네트워크 하나 죽으니 독일 전역이 멈췄다: GSM-R 붕괴의 교훈
2026년 6월 23일 밤 10시 30분, 뮌헨 중앙역. 베를린으로 향하는 ICE 고속열차가 출발 준비를 하고 있었다. 객실은 하루 일정을 마친 승객들로 가득 찼다. 안내 방송이 울렸다. 열차장이 말했다: 30분 지연, 무선 시스템 고장입니다.
30분 후, 방송이 다시 울렸다: 2시간 추가 지연입니다. 곧이어 역 정보판의 모든 열차편이 하나의 단어로 바뀌었다 — ‘운행 중단’.
뮌헨만이 아니었다. 프랑크푸르트, 함부르크, 쾰른, 베를린 — 독일 전역의 열차가 같은 순간 멈춰 섰다. 지역적 신호 고장도 아니고, 단일 노선의 공사도 아니었다. 독일연방공화국의 철도망 전체가, 단 1분 사이에 침묵에 빠졌다.
당시 뮌헨 ICE 차량 안에 있던 HN 사용자 desertrider12는 이렇게 썼다: “열차장이 처음엔 무선이 안 돼서 30분 지연이라고 했다가, 2시간으로 정정했다. 전국적 장애라는 말은 안 했다.” 에르푸르트에서 2.5시간 갇혀 있던 또 다른 승객 mcbetz는 덧붙였다: “기관사들끼리 사적으로 돌던 메시지로는, 소프트웨어 업데이트가 문제라고.”
범인: GSM-R이라는 ‘고대 유물’
독일철도(Deutsche Bahn)는 곧 확인했다: 고장의 원인은 GSM-R(Global System for Mobile Communications - Railway), 철도 전용 디지털 무선 통신 시스템이었다.
GSM-R이 무엇인가? 간단히 말해, 철도판 GSM 네트워크다 — 90년대에 뿌삐(삐삐)가 전화를 걸 수 있게 했던 바로 그 2G 기술. GSM-R은 동일한 핵심 아키텍처를 기반으로 하되, 철도 환경에 맞게 커스터마이즈되었다. 음성 통화(관제사와 기관사 간 통신)를 전달할 뿐 아니라, ETCS(유럽 열차 제어 시스템) 의 데이터 채널이기도 하다.
ETCS는 유럽 철도 신호 시스템의 핵심이다. ETCS Level 2 모드에서는 전통적인 궤도변 신호등이 가상화된다 — 열차는 GSM-R 네트워크를 통해 지상의 무선 폐색 센터(RBC, Radio Block Centre)로부터 지속적으로 ‘이동 권한’을 수신한다 — 전방 어디까지 선로가 안전한지, 얼마나 빨리 달릴 수 있는지. 이러한 연속적인 차상-지상 통신이 일단 끊기면, 열차의 유럽 기관차 신호 시스템은 즉시 보호 모드로 진입한다: 권한 없으면, 움직일 수 없다.
HN 사용자 lxgr가 메커니즘을 설명했다: “ETCS(Level 2부터)는 확실히 GSM-R에 의존하지만, 핵심 설계는 장애 시 안전(fail-safe) 지향이다: 통신 두절 → 이동 권한 상실 → 열차 정지. 이것이 fail-safe다.” 또 다른 사용자 NamTaf는 더 직설적으로 덧붙였다: “실제로 fail-safe로 작동했다. 네트워크가 죽었고, 열차가 멈췄다 — 열차 충돌은 없었다.”
문제는, 일인당 철도 이동 거리가 유럽 최상위권인 국가에서, 하나의 핵심 통신 시스템 고장으로 전국이 멈춰 섰다는 점이다 — 이게 도대체 무슨 ‘안전’인가?
기술 해부: GSM 아키텍처의 단일 장애점
한 번의 장애가 어떻게 전국을 마비시킬 수 있었는지 이해하려면, GSM 네트워크 아키텍처 자체로 돌아가야 한다.
모든 GSM 네트워크의 중추 신경은 한 쌍의 데이터베이스다: HLR(Home Location Register, 홈 위치 등록기) 과 VLR(Visitor Location Register, 방문자 위치 등록기) . HLR은 각 사용자(여기서는 각 열차의 차상 장치)의 영구 신원과 계약 정보를 저장한다. VLR은 현재 로밍 중인 위치 데이터를 유지한다. GSM-R 단말기 또는 차상 장치가 통화를 개시할 때, 네트워크는 반드시 HLR/VLR을 조회하여 인증과 위치 확인을 해야 한다 — 이 두 데이터베이스는 모든 통화와 시그널링의 라우팅 중추다.
HN 사용자 mschuster91은 가능성이 높은 추측을 제시했다: “GSM-R은 90년대 GSM이므로, HLR이나 VLR 하나가 죽었을 가능성이 크다 — 어느 GSM 네트워크에서든 이 둘은 핵심이며, 이것들 없이는 공중망 로밍조차 작동하지 않는다.”
