تعطل AT&T الطويل عام 1990 جعل عزل تغييرات الإشارة اختبارا للمساءلة

الخلاصة

• لم يكن عطل AT&T في 15 يناير 1990 قصة مفتاح هاتفي واحد انهار ثم سحب البلاد خلفه. الحدث الصغير في مفتاح 4ESS في نيويورك كان محفزا لبداية سلسلة تعاف عادية، أما جوهر الفشل فكان عيبا برمجيا حساسا للتوقيت في منطق حالة الإشارة ضمن شبكة CCS7، ظهر عندما وصلت رسالتا Initial Address Messages متقاربتان جدا إلى معالج Direct Link Node أثناء تحديث خريطة الحالة.
• المساءلة العملية لا تقوم على اتهام فرد أو اختراع مخالفة لاحقة، بل على سؤال أبسط وأقسى: هل كان لدى مشغل المسافات الطويلة عام 1990 اختبارات انتقال حالة مماثلة للتشغيل الحي، ومراحل طرح محدودة، وجرد إصدارات لكل مفتاح، وعزل لإشارات التعافي، وسلطة رجوع سريعة، وتحقق مستقل يكشف أن النسخ الاحتياطي والتكرار لا يفيدان إذا تعرضت المعالجات المزدوجة للشيفرة نفسها والشرط الزمني نفسه؟

حدود الواقعة

بدأت الواقعة التي يتناولها هذا التحليل في 15 يناير 1990 داخل شبكة المسافات الطويلة التابعة لـ AT&T كما كانت قائمة في ذلك الوقت. النطاق هنا ضيق ومتعمد: تعطل شبكة المسافات الطويلة المبنية حول مفاتيح 4ESS وإشارات CCS7، ثم إجراءات التثبيت والرجوع والتحقيق الفني المباشر. لا يتناول المقال انقطاعات لاسلكية حديثة، ولا حوادث ألياف، ولا أعطال طاقة لاحقة في نيويورك، ولا حوادث 911، ولا قصص اعتراض SS7 أو استغلاله أمنيا. هذا الفصل ضروري لأن ربط أحداث مختلفة تحت اسم شركة واحد ينتج تاريخا مرتبا ظاهريا ومضللا فنيا.

المسألة أيضا ليست أن شبكة الهاتف الوطنية كانت بلا تكرار. العكس هو المهم: كانت هناك مفاتيح كبرى، ومعالجات مكررة، وروابط إشارة، وشبكة احتياطية، وإجراءات استعادة. لكن الحادث أظهر أن التكرار ليس استقلالا تلقائيا. إذا كانت عناصر التكرار تشغل المنطق نفسه، وتستقبل نمط الرسائل نفسه، وتدخل حالة الانتقال نفسها، فإنها تصبح نطاق فشل مترابطا. في تلك اللحظة لا يكون السؤال كم نسخة من المعالج موجودة، بل هل تستطيع النسخ أن تفشل بالسبب نفسه وفي النافذة الزمنية نفسها.

التسلسل الزمني للحدث

تضع رواية AT&T الفنية بداية السلسلة عند نحو الساعة 2:30 بعد الظهر بتوقيت الساحل الشرقي. تعرض مفتاح 4ESS في نيويورك لمشكلة عتادية صغيرة مرتبطة بواجهة جذع. هذا الوصف مهم لأنه يضع العطل الأول في موضعه الصحيح: محفز محلي، لا جذر وطني. عند حدوث مشكلة من هذا النوع، دخل المفتاح روتين تعاف معتادا. خلال هذا التعافي توقفت معالجة المكالمات الجديدة لوقت قصير، يرد في الرواية أنه بين أربع وست ثوان، وأبلغ المفتاح المفاتيح المتصلة به ألا ترسل إليه حركة جديدة.

