Orange 法国 2021 年紧急号码中断：语音核心备用问责考验

摘要

2021 年 6 月 2 日，Orange 正在进行旨在提升 IP 语音呼叫处理能力的工作。官方多部门调查表明，一条呼叫服务器路由在可用出口尚不存在时被重新打开，呼叫在内存中累积，一个既有的软件缺陷被激活，受影响的服务器进入反复重启循环，导致难以管理。[1][2]
受影响的呼叫服务器构成了移动及 VoIP 语音服务与传统公共交换电话网（PSTN）之间的互联层。许多紧急应答中心仍依赖该路径，因此运营商语音平台的一次变更演变成全国性公共安全连续性事件，而非普通应用中断。[1][3]
Orange 称该平台分布在六个站点。地理分布并未保住服务，因为配置序列和软件行为以共模方式波及整个系统。因此，实际运行的代码和成功完成的呼叫比展示六个位置的图表更能证明弹性。[1][3][6]
Orange 报告紧急呼叫路由恶化 11%，并估计约有 11,800 通紧急呼叫未获路由。外部调查团记录了该估计，但表示无法独立核实；参议院后来使用约 10,000 的数字。这些数字必须保留其出处，不应被调和成一个虚假的精确总数。[1][3][4]
官方和议会记录讨论了一些死亡案例，当局曾就未能接通紧急服务与这些死亡的关系进行审查。现有记录并未确立个别病例的医学因果关系或最终法律结论，因此本文不声称该网络事件导致了特定死亡。[1][4][5]
紧急服务部门发现来电数量异常，并公布了十位数的替代号码。外部报告发现，一些所谓的黑号码只是同一短紧急号码的转译，并未绕过失败的传输路径。不同的标识符并不等于独立的网络备用。[1][4][9]
技术团队在组织完全认识到紧急服务层面之前就已经发现了异常行为。监督时间记录显示，在识别涉及短紧急号码的大量投诉、向部际危机中心报告重大事件以及召集 Orange 首次内部危机小组方面均出现延迟。[1][4][7]
官方调查确认，缺乏针对紧急号码的国家级监督和未经充分测试的操作规程是重大控制缺口。服务器健康状况、整体呼叫量和紧急呼叫完成情况是不同的证据渠道；只有最后一项直接回答公共服务是否正常运作。[1][2]
后来的法国立法、法令、部级规章和 Arcep 意见引入或明确了连续性措施、技术监督、紧急号码呼叫量和成功率指标、告警阈值及报告要求。这些后续控制显示了改革方向，但并不追溯证明 Orange 在 2021 年 6 月 2 日的确切法律地位或构成执法处罚。[12][13][14][15][16][17][18]
问责应当通过以下标准检验：未来的维护操作是否至少保留一条在管理和技术上独立的呼叫路径；紧急呼叫能否从固网、移动及其他运营商来源完成；备用号码是否使用独立传输；以及技术、管理和公共当局的升级过程能否通过时间戳重现。[1][4][19]

故障服务是一项网络事务

紧急号码看似简单，因为呼叫者只看到两三位数字。该号码背后的网络事务并不简单。始发接入网络必须识别呼叫、在需要时保留或推导位置信息、选择紧急路由处理、将会话传经相关语音和互联系统、确定相应的应答中心，并通过该中心能够接收的路径送达呼叫。若任何必要的控制点丢失状态或失去可达性，即便手机有无线信号且拨号程序正常，仍可能无法接通求助。

该事务是 Orange 2021 年 6 月 2 日事件问责的恰当单元。官方调查描述了一个互联层，其中呼叫服务器将移动和 VoIP 服务连接至传统公共交换电话网（PSTN）目的地。许多紧急中心仍通过该链路的传统侧可达。当呼叫服务器群进入重启循环时，实际影响因此超出了普通语音平台降级。路径依赖受影响互联的呼叫可能在到达紧急服务之前就失败。[1]

