ロジャーズはキャリア制御プレーンの脆弱性を公共サービスの説明責任問題にした

サマリー

• ロジャーズの2022年7月8日の停止は、ルーティングポリシーフィルタを削除するメンテナンス変更によって引き起こされ、完全な BGP ルーティングテーブルが OSPF に流入し、コアルーターを過負荷にして無線および有線サービスを混乱させました。ラウンド13の説明責任の問題は、単に削除されたフィルタではなく、多くの重要機能が同一のキャリア制御プレーンを共有した際に生じた公共サービスの脆弱性です。
• 緊急通話、無線公共警報、Interac Debit および e-Transfer、自治体業務、中小企業の売上、卸売顧客、公共機関、および一般加入者は、1つの内部ルーティング障害から影響を受けました。その広範さは、通信事業者のレジリエンスが、事業者の小売復旧時間だけでなく、維持される公共機能によって測定されなければならない理由を示しています。
• ロジャーズは、ルーティング変更の検証、コア分割、過負荷制限、アウトオブバンド管理、インシデントコミュニケーション、緊急サービス調整を管理していました。公共機関、決済事業者、銀行、交通機関、中小企業は、自らの依存関係マップとフォールバックを管理していました。説明責任は、ある一日の障害の可視性ではなく、これらの実際の管理ポジションに従います。
• 是正措置の記録には、ルーティング保護策、独立した管理ネットワーク、代替事業者接続、より多くのサードパーティ SIM、無線/有線コア分離プログラム、Interac の事業者多様性、業界の緊急ローミングと相互支援の取り決め、新しい CRTC 停止報告規則が含まれます。残るテストは、これらの措置が2022年の障害に一致する条件下で実施されるかどうかです。

この障害は公共サービスに広範な影響を及ぼす制御プレーンイベントでした

2022年7月8日東部時間午前4時43分、ロジャーズのスタッフが IP コアのアップグレード中にポリシーフィルタを削除しました。CRTC が公開した Xona Partners の独立評価によると、その変更により完全な BGP ルーティングテーブルが OSPF に再配信され、コアルーターが過負荷となり、数分以内に全国の無線および有線サービスが停止しました。CRTC の公開版のXona Partners 評価は、ルーティングトリガーを変更リスク、ラボテスト、管理アクセス、緊急サービスへの影響、是正措置に結び付けているため、最も強力な技術的統合です。

このインシデントは、しばしば通信障害と表現されますが、それは事実ですが、範囲が小さすぎます。小売モバイルユーザーはサービスを失い、加盟店はデビットカード決済を失い、都市はスタッフの通信や一部の遠隔交通制御リンクを失いました。一部の緊急通報者は9-1-1に接続できませんでした。Interac の全国決済サービスが利用不能になりました。したがって、同じ事業者のイベントが、私的なサービス品質から公共セクターの継続性と国家経済への依存へと越境しました。キャリア制御プレーンの脆弱性は、その制御プレーンがロジャーズだけにサービスを提供していたわけではないため、公共サービスの説明責任問題となりました。

外部からの測定は、内部原因に代わるものではなく、公共規模を裏付けています。Cloudflare のロジャーズ停止の見解は、ロジャーズの AS812 からのほぼ完全なトラフィック損失と大規模なルート撤回を示しました。ThousandEyes の停止分析は、到達可能性の障害とルート変更を観測しました。インターネットソサエティのその後の技術レビューは、公に見える BGP 現象を内部の最初の原因と混同すべきでない理由を説明しました。インターネットはロジャーズが消えるのを目撃しました。規制上の証拠は、その消失を可能にした内部再配信の障害を示しました。

この違いは説明責任にとって重要です。もし説明が BGP が失敗したとだけ言うなら、責任はプロトコルに逸れます。もしルーティングポリシーフィルタが十分な封じ込め、テスト、過負荷保護なしに削除されたと言うなら、責任は組織的管理に戻ります。BGP と OSPF はツールでした。説明責任のある決定は、1つの変更に付与された権限、その変更に適用された検証、効果的な経路量制限の欠如、無線と有線の運命共有、および障害が発生した本番ネットワークへの復旧ツールの依存でした。

