획득단계 잠수함 안전관리체계의 진화와 핵추진잠수함 안전관리의 방향

연구 배경

1963년 4월 10일, 미 해군 핵추진잠수함 Thresher(SSN-593)는 정비를 마치고 매사추세츠 동쪽 약 220마일 해역에서 심해 잠항시험을 수행하던 중 연락이 끊겼다. 지원함 Skylark가 마지막으로 수신한 교신은 “경미한 문제 발생, 상향 각도 유지, 부상 시도 중…”이라는 불완전한 내용이었다. 승조원과 조선소 인원 등 129명이 전원 사망하였으며, 미 해군은 통제되지 않은 침수가 함의 손실로 이어진 것으로 결론지었다[1].

사고 두 달 뒤인 1963년 6월, 미 해군은 잠수함 안전 프로그램인 SUBSAFE를 창설하고 같은 해 12월 잠수함 안전인증 기준을 제정하였다[2]. 이후 미 해군이 잃은 잠수함은 1968년 침몰한 Scorpion(SSN-589) 한 척이며, 이 함은 SUBSAFE 인증을 받지 않은 상태였다[1]. SUBSAFE 인증을 받은 잠수함 가운데 손실된 함은 없다. SUBSAFE는 이후에도 주요 사고와 조직 변화를 계기로 매뉴얼 발간, 전담 품질보증 조직 설립, 프로그램 재점검을 거치며 보완되어 왔다(그림 1).

국내 설계·건조 현장에서는 종종 이러한 물음이 제기된다. 이미 안전하게 설계하고 검증도 수행하고 있는데, 별도의 안전관리 제도를 더하는 것이 일정과 비용 부담만 늘리는 것은 아닌가 하는 것이다. 국내 잠수함이 안전하게 설계·건조되어 왔고 그 역량이 수출 경쟁에 나설 수준에 이르렀다는 점에서 이 물음은 타당한 측면이 있다. 그러나 해외 사례는 안전관리체계가 설계를 의심하기 위한 장치가 아니라, 설계가 의도대로 구현되고 수명주기 동안 유지되고 있음을 보증하기 위한 장치라는 점을 보여 준다.

이에 본 기고에서는 Ⅱ장에서 미 해군 SUBSAFE를 중심으로 해외 잠수함 안전관리체계의 특징을 살펴보고, Ⅲ장에서 국내 잠수함 안전관리체계가 거쳐 온 세 단계를 절차·조직·기준 측면에서 정리한 뒤 핵추진잠수함 안전관리체계 구축을 위한 과제를 제시하고자 한다.

해외 잠수함 안전관리체계

사고 통계로 본 안전관리체계의 효과

안전관리체계의 효과는 장기간의 사고 통계에서도 확인된다. Tingle은 1946년부터 2005년까지 60년간의 잠수함 사고를 분석하여, 설계와 관리체계의 개선이 실제로 사고 확률을 낮추었는지를 검토하였다[3]. 그림 2와 같이 가용 잠수함 500척당 연간 침몰 척수는 1946~1974년 0.92척에서 1975~2005년 0.31척으로, 승조원 30,000명당 연간 사망자 수는 38명에서 12명으로 감소하였다. 두 지표 모두 이전 기간의 약 3분의 1 수준으로 낮아진 것이다.

물론 이러한 변화를 특정 제도 하나의 효과로 단정할 수는 없다. 그러나 해당 연구가 서두에서 Thresher 사고와 SUBSAFE 창설을 다루며 설계·관리체계의 개선과 사고율 변화의 관계에 주목하고 있다는 점은, 설계·건조 단계에서 안전을 제도적으로 확인하는 체계가 잠수함 안전 수준의 개선과 맞물려 있음을 시사한다.

