[ETTO 12/22] 해양·우주 시스템에서 나타난 연쇄적 ETTO

ETTO 원리 현장 연재 12/22 · 설계부터 운용과 학습까지 이어지는 조정

출항 시각은 이미 늦었고, 기상은 나빠지고, 앞바다에는 다른 선박이 접근한다. 먼 행성으로 보낼 장비는 오염을 막아야 하지만 열에 약하고, 발사 일정과 예산도 지켜야 한다. 이런 장면의 복잡계 사고는 마지막에 조작한 한 사람의 실수만으로 설명되지 않는다. 설계 때 남겨진 조건, 검사 책임의 경계, 반복 운항에서 굳어진 방식, 당시 이용할 수 있었던 정보가 한꺼번에 다음 선택을 밀어낸다.

효율을 택한 행동이 매번 실패를 만드는 것도 아니다. 자동차를 빨리 싣는 구조, 정시 운항, 혼잡 수역에서의 항로 조정, 우주선 멸균 부담의 완화는 각자의 목표를 달성하려는 현실적 조정이었다. 대부분의 날에는 이 조정 덕분에 시스템이 작동한다. 드물게 불리한 조건들이 연결되면, 평소 성공을 만든 방식이 같은 모양으로 원치 않은 결과에 기여한다.

이번 글은 여객선 Estonia, 해상 충돌 회피 규칙, Viking 화성 임무의 행성보호 사례를 결과를 알기 전의 조건으로 되돌려 읽는다. 이어서 실패 한 건만 깊게 보는 조사 습관을 넘어, 정상 운전과 성공적 복구에서 무엇을 배울지 다룬다. 제조, 도급정비, 물류의 세 장면은 원문 사실이 아닌 가상 적용 예시로 분리하고, 관리감독자가 연결면을 찾는 질문과 점검표를 제시한다.

복잡계 사고를 읽는 연쇄적 ETTO의 여섯 층

ETTO는 효율성과 철저함 사이의 절충이다. 효율성은 제한된 시간, 인력, 연료, 비용과 주의를 아끼며 목표를 달성하는 방향이다. 철저함은 더 확인하고, 여유를 두고, 예외를 검토하며, 되돌릴 가능성을 남기는 방향이다. 실제 업무에서는 어느 한쪽을 항상 최대로 선택할 수 없다. 작업자는 상황마다 무엇을 충분하다고 볼지 조정한다.

연쇄적 ETTO는 이런 조정이 여섯 층에서 이어지는 모습을 가리킨다. 첫째는 공간과 기능을 정하는 설계다. 둘째는 허용 기준과 책임을 나누는 승인·검사다. 셋째는 일정과 처리량을 관리하는 조직 운영이다. 넷째는 규칙을 실제 교통과 작업 흐름에 맞추는 현장 판단이다. 다섯째는 앞선 판단을 보여 주거나 가리는 정보 표현이다. 여섯째는 성공과 실패 가운데 무엇을 조사할지 정하는 학습이다.

Estonia 사례를 결과 이전의 운항 시스템으로 되돌려 보기

Estonia는 1979년에 건조된 자동차·여객 운반선으로, 처음에는 Viking Sally라는 이름으로 운항했다. 1993년부터 Estonia라는 이름으로 Tallinn과 Stockholm 사이를 오갔다. 1994년 9월 28일 발트해에서 침몰해 852명이 목숨을 잃었다. 이후 확인된 선체 상태에서는 선수 바이저의 잠금장치가 실패하고 바이저가 선체에서 분리된 모습이 드러났다.

결과를 알고 나면 선수 구조의 취약성과 감속하지 않은 운항이 명백한 경고처럼 보인다. 당시 시스템 안에서는 다른 그림이 있었다. 차량을 빠르게 싣고 내리는 것이 여객선의 중요한 기능이었고, 넓고 평평한 차량갑판은 그 기능을 효율적으로 만들었다. 정시 운항 역시 승객, 항만 작업과 연결된 일상적 성과였다. 배는 이전 항차들을 완료해 왔고, 문제없이 유지된 경험은 현재 방식이 가능한 범위 안에 있다는 판단을 뒷받침했다.