トリガー、根本的な説明責任の問題、寄与条件

トリガーはポリシーフィルタの削除でした。根本的な説明責任の問題は、1つの事業者の変更が多くの公共および商用機能を同時に奪うことを許した共通制御プレーンでした。寄与条件には、多段階アップグレードのリスク格下げ、不十分な本番環境を模したラボテスト、欠如または効果のない過負荷保護、影響を受けた IP コアに依存する管理アクセス、重要施設での代替事業者接続の不足、そして一般市民や緊急関係者に迅速で実用的なガイダンスを提供しなかったコミュニケーションプロセスが含まれます。

Xona レポートは、アップグレード全体が高リスクで始まったが、初期段階の成功がリスクアルゴリズムに影響し、後の段階が低リスクに格下げされたことを示しています。これは技術的な信号であるだけでなく、ガバナンスの信号でもあります。リスクモデルが以前の成功から誤った教訓を学んだのです。初期段階の成功は、プロジェクトチームが計画を実行できることを証明しても、異なるルーティング境界に触れる後の段階の爆風半径が小さいことを証明するものではありません。制御判断は、プロジェクトの勢いではなく、最大の結果によって導かれるべきでした。

ルーティングガイダンスでは、フィルタ、制限、監視の必要性が長年認識されてきました。IETF のRFC 7454 BGP 運用とセキュリティは、ロジャーズ固有のルールではなく、停止を決定したわけでもありませんが、プレフィックスフィルタリング、最大プレフィックス制御、規律あるルーティング運用が確立された運用上の関心事であることを示しています。ロジャーズのインシデントは OSPF への内部再配信を含んでいましたが、同じ制御の考え方が当てはまります。経路情報が境界を越える際には、経路量とポリシーの誤りがシステム全体に及ぶ可能性があるため、制限され監視されなければなりません。

ロジャーズの初期の公開メッセージはより一般的なものでした。同社 CEO の7月8日のメッセージは、無線・有線への影響を認め、クレジットを約束し、責任を受け入れました。7月9日の更新では、イベントをメンテナンス更新がルーターの誤動作を引き起こしたと原因を述べました。これらの声明は重要な初回の認容でしたが、後のフィルタ、経路フラッド、管理ネットワーク、緊急通話の詳細を提供するものではありませんでした。初期の安心感と後の技術的証拠との間のギャップは、通知の説明責任の一部です。

規制上の質問がそのギャップを埋めました。CRTC の7月12日の情報要求は、原因、緊急サービス、公共コミュニケーション、予防に関する詳細を求めました。8月5日のフォローアップでは、削除されたフィルタ、テスト、9-1-1通知の遅延、および一部の緊急通話が成功した一方で他が失敗した理由について追及しました。これらの書簡は、一般市民がまだ知らなかったこと、そして規制当局が事業者の謝罪を説明責任の記録に変えるために必要としたことを示しています。

変更検証は公共への影響の境界で失敗した

7月8日の変更の最も危険な特徴は、人がミスを犯したことではありません。最も危険な特徴は、認可された変更が保護境界を削除し、完全なルーティング状態をそれが吸収できないドメインに押し込めることです。高い影響度を持つネットワークは、妥当に認可されたオペレーター、スクリプト、またはメンテナンス計画が依然として誤っている可能性があると想定しなければなりません。その場合、制御システムは、誤った変更の拡散を防ぐものは何か、国家的になる前にその影響を可視化するものは何かと問わなければなりません。

公開評価では、欠落していた保護策が特定されています。この障害モードに対して、コアルーターの効果的な過負荷制限がありませんでした。配信ルーターには、過剰な再配信を停止したであろう経路制限がありませんでした。変更監査は誤ったポリシー削除を検出しませんでした。自動ロールバックはイベントを封じ込めませんでした。ラボテストは危険な本番状態を再現しませんでした。ウィンドウ内での複数の変更が診断を複雑にしました。これらの事実を合わせると、設定1行よりも深い制御プレーンの問題が示されます。

優れたルーティング変更検証には複数の層があります。意図されたポリシーと実際のポリシーを比較し、経路数と境界越えをシミュレートし、デバイスで経路を制限し、ネットワークの限定された部分に展開を段階的に行い、経路の変動とデバイスリソースの使用をリアルタイムで監視し、ウィンドウ開始前に中止基準を定義し、通常のコアが機能不全のときにロールバック経路を到達可能に保ち、その変更が無線と有線の両方のサービス、緊急経路、卸売リンク、公共機関、決済ネットワークに影響を与えうるかどうかをレビューします。ロジャーズの是正措置は、障害がこれらの層を越えたため、それらに対処しなければなりませんでした。

