英国航空将数据中心电力恢复作为乘客连续性问责试金石

摘要

• 2017 年 5 月 27 日星期六，英国航空报告发生重大 IT 系统故障，称没有证据表明遭遇网络攻击，并取消了希思罗和盖特威克机场所有剩余出发航班。该航空公司后来将起因描述为其主数据中心电力故障。其随后的证券披露称，5 月 IT 服务中断导致超过 500 班次航班取消；广泛报道的运营估算显示，受影响乘客约达 75,000 人。
• 随着事件发展，公司的公开解释有所改变：从笼统的供电问题，到具有破坏性的电力回流和通信硬件故障，再到 IAG 首席执行官威利·沃尔什（Willie Walsh）的声明，即一名工程师断开了不间断电源并在不受控的方式下恢复了供电。这些是公司方面的说法，并非已发布的独立法证报告。本文并未将任何个人的行为、雇主或精确的电气顺序作为独立证实的事实呈现。
• 触发事件可保守表述为：主数据中心的电源中断。就已公布的公司记录支持程度而言，技术根本原因是在该电力事件及恢复期间未能保持关键 IT 服务的可用性。诱因条件包括电源、通信、应用依赖和备用处理方面的连续性不足。详细的保护拓扑、开关状态、损坏机制、故障转移标准和恢复手册仍未公开。
• 此次中断不仅导致网站瘫痪。英航表示，约 200 个系统中的通信硬件和消息传递均受影响。当时的运营报告显示，值机、运营规划、客户渠道和行李处理均出现故障或严重受损。随后，飞机、机组、机场停机位、行李和乘客的顺序被打乱，因此恢复服务器并不能立即恢复可行的航班时刻表。
• 盖特威克恢复速度比希思罗快。英航预计，盖特威克在 5 月 28 日即可接近正常运营，而希思罗仍有大量航班取消和延误。到 5 月 29 日，该公司大部分服务已恢复，但仍在转运滞留乘客和延误行李。这一差异表明，恢复取决于本场时刻安排、容量、飞机和乘客状态，而不仅仅是技术服务恢复。
• 停电原因与乘客关怀合规是分开的问题。欧盟第 261/2004 号条例要求在符合条件的情况下进行退款或改签、在合规等待期间提供关怀、告知权利，并提供固定赔偿。即使是特殊情形，也仅在特定案例中免除固定赔偿；其并不能免除关怀责任。仅凭电力原因的结论本身无法证明或否定对特定乘客的合规性。
• 事后英国民航局（CAA）的通信比笼统的机场混乱报道更具证据力。英航承认其改签义务，同意许多客户无法由其重新预订，表示不论有无旅行保险都将支付第 261/2004 号条例规定的费用，同意修改相关网站措辞，并表示将在应得时支付固定赔偿。CAA 要求就尽最早机会改签、其他航空公司、转机费用、权利传单和投诉处理能力提供更多细节。这些通讯记录了实时的监管审查，而非法院判决称每一项索赔处理得当与否。
• 在此次中断之前，英航已向 CAA 承诺，会告知延误超过两小时的乘客其权利。2017 年 2 月 CAA 的一项审查将英航的关怀与协助方法评为“良好”。这些记录表明，政策和监督流程是存在的。5 月事件考验了当需要识别、联络、改签和支持数万人的同一数字渠道和运营系统本身受损时，这些政策和流程是否能扩展。
• 英国航空在其半年度账目中确认了 5,600 万英镑的额外赔偿费和行李索赔；IAG 按其报告货币将其列示为 6,500 万欧元的同一风险敞口。这是公司记录中最可靠的事件成本数字。这并非总社会成本、收入损失、声誉损害或成功索赔数量的总和。
• 修复证据不一。2017 年英航年报称已启动全面的电力和 IT 韧性计划，并已实施关键行动；IAG 审计与合规委员会听取了英航主席、首席财务官、IT 总监和设施总监的汇报。后来的文件描述了在韧性、数据中心迁移、网络冗余、回退计划和关键运行系统现代化方面的投资。这些披露证明了治理活动和支出，但并未公布 2017 年根本原因的测试场景、恢复目标、故障转移结果或独立结项意见。
• 因此，问责结论是分层的。英航管理层掌握着乘客服务的连续性以及关键系统能否恢复的证据；设施和 IT 控制拥有者掌握着安全电源切换、依赖感知恢复和经过测试的备用处理；供应商在其范围内掌握着合同约定的控制；机场掌握着航站楼和共享系统的响应；而 CAA 掌握着消费者法监管。运营控制本身并不构成疏忽、个人责任或法律违规。

