NTT DOCOMO 2021 切回事故：移动核心容量与问责

摘要

NTT DOCOMO 于 2021 年 10 月 14 日将一组物联网用户与位置信息服务器从旧设备迁移到新设备。该事件中发现了部分海外漫游物联网行为异常后，运营商将该人群回退。其技术报告称，因与承包商之间存在流程误解，导致大量设备一次性返回并产生了大量位置注册信令。[1]-[5]
这次激增并未限制在某一类物联网服务内。NTT DOCOMO 与日本总务省表示，物联网和普通移动用户共享信令交换机中的位置注册处理资源。注册负载耗尽了这些资源，进而在订阅服务器与信令交换机之间形成拥塞，并向全国网络扩散。[3][5][7][8]
公开的影响测量给出了不同条件，应避免将其合并为唯一的人数口径。无法使用期间从日本标准时间 17:37 到 19:57，历时两小时二十分钟；估计约一百万人受影响。另一个困难使用阶段从 10 月 14 日 16:54 持续到 10 月 15 日 22:00，历时二十九小时六分钟；运营商估计该阶段约有 460 万语音用户和至少 830 万数据用户受影响。[3][7]
恢复是分阶段完成的。运营商先控制了 4G 位置注册，再按区域放宽 IoT 注册流量并调整，先恢复 5G 与 4G 再恢复 3G，且在最严重“无法使用”期结束后继续进行服务级修复。这说明仅恢复一个限制或返回单台服务器并不意味着可达性已恢复。[1][3][5][7]
日本监管机构将该事件定性为重大事故，并要求对迁移准备、承包商协同、物联网与语音等通信隔离、紧急呼叫通告、行业吸取教训等方面采取行动。该定性代表的是正式公共利益门槛的认定，本身不等于过失或民事责任的直接判定。[6]-[8]
NTT DOCOMO 公布的整改方案包括比较新旧规范、补充海外漫游测试、统一切换与回退流程、设置决策截止时间、支持仅物联网注册控制、分离注册处理资源，以及建立网络控制程序。其表明了修复方向，但公开材料仅表明制度方向，并未证明其全部部署完成或持续有效。[4][5]
IIJ 的下游独立证据显示了通过 NTT DOCOMO 网络发生在语音、数据、M2M 与物联网服务中的影响。这确认了影响传播超出 NTT DOCOMO 的零售公告，但并未披露所有私有路径或全部客户影响。[9]
GSMA 与 ETSI 的材料解释了为何同步终端行为、重复注册、拥塞控制、退避与优先级在移动核心中至关重要。这些标准和指南定义了控制类别，但并未确认 NTT DOCOMO 在事故中具体采用了哪个计时器、阈值、报文或选项。[12]-[15][18]-[20]
核心问责问题在于：迁移与回退权限是否与当前端点群体清单、代表性负载模型、独立控制平面容量、服务级节流、分批执行、紧急中止阈值、独立可达性探测及可追溯恢复证据相绑定。
Heng.lu 视角关注的是电信连续性：可运行的代码行为才决定现实。流程可以在纸面上授权一次“安全切回”，却无法让超载的信令平面为设备完成注册或建立通话。准确记录使运行状态可检验，但并不自动等同于声明状态是真实的。

切回是一次全新运行事件

回退通常被描述为回到安全状态，这个比喻直观。如果新系统行为错误，就恢复旧系统并回到之前状态。对某个静态本地对象，这样说往往成立；但当分布式网络和大规模端点群体在迁移过程中状态已变化时，这种描述不完整。

NTT DOCOMO 的 2021 年 10 月事件正好揭示了差异。该运营商正在将物联网用户和位置信息服务器从旧设备迁移到新设备。某项软件规格问题影响了部分海外漫游物联网行为。随后，运营商将群体回退。按 DOCOMO 报告，回退流程一次性返回了大量 IoT 设备，形成了大规模位置注册信令。 [2][3][5]

旧服务器看起来熟悉，但其承载的负载未必与迁移前相同。返回群体需要重新执行注册工作，且在被拒绝或延迟后，重试行为可放大负载。控制平面系统与信令交换机必须处理的是同步发生的群体迁移，而不是普通背景流量。

这也是“旧设备已恢复”不构成充分恢复表述的原因。分布式回退至少包含四种状态：

运营商意图返回的配置或服务器部署位置。
需要重新附着、重新注册或重试的端点群体。
必须处理该返回的控制平面资源。
重新可用的语音、数据、紧急通信和下游服务。

每个状态可在不同节奏恢复。旧服务器可被激活，但注册队列仍在增长。信令交换机可能接受部分请求而拒绝其他请求。某项限制可被取消，但客户设备仍处于受损状态。某一代无线制式可恢复，而另一代仍然拥塞。10 月事件正好体现了这种分阶段结论。[1][3][7]

