Авария кабеля ACE в Мавритании 2018 года: тест на диверсификацию

Краткие выводы

30 марта 2018 года вблизи Нуакшота было зафиксировано повреждение кабеля ACE. Современные сообщения описывали примерно 48 часов полного национального отключения, после чего часть связи вернулась, тогда как более поздние мавританские сообщения описывали более длительный период примерно от 16 до 17 дней полного или частичного нарушения и указывали, что нормальное обслуживание возобновилось 12 апреля.[1][2][3][4]
Эти две оценки длительности отражают разные состояния услуги. Показатель примерно 48 часов относится к фазе, о которой сообщалось как о полном отключении; более длительный показатель включает полное и ухудшенное обслуживание. Ни одна из них не устанавливает, что каждый пользователь не имел ни одного возможного пакетного маршрута на протяжении всего периода 16–17 дней.
Кабель ACE, работающий с 2012 года, во время инцидента описывался как основное международное интернет-соединение Мавритании. В сообщениях того времени система описывалась как примерно 17 000 километров длиной, соединяющая 22 страны; в текущем описании системы ACE указаны 24 страны, что отражает более позднее состояние системы.[3][4][9]
Представитель правительства заявил, что две наземные волоконно-оптические линии, идущие на юг и восток в сторону Мали, оставались в рабочем состоянии. Это заявление не устанавливает, что два маршрута были физически независимы, выходили на разных международных магистральных операторов, имели достаточный аварийный резерв пропускной способности или были проверены в условиях полного переключения.[1]
Тот же представитель отнёс доли связи: 60 % — Mauritel, 24 % — Chinguitel, 16 % — Mattel. Эти цифры — приписанные утверждения, а не проверенные измерения доли рынка, национальной ёмкости, восстановленного трафика или работы операторов.[1]
Более поздние сообщения назвали вероятной причиной повреждения кабеля траулер, а представитель правительства в более общем виде говорил о морском движении и мобилизации ремонтного судна и команды. Приведённые публичные доказательства не устанавливают личность судна, намерение, точный механизм повреждения, юридическую ответственность или окончательную вину.[1][3][4]
BGP может обмениваться и выбирать маршруты, доступные в рамках применимой политики, но не может создать отсутствующую физическую линию, добавить законтрактованную ёмкость, устранить общий домен отказа или гарантировать приемлемую производительность приложений. Поэтому видимость маршрута и операционная непрерывность — разные проверки.[19][20]
Позднее построенное оптоволокно в рамках WARCIP, национальная точка обмена интернет-трафиком, открытый доступ к ёмкости ACE и предлагаемое подключение EllaLink изменили среду контроля. Они показывают сохраняющиеся инвестиции и признание потребности в диверсификации, но не доказывают, что эквивалентные меры существовали или работали в марте 2018 года.[8][12][13][14]
Подотчётность следует проверять по записям, привязанным к уровням: карты топологии и общих рисков, обязательства по ёмкости, данные маршрутизации, учения по переключению, телеметрия перегрузок и приложений, журналы ремонта, уведомления клиентам, регуляторная отчётность и решения о компенсации. Название маршрута само по себе не является доказательством устойчивости услуги.

Два окна отключения, а не одно непрерывное состояние

Рассматриваемое здесь событие начинается с повреждения кабеля ACE, зафиксированного вблизи Нуакшота 30 марта 2018 года. Оно охватывает сообщавшееся полное отключение, последующий период частичного или ухудшенного обслуживания и завершённый в апреле ремонт. Более поздние инциденты с ACE, включая нарушения в другие годы, находятся за пределами границ этого события. Политически мотивированные отключения интернета также вне этих границ, поскольку предполагают иной механизм отказа и иной анализ подотчётности.

Первое существенное различие — временно́е. Современные сообщения об инфраструктуре связывали с обрывом примерно 48 часов полного национального отключения, после чего часть услуг вернулась. Более поздние мавританские сообщения описывали примерно 16–17 дней полного или частичного нарушения и сообщали, что нормальное обслуживание вернулось 12 апреля.[1][2][3][4] Эти описания нельзя сжимать в одно утверждение, будто Мавритания была полностью офлайн 16 или 17 дней.

Период около 48 часов и период около 16–17 дней отвечают на разные вопросы. Первый описывает фазу, о которой сообщалось как о полной национальной потере связи. Второй охватывает более длительный интервал, в течение которого услуга могла отсутствовать, быть нестабильной, ограниченной или ухудшенной, прежде чем её снова назвали нормальной. Частичная достижимость в течение этого более длительного интервала сама по себе не доказывает достаточную пропускную способность, стабильную задержку, приемлемые потери пакетов, доступность приложений или одинаковое восстановление у разных операторов и регионов.

Источник не даёт единой поминутной национальной хронологии, с которой можно было бы согласовать все сообщаемые длительности. «Нормальное обслуживание» само по себе — вывод, требующий определённого базового уровня. Оно может означать восстановление подводной системы, доступность интернет-маршрутов, устранение перегрузок, восстановление клиентских приложений или более широкое операционное суждение. Без отметок времени по уровням и измерений услуги эти состояния нельзя безопасно считать взаимозаменяемыми.

Записи событий, ориентированные на измерения, и технические отчёты могут помочь отличить наблюдаемую потерю связи от последующих изменений видимости маршрутов или качества услуги, но доступные публичные сводки не разрешают состояние каждого оператора, местоположения и приложения.[5][6] Поэтому узкая защитимая хронология такова:

Повреждение было зафиксировано вблизи Нуакшота 30 марта.
Примерно 48 часов описывались как полное национальное отключение.
Затем часть услуг вернулась, создав период частичного или ухудшенного обслуживания.
Ремонтные работы продолжались в апреле.
Нормальное обслуживание было заявлено 12 апреля в рамках более широкого нарушения, описанного как продолжавшееся примерно 16–17 дней.[1][2][3][4]

Эта последовательность устанавливает серьёзность, не выдумывая универсальные условия на уровне пакетов. Она не доказывает, что каждый мавританский пользователь лишился каждого маршрута в каждый час более длительного окна. Она также не позволяет описывать частичную достижимость как полное восстановление. Центральная аналитическая проблема лежит между этими двумя ошибками: сеть может перестать быть полностью недоступной, оставаясь операционно неадекватной для многих клиентов и критически важных сервисов.

