61-Stunden-Ausfall bei KDDI: Routerwechsel als Verantwortlichkeit

Zusammenfassung

KDDI gibt an, dass eine Kommunikationsstörung am 2. Juli 2022 um 1:35 Uhr JST begann und dass die Service-Nutzung am 4. Juli 2022 um 15:00 Uhr wieder auf das Niveau der Vorwoche zurückgekehrt sei. Der gemeldete Wirkungszeitraum betrug 61 Stunden und 25 Minuten, ganz Japan betreffend. [1][5][7]
Der auslösende Vorfall war jedoch deutlich kürzer. Während der Wartung eines landesweiten Transport-Netzwerkrouters im Tama-Netzzentrum führte eine fehlerhafte Routeneinstellung dazu, dass der Verkehr für ungefähr fünfzehn Minuten unterbrochen wurde. Die Einstellung wurde wieder auf den alten Wert gesetzt, die Störung war damit nicht beendet. [1][5]
Geräte und Geräteausrüstung haben wiederholt Standort-Registrierungsanfragen erneut gesendet. VoLTE-Knoten gerieten in Überlastung, eine verteilte Verarbeitung über das landesweite Transportnetz verteilte den Druck auf andere VoLTE-Knoten. [1][5][9]
KDDI schätzte rund 22,78 Millionen betroffene Sprachnutzer und mindestens 7,65 Millionen betroffene Datennutzer ohne Konsolidierung. Mit Okinawa Cellular sind es etwa 23,16 Millionen Sprachnutzer und mindestens 7,75 Millionen Datennutzer. Es handelt sich um Serviceauswirkungs-Schätzungen, nicht um eine Zählung eindeutiger Personen. [1][5][14]
KDDI sagt, die Reaktion auf die Verwaltungsanweisung beruhe auf einem falschen Verfahrensdokument; Freigabe- und Rollback-Kontrollen hätten einer Überarbeitung bedurft; die automatische Überlastungssteuerung war unzureichend; beschädigte Sicherungskopien beeinflussten einige Neustarts; und Inkonsistenzen im Abonnentenstatus erschwerten die Wiederherstellung. [8][9]
Der offizielle Diet-Datensatz sagt, dass 119-Anrufvolumina von KDDI etwa 63 Prozent unter dem Normalniveau lagen und 110-Anrufvolumina etwa 45 Prozent unter Normal lagen; andere Routen trugen mehr Anrufe. Das sind beobachtete Volumenänderungen, kein Beweis, dass jeder Notrufversuch fehlschlug. [20]
KDDI gab termbasierte Rückerstattungen und eine Entschuldigungsrückerstattung an und schätzte die finanziellen Auswirkungen auf rund 7,5 Milliarden Yen. Serviceauswirkungszahlen, Erstattungszahlen und einzelne Personen sind getrennte Messgrößen. [1][11]
Verantwortlichkeit endet nicht mit der Identifikation einer falschen Einstellung. Sie reicht über Verfahrenstreue, Expertenprüfung, Freigabebelege, Rollback-Zeitpunkt, Tests für abnorme Zustände, Beobachtbarkeit von Überlastung, Backup-Integrität, Wiederherstellungsberechtigung und servicebezogene Wiederherstellungsmessung.
KDDI veröffentlichte viele Korrekturmaßnahmen, etwa strengere Verfahrensteuerung, Überlastungswerkzeuge, aktivierte Flusskontrolle, Topologieänderungen, Wiederherstellungsautomatisierung, Qualitätssteuerung und verbesserte Kommunikation. Eine veröffentlichte Maßnahme ist ein Beleg für Verpflichtung, aber kein vollständiger Beweis für die Entfernung jeder Fehlerklasse. [9][10][15][17]
Japans spätere Notfall-Roaming-Dienste schaffen einen alternativen Weg bei Großausfällen. Sie sollten als begrenzte Resilienz betrachtet werden, nicht als Ersatz für die Beseitigung von Schwächen im eigenen Netz oder als eine Politik, die einzig durch dieses Ereignis ausgelöst wurde. [22]

Die erste Verantwortlichkeitsfeststellung ist die Zeitdifferenz

KDDI’s öffentliche Chronologie enthält zwei sehr verschiedene Uhren.

Die erste Uhr deckt die initiale Routing-Unterbrechung ab.

Während der Wartung eines Routers im landesweiten Transportnetz führte eine fehlerhafte Routeneinstellung dazu, dass ein Teil des Verkehrs über diesen Router stoppte. KDDI beschreibt die Unterbrechung als ungefähr fünfzehn Minuten. Die Konfiguration wurde wieder auf den alten Stand gesetzt. [1][5]

Die zweite Uhr deckt die Wirkung auf Kund:innen und Services ab.

KDDI sagt, die Kommunikationsstörung habe am Samstag, 2. Juli 2022 um 1:35 Uhr begonnen. Die Sprach- und Datennutzung sei am Montag, 4. Juli um 15:00 Uhr auf ein Niveau ähnlich wie in derselben Woche zurückgekehrt. Das sind 61 Stunden und 25 Minuten. Eine weitere gruppenbezogene Prüfung der Kundennutzung und Verkehrsnormalität wurde am 5. Juli gemeldet. [1][7]

Es wäre falsch, dies als 61-stündigen Routingfehler zu bezeichnen. Es wäre auch falsch, es als fünfzehnminütigen Ausfall zu bezeichnen.

Der Routenfehler war der Auslöser. Der lange Vorfall war ein Wiederherstellungsproblem mit Signalisierungsbelastung, VoLTE-Knoten, Abonnenten-Authentifizierung, inkonsistentem Zustand, beschädigtem Backup-Material und Betriebsentscheidungen dazu, welche Komponenten wann isoliert werden. Die Unterscheidung ist zentral, weil Verantwortung für einen Auslöser und Verantwortung für eine Verstärkung nicht identisch sein müssen.

Ein Operator kann eine falsche Änderung vornehmen und diese dennoch schnell begrenzen, wenn die Änderung begrenzt ist, Rollback-Annahmen realistisch sind und nachgelagerte Systeme den kurzfristigen Fehler tolerieren. Er kann aber auch eine kurzlebige Änderung einleiten, die andernorts einen dauerhaften Zustand erzeugt. Geräte wiederholen den Versuch. Warteschlangen wachsen. Datenbanken erhalten wiederholte Abfragen. Replizierte Zustände driften auseinander. Wiederherstellungsmaßnahmen erhöhen zusätzlich die Last. Komponenten starten in einen abnormen Zustand neu.

Die Beobachtbarkeit verschlechtert sich, weil jede Alarmierung gleichzeitig einsetzt.

Die verantwortungsrelevante Frage ist daher nicht bloß: "Wer hat die falsche Einstellung eingegeben?"

Sie lautet:

Wer genehmigte die Arbeit und auf welcher Evidenz?
Welches Wirkungsmodell legte die Rollback-Grenze fest?
Welche nachgelagerten Verhaltensweisen waren getestet?
Welche Telemetrie zeigte, dass der Rollback den Service nicht wiederhergestellt hatte?
Wer hatte die Berechtigung, Knoten zu isolieren und Last abzubauen?
Welcher belastbare Zustand war für die Wiederherstellung verfügbar?
Welche Service-Tests definierten die Wiederherstellung?

Eine schuldzuschreibende Prüfung neigt dazu, die Kette auf die Person am nächsten zur Kommandozeile zu reduzieren. Eine kontrollenorientierte Prüfung betrachtet die Institutionen, die die Arbeit entwarfen, das Risiko freigaben, das Verhalten des Netzes im abnormen Zustand gestalteten und entschieden, wann Kund:innen mit Wiederherstellung informieren konnten.

