弃用华为设备后，法国Orange全国断网9小时（上）

华为网络连续性保障之可靠性设计和ITR

2026年10月21日，法国最大的运营商Orange，移动核心网断了整整9个小时。巴黎、里昂、马赛、图卢兹，成千上万人的手机忽然变成了砖头，电话打不出去，短信发不出去，4G和5G的数据连接集体趴窝。事后复盘，根因落在诺基亚核心网软件的一个漏洞上：主备两套系统跑着同一个版本的诺基亚代码。一个异常消息触发，两台设备用同一个姿势一起崩掉，工程上管这叫共模故障。通俗点说，就是你配了两把一模一样的钥匙，丢的时候，两把一起丢。

这几年，欧美以安全为名，把华为设备一台台搬迁出网络，腾出的位置交给了诺基亚和爱立信。可华为走之后，翻车最狠的偏偏是留下的这几家。华为在网的那些年，为什么很少听说这个级别的全国性事故？答案就在华为IPD体系里的DFR可靠性设计，以及ITR的服务流程，外加华为贴近客户的本地化服务体系。这三个部分，恰好是西方设备厂家无法完全具备的。

一、法国大面积断网，整整持续九小时

断网这件事，平时最多让你骂两句。可一旦全国范围、核心网级别地瘫下去，味道就完全变了。这一天，法国人过得很难。

1.1 从11点37分，到20点30分

故障来的很不是时候。上午11点37分，正是中午订餐、刷视频、接工作电话的时段，Orange的移动核心网开始出问题。直到晚上8点30分，服务才全面恢复，中断持续约9个小时。法国Tarn省甚至专门发出提示，告诉打不通紧急号码的民众，改从其他运营商的网络或者固定电话呼112。

核心网这三个字普通民众可能不知道它是干啥的，实际上它是网络通信的核心中枢。手机开机要先认证SIM卡，打电话要分配语音通道，上网要建立数据连接，这些动作背后都靠核心网调度。核心网一乱，基站信号再满格也没用，用户看到的就是满格的信号却死活打不出电话和连不上网络。

这次断网受影响的范围有多大？Orange最大的工会组织CFE-CGC Orange估算，集团大约2200万条移动线路里，约七成受到波及。断网期间，4G和5G大面积中断，只剩下3G还在运转，用户幸运的话还能打电话、发短信。Orange法国公司总经理热罗姆·埃尼克对媒体承认，这次事件不同寻常，因为冗余没有起作用。公司管理层把这次事故形容成十四年来未有先例。

屋漏偏逢连夜雨。就在事故发生前一天，法国本土刚刚彻底关停了2G网络。更让人不踏实的是，欧洲多国还在陆续关停3G。等这一代3G网也退了，核心网再出同样的毛病，欧洲人拿什么来兜底？没人知道答案。

1.2 备份为什么没起作用

1）共模故障

工程上有个专门的词，叫共因失效，英文是Common Cause Failure，也叫共模故障。它的意思是：两个本来设计成互相备份的系统，因为某个共同的原因，在同一时刻一起失效。

据Orange方面的说法，出问题的是一台诺基亚设备，一个软件缺陷让它收到特定错误消息后陷入反复重启。备用设备部署在法国境内其他站点，做的是标准的冗余部署，听起来好像很稳妥。可它跑的是同一版本的诺基亚软件。自动切换机制本想把业务转过去，可备用节点用的同一套代码，两个设备开始陷入“我通知你接管、你通知我接管”的死循环。

2）曾经有人提前预言过

这一幕原本有人提醒过。代表欧洲电信运营商的行业协会Connect Europe，早在2026年7月就发过报告，警告欧洲收紧供应商选择范围，会削弱运营商保障网络韧性的能力，会延长甚至加剧与过度依赖相关的系统性风险，尤其是全网故障的时候。Orange本身就是这个协会的成员。

