انقطاع 999 في BT عام 2023 جعل توجيه المكالمات الاحتياطية اختبارًا للمساءلة في الشبكة العامة

ملخص

• ذكر سجل الإنفاذ النهائي لهيئة Ofcom أن خدمة معالجة مكالمات الطوارئ التابعة لـ BT تعطلت من الساعة 06:24 إلى 16:56 يوم 25 يونيو 2023. أثر الحادث على حوالي 14,000 مكالمة طوارئ وشمل حوالي ساعة من الانقطاع التام. كانت BT المزود الوطني لمعالجة المكالمات الذي يربط المتصلين بالرقمين 999 و112 بسلطات الطوارئ، لذا أصبح الفشل داخل منصة مشغل واحد مشكلة استمرارية شبكة عامة على مستوى البلاد. [1][2][3]
• قسمت الهيئة التنظيمية الحادث إلى ثلاث مراحل. أدى خطأ في ملف التكوين إلى تعطيل المنصة الأساسية أولاً. ثم فشل النقل الأولي لـ BT إلى التعافي من الكوارث لأن التعليمات كانت ضعيفة التوثيق والفريق لم يكن على دراية بالعملية. تم نقل الحركة المرورية في النهاية، لكن المنصة الاحتياطية افتقرت إلى السعة والوظائف الكافية لاستعادة الخدمة العادية فورًا. [1][2][3]
• وصفت المراجعة العامة السابقة لـ BT مشكلة معقدة في التخزين المؤقت للبرامج وثلاث مجموعات أساسية، بينما حدد قرار Ofcom اللاحق خطأ في التكوين في ملف خادم الوسائط. لا ينبغي دمج هذه الروايات في سبب جذري مبتكر. يتحكم الوصف التنظيمي النهائي في نتيجة المقالة؛ وتبقى لغة BT حسابًا منسوبًا للمشغل. [2][7]
• تقيس أرقام التأثير الرسمية أشياء مختلفة. أبلغت Ofcom عن ما يقرب من 14,000 محاولة فاشلة من 12,392 متصلاً. أبلغت المراجعة الحكومية عن 9,641 متصلاً فريدًا لم يتمكنوا من الوصول إلى 999 أو 112، مع تأخير أو تعطيل العديد غيرهم. هذه الأرقام متوافقة مع طرق عد مختلفة، لكن المصادر العامة لا توفر تفاصيل كافية لدمجها في مقياس واحد. [3][4][5][6]
• وجدت Ofcom أن BT فشلت في اتخاذ التدابير المناسبة والمتناسبة للاستعداد لاختراق التوفر، وتحديدًا من خلال عدم وجود إجراءات محددة ومختبرة بشكل كافٍ ونظام نسخ احتياطي مناسب. فرضت غرامة قدرها 17.5 مليون جنيه إسترليني لانتهاكات القسم 105A(1)(c) من قانون الاتصالات لعام 2003 واللائحة 9 من لوائح تدابير الأمن لعام 2022. يشمل المصطلح القانوني "اختراق أمني" فقدان التوفر ولا يعني أن Ofcom وجدت هجومًا إلكترونيًا. [1][2][3][10][11]
• لم يتم تأكيد أي ضرر جسيم من قبل سلطات الطوارئ، لكن Ofcom رأت أن الضرر المحتمل كان خطيرًا للغاية. كما أن تعطيل ترحيل النص وضع المستخدمين الصم وضعاف السمع في خطر متزايد. تدعم الأدلة نتيجة وجود خطر على إمكانية الوصول والسلامة العامة، وليس ادعاءً غير مدعوم حول وفاة أو إصابة أو نتيجة طبية معينة. [1][3]
• المساءلة تتبع السيطرة العملية. سيطرت BT على تكوين المنصة، وتغطية الإنذار، وتصميم مجال الفشل، وإجراءات تجاوز الفشل، وسعة النسخ الاحتياطي، واستمرارية معالج المكالمات، وأدلة الإصلاح. سيطرت الحكومة وسلطات الطوارئ على الخطط على مستوى النظام، والتعليمات العامة، والإشراف والتمارين. سيطر مزودو الاتصالات الآخرون على اختبارات الشبكات الأصلية والتواصل مع العملاء. وسيطرت Ofcom على التحقيق والإنفاذ والمتابعة العامة.

مسار 999 الوطني كان بنية تحتية للشبكة، وليس ميزة تطبيق

سؤال المساءلة الأول هو معماري: ما هي الخدمة التي كانت BT تديرها، وأين تقاربت الاعتماديات العامة؟

لم تقدم BT مجرد تطبيق هاتف موجه للعملاء. لقد كانت تدير خدمة معالجة مكالمات الطوارئ التي تستقبل حركة 999 و112 وتحول المكالمات إلى سلطة الشرطة أو الإطفاء أو الإسعاف أو خفر السواحل المطلوبة من قبل المتصل. كما قدمت وظائف ترحيل أعطت الأشخاص الذين يعانون من صعوبات في السمع أو الكلام مسارًا للاتصالات الطارئة وغير الطارئة. وضع هذا الدور BT داخل سلسلة شبكة عامة وطنية لم تكن نتيجتها المفيدة نغمة رنين أو عملية متاحة. كانت النتيجة المفيدة هي مكالمة يجيب عليها معالج مدرب ويتم تحويلها بنجاح إلى سلطة الطوارئ المناسبة. [1][2][3]

هذا التمييز مهم لأن ضمان البنية التحتية يجب أن يتبع مسار الخدمة الكامل. يمكن أن تكون شبكة الجوال أو الشبكة الثابتة الأصلية سليمة بينما تكون المنصة الوطنية لمعالجة المكالمات غير قادرة على استقبال أو تحويل مكالمة. يمكن أن يعمل الخادم بينما يتم إعادة تشغيل جلسات الوكيل عند وصول مكالمة. يمكن أن يكون موقع التعافي من الكوارث متاحًا بينما تكون سعته منخفضة جدًا بالنسبة لحركة المرور التي يجب أن يستوعبها. يمكن أن تظهر لوحة معلومات المنصة استعادة جزئية بينما لا يزال المتصلون ينتظرون أو يعيدون المحاولة أو يفشلون. لذا فإن التوفر في أي طبقة واحدة هو مقياس غير كامل للوصول إلى الطوارئ.

كما ركز دور BT المركزي السلطة التشغيلية. سيطرت الشركة على منصة معالجة مكالمات الطوارئ الأساسية، وبيئة التعافي من الكوارث، وإجراءات التبديل، والبيئة التقنية للوكلاء، والمعلومات التي قدمتها إلى Ofcom والحكومة أثناء الحادث. سيطرت سلطات الطوارئ على عمليات الاستقبال الخاصة بها والاستجابة المحلية. سيطر مزودو الاتصالات الآخرون على توصيل حركة المرور الأصلية نحو الخدمة الوطنية. سيطرت الحكومة على الإشراف الأوسع والتنسيق عبر الأنظمة. كانت هذه المسؤوليات مترابطة، لكنها لم تكن قابلة للتبادل.

المركزية ليست عيبًا تلقائيًا. يمكن لخدمة معالجة وطنية توحيد التحويل والموقع وإمكانية الوصول والممارسة التشغيلية. يمكنها تركيز الخبرة وجعل مجموعة واحدة من الواجهات أسهل في الإدارة. التكلفة من حيث المساءلة هي أن النقطة المشتركة يجب أن تلبي معيار أدلة مرتفعًا مقابل ذلك. إنها تحتاج إلى مجالات فشل تظل مستقلة تحت التغييرات التي تحدث فعليًا، ونسخة احتياطية يمكنها تحمل الطلب الوطني الواقعي، وإنذارات تحدد تدهور الخدمة بدلاً من صحة المكون فقط، وإجراءات يمكن للمشغلين تنفيذها تحت الضغط.

