1977년 3월 27일 오후 5시 6분, 로스 로데오 공항(현 테네리페 공항(Tenerife Airport)에서 네덜란드 KLM항공기와 미국 팬암항공기가 정면충돌하여 총 583명이 사망하는 대참사가 발생하였다. 이 사고는 단일 사고로는 가장 많은 탑승객이 사망한 사고였다.

카나리나 제도는 북아 프리카 서쪽 대서양에 있는 군도로 관광지로 유명하여 한 매년 천만명의 관광객이 이 곳을 찾는곳이다. 이 군도는 7개의 섬으로 이루어져 있는데 가장 큰 섬은 테네리페와 라스 팔마스이다. 이들 항공기는 각각 암스테르담과 로스앤젤레스에서 출발하여 라스 팔마스 공항에 착륙할 예정이었지만 테러단체로부터 공항에서 폭탄이 터질 것이라는 협박 전화가 걸려왔기 때문에 라스 팔마스 공항은 임시 폐쇄되었고, 테네리페 공항으로 향했다. 라스 팔마스 공항에서는 예상대로 폭탄이 터졌지만 미미한 수준이었고 진짜 대참사는 테네리페에서 일어난다.
​

라스 팔마스 공항이 폐쇄되자 많은 항공기들이 테네리페 공항으로 몰렸다. 라스 팔마스 공항에 비해 테네리페 공항의 시설은 매우 열악했다. 활주로는 단 하나뿐이었고, 레이더도 갖추고 있지 않았다. 테네리페 공항으로 많은 대형 여객기들이 몰리기 시작했지만 사고 당일이 주말인 탓에 관제탑에는 2명 밖에 없었는데 이들은 평소와는 비교도 되지 않을 정도로 수 많은 여객기를 감당해야 했다. 공항의 주기장은 물론이고 유도로에까지 비행기가 채워졌고, 관제사 2명은 비행기의 접근, 착륙, 유도, 이륙에 이르기까지 과중한 업무를 떠 맡아야 했다.

테네리페 공항에 먼저 착륙한 비행기는 KLM항공기였다. KLM항공기에 탑승하고 있던 승객들은 모두 내려 공항 터미널에서 쉬고 있었지만 팬암기의 승객들은 공항 터미널이 포화상태이니 기내에서 머물게 하라는 지시를 받았다. 팬암기의 탑승객들은 두시간 넘게 비행기에 갇혀 있어야만 했다.
​
2시간이 지나 라스 팔마스 공항 폐쇄가 해제되었고 테네리폐 공항에 주기해 있던 여객기들이 라스 팔마스 공항을 향해 떠나기 시작했다. 팬암기는 뉴욕에서 재급유를 받아 연료가 충분했고 , 승객들이 기내에 있었기 때문에 이미 이륙할 준비가 되어 있었지만 KLM기가 앞을 가로막고 있어 이륙할수가 없었다.
​
당시 KLM의 기장은 판 잔턴 기장이었다. 그는 KLM에서도 인정받고 있는 베테랑 파일럿이었다. 당시 메우스 부기장은 현재 남은 연료로 라스 팔마스 공항으로 가는데 전혀 지장이 없다며 바로 이륙하자고 했지만 판 기장은 여기서 주유하면 시간을 절약할수 있고, 또 언제 라스 팔마스 공항이 폐쇄될지도 모른다며 부기장의 의견을 무시했다. 이러한 판 기장의 결정이 탑승객 전원 사망이라는 참사를 불러왔다.
​
KLM의 급유는 팬암기의 이륙도 지체시켰다. 팬암기의 기장은 다른 작은 여객기들이 먼저 빠져나가 이륙을 하는 장면을 보면서 판 기장의 매너없는 행동에 화가 나기 시작했다. KLM기는 급유가 끝난 뒤에도 KLM에 탑승하지 않은 승객을 찾느라 이륙은 지연되고 있었다. 시간이 지나 승객이 모두 탑승하자 KLM은 이륙준비를 하기 시작했다.
​
관제사는 KLM과 팬암기의 신속한 출발을 위해 두 대를 동시에 활주로로 진입시켜 출발위치에서 대기하도록 지시하며 팬암기는 KLM비행기 다음으로 활주로로 진입하여 KLM 뒤에 있으라고 했다. KLM은 활주로 끝에서 180도 회전한 뒤 관제소의 허가를 기다리라는 지시를 받았지만 판 기장은 아직 이륙허가가 떨어지지 않았는데도 불구하고 엔진출력을 올리며 활주로를 질주하기 시작했다. 이때 메우스 부기장은 아직 이륙허가를 받지 않은 상태라고 상황을 환기시켰지만 판 기장은 이를 무시하고 속력을 높이기 시작했다. 당시 기상상태가 몹시 좋지 않았다. 급격한 기상의 변화로 인해 가시거리는 300M이하로 내려가 있었는데 당시 규정상 이륙가능한 가시거리는 700M였다. 메우스 기장은 이미 판 기장에게 급유문제를 제기했다가 기장의 강압적인 명령에 한 풀 꺽여 있는 상태였기에 기장의 독단적인 행위를 막지 못했다.
​
부기장은 관제탑에 이륙을 하고 있다고 보고했고, 이 교신내용을 들은 팬암기이 부조종사는 아직 자신들이 활주로 위에서 이동 중임을 알렸다. 이때 교신에 전파 간섭(Half Duplex)으로 인해 잡음이 생겨 명확하게 전달되지 않았다. 하지만 판 기장은 이미 팬암기가 활주로에서 이동 중이라는 사실을 알고 있었다. KLM의 교신내용이 관제탑에 명확하게 전달되지 않았더라도 상식적으로 관제탑의 이륙 허가를 무시한채 우리는 이륙한다고 일방적으로 관제탑에 통보하는 비행기는 없었기 때문에 관제탑에서는 이 돌발상황을 전혀 예상하지 못했다.

