British Airways transformou a recuperação de energia do data center em um teste de responsabilidade pela continuidade do passageiro

Resumo

• No sábado, 27 de maio de 2017, a British Airways relatou uma grande falha nos sistemas de TI, afirmou que não havia evidências de um ataque cibernético e cancelou todas as partidas restantes de Heathrow e Gatwick. Posteriormente, a companhia aérea descreveu o problema iniciador como uma falha de energia em seu data center primário. Sua divulgação financeira posterior afirma que a perda dos serviços de TI em maio causou mais de 500 cancelamentos de voos; estimativas operacionais amplamente divulgadas estimam o número de passageiros afetados em cerca de 75.000.
• O relato público da empresa mudou em resolução à medida que o incidente se desenrolava. Ele passou de um problema genérico de fornecimento de energia, para um retorno prejudicial da energia e falha de hardware de comunicações, e depois para a declaração do CEO da IAG, Willie Walsh, de que um engenheiro havia desconectado uma fonte de alimentação ininterrupta e restaurado a energia de forma descontrolada. Esses são relatos atribuíveis à empresa, não um relatório forense independente publicado. Este artigo não apresenta a ação de um indivíduo, empregador ou sequência elétrica precisa como fato confirmado independentemente.
• O gatilho pode ser declarado de forma conservadora: interrupção de energia no data center primário. A causa raiz técnica, no nível que o registro corporativo publicado suporta, foi a falha em manter os serviços de TI críticos disponíveis durante esse evento de energia e restauração. As condições contribuintes incluíram continuidade ineficaz em energia, comunicações, dependências de aplicativos e processamento alternativo. A topologia detalhada de proteção, estado de comutação, mecanismo de dano, critérios de failover e manual de recuperação permanecem publicamente desconhecidos.
• A interrupção não apenas removeu um site. A BA disse que o hardware de comunicações e o sistema de mensagens em cerca de 200 sistemas foram afetados. Relatórios operacionais contemporâneos registraram falhas ou prejuízos graves no check-in, planejamento de operações, canais de atendimento ao cliente e processamento de bagagens. Aeronaves, tripulações, posições de estacionamento nos aeroportos, bagagens e passageiros então ficaram fora de sequência, de modo que restaurar os servidores não poderia restaurar imediatamente uma programação de voos viável.
• Gatwick se recuperou mais rapidamente do que Heathrow. A BA esperava uma operação quase normal em Gatwick em 28 de maio, enquanto Heathrow mantinha cancelamentos e atrasos substanciais. Em 29 de maio, a companhia aérea estava operando a maioria dos serviços, mas ainda transportava passageiros retidos e bagagens atrasadas. A diferença é evidência de que a recuperação dependia do horário local, capacidade, estado das aeronaves e dos passageiros, bem como da restauração dos serviços técnicos.
• A causa da interrupção e a conformidade com o atendimento aos passageiros são questões separadas. O Regulamento (CE) n.º 261/2004 exigia reembolso ou reencaminhamento, assistência durante esperas que se qualificam, informações sobre os direitos e, quando suas condições fossem atendidas, compensação fixa. Mesmo circunstâncias extraordinárias podem eliminar a compensação fixa apenas em casos definidos; elas não apagam os deveres de assistência. Nenhuma conclusão sobre a causa elétrica, por si só, prova ou refuta a conformidade para um passageiro específico.
• A correspondência da CAA após o evento é uma evidência mais forte do que relatos generalizados de desordem nos aeroportos. A BA reconheceu sua obrigação de reencaminhamento, concordou que muitos clientes não poderiam ser reservados novamente por ela, disse que pagaria as despesas do Regulamento 261 independentemente do seguro de viagem, concordou em alterar o texto relevante do site e disse que pagaria a compensação fixa quando devida. A CAA buscou mais detalhes sobre o reencaminhamento na oportunidade mais próxima, outras transportadoras, custos de transferência, folhetos de direitos e capacidade de reclamação. A correspondência documenta o escrutínio regulatório em tempo real, não um julgamento judicial de que cada reclamação foi tratada corretamente ou incorretamente.
• Antes da interrupção, a BA já havia se comprometido com a CAA a informar os passageiros atrasados em mais de duas horas sobre seus direitos. Uma revisão da CAA de fevereiro de 2017 classificou a abordagem de atendimento e assistência da BA como "Boa". Esses registros mostram que políticas e processos de supervisão existiam. O evento de maio testou se eles escalavam quando os mesmos canais digitais e sistemas operacionais necessários para identificar, contatar, reencaminhar e apoiar dezenas de milhares de pessoas estavam eles próprios comprometidos.
• A British Airways reconheceu £ 56 milhões em taxas de compensação adicionais e reclamações de bagagem em suas contas do primeiro semestre; a IAG reportou a mesma exposição como € 65 milhões em sua moeda de relatório. Este é o valor de custo do evento mais defensável no registro da empresa. Não é o custo social total, receita perdida, dano à reputação ou uma contagem de reclamações bem-sucedidas.
• As evidências de reparo são mistas. O relatório anual de 2017 da BA afirmou que um programa abrangente de resiliência de energia e TI havia começado e ações-chave haviam sido implementadas; o Comitê de Auditoria e Conformidade da IAG recebeu atualizações do presidente, CFO, diretor de TI e diretor de instalações da BA. Registros posteriores descrevem investimento em resiliência, migração de data centers, redundância de rede, planos de reversão e modernização de sistemas operacionais críticos. Essas divulgações demonstram atividade de governança e gastos, mas não publicam cenários de teste, objetivos de recuperação, resultados de failover ou uma opinião de encerramento independente para as causas raiz de 2017.
• A conclusão de responsabilidade é, portanto, em camadas. A gerência da BA era responsável pela continuidade do serviço ao passageiro e pela evidência de que os sistemas críticos poderiam se recuperar; os proprietários do controle de instalações e TI eram responsáveis pela comutação segura de energia, restauração ciente das dependências e processamento alternativo testado; os fornecedores eram responsáveis pelos controles contratados dentro de seu escopo; os aeroportos eram responsáveis pelas respostas do terminal e dos sistemas compartilhados; e a CAA era responsável pela supervisão da lei do consumidor. O controle operacional, por si só, não estabelece negligência, culpa individual ou violação legal.

