当数字系统失败：关于我们数字世界隐藏风险的专家报告

当数字系统失效时 前言 随着数字系统在我们的生活中变得越来越重要，威胁它们的风险正日益跨越行业、机构和边界。关键性数字中断，无论是由于自然灾害、基础设施故障还是系统性相互依存关系所驱动，都可能以现有治理框架尚未设计好去管理的速度和规模蔓延开来。 本报告直面一个日益增长的悖论。虽然数字基础设施为日常生活带来了非凡的效率、连接性和韧性，但也创造了新的系统性脆弱性形式。这些脆弱性悄无声息地发生在相互依存的系统中，直到关键功能突然停止运行，而此时往往最需要它们。 该报告通过与国际专家共同创作的方式开发而成，揭示了标准风险评估往往容易忽视的隐藏依赖关系和连锁反应。其目的并非预测，而是为应对做好准备：在干扰发生之前，支持就关键数字风险形成共同理解。 该报告反映了国际电信联盟（ITU）、联合国减少灾害风险办公室（UNDRR）和巴黎政治学院国际事务学院共同组织并促进协作过程所做的努力，将技术、政策、灾害风险和学术专长汇集起来，以审视这些挑战。 随着数字相互依存日益加深，其速度已超过我们治理的能力，合作已不再是可选项。它是数字韧性（或：数字稳健性）的基础。 多琳·博格丹-马丁秘书长，国际电信联盟 阿兰查·冈萨雷斯巴黎国际事务学院院长 卡玛尔·基绍尔 联合国秘书长特别代表，负责减少自然灾害风险，以及联合国减少自然灾害风险办公室负责人 致谢 本报告是经由一个结构化的共创过程产生的成果，该过程建立在来自国际高级专家小组的迭代和实质性的输入之上。该过程由让·韦尔林（让·莫兰·里昂三大学/巴黎政治学院-危机实验室/巴黎高等师范学院-风险地缘政治学讲席教授）领导，他是本报告的首席作者，并由洪布兰尼·穆达乌（南非国家航天局首席执行官）和Öykü Işık（IMD商学院数字战略与网络安全教授）共同主持。它建立在核心专家小组的知识、经验和批判性参与之上：内塔莉·布莱克（英国通信办公室通信与网络集团总监）、金伯利·布朗（GSMA人道主义创新移动业务负责人）、杰伊·马汉南（世界粮食计划署首席信息官）、胡阿-佩卡·伦塔马（欧洲航天局空间天气办公室负责人）、萨米尔·帕蒂尔博士（观察研究基金会主任）、布什拉·阿尔·布洛希博士（迪拜电子安全中心网络安全治理与风险管理主任）、周凯波（中国信息通信研究院副院长）、罗德尼·泰勒（加勒比电信联盟秘书长）、拉吉布·肖（庆应大学教授）和贝亚特·德格恩博士（风险管理研究所）。 这一过程得益于三家机构合作伙伴的支持与承诺。在国际电信联盟（ITU），主要作者和贡献者感谢秘书长多琳·博格丹-马丁（Doreen Bogdan-Martin）和副秘书长安东尼奥·拉马努斯卡斯（Tomas Lamanauskas）的领导，以及安德烈斯·菲戈利（Andrés Figoli）在海底光缆基础设施方面的专业知识、何塞·奇科罗西（Jorge Ciccorossi）在空间无线电通信系统方面的贡献，以及汉娜·布鲁格曼（Hannah Brügmann）在全程协调中的投入与高效。在联合国减少灾害风险办公室（UNDRR），作者们感谢联合国秘书长减少灾害风险特别代表、UNDRR负责人卡马尔·基绍尔（Kamal Kishore），以及洛雷塔·希伯·吉拉尔德（Loretta Hieber Girardet）和安娜·克鲁普（Anna Kruip）在过程中的参与。在巴黎政治学院国际事务学院（PSIA），作者们感谢PSIA院长阿拉尔查·冈萨雷斯（Arancha González），以及技术和全球事务创新中心的康斯坦斯·博梅拉尔-德吕塞（Constance Bommelaer de Leusse）和皮埃尔·诺罗（Pierre Noro）在智力与后勤方面的支持。作者们也感谢高等师范学院地缘政治风险讲席（Ecole Normale Supérieure–Chair in Geopolitics ofRisk）的阿伊塞·亚萨尔（Ayse Yasar）和诺艾米·邦特里德勒（Noémi Bontridder）对该项目的贡献。 最后，作者们向积极参与共创过程的科技与全球事务硕士项目的学生表示衷心感谢：亚历山大·戴维斯（Alexander Davies）、诺亚·哈吉（Noa Hajji）、阿丽尔·恩泽姆贝（Ariel Nzembe）、安托万·卢泽（Antoine Roux de Luze）、保拉·加西亚·穆诺兹（Paola Garcia Munoz）、李诗希（Sehee Lim）、布罗温·施里姆尔（Bronwen Schriml）、温迪·吉塔（Wendi Gjata）、内奥米·库里安（Naomi Kurian）、高子涵（Adrian Gao）、帕洛玛·莱尔（Paloma Lier）、伊内斯·阿达拉希（Inès Abdallahi）、路易·卢（Louie Lu）、莉斯·梅（Lise Mai）、洛拉·沃特迈尔（Lola Vortmeyer）和莉拉·布德杰马（Leela Boudjema）。 当数字系统失效时 目录 前言 ii致谢............................................................................................................执行摘要 .......................................................................................................第一部分：关键数字故障场景........................................................1太空 .................................................................................................................................2 词汇表 .........................................................................................................