首先看时间线：2017 年 5 月 27 日至 29 日

5 月 27 日星期六：本地基础设施事件成为整个网络运营故障

第一个公开事实模式是笼统且适当谨慎的。英国航空表示，其遭遇了重大 IT 系统故障，导致全球范围严重中断。该公司称没有网络攻击的证据。随着希思罗和盖特威克航站楼变得拥挤，英航先是取消了傍晚以前的出发航班，随后取消了这两个机场所有剩余出发航班。据当时的路透社报道，希思罗表示已加派客户服务同事，并正与该航空公司合作协助已在航站楼内的乘客，根据路透社的同期报道。

区分全球系统影响与全球航班取消至关重要。英航的数字运营环境服务于全球各站点，因此希思罗附近的故障损害了其他地点的值机、消息传递和运营决策。但 5 月 27 日公开宣布的完全取消决定仅适用于从希思罗和盖特威克出发的航班。已在途中的长途飞机在某些情况下仍可继续飞往伦敦，其他航空公司运营的航班并未因英航数据中心而瘫痪。该事件在依赖范围上是全球性的，而非航空系统的全面停摆。

该航空公司最初解释是“供电问题”。一份保存下来的英航首席执行官 5 月 27 日至 28 日声明报道记录了这一看法以及无网络攻击证据的判断，该报道归档于CAPA。该措辞并未指出电源来源、保护装置、开关动作或故障机制。这属于事件阶段的假设，而非完整的根本原因分析。

在运营层面，影响已经显现。值机和行李托运流程停滞或变慢；客服渠道无法承载需求；航班和乘客信息变得更难核对；航站楼里挤满了人，他们的飞机和行李均已无法按预期处理。后来的CAA 2017 年 5 月机场数据档案提供了监管机构的航班级和取消数据来源。这对于独立重建很有用，尽管仅凭月度表格无法确定每起取消的原因。

5 月 28 日星期日：系统恢复，但希思罗无法立即正常化

周日，英航报告称许多系统已恢复。盖特威克恢复至接近正常的时刻安排，而希思罗继续遭受航班取消、延误、排队和行李错位之苦。当时的报道记录了当天早些时候希思罗又取消约 40 班次，但更重要的点是结构性的：服务恢复与运营恢复并非同时发生。

航空公司的时刻安排是一个有状态的物理系统。第一波航班取消导致飞机停错机场、机组面临执勤时限、停机位和起飞时刻错位、中转旅客行程中断、行李与主人分离。重新开启数据库或消息代理并不能可靠推断每一资源现在的位置。恢复的系统必须接收和调和积压数据，同时规划人员需要决定哪些航班仍可用合法机组、可用的飞机、地面保障和目的地容量来执行。

英航首席执行官承认，乘客被滞留、与行李分离并在长时间排队等待信息。报道也指出，备份系统并未提供快速的连续性。5 月 29 日的运营报道将阿莱克斯·克鲁兹（Alex Cruz）的表述归因于上午发生的电力事件，该事件对通信硬件和跨操作系统的消息传递产生了灾难性影响，参见《卫报》。该报道还记录了他关于没有客户数据损坏或泄露的声明。这些都是公司声明。它们支持了消息级联分析，但并未披露诊断日志或证实确切的损害路径。

5 月 29 日星期一：大部分航班恢复，乘客与行李恢复工作继续

到周一，盖特威克和希思罗的长途服务基本正常，英航称希思罗约九成的短途航班已运营。该航空公司仍在处理滞留乘客。克鲁兹表示，仅逾三分之二的受影响乘客将在周一结束前抵达目的地，其他人则提供之后改签。该估算作为事件阶段的恢复措施有用，而并非最终的经审计乘客人数。

主要系统中断结束后，运营遗留问题仍持续存在。取消航班前接收的行李必须定位、分拣并单独运送；乘客必须与新行程关联；必须开启索赔；飞机和机组周转必须重建。5 月 30 日关于延误行李的报道记录了英航的声明，称系统已完全恢复，周二已按完整航表运营。该报道还记录了持续的行李找回工作。因此，5 月 29 日作为严重航班恢复时间线的合理终点，但并非针对每一起客户后果。

后来的公司总数故意比新闻估算粗放。IAG 的 2021 年招股说明书称，2017 年 5 月 IT 服务中断导致超过 500 班次航班取消，见招股书。数据中心 Knowledge 转载的彭博报道给出了每日估算：5 月 27 日取消 479 班次，5 月 28 日 193 班次，加上 5 月 29 日的一些，参见该报道。由于 IAG 的正式披露与媒体分类可能对航班统计方式不同，本分析采用“超过 500 班次”作为公司确认的规模，更精细的数字则视为报道估算。