هذا هو أيضًا سبب ملاءمة الحادث لهدف مساءلة البنية التحتية للشبكة دون تمديد بلاغي. أزل توجيه المكالمات، وتصميم العقدة، والتكوين المشترك، والتعافي من الكوارث، وسعة حركة المرور، وانتقال المشغل من القصة، ويختفي الفشل المركزي. ما يتبقى لن يفسر لماذا لم يتمكن آلاف الأشخاص من الوصول إلى خدمات الطوارئ. مستوى التحكم في الشبكة ليس تشبيهًا هنا. إنه المسار السببي.

ثلاث مراحل تكشف عن ثلاثة إخفاقات تحكم مختلفة

يمكن أن تحجب مدة انقطاع واحدة التسلسل التشغيلي. يفصل التسلسل الزمني الثلاثي لـ Ofcomm بين تعطيل المنصة الأساسي، ومحاولة الاسترداد غير الناجحة، وعملية النسخ الاحتياطي المقيدة. تشير كل مرحلة إلى مجموعة مختلفة من الضوابط.

المرحلة 1 استمرت من 06:24 إلى 07:33. وجدت Ofcom أن خطأ في التكوين في ملف على خادم عطل نظام معالجة مكالمات الطوارئ. أعيدت تشغيل أنظمة الوكيل عند استلام المكالمات. يمكن أن يتم تسجيل خروج الوكلاء. يمكن أن يتم قطع المكالمات أو إسقاطها أثناء التحويل، أو إعادتها إلى قائمة الانتظار. كانت BT ترى أن الخدمة تفشل لكنها لم تستطع تحديد السبب في البداية. حاولت نقل الخدمة إلى منصة التعافي من الكوارث. [2][3]

اختبرت هذه المرحلة الكشف والتشخيص. تحتاج الخدمة الحرجة إلى إنذارات مرتبطة بالنتائج العامة: معدل الإجابة على المكالمات، ونجاح التحويل، وإعادة تشغيل الوكيل غير المتوقعة، وعمليات تسجيل الخروج المتكررة، وإعادة تدوير قائمة الانتظار، ونجاح ترحيل النص، وإكمال الوجهة. لا تزال إنذارات المكونات مفيدة، لكنها غير كافية إذا كان البرنامج يمكن أن يظل حيًا تقنيًا بينما تؤدي كل مكالمة مستلمة إلى تغيير حالة مزعج. قالت مراجعة BT أن الإنذارات المتوقعة لم توضح المجموعة الأساسية المتأثرة. وجدت Ofcom لاحقًا أنظمة تحذير غير كافية وإجراءات غير كافية لتقييم الشدة والتأثير والسبب المحتمل والتخفيف المحتمل. [3][7]

المرحلة 2 استمرت من 07:33 إلى 08:50. كانت المحاولة الأولى لنقل الخدمة إلى التعافي من الكوارث غير ناجحة بسبب خطأ بشري. ربطت Ofcom ذلك الخطأ بتعليمات ضعيفة التوثيق وفريق غير معتاد على العملية. انتقلت الخدمة من التعطيل الجزئي إلى الانقطاع التام. خلال هذه الفترة، لم يتمكن الشخص الذي يحاول الاتصال بالرقم 999 أو 112 من الاتصال بوكيل معالجة مكالمات BT. [2][3]

اختبرت هذه المرحلة التنفيذ. تصميم التعافي من الكوارث لا يكتمل عندما توجد المعدات أو يتم تخزين دليل التشغيل. يجب على الأشخاص المناوبين التعرف على موعد استدعائه، وفهم الحالة التي تكون عليها المنصة الأساسية، واتباع تسلسل لا لبس فيه، واكتشاف الاختيار الخاطئ، وعكسه أو تصحيحه بأمان، والتحقق من أن حركة المرور قد انتقلت. يجب أن تعمل العملية بينما يرتفع الطلب، وتكون العواقب العامة شديدة، وتكون المعلومات التقنية غير كاملة.

المرحلة 3 استمرت من 08:50 إلى 16:56. انتقلت حركة المرور بنجاح إلى التعافي من الكوارث، وانخفض معدل المكالمات غير الناجحة، لكن الخدمة العادية لم تستعد فورًا. كافحت المنصة الاحتياطية مع الطلب. وجدت Ofcom أن سعتها ووظائفها كانت غير كافية لمستوى حركة المرور الذي يمكن توقعه بشكل معقول. [2][3]

اختبرت هذه المرحلة سعة التصميم ووضع التدهور. قد يكون النسخ الاحتياطي مقبولاً إذا كان يحافظ على الخدمة الأساسية حتى عندما تكون الميزات العادية مخفضة. لكن التخفيض يجب أن يكون متعمدًا ومحدودًا ومتسقًا مع الوظيفة العامة للخدمة. تولد مكالمات الطوارئ سلوك إعادة محاولة يمكن التنبؤ به: عندما تفشل مكالمة أو تظل دون إجابة، غالبًا ما يحاول المتصلون مرة أخرى. يجب أن يأخذ تصميم النسخ الاحتياطي في الاعتبار هذه التغذية الراجعة، وليس فقط متوسط حركة المرور في الحالة المستقرة. يجب أيضًا أن يحافظ على مسارات إمكانية الوصول والقدرة على تحويل المكالمات، وليس فقط استقبالها.

تمنع المراحل الثلاث سردًا مضللاً للسبب الجذري. يفسر خطأ التكوين البداية. لا يفسر لماذا كان الكشف والتشخيص ضعيفين، أو لماذا فشلت خطوة الاسترداد الأولى، أو لماذا لم تستطع النسخة الاحتياطية تحمل الطلب بعد نجاح النقل. تلك التأثيرات اللاحقة أطالها ضوابط كانت ضمن سلطة BT. قالت Ofcom ذلك صراحةً عندما ربطت حجم الحادث وتأثيره بغياب الإجراءات التشغيلية وإجراءات الحوادث، وبسعة ووظائف التعافي من الكوارث المخفضة. [1][2]

كما يوفر التسلسل اختبارًا عمليًا للعلاج. يجب أن يعيد التمرين الموثوق به إنتاج جميع التحديات الثلاثة: فشل المنصة الأساسي الغامض، وقرار النقل تحت عدم اليقين، والطلب المرتفع على النسخة الاحتياطية. اختبار تبديل مخطط نظيف فقط سيفتقد الظروف التي جعلت هذا الحادث صعبًا.

يجب أن يظل سجل السبب الجذري النهائي منفصلاً عن حساب BT السابق

تتطور سرديات الحوادث العامة. غالبًا ما تستند بيانات المشغل المبكرة إلى أدلة غير كاملة؛ قد تستخدم نتائج الهيئة التنظيمية اللاحقة مستندات ومقابلات ليست متاحة للجمهور بشكل كامل. يجب أن يُظهر التحليل المسؤول هذا التطور بدلاً من اختيار أي عبارة تبدو أكثر تقنية.

