NTT DOCOMO の2021年スイッチバック障害が示した継続性の責任

サマリー

NTT DOCOMO は2021年10月14日、IoT 加入者および位置情報サーバを旧設備から新設備へ移行していた。新設備で海外ローミング IoT の一部挙動に問題が見つかったため、同社は端末集団を元の状態へ戻す処理（スイッチバック）を実施した。テクニカルレポートでは、請負業者との手順認識の不一致により多数の端末が一度に戻され、位置登録シグナルが一斉に発生したと説明している。[1]-[5]
この影響は IoT サービス内に限定されなかった。NTT DOCOMO および総務省は、IoT と通常の移動端末ユーザーが位置登録処理でシグナリングスイッチ資源を共有していたと指摘した。登録負荷はこれらの資源を消費して枯渇させ、加入者サーバと位置情報サーバとシグナリングスイッチ間での輻輳を引き起こし、全国ネットワークに波及した。[3][5][7][8]
公開インパクトの測定は別条件を示しており、一意の人数合計として加算すべきではない。利用不能の区間は JST で14日17:37〜19:57、2時間20分。影響を受けたと推定されたユーザーは約100万人。別途、利用困難状態は14日16:54〜15日22:00、29時間6分。音声利用困難は約460万人、データは少なくとも830万人が推定されている。[3][7]
復旧は段階的に進んだ。同社は4G 位置登録を制御し、IoT 登録量を調整し、3G より先に5G と4G を回復させた後、最も深刻だった利用不能状態が終わった後もサービス別の作業を続けた。その経過は、単一サーバが戻ったことと、顧客到達性が回復したことを同一視してはいけないことを示している。[1][3][5][7]
日本の規制当局は本件を重大事故として扱い、移行準備、委託先連携、IoT と通常通信の分離、緊急通報の可用性、業界学習を求めた。この分類は公益上の形式的閾値を示すだけで、単独で過失や民事責任を示すものではない。[6]-[8]
NTT DOCOMO の公表した改善には、旧新仕様比較、海外ローミング試験の追加、切替およびスイッチバック手順の整合、決定時刻、IoT 限定登録制御、資源分離、ネットワーク制御手順の実施が含まれる。これらは意味ある統制コミットメントだが、公開資料だけでは完全な展開状況や継続的有効性は証明されない。[4][5]
IIJ の記録は、NTT DOCOMO 回線を利用する音声、データ、M2M、IoT サービスへの影響を示す独立した下流証拠を提供する。NTT DOCOMO の公開通知を超える依存伝播を示すが、全ての内部経路や顧客影響を明らかにするものではない。[9]
GSMA と ETSI 資料は、同時発生する端末動作、反復登録、輻輳制御、バックオフ、優先制御がモバイルコアで重要である理由を示す。これらの標準やガイドラインは制御クラスを定義するが、当該障害で NTT DOCOMO がどのタイマや拒否要因、オプションを使ったかを示さない。[12]-[15][18]-[20]
説明責任の核心は、移行とロールバックの権限が、最新の端末集団記録、代表的負荷モデル、独立した制御プレーン容量、サービス別スロットリング、段階的バッチ、停止閾値、独立到達性プローブ、保全された回復証拠に結びついているかどうかである。
Heng.lu の観点は電信継続性である。実行コードの挙動が現実を支配する。紙の上で安全なスイッチバック手順が認められても、過負荷のシグナリング面は端末登録を受け付けず通話成立を完了できない。正確な記録は運用状態を検証可能にするが、宣言された状態そのものを真実に変えるわけではない。

スイッチバックは新しい運用イベントである

ロールバックはしばしば「安全へ戻す」こととして説明される。これは直感的には分かりやすい。新システムが誤作動した場合、旧システムを復元し以前の状態を取り戻す、というイメージだ。この説明は局所的で静的な対象なら正確になりうる。だが、分散ネットワークと大量の端末集団が移行中に状態変化している場合は不十分になる。

NTT DOCOMO の2021年10月障害はその差を示した。運用者は IoT 加入者と位置情報サーバを旧設備から新設備へ移していた。新設備で海外ローミング IoT の一部挙動に問題が見つかったため、同社は集団をスイッチバックした。NTT DOCOMO の報告によれば、手順により多数の IoT 端末が一度に戻され、位置登録シグナルが一斉発生した。[2][3][5]

旧サーバは既知の環境だったとしても、到着した負荷は移行前の負荷と同一とは限らない。戻ってきた集団は再登録作業を生成し、拒否や遅延後の再試行動作が負荷を増幅し得る。制御プレーンシステムとシグナリングスイッチは、通常の背景トラフィックではなく、同期した集団遷移を処理しなければならなかった。

このため「旧設備を復旧した」という主張だけでは十分な復旧説明にならない。分散ロールバックには少なくとも4つの状態がある。

運用者が戻すことを意図した構成やサーバ配置。
再アタッチ・再登録・再試行を行う端末集団。
その戻り処理を受ける制御プレーン資源。
再び利用可能になるべき音声、データ、緊急通報、下流サービス。

各状態は回復の速度が異なる。旧サーバがアクティブでも、登録キューは増え続ける。シグナリングスイッチが一部の要求を受理しつつ、他を拒否することもある。制限を解除しても、顧客端末が依然として劣化状態にある場合がある。ある無線世代が回復しても、別世代が輻輳したまま残ることもある。10月の事象はまさにこのような段階的回復だった。[1][3][7]