Причина требует такой же сдержанности. Представитель правительства сказал, что морское движение часто вызывает повреждения такого рода, и сообщил о мобилизации ремонтного судна и команды. Более поздние сообщения описывали траулер как вероятную причину.[1][3][4] Это подтверждает приписанное вероятное объяснение, а не окончательный вывод. Приведённые материалы не устанавливают личность судна, намерение, точный механизм повреждения, юридическую вину или окончательное распределение ответственности.

Отключение можно анализировать, не разрешая эти неизвестные. Случайный внешний удар и намеренно вызванный обрыв поднимали бы разные правовые вопросы, но оба обнажают один и тот же контроль непрерывности: может ли сеть продолжать передавать критический трафик, когда основной международный маршрут недоступен. Проверка устойчивости не должна зависеть от доказательства нарушений со стороны судна, кабельной организации, оператора связи или государственного органа.

Роль ACE в международной связности Мавритании

ACE введён в эксплуатацию в 2012 году. Источники периода инцидента описывали его как подводную систему протяжённостью примерно 17 000 километров, соединяющую 22 страны, тогда как текущий сайт ACE описывает систему, соединяющую 24 страны.[3][4][9] Эти описания относятся к разным стадиям развития системы. Сегодняшнюю цифру не следует проецировать назад так, будто она отражала конфигурацию марта 2018 года, а более раннюю цифру нельзя использовать для отрицания последующего расширения.

Современные сообщения характеризовали ACE как основное международное интернет-соединение Мавритании и описывали Мавританию как страну, испытавшую наиболее серьёзные последствия аварии. Страны с другими международными маршрутами, как сообщалось, ощутили меньшие последствия.[3][4] Такое сравнение поддерживает вывод о риске концентрации: последствия отказа кабеля зависят не только от обрыва, но и от доступности и пригодности путей вне отказавшей системы.

Однако «основное соединение» — более точное выражение, чем «единственный возможный путь». Рассказ представителя правительства упоминал две наземные волоконно-оптические линии в сторону Мали, которые оставались в рабочем состоянии.[1] Таким образом, публичная запись содержит доказательство заявленной альтернативной наземной связности. Чего в ней нет — это достаточной информации, чтобы определить, были ли эти линии независимыми, должным образом обеспеченными международными резервными путями для пострадавшего трафика.

ACE сам по себе не следует рассматривать как единый недифференцированный объект. Подводная система включает подводную часть, береговую инфраструктуру, наземные продолжения, оптический транспорт, эксплуатационные организации, соглашения о ёмкости, межсоединения и процессы технического обслуживания. Текущий сайт ACE и сведения о членстве помогают описать институциональный и географический масштаб системы, но сами по себе не раскрывают точную топологию, обязательства по ёмкости или политику маршрутизации, действовавшие для Мавритании в марте 2018 года.[9][10]

Это различие важно для подотчётности. Владение или членство в кабельной системе не раскрывает автоматически, кто контролировал каждое решение о восстановлении. Повреждение подводного сегмента может требовать координации в рамках кабельной системы и логистики ремонтного судна. Перенаправление трафика может зависеть от национальных операторов, наземных провайдеров, трансграничных партнёров, вышестоящих транзитных сетей и политики маршрутизации. Уведомления клиентам и компенсации могут подпадать под другие договорные или регуляторные обязанности.

Таким образом, серьёзность инцидента не является доказательством того, что подводные кабели изначально ненадёжны или что один только ACE должен нести ответственность за национальную непрерывность. Все физические системы могут отказывать. Релевантный контроль в том, остаётся ли отказ основного маршрута ремонтным инцидентом или превращается в национальный кризис связности. Эта разница создаётся топологией, ёмкостью, эксплуатацией, тестированием и доказательствами.

Семь часов управляли восстановлением

Утверждение «интернет вернулся» может скрывать несколько разных восстановлений. Событие 2018 года следует оценивать как минимум по семи часам: физический ремонт, оптический транспорт, достижимость по BGP, пригодная ёмкость, восстановление приложений, публичная коммуникация и компенсация. У каждых часов свой владелец, свои доказательства и возможное время завершения.

Физический ремонт кабеля

Первый час касается повреждённой физической системы. Он начинается с обнаружения и локализации повреждения и включает мобилизацию, разрешения, доступность судна, переход к месту, подъём или доступ к кабелю, ремонт, тестирование и возврат в эксплуатацию. Сообщения о мобилизации ремонтного судна и команды подтверждают активность, но приведённые источники не содержат полного публичного журнала ремонта или проверенных отметок времени для каждого шага.[1]

Физическое восстановление необходимо для возврата трафика на повреждённый кабель, но это не то же самое, что сквозное восстановление интернета. Отремонтированный подводный сегмент ещё должен быть соединён через береговые и наземные объекты, оптическое оборудование, сети операторов, отношения маршрутизации и системы доступа клиентов.

Оптический транспорт

Второй час касается того, были ли соответствующие оптические каналы восстановлены и стабильны. Физический ремонт может быть завершён, пока оптическое тестирование, балансировка мощности, проверка оборудования или активация каналов ещё продолжаются. И наоборот, трафик может быть переведён на другие оптические системы до ремонта отказавшего кабеля.

