Сбой четырёх кабелей в Западной Африке в 2024 году сделал региональное разнообразие маршрутов вопросом подотчётности

Краткое резюме

• 14 марта 2024 года регуляторы, операторы и независимые системы измерений зафиксировали серьёзные сбои в работе интернета в Западной, Центральной и Южной Африке: на системах ACE, MainOne, SAT-3 и WACS произошли повреждения. Открытые публичные данные не позволяют установить единое точное время или последовательность обрывов для всех четырёх систем. [1][8][11]
• Internet Society указала 13 пострадавших стран, однако в подписи к одной из иллюстраций её позднего отчёта упоминается 13 марта, тогда как основная часть материалов регуляторов, операторов и систем измерений относится к 14 марта. Это расхождение должно оставаться видимым, а не заменяться искусственно сконструированной единой меткой времени. [9]
• Регулятор Ганы оценил потери ёмкости в 90 % для ACE, около 90 % для MainOne, 100 % для SAT-3 и 90 % для WACS, что в сумме для Ганы составило 1596,6 Гбит/с. Эти оценки относятся только к Гане и не являются полной суммой региональных потерь. [2]
• В более позднем уведомлении Ганы говорилось, что все четыре оператора пунктов приземления кабелей были отключены от международных сервисов передачи данных. Это заявление о состоянии услуг относится к иному операционному уровню и моменту, чем прежние оценки ёмкости кабелей, поэтому два документа не следует сводить к единому процентному показателю. [3]
• Непрерывность связи различалась, поскольку часть сетей могла получить доступ к неповреждённым мощностям. Задокументированные примеры включают Moov Africa Ivory Coast, использовавшую кабель Maroc Telecom West Africa с иным маршрутом, зафиксированные перетоки трафика в сторону Equiano, перенаправление трафика Angola Cables через SACS и активацию Bayobab обходных маршрутов и дополнительных каналов. [10][12][13][15]
• Cloudflare наблюдала, что часть IPv4-адресного пространства AS37282 компании MainOne в течение нескольких часов переставала анонсироваться, наряду с потерей и возвратом сервисов, размещённых у MainOne. Это важное свидетельство достижимости, но не полная реконструкция всех BGP-обновлений, решений о маршрутной политике или запасных каналов, использованных во время инцидента. [11]
• Локальные точки обмена и кэши снизили часть зависимости от повреждённой международной ёмкости. Регулятор Ганы упоминал контент, доступный через Ghana Internet Exchange, и позднее собрал GIX, Accra Internet Exchange, финансовые учреждения, коммунальные предприятия, операторов и кабельных провайдеров, поскольку ограниченная пропускная способность затрагивала критически важные цифровые транзакции. [3][5]
• Восстановление трафика и физический ремонт подводной кабельной инфраструктуры шли по разным часам. Запасная ёмкость и перенаправление трафика частично восстановили доступность ещё до завершения ремонтных работ: 6 апреля — SAT-3, 17 апреля — ACE, 29 апреля — WACS, 8 мая — MainOne. [7][14]
• В итоговом отчёте Ганы кабельным провайдерам приписано заключение о том, что все четыре повреждения произошли на пересечениях подводного каньона Ле-Тру-Сан-Фон у Абиджана. Это подтверждает вывод о риске общего коридора, но не халатность, саботаж, единую доказанную причину или полную техническую картину инцидента. [7][9]
• Подотчётность следует за практическим контролем и сохраняемыми доказательствами. Кабельные операторы, операторы связи, сети, точки обмена, контент-провайдеры, регуляторы и критически важные учреждения контролировали разные части проектирования маршрутов, ёмкости, маршрутизации, локализации, восстановления и ремонта. Распределённый контроль не означает распределённую вину.

Четыре названия кабелей, одна региональная зона отказа

Сетевая схема может показывать четыре названия подводных кабелей и при этом скрывать одну существенную зону отказа. ACE, MainOne, SAT-3 и WACS были отдельными системами с разными владельцами и условиями эксплуатации, но их повреждения в марте 2024 года лишили значительной международной ёмкости страны, зависевшие от затронутого западноафриканского коридора.

Поэтому ключевой вопрос устойчивости — не сколько цветных линий было на карте, а были ли эти линии достаточно независимыми, соединёнными с пригодными наземными и международными маршрутами, коммерчески доступными затронутым сетям, принимаемыми маршрутной политикой и достаточно оснащёнными, чтобы пропустить переключённый трафик.

Инцидент стал видимым как региональный кризис связности 14 марта. Национальное управление по связи Ганы сообщило о нарушениях в мобильных и фиксированных сервисах передачи данных и передало предварительные сведения о повреждениях международной кабельной инфраструктуры. Независимые системы измерений также зафиксировали масштабные сбои в нескольких странах, а публичные сообщения описывали отказы, нарушившие доступ далеко за пределами одной станции приземления. [1][8][16] Ни один из этих документов по отдельности не устанавливает точную физическую последовательность каждого повреждения кабеля.

Вместе, однако, они подтверждают событие в нескольких странах, в ходе которого несколько важных систем стали недоступными или серьёзно деградировали в короткий период.

В отчёте Internet Society по итогам инцидента перечислены Бенин, Буркина-Фасо, Камерун, Кот-д'Ивуар, Гамбия, Гана, Гвинея, Либерия, Намибия, Нигер, Нигерия, ЮАР и Того как пострадавшие страны. [9] Этот перечень охватывает прибрежные рынки приземления, внутренние сети, зависящие от трансграничных наземных соединений, и страны юга Африки. Он показывает масштаб зоны отказа, но его не следует воспринимать как рейтинг готовности стран. В каждой стране было своё сочетание доступа к кабелям, наземных продолжений, вышестоящих провайдеров, участия в точках обмена, кэшей, трафиковых моделей и резервной ёмкости.

Эти различия привели к существенно разным результатам. Одни сети потеряли широкую международную доступность, другие сохранили частичный доступ, а третьи восстановили трафик через альтернативные системы ещё до ремонта повреждённых кабелей. Региональный обзор, который сообщает только об обрывах кабелей, упускает механизмы контроля, определившие эти результаты. И наоборот, обзор, сосредоточенный только на восстановленном трафике, упускает физическую подверженность общему фактору риска и длительный период ремонта.

