انقطاع KPN عام 2019 جعل الوضع المشترك لمنصة التوجيه اختبارًا للمساءلة في السلامة العامة

الملخص

• يحدد التحقيق الهولندي المشترك انقطاع هاتف KPN الرئيسي بين الساعة 15:34 و18:52 يوم 24 يونيو 2019. كانت خدمات الصوت الثابت والمحمول غير متاحة تقريبًا لعملاء KPN، وفشل المسار العادي للطوارئ 112. استمرت خدمات الإنترنت في العمل، لذا كان هذا فشلًا في توجيه المكالمات واستمرارية الطوارئ وليس فقدانًا كاملاً للاتصال. [1][2][5][7][10]
• عبر الفشل حدود المشغلين. وجد التحقيق أن حركة 112 من جميع مزودي الصوت الثابت والمحمول مرت عبر شبكة KPN الهاتفية قبل الوصول إلى نقطة الاستجابة للسلامة العامة الوطنية. وبالتالي كانت منصة تديرها شركة واحدة تشكل اعتمادًا وطنيًا مشتركًا. [3][5][7]
• قوضت الآلية التقنية التكرار الاسمي. كانت لأربعة أنظمة توجيه تعمل بشكل مستقل عدادات أصبحت متزامنة بعد تغيير برمجي. لم يعِدها سكريبت تحذيري كما هو مقصود. وصلت العدادات إلى حالة سلبية في نفس الوقت تقريبًا، وتضاعفت رسائل الخطأ مع محاولات الاتصال المتكررة، وتوقفت المنصة عن معالجة طلبات التوجيه. [2][5][7]
• أضعفت مشكلة تهيئة منفصلة توصيل رسائل NL-Alert عبر الجيل الرابع من KPN. لم يعالج التقرير المشترك هذا الخلل كسبب لانقطاع الصوت. تكمن أهميته في ضغط الاستمرارية المتزامن: قناة التحذير التي كان من المتوقع أن تساعد أثناء فشل الهاتف كانت معطلة، بينما أدت الرسائل الإقليمية والوطنية غير المتسقة إلى ازدحام سلسلة التنبيه. [2][5][7][18]
• أبلغت KPN عن أعمال الإصلاح والتدابير التصحيحية، بما في ذلك تغييرات في تكوين البرامج ومسار بديل أسرع لحركة 112 إذا تباطأت منصة التوجيه أو توقفت. دعا المنظمون أيضًا إلى اختبار مستمر عبر سلسلة 112 الكاملة، ومرونة أكبر في التغيير والاهتمام بالبرامج المتطابقة والتبعيات المشتركة. البيانات التي تفيد بأن التدابير تم قبولها أو تنفيذها ليست بحد ذاتها دليلاً عاماً على الفعالية طويلة المدى. [2][7][9][10]
• المسؤولية تتبع السيطرة العملية. سيطرت KPN على بنية منصة التوجيه وتغيير البرمجيات والمراقبة وأدلة الاستعادة. سيطر المشغلون الآخرون على وعيهم بالتبعية واستمرارية مواجهة العملاء. سيطرت الحكومة والشرطة ومناطق السلامة ومنظمات الرعاية على خطط الطوارئ والتعليمات العامة. سيطر المنظمون على المتطلبات والتحقيق والمتابعة. يجب أن يُظهر الإغلاق الموثوق كيف تعمل هذه الضوابط معًا عندما يفشل مسار الاتصال الوطني الطبيعي.

خدمة وطنية اعتمدت على مسار مكالمات مشغل واحد

نقطة البداية لتحديد المسؤولية ليست عيب البرنامج. إنه المسار الذي كان على مكالمة الطوارئ أن تسلكه قبل أن يصبح العيب مهمًا.

يصف التحقيق المشترك سلسلة مركزية. اتصل شخص بالرقم 112 من خدمة صوت ثابتة أو محمولة. تم إرسال حركة المرور من جميع مزودي الصوت عبر شبكة KPN الهاتفية إلى نقطة الاستجابة للسلامة العامة في دريبرجن. أجاب هناك مشغل وحول المكالمة إلى مركز الاستجابة للطوارئ الإقليمي المناسب، والذي قام بعد ذلك بتنبيه الخدمة المطلوبة. كان رئيس الشرطة هو المتحكم في مجال 112، بينما كان وزير العدل والأمن مسؤولاً عن السلسلة. [2][7]

وزعت تلك البنية المسؤولية المؤسسية لكنها ركزت وظيفة نقل حاسمة. يمكن أن يكون لدى مشترك غير تابع لـ KPN علاقة تجارية مع مشغل آخر ومع ذلك يعتمد على KPN للمسار الوطني النهائي إلى 112. وبالتالي فإن عواقب فشل توجيه KPN على السلامة العامة لم تكن محدودة بقاعدة عملاء KPN بالتجزئة. لهذا السبب لا ينبغي تحليل الحادث على أنه انقطاع عادي للمورد يُقاس فقط بنسبة المشتركين الذين يمكنهم إجراء المكالمات.