参考文献........................................................................................................第二部分：理解关键数字风险..........................................................................9四个基础设施领域及其相互依存关系 ..........................................10复合风险与当前框架的局限性................................................14结论与建议................................................................................16免责声明........................................................................................................ 执行摘要 如果，明天，手机和互联网停止工作，支付失败，医院丢失病人数据，紧急警报也从未送达会怎样？那些听起来像科幻小说的情况，可能会成为“数字大流行”，这是一个可能发生的现实。关键数字系统的大规模、不断升级的故障，这是一个当前的管理框架尚未设计好如何应对的场景。 现代社会依赖关键数字基础设施运转：从电力、金融和交通到医疗、通信和政府服务。一切均依赖于深度互联的系统，这些系统比表面看起来更脆弱，其风险在很大程度上被忽视。 2012年险些击中地球的太阳风暴，其威力足以瘫痪电网。而太空垃圾已对近地轨道和跨大陆通信构成威胁，轨道日益混乱，危及卫星导航、金融网络和天气预报。极端天气随着气候变化日益猛烈，已证明其完全切断数字基础设施的能力，将灾害转化为人道主义危机。 本报告显示，数字中断事件很少会保持孤立。它们会蔓延。最初高达89%的数字中断源于局部故障，却可能迅速蔓延至不同行业和地区。事实上，受次生溢出效应影响的人数，可能高达最初受事件直接冲击人数的十倍。最终受影响的人群，系统可能完全停止运行，而数字风险往往在达到临界点前难以察觉，物理世界看似毫无改变。这可能导致在危机最关键的时刻，响应行动被延误。 与此同时，我们在没有数字系统的情况下应对挑战的能力正在退化。各个领域，模拟技能和备用方案都消失了，或者不再被检验。当系统大规模失效时，人工替代方案往往无法取代它们。然而，这一挑战的严重程度因情况而异：基础设施冗余有限的地区，包括小岛屿发展中国家和最不发达国家，面临着独特且在某些情况下更为严峻的脆弱性。 最后，在风险认知方面仍存在一个关键性差距。网络威胁引人注目，但物质基础设施的非故意性中断则遵循不同的动态。相关知识是存在的，但我们并未给予足够的关注。而且，即使我们关注了，也缺乏将知识转化为准备状态所必需的框架、标准和协调能力。 应对这些风险需要在六个优先事项上采取行动，这些优先事项是通过一个共创过程确定的，该过程涉及来自国际组织、国家当局、学术机构和非营利部门的资深专家从业者。 1.构建知识库，以识别关键风险、模拟连锁反应并绘制跨部门依赖关系；2. 更新风险管理框架，将非故意的数字中断认定为核心风险； 关键数字故障场景 接下来的场景将抽象风险转化为具体表述。 基于已记录的风险、实证证据以及涵盖电信、数字基础设施治理、自然灾害、风险管理、网络安全和关键系统韧性等跨领域专业知识，本节所述情景是通过协作过程开发的。来自国际组织、国家当局、学术机构和私营部门的高级专家为其设计做出了贡献。这些情景追溯了紧密耦合系统中可能发生的事件链条。它们并非预测练习。相反，它们旨在明确通常被隐含的内容：风险登记册中从未出现过的依赖关系，以及数字系统在未发出警告的情况下跨越成为重大数字性中断的时刻。其目的是为政策制定者和从业者提供一个共同使用的工具。影响的严重程度和性质将因地区而异，具体取决于数字集成水平、基础设施所有权和国家监管能力。 所呈现的三个情景中的数据和时间线仅为说明性内容。它们基于科学文献、专家知识和已记录的过去事件，但并非概率性预测：现实世界的干扰发生在不确定性及复杂性条件下，任何模型都无法完全捕捉这些条件，其实际影响可能与此处描述的显著不同。这些情景旨在揭示系统性失败的结构性动态，而非规定任何具体事件将如何发展。 太空 1859年9月，一场太阳风暴——太阳释放出的异常强烈的能量和带电粒子冲击了地球。欧洲和北美的电报操作员受到了电击。电报设备迸发出火花，点燃了一些办公室。极光甚至出现在热带纬度。这一事件被载入史册，称为卡林顿事件，以观测到该事件的英国天文学家命名。当时，电报就是互联网。尽管损失严重，但基础设施相对容易重建，更广泛的社会功能基本未受影响。关于卡林顿级事件的概率估计在文献中差异很大，反映了不同的方法论和数据集。未来十年的估计范围从低于2%到大约12%，具体取决于所应用的统计模型3。2013年劳合社的评估估计，仅北美地区的影响就高达6万亿至26万亿美元4。关键在于，任何数字系统在其生命周期内都未发生过此类规模的事件。然而，2012年的一次近距离擦肩而过的事件与卡林顿事件强度相似。以下情景说明了如果类似事件在今天发生将如何展开。 他们所管理的系统从未被针对此进行过测试。这不是疏忽。这是基于历史数据建立的风险管理结构特征，而历史记录中仅包含一条重大记录。 T-18至T-0小时：预警窗口 空间天气监测发现，一次大型日冕物质抛射正沿地球撞击轨迹移动。预警窗口为16至