항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등...

22
급격하게 증가하고 있는 항공교통량 추세와 항공교통시스템 현대화를 위해 도입되는 신기술 등으로, 국제민간항공기구 (ICAO)는 선제적 안전 관리정책의 중요성에 대한 인식을 바탕으로 안전관리시스템(Safety Management System: SMS)을 항공 전 분야에 도입하는 것을 최우선 과제로 설정하였다. 이러한 국제기준의 제정에 발 맞추어 국가의 국가항공안전프로그램을 제정토록 하고 개별 항공서비스 제공 기관들(service provider)의 항공 안전관리시스템(SMS) 도입을 법제화 하였다. 현재 일부 항공사에서 사용하고 있는 안전 및 정비 관리프로그램은 대 부분 해외 개발품을 도입하는 형식으로 우리나라 항공시스템이나 항공사 의 특성을 반영하는 데에 한계가 있으며, 중소형 항공사들의 경우 구매 에 따른 경제적 부담이나 후속기술지원 등 상용화 프로그램 도입에 많은 난제를 안고 있다. 이에 우리는 항공사고를 예방할 수 있는 표준화된 핵심 안전 기술과 전산 프로그램 개발이라는 목표하에 연구개발을 진행하고 있으며, 위해 요인 (Hazard), 어커런스 (Occurrence), 피해결과(Consequence) 모델을 바탕으로 한 사전 예방적 사고위험 예측 분석 프로그램을 개발하 고자 한다. 주제어 : 항공안전관리시스템, 위험 분석, 위험 평가, 사고위험모델 항공 안전관리체계 연구개발 75 항공 안전관리체계 연구개발 - 항공사고 원인 분석 및 위험성 평가를 위한 사고위험모델 중심으로 - 윤 윤 진 한국과학기술원(KAIST) 교수 국문요약

Upload: others

Post on 18-Oct-2020

0 views

Category:

Documents


0 download

TRANSCRIPT

Page 1: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

급격하게 증가하고 있는 항공교통량 추세와 항공교통시스템 현대화를

위해 도입되는 신기술 등으로 국제민간항공기구 (ICAO)는 선제적 안전

관리정책의 중요성에 대한 인식을 바탕으로 안전관리시스템(Safety

Management System SMS)을 항공 전 분야에 도입하는 것을 최우선

과제로 설정하였다

이러한 국제기준의 제정에 발 맞추어 국가의 국가항공안전프로그램을

제정토록 하고 개별 항공서비스 제공 기관들(service provider)의 항공

안전관리시스템(SMS) 도입을 법제화 하였다

현재 일부 항공사에서 사용하고 있는 안전 및 정비 관리프로그램은 대

부분 해외 개발품을 도입하는 형식으로 우리나라 항공시스템이나 항공사

의 특성을 반영하는 데에 한계가 있으며 중소형 항공사들의 경우 구매

에 따른 경제적 부담이나 후속기술지원 등 상용화 프로그램 도입에 많은

난제를 안고 있다

이에 우리는 ldquo항공사고를 예방할 수 있는 표준화된 핵심 안전 기술과

전산 프로그램 개발rdquo이라는 목표하에 연구개발을 진행하고 있으며 위해

요인 (Hazard) 어커런스 (Occurrence) 피해결과(Consequence)

모델을 바탕으로 한 사전 예방적 사고위험 예측 분석 프로그램을 개발하

고자 한다

주제어 항공안전관리시스템 위험 분석 위험 평가 사고위험모델

항공 안전관리체계 연구개발

75

항공 안전관리체계 연구개발- 항공사고 원인 분석 및 위험성 평가를 위한

사고위험모델 중심으로 -

윤 윤 진

한국과학기술원(KAIST)

교수

【국문요약】

항공진흥 제60호

76

Ⅰ 추진배경 및 연구목표

11 국내외 환경변화

80년대부터 정체되어 있는 항공사고

율은 21세기에 접어들어 급격하게 증가

하고 있는 항공교통량 추세와 항공교통

시스템 현대화를 위해 도입되는 신기술

등을 감안할 때 점차 증가할 것으로 예

측되며 2015년에는 백만 회 이착륙 당

48회의 사고율에 이를 것으로 전망되고

있다 이에 국제민간항공기구 (ICAO)는

새로운 안전관리정책의 중요성에 대한

인식을 바탕으로 안전관리시스템(Safety

Management System SMS)을 항공 전

분야에 도입하는 것을 최우선 과제로

설정하였다 ICAO는 2010년부터 국가

의 모든 항공안전관리체계를 안전정보

(Safety Data)에 기반을 둔 사전 예방적

항공안전관리체계로 전환하기위해 모든

체약국들에게 안전관리시스템(SMS)과

국가항공안전프로그램(SSP)의 이행을

의무화하고 2013년부터 그 이행여부에

대한 감독을 실시할 예정이다 이러한

ICAO의 정책변화와 2013년 ICAO의

점검을 앞두고 우리나라도 사전 예방적

항공안전관리체계로의 전환을 위하여

국가적 차원에서 실효성 있는 안전정보

(Safety Data)를 수집하고 이를 통해 체

계적 위험 관리를 가능하게 하는 국가

항공안전프로그램의 연구 개발이 시급

하다

12 해외 안전관리시스템(SMS)

동향

미 연방항공청(FAA)의 경우 1990년

대 후반부터 이미 안전관리시스템 구축

에 대한 중요성을 인식하고 많은 재원

을 투입하고 노력을 기울여 왔다 FAA

안전관리시스템 개발의 대상이 되는 기

관은 항공관제기관(ATO Air Traffic

Organization)을 중심으로 한 정부기관

과 개별사업체인 항공사 항공기 제작

사 항공기 정비업체 비행훈련기관 공

항운영자 및 국제운항 비즈니스항공 운

영자 등 주요 항공인프라가 모두 포함

된다 미국의 경우 현재까지 약 15년간

의 노력 끝에 ATO를 대상으로 하는

SMS가 안정적으로 시행되기 시작했으

며 이는 ATO 기관들이 FAA 산하 기

관으로서 의사결정과 연구개발 투자에

있어 신속성과 효율성을 보장할 수 있

었기에 가능했던 것으로 평가되고 있

다 이와는 대조적으로 항공사의 경우

현재는 자율구축 및 보고체제를 지향하

고 있어 항공사간 경험과 기술의 격차

가 큰 것으로 알려져 있고 FAA는 이

를 통합하는 체계를 갖추기 위해 최근

항공 안전관리체계 연구개발

77

들어 Part 135 Part 121 운영자 증명서

보유자(certificate holder)에 대한 법규

제정을 활발히 진행하고 있다 ATO의

경우 ICAO의 권고에 따라 ATO의 독

립적인 안전감독이 가능하도록 보장하

고 있으며 위험을 허용 가능한 수준

(acceptable levels)으로 낮추기 위해 사

용되는 모든 조치들에 대한 효과적이고

지속적인 모니터링 국가항공시스템 변

경요소의 문서화 및 평가(Assessment)

를 위한 절차를 제시하고 있다

13 SMS 연구목표

이러한 국제기준의 제정에 따른 후속

조치로써 우리는 항공법을 개정하여 국

가는 국가항공안전프로그램을 제정토록

하고 개별 항공서비스 제공 기관들

(service provider)은 항공안전관리시스

템(SMS)을 갖추도록 법제화 하였다

국가항공안전관리시스템(SMS)에는

두 가지 핵심 프로세스가 있으며 이는

위험관리(Risk Management)와 안전보

증(Safety Assurance)이다 그러나 현재

우리나라의 경우 항공사고 요인 예측

분석기술은 선진국 대비 50 수준이며

안전데이터 기반의 과학적 안전관리기

술은 선진국 대비 60 수준으로 정량

적 안전관리와 예측적 안전관리를 위한

환경이 조성되어 있지 않아 안전관리체

계의 불확실성이 높은 수준이다 특히

항공사고보고 형식이 통일되어 있지 않

고 처벌에 대한 두려움이나 이에 관한

법률적 보호체계의 불충분으로 선제적

안전관리에 반드시 필요한 자율 보고

등의 정보가 부족한 실정이다 이와 더

불어 보고서 작성용 범용 용어 체계가

없어 보고서 간의 일관성이 부족하거

나 사고준사고장애보고 등의 주요 정

보가 누락되는 경우가 빈번한 실정이

다 현재 일부 항공사에서 사용하고 있

는 안전정비 관리프로그램은 대부분

해외 개발품을 도입하는 형식으로 우리

나라 항공시스템이나 항공사의 특성을

반영하는 데는 한계가 있으며 중소형

항공사들의 경우 구매에 따른 경제적

부담이나 후속기술지원 등 상용화 프로

그램 도입에 많은 난제를 안고 있다

이러한 대내외적인 환경 변화 속에서

국토교통부에서는 201112월부터 2015

6월까지 3년6개월 간 국가 RampD 사업

으로 ldquo항공사고위험 예측middot분석 프로그

램 개발rdquo에 착수하였다 본 RampD 프로

젝트에는 기고자가 속한 한국과학기술

원(KAIST)를 비롯하여 한서대학교 교

통연구원 교통안전공단 및 에코시안

(주)이 참여하고 있다

이 연구개발을 통해 국가차원에서 한

국형 안전관리시스템을 개발하고자 하

항공진흥 제60호

78

lt그림 1gt 연구개발 목표

운항환경 및 항공기 등에 내재된 사고위험 사전 검출

항공사고 원인분석 및 정량적 위험 산출 및 평가

국가 항공안전지표 산정을 통한 국가 안전도의 객관적 평가체계 마련

핵심적인 안전관리기술 개발을 통한 항공사고 예방

ICAO 국제 요구사항 이행을 통한 국제적 조화 및 항공안전 리더십 창출

학-연을 중심으로 한 핵심 기술 연구결과의 중소기업 중심 기술이전으로 건전한

기술개발 및 기술이전 환경 육성

대응적 사고처리에서 선제적 사고 예방으로의 전환을 통한 국민안전보장 및

항공안전 선진국으로서의 국가 위상 정립

며 이를 통해 이루고자하는 목표는 lt그

림 1gt과 같다

본 기고문에서는 이제까지 진행된

RampD 과업 중 SMS의 핵심 기술이라

할 수 있는 항공 서비스 제공자용 SMS

모듈 개발과 정량적 위험분석 및 평가

모델에 대해 좀 더 자세히 언급하고자

한다

Ⅱ 연구 추진 경과 위해요인

및 피해결과

21 항공 SMS 어커런스(Occurrence)

항공안전과 관련하여 일상적으로 사

용되는 용어들인 어커런스(Occurrence)