يغير الاعتماد أيضًا معنى التكرار. قد يكون لدى مزود المحمول مواقع راديو متنوعة وروابط نقل ومكونات أساسية داخل شبكته. قد يكون لدى مشغل الثابت تقنيات وصول منفصلة. لا تؤسس خيارات التصميم هذه لمرونة مكالمات الطوارئ إذا تقاربت جميع المسارات على نفس منصة التوجيه النهائية. يجب أن تنجو الاستقلالية من مسار الخدمة بأكمله. يمكن للتنوع قبل نقطة التقارب أن يحسن التوافر العادي مع ترك مجال فشل وطني مشترك سليمًا.

لا يوجد شيء غير مسؤول بطبيعته في وجود مدخل وطني مشترك. يمكن أن يؤدي المركزية إلى تبسيط معالجة المكالمات وتحديد الموقع والنقل والتنسيق التشغيلي. يمكن أن يسهل أيضًا الحفاظ على عناصر تحكم متخصصة. لكن التركيز يرفع المستوى المطلوب من الأدلة. يجب على مشغل النقطة المشتركة أن يُظهر أن التكرار ليس فيزيائيًا فقط، وأن الحالة لا تتم مزامنتها بصمت عبر أنظمة منفصلة اسميًا، وأن الفشل لا يمكن تضخيمه بالطلب المتكرر، وأن المسار حول المنصة يظل متاحًا تحت الحمل الواقعي.

السلطات العامة المسؤولة عن السلسلة تواجه واجبًا موازيًا. يحتاجون إلى خريطة بنية تحدد أين ينتهي التنوع التعاقدي ويبدأ التقارب التقني. يحتاجون إلى معرفة أي منظمة يمكنها إعادة توجيه حركة المرور، وأي منظمة يمكنها الإعلان عن أن الخيار الاحتياطي آمن، وأي اختبارات تمارس المكالمات من كل شبكة مصدر حتى الرد البشري والنقل الإقليمي. بدون تلك النظرة الشاملة، يمكن لكل مشارك الإبلاغ عن أن مكونه الخاص متاح بينما تظل الخدمة العامة غير قابلة للوصول.

جعل انقطاع 2019 هذه الفجوة الرقابية مرئية. امتلكت KPN وشغلت المنصة التي أوقف فشلها التوجيه العادي. ومع ذلك كان الاعتماد المجتمعي أكبر من KPN، وكانت القدرة على تخفيفه موزعة بين المشغلين والشرطة والوزارات ومناطق السلامة وخدمات الطوارئ ومنظمات الرعاية. لذلك لا يمكن اختزال المساءلة إلى "خلل KPN" أو "استعداد الحكومة". خلقت البنية التزامات رقابية متميزة لكليهما.

الجدول الزمني يفصل بين الكشف والتشخيص والاستعادة والتعافي العام

يقدم السجل الرقابي تسلسلًا زمنيًا أكثر فائدة من رقم واحد لمدة الانقطاع.

في الساعة 15:32، تلقى مركز مراقبة KPN أول تقرير عن انخفاض في حركة المرور المرئية. تبع ذلك تقارير أخرى. يضع التقرير المشترك الخلل الرئيسي من الساعة 15:34. استخدمت KPN إشارات المراقبة وردود العملاء وتقارير من مؤسستها لبدء إجراء الطوارئ. كانت الإشارة الأولى وبداية الخسارة الواسعة للخدمة متقاربتين في الوقت، لكن كشف حركة المرور غير الطبيعية لم يكن نفس معرفة الآلية أو استعادة المسار. [2][7]

في الساعة 17:45، حدد فريق التحقيق السبب. في الساعة 18:30، أعادت KPN تشغيل النظام الأول بنجاح. في الساعة 18:52، تمت استعادة خدمة الصوت والوصول إلى نقطة الاستجابة للسلامة العامة. تميز هذه الطوابع الزمنية عدة أسئلة تشغيلية. رأت المراقبة عرَضًا بسرعة. استغرق التشخيص التقني حوالي ساعتين من أول انخفاض مرئي. بدأ إعادة التشغيل عملية الاستعادة، لكن الوصول الكامل جاء لاحقًا. تنتمي كل فترة إلى سطح تحكم مختلف: القياس عن بعد، تصعيد الحادث، عزل العطل، إعادة التشغيل الآمن، والتحقق من الخدمة.

