本番を模した写しと自動防御、安全のために足した仕組みが持ち込む失敗経路の測定
研究計画。本番を触らずに試す写しと、検知したあと自動で手を出す防御。どちらも間違えたときの被害を先に測る
安全のために入れた仕組みが、それ自体で事故を起こす場合を二つ扱う。一つは、本番のネットワークを止められないから作る写しである。写しが現実とずれていれば、そこで出した判断は誤りを運んでくる。もう一つは、異常を検知した後に自動で手を出す防御である。検知が正しくても、誤った一回で重要な通信を止めれば、防御そのものが停止の原因になる。どちらも、うまくいったときの性能ではなく、間違えたときに何が起きるかを先に測る。本ページは計画であり、実験はまだ行っていない。以下に実測値は無い。
| 方法 | 写しのほうでは、小さな管理下のネットワークを作り、ルーター、回線、サービスの出入り口、通信を作る装置を配置する。同じ構成を別の環境にも作り、回線一本の故障、節が使えなくなる状態、容量の低下、通信の急増、上流のサービスの停止を両方で安全に再現して、写しの予測と実測を突き合わせる。写しの細かさは、構成だけ、構成に容量と遅延を足したもの、経路と需要まで入れたもの、サービスの依存関係と復旧の方針まで入れたもの、の四段にして、細かくするほど予測が良くなるか、その手間に見合うかを見る。防御のほうでは、隔離した環境で安全な通信の異常を起こし、検知した結果に対して、知らせるだけ、速度を落とす、追加で確かめる、隔離の候補を出すといった元に戻せる手を実行する。外のネットワークや他人の端末へ自動で手を出すことはしない。 |
|---|---|
| 結果 | 実験前である。本ページに実測値は無い。「予想」として書いたものは検証前の仮説であって、測定の結果ではない。 |
| 知見 | 二つに共通するのは、安全のために足した仕組みが、新しい失敗の経路を持ち込むという点である。写しは、間違った前提を与えれば間違った安心を返す。自動の防御は、正しく動いた回数ではなく、間違えた一回の被害で評価される。だから測るのは平均の性能ではなく、誤ったときの広がりと、元に戻せるかどうかである。 |
| 限界 | 小さなテスト環境と実環境の差。再現した障害が、実際の障害の種類を代表しているとは限らないこと。写しの校正に使う記録が古くなること。元に戻せる手だけを扱うため、元に戻せない手の危険は測れないこと。人が承認にかかる時間を実験で再現することの難しさ。研究チームが2名であるため、初めに扱う場面を絞る必要があること。 |
状態：実験前。この記事は研究の目的と方法を先に公開するための記録である。数値はまだ一つも出ていない。以下に「予想」と書いたものはすべて検証前の仮説であり、実測値として扱わない。
安全のための仕組みが、危険の源になる
ネットワークの安全を高めるために足した仕組みは、それ自体が新しい失敗の経路になる。この計画では、その形が違う二つを並べて扱う。
一つは写しである。本番のネットワークでルーターや回線を好きに止めて研究するわけにはいかない。だから構成、容量、経路、サービスの依存関係を写した模型を作り、障害のときのふるまいを先に試す。しかしその写しが現実とずれていれば、そこで出した「大丈夫」は誤りを運んでくる。
もう一つは自動で手を出す防御である。検知の精度がどれだけ高くても、誤った一回で重要な通信を止めれば、防御の仕組み自体が停止の原因になる。守るために入れたものが、可用性の側のリスクに変わる。
どちらも、うまくいったときの性能を測っても足りない。間違えたときに何が起きるかを先に測る必要がある。
写しが現実とどれだけ一致するか
重要なのは見栄えのする立体表示ではない。写しの予測が現実とどの程度一致するかである。小さな管理下のネットワークを作り、同じ構成を写しの側にも作る。そして同じ場面を両方で走らせて突き合わせる。
細かさは四段に分ける。
| 段 | 写しに入れるもの |
|---|---|
| 1 | 構成だけ |
| 2 | 構成＋回線の容量と遅延 |
| 3 | 経路と、流れる量の見込み |
| 4 | サービスの依存関係と、復旧の方針 |
細かくするほど予測は良くなるはずだが、作る手間も更新の手間も増える。どこで見合わなくなるかを測る。
起こす場面は、回線一本の故障、節が使えなくなる状態、容量の低下、通信の急増、上流のサービスの停止である。とくに見たいのは連鎖で、最初の故障による迂回が別の回線を詰まらせる現象が写しで再現されるかどうかを確かめる。
突き合わせるのは、どこへ到達できるかの一致、遅延の予測の誤差、損失の予測の誤差、迂回した経路の一致、障害が広がる順番、復旧までの時間の誤差である。
写しは作って終わりにしない
実測の記録から容量や遅延の値を更新し、校正の前後で予測の誤差がどう変わるかを測る。合わせて、写し自体の来歴、設定の版、記録の新しさ、同じ結果を再び出せるかを記録する。誤った情報を与えられた写しは、誤った安心を返すからである。