したがって責任の単位は「ロールバックコマンド」そのものではなく、ある運用集団から別の運用集団への移行全体である。実行前に、どれだけの端末が移動しうるか、どれだけ早く戻れるか、どの制御プレーン資源を共有するか、どのトラフィックを分離できるか、再試行がどこまで制限されるか、次バッチを止める根拠は何かを事前に把握すべきだ。回復中は、登録成功とサービス利用を観測すべきである。

これは「変更には慎重に」では終わらない。ネットワーク機構そのものが論点である。位置情報サーバ移行、端末戻り、登録シグナリング、共有スイッチ、輻輳制御、段階的な移動体ネットワーク回復を取り除けば、説明責任の主張は成立しない。

影響記録には複数の時刻軸がある

大規模障害はしばしば1つの停止時間と1つの影響人数に圧縮される。これは報告を簡素化する一方で、無サービス、劣化サービス、段階的回復という運用上の区別を失わせる。

NTT DOCOMO と総務省はこの事象について複数の測定値を公表した。利用不能区間は14日17:37〜19:57 JST、2時間20分で、影響推定は約100万人。別途、利用困難状態は14日16:54開始、15日22:00終了で29時間6分。音声では約460万人、データは少なくとも830万人が影響を受けたと推定されている。[3][7]

これらの数値は重ねて一人分の一意ユーザー数にしてはいけない。顧客は複数のサービス推定に重複して現れる可能性がある。音声とデータの母集団は重なりうる。利用不能測定と利用困難測定で推定手法が異なる場合もある。したがって数値は各ユーザーが同一体験を連続して受けたとみなせない条件の記述でもある。

この区別は統計上の慎重さを超えて、回復の構造を示す。

16:54から大量の IoT 位置登録が始まった。17:37以降、NTT DOCOMO は4G 位置登録制御を課した。後に制限は地域ごとに緩和され、19:57前後から順次回復が始まった。とはいえ利用困難は継続し、同社はその夜遅くから IoT 登録量を調整した。5:05に5G と4G が回復し、3G は22:00に回復した。[1][3][5][7]

このため障害は複数のマイルストーンを通過する。

最も深刻な利用不能が終了する。
広域制限が一部解除される。
特定地域で登録成功が改善する。
音声とデータが大半の顧客で利用可能になる。
1つの無線世代が復帰する。
別世代へフォールバックしていた端末が戻る。
下流サービスの回復確認が出る。
残留する輻輳と顧客操作が収まる。

事業者が最初に都合のよいマイルストーンだけを公表すれば、技術的には正しくても運用上は誤解を招く。逆に、すべての残留症状が消えるまで待てば、実用的な中間情報が欠ける。対処法はサービス別の言葉に絞ることだ。何がどの集団で、どの測定で、どこまで回復し、どこが未回復かを明示する。

電気通信事業者協会（TCA）の信頼性・障害情報伝達資料は、正確でサービス別な報告の分野的文脈を与える。後日のガイダンスは2021年10月時点の NTT DOCOMO 報告を直接立証しないが、将来の通知で保存すべき証拠範囲を定める助けとなる。[16][17]

この時間軸理解は、修復検証の進め方も変える。ロールバックの訓練は、プロセスが正常終了した時点で成功と見なすべきではない。登録キュー深度、シグナリングスイッチ利用率、受理率／拒否率、音声通話成立率、データセッション確立率、緊急通報の到達性、下流 MVNO の状態、世代別回復を測定するべきである。宣言するサービス目標が達成されるまで、時刻は停止しない。

大量の位置登録が制御プレーン負荷に変わる

端末が電波を受信できるだけでは、利用可能とはならない。ネットワークは端末と加入者を認証し、位置を把握し、ルーティングし、サービスを支えるために十分な情報を取得する必要がある。モビリティ管理と位置登録は、コア側でシグナリング作業を生む。

公開された障害記録は、その作業が即時の圧力点だったと特定する。IoT 集団が戻る際、非常に多くの端末が位置登録シグナルを生成した。加入者／位置情報サーバとシグナリングスイッチの間で輻輳が形成され、共有処理資源が消費され、影響が全国ネットワークへ伝播した。[3][5][7]

これは制御プレーンの障害メカニズムである。利用者が体感したのは音声とデータの困難だったが、発端となる負荷は単なるユーザーデータのペイロード量ではなかった。多数端末の登録・更新状態をネットワークが確立しようとする作業だった。

この区別は重要で、平均ペイロード容量だけに基づく計画ではシグナリングリスクを見逃す。IoT 端末はアプリケーションデータをほとんど送らない場合でも、同時接続、切断、ローミング、再起動、再試行が同時に起これば制御プレーン負荷は大きくなる。定常状態では静かでも、同期した移行時には突発的に大きな負荷になる。

GSMA の接続効率ガイダンスは、こうした広域リスクの範疇を説明する。協調されない、または同期した IoT 挙動は過剰なシグナリングを起こし、再接続が同時化すると回復時の負荷を増幅できる。ランダム化、バックオフ、再試行回数制限、効率的な接続管理はその圧力を下げる手段である。[12][18][19]

ETSI と3GPP の仕様は、モビリティシグナリングとネットワーク輻輳制御を、拒否挙動やバックオフまで含めて規定する。登録要求が受理、遅延、優先処理、拒否されるかの技術的語彙を提供する。[14][15]

