Resumen

  • La interrupción de larga distancia de AT&T del 15 de enero de 1990 debe analizarse como una falla de plano de señalización 4ESS/CCS7: un evento menor de hardware activó una recuperación normal, pero una condición de software sensible al tiempo hizo que mensajes válidos de llamada expusieran un defecto común en la flota.
  • La responsabilidad operativa está en los controles que separan disparador, defecto latente, propagación, mitigación y recuperación: pruebas de transición de estado, despliegue gradual, inventario de versiones, aislamiento de señalización, reversión ensayada y verificación independiente.

La frontera del incidente

El incidente delimitado es la interrupción de la red de larga distancia de AT&T que comenzó el 15 de enero de 1990, su estabilización inmediata, la reversión del cambio y la investigación técnica inicial. No incluye interrupciones inalámbricas posteriores, cortes de fibra, eventos de energía en Nueva York, fallas de 911, frame relay ni abusos modernos de SS7. Esa separación importa porque la tesis no es que “AT&T tuvo una caída”, sino que un operador nacional de larga distancia quedó expuesto por un cambio común en el plano que decide si una llamada puede establecerse.

La red afectada era la red de larga distancia de la histórica American Telephone & Telegraph Company, no la forma corporativa contemporánea de AT&T Inc. El directorio actual puede servir para identificar la entidad editorial, pero el control operativo analizado pertenece al operador de larga distancia de 1990. La distinción evita proyectar estructuras societarias actuales sobre un hecho técnico y organizativo anterior.

El 4ESS era el conmutador de larga distancia involucrado. CCS7 era el sistema de señalización de canal común usado para intercambiar información de establecimiento de llamada y estado entre elementos de la red. En ese tipo de arquitectura, la continuidad pública no depende solo de que existan troncales de voz. También depende de que el plano de señalización conserve estado correcto, rutas disponibles, procesadores sanos y mensajes de recuperación interpretables. Cuando ese plano queda inestable, la capacidad física puede existir y aun así una llamada no llegar a completarse.

El disparador de Nueva York

Según la explicación técnica de AT&T recogida en los materiales contemporáneos, alrededor de las 2:30 p. m. hora del Este un conmutador 4ESS de Nueva York sufrió un problema menor de hardware, descrito como un evento de interfaz de troncales. Ese evento activó una lógica normal de recuperación: durante cuatro a seis segundos el conmutador suspendió el procesamiento de nuevas llamadas y avisó a conmutadores 4ESS conectados que no le enviaran nuevo tráfico.

Ese episodio inicial debe mantenerse en su lugar preciso. Fue un disparador local, no la conclusión de causa raíz nacional. La rutina de recuperación de cuatro a seis segundos era un comportamiento esperado ante la condición física menor. No hay base en este paquete para convertirlo en sabotaje, virus, ataque, tráfico anormal, colapso simultáneo de hardware ni falla nacional de todos los sistemas. El hecho importante es que una recuperación local produjo el tipo de transición de estado que luego puso en movimiento el defecto común.

Cuando el conmutador de Nueva York volvió a procesar llamadas, envió Initial Address Messages, IAMs, a conmutadores vecinos. Esos mensajes eran parte del establecimiento normal de llamadas. La cuenta técnica atribuida a AT&T sostiene que un procesador Direct Link Node, o DLN, en un conmutador receptor usaba esos mensajes para actualizar su mapa de estado y reconocer que Nueva York volvía a estar disponible. Durante varios segundos de esa actualización, el procesador quedaba vulnerable a una condición temporal específica.

IAM, DLN y la condición sensible al tiempo

La parte central de la evidencia técnica es la relación entre IAMs válidos y estado de recuperación del DLN. AT&T informó que dos IAMs que llegaran con una separación menor a una centésima de segundo podían dañar datos mientras el procesador actualizaba el mapa de estado. El resultado era que el procesador DLN debía reinicializarse. Su procesador duplicado tomaba entonces el tráfico, pero ese par no constituía una frontera independiente si ambos ejecutaban el mismo código y ambos podían recibir el mismo patrón temporal durante la misma transición vulnerable.