Важны оба уровня: повреждение подводной части создало шок ёмкости, а маршрутизация, транзит, межсетевое взаимодействие и коммерческие договорённости определяли качество обслуживания пользователей.

Это различие лежит в основе подотчётности за инфраструктуру. Установленная инфраструктура — это вводная составляющая, а не доказательство непрерывности. Второй кабель не защитит сеть, если он проходит по тому же уязвимому коридору, упирается в те же ограниченные зависимости, его нельзя приобрести во время чрезвычайной ситуации, на нём нет активного канала, он недостижим при текущей маршрутной политике или у него слишком мало свободной ёмкости. Точка обмена не может заменить международный транзит, но может удерживать подходящий локальный трафик внутри страны.

Перенаправление маршрута может восстановить доступность без ремонта повреждённого кабеля, но только если маршрут остаётся стабильным и работоспособным под нагрузкой.

Мартовский инцидент дал конкретные свидетельства по каждой из этих границ. Он показал общую физическую подверженность риску в районе Абиджана, наблюдаемые изменения в анонсах маршрутов, использование неповреждённых подводных систем, зависимость от трансграничных и локальных соединений, ограниченную замещающую пропускную способность и ремонтную кампанию с участием нескольких владельцев кабелей и двух судов.

Поэтому тест на подотчётность носит операционный характер: что продолжало работать, что пришлось активировать, где ёмкости не хватило, как измерялось восстановление и какие записи могут подтвердить, что заявления об устойчивости соответствуют реальному поведению.

Хронология с несколькими часами, а не одним процентом сбоя

Открытые публичные данные выглядят наиболее убедительно, когда разные хронологические шкалы не смешиваются. В позднем отчёте Internet Society подпись к одной из иллюстраций относится к 13 марта, тогда как основной текст и главные материалы регуляторов, операторов и систем измерений сходятся на 14 марта. [9] Это может быть ошибкой в подписи, границей часового пояса или набора данных либо наблюдением, не получившим полного объяснения в опубликованных материалах. Имеющиеся данные не позволяют выбрать одну из этих версий как факт.

Корректный подход — раскрыть расхождение и использовать 14 марта для основной хронологии, не утверждая при этом единого точного времени начала каждого физического повреждения.

Cloudflare зафиксировала нарушения, начавшиеся около 05:00 UTC в Гамбии, Гвинее и Либерии. Её данные о трафике показали последствия в Кот-д'Ивуаре и Гане около 07:30 UTC, затем последовали сбои в других странах. [11] Эта последовательность описывает, когда изменения связности стали видны в измерениях Cloudflare. Она не раскрывает момент повреждения каждого кабеля, порядок физических отказов или время, когда каждый провайдер распознал и объявил об инциденте. Измерения трафика — это наблюдения за сетевым событием с нижнего уровня, а не данные приборов с морского дна.

Второе обновление Ганы дало раннюю оценку ёмкости по конкретной стране. NCA сообщила об оценочных потерях 90 % на ACE, примерно 90 % на MainOne, 100 % на SAT-3 и 90 % на WACS. Совокупные потери для Ганы были рассчитаны в 1596,6 Гбит/с. [2] Эти цифры полезны, поскольку сохраняют различия между кабелями, но это оценки в ходе развивающегося инцидента. Их не следует складывать с несвязанными национальными наблюдениями, распространять на все 13 стран или представлять как процент от всего западноафриканского интернета, который исчез.

На следующий день ганское уведомление сообщило, что все четыре провайдера пунктов приземления отключены от международных сервисов передачи данных. [3] На первый взгляд эта формулировка может отличаться от прежних оценок, оставлявших некоторый остаточный процент по трём системам. Документы не обязательно противоречат друг другу. Ёмкость кабельной системы, полезная ёмкость, предоставляемая конкретному провайдеру пункта приземления, и сквозная международная услуга — это разные операционные уровни. Они также описывались в разные моменты времени.

Остаточная ёмкость системы может быть недоступна провайдеру, недостаточна для услуги, изолирована другим повреждением или перекрыта изменяющимся состоянием инцидента.

Та же дисциплина относится и к восстановлению. В более позднем квартальном анализе Cloudflare описывалось неравномерное восстановление трафика и передавались сообщения о перетоках в сторону ёмкости Equiano и Maroc Telecom West Africa. [12] Заявления операторов описывали перенаправление маршрутов и дополнительные каналы. [13][15] Регулятор Ганы описывал ёмкость, полученную через неповреждённых региональных партнёров, и контент, доступный через локальные кэши. [3] Каждое из этих свидетельств указывает на механизм восстановления, но ни одно не устанавливает единый момент, когда все клиенты, приложения или страны вернулись к нормальной работе.

Восстановление услуг также нельзя приравнивать к ремонту кабеля. Пострадавшая сеть может вернуть частичный международный доступ через аварийный транзит, в то время как повреждённая система остаётся неотремонтированной неделями. Сайт может снова стать доступным, когда его префикс снова анонсируется, даже если перегруженные каналы продолжают ухудшать работу других сервисов. Внутренний поток транзакций банка может улучшиться, потому что зависимость размещена локально, тогда как зарубежный сервис аутентификации или борьбы с мошенничеством остаётся медленным.

Релевантные временные шкалы включают обнаружение физического повреждения, отзыв маршрута, активацию запасного канала, восстановление трафика, восстановление приложений, отправку судна, завершение сращивания и возврат кабеля к штатной эксплуатации.

Поэтому запись инцидента издательского уровня должна сопротивляться обаянию одной громкой цифры. Рассмотренные свидетельства дают оценку ёмкости по Гане, заявления о состоянии услуг провайдеров пунктов приземления, национальные наблюдения за трафиком, отчёты операторов о восстановлении и сроки ремонта по каждому кабелю. Они не дают полного регионального итога потерь, матрицы отключений по каждому клиенту или единого процента, точно описывающего каждый уровень. Сохранение этих ограничений делает анализ непрерывности более сильным, поскольку показывает, какие механизмы контроля можно оценить, а какие остаются неподтверждёнными.

Контрольный вопрос первый: действительно ли физические маршруты были независимы?