이벤트(Event) 위해요인(Hazard) 피해

결과(Consequence) 등에 대한 국제 규

항공 안전관리체계 연구개발

79

lt그림 2gt CFIT 사고 변화

격 또는 국가차원에서의 공통된 정의

및 분류체계(Taxonomy)가 현재 제대로

정립이 되어 있지 않다 ICAO를 비롯

한 항공국제기관과 항공 산업의 선진국

및 항공안전 데이터의 분석기관을 중심

으로 분류체계 및 용어를 정의하려는

노력이 이루어지고 있으나 국제사회에

서 공통적으로 통용되고 활용되기에는

미흡한 실정이다

어커런스는 가장 빈번히 사용되는 항

공안전 용어 중 하나로서 기장 관제

승무원 정비사 등으로부터 일상적으로

수집되는 항공 사건사고의 성격을 규

정할 수 있다 항공운항의 비정상 상태

에 대한 정보 수집 및 관리는 안전 증

진 및 항공 산업 운영관리를 위하여 매

우 중요한 요소이다 이와 동시에 SMS

를 통해 수집되는 항공 안전 데이터를

대표할 수 있는 가장 핵심 항목으로서

SMS 구축에 앞서 국내에서 활용될 어

커런스에 대한 명확한 정의가 필요하

다 어커런스 분류체계는 이러한 비정

상 상태의 항공 사건사고에 대하여 규

정된 각 어커런스의 집합으로서 수집된

데이터의 분석을 위해 정립되고 관리되

어야 한다 빈번히 발생되는 사건사고

에 대하여 어커런스 분류체계의 항목으

로 지정하는 것 자체로서 항공 안전 증

진에 대한 밑거름이 되며 이는 국제 사

회 혹은 각 기관이 해당 어커런스에 대

해 이슈로 지정하고 관리하겠다는 의지

의 표시가 될 수 있다

lt그림 2gt는 lsquoControlled Flight Into

Terrain(CFIT)rsquo 즉 항공기가 정상적인

항공진흥 제60호

80

비행 중 지표 수면 또는 그 밖의 장애

물과 충돌한 어커런스(사고)에 대한 추

세를 나타낸다 CFIT를 어커런스의 하

나로 지정하여 CFIT사고에 대해 지속

적인 관리와 해결 노력을 이행함으로써

10년간 해당 사고가 줄어들고 있는 것

을 확인 할 수 있다 이는 lsquocommon

taxonomy benefitrsquo을 확인할 수 있는 좋은

예로 어커런스의 정의 및 분류체계의

정립이 항공안전에 기여하는 바를 확인

할 수 있다 그러나 현재 존재하는 어커

런스 분류체계는 필요 항목의 부재 혹은

중복 불필요한 항목 존재 모호함 혹

은 너무 간략하거나 너무 세분화되어있

는 등 사용자에게 혼란을 주고 분석의

효과성을 극대화하기에 어려움이 있다

우리나라는 데이터 수집체계와 SMS

의 구축을 위한 노력을 지속적으로 하

고 있으며 이를 성공적으로 이끌어내기

위해서는 어커런스 체계의 정립이 반드

시 수반되어야 한다 공통의 분류체계

는 SMS의 사용자 및 관리자 그리고

분석가들로 하여금 의사소통을 원활히

하며 분석 결과의 효용성을 향상시키

고 그에 대한 통제방안 마련에 결정적

인 역할을 한다 우리나라의 어커런스

는 과거의 발생 데이터뿐만 아니라 향

후 발생 가능한 위험요소 및 국제항공

안전을 위협하는 공통의 요소 등을 모

두 반영한 분류체계가 되어야 한다 또

한 국가와 항공사 관제 공항 정비업

체 등 종사 기관이 공유하고 가공하는

것이 (하위레벨을 통한 분류체계의 확

장 등) 가능한 융통성 있는 플랫폼으로

정립해야 한다

이를 위한 방법으로는 첫째 국제 규

격의 어커런스 분류체계를 수용함과 동

시에 국내 데이터 분석을 통한 추가 필

요항목을 발굴하여 상호배제와 전체포

괄(MECE Mutually Exclusive and

Collectively Exhaustive)적인 리스트를

정립하는 것이며 둘째 지속적인 항공

안전 증진을 위해 변화 가능한 포맷의

리스트를 정립하는 것이다 이와 관련

하여 ICAO와 CICTT(CASTICAO Common

Taxonomy Team)에서는 지속적으로 어

커런스 분류체계를 갱신하고 있으며 다

른 기관들에서도 간헐적으로 집중 관리

해야할 어커런스에 대한 분석결과를 도

출하고 있다 미국 연반항공청(FAA)이

주도하는 CAST (Commercial Aviation

Safety Team)에서 CFIT Loss of

Control Runway Incursion 등 11가지

항목을 선정하여 해당 위험 요소에 대

한 경각심을 주는 한편 최근 위협 항목

을 발표하였다 향후 SMS를 통한 국내

항공 안전의 증진을 최대화하기 위해서

는 공통의 공인된 어커런스 분류체계

항공 안전관리체계 연구개발

81

를 갖추고 체계적인 항공 데이터의 수

집 및 분석이 필요하다 하겠다

22 위해요인 및 피해결과 리스트

해외자료 사례

위해요인(Hazard)은 SMS의 위험 분

석 및 평가의 가장 핵심 요소이며 과거

데이터를 통해 도출된 어커런스와 이에

대한 다수의 위해요인간의 관계를 규명

하는데 있어 필수적이다 그리고 피해

결과(Consequence)는 해당 어커런스에

따른 피해결과 값을 분석하고 사고 심

각도와 연계되는 중요한 요소이다

SMS의 위험관리체계는 위해요인을 관

리하여 해당 위해요인에 따른 사건사

고를 발생 이전에 예측하고 통제 방안

을 마련하여 안전을 증진시키는 것을

목적으로 한다

SM ICG(Safety Management Inter-

national Collaboration Group)1)에서는

위해요인의 분류 기준으로 환경적

(Environmental) 기술적(Technical) 경

제적(Economic) 조직적(Organizational)

그리고 인적(Human) 항목을 제안하고

있다 위해요인은 기관에 따라 Hazard

Causal Factor Contributing Factor 등

다양한 용어로 사용되고 있다 위해요

인 분류체계 또한 다른 분류체계와 마

찬가지로 국제적으로 통용되는 정의와

분류체계가 존재하지 않으며 FAA등

여러 기관에서 위해요인 분류체계를 제

정하기 위한 노력을 기울이고 있다

영국 CAA에서 발행하는 CAP776의

lsquoGlobal Fatal Accident Review 1997-

2006rsquo를 통해 CAA Accident Analysis

Group(AAG) Taxonomy가 정의되었으

며 이는 실제 데이터 기반의 직접원인

(Causal Factor) 간접원인 (Circumstantial

Factor) 그리고 피해결과 (Consequence)

의 항목을 정의하였으며 이를 통해 도

출된 직접원인과 간접원인은 우리나라

에서 위해요인 분류체계로 차용해서 사

용되고 있는 것이기도 하다 미국

NTSB(National Transportation Safety

Board)의 위해요인은 최대 5단계로 분

류되어있으며 최하단계 기준 총 1019

개의 위해요인을 정의하고 있다 최상

위 단계는 Aircraft Personnel Issue

Environmental Issue Organizational Issue

네 가지로 분류되며 lt그림 3gt은 최상위

레벨과 그 다음레벨의 위해요인 분류를

표현한 것이다 NTSB의 위해요인 대분

류는 SM ICG에서 제안하는 위해요인

1) SM ICG 참여 기관 브라질 National Civil Aviation Agency(ANAC) 호주 Civil Aviation Safety Agency(

CASA) 유럽항공안전청(EASA) 스위스 Federal Office of Civil Aviation 미국 FAA Aviation Safety

Organization ICAO 캐나다 Transport Canada Civil Aviatioin(TCCA) 영국 Civil Aviation Authority(CAA)

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 2: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

76

Ⅰ 추진배경 및 연구목표

11 국내외 환경변화

80년대부터 정체되어 있는 항공사고

율은 21세기에 접어들어 급격하게 증가

하고 있는 항공교통량 추세와 항공교통

시스템 현대화를 위해 도입되는 신기술

등을 감안할 때 점차 증가할 것으로 예

측되며 2015년에는 백만 회 이착륙 당

48회의 사고율에 이를 것으로 전망되고

있다 이에 국제민간항공기구 (ICAO)는

새로운 안전관리정책의 중요성에 대한

인식을 바탕으로 안전관리시스템(Safety

Management System SMS)을 항공 전

분야에 도입하는 것을 최우선 과제로

설정하였다 ICAO는 2010년부터 국가

의 모든 항공안전관리체계를 안전정보

(Safety Data)에 기반을 둔 사전 예방적

항공안전관리체계로 전환하기위해 모든

체약국들에게 안전관리시스템(SMS)과

국가항공안전프로그램(SSP)의 이행을

의무화하고 2013년부터 그 이행여부에

대한 감독을 실시할 예정이다 이러한

ICAO의 정책변화와 2013년 ICAO의

점검을 앞두고 우리나라도 사전 예방적

항공안전관리체계로의 전환을 위하여

국가적 차원에서 실효성 있는 안전정보

(Safety Data)를 수집하고 이를 통해 체

계적 위험 관리를 가능하게 하는 국가

항공안전프로그램의 연구 개발이 시급

하다

12 해외 안전관리시스템(SMS)

동향

미 연방항공청(FAA)의 경우 1990년

대 후반부터 이미 안전관리시스템 구축

에 대한 중요성을 인식하고 많은 재원

을 투입하고 노력을 기울여 왔다 FAA

안전관리시스템 개발의 대상이 되는 기

관은 항공관제기관(ATO Air Traffic

Organization)을 중심으로 한 정부기관

과 개별사업체인 항공사 항공기 제작

사 항공기 정비업체 비행훈련기관 공

항운영자 및 국제운항 비즈니스항공 운

영자 등 주요 항공인프라가 모두 포함

된다 미국의 경우 현재까지 약 15년간

의 노력 끝에 ATO를 대상으로 하는

SMS가 안정적으로 시행되기 시작했으

며 이는 ATO 기관들이 FAA 산하 기

관으로서 의사결정과 연구개발 투자에

있어 신속성과 효율성을 보장할 수 있

었기에 가능했던 것으로 평가되고 있

다 이와는 대조적으로 항공사의 경우

현재는 자율구축 및 보고체제를 지향하

고 있어 항공사간 경험과 기술의 격차

가 큰 것으로 알려져 있고 FAA는 이

를 통합하는 체계를 갖추기 위해 최근

항공 안전관리체계 연구개발

77

들어 Part 135 Part 121 운영자 증명서

보유자(certificate holder)에 대한 법규

제정을 활발히 진행하고 있다 ATO의

경우 ICAO의 권고에 따라 ATO의 독

립적인 안전감독이 가능하도록 보장하

고 있으며 위험을 허용 가능한 수준

(acceptable levels)으로 낮추기 위해 사

용되는 모든 조치들에 대한 효과적이고

지속적인 모니터링 국가항공시스템 변

경요소의 문서화 및 평가(Assessment)

를 위한 절차를 제시하고 있다

13 SMS 연구목표

이러한 국제기준의 제정에 따른 후속

조치로써 우리는 항공법을 개정하여 국

가는 국가항공안전프로그램을 제정토록

하고 개별 항공서비스 제공 기관들

(service provider)은 항공안전관리시스

템(SMS)을 갖추도록 법제화 하였다

국가항공안전관리시스템(SMS)에는

두 가지 핵심 프로세스가 있으며 이는

위험관리(Risk Management)와 안전보

증(Safety Assurance)이다 그러나 현재

우리나라의 경우 항공사고 요인 예측

분석기술은 선진국 대비 50 수준이며

안전데이터 기반의 과학적 안전관리기

술은 선진국 대비 60 수준으로 정량

적 안전관리와 예측적 안전관리를 위한

환경이 조성되어 있지 않아 안전관리체

계의 불확실성이 높은 수준이다 특히

항공사고보고 형식이 통일되어 있지 않

고 처벌에 대한 두려움이나 이에 관한

법률적 보호체계의 불충분으로 선제적

안전관리에 반드시 필요한 자율 보고

등의 정보가 부족한 실정이다 이와 더

불어 보고서 작성용 범용 용어 체계가

없어 보고서 간의 일관성이 부족하거

나 사고준사고장애보고 등의 주요 정

보가 누락되는 경우가 빈번한 실정이

다 현재 일부 항공사에서 사용하고 있

는 안전정비 관리프로그램은 대부분

해외 개발품을 도입하는 형식으로 우리

나라 항공시스템이나 항공사의 특성을

반영하는 데는 한계가 있으며 중소형

항공사들의 경우 구매에 따른 경제적

부담이나 후속기술지원 등 상용화 프로

그램 도입에 많은 난제를 안고 있다

이러한 대내외적인 환경 변화 속에서

국토교통부에서는 201112월부터 2015

6월까지 3년6개월 간 국가 RampD 사업

으로 ldquo항공사고위험 예측middot분석 프로그

램 개발rdquo에 착수하였다 본 RampD 프로

젝트에는 기고자가 속한 한국과학기술

원(KAIST)를 비롯하여 한서대학교 교

통연구원 교통안전공단 및 에코시안

(주)이 참여하고 있다

이 연구개발을 통해 국가차원에서 한

국형 안전관리시스템을 개발하고자 하

항공진흥 제60호

78

lt그림 1gt 연구개발 목표

운항환경 및 항공기 등에 내재된 사고위험 사전 검출

항공사고 원인분석 및 정량적 위험 산출 및 평가

국가 항공안전지표 산정을 통한 국가 안전도의 객관적 평가체계 마련

핵심적인 안전관리기술 개발을 통한 항공사고 예방

ICAO 국제 요구사항 이행을 통한 국제적 조화 및 항공안전 리더십 창출

학-연을 중심으로 한 핵심 기술 연구결과의 중소기업 중심 기술이전으로 건전한

기술개발 및 기술이전 환경 육성

대응적 사고처리에서 선제적 사고 예방으로의 전환을 통한 국민안전보장 및

항공안전 선진국으로서의 국가 위상 정립

며 이를 통해 이루고자하는 목표는 lt그

림 1gt과 같다

본 기고문에서는 이제까지 진행된

RampD 과업 중 SMS의 핵심 기술이라

할 수 있는 항공 서비스 제공자용 SMS

모듈 개발과 정량적 위험분석 및 평가

모델에 대해 좀 더 자세히 언급하고자

한다

Ⅱ 연구 추진 경과 위해요인

및 피해결과

21 항공 SMS 어커런스(Occurrence)