امتد التعافي العام إلى ما بعد استعادة الشبكة. صعدت الهيئات الحكومية والشرطة ومناطق السلامة وخدمات الطوارئ ومنظمات الرعاية عمليات الأزمات وحاولت تقديم بدائل. بحلول الساعة 21:00، خفضت المنظمات هياكل الأزمات لديها. تم إرسال رسالة NL-Alert النهائية التي تبلغ عن الحل في الساعة 21:30. لم تزل عودة الشبكة في الساعة 18:52 الحاجة فورًا إلى التوفيق بين التعليمات العامة وإعادة فتح مسارات الاتصال العادية وسحب الترتيبات المؤقتة. [2][7]

هذا التسلسل الزمني مهم لأن مقياس التوفر يمكن أن يخفي شكل الاستجابة. قد يبدو انقطاع لمدة ثلاث ساعات ضمن معيار داخلي مدته أربع ساعات، لكن خدمة الطوارئ لا تقاس بشكل كافٍ بالمدة وحدها. عدد الأشخاص المتضررين، النطاق الوطني، خطورة المكالمات، فقدان أرقام الخدمات البديلة، والارتباك حول تعليمات الطوارئ كلها تغير التأثير. شكك تقرير KPN الخاص لعام 2019 لاحقًا فيما إذا كان مؤشر الأداء الخاص بوقت التوقف المرجح يمثل بشكل كافٍ الحوادث ذات العواقب المجتمعية الشديدة. [10]

يكشف الجدول الزمني أيضًا عن أدلة لا تزال غير متاحة للعموم. لا يقدم التقرير كل إنذار أو قيمة عداد أو أمر مشغل أو قرار تصعيد أو معيار إعادة تشغيل. لا يحدد مهندسًا فرديًا أو مورد برامج كصاحب قرار. لا يُظهر سجل الأحداث الكامل من 15:32 إلى 17:45. هذه الفجوات لا تمحو الآلية المثبتة، لكنها تحد من الادعاءات حول سبب استغراق التشخيص الوقت الذي استغرقه وما إذا كان خيار تشغيلي مختلف سيختصر الحادث.

سيحافظ الإغلاق الدقيق على هذا الفصل. سيظهر دليل الكشف متى تم تجاوز الحد الأدنى الأول وما إذا كان الموظفون يفهمون أن 112 متأثر. سيظهر دليل التشخيص كيف ميز المستجيبون بين الحمل وتلف الحالة. سيظهر دليل الاستعادة لماذا كانت إعادة تشغيل نظام واحد آمنة وكيف تم التحكم في حركة المرور. سيظهر دليل الخدمة مكالمات ناجحة من كل مشغل، وليس فقط أن عمليات المنصة كانت تعمل. سيظهر دليل التعافي العام متى وصلت بدائل دقيقة ومتسقة إلى المواطنين. "تم الحل" يجب أن يكون آخر تلك الاختبارات، وليس أولها.

الخلل المحفز كان طبقة واحدة فقط من السبب الجذري

يقدم التقرير المشترك خصوصية غير معتادة حول فشل منصة التوجيه بينما يظهر أيضًا لماذا سيكون "خلل برمجي" تفسيرًا غير مكتمل.

كانت منصة توجيه المكالمات في KPN جزءًا أساسيًا من الشبكة الهاتفية. قدمت المعلومات اللازمة لوضع كل مكالمة على المسار الصحيح، بما في ذلك المكالمات إلى 112. احتوت المنصة على أربعة أنظمة توجيه توصف بأنها تعمل بشكل مستقل. تضمن الفشل المباشر تكوين البرنامج، والتشغيل المتزامن، وعدادات تستخدم لمراقبة طلبات التوجيه. [2][7]

يصف التقرير سلسلة. تسبب تغيير برمجي في نظام إدارة الخدمة للمنصة بشكل غير مقصود في تشغيل عدادات الأنظمة الأربعة بشكل متزامن. كان سكريبت منفصل تم تنفيذه في يناير 2019 يهدف إلى التحذير عندما تصل العدادات إلى 95 بالمائة من الحد الأقصى، لكن خطأ في التنفيذ يعني أن العدادات لم تتم إعادة تعيينها في الوقت المناسب. في 24 يونيو، وصلت جميع العدادات الأربعة إلى قيمة سلبية في نفس اللحظة تقريبًا. ولدت تلك الحالة حجمًا كبيرًا من رسائل الخطأ. كل طلب توجيه جديد ولد خطأ آخر، وزادت محاولات الاتصال المتكررة من حركة المرور. بعد حوالي ساعة من تراكم الأخطاء وطلب الحمل، لم تعد المنصة قادرة على معالجة طلبات توجيه المكالمات. [2][7]

تحتوي هذه السلسلة على أربعة عناصر مختلفة تحليليًا على الأقل.

الشرط المحفز كان عبور العدادات إلى الحالة السلبية. الخلل التقني الكامن كان سلوك البرنامج والتكوين الذي سمح للعدادات بالمزامنة والفشل معًا. فشل تحكم كشف لأن سكريبت التحذير وإعادة التعيين لم يعمل كما هو مقصود. نشأ شرط تضخيم لأن كل طلب توجيه أنتج خطأً مخزّنًا آخر بينما كان المتصلون يعيدون المحاولة بشكل طبيعي. النتيجة المعمارية كانت أن أربعة أنظمة قدمت كمستقلة لم تعد توفر عزلًا مفيدًا للفشل.