Cronologia inicial: 27 a 29 de maio de 2017

Sábado, 27 de maio: um evento de infraestrutura local se torna uma falha operacional em toda a rede

O primeiro padrão público dos fatos foi amplo e adequadamente cauteloso. A British Airways disse que havia experimentado uma grande falha nos sistemas de TI causando graves interrupções em todo o mundo. Ela afirmou que não havia evidências de um ataque cibernético. À medida que os terminais de Heathrow e Gatwick ficaram congestionados, a BA primeiro cancelou as partidas até o início da noite e depois cancelou todas as partidas restantes de ambos os aeroportos. Heathrow disse que havia mobilizado colegas extras de atendimento ao cliente e estava trabalhando com a companhia aérea para ajudar os passageiros já em seus terminais, de acordo com orelato contemporâneo da Reuters.

A distinção entre impacto global nos sistemas e cancelamento global de voos é importante. O ambiente operacional digital da BA atendia estações em todo o mundo, portanto, uma falha próxima a Heathrow prejudicou o check-in, as mensagens e as decisões operacionais em outros lugares. Mas a decisão categórica de cancelamento anunciada publicamente em 27 de maio se aplicava às partidas de Heathrow e Gatwick. Aeronaves de longo curso já a caminho podiam continuar em direção a Londres em alguns casos, e voos operados por outras companhias aéreas não foram afetados pelo data center da BA.

O incidente foi global em alcance de dependência, não uma paralisação do sistema de aviação.

A primeira explicação da companhia aérea foi um 'problema de fornecimento de energia'. Um registro preservado dasdeclarações do CEO da British Airways em 27 e 28 de maioregistra tanto essa crença quanto a ausência de evidências de ataque cibernético. Essa linguagem não identificou a fonte de eletricidade, o dispositivo de proteção, a ação de comutação ou o mecanismo de falha. Foi uma hipótese em estágio de incidente, não uma análise de causa raiz concluída.

Operacionalmente, o efeito já era visível. Os processos de check-in e entrega de bagagem pararam ou ficaram lentos; os canais de atendimento ao cliente não conseguiam absorver a demanda; as informações de voo e passageiros tornaram-se mais difíceis de reconciliar; e os terminais se encheram de pessoas cujas aeronaves e bagagens não podiam mais ser processadas de forma previsível. Oarquivo de dados aeroportuários de maio de 2017 da CAAfornece a fonte de dados no nível de voo e de cancelamento do regulador. É útil para reconstrução independente, embora uma tabela mensal por si só não atribua a causa de cada cancelamento.

Domingo, 28 de maio: sistemas retornam, mas Heathrow não consegue normalizar imediatamente

No domingo, a BA informou que muitos sistemas haviam sido restaurados. Gatwick avançou para um cronograma quase normal, enquanto Heathrow continuou a sofrer cancelamentos, atrasos, filas e bagagens deslocadas. Relatos contemporâneos registraram cerca de 40 cancelamentos adicionais em Heathrow no início do dia, mas o ponto mais importante é estrutural: a restauração do serviço e a recuperação operacional não foram simultâneas.

A grade de voos de uma companhia aérea é um sistema físico com estado. Uma primeira onda cancelada deixa aeronaves nos aeroportos errados, tripulações contra limites de tempo de serviço, posições de estacionamento e slots de partida desalinhados, passageiros em conexão quebrados entre itinerários e bagagens separadas de seus donos. Reabrir um banco de dados ou um corretor de mensagens não infere com segurança onde cada recurso está agora.

Os sistemas restaurados devem receber e reconciliar um backlog enquanto os planejadores decidem quais voos ainda podem partir com tripulação legal, aeronave disponível, assistência em terra e capacidade de destino.

O CEO da BA reconheceu que os clientes haviam ficado retidos, separados de suas bagagens e deixados em longas filas por informações. Relatos também registraram que os sistemas de backup não produziram continuidade rápida. Orelato operacional de 29 de maioatribui a Alex Cruz um evento de energia pela manhã com um efeito catastrófico no hardware de comunicações e nas mensagens em todos os sistemas operacionais. Ele também registra sua declaração de que não houve corrupção ou comprometimento dos dados do cliente. Essas são declarações da empresa. Elas apoiam a análise da cascata de mensagens, mas não divulgam logs de diagnóstico ou provam o caminho exato do dano.

Segunda-feira, 29 de maio: a maioria dos voos é retomada enquanto a recuperação de passageiros e bagagens continua

Na segunda-feira, os serviços de longo curso de Gatwick e Heathrow estavam em grande parte normais, e a BA disse que aproximadamente 90% dos voos de curta distância de Heathrow estavam operando. A companhia aérea ainda estava lidando com os passageiros retidos. Cruz disse que pouco mais de dois terços dos passageiros afetados chegariam ao seu destino até o final da segunda-feira, com outros com remarcação posterior oferecida. Essa estimativa é útil como uma medida de recuperação em estágio de incidente, não uma contagem final de passageiros auditada.

O resíduo operacional persistiu além da interrupção principal dos sistemas. As bagagens aceitas antes do cancelamento tiveram que ser localizadas, classificadas e enviadas separadamente; os passageiros tiveram que ser vinculados a novos itinerários; as reclamações tiveram que ser abertas; e as rotações de aeronaves e tripulações tiveram que ser reconstruídas. Umrelato de 30 de maio sobre bagagens atrasadasregistrou a declaração da BA de que os sistemas estavam totalmente restaurados e uma grade completa estava operando na terça-feira. Também registrou a continuação da recuperação de bagagens. Assim, 29 de maio é um final razoável para a cronologia de recuperação aguda de voos, não para todas as consequências para o cliente.

O total corporativo posterior é deliberadamente menos granular do que as estimativas da imprensa. O prospecto de 2021 da IAG diz que a perda de serviços de TI em maio de 2017 levou amais de 500 cancelamentos de voos. Umrelatório da Bloomberg veiculado pelo Data Center Knowledgefornece uma estimativa em nível diário de 479 voos cancelados em 27 de maio e 193 em 28 de maio, além de alguns em 29 de maio. Como a divulgação formal da IAG e a taxonomia da imprensa podem contar os cronogramas de forma diferente, esta análise usa 'mais de 500' como a escala confirmada pela empresa e considera números mais detalhados como estimativas relatadas.