차량갑판의 효율과 침수 방어는 설계 단계에서 맞바뀌었다

로로 여객선은 자동차가 선내로 들어와 넓은 갑판을 따라 이동한 뒤 빠르게 빠져나갈 수 있어야 한다. 구획을 많이 나누면 물의 확산을 막는 데 유리하지만 차량 흐름과 적재 효율은 떨어질 수 있다. 반대로 연속된 넓은 차량갑판은 운영을 빠르게 하지만 물이 들어왔을 때 안정성을 잃는 경로를 크게 만든다. 효율과 철저함의 절충은 사고 당일이 아니라 선박의 기본 구조에 이미 들어 있었다.

선수 바이저는 바깥쪽에서 파도를 막고, 그 뒤의 램프는 차량갑판을 닫는 경계였다. 이 둘의 힌지와 잠금, 연결부가 각각 충분히 버티는지만 볼 것이 아니라 한 부품이 이탈할 때 다른 부품을 어떻게 당기는지도 봐야 했다. 원문은 바이저가 느슨해진 뒤 램프 상부에 걸린 상태로 램프를 잡아당겨 열리게 했고, 그 통로로 물이 차량갑판에 들어온 전개를 설명한다.

설계자와 검사기관 사이의 책임 공백도 하나의 ETTO였다

원문에 따르면 건조 과정에서 선수 바이저와 램프의 힌지·잠금 세부가 별도의 대상으로 구체적으로 확인되지 않았다. 선급은 이 세부에 대한 특정 요구가 없어 자기 책임 범위로 보지 않았고, 핀란드 당국은 선급이 다룰 항목으로 여겼다. 두 기관 모두 다른 쪽에서 확인하리라고 기대했다. 누군가 고의로 위험을 숨겼다는 설명보다, 업무 경계가 확인의 소유자를 비워 둔 구조에 가깝다.

조직 경계에서는 같은 문서가 서로 다른 뜻을 가진다. 설계자는 도면 승인으로 기능 요구가 확인됐다고 생각하고, 검사자는 명시된 기준에 없는 세부를 제작자 책임으로 볼 수 있다. 발주자는 인증이 있으면 전체 연결면까지 검토됐다고 받아들인다. 각자 자기 범위에서 합리적인 판단을 해도 인터페이스에는 주인이 남지 않을 수 있다.

운항 일정과 거친 기상이 만나며 남은 여유가 줄었다

사고 당일 밤에는 초속 15~20미터의 바람과 3~4미터의 유의파고가 있었다. 원문은 Estonia가 정상 속도를 유지하려 했다고 설명한다. 선수가 파도에 강하게 부딪히는 소식이 처음 선장에게 전해졌을 때, 선장은 운전 중인 엔진 수를 묻고 이미 한 시간 늦었다고 말했다. 일정 회복이라는 목표가 운항 판단에 실제 압력으로 작용한 장면이다.

곧 당직 사관은 충격음의 원인을 확인하도록 당직 선원을 보냈다. 선원은 차량갑판에 제때 도달하지 못했다. 이 행동 하나를 도덕적 결함으로 부르면, 이상 확인 경로가 한 사람의 이동과 시간에 얼마나 의존했는지 놓친다. 충격음이 어디서 발생했는지 즉시 볼 수 있는 정보, 선수 경계의 상태를 원격으로 확인하는 수단, 속도를 낮추는 명확한 기준이 있었다면 같은 인간 행동의 영향은 달라졌을 수 있다.

설계의 잠재 조건은 거친 파도와 속도가 만든 실제 하중을 만났고, 바이저가 이탈하며 램프까지 열렸다. 차량갑판으로 유입된 물은 넓은 평면을 따라 퍼져 선박의 안정성을 급격히 낮췄다. 이 시간축은 설계, 검사, 일정, 기상, 정보와 대응을 한 줄에 놓을 때만 보인다.

