要約

  • 電源と回線を二重化しても、時刻の権威、受信環境、配信経路が実質的に一つなら、重要サービスには共通故障点が残る。
  • 調達では、用途ごとの時刻誤差予算、独立した基準、実測したホールドオーバー、認証付き配信、継続比較、復旧判断の訓練を一つの契約にまとめるべきだ。

消灯しない障害

午前2時17分。発電機は負荷を支え、二つのキャリア経路は到達可能で、サーバーのヘルスチェックも正常だ。しかし主時刻源は信頼できなくなっている。GNSS 受信の喪失、妨害、誤った上位時計、あるいは誤差を見せないままのホールドオーバーが原因かもしれない。

すべてが直ちに停止するとは限らない。モバイル網は位相許容値を外れ、電力系統の計測は制御を誤らせ得る。証明書、トークン寿命、分散ロックは設計者の想定と異なる動きをする。二拠点のログが同じ事故を逆の順序で記録することもある。失われるのは正しい時刻だけではなく、調整と証拠の共通基盤である。

英国政府の最新PNT 概要は、測位・航法・時刻が通信、コンピューター、緊急サービス、金融などを支えると説明する。2025年版 National Risk Registerも PNT 喪失を扱う。これは個別事業者の弱点を断定する資料ではなく、依存関係を政策上認識したものだ。

一つの「同期」に四つの性質を押し込まない

正確さは必要な基準との距離、可用性はサービスの存在、完全性はもっともらしい誤りを検知できるか、独立性は複数源が衛星系、アンテナ、光ファイバー、電源、ソフトウェア、運用権限を共有していないかを問う。

認証は完全性の一部を解く。NIST の認証 NTPは応答の発信元を暗号学的に確認できる。だが本物の応答でも遅延し、共通経路の障害を通り、無線や電力に必要な精度に届かないことがある。高性能な発振器も、独立比較がなければ自身のドリフトを判定できない。

したがって買うべきものは製品名ではなく構成である。NIST のPNT プログラムは、依存資産の特定、妨害や操作の検知、リスク管理を求める。Technical Note 2187は GPS に依存しない UTC 配信を示し、参照設計では±1マイクロ秒を仮定する。この数値は万能ではない。用途ごとに誤差限界を決める必要があるという証拠だ。

ホールドオーバーは消費される在庫

外部基準を失った時計は完全な時刻を保存するのではなく、発振器の有限な安定性を使う。温度、経年、振動、保守、校正履歴が誤差の増え方を変える。「原子時計がある」は「発電機がある」と同じく不十分だ。初期状態、用途の限界、最悪環境、警報閾値、介入までの時間が必要になる。

ITU が説明する改訂G.8272.1 と G.8272.2は好例だ。標準の条件下では ePRTC が GNSS 喪失後、最大40日間にわたり UTC から100ナノ秒以内を維持できる。cnPRTC は複数時計を協調させ、継続比較する。これは個別設備への40日保証ではない。レジリエンスが性能仕様、比較、構成から生まれることを示している。

国の投資と現場の責任は別物

英国は2025年11月、PNT レジリエンスに1億5500万ポンドを投じると発表した。NPL のNational Timing CentreとResilient Enhanced Time Scale Infrastructureは、地上系で追跡可能な分散時刻能力を強化する。

選択肢が増えても、利用者の責任は消えない。国家標準からアプリケーションまでには、受信機、光ファイバー、スイッチ、時計、ソフトウェア、認証情報、契約、担当者がある。上流が堅牢でも、下流に共通故障が残り得る。

時計がどう壊れるかを契約する

受入試験は、100ナノ秒、1マイクロ秒、1ミリ秒、1秒でどの機能が失敗するかから始める。各時計が基準喪失後どれだけ限界内に留まるか、何が独立してそれを測るか、誰にいつ警報が届くかを確かめる。

運用台帳には、基準、物理経路、信頼権限、ホールドオーバー装置を記録し、緑色の「同期」表示ではなく比較残差を示す。疑わしい源を隔離する権限も必要だ。復帰時に時計を急に飛ばせば、アプリケーションを傷つけることがある。緩やかな補正、隔離、イベント照合、法的トレーサビリティの回復までが復旧である。

冗長性は部品を数える。レジリエンスは、誤った時刻を認識し、業務限界内で耐え、隠れた一人の判断に依存せず信頼できる順序へ戻れることを証明する。

主要資料