已确认、推断、存在争议和未知的情况

问责制取决于拒绝虚假的精确性。四个证据标签防止不同的说法坍塌为单一叙事。

已确认的公司和监管记录。英航提交的 2017 年账目称，集团主数据中心发生电力故障，给客户和航班造成了严重中断。同一账目称，管理层已查明根本原因，并启动了一项改善电力和 IT 基础设施与韧性的全面计划。IAG 审计与合规委员会表示，其定期收到关于调查状态、根本原因识别以及即时和更长期恢复的汇报。CAA 的通信证实，监管机构与航空公司事后正在讨论改签、关怀、信息和赔偿事宜。这些记录确立了事件类别、公司承认和治理响应。

有支持的推断。如果电力保护、通信、备用处理、数据一致性和恢复程序共同提供了有效的连续性，一次本地电力事件不应如此大规模地取消对乘客至关重要的服务。这是从结果和系统目的得出的推断。它并未告诉我们哪一个组件首先故障、备用站点是否接收到流量，或者设计的安全防护机制是否缺失、有缺陷、被绕过或被共享依赖所击败。

存在争议的说法。GMB 工会认为，此前的裁员和外包削弱了英航的 IT 能力，使得该事件本可避免。英航驳斥了这一因果关系，并称涉及此次本地数据中心事件的各方均为本地人员。5 月 27 日 ITV 的记录保留了工会的指控和英航的回应，参见ITV 报道。双方的立场均非技术调查。外包是实际的治理背景，但人员变动与停电之间的时间关联并不能证明离岸供应商实施了相关的电力操作或导致了恢复失败。

报道还称，一名承包商切断了电源。媒体提及的现场设施公司表示，有关原因已确定的说法没有事实依据。6 月 2 日包含该否认的报道正是本文不将该人标记为承包商、不指名雇主或不将该指控视为定论的原因。

未知的技术细节。为本文审阅的公开独立调查报告均未提供单线电气图、事件日志、UPS 状态、断路器历史、保护设置、维护许可、开关指令、网络拓扑、损坏清单、备用站点测试结果、恢复时间目标或应用程序恢复顺序。公开记录也未披露独立调查机构的身份或最终意见。尚不清楚触发中断的原因是设备故障、经授权的维护、未经授权的行动、误解的指令还是多重组合。同样未知的是，为何备用处理未能保持最低限度的旅客运营。

这一差距之所以重要，是因为高管的说法可能诚恳但仍不完整。6 月 5 日，沃尔什对记者表示，一名工程师断开了不间断电源，不加控制的恢复造成了损害。他还宣布要进行全面独立调查。路透社对该宣布的报道是 IAG 首席执行官所述内容的可归因证据，参见路透社报道。但它不能替代未发布的报告、底层日志、证人访谈或测试结果。

因果剖析：触发器、根本原因及促成条件

触发器：数据中心电力中断

触发器是使系统进入异常状态的即时事件。最狭义且站得住脚的表述是：5 月 27 日早晨英航主数据中心的电力中断。英航 2017 年年报使用“电力故障”，而 IAG 半年度报告则使用“电力故障”或“停电”。这些来源比早期关于电网浪涌的说法更强有力。

这一区分化解了一个明显的矛盾。据报道，当地供电公司称其网络上未见供电浪涌。英航后来提到现场内电力不受控地回流。如果危害状况发生在公用事业边界之后，这两种情形都可能为真，但公开证据并未证明该拓扑结构。因此，本文不说外部电网浪涌引发了该事件。

技术根本原因：连续性控制未能安全保持或恢复服务

将此中断称为“人为错误”过于肤浅。即便一名操作员执行了不正确的动作，关键设施也应限制权限、要求对危险开关进行确认、保护证据、隔离故障域并通过经过测试的程序进行恢复。该事件影响到了乘客，是因为电力、通信和 IT 连续性设计的组合未能保持航空公司基本流程的可用，也未能将其在运营可接受的时间窗内恢复。

在更具体的层面上，英航称电力不受控地回流并物理损坏了通信硬件。当时的专业报道强调，悬而未决的问题是为何第二个数据中心未能提供可用的连续性。数据中心 Dynamics 的重建报道了英航的两阶段说法、两个数据中心以及围绕故障转移的不确定性，参见数据中心 Dynamics。它还将专家解读明确标记为解读。这是正确的证据使用方式：它识别出技术问题，而非定案答案。

