요약
미국 연방항공청이 2028년 말까지 항공 교통 관제 시설의 플로피 디스크를 새 시스템으로 바꿉니다.
로이터 통신의 보도입니다. 연방항공청은 지금도 관제 시설 400여 곳에서 날씨 같은 핵심 정보를 플로피 디스크로 다루는데, 이 매체는 2011년 이후 대량 생산조차 끊겼습니다.
왜 중요한가
- 관제사가 1980년대 시스템 네 개를 오가지 않고 비행 경보와 공역 정보를 한곳에서 바로 보게 됩니다.
- 시설마다 아날로그 컴퓨터로 따로 돌아가는 미국 관제망을 현대화하는 작업의 하나입니다.
핵심 내용
- 새 Enterprise Information Display System이 1980년대부터 쓰던 시스템 네 개를 대신합니다.
- 연방항공청은 아직 수십 년 된 컴팩 컴퓨터를 쓰고, 교체 부품을 eBay에서 사기도 합니다.
- 10월 13일 휴스턴 공항의 광케이블이 끊겨 데이터가 끊겼고, 항공기 출발을 막는 지상 대기 조치가 내려졌습니다.
- 의회는 지난해 관제 개선에 125억 달러를 승인했고, 숀 더피 교통부 장관은 300억 달러를 더 요구하고 있습니다.
- 종이 비행 진행표를 없애는 작업은 주요 공항 49곳 중 27곳에서 끝났고, 나머지는 2028년까지 걸립니다.
HN 반응
- 연방항공청 현대화에 참여했던 이용자는 엄격한 안전 위험 관리 절차가 합리적인 변화까지 막았다고 했고, 그 절차가 오히려 믿음직했다는 반론도 나왔습니다.
- 플로피 디스크는 원래 믿기 어려운 매체라 진작 바꿨어야 했다는 지적에, 30년 전 디스크도 아직 읽힌다는 경험담이 이어졌습니다.
저는 FAA에서 NOTAM(항공고시보) 디지털화를 중심으로 현대화 작업을 했습니다.
이 현대화를 여러분에게 익숙할 만한 관점으로 보지 않으시길 권합니다. 최전선에서 일하면서 변화를 밀어붙이는 엔지니어들이 조심성이 부족한 모습을 이따금 보셨을 테니까요.
FAA의 안전 위험 관리는 엄격한 절차를 중심으로 짜여 있습니다. 하지만 그 절차가 합리적인 진전을 크게 늦추기도 합니다.
같이 일하던 엔지니어 한 분은 80세가 넘었는데도 은퇴하려 하지 않았습니다. 최신 시스템을 전혀 이해하지 못했고, 우리가 검토하던 위험들도 (제 생각에는) 현실적으로 균형이 잡혀 있지 않았습니다.
현 행정부가 안전을 뒷전으로 미루고 있다는 생각에는 저도 공감합니다. 하지만 안전이 합리적인 변화의 걸림돌이 되는 것도 또 하나의 위험입니다.
제가 그 일을 그만둘 때(15년도 더 전입니다)는 분명히 걸림돌이었습니다.
이건 COBOL과는 다릅니다. 플로피 디스크는 단 한 번도 믿을 만한 적이 없었습니다. 진작 퇴출했어야 합니다.
자기 열화, 읽기/쓰기 헤드에 의한 마모, 환경에 대한 민감성 때문에 디스크에는 자연적인 수명이 있고 그 수명이 길지 않습니다. 게다가 우리 주변의 온갖 자기원 때문에 쉽게 손상됩니다.
다른 건 저도 이해합니다. DOS 같은 시스템까지도요. 충분히 검증된 안전 필수 소프트웨어와 하드웨어를 계속 쓰는 건 말이 됩니다. 하지만 플로피는 아닙니다. 때로는 그냥 관료주의일 뿐입니다.
제 플로피는 수많은 USB 썸 드라이브 모델보다 오래 살아남았어요. 30년 전에 기록한 플로피도 지금 읽을 수 있고요.
저는 멀쩡한 걸 찾느라 수십 장을 뒤졌어요. 사람마다 다르겠죠.
제 경험은 둘 다입니다. 몇 년 전에는 불량 섹터가 없는 걸 찾으려고 여러 장을 뒤져야 하는 일이 가끔 있었던 기억이 나요. 그런데 몇 년 전에 옛날 플로피를 전부 덤프해 봤더니 문제가 있는 건 거의 없었어요.
