요약

  • 장애는 2022년 7월 2일 오전 1시 35분(JST)경 KDDI 다마 네트워크 센터에서 전국 수송 코어 라우터 유지보수 중 시작되었습니다. 잘못되거나 낡은 절차가 VoLTE 라우팅 변경을 누락해 간헐적 응답 실패가 발생했고, 이것이 반복적인 위치등록 요청을 유발했습니다.
  • 재시도 부하는 분산된 VoLTE 호출제어와 가입자 데이터베이스로 확산되었습니다. 6개의 호출제어 노드는 내부 상태가 불일치한 시점에 작성된 백업으로 재시작되었고, 그 결과 초기화가 항상 정상 상태로 돌아가지 않았습니다.
  • 복구는 단순히 라우팅 변경을 되돌리는 것 이상을 요구했습니다. KDDI는 플로우 제어, 호출제어 리셋, PGW 격리 및 세션 리셋, 가입자 데이터베이스 부하 재분배, 그리고 최종적으로 지속 이상 상태의 6개 VoLTE 노드 격리를 사용했습니다.
  • 공식 영향 서비스 구간은 61시간 25분으로, 7월 2일 01:35부터 7월 4일 15:00까지입니다. KDDI는 7월 5일 15:36, 즉 시작 후 약 86시간이 지나서야 모든 통신망이 완전히 정상 가동되었음을 확인했습니다. 이들은 서로 다른 운영 기준시간입니다.
  • 총무성은 이 사건을 중대 사고로 다루고 절차 통제, 혼잡 설계, 고부하 복구 테스트, 사고 대응 훈련, 대외 커뮤니케이션에서의 실패를 지적했습니다. KDDI의 환불과 보도된 재발 방지 조치는 사업자 측 대응이며, 규제기관이 부과한 금전 제재나 법원 판단이 아닙니다.

장애에는 두 개 이상의 시간 기준이 있다

KDDI는 통신 장애의 시작을 2022년 7월 2일 토요일 오전 1시 35분(일본 표준시)경으로 둡니다. KDDI의 통합 영문 장애 페이지는 영향 구간의 종료를 7월 4일 월요일 15:00으로, 총 61시간 25분으로 제시합니다. 총무성(MIC)도 자체 검증 보고서에서 동일한 영향 시간 구간을 사용했습니다.

교도통신은 더 늦은 시점의 이정표를 보도했습니다. KDDI는 7월 5일 화요일 15:36에 모든 통신망이 완전히 정상 가동되었음을 확인했습니다. 이는 장애 시작 후 약 86시간이었습니다. 이 긴 구간이 61시간 25분이라는 측정치를 대체해서는 안 되고, 짧은 구간이 추가적인 검증과 정상화 작업을 지워서도 안 됩니다. 이 둘은 서로 다른 질문에 답합니다.

한 시간 기준은 KDDI와 규제기관이 영향받은 서비스에 부여한 구간을 설명합니다. 다른 기준은 사업자가 전 네트워크에서 정상 운용을 확인한 시점까지입니다. 그 사이에는 플로우 제한 해제, 네트워크 안정성 점검, 음성 성공률 관측, 불일치 상태의 교정, 그리고 시스템이 다시 정상 수요를 감당할 수 있다는 판단이 있습니다. 그 어느 단계든 하나만 두고 "복구"라고 부르는 보고서는 복구를 판단할 근거를 잃어버립니다.

영향 추정치 역시 출처별 스냅샷에 속합니다. 총무성 보고서는 음성 기준 약 2,316만 명, 데이터 기준 최소 775만 명, 누계 최소 3,091만 명의 영향을 추정했습니다. KDDI의 이후 통합 페이지는 음성 약 2,278만 명, 데이터 최소 765만 명으로 제시합니다. 상세 원인이 아직 조사 중이던 시점에 Reuters는 기업 고객 26만 명을 포함해 최대 3,915만 명 사용자의 잠재적 노출 가능성을 조기 수치로 인용했습니다.

이 수치들은 평균낼 수도 더할 수도 없습니다. 조기 최대치는 진행 중이던 장애 상황에서의 잠재적 노출을 설명한 것입니다. 총무성과 KDDI 수치는 서로 다른 공식 스냅샷과 계산에서 나왔습니다. 음성과 데이터 사용자 집단은 겹칠 수 있습니다. 계약, 회선, 사람, 서비스 시도는 서로 바꿔 쓸 수 있는 단위가 아닙니다. 각 정의를 지키는 것은 통계적 주의사항 그 자체가 아니라, 거대한 장애가 작성자가 조립한 숫자가 아니라 근거가 확립한 사건으로 남게 만드는 조건입니다.