因此，根本原因的陈述必须仍基于结果：英航的架构和恢复控制未能容许并从主站点电力事件中安全恢复。断言某一特定型号的 UPS 失效、两个站点均失去独立电源或某一特定服务器被毁，都属于过度主张。这些细节并不在已提交的公司记录之中。

促成条件 1：通信和消息传递的集中化

克鲁兹表示，每日有数千万条消息在约 200 个系统之间传送，而通信故障影响到了这些系统。当应用程序依赖及时的信息交换来处理乘客记录、飞机装载、行李、机组、离港控制和航班状态时，消息架构可以将本地基础设施损失转化为系统性的不可用性。即使应用程序服务器保持供电，过时或缺失的消息也可能使它们的输出变得不安全。

这是一种有支持的依赖推断，而非证明某一款命名的中间件产品是单点故障。英航并未发布服务地图、队列积压情况、数据核对计划，也未说明哪些 200 个系统实质上不可用。问责问题在于，管理层是否知道放行一架航班所需的最低限度的消息集，以及该通路在恢复期间能否独立运行。

促成条件 2：备用处理未实现最低限度的可行运营

冗余是由服务而非资产数量证明的一种特性。两个房间、两台 UPS 或两个数据中心，如果它们共享网络、身份、存储、管理、消息、电力控制或恢复依赖项，则无法提供连续性。如果数据完整性无法建立、流量无法切换，或者工作人员因没有权限而无法宣布主站点不可用，名义上的备用也毫无帮助。

此次事件显示，英航未能足够迅速地获得有效的备用处理以避免大规模取消。但并未显示原因。可能的解释包括：共享依赖、容量不足、通信不可用、复制不完整、恢复排序，或因状态无法信任而决定不进行故障转移。没有独立调查报告，选择其中某一解释就会将控制问题转变为编造的事实。

促成条件 3：恢复是一个应用问题，而不仅仅是电气任务

电力恢复至少有三道闸门。设施必须在电气上稳定；基础设施和通信必须按受控的依赖顺序恢复；应用程序必须对账到已知的业务状态。一次性将所有设备打开可能导致涌流、网络震荡和同时发生的应用争用。过慢地打开则可能错过运营时间窗。无论哪种方式，电源指示灯变绿并不能证明值机、配载或行李信息已完整。

正因如此，安全恢复需要一个依赖关系图、分阶段的恢复手册、权威时间源、队列与数据库核对，以及明确的继续/终止决策权归属。公开记录支持消息恢复是核心的结论。它并未披露英航的恢复手册是否包含这些控制措施或其表现如何。

促成条件 4：高峰时段放大了后果

事故发生在英国银行假日和学校期中假周末的第一天。高客流量和有限的替代运力意味着更少的空余座位、酒店房间和机场资源。高峰时段并未导致电力故障。它增加了受影响的人数，并使改签和关怀更加困难。一个有韧性的计划应使用严重但合理的峰值情景，而非假设一个空闲的维护窗口。

检测、响应与恢复

检测：中断显而易见，但控制状态的证据未公开

航班的症状立即可见：值机排队、行李流程故障、客服渠道不可用、离港延误不断增加。未公开的是内部的检测路径。一份成熟的记录应显示首次设施告警、首次服务告警、谁宣布了事故、危机管理何时启动、保留了多少遥测数据，以及高管何时知晓恢复将超过当天的运营窗口。

这种区别将影响检测与原因诊断分开。英航足够迅速地检测到严重的运营故障，从而发布公开警告并取消航班。这并不能证明工程师立即知晓电气状态、损坏范围或安全的恢复路径。不断变化的公开解释表明，诊断是逐步演进的，这在大规模事故中是正常的。问责在于随着确定性变化而保留证据并更新说法，而非要求立即的确定性。

响应：取消航班遏制了航站楼和网络混乱，但通信受损

在技术连续性失效后，取消剩余从希思罗和盖特威克出发的航班是一项业务连续性决策。这降低了无限期地滞留乘客并试图在没有可靠处理系统的情况下放行航班的风险。然而，大规模取消造成了第二类工作量：通知、退款、改签、关怀、行李归还和联运保护。

预期执行这些工作的渠道正是受影响生态系统的组成部分。乘客反映难以获取更新，而员工则面临不断变化的运营信息与拥挤的航站楼。希思罗增派同事有助于增加现场人手，但机场工作人员无法生成英航的预订库存或做出每一项航空公司决策。这便是乘客连续性的教训：航空公司需要一种带外途径，在主数字渠道降级时识别受影响人员、发布稳定的运营信息、提供权利信息并授权关怀。