ただし、これらは NTT DOCOMO の具体設定を証明しない。公開記録は10月の事故で全メッセージ種類、タイマ値、拒否要因、ベンダ実装、ノード単位の閾値を全て開示していない。標準で可能とされるからといって、特定のプライベートパラメータが実際に使われたと推測するのは不適切である。

それでも、次のような検証アジェンダを支える：

スイッチバック前に戻る端末数を記録したか。
移行モデルにローミング端末と遅延再試行が含まれていたか。
加入者サーバとシグナリングスイッチが持てる登録率をどの程度に設定していたか。
キュー、CPU、メモリ、トランザクションのどの閾値で次バッチを停止するか。
IoT 集団を同時化せずにバックオフさせられるか。
再試行はランダム化されていたか、共通の拒否期間後に再同期したか。
優先・緊急トラフィックが独立容量で確保されていたか。
試験が本番相当の人口規模とシグナリング規模で実施されていたか。

これらの質問の価値は、いずれも検証可能な証拠を生むことにある。人口台帳、負荷試験結果、容量境界、閾値設定、段階移行ログ、拒否率推移、通話成立プローブを保全できる。ロールバック計画の存在を示す一般文では十分ではない。

共有シグナリング資源が波及範囲を拡大した

公開記録の中でも最も重要なアーキテクチャ事実は共有資源境界である。NTT DOCOMO は、IoT と通常移動端末ユーザーが位置登録処理でシグナリングスイッチ資源を共有していたと述べ、また当初は IoT だけを厳密に制御できなかったとした。[3][5]

その結合により、あるサービス分類内の端末遷移が全国規模の音声・データ障害へ影響を与えた。引き金は IoT 移行だったが、共有された制御プレーン資源と、十分に選択的ではない制約が影響を一般通信網へ拡大した。

共有インフラは本質的に過失や欠陥と直結しない。プーリングは利用率改善、運用簡素化、スケール効率を生む。説明責任の問いは、共有資源に、過負荷時の影響に比例した分離があるかどうかだ。

分離は複数の形で実装できる。

再試行特性が異なる集団向けの別々の処理能力。
端末や加入者クラスを認識するアドミッションコントロール。
クラス別キューと速度制限。
通常音声・データ・緊急・優先サービス向けの容量予約。
1回の移行バッチで全国容量を消費しきれないようにする障害ドメイン分割。
各集団の独立テレメトリ。
サービスプレーンが輻輳しても制御経路が維持される状態。

総務省の指導では、IoT サービスと音声など他通信の相互影響を最小化することが求められた。NTT DOCOMO の回答として、IoT と一般端末の位置登録処理の分離、IoT 位置登録シグナルの独立制限、資源利用率を監視したネットワーク制御手順が示された。[5][8]

これは「今後同じことを繰り返さない」ことを超えた実務的修正であり、容量を競合する主体と節度ある節制対象を変える。全国一律の漠然とした規制から、集団別の封じ込め機構へ移る提案となる。

ただし公表資料だけでは検証可能性に限界がある。計画上の分離は、実際に全域で分離されていることを意味しない。IoT を制限できる機能があっても、閾値を証明する試験と運用手順が紐づかなければ不十分だ。分離した資源が小さすぎる、別の依存を抱える、端末数増加で劣化する可能性もある。

持続的な証拠には、導入日と範囲、制御が認識するクラス、各クラス向け予約容量、負荷試験結果、警報閾値、演習記録、変更履歴が含まれる。緊急通報や他の重要サービスが独立運用経路を持つか、同じ枯渇サブシステム内で論理優先だけかも必要である。

この点で Heng.lu のランニングコード原則は有効である。設計文書は意図した境界を記録できるが、実際のキュー、資源消費、拒否挙動、サービス完了結果がその境界が負荷下で存在するかを示す。記録は、意図と現実を比較するための前提を提供し、稼働系を上書きしない。

逆転には端末集団台帳が必要

大規模移行は、サーバ、ソフトウェア版、インターフェース、保守タスクの記録を慎重に管理することが多い。NTT DOCOMO の事故は、同様に、移行で影響を受ける端末集団自体を記録する台帳が同じく重要であることを示す。

運用者と委託先は、どの加入者／位置情報サーバが稼働するかだけでなく、どの端末が割り当てられ、どの状態を保持し、何台が同時に戻るか、拒否や遅延後にどのように動作するかを知る必要があった。

説明可能な端末集団台帳は、個別顧客を公開報告で識別する必要はない。内部では移行を測定可能なクラスに結びつけるべきである。

集団属性	なぜ重要か
端末またはサービス区分	ファームウェアやアプリが再接続方式を変える
国内利用／ローミング状態	ローミングは仕様ギャップや試験不足を露呈させる
想定同時アクティブ数	通常の登録ベースラインを定義する
同時最大復帰数	スイッチバック時の突発負荷を定義する
再試行・バックオフ挙動	負荷が減衰するか再同期するかを決める
優先クラス	緊急および重要サービスを保護する
割り当てサーバとシグナリング経路	共有依存関係を明らかにする
バッチと切替ウィンドウ	実行を境界内に保つ
観測された登録成功率	バッチの健全性を示す
停止・解放閾値	次バッチの先行進行を防ぐ

