British Airways a fait de la reprise de l'alimentation de son centre de données un test de responsabilité pour la continuité du service passagers

Résumé

• Samedi 27 mai 2017, British Airways a signalé une panne majeure de ses systèmes informatiques, a déclaré qu'il n'y avait aucune preuve de cyberattaque et a annulé tous les départs restants de Heathrow et Gatwick. La compagnie aérienne a plus tard décrit le problème initial comme une panne d'alimentation dans son centre de données principal. Ses divulgations boursières ultérieures indiquent que la perte des services informatiques en mai a entraîné plus de 500 annulations de vols; les estimations opérationnelles largement relayées évaluent le nombre de passagers affectés à environ 75 000.
• Le récit public de la compagnie a évolué au fur et à mesure de l'incident. Il est passé d'un problème générique d'alimentation électrique à un retour dommageable de l'alimentation et à une défaillance du matériel de communication, puis à la déclaration du directeur général d'IAG, Willie Walsh, selon laquelle un ingénieur aurait débranché une alimentation sans interruption et rétabli le courant de manière incontrôlée. Il s'agit de déclarations attribuables à la compagnie, et non d'un rapport d'enquête indépendant publié. Cet article ne présente pas l'action d'un individu, son employeur ou la séquence électrique précise comme des faits confirmés de manière indépendante.
• Le déclencheur peut être énoncé de manière prudente: une interruption de l'alimentation du centre de données principal. La cause technique fondamentale, au niveau que les archives publiées de la société permettent d'établir, est l'incapacité à maintenir les services informatiques critiques disponibles pendant cet événement de panne d'alimentation et la restauration. Les conditions contributives incluent une continuité inefficace entre l'alimentation, les communications, les dépendances applicatives et le traitement alternatif. La topologie de protection détaillée, l'état de commutation, le mécanisme de dommage, les critères de basculement et le manuel de récupération restent inconnus du public.
• La panne n'a pas seulement supprimé un site web. BA a indiqué que le matériel de communication et la messagerie d'environ 200 systèmes ont été affectés. Les rapports opérationnels contemporains ont fait état de défaillances ou de graves perturbations dans l'enregistrement, la planification des opérations, les canaux clients et le traitement des bagages. Les avions, les équipages, les postes de stationnement, les bagages et les passagers se sont alors désynchronisés, de sorte que la restauration des serveurs ne pouvait pas rétablir immédiatement un programme de vols viable.
• Gatwick s'est rétabli plus rapidement que Heathrow. BA s'attendait à une opération quasi normale à Gatwick le 28 mai, tandis que Heathrow conservait des annulations et des retards importants. Le 29 mai, la compagnie exploitait la plupart de ses services, mais elle continuait à déplacer des passagers bloqués et des bagages retardés. La différence montre que le rétablissement dépendait de l'état local du programme, de la capacité, des avions et des passagers, ainsi que de la restauration technique des services.
• La causalité de la panne et la conformité en matière d'assistance aux passagers sont des questions distinctes. Le règlement (CE) 261/2004 exigeait le remboursement ou le réacheminement, une prise en charge pendant les attentes admissibles, des informations sur les droits et, lorsque ses conditions étaient remplies, une indemnisation forfaitaire. Même des circonstances extraordinaires ne peuvent supprimer l'indemnisation forfaitaire que dans des cas définis; elles n'effacent pas les obligations de prise en charge. Aucune conclusion sur la cause électrique ne prouve ni n'infirme à elle seule la conformité pour un passager donné.
• La correspondance de la CAA après l'événement constitue une preuve plus solide que les rapports généralisés de désordre dans les aéroports. BA a reconnu son obligation de réacheminement, a convenu que de nombreux clients ne pouvaient pas être réacheminés par ses soins, a déclaré qu'elle prendrait en charge les frais prévus par le règlement 261 indépendamment de l'assurance voyage, a accepté de modifier le libellé pertinent sur son site web et a déclaré qu'elle verserait une indemnisation forfaitaire lorsqu'elle serait due. La CAA a demandé plus de détails sur le réacheminement à la première occasion, les autres transporteurs, les frais de transfert, les dépliants sur les droits et la capacité de traitement des réclamations. La correspondance documente un contrôle réglementaire actif, et non un jugement de tribunal selon lequel chaque réclamation aurait été traitée correctement ou incorrectement.
• Avant la panne, BA s'était déjà engagée auprès de la CAA à informer les passagers retardés de plus de deux heures de leurs droits. Un examen de la CAA de février 2017 a estimé que l'approche de BA en matière d'assistance et de prise en charge était « bonne ». Ces documents montrent que des politiques et des processus de supervision existaient. L'événement de mai a testé leur capacité à fonctionner à grande échelle lorsque les canaux numériques et les systèmes opérationnels nécessaires pour identifier, contacter, réacheminer et assister des dizaines de milliers de personnes étaient eux-mêmes altérés.
• British Airways a comptabilisé 56 millions de livres sterling de frais d'indemnisation supplémentaires et de réclamations de bagages dans ses comptes du premier semestre; IAG a déclaré la même exposition pour 65 millions d'euros dans sa monnaie de reporting. Il s'agit du chiffre de coût de l'événement le plus défendable dans les archives de la société. Il ne représente ni le coût social total, ni la perte de revenus, ni le préjudice de réputation, ni le nombre de demandes acceptées.
• Les preuves de réparation sont mitigées. Le rapport annuel 2017 de BA indique qu'un programme complet de résilience de l'alimentation et de l'informatique a été lancé et que des actions clés ont été mises en œuvre; le comité d'audit et de conformité d'IAG a reçu des mises à jour du président, du directeur financier, du directeur informatique et du directeur des installations de BA. Les documents ultérieurs décrivent des investissements dans la résilience, la migration des centres de données, la redondance du réseau, les plans de retour en arrière et la modernisation des systèmes d'exploitation critiques. Ces divulgations démontrent une activité de gouvernance et des dépenses, mais elles ne publient pas de scénarios de test, d'objectifs de récupération, de résultats de basculement ni d'avis de clôture indépendant pour les causes profondes de 2017.
• La conclusion en matière de responsabilité est donc stratifiée. La direction de BA était responsable de la continuité du service passagers et de la preuve que les systèmes critiques pouvaient récupérer; les propriétaires du contrôle des installations et de l'informatique étaient responsables de la commutation sécurisée de l'alimentation, de la restauration tenant compte des dépendances et du traitement alternatif testé; les fournisseurs étaient responsables des contrôles contractuels dans leur périmètre; les aéroports étaient responsables des réponses des terminaux et des systèmes partagés; et la CAA était responsable de la supervision du droit de la consommation. Le contrôle opérationnel n'établit pas en soi une négligence, une faute individuelle ou une violation légale.

