요약
스페인 고속철도 충돌로 최소 69명이 숨졌고, 관제 지시가 조사의 초점에 올랐습니다.
BBC가 마드리드 남쪽 약 140km 지점에서 수요일 아침에 일어난 사고를 정리했습니다. 달리던 렌페 고속열차가 멈춰 있던 이리오 열차의 뒤를 들이받았고, 2013년 이후 스페인에서 가장 큰 철도 사고가 됐습니다.
왜 중요한가
- 장관 발언과 유출 녹음은 시스템 고장 자체보다 그 뒤의 관제 결정을 사고 원인으로 가리킵니다.
- 올해 1월 46명이 숨진 사고에 이은 두 번째 고속철도 참사여서 철도 시설 전반으로 비판이 번지고 있습니다.
- 11월 29일 총선을 앞두고 있어 사고 책임과 인프라 문제가 정치 쟁점으로 떠올랐습니다.
핵심 내용
- 8시 30분쯤 컴퓨터 장애로 열차 6대가 멈췄고, 8시 53분에 충돌이 일어났습니다.
- 오스카르 푸엔테 교통부 장관은 관제 센터가 속도 제한 없이 운행 재개를 허가했다고 밝혔습니다.
- 유출 녹음에서 관제사는 LZB(열차 속도 감시 장치)를 재접속한 뒤 정상 속도로 달리라고 렌페 기관사에게 지시했습니다.
- 통상 절차라면 기관사는 눈으로 앞을 살피며 시속 40km 이하로 달려야 합니다.
- 이리오 기관사가 출발할 수 없다고 다시 알린 녹음이 있어, 관제사가 정차 사실을 통보받은 것으로 보입니다.
HN 반응
- 여러 이용자는 LZB 장애로 가상 구간이 사라져 옛 신호 체계(ASFA)의 한 구간에 열차가 몰렸다고 추정했으나, 공식 조사 전 가설이라는 단서를 달았습니다.
- 수동 운행 속도를 신칸센처럼 장치로 강제해야 한다는 주장과, LZB 고장이 잦아 예외 처리가 일상이 된 것이 문제라는 지적이 함께 나왔습니다.
아래는 가정입니다. 아직 제대로 된 안전 보고서가 나오지 않았기 때문입니다.
LZB(선로 기반 열차 제어 시스템)에 오류가 생겨 ASFA(지점 기반 열차 제어 시스템)로 전환된 것이 문제의 발단으로 보입니다. 그런데 LZB의 가상 폐색구간이 ASFA의 물리적 폐색구간보다 많기 때문에, 갑자기 한 폐색구간 안에 열차가 둘 이상 들어 있게 됩니다. 이는 열차 제어의 가장 기본적인 전제를 깨는 일입니다. 이럴 때는 폐색구간이 비었다고 표시되더라도 열차 제어에 전혀 의존하지 말고 수동으로 운행해야 합니다.
스페인의 정식 절차가 어떤지는 모르지만, 예컨대 독일에서는 이럴 때 육안 운전이 요구되는 것 같습니다. 다만 그것도 이런 상황 때문에 사고가 여러 번 난 뒤에야 생긴 규정입니다. 독일에서 일어난 비슷한 사고로는 다음과 같은 것들이 있는 듯합니다.
https://de.wikipedia.org/wiki/Eisenbahnunfall_von_Meerbusch-Osterath
2002년 4월 9일 팔러슬레벤 인근에서 충돌 직전까지 간 사고가 있었습니다. 팔러슬레벤 LZB 관제센터의 컴퓨터가 다운된 뒤, 두 본선에 각각 열차 두 대씩이 멈춰 서 있었습니다. 컴퓨터를 다시 시작하자 각 쌍의 뒤쪽 열차에는 시속 160km가, 앞쪽 열차에는 시속 0km가 신호로 전달되었습니다. 뒤따르던 기관사 두 명 중 한 명은 앞에 멈춰 선 열차를 직접 보았고, 다른 한 명은 만일을 위해 운영센터에 연락했다가 진행하지 말라는 경고를 받았습니다.
