2022年7月2日凌晨1时35分，日本第二大移动运营商KDDI的工程师正在对一台VoLTE交换机做例行更换作业。这本是一次再普通不过的夜间割接——低话务时段、有备份方案、有成熟的作业流程。但接下来的86个小时里，这家公司眼睁睁看着全国约3091万用户打不出一个电话，110、119报警电话一度无法接通，最后以约200亿日元的话费减免收场。这是日本历史上规模最大的移动通信故障，也成了全球运维圈绕不开的经典案例：杀死一张网的，往往不是黑客，不是地震，而是一次没做扎实的割接，加上一群“太尽职”的手机。
本文依据KDDI官方障害报告与日本总务省（総務省）的验证结果（见文末参考来源），把这次事故的时间线、根因链、拥塞控制失灵的细节和整改账单完整拆一遍，最后落到每个通信运维都能带走的五条教训。
先看事件全貌。受影响的是KDDI旗下三个品牌：主力品牌au、子品牌UQ mobile和povo，合计用户约3091万。故障期间，语音通话（VoLTE）在全国范围内大面积无法主叫和被叫，数据通信虽然“连着”，但速度被严重拖垮；依赖移动网的au PAY支付、企业呼叫中心、物流调度系统跟着遭殃。据日本媒体报道，多地出现报警电话110、急救电话119无法接通或多次重拨才接通的情况——这也是总务省事后追责最重的一条。
故障的恢复过程同样值得记录：语音业务在约39小时后（7月3日傍晚）基本恢复，而部分数据与附加业务直到7月6日才全部恢复，全程最长约86小时。事故第二天，KDDI罕见地公开建议用户重启手机——因为大量终端本地还缓存着失效的注册状态，不重启就持续用旧登记信息发起呼叫，既打不通，又给正在恢复的网络添堵。
| 时间（日本时间） | 事件 |
|---|---|
| 7月2日 01:35 | VoLTE交换机更换作业后的结合试验中确认故障，话务路由异常 |
| 7月2日 凌晨至清晨 | 应急下线故障设备，全国终端开始大规模重新注册，话音接通率骤降 |
| 7月2日 白天 | 全国语音大面积阻断、数据拥塞；总务省要求尽快查明原因并提交报告 |
| 7月2日 夜间 | KDDI公开建议用户重启终端；开始限制注册速率、分批放量恢复 |
| 7月3日 傍晚 | 语音业务在故障后约39小时基本恢复 |
| 7月4日—6日 | 数据及附加业务陆续恢复，最长约86小时 |
| 7月末 | KDDI公布原因调查与再发防止报告，宣布总额约200亿日元的话费减免 |
| 8月初 | 总务省依据《电气通信事业法》对KDDI作出行政指导 |
值得一提的是，就在半年多以前，NTT docomo刚发生过一次全国性通信故障（2021年10月）。接连的大事故让日本监管层对运营商的耐心消耗殆尽，也为后来修法埋下了伏笔。
按照KDDI官方报告的解释，这不是单一原因的事故，而是至少三个环节的失误首尾相接，最终把一次局部设备故障放大成了全国瘫痪。
第一环：结合试验没拦住故障。 凌晨的作业内容是更换一台VoLTE交换机。换件之后，工程师按流程做结合试验（即新旧系统互连互通验证），试验中就发现了故障——设备间信令收发异常。换句话说，问题不是悄无声息溜进生产网的，它当场就暴露了。真正的麻烦在下一环。
第二环：路由过滤配置不备，备份失效。 在处置故障的过程中，KDDI发现IP承载网的路由过滤器（route filter）设置存在问题。路由过滤器的作用，用大白话讲就是给网内流量划定“哪条路能走、哪条路不能走”的规则。规则写得不完备，导致本应触发的绕回（bypass）机制没有生效——按设计，主用路径出问题时话务应当倒换到备份路径绕着走，但过滤规则的漏洞让话务在网内“迷路”，故障的影响范围不降反升。这是整个事件里最具讽刺意味的一环：本来用来兜底的机制，成了扩大损失的通道。
第三环：应急下线，点燃注册风暴。 为了阻止故障蔓延，KDDI选择把相关设备切断下线。从网管视角看，这是标准的“退服止损”动作。但对全国几千万部手机来说，这一刀等于网络突然“消失”了——终端发现注册状态失效或失去响应，便按照协议设定自动发起重注册请求。数以千万计的注册请求在同一时间窗口涌向核心网，雪崩开始。
整条因果链如下图所示：
flowchart TD
A["凌晨割接<br/>VoLTE交换机换件"] --> B["结合试验发现故障<br/>信令收发异常"]
B --> C["路由过滤配置不备<br/>倒换绕回未生效"]
C --> D["应急下线故障设备"]
D --> E["数千万终端<br/>同时发起重注册"]
E --> F["注册信令洪峰<br/>核心网过载"]
F --> G["处理超时<br/>终端加大重试"]
G --> E
F --> H["拥塞控制难生效<br/>话音全国阻断"]
H --> I["限速分批放量<br/>86小时逐步恢复"]
要读懂这张图，关键在于那个 G --> E 的回环：过载导致处理超时，终端收不到响应就按协议加大重试频率，重试又加剧过载——这就是信令层面的正反馈雪崩。它和光缆被挖断那种“物理断供”完全不同：网络设备都是好的，是“求服务的次数”自己把服务压死了。
行文至此，最有价值的问题浮现了：运营商的核心网不是早就有拥塞控制（Congestion Control）机制吗？为什么没能把它摁住？