一些呼叫避开了故障状态。官方记录表明，完全传统或完全 VoIP 路径的组合可能表现不同，取决于呼叫者网络和应答中心的技术。这一事实解释了为何事件严重但并非普遍。它也避免了夸大其词，即并非每通呼叫、每个紧急号码或每个应答中心都失败。现有证据支持路径依赖性的中断，而非全国性全面静默。[1]

路径依赖性之所以重要，是因为它揭示了名义上的冗余在何处可能产生误导。运营商可以运行多个站点并复制服务器，同时保留一个逻辑控制平面、一套配置流程、一种软件故障模式或一条必要互联。紧急服务可以公布另一个电话号码，却将该号码路由经过同一故障基础设施。运营商可以恢复服务器可用性，而某些呼叫路径仍然受损。这些情况都会制造表面多样性，却没有独立的服务结果。

这就是为何该事件属于网络基础设施的风险与问责范畴。若移除 VoIP 至 PSTN 的互联、呼叫服务器路由状态、共模配置操作、共享重启行为、紧急呼叫完成指标和备用传输独立性，本文论点便不再成立。剩下的将只是一个普通软件事件和危机沟通案例。公共安全后果之所以出现，是因为承载关键语音事务的网络控制层未能保留独立路由。

一次扩容操作激活了共模故障

技术序列应被精确陈述。Orange 正在进行旨在提升 VoIP 容量的操作。根据官方多部门报告，该流程更改了呼叫服务器配置，以便设备可以更新后重新连接。在路由恢复过程中，一条初始指令在可用出口尚不存在时重新打开了路由。呼叫在服务器内存中累积。该状态激活了一个既有软件缺陷，受影响的服务器进入反复重启循环。重启循环使服务器无法管理，阻止下一项纠正指令被接受。[1][2]

报告将指令顺序定性为 Orange 的失误，同时指出软件行为放大了初始错误并使恢复更加困难。两部分都不可或缺。仅将事件描述为人因失误，会掩盖平台无法遏制可预见配置错误的事实。仅描述为软件缺陷，会掩盖使系统进入触发状态的操作序列。问责面在于变更设计、路由状态验证、软件弹性、管理恢复和服务监控之间的相互作用。

该序列还区分了原因与后果。在无可用出口的情况下重新打开路由，并未简单产生一次干净的拒绝。呼叫累积。累积触发了潜伏行为。由此产生的重启循环随后削弱了管理控制。每一次转变都扩大了影响范围，并降低了运营商纠正前一状态的能力。因此，弹性评估不仅要问能否防止无效序列，还要问若预防失效，平台能否安全故障。

安全故障应保留独立的控制路径、限制队列或内存效应、隔离部分服务器、在接受流量前拒绝无效路由状态，或保留足够容量以承载紧急呼叫。公开记录并未确认 Orange 平台中哪些机制已存在，或后来实施了哪些具体控制。这些并非被断言为缺失事实，而是从已记载序列中推导出的可检验问题。

同样的纪律适用于供应商责任。官方来源描述了一个既有软件缺陷，但材料并未提供完整的缺陷历史、受影响版本列表、合同义务分配或对供应商的最终法律结论。指名供应商或分配责任将超出证据范围。基于控制的分析仍可以追问缺陷披露、补丁验证、故障安全行为、支持升级和验收测试是否充分，而无需编造答案。

六个站点并未创造六种运营命运

Orange 的内部说明将呼叫服务器平台描述为分布在六个站点。[3] 这一事实重要，但并非弹性结论。地理分布可防范某些设施故障、断电、本地设备事故和物理危害。它并不能自动防范共模命令、共享软件状态、共享管理权限或横跨所有站点的路由依赖。

六月事件提供了一次实际运行代码的检验。无论物理位置上存在何种隔离，已部署系统对配置序列和软件状态的反应方式损害了整个系统。呼叫并未仅仅因为服务器位于六个地点就获得六种独立结果。观测到的行为比站点数量更能说明相关故障域。

这并不意味着六站点架构毫无弹性价值。它可能防范了其他事件，且现有来源并未披露完整拓扑。更窄的结论是，站点多样性未能遏制这一特定共模。因此，可信的保障声明必须明确架构隔离了哪些故障类别，以及未隔离哪些。