KDDI’s eigener Bericht zur regulatorischen Reaktion weist in diese Richtung. Er beschreibt die Verwaltung von Verfahrensdokumenten, Expertenprüfung, Freigabe-Evidenz, Rollback-Kriterien, Überlastungskonzeption, Wiederherstellungsverfahren und Qualitätssteuerung. [9] Daraus folgt für den Betreiber: Eine Netzänderung ist nicht eine Tastatureingabe eines einzelnen Technikers. Sie ist ein organisatorisches Kontrollobjekt.

Wie eine Routenänderung zu einer Signalisierungskaskade wurde

Mobile Dienste hängen von umfangreicher Signalisierung ab, die Kund:innen nicht sehen.

Ein Telefon muss nachweisen, dass es am Netz hängt und den Bereich kennt, in dem es erreichbar ist. Für einen VoLTE-Sprachdienst muss das Netz wissen, wo der Abonnent registriert ist und welche Steuerungsfunktionen einen eingehenden oder ausgehenden Anruf aufbauen können. Datendienste benötigen ebenfalls Abonnenten-Authentifizierung und Sitzungszustand. Diese Vorgänge umfassen Nachrichten zwischen Geräten, Mobilnetzfunktionen, VoLTE-Knoten und Abonnenten-Datenbanken.

Unter normalen Bedingungen ist diese Signalisierung nur ein kleiner Teil des wahrgenommenen Kundenwertes. Die sichtbare Leistung ist ein Anruf, eine Nachricht oder eine Datensitzung. Die verborgene Voraussetzung ist eine Folge erfolgreicher Registrierung, Authentifizierung, Richtlinien- und Routing-Austausche.

KDDI’s technische Darstellung sagt, dass die fehlerhafte Routen-Einstellung dazu führte, dass Standort-Registrierungsanforderungen verworfen wurden. Danach sendeten Geräte und Ausrüstung diese Anforderungen erneut. Die Wiederholungsrate stieg schnell. VoLTE-Knoten in Tama wurden überlastet, und die verteilte Verarbeitung über das landesweite Transportnetz verteilte den Druck auf VoLTE-Knoten an anderen Standorten. [1][5]

Die Abonnenten-Datenbank wurde dann Teil der Kaskade. KDDI erklärt, dass VoLTE-Knoten und die Ausrüstung für Mobilnetze die Datenbank für Authentifizierung abfragen. Wiederholte Signalisierung erzeugte daher wiederholte Datenbanklast. Das System hatte nicht einfach zu viele Kundenanrufe. Es hatte zu viele Kontrollanfragen, die durch unvollständige Registrierung und Wiederholungsverhalten entstehen.

Diese Unterscheidung ist für Technik und Verantwortlichkeit wichtig.

Gewöhnliche Kapazitätsplanung fragt, wie viele gleichzeitige Anrufe, Datensitzungen oder Abonnenten ein Knoten tragen kann. Planung für den abnormen Zustand fragt, wie sich das System verhält, wenn Nachrichten im Transaktionsverlauf teilweise fehlschlagen und von Millionen Geräten erneut versucht werden. Letzteres kann ein Lastprofil erzeugen, das sich von Spitzenkundennachfrage unterscheidet.

Ein Retry-Mechanismus ist normalerweise eine Zuverlässigkeitsfunktion. Er schützt Nutzer:innen vor Paketverlust oder kurzfristiger Unterbrechung. Im nationalen Maßstab können synchronisierte oder unzureichend begrenzte Wiederholungen zu einem Lastmultiplikator werden. Eine Anfrage scheitert; das Gerät versucht erneut; die Netzfunktion versucht erneut; die Datenbank sieht wiederholte Authentifizierungslast; langsame Antworten halten mehr Transaktionen offen; und die wachsende Warteschlange erzeugt mehr Timeouts und Wiederholungen.

Der Fehler durchläuft deshalb mehrere Kontrollflächen:

Routingsteuerung:ob Verkehr den vorgesehenen Pfad erreicht.
Retry-Steuerung:wie Geräte und Systeme reagieren, wenn erwartete Antworten ausbleiben.
Zulassungssteuerung:ob überlastete Knoten neue Arbeit sicher ablehnen, verzögern oder formen.
Databaseschutz:ob Authentifizierungs- und Abonnenten-Zustandssysteme wiederholte Nachfrage begrenzen können.
Verteilungssteuerung:ob Lastverteilung den Fehler enthält oder ausbreitet.
Wiederherstellungssteuerung:ob Reagierende Quellen exzessiver Signalisierung identifizieren und isolieren können.

KDDI sagt, dass Flussratenkontrollen eingesetzt wurden, um Datenbanküberlastung zu reduzieren, aber exzessive Signalisierung setzte sich fort. Letztlich wurden sechs von achtzehn VoLTE-Knoten, die den fortlaufenden abnormen Anforderungen zugeordnet waren, getrennt. [1][5]

Diese Maßnahme zeigt einen schwierigen Wiederherstellungskompromiss. Kapazitätsentzug kann schädliche Last reduzieren, wenn konkrete Knoten diese erzeugen, kann aber auch weniger Kapazität für legitime Services lassen. Die Entscheidung braucht zuverlässige Telemetrie und Befugnis. Reagierende müssen wissen, ob ein Knoten Folge nachgelagerter Überlastung, Quelle wiederholter Anforderungen oder beides ist.

Der öffentliche Datensatz zeigt nicht jeden Paketpfad, Timer oder Schwellenwert. Er belegt aber, dass das Verhalten des Systems im abnormen Zustand entscheidend war. Der Vorfall gehört in die Verantwortlichkeit der Netzwerkinfrastruktur, weil der Schaden durch das Zusammenspiel von Transport-Routing, Signalisierungskontrolle, Sprachfunktionen und Abonnentenstatus entstand.

Warum die Rücksetzung der Route keine Wiederherstellung war

Rollback wird oft als sicherste Antwort auf eine fehlerhafte Änderung gesehen. Der KDDI-Fall zeigt, warum diese Annahme Grenze hat.

Das Wiederherstellen einer Konfiguration kann den Zustand wiederherstellen, der vor der Änderung bestand. Es kann den durch die Änderung erzeugten Zustand nicht automatisch löschen.

Während der Unterbrechung erlebten Geräte und Systeme unvollständige Registrierung und erzeugten Wiederholungen. Warteschlangen und Datenbanklast änderten sich. Einige Knoten gingen in Überlastung. Abonnenten-Sitzungsinformationen wurden inkonsistent. KDDI sagt in einer späteren Reaktion, dass einige VoLTE-Knoten beschädigte Backup-Dateien geladen und in einem abnormen Zustand neu gestartet haben, was weitere Standort-Registrierungswiederholungen verursachte. [9]

Das Netzwerk nach Rollback war daher nicht das Netzwerk vor der Änderung.

Dies ist eine allgemeine Eigenschaft zustandsbehafteter Infrastruktur. Eine zustandslose Routing-Eintragung lässt sich schnell wiederherstellen, aber Dienste, die von der Route abhängen, können Folgendes aufrechterhalten:

offene Transaktionen;
Retry-Timer;
veraltete Sitzungen;
inkonsistente Replikate;
unvollständige Authentifizierungszustände;
beschädigte Warteschlangen;
zwischengespeicherte Fehler;
überlastete Prozesse;
bereits laufende Wiederherstellungsaktionen.

Change-Pläne sollten Konfigurations-Rollback von Service-Rollback unterscheiden.

