British Airways、データセンター電力復旧が乗客継続性の説明責任を問う

サマリー

• 2017年5月27日土曜日、British Airways（BA）は大規模な IT システム障害を報告し、サイバー攻撃の証拠はないと述べ、ヒースロー空港とガトウィック空港からの残りの全出発便を欠航とした。同航空会社はその後、一次データセンターでの停電が原因であると説明。後の証券開示によれば、5月の IT サービス喪失により500便以上の欠航が発生し、影響を受けた乗客数は約75,000人と広く報じられた。
• インシデントが展開するにつれ、公的な企業説明は変化した。当初は一般的な電源問題から始まり、制御不能な電力復帰と通信ハードウェア障害へと変わり、さらに IAG の最高経営責任者（CEO）Willie Walsh 氏が、技術者が無停電電源装置（UPS）の接続を外し、制御されていない方法で電源を復旧させたと述べるに至った。これらは帰属可能な企業の説明であり、公開された独立した科学的調査報告ではない。本記事は、特定の個人の行為、雇用主、あるいは正確な電気的シーケンスを独立して確認された事実として提示するものではない。
• トリガーは保守的に表現すれば、一次データセンターへの電力供給の中断である。公開された企業記録が裏付けるレベルの技術的根本原因は、その停電と復旧を通じて重要な IT サービスを利用可能に保てなかったことである。寄与した条件には、電力、通信、アプリケーション依存関係、代替処理全体にわたって効果的な継続性がなかったことが含まれる。詳細な保護トポロジー、切替状態、損傷メカニズム、フェイルオーバー基準、復旧手順書は、公には不明である。
• この停止は単にウェブサイトをダウンさせただけではなかった。BA は、通信ハードウェアと約200システムにわたるメッセージングが影響を受けたと述べた。同時代の運用報告では、チェックイン、運航計画、顧客チャネル、手荷物処理に障害または深刻な機能不全が記録されている。航空機、乗務員、空港スポット、手荷物、乗客は順序が狂い、サーバーを復旧しても直ちに実行可能なフライトスケジュールを回復することはできなかった。
• ガトウィックはヒースローよりも早く回復した。BA は5月28日にガトウィックでほぼ通常の運航を予想していたが、ヒースローでは大幅な欠航と遅延が続いた。5月29日までに同航空会社はほとんどの便を運航していたが、足止めされた乗客と遅延手荷物の処理は続いていた。この差は、復旧が技術的なサービス復元だけでなく、ローカルなスケジュール、キャパシティ、航空機、乗客の状態に依存したことを示す証拠である。
• 停止原因と乗客ケアのコンプライアンスは別個の問題である。規則(EC) 261/2004は、払い戻しまたは経路変更、該当する待ち時間中のケア、権利に関する情報、そして条件を満たす場合には固定補償を要求していた。異常事態であっても、限定されたケースでのみ固定補償を免除できるに過ぎず、ケアの義務を消し去るものではない。電気的原因についての結論だけで、特定の乗客に対するコンプライアンスを証明したり反証したりすることはできない。
• 事後の CAA との文書交換は、空港の混乱に関する一般化された報道よりも強力な証拠である。BA は経路変更義務を認め、多くの顧客を自社で再予約できなかったことに同意し、旅行保険の有無にかかわらず規則261に基づく費用を支払うと述べ、関連するウェブサイトの文言を変更することに同意し、固定補償を支払うべきところでは支払うと述べた。CAA は、最早期の経路変更、他航空会社、移送費用、権利リーフレット、苦情処理能力について、より詳細な情報を求めた。この文書交換は、すべての請求が正しく処理されたか否かを裁判所が判断したのではなく、継続中の規制監督を記録している。
• 停止前、BA はすでに CAA に対し、2時間以上遅延した乗客にその権利を知らせることを約束していた。2017年2月の CAA レビューでは、BA のケアと支援のアプローチは「良好（Good）」と評価された。これらの記録は、ポリシーと監督プロセスが存在したことを示している。5月の事象は、影響を受けた数万人を特定し、連絡し、経路変更し、支援するために必要とされる同じデジタルチャネルと運用システム自体が損なわれたときに、それらが規模に応じて機能するかどうかを試すものだった。
• British Airways は、上半期決算で追加の補償費用と手荷物請求として5,600万英ポンドを認識し、IAG は同エクスポージャーを自社の報告通貨で6,500万ユーロと報告した。これは企業記録上最も防御可能なイベントコストの数字である。これは総社会的コスト、逸失収益、風評被害、または成功した請求の数ではない。
• 修復の証拠はまちまちである。2017年の BA 年次報告書は、包括的な電力・IT レジリエンスプログラムが開始され、主要なアクションが実施されたと述べている。IAG の監査・コンプライアンス委員会は、BA の議長、CFO、IT ディレクター、施設ディレクターからアップデートを受けた。その後の提出書類は、レジリエンスへの投資、データセンター移行、ネットワーク冗長化、復帰計画、重要運営システムの近代化について説明している。これらの開示はガバナンス活動と支出を示しているが、2017年の根本原因に対するテストシナリオ、復旧目標、フェイルオーバー結果、独立した終結意見を公表しているわけではない。
• したがって、説明責任の結論は階層的である。BA 経営陣は、乗客サービスの継続性と、重要システムが復旧できるという証拠について所有権を有していた。施設と IT の制御所有者は、安全な電源切替、依存関係を考慮した復旧、テスト済みの代替処理を所有していた。サプライヤーはその範囲内で契約上の制御を所有していた。空港はターミナルと共有システムの対応を所有していた。CAA は消費者法の監督を所有していた。運用管理それ自体は、過失、個人の非難、法的違反を直ちに立証するものではない。