Chronologie d'abord: 27-29 mai 2017

Samedi 27 mai: un incident d'infrastructure local devient une défaillance opérationnelle à l'échelle du réseau

Les premiers faits publics étaient larges et prudemment exprimés. British Airways a déclaré avoir subi une panne majeure de ses systèmes informatiques entraînant de graves perturbations dans le monde entier. Elle a indiqué qu'il n'y avait aucune preuve de cyberattaque. Alors que les terminaux de Heathrow et Gatwick devenaient encombrés, BA a d'abord annulé les départs jusqu'en début de soirée, puis tous les départs restants des deux aéroports. Heathrow a déclaré avoir déployé des agents supplémentaires du service client et travaillait avec la compagnie aérienne pour aider les passagers déjà présents dans ses terminaux, selon lecompte rendu contemporain de Reuters.

La distinction entre l'impact sur les systèmes mondiaux et l'annulation des vols à l'échelle mondiale est importante. L'environnement opérationnel numérique de BA desservait des escales dans le monde entier, de sorte qu'une panne près de Heathrow a altéré l'enregistrement, la messagerie et les décisions opérationnelles ailleurs. Mais la décision catégorique d'annulation annoncée publiquement le 27 mai s'appliquait aux départs de Heathrow et Gatwick. Les avions long-courriers déjà en vol pouvaient continuer vers Londres dans certains cas, et les vols exploités par d'autres compagnies n'étaient pas affectés par le centre de données de BA.

L'incident était de portée mondiale en termes de dépendance, mais non un arrêt du système aéronautique.

La première explication de la compagnie aérienne fut un « problème d'alimentation électrique ». Un rapport conservé desdéclarations du PDG de BA des 27 et 28 mairapporte à la fois cette conviction et l'absence de preuve de cyberattaque. Ce libellé n'identifiait pas la source d'électricité, le dispositif de protection, l'action de commutation ni le mécanisme de défaillance. Il s'agissait d'une hypothèse au stade de l'incident, et non d'une analyse achevée des causes profondes.

Sur le plan opérationnel, l'effet était déjà visible. Les processus d'enregistrement et de dépôt des bagages se sont arrêtés ou ralentis; les canaux du service client ne pouvaient absorber la demande; les informations sur les vols et les passagers sont devenues plus difficiles à rapprocher; et les terminaux se sont remplis de personnes dont les avions et les bagages ne pouvaient plus être traités de manière prévisible. L'archive ultérieure desdonnées aéroportuaires de la CAA pour mai 2017fournit la source des données de vols et d'annulations du régulateur. Elle est utile pour une reconstruction indépendante, bien qu'un tableau mensuel seul n'attribue pas la cause de chaque annulation.

Dimanche 28 mai: les systèmes reviennent, mais Heathrow ne peut pas se normaliser immédiatement

Dimanche, BA a signalé que de nombreux systèmes avaient été restaurés. Gatwick s'est orienté vers un programme quasi normal, tandis que Heathrow a continué à subir des annulations, des retards, des files d'attente et des bagages égarés. Les rapports contemporains ont fait état d'environ 40 annulations supplémentaires à Heathrow en début de journée, mais le point le plus important est structurel: la restauration des services et la reprise des opérations n'étaient pas simultanées.

Un programme aérien est un système physique avec état. Une première vague annulée laisse les avions aux mauvais aéroports, les équipages proches des limites de temps de service, les postes de stationnement et les créneaux de départ mal alignés, les passagers en correspondance répartis sur différents itinéraires et les bagages séparés de leurs propriétaires. La réouverture d'une base de données ou d'un courtier de messages ne permet pas de déduire en toute sécurité où se trouve chaque ressource.

Les systèmes restaurés doivent recevoir et rapprocher un arriéré tandis que les planificateurs décident quels vols peuvent encore partir avec un équipage légal, des avions disponibles, une assistance au sol et une capacité de destination.

Le PDG de BA a reconnu que des clients avaient été bloqués, séparés de leurs bagages et laissés dans de longues files d'attente pour obtenir des informations. Des rapports ont également indiqué que les systèmes de secours n'avaient pas assuré une continuité rapide. Lecompte rendu opérationnel du 29 maiattribue à Alex Cruz un événement électrique matinal avec un effet catastrophique sur le matériel de communication et la messagerie entre les systèmes d'exploitation. Il rapporte également sa déclaration selon laquelle il n'y avait pas de corruption ou de compromission des données clients. Il s'agit de déclarations de la société. Elles étayent l'analyse de la cascade de messagerie, mais ne divulguent pas les journaux de diagnostic ni ne prouvent le chemin exact des dommages.

Lundi 29 mai: la plupart des vols reprennent tandis que la récupération des passagers et des bagages se poursuit

Lundi, les services long-courriers de Gatwick et Heathrow étaient en grande partie normaux, et BA a déclaré qu'environ 90 % des vols court-courriers de Heathrow étaient opérationnels. La compagnie aérienne continuait à gérer les passagers bloqués. Cruz a déclaré qu'un peu plus des deux tiers des passagers affectés atteindraient leur destination d'ici la fin de lundi, les autres se voyant proposer une reprogrammation ultérieure. Cette estimation est utile comme mesure de récupération au stade de l'incident, et non comme un décompte final audité des passagers.

Les séquelles opérationnelles ont persisté au-delà de la panne des systèmes principaux. Les bagages acceptés avant l'annulation devaient être localisés, triés et acheminés séparément; les passagers devaient être liés à de nouveaux itinéraires; les réclamations devaient être ouvertes; et les rotations des avions et des équipages devaient être reconstruites. Unrapport du 30 mai sur les bagages en retarda fait état de la déclaration de BA selon laquelle les systèmes étaient entièrement restaurés et un programme complet fonctionnait le mardi. Il a également fait état de la poursuite de la récupération des bagages. Ainsi, le 29 mai est une fin raisonnable pour la chronologie de la reprise aiguë des vols, mais non pour toutes les conséquences pour les clients.

Le total corporatif ultérieur est délibérément moins granulaire que les estimations de la presse. Le prospectus 2021 d'IAG indique que la perte de services informatiques en mai 2017 a entraînéplus de 500 annulations de vols. Unrapport de Bloomberg repris par centres de données Knowledgedonne une estimation quotidienne de 479 vols annulés le 27 mai et 193 le 28 mai, plus quelques-uns le 29 mai. Étant donné que la divulgation officielle d'IAG et la taxonomie de la presse peuvent compter les horaires différemment, cette analyse utilise « plus de 500 » comme échelle confirmée par la société et traite les chiffres plus fins comme des estimations rapportées.

