사회, 경제적 발전과 함께 사회-기술(socio-technical) 시스템이 대형화되고 복잡해짐에 따라 사고도 대형화되고 있다. 1990년 이후 우리나라에서 발생한 1993년 서해 훼리호 침몰 사고(292명 사망), 1995년 대구 지하철 상인역 가스 폭발 사고(101명 사망), 1995년 삼풍백화점 붕괴 사고(502명 사망), 2003년 대구 지하철 중앙로역 화재 사고(192명 사망), 2014년 세월호 침몰 사고(304명 사망 및 실종)와 같은 100명 이상이 사망 또는 실종되는 대형 사고가 그 예로 볼 수 있다. 복잡한 사회-기술 시스템에서 발생하는 사고는 시스템 구성 요소 간의 예기치 않고 통제되지 않은 상호 관계의 결과로 발생하여, 구성 요소 개별적이 아닌 시스템 전체 관점에서 사고를 분석하여야 한다(Underwood and Waterson, 2013).

도미노 모델, FTA (fault tree analysis)와 같은 전통적 순서적(sequential) 원인-결과(cause-effect) 사고 모델은 사고가 장비 고장이나 불안전 행동으로 발생한다고 본다(Underwood and Waterson, 2014). 우주선 컬럼비아호 폭발 사고, 쓰리마일 아일랜드 및 체르노빌 원자력발전소 사고와 같은 복잡한 사회-기술 시스템에서 발생하는 사고는 불안전 행동이나 상태보다는 시스템의 정상적 운용상의 변동성(variability) 내에서 복잡한 현상으로 발현하게(emerge) 된다(de Carvalho, 2011). 또한, 순서적인 원인-결과 모델로 사고를 분석하면 인적 처벌에 치중하게 되어, 사고로부터의 학습 기회를 상실하게 되고 그 결과로 올바른 재발 방지안을 마련하지 못하게 된다(Underwood and Waterson, 2014).

이러한 문제점을 해결하기 위하여 미국, 유럽을 중심으로 안전 선진국에서는 시스템적 접근법이 사고 조사와 인간공학 분야에서 활발히 활용되고 있다(Salmon et al., 2012; Stanton et al., 2012). 시스템적 사고 조사 기법은 사고 원인을 좀 더 잘 설명하고 부적절한 인적 처벌을 피하게 하며, 효과적인 안전 대책 수립에 대한 정보를 제공해준다(Underwood and Waterson, 2014). 따라서, 본 연구에서는 시스템적 사고 분석 기법 중 대표적 기법인 Accimap (Rasmussen, 1997), STAMP (systems theoretic analysis model and processes) (Leveson, 2004), FRAM (functional resonance analysis method) (Hollnagel, 2004)을 문헌조사를 바탕으로 연구 현황을 정리하고, 그 특성을 비교하고자 한다.

1.1 Systemic accident analysis techniques

1997년에 Rasmussen은 동적 시스템에서 행동이 일어나는 메커니즘에 초점을 맞춘 사고 조사 기법으로 Accimap을 발표하였다(Rasmussen, 1997; Rasmussen and Svedung, 2000). Accimap은 사고가 일어난 곳을 포함하여 시스템 전체의 실패를 살펴보는데, 정하여진 것은 아니지만 시스템을 보통 6개의 수직적 조직 수준을 포함한 계층 구조로 나타낸다: 정부 정책과 예산, 집행 기관과 관련 기관, 지방 정부 및 기업 경영, 기술적 및 운용적 관리, 직원(물리적 과정 및 관련자 활동)과 작업 상황(장비, 환경 및 기상 상태). 이를 바탕으로 시스템을 구성하는 여러 수준의 의사결정자와 의사결정을 도표로 나타낸다.

STAMP는 Leveson이 제안하였으며 시스템 설계, 개발 및 운영에서의 안전 관련 제약의 부적절한 관리나 집행에 초점을 둔 제약 기반 모델이다. Accimap과 유사하게 시스템을 여러 수준으로 이루어진 계층 구조로 나타내며, 시스템 개발과 운영에 관한 두 개의 연결된 계층 구조를 가진 것은 Accimap과 다르다(Leveson, 2004; Salmon et al., 2012). 시스템 계층 구조의 각 수준에는 관련 actor 혹은 stakeholder만 제시되고, 이들의 사고 기여 요인을 설명해주는 용어(taxonomy)를 별도로 제공하고 있고, 이에 맞추어 사고 기여 인자는 계층 구조와 별도로 분석한다.