Приведённая для этого анализа публичная запись не раскрывает аварийные сигналы на уровне каналов, результаты оптических тестов, ёмкость восстановления или точную последовательность, в которой возвращались транспортные услуги. Эти пробелы мешают точно судить, когда физический ремонт превратился в пригодный транспорт.

Достижимость по BGP

Третий час касается обмена и выбора интернет-маршрутов. BGP — это протокол междоменной маршрутизации, с помощью которого автономные системы обмениваются информацией о достижимости и применяют политику для выбора путей.[19] Если существуют альтернативное международное соединение и отношения маршрутизации, операторы могут анонсировать, принимать или предпочитать маршруты через это соединение.

Видимый маршрут — свидетельство возможной достижимости, а не доказательство того, что маршрут может нести весь перемещённый трафик. BGP не сообщает о каждом физическом общем риске, не резервирует полосу пропускания, не сертифицирует задержку и не гарантирует, что приложения будут работать приемлемо. Маршрут может технически существовать, пока его базовая линия перегружена или пока достижимы лишь некоторые префиксы, сети или классы услуг.

Пригодная ёмкость

Четвёртый час начинается, когда восстановленные или альтернативные пути могут нести трафик на значимом уровне обслуживания. Именно здесь номинальный резерв может отказать, не исчезая из таблицы маршрутизации. Альтернативная линия может иметь недостаточную законтрактованную ёмкость, не иметь зарезервированного аварийного запаса, иметь ограничительную политику трафика или узкое место на трансграничной передаче.

Ёмкость должна проверяться под нагрузкой перемещённого спроса. Доказательства включали бы загрузку интерфейсов, записи потоков, потери пакетов, задержку, поведение очередей, изменения в управлении трафиком и ёмкость, доступную после выполнения других договорных обязательств. Ни одна из таких записей, специфичных для инцидента, здесь не приведена. Поэтому факт, что две линии в сторону Мали были описаны как рабочие, нельзя переводить в процент восстановленного национального трафика.

Восстановление приложений

Пятый час касается сервисов, которыми люди и организации действительно пытались пользоваться. Базовая пакетная достижимость не гарантирует успешное разрешение DNS, веб-доступ, аутентификацию, обработку платежей, обмен сообщениями, облачный доступ или доступ к государственным системам. Разные приложения могут зависеть от разных международных направлений и по-разному реагировать на задержку, потери, сброс сессий или ограниченную полосу пропускания.

Здесь нет записи восстановления по каждому приложению. Было бы небезопасно делать вывод ни о всеобщем отказе, ни о всеобщем восстановлении из национального описания связности. Потребовались бы телеметрия приложений, синтетические тесты, доли успешных транзакций и пользовательские отчёты об инцидентах, чтобы установить, какие сервисы были пригодны на каждом этапе.

Публичная коммуникация

Шестой час измеряет, как быстро операторы и государственные органы объяснили происходящее. Хорошая коммуникация об инциденте должна различать обнаружение, установление причины, статус восстановления, ограничения услуги, ожидаемые этапы ремонта и неопределённость. Она не должна использовать слово «восстановлено», не называя восстановленный уровень.

Приведённые доказательства включают публичные заявления и последующие сообщения, но не полный архив уведомлений операторов, их время, географический охват или ограничения услуги, раскрытые клиентам. Приписанные цифры 60/24/16 иллюстрируют проблему. Без чёткого определения и подтверждающих измерений такие проценты не могут сказать общественности, сколько ёмкости было доступно или у каких клиентов была рабочая услуга.[1]

Компенсация и защита прав

Седьмой час начинается, когда перерыв в обслуживании создаёт потенциальные последствия для клиентов, и заканчивается только тогда, когда применимые жалобы, компенсации или другие процессы защиты прав разрешены. Техническое восстановление не отвечает на вопрос, получили ли клиенты услугу, за которую заплатили, вызвала ли длительная деградация договорные средства защиты или имели ли пользователи критических услуг особую защиту.

Приведённые материалы не устанавливают, была ли компенсация предложена, требовалась, запрошена или отклонена. Они также не указывают применённые правила. Это явная неизвестность, а не доказательство того, что компенсации не было.

Эти семь часов объясняют, почему сообщаемые окна в 48 часов и 16–17 дней могут сосуществовать. Полное национальное отключение может закончиться, когда вернётся некоторая достижимость, тогда как ёмкость, приложения, коммуникации и средства защиты клиентов остаются неполными. Подотчётность зависит от сохранения этих различий, а не от объявления единого момента восстановления, не подтверждённого базовыми записями.

Два маршрута в Мали требовали проверки независимости

Самым сильным публичным указанием на резервную связность стало заявление представителя правительства, что две наземные волоконно-оптические линии, идущие на юг и восток в сторону Мали, оставались в рабочем состоянии.[1] Это важное доказательство: оно означает, что публичное описание не сводилось к стране без какой-либо мыслимой альтернативной физической связи. Но это начало проверки устойчивости, а не её ответ.

Надёжная оценка диверсификации маршрутов должна проверять как минимум четыре свойства: физическую независимость, диверсификацию вышестоящих сетей, пригодную аварийную ёмкость и отработанное переключение.

Физическая независимость

Две линии могут быть географически различны в общем описании, но разделять критические домены отказа. Они могут входить в одно и то же здание, использовать одну и ту же кабельную канализацию на части маршрута, зависеть от одной системы электропитания, пересекать один и тот же мост, заканчиваться на общем оптическом оборудовании или опираться на общий наземный сегмент до международного выхода. Карты с двумя нарисованными линиями недостаточно.

Приведённые здесь публичные источники не устанавливают точные физические маршруты южной и восточной линий. Они не устанавливают, разделяли ли линии канализацию, электропитание, площадки, оборудование или трансграничный сегмент. Они также не устанавливают, зависел ли какой-либо из маршрутов в другой точке от береговой или наземной инфраструктуры, связанной с ACE.