لو توقفت القصة عند هذه النقطة لكانت حادثة محلية أو انتقالية. مفتاح يلاحظ خطأ، يوقف معالجة جديدة لثوان، يبلغ الجيران، ثم يعود إلى الخدمة. لكن عودة المفتاح إلى الخدمة هي التي أطلقت الشرط الحاسم. عندما استأنف مفتاح نيويورك المعالجة، أرسل رسائل Initial Address Messages، المعروفة اختصارا بـ IAM، إلى المفاتيح المجاورة. هذه الرسائل لم تكن، بحسب الحزمة المتاحة، رسائل هجومية أو شاذة في البروتوكول. كانت رسائل صحيحة ضمن سياق إعداد المكالمة وحالة الإشارة. الخطر كان في الطريقة التي عالج بها منطق برمجي معين وصولها في لحظة انتقال حالة.

تنسب AT&T الحساب الفني الأساسي إلى معالج Direct Link Node في المفتاح المتلقي. كان هذا المعالج يستخدم رسائل IAM لتحديث خريطة الحالة وإدراك أن مفتاح نيويورك عاد إلى الخدمة. أثناء هذا التحديث، ترك عيب برمجي المعالج معرضا لعدة ثوان. إذا وصلت رسالتا IAM في غضون جزء ضيق جدا من الزمن، تذكر الرواية أنه في حدود واحد من مئة من الثانية، أمكن أن تتلف بيانات داخلية وأن يضطر المعالج إلى إعادة التهيئة. هذه ليست دعوى عن شفرة منشورة، ولا ينبغي تحويلها إلى قصة مؤكدة عن سطر كود بعينه. الدليل العام المتاح يثبت وصفا تشغيليا منسوبا إلى AT&T، لا تدقيقا عاما في مصدر البرنامج.

بعد إعادة تهيئة المعالج الأول، كان يفترض أن يلتقط المعالج المزدوج الآخر الحركة. هنا يظهر الفرق بين التكرار والتنوع. المعالج الآخر لم يكن مستقلا إذا واجه المنطق نفسه والرسائل نفسها والنافذة الانتقالية نفسها. تقول رواية AT&T إن زوجا آخر متقاربا من الرسائل كان قادرا على إصابة المعالج النظير أثناء انتقاله هو أيضا، ما يترك المفتاح معزولا مؤقتا عن شبكة إشارات CCS7. بهذا لم يعد التعافي حماية محلية، بل أصبح لحظة تعرض مشتركة.

4ESS وCCS7 كطبقة سيطرة

لا يفهم العطل إذا عومل كتعطل مكالمات صوتية فقط. مفاتيح 4ESS كانت جزءا من طبقة تحويل المسافات الطويلة، أما CCS7 فكانت طبقة إشارة مشتركة القناة تنقل معلومات إعداد المكالمات وحالة الشبكة والتوجيه والإدارة بين وظائف الشبكة. في هذا النوع من البنية، قد يكون مسار حامل الصوت متاحا من ناحية فيزيائية، لكن الشبكة غير قابلة للاستخدام إذا عجزت طبقة الإشارة عن معرفة الحالة الصحيحة أو تمرير رسائل الإعداد والاستعادة بصورة مستقرة.

تقدم توصيات ITU-T في عائلة Q.700 إلى Q.752 اللغة المعمارية لفهم ذلك: الإشارة نظام مستقل نسبيا عن قناة الصوت، وله طبقات نقل ووظائف شبكة ومقاييس أداء ومراقبة. لكن هذه المصادر ليست محكمة رجعية. لا تثبت أن AT&T خالفت بندا بعينه في عام 1990. قيمتها في هذا المقال أنها تشرح لماذا تكون حالة الإشارة، ورسائل إعداد المكالمة، وتحديثات التوجيه، ومؤشرات التوافر، جزءا من السيطرة التشغيلية ذاتها. حين تضطرب هذه الطبقة، لا يكون العطل مجرد فشل خدمة نهائية؛ إنه فشل في سجل الحالة الذي تعتمد عليه الشبكة لتقرير أين ترسل الحركة ومتى تعيد العقدة إلى الخدمة.

من هذه الزاوية يصبح مفتاح نيويورك أقل أهمية من حالة التعافي التي أبلغها إلى الجيران. رسالة صحيحة وصلت في توقيت سيئ إلى منطق هش. ثم أنتجت إعادة التهيئة إعلانا عن عدم التوافر، وبعدها أنتجت العودة إعلانا أو حركة استئناف جديدة. كل مفتاح جار رأى هذا التغير من خلال منطق مماثل. لذلك تصبح شبكة الإشارة نفسها وسيطا لنشر الحالة التي تكشف العيب، لا مجرد ضحية صامتة له.