누락된 라우팅 변경이 부분 실패를 만들었다

기술적 경과는 다마 네트워크 센터에서 전국 수송 코어 라우터를 유지보수하던 중 시작되었습니다. 총무성은 해당 작업에 잘못되거나 낡은 절차가 사용되었음을 확인했습니다. 이 절차는 VoLTE 트래픽에 필요한 라우팅 변경을 안내하지 않았고, 트래픽은 의도대로 동작하지 않는 경로로 향하게 되었습니다.

그 결과 생긴 실패는 완전히 끊긴 것이 아니라 간헐적이었습니다. 총무성은 영향받은 경로와 관련된 응답이 약 절반 정도 실패하는 상태를 재구성했습니다. 이 구분이 중요했습니다. 응답을 전혀 받지 못하는 기기나 네트워크 기능은 경성 실패로 판단해 알려진 대체 경로로 이동할 수 있습니다. 반면 가끔 성공하고 가끔 실패하는 시스템은 같은 경로를 계속 시도할 만큼 겨우 건강한 것처럼 보일 수 있습니다.

LTE 기반 모바일 음성은 위치등록에 의존합니다. 기기는 정상적인 발·착신이 완료되기 전에 승인된 가입자임을 확립하고 도달 가능한 위치를 등록해야 합니다. 확인 응답이 돌아오지 않자 기기와 네트워크 기능은 등록이 미완료라고 판단하고 재시도했습니다.

재시도는 개별적으로는 합리적입니다. 위험해지는 시점은 수백만 개의 단말과 분산 제어 기능이 같은 결정을 동시에 내릴 때입니다. 잃어버린 응답 하나가 또 하나의 요청을 만들었고, 추가 요청은 호출제어와 가입자 데이터베이스 용량을 더 소모했습니다. 용량이 떨어질수록 더 많은 요청이 실패했고, 실패는 더 많은 재시도를 낳았습니다. 네트워크는 최초의 고장을 증폭하기 시작했습니다.

총무성은 다마의 VoLTE 호출제어 기능이 정상 부하의 약 7배를 겪은 것으로 추정했습니다. 아키텍처가 작업과 재시도를 전국에 분산하면서 다른 VoLTE 사이트는 약 6.5배의 부하를 겪었습니다. 국소적인 유지보수 실수가 전국적으로 결합된 제어 시스템에 들어간 것입니다.

이것이 첫 번째 책임 경계입니다. 유지보수 실수는 비정상 트래픽이 왜 시작되었는지 설명합니다. 그러나 그것만으로는 실패가 왜 전국으로 확산되고 며칠간 지속되었는지를 설명하지 못합니다. 그러려면 가동 중인 토폴로지가 신호를 어떻게 분산하는지, 재시도 로직이 부분 응답 손실 하에서 어떻게 동작하는지, 혼잡 보호가 이 특정 상태를 비정상으로 인식했는지를 살펴야 합니다.

혼잡이 음성 제어를 넘어 가입자 상태로 침투했다

VoLTE 노드는 홀로 동작하지 않았습니다. 위치등록과 음성 세션 설정은 인증, 정책, 과금, 위치·서비스 상태에 쓰이는 가입자 데이터베이스에 의존했습니다. VoLTE 재시도가 늘자 이 데이터베이스를 향한 요청도 늘었습니다.

총무성은 강화 루프를 기술합니다. 가입자 데이터베이스 혼잡이 오류 응답을 만들었고, 오류는 기기와 네트워크 기능으로 하여금 더 많은 요청을 보내게 했으며, 더 많은 요청은 추가 혼잡을 몰고 왔습니다. 일부 기기 동작에서는 음성 세션 설정 실패가 기기의 등록 상태에도 영향을 주었기 때문에, 데이터 전용 가입자 데이터베이스가 혼잡의 원발점이 아니었음에도 데이터 서비스가 간헐적으로 이용 불가가 될 수 있었습니다.

이 경계는 대외 설명에서 중요합니다. 일본 전역의 모바일 데이터 서비스가 끊임없이 완전히 내려갔다고 말하는 것은 부정확합니다. 근거가 지지하는 것은 음성, SMS, 그리고 기기 의존적이거나 플로우 제어와 관련된 데이터 영향을 포함한 전국 단위 통신 장애입니다. 같은 시각에 기기와 서비스에 따라 다른 증상이 나타날 수 있었습니다.