BBC 기사 링크만 읽어 보면 저는 전혀 다른 결론에 이릅니다. 상황을 제대로 파악하지 못한 관제사가 열차의 수동 운행을 지시한 쪽에 더 가까워 보입니다. 물론 그런 일은 실제로 일어납니다( https://en.wikipedia.org/wiki/Bad_Aibling_rail_accident ). 하지만 그건 지루해진 관제사가 하루 종일 스마트폰 게임이나 하는 한적한 단선 노선에서 일어나는 일이지, 주요 고속선에서 일어나는 일이 아닙니다. 또 LZB 문제는 BBC가 그리는 그림과 맞지 않고, 관련된 사람이 많다는 점도 마찬가지여서 저는 위에서 말한 가설을 더 선호합니다. 게다가 그 노선과 주의 수준을 감안하면 “그럴 법한”, “충분히 눈에 띄지 않는” 실수로 보이기도 합니다.
제가 궁금한 건, 다른 제어 시스템과의 연결이 끊겼을 때 속도를 제한하는 육안 운전(제가 알기로는 시속 40km)이 왜 열차 자체에서 강제되지 않느냐는 겁니다. 기관사가 기억해야 하는 사항이 아니라 하드 리밋이어야 하지 않나요?
위 댓글에서 추론해 보면, 노선이 불법적이고 유효하지 않은 상태에 있었던 것 같습니다. 다른 분들도 지적했듯이 새 LZB 시스템은 전환된 ASFA 시스템보다 폐색구간이 훨씬 짧습니다. 그러면 서로 다른 LZB 폐색구간에 있던 여러 열차가 같은 ASFA 폐색구간에 들어 있었을 가능성이 높습니다. 그건 서류상 이미 충돌한 상태이고, 열차 안전 시스템은 서류상 이미 충돌한 열차 두 대를 안전하게 정상 운행시키도록 설계되어 있지 않습니다.
필요한 조치는 ASFA 시스템 기준으로 초기 상태가 유효한 구성이 될 때까지 모든 열차를 옮기는 것이었습니다. 아마 한 번에 한 대씩 시속 40km 미만으로 움직여서, 선로 위 모든 열차 사이에 ASFA 폐색구간이 최소 하나는 있게 하는 식이었겠지요. 그 길이가 수십 마일일 수도 있고요. 그런 다음에야 전체 운행을 훨씬 줄어든 수송 능력으로 ASFA 시스템에서 최고 속도로 돌릴 수 있습니다. 이는 그날 남은 시간 동안 열차가 사실상 움직이지 못한다는 뜻이기도 합니다. 승객들이 화를 낼 뿐 아니라, 대피해야 했다면 가벼운 탈수나 작은 부상 같은 이유로 병원에 가야 하는 사람도 불가피하게 몇 명은 나왔을 겁니다.
아마 실제로는 그런 건 전혀 생각하지 않고, 아무 조정도 없이 ASFA 시스템으로 그냥 핫 리부트했을 겁니다. ASFA 시스템은 같은 ASFA 폐색구간을 공유하는 모든 열차에 다음 빈 폐색구간으로 가도 좋다고 신호했습니다. 일부 폐색구간에 사람이 시스템을 켜기 전부터 열차가 여러 대 있었다는 것은 ASFA 컴퓨터로서는 상상도 못 할 끔찍한 가정이라, 그 사실을 알 수 없었습니다. 그리고 시스템이 앞쪽 폐색구간이 점유됐다며 폐색구간 안의 열차 한 대에 정지를 지시했을 때, 사실 그 구간에는 열차가 두 대 있었습니다. 그중 한 대는 정지 신호와 한참 떨어진 곳에서 시속 160km로 앞 열차를 향해 계속 달리고 있었고, 결국 두 열차가 충돌했습니다.
맞습니다.
기관사들에게 육안 운전(역시 시속 40km 이하)을 지시하면 모두 동시에 움직이라고 해도 됩니다. “육안 운전”이란 기관사가 자기 선로 위의 물체를 직접 살필 수 있다는 뜻이니까요. 기본적으로 평소에는 그러지 않던 열차가 도로 위 자동차처럼 움직이기 시작하는 겁니다. 평소 기관사에게는 어딘가로 가는 것이 안전한지 확인할 의무가 없지만, 이때는 있습니다. 그렇다고 열차가 실제로 시속 40km로 움직이는 것은 아닙니다. 육안으로 운전하는 데 필요하다면 시속 1km로 움직일 수도 있습니다. 시속 40km는 시야 조건이 가장 좋더라도 그 이상은 육안으로 열차를 운전하기에 위험하다고 보는 최대치일 뿐입니다.