变更分段是这种保障的一部分。如果一个流程就能将所有站点置于同样的危险状态，那么维护设计就在运营上把它们绑定在了一起。控制措施可以通过金丝雀执行、分阶段路由激活、独立审批、每站点影响半径限制、健康与服务检查点、不可变回滚访问或未触碰的备用组来区分这种命运。具体控制集应遵循架构和威胁模型。所需证据是一份变更计划和测试记录，表明一条已知良好的服务路径得以保留。

管理独立性同样重要。如果故障同时移除了激活或修复备用服务器所需的管理路径，那么备用服务器价值有限。官方序列中的重启循环使服务器无法管理，并阻止下一项纠正指令被接受。[1] 因此，弹性测试应包括管理平面，而不仅仅是流量平面。运营商需要知道，在普通控制接口降级时，他们是否仍能观察、隔离和恢复平台。

实际运行代码的证据为这一区分提供了具体形式。连续性主张的合法性取决于真实故障或维护操作发生时已部署网络的表现。政策、架构图和冗余计数是保障的输入。成功完成的紧急呼叫、受限的故障域、可恢复的控制路径和带时间戳的测试才是现实层面。

影响数字需要保留出处，而非合成

Orange 报告称，严重全国性中断大约从 16:45 持续至午夜。它描述紧急呼叫路由恶化 11%，并估计约 11,800 通呼叫未获路由。[3] 官方外部调查团记录了该估计，但表示无法独立核实。[1] 参议院后来使用约 10,000 通未成功紧急呼叫的数字。[4]

这些数字指向一次重大服务故障。它们并未产生一个经独立核实的精确总数。正确的处理是保留其出处。Orange 的 11,800 是运营商估计。外部报告无法核实是一则重要限定。参议院的约 10,000 是后来记录中的监督数字。取整、时间窗口、呼叫定义、重试和源系统可能解释差异，但材料并未确立对账方法。

未成功呼叫也不一定对应一名唯一人员或一次被放弃的紧急情况。呼叫者可能重试。多个人可能就同一事件呼叫。一次失败尝试之后可能通过另一路由完成。反之，一次未完成的尝试也可能产生严重后果。没有呼叫级和事件级数据，记录既不支持淡化也不支持放大。

关于死亡的讨论需要更严格的边界。政府和议会材料审查了可能与难以接通紧急服务有关的死亡报告。[1][4][5] 所提供的证据并未确立某一未成功呼叫在医学上导致了死亡、一通成功呼叫本会改变结果，或 Orange 就因果关系收到最终法律认定。因此，本文不将机构关切转化为因果结论。

缺乏经核实的全国统计本身就是问责教训。一项关键网络服务应产生可对账的尝试、路由结果、送达、应答占用、重试和恢复证据，并遵守隐私与合法处理要求。如果运营商、紧急中心和当局在一次全国事件后无法对这些信号进行对账，他们就无法自信地衡量故障或验证恢复。

后来的法国监督规则使服务特定测量更加具体。事件后的框架涉及紧急呼叫量、成功率或应答占用指标、阈值和报告。[14][15][16][17] 这些措施并不能追溯确立 2021 年的确切总数。它们展示了更具可检验性的证据可以是什么样子：定义明确的指标、告警条件、负责接收方以及可在服务链中相互比较的记录。

备用号码不一定是备用路径

事件期间，紧急组织和公共当局分发了十位数号码，以便呼叫者可以尝试联系本地服务，而无需依赖熟悉的短号码。这一应对可以理解，并且在号码通过可用路由落地的地方可能有所帮助。然而，官方调查确认了一个关键歧义：一些所谓的黑号码只是短紧急号码的转译，并未提供独立绕行。[1][4]

这一区别将号码与传输分开。像 15、17、18 或 112 这样的短号码是一个标识符，促使网络应用紧急路由。十位数号码是另一个标识符。如果两个标识符都解析到同一受影响的呼叫服务器路径，改变呼叫者拨打的号码并不会改变决定性故障域。备用在语义上不同，在运营上相同。