因此可问责的单位不是回退命令本身，而是从一个运行群体到另一个运行群体的完整过渡。执行前，运营商应知道可迁移的端点数量、返回速度、共享的信令资源、可隔离流量类型、重试边界，以及阻止下一批执行的证据条件。恢复期间，观察指标应是成功注册与服务可用，而不是仅看流程结束。

这不是“变更要更谨慎”的泛泛经验。网络机制才是核心论证。去掉位置信息迁移、端点回流、注册信令、共享信令交换机、过载控制和分阶段移动服务恢复，关于问责的论证就会失去支撑。

影响记录包含多个时间刻度

大型事故常被压缩为单一故障时长和单一受影响用户数，便于复述，但会抹平“无法使用”“降级使用”和“分阶段恢复”之间的运营差异。

NTT DOCOMO 与总务省发布了该事件的多套测量。无法使用时段报告为 10 月 14 日 17:37 到 19:57（日本标准时间），持续两小时二十分钟；约一百万人估计受影响。另一个困难使用时段从 10 月 14 日 16:54 开始，持续到 10 月 15 日 22:00，历时二十九小时六分钟。该阶段中，运营商估计约 460 万语音用户和至少 830 万数据用户受影响。[3][7]

这些数字不应被相加为单一唯一人数。一个客户可能同时计入多个服务估算。语音与数据群体可能重叠。无法使用的估算方法也可能与困难使用的方法不同；这些数字描述的是条件，而非每位用户持续一致体验的证据。

这一区分不仅是统计学谨慎，而是恢复结构的揭示。

16:54 开始大规模物联网位置注册。17:37 起，NTT DOCOMO 对 4G 位置注册施加控制。随后在全国范围按区域放松限制，并从约 19:57 开始描述按序恢复。然而客户仍有困难。运营商当晚后期开始调整物联网注册量。5 月 15 日 05:05 报告了 5G 与 4G 恢复，3G 恢复在 22:00 完成。[1][3][5][7]

因此，一个事故可经过多个里程碑：

最严重的不可用状态结束。
大范围控制被放宽。
选定地区的注册成功率提升。
语音与数据对大多数客户可用。
一代无线制式恢复。
转入其他代的设备完成回归。
下游服务确认恢复。
剩余拥塞与用户操作结束。

如果运营商仅发布最早的有利里程碑，沟通可能在技术层面正确却在运营层面误导；若等待每个残留症状消失，也可能无法提供有用的阶段性信息。对策是服务特定表述：恢复了什么、面向哪个群体、按何种测量标准、尚存哪些损害。

通信运营商协会的可靠性与停机沟通材料提供了行业背景，可用于准确的服务级报告。后续指引不能证明 2021 年 10 月期间 DOCOMO 的具体沟通内容，但有助于定义未来应保留的证据边界。[16][17]

该时间线也改变了整改验证方式。回退演练不应在流程顺利退出时即判定成功；应量化注册队列深度、信令交换机利用率、接收与拒绝比率、语音呼叫建立、数据会话建立、紧急呼叫可达性、下游 MVNO 状态与按代测量恢复。只有在声明的服务目标都满足后，才可停止时钟。

大规模位置注册成为控制平面负载

移动设备只听到无线信号并不等于可用。网络必须充分了解设备和用户才能完成认证、定位、路由和服务支撑。移动性管理和位置注册会在核心网产生信令工作。

公开事故材料把这项工作识别为直接压力点。物联网群体回退时，大量设备产生了位置注册信令。信令拥塞在订阅服务器或位置信息服务器与信令交换机之间形成，共享处理资源被消耗，并通过全国网络扩散。[3][5][7]

这属于控制平面故障机制。客户可见的伤害表现为语音与数据困难，但触发负载并非单纯用户承载流量，而是网络为端点建立或更新状态时产生的控制工作。

这一区分关键，因为只按平均承载量规划容量会遗漏信令风险。物联网设备可能上层业务数据很少，但当大量设备同时连接、脱网、漫游、重启或重试时，仍可能产生显著控制平面压力。一个车队在稳态时很安静，却在同步迁移时极具破坏性。

GSMA 的连接效率指南说明了更广泛的风险类别。协调不足或同步化的 IoT 行为可产生过量信令，恢复时的重试行为在大量设备同一时刻重连时可能再次放大负载。随机化、退避、有界重试和高效连接管理是降低该压力的常用手段。[12][18][19]

ETSI 与 3GPP 的规范描述了移动性信令和网络拥塞控制机制，包括拒绝与退避行为。它们提供了技术词汇，用于讨论注册请求被接收、延迟、优先级调整或拒绝的具体机制。[14][15]