من التعافي إلى الانتشار

آلية الانتشار في الحادث ليست أن كل نظام من الأنظمة البالغ عددها في الروايات العامة فشل في اللحظة نفسها. لا يوجد في الحزمة دليل على فشل متزامن لكل الأنظمة. الأدق أن الشيفرة المشتركة كانت منتشرة على نطاق واسع، وأن الضغط المستمر لرسائل المكالمات جعل الشرط الزمني قابلا للتكرار في أكثر من موضع. كان مفتاح يفقد معالجات الإشارة فيعلن عدم التوافر، ثم يعيد التهيئة ويستأنف الإشارة، فتتعامل مفاتيح مجاورة مع حالة عودة مشابهة. في بعض الحالات، تحت ضغط رسائل مستمر، تقع الرسائل في النافذة الحساسة نفسها.

هذا يفسر لماذا تبدو الكارثة، من بعيد، كأنها انهيار وطني مفاجئ، بينما هي من الداخل تفاعل بين عيب كامن وسلسلة حالات تعاف. الفرق مهم للمساءلة. إذا كان السبب انهيارا عتاديا وطنيا متزامنا، فالعلاج يكون مضاعفة المعدات. إذا كان السبب عيبا في منطق مشترك ظهر أثناء انتقال حالة واستطاع التكرار عبر رسائل صحيحة، فالعلاج يكون في اختبارات الانتقال، وعزل الإشارة، ومراحل الطرح، وجرد الإصدارات، والرجوع، ومراقبة الرسائل والحالات.

تستخدم أعمال بحثية لاحقة الحادث مثالا على ما يمكن تسميته فشل "رسائل سامة" في مستوى السيطرة: رسالة بروتوكول صالحة تكشف عيبا كامنا في التنفيذ، فتجعل سلوك الإدارة والتعافي يعيد إنتاج عدم الاستقرار. هذه الصياغة مفيدة ما دامت لا تحول الحادث إلى هجوم. في الأدلة المتاحة هنا لا توجد إشارة إلى فيروس أو تخريب أو اختراق خبيث. السمية هنا ليست نية في الرسالة، بل أثرها على برنامج ضعيف في لحظة معينة.

تحديث منتصف ديسمبر

الحد الفاصل بين حادثة محلية وفشل واسع هو التغيير المشترك. قالت AT&T إن العيب دخل مفاتيح 4ESS في تحديث برمجي في منتصف ديسمبر، وكان الهدف من التحديث تمكين المفاتيح من الوصول إلى شبكة إشارة احتياطية بسرعة أكبر. هذه مفارقة تشغيلية مألوفة في البنى الحرجة: تحسين مسار التعافي قد يصبح هو مصدر فشل التعافي إذا لم يختبر في حالات الانتقال التي سيواجهها عند ضغط حقيقي.

تشير رواية معاصرة في Telephony، منقولة في أرشيف RISKS، إلى أن الشيفرة الجديدة حملت إلى معالجات أمامية في جميع أنظمة 4ESS البالغ عددها 114. يجب التعامل مع هذا الرقم بوصفه رواية معاصرة عن الانتشار، لا بوصفه سجلا داخليا كاملا لكل مفتاح أو دليلا على أن كل نظام فشل في وقت واحد. الدلالة الأقوى هي أن نطاق التغيير كان واسعا بما يكفي لجعل عيب واحد في برنامج مشترك خطرا وطنيا. عندما يوزع منطق التعافي نفسه على أسطول واسع، تصبح حدود الإصدار وحدود العزل أهم من عدد العقد.