Ce qui est confirmé, inféré, contesté et inconnu

La responsabilité dépend du refus d'une fausse précision. Quatre étiquettes de preuve empêchent que différentes affirmations ne se fondent en un seul récit.

Registre confirmé de la société et du régulateur.Les comptes déposés de BA pour 2017 indiquent qu'une panne d'alimentation s'est produite dans le centre de données principal du groupe et a causé de graves perturbations pour les clients et les vols. Les mêmes comptes indiquent que la direction a identifié les causes profondes et a lancé un programme complet pour améliorer l'infrastructure et la résilience de l'alimentation et de l'informatique. Le comité d'audit et de conformité d'IAG indique avoir reçu des mises à jour régulières sur l'état de l'enquête, l'identification des causes profondes et la récupération immédiate et à plus long terme. La correspondance de la CAA confirme que le régulateur et la compagnie aérienne discutaient du réacheminement, de la prise en charge, de l'information et de l'indemnisation après l'incident. Ces registres établissent la classe de l'événement, la reconnaissance par la société et la réponse en matière de gouvernance.

Inférence étayée.Un événement électrique local n'aurait pas dû supprimer le service critique pour les passagers à cette échelle si la protection électrique, les communications, le traitement alternatif, la cohérence des données et les procédures de récupération avaient collectivement fourni une continuité efficace. C'est une inférence tirée du résultat et de la finalité du système. Elle ne nous dit pas quel composant a défailli en premier, si un site alternatif a reçu du trafic, ou si une sauvegarde conçue était absente, défectueuse, contournée ou vaincue par une dépendance partagée.

Affirmations contestées.Le syndicat GMB a soutenu que des réductions d'emplois et une externalisation antérieures avaient affaibli la capacité informatique de BA et rendu l'événement évitable. BA a rejeté tout lien de causalité et a déclaré que les parties impliquées dans cet événement local du centre de données étaient locales. L'enregistrement ITV du 27 maiconserve l'allégation du syndicat et la réponse de BA. Aucune des deux positions n'est une enquête technique. L'externalisation est un contexte de gouvernance réel, mais une association temporelle entre un changement de personnel et une panne ne prouve pas qu'un fournisseur offshore a effectué l'action électrique pertinente ou causé l'échec de la récupération.

Des rapports ont également allégué qu'un entrepreneur avait coupé l'alimentation. L'entreprise de services aux installations associée dans les rapports de presse au site a déclaré que les affirmations selon lesquelles la cause avait été déterminée n'étaient pas fondées. Lerapport du 2 juin contenant ce démentiest la raison pour laquelle cet article ne qualifie pas la personne d'entrepreneur, ne nomme pas d'employeur et ne traite pas l'allégation comme réglée.

Détail technique inconnu.Aucun rapport d'enquête indépendant public examiné pour cet article ne fournit de schéma unifilaire, de journal d'événements, d'état de l'ASI, d'historique des disjoncteurs, de réglage de protection, de permis de maintenance, d'instruction de commutation, de topologie de réseau, d'inventaire des dommages, de résultat de test de site alternatif, d'objectif de temps de récupération ou d'ordre de restauration des applications. Le registre public ne divulgue pas non plus l'identité de l'enquêteur indépendant ni son avis final. On ignore si l'interruption initiale est due à une défaillance d'équipement, une maintenance autorisée, une action non autorisée, des instructions mal comprises ou une combinaison de facteurs. On ignore également exactement pourquoi le traitement alternatif n'a pas préservé une opération passagers minimale.

Cette lacune est importante car un compte rendu d'un cadre supérieur peut être sincère tout en étant incomplet. Le 5 juin, Walsh a déclaré à des journalistes qu'un ingénieur avait débranché l'alimentation sans interruption et que la restauration incontrôlée avait causé des dommages. Il a également annoncé une enquête indépendante complète. Unrapport Reuters de cette annonceest une preuve attribuable de ce que le directeur général d'IAG a dit. Il ne remplace pas le rapport non publié, les journaux sous-jacents, les entretiens avec les témoins ou les résultats des tests.

Anatomie causale: déclencheur, cause profonde et conditions contributives

Déclencheur: interruption de l'alimentation du centre de données

Le déclencheur est l'événement immédiat qui a forcé le système dans un état anormal. La formulation la plus étroitement défendable est une interruption de l'alimentation du centre de données principal de BA le matin du 27 mai. Le rapport annuel 2017 de BA utilise « panne d'alimentation », tandis que les rapports semestriels d'IAG utilisent « panne d'alimentation » ou « panne de courant ». Ce sont des sources plus solides que les premières références à une surtension du réseau.

Cette distinction résout une contradiction apparente. Les fournisseurs d'électricité locaux auraient déclaré n'avoir observé aucune surtension sur leurs réseaux. BA a ensuite fait référence à un retour incontrôlé de l'alimentation à l'intérieur du site. Les deux peuvent être vrais si la condition dommageable était en aval de la limite du service public, mais les preuves publiques ne prouvent pas cette topologie. L'article ne dit donc pas qu'une surtension du réseau externe a déclenché l'événement.

Cause technique profonde: les contrôles de continuité n'ont pas préservé ni récupéré le service en toute sécurité

Qualifier la panne d'« erreur humaine » est trop superficiel. Même si un opérateur a effectué une action incorrecte, une installation critique devrait limiter l'autorité, exiger une confirmation pour les commutations dangereuses, préserver les preuves, isoler les domaines de défaillance et récupérer par des procédures testées. L'événement a atteint les passagers parce que la conception combinée de la continuité de l'alimentation, des communications et de l'informatique n'a pas réussi à maintenir les processus essentiels de la compagnie aérienne disponibles et n'a pas réussi à les restaurer dans un délai opérationnellement tolérable.

À un niveau plus spécifique, BA a déclaré que l'alimentation était revenue de manière incontrôlée et avait physiquement endommagé le matériel de communication. Les reportages spécialisés de l'époque ont souligné que la question sans réponse était de savoir pourquoi un deuxième centre de données n'avait pas fourni une continuité utilisable. Lareconstitution de centres de données Dynamicsrapporte le récit en deux étapes de BA, deux centres de données et l'incertitude entourant le basculement. Elle qualifie également les interprétations des experts d'interprétations. C'est la bonne utilisation des preuves: elle identifie les questions techniques, pas les réponses tranchées.

L'énoncé de la cause profonde doit donc rester fondé sur le résultat: l'architecture et les contrôles de récupération de BA n'ont pas toléré et récupéré en toute sécurité de l'événement électrique du site principal. Il serait exagéré d'affirmer qu'un modèle d'ASI particulier a défailli, que les deux sites ont perdu l'alimentation indépendante ou qu'un serveur spécifique a été détruit. Ces détails ne figurent pas dans les documents déposés par la société.

