Optus と、緊急通報を通信事業者のアカウンタビリティテストにした障害

概要

• 2023年11月8日に発生した Optus の障害は、公共安全上の重大な側面を含む国内通信事業者の継続性における障害でした。政府委託によるBean Reviewは、約1,000万人の顧客と約50万の事業者が影響を受けたと推定し、一方 ACMA（オーストラリア通信メディア庁）は後に、Optus が2,145人の利用者に対して緊急通報サービスへのアクセスを提供できなかったと発表しました。
• 技術的な引き金は単純な「インターネットが落ちた」という事象ではありませんでした。ACMA の調査によると、Singtel の国際的な上流トランジットネットワークにおける定常的なソフトウェアアップグレードがトラフィックの再ルーティングを引き起こし、Optus が大量の IPv6 ルーティング情報を受信した結果、一部のコアルーターがサードパーティベンダーにより事前設定された安全性の上限を超え、それらのルーターが自己隔離したとされています。
• 緊急通報が失敗したのは、単に通常の Optus サービスが停止しただけではありません。より深刻な継続性の問題は、一部の3G 無線装置が、緊急通報が Optus コアを通じて進められない状態にもかかわらず信号を放射し続けたことです。一部の端末は他の通信事業者にキャンプオンする代わりに、それらの Optus 信号を利用しようとし、Optus は障害中にそれらの3G サイトを強制的にウィルトさせるために必要なリモート管理経路を持っていませんでした。
• ACMA は、これを不可避な上流事象ではなく、制御可能なコンプライアンス違反として扱いました。報告書では、Optus が自社ネットワークの構成、アーキテクチャ、ルーティング伝搬、O&M ネットワーク依存性、変更管理対応を管理していたと指摘しています。Optus はその枠組みの一部に異議を唱えましたが、規制当局は緊急通報の目的に関して、障害が Optus の制御を超えていたという主張を退けました。
• 顧客およびステークホルダーとのコミュニケーションは、二つ目のアカウンタビリティの軸となりました。Bean Review は顧客対応が不十分であるとし、自主ガイドラインが遵守されたようには見えないと述べ、大規模障害時の顧客コミュニケーションに関する義務的な要件を推奨しました。
• 障害後の改革の記録は、それまで何が欠けていたかを示すため重要です。すなわち、トリプルゼロのカストディアン、半年ごとのエンドツーエンド緊急通報テスト、リアルタイムの障害データ共有、義務的な障害後報告、直接通知義務、改善された顧客コミュニケーション、そしてより広範な政府・業界の冗長化計画です。

この障害は単なる通信事業者の信頼性事象ではなく、公共安全の試金石であった

Optus の障害は、クラウドのコントロールプレーン障害、航空会社のスケジュール崩壊、決済ネットワーク障害と同じアカウンタビリティの系列に属しますが、より深刻な公共安全上の結果を伴います。小売アプリが停止すれば、消費者は利便性を失い、企業は売上を失うかもしれません。国内通信事業者が停止すれば、直ちに問われる継続性の問題は、顧客が依然として緊急通報サービスに接続できるか、病院が連携できるか、交通事業者が運行を継続できるか、小規模事業者が決済を受け付けられるか、政府が状況情報を共有できるか、そして脆弱な人々が何をすべきか知っているかです。

公式な公的記録は異例なほど充実しています。オーストラリア政府は2023年11月9日に障害後のレビューを発表し、後に Richard Bean 氏が主導した2023年11月8日の Optus 障害に関するレビュー（Review into the Optus outage of 8 November 2023）を公表しました。最終報告書は、この障害が Optus の顧客と Optus の再販業者の顧客のサービスを混乱させ、消費者、企業、政府サービス、公衆衛生、安全インフラに支障をきたし、約1,000万人の顧客と約50万の事業者に影響を与えたと述べています。

その後、オーストラリア通信メディア庁（ACMA）が執行記録を作成しました。2024年11月に公表されたOptus pays $12 million penalty for Triple Zero outageによると、Singtel Optus の子会社が緊急通報規則違反により合計1,200万ドル超の罰金を支払ったとされています。ACMA は、障害中に Optus が2,145人の利用者に緊急通報サービスへのアクセスを提供できず、また緊急通報を試みた利用者に対する369件の所要の安否確認を実施しなかったと認定しました。

これら二つの記録は異なる疑問に答えています。Bean Review は執行裁定ではありませんでした。同レビューは、技術的原因、規制遵守、補償額の妥当性はその中核的範囲外であると明言しています。焦点は、トリプルゼロ、政府対応、顧客コミュニケーション、苦情、補償、通信のレジリエンスについてシステムが何を学べるかでした。一方、ACMA の調査報告書および違反通知ページは、緊急通報法に基づく規制当局のコンプライアンス記録です。責任ある記事は、一方を他方に還元することなく、両方を使用すべきです。

総合的な教訓は明白です。通信レジリエンスとは単なる稼働時間ではありません。それは、通信事業者が緊急通報アクセスを維持し、コアネットワーク障害を管理し、管理チャネルを到達可能に保ち、他の事業者に警告し、政府や緊急対応機関と状況を共有し、顧客と正確にコミュニケーションし、事後に証拠を提出する能力です。

技術的な連鎖は、規制上の事実認定となるに十分に制御可能だった

障害の公的ストーリーはルーティング情報から始まります。Bean Review は、多数の Optus ルーターが IP ルーティング情報の過負荷後に自動的に自己隔離したと述べています。ソフトウェアアップグレード中に、Optus ネットワークは代替の Singtel ピアルーターからルーティング情報の変更を受け取り、それらの変更が IP コアネットワークの複数層に伝搬しました。オーストラリア東部夏時間午前4時05分頃、相当数の Optus ネットワークルーターで事前設定された安全上限を超え、コアネットワークとの接続が失われました。