해상 충돌 회피 규칙 15·16·17이 요구하는 서로 다른 행동

국제해상충돌예방규칙은 정상적인 조건에서 선박들이 서로의 행동을 예측하고 충돌을 피하도록 공통 언어를 제공한다. 교차 상황에서 규칙 15는 다른 동력선이 자기 우현에 있는 선박이 피항해야 하며, 여건이 허용하면 상대 선수 앞을 가로지르지 않도록 요구한다. 규칙 16은 피항선이 일찍, 충분히 큰 동작으로 명확하게 피하도록 한다.

규칙 17은 유지선의 역할을 다룬다. 유지선은 원래의 침로와 속력을 유지해 상대가 예측할 기준을 제공하지만, 피항선이 적절한 조치를 하지 않는 것이 분명해지면 충돌을 피하기 위한 행동을 취할 수 있다. 따라서 규칙은 한 선박만 조심하면 끝나는 지시가 아니다. 두 선박이 상대의 위치, 속도, 행동 시점과 의도를 계속 해석하는 조정 구조다.

도버 해협의 반복 운항은 효율 선택을 관행으로 만든다

도버 해협처럼 교통량이 많은 수역에서 페리는 해협을 가로지르며 통항 선박과 반복해서 만난다. 규칙대로 피항하려면 속도를 줄이거나 우현으로 충분히 변침해 상대의 뒤로 지나가야 한다. 두 행동 모두 운항 시간을 늘릴 수 있다. 페리의 일정과 회전율이 계속 평가되는 조건에서는 상대의 앞을 먼저 가로지르는 선택이 짧은 시간 안에 효율적으로 보일 수 있다.

원문은 Chauvin과 Lardjane의 2008년 연구를 인용해, 도버 해협을 횡단하는 페리가 피항선인 상황 가운데 약 20%에서 우현이 아니라 좌현으로 변침해 규칙 15를 어겼다고 전한다. 이 수치는 책이 해당 연구에 귀속해 소개한 값이며, 모든 수역이나 모든 페리의 일반 비율로 확대할 수 없다. 다른 선박의 위치와 움직임, 속도 차이, 늦거나 모호한 동작이 얽힌 실제 장면은 단순한 두 선박 도식보다 복잡하다.

Viking 화성 임무는 철저함을 극단까지 끌어올린 사례였다

Viking 1과 Viking 2 착륙선은 1976년 화성에 도착했다. 임무 준비에서 중요한 문제 하나는 지구의 미생물로 화성을 오염시킬 가능성이었다. 당시에는 지구 미생물이 화성에서 성장할 확률을 경험적으로 정할 근거가 충분하지 않았다. 불확실성이 큰 만큼 오염 방지는 매우 보수적인 기준으로 다뤄졌다.

각 착륙선은 조립을 마치고 에어로셸 안에 들어간 뒤 약 120°C에서 모두 7일 동안 가열됐다. 그 뒤 에어로셸 위에는 바이오실드가 설치됐고, 발사체 상단이 Viking 궤도선·착륙선 조합을 지구 궤도 밖으로 보낸 다음에야 분리됐다. 열처리와 물리적 차폐를 겹친 방식은 지구 생물의 전달 가능성을 낮추기 위한 철저한 방어였다.

후속 완화는 당시 자료에 기대어 합리적으로 보였다

Viking 착륙선이 보낸 자료는 화성이 지구 생물이 살아가기에는 너무 건조하고 춥고, 자외선과 이산화탄소 조건도 가혹하다는 해석을 지지했다. 같은 수준의 가열을 모든 후속 임무에 적용할 필요가 작아 보였다. 이후에는 토양을 파거나 암석을 뚫는 부분만 멸균하고, 나머지 장비에는 제한된 수준의 포자를 허용하는 방식으로 요구가 완화됐다.

이 선택은 무지나 무관심의 결과라고 단정할 수 없다. 당시 이용할 수 있었던 자료를 바탕으로 임무 비용, 장비 보호와 오염 방지를 다시 조정한 결정이었다. 원문도 그 시점의 자료 해석에 따르면 정당화된 효율성과 철저함의 절충이었다고 설명한다. 사후 지식으로 당시 결정을 어리석다고 부르면 불확실한 과학 자료를 실제 기준으로 바꾸는 어려움이 사라진다.