그런 건 고려 대상조차 아니었다고 봅니다. 고려했다면 충돌을 지시한다는 걸 알고 있었다는 뜻이 되니까요. 오히려 다음과 같았을 겁니다.
그렇습니다.
참고로, 다른 댓글( https://news.ycombinator.com/item?id=50299422 )에서 말씀드린 것과 비슷하게, 마찰력을 기준으로 속도를 비교하면 열차의 시속 40km는 도로 위 자동차의 시속 300~400km에 해당합니다.
LZB가 다운될 때 열차가 스스로 강제하는 것은 정지입니다. 이건 제대로 작동한 것으로 보입니다. 정지한 열차를 다시 움직이게 하는 것은 잠재적으로 위험한 상황이고, 지금은 자동 시스템이 운행 허가를 받을 수 없는 상황이니, 안전한 시스템이라면 그걸 자동으로 하지 않을 겁니다.
그건 이해합니다. 그런데 안전 시스템이 다운됐을 때 법이 요구하는 시속 40km로 열차가 스스로 속도를 제한하지 못하는 이유가 뭔가요?
a) 시속 0km로 스스로 제한합니다.
b) 지점 기반 열차 제어 시스템에서는 특정 지점에서만 통신이 이루어집니다. 그래서 그런 이름이 붙었습니다. 그 자체로는 안전한데, 적색 신호를 통과하는 것처럼 안전하지 않은 일을 하려면 그런 지점을 지나야 하기 때문입니다. 속도 제한을 어기려 해도 속도 제한 시작 지점을 지나야 하는데, 그것도 그런 지점입니다.
선로 기반 제어 시스템을 운영하면 지점 기반 제어 시스템의 관점에서는 계속 충돌 상태를 만들어 내고 있는 셈입니다. 선로 기반 시스템이 멈추는 순간 지점 기반 제어 시스템이 넘겨받는데, 충돌 상황에서 유일하게 안전한 선택은 모든 열차를 즉시 세우는 것입니다. 실제로 그렇게 했습니다.
ATC는 장애나 끊김이 수시로 생겨요. 순간적인 오류 하나 때문에 열차가 갑자기 시속 40km로 덜컥 떨어지길 원하진 않잖아요. 유럽의 셀룰러 통신 커버리지는 꽤 좋지만 완벽하진 않고, 북미에서는 문제가 훨씬 더 커요.
마찬가지로 조차장, 측선, 터미널에서는 자동 열차 제어를 쓰지 않고, 넓은 조차장을 가로지르려면 가끔은 속도를 내야 할 수도 있어요.
수동 모드에서는 차장과 관제사가 그런 판단을 내릴 수 있고요.
그리고 “기억해야 할 필요가 없다”고 하셨는데, 기준은 시속 40km이거나 ATC 아래에서 그 선로에 허가된 속도 그대로예요.
유럽의 열차 제어는 사실 무선 통신을 쓰지 않습니다. 비상 호출은 무선으로 이루어지고 운행 허가를 전송할 수도 있지만, 지속적인 감시와 강제는 무선으로 하지 않습니다. 그리고 유럽 일반 철도에 ATC가 있다는 얘기는 들어 본 적이 없습니다.
다만 ATC를 열차 제어 전반으로 바꿔 읽는다면 동의합니다.
제가 알기로 신칸센은 수동 모드에서 시속 30km를 하드웨어로 엄격하게 강제합니다. 해제할 수 없습니다.
스페인의 절차는 육안 운전입니다. 세 번째 열차가 접근하고 있었는데, 기관사가 정상 속도로 달리라는 명령을 무시하고 육안으로 운전한 덕분에 멈출 수 있었습니다.
진짜 문제는 LZB가 꽤 자주 고장 난다는 점입니다(1992년에 설치됐고, 작년에 새 시스템으로 단계적으로 교체할 예정이었으며 계약도 체결됐지만 공사는 아직 시작도 안 됐습니다). 그래서 유일한 안전장치가 관제센터 담당자가 지시를 흠 없이 내리는 것뿐인데, 이번에 보듯이 그건 지속 가능하지 않습니다.