Независимость следует демонстрировать текущими обследованиями маршрутов, географической информацией, реестрами объектов, зависимостями электропитания, связями оборудования и записями групп линий с общим риском. Если коммерческая чувствительность ограничивает публикацию, подходящий регулятор или независимый аудитор может проверить детали и опубликовать ограниченный вывод. Вывод должен указывать, какие домены отказа проверялись, а не просто удостоверять, что диверсификация существует.

Диверсификация вышестоящих сетей

Наземная линия в Мали не обязательно является независимым международным выходом в интернет. Важно, куда путь идёт дальше, какие вышестоящие провайдеры несут трафик и зависят ли эти вышестоящие сети от общего кабеля, береговой станции, городского объекта или трансграничного коридора.

Два национальных маршрута могут сходиться на одном иностранном транзитном провайдере. Два транзитных провайдера могут сходиться на одной подводной системе. Маршрут также может быть независимым на физическом уровне, оставаясь операционно связанным через общую политику маршрутизации, систему аутентификации, плоскость управления или коммерческое соглашение о ёмкости.

Приведённые материалы не раскрывают вышестоящие выходы или транзитные отношения маршрутов в Мали во время инцидента. Поэтому они не могут установить, диверсифицировали ли они Мавританию от ACE на сквозном международном уровне. Эта неопределённость важна, потому что маршрут с ярлыком «наземный» всё равно может достигать внешних сетей через инфраструктуру, разделяющую значимый риск с основным сервисом.

Пригодная аварийная ёмкость

Маршрут может оставаться рабочим, но нести лишь малую долю перемещённого спроса. Количество волокна в земле не раскрывает активную ёмкость, законтрактованную ёмкость, зарезервированную ёмкость, скорости портов, ограничения трансграничных передач, транзитные обязательства или конкурирующий трафик.

Представитель правительства также отнёс доли связи: 60 % — Mauritel, 24 % — Chinguitel, 16 % — Mattel.[1] Эти цифры должны оставаться в приписанной форме. Запись не устанавливает, какой знаменатель использовал представитель, описывали ли цифры абонентов, коммуникационную активность, присутствие операторов или другую категорию. Это не измеренные проценты восстановления, и их не следует превращать в национальную модель ёмкости.

Чтобы аварийная ёмкость была подотчётной, операторам нужна заранее определённая модель спроса. Она должна определять классы критических услуг, минимальные цели обслуживания, ожидаемый перемещённый трафик и запас на каждой альтернативе. Ёмкость, существующая только на бумаге или требующая согласования после отказа, является более слабой мерой, чем ёмкость, уже законтрактованная, настроенная, отслеживаемая и периодически отрабатываемая.

Отработанное переключение

Даже независимый, должным образом обеспеченный маршрут может отказать как мера, если он не был проверен. Политика маршрутизации может не предпочесть его, когда это нужно. Фильтры префиксов могут отклонить необходимые анонсы. Ограничения максимального числа префиксов могут прервать сессию. Изменения в управлении трафиком могут перемещать трафик асимметрично. Зависимости сетевых адресов, поведение DNS, межсетевые экраны с сохранением состояния или списки разрешённых приложений могут помешать сервисам работать через альтернативный маршрут.

RFC 7454 документирует операционные практики, призванные повысить безопасность и надёжность развёртываний BGP, включая дисциплинированную фильтрацию и конфигурацию.[20] Такие практики снижают предотвратимый риск маршрутизации, но ни один документ не может доказать, что конкретное мавританское переключение сработало в марте 2018 года. Для этого нужны записи об инциденте или результаты предыдущих учений сетей.

Запись об отработанном переключении показала бы сценарий, участвующие сети, анонсированные и полученные маршруты, поведение конвергенции, перемещённый трафик, результирующую загрузку, потери пакетов и задержку, проверенные приложения, обнаруженные сбои, назначенные исправления и дату повторного теста. В приведённых публичных доказательствах такой истории нет.

Поэтому два маршрута в Мали остаются важными, но неразрешёнными. Считать их несущественными значило бы игнорировать заявление представителя. Считать их доказанными национальными резервами значило бы вывести независимость, ёмкость, диверсификацию вышестоящих сетей и операционную готовность, которых запись не устанавливает. Подтверждённый доказательствами вывод уже: сообщалось, что альтернативные маршруты работали, однако масштаб и длительность нарушения делают их эффективную роль законным предметом проверки.

Что BGP мог — и не мог — восстановить

О BGP часто говорят так, будто интернет автоматически обходит любой физический отказ. Это упрощение полезно лишь в строгих пределах. RFC 4271 определяет BGP как протокол, посредством которого системы маршрутизации обмениваются информацией о достижимости и применяют процесс принятия решений для выбора маршрутов.[19] Протокол работает поверх путей и отношений, которые сети построили, настроили и сделали доступными.

Если отказавший кабель удаляет единственный пригодный маршрут к месту назначения, BGP не может создать другой кабель. Если альтернативный маршрут существует, но не анонсирован, не получен, не принят или не выбран согласно политике, BGP не может сделать его пригодным без операционных изменений. Если маршрут выбран, но имеет недостаточную ёмкость, BGP не добавляет полосу пропускания. Если оба маршрута разделяют скрытую физическую зависимость, наличие двух путей BGP не устраняет этот общий риск.

Различие можно выразить последовательностью:

Физическая топология определяет, какие линии могут существовать.
Оптический и пакетный транспорт определяют, какие каналы работают.
Коммерческие и технические отношения определяют, какая связность доступна.
Политика BGP определяет, какие доступные междоменные маршруты можно обменивать и выбирать.
Ёмкость и перегрузка определяют, сколько трафика выбранный путь может нести.
Зависимости приложений определяют, работает ли достижимая услуга для пользователей.