これは運用の記録管理機能であり、端末自体の所有権や権限を作るものではない。目的は、更新の一意性、精度、引継ぎ記録、セキュリティのメタデータを維持し、継続性を保つことにある。移行制御器はこの台帳でどの集団を移すかを判断し、移行済み集団を証明し、想定外の集団が戻ったとき検知できる。

この記録がないと、スイッチバックはサーバ作業だけと見なされるが、実負荷は数百万端末によって生成される。制御系は「ボックスを復元した」という見えを見て、許可した集団の嵐を見落とす。

公開報告では、旧設備と新設備の挙動が海外ローミング IoT では完全に一致しておらず、NTT DOCOMO と委託側のスイッチバック手順理解が一致していなかったことが示された。[5][7][8] この組み合わせは、仕様差分台帳と集団移行台帳という二種類の記録を要求する。

前者は、新設備で旧仕様で必須の動作を維持するか、意図的に変更するかを記録する。後者は、各エンドポイントの依存を示し、カットオーバーと逆戻り時の移動を記録する。どちらか一方だけでは、実負荷と互換境界を見誤る。

NTT DOCOMO の対応には旧新仕様比較、海外ローミング試験追加、手順明確化、責任者確認が含まれると報告される。[4][5] これらは比較結果、試験入力、期待結果、承認、実施手順の版を一体で保持して初めて監査可能になる。

委託先連携は技術的統制である

委託を行っても、事業者が制御するネットワークの責任は消えない。代わりに、前提、手順、権限が分岐しうるインターフェースが生まれる。

総務省および NTT DOCOMO の記録は、スイッチバック手順に関して運用者と委託先の理解が異なったことを示す。[5][7][8] これは単なる情報連携の問題ではない。モバイルコア移行では、どの集団を、どの順序で、どの条件下で、誰が停止・逆戻りを決定できるかが手続きで決まる。

説明責任モデルは、実務的な統制でアクターを分離すべきである。

NTT DOCOMOは公的モバイルサービス、移行承認、ネットワーク設計、共有資源設計、トラフィック制限、顧客広報、復旧宣言を統括した。したがって、安全な手続きの構築、委託計画の検証、集団境界の拘束、ネットワーク監視、通常および重要サービスの保護を実施する中心的義務を負う。

委託先は実装の詳細、設備挙動、手順作成、試験実施、操作ステップを扱った可能性がある。公開記録は契約全体や権限地図を開示していない。特定の誤りを責任に帰するには、公開事実を超えられない。運用者は委託作業が規制された統制を満たすかの証拠を要する。

機器・ソフトウェアサプライヤーは製品挙動、欠陥、文書、修正を統制する可能性があるが、公開資料だけでは特定ベンダーの過失を割り当てるほどの詳細は示されない。

IoT サービス提供者と機器メーカーは接続効率、再試行ロジック、フリート行動に影響できる。一方で NTT DOCOMO の共有シグナリングスイッチ設計や全国規模制御権限は支配できない。義務は自社が変更できる挙動に限定される。

顧客は端末再起動、指示への従守、アプリ連続性設計が可能だが、NTT DOCOMO のコア内で選択的登録制御を作ることや、運用手順の妥当性を確定することはできない。

規制当局は義務設定、調査、是正要求、業界学習の推進を行えるが、移行実行やシグナリング平面の運用は行わない。

堅実な運用者—委託先界面は、この境界を統制アーティファクトへ落とす。そこでは、端末台帳の所有者、旧新仕様の検証者、バッチごとの承認者、監視するシグナル、停止権者、ロールバック実行者、復旧宣言者を特定する。各役割には代理者とタイムスタンプ付き行動記録が必要である。

相互管理者確認は理解差を減らせるが、署名だけでは弱い証拠である。確認は特定手順、ソースと対象ソフト、端末集団、予測シグナリング負荷、閾値、回復計画へ直接紐づくべきである。そうでなければ、2人の管理者が同じ曖昧な文書を承認するだけの状態になる。

ロールバック期限には運用閾値が必要

NTT DOCOMO の対応はロールバック判断ルールの変更を明示した。最終決定時刻を設け、調査とスイッチバック継続時間を反映させる。重要な顧客レポートは即時逆戻りを誘発しうる。[5]

影響の大きい変更では時間だけでは不十分。メンテナンス枠は「調査を継続し続ける」圧力を作り、復旧判断を遅らせる。期限は残余の復旧時間に価値を与え、ためらいを可視化する。

時間だけでは足りない。安全な判断フレームは、時間軸と運用閾値を併用する。

失敗または遅延登録率の上限。
シグナリングスイッチ利用率の上限。
キュー増加率の上限。
音声通話セットアップ失敗率の上限。
データセッション確立失敗率の上限。
緊急通報の不具合率上限。
制限対象地域数の上限。
想定数と観測数の乖離上限。
原因分類が確定しない許容継続時間。
メンテナンス枠終了前に安全に逆転できる最小時間。

各閾値は、監視元、サンプリング間隔、責任者、作用内容を指定するべきだ。「通信量が高い」はトリガーにならない。例として「テストされた上限を超える登録処理が5分継続し、通話成立率がサービス目標を下回った場合、次バッチを停止し、制御される逆戻しを開始する」のように監査可能な条件が必要である。

逆転自体も境界化されるべきである。全集団を同時に戻すと、ロールバックは過負荷を再発させる。安全な運用では、新規移行を一時停止し、影響した集団を分離し、限定バッチで回復を観測し、受け入れ基準通過後に進める。