O que está confirmado, inferido, contestado e desconhecido

A responsabilidade depende de recusar a falsa precisão. Quatro rótulos de evidência impedem que alegações diferentes colapsem em uma única narrativa.

Registro confirmado da empresa e do regulador.As contas registradas de 2017 da BA dizem que ocorreu uma falha de energia no data center primário do grupo e causou graves interrupções para clientes e voos. As mesmas contas dizem que a gerência identificou as causas raiz e iniciou um programa abrangente para melhorar a infraestrutura de energia e TI e a resiliência. O Comitê de Auditoria e Conformidade da IAG afirma que recebeu atualizações regulares sobre o status da investigação, identificação das causas raiz e recuperação imediata e de longo prazo. A correspondência da CAA confirma que o regulador e a companhia aérea estavam discutindo reencaminhamento, assistência, informações e compensação após o incidente. Esses registros estabelecem a classe do evento, o reconhecimento corporativo e a resposta de governança.

Inferência suportada.Um evento de energia local não deveria ter removido o serviço crítico ao passageiro nessa escala se a proteção elétrica, as comunicações, o processamento alternativo, a consistência dos dados e os procedimentos de recuperação tivessem, coletivamente, fornecido continuidade eficaz. Essa é uma inferência a partir do resultado e da finalidade do sistema. Não nos diz qual componente falhou primeiro, se um site alternativo recebeu tráfego ou se uma salvaguarda projetada estava ausente, defeituosa, contornada ou derrotada por uma dependência compartilhada.

Alegações contestadas.O sindicato GMB argumentou que reduções de empregos anteriores e terceirização enfraqueceram a capacidade de TI da BA e tornaram o evento evitável. A BA rejeitou um vínculo causal e disse que as partes envolvidas neste evento local do data center eram locais. Oregistro da ITV de 27 de maiopreserva a alegação do sindicato e a resposta da BA. Nenhuma das posições é uma investigação técnica. A terceirização é um contexto real de governança, mas uma associação temporal entre mudança de pessoal e interrupção não prova que um fornecedor offshore realizou a ação de energia relevante ou causou a falha na recuperação.

Relatos também alegaram que um contratado desligou a fonte de alimentação. A empresa de facilities associada nos relatos da imprensa ao local disse que as alegações de que a causa havia sido determinada não tinham fundamento. Orelato de 2 de junho contendo essa negaçãoé o motivo pelo qual este artigo não rotula a pessoa como contratada, nomeia um empregador ou trata a alegação como resolvida.

Detalhe técnico desconhecido.Nenhum relatório de investigação independente público revisado para este artigo fornece um diagrama elétrico unifilar, log de eventos, estado do UPS, histórico de disjuntores, configuração de proteção, permissão de manutenção, instrução de comutação, topologia de rede, inventário de danos, resultado de teste de site alternativo, objetivo de tempo de recuperação ou ordem de restauração de aplicativos. O registro público também não divulga a identidade do investigador independente ou a opinião final. Não se sabe se a interrupção inicial surgiu de falha de equipamento, manutenção autorizada, ação não autorizada, instruções mal compreendidas ou uma combinação. Também não se sabe exatamente por que o processamento alternativo não preservou uma operação mínima de passageiros.

A lacuna importa porque um relato de um executivo sênior pode ser sincero e ainda assim incompleto. Em 5 de junho, Walsh disse aos jornalistas que um engenheiro desconectou a fonte de alimentação ininterrupta e que a restauração descontrolada causou danos. Ele também anunciou uma investigação independente completa. Umrelatório da Reuters desse anúncioé evidência atribuível do que o CEO da IAG disse. Não é um substituto para o relatório não publicado, logs subjacentes, entrevistas com testemunhas ou resultados de teste.

Anatomia causal: gatilho, causa raiz e condições contribuintes

Gatilho: interrupção da energia do data center

O gatilho é o evento imediato que forçou o sistema a um estado anormal. A redação mais restrita defensável é uma interrupção de energia no data center primário da BA na manhã de 27 de maio. O relatório anual de 2017 da BA usa "falha de energia", enquanto o reporte semestral da IAG usa "falha de energia" ou "queda de energia". Essas são fontes mais fortes do que as primeiras referências a um surto na rede.

Essa distinção resolve uma aparente contradição. Os fornecedores locais de eletricidade supostamente disseram que não viram surto de fornecimento em suas redes. A BA mais tarde se referiu a um retorno descontrolado de energia dentro do local. Ambos podem ser verdadeiros se a condição prejudicial estava a jusante do limite da concessionária, mas a evidência pública não prova essa topologia. O artigo, portanto, não diz que um surto na rede externa iniciou o evento.

Causa raiz técnica: os controles de continuidade não preservaram ou recuperaram o serviço com segurança

Chamar a interrupção de "erro humano" é muito superficial. Mesmo que um operador tenha realizado uma ação incorreta, uma instalação crítica deve restringir a autoridade, exigir confirmação para comutação perigosa, preservar evidências, isolar domínios de falha e se recuperar por meio de procedimentos testados. O evento atingiu os passageiros porque o projeto combinado de continuidade de energia, comunicações e TI falhou em manter os processos essenciais da companhia aérea disponíveis e falhou em restaurá-los dentro de uma janela operacionalmente tolerável.

Em um nível mais específico, a BA disse que a energia retornou de forma descontrolada e danificou fisicamente o hardware de comunicações. Reportagens especializadas da época enfatizaram que a pergunta sem resposta era por que um segundo data center não forneceu continuidade utilizável. Areconstrução do Data Center Dynamicsrelata o relato em dois estágios da BA, dois data centers e a incerteza em torno do failover. Também rotula as interpretações dos especialistas como interpretações. Esse é o uso probatório correto: identifica questões técnicas, não respostas julgadas.