四个月后，10月21日那一天，这份警告变成了现场直播。风险确实来自过度依赖，只不过被过度依赖的对象，不是中国设备，而是诺基亚。

1.3 索赔、道歉，“极难发现”

Orange首席执行官埃尼克表示，此次故障的根本原因是诺基亚代码中的一个软件漏洞。他补充说，Orange此前从未遇到过这一漏洞，而且该漏洞“极难发现”。

事故之后，Orange开始向诺基亚追责。法国媒体L’informe报道，Orange正寻求数百万欧元的赔偿，最可能的形式，是诺基亚在未来的采购里给折扣。Orange集团对外的回应是，与供应商之间的合同关系以及可能的商谈，都属于保密事项。

赫尔辛基研究机构Inderes的分析师托米·萨里宁算过一笔账。诺基亚2025年的年度净销售额大约200亿欧元，几百万欧元的补偿在财务上还扛得住，真正难估的是声誉。他的判断是，运营商下一轮招标时，会在软件质量和网络韧性上，向诺基亚提出更尖锐的问题。毕竟，漏洞出在移动核心网，那是整张网络最关键的地方，还顺手把备份系统一起放倒了。

对用户端的补偿，Orange没有退钱，也没发现金，而是把受影响客户的套餐流量翻倍一个月，从下一次续订起自动生效。按合同条款看，运营商承诺在客户报告故障后两个工作日内恢复服务，这次十小时内就解决了，确实难以触发退款义务。可用户对Orange网络的信任已经出现了裂痕。

1.4 一年三次：这就不是意外了

这是Orange在2026年内的第三次全国性移动网络中断。1月30日那次持续约七个半小时，6月29日又来一次，10月21日这次时间最长，波及面也最广。

一年三次，未必都是同一个技术根因。但它足以指向一个结构性事实：法国最大移动运营商的核心网，在一个不算长的窗口里，反复失去了在全国范围维持基本移动服务连续性的能力。对这一量级的网络来说，韧性不是企业自己的运营指标，而是带公共基建性质的东西。当同样的故事十个月里讲三遍，“罕见事故”这个说法，本身就值得商榷。

断网造成的经济损失，有估算说是每小时200万到300万欧元，覆盖在线交易中断、移动支付失败、双重认证阻塞、中小企业通信停摆。更无法定价的是紧急通信的降级。当112的可达性需要靠“从别的网络拨打”来提示时，移动网络中断已经越过了便利的边界，踩进了公共安全的地界。九个小时里，法国人最需要的那个号码，可能一直在忙音里等着。

二、弃用华为后，西方都出过什么事

Orange的事故不是孤例。翻一翻过去几年的记录，西方把华为、中兴挡在门外之后，全国性断网的事故一个接一个。据不完全统计的就有七八起：

时间	运营商／国家	持续	直接原因	后果
2022年7月8日	Rogers／加拿大	约14小时	误删核心网路由过滤器，核心路由器过载崩溃	约1200万用户受影响，911报警中断
2024年2月22日	AT&T／美国	超12小时	网络扩容变更流程错误，缺乏同行评审	1.25亿台设备受影响，超9200万次呼叫被阻断
2025年5月20日	Telefónica／西班牙	数小时	软件更新失败	多地112紧急热线一度瘫痪
2025年7月24日	EE、沃达丰、BT／英国	两度反复	语音路由故障与网间互联脆弱	全国通话短信受限，固话受累
2025年9月18日	Optus／澳大利亚	约14小时	防火墙升级中下达错误指令（涉诺基亚）	000紧急电话瘫痪，至少2人死亡
2026年1月14日	Verizon／美国	约10小时	官方未详细披露	数十万用户受影响，累计报告超220万份
2026年10月21日	Orange／法国	约9小时	诺基亚核心网软件漏洞，主备共模故障	2200万线路约七成受波及，仅3G可用