NASA가 주목한 미 해군 잠수함 안전체계

미 해군 잠수함 안전체계의 특징은 NASA의 벤치마킹 결과에 잘 정리되어 있다. NASA는 이미 안전·임무보증 전담 조직을 갖추고 있었음에도 2002년 미 해군과 공동으로 NNBE(NASA/Navy Benchmarking Exchange)를 수행하였다. 당시 NASA 청장은 유인 우주비행과 핵추진잠수함이 모두 극한 환경에서 수많은 복잡한 하위 체계로 운용되며, 임무 수행을 위해 최고 수준의 안전성과 신뢰성을 유지해야 한다는 공통점에 주목하였다[2]. NASA가 확인한 미 해군 잠수함 안전체계의 핵심 속성은 표 1과 같다.

보고서는 특히 SUBSAFE 요구사항을 사업관리자가 임의로 조정할 수 없으며, 조정이 필요한 경우 NAVSEA의 기술권한 조직(NAVSEA 05)과 잠수함 안전·품질보증 조직(NAVSEA 92Q)의 승인을 받도록 하고 있다는 점에 주목하였다. 또한 SUBSAFE 프로그램과 이행 조직이 예산 압력으로부터 상대적으로 자유롭다는 점을 기록하며, 이를 “인증이 없으면 잠수함도 없다(no certification, no submarine)”는 표현으로 요약하였다[2].

안전문화 측면의 사례도 인상적이다. NAVSEA는 Thresher 사고를 연례 의무교육의 기반으로 삼고 있으며, 교육 참가자는 사고 관련 영상을 시청하고 잠수함 선체가 압괴되는 약 2분 분량의 녹음을 들으며 그 순간 사람들이 목숨을 잃고 있었다는 사실을 되새긴다[2]. 60여 년 전의 사고가 지금도 교육의 형태로 이어지고 있는 셈이다.

SUBSAFE의 인증 구조

SUBSAFE의 인증 구조는 그림 3과 같이 네 가지로 요약된다. 첫째, 인증 대상을 해수를 담거나 해수에 노출된 계통·구성품과 침수로부터 회복하는 데 필수적인 계통으로 한정한다. 둘째, 설계·자재·제작·시험 각 영역에서 검증 가능한 관찰·측정·시험에 근거한 객관적 품질 증거(OQE, Objective Quality Evidence)를 요구한다. 셋째, 재진입 통제(Re-entry Control), 무제한 운용·정비요구(URO/MRC), 감사의 세 요소로 함의 수명 전 기간에 걸쳐 인증을 유지한다. 넷째, URO/MRC 요구사항을 충족하지 못한 잠수함은 별도의 승인이 없는 한 잠항이 금지된다[2]. 확인의 결과가 곧 운용의 조건이 되는 구조이다.

인증 범위를 침수 방지와 회복으로 한정한 것은 Thresher 사고의 교훈을 반영한 것이다. 관리 대상을 명확히 좁히는 대신, 그 범위 안에서는 모든 작업에 증거를 요구하고 그 증거를 함의 수명이 다할 때까지 유지하도록 한 것이 SUBSAFE의 특징이라 할 수 있다.

국가별 안전관리체계의 층위

주요국의 안전관리체계는 단일 문서가 아니라 적용 범위가 다른 여러 층으로 구성되어 있다(그림 4). 첫 번째 층은 무기체계 전반에 적용되는 범용 체계안전 규격이다. 위험을 식별·제거하고 잔여 위험을 최소화하는 체계공학 접근을 수명주기 전반에 적용하는 미국의 MIL-STD-882[4]와, 안전사례(safety case)를 계약 산출물로 요구하고 위험을 합리적으로 실행 가능한 수준까지 낮추도록(ALARP) 하는 영국의 Def Stan 00-56[5]이 대표적이다.

두 번째 층은 함정 분야의 국제 안전기준이다. 국제함정안전협회(INSA, International Naval Safety Association)가 개발한 수상함 기준(ANEP-77)과 잠수함 기준(ANEP-102)은 목표기반(Goal Based) 구조의 안전기준으로, NATO 동맹국 표준으로도 활용되고 있다[6]. 방위사업청은 2025년 9월 INSA에 가입함으로써 이 기준의 개발 논의에 직접 참여할 수 있는 기반을 마련하였다[7].