품질 관리가 엉망이었던 건 아닐까 싶네요. 30년 전에 멀쩡했던 디스크는 지금도 멀쩡한 것 같아요.
혹시 셀로판으로 포장된 싸구려 디스크는 아니었나요? 100장에 20달러쯤 하던 것들이요. 아니면 Verbatim, 3M, 소니 같은 좋은 브랜드였나요?
저도요. 게다가 30년씩 기다릴 필요도 없었어요. 플로피가 한창 기본 저장 매체이던 때에도 이미 망가져 있었거든요.
1980년대 후반에 쓰던 Commodore Amiga 500 플로피가 아직도 됩니다. 몇 달 전에 옛 추억이 떠올라서 그중 여덟 장쯤으로 부팅해 봤는데 전부 잘 됐어요. 아마 내내 건조하게 보관했을 거예요. 다만 이사를 여러 번 다녔고, 지하실이나 차고의 상자 속에 있던 적도 있습니다.
자기 매체는 예전 광학 매체 상당수보다 선반 위에서 더 안정적이라고 알려져 있습니다.
정말 그렇다면 광케이블이 끊겼다고 공항 하나가 오프라인이 된 건 어떻게 된 일입니까? 안전을 중시하는 시스템이라면 위성이나 모바일 4G/5G 같은 백업 시스템을 뒀을 겁니다. 그런데 그런 게 없었잖습니까.
이건 안전의 문제가 아닙니다. 안전으로 포장한 관료주의일 뿐입니다.
주 회선은 점검 중이었고 보조 회선이 고장 났습니다.
독립된 시스템이 두 개 있었어요.
그래서 대부분의 여객기에서 많은 시스템이 3중으로 이중화되어 있는 겁니다(이중 고장이 나면 성능이 저하된 모드로 작동할 수도 있지만요).
세 번째 시스템도 있었습니다. 인명 손실을 막기 위해 쓴 대체 수단, 즉 레거시 시스템과 시스템 셧다운이었죠.
그게 충분한 3차 이중화가 아니라고 주장하실 수는 있습니다. 저는 이 인프라 프로젝트의 안전성에 의견을 낼 만큼 맥락을 알지는 못합니다.
다만 그 대체 절차가 검토를 거쳐 3차 백업으로 유지되었다고 확신합니다.
그래도 훌륭한 지적입니다. SRM 사고방식으로 돌아가서 그들이 여기서 무엇을 고려했을지 떠올리는 데 시간이 좀 걸렸습니다.
꼭 그렇지는 않습니다. 3중 이중화(triplex redundancy)는 고장이 임의의 출력을 낼 수 있다는 고장 모델을 바탕으로 합니다. 시스템이 세 개 있으면 다수결(흔히 중앙값 선택)로 임의의 단일 고장이 있어도 올바른 출력을 낼 수 있습니다. 이중 고장 중에서도 조용히 멈추는(fail-silent) 경우와 상관관계 없는 이중 고장은 감지할 수 있지만, 그건 별로 핵심이 아닙니다. 그런 상황에서 계속 운용하는 건 위험하고, 이런 시스템은 작동을 멈추는 쪽으로 실패하는 게 받아들여지지 않는 경우가 많기 때문입니다. (같은 다수결 방식으로 고장 난 채널을 감지해 끄는 4중 이중화 시스템도 있습니다. 고장 뒤에도 더 오래 운용해야 하는 시스템에서, 동시에 일어나지 않는 임의의 고장 두 건까지 처리할 수 있습니다.)
고장 모드가 바뀌면 아키텍처도 바뀝니다. 요즘은 이중-이중(dual-dual) 시스템이 흔합니다. 각 쌍이 서로 교차 검증하다가 불일치가 나면 스스로 꺼지므로, 임의의 단일 고장이 조용히 멈추는 단일 고장으로 바뀝니다. 그러면 하위 시스템은 이런 fail-silent 시스템 두 개의 입력을 받아 출력을 내고 있는 쪽을 믿으면 되니, 중앙값 선택이 필요 없어집니다.
정말 흥미롭네요. 더 배워 보고 싶습니다. 여러 종류의 내결함성을 전반적으로 소개하는 자료로 추천하실 만한 게 있나요? 문헌이든 영상이든 뭐든 좋습니다.