Отказ на любом более раннем уровне ограничивает последующие уровни. Конфигурация маршрутизации не может компенсировать отсутствующий физический маршрут, так же как отремонтированный физический маршрут не доказывает, что маршрутизация, ёмкость и приложения восстановились.

BGP также оптимизирует согласно политике оператора, а не универсальной мере пользовательского опыта. Его процесс принятия решений изначально не выбирает путь с наибольшим аварийным запасом ёмкости или наименьшей задержкой приложений. Операторы могут влиять на выбор через политику и атрибуты, но такие решения требуют подготовки и наблюдений. Технически допустимый альтернативный маршрут всё равно может вызвать перегрузку или плохую производительность приложений.

RFC 7454 подчёркивает, что надёжная маршрутизация зависит от операционной дисциплины, включая фильтрацию, документированную политику и защиту от предсказуемых сбоев конфигурации или анонсов.[20] Эти меры важны при переключении, потому что редко используемый путь может выявить устаревшие фильтры, неверные пределы или недокументированные зависимости. Это гарантии поведения маршрутизации, а не доказательство физической диверсификации.

Для оценки реакции маршрутизации в 2018 году потребовались бы несколько разных артефактов:

записи обновлений и отзывов BGP, показывающие, когда маршруты исчезали и появлялись вновь;
данные сборщиков маршрутов или операторов, показывающие, какие префиксы были видны через какие вышестоящие сети;
записи конфигурации и политики, показывающие задуманное поведение основного и резервного маршрутов;
данные потоков и интерфейсов, показывающие, сколько трафика использовало каждый маршрут;
аварийные сигналы и журналы сессий, показывающие, оставались ли соседства маршрутизации стабильными;
измерения приложений и клиентов, показывающие, обеспечивали ли выбранные маршруты пригодное обслуживание.

Приведённые здесь публичные материалы не дают полного набора таких артефактов. Из этого следует, что отключение нельзя сводить к «BGP не сработал», так же как частичное восстановление нельзя целиком приписывать BGP. Маршрутизация была одним уровнем контроля внутри более широкой системы непрерывности.

Это различие важно для справедливого распределения ответственности. Кабельные организации обычно не отвечают за политику BGP каждого оператора. Операторы не контролируют все морские опасности или график ремонтного судна. Транзитные партнёры не могут создать ёмкость, которую не были обязаны предоставить. Регулятор может устанавливать требования к раскрытию или устойчивости, не управляя сетью напрямую. Подотчётность становится яснее, когда она следует уровню, который каждый участник мог разумно контролировать.

Публичные заявления не были измерениями ёмкости

Во время серьёзного отключения чиновникам и операторам нужны краткие способы описать услугу. Но краткие заявления могут размывать технические состояния, если их термины не определены. Приписанные доли операторов 60/24/16 — яркий пример.[1] Эти цифры дополняют историческую запись, но не устанавливают, сколько трафика восстановил каждый оператор, сколько международной ёмкости осталось или какая доля клиентов имела адекватную услугу.

Полезное заявление о восстановлении должно указывать как минимум четыре вещи: измеряемую совокупность, порог услуги, время измерения и источник доказательств. «Восстановлено шестьдесят процентов» иначе могло бы относиться к абонентам, маршрутам, площадкам, объёму трафика, номинальной полосе или успешным тестам. Каждое поддерживало бы другой вывод.

Приведённые материалы не дают отметок времени восстановления по операторам или измерений по регионам. Они не показывают, восстановились ли Mauritel, Chinguitel и Mattel с одинаковой скоростью. Они также не раскрывают, как оптовые зависимости повлияли на их розничные услуги. Поэтому трёх операторов не следует ранжировать или обвинять на основе приписанных долей.

Точно так же фраза «нормальное обслуживание вернулось» требует базового уровня.[2] Защитимый базовый уровень мог бы включать видимость маршрутов, запас ёмкости, перегрузку, задержку, потери пакетов, успех приложений и уровень жалоб. Он мог бы также отличать средние национальные показатели от недостаточно обслуживаемых регионов или ограниченных операторов. Без такого определения фраза остаётся сообщаемым статусом, а не проверенным выводом по всем уровням.

Публичная коммуникация сама является мерой непрерывности. Чёткие уведомления позволяют государственным органам, компаниям и гражданам адаптировать использование ограниченных услуг. Уведомления могут объяснять, какие приложения остаются затронутыми, какой трафик приоритизируется и когда появится следующее обновление. Они также могут сохранять неопределённость: приписанная вероятная причина не должна объявляться окончательным юридическим выводом.

В приведённых здесь доказательствах нет полного архива уведомлений, записей центра управления инцидентом или истории компенсаций. Правильный вывод не в том, что коммуникации или компенсации не было. Он в том, что их время, содержание и результаты нельзя проверить по этой записи. Эти отсутствующие артефакты должны оставаться видимыми в оценке подотчётности.

Ответственность следовала уровням отказа

Национальный кризис связности создаёт давление с целью назвать одно ответственное учреждение. Техническая реальность распределена. Ответственность следует сопоставлять с контролируемыми обязанностями, а не возлагать целиком на ACE, оператора, правительство, сообщаемый траулер или какое-либо отдельное лицо.

Розничные и сетевые операторы

Операторы контролируют или влияют на свою законтрактованную ёмкость, клиентские сети, политику маршрутизации, управление трафиком, мониторинг, зависимости приложений, уведомления и средства защиты клиентов. Они в состоянии сохранять записи BGP, телеметрию интерфейсов, измерения услуг, процедуры переключения и коммуникации с клиентами.

Их вопрос подотчётности — получили ли они и проверили достаточную непрерывность для предлагаемых услуг. Ответ нельзя вывести из их названий, абонентских отношений или приписанных процентов представителя. Он требует доказательств, специфичных для оператора.

