أصبحت انقطاع KDDI لمدة 61 ساعة اختبارًا للمساءلة في تغيير المسارات

ملخص

• أشارت KDDI إلى أن فشل الاتصالات بدأ الساعة 1:35 صباحًا بتوقيت اليابان (JST) في 2 يوليو 2022، وأن استخدام الخدمة عاد إلى مستوى الأسبوع السابق في الساعة 3:00 بعد الظهر في 4 يوليو. كانت مدة التأثير المبلَّغ عنها 61 ساعة و25 دقيقة في جميع أنحاء اليابان. [1][5][7]
• كانت المقاطعة الأولية أقصر بكثير. أثناء صيانة موجه في شبكة النقل الوطني، أدّت إعدادات مسار غير صحيحة إلى مقاطعة الحركة لقرابة 15 دقيقة. إعادة الإعداد لم تنهِ الحادث. [1][5]
• أعادت الأجهزة والمعدات إرسال طلبات تسجيل الموقع باستمرار. ازدحمت عقد VoLTE، ونشرَت المعالجة الموزعة الضغط إلى مواقع VoLTE أخرى، وتراكمت أحمال طلبات التوثيق في قاعدة بيانات المشتركين. [1][5][9]
• قدّرت KDDI نحو 22.78 مليون مستخدم صوت و7.65 مليون مستخدم بيانات على أساس غير مُجمع. ومع Okinawa Cellular، كانت التقديرات نحو 23.16 مليون مستخدم صوت وما لا يقل عن 7.75 مليون مستخدم بيانات. هذه أرقام أثر الخدمة وليست عدداً واحداً للأشخاص الفريدين. [1][5][14]
• تشير استجابة نوفمبر للإرشاد الإداري إلى أن العمل استخدم وثيقة إجراء غير صحيحة، وأن ضوابط الموافقة والتراجع تحتاج مراجعة، وأن التحكم التلقائي في الازدحام كان غير كافٍ، وتضررت حالة النسخ الاحتياطي فـانعكست على بعض عمليات إعادة التشغيل، وخلقت عدم اتساق جلسات المشتركين تحديًا للاسترداد. [8][9]
• تذكر السجلات الرسمية للدايت أن 119 اتصالات منطلقَة من KDDI كانت أقل بنحو 63 بالمئة من الطبيعي، و110 اتصالات أقل بنحو 45 بالمئة من الطبيعي خلال الحادث، في حين حملت مسارات أخرى عددًا أكبر من المكالمات. هذه تغيّرات ملاحظة في الحجم، وليست دليلاً على فشل كل محاولة طارئة. [20]
• أعلنت KDDI عن استرداد قائم على الشروط وعلى الاعتذار، وقدّرت أثرًا ماليًا يقارب 7.5 مليار ين. ينبغي بقاء حسابات الاسترداد وأثر الخدمة والتسجيل وعدد المشتركين الحقيقيين منفصلة. [1][11]
• لا تنتهي المساءلة بمجرد تحديد إعداد خاطئ. إنها تمتد إلى الحوكمة الفعلية لإدارة الإجراءات، المراجعة الخبرية، دليل الموافقة، توقيت التراجع، واختبار حالات الشذوذ، وشفافية الازدحام، وسلامة النسخ الاحتياطي، واسترجاع حالة المشترك، وإثبات استعادة الخدمة حسب النوع.
• نشرت KDDI عددًا كبيرًا من إجراءات التصحيح، بما في ذلك رقابة إجراءات أقوى، أدوات التحكم بالازدحام، تمكين عناصر التحكم بالتدفق، تغييرات الطوبولوجيا، أتمتة الاسترداد، تحسينات الحوكمة النوعية، وتحسينات الاتصال. نشر إجراء تصحيحي هو دليل الالتزام أو التنفيذ، لا إثبات منفصل أن كل فئة فشل ذات صلة أُزيلت. [9][10][15][17]
• تؤمن خدمة التجوال الطارئ لاحقًا في اليابان مساراً بديلاً أثناء الأعطال الكبرى. يجب تقييمها كضبط مرن ضمن نطاق محدد، لا كبديل لإصلاح الهشاشة داخل شبكة المشغل، ولا كسياسة سببتها هذه الحادثة وحدها. [22]

الحقيقة الأولى للمساءلة هي التفاوت الزمني

تحتوي السجل الزمني العام لـKDDI على ساعتين مختلفتين.

الساعة الأولى تغطي المقطوعة التوجيهية الأولية. خلال صيانة موجه في شبكة النقل الوطني، أدّت إعدادات مسار غير صحيحة إلى توقف بعض الحركة العابرة لذلك الموجّه. تصف KDDI المقطعية بأنها استغرقت نحو 15 دقيقة. تم التراجع عن الإعداد. [1][5]

الساعة الثانية تغطي الأثر على العملاء والخدمات. تقول KDDI إن فشل الاتصالات بدأ الساعة 1:35 صباحًا يوم السبت 2 يوليو 2022. وتقول إن استخدام الصوت والبيانات عاد إلى مستوى مماثل للفترة نفسها قبل أسبوع في الساعة 3:00 مساءً يوم الاثنين 4 يوليو. أي 61 ساعة و25 دقيقة. وتمت الإشارة أيضًا إلى فحص جماعي إضافي لاستخدام العملاء وسلامة الحركة في 5 يوليو. [1][7]

تسمية هذا الحادث بأنه خطأ توجيه استمر 61 ساعة سيكون خطأ. وتسميته بانقطاع قصير 15 دقيقة ستكون أيضًا خطأ.

كان خطأ المسار هو المحرك الأول. الأزمة الممتدة كانت مشكلة تعافي مرتبطة بحِمل الإشارات، وعقد VoLTE، وتوثيق المشترك، وعدم اتساق الحالة، وتضرر المواد الاحتياطية، وقرارات تشغيلية بشأن العزل ومتى. هذا التمييز مركزي لأن المسؤولية عن الخطأ الأولي ليست بالضرورة هي نفسها مسؤولية تضخيم أثره.

يمكن للمشغّل تنفيذ تغيير خاطئ ومعالجته سريعًا إذا كان التغيير محكوماً، وكانت افتراضات التراجع واقعية، وتتحمل الأنظمة الطرفية الفشل المؤقت. ويمكن لنفس الخلل القصير أن يخلق شرطاً مستمراً في موضع آخر: الأجهزة تعيد المحاولة، الطوابير تنمو، قواعد البيانات تتلقى استعلامات متكررة، وتتباعد النسخ، وتضيف إجراءات الاسترداد حملاً إضافيًا، وتُعاد تشغيل المكونات في حالة غير اعتيادية، وتنهار القدرة على الرصد لأن جميع الإنذارات تعمل في وقت واحد.

إذًا السؤال المحاسب ليس فقط: «من أدخل الإعداد الخاطئ؟».

بل هو:

• من وافق على العمل استنادًا إلى أي دليل؟
• أي نموذج أثر حدّد سقف زمن التراجع؟
• أي سلوكيات لاحقة تم اختبارها؟
• ما الذي أظهرته المراقبة أن التراجع لم يستعد الخدمة بعد؟
• من كانت له سلطة عزل العقد وتقليل الحمل؟
• ما الحالة الجيدة المعروفة المتاحة للاسترداد؟
• أي اختبارات للخدمة عرّفت اكتمال الإعـادة؟

التحقيق الذي يفرض التهم ينخفض غالبًا إلى الشخص الأقرب لواجهة الأوامر. أما التحقيق المسيطر على الرقابة فيفحص المؤسسات التي صممت العمل، ووافقت على المخاطر، وبنت سلوك الشبكة غير العادي، وقررت متى يمكن إبلاغ العملاء بعودة الخدمة.

