금융 전산 재해 복구(DR) 시스템 가동 시 액티브-액티브(Active-Active) 데이터베이스 간 ATM 동기화 및 스플릿 브레인(Split-Brain) 방어

2026년 9월 8일 읽는 시간 약 8분

금융 전산에서 멈추지 않는 서비스를 만드는 기술

우리가 매일 사용하는 스마트폰 은행 앱이나 길거리의 현금자동지급기(ATM)는 단 1초의 멈춤도 허용하지 않는 거대한 시스템 위에서 움직입니다. 만약 은행의 주 컴퓨터가 있는 건물에 화재가 나거나 지진이 발생한다면 어떻게 될까요. 내 통장에 들어있는 돈이 사라지거나 송금이 불가능해지는 대참사가 벌어질 수 있습니다. 금융 기관이 재해 상황에서도 서비스를 중단 없이 제공하기 위해 반드시 갖추어야 하는 핵심 기술이 바로 재해 복구 시스템입니다.

과거에는 주 센터가 멈추면 예비 센터가 수동으로 이어받는 방식이 주를 이뤘으나 최근에는 양쪽 센터를 동시에 가동하는 방식을 채택하고 있습니다. 이를 통해 사용자는 언제 어디서나 끊김 없는 금융 거래를 즐길 수 있게 되었습니다. 이 기술의 핵심은 서로 멀리 떨어진 두 개의 데이터베이스가 마치 하나의 데이터베이스처럼 정확하게 동시에 움직이도록 만드는 데 있습니다.

동시에 살아 움직이는 데이터베이스의 세계

재해 복구 시스템에서 가장 이상적인 형태는 액티브 액티브 구조입니다. 이는 두 개의 서로 다른 장소에 위치한 데이터베이스가 모두 활성화되어 실시간으로 사용자의 요청을 처리하는 방식을 말합니다. 서울 센터와 부산 센터가 동시에 고객의 ATM 거래를 처리한다고 가정해보겠습니다. 서울에 있는 고객이 ATM에서 현금을 인출하는 순간 그 데이터는 즉시 부산으로 전송되어야 합니다.

이 과정에서 가장 중요한 것이 바로 실시간 동기화입니다. 서울에서 잔액이 10만 원 줄어들었다면 부산에서도 0.1초 안에 똑같이 10만 원이 줄어들어야 합니다. 만약 이 동기화 과정에 미세한 지연이 생기면 서울에서 돈을 뽑은 직후 부산에서 또 돈을 뽑을 수 있는 치명적인 문제가 발생할 수 있습니다. 따라서 두 데이터베이스는 초고속 전용 통신망을 통해 완벽한 쌍둥이 상태를 유지해야 합니다.

네트워크 단절이 가져오는 치명적 위협

액티브 액티브 시스템을 운영할 때 가장 경계해야 할 적은 통신망의 두절입니다. 서울과 부산을 연결하는 해저 케이블이나 통신선이 공사 중 포크리프트에 의해 끊어지거나 자연재해로 인해 손상되는 상황을 상상해보겠습니다. 이때 양쪽 센터는 상대방이 죽었는지 아니면 통신만 끊어진 것인지 스스로 판단하기 어려운 상태에 빠지게 됩니다.

이러한 상황에서 양쪽 데이터베이스가 모두 자기가 진짜 메인이라고 착각하고 서로 다른 거래 승인을 내리기 시작하면 데이터는 완전히 망가지게 됩니다. 서울에서는 통장 잔액이 마이너스가 되고 부산에서도 똑같이 마이너스가 되는 현상이 발생합니다. 이를 컴퓨터 공학에서는 뇌가 두 개로 쪼개진 것 같다는 의미로 스플릿 브레인 현상이라고 부릅니다. 금융 사고로 직결되는 이 문제를 막기 위해 철저한 방어선이 필요합니다.

스플릿 브레인을 막아내는 현명한 방법들

네트워크가 끊어지는 비상 상황에서도 시스템이 멍청한 선택을 하지 않도록 만들기 위해 엔지니어들은 다양한 장치들을 마련해 둡니다. 가장 대표적인 방법이 제3의 장소에 판정 기관을 두는 방식입니다. 서울과 부산 외에 대전에 완전히 독립된 중재 서버를 하나 더 두어 투표권을 행사하게 만듭니다.

