선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 하지만 2018년 10월 29일 인도네시아에서 발생한 라이온에어 JT610편 사고(Tjahjono, 2018)와 2019년 3월 10일 에티오피아 항공 ET302편 사고(FDRE, 2019) 이후 전 세계 B737MAX 기종의 운항이 중단되었다. 이 논문에서는 2019년 10월 25일 인도네시아 교통안전위원회(NTSB, National Transportation Safety Board)가 발표한 라이온에어항공 사고조사 최종보고서 (Tjahjono, 2019)와 에티오피아 항공 사고조사 중간보고서(FDRE, 2019), 그 외 관련 기술 문헌조사를 통해 비행제어 시스템 설계 관점에서의 JT610편 사고결과를 분석하고, 신규 항공기 시스템 설계시 고려사항을 제시하고자 한다.
제안 방법
- AOA센서 제작/수리업체는 시험장비 요구사항을 업데이트하여 REL모드와 같은 추가 기능확인 절차를 개선하고, 시험장비의 검증시험을 추가하기로 하였다. 또한 리졸버 출력전압 시험, 고도 및 온도변화시험 추가로 실시하여 장비를 개선하기로 하였다.
- 모든 시험과정은 CMM 34-12-34 Rev.8 Component Maintenance Manual 절차 대로 시행하였다. 이 시험은 절연저항시험, 베인 마찰력시험, 히터 전류시험, 정렬 정확도 시험을 포함한다.
- 절차서에 따르면 시험장비는 North Atlantic 8810A API를 사용하되, 동등한 성능을 가진 장비로도 시험이 가능하다. NTSC는 수리업체와 함께 수리과정을 재현했고, 기술자는 SRI-201B장비를 사용해 Relative Mode 로 시험했다. 하지만 Relative Mode에서는 AOA 상대 변위 측정만 가능하고, 바이어스 고장은 확인이 불가능하다.
- 둘째, 잘못된 가정에 의해 시스템 안전성 분석 과정에서 “Hazardous” 로 분류되어야 할 항목을 “Major” 로 분류하여 인증을 간소화하였다.
- AOA센서 제작/수리업체는 시험장비 요구사항을 업데이트하여 REL모드와 같은 추가 기능확인 절차를 개선하고, 시험장비의 검증시험을 추가하기로 하였다. 또한 리졸버 출력전압 시험, 고도 및 온도변화시험 추가로 실시하여 장비를 개선하기로 하였다.
- B737에 장착된 AOA센서는 기계식 베인 형태로 베인에 장착된 리졸버(Resolver)를 사용해 받음각을 측정한다. 리졸버는 3개의 선으로 구성되며, 각도에 따른 출력 신호선의 Sin신호와 Cos신호를 이용해 각도를 측정한다. B737에 장착된 모델은 0861FL1로 Collins Aerospace가 제작한 TSO-C54 품목이며, 형상은 Fig.
- 본 논문에서는 라이온에어 JT610편 B737MAX 사고조사 결과보고서 내용을 중심으로 B737항공기의 특징, 비행제어시스템 구성과 기능, 사고 원인, 조치사항 등을 비행제어시스템 설계 관점에서 정리·분석하였다.
- 사고 이후 항공기 제작사는 비행제어시스템이 좌/우측 AOA센서 데이터를 비교하여 5.5도 이상 차이가 발생시 MCAS가 작동하지 않도록 소프트웨어를 개선하기로 하였다. 또한 MCAS 명령이 반복되지 않도록 비정상 상태에서 MCAS가 활성화될 경우 한 번의 입력만 생성되도록 하며, 조종사가 조종간을 뒤로 당기는 양보다 적은 값으로 명령하도록 소프트웨어를 개선하였다.
- 8 Component Maintenance Manual 절차 대로 시행하였다. 이 시험은 절연저항시험, 베인 마찰력시험, 히터 전류시험, 정렬 정확도 시험을 포함한다. 절차서에 따르면 시험장비는 North Atlantic 8810A API를 사용하되, 동등한 성능을 가진 장비로도 시험이 가능하다.
- 이로써 FMEA (Failure Mode & Effects Analysis)와 FTA(Fault Tree Analysis)를 간소화하였다.
- 2011년 항공기 주문 수량을 살펴보면 A320Neo 가 1,226대인 반면, B737 항공기는 150대로 당시 보잉과 에어버스의 경쟁 상황을 알 수 있다. 이에 보잉사는 B737 항공기를 새롭게 설계하여 B737MAX로 출시하였으며, 운용 효율을 약 15% 정도 향상시켰다. 그 결과, 2012년 주문량은 B737MAX 기종이 914대, A320Neo가 478대로 시장 점유율을 회복하였다(Lehman, 2012).
- 추락 직전까지 MCAS 는 26회의 피치 하강 트림 명령이 발생하였고, 조종사는 34회의 피치상승 트림 명령을 인가했다. 조종사는 그 과정에서 상황파악을 위한 절차 점검을 동시에 수행했고, 결과적으로 급격한 기수하강으로 비행기가 추락하였다. 보정대기속도 그래프를 보면 마지막 순간 속도가 약 450kts를 초과한 것을 볼 수 있다.