물의 발견은 비가역 위험에서 철저함을 늦게 회복하는 문제를 보여 준다

후속 탐사에서는 화성에 물이 존재한다는 증거가 확인됐다. 물은 탐사선에 남은 지구 포자가 다시 활성화될 가능성을 키울 수 있다. 특히 가혹한 환경을 견디는 미생물이 남아 있다면 과학 관측 자체를 흐리거나 행성 환경에 영향을 줄 우려가 생긴다. 이에 더 철저한 멸균 방법을 다시 찾는 방향으로 관심이 이동했다.

문제는 강화된 기준이 과거의 선택을 되돌리지 못한다는 점이다. 이미 화성에 도달한 탐사선에서 오염이 발생했는지 완전히 확인하거나 회수하기 어렵다. 원문은 최소한으로 멸균된 임무나 충돌한 우주선 때문에 오염이 이미 일어났을 가능성을 제기한다. 여기서 교훈은 모든 임무에 무제한 비용을 쓰라는 것이 아니라, 결과가 크고 비가역적인 분야에서는 철저함을 너무 이르고 쉽게 줄이지 말라는 것이다.

NASA의 행성보호 안내는 태양계 천체의 전방 오염을 피하고, 지구로 돌아오는 외계 물질로 인한 유해한 영향을 막는 일을 행성보호의 두 방향으로 설명한다. 현재의 분류와 요구를 과거 Viking 결정에 그대로 소급해서는 안 되지만, 탐사와 오염 방지가 함께 설계돼야 한다는 원칙은 이어진다.

해양과 우주 사례를 나란히 놓으면 조정의 방향이 보인다

세 사례의 기술과 결과는 서로 다르다. 공통점은 한 사람이 한 번 잘못 선택했다는 데 있지 않다. 이전 단계에서 합리적으로 보였던 조정이 다음 역할의 정보와 여유를 바꾸고, 여러 조정이 같은 방향으로 몰릴 때 방어가 얇아진다는 데 있다. 그래서 개선도 사례의 표면을 베끼기보다 연결 구조를 찾아야 한다.

정상적인 성공도 사고와 같은 ETTO 조정으로 만들어진다

원문 장의 결론은 ETTO가 일이 잘못될 때만 나타나는 현상이 아니라고 강조한다. 항공편이 제시간에 출발하고 도착하는 일, 환자가 진단과 치료를 받는 일, 여객선이 일정을 지키는 일은 모두 사람들이 조건에 맞춰 수행을 조정하기 때문에 가능하다. 절차를 한 글자도 바꾸지 않고 모든 정보를 완벽히 확인해서가 아니라, 무엇을 지금 보고 무엇을 뒤로 미룰지 계속 선택하면서 시스템이 움직인다.

따라서 사고의 원인을 정상 업무와 완전히 다른 고장으로만 찾으면 놓치는 것이 생긴다. 실패한 날의 감속 지연과 성공한 날의 일정 회복은 같은 목표 압력에서 나올 수 있다. 다른 점은 파도, 설비 상태, 교통, 정보와 남은 여유가 어떻게 결합했는지다. 사람의 조정은 같아도 주변 조건이 달라지면 결과가 달라진다.

이 설명은 모든 행동을 정상이라며 허용하자는 뜻이 아니다. 정상 조정을 관찰해야 위험한 경계와 필요한 지원을 사고 전에 찾을 수 있다는 뜻이다. 실제 작업이 절차와 다른 이유를 묻고, 그 차이가 어떤 문제를 해결하며, 언제부터 되돌리기 어려워지는지 확인해야 한다.

실패 확률이 10의 마이너스 4승이라면 성공 9,999건이 남는다

실패는 눈에 띄고 조사할 이유가 분명하다. 시간과 인력이 제한된 조직은 피해가 큰 사건을 먼저 분석한다. 이것도 하나의 효율 선택이다. 하지만 실패만 표본으로 삼으면 시스템이 대부분의 시간에 어떻게 위험을 알아차리고, 서로의 빈틈을 메우며, 변화를 흡수하는지는 자료에서 빠진다.