まず時系列：2017年5月27日～29日

5月27日（土）：ローカルなインフライベントがネットワーク全体の運航障害に

最初の公的事実パターンは広範で、適切に慎重だった。British Airways は、世界中で深刻な混乱を引き起こす大規模な IT システム障害が発生したと発表した。サイバー攻撃の証拠はないと述べた。ヒースロー空港とガトウィック空港のターミナルが混雑する中、BA はまず夕方までの出発便を欠航とし、その後両空港からの全出発便の欠航を発表した。ヒースローは、当時のロイター通信の記事によれば、追加のカスタマーサービススタッフを配置し、すでにターミナル内にいる乗客を支援するため航空会社と協力していると述べた。

グローバルなシステムへの影響とグローバルな欠航判断の区別は重要である。BA のデジタル運営環境は世界中の拠点に対応していたため、ヒースロー近郊での障害が他地域でのチェックイン、メッセージング、運航判断を阻害した。しかし、5月27日に公に発表された全面的な欠航決定は、ヒースローとガトウィックからの出発便に適用された。既に到着に向かっていた長距離機は場合によってはロンドンへ向かい続けることができ、他社運行便は BA のデータセンターによって無効化されなかった。このインシデントは依存関係の到達範囲においてグローバルだったが、航空システムをシャットダウンしたわけではない。

同航空会社の最初の説明は「電源問題」だった。BA の最高経営責任者による5月27日～28日の声明の保存された報告は、その見解とサイバー攻撃の証拠がないことを記録している。その文言は、電力源、保護装置、開閉動作、または障害メカニズムを特定していなかった。それはインシデント段階の仮説であり、完了した根本原因分析ではなかった。

運用面では、影響はすでに目に見えていた。チェックインと手荷物預け入れ処理は停止または減速し、顧客サービスチャネルは需要を吸収できず、フライトと乗客の情報は突き合わせが困難になり、航空機や手荷物を予測通りに処理できなくなった人々でターミナルは満杯になった。後の2017年5月の CAA 空港データアーカイブは、規制当局によるフライトレベルおよび欠航データの情報源を提供している。これは独立した再構築に有用だが、月次テーブルだけですべての欠航原因を特定できるわけではない。

5月28日（日）：システムは復旧するが、ヒースローはすぐに正常化できず

日曜日、BA は多くのシステムが復旧したと報告した。ガトウィックはほぼ正常なスケジュールに向かって進んだが、ヒースローでは欠航、遅延、行列、手荷物の滞留が続いた。当時の報道は、その日早くにヒースローでさらに約40便の欠航が発生したと記録しているが、より重要な点は構造的な問題である。サービス復旧と運航回復は同時ではなかった。

航空会社のスケジュールは、状態を持つ物理的なシステムである。最初の波が欠航すれば、航空機は誤った空港に取り残され、乗務員は勤務時間制限に抵触し、駐機スポットと出発枠は不一致となり、乗り継ぎ旅客は旅程が分断され、手荷物は所有者から分離される。データベースやメッセージブローカーを再起動しても、すべてのリソースが今どこにあるかを安全に推測できるわけではない。復旧したシステムは、バックログを受け入れて調和させながら、運用担当者は法的な乗務員、利用可能な航空機、地上支援、到着空港のキャパシティでどの便がまだ出発できるかを決定しなければならない。

BA の最高経営責任者は、顧客が足止めされ、手荷物から引き離され、長い情報待ち行列に置かれたことを認めた。報告ではまた、バックアップシステムが迅速な継続性を生み出さなかったことも記録されている。5月29日の運航状況の説明は、Alex Cruz 氏が午前中の停電事象が通信ハードウェアと全オペレーティングシステムのメッセージングに壊滅的な影響を及ぼしたと述べたとしている。また、顧客データの破損や漏洩はなかったとの同氏の声明も記録している。これらは企業声明であり、メッセージングカスケード分析を支持するが、診断ログを開示したり、正確な被害経路を証明したりするものではない。

5月29日（月）：大部分の便が再開する中、乗客と手荷物の回復が続く

月曜日までに、ガトウィックとヒースローの長距離路線はほぼ正常化し、BA はヒースローの短距離路線の約90％が運航していると発表した。同航空会社はまだ足止めされた乗客の対応に追われていた。Cruz 氏は、影響を受けた乗客の3分の2強が月曜日の終わりまでに目的地に到着し、その他の乗客には後日再予約を提案していると述べた。その推定はインシデント段階の復旧指標としては有用だが、最終的な監査済み乗客数ではない。

主要システムの停止後も、運用上の残余は残った。欠航前に受け入れられた手荷物は探し出し、仕分けし、別便で運ぶ必要があった。乗客は新しい旅程に結び付けられ、請求が開始され、航空機と乗務員のローテーションを再構築しなければならなかった。遅延手荷物に関する5月30日の報道は、システムが完全に復旧し、火曜日には全面スケジュールが運航されているという BA の声明を伝えている。また、手荷物の回復作業が続いていることも記録している。したがって、5月29日は、すべての顧客対応の結果ではなく、急性のフライト復旧時系列の妥当な終了点である。

後の企業ベースの合計は、報道の推定よりも意図的に粗い。IAG の2021年目論見書は、2017年5月の IT サービス喪失により500便以上の欠航が生じたと述べている。データセンター Knowledge が伝えたブルームバーグの報道は、5月27日に479便、28日に193便、29日に若干の欠航が発生した日別の推定を提供している。IAG の正式な開示と報道の分類法はスケジュールの数え方が異なる可能性があるため、本分析では企業確認済みの規模として「500便以上」を使用し、より細かい数字は報道推定として扱う。

