26.01.02 샌프란시스코 대규모 정전에서 얻는 교훈...로보택시 상용화의 키는 "플릿 관리"

중국과 미국에서 로보택시의 상용화 규모가 점점 커지며 로보택시의 시대가 눈 앞으로 성큼 다가온 느낌입니다. 하지만 점점 플릿의 규모가 커질수록 예상하지 못했던 위험들도 발견되기도 합니다. 소수의 로보택시가 운행할 때 확인된 문제점들을 해결하고 플릿의 규모를 10배로 늘리면, 또 다른 특이점이 발견돼 그 문제를 해결해야 하는데 그 때마다 문제 해결의 난이도는 점점 높아져 갑니다. 롱 테일의 법칙으로도 잘 알려져 있지만, 99%까지 완성하더라도 남은 1%를 해결하는 데 더 오랜 시간과 노력이 필요하며 그리고 그 1%를 해결하기 위해 우리의 노력의 99%를 사용해야 하는 이 구조는 마치 뫼비우스의 띠를 연상케 합니다. 비록 마음 먹으면 눈 앞에 로보택시를 보고, 경험하고 느낄 수 있는 시대가 왔지만 여전히 우리는 '시작의 끝'에 있는 것일지도 모릅니다.

 

https://missionlocal.org/2025/12/sf-waymo-halts-service-blackout/

Waymo halts service during massive S.F. blackout after causing traffic jams

 

지난 12월 20일, 미국 캘리포니아주 최대 전력 공급 기업인 PG&E의 변전소에서 대형 화재가 발생했습니다. 이 화재로 인해 샌프란시스코의 약 1/3에 해당하는 지역에서 12만 5천 가구와 사업장이 전기를 공급받지 못했습니다. 또한, 도심 내 신호등 7,000개가 꺼져 극심한 교통 체증을 유발했습니다. 그리고 그 중심에서 웨이모 로보택시에게 비난의 화살이 쏘아졌습니다. 샌프란시스코 전역에서 운행중인 로보택시 수 백대가 멈춰서 도로를 막아버리는 일이 발생했기 때문입니다.

 

마비된 신호등에 움직이지 못하고 늘어선 웨이모 로보택시들

 

웨이모 로보택시는 왜 멈춰섰나?

웨이모 로보택시는 신호등을 인지하여 교차로를 안전하게 주행하도록 되어 있으나, 전력 공급 두절로 신호등이 마비되자 도심 곳곳을 운행하던 수백 대의 로보택시들이 교착 상태에 이르렀고, 주변 교통 흐름을 막아 샌프란시스코 도심에는 극도로 혼잡한 상황을 유발하고 말았습니다. 물론, 웨이모 로보택시는 신호등이 고장나더라도 안전하게 이동할 수 있는 리던던시 전략을 갖추고 있습니다. 이번 사태 발생에 대한 웨이모 측의 설명에 따르면, 웨이모 로보택시는 신호등 고장 시 해당 교차로를 4-Way Stop으로 정의하고 움직이도록 되어 있다고 합니다. 4-Way Stop이란 아래 사진과 같이 교차로에 신호등은 없지만 차량이 질서있게 통행할 수 있도록 동서남부 4곳의 접근로에 모두 STOP 표지판을 설치한 경우를 말합니다. 따라서 이곳에 진입하는 모든 차량은 일단 STOP 표지판을 준수해 완전 정지해야 하고, 먼저 도착한 차량이 먼저 출발하는 룰을 준수하며 안전하게 통과하게 됩니다.

4-Way Stop

교통이 혼잡한 4-Way Stop은 인간 운전자에게도 쉽지 않은 과제일 수 있습니다. 특히, 인간은 자신이 운전하며 일정 부분 리스크를 감수하는 것과 달리, 로보택시는 안전을 최우선으로 생각하며 높은 리스크를 지지 않으려 할 것입니다. 따라서 로보택시가 인간 운전자들과 섞여 4-Way Stop을 지나가는 상황은 매우 높은 난이도의 주행 과제일 수 있습니다. 웨이모의 대변인은 웨이모 로보택시가 과도할 정도로 안전한 조치(out of an abundance of caution)를 설정해 두고 있고 AI가 스스로 안전성을 판단하지 못하면 확인 프로토콜(Confirmation protocols)을 진행한다고 설명했습니다. 즉, 이번 사태의 경우에는 교차로를 통과하는 과정에서 안전성을 로보택시 스스로 판단할 수 없다면, 원격 통신 방법으로 제어 명령을 요청 받는 것으로 이해됩니다.