FRAM은 Hollnagel이 개발하였으며 사고는 정상적 수행도 변동성의 예기치 않은 결합(공명)으로 발생한다는 가정에 기초한 비선형 모델이다. 시스템을 다양한 정도의 변동성을 보이는 서브 시스템이나 기능이 서로 연결된 네트워크로 본다. 각 기능은 6가지 요소 즉, input, output, time, precondition, control, resource로 특성화된다(Hollnagel, 2004, 2012).

본 연구는 사고 원인 모델, 시스템적 사고 분석 기법을 다룬 문헌조사를 근거로 이루어졌다. 연구에서 문헌조사는 저자가 보유하고 있는 문헌, 문헌의 참고문헌 목록에 나오는 문헌과 systemic accident analysis, Accimap, STAMP, FRAM을 검색어로 한 ScienceDirect 검색을 통하여 구한 문헌을 바탕으로 이루어졌다.

3.1 Accimap

Hulme et al. (2019)이 4개 학술 데이터베이스 검색을 통하여 찾은 1990년에서 2018년 7월까지의 세 기법 관련 저널 논문 30편 중, Accimap 관련 논문이 20편으로 가장 많았다. 분석 대상 분야별로는 공중 보건이 6편으로 가장 많았고, 교통 4편, 인솔자가 있는 아웃도어 레크리에이션(led outdoor recreation) 4편, 해양 3편, 항공, 산불, 토목 각 1편이었다. 분석 대상 시스템의 계층 구조의 수준 수는 17편이 6개, 3편이 5개였다. 분석에 언급된 사고 원인 혹은 요소는 논문별로 7~71개(평균: 40.1, 표준편차: 16.5)로 다양하였으며, 계층 구조에서 하위 수준 즉, 사고 상황 혹은 지점으로 갈수록 많은 것으로 조사되었다(최하위 수준인 작업 상황: 평균 13.4(표준편차: 8.0; 최상위 수준 정부: 평균 3.2(표준편차: 3.1)). 이러한 현상은 23개 Accimap 관련 저널 논문을 대상으로 한 Salmon et al. (2020)의 연구에서도 같이 나타났다.

Salmon et al. (2020)은 23개 Accimap 적용 저널 논문 분석을 통하여, 사고 기여 인자를 79개 부류로 나누고, 이들에 속하는 5,587개 기여 인자를 정리하였다. 즉, 작업 상황 10개, 물리적 과정 및 관련자 활동 19개, 기술적 및 운용적 관리 14개, 지방 정부 및 기업 경영 13개, 집행 기관 및 관련 기관 13개, 정부 정책 및 예산 19개 부류로 정리하였다. 이러한 자료는 추후 Accimap을 이용한 분석에서 사고 기여 인자를 찾아 정리하는데 유용하게 활용될 수 있다.

Goode et al. (2017)은 4개 사고 보고서를 기반으로 Accimap의 신뢰성과 타당도(validity)를 분석하였다. 28~79(평균: 54일)일 간격으로 11명의 분석자를 대상으로 한 두 차례 분석에서 분석자 내 신뢰성(intra-rater reliability)은 시스템 수준에서 평균 83.6%(표준편차: 7.8), 시스템 각 계층에서의 사고 기여 인자(descriptor) 수준에서 평균 74.0%(표준편차: 11.3)를 보였다. 분석자 간(inter-rater) 신뢰성은 두 번의 평가 중 첫 번째 평가의 시스템 수준에서 평균 68.8%(표준편차: 10.5), 두 번째 평가에서 평균 73.9%(표준편차: 11.2)로 조사되었다. 사고 기여 인자 수준에 대한 첫 번째 평가에서 58.5%(표준편차: 12.5), 두 번째 평가에서는 64.1%(표준편차: 11.5)의 분석자 간 신뢰성을 보였다. 모델 타당도는 분석 도구를 만든 사람(method creator, 논문의 첫 번째 및 두 번 째 저자)과 분석자 간 평가 결과 일치도로 평가하였으며, 시스템 수준은 첫 번째 평가에서 73.9%(표준편차: 10.3), 두 번째 평가에서 75.3%(표준편차: 9.1), 사고 기여 인자 수준은 첫 번째 평가에서 67.6%(표준편차: 11.9), 두 번째 평가에서 70.8%(표준편차: 11.9)로 나타났다.