Ein Konfigurations-Rollback-Test fragt, ob die alten Bytes oder Kommandos wiederhergestellt wurden. Ein Service-Rollback-Test fragt, ob Nutzer:innen wieder registrieren, authentifizieren, anrufen und Datensitzungen ohne abnormen Fehler oder Last aufbauen können. Ein Zustand-Rollback-Test fragt, ob Datenbanken, Warteschlangen, Caches und Knoten-Backups konsistent genug sind, um diesen Service zu tragen.

Diese Tests können zur selben Zeit zu unterschiedlichen Ergebnissen führen.

KDDI’s veröffentlichte Maßnahmen beinhalten die Überarbeitung der Zeit bis zum Rollback, sodass Überlastung in nachgelagerten Diensten berücksichtigt wird. [9] Das ist eine sinnvolle Steuerung und erkennt an, dass zu langes Warten aus einem zunächst reversiblen Netzzustand einen zustandsbehafteten Krisenzustand machen kann.

Doch ein früheres Rollback-Limit ist allein nicht genug.

Der Operator braucht außerdem ein Modell dafür, was innerhalb der erlaubten Zeitfensters ansammeln kann. Wie viele Registrierungswiederholungen können entstehen? Welche Datenbank erreicht zuerst die Sättigung? Welcher Netzbereich kann isoliert werden? Welcher Service bleibt während Isolation verfügbar? Was passiert, wenn die Route zurückkehrt, aber Millionen Geräte gemeinsam wieder versuchen?

Der Wiederherstellungsplan sollte Trigger auf Servicegesundheit statt nur Router-Zustand stützen:

plötzlicher Verlust von Registrierungs-Erfolg;
Wachstum unvollständiger Anforderungen;
VoLTE-Knoten Warteschlangentiefe;
Antwortzeit der Abonnenten-Datenbank;
Authentifizierungs-Ablehnungsrate;
Retry-Volumen nach Region oder Knoten;
Anrufaufbau und -abschluss;
Aufbau von Datensitzungen;
Notruf-Erfolg.

Rollback bleibt essenziell. Die Lehre ist, dass sein Umfang auf das System passen muss.

Für ein zustandsbehaftetes nationales Mobilfunknetz ist "die alte Route ist zurück" ein technischer Zwischenstand. Es ist kein Wiederherstellungszertifikat.

Ein Verfahrensdokument ist Teil der Produktionssteuerung

KDDI sagt, der November-Bericht stelle fest, dass ein fehlerhaftes Arbeitsverfahren genutzt wurde. Er beschreibt Überarbeitungen der Verwaltung von Verfahrensdokumenten, Expert:innen-Review und Freigaben. [9]

Das könnte administrativ erscheinen. Es ist operativ konkret.

Der Befehl, der während der Wartung eingegeben wurde, entsteht in einer Kette:

ein beabsichtigtes Netzwerkziel;
ein Design- oder Änderungsantrag;
eine Verfahrensvorlage;
gerätebezogene Anweisungen;
Peer- oder Expertenprüfung;
Freigabe;
Terminierung;
Ausführung;
Verifikation;
Rollback.

Wenn die falsche Prozedur ausgewählt werden kann, ist das Produktionssystem exponiert, bevor jemand am Router eingeloggt ist. Dokumentenkontrolle ist deshalb Teil der Steuerungsebene.

Ein verlässliches Verfahrenssystem sollte beantworten:

Welche Vorlage war verbindlich?
Welche Netzmodellannahmen und Softwareversion galt?
Wer erstellte und prüfte die Endanweisungen?
Was änderte sich gegenüber der letzten freigegebenen Version?
Für welches Gerät oder welche Topologie war das Verfahren vorgesehen?
Welche Evidenz belegte, dass Simulation oder Laborergebnisse mit der Produktion übereinstimmten?
Welche Risikoklasse und welches Freigabeniveau galten?
Welche Prüfungen mussten vor dem nächsten Schritt bestanden werden?
Wie sollte das Verfahren gestoppt oder zurückgesetzt werden?

Das Schlüsselkriterium ist Evidenz.

Ein zweiter Check kann zu formaler Übung werden, wenn der Reviewer nur ein Enddokument ohne vorgesehenen Zustand, Topologie, Diff oder erwartete Ausgaben sieht. Freigabe kann formal werden, wenn die freigebende Person nur ein Kontrollkästchen statt der Folge eines Fehlers sieht.

KDDI sagt, die Prozesse seien so geändert worden, dass kompetente Mitarbeitende Verfahren prüfen, diese Prüfungen dokumentieren und Freigeber die Belege bestätigen. Es wird auch über ein Verfahrenmanagementsystem berichtet. [9]

Diese Maßnahmen sollten danach bewertet werden, was sie verhindern.

Ein Managementsystem sollte es schwierig machen:

ein Verfahren für die falsche Gerätklasse zu nutzen;
eine veraltete Version auszuführen;
eine notwendige Expertenprüfung zu überspringen;
eine nicht getestete Befehlsfolge zu genehmigen;
Anweisungen nach Freigabe zu ändern, ohne die Freigabe zu entwerten;
fortzufahren, wenn erwartete Ausgaben voneinander abweichen;
den Nachweis darüber zu verlieren, was tatsächlich ausgeführt wurde.

Hochkritische Netzwerkarbeiten brauchen zusätzlich eine maschinell prüfbare Ebene, wo möglich. Intendierte Routenänderungen können mit Topologie und Richtlinie verglichen werden. Konfigurations-Diffs können geprüft werden. Labor- oder Digital-Twin-Tests können erwartete und abnorme Pfade üben. Vor- und Nach-Änderungs-Sonden können automatisiert werden. Grenzwerte können verhindern, dass Befehle mehr Knoten oder Präfixe betreffen als zugelassen.

Automatisierung entfernt nicht die menschliche Verantwortlichkeit. Sie verändert die Evidenz, die menschlichen Entscheidungsträgern zur Verfügung steht.

Der Betreiber bleibt verantwortlich für die Festlegung dessen, was die automatisierte Kontrolle beweisen muss, wie Ausnahmen autorisiert werden und was geschieht, wenn der beobachtete Zustand vom Plan abweicht. Ein System, das nur Syntax automatisch bestätigt, kann dennoch eine semantisch gefährliche Route freigeben.

Das KDDI-Ereignis macht Verfahrenslenkung sichtbar als Infrastrukturlenkung. Das Dokument war kein Randpapieren neben dem Netz. Es war die ausführbare Beschreibung von Produktionsvollmacht.

Risikoklassifikation sollte nach Auswirkungsradius folgen, nicht Wartungsvertrautheit

Routinearbeit kann ein außergewöhnliches Risiko tragen.

Eine Aufgabe mag einem erfahrenen Team vertraut sein, einen bekannten Befehl nutzen und in einem geplanten Wartungsfenster stattfinden. Keiner dieser Umstände bestimmt die potenzielle Kund:innenwirkung.

KDDI sagt, es habe die Risikoanalyse und Freigabestufen entsprechend dem Schadensausmaß im Fehlerfall revidiert. Es erweiterte zudem Zeitfenster, in denen bestimmte Arbeiten rund um wichtige Ereignisse unterdrückt würden. [9]

Das ist ein wichtiger Schritt von alleiniger Wahrscheinlichkeit zu Auswirkung.

Risikoklassifikation für einen landesweiten Transportrouter sollte berücksichtigen:

die Anzahl und Art der durchlaufenden Services;
ob ein Fehler Registrierung oder Authentifizierung betreffen kann;
wie Wiederholungen sich ausbreiten;
ob Lastverteilung den Fehler verstärkt;
die Unabhängigkeit redundanter Pfade;
Notruffunktionen;
Abhängigkeiten von MVNO und Unternehmen;
die Fähigkeit zur Beobachtung und Isolation der Änderung;
die Zeit, bis der Zustand schwer rückgängig zu machen ist;
die getestete Kapazität von Fallback-Systemen.

