Mise à jour Sky Muster NBN: un test de responsabilité

Résumé

Un récit contemporain indique qu'une mise à jour logicielle planifiée du Sky Muster a affecté le service vers 4h00 AEST le 1er mars 2019. Une réinitialisation d'un routeur central a semblé restaurer la majeure partie du trafic vers 7h30, sauf via trois passerelles en Australie-Occidentale. Des problèmes de connexion généralisés étaient encore évidents vers 8h30, et NBN a déclaré que la panne nationale avait été résolue vers 13h00. [1]
Ces horaires ne prouvent pas que tous les abonnés de Sky Muster étaient hors ligne pendant neuf heures. Les preuves publiques ne fournissent ni le nombre de services affectés ni la distribution des durées de panne. Elles soutiennent un événement de service national avec une restauration inégale, pas un impact universel et identique.
Sky Muster n'est pas seulement un vaisseau spatial. Son chemin d'accès comprend l'équipement du client, les faisceaux satellites, les passerelles terrestres, le routage terrestre partagé, l'interconnexion de gros et un fournisseur de détail. La réinitialisation du routeur et la récupération spécifique aux passerelles font de ce réseau satellite-sol la surface de contrôle d'infrastructure pertinente. [3]-[5]
La séquence publique soutient une perturbation probable dans une fonction de contrôle ou de routage du réseau terrestre partagé. Elle n'établit pas le composant logiciel exact, le dispositif, le protocole, l'erreur de configuration, le fournisseur ou la décision d'approbation. Le routeur central peut avoir fait partie de la panne, d'un outil de récupération, ou les deux; le dossier disponible ne permet pas de décider entre ces possibilités.
Le contrôle pratique était distribué mais pas égal. NBN contrôlait ou coordonnait la fenêtre de maintenance, l'intégration et l'assurance du service partagé, la restauration nationale, l'escalade auprès des partenaires et la communication de l'état. Les partenaires techniques contrôlaient peut-être les preuves spécifiques aux composants et le soutien. Les fournisseurs de détail contrôlaient les notifications et l'escalade clients. Les utilisateurs finaux pouvaient maintenir leur équipement local ou acheter une connectivité alternative, mais ils ne pouvaient pas réparer le cœur commun ou les passerelles.
L'importance pour la continuité vient de la population de services et des alternatives réseau, pas d'un chiffre inventé de perte due à l'incident. Les archives parlementaires, des consommateurs, du gouvernement et des régulateurs décrivent les ménages ruraux et éloignés, les fermes, les entreprises, les étudiants et les communautés qui peuvent dépendre du satellite là où l'accès filaire n'est pas disponible ou inadéquat. [7]-[12]
Une maintenance planifiée peut imposer un préjudice réel tout en restant difficile à percevoir dans une mesure de disponibilité agrégée. Le rapport de NBN de mars 2019 fournit un contexte de disponibilité au niveau du réseau et de restauration, mais son calcul de disponibilité excluait les pannes planifiées et n'isolait pas cet événement Sky Muster. [2]
Cinq questions de contrôle organisent l'analyse de la responsabilité: si le changement a été déployé par étapes; si les domaines de défaillance des passerelles et du routage étaient suffisamment séparés; si le retour arrière a été testé et plus rapide que la réinitialisation-restauration; si une capacité alternative ou un repli réaliste pour le client existait; et si les archives de l'opérateur, du détaillant, du régulateur et du public rendaient l'événement mesurable.
Des incidents ultérieurs et adjacents aident à distinguer les classes de défaillance. Une perturbation nationale du Sky Muster en 2017 a été signalée comme un problème de système terrestre; un rapport de NBN a plus tard enregistré un problème de routage temporaire dans une station terrienne; et la perte du vaisseau 29e d'Intelsat a conduit à un mouvement vers la capacité de restauration. Ce sont des comparaisons, pas des parties de la chronologie de mars 2019. [13][14][17]
La conclusion reste conditionnelle. Les enregistrements de changement, les résultats de canari, la télémétrie du routeur et des passerelles, les journaux de retour arrière, l'analyse des partenaires, les avis de maintenance, les enregistrements d'état des fournisseurs de détail, les décomptes de services affectés et une conclusion du régulateur pourraient modifier matériellement à la fois le récit technique et l'attribution du contrôle pratique.

Une fenêtre de maintenance est devenue un événement de continuité national

L'incident a commencé dans le cadre d'une activité qui normalement signifie contrôle plutôt que crise: la maintenance planifiée. Selon le récit contemporain, un porte-parole de NBN a lié l'impact du Sky Muster à une mise à jour logicielle planifiée vers 4h00 AEST. Le même récit indique qu'une réinitialisation d'un routeur central a semblé restaurer la majeure partie du trafic vers 7h30, sauf pour trois passerelles en Australie-Occidentale. Des problèmes de connexion généralisés étaient encore évidents vers 8h30. NBN a plus tard indiqué que la panne nationale avait été résolue vers 13h00. [1]

Cette chronologie est suffisamment spécifique pour identifier un événement réseau déclenché par un changement et trop incomplète pour soutenir une histoire de cause racine détaillée. Elle enregistre une action planifiée, un effet national, une intervention de récupération, des exceptions géographiques et une restauration déclarée par l'opérateur. Elle ne nomme pas le progiciel, la plateforme qui l'a reçu, la demande de changement, la personne qui l'a approuvé, la condition qui a causé l'impact, ni la raison pour laquelle une réinitialisation du routeur a aidé.

Elle ne montre pas non plus si les trois passerelles de l'Australie-Occidentale étaient les dernières passerelles affectées, les seules exceptions à ce moment-là, ou simplement les exceptions nommées dans la mise à jour publique.

La distinction entre "national" et "chaque service continuellement indisponible" importe. National décrit la portée de l'incident tel que rapporté. Cela ne transforme pas chaque utilisateur en un utilisateur affecté de manière identique. Certaines connexions peuvent avoir échoué pendant toute la période; certaines peuvent avoir récupéré après la réinitialisation du routeur; certaines peuvent avoir connu une atteignabilité intermittente; et certaines peuvent ne pas avoir été affectées. Ce sont des possibilités, pas des faits établis.

Sans télémétrie au niveau du service ou décompte des services affectés, l'affirmation défendable est que Sky Muster a subi une perturbation nationale avec une récupération par étapes.