恢复：技术可用性、航班可行性与乘客完结是不同的里程碑

一份站得住脚的恢复记录至少应跟踪三个时钟。第一个在核心基础设施和应用程序技术上稳定时结束。第二个在可运营的航表能在不造成新混乱的情况下运行时结束。第三个在受影响乘客与行李达到解决状态且索赔处理完毕时结束。

英航的时间线展示了这一差距。许多系统周日恢复，大部分飞行周一恢复，周二据报道已运行完整航表，而行李和赔偿工作仍在继续。一个止步于服务器可用性的事件仪表板将实质性低估危害。乘客连续性问责要求衡量以下指标：已改签乘客数、酒店和餐食提供、平均通知延误、行李找回数、索赔积压及最终解决时间。

乘客权利测试独立于中断原因解释

事件发生时，欧盟第 261/2004 号条例在英国适用。其结构有意模块化。根据该正式条例，航班取消触发第 8 条规定的退票与改签选择、第 9 条关怀，并可能触发第 7 条固定赔偿。第 5 条第 3 款赋予承运人在证明即使采取一切合理措施也无法避免的特殊情形时，对固定赔偿的抗辩。该抗辩并不消除第 8 条和第 9 条的义务。

退款与改签

第 8 条赋予受影响乘客一项选择：退票、在可比条件下尽最早机会改签，或根据座位情况在稍后方便日期改签。CAA 正式的第 8 条改签指南指出，航空公司必须向乘客提供有关改签选项的全面信息，包括其他航空公司的航班，并承担证明所提供选项为最早机会的责任。它还期望航空公司保留已识别和已提供选项的记录。

这些要求将改签转化为具体的证据问题，而非仅是恢复工作在进行中的一般保证。对于 2017 年 5 月的中断，一份站得住脚的评估需要基于乘客层面的证据，涉及可得性、联系尝试、紧迫性、可比条件、英航识别的替代方案及其实际提供的方案。后来的 CAA 指南阐明了控制标准；其本身并未确定英航是否就每一受影响的行程达到了该标准。

关怀与合理开支

第 9 条关怀包括与等候时间合理相关的餐饮、必要过夜时的酒店住宿、机场与住宿地之间的交通以及通信。CAA 于 2017 年 2 月发布的 CAP 1500 合规报告强调主动关怀，优先照顾行动不便和无成人陪伴的儿童，并在未提供关怀时报销必要、合理且适当的开支。

法律上与原因的分离是决定性的。在McDonagh 诉瑞安航空案中，欧盟法院裁定，即使在火山灰导致空域关闭等特殊情形下，关怀义务仍继续存在。欧盟法院 Case C-12/11 号案件记录确认，不存在可消除该关怀义务的特别特殊事件类别。因此，英航电力事件是否可控影响固定赔偿分析；它并不决定一名等候过夜的乘客是否应得关怀。

CAA 的通信显示出实际冲突。监管机构质疑英航网站称让客户联系保险公司，以及排除某些机场转机费用的措辞。英航表示，无论客户有无旅行保险，都将支付第 261/2004 号条例规定的费用、修改相关页面，并在英航将乘客改签至另一目的地时报销符合条件的转机费用。这是恢复期间纠正的证据。它并非证明每一位客户都看到了纠正后的信息或及时获得了关怀。

信息权利与沟通

第 261/2004 号条例第 14 条要求告知乘客权利。这对 2017 年 5 月的英航并非新事。2016 年 7 月 29 日，英航曾向 CAA 承诺，向延误超过两小时的乘客提供权利信息。CAA 当前的承诺表说明，承诺是自愿的，不承认过错或责任，且只有法院才能裁定是否发生违规。

事件前的证据是微妙的。2017 年 2 月发布的 CAP 1500 将英国航空的关怀与协助评为“良好”。它描述的标杆是多数情况下主动关怀、及时退款、关注弱势乘客、编写流程、提供培训与监督。这避免了对英航没有政策的简单化说法，也加剧了控制测试：当客户联系、预订和机场信息都依赖已失效的系统时，这些政策在大规模中断的规模下还能否发挥作用？

事后通信称，一名英航代表看到权利传单已在 5 号航站楼分发，且危机管理团队考虑了传单的可获取性。CAA 要求英航提供事后审查报告、希思罗及其他机场的分发记录，以及量身定制的乘客信函示例。这些要求表明，监管机构寻求的是执行证据，而非仅接受政策语言。披露的文件并未包含对每一场所的完整最终审计。