В итоговом обновлении Ганы о ремонте приводится заключение, приписываемое провайдерам услуг подводных кабелей: все четыре повреждения произошли там, где системы пересекают подводный каньон Ле-Тру-Сан-Фон у Абиджана. [7] Анализ Internet Society рассматривал эту сходимость как физическую единую точку отказа для регионального события. [9] Это наиболее ясное публичное основание для вывода, что отдельно названные системы разделяли существенный риск общего коридора. Однако это не полное описание их трасс и не техническое объяснение механизма повреждения.

Физическое разнообразие часто описывают в континентальном масштабе. Два кабеля могут соединять разные страны приземления, иметь разных владельцев или большую часть своей длины проходить по заметно разным океанским маршрутам. Эти различия ценны, но непрерывность зависит от их ближайшей общей зоны риска. Если несколько систем сходятся на пересечении каньона, подходе к станции приземления, наземном канале, зависимости от энергоснабжения или узком месте обслуживания, общий участок может доминировать в их совокупном риске.

Мартовский инцидент показывает, почему анализ разнообразия маршрутов должен рассматривать общие угрозы в том масштабе, в котором может произойти повреждение.

Открытые публичные данные оставляют без ответа важные геометрические вопросы. Они не раскрывают полные координаты кабелей, точные расстояния между ними, условия заглубления, характеристики бронирования, историю обслуживания или детальные съёмки морского дна в четырёх точках повреждения. Не видно, были ли пересечения сконцентрированы в одной узкой зоне или распределены по нескольким точкам, подверженным связанной угрозе. Опубликованный материал также не содержит технического отчёта по каждому кабелю с указанием того, когда и как была повреждена каждая система.

Эти пробелы важны, потому что общий коридор сам по себе не доказывает единый физический триггер. Четыре повреждения на пересечениях каньона могут быть связаны с одним геофизическим событием, несколькими связанными подвижками, независимыми повреждениями в опасной зоне или иным механизмом, не установленным в рассмотренных источниках. Ранние публичные описания также различались в отношении мест повреждения. Итоговая картина поддерживает вывод об общей подверженности риску, но не даёт оснований для утверждений о саботаже, умысле, небрежном проектировании маршрута или одной точно установленной причине на морском дне.

Правильный вопрос подотчётности — доказательственный. Операторы кабельных систем должны иметь возможность показать уполномоченным оценщикам ограниченные карты маршрутов, указать общие зоны риска, задокументировать допущения о разнесении маршрутов и объяснить, как эти допущения учитывались в планировании ремонта. Там, где публичное раскрытие создало бы риски для безопасности или коммерции, регуляторы или независимые технические оценщики могут изучать ограниченные материалы и публиковать выводы в более безопасной степени детализации.

Подотчётность не требует показывать точные координаты кабелей всем; она требует надёжного метода проверки заявлений о разнообразии маршрутов.

Тот же анализ должен выходить за пределы подводной части. Кабель может иметь независимую морскую трассу, но сходиться с другой системой на станции приземления, маршруте магистральной линии, узле межсетевого взаимодействия или трансграничном наземном коридоре. И наоборот, две системы с некоторым морским соседством могут питать разных операторов и разные пути восстановления, что снижает влияние на услуги. Строгая оценка отображает полный маршрут услуги от кабельного сегмента через инфраструктуру приземления, наземную транспортную сеть, транзитного провайдера, точку обмена и сеть клиента.

Мартовский сбой показывает, что подсчёт систем без анализа их графа зависимостей может существенно завысить устойчивость.

Проектирование маршрута также связано с проектированием ремонта. Системы, подверженные общей угрозе, могут зависеть от одних и тех же региональных судов, разрешительной среды, соглашений на обслуживание, складов или специализированных бригад. В ходе реакции 2024 года в итоге использовались отдельные движения судов и совместная организация работ между несколькими системами, но сама потребность в координации раскрывает ещё одно измерение концентрации. Независимый маршрут тем ценнее, если его зависимости по мониторингу и ремонту не подчинены одной и той же задержке.

Инцидент не доказывает, что каждую общую зависимость можно было избежать. Маршруты подводных кабелей сталкиваются с географией морского дна, доступом к пунктам приземления, экологическими ограничениями, стоимостью, разрешениями и инженерными компромиссами. Стандарт подотчётности — не ретроспективное требование нулевого общего риска, а вопрос о том, была ли известная общая подверженность риску выявлена, ограничена, включена в планирование непрерывности и уравновешена запасной ёмкостью, которая могла реально пропустить трафик при отказе основного коридора.

Контрольный вопрос второй: могли ли сети получить доступ к неповреждённому транзиту и использовать его?

После исчезновения международной ёмкости физические альтернативы имели значение только через работающие сети. Border Gateway Protocol — основной механизм, с помощью которого автономные системы обмениваются информацией о достижимости через административные границы. Автономная система анонсирует IP-префиксы, до которых она может дотянуться, изучает маршруты от соседей и применяет политику при выборе и распространении путей. RFC 4271 определяет эту основу междоменной достижимости. [17] Он не предписывает коммерческие отношения за маршрутом и не доказывает, какую политику использовал тот или иной западноафриканский оператор во время сбоя.

Это различие объясняет, почему наличие неповреждённого кабеля не гарантирует восстановление. Оператор связи должен иметь доступ к кабелю через собственные объекты или поставщика. Требуемый канал должен существовать или допускать быстрое включение. Оператор и его соседи должны обмениваться пригодными маршрутами. Фильтры, предпочтения, сообщества, ограничения максимального числа префиксов и другие операционные меры защиты должны допускать контролируемое изменение без принятия небезопасной достижимости. Затем альтернативный канал должен иметь достаточно ёмкости, чтобы пропустить переключённый спрос при приемлемом уровне перегрузки.

Операционные рекомендации по BGP, такие как RFC 7454, касаются практик, включая фильтрацию, обработку маршрутов и устойчивость на границах межсетевого взаимодействия. [18] Они дают основу для понимания механизмов контроля, задействованных при переключении трафика, но не являются доказательством того, что какой-либо конкретный оператор соблюдал или нарушал определённую практику. Источники по инциденту не публикуют полные конфигурации маршрутизаторов, изменения маршрутной политики, состояния сессий или потоки обновлений для каждой затронутой автономной системы.