Cette discipline probatoire ne rend pas l'incident mineur. Elle rend la question de responsabilité plus aiguë. La maintenance planifiée est une exposition contrôlée par l'opérateur. Lorsqu'elle cause des problèmes d'atteignabilité nationale, la question centrale n'est pas seulement qu'un logiciel peut échouer. C'est de savoir si le processus de changement a reconnu les domaines de défaillance du réseau partagé, a limité le premier déploiement, a préservé un chemin de retour rapide et a produit des enregistrements capables d'expliquer la récupération inégale.

L'incident s'est terminé publiquement avec la déclaration de NBN selon laquelle les services avaient été restaurés au niveau national. La restauration est un jalon opérationnel, pas une explication complète. Une clôture responsable doit encore distinguer le déclencheur du défaut, la fonction défaillante de l'outil de récupération, la portée nationale de la durée individuelle, et la restauration du service de la correction vérifiée de la cause racine. Le dossier public du 1er mars établit la colonne vertébrale de l'incident. Il laisse ces questions plus profondes ouvertes. [1]

Le réseau terrestre de Sky Muster a rendu la panne infrastructurelle

Le mot "satellite" peut diriger l'attention vers le haut, vers les vaisseaux spatiaux, les faisceaux et la capacité orbitale. Ce n'est qu'une partie du chemin d'accès. NBN décrit Sky Muster comme un service fourni par deux satellites géostationnaires pour les foyers et les entreprises dans les régions régionales et éloignées d'Australie.

Le terminal et l'antenne d'un utilisateur communiquent via un faisceau satellite, mais le trafic doit également passer par des passerelles de station terrienne, des systèmes de réseau terrestre, un routage partagé, un transfert de gros et un fournisseur de services de détail avant d'atteindre l'Internet plus large. [3]

Chaque partie de cette chaîne a un propriétaire de contrôle différent et un mode de défaillance différent. L'alimentation électrique, le câblage, l'alignement de l'antenne, le dispositif de terminaison réseau, le Wi-Fi ou l'appareil local d'un client peuvent interrompre un seul local. La météo peut affecter un chemin local ou régional. Un problème de vaisseau spatial peut altérer la capacité orbitale. Un problème de station terrienne ou de passerelle peut affecter les faisceaux ou les services acheminés via cette installation. Une fonction de contrôle ou de routage central partagé peut créer un domaine de défaillance beaucoup plus large.

La chronologie de l'incident importe parce qu'elle s'éloigne d'une collection de pannes domestiques non liées et se dirige vers le réseau commun.

Le matériel de dépannage de NBN reflète cette séparation. Les vérifications locales peuvent être appropriées lorsqu'un utilisateur a un problème d'appareil, d'alimentation, de câblage, de Wi-Fi ou d'équipement. Les informations sur l'état du réseau peuvent indiquer un incident en dehors du local. La structure de gros signifie également qu'un utilisateur reçoit généralement le service via un fournisseur de détail même si l'infrastructure d'accès partagée est exploitée par NBN. [4][5]

Ces distinctions expliquent pourquoi le dépannage local était structurellement limité le 1er mars. Redémarrer un routeur ou vérifier un câble peut aider après le retour du service partagé, ou peut résoudre une panne de local séparée. Cela ne peut pas réinitialiser une fonction centrale nationale ni restaurer une passerelle de station terrienne contrôlée ailleurs. Lorsqu'une mise à jour planifiée, une réinitialisation de routeur central et des progrès spécifiques aux passerelles apparaissent dans la même séquence de récupération, l'infrastructure commune n'est pas un contexte de fond.

C'est le mécanisme qui relie le changement de l'opérateur à la perte d'atteignabilité de l'utilisateur.

La séquence soutient une inférence, pas une constatation au niveau du dispositif. Une fonction de contrôle ou de routage du réseau terrestre partagé a probablement formé une partie du domaine de défaillance national. Les preuves ne prouvent pas que le routeur central lui-même a causé la panne. Réinitialiser un composant peut restaurer le trafic même lorsque le défaut initiateur se trouve dans un autre système. Les preuves n'identifient pas non plus si le logiciel modifié fonctionnait sur un routeur, une plateforme de gestion, un équipement de passerelle, un système d'assurance ou un autre élément.

Le lien direct avec l'infrastructure réseau survit à ces limites. Supprimez le routage partagé, les passerelles, le chemin satellite-sol et la dépendance de gros, et le problème de responsabilité change fondamentalement. Une histoire générique de mise à jour logicielle pourrait être résolue sur un seul dispositif ou une seule application. Cet événement a nécessité une restauration menée par l'opérateur à travers un réseau d'accès partagé desservant des utilisateurs géographiquement dispersés.

Le réseau terrestre a rendu la portée nationale possible, a rendu la réparation locale inefficace et a placé les preuves décisives entre les mains des entités qui exploitaient et soutenaient l'infrastructure.

Le contrôle pratique était distribué, mais pas de manière égale

La faute et le contrôle sont des questions différentes. Le dossier public n'identifie pas le composant exact défaillant ni ne prouve quelle organisation a introduit un défaut. Il identifie qui était en position d'approuver, d'intégrer, d'observer, de limiter et d'inverser un changement dans le service partagé. La responsabilité commence par cette carte de contrôle pratique.

NBN, en tant qu'opérateur de réseau de gros, occupait la position centrale. Il contrôlait ou coordonnait la fenêtre de maintenance, l'intégration du logiciel dans le service, l'assurance réseau, la déclaration d'incident, la restauration du cœur et des passerelles partagés, l'engagement avec les partenaires techniques et la messagerie d'état national. Cela ne signifie pas que chaque dispositif ou ligne de code pertinent appartenait à NBN, ni que chaque action technique a été effectuée par ses employés. Cela signifie que NBN exploitait le service d'accès de bout en bout et était la partie capable de coordonner une réponse nationale.

Les partenaires techniques contrôlaient peut-être les connaissances spécifiques au fournisseur, les canaux de soutien, les outils de diagnostic, la provenance du logiciel ou les procédures de récupération des composants. Le récit public de NBN faisait référence au travail avec des partenaires satellite et d'équipement, mais les preuves disponibles n'identifient pas les rôles exacts des parties ni ne répartissent la faute entre elles. [1] Un partenaire pourrait avoir écrit un logiciel sans contrôler le déploiement. Il pourrait avoir exploité un composant sans approuver la fenêtre de maintenance.

Il pourrait avoir fourni une assistance à la récupération sans causer l'incident. Attribuer une responsabilité simplement à partir d'une relation de fournisseur non identifiée dépasserait le dossier.