2.1 加拿大Rogers

2022年7月8日清晨，加拿大三大运营商之一的Rogers，核心网在几分钟内塌了。故障从当天4点58分开始，直到第二天早上7点服务才逐步恢复，持续约14个小时。超过1200万客户的服务中断，移动用户、家庭宽带用户、企业客户，连同依赖它提供关键服务的机构，全都被卷了进来。

加拿大广播公司在安大略省基奇纳的电台被迫停播。渥太华不少商店、餐厅挂出只收现金的牌子，刷卡机连着Rogers的网络，一起失灵。更要命的是911报警系统也受了波及，医院线上预约、报警接线被迫增加人工值守。Cloudflare的监控显示，从UTC时间7月8日8点45分左右开始，来自Rogers网络自治域的互联网流量几乎完全消失。

独立审查报告后来的调查发现，根因是人为失误：Rogers的员工在配置IP网络中的分布路由器时，误删了一条访问控制列表策略过滤器。这道过滤器本来是拦路由信息的，被删掉之后，大量路由条目涌进核心路由器，超出了它的处理能力。几分钟内，核心路由器因过载崩溃，用户流量无处可走，移动电话、家庭电话、互联网、商业连接、911呼叫全线中断。

报告还点出一个要命的地方：核心路由器缺少过载保护。如果它配置了处理上限，能在路由信息洪峰到来时自我保护，这次事故或许就能避免。可惜没有。加拿大监管机构CRTC后来说这类事故“完全不可接受”，要求Rogers解释清楚。值得一提的是，Rogers用的正是爱立信的5G设备。加拿大在2022年5月19日，以国家安全为由宣布禁止本国电信系统使用华为、中兴的产品和服务。两个月后，Rogers的全国网络便瘫痪了一整天。这不仅让人想到中国人的一句古话：冥冥之中自有天意。

2.2 美国AT&T

2024年2月22日凌晨，美国最大运营商之一的AT&T，全国网络瘫了超过12个小时。波士顿、芝加哥、纽约、旧金山、华盛顿，用户手机信号消失，屏幕上只剩下SOS三个字母。多地警察局发出公告，提醒民众911可能打不通，紧急情况得改从其他运营商或者固定电话求助。

美国联邦通信委员会后来发布的报告，给出了这次事故的量级：1.25亿台设备的语音通话和移动数据服务中断数小时，超过9200万个呼叫被阻止，其中至少25000个是紧急呼叫。Downdetector母公司Ookla把这次事件列为2024年全球第三大中断，也是2020年以来最大的运营商中断事故。

原因说起来简单得可怕。AT&T首席执行官约翰·斯坦基表示，故障是在扩展网络时应用和执行了错误的流程导致的。FCC的报告把板子打在了AT&T缺乏一连串基本功上：缺乏同行评审、安装后测试不足、没有足够的保障措施和控制措施来批准影响网络的变更，等等。翻译成人话就是，一次本该层层设卡的变更，从门口一路畅通地走了进去，然后把整个网络撂倒。1.25亿台设备，25000个打不出去的求救电话，换回来的是每个账户5美元的补偿。

2.3 澳大利亚Optus

如果说前面几起还算“通信事故”，那这一起，性质要重得多。

2025年9月18日凌晨，澳大利亚第二大运营商Optus对防火墙系统做例行升级。恰好是这一夜，出事了。根据Optus后来委托的独立调查报告，公司原计划进行18次防火墙升级，前15次顺利完成，第16次升级中，Optus向外包供应商诺基亚下达了错误的指令。防火墙的错误配置把拨打000紧急电话的信号给屏蔽了。

故障从凌晨12点半左右开始，一直持续到下午近两点，将近14个小时。这期间，有数百通000求助电话没能接通，南澳、西澳、北领地数百万用户受影响。事后被证实与这次故障相关的死亡事件，至少2起，有报道提到的是3人：阿德莱德一名68岁女性、西澳Willetton一名74岁男性，都因拨不通000而没能及时获得救助。