ACMA の調査は重要な詳細を追加しています。ACMA 調査報告書（PDF）は、ルーティング情報の増加が、Optus の国際上流トランジットネットワークの一つである Singtel インターネットエクスチェンジ（STiX）のルーティンアップグレードに続いて発生したと述べています。北米の STiX ルーターがアップグレードされ、トラフィックはアジアの代替 Singtel ピアルーターに再ルーティングされ、この再ルーティングはそのような更新では想定通りに発生しました。Optus ネットワークはその後、大量のルーティング情報、特に IPv6 情報を受信し、それが複数の層を通じて伝搬し、一部のコアルーターで事前設定された安全上限を超えました。

この区別は重要です。分析が「上流の Singtel アップグレードが問題を引き起こした」で止まれば、実際のアカウンタビリティは不明瞭になります。ACMA はそこで止まりませんでした。同庁は、ソフトウェア更新がルーティング情報の増加を引き起こしたことを認めつつも、障害は Optus コアルーターの自己隔離によって引き起こされたと考えました。そして、それらのルーターの保守、ならびに Optus ネットワークのアーキテクチャと構成は Optus の管理下にあったと述べました。また、デフォルトの上限はサードパーティの機器ベンダーによって設定されていたが、変更可能であったとも述べています。

Optus は、ルーティングトラフィックの増加は自社の制御を超えており、機器ベンダーも外部専門家も障害前にルーター安全上限リスクを特定していなかったと主張しました。ACMA はより広範な免責を退けました。報告書は、再ルーティングされたトラフィックは Optus ネットワークの複数層に伝搬したが、他のネットワーク層のルーターは自己隔離しなかったこと、また Optus 自身が、ネットワークはその変更に対処できるはずだったと述べたことを指摘しています。規制当局のアカウンタビリティに関する文言は異例なほど直接的です。機器ベンダーや外部専門家の沈黙は、Optus を免責するものでも、不十分な構成や変更管理に伴うリスクを Optus から移転するものでもない。

これがインシデントの核心です。ネットワーク事業者は、ベンダー、上流トランジット契約、デフォルト設定、外部専門家、ピアネットワークに依存することがあります。それでも、合理的なルーティング変更が全国的な通信事業者障害に発展するか否かを決定するアーキテクチャは、依然として自ら所有しています。ルート伝搬制御、安全上限のレビュー、ラボテスト、ロールバック準備、テレメトリ、管理プレーンの分離、依存関係マッピング、そして計画された上流の変更がローカルコアに過負荷をかけないかを問うビジネスプロセスを所有しています。

これは、すべての詳細が事前に公に知り得たという意味ではありません。ACMA の報告書は一部が墨消しされており、Optus の完全なネットワークマップを公開していません。また、特定のエンジニア、ベンダー、経営幹部が正確な故障連鎖を直接認識していたことを証明するものでもありません。説明責任のある主張はより狭く、かつ強力です。すなわち、構成とアーキテクチャは Optus の実質的な管理下にあり、規制当局は、障害前にレジリエンスを改善するために合理的に実行可能な措置があったと認定したのです。

トリプルゼロはネットワーク障害とフォールバック設計の境界で失敗した

最も深刻な継続性の失敗は、通常の Optus サービスがダウンしたことだけではありません。国内通信事業者の障害だけでも十分深刻です。しかし、緊急通報システムは、モバイル利用者のホームネットワークが利用できない場合にフォールバック動作が期待されています。大枠では、モバイル端末は、ホームネットワークが通話を搬送できない場合、緊急通報のために他の利用可能なネットワークに「キャンプオン」できます。

Bean Review は、それが11月8日に確実に機能しなかった理由を説明しています。コアネットワークの接続喪失に伴い、Optus の4G および5G 基地局は自動的にウィルト（停止）し、端末は他のネットワークを探索できる状態になりました。しかし、Optus の3G 無線装置は、コアネットワーク障害により通話がトリプルゼロに進められないにもかかわらず、音声チャネルを通じてコアネットワークへの接続を維持していたため、信号を放射し続けました。一部の端末はこれらの3G 信号を検出し、他のネットワークを探す代わりに Optus を通じて緊急通報を試みました。これらの通話は Optus ネットワークからエラー信号を受け取りました。

ACMA の報告書は、同じ問題を執行言語で述べています。障害によって Optus のオペレーションおよびメンテナンス（O&M）ネットワークへの接続が失われました。この O&M ネットワークは基地局を含むネットワーク要素の監視に使用されていました。この喪失により、Optus は障害中に3G 装置が信号を放射し続け、音声伝送能力を維持していることを特定することが困難になりました。3G 信号は、Optus が通話を搬送できないにもかかわらず、ほとんどのモバイル端末が緊急通報時に他のネットワークにキャンプオンするのを妨げました。

したがって、フォールバックは、一般の顧客が違いを見分けられないまさにその地点で失敗しました。困難に直面している人は、自分の電話が壊れた3G 無線に接続しているのか、他の通信事業者にキャンプオンしようとしているのか、アクセスネットワークとコアネットワークの状態の間で静かに捕捉されているのかを知ることはできません。利用者の視点からは、唯一の意味のある問いは緊急通報が確立され維持されるかだけです。

だからこそ、ACMA の緊急通報の数字は重要です。規制当局は、添付文書に記載された2,145件の不成功の緊急通報を発見しました。Optus Mobile は、000または112に緊急通報を行った2,091人のエンドユーザーに緊急通報サービスへのアクセスを提供できず、Optus Networks は41人、Optus Internet は12人に対して同様の失敗がありました。また、Optus Networks が提供する固定回線サービスでの106番通話の失敗1件も発見されました。2,145件の通話は、該当する終端地点まで搬送されませんでした。

