## 概述 2024年11月28日，丹麦最大电信运营商TDC的移动核心网发生全国性故障，约300万移动用户在约六个半小时内打不出也接不进电话，报警电话112大面积呼损，日德兰半岛火车一度停驶。丹麦社会安全局一年后发布的官方复盘确认：故障由一次核心网升级叠加人为失误引发。这起事故最刺眼的不是“又断网了”，而是它暴露出一个反直觉的工程盲区——网络只是“半瘫”，手机误以为还有信号，死死挂在故障网上，反而绕过了丹麦电信业精心设计的112跨网漫游兜底机制。本文基于官方复盘与丹麦广播公司DR等一手报道，复盘全过程。 ## 目录 - 一、上午的异常安静：报警台没人打电话进来 - 二、丹麦只有三张移动网，TDC瘫了哪张 - 三、根因：一次升级，一个失误 - 四、题眼：半瘫，为什么比全瘫更危险 - 五、修复方案：把自己的核心网“弄哑” - 六、事件时间线与官方复盘要点 - 七、写在值班日志后面的五条经验 ## 一、上午的异常安静：报警台没人打电话进来 先交代背景。TDC是丹麦最大的电信运营商，其网络公司TDC NET运营着全国三张物理移动网中的一张，承载自家品牌和一批租用其网络的虚拟运营商用户，移动用户规模约300万。丹麦总人口不到600万——这张网出事，等于半个国家的移动通信悬空。 2024年11月28日，星期四，TDC移动网爆发全国性故障。用户侧的表象五花八门：有人完全拨不出电话，有人电话接通却没声音，有人通话频繁掉线，移动数据时通时断。丹麦第二大区南丹麦大区（Region Syddanmark）当天专门发布公告，提醒市民：用TDC网的手机联系医院和112会遇到掉话或“无声通话”，请换用其他网络的手机。 比用户抱怨更要命的是应急体系的反应。哥本哈根首都消防与应急局（Hovedstadens Beredskab）值班主管Tim Ole Simonsen后来对丹麦广播公司DR描述了一个所有应急指挥官都会脊背发凉的场景： normally，报警中心的红色提示灯频繁闪烁，那天却“异常安静”——不是没有险情，是TDC用户根本打不进来。应急部门被迫启用最原始的兜底手段：把消防车和人员派上街头，让市民能在街上“面对面”找到救援。Simonsen自嘲这是“让更多人找到我们的一线微薄希望”。 同一天，日德兰半岛的火车交通一度瘫痪，铁路系统部分依赖电信网络的通信通道。移动网故障与火车停驶同时发生，丹麦社交媒体上立刻出现了“是不是遭遇网络攻击”的猜测，国家警察（Rigspolitiet）当天晚间专门开会并公开回应。事后证明：没有攻击，就是纯粹的技术故障。但这个细节值得记住——在2024年的欧洲，任何一张全国性电信网瘫掉，公众的第一反应已经是“是不是被打 了”。电信网络的社会心理权重，已经和电网、供水画了等号。 当天傍晚，故障排除，服务陆续恢复。TV 2的滚动报道显示，主体业务恢复后仍有局部区域不正常。丹麦社会安全局一年后发布的官方复盘给出了精确的账：**故障在约六个半小时后彻底修复**。六个半小时，对一个600万人口国家的最大移动网来说，是一段足以写进教科书的时间。 ## 二、丹麦只有三张移动网，TDC瘫了哪张 理解这起事故，先要理解丹麦移动市场的物理结构。别看丹麦市面上有十几个手机品牌可选，落到无线接入和核心网的物理归属上，全国实际只有三张移动网：TDC NET、3的网络，以及Telenor与Norlys共建共享的TN网。各家虚拟运营商和子品牌，都挂在这三张物理网之上。 | 物理网络 | 网络所有方 | 大致角色 | 2024-11-28当天状态 | | --- | --- | --- | --- | | TDC NET | TDC集团 | 全国最大，约300万移动用户 | 全国性故障约6.5小时 | | TN网 | Telenor与Norlys共建共享 | 第二张大网 | 正常 | | 3网 | Three（3 Denmark） | 第三张大网 | 正常 | （网络结构据丹麦资费比价行业站点汇总；故障范围据丹麦媒体当日报道与社会安全局复盘。） 这个结构解释了当天的一个关键现象：其他两张网的用户手机一切正常，说明无线接入侧的基站、天馈并没有全国性物理损毁——故障发生在TDC NET自己的核心网。无线网负责“手机与天线之间的空中接口”，核心网负责“注册、鉴权、交换、路由”这些让电话真正接得通的智能部分。空中接口好好的，核心网坏了，表现就是：手机显示有信号，电话就是打不通。 