يشير تقرير KDDI التنظيمي الذي أرسِلتْه إلى الجهات الرقابية في الاتجاه نفسه. فهو يصف إدارة وثائق الإجراءات، المراجعات الخبرية، أدلة الموافقة، معايير التراجع، تصميم الازدحام، إجراءات الاسترداد، وحوكمة الجودة. [9] وبالتالي يدعم حساب المشغل فكرة: تغيير الشبكة ليس ضغطة لوحة أحد الفنيين فقط. إنه عنصر تحكم مؤسسي.

كيف تحوّل تغيير المسار إلى سلسلة إشارية

تعتمد خدمات الجوال على كمية كبيرة من الإشارات لا يراها المستخدم.

يجب على الهاتف إثبات أنه مرتبط بالشبكة وتحديد المنطقة التي يمكن الوصول إليه فيها. وتحتاج خدمة الصوت عبر VoLTE إلى أن تعرف الشبكة موقع تسجيل المشترك ووظائف التحكم التي تنشئ مكالمة واردة أو صادرة. وتعتمد خدمة البيانات أيضاً على توثيق المشترك وحالة الجلسة. تشمل هذه العمليات تبادل رسائل بين الأجهزة، ووظائف الشبكة الخلوية، وعقد VoLTE، وقواعد بيانات المشتركين.

في الوضع الطبيعي، يمثل الإشعار جزءاً صغيراً من قيمة التجربة التي يراها العميل؛ التجربة الظاهرة هي المكالمة أو الرسالة أو جلسة البيانات. أما الشروط المسبقة المخفية فهي سلسلة من تسجيل وتوثيق وسياسات وتوجيه ناجحة.

تقول السردية التقنية لـKDDI إن إعداد المسار الخاطئ أدى إلى إهمال طلبات تسجيل الموقع. فإذًا أرسلت الأجهزة والمعدات طلبات جديدة. ازداد هذا الارتجاع بسرعة. ازدحمت عقد VoLTE في تاما، ونشرت المعالجة الموزعة عبر شبكة النقل الوطنية الحمل إلى عقد VoLTE في مواقع أخرى. [1][5]

أصبحت قاعدة بيانات المشترك بعد ذلك جزءاً من السلسلة. تشرح KDDI أن عقد VoLTE ومعدات الشبكة الخلوية تستعلم القاعدة للتحقق، لذلك تولّد الإشارات المتكررة طلبات تحقق متكررة. النظام لم يشهد “كمًا كبيراً من المكالمات” فقط؛ بل شهد “كمًّا كبيرًا من طلبات التحكم” ناتجة عن تسجيل غير مكتمل وسلوك إعادة محاولات متكرر.

هذا التمييز مهم هندسياً ومساءلةً.

قد تسأل التخطيط التقليدي للسعة عن عدد المكالمات والبيانات والمشتركين المتزامنين التي تستطيع العقدة استيعابها. أما التخطيط في الحالة غير العادية فيسأل: كيف يتصرف النظام حين تفشل الرسائل جزئياً وتُعاد المحاولة من ملايين الأجهزة؟ النتيجة الثانية قد تخلق نمط حمل لا يشبه الذروة العادية للطلب.

عادةً يكون ميّكنة إعادة المحاولة ميزة موثوقية. تحمي المستخدمين من فقدان حزمة مؤقت أو انقطاع قصير. لكن على مقياس وطني، يمكن أن تتحول إعادة المحاولات المتزامنة أو غير المقيدة إلى مضاعف للحمل. تفشل رسالة؛ تعيد المحاولة؛ تحاول وظيفة الشبكة مرّة أخرى؛ ترى القاعدة طلبات تحقق متكررة؛ التباطؤ في الاستجابة يبقي معاملات أكثر مفتوحة؛ والطوابير المتزايدة تُنتج مهلات ومُحاولات إضافية.

لذلك العطب يعبر عدة أسطح تحكم:

1. التحكم بالتوجيه:هل تصل الحركة إلى المسار المقصود.
2. التحكم بإعادة المحاولة:كيف تستجيب الأجهزة والأنظمة عند غياب الردود المتوقعة.
3. التحكم بالقبول:هل ترفض العقد المزدحمة أو تؤخر أو تعدل العمل الوارد بشكل آمن.
4. حماية قاعدة البيانات:هل أنظمة التوثيق وحالة المشترك تحد من طلبات الحمل المتكررة.
5. التحكم بالتوزيع:هل يحد تقاسم الأحمال من انتشار الفشل أم يضاعفه.
6. التحكم بالاسترداد:هل يستطيع المسؤولون تحديد وعزل مصادر الإشارات الزائدة.

تقول KDDI إن تم تطبيق ضوابط معدل التدفق لخفض ازدحام القاعدة، لكن الإشارات الزائدة استمرت. وفي النهاية عُزلت ست عقد VoLTE من أصل ثماني عشرة مرتبطة بالطلبات غير الاعتيادية المستمرة. [1][5]

تبيّن هذه الخطوة مفاضلة استرداد صعبة. إزالة القدرة قد يقلل الحمل الضار إن كانت عقد معينة هي من تولده، لكنها قد تترك قدرة أقل للخدمات المشروعة. يحتاج القرار إلى رصد موثوق وسلطة واضحة. يجب أن يعرف المسارون ما إذا كانت العقدة “ضحية” لزحام أدنى أو “مصدر” لطلبات متكررة أو كليهما.

السجل العام لا يكشف كل مسار حزمة، أو مؤقتات، أو حدود عتبة. لكنه يؤكد أن سلوك الشبكة في الحالة غير الطبيعية كان حاسماً. ينتمي الحادث إلى مساءلة البنية التحتية للشبكات لأن الضرر نتج عن تفاعل توجيه النقل، والتحكم بالإشارات، ووظائف الصوت، وحالة المشترك.

لماذا لم يكن التراجع عن المسار استعادة

غالبًا ما يُعامَل التراجع كأفضل حل لفشل تغيير. توضح حادثة KDDI لماذا يحتاج هذا الافتراض إلى حد.

استرجاع تكوين قد يعيد الحالة التي كانت قبل التغيير. لكنه لا يمحو تلقائيًا الحالة التي تكونت أثناء فعالية التغيير.

خلال المقطعية، اختبرت الأجهزة والأنظمة تسجيلًا غير مكتملًا وولّدت محاولات إعادة. تغيّرت الطوابير وحمل قاعدة البيانات. دخلت بعض العقد في ازدحام. أصبحت معلومات جلسة المشترك غير متسقة. وتقول استجابة KDDI اللاحقة إن بعض عقد VoLTE حمّلت ملفات نسخ احتياطي تالفة وأعادت التشغيل في حالة غير عادية، مما سبب إعادة تسجيل موقع إضافية. [9]

إذًا، الشبكة بعد التراجع لم تعد شبكة ما قبل التغيير.

هذه خاصية عامة للبنى ذات الحالة. يمكن استرجاع إدخال توجيه عديم الحالة بسرعة، لكن الخدمات المرتبطة بذلك التوجيه قد تحتفظ بـ:

• معاملات معلقة؛
• مؤقتات إعادة محاولات؛
• جلسات قديمة؛
• نسخ غير متوافقة؛
• حالات توثيق جزئية؛
• طوابير تالفة؛
• أخطاء مخزنة في الذاكرة؛
• عمليات معالجة زائدة؛
• إجراءات استرداد كانت جارية بالفعل.

