要約

  • 2024年8月15日、TPG Telecomが旧4Gパケットコアを廃止する計画作業を実施したところ、80分間の音声障害が起きた。TPG網から発信された緊急通報147件のうち、104件は他社網を利用して緊急通報サービスへ到達したが、43件は所定の終端点へ届かなかった。
  • オーストラリアの規制当局は、TPGが午前1時22分に重大障害を認識し、全面ロールバックを開始した一方、000と112を扱う緊急通報受付者への通知は午前9時07分だったと認定した。この時間差は、変更準備、部分障害の監視、重要な外部組織への責任引き継ぎを問う。

壊れたのは一つの機器ではなく、統制の連鎖だった

この出来事を短時間の携帯障害と呼ぶこと自体は間違いではない。ただし、それだけでは足りない。Australian Communications and Media Authority（ACMA、オーストラリア通信メディア庁）の調査によれば、利用者に見えた停止は2024年8月15日午前0時40分から午前2時までの80分間だった。説明責任の問題は、その時間枠より長い。

TPG Telecomは、旧式の4Gパケットコアを廃止する計画作業を進めていた。モバイルコアとは、端末やサービスを識別し、通信セッションを作り、通話をどこへ送るか決める中央部分である。基地局が電波を出し続けていても、コアで通話設定ができなければ電話はつながらない。画面にはアンテナ表示があっても、利用者が必要とする機能は失われ得る。

TPGはACMAに対し、作業前に「ミッションクリティカルなテスト」を行ったと説明した。それでも変更によって4Gのシグナリングリンクがすべて停止し、実トラフィックを運んでいたリンクも含まれていた。シグナリングとは、相手を探し、通話を設定し、経路を選ぶための制御情報である。ここが途切れれば、会話が始まる前に呼が失敗する。

影響を受けた顧客の多くは、通常の音声通話もWi-Fi通話も発着信できず、緊急通報も含まれた。一方、一部の特定の5G対応端末は音声を利用できた。この「一部は動く」という状態が検知を難しくした。TPGの自動処理とリアルタイム監視は、一部の4G利用者が緊急通報できないことを直ちには捉えなかった。

したがって、検証されたのは少なくとも五つの統制である。変更の承認、まだ生きているリンクの保護、重大な利用者影響の検知、ロールバック判断、外部への通知だ。最初の技術操作だけを原因とみなせば、影響を抑えるはずだった仕組みが見えなくなる。

二つの時計で見る事故の全体像

午前0時40分、計画変更によって4Gシグナリングが停止した。午前1時22分、TPGは重大なネットワーク障害を把握した。問題は上級管理職へエスカレーションされ、全面ロールバックが始まり、緊急管理チームの手順も起動された。

ロールバックとは、直前の変更を戻し、以前に動いていた状態へ復帰させることだ。開始しただけで全サービスが戻ったとは限らない。復旧を制御下に置く最初の一歩である。

午前2時、サービスは全面復旧した。午前3時22分から5時42分にかけて、TPGは緊急通報が届かなかった利用者の安否確認を行った。午前9時07分になって、TPGは000と112の緊急通報受付者へ連絡した。オーストラリアでは、その役割が全国の緊急通報を受け、警察・消防・救急へ転送する。Telstraが000と112についてこの役割を担う。ACMAの報告では、午前9時07分にメール、9時25分に電話が行われた。

一つ目の時計は可用性を測る。停止から復旧まで80分だ。二つ目は引き継ぎを測る。組織が把握した午前1時22分から最初の連絡まで7時間45分ある。規制当局の判断は二つ目に関するものだった。

復旧と通知は代替関係ではない。前者はネットワークを直し、後者は緊急対応の別組織に状況を渡す。それぞれ異なる安全機能を持つ。

緊急通報が届くまでの道筋

専門知識がない読者向けには、通話経路を五段階で考えると分かりやすい。

まず端末が近くの無線アクセス網、つまり基地局と周辺設備へ接続を求める。次にモバイルコアがサービスを識別して通話を設定する。事業者は緊急通報を全国の緊急通報用相互接続へ送る。緊急通報受付者が受ける。最後にオペレーターが警察、消防、救急の適切な機関へ転送する。

構成図に複数の予備経路があっても、特定の部分障害で端末がそこへ移る保証にはならない。端末、無線、コア、相互接続が整合した反応をしなければならず、監視も「他の通信が生きているのに重要経路だけ失敗する」状態を見抜く必要がある。

TPGが後に上院調査へ提出した文書は、現在のモバイル緊急通報が複数の冗長経路を持つコアを通り、Telstraの相互接続へ渡され、障害を監視してエスカレーションする、と説明している。現在の目標構成を理解する材料にはなるが、事件後の自社説明である。2024年8月に同じ統制が存在し、正常に働いていたことの証明にはならない。

当時の事実は実動結果にある。実トラフィックを持つリンクが止まり、通話できた利用者とできなかった利用者が生じ、他社網へ移った緊急通報と終端へ届かなかった通報があった。設計上の冗長性より、稼働中の経路が何をしたかが重要である。

他社網への「キャンプオン」は有効だったが万能ではない

障害中、TPG網を起点とする緊急通報の試行は147件あった。そのうち104件はOptusまたはTelstraへキャンプオンし、緊急通報サービスへ到達した。

キャンプオンとは、自分が契約する網で緊急通報できない場合に、端末が利用可能な他社の無線網を緊急通報のためだけに使う動作である。他社と通常契約を結んでいる必要はない。

この仕組みは多くの失敗を防ぎ、重要な回復力となった。ただし、すべての利用者には働かなかった。

ACMAによれば、TPGコアの一部だけが機能を失ったため、無線アクセス網は完全には退避しなかった。全端末が他社網を探す状態にならず、43件は所定の終端点へ届かなかった。

