Yandex 数据中心遭无人机袭击，其最大俄罗斯园区部分模块停运
乌克兰无人机袭击 Yandex 占地 140 万平方英尺的 Kaluga 园区，令该公司在两天内第二次遭遇数据中心攻击。Yandex 在一份声明中表示，此次 Yandex 数据中心无人机袭击使数个模块完全停运。Yandex 警告称，在评估损失期间，部分服务可能会暂时中断。
10 月 9 日的袭击发生在此前一天 Yandex 的 Sasovo 数据中心下线之后。这一连串事件的重要性超过任何单一事件本身：在约 48 小时内，两处支持云服务和人工智能工作负载的设施受损。
这些袭击考验了分布式云基础设施的基本承诺。运营商将工作负载分散到不同设施，以避免单点故障演变为全系统宕机。然而，当多个地点面临协调一致的实体攻击时，冗余所能提供的保护会大幅减弱。
Yandex 数据中心无人机袭击造成哪些设施停运
已确认的损失范围比部分网络说法更小，但其运营影响依然重大。
Kaluga 遭袭损坏了该设施的部分基础设施，并导致数个数据中心模块完全停止服务。Yandex 未披露受影响模块的数量、所承载的工作负载，或其中部署的设备。
该公司表示，正在评估完整的损失范围。据俄罗斯商业媒体转载的声明称，设施内未出现人员伤亡。
美联社独立报道称，Yandex 已确认设施受损。其报道表示，此次袭击可能扰乱部分服务，但 Yandex 尚未公布完整的客户影响评估。
这一区别很重要。一个停运模块可能代表大量的计算、冷却、供电和网络容量，但并不必然意味着整个园区停止运行。
140 万平方英尺这一数字描述的是规划中的场地面积，而非被摧毁的部分。声称整个园区都已离线的说法，超出了 Yandex 的公开声明范围。
Kaluga 围绕模块化建设理念设计。每个模块包含服务器机房和配套系统，可作为更大园区的一部分运行。这种设计有助于运营商分阶段扩容，并隔离部分设备故障。
实体隔离也能限制某些事故的影响。一个模块内的火灾、电气故障或冷却问题，并不会自动导致所有服务器机房停运。但直接攻击仍可能损坏共享连接，包括配电和网络路径。
Yandex 最初的设计规划包含超过 3,800 个服务器机架。每个机架的规划负载为 15 千瓦。这将使该园区的设备规模远超传统企业服务器机房。
该设施原本还计划同时支持 Yandex 的内部系统与 Yandex Cloud 客户。这些工作负载可能包括存储、虚拟机、托管数据库、应用平台和内部消费者服务。
Data Center Dynamics 报道称，袭击发生后，Yandex Cloud 的状态信息仍显示一个可用区发生断电。该平台还列出了多个可用区 Object Storage 响应时间增加的情况。Object Storage 为文件和应用数据提供可扩展存储。
这些状态信号并不能证明所有问题都源于 Kaluga。此前 Sasovo 的停运已经影响了公司的基础设施。但它们表明，Yandex 正在处理的不只是孤立的建筑损坏。
因此，这次 Yandex 数据中心无人机袭击带来了两个不同的问题。第一个是 Kaluga 有多少容量在实体层面损失；第二个是在另一处主要设施不可用时，Yandex 能否有效重新分配受影响的工作负载。
Yandex 尚未公布足以完整回答这两个问题的细节。对于 Kaluga 遭袭后停运模块的服务器数量、恢复时间表或可量化的服务可用性，目前均无经过验证的信息。
这一验证缺口应当抑制有关俄罗斯互联网被瘫痪的戏剧化说法。但它不应掩盖已经确认的事实：一座战略性云计算园区中的多个模块已停止运行。
为何占地 140 万平方英尺的 Kaluga 园区如此重要
Kaluga 的重要性在于，Yandex 将其设计为旗下最大的 data center，而不只是又一处区域服务器站点。
Yandex 于 2022 年 9 月宣布 Kaluga 项目。该公司将其描述为按总有效机架负载计算的最大 data center，也是俄罗斯最大的设施之一。
规划中的园区占地 13 万平方米，约合 140 万平方英尺。其超过 3,800 个机架预计可支持约 58 兆瓦的综合 IT 负载。
该站点规划的总电力容量为 63 兆瓦。Yandex 表示，这相当于其此前最大数据中心容量的 1.5 倍。这些数据来自公司最初公布的 Kaluga specifications，而非袭击后的现场检查。