이륙준비를 하던 팬암기는 짙은 안개속에서 자신을 향해 빠른 속도로 다가오는 물체를 감지했고, 이윽고 비행기가 움직이는게 확실해지자 경악을 금치 못했다. 팬암기장은 KLM기를 피하려고 애를 썼다. 하지만 KLM기는 시속 320km의 속도로 돌진하고 있었다. 팬암기는 좌측방향으로 랜딩기어를 급격하게 틀면서 급가속을 하여 충돌을 피해보려로 안간힘을 썼다. 판 기장도 뒤 늦게 팬암기를 발견하고 비행기를 띄우려고 애를 썼지만 연료를 가득채운 비행기는 너무 무거웠고 KLM기이 뒷 꼬리가 팬암기의 조종석 뒷부분을 강타했다. KLM기는 150m를 날아간 뒤 뒤집혀서 추락하여 300m를 미끄러졌다. 기름을 가득채우고 있었기 때문에 엄청난 폭발이 일어났고, 동체는 바로 화재에 휩싸였다. KLM 탑승객 전원은 사망했다. 하지만 구조대원들은 아직도 다수의 생존자가 남아있는 팬암기는 무시하고, 전원이 사망한 KLM기의 화재진압과 구조작업에 집중했다.
​
구조대원들은 450m 후방에 수많은 탑승객들이 생존해 있던 팬암기를 완전히 방치해 두고 있었다. 훗날 진술에 의하면 구조대원들은 팬암기가 있었는지 조차도 모르고 있었다. 구조대의 도움을 전혀 받지 못한 팬암기는 충돌후 연료가 폭발하면서 수십분후에 완파되고 말았다. 그 결과 396명의 팬암기 탑승자 중에서 기장과 부기장, 기관사, 일부 승무원과 탑승객 일부를 제외하고 335명이 사망한다.

​

이 사고의 1차적인 책임은 판 잔턴 기장에게 있었다. KLM항공은 사고의 책임이 KLM조종사들에게 있었다는 사실을 인정하고 희생자 유가족들에게 금전적인 배상을 실시했다. 판 기장의 책임이 가장 컸지만 다른 문제들도 많았다. 라스 팔마스 공항의 테러 위험에, 대피라는 명목하에 작은 공항에 너무 많은 항공기를 착륙시킨 것도 문제였다. 팬암기는 착륙직전 2시간분의 연료가 남아 있었기 때문에 상황을 지켜보며 섬 근처를 선회하는 것이 좋겠다고 제안했지만 라스 팔마스 공항의 관제사는 무조건 착륙을 지시했다. 팬암기가 착륙하자마자 라스 팔마스 공항은 곧 다시 문을 열었다.
​
KLM이 부기장의 의견을 무시한채 연료를 가득 채운 것도 문제였고 KLM기와 관제탑과의 교신도 문제였다. 전파방해가 있었지만 이들은 비표준 용어로 교신했고, 의사소통이 명확하게 전달되지 못했다. 관제사들의 영어소통 문제에 항공기 승무원들은 의사소통에 답답함을 느끼고 있었다. 또한 관제사들은 소형여객기들만 다뤄보았기 때문에 대형기에 대한 이해가 부족했고 팬암기와 KLM기와 같은 대형기를 관제해 본 경험이 없었다.
​
게다가 당시 기상악화로 관제탑이나 양쪽 비행기 모두 서로의 위치를 제대로 파악하지 못했다. 레이더도 없었던 공항이라 관제탑의 이륙정보는 모두 항공기 승무원들과의 교신 내용에만 의존해야 했다. 사고 이후에 화재진압과 구조에도 문제가 많았다. 작은 공항이라 이러한 대규모 사고에 대처하기에 인프라 부족했고, 구조대원들은 훈련도 제대로 되어 있지 않은 상태였다.
​