確認事項、推論、論争事項、不明事項

説明責任は、誤った精度を拒否することにかかっている。4つの証拠ラベルは、異なる主張が一つのナラティブに崩れ落ちるのを防ぐ。

確認済みの企業および規制当局の記録。BA が提出した2017年決算書は、グループの一次データセンターで停電が発生し、顧客とフライトに深刻な混乱が生じたと述べている。同決算書は、経営陣が根本原因を特定し、電力と IT インフラとレジリエンスを改善するための包括的プログラムを開始したと述べている。IAG の監査・コンプライアンス委員会は、調査状況、根本原因の特定、そして即時および長期的な復旧について定期的な最新情報を受け取ったと述べている。CAA との往復書簡は、インシデント後、規制当局と航空会社が経路変更、ケア、情報提供、補償について協議していたことを確認している。これらの記録は、イベントのクラス、企業の認識、ガバナンスの対応を確立している。

支持される推論。電気的保護、通信、代替処理、データ一貫性、復旧手順が全体として効果的な継続性を提供していたならば、ローカルな停電がこれほどの規模で乗客にとって重要なサービスを奪うべきではなかったという推論である。これは結果とシステムの目的からの推論であり、どのコンポーネントが最初に故障したのか、代替サイトがトラフィックを受けたのか、設計された安全装置がなかったのか、欠陥があったのか、迂回されたのか、共有依存関係によって無効化されたのかを教えるものではない。

争われている主張。GMB 組合は、それ以前の人員削減とアウトソーシングが BA の IT 能力を弱め、この出来事を回避可能にしたと主張した。BA は因果関係を否定し、このローカルなデータセンター事象に関与した当事者はローカルであると述べた。5月27日の ITV の記録は、組合の主張と BA の回答を保存している。どちらの立場も技術的な調査ではない。アウトソーシングは実際のガバナンスの文脈であるが、人員変更と停止の時間的な関連性は、オフショアサプライヤーが当該の電源操作を行ったことや、失敗した復旧を引き起こしたことを証明するものではない。

報道では、契約業者が電源を切ったとも主張された。当該サイトと関連して報道された施設管理会社は、原因が特定されたという主張は事実に基づいていないと述べた。その否定を含む6月2日の報道が、本記事がその人物を契約業者とラベル付けせず、雇用主を名指しせず、その主張を決着済みと扱わない理由である。

不明な技術的詳細。本記事でレビューした公開された独立調査報告書には、単線結線図、イベントログ、UPS 状態、遮断器履歴、保護設定、保守許可、切替指示、ネットワークトポロジー、被害目録、代替サイトのテスト結果、復旧時間目標、またはアプリケーション復旧順序を提供するものはない。公開記録はまた、独立調査者の身元や最終意見を開示していない。最初の停電が機器故障、承認されたメンテナンス、許可されていない行為、誤解された指示、またはそれらの組み合わせから生じたかは不明である。また、代替処理がなぜ最低限の乗客オペレーションを維持しなかったのかも正確には不明である。

このギャップが重要なのは、上級管理職の説明が誠実であっても不完全であり得るからである。6月5日、Walsh 氏はジャーナリストに対し、技術者が UPS を切り離し、制御されていない復旧が損害を引き起こしたと語った。また、完全な独立調査を行うと発表した。その発表についてのロイター報道は、IAG の CEO が述べたことの帰属可能な証拠であり、未発表の報告書、基盤となるログ、目撃者インタビュー、テスト結果の代わりにはならない。

因果構造：トリガー、根本原因、寄与条件

トリガー：データセンター電源の中断

トリガーとは、システムを異常状態に陥れた直接の事象である。最も狭義の防御可能な表現は、5月27日朝の BA の一次データセンターにおける停電である。BA の2017年年次報告書は「power failure（停電）」という用語を使用し、IAG の半期報告書は「power failure」または「power outage」を使用している。これらは、グリッドサージへの初期の言及よりも強力な情報源である。

この区別は、見かけ上の矛盾を解消する。地元の電力会社は、自社のネットワークで供給サージは見られなかったと報じられた。BA は後に、サイト内での制御されていない電力の復帰に言及した。両者は、有害な状態が電力会社境界の下流で発生したのであれば真実であり得るが、公開証拠はそのトポロジーを証明していない。したがって、本記事は外部のグリッドサージがイベントを開始したとは述べていない。

技術的根本原因：継続性制御がサービスを安全に維持または復旧できなかった

停止を「人為的ミス」と呼ぶのは浅薄すぎる。たとえオペレーターが誤った操作をしたとしても、重要な施設は権限を制約し、危険な開閉操作には確認を要求し、証拠を保持し、障害ドメインを分離し、テスト済みの手順で復旧すべきである。この事象が乗客にまで及んだのは、統合された電力、通信、IT 継続性の設計が、重要な航空プロセスを利用可能に保つことに失敗し、運用上許容可能な時間枠内で復旧させることに失敗したからである。

より具体的なレベルでは、BA は電力が制御されずに復帰し、通信ハードウェアに物理的な損傷を与えたと述べた。当時の専門家による報道は、答えの出ない疑問は、なぜ第二のデータセンターが利用可能な継続性を提供しなかったのかであると強調した。データセンター Dynamics の再構成は、BA の二段階の説明、二つのデータセンター、そしてフェイルオーバーをめぐる不確実性を報じている。また、専門家の解釈を解釈としてラベル付けしている。これは適切な証拠の使い方であり、技術的な疑問を特定しているが、裁定された答えではない。

したがって、根本原因の表明は結果ベースにとどめなければならない。BA のアーキテクチャと復旧制御は、一次サイトの停電事象を許容し、安全に復旧することができなかった。特定の UPS モデルが故障した、両サイトが独立電源を失った、特定のサーバーが破壊されたと主張するのは言い過ぎだろう。そのような詳細は提出された企業記録にはない。