規制の枠組みは、緊急アクセスを書類上の要件のみと見なすことを拒否しています。ACMA 報告書によると、Optus は、関連する要件は実際の通話接続ではなくネットワーク構成に関するものであると主張しました。ACMA は、人が緊急通報を試みた際に通話が確立され維持されない限り、緊急通報サービスへのアクセスがあるとは言えないという法概念を引用し、この見解を退けました。言い換えれば、緊急アクセスは、利用者が接続できなければ名目上のアーキテクチャでは満たされないのです。

これは、すべての重要ネットワークにとって中心的なアカウンタビリティの教訓です。フォールバックは、図面に存在するから存在するのではありません。現実の端末、現実の無線状態、現実のコア障害、現実の緊急通報ルーティングがストレス下で正しく動作するときに存在します。

アウトオブバンド管理は脇役ではなかった

アウトオブバンド管理は、ネットワークがダウンし、事業者が制御を必要とするコンポーネントに到達できない瞬間まで、工学的詳細として扱われがちです。Optus の事例では、それは公共安全の制御手段となりました。

Bean Review は、Optus が顧客が他のネットワークへのキャンプオンを通じてトリプルゼロに確実に接続できるようにできなかった二つの根本原因として、オペレーションおよびメンテナンス（O&M）ネットワークまたはアウトオブバンド（OOB）ネットワークを介してコアインフラに到達できないこと、および3G 無線基地局を強制的にウィルトさせることができなかったことを挙げています。レビューは、OAM ネットワークが利用可能であった場合、Optus は自動ウィルトを遠隔で上書きするなどの選択肢があったが、11月8日には OAM ネットワークが利用できず、Optus は3G ネットワークを手動または遠隔でシャットダウンしてウィルトを強制することができなかった、という Optus の説明を記録しています。

ACMA は同じ点をより鋭く指摘しました。報告書は、O&M ネットワークが、モバイル基地局を含むネットワークの一部のステータスを監視し管理するため、ネットワークの適切かつ効果的な機能を維持するために不可欠であると述べています。そして、Optus が障害時にネットワークを効果的に管理するためのアウトオブバンドネットワーク接続を実装するための実行可能な措置を講じていなかったと認定しました。同庁は、O&M ネットワークの設計は、コアネットワークへの依存を低減し、カスケード障害のリスクが許容可能なレベルにまで低減されるべきであったと考えています。

Optus は ACMA に対し、OOB ネットワークは緊急通報の搬送に使用されておらず、したがって緊急通報決定の関連条項の対象ではないと述べました。ACMA はこの主張を退けました。規制当局は、OOB の故障は、O&M ネットワークに関連する故障が広範なネットワークの適切かつ効果的な機能不全を意味するため、関連性があるとし、効果的な OOB の運用は、特に3G タワーのウィルト失敗に関して、影響を受けたネットワーク部分の保守のための信頼できる方法を提供することにより、障害の範囲、影響、および期間を低減できた可能性があると述べました。

この認定は、Optus を超えて重要です。管理ネットワーク、リモートアクセス経路、電源制御、可観測性システム、特権アクセス、緊急運用ランブックは、しばしば内部の信頼性管理として扱われます。重要インフラにおいては、これらは公共の管理手段となります。それらは、主サービスプレーンが故障した際に、事業者がネットワークをより安全な縮退状態に置けるかどうかを決定します。

ここで言うより安全な縮退状態とは、「すべてを即座に復旧すること」ではありません。それはより基本的なことでした。誤解を招く3G 信号の放射を停止し、端末が他のネットワークを介して緊急通報を試みることができるようにすることです。したがって、工学的タスクは人間の結果に結びついていました。管理プレーンの依存関係が、公共安全のフォールバックが大規模に機能するのを妨げたのです。

顧客コミュニケーションはそれ自体が継続性の失敗となった

この障害は、自主的な顧客コミュニケーション慣行の限界も露呈しました。Bean Review は、Optus が障害開始から約2時間半後の午前6時33分に最初のメディア声明を発表し、その後午前8時16分に再度発表したことを記録しています。Optus は、顧客が Optus サービスにアクセスできなかったため、メディアコミュニケーションが最速かつ最も効果的な経路であると考えたと述べました。また、ビジネス顧客に連絡し、午後12時55分にオンラインに復旧した時点でウェブサイトとソーシャルチャネルに投稿し、午後2時から小売店の情報を提供し、CEO が11回のメディアインタビューを実施しました。

レビューはこれが十分であるとは認めませんでした。レビュアーは、Optus が自社のコミュニケーションを適切かつ妥当と見なしたが、この見解はレビューを含む他者に共有されなかったと述べています。顧客の不満、通信大臣への公的な書簡や電子メール、消費者支援団体による、タイムリーで明確な情報の欠如が、特に脆弱な人々、障害者、低所得者、地方・遠隔地域のコミュニティに苦痛をもたらしたとの懸念が報告されています。

レビューの結論は明快です。Optus 障害中のコミュニケーションは不十分でした。顧客への助言の遅れ、原因や影響に関する詳細な回答の欠如、復旧時期の不提示を指摘しています。また、Communications Alliance の緊急通信プロトコルガイドラインは限定的で、多くの部分を事業者の裁量に委ねており、Optus によって遵守されたようには見えないと述べています。

これは単に評判の問題ではありません。コミュニケーションは継続性のコントロールです。モバイルやインターネットサービスがない顧客は、トリプルゼロに到達できるか、固定電話は影響を受けているか、場所を移動すべきか、病院や高齢者介護施設に代替連絡手段があるか、決済端末は影響を受けているか、再販業者は障害の一部か、ビジネスサービスは影響を受けているか、いつ待つのをやめてバックアッププロバイダに切り替えるべきか、を知る必要があります。

