連鎖的な失敗

カスケード障害とは、相互接続された部品のシステムにおける障害であり、1つまたは少数の部品の障害が他の部品の障害につながり、正のフィードバックの結果として徐々に拡大していきます。これは、1つの部品が故障すると、システムの他の部分が故障する可能性が増加する場合に発生する可能性があります。^{[1] [2]}このような障害は、送電、コンピューターネットワーク、金融、輸送システム、生物、人体、生態系など、多くの種類のシステムで発生する可能性があります。

連鎖障害は、システムの一部に障害が発生すると発生することがあります。その場合、他の部分が障害が発生したコンポーネントを補わなければなりません。その結果、これらのノードに過負荷がかかり、ノードも障害を起こし、さらにノードが次々と障害を起こします。

カスケード障害は、電力網の要素の 1 つが (完全にまたは部分的に) 故障し、その負荷がシステム内の近くの要素に移る場合によく発生します。近くの要素は容量を超えて押し上げられ、過負荷になり、負荷が他の要素に移ります。カスケード障害は、高電圧システムでよく見られる現象で、完全に負荷がかかっているか、わずかに過負荷になっているシステムで単一障害点(SPF) が発生すると、システムのすべてのノードで突然のスパイクが発生します。このサージ電流により、すでに過負荷になっているノードが故障し、さらに過負荷が発生し、非常に短時間でシステム全体がダウンする可能性があります。

この障害プロセスは、池の波紋のようにシステムの要素に連鎖的に広がり、システム内のほぼすべての要素が損傷を受けるか、システムが負荷の供給源から機能的に切り離されるまで続きます。たとえば、特定の条件下では、1 つの変圧器が故障すると、大規模な電力網が崩壊する可能性があります。

システムの動作をリアルタイムで監視し、部品を慎重に切断することで、連鎖的な障害を阻止することができます。もう1つの一般的な手法は、起こりうる障害をコンピュータシミュレーションしてシステムの安全マージンを計算し、計算されたシナリオのいずれでも連鎖的な障害が発生しないと予測される安全な動作レベルを確立し、連鎖的な障害を引き起こす可能性が最も高いネットワーク部分を特定することです。^[3]

電力網の障害を防ぐ上での主な問題の 1 つは、制御信号の速度が電力過負荷の伝播速度よりも速くないことです。つまり、制御信号と電力の両方が同じ速度で移動しているため、事前に警告を送信して要素を分離することで停電を分離することはできません。

連鎖的な障害により、以下の停電が発生しました。

• 1965年北東アメリカで発生した停電
• 1999年ブラジル南部の停電
• 2003年北東アメリカで発生した停電
• 2003年のイタリアの停電
• 2003年のロンドンの停電
• 2006年の欧州大停電
• 2012年北インドで発生した停電
• 2016年南オーストラリア州の停電
• 2019年に南米南東部で発生した停電
• 2022年ケニアで全国停電
• 2023年ケニア全国停電

カスケード障害は、コンピュータ ネットワーク(インターネットなど) でも発生することがあります。ハードウェアまたはソフトウェアの故障や切断が原因で、ネットワークのより大きなセクション間でネットワーク トラフィックが著しく損なわれたり停止したりします。この文脈では、カスケード障害はカスケード障害と呼ばれます。カスケード障害は、多数の人々やシステムに影響を与える可能性があります。

カスケード障害の原因は通常、単一の重要なルーターまたはノードの過負荷であり、これによりノードが一時的にでもダウンします。また、メンテナンスやアップグレードのためにノードを停止することでも発生することがあります。どちらの場合も、トラフィックは別の (代替) パスにルーティングされるか、別のパスを通過します。その結果、この代替パスが過負荷になり、ダウンするなどの原因になります。また、通常の操作でノードに依存しているシステムにも影響します。

カスケード障害の症状には、パケット損失やネットワーク遅延の増加などがあり、単一のシステムだけでなく、ネットワークまたはインターネットのセクション全体に影響を及ぼします。遅延の増加とパケット損失は、輻輳の崩壊により動作不能になったノードによって発生します。輻輳の崩壊により、ノードはネットワーク内に存在し続けますが、そのノードを通過する有用な通信はほとんどまたはまったくありません。その結果、ルートは、実際に通信を提供していなくても、依然として有効であると見なされます。

カスケード障害により十分な数のルートがダウンすると、ネットワークまたはインターネットのセクション全体がアクセス不能になる可能性があります。これは望ましくないことですが、接続がタイムアウトし、他のノードが切断されたセクションへの接続を確立しようとするのをあきらめるため、この障害からの回復が早まり、関連するノードの負荷が軽減されます。