يضيف التقرير قرار تبعية آخر. في يونيو 2018، بدأت KPN في استخدام منصة توجيه المكالمات لتوجيه حركة 112 بينما كانت منصة 112 قيد الترقية. عندما فشلت منصة التوجيه، كانت المعلومات اللازمة لتوجيه مكالمات الطوارئ غير متاحة. ذلك القرار لم يخلق عيب العداد، لكنه ربط فشل المنصة بالوصول الوطني للطوارئ. لذلك هو شرط معماري مساهم وليس محفزًا فوريًا. [2][7]

أربعة أنظمة لم تكن أربعة مجالات فشل مستقلة

غالبًا ما يتم توصيل التكرار كعدد. أربعة أنظمة تبدو أكثر أمانًا من واحد. حادثة KPN تظهر لماذا عدد المكونات ليس هو نفسه عدد مجالات الفشل المستقلة.

يمكن لأنظمة التوجيه أن تعمل بشكل منفصل بمعنى عادي وتظل تشارك الخصائص التي كانت مهمة خلال هذا الحدث. استخدمت برامج متطابقة أو مرتبطة ارتباطًا وثيقًا، وتأثرت بتغيير إدارة خدمة مشترك، وحافظت على عدادات أصبحت متوافقة، وتفاعلت بشكل مماثل عندما عبرت تلك العدادات حالة الفشل. فصلها المادي أو العملياتي لم يمنع انتقال الحالة المشتركة. بمجرد وصول نفس الفشل إلى جميع الأنظمة الأربعة، لم تستطع السعة الزائدة للمعمارية حمل حركة المرور حول المشكلة. [2][7]

هذا هو فشل النمط المشترك: تفشل مكونات متعددة لأنها تشترك في سبب أو تبعية أو حالة أو افتراض. لا ينبغي استخدام المصطلح كمرادف غامض "لانقطاع كبير". إنه يحدد لماذا لم يقلل التكرار من الاحتمال أو التأثير كما هو متوقع. في هذه الحالة، غيرت المزامنة المخاطرة. العدادات التي كانت ستصل إلى حالة إشكالية في أوقات مختلفة ربما أنتجت تحذيرًا أو فشلًا جزئيًا أو فرصة لإعادة تعيين نظام واحد بينما تستمر الأنظمة الأخرى. حولت المحاذاة التعرض المتدرج إلى خسارة متزامنة تقريبًا.

الاحتياطي مستقل فقط إذا تجنب الافتراضات الفاشلة

أفادت KPN أنها حسنت المرونة من خلال تمكين إعادة توجيه حركة 112 بسرعة عبر قنوات بديلة إذا أصبحت منصة التوجيه بطيئة أو توقفت. هذا استجابة اتجاهية للحادث. إنه يعالج الحاجة إلى التوجيه حول المنصة بدلاً من مجرد إعادة تشغيل أنظمة متطابقة. لا يزال البيان يترك أسئلة مهمة حول الاستقلالية والإثبات. [2][7]

الاحتياطي الذي يستخدم نفس مستوى التحكم أو برنامج إدارة الخدمة أو قاعدة البيانات أو بيانات التوجيه أو مسار الموافقة التشغيلية قد يكون بديلاً في الطوبولوجيا لكنه شائع في الفشل. إذا قرأ الأساسي والنسخ الاحتياطي نفس الحالة التالفة، أو اعتمدا على نفس العدادات، أو تطلبا أوامر من نظام إدارة معطل، فإن تبديل المسارات لا يزيل السبب. الحادث يجعل "البديل" ادعاءً يجب تحليله.

الاستقلالية التقنية تسأل عما إذا كان النسخ الاحتياطي يمكنه تحديد وتوجيه مسار الطوارئ الصحيح دون المنصة الفاشلة. استقلالية السعة تسأل عما إذا كان يمكنه حمل طلب إعادة المحاولة الوطني، وليس مجرد مكالمة اختبار صغيرة. استقلالية الحالة تسأل عما إذا كان يحافظ على معلومات التوجيه أو يتلقاها من خلال آلية منفصلة. استقلالية التحكم تسأل عما إذا كان المشغلون يمكنهم تفعيله عندما تكون أدوات الإدارة العادية متدهورة. الاستقلالية التنظيمية تسأل من لديه سلطة التبديل وما إذا كانت تلك السلطة متاحة على مدار الساعة.

الاختبار الشامل كان رقابة حوكمة، وليس فحصًا تقنيًا نهائيًا

حدد التقرير المشترك نقص إدارة الخدمة الشاملة في سلسلة 112 وأوصى بالاختبار والمراقبة المستمرين عبر المسار بأكمله. أشار إلى أن KPN اختبرت توجيه 112 باستمرار في شبكة TDM باستخدام مولد مكالمات، بينما لم تكن هناك طريقة مكافئة متاحة للشبكة المحمولة بعد تنفيذ منصة 112 المطورة. [2][7]

هذه النتيجة مركزية للمساءلة. يمكن أن تظهر اختبارات المكونات أن شبكة المصدر قبلت مكالمة 112، أو أن جهاز توجيه KPN سليم، أو أن نقطة الاستجابة يمكنها استقبال إدخال اختبار، أو أن مركزًا إقليميًا يمكنه استقبال تحويل. لا يثبت أي منها أن مكالمة حقيقية من كل مزود تعبر جميع التبعيات وتصل إلى نقطة النهاية البشرية المقصودة. الخدمة العامة هي السلسلة، وليس أي مكون فردي.