هذا الحد يطرح سؤالا لا تغلقه عبارة "اختبرنا البرنامج". قالت AT&T إن التحديث اختبر بصرامة في المختبر، وإن مجموعة الأحداث الدقيقة لم تكن متوقعة. حتى إذا قبلنا هذا الوصف، يبقى السؤال الرقابي: هل اختبرت العودة إلى الخدمة تحت رسائل IAM متقاربة؟ هل اختبر زوج معالجات DLN كمنظومة واحدة لا كعنصرين منفصلين؟ هل اختبرت الروابط الاحتياطية عندما يكون التغيير المراد تحسينه جزءا من مسار الوصول إليها؟ وهل كان هناك طرح مرحلي يوقف الانتشار عند أول مؤشر بأن حالة التعافي تنتج فشلا جديدا؟

التشخيص والتثبيت

في الساعات الأولى من الحادث، حاول مهندسو AT&T إجراءات تشغيلية معيارية، لكنها لم تكن كافية. تشير الروايات المتاحة إلى أن الفرق الفنية راقبت أنماط رسائل الخطأ وسلوك المفاتيح، واستعانت بدعم تقني وبقدرات Bell Labs. هذه التفاصيل لا تبرئ ولا تدين وحدها؛ لكنها تبين أن الدليل العملي كان داخل سجلات الحالة ورسائل الإشارة وسلوك المعالجات، لا في واجهة العميل النهائية فقط.

كان إجراء التثبيت الأهم هو خفض الحركة على روابط الإشارة الاحتياطية أو تعليقها مؤقتا، بما يقلل ضغط الرسائل على المعالجات المتأثرة. هذه النقطة يجب فصلها عن الجذر والانتشار. عزل أو تخفيف حركة الإشارة لم يكن سببا في الحادث، بل وسيلة للحد من شرط الرسائل الذي ظل يكشف العيب. وتذكر AT&T أن آخر رابط تم تنظيفه أو إخلاؤه عند الساعة 11:30 مساء بتوقيت الساحل الشرقي. بعد ذلك، في اليوم التالي، أزيل التحديث المعيب مؤقتا وعادت الشبكة إلى البرنامج السابق، ثم أعيد إنتاج المشكلة في المختبر وصحح العيب واختبر التغيير قبل إعادة روابط النسخ الاحتياطي.

هنا تظهر قيمة الرجوع العملي. لا يكفي أن توجد نسخة سابقة في أرشيف هندسي. يجب أن تكون النسخة السابقة معروفة، قابلة للتفعيل، موثقة على مستوى الأسطول، ومفصولة عن المنطق الجاري تغييره. كما يجب أن يكون قرار الرجوع واضح السلطة. في الحوادث التي تمس طبقة الإشارة، كل دقيقة من عدم اليقين حول أي نسخة تعمل في أي مفتاح تزيد احتمال أن تتحول إجراءات التعافي نفسها إلى مدخل جديد للاضطراب.

أثر الخدمة وحدود القياس

الأثر العام كان كبيرا، لكن القياس العام ليس موحدا. تذكر روايات صحفية ومعاصرة أن نحو نصف محاولات المكالمات الطويلة فشلت خلال أجزاء مهمة من التعطل. هذا تقدير نوعي واسع، لا يعني أن كل منطقة أو خدمة أو عميل واجه الخسارة نفسها. وتورد UPI تقديرا منفصلا قدره 50 مليون مكالمة محجوبة، مع آثار على أرقام 800 وخدمات خطوط الحاسب. يجب إبقاء هذين الأمرين منفصلين: "نحو نصف المكالمات" وصف لحصة فشل في فترات مهمة، و"50 مليونا" تقدير منسوب إلى رواية بعينها. دمجهما في رقم واحد دقيق سيكون اختلاقا لقياس غير موجود في الحزمة.

لا تثبت المصادر العامة هنا خسارة مالية موثقة بالدولار. ولا تقدم قائمة كاملة بالعملاء المتأثرين، أو الأثر الدقيق على الطوارئ، أو الأسواق المالية، أو المعاملات الحاسوبية، أو كل خدمة بيانات. وجود تأثير على خدمات 800 وخطوط الحاسب لا يسمح بتحويل المقال إلى جرد اقتصادي أو قانوني بلا أدلة. المساءلة التقنية تكفي: شبكة وطنية اعتمدت على طبقة إشارة مشتركة، وتغيير برمجي واسع في تلك الطبقة جعل الاستمرارية العامة عرضة لحالة انتقال ضيقة.