固定赔偿与特殊情形

对于短期通知取消和符合条件的长时间延误，第 261/2004 号条例根据航程距离和其他条件规定了 250 欧元、400 欧元或 600 欧元的固定赔偿。英航对 CAA 表示，将“在应得时”支付固定赔偿。该措辞保留了逐案法律评估的余地；并非承认每一起取消均符合条件。

特殊情形问题不应仅通过类比决定。在Wallentin-Hermann 诉意大利航空案中，欧盟法院认为，航空器的技术问题并非特殊情形，除非它源于非正常承运人活动固有且超出实际控制的事件。官方 Case C-549/07 号案件记录将举证责任归于承运人，并要求采取合理措施。欧盟委员会 2016 年的解释性指南巩固了该判例法。

那些判例涉及的是航空器技术故障，而非企业数据中心电力故障。它们使控制力和固有活动具有相关性，但并不能自动裁定 2017 年英航的每一个航班。法院需要有关原因、承运人控制力、合理措施以及与具体取消或延误之间因果关系的证据。公开技术报告的缺失使绝对的法规声明尤其不可靠。

CAA 的通信并非违规裁决。它记录了恢复期间的问题、期望和英航的承诺。CAA 的 2017 年乘客投诉档案亦警示，投诉数量不等同于决定或赔款，其乘客建议与投诉团队无权就个别裁决约束航空公司。因此，本文在引述的记录中未找到宣布全面合规或全面违规的依据。

财务影响及数字的局限性

英国航空 2017 年上半年的报告给出了最清晰可识的成本。它指出，操作、餐饮及其他运营成本中包括了因停电产生的 5,600 万英镑额外赔偿费和行李索赔，英航继续与客户合作以履行赔偿义务，参见半年报。IAG 按其集团货币将此同一拨备列报为 6,500 万欧元。这两者不应相加。

该拨备是对实质性乘客补救和行李风险敞口的证据。它并不包含所有收入影响、员工成本、湿租、直接支付的酒店费用、声誉损失、乘客时间、错过活动或下游旅游业务成本。会计确认也不代表每一起索赔均为法律要求而非商业和解。它是一项经过计量的公司负债类别，而非全面的福利估算。

在问责分析中使用该数字之前，有必要进行三项调节。首先，英航的 5,600 万英镑数字与 IAG 的 6,500 万欧元数字是同一拨备的报告货币列示，而非分别的损失。其次，拨备记录的是公司在一个会计期间的估计；它既非最终支付的现金总额，亦非乘客人数。第三，后续的供应商补偿是在不同期间确认的回收，若无未披露的和解与会计细节，不能将其净值算入乘客拨备。保持这些分类账分离，可防止一个数额巨大但有限制的会计条目成为编造的总成本或隐含的法律过错分配。

IAG 后来的披露增加了两个问责信号。其 2019 年业绩指出，物业、IT 和其他成本得益于与 2017 年故障相关的一次性供应商补偿，同时部分被韧性和 IT 基础设施投资所抵消，参见2019 年业绩公告。该公告并未指明供应商名称、披露和解条款或赋予公开法律判定。这证明有一笔供应商回收被确认，而非某一特定承包商造成了触发事件。

治理：谁拥有实际控制权

英国航空执管层

英航销售了行程、运营了航班，并控制了客户响应。因此，执管层拥有整合的连续性成果：投资优先级、关键服务定义、供应商治理、事件指挥权、航班决策、沟通和索赔处理能力。即使专业供应商运营某一设施或组件，该所有权依然存在。外包转移的是任务和补救措施；它并不转移客户关系。

英航 2017 年年报坦言其依赖性。该年报称，英航依赖 IT 支持主要业务流程、依赖供应商 IT 基础设施以及机场行李搬运操作。它还表示，系统控制、灾备和业务连续性安排已到位。同一份提交的年报称，该事件促使管理层审查业务运营和连续性计划，参见年报。因此，问责问题不在于计划是否存在，而在于有什么样的保证能证明它们能抵御此类故障模式。

设施、电力和 IT 控制负责人

设施控制负责人对开关权限、维护许可、UPS 和发电机配置、物理告警、安全隔离和恢复拥有实际控制权。IT 负责人控制服务地图、依赖顺序、数据验证、故障转移宣告和应用程序发布。当这些角色交叉时，单一事件指挥需要有权决定场地是否电气安全、基础设施状态是否可信以及航空公司能否恢复航班处理。

没有公开证据将这些控制权指派给某一具名个人。良好的问责应先审查角色设计、授权和验证，再论及个人行为。如果一次单个动作就能断开正在运行的主站点，且不受控的恢复会损坏关键设备，那么管理层需要阐明，双重控制、联锁、同行确认、变更记录和备用服务为何没有阻止事态升级。