真正的备用必须端到端定义。它应在正确的紧急中心落地，使用不依赖故障平台的传输路径，具备足够容量，在必要时保留位置和路由程序，保持最新，并通过中断期间可用的渠道分发。它还必须从现实的固网、移动和其他运营商来源进行测试。一张号码表格无法证明这些属性。

面向公众的文案问题也很重要。当局和运营商在告知公众使用哪些替代方案之前，需要知道哪些号码是真正独立的。官方报告称 Orange 未及时纠正围绕某些号码的歧义。[1] 在危机中，不准确的备用指引可能消耗呼叫者时间和紧急服务容量，同时制造虚假保障。

因此，运营备用登记册应记录的不只是数字。它应标识目的地、责任组织、传输供应商、主路由和备用路由、最近一次端到端测试、容量假设、地理范围、分发责任方和已知限制。紧急中心连接性的变化应更新该记录。登记册是运营事实的台账，而不是因为某条路由被列出就宣告其独立或安全的声明。

后来 ANSC 在 NexSIS 18-112 和 SECOURIR 组件上的工作提供了相关机构背景。ANSC 材料讨论了弹性 IP 传输、监督和跨服务协助。[10][11] 这些项目不得被回溯为 2021 年 6 月 2 日可用的备用。它们展示的是公共当局后来如何推进连续性和互操作性，而非当时事件网络的能力。

检测、解读和升级是独立控制环节

技术团队相对较快地注意到异常行为。认识到该行为正在损害紧急呼叫、启动管理危机流程、通知公共当局并与其他运营商协调则花费了更长时间。监督记录将这些视为不同阶段，问责时间线也应如此。

参议院的时间线依据外部调查记录：大约 45 分钟后才识别出涉及短紧急号码的大量投诉，1 小时 41 分钟后才向部际危机中心报告重大事件，2 小时 40 分钟后 Orange 才召开首次内部危机小组会议。[4] Orange 后来承认管理危机启动和利益相关方沟通过于缓慢。[3][6][7]

这些时间间隔不应被当作关于每项个别行动或内部消息的精确证据。它们是从调查中得出的监督里程碑。其价值在于结构性：网络可以产生技术告警，却不产生及时的公共安全意识。

服务器健康监测回答软件进程、接口或资源是否看似正常。聚合语音指标回答整体呼叫量和完成率是否发生变化。紧急服务遥测回答拨打指定号码的呼叫是否到达预定应答中心。投诉渠道回答用户和中心是否遭遇平台指标中尚未显现的故障。政府通知回答负责全国响应的当局能否协调替代方案。这些信号中没有一项能替代其他所有信号。

该事件暴露了弱关联的代价。紧急服务部门注意到来电数量异常，并使用了自身的升级网络。[1][4][9] 如果运营商的国家运营中心无法立即将外部证据与内部路由和服务器状态关联起来，技术检测与服务理解之间可能出现危险的间隔。

因此，升级设计应当明确。紧急呼叫成功率阈值应触发一个命名的事件类别。该类别应明确技术、行政、监管和公共当局接收方。跨运营商协调不应依赖临时的私人联系。备用号码指引应在发布前经过验证。服务应保持在紧急状态，直到端到端完成证据——而不仅仅是服务器恢复——满足退出标准。

内政部的危机更新记录了持续的部际协调、残余地方问题以及服务稳定期间保留替代号码的决定。[9] 该记录表明，恢复并不是一个单一时间戳。中央平台可能改善，而本地路径仍受损。公开指引可能需要持续，直到各地区和中心的服务链得到验证。

后来的法律框架使可观测性具体化

事件后，法国法律和监管发生了变化。后来的框架涉及紧急通信的连续性、技术监督、测量和通知。[12][13][14][15] Arcep 在 2023 年的意见讨论了紧急呼叫路由的拟议指标、阈值和报告安排。[16][17] 当前监管机构指引总结了运营商在路由、呼叫者位置和重大事件方面的职责。[18]