寄与条件1：通信とメッセージングへの集中

Cruz 氏は、毎日約200システム間で数千万のメッセージがやり取りされ、通信障害がそれらのシステムに影響を与えたと述べた。メッセージファブリックは、アプリケーションが乗客記録、航空機搭載、手荷物、クルー、出発管理、フライト状況のためにタイムリーな交換に依存する場合、ローカルなインフラ損失をシステム全体の利用不能に変える可能性がある。アプリケーションサーバーが稼働していても、古いまたは欠落したメッセージが出力を安全に使用できなくする可能性がある。

これは支持される依存関係推論であり、特定のミドルウェア製品が単一障害点であったという証明ではない。BA はサービスマップ、キューバックログ、データ調整計画、あるいはどの200システムが実質的に利用不能だったかを公表しなかった。説明責任の問いは、経営陣がフライトを出発させるために必要な最低限のメッセージセットを知っていたかどうか、そしてその経路が復旧時に独立して動作できたかどうかである。

寄与条件2：代替処理が最小限の実行可能なオペレーションを提供しなかった

冗長性はアセット数ではなく、サービスによって実証される特性である。二つの部屋、二つの UPS ユニット、二つのデータセンターがあるだけでは、ネットワーク、アイデンティティ、ストレージ、管理、メッセージング、電源制御、または復旧の依存関係を共有する場合、継続性を提供しない。また、データの整合性を確立できず、トラフィックを切り替えられず、スタッフが主系の利用不能を宣言する権限を欠いている場合、名目上の待機は役に立たない。

このインシデントは、BA が大量欠航を回避するのに十分な速さで効果的な代替処理を得られなかったことを示しているが、その理由は示していない。考えられる説明には、共有依存関係、不十分なキャパシティ、通信の利用不能、不完全なレプリケーション、復旧順序の問題、あるいは状態が信頼できないためにフェイルオーバーしないという決定が含まれる。独立した報告書がない限り、一つを選択することは制御問題を創作された事実に変えることになる。

寄与条件3：復旧は単なる電気的タスクではなく、アプリケーションの問題だった

電力復旧には少なくとも三つのゲートがある。施設は電気的に安定しなければならない。基盤と通信は、制御された依存順序で復旧されなければならない。そしてアプリケーションは、既知のビジネス状態に調整されなければならない。すべての機器を一度に立ち上げると、突入電流、ネットワークの混乱、同時のアプリケーション競合を引き起こす可能性がある。遅すぎると運航時間枠を逃す可能性がある。いずれにせよ、緑色の電源インジケータは、チェックイン、ロードコントロール、手荷物メッセージが完了していることを証明しない。

これが、安全な復旧に依存関係グラフ、段階的実行手順書、信頼できるタイムソース、キューとデータベースの調整、そして明示的なゴー／ノーゴーの所有権が必要な理由である。公開記録は、メッセージングの復旧が中心的だったという結論を支持している。BA の実行手順書がこれらの制御を含んでいたか、またはそれらがどのように機能したかは開示されていない。

寄与条件4：ピーク時期が影響を増幅した

このインシデントは英国の銀行休日と学校の中間休みの週末初日に発生した。高い乗客数と制約された代替輸送力は、空席、ホテルの部屋、空港リソースの不足を意味した。ピーク時期が停電を引き起こしたわけではない。しかし、影響を受ける人の数を増やし、経路変更とケアを困難にした。レジリエントな計画は、静かなメンテナンス時間枠を前提とするのではなく、深刻だが起こり得るピークシナリオを使用すべきである。

検知、対応、復旧

検知：停止は明らかだったが、制御状態の証拠は非公開

フライトに面した症状は直ちに可視化された。チェックイン行列、失敗した手荷物処理、利用不能な顧客チャネル、そして増大する出発遅延である。公開されていないのは内部の検知経路である。成熟した記録であれば、最初の施設アラーム、最初のサービスアラーム、誰がインシデントを宣言したか、いつ危機管理が開始されたか、どのテレメトリが生き残ったか、いつ経営陣が復旧にその日の運航時間枠を超えることを知ったかが示されるだろう。

この区別は、影響の検知と原因の診断を分ける。BA は深刻な運用障害を、公的警告と欠航を発するのに十分な速さで検知した。それは、技術者が直ちに電気的状態、損傷範囲、または安全な復旧経路を知っていたことを証明するものではない。変化した公的説明は、診断が進展したことを示唆しており、これは複雑なインシデントでは通常のことである。説明責任は、確実性が変化するにつれて証拠を保持し、主張を更新することにあり、即時の確実性を要求することではない。

対応：欠航はターミナルとネットワークの混乱を封じ込めたが、通信は阻害された

ヒースローとガトウィックの残りの出発便を欠航にしたのは、技術的継続性が失敗した後の業務継続上の決定だった。これにより、乗客を無期限に拘束し、信頼性のない処理でフライトを出発させようとするリスクを低減した。しかし、大量欠航は第二の作業負荷を生み出した。通知、払い戻し、再予約、ケア、手荷物返却、接続保護である。

その作業を遂行することが期待されたチャネルは、影響を受けたエコシステムの一部だった。顧客は最新情報を得るのが困難であると報告し、スタッフは変化する運航情報と混雑したターミナルに直面した。ヒースローによる追加スタッフの配置は物理的な存在には役立ったが、空港スタッフは BA の予約在庫を作成したり、すべての航空会社の決定を下したりすることはできなかった。これが乗客継続性の教訓である。航空会社は、主要デジタルチャネルが劣化したときに、影響を受けた人々を特定し、安定した運航メッセージを公開し、権利情報を提供し、ケアを承認するための帯域外の手段を必要とする。