المراقبة شهدت انخفاضًا في حركة المرور لكنها أخطأت الشرط المهم

تلقى مركز مراقبة KPN إشارة في الساعة 15:32، قريبة من بداية الخلل الواسع المبلغ عنه. هذا دليل على أن بعض المراقبة عملت. السؤال الأصعب هو ما إذا كانت المنظمة راقبت الشرط الرائد ونتيجة الخدمة العامة.

كانت العدادات قد اقتربت من الحد الأقصى قبل أن تصبح سلبية. كان سكريبت يهدف إلى التحذير عند 95 بالمائة ودعم إعادة تعيين في الوقت المناسب، لكن خطأ في التنفيذ منع عنصر التحكم من القيام بعمله. لم يكن هذا مجرد فشل في ملاحظة أن العملاء لا يمكنهم الاتصال. كان فشل إشارة وقائية محددة كان يجب أن تظهر حالة خطيرة قبل أن تتوقف المنصة عن معالجة الطلبات. [2][7]

خلل NL-Alert المنفصل اختبر استقلالية التحذير العام

فشل NL-Alert لسبب مختلف. في 24 يونيو، أدى تغيير في التكوين مرتبط بإعداد تقارير الجيل الرابع ومسح شبكة دوري إلى زيادة تحميل محول في منصة البث الخلوي لـ KPN. لم تتمكن KPN من معالجة رسائل NL-Alert عبر الجيل الرابع حتى تم تحديد المشكلة وحلها في اليوم التالي. تعامل التقرير المشترك مع هذا بشكل صريح على أنه منفصل عن فشل توجيه الهاتف. [2][5][7]

يجب الحفاظ على ذلك الحدود السببية. عدادات الهاتف لم تسبب مشكلة محول البث الخلوي. حقيقة أن كليهما تضمن برامج أو تكوين لا تجعلهما آلية حادث واحدة. الجمع بينهما من شأنه تشويه المساءلة التقنية ويمكن أن يعين إجراءات تصحيحية للتحكم الخاطئ.

خطط الأزمات كانت موجودة، لكن العديد منها لم يكن جاهزًا للتشغيل

لم تدخل هولندا الحادث دون سياسة استمرارية. تبعث اتفاقيات من اضطرابات 112 السابقة، وحافظت الشرطة على سيناريوهات تشغيلية عامة. السيناريو 4 كان الأقرب لفقدان البنية التحتية العامة لـ 112 وشمل تزويد مراكز الشرطة والإطفاء بالموظفين. قدم خطاب حكومي عام 2013 أيضًا إجراءات للمواطنين، مثل تجربة هاتف محمول إذا فشلت المكالمة الثابتة، أو تجربة هاتف ثابت إذا فشل المحمول، أو الذهاب إلى موقع خدمة الطوارئ إذا كانت مرافق الهاتف غير متاحة. [2][7][18]

وجد التحقيق فجوة بين التوثيق والجاهزية التشغيلية. لم تكن المناطق الأمنية قد شاركت بالكامل في إطار العمل السابق. الأدوار وطرق الاتصال وتفاصيل التنفيذ كانت غير مكتملة. بعض المنظمات كانت لديها معرفة قليلة بالوثائق. غالبًا ما افترضت الخطوط حادثًا إقليميًا، وليس عدم توفر وطني. السيناريو 4 افترض أيضًا أن الخط الساخن للشرطة الوطنية 0900-8844 سيعمل، لكن نفس فشل KPN جعل ذلك الرقم غير متاح. [2][5][7]

يجب قياس ضرر السلامة العامة دون اختراع علاقة سببية

الضرر المدعوم كان خطيرًا. لم يتمكن الناس من استخدام رقم الطوارئ الوطني العادي، وكان رقم خدمة الشرطة غير متاح أيضًا، واختلفت البدائل حسب المنطقة، وكان توصيل التنبيه معطلاً، واضطرت منظمات الرعاية إلى ارتجال الاتصالات. يصف التقرير فجوات في الرعاية الصحية الطارئة وتأثيرًا مجتمعيًا كبيرًا. هذه النتائج تبرر تقييمًا عالي التأثير دون الحاجة إلى ادعاء إصابة درامي لكن غير مثبت. [1][2][5][7]

الإجراءات التصحيحية من KPN عالجت الآلية، لكن الإثبات يتطلب أكثر من القبول

يقول التقرير المشترك إن KPN أجرت تحليل السبب الجذري وتقييمًا واسع النطاق وكلفت Bell Labs Consultancy. صاغت KPN خطة عمل في أغسطس 2019. يذكر التقرير أن معظم التدابير قد تم تنفيذها بحلول وقت النشر. يحدد تعديلات في تكوين البرامج تهدف إلى منع تعطل طلبات التوجيه بسبب أحجام كبيرة من رسائل الخطأ وقناة بديلة أسرع لحركة 112 عندما تبطئ منصة التوجيه أو تتوقف. [2][7]