3.2 STAMP

Hulme et al. (2019)에 의하면 1990년에서 2018년 7월까지 STAMP를 이용하여 사고 분석을 한 저널 논문은 6편이었으며, 4편은 STAMP의 두 계층 구조(개발과 운용) 중 운용에 초점을 맞추고 있었다. 적용 분야는 교통, 항공, 정유, 군사, 해양, 공중보건 각 1건이었다. STAMP는 각 계층에서 안전 제약의 부적절한 집행(통제 행동), 통제 행동의 부적절한 실행, 피드백이 부적절하거나 놓침, 상황(context), 정신 모델 결함(mental model flaw), 협조(coordination)와 같은 6가지 관점/용어에서 사고 원인을 기술하는데, 사고 원인 총수는 논문별로 14~71개(평균: 48.5, 표준편차: 21.3)였다. 사고 원인으로는 통제 행동의 부적절한 실행이 91건으로 가장 많았고, 다음으로 통제 행동 79, 상황 68, 정신 모형 결함 38, 피드백 11, 협조 4건 순으로 나타났다.

Altabbakh et al. (2014)은 FMEA (Failure Mode and Effect Analysis), FTA, ETA (Event Tree Analysis), HAZOP (Hazard and Operability Analysis)과의 비교를 통하여 STAMP는 복잡한 시스템에 적용하는 유용한 전체적(holistic) 모델이고, 다른 사고 원인 모델에 비하여 사고 기여 요인을 더 많이 제시한다고 보고하였다.

3.3 FRAM

Ka (2017)는 2013년에 발생한 대구역 열차 추돌 사고와 세월호 침몰 사고를 FRAM을 적용하여 분석하였다. Lee and Lee (2018)는 후쿠시마 원전 사고를 FRAM을 이용한 레질리언스 공학(resilience engineering) 관점에서 분석하였다. Hulme et al. (2019)에 의하면 FRAM을 적용한 저널 논문은 4편이었으며, Ka (2017)와 Lee and Lee (2018) 연구를 합하면 FRAM 적용 논문은 6편이 되고, 적용 분야는 항공 3건, 교통 2건, 해양 및 원자력 발전소 각 1건(Ka (2017)의 연구는 철도와 해양 두 가지를 다룸)이었다. Patriarca et al. (2020)은 4개 학술 데이터베이스 검색을 통하여 구한 193건의 FRAM 관련 자료(저널 논문, 학술지 발표, 저서, 석 ∙ 박사 학위 논문, 포스터, 웹페이지 등 포함)를 근거로, 항공 분야에 적용이 가장 많았으며(24.9%), 다음으로 헬스케어(14.0%), 산업 운용(industrial operations) (12.4%), 해양(8.8%), 철도(6.7%) 등의 순으로 적용되고 있음을 보였다. 자료 저자의 국적은 유럽이 57.6%로 가장 많았고, 아시아 19.9%, 오세아니아 10.6%, 남미 7.3%, 북미 5.2%, 아프리카 0.3% 순으로 나타났다. FRAM 적용 절차 4단계 중 모두를 적용한 자료가 54.6%로 가장 많았고, 1~3단계까지 일부만 적용한 자료도 약 40%가 있었다. 나머지 5.7%는 모델의 적용은 다루지 않고 review, 비교 등의 이론적인 면만 다루고 있었다.

3.4 Studies by countries and application fields

Hulme et al. (2019)이 조사한 30개 저널 논문의 국가별 분포는 Figure 1과 같다. 영국이 9편(Accimap 7편, STAMP, FRAM 각 1편)으로 가장 많았고, 미국 및 호주 각 4편, 우리나라 3편, 캐나다, 브라질, 뉴질랜드, 중국 각 2편, 그리스, 노르웨이 각 1편이었다. 우리나라의 3편은 모두 세월호 침몰 사고를 분석한 논문이고, 2편은 Accimap, 1편은 STAMP를 이용하였다.

