Résumé

  • L’avis FCC 23-81 décrit deux pannes du réseau filaire de Lumen ayant affecté le 911 au Dakota du Sud et au Dakota du Nord en février 2022. Il s’agit d’un avis de responsabilité apparente proposant une sanction, et non d’une décision finale imposant cette sanction.
  • Au Dakota du Sud, une première carte desservant une voie de signalisation est tombée en panne le 16 février. Le réseau a perdu sa redondance. Le lendemain, une seconde carte a échoué ; le commutateur de Pierre n’a plus pu établir les appels qui devaient quitter sa zone locale, dont certains appels au 911.
  • La panne du Dakota du Sud a duré près de cinq heures et pouvait affecter jusqu’à 14 339 clients filaires de Lumen. Le dossier de la FCC rapporte cependant que, selon Lumen, aucun de ces clients n’a tenté d’appeler le 911 pendant cette période et qu’aucun appel 911 n’a donc échoué lors de ce premier événement.
  • Au Dakota du Nord, une voie de signalisation était restée désactivée après un test. La voie restante dépendait de deux transports par fibre, l’un passant par Chicago et l’autre par Fargo. Une coupure de fibre et un problème de refroidissement ont ensuite dégradé ces deux transports.
  • Les mêmes transports Chicago et Fargo portaient aussi les liaisons qui faisaient entrer les appels dans le réseau 911 de nouvelle génération par le commutateur de Bismarck. Selon la FCC, plusieurs opérateurs d’origine ne disposaient d’aucun chemin alternatif autour de ce point d’entrée.
  • La FCC indique que l’événement du Dakota du Nord a touché 11 PSAP, c’est-à-dire les centres locaux qui reçoivent les appels d’urgence. Elle comptabilise 413 tentatives ayant échoué : 49 semblaient être des appels de test d’opérateur et 364 étaient des appels de consommateurs qui n’ont pas atteint un PSAP.
  • La responsabilité opérationnelle ne se mesure donc pas au nombre de traits « redondants » sur un schéma. Elle se vérifie dans la configuration active, les essais de basculement, le traitement des alarmes, les tickets d’incident et la liste complète des centres directement ou indirectement dépendants.

Le premier avertissement est venu du Dakota du Sud

Selon FCC 23-81, une carte de commutateur est tombée en panne à Pierre le 16 février 2022, vers 5 h 51, heure normale du Centre. Cette carte constituait l’interface vers la voie A–St. Paul d’un point de transfert de signalisation. Une alarme a signalé que cette voie ne fonctionnait plus et que les liens avaient perdu leur redondance.

Un point de transfert de signalisation, souvent abrégé STP, relaie des messages dans le système de signalisation n° 7, ou SS7. Dans un réseau téléphonique filaire classique, le SS7 transporte les instructions nécessaires pour établir, diriger et terminer un appel. Il ne transporte pas la conversation comme telle. Il permet aux commutateurs de savoir où envoyer l’appel et comment ouvrir la connexion.

La première panne n’a pas immédiatement empêché les appels. Elle a laissé la voie B–Minneapolis comme unique chemin de signalisation. La FCC précise que son enquête n’a trouvé aucune trace d’une tentative de diagnostic de la cause de cette première défaillance à ce moment-là. Cette formulation doit rester exacte : l’absence d’une trace dans les éléments examinés ne prouve pas qu’aucune personne n’a rien fait. Elle montre que l’enquête publique n’a pas retrouvé le diagnostic documenté attendu.

Le 17 février, vers 5 h 50, la carte qui desservait la voie B est à son tour tombée en panne. Les deux voies STP étaient désormais indisponibles. D’après l’avis, le SS7 ne fonctionnait plus au commutateur de Pierre. Les appels destinés à sortir de la zone locale ne pouvaient donc plus être établis, y compris les appels 911 qui devaient rejoindre les installations du réseau 911 de nouvelle génération.

Le NG911, ou 911 de nouvelle génération, utilise des technologies IP pour acheminer les appels et les informations associées vers le bon centre. Le mot « nouvelle » ne rend pas automatiquement indépendante toute la chaîne antérieure. Un appel peut dépendre d’un commutateur filaire, de liens de signalisation et de circuits de transport avant d’entrer dans le réseau NG911.

