78分の障害、12か月分の利用料という上限

要約

2024年7月19日、Falconのコンテンツ設定更新がWindows端末向けに配信され、稼働中の端末が停止した。影響を受けた端末数について、Microsoftは約850万台と推計している。
決定的な文書は障害報告書ではなく契約だ。CrowdStrikeの公開する顧客契約の条款には、責任を生じさせた事象の直前12か月に支払済みまたは支払予定の利用料に連動した責任総額の上限が記されているとされる。
Delta Air Linesは5億ドルを超える損害を求めたと報じられている。それは上限に対して突きつけられた請求額であって、上限がその額を生み出したことを示す数字ではない。

04:09から05:27まで、そこから先が長い

その朝の時刻について、CrowdStrikeの説明は異例なほど具体的だ。2024年7月19日、Windows端末向けのFalconコンテンツ設定更新が協定世界時04:09ごろに配信された。停止指示は05:27ごろに出ている。その間、多数の業務を載せた多数の端末が一斉に止まった。そしてこの停止は、十年ものあいだヘルプデスクが編み出してきた再起動手順を思い出せば片付く類のものではなかった。

機構を押さえるのは、復旧がなぜこれほど遅く、これほど高くついたのかを説明するからだ。CrowdStrike自身による障害の技術説明によれば、誤りはFalconセンサーのコンテンツ検証器が、Channel File 291を含むRapid Response Contentの更新を処理する際の論理エラーだった。不正な解析は範囲外のメモリ読み取りを生み、Windows端末はブルースクリーンで落ちた。押し込まれたバイナリでも、パッチでも、侵入でもない。センサーが何事もなく飲み込むはずだった設定ファイルが、飲み込まれなかったのだ。

2024年8月6日に公表されたCrowdStrikeのChannel File 291に関する根本原因分析は、事業者自身によるフォレンジック再構成である。そこには二つの異なる行為が分けて書かれている。配信を止めること、これは約78分で済んだ。すでにファイルを受け取った端末を直すこと、これは業界全体で数日を要し、環境によってはさらに長くかかった。責任を考える者にとって重要なのはこの分離のほうだ。

この分離こそが、この出来事の経済学の縮図になっている。不良更新を止めるのは配信の制御だ。落ちた端末群を復旧するのは労働の制御であり、労働は無料ではない。セーフモードや回復環境から起動し直した端末、手作業で削除したドライバファイル、空調のない部屋のラックまで人を遣わなければならなかった拠点。そのすべてが、まず顧客に落ち、その後になって初めて法務の論点になる費用である。

記録の中で事業者の外側から出た数字は一つしかない。Microsoftは2024年7月20日の発表で、この更新が約850万台のWindows端末に影響したと推計し、それを「全Windows端末の1パーセント未満」という枠の中に置いた。この一文の両半分が効いている。850万台は、百分率で見れば端数に見えるほど小さく、同じ金曜日に複数大陸の航空会社と病院と小売のレジを止めるには十分なほど大きい。

Microsoftはまた、CrowdStrikeや他の業界パートナーと協力して技術的な指針を提供し、影響を受けたシステムの復旧を支援したと述べている。素直に読めばこうだ。世界第二のソフトウェア企業が週末を、あるセキュリティ事業者のコンテンツ配信経路のインシデント対応下請けとして過ごした。これは正常な分業ではない。予防と検知を誰が握っているのかという問いへの答えでもある。答えは、ほぼすべての端末の上でカーネル特権を伴って走り、少数の事業者によって継続的に更新され、調達手続きが監督しない速度で検証される、少数のエージェントである。

修復と、それを証明するもの

CrowdStrikeは「今後はもっと慎重にします」と約束することで応じたのではない。試験と配信の仕組みを組み直したと説明したのだ。Rapid Response Contentの検証強化、検証層の追加、段階的な配信、不良更新が広い顧客基盤に届く前に捕まえるための段階的ロールアウト。8月の根本原因分析も同じ一族の制御を並べている。コンテンツの検証と試験の改善、段階的配信、監視と警報の改善、そして不正な形式のコンテンツを扱ってもオペレーティングシステムを巻き込んで落ちないセンサー。

紙の上では正しい制御である。だが問われるべきは、事業者がそれを約束したかどうかではない。何がそれを証明するのか、だ。ここで記録はプレスリリースより薄い。制御は事業者の申告である。事故後の検証経路について独立した監査は、本稿が依拠する資料の中に見当たらない。検知を高速で出せと迫られたとき、段階的配信が実際に機能するのかを試した規制当局の調査報告書も公表されていない。制御について二年間沈黙していることは、制御が失敗した証拠でも、機能した証拠でもない。それは空白であり、空白は証明より安く公表できる。

公開記録から読み手が引き出せる結論は、勝利宣言よりも破滅論よりも狭く、そして有用だ。CrowdStrikeは障害が指し示した方向にコンテンツ経路を変えた。そして第三者が、その変更が負荷の下で機能しているところをまだ示していない。これは実在する限界であり、記事の末尾に置く溜め息ではなく、修復の主張の隣に置くべきものだ。

金が実際にどこへ行くのか

話はたいていここで止まる。障害と陳謝で終わる。だが止めるべきではない。興味深い問いは、850万台に何が起きたかではない。数量化された後の損失がどうなるかであり、その答えは、事故のときには誰も読まず、訴訟のときには全員が読む文書に書かれている。