这些材料并未证明 NTT DOCOMO 在该事故中的确切配置。公开记录没有披露所有报文类型、计时器取值、拒绝原因、厂商实现或每节点阈值。不能因为标准允许某参数就推断其被采纳。

它们支持的是一套具体的问责议程：

在切回前，是否记录了预期返回的设备数量？
该模型是否覆盖了漫游设备和延迟重试行为？
订阅服务器与信令交换机能承受多高注册速率？
哪种队列、CPU、内存或事务阈值会停止该批次？
网络能否在不对普通用户施加同一限制的情况下，指示物联网群体退避？
重试是否已随机化？是否可能在统一拒绝周期后再次同步？
优先级和紧急通信是否保留了独立容量？
测试是否在具备生产代表性群体和信令规模下进行？

这些问题的价值在于都可产生证据。端点清单、负载测试结果、容量边界、阈值配置、分批迁移日志、拒绝率曲线、通话建立探测都可以被保留。仅宣称有回退方案并不能回答这些问题。

共享信令资源扩大了影响范围

公开记录中的关键架构事实是共享资源边界。NTT DOCOMO 表示物联网与普通移动用户在信令交换机的位置信息注册处理上共享资源，也表示一开始无法仅对物联网群体实施精细限制。[3][5]

该耦合使某一服务类中的端点过渡也会影响更广泛的语音和数据服务。触发点是物联网迁移，但伤害扩散到全国移动网络，因为控制平面资源共享且可用限制不够分级。

共享基础设施本身不天然代表过失或缺陷。共享可提高利用率、简化运维并带来规模效应；问责问题在于共享资源是否具有与过载后果相匹配的隔离能力。

隔离可以有多种形式：

对不同重试行为的端点群体提供独立处理容量。
认识到设备或用户类型的准入控制。
按类别设置队列和速率上限。
为普通语音、数据、紧急通信和优先服务预留容量。
失败域设计，避免单次迁移批次消耗全国容量。
为每类群体提供独立遥测。
在服务面拥塞上升时仍保留控制路径。

总务省要求 DOCOMO 最小化物联网服务与语音或其他通信之间的互相影响。DOCOMO 的回应描述了两类相关变更：分离物联网终端与普通终端的位置信号处理资源，以及添加可独立限制物联网位置信息注册信令的能力。其还提出了基于资源利用率观察并调整限制的网络控制程序。[5][8]

这比“避免重复错误”的指令更具实际约束性，能改变谁竞争容量、谁可被限速。它将控制从泛化的全国性限制，推进到按群体隔离的封存机制。

公开文档仍留有证明问题。计划内分离不等于已部署分离。能够限制物联网流量的功能，不等于有通过测试的阈值和操作程序；资源划分可能过小、共享其他依赖，或随设备规模增长而失效。

持久化证据应包含部署时间和范围、控制识别的类别、各类预留容量、负载测试结果、告警阈值、演练记录和变更历史。还应显示应急呼叫等关键服务是否有独立运行路径，而非仅逻辑优先放在同一枯竭子系统内。

这也是 Heng.lu 原则“运行代码优先”的价值所在。设计文档可以记录意图边界，但实际队列、资源消耗、拒绝行为与服务完成情况才显示该边界在受压时是否真实存在。记录使运营者和复核方可将意图与现实对齐，而不是以文档代替运行系统。

回退需要端点群体台账

大型迁移通常会严格记录服务器、软件版本、接口和维护任务。DOCOMO 事件显示，同样重要的对象是参与迁移的端点群体。

运营商与承包商需要知道的不仅是哪个订阅或位置信息服务器会激活，还包括哪些设备将被导向该服务器、会保持何种状态、一次返回多少设备，以及在拒绝或延迟后它们如何行为。

一个可问责的端点群体台账无需在公开报告中识别单个客户。在内部，应当将迁移绑定到可测量类别：

端点属性	为何重要
设备或业务类别	不同固件与应用可能以不同方式重连
国内或漫游状态	漫游行为可暴露规格与测试缺口
预期活动数量	定义常规注册基线
最大同时回退量	定义切回洪峰
重试与退避行为	决定负载是衰减还是再次同步
优先级类别	保护紧急和关键通信
指定服务器与信令路径	揭示共享依赖关系
批次与切换窗口	使执行保持有界
观察到的注册成功率	显示批次是否健康
中止与释放阈值	防止下一批被推进

这是运营记录职能的一部分。台账并不赋予设备所有权，也不能仅凭清单构成权力。其目的在于唯一性、准确性、转移记录、保护元数据与连续性。迁移控制器可用它决定哪部分群体迁移、证明预期群体已迁移，以及检测到非计划群体返回。