カスケード障害中によく発生するのがウォーキング障害です。これは、セクションがダウンして次のセクションがダウンし、その後最初のセクションが回復する障害です。このリップルは、安定性が回復するまでに、同じセクションまたは接続ノードを数回通過することがあります。

カスケード障害は、トラフィックの大幅な増加とシステムとネットワーク間の相互接続性の向上により、比較的最近になって発生したものです。この用語は、1990 年代後半にオランダの IT 専門家によってこの文脈で初めて使用され、徐々にこの種の大規模障害を表す比較的一般的な用語になりました。^{[引用が必要]}

ネットワーク障害は、通常、単一のネットワーク ノードに障害が発生したときに発生します。最初は、通常そのノードを通過するトラフィックが停止します。システムとユーザーは、ホストに到達できないというエラーを受け取ります。通常、ISP の冗長システムは、別のバックボーンを通る別のパスを選択して、非常に迅速に応答します。この代替ルートを通るルーティング パスは、ホップ数が多くなり、通常は突然発生したトラフィック量を処理できないシステムをさらに多く通過することになります。

これにより、代替ルート上の 1 つ以上のシステムがダウンし、独自の同様の問題が発生する可能性があります。

この場合、関連するシステムも影響を受けます。たとえば、DNS解決が失敗し、通常はシステムの相互接続の原因となるものが、ダウンした実際のシステムに直接関係のない接続を切断する可能性があります。これにより、一見無関係なノードに問題が発生し、それ自体で別のカスケード障害が発生する可能性があります。

2012年12月、 Gmailサービスが18分間、世界中で部分的（40%）に停止しました。このサービス停止は、負荷分散ソフトウェアの定期更新に欠陥のあるロジックが含まれていたことが原因でした。この場合、エラーは、より適切な「一部」の代わりに不適切な「すべて」を使用したロジックによって発生しました。 ^[4]この連鎖エラーは、一度にすべてのノードを部分的に更新するのではなく、ネットワーク内の単一のノードを完全に更新することで修正されました。

個別の構造部品を持つ特定の耐荷重構造は、「ジッパー効果」の影響を受ける可能性があります。これは、単一の構造部材の破損が隣接する部材の負荷を増加させる現象です。ハイアット リージェンシーの歩道橋の崩落の場合、吊り橋 (建設時のミスによりすでに過大な応力がかかっていた) が、垂直の吊りロッド 1 本が破損したときに破損し、隣接するロッドに過負荷がかかり、ロッドが順に破損しました (つまり、ジッパーのように)。このような破損が発生する可能性のある橋は破壊限界橋と呼ばれ、単一の部品の破損によって多数の橋の崩落が発生しています。適切に設計された構造では、適切な安全率や代替荷重経路を使用して、この種の機械的な連鎖破損を防止しています。^[5]

亀裂カスケードは地質学における現象であり、単一の亀裂によって後続の亀裂の連鎖反応が引き起こされることを指します。^[6]最初の亀裂は追加の亀裂の伝播を招き、物質全体に連鎖効果を引き起こします。

破壊カスケードは、岩石、氷、金属、セラミックなど、さまざまな物質で発生する可能性があります。^[7]一般的な例としては、乾燥したスパゲッティを曲げる動作が挙げられます。これは、リチャード・ファインマンによって初めて観察されたように、ほとんどの場合、2つ以上の部分に割れます。 ^[7]

骨粗鬆症の文脈では、骨折カスケードとは、最初の骨折後にその後の骨折のリスクが増加することを意味します。^[8]

生物学には生化学的カスケードが存在し、小さな反応がシステム全体に影響を及ぼすことがあります。1 つの悪い例は虚血性カスケードです。これは、小さな虚血発作によって毒素が放出され、それが最初の損傷よりもはるかに多くの細胞を死滅させ、結果としてさらに多くの毒素が放出されるというものです。現在の研究では、脳卒中患者におけるこのカスケードを阻止して損傷を最小限に抑える方法を見つけようとしています。

絶滅の研究では、ある種の絶滅が他の多くの種の絶滅を引き起こすことがあります。そのような種はキーストーン種として知られています。

もう 1 つの例はコッククロフト・ウォルトン発電機です。この発電機もカスケード障害が発生する可能性があり、1 つのダイオードが故障すると、瞬く間にすべてのダイオードが故障する可能性があります。

科学実験におけるこの効果のさらに別の例は、 2001年にスーパーカミオカンデ実験で使用された数千個の壊れやすいガラス製光電子増倍管の爆縮であり、単一の検出器の故障によって引き起こされた衝撃波が連鎖反応で他の検出器の爆縮を引き起こしたようです。