이리요 CEO가 몇 주 전 의회 청문회에서, LZB가 꺼질 때마다 자사 열차는 완전히 멈춘다고 말했습니다. 책임 있는 중앙 관제 담당자가 이걸 깜빡했던 모양입니다. 모두에게 그냥 운행을 재개하라고 지시했는데, 이리요만 그럴 수 없었던 겁니다.
LZB가 다운될 때 일어나야 하는 일은 기껏해야 노선 수송 능력이 줄고 지연이 생기는 정도입니다. LZB가 유일한 열차 제어 시스템은 아닙니다.
철도 규약은 어떤 열차든 관제사가 알아채지 못한 채 언제든 즉시(제동 거리조차 없이) 멈출 수 있다는 가정 아래 운영됩니다. 다음 열차를 움직이게 하기 전에 앞 열차가 완전히 떠났다는 정보가 있어야 합니다. 첫 번째 열차가 출발할 수 있었다 해도, 충돌이 없었다면 그건 순전히 운이었을 겁니다.
신형 시스템(ERTMS)은 이미 설치되어 시험을 마쳤고, 현재 운행 인증을 받는 중입니다. 그러니 그 부분에서도 작업은 이루어졌습니다.
그 자체로 더 안전한 것은 아니고, 교체는 LZB가 유럽 전역에서 단계적으로 폐지되는 흐름의 일환으로 진행되는 것입니다.
사용된 용어를 좀 더 설명하겠습니다. 대부분의 열차 제어 시스템은 고정 폐색을 전제로 운영됩니다. 전체 선로망이 폐색구간으로 나뉘고, 한 폐색구간에는 항상 열차가 한 대만 있을 수 있습니다. 각 폐색구간은 신호기로 보호되며, 한 열차와 다음 열차 사이에는 항상 적색 신호가 있어야 합니다. 또 열차가 폐색구간에 들어오고 나가는 것과 객차가 몇 량인지를 감지하는 센서가 있습니다(열차 완전성도 중요합니다).
지점 기반 열차 제어 시스템에서는 열차 운행이 모든 신호기에서만(그리고 접근 구간의 특정 지점에서) 강제됩니다. 예를 들어 열차가 적색 신호를 넘지 않는지, 최고 속도를 넘지 않는지, 속도 제한을 확인했는지를 점검하는 식입니다.
선로 기반 열차 제어 시스템에서는 그 감시가 선로 전체에서 연속적으로 이루어집니다.
물리적인 신호기와 센서는 설치와 유지 비용이 많이 들고 철도 수송 능력은 선로 위 폐색구간 수에 좌우되기 때문에, 선로 기반 열차 제어 시스템은 가상 폐색구간을 지원합니다. 신호기와 센서가 물리적으로 있는 것이 아니라 (열차와 신호소의) 컴퓨터가 모의한다는 뜻입니다. 지점 기반 열차 제어의 관점에서는 가상 하위 폐색구간을 알지 못하므로 한 폐색구간에 여러 열차가 있는 셈입니다. 지점 기반 열차 제어만 지원하는 열차가 달릴 때는 폐색구간 전체 단위로만 쓸 수 있어 수송 능력이 줄어들 뿐이고, 모든 물리적 폐색구간은 선로 기반 제어 시스템에도 알려져 있으므로 여전히 안전합니다.
선로 기반 열차 제어 시스템이 더는 쓰이지 않게 되면 지점 기반 열차 제어 시스템의 근본 제약이 깨집니다. 한 폐색구간에 열차가 여러 대 있게 되고, 그 사이에 적색 신호가 없어 실제로는 보호받지 못하는 상태가 됩니다. 따라서 모든 열차가 최소 하나의 물리적 신호기를 지나갈 때까지 신호를 무시해야 합니다.
