KDDI の VoLTE 復旧輻輳が突きつけた、全国モバイル網のレジリエンスと説明責任

Summary

KDDI が定義するサービス影響時間は、2022年7月2日1時35分から7月4日15時までの61時間25分である。一方、個人・法人向けサービスとトラフィックが正常だと最終確認したのは7月5日15時36分だった。影響時間と最終確認時刻は、別々の判定点として扱う必要がある。
全国中継網の多摩拠点にあるルーター保守で誤った経路設定が入り、約15分の通信断が起きた。設定を戻すと位置登録要求が一斉に再送され、VoLTE ノードと認証を担う加入者データベースが輻輳し、加入者情報の不整合も復旧を難しくした。
KDDI 単体の推計は、音声で約2278万利用者、データで少なくとも765万利用者。沖縄セルラーを含めると音声約2316万、データ少なくとも775万である。音声とデータは重複し得るため、合算して固有人数と表現してはならない。
影響は通話や通信にとどまらず、気象観測、物流、コネクテッドカー、行政、水道メーター、店舗外 ATM、空港無線、バス IC カードなどに及んだ。ただし、公開資料は死亡、負傷、特定の医療結果との因果関係を立証していない。
再発防止策の「完了」は保証ではない。大量再登録を伴う切り戻し、VoLTE と加入者データの連鎖輻輳、緊急通信の代替、機能別の広報、下流データの照合を、現実的な負荷で繰り返し確認できて初めて修復は説明可能になる。

「元に戻した」後から始まった本当の障害

この事案を、一人の作業者による経路設定ミスだけで説明すると、61時間を超えた理由が見えなくなる。計画保守の対象は、多摩にある全国中継網のルーターだった。誤った経路設定によって、およそ15分の通信断が生じた。KDDI は設定を元に戻したが、ネットワーク全体の状態まで保守前に戻ったわけではない。

端末や網内装置は、途切れた接続を取り戻すため位置登録を再送する。全国規模で似た時刻に再試行が始まれば、通常時には十分な設備でも急激な信号量を受ける。VoLTE ノードに負荷が集中し、認証に用いる加入者データベースにも問い合わせが殺到した。さらに加入者情報の不整合が生じ、その修正作業自体が新たな照会や再試行を呼ぶ。復旧のための動きが、復旧を遅らせる負荷へ転じた。

KDDI の説明では、当初の流量制御とデータ修正だけでは負荷を十分に落とせなかった。不要な過剰信号を発生させている VoLTE ノードを特定し、切り離した後に、音声とデータのトラフィックが正常化へ向かった。ここで問うべきなのは、誰が誤設定を入力したかだけではない。短い経路断がなぜ全国的な自己増幅状態へ移行したのか、複数設備の連鎖を誰が観測できたのか、どの責任者が登録抑制やノード分離を判断できたのか、そしてその判断が事前訓練されていたのかである。

人為ミスをゼロにするという目標だけでは弱い。人は間違える可能性があり、全国網は複雑である。その二つは突発的な言い訳ではなく、設計と経営が前提にすべき条件だ。組織は、承認、段階導入、自動照合、余剰容量、停止基準、監視、指揮権限を設計できる。したがって、責任は最初に見えた操作ではなく、失敗を小さく留める能力を持つ主体へ配分されるべきである。

61時間25分と7月5日の最終確認を混同しない

障害時間の扱いは、技術論と同じくらい重要である。KDDI はサービス影響を、7月2日1時35分から7月4日15時まで、合計61時間25分と定義した。これとは別に、個人と法人の双方についてサービス利用とトラフィックが正常だと最終確認した時刻を、7月5日15時36分としている。

7月4日は、会社が定めた主な影響時間の終点である。7月5日は、全体の状態を確認し、最終判断に至った時点である。前者を後者に置き換えれば公式の影響時間を改変することになり、前者だけを示せば、全地域・全製品の検証まで同時に終わったかのような印象を与える。両方を明示することが、正確な事故記録の最低条件となる。

