一网瘫痪，全德停摆：GSM-R 崩溃启示录

2026 年 6 月 23 日晚上 10 点半，慕尼黑中央车站。一列 ICE 高铁正准备发车前往柏林，车厢里坐满了结束一天行程的乘客。广播响起，列车长宣布：延迟 30 分钟，无线电系统故障。

30 分钟后，广播再次响起：再延迟 2 小时。很快，车站信息屏上的所有车次统一变成了一个词——「停运」。

不只是慕尼黑。法兰克福、汉堡、科隆、柏林——德国全境的火车在同一个时刻停了下来。这不是区域性的信号故障，不是单条线路的施工维护。德意志联邦共和国整个铁路网，在同一分钟陷入静默。

一位当时正坐在慕尼黑 ICE 车厢里的 HN 用户 desertrider12 写道：「列车长先说延迟 30 分钟因为无线电不工作了，然后改口说 2 小时。他们没说是全国性故障。」另一位在埃尔福特被困 2.5 小时的乘客 mcbetz 补充：「司机们私下传消息说，是软件更新出问题了。」

罪魁祸首：一个叫 GSM-R 的「老古董」

德国铁路（Deutsche Bahn）很快确认：故障源头是 GSM-R（Global System for Mobile Communications - Railway），一套铁路专用的数字无线通信系统。

GSM-R 是什么？简单说，它是铁路版的 GSM 网络——就是那个在 90 年代让大哥大能打电话的 2G 技术。GSM-R 基于同样的核心架构，但做了铁路场景的定制。它不仅承载语音通话（调度员和司机之间的通信），更是 ETCS（欧洲列车控制系统） 的数据信道。

ETCS 是欧洲铁路信号系统的核心。在 ETCS Level 2 模式下，传统的轨旁信号灯被虚拟化——列车通过 GSM-R 网络持续从地面的无线闭塞中心（RBC, Radio Block Centre）接收「移动授权」——告诉你前方多远的轨道是安全的，可以跑多快。这种连续的车地通信一旦中断，列车上的欧洲机车信号系统就会立即进入保护模式：没有授权，就不能动。

HN 用户 lxgr 解释了机制：「ETCS（从 Level 2 开始）确实依赖 GSM-R，但核心设计是故障导向安全的：通信中断 → 移动授权丢失 → 列车停止。这是 fail-safe。」另一位用户 NamTaf 补充得更直接：「它确实 fail-safe 了。网络瘫了，列车停了——没有发生列车相撞。」

问题是，一个人均铁路出行里程在欧洲名列前茅的国家，因为一套核心通信系统的故障而全境停运——这算哪门子「安全」？

技术解剖：GSM 架构的单点之痛

要理解为什么一次故障能瘫痪全国，需要回到 GSM 网络的架构本身。

任何 GSM 网络的中枢神经是一对数据库：HLR（Home Location Register，归属位置寄存器） 和 VLR（Visitor Location Register，拜访位置寄存器）。HLR 存储每个用户（在这里是每台列车车载台）的永久身份和签约信息；VLR 维护当前漫游的位置数据。当一个 GSM-R 手持终端或车载台发起呼叫时，网络必须查询 HLR/VLR 来鉴权和定位——这两个数据库是全部通话和信令的路由中枢。

HN 用户 mschuster91 给出了一个很可能是正确的猜测：「GSM-R 是 90 年代的 GSM，很可能是一台 HLR 或 VLR 挂了——在任何 GSM 网络中，这两个都是核心，没有它们连公有网络的漫游都无法工作。」

更致命的是冗余设计。GSM-R 理论上有极高的冗余——Wikipedia 上甚至专门强调「GSM-R 具有高冗余度」。但现实是，当软件更新触发了核心数据库的级联故障后，理论上该接管的备份系统没有生效。Deutsche Bahn CEO Evelyn Palla 在事后对德国《图片报》的表态很耐人寻味：「我们用一套应急系统稳定了局面。」——也就是说，平常冗余是没生效的，得用「应急系统」才拉回来。

这是一起教科书式的 单点故障。不是因为缺乏备份设计，而是备份在关键时刻没有启动。而 GSM-R 这种层级的网络，在全欧洲都是每个国家一套核心网——没有国家间的故障切换机制，因为各国的铁路通信号码和路由规划都不同。

为什么 2026 年了还在用 2G？

这是一个好问题。GSM-R 在 1990 年代被国际铁路联盟（UIC）确定为标准，2000 年代在欧洲大规模部署。当时的技术选择是合理的：GSM 是全世界最成熟、覆盖最广的无线通信标准，产业链最完整，成本最低。

但 30 年后的今天，GSM 技术本身已经进入暮年。全球各地的运营商正在逐步关闭 2G 网络——澳大利亚 2018 年关了，美国 AT&T 2017 年关了，中国计划 2025 年前后清理 2G/3G 频率。GSM-R 之所以还能活着，完全是因为铁路行业的特殊性：安全认证周期长（一套信号系统的认证可能需要 5-10 年），设备生命周期长（机车设计寿命 30+ 年），更换成本巨大（全欧洲更换车载台和地面基站需要数千亿欧元）。