报告里最让人唏嘘的是，这次事故的损失原本可以减到最小：故障期间有5个人打通了Optus的客服电话，焦急地反映000打不通，但客服只是记录，没有上报。本该可以提前几个小时被掐灭的事故，就这么滚成了雪球。澳大利亚通信与媒体管理局随后把Optus告上联邦法庭，指其违反两项法定义务，累加起来的罚款可能以亿澳元计。而这家运营商早在2023年11月，就因为类似原因被罚过1200万澳元。

2.4 西班牙、英国、美国：三年里的连环翻车

1）西班牙电信：一次更新，112热线哑了

2025年5月20日凌晨，西班牙最大的电信运营商Telefónica，因为一次网络更新失败，全国大部分地区的固定电话和互联网出现中断。安达卢西亚、阿拉贡、巴伦西亚等多个自治区的紧急服务中心通信中断，多地112紧急热线一度陷入瘫痪，马德里、巴塞罗那、塞维利亚、瓦伦西亚等主要城市数百万用户的信号和网络受到影响。

由于Telefónica的网络设施几乎覆盖西班牙全境，这一处故障波及了所有依赖其设施的运营商。事故发生在西班牙和葡萄牙大停电之后不到一个月，再次暴露了当地电信基础设施的脆弱。西班牙业界后来呼吁加强备用电源和网络弹性，政府也着手审查和更新相关法规。

2）英国：三大运营商一起趴下

2025年7月24日上午11点，英国的EE网络首先出现语音路由问题，随后沃达丰、BT相继倒下。7月25日，同样的问题再次爆发，说明修复措施没能除根。大量用户无法拨打电话、发送短信，部分固定电话线路也陷入瘫痪。

分析指向语音路由技术和网间互联系统。沃达丰在语音通话上对EE的基础设施依赖程度很高，EE一出问题，它缺乏有效的隔离和自愈能力，故障被放大。英国通信网络高度互联，跨网络携号转网机制依赖性强，用户就算从EE转到别家，仍可能被波及。这场被媒体称作“黑天鹅”的事故，把英国移动网络在架构上的脆弱性摆到了台面上。

3）Verizon：半年里两次全国性中断

2026年1月14日，美国电信巨头Verizon遭遇约10小时的全国性移动通信故障。故障报告峰值超过11.3万条，24小时累计报告量高达220万份，纽约、洛杉矶、芝加哥、华盛顿特区等城市全线受影响。大量用户手机状态栏显示SOS，只能拨打紧急电话。纽约、华盛顿等多座城市发布安全警示，建议居民紧急情况下改用其他运营商或固定电话，或者直接前往警察局、消防站求助。

这已经是Verizon在近半年内第二次发生全国性网络事故。官方始终未详细披露核心成因，只说没发现网络攻击迹象。信息不透明，反过来又加重了公众的疑虑。

2.5 西方弃用中国设备的代价

西方禁止和替换中国企业设备这件事，现有和潜在的代价都很大。

英国是最早跟风的那一批。2020年7月，英国政府宣布停止采购新的华为5G设备，并要求运营商在2027年年底前，把相关设备全部移出5G网络。官方当时的估算，光是停止采购新设备，就会增加最多5亿英镑的成本；如果把拆除、替换和建设延期都算上，累计影响最高可能达到20亿英镑，网络部署还得推迟两到三年。前商务大臣凯布尔后来把话说得很直白：这个决定跟国家安全没多大关系，主要是扛不住美国的压力。

2024年7月，德国政府与主要运营商达成协议，要求5G核心网在2026年年底前不再使用华为和中兴的相关部件，到2029年年底完成接入网、传输网中关键管理系统的替换。外界根据超过20亿欧元的替换成本，换算出的口径是165亿元人民币。德国电信自己算过，单是替换设备就得出30亿欧元，至少花5年，还会让5G部署晚上两三年。而到2024年，德国59%的5G无线接入网依赖华为设备。

