Venerdì, alle 15:54 di New York, le 21:54 da noi, la FAA ha fermato tutte le partenze dagli aeroporti degli Stati Uniti. In quel momento c’erano circa 3.500 aerei in volo. Sono atterrati tutti senza problemi, ma a terra il blocco è durato più di quattro ore: più di 4.000 voli cancellati e oltre 10.000 in ritardo, secondo FlightAware (CBS News).
La causa, secondo diverse fonti sentite da CBS News, è un aggiornamento. Un aggiornamento alla rete di comunicazione privata che collega il sistema di controllo del traffico aereo: la rete si è riavviata, poi è andata in crash, e i centri di controllo hanno perso le comunicazioni.
Il giorno prima, mezzo mondo era rimasto senza Outlook e Teams per un guasto ai server di Microsoft. Due giorni, due infrastrutture enormi ferme per problemi di software. E qualche giorno fa, molto più in piccolo, è successo anche a me.
Cosa è successo al controllo del traffico aereo americano
In ordine, con l’ora di New York:
- poco dopo le 15:30: radar e comunicazioni dei centri di controllo cominciano a dare problemi (ABC News);
- 15:54: la FAA ordina il ground stop nazionale, cioè nessun aereo può partire. È la seconda volta dall'11 settembre: la precedente, nel gennaio 2023, era stata causata dal guasto al sistema che invia gli avvisi ai piloti;
- sera: ritardi a Boston, Atlanta, Miami, New York e Los Angeles, code ai banchi a LaGuardia e parcheggi pieni a Houston;
- 20:15: la FAA revoca il blocco dopo aver verificato che i sistemi sono stabili. I voli ripartono piano, e i ritardi continueranno per giorni.
La rete coinvolta si chiama FTI, FAA Telecommunications Infrastructure, e secondo CBS è gestita da L3Harris, un grande fornitore della difesa americana, che non ha commentato.
Le spiegazioni ufficiali vanno nella stessa direzione. Il segretario ai Trasporti Sean Duffy ha detto che switch e router sono stati sommersi di dati, hanno cominciato a dare dati incoerenti e il sistema è stato spento. Il segretario alla Sicurezza interna Markwayne Mullin ha parlato di nuove patch di sicurezza e nuove apparecchiature installate su un sistema vecchio, che avrebbero sovraccaricato i router. Secondo Bloomberg l’FBI non pensa a un attacco informatico e sta guardando proprio a un aggiornamento software (SecurityWeek).
Quello che ancora non si sa: quale aggiornamento, chi l’ha fatto e perché nessuno si è accorto prima che poteva far cadere tutto. La causa ufficiale non è stata annunciata.
Non è stato l’intelligenza artificiale, e non è stato Microsoft
Due ipotesi sono girate subito, e conviene toglierle di mezzo.
La prima: pochi giorni prima la FAA aveva esteso a tutti i centri SMART, un nuovo sistema di intelligenza artificiale per smistare il traffico. Duffy dice che non c’entra, e l’azienda che lo produce, AirSpace Intel, dice lo stesso. Mullin è stato più prudente: “ci stiamo guardando”.
La seconda: il collegamento con il down di Microsoft del giorno prima. Mullin l’ha escluso.
Restano le parole di Duffy, che vanno prese per quello che sono, anche politicamente: il sistema è “incredibilmente vecchio”, con telecomunicazioni ancora in parte analogiche, e “ce ne saranno altri” se il Congresso non trova i soldi per sostituirlo. L’amministrazione parla di circa 50 miliardi di dollari. Non è una scoperta: già nel 2023 una revisione della FAA definiva la rete FTI obsoleta e avvertiva che un guasto poteva scollegare singoli centri o intere regioni.
Il mio server, qualche giorno fa
Lo racconto perché è la stessa storia, in piccolo.
Dovevo aggiornare un server prima di un lancio. Niente di esotico: una procedura che conoscevo, scritta, provata. L’ho seguita passo per passo e tutto è andato come doveva, fino al riavvio. Al riavvio la macchina non è ripartita: si era rotta la partizione di boot. Il lancio è slittato di diverse ore rispetto al previsto, il tempo di rimettere in piedi la macchina.
Non avevo sbagliato niente, ed è proprio questo il punto. Un aggiornamento non è finito quando l’installazione dice “completato”: è finito quando il sistema è ripartito e funziona. In mezzo c’è il riavvio, che è il momento più fragile di qualsiasi sistema, dal mio server alla rete del controllo aereo americano. È lì che si scopre se tutto quello che c’era sotto, partizioni, configurazioni, driver, router, regge ancora.
Quanto dipendiamo da cose che non controlliamo
Mettiamo in fila gli ultimi giorni. Posta e chat di ministeri, banche centrali e aziende ferme per un problema nei controlli automatici dei server di Microsoft. Tutti gli aerei degli Stati Uniti fermi a terra per un aggiornamento a una rete gestita da un fornitore esterno. E nelle settimane prima, i frigoriferi dei supermercati manomessi da remoto attraverso controller vecchi lasciati raggiungibili da internet.
Sono tre storie diverse, ma hanno una cosa in comune: chi ne ha pagato le conseguenze non aveva nessun controllo su quello che si è rotto. Il passeggero a Boston non sa cosa sia la rete FTI. Il funzionario giapponese non sa quale processo si sia sovraccaricato nei server di Microsoft. Il supermercato non ha scritto il firmware del suo frigorifero. E spesso non lo controlla del tutto nemmeno chi gestisce il servizio: la FAA dipende da L3Harris, e i clienti di Microsoft dipendono da Microsoft.
C’è poi un paradosso che chi lavora nei sistemi conosce bene. Gli aggiornamenti non si possono evitare: le patch di sicurezza servono, e un sistema mai aggiornato è un sistema che prima o poi verrà bucato. Ma ogni aggiornamento è anche il momento in cui un sistema che funzionava può smettere di farlo. Più un sistema è vecchio e stratificato, più è rischioso toccarlo, e più è rischioso non toccarlo. La rete del controllo aereo americano sta esattamente lì in mezzo.
Cosa ne porto a casa
Non ho una soluzione, ma qualche regola che dopo questa settimana mi tengo più stretta:
- un aggiornamento non è finito finché il sistema non è ripartito. Il tempo da mettere in conto non è quello dell’installazione, è quello del riavvio più quello per sistemare ciò che non riparte;
- mai aggiornare subito prima di un lancio. O, se proprio serve, con un margine di ore e non di minuti, come ho imparato a mie spese;
- un piano per tornare indietro, che sia uno snapshot, un backup della partizione di boot o una macchina di riserva. Il giorno in cui serve non è il giorno giusto per inventarlo;
- sapere da chi dipendi. Fornitore cloud, gestore di rete, servizi esterni: non puoi controllarli, ma puoi sapere cosa succede se si fermano e avere un’alternativa per le cose che contano.
Il software è ovunque e la maggior parte delle volte funziona così bene che ce ne dimentichiamo. Settimane come questa servono a ricordarci che sotto ogni volo, ogni email e ogni frigorifero c’è qualcuno che, a un certo punto, ha premuto “riavvia”.
E tu? Ti è mai capitato un aggiornamento che doveva essere di routine e ti ha rovinato la giornata? Scrivimelo.
Fonti: CBS News, ABC News, NPR, SecurityWeek, CNN.