ينبغي أن تفصل خطط التغيير بين التراجع عن التكوين والتراجع عن الخدمة.

اختبار التراجع عن التكوين يسأل: هل استعدنا البايتات/الأوامر القديمة؟ اختبار التراجع عن الخدمة يسأل: هل يستطيع المستخدمون إعادة التسجيل، والتوثيق، وإجراء المكالمات، وإنشاء جلسات البيانات دون خطأ أو حمل غير اعتيادي؟ اختبار التراجع عن الحالة يسأل: هل قواعد البيانات والطوابير والذاكرة المؤقتة ونسخ استرجاع العقدة متناسقة بما يكفي لدعم تلك الخدمة.

قد تُظهر هذه الاختبارات إجابات مختلفة في وقت واحد.

تشمل الإجراءات التي نشرتها KDDI تعديل الوقت المسموح به قبل التراجع بحيث تُؤخذ حالة الازدحام في الأنظمة اللاحقة بالاعتبار. [9] هذا تعديل تحكم مهم. إنه يعترف بأن الانتظار الزائد قد يسمح لخلل كان قابلاً للعكس مؤقتًا أن يتحول إلى أزمة حالة.

ومع ذلك، زمن تراجع أبكر ليس كافيًا وحده.

المشغل يحتاج نموذجًا لما يمكن أن يتراكم خلال المدة المسموح بها: كم عدد إعادة التسجيلات التي يمكن توليدها؟ أي قاعدة بيانات تصل للإشباع أولاً؟ أي جزء من الشبكة يمكن عزله؟ أي خدمة تظل متاحة أثناء العزل؟ ماذا يحدث عندما يعود المسار لكن ملايين الأجهزة تعيد المحاولة معًا؟

ينبغي لخطة الاسترداد تحديد محفزات مبنية على صحة الخدمة لا حالة الموجه فقط:

• فقدان مفاجئ في نجاح التسجيل؛
• تزايد الطلبات الناقصة؛
• عمق طابور عقد VoLTE؛
• زمن استجابة قاعدة بيانات المشترك؛
• معدل رفض التوثيق؛
• حجم إعادة المحاولات حسب المنطقة أو العقدة؛
• إنشاء مكالمات واكتمالها؛
• إنشاء جلسات البيانات؛
• نجاح المكالمة الطارئة.

يبقى التراجع ضرورياً. لكن الدرس أنه يجب أن يتطابق نطاقه مع بنية النظام.

في شبكة جوال وطنية ذات حالة، “عود المسار القديم” ليست شهادة استعادة؛ إنها حقيقة تقنية وسيطة.

وثيقة الإجراء جزء من طائرة التحكم في الإنتاج

تقول تقرير KDDI في نوفمبر إن إجراء عمل غير صحيح استُخدم. وتصف مراجعة إدارة وثائق الإجراء، المراجعات الخبرية، والموافقة على العمل. [9]

قد يبدو هذا إداريًا، لكنه عملي واضح.

الأمر المدخل أثناء الصيانة ينتج عبر سلسلة:

• نتيجة شبكة مقصودة؛
• طلب تصميم أو تغيير؛
• قالب إجراء؛
• تعليمات مخصصة للجهاز؛
• مراجعة من نظير أو خبير؛
• الموافقة؛
• الجدولة؛
• التنفيذ؛
• التحقق؛
• التراجع.

إذا أمكن اختيار إجراء خاطئ، تصبح الشبكة مكشوفة حتى قبل دخول أحد الموجه.

يكون نظام الإجراء الموثوق قادرًا على الإجابة:

• أي قالب كان هو المعياري؟
• أي نموذج شبكي ونسخة برمجية كان مفترضًا؟
• من أنشأ التعليمات النهائية وراجعها؟
• ماذا تغيّر منذ آخر نسخة معتمدة؟
• لأي جهاز أو طوبولوجيا صمم الإجراء؟
• أي دليل برهن أن النتائج التجريبية أو المختبرية تطابق الإنتاج؟
• ما مستوى المخاطر ونموذج الموافقة المطبق؟
• أي فحوص كان لابد من اجتيازها قبل الخطوة التالية؟
• كيف سيتم إيقاف الإجراء أو التراجع عنه؟

اللفظة المركزية هي الدليل.

قد تصبح العين الثانية احتفالية إن كانت لا ترى الحالة المقصودة أو الطوبولوجيا أو الفروقات أو المخرجات المتوقعة. قد تصبح الموافقة شكلية إذا رأى المعتمد مربع اختيار بدل عواقب الفشل.

تقول KDDI إنها عدّلت العملية بحيث يفحص الموظفون المهرة الإجراءات ويحافظون على دليل هذا الفحص، وتمكن الممولين/الموافقين من التحقق من الدليل. كما وصفت العمل على نظام إدارة الإجراءات. [9]

ينبغي تقييم هذه التدابير بما تمنعه فعليًا.

يجب أن يجعل نظام الإدارة من الصعب:

• استخدام إجراء لفئة جهاز غير مناسبة؛
• تنفيذ نسخة قديمة؛
• تجاوز مراجعة خبير مطلوبة؛
• الموافقة على تسلسل أوامر غير مُختبَر؛
• تغيير التعليمات بعد الموافقة دون إبطال الموافقة؛
• المتابعة عندما تختلف المخرجات المتوقعة؛
• فقدان سجل ما تم تنفيذه فعلًا.

تحتاج أعمال الشبكات عالية الأثر أيضًا إلى طبقة قابلة للتحقق آليًا حيث يكون ذلك عمليًا. يمكن مقارنة تغييرات المسار المقصودة مع الطوبولوجيا والسياسات. يمكن فحص اختلافات التكوين. يمكن أن تمارس اختبارات المحاكاة المختبرية أو الرقمية مسارات متوقعة وغير اعتيادية. يمكن أتمتة الفحوص قبل وبعد التغيير. ويمكن وضع حدود تمنع الأوامر من تجاوز العقد أو البوادئ المصرح بها.

الأتمتة لا تلغي المساءلة البشرية. إنما تغيّر الأدلة المتاحة للبشر.

يبقى المشغّل مسؤولًا عن تحديد ما يجب على التحكم الآلي إثباته، وكيف تُفوَّض الاستثناءات، وماذا يحدث إذا اختلفت الحالة المرصودة عن الخطة. قد يؤكد نظام آلي صحة البنية الشكلية ولا يزال يوافق على مسار خطير دلاليًا.

يجعل حادث KDDI حوكمة الإجراءات مرئية كحوكمة للبنية التحتية. الوثيقة لم تكن وثيقة إدارية بعيدة عن الشبكة؛ كانت الوصف التنفيذي لسلطة الإنتاج.

يجب أن يتبع تصنيف المخاطر نصف القطر الفعّال لا الألفة التشغيلية

قد يكون العمل الروتيني عالي المخاطر.

قد يكون الإجراء مألوفًا لفريق خبير، ويستخدم أمرًا معروفًا، ويتم في نافذة صيانة مجدولة. لا يحدّد أي من هذه الأمور الأثر المحتمل على العملاء.

تقول KDDI إنها عدّلت تقييم مخاطر العمل ومستويات الموافقة وفقًا لحجم الأذى إذا فشل عمل ما. كما وسعت الفترات التي يُوقف فيها بعض الأنشطة حول الأحداث المهمة. [9]

هذا تحوّل مهم من التركيز على الاحتمال وحده إلى العواقب.

