الخلاصة

  • بدأ الحادث قرابة الساعة 01:35 بتوقيت اليابان في 2 يوليو 2022 أثناء صيانة موجّه أساسي للنقل على مستوى البلاد في مركز شبكة تاما التابع لـKDDI. أغفل إجراء خاطئ أو قديم تغييراً ضرورياً في توجيه حركة VoLTE، فبقيت استجابات المسار تفشل بصورة متقطعة وبدأت طلبات تسجيل الموقع تتكرر.
  • انتقل حمل إعادة المحاولة عبر منظومة التحكم الموزعة في VoLTE وقواعد بيانات المشتركين. وقدّرت وزارة الشؤون الداخلية والاتصالات اليابانية أن الحمل بلغ نحو سبعة أمثال المعتاد في تاما ونحو 6.5 أمثال المعتاد في مواقع VoLTE الأخرى. كما عادت ست عقد تحكم بعد إعادة التشغيل من نسخ احتياطية كُتبت عندما كانت حالتها الداخلية غير متسقة.
  • لم تكن إعادة المسار كافية. شملت الاستجابة تقييد التدفقات، وإعادة تشغيل وظائف التحكم في المكالمات، وعزل بعض وحدات PGW وإعادة ضبط جلساتها، وإعادة توزيع حمل قواعد بيانات المشتركين، ثم عزل ست عقد VoLTE ظلت في حالة غير طبيعية.
  • استمرت فترة تأثر الخدمة الرسمية 61 ساعة و25 دقيقة، من 01:35 في 2 يوليو إلى 15:00 في 4 يوليو. أما تأكيد KDDI أن جميع شبكات الاتصالات تعمل طبيعياً فجاء عند 15:36 في 5 يوليو، أي بعد نحو 86 ساعة من البداية. هذان توقيتان تشغيليان مختلفان.
  • صنفت الوزارة الواقعة حادثاً خطيراً وحددت أوجه قصور في ضبط الإجراءات، وتقييم المخاطر، وتصميم مكافحة الازدحام، واختبارات الاستعادة تحت الحمل العالي، والتمارين، والتواصل مع الجمهور. كانت التعويضات وإجراءات منع التكرار المعلنة ردوداً من المشغل، وليست غرامة مالية فرضتها جهة تنظيمية ولا حكماً قضائياً.

للواقعة ساعتان لا ساعة واحدة

تضع KDDI بداية فشل الاتصالات عند نحو 01:35 من صباح السبت 2 يوليو 2022 بتوقيت اليابان. وتحدد صفحتها الجامعة عن الحادث نهاية فترة تأثر الخدمة عند الساعة 15:00 من يوم الاثنين 4 يوليو، أي 61 ساعة و25 دقيقة. واستخدم تقرير التحقق الصادر عن وزارة الشؤون الداخلية والاتصالات، ويشار إليها هنا بالوزارة، النافذة الزمنية نفسها.

لكن وكالة كيودو نقلت معلماً لاحقاً: عند الساعة 15:36 من الثلاثاء 5 يوليو أكدت KDDI أن جميع شبكات الاتصالات عادت إلى العمل الطبيعي. يفصل هذا التأكيد عن البداية نحو 86 ساعة. لا يجوز أن يحل الزمن الأطول محل نافذة 61 ساعة و25 دقيقة، كما لا يجوز أن يُستخدم الزمن الأقصر لمحو العمل اللاحق الخاص بإزالة القيود، وفحص الاستقرار، ومراقبة نجاح المكالمات، وتصحيح الحالة الداخلية، والتأكد من تحمل الطلب العادي.

تقيس الساعة الأولى الفترة التي نسب فيها المشغل والوزارة أثراً إلى الخدمة. وتنتهي الثانية عندما أعلن المشغل اكتمال التحقق التشغيلي لكل الشبكات. وبينهما مراحل لها معانٍ مختلفة: إزالة الخطأ البادئ، وانخفاض إعادة المحاولة، وتراجع الازدحام، ورفع ضوابط التدفق، واستقرار المكالمات والبيانات، ثم المراقبة النهائية. إن جمعها كلها في كلمة «استعيدت» يزيل المعلومات التي يحتاجها الجمهور للحكم على مستوى الخطر القائم.