替换中企设备的钱花出去了，网络变好了吗？英国拆完之后，5G平均网速掉到了G7国家垫底的位置，伦敦在欧洲主要城市的5G网速评比里排在最末。运营商为了赶工期，成本控制不住，农村地区的信号更差，企业和居民的体验直线下滑。一份由17家欧洲电信运营商首席执行官联名签署的公开信估算，欧盟拟议的“高风险供应商”禁令，可能给行业带来高达400亿欧元的设备替代成本。欧盟自己的评估是，未来五年可能损失三千多亿欧元。这笔钱，最后大多会落在纳税人和用户身上。当年决定把华为搬迁出去的时候，话说得有多响；如今这张账单，就有多难看。

三、华为支撑网络连续性的三大绝招之一：IPD DFR

看到这儿，很多人可能心存疑虑。同样是核心网，同样要面对软件缺陷、人为操作、硬件老化，为什么华为在为西方国家提供网络建设和维护的那些年，很少听说这种规模的全国性事故？

这不是运气好。华为最近三十年在研发上下的那些慢功夫，就是答案：1999年从IBM引进IPD，也就是集成产品开发体系，用先僵化、后优化、再固化的路子，一步步改成自己的东西。在这个体系里，有一个专门的领域叫DFR，面向可靠性的设计。它的核心主张只有一句：质量是设计出来的，不是测试出来的。

3.1 DFR和IPD密不可分

1）六个阶段，四个决策评审点，六个技术评审点

我这里还是先把IPD的骨架简单交代一下。它把产品开发切成六个阶段：概念、计划、开发、验证、发布、生命周期管理。每个阶段之间有核心控制点，过不去就不许往下走。

控制点分两种。一种是DCP，决策评审点，由集成组合管理团队主导，回答的是商业问题：这笔钱值不值得继续投，方案要不要砍。另一种是TR，技术评审点，一共六道，从TR1到TR6，由技术专家团队主导，回答的是技术问题。TR1看需求是否完备，TR2看架构是否稳定，TR3冻结概要设计，TR4收口详细设计，TR5确认系统测试就绪，TR6检查发布准备，包括上线清单、运维监控和回滚预案。

每个TR都有准入条件和准出条件。没达准入条件，评审会开不起来；没达准出条件，别想进下一阶段。可靠性设计就嵌在这套骨架里：概念和计划阶段分解可靠性指标，开发阶段跟着做FMEA、降额、热设计，验证阶段再靠可靠性试验把设计里的假设重新验一遍。它不是流程外挂上去的一段，而是流程自带的部件。

2）把可靠性当成正经的产品特性来做

华为内部有个提法，叫以特性为核心的可靠性设计。意思是，容灾能力、过载控制、软件升级不断业务、故障诊断定位这些可靠性关键特性，要像屏幕分辨率、电池续航一样，被当成正经的产品特性来设计，写进需求，分解到模块，最后落到验收标准。

这个思路背后有个著名的成本法则，叫1-10-100法则：设计阶段花1块钱能解决的问题，拖到测试阶段要花10块，等产品流进市场，就得花100块来收场。Rogers那次事故，一条被误删的过滤器，如果早在设计阶段被当作一个失效模式列出来，代价也许就是一份文档；等它影响到1200万用户，代价就是一场监管调查。这就是可靠性设计值钱的地方。

还有一层是组织。IPD里的核心执行主体叫PDT，产品开发团队，是强矩阵式的跨部门团队，市场、研发、制造、采购、服务、财务、质量各派全权代表。可靠性工程师不是等项目出了问题才被叫来救火的消防员，而是从立项就坐在桌边，有否决权的角色。再加上公司级统一认证发布、可复用调用的共用构建模块，成熟模块反复验证过再引入，新增设计带来的风险就被压了下来。

