패트리어트 미사일 소프트웨어 실패: 24비트 타이밍 오류가 다란 참사를 일으킨 방법

1. 요약 (Executive Summary)

1991년 2월 25일, 걸프전 중에 이라크의 스커드 미사일이 사우디아라비아 다란에 있는 미군 막사로 접근했습니다. 이 영공은 미국 패트리어트 미사일 포대(제7방공포병연대 제2대대 알파 포대)가 방어하고 있었습니다. 이 포대는 100시간 이상 연속으로 가동되고 있었습니다.

스커드 미사일이 영공에 진입했을 때 패트리어트 레이더가 이를 감지했습니다. 그러나 소프트웨어의 24비트 제한 정밀도 시간 변환(limited-precision time conversion)의 유한한 정밀도로 인해 시스템의 내부 클럭이 약 0.3433초 어긋나 있었습니다. (GAO) 스커드 미사일의 비행 속도는 초당 약 1,676미터이므로, 이 타이밍 오류는 패트리어트의 계산된 거리 게이트를 이동시켜 날아오는 미사일이 더 이상 추적 창 안의 중앙에 적절히 위치하지 않게 만들었습니다.

추적 계산이 부정확해져 시스템은 다가오는 스커드의 잘못된 위치를 탐색하게 되었고 궤적을 유지하는 데 실패했습니다. 따라서 알파 포대는 미사일과 교전하지 않았습니다. 스커드 미사일은 막사에 명중하여 28명의 군인이 사망하고 100명 이상이 부상을 입었습니다. 이 사건은 군사 역사상 가장 치명적이고 방대하게 기록된 소프트웨어 엔지니어링 실패 중 하나로 남아 있습니다.

2. 패트리어트 시스템이란? (What Was the Patriot System?)

패트리어트(위상 배열 추적 레이더를 이용한 표적 요격 시스템)는 주로 항공기와 순항 미사일 위협을 방어하기 위한 이동식 대공 방어 시스템으로 개발되었습니다. 이후 단거리 탄도 미사일에 대한 사용은 본질적으로 다른 추적 요구 사항을 부과했습니다.

물체를 요격하기 위해 패트리어트 시스템은 다음과 같은 지속적인 예측 루프를 수행합니다.

1. 감지 (Detect): 레이더가 이상 물체를 감지합니다.
2. 추적 (Track): 소프트웨어가 속도와 궤적을 계산합니다.
3. 예측 (Predict): 다음 레이더 스윕 시 물체가 있어야 할 위치인 “거리 게이트(range gate)”(하늘의 작은 영역)를 생성합니다.
4. 확인 (Verify): 다음 스윕 시 물체가 거리 게이트 안에 나타나면 적대적인 표적으로 확인됩니다. 나타나지 않으면 잘못된 반향(클러터 또는 노이즈)으로 간주되어 폐기됩니다.

걸프전 동안 패트리어트는 날아오는 탄도 미사일(스커드)을 요격하도록 수정되었습니다. 스커드는 항공기보다 훨씬 빠른 마하 5(약 1,676 m/s)의 속도로 비행합니다. 이러한 속도에서 “거리 게이트” 계산은 절대적인 시간적 정밀도를 요구했습니다.

3. 1991년 2월 25일의 실패 (The February 25, 1991 Failure)

소프트웨어 성능 저하의 정확한 타임라인은 회계감사원(GAO, 1992)에 의해 기록되었습니다.

매개변수	디지털 표현	물리적 현실	증거 상태
시스템 가동 시간	100시간	100시간	[DOCUMENTED] 알파 포대는 4일 동안 재부팅되지 않았습니다.
클럭 드리프트	내부 시간이 0.34초 뒤처짐	현실 시간은 정확함	[DOCUMENTED] 1/10의 지속적인 고정소수점 절삭으로 인해 발생했습니다.
추적 게이트	거리 게이트가 표적 뒤로 이동함	스커드는 물리적으로 앞서 있었음	[DOCUMENTED — GAO] 표적이 허용 가능한 창을 벗어났습니다.
시스템 분류	궤적 거부됨	다가오는 적의 탄도 미사일	[DOCUMENTED] 소프트웨어가 궤적 추적을 취소했습니다.
사상자	충돌 전 궤적 거부됨	28명의 미군 사망	[DOCUMENTED] 스커드가 육군 막사에 충돌했습니다.

4. 24비트 시간 변환 오류의 작동 방식 (How the 24-Bit Time-Conversion Error Worked)

이 실패는 시스템의 아키텍처 내에서 시간이 어떻게 표현되고 변환되었는지에 기인합니다.

4.1 클럭 (The clock)

패트리어트의 내부 컴퓨터는 경과 시간을 1/10초 단위로 유지했습니다.

