List intencyjny podpisany „lepiej późno niż wcale”. Jak poprawnie wdrożyć Cell Broadcast [OPINIA]

Wyobraź sobie, że w Twojej okolicy dzieje się coś nadzwyczajnego;  w ciągu kilku minut wszystkie telefony w zagrożonym rejonie jednocześnie wydają głośny sygnał. Na ekranie pojawia się krótki komunikat: co się dzieje i co trzeba zrobić.

Tak działa Cell Broadcast, czyli rozgłaszanie ostrzeżeń przez sieć komórkową. Opisują go międzynarodowe standardy 3GPP, a w Unii Europejskiej występuje pod nazwą EU-Alert. Postaramy się bez technicznego żargonu wyjaśnić, jak działa ta technologia i jak powinno wyglądać jej poprawne wdrożenie.

Radio, a nie poczta

Cell Broadcast najprościej można porównać do radia, a SMS do poczty. SMS trzeba zaadresować na konkretny numer i dostarczyć każdemu osobno, więc w kryzysie miliony wiadomości mogą utknąć w zatłoczonej sieci.

W Cell Broadcast stacja bazowa, czyli maszt z antenami, nadaje jeden komunikat, a odbiera go każdy telefon w jej zasięgu. Nie trzeba znać numerów, więc system nie przetwarza żadnych danych, w tym osobowych. Wynikają z tego trzy zalety:

• Szybkość. Komunikat dociera do wszystkich naraz, zwykle w ciągu kilku minut od decyzji.
• Odporność. Ostrzeżenie płynie osobnym kanałem, więc nie blokuje go tłok w sieci, gdy wszyscy dzwonią do bliskich.
• Trafienie w miejsce, nie w adres. Alert otrzymuje każdy, kto jest w danym rejonie właśnie teraz, także kierowcy w trakcie jazdy, turyści i obcokrajowcy.

Do odbioru nie trzeba aplikacji, bo funkcja jest wbudowana w system operacyjny smartfonów. Alert wyświetla się na pełnym ekranie z charakterystycznym dźwiękiem, a przy najpoważniejszych zagrożeniach także w trybie cichym.

Droga alertu: od decyzji do ekranu telefonu

Ostrzeżenie przechodzi przez pięć ogniw, a słabe ogniwo zatrzymuje cały łańcuch.

1. Dyżurny w centrum zarządzania kryzysowego, wybiera szablon komunikatu i zaznacza obszar na mapie, a kolejna osoba (lub osoby) zatwierdza alert, co chroni przed pomyłką.
2. Państwowa platforma ostrzegania sprawdza uprawnienia nadawcy i przekazuje komunikat wszystkim operatorom komórkowym w jednolitym formacie.
3. Dyżurny w centrum rozgłoszeniowym operatora odbiera komunikat w standardzie CBC (Cell Broadcast Centre). Zamienia obszar z mapy na listę masztów i ustala, jak często powtarzać komunikat.
4. Maszty sieci operatora nadają go cyklicznie, więc odbierze go także osoba która później włączy telefon lub wjedzie w zagrożony rejon.
5. Telefon rozpoznaje ostrzeżenie po numerze kanału CB i wyświetla jego treść. Rozgłaszanie działa w jedną stronę: operator wie, które maszty nadały komunikat, ale nie wie, kto go przeczytał.

Wspólne reguły: standardy 3GPP i EU-Alert

Cell Broadcast działa wszędzie tak samo dzięki standardom 3GPP (międzynarodowe porozumienie organizacji normalizacyjnych), które opisują wdrożenie we wszystkich standardach sieci (od 2G do 5G). Dodatkowo, Unia Europejska wprowadziła standard EU-Alert (oparty na Cell Broadcast) aby dowolny telefon komórkowy odebrał taki alert w każdej sieci na obszarze EU.

Każdy poziom ostrzeżenia ma w telefonie własny kanał o stałym numerze. Najwyższego poziomu użytkownik nie może wyłączyć, niższe zwykle może wyciszyć, a komunikaty testowe są domyślnie niewidoczne.

Ramy prawne w Unii Europejskiej wyznacza art. 110 Europejskiego Kodeksu Łączności Elektronicznej. Zobowiązuje on państwa EU do zapewnienia ostrzegania ludności przez sieci komórkowe.