これによりロールバックは二段構えになる。

意図したサーバまたはソフトウェア状態に戻す。
その復元で生じる集団・シグナリング状態を制御する。

前者は構成復元、後者はサービス復元である。10月の事例は、いずれも変更開始前に設計しておく必要があることを示した。

回復はサービス境界で測るべき

運用上、内部マイルストーンは必要である。サーバが健全でも、シグナリングスイッチが資源閾値を下回っても、制限が解除されても、顧客体験は未回復のまま残る。顧客は完成したサービスを体感する。

今回の事例で有効なサービス境界証拠は次のとおりである。

地域別・無線世代別の登録成功率。
音声通話の設定成功と完了。
データセッション確立とパケット到達。
緊急通報の完了率。
必要に応じた SMS やメッセージ配送。
MVNO および下流事業者の到達成功。
IoT フリートの再接続時に再度シグナリング急増が起きないこと。
3G フォールバックから4G または5G へ戻った端末の状態。

NTT DOCOMO の段階的な時系列は、これはなぜ必要かを示す。深刻な利用不能終了は、長期の利用困難終了より先に起きた。5G と4G は3G より先に回復した。利用者の一部は端末側操作や漸進的な復帰を要した。[1][3][7]

正直な回復通知は、内部行為を外部測定値へ明示的に対応付けるべきだ。例えば「地域別に登録制限を緩和、成功率が定義値以上、通話成立が回復、データ通信が利用可能、1世代がまだ悪化」といった具合である。これにより、単なる制御操作と実結果を混同しない。

IIJ の通知は第二の平面として有効である。IIJ は NTT DOCOMO ネットワーク上のサービスで音声・データ・M2M・IoT の影響と回復を報じた。[9] 二次事業者は NTT DOCOMO の全内部状態を見ない。主たる価値は、主要ネットワーク外の依存サービス利用性を示せる点にある。

最も強い回復記録は以下を対照する。

NTT DOCOMO の内部資源および登録測定。
小売顧客窓口の照会・探知。
緊急サービスの証拠。
MVNO および企業向け IoT の報告。
地域別および無線世代別の状態。
残留顧客行動。

単一測定は十分でない。複合して見ることで、「復旧済み」の早すぎる宣言を抑えられる。

緊急通報は公益性の閾値を変えた

モバイルネットワークは日常通信の提供だけでなく、緊急通報、決済、物流、輸送、資産管理も支える。総務省はこれらの依存を強調して行政指導を行った。[6]-[8]

この分類は、事件が単なる事業品質争点を超えることを示す。規模、持続時間、サービス影響が正式な電気通信の閾値を超え、文書化された対応を必要としたことを意味する。

ただしこの分類を解釈を誤るべきではない。過失、故意、個別損害額、規制違反の有無を自動的に示すものではない。本文はそのような結論を推し進めていない。

ただし、重要サービス継続性にはより高い証拠基準が必要となる。緊急通報が共有の制御プレーン輻輳で影響されるなら、事業者は次を示すべきだ。

影響を受けた登録資源に依存する緊急通報経路の特定。
優先制御が過負荷種別に対して維持されるか。
代替ネットワークや固定回線が実際に独立しているか。
関係機関が適時に具体的通知を受ける運用。
障害時の安全かつ実践的な顧客ガイダンス。
通常およびフォールバック経路の同時障害を検証する演習。

代替案は、独立があるように見えてないと危険である。別端末、別世代、別ネットワークが使えるとして案内しても、位置登録資源、バックホール、電源、または同一インターフェースを共有している場合、実効的には同じ制約を受ける。依存マップは、分離が物理か論理か手続き的か、単なる想定かを示す必要がある。

NTT DOCOMO の改善対応には通信案内改善と業界共有が含まれる。TCA 資料は、業界ガイダンスの枠組みを提供する。[5][16][17] 持続的な証拠は、後続の演習と通知で、影響を迅速に特定し、残存障害を明示し、実効的な代替が検証された場合にのみ案内できるかにある。

IoT は公共ネットワーク外ではない

この事例はよくある境界認識も問う。IoT 接続は、専門サービスとして通常ユーザーから切り分けて扱われることがある。運用上は、加入者システム、シグナリングスイッチ、無線接続、伝送、認証、制御手順まで一般ネットワークと共有されることがある。

10月の障害は IoT サーバ移行で始まり、通常音声とデータが影響を受けたのは共有インフラが原因であるためである。[3][5][7] IoT 側の負荷は、遊休容量を使い切る外部負荷ではなかった。コアの制御プレーン状態の一部だった。

含意は二つある。

第一に、IoT 規模はデータ量だけでなくシグナリング特性で評価すべきである。メータ、トラッカー、端末、組み込み機器のデータ量は小さくても、同時アタッチ、再登録試行、再試行分布、ローミング、復旧時の同期により制御プレーン作業は大きくなる。

第二に、IoT 契約と導入には継続性制御の条項が必要である。運用者は、カバレッジ喪失、サーバ移行、拒否、再起動、時刻同期後のフリート挙動を理解すべきである。デバイス製造者・サービス提供者は効率的かつ上限のある接続振る舞いを実装すべきである。運用者は、悪条件でデバイスが乱暴に振る舞っても共有資源を保護する設計を維持する。