没有这类记录，回退可能被当作一次服务器操作，而实际负载来自数百万客户端。控制系统只看到盒子被恢复，却看不到被其授权的群体风暴。

公开报告显示，旧与新设备行为在部分海外漫游物联网场景未完全对齐，NTT DOCOMO 与承包商对切回流程理解也不一致。[5][7][8] 这对应两类并行记录：规格差异台账和群体迁移台账。

前者应识别旧系统行为中每项新软件必须保留或故意变更的内容；后者应识别每个端点依赖哪些行为、在切入与回退期间如何移动。只做其一会漏掉真实负载与兼容边界。

NTT DOCOMO 公布的回应包括比较新旧规格与补充海外漫游测试，也包括更清晰的切换与回退流程，以及负责人确认。[4][5] 这些控制在比较记录、测试输入、期望结果、审批和精确版本与流程一并留存后，才可被审计。

承包商协调本身是技术控制

外包并不削弱运营商对其网络的责任，但会在假设、流程与权限上形成接口。

日本总务省与 DOCOMO 材料都提到，运营商与承包商在切回流程理解上存在差异。[5][7][8] 这不仅是沟通问题，在移动核心迁移中，流程决定了哪些群体迁移、以何顺序、在何条件下执行，以及谁能停止或逆转操作。

问责模型应按实际控制划分参与者：

NTT DOCOMO负责公众移动服务、迁移授权、网络架构、共享资源设计、流量限制、客户沟通和恢复宣告，因此其核心义务包括建立安全流程、核验承包商方案、限定群体边界、监测网络，以及保护普通和关键通信服务。

承包商可能负责实现细节、设备行为、流程编制、测试执行或具体操作步骤。公开记录未披露完整合同或权限映射，故具体错误责任不能超出已发布结论。运营商仍需证据证明委托工作符合其控制要求。

设备与软件供应商可控制产品行为、缺陷、文档和修复。公开材料未提供足以将因果归因到具体供应商的证据。

物联网服务商与设备制造商可影响连接效率、重试逻辑与群体行为，但不能控制 DOCOMO 的共享信令交换架构或全国性限制权限。它们的责任应与其可变更行为一致。

客户可以重启设备、遵循服务指引或设计业务连续性机制，但不能在 DOCOMO 核心内创建选择性注册控制。

监管机构可设置义务、展开调查、要求整改并推动行业学习，但不执行运营商的切换，也不直接运行信令平面。

强有力的运营商—承包商接口会把这些边界形成控制文档：谁拥有端点清单、谁核验新旧规格、谁授权每一批次、谁监控哪些信号、谁可停止作业、谁执行回退、谁发布恢复声明。每个角色都应有备份负责人和时间戳操作记录。

经理互确认可减少误解，但单凭签名不是强证据。确认应绑定到具体流程、源与目标软件版本、端点群体、预估信令负载、阈值与恢复计划。否则，两位经理可能在同一歧义文档上各自签字，仍不能保证一致执行。

回滚截止时刻需要运行阈值

DOCOMO 的回应说明了回退决策规则变更：工作有一个最终决策时限，以覆盖故障排查与回退时长；关键告警与流量变化可触发立即回退。预期告警和流量变化在前置说明中被识别。[5]

这些设置很重要，因为高影响变更中的延迟会扩大受影响群体。值班窗口常会因持续排查而产生压力，导致回退决策被拖延。截止时限将剩余恢复时间显性化，并使犹豫可被度量。

时间本身不足以构成控制。一个可用的决策框架要将时钟与运行阈值结合：

最大失败或延迟注册率。
最大信令交换机利用率。
最大队列增长速率。
最大语音呼叫建立失败率。
最大数据会话建立失败率。
最大紧急呼叫受损程度。
最大受限制地理区域数量。
预期端点数量与观察值之间的最大偏差。
最长期限内仍无可靠成因分类。
在维护窗口结束前安全回退所需的最小时间。

每个阈值都应注明来源、采样间隔、责任人和触发动作。“高流量”本身不能作为触发条件；“五分钟内注册处理长期高于测试边界且通话完成低于服务目标时停止下一批并启动受控回退”才是可稽核触发。

回退本身必须受限。如果一次性返回全部群体，回滚可能重现或放大过载。一套更稳妥的系统可暂停新迁移、先隔离受影响群体、恢复有限批次、观察资源状态，再在达成验收后推进。