Z czego składa się dobre wdrożenie

Sama technika to tylko część sukcesu. Modelowe wdrożenie obejmuje osiem elementów:

1. Organizacja (po stronie państwa). Jasne zasady (kto i kiedy może wysłać alert), procedury, zasada minimum dwóch osób i gotowe szablony w kilku językach. Treść musi być krótka: co się dzieje, gdzie i co robić.
2. Platforma ostrzegania. Sprzęt i aplikacja, w której alert powstaje, jest aktualizowany i odwoływany. Najlepiej, gdy jedna decyzja uruchamia wiele kanałów (np. Alert RCB, Cell Broadcast, aplikacje, syreny i media).
3. Infrastruktura operatorów. Centrum rozgłoszeniowe i funkcja ostrzegania włączona w całej sieci, u wszystkich operatorów i dostawców sprzętu. Kluczowe są aktualne mapy zasięgu masztów, bo od nich zależy, czy alert trafi we właściwy obszar.
4. Telefony. Twórcy systemów (Google, Apple) i producenci telefonów muszą wprowadzić ustawienia krajowe, aby alert miał właściwą nazwę, dźwięk i język.
5. Bezpieczeństwo i niezawodność. Zapasowe serwery w różnych lokalizacjach, szyfrowane połączenia, zasilanie awaryjne masztów i ochrona przed fałszywym alertem.
6. Testy i ćwiczenia. Regularne testy na kanałach niewidocznych dla użytkowników, a co pewien czas testy widoczne dla wszystkich.
7. Przepisy. Obowiązki operatorów, finansowanie, odpowiedzialność za treść i wymagany czas nadania alertu.
8. Edukacja mieszkańców. Kampania pokazująca, jak wygląda alert i co robić po jego otrzymaniu. Przygotowani ludzie reagują spokojniej i rzadziej wyłączają ostrzeżenia.

Jak to zorganizować i w jakiej kolejności

Państwa wybierają zwykle jeden z trzech modeli. W modelu rozproszonym każdy operator ma własne centrum rozgłoszeniowe, a państwo dostarcza platformę, która przekazuje im alerty. W modelu centralnym państwo utrzymuje jedno wspólne centrum, podłączone bezpośrednio do sieci wszystkich operatorów. Najczęstszy jest model hybrydowy, w którym centralna platforma państwowa współpracuje z centrami operatorów.

Typowy projekt przebiega w ośmiu krokach:

1. Przyjęcie podstawy prawnej i wymagań.
2. Wybór modelu organizacji i przeprowadzenie procesu zamówień.
3. Budowa centrów rozgłoszeniowych i włączenie funkcji w sieciach.
4. Połączenie sieci operatorów z platformą państwową.
5. Konfiguracja telefonów we współpracy z producentami.
6. Testy w laboratoriach i w terenie oraz pilotaż w jednym regionie.
7. Kampania informacyjna i ogólnokrajowy test.
8. Uruchomienie, a następnie ciągłość utrzymania i regularne ćwiczenia.

Co państwo musi zbudować i kogo potrzebuje

Po stronie państwa znajduje się wszystko, co dzieje się przed przekazaniem alertu operatorom, oraz to, co pozwala sprawdzić, czy alert dotarł. Wiele elementów technicznych można zlecić dostawcy jako usługę, ale decyzje i odpowiedzialność za treść muszą pozostać w rękach państwa.

Elementy techniczne:

• Platforma alertów dla dyżurnych: mapa, szablony, wersje językowe, zatwierdzanie przez minimum dwie osoby, dziennik działań i tryb ćwiczeń (wyraźnie oddzielony od prawdziwego alertu).
• Brama dystrybucji, która rozsyła alert do wszystkich operatorów i innych kanałów oraz 'pilnuje' potwierdzeń dotarcia tegoż. W modelu centralnym dodatkowo dochodzi państwowe centrum rozgłoszeniowe, zapewne najtrudniejszy element całego systemu.
• Dane mapowe: granice administracyjne, dane o ludności i strefy zagrożeń (na przykład zalewowe).
• Infrastruktura: co najmniej dwa ośrodki danych w różnych miejscach, bezpieczne zdublowane łącza do operatorów, zasilanie awaryjne i bezpośredni dostęp z zapasowych centrów kryzysowych.
• Integracje z instytucjami, które wykrywają zagrożenia (np. służbami meteorologicznymi i hydrologicznymi, strażą pożarną, policją czy wojskiem).
• Monitoring: podgląd stanu całego łańcucha, telefony kontrolne w różnych regionach i archiwum alertów.
• Środowisko testowe, w którym można ćwiczyć bez ryzyka wysłania alertu do mieszkańców.

