제7부 자율성·군집

7.11 유무인 협업과 감독 제어: 한 사람이 여러 대를 운용할 때

7.11.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자

무인기 운용의 경제성과 안전은 결국 한 질문으로 모인다. 한 사람이 몇 대를 맡을 수 있는가. 조종사 한 명이 한 대를 몰면 무인화의 비용 이득이 거의 없고(1.16.8), 한 사람에게 너무 많이 맡기면 예외가 동시에 발생할 때 아무도 제때 조치하지 못한다. 이 장은 사람이 기체를 직접 모는 대신 계획하고 지시하고 감시하다가 예외에만 개입하는 감독 제어(supervisory control)를 다루고, 그 한계를 수로 계산한다.

배우는 것:

• 감독 제어의 구조 — Sheridan의 다섯 기능(계획·지시·감시·개입·학습)과 사람·컴퓨터·링크·기체의 2중 루프.
• 팬아웃과 대기열 — 방치 시간과 상호작용 시간으로 정의한 팬아웃의 원래 식, 그리고 평균이 아니라 기다림의 꼬리로 대수를 정하는 대기열 모형.
• 상호작용 시간의 구성 — 경보 인지·상황 재파악·자료 확인·판단·명령으로 쪼개고, 온보드 처리와 선택 전송(6.11)이 그 시간을 얼마나 바꾸는지.
• 자동화 편향과 신뢰 교정 — 오용과 불용, 경보를 믿는 만큼만 응답하는 사람에게 맞춘 경보 문턱.
• 경보 설계·인계·원격 운항 센터 — 경보 부하, 운용자 사이의 인계, 기한 안에 사람이 오지 못할 때의 기본 동작, AAM의 다수 기체 감독 계획.
• 규제 상태 — 한 사람의 다수 기체 운용에 대한 미국의 현행 규정과 규칙안, 그 밖의 관할에서 확인한 것과 확인하지 못한 것.

선수 지식: 지상통제소의 경보 층과 오경보 피로는 2.11.4, 지연이 조종 수준을 정하는 계산은 2.11.5·2.11.6, 1:N의 첫 계산은 2.11.8, 선택 전송과 영상 조각은 6.11·3.12.9, 1:N의 링크 용량은 3.10.9다. 인간요인 이론의 일반은 8.18, 조종자가 아닌 주변 사람과 드론의 상호작용은 7.16, 자율성 수준의 틀은 7.3, 승무 체계는 16.8, 통제 인계는 16.7가 맡는다. 수식은 확률과 대기열 수준이다.

특히 중요한 독자: 사업·운영 담당자는 7.11.4·7.11.12에서 인원 계획이 어디서 나오는지 본다. 엔지니어·HMI 설계자는 7.11.5·7.11.7·7.11.8을 본다. 인증·운용 승인 담당자는 7.11.10과 7.11.16을, 정책·법무 담당자는 7.11.10·7.11.11을 먼저 본다.

기준 시점과 경계. 이 장은 2026년 10월을 기준으로, 지식은 2026년 중반까지 반영했다. 수치는 일반적 모형, 교육용 가정이며 특정 운영자·제품의 값이 아니다. 계산은 파이썬 표준 라이브러리로 했다(mil-uam/fig-src/7.11-model.py·7.11-calc.py). 규제는 1차 출처로 확인한 것만 단정하고 나머지는 (확인 필요)로 두었다. 기업의 운용 계획은 (공개 주장치)다. 유인기와 무인기의 전술적 협업(MUM-T)은 10.9, 무기 체계의 의미 있는 인간 통제(MHC)는 19.3이 맡으며 이 장은 장 단위로만 지시한다.

7.11.2 개념·직관 — 사람의 자리가 루프 안에서 루프 위로

감독 제어는 사람이 제어 루프를 직접 닫지 않고, 루프를 닫는 컴퓨터에게 목표를 주고 그 결과를 감시하는 방식이다(Sheridan, 1992). 원격조종(사람이 루프 안)에서 자동 비행(사람이 루프 위)으로 가는 이동이다(0.2.6). 사람은 손을 덜 사용하지만 머리는 더 사용한다. 언제 개입할지를 판단해야 하고, 개입할 때는 그동안 보지 않던 상황을 몇 초 안에 다시 파악해야 한다.