يجب أن يأخذ تصنيف مخاطر موجه النقل الوطني في الحسبان:

• عدد وأنواع الخدمات العابرة له؛
• ما إذا كان الفشل يمكن أن يؤثر على التسجيل أو التوثيق؛
• كيفية انتشار محاولات إعادة الإرسال؛
• هل يساهم مشاركة الحمل في نشر الفشل؛
• مدى استقلال المسارات المكررة؛
• اعتماد مكالمات الطوارئ؛
• اعتماد MVNO والمؤسسات؛
• قدرة الرصد والعزل أثناء العمل؛
• الزمن قبل أن تصبح الحالة صعبة الاسترداد؛
• قدرة الأنظمة البديلة المختبرة.

قد يتحمل إجراء احتمالية خطأ منخفضة أعلى معايير موافقة واختبار إذا كانت عواقبه قد تنتج ضررًا موحدًا على مستوى وطني.

يجب أن يأخذ التصنيف بالمخاطر في الحسبان المخاطر الزمنية أيضًا. قد تُختار نافذة صيانة منخفضة الازدحام العادي دون أن تقلل من مخاطر إشارات التسجيل. قد يتفاعل عدد كبير من الأجهزة مع فشل في لحظة واحدة حتى لو كان الاستخدام العادي منخفضًا. الساعتان الهادئتان للعميل لا تعنيان هدوءًا للتسجيل المتزامن.

وبالمثل، تقويم قمع الأحداث هو عنصر تحكم جزئي فقط. قد تزيد الأحداث العامة أو الطقس القاسي أو الانتخابات من عواقب الانقطاع، في حين تحوي الليالي العادية مكالمات طوارئ ولوجستيات وأجهزة متصلة وتشغيلات نقل وخدمات رعاية أساسية.

التحكم الأقوى هو ميزانية نصف قطر ضررٍ محددة.

قبل البدء، يجب على المشغل تحديد:

• أقصى عدد للعقد المتأثرة؛
• أوسع نطاق جغرافي متأثر؛
• أقصى انقطاع خدمة؛
• أقصى فشل تسجيل؛
• أقصى زمن للتراجع؛
• أقصى زمن استرداد للأنظمة اللاحقة؛
• الظروف التي تستلزم العزل الفوري؛
• قدرة التحمل الاحتياطية المتاحة أثناء العمل.

يجب مقارنة المقاييس المُبلَّغ عنها بهذه الميزانية في الزمن الحقيقي. إذا تجاوز التغيير أي حد، يجب طلب تفويض جديد بدل افتراض استمرار صلاحية الموافقة الأصلية.

هذا النهج يحوّل “الصيانة الروتينية” إلى تجربة ضمن حدود. الجمهور لا يختبر مدى الألفة، بل يختبر ما إذا كانت الشبكة تعمل.

يجب فحص التحكم بالازدحام في حالة الفشل التي يولدها

تقول تقرير KDDI إن التحكم بالازدحام التلقائي لم يعمل كما ينبغي أثناء الحالة غير الاعتيادية. ثم تم تمكين وتعديل وظائف التحكم بالتدفق، وتطوير أدوات كشف أكثر تفصيلاً، وتغيير تصميم VoLTE. [9][10]

لا يمكن تقييم التحكم بالازدحام تحت الحمل العادي فقط.

يحتوي الحمل العادي على العديد من الطلبات الصالحة ذات توقيت وتوزيع متوقعين. قد يولد الحادث طلبات متكررة، غير مكتملة أو مترابطة. وقد يمر نصف المعاملة عبر مسار ويضيع الرد. قد يتركز الحمل على مكونات كانت الموازنة العادية توزعه. وقد تجعل عدة وظائف شبكة تعيد النداء ضد نفس قاعدة بيانات المشترك.

ولذلك يجب أن تتضمن الاختبارات دلالات الفشل:

• فقدان جزئي في المسار؛
• الوصول غير المتماثل؛
• فواكِد متأخرة؛
• طلبات مكررة؛
• إعادة محاولة متزامنة من الأجهزة؛
• فشل مسار واحد من اثنين؛
• تأخر وتضارب قاعدة البيانات؛
• إعادة تشغيل عقدة أثناء الحمل العالي؛
• فقدان المراقبة؛
• تضارب أدوات الاسترداد.

الهدف هو التدهور المتحكم فيه.

عندما تعجز الشبكة عن خدمة كل طلب، يجب أن تحمي الوظائف التحكمية الأساسية وتحفظ قدرة كافية للاسترداد. قد يتطلب ذلك رفضًا مبكرًا للطلبات، أو تأخيرًا تدريجيًا، أو فصل المناطق، أو إعطاء أولوية للخدمات الطارئة أو عزل مجال معيوب.

أفادت KDDI أنها غيّرت ترتيب VoLTE الملائم من تخطيط شبكي كامل إلى تصميم منفصل شرق-غرب، وتفعّلت وظيفة تنظيم التدفق للحد من احتمال انتشار الازدحام. [9]

المبدأ هنا هو احتواء العطل.

يمكن للتوزيع أن يعزز المرونة حين يخلق قدرة مستقلة، لكنه قد يفاقمها عندما تشارك كل عقدة في نفس الفشل. قد توفر الشبكة الكاملة الكثير من المسارات الطبيعية لكنها تسمح للتشكلات غير العادية بالانتشار على مستوى وطني. قد تُفقد بعض المرونة عند الفصل الإقليمي لكن يقابلها تقليص مجال التعطل المشترك.

التقرير العام لا يثبت كامل الطوبولوجيا الحالية ولا نتيجة كل اختبار. لكنه يحدد سؤال ترميم قابل للقياس:

إذا تكرر الآن عطل جزئي مماثل للمسار، كم عدد العقد والمناطق والمشتركين يمكن أن تدخل الازدحام قبل تفعيل حدود التحكم؟

الإجابة المسؤولة ستشتمل على شروط الاختبار، والعتبات الملاحظة، وسلوك الرفض، وأداء الخدمة الطارئة، وأقصى زمن لعزل المجال المتأثر.

بدون هذه الأدلة، “غيّرنا الطوبولوجيا” يظل بيان تصميم. ومعها يصبح هذا التغيير أداة مرونة.

سلامة النسخ الاحتياطية وحالة المشترك يجب أن تكون جزءًا من تخطيط الانقطاع

غالبًا ما تُناقش النسخ الاحتياطية ضمن الأمن السيبراني أو سيطرة فقدان البيانات. تظهر استجابة KDDI دورها في توافر الشبكة.

يذكر التقرير إن بعض عقد VoLTE قرأت ملفات نسخ احتياطي تالفة وبدأت في حالة غير عادية. كما يصف اختلافات حالة الجلسة في قاعدة بيانات المشترك. [9]

هذا يجعل نسب أصل الاسترداد جوهرية.

لا يستعيد عقد الشبكة بالعادة بمجرد إعادة التشغيل. يستعيد عندما تُحمّل عند التشغيل البرمجيات والتكوين والحالة التشغيلية المعروفة الجيدة ومتوافقة مع باقي النظام.

ينبغي لمسار استرداد موثوق أن يثبت:

• وقت إنشاء النسخة الاحتياطية؛
• أي إصدارات البرامج والتكوين تتضمنه؛
• هل أُنتجت أثناء ازدحام أو فشل جزئي؛
• هل فُحصت سلامتها؛
• هل هي متوافقة مع العقد الشريكة وحالة المشترك؛
• من خَوَّل استخدامها؛
• أي اختبارات خدمة نجحت بعد الحمل.

النسخ الاحتياطية التي تُنشأ تلقائيًا أثناء الحادث قد تُحفظ مع العطل نفسه.

