Пост-мортем кризиса Yandex Cloud: что за 21 день подтвердилось из модели U.X.I.L.C., а что — нет

Хронология финала: 21 день по датам

Все даты ниже взяты из публичных сообщений компании и деловых изданий:

• 8 октября. Внешний инцидент на площадке в Сасово (Рязанская область; по сообщениям СМИ — пожар), полная остановка площадки. Зона доступности ru-central1-b Yandex Cloud уходит в недоступность; вечерний пост Yandex Cloud Alerts в 23:05 фиксирует: зона по-прежнему не работает. Простой для клиентов в этой зоне — больше 18 часов. Сбой затрагивает сторонние сервисы на облачной инфраструктуре — от банков и маркетплейсов до ЦИАН и сайта РЖД.
• 11 октября. Полная остановка дата-центра во Владимире. Платформа переводится в аварийный режим, выдача квот остановлена — миграция ресурсов идёт вручную.
• 13 октября. Отмена платы за Yandex Cloud и «Яндекс 360» для всех действующих клиентов с 8 по 31 октября. Начало поэтапного возврата функций Пэя.
• 14–15 октября. Возвращены большая часть функций чата с Алисой AI, Станций и телевизоров на YaOS; восстановлен кабинет Директа на сайте и в приложении.
• 20 октября. Возвращена часть функций Почты, Телемоста и Календаря.
• 23 октября. Восстановлено 90,47% данных клиентов облачной платформы.
• 26 октября. Компания подтверждает: суперкомпьютеры «Ляпунов», «Червоненкис» и «Галушкин» не пострадали, вывезены с прежних площадок и разворачиваются на новых вычислительных объектах — причём три кластера будут разнесены по разным площадкам. Восстановление дата-центра в Сасово к этому моменту так и не подтверждено.
• 28 октября. Восстановлен доступ к 96% данных на «Яндекс Диске».
• 29 октября. Ключевые функции всех сервисов восстановлены для пользователей и бизнеса. Инженеры продолжают работу над возвратом всех возможностей в полном объёме.
• Параллельно. По итогам третьего квартала «Яндекс» пересчитывает прогноз выручки на 2026 год из-за атак на дата-центры — продолжая оценивать последствия.

Сверка по маркерам: что подтвердилось фактами

Маркер U (SPOF): подтверждён — и уже закрыт рынком

Зависимость критического вычислительного актива от локального пула ЦОДов оказалась реальной единой точкой отказа: физическая потеря площадок локализовала зону ru-central1-b целиком. Но главный факт пост-мортема — исправление маркера после удара: три суперкомпьютера, составлявшие самостоятельные вычислительные кластеры, разнесены по разным площадкам. Это то самое решение, которое модель требует на этапе проектирования: деконсолидация критического актива. Разница лишь в цене входа — в сентябре это была бы рекомендация архитектурного обзора, в октябре это ответ на фактический удар и логистическая операция экстренного масштаба.

Контур X (движение): сброс веса выполнен вручную

Восстановление шло в порядке приоритета ядра: платёжные функции, коммуникация с пользователями, рекламный контур — затем периферийные сервисы. Это де-факто логика Плана А — отсечение второстепенной рутины ради удержания жизнеобеспечивающих функций, — но выполненная людьми вручную, пост-фактум, а не автоматикой графа зависимостей по заранее оцифрованным порогам.

Маркер I/L (изоляция контуров): подтверждён каскадом

Границы между контуром платформы и контурами клиентов оказались на общем фундаменте — то есть не были границами. Сторонние бизнесы, чьи системы жили на Yandex Cloud, деградировали вместе с платформой и расплачивались за это перед собственными клиентами: простой 8 октября длился больше 18 часов, и по гражданскому законодательству ссылка «упал наш провайдер» форс-мажором не считается — нарушение обязанностей контрагента прямо исключено из перечня непреодолимой силы.

Маркер C (оцифрованные критерии): подтверждён их отсутствием

Ручная миграция, остановка выдачи квот, аварийный режим без автоматического пересчёта лимитов — кризис прошёл без оцифрованных правил срабатывания. SLA при этом формально существует, но его арифметика раскрыла вторую сторону маркера C — см. раздел об экономике финала.

Границы модели: чего она не объясняет

Пост-мортем обязан фиксировать не только подтверждения, но и границы — иначе он превращается в подтверждение чего угодно. Допущения, зафиксированные явно:

• Физика восстановления вне скоупа методологии. 21 день — это время ликвидации физических последствий: демонтаж, вывоз, развёртывание вычислительных кластеров на новых площадках. Никакая архитектура не ускоряет демонтаж повреждённой стойки. Методология управляет переносом отказа на бизнес-логику; скорость ремонта железа лежит вне её полномочий.
• Общий слой остаётся общим. Изоляция контуров защищает от переноса отказа через изолируемые компоненты, но не отменяет common-mode risk: глобальный контроль управления, домены, единые конфигурации остаются разделяемым фундаментом. Корректная формулировка эффекта: «исключает класс каскадных переносов, вызванных отказом изолируемых компонентов».
• Физическая защита инфраструктуры — вне контура. Методология не заменяет комплексы защиты площадок. Она отвечает на другой вопрос: почему удар по одному физическому объекту не должен каскадно останавливать бизнес-логику сторонних компаний.