통신망이 끊어져 서울과 부산이 서로의 상태를 알 수 없을 때 양쪽 센터는 대전의 중재 서버에 누구와 연결되어 있는지 묻게 됩니다. 대전의 서버는 정상적으로 통신이 가능한 한쪽 손을 들어주고 다른 한쪽은 강제로 서비스를 차단시킵니다. 이를 통해 전체 시스템의 데이터 정합성을 완벽하게 지켜낼 수 있습니다. 또한 홀수 개수의 서버를 구성하여 과반수 원칙을 적용하는 기법도 널리 쓰입니다.

실생활에서 마주하는 끊김 없는 금융 서비스

우리가 밤낮을 가리지 않고 ATM 기기에서 현금을 찾거나 해외 여행지에서 카드를 긁을 수 있는 이유는 이러한 복잡한 기술들이 눈에 보이지 않게 작동하고 있기 때문입니다. 명절 연휴나 수능일 같이 트래픽이 폭증하는 시기에도 은행 시스템이 다운되지 않는 이유도 부하를 양쪽 센터가 나누어 처리하는 액티브 액티브 구조 덕분입니다.

만약 한쪽 센터에 전력 공급에 문제가 생기더라도 시스템은 사용자가 눈치채지 못할 정도로 짧은 순간에 살아있는 다른 쪽 센터로 모든 거래를 몰아줍니다. ATM 화면에서 잠시 기다려 달라는 문구가 뜨는 순간이 바로 시스템이 안전하게 비상 경로를 재설정하는 순간이라고 이해하시면 됩니다.

금융 전산 구축 과정에서 자주 오해하는 부분들

많은 사람들이 최신 장비와 비싼 통신망만 도입하면 재해 복구와 동기화 문제가 저절로 해결될 것이라고 믿습니다. 하지만 하드웨어가 아무리 훌륭해도 이를 제어하는 소프트웨어의 논리가 부실하면 소용이 없습니다. 특히 물리적인 거리가 멀어질수록 빛의 속도로 데이터를 전송하는 데 한계가 있기 때문에 100퍼센트 완벽한 실시간 동기화란 이론상 불가능하다는 점을 알아야 합니다.

금융 기관들은 이 한계를 극복하기 위해 모든 데이터를 똑같이 맞추려 하기보다는 절대 틀려서는 안 되는 잔액 정보 같은 핵심 데이터와 나중에 순서대로 맞춰도 되는 로그 데이터를 나누어 처리하는 지혜를 발휘합니다. 무조건 비용을 많이 들인다고 안전해지는 것이 아니라 업무의 성격에 맞는 정교한 설계가 성공의 열쇠입니다.

비용과 안정성의 균형을 잡는 지혜로운 접근

완벽한 액티브 액티브 시스템을 구축하고 유지하는 데는 엄청난 비용이 들어갑니다. 똑같은 성능의 데이터 센터를 두 개 이상 유지해야 하므로 서버 비용과 상면 임대료 그리고 전용 회선 비용이 배로 발생합니다. 중소형 금융사이거나 예산이 한정된 조직이라면 모든 시스템을 액티브 액티브로 만들 필요는 없습니다.

핵심 여신과 수신 시스템은 액티브 액티브로 단단하게 보호하되 상대적으로 중요도가 낮거나 장애가 나도 복구에 시간이 조금 걸려도 되는 부수적인 서비스는 주기적으로 백업만 해두는 액티브 스탠바이 방식을 혼합하여 사용하는 것이 현명합니다. 비용 효율성을 높이면서도 리스크를 최소화하는 이러한 하이브리드 전략은 오늘날 많은 기업들이 채택하고 있는 방식입니다.

전문가들이 강조하는 실전 운영의 팁

시스템을 만들어 둔 것만으로는 재해에 대비할 수 없다는 것이 현장 전문가들의 공통된 조언입니다. 1년에 몇 번씩은 실제로 주 센터의 전원을 강제로 차단하고 비상 복구 시스템이 제대로 작동하는지 테스트를 해보아야 합니다. 이를 모의 훈련이라고 부르는데 서류상으로는 완벽해 보이는 시스템도 막상 불을 꺼보면 생각지 못한 허점이 발견되곤 합니다.

또한 담당 엔지니어들이 긴급 상황 발생 시 당황하지 않고 수동으로 스플릿 브레인 상황을 해제할 수 있는 매뉴얼을 숙지하고 있어야 합니다. 기술은 도구일 뿐 결국 그것을 다루는 사람의 숙련도가 금융 사고를 막는 최후의 방어선이 됩니다.