Condition contributive 1: concentration dans les communications et la messagerie

Cruz a déclaré que des dizaines de millions de messages transitaient quotidiennement entre environ 200 systèmes et que la panne des communications avait affecté ces systèmes. Une structure de messagerie peut transformer une perte d'infrastructure locale en indisponibilité systémique lorsque les applications dépendent d'échanges opportuns pour les dossiers passagers, le chargement des avions, les bagages, les équipages, le contrôle des départs et l'état des vols. Même si les serveurs d'applications restent alimentés, des messages périmés ou manquants peuvent rendre leur sortie dangereuse à utiliser.

Il s'agit d'une inférence de dépendance étayée, et non de la preuve qu'un produit middleware nommé était le point de défaillance unique. BA n'a pas publié de carte de services, d'arriéré de file d'attente, de plan de rapprochement des données ni des 200 systèmes qui étaient matériellement indisponibles. La question de responsabilité est de savoir si la direction savait quel ensemble minimum de messages était nécessaire pour faire partir un vol et si ce chemin pouvait fonctionner indépendamment pendant la récupération.

Condition contributive 2: le traitement alternatif n'a pas fourni une opération minimale viable

La redondance est une propriété démontrée par le service, et non par le nombre d'actifs. Deux salles, deux unités ASI ou deux centres de données n'assurent pas la continuité s'ils partagent des dépendances réseau, d'identité, de stockage, de gestion, de message, de contrôle d'alimentation ou de récupération. Un secours nominal n'aide pas non plus si l'intégrité des données ne peut être établie, si le trafic ne peut être commuté ou si le personnel n'a pas l'autorité de déclarer le primaire indisponible.

L'incident montre que BA n'a pas obtenu un traitement alternatif efficace assez rapidement pour éviter des annulations massives. Il ne montre pas pourquoi. Les explications possibles incluent des dépendances partagées, une capacité insuffisante, des communications indisponibles, une réplication incomplète, un séquençage de récupération ou une décision de ne pas basculer parce que l'état ne pouvait être fiable. Sans le rapport indépendant, choisir l'une d'entre elles transformerait une question de contrôle en fait inventé.

Condition contributive 3: la restauration était un problème applicatif, pas seulement une tâche électrique

La reprise de l'alimentation comporte au moins trois étapes. L'installation doit être électriquement stable; l'infrastructure et les communications doivent être restaurées dans un ordre de dépendance contrôlé; et les applications doivent être rapprochées à un état opérationnel connu. Remettre tout l'équipement en marche en même temps peut créer un appel de courant, une agitation du réseau et une contention applicative simultanée. Le faire trop lentement peut manquer la fenêtre opérationnelle. Dans les deux cas, un voyant d'alimentation vert ne prouve pas que les messages d'enregistrement, de contrôle de charge ou de bagages sont complets.

C'est pourquoi une restauration sûre nécessite un graphe de dépendances, un manuel par étapes, une source de temps autoritaire, un rapprochement des files d'attente et des bases de données, et une propriété explicite des décisions go/no-go. Le registre public étaye la conclusion que la récupération de la messagerie était centrale. Il ne divulgue pas si les manuels de BA contenaient ces contrôles ou comment ils ont fonctionné.

Condition contributive 4: le moment de pointe a amplifié les conséquences

L'incident s'est produit le premier jour d'un week-end férié au Royaume-Uni et de vacances scolaires de mi-trimestre. Des charges de passagers élevées et une capacité alternative limitée signifiaient moins de sièges libres, de chambres d'hôtel et de ressources aéroportuaires. Le moment de pointe n'a pas causé la panne d'alimentation. Il a augmenté le nombre de personnes exposées et rendu le réacheminement et la prise en charge plus difficiles. Un plan résilient devrait utiliser un scénario de pointe sévère mais plausible plutôt que de supposer une fenêtre de maintenance calme.

Détection, réponse et récupération

Détection: la panne était évidente, mais les preuves d'état de contrôle ne sont pas publiques

Les symptômes visibles pour les vols étaient immédiats: files d'attente à l'enregistrement, échec des processus de bagages, canaux clients indisponibles et retards au départ croissants. Ce qui n'est pas public, c'est le chemin de détection interne. Un enregistrement mature montrerait la première alarme de l'installation, la première alarme de service, qui a déclaré l'incident, quand la gestion de crise a commencé, quelle télémétrie a survécu et quand les dirigeants ont appris que la récupération dépasserait la fenêtre opérationnelle de la journée.

Cette distinction sépare la détection de l'impact du diagnostic de la cause. BA a détecté une défaillance opérationnelle grave assez rapidement pour émettre des avertissements publics et annuler des vols. Cela ne prouve pas que les ingénieurs connaissaient immédiatement l'état électrique, l'étendue des dommages ou le chemin de restauration sûr. L'explication publique changeante suggère que le diagnostic a évolué, ce qui est normal lors d'un incident complexe. La responsabilité consiste à préserver les preuves et à mettre à jour les affirmations à mesure que la certitude change, et non à exiger une certitude instantanée.

Réponse: l'annulation a contenu le désordre des terminaux et du réseau, mais la communication a été altérée

L'annulation des départs restants de Heathrow et Gatwick était une décision de continuité d'activité après l'échec de la continuité technique. Elle a réduit le risque de retenir indéfiniment des passagers et d'essayer de faire partir des vols sans traitement fiable. Pourtant, l'annulation massive a créé une deuxième charge de travail: notification, remboursements, reprogrammation, prise en charge, retour des bagages et protection des correspondances.

Les canaux censés effectuer ce travail faisaient partie de l'écosystème affecté. Les clients ont signalé des difficultés à obtenir des mises à jour, tandis que le personnel était confronté à des informations opérationnelles changeantes et à des terminaux bondés. Le déploiement de personnel supplémentaire par Heathrow a aidé à la présence physique, mais le personnel de l'aéroport ne pouvait pas créer d'inventaire de réservation BA ni prendre toutes les décisions concernant les autres transporteurs.

C'est la leçon de continuité passagers: une compagnie aérienne a besoin d'un moyen hors bande pour identifier les personnes affectées, publier un message opérationnel stable, diffuser des informations sur les droits et autoriser la prise en charge lorsque les canaux numériques principaux sont dégradés.