원문은 실패 확률이 10^-4만 되어도 실패 한 건마다 성공 9,999건이 있다고 설명한다. 이 숫자는 특정 산업의 실제 사고율을 제시하는 통계가 아니라, 성공 사례의 압도적인 학습 가능성을 보여 주는 가정이다. 9,999건을 모두 조사할 필요는 없다. 대표적인 정상 작업, 일정이 촉박했지만 안전하게 끝난 작업, 이상을 일찍 발견해 되돌린 작업을 골라 실패와 같은 깊이로 볼 수 있다.

성공 조사에서는 “문제가 없었다”로 닫지 않는다. 계획과 실제 조건의 차이, 누가 먼저 약한 신호를 봤는지, 어떤 대화와 도구가 오해를 줄였는지, 어느 시점에 속도를 낮추거나 작업을 보류했는지 기록한다. 성공을 만든 조정이 개인의 경험에만 의존했다면 그 자체가 취약점이다. 다른 교대와 수급인도 사용할 수 있는 표시, 권한과 여유로 바꿔야 한다.

가상 적용 1 — 제조: 생산 회복과 보호정지 우회가 같은 방향으로 연결될 때

목표와 조건: 포장라인은 앞 공정 지연으로 당일 생산계획보다 뒤처져 있다. 제품 걸림을 감지하는 센서가 오염 때문에 간헐적으로 정지 신호를 내고, 정지 때마다 설비를 청소하면 생산 회복이 더 늦어진다. 야간조는 센서 감도를 임시로 조정하고 육안 관찰을 늘려 라인을 유지한다. 당장의 불필요 정지를 줄인 선택은 여러 시간 동안 문제없이 작동한다.

연결된 조정: 품질 담당은 최종 검사에서 이상을 잡을 수 있다고 보고, 설비 담당은 운전자가 걸림을 볼 것이라 생각한다. 교대 인계에는 감도 조정값이 남지만 오염 상태, 적용 이유와 종료조건이 같은 화면에 보이지 않는다. 주간조는 승인된 설정으로 이해하고 속도를 조금 높인다. 각 역할의 조정이 다른 역할의 방어를 전제로 한다.

끊을 지점: 임시 우회에는 소유자, 이유, 시작·만료 시각, 보완 조치와 복귀 조건을 붙인다. 속도 변경 전에는 센서 원신호와 물리적 걸림 상태를 함께 확인하고, 보호정지에 영향을 주는 조정은 품질검사와 독립된 설비 방어를 남겨야 한다. 운전 전 확인과 신호 절차 해설처럼 사람 위치, 작업방법과 방호상태를 확인하고 이상을 조치한 뒤 기동한다. 신호는 앞선 확인을 대신하지 않고 확인을 닫는 통제여야 한다.

가상 적용 2 — 도급정비: 계약 경계에서 확인의 소유자가 비는 과정

목표와 조건: 원청 생산팀은 정기보수 종료 시각에 맞춰 설비를 돌려야 하고, 수급인 기계팀은 정해진 범위의 베어링 교체를 끝내야 한다. 전기 격리는 원청 전기팀, 방호울 복구는 다른 수급인, 시험운전 승인은 생산팀의 범위로 나뉜다. 각 팀의 작업지시서는 자기 항목의 완료를 정확하게 표시할 수 있다.

연결된 조정: 기계팀의 “작업 완료”가 공동 대화에서는 전체 정비 완료로 줄어든다. 전기팀은 생산팀이 기동 전 현장을 볼 것이라 믿고, 생산팀은 정비 감독자가 방호울과 공구 철수를 확인했다고 받아들인다. 여러 서명이 있어도 모두 상대가 연결면을 닫았다는 같은 가정에 의존하면 독립된 방어가 아니다.

끊을 지점: 기계 작업 종료, 에너지 격리 해제, 방호 복구, 인원·공구 철수, 무부하 시험, 생산 반환을 서로 다른 상태로 둔다. 원청과 수급인이 같은 설비 앞에서 상태를 대조하고, 누락된 주체가 있으면 반환 승인을 열지 않는다. 방호장치 해체 금지와 복구·기능시험 해설처럼 정비 종료와 방호 복구, 기능 확인을 분리해 기록하고 생산 반환 전에 실제 상태를 함께 확인한다.