結果ベースのレンズが重要です。運用上は日常的だが公共にとっては重大な変更もあります。ルーティングドメイン間のフィルタを削除する「クリーンアップ」変更は、作業項目が短いからといって低リスクではありません。その誤った結果が国の接続性を奪う可能性があるなら、高リスクです。取締役会と規制当局にとっての説明責任の問いは、メンテナンスウィンドウ前にその最大の影響を特定できるかどうかであり、外部の停止グラフが証明した後ではありません。

CRTC の後のロジャーズの措置に対する評価では、Xona が措置は原因に対処しレジリエンスを向上させる上で満足のいくものであると判断した一方で、効果とコア分離に関する継続的な報告を要求したと報告されました。これは意味のある保証点です。それでも公共の証拠の課題は残ります。完了したプロセス変更は、演習中に危険な経路再配信の試みが拒否されたことを証明するものと同じではありません。一般市民はすべての専有的詳細を必要としませんが、まさにそのクラスの障害がテストされたという確信は必要です。

共通コアが別々のサービスを一つの運命にした

Xona 評価は、統合された無線と有線のコアを本質的に欠陥があるとは言いませんでした。大手通信事業者は、効率性、パフォーマンス、管理性のために、共通の IP コア上でトラフィックを統合することがよくあります。説明責任の問題は、統合にどのような管理が伴うかです。1つの論理コアが多数のサービスを運ぶ場合、1つのルーティング障害は、パーティショニング、制限、復旧パスがストレス下で分離を維持しない限り、多くの結果をもたらす可能性があります。

物理的な冗長性は7月8日の問題を解決しませんでした。なぜなら障害は論理的だったからです。複数のルーターと地域は、依然として同じ有害な状態を実行できます。1つのポリシーがすべての関連デバイスに過負荷をかける可能性がある場合、冗長なハードウェアは独立していません。同じルート状態がすべてのプラットフォームに到達する場合、ベンダーの多様性は十分ではありません。制御決定が全国的である場合、地理的分散は十分ではありません。このイベントは運命共有の教訓でした。コンポーネントは物理的に分離されていても、運用上は拘束されうるのです。

ロジャーズは、無線と有線の IP コアを物理的に分離するプログラムを発表しました。同社 CEO は、下院産業委員会への冒頭陳述でその計画とより広範な投資について議論しました。分離は、1つのコア状態が両方のアクセスカテゴリを同時に無効にする可能性を減らすことができるため、賢明な対応です。しかし、分離はそれを取り巻く運用次第です。2つのコアは、同期されたメンテナンス、共有オーケストレーション、共有アイデンティティ、共通トランスポート、共通ルートポリシー、または1つの管理ネットワークを通じて、再び運命を共有する可能性があります。

だからこそ、耐久性のある分離の証拠には訓練と依存関係マップが必要です。無線と有線のメンテナンスを独立して停止できるか？ルートポリシーは別々にステージングされるか？変更管理ツールは両方を同時に権限を持つか？一方のコアが故障した場合、管理ネットワークはもう一方に到達できるか？緊急通話、公共警報、卸売アクセス、決済パスは異なる運命境界を持つか？プロジェクト予算ではこれらの問いに答えられません。テスト証拠とアーキテクチャ証拠だけが答えられます。

公開記録は、この教訓がロジャーズを超えて広がっていることを示しています。カナダの電気通信信頼性アジェンダは、産業界・政府間の電気通信信頼性に関する覚書につながり、ISED の2022年9月の声明は、緊急ローミング、相互支援、コミュニケーションをセクターの義務として位置づけました。これらの取り決めは、運命共有がロジャーズのコア内部だけでなく、事業者や公共システム全体で削減されなければならないために重要です。

復旧ツールは障害の爆風半径内にあった

停止が長引いたのは、ロジャーズの復旧ビューが修復中のネットワークに依存していたためです。Xona は、管理アクセスが IP コアに依存し、主要なログが最初はアクセス不能で、重要拠点に十分な代替事業者接続がなく、対応者が十分なサードパーティ SIM を持っていなかったことを発見しました。エンジニアは人員を現地に派遣し、機能不全の通信で作業しなければなりませんでした。根本原因は約14時間特定されませんでした。