Cloudflare действительно наблюдала показательный фрагмент этого уровня. Часть IPv4-адресного пространства, происходящего от AS37282 компании MainOne, перестала анонсироваться примерно с 07:30 до 15:00 UTC. Cloudflare сообщила, что доступность размещённых у MainOne сервера имён и веб-сайта исчезла и позже вернулась в тот же широкий период. [11] Это наблюдение связывает отказ физической инфраструктуры с плоскостью управления: услуга может быть недоступна не только из-за перегрузки пакетов, но и потому, что интернет временно не имеет маршрута к соответствующему адресному пространству.

Это наблюдение должно оставаться ограниченным. Оно не указывает каждый затронутый префикс, каждую вышестоящую сессию, причину каждого отзыва или внутреннее решение, восстановившее анонсы. Оно не показывает, были ли альтернативные пути отклонены, отсутствовали, намеренно подавлены или просто не могли пропустить затронутую услугу. Оно также не реконструирует историю маршрутов каждого клиента MainOne. Это свидетельство того, что достижимость BGP изменилась во время сбоя, а не полная атрибуция изменения.

Другие источники показывают альтернативы, работавшие на практике. Internet Society сообщила, что Moov Africa Ivory Coast сохранила доступ через кабель Maroc Telecom West Africa, маршрут которого отличался от маршрутов четырёх повреждённых систем. [10] Этот случай важен, поскольку демонстрирует нечто большее, чем установленную инфраструктуру. Он показывает сеть, сохранившую доступ по маршруту, который оставался физически доступным и операционно пригодным. Контраст с более серьёзно затронутыми сетями поддерживает вывод о разнообразии маршрутов, но не доказывает, что у каждого провайдера были те же возможности или ёмкость.

В квартальном обзоре Cloudflare сообщалось о перетоках трафика в сторону ёмкости Equiano и Maroc Telecom West Africa по мере реакции сетей. [12] Эти сообщения указывают, что неповреждённые системы принимали трафик, но открытые данные не позволяют полностью отделить заранее законтрактованную ёмкость от экстренно приобретённой или количественно оценить свободный запас на каждом маршруте. Сообщённый рост на одной системе не следует воспринимать как независимо проверенное региональное измерение ёмкости. Можно заключить, что альтернативные подводные маршруты пропустили значимый переключённый спрос.

Angola Cables дала ещё один конкретный пример маршрута. Компания заявила, что использовала неповреждённую ёмкость SACS для перенаправления международного трафика через Южную Атлантику в Бразилию и далее в сторону США и Европы. [15] Такой обход может быть длиннее прямого северного маршрута, но его ценность заключалась в принадлежности к другой физической и межсетевой цепочке. На момент заявления оператор также сказал, что причина нарушения связи в Западной Африке не подтверждена, что подчёркивает необходимость отделять действия по восстановлению от утверждений о физической причине.

Bayobab, входящая в MTN Group, заявила, что перенаправляла трафик и включала дополнительные каналы, координируя ремонтные работы после повреждений четырёх систем. [13] Это подтверждает существование мер смягчения на уровне операторов, но не раскрывает журналы маршрутов, сроки восстановления клиентов, зарезервированную ёмкость или перегрузку на заменяющих каналах. Заявление оператора может подтвердить действие, оставляя неизвестными качество и распределение полученной услуги.

Трансграничные наземные пути были особенно важны для стран без прямого доступа к каждой системе приземления. Анализ Internet Society описывает наземное резервирование и зависимость внутренних рынков от маршрутов через прибрежных соседей. [9] Такая связность может диверсифицировать доступ к кабелям, но может и создавать новые общие зависимости. Две вышестоящие услуги, продаваемые под разными названиями, могут сходиться на одном и том же прибрежном пункте приземления, наземном волокне, пограничном переходе или транзитной сети. Поэтому коммерческое разнообразие поставщиков не эквивалентно сквозному разнообразию маршрутов.

Емкость — последнее ограничение. Технически достижимый альтернативный маршрут может сохранять обмен сообщениями и базовый просмотр веб-страниц, но не выдержать полную трафиковую нагрузку, ранее проходившую через несколько высокоёмких систем. Перегрузка может вызывать задержки, потерю пакетов, тайм-ауты и отказы приложений, даже когда BGP продолжает анонсировать достижимость. Последующая координация NCA с банками и коммунальными предприятиями происходила именно потому, что ограниченная пропускная способность имела последствия для услуг, которым нужна не просто существующая возможность маршрута. [5]

Таким образом, операционный тест транзитного разнообразия состоит из нескольких частей: физически сохранившийся маршрут, коммерческое право его использования, работающий канал, приемлемая маршрутная политика, достаточная ёмкость и свидетельства того, что трафик действительно пошёл. Записи 2024 года дают примеры, где эта цепочка сработала, и места, где услуги оставались ограниченными. Они не поддерживают универсальное суждение о каком-либо операторе, поскольку договорные, маршрутные и загрузочные данные, необходимые для такого суждения, не являются публичными.

Контрольный вопрос третий: что могли сохранить локальные точки обмена и кэширование?

Реакция Ганы иллюстрирует и ценность, и пределы локализации. NCA сообщила, что операторы получили ёмкость от неповреждённых региональных партнёров и полагались на локальные кэши, включая контент, доступный на Ghana Internet Exchange. [3] Локальный контент мог оставаться достижимым без прохождения через повреждённые международные системы, если сеть пользователя, контентная сеть и инфраструктура точки обмена сохраняли связность. Это снижало спрос на дефицитные международные каналы и сохраняло доступ к подходящим услугам.

Точка обмена интернет-трафиком — это место, где участвующие сети могут обмениваться трафиком через двусторонние сессии или общие механизмы route-сервера. RFC 7947 объясняет типовые операции BGP на точках обмена, включая различие между двусторонним пирингом и услугой route-сервера. [19] Он не устанавливает конфигурацию GIX, AIX или любой участвующей сети в марте 2024 года. Открытые источники не раскрывают каждую сессию, анонсируемый префикс, состояние наполнения кэша или политику участников на этих точках обмена.

Эта граница принципиальна. IXP не создаёт международный путь. Если запрашиваемая услуга, конечная точка аутентификации, платёжный процессор, программная зависимость или авторитетная система размещены за рубежом, одна лишь локальная точка обмена не может обеспечить к ним доступ. Кэш может обслуживать объекты, уже присутствующие в рамках его правил работы, но не может заменить каждое динамическое приложение. Локальный пиринг сокращает избыточную международную перевозку трафика; он не устраняет международную зависимость.