가상 적용 3 — 물류: 출고시간과 적재 안정성의 여유가 동시에 줄어들 때

목표와 조건: 창고에는 마감 직전 긴급 출고가 들어오고, 지정 차량은 이전 운송 지연으로 늦게 도착한다. 배차 담당은 출고 순서를 바꿔 대기시간을 줄이고, 상차팀은 먼저 준비된 화물을 통로 가까이 옮긴다. 차량 적재함의 고정점 배치가 평소와 다르지만 사진은 배차 메신저에만 있고 공용 작업화면에는 도착 상태만 표시된다.

연결된 조정: 상차팀은 도착 표시를 적재 준비 완료로 받아들이고, 운전자는 창고가 화물 크기와 고정구를 확인했을 것이라 생각한다. 지게차 동선은 출고 회복을 위해 좁아지고, 고정구 부족은 상차 뒤에 보완할 항목으로 밀린다. 각각은 몇 분을 절약하지만 차량 적합성, 동선과 고정 확인의 여유를 같은 방향으로 줄인다.

끊을 지점: 차량 도착, 적합성 확인, 상차 승인, 고정 완료와 출차 승인을 별도 상태로 나눈다. 긴급 출고일수록 운전자와 상차 책임자가 차량, 화물, 고정구, 동선 예외를 실물 앞에서 되말한다. 일정 회복 성과에는 안전한 보류와 재배차도 포함해, 확인 때문에 생긴 지연이 개인의 실패로 기록되지 않게 한다.

현장 관찰은 위반보다 목표와 연결면에서 시작한다

관리감독자가 절차 준수 여부만 들고 현장에 가면 작업자는 실제 조정을 숨기기 쉽다. 먼저 정상 목표와 조건을 묻는 편이 낫다. 오늘 반드시 맞춰야 할 생산량과 출고 시각은 무엇인지, 인원이 부족한 구간은 어디인지, 설비가 반복해서 멈추는 이유는 무엇인지, 앞 공정의 지연을 어느 단계가 흡수하는지 듣는다.

• 생산, 일정, 품질, 안전 가운데 지연이나 미달이 가장 빨리 드러나고 평가되는 목표는 무엇인가?
• 공식 순서대로 하면 시간이 부족한 구간은 어디이며, 작업자는 그 차이를 어떻게 메우는가?
• 설계자, 원청, 수급인, 운전자와 점검자가 서로 상대가 확인한다고 믿는 항목은 무엇인가?
• 앞 단계의 완료 표시가 다음 역할에서 더 넓은 승인 의미로 바뀌는 곳은 어디인가?
• 문제없이 끝난 최근 작업에서 생략, 우회, 재배치와 구두 조정은 무엇이었는가?
• 작업자가 속도를 낮추거나 멈추면 일정·생산 지표에서 불리해지는 구조가 있는가?
• 이상 징후가 한 사람의 이동, 기억, 개인 메신저나 구두 보고에만 의존하는가?
• 한 방어가 실패했을 때 다음 방어가 같은 정보와 가정에 의존하지 않고 실제로 남는가?
• 결정이 틀렸을 때 되돌릴 수 있는 마지막 시점과, 그 뒤 결과의 비가역성은 어느 정도인가?
• 성공한 작업에서 위험을 일찍 발견하고 회복한 사람에게 어떤 시간, 정보와 권한이 있었는가?

질문의 목적은 우회를 승인하는 것이 아니다. 절차와 실제 업무의 차이를 공개해서 위험 경계를 정하고, 필요한 조정을 조직이 지원하도록 만드는 것이다. 숨은 조정은 통제할 수 없지만, 드러난 조정은 작업계획, 인력, 화면과 평가 기준으로 바꿀 수 있다.