وصفت المراجعة العامة لـ BT "مشكلة معقدة في التخزين المؤقت للبرامج" في منصة معالجة مكالمات الطوارئ الأساسية. قالت إن الخدمة تستخدم ثلاث مجموعات أساسية بمستوى عالٍ من المرونة وأن أي مجموعة واحدة يمكنها التعامل مع الحمل الوطني الكامل. كما قالت المراجعة إن الإنذارات لم توضح أي مجموعة تأثرت. أثناء الاسترداد، اختار المستجيبون مجموعة أساسية معيبة نفسها، مما ساهم في عدم نجاح النقل الأول. أبلغت BT أن حركة مرور الخطوط الأرضية انتقلت إلى التعافي من الكوارث بحلول الساعة 08:37 وحركة مرور الجوال بحلول الساعة 08:50. [7]

حدد قرار Ofcom اللاحق غير السري خطأً في ملف التكوين في خادم وسائط داخل المنصة الرئيسية، يتحكم في خدمات الرسائل المرتبطة بمكالمات الطوارئ. وصف القرار منصة رئيسية بثلاث عقد متطابقة، كل منها مخصص لمعالجة جميع حركة المرور، ومنصة تعافي من الكوارث منفصلة. كما احتوى على الأدلة التي تدعم النتائج القانونية للهيئة التنظيمية والغرامة. [2]

يمكن للوصفين أن يتعايشا على مستواهما المناسب. قد يكون سلوك التخزين المؤقت جزءًا من الفهم الفني لـ BT، بينما خطأ ملف التكوين هو النتيجة التنظيمية العامة النهائية. لا تُظهر المصادر المتاحة للجمهور تفاصيل كافية منخفضة المستوى لتأكيد كيفية تفاعل الملف وذاكرة التخزين المؤقت وخدمة الرسائل وسلوك العقدة. سيكون من غير السليم تصنيع سلسلة مثل "قام مهندس بتغيير معلمة ذاكرة تخزين مؤقت عبر جميع العقد" ما لم يثبت القرار فعليًا كل عنصر. سيكون من غير السليم أيضًا تجاهل القرار النهائي وتكرار صياغة BT المفضلة فقط.

لذلك يجب أن تستخدم المقالة تسلسلاً هرميًا للادعاءات.

أولاً، أكدت Ofcom وجود خطأ في ملف التكوين في خادم وسائط وربطته بتعطيل معالجة مكالمات الطوارئ الأساسية. هذه هي عبارة السبب الجذري المدعومة بسجل الإنفاذ النهائي.

ثانيًا، كانت BT قد وصفت المشكلة في وقت سابق بأنها مشكلة تخزين مؤقت معقدة للبرامج وقدمت تفاصيل معمارية واستعادة. هذه تصريحات منسوبة للمشغل تضيف سياقًا ولكنها لا تتجاوز الهيئة التنظيمية.

ثالثًا، يترك السجل العام أسئلة مهمة دون إجابة. لا يحدد موردًا أو مشغلًا فرديًا أو تذكرة التغيير الكاملة أو مفتاح التكوين الدقيق أو تدفق الإنذار الكامل أو كل انتقال عقدة. يجب طلب هذه العناصر كأدلة بدلاً من ملؤها بالاستدلال.

هذا التسلسل الهرمي أكثر من مجرد صياغة حذرة. إنه يعين المسؤولية لأصحاب الأدلة. يمكن لـ BT الكشف عن تاريخ التكوين ونتائج الاختبار والمراجعة الداخلية. يمكن لـ Ofcom شرح أساس نتائجها ضمن الحدود القانونية. يمكن للحكومة نشر التقدم المحرز في التوصيات النظامية. يمكن للمحللين الخارجيين مقارنة هذه السجلات وتحديد الثغرات. لا ينبغي لأحد تحويل عدم اليقين إلى اتهام ضد شخص أو مورد غير مسمى.

نفس الانضباط يرفض إطار الهجوم الإلكتروني. يستخدم النظام القانوني "اختراق أمني" على نطاق واسع ليشمل أي شيء يضر بالتوفر أو الأداء أو الوظائف. كانت نتيجة Ofcom تتعلق بالتحضير لفشل التوفر. تصف المصادر العامة خطأً تقنيًا. لا تبلغ عن وصول عدائي أو تكوين خبيث أو فاعل خارجي. تسمية الحادث بهجوم إلكتروني تخلط بين مصطلح قانوني وسبب غير مدعوم.

ثلاث عقد أساسية لم تؤسس ثلاثة مجالات فشل مستقلة

تضمنت بنية BT ثلاث عقد أساسية، وكل منها كانت مخصصة لحمل جميع حركة مرور مكالمات الطوارئ. على الورق، يوفر هذا سعة احتياطية ونماذج تشغيل متعددة. يظهر الحادث لماذا عدد المكونات ليس دليلاً كافيًا على المرونة.

تم وصف العقد على أنها متطابقة. الأنظمة المتطابقة يمكن أن تكون أسهل في التشغيل والتحديث والتوسيع، ولكنها يمكن أن تشارك أيضًا قابلية التأثر. يمكن أن ينتشر خطأ ملف التكوين من خلال عملية نشر مشتركة أو يؤثر على برنامج يتصرف بنفس الطريقة في كل مكان. يمكن لخدمة الرسائل المشتركة إنشاء سطح تحكم مشترك. يمكن لطائرة إدارة مشتركة تطبيق نفس الحالة الخاطئة على عقد منفصلة اسميًا. لا يثبت السجل العام بالضبط أي من مسارات الانتشار هذه حدث، لذلك لا ينبغي للمقالة اختيار واحد. إنه يثبت النتيجة الأكثر أهمية: الترتيب الأساسي لم يمنع تعطيل الخدمة على مستوى البلاد.

يجب تعريف الاستقلال مقابل الأسباب المحتملة. يعالج الفصل الجغرافي فقدان الموقع ولكن ليس التكوين المشترك. تعالج الأجهزة المنفصلة بعض أعطال المكونات ولكن ليس سلوك البرنامج المتطابق. تعالج سعة الحوسبة الاحتياطية الطلب ولكن ليس خطأ مستوى التحكم. تعالج النماذج المتعددة الفشل العشوائي ولكنها قد لا تعالج تحديثًا مطبقًا في كل مكان. يوثق التصميم السليم فئات الفشل التي يمكن لكل طبقة احتواؤها وأين تبقى التبعيات المشتركة.

بالنسبة لنداء الطوارئ، يجب أن يشمل هذا التحليل ستة أبعاد على الأقل.

استقلال التكوين:هل يمكن لملف أو سياسة أو طرح سيئة أن تؤثر على كل عقدة أساسية في وقت واحد؟ هل يتم اختبار التغييرات على نطاق ضيق والتحقق منها وعكسها؟ هل تبقى حالة جيدة معروفة خارج مسار النشر الطبيعي؟

استقلال الحالة:هل يمكن لحالة وقت التشغيل السيئة أن تنتشر أو تتزامن؟ هل مخازن الرسائل وذاكرة التخزين المؤقت وقواعد البيانات وقوائم الانتظار معزولة بما يكفي بحيث لا تؤدي حالة واحدة إلى إضعاف جميع العقد؟

استقلال المراقبة:هل يمكن للمشغلين رؤية نتائج الخدمة حتى لو كانت القياسات الذاتية للمنصة المتأثرة مضللة أو غير كاملة؟ هل يتم إجراء اختبارات تركيبية للرقم 999 و112 من شبكات متعددة؟

الاستقلال التشغيلي:هل يمكن للمستجيبين عزل أو تصريف أو تجاوز عقدة دون الاعتماد على نفس وحدة التحكم أو الإجراء الذي يفشل؟

استقلال الاسترداد:هل يستخدم التعافي من الكوارث تكوينًا وحالة برمجية ووصولاً تشغيليًا منفصلين بما يكفي للنجاة من السبب الأساسي؟

استقلال السعة:هل يمكن للمسار المتبقي استيعاب إعادة المحاولات والطلب المفاجئ، بدلاً من متوسط الحجم العادي فقط؟

يمكن للمنصة أن تفي ببعض هذه المعايير وتفشل في أخرى. سؤال المساءلة الصحيح ليس "هل كان لدى BT تكرار؟" يُظهر السجل العام بالفعل أنها كانت لديها. السؤال هو "ما هي فئات الفشل التي ثبت أن هذا التكرار يحتوي عليها قبل الحادث، وأي الاختبارات تثبت الآن أنه يحتوي على إخفاقات التكوين والانتقال التي حدثت؟"

كقياس تحليلي وليس حقيقة مثبتة بالمصادر حول كل نظام، يمكن أن يكون هذا التمييز مهمًا عبر البنية التحتية للشبكة. منصات DNS، وأنظمة التحكم في مسار BGP، والنوى المتنقلة، وخدمات المصادقة، وسلاسل مكالمات الطوارئ يمكن أن تستخدم نماذج متعددة خلف مستوى تحكم مشترك. يمكن أن يكون عدد مستوى البيانات المرئي مرتفعًا بينما عدد مجالات الإدارة المستقلة هو واحد. لذلك يجب أن يتبع التدقيق سلطة النشر والحالة المشتركة، وليس فقط الطوبولوجيا.