Les fournisseurs de services de détail occupaient une couche différente. Ils contrôlaient les notifications aux clients, les tickets de support, l'escalade à NBN et les conseils sur les vérifications locales ou l'accès de secours. Ils ne contrôlaient pas le cœur commun de Sky Muster. Un détaillant pouvait réduire l'incertitude pour un client et aider à distinguer un incident réseau d'un problème de local, mais il ne pouvait pas directement restaurer le routage national ou une passerelle. La frontière de l'état réseau de NBN et la structure de gros du service rendent cette division importante. [5]

Le gouvernement et les régulateurs contrôlaient la politique, les attentes de performance, les exigences de transparence et les termes dans lesquels les préoccupations publiques de continuité étaient examinées. Leur rôle n'était pas d'exploiter un routeur pendant l'incident. C'était de déterminer quelles preuves de service devraient exister, comment les rapports de panne et de performance devraient fonctionner, et si les utilisateurs dont l'accès dépend de la politique publique de large bande recevaient une visibilité et des recours adéquats.

Les utilisateurs finaux avaient le moins de contrôle sur la panne partagée. Ils pouvaient maintenir l'alimentation, une antenne, l'équipement local et un compte de détail. Certains pouvaient acheter un chemin de secours mobile, fixe sans fil, radio ou autre. Ces choix peuvent pour la résilience domestique ou d'entreprise, mais ils ne déplacent pas le contrôle sur l'infrastructure nationale vers le client. La faisabilité et le coût de la sauvegarde varient également, en particulier dans les endroits éloignés.

Une recommandation nominale d'"avoir une autre connexion" n'est pas une preuve qu'un substitut pratique était disponible pour chaque utilisateur affecté.

Les preuves publiques placent le contrôle large de la coordination avec NBN tout en laissant la faute au niveau du composant non résolue. Si des enregistrements ultérieurs montrent qu'un partenaire contrôlait indépendamment le changement défaillant, l'attribution devrait se déplacer en conséquence. S'ils montrent que le routeur était seulement un outil de récupération, les conclusions techniques sur le point de panne devraient changer. Le contrôle pratique est une allocation basée sur les preuves, pas un raccourci contournant les enregistrements manquants de cause racine.

La dépendance éloignée a changé le sens de la panne

Une panne ne se mesure pas seulement par son temps d'horloge ou le nombre de sessions échouées. Sa signification dépend aussi de ce que le chemin d'accès supporte et des alternatives réellement disponibles. Sky Muster a été construit pour les locaux régionaux et éloignés en dehors de l'empreinte filaire. La propre description de NBN place les foyers et les entreprises dans cette population de service. [3] Les archives parlementaires, des consommateurs, du gouvernement et des régulateurs ajoutent le contexte plus large de dépendance. [7]-[12]

Les preuves devant le Parlement ont abordé la fiabilité et l'expérience des utilisateurs de Sky Muster. Les preuves des consommateurs ont décrit des préoccupations de continuité et de transparence. Les examens des télécommunications régionales ont examiné le rôle des communications pour les ménages, les entreprises, les fermes, les étudiants et les communautés au-delà des réseaux métropolitains.

Le matériel de l'ACCC a plus tard souligné que les utilisateurs de satellite dans les zones rurales et éloignées peuvent compter sur le service là où le haut débit filaire n'est pas disponible, et ses mesures ont documenté les caractéristiques du chemin géostationnaire, y compris la latence et les pannes observées. [7]-[12]

Ces archives ne prouvent pas une perte particulière le 1er mars 2019. Elles ne montrent pas qu'une ferme nommée a manqué une transaction, un étudiant a manqué un cours, une entreprise a perdu un montant quantifié, ou un service de sécurité publique a échoué. Elles établissent pourquoi la continuité importe pour la population d'utilisateurs et pourquoi l'absence d'un substitut filaire peut transformer une panne réseau commune en un problème d'accès matériel.

Cette frontière est essentielle. Une analyse de continuité peut reconnaître une interruption plausible sans convertir les preuves de dépendance générale en préjudice spécifique à l'incident. Un ménage peut utiliser le haut débit pour la communication, les services bancaires, l'information sur la santé, l'éducation, le divertissement ou le travail. Une ferme peut l'utiliser pour les systèmes d'entreprise et les communications. Une entreprise éloignée peut en dépendre pour les clients, les fournisseurs ou l'administration. Le dossier public cité soutient ces catégories dans la population de service.

Il n'établit pas quelle utilisation a été interrompue pour quel utilisateur pendant cet événement.

Le préjudice le plus fortement soutenu est la perte d'atteignabilité haut débit pour les utilisateurs régionaux et éloignés affectés et la dépendance résultante sur la restauration par l'opérateur. L'incident a déplacé le remède en dehors du local. Un utilisateur pouvait signaler la panne, surveiller les avis, essayer l'équipement local après la restauration, ou passer à une sauvegarde disponible. L'utilisateur ne pouvait pas réparer le cœur partagé ou une passerelle. Cette asymétrie est le lien de responsabilité entre le contrôle de l'infrastructure et le préjudice.

L'incident ne devrait donc être ni gonflé ni banalisé. Il n'y a ici aucune base pour des allégations de décès, de blessure, d'échec d'appel d'urgence ou de total financier précis. Il y a amplement de base pour reconnaître qu'une panne de maintenance nationale a perturbé un réseau d'accès conçu pour des utilisateurs qui peuvent avoir des alternatives filaires limitées. L'importance pour la continuité découle de cette dépendance, même lorsque le dossier public manque d'un registre des pertes individuelles.

La validation par étapes était le premier contrôle de responsabilité

Un changement planifié devrait rendre l'incertitude plus petite avant d'élargir le domaine de défaillance. Dans un réseau d'accès satellite distribué, ce principe se transforme en une question concrète: la mise à jour logicielle a-t-elle d'abord été appliquée à un environnement délimité dont le comportement pouvait être comparé à une ligne de base inchangée?

Un canari peut prendre plusieurs formes. Il pourrait s'agir d'un composant non critique, d'une passerelle, d'une cohorte de service, d'une tranche de trafic ou d'un environnement de laboratoire représentant avec précision les interactions de routage et de passerelle partagées. La bonne unité dépend de l'architecture, qui n'est pas publique ici. La norme de responsabilité n'est pas que NBN devait nécessairement utiliser une conception de canari particulière. C'est que le dossier de déploiement devrait montrer comment la première exposition a été limitée et quels signaux ont autorisé l'expansion.