결론부터: 한 사람이 맡을 수 있는 대수는 기체가 사람을 부르는 빈도와 한 번 부를 때 드는 시간으로 정해진다. 그런데 평균만으로 정하면 너무 크게 잡힌다. 예외는 몰려서 오고, 기다리는 동안 기체는 사람 없이 대기를 유지해야 한다. 그래서 대수의 설계는 대기열의 꼬리, 상호작용 시간을 줄이는 HMI, 사람이 오지 못할 때 기체가 취하는 기본 동작을 함께 정하는 일이다.

세 축의 요구는 이렇게 다르다.

7.11.3 감독 제어의 구조 — 다섯 기능과 2중 루프

Sheridan은 감독자의 일을 다섯 기능으로 나눴다. ① 계획 — 목표와 제약을 정하고 자동화가 할 수 있는 것을 이해한다. ② 지시(teach) — 계획을 자동화가 알아듣는 명령으로 바꾼다. ③ 감시 — 실행이 계획대로인지 본다. ④ 개입 — 이상이 있으면 지시를 고치거나 직접 제어한다. ⑤ 학습 — 결과를 다음 계획에 반영한다. 다수 기체 감독에서 시간의 대부분은 ③이고, 한계는 ④가 동시에 발생할 때 온다.

2중 루프가 이 구조의 핵심이다. 안쪽의 빠른 루프(자세 안정화, 근접 회피, 비상 절차)는 기체 쪽 컴퓨터가 링크와 상관없이 닫는다. 바깥의 느린 루프(목표, 경로, 예외 판단)에 사람이 있다. 링크 지연이 0.04 s(아날로그 영상)에서 0.84 s(정지궤도 위성)까지 걸리므로(2.11.6) 사람이 닫을 수 있는 루프는 경로점 지시 수준이다. 사람에게 빠른 루프를 맡기는 1:N 설계는 없다. 사람이 어느 단계(정보 수집·분석·결정·실행)를 얼마나 맡는지의 수준 틀(Parasuraman·Sheridan·Wickens, 2000)과 그 밖의 자율성 수준 체계는 7.3가 다룬다.

7.11.4 한 사람이 몇 대까지 — 팬아웃과 대기열

팬아웃(fan-out)은 한 사람이 동시에 운용할 수 있는 기체 수다. Olsen·Wood(2004)의 원래 정의는 다음과 같다.

$$FO=\frac{AT}{IT},\qquad AT=O\cdot IT+NT$$

비행 중인 무인기는 사람이 다루는 동안에도 계속 날므로 $O=1$이고, 그러면 $FO=1+NT/IT$가 된다. 2.11.8이 "원문 확인 필요"로 남긴 단순화 식은 원래 정의에서 중첩을 1로 둔 것과 같다. 방치 시간 270 s에서 상호작용 시간 30·10·5 s의 팬아웃은 10·28·55대다.

팬아웃은 평균의 식이다. 사람이 쉬는 틈 없이 일하고 기체가 줄을 서지 않는다고 가정한다. Cummings·Mitchell(2008)은 여기에 기다림(상호작용 대기, 줄 서기, 상황 인식을 되찾는 시간)을 더하면 예측 대수가 크게 준다는 것을 보였다. 이 장은 기다림을 유한 모집단 대기열(기계 수리공 모형)로 계산한다. 기체 $N$대가 각자 평균 $NT$마다 사람을 부르고, 운용자 $c$명이 평균 $IT$씩 처리한다(둘 다 지수 분포, 선착순).

읽을 것 셋. ① 팬아웃을 채우면 줄이 생긴다. 상호작용 30 s에서 10대를 맡으면 평균 대기가 상호작용 시간의 두 배이고, 요구의 40 %가 1분 넘게 기다린다. ② 이용률 70 % 규칙만으로는 꼬리를 막지 못한다. 같은 규칙이 상호작용 30 s에서는 18 %, 5 s에서는 0.4 %의 긴 기다림을 남긴다. 상호작용이 길수록 한 건이 줄 전체를 막기 때문이다. ③ 상호작용 시간이 가장 큰 지렛대다. 30 s를 10 s로 줄이면 "60 s 넘게 기다릴 확률 5 % 이하·이용률 70 % 이하"로 맡을 수 있는 대수가 3대에서 20대로 늘어난다. 2.11.8의 결론(평균보다 동시 발생이 대수를 정한다)을 확률로 이어 준 셈이다.