Обновление NCA о непрерывности показывает, почему эти различия имели значение за пределами телекоммуникационного сектора. Ведомство созвало банки, платёжные и фондовые учреждения, предприятия водоснабжения и электроснабжения, мобильных операторов, кабельных провайдеров, GIX и Accra Internet Exchange, поскольку ограниченная пропускная способность влияла на банковские операции и цифровые коммунальные платежи. Участники рассматривали приоритизацию ограниченной ёмкости данных для критически важных услуг и рекомендовали больше локального хостинга и участия в точках обмена.

[5] Это были задокументированные меры по обеспечению непрерывности, а не доказательство того, что каждое учреждение использовало точку обмена или что локальный хостинг предотвратил бы все сбои.

Тем не менее локализация — это материальный механизм контроля. Если публичный сервис размещает свой внутренний портал, зависимость для идентификации, платёжный компонент и авторитетный DNS через схемы, достижимые внутри страны, он может сократить число международных каналов, необходимых для транзакции. Если локальна только главная страница, а ключевые API и аутентификация остаются за рубежом, сервис может выглядеть присутствующим, но отказывать при использовании. Поэтому эффективное тестирование непрерывности должно отслеживать полные зависимости приложений, а не подсчитывать локально размещённые страницы.

Участие в точке обмена также меняет распределение дефицитной ёмкости. Трафик, остающийся внутри страны, освобождает международные каналы для услуг, которым они действительно нужны. Во время сбоя нескольких кабелей это может повысить практическую ценность каждого оставшегося гигабита. Выгода зависит от участия, принятия маршрутов, наличия контента, ёмкости портов и коммутационной инфраструктуры, а также состояния внутренних магистралей. Её следует оценивать по данным о трафике и услугах, а не предполагать из факта существования точки обмена.

В целях подотчётности IXP и контентные сети могут документировать доступность коммутационной инфраструктуры, состояние route-сервера, агрегированные изменения трафика, доступность кэша и коммуникацию об инциденте в соответствующих пределах конфиденциальности. Участвующие сети могут хранить записи о состоянии сессий и изменениях маршрутов. Критически важные учреждения могут фиксировать, какие зависимости оставались локальными, а какие проходили через международный транзит.

Эти записи показали бы, сработала ли локализация как уровень непрерывности, не подразумевая, что точка обмена несёт ответственность за сбои за пределами своей операционной границы.

Таким образом, мартовский инцидент поддерживает точный вывод: GIX, AIX, кэши и локальный хостинг могли сохранить или ускорить часть внутреннего доступа, а их использование снизило давление на повреждённую международную связность. Они не могли заменить утраченную ёмкость четырёх крупных систем. Рассматривать локализацию как один из уровней более широкой конструкции устойчивости — согласуется со свидетельствами; представлять её как полное решение — нет.

Контрольный вопрос четвёртый: как управлялись восстановление и физический ремонт?

Реагирование на повреждение подводной части началось с неопределённости. В ранней серии обновлений регулятор Ганы передавал предварительные местоположения повреждений, которые менялись по мере уточнения информации операторами. К 16 марта, согласно данным NCA, операторы дистанционно оценили местоположение повреждений, готовили ремонтные суда и первоначально ожидали, что восстановление займёт не менее пяти недель после отправки судна. [4] Дистанционная локализация была вводными для планирования, а не завершённым осмотром морского дна.

Параллельно шли работы по временному восстановлению связности. Операторы искали неповреждённую ёмкость, перенаправляли трафик, включали каналы и полагались на локальные точки обмена и кэши. [3][13][15] Эти меры могли улучшить доступность для клиентов, пока кабели оставались физически разорванными. Их успех следует оценивать по данным о трафике, маршрутах, перегрузке и приложениях, а не выводить из более позднего объявления о ремонте.

В обновлении NCA от 28 марта описывались две схемы ремонта. SAT-3 должна была использовать судно, выходящее из Кейптауна. ACE, WACS и MainOne совместно заказали другое судно, выходящее из Лондона. Регулятор опубликовал предварительные графики по каждому кабелю, подчеркнув практические зависимости, связанные с мобилизацией судов и ремонтом. [6] Эти даты были прогнозами, а не свидетельствами завершения.

Совместный заказ работ может сократить дублирующую мобилизацию и скоординировать действия в общем регионе, но он также требует решений о приоритетах между системами. Полезная запись подотчётности показывала бы, когда каждый оператор подтвердил повреждение, запросил обслуживание, получил разрешения и запчасти, мобилизовал судно, прибыл на место работ, завершил осмотр и сращивание, протестировал кабель и вернул его в штатную эксплуатацию. Открытые источники дают лишь часть этой последовательности.

Итоговое обновление NCA даёт наиболее сильную запись о завершении работ. В нём сообщалось, что SAT-3 отремонтирована 6 апреля, ACE — 17 апреля, WACS — 29 апреля, а MainOne — 8 мая. [7] Эти даты должны оставаться привязанными к конкретным кабелям. Они показывают ремонтную кампанию, продлившуюся более месяца после первоначального регионального сбоя, и не указывают единую дату восстановления для всех услуг.

MainOne отдельно подтвердила завершение ремонта и возврат к штатной эксплуатации. Компания также сообщила, что предоставляла восстановительную ёмкость и перенаправляла трафик во время сбоя. [14] Две части этого заявления описывают разные временные шкалы: промежуточную непрерывность за счёт другой ёмкости и последующее восстановление повреждённой системы. Объявление MainOne не содержит посуточных записей об обслуживании клиентов и независимо не устанавливает, когда восстановилась каждая зависимая сеть.

В итоговом отчёте регулятора также зафиксированы директивы о резервировании после инцидента. [7] Их существование показывает, что планирование непрерывности оставалось активным предметом регулирования после физического ремонта. Открытые данные не устанавливают, были ли все директивы реализованы, профинансированы, отработаны и независимо протестированы. Объявление о политике не следует считать устойчивым исправлением, пока технические свидетельства не покажут изменённые зависимости и успешные учения по отказу.