そもそも「復旧」には複数の段階がある。設定変更や設備分離が完了したという工事上の段階、登録数やデータベース負荷が想定範囲へ戻るネットワーク上の段階、利用者が発着信・データ・SMS を使える機能上の段階、地域・端末・法人サービスを横断して確認する範囲上の段階、規制解除後も再輻輳しないことを見る安定性の段階である。

利用者に必要なのは、「復旧作業終了」という一語ではない。データは使えるのか、発信と着信はどうか、119番はつながるのか、法人回線や機器通信は対象か、次の更新はいつかという機能別の情報だ。公表文の用語には、測定値、確認時刻、対象範囲を対応させなければならない。曖昧な言葉は、利用者が代替手段を選ぶ時間を奪う。

切り戻しは安全網ではなく、独立した本番負荷である

変更審査では「切り戻し手順があるか」と尋ねることが多い。しかし KDDI の事例が示すのは、「切り戻したとき、端末群が何をするか」を問わなければ不十分だということだ。経路設定を旧状態へ戻せても、切断を経験した端末、セッション、認証情報、位置情報、タイマーは旧状態ではない。

事前評価には少なくとも三つの場面が必要になる。第一は正常な切り替えで、セッションが予定通り移動する場合。第二は部分的な失敗で、一部の地域やノードだけが新経路を受け入れた場合。第三は、利用者側がすでに断を感知した後の切り戻しである。第三の場面では、同期した再試行、古い加入者情報、重複照会、タイマーの集中、緊急対応中の手作業が同時に現れる。

承認資料には数字が要る。15分の全国断の後に想定される最大登録要求数はどれほどか。VoLTE ノードと加入者データベースは、その値に対してどれだけ余力を持つか。再試行には時間のばらつきと抑制があるか。登録を段階的に受け入れられるか。データ修正が追加で発生させる信号量はいくらか。異常ノードを何分で隔離できるか。緊急呼や重要な機器通信に予約容量を確保できるか。手順書に「切り戻す」と一行書くだけでは、どれにも答えられない。

全国向け設定であっても、可能な限り影響範囲を限定して観測する仕組みが必要だ。代表性のある一部で経路、音声、認証、顧客機能を確認し、明示的な承認を経て拡大する。構造上可能なら、切り戻しについても一部で反応を確認する。全国権限を持つ設定だからといって、検証なしに全国を一つの失敗領域へしてよい理由にはならない。

事故後に再構成できる記録も安全装置である。利用した手順の版、承認者、投入値、装置が受理した設定、警報時刻、登録量の変化、流量制御、ノード分離、復旧宣言の根拠が残っていなければ、「人為ミス」という言葉が周辺の管理不備を覆い隠す。公開情報には完全な作業票、社内承認の全履歴、ノード別時系列、意思決定記録、ベンダーの役割までは含まれていない。分からない部分を推測で埋めず、社内と規制当局が検証できる形で保存されているかを問うべきだ。

VoLTE と加入者データを一つの復旧制御面として見る

携帯電話の音声サービスは、単純な交換機一本で成立しない。端末は網へ接続し、位置を登録し、加入者認証を経て、音声制御へ到達する。本件では中継経路の断が端末の再登録を呼び、VoLTE ノードの輻輳が加入者データベースへの負荷と結び付き、情報の不整合がさらに失敗を増やした。複数の層が一つの循環を作っていた。

技術部門の分担は必要だが、監視まで分断してはならない。中継網担当は経路、音声担当は VoLTE、加入者基盤担当は認証データ、運用センターは障害指揮、顧客部門は告知を見る。各担当が自分の設備だけを正常と判断すると、利用者が経験する複合障害が部門間に落ちる。

