Сергей Виноградов, «Датарк»: георезервирование ЦОД становится условием обеспечения доступности сервисов

8 октября ЦОД «Яндекса» в Сасово Рязанской области был серьёзно повреждён после атаки БПЛА и полностью остановлен. На следующий день пострадал дата-центр компании в Калуге, где часть инфраструктуры вышла из строя. В ночь на 11 октября был атакован ЦОД во Владимире, его работа также остановилась. Несмотря на потерю отдельных площадок, значительная часть сервисов продолжила работу, хотя перебоев избежать не удалось. Буквально через несколько дней, в ночь на 14 октября, атаке подвергся ЦОД «Сбера» в Балаково (Саратовская область). По словам первого заместителя председателя правления «Сбербанка» Александра Ведяхина, системы и сервисы банка не пострадали и работают штатно. 18 октября под ударом оказался и дата-центр VK в Ленобласти. Компания сообщила о штатной доступности сервисов, не раскрыв масштабы возможных повреждений инфраструктуры.

Для всех игроков рынка и компаний, владеющих собственными вычислительными мощностями, вопрос о физической защите критической инфраструктуры перешел из теоретической плоскости в практическую. Основное внимание при проектировании и строительстве ЦОД до сих пор уделялось отказоустойчивости инженерных систем и времени восстановления работоспособности. При проектировании ЦОД традиционно учитывались сценарии крупных пожаров, природных катастроф, отказа инженерных систем или аварии энергоснабжения. Однако атаки БПЛА представляют принципиально новые угрозы — поражение взрывной волной, осколками и затем возгоранием в условиях разрушенных противопожарных барьеров и вышедших из строя систем пожаротушения при сохраняющихся рисках повторных атак. Атаки на операторов связи, которые обеспечивают каналы для ЦОД, тоже повышают риск недоступности сервисов.

Много лет стационарные ЦОД в капитальных зданиях представлялись максимально надежными решениями и до сих пор они остаются основой инфраструктуры там, где требуется сосредоточить значительные вычислительные мощности. Эффект масштаба позволял вывести энергоэффективность и устойчивость инфраструктуры на недосягаемые прежде уровни, в том числе благодаря таким возможностям, как локальная генерация, централизованные сервисные службы и прочее.

Риск возникает, когда критичные процессы зависят от одной площадки . В этом случае владельцам ИТ-инфраструктуры, в том числе субъектам КИИ, необходимо понимать, какую часть мощностей они потеряют вместе с площадкой, где смогут продолжить работу и сколько времени потребуется на восстановление.

Таким образом, физические угрозы — не единственный повод пересмотреть подходы к созданию отказоустойчивой инфраструктуры. Длительные сроки строительства, ограниченность доступных мощностей и высокие требования для систем искусственного интеллекта выводят риски на новый уровень.

Дефицит мощностей усиливает проблему

Сегодня рынок одновременно сталкивается с ростом вычислительных потребностей, ограниченными возможностями быстрого ввода новых мощностей и изменением требований к инженерным системам.

По данным CNews Analytics, в 2025 году коммерческие операторы ЦОД ввели 5,3 тысячи новых стойко-мест. Это почти втрое меньше, чем годом ранее. Совокупная емкость 30 крупнейших операторов достигла 78,7 тыс. стойко-мест, увеличившись за год на 7%.

При этом важно не забывать, что капитальное строительство при всех его преимуществах достаточно длительный процесс. От начала проекта до ввода объекта в эксплуатацию может пройти от 18 до 36 месяцев. За это время может измениться не только первоначальный запрос заказчика и рынка, но и нормативная документация, требования к вычислительному оборудованию и системам охлаждения.

Последний фактор особенно критичен в проектах для искусственного интеллекта и высокопроизводительных вычислений (HPC). Нагрузки в 30–50 кВт на стойку уже сейчас становятся ориентиром для ряда новых объектов, а отдельные конфигурации требуют 80–100 кВт и более. При такой плотности мощности возрастает роль системы охлаждения. Возможность работать с такой плотностью мощности зависит не только от серверного оборудования, но и от выбранной системы охлаждения. Так, в ходе недавних приёмо-сдаточных испытаний модульного ЦОД «Датарк» была подтверждена работа с нагрузкой свыше 50 кВт на стойку с использованием системы охлаждения по типу «чиллер — фанкойл». Для еще более высоких нагрузок могут применяться схемы с прямым жидкостным охлаждением (DLC). В результате усложняется проектирование ЦОД, рассчитанных на долгосрочный прогноз потребления: по мере роста нагрузки их инженерная инфраструктура должна сохранять возможность адаптации.