使用这些材料时应谨慎。2021 年 6 月之后通过或修订的规则并不自动等同于事件发生时所适用的确切法律标准。监管机构关于拟议监督的意见并非针对 Orange 的执法决定。后来义务的存在并不证明 Orange 在中断前缺乏所有可比内部控制。这些来源支持政策响应和更可测量的保障模式，而非追溯性结论。

尽管如此，后来的框架仍然有用，因为它将宽泛的连续性承诺转化为可观测的条件。将紧急号码与普通语音流量分开监控，使服务变得可见。呼叫量和应答占用指标可以揭示服务器指标无法发现的降级。明确的阈值创建了升级边界。报告义务确保运营商在问题的重要性变得清晰之后，不会将公共安全状况留在技术团队内部。

测量设计仍需要谨慎。成功率可能掩盖地理、呼叫者网络、目的地技术或重复尝试。全国聚合数据看似可接受，但某个省或紧急中心可能不可达。阈值在低话务量时段可能过于迟钝。应答占用并不能证明呼叫者获得了所需帮助。这些限制并不使测量无用；它们要求分层指标和测试事务。

来源材料中的技术标准为 IMS 环境中的紧急会话提供了额外背景。[19] 它描述了有助于解释独立处理和紧急会话处理的架构与路由概念。它并不证明 Orange 实施了某一特定选项，或遵循某项标准本可防止该事件。标准定义了可能的控制；实际部署配置和观测到的服务证明它们是否有效。

控制被分割，但责任并未缺失

紧急呼叫链跨越组织边界。Orange 控制其语音和互联平台的相关部分、维护流程、大部分遥测和事件升级。其他运营商控制其客户使用的始发网络和互联。紧急组织控制应答中心连接和本地连续性程序。公共当局协调危机信息和后来的政策。技术供应商可能控制软件修复和缺陷信息，尽管公开材料并未确立合同细节。

如果每个参与者都假设另一方正在测量完整事务，分割的控制可能造成缺口。当独立网络和中心提供备用路径和独立证据时，它也能创造弹性。区别取决于明确的接口、经过测试的程序和共享的事件记录。

对于 Orange，公开记录支持关于变更审批、路由状态验证、软件弹性、管理访问、紧急特定监控和升级的问题。对于紧急中心，它支持关于多样化接入、独立传输号码、本地故障检测和公众沟通的问题。对于公共当局，它支持关于经验证的备用登记册、跨运营商演练、通知阈值以及协调全国影响能力的问题。

这些是实际控制问题，而非邀请宣布每个参与者负有同等责任。来源并未披露每份合同、每项法规解释或每项决定。当问责识别每个控制者应持有的证据，以及当该证据不公开时仍然存在的不确定性时，问责就保持在边界之内。

外部多部门调查因此尤为重要。它提供了共同的技术时间线，并将调查结果与估计分开。Orange 的内部调查和证词提供运营商陈述。参议院和国民议会的材料提供监督和机构回应。后来的立法和监管机构意见提供不断演变的控制框架。保持这些来源角色分明，可防止某一参与方的叙述成为全部记录。

服务特定的变更闸门

该事件为依赖紧急服务的语音基础设施的维护提出了一个实际闸门。该闸门应在变更前、变更中和变更后应用。

变更前

绘制端到端服务图。确定始发接入类型、紧急号码处理、语音和互联功能、目的地路由、应答中心连接、管理路径和外部运营商。标记跨站点的依赖关系。
定义故障域。说明该操作可能影响哪些站点、服务器组、软件版本、路由表、管理凭据和传输路径。仅列地理清单是不够的。
保留已知良好组。将一部分有记录的容量置于变更之外，并置于同一管理操作之外。证明若变更组故障，它能承载紧急流量。
验证路由状态。流程应防止流量在存在可用出口之前进入路由。前置条件和自动化检查应默认失败关闭。
测试故障行为。演练队列增长、重启循环、部分连接、管理平面降级和回滚。验证单一故障不会使每个组都无法管理。
确认备用传输。从固网、移动和其他运营商来源测试短号码和每个公布的替代号码。记录替代方案是否共享主路径。
设置服务停止条件。定义紧急呼叫完成、目的地可达性和区域阈值，以便在聚合平台告警变得严重之前停止变更。
指定升级负责人。确定技术指挥官、行政危机负责人、公共当局联系人、紧急服务联络人和跨运营商渠道。