Zasoby ludzkie:

• Dyżurni z uprawnieniami przez całą dobę, minimum po dwie, najlepiej trzy osoby na zmianie. Jedno stanowisko obsadzone całą dobę wymaga minimum 5–6 etatów; można także oprzeć się na istniejących dyżurach centrów zarządzania kryzysowego.
• Zespół wdrożeniowy: kierownik programu, prawnicy, specjaliści d/s zamówień, architekt systemu, inżynierowie integracji, specjaliści d/s map i testerzy.
• Zespół stały: właściciel systemu, administratorzy i wsparcie techniczne oraz specjaliści bezpieczeństwa.
• Komunikacja: redakcja szablonów prostym językiem, tłumacze, rzecznik i osoby śledzące media (w tym społecznościowe) pod kątem fałszywych alertów.
• Analitycy prowadzący ćwiczenia i wyciągający wnioski po każdym użyciu systemu.

Czego operatorzy potrzebują od państwa

Operatorzy potrzebują przede wszystkim przewidywalności: jasnych reguł, stałej specyfikacji, pewnego finansowania i wyznaczenia jednego partnera do rozmów (MSWiA).

1. Pewność prawna. Jasny zakres obowiązków i terminy. Operator odpowiada za przesłanie alertu, a nie za jego treść. Potrzebna jest też uzgodniona tolerancja obszaru, bo zasięg masztu nie pokrywa się z granicą administracyjną.
2. Relacja do istniejących systemów. Podjęcie decyzji czy Cell Broadcast zastępuje ostrzeżenia SMS (Alert RCB), czy je uzupełnia. Dwa systemy działające równolegle to podwójne koszty.
3. Finansowanie. Model pokrycia kosztów budowy, licencji i utrzymania.
4. Stała specyfikacja. Format alertu, poziomy, języki, limity długości, sposób opisu obszaru, wymagany czas emisji i oczekiwane raporty. Każde zmiany w trakcie projektu są bardzo kosztowne.
5. Realistyczny harmonogram. Zamówienia, uruchomienie pełnej funkcjonalności we wszystkich sieciach i testy trwają zwykle kilkanaście miesięcy. Niezbędny jest zapewne podział na etapy.
6. Jeden partner. Jeden organ odpowiedzialny za system, grupa robocza z operatorami od początku prac i całodobowe bezpośrednie kontakty na wypadek awarii.
7. Rozsądne wymagania bezpieczeństwa. Konkretne i spójne z obowiązkami, które operatorzy już mają obecnie.
8. Koordynacja z producentami telefonów  dot. ustawień krajowych – zapewne powinny być prowadzone przez państwo, ponieważ operator nie ma wpływu na system telefonu.
9. Wspólne testy: środowisko testowe, kryteria odbioru i zasady testów (zarówno zamkniętych jak i widocznych dla mieszkańców).
10. Komunikacja z abonentami - kampania informacyjna i wspólne odpowiedzi dla infolinii; po pierwszym alercie klienci dzwonią dzwykle do operatorów.

Co może pójść nie tak

Największe ryzyka (jak w każdym projekcie) to głównie organizacja lub ludzie. System zawodzi zwykle w chwili decyzji, a nie transmisji.

