에서 간과된 한계적 통찰력을 위해 실패를 조사하여 남아 있는 불확실성을 점진적으로 줄였습니다. 다시 말해, 실제 경험을 활용하여 시간이 지남에 따라 제트 여객기를 점진적으로 더 신뢰할 수 있게 만들었습니다.

이 학습 과정은 간단해 보이지만, 실제로는 고통스럽고 값비싼 수십 년에 걸친 힘든 과정으로, 성공하려면 오랜 세월 지속되고 종종 도전적인 조직적 헌신이 필요했습니다. 예를 들어, 산업의 실패와 위기에 처한 상황을 조사하는 데 많은 비용을 투자해야 했고, 잘못에 대한 발견을 받아들이는 제도적 준비가 필요했습니다(조직이 자연스럽게 거부하는 경향이 있는 것).

아마도 가장 중요한 점은 일관되고 안정적인 제트 여객기 설계 패러다임에 대한 뿌리 깊은 고수에 달려 있다는 것입니다. 즉, 서류상으로는 상당한 경쟁 우위를 약속하는 매혹적인 혁신(새로운 소재, 구조, 기술)의 구현을 크게 지연하거나 완전히 포기할 의지가 있는 것입니다.

이러한 중요한 관행과 공약은 미묘하고 필연적으로 주관적인 판단에 달려 있기 때문에 제3자가 전적으로 입법화, 감사 및 시행할 수 없습니다. 예를 들어 규제 기관은 "새로운" 설계가 이전 설계의 "가벼운 수정"보다 더 많은 조사를 받아야 한다고 요구할 수 있지만 "가벼운 수정"을 구성하는 것이 무엇인지 완벽하게 정의할 수는 없습니다. 그리고 그들의 규칙은 "안전에 중요한" 구성 요소에 대해 특별한 예방 조치를 취해야 한다고 요구할 수 있지만 특정 구성 요소의 "중요성"은 항상 해석의 문제일 것입니다 .

이러한 중요한 관행과 약속이 필연적으로 주관적이고 어느 정도 시행할 수 없다는 사실은 이를 형성하는 조직 문화를 극도로 중요하게 만들었습니다. Boeing과 같은 회사에서 전략적 결정을 내리는 사람들은 자신이 내리는 선택의 중요성을 이해해야 했으며, 그렇게 하려면 현대 항공을 둘러싼 안전 담론을 형성하는 규칙에 따른 객관성을 넘어 볼 수 있어야 했습니다. 그들은 이 분야에서는 다른 분야가 거의 없더라도 모든 상자에 체크하는 것만으로는 충분하지 않다는 것을 깨달아야 했습니다.

올해 1월 보잉 737 맥스의 객실 문이 분실된 사고는 볼트 고정에 대한 간단한 실패로 인해 발생했습니다. (출처: 게티 이미지)

또한 그들은 단기적인 경제적 인센티브보다 값비싸고 반직관적인 관행을 우선시하고, 양적 엄격성에 호소하지 않고도 이해관계자에게 결정을 정당화할 의지와 능력이 필요했습니다. 이로 인해 항공 등급의 신뢰성은 엔지니어링 문제뿐만 아니라 엄청난 관리적 과제가 되었습니다.

그렇다면 항공 신뢰성에 대한 이러한 이해가 보잉의 최근 737 문제를 이해하는 데 어떻게 도움이 될까요? 이러한 관점에서 볼 때 도어 플러그 드라마는 피할 수 있는 오류인 것처럼 보이기 때문에 매우 이례적으로 보입니다. 이는 보이는 것보다 더 이상합니다. 제트 여객기 고장이 항공기 제조업체에 기인하는 드문 경우, 이는 거의 항상 "합리적 사고"이며, 근본 원인은 전문가의 시스템 이해의 불확실성에 숨겨져 있습니다. 플러그가 안전하지 않은 것이 볼트가 없어서였다면, 이는 다른 것입니다. 볼트를 제대로 고정하는 것은 고신뢰성 엔지니어링의 가장 쉬운 과제입니다. 제조업체가 "9개의 행진"을 시작하기 훨씬 전에 정교한 규칙과 감독으로 잡아야 할 종류의 것입니다.