إذا كتبت عقدة حالة غير عادية وأصبحت هذه الحالة صورة الاسترداد التالية، قد يعيد إعادة التشغيل الفشل. وإذا تباعدت قواعد بيانات المشترك، فإن استرجاع نسخة واحدة يمكن أن يُبطل الجلسات أو يثير تسجيلات إضافية. وإذا عجز المسؤلون عن تحديد الحالة المرجعية، يتحمل كل إجراء تصحيحي مخاطرة جديدة.

الجواب ليس حذف الأتمتة الاحتياطية. بل التمييز بين نقاط تحقق تشغيلية ونقاط استرجاع مستقلة ومُحققة.

ينبغي لوظائف الشبكة الحيوية أن تمتلك:

• تكوينًا معروفًا جيدًا غير قابل للتعديل أو محميًا ضد الكتابة؛
• برمجيات وتكوينات موقعة؛
• فحوص اتساق عبر الحالات المكررة؛
• حجر صحي للنسخ الاحتياطية المنتجة أثناء حالات غير اعتيادية؛
• إجراءات إعادة ضبط مخبّرة؛
• مسار إدارة نظيف؛
• إعادة تشغيل متدرجة مع بروبين الاستطلاع؛
• تراجع واضح من إجراء الاسترداد نفسه.

تقول KDDI إنها عدّلت إجراءات إعادة ضبط العقد، وطورت أدوات لرصد وتخفيف الازدحام عبر عقد VoLTE متعددة. [9] هذه التدابير تُعنى بسرعة الترميم، لكن عبء الإثبات أن تُظهر أنها تحمي أيضًا سلامة الحالة.

لمشغل الموبايل، يكون التكوين، وحالة المشترك، وسلطة الاسترداد كلها أصول توفرية. النسخة الاحتياطية غير الموثوقة تحت الضغط ليست مخزون مرونة.

أرقام الأثر تحتاج إلى تفسير انضباطي

العروض الكبرى تولّد أرقامًا كبيرة. لكنها تُجيب عن أسئلة مختلفة.

قدّرت KDDI نحو 22.78 مليون مستخدم صوت متأثرين و7.65 مليون مستخدم بيانات متأثرين على أساس غير مجمع. ومع Okinawa Cellular، كانت التقديرات 23.16 مليون مستخدم صوت و7.75 مليون مستخدم بيانات متأثرين على الأقل. وتشرح المشغل أن تقديرات الصوت والبيانات اعتمدت أساليب مختلفة مبنية على اختلاف المكالمات أو التسجيلات مقارنة بفترة مرجعية. [1][5][14]

لا يجوز جمع هذه الأرقام لادعاء أكثر من ثلاثين مليون شخص.

قد يستخدم الشخص صوتًا وبيانات معًا. وقد يحتوي حساب واحد على خطوط متعددة. تقدير الأثر عبر التسجيل المختلف ليس هو نفسه عدداً للعملاء الذين حاولوا جلسة فشلت فعلًا. “المتأثرون” قد يشملون تدهورًا أو انقطاعًا متقطعًا أو عدم توفر موحد.

أرقام الاسترداد تجيب عن سؤال آخر.

أعلنت KDDI استردادًا بنظام الشروط لـ2.71 مليون عميل KDDI و70,000 عميل من Okinawa Cellular استوفوا شروط الخدمة المحددة. كما أعلنت استرداد اعتذار بقيمة 200 ين لـ35.89 مليون عميل KDDI و660,000 من Okinawa Cellular ضمن فئات الخدمة المغطاة. [1]

هذه التجمعات تعكس قرارات وسياسات العقد، وليست مقياسًا تقنيًا للأثر المتزامن.

الأثر المالي التقريبي البالغ 7.5 مليار ين الذي أعلن عنه KDDI يعبّر عن فئة ثالثة. [11] وهو يلتقط نتيجة الأعمال المتوقعة ضمن افتراضات محاسبية ورسوم الاسترداد، وليس كل معاملة مفقودة أو مكالمة طارئة فائتة أو تسليم متأخر أو تعطّل جهاز متصل أو تكلفة زمن العميل.

حساب الأثر المنضبط يحافظ على الأبعاد الأربعة:

1. تأثير الخدمة:أي وظائف كانت غير متاحة أو متدهورة.
2. الاستخدام الملحوظ:المكالمات والتسجيلات والمعاملات مقارنة بالعادي.
3. علاج العملاء:أي الحسابات تأهّلت لأي استرداد.
4. النتيجة الاقتصادية:تكاليف تشغيلية مباشرة وخسائر اجتماعية أوسع.

تضخيم رقم واحد يضعف التحليل. الاستنتاج الأقوى لا يحتاج تضخيماً.

كان الحادث وطنيًا، طويل الأمد، وعميقًا لأن عطل تحكم أساسي أصاب خدمات موبايل حرجة والأنظمة التابعة له. يجب أن يجعل القياس الدقيق هذا الاستنتاج أكثر مصداقية لا أقل إثارة.

المكالمات الطارئة تحول التوافر إلى واجب عام

تصبح أعطال الجوال أحداثًا تتعلق بالأمن العام حين لا يستطيع الناس الاتصال بخدمات الطوارئ بشكل موثوق.

تقدم سجلات دايت الرسمية دليلاً تفصيليًا غير معتاد. تقول إن أحجام مكالمات 119 من KDDI كانت أقل بنحو 63 بالمئة عن الطبيعي خلال الحادث، وارتفع عدد المكالمات من هواتف غير KDDI ومسارات أخرى. وتقول إن مكالمات 110 من KDDI كانت أقل بنحو 45 بالمئة عن الطبيعي، بينما زادت المكالمات من مشغّلي آخرين ومن الهواتف العامة. [20]

تتطلب هذه الأرقام لغة دقيقة.

تُظهر تغيّرًا كبيرًا في أحجام المكالمات حسب مسار المنشأ، لكنها لا تُظهر كل محاولة مكالمة، أو نية كل متصل، أو إذا ظهر خطأ في الجهاز، أو هل نجح كل اتصال بديل، أو نتيجة كل حالة طارئة.

ومع ذلك، فهي تُظهر الاعتماد.

حين تفشل شبكة جوال وطنية، لا تختفي طلبات الطوارئ. بعض المستخدمين يستعيرون هاتفًا آخر أو يستخدمون خطًا ثابتًا أو هاتفًا عامًا. غيرهم قد لا يملك بديلًا. قد يصبح الحمل المتزايد في الشبكات المتبقية ومراكز الاتصال مخاطر ثانوية.

لذلك يحتاج استمرارية المكالمات الطارئة إلى أدلة تتجاوز توافر الصوت العادي:

• تهيئة المكالمة إلى 110 و118 و119؛
• معالجة موقع المتصل؛
• قدرة إعادة الاتصال؛
• معالجة الأولوية والازدحام؛
• الوصول من MVNO؛
• إتاحة ذوي الاحتياجات الخاصة؛
• الأداء الجغرافي؛
• تعليمات المستخدم عند فشل الشبكة الأصلية؛
• الحمل المنقول إلى الشبكات البديلة.

تصف استجابة KDDI تواصلًا أقوى مع مؤسسات الطوارئ ومشاركة في العمل على الاتصالات البديلة والتجوال بين المشغلين. [9][10]

تؤدي هذه الضوابط إلى مشاكل مختلفة.

تحسن الإخطار يساعد السلطات والمستخدمين على فهم العطل. المسارات البديلة تساعد المكالمات على مغادرة الشبكة المتعطلة. لكن لا يلغي أي منهما مسؤولية المشغل في ضمان صمود مسار المكالمات الطارئة في شبكته.