そのうち1人は国際ローミング利用者だった。TPGは残る42人の安否を確認した。18人は緊急支援を必要としていなかったと答え、24人は各州の法執行機関へ引き継がれた。全員が障害後に通話しており、当局は少なくとも2人について緊急事態ではなかったと確認した。

この記録は、死亡や負傷を証明しない。証明するのは43件の緊急通報が所定の地点へ届かなかったことだ。104件に有効だった予備策が、43件には不十分だった。どちらか一方だけを語ると実態を誤る。

キャンプオンは端末、無線状況、他社網の有無、障害の形に左右される。独立した安全層として試験すべきであり、自社網の変更管理を弱める理由にしてはならない。

部分障害が監視を欺く理由

全面停止なら、複数のアラームが鳴り、通信量が落ち、画面が赤くなる。部分障害は、正常な信号を十分残すため、全体が健全に見えることがある。

今回、一部の5G端末は通話でき、コアの一部は動き、無線網も存在した。全体平均だけを見れば、4G利用者が緊急通報できない現実より良い数字が出る可能性がある。

重要サービスの監視は「代表的な利用者が必要な行動を最後まで完了できるか」と問うべきだ。基地局が応答すること、プロセスが動いていることだけでは足りない。影響を受けるアクセス方式から通話を設定し、緊急相互接続へ送り、予定の終端で受け付けられることまで確認する必要がある。

照明が点いていても非常口が塞がれた建物に似ている。電力測定では避難できるか分からない。部品の健全性だけでは端から端までの通話成功を証明できない。

公開報告はTPGの完全な監視設計や試験項目を示していない。特定のアラーム不足を推測すべきではない。確実に言えるのは、自動処理とリアルタイム監視が、一部4G利用者の緊急通報失敗を直ちには捉えなかったことだ。

テスト済みという言葉だけでは足りない

「ミッションクリティカルなテスト」が何を証明したのかは重要である。試験環境には全依存関係がない場合がある。対象システムは確認しても、実トラフィックを持つリンクを見落とす場合もある。本番の手順や部分障害の組み合わせが再現されていなかった可能性もある。

これらは一般論であり、TPGの内部原因だと断定するものではない。公開記録では選べない。ただし、「試験した」という表現が説明責任の終点ではない理由を示す。

旧コアを廃止する前には、どのリンクが本当に無通信か、どう測ったか、4G・5G・Wi-Fi通話のどの経路を試したか、何が変更停止条件か、誰がロールバックを命じられるか、復帰をどう確認するかを答える必要がある。

計画書で「旧式」と呼ばれていても、実トラフィックを運ぶ限りそれは本番設備である。記録は意図を示し、稼働データは現実を示す。

ロールバックと通知は並行作業である

TPGが午前1時22分にロールバックと緊急管理を始めたことは重要だ。ただし、成熟した対応では、復旧、影響確認、外部連絡、証拠保存を並行させる。

復旧だけに注意が集まると、通知が安定後へ先送りされやすい。理解できる反応だが危険である。緊急通報受付者は、障害中または把握後できるだけ早く知る必要がある。復旧後の連絡では、障害中に不足していた状況認識を取り戻せない。

TPGには迅速な通知を求める社内手順があった。同社はACMAに、方針が守られなかったため遅れたと説明し、関係者への研修と年次更新研修を表明した。研修は妥当だが、高圧下で一人が別作業を思い出すことだけに依存すれば統制は弱い。

緊急通報影響と分類した時点で通知タスクを自動作成し、担当者、開始時刻、連絡手段、受領確認を記録する方が強い。自動化は人の判断を奪うのではなく、引き継ぎの有無を見えるようにする。

規制当局が認定した範囲

2019年のオーストラリア緊急通報サービス決定は、通信事業者、サービス提供者、緊急通報受付者に義務を課す。目的には、アクセス、完全性、サービス継続、障害時の連絡調整が含まれる。

第27条2項a号は、緊急通報を運ぶ網に重大障害が起きたと把握した後、000・112と106の受付者へできるだけ早く通知するよう求めていた。この調査は000と112への通知に限定された。

ACMAは、TPGの把握時刻を午前1時22分、連絡時刻を午前9時07分と認定した。午前2時の復旧より大幅に後だった。通知義務への一件の違反と、それに伴う事業免許条件違反が認定され、正式警告が出された。

正式警告は裁判所の判決でも罰金でもない。大きく見せる必要も、小さく扱う必要もない。明確な義務と検証済みの時系列を結び付けた点に意味がある。

後に導入された大規模障害時の顧客連絡基準は、事件当日にはまだ施行されていなかった。本件の法的根拠として遡及させてはならない。

個人を推測せず、組織の統制を問う

公開報告は変更を実施した技術者も、Telstraへ連絡すべきだった人物も特定していない。個人の責任を推測する根拠はない。一方、組織としての責任は具体的に述べられる。TPGは変更、監視、ロールバック、事故分類、通知手順を管理していた。

必要なのは、誰か一人を「忘れた人」にすることでも、「システムの問題」と曖昧にすることでもない。変更承認、実トラフィック確認、緊急経路監視、ロールバック権限、事故指揮、外部通知にそれぞれ担当と監査記録を置くことだ。

方針不遵守という説明は、分析の終わりではない。同じ抜けが起きにくいよう、どの統制を変えたかが次の問いになる。研修、合成経路試験、時間超過のエスカレーション、重大度に連動したチェックリスト、外部受領確認は組み合わせてこそ強くなる。

目的は罰ではない。実際に何が動き、何が失敗し、いつ把握し、どう戻し、いつ相手へ渡したかを記録で示せる状態を作ることだ。それが重要通信における最も基本的な説明責任である。

情報源