몰려 오는 예외는 대기열 모형의 독립 가정을 깬다. 링크 하나의 장애, 같은 기상 변화, 지상 기준국 고장은 여러 기체를 한꺼번에 개입이 필요한 상태로 만든다(2.11.8). $k$건이 동시에 오고 운용자 $c$명이 평균 $IT$씩 처리하면 마지막 건은 대략 $(\lceil k/c\rceil-1)\,IT$를 기다린다.

(상호작용 26.9 s, 7.11.5의 값.) 1명이 8건을 받으면 마지막 기체는 3분 넘게 기다린다. 동시 예외의 크기와 그 동안 기체가 지속하는 시간이 대수를 정하는 두 번째 조건이고, 그래서 공통 원인 예외는 사람이 한 건씩 처리하지 않고 묶어서 한 번에 처리하는 명령(전체 귀환·전체 제자리 비행)을 둔다. 단계적 무인화의 마지막 단계에서 쌓아야 할 증거가 "동시 예외 데이터"라는 1.16.7.2의 지적이 이것이다.

7.11.5 상호작용 시간을 쪼개 보기 — 자료가 어디에 있는가

상호작용 시간은 하나의 숫자가 아니다. 후보 탐지 한 건을 확인하는 일(6.11의 수색 워크스루)을 쪼개면 다음과 같다(교육용 가정).

같은 확인을 원본 열 영상 10 s를 링크로 받아서 하면 받는 데만 172 s가 걸리고(6.11) 상호작용 시간은 196.4 s가 된다. 팬아웃은 11.0대에서 2.4대로, "60 s 넘게 기다릴 확률 5 % 이하·이용률 70 % 이하"의 기준으로 맡을 수 있는 대수는 4대에서 1대로 준다. 온보드 처리와 선택 전송이 1:N을 가능하게 하는 것은 링크 용량(3.10.9)뿐 아니라 사람의 시간 때문이다. 대가는 사람이 원본 대신 기체가 고른 것을 보고 판단한다는 점이다. 기체가 놓친 대상은 사람에게 오지 않는다(6.11). 조각만으로 판단할 때 판단 시간과 오류가 실제로 얼마나 달라지는지는 측정 자료가 부족한 연구 질문이다(3.12).

평균만큼 분산이 중요하다. 대기열 이론의 Pollaczek–Khinchine 식에서 평균 대기는 처리 시간의 제곱 평균에 비례한다. 평균이 27 s라도 몇 건이 2~3분 걸리면(원본 요청, 고객 통화, 관제 협조) 그동안 줄 전체가 막힌다. 긴 상호작용을 따로 받는 줄이나 담당자를 두는 것이 흔한 대응이다.

상황 재파악은 작아 보여도 대수와 함께 커진다. 맡은 기체가 많을수록 한 기체를 다시 볼 때까지의 간격이 길어지고, 그동안 바뀐 것을 따라잡는 시간이 는다. Cummings·Mitchell이 상황 인식을 되찾는 대기를 가장 큰 손실로 꼽은 이유다. 화면 설계는 "무엇이 바뀌었는가"를 먼저 보여 주어 이 시간을 줄인다.

7.11.6 작업부하와 상황 인식

작업부하는 일의 양과 사람의 여력 사이의 관계다. 대기열 모형의 이용률은 그 객관적 근사이고, 주관적으로는 NASA-TLX(Hart·Staveland, 1988) 같은 설문 척도로 잰다. 이용률이 높으면 예외가 줄을 서고, 낮으면 다른 문제가 생긴다. 할 일이 없는 긴 감시에서는 경계 저하(vigilance decrement)로 드문 신호를 놓치기 쉽다. 1:N 운영센터는 이 두 극단 사이에서 일을 고르게 배분해야 한다.