التعافي من الكوارث كان ادعاءً بالقدرة وقابلية التشغيل

وجود منصة تعافي من الكوارث منفصلة كان تحكمًا ضروريًا. أظهر الحادث أن الوجود وحده لم يكن كافيًا.

فشل النقل الأول. أرجعته Ofcom إلى خطأ بشري وحددت تعليمات ضعيفة التوثيق وعدم الإلمام بالعملية. لا ينبغي قراءة هذه النتيجة كإذن بالتوقف عند اللوم الفردي. إجراء الاسترداد الحرج هو واجهة مصممة بين الأشخاص والبنية التحتية. وضوحه والتحقق منه والتدرب عليه والأذونات وقابلية الملاحظة واسترداد الأخطاء هي ضوابط تنظيمية. إذا كان بإمكان المستجيبين المدربين اتخاذ اختيار خاطئ يمكن التنبؤ به تحت الضغط، فإن الإجراء والأدوات يستحقان الفحص.

يجب أن يسأل الاختبار التشغيلي ما الذي رآه المستجيب. هل كانت صحة كل عقدة أساسية معروضة بوضوح؟ هل ميزت الواجهة بين العقدة المتاحة والعقدة الآمنة لتلقي حركة المرور؟ هل حدد دليل التشغيل المتطلبات الأساسية ونقاط التراجع؟ هل منعت الأداة وجهة غير صالحة؟ هل يمكن لمشغل آخر التحقق من الاختيار؟ هل تدرب الفريق على النقل غير المخطط له بالضبط، أم فقط الصيانة المخطط لها؟ لا يجيب القرار العام على هذه الأسئلة، لذا تبقى طلبات أدلة وليس استنتاجات.

بمجرد نجاح النقل، أصبحت السعة المشكلة التالية. قللت منصة التعافي من الكوارث من المكالمات الفاشلة لكنها كافحت مع الطلب. وجدت Ofcom سعة ووظائف غير كافية لمستوى متوقع بشكل معقول. لا يمكن تحديد حجم النسخة الاحتياطية المستخدمة لخدمة طوارئ وطنية فقط لمتوسط يوم هادئ إذا كان الفشل نفسه يسبب إعادة المحاولات والمحاولات المكررة وأوقات المعالجة الأطول وعدم اليقين العام. يجب أن يتضمن نموذج الطلب سلوك الحادث.

للسعة أيضًا عدة معانٍ. الإنتاجية الحاسوبية والشبكية واضحة. قد يصبح كل من تزامن الوكيل وعمق قائمة الانتظار وواجهات النقل وخدمات الترحيل والتسجيل ودعم الموقع واتصالات سلطة الطوارئ النهائية المورد المحدد. النسخة الاحتياطية التي تستقبل مكالمة ولكنها لا تستطيع تحويلها على الفور لم تحافظ على النتيجة العامة. النسخة الاحتياطية التي تدعم الصوت ولكنها تفقد ترحيل النص خلقت فشلاً في إمكانية الوصول. النسخة الاحتياطية التي تصبح مثقلة بسجلات التشخيص الخاصة بها قد يكون لديها موارد اسمية ولكن سعة قابلة للاستخدام غير كافية.

الهدف التصميمي ليس بالضرورة نسخة طبق الأصل من الأساسي. يمكن أن يكون وضع التدهور دفاعيًا إذا كان يحافظ على الخدمة الأساسية، ويعطي الأولوية لحركة المرور العاجلة بشكل عادل، ويبلغ عن القيود، ويعود إلى الوضع الطبيعي بأمان. لكن قرارات وضع التدهور يجب أن تكون صريحة قبل الحادث. يجب أن يعرف المشغلون الميزات التي قد يتم تقليلها، وأيها لا يجب أن يفقد أبدًا، وكيف سيتم التحكم في الطلب دون استبعاد المستخدمين الذين يعتمدون على خدمات إمكانية الوصول.

الاختبار هو بالتالي ادعاء إنتاجي. يُظهر التبديل المخطط الناجح بحجم منخفض فقط مجموعة فرعية من الضمان المطلوب. تشمل الأدلة القوية تمارين غير معلنة أو معلنة بأقل قدر ممكن، وعمليات نقل أثناء كون الحالة الأساسية غامضة، والحمل الوطني الكامل بالإضافة إلى تضخيم إعادة المحاولة، وفقدان مكون أو أكثر من مكونات إمكانية الوصول، وفشل إجراء الاسترداد الأول، والعودة إلى الأساسي. يجب أن يقيس التمرين نتائج المتصل، وليس فقط حالة البنية التحتية.

نتيجة Ofcom تجعل خط المساءلة واضحًا. تحكمت BT في ما إذا كان نظام النسخ الاحتياطي المناسب موجودًا وما إذا كان يمكنه الحد من الآثار الضارة وتمكين الاسترداد. كانت للحكومة وسلطات الطوارئ مصالح في النتيجة، لكنهما لم تقوما بتكوين أو تشغيل منصة BT. يجب أن يعزز الإشراف المشترك الاختبار، لا أن يخفف مسؤولية المشغل عن الأصول والإجراءات التي يتحكم بها.

يجب أن يبدأ "الخطأ البشري" تحليل التحكم، وليس إنهائه

تظهر عبارة "خطأ بشري" في التسلسل الزمني النهائي لأن شخصًا ما اتخذ خيار استرداد غير ناجح. إنها ذات صلة، لكنها ليست تفسيرًا كاملاً لسبب دخول النظام في انقطاع تام.

يدير الأشخاص البنية التحتية للشبكة من خلال المعلومات والقيود التي تصممها المنظمات. يخبرهم دليل التشغيل بما يجب فعله. تخبرهم وحدة التحكم بما هو سليم. تحدد ضوابط الوصول ما يمكنهم تغييره. يبني التدريب الألفة أو يفشل في بنائها. تكشف التمارين الغموض أو تفشل في كشفه. تحدد قواعد التصعيد متى يراجع شخص آخر القرار. يمكن للأدوات السماح باختيار خطير أو منعه. يمكن أن تكون الوثائق حديثة أو قديمة.

ربطت Ofcom النقل الفاشل بسوء التوثيق وعدم الإلمام. تلك النتائج تنقل المسؤولية من فعل منعزل إلى ضوابط تنظيمية قابلة للتكرار. إذا كانت العملية بالغة الأهمية بحيث يمكن لاختيار خاطئ واحد نقل خدمة وطنية من تعطيل جزئي إلى انقطاع تام، فيجب تصميم العملية مع التحقق والاسترداد حول تلك العاقبة.

تتبع العديد من الضوابط العملية.

يجب تحديد الوجهة من خلال استعداد الخدمة، وليس مجرد اسم عقدة. يجب أن تظهر الواجهة ما إذا كانت المنصة المرشحة قد اجتازت فحوصات الصحة تحت الحمل. يجب أن يتضمن دليل التشغيل معايير القرار والمتطلبات الأساسية والخطوات غير القابلة للإلغاء ونقاط التأكيد. يجب أن يتحقق مؤهل ثانٍ من الطريق حيث يسمح الوقت، أو يجب على النظام فرض حماية تلقائية. يجب أن يشمل التدريب القياسات عن بعد الغامضة والفشل الأساسي الجزئي. يجب أن تتطلب التمارين من الفريق اكتشاف الإجراء الخاطئ الأولي وتصحيحه.

