要約

  • BTの公共緊急通報サービスは、2023年6月25日の英国時間06時24分から16時56分まで、約10.5時間にわたり障害状態となった。約1時間は全国的に完全停止した。Ofcomの最終集計では、12,392人の発信者による13,943回の試行が成功せず、障害中の試行のおよそ23%に当たった。
  • 発端となった設定エラーだけが問題ではない。Ofcomは、最初のフェイルオーバーが正しく実施されず、さらに障害のあるノードがサービスへ戻されたことで全面停止に至ったと認定した。災害復旧基盤には50件分のキューしかなく、発信者位置情報の処理が劣化し、リレー通報の予備もなかった。
  • Ofcomは、BTがCommunications Act 2003のsection 105A(1)(c)とElectronic Communications (Security Measures) Regulations 2022のRegulation 9に違反したと最終認定し、和解と責任の承認による30%の減額後、1,750万ポンドの制裁金を科した。Ofcomが追及しなかった別の規定にまで認定を広げてはならない。
  • 公開記録では具体的な重篤な身体被害は確認されていないが、誰も被害を受けなかったという証明ではない。Ofcomは大きな苦痛と、深刻な結果につながり得る現実的な危険を指摘した。求められるのは、予備設備の台帳ではなく、端から端までの演習、十分な復旧容量、位置・アクセシビリティ機能の維持、そして緊急通報網全体で機能する意思決定の証拠である。

発信者にとっての結果から考える

通常の電話が失敗すれば、多くの場合は不便で済む。緊急通報の失敗は、すでに時間のない人から、さらに時間を奪う。発信者はネットワーク構成を見られず、別の処理基盤を選べない。予備系が本当にトラフィックを受け入れたかも分からない。利用者に見える結果は単純で、通報が使える状態で緊急機関へ届くか、届かないかである。

したがって、6月25日の出来事は機器の内側からではなく、公共への影響から読み解く必要がある。BTは999と112の通報を受け、該当する緊急機関へ転送する入口を担っていた。すべての消防、警察、救急の受理機関をBTが運営していたわけではない。それでも入口が機能しなければ、その先にいる職員の能力や資源は、届かなかった通報には役立たない。

Ofcomが数えた13,943回は試行数、12,392は発信者数である。同じ人が再度かければ試行は増える。これらの数字は、一回ごとに別の緊急事態があったことも、すべての発信者が同じ結果を経験したことも示さない。しかし、失敗が孤立した一件でも、一時的な小さな不具合でもなかったことは明確に示す。

障害は06時24分に始まり16時56分に終わった。約10.5時間のうち、全国的な全面停止は約1時間だった。「1時間の停止」とだけ表現すれば、長い劣化状態を見落とす。一部の通報が再び流れ始めても、重要機能や容量が不足していれば、公共サービスとしての復旧は完了していない。

Ofcomと英国政府が検討した公開記録では、具体的な重篤な身体被害は確認されなかった。この境界は守る必要がある。ただし、全発信者の転帰が公開されていない以上、確認がないことから「被害はゼロだった」と結論することはできない。Ofcomは相当な苦痛が生じ、重大な危険が現実にあり得たと評価している。

緊急通報は一つの装置ではなく、サービスの連鎖である

利用者が行うのは三桁の番号を押すことだが、通報は複数の技術と組織を通る。BTの処理基盤は通報を受け取り、必要な情報を維持または取得し、該当する緊急機関へ渡す。受理機関が応答し、実際の救援を調整する。英国政府の事後レビューが全体システムを対象にしたのは、復旧が一社だけで完結せず、複数機関の連携に依存したからである。

責任も、この連鎖に沿って正確に扱うべきだ。BTは自ら運営する処理サービスの可用性とレジリエンスに責任を負う。緊急機関には各組織の運用責任があり、政府の調整と公衆への情報発信には別の役割がある。あらゆる結果を一社に帰すのは不正確だが、後段に他の組織がいることを理由に、入口の重要性を小さく見るのも誤りである。