これは対応の無能さを証明するものではありません。全国的なコア障害は複雑で、いくつかの変更が行われており、復旧はさらなる過負荷を避ける必要がありました。これは、アウトオブバンドの復旧が十分に独立していなかったことを証明しています。復旧経路は、別のアドレス範囲や異なる内部名を持っているだけでアウトオブバンドとは言えません。それは本番コア、修復中の事業者、主要オペレーションサイト、通常の企業アクセス、通常のサポートチャネルから独立していなければなりません。また、安全でなければなりません。安全でない緊急経路は、次のインシデントになりえます。

ロジャーズの報告された措置は、この弱点を標的にしています。物理的・論理的に独立した管理ネットワーク、代替事業者接続、危機チーム用のより多くのサードパーティ SIM、強化されたアラーム、改善されたロールバックです。これらは適切なカテゴリです。それらの価値は、本番ルーティングが停止し、最近の変更記録が誤解を招き、スタッフがロジャーズのモバイルサービスに依存できず、政府関係者がエンジニアが根本原因を突き止める前にアップデートを必要とする場合に機能するかどうかにかかっています。真剣な演習では、コアを除去し、通常の管理アクセスを拒否し、現場調整を要求し、信頼できるログと公共ガイダンスまでの時間を測定すべきです。

この点は公共機関や企業にも及びます。すべて同じ事業者のバックアップモバイルデバイスを持つ都市は、事業者独立のインシデントチャネルを持っていません。固定リンクと同じプロバイダーのモバイルデータにフェイルオーバーできる決済端末は、経路の多様性を持たない可能性があります。障害が発生した接続を通じてのみ到達可能なクラウドアプリケーションにのみ連絡先を保存している企業は、通信できないかもしれません。事業者はネットワーク障害を所有していますが、顧客は自らの復旧ツールがその外部にあるという前提を所有しています。

トロント市の運用影響レビューは、これを具体的にします。市職員のモバイル業務用デバイスの半数以上がロジャーズに依存していました。長期介護施設、予防接種クリニック、シェルター、公共 Wi-Fi、支払い、スタッフ調整、遠隔交通制御リンクが異なる形で影響を受けました。市はバックアップデバイスと手動プロセスで適応しましたが、これは強みです。このレビューはまた、公共機関が全国的な停止が明らかにする前に、部門全体の事業者依存関係をマッピングしなければならない理由を示しています。

緊急通話は最も影響の大きい依存関係である

最も深刻な公共サービスへの影響は9-1-1に関わるものでした。Xona 評価では、多くのロジャーズ顧客が緊急サービスに到達できなかったことがわかりました。一部の通話は古いネットワークパスや他の事業者を通じて成功しましたが、公開版では正確な成功率は墨塗りされています。責任ある説明では数字を捏造すべきではありません。確認された問題を述べるだけで十分です。すなわち、停止は影響を受けた顧客の大部分の緊急アクセスを損ない、ロジャーズはトリガーからほぼ4時間後まで9-1-1ネットワークプロバイダーに通知しなかったということです。

緊急時継続性には、健全なネットワーク上で緊急トラフィックを優先する以上のことが必要です。コアが通話を運べなければ、優先順位は役に立ちません。ハンドセットが依然としてホームネットワークを存在していると認識すれば、ローミングしないかもしれません。緊急通報受理機関が早期の通知を受けなければ、準備できません。一般市民が実用的な代替ガイダンスを受けなければ、ストレス下にある人々は何をすべきか知らないかもしれません。制御目標は緊急要求のエンドツーエンドの完了であり、1つのサブシステムが機能しているという内部保証ではありません。

下院産業委員会のロジャーズ大規模停止に関する書簡は、緊急サービス転送メカニズム、冗長性、顧客通知の改善を求めました。信頼性に関する覚書はその後、技術的実現可能性を条件に、緊急ローミングと相互支援に対処しました。この条件付き表現は重要です。2022年7月の状況は、まさに通常の緊急ローミングを困難にしうるシナリオです。ネットワークが部分的に存在しているように見えても、通話完了に必要なコアが利用できない場合です。

緊急サービスの説明責任は共有されていますが、不平等です。ロジャーズは、自社のコア、緊急通話経路、9-1-1関係者への通知、公共メッセージングに対して実際的な管理権を持っていました。他の事業者は、可能な場合に緊急トラフィックを受信するための容量と技術的取り決めを管理していました。政府は、政策、規制監督、公共警報チャネルを管理していました。デバイスの動作と標準がフォールバックを形成しました。一般市民は、どのような障害状態でテストされたかを知らされずに、フォールバックが存在すると告げられるべきではありません。