共通の状況画面には、位置登録要求数、VoLTE 登録成功率、発信成功、着信到達、加入者データベースの応答時間・エラー・整合性、データ接続、SMS、緊急呼、法人サービス、基盤を共有する仮想移動体通信事業者の状態を載せるべきだ。単に設備が動作しているかではなく、端から端まで機能が成立しているかを見る。

大量再試行時の受付制御には、社会的な優先順位も伴う。緊急通報、災害指揮、公共警報、交通安全、重要センサーは、一般的な再試行より強い保護を要する場合がある。標準、端末仕様、他網との接続、法令の制約があるため、障害発生後に即席で優先順位を決めることはできない。予約容量、別経路、抑制方法を前もって設計し、負荷試験で実効性を確かめる必要がある。

加入者データの修正も慎重でなければならない。一部の記録を直すことで利用可能になる端末がある一方、別の照会や再登録を誘発する可能性がある。復旧用の道具は、きれいな試験データだけでなく、障害時に近い不整合分布で確かめるべきだ。修正数、未確定数、二次信号量、途中停止条件、誤った一括修正を戻す方法までが必要になる。

影響人数は足し算では作れない

KDDI は、自社の音声利用者約2278万、データ利用者少なくとも765万が影響を受けたと推計した。沖縄セルラーを含めると、音声約2316万、データ少なくとも775万である。音声とデータは別機能の推計であり、同じ契約や同じ人が両方に含まれ得る。これらを足して「約3091万人」などと固有人数に変えるのは統計上の誤りだ。

事故初期には、影響を受ける可能性のある接続数として約3900万に近い数字も報じられた。潜在的に影響範囲に入る回線数と、平常時との差から推定した実利用上の影響は、母集団も算出方法も異なる。さらに、一契約、一回線、一端末、一利用者、一人も同義ではない。重複排除の資料がない以上、正確な固有人数は不明とするのが正しい。

数字を大きく見せなくても、全国規模、61時間25分、緊急通報への懸念、公共サービスへの波及という事実だけで重大性は明白である。無理な合算は、ほかの説明まで疑わせる。すべての規模指標には、単位、対象期間、計算法、重複関係、推計の幅を添えるべきだ。

野村総合研究所の事後調査も、調査結果として限定して読む必要がある。28,984人のスクリーニング対象のうち20.5%が影響を受けたと回答し、回答者の72.4%が事業者間ローミングを必要またはやや必要とし、88.2%が希望する上位五機能に緊急通報を選んだ。これは利用者の経験と期待を知る材料であり、全国人口の正確な推計に変換するものではない。

携帯網の障害は、社会の見えない依存関係を表面化させた

KDDI が挙げた影響先には、物流、コネクテッドカー、行政サービス、気象データ収集、水道メーター、店舗外 ATM、空港の無線送受信機、バス IC カードが含まれる。スマートフォンの不便という表現だけでは、携帯回線が機械と公共機関に組み込まれた実態を捉えられない。

気象庁によれば、全国1284か所の AMeDAS 観測点のうち802か所が断続的に影響を受け、最多時には約550か所が同時に観測データを送れなかった。その後に多くの記録を回収する作業が行われており、全観測が永久に失われたと述べることはできない。障害時の欠測、後日の回収、品質確認は別の状態として記録する必要がある。

気象庁は後に、契約に基づき KDDI 回線料金を約80万円減額すると説明した。送れなかった観測データについては、損害請求に必要な金銭価値を設定できないとして賠償を求めなかった。これはデータに価値がなかったという意味ではない。利用料金の減額、法的に立証できる損害、気象観測の公共的価値はそれぞれ異なる。

緊急通報では、地域消防機関が、KDDI 携帯から119番へ発信できない場合に固定電話や他社携帯を利用するよう案内した。選定された公開資料からは、失敗した緊急通報の件数も、死亡や負傷、特定の医療結果との因果関係も分からない。リスクを過小評価してはならないが、証拠のない被害を付け加えることも許されない。