3.2 工具一：FMEA与DFMEA，把故障提前演一遍

DFR工具箱里，最基础也最重要的一件，是FMEA，失效模式与影响分析。说白了，就是在设计阶段，把哪里可能坏、坏了会怎样、为什么坏、能不能提前发现这几件事，一条条捋清楚。

1）S、O、D三个分值，和一张风险清单

DFMEA是FMEA在设计端的版本，动作是有章法的。先做结构分析，把产品拆成系统、子系统、零件三级；接着做功能分析，明确每个部分该干什么、性能边界在哪；然后做失效分析，列出失效模式、失效影响、失效原因；最后做风险分析，给每个风险打分。

打分有三个维度：严重度S，看后果有多重；发生度O，看它多容易发生；探测度D，看现有的手段能不能提前逮住它。三个分值一乘，就是风险系数RPN。RPN高的项，要优先处理，配上预防措施和探测措施。措施落下去之后，还要重新打一遍分，看风险有没有真的降下来。

举个直观的例子。某类充电接口的短路起火风险，严重度S给10分，因为它危及人身；发生度O给3分；现有高压测试的探测度D给2分，RPN就是60，属于必须优先处理的那一类。整改的办法有三路：改设计，用双绝缘结构把S从10压到8；降概率，加温度传感器把O从3压到1；提检测，植入自诊断把D从2压到1。算下来RPN掉到8，风险降了八成多。这套打分不一定精确，但它逼着团队把每个风险都写下来、都有人负责。

2）严酷度分级，和它对应的签字权

IPD把故障后果按严酷度分级，再给不同等级配上不同的决策权限。会导致人身伤害的一级失效，方案必须由产品线总裁签字才能过；主要功能失效这类二级失效，要走系统级冗余设计；次要功能降级这类三级失效，可以在子系统层面做算法补偿闭环。

这样风险不再是表格里的一个数字，而是能压到具体人头上、能触发具体资源的事。谁能签字，谁就得为最坏的结果负责。

3）FMEA要重建，措施要复验

还有一个细节叫清零机制。就算新产品沿用了成熟方案，FMEA模型也得重新建一遍，不能直接抄旧版。华为公开的案例里，某款手环沿用旧款防水结构，就是靠重建模型，发现了汗液腐蚀会导致密封圈老化的新问题，躲过了一次批量隐患。

更重要的是措施验证。写进FMEA的预防和探测措施，不是写完就算完，得一条条验证它是不是真的做到了设计里、是不是真的有效。这一点，恰恰是AT&T那次事故的反面教材。变更前缺乏同行评审，变更后缺乏充分测试，等于FMEA里写的措施一条都没落地。

3.3 工具二：FTA，从后果倒着找原因

如果说FMEA是从零件往上看后果，那FTA就是从后果往下找原因。

FTA全称故障树分析。它从最顶层的事故出发，比如核心网大面积中断，然后一层层往下追，把所有可能导致这件事发生的路径，画成一棵树。树干是顶事件，枝叉是中间事件，叶子是底事件。同层之间用与门、或门连起来，逻辑关系清楚。

这棵树的价值在于穷举和查漏。一个顶层故障，背后可能是硬件失效、软件缺陷、配置错误、人为操作，甚至几件事凑在一起。FTA逼着团队把每条路都写下来。写完之后，哪些分支有防护，哪些分支还光着，一眼就能看清。FMEA和FTA搭着用，一个从零件往上看后果，一个从后果往下找原因，正好互补。共因失效分析也得挂在故障树上做，因为共因失效要看的，本来就是“一个原因同时遍历多条分支”。

免责声明：本文数据来自媒体或第三方公开报道，仅代表个人观点。

【 -未完待续- 】

如需要开展集成产品开发IPD DFR、ITR流程培训和咨询项目的，请联系我们的学习顾问：directorniu (个人微信)