eSIMのFallbackとRollbackとは？SGP.32の回線切替失敗に備える仕組み

こんにちは、コモン・クリエーションでIoT・SIMエンジニアリングサービスの事業責任者をしている山本です。

Fallbackは事前に決めた退避用プロファイルへ切り替える仕組み、Rollbackは直前の切り替え前に有効だったプロファイルへ戻す仕組みです。
どちらもIoT機器の孤立を防ぐために使いますが、戻り先と事前条件は異なります。

本記事では、GSMA SGP.32 v1.3に基づき、両者の違いと実装時の注意点を整理します。

はじめに

IoT機器のeSIMプロファイルを遠隔で切り替えるとき、最も避けたいのは、切替先の回線につながらず、その後の遠隔操作もできなくなることです。
工場設備、車載機器、屋外センサーなどでは、回線切替の失敗がそのまま機器の孤立につながります。

SGP.32には、このリスクに備えるFallback MechanismとProfile Rollback Mechanismがあります。
似た名前の機能ですが、同じ処理ではありません。

1. FallbackとRollbackの違

比較項目	Fallback	Rollback
戻り先	あらかじめ指定したFallback Profile	直前の切替前に有効だったProfile
主な用途	退避回線へ切り替える	直前のProfile切替を取り消す
事前条件	fallbackAllowedが有効なProfileへfallbackAttributeを設定	直前のenable PSMOでrollbackFlagを設定
実行要求	IPAがExecuteFallbackMechanismを呼ぶ	IPAがProfileRollbackを呼ぶ
復帰方法	ReturnFromFallbackで切替前のProfileへ戻る	Rollbackの実行で復帰が完了する

一言で表すと、Fallbackは決めておいた避難先へ移る仕組みで、Rollbackは直前の操作を取り消す仕組みです。

2. なぜ回線切替に復旧機構が必要なのか

eUICC上でプロファイルの切替処理が完了しても、IoT機器が必ず通信できるとは限りません。
切替先の圏外、APN設定の不一致、ローミング制限、モデムの再接続失敗などが考えられます。

通信できなくなった後では、eIMから次の指示を届けられない可能性があります。
復旧判断はクラウド側だけでは完結せず、機器側のIPA、モデム、接続管理機能を含めて設計する必要があります。

3. Fallback Mechanism

Fallback Mechanismは、現在のプロファイルで通信を継続できない場合に、事前に指定したFallback Profileへ切り替える仕組みです。

SGP.32 v1.3ではeUICCのオプション機能として規定されています。
eUICCがExecuteFallbackMechanismをサポートする場合は、ReturnFromFallbackもサポートしなければなりません。

両方の処理はアトミックに行われ、途中でエラーが起きた場合は対象プロファイルを実行前の状態に保ちます。

fallbackAllowedとfallbackAttribute

Fallback Profileを準備するときは、次の2つを区別します。

fallbackAllowedは、Profile OwnerがそのProfileをFallback用途に使うことを許可していることを示します。
fallbackAttributeは、eUICC上で実際のFallback Profileとして指定されていることを示します。

eIMはsetFallbackAttributeを含むeUICC Packageを使って対象Profileを指定できます。

ただし、fallbackAllowedがない、またはFALSEのProfileは指定できません。ExecuteFallbackMechanismの実行時には、Fallback Attributeが設定されたProfileが必要です。

また、指定対象のProfileは無効状態でなければなりません。
Emergency ProfileはFallback Profileとして指定できません。

実行と復帰

IoT Deviceが現在のProfileで恒久的な接続喪失を検知すると、IPAはES10b.ExecuteFallbackMechanismを呼び出せます。

eUICCは現在のProfileを記録したうえで、Fallback Profileへ切り替えます。
復旧条件が整った後は、IPAがES10b.ReturnFromFallbackを呼びます。

eUICCはFallback Profileを無効化し、Fallback実行前に有効だったProfileを再び有効化します。

4. Profile Rollback Mechanism

Profile Rollback Mechanismは、Profileを切り替えた後に問題が起きた場合、直前に有効だったProfileへ戻す仕組みです。

たとえばProfile AからProfile Bへ切り替えた直後に通信できなくなった場合、Profile Aへ戻します。

eIMはProfileをEnableするPSMOにrollbackFlagを付け、Rollbackの利用を事前に許可します。

新しく有効になったProfileが接続性を提供できない場合、IPAはES10b.ProfileRollbackを呼び出し、eUICCは現在のProfileを無効化します。

その後、最後のeUICC Packageを処理する前に有効だったProfileが存在すれば、そのProfileを有効化します。

この処理もアトミックに行われます。

直前のenable PSMOで許可されていない場合、ProfileRollbackはrollbackNotAllowedを返します。

この機能は、任意の過去状態を選ぶ履歴復元機能ではない点にも注意が必要です。

5. 切替失敗から復旧までの流れ

安全な切替フローは、次の順序で設計します。

1. 切替前に復旧先と利用機能を決めます。
2. Rollbackを使う場合はenable PSMOへrollbackFlagを設定します。
3. Fallbackを使う場合は、対象ProfileのfallbackAllowedを確認し、fallbackAttributeを設定します。
4. 新しいProfileを有効化します。
5. モデム登録、データセッション、所定の監視先への疎通を確認します。
6. 失敗条件に達したら、設計済みの優先順位に従ってRollbackまたはFallbackを実行します。
7. 復旧後のProfile、通信状態、実行結果を記録し、eIMへ報告します。

ExecuteFallbackMechanismを実行すると、それまでに付与されていたRollbackの許可情報はリセットされます。

ReturnFromFallbackの実行時にも同じ情報がリセットされるため、RollbackとFallbackを単純に連続実行できる前提にはできません。
各フローでどちらを優先し、実行後に何を再設定するかまで決めておきます。