La séquence du 1er mars ne donne aucune réponse publique. Un impact national est apparu pendant la maintenance planifiée, suivi d'une réinitialisation du routeur central et d'une restauration spécifique aux passerelles. [1] Ce modèle rend la validation par étapes pertinente, mais il ne prouve pas qu'aucun test ou canari n'a eu lieu. Un test peut exister et encore manquer une interaction. Un canari peut être mal représentatif. Un seuil de surveillance peut ne pas se déclencher. Un opérateur peut recevoir un avertissement et l'interpréter incorrectement. La preuve manquante est le dossier de changement, pas une absence présumée de processus.

Le déploiement par étapes importe parce qu'un service satellite national n'est pas une boîte homogène. Ses passerelles, faisceaux, systèmes terrestres, fonctions centrales et transferts de détail créent des frontières d'isolation potentielles. Un changement qui peut être introduit passerelle par passerelle peut permettre une première panne plus petite. Un changement apporté à une fonction partagée véritablement mondiale peut ne pas le permettre. Si l'architecture n'offrait aucun déploiement partiel sûr, cela serait en soi un fait de continuité matériel nécessitant des contrôles de maintenance et de retour arrière plus solides.

NBN avait déjà décrit des mesures opérationnelles liées à la stabilité dans le contexte de la capacité satellite de Sky Muster, montrant que la stabilité du service était une préoccupation opérationnelle explicite. [6] Ce contexte ne prouve pas quels contrôles ont été utilisés en mars 2019. Il soutient la demande d'un dossier d'assurance de changement proportionné à un service dont les utilisateurs peuvent manquer de substituts faciles.

La validation par étapes n'est donc pas une exigence rétrospective de prédiction parfaite. C'est un test pour savoir si l'opérateur a délibérément acheté des informations avant d'exposer l'ensemble du service. La chronologie publique rend ce contrôle central. Elle ne révèle pas si le contrôle existait ou a échoué.

La séparation des domaines de défaillance déterminait le rayon d'explosion

La portée nationale et les trois exceptions de passerelle en Australie-Occidentale font de la conception du domaine de défaillance la deuxième question de contrôle. Un réseau résilient ne contient pas simplement des composants redondants. Il définit quelles pannes peuvent voyager ensemble et quelles parties peuvent continuer indépendamment.

La restauration spécifique aux passerelles suggère qu'au moins une partie de l'état de récupération pouvait différer selon le lieu ou l'installation. [1] Cela ne révèle pas la topologie. Les trois passerelles peuvent avoir dépendu d'une condition amont commune, avoir nécessité une intervention séparée, ou simplement avoir récupéré plus tard pour une autre raison. Leur exception montre néanmoins que "service restauré" n'était pas un état instantané à travers le réseau.

La question de responsabilité est de savoir si le cœur partagé, le plan de gestion, l'état de routage ou le mécanisme de changement pouvaient altérer des passerelles qui avaient par ailleurs des rôles physiques séparés. Un système géographiquement distribué peut encore avoir un domaine de défaillance logique commun. Des stations terriennes redondantes ne protègent pas le service si une seule action de contrôle applique un état nuisible partout. Plusieurs routeurs ne fournissent pas d'indépendance s'ils reçoivent la même configuration non validée ou dépendent d'une fonction de gestion unique.

Ce sont des possibilités générales de conception, pas des constatations sur l'architecture exacte de Sky Muster.

Un dossier d'incident adéquat cartographierait l'impact par passerelle, faisceau, cohorte de service et temps. Il distinguerait les composants qui ont perdu du trafic, les composants qui sont restés sains mais inaccessibles et les composants mis hors service pendant la récupération. Il montrerait si le trafic pouvait être déplacé et si le facteur limitant était la capacité, l'état de routage, la synchronisation de contrôle ou une autre dépendance.

Cette carte rendrait également l'étiquette nationale plus précise. Si chaque passerelle était altérée, le domaine de défaillance était large d'une manière. Si un cœur partagé empêchait des passerelles par ailleurs saines de transférer le trafic, il était large d'une autre manière. Si seulement certaines passerelles ont échoué mais qu'une dépendance de service commune a fait paraître l'effet national, les priorités de correction différeraient. La séquence publique ne peut pas choisir parmi ces récits.

La panne de Sky Muster en 2017 signalée par ABC fournit un précédent pertinent sans combler les lacunes de 2019. Cet événement national antérieur a été associé à un problème de système terrestre, renforçant le point général que le haut débit par satellite peut échouer nationalement même lorsque le vaisseau spatial n'est pas l'élément défaillant. [14] Il n'établit pas la cause, la topologie ou les contrôles de l'événement de mars 2019.

La conclusion responsable est étroite: un impact national pendant une mise à jour planifiée, une récupération partielle après une réinitialisation du routeur central et des exceptions de passerelle justifient un examen attentif des dépendances en mode commun et de la segmentation. Ils ne prouvent pas qu'un contrôle de redondance particulier était absent. La topologie et la télémétrie manquantes sont précisément les preuves nécessaires pour passer d'une question justifiée à une conclusion technique.

La préparation au retour arrière devait rivaliser avec la réinitialisation-restauration

Le retour arrière est le troisième contrôle car les changements planifiés créent une route connue vers un incident. Lorsque l'impact suit suffisamment près le changement, les opérateurs ont besoin d'un moyen testé de ramener le système à un état connu ou d'une raison documentée pour laquelle l'inversion est dangereuse.

Le récit public décrit une réinitialisation du routeur central et une restauration progressive. Il ne dit pas que la mise à jour logicielle a été annulée. [1] Ce silence ne doit pas être converti en affirmation qu'aucun retour arrière n'a eu lieu. La réinitialisation peut avoir rechargé un état précédent, effacé une condition transitoire, rétabli des sessions ou soutenu une autre réparation. Les preuves publiques ne précisent pas son effet.

Un dossier de changement responsable séparerait quatre événements: la détection d'un comportement anormal, la décision d'arrêter tout autre changement, la décision d'inverser ou de poursuivre une autre voie de récupération, et la confirmation que le trafic s'était stabilisé. Il indiquerait qui détenait l'autorité de retour arrière, combien de temps l'inversion devait prendre, quelles dépendances la rendaient risquée et quels critères justifiaient la réinitialisation-restauration à la place.