Lumen a pris connaissance de la panne 911 lorsque la seconde voie a échoué. Le dossier indique qu’un technicien a été envoyé à 6 h 50, une heure après cette deuxième défaillance. Des cartes de remplacement étaient stockées sur place. Le technicien a remplacé les deux cartes et le service a été rétabli à 10 h 43.

La panne a duré près de cinq heures. La FCC estime qu’elle pouvait empêcher jusqu’à 14 339 clients filaires de Lumen de joindre le 911. Ce nombre décrit une exposition possible, pas un nombre d’appels perdus ni de personnes lésées. L’avis rapporte que Lumen n’a recensé aucune tentative d’appel 911 pendant la panne et, par conséquent, aucun appel 911 ayant échoué au Dakota du Sud.

Une seconde dépendance se trouvait dans la notification

Le rétablissement technique n’épuisait pas le problème. Lumen disposait aussi d’un processus destiné à identifier les PSAP affectés et à les avertir. Un PSAP est le centre local où des opérateurs reçoivent les appels au 911 et organisent l’envoi des secours.

La FCC indique qu’un flux automatisé devait alimenter un ticket d’incident avec les données permettant d’identifier l’emplacement en panne et les centres concernés. Le ticket contenait au contraire des informations incomplètes et invalides. La diffusion automatique des notifications n’a pas eu lieu. Le suivi manuel prévu n’a pas corrigé l’erreur, et un membre de l’équipe a annulé le ticket après avoir estimé que l’alerte avait été créée à tort.

Certaines étapes sous-jacentes sont caviardées dans l’avis. Il serait donc injustifié d’inventer le nom d’un système, le contenu d’un écran ou l’intention d’une personne. Ce que le document permet d’établir est plus limité : les données nécessaires n’ont pas correctement circulé, les deux PSAP n’ont pas été identifiés à temps et la procédure de rattrapage n’a pas réparé le défaut.

Le lendemain, un membre de l’équipe chargée des rapports de panne a remarqué que des champs normalement renseignés étaient vides. Une analyse interne ultérieure a conclu que deux PSAP du Dakota du Sud avaient été affectés et auraient dû recevoir une notification. Selon la FCC, Lumen les a avertis cinq jours après la fin de la panne.

Cette séquence révèle deux formes de dépendance. Sur le réseau, le service reposait sur la seule carte encore active. Dans la chaîne d’information, l’alerte aux centres reposait sur un ticket suffisamment complet et sur un suivi capable de détecter les données manquantes. Dans les deux cas, une apparence de continuité a survécu jusqu’à la défaillance du dernier élément utile.

Au Dakota du Nord, la panne a commencé avant le premier appel perdu

Le 19 février 2022, Lumen a constaté une instabilité sur l’une des deux voies SS7 desservant les commutateurs de Bismarck, Dickinson et Mandan. Un technicien a désactivé cette voie pour effectuer des essais. Elle a ensuite été réactivée pour Dickinson, mais pas pour Bismarck et Mandan, selon l’avis. Ces deux commutateurs ont continué à fonctionner sur la seconde voie, sans chemin STP redondant.

La voie restante utilisait deux circuits de transport par fibre exploités par un prestataire tiers. L’un passait par Chicago, l’autre par Fargo. Les circuits étaient décrits comme diversifiés : ils étaient censés offrir des options séparées. Mais une diversité utile ne se déduit pas du nom de deux villes. Elle doit résister aux équipements, bâtiments, alimentations, systèmes de refroidissement, processus et points d’entrée que les chemins peuvent encore partager.

Le 21 février, vers 12 h 18, une coupure de fibre est survenue sur le chemin de Chicago près de Henderson, dans le Colorado. Le lendemain matin, des problèmes de chauffage, ventilation et climatisation ont provoqué une surchauffe puis l’arrêt d’équipements sur le chemin de Fargo, perturbant le trafic.

Le dossier fait apparaître un manque de visibilité. Lumen a déclaré ne pas connaître à ce moment-là ni la coupure de Chicago ni le grave problème de refroidissement à Fargo. L’entreprise a dit avoir appris le problème de Fargo environ trente minutes après la fin de la panne 911 et n’avoir appris la coupure de Chicago qu’après le rétablissement du service. Le récit et la chronologie de l’avis ne concordent pas sur l’intervalle précis concernant Chicago ; cet article ne choisit donc pas un chiffre.

Ces délais ne décrivent pas tous les systèmes d’alarme du prestataire, mais ils montrent pourquoi l’état d’une dépendance externe doit être relié au service qu’elle porte.

