NATS 飛行計画システム障害：共通モード故障と説明責任

概況

2023年8月28日英国時間08時32分、NATS の Flight Plan Reception Suite Automated-Reprocessing システムは、ロサンゼルス発パリ・オルリー行きの有効な飛行計画（まれな属性の組み合わせ）を受信した後、自動処理を停止した。3文字のウェイポイントの曖昧さが原因で、計算された英国の出口ポイントが入口ポイントの前に表示され、重大な例外が発生した。
二次システムは物理的に分離され、個別の電源とデータ供給を持っていたが、同じハードウェアとソフトウェアを実行していた。同じメッセージを受信し、約20秒以内に同じ障害状態に達した。これは一部のインフラ障害に対する冗長性であり、共有された論理的欠陥に対するソフトウェア多様性ではなかった。
管制官は安全に航空機を管理し続けた。直ちにとられた安全制御は、交通量の大幅な削減だった。通常の自動処理能力は1時間あたり約700～800、時には約900件の飛行計画だったが、手動のフォールバックは1時間あたり約60件の設計だった。したがって、緊急時対応策は、混乱を出発便、航空会社、空港、乗客に転嫁することで空域を保護した。
CAA の最終独立レビューでは、70万人以上の乗客が影響を受けたと推定：約30万8千人が欠航、9万5千人が3時間以上の遅延、約30万人が短時間の遅延。航空会社のコストを約6500万ポンド、総ダウンストリームコストを7500万～1億ポンドと推定し、NERL のサービス品質ペナルティは約180万ポンドと推定された。
後の技術的補遺により、ソフトウェア変更の説明は大幅に変わった。元の2018年ビルドには意図されていた予防チェックが1つ欠けていたが、別のロジックテストが無意味な経路を手動処理に振り分け、自動処理を継続できたはずだった。2021年の大幅な書き換えでその別の保護が省略された。40万以上のテスト計画では6つの属性の組み合わせが再現されず、省略は2024年6月のシミュレーター作業まで発見されなかった。
NATS は2023年9月18日から19日の夜に技術的変更を展開した。独立パネルはその後、緊急時対応能力、ソフトウェア保証、インシデント指揮、サプライヤーエスカレーション、コミュニケーション、乗客証拠、規制をカバーする34の勧告を発行した。2025年4月の進捗報告では18の勧告が完了したと記録され、2025年12月の更新では2つがさらなる証拠を必要とし、2026年6月の最終補遺では34すべてが完了または組み込まれ、正式に最後の2つを閉じたと述べた。
閉鎖はガバナンス作業の意味のある証拠だが、運用上の証明の代わりにはならない。永続的な説明責任には、問題のあるメッセージの汎用的な隔離、正当化される場合の独立または明らかに異なる復旧経路、劣化モードでの測定された有用な容量、訓練されたエスカレーション、欠航や波及効果を含む成果指標、そしてそれらの制御が将来のソフトウェア変更後も機能し続けるという証拠の公開が必要である。

インシデントは無効な飛行計画ではなく、有効なメッセージによって引き起こされた

無効な入力と有効だが馴染みのない入力の区別は重要である。システム運用者は、境界で不正なデータを合理的に拒否できる。しかし、標準に準拠したメッセージが処理経路全体をメンテナンスモードに陥れるサービスを防御するのははるかに難しい。特に、そのサービスが国家空域システムが正常な交通を受け入れられるかどうかを決定する場合はなおさらである。

この便はロサンゼルスを出発し、パリ・オルリー行きであった。ヨーロッパの飛行計画処理は、提出された経路に英国空域セグメントに関連するウェイポイントを補足した。NATS の Flight Plan Reception Suite Automated-Reprocessing コンポーネント（公式報告書では FPRSA-R と略される）は、便が英国空域に進入し離脱するポイントを特定しようとした。3文字の識別子 DVL は、元の計画ではノースダコタ州のデビルズレイクを指していた。英国の処理ロジックは、DVL をフランスのドーヴィルに解決することもできた。経路選択ルールに基づいて他の候補出口ポイントを拒否した後、システムはフランスの解釈を使用し、英国空域からの計算上の出口が計算上の入口の前に来るという不可能なシーケンスを生成した。

この異常な結果により、重大な例外が作動した。一次プロセッサはメンテナンスモードに入った。保留中のメッセージはキューの先頭に残り、再処理すると同じ例外が再現された。二次システムも同じデータを受信し、同じ挙動を示した。NATS の大規模インシデント報告書は、この挙動が発生するために一致しなければならない6つの属性を説明しており、いずれか1つを除けばメッセージは通常通り処理されていただろう。稀少性は、この欠陥が実運用で現れなかった理由を説明する。それは、入力を航空会社やパイロットの不正行為に変えるものではなく、予期しないが有効な状態を封じ込める運用者の責任を免除するものでもない。