CrowdStrikeの公開する利用規約には、適用される注文書に基づいて顧客が支払済みまたは支払予定の、責任を生じさせた事象の直前12か月間の利用料に連動した責任総額の上限が記されているとされる。その数字の作り方を眺めてほしい。損害では測られていない。顧客の売上でも、欠航した便数でも、転送された患者の数でもない。障害の前一年に顧客がCrowdStrikeへ支払った額で測られている。この仕組みは、業務上の破局を、事業者自身の販売履歴が決める商業上の量へと変換する。

この作り方は醜聞ではない。企業向けソフトウェアで最もありふれた条項の一つであり、理由も不可解ではない。銀行の環境でカーネル特権を預かるセキュリティエージェントが無限の責任を負うなら、誰も導入しない。ただしありふれていることは無害であることと同じではない。利用料連動の上限を正直に読めば、それは尾の部分を誰が吸収するかについての決定である。顧客は事業者が提示できる価格で製品を得るために署名する。事業者は製品をそもそも提供可能にするためにそれを書く。あらゆる同種の紛争は、その二つの事実のあいだにある。

条款を複雑にする点が二つあり、どちらも重要だ。第一に、利用料連動の上限と、間接損害その他の損害を除外する別個の条項は、同時に作用しうる。契約が直接損害を12か月分の利用料に限定し、間接損害や結果的損害を別に除外しているなら、利用料の上限は顧客の救済の全体ではない。それは、業務中断による損失を完全に手の届かないところへ押しやりうる構造の内側の、一つの区分の天井である。上限だけを見ても、請求する側が実際に回収できるものは分からない。

第二の複雑さはもっと地味で、もっと決定的だ。公開されている規約ページは契約ではない。公開された雛形は、どの版の顧客契約が適用されたのか、どの注文書が支配したのか、交渉で何が修正されたのか、どの損害除外が交渉を生き残ったのか、どの契約上の例外が効くのかを、示せない。それらは締結済みの契約書にあり、締結済みの契約書は事業者のウェブサイトには置かれていない。注意深い読み手はここで、整った物語を信じるのをやめるべきだ。12か月というのは制御面の形である。数字ではなく、評決でもない。

本稿が参照した規約ページの全文は、利用可能な取得環境で開けなかった。条項の番号、逐語的な文言、除外の細目は未検証である。同じページは、Delta Air Linesを拘束したのがどの版の契約かも示さない。

九桁の請求と、12か月という天井

Delta Air Linesは、対比を無視できないものにする請求を机に置いた。Reutersが2024年8月8日に報じたところによれば、同社はジョージア州でCrowdStrikeを提訴し、契約違反などを主張し、5億ドルを超える損害賠償を求めたとされる。三つを切り離しておきたい。訴状は訴状である。5億ドルは請求額であって、賠償命令ではない。そして訴状が語るのは原告の主張であり、裁判所の認定ではない。

提訴は単独の行為ではなかった。Reutersの2024年7月22日の記録は、この障害がすでに航空会社や企業顧客から業務中断の損害を求める訴訟を引き起こしていたことを伝えている。これだけの規模の出来事に付きものの後日談であり、だからこそ叫び声よりも契約上の仕組みのほうが重要になる。百人の原告が百の理論を持ち込んでも、行き着く先は同じ一つの条款であり、その条款は誰もChannel File 291を聞いたことがなかった数年前に書かれている。

二つの数字を並べてみる。片側には、世界有数の航空会社が突きつけた数億ドル規模の請求。もう片側には、その顧客の12か月分の購読料から計算される契約上の天井。その隔たりは醜聞でも怒るべきことでもない。それがこの仕組みの目的そのものであり、この出来事が決算記事ではなく事例ファイルに属する理由である。損失は消えたのではない。起きる前に、当時は誰も交渉せず、後になって全員が読む文書によって、あらかじめ配分されていたのだ。

そしてここで記録は、自分が持っていないものについて正直でなければならない。CrowdStrikeが計上した費用、引当金、顧客への補償、和解額を数量化した開示は、本稿のために取得できていない。利用料連動の上限が訴訟で争われ、執行され、放棄され、あるいは主張すらされたことを示すものも、ここにはない。Deltaの訴訟の手続上の現状は、生きたドケットで確認していない。この上限がこの出来事を「上限内に収めた」と言う者は、公開記録がまだどちらの方向にも支えていないことを言っている。

公開記録が支えているのは、分類である。これは契約による配分の出来事であって、計上された財務上の負債ではない。その区別は、取締役会がこれをどう読むべきかに影響する。責任が12か月分の利用料で囲い込まれた事業者は、支払能力の問題を起こさずに大規模な障害を吸収でき、月曜日には同じエージェントを売り続けられる。回収が同じように囲い込まれた顧客は、それができない。この非対称は隠されていないし、新しいものでもない。出来事がそれを読める形にするまで見えないだけで、読めるようになった後は、それがすべてになる。

これらのエージェントを運用する者にとっての実務的な教訓は、午前4時に落ちていく端末群を前に再交渉することではない。その後に続く地味な作業だ。上限を読む。その隣の除外を読む。どの法人が署名したのかを突き止める。供給者起因の障害に対して自社の業務中断保険がどう働くのかを確かめる。そして、セキュリティエージェントの継続的な更新経路を、自分が監督しているサービスだという振りをするのをやめる。それはサービスではない。出来事の前に理解するか、出来事の間に発見するかの、制御面である。

CrowdStrikeはBTWのディレクトリに entity:crowdstrike として登録されている。