干了这么多年核心网的人对这种症状再熟悉不过：**“有信号、打不通、接通没声音”三件套，几乎可以排除无线侧，直接把排查矛头指向核心网的电路域或IMS语音域。**南丹麦大区公告里那句“opkald uden lyd”（无声通话）尤其典型——信令接续成功、媒体承载失败，说明故障点在核心网内部且是部分性的，不是整机宕机。这个细节，后面会变得非常重要。 ## 三、根因：一次升级，一个失误 故障第二天，TDC一度说不清原因，丹麦媒体连续数日追问。12月4日，TDC NET经丹麦通讯社Ritzau发布初步调查结论：**故障由移动网核心功能的两个技术问题叠加造成**。 一年后，2025年11月28日，丹麦社会安全局（Styrelsen for Samfundssikkerhed）在事件一周年官方复盘公告中给出最终定性：**故障源于“一次升级”与“一个人为失误”的组合**。 把两份官方口径拼起来，故障链条大致如下：核心网进行软件升级，升级本身引入或触发了缺陷；叠加一个操作层面的人为失误，两个问题在同一时间窗内相互咬合，导致核心网的语音接续功能部分失效——注意，是部分失效，不是整网断电式的彻底离线。 ```mermaid flowchart TD A["核心网软件升级"] --> B["升级引入缺陷"] C["运维人为失误"] --> D["两个问题叠加"] B --> D D --> E["语音接续部分失效"] D --> F["数据业务时通时断"] E --> G["用户侧：无声与呼损"] F --> G G --> H["手机仍挂在故障网上"] ``` 这套“升级+失误”的组合拳，老运维都不陌生，它几乎是核心网重大故障的最经典配方。单独看，每一项都在可控范围内：软件升级有测试流程，人为操作有复核机制。事故之所以发生，是因为两者撞在了同一个时间窗里，而升级后的缺陷恰好把常规的监控和告警路径也搞得半明半暗——值班人员看到的是零散的、区域性、间歇性的告警，而不是一个清晰的“全网核心宕机”红色信号。这也解释了为什么修复耗时六个半小时：排除网络攻击、排除无线侧、锁定核心网、再定位到升级引入的具体缺陷并回退，每一环都需要时间。 官方复盘同时确认，事件期间丹麦启动了国家行动指挥部（NOST），跨部门协同处置。换句话说，这不只是TDC一家公司的故障，而是被当作国家级突发事件来管理的。 ## 四、题眼：半瘫，为什么比全瘫更危险 这起事故真正值得全行业抄在笔记本上的，是它的次生灾害：**112报警电话大面积打不通。** 丹麦电信行业原本为此准备了一套三层安全体系，据丹麦应急行业媒体BeredskabsInfo在事后整理： | 防线 | 机制 | 设计目标 | 2024-11-28当天是否生效 | | --- | --- | --- | --- | | 第一层 | 112呼叫全网优先级（核心网+无线网标记） | 网络拥塞时普通呼叫为112让路 | 意义有限——问题不是拥塞，是功能故障 | | 第二层 | VoLTE失败自动回落2G | 4G网故障时语音走2G电路域 | 未能兜底——故障在核心网，2G回落同样绕不开 | | 第三层 | 本网彻底失效时手机自动漫游他网打112 | 全网瘫痪时借竞争对手的网报警 | **未触发——这正是事故的题眼** | 第三层机制值得展开讲。欧洲手机在无SIM卡或本网不可用时，会自动搜索并附着到任何可用网络上发起紧急呼叫，这是各国报警互通的通用设计，丹麦在此基础上要求运营商保障本网故障时用户能借他网拨打112。设计逻辑成立的前提只有一个：**手机必须“知道”本网已经不可用。** 2024年11月28日，前提不成立了。事后DR的报道援引行业解释：一个软件缺陷让用户的手机“卡”在TDC网上——网络内部语音功能已瘫，但手机与网络之间的底层附着关系还在，手机屏幕上信号格依旧。手机认为自己有网，就不会启动跨网搜网流程；不换网，第三层防线就永远不会被触发。社会安全与应急大臣Torsten Schack Pedersen的评语一针见血：“11月28日那天，plan B没有起作用。” 这就是半瘫比全瘫更危险的机理： ```mermaid flowchart TD A["用户拨打112"] --> B{"手机判断本网状态"} B -->|本网彻底离线| C["启动搜网换网"] C --> D["漫游他网接通112"] B -->|本网部分故障| E["手机误判为正常"] E --> F["滞留故障网"] F --> G["112呼损"] ``` 全瘫是一种“诚实”的故障：手机搜不到网，屏幕上信号格清零，用户知道出事了，系统兜底机制被干净利落地触发。