Ese detalle cambia la lectura de la redundancia. Dos procesadores no son dos controles independientes cuando comparten la misma lógica defectuosa, la misma exposición temporal y el mismo flujo de señalización. La duplicación ayuda contra fallas físicas aisladas; no ayuda de igual modo contra un defecto común que se activa por mensajes válidos durante una recuperación. Si el procesador primario se reinicializaba y el procesador compañero asumía la carga, otra pareja de mensajes estrechamente espaciados podía alcanzar al compañero en el mismo tipo de ventana vulnerable. En ese punto, el conmutador podía quedar temporalmente aislado de CCS7.

La información disponible no permite afirmar que el defecto público esté probado por un listado de código fuente. Algunos relatos secundarios de ingeniería describen un “break” mal ubicado u otra forma concreta de error de programación. Esos relatos pueden presentarse como narrativas atribuidas, no como evidencia primaria de código. La base más firme aquí es la cuenta de AT&T sobre IAMs, actualización de estado DLN, ventana sensible al tiempo, corrupción de datos y reinicialización de procesadores.

La prueba crítica, por tanto, no era una prueba aislada de procesamiento de IAM ni una prueba aislada de reinicio. Era la composición de estados: un conmutador vecino que acaba de recibir la noticia de que Nueva York vuelve a estar disponible, un mapa DLN que se actualiza, tráfico de llamadas que continúa llegando y mensajes válidos que se agrupan con una separación mínima. En una red manual esa coincidencia podría parecer extraordinaria. En una red automatizada de larga distancia, una centésima de segundo no es una abstracción; es una escala plausible de concurrencia entre mensajes normales.

La condición que parece rara en una descripción humana puede volverse repetible cuando la misma lógica se ejecuta en muchos nodos y el retorno de un nodo genera nueva señalización hacia otros.

La responsabilidad de prueba se encuentra exactamente en esa zona intermedia entre lo funcional y lo temporal. Un ensayo que confirma que el DLN actualiza su mapa de estado en una secuencia ordenada no demuestra que lo haga bajo llegadas comprimidas. Un ensayo que confirma que un procesador duplicado toma tráfico después de una reinicialización no demuestra que el par sea resistente si el procesador compañero recibe el mismo estímulo durante su propia transición vulnerable.

La pregunta no es si los componentes pasaban casos nominales, sino si la red había sido obligada a vivir, en laboratorio o en un entorno limitado, la misma combinación de recuperación, carga y mensajes estrechamente espaciados que sus propios mecanismos podían producir.

Cuando la recuperación propagó la falla

La cascada se produjo porque la recuperación de un conmutador se convirtió en estímulo para que otros atravesaran la misma condición. Un conmutador que perdía sus procesadores de señalización anunciaba un estado no disponible. Después de reinicializarse, volvía a anunciar su disponibilidad y reanudaba el intercambio de señalización. Los conmutadores vecinos podían entonces reconocer esa recuperación mediante mensajes que activaban su propia transición de estado. Bajo presión continuada de mensajes de llamada, la misma condición temporal podía repetirse.

La secuencia es importante: el evento de hardware no viajó por la red; lo que viajó fue el patrón de recuperación y reconocimiento de estado en CCS7, atravesando una flota con software común. AT&T describió los fallos resultantes como aleatorios bajo carga de mensajes continuada. Trabajos académicos posteriores usaron el caso como ejemplo de inestabilidad de plano de control provocada por mensajes válidos que exponen una implementación defectuosa. Esa formulación no convierte los IAMs en mensajes maliciosos.

Los convierte en evidencia de una verdad más incómoda: en una red automatizada, los mensajes rutinarios de control también son entradas críticas para la seguridad de continuidad.

La interrupción muestra por qué el estado operacional debe ser exacto, no solo plausible. Un conmutador podía estar físicamente presente, pero operacionalmente separado del sistema de señalización. Una red podía tener rutas de respaldo, pero el cambio que buscaba llegar más rápido a la señalización de respaldo podía ser la condición común que propagaba la falla. La continuidad no se prueba con la existencia nominal de redundancia; se prueba con la conducta del código en ejecución, el estado real de cada nodo y la capacidad de aislar una transición defectuosa antes de que se repita.