Таким образом, управление ремонтом — это не только скорость судна. Оно включает качество мониторинга, локализацию повреждений, соглашения об обслуживании, доступ к судам, запчасти, разрешения, координацию нескольких владельцев, коммуникацию и тестирование после ремонта. Оно также включает схемы восстановления, которые пропускают трафик в период, пока подводная часть не отремонтирована. Устойчивая система нуждается в обоих элементах: быстром доступе к запасной ёмкости для немедленной непрерывности и достоверной способности к физическому ремонту для долгосрочного восстановления.

Контрольный вопрос пятый: какие доказательства должен сохранять каждый субъект контроля?

Инцидент разделил практический контроль между несколькими участниками. Ни один участник не контролировал одновременно морские маршруты, международные каналы, политику BGP, участие в точках обмена, локальный хостинг приложений, регуляторную координацию и ремонт судами. Подотчётность должна следовать этим границам. Она должна спрашивать, что знал каждый субъект контроля, что он мог изменить, какое заявление о непрерывности он сделал и какие современные свидетельства могут проверить исполнение.

Для операторов кабельных систем ключевой вопрос — анализировалось ли разнообразие маршрутов в масштабе общих угроз. Полезная запись указывала бы, где сходятся системы, какие физические и операционные допущения поддерживают приемлемое разнесение и какие альтернативы остаются при утрате общего коридора. Точные координаты не обязательно публиковать широко. Регулятор или квалифицированный оценщик может проверить чувствительные материалы, опубликовав ограниченный вывод о том, был ли выявлен и смягчён общий фактор риска.

Операторы также должны хранить хронологию событий по каждому кабелю. Метки времени аварийных сигналов, результаты дистанционных тестов, оценки местоположения повреждений, сообщения с органом по обслуживанию, запросы судов, зависимость от разрешений, время прибытия, этапы ремонта и оптические приёмочные испытания позволили бы отличить неизбежную физическую задержку от организационной. Рассмотренные источники подтверждают координацию и итоговые даты, но не раскрывают эту полную цепочку. Её отсутствие в публичных материалах — пробел в доказательствах, а не признак нарушения.

Для операторов связи и сетей доступа доказательства непрерывности начинаются до инцидента. Договоры на запасную ёмкость должны указывать провайдера, физический маршрут там, где он известен, зарезервированную ёмкость, условия активации, срок поставки и то, зависят ли два поставщика в конечном счёте от одного кабеля или инфраструктуры приземления. Во время инцидента журналы активации каналов и измерения использования должны показывать, какая ёмкость стала доступной, когда она пропускала трафик и где сохранялась перегрузка.

Записи BGP и данные о трафике не менее важны. Сети должны сохранять соответствующие анонсы и отзывы маршрутов, изменения сессий, изменения политики, перетоки трафика и решения об откате. Эти записи могут показать, был ли запасной канал технически достижим и принят, не подразумевая, что каждое изменение политики должно быть публичным. Агрегированные или независимо оценённые данные могут защитить информацию о безопасности и коммерции, сохраняя при этом возможность проверить результат обеспечения непрерывности.

Матрица восстановления должна различать клиентов, услуги и уровни. Она могла бы фиксировать, когда вернулась базовая IP-доступность, когда ёмкость пересекла согласованный порог, когда критически важные приложения стали работоспособными и когда возобновилась штатная маршрутизация. Это позволяет избежать объявления всей сети восстановленной из-за возврата одного префикса или роста одного графика трафика. Она также показывает, распределялась ли дефицитная ёмкость в соответствии с задокументированными приоритетами.

Для IXP и контентных сетей доказательства должны сосредоточиваться на их фактической границе. Аптайм инфраструктуры, состояние route-сервера, доступность двусторонних сессий, объём трафика, статус кэш-сервисов и сообщения участникам могут показать, что оставалось локальным. Эти записи не следует использовать для возложения на точку обмена ответственности за зарубежный контент или отсутствующий маршрут участника. Они должны показывать, сколько избыточного международного трафика было снято и какие локальные услуги оставались достижимыми.

Регуляторы могут соединять эти области доказательств, не делая вид, что управляют сетями. Обновления Ганы документировали координацию, ограничения ёмкости, заботы о критически важных услугах, схемы работ судов, даты завершения и меры резервирования. [2][4][5][6][7] Более сильная запись после инцидента связывала бы каждую директиву с ответственным владельцем, датой завершения, техническим тестом и независимым результатом. Она также сохраняла бы чёткое различие между конфиденциальными доказательствами, изученными регулятором, и выводами, подтверждёнными открыто опубликованными материалами.

Критически важные учреждения имеют собственную поверхность контроля. Банк или коммунальное предприятие могут покупать услуги двух операторов, но при этом зависеть от одного и того же международного маршрута, зарубежного облачного региона, провайдера идентификации, DNS-сервиса или платёжного интерфейса. Картирование зависимостей и реалистичные учения могут выявить эту сходимость. Межсекторальная встреча NCA показывает, что устойчивость кабелей — это также вопрос непрерывности приложений, но публичные данные не раскрывают архитектуру или восстановление каждого учреждения. [5]

Качество доказательств имеет значение, потому что многие заявления о непрерывности легко сделать после события. Карта маршрутов может показывать номинальное разнообразие; договор — теоретическую ёмкость; таблица BGP — достижимость; график точки обмена — локальный трафик; уведомление о ремонте — физическое завершение. Ни одно из них по отдельности не доказывает сквозную непрерывность услуг. Наиболее сильная картина связывает их по времени: произошло повреждение, изменился маршрут, перераспределилась ёмкость, развивалась перегрузка, восстановились услуги, судно отремонтировало систему, а позже были проведены учения по устранению последствий.

Распределённый контроль — это не распределённая вина

Инцидент породил множество вопросов подотчётности, не установив противоправных действий. Владельцы кабелей контролировали аспекты проектирования маршрутов, мониторинга, схем обслуживания, локализации повреждений и ремонта. Операторы связи и сети доступа контролировали выбор поставщиков, запасные каналы, маршрутную политику, управление трафиком и коммуникацию с клиентами. Точки обмена и контентные сети контролировали локальное межсетевое взаимодействие и доступность кэшей в границах своих участников. Регуляторы контролировали координацию и требования к доказательствам.

Критически важные учреждения контролировали часть решений об операторах, хостинге и зависимостях приложений.