الامتثال كان أرضية، وليس دليلاً على أن البنية كانت كافية

قانون الاتصالات الهولندي وقواعد الاستمرارية المرتبطة به تطلب من مزودي شبكات الاتصالات العامة وخدمات الهاتف العامة اتخاذ تدابير تقنية وتنظيمية مناسبة، وتعظيم التوفر أثناء الأعطال الفنية أو انقطاع التيار الكهربائي، والإبلاغ عن انقطاعات الاستمرارية الكبيرة. تناولت السياسة الهولندية أيضًا القدرة على الوصول إلى 112 من خلال الخدمات المحمولة. على مستوى الاتحاد الأوروبي، تطلب المادة 109 من مدونة الاتصالات الإلكترونية الأوروبية الوصول إلى خدمات الطوارئ من خلال الرقم الأوروبي الموحد 112 دون مقابل. [13][14][15][16]

معايير جلسات الطوارئ توفر سياقًا، وليس دليلاً على تصميم KPN الدقيق

تصف مواصفات ETSI و3GPP جلسات الطوارئ في بيئات النظام الفرعي للوسائط المتعددة التابع لنظام الاتصالات (IMS)، بما في ذلك الوظائف المستخدمة للتعرف على اتصالات الطوارئ وتوجيهها ومعالجتها. إنها سياق مفيد لأن شبكات الصوت الحديثة تنفذ بشكل متزايد منطق الخدمة في البرامج وتعتمد على وظائف تحكم قد تكون افتراضية ومكررة ومدارة مركزيًا. [17]

المساءلة تتبع التحكم في الوقاية والكشف والاحتواء والإثبات

مسؤولية الانقطاع كانت موزعة، لكنها لم تكن غامضة. كل طرف سيطر على أجزاء يمكن تحديدها من الوقاية والكشف والاحتواء والاتصال والاستعادة والتحقق.

الإغلاق الموثوق سيظهر الاستقلالية بمرور الوقت

السجل العام يؤسس لآلية ومجموعة استجابات. السؤال المتبقي هو ما الذي سيعز إغلاق المخاطرة.

أولاً، ستحتاج KPN إلى أدلة معمارية حالية. تشمل مسار 112 العادي، المسار البديل، تبعيات الإدارة، مصادر بيانات التوجيه، ونقاط التقارب المستخدمة من قبل حركة المرور من المشغلين الآخرين. الغرض ليس نشر مخطط شبكة حساس. إنه السماح للمراجعين المصرح لهم باختبار ما إذا كان الاحتياطي يتجنب المنصة والحالة التي فشلت.

ثانيًا، سيحتاج المشغل إلى أدلة تغيير. يوضح تحديث إدارة الخدمة الذي قام بمحاذاة العدادات وخطأ سكريبت التحذير لماذا كان اختبار الإصدار الوظيفي غير كافٍ. يجب أن تغطي المراجعات الحالة طويلة المدى، والقيم الحدودية، والمزامنة عبر النسخ المتماثلة، وسلوك الحالة القديمة بعد الترقية. يجب أن تحدد أيضًا من يمكنه إيقاف الإصدار عندما تكون أدلة استمرارية الطوارئ غير مكتملة.

ثالثًا، ستحتاج السلسلة إلى اختبارات شاملة متكررة. اختبار ناجح واحد بعد العلاج سيظهر أن المسار عمل مرة واحدة. لن يظهر أن كل مشغل وتقنية وصول واحتياطي ظلوا مغطى بعد التغييرات اللاحقة. الاختبار المستمر أو المتكرر، مع مكالمات اصطناعية خاضعة للرقابة، يمكنه اكتشاف الانحدار. التمارين الوطنية الدورية يمكنها اختبار الطبقة التنظيمية التي لا تستطيع المكالمات الاصطناعية اختبارها.

رابعًا، ستحتاج أدلة الاحتياطي إلى حقن فشل واقعي. يجب جعل المنصة الأساسية غير متاحة في بيئة خاضعة للرقابة أو تمرين. يجب أيضًا تقييد خدمات الإدارة وبيانات التوجيه والاتصالات العادية حيثما كان ذلك آمنًا. يجب أن يحمل المسار البديل حمولة تمثيلية، ويجب على المستجيبين تفعيله باستخدام نفس السلطات والأدوات المتاحة أثناء الحادث.

خامسًا، يجب ممارسة الاتصال العام كبنية تحتية. قوالب الرسائل تحتاج إلى بدائل مؤكدة لا تشارك المسار الفاشل. الفاعلون الوطنيون والإقليميون يحتاجون إلى عملية تمنع الأرقام المتعارضة وازدحام التنبيه. يجب أن يعرف الموظفون متى يكون لتعليم وطني واحد الأولوية وكيف تنتشر التصحيحات.