항공안전과 관련하여 일상적으로 사

용되는 용어들인 어커런스(Occurrence)

이벤트(Event) 위해요인(Hazard) 피해

결과(Consequence) 등에 대한 국제 규

항공 안전관리체계 연구개발

79

lt그림 2gt CFIT 사고 변화

격 또는 국가차원에서의 공통된 정의

및 분류체계(Taxonomy)가 현재 제대로

정립이 되어 있지 않다 ICAO를 비롯

한 항공국제기관과 항공 산업의 선진국

및 항공안전 데이터의 분석기관을 중심

으로 분류체계 및 용어를 정의하려는

노력이 이루어지고 있으나 국제사회에

서 공통적으로 통용되고 활용되기에는

미흡한 실정이다

어커런스는 가장 빈번히 사용되는 항

공안전 용어 중 하나로서 기장 관제

승무원 정비사 등으로부터 일상적으로

수집되는 항공 사건사고의 성격을 규

정할 수 있다 항공운항의 비정상 상태

에 대한 정보 수집 및 관리는 안전 증

진 및 항공 산업 운영관리를 위하여 매

우 중요한 요소이다 이와 동시에 SMS

를 통해 수집되는 항공 안전 데이터를

대표할 수 있는 가장 핵심 항목으로서

SMS 구축에 앞서 국내에서 활용될 어

커런스에 대한 명확한 정의가 필요하

다 어커런스 분류체계는 이러한 비정

상 상태의 항공 사건사고에 대하여 규

정된 각 어커런스의 집합으로서 수집된

데이터의 분석을 위해 정립되고 관리되

어야 한다 빈번히 발생되는 사건사고

에 대하여 어커런스 분류체계의 항목으

로 지정하는 것 자체로서 항공 안전 증

진에 대한 밑거름이 되며 이는 국제 사

회 혹은 각 기관이 해당 어커런스에 대

해 이슈로 지정하고 관리하겠다는 의지

의 표시가 될 수 있다

lt그림 2gt는 lsquoControlled Flight Into

Terrain(CFIT)rsquo 즉 항공기가 정상적인

항공진흥 제60호

80

비행 중 지표 수면 또는 그 밖의 장애

물과 충돌한 어커런스(사고)에 대한 추

세를 나타낸다 CFIT를 어커런스의 하

나로 지정하여 CFIT사고에 대해 지속

적인 관리와 해결 노력을 이행함으로써

10년간 해당 사고가 줄어들고 있는 것

을 확인 할 수 있다 이는 lsquocommon

taxonomy benefitrsquo을 확인할 수 있는 좋은

예로 어커런스의 정의 및 분류체계의

정립이 항공안전에 기여하는 바를 확인

할 수 있다 그러나 현재 존재하는 어커

런스 분류체계는 필요 항목의 부재 혹은

중복 불필요한 항목 존재 모호함 혹

은 너무 간략하거나 너무 세분화되어있

는 등 사용자에게 혼란을 주고 분석의

효과성을 극대화하기에 어려움이 있다

우리나라는 데이터 수집체계와 SMS

의 구축을 위한 노력을 지속적으로 하

고 있으며 이를 성공적으로 이끌어내기

위해서는 어커런스 체계의 정립이 반드

시 수반되어야 한다 공통의 분류체계

는 SMS의 사용자 및 관리자 그리고

분석가들로 하여금 의사소통을 원활히

하며 분석 결과의 효용성을 향상시키

고 그에 대한 통제방안 마련에 결정적

인 역할을 한다 우리나라의 어커런스

는 과거의 발생 데이터뿐만 아니라 향

후 발생 가능한 위험요소 및 국제항공

안전을 위협하는 공통의 요소 등을 모

두 반영한 분류체계가 되어야 한다 또

한 국가와 항공사 관제 공항 정비업

체 등 종사 기관이 공유하고 가공하는

것이 (하위레벨을 통한 분류체계의 확

장 등) 가능한 융통성 있는 플랫폼으로

정립해야 한다

이를 위한 방법으로는 첫째 국제 규

격의 어커런스 분류체계를 수용함과 동

시에 국내 데이터 분석을 통한 추가 필

요항목을 발굴하여 상호배제와 전체포

괄(MECE Mutually Exclusive and

Collectively Exhaustive)적인 리스트를

정립하는 것이며 둘째 지속적인 항공

안전 증진을 위해 변화 가능한 포맷의

리스트를 정립하는 것이다 이와 관련

하여 ICAO와 CICTT(CASTICAO Common

Taxonomy Team)에서는 지속적으로 어

커런스 분류체계를 갱신하고 있으며 다

른 기관들에서도 간헐적으로 집중 관리

해야할 어커런스에 대한 분석결과를 도

출하고 있다 미국 연반항공청(FAA)이

주도하는 CAST (Commercial Aviation

Safety Team)에서 CFIT Loss of

Control Runway Incursion 등 11가지

항목을 선정하여 해당 위험 요소에 대

한 경각심을 주는 한편 최근 위협 항목

을 발표하였다 향후 SMS를 통한 국내

항공 안전의 증진을 최대화하기 위해서

는 공통의 공인된 어커런스 분류체계

항공 안전관리체계 연구개발

81

를 갖추고 체계적인 항공 데이터의 수

집 및 분석이 필요하다 하겠다

22 위해요인 및 피해결과 리스트

해외자료 사례

위해요인(Hazard)은 SMS의 위험 분

석 및 평가의 가장 핵심 요소이며 과거

데이터를 통해 도출된 어커런스와 이에

대한 다수의 위해요인간의 관계를 규명

하는데 있어 필수적이다 그리고 피해

결과(Consequence)는 해당 어커런스에

따른 피해결과 값을 분석하고 사고 심

각도와 연계되는 중요한 요소이다

SMS의 위험관리체계는 위해요인을 관

리하여 해당 위해요인에 따른 사건사

고를 발생 이전에 예측하고 통제 방안

을 마련하여 안전을 증진시키는 것을

목적으로 한다

SM ICG(Safety Management Inter-

national Collaboration Group)1)에서는

위해요인의 분류 기준으로 환경적

(Environmental) 기술적(Technical) 경

제적(Economic) 조직적(Organizational)

그리고 인적(Human) 항목을 제안하고

있다 위해요인은 기관에 따라 Hazard

Causal Factor Contributing Factor 등

다양한 용어로 사용되고 있다 위해요

인 분류체계 또한 다른 분류체계와 마

찬가지로 국제적으로 통용되는 정의와

분류체계가 존재하지 않으며 FAA등

여러 기관에서 위해요인 분류체계를 제

정하기 위한 노력을 기울이고 있다

영국 CAA에서 발행하는 CAP776의

lsquoGlobal Fatal Accident Review 1997-

2006rsquo를 통해 CAA Accident Analysis

Group(AAG) Taxonomy가 정의되었으

며 이는 실제 데이터 기반의 직접원인

(Causal Factor) 간접원인 (Circumstantial

Factor) 그리고 피해결과 (Consequence)

의 항목을 정의하였으며 이를 통해 도

출된 직접원인과 간접원인은 우리나라

에서 위해요인 분류체계로 차용해서 사

용되고 있는 것이기도 하다 미국

NTSB(National Transportation Safety

Board)의 위해요인은 최대 5단계로 분

류되어있으며 최하단계 기준 총 1019

개의 위해요인을 정의하고 있다 최상

위 단계는 Aircraft Personnel Issue

Environmental Issue Organizational Issue

네 가지로 분류되며 lt그림 3gt은 최상위

레벨과 그 다음레벨의 위해요인 분류를

표현한 것이다 NTSB의 위해요인 대분

류는 SM ICG에서 제안하는 위해요인

1) SM ICG 참여 기관 브라질 National Civil Aviation Agency(ANAC) 호주 Civil Aviation Safety Agency(

CASA) 유럽항공안전청(EASA) 스위스 Federal Office of Civil Aviation 미국 FAA Aviation Safety

Organization ICAO 캐나다 Transport Canada Civil Aviatioin(TCCA) 영국 Civil Aviation Authority(CAA)

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 3: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

77

들어 Part 135 Part 121 운영자 증명서

보유자(certificate holder)에 대한 법규

제정을 활발히 진행하고 있다 ATO의

경우 ICAO의 권고에 따라 ATO의 독

립적인 안전감독이 가능하도록 보장하

고 있으며 위험을 허용 가능한 수준

(acceptable levels)으로 낮추기 위해 사

용되는 모든 조치들에 대한 효과적이고

지속적인 모니터링 국가항공시스템 변

경요소의 문서화 및 평가(Assessment)

를 위한 절차를 제시하고 있다

13 SMS 연구목표

이러한 국제기준의 제정에 따른 후속

조치로써 우리는 항공법을 개정하여 국

가는 국가항공안전프로그램을 제정토록

하고 개별 항공서비스 제공 기관들

(service provider)은 항공안전관리시스

템(SMS)을 갖추도록 법제화 하였다

국가항공안전관리시스템(SMS)에는

두 가지 핵심 프로세스가 있으며 이는

위험관리(Risk Management)와 안전보

증(Safety Assurance)이다 그러나 현재

우리나라의 경우 항공사고 요인 예측

분석기술은 선진국 대비 50 수준이며

안전데이터 기반의 과학적 안전관리기

술은 선진국 대비 60 수준으로 정량

적 안전관리와 예측적 안전관리를 위한

환경이 조성되어 있지 않아 안전관리체

계의 불확실성이 높은 수준이다 특히

항공사고보고 형식이 통일되어 있지 않

고 처벌에 대한 두려움이나 이에 관한

법률적 보호체계의 불충분으로 선제적

안전관리에 반드시 필요한 자율 보고

등의 정보가 부족한 실정이다 이와 더

불어 보고서 작성용 범용 용어 체계가

없어 보고서 간의 일관성이 부족하거

나 사고준사고장애보고 등의 주요 정

보가 누락되는 경우가 빈번한 실정이

다 현재 일부 항공사에서 사용하고 있

는 안전정비 관리프로그램은 대부분

해외 개발품을 도입하는 형식으로 우리

나라 항공시스템이나 항공사의 특성을

반영하는 데는 한계가 있으며 중소형

항공사들의 경우 구매에 따른 경제적

부담이나 후속기술지원 등 상용화 프로

그램 도입에 많은 난제를 안고 있다

이러한 대내외적인 환경 변화 속에서

국토교통부에서는 201112월부터 2015

6월까지 3년6개월 간 국가 RampD 사업

으로 ldquo항공사고위험 예측middot분석 프로그

램 개발rdquo에 착수하였다 본 RampD 프로

젝트에는 기고자가 속한 한국과학기술

원(KAIST)를 비롯하여 한서대학교 교

통연구원 교통안전공단 및 에코시안

(주)이 참여하고 있다

이 연구개발을 통해 국가차원에서 한

국형 안전관리시스템을 개발하고자 하

항공진흥 제60호

78

lt그림 1gt 연구개발 목표

운항환경 및 항공기 등에 내재된 사고위험 사전 검출

항공사고 원인분석 및 정량적 위험 산출 및 평가

국가 항공안전지표 산정을 통한 국가 안전도의 객관적 평가체계 마련

핵심적인 안전관리기술 개발을 통한 항공사고 예방

ICAO 국제 요구사항 이행을 통한 국제적 조화 및 항공안전 리더십 창출

학-연을 중심으로 한 핵심 기술 연구결과의 중소기업 중심 기술이전으로 건전한

기술개발 및 기술이전 환경 육성

대응적 사고처리에서 선제적 사고 예방으로의 전환을 통한 국민안전보장 및

항공안전 선진국으로서의 국가 위상 정립

며 이를 통해 이루고자하는 목표는 lt그

림 1gt과 같다

본 기고문에서는 이제까지 진행된

RampD 과업 중 SMS의 핵심 기술이라

할 수 있는 항공 서비스 제공자용 SMS

모듈 개발과 정량적 위험분석 및 평가

모델에 대해 좀 더 자세히 언급하고자

한다

Ⅱ 연구 추진 경과 위해요인

및 피해결과

21 항공 SMS 어커런스(Occurrence)