Одним из возможных ответов на эти вызовы становится «антихрупкая» архитектура. Ее задача не только в том, чтобы сохранить работоспособность систем при потере отдельной площадки, но и в способности быстро адаптироваться к изменяющимся условиям: возможность перераспределять вычислительные ресурсы, масштабировать резервные мощности и повышать устойчивость системы на основе анализа произошедших инцидентов. Георезервирование формирует основу, а технологии модульных ЦОД позволяют гибко создавать и масштабировать вычислительные мощности по мере необходимости.

Сетецентричность как основа антихрупкой модели

Инфраструктуру стоит строить по принципу сетецентричности: нагрузка распределяется между несколькими площадками и каналами, и потеря одного элемента не останавливает работу . Система управления такой инфраструктурой также должна быть децентрализована и в значительной степени автоматизирована.

Одним из наиболее важных аспектов сетецентричности остается геораспределение ЦОД. Оптимальной является модель «2+1»: две основные площадки в разных локациях и резервная мощность, способная принять критическую нагрузку при потере одной из них. Эта схема, конечно же, не является единственной, ведь количество площадок и объем резервирования определяются исходя из критичности ИТ-процессов, доступных ресурсов и требований к восстановлению. Надежность в таком случае определяется уже не отдельным зданием, а всей сетью.

Ключевыми параметрами здесь становятся RTO (допустимое время восстановления работы сервиса) и RPO (допустимый объём потери данных, определяемый временным интервалом). Требования к этим показателям могут существенно различаться в зависимости от отрасли и назначения системы. Важно также разделять классы нагрузки. Продуктивные сервисы и реплицируемые данные переносятся между площадками. Тренировочные ИИ-кластеры требуют более плотного интерконнекта, поэтому их обычно не распределяют между удаленными площадками как единый синхронный кластер. Для таких нагрузок важнее заранее определить приоритет и допустимый срок восстановления, чем пытаться обеспечить мгновенное переключение.

Именно в этом смысле можно говорить об антихрупкой архитектуре: возможный отказ учитывается еще при проектировании, а не становится неожиданностью, к которой приходится адаптироваться после инцидента. При этом каждый форс-мажорный случай является основанием для пересмотра сценариев резервирования, перераспределения ресурсов и устранения выявленных уязвимостей.

Физическая защита остается частью архитектуры

Географическое распределение мощностей не отменяет необходимости защищать сами площадки. Например, уже сейчас среди отраслевых экспертов активно обсуждаются подземное и заглубленное размещение. В таких случаях проектирование и строительство монолитной подземной части для сокращения сроков можно сочетать с изготовлением и поставкой модулей ЦОД полной заводской готовности. По оценкам Датарк, при подобном подходе интервал между завершением работ и запуском инженерной инфраструктуры будет не более одного-двух месяцев.

Также существуют варианты с усиленными оболочками, защитными сетками и пассивными экранирующими конструкциями. Маскировочные элементы могут дополнять эти решения, снижая заметность объекта. В том числе такие меры рассматриваются в контексте угроз, связанных с атаками БПЛА, хотя ни одна из них сама по себе не гарантирует полной защиты.

При этом стоит помнить, что защитная оболочка не поможет, если внешние системы электроснабжения и связи будут выведены из строя. Поэтому значение имеют не только конструкция, но и защищенность всего инженерного контура, автономия и запас энергоресурсов. Совокупность этих факторов позволяет поддерживать работу в течение расчетного времени.

Еще одним из преимуществ модульного подхода в контексте «антихрупкости» является ограничение локальных повреждений. Если блоки инженерно обособлены и зарезервированы, то неисправный модуль можно отремонтировать либо заменить без остановки процессов. Благодаря стандартизированным модулям можно получить эффект масштаба и быстро восстанавливать систему.

От защищенного объекта к устойчивой инфраструктуре

Опыт инцидентов последних двух недель заставляет по-новому взглянуть на сам принцип построения инфраструктуры и выбора площадок под размещение ЦОД. Надежность больше нельзя оценивать только по тому, насколько хорошо защищено здание и зарезервированы инженерные системы. Важно и то, что произойдет с процессами, если объект окажется недоступен, где продолжится работа и сколько времени потребуется на восстановление.

Поэтому при создании новой инфраструктуры необходимо исходить из рисков потери связи и управляемости, допустимого времени простоя, объема резервных ресурсов и сценариев потери объектов целиком. Эти параметры должны закладываться еще на этапе проектирования, а не после ввода объектов в эксплуатацию. Именно в этом состоит практический смысл «антихрупкой» модели: не исключить любой отказ, а заранее предусмотреть его последствия и обеспечить возможность продолжить работу и использовать полученный опыт для дальнейшего развития.