A declaração de causa raiz deve, portanto, permanecer baseada em resultados: a arquitetura e os controles de recuperação da BA não toleraram e se recuperaram com segurança do evento de energia no local primário. Seria exagero afirmar que um determinado modelo de UPS falhou, que ambos os locais perderam energia independente ou que um servidor específico foi destruído. Esses detalhes não estão no registro corporativo arquivado.

Condição contribuinte 1: concentração em comunicações e mensagens

Cruz disse que dezenas de milhões de mensagens transitavam diariamente entre cerca de 200 sistemas e que a falha de comunicações afetou esses sistemas. Uma malha de mensagens pode transformar a perda de infraestrutura local em indisponibilidade sistêmica quando os aplicativos dependem de trocas oportunas para registros de passageiros, carregamento de aeronaves, bagagem, tripulação, controle de partida e status do voo. Mesmo que os servidores de aplicativos permaneçam energizados, mensagens obsoletas ou ausentes podem tornar sua saída insegura para uso.

Esta é uma inferência de dependência suportada, não prova de que um produto de middleware nomeado foi o ponto único de falha. A BA não publicou um mapa de serviço, backlog de filas, plano de reconciliação de dados ou quais 200 sistemas ficaram materialmente indisponíveis. A questão de responsabilidade é se a gerência sabia qual conjunto mínimo de mensagens era necessário para despachar um voo e se esse caminho poderia operar independentemente durante a recuperação.

Condição contribuinte 2: o processamento alternativo não entregou uma operação mínima viável

Redundância é uma propriedade demonstrada pelo serviço, não pela contagem de ativos. Duas salas, duas unidades de UPS ou dois data centers não fornecem continuidade se compartilham dependências de rede, identidade, armazenamento, gerenciamento, mensagens, controle de energia ou recuperação. Nem um standby nominal ajuda se a integridade dos dados não puder ser estabelecida, o tráfego não puder ser comutado ou a equipe não tiver autoridade para declarar o primário indisponível.

O incidente mostra que a BA não obteve processamento alternativo eficaz rápido o suficiente para evitar o cancelamento em massa. Não mostra por quê. As possíveis explicações incluem dependências compartilhadas, capacidade insuficiente, comunicações indisponíveis, replicação incompleta, sequenciamento de recuperação ou uma decisão de não fazer failover porque o estado não era confiável. Sem o relatório independente, selecionar uma delas converteria uma questão de controle em fato inventado.

Condição contribuinte 3: a restauração era um problema de aplicação, não apenas uma tarefa elétrica

A recuperação de energia tem pelo menos três portões. A instalação deve estar eletricamente estável; a infraestrutura e as comunicações devem ser restauradas em uma ordem de dependência controlada; e os aplicativos devem ser reconciliados com um estado de negócio conhecido. Ligar todos os equipamentos de uma vez pode criar corrente de partida, turbulência de rede e contenção simultânea de aplicativos. Ligar muito lentamente pode perder a janela operacional. De qualquer forma, um indicador de energia verde não prova que as mensagens de check-in, controle de carga ou bagagem estão completas.

É por isso que a restauração segura requer um gráfico de dependência, manual de execução em etapas, fonte de tempo autoritativa, reconciliação de filas e bancos de dados e uma definição explícita de go/no-go. O registro público suporta a conclusão de que a recuperação de mensagens foi central. Não divulga se os manuais da BA continham esses controles ou como eles funcionaram.

Condição contribuinte 4: o timing de pico amplificou a consequência

O incidente ocorreu no primeiro dia de um feriado bancário no Reino Unido e no fim de semana de meio período escolar. Altas cargas de passageiros e capacidade alternativa restrita significaram menos assentos disponíveis, quartos de hotel e recursos aeroportuários. O timing de pico não causou a falha de energia. Aumentou o número de pessoas expostas e tornou o reencaminhamento e a assistência mais difíceis. Um plano resiliente deve usar um cenário de pico severo, mas plausível, em vez de assumir uma janela de manutenção tranquila.

Detecção, resposta e recuperação

Detecção: a interrupção era óbvia, mas a evidência do estado de controle não é pública

Os sintomas voltados para o voo foram imediatamente visíveis: filas de check-in, processos de bagagem com falha, canais de atendimento ao cliente indisponíveis e atraso crescente nas partidas. O que não é público é o caminho de detecção interno. Um registro maduro mostraria o primeiro alarme da instalação, o primeiro alarme de serviço, quem declarou um incidente, quando o gerenciamento de crise começou, qual telemetria sobreviveu e quando os executivos souberam que a recuperação excederia a janela operacional do dia.

Essa distinção separa a detecção do impacto do diagnóstico da causa. A BA detectou uma falha operacional grave rápido o suficiente para emitir avisos públicos e cancelar voos. Isso não prova que os engenheiros souberam imediatamente o estado elétrico, o escopo do dano ou o caminho de restauração seguro. A explicação pública mutável sugere que o diagnóstico evoluiu, o que é normal durante um incidente complexo. A responsabilidade está em preservar evidências e atualizar as alegações à medida que a certeza muda, não em exigir certeza instantânea.

Resposta: o cancelamento conteve a desordem do terminal e da rede, mas a comunicação foi prejudicada

Cancelar as partidas restantes de Heathrow e Gatwick foi uma decisão de continuidade de negócios depois que a continuidade técnica havia falhado. Reduziu o risco de manter passageiros indefinidamente e tentar despachar voos sem processamento confiável. No entanto, o cancelamento em massa criou uma segunda carga de trabalho: notificação, reembolsos, remarcação, assistência, devolução de bagagem e proteção de conexões.

Os canais esperados para realizar esse trabalho faziam parte do ecossistema afetado. Os clientes relataram dificuldade em obter atualizações, enquanto a equipe enfrentava informações operacionais mutáveis e terminais lotados. O destacamento de colegas extras por Heathrow ajudou com a presença física, mas a equipe do aeroporto não podia criar inventário de reservas da BA ou tomar todas as decisões das transportadoras.

Esta é a lição de continuidade do passageiro: uma companhia aérea precisa de uma forma fora da banda para identificar pessoas afetadas, publicar uma mensagem operacional estável, emitir informações sobre direitos e autorizar assistência quando os canais digitais primários estão degradados.