4.2 변환 (The conversion)

추적 소프트웨어는 계산에 적합한 형태의 경과 시간을 필요로 했으며, 내부 시간 값을 실수(real-number) 표현으로 변환해야 했습니다.

4.3 정밀도 한계 (The precision limitation)

컴퓨터는 이 변환을 위해 24비트 표현을 사용했습니다. 사용할 수 있는 정밀도가 유한했기 때문에, 변환 과정에서 점점 더 커지는 경과 시간 값을 임의의 정확도로 표현할 수 없었습니다. 중요한 특성은 경과 시간 값이 커질수록 정밀도 손실도 커졌다는 점입니다.

4.4 누적 (The accumulation)

결과적으로 패트리어트가 계속 가동됨에 따라 추적 계산은 점점 더 부정확해졌습니다. GAO는 시간 부정확성이 1시간 후 약 0.0034초, 8시간 후 0.0275초, 그리고 약 100시간 후 0.3433초에 도달했다고 계산했습니다. (GAO)

4.5 추적의 결과 (The tracking consequence)

그러한 시간 부정확성은 예상된 레이더 거리 게이트의 변위로 이어졌습니다. 약 100시간 경과 시, GAO는 거리 게이트 변위가 약 687미터에 이른다고 계산했습니다. (GAO)

5. 오류가 누적된 이유 (Why the Error Accumulated)

근본적인 문제는 런타임에 의존적이었습니다. 내부 클럭 값이 커질수록 실수로 변환하는 과정에서의 정밀도 손실은 더 커졌습니다. 결과적인 타이밍 부정확성은 따라서 연속 가동에 비례하여 증가했습니다. GAO는 패트리어트의 컴퓨터 아키텍처, 어셈블리어 추적 프로그램, 그리고 추적 부정확성을 유발한 기계어 명령어를 분석함으로써 이 메커니즘을 독립적으로 검증했습니다. (GAO)

6. 왜 100시간이 중요했는가 (Why 100 Hours Mattered)

타이밍 오류는 단순히 모든 클럭 틱마다 독립적으로 적용되는 고정된 오류가 아니라 런타임에 의존적이었습니다. 내부 시간 값이 증가함에 따라 24비트 변환은 해당 값을 점점 더 낮은 정밀도로 표현할 수밖에 없었습니다. 따라서 결과적인 시간 부정확성은 연속 가동 시간과 함께 증가했습니다.

GAO는 시간 부정확성이 1시간 후 약 0.0034초, 8시간 후 0.0275초, 약 100시간 후 0.3433초에 도달했다고 계산했습니다. (GAO)

재부팅은 경과 시간을 초기화했기 때문에, 이 시스템은 런타임에 의존적인 고장 모드를 가지고 있었습니다. 재부팅은 컴퓨터의 클럭을 다시 초기화하여 누적된 타이밍 오류를 리셋했습니다. GAO는 몇 시간마다 재부팅함으로써 상당한 거리 게이트 이동을 제거할 수 있었다고 언급합니다. 8시간의 가동 시간만으로도 이미 측정 가능한 성능 저하가 발생했으며, 100시간은 오류를 치명적인 영역으로 밀어 넣었습니다.

7. 거리 게이트는 어떻게 실패했는가 (How the Range Gate Failed)

타이밍 오류는 패트리어트의 예상 거리 게이트를 실제 표적에 비해 어긋나게 만들었습니다. GAO는 약 100시간의 연속 작동이 0.3433초의 타이밍 부정확성과 약 687미터의 거리 게이트 변위를 초래했다고 계산했습니다. (GAO)

런타임	시간 부정확성	약 거리 게이트 변위
1 시간	0.0034 초	7 m
8 시간	0.0275 초	55 m
20 시간	0.0687 초	137 m
48 시간	0.1648 초	330 m
72 시간	0.2472 초	494 m
100 시간	0.3433 초	687 m

타이밍 오류는 계산된 거리 게이트를 너무 많이 이동시켜 시스템이 다가오는 스커드 미사일의 궤적을 더 이상 유지할 수 없게 만들었습니다. 따라서 알파 포대는 미사일과 교전하지 않았습니다. (GAO)

8. 참사 이전에 있었던 경고 (The Warning That Came Before the Disaster)

시스템의 운영 가정은 걸프전 배치에서의 장기간 연속 가동을 적절히 고려하지 못했습니다. 비극은 단순히 소프트웨어 버그가 있었다는 점만이 아닙니다. 시스템은 치명적인 사건 이전에 측정 가능한 고장 모드를 나타냈지만, 조직은 그 증거를 실패를 예방할 수 있을 만큼 구체적인 운영 한계로 변환하지 못했습니다.