관리감독자 점검표: 연쇄의 접점과 비가역성을 확인한다

점검표를 새 서류 한 장으로만 추가하면 철저함이 오히려 중요한 변화를 가릴 수 있다. 기존 승인과 기록에서 중복을 줄이고, 결과가 크며 되돌리기 어려운 연결면에 확인을 집중한다. 판정이 모호하면 확인자를 더 늘리기보다 상태 정의와 책임 소유자를 먼저 분명히 한다.

연쇄적 ETTO를 바꾸는 7단계 학습 루프

1. 정상 작업 선택: 사고뿐 아니라 일정이 촉박했던 성공, 이상을 조기에 발견한 작업, 보류 뒤 안전하게 재개한 작업을 표본으로 고른다.
2. 결과 가리기: 마지막 결과를 잠시 빼고 당시 목표, 시간, 정보, 자원과 역할별 화면을 복원한다. 사후 지식을 판단 시점에 넣지 않는다.
3. 국소 조정 기록: 각 역할이 무엇을 충분하다고 봤고 어떤 확인을 줄이거나 다른 사람에게 기대했는지 적는다. 조정이 해결한 현실적 문제도 함께 남긴다.
4. 연결 지도 작성: 설계, 검사, 운영, 현장 판단, 정보와 학습의 화살표를 그린다. 같은 가정에 의존하는 방어는 독립 방어로 세지 않는다.
5. 비가역 경계 선정: 여유가 사라지는 마지막 시점과 결과가 되돌릴 수 없는 지점을 찾는다. 이 경계에 보수적 기준과 중지 권한을 먼저 배치한다.
6. 작게 바꾸고 비교: 한 설비, 한 항로, 한 교대에서 상태 분리, 일정 여유, 독립 확인을 시험하고 작업시간과 조기 발견을 함께 본다.
7. 새 우회 관찰: 변경 뒤 서류 부담, 일괄 확인, 개인 메신저 같은 새 조정이 생겼는지 정상 업무를 다시 보고 첫 단계로 돌아간다.

이 루프의 목적은 완벽한 절차를 만드는 것이 아니다. 완벽함을 요구할수록 실제 업무와 문서의 간격이 커질 수 있다. 위험한 경계에는 철저함을 보호하고, 그 밖의 중복은 줄이며, 작업자가 조정 사실을 숨기지 않고 말할 수 있게 해야 한다. 학습은 절차와 현실의 차이를 없애는 일보다 그 차이가 위험한 방향으로 연결되지 않게 관리하는 일에 가깝다.

내일부터 바꿀 질문은 누가 틀렸는가가 아니다

다음 교대에서 완료 표시 하나를 골라 그 범위를 확인해 보자. 설계 승인, 정비 완료, 차량 도착, 피항 개시처럼 여러 역할이 다르게 이해할 수 있는 상태가 좋다. 누가 확인했고, 무엇까지 확인했으며, 다음 사람은 어떤 의미로 받아들이는지 나란히 적는다. 차이가 있으면 상태를 나누고 연결면의 소유자를 정한다.

그다음 최근 문제없이 끝난 작업 한 건을 사고 조사처럼 본다. 시간 압박이 있었는데도 누가 약한 신호를 발견했는지, 무엇이 속도를 낮추거나 보류할 여유를 줬는지 확인한다. 개인의 숙련과 선의에만 기대었다면 다른 사람도 쓸 수 있는 정보와 권한으로 옮긴다.

참고자료

1. Erik Hollnagel, The ETTO Principle: Efficiency-Thoroughness Trade-Off: Why Things That Go Right Sometimes Go Wrong, CRC Press, 2009. Estonia, 해상 충돌 회피, Viking 화성 임무와 정상적 성공 학습의 기준 자료.
2. International Maritime Organization, Convention on the International Regulations for Preventing Collisions at Sea, 1972. COLREG의 공식 범위와 충돌 회피 규칙 안내.
3. Estonian Safety Investigation Bureau, Estonia 1994 official documents index. Estonia 관련 공식 조사·기술 문서 색인.
4. NASA Office of Safety and Mission Assurance, Planetary Protection. 전방 오염과 제한적 지구 귀환에 관한 행성보호 개요.