Эти роли указывают, где следует искать доказательства. Они не устанавливают халатности, саботажа, злого умысла или конкретного юридического нарушения по данному событию. Открытые источники не показывают полный объём информации, доступной каждому участнику до инцидента, договорных обязательств между ними, инженерных ограничений при выборе маршрутов или разумности каждого ответа в соответствии с применимым правом. Технический анализ подотчётности не должен превращать контроль в вину без этих доказательств.

Та же осторожность относится и к сравнениям между странами. Страна с более заметными потерями трафика могла иметь меньше независимых кабельных маршрутов, меньший запас ёмкости, иной состав трафика или большую зависимость от одного провайдера. Страна, восстановившаяся быстрее, могла иметь заранее законтрактованную ёмкость, благоприятные межсетевые соединения или меньший спрос на альтернативном пути. Публичные графики трафика не изолируют все эти переменные. Они являются свидетельством результата, а не полным причинным счётом.

Продолжавшийся доступ Moov Africa Ivory Coast через Maroc Telecom West Africa — особенно полезный контрпример, поскольку он демонстрирует, что иная геометрия маршрута и пригодная связность имели значение. [10] Он не доказывает, что каждый другой провайдер мог приобрести ту же услугу на тех же условиях или активировать её вовремя. Обход через SACS компании Angola Cables аналогично демонстрирует ценность отдельного международного направления, не доказывая, что он подходил для каждого затронутого потока. [15]

Поэтому подотчётность должна быть соразмерна контролю и доказательствам. От кабельного оператора можно потребовать продемонстрировать анализ общего фактора риска. От оператора связи — готовность запасной ёмкости и поведение маршрутизации. От точки обмена — доступность локальной инфраструктуры. От регулятора — доведение до конца директив по устойчивости. От банка или коммунального предприятия — непрерывность приложений. Каждый вопрос значим без предопределения ответа.

Такой подход также позволяет не превращать рекомендации в ретроспективные обязанности. Большее разнообразие маршрутов, локальный хостинг, участие в точках обмена и протестированная ёмкость могут быть разумными ответами на событие. Был ли какой-либо конкретный участник юридически обязан внедрить их до марта 2024 года — отдельный вопрос, требующий применимого права, договоров, стандартов и фактов, которые здесь не установлены. Публичные данные поддерживают анализ контроля и требование проверяемого исправления, а не юридический вердикт.

Неизвестные факторы, ограничивающие более сильные выводы

Несколько существенных вопросов остаются нерешёнными в рассмотренных открытых документах:

• Точное время и последовательность физических повреждений ACE, MainOne, SAT-3 и WACS раскрыты непоследовательно.
• Полные координаты кабелей, расстояния между ними, условия заглубления, история обслуживания и технические данные о состоянии морского дна не являются публичными.
• Поставщиковые BGP-обновления, решения о выборе маршрутов, активации каналов и измерения перегрузки остаются недоступными.
• Объём заранее законтрактованной, зарезервированной или экстренно приобретённой восстановительной ёмкости на каждом альтернативном маршруте неизвестен.
• Простои на уровне клиентов, восстановление приложений и полные экономические потери по 13 пострадавшим странам не установлены.
• Доказательства не устанавливают халатность, саботаж, злой умысел или юридическое нарушение со стороны оператора по данному событию.
• Публичные материалы не доказывают, что все меры резервирования после инцидента реализованы и независимо отработаны.

Эти пробелы препятствуют нескольким соблазнительным, но необоснованным выводам. Вывод о пересечении каньона нельзя расширять до точного геофизического механизма. График восстановления трафика не может установить полное восстановление услуг. Заявление оператора о перенаправлении маршрутов не может установить достаточную ёмкость для каждого клиента. Отзыв префикса не может раскрыть всю политику BGP сети. Директива регулятора не может установить устойчивое исправление.

Пробелы также определяют практическую повестку раскрытия. Властям не обязательно публиковать чувствительную топологию или договоры полностью. Они могут сообщать, являются ли альтернативные маршруты физически независимыми в существенных точках риска, существует ли зарезервированная восстановительная ёмкость, как быстро её можно активировать, прошли ли успешно реалистичные учения и могут ли критически важные услуги работать в условиях ограниченной международной связности. Независимая проверка может дать уверенность без раскрытия операционных секретов.

Полный региональный итог экономических потерь потребовал бы согласованных данных об услугах, клиентах и секторах по всем пострадавшим странам. Источники не предоставляют такого набора данных. Последствия для банковских операций и коммунальных платежей в Гане задокументированы, как и существенные нарушения трафика на уровне стран, но их экстраполяция в единый денежный итог вышла бы за пределы доказательств. [5][8][11][16] Отсутствие итоговой суммы не должно скрывать серьёзность инцидента; оно должно предотвращать ложную точность.

Неопределённость причины также не стирает урок об устойчивости. Даже без полного технического отчёта о состоянии морского дна четыре важные системы стали недоступными или деградировали вблизи общего коридора, а сети с пригодными альтернативами получили разные результаты непрерывности. Этого достаточно, чтобы проверить заявления о разнообразии маршрутов. Этого недостаточно, чтобы приписать вину за физическое повреждение.

Чем этот случай отличается от соседних инцидентов с кабелями и маршрутизацией

Событие 2024 года в Западной Африке не следует сводить к другим известным схемам сбоев. Кризис Тонги в 2022 году был связан со страной, зависящей от единственного международного кабеля, вулканическими повреждениями и логистикой ремонта национального масштаба. Центральный вопрос там заключался в том, как единственный международный маршрут и сложный физический ремонт сформировали национальную изоляцию. В Западной Африке в 2024 году были затронуты несколько названных транснациональных систем и региональный общий коридор, при этом непрерывность варьировалась в зависимости от альтернативных кабелей, транзита и наземных вариантов.

Сбой на Шетландских островах в 2022 году включал два островных маршрута, нарушенных в короткий период, и результаты услуг, зависевшие от доступа конкретных провайдеров к сохранившейся ёмкости. Этот случай полезен для понимания доступа к оставшимся маршрутам, но островная топология и ограниченная среда провайдеров отличаются от региона из 13 стран, связанного множеством прибрежных и внутренних сетей.