予備系が維持すべきものは音声回線だけではない。位置情報は、発信者が住所を説明できないときや途中で切れたとき、受理機関が救援場所を把握する助けになる。リレー通報は、聴覚や発話に困難のある人がサービスを利用するために必要である。キュー容量は、到着する通報が処理速度を上回った際に、どこまで待機させられるかを決める。

フェイルオーバーとは、信頼できなくなった主系から別の復旧系へサービスを移すことを指す。災害復旧は、重大な障害後にサービスを維持または復元するための技術と運用の組み合わせである。どちらの言葉も、成功した結果を保証しない。切り替えは誤って実行され得る。復旧基盤は接続を受けても、必要な容量や機能を欠き得る。結局問うべきなのは、発信者が実際にどのサービスを受けたかである。

設定エラーは、運用統制の失敗によって継続性障害になった

発端は技術的な設定エラーだった。BTは自社のレビューで、ソフトウェアとキャッシュの挙動を事業者の立場から説明している。一方、Ofcomの非機密版Confirmation Decisionは、規制上の事実認定を示す中心資料である。ここで重要なのは、すべてを最初の不具合だけで説明しないことだ。複雑なシステムには故障が起こる。継続性の統制は、その故障が重要サービスの停止へ拡大するのを防ぐためにある。

Ofcomによれば、最初のフェイルオーバーは正しく実施されず、その後、障害のあるノードがサービスに戻された。その結果、全面停止に至った。つまり、問題のある環境から離れようとした場面で故障を封じ込められず、移行操作と再投入が影響を強めた。

設定エラーは最初の異常を説明できる。しかし、なぜ故障を隔離できなかったのか、なぜ適切な復旧状態を選べなかったのか、なぜ安全にトラフィックを移せなかったのかは、それだけでは説明できない。そこには監視、診断情報、判断基準、手順書、訓練、権限、責任分担が関わる。

Ofcomが検討したのも、こうした周囲の統制だった。フェイルオーバー文書、判断基準、手順、訓練の状況、予見可能な危険に対する災害復旧基盤の能力が問われた。規制上の結論は、一つのソフトウェア部品が故障したかどうかだけでなく、重要通信サービスを守る措置が適切かつ相応だったかに及んだ。

公開資料には編集された部分があり、個人の判断責任やベンダーの身元を完全に示していない。したがって、特定の技術者や非公開の供給者を責めることはできない。問うことができるのは制度と運用である。手順は使えたか、警報は診断につながったか、復旧容量は十分だったか、障害状態の再投入を防げたか。この単位なら、証拠に基づく組織的な説明責任を保てる。

フェイルオーバーは構成図の矢印ではない

正常時の継続性設計は、主系、予備系、その間の矢印で簡単に描ける。図は行き先を示すが、いつ切り替えるべきか、誰が決めるか、何を確認するか、障害状態を移行先へ持ち込まない方法、予備系が実負荷に耐えるかまでは教えない。

2023年の事象が示したのは、この運用上の隙間である。信頼できる移行には、明確な開始条件、判断権限、緊張下でも実行できる手順、故障源を隔離したことの確認、そして復旧先が実際の需要を引き受けられるという証拠が必要になる。主系へ戻す基準は、最初の復旧基準と分けるべきである。

文書があるだけでも足りない。技術的に正しい手順書が、当直者の持たない知識を前提にしている場合がある。曖昧な信号に依存したり、重要な判断点を省いたり、システム間の作用を考慮していなかったりもする。演習は、人、権限、監視、プラットフォームの挙動が、事故の速度で整合するかを確かめる場である。

「試験済みフェイルオーバー」には厳しい意味を持たせる必要がある。トラフィックが移ること、故障状態が隔離されること、容量が十分なこと、位置情報が使えること、リレー利用者も接続できること、さらに新たな障害を起こさず安定化または復帰できることまで、端から端まで実証すべきだ。

冗長性は投入物にすぎない。継続性は観測される結果である。その間を埋めるのが、実際に行われた移行、測定された容量、維持された機能、事故の速さで働く意思決定という証拠だ。