变更中

分阶段操作。变更一个受限组，观察服务结果，并在扩展前等待一段确定时间。
测量完成的紧急事务。合成探测和受控测试呼叫应到达代表性中心。仅服务器健康不足。
观察独立证据。将运营商指标与紧急中心话务量、投诉渠道和其他运营商的观察相关联。
保护管理访问。维护带外或其他独立路径，用于隔离和恢复。
遇歧义即停止。如果路由状态、目的地可达性或备用独立性无法确认，应暂停，而不是将缺失遥测视为成功。
为决策加时间戳。记录检测、解读、升级、通知、回滚和服务验证，以便事后审计序列。

回滚或完成后

验证服务，而非配置。展示紧急呼叫按来源、目的地、号码和地区完成的情况。
对账记录。将运营商尝试和结果与应答中心回执进行比较，考虑重试和重复报告。
在需要时保留替代指引。在地方和国家证据支持结束之前，不要撤回公开备用指引。
记录残余风险。记录未测试路径、例外、未解决的软件行为和任何临时控制。
重复测试。曾经有效的控制可能因后来的软件、路由、中心或互联变更而失效。

该闸门不要求公开可利用的配置。公开保障可以描述已测试的故障类别、路由独立性、服务指标、演练日期、例外和补救状态，而不暴露敏感拓扑。监管机构和合格审计人员可能需要保密访问底层证据。

什么才能证明备用是独立的

“独立备用”这一表述应当有一个证据定义。

第一，备用应具有不同的路由图。它不应经过其故障正在被缓解的呼叫服务器功能。如果它使用另一运营商，测试应显示路径在何处汇聚。第二供应商仍可能共享设施、电力系统、电缆、信令网关或应答中心接入。

第二，它应具有不同的管理控制。同一变更命令、凭证系统或编排策略不应同时禁用主路径和备用路径。当普通平台不稳定时，恢复访问应保持可用。

第三，它应具有足够的容量和优先级。一条对单次测试呼叫有效、但在全国性事件中饱和的路径并非充足的备用。容量假设应包括同时发生的公众重试和紧急服务外呼通信。

第四，它应保持正确的目的地选择。紧急呼叫可能需要基于地理位置或服务的路由以及呼叫者位置处理。即使呼叫在技术上接通，到达错误中心的备用也可能造成延误。

第五，它应可被发现。紧急组织、公共当局、运营商和通信人员应知道哪个备用对哪个地区有效。公开指引应区分真正的替代传输与号码别名。

第六，它应被联合演练。仅运营商测试无法证明应答中心接收、识别并处理呼叫。仅中心测试无法证明其他网络上的呼叫者能够到达该路由。演练应包括整条链路并记录结果。

第七，它应保持最新。连接、供应商、中心位置、路由规则和软件会随时间变化。备用登记册应记录最近一次验证状态，而不仅仅是号码创建日期。

这些要求之所以严格，是因为紧急连续性本身要求严格。它们并不规定某一种架构。它们定义了在组织将替代方案描述为独立之前所需的证明。

补救声明需要一张从措施到故障的映射图

Orange 在事件后宣布了纠正行动，政府报告提出了建议。[1][2][3] 评估这些行动的负责任方式不是计算举措数量。每项措施都应关联到已记录的故障机制。

修订后的变更流程应解决路由打开和出口可用的顺序问题。分阶段应解决共模影响半径。软件补救应解决内存累积和重启循环行为。独立管理访问应解决管理控制丧失。紧急特定监督应解决技术检测与认识到公共安全影响之间的延迟。跨运营商演练应解决可见性分割。经验证的备用登记册应解决另一个号码与另一条路由之间的混淆。