وتحتاج تقديرات الأثر إلى الفصل نفسه. قدّرت الوزارة أن نحو 23.16 مليون شخص تأثروا في الصوت، وأن ما لا يقل عن 7.75 مليون تأثروا في البيانات. أما صفحة KDDI اللاحقة فذكرت نحو 22.78 مليون للصوت وما لا يقل عن 7.65 مليون للبيانات. وخلال التحقيق المبكر نقلت رويترز احتمال تعرض ما يصل إلى 39.15 مليون مستخدم، بينهم 260 ألف عميل من الشركات.

لا تصف هذه الأرقام المقياس نفسه في اللحظة نفسها. رقم رويترز كان سقفاً محتملاً في مرحلة لم يكن السبب التفصيلي قد حُسم فيها. وأرقام الوزارة وKDDI نتجت من لقطات وحسابات رسمية مختلفة. وقد تتداخل فئتا الصوت والبيانات؛ كما أن العقود والاتصالات والأشخاص ومحاولات الخدمة ليست وحدات قابلة للجمع. يجب إبقاء كل رقم مع صاحبه وتعريفه، لا متوسطاً بينها ولا مجموعاً صاغه الكاتب.

إجراء توجيه ناقص صنع فشلاً جزئياً شديد الخطورة

بدأ التسلسل التقني أثناء صيانة موجّه نقل أساسي على مستوى البلاد في مركز تاما. وخلصت الوزارة إلى أن العمل اتبع إجراءً خاطئاً أو قديماً لم يتضمن تغيير التوجيه اللازم لحركة VoLTE. ونتيجة ذلك ظلت الحركة تتجه نحو مسار لم يعد يعمل كما ينبغي.

لم يكن الفشل قطعاً نظيفاً يمكن للنظام أن يراه فوراً. أعاد تقرير الوزارة بناء حالة كانت الاستجابة فيها تفشل تقريباً مرة من كل مرتين. هذا الفارق حاسم. فعندما ينقطع الرد تماماً، قد تعلن الوظيفة عطلاً صريحاً وتنتقل إلى بديل معروف. أما النجاح المتقطع فيُبقي المسار ماثلاً بوصفه خياراً قابلاً للمحاولة، حتى وهو يبدد السعة.

تعتمد المكالمات الصوتية عبر LTE على تسجيل الموقع. يحتاج الجهاز إلى إثبات هوية المشترك وتسجيل موضع وصوله قبل إتمام المكالمات الواردة والصادرة. وعندما لم تعد إقرارات التسجيل، تعاملت الأجهزة ووظائف الشبكة مع العملية بوصفها غير مكتملة وأعادت إرسال الطلب.

كل إعادة محاولة من جهاز واحد تبدو معقولة. لكن ملايين الأجهزة والوظائف الموزعة اتخذت القرار نفسه. أنتج الرد المفقود طلباً جديداً، واستهلك الطلب الجديد جزءاً إضافياً من قدرة التحكم وقاعدة البيانات، فتراجعت فرص نجاح الطلب التالي ونشأت حلقة تضخيم.

قدّرت الوزارة أن وظائف التحكم في VoLTE في تاما واجهت حملاً يقارب سبعة أمثال الوضع العادي، وأن المواقع الأخرى واجهت نحو 6.5 أمثال الحمل المعتاد. انتقل أثر خطأ صيانة محلي إلى منظومة تحكم مترابطة على مستوى البلاد. وهذه هي حدود المساءلة الأولى: يشرح الإجراء الخاطئ بداية الحركة غير الطبيعية، لكنه لا يشرح وحده انتشارها أو استمرارها. ذلك يتطلب فحص بنية التوزيع، وسياسة إعادة المحاولة، وقدرة الحماية من الازدحام على التعرف إلى فشل جزئي.

لا يصف هذا التسلسل تسريباً في BGP ولا اختطاف مسار، ولا هجوماً إلكترونياً، ولا حادث DNS، ولا انقطاعاً في الطيف، ولا مجرد عطل قطعة مادية. فالآلية المثبتة هي حذف تغيير خاص بتوجيه VoLTE من إجراء الصيانة، وما تبعه من فقد متقطع للاستجابة وحمل إشارات متزايد.