혼잡은 제어 상태의 일관성도 손상시켰습니다. 총무성은 고부하 하에서 인증 세션의 반복적 변경이 일부 VoLTE 호출제어 노드 내부에서 올바르게 동기화되지 않았음을 확인했습니다. 6개 노드는 내부 상태가 불일치한 채 주기적 백업을 작성했습니다. 운영자가 최신 백업으로 호출제어 기능을 리셋하자, 그 6개 노드는 비정상 상태를 그대로 안고 돌아왔습니다.

따라서 리셋은 복구와 동일하지 않았습니다. 장비는 재시작했지만, 기동 시 적재된 상태가 인증 실패와 반복 등록 요청을 계속 만들었습니다. 평소 고장을 지우는 조치가, 복구 아티팩트 자체가 혼잡한 시스템을 반영하고 있었기 때문에 고장의 일부를 보존한 것입니다.

이어서 VoLTE 기능, 가입자 데이터베이스, 패킷 게이트웨이(PGW) 사이에 또 하나의 불일치가 생겼습니다. 삭제되어야 할 세션 정보가 데이터베이스가 혼잡한 동안 항상 삭제되지는 않았습니다. 이후 세션이 시스템에 남아 있던 상태와 충돌할 수 있었습니다. 이 불일치를 교정하는 데는 시간이 걸렸고, 이미 압박을 받고 있던 장비의 용량을 존중해야 했습니다.

이것이 이 장애가 남긴 가장 강력한 실행 코드 교훈입니다. 백업 파일은 기록이지만, 그 안에 담긴 상태만큼만 신뢰할 수 있습니다. 문서화된 리셋 절차는 의도이지만, 실제 결과는 적재되는 데이터, 도착하는 트래픽, 시스템 간 상호작용에 달려 있습니다. 복잡한 장애에서 운영자에게 필요한 것은 명령이 완료되었다는 증명이 아니라 복구가 네트워크를 정상 상태로 옮겼다는 증명입니다.

트래픽 통제는 필요했지만 충분하지 않았다

KDDI의 대응에는 여러 형태의 개입이 있었습니다. 총무성은 접속 요청 트래픽과 VoLTE 트래픽에 대한 통제, 호출제어 기능 리셋, 가입자 데이터베이스 부하를 줄이기 위한 일부 PGW 격리, 불일치한 세션 정보를 교정하기 위한 PGW 세션 리셋, PGW 트래픽을 받는 가입자 데이터베이스 자원의 변경을 나열합니다.

이 조치들은 루프의 서로 다른 부분을 다루었습니다. 플로우 제어는 신규 수요를 줄였습니다. PGW 격리와 세션 리셋은 가입자 시스템에 제시되는 상태를 바꿨습니다. 부하 재분배는 하나의 데이터베이스 경로가 계속 병목점이 되지 않도록 하려 했습니다. 호출제어 리셋은 비정상 처리를 지우려 시도했습니다. 어느 하나의 조치만으로 복구 전체를 대표하는 것은 공정하지 않습니다.

지속적인 비정상 상태를 가진 6개 VoLTE 호출제어 노드가 특히 어려웠습니다. 총무성은 차단 시도가 노드가 이미 비정상이었기 때문에 정상적으로 완료되지 않았음을 확인했습니다. 앞선 단계들이 다른 부하원을 줄인 뒤에도 이 노드들은 과도한 신호를 계속 만들었습니다. 결국 그 6개 노드를 격리함으로써 지속적인 재시도 원이 끊겼고, 이후 혼잡은 가라앉았습니다.

이 경과는 복구 언어에서 흔한 실패를 드러냅니다. 사업자는 계획한 물리적·구성 작업은 끝내면서 가동 중인 네트워크는 여전히 혼잡할 수 있습니다. 대부분의 데이터 경로를 복원하면서도 음성 호출에 제한이 남을 수 있습니다. 정상적인 호출 성공률에 도달하면서도, 오래 지속된 고부하가 숨은 상태를 남길 수 있기 때문에 모든 관련 시스템을 계속 점검할 수 있습니다.

총무성은 이후 KDDI가 전달한 복구 작업 완료와 서비스 전면 재개의 구분을 비판했습니다. KDDI는 작업 완료 뒤 플로우 제어 해제와 정상 확인이 이어지기를 의도했습니다. 그러나 일부 사용자와 언론은 "복구 작업 완료"를 서비스가 회복되었다는 뜻으로 이해했습니다. 실제로는 혼잡과 트래픽 제한이 계속되었습니다.

이는 커뮤니케이션 문제만이 아니었습니다. 언어를 통해 노출된 측정 문제였습니다. 상태 체계가 어떤 기술적·서비스적 조건이 충족되었는지 말할 수 없다면, 대외 업데이트는 모호한 이정표에 기울게 됩니다. 더 강한 장애 모델은 고장 입력 제거, 재시도 증가 억제, 혼잡 완화, 세션 상태 일치, 플로우 제어 해제, 음성·데이터 성공률 안정화, 종단 간 의존 서비스 점검을 각각 별도의 근거로 공개합니다.