復旧：技術的可用性、フライトの実行可能性、乗客の完了は異なるマイルストーンである

防御可能な復旧記録は少なくとも三つの時計を追跡する。一つ目は、コアインフラとアプリケーションが技術的に安定したときに終了する。二つ目は、新たな移動を生み出すことなく実行可能なスケジュールが運行できるときに終了する。三つ目は、影響を受けた乗客と手荷物が解決状態に達し、請求が処理されたときに終了する。

BA の時系列はそのギャップを示している。多くのシステムは日曜日に復旧し、ほとんどのフライトは月曜日に戻り、全面スケジュールは火曜日に報告され、手荷物と補償作業は続いた。サーバー可用性で停止するインシデントダッシュボードは、損害を実質的に過小評価するだろう。乗客継続性の説明責任は、経路変更された乗客数、提供されたホテルと食事、平均通知遅延、手荷物の再結合、請求バックログ、最終解決までの時間などの尺度を必要とする。

乗客の権利テストは停止説明から独立している

インシデント当時、規則(EC) 261/2004が英国で適用されていた。その構造は意図的にモジュール化されている。公式規則に基づき、欠航は第8条の払い戻しと経路変更の選択、第9条のケア、そして潜在的に第7条の固定補償を発動する。第5条(3)は、運送事業者がすべての合理的な措置を講じても回避できなかった異常事態を証明すれば、固定補償に対する抗弁を提供する。その抗弁は第8条と第9条を消去しない。

払い戻しと経路変更

第8条は、影響を受けた乗客に選択肢を与えた。払い戻し、同等の条件下での最早期の経路変更、または座席に応じた後日の都合の良い日への経路変更である。CAA の正式な第8条経路変更ガイダンスは、航空会社が他社便を含む経路変更の選択肢について包括的な情報を乗客に提供し、提供された選択肢が最早期のものであることを示す責任を負うと述べている。また、航空会社が特定し提供した選択肢の記録を保持することを期待している。

これらの要件は、経路変更を、復旧が進行中であるという一般的な保証ではなく、具体的な証拠問題に変える。2017年5月の混乱について、防御可能な評価は、可用性、連絡の試み、緊急性、同等の条件、BA が特定した代替案、および実際に提供されたものに関する乗客レベルの証拠を必要とする。その後の CAA ガイダンスは管理基準を示しているが、それ自体で BA が影響を受けたすべての旅程についてその基準を満たしたかどうかを立証するものではない。

ケアと合理的な費用

第9条のケアには、待ち時間に見合った合理的な食事と軽食、宿泊が必要な場合のホテル宿泊、空港と宿泊施設間の輸送、および通信が含まれた。CAA の2017年2月のCAP 1500コンプライアンス報告書は、積極的なケア、移動制約のある乗客や同伴者のいない子供への優先、ケアが提供されなかった場合の必要かつ合理的かつ適切な費用の払い戻しを強調した。

原因からの法的分離は決定的である。McDonagh v Ryanair事件において、司法裁判所は、火山灰による空域閉鎖のような異常事態でもケアの義務は継続すると判示した。CJEU の Case C-12/11 記録は、ケアの義務を取り除く特別に異常な事態の別個のクラスは存在しないことを確認している。したがって、BA の停電が制御可能であったかどうかは固定補償の分析に影響を与えるが、一晩待っている乗客にケアが負われているかどうかを決定するものではない。

CAA との往復書簡は実際の摩擦を示している。規制当局は、顧客を保険会社に照会し、一部の空港送迎費用を除外している BA のウェブサイト文言に疑問を呈した。BA は、顧客が旅行保険に加入しているかどうかにかかわらず規則261の費用を支払い、関連ページを変更し、BA が顧客を別の目的地に経路変更した場合の該当する送迎費用を払い戻すと述べた。これは復旧中の修正の証拠であり、すべての顧客が修正されたメッセージを見た、またはタイムリーなケアを受けたという証明ではない。

情報権利とコミュニケーション

規則261第14条は乗客の権利の通知を要求した。これは2017年5月の BA にとって新しいことではなかった。2016年7月29日、BA は CAA に対し、2時間以上遅延した乗客に権利情報を提供することを確約した。CAA の現在の確約一覧表は、確約は任意であり、不正行為や責任を認めるものではなく、違反があったかどうかを決定できるのは裁判所のみであると説明している。

事象前の証拠は微妙である。2017年2月に発行された CAP 1500は、British Airways のケアと支援を「Good（良好）」と評価した。そのベンチマークとして、ほとんどの場合における積極的なケア、迅速な経費払い戻し、脆弱な乗客への配慮、文書化された手順、トレーニング、監督が説明された。これにより、BA にポリシーがなかったという単純な主張は防がれる。また、管理テストを先鋭化させる。顧客連絡、予約、空港情報が故障したシステムに依存していたときに、それらのポリシーが大量の混乱規模で機能し得たか、というテストである。

事象後の往復書簡によれば、BA の代表者がターミナル5で権利リーフレットが配布されているのを見ており、リーフレットの利用可能性は危機管理チームによって検討されたという。CAA は BA に対し、混乱後のレビュー、ヒースローおよびその他の空港での配布記録、顧客に合わせた手紙の例を求めた。これらの要求は、規制当局がポリシー文言だけを受け入れるのではなく、実行の証拠を求めたことを示している。開示されたファイルには、あらゆる場所での完全な最終監査は含まれていない。

固定補償と異常事態

短期間の通知で行われた欠航および該当する長時間の遅延に対して、規則261は距離その他の条件に応じて250ユーロ、400ユーロ、または600ユーロの固定額を規定していた。BA は CAA に対し、固定補償を「支払うべきところでは支払う」と述べた。この文言は法的なケースバイケースの評価を留保したものであり、すべての欠航が該当するという承認ではない。