항공안전과 관련하여 일상적으로 사

용되는 용어들인 어커런스(Occurrence)

이벤트(Event) 위해요인(Hazard) 피해

결과(Consequence) 등에 대한 국제 규

항공 안전관리체계 연구개발

79

lt그림 2gt CFIT 사고 변화

격 또는 국가차원에서의 공통된 정의

및 분류체계(Taxonomy)가 현재 제대로

정립이 되어 있지 않다 ICAO를 비롯

한 항공국제기관과 항공 산업의 선진국

및 항공안전 데이터의 분석기관을 중심

으로 분류체계 및 용어를 정의하려는

노력이 이루어지고 있으나 국제사회에

서 공통적으로 통용되고 활용되기에는

미흡한 실정이다

어커런스는 가장 빈번히 사용되는 항

공안전 용어 중 하나로서 기장 관제

승무원 정비사 등으로부터 일상적으로

수집되는 항공 사건사고의 성격을 규

정할 수 있다 항공운항의 비정상 상태

에 대한 정보 수집 및 관리는 안전 증

진 및 항공 산업 운영관리를 위하여 매

우 중요한 요소이다 이와 동시에 SMS

를 통해 수집되는 항공 안전 데이터를

대표할 수 있는 가장 핵심 항목으로서

SMS 구축에 앞서 국내에서 활용될 어

커런스에 대한 명확한 정의가 필요하

다 어커런스 분류체계는 이러한 비정

상 상태의 항공 사건사고에 대하여 규

정된 각 어커런스의 집합으로서 수집된

데이터의 분석을 위해 정립되고 관리되

어야 한다 빈번히 발생되는 사건사고

에 대하여 어커런스 분류체계의 항목으

로 지정하는 것 자체로서 항공 안전 증

진에 대한 밑거름이 되며 이는 국제 사

회 혹은 각 기관이 해당 어커런스에 대

해 이슈로 지정하고 관리하겠다는 의지

의 표시가 될 수 있다

lt그림 2gt는 lsquoControlled Flight Into

Terrain(CFIT)rsquo 즉 항공기가 정상적인

항공진흥 제60호

80

비행 중 지표 수면 또는 그 밖의 장애

물과 충돌한 어커런스(사고)에 대한 추

세를 나타낸다 CFIT를 어커런스의 하

나로 지정하여 CFIT사고에 대해 지속

적인 관리와 해결 노력을 이행함으로써

10년간 해당 사고가 줄어들고 있는 것

을 확인 할 수 있다 이는 lsquocommon

taxonomy benefitrsquo을 확인할 수 있는 좋은

예로 어커런스의 정의 및 분류체계의

정립이 항공안전에 기여하는 바를 확인

할 수 있다 그러나 현재 존재하는 어커

런스 분류체계는 필요 항목의 부재 혹은

중복 불필요한 항목 존재 모호함 혹

은 너무 간략하거나 너무 세분화되어있

는 등 사용자에게 혼란을 주고 분석의

효과성을 극대화하기에 어려움이 있다

우리나라는 데이터 수집체계와 SMS

의 구축을 위한 노력을 지속적으로 하

고 있으며 이를 성공적으로 이끌어내기

위해서는 어커런스 체계의 정립이 반드

시 수반되어야 한다 공통의 분류체계

는 SMS의 사용자 및 관리자 그리고

분석가들로 하여금 의사소통을 원활히

하며 분석 결과의 효용성을 향상시키

고 그에 대한 통제방안 마련에 결정적

인 역할을 한다 우리나라의 어커런스

는 과거의 발생 데이터뿐만 아니라 향

후 발생 가능한 위험요소 및 국제항공

안전을 위협하는 공통의 요소 등을 모

두 반영한 분류체계가 되어야 한다 또

한 국가와 항공사 관제 공항 정비업

체 등 종사 기관이 공유하고 가공하는

것이 (하위레벨을 통한 분류체계의 확

장 등) 가능한 융통성 있는 플랫폼으로

정립해야 한다

이를 위한 방법으로는 첫째 국제 규

격의 어커런스 분류체계를 수용함과 동

시에 국내 데이터 분석을 통한 추가 필

요항목을 발굴하여 상호배제와 전체포

괄(MECE Mutually Exclusive and

Collectively Exhaustive)적인 리스트를

정립하는 것이며 둘째 지속적인 항공

안전 증진을 위해 변화 가능한 포맷의

리스트를 정립하는 것이다 이와 관련

하여 ICAO와 CICTT(CASTICAO Common

Taxonomy Team)에서는 지속적으로 어

커런스 분류체계를 갱신하고 있으며 다

른 기관들에서도 간헐적으로 집중 관리

해야할 어커런스에 대한 분석결과를 도

출하고 있다 미국 연반항공청(FAA)이

주도하는 CAST (Commercial Aviation

Safety Team)에서 CFIT Loss of

Control Runway Incursion 등 11가지

항목을 선정하여 해당 위험 요소에 대

한 경각심을 주는 한편 최근 위협 항목

을 발표하였다 향후 SMS를 통한 국내

항공 안전의 증진을 최대화하기 위해서

는 공통의 공인된 어커런스 분류체계

항공 안전관리체계 연구개발

81

를 갖추고 체계적인 항공 데이터의 수

집 및 분석이 필요하다 하겠다

22 위해요인 및 피해결과 리스트

해외자료 사례

위해요인(Hazard)은 SMS의 위험 분

석 및 평가의 가장 핵심 요소이며 과거

데이터를 통해 도출된 어커런스와 이에

대한 다수의 위해요인간의 관계를 규명

하는데 있어 필수적이다 그리고 피해

결과(Consequence)는 해당 어커런스에

따른 피해결과 값을 분석하고 사고 심

각도와 연계되는 중요한 요소이다

SMS의 위험관리체계는 위해요인을 관

리하여 해당 위해요인에 따른 사건사

고를 발생 이전에 예측하고 통제 방안

을 마련하여 안전을 증진시키는 것을

목적으로 한다

SM ICG(Safety Management Inter-

national Collaboration Group)1)에서는

위해요인의 분류 기준으로 환경적

(Environmental) 기술적(Technical) 경

제적(Economic) 조직적(Organizational)

그리고 인적(Human) 항목을 제안하고

있다 위해요인은 기관에 따라 Hazard

Causal Factor Contributing Factor 등

다양한 용어로 사용되고 있다 위해요

인 분류체계 또한 다른 분류체계와 마

찬가지로 국제적으로 통용되는 정의와

분류체계가 존재하지 않으며 FAA등

여러 기관에서 위해요인 분류체계를 제

정하기 위한 노력을 기울이고 있다

영국 CAA에서 발행하는 CAP776의

lsquoGlobal Fatal Accident Review 1997-

2006rsquo를 통해 CAA Accident Analysis

Group(AAG) Taxonomy가 정의되었으

며 이는 실제 데이터 기반의 직접원인

(Causal Factor) 간접원인 (Circumstantial

Factor) 그리고 피해결과 (Consequence)

의 항목을 정의하였으며 이를 통해 도

출된 직접원인과 간접원인은 우리나라

에서 위해요인 분류체계로 차용해서 사

용되고 있는 것이기도 하다 미국

NTSB(National Transportation Safety

Board)의 위해요인은 최대 5단계로 분

류되어있으며 최하단계 기준 총 1019

개의 위해요인을 정의하고 있다 최상

위 단계는 Aircraft Personnel Issue

Environmental Issue Organizational Issue

네 가지로 분류되며 lt그림 3gt은 최상위

레벨과 그 다음레벨의 위해요인 분류를

표현한 것이다 NTSB의 위해요인 대분

류는 SM ICG에서 제안하는 위해요인

1) SM ICG 참여 기관 브라질 National Civil Aviation Agency(ANAC) 호주 Civil Aviation Safety Agency(

CASA) 유럽항공안전청(EASA) 스위스 Federal Office of Civil Aviation 미국 FAA Aviation Safety

Organization ICAO 캐나다 Transport Canada Civil Aviatioin(TCCA) 영국 Civil Aviation Authority(CAA)

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 4: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

78

lt그림 1gt 연구개발 목표

운항환경 및 항공기 등에 내재된 사고위험 사전 검출

항공사고 원인분석 및 정량적 위험 산출 및 평가

국가 항공안전지표 산정을 통한 국가 안전도의 객관적 평가체계 마련

핵심적인 안전관리기술 개발을 통한 항공사고 예방

ICAO 국제 요구사항 이행을 통한 국제적 조화 및 항공안전 리더십 창출

학-연을 중심으로 한 핵심 기술 연구결과의 중소기업 중심 기술이전으로 건전한

기술개발 및 기술이전 환경 육성

대응적 사고처리에서 선제적 사고 예방으로의 전환을 통한 국민안전보장 및

항공안전 선진국으로서의 국가 위상 정립

며 이를 통해 이루고자하는 목표는 lt그

림 1gt과 같다

본 기고문에서는 이제까지 진행된

RampD 과업 중 SMS의 핵심 기술이라

할 수 있는 항공 서비스 제공자용 SMS

모듈 개발과 정량적 위험분석 및 평가

모델에 대해 좀 더 자세히 언급하고자

한다

Ⅱ 연구 추진 경과 위해요인

및 피해결과

21 항공 SMS 어커런스(Occurrence)

항공안전과 관련하여 일상적으로 사

용되는 용어들인 어커런스(Occurrence)