상황 인식은 인지·이해·예측의 세 수준이다(Endsley, 1995, 2.11.7). 감독 제어에서는 사람이 루프 밖에 오래 있을수록 개입 순간의 상황 인식이 낮다. 이를 루프 밖 문제(out-of-the-loop)라 한다(Endsley·Kiris, 1995). 자동화가 잘 돌아갈수록 사람은 덜 보게 되고, 자동화가 실패하는 드문 순간에는 가장 어려운 일을 가장 준비가 덜 된 상태에서 맡는다. Bainbridge(1983)가 자동화의 역설(ironies of automation)이라 부른 구조다.

대응은 셋이다. 개입 전에 요약과 예측을 보여 주는 화면, 감시자를 주기적으로 루프에 넣는 운용(수동 구간·점검 과제), 그리고 사람이 맡을 수 없는 시간 척도의 일을 사람에게 남기지 않는 설계(7.11.8)다. 인간요인의 일반 이론과 측정은 8.18이 다룬다.

교대와 피로도 1:N에서는 무게가 달라진다. 한 사람의 판단 실수가 여러 기체에 한꺼번에 걸리고, 교대 순간에는 맡은 기체 전부의 상황이 함께 넘어간다. 교대 인계의 절차와 근무 시간은 16.8·16.7, 피로 관리 기준은 20.16이 다룬다.

7.11.7 자동화 편향과 신뢰 교정

사람과 자동화의 관계는 네 가지로 어긋난다(Parasuraman·Riley, 1997). 오용(misuse)은 자동화를 지나치게 믿어 그 실패를 놓치는 것이고, 불용(disuse)은 믿지 않아 쓸모 있는 경보까지 무시하는 것이다. 오용의 한 형태인 자동화 편향은 자동화의 제안을 확인 없이 따르는 경향이고, 안주(complacency)는 자동화를 덜 살피는 경향이다(Parasuraman·Manzey, 2010). 목표는 높은 신뢰가 아니라 교정된 신뢰(calibrated trust), 즉 자동화의 실제 신뢰도에 맞는 신뢰다(Lee·See, 2004).

경보에 대한 사람의 반응은 두 가지로 나눠 본다(Meyer, 2004). 경보가 울렸을 때 따르는 순응(compliance)과, 경보가 없을 때 정상이라 믿는 의존(reliance)이다. 오경보가 많으면 순응이 붕괴한다("양치기 소년" 효과). 실험에서 많은 참가자가 경보에 경보가 진짜일 확률만큼 응답하는 확률 맞춤을 보였다(Bliss·Gilson·Deaton, 1995). 이 행동을 단순화해 경보 설계에 넣어 보았다. 결정 창마다 진짜 이상이 있을 확률을 1 %로 두고, 경보의 분별력을 신호 탐지 이론의 $d'$로 나타냈다. 경보가 진짜일 확률(PPV)은 2.11.4.3과 같은 식이다.

$$P_D=\Phi(d'-c),\quad P_{FA}=\Phi(-c),\quad \mathrm{PPV}=\frac{\pi P_D}{\pi P_D+(1-\pi)P_{FA}},\quad \text{실효 처리율}=P_D\times\mathrm{PPV}$$

읽을 것 셋. ① 민감한 경보가 사람을 거치면 가장 둔하다. $d'=3$의 경보를 문턱 1.0에 두면 이상의 98 %에 울리지만 경보 열에 하나도 진짜가 아니어서, 믿는 만큼 응답하는 운용자를 거친 처리율은 6 %다. ② 최적 문턱은 탐지기만 보면 보수적으로 보이는 곳에 있다. 처리율이 가장 높은 문턱 2.84에서 경보는 이상의 56 %에만 울리지만 넷 중 셋이 진짜여서 40 %가 처리된다. ③ 분별력이 신뢰를 산다. $d'$가 4로 오르면 최적 처리율이 73 %로 뛴다. 경보의 품질을 올리는 투자가 문턱 조정보다 크게 작용한다. 확률 맞춤은 실험실에서 관찰된 경향을 단순화한 것이어서 실제 운용자의 반응은 훈련·결과의 무게·경보의 근거 표시에 따라 다르다. 그래도 경보 설계의 목표를 탐지기의 감도가 아니라 사람을 거친 결과로 두어야 한다는 결론은 이 가정에 크게 기대지 않는다.

