Resumen

  • El informe final de la FCC concluyó que un registro de aprovisionamiento omitía las direcciones IP correctas de Comtech. Un cambio distinto transfirió después ese registro a la lista blanca activa de los Session Border Controllers [1].
  • Las conexiones estaban clasificadas como activos de cliente, no como infraestructura. Esa etiqueta permitió aplicar el cambio sin las pruebas y restricciones horarias más rigurosas que AT&T utilizaba para infraestructura crítica [1].
  • Al superar un umbral de errores, la Proxy Location Routing Function reinició enlaces compartidos por dos proveedores de información de enrutamiento. La respuesta diseñada para recuperar un camino interrumpió también el camino que debía permanecer disponible [1].
  • AT&T informó de aproximadamente 12.600 personas únicas que no pudieron llegar directamente al 911. El centro de relevo manual no había sido diseñado para un desbordamiento nacional y descartó la inmensa mayoría de las llamadas adicionales [1].
  • AT&T comunicó cambios posteriores en clasificación, distribución de alarmas, separación lógica de rutas y retorno manual de VoLTE a 3G. Son medidas declaradas en el expediente, no una garantía automática de su desempeño posterior [1].

Mantener exacto el límite del incidente

Este análisis trata la interrupción nacional de AT&T Mobility VoLTE del 8 de marzo de 2017. No trata la interrupción regional del 911 del 22 de agosto de 2023 ni la caída inalámbrica nacional del 22 de febrero de 2024. Esos sucesos posteriores tienen fechas, mecanismos y registros regulatorios distintos. Separarlos evita atribuir controles o consecuencias de un incidente a otro.

El informe final de la FCC es la referencia factual principal [1]. Según el documento, casi todos los clientes VoLTE de AT&T Mobility en Estados Unidos perdieron el servicio 911 durante cinco horas. AT&T cuantificó en unas 12.600 las personas únicas que intentaron llamar al 911 y no llegaron a los servicios de emergencia por la red tradicional. La cifra debe conservar esa atribución: no demuestra cuántos intentos no quedaron registrados, resultados médicos individuales ni pérdidas económicas.

También hubo llamadas que usaron redes heredadas, otras que llegaron a un centro alternativo y jurisdicciones que parecieron no estar afectadas. La descripción responsable mantiene esos matices. El aviso público de la FCC abrió el expediente PS 17-68 y describió una interrupción nacional del 911 sobre VoLTE [2]. El informe preliminar aportó una primera evaluación [3]. NENA y APCO publicaron registros desde la perspectiva de la seguridad pública [4][5].

Cómo debía funcionar la ruta

La FCC reconstruyó una cadena con varios dominios. El teléfono iniciaba la llamada en la red VoLTE y se conectaba a una celda LTE. La red de emergencia de AT&T enviaba los datos a uno de dos proveedores, Comtech o West. El proveedor identificaba el Public Safety Answering Point adecuado a partir de la geografía, añadía información de enrutamiento y devolvía los datos a AT&T. La operadora entregaba entonces la llamada por el operador local que servía al PSAP [1].

Dos componentes resultaron decisivos. La Proxy Location Routing Function, o PLRF, elegía el proveedor según el sector celular. Los Session Border Controllers, o SBC, controlaban la frontera con esos proveedores. Cuando regresaban los datos enriquecidos, los SBC comprobaban si la dirección IP emisora pertenecía a la lista blanca autorizada.

La lista activa era un control de seguridad. El sistema de aprovisionamiento mantenía un registro de las direcciones aprobadas. Sin embargo, el registro y la configuración en servicio no eran el mismo estado. El primero expresaba intención; la segunda decidía si el tráfico real era aceptado. Una autorización correcta sobre un registro incompleto todavía puede desplegar el resultado equivocado.

Antes del 8 de marzo, el registro no contenía las direcciones apropiadas de Comtech. El servicio seguía funcionando porque ese registro erróneo aún no había sustituido la lista activa. Un proyecto no relacionado inició un cambio que lo transfirió a los SBC. A partir de entonces, el tráfico devuelto por Comtech no coincidía con el conjunto de confianza y se rechazaba la información necesaria para seleccionar el PSAP [1].

La cadena expone cuatro controles diferentes. Primero, la calidad del dato registrado. Segundo, la conciliación entre el registro y la configuración operativa. Tercero, la admisión del cambio. Cuarto, la verificación de una transacción después del despliegue. Un hash puede demostrar exactamente qué bytes se instalaron, pero no que incluyeran cada dirección correcta. Un commit exitoso prueba aceptación por el equipo, no el funcionamiento completo del servicio.