Le retour arrière n'est pas toujours un bouton. Un réseau distribué peut contenir un état qui s'est déjà propagé, des sessions qui doivent être reconstruites, des modifications de schéma ou de compatibilité qui ne peuvent pas être simplement inversées, et des composants sur différentes versions. Restaurer une image logicielle antérieure peut ne pas restaurer l'état réseau antérieur. Ces possibilités expliquent pourquoi le retour arrière nécessite une répétition et une cartographie des dépendances. Elles n'établissent pas qu'une complication particulière existait le 1er mars.

Le temps est central. Environ trois heures et demie se sont écoulées entre le début signalé et le jalon de récupération partielle, et la déclaration de restauration nationale est venue plus tard. [1] Ces intervalles approximatifs invitent à des questions sur la détection, le diagnostic, l'escalade, l'engagement des partenaires, la réinitialisation, la récupération des passerelles et la validation. Ils ne révèlent pas comment ces heures ont été allouées.

Le rapport ultérieur selon lequel NBN a mis à niveau le logiciel des équipements réseau après une augmentation des pannes de Sky Muster fournit un contexte de suivi sur l'importance continue du logiciel et des métriques de panne dans le service. [15] Il ne doit pas être lu rétrospectivement comme une preuve du défaut de mars ou comme la preuve qu'une mise à niveau ultérieure a corrigé cet événement spécifique. Il montre que le logiciel d'équipement réseau restait partie du dossier de fiabilité opérationnelle.

La responsabilité du retour arrière ne dépend donc pas de prouver que le retour arrière était la bonne réponse. Elle dépend de montrer que l'opérateur avait un choix crédible et l'a fait en utilisant des preuves. Une réinitialisation qui a restauré le trafic peut être opérationnellement réussie tout en laissant sans réponse si une route plus rapide, plus sûre ou plus délimitée existait. Le dossier d'incident devrait rendre cette décision inspectable.

La capacité alternative et le repli client étaient des contrôles différents

La continuité a deux faces: la capacité de l'opérateur à restaurer ou rediriger le service, et la capacité de l'utilisateur à atteindre une alternative indépendante. Elles ne doivent pas être traitées comme interchangeables.

Au niveau de l'opérateur, la capacité alternative peut signifier un équipement de rechange, une autre passerelle, un autre chemin de routage, ou suffisamment de marge pour déplacer le trafic pendant qu'un composant est isolé. Le dossier public ne dit pas quelle capacité de passerelle ou de routage alternative était disponible le 1er mars. Le fait que trois passerelles de l'Australie-Occidentale soient restées des exceptions après que la plupart du trafic a semblé restauré suggère que la récupération avait des contraintes spécifiques au lieu, mais il n'explique pas si le trafic aurait pu être déplacé ailleurs. [1]

Au niveau du client, le repli signifie un chemin d'accès séparé qui ne partage pas l'infrastructure défaillante. Un second compte sur le même réseau d'accès Sky Muster ne fournirait pas d'indépendance face à une panne centrale commune. La couverture mobile, le fixe sans fil, la radio ou un autre système satellite pourrait fournir une sauvegarde pour certains utilisateurs, mais la disponibilité, l'équipement, le coût, la capacité et l'adéquation varient. Les preuves régionales soutiennent des alternatives limitées pour certains utilisateurs; elles ne soutiennent pas une déclaration universelle sur l'accès de secours. [7]-[12]

Cette distinction répartit la responsabilité plus équitablement. NBN devrait être évalué sur la capacité alternative et les options de restauration dans le réseau de gros qu'il contrôlait. Les fournisseurs de détail devraient être évalués sur les avis, l'escalade et les conseils pratiques de repli qu'ils pouvaient fournir. Les utilisateurs devraient être évalués uniquement sur les alternatives qui étaient réellement disponibles et proportionnées à leurs besoins. Un ménage éloigné ne devrait pas se voir attribuer la responsabilité d'une panne centrale nationale parce qu'il manquait d'un second réseau coûteux.

L'avis officiel concernant Intelsat 29e fournit un contraste utile. Cet événement impliquait une panne de vaisseau spatial et un déplacement des clients vers la capacité de restauration. [17] Le mécanisme était différent de la panne de mise à jour logicielle de Sky Muster, mais la question de continuité est comparable: quelle capacité existait en dehors de l'élément défaillant, qui pouvait l'activer, et à quelle vitesse le service pouvait-il être rétabli?

La comparaison devrait s'arrêter là. Intelsat 29e ne prouve pas que NBN avait, manquait ou aurait dû utiliser une option équivalente. La perte d'un vaisseau spatial et une perturbation probable du réseau terrestre présentent des contraintes techniques différentes. La valeur de la comparaison est conceptuelle: la capacité alternative devient crédible seulement lorsqu'elle est indépendante de la panne et soutenue par un plan de migration exécutable.

Pour les utilisateurs éloignés, le dossier public de responsabilité devrait donc distinguer la capacité de restauration au niveau du réseau des conseils de résilience au niveau du ménage. Les combiner peut cacher le risque de mode commun de l'opérateur derrière l'incapacité du client à acheter un substitut. Les garder séparés dirige chaque question de contrôle vers la partie capable d'y répondre.

Les métriques de disponibilité avaient un angle mort pour les pannes planifiées

Le rapport de progression de NBN de mars 2019 fournit un contexte contemporain pour la disponibilité du réseau et la restauration des pannes. Il n'isole pas l'impact de l'incident Sky Muster, et son calcul de disponibilité excluait les pannes planifiées. [2] Cette frontière crée un problème de rapport lorsqu'une activité planifiée cause un préjudice de service non planifié.

Les fenêtres de maintenance sont nécessaires. Les réseaux ont besoin de changements logiciels, de travaux de capacité, de mises à jour de sécurité et de remplacement d'équipement. Exclure un intervalle de maintenance annoncé d'une mesure de disponibilité principale peut avoir un sens si la métrique est destinée à mesurer les pannes non planifiées. Mais une perturbation déclenchée par un changement peut dépasser sa portée, sa durée ou sa population affectée attendues. Si l'intervalle entier reste invisible parce que l'activité a commencé comme un travail planifié, la métrique peut sous-estimer le risque de continuité.

L'événement du 1er mars illustre l'ambiguïté. La mise à jour logicielle était planifiée. La perturbation nationale n'a pas été décrite comme un résultat intentionnel. Le dossier public ne dit pas quel impact NBN attendait, ce qui a été dit aux utilisateurs, ou si l'événement a dépassé une fenêtre programmée. Sans ces enregistrements, il est impossible de séparer l'impact de maintenance autorisé de la durée de panne non intentionnelle.