CRTC のテレコム協議通知2023-39とその後のテレコム決定2025-225は、規制対応が、大規模停止の必須通知、更新、復旧通知、停止後報告に向かって進んでいることを示しています。報告ルールは経路フラッドを防ぎませんが、公共安全と政府のアクターが、事業者が自ら診断する間、不確実性の中で待つ可能性を減らします。

決済と中小企業は隠れた集中を示した

Interac Debit と Interac e-Transfer は、ロジャーズ停止中に利用不能になりました。これにより、自らをロジャーズ依存とは考えていなかったかもしれない人々や加盟店にまでイベントが拡大しました。Interac 自身の状況と是正措置の最新情報は、同社が冗長ネットワークと回線多様性を持っていたと述べましたが、7月8日の停止は、それらの取り決めが依然としてロジャーズのコアメンテナンスに対して脆弱すぎたことを示しました。後に Interac は、セカンダリキャリア、十分なバックアップ容量を持つ3番目のリンク、e-Transfer 参加者向けの安全なプライベートバックアップモードを追加しました。

この対応は、決済ネットワーク層で責任を受け入れているため重要です。ロジャーズがキャリア障害を引き起こしましたが、Interac は決済ネットワーク接続とフェイルオーバーの設計を管理していました。回線が多様であっても、それらが依然として1つの事業者のコアを共有している場合、決済システムは事業者の保証に依存できません。説明責任のある問いはエンドツーエンドです。1つの国内キャリアが消えたときに、加盟店の支払い承認、銀行参加者接続、不正検知、決済メッセージ、顧客向け送金が継続できるか？

中小企業にとって、停止はインターネット、モバイルサービス、音声、支払い受付、オンライン注文、配送アプリケーション、スタッフ調整、顧客連絡を一度に奪いました。CityNews がホストするロジャーズ停止中の中小企業損失に関するカナディアンプレスの報道は、企業が数百ドルから数千ドルを失った例を挙げていますが、全国的な損失監査ではありません。ロジャーズの2022年年次報告書は、約1億5千万ドルの顧客返金を報告しました。この数字は企業コストであり、経済的損害の総額ではありません。

中小企業の継続性は現実的でなければなりません。小規模店舗はハイパースケールの災害復旧アーキテクチャを購入できません。しかし、支払い端末がイーサネットと Wi-Fi を使用できるかどうか、異なるキャリアでテスト済みのホットスポットを保持しているかどうか、現金または後払い手順を維持しているかどうか、予定やサプライヤー連絡先へのオフラインアクセスを維持しているかどうか、どの配送・注文ツールが同じネットワークを共有しているかを理解することができます。これらのステップはキャリア障害を許すものではありません。1つのプロバイダー停止が完全な事業停止になる可能性を減らします。

公共政策はまた、小規模企業の証拠負担を減らすべきです。キャリアが最も完全な停止ログを管理しています。加盟店は失敗した売上と混乱した顧客だけを見ます。公正なプロセスは、影響を受けたサービス時間、場所、顧客適格情報を迅速に提供すべきです。サービスクレジットは有用ですが、失われた事業とはしばしばミスマッチです。説明責任の記録は、小売の返金、結果的損失請求、規制上の罰則、業界全体の経済的影響を分離し、1つの数字ですべてを代表させてはなりません。

公共ステータスのタイミングはレジリエンスの一部である

顧客と公共機関は、根本原因が不明である場合でも、早期の有用な状況情報を必要とします。最初の CRTC 書簡は、限られた公共情報と代替9-1-1ガイダンスの欠如を批判しました。その批判は広報の洗練度についてではありません。ステータスタイミングは運用的です。それは都市に緊急センターを起動すべきかどうか、加盟店に支払いモードを切り替えるべきかどうか、銀行に顧客に警告すべきかどうか、緊急通報受理機関に異常な通話パターンを予想すべきかどうかを伝えます。

説明責任のあるステータスプロセスは、観測された影響、疑われる原因、推奨される行動を分離します。「調査中です」は正直かもしれませんが、緊急通話、決済、公共サービスが影響を受けている場合は不完全です。早期の通知は、既知のサービスカテゴリ、地理的広がり、判明している場合の緊急通話への影響、利用可能な場合の代替方法、次の更新時刻、関係者がどのように直接通知を受け取れるかを示すべきです。完全な診断を待つのではなく、不確かな点をマークすべきです。