Инцидент 2018 года с Google и MainOne касался утечки BGP-маршрута и её принятия вышестоящим оператором. Основной плоскостью отказа была маршрутная информация, а не одновременное или почти одновременное физическое повреждение четырёх подводных систем. BGP остаётся важным в анализе 2024 года, поскольку запасная достижимость должна была работать, но исходным шоком ёмкости был физический.

Таким образом, ограниченный предмет здесь отличителен: несколько транснациональных систем разделяли существенный западноафриканский коридор, а возникшие результаты услуг вскрыли связь между физическим разнесением, законтрактованным транзитом, достижимостью BGP, ёмкостью каналов, трансграничными наземными путями, участием в точках обмена, локальным кэшированием и скоординированным ремонтом. Удаление этих сетевых механизмов контроля оставило бы лишь общий рассказ о повреждении кабелей и стёрло бы доказательства, объясняющие различия в непрерывности.

Операционный тест регионального разнообразия маршрутов

Доказательства поддерживают тест из шести частей. Во-первых, альтернативы должны быть физически достаточно независимыми, чтобы одна правдоподобная угроза не устранила их все. Это требует анализа морских коридоров, подходов к пунктам приземления, наземных магистралей, объектов, энергоснабжения и ремонтных зависимостей. Независимость не обязана быть абсолютной, но общая подверженность риску должна быть известна и ограничена.

Во-вторых, альтернативная ёмкость должна быть коммерчески доступна. Кабель, показанный на карте, не является ресурсом непрерывности для сети, у которой нет договора, кросс-коннекта, договорённости с поставщиком или механизма экстренной активации. Доказательства должны различать заранее подготовленную ёмкость и ёмкость, приобретённую после инцидента, поскольку они подразумевают разные сроки восстановления и степень уверенности.

В-третьих, маршрут должен быть технически достижим. Сессии BGP, анонсы префиксов, фильтры, предпочтения и операционные меры защиты должны позволять трафику двигаться, не создавая нового инцидента маршрутизации. Наблюдение AS37282 показывает, почему этот уровень важен, даже если оно не раскрывает полную историю маршрутов. [11][17][18]

В-четвёртых, альтернатива должна обладать достаточной ёмкостью при реалистичном спросе. Одна лишь достижимость может сосуществовать с серьёзной перегрузкой. Операторы должны тестировать аварийные нагрузки, определять приоритетные услуги и измерять потери пакетов, задержку, утилизацию и производительность приложений. Реакция Ганы на ограниченную пропускную способность демонстрирует разницу между наличием некоторой связности и достаточной связности для критически важных транзакций. [5]

В-пятых, межсетевое взаимодействие и локализация должны работать в своих реальных границах. Трансграничные наземные пути могут соединять внутренние сети с неповреждёнными пунктами приземления. IXP и кэши могут сохранять подходящий локальный трафик и освобождать международную ёмкость для удалённых зависимостей. Ни тому, ни другому нельзя приписывать заслугу, пока данные о маршрутах, трафике и услугах не покажут, что они сработали во время отказа. [3][9][19]

В-шестых, конструкция должна быть отработана. План непрерывности становится заслуживающим доверия, когда каналы активируются за измеренное время, маршруты сходятся безопасно, ёмкость пропускает реалистичный трафик, критически важные приложения работают, а ответственные команды сохраняют доказательства. Исправление после инцидента становится устойчивым, только когда более поздний тест демонстрирует, что граф зависимостей изменился или что сохранившиеся альтернативы могут поглотить ожидаемую нагрузку.

Сбой в Западной Африке в марте 2024 года достиг порога регионального теста подотчётности, поскольку он вскрыл каждое звено этой цепочки. Четыре названия кабелей не гарантировали четыре независимых пути непрерывности. Некоторые сети получили доступ к неповреждённым системам, часть трафика ушла по отдельным международным направлениям, локальная точка обмена сохранила часть достижимого набора услуг, а физический ремонт шёл по отдельным для каждого кабеля графикам. [7][10][12][13][14][15]

Итоговый урок узок, но значим. Региональное разнообразие маршрутов существует только тогда, когда альтернативы переживают то же событие, могут быть куплены или активированы, остаются достижимыми через маршрутную политику, дают достаточную ёмкость, соединяются через работающие трансграничные и обменные механизмы и успешно действуют в реалистичной эксплуатации. Открытые свидетельства показывают, что эти механизмы контроля существенно повлияли на исход 2024 года. Они не устанавливают халатность и не доказывают, что исправление завершено.

Следующий шаг подотчётности — не очередной подсчёт кабелей, а проверяемые доказательства того, что альтернативные маршруты региона теперь работают как независимые системы непрерывности.

Источники

1. [1]Национальное управление по связи Ганы — «Повреждения подводных кабелей сказываются на сервисах передачи данных»
2. [2]Национальное управление по связи Ганы — Обновление 2
3. [3]Национальное управление по связи Ганы — Обновление 3
4. [4]Национальное управление по связи Ганы — Обновление 4
5. [5]Национальное управление по связи Ганы — Обновление 5
6. [6]Национальное управление по связи Ганы — Обновление 6
7. [7]Национальное управление по связи Ганы — Обновление 7: ремонтные работы на всех повреждениях подводных кабелей завершены по состоянию на 8 мая 2024 года — NCA
8. [8]Internet Society Pulse — «Крупные сбои интернета в Западной и Южной Африке»
9. [9]Internet Society — «Отчёт о сбое подводных кабелей в Западной Африке в 2024 году»
10. [10]Internet Society Pulse — «Роль Марокко в региональной связности»
11. [11]Cloudflare — «Повреждения подводных кабелей вызвали нарушения интернета по всей Африке»
12. [12]Cloudflare — «Сводка нарушений интернета за первый квартал 2024 года»
13. [13]MTN Group и Bayobab — «Нарушения связности из-за повреждения подводного кабеля»
14. [14]MainOne — «Успешный ремонт подводного кабеля»
15. [15]Angola Cables — «Нарушение работы международных подводных кабелей у побережья Западной Африки»
16. [16]Associated Press — «Сообщается о нарушениях интернета по всей Африке»
17. [17]RFC 4271 — Протокол Border Gateway 4
18. [18]RFC 7454 — Операции и безопасность BGP
19. [19]RFC 7947 — BGP-route-сервер точки обмена интернет-трафиком