سادسًا، يجب أن تعكس مقاييس التأثير الخدمة المجتمعية. التوفر، إكمال المكالمات الناجحة، وقت الكشف، وقت تفعيل الاحتياطي، السكان المتأثرون، ونطاق المشغلين المتعددين ينتمون إلى صورة الأداء. كان قلق KPN بشأن وقت التوقف المرجح اعترافًا مفيدًا بأن مقاييس الشبكة العادية قد لا تلتقط تأثير الخدمة الحرجة. [10]

سابعًا، يجب أن تسجل المتابعة المستقلة المخاطرة المتبقية. قد يتم تقليل بعض حالات النمط المشترك بدلاً من القضاء عليها. يجب أن يذكر المراجع أي تبعيات تبقى، ولماذا يتم قبولها، وما الذي يكتشفها، ومتى ستتم إعادة النظر في القرار. لا ينبغي تفسير الصمت على أنه مخاطرة صفرية.

يقول تقرير المنظم اللاحق إن KPN قبلت التوصيات وتمت مراقبة المتابعة. هذا يدعم حساب الإشراف المستمر. الحزمة العامة المتاحة لا تتضمن كل تقرير تقدم دوري أو نتيجة اختبار حالية. الاستنتاج الصحيح إذن ليس أن العلاج فشل، ولكن أن الدليل العام غير مكتمل. [9]

ما الأدلة الجديدة التي يمكن أن تغير هذا التقييم

يمكن أن تصبح العديد من الاستنتاجات أقوى أو أضيق إذا تم توفير سجلات إضافية.

سجلات المنصة الكاملة يمكن أن تحدد التسلسل الدقيق من محاذاة العداد إلى تراكم الأخطاء وتظهر ما إذا كانت الإنذارات انطلقت قبل انخفاض حركة المرور المرئي. سجلات تغيير البرمجيات والموافقة يمكن أن تحدد الاختبارات المطلوبة وأي الفرق سيطرت على المخاطرة. تحليل السبب الجذري للمورد يمكن أن يوضح ملكية المكون دون تكهن.

اختبارات التبديل قبل الحادث وبعد العلاج يمكن أن تظهر ما إذا كان المسار البديل موجودًا قبل 24 يونيو وكيف تغيرت استقلاليته بعد ذلك. السجلات الشاملة يمكن أن تؤسس التغطية عبر المشغلين والوصول الثابت والمحمول ونقطة الاستجابة والنقل الإقليمي. تمارين السعة يمكن أن تظهر ما إذا كان الاحتياطي يمكنه التعامل مع طلب إعادة المحاولة.

بيانات محاولات المكالمات وإكمالها يمكن أن تحسن قياس التأثير. محمية بشكل صحيح، يمكن أن تظهر عدد المكالمات التي فشلت، وكيف تطور سلوك إعادة المحاولة، وما إذا كانت الخدمة عادت بشكل موحد. سجلات قطاع الرعاية يمكن أن توضح التأخيرات التشغيلية مع الحفاظ على تحذير التقرير بشأن النتائج الفردية.

نتائج المنظم الدورية يمكن أن تظهر ما إذا كانت KPN أكملت خطة العمل، وما إذا كانت الضوابط ظلت فعالة بعد التغييرات اللاحقة، وما هي المخاطر المتبقية التي تم قبولها. المؤشرات العامة الإجمالية يمكن أن توفر ضمانًا دون كشف تفاصيل حساسة.

يمكن للأدلة أيضًا أن تضيق المسؤولية. إذا أظهر عقد المورد وسجل تقني أن مكونًا تصرف بشكل مخالف للمواصفات على الرغم من الاختبار المعقول، ستصبح مسؤولية المورد أكثر تحديدًا. إذا أظهرت السجلات الداخلية أن فشل تحذير معروف تم قبوله دون تخفيف، ستصبح مسؤولية الإدارة أكثر تحديدًا. مجموعة المصادر الحالية لا تدعم أيًا من الادعاءين.

لذلك يجب أن يبقى التقييم مؤقتًا عند الحواف وراسخًا في المركز. فترة الانقطاع والاعتماد الوطني والتأثير الصوتي الواسع واستمرار توفر الإنترنت والنمط المشترك لأربعة أنظمة وفشل تحذير العداد وآلية NL-Alert المنفصلة وفجوات الاستعداد مدعومة جيدًا. السببية الفردية وهوية المورد وملكية القرار الداخلي والفعالية الكاملة طويلة المدى تبقى غير محسومة.

الخلاصة: مرونة الشبكة يجب أن تنجو من المسار المشترك

أصبح انقطاع KPN اختبارًا للمساءلة في السلامة العامة لأن مسار مكالمات الطوارئ العادي في هولندا تقارب على منصة توجيه مشغل واحد. أربعة أنظمة توجيه لم توفر أربعة مجالات فشل مفيدة بمجرد تزامن حالة البرنامج. لم يوقف تحذير وقائي العدادات من عبور الحدود. طلب المكالمات المتكرر ضخم عمل الخطأ. توقفت منصة التوجيه عن تحويل المكالمات، ووصل الفشل إلى حركة 112 من مشغلين آخرين.