장애는 단말을 넘어 확대되었다

KDDI 자체 설명은 배송 상태 갱신과 기사 연락, 커넥티드카 서비스, 기상 데이터 수집, 수도계량기, 은행 ATM, 공항 무선 통신, 버스 결제 시스템에 대한 영향을 나열합니다. Reuters는 기상 데이터, 택배, 금융, 커넥티드카와 관련된 혼란을 독립적으로 보도했습니다.

이 사례들은 모바일 코어의 연속성이 왜 공유 인프라 문제인지 보여줍니다. 모바일 연결은 다른 서비스 내부의 제어 또는 보고 경로일 수 있습니다. 한 사용자에게 보이는 실패는 전화를 걸 수 없는 단말입니다. 물류 사업자에게는 상태 갱신의 상실이고, 공공기관에게는 결측된 관측이며, 운송·금융 서비스에게는 원격 단말이 일상 거래를 완료하지 못하는 상황입니다.

이 사례들에는 한계가 유지되어야 합니다. 나열된 모든 서비스가 장애 전 기간 동안 전국 단위로 실패했다는 뜻이 아닙니다. 이는 의존성의 도달 범위를 보여주는 것이지, 서비스별 전국 공통 시간 기준을 증명하지 않습니다.

긴급 통화에는 가장 날카로운 연속성 결과가 따릅니다. Reuters는 생명과 재산을 보호하는 데 쓰이는 화재 및 긴급 신고가 방해받았다는 통신상(총무대신)의 우려를 보도했습니다. 교도통신은 이후 일부 사용자가 오랜 기간 일본의 110 또는 119 긴급번호에 걸 수 없었음을 보도했습니다. 제공된 출처 집합에는 실패한 긴급통화 시도 수, 고유 긴급 건수, 부상자, 사망자를 제공하지 않습니다.

이 공백을 추측으로 채워서는 안 됩니다. 근거가 지지하는 사실 자체가 이미 중대합니다. 긴 전국 단위 모바일 장애 동안 긴급번호 접근이 저해되었다는 것입니다. 책임 질문은 사업자가 음성 등록, 가입자 인증, 일반 트래픽 통제가 실패하는 상황에서도 긴급 통신이 생존 가능한 경로를 갖는다는 것을 보여줄 수 있는가입니다.

규제 기록이 밝힌 것은 통제 실패이지 모든 책임이 아니다

총무성은 이 장애를 중대 사고로 다루고 별도의 기술 검증을 진행했습니다. 그 보고서는 원인을 단일 인적 오류로 환원하지 않았습니다. 절차 선정과 승인, 서비스 정상성 점검, 리스크 평가, 혼잡 제어 설계, 전국 전파 평가, 고부하 리셋 테스트, 복잡한 복구 절차, 사고 대응 훈련, 고객 커뮤니케이션의 결함을 지적했습니다.

이 다층적 판정이 중요합니다. 잘못된 절차가 사건을 시작할 수 있지만, 국가 단위 회복력은 절차와 사람이 때때로 실패한다고 가정하는 통제에 달려 있습니다. 부분 응답 상태는 인식되어야 하고, 재시도 동작은 경계가 있어야 하며, 분산 아키텍처에는 차단 구역이 필요하고, 백업과 리셋은 비정상 부하에서 테스트되어야 하며, 운영팀에는 평소 자동화가 해결하지 못하는 상태에서 빠져나오는 훈련된 경로가 필요합니다.

KDDI는 절차·승인 통제 강화, 혼잡 감지 개선, 혼잡 제어 설계 재검토, 복구 절차 개정, 복구 도구, 고객 정보 개선 등의 변화를 보고했습니다. 이 대응은 문서화된 실패 경로에 대응합니다. 다만 공개 기록은 그 효과에 대한 2026년 현재의 독립적이고 전 플릿 규모의 테스트를 제공하지 않습니다.

KDDI는 또한 고객 보상을 발표했습니다. 통합 페이지는 24시간 이상 연속으로 모든 통신을 이용할 수 없었거나 이에 준하는 조건의 고객에 대한 약관 기반 환불과, 훨씬 더 큰 고객 집단을 위한 200엔 사의 환불을 구분합니다. 교도통신은 약 73억 엔의 예상 비용과 KDDI 사장의 임의급여 반환을 보도했습니다.