Eine Änderung mit geringer geschätzter Fehlerwahrscheinlichkeit kann trotzdem die höchste Freigabestufe und Testanforderung brauchen, wenn ihr Fehler nationale gemeinsam wirkende Schäden verursachen kann.

Die Klassifikation muss auch ein zeitliches Risiko berücksichtigen. Ein Wartungsfenster mit niedriger Alltagsverkehrslast minimiert nicht automatisch Signalisierungsrisiko. Viele Geräte können auf einen Fehler sofort reagieren, unabhängig davon, ob Menschen aktiv anrufen. Eine ruhige Kundennutzungsstunde ist nicht zwangsläufig ruhige Registrierungsstunde.

Auch ein Ereignisunterdrückungs-Kalender ist nur eine Kontrolle. Große öffentliche Ereignisse, extremes Wetter oder Wahlen können die Folgen einer Störung erhöhen, aber gewöhnliche Nächte enthalten trotzdem Notrufe, Logistik, vernetzte Geräte, Transportabläufe und kritische Pflege.

Die stärkere Kontrolle ist ein expliziter Auswirkungsradius-Budget.

Vor Arbeitsbeginn sollte der Betreiber festlegen:

maximale betroffene Knoten;
maximale betroffene Geografie;
maximale Dienstunterbrechung;
maximales Registrierungsversagen;
maximale Zeit bis zum Rollback;
maximale nachgelagerte Wiederherstellungszeit;
Bedingungen, die sofortige Isolation erfordern;
die während der Arbeit verfügbare Fallback-Kapazität.

Beobachtete Metriken sollten in Echtzeit mit diesem Budget verglichen werden. Wenn die Änderung irgendeine Grenze überschreitet, sollte die Fortführung eine neue Autorisierung verlangen, nicht die Annahme, dass die ursprüngliche Freigabe weiterhin gilt.

Dieser Ansatz macht aus "routine maintenance" ein begrenztes Experiment. Er erkennt an, dass die Öffentlichkeit nicht die Vertrautheit der Aufgabe erlebt. Sie erlebt, ob das Netz funktioniert.

Überlastungskontrolle muss unter dem vom Fehler erzeugten Zustand getestet werden

KDDI’s Bericht sagt, automatische Überlastungskontrolle habe unter abnormen Bedingungen nicht wie erwartet funktioniert. Später wurden Flusskontrollen aktiviert oder überarbeitet, detaillierte Erkennungstools entwickelt und relevante VoLTE-Verkehrs- und Abrechnungsdesigns geändert. [9][10]

Überlastungskontrolle kann nicht nur unter normaler Spitzenauslastung bewertet werden.

Normale Spitzenlast enthält viele gültige Anforderungen mit erwarteter Zeitstruktur und Verteilung. Ein Vorfall kann wiederholte, unvollständige oder korrelierte Anforderungen erzeugen. Er kann die Hälfte einer Transaktion auf einem Pfad senden und die Antwort verlieren. Er kann Last auf Komponenten konzentrieren, die normale Lastverteilung gleichmäßig verteilt. Er kann mehrere Netzwerkfunktionen dazu bringen, wiederholt gegen dieselbe Abonnenten-Datenbank anzufragen.

Tests sollten daher Fehlerssemantik enthalten:

teilweiser Routenverlust;
asymmetrische Erreichbarkeit;
verzögerte Antworten;
doppelte Anforderungen;
synchronisierte Gerätewiederholungen;
Ausfall von einem von zwei Wegen;
Datenbanklatenz und Inkonsistenz;
Knoten-Neustart unter hoher Last;
verlorenes Monitoring;
Wettbewerb um Wiederherstellungswerkzeuge.

Ziel ist eine kontrollierte Degradation.

Wenn ein Netz nicht jede Anfrage bedienen kann, sollte es essentielle Kontrollfunktionen schützen und genug Kapazität zur Wiederherstellung behalten. Es kann Arbeit früh ablehnen, Backoff anwenden, Regionen trennen, Notrufdienste priorisieren oder einen fehlerhaften Bereich isolieren.

KDDI berichtete die Umstellung eines relevanten VoLTE-Setups von einer landesweiten Vollverbindung auf ein ost-westliches, getrenntes Design und aktivierte eine Flussregelung, um eine Ausbreitung von Überlastung zu reduzieren. [9]

Das Prinzip ist Fehlerbeherrschung.

Verteilung kann die Resilienz verbessern, wenn sie unabhängige Kapazität schafft. Sie kann Resilienz verschlechtern, wenn jeder Knoten am selben Fehler teilnimmt. Eine Vollverbindung kann normale Wege bieten und dennoch abnormale Signalisierung landesweit verbreiten. Regionale Trennung kann Flexibilität einschränken, aber eine kleinere gemeinsame Fehlerdomäne schaffen.

Der öffentliche Bericht beweist nicht die vollständige aktuelle Topologie oder das Ergebnis jedes Tests. Er identifiziert aber eine messbare Aufbereitungsfrage:

Wenn heute derselbe partielle Routenfehler auftritt, wie viele Knoten, Regionen und Abonnenten erreichen Überlastung, bevor Kontrollgrenzen aktiv werden?

Eine belastbare Antwort enthielte Testbedingungen, beobachtete Schwellen, Ablehnungsverhalten, Notruf-Performance und maximale Zeit bis zur Isolierung des betroffenen Bereichs.

Ohne diese Evidenz ist "Wir haben die Topologie geändert" nur eine Designaussage. Mit ihr wird die Änderung zu einer Resilienzsteuerung.

Backup-Integrität und Abonnentenstatus gehören in Ausfallplanung

Backups werden häufig als Sicherheits- oder Datenverlustkontrolle diskutiert. KDDI’s Antwort zeigt die Rolle bei Netzwerkverfügbarkeit.

Der November-Bericht sagt, einige VoLTE-Knoten hätten beschädigte Backups gelesen und befanden sich danach in einem abnormen Zustand. Er beschreibt auch Inkonsistenzen im Zustand der Abonnenten-Datenbank. [9]

Das macht die Nachvollziehbarkeit des Wiederherstellungszustands zentral.

Ein Netz-Knoten erholt sich nicht allein durch Neustart. Er erholt sich dann, wenn Software, Konfiguration und Betriebszustand beim Neustart bekannt-gut und kompatibel mit dem übrigen System sind.

Ein vertrauenswürdiger Wiederherstellungsprozess sollte festlegen:

wann das Backup erstellt wurde;
welche Software- und Konfigurationsversionen enthalten sind;
ob es während Überlastung oder teilweisem Fehler erstellt wurde;
ob die Integrität geprüft wurde;
ob es mit Peers und Abonnentenstatus übereinstimmt;
wer seine Nutzung autorisierte;
welche Service-Tests nach Last bestanden wurden.

Backups, die automatisch während eines Vorfalls erstellt werden, können den Vorfall konservieren.

Wenn ein Knoten einen abnormen Zustand schreibt und dieser Zustand zum nächsten Wiederherstellungsabbild wird, kann der Neustart den Fehler reproduzieren. Wenn replizierte Abonnenten-Datenbanken divergieren, kann das Wiederherstellen einer Kopie Sitzungen ungültig machen oder weitere Registrierungen auslösen. Wenn Reagierende nicht bestimmen können, welcher Zustand verbindlich ist, trägt jede Korrekturmaßnahme neues Risiko.

Die Antwort ist nicht, automatisierte Sicherung abzuschaffen. Sie ist, operative Kontrollpunkte von unabhängig validierten Wiederherstellungspunkten zu unterscheiden.

