OCaml이 우주에서 증명한 안전한 시스템 언어

Thomas Gazagnaire는 O(x)Caml in Space에서 순수 OCaml로 작성한 CCSDS 프로토콜 스택 Borealis가 2026년 4월 23일 저궤도 위성에서 부팅됐다고 밝혔다. DPhi Space의 ClusterGate-2 hosted-payload 모듈 위에서 동작하며, 명령·제어 경로는 end-to-end 암호화와 포스트양자 키 회전을 지원한다.

이 뉴스는 “OCaml이 우주에 갔다”는 언어 커뮤니티의 재미있는 사건으로만 볼 일이 아니다. 패치가 어렵고, 여러 임차인이 같은 위성 버스를 공유하며, 커널 CVE가 임차인 경계를 무너뜨릴 수 있는 환경에서 안전한 언어와 프로토콜 설계가 얼마나 실용적인 방어선이 되는지를 보여준다.

파일시스템을 지연 허용 네트워크로 쓰다

Borealis는 위성과 지상에서 같은 클라이언트-서버 형태로 동작하지만, 실제 전송 경로는 일반 네트워크가 아니다. DPhi API를 통해 업링크 디렉터리에 파일을 올리면 다음 패스 때 위성으로 전달되고, 다운링크도 파일로 내려온다. Borealis는 이 파일시스템을 delay-tolerant network로 취급하고, 모든 명령과 텔레메트리와 이미지 조각을 BPv7 RFC 9171 번들로 직렬화한다.

그 위에 BPSec RFC 9172가 붙는다. 번들은 암호화와 인증 블록으로 보호되고, 라우팅 경로는 내용을 읽거나 위조할 수 없다. 장기 임무에서는 키 회전도 필요하다. Borealis는 ML-DSA FIPS 204 기반 포스트양자 서명 키의 OTAR, 즉 Over-The-Air Rekeying을 지원한다.

왜 OCaml인가

글은 Microsoft와 Chromium의 분석을 인용해 C/C++의 심각한 취약점 상당수가 메모리 손상에서 나온다고 설명한다. Chromium 메모리 안전성 분석과 Microsoft MSRC 발표는 시스템 코드가 언어 선택만으로 줄일 수 있는 위험이 있음을 오래전부터 보여줬다.

우주에서는 이 차이가 더 커진다. 지상 서버는 패키지 매니저를 돌리고 재부팅할 수 있지만, 궤도 위 소프트웨어는 패치 창과 통신 지연과 하드웨어 제약을 동시에 맞춰야 한다. Swift로 LLM을 훈련한다는 것이 언어와 하드웨어의 결합을 다뤘다면, Borealis는 안전한 언어가 임무 리스크를 줄이는 더 엄격한 사례다.

OxCaml이 보여준 성능의 방향

다음 단계인 OxCaml은 Jane Street의 OCaml 컴파일러 브랜치다. Gazagnaire는 CCSDS dispatch hot path에서 stack-bound allocation을 쓰면 p99.9 지연시간이 29ns에서 9ns로 줄고, 2,500만 패킷 처리 동안 minor GC가 394회에서 0회로 줄었다고 제시했다. 절대 수치보다 중요한 것은 지터를 줄인다는 점이다.

AI 인프라도 같은 문제를 겪는다. 모델 호출은 커졌지만 실제 제품 품질은 tail latency, 격리, 업데이트 검증에 달려 있다. RTX 5090 맥북 에어 eGPU 실험이 로컬 추론의 하드웨어 가능성을 보여줬다면, OCaml in space는 안전한 런타임과 타입 시스템이 엣지·우주·산업 제어 같은 환경에서 더 중요해지는 흐름을 보여준다.

한국 개발자와 기업이 배울 점

한국의 우주·방산·로봇·제조 AI 프로젝트는 여전히 C/C++ 중심의 관성에 묶여 있다. Rust만이 답이라는 뜻은 아니다. OCaml, Rust, SPARK, F*, EverParse 같은 도구를 조합해 “어디까지 타입과 검증으로 막고, 어디부터 운영으로 감시할지”를 설계해야 한다. AI 에이전트도 클라우드 비용을 알아야 한다에서 비용 인식이 운영 품질이 된 것처럼, 안전한 언어 선택도 이제 제품 전략이다.

FAQ

Borealis는 위성 전체 운영체제인가?

아니다. DPhi hosted-payload 모듈에서 Linux 프로세스로 도는 프로토콜 스택과 데몬에 가깝다.

CCSDS는 무엇인가?

우주선과 지상국 사이 통신에 쓰이는 표준 프로토콜 패밀리다. Borealis는 이를 순수 OCaml로 구현했다.

포스트양자 OTAR가 왜 중요한가?

위성 임무는 10년 이상 이어질 수 있다. 장기 임무에서는 초기 키를 영원히 믿기보다 안전하게 회전할 방법이 필요하다.

OCaml이 Rust보다 낫다는 주장인가?

그렇지 않다. 핵심은 메모리 안전성과 타입 시스템을 임무 소프트웨어의 1차 방어선으로 삼는 방향이다.

AI 업계와 연결점은 무엇인가?

AI 시스템도 엣지·로봇·위성처럼 패치가 어렵고 복잡한 환경으로 들어간다. 모델 성능만큼 런타임 안전성이 중요해진다.