لا شيء من هذا يلغي المسؤولية البشرية. إنه يجعل المسؤولية قابلة للاستخدام. يظل المشغل مسؤولاً عن اتباع الإجراء المعتمد وتصعيد عدم اليقين. تظل الإدارة مسؤولة عن جودة الإجراءات والتوظيف والتدريب. يظل مالكو المنصة مسؤولين عن قابلية الملاحظة وقيود السلامة. يظل المسؤولون التنفيذيون مسؤولين عن تمويل السعة والتمارين الواقعية. يظل المنظمون مسؤولين عن اختبار ما إذا كان نظام الضوابط موثوقًا به.

البديل هو دورة مساءلة ضعيفة. يقع حادث. يحدد التقرير خطأ بشريًا. يتلقى الفرد مزيدًا من التدريب. تبقى الواجهة الأساسية والتوثيق والافتراضات التنظيمية دون تغيير. يواجه الشخص التالي نفس الفخ. يسأل الإغلاق الأقوى عما إذا كان الخطأ أصبح أصعب في ارتكابه، وأسهل في اكتشافه، وأكثر أمانًا للتعافي منه.

هذا النهج مهم بشكل خاص في الشبكات العامة لأن ظروف الاستجابة مرهقة بطبيعتها. يرتفع الطلب. المعلومات غير كاملة. لا يمكن إخبار الجمهور بالانتظار حتى نافذة الصيانة. يجب الحكم على الإجراءات في ظل تلك الظروف، وليس فقط في اجتماع مراجعة هادئ بعد الحدث.

أرقام التأثير تصف مقامات مختلفة

تعتمد الثقة العامة على الإبلاغ الدقيق عن التأثير. أنتج حادث BT عدة أرقام رسمية لا ينبغي التعامل معها على أنها قابلة للتبادل.

يقول إشعار الغرامة الصادر عن Ofcom لعام 2024 إن ما يقرب من 14000 محاولة مكالمة طوارئ كانت غير ناجحة بين الساعة 06:24 و16:56، قام بها 12392 متصلاً مختلفًا. يمكن للمتصل الفردي القيام بمحاولات متعددة، لذا تختلف المحاولات والمتصلون بشكل طبيعي. يقول الإشعار أيضًا أن الحدث أثر على حوالي 14000 مكالمة طوارئ وشمل حوالي ساعة من الانقطاع التام. [1][3]

تقول المراجعة الحكومية بعد الحادث إن 9641 متصلاً فريدًا لم يتمكنوا من الوصول إلى خدمات الطوارئ عبر 999 أو 112، مع تأخير أو تعطيل العديد غيرهم. تقسم الحدث إلى تعطيل ورفض وتأخير. قد يطبق هذا المقياس تعريفًا مختلفًا لـ "غير قادر على الوصول"، أو يزيل تكرار الهويات بشكل مختلف، أو يغطي سجلات مختلفة. يجب الإبلاغ عن المراجعة العامة بشروطها الخاصة. [4][5][6]

يقول الملخص الحكومي اللاحق لتقارير Ofcom الأمنية إن حوالي 23 في المائة من محاولات مكالمات الطوارئ كانت غير ناجحة ويحدد فترة 51 دقيقة من الفشل الكامل. تضيف هذه النسبة حجمًا، لكنها لا تزال تتطلب مقامًا وحدًا زمنيًا. لا ينبغي استخدامها لحساب عدد جديد من المتصلين ما لم تكن البيانات الأساسية تدعم الحساب. [8]

هذه التمييزات ليست تحذلقية. إنها تتوافق مع أضرار عامة مختلفة.

تقيس المحاولة غير الناجحة الحمل الموضوع على الخدمة الفاشلة والعمل الناتج عن إعادة المحاولات. يقيس مقياس المتصل الفريد تقريبًا عدد الأشخاص أو الأجهزة التي واجهت الفشل. قد تتصل المكالمة المتأخرة في النهاية ولكنها لا تزال تشكل خطرًا جسيمًا. يمكن أن يفشل التحويل المسقط بعد أن يرد الوكيل، وهو يختلف تشغيليًا عن المكالمة التي لا تصل أبدًا إلى قائمة الانتظار. يمكن أن يؤثر تعطيل ترحيل النص على المستخدم عبر كل من الاتصالات الطارئة والعادية.

مجموعة البيانات الجيدة للحوادث ستحافظ على كل هذه الفئات حسب الفاصل الزمني. ستظهر المحاولات والمتصلين الفريدين ووقت الإجابة ونجاح التحويل والهجر وسلاسل إعادة المحاولة والشبكة الأصلية ومسار إمكانية الوصول وسلطة الطوارئ. كما ستحمي البيانات الشخصية. يمكن لإعداد التقارير المجمعة لمدة 15 دقيقة، وهو بالفعل جزء من توقعات Ofcom لمعالجة مكالمات الطوارئ، أن يُظهر متى عادت الخدمة بشكل غير متساو وما إذا كان النسخ الاحتياطي قد حسن النتائج.

السجل العام الحالي كافٍ لإثبات حدوث تعطيل وطني شديد. إنه غير كافٍ لإسناد استجابة فاشلة محددة أو نتيجة صحية إلى مكالمة معينة. يجب أن يظل هذا الحدود صريحًا. يتم تعزيز المساءلة العامة، وليس إضعافها، عندما يذكر التحليل ما تقيسه الأرقام وأين تتوقف.

مسارات إمكانية الوصول هي جزء من الخدمة الأساسية

لا يمكن تقييم مرونة مكالمات الطوارئ فقط من خلال مكالمات الصوت القياسية. تضمن دور BT خدمات الترحيل، ووسعت Ofcom تحقيقها لفهم الآثار على ترحيل النص وترحيل الفيديو للطوارئ ورسائل SMS عبر الجوال لمنظمات الطوارئ. يقول إشعار الغرامة إن تعطيل ترحيل النص منع الأشخاص الذين يعانون من صعوبات في السمع والكلام من إجراء المكالمات، بما في ذلك للأصدقاء والعائلة والشركات والخدمات، وتركهم في خطر متزايد من الأذى. [1][3]

لهذا التأثير مضاعفات على المساءلة.

أولاً، إمكانية الوصول ليست ميزة اختيارية يمكن إزالتها بشكل عابر في وضع التدهور. بالنسبة لبعض المستخدمين، الترحيل هو المسار القابل للاستخدام للمساعدة في حالات الطوارئ. التصميم الاحتياطي الذي يعيد الصوت العادي مع ترك الترحيل غير متاح لا يوفر وصولاً عامًا مكافئًا. لذلك يجب أن يشمل تخطيط السعة والتمارين والمراقبة كل وضع مدعوم.

ثانيًا، قد تخفي مقاييس الصوت الإجمالية عواقب غير متساوية. يمكن أن يخفي هدف الإجابة بنسبة 95 بالمائة فشلًا كاملاً لقناة إمكانية وصول أصغر. يجب أن تفصل لوحات معلومات مستوى الخدمة بين الطرائق وتكشف عندما لا يكون لدى مجموعة سكانية مسار قابل للتطبيق. يجب أن يوفر الاتصال العام بالحادث بدائل يمكن لهؤلاء المستخدمين استخدامها فعليًا.

لا تثبت مجموعة المصادر أن شخصًا معينًا من ذوي الإعاقة عانى من نتيجة خطيرة مؤكدة. إنها تثبت أن مسار إمكانية الوصول قد تعطل وأن Ofcom اعتبرت الخطر كبيرًا. الرد الصحيح ليس المبالغة في السببية الفردية ولا التقليل من الاستبعاد الهيكلي. هو المطالبة بأدلة على أن اختبارات تجاوز الفشل المستقبلية تشمل خدمات الترحيل، وأن سعة النسخ الاحتياطي تغطيها، وأن التعليمات العامة متاحة.

