비행기 사고 확률, eVTOL 인증은 왜 고장 하나마다 10억 시간당 1회로 따질까?

작성자:

비행기 사고 확률을 말할 때 자주 나오는 '10억 비행시간당 1회'는 계통의 치명적인 고장 상태 하나하나에 매기는 상한입니다. 기체 전체의 사고율과는 세는 대상이 다르고, 승객을 태우고 도심을 나는 eVTOL(전기 수직이착륙기)도 고장 상태마다 같은 값을 받습니다.

콩코드 심사에서 시작된 나눗셈

이 숫자는 1960년대 영국 민간항공당국이 콩코드를 심사하며 세운 기준에서 나왔습니다. 미국 연방항공청(FAA)의 계통 설계 지침 AC 25.1309-1B 부록에 그 계산 과정이 남아 있습니다(FAA, 2024).

심각한 사고 전체(당시 추정) = 100만 비행시간당 1회 = 10⁻⁶

그중 계통 설계 탓(10%) = 10⁻⁶ × 0.1 = 10⁻⁷

치명적 고장 상태 100개로 나눔 = 10⁻⁷ ÷ 100 = 10⁻⁹

당국은 모든 위험을 하나씩 더해 1,000만 시간당 1회 아래임을 보이는 일이 너무 번거롭다고 봤습니다. 그래서 치명적 고장 상태가 100개를 넘지 않는다고 가정하고 몫을 똑같이 나눠 주었습니다. 이번에 2024년판 부록을 원문으로 다시 읽어 보니, 이 값들은 FAA의 사고율 목표나 기대치를 나타내지 않는다는 문장이 따로 적혀 있었습니다.

치명적 고장 확률 상한이 나온 나눗셈심각한 사고 전체 10⁻⁶, 그중 계통 설계 탓 10%인 10⁻⁷, 이를 치명적 고장 상태 100개로 나눈 10⁻⁹. 비행시간당 값이다.SAFETY10억 시간당 1회는고장 상태 하나의 몫One in a billion hours is a per-condition budget기체 전체 사고율과 다른, 치명적 고장 상태 한 칸의 상한 (FAA AC 25.1309-1B 부록 A)A per-condition ceiling, not an aircraft-level accident rateeVTOL Lab10⁻⁶비행시간당 · per flight hour심각한 사고 전체All severe accidents (1960s est.)10⁻⁷× 10% 계통 탓계통 설계 탓 합계System-related share10⁻⁹÷ 고장 상태 100개치명적 고장 상태 하나Each catastrophic condition
치명적 고장 확률 상한이 나온 계산을 세 숫자로 정리한 카드. 심각한 사고 전체 10⁻⁶, 그중 계통 설계 탓 10%인 10⁻⁷, 이를 치명적 고장 상태 100개로 나눈 10⁻⁹

규정 문구도 2024년 8월에 바뀌었습니다. 개정된 미국 연방 규정은 치명적 고장 상태를 여러 사람이 목숨을 잃는 결과를 낳고 대개 기체 손실을 동반하는 고장 상태로 정의합니다. 25.1309조는 이런 고장 상태마다 극히 일어나기 어려워야 하고 단일 고장에서 비롯되면 안 된다고 정했습니다(FAA, 2024). 조문에는 확률 숫자가 없고, 숫자는 같은 달 30일 1988년판을 대체해 나온 지침에 있습니다.

실제 사고율과는 기체 전체끼리 견준다

값1회당 비행시간무엇을 센 값인가
미국 일반 항공 치명 사고(2017~2024 회계연도)약 10만~15만 시간모든 원인, 실제 통계
1960년대 영국 당국의 심각한 사고 추정100만 시간모든 원인, 당시 가정
그중 계통 설계 탓 합계1,000만 시간위 가정의 10%
치명적 고장 상태 하나10억 시간대형 여객기·도심 eVTOL 계통의 상한

FAA 집계에서 일반 항공의 치명 사고율은 10만 비행시간당 0.68~0.95건이었습니다(FAA, 2025). 2024년 값은 추정치이고, 헬리콥터와 제트기, 자작기까지 들어간 숫자입니다. 모든 원인을 넣은 값끼리 견주면 차이는 열 배 안팎입니다.

0.68~0.95 × 10⁻⁵ ÷ 10⁻⁶ ≈ 7~10배

표의 첫 줄과 마지막 줄을 그대로 나누면 6,800~9,500배, 어림잡아 1만 배가 나옵니다. 그러나 위쪽은 조종 실수와 날씨까지 넣은 사고 전체이고 아래쪽은 고장 상태 한 칸이라, 세는 대상이 어긋나 배수로 읽을 수 없습니다.

10억 시간의 크기는 다른 방식으로 가늠하는 편이 낫습니다.

기체 한 대가 하루 10시간씩 1년 = 3,650시간

10억 시간 ÷ 3,650시간 ≈ 27만 4,000년

1,000대 × 3,650시간 × 30년 ≈ 1억 1,000만 시간

한 기종 1,000대가 30년을 날아도 10억 시간의 9분의 1 정도입니다. 미국 규정과 EASA 문서가 '극히 일어나기 어려운' 고장 상태를 그 기종 전체의 운용 기간에 한 번도 일어나지 않을 것으로 보는 상태라고 정의한 것과 맞아떨어집니다(FAA, 2024; EASA, 2021).

eVTOL은 좌석 수와 운항 방식으로 값이 갈린다

유럽항공안전청(EASA)의 소형 수직이착륙기 특별 조건 2판은 혼잡한 지역 위를 날거나 승객을 태우는 상업 운송에 쓰는 기체를 강화 등급으로 인증하게 합니다(EASA, 2024). 등급별 확률은 함께 쓰는 적합성 입증 방법 문서의 표에 있습니다(EASA, 2021).

