Alla tåg i Tyskland stannade på tisdagskvällen. Inte på grund av ett cyberangrepp, inte på grund av en strejk, utan för att ett enda radiokommunikationssystem havererade och Deutsche Bahn saknade möjlighet att fortsätta driften utan det.
Systemet som havererades är GSM-R, det dedikerade mobilradionätet som tyska järnvägsoperatörer använder för kommunicera mellan tåg och trafikledning. Enligt The Record inleddes avbrottet sent på tisdagen och drabbade både fjärrtrafik och S-Bahn-pendeltåg. Deutsche Bahn bekräftade att trafiken återupptogs efter att ingenjörerna åtgärdat felet, men bolaget varnade passagerare för fortsatta förseningar och inställda avgångar dagen efter.
Deutsche Bahn uppgav i ett uttalande: ”Our IT experts worked tirelessly to resolve the issue, successfully.”
Ett system, ingen redundans – inga tåg
GSM-R är inte någon perifer del av infrastrukturen. Det är det kommunikationssystem som gör det möjligt för förare att ta emot instruktioner, för signaloperatörer att godkänna tågförflyttningar och för trafikledare att samordna nätet i realtid. Utan GSM-R tillåter Deutsche Bahns säkerhetsprotokoll inte att tåg rör sig. BBC rapporterade att avbrottet lade hela det nationella järnvägsnätet i totalt stopp.
The Independent rapporterade senare att Deutsche Bahn hänförde avbrottet till ett internt fel, men bolaget har inte offentligt redogjort för vad som gick fel på teknisk nivå. Security Affairs noterade att varken Deutsche Bahn eller externa observatörer omedelbart kunde identifiera grundorsaken under pågående avbrott, vilket i sig är ett allvarligt operativt problem för ett säkerhetskritiskt system.
Ingenting tyder på att det rörde som om en säkerhetsincident. Det finns heller inga uppgifter som pekar på ett angrepp.
Tillgänglighet är också en säkerhetsfråga
Händelsen blottlägger något som ofta hamnar i skymundan i diskussioner om säkerheten i kritisk infrastruktur. CIA-triaden lyfter fram konfidentialitet, integritet och tillgänglighet som likvärdiga pelare. I praktiken går merparten av säkerhetsinvesteringarna till att förhindra obehörig åtkomst. Tillgänglighet, särskilt i OT-miljöer, får ofta mindre uppmärksamhet tills ett avbrott synliggör konsekvenserna.
GSM-R utvecklades som en europeisk standard för järnvägsradiokommunikation med hög driftsäkerhet och interoperabilitet som grundläggande krav. Att ett enskilt fel kan slå ut stora delar av ett nationellt järnvägsnät väcker därför frågor om huruvida den omgivande resiliensarkitekturen står i proportion till systemets kritiska betydelse. Oavsett om grundorsaken var ett konfigurationsfel, ett hårdvarufel eller ett procedurmisstag från personaln blev utfallet detsamma: Tysklands tåg slutade röra sig.
Det är precis den typ av incident som ENISA och CISA har lyft i sina bedömningar av kritisk infrastruktur i flera år. Tillgänglighetsfel i OT-miljöer inom transportsektorn kräver ingen angripare. De kräver bara ett beroende utan fallback.
Trafikverket kör samma arkitektur
Trafikverket använder GSM-R i det svenska järnvägsnätet. Samma arkitektur, samma beroende av ett enda system. Sverige planerar också en migration till nästa generations FRMCS-standard, men den övergången är år från att vara genomförd på de flesta linjer.
Deutsche Bahns haveri är därför direkt relevant för svensk järnvägsresiliens. Om Trafikverkets GSM-R-nät drabbades av ett liknande fel skulle det operativa utfallet sannolikt bli identiskt: tåg stoppade, ingen snabb manuell lösning, passagerare strandsatta medan ingenjörer felsöker ett system de flesta resenärer aldrig hört talas om.
MSB:s vägledning för kritisk infrastruktur behandlar beroendekartering och resilianskrav för transportoperatörer, men vägledning och testad fallback-förmåga är två olika saker. Frågan svenska järnvägsoperatörer bör besvara den här veckan är inte om deras GSM-R-nät är skyddat mot angrepp. Det är om det kan fallera kontrollerat, och hur återställningsproceduren ser ut när det inte gör det.
Referenser
- German Rail Services Resume After Wireless Communications Outage
- Germany Went Off the Rails as Wireless Outage Saw All Trains Cancelled
- German Train Operator Says Workers to Blame for Nationwide Outage
- Germany Rail Network Comes to Complete Halt Nationwide Due to IT Malfunction
- One Railway Radio Outage Stopped Trains Across Germany and Nobody Knew Why
- Trains Resume After Radio Issue Resolved, Deutsche Bahn Says
This post is also available in:
English