النتيجة القانونية تعلقت بالتحضير للتوفر، وليس بالاقتحام العدائي

طبق قرار Ofcom إطار الأمن الاتصالي بعد عام 2022 على فشل توفر فني. هذا التطبيق مهم لأنه يظهر أن واجبات أمن الشبكة أوسع من الاستجابة للهجوم الإلكتروني.

يتطلب القسم 105A من قانون الاتصالات من مقدمي شبكات وخدمات الاتصالات العامة اتخاذ تدابير مناسبة ومتناسبة لتحديد وتقليل مخاطر الاختراق الأمني والاستعداد لحدوثه. يشمل التعريف القانوني أي شيء يضر بالتوفر أو الأداء أو الوظائف. تتناول اللائحة 9 من لوائح الاتصالات الإلكترونية (تدابير الأمن) الاستعداد لمثل هذه الاختراقات، بما في ذلك الإجراءات المناسبة والنسخ الاحتياطي. [1][2][10][11]

وجدت Ofcom أن BT لم تتخذ تدابير كافية في مجالين. كانت تفتقر إلى وسائل وإجراءات محددة ومختبرة لتحديد وتقييم ومعالجة الاختراق الأمني. كما كانت تفتقر إلى نظام نسخ احتياطي مناسب قادر على الحد من الآثار الضارة بشكل كافٍ وتمكين الاسترداد. تلك النتائج تتطابق مباشرة مع فشل الانتقال الأول للحادث، والتحذير والتقييم غير الكافيين، وعملية التعافي من الكوارث المقيدة. [1][2]

فرضت الهيئة التنظيمية غرامة قدرها 17.5 مليون جنيه إسترليني. تضمن المبلغ خصم تسوية بنسبة 30 بالمائة لأن BT اعترفت بالمسؤولية وأكملت عملية التسوية في Ofcom. اعتبرت Ofcom الأمر خطيرًا جدًا وقالت إن حجم الحادث وتأثيره أطيلا بعوامل ضمن سيطرة BT. كما نظرت في العلاج والتعاون. [1][2][3]

درست Ofcom أحكامًا أخرى، بما في ذلك القسم 105C والشروط العامة A3.2 وC5.8 إلى C5.12. يتعلق A3.2 بأكبر توفر ممكن لخدمات الصوت والإنترنت العامة والوصول دون انقطاع إلى منظمات الطوارئ. تتعلق أحكام C5 بخدمات الترحيل. تقول صفحة القضية النهائية إن Ofcom لم تتابع النتائج بشأن تلك الأحكام كأولوية إدارية، مركزة على القسم 105A واللائحة 9. لذلك لا ينبغي للمقالة تحويل نطاق التحقيق إلى نتيجة انتهاك في كل حكم. [1][9]

يؤدي الإطار القانوني إلى معيار تحكم مفيد. لا يمكن للمزود الوفاء بواجبات المرونة من خلال التفاعل بكفاءة فقط بعد فهم الفشل. يشمل التحضير الإجراءات والقدرة الاحتياطية والاختبار اللازمة قبل الحدث. يتعلق الواجب أيضًا بالتناسب: خدمة الطوارئ الوطنية تستحق ضوابط تتماشى مع عواقبها المحتملة وموارد المشغل.

توفر معايير معالجة مكالمات الطوارئ الصادرة عن Ofcom سياقًا تشغيليًا ذا صلة. تتوقع إجراءات تتناسب مع الطبيعة الحرجة للخدمة، وتوفر شهري بنسبة 99.999 بالمائة، وموارد شبكة ونظام وبشرية كافية للرد السريع، وتقييم استمرارية الأعمال، وإعداد تقارير لمدة 15 دقيقة والإبلاغ عن الانقطاعات. تلك المعايير تسبق حادث 2023 وتصف الممارسة المتوقعة، بينما توسع إرشادات المرونة اللاحقة توقعات المزود حول التصميم والاختبار والمراقبة والاستجابة والاسترداد. [12][13][14][17]

يجب استخدام المستندات اللاحقة بحذر. يمكنها تحديد ما تبدو عليه أدلة المرونة الجيدة الآن. لا ينبغي الاستشهاد بها كدليل على أن كل فقرة لاحقة كانت قاعدة ملزمة انتهكت في عام 2023. قرار Ofcom النهائي هو السلطة للنتيجة القانونية الفعلية.

يجب أن يختبر الإشراف الحكومي السلسلة، لا أن يحل محل سيطرة المشغل

تعاملت المراجعة الحكومية بعد الحادث مع الحدث كدرس مرونة على مستوى النظام. دعت إلى استمرار إدارة المخاطر، وتعزيز الإشراف الحكومي، وتحسين التواصل العام، والتمارين عبر مجموعة من السيناريوهات. كما وصفت الحدث بأنه أول خسارة وطنية لخدمة مكالمات الطوارئ العامة في تاريخها البالغ 86 عامًا. [4][5][6]

تعالج هذه التوصيات فجوة حوكمة حقيقية. تعبر مكالمات الطوارئ الحدود التنظيمية. تدير BT المكالمات. ينشئها مزودو الاتصالات. تستقبلها سلطات الطوارئ. تشرف الإدارات الحكومية على السياسة والمرونة الوطنية. يتواصل المستجيبون المحليون مع البدائل. لا يمكن لتمرين يختبر منظمة واحدة فقط أن يثبت أن السلسلة تعمل.

يجب أن يؤسس الإشراف على مستوى النظام خريطة خدمة مشتركة، وسيناريوهات الفشل، وتنسيق أدلة. يجب أن تحدد الخريطة الفاعل الذي يملك كل انتقال واعتمادية. يجب أن تشمل السيناريوهات الفقدان الكلي الأساسي، والتدهور الجزئي الغامض، وفشل الاسترداد الأول، وانخفاض سعة النسخ الاحتياطي، وفشل مسار إمكانية الوصول، والمعلومات العامة المتناقضة. يجب أن تسجل الأدلة نتائج المتصل عبر الشبكات الأصلية وسلطات الطوارئ.

يجب أن يحدد الإشراف أيضًا التصعيد. أثناء الانقطاع الوطني، تحتاج الحكومة إلى معلومات دقيقة وفي الوقت المناسب دون الاستيلاء على دور المشغل الهندسي. تظل BT مسؤولة عن منصتها واستردادها. تظل الحكومة مسؤولة عن تنسيق العواقب الوطنية، ودعم سلطات الطوارئ، وتقديم نصائح قابلة للاستخدام للجمهور. تظل Ofcom مسؤولة عن التقييم التنظيمي. الحدود الواضحة تجعل التعاون أسرع لأن كل فاعل يعرف ما يجب أن يقرره ويكشف عنه.

التواصل العام يستحق معالجة تقنية. الرقم البديل مفيد فقط إذا كان مسار الشبكة الداعم له مستقل بما يكفي، وإذا كانت السلطة المستقبلة يمكنها استيعاب الطلب، وإذا كان الرقم متسقًا عبر الرسائل، وإذا كان المستخدمون يمكنهم الوصول إليه. نصح الناس باستخدام قناة أخرى دون اختبار تلك القناة يمكن أن ينقل الازدحام بدلاً من استعادة الخدمة. لذلك يجب أن تختبر التمارين التواصل كجزء من البنية التحتية، بما في ذلك إمكانية الوصول والتنوع الإقليمي.

قالت الحكومة إن التوصيات الحرجة قد تم تنفيذها وأنها ستشرف على العمل المتبقي. هذا بيان تقدم، وليس حزمة أدلة كاملة. الضمان العام الدائم سيربط كل توصية بمالك وتاريخ استحقاق وأثر إكمال ونتيجة تمرين وخطر متبقي. حيث لا يمكن الكشف عن التفاصيل لأسباب أمنية، يمكن لمقيم مستقل التحقق منها ونشر استنتاجات محدودة.