자동화 편향의 증상은 두 가지로 나타난다. 자동화가 틀린 제안을 했을 때 그대로 따르는 실행 오류(commission)와, 자동화가 알려 주지 않은 이상을 사람도 놓치는 누락 오류(omission)다. 다수 기체 감독에서는 뒤의 것이 더 위험하다. 기체가 보내는 후보와 경보만 보게 되므로 기체가 놓친 것은 사람에게 존재하지 않는다(6.11·6.12.12). 설계로 줄이는 방법은 넷이다.

1. 근거를 함께 보인다. 판단마다 점수와 원본 조각을 보여 주어 확인이 실제로 일어나게 한다.
2. 위험이 큰 결정은 능동 확인을 요구한다. 기본값으로 넘어가지 않게 한다(2.11.10의 위험 명령 방호와 같은 논리).
3. 정답을 아는 사례를 섞는다. 검토 흐름에 점검용 사례를 넣어 운용자의 미탐지를 잰다(6.12.12).
4. 자동화가 실패하는 경우를 훈련한다. 시뮬레이터에서 드문 실패를 일부러 보여 신뢰를 교정한다(16.16).

7.11.8 경보 설계와 인계 — 사람이 오지 못할 때

경보 부하는 대수에 비례한다. 1분 창마다 판정하는 $d'=3$ 경보를 기체 40대에 달면, 문턱 1.0에서는 오경보가 시간당 377건, 최적 문턱에서는 5.4건이다. 앞의 것은 사람이 감당할 수 없고 곧 무시된다. 대수가 늘수록 기체 하나의 오경보율을 더 낮춰야 하는 이유다.

링크 장애처럼 근본 원인 하나가 여러 경보를 내면 하나로 묶어 보여 준다(2.11.4.3). 경보에 "얼마나 확실한가"를 등급으로 함께 보여 주는 가능도 경보 표시(Sorkin 외, 1988) (서지 확인 필요)는 확률 맞춤을 더 나은 판단으로 바꾸려는 설계다. 공정 산업의 경보 관리 표준(ISA-18.2, IEC 62682)이 운용자당 경보율을 관리하는 틀을 준다 (판·수치 확인 필요).

줄 서는 순서도 설계다. 선착순은 단순하지만, 긴급도가 다른 예외가 섞이면 급한 것이 뒤에서 기다린다. 긴급도 순서는 급한 것을 앞세우지만 덜 급한 것이 굶을 수 있다. 어느 쪽이든 기한이 있는 예외는 기한 안에 사람이 오지 못할 확률을 계산해야 한다. 그 확률이 곧 기본 동작(사람의 응답이 없을 때 기체가 스스로 취하는 안전 동작 — 제자리 비행, 귀환, 착륙)이 작동하는 비율이다. 7.11.4의 표에서 상호작용 30 s·7대라면 예외의 18 %가 60 s 안에 사람을 만나지 못한다. 기한 60 s의 예외라면 다섯 번에 한 번은 기체 혼자 처리해야 한다. 그래서 기본 동작은 예외 처리의 일부로 설계하고 시험한다(2.6).

인계는 두 가지다. 운용자 사이의 인계(교대, 업무 재배분)에서는 명령 권한이 한 번에 한 석에만 있어야 하고 인계는 명시적 확인으로 끝난다(2.11.10·16.7). 자동화에서 사람으로의 인계에서는 사람이 상황을 되찾는 시간을 예산에 넣는다.

7.11.9 원격 운항 센터 — AAM의 다수 기체 감독

AAM의 자율 비행 계획은 감독 제어 그 자체다. Wisk와 Boeing은 2022년 9월 공개한 운용개념에서 지상의 감독자가 자율 비행하는 여러 대를 맡는 구조를 제시했고, 한 사람이 최대 세 대를 동시에 감독하는 비율이 보도되었다 (공개 주장치, 2차 보도). 2026년에는 Wisk가 NASA와의 시뮬레이션에서 한 감독자가 일반 교통 속의 무인 기체 세 대를 조율하는 시험을 했다고 보도되었다 (2차 보도). 배송에서는 원격 운영센터의 1:N이 이미 운용 중이다. FAA는 현재의 1:N 운용이 대부분 Part 107·135의 배송이라고 밝혔다(7.11.10).