復旧経路はあったが、同等のサービスではなかった

全面停止後、災害復旧基盤がサービスを戻す経路の一部になった。Ofcomが記録した制約は三つある。キューは50件分に限られ、発信者位置情報の処理は劣化し、リレー通報のバックアップはなかった。これは周辺的な仕様ではなく、復旧時に公共が受け取れたサービスを規定する条件である。

キューは、処理できるまで通報を待機させる場所である。全国の緊急通報を扱う復旧基盤に50件分しか余裕がなければ、集中する需要を吸収する余地は小さい。しかも、通報が失敗すると、結果を知らない発信者が再度かける。能力が下がった時に、失敗そのものが追加需要を生む。

Ofcomは第二段階だけで5,663件の失敗と約92%の失敗率を記録した。技術的な経路が存在しても、運用上はサービスが著しく不足し得ることを示している。「予備系を起動した時刻」を復旧完了時刻と同一視してはならない。

位置情報の劣化は、発信者と受理側の双方に追加負担を課す。リレー通報に予備がなければ、通常の音声経路を使えない人には同等のサービスがない。公開記録から特定の結果をこれらの制約に帰すことはできないが、復旧環境が通常サービスの全機能を維持していなかったことは確認できる。

容量、情報、アクセシビリティは互いに影響する。小さなキューが失敗を増やし、情報の劣化が成功した通報の処理を難しくし、リレーの欠落が一部の利用者を排除する。継続性の保証では、個々の機器が動いたかではなく、組み合わせたサービス結果を見る必要がある。

四つの数字は、四つの異なる問いへの答えである

この事件には複数の代表的な数字がある。定義を外すと矛盾して見えるが、範囲と作成時点を保てば役割は明確になる。

Ofcomの最終値は、12,392人の発信者による13,943回の不成功試行である。全試行のおよそ23%だった。試行数は再発信を含むため人数より多い。規制当局による最終的な影響評価には、この二つが中心となる。

英国政府の事後レビューが用いた9,641人は、折り返し連絡が必要な発信者という範囲だった。対応作業のための集合であり、すべての不成功発信者を数えたOfcomの最終値を置き換えるものではない。

BTのレビューは、暫定値として11,470人の不成功発信者を報告した。最終規制評価より前の事業者集計である。重複試行、時間帯、ログ、定義を照合すれば数字は精緻化される。早い段階の11,470と最終的な12,392を、同じ方法による競合する値として扱ってはならない。

5,663件と約92%は、Ofcomが第二段階について記録した失敗数と失敗率である。復旧過程の一つの状態がどれほど深刻だったかを示すが、約10.5時間全体の合計ではない。

数字を引用するときは、試行か人か、全期間か特定段階か、折り返し対象かサービス失敗全体か、暫定値か最終値かを明示すればよい。定義を添えることは細かな注意ではなく、公共サービスの失敗を正しく理解するための条件である。

Ofcomの最終認定と1,750万ポンドの制裁金

Ofcomは調査を最終決定で終えた。BTがCommunications Act 2003のsection 105A(1)(c)とElectronic Communications (Security Measures) Regulations 2022のRegulation 9に違反したと認定し、和解と責任承認による30%の減額を適用した後、1,750万ポンドの制裁金を科した。

この法的姿勢を曖昧にしてはならない。制裁は提案段階ではなく最終的なものだった。一方、Ofcomが検討したすべての規定について違反認定があったわけでもない。認定の範囲を広げることは、説明責任を強めるのではなく、事実を不正確にする。

金額は目立つが、決定の運用上の価値は、レジリエンス義務を実際のサービス挙動に結び付けた点にある。予見可能な危険、切り替えの判断と実行、復旧基盤の能力、公共への影響が検討され、計画書を所有しているだけでは足りないことが示された。

30%の減額は、和解と責任の承認によるものと正確に記すべきだ。最終額から別の仮想額を逆算する必要はない。確認できる事実は、Ofcomが減額後に1,750万ポンドを科したことである。

