라인을 멈출 권한을 누구에게 주는가 — 안돈 코드가 실제로 하는 일

공장 천장에 줄이 하나 늘어져 있다. 조립 라인 옆에서 일하는 작업자가 이상한 걸 발견하면 그 줄을 당긴다. 전광판에 불이 들어오고, 조장이 달려오고, 몇십 초 안에 해결되지 않으면 라인 전체가 선다.

도요타 생산방식(TPS)에서 안돈(andon)이라 부르는 장치다. 원리는 단순한데, 이 장치가 담고 있는 결정은 단순하지 않다. 시간당 수억 원이 걸린 라인을 세울 권한을, 그 라인에서 가장 직급이 낮은 사람에게 준다는 뜻이기 때문이다.

왜 하필 가장 낮은 자리에 그 권한을 주는가

이유는 정보의 위치다. 불량은 언제나 현장에서 먼저 보인다. 나사가 반 바퀴 덜 들어갔다는 사실은 그 나사를 조인 사람만 안다. 보고 체계를 따라 위로 올라가면 두 가지 일이 생긴다. 시간이 걸리고, 표현이 완만해진다. 그사이 라인은 계속 돌고, 같은 결함을 가진 제품이 계속 쌓인다.

TPS의 기저에 깔린 판단은 이것이다. 결함을 안고 계속 만드는 비용이, 지금 멈추는 비용보다 크다. 라인을 세우면 손실이 눈에 보인다. 세우지 않으면 손실은 보이지 않는 채로 뒤 공정과 고객에게 넘어간다. 뒤로 갈수록 수리 비용은 급격히 커지고, 어느 시점부터는 리콜이라는 이름으로 돌아온다.

여기서 흔히 오해되는 지점이 있다. 안돈의 목적은 ‘멈추는 것’이 아니라 ‘멈춰도 되게 만드는 것’이다. 줄을 당겼는데 질책이 돌아오면 다음부터 아무도 당기지 않는다. 그러면 줄은 남아 있지만 장치는 죽는다. 권한을 설계하는 일과 그 권한을 쓸 수 있는 분위기를 만드는 일은 별개의 공사다.

2024년 이후 보잉 — 멈춤을 제도로 되돌리는 작업

이 원리를 다시 세우는 작업이 최근 가장 크게 벌어진 곳은 항공기 제조다. 보잉은 2024년 이후 안전·품질 강화 계획을 공개하고 진행 상황을 갱신해 왔다. 내용을 보면 도요타식 사고의 재도입에 가깝다.

핵심 장치 중 하나가 traveled work의 축소다. 원래 앞 공정에서 끝냈어야 할 작업이 완료되지 않은 채 다음 단계로 ‘따라가는’ 것을 말한다. 라인을 세우지 않기 위한 편법이자, 결함이 하류로 흘러가는 경로다. 보잉은 위험 평가 절차를 확대해 2025년 8월 기준 traveled work를 최대 50%까지 줄였다고 밝혔다.

같은 방향의 수치가 이어진다.

• 2025년 10월 — 위치토 공장에 라인 끝 검사 공정을 도입한 뒤 737 MAX 동체 결함 약 45% 감소
• 2025년 6월 — 솔트레이크 시설의 작업 공간을 재설계한 뒤 737 전기장비 선반 결함 80% 감소

관리 지표도 바꿨다. 보잉이 추적한다고 밝힌 여섯 가지 지표는 종업원 숙련도, 이탈 통지(Notice of Escape) 재작업 시간, 협력사 결품, 항공기당 재작업 시간, 롤아웃 시점의 미완결 작업 건수, 티케팅 성과다. 전부 속도가 아니라 결함과 재작업을 보는 숫자라는 점이 중요하다. 지표가 산출량만 보고 있으면 현장은 절대 라인을 세우지 않는다.

여기에 주간 단위로 모여 문제를 푸는 종업원 참여 팀(Employee Involvement Teams)과, 우려를 제기하는 Speak Up 창구가 붙는다. 줄을 당기는 손과, 당긴 다음 문제를 실제로 푸는 조직이 한 세트로 움직여야 한다는 인식이 반영된 구조다.

소프트웨어에는 안돈 코드가 없었다 — 2024년 7월

제조업 얘기로만 보이지만, 이 원리가 없어서 가장 크게 무너진 사례는 소프트웨어에서 나왔다.

크라우드스트라이크가 2024년 8월 6일 공개한 근본 원인 분석 보고서는 그해 7월 19일 장애의 경위를 이렇게 정리한다. 배포된 콘텐츠 파일(Channel File 291)에서 센서 코드가 넘긴 입력 파라미터는 20개였는데, 템플릿 정의는 21개를 기대하고 있었다. 21번째 값을 읽으려는 시도가 배열 범위를 넘는 메모리 읽기를 일으켰고, 시스템이 멈췄다.