국제민간항공기구(ICAO: International Civil Aviation Organization)서 사용하는 안전모델중에 SHELL모델이라는 것이 있다. 이 모델의 원형은 1972년에 영국 맨체스터 대학의 앨린 에드워즈(Elwyn Edwards)가 개발하였는데 승무원을 중심으로 주변의 상호작용을 종합적으로 고려하여 안전을 향상시킬수 있는 방법을 제시하는 모델이다.
이 모델은 처음에는 크게 인정받지 못했지만 1975년에 KLM항공의 기장 출신인 프랭크 호킨스( Frank H. Hawkins)는 앨린의 SHEL모델을 수정하여 “Building Block"모형인 새로운 SHELL모델로 개량한다. 이후에 일본 Human Factors 연구소(JIHF: Japan Institute of Human Factors)에서는 이 모델을 더욱 발전시켜 M-SHELL Model 을 개발하여 현재 항공분야에 있어 대표적인 안전모델로 전 세계적으로 널리 보급되어 있다.
​

SHELL모델은 5개의 블록으로 구성된다.
1. 중앙에 있는 “L": Liveware(인간)로, 운항승무원 등 업무를 주도적으로 수행하는 사람이다.
2. 아래 부분의 "L": Liveware로, 업무에 관여하면서 지시, 명령을 하는 관제사들과 같은 사람들이다.​
3. "H": Hardware의 약자로서 항공기운항과 관련하여 승무원이 조작하는 모든 장비 장치류를 나타낸다.
4. "S": Software로, 항공기운항과 관련한 법규나 비행절차, Checklist, 기호, 최근 점차 늘어나는 컴퓨터 프로그램 등이다.
5. “E": Environment의 약자로, 주변 환경과 조종실내 조명, 습도, 온도, 기압, 산소농도, 소음, 시차 등을 나타낸다.
​
승무원을 중심으로 한 주변의 모든 요소들은 항공기운항과 직접적인 관련성을 가지고 있다. 문제의 중심에 있는 승무원만 제대로 기능한다고 해서 안전한 환경이 조성되는 것이 아니다. 다섯가지 요소 모두가 항공기의 안전한 운행이 가능하도록 제 기능과 역할을 발휘할 수 있도록 항시 최적의 상태와 조화가 이루어져야한다.
​
SHELL의 각 요소들은 일정하지 않고 수시로 변한다. 비행기 조종사도 지식의 양이나 질, 생리적 한계, 인지적 특성 등 인간의 여러가지 특성에 영향을 받는다. 하드웨어도 기체결함, 계기의 배열, 시스템의 특성, 스위치의 형상 등에 따라 조종사에게 직접적인 영향을 끼친다. 소프트웨어도 마찬가지이다.
​
실제 상황에 적용하기 어려운 복잡한 절차서는 조종사와 소프트웨어(L-S)간의 관계, 사용하기 어려운 장치는 조종사와 하드웨어(L-H)간의 관계, 어두운 정비환경과 고온 다습한 작업장은 정비사와 환경(L-E)간의 관계, 기장과 부기장, 관제사간의 껄끄러운 관계는 사람과 사람(L-L)의 관계에 간극이 생기고 문제가 발생하는 상황이라 할수 있다.
​​

M-SHELL Model은 SHELL모델의 5가지 요소 위에 M이라는 요소를 하나 더 추가한 것이다. 일본의 인간공학연구소(JIHF,Japan Institute of Human Factors)에서는 관리(M,management)을 독립적인 요소로 위성의 형태로 배치 하여 SHELL 전체 요소를 조망하면서 접촉면에 간극이 생기지 않도록 조정과 균형을 잡아주는 역할을 한다. 즉 각 요소들에게만 부적합 문제의 해소를 요구할 것이 아니라 전체를 조정하는 역할을 한다.

테네리페공항 참사는 근본적으로는 조종사에게 가장 큰 책임이 있지만 세부적으로 살펴보면 하드웨어인 레이다, 라이브웨어인 관제사와 구조대, 환경요인인 기상악화, 소프트웨어인 테네리페 공항의 관제 절차서 등의 문제가 복합적으로 맞물려 일어난 사고였다. 이처럼 재해는 한가지 요인으로만 발생하지 않고 배경에 많은 요인들이 복합적으로 얽혀있기 마련이다. 이들을 제어하고 관리하는 역할을 하는 것이 Management이다. 이러한 SHELL모델의 접근방식은 항공분야뿐만 아니라 산업계 전체에도 적용될 수 있다.
​

리스크랩연구소 홈페이지링크:

http://www.risklab.co.kr