أظهر الحادث أيضًا أن الاستعادة التقنية هي جزء واحد فقط من الاستمرارية. خلل منفصل في NL-Alert أضعف قناة تحذير واحدة. الخطط الحكومية والإقليمية لم تكن متسقة التشغيل. الأرقام البديلة والتعليمات تفاوتت. اعتمدت منظمات الرعاية على الارتجال وأدوات الاتصال التي لم تكن مألوفة دائمًا. كانت هذه حالات فشل متميزة مع متحكمين متميزين، لكنها اجتمعت في التجربة العامة.

الإجراءات التصحيحية من KPN عالجت أجزاء مهمة من الآلية، وأسس المنظمون متابعة. هذا الدليل لا يدعم الرفض ولا اليقين. إنه يدعم أجندة تحقق: أثبت أن احتياطي التوجيه يتجنب الافتراضات الفاشلة، واختبر سلسلة 112 متعددة المشغلين باستمرار، وراقب نتيجة الخدمة بالإضافة إلى حالة المنصة، وحدد تضخم إعادة المحاولة، ومارس البدائل العامة، واحتفظ بالأدلة بعد كل تغيير جوهري.

المساءلة تكون أكثر وضوحًا عندما تتبع السيطرة. سيطرت KPN على المنصة وإصلاحها التقني. سيطر المشغلون الآخرون على وعيهم واختبارهم ضد المسار المشترك. سيطرت الشرطة والوزارة على السلسلة الوطنية. سيطرت مناطق السلامة ومنظمات الرعاية على الاستمرارية المحلية. سيطر المنظمون على معيار الإثبات والمتابعة.

الدرس الدائم ليس أن التكرار فشل على الرغم من أربعة أنظمة. إنه أن التكرار تم عده على مستوى المكون بينما تراكمت المخاطرة على مستويات الحالة المشتركة وسلسلة الخدمة. بالنسبة لبنية تحتية للشبكة الطارئة، الاستقلالية ليست تسمية على مخطط معماري. إنها نتيجة يتم إظهارها تحت الظروف الدقيقة التي يمكن أن تجعل كل مسار عادي يفشل معًا.

المصادر

1. https://www.rdi.nl/documenten/2020/06/25/onbereikbaarheid-van-112-op-24-juni-2019
2. https://www.rdi.nl/site/binaries/site-content/collections/documenten/2020/06/25/onbereikbaarheid-van-112-op-24-juni-2019/Gezamenlijk%2Brapport%2B112%2BAT%2BIJenV%2Ben%2BIGJ%2Bonbereikbaarheid%2Bvan%2B112%2Bop%2B24%2Bjuni%2B2019.pdf
3. https://www.inspectie-jenv.nl/actueel/nieuws/2019/06/26/onderzoek-naar-storing-112
4. https://www.inspectie-jenv.nl/actueel/nieuws/2019/08/22/plan-van-aanpak-onderzoek-112-gepubliceerd
5. https://www.inspectie-jenv.nl/actueel/nieuws/2020/06/25/overheden-en-organisaties-niet-voldoende-voorbereid-op-landelijke-uitval-112
6. https://www.inspectie-jenv.nl/documenten/2020/06/25/rapport-onbereikbaarheid-van-112-op-24-juni-2019
7. https://www.inspectie-jenv.nl/site/binaries/site-content/collections/documents/2020/06/25/inaccessibility-of-emergency-services-number-112-on-24-june-2019/Inaccessibility%2Bof%2Bemergency%2Bservices%2Bnumber%2B112%2Bon%2B24%2BJune%2B2019.pdf
8. https://www.inspectie-jenv.nl/actueel/nieuws/2020/07/02/veiligheidsregio%E2%80%99s-beter-voorbereid-op-crises-maar-nog-stappen-te-zetten
9. https://www.rdi.nl/site/binaries/site-content/collections/documenten/2021/05/26/jaarbericht-2020/Jaarbericht%2BAgentschap%2BTelecom%2B2020.pdf
10. https://ir.kpn.com/files/doc_financials/2019/ar/Integrated_Annual_Report_2019.pdf
11. https://ir.kpn.com/news-and-events/events/event-details/2020/KPN-Annual-Report-2019/default.aspx
12. https://ir.kpn.com/news-and-events/news/news-details/2020/Publication-of-KPNs-Integrated-Annual-Report-2019-02-24-2020/default.aspx
13. https://wetten.overheid.nl/BWBR0009950/2020-12-21/0/
14. https://wetten.overheid.nl/BWBR0032149
15. https://wetten.overheid.nl/BWBR0043937/
16. https://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1657563539506&uri=CELEX%3A32018L1972
17. https://www.etsi.org/deliver/etsi_ts/123100_123199/123167/14.05.00_60/ts_123167v140500p.pdf
18. https://www.inspectie-jenv.nl/site/binaries/site-content/collections/documents/2019/08/22/plan-van-aanpak-crisiscommunicatie-112/Plan%2Bvan%2Baanpak%2Bcrisiscommunicatie%2B112%2Bdef%2Bpublieksversie.pdf