더 치명적인 것은 이중화 설계다. GSM-R은 이론상 극도로 높은 이중화를 갖는다 — Wikipedia에는 심지어 “GSM-R은 높은 이중화도를 가진다”고 특별히 강조되어 있다. 하지만 현실은, 소프트웨어 업데이트가 핵심 데이터베이스의 연쇄 장애를 촉발한 후, 이론상 인계받아야 할 백업 시스템이 작동하지 않았다. Deutsche Bahn의 CEO Evelyn Palla가 사후 독일 《빌트》지에 한 발언은 시사적이다: “우리는 비상 시스템으로 상황을 안정화했다.” — 즉, 평상시 이중화는 작동하지 않았고, ‘비상 시스템’으로 겨우 되살린 것이다.
이것은 교과서적인 단일 장애점 이다. 백업 설계가 없어서가 아니라, 백업이 결정적 순간에 기동하지 않았기 때문이다. GSM-R 수준의 네트워크는 유럽 전체에서 국가별로 하나의 코어 네트워크만 있다 — 국가 간 장애 극복 메커니즘은 없다. 각국의 철도 통신 번호와 라우팅 계획이 모두 다르기 때문이다.
왜 2026년에도 2G인가
좋은 질문이다. GSM-R은 1990년대에 국제철도연맹(UIC)에 의해 표준으로 확정되었고, 2000년대에 유럽 전역에 대규모 배포되었다. 당시 기술 선택은 합리적이었다: GSM은 전 세계에서 가장 성숙하고, 가장 널리 커버되며, 공급망이 가장 완전하고, 비용이 가장 낮은 무선 통신 표준이었다.
하지만 30년이 지난 오늘날, GSM 기술 자체는 이미 황혼기에 접어들었다. 전 세계 이통사들이 2G 네트워크를 점진적으로 폐쇄하는 중이다 — 호주는 2018년에, 미국 AT&T는 2017년에, 중국은 2025년 전후로 2G/3G 주파수를 정리할 계획이다. GSM-R이 살아남을 수 있는 이유는 순전히 철도 업계의 특수성 때문이다: 안전 인증 주기가 길고(한 신호 시스템의 인증만 5~10년이 걸릴 수 있다), 장비 수명 주기가 길며(기관차 설계 수명 30년+), 교체 비용이 막대하다(유럽 전체 차상 장치와 지상 기지국 교체에 수천억 유로가 필요하다).
문제는 낡음만이 아니다. GSM-R에는 몇 가지 선천적 결함이 있다:
- 극단적으로 제한된 대역폭: GSM의 채널당 9.6 kbps(이후 GPRS로 115 kbps까지 향상되었지만, 현대 철도의 실시간 영상 감시, 열차 상태 빅데이터 회신 같은 수요에는 여전히 턱없이 부족)
- 회선 교환의 한계: 전통적 GSM-R은 회선 교환에 의존한다 — 통화 중 채널 독점. ETCS의 데이터 통신은 GPRS 패킷 교환을 쓸 수 있지만, 전체 용량 병목은 여전히 존재한다
- 보안 세대 차이: 2G의 A5/1 암호화 알고리즘은 이미 2009년에 공개적으로 해독되었다. GSM-R이 추가 보안 계층을 더하긴 했지만, 하부 프로토콜의 취약성은 무시할 수 없다
- 공급망 위축: GSM 코어 네트워크 장비를 유지보수할 수 있는 엔지니어는 점점 줄고, 예비 부품은 점점 찾기 어려워진다
HN 사용자 fnordian_slip의 댓글은 정확히 핵심을 찔렀다: “이것이 바로 핵심 인프라를 30년간 방치한 대가다.”
전환의 길: GSM-R에서 FRMCS로
철도 업계는 이 문제를 이미 인식하고 있다. 국제철도연맹(UIC)은 FRMCS(Future Railway Mobile Communication System, 미래 철도 이동 통신 시스템) 를 GSM-R의 후계자로 추진 중이다.
FRMCS는 5G 표준(3GPP Release 17/18에서 정의)에 기반하며, 단순한 통신 업그레이드가 아니라 철도의 완전한 디지털화를 위한 포석이다: 자율주행 열차, 열차 편대 운행, 실시간 영상 감시, 승객 광대역 접속 — GSM-R 시대에는 감히 생각도 못 했던 애플리케이션들이 5G 프레임워크 아래에서 기술적으로 가능해진다.
에릭슨은 2026년 5월 FRMCS 백서를 발표하며 “2026년 시험 시작”을 명시했다. 노키아와 화웨이도 적극적으로 포지셔닝 중이다. 유럽 GSM-R의 주파수 면허는 2030~2035년 사이 순차적으로 만료되며, 그때까지는 반드시 전환을 완료해야 한다.