Береговые и кабельные организации

Кабельные и береговые организации контролируют или координируют части обнаружения повреждений, локализации, технического обслуживания, процессов ремонта, береговой инфраструктуры и восстановления пострадавшей ёмкости кабеля. Информация о системе ACE и записи о членстве определяют более широкий институциональный контекст, но не определяют каждую операционную обязанность в инциденте 2018 года.[9][10]

Их вопросы подотчётности касаются обнаружения, эскалации, логистики ремонта, запасных частей, соглашений о техническом обслуживании, тестирования и коммуникации с пользователями ёмкости. Приведённые материалы не поддерживают вывод о том, что какая-либо конкретная организация нарушила обязанность.

Наземные и транзитные партнёры

Трансграничные волоконно-оптические и вышестоящие транзитные провайдеры определяют, действительно ли альтернативные пути ведут к независимым международным выходам. Их контракты на ёмкость, информация о физических маршрутах, состояние обслуживания, сессии маршрутизации и данные о перегрузках необходимы для оценки заявленного резервного маршрута через Мали.

Их роль нельзя судить лишь по тому, был ли канал «поднят». Работающий канал малой ёмкости и должным образом обеспеченный аварийный путь — разные меры.

Регуляторы и координаторы чрезвычайных ситуаций

Регуляторы и государственные органы могут определять цели устойчивости, обязанности отчётности, требования к учениям, стандарты информирования потребителей и правила компенсаций. Координаторы чрезвычайных ситуаций могут устанавливать приоритеты услуг и процедуры межорганизационной коммуникации.

Их подотчётность не в обещании, что ни один кабель не откажет. Она в том, чтобы делать заявления о непрерывности проверяемыми, требовать документирования существенных инцидентов и обеспечивать видимость последствий для критических услуг и потребителей. Приведённые доказательства не устанавливают, какие требования действовали или как они применялись в 2018 году.

Координация ремонтного судна и морского движения

Логистика ремонта может включать соглашения о техническом обслуживании, доступность судов, разрешения, погоду, доступ в порт, локализацию кабеля, запасные части и координацию между юрисдикциями. Заявление о мобилизации судна и команды — свидетельство реакции, но не полная мера готовности или задержки.[1]

Меры защиты кабелей и управления морскими рисками могут снизить вероятность или последствия повреждения, однако сообщаемое вероятное участие траулера не устанавливает намерение или юридическую ответственность.[3][4] Любое причинное распределение за пределами вероятного морского повреждения потребовало бы записей технического и правового расследования, которые здесь не приведены.

Хранители доказательств

Каждый уровень создаёт записи. Операторы хранят данные маршрутизации и трафика. Кабельные организации хранят записи ремонта и тестирования. Транзитные партнёры хранят доказательства ёмкости и сессий. Регуляторы могут хранить отчёты об инцидентах и жалобы потребителей. Государственные органы хранят записи координации чрезвычайных ситуаций. Поэтому хранение доказательств — содержательная ответственность, а не канцелярская работа.

Без сохранённых записей последующая проверка склонна сводиться к декларациям: путь существовал, ремонт завершён или услуга была нормальной. С записями эти утверждения можно сравнить с наблюдаемыми результатами сети и клиентов. Проверяемое восстановление защищает все стороны, отличая меру, которая отказала, от меры, которая сработала, но была перегружена другой зависимостью.

Более поздние инвестиции изменили среду контроля

Более поздние инфраструктурные изменения важны, потому что показывают, как среда связности Мавритании эволюционировала после 2018 года. Их нельзя использовать для утверждения, что те же меры существовали во время обрыва ACE.

Материалы Всемирного банка сообщают, что WARCIP впоследствии поддержал примерно 1 700 километров национального оптоволокна, создал точку обмена интернет-трафиком и обеспечил открытое распределение ёмкости ACE.[8] Более ранние проектные записи помещают эти изменения в более длительную программу расширения широкополосного доступа и снижения стоимости связи.[11][12][13]

Каждое вмешательство направлено на разный риск. Национальное оптоволокно может расширить доступ и создать варианты наземной межсетевой связи. IXP может удерживать подходящий внутренний трафик внутри страны вместо отправки через международный транзит. Открытый доступ может расширить распределение и использование ёмкости кабеля. Ни одна из этих мер сама по себе не создаёт независимый международный маршрут.

IXP особенно важно описать точно. Локальный пиринг, кэши и внутренний хостинг могут сохранить некоторые внутренние услуги во время международного нарушения. Они могут сократить ненужный международный трафик и сделать оставшуюся ёмкость более полезной. Но IXP не может достичь внешних направлений без рабочего международного пути. Его ценность для устойчивости зависит от подключённых сетей, локального контента, электропитания, объектов, маршрутизации и фактического обмена трафиком.

Открытый доступ к ёмкости ACE может улучшить конкуренцию и использование, но распределение доступа к одному кабелю не устраняет этот кабель как общий физический домен отказа. Оно может улучшить непрерывность операторов, оставляя национальную концентрацию международных маршрутов в основном неизменной. Поэтому указание Всемирного банка на диверсификацию международного доступа как на продолжающуюся или будущую работу — важный контекст.[8][13]

Инициатива Европейского союза и Европейского инвестиционного банка 2025 года описывает второе соединение EllaLink как резерв для единственного кабеля ACE.[14] Такая формулировка усиливает вывод, что второй международный подводный маршрут оставался признанной мерой непрерывности. Она не устанавливает точное состояние ввода в эксплуатацию, физическую независимость, ёмкость, интеграцию маршрутизации или проверенную производительность более позднего соединения.