Un modèle de rapport plus solide préserverait plusieurs mesures. Il enregistrerait les minutes de maintenance attendues et la portée du service, l'impact inattendu pendant la maintenance, le temps pour détecter la divergence, le temps pour arrêter le changement, le temps pour la restauration partielle, le temps pour la restauration large, et la distribution de la durée au niveau de l'utilisateur. Il distinguerait également une action planifiée d'une conséquence non planifiée.

Un tel modèle n'aurait pas besoin de compter chaque minute de maintenance comme un échec opérationnel. Il empêcherait l'étiquette attachée au début du travail de décider de la visibilité de ce qui s'est passé ensuite. Un canari qui provoque une petite interruption attendue est différent d'une mise à jour partagée qui produit des problèmes d'atteignabilité nationale. Les deux peuvent commencer dans la maintenance, mais leurs implications de continuité diffèrent.

La mesure ultérieure de l'ACCC de la performance et des pannes satellite montre la valeur des preuves spécifiques au service pour un groupe d'utilisateurs dont le chemin géostationnaire a des caractéristiques distinctes. [11][12] Ces mesures ultérieures ne reconstruisent pas l'incident de mars 2019. Elles démontrent que le service satellite peut être évalué avec des métriques plus spécifiques qu'un titre réseau agrégé.

Le travail de l'ANAO sur l'administration du programme de soutien satellite fournit un contexte de gouvernance: la connectivité satellite n'est pas simplement une commodité de détail privée mais fait partie d'un arrangement de service examiné publiquement pour les utilisateurs éligibles. [16] Ce contexte augmente la valeur de définitions de performance transparentes. Il n'établit pas une conclusion sur le processus de changement de NBN en 2019.

La responsabilité des métriques pose trois questions. L'événement a-t-il été compté? A-t-il été classé d'une manière qui préservait le préjudice inattendu? Un régulateur, un détaillant ou un utilisateur pouvait-il déterminer le nombre et la durée des services affectés? Les documents publics répondent aux deux premières seulement partiellement et ne répondent pas à la troisième pour cet incident.

La communication d'état devait suivre la récupération inégale

La communication d'incident est un contrôle car les clients ne peuvent pas inspecter le réseau partagé. Lors d'une panne nationale, ils dépendent de l'opérateur et de leur fournisseur de détail pour distinguer un événement commun d'un problème d'équipement local, communiquer les progrès de la restauration et identifier toute action significative.

La chronologie du 1er mars montre au moins trois états: un impact large après la mise à jour, une récupération partielle après la réinitialisation du routeur central avec trois exceptions de passerelle en Australie-Occidentale, et une restauration nationale signalée plus tard. [1] Un seul état binaire aplatirait ces états. Pour un utilisateur derrière une passerelle qui restait altérée, "la plupart du trafic restauré" n'était pas la même chose qu'un service restauré.

Une communication d'état utile devrait donc identifier la portée, l'incertitude et l'évolution dans le temps. Elle devrait dire qu'un incident partagé est en cours d'investigation, identifier les régions ou passerelles affectées lorsqu'elles sont fiables, distinguer la récupération partielle de la récupération nationale, et éviter de dire aux clients de répéter un dépannage local qui ne peut pas réparer la panne commune. Après la restauration, elle devrait expliquer quand l'équipement local peut devoir rétablir le service et où les problèmes non résolus doivent être escaladés.

Les fournisseurs de détail ont un rôle important car ils détiennent la relation directe avec le client. Ils peuvent traduire l'état de gros en support spécifique au compte, collecter des preuves des utilisateurs et escalader les pannes persistantes. Mais leurs avis ne sont aussi utiles que les informations en amont disponibles. La frontière de gros signifie que NBN devait fournir des informations d'état opportunes et cohérentes sur lesquelles les détaillants pouvaient compter. [5]

La transparence inclut également ce qui suit le message de restauration finale. Une page d'état est conçue pour les opérations en cours; ce n'est pas nécessairement un dossier d'incident durable. La responsabilité exige la préservation de la chronologie, de la portée affectée, du déclencheur, des étapes de récupération et de l'incertitude restante après la disparition de la bannière. Sinon, l'événement devient difficile à évaluer une fois le service revenu.

Les preuves des consommateurs et parlementaires sur la continuité et la transparence en font plus qu'une préférence de communication. Les utilisateurs avec des alternatives limitées ont besoin de savoir s'ils doivent attendre la restauration partagée, enquêter sur l'équipement du local, chercher une autre connexion ou activer un plan de continuité d'activité. [7][8] Des informations vagues ou obsolètes transfèrent le coût diagnostique à des personnes qui ne peuvent pas observer l'infrastructure.

Le cadre de rapport de pannes satellite de la FCC est une comparaison d'une autre juridiction, pas une règle régissant l'événement de NBN en 2019. Il illustre une approche formelle dans laquelle les pannes satellite deviennent des preuves opérationnelles déclarables plutôt que des incidents de support transitoires. [18] Le principe pertinent est que la supervision de la continuité s'améliore lorsque la portée, la durée, l'état de la cause et la restauration des pannes sont enregistrés sous une forme cohérente.

Aucune source citée ne prouve que NBN ou chaque fournisseur de détail a manqué à un devoir de notification particulier le 1er mars. Le dossier public est trop étroit pour ce verdict. Il établit une récupération inégale et une population d'utilisateurs dépendante des informations de l'opérateur. Ces faits justifient de demander les avis, les horodatages, les mises à jour des détaillants et les critères derrière la déclaration de restauration nationale.

La communication ne peut pas restaurer le routage. Elle peut empêcher qu'une défaillance d'infrastructure ne devienne également une défaillance d'information. Le niveau responsable n'est pas une certitude constante. C'est la séparation opportune de ce qui est confirmé, ce qui reste sous enquête, quels utilisateurs sont toujours affectés et quelles preuves clôtureront l'incident.

Les comparaisons clarifient la classe de défaillance sans combler les lacunes

La comparaison n'est utile que lorsque les mécanismes restent séparés. L'incident de mars 2019 a été lié publiquement à une mise à jour logicielle planifiée, avec une réinitialisation du routeur central et une restauration spécifique aux passerelles. [1] Trois autres enregistrements montrent pourquoi "panne satellite" est une catégorie trop large pour la responsabilité.