تعزز ازدحام VoLTE وازدحام بيانات المشتركين بعضهما

لم تعمل عقد VoLTE بمعزل عن بقية القلب المحمول. فتسجيل الموقع وإعداد الجلسة الصوتية يعتمدان على قواعد بيانات للمصادقة والسياسة والفوترة وحالة الموقع أو الخدمة. كلما زادت إعادة المحاولة في VoLTE، زادت الطلبات المتجهة إلى تلك القواعد.

وصف تقرير الوزارة حلقة متبادلة: أدى ازدحام قاعدة بيانات المشتركين إلى ردود خطأ؛ فأطلقت الردود طلبات جديدة من الأجهزة ووظائف الشبكة؛ ورفعت الطلبات الجديدة الازدحام أكثر. كما جعل سلوك بعض الأجهزة إخفاق إنشاء الجلسة الصوتية يؤثر في حالة تسجيل الجهاز، فصارت البيانات غير متاحة بصورة متقطعة لبعض المستخدمين حتى مع أن قاعدة البيانات الخاصة بالبيانات لم تكن نقطة الازدحام الأولى.

لهذا لا يصح القول إن جميع خدمات البيانات المحمولة في أنحاء اليابان كانت منقطعة باستمرار طوال الحادث. ما يثبته السجل هو فشل اتصالات واسع شمل الصوت والرسائل القصيرة وآثاراً على البيانات تختلف بحسب الجهاز وحالة التسجيل وضوابط التدفق. كان مستخدمان أو خدمتان يواجهان أعراضاً مختلفة في الوقت نفسه.

هذا التمييز مهم هندسياً أيضاً. قد يبدو مستوى نقل البيانات متاحاً، بينما يعجز الجهاز عن الوصول إليه لأن حالة التسجيل أو المصادقة غير مكتملة. وقد تبدو عقدة سليمة في فحص داخلي بينما تسهم أخطاؤها في موجة تسجيل تُغرق عقداً أخرى. مراقبة كل مكوّن منفرداً لا تكفي لفهم حلقة تقوم على التفاعل بين المكونات.

النسخة الاحتياطية قد تحفظ الخلل بدلاً من إزالته

تضررت اتساقية حالة التحكم تحت الحمل. وجدت الوزارة أن التغييرات المتكررة في جلسات المصادقة لم تتزامن بطريقة صحيحة داخل بعض عقد التحكم في VoLTE. وكتبت ست عقد نسخاً احتياطية دورية بينما كانت حالتها الداخلية غير متسقة. وعندما أعاد المشغلون تشغيل وظائف التحكم باستخدام أحدث النسخ، عادت العقد الست وهي تحمل السلوك غير الطبيعي نفسه.

لم تعد إعادة التشغيل مرادفاً للاستعادة. اكتمل الأمر على المعدات، لكن الحالة المحملة عند البدء استمرت في توليد إخفاقات مصادقة وطلبات تسجيل متكررة. فالنسخة الاحتياطية سجل زمني، وليست دليلاً تلقائياً على أن ما سجلته صالح للعودة. ويجب معرفة ما إذا أُنشئت أثناء تزامن طبيعي، وما إذا كانت جلساتها تتفق مع بقية الشبكة، وما إذا أدى تحميلها فعلاً إلى خفض الأخطاء.

نشأ كذلك عدم اتساق بين وظائف VoLTE وقواعد بيانات المشتركين ووحدات PGW. لم تُحذف بعض معلومات الجلسات كما ينبغي أثناء ازدحام قاعدة البيانات، ثم تعارضت جلسات لاحقة مع حالة بقيت في النظام. احتاج تصحيح ذلك إلى إجراءات تتعامل مع السعة المتاحة في معدات واقعة أصلاً تحت ضغط.

وهنا تظهر أولوية واقع التشغيل. يمكن أن يكون إجراء إعادة التشغيل معتمداً، وأن تسجل الأداة نجاح الأمر، وأن يبقى المسار المنطقي فاسداً. الإثبات الضروري ليس تنفيذ الخطوة، بل انتقال الشبكة إلى حالة نظيفة: انخفاض طلبات التسجيل، واتفاق جلسات المشتركين ووحدات PGW، وتزامن عقد التحكم، وعودة الخدمة من طرف المستخدم إلى طرفها الآخر.

