[항공사고 사례분석] 에티오피아항공 302편 (보잉 737 MAX) - 원인과 교훈

에티오피아항공 302편 사고 분석 | Boeing 737 MAX MCAS 오작동과 운항 중단의 전말

2019년 3월 10일, 에티오피아항공 302편에 탑승한 157명의 승객 및 승무원 전원이 아디스아바바 인근에서 발생한 사고로 안타깝게 희생되었습니다. 삼가 고인들의 명복을 빕니다. 이 글은 희생자 분들을 기억하며, 동일한 사고가 반복되지 않도록 기술적 관점에서의 분석에 집중합니다.
 

1. 사고 개요

에티오피아항공 302편(Ethiopian Airlines Flight 302)은 에티오피아 아디스아바바 볼레 국제공항(ADD)을 출발하여 케냐 나이로비 조모 케냐타 국제공항(NBO)으로 향하던 정기 여객편이었습니다. 이륙 직후부터 항공기의 기수(Nose)가 비정상적으로 하향 조종되는 현상이 반복 발생하였으며, 승무원은 이를 수동으로 회복하려 시도하였으나 이륙 후 약 6분 만에 지면과 충돌(Controlled Flight Into Terrain, CFIT에 근접한 형태)하여 전원 사망하는 참사가 발생하였습니다.
이 사고는 불과 5개월 전인 2018년 10월 발생한 라이온에어 610편(Lion Air Flight 610) 사고와 동일한 시스템, 동일한 메커니즘으로 발생하였습니다. 두 사고는 결과적으로 Boeing 737 MAX 계열 항공기의 전 세계 운항 중단(Grounding)으로 이어졌으며, 항공 역사상 가장 광범위하고 장기적인 기종 운항 중단 조치 중 하나로 기록됩니다.

08:38	볼레 국제공항 활주로 07R에서 이륙 (Takeoff)
08:38:44	이륙 직후 왼쪽 받음각 센서(AOA Sensor) 비정상 수치 기록 시작. 스틱 쉐이커(Stick Shaker) 작동
08:38:44 이후	MCAS(Maneuvering Characteristics Augmentation System) 최초 작동, 수평안정판(Horizontal Stabilizer) 기수 하향 트림 시작
08:39~08:43	승무원 전기 트림 스위치로 수평안정판 반복 수동 조작 시도. MCAS 재작동 반복 발생
08:43:11	항공기 지상 충돌(Impact), 157명 전원 사망. 이륙 후 약 6분 경과
2019. 3. 11.	중국 민항총국(CAAC), 737 MAX 운항 중단 최초 명령. 이후 각국 규제당국 잇따라 운항 금지
2019. 3. 13.	미국 FAA, Boeing 737 MAX 8 및 MAX 9 운항 중단(Emergency Order) 발령
2020. 11.	FAA, 소프트웨어 업데이트 및 조종사 훈련 조건 부 후 운항 재개 승인

 

2. 사고 항공기 제원

기종	Boeing 737 MAX 8 (737-8 MAX)
엔진	CFM International LEAP-1B x 2 (고바이패스비 터보팬 엔진, High-Bypass Turbofan)
등록 번호	ET-AVJ
기령	약 4개월 (2018년 11월 인도)
좌석 구성	162석 (단일 클래스 구성)
최대 이륙 중량 (MTOW)	약 82,191 kg
엔진 장착 위치 특이사항	LEAP-1B 엔진은 이전 세대(737 NG) 대비 직경이 크고 전방 상향 위치에 장착됨 — 이것이 MCAS 도입의 원인이 됨
AOA 센서 구성	좌우 2개 장착. 단, 당시 MCAS는 단일 센서(Single AOA Sensor) 입력만으로 작동하도록 설계됨 — 핵심 결함
MCAS 작동 방식	고받음각(High AOA) 감지 시 수평안정판(Horizontal Stabilizer)을 자동으로 기수 하향 방향으로 트림

핵심 포인트 | 왜 MCAS가 도입되었는가?

• 737 MAX는 기존 737 NG 대비 연비 효율을 높이기 위해 더 크고 연료 효율적인 LEAP-1B 엔진을 채택하였습니다.
• 엔진 직경이 커지면서 지상 간격(Ground Clearance) 확보를 위해 엔진을 날개 앞전(Leading Edge) 앞쪽 상단에 장착하였습니다.
• 이 장착 위치 변경으로 인해 고받음각(High AOA) 상황에서 항공기가 기수 들림(Pitch-Up) 특성을 갖게 되었습니다.
• 보잉은 이를 소프트웨어 시스템인 MCAS로 보완하기로 결정하였으며, 조종사에게 별도 훈련 없이 운영될 수 있도록 설계하였습니다 — 이것이 근본적 설계 철학의 오류였습니다.

