Googleの網構造を踏まえた障害原因の推定

　再びBGPStreamの公開ログを見ると、2017年2月15日から9月3日までの200日間に観測されたBGPハイジャック、リーク、停止は合計8982件、一日平均44.91件起きている計算になる。うちBGPリークは1698件（18.9％）を占める。継続時間が判明しているBGPリークのうち最長のものは23時間59分、平均は7時間35分46秒、中央値は4時間54分30秒だった。この数値から見ると、Googleのリーク発生から解消まで8分、NTTコミュニケーションズの23分という記録は極めて優秀といえる。KDDIの4時間23分、さくらインターネットの5時間も中央値付近で優秀な部類と評してよい。仮に今回の障害検知と修正がEspressoによる自動検出と自動修正によってなされていたのなら、（そもそもなぜこのように大規模なリークをしてしまったのか、という問題は依然として残るが）Espressoは非常に有用な技術だと評せる。一方OCNの解消時間についてはGoogleによる修正の結果なのか、OCNが独自にフィルターするなど対応した結果なのかが分からないので、残念ながら手動で23分の神業だったのかどうかは判断が付かない。

図10　BGPStreamログに基づく日当たりのBGPハイジャック、リーク、停止の継続時間分布《クリックで拡大》

　University of Oregon （オレゴン大学）のフルルート情報サイト「Route Views Project」が蓄積しているMRT形式のダンプファイルを調査したシステム開発業codeanceの小島 慎太郎氏は、今回の障害時に観測された経路の大半がプレフィックス表示「/24」であったため、これらの経路が「ロンゲストマッチ」（ルーティングテーブル上に選択可能な経路が複数ある場合、宛先アドレスビットとより厳密に《より長く》一致する経路を優先して選択するルーティング原則）ルールに基づいてベストパスとして誤って選択されたと推定している。ここから小島氏とあきみち氏は「Googleとピアリングしている組織がトラフィック制御をするために意図的に細かい経路をGoogleに対して広告」した可能性を論じている。

　Centralized Traffic Engineeringを実践しEspressoで動的経路最適化を実行しているGoogleの場合、このような経路広報を受け取ってアルゴリズムが/24経路をベストパスと判定して採用するも、リアルタイム監視がアラートを発して自動的に経路を修正した、というシナリオはあり得ると筆者も考える。現時点で筆者は小島・あきみち説をたたき台に「Googleとピアリングしている組織がEspressoのアルゴリズムにとって何らかの致命的な広告」をした可能性を推す立場をとることにする。

　今回の障害について事後、一部の報道機関が「抜本的な対策は難しい」と主張しているが、筆者は問題の捉え方自体が間違っていると考える。抜本的な対策として報道機関はBGPリークやハイジャックによる経路障害発生をゼロにすること（またはゼロを目指すこと）を想定している。なるほど、IPアドレスやAS番号の割り振りや割り当てを証明する公開鍵基盤（PKI）である「Resource PKI」などを利用した経路情報の信頼性検証手段の採用は、凡ミスによるリークや単純なハイジャックに対してはある程度有効だ。しかしResource PKIなどを利用した信頼性検証も万能ではない。現在のように性善説に立った素朴な運用よりは安全になるが、CA（認証局）証明書で問題になっているように、Resource PKIが普及しても中間者攻撃や証明書偽造、認証局へのハッキング、認証局の運用ミスといった問題は必ず起こる。

　変化し続ける動的な開放系システムにおいて「絶対」はあり得ない。そもそもBGPは可用性と分断耐性を優先し、一貫性については結果整合性が確保できればよしとするデザインだ。筆者に言わせてもらうならBGPの「らしさ」を生かすなら復旧の迅速性を追求した方が筋が良い。こうしたアジリティ（敏しょう性）を重視した見方をすると、発生から終息まで、従来は最長23時間59分、平均7時間35分46秒、中央値4時間54分30秒を要していた障害を、8分に短縮したGoogleの手際こそがBGPに適した抜本的な対策だといえる。

