Số 378Quản lý Chất lượng

NATS (Anh, 28/08/2023): một kế hoạch bay có hai điểm mốc trùng tên khiến cả hệ thống chính lẫn dự phòng dừng, hơn 700.000 hành khách bị ảnh hưởng

Hệ thống con FPRSA-R của NATS chuyển đổi dữ liệu kế hoạch bay từ Eurocontrol. Một kế hoạch bay chứa hai điểm mốc khác nhau nhưng trùng tên ngoài không phận Anh làm hệ thống chính và hệ thống dự phòng — chạy cùng phần mềm — đồng loạt vào chế độ an toàn. Bài học về kiểm thử dữ liệu biên và dự phòng chung một điểm hỏng.

Nguyễn Thu Hà, PMP

13/10/2026

3 phút đọc 0

Bình luận0

Bối cảnh thực tế

NATS là đơn vị cung cấp dịch vụ không lưu chính của Vương quốc Anh. Hệ thống con FPRSA-R nhận kế hoạch bay từ Eurocontrol và chuyển sang định dạng hệ thống xử lý dữ liệu bay của NATS dùng được. Theo các bình luận về báo cáo, phần cứng và phần mềm mới của hệ thống này do Frequentis AG cung cấp, thay thế từ năm 2018.

Theo báo cáo sơ bộ của NATS và đánh giá độc lập do Cơ quan Hàng không Dân dụng Anh (CAA) công bố:

Ngày 28/8/2023 (ngày nghỉ lễ ngân hàng), một kế hoạch bay chứa hai điểm mốc riêng biệt nhưng trùng tên nằm ngoài không phận Anh gây ra một "ngoại lệ nghiêm trọng".
Hệ thống không thể từ chối kế hoạch bay khi chưa hiểu tác động, cũng không thể cho qua mà có nguy cơ đưa thông tin an toàn sai cho kiểm soát viên — nên cả hệ thống chính và dự phòng cùng vào chế độ an toàn.
Trước đó hệ thống đã xử lý hơn 15 triệu kế hoạch bay trong năm năm mà không gặp sự cố này. Việc xác định, cô lập và gỡ dữ liệu lỗi mất nhiều giờ.
CAA ước tính hơn 700.000 hành khách bị ảnh hưởng, khoảng 300.000 do chuyến bay bị huỷ. Hội đồng đánh giá độc lập đưa ra 34 khuyến nghị cho NATS, hãng bay, sân bay, CAA và Chính phủ.

Phân tích nguyên nhân theo chuẩn PMP

Kiểm thử chưa bao phủ dữ liệu đầu vào biên
Tên điểm mốc trùng nhau ở các khu vực khác nhau là trường hợp có thật trong dữ liệu hàng không toàn cầu. Kế hoạch kiểm thử thiếu các ca dữ liệu đầu vào hợp lệ nhưng bất thường.
Dự phòng chạy cùng phần mềm nên hỏng cùng lúc
Hệ thống dự phòng bảo vệ trước lỗi phần cứng, nhưng với lỗi phần mềm do dữ liệu, nó nhận cùng đầu vào và phản ứng y hệt. Đây là điểm hỏng chung bị che bởi cảm giác "đã có dự phòng".
Thiết kế an toàn chọn dừng toàn bộ thay vì cô lập một bản ghi
Một kế hoạch bay lỗi làm dừng cả luồng xử lý. Tiêu chuẩn chất lượng lẽ ra phải yêu cầu cách ly (quarantine) bản ghi lỗi để phần còn lại tiếp tục.

NATS (Anh, 28/08/2023): một kế hoạch bay có hai điểm mốc trùng tên khiến cả hệ thống chính lẫn dự phòng dừng, hơn 700.000 hành khách bị ảnh hưởng

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Kiểm thử chưa bao phủ dữ liệu đầu vào biên

Dự phòng chạy cùng phần mềm nên hỏng cùng lúc

Thiết kế an toàn chọn dừng toàn bộ thay vì cô lập một bản ghi

Năng lực khắc phục và truyền thông chưa tương xứng

Lẽ ra PM nên làm gì

Bước 1: Xây bộ kiểm thử từ dữ liệu thực tế và dữ liệu đột biến

Bước 2: Yêu cầu cách ly bản ghi lỗi trong tiêu chí nghiệm thu

Bước 3: Đa dạng hoá dự phòng

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Với hệ thống an toàn trọng yếu gặp dữ liệu không hiểu được, bạn chọn hành vi nào?

Tình huống này hữu ích với bạn?

Bình luận (0)