El punto de propagación también exige separar cuatro relojes que suelen mezclarse en relatos posteriores. El primero es el reloj del disparador físico en Nueva York. El segundo es el reloj de la ventana vulnerable del DLN durante la actualización de estado. El tercero es el reloj de la cascada, en el que un conmutador que se recupera puede provocar que sus vecinos procesen una transición equivalente. El cuarto es el reloj del impacto al cliente, donde los intentos de llamada se bloquean, se repiten o se completan por caminos disponibles.

Si esos relojes se funden en una sola narrativa, la investigación pierde precisión: parece que un evento físico “causó” todo por sí mismo, cuando la evidencia apunta a una cadena de estados que permitió que una recuperación normal se convirtiera en presión recurrente sobre el plano de señalización.

El cambio común de mediados de diciembre

La frontera de cambio compartido fue amplia. AT&T dijo que el defecto había entrado en sus conmutadores 4ESS mediante una actualización de mediados de diciembre destinada a permitir que los conmutadores alcanzaran más rápido una red de señalización de respaldo. Un relato contemporáneo de Telephony, reproducido en RISKS, afirmó que el nuevo código se cargó en procesadores front-end de los 114 sistemas 4ESS. Esa formulación debe manejarse con cuidado: es una afirmación de operador y de reporte contemporáneo, no una auditoría pública de código ni una cronología completa por conmutador.

Lo que sí permite concluir es que una condición de software común estaba desplegada de forma amplia en la flota 4ESS. No permite afirmar que los 114 sistemas fallaran simultáneamente, ni que cada cliente experimentara la misma pérdida, ni que todo conmutador siguiera una línea temporal idéntica. La responsabilidad no depende de exagerar el alcance técnico. Basta con reconocer que el dominio de falla fue correlacionado: una actualización común, sobre elementos críticos, en una red nacional, con una transición de recuperación capaz de reproducirse entre vecinos.

AT&T también sostuvo que la actualización había sido probada rigurosamente en laboratorio y que la combinación exacta de eventos no había sido prevista. Esa declaración no cierra el análisis; lo abre. La pregunta operacional es qué cubrían esas pruebas. ¿Incluían retorno a servicio bajo ráfagas estrechas de IAMs? ¿Probaban procesadores duplicados como un sistema acoplado, no como unidades separadas? ¿Simulaban carga de señalización semejante a la red en servicio? ¿Probaban una actualización cuyo propósito era cambiar el acceso a la señalización de respaldo?

¿Existía un despliegue gradual con criterios de parada si aparecían patrones anómalos?

El cambio de mediados de diciembre importa además porque tocaba una función de continuidad, no una comodidad periférica. Si el propósito atribuido era alcanzar más rápido una red de señalización de respaldo, el cambio operaba precisamente sobre la frontera entre degradación y recuperación. Eso eleva el estándar de despliegue: no basta con que el programa parezca correcto en operación estable. Debe demostrar que no convierte el camino de respaldo en una extensión del mismo dominio de falla. Un respaldo alcanzado por la misma lógica común, actualizado al mismo tiempo y sometido a la misma presión de mensajes no es una independencia plena.

Es capacidad adicional gobernada por el mismo modo de fallo.

Una exposición por etapas habría buscado conservar diversidad operacional durante el aprendizaje. Eso significa limitar el número de conmutadores con la nueva versión, comparar su comportamiento con nodos aún en el programa anterior, registrar cada transición de recuperación, fijar umbrales para detener la expansión y mantener autoridad clara para revertir antes de que la condición común abarque la mayor parte de la flota. La evidencia pública no entrega el mapa completo de lanzamiento.

Precisamente por eso el mapa de versiones, estados y paradas se convierte en una solicitud de evidencia central: sin él, la diferencia entre una prueba rigurosa y una exposición demasiado amplia queda sin demostrar.

Medición pública e impacto atribuido

Los informes contemporáneos coinciden en que el impacto fue amplio, pero no en una cifra única. AT&T y grandes periódicos informaron que aproximadamente la mitad de los intentos de llamadas de larga distancia fallaron durante partes sustanciales del incidente. UPI atribuyó una estimación de 50 millones de llamadas bloqueadas y efectos sobre servicios de números 800 y líneas de computadora. Relatos posteriores usan cifras mayores. Esas cifras no deben fusionarse en un único total definitivo.