这形成了双向回退方案：

恢复目标服务器或软件状态。
控制由该恢复产生的群体与信令状态。

第一项是配置恢复；第二项是服务恢复。十月事件说明两者都必须在变更前完成设计。

恢复应在服务边界测量

运营者需要内部里程碑：服务器可达成健康，信令交换机降到阈值之下，某项限制被放宽，这些都有助于应急协调；但客户感知的是服务完成状态。

针对该事件，有用的服务边界证据包括：

按地区和无线代际统计的成功注册。
语音呼叫建立与完成。
数据会话建立与分组传输。
紧急呼叫完成。
与场景相关的短信或消息投递。
MVNO 与下游运营商成功率。
物联网车队在无新一轮信令洪峰下完成重连。
从 3G 回退到 4G 或 5G 的设备转换。

DOCOMO 的分阶段时间线说明了其必要性：严重无法使用期结束早于更长的“困难使用”期，5G 和 4G 恢复先于 3G，部分用户仍需设备端动作或渐进切换。[1][3][7]

一份诚实的恢复通报应把内部动作映射到外部测量，例如：在指定地区放宽注册限制后，成功注册仍保持高于定义阈值，语音呼叫完成恢复，数据会话可用，仍有某代网络未完全恢复。这样可避免把控制动作误解读为结果完成。

IIJ 的公告提供了第二平面。IIJ 报告了通过 DOCOMO 网络发生的语音、数据、M2M 与物联网服务影响与恢复情况。[9] 下游运营商并不掌握 DOCOMO 的每个内部状态，但可展示主要依赖链在主要运营商外部是否可恢复。

最强恢复记录应对齐：

DOCOMO 内部资源与注册测量。
零售客服侧探测。
紧急服务证据。
MVNO 与企业物联网报告。
按地区与代际状态。
剩余用户操作。

单一测量不完备，组合后可防止过早宣布“已恢复”。

应急呼叫改变公共利益门槛

移动网络除了支撑普通通信，也承载应急呼叫、支付、物流、运输和资产管理。日本总务省强调这一更广泛依赖关系，才出台了行政指导。[6]-[8]

监管将该事件定性为重大事故并不只是私人服务纠纷，它表明影响规模、持续时长或服务后果已越过正式电信门槛，要求有书面整改和公开回应。

该定性不应被夸大为记录没有支持的结论。其并不单独证明过失、故意、损失金额或超出监管公开结论的违约。本文并未据此推演这些结论。

它支持对关键服务连续性提出更高证据标准。如果应急呼叫会受共享控制平面拥塞影响，运营商应能说明：

受影响的注册资源与哪些应急呼叫路径相关。
优先级处理在过载类里是否仍可用。
备用网络或固定线路是否真正独立。
受影响公共机构是否在受损期间获得及时、明确通知。
对用户给出的应急场景建议是否安全且可执行。
演练是否同时测试了普通与回退路径的失效场景。

回退建议可能危险：如果它假设了并不存在的独立路径，用户可能被建议换设备、换代际或换网络，但替代路径依然共享位置注册资源、回传链路、供电或过载接口。依赖图必须表明隔离是物理、逻辑、流程上的，还是仅停留在假设。

NTT DOCOMO 的整改包含沟通改进与行业共享。TCA 材料提供了行业机制。[5][16][17] 持久证据在于后续演练和通报能否更快识别受影响服务、给出仍受损状态并给出已验证的替代路径。

物联网不在公共网络之外

该事件也挑战了常见边界认知。物联网连接常被当作与普通移动用户分离的专属业务，但在实际运行中，它可与订阅系统、信令交换机、无线接入、传输、身份与控制流程共享，参与公共网络核心运行。

十月故障由物联网服务器迁移引发，并影响普通语音与数据服务，原因在于共享基础设施。物联网群体并非“外部负载”仅消耗剩余容量，而是核心控制平面状态的一部分。

这有两个含义。

其一，物联网规模应按信令指标评估，而非只看数据量。一个表计、追踪器、终端或嵌入式设备可发送很小的承载流量，却在车队级重连时产生巨大注册工作。关键不是每月字节数，而是并发接入、注册尝试、重试分布、漫游行为和恢复同步性。

其二，物联网合同与接入流程应包含网络连续性控制。运营商应理解车队在失去覆盖、服务器迁移、被拒绝、重启或时间同步偏差下的行为。设备厂商与服务商应实现高效且有界的连接行为。运营商应在设备表现异常时仍保护共享资源。

GSMA 指南涉及连接效率与运营商防护机制。[12][13][18]-[20] 该材料支持一个共享控制模型：

设备与应用设计应避免同步、无界重试。
物联网服务商应维护最新的群体和固件记录。
移动运营商应识别群体、执行准入控制并隔离核心资源。
漫游合作方应在相关环境测试行为。
关键用户应理解连续性依赖关系。