이벤트(Event) 위해요인(Hazard) 피해

결과(Consequence) 등에 대한 국제 규

항공 안전관리체계 연구개발

79

lt그림 2gt CFIT 사고 변화

격 또는 국가차원에서의 공통된 정의

및 분류체계(Taxonomy)가 현재 제대로

정립이 되어 있지 않다 ICAO를 비롯

한 항공국제기관과 항공 산업의 선진국

및 항공안전 데이터의 분석기관을 중심

으로 분류체계 및 용어를 정의하려는

노력이 이루어지고 있으나 국제사회에

서 공통적으로 통용되고 활용되기에는

미흡한 실정이다

어커런스는 가장 빈번히 사용되는 항

공안전 용어 중 하나로서 기장 관제

승무원 정비사 등으로부터 일상적으로

수집되는 항공 사건사고의 성격을 규

정할 수 있다 항공운항의 비정상 상태

에 대한 정보 수집 및 관리는 안전 증

진 및 항공 산업 운영관리를 위하여 매

우 중요한 요소이다 이와 동시에 SMS

를 통해 수집되는 항공 안전 데이터를

대표할 수 있는 가장 핵심 항목으로서

SMS 구축에 앞서 국내에서 활용될 어

커런스에 대한 명확한 정의가 필요하

다 어커런스 분류체계는 이러한 비정

상 상태의 항공 사건사고에 대하여 규

정된 각 어커런스의 집합으로서 수집된

데이터의 분석을 위해 정립되고 관리되

어야 한다 빈번히 발생되는 사건사고

에 대하여 어커런스 분류체계의 항목으

로 지정하는 것 자체로서 항공 안전 증

진에 대한 밑거름이 되며 이는 국제 사

회 혹은 각 기관이 해당 어커런스에 대

해 이슈로 지정하고 관리하겠다는 의지

의 표시가 될 수 있다

lt그림 2gt는 lsquoControlled Flight Into

Terrain(CFIT)rsquo 즉 항공기가 정상적인

항공진흥 제60호

80

비행 중 지표 수면 또는 그 밖의 장애

물과 충돌한 어커런스(사고)에 대한 추

세를 나타낸다 CFIT를 어커런스의 하

나로 지정하여 CFIT사고에 대해 지속

적인 관리와 해결 노력을 이행함으로써

10년간 해당 사고가 줄어들고 있는 것

을 확인 할 수 있다 이는 lsquocommon

taxonomy benefitrsquo을 확인할 수 있는 좋은

예로 어커런스의 정의 및 분류체계의

정립이 항공안전에 기여하는 바를 확인

할 수 있다 그러나 현재 존재하는 어커

런스 분류체계는 필요 항목의 부재 혹은

중복 불필요한 항목 존재 모호함 혹

은 너무 간략하거나 너무 세분화되어있

는 등 사용자에게 혼란을 주고 분석의

효과성을 극대화하기에 어려움이 있다

우리나라는 데이터 수집체계와 SMS

의 구축을 위한 노력을 지속적으로 하

고 있으며 이를 성공적으로 이끌어내기

위해서는 어커런스 체계의 정립이 반드

시 수반되어야 한다 공통의 분류체계

는 SMS의 사용자 및 관리자 그리고

분석가들로 하여금 의사소통을 원활히

하며 분석 결과의 효용성을 향상시키

고 그에 대한 통제방안 마련에 결정적

인 역할을 한다 우리나라의 어커런스

는 과거의 발생 데이터뿐만 아니라 향

후 발생 가능한 위험요소 및 국제항공

안전을 위협하는 공통의 요소 등을 모

두 반영한 분류체계가 되어야 한다 또

한 국가와 항공사 관제 공항 정비업

체 등 종사 기관이 공유하고 가공하는

것이 (하위레벨을 통한 분류체계의 확

장 등) 가능한 융통성 있는 플랫폼으로

정립해야 한다

이를 위한 방법으로는 첫째 국제 규

격의 어커런스 분류체계를 수용함과 동

시에 국내 데이터 분석을 통한 추가 필

요항목을 발굴하여 상호배제와 전체포

괄(MECE Mutually Exclusive and

Collectively Exhaustive)적인 리스트를

정립하는 것이며 둘째 지속적인 항공

안전 증진을 위해 변화 가능한 포맷의

리스트를 정립하는 것이다 이와 관련

하여 ICAO와 CICTT(CASTICAO Common

Taxonomy Team)에서는 지속적으로 어

커런스 분류체계를 갱신하고 있으며 다

른 기관들에서도 간헐적으로 집중 관리

해야할 어커런스에 대한 분석결과를 도

출하고 있다 미국 연반항공청(FAA)이

주도하는 CAST (Commercial Aviation

Safety Team)에서 CFIT Loss of

Control Runway Incursion 등 11가지

항목을 선정하여 해당 위험 요소에 대

한 경각심을 주는 한편 최근 위협 항목

을 발표하였다 향후 SMS를 통한 국내

항공 안전의 증진을 최대화하기 위해서

는 공통의 공인된 어커런스 분류체계

항공 안전관리체계 연구개발

81

를 갖추고 체계적인 항공 데이터의 수

집 및 분석이 필요하다 하겠다

22 위해요인 및 피해결과 리스트

해외자료 사례

위해요인(Hazard)은 SMS의 위험 분

석 및 평가의 가장 핵심 요소이며 과거

데이터를 통해 도출된 어커런스와 이에

대한 다수의 위해요인간의 관계를 규명

하는데 있어 필수적이다 그리고 피해

결과(Consequence)는 해당 어커런스에

따른 피해결과 값을 분석하고 사고 심

각도와 연계되는 중요한 요소이다

SMS의 위험관리체계는 위해요인을 관

리하여 해당 위해요인에 따른 사건사

고를 발생 이전에 예측하고 통제 방안

을 마련하여 안전을 증진시키는 것을

목적으로 한다

SM ICG(Safety Management Inter-

national Collaboration Group)1)에서는

위해요인의 분류 기준으로 환경적

(Environmental) 기술적(Technical) 경

제적(Economic) 조직적(Organizational)

그리고 인적(Human) 항목을 제안하고

있다 위해요인은 기관에 따라 Hazard

Causal Factor Contributing Factor 등

다양한 용어로 사용되고 있다 위해요

인 분류체계 또한 다른 분류체계와 마

찬가지로 국제적으로 통용되는 정의와

분류체계가 존재하지 않으며 FAA등

여러 기관에서 위해요인 분류체계를 제

정하기 위한 노력을 기울이고 있다

영국 CAA에서 발행하는 CAP776의

lsquoGlobal Fatal Accident Review 1997-

2006rsquo를 통해 CAA Accident Analysis

Group(AAG) Taxonomy가 정의되었으

며 이는 실제 데이터 기반의 직접원인

(Causal Factor) 간접원인 (Circumstantial

Factor) 그리고 피해결과 (Consequence)

의 항목을 정의하였으며 이를 통해 도

출된 직접원인과 간접원인은 우리나라

에서 위해요인 분류체계로 차용해서 사

용되고 있는 것이기도 하다 미국

NTSB(National Transportation Safety

Board)의 위해요인은 최대 5단계로 분

류되어있으며 최하단계 기준 총 1019

개의 위해요인을 정의하고 있다 최상

위 단계는 Aircraft Personnel Issue

Environmental Issue Organizational Issue

네 가지로 분류되며 lt그림 3gt은 최상위

레벨과 그 다음레벨의 위해요인 분류를

표현한 것이다 NTSB의 위해요인 대분

류는 SM ICG에서 제안하는 위해요인

1) SM ICG 참여 기관 브라질 National Civil Aviation Agency(ANAC) 호주 Civil Aviation Safety Agency(

CASA) 유럽항공안전청(EASA) 스위스 Federal Office of Civil Aviation 미국 FAA Aviation Safety

Organization ICAO 캐나다 Transport Canada Civil Aviatioin(TCCA) 영국 Civil Aviation Authority(CAA)

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 5: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

79

lt그림 2gt CFIT 사고 변화

격 또는 국가차원에서의 공통된 정의

및 분류체계(Taxonomy)가 현재 제대로

정립이 되어 있지 않다 ICAO를 비롯

한 항공국제기관과 항공 산업의 선진국

및 항공안전 데이터의 분석기관을 중심

으로 분류체계 및 용어를 정의하려는

노력이 이루어지고 있으나 국제사회에

서 공통적으로 통용되고 활용되기에는

미흡한 실정이다

어커런스는 가장 빈번히 사용되는 항

공안전 용어 중 하나로서 기장 관제

승무원 정비사 등으로부터 일상적으로

수집되는 항공 사건사고의 성격을 규

정할 수 있다 항공운항의 비정상 상태

에 대한 정보 수집 및 관리는 안전 증

진 및 항공 산업 운영관리를 위하여 매

우 중요한 요소이다 이와 동시에 SMS

를 통해 수집되는 항공 안전 데이터를

대표할 수 있는 가장 핵심 항목으로서

SMS 구축에 앞서 국내에서 활용될 어

커런스에 대한 명확한 정의가 필요하

다 어커런스 분류체계는 이러한 비정

상 상태의 항공 사건사고에 대하여 규

정된 각 어커런스의 집합으로서 수집된

데이터의 분석을 위해 정립되고 관리되

어야 한다 빈번히 발생되는 사건사고

에 대하여 어커런스 분류체계의 항목으

로 지정하는 것 자체로서 항공 안전 증

진에 대한 밑거름이 되며 이는 국제 사

회 혹은 각 기관이 해당 어커런스에 대

해 이슈로 지정하고 관리하겠다는 의지

의 표시가 될 수 있다

lt그림 2gt는 lsquoControlled Flight Into

Terrain(CFIT)rsquo 즉 항공기가 정상적인

항공진흥 제60호

80

비행 중 지표 수면 또는 그 밖의 장애

물과 충돌한 어커런스(사고)에 대한 추

세를 나타낸다 CFIT를 어커런스의 하

나로 지정하여 CFIT사고에 대해 지속

적인 관리와 해결 노력을 이행함으로써

10년간 해당 사고가 줄어들고 있는 것

을 확인 할 수 있다 이는 lsquocommon

taxonomy benefitrsquo을 확인할 수 있는 좋은

예로 어커런스의 정의 및 분류체계의

정립이 항공안전에 기여하는 바를 확인

할 수 있다 그러나 현재 존재하는 어커

런스 분류체계는 필요 항목의 부재 혹은

중복 불필요한 항목 존재 모호함 혹

은 너무 간략하거나 너무 세분화되어있

는 등 사용자에게 혼란을 주고 분석의

효과성을 극대화하기에 어려움이 있다

우리나라는 데이터 수집체계와 SMS

의 구축을 위한 노력을 지속적으로 하

고 있으며 이를 성공적으로 이끌어내기

위해서는 어커런스 체계의 정립이 반드

시 수반되어야 한다 공통의 분류체계

는 SMS의 사용자 및 관리자 그리고

분석가들로 하여금 의사소통을 원활히

하며 분석 결과의 효용성을 향상시키

고 그에 대한 통제방안 마련에 결정적

인 역할을 한다 우리나라의 어커런스

는 과거의 발생 데이터뿐만 아니라 향

후 발생 가능한 위험요소 및 국제항공

안전을 위협하는 공통의 요소 등을 모

두 반영한 분류체계가 되어야 한다 또

한 국가와 항공사 관제 공항 정비업

체 등 종사 기관이 공유하고 가공하는

것이 (하위레벨을 통한 분류체계의 확

장 등) 가능한 융통성 있는 플랫폼으로

정립해야 한다

이를 위한 방법으로는 첫째 국제 규

격의 어커런스 분류체계를 수용함과 동

시에 국내 데이터 분석을 통한 추가 필

요항목을 발굴하여 상호배제와 전체포

괄(MECE Mutually Exclusive and

Collectively Exhaustive)적인 리스트를

정립하는 것이며 둘째 지속적인 항공

안전 증진을 위해 변화 가능한 포맷의

리스트를 정립하는 것이다 이와 관련

하여 ICAO와 CICTT(CASTICAO Common

Taxonomy Team)에서는 지속적으로 어

커런스 분류체계를 갱신하고 있으며 다

른 기관들에서도 간헐적으로 집중 관리

해야할 어커런스에 대한 분석결과를 도

출하고 있다 미국 연반항공청(FAA)이

주도하는 CAST (Commercial Aviation

Safety Team)에서 CFIT Loss of

Control Runway Incursion 등 11가지

항목을 선정하여 해당 위험 요소에 대

한 경각심을 주는 한편 최근 위협 항목

을 발표하였다 향후 SMS를 통한 국내

항공 안전의 증진을 최대화하기 위해서

는 공통의 공인된 어커런스 분류체계

항공 안전관리체계 연구개발

81

를 갖추고 체계적인 항공 데이터의 수

집 및 분석이 필요하다 하겠다

22 위해요인 및 피해결과 리스트

해외자료 사례

위해요인(Hazard)은 SMS의 위험 분

석 및 평가의 가장 핵심 요소이며 과거

데이터를 통해 도출된 어커런스와 이에

대한 다수의 위해요인간의 관계를 규명

하는데 있어 필수적이다 그리고 피해

결과(Consequence)는 해당 어커런스에

따른 피해결과 값을 분석하고 사고 심

각도와 연계되는 중요한 요소이다

SMS의 위험관리체계는 위해요인을 관

리하여 해당 위해요인에 따른 사건사

고를 발생 이전에 예측하고 통제 방안

을 마련하여 안전을 증진시키는 것을

목적으로 한다

SM ICG(Safety Management Inter-

national Collaboration Group)1)에서는

위해요인의 분류 기준으로 환경적

(Environmental) 기술적(Technical) 경

제적(Economic) 조직적(Organizational)

그리고 인적(Human) 항목을 제안하고

있다 위해요인은 기관에 따라 Hazard

Causal Factor Contributing Factor 등

다양한 용어로 사용되고 있다 위해요

인 분류체계 또한 다른 분류체계와 마

찬가지로 국제적으로 통용되는 정의와

분류체계가 존재하지 않으며 FAA등

여러 기관에서 위해요인 분류체계를 제

정하기 위한 노력을 기울이고 있다

영국 CAA에서 발행하는 CAP776의

lsquoGlobal Fatal Accident Review 1997-

2006rsquo를 통해 CAA Accident Analysis

Group(AAG) Taxonomy가 정의되었으

며 이는 실제 데이터 기반의 직접원인

(Causal Factor) 간접원인 (Circumstantial

Factor) 그리고 피해결과 (Consequence)