Tampoco hay en el paquete una pérdida económica verificada. No hay una lista completa de clientes afectados, un conteo auditado por región, una medición pública completa de llamadas de emergencia, transacciones financieras o servicios de datos fallidos, ni una separación precisa entre intentos bloqueados, llamadas demoradas y llamadas completadas por rutas alternativas. La honestidad del informe requiere mantener el impacto medido y el estimado en carriles distintos. Una falla nacional puede ser grave sin necesidad de inventar una cifra exacta de pérdidas.

La gravedad pública se entiende mejor como dependencia de continuidad. Servicios de larga distancia, números 800 y líneas usadas por sistemas informáticos dependían del mismo plano de establecimiento y señalización. Cuando el control común se degrada, el daño no es solo una llamada personal que no entra. Es la exposición de negocios, servicios públicos y usuarios a un fallo de coordinación en una infraestructura que parecía redundante desde fuera.

La medición también debe separar intento, bloqueo, duración, recuperación y percepción del usuario. Un intento fallido durante el punto más intenso de la interrupción no es lo mismo que una llamada completada después de reintentos, ni que una ruta alternativa disponible para algunos destinos, ni que un servicio de datos afectado por depender de números o líneas de larga distancia. El registro público disponible permite hablar de una interrupción amplia y de estimaciones atribuidas; no permite convertir todos esos efectos en una cifra única de daño. Esa cautela no reduce la severidad. La hace verificable.

Diagnóstico, estabilización y reversión

AT&T informó que sus ingenieros intentaron primero procedimientos normales y comprobaron que no bastaban. Examinaron patrones de mensajes de error y conducta de conmutadores, involucraron soporte técnico y equipos de Bell Labs, y estabilizaron la red reduciendo el tráfico de señalización en enlaces de respaldo. Esa mitigación es reveladora: no consistió en reparar el hardware inicial de Nueva York como si ese fuera el problema nacional, sino en reducir la presión de mensajes sobre procesadores afectados.

La compañía dijo que el último enlace fue despejado a las 11:30 p. m. hora del Este. Al día siguiente retiró la actualización defectuosa, volvió temporalmente al programa anterior, reprodujo el problema en laboratorio, corrigió el defecto, probó el cambio y restauró los enlaces de respaldo. Ese orden separa mitigación y corrección. Reducir tráfico de respaldo estabilizó el sistema; revertir al programa anterior quitó la condición común; la reproducción de laboratorio permitió confirmar y corregir la falla.

La línea temporal muestra que la continuidad depende de autoridad de reversión. En una flota de conmutadores, saber qué versión corre en cada elemento, qué enlaces transportan señalización de respaldo y qué cambio puede retirarse rápidamente no es documentación administrativa. Es parte de la capacidad de recuperar servicio. Si el operador no puede mapear versión, estado, procesador y autoridad de cambio en tiempo real, la red carece de un libro operacional confiable durante el incidente.

La estabilización por reducción de tráfico en enlaces de respaldo también aclara qué significa aislamiento. Aislar no es apagar toda la señalización ni perder visibilidad. Es tener una palanca graduada para disminuir presión sobre una ruta, impedir que una transición defectuosa se repita y conservar suficiente observación para saber si los procesadores dejan de reinicializarse. En una red similar, ese aislamiento tendría que estar ensayado antes del evento: quién puede activarlo, qué umbrales lo justifican, qué métricas muestran que funciona y cómo se vuelve a un estado normal sin reintroducir el patrón que causó la cascada.

La reversión, por su parte, no es solo una copia antigua del programa. Es un procedimiento con inventario, autorización, tiempo de ejecución, comprobación de versión y secuencia de restauración. Si la red no sabe qué nodos ejecutan la actualización, qué nodos ya volvieron al programa anterior y qué enlaces de respaldo se han restaurado, la reversión puede convertirse en una conjetura distribuida. La cuenta de AT&T indica que hubo retirada del cambio, reproducción de laboratorio, corrección y prueba.