세 번째 층은 국방 원자력 안전규제로, 국가별로 방식이 다르다. 미국은 SUBSAFE가 침수 방지와 회복을 경계로 인증을 수행하고 원자력추진 분야는 별도 조직(NAVSEA 08)이 담당한다. 영국은 국방부 내부 규제기관인 DNSR(Defence Nuclear Safety Regulator)이 잠수함 원자로에 대해 민간 원자력 규제와 최소한 동등한 안전 수준을 요구하며, 프랑스는 2001년부터 국방 원자력 안전규제 조직(DSND)이 원자력잠수함을 포함한 국방 원자력 활동을 운영 주체와 분리하여 규제하고 있다.

이 세 층은 출발점이 서로 다르다. 첫째 층은 위험에서, 둘째 층은 달성해야 할 목표에서, 셋째 층은 법률에서 출발한다. 이는 뒤에서 살펴볼 국내 잠수함 안전관리체계의 발전 단계와도 흐름을 같이한다.

국내 잠수함 안전관리체계의 발전과 과제

국내 잠수함 획득사업의 안전관리체계는 근거의 위계와 확인 방식에 따라 그림 5와 같이 세 단계로 구분할 수 있다. 사업별 추진계획에 근거한 안전통제활동, 방위사업관리규정에 근거한 감항성 관리, 그리고 법률에 근거한 원자력 안전관리이다.

안전통제활동: 위험을 통제하는 단계

안전통제활동은 안전설계가 의도대로 집행되었는지를 자재 입고, 함 건조, 시험평가·시운전을 통해 관리하는 활동이다. 대상은 침수에 직접적인 영향을 주는 요소와 긴급부상에 직접적인 영향을 주는 요소를 기준으로 선정되며, 기관·전기·무장·선체·지휘 및 탐색 분야의 주요 장비와 계통이 목록으로 확정된다. 확정된 대상에 대해서는 표 2와 같이 다섯 단계에 걸쳐 확인 내용과 기록 책임이 정해진다.

장보고-Ⅲ급의 안전통제활동은 미 해군 SUBSAFE를 기본개념으로 준용하고 있다. 침수와 긴급부상이라는 선정 기준은 SUBSAFE의 인증 경계와 맥을 같이한다. 다만 이는 기본개념을 따른다는 의미이며 요구사항이 동일하다는 뜻은 아니고, 사업별 대상 목록과 세부 요구는 별도로 수립된다.

안전통제활동의 본질은 문서화에 있다. 각 단계의 기록이 남아 있어야 요구조건에 부합하는 조치가 실제로 이루어졌음을 확인할 수 있기 때문이다. 장보고-Ⅲ급의 경우 상세설계 단계 결과물 ○○건, 건조 단계 ○,○○○건, 시험평가·시운전 단계 ○○건의 기록이 관리되고 있다. 다만 안전통제활동은 사업관리기관과 건조업체가 자체적으로 수행하고 확인하는 활동이라는 점에서, 확인의 독립성 측면에서는 보완의 여지가 있었다.

감항성 관리: 적합성을 확인하는 단계

감항성 관리는 「방위사업관리규정」 제85조에 근거하여 체계 단위로 수행되며[8], 2025년 1월 「잠수함 감항성 관리 세부지침」이 제정되면서 절차와 역할이 명문화되었다[9]. 여기서 감항성이란 잠수함이 운용범위 내에서 안전하게 항해할 수 있는 성능을 말한다.

감항성 관리는 그림 6과 같이 선행연구, 기본설계, 상세설계, 함 건조, 최초잠항 전의 다섯 단계로 이루어진다. 소요군이 작성한 감항성관리요구서를 바탕으로 감항성관리계획서와 사업별 감항성관리기준을 마련하고, 기본설계(PDR)와 상세설계(CDR) 산출물이 기준을 충족하는지 확인한다. 건조 이후에는 승인된 설계에 따라 장비와 설비가 설치되었는지를 확인하며, 필요한 경우 최초잠항 전에 위원회를 소집하여 안전성과 제한사항을 평가한다.