يجب قياس العلاج بتغير سلوك الفشل

تصف Ofcom و BT العديد من الإجراءات التصحيحية. أصلحت BT الخطأ البادئ، وحسنت مراقبة الأعطال، وحسنت منصة التعافي من الكوارث، ووثقت عملية تبديل أوضح. أبلغت الحكومة عن تقدم في التوصيات الأوسع. تتوافق هذه التغييرات مع تسلسل الفشل وهي ذات صلة بالغرامة والإغلاق. [3][4][7]

السؤال المتبقي هو الفعالية. لا يتم إثبات التحكم لأن مستندًا يقول إنه تمت إضافته. يتم إثباته عندما يتصرف النظام بشكل مختلف تحت الشرط الذي يهدف إلى احتوائه.

لحوكمة التكوين، ستظهر الأدلة التحقق من صحة المخطط، ومراجعة الأقران، والطرح المرحلي، وسلوك القناري، والتراجع التلقائي، وحماية الحالة الجيدة المعروفة. يجب أن يقدم الاختبار تكوينًا مشوهًا أو غير آمن ويظهر أنه لا يمكن أن يضعف كل عقدة أساسية.

للمراقبة، ستظهر الأدلة المكالمات التركيبية، واستقرار جلسة الوكيل، ونتائج قائمة الانتظار والتحويل، وفحوصات خدمة الترحيل، والإنذارات المستقلة عن المنصة المتأثرة. يجب أن يخلق الاختبار فشلًا جزئيًا ويظهر أن المشغلين يمكنهم تحديد مسار الخدمة المتأثر بسرعة.

للتعافي من الكوارث، ستظهر الأدلة أدلة التشغيل الحالية، وتعيينات الأدوار، وممارسة المشغل المنتظمة، والاختيار المحروس لوجهة آمنة، والنقل الناجح تحت الحالة الأساسية الغامضة. يجب أن يتضمن الاختبار إجراءً أوليًا غير ناجح عن عمد ويظهر الاسترداد دون انقطاع تام طويل.

للسعة، ستظهر الأدلة افتراضات الطلب، وتضخيم إعادة المحاولة، وحدود قائمة الانتظار، وتزامن الوكيل، وإنتاجية التحويل، وحمل مسار إمكانية الوصول. يجب أن يعمل الاختبار عند أو أعلى من الطلب الوطني المتوقع بشكل معقول المستخدم في التصميم.

للاتصال العام، ستظهر الأدلة الرسائل المتفق عليها مسبقًا، والبدائل المتاحة، وسلطة إصدار التحديثات، والاتساق عبر الحكومة والمستجيبين، وسحب التعليمات المؤقتة بعد الاسترداد.

للضمان المستقل، ستظهر الأدلة من شهد الاختبارات، وما فشل، وما تم إعادة اختباره، وأي المخاطر تبقى. لا يحتاج المقيم إلى نشر تفاصيل قابلة للاستغلال لبيان ما إذا كان التحكم قد اجتاز سيناريو محددًا.

أقوى برنامج علاج سيربط هذه القطع الأثرية. سيؤدي اختبار التكوين إلى المراقبة. ستقود المراقبة إلى حادث معلن. سينفذ الفريق تجاوز الفشل. ستحمل النسخة الاحتياطية الحمل. ستؤكد سلطات الطوارئ نجاح النقل. سينشط الاتصال العام فقط إذا لزم الأمر. سيعود النظام بعد ذلك إلى الخدمة الأساسية دون فقدان الأدلة. هذه السلسلة هي ما يعتمد عليه الجمهور فعليًا.

مصفوفة المساءلة

يجب تعيين المساءلة للفاعل الذي لديه سيطرة عملية على كل ضمان وسجل أدلة.

تمنع المصفوفة خطأين شائعين.

الأول هو اللوم المركزي المفرط. سيطرت BT على المنصة وكثير من الاستجابة للحادث، لكنها لم تتحكم في كل خطة طوارئ محلية أو رسالة عامة. كان للحكومة وسلطات الطوارئ مسؤوليات الاستمرارية الخاصة بهما.

الثاني هو المسؤولية المخففة. تسمية الحدث بـ"فشل النظام بأكمله" يجب ألا تخفي سيطرة BT على التكوين والمراقبة وتجاوز الفشل وسعة النسخ الاحتياطي. العواقب العامة المشتركة لا تجعل كل قرار تقني مشتركًا.

توضح المصفوفة أيضًا العلاج. يمكن للغرامة أن تعترف بالانتهاك وتردع الفشل المستقبلي. هي لا تثبت في حد ذاتها أن المنصة قد تغيرت. يمكن للمراجعة الحكومية تنسيق التوصيات. هي لا تختبر في حد ذاتها سقف حمل BT. يمكن لبيان علاج BT تحديد العمل المنجز. هو لا يوفر في حد ذاته ضمانًا مستقلاً. لكل قطعة أثرية دورها المناسب.

ما الذي سيسد فجوات الأدلة المتبقية

السجل العام قوي بما يكفي لدعم نتائج Ofcom وأطروحة المساءلة الرئيسية. إنه ليس كاملاً بما يكفي لتقييم كل إصلاح ادعائي. عدة إفصاحات محدودة من شأنها تحسين الثقة بشكل كبير.

سلسلة التكوين:الغرض من الملف ذي الصلة، وقواعد التحقق، ومسار الموافقة، ونطاق النشر، وحماية التراجع. يمكن إزالة القيم الحساسة مع الحفاظ على تسلسل التحكم.

بيان مجال الفشل:أي تبعيات التكوين والبرامج والبيانات والإدارة والوصول مشتركة عبر العقد الأساسية الثلاثة والتعافي من الكوارث، وأيها مستقلة عمدًا.

خريطة تغطية المراقبة:المكالمات التركيبية ومقاييس نتائج الخدمة المستخدمة للصوت وترحيل النص وترحيل الفيديو ورسائل SMS عبر الجوال والتحويل إلى كل سلطة طوارئ.

سجل تمرين تجاوز الفشل:التاريخ والسيناريو والظروف الأولية والأدوار ونقاط القرار ووقت النقل والأخطاء ونتائج المتصل وحمل النسخة الاحتياطية ونتيجة العودة إلى الأساسي.

أساس السعة:نموذج الطلب المستخدم للتعافي من الكوارث، بما في ذلك تضخيم إعادة المحاولة والمتطلبات الخاصة بالطريقة، بالإضافة إلى السقف المختبر وهامش الأمان.

نتيجة قابلية استخدام دليل التشغيل:دليل على أن الموظفين الذين قد يكونون في الخدمة يمكنهم تنفيذ الإجراء من الوثائق الحالية، وليس فقط أن خبراء الموضوع يمكنهم شرحه.

جدول التحقق من الإجراء التصحيحي:كل إجراء ومالك وتاريخ الإكمال والاختبار والمراجع المستقل والنتيجة والمخاطر المتبقية.

منهجية التأثير العام:تعريفات للمحاولة غير الناجحة والمتصل الفريد والمكالمة المرفوضة والمكالمة المتأخرة والتحويل المسقط وتعطيل الطريقة، بحيث يمكن فهم الأرقام الرسمية المختلفة دون تخمين.

لا ينبغي أن تكون جميع البيانات الأولية عامة. تفاصيل شبكة الطوارئ يمكن أن تخلق مخاطر أمنية وخصوصية. لكن السرية يجب أن تغير شكل الضمان، لا أن تلغيه. يمكن لـ Ofcom أو مقيم مستقل تأكيد أن الاختبار غطى سيناريوهات محددة واجتاز عتبات قابلة للقياس دون كشف التكوينات أو سجلات المكالمات الشخصية.

دروس لمشغلي الشبكات العامة الآخرين

حادث BT محدد، لكن أسئلة التحكم تنطبق على خدمات الشبكة المشتركة الأخرى.

