[차량용SW에 경고등 켠 '시청역 사고'③] 소프트웨어로 급발진 사고...도요타 1조3000억 벌금 불렀다

  [이코노믹데일리] 지난 2010년은 미국 자동차 시장에서 승승장구하던 도요타에게 지옥과 같은 때였다. 차량 급발진 의심 사고로 전 세계에서 1000만대에 달하는 도요타 차량이 리콜(결함 시정)됐고 제작사인 도요타는 2014년 12억 달러, 당시 원·달러 환율로 1조3000억원 가까운 벌금을 물게 됐다.

이른바 '페달 게이트'로 불리는 도요타 급발진 사태는 차량 결함을 축소하려는 제조사의 부도덕성을 알렸다. 그리고 전자 제어 소프트웨어(SW)의 오류 가능성이 실재할 수 있음을 보여준 사례가 됐다.
이후 10년 넘는 시간이 지나는 동안 자동차에는 더 많은 전자 장비와 SW가 탑재됐고 사람들의 불안은 커졌다.

이코노믹데일리는 15일 페달 게이트에 그칠 뻔한 사건을 'SW 게이트'로 반전시킨 미국 바 그룹(Barr Group) 보고서를 분석했다.

익명을 요청한 자동차 업계 관계자는 "도요타 급발진 사태가 보여주듯이 기본적으로 완성차업체들이 소프트웨어 코드를 오픈하지 않기 때문에 소비자들은 알기 힘들다"며 "미 법원이 인용한 바 그룹 보고서는 차량의 소프트웨어 결함이 항상 있을 수 있다는 걸 보여주는 사례"라고 지적했다.
  ◆'페달 게이트'로 그칠 뻔한 도요타 급발진

도요타 급발진 사태의 시작은 2007년부터 보고된 차량 가속 페달 결함이다. 가속 페달이 오작동해 차량이 멋대로 속력을 높이는 현상이 일어났다. 미국 도로교통안전국(NHTSA)은 2010년까지 도요타 급발진 사고로 미 전역에서 89명이 사망하고 57명이 다쳤다고 파악했다.

페달 게이트라는 별칭이 붙은 건 사고 초기 운전석 바닥에 깔린 매트가 문제로 지목되면서부터다. 도요타는 2007년 9월 운전석 바닥 매트가 규격에 맞지 않아 가속 페달이 매트에 끼어 빠지지 않을 수 있다며 2007·2008년식 캠리와 렉서스 ES350 차량 5만5000대를 리콜했다.

그러다 2009년 9월 NHTSA는 매트가 문제가 아니라는 사실을 발견했다. 일부 차량에서 가속 페달과 연결된 회전축 부위 스프링의 내구성 부족 현상이 나타났다. 발을 떼면 스프링 장력에 의해 원위치로 와야 할 가속 페달이 눌린 상태로 유지됐다. 도요타는 이 같은 결함을 당국에 제때 보고하지 않았고 2010년 4월 NHTSA로부터 1600만 달러의 과징금 처분을 받았다.

2010년 2월엔 예상치 못한 방향으로 상황이 전개됐다. 미 의회가 도요타를 상대로 개최한 청문회에서 단순 가속 페달 결함이 아닌 전자제어장치(ETCS 또는 엔진제어모듈·ECM) 오작동에 의해 운전자 의도와 다른 가속이 발생할 가능성을 제기했다.

자동차 엔진은 외부 공기를 빨아들여 연료와 혼합한 뒤 폭발을 일으키면서 동력을 발생시킨다. 이때 스로틀밸브가 개폐를 반복하며 흡입 공기량을 제어한다. 얼마나 열 것인지는 운전자가 가속 페달을 밟는 정도에 따라 ETCS가 결정한다.

NHTSA는 미 의회 의뢰로 그해 3월부터 미 항공우주국(NASA)과 함께 ETCS 오작동 가능성을 조사했다. 사고가 난 도요타 차량에 탑재된 ETCS 동작 SW의 소스코드도 분석했다.​ 하지만 이듬해 1월 NHTSA는​​​​​ "ETCS 오작동으로 예상치 못한 가속(급발진)이 발생했다는 증거를 찾지 못했다"고 밝혔다.
  ◆'SW 오류로 급발진 가능성' 판결… 30초간 이상 가속 현상 재현

NHTSA 발표로 도요타는 매트와 가속 페달 부품 리콜만으로 사안을 매듭짓는 듯했으나 2013년 급발진 사건과 관련한 민사 소송으로 또 다시 반전이 일어났다. 임베디드 SW(하드웨어와 결합된 SW) 전문가인 마이클 바 전 존스홉킨스대학 교수와 바 그룹이 도요타 차량의 ETCS에 결함이 발생할 수 있다는 사실을 입증해 냈다.

바 그룹은 NHTSA·NASA 보고서를 토대로 2007년 급발진 의심 사망 사고를 일으킨 2005년식 캠리 차량의 ETCS SW 소스코드를 분석했고 '스파게티 코드'로 이뤄졌다는 사실을 발견했다. 스파게티 코드란 SW가 작동하는 언어인 소스코드가 스파게티 면처럼 얽히고설킨 것을 말한다.

바 그룹은 도요타 ETCS SW의 소스코드가 국제 표준을 충족하지 않았고 일부는 시험 또는 유지보수(수정)가 아예 불가능한 상태였다는 걸 밝혀 냈다. 이로 인해 '비트 플립' 발생 가능성도 찾아냈다. 비트 플립은 스로틀밸브 열림 정도와 관련한 코드 위치(비트) 값이 뒤집힌(flip) 걸 의미한다. 운전자 의도와는 다른 가속이 일어날 수 있다는 게 바 그룹의 분석이다. 바 그룹은 30초간 해당 현상이 일어났고 SW 오동작에 대비한 안전 장치가 무력화됐다는 실험 결과도 제시했다.

바 그룹의 보고서가 나온 2013년 10월 미 법원은 2005년식 캠리 급발진 사고 피해자와 유족에 승소 판결했다. SW 오류에 의한 차량 급발진 가능성이 미국 법정에서 처음으로 인정된 셈이다.