Récupération: la disponibilité technique, la viabilité des vols et l'achèvement pour les passagers sont des jalons différents

Un registre de récupération défendable suivrait au moins trois horloges. La première se termine lorsque l'infrastructure et les applications de base sont techniquement stables. La deuxième se termine lorsqu'un programme viable peut être exploité sans créer de nouveaux déplacements. La troisième se termine lorsque les passagers et les bagages affectés atteignent un état résolu et que les réclamations sont traitées.

La chronologie de BA démontre l'écart. De nombreux systèmes sont revenus le dimanche, la plupart des vols le lundi, un programme complet a été signalé le mardi, et le travail sur les bagages et les indemnisations s'est poursuivi. Un tableau de bord d'incident qui s'arrêterait à la disponibilité des serveurs sous-estimerait matériellement le préjudice. La responsabilité de continuité passagers nécessite des mesures telles que les passagers réacheminés, la fourniture d'hôtels et de repas, le délai moyen de notification, les bagages réunis, l'arriéré de réclamations et le délai jusqu'à la résolution finale.

Le test des droits des passagers est indépendant de l'explication de la panne

Au moment de l'événement, le règlement (CE) 261/2004 s'appliquait au Royaume-Uni. Sa structure est délibérément modulaire. Selon lerèglement officiel, l'annulation engage les choix de l'article 8 entre le remboursement et le réacheminement, l'article 9 sur la prise en charge, et potentiellement l'article 7 sur l'indemnisation forfaitaire. L'article 5, paragraphe 3, offre au transporteur une défense contre l'indemnisation forfaitaire s'il prouve des circonstances extraordinaires qui n'auraient pas pu être évitées même avec toutes les mesures raisonnables. Cette défense n'efface pas les articles 8 et 9.

Remboursement et réacheminement

L'article 8 donnait aux passagers affectés un choix: remboursement, réacheminement à la première occasion dans des conditions comparables, ou réacheminement à une date ultérieure convenable sous réserve de places disponibles. Lesdirectives officielles de la CAA sur le réacheminement selon l'article 8indiquent que les compagnies aériennes doivent fournir aux passagers des informations complètes sur les options de réacheminement, y compris les vols sur d'autres compagnies aériennes, et supporter la charge de prouver que l'option offerte était à la première occasion. Elle attend également des compagnies aériennes qu'elles conservent des registres des options identifiées et proposées.

Ces exigences font du réacheminement une question de preuve concrète plutôt qu'une assurance générale que la reprise était en cours. Pour la perturbation de mai 2017, une évaluation défendable nécessiterait des preuves au niveau des passagers concernant la disponibilité, les tentatives de contact, l'urgence, les conditions comparables, les alternatives identifiées par BA et ce qu'elle a effectivement proposé. Les directives ultérieures de la CAA énoncent la norme de contrôle; elles n'établissent pas par elles-mêmes si BA a respecté cette norme pour chaque itinéraire affecté.

Prise en charge et frais raisonnables

L'article 9 sur la prise en charge incluait des repas et rafraîchissements en rapport raisonnable avec le temps d'attente, un hébergement à l'hôtel lorsqu'un séjour d'une nuit devenait nécessaire, le transport entre l'aéroport et l'hébergement, et des communications. Lerapport de conformité CAP 1500 de la CAA de février 2017mettait l'accent sur la prise en charge proactive, la priorité pour les passagers à mobilité réduite et les enfants non accompagnés, et le remboursement des frais nécessaires, raisonnables et appropriés lorsque la prise en charge n'était pas offerte.

La séparation juridique d'avec la cause est déterminante. Dans l'affaireMcDonagh contre Ryanair, la Cour de justice a estimé que le devoir de prise en charge continuait même dans des circonstances extraordinaires telles que la fermeture de l'espace aérien en raison de cendres volcaniques. Leregistre de l'affaire C-12/11 de la CJUEconfirme qu'il n'existe pas de catégorie distincte d'événement particulièrement extraordinaire qui supprime le devoir de prise en charge. Par conséquent, le caractère contrôlable de l'événement électrique de BA affecte l'analyse de l'indemnisation forfaitaire; il ne détermine pas si un passager attendant une nuit avait droit à une prise en charge.

La correspondance de la CAA montre les frictions pratiques. Le régulateur a remis en question le libellé du site web de BA renvoyant les clients vers les assureurs et excluant certains frais de transfert aéroportuaire. BA a déclaré qu'elle prendrait en charge les frais prévus par le règlement 261, que les clients aient ou non une assurance voyage, modifierait les pages concernées et rembourserait les frais de transfert admissibles lorsque BA réacheminerait un client vers une autre destination. C'est une preuve de correction pendant la reprise.

Ce n'est pas la preuve que chaque client a vu le message corrigé ou a reçu une prise en charge en temps opportun.

Droits à l'information et communication

L'article 14 du règlement 261 exigeait une notification des droits des passagers. Ce n'était pas nouveau pour BA en mai 2017. Le 29 juillet 2016, BA avait pris l'engagement auprès de la CAA de fournir des informations sur les droits aux passagers retardés de plus de deux heures. Letableau actuel des engagements de la CAAexplique que les engagements sont volontaires, ne constituent pas un aveu de faute ou de responsabilité, et que seul un tribunal peut décider si une violation a eu lieu.

Les preuves antérieures à l'événement sont nuancées. Le CAP 1500, publié en février 2017, a évalué British Airways comme « bonne » pour l'assistance et la prise en charge. Il décrivait la référence comme une prise en charge proactive dans la plupart des cas, des remboursements de frais rapides, une attention aux passagers vulnérables, des procédures écrites, une formation et une supervision. Cela empêche une affirmation simpliste selon laquelle BA n'avait pas de politique.

Cela renforce également le test de contrôle: ces politiques pouvaient-elles fonctionner à l'échelle d'une perturbation de masse lorsque le contact client, la réservation et les informations aéroportuaires dépendaient des systèmes défaillants?

La correspondance post-événement indique qu'un représentant de BA avait vu des dépliants sur les droits distribués dans le terminal 5 et que la disponibilité des dépliants était examinée par l'équipe de gestion de crise. La CAA a demandé l'examen post-perturbation de BA, les registres de distribution de Heathrow et d'autres aéroports, et des exemples de lettres personnalisées aux passagers. Ces demandes montrent que le régulateur cherchait des preuves d'exécution plutôt que d'accepter simplement le langage de la politique. Le dossier divulgué ne contient pas d'audit final complet de chaque emplacement.

Indemnisation forfaitaire et circonstances extraordinaires

Pour les annulations notifiées à bref délai et les longs retards admissibles, le règlement 261 prévoyait des sommes forfaitaires de 250, 400 ou 600 euros selon la distance et d'autres conditions. BA a déclaré à la CAA qu'elle verserait une indemnisation forfaitaire « lorsqu'elle est due ». La phrase préservait une évaluation juridique au cas par cas; ce n'était pas un aveu que chaque annulation y donnait droit.