معيار المساءلة العامة يجب أن يتناسب مع العواقب. قد يعلن المشغل استرجاعًا تجاريًا للصوت بينما تظل خدمة الطوارئ متضررة في الموقع، موقع العودة أو الزحام. لذلك يجب عزل وظائف الطوارئ بدلاً من اعتبارها صفًا واحدًا ضمن مرور الصوت الكلي.

التحكم العملي كان مقسومًا، لكن ليس متساويًا

تشارك الحوادث الشبكية العديد من الفاعلين. ينبغي تتبع المساءلة بحسب ما يستطيع كل طرف منعه فعليًا، أو اكتشافه، أو الحد منه، أو إظهاره، أو إصلاحه.

KDDI

تحكمت KDDI في عملية الصيانة، وحيازة الإجراءات، والموافقة على العمل، وتكوين مسارات الشبكة، ومعايير التراجع، ورصد الشبكة، وتشغيل عقد VoLTE، واسترداد قاعدة بيانات المشتركين، وقياس الخدمة، واتصال العملاء، والأدلة المقدمة للجهة التنظيمية.

لا يعني هذا أن KDDI كانت تتحكم في سلوك كل منتج أو تستطيع منع أي فشل. بل يعني أن المشغل كان صاحب أوسع سلطة عملية على بيئة الإنتاج والاسترداد.

مزوّدو المعدات والبرمجيات

قد يكون للمزوّدين تحكم في برمجيات العقد، وسلوك قاعدة البيانات، وخصائص إعادة المحاولة، ووثائق الأداء تحت الحمل، وصيغ النسخ الاحتياطي، والدعم الفني. تقول استجابة KDDI إنها حصلت على معلومات من الموردين واختبرت سلوك الحمل العالي. [9]

السجل الرسمي لا يكشف خريطة المورّد كاملة ولا العقود أو نتائج العيوب. سيكون غير مسؤول تحميل إثم لمورّد معين بشكل مباشر. المتطلب المحاسبي هو أن يعرف المشغل أي الأدلة اللازمة من المورّد وأن يحتفظ بسلطة حماية الخدمة عندما يظهر سلوك غير متوقع.

الوزارة وهيئات المراجعة

استقبلت وزارة الشؤون الداخلية والاتصالات تقرير الحادث الخطير، وأصدرت الإرشاد التنظيمي، واستخدمت هياكل المراجعة لفحص الحادث ومشكلات أعطال قطاع الاتصالات الأوسع. [3][8][9][21]

تشمل السلطة التنظيمية طلب الأدلة، وتحديد توقعات الإبلاغ، وتطوير قواعد مرونة القطاع. لكنها لا تشغل موجهات KDDI أو تُسترد حالة المشترك.

الخدمات الطارئة و MVNO والمؤسسات

يمتلك هؤلاء الطرفيات أدلة اعتمادهم وبيانات التأثير. يمكن لـMVNO رصد عدم قدرة المستخدمين على التحقق أو الاتصال. ويمكن للمؤسسات الإبلاغ عن أجهزة متصلة فشلت أو وظائف لوجستية متأثرة. ويمكن للجهات الطارئة قياس تغيّر المكالمات والمواقع.

ولا تتحكم هذه الجهات في نواة KDDI الفاشلة. قد يقلل التخطيط للاستمرارية الأذى، لكنه لا يحوّل المسؤولية الأولية للبنية إلى جهة أخرى.

العملاء

يمكن للمستخدمين الاحتفاظ بوسائل اتصال بديلة حيثما أمكن، لكن عددًا كبيرًا لا يستطيعون تقليد خدمة جوال وطنية اقتصاديًا. قد تساعد الهواتف العامة أو الواي فاي أو مشغل ثاني أو خط ثابت، لكنها تخفيفات محدودة لا تعويضًا عادلًا لفشل بنية أساسية.

هذا التخصيص يمنع خطئين.

الأول هو تحميل اللوم لأقرب شخص أو مكوّن ضمن نظام شكّلته قرارات تحكم كثيرة. والثاني هو توزيع المسؤولية واسعًا جدًا بحيث لا يبقى جهة واحدة محاسبة.

كان على KDDI أن تتحمل العبء الأقوى في إظهار كيف تحوّل خطأ التوجيه القصير إلى حادث وطني طويل، وكيف يُحدّ هذا التسلسل الآن.

ينبغي اختبار الترميم كحزمة أدلة مترابطة

نشرت KDDI برنامجًا تصحيحيًا واسعًا. وصف تقرير نوفمبر والإفصاحات اللاحقة:

• إدارة أقوى لوثائق الإجراءات؛
• مراجعة خبرية مع حفظ الأدلة؛
• تعديل طرائق الموافقة؛
• معايير أوضح لقياس “عودة الخدمة إلى الطبيعي”؛
• توقيت تراجع يأخذ الازدحام بعين الاعتبار؛
• تصنيف مخاطر العمل وفق الأثر؛
• توسيع قواعد كبح العمل؛
• أدوات أدق لرصد الازدحام؛
• تغييرات في مسارات الحركة وشبكات النقل؛
• تمكين تنظيم التدفق؛
• فحص أنظمة موبايل أخرى لفئات فشل مشابهة;
• إجراءات إعادة ضبط واحتواء محدثة؛
• أدوات تخفيف ازدحام متعددة العقد؛
• تحسينات حوكمة الجودة؛
• تمارين واسعة النطاق؛
• تحسين التواصل العام ومع أصحاب المصلحة. [9][10][15][17]

القائمة ذات معنى. لا ينبغي فهمها كبرهان عبر التعداد.

الضوابط تتفاعل. قد يمنع إجراء قوي أكثر لإجراءات أقوى نفس خطأ المسار، لكنه لا يمنع أمرًا مختلفًا دلاليًا. قد تحمي إدارة التدفق VoLTE، لكن لا تحمي نظامًا آخر بسلوك إعادة محاولة مماثل. قد يقلل الفصل الإقليمي من الانتشار مع بقاء قاعدة بيانات مشتركة أو هوية إدارية مشتركة. وقد تعمل أداة استرداد أسرع لكنها تحمل نفس الحالة غير الموثوقة.

يجب ربط حزمة الترميم بين كل فشل مرصود وضبط واختبار:

يجب أن تكون الأدلة حالية ومرتبطة بالتنفيذ.

السياسة بعد الحادث لا تثبت تنفيذ الإنتاج. والتدريب على إصدار واحد لا يثبت أن الفريق يستطيع عزل العقد تحت ملاحظة غامضة.

الأدلة المفيدة تشمل:

• نسخ إجراءات موقعة؛
• سجلات الموافقة؛
• تجزئات التكوين والطوبولوجيا؛
• كشوف الاختبارات؛
• تقارير حقن العطل؛
• استقصاءات لكل خدمة؛
• قياسات زمن الاسترداد؛
• سجلات الاستثناءات؛
• مراجعة مستقلة؛
• قرارات المخاطر المتبقية.

ليست المسألة بين سرية كاملة وانفتاح كامل. يمكن لـKDDI الاحتفاظ ببنية الأوامر الحساسة والاعتمادات ونقاط الشبكة مع نشر فئة الفشل، هدف التحكم، ونطاق الاختبار، ونتيجة الكفاية.

لـمشغل وطني، تكون الترميم المستدامة واضحة للجهات التنظيمية، والإدارات، والفرق التقنية، والعملاء الحيويين، وتبقى مفهومة بعد تغيّر الطواقم والمورّدين.