異常事態の問題は、単なる類推だけで決定されるべきではない。Wallentin-Hermann v Alitalia事件において、CJEU は、航空機の技術的問題は、通常の運送事業者の活動に内在しない、かつ実際の制御を超えた事象に起因するものでない限り、異常ではないと判示した。公式 Case C-549/07 記録は、運送事業者に立証責任を課し、合理的な措置を要求している。欧州委員会の2016年解釈ガイドラインは、その判例法を統合している。

これらの権威は航空機の技術的故障に関するものであり、企業データセンターの停電に関するものではない。それらは制御と内在的活動を関連付けるが、2017年のすべての BA 便を自動的に裁定するものではない。裁判所は、原因、運送事業者の制御、合理的な措置、そして特定の欠航または遅延との因果関係についての証拠を必要とするだろう。公開された技術報告書がないため、断定的な法的宣言は特に危険である。

CAA との往復書簡は違反認定ではない。それは復旧中の質問、期待、BA のコミットメントを記録している。CAA の2017年乗客苦情アーカイブも、苦情件数が決定や支払いと同義ではないこと、そしてその乗客アドバイス・苦情チームは個々の裁定について航空会社を拘束する権限を持たないことを注意喚起している。したがって、本記事は、引用された記録に、普遍的なコンプライアンスまたは普遍的な違反を宣言する根拠は見出していない。

財務的影響と数字の限界

British Airways の2017年上半期報告書は、最も明確な認識されたコストを示している。それによると、ハンドリング、ケータリング、その他の運航コストには、停電を受けた5,600万英ポンドの追加補償費用と手荷物請求が含まれ、BA は補償義務を履行するために顧客との連携を継続していた。IAG はグループ通貨で同引当金を6,500万ユーロと報告した。これらを合算すべきではない。

引当金は、実質的な乗客救済と手荷物エクスポージャーの証拠である。これには、すべての収益影響、人件費、ウェットリース、直接支払われたホテル代、風評損失、乗客の時間、逸したイベント、下流の旅行ビジネスコストは含まれていない。また、会計上の認識は、各請求が商業的に解決されたのではなく法的に要求されたことを立証するものではない。それは測定された企業の負債カテゴリーであり、全体的な厚生推定ではない。

説明責任分析でその数字を使用する前に、三つの調整が必要である。第一に、BA の5,600万英ポンドの数字と IAG の6,500万ユーロの数字は、同じ引当金の報告通貨表示であり、別個の損失ではない。第二に、引当金は会計期間における企業の見積もりを記録するものであり、最終的な現金支払総額でも乗客数でもない。第三に、後のサプライヤー補償は別の期間に認識された回収であり、非公開の和解と会計詳細なしに乗客引当金に相殺することはできない。これらの元帳を分離しておくことで、大きくても境界のある会計エントリーが、創作された総コストまたは過失の暗黙の法的割り当てになるのを防ぐ。

IAG のその後の開示は二つの説明責任シグナルを追加する。2019年の決算は、不動産、IT その他のコストが2017年の障害に関連する一時的なサプライヤー補償の恩恵を受けた一方、レジリエンスと IT インフラへの投資によって部分的に相殺されたと述べている。2019年決算発表は、サプライヤーを名指しせず、和解条件を開示せず、公的な法的認定を割り当てていない。それはサプライヤー回収が認識されたことを証明するが、特定の契約業者が起因事象を引き起こしたことを証明するものではない。

ガバナンス：誰が実質的な管理権限を持っていたか

British Airways の経営陣

BA は旅程を販売し、フライトを運航し、顧客対応を管理した。したがって、経営陣は統合された継続性の結果、つまり投資優先順位、重要サービスの定義、サプライヤーガバナンス、インシデント権限、スケジュール決定、コミュニケーション、請求処理能力を所有していた。この所有権は、専門サプライヤーが施設やコンポーネントを運営していた場所でも維持される。契約はタスクと救済手段を移転するが、乗客関係を移転するものではない。

BA の2017年年次報告書は依存関係について率直である。そこでは、BA が主要なビジネスプロセスを IT に、サプライヤーの IT インフラに、そして空港手荷物オペレーターに依存していたと述べている。また、システム制御、災害復旧、事業継続の取り決めが存在したとも述べている。同じ提出された年次報告書は、この事象が経営陣に事業運営と継続性計画の見直しを促したと述べている。したがって、説明責任の問いは、計画が存在したかどうかではなく、この障害モードを乗り切れるという確証が何を示していたかである。

施設、電力、IT の制御所有者

施設制御所有者は、開閉権限、保守許可、UPS と発電機の設定、物理的アラーム、安全な隔離と復旧に対する実質的な管理権限を有していた。IT 所有者は、サービスマップ、依存順序、データ検証、フェイルオーバー宣言、アプリケーションリリースを管理していた。これらの役割が交差する場合、単一のインシデント指揮権は、サイトが電気的に安全か、インフラ状態が信頼できるか、そして航空会社がフライト処理を再開できるかを決定する権限を必要とした。

公開証拠は、これらの制御を特定の個人に割り当てていない。適切な説明責任は、個人の行動の前に、役割設計、承認、検証を吟味する。もし単一の操作で稼働中の主サイトを切断でき、制御されていない復旧が重要な機器を損傷させ得るのであれば、経営陣は、二重制御、インターロック、ピア確認、変更記録、および代替サービスがなぜエスカレーションを防止したか、または防止しなかったかを示す必要があるだろう。

