- 1979년 쓰리마일 아일랜드 원자력 발전소 사고에서 관제실 운영자들은 수백 개의 경보가 동시에 작동하는 환경에서 냉각수 유출이라는 핵심 상태 변화를 28분 동안 인지하지 못했습니다. 케메니 위원회 보고서는 정보 과잉이 판단 실패의 구조적 원인이었다고 기록했습니다.
- 엔즐리의 1995년 연구는 동적 환경에서 운영자의 상황 인식이 표시되는 정보의 양이 아니라 결정에 필요한 신호를 인지하는 능력에 달려 있다고 분석했습니다. 정보가 많을수록 중요한 신호가 잡음에 묻힐 가능성이 높아집니다.
- 운영 관제 설계의 핵심은 '이 지표가 바뀌면 내가 취할 행동이 있는가'라는 질문에 답이 없는 데이터는 화면에서 제거하는 것입니다.
수백 개의 경보가 울릴 때 핵심 신호는 사라집니다
1979년 3월 28일 오전 4시, 펜실베이니아 주 쓰리마일 아일랜드 원자력 발전소 관제실에서 냉각 계통 이상이 발생했습니다. 2분 안에 100개 이상의 경보가 동시에 울렸습니다. 운영자들은 어느 신호가 원인이고 어느 신호가 결과인지 구분할 수 없었습니다. 냉각수 유출을 가리키는 핵심 지표는 화면에 있었지만 운영자들은 28분 동안 이를 인지하지 못했습니다. 지미 카터 대통령이 구성한 케메니 조사위원회는 1979년 보고서에서 관제실의 정보 설계가 운영자의 판단을 도운 것이 아니라 방해했다고 결론 내렸습니다.
엔즐리는 1995년 Human Factors 저널에 발표한 연구에서 동적 환경에서의 상황 인식을 세 단계로 정의했습니다. 상황 요소를 인지하는 단계, 현재 상태를 이해하는 단계, 다음 상태를 예측하는 단계입니다. 정보 과잉은 첫 번째 단계인 인지를 방해합니다. 화면에 100개의 지표가 있을 때 운영자는 중요한 변화가 어디에서 일어났는지 즉시 알기 어렵습니다. 탐색 자체에 인지 자원이 소모됩니다.
이것은 원자력 발전소만의 문제가 아닙니다. 항공관제, 군사 지휘, 기업 운영 센터에서 같은 패턴이 반복됩니다. 화면에 표시되는 지표 수가 늘어날수록 운영자가 정작 이상이 발생한 지점을 찾는 데 걸리는 시간이 늘어납니다. 데이터를 더 보여주는 것이 더 안전한 운영을 만든다는 직관은 현장에서 반복적으로 틀렸습니다.
데이터를 더 표시하고 싶어지는 이유와 그 결과
운영 관제 시스템을 설계할 때 지표를 추가하는 방향으로 결정이 기울어지는 이유는 세 가지입니다. 첫째, 지표가 하나 더 있으면 문제가 생겼을 때 원인을 더 빨리 찾을 수 있을 것처럼 보입니다. 더 많이 보는 것이 더 잘 아는 것이라는 믿음입니다. 둘째, 지표를 제거하는 결정에는 책임이 따릅니다. 나중에 제거한 지표가 사고 원인과 관련됐을 경우 설계자가 비판을 받습니다. 셋째, 추가하는 것이 제거하는 것보다 쉽습니다. 지표를 추가할 때는 요청 이유가 명확하지만 제거할 때는 '없어도 된다'는 것을 증명해야 합니다.
이 세 가지 이유가 합쳐지면 관제 화면은 시간이 갈수록 복잡해집니다. 운영자가 마주하는 것은 정보의 풍요가 아니라 잡음의 증가입니다. 어떤 지표가 지금 당장 주의가 필요한 것인지, 어떤 지표는 정상 범위 안에서 움직이는 것인지를 판단하는 것 자체가 업무가 됩니다.
수소충전소 통합관제 시스템 설계에서 같은 문제가 반복됐습니다. 안전 관련 요구사항이 늘어날수록 화면에 표시해야 한다는 지표가 누적됐습니다. 정작 운영자가 실제 이상을 발견하는 데 걸리는 시간은 지표가 늘어날수록 짧아지지 않았습니다. 화면이 복잡할수록 정상 상태를 파악하는 것 자체에 에너지가 소모됐고, 이상 상태를 인지하는 것이 늦어졌습니다.
통합관제 설계에서 배운 것
Ahn Partners 판단: 수소충전소 통합관제 운영 현장 경험에서 나온 제안입니다. 통제된 연구 결과가 아니라 실무 관찰입니다.
지표를 추가하기 전에 '이 지표가 정상 범위를 벗어났을 때 내가 취할 행동이 있는가'를 먼저 묻습니다. 행동이 없는 지표는 화면에 있어야 할 이유가 없습니다. 정보를 보여주는 것이 목적이 아니라 결정을 빠르게 하는 것이 목적이기 때문입니다. 이 기준을 적용하면 기존 화면에서 제거할 수 있는 지표가 절반 이상인 경우가 많습니다.
관제 화면을 세 층으로 구분하는 것이 효과적이었습니다. 첫째 층은 지금 당장 개입이 필요한 상태를 보여주는 층으로 화면 전체에 두세 개를 넘지 않게 합니다. 둘째 층은 추세를 보는 층으로 방향이 이상한 지표가 있는지 확인합니다. 셋째 층은 기록 층으로 평소에는 보지 않고 문제가 생겼을 때 원인을 찾기 위해 들어갑니다. 이번 주에 할 수 있는 첫 번째 조치는 현재 운영 대시보드의 지표 목록을 꺼내서 지표마다 '이것이 변하면 내가 해야 할 행동이 있는가'를 물어보는 것입니다.
점검 목록
- 현재 운영 대시보드에 있는 지표 중 '이 지표가 변하면 내가 해야 할 행동'이 명확하게 정해진 것은 몇 개인가
- 새로운 지표를 추가하기 전에 '이 지표 대신 기존 지표 하나를 제거한다면 어떤 것인가'를 묻는 기준이 있는가
- 운영 이상 상황이 발생했을 때 담당자가 화면을 보고 30초 안에 원인 범주를 파악할 수 있는가
출처
- Report of the President's Commission on the Accident at Three Mile Island (The Kemeny Report, 1979). 쓰리마일 아일랜드 원자력 발전소 사고 원인을 조사한 대통령 직속 위원회 보고서입니다. 정보 과잉과 관제실 인간공학 설계 문제가 사고에 구조적으로 기여했다는 결론을 담고 있습니다.
- Endsley, M. R. (1995). Toward a theory of situation awareness in dynamic systems. Human Factors, 37(1), 32-64. 동적 환경에서 운영자의 상황 인식을 인지, 이해, 예측 세 단계로 정의하고, 정보 과잉이 인지 단계를 방해하는 메커니즘을 분석한 연구입니다.