Kritische Netzfunktionen sollten Folgendes haben:

unveränderliche oder schreibgeschützte bekannte gute Konfiguration;
signierte Software- und Konfigurationsmanifeste;
Konsistenzprüfungen über replizierte Zustände;
Quarantäne für Backups aus abnormen Bedingungen;
getestete Reset-Verfahren;
einen sauberen Managementpfad;
gestufte Neustarts mit Serviceproben;
expliziter Rollback aus der Wiederherstellungsaktion selbst.

KDDI sagt, es habe Knoten-Neu-Start-Verfahren überarbeitet und Werkzeuge entwickelt, um Überlastung auf mehreren VoLTE-Knoten zu erkennen und zu entlasten. [9] Diese Maßnahmen adressieren Wiederherstellungsgeschwindigkeit. Die Beweispflicht ist zu zeigen, dass sie auch Zustandintegrität schützen.

Für einen Mobilfunkbetreiber sind Konfiguration, Abonnentenstatus und Wiederherstellungsbeteiligung alles Verfügbarkeitsressourcen. Ein Backup, das unter Last nicht vertrauenswürdig ist, ist kein Resilienzvermögen.

Auswirkungszahlen brauchen disziplinierte Interpretation

Große Vorfälle erzeugen mehrere große Zahlen. Sie beantworten unterschiedliche Fragen.

KDDI schätzte rund 22,78 Millionen betroffene Sprachnutzer und mindestens 7,65 Millionen betroffene Datennutzer ohne Konsolidierung. Mit Okinawa Cellular eingeschlossen wurden rund 23,16 Millionen Sprachnutzer und mindestens 7,75 Millionen betroffene Datennutzer geschätzt. Der Betreiber erklärt, dass die Voice- und Daten-Schätzungen unterschiedliche Methoden auf Basis von Gesprächs- oder Registrierungsabweichungen aus einer Vergleichsperiode nutzten. [1][5][14]

Diese Zahlen dürfen nicht addiert werden, um mehr als dreißig Millionen eindeutige Menschen zu behaupten.

Eine Person kann beide Dienste nutzen. Ein Konto kann mehrere Linien enthalten. Eine Datenauswirkungszählung basierend auf Registrierungsunterschieden ist nicht identisch mit der Zahl der Kund:innen, denen eine Sitzung scheiterte. "Betroffen" kann degradierte, intermittierende oder ungenügende Servicezustände bedeuten statt einer einheitlichen Bedingung.

Rückerstattungszahlen beantworten eine andere Frage.

KDDI kündigte für 2,71 Millionen KDDI-Kund:innen und 70.000 Okinawa Cellular-Kund:innen Leistungen nach definierten Servicebedingungen an. Zusätzlich kündigte es eine 200-Yen-Entschuldigungserstattung für 35,89 Millionen KDDI-Kund:innen und 660.000 Okinawa Cellular-Kund:innen in abgedeckten Serviceklassen an. [1]

Diese Populationen spiegeln Vertrags- und Politikentscheidungen wider. Sie sind kein technisches Maß für gleichzeitige Auswirkung.

Der ungefähr 7,5-Milliarden-Yen-Finanzierungsaspekt, der von KDDI genannt wird, ist eine weitere Kennzahl. [11] Er bildet die erwarteten Geschäftsfolgen unter den buchhalterischen und Rückerstattungsannahmen von KDDI ab und misst nicht jedes verlorene Transaktion, verpassten Notrufkontakt, verspätete Lieferung, gestörte vernetzte Geräte oder Kundenzeitkosten.

Ein belastbares Wirkungskonto bewahrt alle vier Dimensionen:

Serviceauswirkung:welche Funktionen nicht verfügbar oder degradiert waren.
Beobachtete Nutzung:Anrufe, Registrierungen und Transaktionen im Vergleich zu Normal.
Leistungen für Kund:innen:welche Accounts für welche Rückerstattung qualifizierten.
Wirtschaftliche Folge:direkte Betreiberkosten und gesellschaftliche Gesamtkosten.

Das Aufblähen einer Zahl schwächt die Analyse. Die stärkere Schlussfolgerung braucht keine Aufblähung.

Der Vorfall war national, langanhaltend und folgenreich, weil ein Kernsteuerungsfehler kritische mobile Dienste und abhängige Systeme traf. Präzise Messung sollte diese Schlussfolgerung glaubwürdiger machen, nicht weniger dramatisch.

Notrufe machen Verfügbarkeit zur öffentlichen Pflicht

Mobilfunkausfälle werden zu Ereignissen der öffentlichen Sicherheit, wenn Menschen Notrufe nicht zuverlässig erreichen.

Der offizielle Diet-Eintrag liefert ungewöhnlich konkrete Evidenz. Er sagt, dass 119-Anrufvolumina von KDDI etwa 63 Prozent unter dem Normalen lagen während des Vorfalls. Anrufe von Mobiltelefonen nicht von KDDI und anderen Routen stiegen. Er sagt, dass 110-Volumina von KDDI etwa 45 Prozent unter Normal lagen, während Anrufe anderer Betreiber und öffentlicher Telefone zunahmen. [20]

Diese Werte erfordern präzise Sprache.

Sie zeigen eine große Veränderung beobachteter Anrufvolumen je Ursprungspfad. Sie zeigen nicht jeden versuchten Anruf, die Absicht, eine Fehlermeldung auf dem Gerät, ob jede Alternativverbindung stand und welchen Ausgang jede Notfallanfrage hatte.

Sie zeigen dennoch Abhängigkeit.

Wenn ein nationales Mobilfunknetz ausfällt, verschwindet Notrufnachfrage nicht. Einige Nutzer:innen leihen ein anderes Gerät, nutzen Festnetz oder öffentliche Telefone. Andere haben keine Alternative. Zuwachs bei verbleibenden Netzen und Callcenter kann ein sekundäres Risiko werden.

Notrufkontinuität braucht daher Evidenz jenseits normaler Sprachverfügbarkeit:

Call-Setups zu 110, 118 und 119;
Handhabung der Anruferstandorte;
Rückruffähigkeit;
Priorisierung und Überlastungsbehandlung;
Zugriff für MVNOs;
Zugänglichkeit für Menschen mit Behinderung;
regionale Leistung;
Hinweise an Nutzer:innen, wenn das Primärnetz ausfällt;
lastenabhängige Übertragung auf alternative Netze.

KDDI’s Reaktion beschreibt intensivere Kommunikation mit Notruforganisationen und Beteiligung an Arbeiten an alternativen Kommunikationswegen sowie überbetrieblichem Roaming. [9][10]

Diese Kontrollen behandeln unterschiedliche Probleme.

Bessere Benachrichtigungen helfen Behörden und Nutzer:innen die Störung zu verstehen. Alternative Wege helfen Anrufe aus dem ausgefallenen Netz rauszubekommen. Keine davon ersetzt die Betreiberpflicht, den eigenen Notrufpfad robust zu halten.

Der öffentliche Verantwortlichkeitsstandard sollte der Wirkung folgen. Ein Betreiber kann kommerzielle Wiederherstellung für Voice melden, während Notrufstandorte, Rückruf oder Überlastung weiter beeinträchtigt sind. Die Service-Matrix muss deshalb Notruffunktionen isoliert prüfen und nicht als eine Position innerhalb der Gesamtnetz-Talkleistung behandeln.

Praktische Kontrolle war geteilt, aber nicht gleichmäßig

Netzvorfälle umfassen viele Akteure. Verantwortlichkeit sollte dem entsprechen, was jede Instanz tatsächlich verhindern, erkennen, begrenzen, offenlegen oder reparieren konnte.