 

3. 원인 분석

3-1. MCAS의 구조적 결함 — 단일 센서 의존 설계 (Single Point of Failure)

MCAS(Maneuvering Characteristics Augmentation System)는 항공기 좌측 날개에 장착된 단 하나의 받음각 센서(AOA Sensor, Angle of Attack Sensor) 입력만을 기반으로 작동하도록 설계되었습니다. ET-302편의 경우, 이륙 직후 조류 충돌(Bird Strike) 또는 물리적 손상으로 인해 좌측 AOA 센서가 비정상 수치인 약 74.5도를 지속적으로 출력하기 시작하였습니다.
MCAS는 이 허위 고받음각 신호를 실제 위험으로 인식하여 수평안정판(Horizontal Stabilizer)을 기수 하향(Nose-Down) 방향으로 자동 트림하였습니다. 승무원이 조종간(Control Column)을 당기거나 전기 트림 스위치(Electric Trim Switch)로 반대 조작을 하면, MCAS는 일시 중지되지만 약 5초 후 재작동하여 동일한 하향 트림을 반복하는 구조였습니다. 이 반복적 오작동(Repetitive Uncommanded Nose-Down Input)이 지속됨에 따라 조종사는 점차 항공기 자세를 회복하기 어려운 상황에 몰리게 되었습니다.

3-2. 라이온에어 610편 사고 이후 적절한 시정 조치 미이행

ET-302편 사고 발생 5개월 전인 2018년 10월 29일, 인도네시아 라이온에어 610편(PK-LQP)이 동일한 MCAS 오작동으로 자바해에 추락하여 189명 전원이 사망하였습니다. 당시 Boeing과 FAA는 긴급 비행 운항 지침(Emergency Airworthiness Directive, Emergency AD)을 발행하였으나, 그 내용은 기존 절차인 "Runaway Stabilizer(런어웨이 스태빌라이저)" 비정상 체크리스트를 재숙지할 것을 강조하는 수준에 그쳤습니다.
근본적인 MCAS 소프트웨어 수정이나 조종사 시뮬레이터 훈련 의무화는 이루어지지 않았으며, 일부 조종사들은 MCAS의 존재 자체를 조종사 운항 매뉴얼(FCOM, Flight Crew Operating Manual)에서 확인할 수 없었습니다. 에티오피아항공 302편 승무원들은 라이온에어 사고 이후의 긴급 지침을 숙지하고 있었음에도 불구하고, 실제 상황에서 절차를 완전히 적용하는 데 한계가 있었습니다.

3-3. Runaway Stabilizer 절차의 물리적 한계

기존 "Runaway Stabilizer" 비정상 절차는 STAB TRIM CUTOUT 스위치를 차단(Cutout)하여 자동 트림을 완전히 차단하고, 이후 수동 트림 휠(Manual Trim Wheel)로 수평안정판을 조종하도록 규정하고 있습니다. 그러나 MCAS가 반복 작동하여 수평안정판이 매우 큰 각도(약 2.3도 아래)로 이미 트림된 상태에서, 고속(V/S 속도 초과 우려 상황)으로 비행 중인 항공기에서 수동 트림 휠을 물리적으로 조작하는 것은 극히 어렵습니다.
항공기가 고속 비행 중일 때 수평안정판에 가해지는 공기력(Aerodynamic Load)이 매우 커서, 수동 트림 휠 조작에 필요한 물리적 힘이 인간의 능력 범위를 초과할 수 있습니다. FDR(Flight Data Recorder) 분석에 따르면, 승무원은 실제로 STAB TRIM CUTOUT 스위치를 차단하였다가 일정 시점에 다시 활성화하였는데, 이는 수동 트림 조작이 불가능할 정도의 공기력 부하가 작용하고 있었음을 시사합니다. 이 결정이 사고를 막을 수 있었던 마지막 방어선을 제거한 결과로 분석됩니다.