La question des circonstances extraordinaires ne devrait pas être tranchée par analogie seule. Dans l'affaireWallentin-Hermann contre Alitalia, la CJUE a estimé qu'un problème technique d'un avion n'est pas extraordinaire à moins qu'il ne découle d'événements qui ne sont pas inhérents à l'activité normale du transporteur et qui échappent à son contrôle effectif. Leregistre officiel de l'affaire C-549/07place la charge de la preuve sur le transporteur et exige des mesures raisonnables. Leslignes directrices interprétatives de 2016 de la Commission européenneconsolident cette jurisprudence.

Ces autorités concernaient des défauts techniques d'avions, et non une panne d'alimentation d'un centre de données d'entreprise. Elles rendent le contrôle et l'activité inhérente pertinents, mais elles ne tranchent pas automatiquement pour chaque vol BA de 2017. Un tribunal aurait besoin de preuves sur la cause, le contrôle du transporteur, les mesures raisonnables et le lien de causalité avec l'annulation ou le retard spécifique. L'absence de rapport technique public rend les déclarations juridiques catégoriques particulièrement dangereuses.

La correspondance de la CAA n'est pas une décision d'infraction. Elle enregistre des questions, des attentes et des engagements de BA pendant la reprise. Lesarchives des plaintes des passagers de 2017 de la CAAavertissent également que le nombre de plaintes n'est pas équivalent aux décisions ou aux paiements, et que son équipe de conseil et de plaintes des passagers n'avait pas le pouvoir de lier une compagnie aérienne sur une indemnisation individuelle. En conséquence, cet article ne trouve dans le registre cité aucune base pour déclarer une conformité universelle ou une violation universelle.

Impact financier et limites du chiffre

Le rapport du premier semestre 2017 de British Airways donne le coût reconnu le plus clair. Il indique que les coûts de manutention, de restauration et autres coûts d'exploitation incluaient56 millions de livres sterling de frais d'indemnisation supplémentaires et de réclamations de bagagessuite à la panne d'alimentation, et que BA continuait à travailler avec les clients pour honorer ses obligations d'indemnisation. IAG a déclaré la même provision pour 65 millions d'euros dans sa monnaie de groupe. Il ne faut pas les additionner.

La provision est une preuve de l'exposition matérielle aux recours des passagers et aux bagages. Elle n'inclut pas tous les effets sur les revenus, les coûts de personnel, la location avec équipage, les hôtels payés directement, la perte de réputation, le temps des passagers, les événements manqués ou les coûts en aval pour l'industrie du voyage. La comptabilisation ne prouve pas non plus que chaque réclamation était légalement exigée plutôt que réglée commercialement. C'est une catégorie de passif d'entreprise mesurée, et non une estimation complète du bien-être.

Trois rapprochements sont nécessaires avant d'utiliser ce chiffre dans l'analyse de responsabilité. Premièrement, le chiffre de 56 millions de livres sterling de BA et celui de 65 millions d'euros d'IAG sont des présentations en monnaie de reporting de la même provision, et non des pertes distinctes. Deuxièmement, une provision enregistre l'estimation de la société au cours d'une période comptable; il ne s'agit ni d'un total final en espèces versées ni d'un nombre de passagers.

Troisièmement, une indemnisation ultérieure des fournisseurs est une récupération comptabilisée dans une période différente et ne peut être compensée avec la provision pour les passagers sans les détails non divulgués du règlement et de la comptabilité. Garder ces registres séparés empêche une écriture comptable importante mais limitée de devenir un coût total inventé ou une attribution juridique implicite de la faute.

Les divulgations ultérieures d'IAG ajoutent deux signaux de responsabilité. Ses résultats 2019 indiquent que les coûts immobiliers, informatiques et autres ont bénéficié d'une indemnisation ponctuelle des fournisseurs liée à la panne de 2017 tout en étant partiellement compensés par des investissements dans la résilience et l'infrastructure informatique. L'annonce des résultats 2019ne nomme pas le fournisseur, ne divulgue pas les termes du règlement et n'attribue pas de constatation juridique publique. Elle prouve qu'une récupération auprès d'un fournisseur a été reconnue, et non qu'un entrepreneur particulier a causé l'événement déclencheur.

Gouvernance: qui avait le contrôle pratique

Direction exécutive de British Airways

BA a vendu l'itinéraire, exploité les vols et contrôlé la réponse client. La direction exécutive était donc responsable du résultat intégré de continuité: priorités d'investissement, définitions des services critiques, gouvernance des fournisseurs, autorité en cas d'incident, décisions relatives aux horaires, communications et capacité de traitement des réclamations. Cette responsabilité demeure même lorsqu'un fournisseur spécialisé exploite une installation ou un composant. La sous-traitance transfère les tâches et les recours; elle ne transfère pas la relation passager.

Le rapport annuel 2017 de BA est franc sur la dépendance. Il indique que BA s'appuyait sur l'informatique pour ses principaux processus métier, sur l'infrastructure informatique des fournisseurs et sur les opérateurs de bagages des aéroports. Il indique également que des contrôles système, une reprise après sinistre et des dispositions de continuité d'activité existaient. Le mêmerapport annuel déposéindique que l'événement a conduit la direction à revoir ses opérations commerciales et ses plans de continuité. La question de responsabilité n'est donc pas de savoir si des plans existaient, mais quelle assurance montrait qu'ils pouvaient survivre à ce mode de défaillance.

Propriétaires du contrôle des installations, de l'alimentation et de l'informatique

Les propriétaires du contrôle des installations avaient le contrôle pratique de l'autorité de commutation, des permis de maintenance, de la configuration des ASI et des générateurs, des alarmes physiques, de l'isolement et de la restauration en toute sécurité. Les propriétaires informatiques contrôlaient les cartes de services, l'ordre des dépendances, la validation des données, la déclaration de basculement et la publication des applications.

Lorsque ces rôles se croisaient, un commandement d'incident unique devait avoir l'autorité de décider si le site était électriquement sûr, si l'état de l'infrastructure était fiable et si la compagnie aérienne pouvait reprendre le traitement des vols.

Aucune preuve publique n'attribue ces contrôles à une personne nommée. Une bonne analyse de responsabilité examine la conception des rôles, l'autorisation et la vérification avant la conduite individuelle. Si une seule action pouvait déconnecter un site principal en direct et qu'une restauration incontrôlée pouvait endommager l'équipement critique, la direction devrait montrer pourquoi le double contrôle, les verrouillages, la confirmation par les pairs, les enregistrements des modifications et le service alternatif n'ont pas empêché l'escalade.