CRTC 公開手続記録は、情報要求、開示紛争、評価、進捗報告の長い軌跡を文書化しています。この公開記録が重要なのは、通信停止が私的なインシデントではないからです。事業者は公共サービスに影響を及ぼすインフラを運営しています。彼らのインシデント後の証拠は、規制当局、自治体、競合他社、緊急組織、企業、消費者が、停止が理解されたか、是正措置が検証可能かを確認できるように十分に公開されなければなりません。

新しい CRTC 報告ルールは通知をより公式にしますが、通知の質は依然としてインシデント分類に依存します。顧客数や期間のみに基づく閾値は、即時の緊急性、決済、公共セクターの重要性を持つ停止を捉えない可能性があります。事業者は、小売メトリクスが成熟したときだけでなく、重要な機能が影響を受けたときにエスカレーションすべきです。同じ原則が政府顧客にも適用されます。彼らは、公共のソーシャルメディア投稿だけに頼るのではなく、契約において直接の運用連絡先とステータス証拠を要求すべきです。

ステータスシステムも独立性が必要です。キャリアのウェブサイト、コールセンター、内部メッセージング、ステータスフィードがすべて影響を受けたネットワークに依存している場合、一般市民は停止中に地図を失います。ロジャーズの復旧の課題は、内部の対応者でさえ代替接続を必要としたことを示しました。公共コミュニケーションも同様の多様性が必要です。個別にホストされたページ、放送メディアとの関係、政府リレーチャネル、緊急および公共セクターパートナーへの直接の認証付き通知です。

卸売および機関顧客は、1つの事業者を多数のプロバイダーに変える

被害を受けた当事者が、障害を起こした事業者から直接サービスを購入していない場合、事業者の説明責任はより困難になります。卸売顧客、マネージドサービスプロバイダー、銀行、決済アクワイアラー、公共機関、交通事業者はすべて、すべてのエンドユーザーがその関係を理解していなくても、ロジャーズの容量の下流に位置する可能性があります。顧客はアプリケーション、端末、政府窓口、または再販業者を見ます。隠れた依存関係はその下のキャリアコアです。

その隠れた構造は、通知と是正措置を変えます。ロジャーズの直接の小売顧客は、請求書クレジットと公開声明を受け取るかもしれません。卸売顧客は、自らの顧客に通知するために技術的証拠を必要とするかもしれません。銀行や決済プロバイダーは、トランザクション障害がアプリケーション、参加者接続、不正検知、またはキャリア到達可能性のいずれに起因するかを知る必要があるかもしれません。都市は、どのデバイスとリースサービスが異なる部門の下でロジャーズを共有しているかを知る必要があるかもしれません。ロジャーズが迅速に特定できるのが広範な小売影響だけである場合、下流の機関はより長い不確実性の間隔を抱えます。

CRTC 記録は、その隠れた依存関係を一連のプライベートサポートチケットではなく、公開手続きに変えるために重要です。緊急サービス、公共警報、卸売影響、コミュニケーションに関する規制当局の質問は、官僚的な好奇心ではありませんでした。それらは、国家の依存関係マップが見え始めるメカニズムでした。Interac の是正措置声明も同様です。Interac は単にロジャーズの被害者だと言いませんでした。自社の事前の冗長性を説明し、このイベントが残る弱点を示したことを認め、キャリア多様性を追加しました。それが、上流のキャリア障害が自らの設計を露呈した場合に、下流のプロバイダーがどのように振る舞うべきかです。

銀行と大企業は同じ教訓を得るべきです。2つの製品チームからの2つの回線は、依然として同じキャリアコアに収束する可能性があります。支払い端末はイーサネットとセルラーバックアップを持っていても、両方のパスが1つのキャリアに依存する可能性があります。請求書が異なるサプライヤー名を使用していても、アクセス回線や国内バックボーンが共通のままである場合、クラウドまたはデータセンターリンクは別々に見えるかもしれません。依存関係レビューは、サービスを実際のアクセスネットワーク、コア、ピアリング、認証、管理パスまで追跡すべきです。誰が各パスを所有しているか、単一のキャリア制御プレーンイベントがそれらすべてを除去できるかどうかを問うべきです。