Hulme et al. (2019), Ka (2017), Lee and Lee (2018)에 나타난 적용 분야는 공중보건 및 교통 분야가 7건으로 가장 많았고, 다음으로 해양 및 항공 5건, 인솔자가 있는 아웃도어 레크리에이션 4건 등의 순이었다(Figure 2). 산불, 토목, 정유, 군사, 원자력 분야는 각 1건이었다.

Figure 1. Paper distribution by country

Modify Delete

Figure 2. Paper distribution by application fields

Modify Delete

3.5 Comparison of Accimap, STAMP and FRAM

Accimap은 시스템 계층 구조에서 일어나는 사건, stakeholder 혹은 actor의 행동, 상황(condition) 등을 잘 묘사하는 반면, 시스템 구조, 경계와 놓치거나 부적절한 피드백의 영향은 암묵적 혹은 부분적으로 묘사한다. STAMP는 시스템 계층 구조에는 사고에 영향을 미친 stakeholder 혹은 actor만을 나타내고, 이들이 사고에 미친 기여 혹은 원인은 제시된 6가지 관점/용어에 기반하여 별도로 분석한다. 이러한 관점에서 STAMP가 Accimap에 비하여 좀 더 시스템적 사고를 잘 반영한다 할 수 있다(Underwood and Waterson, 2014). FRAM은 시스템을 계층적으로 나타내기 보다는 시스템에서 일어나는 기능들을 파악하여 이들을 6개 기본 특성으로 특성화하고, 이들의 관계를 도식적으로 나타내어 원인을 추적할 수 있도록 하는 기법이라 시스템적 사고 정도가 가장 낮을 것으로 추정된다(Figure 3).

STAMP는 앞서 언급한 바와 같이 사고 원인에 대한 6가지 관점/용어를 제공하고 있어, 분석 시 이들에 대한 내용을 상세히 제공하면 분석의 질을 높일 수 있으며(Underwood and Waterson, 2014), 분석을 위한 9가지 절차를 가진 STAMP-CAST (causal analysis based on STAMP)를 제시하고 있어 어느 정도 신뢰성을 확보할 수 있다. 반면, Accimap은 사고 원인에 대한 용어의 제시가 없으며 구체적 분석 절차가 없어 많은 부분을 분석자의 주관적 판단에 의존하여 STAMP에 비하여 신뢰도가 낮다.

Figure 3. System thinking approach comparison of Accimap, STAMP and FRAM

Modify Delete

세월호 침몰 사고를 분석한 4개 논문 및 석사학위 논문(Accimap 2편, STAMP 2편)을 대상으로 결과를 분석한 Filho et al. (2019)의 연구에 따르면, 신뢰성(같은 기법을 이용한 두 논문에서 확인된 사고 원인의 일치 정도, 분석자 간 중복 정도)은 Accimap은 38%, STAMP는 65%를 보였다.

Accimap과 STAMP를 이용하여 세월호 침몰 사고를 분석한 논문 4편(각 방법별 두 편)의 비교에서 타당도(두 분석 기법으로부터 나온 사고 기여 인자의 중복 정도)는 8%로 매우 낮았다(Filho et al., 2019). FRAM의 신뢰성을 다룬 연구는 찾을 수 없었지만 세 기법 중 가장 상세한 분석을 하고 기능의 특성화에 대한 가이드가 없기 때문에 신뢰성은 가장 낮을 것으로 추정된다.