供应商

供应商拥有其合同所赋予的一切设施、工程、网络或软件控制权。他们同样欠英航上述边界内的完整事件证据。但公开的合同范围并不可得。因此，不宜推断一家离岸软件供应商控制着本地电气开关，或一家设施供应商控制着应用程序故障转移。IAG 后来确认的供应商补偿意味着存在合同救济，但未披露其事实依据。

英航仍负责整合供应商的控制措施。该组织自己的年报承认，外包和复杂的供应链增加了对关键供应商的依赖。有效的治理应将每项恢复目标映射到责任所有人、服务水平衡量标准、证据来源和跨供应商演练。

希思罗、盖特威克与共享机场系统

机场控制着航站楼进出、人群管理、共享设施、机位和部分行李基础设施；英航控制其航班、乘客记录和航空公司决策。希思罗增派了客服工作人员。盖特威克更快恢复至接近正常的英航航表表明，本地运营条件很重要。根据公开证据，两个机场均未导致英航主数据中心的电力故障。

边界仍需联合计划。一架已取消的航班可能将行李留在机场管理的流程中，而乘客通知和改签的所有权仍属于航空公司。机场与航空公司的演习必须测试该交接环节，包括如何停止接纳行李、退还被接受的行李、保护弱势人员，并发布一致的指令。

IAG 董事会监督与 CAA

IAG 审计与合规委员会定期收到了来自英航主席、首席财务官及其 IT 和设施总监的汇报。委员会报告称，这些汇报涵盖了调查、根本原因以及即时和长期恢复，参见委员会报告。这是高级别监督的证据，而非独立的技术保证，因为所披露的输入来自管理层，且报告未给出结项标准。

CAA 的实际控制是消费者法监管，而非运营英航的数据中心或航班。其迅速的通信明确了在改签、关怀、信息和赔偿方面的期望。监管机构可以要求证据并推行集体执法；它不能操作航空公司的消息架构，也不能立即裁定数千件事实特定的索赔。保持这一边界清晰，可防止将技术故障错误标记为监管因果关系。

什么算作可验证的韧性修复

该事件催生了承诺、支出和治理活动。持久的问责要求有证据证明，具体的故障路径已受控制。需要五类证明。

1. 电力控制证明

英航应能出示当前单线图、保护与 UPS 测试记录、发电机和电池容量证据、开关许可、基于角色的权限、对高后果行为的双重确认以及不可变的事件日志。恢复程序应定义分阶段负载、通信检查和中止标准。维护演练应证明，主路径可在不中断必要服务的情况下被隔离，且恢复无法绕过要求的验证。

这并非事后之明。英国政府业务连续性指南指出，计划只有在演练后才可靠，并特别指明了像不间断电源等测试系统，参见指南。标准是可行控制的证明，而非拥有一纸文件。

2. 备用处理证明

一个备用站点必须证明其独立于引发故障的域，并有足够容量支持一家最低限度可运营的航空公司。测试应证明身份、网络、数据、消息和应用的可用性；已测量的恢复时间目标和恢复点目标；以及针对乘客关键服务的明确排序。完全中断或许并非总是安全的，但受控的生产环境故障转移、隔离的预演和组件移除可以共同提供证据。

NIST 的SP 800-34应急计划指南建议进行业务影响分析、恢复策略、测试和计划维护。其测试指导明确设想了移除系统或组件的电源并使用可量化的成功标准。NIST 的SP 800-53应急控制要求进行计划测试、结果审查和纠正行动，包括在备用处理站点进行测试。这些并非美国出版物对英航施加的法律义务；它们是证据驱动恢复应如何进行的权威基准。

3. 依赖感知的应用证明

英航需要一份清单，将业务成果与应用程序、消息、数据库、网络、设施和供应商联系起来。一项测试应表明，值机、离港控制、航班计划、机组、配载、行李接口、客户通知和改签等功能要么能安全运行，要么能受控地失效。恢复必须证明队列核对和数据完整性，而非仅仅是进程的正常运行时间。

英国国家网络安全中心在其关于韧性的网络和系统的原则 B5中表达了同样的一般性观点：组织应了解依赖关系，规划物理升级（如供电变更）以避免计划外中断，并针对系统故障进行设计。该原则涵盖网络和系统韧性；引用它并不会将 2017 年事件重新归类为网络攻击。