各方职责互补。设备侧退避不足不能替代缺乏群体隔离的共享核心；选择性网络限流不能替代忽视连接效率要求的设备。问责应追踪每个参与者的实际控制范围。

标准定义可能性，不等于事故事实

技术标准可通过列举协议行为和控制机制，帮助改进调查；但也容易产生“看似精确”的误判，当撰稿人据一般性规范推断私有实现时会误导。

ETSI 与 3GPP 文档描述 Evolved Packet System 架构与非接入层（NAS）行为，包括移动性管理、注册相关信令、拥塞、拒绝和退避概念。[14][15] GSMA 材料讨论连接效率、设备行为、运营商保护、过滤、优先级及异常信令。[12][13][18]-[20]

据此可以合理追问是否实施了注册限速、重试是否随机化、优先级是否受保护、网络是否可隔离物联网群体；但在 DOCOMO 的公开证据未说明的情况下，不能声称其配置了特定计时器或拒绝原因。

这一区分避免两类错误。

第一类是技术造作。看似合理的协议说明可能听起来权威，却不一定符合实际网络。私有厂商实现、软件版本、漫游协议和策略都可改变行为。

第二类是控制表演。运营商可仅以标准合规为口号，但若未展示相关选项的配置、测试、监测和有效性，合规并不证明容量充足或迁移过程安全。协议一致不自动等于可承载能力和切换安全。

因此证据链应分四层：

标准识别可用或要求的机制。
运营商记录其选定实现与配置。
代表性测试在预期群体与负载下演练该机制。
生产观测显示该机制是否限制或恢复该类事件。

只有第四层才证明真实运行行为。前三层使该证明可解释。

已公布整改仍需独立运行证明

NTT DOCOMO 于 2021 年 12 月的公开回应描述了一套完整计划：比较新旧规范、测试海外漫游行为、与承包商明确流程、设定回退决策时限、定义预期告警与流量、增加物联网专有调节、分离资源、建立网络控制流程、开展演练、改进客户沟通，并通过行业共享经验。[4][5]

这些控制与故障机制一致，覆盖了兼容性、群体过渡、权限、时序、隔离、过载、可观测性和沟通，不再依赖仅有培训文件。

但核心问题是持久性。公开报告一般只说明意图和完成计划，未完全披露全部生产配置或持续测试结果。控制可在一次执行后因规模增长、软件替换、组织调整或新承包商而减弱。

对每项已公告的控制，运营商应保留一组可证伪证据：

已宣布控制	持久运行证明
新旧规范对比	版本化矩阵、未决差异、审批记录与与部署软件挂钩的测试
海外漫游测试	代表性合作方与设备矩阵及预期/实际结果
共享切回流程	精确流程版本号、角色映射、审批、演练和执行日志
最终回退决策时限	时间戳决策记录及反向可在剩余窗口内完成的证明
预期告警与流量画像	基线、阈值、告警路径、响应与误报复盘
物联网仅注册限制	配置、群体识别、触发条件、执行效果与关键业务检查
资源隔离	架构与负载证据，展示普通服务在物联网洪峰下仍可用
网络控制演练	场景、注入负载、决策、服务探测、结果与后续整改
客户沟通规范	发布时间线、服务粒度、审批路径与下游分发机制
行业共享	发布指南、参与方、采用证据、后续修订记录

这不要求公开敏感网络参数。聚合后的证据可在保护可攻击细节的前提下展示控制覆盖与结果。关键在于让运营商、监管者和具备资质的复核者区分“已声明的修复”和“已在运行中的修复”。

责任地图应紧随实际控制

责任会变得模糊，当每个参与方都被描述为共同负责；也会变得不公，当所有后果都归到最明显的品牌上而不看实际控制。更稳健的地图应把每个参与者分配到预防、封堵、证据、沟通和恢复。

参与方	实际控制	应提供证据	边界
NTT DOCOMO	迁移授权、核心架构、共享信令容量、限制措施、监控、恢复与客户公告	准确的变更与流程、群体模型、负载边界、阈值、服务探测、整改证明	无法保证每一台设备或每个下游应用行为
承包商	在委托范围内实现流程、提供技术输入、执行具体步骤	版本化流程、假设、测试结果、运营商确认、执行日志	公开记录未披露完整合同权限关系
设备与软件供应商	产品行为、规格说明、缺陷信息与修复	发布行为、兼容性矩阵、相关缺陷及测试证据	公开材料未发现可归责到供应商的结论
物联网服务/设备运营方	车队清单、固件、重试与连接行为	设备类别记录、连接效率测试、受控更新与重试策略	不控制 NTT DOCOMO 的核心隔离机制
MVNO/下游供应方	客户沟通、服务探测、连续性计划	带时间戳的影响与恢复证据、依赖关系图	不运营 DOCOMO 的信令交换机
客户或公共机构	本地连续性选择与对准确指引的响应	在比例适当前提下的本地故障切换验证	不能直接管理全国核心网络端点群体
监管机构	规则制定、调查、整改要求、行业学习推动	结论、必需控制、整改和披露后续	不直接执行生产网络变更