이 단계에서 가장 큰 변화는 검증과 확인의 분리이다. 세부지침은 검증(Verification)을 개발자·제작자가 수행하는 활동으로, 확인(Validation)을 제3자가 수행하는 활동으로 정의하고 있다. 체계업체가 검사·분석·시범·정박시험·항해시험 등으로 적합성을 검증하면, 국방기술품질원이 설계 적합성은 설계 검토결과로, 제작·생산 합치성은 시험평가와 품질보증 결과로 확인한다. 최종 판정은 위원의 20% 이상을 민간위원으로 구성하는 감항성관리위원회의 심의를 거치며, 중대한 미충족은 보완 후 재심의를 거친다[9]. 각 조직의 역할은 표 3과 같다.

안전통제활동에서 보완의 여지로 남아 있던 확인의 독립성이 이 단계에서 제도로 갖추어진 것이다. 한편 감항성 관리의 기준은 국제 기준과 같은 목표기반 구조를 지향한다. 달성해야 할 안전 목표와 기능, 성능 요구조건을 규정하되 이를 충족하는 설계 수단은 열어 두는 방식으로, 구조와 부력·복원성에서 화재안전, 탈출·구조, 대기제어에 이르기까지 함 전체를 대상으로 한다. 기준의 구조와 장보고-Ⅲ Batch-Ⅱ 표준계획에 관한 상세한 내용은 본지에 소개된 「한국형 잠수함 감항관리기준 및 표준계획 연구」를 참고할 수 있다[10].

원자력 안전관리: 안전을 승인하는 단계

2026년 7월 입법예고된 「핵추진잠수함의 획득·운영 및 안전관리 등에 관한 특별법」 제정안은 잠수함 안전관리의 근거를 처음으로 법률 차원으로 끌어올렸다[11]. 그림 7(a)와 같이 원자로와 안전관계설비의 설치는 전략위원회 심의를 거쳐 국방부장관의 승인을 받아야 하고, 운영과 해체, 사용정지 후 재가동도 각각 승인 대상이다. 신청자는 설치 승인 신청 시 설계에 대한 사전검토를 신청할 수 있으며, 동일 설계를 반복 적용하는 경우에는 표준설계승인 제도를 활용할 수 있다.

감항성 관리와의 가장 큰 차이는 판정의 법적 효력이다. 감항성 관리에서 미충족의 효과가 보완 요구와 재확인이었다면, 원자력 안전관리에서는 승인의 취소나 정지, 사용정지·개조·수리 명령이 가능하며 승인 없이 이용한 경우에는 형사처벌이 따른다. 확인이 승인으로 바뀐 것이다.

요구사항의 구조도 달라진다. 그림 7(b)와 같이 법률이 기본원칙과 승인 대상, 심사의 골격을 정하고, 대통령령과 국방부령이 승인 절차와 기술기준을 구체화하며, 사업자는 이에 따라 안전관리준칙을 작성하여 심사를 받는다. 이를 수행하는 조직과 역할은 표 4와 같다. 아울러 제정안은 핵무기의 개발·제조·보유·사용을 목적으로 하지 않는다는 점을 기본원칙으로 명시하고, NPT 등 국제규범 준수와 국제원자력기구(IAEA)의 정당한 확인 절차에 대한 협조를 규정하고 있다[11].

핵추진잠수함 안전관리체계 구축 과제

세 단계를 비교하면 확인의 주체는 내부에서 제3자로, 개입 시점은 사후에서 사전으로, 판정의 효력은 시정 요구에서 승인으로 이동해 왔음을 알 수 있다(표 5). 이러한 흐름을 바탕으로 핵추진잠수함 안전관리체계 구축 과정에서 고려해야 할 과제를 세 가지로 정리하면 다음과 같다.

첫 번째는 확인 조직의 독립성 확보 측면이다. NNBE가 미 해군 체계의 핵심으로 꼽은 것은 사업관리와 분리된 독립 확인, 그리고 예산 압력으로부터의 분리였다. 특별법 제정안 역시 국방부장관이 안전관리의 독립성과 공정성을 보장하도록 규정하고 있다[11]. 이러한 규정이 실질적으로 작동하기 위해서는 확인 조직이 일정과 비용에 대한 책임으로부터 분리되도록 조직·인력·예산 구조에서 구체화될 필요가 있다. 승인이 법적 효력을 갖는 만큼, 판단의 독립성과 근거의 추적 가능성은 제도가 성립하기 위한 전제 조건이 된다.

