✈️ Fail-Operational Autoland – 자동착륙의 완성과 신뢰의 시스템
악기상에서의 착륙은 조종사에게 있어 가장 부담스러운 비행 단계 중 하나다. 특히 Runway Visual Range(RVR)가 75m 이하로 떨어지는 CAT IIIB 조건에서는 조종사가 활주로를 전혀 육안으로 식별할 수 없기 때문에, 항공기는 스스로 착륙하고, 활주로에서 감속하여 중심선을 따라 멈추는 전 과정을 완전히 자동으로 수행해야 한다. 이때 사용되는 시스템이 바로 Fail-Operational Autoland이다. 시스템 일부가 고장이 나도 조종사 개입 없이 자동 착륙과 활주까지 완성 가능한 설계를 말한다.
🔧 Fail-Operational의 정의
Fail-Operational 시스템이란, 항공기의 자동비행 시스템 중 일부 구성요소에 고장이 발생하더라도, 나머지 시스템이 자율적으로 착륙 절차 전체를 끝까지 수행할 수 있는 구조를 말한다.
다시 말해, 한 쪽 Autopilot이 고장나더라도 나머지 하나가 Flare와 Rollout까지 완전하게 수행 가능해야 하며, Go-Around이나 수동 전환 없이도 착륙을 마칠 수 있는 안정성과 독립성을 보장한다.
이 구조는 단순히 백업이 있다는 수준이 아니라, ‘운용 가능 상태(Operational)’가 유지된다는 것 자체가 전제다.
🛫 Fail-Operational Autoland가 필요한 이유
Fail-Operational 시스템은 다음과 같은 조건에서 반드시 요구된다:
- CAT IIIB 접근: RVR 75m 이하, DH 없음(= 조종사가 지표를 전혀 볼 수 없음)
- Touchdown 이후에도 조종사가 경로를 확인할 수 없음
- System fault 발생 시 즉시 개입이 물리적으로 불가능
즉, 조종사가 육안으로 아무것도 확인할 수 없는 상황에서 만약 오토파일럿 하나가 고장났다고 해서 수동 착륙으로 전환하면? 그 자체가 엄청난 위험을 초래하게 된다. 따라서 시스템은 하나 고장나도 남은 시스템만으로 무사히 착륙까지 자동 수행할 수 있어야 하며, 그것이 Fail-Operational의 핵심이다.
⚙️ 시스템 구성 – Fail-Operational을 만들기 위한 조건
Fail-Operational Autoland를 가능케 하려면 항공기에는 다음과 같은 하드웨어적, 소프트웨어적 조건이 갖춰져야 한다.
기본 요구:
- Triple redundant autopilot 또는 Dual with monitored redundancy
- RA(Radio Altimeter) 2개 이상 완전 작동
- Flight Control Computer redundancy
- Autothrust 및 Auto-brake 정상 작동
- Anti-skid / Spoiler / NWS 완전 통합 제어 가능
- 각종 Autoland 경고 시스템 및 Auto Rollout 활성화 가능 상태
A320은 기본적으로 Fail-Passive 설계지만, B777, B787, A350, A380 등 일부 장거리 기종은 Fail-Operational Autoland 설계를 기본으로 채택하고 있으며, 일부 항공사는 외부 HUD, EVS(EV-enhanced vision system) 등을 보완적으로 사용하여 조건을 확장하기도 한다.
🧠 조종사의 역할 – “완전히 자동이지만 완전히 신경 써야 하는 시스템”
Fail-Operational이라고 해서 조종사가 아무 것도 하지 않아도 된다는 뜻은 아니다. 오히려 조종사는 다음과 같은 모니터링을 지속해야 한다:
- LAND/FLARE/ROLLOUT 모드 전환 확인
- 시스템 고장 발생 여부와 ECAM 메시지 감시
- Landing Configuration, Approach Speed, Rollout guidance 설정
- RA 신호 양쪽 모두 살아 있는지 확인
- Wind limitations 준수 여부 체크
무엇보다 조종사는 Autoland 상황에서도 **“최종 책임자는 조종사”**라는 전제를 절대 잊어서는 안 된다.
🧭 Fail-Operational과 Fail-Passive의 핵심 차이
| 시스템 고장 시 | 조종사가 수동 전환 필요 | 나머지 시스템이 자동착륙 계속 수행 |
| 조종사 개입 여부 | 필요 (Manual Landing or Go-Around) | 불필요 (Landing 완료 가능) |
| CAT IIIA 사용 가능 | 가능 | 가능 |
| CAT IIIB 사용 가능 | 불가능 | 가능 |
| 신뢰성 수준 | 낮음 (1 고장 시 기능 중단) | 높음 (1 고장 시 작동 유지) |
🛑 제한사항과 주의사항
- Fail-Operational이라 하더라도 2개 이상의 key 시스템 고장 발생 시 착륙 불가
- 반드시 공항 지상 장비도 CAT IIIB 등급을 충족해야 함
- 운항승무원 둘 다 CAT IIIB 자격 보유 필수
- Go-Around 이후 다시 접근 시, 시스템 재설정 필요 가능성 있음
✅ 결론 – 자동착륙의 궁극은 조종사의 신뢰로 완성된다
Fail-Operational Autoland는 기술적으로는 놀라운 안정성과 자동화를 제공하지만, 그 신뢰성을 유지하기 위한 조건과 조종사의 감시 역량이 더 중요하다. 항공기는 스스로 착륙할 수 있지만, 그 시스템을 신뢰하고 위기 시에도 판단할 수 있는 사람은 조종사뿐이다.
완벽해 보이는 시스템이 아니라, 완벽한 감시와 이해를 전제로 한 시스템이기에 Fail-Operational은 단순한 ‘무결점 자동’이 아닌, ‘조건부 신뢰’의 결과물이다.
그 조건을 이해하고 대비할 때 비로소 자동착륙은 진짜 의미의 ‘완전한 착륙’을 보장할 수 있다.