Le 22 février à 8 h 15, Lumen a reçu une alarme de perte de redondance indiquant l’indisponibilité du chemin de Chicago. À 9 h, une alerte a signalé une panne de connectivité SS7. Selon la FCC, cette perte a empêché la transmission d’appels 911 vers 11 PSAP de l’ouest du Dakota du Nord.

Cette première phase s’est achevée vers 10 h 45, lorsqu’un technicien a réactivé la première voie STP pour Bismarck et Mandan. La connectivité SS7 était rétablie. Pourtant, l’événement dans son ensemble n’était pas terminé.

À 11 h 10, le chemin de Fargo s’est entièrement arrêté tandis que celui de Chicago restait indisponible. Le SS7 n’a pas de nouveau disparu complètement, puisque la première voie venait d’être rétablie. Une autre dépendance partagée a néanmoins bloqué les appels d’urgence.

Le point d’entrée de Bismarck reliait des services différents

Le commutateur de Bismarck avait autrefois rempli une fonction de routage sélectif, qui dirigeait un appel 911 vers le centre compétent pour l’emplacement de l’appelant. Après le passage du Dakota du Nord au NG911, cette fonction n’était plus exercée de la même manière. Le site de Bismarck restait toutefois un point d’entrée, ou ingress : le lieu par lequel les appels de plusieurs opérateurs entraient dans le réseau d’urgence de l’État.

Les liaisons de service d’urgence entre le commutateur de Bismarck et le NG911 empruntaient les mêmes transports Fargo et Chicago que la seconde voie STP. La signalisation et les liaisons d’urgence n’étaient pas le même service technique, mais leur continuité dépendait du même couple de transports à un endroit non contournable. La FCC indique que plusieurs fournisseurs d’origine n’avaient pas de route alternative autour de ce point d’entrée.

Lorsque les chemins de Fargo et de Chicago ont été simultanément indisponibles, le trafic 911 s’est arrêté au commutateur de Bismarck. Le prestataire tiers a résolu le problème de refroidissement à Fargo vers 16 h 08. Le rétablissement de ce chemin a reconnecté Bismarck au réseau NG911 et restauré le service. En comptant ses deux phases, l’événement a perturbé le 911 pendant plus de sept heures.

La FCC estime qu’environ 155 792 utilisateurs ont été affectés. Les appels provenaient de plusieurs fournisseurs, dont Lumen, et de téléphones filaires, mobiles et utilisant la voix sur IP. La voix sur IP, ou VoIP, désigne un service vocal transmis grâce au protocole Internet.

L’avis recense 413 tentatives d’appel au 911 qui n’ont pas abouti. Quarante-neuf semblaient être des tests effectués par un opérateur. Les 364 autres étaient des appels de consommateurs qui n’ont pas atteint un PSAP. Une tentative n’équivaut pas nécessairement à une personne unique : quelqu’un peut rappeler, plusieurs personnes peuvent utiliser une ligne et un opérateur peut tester le service. Le dossier ne dit pas si un appelant a ensuite réussi par une autre voie.

Le document ne relie pas non plus ces tentatives à un décès, une blessure, un retard d’intervention ou une perte matérielle déterminée. Cette limite ne rend pas la panne négligeable : des appels d’urgence n’ont pas atteint leur destination. Elle interdit simplement d’ajouter un récit humain que les éléments publics ne fournissent pas.

La deuxième carte doit relier une panne à tous les centres affectés

Une carte de continuité doit répondre à deux questions distinctes. La première suit le trajet de l’appel : quels commutateurs, liens de signalisation, transports, liaisons d’urgence et points d’entrée sont réellement indispensables ? La seconde suit la conséquence : quels PSAP cessent de recevoir des appels lorsque l’un de ces éléments disparaît, même s’ils ne sont pas directement clients du site en panne ?

Au Dakota du Nord, Lumen a envoyé automatiquement une notification à deux des 11 PSAP à 9 h 07. Trois autres ont été avertis entre 9 h 32 et 9 h 53. Les six derniers ont reçu une notification entre 12 h 21 et 12 h 30.

La FCC explique que le dispositif automatique couvrait les centres directement desservis par le bureau où la panne SS7 apparaissait. Il ne repérait pas immédiatement tous les centres touchés indirectement parce que le commutateur de Bismarck servait de point d’entrée à leurs appels. Après l’événement, l’avis indique que Lumen a modifié la conception afin d’inclure des centres supplémentaires affectés indirectement. Une partie de la description est caviardée.