中小企業にとって、コミュニケーションの問題は特に具体的です。レビューは約50万の事業者が影響を受けたと推定しました。カード決済を処理できないカフェ、電話を受けられない診療所、モバイルデータに依存する宅配業者、顧客の電話を待つ個人事業主は、意思決定を支える復旧情報を必要としています。スタッフを帰宅させるべきか？現金のみの対応を開始すべきか？バックアップ SIM を配布すべきか？予約をキャンセルすべきか？「取り組んでいます」ではこれらの運営上の質問に答えられません。

レビューの推奨は自然に続きます。ACMA は、通信事業者が障害中および障害について顧客に特定の情報を伝達することを義務付ける基準または決定を策定すべきである。これは、ブランド管理された危機コミュニケーションから規制された最低限のコミュニケーションへの移行です。

再販業者と他の事業者は単なる傍観者ではなかった

Optus ネットワークは、直接の Optus 顧客だけでなく、再販業者の顧客もサポートしていました。これにより別のアカウンタビリティ層が生まれました。基盤となる通信事業者が故障した場合、下流の通信サービスプロバイダー（CSP）とその顧客は、直接的で利用可能な通知を必要とします。

ACMA は、Optus Mobile および Optus Networks が他の CSP に対する通知義務に違反したと認定しました。規制当局の報告書は、Optus Mobile が関連アクセスを提供する16の CSP のリストを、Optus Networks が20の CSP のリストを提出したと述べています。Optus は主に、国内メディアチャネル、ソーシャルメディア、メディアリリース、ウェブサイト更新に依存して、Optus ネットワークを使用する CSP に通知しました。ACMA は、これらの声明は CSP 自体への直接通知ではなく広範な公的コミュニケーションであると見なし、通知要件を満たしていないと判断しました。Optus は、予備的認定で特定された CSP に直接通知しなかったことを認めました。

これは、卸売依存が顧客被害の形を変えるため重要です。再販業者の顧客は、基盤ネットワークが Optus であることを知らないかもしれません。再販業者のサポートデスクは、直接のステータス、技術的事実、緊急通報情報、復旧見積もりを欠いたまま、苦情で溢れる可能性があります。下流のプロバイダーは、アラートをプッシュし、顧客サービススクリプトを調整し、脆弱なユーザーに警告し、企業顧客と調整する必要があるかもしれません。

全国的な障害において、メディアリリースは直接の運用通知の代わりにはなりません。重要な依存関係チェーンには、名前付き連絡先、エスカレーションパス、ステータスフィード、事前合意された文言が必要です。説明責任のある事業者は、障害前に自社ネットワークに依存している者を知っておく必要があり、障害中の公的な混乱を通じてそれらの関係を発見するべきではありません。

Bean Review のより広範な調整に関する所見も同じ方向を示しています。同レビューは、一日を通じてコミュニケーション、協力、情報共有の欠陥があり、既存のプロトコルは主要なステークホルダー間で明確で調整された対応を提供するために効果的に機能しなかったとしています。主要サービス中断通知プロトコルは順守されませんでした。国家調整メカニズムは午後に発動され、2回の会議を開催しましたが、レビューは、より早期の明確な政府主導の調整が有益であっただろうとしています。

議会の精査も同じ記録を拡大しました。上院環境・通信付託委員会のOptus Network Outage 報告書とその公的な提出物一覧は、消費者団体、業界参加者、政府機関、影響を受けたステークホルダーが、この障害を私的な顧客サービス紛争ではなく公共のアカウンタビリティ事象として扱ったことを示しています。この議会資料は ACMA の執行認定に取って代わるものではありませんが、国内通信事業者の障害がエコシステム全体にわたって証拠の必要性を生み出すという点を補強します。

したがって、通信事業者の障害は、企業とその小売顧客の間の二者間の事象ではありません。それらは再販業者、緊急サービス組織、緊急通報担当者（ECP）、規制当局、大臣、州・準州機関、病院、交通事業者、決済プロバイダー、ビジネス顧客を経由します。責任は依存関係グラフに従います。

安否確認はコンプライアンスチェーンの人間的末端を示した

緊急通報の失敗は、ネットワークが復旧した時点で終わりません。誰かが緊急通報を試みて失敗した場合、システムは人間的な問いに答えなければなりません。その人は後で支援を受けたのか？

ACMA は、Optus が369件の通話に対して所要の安否確認を実施しなかったと認定しました。報告書によると、Optus は2,145件の通話のうち183件について可能な限り速やかに安否確認を実施しました。同庁は、エンドユーザーがその後 Telstra ネットワークにキャンプオンして成功した緊急通報を行ったため、31件の通話には例外が適用されることを認めました。また、通話が行われた時点からモバイル顧客機器の位置が変更されたため、1,562件の通話に別の例外が適用されることも認めました。これにより、安否確認を必要とする369件の通話が残りました。Optus は、これらの通話に対する安否確認を実施しなかったことを認め、361件は Optus Mobile エンドユーザー、8件は Optus Networks エンドユーザーに関わるものでした。

安否確認義務は官僚的な後付けではありません。これは、支援を求めて連絡を試み、依然としてリスクにさらされている可能性のある人を特定する、システムの最後の既知の機会です。このプロセスには、電話または SMS での連絡、および連絡が取れない場合の州または準州の警察への照会が含まれ得ます。不成功の緊急通報を特定できず、後続の成功した通報が発生したかどうかを確認できず、または迅速に安否確認を実施できない通信事業者は、信号復旧後も続く継続性のギャップを抱えています。