サプライヤー

サプライヤーは、契約で割り当てられたあらゆる施設、エンジニアリング、ネットワーク、またはソフトウェアの制御を所有していた。また、それらの境界内で BA に完全なインシデント証拠を提供する義務を負っていた。しかし、公開されている契約範囲は入手不可能である。したがって、オフショアのソフトウェアプロバイダーがローカルな電気的切替を制御したとか、施設プロバイダーがアプリケーションフェイルオーバーを制御したと推測することは不適切である。後に IAG が認識したサプライヤー補償は、その事実的根拠を開示することなく契約上の救済手段を示す信号である。

BA はサプライヤー制御の統合に責任を負い続けた。組織自身の年次報告書は、アウトソーシングと複雑なサプライチェーンが重要サプライヤー依存を増大させたことを認識していた。効果的なガバナンスは、各復旧目標を、説明責任を負う所有者、サービスレベル測定基準、証拠ソース、サプライヤー横断的な演習にマッピングするだろう。

ヒースロー、ガトウィック、および共有空港システム

空港はターミナルアクセス、群集管理、共有施設、駐機スポット、一部の手荷物インフラを管理し、BA は自社のフライト、乗客記録、航空会社の決定を管理していた。ヒースローは追加の顧客サービススタッフを配置した。ガトウィックが BA のほぼ通常のスケジュールへより早く戻ったことは、ローカルな運航条件が重要だったことを示している。公開証拠上、どちらの空港も BA の一次データセンター停電を引き起こしてはいない。

それでも境界には共同計画が必要だった。欠航したフライトは、乗客への通知と経路変更の所有権が航空会社に残る一方で、手荷物を空港管理のフロー内に残す可能性がある。空港と航空会社の演習は、手荷物の受け入れ停止方法、受け入れた手荷物の返却方法、脆弱な人々の保護方法、一貫した指示の発行方法を含め、その引き継ぎをテストしなければならない。

IAG 取締役会の監督と CAA

IAG の監査・コンプライアンス委員会は、BA の議長、CFO、IT ディレクター、施設ディレクターから定期的な最新情報を受け取った。委員会報告書は、最新情報が調査、根本原因、即時および長期的な復旧をカバーしていたと述べている。これは上級管理職の監督の証拠であるが、開示されたインプットが経営陣から来ており、報告書が終結基準を示していないため、独立した技術的確証ではない。

CAA の実質的な管理は消費者法の監督であり、BA のデータセンターやフライトの運営ではなかった。その迅速な文書交換は、経路変更、ケア、情報提供、補償に関する期待を明確にした。規制当局は証拠を要求し、集団的な法執行を追求できるが、航空会社のメッセージファブリックを運営したり、何千もの事実固有の請求を即座に決定したりすることはできない。この境界を明確に保つことで、技術的な障害が規制上の因果関係として誤ってラベル付けされるのを防ぐ。

検証可能なレジリエンス修復と見なされるもの

このインシデントは、約束、支出、ガバナンス活動を生み出した。永続的な説明責任には、具体的な障害経路が制御されている証拠が必要である。五つの証明クラスが必要である。

1. 電力制御の証明

BA は、現在の単線結線図、保護および UPS テスト記録、発電機とバッテリー容量の証拠、開閉許可、役割ベースの権限、重大な結果をもたらす操作に対する二重確認、そして不変のイベントログを提示できるべきである。復旧手順は、段階的負荷、通信チェック、中断基準を定義すべきである。保守演習は、主経路を必須サービスを除去せずに隔離できること、そして復旧が必要な検証を迂回できないことを証明すべきである。

これは後知恵の創作ではない。英国政府の事業継続ガイダンスは、計画は行使されるまで信頼できず、無停電電源装置（UPS）などのテストシステムを具体的に特定している。基準は、文書の所持ではなく、実行可能な制御の証明である。

2. 代替処理の証明

代替サイトは、起因障害ドメインからの独立性と、最低限の実行可能な航空運航に十分なキャパシティを実証しなければならない。テストは、アイデンティティ、ネットワーク、データ、メッセージ、アプリケーションの可用性、測定された復旧時間目標と復旧ポイント目標、そして乗客にとって重要なサービスの宣言された順序を証明すべきである。完全な中断が常に安全とは限らないが、制御された本番フェイルオーバー、隔離されたリハーサル、コンポーネントの除去は、集合的に証拠を提供できる。

NIST のSP 800-34コンティンジェンシー計画ガイドは、ビジネス影響分析、復旧戦略、テスト、計画の保守を推奨している。そのテストガイダンスは、システムまたはコンポーネントから電力を除去し、定量化可能な成功基準を使用することを明示的に考慮している。NIST のSP 800-53コンティンジェンシー管理策は、代替処理サイトでのテストを含む、計画テスト、結果のレビュー、是正措置を要求している。これらは、これらの米国出版物によって BA に課せられた法的義務ではなく、証拠に基づく復旧がどのようなものかについての信頼できるベンチマークである。

3. 依存関係を認識したアプリケーションの証明

BA は、ビジネス成果をアプリケーション、メッセージ、データベース、ネットワーク、施設、サプライヤーに結び付けるインベントリを必要とする。テストは、チェックイン、出発管理、飛行計画、クルー、ロードコントロール、手荷物インターフェース、顧客通知、再予約が安全に動作するか、または制御された方法で失敗することを示すべきである。復旧は、単にプロセスの稼働時間ではなく、キュー調整とデータ整合性を証明しなければならない。

英国国立サイバーセキュリティセンターは、ネットワークとシステムのレジリエンスに関する原則 B5で同じ一般的要点を述べている。すなわち、組織は依存関係を理解し、計画外の中断を避けるために電源変更などの物理的アップグレードを計画し、システム障害に備えて設計すべきである。この原則はサイバーおよびシステムレジリエンスをカバーしており、これを引用しても2017年の事象をサイバー攻撃と再分類するものではない。