Recuperação: disponibilidade técnica, viabilidade de voo e conclusão do passageiro são marcos diferentes

Um registro de recuperação defensável rastrearia pelo menos três relógios. O primeiro termina quando a infraestrutura e os aplicativos principais estão tecnicamente estáveis. O segundo termina quando uma grade viável pode operar sem criar novo deslocamento. O terceiro termina quando os passageiros e bagagens afetados atingem um estado resolvido e as reclamações são processadas.

A cronologia da BA demonstra a lacuna. Muitos sistemas retornaram no domingo, a maioria dos voos retornou na segunda-feira, uma grade completa foi relatada na terça-feira e o trabalho de bagagem e compensação continuou. Um painel de incidentes que parasse na disponibilidade do servidor subestimaria materialmente o dano. A responsabilidade pela continuidade do passageiro exige medidas como passageiros reencaminhados, fornecimento de hotel e refeições, atraso médio de notificação, bagagens reunidas, backlog de reclamações e tempo até a resolução final.

O teste dos direitos do passageiro é independente da explicação da interrupção

No momento do evento, o Regulamento (CE) n.º 261/2004 se aplicava no Reino Unido. Sua estrutura é deliberadamente modular. Sob oRegulamento oficial, o cancelamento envolve escolhas do Artigo 8 entre reembolso e reencaminhamento, assistência do Artigo 9 e, potencialmente, compensação fixa do Artigo 7. O Artigo 5(3) dá à transportadora uma defesa contra a compensação fixa se provar circunstâncias extraordinárias que não poderiam ter sido evitadas mesmo com todas as medidas razoáveis. Essa defesa não apaga os Artigos 8 e 9.

Reembolso e reencaminhamento

O Artigo 8 deu aos passageiros afetados uma escolha: reembolso, reencaminhamento na oportunidade mais próxima em condições comparáveis ou reencaminhamento em uma data posterior conveniente, sujeito a assentos. Aorientação formal de reencaminhamento do Artigo 8 da CAAdiz que as companhias aéreas devem fornecer aos passageiros informações abrangentes sobre as opções de reencaminhamento, incluindo voos em outras companhias aéreas, e arcar com o ônus de mostrar que a opção oferecida era na oportunidade mais próxima. Também espera que as companhias aéreas mantenham registros das opções identificadas e oferecidas.

Esses requisitos transformam o reencaminhamento em uma questão de evidência concreta, em vez de uma garantia geral de que a recuperação estava em andamento. Para a interrupção de maio de 2017, uma avaliação defensável precisaria de evidências em nível de passageiro sobre disponibilidade, tentativas de contato, urgência, condições comparáveis, as alternativas que a BA identificou e o que realmente ofereceu. A orientação posterior da CAA declara o padrão de controle; ela não estabelece por si só se a BA atendeu a esse padrão para cada itinerário afetado.

Assistência e despesas razoáveis

A assistência do Artigo 9 incluía refeições e bebidas em relação razoável ao tempo de espera, acomodação em hotel quando uma pernoite se tornasse necessária, transporte entre o aeroporto e a acomodação, e comunicações. Orelatório de conformidade CAP 1500 de fevereiro de 2017 da CAAenfatizou a assistência proativa, prioridade para passageiros com mobilidade reduzida e crianças desacompanhadas, e reembolso de despesas necessárias, razoáveis e apropriadas quando a assistência não foi oferecida.

A separação legal da causa é decisiva. EmMcDonagh v Ryanair, o Tribunal de Justiça decidiu que o dever de assistência continuava mesmo durante circunstâncias extraordinárias, como o fechamento do espaço aéreo por cinzas vulcânicas. Oregistro do Caso C-12/11 do TJUEconfirma que não há uma classe separada de evento particularmente extraordinário que remova o dever de assistência. Portanto, se o evento de energia da BA foi controlável afeta a análise de compensação fixa; não determina se um passageiro esperando durante a noite tinha direito a assistência.

A correspondência da CAA mostra o atrito prático. O regulador questionou a linguagem do site da BA que remetia clientes às seguradoras e excluía alguns custos de transferência do aeroporto. A BA disse que pagaria as despesas do Regulamento 261 independentemente de os clientes terem seguro de viagem, alteraria as páginas relevantes e reembolsaria despesas de transferência qualificadas quando a BA reencaminhasse um cliente para outro destino. Esta é uma evidência de correção durante a recuperação. Não é prova de que todos os clientes viram a mensagem corrigida ou receberam assistência oportuna.

Direitos à informação e comunicação

O Artigo 14 do Regulamento 261 exigia a notificação dos direitos do passageiro. Isso não era novo para a BA em maio de 2017. Em 29 de julho de 2016, a BA havia assumido o compromisso com a CAA de fornecer informações sobre direitos aos passageiros atrasados em mais de duas horas. Atabela atual de compromissos da CAAexplica que os compromissos são voluntários, não admitem irregularidades ou responsabilidade, e apenas um tribunal pode decidir se ocorreu uma violação.

A evidência pré-evento é matizada. O CAP 1500, publicado em fevereiro de 2017, classificou a British Airways como "Boa" em atendimento e assistência. Descreveu a referência como assistência proativa na maioria dos casos, reembolso rápido de despesas, atenção a passageiros vulneráveis, procedimentos escritos, treinamento e supervisão. Isso impede uma alegação simplista de que a BA não tinha política. Também aguça o teste de controle: essas políticas poderiam funcionar em escala de interrupção em massa quando o contato com o cliente, reservas e informações do aeroporto dependiam dos sistemas com falha?

A correspondência pós-evento diz que um representante da BA viu folhetos de direitos distribuídos no Terminal 5 e que a disponibilidade dos folhetos foi considerada pela Equipe de Gerenciamento de Crise. A CAA solicitou a revisão pós-interrupção da BA, registros de distribuição de Heathrow e outros aeroportos, e exemplos de cartas personalizadas para passageiros. Essas solicitações mostram que o regulador buscou evidências de execução em vez de aceitar apenas a linguagem da política. O arquivo divulgado não contém uma auditoria final completa de todos os locais.