항공기	Boeing 737 MAX 8 (PK-LQP)	Boeing 737 MAX 8 (ET-AVJ)
AOA 센서 오류	우측 AOA 센서 비정상 수치 출력	좌측 AOA 센서 비정상 수치 출력
MCAS 작동	반복 기수 하향 트림 발생	동일 패턴 반복 발생
비행 지속 시간	약 13분	약 6분
인명피해	189명 전원 사망	157명 전원 사망
시정 조치 상태	—	사고 전 Emergency AD 발행되었으나 근본 수정 미완료

 

4. 사고 구조 분석 — Swiss Cheese Model 관점

James Reason의 스위스 치즈 모델(Swiss Cheese Model)은 사고가 단일 원인이 아닌 복수의 방어선(Defense Layer)에 동시에 존재하는 구멍(Hole)이 일직선으로 정렬될 때 발생함을 설명합니다. ET-302편 사고 역시 설계, 인증, 운항 지침, 조종사 훈련, 현장 대응의 모든 방어선에 결함이 존재하였으며 이것이 중첩되어 최악의 결과로 이어졌습니다.

Swiss Cheese Model | ET-302편 방어선 분석

층위	방어선 (Defense Layer)	구멍 (Failure / Hole)
1	설계 안전성 (Design Safety)	MCAS가 단일 AOA 센서(Single Sensor)에만 의존하도록 설계됨. 센서 고장 시 대응 로직 부재. 조종사 개입 없이 반복 작동 가능한 구조
2	형식 인증 (Type Certification)	FAA가 MCAS의 위험성을 과소 평가하여 항공기 설계 대형 변경으로 분류하지 않음. 추가 승무원 훈련 요건 면제
3	사후 시정 조치 (Corrective Action)	라이온에어 사고 이후 Emergency AD가 발행되었으나 MCAS 소프트웨어 근본 수정 없이 기존 절차 강조에 그침
4	조종사 훈련 (Crew Training)	MCAS의 존재 및 작동 원리가 FCOM에 명시되지 않음. 시뮬레이터 훈련 의무화 미실시. 승무원은 시스템을 완전히 이해하지 못한 채 운항
5	현장 대응 (Crew Response)	Runaway Stabilizer 절차 적용 시도하였으나 고속 비행 중 수동 트림 조작의 물리적 한계. CUTOUT 스위치 재활성화로 MCAS 재작동 허용

 

5. 항공사 공채 시험 관련 포인트

시험 출제 포인트 | 이 사고에서 반드시 알아야 할 개념

• MCAS (Maneuvering Characteristics Augmentation System): 정의, 작동 조건(High AOA), 작동 방식(Stabilizer Trim), 도입 배경(엔진 위치 변경) 완전 암기
• AOA Sensor (Angle of Attack Sensor): 기능, 위치, 단일 센서 의존의 문제점, 이중화(Redundancy) 필요성
• Runaway Stabilizer: 정의(비정상 수평안정판 자동 트림), 비정상 절차(STAB TRIM CUTOUT 스위치 차단, 수동 트림 조작), 이 사고에서 절차 한계 이유
• 737 MAX Grounding: 2019년 3월 전 세계 운항 중단, 2020년 11월 FAA 운항 재개 승인 — 날짜와 배경 함께 암기
• Single Point of Failure: 단일 시스템 의존으로 인한 사고 위험성, 이중화 설계의 중요성
• Swiss Cheese Model: 방어선 개념, ET-302 사례 적용 — 인적 요소(Human Factors) 문제에서 자주 출제
• Emergency Airworthiness Directive (Emergency AD): 정의, 발행 주체(FAA 등 규제당국), 구속력
• FCOM (Flight Crew Operating Manual): 조종사 운항 매뉴얼, 시스템 정보 미기재 문제의 의미

암기 포인트 | 면접 및 필기에서 단골 질문 형태

• "737 MAX가 운항 중단된 이유를 설명하시오" — MCAS 결함, 두 사고 연속 발생, 단일 센서 의존 설계 답변 필수
• "Runaway Stabilizer 비정상 절차를 설명하시오" — CUTOUT 스위치 차단 후 수동 트림, 이 사고에서의 한계 언급
• "MCAS란 무엇인가" — 도입 배경(엔진 위치), 기능(Pitch-Up 경향 보정), 결함(단일 센서, 과도한 트림 권한) 3단계 답변
• "항공기 설계에서 Redundancy(이중화)가 중요한 이유를 설명하시오" — 이 사고 사례 적용