Экономика финала: счёт кризиса

Пост-мортем без денег — просто хроника. Счёт кризиса сложился из четырёх статей:

• Прямые потери выручки. Бесплатный период 8–31 октября для всех действующих клиентов Yandex Cloud и «Яндекс 360» во всех российских зонах доступности — плата отменена автоматически, без действий со стороны клиентов.
• Компенсации по SLA. Компенсация — скидка на следующий счёт (10% при доступности ниже 99,95%, 15% ниже 99%, 30% ниже 95%) без денежной выплаты; потолок — стоимость потреблённого сервиса за расчётный месяц; запрос — в течение 30 календарных дней с инцидента (для 8 октября — до 7 ноября); при этом пункт об обстоятельствах непреодолимой силы даёт платформе право отказа, а компенсация по SLA названа единственным и исключительным возмещением.
• Каскадные убытки клиентов. За пределами потолка SLA: сорванные сделки, экстренный переезд во вторую зону, неустойки перед собственными заказчиками, по которым ссылка на провайдера не работает.
• Макроуровень. Пересчёт прогноза выручки на 2026 год и месяцы восстановления доверия — а для облачной платформы доверие — главный актив.

Асимметрия здесь измерима. Компания, платившая 300 тысяч рублей в месяц за виртуальные машины в пострадавшей зоне, при трёхсуточном простое получает максимум 90 тысяч скидки — при реальных потерях, которые включают сорванные обязательства перед собственными клиентами и стоимость аварийного переезда. Потолок компенсации ниже фактического каскадного убытка на порядки — и это конструктивная особенность SLA: ставка назначена платформой, несёт её клиент.

На этом фоне виден главный расклад кризиса: каждая сторона платила тем, что у неё есть. Платформа расплатилась репутацией и оборотом: служебные посты, отчёты о восстановлении данных по процентам, бесплатный месяц и пересчёт годового прогноза — неприятно, но восстановимо временем. Бизнес-клиент расплатился деньгами, которые вернуть нельзя: сорванные обязательства перед собственными заказчиками, экстренный переезд, неустойки — и репутацией перед собственными клиентами: у него нет миллионной аудитории, которой можно объяснить простой. Скидка с потолком замыкает конструкцию: юридически оформленный способ оставить финансовый каскад на нижнем этаже. Никто за тебя не заплатит — устойчивость чужой инфраструктуры не входит в твой счёт, поэтому она должна входить в твой бюджет.

Что делать бизнесу сейчас

Пост-мортем без выводов для читателя — пресс-релиз. Практический контур:

• До 7 ноября — запрос компенсации по SLA. Даже при вероятном отказе со ссылкой на непреодолимую силу: письменный ответ — документ о характере события, пригодный в переговорах с собственными заказчиками.
• Мультизональность продакшена. Разнесение критических систем по зонам доступности — сейчас это обучение на чужом счёте, самый дешёвый момент для этой цены за годы.
• Бэкапы вне зоны отказа. С восстановленным регламентом: 96% данных Диска за три недели — результат инженерной работы корпоративного масштаба; для бизнеса без такого штата скорость восстановления определяет его собственный регламент.
• Пересмотр SLA перед собственными клиентами. Скидка вместо неустойки — конструктив, который проходит и по учёту, и по доверию.
• Аудит зависимостей по маркерам U / X / I / L / C. Красная зона снимается до инцидента — после него маркеры снимаются хронологией восстановления.

Заключительный системный вывод

Серия замкнулась полным циклом: 11–13 октября — контрфактическая модель кризиса, 30 октября — сверка с фактическим финалом. Модель прошла проверку там, где её можно проверить: все четыре маркера подтвердились фактами — от единой точки отказа до отсутствия оцифрованных критериев. И честно зафиксировала границы там, где её проверить нельзя: физика восстановления и физическая защита площадок находятся вне скоупа инженерии ограничений.

Ключевой факт пост-мортема кроется в последнем сообщении хронологии: исправление по маркеру U применено рынком после удара. Деконсолидация суперкомпьютеров, которую модель требует до инцидента, состоялась после него — как экстренная операция на фоне пересчёта годовой выручки. В этом вся разница между методологией и её отсутствием: одни и те же маркеры, но снятые до инцидента они стоят рекомендации в архитектурном обзоре, а снятые после — 21 день, бесплатный месяц для всех клиентов и пересчёт прогноза на год. Инженерия ограничений — это способ выбирать, когда платить: заранее и по плану, или в момент удара и по чужому счёту.