Premièrement, ABC a signalé une perturbation nationale du Sky Muster en février 2017 associée à un problème de système terrestre. [14] Cet événement démontre qu'un service d'accès satellite peut échouer nationalement via une infrastructure terrestre. Il soutient l'attention aux dépendances terrestres communes. Il n'établit pas que le même composant, la même topologie, le même fournisseur ou la même erreur sont réapparus en 2019.

Deuxièmement, le rapport officiel de NBN en 2023 a identifié un problème de routage temporaire dans une station terrienne satellite. [13] Cet enregistrement ultérieur confirme que le routage à une station terrienne est une classe réelle de défaillance de service satellite. Il ne prouve pas que la mise à jour de 2019 a changé le routage de la station terrienne ni que le problème ultérieur partageait une cause. Sa valeur est d'empêcher l'analyse de traiter le routage terrestre comme simplement hypothétique.

Troisièmement, l'avis officiel d'Intelsat concernant le satellite 29e a décrit une panne de vaisseau spatial et un mouvement vers la capacité de restauration. [17] C'est un mécanisme différent: l'actif orbital, plutôt qu'une mise à jour du réseau terrestre publiquement rapportée, a été perdu. La réponse de continuité met en évidence la capacité de restauration, mais la route technique et les alternatives disponibles ne peuvent pas être supposées correspondre à Sky Muster.

Le travail ultérieur de NBN sur le logiciel des équipements réseau après l'augmentation des pannes de Sky Muster ajoute une quatrième comparaison. [15] Il montre que les versions logicielles et la performance des pannes continuaient d'être liées dans le dossier opérationnel du service. Il n'identifie pas le progiciel de mars ni ne prouve que le travail ultérieur était une correction pour cet incident.

Ces distinctions produisent une matrice de classes de défaillance utile. Une panne d'équipement client est locale et peut être réparée au local. Une panne de passerelle terrestre ou de routage peut affecter de nombreux utilisateurs tandis que le vaisseau spatial reste disponible. Un changement de gestion ou de cœur partagé peut créer un impact national en mode commun. Une panne de vaisseau spatial peut supprimer la capacité orbitale et nécessiter un déplacement vers un autre actif. Chaque classe attribue la détection, la restauration et les preuves à différents acteurs.

L'événement de 2019 appartient, sur la base des preuves actuelles, à la classe probable du contrôle ou du routage du réseau terrestre partagé. "Probable" est important. La séquence de mise à jour et de récupération soutient la classification, mais le composant exact reste inconnu. Si le dossier interne montre un mécanisme différent, la classification devrait changer.

La comparaison aiguise également les questions de contrôle. Les événements du système terrestre appellent à la séparation des domaines de défaillance et à la restauration du routage. Les événements déclenchés par un changement ajoutent des contrôles de canari et de retour arrière. Les événements de vaisseau spatial mettent l'accent sur la capacité indépendante et la migration des clients. Les défauts locaux mettent l'accent sur les diagnostics et le support au local. Traiter les quatre comme une simple non-fiabilité satellite générique obscurcirait les contrôles qui pourraient réellement réduire le préjudice.

Les enregistrements devraient donc être utilisés comme des limites plutôt que comme des preuves empruntées. Les événements de 2017 et 2023 montrent que l'infrastructure terrestre peut interrompre l'accès satellite. Intelsat 29e montre un mécanisme différent et une réponse de continuité. Le cadre de la FCC montre un modèle pour des preuves de panne formelles. Aucun ne fournit les journaux manquants, les approbations, la topologie ou les décomptes de service pour le 1er mars 2019.

Les preuves nécessaires pour attribuer la responsabilité sont identifiables

Le dossier public laisse de grandes inconnues, mais ce ne sont pas des mystères vagues. Chacune correspond à un enregistrement qui devrait exister auprès de l'une des parties exerçant un contrôle pratique.

Le premier enregistrement est la demande de changement. Elle devrait identifier le composant logiciel, la version, le but, les actifs affectés, l'impact attendu sur le service, les dépendances, la classification du risque, l'approbation, les étapes de mise en œuvre, les conditions d'arrêt, le chemin de retour arrière et les opérateurs responsables. Elle montrerait si le rayon d'explosion national était connu avant le début des travaux.

Le deuxième est le dossier de validation. Il devrait contenir les résultats de laboratoire, la topologie représentative, la portée du canari, les seuils de surveillance, les anomalies observées et la décision d'expansion. Si le déploiement par étapes était techniquement impossible, il devrait indiquer pourquoi et identifier les contrôles compensatoires.

Le troisième est la chronologie de l'incident. Elle devrait aligner les alarmes, les rapports des clients, la déclaration interne, l'escalade, l'engagement des partenaires, la réinitialisation du routeur, la récupération des passerelles, la validation du service et la déclaration de restauration nationale. Cet enregistrement montrerait quelle partie de l'intervalle impliquait la détection, le diagnostic, la décision, l'exécution et la vérification.

Le quatrième est la télémétrie du routeur et des passerelles. Elle devrait distinguer les fonctions défaillantes ou dégradées des composants utilisés pour restaurer le trafic. Elle devrait montrer l'état de la route, l'atteignabilité, les erreurs, l'état des passerelles et la séquence dans laquelle le service est revenu. Les adresses sensibles ou configurations pourraient être retenues de la divulgation publique tout en restant disponibles pour un régulateur ou un auditeur indépendant.

Le cinquième est le dossier de retour arrière. Il devrait montrer si l'inversion a été tentée, rejetée, complétée ou considérée comme dangereuse; qui a pris cette décision; et comment le chemin de récupération choisi se comparait au temps de retour arrière attendu. Cette preuve empêcherait qu'une réinitialisation réussie ne soit automatiquement confondue avec une correction de cause racine.

Le sixième est l'analyse des partenaires. Si les partenaires d'équipement ou satellite contrôlaient des composants ou diagnostics pertinents, leurs conclusions devraient identifier leur rôle sans permettre à la responsabilité de bout en bout de l'opérateur de disparaître dans les limites contractuelles. Une analyse de cause racine par le fournisseur pourrait matériellement déplacer l'attribution de la faute. Elle ne déplacerait pas automatiquement le contrôle sur le déploiement et la communication nationale.

Le septième est le dossier de maintenance et d'état. Il devrait préserver les avis de panne attendus, les avis de gros, les mises à jour des fournisseurs de détail, les exceptions géographiques et les conseils post-restauration. La comparaison de l'impact attendu et réel montrerait quand le travail planifié est devenu un événement national non intentionnel.