Una etiqueta seleccionó el régimen de cambio equivocado

Las conexiones de los SBC a los proveedores estaban marcadas como activos de cliente. En AT&T, los activos de infraestructura recibían pruebas de fallo más exigentes y ventanas de mantenimiento fuera de las horas punta. La clasificación de cliente permitió ejecutar el cambio durante un periodo de tráfico 911 elevado y sin esas salvaguardas [1].

La etiqueta no era un dato decorativo. Elegía una política ejecutable: quién revisaba, cuándo podía desplegarse y qué pruebas negativas eran necesarias. Un enlace a un tercero sigue siendo infraestructura compartida crítica si su pérdida puede afectar al enrutamiento nacional de emergencias. La clasificación debe seguir la consecuencia plausible del fallo y el dominio compartido, no la organización que aparece al otro lado del enlace.

La FCC indicó que una prueba más cuidadosa probablemente habría mostrado la asignación IP incorrecta. «Probablemente» conserva el límite de la evidencia. La defensa más fuerte combina una comparación estática, el rechazo esperado de una dirección no autorizada, una transacción positiva por cada proveedor y un fallo inyectado que demuestre que las rutas permanecen independientes.

Redundancia acoplada por el mecanismo de recuperación

El rechazo del retorno de Comtech generó errores entre los SBC y la PLRF. Al superar una densidad configurada, la PLRF hizo reinicios suaves de sus enlaces. Como el tráfico de Comtech y West compartía esos enlaces, el reinicio afectó a ambos proveedores. El procesamiento apoyado por West podía reanudarse y volver a interrumpirse cuando los errores de la lista blanca desencadenaban otra ronda [1].

Había dos proveedores y centros geográficamente diversos, pero una reacción común los unía en el mismo dominio de fallo. Contar proveedores no prueba independencia. Dos rutas solo ofrecen continuidad si la pérdida de A deja B utilizable y si la recuperación automática no amplía la avería.

La evidencia debe observar la transición, no solo el dibujo de la topología. Una prueba representativa debe aislar el proveedor que falla, mantener activa una transacción por el otro, entregar alarmas específicas y confirmar que no existe un umbral o reinicio compartido capaz de eliminar ambos. La relación real la definen la configuración y el código en ejecución.

El respaldo manual no podía absorber el volumen nacional

Cuando AT&T no obtenía la información del PSAP, enviaba la llamada a un Emergency Call Relay Center. Allí, operadores profesionales preguntaban la ubicación y trataban de redirigir manualmente a la persona. El centro estaba pensado para una pequeña fracción de llamadas que no se encaminaban normalmente, no para una caída nacional. La FCC informó de que no pudo manejar el volumen adicional y perdió la gran mayoría [1].

Un respaldo forma parte del servicio primario cuando se presenta como garantía de continuidad. Lo relevante es el conjunto de fallos que puede absorber, el tiempo de activación, los datos disponibles y la conducta al superar la capacidad. No se requiere una reserva ilimitada, sino una frontera explícita y otro mecanismo que impida que una falla local provoque inmediatamente un desbordamiento nacional.

El registro público menciona tono de ocupado rápido, timbres repetidos o silencio. Incluye ejemplos de Orange County, Florida, y también jurisdicciones sin quejas públicas. No hay base para convertir esa variedad en afirmaciones sobre cada localidad. Sí hay base para concluir que miles de llamadas no completaron la ruta normal y que la capacidad alternativa no cubría la escala observada.

Las alarmas llegaron antes que el diagnóstico

La cronología de la FCC muestra tickets críticos pocos minutos después del comienzo. El equipo del 911 los reconoció dieciséis minutos más tarde. La escalada avanzó de forma secuencial por equipos de 911, VoLTE, servicio y backbone hasta involucrar al equipo IP. Casi cinco horas después, el equipo IP relacionó el inicio con el cambio de red y solicitó revertirlo. El servicio volvió tres minutos después [1].

Generar una alarma no equivale a dirigirla a quien puede probar la hipótesis correcta. Un incidente que cruza varios dominios necesita alarmas concurrentes, una cronología común de cambios, acceso al estado activo y autoridad clara para volver atrás. La escalada serial puede ahorrar interrupciones en un incidente pequeño, pero también prolongar el diagnóstico cuando ningún equipo posee toda la cadena.