왜 승객 기체는 비율이 작은가를 같은 모형으로 볼 수 있다. 기체가 평균 10분(600 s)마다 감독자를 부르고 한 번에 60 s가 든다고 가정한다(교육용).

이용률은 세 대에서도 27 %에 불과하지만, 20 s 안에 사람이 와야 하는 예외라면 일곱 번에 한 번은 20 s 넘게 기다린다. 승객 기체의 비율은 평균 부하가 아니라 기한 있는 예외가 정한다. 그래서 1:N 감독을 하려면 시간이 급한 비상(동력 상실, 충돌 회피, 링크 상실)은 기체가 스스로 처리하고, 감독자는 몇 분 단위의 결정(목적지 변경, 승객 대응, 관제 협조)을 맡는 분업이 필요하다. 그 분업의 인증 쟁점은 15.23·15.6, 운항 통제의 절차는 16.12이 다룬다. 원격 운항 센터의 시설·인간공학은 2.11.3.2가 맡는다.

7.11.10 규제 쪽 상태 — 한 사람이 여러 대를 운용할 때

읽는 법. 미국 규칙안은 숫자 대신 입증의 틀을 정했다. 운영자는 정상·비정상·비상에서 감당할 수 있음을 보여야 하고, 그 방법은 산업 표준이나 FAA의 개별 검토에 맡겼다. 이 장의 대기열 계산(7.11.4)과 경보 부하(7.11.8), 그리고 군집 시험(7.10)이 그 입증의 재료가 된다. 인원 자격과 훈련 표준은 20.15이 다룬다.

7.11.11 유인기와의 협업, 의미 있는 인간 통제와의 경계

이 장의 제목에 사용한 유무인 협업은 사람과 무인 체계가 역할을 나눠 함께 임무를 수행하는 넓은 뜻(human-machine teaming)이다. 유무인 복합(MUM-T)은 그 가운데 유인기 승무원이 무인기의 센서나 비행을 지휘하는 운용이다. 조종석 안의 사람이 감독자를 겸하므로 작업부하와 정보 표시의 문제가 이 장과 같지만, 운용 개념·협동전투기(CCA)·교리는 10.9이 다룬다. 지상통제소의 상호운용 수준(STANAG 4586의 상호운용 수준 구분)은 9.7가 다룬다.

의미 있는 인간 통제(MHC)는 무기 체계에서 사람이 판단과 책임을 유지해야 한다는 규범 논의다. 이 장의 계산(대기열의 꼬리, 루프 밖 문제, 확률 맞춤)은 "사람이 루프 위에 있다"는 말이 실제로 무엇을 보장하는지 묻는 데 쓰일 수 있다. 그 규범과 국제 논의는 19.3, 운용자 윤리는 19.12이 다룬다. 이 장은 무기 운용의 자율화를 다루지 않는다.

7.11.12 수치 예시·워크스루 — 배송 기단 40대의 원격 운영센터

과제. 한 지역에서 배송 기체 40대가 동시에 비행한다. 기체는 평균 270 s마다 사람을 부르고(2.11.8과 같은 가정), 한 번의 상호작용은 7.11.5의 26.9 s다. 기준은 "60 s 넘게 기다릴 확률 5 % 이하, 이용률 70 % 안팎"이다. 모든 값은 교육용 가정이다.

읽을 것 셋. 첫째, 풀이 인원을 절반으로 줄인다. 같은 기준에서 고정 배정은 10명, 한 줄을 나누는 풀은 5명이다. 한 사람이 바쁠 때 다른 사람이 받아 주기 때문이다. 대가는 인계가 잦아지고 기체마다 "누가 지금 맡고 있는가"를 분명히 해야 한다는 점이다(7.11.8). 둘째, 병목은 링크가 아니라 사람이다. 링크는 74대까지 여유가 있지만 사람은 1인당 8대 안팎에서 막힌다. 셋째, 이 결과는 경보를 최적 문턱에 두고 영상 조각으로 확인한다는 두 전제 위에 있다. 어느 하나가 붕괴하면 같은 인원으로 운영할 수 없다. 1:N의 사업성은 1.16.8의 손익 계산(감독 비율 2대 안팎에서 비용이 줄기 시작한다는 OPV 화물의 예)과 같은 구조이고, 이 장의 계산은 그 비율의 위쪽 한계를 준다. 운영 원가와 드론 스테이션의 구성은 14.16가 이어 받는다.