아쉽게도 저는 지난 수십 년 동안 일하면서 배웠기 때문에 추천할 만한 좋은 자료는 없습니다. 다만 항공우주와 자동차 분야의 시스템 엔지니어링 과정에서 다루는 내용입니다.
제어 이론도 마찬가지예요. 꼭 알아야 하는 정립된 지식이 이렇게나 많은데 대학이나 대학원에서도 가르치지 않습니다. 일하면서 배우면 자기가 뭘 모르는지조차 모르게 되죠…
더 나은 방법이 뭘까요? 안전 필수 시스템의 소프트웨어에는 아직도 국가 차원의 규제나 인증이 없는데, 생각할수록 소름이 돋습니다.
항공에는 DO-178C가 있습니다. (a) 꽤 괜찮은 표준이고 (b) ISO26262보다 훨씬 낫습니다. "자율" 표준이긴 하지만 사실상 유일한 선택지라서요…
747에는 독립된 유압 시스템이 4개(엔진마다 하나씩) 있었습니다. 그런데도 4개가 전부 망가진 사고가 있었어요. 떠오르는 게 후방 압력 격벽이 (잘못된 수리 때문에) 파손된 사고인데, 감압으로 방향타가 날아가고 유압 4개가 전부 나갔습니다.
조종사에게는 더 이상 조종면이 남아 있지 않았습니다. 필사적으로 추력을 바꿔 가며 기체를 조종하려 했지만 역부족이었고, 결국 산비탈에 추락했습니다.
해결책은 배관에 자동 밸브를 달아서 압력이 빠져도 시스템 전체가 샐 일이 없게 하는 것이었습니다.
JAL 123
그러면 실제로는 시스템이 두 개가 아니었던 거네요.
그게 아니었다면 다른 회선이 살아날 때까지 운영을 중단했어야 합니다. 결국 온라인 회선은 2개였던 셈입니다.
그렇긴 한데 가동 중단과 고장은 다르죠. 가동 중단이면 비행기가 이륙을 못 하는 거고, 고장이면 사람이 죽는 거예요.
그보다 더 중요한 질문은 뭘로 대체할 계획이냐는 겁니다.
한 직장에서 저는 드론용 소프트웨어를 작성했습니다.
그 매우 엄격한 절차는 제게 큰 안심이 되었습니다. 합리적인 진전도 분명히 이뤄지고 있었고요.
말씀해 주실 수 있다면, 어떤 위험을 어떤 균형으로 검토하고 계셨나요?
저도 그 절차 자체는 좋아했습니다. 다만 SRM 절차에 맞서는 반대 압력이 보이지 않았어요. 그래서 절차가 걸핏하면 완전한 걸림돌이 되었습니다.
SRM 위원회는 레거시 시스템은 알아도 최신 시스템은 훨씬 모르고 있었습니다. 한쪽 시스템의 안전장치만 제대로 아는 상태에서는 안전성을 비교하기가 어렵습니다.
그 절차가 있다는 점은 고맙게 생각하지만, 당시에는 대중보다 자기 일자리를 지키려는 (일부) 사람들처럼 느껴졌습니다.
과장되었다고 느낀 위험은 (기억에는) 시스템의 치명적 고장 가능성에 관한 것들이었습니다.
저는 그 절차 전체를 정말 좋아했고, 덕분에 소프트웨어를 보는 눈도 달라졌습니다. 거슬렸던 건 절차를 적용하는 방식이었습니다.
설명해 주셔서 고맙습니다! 저도 SRM 절차가 정말 마음에 들었습니다.
일자리를 지키려는 사람들 이야기를 하자면, 그런 건 어디에나 있는 일입니다. 하지만 저는 솔직히 그 사람들이 대중을 지키고 싶어서 일자리를 지키려 한다고 느꼈습니다. 업무와 사생활을 확실한 9-to-5 선으로 가르고 싶어 한 사람들도 분명 있었습니다. 그것도 전혀 문제 될 게 없습니다. 이미 일정이 꽉 차 있더라도 그분들을 포용하는 게 도움이 되었습니다.