Las notificaciones a los PSAP fueron tardías e incompletas. Una comunicación operativa útil puede omitir direcciones y topología sensible, pero debe indicar el servicio afectado, la geografía conocida, hora de inicio, grado de confianza, alternativa disponible y próxima actualización. Sin ello, los organismos locales no pueden comunicar con precisión números alternativos ni el alcance.

Reparaciones reportadas y prueba pendiente

AT&T comunicó cuatro medidas principales [1]. Reclasificó los enlaces a proveedores 911 como infraestructura. Cambió la entrega de alarmas para avisar en paralelo a los equipos de 911, VoLTE e IP. Separó los enlaces lógicos entre SBC y PLRF; la FCC observó que esa separación habría mantenido el procesamiento de West en las condiciones del 8 de marzo. También introdujo un procedimiento manual para abandonar VoLTE y utilizar 3G para llamadas al 911 durante una interrupción VoLTE.

Las medidas responden a los puntos observados, pero su existencia documental no basta. La prueba duradera debería reunir la configuración exacta, resultados por camino, ejercicio de aislamiento, entrega de alarmas y activación controlada del respaldo. Un ensayo seguro puede retirar una dirección autorizada de una configuración candidata, verificar que se bloquea o queda contenida y mantener una transacción sintética por el otro proveedor.

El registro es necesario; la red operativa decide

El sistema de aprovisionamiento funcionaba como libro de identidades y direcciones aprobadas. Era necesario para automatización y seguridad. El incidente demuestra su límite: un registro autorizado no se convierte por ello en verdad operativa. Solo al pasar a la lista blanca activa produjo efectos, y solo una transacción realista podía juzgar su exactitud.

Este es el vínculo con la doctrina Heng.lu. Los metadatos de seguridad, la identidad de red y el historial de cambios son registros que sostienen la continuidad; no sustituyen a la red en funcionamiento. El permiso de desplegar no demuestra correspondencia con la realidad. Una clasificación no altera la consecuencia. Un segundo proveedor sobre el papel no prueba un segundo camino operativo.

Para una misma ventana, el expediente debe enlazar identidades y direcciones aprobadas, registro de aprovisionamiento, hashes de la configuración candidata y activa, pruebas sintéticas por camino, alarmas, reversión y resultado del servicio. Cualquier divergencia debería bloquear el cambio o abrir un incidente explícito antes de que dependan de él llamadas públicas.

La retención también importa. AT&T conservaba registros de aprovisionamiento durante 90 días y no pudo determinar cuándo ni por qué se introdujo la entrada incorrecta [1]. El periodo de evidencia debe responder al tiempo probable para descubrir una desviación crítica, no solo al coste ordinario de almacenar registros.

La frontera de responsabilidad

AT&T controlaba el registro, la lista blanca activa, la clasificación, los SBC, la PLRF, las alarmas y el respaldo de la operadora. Comtech y West entregaban información de enrutamiento. Los PSAP administraban respuestas y comunicaciones locales. La FCC reunió el registro entre esas fronteras.

La operación compartida no elimina la propiedad. Según la FCC, la lista blanca incorrecta y el reinicio compartido residían en la red de AT&T. Proveedores y centros públicos, sin embargo, necesitaban información rápida para contener el impacto. La responsabilidad incluye el control que inicia el fallo y las interfaces que permiten a otros responder.

La conclusión es concreta: un registro crítico es confiable solo cuando coincide con la configuración activa y con una transacción satisfactoria; la redundancia es independiente solo si una falla deja una ruta funcional; el respaldo protege solo dentro de una capacidad probada; y una reversión rápida depende de que el equipo correcto identifique a tiempo el último cambio relevante.

Fuentes

  1. https://docs.fcc.gov/public/attachments/DOC-351492A1.pdf
  2. https://docs.fcc.gov/public/attachments/DA-17-277A1_Rcd.pdf
  3. https://docs.fcc.gov/public/attachments/DOC-344049A1.pdf
  4. https://www.nena.org/news/334578/NENA-Statement-on-March-8-9-1-1-Outage.htm
  5. https://ecfsapi.fcc.gov/file/10410294707272/APCO%20Apr2017%20ex%20parte%20-%20ATT%20Mobility%20Outages%20v2.pdf
  6. https://about.att.com/content/dam/snrdocs/Tips%20for%20Customers%20for%20911.pdf