今回障害における残件

　Google広報から入手した文面では朝日新聞デジタルの記事で触れられていた「今後再発防止に取り組むという」に当たる記述が見当たらない。この点は慣例を破って通信事業者を名指し批判した利用企業の中核的な関心事だ。再発防止をGoogleが表明し保証したのか、保証していないのかがはっきりしないことには、業法に基づく報告義務を負い、コーポレートガバナンスの観点からもPDCAサイクルを回し、原因特定と再発防止策立案を図らねばならない各社システム部門は問題をクローズできない。

　仮に「Googleとピアリングしている組織がEspressoのアルゴリズムにとって何らかの致命的な広告」をしたことが原因だった場合、問題の種類によっては再発防止が不可能な場合があるし、Espressoによる障害検出・回復の自動化それ自体がBGPリークやハイジャックへの対策である可能性もある。

　今回の障害については先に紹介した広報の回答以後、Googleは沈黙を守っている。外部の識者が詳細な解説を出しているからGoogleとして追加説明する必要はない、と考えているのだとしたら、それは透明性と説明責任の観点から支持できない。Universitaet Osnabrueck（オスナブリュック大学）のクラウディア・パール=ヴォシュル（Claudia Pahl-Wostl）教授も言うように、「説明責任と透明性の下、情報の流れと利益を一致させ、さらに組織階層と規模を超えて利害と制度を一致させることが効果的ガバナンス実現の基礎」であるからだ。筆者はBGPのガバナンスは“インター”ネットのガバナンスの中核だと考える。筆者は自らインターネットトラフィックの25％以上を生成していると公言しているGoogleがBGPのガバナンス向上に資する態度を示すのは、責任ある企業としての義務ですらあると主張する。

　2017年8月29日に産経新聞は「野田聖子総務相、ネット障害原因を詳細調査を表明　再発防止狙い」と題して今回の障害について、「重大な事故の発生を防ぐ観点から総務省で詳細な原因の調査を行う」と報じている。総務省による大臣会見録画と書き起こしを確認すると大臣発言は、

こういう事態により重大な事故の発生を防ぐ観点から、総務省においては、詳細な原因の調査と、今後の対応について検討を行う予定としています。

となっている。産経新聞が報じているように「総務省で詳細な原因の調査を行う」と調査を約束しているわけではなく、「総務省で詳細な原因の調査と対応を検討する」と検討することを約束している。なぜ野田総務大臣は、はっきりと「総務省で詳細な原因の調査を行う」と言い切らなかったのか。そこにはGoogleの組織構造が関わっているようだ。

　先に見てきたようにGoogleは日本にPoPを複数設置しているし、日本に陸揚げされている海底ケーブルも複数部分所有している。PoPと国内中継伝送路は社内インフラとして有線電気通信法に基づいて取得・運用可能だが、日本法では有線電気通信法は第四条が、特別の事由がある場合で総務大臣の許可を得ている場合を除いて、海底ケーブルを含む国際伝送設備を設置するには電気通信事業者として登録が必要だと規定している。国際海底ケーブルを保有している場合、電気通信事業法上は登録、届け出、届け出不要の三段階のうち、安全・信頼性基準対応や管理規定整備、障害報告義務など最も厳格な登録事業者として取り扱われる。この登録電気通信事業者一覧に記載があるのはGoogle日本法人（グーグル）ではなく関連会社とみられるグーグル・ケーブル・ジャパンだ。

　筆者はグーグルが電気通信事業者登録を避け、電気通信事業法上のもろもろの義務を負うことを回避するためにグーグル・ケーブル・ジャパンを設定していると見ている。世界のインターネットトラフィックの25％を担うGoogleがグーグルを電気通信事業者にすることを避けたのは、さまざまな理由が挙げられる。だが一番は世界の情報通信法制の中でも格段に厳格な、電気通信事業法第四条の「電気通信事業者の取扱中にかかる通信の秘密は、侵してはならない」という規定の適用を回避するためだったのではないかと筆者は考えている。