GSMA のガイダンスは接続効率と事業者保護を扱う。[12][13][18]-[20] 以下を支持する。

デバイスとアプリ設計者は、同期した無制限再試行を避ける。
IoT サービス提供者はフリートとファームウェア台帳を最新に保つ。
移動体事業者は集団を識別し、入域制御を実行し、コア資源を分離する。
ローミング先は関連環境での動作を検証する。
重要利用者は継続依存関係を理解する。

責任は補完的である。端末側のバックオフは共有コアに集団別制御が無いことを正当化しない。選択的なネットワーク制限は、再試行を同期無制限にするフリートを免責しない。説明責任は、各主体の実務的統制に従う。

標準は可能性を示し、事象事実を決めない

技術標準は、プロトコル挙動や制御メカニズムが存在することを示して調査を補強する。だが、公開資料の一般仕様から事故時の特定実装を誤って断定すると、精度を失う。

ETSI と3GPP は、Evolved Packet System と非アクセス層（NAS）で、モビリティ管理、登録シグナリング、輻輳、拒否、バックオフを扱う。GSMA は接続効率、デバイス挙動、事業者保護、フィルタリング、優先制御、異常シグナリングを扱う。[14][15][12][13][18]-[20]

これらの情報からは「登録の遮断」「再試行のランダム化」「優先クラス保護」「IoT 集団隔離の実施」を問うことは妥当であるが、NTT DOCOMO が特定タイマや拒否要因を設定したかは示されない。

この区別は2種類の誤りを防ぐ。

第一は技術的な創作。妥当なプロトコル説明は権威的に見えるが、実ネットワークでは誤り得る。ベンダ実装、ソフトリリース、ローミング契約、方針で挙動は変わる。

第二はコントロールの見せかけ。事業者は標準準拠を主張しても、関連オプションが選定・検証・監視・有効であったことを示さなければならない。標準適合は容量保証や安全な移行手順を代替しない。

よって証拠連鎖は4段階で進むべきである。

標準で可能または要件となる機構を特定する。
事業者が採用した実装と設定を記録する。
想定母集団と負荷で代表的に試験する。
実運用観測で、その機構が本障害種別を抑制または回復させたことを示す。

4段階目だけが実行中の動作を成立させる。前段はその成立を解釈可能にする。

公表した是正は独立運用証拠を必要とする

NTT DOCOMO の12月回答は実質的な再発防止計画を示した。旧新仕様比較、海外ローミング挙動の試験、委託先との手順整備、ロールバック決定時刻設定、想定アラームとトラフィックの定義、IoT 限定規制追加、資源分離、ネットワーク制御手順、訓練実施、顧客連絡改善、業界共有の実施が含まれる。[4][5]

これらは互換性、集団遷移、権限、タイミング、分離、過負荷、可観測性、通信という失敗要因を直接扱っている。単一の訓練や教育だけではなく、運用改善に寄与する。

未決の点は持続性である。公開報告は意図と完了計画を示すが、全ての本番設定や継続試験結果は公開しない。導入時に動作していても、成長、ソフト更新、組織変更、委託先変更で機能は弱まる。

公表された各対策について、運用者は対応する証拠対を保有すべきである。

公表対策	持続運用証拠
旧新仕様比較	版管理された行列、未解決差分、承認記録、投入ソフトと紐づく試験
海外ローミング試験	代表的な提携先とデバイス行列、期待値と実測値
共通スイッチバック手順	手順ハッシュ、役割マップ、承認、演習、実行ログ
最終ロールバック決定時刻	時刻付き決定履歴と、残余時間内に巻き戻せることの証拠
想定アラームとトラフィック	ベースライン、閾値、通知経路、対応、見逃し検証
IoT 限定登録制御	設定、対象集団識別、発火条件、実行結果、優先サービス確認
資源分離	設計図と負荷実証により、IoT 急増時でも通常サービスが維持されたこと
ネットワーク制御演習	シナリオ、注入負荷、判断、サービスプローブ、結果、改善策
顧客連絡ルール	公開タイムライン、サービス別明確化、承認経路、下流配信
業界共有	ガイダンス、参加者、採用・演習・改訂の証拠

これは機密なネットワーク設定をすべて公開することを要求していない。集約済み証拠でも、対策の有効範囲と結果を、実装された宣言と実行済み対策を区別して示すことは可能である。重要なのは、運用者と規制当局、資格を有するレビュー者が、宣言された修復と実際の修復を区別できることだ。

責任地図は実務統制に従う

説明責任は、全員が共同責任と書かれるとあいまいになり、最も見えるブランドだけが全責任を負うと不公平になる。適切な地図は予防、封じ込め、証拠、通信、回復の各機能に対して実務的な担当を結びつける。

主体	実務統制	要求される証拠	境界
NTT DOCOMO	移行承認、コア設計、共有シグナリング容量、制約、監視、回復、顧客通知	変更と手順の版、集団モデル、負荷容量、閾値、サービスプローブ、是正証拠	全端末や下流アプリ挙動を保証できない
委託先	委任範囲内の実装手順、技術入力、実行ステップ	版管理手順、前提、試験結果、運用者確認、実行ログ	公開記録に契約上の完全権限は示されない
設備・ソフトウェア供給元	製品挙動、仕様、欠陥情報、修正	リリース挙動、互換性行列、関連欠陥と試験証拠	ここでベンダ責任を断定できる公開事実はない
IoT サービス／デバイス運営者	フリート台帳、ファームウェア、再試行・接続挙動	端末種別記録、接続効率試験、更新管理と再試行方針	NTT DOCOMO のコア分離権限は持たない
MVNO／下流事業者	顧客案内、サービスプローブ、継続性計画	時刻付きの影響・回復証拠、依存マップ	NTT DOCOMO シグナリングスイッチを直接運用しない
顧客・公共機関	ローカルな継続策と適切な通知への対応	比例的に妥当な場合の実地代替の検証	全国規模コアネットワークの人口を制御できない
規制当局	規則、調査、是正命令、業界共有の促進	結果報告、要求した統制、フォローアップ、開示の適正化	実運用ネットワーク変更を実施しない