公共機関と企業には、依存関係の把握、複数事業者や固定網の予備回線、端末側の一時保存、手作業への切り替え、復旧後の照合という役割がある。しかし、顧客は KDDI の経路、VoLTE 設備、認証データベース、受付制御を操作できない。利用者側の備えを求めることと、通信事業者の設計責任を移すことは別である。

「回線が戻った」後も下流作業は続く。気象データなら欠測部分の回収と品質表示、ATM なら安全なセッションの確認、車両なら下り制御の再確立、物流なら遅延メッセージの処理が必要だ。通信事業者と重要顧客は、回線指標だけでなく業務上の照合完了まで共同訓練すべきである。

広報は付随業務ではなく、被害を抑える運用制御である

障害中に利用者が判断したいのは、原因の詳細より先に、今できることだ。対象地域、サービス、端末、音声・データ・SMS・着信の状態、緊急通報、法人・仮想移動体サービスへの影響、最終確認時刻、次回更新、代替手段を、簡潔かつ機能別に示す必要がある。

原因が確定していない時点では、その不確実性も明記する。早すぎる断定は後の訂正を招き、信頼を損なう。復旧作業の実施、トラフィックの改善、利用者機能の確認、全体の最終確認を別々に公表すれば、利用者は「復旧」という言葉を自分で解釈せずに済む。

発信経路は障害回線と共倒れしてはならない。ウェブ、テレビ、ラジオ、他社網、自治体、店頭、法人向け専用連絡などを組み合わせる。法人顧客の緊急窓口が同じ携帯網の通話や SMS 認証に依存すれば、問い合わせも復旧協力も止まる。通信事業者自身の指揮、遠隔接続、本人確認、取引先連絡にも異なる経路が必要だ。

補償のお知らせは別の危険を生んだ。KDDI は返金を装う不審なメールや SMS に注意を呼びかけた。数千万人が金銭やデータ付与を待つ状況は、詐欺にとって使いやすい題材になる。公式通知は不要なリンクを避け、決して求めない情報を明示し、利用者が公式窓口から独立して確認できるようにする。救済を安全に届けることまでが事故対応である。

返金は救済を可視化したが、すべての損失を値付けしてはいない

KDDI は二種類の返金を公表した。約款に基づく返金は、24時間を超えて連続してすべての通信を利用できなかった、または対象の音声のみの契約で同等の状態にあった利用者を対象とし、KDDI271 万件、沖縄セルラー7万件に、該当する基本料の二日分を返した。

おわび返金の対象はより広く、KDDI3589 万件、沖縄セルラー66万件だった。対象となるスマートフォン、フィーチャーフォン、ホームプラス電話には税抜き200円を返した。基本料が0円の povo2.0 では、対象利用者に1GB、三日間有効のデータ追加が付与された。

自動的な処理は、利用者の申請負担を減らし、問い合わせ集中を避ける利点がある。料金が0円の商品に異なる救済を用意したことも、商品設計に合わせた対応だった。ただし200円は、個人、事業者、公共機関に生じたすべての損失の完全な補償ではない。配送の遅れ、利用できない ATM、失注、観測の遅延、連絡不能には異なる価値があり、緊急通報の危険を日割り料金へ還元することもできない。

救済は事前設計の対象である。影響サービスと時間を特定し、契約変更や解約、法人請求、重複支払いを処理し、異議申立ての窓口を持つ仕組みが要る。約款は最低限の算定基準を提供し、自主返金は不便や信頼低下に応える。どちらも社会的損害の総額を示すものではない。

公開記録は、KDDI、沖縄セルラー、機器供給者、法人利用者などの最終的な民事責任を配分していない。機器メーカーの欠陥を根本原因としてもいない。役割の分からない会社や個人へ責任率を割り当てるのは、証拠ではなく推測になる。