该表避免将责任跨越控制边界转移。NTT DOCOMO 无法保证每个物联网设备高效，但可以决定某群体是否可耗尽与普通语音、数据共享的资源；设备厂商不能单独隔离 DOCOMO 的信令交换机，但可避免同步且无界的重试；监管机构不能直接运行网络，但可要求并复核控制落实。

这是一种比结果归咎更严格的标准：问的是各方在能防止、检测、限制、沟通或修复方面能做什么，以及什么证据证明这些工作已做。

面向下一次迁移的控制清单

该事件可被转化为可复用迁移包。该包应尽量自动化可核验，关键判断需人工授权。

1. 事件与群体范围

明确具体服务、服务器、软件、接口、漫游行为、设备类别、预计订阅数、地理范围和预期同步切换规模。将源清单与批准的变更绑定。

2. 规格差异记录

比较新旧行为，列出每项预期差异与未决不确定性。将每一差异与测试和端点群体关联，不得假设国内设备测试通过即代表漫游行为可靠。

3. 容量边界

记录订阅服务器、信令交换机及相关系统的持续与突发注册承载能力，包含队列和资源上限。建模正常切换、部分失败、完全回退、同步重试和延迟返回。

4. 隔离证明

显示哪些资源共享、哪些独立。证明物联网群体可被限流而不压垮普通和优先服务。测试逻辑隔离后仍共享的依赖。

5. 分阶段执行

先迁移有代表性但受控批次。持续观测足够时间以捕获重试与漫游行为。仅在注册、资源、语音、数据和下游验收指标通过后再推进。

6. 停止与回退权限

定义谁可停止、哪些阈值自动触发、最后安全决策时限、以及端点返回如何在不形成洪峰下恢复。保留决策与动作记录。

7. 独立服务探测

测量的服务对象应超出变更系统本身，包括普通用户、物联网、漫游、MVNO、应急和无线代际路径（如适用）。

8. 沟通

准备服务级公告及下游分发。区分“无法使用”“困难使用”“恢复中”“已恢复”。说明哪些替代方案已验证可用。

9. 恢复复核

对齐服务器状态、信令容量、注册接纳、通话完成、数据会话、无线代际、地理状态和下游报告。不能以单一正向指标宣告完成。

10. 变更后证据

保留精确部署版本、审批、遥测、异常、决策与回退动作及验收结果。设定复盘计划，确保随着车队增长控制持续有效。

该清单不能消除所有故障，但可建立可证伪记录。任何假设偏差都能定位到哪类群体、容量、边界或决策失误，并改进下一次执行。

监管与运营复核的证据表

下表区分“文档声明”与“观测结果”，不主张 NTT DOCOMO 不具备每项条件，只列出能证明有效控制的内容。

控制项	保留记录	观测结果	公开限制
群体清单	设备类别、漫游状态、批次成员、预期数量	实际迁移与授权群体一致	不需要公开客户级别数据
规格比对	新旧行为矩阵与未决差异	代表性国内与漫游测试通过	公开报告可为摘要，不一定披露完整软件细节
注册容量	每项资源的持续与峰值承载区间	峰值负载未突破已测上限	节点级图表不公开
选择性准入	物联网群体策略与触发条件	物联网流量受限且未长期抑制普通业务	确切策略与阈值为私有信息
资源隔离	架构与共享依赖关系图	物联网洪峰期间普通与优先服务仍可用	逻辑隔离可能仍保留共用依赖
分阶段切换	批次计划、停留点、审批记录	每阶段在服务与资源达标后再推进	公开材料未展示所有后续演练
回退截止时限	最终决策时间与权限分配	决策发生在可执行边界内	决策质量仍需人工复核
切回执行	精确顺序和端点返回控制	返回未再次触发批量注册风暴	流程完整通过本身不足以证明
服务探测	语音、数据、应急、物联网、MVNO、漫游检查	关键服务达到声明目标	样本无法覆盖全部用户
恢复声明	判定标准与时间戳证据	发布状态与测量结果一致	仍可能有残余设备状态
承包商接口	角色映射、流程版本号、互认确认	运营商与承包商执行的是同一理解版本	签字并不替代技术正确性
整改演练	场景、负载、决策、结果、后续修复	2021 年同类失败类型可被控制在范围内	单次演练不足以证明持续执行