規制決定はネットワークを運用せず、失敗した通報を取り戻すこともできない。その役割は、権威ある記録を残し、法的義務に関係する統制の不足を示し、事業者に結果を負わせることだ。次の障害でサービスを守るのは、現在の技術、手順、人員、演習である。

説明責任を、故障を止めるべき統制点に置く

重大障害では、一人または一部品を「原因」として探したくなる。しかし公開証拠から有益に検証できるのは、予見可能な問題を封じ込めるはずだった統制の境界である。

第一は設定・変更管理、第二は警報から正しい診断へ進む能力、第三は切り替え判断と実行、第四は障害ノードの再投入を防ぐ隔離、第五は復旧容量と機能の同等性、第六はBT、緊急機関、政府の連携である。

各境界には証拠で答えられる問いがある。どの信号が故障を見つけたか。いつ正しく理解されたか。どの基準で切り替えを決めたか。当直者は記憶に頼らず実行できたか。何が不健全なノードの復帰を止めたか。予備系は直近の演習でどれほどの負荷を運んだか。通常機能のどれが維持されたか。受理機関へ何をいつ伝えたか。

これらは故障部品を名指しするより難しいが、将来の性能をよりよく予測する。部品、供給者、担当者は変わる。成果、責任、証拠を定めた統制はその変化に耐えられる。最初のソフトウェア挙動だけを修正しても、別の故障で正しい診断、隔離、移行ができる証明にはならない。

全国サービスは組織をまたいで演習する必要がある

英国政府の事後レビューは、BTの基盤だけでなく、緊急通報システム全体を見た。複数の組織は同じ指揮命令系統や同じ制御室を共有していない。入口が不安定になれば、受理機関は利用可能な経路、失われた機能、予想される再発信を知る必要があり、政府は全国的な調整と公衆への案内を判断しなければならない。

接続が戻っても、以前の失敗が消えるわけではない。不成功試行は、未解決の救助要請かもしれない。発信者を特定し折り返す作業は、障害を防ぐ代わりにはならないが、残されたリスクへの対応になる。政府レビューの9,641人はその対象であり、Ofcomの最終的な12,392人とは目的が違う。

復旧には、新しい通報を通す経路だけでなく、過去の失敗を適法かつ実務的に照合する能力が必要だ。ログから対象を識別できるか、誰が折り返しを担うか、受理機関が優先順位を付けられる情報があるか。入口だけを再開し、それ以前の発信者を置き去りにすれば、完全な復旧とは言えない。

演習も組織境界を越えるべきである。事業者内の技術試験だけでは、緊急機関への通知、位置情報の劣化、リレー利用者の扱い、全国向けメッセージ、失敗試行の照合を見落とす。これらは付随的な広報項目ではなく、障害時に提供されるサービスの一部だ。

改善策は、継続して有効性を示す必要がある

Ofcomの決定、英国政府のレビュー、BTの説明は、障害後の変更を記録している。警報の改善、フェイルオーバー文書と試験、より多くの自動化、キュー容量の拡大、位置情報処理とリレー対応の改善、緊急通報システム全体の連携強化などである。

これらは確認された失敗に対応している。ただし、作業の完了と統制の有効性は同じではない。警報を設置しても、正しい担当者が正しく理解するとは限らない。手順を書いても、圧力下で使えるとは限らない。キューを増やしても、現実的な集中需要に十分とは限らない。自動化しても、すべての障害状態を安全に隔離できるとは限らない。

必要なのは結果の証拠である。警報なら検知・診断時間、フェイルオーバーなら端から端までの演習と隔離確認、容量なら想定緊急シナリオを超える負荷試験、位置とリレーなら復旧経路を通した成功通報によって示す。

証拠には鮮度がある。ソフトウェア、ネットワーク依存、担当者、手順が変われば、障害直後の演習結果は現在の能力を表さなくなる。継続性は維持される能力である。四つの公開資料は、2026年時点ですべての改善策を独立監査したものではない。したがって言えるのは、報告された対策が確認済みの失敗様式に対応していることまでで、現在も有効かは新しい運用証拠で示す必要がある。