KDDI

KDDI kontrollierte den Wartungsprozess, die Verfahrenskontrolle, Arbeitsfreigabe, Routing-Konfiguration, Rollback-Kriterien, Netzwerküberwachung, VoLTE-Knotenbetrieb, Wiederherstellung der Abonnenten-Datenbank, Service-Messung, Kundenkommunikation und an die Aufsichtsgremien gelieferte Evidenz.

Das bedeutet nicht, dass KDDI jedes Produktverhalten steuerte oder jede Fehlfunktion verhindern konnte. Es bedeutet, dass der Betreiber die stärkste praktische Autorität über Produktionsumgebung und Wiederherstellung hatte.

Equipment- und Software-Lieferanten

Lieferanten können Knoten-Software, Datenbankverhalten, Retry-Charakteristika, Dokumentation hoher Last, Backup-Formate und technischen Support kontrollieren. KDDI sagt, es habe Informationen von Herstellern bezogen und Hochlastverhalten getestet. [9]

Der eingefrorene Datensatz offenbart nicht die vollständige Lieferantenkette, Verträge oder Fehlerfunde. Es wäre unverantwortlich, einen benannten Lieferanten als Ursache zu benennen. Die verantwortungsbezogene Anforderung ist, dass der Betreiber weiß, welche Lieferantenbeweise erforderlich sind und die Autorität behält, den Service zu sichern, wenn ein Produkt unerwartet agiert.

Ministerium und Aufsichtsinstanzen

Das Ministry of Internal Affairs and Communications erhielt den Bericht über schwerwiegende Unfälle, erließ Verwaltungshinweise und nutzte Prüfungstrukturen, um den Vorfall und breitere Probleme in Telekommunikationsunfällen zu untersuchen. [3][8][9][21]

Aufsicht umfasst Anforderung von Evidenz, Festlegen von Berichtserwartungen und Entwicklung sektoraler Resilienzregeln. Sie betreibt nicht die KDDI-Router oder die Wiederherstellung des Abonnentenstatus.

Notdienste, MVNOs und Unternehmenskund:innen

Diese Akteure halten Abhängigkeits- und Auswirkungsbelege. Ein MVNO kann beobachten, dass Nutzer nicht einhaken oder nicht anrufen können. Ein Unternehmen kann Ausfälle vernetzter Geräte oder logistischer Funktionen melden. Notfallorganisationen können Veränderungen in Anrufvolumina und Standorten messen.

Sie steuern den ausgefallenen Kern von KDDI nicht. Ihre Kontinuitätsplanung kann Schaden reduzieren, überträgt aber nicht die primäre Infrastrukturverantwortung vom Betreiber.

Nutzende

Nutzer:innen können wo möglich alternative Kontaktwege bereithalten, aber viele können wirtschaftlich kein nationales Mobilfunkangebot vollständig duplizieren. Öffentliche Telefone, Wi-Fi, ein zweiter Betreiber oder Festnetz können helfen. Diese sind begrenzte Milderungsmaßnahmen, keine faire Antwort auf einen systemischen Kernfehler.

Diese Zuweisung verhindert zwei Fehler.

Der erste ist die Schuldzuschreibung an die nächste Person oder Komponente für ein System, das durch viele Kontrollentscheidungen geformt wird. Der zweite ist eine Aufteilung der Verantwortlichkeit so weit, dass keine Institution zuständig bleibt.

KDDI trug die stärkste Verantwortlichkeitslast, zu zeigen, warum ein kurzer Routingfehler zu einer langanhaltenden nationalen Störung wurde und wie dieselbe Kette jetzt begrenzt ist.

Remediation sollte als verknüpftes Evidenzpaket getestet werden

KDDI veröffentlichte ein umfangreiches Korrekturprogramm. Der November-Bericht und spätere Offenlegungen beschreiben:

stärkere Verfahrensdokumentenverwaltung;
Expert:innen-Review mit vorgehaltenen Belegen;
überarbeitete Freigabemethoden;
klarere Kriterien für Service-Normalität;
Rollback-Zeitpunkte unter Berücksichtigung der Überlastung;
Auswirkungsbasierte Risiko-Klassifikation der Arbeiten;
erweiterte Regeln zur Arbeitssperre;
detaillierte Überlastungs-Erkennungstools;
Änderung von Verkehrswegen und Topologie;
aktivierte Flussregelung;
Überprüfung anderer mobiler Systeme auf ähnliche Fehlerklassen;
überarbeitete Reset- und Wiederherstellungsverfahren;
Werkzeuge zur Mehrknoten-Lastentlastung;
Änderungen in der Qualitätssteuerung;
großskalierte Übungen;
verbesserte öffentliche und Stakeholder-Kommunikation. [9][10][15][17]

Die Liste ist bedeutend. Sie darf nicht mit einem bloßen Katalogbeweis verwechselt werden.

Kontrollen interagieren. Ein stärkerer Verfahrensprozess kann den gleichen Routenfehler vermeiden, aber nicht eine semantisch andere Eingabe. Flusskontrolle kann VoLTE-Knoten schützen, aber nicht ein anderes System mit ähnlichem Retry-Verhalten. Regionale Trennung kann Ausbreitung reduzieren und zugleich eine gemeinsame Datenbank oder Managementkennung teilen. Ein Wiederherstellungswerkzeug kann schneller arbeiten, aber denselben ungesicherten Zustand erneut belasten.

Das Remediationspaket sollte jeden beobachteten Fehler mit einer Kontrolle und einem Test verbinden:

Beobachteter Fehler	Abhilfekontrolle	Erforderlicher Nachweis
Falsches Verfahren ausgewählt	Versionierte Verfahrensverwaltung und Expert:innen-Review	Der Versuch, veraltete oder falsche gerätespezifische Verfahren zu nutzen, wird blockiert
Risiko unterschätzt	Auswirkungsbasierte Klassifikation	Nationaler/gemeinsamer Arbeitspfad erhält die erforderliche Freigabe und Testtiefe
Rollback zu spät für nachgelagerte Zustände	Servicebewusste Rollback-Schwelle	Test zeigt Rollback bevor Wiederholungs- und Datenbankgrenzen überschritten sind
Teilweiser Routenfehler verursachte wiederholte Signalisierung	Abnormer Retry- und Flusskontrolle	Lasttest zeigt begrenzte Wiederholungen und Schutz essenzieller Funktionen
Überlastung verbreitete sich landesweit	Regionale Fehlerdomänen und Topologieänderung	Fehlerinjektion bleibt innerhalb der definierten Region oder Kapazitätsgrenze
Quellen der Schäden schwer identifizierbar	Per-Knoten Telemetrie unvollständiger Anforderungen	Erkennung identifiziert Quelle in definierter Zeit
Wiederherstellung nutzte beschädigten Zustand	Validierte Wiederherstellungspunkte und Reset-Verfahren	Gestufter Neustart lehnt fehlerhaften Zustand ab und erhält Konsistenz
Abonnenten-Sitzungen divergierten	Datenbankkonsistenz- und Abgleichkontrolle	Wiederherstellungstest weist autoritären Zustand und begrenzte erneute Registrierung nach
Öffentliche Information unzureichend	Vorlagen für Vorfallkommunikation und dediziertes Team	Übungen liefern zeitnahe Informationen zu Service, Notruf und Wiederherstellung
Alternative Kommunikation begrenzt	Überbetriebliches Roaming und weitere Fallback-Wege	Aktivierungstest zeigt begrenzte Sprach-, Daten-, SMS- und Notruffähigkeit

Die Evidenz muss aktuell und produktionsgebunden sein.