احتياج عبارة “استعيدت” إلى مصفوفة تفصيلية لكل خدمة

استخدمت KDDI مستويات مرور مقارنة بنفس وقت الأسبوع السابق كجزء من تأكيد الاسترداد. [1][7]

وهذا مفيد لكن غير مكتمل.

قد تعود الحركة الإجمالية بينما تبقى معاملات مهمة متضررة. قد يبدو حجم البيانات طبيعيًا لأن المستخدمين العاملين يولّدون أكثر حملًا حتى لو لم تُعد بعض الأجهزة إلى التسجيل. وقد تستعيد دقائق الصوت بينما تفشل تهيئة مكالمة في إقليم ما أو تبقى المعالجة الراجعـة في الطوارئ معطلة.

ينبغي أن تشمل مصفوفة استعادة وطنية:

يجب أن تكون لكل مجال عتبات وظيفية وسعوية.

الاستعادة الوظيفية تعني نجاح معاملة ممثلة. استعادة السعة تعني قدرة الخدمة على حمل الحمل المتوقع دون طوابير غير مستقرة أو تدهور متكرر. والاستقرار يعني استمرارية النتيجة. والترميم يعني أن فئة العطل المبدئية خضعت للإغلاق وإعادة الاختبار.

لا ينبغي جمع هذه المراحل في لحظة زمنية واحدة.

الملاحظة المستقلة أيضًا مهمة. إذا اعتمد نظام المراقبة على نفس قاعدة بيانات المشترك أو مستوى إدارة كان قيد الاسترداد، فقد يقدّم رؤية جزئية. تزوّد الشبكة بأدلة من الخارج، وقياسات MVNO، والمشغلين المتصلين، والمنظمات الطارئة، ومعاملات عينات المستخدمين دليلاً مستقلًا.

تذكر وصفيات جودة الشبكة الحالية أن ظروف الشبكة الوطنية تراقب مركزيًا من مراكز التشغيل وأن المشغل يستخدم معايير للسعة والمرونة والمرافق الموزعة. [19] والسؤال المحاسبي هو كيف قيست هذه الفئة الحادثة بعد إجراءات التصحيح.

الهدف ليس رفض إعلان الاستعادة حتى يؤكد كل عميل.

عندما يسمع الجمهور “الشبكة عادت”، ينبغي أن تعني العبارة أكثر من ارتفاع الحركة فقط. ينبغي أن تعني أن الوظائف الحيوية نجحت في اختبارات معرّفة، وأن السعة مستقرة، وأن الاستثناءات المتبقية مرئية.

التجوال الطارئ مسار احتياطي، لا تبرير

في مارس 2026، أعلنت شركات المحمول اليابانية الكبرى خدمة تجوال طارئ على مستوى البلاد للحالات الكبرى. وتشمل الخدمة نمطًا كاملاً فيه صوت وبيانات محدودة وSMS، ونمطًا للمكالمات الطارئة فقط. [22]

هذا دليل لاحق للمرونة.

يوفّر مسار وصول بديل عندما تكون شبكة مشغل واحد غير متاحة. يمكن أن يقلل احتمال أن يصبح مستخدم له اشتراك واحد معزولًا بالكامل. وهو أيضًا يعكس حقيقة عامة عُرِضت في حوادث عدة: المنافسة التجارية لا تمنح كل مستخدم وصولًا زائدًا تلقائيًا.

الخدمة لها حدود.

يحتاج المبدل البديل إلى تغطية وحمولة لدى حامل. يجب أن تدعم الأجهزة السلوك المطلوب. قد يقدم مسار البيانات سرعة أقل. وضع المكالمات الطارئة قد يكون محدودًا ولا يمنح إعادة اتصال عبر المسار الصادر فقط. التفعيل يحتاج تنسيقًا ومعلومات عامة واضحة. قد يصيب كارثة عدة شبكات معًا.

التجوال الطارئ لا يصلح لإصلاح الشبكة المتعطلة.

لا ينبغي أن يخفف:

• الضوابط الداخلية للتغيير؛
• الحماية من الازدحام؛
• استرداد حالة المشترك؛
• تصميم الخدمات الطارئة؛
• أدلة الاستعادة؛
• مسؤولية المشغل الأساسية عن العطل الأساسي.

السجل الرسمي لا يثبت أن حادث KDDI 2022 وحده سبب خدمة 2026. ويُظهر سجل الدايت أن تجوالًا بين المشغلين نوقش بعد حوادث اتصالات كبرى، والإطلاق اللاحق يعكس عملًا متعدد السنوات وعبر مشغلين وحكومة. [20][22]

الرؤية المسؤولة تعتبر التجوال طبقة ضمن محفظة:

1. منع التغييرات غير الآمنة؛
2. احتواء الفشل داخل الشبكة الأساسية؛
3. استرجاع حالة موثوقة؛
4. الحفاظ على الخدمة ذات الأولوية؛
5. توفير مسار بديل مستقل؛
6. الاتصال بالحدود بوضوح.

يكون الاختبار مفيدًا أكثر عندما يحدث تحت نفس حالة الازدحام والطلب العام الذي يجعل الخدمة ضرورية.

ما لا يثبت السجل العام المجمد

تدعم المصادر قراءة تشغيلية مفصلة. لكنها لا تثبت تقريرًا خاصًا كاملًا.

لا يمكن إثباتها:

• أوامر المسار الدقيقة؛
• كل بادئة متأثرة أو مسار حزمة؛
• هوية أو عملية اتخاذ القرار للشخص الذي نفذ العمل؛
• سلسلة الموافقة الكاملة؛
• إصدار المورّد لكل عقدة أو قاعدة بيانات متأثرة؛
• هل ساهم خلل مورّد؛
• جميع مؤقتات إعادة المحاولة وحدود الازدحام؛
• متوفرية الخدمة التفصيلية لكل إقليم؛
• كل مكالمة طارئة حاولت؛
• تأثير MVNO والتجوال وإنترنت الأشياء والمؤسسات كاملاً؛
• فقد العملاء الدقيق؛
• التكوين التشغيلي الحالي؛
• فعالية كل إصلاح معلن.

لا يمكن ملء هذه الفجوات بالمصادرة.

يمكن اختبار الأسئلة غير المحسومة بأدلة مثل:

• تذاكر تغييرات ذات إصدارات ومسارات فرق؛
• محاكاة طوبولوجيا ومسارات التوجيه؛
• رصد إشارات على مستوى العقد؛
• سجلات اتساق قاعدة البيانات؛
• تجزئات النسخ الاحتياطي ونتائج التحقق؛
• سجلات دعم المورّدين؛
• مقابس خدمة نوعية؛
• تقارير حقن أعطال؛
• تأكيدات المتابعة التنظيمية.

عدم اليقين ليس سببًا للتخلي عن المساءلة. إنه يحدد طلب الأدلة.

اختبار محاسبي قابل لإعادة الاستخدام لتغييرات الشبكات الخلوية

يدعم حادث KDDI معيارًا عمليًا لاختبارات الاتصالات عالية الأثر.

1. ربط النية بالتغيير القابل للتنفيذ.
ينبغي أن يكون الهدف المعتمد ونموذج الطوبولوجيا والإجراء وأهداف الأجهزة وفروق التكوين النهائي كائنًا واحدًا بإصدار موثق.

2. جعل مراجعة الخبير أدلة.
عليه أن يرى حالة الشبكة المقصودة، والمسارات غير الاعتيادية، والمخرجات المتوقعة، ومعايير التراجع، وليس قائمة الأوامر فقط.