أولاً، احسب مستويات التحكم، وليس فقط الخوادم. ثلاث عقد خلف مسار تكوين واحد قد توفر استقلالاً أقل من نظامين بحالة محكومة بشكل منفصل. يجب على مشغلي DNS و BGP والنواة المتنقلة والمصادقة وتوجيه المكالمات رسم خريطة الوضع المشترك صراحة.

ثانيًا، اختبر الاسترداد الفاشل، وليس فقط تجاوز الفشل الناجح. قد يكون الإجراء الأول أثناء الحادث خاطئًا لأن المعلومات غير كاملة. العملية المرنة تكتشف الخطأ وتحد من تأثيره وتوفر مسار تصحيح واضح.

ثالثًا، حدد حجم النسخة الاحتياطية لطلب الفشل. إعادة المحاولات والمحاولات المكررة والمعالجة الأطول وعدم اليقين العام تزيد الحمل. يجب اختبار النسخة الاحتياطية مقابل منحنى شكل الحادث وليس متوسطًا عاديًا.

رابعًا، راقب نتائج الخدمة من خارج المنصة. يمكن أن تظل إشارة الصحة الداخلية خضراء بينما لا يستطيع العملاء إكمال معاملة. يجب أن تغطي المكالمات التركيبية وفحوصات النقل من طرف إلى طرف شبكات أصلية متعددة وطرق إمكانية الوصول.

خامسًا، اجعل الوثائق قابلة للتنفيذ. يجب اختبار دليل التشغيل من قبل الأشخاص الذين من المحتمل أن يستخدموه، مع الواجهات والأذونات الحالية. إذا لم يمكن اتباعه تحت ضغط الوقت، فهو ليس تحكمًا.

سادسًا، حافظ على إمكانية الوصول في وضع التدهور. خطة المرونة التي تستعيد فقط القناة الأغلبية يمكن أن تستبعد المستخدمين الذين يكون الترحيل أو طريقة أخرى هو المسار الأساسي لهم.

سابعًا، ميز بين الأمن القانوني للتوفر والاقتحام العدائي. يجب أن تشمل برامج أمن الشبكة التكوين والسعة والاستمرارية التشغيلية، وليس فقط الدفاع عن الخصم.

ثامنًا، انشر الأدلة على المستوى المناسب. يمكن للمشغلين حماية التفاصيل الحساسة مع الكشف عن نطاق الاختبار والتحقق المستقل والمخاطر المتبقية. الطمأنة الغامضة تدعو إما إلى الثقة الزائفة أو التكهنات.

أخيرًا، حدد الاسترداد بالنتيجة العامة. لم تتعاف المنصة لأن العمليات أعيد تشغيلها. يتم استرداد الوصول إلى الطوارئ عندما يتم الرد على المكالمات من الشبكات والطرائق ذات الصلة وتحويلها بشكل موثوق، ويمكن للنسخة الاحتياطية تحمل الطلب، والتعليمات العامة دقيقة، وتم الحفاظ على الأدلة.

الاستنتاج

جعل انقطاع 25 يونيو 2023 توجيه المكالمات الاحتياطية اختبارًا للمساءلة لأن كل طبقة من ادعاء المرونة أصبحت قابلة للملاحظة.

أسس قرار الإنفاذ الصادر عن Ofcom النتيجة القانونية وفرض غرامة كبيرة. أبلغت BT والحكومة عن العمل التصحيحي. السؤال العام المتبقي ليس ما إذا كان أي شخص قد استجاب. إنه ما إذا كان النظام الذي تم إصلاحه قد تم اختباره ضد المجموعة المحددة التي حدثت: فشل أساسي غامض، وقابلية مشتركة، وخطأ استرداد أولي، وطلب مدفوع بإعادة المحاولة، ومتطلبات إمكانية الوصول، وحجم المكالمات الوطني.

تتبع المساءلة الضوابط التي يمكنها الإجابة على هذا السؤال. تمتلك BT الأدلة التقنية والتشغيلية لمرونة المنصة. تمتلك الحكومة وسلطات الطوارئ الاستمرارية على مستوى النظام والتواصل العام. يمتلك المزودون الآخرون اختبارات الشبكة الأصلية من طرف إلى طرف. تمتلك Ofcom التحقق التنظيمي والإنفاذ.

لا ينبغي لخدمة مكالمات الطوارئ الوطنية أن تطلب من الجمهور استنتاج المرونة من وجود ثلاث عقد وموقع نسخ احتياطي. يجب أن تكون قادرة على إظهار مجالات فشل مستقلة، واسترداد قابل للتنفيذ، وسعة كافية، ونتائج متحقق منها للمتصل. هذا هو الفرق بين التكرار كرسم تخطيطي والمرونة كحقيقة شبكة عامة.

المصادر

1. https://www.ofcom.org.uk/phones-and-broadband/telecoms-infrastructure/bt-999-outage-june-23?language=en
2. https://www.ofcom.org.uk/siteassets/resources/documents/about-ofcom/bulletins/enforcement-bulletin/all-cases/cw_01274/non-confidential-decision-investigation-into-bt-following-999-emergency-call-service-outage-on-25-june-2023.pdf?v=380903
3. https://www.ofcom.org.uk/phones-and-broadband/telecoms-infrastructure/bt-fined-17.5m-for-999-call-handling-failures?language=en
4. https://www.gov.uk/government/publications/public-emergency-call-service-disruption-sunday-25-june-2023-post-incident-review
5. https://www.gov.uk/government/publications/public-emergency-call-service-disruption-sunday-25-june-2023-post-incident-review/public-emergency-call-service-disruption-sunday-25-june-2023-post-incident-review
6. https://assets.publishing.service.gov.uk/media/65fbfca4aa9b76dfc3fbda57/public_emergency_call_service_disruption_sunday_25_june_2023_post_incident_review.pdf
7. https://intelligence team.bt.com/bt-group-review-999-emergency-call-services-disruption-on-sunday-25-june-2023/
8. https://www.gov.uk/government/publications/ofcom-security-report-for-the-period-october-2022-to-october-2024/security-report-for-the-period-october-2022-to-october-2024
9. https://www.ofcom.org.uk/siteassets/resources/documents/phones-telecoms-and-internet/information-for-industry/general-authorisation-regime/consolidated-general-conditions.pdf?v=323122
10. https://www.legislation.gov.uk/ukpga/2003/21/section/105A
11. https://www.legislation.gov.uk/uksi/2022/933/pdfs/uksi_20220933_en.pdf
12. https://www.ofcom.org.uk/internet-based-services/network-security/resilience-guidance
13. https://www.ofcom.org.uk/siteassets/resources/documents/consultations/category-1-10-weeks/272921-resilience-guidance-and-mobile-ran-power-back-up/associated-documents/statement-on-network-and-service-resilience-guidance.pdf?v=403683
14. https://www.ofcom.org.uk/siteassets/resources/documents/consultations/category-1-10-weeks/272921-resilience-guidance-and-mobile-ran-power-back-up/associated-documents/network-and-service-resilience-guidance-for-communications-providerspdf?v=419620
15. https://www.ofcom.org.uk/internet-based-services/network-security/guidance-for-operators?language=en
16. https://www.ofcom.org.uk/siteassets/resources/documents/phones-telecoms-and-internet/information-for-industry/network-and-information-systems-regulations/general-statement-of-policy-under-section-105y-of-the-communications-act-2003.pdf?v=329224
17. https://www.ofcom.org.uk/phones-and-broadband/telecoms-infrastructure/emergency-call-handling
18. https://www.ofcom.org.uk/phones-and-broadband/telecoms-infrastructure/telecoms-industry-guidance?a=75506
19. https://www.ofcom.org.uk/phones-and-broadband/phone-numbers/cw_996
20. https://www.ofcom.org.uk/phones-and-broadband/telecoms-infrastructure/compliance-programme-into-access-to-emergency-services