Cette modification est une mesure déclarée dans le dossier, pas une preuve autonome de résultat. Les sources publiques ne montrent pas quand le changement a été entièrement déployé, comment il a été testé, s’il couvre aujourd’hui chaque dépendance indirecte ni s’il a évité une récidive. Une carte mise à jour sur le papier doit encore correspondre à la configuration et aux essais du réseau en service.

Une alarme n’est utile que si elle déclenche une action liée au service

Les deux événements montrent le coût d’un état dégradé que l’on tolère sans en examiner toute la portée. Au Dakota du Sud, la première carte défectueuse a supprimé la redondance pendant environ une journée. Au Dakota du Nord, une voie est restée désactivée après un test ; puis un transport a subi une coupure pendant que l’autre commençait à surchauffer.

Une alarme « chemin perdu » décrit un composant. Une alarme opérationnelle utile doit aussi répondre : quel service dépend maintenant de la dernière voie, quel point d’entrée deviendra inaccessible si elle échoue, qui prend l’événement en charge et dans quel délai la redondance doit-elle être restaurée ou le risque accepté ?

La même discipline vaut pour la clôture d’une maintenance. Terminer un essai ne suffit pas. Il faut vérifier que chaque voie prévue est revenue dans la configuration active, que les alarmes de redondance ont disparu et qu’un appel représentatif atteint bien le centre attendu. Le rétablissement de 10 h 45 au Dakota du Nord illustre ce point : il a clos la phase SS7, mais pas encore tout le risque de bout en bout.

Les tickets d’incident ont un rôle de registre. Ils doivent conserver un identifiant unique, le fuseau horaire, les composants et services touchés, les données géographiques nécessaires, l’état des notifications et la preuve de restauration. Ils ne maintiennent cependant aucun appel en circulation. La vérité opérationnelle se trouve dans la configuration active et dans un essai montrant que le service survit réellement à la défaillance annoncée.

Le texte actuel de l’article 9.4 du titre 47 du Code of Federal Regulations fournit un contexte sur l’obligation de transmettre les appels 911 au point approprié. L’article 4.9 fournit le contexte actuel des rapports de panne et notifications aux installations. Pour ces événements de 2022, FCC 23-81 reste le dossier public qui décrit les règles appliquées par l’agence et les violations apparentes alléguées. Le texte actuel ne doit pas être utilisé pour réécrire rétroactivement le cadre historique.

Ce que l’avis de la FCC allègue — et ce qu’il ne décide pas définitivement

FCC 23-81 a été adopté le 12 octobre 2023 et publié le 17 octobre. C’est un Notice of Apparent Liability for Forfeiture, c’est-à-dire un avis dans lequel la FCC expose des violations qu’elle juge apparentes et propose une sanction pécuniaire. Ce document donne à l’entreprise la possibilité de répondre. Il n’est ni une ordonnance finale infligeant cette sanction, ni un accord de règlement, ni un jugement d’un tribunal.

L’avis propose une sanction totale de 867 000 dollars américains. La FCC y estime que Lumen a apparemment enfreint de manière volontaire et répétée les articles 4.9 et 9.4 des règles de la Commission. Les manquements apparents à la notification concernent les deux événements ; les manquements apparents à la transmission des appels 911 concernent le Dakota du Nord.

Les clauses finales demandaient à Lumen de payer le montant proposé dans les trente jours ou de déposer une déclaration demandant sa réduction ou son annulation. Ces instructions de procédure ne prouvent pas que Lumen a payé. Elles décrivent les options ouvertes après l’avis.

Le communiqué accompagnant l’avis précise que les allégations et sanctions proposées dans un NAL ne sont pas des décisions finales de la Commission. Un rapport financier de la FCC pour l’exercice 2024 décrivait encore l’affaire comme une proposition de 867 000 dollars et comme un NAL. Une recherche officielle limitée par les identifiants de l’affaire n’a pas trouvé d’ordonnance finale, d’accord, de preuve de paiement, de réduction ou d’annulation ultérieure. Une recherche négative n’est pas exhaustive et le statut doit être vérifié de nouveau avant toute utilisation actuelle.

La formulation fidèle reste donc : la FCC a allégué des violations apparentes et a proposé une sanction de 867 000 dollars. Les éléments disponibles n’établissent pas que la Commission a définitivement infligé ce montant, que Lumen l’a payé ou réglé, que l’entreprise a admis les violations apparentes ou qu’un tribunal l’a déclarée responsable.