하지만 이 시간표는 막대한 실행 리스크를 안고 있다. FRMCS는 완전히 새로운 기지국과 코어 네트워크 장비뿐 아니라, 모든 기관차에 새 차상 장치를 설치하고, 모든 철도 연선에 5G 기지국을 배치해야 한다 — 이것은 전례 없는 규모의 인프라 공사다. 게다가 ETCS와 FRMCS의 통합은 SIL 4(최고 안전 무결성 등급) 인증을 통과해야 하며, 인증 주기 자체가 5~8년이다.
한 철도 신호 엔지니어의 표현을 빌리자면: “GSM-R은 30년 복무한 오래된 댐과 같다. 모두가 은퇴해야 한다는 것을 알지만, 새 댐이 완공되기 전까지는 누구도 물을 뺄 용기가 없다.”
횡단 관점: 중국 철도의 선택
중국 철도의 통신 시스템 진화는 또 다른 관찰 차원을 제공한다.
중국은 2000년대에 GSM-R을 철도 전용 통신 표준으로 도입했고, CTCS-3(중국 열차 제어 시스템, ETCS Level 2에 해당)에 데이터 베어러를 제공한다. 칭짱철도, 징후고속철도, 우광고속철도 모두 GSM-R을 사용한다. 중국의 GSM-R 네트워크 규모는 전 세계 최대다 — 10만 km 이상의 철도를 커버한다.
하지만 중국의 기술 경로는 이미 전환했다. 2020년, 중국국가철로그룹은 5G-R 연구개발과 시험을 시작했다. 유럽의 FRMCS와 달리, 중국의 5G-R은 5G NR 표준을 하부로 선택하고 전용 철도 애플리케이션 계층을 개발했다. 2024-2025년, 순환 철도 시험 기지의 5G-R 시험 구간은 이미 핵심 성능 검증을 완료했고, 주파수 할당 방안도 추진 중이다.
중국의 추진 속도는 유럽보다 확실히 빠르다 — 부분적 이유는 중국의 철도 운영 체제가 더 집중화되어 있고, 주파수 할당에 27개 회원국과 협의할 필요가 없으며, 안전 인증 과정도 더 직접적이기 때문이다. 중국 철도의 목표는 2030년 전후로 GSM-R에서 5G-R로의 전면 전환을 실현하는 것이다.
하지만 이번 독일 GSM-R 전국적 붕괴는 중국의 철도 통신 계획에도 경종을 울렸다: 신기술의 배포 속도가 아무리 빨라도, 코어 네트워크 아키텍처의 단일 장애점 리스크는 자동으로 사라지지 않는다. 5G의 서비스 기반 아키텍처(SBA)는 더 많은 네트워크 요소 간 시그널링 상호작용을 도입한다. 시스템 차원에서 재해 복구 설계를 하지 않으면, 차세대 네트워크도 마찬가지로 특정 단일 노드 장애 시 연쇄 붕괴할 수 있다.
마지막이 아니다
새벽 12시 25분, 뮌헨 역의 방송이 마침내 울렸다: 무선이 복구되었고, 열차가 점진적으로 운행을 재개한다. 전체 사건은 약 2.5시간 지속되었다 — 전국적 철도 마비로서는 “빠른 복구”에 속한다. 독일철도는 발이 묶인 승객들에게 택시 쿠폰과 호텔 쿠폰을 배부했고, CEO는 언론 앞에서 “원인을 규명해야 한다”고 말했다.
하지만 근본적 문제는 한 번의 긴급 복구로 사라지지 않는다. 30년간 업데이트되지 않은 코어 네트워크, 위축된 운용유지보수 능력, 좀처럼 실현되지 않는 전환 계획 — GSM-R의 이번 붕괴는 처음도 아니고, 마지막도 아닐 것이다.
2022년 10월, 독일 북부의 철도 통신 케이블이 의도적으로 절단되어 GSM-R 네트워크가 수 시간 국지적으로 마비되었다. 2025년, 영국 전국 GSM-R도 한 차례 대규모 중단을 겪었다. 2023년, 폴란드 철도 신호 시스템이 해커에 의해 단순한 오디오 시퀀스로 원격 비상 정지 명령을 발동당했다 — 철도 통신 시스템의 취약성은, 유럽에서 이미 반복적으로 긁힌 복권이다.
HN의 한 댓글은 높은 추천을 받았다: “DB에게 이런 수준의 장애는 ‘화요일’이라고 부른다.” (For DB, this type of outage is referred to as “Tuesday”. — dfltr)
농담 뒤에는 냉혹한 사실이 있다: 하나의 인프라 시스템이 단일 장애점으로 마비될 때, 그것을 ‘의외’로 돌리느냐 ‘관리 태만’으로 돌리느냐는 당신이 어느 위치에서 보느냐에 달려 있다. ICE 차량 안에서 2시간 동안 무슨 일인지도 모른 채 기다리던 승객에게는, 이 둘 사이에 차이가 없다.
이 글의 소재는 공개 정보와 커뮤니티 논의에서 가져왔습니다. 이 주제에 대해 더 깊이 있는 일차 경험이 있다면 글의 부족한 점을 지적해 주시기 바랍니다.