의 항목을 정의하였으며 이를 통해 도

출된 직접원인과 간접원인은 우리나라

에서 위해요인 분류체계로 차용해서 사

용되고 있는 것이기도 하다 미국

NTSB(National Transportation Safety

Board)의 위해요인은 최대 5단계로 분

류되어있으며 최하단계 기준 총 1019

개의 위해요인을 정의하고 있다 최상

위 단계는 Aircraft Personnel Issue

Environmental Issue Organizational Issue

네 가지로 분류되며 lt그림 3gt은 최상위

레벨과 그 다음레벨의 위해요인 분류를

표현한 것이다 NTSB의 위해요인 대분

류는 SM ICG에서 제안하는 위해요인

1) SM ICG 참여 기관 브라질 National Civil Aviation Agency(ANAC) 호주 Civil Aviation Safety Agency(

CASA) 유럽항공안전청(EASA) 스위스 Federal Office of Civil Aviation 미국 FAA Aviation Safety

Organization ICAO 캐나다 Transport Canada Civil Aviatioin(TCCA) 영국 Civil Aviation Authority(CAA)

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 6: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

80

비행 중 지표 수면 또는 그 밖의 장애

물과 충돌한 어커런스(사고)에 대한 추

세를 나타낸다 CFIT를 어커런스의 하

나로 지정하여 CFIT사고에 대해 지속

적인 관리와 해결 노력을 이행함으로써

10년간 해당 사고가 줄어들고 있는 것

을 확인 할 수 있다 이는 lsquocommon

taxonomy benefitrsquo을 확인할 수 있는 좋은

예로 어커런스의 정의 및 분류체계의

정립이 항공안전에 기여하는 바를 확인

할 수 있다 그러나 현재 존재하는 어커

런스 분류체계는 필요 항목의 부재 혹은

중복 불필요한 항목 존재 모호함 혹

은 너무 간략하거나 너무 세분화되어있

는 등 사용자에게 혼란을 주고 분석의

효과성을 극대화하기에 어려움이 있다

우리나라는 데이터 수집체계와 SMS

의 구축을 위한 노력을 지속적으로 하

고 있으며 이를 성공적으로 이끌어내기

위해서는 어커런스 체계의 정립이 반드

시 수반되어야 한다 공통의 분류체계

는 SMS의 사용자 및 관리자 그리고

분석가들로 하여금 의사소통을 원활히

하며 분석 결과의 효용성을 향상시키

고 그에 대한 통제방안 마련에 결정적

인 역할을 한다 우리나라의 어커런스

는 과거의 발생 데이터뿐만 아니라 향

후 발생 가능한 위험요소 및 국제항공

안전을 위협하는 공통의 요소 등을 모

두 반영한 분류체계가 되어야 한다 또

한 국가와 항공사 관제 공항 정비업

체 등 종사 기관이 공유하고 가공하는

것이 (하위레벨을 통한 분류체계의 확

장 등) 가능한 융통성 있는 플랫폼으로

정립해야 한다

이를 위한 방법으로는 첫째 국제 규

격의 어커런스 분류체계를 수용함과 동

시에 국내 데이터 분석을 통한 추가 필

요항목을 발굴하여 상호배제와 전체포

괄(MECE Mutually Exclusive and

Collectively Exhaustive)적인 리스트를

정립하는 것이며 둘째 지속적인 항공

안전 증진을 위해 변화 가능한 포맷의

리스트를 정립하는 것이다 이와 관련

하여 ICAO와 CICTT(CASTICAO Common

Taxonomy Team)에서는 지속적으로 어

커런스 분류체계를 갱신하고 있으며 다

른 기관들에서도 간헐적으로 집중 관리

해야할 어커런스에 대한 분석결과를 도

출하고 있다 미국 연반항공청(FAA)이

주도하는 CAST (Commercial Aviation

Safety Team)에서 CFIT Loss of

Control Runway Incursion 등 11가지

항목을 선정하여 해당 위험 요소에 대

한 경각심을 주는 한편 최근 위협 항목

을 발표하였다 향후 SMS를 통한 국내

항공 안전의 증진을 최대화하기 위해서

는 공통의 공인된 어커런스 분류체계

항공 안전관리체계 연구개발

81

를 갖추고 체계적인 항공 데이터의 수

집 및 분석이 필요하다 하겠다

22 위해요인 및 피해결과 리스트

해외자료 사례

위해요인(Hazard)은 SMS의 위험 분

석 및 평가의 가장 핵심 요소이며 과거

데이터를 통해 도출된 어커런스와 이에

대한 다수의 위해요인간의 관계를 규명

하는데 있어 필수적이다 그리고 피해

결과(Consequence)는 해당 어커런스에

따른 피해결과 값을 분석하고 사고 심

각도와 연계되는 중요한 요소이다

SMS의 위험관리체계는 위해요인을 관

리하여 해당 위해요인에 따른 사건사

고를 발생 이전에 예측하고 통제 방안

을 마련하여 안전을 증진시키는 것을

목적으로 한다

SM ICG(Safety Management Inter-

national Collaboration Group)1)에서는

위해요인의 분류 기준으로 환경적

(Environmental) 기술적(Technical) 경

제적(Economic) 조직적(Organizational)

그리고 인적(Human) 항목을 제안하고

있다 위해요인은 기관에 따라 Hazard

Causal Factor Contributing Factor 등

다양한 용어로 사용되고 있다 위해요

인 분류체계 또한 다른 분류체계와 마

찬가지로 국제적으로 통용되는 정의와

분류체계가 존재하지 않으며 FAA등

여러 기관에서 위해요인 분류체계를 제

정하기 위한 노력을 기울이고 있다

영국 CAA에서 발행하는 CAP776의

lsquoGlobal Fatal Accident Review 1997-

2006rsquo를 통해 CAA Accident Analysis

Group(AAG) Taxonomy가 정의되었으

며 이는 실제 데이터 기반의 직접원인

(Causal Factor) 간접원인 (Circumstantial

Factor) 그리고 피해결과 (Consequence)

의 항목을 정의하였으며 이를 통해 도

출된 직접원인과 간접원인은 우리나라

에서 위해요인 분류체계로 차용해서 사

용되고 있는 것이기도 하다 미국

NTSB(National Transportation Safety

Board)의 위해요인은 최대 5단계로 분

류되어있으며 최하단계 기준 총 1019

개의 위해요인을 정의하고 있다 최상

위 단계는 Aircraft Personnel Issue

Environmental Issue Organizational Issue

네 가지로 분류되며 lt그림 3gt은 최상위

레벨과 그 다음레벨의 위해요인 분류를

표현한 것이다 NTSB의 위해요인 대분

류는 SM ICG에서 제안하는 위해요인

1) SM ICG 참여 기관 브라질 National Civil Aviation Agency(ANAC) 호주 Civil Aviation Safety Agency(

CASA) 유럽항공안전청(EASA) 스위스 Federal Office of Civil Aviation 미국 FAA Aviation Safety

Organization ICAO 캐나다 Transport Canada Civil Aviatioin(TCCA) 영국 Civil Aviation Authority(CAA)

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 7: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

81

를 갖추고 체계적인 항공 데이터의 수

집 및 분석이 필요하다 하겠다

22 위해요인 및 피해결과 리스트

해외자료 사례

위해요인(Hazard)은 SMS의 위험 분

석 및 평가의 가장 핵심 요소이며 과거

데이터를 통해 도출된 어커런스와 이에

대한 다수의 위해요인간의 관계를 규명

하는데 있어 필수적이다 그리고 피해

결과(Consequence)는 해당 어커런스에

따른 피해결과 값을 분석하고 사고 심

각도와 연계되는 중요한 요소이다

SMS의 위험관리체계는 위해요인을 관

리하여 해당 위해요인에 따른 사건사

고를 발생 이전에 예측하고 통제 방안

을 마련하여 안전을 증진시키는 것을

목적으로 한다

SM ICG(Safety Management Inter-

national Collaboration Group)1)에서는

위해요인의 분류 기준으로 환경적

(Environmental) 기술적(Technical) 경

제적(Economic) 조직적(Organizational)

그리고 인적(Human) 항목을 제안하고

있다 위해요인은 기관에 따라 Hazard

Causal Factor Contributing Factor 등

다양한 용어로 사용되고 있다 위해요

인 분류체계 또한 다른 분류체계와 마

찬가지로 국제적으로 통용되는 정의와

분류체계가 존재하지 않으며 FAA등

여러 기관에서 위해요인 분류체계를 제

정하기 위한 노력을 기울이고 있다

영국 CAA에서 발행하는 CAP776의

lsquoGlobal Fatal Accident Review 1997-

2006rsquo를 통해 CAA Accident Analysis

Group(AAG) Taxonomy가 정의되었으

며 이는 실제 데이터 기반의 직접원인

(Causal Factor) 간접원인 (Circumstantial

Factor) 그리고 피해결과 (Consequence)

의 항목을 정의하였으며 이를 통해 도

출된 직접원인과 간접원인은 우리나라

에서 위해요인 분류체계로 차용해서 사

용되고 있는 것이기도 하다 미국

NTSB(National Transportation Safety

Board)의 위해요인은 최대 5단계로 분

류되어있으며 최하단계 기준 총 1019

개의 위해요인을 정의하고 있다 최상

위 단계는 Aircraft Personnel Issue

Environmental Issue Organizational Issue

네 가지로 분류되며 lt그림 3gt은 최상위

레벨과 그 다음레벨의 위해요인 분류를

표현한 것이다 NTSB의 위해요인 대분

류는 SM ICG에서 제안하는 위해요인

1) SM ICG 참여 기관 브라질 National Civil Aviation Agency(ANAC) 호주 Civil Aviation Safety Agency(

CASA) 유럽항공안전청(EASA) 스위스 Federal Office of Civil Aviation 미국 FAA Aviation Safety

Organization ICAO 캐나다 Transport Canada Civil Aviatioin(TCCA) 영국 Civil Aviation Authority(CAA)

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 8: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

82

lt그림 3gt NTSB 위해요인 체계

분류체계와 가장 흡사하다고 볼 수 있

다 ICAO의 ADREP2000 Taxonomy 중

Explanatory Factor Descriptive Factor

그리고 이벤트 분류체계가 위해요인 분

류체계로 활용 가능한 항목들이며 각

분류체계는 5개의 단계에 걸친 계층구

조를 이루고 있으며 순서대로 542개

1521개 그리고 803개의 항목이 있다

Explanatory Factor와 Descriptive Factor

는 쉘 모델(Shell Model)에 기반 하여

전자는 인적요인에 중점을 후자는 현

상요인에 중점을 둔 분류체계이다

피해결과에 대한 분류체계 검토를 위

해 ICAO의 ADREP(AccidentIncident

Data Reporting) NASA의 ASRS(Aviation

Safety Reporting System) CAA 그리고

NTSB의 사례를 조사하였다 그 결과

기관별 피해결과에 대한 관점과 정의

그리고 분류체계의 구성에 대한 차이가

상당히 존재함을 알 수 있었다 Shell

Aircraft International의 lsquoA Simplified

Process for Hazard Managementrsquo에 의하

면 피해결과에 대한 분류를 사람(People)

재산(Assets) 환경(Environmental) 명성

(Reputation)으로 제안하고 있다

ADREP의 경우 이벤트 분류체계 상의

세 번째 분류 항목에 피해결과 목록이

존재하나 타 기관에서 가장 빈번히 사용

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 9: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

83

되는 항공기 파손 (Aircraft Damage)이

나 신체적 상해(Personal Injury)가 누락

되어 있다 ASRS의 경우 lsquoResultrsquo 명칭

을 사용하며 General Flight Crew Air

Traffic Control Aircraft 네 개의 그룹으

로 분류되며 32개의 항목을 포함하고

있다

CAA는 AAG(Accident Analysis Group)