Fournisseurs

Les fournisseurs possédaient les contrôles des installations, de l'ingénierie, du réseau ou des logiciels que leurs contrats attribuaient. Ils devaient également à BA des preuves complètes de l'incident dans ces limites. Mais les portées des contrats publics ne sont pas disponibles. Il est donc inapproprié de déduire qu'un fournisseur de logiciels offshore contrôlait la commutation électrique locale, ou qu'un fournisseur d'installations contrôlait le basculement applicatif. L'indemnisation des fournisseurs reconnue ultérieurement par IAG signale un recours contractuel sans divulguer son fondement factuel.

BA restait responsable de l'intégration des contrôles des fournisseurs. Le propre rapport annuel de l'organisation reconnaissait que l'externalisation et les chaînes d'approvisionnement complexes augmentaient la dépendance vis-à-vis des fournisseurs critiques. Une gouvernance efficace cartographierait chaque objectif de récupération à un propriétaire responsable, une mesure de niveau de service, une source de preuves et un exercice interfournisseurs.

Heathrow, Gatwick et les systèmes aéroportuaires partagés

Les aéroports contrôlaient l'accès aux terminaux, la gestion des foules, les installations partagées, les postes de stationnement et une partie de l'infrastructure bagages; BA contrôlait ses vols, les dossiers passagers et les décisions de la compagnie aérienne. Heathrow a déployé du personnel supplémentaire du service client. Le retour plus rapide de Gatwick à un programme BA quasi normal indique que les conditions d'exploitation locales importaient. Aucun des deux aéroports n'a causé la panne d'alimentation du centre de données principal de BA selon les preuves publiques.

La frontière exigeait néanmoins des plans conjoints. Un vol annulé peut laisser des bagages à l'intérieur d'un flux géré par l'aéroport tandis que la propriété de la notification et du réacheminement des passagers reste à la compagnie aérienne. Les exercices aéroportuaires et des compagnies aériennes doivent tester ce transfert, y compris comment cesser d'accepter des bagages, retourner les bagages acceptés, protéger les personnes vulnérables et publier une instruction cohérente.

Supervision du conseil d'IAG et de la CAA

Le comité d'audit et de conformité d'IAG a reçu des mises à jour régulières du président et du directeur financier de BA ainsi que de ses directeurs informatique et des installations. Lerapport du comitéindique que les mises à jour couvraient l'enquête, les causes profondes et la récupération immédiate et à plus long terme. C'est une preuve de supervision de haut niveau. Ce n'est pas une assurance technique indépendante car les contributions divulguées provenaient de la direction et le rapport ne donne aucun critère de clôture.

Le contrôle pratique de la CAA était la supervision du droit de la consommation, et non l'exploitation des centres de données ou des vols de BA. Sa correspondance rapide a clarifié les attentes en matière de réacheminement, de prise en charge, d'information et d'indemnisation. Un régulateur peut exiger des preuves et poursuivre une application collective; il ne peut pas exploiter le tissu de messagerie d'une compagnie aérienne ni décider instantanément de milliers de réclamations factuelles. Garder cette frontière claire empêche que la défaillance technique soit étiquetée à tort comme une causalité réglementaire.

Ce qui compterait comme une réparation vérifiable de la résilience

L'incident a généré des promesses, des dépenses et une activité de gouvernance. La responsabilité durable exige des preuves que le chemin de défaillance spécifique est maîtrisé. Cinq classes de preuve sont nécessaires.

1. Preuve de contrôle de l'alimentation

BA devrait être en mesure de produire des schémas unifilaires actuels, des registres de tests de protection et d'ASI, des preuves de capacité des générateurs et des batteries, des permis de commutation, une autorité basée sur les rôles, une double confirmation pour les actions à conséquences élevées et des journaux d'événements immuables. Les procédures de restauration devraient définir une charge étagée, des vérifications de communication et des critères d'abandon.

Un exercice de maintenance devrait prouver que le chemin principal peut être isolé sans supprimer le service essentiel et que la restauration ne peut pas contourner la vérification requise.

Ce n'est pas une invention rétrospective. Les directives de continuité d'activité du gouvernement britannique indiquent que les plans ne sont pas fiables tant qu'ils n'ont pas été exercés et identifient spécifiquement les tests de systèmes tels que l'alimentation sans interruption. La norme est la preuve d'un contrôle réalisable, et non la possession d'un document.

2. Preuve de traitement alternatif

Un site alternatif doit démontrer son indépendance par rapport au domaine de défaillance initial et une capacité suffisante pour une compagnie aérienne minimale viable. Les tests devraient prouver la disponibilité de l'identité, du réseau, des données, des messages et des applications; des objectifs de temps de récupération et de point de récupération mesurés; et un ordre déclaré pour les services critiques pour les passagers. Une interruption complète peut ne pas toujours être sûre, mais un basculement de production contrôlé, une répétition isolée et le retrait de composants peuvent collectivement fournir des preuves.

Leguide de planification de la continuité SP 800-34 du NISTrecommande une analyse d'impact sur les activités, des stratégies de récupération, des tests et la maintenance des plans. Ses directives de test envisagent expressément de couper l'alimentation d'un système ou d'un composant et d'utiliser des critères de succès quantifiables. Lescontrôles de continuité SP 800-53 du NISTexigent des tests de plans, un examen des résultats et des actions correctives, y compris des tests dans les sites de traitement alternatifs. Il ne s'agit pas d'obligations légales imposées à BA par ces publications américaines; ce sont des références faisant autorité sur ce à quoi ressemble une récupération fondée sur des preuves.

3. Preuve applicative tenant compte des dépendances

BA a besoin d'un inventaire qui lie les résultats commerciaux aux applications, messages, bases de données, réseaux, installations et fournisseurs. Un test devrait montrer que l'enregistrement, le contrôle des départs, la planification des vols, les équipages, le contrôle de charge, les interfaces bagages, la notification client et la reprogrammation peuvent soit fonctionner en toute sécurité, soit échouer de manière contrôlée. La récupération doit prouver le rapprochement des files d'attente et l'intégrité des données, et pas seulement la disponibilité des processus.

Le National Cyber Security Centre du Royaume-Uni fait le même point général dans leprincipe B5 sur les réseaux et systèmes résilients: les organisations doivent comprendre les dépendances, planifier les mises à niveau physiques telles que les changements d'alimentation électrique pour éviter les interruptions imprévues et concevoir en prévision d'une défaillance du système. Le principe couvre la cyber-résilience et la résilience des systèmes; le citer ne reclassifie pas l'événement de 2017 comme une cyberattaque.