Compensação fixa e circunstâncias extraordinárias

Para cancelamentos notificados com pouca antecedência e atrasos longos qualificados, o Regulamento 261 previa valores fixos de € 250, € 400 ou € 600 dependendo da distância e outras condições. A BA disse à CAA que pagaria a compensação fixa "quando devida". A frase preservou a avaliação caso a caso legal; não foi uma admissão de que cada cancelamento se qualificava.

A questão das circunstâncias extraordinárias não deve ser decidida apenas por analogia. EmWallentin-Hermann v Alitalia, o TJUE decidiu que um problema técnico de aeronave não é extraordinário a menos que decorra de eventos não inerentes à atividade normal da transportadora e além do controle real. Oregistro oficial do Caso C-549/07coloca o ônus na transportadora e exige medidas razoáveis. Asdiretrizes interpretativas de 2016 da Comissão Europeiaconsolidam essa jurisprudência.

Essas autoridades diziam respeito a falhas técnicas de aeronaves, não a uma falha de energia do data center empresarial. Elas tornam o controle e a atividade inerente relevantes, mas não decidem automaticamente sobre cada voo da BA em 2017. Um tribunal precisaria de evidências sobre a causa, o controle da transportadora, as medidas razoáveis e o nexo causal com o cancelamento ou atraso específico. A ausência de um relatório técnico público torna as declarações legais categóricas especialmente inseguras.

A correspondência da CAA não é uma decisão de infração. Ela registra perguntas, expectativas e compromissos da BA durante a recuperação. Oarquivo de reclamações de passageiros de 2017 da CAAtambém adverte que a contagem de reclamações não é o mesmo que decisões ou pagamentos, e que sua Equipe de Aconselhamento e Reclamações de Passageiros não tinha poder para vincular uma companhia aérea a uma indenização individual. Consequentemente, este artigo não encontra base no registro citado para declarar conformidade universal ou uma violação universal.

Impacto financeiro e os limites do número

O relatório do primeiro semestre de 2017 da British Airways fornece o custo reconhecido mais claro. Ele diz que os custos de manuseio, catering e outros custos operacionais incluíram£ 56 milhões de taxas de compensação adicionais e reclamações de bagagemapós a queda de energia, e que a BA continuou trabalhando com os clientes para honrar as obrigações de compensação. A IAG reportou a mesma provisão como € 65 milhões em sua moeda de grupo. Esses valores não devem ser somados.

A provisão é evidência de uma reparação material ao passageiro e exposição de bagagem. Não inclui todos os efeitos de receita, custos de pessoal, wet lease, hotéis pagos diretamente, perda de reputação, tempo do passageiro, evento perdido ou custo de negócios de viagem a jusante. Nem o reconhecimento contábil estabelece que cada reclamação era legalmente exigida em vez de liquidada comercialmente. É uma categoria de responsabilidade corporativa medida, não uma estimativa de bem-estar completa.

São necessárias três reconciliações antes de usar esse número na análise de responsabilidade. Primeiro, o valor de £ 56 milhões da BA e os € 65 milhões da IAG são apresentações na moeda do relatório da mesma provisão, não perdas separadas. Segundo, uma provisão registra a estimativa da empresa em um período contábil; não é um total final pago em dinheiro nem uma contagem de passageiros. Terceiro, a compensação posterior do fornecedor é uma recuperação reconhecida em um período diferente e não pode ser líquida com a provisão do passageiro sem o detalhamento do acordo e da contabilidade não divulgados.

Manter esses livros separados evita que um grande, mas limitado, lançamento contábil se torne um custo total inventado ou uma alocação legal implícita de culpa.

As divulgações posteriores da IAG adicionam dois sinais de responsabilidade. Seus resultados de 2019 dizem que os custos de propriedade, TI e outros se beneficiaram de uma compensação única do fornecedor relacionada à falha de 2017, sendo parcialmente compensados pelo investimento em resiliência e infraestrutura de TI. Oanúncio dos resultados de 2019não nomeia o fornecedor, divulga os termos do acordo ou atribui uma conclusão legal pública. Isso prova que uma recuperação do fornecedor foi reconhecida, não que um determinado contratado causou o evento inicial.

Governança: quem tinha controle prático

Gerência executiva da British Airways

A BA vendeu o itinerário, operou os voos e controlou a resposta ao cliente. A gerência executiva, portanto, detinha a propriedade do resultado integrado da continuidade: prioridades de investimento, definições de serviços críticos, governança de fornecedores, autoridade de incidentes, decisões de cronograma, comunicações e capacidade de reclamações. Essa propriedade permanece mesmo quando um fornecedor especialista operou uma instalação ou componente. A contratação transfere tarefas e soluções; não transfere o relacionamento com o passageiro.

O relatório anual de 2017 da BA é franco sobre a dependência. Ele diz que a BA dependia de TI para os principais processos de negócios, da infraestrutura de TI do fornecedor e dos operadores de bagagem do aeroporto. Também diz que existiam controles de sistema, recuperação de desastres e arranjos de continuidade de negócios. O mesmorelatório anual arquivadodiz que o evento levou a gerência a revisar as operações de negócios e os planos de continuidade. A questão da responsabilidade, portanto, não é se os planos existiam, mas qual garantia mostrou que eles poderiam sobreviver a esse modo de falha.

Proprietários de controle de instalações, energia e TI

Os proprietários do controle das instalações tinham controle prático sobre a autoridade de comutação, permissões de manutenção, configuração de UPS e gerador, alarmes físicos, isolamento seguro e restauração. Os proprietários de TI controlavam mapas de serviço, ordem de dependência, validação de dados, declaração de failover e liberação de aplicativos. Onde essas funções se cruzavam, um comando único de incidente precisava de autoridade para decidir se o local estava eletricamente seguro, se o estado da infraestrutura era confiável e se a companhia aérea poderia retomar o processamento de voos.

Nenhuma evidência pública atribui esses controles a uma pessoa nomeada. Uma boa responsabilidade examina o design da função, autorização e verificação antes da conduta individual. Se uma única ação pudesse desconectar um local primário ativo e a restauração descontrolada pudesse danificar equipamentos críticos, a gerência precisaria mostrar por que o controle duplo, os intertravamentos, a confirmação por pares, os registros de mudança e o serviço alternativo impediram ou não a escalada.