Текущая информация о системе и устойчивости может помочь определить, какие вопросы следует задавать сегодня, но её нельзя проецировать назад на март 2018 года.[7][9] Более поздние меры требуют собственной проверки:

Использует ли второй путь действительно отдельную береговую и наземную трассу?
Независимы ли электропитание, объекты и вышестоящие сети?
Законтрактована ли аварийная ёмкость и сразу ли она пригодна?
Настроены ли и проверены ли маршруты для контролируемого переключения?
Могут ли критически важные приложения работать в условиях резервирования?
Сохраняются ли записи учений и инцидентов?
Сохраняет ли IXP значимый внутренний трафик при потере международной ёмкости?
Могут ли операторы получить доступ к мерам на справедливых и операционно пригодных условиях?

Сравнительные материалы об отказах кабелей, включая технический анализ других региональных инцидентов, могут помочь в разработке этих проверок.[15][16][17][18] Их не следует переносить в хронологию Мавритании 2018 года. В частности, мартовский многострановой отказ нескольких кабелей в Западной Африке в 2024 году был отдельным событием с собственными причинами, измерениями и картиной восстановления.[18] Единицей анализа здесь остаётся отказ основного кабеля Мавритании в 2018 году и неопределённая работа её заявленных наземных альтернатив.

Таким образом, более поздние инвестиции — доказательство изменённой среды контроля, а не доказательство ретроактивной готовности. Вопрос подотчётности движется вперёд: могут ли новые меры теперь продемонстрировать независимую, пригодную, проверенную непрерывность в реалистичных условиях отказа?

Матрица предотвращения и доказательств

Предотвращение не может означать гарантию, что ни один подводный кабель никогда не будет повреждён. Работоспособная система должна различать снижение вероятности отказа, ограничение его последствий, ускорение восстановления, информирование об условиях услуги и предоставление компенсаций. Каждая мера нуждается во владельце, наблюдаемой проверке, сохранённом артефакте и пороге отказа.

Мера	Основной владелец доказательств	Проверка	Требуемый артефакт	Порог отказа
Диверсификация международных физических маршрутов	Операторы, поставщики инфраструктуры, регулятор или независимый аудитор	Проследить каждый основной и резервный путь через береговые, наземные, объектные, энергетические и вышестоящие домены отказа	Актуальная карта топологии и общих рисков с датированной проверкой	Якобы независимый путь разделяет нераскрытый критический домен отказа, или независимость нельзя проверить
Зарезервированная аварийная ёмкость	Операторы и транзитные провайдеры	Переместить определённый критически важный и репрезентативный трафик на альтернативные пути при реалистичной нагрузке	Контракты на ёмкость, телеметрия интерфейсов, данные потоков, результаты по перегрузке и результатам классов услуг	Альтернативная ёмкость не может достичь заранее определённой минимальной цели обслуживания или недоступна при проверке
Готовность переключения BGP	Операторы и вышестоящие партнёры	Изъять или изолировать основной путь в контролируемом учении и наблюдать распространение, выбор и стабильность маршрутов	Обновления BGP, представления маршрутов, снимок конфигурации, хронология конвергенции и журнал аномалий	Необходимые префиксы не становятся достижимыми через альтернативный путь, или маршрутизация остаётся нестабильной сверх утверждённой цели
Непрерывность приложений	Операторы услуг и владельцы государственных систем	Провести сквозные тесты назначенных критически важных приложений во время переключения	Результаты синтетических тестов, доли успешных транзакций, задержка, потери и карта зависимостей	Пакетная достижимость существует, но назначенное критически важное приложение не достигает определённой цели обслуживания
Сохранение внутреннего трафика	IXP, подключённые сети, операторы контента и кэшей	Изолировать или ограничить международные пути и измерить подходящий внутренний обмен	Данные трафика IXP, представления серверов маршрутов, результаты тестов участников и реестр локального контента	Трафик, который должен оставаться внутренним, излишне зависит от отказавшего международного пути
Защита кабеля и снижение морских рисков	Кабельная организация, береговые стороны, морские власти	Проверить опасности маршрута, уведомления, мониторинг и координацию реагирования	Оценка рисков, уведомления о маршруте, записи мониторинга, отчёт об учении и список исправлений	Известная высокорисковая уязвимость не имеет назначенного смягчения или процесса эскалации
Готовность к ремонту	Кабельная организация и партнёры по обслуживанию	Отработать мобилизацию, запасные части, разрешения, контакты и процедуры принятия решений	Соглашение об обслуживании, реестр запасных частей, список контактов, хронология мобилизации и запись учения	Необходимый ресурс или разрешение недоступны в рамках определённого плана восстановления
Многоуровневая отчётность об инциденте	Операторы, кабельная организация, регулятор, координатор чрезвычайных ситуаций	Восстановить учение или инцидент с помощью отдельных часов: физического, маршрутизации, ёмкости, приложений и клиентов	Хронология инцидента с отметками времени, связанная с исходными записями	Существенное заявление о восстановлении нельзя привязать к уровню, порогу, отметке времени и источнику доказательств
Информирование клиентов	Розничные операторы и регулятор	Выпустить имитационные или реальные уведомления, различающие отключение, деградацию, неопределённость и следующее обновление	Архив уведомлений, время публикации, охват затронутых услуг и история обновлений	Клиенты не получают своевременное описание состояния услуги или заявление о восстановлении не имеет определённого порога услуги
Компенсация и защита прав	Операторы, регулятор, органы защиты прав потребителей	Применить опубликованные правила к сценарию длительного полного или ухудшенного обслуживания	Правила права на компенсацию, решения, результаты жалоб и сводная отчётность	Клиенты не могут определить право на компенсацию, подать заявление или получить зафиксированное решение
Межорганизационное управление непрерывностью	Операторы, государственные органы, партнёры по инфраструктуре и транзиту	Провести многостороннее учение, охватывающее потерю основного международного пути	Сценарий, список участников, решения, телеметрия, пробелы, владельцы, сроки и результаты повторного теста	Критическая зависимость не имеет подотчётного владельца или предыдущий отказ остаётся открытым к следующему учению
Сохранение доказательств	Каждый технический и регуляторный хранитель	Извлечь записи, необходимые для восстановления определённого окна инцидента	Политика хранения, меры целостности, журнал доступа и полный пакет доказательств инцидента	Необходимые доказательства маршрутизации, ёмкости, ремонта, коммуникации или компенсации отсутствуют или не могут быть надёжно связаны с событием

Матрица сознательно основана на доказательствах. Мера не считается завершённой, потому что документ политики говорит о её существовании. Физическая диверсификация требует проверки маршрутов. Ёмкость требует доказательств нагрузки. Готовность маршрутизации требует наблюдаемого переключения. Непрерывность приложений требует тестов приложений. Коммуникация требует уведомлений с отметками времени. Компенсация требует решений, которые пострадавшие клиенты могут понять и использовать.