Ce que les sources publiques ne permettent pas d’affirmer

L’avis de la FCC est détaillé, mais demeure l’unique origine publique de la reconstruction technique des incidents dans cet ensemble de sources. Le communiqué dépend du même dossier. La copie de registre du document est une autre version du même texte, pas une enquête indépendante.

Les réponses complètes de Lumen et leurs pièces ne sont pas toutes reproduites. Certaines parties sont caviardées. L’identité exacte, les obligations contractuelles et la part de responsabilité de chaque prestataire de transport ne sont pas établies. Les chemins nommés Chicago et Fargo ne révèlent pas toute leur géographie ni chaque équipement partagé.

Le dossier enregistre aussi des descriptions changeantes de la séquence causale du Dakota du Nord dans les réponses de Lumen. L’entreprise a d’abord lié la perte de signalisation au chemin de Chicago, puis a décrit autrement l’interaction avec le problème de Fargo. Les éléments publics soutiennent l’existence d’un état dégradé, de deux transports atteints et d’un point d’entrée partagé. Ils ne permettent pas de fabriquer une cause profonde interne unique et définitive.

Le récit de Lumen consacré au NG911 du Dakota du Sud apporte seulement un contexte général sur ce type de service. Il ne constitue ni un compte rendu de panne, ni une corroboration de la chronologie, ni une preuve de correction. Les pages officielles du Dakota du Nord expliquent le service public 911, mais ne documentent pas cet incident.

Les preuves qui montreraient qu’une carte des dépendances fonctionne

Une carte utile doit être reliée à la configuration active. Chaque commutateur, voie STP, circuit de transport, liaison d’urgence et point d’entrée doit posséder un identifiant cohérent avec les inventaires et les appareils. Une voie désactivée ne peut pas rester représentée comme protection disponible.

Les équipes doivent ensuite définir les domaines de panne : équipement, alimentation, refroidissement, bâtiment, logiciel, personnel, prestataire et point d’entrée communs. Deux fibres géographiquement séparées peuvent encore partager un élément dont la perte les rend toutes deux inutiles pour le service final.

Des essais contrôlés doivent suivre l’appel de bout en bout. Il faut retirer une voie de signalisation, confirmer que l’autre établit encore l’appel, simuler la perte d’un transport et vérifier que le NG911 reste accessible. L’essai doit enregistrer la configuration exacte, le chemin observé, le résultat attendu, le résultat réel et toute intervention manuelle.

Chaque alarme de perte de redondance doit laisser une trace reliant le composant au service exposé, à un responsable, à une échéance, à un diagnostic et à une preuve de restauration. Si un risque dégradé est temporairement accepté, la durée et la protection compensatoire doivent être documentées.

La clôture d’une maintenance doit contrôler l’état restauré, pas seulement la fin du travail. La visibilité des prestataires doit relier les identifiants de circuits à leurs dépendances 911. Les tickets incomplets doivent déclencher une exception impossible à ignorer, avec un propriétaire et un délai.

Enfin, la liste de notification doit être générée à partir des dépendances directes et indirectes. Un essai de perte du point d’entrée doit produire les 11 centres attendus, pas uniquement ceux rattachés administrativement au bureau concerné. La génération d’un message ne suffit pas : il faut aussi prouver qu’un contact valide l’a reçu et qu’il contenait les informations utiles disponibles.

Les indicateurs les plus révélateurs sont simples : durée passée avec une seule voie active, alarmes sans diagnostic documenté, maintenances closes avec une voie encore désactivée, erreurs de validation de ticket, PSAP indirects absents de la diffusion et essais de basculement qui n’aboutissent pas. Les sources ne montrent pas si Lumen produit aujourd’hui ces preuves. Elles définissent ce qu’il faudrait examiner pour distinguer une correction déclarée d’une continuité démontrée.

Un avis réglementaire peut conserver la trace d’une responsabilité apparente. Un ticket peut enregistrer une intervention. Un schéma peut montrer l’architecture voulue. Aucun ne fait circuler l’appel. La preuve décisive reste le réseau en fonctionnement : le chemin de secours transporte-t-il réellement l’appel, l’état dégradé est-il visible et tous les centres dépendants sont-ils identifiés avant qu’un citoyen ne découvre la convergence en composant le 911 ?

Sources