STAMP를 이용한 분석에 더 많은 단계가 요구되고 시스템 구조 및 구성 요소에 대한 더 많은 정보가 필요하기 때문에, STAMP를 이용한 분석이 Accimap에 비하여 소요되는 시간은 거의 두 배 정도이다(Underwood and Waterson, 2014). Accimap은 사고에 기여한 모든 요인을 간단명료하게 계층 구조를 이용한 도표로 나타낼 수 있다. 반면, STAMP는 시스템 개발 및 운용에 대한 두 개의 계층 구조와 각 계층 수준에서의 stakeholder 혹은 actor의 사고 기여 요인을 별도로 분석 ∙ 정리하여야 하기 때문에 간단한 도표로 나타내기 어렵다(Underwood and Waterson, 2014). FRAM은 시스템을 구성하는 모든 기능들을 파악하여 6개 요소로 특성화하고, 그들 간의 관계를 고려하여 수평적으로 서로 연결하여야 하기 때문에 계층 구조라 보기 힘들고 분석에 소요되는 시간이 가장 길다(Kee, 2017) (Figure 4). FRAM은 기능들을 그림으로 나타내고 서로 연결할 수 있는 'FRAM model visualizer'라는 소프트웨어를 무료로 제공하고 있다.

Figure 4. Usage characteristics of Accimap and STAMP

Modify Delete

Accimap 계층 구조 작성에는 시스템을 구성하는 계층의 수준 수, 각 수준의 actor 혹은 stakeholder의 활동, 사건에 대한 정보가 요구된다. STAMP는 이러한 자료와 함께 계층 구조 간(개발과 운용), 계층의 수준 간 및 각 수준의 actor 혹은 stakeholder 간 통제와 제약 관계, actor 혹은 stakeholder의 잘못이나 사건에 대한 정보를 추가적으로 요구한다. 언급한 바와 같이 FRAM은 분석하고자 하는 시스템의 모든 기능과 그들의 6개 특성 요소, 기능들 간의 관계에 대한 정보를 필요로 하여 가장 많은 정보가 요구된다. 분석 결과를 바탕으로 사고 재발 방지안 마련에는 더 많은 자료를 이용하여 상세한 분석을 한 기법이 더 효율적이다. 따라서 분석에 요구되는 자료 양과 반대로 FRAM, STAMP, Accimap 순으로 대안 마련이 쉽게 된다(Kee, 2017).

3.6 Criteria for selecting methods

Underwood and Waterson (2013)이 수행한 10개 나라의 안전 관련 실무자 및 전문가 42명(연령: 28~79세, 평균: 46.4세) - 전업 사고 조사자 9명, 안전보건 전문가 17명, 인간공학 전문가 10명, 연구자 6명-에 대한 면접조사에서, 사고 분석 기법 선택 기준은 기법의 실용성과 더불어 사용성이 54%로 가장 높았다. 다음으로 타당성 27%, 유용한 결과 형태 7%, 소프트웨어 기반 기법 5%, 신뢰성 4% 등의 순서로 조사되었다(Figure 5).

Figure 5. Preferred features of an analysis method

Modify Delete

실무자는 효율적 자료 사용으로 유용한 안전 대책을 생성할 수 있는 기법을 선호하기 때문에, STAMP, FRAM에 비하여 Accimap을 선호하는 경향이 있다. 모든 시스템 사고 개념을 반영하는 광범위한 분석을 위한 절차를 요구하는 연구자에게는 STAMP, FRAM이 시스템 사고 분석 기법으로 더 매력적이다(Underwood and Waterson, 2014) (Figure 6).

Figure 6. Technique selection trade-off factors

Modify Delete

본 연구는 문헌 조사를 바탕으로 대표적 시스템적 사고 분석 기법인 Accimap, STAMP, FRAM의 연구 현황을 살펴보고 대표적 특성을 비교하였다. 스위스 치즈 모델은 일반적으로 시스템적 기법이 아닌 역학적(epidemiological) 기법으로 분류되나, Underwood and Waterson (2014)은 Grayrigg 열차 탈선 사고 분석을 통하여 스위스 치즈 모델에 기반한 ATSB (Australian Transport Safety Bureau) 모델도 시스템적 사고를 하는 시스템적 기법이라고 주장하였다. 그러나 본 연구에서는 시스템적 사고 분석 기법의 대표적인 세 가지 기법만을 다루었다. 이는 ATSB 모델이 본 연구에서 다룬 세 기법에 비하여 시스템 사고 기능이 가장 약하였기 때문이다(Underwood and Waterson, 2014). 세 기법 중 분석에 요구되는 자료의 양이 적고 분석 시간이 짧으며, 범용으로 사용할 수 있는 Accimap이 가장 활발하게 연구되고 있는 것으로 나타났다. 그러나 Accimap이 STAMP에 비하여 신뢰성이 떨어지고, 타당도도 낮음 점이 기법 선택 시 고려되어야 한다. 시스템적 사고 분석 기법에 대한 연구는 안전 선진국이라 할 수 있는 유럽, 북미, 오세아니아 중심으로 이루어지고 있었다.