ここで、通信のアカウンタビリティは最も人間的になります。失敗した通話記録は単なるデータセットではありません。各レコードは、医療緊急事態、暴力事件、火災、交通事故、または脆弱な世帯にある人物を表している可能性があります。ネットワーク事業者の証拠慣行、通話詳細記録、例外ロジック、顧客位置情報の取り扱い、障害後ワークフローが、その人物が障害統計の中に消えるか、フォローアップを受けるかを決定します。

ACMA 発表の表現は適切に厳しいものです。トリプルゼロの可用性は、通信事業者が公衆に提供しなければならない最も基本的なサービスであり、緊急通報の接続に失敗した場合、公衆衛生と安全に壊滅的な結果をもたらす可能性があると述べています。また、Optus は障害解決後も360人以上の顧客の安全と安否をフォローアップしなかったと付け加えています。

いかなる公的記録も、知られていることを誇張すべきではありません。ACMA の報告書は、2,145件の不成功の通話について個別の緊急状況を公開していません。また、それぞれの失敗した通話が特定の傷害を引き起こしたとも述べていません。しかし、緊急アクセスとフォローアップ義務が大規模に失敗したことを立証しており、それだけで高い信頼性のアカウンタビリティ結論としては十分です。

ガバナンスの結果はオプタスのトップにまで及んだ

この障害は、目に見える経営陣の結果ももたらしました。2023年11月20日、Singtel は Optus の CEO である Kelly Bayer Rosmarin 氏が辞任したと発表しました。Singtel の会社発表は、彼女が困難な時期に Optus を率い、会社は後任を探す間、暫定 CEO を任命するだろうと述べました。この発表自体は、障害に対する法的責任を割り当てるものではありませんでしたが、アカウンタビリティがエンジニアリング管理を超えて移動したことを示しました。

Singtel 自身の財務報告も、運用上の重要性を記録しました。Singtel の年次報告書は、Optus を主要事業として議論し、障害と以前のサイバー問題に続く、運用上および評判上の圧力の期間を反映しています。年次報告書はフォレンジックなインシデント報告書ではありませんが、全国的な障害が如何に親会社にとってガバナンス、ブランド、投資、規制の問題となるかを示しています。

経営陣の層はエンジニアリングの層を覆い隠すべきではありません。CEO の辞任は、ルート制御の変更、緊急通報テスト、OOB 管理の強化、再販業者通知、安否確認の規律の代わりにはなりません。しかし、リーダーシップの交代は、通信事業者のレジリエンス態勢が、予算、リスク選好、モダナイゼーションの優先順位、ベンダー監視、取締役会の圧力、規制当局との関係、危機準備の産物であるため関連します。

Bean Review が推奨する改革パッケージは、問題が一人の人物によるものではなかったことを補強します。同レビューは18の勧告を行い、緊急通報義務、カストディアン監視、半年ごとのエンドツーエンドテスト、端末動作、リアルタイムの障害データ共有、障害後報告、中断プロトコル、緊急通報担当者（ECP）契約、政府調整、顧客コミュニケーション、苦情、補償、一時的ローミング、相互支援、ネットワーク管理ツールへのリモートアクセス、政府冗長性、トリプルゼロ法制および規制のレビューにわたります。

オーストラリア政府の対応は、体系的な改革の必要性を受け入れました。政府のBean Review への回答は、勧告を支持または原則支持し、通信エコシステム全体にわたる変更にコミットしました。この姿勢は、障害が単に一民間企業の問題であるかのように見せかけることを避けるため重要です。Optus は自社ネットワークに対して直接的な運用責任を負っていましたが、政府もまた、監視、調整、緊急通報ガバナンスのギャップに直面しなければなりませんでした。

トリプルゼロカストディアンは所有権のギャップに対するガバナンス上の答えである

Bean Review の最も重要な所見の一つは、トリプルゼロがエコシステムとして機能しているということです。発信者の緊急アクセスは、発信元通信事業者、端末動作、ネットワーク状態、緊急通報担当者（ECP）、緊急サービス組織、規制当局、契約、業界委員会、州および準州の応答者に依存しています。障害前は、そのエコシステムに対するエンドツーエンドのカストディアン責任を負う単一の主体は存在しませんでした。

レビューは、Telstra が契約上および規制上の取り決めの下で000と112の緊急通報担当者（ECP）であり、トリプルゼロ通話の応答と転送を行っていると述べています。また、ECP 契約は、Telstra に対してトリプルゼロサービスのエンドツーエンドの提供を監督することや、エコシステム全体のカストディアンとして行動することを要求していないとも述べています。ACMA はコンプライアンスを規制しますが、規制は運用上のカストディアンシップと同じではありません。既存の委員会は調整をサポートしますが、レビューはそれらがカストディアンとして機能するのにうまく適応していないと判断しました。

Telstra の公的な緊急サービス情報は、ECP の役割に関する有用な文脈を提供します。なぜなら、それは Telstra をすべての発信元通信事業者のネットワーク状態の所有者にすることなく、公衆向けの緊急通報経路を説明しているからです。アカウンタビリティの区別は重要です。緊急通報担当者（ECP）は自身が受信した通話の応答と転送ができる一方、Optus は依然としてネットワーク障害時に自社の顧客がその経路に到達できるよう確実にする必要がありました。

このギャップは Optus 障害で可視化されました。通信事業者のネットワークが故障し、一部の無線層が他と異なる動作をし、端末がキャンプオンするかもしれないししないかもしれず、他のプロバイダーがリアルタイムのステータスを必要とし、緊急サービスが何が起きているかを理解する必要があり、政府が共有された全体像を必要とする場合、誰がシステムのエンドツーエンドの健全性を所有するのか？レビューの答えは、エコシステムの効率的な機能に対する監視と全体的な責任を有するトリプルゼロカストディアンを設立し、エンドツーエンドのパフォーマンスの監視を含めることでした。