半瘫是一种“撒谎”的故障：系统内部已经残了，对外却维持着正常的外观，手机被骗、用户被骗、连一部分监控告警也被骗。**故障检测体系对“彻底的坏”免疫，对“看起来还好的坏”异常脆弱——这不是丹麦一家的软肋，是全世界电信网的共性盲区。** 顺便回应一个工程上常被问起的问题：为什么手机不能更“聪明”一点，拨112失败就自动换网？答案是拨打失败的信息反馈路径同样要经过故障的核心网，呼叫建立请求发出去石沉大海，手机侧只能等超时，而多数终端的超时重试策略并不默认触发立即换网。终端行为、网络状态、兜底设计三者之间的缝隙，就是112呼损的藏身之处。 ## 五、修复方案：把自己的核心网“弄哑” 事故后，丹麦电信行业协会（Teleindustrien）总监Jakob Willer代表全行业表态，修复112兜底是“最高优先级”。2025年7月，行业拿出的新方案相当有意思，据BeredskabsInfo披露： 当某家运营商遭遇部分性网络故障（或类似危机）时，该运营商可以**主动在自己核心网上阻断112呼叫**。手机拨112被拒后，会认为本网不可用，从而自动转投其他运营商的网络完成报警——112呼叫本就不要求呼叫者拥有被附着网络的签约，任何网都必须接。 说白了，这是一个“以毒攻毒”的设计：既然半瘫的网络会撒谎，那就由运维人员亲手把它的谎话揭穿——故意把本网对112声明为不可用，逼手机去诚实的地方。技术方案已在4G网完成开发并获全部移动运营商同意，各家配套的启用流程（谁有权在什么条件下按下这个按钮）被要求在2025年8月1日前完成，以便随时投用。 这个方案在工程上谦逊得可爱：它没有试图让手机变得更聪明，没有重构紧急呼叫协议，只是给值班工程师多加了一个手动开关和一套授权流程。**当自动化兜底被证明会被特定故障模式欺骗时，补一层“人在环路”的强制手段，是成本最低、确定性最高的修法。** 治理层面的跟进同样迅速。丹麦为落实欧盟NIS2指令修订的《电信行业安全与应急法》于2025年7月1日生效，强化了运营商在此类事件中的通报义务；社会安全局对TDC NET的故障原因与协同处置流程做了专项跟进；数字化局（Digitaliseringsstyrelsen，报警业务的主管部门）则直接约谈行业，要求兑现112保障承诺。社会安全局局长Laila Reenberg在复盘公告中的表述很克制，但立场清楚：“全国性移动网是个复杂系统，我们永远无法完全杜绝故障，所以必须从每次事件中学习。” ## 六、事件时间线与官方复盘要点 | 时间 | 事件 | | --- | --- | | 2024-11-28 白天 | TDC NET移动核心网全国性故障，约300万用户通话受影响，112大面积呼损，日德兰火车一度停驶，国家行动指挥部（NOST）启动 | | 2024-11-28 晚间 | 国家警察公开回应“是否网络攻击”的猜测；当晚主体服务恢复，局部异常延续 | | 2024-11-28 深夜前后 | 约6.5小时后故障彻底修复（社会安全局复盘口径） | | 2024-12-04 | TDC NET公布初步根因：核心网功能的两个技术问题叠加 | | 2024-12-09 | 行业协会表态修复112兜底为最高优先级；应急大臣承认“plan B失效” | | 2025-07-01 | 落实NIS2的丹麦《电信行业安全与应急法》生效 | | 2025-07 | 行业公布新112兜底方案：故障方可阻断本网核心网112呼叫、强制手机漫游他网；流程须于8月1日前就绪 | | 2025-11-28 | 社会安全局发布一周年官方复盘：升级+人为失误；确认新112方案已落地 | ## 七、写在值班日志后面的五条经验 **第一，把“部分失效”当成最危险的故障模式来演练。**多数运营商的应急预案是按“全瘫”设计的：整网不可用→启动兜底。这次事故证明，介于好与坏之间的半瘫状态反而最难探测、最会骗人。演练科目里应该专门加一项：核心网语音域部分失效时，终端表现是什么、监控能看到什么、兜底机制触不触发。 **第二，核心网升级的灰度策略要按“故障域”切，不按“地理域”切。