对于每项措施，证据应明确负责人、实施日期、覆盖系统、验证方法、观测结果、例外和残余风险。一项措施并不因文件获批或软件部署而完成。当相关故障测试产生预期服务结果时，该措施才算足够完成以提供保障。

公开来源并未独立证实每项已宣布措施都持续部署且长期有效。它们也未披露所有外部或内部审计结果。这是一项限制，而非失败证明。适度的公开记录仍可说明哪些故障类别被重新测试、独立路由是否承载了呼叫、紧急特定阈值是否触发，以及仍存在哪些例外。

后来的改革也需要这种映射。如果新监测的阈值无法检测到已记录状况，它可能成为报告负担而不能改善连续性。如果主路径和备用路径共享控制，新的 IP 传输仍可能脆弱。如果参与者不演练，新的危机协议可能失效。控制通过使用赢得信心。

公开记录仍无法回答的问题

公开材料并未披露 Orange 完整的变更工单、命令记录、内部审批链、路由表、软件版本或当时的日志。它也没有指出设计、批准、执行或监督该操作的每个人。这些缺失阻碍了个体归因。

完整的供应商缺陷历史不可得。证据并未确定缺陷何时被发现、存在哪些合同通知、有哪些补丁可用，或 Orange 与供应商之间的责任如何分配。针对供应商的法律主张将超出记录范围。

确切的全国影响仍不确定。Orange 约 11,800 的估计未获外部调查团独立核实，参议院使用约 10,000。记录并未按地区、始发网络、应答中心技术、号码、重试或最终结果提供完整细分。

证据并未确立某一特定死亡的医学因果关系。它没有显示每次未成功尝试都代表一次被放弃的紧急情况，也没有显示后来每次成功呼叫都避免了伤害。机构关切必须与医学或司法认定保持区别。

材料并未提供 Arcep 的最终执法结果或处罚以确立 Orange 的法律违规。后来的法律、法令、命令和监管机构意见不应被转化为此类认定。

现有来源并未证明每项已宣布的补救措施都持续有效、每个应答中心都获得多样化接入、每个替代号码都获得独立传输，或后来的演练覆盖了每条相关路径。

2021 年 6 月期间 NexSIS 18-112 和 SECOURIR 的确切状态也受到边界限制。后来的 ANSC 材料描述了项目工作，但并未确定这些系统当时可作为事件备用。

这些未知因素界定了结论的边界。它们并未抹去已记录的机制。记录足以检验运营控制能否遏制共模配置和软件状态，以及紧急呼叫连续性是否被作为端到端网络结果来测量。

问责始于一通完成的呼叫

Orange 的六站点平台提供了地理分布，但 2021 年 6 月 2 日的事件表明，地理并非决定性的故障边界。共享的配置序列和共享的软件行为损害了呼叫服务器群，而管理控制的丧失使恢复复杂化。结果是普通和紧急语音流量发生路径依赖性的中断。

该事件还表明，备用必须存在于传输层，而不仅仅是号码层。一个经由受影响基础设施解析的十位数替代方案并未绕过故障。独立路由的号码、不同的供应商、独立的管理路径和经过测试的应答中心连接是不同的控制，每一项都需要证据。

官方时间线显示了检测技术故障与理解公共安全影响之间的第三道边界。紧急特定完成遥测、中心侧证据、跨运营商协调和公共当局通知需要在危机前建立关联，而不是在呼叫者报告故障后才拼凑。

后来的法国措施通过明确连续性、监督、指标、阈值和报告，向该证据模型靠拢。评估它们应看其是否揭示并遏制同样的故障状态，而非其在纸面上的存在。

因此，问责主张是附条件的。Orange 或任何运营商只有在真实或受控故障下仍留有已知良好路由承载呼叫、目的地收到呼叫、运营商仍能管理系统、并且结果可在服务链中对账时，才应称紧急呼叫冗余有效。2021 年中断使那笔完成的事务——而非站点数量或替代号码——成为公共安全考验。

Orange 法国 2021 年紧急号码中断使语音核心备用成为问责考验

为何重要

摘要