자율주행차의 원격 통신 및 제어와 관련해서 미국 내에는 아직 안전 규정이 마련되어 있지 않습니다. 하지만, 업계 자발적인 Best Practice를 마련하는 등, 원격 통신과 관제는 로보택시 상용화에 반드시 필요한 요건으로 간주되고 있습니다. 웨이모 측은 이번 대규모 정전으로 인해 로보택시들로부터 원격 요청 건수가 짧은 시간에 집중적으로 급증했고, 그 결과 처리 대기와 응답 지연이 발생했다고 설명했습니다. 즉, 교통 상황을 마비 시킨 것은 근본적으로는 정전으로 인한 7,000개의 신호등 고장이었지만, 웨이모가 엄청난 원격 통신 트래픽을 동시에 감당해 내지 못함으로써 평소에 갖추고 있던 안전 프로토콜을 제대로 실행하지 못한 것이 그 다음 원인이었습니다. 

 

높아지는 원격 통신의 중요성...표준과 규제의 도입이 절실

일정 플릿 규모 이상을 운영하는 로보택시 기업들은 만일의 상황을 대비하기 위한 원격 통신(그것이 단순 관제 목적이든, 직접 제어까지 이어지든) 기능을 갖추고 있는 것으로 알려져 있습니다. 하지만 실제로 기업들의 원격 통신 및 운영에 관해 알려진 정보도 현저히 부족합니다. 예를 들어, 로보택시 한 대당 몇 명의 원격 오퍼레이터가 존재하는지, 그들에게는 어떠한 역량이 필요하며 어떻게 채용하는지, 원격 통신에 허용되는 최소 지연 시간(Latency)은 얼마인지, 요구되는 통신망 수준은 어떠한지 등 말입니다. 무엇보다 원격 통신에 대한 안전 규제가 없다보니 현재는 기업들 스스로에게 권한과 책임을 맡기고 있는 실정입니다.

웨이모는 지난해 11월, 독립 평가기관인 TUV SUD로부터 Safety Case와 원격 지원 기능에 대한 안전 검증을 받았으며 특히, AVSC에서 만든 원격 지원 사용 사례에 대한 업계 모법 사례를 준수하고 있는 것으로 확인 받았다고 발표한 바 있습니다.

https://waymo.com/blog/2025/11/independent-audits

Independent Audits of Waymo’s Safety Case and Remote Assistance Programs

SAE와 여러 자동차 기업들이 모여 만든 자율주행 안전 컨소시엄 AVSC(Automated Vehicle Safety Consortium)은 자율주행차의 안전한 운행과 관련된 다양한 Best Practice를 배포하고 있습니다. 이 중 " AVSC Best Practice for ADS Remote Assistance Use Case"는 원격 지원의 역할을 정의하고 제조사가 고려해야할 사항들을 정리한 문서로 현재까지는 원격 운영과 관련된 유일한 업계 표준으로 알려져 있습니다. 원격 통신 관련 규제가 없는 상황에서 업계의 Best Practice를 따라 개발을 하고 이를 공신력 있는 제 3자 검증 기관으로 부터 확인 받았다는 것은 신뢰성을 보여주기 충분했습니다. 하지만 이번 정전 사태로 인해 그 신뢰는 두 달을 채 가지 못했습니다.

카네기멜론 대학의 필립 쿠프먼 교수는 AVSC의 이 Best Practice의 한계점도 지적합니다. 그는 이 Best Practice가 기술 표준이 아니라 가이드라인 수준이며, 문서의 대부분이 원격 운전자와 원격 운영자의 기능적 차이를 설명하는 데 할애되어 있다고 지적했습니다. 또한, 문서의 적용 범위를 자율주행시스템을 위한 원격 지원으로만 한정함으로써, 워격 주행이나 배차, 탑승자 또는 다른 도로 사용자에 대한 고객 지원은 제외되어 있다고도 설명했습니다. 쿠프먼 교수는 이 Best Practice 자체는 문제가 되지 않지만 다양한 원격 지원 및 제어 시나리오를 포괄할 수 있을 정도로 완전하진 않다고 논평했습니다.