问题不只在于老旧。GSM-R 有几个先天性缺陷：

• 带宽极端有限：GSM 每条信道仅 9.6 kbps（后来 GPRS 增强到 115 kbps，但仍远不足以支持现代铁路的实时视频监控、列车状态大数据回传等需求）
• 电路交换的局限：传统 GSM-R 依赖电路交换——通话期间独占信道。ETCS 的数据通信可以用 GPRS 分组交换，但整体容量瓶颈始终存在
• 安全代差：2G 的 A5/1 加密算法早在 2009 年就被公开破解，虽然 GSM-R 额外加了安全层，但底层协议的脆弱性不可忽视
• 供应链萎缩：能维护 GSM 核心网设备的工程师越来越少，备件越来越难找

HN 用户 fnordian_slip 的评论一针见血：「这就是忽视关键基础设施三十年的后果。」

迁移之路：从 GSM-R 到 FRMCS

铁路行业已经意识到了这个问题。国际铁路联盟（UIC）正在推动 FRMCS（Future Railway Mobile Communication System，未来铁路移动通信系统） 作为 GSM-R 的继任者。

FRMCS 基于 5G 标准（3GPP 定义在 Release 17/18 中），目标不是简单的通信升级，而是为铁路的全数字化铺路：自动驾驶列车、列车编队运行、实时视频监控、乘客宽带接入——这些 GSM-R 时代不敢想的应用，在 5G 框架下都有了技术可能。

爱立信在 2026 年 5 月发布了 FRMCS 白皮书，明确提出「2026 年开始试验」。Nokia 和华为也在积极布局。欧洲 GSM-R 的频谱授权将在 2030-2035 年间陆续到期，届时必须完成迁移。

但这个时间表面临巨大的实施风险。FRMCS 不仅需要全新的基站和核心网设备，还需要在每一台机车上安装新的车载台，在所有铁路沿线部署 5G 基站——这是一项规模空前的基建工程。而且，ETCS 和 FRMCS 的集成需要通过 SIL 4（最高安全完整性等级）认证，认证周期本身就是 5-8 年。

用一位铁路信号工程师的话来说：「GSM-R 就像一个服役了 30 年的老水坝。所有人都知道它该退休了，但在新水坝建好之前，没人敢放水。」

横向观察：中国铁路的选择

中国铁路的通信系统演进提供了另一个观察维度。

中国在 2000 年代引进了 GSM-R 作为铁路专用通信标准，为 CTCS-3（中国列车运行控制系统，相当于 ETCS Level 2）提供数据承载。青藏铁路、京沪高铁、武广高铁都使用 GSM-R。中国的 GSM-R 网络规模是全球最大的——超过 10 万公里铁路覆盖。

但中国的技术路线已经转向。2020 年，中国国家铁路集团启动了 5G-R 的研发和试验。与欧洲的 FRMCS 不同，中国的 5G-R 选择了 5G NR 标准作为底层，并开发了专门的铁路应用层。2024-2025 年，环行铁道试验基地的 5G-R 试验段已完成关键性能验证，频谱分配方案也在推进中。

中国的推进速度明显快于欧洲——部分原因是中国的铁路运营体制更集中，频谱分配不需要协调 27 个成员国，安全认证流程也更直接。中国铁路的目标是在 2030 年前后实现 GSM-R 到 5G-R 的全面过渡。

但这次德国 GSM-R 的全网崩溃，给中国的铁路通信规划敲了一记警钟：新技术的部署速度再快，核心网架构中的单点故障风险不会自动消失。5G 的基于服务的架构（SBA）引入了更多的网元间信令交互，如果不从系统层面做容灾设计，新一代网络同样可能在某个单一节点故障时连锁崩溃。

不是最后一起

凌晨 12 点 25 分，慕尼黑车站的广播终于响起：无线电已修复，列车逐步恢复运行。整个事件持续了约 2.5 小时——对于一个全国性铁路瘫痪来说，算是「快速恢复」。德国铁路给滞留乘客发放了出租车券和酒店券，CEO 对着媒体说「需要查明原因」。

但根本性的问题不会因为一次紧急修复而消失。30 年没有更新的核心网、萎缩的运维能力、迟迟不落地的迁移计划——GSM-R 的这次崩溃，不是第一次，也不会是最后一次。

2022 年 10 月，德国北部的铁路通信电缆被蓄意切断，GSM-R 网络局部瘫痪数小时；2025 年，英国全国 GSM-R 也出现过一次大规模中断；2023 年，波兰铁路信号系统被黑客用简单的音频序列远程触发紧急停车——铁路通信系统的脆弱性，在欧洲已经是一张被反复刮开的彩票。

HN 上有个评论获得了高赞：「对于 DB 来说，这种级别的中断被称为『星期二』。」（For DB, this type of outage is referred to as “Tuesday”. — dfltr）

笑话的背后是一个冷峻的事实：当一个基础设施系统因为单点故障而停摆时，归因于「意外」还是归因于「管理失职」，取决于你在哪个位置看问题。对于坐在 ICE 车厢里等了两小时不知道发生什么的乘客来说，这两者没有区别。

本文的素材来自公开信息和社区讨论。如果你对这个话题有更深入的一手经验，欢迎指出文中的不足。