この表は、統制境界を越えた責任移転を回避する。NTT DOCOMO は全 IoT 端末の効率を保証できないが、IoT 集団が一般音声データ資源を枯渇させるかを決定できる。デバイス側事業者は NTT DOCOMO コアの分離を直接実現できないが、同期した無制限再試行を回避できる。規制当局は全国コアを運用できないが、統制が実装・演習されることを要求できる。

これは結果による単純な非難より厳密であり、各主体が何を予防、検出、制限、通信、修復できるか、そしてそれを示す記録は何かを問う。

次回移行のための統制パッケージ

この事例は再利用可能な移行パッケージへ変換できる。パッケージは、人手ではなく機械で検証できる部分と、判断を人が承認する部分の双方を持つべきである。

1. 事象と集団範囲

対象サービス、サーバ、ソフトウェア、インターフェース、ローミング挙動、端末クラス、加入者数、地理範囲、同時移行想定を特定する。ソース台帳を承認済み変更に結びつける。

2. 仕様差分台帳

旧仕様と新仕様を比較する。意図的な差分と未解決の不確実性を列挙する。各差分を試験と端末集団に接続する。国内端末の動作がローミング挙動の検証になるとは限らない。

3. 容量境界

加入者サーバ、シグナリングスイッチ、依存システム向けの持続負荷と瞬間負荷を記録する。キューと資源限界を含める。通常切替、部分失敗、全体逆戻り、同期再試行、遅延戻りをモデル化する。

4. 分離証拠

どの資源が共有され、どれが分離されているかを示す。IoT 集団を通常・優先サービスを停止させずに制限できることを示す。論理分離後に残る共通依存も演習で確認する。

5. 段階実行

代表性を持つが上限付きバッチで実行する。再試行とローミング動作が確認できるほど長く観測する。登録、資源、音声、データ、下流の受理基準を満たしたときのみ次へ進む。

6. 停止とロールバック権限

誰が作業を止められるか、自動閾値は何か、最終安全決定時刻、そして端末集団を嵐のように戻さない方式を定義する。決定と実行内容を保全する。

7. 独立サービスプローブ

変更対象系だけでなく、一般ユーザー、IoT、ローミング、MVNO、緊急、無線世代を含むサービスを横断して測定する。

8. 通知

サービス別の案内と下流配信を事前に準備する。利用不能、利用困難、回復、復旧済みを区別して記述する。代替手段は検証済みであることを明記する。

9. 回復整合

サーバ状態、シグナリング容量、登録受理、通話完了、データセッション、地理状態、下流報告を整合する。1つの好ましい指標だけで完了を宣言しない。

10. 変更後の証拠

導入済みの版、承認、テレメトリ、異常、判断、ロールバック実行、受理結果を保管する。フリート成長に合わせて後日見直しを実施する。

このパッケージは保証ではない。むしろ反証可能な記録を作る。想定が外れた場合、どの集団・容量・境界・判断が誤っていたかを示し、次実行を改善する。

監督官庁と事業者レビュー用の証拠表

次の表は文書と観測結果を区別する。NTT DOCOMO に全データの欠如を断定するものではない。どの対策が実効的統制を示すかを示す。

対策	保全記録	観測結果	公開上の限界
集団インベントリ	端末クラス、ローミング状態、バッチ所属、想定数	観測された遷移が承認集団と一致	顧客個別データは公開不要
仕様比較	旧新挙動行列と未解決差分	代表的な国内・ローミング試験に合格	報告はソフト詳細を要約して提示
登録容量	資源別の持続・バースト上限	ピークロードが試験上限内に収まる	ノード単位の全グラフは公開されない
選択的許可	IoT 集団ポリシーと発火条件	通常サービスを抑圧せずに IoT 負荷を抑えた	具体的ポリシーと閾値は機密
資源分離	アーキテクチャと共有依存マップ	IoT 急増時に通常・優先サービスを維持	論理分離でも共通依存を残す可能性
段階切替	バッチ計画、停止ポイント、承認	各段階で資源・サービス基準を満たして進行	後続演習は公開されない場合がある
ロールバック期限	最終安全決定時刻と権限	決定が適切な時間枠で行われた	判断品質はレビューが必要
スイッチバック実行	実行順序と集団戻し制御	復帰が再度登録スパイクを生じなかった	手順実行のみでは十分ではない
サービスプローブ	音声、データ、緊急、IoT、MVNO、ローミング検査	顧客サービスが宣言目標を満たす	サンプルでは全利用者を網羅できない
回復宣言	基準と時刻付き証拠	公開状態が測定結果と一致	残存する個別端末条件は残る
委託先インターフェース	役割図、手順ハッシュ、相互確認	運用者と委託先が同一理解で実行	署名のみでは技術的正当性は証明しない
是正演習	シナリオ、注入負荷、判断、結果、追跡	同型障害が封じ込め可能	1回の演習は継続執行を保証しない