- 143(f) 조종성과 기동성 항목을 만족시켜야 했다(FAA, 2012). 하지만 해당 기종은 의도치 않은 피치 상승효과가 발생했고, 소프트웨어적으로 조종특성을 보상하는 MCAS를 적용하였다.
대상 데이터
- 리졸버는 3개의 선으로 구성되며, 각도에 따른 출력 신호선의 Sin신호와 Cos신호를 이용해 각도를 측정한다. B737에 장착된 모델은 0861FL1로 Collins Aerospace가 제작한 TSO-C54 품목이며, 형상은 Fig. 4와 같다. AOA센서는 이상이 있는 경우만 점검하는 “On Condition” 정비 품목이다.
- JT610편에는 조종사 2명, 승무원 6명, 승객 181명이 탑승하였으며, 전원 사망하였다. 이탈리아 승객 1명을 제외하고 모든 승무원과 승객이 인도네시아인이었 다.
- 이탈리아 승객 1명을 제외하고 모든 승무원과 승객이 인도네시아인이었 다. 기장은 31세 남성으로 2011년부터 라이온에어에서 근무했으며, 총 비행시간은 6,028시간, 그 중 B737기종 비행시간이 5,176시간이었다. 부기장은 41세 남성으로 1997년부터 근무했으며, 총 비행시간 5,174시간 중 B737기종 시간이 4,286시간이었다.
- 라이온에어 JT610편(사고조사보고서는 ICAO 코드인 LNI610 으로 기재)은 2018년 10월 29일 인도네시아 수카르노하타 국제공항을 이륙해 팡칼피낭으로 비행하던 중이었다. 하지만 이륙 완료 후 13분 뒤 자카르타 해상에 추락해 탑승자 189명 전원이 사망하였다.
- 사고 전 비행인 덴파사르-자카르타 비행에서도 MCAS가 활성화되었지 만, 조종사는 수평안정판 트림 스위치를 이용해 MCAS를 끄고 안전하게 착륙한 후 관련 내용을 보고하였다. 보고 내용에는 IAS불일치, ALT불일치, FEEL DIFF PRESS 등을 포함했다. 하지만 받음각 관련 경고가 표시되지 않았기 때문에 Stick Shaker와 STAB TRIM Cut-off 내용은 보고에 포함하지 않았다.
- 기장은 31세 남성으로 2011년부터 라이온에어에서 근무했으며, 총 비행시간은 6,028시간, 그 중 B737기종 비행시간이 5,176시간이었다. 부기장은 41세 남성으로 1997년부터 근무했으며, 총 비행시간 5,174시간 중 B737기종 시간이 4,286시간이었다. NTSB는 기장과 부기장의 모든 교육훈련 기록을 조사했으나, 특별한 이상은 발견하지 못했다.
이론/모형
- 항공기 안전성 평가는 FAR 25.1309-1 시스템설계및 해석지침서를 준수하며(Jeff, 1997), 여기에는 위험 식별 및 예비위험을 분석하는 FHA(Function Hazard Assessment), 시스템 위험에 대한 서브시스템의 기여 도와 상호작용을 분석하는 PSSA(Preliminary System Safety Assessment), 설계 및 구현 결과를 평가하여 모든 안전요구사항을 확인하는 SSA(System Safety Assessment) 내용을 포함한다(Wilkinson, 1998). 보잉은 FHA 과정에서 “Uncommanded MCAS activation” 항목을 식별하고, 이 항목의 위험수준을 Hazardous 또는 Catastrophic으로 분류하지 않고 Major로 분류 하였다(Magdi, 2019).
성능/효과
- AOA센서 교체 과정을 재현했으며, 바이어스가 있는 AOA센서를 기체에 장착 후 시험한 결과 Fig. 12 와 같이 “AOA SENSR INVALID“가 지시되는 것을 확인했다.
- NTSB는 “MCAS가 사고의 주요 원인이며, 센서의 결함, 부적절한 유지 보수, 조종사 훈련 부족 등이 모두 기여 요인이었다.
- 넷째, “AOA DISAGREE” 경고 기능이 S/W 구현 오류로 제외되어 조종사가 AOA센서 고장을 판단할 충분한 정보를 제공 하지 않았다.
- 셋째, 비상 상황을 가정할 경우 현실성을 고려해야 하며, 시뮬레이터 등을 이용한 충분한 검증이 필요하다. 넷째, 시스템 일부 고장 상황에서 자동 비행 시스템의 제어 범위 제한을 설정하고, 조종사에게 충분한 통제 권한을 부여하도록 설계해야 한다. 다섯째, 조종사가 시스템 고장을 충분히 판단 가능하도록 정보를 제공해야 하며 특히, 비상상황에서 짧은 시간에 고장식별과 대처가 가능한 조종석 계기를 설계해야 한다.
- 넷째, “AOA DISAGREE” 경고 기능이 S/W 구현 오류로 제외되어 조종사가 AOA센서 고장을 판단할 충분한 정보를 제공 하지 않았다. 다섯째, MCAS 기능의 중요도가 전반적으로 낮게 평가되어 조종사 기종 전환 훈련, 매뉴얼, 조종훈련 등이 충분히 이뤄지지 않았다.