Taxonomy에서 Consequence로 정의된

15가지 항목을 통해 다른 기관에서 어

커런스로 분류되는 항목이 피해결과로

정의되어 있음을 확인하였다 NTSB의

피해결과로는 사람의 부상에 따른 정

도 비상탈출(Evacuation) 화재와 폭발

을 포함한 항공기 손상 정도에 대한 부

분만을 활용하고 있다 피해결과 분류

에 대한 기관별 해석에 대한 상당한 차

이가 존재한다

23 국내외 항공사고 DB 비교 및

항공사고보고 체계

SMS 시스템 구축의 첫 단계는 보고

된 사건 사고 데이터를 습득하는데 있

다 이는 사고 보고서를 통해 위에서 설

명한 위해요인을 표현하고 각 위해요인

에서 피해결과로 이어주는 근거가 된

다 따라서 국내외 사례들을 기반으로

각 위해요인의 표현과 어떤 피해결과로

이어지는지 그리고 피해결과의 심각도

는 어느 정도인지를 보고체계 안에서

자동적으로 추출될 수 있도록 하는 방

법을 정형화해야 한다 우선 국내외 항

공사고 DB와 항공사고보고 체계에 대

해서 살펴보고자 한다

항공사고 데이터는 그 피해결과에 따

라 항공사고 준사고 항공안전장애로

나뉠 수 있다 미국 내에서 발생하는 항

공 사고준사고는 NTSB에 보고되고 조

사결과가 저장되며 미미한 준사고 혹은

항공장애 자료의 경우 ASRS에서 담당

하며 온라인상에서 공공에 대해 접근을

허용하고 있다 또한 NTSB를 포함하여

다양한 항공 안전과 관련된 데이터베이

스들은 FAA의 ASIAS(Aviation Safety

Information Analysis and Sharing)에서

종합적으로 접근 및 이용 가능하다

우리나라의 경우 사고준사고 데이터

는 항공철도사고조사위원회에서 관리하

며 국토교통부의 통합항공안전정보시스

템(National Aviation Resource Manage-

ment Information System 나르미

(NARMI))에서 항공장애보고 데이터와

함께 저장되며 관계자 외에 접근이 제

한된다

하나의 사건에 대한 데이터는 사고

기본 정보(발생 일시 장소 등) 피해 정

도 항공기 기장부기장 비행 내용 기

내주변 환경 등 사고의 정황에 대한 정

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 10: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

84

데이터

베이스

운영

기관수집대상 수집형태

수집

목적수집기간

데이터

공유

(온라인

일반접근

검색기능)

활용

방식비고

NTSB NTSB

항공 사고

준사고

조사보고서

상세서술정보

코드화된

사고 정보

항공

사고

원인

규명

1962년

1993년부터

상세서술정

보가능

OOO

사고

방지를

위한

권고사항

공표

항공사고

와 원인

요소에

대한 정보

제공

ASRS FAA

준사고

항공장애

접수보고서 및

분석결과

상세서술

정보

코드화된

보고내용 및

분석결과

항공

사고

예방

1976년

1988년

데이터

부터 온라인

열람 가능

OOO

항공안전조

치공표 및

분석자료

배포

비밀성

비처벌성

보장

ASIAS FAA

다양한

항공 관련

데이터베이스

통합

정보

공유

2007년 O-O

통합형

데이터

베이스

나르미 국토부

사고준사고

항공장애

접수 및

조사보고서

상서서술정보

코드화된

보고내용

통합정

관리

2010년 OXO 수집

보고서

제출 및

열람

플랫폼

lt표 1gt DB 비교분석

보와 사건 조사 분석 후에 기입되는 발

생원인 기여 인자 등에 대한 정보로 이

루어지는데 데이터베이스에 따라 그 상

세도는 차이가 크다 장기간에 걸쳐 조

사가 이루어지는 NTSB는 가장 방대하

고 상세한 데이터베이스를 자랑하며 색

인 검색이 가능해 데이터 분석에 용이

하다 반면에 우리나라의 사고조사 데

이터는 서술형의 보고서 혹은 적은 데

이터 항목으로 이루어져 위험 분석에

어려움이 있다

미국 내에 발생하는 사고준사고는

FAA가 아닌 NTSB에 의무적으로 보고

되며 독립적으로 조사 및 분석된다 경

미한 준사고항공장애는 자발적으로

ASRS에 접수된다 우리나라의 경우 사

고준사고는 및 의무적 안전장애보고는

국토교통부의 통합항공안전정보시스템

(eskygokr)을 통하여 의무적으로 보고

되며 경미한 항공장애는 교통안전공단

에서 운영하는 KAIRS(Korea Aviation

Safety Hindrance Reporting System)통

하여 자발적으로 접수된다

피해결과가 산출되는 사고준사고는

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 11: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

85

의무적으로 보고되는 반면에 위험도는

있지만 가시적인 피해가 발생하지 않은

항공장애정보는 자율적으로 수집된다

항공장애 데이터는 잠재적으로 존재하

는 위해요인들을 사전에 파악하고 예방

조치를 내리는 근거가 되며 항공사고

에서 중요하게 작용하는 인적요인에 대

한 연구를 진행하는데 중요한 자료로서

제 역할을 하기 때문에 참여도를 높일

수 있는 시스템 디자인이 매우 중요하

다 ASRS는 신뢰성 높은 보고 시스템

을 구축하고자 보고자의 신원 정보 혹

은 유추할 수 있는 정보들은 삭제되어

저장되거나 혹은 접근이 제한되며 사건

발생 혹은 파악 후 10일 내에 보고된

내용에 대해서는 보고자에 대한 처벌이

법적으로 금지된다 또한 보고 내용은

분석과정을 거쳐 적절한 피드백 조치가

이루어지기 때문에 보고자가 처벌에 대

한 부담 없이 적극 참여하는 것을 유도

하는데 성공적인 시스템이라고 평가받

고 있다

24 한국형 위해요인 및 피해결과

방법론

ADREP Taxonomy는 전 세계적으로

범용적으로 알려진 데이터 분류체계로

서 우선 고려되어야 한다 ADREP

Taxonomy에서는 이벤트의 하위단계 일

부분과 Descriptive Factor Explanatory

Factor 들이 위해요인과 피해결과의 레

벨로서 쓰일 수 있고 그 체계도 매우

단계적으로 되어 있어 프로그램 코딩이

용이하지만 그 체계가 매우 방대하여

사용자가 이를 숙지하는데 상당한 시일

과 어려움이 예상된다 영국의 위해요

인 분류체계는 CICTT (CASTICAO

Common Taxonomy Team)의 어커런스

구분에 따라 ADREP보다는 비교적 간

단하게 위해요인을 분류해 놓고 있지만

전 세계를 대상으로 범용적으로 쓰일

수 있는 국제적 수준의 위해요인 목록

으로 개발된 분류체계가 아니며 위해

요인을 상위레벨로 통합할 경우 구분기

준이 모호한 단점이 있다

따라서 본 기관(KAIST)에서는 NTSB

위해요인 분류체계가 본 과제에 적합한

참고자료로 판단하였다 NTSB 위해요

인 분류체계는 FAA의 위해요인 분류기

준에 부합할 뿐만 아니라 그 체계도

ADREP보다는 간단하여 쓰기에 용이하

다 특히 NTSB 위해요인 분류체계는

실제 사건 사고 데이터를 근간으로 하

였기 때문에 현실을 잘 반영할 뿐만 아

니라 다른 데이터베이스보다 상세하게

기록되어 있는 NTSB 피해결과와 연결

시키기에 용이하다

그러나 NTSB는 피해결과에서 항공

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 12: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

86

구분 위험 구분 정 의

A매우 심각

(Catastrophic)

- 장비의 파괴(Destroyed)

- 사상자 발생

B위험

(Hazardous)

- 안전한계(Safety Margin)가 심각하게 저해되거나 육체적 피로 또는

업무부담으로 인하여 운영자가 자신의 업무를 정확하고 안전하게 수행

할 수 없는 경우

- 중상자 발생

- 주요 장비의 손상(Damage)

C중요

(Major)

- 안전한계(Safety Margin)가 현저하게 저해되거나 업무부담 또는 효율

저하로 인하여 운영자가 부정적인 운영환경에 대처할 수 있는 능력이

감소되는 경우

- 준사고 발생

- 경상자 발생

D경미

(Minor)

- 운영제한 상황이 발생

- 비상절차의 사용

- 항공안전장애 발생

- 기타 업무수행 장애 발생

E매우 경미

(Negligible) - 사소한 영향

자료 ICAO Doc 9859 Chap5 ldquoSafety Risksrdquo 554 2nd edition 2009매우 경미(Negligible)

lt표 2gt 잠재결과의 심각도(위험 심각도) 분류기준

기의 파손수준과 중경상자 수 사망자

수 화재여부를 표시해 놓고 있지만 사

고준사고 레벨의 위해요인과 피해결과

만을 저장하고 있기 때문에 장애보고

수준의 사건사고의 위해요인과 피해결

과의 정보를 습득하는 데는 어느 정도

한계가 있다 또한 피해결과가 사건사

고의 심각도와 연결된다는 측면에서 피

해결과가 심각도와 연결이 될 수 있도

록 피해결과의 구분기준을 마련해야 할

것이다 따라서 장애보고를 포함한 DB

예를 들면 ASRS 등의 추가자료 및 데

이터 검증을 통하여 피해결과 및 심각

도의 구분을 확정지을 필요가 있다

25 국내외 심각도 구분사례

항공사고를 예방하고 안전을 확보하

기 위한 국가의 항공 안전 활동과 안전

관리시스템(SMS) 운용자의 안전증진

활동을 위한 기본방향과 운용절차를 정

하기 위해서 국토해양부에서는 『국가

항공안전프로그램』을 고시하고 있다

985172국가항공안전프로그램985173 고시에서 제

시하고 있는 위험 발생확률(Safety Risk

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 13: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

87

lt그림 4gt FAA ATOS 잠재결과의 심각도(위험 심각도) 분류기준

자료 Safety Management System Manual - Version 21 FAA Air Traffic

Organization 2008

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 14: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

88

Probability) 위험 심각도(Safety Risk

Severity) 및 위험 평가 매트릭스(Risk

Assessment Matrix)는 ICAO Doc9859

Safety Management Manual(2nd Edition

2009)을 준용하고 있다

위험 심각도(Safety Risk Severity)는

위해요인의 잠재결과(Potential Conse-

quence)에 따라 예상되는 사상자 발생

장비의 파괴 안전한계의 저하 등 피해

의 정도를 결정하는 절차이며 위험 발

생확률 평가 후 그 위험 요인의 심각도

를 정의하는 단계이다 lt표 2gt는 전형

적인 안전 심각도를 나타내고 있다 각

각의 카테고리별로 심각도에 대해 기술

하고 있으며 심각도의 크기는 A에서 E

등급으로써 표시되어 있다

ICAO Doc9859(3rd Edition Draft

2012)에서 제시하고 있는 위험 심각도

는 ICAO Doc9859(2nd Edition 2009)

와 동일하므로 985172국가항공안전프로그램985173고시에서 제시하는 분류기준과 위험 발

생확률의 정량적 판단기준을 제외하고

는 동일하다

FAA ATOS의 위험 심각도는 985172국가

항공안전프로그램985173 및 ICAO Doc9859

와 달리 사건에 영향을 받는 주체(ATC

ServicesFlight CrewFlying Public)에

따라 각각 심각도 판단기준을 상대적으

로 상세히 제시하고 있다 (lt그림 4gt 참조)

26 적용 가능한 피해결과

심각도(Safety Risk Severity)

985172국가항공안전프로그램985173 및 ICAO

Doc9859와 달리 사건에 영향을 받는

주체(ATC ServicesFlight CrewFlying

Public)에 따라 각각 심각도 판단기준을

상대적으로 상세히 제시하고 있는 FAA

ATOS의 기준이 바람직할 것으로 판단

된다 하지만 FAA ATOS 판단기준 역

시 심각도 분류기준이 실제 적용 시 명

확하지 않다 (예 항공기와 다른 물체와

의 충돌 시 사건의 심각도는 매우 다양

할 수 있으나 FAA ATOS의 기준에서

는 모두 매우 심각(Catastrophic)으로 분

류될 수 있음) 따라서 사건에 영향을

받는 주체를 다시 항공기장비 운

항 승무원 여객지상조업자 4개로 세

분화하여 객관적으로 위험의 심각도를 판

단할 수 있는 기준을 마련할 필요성이

있다

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 15: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