Пороги следует определять до инцидента. Приведённые материалы не оправдывают выдумывание конкретной цели по полосе пропускания, задержке или времени восстановления для Мавритании. Эти значения зависят от спроса, критических услуг, дизайна сети, контрактов и регуляторных решений. Универсально можно требовать, чтобы цель была явной, измеримой, проверенной и связанной с подотчётным владельцем.

Матрица также разделяет типы мер. Защита кабеля и координация морского движения в первую очередь снижают вероятность. Независимые пути, зарезервированная ёмкость, IXP и локальный хостинг снижают последствия. Готовность к ремонту и учения по маршрутизации ускоряют восстановление. Многоуровневые хронологии и уведомления клиентам поддерживают раскрытие. Процессы компенсации обеспечивают защиту прав. Одна успешная категория не может объявлять все остальные завершёнными.

Например, быстрый ремонт кабеля не оправдывает непроверенный план переключения. Рабочий альтернативный маршрут не устраняет необходимость точных уведомлений клиентам. IXP, сохраняющий локальный трафик, не заменяет международную ёмкость. Компенсация не чинит топологию, а топология не решает вопрос компенсации.

Необходимые доказательства должны сохраняться в организациях. Национальная пост-инцидентная запись могла бы включать ограниченные вклады, не публикуя коммерчески чувствительные детали. Независимый проверяющий мог бы подтвердить, что физические маршруты не разделяют указанные домены отказа, а операторы публиковали бы агрегированные результаты по уровню услуг и переключению. Кабельные организации могли бы публиковать этапы ремонта, а регуляторы — результаты уведомлений и компенсаций.

Такая структура сделала бы и неопределённость более точной. Вместо «резерв не сработал» проверка могла бы установить, что альтернативная линия оставалась физически рабочей, достижимость по BGP вернулась, но пригодная ёмкость опустилась ниже установленного порога. Или что ёмкости было достаточно, но критически важные приложения отказали из-за непроверенной зависимости. Такие выводы ведут к разным исправлениям и не обвиняют стороны за уровни, которые они не контролировали.

Ограниченный тест на подотчётность

Обрыв ACE в 2018 году сделал диверсификацию международных маршрутов тестом на подотчётность, потому что наблюдаемые последствия нельзя объяснить одними названиями маршрутов. ACE описывался как основное международное соединение Мавритании, два наземных маршрута в сторону Мали сообщались как рабочие, примерно 48 часов описывались как полное национальное отключение, а более длительный период — как полное или частичное нарушение, прежде чем было сообщено о нормальном обслуживании.[1][2][3][4]

Эти факты обосновывают проверку концентрации, готовности резервирования и прозрачности восстановления. Они не устанавливают физическую топологию маршрутов в Мали, их вышестоящие выходы, общие канализации или электропитание, законтрактованную ёмкость, политику маршрутизации, историю переключений, перегрузки, производительность приложений или восстановление по операторам. Они также не устанавливают окончательную ответственность за повреждение кабеля и наличие или отсутствие компенсаций клиентам.

Подходящий тест состоит из трёх частей.

Во-первых, существовали ли международные пути, независимые во всех значимых доменах отказа? Административное разделение, разные названия маршрутов или разные географические ярлыки недостаточны, если пути сходились на общей канализации, объекте, источнике питания, вышестоящей сети или зависимости от кабеля.

Во-вторых, могли ли эти пути нести определённый критически важный и репрезентативный трафик на пригодных уровнях обслуживания? Достижимость по BGP необходима, но недостаточна. Ёмкость, перегрузка, поведение приложений и результаты классов услуг определяют, был ли маршрут операционно значимым.[19][20]

В-третьих, можно ли было проверить восстановление по семи часам: физический ремонт, оптический транспорт, маршрутизация, пригодная ёмкость, приложения, коммуникация и компенсация? Одно заявление о возврате услуги не может заменить эти записи.

Доказательства того, что Мавритания уже имела физически независимый, должным образом обеспеченный и успешно отработанный международный маршрут в марте 2018 года, ослабили бы вывод, что концентрация маршрутов была центральной проблемой контроля. Данные маршрутизации, потоков, ёмкости и приложений, показывающие быстрое и широко пригодное переключение, сместили бы анализ к более узким отказам в распределении ёмкости, приложениях, коммуникации или отчётности. Формальное техническое и правовое расследование, установившее другой механизм повреждения, изменило бы причинное распределение, не снимая вопрос непрерывности.

На основе приведённых материалов ограниченный вывод таков: номинальные альтернативы не сняли проблему подотчётности. Международную непрерывность нужно было демонстрировать трафиком, идущим по пригодным независимым путям, и записями, показывающими, что восстановилось, когда, для кого и на каком уровне обслуживания. Событие 2018 года обнажило расстояние между маршрутом, который можно назвать, и непрерывностью, которую можно проверить.

Авария кабеля ACE в Мавритании в 2018 году сделала диверсификацию международных маршрутов тестом на подотчётность

Почему это важно