Eine nach dem Vorfall genehmigte Richtlinie beweist nicht, dass die Produktionsumgebung sie umsetzt. Ein Schulungseintrag beweist nicht, dass Reagierende Knoten bei ambulanter Telemetrie isolieren können.

Nützliche Evidenz umfasst:

signierte Verfahrensversionen;
Freigabeprotokolle;
Konfigurations- und Topologie-Hashes;
Testmanifeste;
Fehlerinjektionsresultate;
dienstspezifische Sondierungen;
Messung der Wiederherstellungszeit;
Ausnahmeprotokolle;
unabhängige Überprüfung;
Entscheidungen zum Restrisiko.

Es geht nicht um Vollgeheimnis versus vollständige öffentliche Offenlegung. KDDI kann Befehlsyntax, Zugangsdaten und sensible Topologie geheim halten und dennoch Fehlerklasse, Kontrollziel, Umfang der Prüfung und Sicherheitsresultat veröffentlichen.

Für einen nationalen Betreiber sollte nachhaltige Reparatur für Aufsicht, Exekutive, technische Teams und kritische Kund:innen verständlich bleiben. Sie sollte verständlich bleiben, wenn Personal und Lieferanten wechseln.

Das Wort "wiederhergestellt" benötigt eine dienstspezifische Matrix

KDDI nutzte den Verkehrsabgleich mit der gleichen Tageszeit der Vorwoche als Teil der Wiederherstellungsbestätigung. [1][7]

Das ist hilfreich und unvollständig.

Aggregierter Verkehr kann zurückkehren, während wichtige Transaktionen weiterhin beeinträchtigt sind. Datenmenge kann normal wirken, weil aktive Nutzer mehr Verkehr erzeugen, obwohl manche Geräte nicht registrieren. Sprachminuten können sich erholen, obwohl in einer Region der Call-Setup fehlschlägt oder Notruf-Rückrufe weiterhin eingeschränkt sind.

Eine nationale mobile Wiederherstellungsmatrix sollte enthalten:

Bereich	Minimaler Nachweis
Geräte-Registrierung	Attach- und Standort-Update-Erfolg nach Region, Gerät und Netzwerkgeneration
VoLTE Voice	Call-Setup, Abschluss, eingehende Erreichbarkeit, Handover und Fehlerquoten
Notrufe	110-, 118-, 119-Setup, Standort, Rückruf und Überlastungsbehandlung
Mobile Daten	Authentifizierung, Sitzungsaufbau, DNS und öffentliche/private Erreichbarkeit
SMS	Einreichung, Queue-Verweildauer, Zustellungs- und Fehlergründe
Abonnenten-Datenbank	Latenz, Konsistenz, Sitzungsabgleich und Replikat-Gesundheit
MVNO-Service	Attach, Sprache, Daten, SMS und Support-Pfad-Messungen
IoT und Unternehmen	repräsentative Geräte-Registrierung, Telemetrie und private Netz-Erreichbarkeit
Interconnection und Roaming	Ein- und ausgehende Anrufe sowie Datentransaktionen mit Partnern
Kundenkommunikation	Statusseite, Supportkanäle und barrierearme Ersatzanleitungen

Jeder Bereich sollte funktionale und Kapazitätsgrenzen haben.

Funktionale Wiederherstellung bedeutet, dass eine repräsentative Transaktion erfolgreich ist. Kapazitätswiederherstellung bedeutet, dass der Service die erwartete Last trägt, ohne instabile Warteschlangen oder wiederholte Degradation. Stabilität bedeutet, dass das Ergebnis ansteht. Remediation bedeutet, dass die auslösende Fehlerklasse adressiert und erneut getestet wurde.

Diese Phasen sollten nicht denselben Zeitstempel haben.

Unabhängige Beobachtung ist ebenfalls wichtig. Wenn das Monitoring-System von derselben zu rekonstruierenden Abonnenten-Datenbank oder Managementebene abhängt, kann es nur eine Teilansicht liefern. Externe Sonden, MVNO-Messungen, zwischenbetriebliche Betreiber, Notruforganisationen und stichprobenartige Nutzertransaktionen liefern externe Evidenz.

KDDI’s aktuelle Netzqualitätsbeschreibung sagt, dass die landesweite Netzzustand zentral aus Leitstellen überwacht wird und Standards für Kapazität, Redundanz und verteilte Einrichtungen gelten. [19] Die verantwortliche Frage ist, wie diese allgemeinen Kontrollen genau diese Fehlerklasse nach Remediation messen.

Das Ziel ist nicht, die Wiederherstellung zu verweigern, bis jede Nutzerin/jeder Nutzer bestätigt.

Es geht darum, eine statistisch und operativ belastbare Grenze festzulegen.

Wenn die Öffentlichkeit hört, das Netz sei zurück, sollte das mehr bedeuten als steigenden Verkehr. Es sollte bedeuten, dass kritische Funktionen benannte Tests bestanden haben, Kapazität stabil ist und Restrisiken sichtbar bleiben.

Notruf-Roaming ist ein Fallback, kein Freispruch

Im März 2026 kündigten die großen japanischen Mobilfunkanbieter einen landesweiten Notfall-Roaming-Service für Großkatastrophen und Ausfälle an. Der Service umfasst einen Vollmodus mit Sprache, begrenztem Datenverkehr und SMS sowie einen Modus nur für Notrufe. [22]

Das ist relevante spätere Resilienz-Evidenz.

Er schafft einen alternativen Zugangsweg, wenn das Netz eines Betreibers nicht verfügbar ist. Er kann reduzieren, dass ein Nutzer mit einem Abonnement vollständig isoliert bleibt. Er spiegelt zugleich eine öffentliche Erkenntnis, die mehrere Vorfälle gezeigt haben: Wettbewerb im Einzelhandel führt nicht automatisch zu redundantem Zugang für jede Nutzerin/jeden Nutzer.

Der Service hat Grenzen.

Ein alternativer Betreiber muss Abdeckung und Kapazität aufweisen. Geräte müssen das nötige Verhalten unterstützen. Roaming kann geringere Datengeschwindigkeit haben. Der Nur-Notrufmodus bietet eingeschränkte Funktionen und keinen Rückruf über den beschriebenen nur ausgehenden Pfad. Aktivierung erfordert Koordination und öffentliche Information. Ein Katastrophenszenario kann mehrere Netze gleichzeitig treffen.

Notfall-Roaming repariert das ausgefallene Netz auch hier nicht.

Es sollte nicht schwächen:

interne Änderungssteuerung;
Überlastungsschutz;
Integrität der Abonnentenwiederherstellung;
Notrufdienstdesign;
Wiederherstellungsevidenz;
betreiberseitige Verantwortlichkeit für den Primärausfall.

Der öffentliche Datensatz belegt nicht, dass der KDDI-Vorfall 2022 allein den 2026-Dienst auslöste. Der Diet-Eintrag zeigt, dass überbetriebliches Roaming nach großen Telekomunfällen diskutiert wurde und die späteren Einführungen mehrjährige, multi-operatorische und staatliche Arbeit widerspiegeln. [20][22]

Die verantwortliche Sichtweise behandelt Roaming als eine Ebene in einem Portfolio:

unsichere Änderungen verhindern;
Ausfall im Primärnetz eingrenzen;
vertrauenswürdigen Zustand wiederherstellen;
Prioritätsdienste erhalten;
einen unabhängigen Alternativpfad anbieten;
Beschränkungen klar kommunizieren.

Ausweichoptionen sind am nützlichsten, wenn sie unter denselben Überlastungs- und Nachfragemustern getestet werden, die ihre Nutzung erforderlich machen.