도미노 모델, FTA와 같은 순서적 사고 조사 기법은 복잡하지 않은 시스템이나 부품/구성요소 고장으로 발생하는 사고 분석에는 적절하나, 복잡도가 증가하는 사회-기술 시스템의 사고 분석에는 시스템적 사고 분석 기법의 중요성이 증가할 것이다(Salmon et al., 2011). 우리나라도 세월호 침몰 사고 이후 안전-II, 시스템적 사고 분석 기법에 조금씩 관심이 높아지고는 있다. 항공, 해양 분야는 ICAO (International Civil Aviation Organization)나 IMO (International Maritime Organization)의 표준이나 protocol을 따라 사고 조사가 이루어져 시스템적 사고 관점에서 앞서가고 있다. 그러나, 학계나 민간 분야에서는 아직 활발한 연구와 적용이 이루어지고 있다고는 할 수 없다. Hulme et al. (2019) 및 Filho et al. (2019)에 따르면 세월호 침몰 사고를 다룬 세 편의 저널 논문, 한 편의 석사학위 논문이 있으나(제1저자는 모두 한국인임), 제1저자 소속 기관 기준으로 볼 때 세 편은 외국 대학에서 이루어진 점이 한 증거라 할 수 있다(Kee et al., 2017; Kim et al., 2016; Kwon, 2016; Lee et al., 2017).

우리나라에서 연이어 일어나고 있는 제천 스포츠센터 화재(2017, 29명 사망), 밀양 병원화재(2018, 33명 사망), 이천 물류창고 화재(38명 사망, 2020) 등의 대형 사고의 예방을 위해서는, 시스템적 사고 분석 기법에 대한 활발한 연구와 실무 도입이 요구된다 하겠다. 실무자의 새로운 기법 도입에는 훈련, 관련 정보에의 접근과 같은 요소가 영향을 미치고, 시스템적 사고 분석 기법은 광범위한 이론 및 관련 분야 지식, 교육/훈련을 요구한다는 점을 고려할 때 시스템 사고 분석 기법의 보급을 위해서 교육/훈련이 우선 되어야 한다(Underwood and Waterson, 2013). 안전-II, 시스템적 사고 분석 기법에 대한 대학에서의 교육이 아직은 초보 단계이나, 대학에서의 활발한 교육을 통하여 이 분야 인재를 양성하는 것이 중요할 것으로 보인다. 기법 선택 기준에서 사용성이 큰 비중을 차지하고(Figure 5), 실무자는 기법의 완전성과 함께 효율과 사용성을 우선하고 있는 점을 고려할 때(Figure 6), 이미 개발된 방법의 사용성을 제고할 수는 없으므로 교육/훈련을 통하여 실무자가 큰 어려움 없이 실무에 도입하여 사용할 수 있도록 하여야 한다.

교육/훈련과 더불어 사고 분석에 시스템적 기법을 사용하면 사고 원인을 좀 더 정확하게 파악할 수 있고, 부적절한 인적 처벌을 피하고 효과적 사고 방지 대책 수립에 도움이 되는 효과를 실무자와 함께 정책 입안자가 인식할 수 있도록 하여야 시스템적 사고 분석 기법이 본격적으로 보급될 것으로 보인다.

본 연구에서의 문헌 조사 결과는 세 기법 중 분석에 소요되는 자료의 양이 상대적으로 적고 간단한 도표로 나타낼 수 있는 Accimap이 가장 많이 적용되어 왔고, STAMP는 신뢰성이 높고 시스템적 사고를 잘 반영한다. FRAM은 가장 상세한 분석법으로 많은 자료를 요구하고 분석 시간이 길어 Hulme et al. (2019) 연구 결과 기준으로 세 기법 중 가장 적게 활용되었다. 시스템적 사고 분석 기법의 적용 분야는 공중보건, 교통, 해양, 항공과 같은 복잡한 시스템이 많았다.