　「心地よいDPI（Deep Packet Inspection）」と「程よい通信の秘密」（林 紘一郎氏、田川義博氏）の考え方を支持している筆者は、日本の電気通信事業法は時間をかける必要はあるが、ロードマップを示してDPI応用の解禁に向けて抜本改正するべきだと考えているし、Googleが提供している各種役務はDPI応用の最先端だとも考えている。しかしグーグルが登録電気通信事業者となった場合、現状ではGoogleの立場からはいろいろと不都合が生じるだろう。

　電気通信事業法をひもといていくと長くなるので、総務省が公開している「電気通信事業参入マニュアル（追補版）」を根拠に挙げるが「Webサイトのオンライン検索」という役務類型は「電気通信回線設備を設置していない場合には、登録及び届け出が不要な電気通信事業と判断」している。故に電気通信回線設備を設置しているのがグーグル・ケーブル・ジャパンであるなら、グーグルは電気通信回線設備を設置していない登録・届け出不要な電気通信事業となるわけだ。

　今回の障害について電気通信事業法施行規則第58条に基づいてグーグル・ケーブル・ジャパンに報告を求めたとしても、恐らくグーグル・ケーブル・ジャパンは自社海底ケーブルならびにPoP設備を利用している米国法人のGoogle側で起きた障害であり、自社設備は正常だったと報告するだろう。

　そもそも、AS15169を運用しているのはグーグルではなく米国法人のGoogleであるし、仮に日本のグーグルがAS15169を運用している登録電気通信事業者だったとしても、グーグルは今回の障害を重大な事故として報告する必要がない。同規則58条は、利用者から電気通信役務の提供の対価としての料金の支払いを受けないインターネット関連サービスについて、報告を要する重大な事故の規模を利用者数10万人の場合、24時間障害が続いた場合、利用者100万人の場合、12時間障害が続いた場合、と規定している一方、今回の障害それ自体は8分間で解決しているからだ。何ともキツネにつままれたような話だが、素直に法律を読むとそうなる。

　20世紀の常識で考えると、電気通信事業者でもないのに自社で国際海底ケーブルを敷設する企業が登場するとは予想できなかった。だが21世紀の今日、Google以外にもMicrosoft、Facebook、Amazon.comといった、いわゆるハイパージャイアントは国際海底ケーブルに相次いで乗り出しているし、AS番号取得と運用は電気通信事業者でなくとも可能だ。そもそも国内法適用できないAS由来のBGPリークやハイジャックによる障害についての報告や再発防止は、現行の電気通信事業法では困難だ。

　ハイパージャイアントの登場その他、電気通信事業法と有線電気通信法を分けている理由が崩壊し始めていること、役務類型を軸とした分類基準も機能不全に陥り始めていることが今回の障害で露呈したと筆者は考えている。故に筆者は、総務省は新たな「多様化・複雑化する電気通信事故の防止の在り方に関する検討会」を立ち上げ、情報通信審議会に新たな「IPネットワーク設備委員会安全・信頼性検討作業班」を設置するべき時期に来ていると考える。

川田大輔（かわだ だいすけ）

外資系ITベンダー数社を経てITベンチャー創業に参画し取締役CTOを務めた後、コンテンツ事業会社に移り技術戦略を担当。事業開発、技術開発および技術投資業務を経験。2009年から電気通信事業者（旧区分一種）に勤務し、SOAに対応しNIST定義準拠したOSSクラウドアーキテクチャ開発に取り組み、2011年5月に技術公開。個人としてガバナンス観点からクラウドアーキテクチャを整理しメトリクス整備を目指す「atoll project」を主宰しつつ、2013年からフリーの技術・新規事業企画コンサルタントとして活動。

Twitter：@daisuke_kawada

atoll project