- 5도 이상 차이가 발생시 MCAS가 작동하지 않도록 소프트웨어를 개선하기로 하였다. 또한 MCAS 명령이 반복되지 않도록 비정상 상태에서 MCAS가 활성화될 경우 한 번의 입력만 생성되도록 하며, 조종사가 조종간을 뒤로 당기는 양보다 적은 값으로 명령하도록 소프트웨어를 개선하였다. 조종석 계기에는 받음각 불일치 경고 기능과 받음각 지시계를 기본으로 포함하기로 하였다.
- 라이온에어와 에티오피아 항공은 AOA 지시계를 옵션으로 선택하지 않았고, 결과적으로 “AOA DISAGREE” 경고 기능이 비행제어소프트웨어에서 누락되었다.
- 하지만 받음각 관련 경고가 표시되지 않았기 때문에 Stick Shaker와 STAB TRIM Cut-off 내용은 보고에 포함하지 않았다. 사고 당일 자카르타-파칼피낭 비행에서 동일한 현상이 발생했고, 조종사는 속도와 고도 불일치를 확인하고, 비정상 점검표 (Non-Normal Checklists)를 체크했지만 MCAS 기능은 인식하지 못했다. 여러 차례 MCAS의 활성화와 ATC 교신 등으로 조종사는 항공기를 통제할 수 없었다.
- 둘째, 잘못된 가정에 의해 시스템 안전성 분석 과정에서 “Hazardous” 로 분류되어야 할 항목을 “Major” 로 분류하여 인증을 간소화하였다. 셋째, MCAS는 잘못된 가정과 위험성 분석으로 인해 각각의 비행제어컴퓨터가 단일 AOA센 서를 사용하도록 설계함으로써 단일 센서의 오류에 취약한 시스템적 구조를 가지고 있었다. 넷째, “AOA DISAGREE” 경고 기능이 S/W 구현 오류로 제외되어 조종사가 AOA센서 고장을 판단할 충분한 정보를 제공 하지 않았다.
- 14와 같이 끊어진 것을 발견하였다. 원인 분석 결과, 앤드캡 절연체의 열팽창 계수는 16-20 ppm/℃인 반면, 회전자 절연체의 열팽창 계수는 65ppm/℃로 약 3배 이상 차이가 나며, 열팽창 계수 차이로 인해 반복적인 온도변화 상황에서 AOA센서의 고장 가능성을 확인하였다.
- 첫째, 최근 비행제어 시스템은 대부분 다중화시스템을 갖추고 있으며, 단일 센서 고장이 조종 상실로 이어 지지 않도록 FHA를 강화하고, S/W 설계에 반영해야 한다. 둘째, 최초 시스템 설계의 FMEA 분석 결과와 제작 시점의 설계 변경에 대한 영향성을 충분히 검토해야 한다.
- 23:25:00 근처에서 플랩을 0도로 변경하자 다시 MCAS가 활성화되며, 피치하강 트림 명령과 조종사의 피치상승 트림 명령이 반복된다. 추락 직전까지 MCAS 는 26회의 피치 하강 트림 명령이 발생하였고, 조종사는 34회의 피치상승 트림 명령을 인가했다. 조종사는 그 과정에서 상황파악을 위한 절차 점검을 동시에 수행했고, 결과적으로 급격한 기수하강으로 비행기가 추락하였다.
후속연구
- 첫째, 최근 비행제어 시스템은 대부분 다중화시스템을 갖추고 있으며, 단일 센서 고장이 조종 상실로 이어 지지 않도록 FHA를 강화하고, S/W 설계에 반영해야 한다. 둘째, 최초 시스템 설계의 FMEA 분석 결과와 제작 시점의 설계 변경에 대한 영향성을 충분히 검토해야 한다. 셋째, 비상 상황을 가정할 경우 현실성을 고려해야 하며, 시뮬레이터 등을 이용한 충분한 검증이 필요하다.
- 둘째, 최초 시스템 설계의 FMEA 분석 결과와 제작 시점의 설계 변경에 대한 영향성을 충분히 검토해야 한다. 셋째, 비상 상황을 가정할 경우 현실성을 고려해야 하며, 시뮬레이터 등을 이용한 충분한 검증이 필요하다. 넷째, 시스템 일부 고장 상황에서 자동 비행 시스템의 제어 범위 제한을 설정하고, 조종사에게 충분한 통제 권한을 부여하도록 설계해야 한다.
- 본 논문에서는 라이온에어 JT610편 B737MAX 사고조사 결과보고서 내용을 중심으로 B737항공기의 특징, 비행제어시스템 구성과 기능, 사고 원인, 조치사항 등을 비행제어시스템 설계 관점에서 정리·분석하였다. 항공기 시스템 설계자들은 사고조사 과정에서 발견된 다양한 시스템 설계 오류들을 인식할 필요가 있으며, 본 논문이 향후 국내개발 항공기의 안전성을 향상시키는데 조금이나마 기여하기를 바란다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.