الاستعادة كانت سلسلة من الضوابط لا خطوة واحدة

استخدمت KDDI عدة أنواع من التدخل. سردت الوزارة تقييد حركة طلبات الاتصال وحركة VoLTE، وإعادة تشغيل وظائف التحكم في المكالمات، وعزل بعض وحدات PGW لتخفيف الحمل عن قواعد بيانات المشتركين، وإعادة ضبط جلسات PGW لتصحيح معلومات الجلسة، وتغيير توزيع حركة PGW بين موارد قواعد البيانات.

تعالج كل خطوة جزءاً مختلفاً من الحلقة. خفض تقييد التدفق الطلب الجديد. وغير عزل PGW وإعادة ضبط الجلسات الحالة التي تراها منظومة المشتركين. وحاولت إعادة توزيع الحمل إزالة نقطة اختناق مستمرة. واستهدفت عمليات إعادة التشغيل المعالجة غير الطبيعية. لا يجوز اختزال التعافي في أول خطوة أو نسبته إلى التحكم في الحركة وحده.

كانت العقد الست التي بقيت في حالة غير طبيعية أصعب نقطة. ووجدت الوزارة أن محاولة حجبها لم تكتمل بصورة عادية لأنها كانت مضطربة بالفعل. واصلت إرسال إشارات زائدة بعد أن نجحت الإجراءات السابقة في تقليل مصادر أخرى للحمل. وعندما عُزلت العقد الست في النهاية، اختفى مصدر إعادة المحاولة المستمر وبدأ الازدحام يهدأ.

تكشف السلسلة خطراً في لغة الاستعادة. قد ينتهي فريق من العمل المادي أو التغييري الذي خطط له بينما يظل النظام الحي مزدحماً. وقد تتحسن أغلب مسارات البيانات بينما تستمر قيود الصوت. وقد تعود نسبة نجاح المكالمات إلى مستوى طبيعي مع بقاء حاجة إلى مراقبة جميع الأنظمة التي تعرضت لحمل مرتفع فترة طويلة.

انتقدت الوزارة لاحقاً طريقة شرح KDDI للفارق بين اكتمال أعمال الاستعادة وعودة الخدمة بالكامل. قصدت الشركة أن يتبع انتهاء العمل رفع ضوابط التدفق والتحقق من الوضع الطبيعي، لكن بعض المستخدمين ووسائل الإعلام فهموا العبارة على أن الخدمة عادت بالفعل، مع أن الازدحام والقيود استمرا.

لم يكن ذلك خللاً لغوياً فقط، بل نقصاً في ربط اللغة بالقياس. يجب أن تفصل الحالة العامة بين إزالة السبب الأول، واحتواء نمو إعادة المحاولة، وعزل العقد المضطربة، واتفاق حالة الجلسات، ورفع قيود الحركة، واستقرار الصوت والبيانات، واختبار الخدمات التابعة. عندها يصبح لكل كلمة تشغيلية دليل يمكن فحصه.

امتد الأثر إلى خدمات تعتمد على الاتصال المحمول

ذكرت KDDI آثاراً شملت تحديثات التسليم واتصالات السائقين، وخدمات السيارات المتصلة، وجمع بيانات الطقس، وعدادات المياه، وأجهزة الصراف الآلي، واتصالات المطارات اللاسلكية، وأنظمة الدفع في الحافلات. كما أفادت رويترز بتعطل متعلق ببيانات الطقس وتسليم الطرود والخدمات المصرفية والسيارات المتصلة.

لا تعني هذه الأمثلة أن كل خدمة مذكورة تعطلت في كل أنحاء اليابان طوال 61 ساعة و25 دقيقة. إنها تبين مدى الاعتماد: قد تكون الوصلة المحمولة مسار تحكم أو إبلاغ داخل خدمة أخرى. ما يراه مستخدم الهاتف فشلاً في المكالمة قد يظهر عند شركة نقل كغياب تحديثات، أو عند جهة عامة كنقص ملاحظات، أو عند جهاز بعيد كفشل معاملة اعتيادية.