公共への影響は、すべての組織がロジャーズを放棄するか、無制限の多様性を購入すべきということではありません。多様性にはコストがかかり、一部の機能は停止を許容できます。結果は、生命の安全、法的期限、支払い、ケア、交通、公共情報機能が明示的な運命分離を必要とするということです。加盟店は、別のキャリアから低コストのバックアップ SIM を選択するかもしれません。銀行は設計されたプライベート接続を必要とするかもしれません。都市は緊急運用のために直接のキャリアマッピングを必要とするかもしれません。適切なレベルは結果によって異なりますが、判断は次の国家的イベントの前に見えるべきです。

テストは2022年の障害の不快な部分を再現しなければならない

最も信頼できる是正措置の証拠は、新しい制御が存在するという声明ではありません。それは、7月8日の醜い状況を再現する訓練です。訓練では、通常の管理アクセスを除去し、最近のメンテナンス記録を曖昧にし、スタッフからプライマリモバイルネットワークを奪い、緊急サービス関係者からのプレッシャーを作り出し、根本原因が最終決定される前に公共のアップデートを強制すべきです。また、1つのルーティングドメインのミスが依然として過剰なルート状態をコアに移動させることができるか、自動制限がそれを止めるか、ロールバックが失敗したパスを使用せずに機能するかをテストすべきです。

多くの演習はあまりにも丁寧すぎます。それらはインシデントブリッジが機能し、適切な人々が連絡可能で、監視システムが利用可能で、最初の仮説が十分近いと仮定します。ロジャーズの停止は、なぜ演習がそれらの快適さを否定しなければならないかを示しました。独立した管理ネットワークは、エンジニアが本番 IP コアがダウンしているときにそれを使用できる場合にのみ価値があります。代替事業者接続は、容量、資格情報、物理的アクセスが準備されている場合にのみ価値があります。サードパーティ SIM は、それらが役割に割り当てられ、テストされ、充電され、対応者に知られている場合にのみ価値があります。緊急ローミングは、失敗したホームネットワーク状態が実際に使用可能な代替パスをトリガーする場合にのみ価値があります。

公共機関にとって、一致する演習は、営業日からロジャーズを除去すべきです。緊急オペレーションセンターは現場スタッフと連絡を取れるか？ケアホームは入居者情報にアクセスできるか？診療所は手動でサービスを記録し、後で調整できるか？公共ウェブサイトとソーシャルチャネルは異なる接続を通じて更新できるか？必要不可欠なサービスの支払い受け付けを継続できるか？交通システムは中央監視がダウンしている間、ローカルで稼働できるか？トロントのレポートは多くの部分的な適応を示しました。次のステップは、それらの適応を即興のレジリエンスではなく、テストされた手順に変えることです。

決済ネットワークの演習も同様に具体的であるべきです。Interac の新しいバックアップ容量は、参加銀行、アクワイアラー、不正検知、顧客通知、トランザクション量とともにテストされるべきです。テストは、リンクが存在するだけでなく、フェイルオーバーが不整合なトランザクション状態を作り出すことなく実際のトラフィックを運ぶことを検証すべきです。安全な機能低下モードは何か、顧客にどのように伝えられるか、加盟店がどのような証拠を受け取るか、決済と紛争プロセスが中断された取引をどのように処理するかを決定すべきです。端末がアクワイアラーに到達できない間、コアメッセージングを利用可能に保つ決済ネットワークは、商取引を維持していません。

中小企業は同じ思考の軽量版を必要とします。レストランは、プライマリインターネットとモバイルサービスが1時間利用できない朝の訓練を実施できます。スタッフが代替ホットスポットを知っているか、支払い端末がそれで動作するか、オンライン注文を一時停止できるか、常連顧客に後で請求できるか、損失記録がキャプチャされるかをテストできます。演習はキャリアの責任を取り除きません。それは事業者がキャリアと規制当局が作業する間、最初の数時間を生き延びる方法を提供します。

証拠は行動を変えるのに十分なほど公開されるべきである

通信事業者は、完全なコアトポロジー、デバイスルール、またはセキュリティ上敏感な経路を公開できません。公共の保証は、依然として高レベルの約束以上のものを必要とします。有用な公開是正記録は、障害モード、そのモードに対して追加された制御、独立レビューの範囲、コア分離の状況、実施されたテスト、そして残る制限を要約します。部分ネットワーク状態で緊急通話フォールバックがテストされたかどうか、公共警報配信が個別に検証されたかどうか、管理アクセスがコア障害訓練を生き延びたかどうか、代替事業者通信が危機チームに利用可能だったかどうかを述べるでしょう。