89

lt그림 5gt Bow-Tie 모델

자료 Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

Ⅲ 연구 추진 경과 위험분석

및 위험평가 모델

31 해외 위험분석 모델 사례

311 Bow-Tie 모델

FAA ATO에서 주로 사용되고 있는

Bow-Tie 모델은 Fault Tree와 Event

Tree를 결합한 구조적 접근 모델로써

위해요인을 유발할 수 있는 하나 이상

의 원인(Cause)들의 연관관계를 밝히고

다양한 환경조건인 시스템 상태(System

State) 하에서 특정한 위해요인에 의해

발생할 수 있는 피해결과(Effect)와 직

접적으로 연결하는 모델이다 (lt그림

5gt 참조)

Bow-Tie 모델의 Fault Tree는 참

거짓(Boolean) 논리 게이트를 통해 위

해요인(또는 Top Event)이 발생하기 위

한 원인(Cause)들을 연쇄 구조로 표현

한다

Event Tree 부분에서는 Fault Tree의

Top Event인 위해요인을 발생시킬 수

있는 피해결과(Effect)들을 시스템 상태

(System State)별로 구분하여 표현한다

312 Fault Tree(FT)

FAA ATO 사용되고 있는 Fault Tree

는 위해요인과 작동 오류들의 발생을

막고 해결하기 위해 안전 신뢰도 분석

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 16: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

90

lt그림 6gt Fault Tree의 방어기재모델

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

분야에서 위해요인들을 정의하기 위해

가장 많이 활용되고 있다

대부분의 경우 방어기재들은 사고

발생을 막기 위한 안전 보호 장치 혹은

앞선 논리적 상황들을 의미하기 때문에

각 방어기재들의 실패 및 장애는 사건

사고의 원인을 의미한다 FT는 gate-by-

gate방식으로 구축되어 있기 때문에 프

로젝트 리포트에 모든 중간 결과를 보

여줄 수 있어 모델 각 단계의 수동 검

사를 허용하고 모델의 오류를 식별하는

데 효과를 가지고 있다

313 Bayesian Belief Nets (BBN)

Fault Tree의 기저 이벤트(Base event)

중에는 인적신뢰도를 나타내는 이벤트

들도 포함하고 있다 네덜란드의 국립

항공우주연구원(NLR National Aerospace

Laboratory)에서 개발한 CATS(Causal

Model for Air Transport Safety)모델에

서는 BBN을 사용하여 인적신뢰도를 묘

사하고 있다

실제 유지관리에 있어 기술적인 오

류에 대한 확률 즉 기본적인 인적 과오

확률에 대한 도출은 FT에서 관련 있는

이벤트들을 바탕으로 이루어지며 CATS

에서는 단지 Event Tree나 Fault Tree를

BBN으로 복제하는 것이 아니라 영향을

확률 변수간의 관계를 표현하는 것이

다 여러 확률 변수 간 기능적인 영향뿐

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 17: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

91

lt그림 7gt 안전 관리와 인적과오 확률 사이의 연결

자료 Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

만 아니라 확률적인 영향을 표현하고

있어 기능적확률적 의존성 모두를 나

타낼 수 있으며 CATS에서는 인적 수

행능력에 관한 요소들을 전달 시스템에

의해 분류하고 이를 바탕으로 그것들에

대한 하드웨어 및 인적 요소 기준들을

묘사하여 제공하는 것으로 안전관리를

설명하고 있다

314 기존모델 단 모델개발

필요성

앞에서 언급되었던 기존의 위험분석

모델로서 Bow-Tie 혹은 CATS 모델이

대표적이라 할 수 있다 특히 CATS 모

델은 현재까지 개발된 유일한 정량적

위험분석 모델이라고 할 수 있다 두 모

델의 공통적인 특징은 하위단계에서 사

건사고의 위해요인들의 관계를 Fault-

Tree기법을 이용하여 계층화하고 있다

는 것이다 이러한 요인들과의 관계를

파악하기 위해서는 정상 및 비정상 운

항 상태를 비교 분석할 수 있는 방대한

내부 자료가 있어야 할 뿐만 아니라 누

락된 정보에 관해서는 관련 전문가 패

널들의 의견이 절대적으로 필요하다

그러나 현재까지 저장된 사건사고

데이터 실정을 보자면 국내 사고조사위

원회 데이터 및 국토교통부 안전장애

데이터를 통합하더라도 3000여개 정도

이고 무엇보다도 위해요인에 관한 충분

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 18: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

92

한 사전 정보를 얻을 수 있는 데이터

항목이 부족하다 또한 범국가적인 데

이터 공유에 대한 인식이 부족하여 실

제 유용한 항공사 데이터 습득에 어려

움이 있고 항공관련 전문가 집단이 미

비하여 정보를 얻는데 한계가 있다 특

히 CATS의 경우 초기 이벤트(initiating

event)로부터 최종 이벤트(end event)에

이르기까지 33개의 경우에 관하여 이벤

트 순서도(Event Sequence Diagram

ESD)를 구성하였으나 각 ESD를 구성

하는 이벤트들의 수준이 상이할 뿐만

아니라 국내 실제 데이터를 적용해 본

결과 기존에 구축된 CATS의 ESD와는

매우 다른 패턴을 보임을 알 수 있어

우리나라의 실정에 적용하는데 어려움

이 있다 이에 통합된 국내외 항공 사고

데이터를 기반으로 한국형 위험분석 및

평가모델을 개발할 필요가 있다

315 험분석 고도화 방안(베이지안

네트워크 모델의 활용)

베이지안 네트워크란 다른 용어로 신

념 네트워크 (belief network)라고도 한

다 이는 각 노드(node)들 사이의 의존

관계를 방향성을 가진 호(arc)로 표현하

며 그 방향의 흐름은 비순환적으로 그

려져 유향 비순환 그래프 (directed

acyclic graph)라고도 불린다 이러한 베

이지안 네트워크는 인과관계를 표현하

는데 매우 유용한 확률 그래픽 모델이

다 예를 들어 질환과 증상사이의 인과

관계를 표현하기 위해 베이지안 네트워

크 모델을 활용하여 주어진 증상에 따

른 관련된 질병들의 발생 확률을 추정

할 수 있다

항공 사고 데이터를 이용한 베이지안

네트워크는 사고 위험평가를 위한 모델

로 활용 가능하다 위해요인 피해결과

심각도 사이의 관계를 항공 사고 데이

터를 활용하여 베이지안 네트워크로 모

델링 할 수 있다 위해요인들과 피해결

과들을 네트워크의 변수 즉 노드로 설

정하고 각 위해요인들과 피해결과 사이

의 상관도에 따라 호로 연결하여 베이

지안 네트워크를 구성한다 이렇게 사

고 데이터로부터 학습된 베이지안 네트

워크를 활용하여 위험평가를 할 수 있

다 예를 들어 위해요인이 주어질 경우

그 위해요인과 관련된 피해결과들의 발

생 확률에 따라 사고 발생 위험을 추정

할 수 있고 반대로 어떤 피해결과가 발

생 했을 시 그와 관련된 위해요인들을

추정하여 사고 조사에 활용될 수 있다

베이지안 네트워크의 구조를 학습하

기 위해선 많은 양의 사고 데이터가 필

요하며 그 데이터에 따라 정확도가 결

정된다 또한 베이지안 네트워크의 구

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 19: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

93

lt그림 8gt 베이지안 네트워크 착륙 도중 지상에서 항공기 제어상실 (Loss of control

on ground) 노드와 그와 연관된 노드들

조를 학습하는 과정이 복잡하고 많은

양의 계산 비용이 들 수 있는 단점이

있다 이에 대한 보완책으로 네트워크

구조 학습의 간결화를 위해 의사결정나

무(Decision Tree)와 같은 분류 모델들을

연결하여 영향 네트워크 (Dependency

Network 유향 순환 그래프)를 구성하

여 활용할 수 있다

lt그림 8gt은 미국 NTSB 항공 사고준

사고 데이터를 활용하여 구성한 베이지

안 네트워크의 한 일부분이다 이 그림

은 착륙 도중 지상에서 항공기 제어상

실(loss of control on ground) 이벤트의

발생에 영향을 주는 요인들을 보여주고

있다 가장 크게 영향을 주는 요인은 제

대로 이루어지지 않은 방향 조종

(directional control)이었고 두 번째로

조종사의 항공기 제어 장비 조작 미숙

마지막으로 항공기의 비행속도(airspeed)

에서의 문제로 나타났다 이러한 요인

들에 따른 이벤트 발생의 조건부 확률

이 계산되고 이를 통해 위험 수준을 판

단할 수 있다

Ⅳ 향후계획

현재 2차년도를 진행 중인 본 연구개

발과제를 통해 항공사용 SMS 기본 모

듈이 구축될 예정이며 이는 자율 참여

를 통해 시범운영할 계획이다 SMS의

실제적인 확산을 위해서는 시범운영이

필수적이며 시범운영기간 동안 기술지

원과 함께 SMS 운영을 위한 각종 자료

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 20: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

94

동영상 기술 자료들이 포함된 툴킷 제

공을 통해 현장 활용도를 높일 수 있을

것이다 또한 3 4차년도에는 기본 모

듈에 위험도 산정의 고급기능과 항공사

고유 특성을 반영한 프로그램 개발을

통해 SMS 사용기관의 니즈(needs)와

요구사항(requirement)을 모두 만족시키

는 결과물을 도출할 계획이다 이러한

목표를 달성하기 위해서는 항공사의 관

심과 참여가 필수적이며 개인정보를

보호할 수 있는 체계 마련이 반드시 수

반되어야 할 것이다

lt참고문헌gt

[1] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008 (ATOS)

[2] 국가항공안전프로그램 (국토해양부고시 제2011-137호)

[3] Development of a Common Taxonomy for Hazards - Safety Management

International Collaboration Group 2010

[4] A Simplified Process for Hazard Management - Shell Aircraft International

[5] Safety Management System Manual - Version 21 FAA Air Traffic Organization

2008

[6] Causal Model for Air Transport Safety Final report 네덜란드 The Ministry of

Transport and Water Management 2008

[7] ICAO Doc9859 Safety Management Manual 2nd Edition 2009

[8] ICAO Doc9859 Safety Management Manual 3rd Edition Draft 2012

[9] Heckerman D Chickering DM Meek C Rounthwaite R and Kadie C

2000 Dependency Networks for Inference Collaborative Filtering and Data

Visualization Journal of Machine Learning Research 1 49-75

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 21: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공 안전관리체계 연구개발

95

Hazard based risk assessment in aviation Safety

Management System(SMS)

Yoon Yoon-jinKorea Advanced Institute of Science and Technology

【Abstract】

S Korea has been one of the leaders in aviation safety with the worldrsquos highest rate in the ICAO Universal Safety Oversight Audit Program conducted in May 2008 Although current status of safety performance in the national air transportation system doesnt face imminent challenges there has been great interest and effort to transition from reactive safety control to proactive safety management Following International Civil Aviation Organization (ICAO)s recommendation to implement Safety Management System(SMS) S Korea embarked on 4 year RampD project to develop advanced SMS system with the foal for nationwide deployment

One of the key components of SMS is risk modeling and assessment which identifies related to those hazards in the system and assess the risks involved with various outcomes related to those hazards There is no one-size-fits-all choice for risk assessment model however as it needs to incorporate various elements in the system processes specific to the line of business in the organization as well as human factors in the mathematical model

In this paper we review overall concepts of SMS risk modeling and discuss hazard occurrence consequence and severity which all leads to the final risk assessment outcome whether qualitative quantitative or combines We propose a new hazard based model and present preliminary analysis result based on US National Transportation Safety Board(NTSB) dataset Our model completes the reactive hazard analysis which is the first step required in SMS implementation as explained in the updated ICAO Doc 9859 Once the Model is developed and validated one can apply low severity data for example

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling

Page 22: 항공 안전관리체계 연구개발 - airportal.go.kr 부담이나 후속기술지원 등 상용화 프로 그램 도입에 많은 난제를 안고 있다. 이러한 대내외적인

항공진흥 제60호

96

to transition to the proactive system We also briefly introduce our current research which utilized Bayesian framework for predictive risk assessment

Key words Safety Management System (SMS) Risk Analysis Risk Assessment Risk Modeling