1. Decyzja zapada za późno. Gdy nie wiadomo, kto decyduje, każdy czeka na drugiego. W nocy może nie być nikogo z uprawnieniami, a strach przed fałszywym alarmem sprawia, że urzędnik woli nic nie wysłać.
2. Fałszywy alarm z ludzkiego błędu. Na Hawajach w 2018 roku pracownik podczas ćwiczeń wysłał prawdziwe ostrzeżenie o ataku rakietowym, a odwołanie dotarło do ludzi dopiero po 38 minutach. Nie było gotowego komunikatu odwołującego ani prostego sposobu, by szybko go wysłać.
3. Niejasna treść. Komunikat zbyt ogólny albo urzędowy, bez wskazówek, co robić, bez wersji dla obcokrajowców i bez informacji o końcu zagrożenia.
4. Niewłaściwy obszar. Zbyt szeroki uczy ludzi ignorować alerty, zbyt wąski pomija zagrożonych.
5. Nadużywanie systemu. Częste ostrzeżenia o niewielkiej wadze i komunikaty, które nie są ostrzeżeniami, skłaniają ludzi do wyłączania kanałów (tych które są możliwe) i niszczą zaufanie.
6. Zaniedbanie po uruchomieniu. Brak funduszy na utrzymanie, odejścia przeszkolonych ludzi i brak ćwiczeń sprawiają, że błędy w procedurach wykrywane są dopiero w prawdziwym kryzysie.
7. Niespójna komunikacja. Telefony, SMS-y, syreny i media mówią co innego. Fałszywe ostrzeżenia krążą w mediach społecznościowych bez reakcji.
8. Pominięte telefony i grupy wykluczone. Bez właściwych ustawień krajowych, alert może pojawić się pod obcą nazwą albo wcale. Osoby niesłyszące, niewidome i bez smartfonów potrzebują także innych kanałów.
9. Słabe zabezpieczenia platformy. Wspólne hasła, nieusunięte konta byłych pracowników i brak zapasowej lokalizacji ułatwiają awarię albo atak, którego celem jest fałszywy alert.

Polska: Alert RCB, Cell Broadcast i aplikacja

W Polsce rolę systemu ostrzegania pełni dziś Alert RCB. Od końca 2018 roku operatorzy mają obowiązek rozsyłać go jako zwykłe SMS-y do osób w zagrożonym rejonie, a najmniejszym obszarem jest powiat. System spełnia podstawowe wymogi unijne, ale ma znane słabości: SMS-y mogą przyjść z opóźnieniem, trafiają też do ludzi kilkadziesiąt kilometrów dalej i nie przebijają się przez wyciszony telefon.

Latem tego roku, po incydencie na Lubelszczyźnie, o którym mieszkańcy nie zostali ostrzeżeni, pilnie wróciła sprawa Cell Broadcast.

Równolegle MSWiA prowadzi fazę testów wewnętrznych kolejnej (oprócz RSO – Regionalny System Ostrzegania) aplikacji ostrzegawczej, rozwijaną z RCB i Państwową Strażą Pożarną.

Zapowiadana aplikacja będzie wysyłać powiadomienia krytyczne (słyszalne pomimo wyciszenia telefonu), do mieszkańców wybranej gminy lub powiatu. Według zapowiedzi będzie gotowa do końca 2026 roku, najpierw we wschodnich województwach. Rozważane jest też powiązanie jej (lub jej części) z mObywatelem.

Aplikacja może dać to, czego Cell Broadcast nie zapewni: instrukcje postępowania krok po kroku, mapę schronów i bieżące aktualizacje tychże. Ma jednak trzy słabości. Dotrze tylko do osób, które ją zainstalują i udostępnią lokalizację, a więc zwykle nie do turystów i obcokrajowców.

Potrzebuje także internetu, który w kryzysie bywa przeciążony lub nie działa.

Dokłada też kolejny kanał obok RSO i Alertu RCB, co grozi niespójnymi komunikatami. Najlepiej sprawdzi się jako uzupełnienie: Cell Broadcast budzi wszystkich, a aplikacja wyjaśnia, co robić dalej. Warunkiem jest jedna bramka alertów, która zasila wszystkie kanały tą samą treścią.

Co decyduje o sukcesie

Technologia Cell Broadcast jest wystandardyzowana i dojrzała, od lat działa na wszystkich (prawie) telefonach w wielu krajach. O powodzeniu wdrożenia decyduje to, co dzieje się wokół niej: sprawne procedury, dokładne mapy zasięgu, dobrze skonfigurowane telefony i odbiorcy, którzy wiedzą, co robić po usłyszeniu sygnału.

Trzymając kciuki za udane wdrożenie Cell Broadcast w naszym kraju, mamy jednocześnie nadzieję że powyższe komentarze mogą być przydatne podczas tego projektu. Najlepszy system ostrzegania to taki, którego używa się rzadko.

W krytycznej chwili musi jednak zadziałać bezbłędnie i w kilka chwil dotrzeć do każdego, kto przebywa w zagrożonym miejscu.