公開資料からは分からないこと

この事件の公開記録は詳細だが完全ではない。規制決定には編集部分があり、内部ログ、全体構成、供給者の身元、個人ごとの判断記録はすべて公開されていない。全発信者の転帰も分からない。

この不足があるため、特定個人や外部ベンダーに責任を割り当てることはできず、被害について普遍的な断定もできない。すべての改善策が現在有効だと外部から検証することもできない。

一方、不明点は公開された認定を消さない。Ofcomの最終決定は法的違反、制裁金、統制への評価を確定した。政府レビューは複数機関による対応と教訓を示した。BTのレビューは、ソフトウェア挙動、内部時系列、直後の対応についての事業者説明である。

公に書く際は「Ofcomが認定した」「BTが説明した」「英国政府のレビューが報告した」という帰属を保つ必要がある。精度は説明責任を弱めない。全国規模の緊急通報障害、誤った移行、制約のある復旧、数千件の不成功試行、最終的な規制認定という、確立した事実に議論を集中させる。

今、指導者が求めるべき運用証拠

取締役会や公共機関が装置を操作する必要はない。しかし、継続性が現実かを見抜く質問はできる。

第一に、完全なサービスが、代表的な負荷の下で最後に復旧経路を通ったのはいつか。試験日、範囲、負荷、移行時間、維持機能、発見事項が必要で、「定期的に試験している」だけでは足りない。

第二に、主系と復旧系で異なる機能は何か。2023年にはキュー、位置情報、リレーが重要だった。現在も差があるなら、発信者と受理機関への影響、補完策を明確にすべきである。

第三に、どの条件が切り替えを発動し、誰が判断し、どの手順が自動で、どこに人の判断が入るのか。障害部品の隔離をどう証明し、善意の操作が故障状態を戻すことをどう防ぐのか。

第四に、監視は正しい行動につながるか。故障から警報、警報から診断、診断から決定、決定から安定復旧までを測る。隔離確認を飛ばした速い切り替えは、良い結果ではない。

第五に、負荷試験は再発信を含むか。発信者は一回目の成否が分からなければ再度かける。キューは信頼できるピークを超えて試し、不成功試行を適法な折り返しに使える形で記録できるかも確認する。

第六に、BTだけでなく緊急機関と政府を含む演習を最後に行ったのはいつか。通知、公衆への案内、位置情報の劣化、リレー利用、通常運用への復帰、失敗通報の照合を扱ったか。

第七に、前回の試験後に何が変わったか。ソフトウェア、設定、依存先、運用責任の変更は古い結果を無効にし得る。「試験済み」ではなく、「この日、この構成、この負荷で試験し、これらの制約を観測した」と示すべきだ。

最後は残余リスクである。重要システムでも全故障を防ぐとは約束できない。どの故障様式がなおサービスを拒否し得るか、どれほど早く見つけられるか、発信者を守る独立経路は何か。正直な残余リスクの説明は、完全なレジリエンスという宣言より有用である。

継続性は結果であり、設備の在庫ではない

BTの2023年障害が重大なのは、主系が故障したからだけではない。周囲の統制が、故障を越えて全国の緊急サービスを維持できなかったからである。正しく実施されなかった最初のフェイルオーバー、障害ノードの再投入、制約のある災害復旧基盤が、設定上の問題を長時間の公共サービス障害へ拡大した。

Ofcomの最終決定は、section 105A(1)(c)とRegulation 9の違反認定、30%減額後の1,750万ポンドという法的結果を与えた。約10.5時間の障害、約1時間の全面停止、13,943回の不成功試行、12,392人の発信者という数字が規模を示す。

より深い試験は次の故障時に行われる。予備基盤、手順書、保証報告書は、通報を接続し、需要を受け止め、位置情報とリレー機能を保ち、障害状態を隔離し、複数機関の対応を支えたときにだけ価値を持つ。緊急通信の継続性は、その観測可能な結果で判断されるべきである。

出典