Fornecedores

Os fornecedores detinham os controles de instalação, engenharia, rede ou software que seus contratos atribuíam. Eles também deviam à BA evidências completas do incidente dentro desses limites. Mas os escopos dos contratos públicos não estão disponíveis. Portanto, é inadequado inferir que um fornecedor de software offshore controlava a comutação elétrica local, ou que um fornecedor de instalações controlava o failover do aplicativo. A compensação do fornecedor posteriormente reconhecida pela IAG sinaliza uma solução contratual sem divulgar sua base factual.

A BA permaneceu responsável por integrar os controles dos fornecedores. O próprio relatório anual da organização reconheceu que a terceirização e as cadeias de suprimentos complexas aumentavam a dependência de fornecedores críticos. Uma governança eficaz mapearia cada objetivo de recuperação para um proprietário responsável, medida de nível de serviço, fonte de evidência e exercício entre fornecedores.

Heathrow, Gatwick e sistemas aeroportuários compartilhados

Os aeroportos controlavam o acesso aos terminais, a gestão de multidões, as instalações compartilhadas, as posições de estacionamento e parte da infraestrutura de bagagem; a BA controlava seus voos, registros de passageiros e decisões da companhia aérea. Heathrow mobilizou funcionários adicionais de atendimento ao cliente. O retorno mais rápido de Gatwick a um cronograma quase normal da BA indica que as condições operacionais locais importavam. Nenhum dos aeroportos causou a falha de energia do data center primário da BA com base na evidência pública.

O limite ainda exigia planos conjuntos. Um voo cancelado pode deixar bagagens dentro de um fluxo gerenciado pelo aeroporto, enquanto a propriedade da notificação e do reencaminhamento do passageiro permanece com a companhia aérea. Os exercícios do aeroporto e da companhia aérea devem testar essa transferência, incluindo como parar de aceitar bagagens, devolver bagagens aceitas, proteger pessoas vulneráveis e publicar uma instrução consistente.

Supervisão do conselho da IAG e a CAA

O Comitê de Auditoria e Conformidade da IAG recebeu atualizações regulares do presidente e do CFO da BA e de seus diretores de TI e instalações. Orelatório do comitêdiz que as atualizações cobriram a investigação, as causas raiz e a recuperação imediata e de longo prazo. Isso é evidência de supervisão sênior. Não é uma garantia técnica independente porque os insumos divulgados vieram da gerência e o relatório não fornece critérios de encerramento.

O controle prático da CAA era a supervisão da lei do consumidor, não a operação dos data centers ou voos da BA. Sua rápida correspondência esclareceu as expectativas sobre reencaminhamento, assistência, informação e compensação. Um regulador pode exigir evidências e buscar a execução coletiva; não pode operar a malha de mensagens de uma companhia aérea ou decidir instantaneamente milhares de reclamações específicas de fatos. Manter esse limite claro impede que a falha técnica seja rotulada erroneamente como causalidade regulatória.

O que contaria como reparo de resiliência verificável

O incidente gerou promessas, gastos e atividade de governança. A responsabilidade duradoura exige evidências de que o caminho de falha específico está controlado. Cinco classes de prova são necessárias.

1. Prova de controle de energia

A BA deve ser capaz de produzir diagramas unifilares atuais, registros de teste de proteção e UPS, evidências de capacidade do gerador e da bateria, permissões de comutação, autoridade baseada em funções, confirmação dupla para ações de alta consequência e logs de eventos imutáveis. Os procedimentos de restauração devem definir carga em etapas, verificações de comunicação e critérios de aborto. Um exercício de manutenção deve provar que o caminho primário pode ser isolado sem remover o serviço essencial e que a restauração não pode ignorar a verificação necessária.

Isso não é invenção de retrospectiva. A orientação de continuidade de negócios do governo do Reino Unido diz que os planos não são confiáveis até serem exercitados e identifica especificamente sistemas de teste, comofonte de alimentação ininterrupta. O padrão é a prova de controle funcional, não a posse de um documento.

2. Prova de processamento alternativo

Um site alternativo deve demonstrar independência do domínio da falha inicial e capacidade suficiente para uma companhia aérea mínima viável. Os testes devem provar a disponibilidade de identidade, rede, dados, mensagens e aplicativos; objetivos medidos de tempo de recuperação e ponto de recuperação; e uma ordem declarada para os serviços críticos ao passageiro. A interrupção completa pode nem sempre ser segura, mas o failover de produção controlado, o ensaio isolado e a remoção de componentes podem, coletivamente, fornecer evidências.

Oguia de planejamento de contingência SP 800-34 do NISTrecomenda análise de impacto nos negócios, estratégias de recuperação, testes e manutenção do plano. Sua orientação de teste contempla expressamente a remoção de energia de um sistema ou componente e o uso de critérios de sucesso quantificáveis. Oscontroles de contingência SP 800-53 do NISTexigem teste do plano, revisão dos resultados e ação corretiva, incluindo testes em sites de processamento alternativos. Esses não são deveres legais impostos à BA por essas publicações dos EUA; são referências autorizadas sobre como é uma recuperação baseada em evidências.

3. Prova de aplicação ciente das dependências

A BA precisa de um inventário que vincule os resultados de negócios a aplicativos, mensagens, bancos de dados, redes, instalações e fornecedores. Um teste deve mostrar que o check-in, controle de partida, planejamento de voo, tripulação, controle de carga, interfaces de bagagem, notificação ao cliente e remarcação podem operar com segurança ou falhar de maneira controlada. A recuperação deve provar a reconciliação de filas e a integridade dos dados, não apenas o tempo de atividade do processo.

O National Cyber Security Centre do Reino Unido faz o mesmo ponto geral noPrincípio B5 sobre redes e sistemas resilientes: as organizações devem entender as dependências, planejar atualizações físicas, como mudanças no fornecimento de energia, para evitar interrupções não planejadas e projetar para a falha do sistema. O princípio abrange a resiliência cibernética e do sistema; citá-lo não reclassifica o evento de 2017 como um ataque cibernético.