패트리어트 프로젝트 사무소는 2월 11일 이스라엘 측으로부터 약 8시간 연속 가동 후 상당한 거리 게이트 저하를 보여주는 데이터를 받았습니다. (GAO) 관계자들은 이를 조사하여 소프트웨어 변경을 수행했고, 이는 2월 16일에 배포되었습니다. 2월 21일, 사무소는 매우 긴 런타임이 거리 게이트를 이동시킬 수 있다는 경고를 사용자들에게 보냈지만, 결정적으로 그 경고는 무엇이 매우 긴 런타임인지 명시하지 않았습니다. 시스템을 둘러싼 운영 가정은 걸프전 중에 마주친 것과 같은 장기간의 연속 가동을 예상하지 못했습니다.

9. 2월 11-25일의 경고-실패 연쇄 (The February 11–25 Warning-to-Failure Chain)

참사로 이어진 조직 및 기술적 사건의 연쇄:

• 2월 11일: 이스라엘 데이터가 상당한 거리 게이트 저하를 확인함.
• 2월 11-16일: 패트리어트 프로젝트 사무소가 조사를 진행하고 소프트웨어 수정을 개발함.
• 2월 16일: 수정된 소프트웨어 버전이 배포됨.
• 2월 21일: 패트리어트 사용자들에게 경고가 발송됨.
• 2월 25일: 다란 포대가 100시간 이상 연속 작동함.
• 2월 25일: 스커드 미사일이 추적되거나 요격되지 않음.
• 2월 25일: 스커드가 막사를 타격함; 28명의 군인 사망.
• 2월 26일: 수정된 소프트웨어가 다란에 도착함.

10. GAO가 확립한 사실 (What the GAO Established)

내용 (Claim)	출처 (Source)	신뢰도 (Confidence)
~100시간 가동 시간	GAO	[DOCUMENTED — GAO]
~100시간 후 0.3433초 시간 부정확성	GAO	[DOCUMENTED — GAO]
~100시간 후 687m 거리 게이트 변위	GAO	[DOCUMENTED — GAO]
28명 사망	GAO	[DOCUMENTED — GAO]
2월 11일 이스라엘 경고 데이터	GAO	[DOCUMENTED — GAO]
2월 16일 수정된 소프트웨어	GAO	[DOCUMENTED — GAO]
2월 21일 경고	GAO	[DOCUMENTED — GAO]
런타임 임계값이 정량화되지 않은 경고	GAO	[DOCUMENTED — GAO]
원래 테스트 스위트의 커버리지	GAO 보고서에 기록 없음	[UNKNOWN — INSUFFICIENT RECORD]
엔지니어들이 매일 재부팅을 예상했음	기록 없음	[UNKNOWN — INSUFFICIENT RECORD]

11. 증거가 확립하지 않는 것 (What the Evidence Does Not Establish)

증거가 입증하는 것:

• 0.1초 단위 클록 틱을 초 단위로 변환하는 24비트 제한 정밀도 시간 변환 오차가 가동 시간에 비례하여 누적됨.
• 약 100시간 연속 가동 후 0.3433초의 시계 지연이 발생하여 레이다 추적 레인지 게이트가 687미터 밀려나 스커드 미사일 추적을 상실함.

증거가 입증하지 않는 것 (What the evidence does NOT establish):

• 현장 운용 인력의 고의적 과실; 사고 전 전파된 경고문에는 구체적인 연속 가동 시간 제한 수치가 명시되지 않았음.
• 레거시 대공 방어 소프트웨어 개발 당시 24비트 변환 정밀도를 선택한 구체적인 설계 의도.

12. 근본 원인 분석 (Root-Cause Analysis)

더 깊은 근본 원인: 적절한 운영 한계가 없는 누적 오류

수치적 근사치 그 자체는 매우 작고 예측 가능했습니다. 위험한 특성은 그 오류가 경과 시간에 따라 커진다는 것이었고, 운영 환경은 결국 런타임이 원래 계산의 기초가 된 가정보다 훨씬 커지도록 허용했습니다.

두 번째 실패: 조직은 알고 있었다

2월 11일부터 2월 25일까지의 과정은 조직적 실패를 보여줍니다. 조직은 런타임에 따른 성능 저하 증거를 관찰하고 소프트웨어 수정을 개발했지만, 수정된 소프트웨어가 다란 포대에 도달하기 전에 구체적인 운영 한계를 설정하고 전달하는 데 실패했습니다.

13. 현대 엔지니어링의 교훈 (Modern Engineering Lessons)

이 사건은 임베디드 시스템, 안전 필수 소프트웨어, 그리고 운영 가정의 교차점에 있습니다. 국소적으로는 타당했던 수치적 절충(24비트 제한 정밀도 시간 변환)이 소프트웨어가 계산을 둘러싼 가정이 감내할 수 있는 시간보다 오래 가동되었을 때 어떻게 안전하지 않은 상태가 되는지를 보여줍니다.