MCAS 소프트웨어	좌우 양쪽 AOA 센서 데이터를 비교 교차 검증하도록 로직 수정. 두 센서 간 차이 5.5도 이상 시 MCAS 비활성화
MCAS 트림 권한	단회 최대 트림 각도를 기존 2.5도에서 0.65도로 대폭 축소. 1회 작동 후 재작동 전 조종사 조작 필요
AOA 불일치 경고	AOA Disagree 경보를 표준 장비로 의무 장착 (기존에는 옵션)
조종사 훈련	시뮬레이터 기반 MCAS 비정상 훈련 의무화. FCOM에 MCAS 상세 내용 추가 기재
운항 재개	FAA 2020년 11월, EASA 2021년 1월, 한국 MOLIT 2021년 3월 순차적 운항 재개 승인

 

6. 조종사 시각에서 본 교훈

CPL을 보유하고 직접 공채를 준비한 경험자로서, 이 사고를 바라볼 때 가장 마음이 무거운 부분은 "조종사가 모르는 시스템이 항공기를 조종하고 있었다"는 사실입니다. 우리가 훈련을 통해 배우는 모든 비정상 절차(Abnormal Procedure)는 "내가 이해하는 시스템의 이상을 내가 이해하는 절차로 회복한다"는 전제 위에 성립합니다. 그러나 ET-302편의 승무원들은 MCAS의 존재와 작동 원리를 공식 매뉴얼에서 확인조차 할 수 없었습니다.

조종사 시각 | 이 사고에서 얻는 3가지 핵심 교훈

• 시스템 이해의 필수성 (System Mastery): 조종사는 운항하는 항공기의 모든 자동화 시스템(Automation)의 작동 원리, 작동 조건, 비활성화 방법을 반드시 숙지하여야 합니다. "아마도 이 버튼일 것이다"가 아니라 "이 버튼은 이 조건에서 이 결과를 만든다"는 확신이 있어야 합니다.
• 자동화에 대한 비판적 신뢰 (Calibrated Trust in Automation): 자동화 시스템은 강력한 도구이지만 신뢰의 대상이 아닌 감시(Monitoring)의 대상입니다. 비정상적인 조작력(Unusual Control Force), 비정상적인 자세 변화(Unexpected Attitude Change)가 감지될 때 즉시 자동화를 의심하고 수동 조종(Manual Flight)으로 전환하는 판단이 중요합니다.
• 절차의 물리적 실행 가능성 검증 (Procedural Feasibility): Runaway Stabilizer 절차는 교범(Checklist)에 존재하지만, 고속 비행 중 수동 트림 조작이 물리적으로 가능한지는 반드시 훈련을 통해 체득하여야 합니다. 절차를 아는 것과 실제 상황에서 실행할 수 있는 것은 전혀 다른 영역입니다.

이 사고는 개별 조종사의 판단 오류나 기술 부족으로 설명할 수 있는 사고가 아닙니다. 설계 결함, 인증 프로세스의 부실, 사후 조치의 불충분함이 복합적으로 작용한 조직적 사고(Organizational Accident)입니다. 그러나 수험생 여러분이 미래의 조종사로서 이 사고에서 가져가야 할 메시지는 분명합니다.
"내가 모르는 시스템이 내 항공기에 존재해서는 안 된다"는 원칙, 그리고 비정상 상황에서 자동화를 과감히 분리하고 기본으로 돌아가는(Back to Basic) 판단력이야말로 이 사고가 우리에게 남긴 가장 중요한 교훈입니다. 공채 면접에서 이 사고를 다룰 때, 단순히 사고 개요를 암기하는 것이 아니라 이러한 시스템적 사고(System Thinking)와 조종사로서의 자세를 함께 표현할 수 있어야 합니다.

최종 암기 정리 | 공채 면접 핵심 키워드

• MCAS — 단일 AOA 센서 의존 — 반복 기수 하향 트림 — 조종사 미인지
• Runaway Stabilizer — STAB TRIM CUTOUT — 수동 트림 — 고속에서 물리적 한계
• 라이온에어 610편(2018.10) + 에티오피아항공 302편(2019.3) = 737 MAX 전 세계 운항 중단
• FAA 운항 재개 승인: 2020년 11월 / 개선사항: 이중 센서 교차검증, 트림 권한 축소, 훈련 의무화
• Swiss Cheese Model: 설계 — 인증 — 시정조치 — 훈련 — 현장대응 5개 방어선 동시 실패

---

본 글은 Aviation World(aviationworld.tistory.com)에 게재된 항공사 공채 대비 사고 분석 시리즈입니다. 사고 조사 보고서(EAIB Final Report), FAA Emergency AD, NTSB 자료 및 공개된 FDR/CVR 분석 내용을 바탕으로 작성하였습니다. 희생자 분들의 명복을 빕니다.
```