Le huitième est l'ensemble de données des services affectés. Il devrait compter les services affectés, montrer les distributions de durée, distinguer la perte complète de la dégradation ou de l'intermittence, et cartographier la récupération par passerelle ou région. Cela remplacerait le faux choix entre qualifier chaque utilisateur de continuellement hors ligne et traiter l'événement comme non mesurable.

Le neuvième est l'évaluation externe. Une conclusion du régulateur, un audit public ou un récit post-incident vérifié de manière indépendante pourrait évaluer si les contrôles étaient raisonnables et si la restauration rapportée correspondait aux preuves de service. Les archives existantes parlementaires, gouvernementales, de l'ACCC et de l'ANAO établissent le contexte de dépendance et de gouvernance, mais elles ne décident pas de la cause racine de 2019. [7]-[12][16]

N'importe lequel de ces enregistrements pourrait changer la conclusion. La télémétrie pourrait montrer que le routeur était seulement un outil de récupération. La demande de changement pourrait montrer qu'un partenaire contrôlait indépendamment la mise à jour. Les preuves de canari pourraient montrer un déploiement par étapes qui a échoué parce que l'environnement de test a manqué une interaction partagée. Les données de service pourraient montrer une distribution d'impact plus étroite ou plus courte que ce que suggère l'étiquette nationale.

Un journal de retour arrière pourrait montrer que l'inversion a été tentée rapidement mais bloquée par une condition de sécurité.

La responsabilité exige d'être prêt à réviser. L'allocation actuelle suit le contrôle visible: NBN coordonnait le service partagé et la restauration nationale; les partenaires détenaient peut-être le contrôle des composants; les détaillants détenaient la communication avec les clients; le gouvernement et les régulateurs détenaient les attentes de rapport; les utilisateurs détenaient peu de contrôle sur la panne commune. De nouvelles preuves devraient déplacer cette allocation là où elles démontrent une autorité pratique différente.

La restauration a clos la panne, pas le dossier de responsabilité

Vers 13h00 le 1er mars 2019, NBN a déclaré que la panne nationale du Sky Muster avait été résolue. [1] Cette déclaration est le point final approprié pour la chronologie publique de l'incident. Elle ne suffit pas à soutenir une affirmation selon laquelle le défaut exact était connu, chaque service avait subi la même durée, le retour arrière avait été testé ou le processus de changement avait été réparé.

La conclusion la plus forte est plus étroite et plus utile. Une maintenance planifiée a affecté un réseau d'accès satellite partagé. La récupération a impliqué une réinitialisation du routeur central et des progrès spécifiques aux passerelles. La population d'utilisateurs comprenait des locaux régionaux et éloignés pour lesquels les alternatives filaires peuvent avoir été limitées. Ces faits placent le contrôle des changements, la dépendance en mode commun, la restauration et les preuves au centre de la responsabilité.

L'incident ne peut pas être réduit à "une mauvaise mise à jour logicielle". Cette phrase cache l'architecture et la distribution du contrôle. Le logiciel est devenu conséquent parce qu'il est entré dans un réseau partagé par un processus contrôlé par l'opérateur. L'atteignabilité nationale dépendait du comportement du cœur et des passerelles. Les utilisateurs ne pouvaient pas réparer la panne commune localement. Les fournisseurs de détail pouvaient communiquer et escalader mais ne pouvaient pas restaurer le cœur de gros.

Les partenaires techniques peuvent avoir détenu des preuves cruciales sans être publiquement identifiés comme le propriétaire de la décision.

L'événement ne doit pas non plus être amplifié au-delà du dossier. Il n'y a pas de nombre d'utilisateurs affectés soutenu, de durée universelle de neuf heures, de perte économique quantifiée, de conséquence d'urgence prouvée, de défaut de fournisseur identifié ou de cause racine interne publiée. Le mécanisme du réseau terrestre est probable, pas complètement établi. Ces limites font partie de la conclusion.

Cinq contrôles restent le test approprié. Un déploiement par étapes devrait limiter la première exposition et définir un signal d'arrêt. La séparation des domaines de défaillance devrait empêcher qu'un changement n'altère chaque chemin viable. Le retour arrière devrait être testé, autorisé et comparé à d'autres options de récupération. La capacité alternative et le repli client devraient être indépendants de l'infrastructure défaillante. Les preuves d'état et post-incident devraient rendre le préjudice des changements planifiés visible même lorsque la disponibilité agrégée exclut les pannes planifiées.

Ces contrôles sont des questions pour les enregistrements, pas des affirmations d'absence. Les preuves publiques ne montrent pas si NBN avait un canari, comment les passerelles étaient segmentées, pourquoi la réinitialisation-restauration a été choisie, quelle capacité alternative existait, ou comment l'événement a été compté en interne. Elles montrent pourquoi ces questions appartiennent à l'opérateur et aux parties de soutien plutôt qu'aux utilisateurs éloignés.

La responsabilité de la connectivité satellite ne s'arrête pas au vaisseau spatial. Elle suit le chemin complet qui rend un paquet atteignable: équipement du local, faisceau, passerelle, routage partagé, transfert de gros, support de détail et les décisions opérationnelles à travers eux. Le 1er mars 2019, la séquence publique a mis en lumière le chemin terrestre partagé.

L'événement est donc un test de responsabilité de connectivité à distance avec un verdict conditionnel. NBN détenait le large contrôle pratique nécessaire pour coordonner la prévention, la limitation, la restauration et la divulgation. La faute au niveau du composant reste non résolue. L'attribution finale devrait attendre le ticket d'assurance, les enregistrements de changement et de retour arrière, la télémétrie, l'analyse des partenaires, les avis, les décomptes de service et toute conclusion indépendante.

Jusqu'à ce que ces preuves soient disponibles, la conclusion responsable est précise: un changement planifié du Sky Muster a produit un incident d'infrastructure national; la restauration menée par l'opérateur a rétabli le service; les utilisateurs éloignés ont supporté un risque d'atteignabilité qu'ils ne pouvaient pas réparer localement; et les enregistrements nécessaires pour prouver pourquoi la panne s'est propagée, pourquoi la récupération a pris son cours observé et si l'environnement de contrôle s'est amélioré restent en dehors du dossier public.

Mise à jour Sky Muster NBN: un test de responsabilité pour la connectivité à distance