La evidencia que faltaría para una verificación externa completa es el detalle que une esas acciones con cada dominio de falla: versión por conmutador, estado DLN, carga de señalización y momento de recuperación.

Arquitectura y contexto de confiabilidad

Las recomendaciones ITU-T Q.700, Q.701, Q.704, Q.705, Q.706 y Q.752 ayudan a explicar la arquitectura de señalización, funciones de red, desempeño, supervisión y medición de SS7. Las fuentes de NTIA y GAO ayudan a ubicar el debate de confiabilidad y dependencia pública. Esas fuentes no prueban una infracción retroactiva de AT&T ni establecen por sí mismas una obligación incumplida en 1990. Su valor aquí es contextual: muestran por qué los mensajes de estado, enrutamiento, establecimiento y recuperación forman una capa común de control.

Esa capa común es indispensable para la tesis. Si se quitan 4ESS, CCS7, IAM, DLN, despliegue común de software, aislamiento de señalización y continuidad de telecomunicaciones, el artículo deja de tener argumento. No es una historia genérica de software defectuoso. Es una historia sobre un operador nacional cuya lógica de recuperación, distribuida en conmutadores de larga distancia, permitió que un estado de vuelta a servicio se convirtiera en mecanismo de propagación.

Pruebas que debieron importar

La primera familia de controles es la prueba de transición de estado. No basta con probar que un conmutador se recupera de una falla menor, ni que un mensaje IAM se procesa en condiciones normales. La prueba relevante combina ambos fenómenos: retorno a servicio, actualización de mapa de estado DLN, pares de IAMs estrechamente espaciados, procesadores duplicados y carga continuada de señalización. La ventana de una centésima de segundo no es un detalle esotérico cuando la red opera con mensajes automatizados a escala nacional.

La segunda familia es la exposición gradual. Un cambio común en una flota crítica debe tener una etapa limitada, criterios de parada, mediciones comparables y una ruta clara para mantener parte de la red en la versión anterior hasta que el comportamiento de recuperación esté probado. Si el cambio de mediados de diciembre llegó ampliamente a la flota 4ESS antes de que la condición temporal fuera visible, el control débil no fue solo una prueba incompleta. Fue la combinación de prueba, despliegue y falta de independencia suficiente entre dominios de falla.

La tercera familia es el inventario de versión y estado. En un incidente de señalización, el operador necesita saber qué conmutadores ejecutan qué programa, qué procesadores están reinicializándose, qué enlaces de respaldo cargan tráfico, qué vecinos anuncian no disponibilidad y qué recuperación está generando nuevos mensajes. Esa información debe estar disponible como estado operacional, no reconstruida únicamente después del hecho.

La cuarta familia es el aislamiento. Si los anuncios de recuperación y el tráfico de respaldo pueden convertirse en mecanismo de propagación, la red necesita capacidad de limitar, amortiguar o separar mensajes sospechosos sin quedar ciega. La respuesta de AT&T, reduciendo tráfico sobre enlaces de respaldo para estabilizar los procesadores, confirma que el volumen y el camino de señalización eran parte de la intervención. El control futuro es diseñar esa capacidad antes del incidente, con umbrales y responsabilidad definidos.

La quinta familia es el ensayo de reversión bajo presión. Un cambio que afecta recuperación debe probar también el camino de salida: volver al programa anterior, verificar que los procesadores dejan de reinicializarse, restaurar gradualmente los enlaces de respaldo y comprobar que el patrón de IAMs ya no produce la misma corrupción de datos. El éxito de una reversión no se mide solo por instalar una versión previa. Se mide por la desaparición del mecanismo de propagación y por la capacidad de demostrar que el sistema volvió a un estado conocido.

La sexta familia es la evidencia independiente. Después de un incidente de este tipo, las promesas de corrección deben poder verificarse con artefactos: escenarios de prueba añadidos, resultados de ráfagas de IAM, pruebas del par DLN como sistema acoplado, comparación entre versión defectuosa y versión corregida, registros de señalización de respaldo y criterios de restauración. Sin esos artefactos, el público solo puede confiar en una declaración general de que el defecto fue corregido. Para una infraestructura nacional, la confianza razonable exige una cadena de evidencia más granular.