Was der eingefrorene öffentliche Datensatz nicht beweisen kann

Die Quellen stützen eine detaillierte Kontrollanalyse. Sie stützen kein komplettes privates Nachschlagewerk.

Sie können nicht beweisen:

die genauen Routenbefehle;
jedes betroffene Präfix oder jeden Paketpfad;
die Identität oder Entscheidungslogik der Person, die die Arbeit ausführte;
die vollständige Freigabekette;
Lieferant und Version jedes betroffenen Knotens oder jeder Datenbank;
ob ein Lieferantenfehler beitrug;
alle Retry-Timer und Überlastungsschwellen;
Verfügbarkeit nach Region;
alle Notrufversuche;
volle MVNO-, Roaming-, IoT- und Unternehmensauswirkungen;
exakten Kund:innenverlust;
die aktuelle Produktionskonfiguration;
die vollständige Wirksamkeit jeder angekündigten Remediation.

Diese Lücken dürfen nicht verantwortungslos durch Spekulation gefüllt werden.

Offene Fragen sind mit Evidenz testbar, etwa:

versionierte Change-Tickets und Verfahrens-Diffs;
Topologie- und Routenrichtlinien-Simulationen;
Signalisierungs-Telemetrie je Knoten;
Protokolle zur Konsistenz der Datenbank;
Backup-Hashes und Validierungsergebnisse;
Lieferanten-Supportnachweise;
dienstspezifische Proben;
Berichte zu Fehlerinjektionen;
Follow-up-Absicherung durch Aufsichtsinstanzen.

Ungewissheit ist kein Grund, Verantwortlichkeit aufzugeben. Sie definiert die Evidenzanforderung.

Ein wiederverwendbarer Verantwortlichkeitstest für Änderungen im Mobilfunknetz

Der KDDI-Fall unterstützt einen praktischen Standard für hochkritische Telekommunikationsarbeiten.

1. Absicht an eine ausführbare Änderung binden.
Freigegebener Zweck, Topologiemodell, Verfahren, Geräteziele und exakte Konfigurations-Diff sollten in einem versionierten Objekt zusammengeführt werden.

2. Expert:innen-Review evidenzbasiert machen.
Die Reviewer:innen sollten den intendierten Netzstatus, abnorme Pfade, erwartete Ausgaben und Rollback-Bedingungen sehen, nicht nur eine Befehlsliste.

3. Nach maximalem Schaden klassifizieren.
Freigabetiefe sollte den potenziellen Service-, geografischen, Notruf- und Common-Mode-Auswirkungen folgen.

4. Auswirkungsradius als Budget festlegen.
Vor Ausführung: maximale betroffene Knoten, Regionen, Nutzer und Zeit sowie nachgelagerte Zustände definieren.

5. Teilfehler testen.
Teilrouten, asynchrone Routen, doppelte Signalisierung, verzögerte Antworten und Ausfall von einem von zwei Wegen simulieren.

6. Signalisierung und Identitätssysteme schützen.
Retry, Zulassung und Datenbankbedarf so begrenzen, dass ein kurzer Ausfall nicht zum selbsttragenden Lastzyklus wird.

7. Reale Fehlerdomänen schaffen.
Verteilung soll anormale Last enthalten, nicht nur normale Last verteilen.

8. Rollback servicebewusst machen.
Rollback-Kriterien sollten Registrierung, Sprache, Daten und Datenbankgesundheit enthalten, nicht nur die wiederhergestellte Routerkonfiguration.

9. Bekannte gute Zustände bewahren.
Software, Konfiguration und essenzieller Abonnentenwiederherstellungszustand benötigen unabhängige Integritäts- und Herkunftsprüfung.

10. Reagierenden begrenzte Autorität geben.
Teams müssen wissen, wann sie Knoten isolieren, Last senken, Regionen trennen und Fallback aktivieren dürfen.

11. Wiederherstellung pro Transaktion definieren.
Registrierung, Sprache, Notrufe, Daten, SMS, MVNO, IoT, Unternehmen und Supportfunktionen separat messen.

12. Von außen beobachten.
Proben und Partner einsetzen, die nicht vom reparierenden Steuerungsebenen-Pfad abhängen.

13. Fehlerklasse erneut spielen.
Semantische Varianten der Fehlerklasse testen, nicht nur das exakte auslösende Kommando.

14. Remediation an den eingeführten Zustand binden.
Richtlinien und Diagramme müssen auf aktuelle Konfiguration, Testresultate, Ausnahmen und Restrisikoentscheidungen verweisen.

15. Eine begrenzte Alternative aufrechterhalten.
Notfall-Roaming, anderer Betreiber, Festnetz, Wi-Fi oder öffentliche Telefone können den Schaden mindern, müssen jedoch ihre Kapazität und Grenzen getestet und kommuniziert werden.

16. Proportionale Zusicherung veröffentlichen.
Erklären, welcher Fehler auftrat, welche Kontrollklasse geändert wurde, wie sie getestet wurde und was unklar bleibt, ohne sensible Befehle oder Architektur offenzulegen.

Dieser Standard verlangt nicht, dass ein nationales Netz nie ausfällt. Er verlangt, dass Kontrolle dem Auswirkungsradius entspricht und Wiederherstellungsansprüche prüfbar sind.

Fazit

Der KDDI-Ausfall im Juli 2022 begann mit einer fehlerhaften Routenänderung während der Wartung. Die Konfiguration wurde nach einem kurzen Unterbrechungsfenster zurückgesetzt. Die Störung dauerte länger, weil das Netzwerk in einen veränderten Zustand geraten war.

Standort-Registrierungsanfragen wurden wiederholt. VoLTE-Knoten waren überlastet. Die Authentifizierungsnachfrage stieg. Die Abonnenten-Datenbank wurde überlastet und inkonsistent. Teile der Wiederherstellungsdaten waren beschädigt. Sechs von achtzehn Knoten wurden isoliert, während Reagierende versuchten, den Signalisierungsdruck zu reduzieren. Kund:innen erlebten einen gemeldeten Wirkungszeitraum von 61 Stunden und 25 Minuten im landesweiten Sprach- und Datenbetrieb. [1][5][9]

Die verantwortliche Lehre ist nicht, dass eine einzelne Person einen einzigen Fehler machte.

Sie ist, dass eine nationale Netzwerkänderung eine Kette institutioneller Steuerungen ist. Verfahrensverwaltung, Expert:innen-Review, Freigabe, Auswirkungsanalyse, Rollback-Zeitpunkt, Abnormzustandsdesign, Überlastungsbeobachtung, Backup-Integrität, Wiederherstellungsautorität und Service-Messung bestimmen, ob ein kurzer Fehler kurz bleibt.

KDDI veröffentlichte Korrekturmaßnahmen entlang dieser Kette. Diese Maßnahmen verdienen Anerkennung und Verifikation. Der spätere Notfall-Roaming-Service ergänzt ein wertvolles alternatives Angebot mit klaren Grenzen. Weder eine lange Checkliste noch ein Fallback-Netz ersetzen den Nachweis, dass die primäre Fehlerklasse eingedämmt wurde.

Für kritische mobile Infrastruktur reicht es nicht, die alte Route wiederherzustellen. Der Betreiber muss zeigen, dass das Signalisierungssystem stabil ist, der Abonnentenstatus vertrauenswürdig ist, kritische Anrufe funktionieren, Fallback realisiert wird und der nächste hochkritische Eingriff nicht denselben Bereich erneut unbemerkt überschreitet.

Das ist der Verantwortlichkeitstest, den die 61 Stunden nach der Rückkehr der Route geschaffen haben.

Der 61-Stunden-Ausfall bei KDDI zeigt den Verantwortungstest von Routeränderungen

Warum es wichtig ist