الاتصال بالطوارئ هو الحد الأشد حساسية. نقلت رويترز قلق وزير الاتصالات من تعطل مكالمات الإطفاء والطوارئ المستخدمة لحماية الأرواح والممتلكات. وأفادت كيودو بأن بعض المستخدمين لم يستطيعوا الاتصال بالرقمين 110 أو 119 لمدة ممتدة. لكن المواد العامة لا تقدم عدداً لمحاولات الطوارئ الفاشلة أو الحالات الفريدة، ولا تثبت إصابات أو وفيات أو خسارة اقتصادية محددة.

لا ينبغي ملء هذا الفراغ بالتخمين. النتيجة المدعومة خطيرة بما يكفي: تعرض الوصول إلى أرقام الطوارئ للعرقلة أثناء اضطراب وطني طويل. والسؤال التشغيلي هو هل يستطيع المشغل إبقاء مسار قابل للاستخدام للاتصالات الأساسية عندما يفشل تسجيل الصوت أو مصادقة المشتركين أو تكون ضوابط الحركة العادية قيد الاستخدام.

سجل الجهة التنظيمية يحدد فشل الضوابط لا كل مسؤولية قانونية

عاملت الوزارة الواقعة بوصفها حادثاً خطيراً وأجرت تحققاً تقنياً مخصصاً. ولم تختزل السبب في خطأ شخص واحد. شملت ملاحظاتها اختيار الإجراءات والموافقة عليها، والتحقق من عودة الخدمة، وتقييم المخاطر، وتصميم مكافحة الازدحام، وتقدير الانتشار الوطني، واختبار إعادة التشغيل تحت الحمل العالي، وتعقيد خطوات الاستعادة، والتمارين، والتواصل مع العملاء.

هذا الاستنتاج المتعدد الطبقات مهم. يمكن لإجراء خاطئ أن يبدأ الواقعة، لكن صمود شبكة وطنية يعتمد على ضوابط تفترض أن الإجراء أو الإنسان قد يخطئ. يجب كشف النجاح المتقطع، ووضع حدود لإعادة المحاولة، وإنشاء مناطق احتواء في البنية الموزعة، وفحص النسخ الاحتياطية وإعادة التشغيل في ظروف غير طبيعية، وتدريب الفرق على الخروج من حالات لا تعالجها الأتمتة المعتادة.

أعلنت KDDI تعزيز اعتماد إجراءات العمل، وتحسين كشف الازدحام، ومراجعة تصميم التحكم فيه، وتعديل خطوات الاستعادة وأدواتها، وتحسين المعلومات المقدمة للعملاء. تتصل تلك الإجراءات بمسارات الفشل الموثقة، لكن الإعلان عن تنفيذها لا يمثل ضماناً مستقلاً وحديثاً لفعاليتها في جميع أجزاء الشبكة عام 2026.

وأعلنت الشركة أيضاً تعويضات للعملاء. فرقت بين رد مبالغ وفق الشروط لمن لم يتمكنوا من استخدام جميع الاتصالات لأكثر من 24 ساعة متصلة أو في حالة معادلة، وتعويض اعتذاري قدره 200 ين لفئة أكبر بكثير. وقدرت كيودو كلفة التعويض بنحو 7.3 مليارات ين، وذكرت خفضاً طوعياً لراتب رئيس KDDI.

هذه استجابات تشغيلية وتعويضية وحوكمية من الشركة. وليست غرامة مالية فرضتها الجهة التنظيمية، ولا إدانة جنائية، ولا حكماً قضائياً بالمسؤولية. ما يثبته السجل هو تصنيف الحادث الخطير، ونتائج تحقق الوزارة، والإجراءات المعلنة، وبرنامج التعويض. ولا يبرر تحويلها إلى نتيجة قانونية لم تصدرها المصادر.

دليل الاستمرارية يجب أن يصف الخدمة العاملة

يقترح الحادث سلماً عملياً للأدلة. في المستوى الأول توجد الحالة المقصودة: الإجراء المعتمد، والمسار المتوقع، وضوابط الازدحام المعدة، وخطة الاستعادة، وسياسة إخطار العملاء. هذه السجلات ضرورية، لكنها لا تثبت الاستمرارية وحدها.