4. 乘客连续性证明

技术演练应当包括一次延长中断的客户后果。英航能否从一份独立的数据提取中识别受影响乘客？它能否在不借助主平台的情况下发送稳定的通知？机场团队能否发放权利信息并授权餐食和酒店？代理能否在其它航空公司进行改签？航空公司能否停止接收行李，并核验已进入系统的行李？索赔处理能力能否在规模上扩展而不掩盖不断增长的积压？

成功标准应包括通知时间、联系覆盖面、改签完成度、弱势乘客支持、行李核对和索赔时效。这正是大企业与小型旅游企业共享连续性利益的地方。旅行社、酒店、地面交通运营商和企业差旅经理都依赖准确的航空公司状态；一次中断若隐瞒信息，就会将恢复工作和现金流压力转移到更广泛的服务链条中。

5. 独立结项及复发证据

最终的证明应将每项根本原因和促成原因映射至一项整改行动、责任人、截止日期、测试、结果、残余风险及董事会接受。独立审查人应验证一个代表性样本并说明局限性。公开发布可省略对安全敏感的拓扑，但仍可披露测试范围、已实现的恢复目标、实质性例外事项和治理结项。

公开记录并未达到该水平。英航 2017 年年报称，一项全面计划已启动，关键行动已实施。IAG 2021 年年报后来描述了三个数据中心迁移项目，将系统迁移至云托管基础设施，以增强韧性和性能，参见2021 年报。2021 年的报告是现代化的证据，而非 2017 年所有控制缺陷均已闭合的证明。

英航 2023 年的报告增加了更具体的持续控制措施：从本地数据中心向云端迁移、网络修复和冗余、系统控制、灾难恢复、业务连续性，以及针对关键基础设施迁移的回退计划。2023 年英航年报做出了这些第一人称主张。它并未公布演练结果，而后来英航的其他中断意味着，不应将现代化解读为永久免疫。

IAG 最新的报告提供了一个观察信号。其 2025 年年报称，英航对关键的值机、飞行计划、飞行管理和时间敏感的载重平衡系统进行了现代化改造，改善了 2025 年的准点率，并在 2025 年 3 月希思罗机场停电后恢复得更快，参见2025 年报。那是一起不同的事件，发生在英航数据中心之外，不能作为对 2017 年情景的受控复测。然而，它确实表明，IAG 如今从客户和运营成果的角度报告韧性，而不仅仅是基础设施活动。

问责矩阵

该表格分配了运营控制权，而非法律上的有罪认定。供应商可以控制一个断路器，而不控制乘客沟通；航空公司可以负有关怀义务，而不经营机场酒店；监管机构可以执行信息告知义务，而不控制数据中心的设计。法律责任将需要适用的义务、违规、因果关系、损害及程序记录。

结论

2017 年 5 月英国航空的中断之所以重要，并非因为航空公司永远不应丢失服务器或遭遇电力中断。而是因为一次基础设施事件将该航空公司数字运营架构的很大一部分摧毁，足以取消其大比例的航表，使乘客与行李分离，并压垮那些本应解释和修复中断的机制。

公开证据支持一项确切但有边界的结论。英航的主数据中心遭遇了电力故障。连续性和恢复控制未能保护对乘客至关重要的服务。通信和消息依赖将影响扩散到许多系统。希思罗和盖特威克的运营以不同速度恢复，且乘客和行李的恢复比技术恢复持续更久。英航确认了 5,600 万英镑的额外赔偿和行李索赔成本，启动了韧性计划，并将调查提交至 IAG 审计与合规委员会。

同样的证据并不支持关于某一具名个人行为、某一离岸供应商、确切的 UPS 顺序或物理损坏路径的确定性主张。这些细节仍藏在未公开的调查之后。公司宣称已查明根本原因，并不等同于公开的技术证明。

乘客问责基于另一份记录。第 261/2004 号条例要求改签或退款、关怀和权利信息，而这些与是否支付固定赔偿无关。CAA 的通信显示，英航接受了核心义务并更改了某些客户信息，而监管机构则施压要求提供其他航空公司改签、转机、传单和索赔处理能力的证据。该记录证明了积极的恢复和审查；它并未产生一份全面合规的裁决。

持久的教训在于证据。韧性并非数据中心的数量、一份备份计划的存在或一项后发的资本方案。它是经过衡量的证明，即电力能够安全隔离并恢复、备用处理能够承载最低限度的运营、应用程序能够对账至已知状态，以及乘客关怀能通过降级的渠道持续下去。英国航空公司后来的文件显示了持续的现代化和治理关注。在测试范围、恢复性能、例外和结项证据变得可见之前，它们仍是可信的修复信号，而非完全证明 2017 年每一条故障路径都已被消除。