同じ公開証拠の原則は、ロジャーズに依存する機関にも適用されます。Interac のアップデートは、セカンダリキャリア、十分な容量を持つ3番目のリンク、e-Transfer 参加者向けのプライベートバックアップモードという変更点を述べているため価値があります。市のレポートは、どの機能が障害を起こし、どのような回避策が使用されたかを特定しているため価値があります。CRTC 決定は、通知と報告を恒常的な義務に変えるため価値があります。各ピースは、他の組織がコピー、質問、テストするための具体的な何かを与えるため、将来の行動を変えます。

最も弱い証拠は、障害ドメインの説明なしの「私たちはレジリエンスに投資しました」というフレーズです。投資は容量を購入するかもしれませんが、2022年7月のイベントは主に容量不足ではありませんでした。それは制御プレーンと運命共有の障害でした。したがって、証拠は境界に関するものであるべきです。どの変更が制限なしに BGP から OSPF に越えられないか、どのコア機能が分離されているか、どの管理パスが本番コアに依存していないか、どの緊急パスがテストされたか、どの下流パートナーが直接通知を持っているか。お金はインプットです。重要な結果は運命分離です。

説明責任ループを閉じる証拠は何か

ロジャーズの記録は、独立評価がルーティングメカニズムと多くの是正措置を説明しているため、多くの停止記録よりも強力です。説明責任ループは依然として時間をかけた証拠を必要とします。1回のレポートは新しい制御を説明できますが、それらが人事、トポロジー、ベンダー、トラフィックパターンが変わっても有効であり続けることを示すことができるのは、繰り返しのテストだけです。

ロジャーズにとって、有用な証拠には、経路再配信制限が施行されていること、影響度の高い変更が前段階の成功にかかわらず高リスクであり続けること、ラボテストが本番規模の経路数を含むこと、自動ロールバックが演習されること、管理ネットワークがコア障害を生き延びること、無線と有線の分離が共有運用によって損なわれないこと、緊急通話フォールバックがホームネットワークが部分的に利用可能に見える状態でテストされたことの証明が含まれます。公開サマリーは、機密設定を公開することなく保証を提供できます。

Interac と銀行にとって、証拠にはキャリア全体のフェイルオーバーテスト、参加者容量の証明、バックアップモードの訓練、機能低下運用における不正検知の動作、顧客コミュニケーション経路、決済調整が含まれます。自治体と公共機関にとって、証拠にはキャリア多様性インベントリ、生命の安全プロセスマッピング、指名された役割に割り当てられた代替デバイス、手動手順、事前警告なしにプライマリキャリアを除去する演習が含まれます。中小企業にとって、証拠はよりシンプルです。テスト済みの代替支払い経路、異なるキャリアのホットスポット、オフライン連絡先リスト、文書化されたクレーム記録です。

規制当局の役割は、証拠がプライベートな保証に溶け込むのを防ぐことです。CRTC は、既知の障害モードに対するパフォーマンスを要求するために、すべてのネットワーク秘密を公開する必要はありません。進捗報告、インシデント報告、緊急サービス指標、監査権を要求できます。ISED は相互支援と緊急ローミングに関するセクターの取り決めを維持できます。自治体の購買担当者は依存関係の透明性を要求できます。運命共有によって害を受けた人々が、運命共有が削減されたことを確認できるとき、公共の説明責任は現実のものとなります。

タイポグラフィは、文字を読みやすく、判読しやすく、視覚的に魅力的にするための配置の芸術および技法です。これには、書体、ポイントサイズ、行長、行間隔、文字間隔の選択が含まれます。

• タイポグラフィは、15世紀にヨハネス・グーテンベルクが可動活字を発明したことに始まります。
• 主要な要素には、フォントの選択、カーニング、トラッキング、リーディングが含まれます。
• 優れたタイポグラフィは可読性を高め、デザインにおいてムードやトーンを伝えます。

ロジャーズの停止は、統合キャリアコアが常に間違っていることを証明したわけではありません。それは、統合に公共の義務が伴うことを証明しました。1つの制御プレーンを通じて多くのサービスを結合する事業者は、変更を結果によって検証し、復旧ツールを障害ドメインの外に置き、緊急アクセスを維持し、完全な確証が得られる前にコミュニケーションを行い、1つの内部ルーティング障害が再び決済、公共サービス、緊急アクセス、および通常の接続性を同時に奪うことのないように、テストされた証拠を示さなければなりません。プロトコル名は重要です。公共サービス機能はより重要です。