7.11.13 설계 트레이드오프

① 고정 배정 1:N. 운용자마다 정해진 기체를 맡는다. 책임이 분명하고 상황 인식이 유지되지만, 한 사람의 예외가 몰려도 옆 사람이 돕지 못해 인원이 많이 든다.

② 풀 방식. 여러 운용자가 한 줄의 예외를 나눠 받는다. 같은 기준에서 인원이 절반 가까이 준다(7.11.12). 대가는 기체를 처음 보는 운용자가 예외를 받는 일이 잦아 상황 재파악 시간이 늘고, 명령 권한의 인계 절차가 복잡해진다.

③ 자율 확대. 예외의 종류를 줄이고, 기한이 짧은 예외는 기체의 기본 동작에 맡겨 사람의 상호작용 자체를 줄인다. 팬아웃을 가장 크게 늘리지만 자율 기능의 보증 부담(7.4·7.8)과 자동화 편향의 위험이 커진다.

견해: 1:N의 설계는 ③으로 시간이 급한 일을 사람에게서 빼고, ②로 남은 예외를 나누며, 상호작용 시간을 줄이는 HMI에 가장 먼저 투자하는 순서가 합리적이라고 본다. 근거는 셋이다. 첫째, 7.11.4의 계산에서 대수를 가장 크게 바꾸는 것은 인원 수보다 상호작용 시간이었다. 둘째, 7.11.9의 계산처럼 기한이 짧은 예외는 이용률이 낮아도 꼬리에서 사람을 기다리게 하므로, 그런 예외를 사람에게 남기는 설계는 대수를 늘릴 수 없다. 셋째, 7.11.7의 결과대로 경보의 품질이 사람의 순응을 정하므로, 경보를 늘려 안전을 사려는 시도는 오히려 처리율을 떨어뜨린다. 이 판단의 약한 고리는 모형의 가정(지수 분포, 독립 예외, 확률 맞춤)이다. 실제 운영 자료로 상호작용 시간과 예외의 몰림을 재는 것이 다음 일이다.

7.11.14 세 축 비교

7.11.15 관련 규격·프로토콜

한 사람의 다수 기체 감독을 직접 다루는 기술 표준은 확인하지 못했다. 미국 규칙안은 그런 산업 표준이 만들어질 것을 전제로 했다. 유료 규격은 공개 요약의 범위에서만 다뤘다.

7.11.16 관련 규제·인증 요구와의 연결

7.11.17 함정과 한계

이 장의 한계도 밝혀 둔다.

• 대기열 모형은 지수 분포와 독립 예외를 가정했다. 실제 예외는 기상·링크 장애로 몰려 오고 상호작용 시간의 분포는 꼬리가 길어, 이 장의 꼬리 확률은 낙관적일 수 있다.
• 확률 맞춤은 실험실 행동의 단순화다. 실제 순응은 훈련·결과의 무게·근거 표시에 따라 다르다.
• 상호작용 시간의 구성 값은 가정이다. 실제 운영 자료로 재야 한다.
• 규제는 미국 규칙안을 1차 출처로 확인했을 뿐이다. 최종 규칙과 다른 관할은 해당 장에서 확인한다.

7.11.18 체크포인트·연구 질문

체크포인트

1. Olsen·Wood의 팬아웃 식에서 중첩 $O$를 1로 두면 왜 $FO=1+NT/IT$가 되는가?
2. 방치 시간 270 s, 상호작용 10 s에서 19대를 맡을 때와 28대를 맡을 때 60 s 넘게 기다릴 확률은 각각 얼마인가?
3. 영상 조각 대신 원본을 받아 확인하면 상호작용 시간과 팬아웃이 어떻게 바뀌는가?
4. 경보가 진짜일 확률이 0.06인 경보에 운용자가 확률 맞춤으로 응답하면 이상 처리율은 얼마가 되는가($P_D=0.977$)?
5. 기한이 20 s인 예외에서 1:3 감독자가 기다리게 될 확률은 얼마이며, 설계는 이를 어떻게 다뤄야 하는가?
6. 고정 배정과 풀 방식에서 40대에 필요한 인원을 비교하고 그 이유를 말하라.