(여기서부터는 추측입니다.) 운영자들은 여전히 믿을 수 있는 안전 시스템이 작동 중이라고 가정한 것으로 보입니다. 그래서 열차에 수동 운행을 지시하지 않고(수동 운행도 육안 운전[최대 시속 40km]을 요구할 수 있지만 반드시 그런 것은 아닙니다. 스페인의 정식 절차는 모릅니다), 정상 안전 시스템으로 돌아가라고 지시했습니다. 일부 기관사와 관제사가 이에 의문을 제기했다고 보도되었지만, 번역 오류이거나 올바른 안전 절차대로 들은 말을 복창한 것일 수도 있습니다. 어쨌든 지점 기반 열차 제어 시스템은 앞에 실제로 열차가 있더라도 녹색 신호를 표시합니다. 그 열차가 나와 같은 폐색구간에 있기 때문이고, 신호는 이미 들어와 있는 현재 구간이 아니라 다음 폐색구간으로 진입해도 되는지를 나타내기 때문입니다. 이번에 일어난 일이 이것으로 보입니다. 두 번째 열차는 녹색 신호를 보고 자동 안전 시스템으로 돌아왔다고 생각해 시속 200km까지 가속했고, 앞에 아직 열차가 있는 줄 몰랐습니다. 첫 번째 열차도 출발했어야 했지만 열차 결함으로 출발하지 못했습니다. 평소라면 이 때문에 사고가 나서는 안 됩니다. 다만 이번에는 이 일이 없었다면 사고도 없었을 텐데, 그랬더라도 순전히 운이 좋았던 것일 뿐입니다.
일부 사진에서 녹색 신호가 보이는데, 제 눈에는 정말 이상합니다(죽었으면서 동시에 살아 있는 시체 같다고나 할까요). 사고가 나면 모든 신호를 적색으로 해야 한다고 생각하기 때문입니다. 긴급 전화를 거는 동안 그렇게 하는 것이 맞다고 보지만, 스페인의 절차가 그런지는 모르겠습니다. 또 사진을 보면 덩어리 전체가 열차 한 량 길이쯤 밀려갔고, 첫 번째 열차의 마지막 객차와 두 번째 열차의 첫 객차가 하나로 합쳐져 있습니다. 이는 충돌 속도가 시속 100km를 넘을 만큼 놀랍도록 높았음을 시사합니다. 두 번째 열차가 앞 열차를 바로 앞 수백 미터 안에 들어서기 전까지는 볼 수 없었다는 설명과 맞아떨어집니다.
그 폐색구간에는 사실 열차가 더 있었으니, 이번 사고에 “겨우” 두 대만 관련된 것은 순전히 운입니다. 또 바로 앞에 커브가 있어서 두 번째 열차가 사고 직전까지 첫 번째 열차를 볼 수 없었다고 주장하는 사람들도 있습니다. 이것은 사고를 막지는 못했겠지만, 충돌 속도를 낮춰 사망자를 줄였을 뿐입니다.
안전 시스템이 아예 없었다면 사고는 아마 일어나지 않았을 거라는 점이 꽤 아이러니합니다.
이번처럼 두 열차가 충돌하는 고전적인 사고는 꽤 드뭅니다. 1870년대부터 있어 온 모든 열차 제어 시스템의 가장 첫째 목적이 이를 막는 것이기 때문입니다. 올해 1월 스페인 사고도 충돌이긴 했지만, 한 열차가 탈선한 사이 다른 열차가 지나가다 일어난 것입니다. 이는 탈선 자체를 막는 것 말고는 현재의 열차 제어 시스템으로 막을 수 없습니다. 사실 객차의 탈선은 전혀 드물지 않고 매일 일어납니다. 자동차로 도로 갓길을 살짝 밟는 것과 비슷하지만, 열차 탈선은 드뭅니다.