金融の世界では、金融機関の連鎖的な破綻のリスクはシステミック リスクと呼ばれます。つまり、ある金融機関の破綻が他の金融機関 (その取引相手) の破綻を引き起こし、システム全体に連鎖的に影響を及ぼします。システミック リスクをもたらすと考えられる機関は、なぜ脅威をもたらすと思われるかによって、「大きすぎて破綻しない」(TBTF) か、「相互に関連しすぎて破綻しない」(TICTF) とみなされます。

ただし、システミックリスクは個々の機関自体に起因するものではなく、相互のつながりに起因するものであることに留意してください。連鎖的な失敗の影響を研究し予測するための枠組みは、研究文献で開発されています。^{[9] [10] [11]}

金融における連鎖的な破綻と関連した（しかし異なる）タイプの連鎖的な破綻は、2010年のフラッシュクラッシュに代表される株式市場で発生している。^[11]

給水、輸送、燃料、発電所などの多様なインフラが相互に結合され、機能するために互いに依存しています（図1を参照）。この結合により、相互依存ネットワークはランダム障害、特に標的型攻撃に対して極めて敏感であり、1つのネットワーク内の少数のノードの障害が、いくつかの相互依存ネットワークで反復的な障害の連鎖を引き起こす可能性があります。^{[12] [13]}停電は、相互依存ネットワーク間の障害の連鎖によって頻繁に発生し、この問題は近年発生したいくつかの大規模停電によって劇的に例証されています。停電は、ネットワーク間の依存関係が果たす重要な役割を示す興味深い例です。たとえば、2003年のイタリアの停電では、鉄道網、医療システム、金融サービスで広範囲にわたる障害が発生し、さらに通信ネットワークにも深刻な影響を及ぼしました。通信システムの部分的な障害は、今度は電力網管理システムをさらに損ない、電力網に正のフィードバックを生み出しました。^[14]この例は、相互依存性が相互作用するネットワークシステムにおける損害をいかに大きく拡大させるかを強調しています。

過負荷伝播による連鎖故障のモデルとしては、モッター・ライモデルがある。^[15]

• 宮崎俊之 (2005 年 3 月 1 日)。「SF ネットワークにおけるカスケード崩壊に対する防御戦略の比較 (次数相関あり)」(PDF) 。2009 年 2 月 20 日のオリジナル(PDF)からアーカイブ。
• Russ Cooper (2005 年 6 月 1 日)。「(In)Secure Shell?」RedmondMag.com。2007 年 9 月 28 日のオリジナルからアーカイブ。2007 年9 月 8 日に取得。
• 米国国土安全保障省 (2007 年 2 月 5 日)。「Cascade Net (シミュレーション プログラム)」。国土防衛安全保障センター。2008 年 12 月 28 日時点のオリジナルよりアーカイブ。2007年 9 月 8 日閲覧。

• 宇宙天気: 停電 — 大規模な電力網障害
• カスケード障害デモ アプレット (モナッシュ大学のバーチャル ラボ)
• AE Motter および Y.-C. Lai、「複雑なネットワークに対するカスケードベースの攻撃」、Physical Review E (Rapid Communications) 66、065102 (2002)。
• P. Crucitti、V. Latora、M. Marchiori、「複雑ネットワークにおける連鎖障害のモデル」、Physical Review E (Rapid Communications) 69、045104 (2004)。
• 連鎖的なグリッド障害に対する保護戦略 - 近道的なアプローチ
• I. Dobson、BA Carreras、DE Newman、プレプリント「確率的カスケード故障の荷重依存モデル」、Probability in the Engineering and Informational Sciences、第 19 巻、第 1 号、2005 年 1 月、15 ～ 32 ページ。
• ノヴァ: 1998 年 9 月 2 日の 111 便墜落事故。ニューヨークからジュネーブへ向かっていたスイス航空 111 便が、乗客 229 名を乗せてノバスコシア沖の大西洋に墜落しました。当初はテロ行為と思われていました。3,900 万ドルの調査、15 億ドルの保険金支払い、そして 4 年以上を経て、調査官は連鎖的な故障という謎を解き明かしました。スイス航空 111 便の遺産とは何でしょうか。「設計、抑制と均衡、保護、安全性の内部構造を垣間見ることができます。」 - 航空安全週間編集長、David Evans。
• PhysicsWeb 記事: 事故によりニュートリノ研究室が閉鎖
• 大規模組織ネットワークの構造とダイナミクス (Dan Braha、ニューイングランド複雑系研究所)
• 単一のネットワークからネットワークのネットワークへ 2015-11-14 にWayback Machineでアーカイブ