승객 좌석등급치명적 고장 상태 하나의 상한
9석 이하, 도심·상업 운송강화10⁻⁹ (10억 시간당 1회)
7~9석기본 310⁻⁹
2~6석기본 210⁻⁸ (1억 시간당 1회)
0~1석기본 110⁻⁷ (1,000만 시간당 1회)

4인승 에어택시라도 도심에서 손님을 태우려면 대형 여객기 계통과 같은 10⁻⁹을 고장 상태마다 맞춰야 합니다. 미국은 파워드리프트 기체마다 특별 등급 감항 기준을 따로 확정하는데, 2024년 3월 나온 조비 에비에이션(Joby Aviation) JAS4-1 기준은 소형 비행기 규정의 계통 안전 조항 23.2510조를 그대로 가져다 썼습니다(FAA, 2024). 의견 수렴에서는 EASA처럼 '단일 고장으로 치명적 결과가 나면 안 된다'는 문구를 넣자는 요구가 나왔지만, FAA는 기존 규정에도 그런 조항이 없고 지침에서 다룬다며 넣지 않았습니다. 같은 해 8월 개정된 대형기 규정 25.1309조에는 이 문구가 들어갔습니다.

함께 고장 날 확률, 그리고 숨어 있던 고장

밝은 시험동 바닥에 회색 유압 작동기 세 대가 강철 시험대 위에 나란히 고정돼 있고, 검은 유압 호스가 작동기마다 촘촘히 연결된 장면. 뒤쪽에서는 작업복 차림 기술자 두 명이 모니터 앞에 서 있다. 이해를 돕기 위해 만든 이미지

부품 하나의 고장률을 10⁻⁹ 수준까지 낮췄다고 증명하기는 사실상 어렵습니다. 그래서 같은 일을 하는 계통을 둘 이상 두고, 둘 다 멈춰야 치명적 결과가 나도록 만들어 확률을 곱합니다.

계통 둘이 독립일 때 = 10⁻⁵ × 10⁻⁵ = 10⁻¹⁰

이 곱셈은 두 계통이 같은 배터리나 배선 다발, 같은 소프트웨어를 나눠 쓰지 않을 때만 성립합니다. 로터나 배터리 팩 하나가 멈출 때 남은 쪽이 얼마나 더 일해야 하는지는 분산전기추진 계산 글에, 비행제어 컴퓨터를 여러 벌 두는 방식은 비행제어 컴퓨터 글에 있습니다.

곱셈을 깎아 먹는 것이 하나 더 있습니다. 예비 계통이 이미 고장 나 있는데 아무도 모른 채 비행하면 남은 계통 하나에 기대게 됩니다. 지침은 이런 숨은 고장의 확률을 고장이 숨어 있을 수 있는 시간과 그 고장률의 곱으로 셉니다(FAA, 2024). 숨은 고장률을 시간당 10⁻⁵으로 두고 점검 간격을 바꿔 보았습니다.

예비 계통 점검 간격숨은 고장 확률남은 계통 고장률치명적 고장 확률
매 비행 전(1시간)10⁻⁵10⁻⁵10⁻¹⁰
10시간마다10⁻⁴10⁻⁵10⁻⁹
100시간마다10⁻³10⁻⁵10⁻⁸
100시간마다10⁻³10⁻⁶10⁻⁹
1,000시간마다10⁻²10⁻⁶10⁻⁸

10⁻⁹에 딱 닿는 두 줄은 지침이 직접 든 예와 같은 조합입니다. 규정과 지침은 숨은 고장 확률이 1,000분의 1을 넘지 않게 하고, 간격이 긴 정기 정비보다 그날 첫 비행 전 점검이나 전원을 켤 때 도는 자체 시험으로 노출 시간을 줄이라고 권합니다. 자체 시험으로 잡지 못하는 숨은 고장은 정비 점검이 맡게 되고, 그 일을 할 정비사를 기르는 데 걸리는 시간은 항공정비사 자격 계산 글에서 따졌습니다.

시험비행 기록으로는 닿지 않는 자릿수

고장이 한 번도 없었다는 기록만으로 10⁻⁹을 보이려면 얼마나 날아야 할까요? 통계에서 흔히 쓰는 근사로 셈하면 이렇습니다.

필요한 비행시간(고장 0회, 95% 신뢰) ≈ 3 ÷ 10⁻⁹ = 30억 시간

1,000시간 무사고 기록은 10억 시간의 100만분의 1을 지켜본 것이라, 이 자릿수에 대해서는 거의 아무것도 알려 주지 못합니다. 그래서 인증은 치명적 결과 하나를 꼭대기에 두고 그 결과를 부르는 고장 조합을 나무 모양으로 따라 내려가는 고장 나무 분석 같은 설계 해석으로 이 숫자를 보입니다.

지침은 반대 방향의 함정도 적었습니다. 계산으로 10⁻⁹을 맞췄더라도 비슷한 고장이 실제로 일어날 수 있다는 경험이 있으면 '극히 일어나기 어렵다'를 보인 것으로 치지 않습니다(FAA, 2024). EASA도 강화 등급 기체에는 위험하거나 치명적인 고장으로 이어질 수 있는 장비와 계통의 상태를 운항 중에 지켜보는 체계를 갖추라고 요구합니다(EASA, 2024). 설계 단계에서 곱해 둔 확률이 실제와 맞았는지는 인증 뒤에 쌓이는 운항 기록이 조금씩 가려 줄 몫입니다.

확인일 2026-10-16

출처

규제기관 문서