2017년 메어부슈-오스터라트 사고도 충돌이라는 점에서는 비슷하지만, 원인 자체는 그다지 비슷하지 않습니다. 이 사고에서도 일반 열차 제어가 고장 나서 열차를 수동으로 운행해야 했습니다. 그 상황에서도 자동 열차 감지·표지 시스템에 의존했는데, 그 시스템에 버그가 있었고(그리고 버그 때문에 운영자의 실수도 있었습니다. 단순화한 설명입니다), 첫 번째 열차가 있는 폐색구간에 두 번째 열차의 번호를 표시했습니다. 그래서 두 번째 열차를 전진시켰습니다. 뭔가 잘못됐다는 걸 알아채고 첫 번째 열차와 연락은 했지만, 그 기관사는 독일어를 제대로 못 했고 100m 표지(hectometer sign)가 있는 창밖을 내다보지도 못해서 관제사에게 자기 위치를 말하지 못했습니다. 관제사는 두 번째 열차 기관사에게 육안 운전(시속 40km)을 하라고 알리는 것을 잊었고, 그래서 기관사는 최고 속도(시속 120km)까지 가속했습니다. 이 사고로 인한 부상자는 40명이었고 사망자는 없었는데, 두 번째 기관사가 첫 번째 열차를 봤기 때문입니다. 사고는 밤에 어둠 속에서 시속 85km로 일어났습니다. 관제사는 열차와 열차의 동작을 계속 추적해야 하지만, 자동 열차 감지·표지 시스템이 대부분 잘 작동하다 보니 거기에 의존하기 쉬워집니다.
2002년 팔러슬레벤 사고도 LZB가 고장 나 PZB로 전환됐다는 최초의 고장이 같다는 점에서 비슷합니다. 그래서 한 폐색구간에 열차가 둘 이상 있었습니다. 신호소 소프트웨어가 두 번째 열차에는 최고 속도로 진행하라고, 첫 번째 열차에는 정지하라고 지시했습니다. 충돌할 뻔했지만 두 번째 열차 기관사가 그럴 리 없다는 걸 알아채고 관제사에게 알렸고, 관제사가 진행하지 말라고 해서 사고는 일어나지 않았습니다. 이 일로 처음으로 다시 출발하는 열차는 육안 운전(시속 40km)으로 운행하는 것이 의무가 되었습니다.
두 번째 열차가 녹색 신호를 봤다고는 생각하지 않습니다. 두 번째 열차는 폐색구간 중간에 있었고, 첫 번째 열차는 폐색구간 출구 바로 앞에서(앞쪽 신호는 녹색) 대기하고 있었습니다.
제가 다른 출처에서 파악한 바로는, 스페인 시스템은 관제사가 지점 기반 규칙을 무시하고 수동으로 진행 허가를 줄 수 있게 허용한다고 합니다(폐색구간이 길어서 육안으로 다음 신호기까지 가려면 한없이 걸리기 때문입니다). 제 생각에는 이건 시스템의 실패입니다. 이상적으로는 어떤 상황에서도 그런 관행이 아예 허용되어서는 안 됩니다.
첫 번째 열차가 정말 폐색구간 출구 바로 앞에 있었다면, 두 번째 열차가 해당 예고 신호기를 봤다고 가정하는 게 꽤 안전합니다.
어느 시스템이나 그렇습니다. 철도망을 운영하려면 필수입니다.
실제로 무슨 일이 있었는지는 제 추측이지만, LZB가 어떻게 작동하는지에 대한 설명은 추측이 아닙니다. 수동 운행 허가를 내리다가 실수했을 수도 있습니다. 하지만 수동 운행으로 전환해야 한다는 것을 알아채지 못했다면, 충돌을 일으켰을 겁니다.
정상 운행 중에는 자기가 폐색구간에 혼자 있다는 걸 알기 때문에 예고 신호기를 보고 움직일 수 있습니다. 하지만 선로 기반에서 지점 기반 신호 방식으로 전환될 때는 더 이상 그렇게 가정할 수 없습니다. 자신이 폐색구간에 혼자 있다고 확신할 수 있는 상태로 돌아가야 하는데, 그 유일한 방법은 육안으로 다음 주 신호기까지 가서 그 구간이 비었음을 아는 것입니다.
물론 확신하는 또 다른 방법으로, 관제사가 폐색구간이 비었는지 직접 확인하고 기관사에게 구두로 전달해 규정을 무시하게 하는 방법도 있습니다. 하지만 그건 인간의 판단에 큰 부담을 지우는 일이고, 이번 사고가 아니더라도 누구나 좋은 생각이 아니라고 동의할 겁니다.