저는 모든 구성 요소나 시스템을 이해하지 못하는 사람들과도 많이 일했습니다. 우리는 질문을 아주 열린 자세로 받고 각 부분이 어떻게 동작하는지 철저히 설명하려고 했습니다. 한 구성 요소는 잘 알지만 다른 구성 요소는 모르는 사람이라면, 시간을 잡아 모르는 구성 요소들을 하나씩 같이 짚어 가며 우려를 풀어 주는 방법이 아주 유용하다는 걸 알게 되었습니다. 어떤 질문을 해야 할지 모르는 분들도 있으니, 그럴 때는 제가 그분이 잘 아는 구성 요소에 대해 질문하면서 새로운 구성 요소와 연결해 이해해 보려고 했습니다. 어쩌면 그분들의 우려가 정당했는데 그걸 어떻게 표현해야 할지 몰랐던 것일 수도 있고요!
하위 조직의 문제라기보다 본부의 문제였을 수도 있겠네요.
기억하기로는 절차를 붙들고 있을 수 있는 사람이 한두 명 있었는데, 설득이 통하지 않았습니다.
저는 어렸고 그런 상황을 감당할 준비도 덜 되어 있었습니다.
다른 몇 분야에서도 일해 봤는데, 조금 더 균형 잡힌 접근이 마음에 들었습니다.
FAA에서 실리콘밸리식 접근을 지향하고 싶지는 않습니다. 지금 FAA가 그런 극단으로 기울었다고 생각하지도 않고요.
정보가 더 필요합니다. 이거 설마 인편으로 디스크를 옮기는 방식(sneakernet)이었나요? 플로피 에뮬레이터와 SD 카드로 바꿀 생각을 한 사람이 없었나요? 데이터가 전부 1.44MB에 들어간다는 건가요?
마지막 말이 사실이라면 개발자들은 새겨들으세요. FAA가 안전 필수 애플리케이션에 느리고 작은 저장 장치를 쓸 수 있다면, 여러분도 앱의 자원 요구량을 줄여서 고객 경험을 개선하고 고객의 하드웨어 수명도 늘릴 수 있을 겁니다.
플로피의 전성기 이후로 컴퓨터 하드웨어와 네트워크는 모든 면에서 엄청나게 발전했습니다. 그 플로피도 불과 몇 년 앞선 기술보다 훨씬 큰 도약이었고요.
그 댓글은 1950년 이후 어느 해에 썼어도 맞는 말이면서, 하드웨어 업그레이드를 가장 꺼리는 분야 밖에서는 아무 상관없는 말이었을 겁니다. FAA는 보수적이고 또 그래야 하지만, 우리 나머지는 주머니에 슈퍼컴퓨터를 갖고 다니잖아요.
소프트웨어 개발자들이 주어진 하드웨어 성능을 남용했느냐고요? 물론 그랬죠. 거기에 좀 신경을 써 주면 좋겠습니다. 하지만 기본기를 넘어서는, 손으로 하나하나 쥐어짜는 극단적 최적화는 이제 장인들의 몫입니다. 아니면… AI의 몫이거나요?
문제는 그게 슈퍼컴퓨터처럼 느껴지지 않는다는 거예요. 너무 당연하게 여겨지다 보니까요.
제 컴퓨터와 폰은 20년 전보다 딱히 빠르거나 쓰기 좋다고 느껴지지 않습니다. 특수한 용도로는 훨씬 더 많은 걸 할 수 있을지 몰라도, 일상적인 용도에서는 새 하드웨어를 계속 사서 최신 소프트웨어를 예전과 똑같은 속도로 돌리는 것 같아요. 그것도 대부분 보안 업데이트 때문에요.
저는 M1 MBP를 쓰는데, 좀 오래됐어도 필요한 건 다 합니다. 그런데 Dock에서 캘린더를 클릭하면(이미 열려 있는데 한동안 안 썼을 때) 활성 앱으로 앞에 나오기까지 3~5초가 걸릴 때가 있어요. 고장 난 것 같습니다. 5년 전에는 같은 하드웨어에서 이런 대기가 없었고, 25년 전 PPC 맥에서도 문제가 아니었어요. 그런데 지금은 문제가 됐네요. 왜일까요? UI가 리퀴드 글래스에서 배경 이미지의 굴절을 계산해야 해서요? 브라우저에서 캘린더로 더 빨리 전환하겠다고 2,500달러짜리 새 MBP를 사야 할까요? 말이 안 되잖아요.