現在の同省のトリプルゼロカストディアン資料は、この改革が勧告を超えて進んだことを示しています。カストディアン機能は、トリプルゼロエコシステム全体にわたる監視、調整、モニタリング、情報共有を改善することを目的としています。これは、ある一つの事業者のネットワーク設計に対して一つの機関に責任を負わせることと同じではありません。それは、個々の法令上のサイロだけではなく、チェーン全体を見渡す誰かがシステムに存在することを確実にする方法です。

アカウンタビリティ分析にとって、カストディアン改革は将来の基準を変えます。通信事業者は依然として自身のアーキテクチャと緊急通報義務によって判断されます。しかし、より広範なシステムは、エンドツーエンドの劣化を検出し、リアルタイムの情報共有を強制し、公的メッセージを調整し、失敗した通話が悲劇になる前にヒヤリハットから学ぶことができるかどうかによっても判断されるべきです。

義務的テストは想定されたフォールバックと実証されたフォールバックの違いである

レビューは、ネットワーク内およびネットワーク間でのトリプルゼロエコシステムのすべての側面の半年ごとのエンドツーエンドテストを推奨しました。テストには、さまざまなタイプの障害中のネットワーク機能と能力、さまざまな状況におけるすべての既知の端末の動作、発信元通信事業者から ECP、緊急サービス応答ポイントに至るまでの障害中の相互運用性を含めるべきであると述べました。特定された欠陥は、改善計画とタイムラインとともに ACMA に報告されるべきです。

この勧告は、Optus によって露呈されたまさに弱点を標的にしています。緊急キャンプオン機能は、多くの通常のカバレッジ喪失シナリオでは動作する可能性があります。問題は、通信事業者の4G および5G サイトはウィルトするが3G サイトは放射を続け、コアが到達不能で、O&M パスがダウンし、端末がモデルとファームウェアによって異なり、顧客がカバレッジ境界を移動している場合に機能するかどうかです。

テストは、安心させる前提を打ち破るのに十分なほど敵対的でなければなりません。部分障害、誤解を招く信号、古い無線状態、故障した管理プレーン、再販業者の顧客、古い端末、BYOD（個人所有端末の業務利用）の集団、地方のカバレッジエッジ、エンタープライズ音声サービス、固定回線サービスを含めるべきです。「通話は接続されるか」だけでなく、「事業者はどのユーザーが失敗したかを知っているか、失敗した通話記録を照合できるか、安否確認を開始できるか、公的ガイダンスを発行できるか」を問うべきです。

ACMA は既に緊急通報要件を更新し、さらなる変更を示唆しています。同庁の発表は、2019年電気通信（緊急通報サービス）決定が更新され、障害時の顧客コミュニケーションに関する新しい業界標準と苦情処理の変更を策定中であると述べています。2024年電気通信（障害時の顧客コミュニケーションに関する業界標準）は、義務的なコミュニケーション行動へのその障害後の動きの一部です。

自主ガイダンスと義務的テストの違いは証拠です。次の障害後、通信事業者は、最後のクロスネットワーク緊急通報テスト、テストされた端末クラス、シミュレートされた故障モード、発見された欠陥、改善タイムライン、規制当局への報告書、ガバナンス所有者を示すことができるべきです。その記録なしには、「フォールバックは機能すると信じていた」はレジリエンスの主張にはなりません。

苦情と補償は、大規模障害に対して個別化されすぎていた

Bean Review は苦情と補償も検討しました。問題は、単に Optus が顧客に何かを提供したかどうかではありませんでした。Optus は、対象となるモバイルおよびプリペイド顧客に追加データを、ホームインターネット顧客に12月の1ヶ月間の高速ホームインターネット速度を発表しました。レビューは、このオファーに対する不満が報告されていると指摘し、既存の苦情・補償メカニズムが危機規模の障害に十分であるかどうかに焦点を当てました。

電気通信業界オンブズマン（TIO）は、個別の苦情において中心的な役割を果たします。レビューは、電気通信業界オンブズマンを、電話やインターネットプロバイダーに関する苦情を持つ消費者、小規模事業者、非営利団体、占有者、不動産所有者のための無料で独立した紛争解決サービスと説明しています。TIO は、ネットワーク障害による事業利益の損失、代替サービスの費用、一部の状況における非金銭的不便を含む、特定の補償請求を支援することができます。

しかし、大規模障害は個別化された苦情処理にストレスを与えます。レビューは、苦情処理基準と記録保持規則を改正し、ネットワーク障害の影響と危機事象時のコミュニティの期待を考慮するよう推奨しました。また、危機または大規模障害の影響を受ける消費者が利用できる解決策への業界全体の標準化されたアプローチ（可能な補償形式や罰則を含む）を推奨しました。

これは中小企業にとって特に関連があります。個人事業主や小売業者は、半日の決済不能、不在着信、予約失敗、スタッフのダウンタイムを被ったかもしれません。損失は現実的ですが、正式な紛争エスカレーションを正当化するレベルで証明するのは難しい場合があります。標準化された障害補償フレームワークは、すべての損失を捕捉することはできませんが、何千人もの人々に一つ一つ小さな請求を証明させる行政的負担を軽減することができます。

ACCCおよび消費者保護アーキテクチャは、通信障害がサービス品質と市場行動の両方の疑問を生じさせる可能性があるため、背景として関連します。Bean Review の指定苦情メカニズムに関する議論は、消費者または小規模事業者に影響を与える重大または体系的な問題の集団的な取り扱いを指し示しています。これは、すべての障害が自動的に多額の支払いを生むべきという意味ではありません。それは、システムが個別証明の実際のコストを認識する大量事象経路を必要とすることを意味します。