이것들은 사업자의 보상과 거버넌스 대응입니다. 규제기관이 부과한 금전 제재, 형사 처분, 책임에 대한 사법 판단이 아닙니다. 공개 기록은 중대 사고 분류, 총무성 검증 결과, 보도된 시정 조치, 보상 프로그램을 뒷받침합니다. 그러나 출처가 설명하지 않는 법적 판단으로 이 결과들을 바꾸는 것은 지지되지 않습니다.

연속성 근거는 가동 중인 서비스를 설명해야 한다

이 장애는 실용적인 근거 위계를 제안합니다. 첫 수준은 의도된 상태입니다. 승인된 절차, 기대 경로, 구성된 혼잡 통제, 복구 계획, 고객 통지 정책입니다. 이 기록들은 중요하지만, 장애는 이것만으로 연속성을 확립할 수 없음을 보여줍니다.

다음 수준은 관측된 기술 상태입니다. 운영자는 VoLTE 신호가 실제로 어떤 경로를 쓰는지, 확인 응답이 돌아오는지, 재시도가 어떻게 분산되는지, 어느 호출제어 노드가 동기화되어 있는지, 가입자·PGW 세션 상태가 일치하는지, 리셋이 정상 백업을 적재했는지 알아야 합니다. 이 측정은 문서가 말하는 바가 아니라 네트워크가 실제 하는 바를 보여줍니다.

최상위 수준은 서비스 완결입니다. 노드 건강은 성공했다는 사실만으로는 사용자가 등록하고, 전화를 주고받고, 메시지를 보내고, 데이터를 쓰고, 긴급센터에 도달할 수 있음을 증명하지 못합니다. 복구에는 대표적인 기기, 지역, 서비스, 의존 조직을 아우르는 종단 간 점검이 필요합니다. 대외 이정표는 그 결과를 따라야 합니다.

규제 보고서는 무엇이 일어났는지에 대한 중요한 대장입니다. 용어, 수치, 연표, 시정 기대를 확정합니다. 그러나 보고서는 트래픽을 실어 보낼 수 없고, 재시도를 멈출 수 없고, 세션을 조정할 수 없으며, 긴급통화를 완결시킬 수 없습니다. 그 운영적 가치는 가동 중인 네트워크에 요구하는 테스트에 있습니다.

그렇기 때문에 KDDI의 2022년 장애 이후 결정적인 질문은 원래 경로가 교정되었는지가 아닙니다. 현재의 통제가 비슷한 간헐적 실패가 국지적으로 머무는 것, 재시도 수요가 경계 내에 머무는 것, 복구 아티팩트가 신뢰할 수 있는 것, 운영자가 가시성을 유지하는 것, 그리고 대외 상태 언어가 관측 가능한 고객 결과와 대응하는 것을 증명할 수 있는가입니다.

공개 근거가 확립하지 않는 것

총무성 보고서는 상세한 재구성을 제공하지만, 공개 출처는 모든 내부 로그, 복구 순서의 모든 명령, 모든 결정 소유자를 노출하지 않습니다. 기기별 완전한 영향 센서스를 확립하지 않으며, 긴급통화 실패나 하류 경제적 손실을 정량화하지 않습니다.

공식 영향 추정치는 스냅샷 사이에서도 바뀌었습니다. 이것이 출처를 쓸모없게 만들지는 않습니다. 각 수치에 그 소유자와 방법이 필요하다는 뜻입니다. 조기의 3,915만 명 잠재 노출 수치는 당시 보도에 속합니다. 총무성의 2,316만 명 음성 및 775만 명 데이터 추정치는 검증 보고서에, KDDI의 이후 2,278만 명·765만 명 수치는 통합 고객 페이지에 속합니다.

또한 이 근거는 2022년에 구현되거나 계획된 조치 목록만으로 현재의 효과를 확립할 수 없습니다. 도구는 모든 관련 노드를 커버하지 않은 채 배포되었을 수 있습니다. 절차는 간헐적 손실과 전국 재시도 부하에 대한 테스트 없이 바뀌었을 수 있습니다. 복구 훈련은 불일치한 가입자 상태를 재현하지 않는 실험실 조건에서 통과했을 수 있습니다.

이 한계들은 책임 논증을 약화시키지 않습니다. 논증을 입증 가능한 것에 묶어둡니다. 이 장애는 구체적인 유지보수·라우팅 실패로 시작해, 관측 가능한 재시도·혼잡 메커니즘을 통해 확산되고, 불일치한 상태로 지속되며, 중요한 의존성에 영향을 주었고, 다단계 복구를 요구했습니다. 올바른 결론은 통제와 근거에 관한 것이지, 만들어낸 피해나 개인 비난에 관한 것이 아닙니다.

출처