3. التصنيف حسب الحد الأقصى للضرر.
يجب أن يتبع عمق الموافقة أثر الخدمة، والجغرافيا، والطوارئ، ومخاطر الوضع المشترك.

4. تحديد ميزانية نصف القطر.
تعريف أقصى العقد المتأثرة، والمناطق، والمستخدمين، والزمن، وحالة النظام اللاحقة قبل التنفيذ.

5. اختبار الفشل الجزئي.
تجربة الطلبات المفقودة، التوجيه غير المتماثل، الرسائل المكررة، الاستجابات المتأخرة، وفقدان مسار من مسارين.

6. حماية التوقيع والتوثيق والهوية.
تقييد إعادة المحاولة، والقبول، والطلب على قاعدة البيانات حتى لا يتحول انقطاع قصير إلى ازدحام ذاتي الاستمرار.

7. إنشاء مجالات عطل فعلية.
التوزيع يجب أن يحتوى العطل غير الاعتيادي، لا يوزعه فقط حسب الحمل العادي.

8. جعل التراجع واعيًا بالخدمة.
يجب أن تتضمن معايير التراجع تسجيل الأجهزة، المكالمات، البيانات، وصحة قاعدة البيانات، لا استرجاع تكوين المسار فقط.

9. حفظ حالة معروفة جيدة.
يتطلب البرامج والتكوين وحالة استرجاع المشترك الأساسية سلامة ونسب أصالة مستقلة.

10. إعطاء الفرق صلاحيات محكومة.
ينبغي أن تعرف الفرق متى تستطيع عزل العقد، وتخفيف الحمل، وفصل المناطق، وتفعيل المسارات البديلة.

11. تعريف الترميم حسب المعاملة.
قياس التسجيل، الصوت، المكالمات الطارئة، البيانات، الرسائل القصيرة، MVNO، إنترنت الأشياء، الشركات، التجوال، ووظائف الدعم كلٌ على حدة.

12. المراقبة من الخارج.
تستخدم أدوات وفِرَقًا لا تعتمد على طائرة التحكم قيد الإصلاح.

13. إعادة تشغيل فئة الحادث.
اختبار بدائل دلالية للفشل، لا الأمر نفسه فقط.

14. ربط الترميم بالحالة المطبقة.
تُربط السياسات والرسوم البيانية بالتكوين الحالي، نتائج الاختبارات، الاستثناءات، وقرارات المخاطر المتبقية.

15. الحفاظ على مسار بديل ضمن الحدود.
يمكن أن يقلل مشغل بديل أو شبكة أخري أو Wi‑Fi أو هاتف عام من الضرر، لكن يجب اختبار قدرته وحدوده ونشره بشفافية.

16. نشر ضمانات متناسبة.
شرح ما فشل، وأي فئة تحكم تغيّرت، وكيف اختُبرت، وما بقي غامضًا دون كشف الأوامر أو معمارية حساسة.

لا يطلب هذا المعيار أن الشبكة الوطنية لا تنقطع أبدًا. بل يطالب بأن تتوافق السلطة مع نصف القطر وأن تكون مزاعم الاستعادة قابلة للفحص.

الخاتمة

بدأ انقطاع KDDI في يوليو 2022 بخطأ مسار غير صحيح خلال صيانة. تم التراجع عن التكوين بعد مقاطعة قصيرة. استمر الحادث لأن الشبكة كانت قد دخلت حالة جديدة.

تكرر طلبات تسجيل الموقع. ازدحمت عقد VoLTE. زاد طلب توثيق المشتركين على مستوى قاعدة البيانات. وتضررت بعض حالات الاسترداد. وعُزلت ست عقدة من أصل ثماني عشرة أثناء عمل المسعفين للحد من ضغط الإشارات. وأبلغت تقارير الجمهور عن أثر 61 ساعة و25 دقيقة على خدمات الصوت والبيانات وطنياً. [1][5][9]

الدرس المسؤول ليس أن شخصًا واحدًا ارتكب خطأ واحدًا.

إنه أن تغيير الشبكة الوطنية هو سلسلة من الضوابط المؤسسية. حيازة الإجراء، المراجعة الخبريـة، الموافقة، تحليل نصف القطر، زمن التراجع، تصميم الحالة غير العادية، شفافية الازدحام، سلامة النسخ الاحتياطي، سلطة الاسترداد، وقياس الخدمة تحدد ما إذا بقي الخطأ القصير قصيرًا.

نشرت KDDI تدابير تصحيحية عبر تلك السلسلة. تستحق هذه التدابير الاعتراف والقياس. تضيف خدمة التجوال الطارئ أفقًا بديلًا مهمًا بحدوده. لا قائمة طويلة ولا شبكة بديلة بديلة يفيان كإثبات أن الشبكة الأساسية أصبحت سليمة.

في بنى الاتصالات الحيوية، عودة المسار القديم لا تكفي. على المشغل أن يبرهن أن نظام الإشارات مستقر، وحالة المشترك موثوقة، والمكالمات الحيوية تعمل، والخيار البديل فعلي، وأي تغيير عالي الأثر لا يمكن أن يعبر الحدود ذاتها دون كشف.

هذا هو اختبار المساءلة الذي ولّدته 61 ساعة بعد عودة المسار.

المصادر

1. https://www.kddi.com/english/important-news/20220729_01/
2. https://www.kddi.com/important-news/20220729_01/
3. https://news.kddi.com/kddi/corporate/english/ir-news/2022/08/05/6189.html
4. https://news.kddi.com/kddi/corporate/newsrelease/2022/07/29/6183.html
5. https://www.kddi.com/extlib/files/english/corporate/ir/library/presentation/2023/pdf/kddi_220729_e_shougai_qe3B6V.pdf
6. https://www.kddi.com/extlib/files/corporate/ir/library/presentation/2023/pdf/2023/220729-shougai.pdf
7. https://www.notice.kddi.com/news/mainte/content/syougai/fre_00034454.html
8. https://news.kddi.com/kddi/corporate/newsrelease/2022/11/02/6361.html
9. https://news.kddi.com/kddi/corporate/newsrelease/2022/11/02/pdf/press_20221102.pdf
10. https://news.kddi.com/kddi/corporate/english/ir-news/2022/11/02/pdf/kddi_221102_e_main_nQWHTi.pdf
11. https://news.kddi.com/kddi/corporate/english/ir-news/2022/07/29/pdf/kddi_220729_e_statement_full_jOLDLZ.pdf
12. https://www.kddi.com/english/corporate/ir/ir-library/sustainability-integrated-report/2022-online/
13. https://www.kddi.com/extlib/files/english/corporate/ir/ir-library/sustainability-integrated-report/2022-online/pdf/kddi_sir2022_e06.pdf
14. https://www.kddi.com/extlib/files/english/corporate/ir/ir-library/sustainability-integrated-report/pdf/kddi_sir2022_e_p.pdf
15. https://www.kddi.com/extlib/files/english/corporate/ir/ir-library/sustainability-integrated-report/pdf/kddi_sir2023_e_p.pdf
16. https://www.kddi.com/english/corporate/ir/ir-library/sustainability-integrated-report/2022-online/ceo_message_lookback/
17. https://newsroom.kddi.com/news/detail/kddi_pr-907.html
18. https://www.kddi.com/english/corporate/sustainability/governance/risk-management/
19. https://www.kddi.com/english/corporate/sustainability/society/network/
20. https://www.shugiin.go.jp/internet/itdb_kaigiroku.nsf/html/kaigiroku/009421020221027002.htm
21. https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000251103
22. https://newsroom.kddi.com/english/news/detail/kddi_nr-958_4373.html