4. Preuve de continuité passagers

Les exercices techniques devraient inclure les conséquences pour les clients d'une panne prolongée. BA peut-elle identifier les passagers affectés à partir d'un extrait de données indépendant? Peut-elle envoyer un avis stable sans la plateforme principale? Les équipes aéroportuaires peuvent-elles diffuser des informations sur les droits et autoriser des repas et des hôtels? Les agents peuvent-ils réacheminer sur d'autres transporteurs? La compagnie aérienne peut-elle cesser l'acceptation des bagages et rapprocher les bagages déjà enregistrés? La capacité de traitement des réclamations peut-elle évoluer sans cacher un arriéré croissant?

Les critères de succès devraient inclure le délai de notification, la couverture des contacts, l'achèvement du réacheminement, le soutien aux passagers vulnérables, le rapprochement des bagages et le vieillissement des réclamations. C'est là que les grandes entreprises et les petites entreprises de voyage partagent un intérêt de continuité. Les agents de voyage, les hôtels, les opérateurs de transfert et les gestionnaires de voyages d'affaires dépendent de l'état précis des compagnies aériennes; une panne qui le retient transfère le travail de récupération et la pression de trésorerie dans la chaîne de service plus large.

5. Preuve de clôture indépendante et de récurrence

La preuve finale devrait cartographier chaque cause profonde et contributive à une action corrective, un propriétaire, une date d'échéance, un test, un résultat, un risque résiduel et une acceptation par le conseil. Un examinateur indépendant devrait vérifier un échantillon représentatif et énoncer les limites. La publication peut omettre la topologie sensible à la sécurité, mais elle peut encore divulguer la portée des tests, les objectifs de récupération atteints, les exceptions matérielles et la clôture de la gouvernance.

Le registre public n'atteint pas ce niveau. Le rapport annuel 2017 de BA indique qu'un programme complet a commencé et que des actions clés étaient déjà mises en œuvre. Le rapport annuel 2021 d'IAG a décrit plus tard trois programmes de migration de centres de données déplaçant les systèmes vers une infrastructure hébergée dans le cloud pour une résilience et des performances améliorées. Lerapport 2021est une preuve de modernisation, et non la preuve que chaque lacune de contrôle de 2017 a été comblée.

Le rapport 2023 de BA ajoute des contrôles continus plus spécifiques: migration vers le cloud depuis des centres de données sur site, remédiation et redondance du réseau, contrôles système, reprise après sinistre, continuité d'activité et plans de retour pour les migrations d'infrastructures critiques. Lerapport annuel 2023 de BAfait ces affirmations de première main. Il ne publie pas les résultats des exercices, et les pannes ultérieures de BA signifient que la modernisation ne doit pas être interprétée comme une immunité permanente.

Le compte rendu le plus récent d'IAG offre un signal d'observation. Sonrapport annuel 2025indique que BA a modernisé les systèmes critiques d'enregistrement, de planification des vols, de gestion des vols et de contrôle de charge en temps critique, amélioré la ponctualité en 2025 et récupéré plus rapidement après la panne d'alimentation de l'aéroport de Heathrow en mars 2025. Il s'agissait d'un événement différent en dehors du centre de données de BA et ne peut pas servir de retest contrôlé du scénario de 2017. Cela montre cependant qu'IAG rend maintenant compte de la résilience en termes de résultats pour les clients et les opérations, et pas seulement d'activité d'infrastructure.

Matrice de responsabilité

Le tableau répartit le contrôle opérationnel, et non la culpabilité juridique. Un fournisseur peut contrôler un disjoncteur sans contrôler la communication avec les passagers; une compagnie aérienne peut devoir une prise en charge sans exploiter un hôtel d'aéroport; et un régulateur peut faire respecter les obligations d'information sans contrôler la conception du centre de données. La responsabilité nécessiterait le devoir applicable, la violation, la causalité, le dommage et le dossier procédural.

Conclusion

La panne de British Airways de mai 2017 n'était pas importante parce que les compagnies aériennes ne devraient jamais perdre un serveur ou subir une interruption d'alimentation. Elle était importante parce qu'un seul événement d'infrastructure a supprimé suffisamment du tissu opérationnel numérique de la compagnie aérienne pour annuler une grande partie de son programme, séparer les passagers de leurs bagages et submerger les mécanismes censés expliquer et réparer les perturbations.

Les preuves publiques étayent une conclusion ferme mais limitée. Le centre de données principal de BA a subi une panne d'alimentation. Les contrôles de continuité et de récupération n'ont pas préservé le service critique pour les passagers. Les dépendances de communication et de messagerie ont propagé l'effet à de nombreux systèmes. Les opérations de Heathrow et Gatwick ont récupéré à des rythmes différents, et la récupération des passagers et des bagages a duré plus longtemps que la restauration technique.

BA a comptabilisé 56 millions de livres sterling de coûts supplémentaires d'indemnisation et de réclamations de bagages, a lancé un programme de résilience et a porté l'enquête devant le comité d'audit et de conformité d'IAG.

Les mêmes preuves n'étayent pas une affirmation définitive sur l'action d'une personne nommée, un fournisseur offshore, la séquence exacte de l'ASI ou le chemin physique des dommages. Ces détails restent derrière une enquête non publiée. Les affirmations de la société selon lesquelles les causes profondes ont été identifiées ne sont pas équivalentes à une preuve technique publique.

La responsabilité envers les passagers repose sur un registre distinct. Le règlement 261 exigeait le réacheminement ou le remboursement, la prise en charge et l'information sur les droits indépendamment de l'obligation éventuelle d'une indemnisation forfaitaire. La correspondance de la CAA montre que BA accepte les obligations fondamentales et modifie certaines informations client tandis que le régulateur insiste pour obtenir des preuves sur le réacheminement par d'autres transporteurs, les transferts, les dépliants et la capacité de réclamations.

Ce registre démontre une récupération et un contrôle actifs; il ne produit pas un verdict de conformité universel.

La leçon durable est probatoire. La résilience n'est pas le nombre de centres de données, l'existence d'un plan de secours ou un programme d'investissement ultérieur. C'est la preuve mesurée que l'alimentation peut être isolée et restaurée en toute sécurité, que le traitement alternatif peut soutenir une opération minimale, que les applications peuvent se rapprocher d'un état connu et que la prise en charge des passagers peut continuer par des canaux dégradés. Les dépôts ultérieurs de British Airways montrent une modernisation soutenue et une attention de gouvernance.

Tant que la portée des tests, les performances de récupération, les exceptions et les preuves de clôture ne sont pas visibles, ils restent des signaux de réparation crédibles plutôt qu'une preuve complète que chaque chemin de défaillance de 2017 a été éliminé.