소프트웨어 재사용과 검증되지 않은 런타임 가정이 시스템 안전 인터록을 우회한 유사한 아키텍처 결함은 테락-25 방사선 과다조사 참사와 수치 변환 오버플로로 폭발한 아리안 5호 501편 비행 사고에서도 반복되었습니다. 정량화되지 않은 운영자 경고에 의존하기보다 자동화된 어설션(assertion)으로 모든 운영 가정을 시스템 경계 내에 구속해야 합니다.

14. 과거와 현재 (Then vs. Now)

시스템 매개변수	이전	수정 방향
시간 계산	24비트 제한 정밀도 시간 변환	수정된 시간 계산
운영 지침	구체적인 런타임 임계값 없음	명시적인 런타임 제한 및 재시작 절차
경고 커뮤니케이션	“매우 긴 런타임”	정량화된 운영 지침

15. 자주 묻는 질문 (FAQ)

패트리어트 미사일 소프트웨어 실패의 원인은 무엇인가요?

직접적인 기술적 원인은 패트리어트 무기 제어 소프트웨어의 누적 타이밍 오류였습니다. 24비트 레지스터 제한으로 인해 시스템의 내부 정수 시간을 실수로 변환할 때 정밀도 손실이 발생했습니다. 100시간 이상 연속 작동한 후 누적된 타이밍 오류는 레이더의 추적 거리 게이트를 이동시켜 포대가 다가오는 스커드 미사일 궤적을 유지하지 못하게 했습니다.

왜 0.3433초의 오차가 치명적이었나요?

스커드 미사일은 초당 약 1,676미터(마하 5)로 비행합니다. 0.3433초의 타이밍 오차는 패트리어트의 계산된 거리 게이트를 크게 이동시켰습니다. 추적 계산이 부정확해져 시스템은 다가오는 스커드의 잘못된 위치를 탐색하게 되었고 궤적을 유지하는 데 실패했으며, 시스템은 표적과 교전하는 대신 궤적을 거부했습니다.

공격 전에 버그에 대해 알고 있었나요?

네. 패트리어트 프로젝트 사무소는 2월 11일 거리 게이트가 크게 이동함을 보여주는 이스라엘 데이터를 받았습니다. 2월 16일 수정된 소프트웨어 버전이 배포되었고, 2월 21일 사용자들에게 매우 긴 런타임에 대해 경고하는 메시지가 발송되었지만 결정적으로 그 임계값을 정의하지 않았습니다. 수정된 소프트웨어는 공격 하루 뒤인 2월 26일 다란에 도착했습니다.

이것은 하드웨어 실패인가요, 아니면 소프트웨어 실패인가요?

이것은 아키텍처의 불일치였습니다. 근간이 되는 24비트 표현은 유한한 정밀도의 제약을 부과했고, 소프트웨어의 시간 변환 로직은 해당 레지스터 제한에 맞추기 위해 정밀도를 잃었습니다. 결과적인 근사치는 수학적으로 예측 가능했지만, 그것의 누적된 영향은 배치된 운영 환경에서 적절하게 제한되지 않았습니다. 실패는 또한 알려진 런타임 종속 소프트웨어 한계의 배치 맥락과 운영 처리와도 관련이 있었습니다.

16. 1차 출처 (Primary Sources)

• GAO Report: Patriot Missile Defense - Software Problem Led to System Failure at Dhahran, Saudi Arabia
  • 입증 내용: 24비트 제한 정밀도 시간 변환의 정확한 기술적 메커니즘, 100시간 후의 정확히 0.3433초 드리프트, 687미터 레이더 추적 거리 게이트의 변위, 그리고 이스라엘의 경고 및 지연된 소프트웨어 수정 타임라인.
• College of Science and Engineering - The Patriot Missile Failure
  • 입증 내용: 패트리어트 타이밍 오류에 대한 기술적 수학 분석 및 이진법에서의 1/10 순환 소수 표현.

아키비스트의 판결

아키비스트의 분석: 다란 패트리어트 실패는 운영 목적의 변질(operational drift)에 대한 잔혹한 교훈입니다. 시스템의 시간 계산에서 발생한 작은 수치적 근사치가 가동 시간과 함께 누적되어 결국 작전상 치명적인 수준이 되었습니다. 결정적인 시스템 실패는 단순히 근사치가 존재했다는 것만이 아니라, 배치 환경이 장기간의 연속 가동을 요구했고 이에 따른 성능 저하가 이미 관찰되었음에도 조직이 수정된 소프트웨어가 해당 포대에 도달하기 전에 구체적인 런타임 한계를 설정하고 전달하지 않았다는 점입니다. 이 사건은 수학적으로 미미한 오류가 소프트웨어 설계나 운영 지침을 통해 누적이 제한되지 않을 때 어떻게 안전에 치명적인 실패로 이어질 수 있는지를 보여줍니다.