무엇보다 원격 통신 관련 유즈 케이스는 플릿의 규모를 고려해야 한다는 점이 이번 사태의 가장 큰 교훈으로 드러났지만, AVSC의 Best Practice는 단일 차량과의 단일 상호작용만 다루는 점이 가장 큰 문제로 지적됐습니다. 즉, 동시 다발적으로 대규모로 발생하는 원격 통신 및 지원 요청에 대한 부하를 어떻게 관리할 것인지, 연결 손실(loss of link)가 발생했을 때의 위험은 무엇이며 어떻게 관리할지가 빠져있기 때문에, 공학적 표준으로는 부족하다는 지적입니다. 쿠프먼 교수는 "위험 목록(hazard log)이 없다면 안전 공학이 아니다."라며 기술 표준으로 기능을 하기 위해서는 반드시 문서에 위험 요소가 식별돼 있어야 한다고 강조했습니다.

웨이모가 TUV SUD와의 협업을 통해 AVSC의 Best Practice에 따라 검증을 했다는 것은 결국 단일 차량과 단일 통신 기능에 한정된 것으로 보여집니다. 이번 샌프란시스코 대규모 정전 사태와 같은 위험을 식별하고 대응 역량을 검증하는 것까지는 진행이 되지 않았던 것 같습니다. 

 

이번 정전 사태가 주는 교훈

대부분의 기업에서 자율주행 S/W 개발은 아직까진 어떻게 각 차량들이 안전하게 스스로 주행을 할 수 있을지에 초점을 맞추고 있을 것으로 예상합니다. 이것만으로도 굉장히 어려운 과제이며 아직 이를 해내고 있는 기업들은 전세계에 몇 되지 않습니다. 하지만 이 과제를 해결하면, 새롭게 등장하는 특이점이 있게 마련이며 이번 정전 사태가 바로 그것을 보여주고 있습니다. 인간이 운전하던 시절에는 주행 과제의 책임이 인간에게 있기 때문에 차 한 대를 정확하게 개발하고 설계하는 데 집중을 할 수 있었습니다. 같은 차들이 플릿 관점에서 어떠한 안전 요건을 갖춰야 하는지는 고려 사항이 아니었습니다. 하지만 이번 정전 사태는 "각각의 웨이모 로보택시는 옳게 행동했지만 플릿은 마비가 되었다."는 새로운 시사점을 보여줍니다. 웨이모는 미리 정해진 안전 프로토콜에 따라 신호등이 고장 시에는 4-Way Stop 시나리오에 맞게 대응했고 이 때 AI가 스스로 판단이 어려운 안전 상황에 대해서는 원격 통신을 통해 지원을 요청했습니다. 개별 차량 단위에서는 정확하게 작동한 이 안전 기능이 플릿 단위에서는 먹통이 되어 버린 리스크 사례입니다.

또한, 자율주행차가 도시 전력, 신호 제어 시스템, 통신망 등 지역 인프라와 연동해 운행할 경우에는 인프라의 마비가 플릿의 마비로 이어질 수 있다는 교훈을 다시 한 번 되새겨 볼 수 있습니다. 다양한 인프라 중 하나라도 마비되면 차량 한 대의 성능이 아니라 플릿 거동의 문제로 증폭되며 이번 샌프란시스코 정전 사태는 도시 인프라 리스크가 어떻게 로보택시 플릿 스케일의 문제로 전이될 수 있는지를 보여줍니다.

자율주행 시스템의 주행 성능이 어느정도 임계점을 넘어서게 되면, 그 때부터 상용화의 본질은 '플릿 리스크 관리'로 전이될 것입니다. 로보택시는 이제 차 한 대를 얼마나 잘 주행하게 만들 것인지의 문제가 아닙니다. 웨이모의 플릿이 지금의 규모보다 배로 늘어나게 되면 플릿 리스크는 지금보다 더욱 피부로 와닿게 될 수 있습니다. 캘리포니아주 당국은 웨이모가 정전이나 지진, 홍수 등의 재난 상황에서 어떻게 안전하게 플릿을 관리할 수 있는지를 지속 문의해왔다고 합니다. 특히, 지진이나 홍수 같은 재난 사태에서는 구조, 구호 물자 지원 등 지역사회의 안전과 구성원들의 생명에 직결되는 긴급 차량들의 신속한 이동이 필수적인데 만약 이러한 상황에서 로보택시 플릿이 도시 곳곳에서 멈추고 긴급 차의 이동을 방해하는 상황을 연출한다면 그 부작용은 이번 정전 사태와는 비교할 수 없을 정도로 크다는 것은 자명한 일입니다.

로보택시는 이제 교통 안전 리스크를 넘어, 도시 리스크 관리 단계로 넘어가고 있습니다.