في المستوى الثاني توجد الحالة التقنية المرصودة. يحتاج المشغل إلى معرفة المسار الذي تسلكه إشارات VoLTE فعلاً، ونسبة رجوع الإقرارات، وتوزيع إعادة المحاولة، وحالة تزامن كل عقدة تحكم، واتفاق بيانات المشتركين وجلسات PGW، وما إذا كانت إعادة التشغيل قد حملت نسخة سليمة. هذه القياسات تخبرنا بما تفعله الشبكة، لا بما تقول الوثائق إنها ينبغي أن تفعله.

أما المستوى الأعلى فهو اكتمال الخدمة. نجاح فحص صحة العقد لا يثبت قدرة الناس على التسجيل وإجراء المكالمات واستقبالها وإرسال الرسائل واستخدام البيانات والوصول إلى مركز طوارئ. تحتاج الاستعادة إلى اختبارات طرفية عبر أجهزة ومناطق وخدمات ومؤسسات تابعة ممثلة. وينبغي أن يتبع الإعلان العام هذه النتائج.

يحفظ التقرير التنظيمي سجلاً حيوياً للمصطلحات والأرقام والتسلسل والتوقعات التصحيحية. لكنه لا يحمل الحركة ولا يوقف إعادة المحاولة ولا يصالح الجلسات ولا ينجح مكالمة طوارئ. قيمته التشغيلية في تحويل الواقعة إلى اختبارات قابلة للتطبيق على الشبكة الحية.

ولهذا لا ينتهي سؤال المساءلة عند تصحيح المسار الأصلي. السؤال هو هل تستطيع الضوابط الحالية إثبات أن فشلاً متقطعاً مماثلاً سيبقى محلياً، وأن طلبات الإعادة ستظل محدودة، وأن مواد الاستعادة جديرة بالثقة، وأن المشغلين يحتفظون بالرؤية، وأن لغة الحالة العامة تطابق ما ينجح فعلاً لدى العملاء.

ما لا تثبته المواد العامة

يقدم تقرير الوزارة إعادة بناء مفصلة، لكنه لا يعرض كل سجل داخلي أو كل أمر صدر أثناء الاستعادة أو مالك كل قرار. ولا يقدم تعداداً كاملاً للأثر على كل جهاز، ولا يحصي مكالمات الطوارئ الفاشلة، ولا يثبت إصابة أو وفاة أو خسارة اقتصادية بعينها.

كما تغيرت تقديرات الأثر بين اللقطات. لا يبطل ذلك فائدتها، لكنه يفرض نسب كل رقم إلى صاحبه ومنهجه. يبقى رقم 39.15 مليون سقف تعرض محتمل في تقرير مبكر. ويبقى تقديرا الوزارة، 23.16 مليون للصوت و7.75 مليون على الأقل للبيانات، خاصين بتحقيقها. ويبقى رقما KDDI اللاحقان، 22.78 مليون و7.65 مليون على الأقل، خاصين بصفحتها الجامعة.

ولا يمكن لقائمة إجراءات أُعلنت في 2022 أن تثبت فعاليتها الراهنة وحدها. قد تغطي أداة جديدة بعض العقد لا كلها. وقد يُعدل إجراء من دون اختباره أمام فقد متقطع وحمل إعادة محاولة وطني. وقد ينجح تمرين في المختبر من دون إعادة إنتاج حالة مشترك غير متسقة. المطلوب هو دليل تشغيلي دوري، لا افتراض دائم مستمد من اكتمال مشروع.

تحافظ هذه الحدود على قوة الحجة بدلاً من إضعافها. بدأ الحادث بفشل صيانة وتوجيه محدد، وانتشر بآلية إعادة محاولة وازدحام قابلة للرصد، واستمر عبر حالة غير متسقة، وأصاب خدمات حيوية، واحتاج إلى استعادة متعددة المراحل. النتيجة المسؤولة تتعلق بجودة الضوابط والأدلة، لا بإسناد ضرر أو ذنب شخصي لم يثبته السجل.

المصادر