저는 이게 선로망의 “정상” 운영에 요구되어서는 안 된다고 봅니다. 예외 상황이 닥쳤을 때를 위한 인간의 개입은 물론 항상 있어야 합니다. 하지만 그런 일이 벌어지면 이미 마지막 안전망에 와 있고 그 순간 한 사람의 판단에 의존하는 셈이니 각별히 조심해야 합니다. 그것이 괜찮은 것은 자주 일어나지 않는 예외 상황이고, 일어났을 때 한두 시간쯤 들여 추가로 조심할 여유가 있기 때문입니다.
시스템이 너무 자주 고장 나서 인간의 개입이 새로운 일상이 되면 문제가 생깁니다. 매일 하다 보니 한두 시간을 더 쓸 여유가 없어져 추가 예방 조치를 건너뛰게 되고, 매일 하니까 자기가 뭘 하는지 안다고 느끼기 시작합니다.
네, 그게 수동 운행입니다.
그건 다른 방법이 아니라 방금 말씀하신 바로 그 상황입니다. “폐색구간이 비었는지 직접 확인”하는 것이 육안 운전입니다. 유일한 대안은 선로 전체를 걸어서 따라가 보는 것뿐입니다.
문제는 (제가 아는 한) 그렇게 하지 않았다는 겁니다.
말씀하신 건 모두 맞지만, 전체 철도망에서 예외가 얼마나 자주 일어나는지를 과소평가하고 계십니다. 백만 번에 한 번이면 매일 일어난다는 뜻입니다.
시간이 많긴 하지만, 그건 초 단위가 아니라 분 단위로 움직인다는 뜻입니다. 몇 시간이 필요하다면 그건 비상 운영이 아니라 운영을 멈춘다는 뜻입니다. 물론 철도망을 완전 운행으로 되돌리는 데 몇 시간 걸릴 수는 있지만, 그러려면 수백에서 수천 건의 조작이 필요하니 조작 하나하나에 몇 시간이 주어지는 건 아닙니다.
하지만 궤도회로(Gleisstromkreis)처럼 폐색구간이 막혀 있음을 감지하는 추가 시스템이 있지 않나요? 예를 들어 분리되어 남겨진 객차 같은 것도요.
아니면 LZB에서 PZB로 격하되면서 가상 폐색구간을 잃었고, 이제 두 열차가 같은 더 긴 비가상 폐색구간을 점유하고 있다는 문제로 다시 돌아가기 때문에 그건 도움이 되지 않았을까요?
그렇다면 그 구간은 관제사들에게 비어 있지 않은 것으로 표시되었을 텐데, 관제사들이 바로 그걸 예상했을 겁니다. AVE가 그 폐색구간에 멈춰 있다는 걸 알고 있고, 그 열차에 어떤 지시를 줄지 결정하는 중이니까요. 하지만 같은 폐색구간을 점유한 두 번째 열차(이리요)가 앞에 있다는 표시는 없습니다.
그래서 LZB 고장 후에는 육안 운전으로 운행을 재개하는 절차가 있는 것이라고 짐작합니다(이번에는 무시된 것으로 보이지만요). 그런데 그런 상황에서는 앞에서 뒤로 순서대로 운행을 재개하도록 규정하면 안 되나요? 현실에서는 “앞에서 뒤로”가 문외한인 제 머릿속에서처럼 명확한 개념이 아닌 듯합니다.
그건 추가 시스템이 아니라 PZB(여기서는 ASFA)입니다.
그렇습니다.
관제사들이 무엇을 놓쳤는지는 알 수 없고, 그걸 추측하는 건 꽤 무의미합니다. 그 논의를 하고 싶다면 사후 조사를 기다려야 합니다. 그런 보고서가 있는 이유가 그것입니다. 우리가 아는 건 뭔가를 놓쳤다는 사실뿐입니다. 첫 번째 열차도 그 폐색구간에 있다는 걸 놓친 것이 한 가지 가능성입니다. 어떤 신호가 가상인지 불분명했을 수도 있고, 관제사들 사이에 의사소통 불일치가 있었을 수도 있고, 자동 열차 식별 시스템에 버그가 있었을 수도 있고, 자동 시스템이 그 절차를 직접 호출했을 수도 있습니다. 이 모든 것이 이미 철도 사고에서 실제로 일어난 적이 있어서, 그다지 추측이라고 할 수도 없습니다. 마지막 것은 2002년에 똑같은 상황에서 일어난 일입니다. 컴퓨터가 자동으로 두 번째 열차에는 최고 속도를, 첫 번째 열차에는 정지를 지시했습니다. 지금 제가 떠올리지 못하는 다른 문제가 있었을 수도 있습니다. 사람들이 여전히 주의를 기울이니 아마 오류가 하나가 아니라 여럿이었을 겁니다.