説明責任は、結果を変えられる能力に沿って配る

KDDI は、保守承認、経路設定、VoLTE と加入者データベースの構成、輻輳制御、監視、復旧順序、顧客説明、法人支援、返金設計を直接管理していた。そのため最大の運用上の説明責任を負う。これは無制限の法的責任を意味せず、下流のすべての判断を同社が行ったという意味でもない。予防、限定、検知、説明、修復に最も多くの手段を持っていたという意味である。

沖縄セルラーは事業区域内の顧客関係、通知、救済、KDDI との連携を担う。ただし資料から、技術上の各失敗を二社へ割合で分けることはできない。設備・役務の供給者は、実際の契約上の役割、製品挙動、支援、検証の範囲で責任を持つが、選定資料は特定供給者の故障を根本原因としていない。

総務省と公共当局は、重大事故報告、検証、行政指導、業界制度、緊急通信政策を担う。KDDI の本番経路やデータベースを動かしたわけではない。監督側に問われるのは、障害拡大と長期化の証拠を取得したか、作業管理、輻輳検知、復旧設計、顧客広報を具体的に検証したか、業界共通の改善へ結び付けたかである。

重要利用者は依存先の把握、代替通信、現地の継続運用、下流証拠の保存を担う。個人が選べるのは、利用可能なら Wi-Fi、固定電話、公衆電話、他社回線、複数 SIM を使う程度である。個人は保守を承認せず、認証設備を増強せず、異常ノードを隔離できない。全国制御面の失敗に対する主な答えを「各自が予備回線を持て」とするのは、能力と責任の関係を逆転させる。

KDDI は電気通信事業法第28条に基づく重大事故として報告し、総務省は2022年8月3日に叱責と文書による行政指導を行った。同社は社長を長とし、全役員が参加する組織横断会議を設け、作業品質、運用、設備、顧客対応の部会を置いた。経営関与が意味を持つのは、導入速度と安全審査、容量と費用、早期発表と不確実性といった対立を実際に決め、資金を付け、結果を追跡するときである。

対策の実装後に、保証の仕事が始まる

KDDI の2023年統合報告書は、2023年3月期に予定した対策を完了したとしている。そこには、輻輳を詳しく検知する仕組み、サービス影響の可視化、複数交換機へ一括して復旧措置を行う機能、作業手順の統制、全社的な品質管理の強化が含まれる。既知の失敗に向き合う施策だが、実装済みという表示だけで継続的な有効性までは証明できない。

可視化画面は、顧客影響が広がった後に初めて赤くなるかもしれない。一括復旧機能は、誤った判断を高速に広げる可能性がある。新しい手順は、設備更新とともに古くなる。訓練で十分だった流量制御が、本番の端末分布では足りないこともある。評価は項目数ではなく、検知時間、限定範囲、復旧時間、緊急機能、残存不整合などの結果で行うべきだ。

実効的な訓練では、隔離環境で経路設定の誤り、一部切断、切り戻し、大量再登録を連続して発生させる。VoLTE 輻輳、データベース照会圧力、加入者情報の不整合を同時に作り、担当者に複合状態の発見、登録抑制、異常ノード分離、データ修正、緊急通信の保護、機能別公表を求める。台本通り終わることより、限界値と盲点を見つけることが目的である。

残すべき証拠は、承認記録、設定版、模擬端末数、再試行分布、設備容量、データベース応答、警報時刻、判断理由、分離までの時間、顧客機能試験、下流照合、広報案である。強い修復宣言とは、「全項目完了」ではない。同じ種類の失敗を安全に再現し、決められた時間内に検知し、影響範囲を上限以下に保ち、緊急機能に代替を残し、第三者が結果を追えると示すことである。

事故指揮の通信も多様化しなければならない。担当者の電話、SMS、遠隔接続、多要素認証、供給者連絡が同じ障害網へ依存すれば、復旧計画そのものが共通故障点を持つ。異なる事業者、固定網、オフライン手順、事前承認済みのアクセスを用意し、通常の社内通信が使えない条件で訓練する必要がある。