このコンポーネントは2018年9月に実運用を開始し、それまでに1500万以上の飛行計画を遅延なく処理していた。この実績は重要である。障害は慢性的に不安定なサービスではなかった。しかし、長期間の無事故運用は、観測された入力に関する証拠であり、すべての許容される組み合わせが安全であるという証明ではない。このケースは、頻度と結果の違いを露呈する。パーサが曖昧な識別子を解決し、経路ジオメトリを導出し、国家的なキューを停止させることが許される場合、まれな組み合わせでも予見可能なリスクのクラスとなり得る。

公式記録はまた、魅力的だが裏付けのない説明を排除している。独立パネルとその後の進捗報告は、サイバー攻撃がインシデントを引き起こしたという証拠を発見しなかった。障害は、有効なデータ、経路解釈、例外処理、共有ソフトウェア間の内部的な相互作用であった。正確に説明することは重要である。なぜなら、サイバー制御は実証された欠陥を修復できないからである。適切な制御は、入力の隔離、防御的な経路検証、変更保証、キューリカバリ、独立したフォールバック、インシデント対応である。

6時間の技術的イベントが数日間の輸送イベントに

最も有用な説明責任のタイムラインは、コンピュータシステムの状態と輸送ネットワークが利用可能な容量を分離する。NATS は約6時間で自動処理を復旧したが、交通制限は技術的復旧後も続き、乗客への影響は数日間続いた。

08時32分、自動飛行計画処理が停止し、NATS は手動の緊急時対応を開始した。2つの自動化システムは相次いで故障した。音声通信、監視、および既にシステム内にある航空機を処理する管制官の能力は引き続き利用可能であり、これは航空交通管制の完全な喪失ではなかった。制約となったのは、新しい飛行計画を検証し安全に導入できる速度であった。

手動経路はスワンウィックの7台の端末で人員が配置された。プレスウィックの要員は限られたタスクに貢献できたが、同じ方法で完全な飛行計画を入力する訓練を受けていなかった。通常の自動需要は、忙しい日には1時間あたり約700～800件、ピーク時には約900件であった。手動の設計速度は1時間あたり約60件であった。これは待機中の同等のサービスではなく、障害調査中に最小限の流れを維持するための安全対策であった。

NATS は10時43分に EUROCONTROL のネットワークマネージャーに問題を伝えた。10時45分に、11時00分発効のネットワーク規制通知が発行された。初期の総合レートは1時間あたり360便で、スワンウィックに300便、プレスウィックに60便であった。この数字は手動入力レートを上回っていたが、一部の計画は既に処理されており、ネットワーク全体で異なる制約が作用していたためであり、保存された計画データが古くなると持続できなかった。制限は強化された。12時20分にレートはそれぞれ40便と20便に引き下げられ、13時00分には20便と10便になった。

システムは約4時間分の既処理データを保持していた。このウィンドウが期限切れになると、変更と新しい計画はますます手動処理を必要とした。ストアは12時32分に実質的に枯渇した。これにより、最初の例外から数時間後に混乱が悪化し、瞬時的な全国停止として現れなかった理由が説明される。航空会社と空港は、利用可能な容量と期待される復旧時間が変化する中で決定を下さなければならなかった。

インシデント報告書は、段階的な技術的エスカレーションを示している。外部ソフトウェアサプライヤーへの連絡は12時39分であった。12時58分に、サプライヤーは NATS に対して保留中のキューを再処理するよう助言した。テスト計画は13時26分に送信された。自動処理は14時27分に再開され、システムは14時32分頃に技術的に運用可能と報告された。その後、制限は一度に解除されるのではなく、安全に緩和されなければならなかった。容量は15時24分から増加し始め、インシデントに関連するすべてのネットワーク制限は18時03分に解除された。

NATS の報告によれば、同日の処理便数は5,592便で、予想された7,536便を下回った。約2,000の予想運航が行われず、欠航と影響を受けた空域を回避した便が含まれる。NATS は計画された便の約4分の3が運航されたと述べている。これらの数字は、午後にシステムが復旧したにもかかわらず、大規模な下流損失が発生したことと整合する。航空機、乗務員、空港スロット、乗客は、ソフトウェアのステータスが正常に戻ったからといって、すべてを元の位置に戻せるわけではない。

開示記録は時間とともに発展した。CAA の予備報告書は最初の経過を設定し、月曜日に1,500件以上の欠航を記述した。中間報告書は、文書と利害関係者の証拠を通じて調査を拡大した。その後、最終レビューは乗客調査、コスト見積もり、技術的再テスト、ソフトウェア履歴の修正された説明を組み込んだ。最初の数字や説明を決定的なものとして扱うことは、その後に続いた独立したプロセスの価値を消し去ることになる。

（以降の翻訳部分は省略、実際の出力では全文を記載）