公开限制栏是刻意保留的。若不说明测量不能证明的边界，问责证据会失真。负载测试可能过期，样本可能漏报某客户群，逻辑隔离可能仍有隐藏共享数据库。明确限制可形成后续验证任务。

有界的验证议程

公开记录支持一组聚焦问题。

迁移与规格

旧设备在海外漫游物联网场景中缺失或不同的行为有哪些？
哪类测试应能提前暴露该差异？
当前规格对比是否绑定到已部署版本？
哪些未决差异可阻断下一次迁移？

群体与负载

每批次预期有多少设备迁移？
切回期间实际返回了多少？
群体呈现出何种重试和退避行为？
每个依赖资源可承受的注册速率是多少？

共享资源

物联网与普通用户共享了哪些信令交换资源？
当前可识别并限制物联网群体的控制有哪些？
资源分离后仍有哪些共享依赖？
在同一过载条件下应急与优先服务如何受保护？

决策权限

哪些观察触发了调查与回退？
最终安全回退决策时间是什么？
运营商与承包商是否使用了同一流程版本和角色映射？
哪项自动阈值可停止下一批，而不必等待共识？

恢复

注册成功何时按地区和代际恢复？
语音与数据服务何时达到其目标？
哪些下游运营商确认了恢复？
各发布里程碑后仍有何残余用户操作？

持续性

何时上线了物联网专用限流与资源分离？
以哪种生产代表性规模进行测试？
何时最后演练了同类失败场景？
有何证据表明控制在群体增长和网络演化下仍有效？

这些问题可在不公开全部敏感细节的前提下回答。它们要求当前、边界清晰的证据，而不是泛化的“经验已吸取”声明。

结论

NTT DOCOMO 2021 年 10 月的中断并非只是一次失败的信息化迁移，而是一次移动网络控制平面事件：一次切回使大量端点生成位置注册信令，消耗共享信令交换资源，并将拥塞扩散至全国普通语音与数据服务。[3][5][7]

该事件说明回退并非“把架构恢复到旧快照”。它是另一种分布式转换：服务器状态、端点状态、信令状态和客户服务状态可能脱节。仅恢复旧设备而未控制返回群体的方案，可能在另一个层面触发新故障。

DOCOMO 与监管部门公开的回应覆盖了事件涉及的正确层面：规格对比、漫游测试、承包商流程对齐、决策时序、群体特定限制、资源分离、网络控制演练与沟通改进。[4]-[8] 剩下的问责问题是这些控制是否持续、已部署、代表性充分、经演练并且在生产负载下有效。

Heng.lu 原则提供了可执行标准。经批准的流程有其意义，但真正决定连续性的仍是注册率、队列、资源利用、限流、通话完成、数据会话和下游服务。准确记录端点群体、软件行为、资源分配、阈值与恢复状态能让现实可检验，但不能取代现实本身。

责任应随实际控制分配。NTT DOCOMO 控制迁移和全国核心；承包商与供应商控制委托实现和产品行为，但公开记录未完全披露其权限边界。物联网运营方控制车队行为；下游供应方控制其探测与公告；监管机构控制调查与整改要求。职责彼此不互斥，也不互相抵消。

持久修复不是单一承诺，而是证据链：精确的群体与规格记录、可验证容量、选择性准入、资源隔离、分阶段执行、明确停止权限、受控切回、独立服务探测、服务级沟通和反复演练。它可将未来的回退从“认为安全”转为“可验证的网络运行”。

资料边界

最详细的事故和整改记录来自 NTT DOCOMO 与日本总务省的公开材料。它们提供了运营方与监管方的权威说明，但不公开全部私有日志、命令记录、合同条款、服务器模型、设备类别、资源图谱或测试结果。[1]-[8]

IIJ 提供了独立下游服务证据，但无法重建所有内部路径或识别所有受影响客户。NTT 集团陈述承认了影响与集团响应，但仍属于相关方证据。[9][10]

DOCOMO 的可靠性报告提供了同一时期控制背景，但不能证明这些控制已在 2021 年事件中完全防止或消化该故障。[11]

GSMA、ETSI、3GPP 与 TCA 材料定义技术与行业控制类别，但不能证明 DOCOMO 在事故期间配置了特定计时器、拒绝原因、优先级选项、容量阈值、沟通流程或网络保护机制。[12]-[20]

公开估计描述了不同服务状态与人群口径，不等于精确客户流失数、每个应急呼叫结果、个体过错、主观意图、过失、民事责任或供应商故障。本文不作上述推论。

已公布的整改被归入运营方或监管方的承诺。若无当前独立的部署与演练结果，它不能自动等同于“全部控制已全面部署、持续执行并对同类故障足够有效”。

NTT DOCOMO 2021 年网络切回事故：移动核心容量的问责标准

摘要