4. 乗客継続性の証明

技術的演習には、長期間の停止が顧客に及ぼす影響を含めるべきである。BA は独立したデータ抽出から影響を受けた乗客を特定できるか？主要プラットフォームなしで安定した通知を送信できるか？空港チームは権利情報を発行し、食事やホテルを許可できるか？代理店は他社便への経路変更ができるか？航空会社は手荷物の受け入れを停止し、すでに導入された手荷物を調整できるか？増大するバックログを隠すことなく、クレーム処理能力を拡張できるか？

成功基準には、通知時間、連絡範囲、経路変更の完了、脆弱な乗客へのサポート、手荷物調整、クレームの経過日数を含めるべきである。ここに、大企業と小規模旅行ビジネスが継続性の関心を共有する理由がある。旅行代理店、ホテル、送迎事業者、企業旅行マネージャーは正確な航空会社の状況に依存しており、それを保留する停止は、復旧作業とキャッシュフローの圧力をより広範なサービスチェーンに移転させる。

5. 独立した終結と再発防止の証拠

最終的な証明は、すべての根本原因と寄与原因を是正措置、所有者、期日、テスト、結果、残留リスク、取締役会の承認にマッピングすべきである。独立したレビューアーは代表的なサンプルを検証し、限界を述べるべきである。公開では、セキュリティ上機密のトポロジーを省略するかもしれないが、それでもテスト範囲、達成された復旧目標、重要な例外、ガバナンス終結を開示することはできる。

公開記録はそのレベルに達していない。BA の2017年年次報告書は、包括的プログラムが始まり、主要なアクションがすでに実施されたと述べている。IAG の2021年年次報告書は後に、レジリエンスとパフォーマンスの向上のためにシステムをクラウドホスト基盤に移行する三つのデータセンター移行プログラムについて説明した。2021年報告書は近代化の証拠であり、2017年のすべての管理ギャップが閉じられたという証明ではない。

BA の2023年報告書は、より具体的な継続的管理策を追加している。すなわち、オンプレミスデータセンターからのクラウド移行、ネットワーク修復と冗長化、システム管理策、災害復旧、事業継続、重要インフラ移行の復帰計画である。2023年 BA 年次報告書はそれらの自己申告を行っている。演習結果を公表しておらず、その後の BA の停止は、近代化が恒久的な免疫として解釈されるべきではないことを意味する。

最新の IAG の報告は、観察上の信号を提供している。その2025年年次報告書は、BA が重要なチェックイン、飛行計画、飛行管理、時間に厳しいロードコントロールシステムを近代化し、2025年の定時運航率を改善し、2025年3月のヒースロー空港停電後に、より迅速に復旧したと述べている。それは BA のデータセンター外部の別の事象であり、2017年シナリオの制御された再テストとはならない。しかし、IAG が現在、基盤活動だけでなく、顧客と運航の成果においてレジリエンスを報告していることを示している。

説明責任マトリックス

この表は、法的な罪ではなく、運航上の管理を割り当てている。サプライヤーは乗客とのコミュニケーションを制御せずに遮断器を制御できる。航空会社は空港ホテルを運営せずにケアを負うことができる。規制当局はデータセンター設計を管理せずに情報義務を執行できる。法的責任は、該当する義務、違反、因果関係、損害、および手続き記録を必要とするだろう。

結論

2017年5月の British Airways の停止が重要だったのは、航空会社がサーバーを失ったり停電したりすべきではないからではない。一つの基盤イベントが、スケジュールの大部分を欠航させ、乗客を手荷物から引き離し、混乱を説明し修復するためのメカニズムを圧倒する十分な量の、航空会社のデジタル運営ファブリックを奪ったから重要だったのである。

公開証拠は、確固たるが限界のある結論を支持する。BA の一次データセンターは停電した。継続性と復旧の制御は、乗客にとって重要なサービスを維持しなかった。通信とメッセージングの依存関係は、影響を多数のシステムに広げた。ヒースローとガトウィックの運営は異なるペースで復旧し、乗客と手荷物の回復は技術的な復元よりも長引いた。BA は追加の補償および手荷物請求費用5,600万英ポンドを認識し、レジリエンスプログラムを開始し、調査を IAG の監査・コンプライアンス委員会に付託した。

同じ証拠は、特定の個人の行動、オフショアサプライヤー、正確な UPS シーケンス、または損傷の物理的経路についての決定的な主張を支持しない。それらの詳細は未公開の調査の背後にある。根本原因が特定されたという企業の主張は、公的な技術的証明と同等ではない。

乗客の説明責任は別の記録に基づく。規則261は、固定補償の支払い義務に関係なく、経路変更または払い戻し、ケア、権利情報を要求した。CAA との往復書簡は、BA が中核的な義務を受け入れ、一部の顧客情報を変更する一方、規制当局が他社便への経路変更、移送、リーフレット、請求処理能力に関する証拠を求めていたことを示している。その記録は積極的な回復と精査を示しているが、普遍的なコンプライアンスの評決を生み出すものではない。

永続的な教訓は証拠に基づく。レジリエンスとは、データセンターの数、バックアップ計画の存在、またはその後の設備投資プログラムではない。それは、電源を安全に隔離・復旧でき、代替処理が最低限の運航を担え、アプリケーションが既知の状態に調整でき、劣化したチャネルを通じて乗客ケアを継続できるという、測定された証明である。British Airways のその後の提出書類は、持続的な近代化とガバナンスへの注意を示している。テスト範囲、復旧パフォーマンス、例外、終結証拠が可視化されるまで、それらは2017年のすべての障害経路が排除されたという完全な証明ではなく、信頼できる修復シグナルにとどまる。