두 번째는 플랫폼 안전과 원자력 안전의 경계 설정 및 연계 측면이다. 핵추진잠수함에는 감항성 관리의 대상인 선체·계통과 원자력 안전관리의 대상인 원자로·안전관계설비가 한 척 안에 공존한다. 미 해군 역시 SUBSAFE는 침수 방지와 회복을, 원자력추진 분야는 별도 조직이 담당하도록 역할을 구분하고 있다. 국내에서도 두 체계의 적용 경계를 명확히 하고, 해수계통·전력계통처럼 두 영역이 맞닿는 계통에 대해서는 확인 책임과 기준을 사전에 정리하여 중복과 공백을 함께 방지할 필요가 있다. 감항성 관리 과정에서 축적된 기준 체계와 단계별 확인 절차, 제3자 확인 조직은 이러한 연계의 출발점이 될 수 있다.

세 번째는 결정론적 확인과 확률론적 평가의 결합 측면이다. 두 방식의 차이는 표 6과 같다. 교량에 비유하면, 40톤 차량이 지나가도 무너지지 않도록 설계되었고 실제로 견디는지를 확인하는 것이 결정론적 확인이라면, 교량이 붕괴할 확률이 어느 정도인지를 계산하는 것이 확률론적 평가이다. NNBE에 따르면 미 해군 잠수함 프로그램의 정량적 안전성 평가는 본질적으로 결정론적이며, 확률론적 위험평가(PRA)는 유의미한 수준으로 활용되지 않는다[2]. 국내 잠수함의 플랫폼 안전 역시 결정론적 확인으로 관리되어 왔다.

반면 원자력 안전은 여러 고장이 겹쳐 발생하는 사고 시나리오의 빈도를 평가하는 확률론적 방법을 중요한 도구로 활용한다. 사고가 극히 드물지만 결과가 크고, 개별로는 사소한 고장 여럿이 겹쳐 일어나기 때문이다. 핵추진잠수함은 두 방식이 한 척 안에서 함께 적용되는 첫 사례가 되는 만큼, 평가 방법과 판단 기준, 그리고 이를 수행할 전문인력을 함께 준비할 필요가 있다.

결론

본 기고에서는 미 해군 SUBSAFE 등 해외 사례와 국내 잠수함 안전관리체계의 발전 과정을 살펴보고, 핵추진잠수함 안전관리체계 구축을 위한 과제를 제시하고자 하였다. 해외 사례에서 확인할 수 있듯이 안전관리체계는 설계를 대신하는 것이 아니라, 설계가 의도대로 구현되고 수명주기 동안 유지되고 있음을 보증하는 장치이며, 그 효과는 장기간의 사고 통계로도 확인되고 있다.

국내 잠수함 안전관리체계는 사업별 안전통제활동에서 출발하여 제3자 확인에 기반한 감항성 관리로 발전하였고, 이제 법률에 근거한 원자력 안전관리라는 새로운 단계를 앞두고 있다. 각 단계는 단절된 것이 아니라 이전 단계에서 축적된 기준과 절차, 조직 위에 놓여 있다는 점에서, 감항성 관리를 통해 구축해 온 제3자 확인 체계와 경험은 핵추진잠수함 안전관리의 중요한 기반이 될 것이다.

앞서 제시한 확인 조직의 독립성 확보, 플랫폼 안전과 원자력 안전의 경계 설정 및 연계, 결정론적 확인과 확률론적 평가의 결합이 제도 설계 단계에서부터 함께 고려된다면, 핵추진잠수함 안전관리체계가 국제적으로 신뢰받는 수준으로 정착할 수 있을 것으로 기대한다. 아울러 본 기고가 잠수함 안전관리에 대한 이해를 넓히고 관련 제도 발전 논의에 작은 보탬이 되었으면 한다.