우리는 항상 작은 샘플에서 큰 결론을 내리는 것을 주저해야 하지만, 이런 평범한 실패는 점차 길을 잃은 회사로서 보잉에 대한 점점 더 만연한 설명 에 신빙성을 부여합니다. FAA가 회사에 의뢰한 한 전문가 검토에서 고위 경영진과 직원 간의 "단절" 의 증거를 발견한 반면, 다른 사람들은 회사의 문화와 우선순위가 예전의 엔지니어 보다는 MBA에 의해 점점 더 지배 되고 있다고 지적했습니다 .

특히, 그 실패가 2018년과 2019년 737-Max 참사 와 연관되어 볼 때 더욱 의미가 있습니다 . 도어 플러그 폭발과는 달리 항공기의 설계(유지관리나 제조가 아닌)에서 피할 수 있는 단점에서 비롯되었습니다 . 이러한 사고로 인해 737 Max 항공기는 1년 이상 전 세계적으로 운항이 중단 되었고 보잉은 안전 기록을 개선하라는 요구를 받았습니다. 2024년 7월, 미국 법무부가 보잉이 안전 및 품질 모니터링과 보고를 개혁하기 위한 계약을 위반했다고 판단한 후 보잉은 형사 사기 공모 혐의에 대해 유죄를 인정했습니다 .

따라서 보잉의 운영이 확대경 아래에 놓였고 여러 조사와 상원 청문회가 발생한 것은 놀라운 일이 아닙니다 . 어떤 조직적 관행도 이상화된 표현과 일치하지 않으므로 이런 종류의 조사는 일탈에 대한 오해의 소지가 있는 인상을 줄 수 있습니다. 그러나 이를 감안 하더라도 이러한 조사에서 나온 증언은 혹독한 그림을 그렸습니다. 증인들은 우수성 보다 이익을 점점 더 우선시 하는 회사에 대해 말했습니다 . 지름길을 가고, 노조 가입 인력을 약화시키고, 사내에서 하던 섬세한 작업을 아웃소싱한 다음 가격 인하로 하청업체를 압박하는 등의 조치를 취했습니다. (보잉은 이러한 비난에 대응하며 대변인은 "직원들의 피드백 덕분에 우리는 더 나아질 수 있고, 직원들에게 우려 사항을 보고해 줄 것을 강력히 권장합니다. 보잉 직원은 Speak Up 포털을 포함한 다양한 채널을 통해 익명으로 보고하거나 FAA에 직접 보고할 수 있습니다. 보고를 받으면 우리는 신속하게 대응하고 필요한 조치를 취해 항공기가 사양 및 규제 요구 사항을 충족하도록 합니다."라고 말했습니다.

이것이 아마도 알래스카 항공 사건의 진짜 의미일 것입니다. 보잉은 볼트가 빠지거나 고정되지 않은 특정 문제를 확실히 해결할 것입니다. 그 실수가 다시 나타난다면 정말 믿을 수 없을 것입니다.

입법자와 규제 기관은 보잉이 "보잉의 안전 여정의 격차"를 해소할 것을 요구하고 있지만 , 조직 문화는 우리가 일반적으로 생각하는 것보다 훨씬 더 관성이 있습니다. 그것은 인력, 절차 및 성과 지표에 대한 선택에 반영됩니다. 그것은 예를 들어 아웃소싱과 관련하여 제조 전략에 새겨져 있으며, 이를 통해 계약, 예산, 가격 및 이익 마진에 내재됩니다.

그들은 심지어 기업의 지리적 위치를 형성할 수도 있습니다. 2001년 보잉은 항공기를 만드는 시애틀에서 시카고로 본사를 이전하여 관리자와 엔지니어를 분리했습니다. (그리고 2022년에는 다시 워싱턴 DC로 이전했습니다 .) 보잉의 "문화"를 재구성하려면 이러한 모든 고려 사항과 그 외 많은 사항을 고려해야 합니다. 가능하다면 슈퍼탱커를 돌리는 것과 같을 것입니다.