스페인의 절차가 어떤지는 사실 모릅니다. 독일에서는 지금은 그렇게 되어 있지만, 2002년의 사고 직전 상황 때문일 뿐이고 그 전에는 모호했습니다. 관제사가 되면 규칙을 잔뜩 배우기만 하는 게 아닙니다. 핵심 제약을 배우고, 그로부터 규칙을 원리부터 스스로 만들어 낼 수 있게 됩니다. 그래도 압박 아래서는 중요한 걸 잊기 쉬워서 따라야 할 규칙이 여전히 있습니다. 하지만 어떤 규칙도 완전할 수는 없고, 그래서 규칙만 따르지 않는 겁니다.
그래 봐야 아무것도 해결되지 않습니다. 그 상황에서는 육안 운전이 안전하고, 더 빨리 가는 것은 안전하지 않습니다. 앞에서부터 시작해도 충돌은 여전히 일어날 수 있고, 시간만 낭비합니다. 또 열차 사이에 물리적 폐색이 없다고 단정할 수 없으니, 오히려 뒤쪽 열차를 먼저 출발시키는 편이 더 안전할 수도 있습니다. 게다가 열차의 위치와 순서를 정확히 파악할 수 있다고 확신하십니까? 그래야 하긴 하지만, 이번에는 분명히 실패했다는 말입니다. 그냥 육안으로 운전하면 됩니다.
추가로 설명해 주셔서 감사합니다!
이 기사0를 보면, 절차상으로도 최대 시속 40km의 육안 운전으로 진행해야 했던 것 같습니다.
[0] https://archive.ph/ra6Lp
제가 알기로 신칸센은 그렇게 합니다. 수동 운행 중에는 시속 30km로 제한하고, 예외는 없습니다.
유럽에서는 대부분 지역에서 제한이 시속 40km입니다. 문제는 수동 운행을 지시하지 않았다는 점입니다.
네, 제가 시스템의 실패라고 말한 게 바로 그겁니다. 이상적으로는 수동 운행이나 육안 운전이 기본 모드여야 합니다. 적절한 신호 상태만이 이를 해제하고 열차를 더 높은 속도로 진행시킬 수 있어야 하고, 그렇지 않으면 시스템이 수동 운행을 강제해야 합니다(하드웨어로 강제되는 속도 제한 등). 사람이 이를 그냥 무시할 수 있는 절차 자체가 아예 없어야 합니다.
아니면 첫 번째 열차가 탈선한 뒤 모든 신호를 적색으로 바꿔 그 선로의 운행 전체를 세우는 방법도 있는데, 안타깝게도 스페인에서는 흔한 관행이 아닌 듯합니다.
A에서 B로 가던 첫 번째 열차가 탈선했고, B에서 A로 가던 두 번째 열차가 9초(다른 출처로는 20초) 뒤에 탈선한 객차들과 충돌했습니다. 탈선이 일어난 바로 그 순간 두 번째 열차에 풀 브레이크를 걸었더라도 충돌을 피할 수 없었습니다.
https://en.wikipedia.org/wiki/2026_Adamuz_rail_disaster
분명 더 나은 대체 수단이 가능할 텐데요. 예를 들어 PZB 구간에서 앞에 다른 열차가 있는 것으로 알려진 열차는, LZB가 다운되면 PZB 규칙이 다시 강제될 수 있을 때까지 속도를 줄이거나 대기하거나 다른 절차를 따르게 하는 식으로요.
무슨 말씀인지 잘 모르겠습니다. 열차들은 고속열차를 운행하려면 LZB가 필요하기 때문에 LZB 모드로 달리고 있었습니다. 고속에서는 PZB에 필요한 신호를 볼 수 없습니다.
열차들은 LZB가 오류를 보고했을 때 제대로 정지했습니다.
그게 수동 운행인데, 제 생각에는 그걸 하지 못한 것 같습니다.