JAPAN Roaming は重要な前進だが、万能ではない

2026年3月、KDDI、NTT ドコモ、沖縄セルラー、ソフトバンク、楽天モバイルの五社は、4月1日から JAPAN Roaming を始めると発表した。大規模災害や通信障害で契約先の回線が使えないとき、他社の4G LTE 網を一時利用できる仕組みである。単一事業者の設備を越える安全網として大きな前進だ。

提供形態は、音声、所定の速度に制限されたデータ、SMS を扱うフルローミングと、「緊急通報のみ」の二つである。緊急通報のみの形態では110、119、118への発信が可能だが、通常のデータと SMS は使えず、折り返し電話も受けられない。対応端末、発動条件、エリア、利用者設定、仮想移動体通信事業者の扱いにも境界がある。

折り返し不可は重要な制約である。通報が途中で切れたり、場所や状況が十分に伝わらなかったりすれば、受理機関から連絡する必要が生じる。利用者が手動で接続先を選ぶ場面、古い端末、受け入れ先の輻輳、複数網の同時被災も試さなければならない。警察、消防、救急、海上保安、通信各社、端末メーカー、仮想移動体事業者、一般利用者を含む訓練が必要だ。

2022年の KDDI 障害だけが JAPAN Roaming を生んだ、とするのは証拠を超える。日本では災害と大規模障害への備えが長く検討され、最終形は複数組織の継続的な取り組みである。本件が緊急代替への社会的関心を強めたとしても、単独原因とは言えない。

また、ローミングは契約先事業者が自網の安全性を弱める許可ではない。災害時には基地局、電力、伝送路を複数社が同時に失う可能性があり、受け入れ網の容量にも限界がある。安全な保守、制御面の分離、復旧余力、現実的な訓練を各社が維持した上で使う最後の安全網と位置付けるべきだ。

経営会議に残すべき検証質問

第一に、日常的な保守一回で到達し得る最大の影響範囲はどこまでか。地域、利用者、音声、データ、法人サービス、公共機器、緊急機能を含む回答が要る。

第二に、切り戻しは全国規模の端末反応を想定して試されたか。想定登録率、試験値、余剰容量、受付制御、安全状態までの時間を示せるか。

第三に、利用者からの大量申告より先に複数領域の輻輳を検知できるか。経路、VoLTE、加入者データ、SMS、発着信、緊急通報を一つの事象として見られるか。

第四に、復旧に使う連絡、認証、遠隔接続、供給者窓口、情報発信のうち、障害網へ依存するものは何か。独立経路は実際に使えるか。

第五に、工事完了、データ一部回復、音声回復、緊急通報確認、法人サービス回復、最終正常確認をどう区別するか。各宣言に必要な証拠は定義済みか。

第六に、単一事業者の機器回線へ依存する重要顧客は誰か。現地保存、手作業、別回線、復旧後照合を共同で試しているか。

第七に、完了した再発防止策の有効性を何が示すか。訓練結果、検知時間、限定範囲、実利用率、第三者評価、残存リスクが経営へ届いているか。

第八に、緊急ローミングは何分で発動でき、何ができないか。折り返し、端末、仮想移動体、受け入れ容量、同時障害の制約を利用者が理解できるか。

第九に、返金を正確かつ安全に実施できるか。プラン変更、解約、法人契約、異議申立て、詐欺防止を含めて準備されているか。

第十に、次の重大事故で何を公表するか。不確実性を残しつつ機能別状態を示し、独立した検証に足る技術事実を提供する定型があるか。

KDDI の事案が残す基準は、「同じ誤設定を防いだ」より厳しい。変更範囲が限定され、切り戻しが負荷試験され、連鎖輻輳が早く見え、緊急通信に別手段があり、公表語が実際の機能に対応し、下流のデータが照合され、同じ故障型を安全に再現して第三者が追跡できること。それを継続して示せるとき、復旧は初めて説明責任を伴う。