연구 질문 — 이 장에서 파생되는 열린 주제(25.7에 모은다)

1. 실측 상호작용 시간 — 배송·점검 원격 운영센터의 예외 종류별 상호작용 시간과 몰림의 분포를 재어, 대기열 모형의 가정을 어떻게 고쳐야 하는가?
2. 선택 전송의 판단 품질 — 영상 조각만 보고 판단할 때 상호작용 시간과 오류(미탐지·오판)가 원본을 볼 때와 어떻게 다른가(3.12·6.11)?
3. 신뢰를 교정하는 경보 표시 — 확신 등급과 근거를 함께 보여 주는 경보가 다수 기체 감독에서 순응과 처리율을 얼마나 올리는가?
4. 1:N 입증의 표준 — 미국 규칙안이 요구하는 "감당 가능한 대수"를 입증하는 시험 시나리오와 합격 기준은 무엇이어야 하는가(7.10)?

1차 출처(이 장)

• Sheridan, T. B., Telerobotics, Automation, and Human Supervisory Control, MIT Press, 1992.
• Olsen, D. R.; Wood, S. B., "Fan-out: Measuring Human Control of Multiple Robots," Proceedings of CHI 2004, ACM, 2004.
• Cummings, M. L.; Mitchell, P. J., "Predicting Controller Capacity in Supervisory Control of Multiple UAVs," IEEE Transactions on Systems, Man, and Cybernetics — Part A 38(2), 2008.
• Parasuraman, R.; Sheridan, T. B.; Wickens, C. D., "A model for types and levels of human interaction with automation," IEEE Transactions on Systems, Man, and Cybernetics — Part A 30(3), 2000.
• Parasuraman, R.; Riley, V., "Humans and Automation: Use, Misuse, Disuse, Abuse," Human Factors 39(2), 1997.
• Parasuraman, R.; Manzey, D. H., "Complacency and Bias in Human Use of Automation: An Attentional Integration," Human Factors 52(3), 2010.
• Lee, J. D.; See, K. A., "Trust in Automation: Designing for Appropriate Reliance," Human Factors 46(1), 2004.
• Bliss, J. P.; Gilson, R. D.; Deaton, J. E., "Human probability matching behaviour in response to alarms of varying reliability," Ergonomics 38(11), 1995.
• Meyer, J., "Conceptual Issues in the Study of Dynamic Hazard Warnings," Human Factors 46(2), 2004.
• Endsley, M. R., "Toward a Theory of Situation Awareness in Dynamic Systems," Human Factors 37(1), 1995.
• Endsley, M. R.; Kiris, E. O., "The Out-of-the-Loop Performance Problem and Level of Control in Automation," Human Factors 37(2), 1995.
• Bainbridge, L., "Ironies of Automation," Automatica 19(6), 1983.
• Hart, S. G.; Staveland, L. E., "Development of NASA-TLX," in Hancock, P. A.; Meshkati, N. (eds.), Human Mental Workload, North-Holland, 1988.
• 14 CFR 107.35·107.205, 그리고 FAA·TSA, "Normalizing Unmanned Aircraft Systems Beyond Visual Line of Sight Operations"(규칙안), 90 FR 38212, 2025-08-07(§108.210·§108.545).

출처를 찾고 판을 추적하는 방법은 0.9에서 다룬다.

다음 장: 제8부의 첫 장 8.1에서는 요구공학과 MBSE를 다룬다. 이 장까지가 자율성과 사람의 역할을 기술로 본 것이라면, 제8부는 그 기술을 요구로 적고 안전을 입증하는 체계공학의 틀이다. "한 사람이 감당할 수 있는 대수"나 "기한 있는 예외의 자동 처리" 같은 이 장의 결론도 결국 추적 가능한 요구가 되어야 인증의 증거가 된다.