限界列は意図的である。説明責任の証拠は、測定が示せない対象を隠すと価値を失う。負荷試験は陳腐化する。サンプルは一部の顧客群を見逃す。論理分離の背後に残る共通依存がある。限界を明示し、次の検証タスクを生む。

検証アジェンダを境界化する

公開記録は、焦点の絞られた検証質問群を支える。

移行と仕様

旧設備の海外ローミング IoT 挙動のどの差分が新ソフトで欠落・変更されたか。
どの試験でその差分を検出できるべきだったか。
現在の仕様比較は導入済みバージョンにどのように紐づくか。
将来の移行を妨げる未解決差分は何か。

集団と負荷

各バッチで移行予定だった端末数は。
スイッチバック時に実際戻った端末数は。
集団の再試行・バックオフ挙動はどうだったか。
各依存資源が許容できる登録率は。

共有資源

IoT と通常ユーザーのどのシグナリング資源が共有されていたか。
IoT 集団を識別・制限できる現在の制御は何か。
資源分離後に残る依存は何か。
同一輻輳下で緊急・優先サービスはどのように保護されるか。

意思決定権

何を観測して調査と逆戻りが開始されたか。
最終安全ロールバック決定時刻はいつか。
運用者と委託先は同一の手順版・役割図を使ったか。
合意待ちせず次バッチ停止が可能な自動閾値は何か。

回復

登録成功は地域別と無線世代別にいつ回復したか。
音声とデータが各目標を満たしたのはいつか。
どの下流事業者が回復を確認したか。
各公開マイルストーン後に残った顧客操作は何か。

持続性

いつ IoT 専用スロットリングと資源分離が導入されたか。
どの本番相当規模で検証されたか。
同じ失敗型を最後に演習したのはいつか。
ネットワークと IoT 規模変化後も統制が有効であることを示す証拠は何か。

これらは機密をすべて公開することなく回答可能であり、一般的な「対応した」という表現ではなく、現在の境界付き証拠を要求する。

結論

NTT DOCOMO の2021年10月障害は、単なる IT 移行の失敗ではなく、モバイルネットワークの制御プレーン事象だった。スイッチバックにより大量端末集団が位置登録シグナルを生成し、共有シグナリングスイッチ資源を消費して全国音声・データサービスの輻輳を拡大させた。[3][5][7]

この事例は、ロールバックは以前のアーキテクチャの「写真」への単純復帰ではないことを示した。サーバ状態、端末状態、シグナリング状態、顧客サービス状態は分岐しうる。旧設備へ戻しても、集団状態を制御しなければ新たな障害を生む。

NTT DOCOMO および総務省の対応は、仕様比較、ローミング試験、委託手続き整合、決定時間、集団別制限、資源分離、ネットワーク制御演習、通信強化という適切な論点を提示した。[4]-[8] 残る説明責任は、それらが現行であり、展開済みであり、代表性を持ち、演習され、実負荷下で有効であるかである。

ランニングコード優先主義が標準を与える。承認手続きは重要だが、実際の登録率、キュー、資源使用、制御、通話完了、データセッション、下流サービスが現実を定める。正確な端末集団、ソフトウェア動作、割当資源、閾値、回復状態の記録は、その現実を検証可能にするが、それ自体が現実を作るわけではない。

責任は実務的な統制に従う。NTT DOCOMO は移行と全国コアを統括し、委託先やサプライヤーは委任範囲内の実装に責任を持つ。IoT 運営者はフリート行動を、下流はプローブと通知を、規制当局は調査と是正要求を担う。これらは相互に排他的ではない。

持続的な修復は、実際に機能する証拠連鎖にある。正確な集団と仕様記録、試験済み容量、選択的許可、隔離資源、段階実行、明示的停止権限、独立サービスプローブ、サービス別通知、反復する回復演習の積み上げが、将来のスイッチバックを「安全だと想定される状態」から「運用上検証された状態」へ移す。

情報の限界

最も詳細な障害・是正記録は NTT DOCOMO と総務省が提供している。これらは事業者および規制当局の権威ある記録であるが、すべての内部ログ、コマンド、契約条項、サーバ構成、端末クラス、資源グラフ、試験結果を開示していない。[1]-[8]

IIJ は独立した下流サービス証拠を提供する。内部経路を完全に再構成することや、すべての影響顧客を特定することはできない。NTT グループの声明は影響とグループ対応を認めるが、関連当事者証拠の性質である。[9][10]

NTT DOCOMO の信頼性報告は、当時の管理文脈を示すが、10月障害の防止や封じ込めを直接証明しない。[11]

GSMA、ETSI、3GPP、TCA の資料は技術的・業界的な統制クラスを定義する。これらは NTT DOCOMO が特定タイマ、拒否要因、優先オプション、容量閾値、通信手順、保護機構を使ったとは示さない。[12]-[20]

公開推計は異なるサービス条件と母集団を扱うが、一意の人数へ加算されるべきではない。総ユーザー損失、全緊急通報結果、個別の過失、故意、民事責任、サプライヤー過失を確定しない。

是正対応は事業者または規制当局の証拠として付記される。現在の独立運用・演習結果がなければ、全国適用か継続的有効性の完全証明として扱われるものではない。

NTT DOCOMO の2021年ネットワーク・スイッチバック障害が示した継続性の説明責任