الزناد والجذر والانتشار والعلاج

التمييز بين هذه المستويات هو قلب التحليل. الزناد كان مشكلة عتادية صغيرة في مفتاح نيويورك. الجذر الفني العام، بحسب رواية AT&T، كان عيبا برمجيا في منطق تحديث حالة DLN أثناء معالجة IAMs المتقاربة. شرط الانتشار كان وجود المنطق نفسه على نطاق واسع، ومعالجات مزدوجة غير مستقلة برمجيا، وحركة إشارات مستمرة تجعل حالات العودة إلى الخدمة تتكرر عند الجيران. العلاج المباشر كان تقليل أو عزل ضغط الإشارة على الروابط الاحتياطية، ثم الرجوع إلى البرنامج السابق، ثم إعادة الإنتاج المختبري والتصحيح.

إذا خلطنا هذه المستويات، تضيع المساءلة. تسمية الحدث العتادي "السبب الوطني" تخفي أن الشبكة صممت لتتعافى من أحداث عتادية صغيرة. تسمية IAMs "رسائل سيئة" توحي ببروتوكول خبيث أو مخالف، بينما الأدلة تشير إلى رسائل صحيحة كشفت عيبا في التنفيذ. وصف المعالجات المزدوجة كحماية كافية يخفي ارتباطها بالشيفرة نفسها. اعتبار الرجوع مجرد عمل صيانة يخفي أنه كان سيطرة استمرارية حاسمة.

حدود الدليل

ثمة أشياء لا نعرفها من السجل العام. لا توجد شجرة مصدر كاملة للبرنامج المعيب. لا توجد مصفوفة اختبارات كاملة قبل الطرح. لا توجد قائمة علنية بتسلسل تحميل الإصدار على كل مفتاح، ولا معايير إيقاف للطرح، ولا جدول زمني كامل لفشل كل مفتاح وتعافيه. لا نملك قرار قيادة الحادث دقيقة بدقيقة، ولا سجلات الاعتراف بالتنبيهات، ولا دليلا مستقلا على كل أثر اقتصادي.

توجد أيضا روايات ثانوية تذكر وصفا من نوع "تعليمة break في موضع خاطئ". لا ينبغي تحويل هذه الروايات إلى دليل مصدر أولي. يمكن ذكرها، عند الحاجة، كرواية منسوبة في تاريخ هندسة البرمجيات، لا كإثبات لما كان داخل كود AT&T المنشور. المقال لا يحتاج إلى اختراع شفرة كي يكون حادا. يكفي أن السلوك المنشور يثبت عيبا في منطق الحالة أثناء انتقال التعافي، وأن ذلك العيب كان مشتركا على نطاق واسع.

السيطرة العملية

المبدأ العملي هو أن الحقيقة التشغيلية للشبكة موجودة في الشيفرة الجارية وحالة المفاتيح ورسائل الإشارة وجرد الإصدارات، لا في تسميات مثل "احتياطي" أو "مكرر" أو "مختبر". إذا كان النسخ الاحتياطي يتطلب منطق البرنامج نفسه الذي يجري تغييره، فهو ليس حاجزا مستقلا. وإذا كان زوج المعالجات يستقبل النافذة الزمنية نفسها بالشيفرة نفسها، فهو ليس استقلالا كاملا. وإذا كانت المراقبة لا تميز بين الزناد والانتشار والتعافي، فقد يظن المشغل أنه يطفئ الحريق بينما يرسل حالة تعاف تولد فشلا جديدا.

لذلك لم يكن اختبار AT&T عام 1990 مجرد اختبار موثوقية هاتف. كان اختبارا لحوكمة التغيير في طبقة سيطرة وطنية. من يملك إصدار البرنامج؟ من يعرف أي نسخة تعمل في أي مفتاح؟ من يقرر وقف الطرح؟ من يستطيع عزل إشارات الإدارة أو تخفيفها دون فقد الرؤية؟ من يثبت أن الرجوع لا يعتمد على المسار المعيب نفسه؟ ومن يشرح للجمهور الأثر المقاس منفصلا عن التقديرات؟