答案在于，这次过载的性质和常规拥塞不一样。运营商日常对付的拥塞，绝大多数是业务面拥塞——晚高峰话务多、演唱会现场数据流量大，控制手段是按优先级降载：先限低优先级用户、限视频速率，保住信令和语音。这套机制KDDI有，而且一直在跑。
但注册风暴是信令面拥塞：压垮网络的不是用户在打电话，而是终端在和核心网“办手续”。每一条注册请求本身很轻，但每秒涌入的条数是平时的许多倍，而且它打击的恰恰是最不该堵的环节——注册与鉴权处理。形象地说，不是候车大厅人太多，而是检票口被挤爆了：你再怎么劝旅客少带行李（降低业务优先级）都没用，因为没有人能进站。
更要命的是协议的“尽职”。终端的注册重试是3GPP协议的标准行为：请求超时就重发，收到拒绝就退避后重试。在没有全网协调的情况下，每部手机都在做自己该做的事，几千万部手机合起来，就是一支不知疲倦、还会自动加码的重试大军。服务器每恢复一分处理能力，立刻被更密集的重试吃掉。这也是为什么事后KDDI要请用户手动重启终端——把本地过期的注册状态清掉，让终端安静下来，给网络喘息的窗口。
据KDDI报告与日本业界的后续分析，其分布式拥塞控制机制对“这种规模的集中注册”缺乏预案：机制按常规话务模型设计，注册限速、分级准入这些真正对症的手段介入不及时、力度不够。结果就是网络在过载边缘反复震荡，恢复遥遥无期。这也解释了恢复阶段的动作——限制注册速率、分批放量：不再让所有终端同时涌入，而是像泄洪一样分区域、分批次放终端重新注册，每放一批、观察一批，确认处理能力跟得上再放下批。慢，但这是唯一能避免二次雪崩的走法。
这个案例后来被反复引用进各国的运维培训，就是因为它把一个抽象的工程原则演成了实况：容量规划不能只看业务峰值，还要看“全网同时重连”这个极端场景。电梯里的物联网卡集体掉线重连、基站闪断后小区内终端集体重注册，机制上都是同一头小一号的怪兽。
故障处置只是上半场，下半场 equally 漫长。7月末，KDDI发布了正式的原因调查与再发防止报告；8月初，总务省依据《电气通信事业法》对其作出行政指导。报告承认的问题，除了前述技术链条，还有两条容易被忽视的管理欠账：对故障影响的预估不足（初期未料到会演变成全国性、长时间故障），以及信息公开迟缓——故障发生后官方说明节奏跟不上用户恐慌，社交媒体上谣言四起，进一步放大了社会影响。
账单方面，KDDI宣布对受影响用户给予话费减免，据日本媒体报道，总额约200亿日元（约合1.4亿美元），规模在日本通信史上前所未有。此外，故障期间报警、急救电话受波及的情况被监管反复点名——对运营商来说，通话接通率不只是体验指标，更是公共安全指标。
更深远的影响在制度层面。据公开报道，连年多起大故障之后，日本国会于2023年6月通过《电气通信事业法》修正案，首次对移动运营商引入包括业务停止命令在内的处罚制度，并于2024年起施行。换句话说，KDDI这86小时，直接改变了日本监管者看待“断网”的方式：移动网络正式被当作与水电同等量级的生命线基础设施来监管。而对全球同行来说，这无异于一封预警函——在监管眼里，你的网络下一次大故障，可能就不再只是赔钱了事。
复盘到最后，落点是可操作的。以一个跑过多年割接的运维视角，这次事故至少留下五条可以直接搬回自己网络的教训：
第一，凌晨割接不等于低风险，结合试验要按生产网标准验收。 很多团队把“低话务时段”当作风险的万能折扣，但KDDI这次故障恰恰是试验中当场发现、处置中扩大的。正确的姿势是把结合试验当成割接的正式交付物：试验项不齐、结果不过，就不算换件完成，宁可推迟放号。
第二，“小配置”必须有双人复核和变更后自动校验。 路由过滤器是一行行不起眼的规则，但它决定了故障时备份路径能否生效。任何影响流量走向的过滤、策略、优先级配置，变更前双人复核，变更后用自动化用例验证“主用断、备份通”是否真的成立——不能等真出事才发现兜底机制是坏的。
第三，把“全网同时重注册”写进演练剧本。 大多数团队的应急预案里有光缆中断、有市电丢失、有板卡宕机，却很少有“数百万终端同时发起注册”的场景。注册限速、信令面准入控制，要在设计期就纳入容量模型，并通过压测验证，而不是指望现网机制临场发挥。
第四，区分业务拥塞与信令拥塞，用对药。 遇到信令风暴，降低业务优先级、甩低价值流量都是隔靴搔痒，核心动作是压注册与重试的速率（令牌桶限速、退避策略协调），并尽快通过广播、App推送、媒体等带外渠道让终端“安静下来”。KDDI那句“请重启手机”，本质上就是一次带外流量整形。
第五，恢复阶段也是工程，不是越快越好。 分批放量、每批观察窗、明确的回退触发条件——这套节奏要提前写进预案。同时，信息发布与故障处置同权重：几小时不发声，损失的是信任，而信任的修复比网络恢复慢得多。
KDDI事故没有黑客，没有天灾，没有阴谋——只有一次换件、一行配置、几千万部“守规矩”的手机。这种由无数个“单点都合理”的决定叠加出的系统性崩溃，恰恰是大型网络最危险的故障形态。它提醒每一个通信人：网络的可靠性不取决于最强的那个环节，而取决于你验证得最少的那个环节。下次凌晨的割接窗口，不妨多问自己一句——如果这台设备换完就退服，网上的手机会做什么？ 想清楚这个问题的答案，KDDI那200亿日元才算没白交。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。