더 중요한 건 왜 걸러지지 않았는가다. 보고서가 든 이유는 네 가지다.

첫째, 와일드카드가 문제를 가렸다. 초기 테스트는 21번째 필드에 와일드카드 매칭을 썼기 때문에 범위 초과가 발생하지 않았다. 실제 배포된 인스턴스가 처음으로 구체값을 넣으면서 문제가 드러났다.

둘째, 컴파일 단계 검증이 없었다. 제공된 입력 개수가 템플릿 정의와 일치하는지 확인하는 절차 자체가 존재하지 않았다.

셋째, 스트레스 테스트의 범위가 좁았다. 와일드카드를 쓴 일반적 인스턴스만 시험했다.

넷째, 검증기 로직이 틀려 있었다. 콘텐츠 검증기가 21개 입력이 제공될 것이라고 잘못 가정하고 문제 있는 콘텐츠를 통과시켰다.

여기서 안돈의 관점으로 볼 대목은 마지막에 있다. 당시 콘텐츠 업데이트는 사실상 한 번에 전체로 나갔고, 받는 쪽에는 그것을 세울 손잡이가 없었다. 라인이 돌고 있는데 줄이 아예 달려 있지 않았던 셈이다.

시정 조치는 정확히 그 손잡이를 다는 작업이었다. 크라우드스트라이크는 콘텐츠 배포를 단계적 링(deployment rings) 구조로 바꿔 좁은 범위에서 먼저 내보내고, 텔레메트리를 수집하는 대기 기간을 둔 뒤 넓히거나 되돌리도록 했다. 그리고 고객이 신속 대응 콘텐츠를 언제 어디에 배포할지 직접 고르게 했다. 컴파일 타임 필드 검증과 런타임 배열 경계 검사도 추가됐다.

기술 용어를 걷어내면 문장은 하나로 줄어든다. 라인을 멈출 권한을 현장에 되돌려 준 것이다.

안돈이 실패하는 방식

권한을 준다고 선언하는 것과 그 권한이 작동하는 것은 다르다. 실패는 대개 세 가지 형태로 온다.

첫째, 줄은 있는데 지표가 반대 방향을 가리키는 경우. 평가가 가동률·산출량·배포 빈도만 본다면 멈춤은 곧 감점이다. 이 상태에서 “언제든 멈춰도 된다”는 말은 공허하다.

둘째, 멈춘 뒤에 아무도 오지 않는 경우. 안돈은 신호 장치이지 해결 장치가 아니다. 신호를 받아 몇 분 안에 붙는 사람이 없으면, 현장은 멈춤을 자기 문제로 떠안게 되고 다시는 당기지 않는다.

셋째, 멈춤 사유가 기록되지 않는 경우. 같은 이유로 다섯 번 멈췄다는 사실이 남아야 설비나 설계를 고친다. 기록이 없으면 매번 개인의 실수로 처리되고 구조는 그대로 남는다.

실무 적용 — 그래서 뭘 하면 되나

• ‘멈춤 권한’을 문서로 명시하고 이름을 붙여라 — 누가, 어떤 조건에서, 무엇을 세울 수 있는지 한 페이지로 적는다. 암묵적 권한은 압박이 들어오는 순간 사라진다.
• 멈춤은 5분 안에 사람이 붙는 SLA와 세트로 만들어라 — 신호에 응답하는 시간을 지표로 잡는다. 응답 시간이 길어지면 신호는 멎는다.
• 속도 지표 옆에 재작업 지표를 나란히 걸어라 — 보잉이 항공기당 재작업 시간과 롤아웃 시점 미완결 작업을 추적하듯, 산출량과 결함을 같은 대시보드에 둔다.
• ‘다음 단계로 넘기기’를 금지 목록에 올려라 — 미완결 작업을 하류로 흘려보내는 관행이 있는지부터 세어 본다. traveled work는 어느 산업에나 있다.
• 전면 배포를 기본값에서 빼라 — 소프트웨어든 매장 정책이든, 좁은 범위 → 관측 → 확대의 3단계를 기본으로 삼는다. 되돌릴 수 있는 상태를 유지하는 것이 곧 안돈이다.
• 멈춤 로그를 월 단위로 읽어라 — 같은 사유가 반복되면 그건 사람의 문제가 아니라 설계의 문제다.

가치 있는 것은 줄 자체가 아니다. 줄을 당긴 사람이 그다음 날 아무 일 없이 출근하는 조직이다. 그 조건이 갖춰지지 않으면, 아무리 잘 만든 장치도 천장에 매달린 장식으로 남는다.

본문의 수치는 각 기업이 공개한 보고서와 갱신 자료를 인용했다. 보잉의 개선 수치는 해당 공정·시설 기준이며 전사 지표가 아니다. 이 글은 경영 사례 분석이며 특정 종목의 매수·매도를 권유하지 않는다.