그러나 보잉의 문화가 바뀔 수 있다 하더라도 그 유산은 남을 것입니다. 회사의 관행과 우선순위를 형성함으로써 그 문화는 항공기의 설계와 제조를 형성했을 것입니다. 대부분의 비평가들은 보잉의 쇠퇴가 시작된 것을 1997년 맥도넬 더글러스와 합병했을 때로 추정하는 경향이 있습니다. 그 이후로 회사는 787 드림라이너, 737 맥스, (곧 출시될) 777X라는 세 대의 새로운 제트 여객기를 도입했고, 787과 맥스를 상당수 제작했습니다. 이 항공기는 이를 구매한 항공사에 막대한 투자를 의미하며, 비용을 회수하기 위해 해당 항공사는 수년간 집중적으로 운영해야 합니다. 설계 나 구조 의 단점 으로 인해 장기적인 안전성이 손상되었다는 것이 밝혀지면 해당 비용을 회수하는 것이 위험하거나 실행 불가능할 수 있습니다.

2차 세계대전 이래로 보잉은 여객기 개발의 선두에 섰으며 여전히 세계 최대의 항공우주 기업 중 하나로 남아 있습니다(출처: Getty Images)

737 Max의 엇갈린 서비스 이력은 이 위험을 웅변적으로 말해줍니다. 극도의 신뢰성이 무시할 수 있을 정도로 사소한 고려 사항에 주의를 기울이는 데 달려 있다는 사실은 단점이 실패로 나타나기까지 시간이 걸릴 수 있음을 의미합니다. 이는 10만 시간에 한 번 제트 여객기를 위험에 빠뜨릴 수 있는 제조 결함이 즉시 비행기를 떨어뜨릴 가능성은 낮다는 것을 말하는 것입니다. 특히 새로운 제트 여객기가 점진적으로 서비스에 들어가기 때문입니다. Max가 생산 초기에 사고와 간신히 놓친 일이 있었다는 사실은 미래에 대한 의문을 제기합니다. (2024년 6월 말까지 보잉은 737 Max 항공기 1,555대를 고객에게 인도했습니다 .)

787 드림라이너의 기록은 더욱 불분명합니다. 2004년에 출시된 이 비행기는 비상 착륙 이나 운항 중단 으로 이어진 여러 가지 문제와 기술적 문제가 있었습니다. 예를 들어 2013년에는 여러 항공기에서 화재를 일으킨 리튬 이온 배터리의 안전성 에 대한 우려로 인해 전 세계 모든 787이 몇 달 동안 운항 중단되었습니다 . 그러나 지금까지 787과 관련된 치명적인 사고는 없었으며 이는 인상적이라고 합리적으로 해석될 수 있습니다. 특히 현재 운항 중인 항공기 수(2024년 6월 말 기준 보잉에서 인도한 787은 1,132대 )를 감안할 때 더욱 그렇습니다. 확실히 다른 거의 모든 기술 영역에서 주목할 만한 성과가 될 것입니다.

그러나 민간 항공은 독특한 분야이며, 그것이 운영되는 기대에 비하면 787의 기록은 결정적이지 않습니다. 설계나 제조의 많은 단점이 드러나는 데는 시간이 걸립니다.

물론 시간이 지나면서 모든 것이 밝혀지겠지만, 보잉이 힘들게 얻은, 그리고 당연히 받아야 할 우수성에 대한 명성은 최근의 시련으로 인해 의심할 여지 없이 검증을 받았습니다. 이는 중요합니다. 민간 ​​항공은 대부분의 엔지니어링 분야와 다릅니다. 우리가 요구하는 엄청난 신뢰성 때문에 결함이나 오류에 대한 여지가 거의 없기 때문입니다. 포장된 견과류를 먹고 40,000피트에서 영화를 보는 평정심은 우리가 깨닫는 것보다 훨씬 더 드물고 섬세한 업적입니다.