**这次两个核心网问题叠加能把全国放倒，说明升级单位太大。把控制面网元按池化分组灰度、升级窗口错开、每组保留可分钟级回退的快照，牺牲一点升级效率，换的是全国性事故概率的数量级下降。标准允许多种实现方式，具体灰度与回退机制以各厂家官方文档为准，但“升级单元必须小于故障爆炸半径”这个原则不分厂家。 **第三，监控体系要设“撒谎检测”。**告警都基于网元自报，网元半瘫时自报数据本身就不可信。可以用外部探针从用户视角测量——真实拨测语音接通率、真实发起测试呼叫——当内部自报“正常”而外部拨测“失败”时立即升级告警级别。这次若有独立的语音拨测在第一时间吼起来，六 个半小时大概率能砍掉一半。 **第四，紧急呼叫兜底机制要按“手机视角”重新审一遍。**丹麦这套三层防线的每一层，单看设计都成立，组合起来却被“手机误判本网可用”这个缝隙整个穿透。其他市场的运营商不妨自问：如果我的核心网明天半瘫，我网内的手机会不会也像丹麦人的一样，握着信号格打不出112？丹麦行业给出的“核心网阻断112强制漫游”方案，值得每个市场的监管者和运营商拿去论证。 **第五，把“公众第一反应是网络攻击”当作新常态来准备。**这次故障与火车停驶时间重叠，攻击猜测立刻发酵，国家警察不得不公开表态。电信网的社会信任资产已经和关键基础设施深度绑定，故障通报的速度和透明度，本身就是应急处置的一部分。TDC在根因上拖了一周才给初步结论，这个舆论窗口期的被动，同行应该引以为戒。 六个半小时，300万人，一次升级，一个失误，一条没被触发的兜底防线——丹麦这堂事故课，学费是半个国家的通话，讲义却薄得只有一页：**网络最危险的时刻，不是它彻底死掉的时刻，而是它半死不活还装作没事的时刻。** ## 参考来源 1. [Myndighedernes opsamling på TDC-hændelsen 28. november 2024（丹麦社会安全局官方复盘公告）](https://via.ritzau.dk/pressemeddelelse/14708913/myndighedernes-opsamling-pa-tdc-haendelsen-28-november-2024?lang=da) — 官方定性“升级+人为失误”、6.5小时修复时长、NOST启动与整改清单，本文主锚点 2. [Massivt nedbrud hos TDC skabte 112-kaos（丹麦广播公司DR）](https://www.dr.dk/nyheder/viden/teknologi/massivt-nedbrud-hos-tdc-skabte-112-kaos-nu-lover-teleindustrien-forbedringer) — 报警中心实况、软件缺陷致手机“卡网”、应急大臣与行业协会表态 3. [Ny teknisk løsning skal sikre 112-opkald ved nedbrud（BeredskabsInfo）](https://www.beredskabsinfo.dk/politi/ny-teknisk-loesning-skal-sikre-112-opkald-ved-nedbrud-hos-mobilselskaber/) — 丹麦三层112安全体系详解与“阻断本网112强制漫游”新方案 4. [Widespread disruption in Denmark after mobile network outage（Sky News）](https://news.sky.com/story/widespread-disruption-in-denmark-after-mobile-network-outage-13262696) — 国际视角的当日影响报道 5. [Tekniske fejl var skyld i stort TDC-nedbrud på mobilnet（Ritzau/Avisen Danmark）](https://avisendanmark.dk/indland/tekniske-fejl-var-skyld-i-stort-tdc-nedbrud-paa-mobilnet) — TDC于2024年12月4日公布的初步根因：核心网两个技术问题 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。