4. Prova de continuidade do passageiro

Os exercícios técnicos devem incluir as consequências para o cliente de uma interrupção prolongada. A BA pode identificar os passageiros afetados a partir de uma extração de dados independente? Ela pode enviar um aviso estável sem a plataforma primária? As equipes do aeroporto podem emitir informações sobre direitos e autorizar refeições e hotéis? Os agentes podem reencaminhar em outras transportadoras? A companhia aérea pode interromper a aceitação de bagagem e reconciliar as bagagens já introduzidas? A capacidade de reclamações pode escalar sem esconder um backlog crescente?

Os critérios de sucesso devem incluir o tempo de notificação, a cobertura de contato, a conclusão do reencaminhamento, o suporte a passageiros vulneráveis, a reconciliação de bagagem e o envelhecimento das reclamações. É aqui que as grandes empresas e as pequenas empresas de viagens compartilham um interesse de continuidade. Agentes de viagens, hotéis, operadores de transferência e gerentes de viagens corporativas dependem do status preciso da companhia aérea; uma interrupção que o retém transfere o trabalho de recuperação e a pressão do fluxo de caixa para a cadeia de serviços mais ampla.

5. Evidência de encerramento independente e recorrência

A prova final deve mapear cada causa raiz e condição contribuinte para uma ação corretiva, proprietário, data de vencimento, teste, resultado, risco residual e aceitação do conselho. Um revisor independente deve verificar uma amostra representativa e declarar as limitações. A publicação pode omitir a topologia sensível à segurança, mas ainda pode divulgar o escopo do teste, os objetivos de recuperação alcançados, as exceções materiais e o encerramento da governança.

O registro público não atinge esse nível. O relatório anual de 2017 da BA diz que um programa abrangente foi iniciado e as principais ações já foram implementadas. O relatório anual de 2021 da IAG descreveu posteriormente três programas de migração de data centers movendo sistemas para infraestrutura hospedada na nuvem para maior resiliência e desempenho. Orelatório de 2021é evidência de modernização, não prova de que todas as lacunas de controle de 2017 foram fechadas.

O relatório de 2023 da BA adiciona controles contínuos mais específicos: migração para a nuvem de data centers locais, remediação e redundância de rede, controles de sistema, recuperação de desastres, continuidade de negócios e planos de reversão para migrações de infraestrutura crítica. Orelatório anual de 2023 da BAfaz essas alegações de primeira parte. Ele não publica resultados de exercícios, e interrupções posteriores da BA significam que a modernização não deve ser interpretada como imunidade permanente.

O relato mais recente da IAG oferece um sinal observacional. Seurelatório anual de 2025diz que a BA modernizou sistemas críticos de check-in, planejamento de voo, gerenciamento de voo e controle de carga com restrição de tempo, melhorou a pontualidade em 2025 e se recuperou mais rapidamente após a queda de energia do aeroporto de Heathrow em março de 2025. Esse foi um evento diferente fora do data center da BA e não pode servir como um reteste controlado do cenário de 2017. No entanto, mostra que a IAG agora relata a resiliência em resultados de clientes e operações, não apenas em atividade de infraestrutura.

Matriz de responsabilidade

A tabela aloca controle operacional, não culpa legal. Um fornecedor pode controlar um disjuntor sem controlar a comunicação com o passageiro; uma companhia aérea pode dever assistência sem operar um hotel do aeroporto; e um regulador pode impor deveres de informação sem controlar o design do data center. A responsabilidade exigiria o dever aplicável, violação, causalidade, dano e registro processual.

Conclusão

A interrupção da British Airways em maio de 2017 não foi importante porque as companhias aéreas nunca deveriam perder um servidor ou sofrer uma interrupção de energia. Foi importante porque um evento de infraestrutura removeu o suficiente do tecido operacional digital da companhia aérea para cancelar uma grande parte de sua grade, separar passageiros de bagagens e sobrecarregar os mecanismos destinados a explicar e reparar a interrupção.

A evidência pública suporta uma conclusão firme, mas limitada. O data center primário da BA sofreu uma falha de energia. Os controles de continuidade e recuperação não preservaram o serviço crítico ao passageiro. As dependências de comunicações e mensagens espalharam o efeito por muitos sistemas. As operações de Heathrow e Gatwick se recuperaram em taxas diferentes, e a recuperação de passageiros e bagagens durou mais que a restauração técnica.

A BA reconheceu £ 56 milhões de custos adicionais de compensação e reclamações de bagagem, iniciou um programa de resiliência e colocou a investigação perante o Comitê de Auditoria e Conformidade da IAG.

A mesma evidência não suporta uma alegação definitiva sobre a ação de uma pessoa nomeada, um fornecedor offshore, a sequência exata do UPS ou o caminho físico do dano. Esses detalhes permanecem atrás de uma investigação não publicada. As afirmações corporativas de que as causas raiz foram identificadas não são equivalentes a uma prova técnica pública.

A responsabilidade do passageiro está em um registro separado. O Regulamento 261 exigia reencaminhamento ou reembolso, assistência e informações sobre direitos, independentemente de a compensação fixa ser devida. A correspondência da CAA mostra a BA aceitando obrigações essenciais e alterando algumas informações do cliente, enquanto o regulador pressionava por evidências sobre reencaminhamento em outras transportadoras, transferências, folhetos e capacidade de reclamações. Esse registro demonstra recuperação ativa e escrutínio; não produz um veredicto de conformidade universal.

A lição duradoura é probatória. Resiliência não é a contagem de data centers, a existência de um plano de backup ou um programa de capital posterior. É a prova medida de que a energia pode ser isolada e restaurada com segurança, o processamento alternativo pode sustentar uma operação mínima, os aplicativos podem se reconciliar com um estado conhecido e o atendimento ao passageiro pode continuar por meio de canais degradados. Os registros posteriores da British Airways mostram modernização sustentada e atenção de governança.

Até que o escopo do teste, o desempenho da recuperação, as exceções e as evidências de encerramento sejam visíveis, eles permanecem sinais de reparo confiáveis, em vez de prova completa de que todos os caminhos de falha de 2017 foram eliminados.