どこまでを機械に任せるか
ネットワークの記録から異常を検知した後、速度を落とす、追加の認証を求める、隔離の候補を示すといった手を、どこまで自動でやってよいかを調べる。完全な自動遮断を前提にしない。
比べるのは四段である。知らせるだけ、人が承認してから動く、確信が高いときだけ自動、そして実験環境の中だけの全自動。外のネットワークや他人の端末へ自動で手を出すことはしない。
- 段階的な対応は、すぐに遮断するより、使えなくなる範囲を小さくする。
- 確信が高い場合だけ自動にする方式が、安全と反応の速さを両立する。
- 理由を添えた警告は、人が判断するまでの時間を短くする。
三番目は、人の側を測る話である。警告の文面が判断の速さを変えるなら、それは検知器の性能と同じくらい重要な設計になる。
平均の性能では測らない
二つとも、うまくいった回数の平均では評価できない。測るのは次のものである。
- 誤って止めた通信の量と、その広がり
- 元に戻せたか、戻すのにかかった時間
- 人が承認するまでに待った時間
- 写しの予測が外れた向きと大きさ
- 校正の前後で誤差がどう変わったか
検知の正しさは前提であって、結論ではない。正しく検知していても、手の出し方を誤れば事故になる。
連鎖は、故障の足し算ではない
写しの細かさを四段に分ける理由は、連鎖にある。回線が一本切れたときの影響は、その回線だけを見ても分からない。迂回した通信が別の回線を詰まらせ、詰まった先に依存していたサービスが止まり、その停止がさらに別の迂回を呼ぶ。
互いに依存し合うネットワークでは、こうした連鎖によって、小さな故障が全体の崩壊につながり得ることが知られている。Buldyrev らは、依存関係を持つ二つのネットワークの模型で、それぞれ単独なら耐えられる規模の故障が、依存を介して急激な崩壊を起こすことを示した。
この現象は、構成だけを写した段1では原理的に再現できない。容量と経路が入る段2から段3で部分的に、サービスの依存関係を入れた段4で初めて全体が扱える。したがって「どの段から連鎖が再現されるか」は、写しの細かさを決める基準そのものになる。予測が当たらない段で出した「大丈夫」は、当たらないこと自体が分からないまま運用へ渡る。
予想（まだ測っていない）
写しについては、構成だけの段より、流れる量とサービスの依存関係を入れた段のほうが予測が良くなると考えている。ただし、細かくするほど作る手間と更新の手間が増えるため、必要十分な細かさを探すことになる。
自動の防御については、完全な自動より、確信で門を作りつつ元に戻せる手だけを使う方式のほうが、実用として釣り合うと予想している。成果は強い自動化ではなく、何を自動にして、何を人に残すべきかという線引きの指針になる。
この節は仮説である。実験の後に、実測値、図表、区間推定、誤りの分析へ置き換える。
思った通りにならなくても価値がある結果
写しを細かくしても予測の誤差が縮まらなかった場合、それは構成だけの単純な写しで足りるという結果になり、手間を減らす根拠になる。自動の防御で、段階的な対応が即時の遮断より使えなくなる範囲を小さくしなかった場合、段階を作る意味がないという結果になる。どちらも、作らなくてよいものを確定させる。
限界
- 小さなテスト環境と実環境の差
- 再現した障害が、実際の障害の種類を代表しているとは限らないこと
- 写しの校正に使う記録が古くなること
- 元に戻せる手だけを扱うため、元に戻せない手の危険は測れないこと
- 人が承認にかかる時間を、実験で再現することの難しさ
- 研究チームが2名であるため、初めに扱う場面を絞る必要があること
参考文献
- NIST. Security and Trust Considerations for Digital Twin Technology. IR 8356, 2025. DOI: 10.6028/NIST.IR.8356.
- Rose, S., Borchert, O., Mitchell, S., Connelly, S. Zero Trust Architecture. NIST SP 800-207, 2020. DOI: 10.6028/NIST.SP.800-207.
- Buldyrev, S. V., Parshani, R., Paul, G., Stanley, H. E., Havlin, S. Catastrophic Cascade of Failures in Interdependent Networks. Nature, 2010. DOI: 10.1038/nature08932.
- NIST, Trustworthy Intelligent Networks.
上の三件は実物の書誌を確認した。実験の開始時に、利用する経路制御およびシミュレーションの枠組みの一次文書を追加する。