より大きな継続性の教訓は、補償はレジリエンスの代替ではないということです。追加データは失敗した緊急通報を回復しません。請求書のクレジットは、決済端末がダウンした瞬間に事業を再開させません。しかし、補償と苦情の設計は、それらがサービス障害後に被害が認識され、比例的に解決されるかどうかを決定するため、アカウンタビリティの一部です。

公共部門の継続性は被害者であると同時に対応者でもあった

本記事のマニフェストカテゴリには、公共部門の継続性が含まれています。なぜなら、Optus 障害は政府および緊急サービス機能に直接影響を与えたからです。Bean Review は、病院が妨害され、交通ネットワークが混乱し、政府サービスが影響を受けたと述べています。また、オーストラリアの電気通信ネットワークは、不可欠な政府、公衆衛生、安全インフラを支えているとも述べています。

この文脈は修辞的ではありません。サイバー・インフラストラクチャ・セキュリティセンターの電気通信セクター情報は、電気通信をオーストラリアの重要インフラフレームワーク内に位置づけており、それが通信事業者の障害が迅速に行政問題となり得る理由です。オーストラリア政府の危機管理フレームワークおよび国家緊急事態管理庁は、障害情報、エスカレーション、政府全体の対応により明確な経路が必要であるというレビューの批判に対する、より広範な調整の背景を提供します。

公共部門には二重の役割がありました。それはネットワークの利用者であり、対応の調整者でした。政府機関は接続性と状況認識を必要としました。国家調整メカニズムは11月8日の午後に会合し、オーストラリア政府機関、州および準州の首相府、緊急対応機関の代表が参加しました。レビューは、これらの会議は一旦招集されれば効果的に運営されたが、既存のプロトコルとフレームワークは一日を通じて明確で調整された対応を提供しなかったと判断しました。

レビューは、主要サービス中断通知プロトコルを改善し、通信事業者、関連大臣、連邦、州・準州機関、TIO、ACCC、ACMA、緊急サービス組織、その他関係者を対象とする、通信障害時の政府コミュニケーションと協力のための明確な要件を、中央調整ポイントを通じて設けることを推奨しました。また、オーストラリア政府は、重要サービスのための通信冗長性を含め、障害時に自らの運用を維持するための取り決めを見直すべきであるとも推奨しました。

その最後の点は不可欠です。政府機関自体が冗長な通信手段を持たなければ、政府は全国的な障害を効果的に規制することはできません。公立病院、緊急機関、交通管制室、福祉サービス、裁判所、学校、地方自治体は、危機運用において単一の通信事業者接続で十分であると想定すべきではありません。通信事業者は自社のネットワークに対して責任を負います。公的機関は、自らのそれに対する依存度を認識することに対して責任を負います。

これは、すべての小規模オフィスに通信バンカーを建設せよという呼びかけではありません。重要度に応じた段階的な冗長性の呼びかけです。緊急スタッフのための複数通信事業者のモバイルサービス、管制センターのバックアップインターネット経路、適切な場合のアナログまたは無線フォールバック、印刷された連絡先リスト、単一のプロバイダーに依存しない危機メッセージングチャネル、決済、配車、患者コミュニケーションのためのテスト済みの回避策などです。

したがって、Optus 障害は国にとっての継続性監査でした。それは、Optus がどこで失敗したかだけでなく、病院、企業、機関、家庭が実用的なフォールバック計画を欠いていた場所も示しました。

アカウンタビリティマップ：Optus が制御していたものとそうでなかったもの

公正なアカウンタビリティマップは、引き金、制御可能なアーキテクチャ、運用上の対応、規制の枠組み、下流の準備を区別します。

Optus は、Singtel の国際ネットワークにおけるすべての上流の行動を直接制御していたわけではありません。すべてのルーターを製造していたわけでもありません。すべての端末の緊急通報動作を設計していたわけでもありません。すべての再販業者の顧客コミュニケーションを管理していたわけでもありません。緊急通報担当者（ECP）や緊急サービス組織を運営していたわけでもありません。トリプルゼロエコシステム監視を巡る既存の法令上の断片化を作り出したわけでもありません。

しかし、Optus は、自社ネットワークのアーキテクチャ、ルーターの構成、サードパーティのデフォルト安全上限を維持するか変更するかの決定、ルーティング伝搬設計、O&M およびアウトオブバンド管理のコアネットワークへの依存、3G ウィルトを強制する能力、コア障害時の緊急通報動作のテスト、下流 CSP への直接通知、公的コミュニケーション、ビジネス顧客コミュニケーション、失敗通話記録、安否確認の実行、および障害後の改善証拠を、管理していたか、実質的に影響を与えていました。

規制当局の認定は、その配分を支持しています。ACMA は、コアルーターの自己隔離、アーキテクチャ、構成が Optus の制御下にあった範囲で、障害は防止可能であったと認定しました。同庁は、Optus が管理するネットワークおよび施設の適切かつ効果的な機能を維持できなかったと認定しました。緊急通報アクセスの失敗、通話の終端地点への搬送失敗、特定の CSP への直接通知の失敗、所要の安否確認の実施失敗を認定しました。

政府は別の層を管理していました。エコシステムにカストディアンがいるかどうか、義務的なコミュニケーションとテストのルールが存在するかどうか、中断プロトコルが明確かどうか、機関に冗長性があるかどうか、法律がモバイル依存に追いついているかどうか、規制当局の権限が十分かどうかです。政府による改革勧告の受け入れは、古いシステムが十分な共有保証を生み出していなかったことを暗に認めるものです。

顧客と中小企業は最も少ない制御しか持っていませんでした。一部はバックアップ SIM を購入し、現金処理手順を維持し、代替インターネットを維持し、重要業務に複数の通信事業者を利用することができました。しかし、個々の顧客は国内通信事業者の3G ウィルト動作をテストすることはできません。中小企業は Optus のアウトオブバンドネットワークを検査することはできません。緊急通報者は危機の最中にアーキテクチャを選択することはできません。この非対称性こそ、通信事業者のアカウンタビリティが通常の消費者自己責任よりも強くなければならない理由です。

信頼が回復される前に再テストされるべきこと

Optus 後の実際のテストは、同社が変更を行ったと言えるかどうかではありません。それらの変更がストレス下で実証できるかどうかです。

第一に、ルーティング変更の保証を再テストすべきです。Optus および他の通信事業者は、計画された上流のルート変更がどのようにモデル化されるか、IPv6 ルートテーブルの増加がどのように制限されるか、ルーターの安全上限がどのようにレビューされるか、デフォルトのベンダー設定がどのように挑戦されるか、ラボ環境が故障モードをどのように再現するか、重要なネットワーク層がリスクにさらされている場合に変更凍結またはロールバックルールがどのように適用されるかを示すことができるべきです。

第二に、緊急通報フォールバックは、ネットワークシャットダウン後でも残る3G の教訓を含め、無線世代を超えて再テストされるべきです。3G ネットワークが退役中であるため、この教訓は時代遅れと扱われるべきではありません。将来の障害は、4G、5G スタンドアロンコア、VoLTE、VoWiFi、エンタープライズ音声、固定無線、衛星補助、または端末固有の動作を含む可能性があります。原則は、どのアクセス層も、他のネットワークが搬送できる場合に、進行できない通話を試みるよう端末を誤誘導すべきではないということです。

第三に、O&M およびアウトオブバンドアクセスは、サバイバルシステムとして再テストされるべきです。管理パスには、独立性、容量、認証、運用訓練が必要です。問いは、エンジニアが通常の日にシステムに到達できるかどうかではありません。コアネットワークが部分的にダウンし、テレメトリが不完全で、公共安全がネットワークをより安全な縮退状態に置くことに依存しているときに、適切なコンポーネントを見て制御できるかどうかです。

第四に、ステークホルダーコミュニケーションは、実際のテンプレートと連絡先リストでテストされるべきです。全国的な障害は、直接の再販業者通知、緊急サービスステータス、政府調整、顧客メッセージ、メディア更新、ウェブサイトおよびステータスページの公開、小売スクリプト、ビジネス顧客への助言、脆弱な顧客向けガイダンスを引き起こすべきです。ACMA 顧客コミュニケーション基準は、フロアとして扱われるべきであり、完全なプレイブックとしてではありません。

第五に、安否確認オペレーションを訓練すべきです。失敗した緊急通報記録は、捕捉され、重複排除され、例外の下で分類され、必要に応じて照会され、監査されなければなりません。事業者は、何件の通話が失敗したか、何件が後に成功したか、何件が安否確認を必要としたか、確認がどの程度迅速に開始されたか、例外がどのように検証されたかを示すことができるべきです。

最後に、改革エコシステムは、信頼を支えるのに十分な詳細さで公に報告されるべきです。公衆は機密のネットワーク図を必要としません。前回の障害がテストされた変更、強制力のあるルール、指名されたカストディアンシップ、そして次の失敗に対する明確なアカウンタビリティを生み出したという証拠を必要とします。

より広範な教訓は、フォールバックは約束ではなく製品である

2023年11月8日の Optus 障害は、しばしば電話とインターネットのない一日として記憶されます。それは正確ですが不完全です。その真の重要性は、想定されたフォールバックと実証されたフォールバックの間の脆弱な境界を露呈したことです。

トリプルゼロアクセスは、ルーターがルート変更を吸収し、コアネットワーク接続、基地局ウィルト、端末キャンプオン動作、O&M 可視性、緊急通報搬送、ECP 可用性、再販業者通知、安否確認手順、公的ガイダンスなど、多くの要素が共に機能することに依存していました。いくつかの部分は機能しました。他は機能しませんでした。その結果、数千件の緊急通報が確立され維持されませんでした。

障害後の公的記録は、制御について異例なほど明示的です。ACMA は、上流の変更、ベンダーデフォルト、外部専門家の沈黙が、Optus 自身のネットワークアーキテクチャと構成に対するアカウンタビリティを取り除くとは認めませんでした。Bean Review は同じ方法で責任を割り当てようとはしませんでしたが、修正されるべきシステムギャップを特定しました。それは、エンドツーエンドのカストディアンの不在、不十分な義務的テスト、弱いコミュニケーションルール、不明確な調整、広範な通信障害への不十分な準備です。

これが成熟したアカウンタビリティフレームです。通信事業者は、自社ネットワークのレジリエンスと緊急通報動作に対して責任を負います。規制当局は、強制力のある最低基準とコンプライアンス措置に対して責任を負います。政府は、システム調整と公共部門の冗長性に対して責任を負います。企業は、現実的な依存関係計画に対して責任を負います。顧客は、トリプルゼロをダイヤルする前に通信アーキテクチャを理解することを期待されるべきではありません。

この障害はまた、公的信頼が謝罪だけでは回復できない理由を示しています。信頼は証拠によって回復されます。テストされたルーティング制御、強化された管理パス、実証された緊急通報フォールバック、明確な顧客コミュニケーション、直接のステークホルダー通知、完了した安否確認、標準化された救済策、規制当局の執行、そしてコミュニティが何が変わったかを確認できる公的報告です。

その意味で、Optus 障害は単なる接続性の失敗ではありませんでした。それは説明責任のある保証の失敗でした。自らを国家インフラとして売り込む通信事業者は、その主要ネットワークがダウンしたとき、緊急経路、管理経路、公共情報経路がそれと共にダウンしないことを証明できなければなりません。