这些规格说明了为何失去数个模块会产生重要影响，却不等于整个站点被摧毁。按每个机架 15 千瓦计算，即便一座高度密集的服务器机房也可能代表相当可观的计算能力。
Kaluga 被规划为 Yandex Cloud 的一个可用区。可用区是客户可部署工作负载的、彼此实体隔离的基础设施地点。云架构师使用多个可用区，以降低对单一建筑的依赖。
该公司预计 Kaluga 将在托管客户系统的同时运行自身服务。这样的混合角色提高了运营风险，因为基础设施故障可能同时影响内部应用和外部企业。
Yandex 还将该园区设计为具备高能效。外部空气将在全年为服务器机架降温，从而减少传统机械冷却所需的电力。
该公司预测，年均电能使用效率比值将在 1.07 至 1.09 之间。电能使用效率用于比较设施总耗电量与计算设备耗电量。
接近 1.0 的数值表明，用于冷却和其他开销的电力相对较少。这种高效设计依赖广泛的空气处理设备、电气控制系统和精心管理的环境条件。
这些系统在遭受实体打击后可能反而成为薄弱环节。即使服务器未直接受损，冷却、供电、烟雾控制或供水系统一旦变得不安全，仍可能需要关闭服务器。
Yandex 还宣传了 Kaluga 与高压国家输电网络的直接连接。该公司计划建设私有电缆线路和变电站，以提高连续性并减少对常规配电基础设施的依赖。
这一配置可抵御常见的电网故障，但无法保证当设施本身成为目标时仍能不中断运行。
“俄罗斯最大 data center”这一说法也需要限定。Yandex 将 Kaluga 描述为该国规模最大的设施之一，也是按规划有效机架负载计算的自家最大设施。其他俄罗斯运营商则使用不同标准衡量其设施。
一座园区是否最大，可以按占地面积、装机功率、已运行机架数量或已完成 IT 容量来衡量。公开报道并未证明 Kaluga 在每个类别中均居首位。
但一个更稳妥的结论依然意义重大：Kaluga 代表了超大规模级别的计算基础设施集中部署，旨在以全国性规模承载云服务和内部工作负载。
这种集中化带来效率。Yandex 可以依靠标准化的供电、冷却、安全和网络系统运行数千个机架。但它也创造了一项位置和功能都难以长期隐藏的显著实体资产。
该设施位于莫斯科西南方向 Kaluga 地区的 Grabtsevo 工业园。其规模、电力连接和建设范围可通过公开记录及商业卫星影像观察到。
这种可见性改变了战争期间云基础设施的安全模型。网络安全控制无法阻止携带爆炸物的无人机损坏变电站、服务器机房或冷却设施。
两次袭击使冗余成为核心考验
更深层的冲突，在于云服务的冗余承诺与能够在短时间内对多个实体地点施压的行动之间。
Sasovo 遭袭发生在 Kaluga 遇袭之前。Yandex 表示，早先的事件引发火灾，严重损坏该设施，并迫使其暂停运营。
据报道，Sasovo 内部部署着数以万计的服务器。它还托管 Chervonenkis 和 Lyapunov——两个与 Yandex 人工智能开发相关的系统。
这些系统的存在并不能证明其中任何一台超级计算机已被摧毁。截至报道时，Yandex 尚未公布详细的损失清单。
该公司同样尚未确认 Sasovo 所有受损设备是否均可恢复。在 Kaluga 遭袭前，这一不确定性就已使工作负载恢复变得更为复杂。
Kaluga 随后的袭击，将单一站点的灾难转变为多站点韧性事件。Reuters 将其描述为针对 Yandex 连续数日发生的第二次此类攻击，也是乌克兰基础设施行动的扩大。
乌克兰无人机制造商 Fire Point 表示，针对 Kaluga 使用了 FP-1 单向攻击无人机。单向攻击无人机携带爆炸性载荷，设计上不会返航。
制造商的说法指出了所声称使用的武器和操作方，但并未提供完整且独立验证的战损评估。
在这些袭击发生前，乌克兰已扩大针对俄罗斯境内目标的远程行动。此前的行动重点集中于炼油厂、燃料库、港口、军事设施和物流资产。
数据中心构成了另一类目标。它们承载消费者、企业、公共机构和软件系统所使用的服务。其遭到破坏可能造成数字服务中断，而无需在实体层面切断每一条通信线路。
乌克兰将这些袭击描述为对俄罗斯打击乌克兰数据基础设施的报复。乌克兰总统 Volodymyr Zelensky 表示，他的国家将回应针对其数据中心的攻击。
这一解释确立了所宣称的动机，但并未解决围绕军民两用基础设施的更广泛法律与人道问题。
军民两用站点既支持民用活动，也可能具有军事或国家层面的价值。大型商业云平台可能承载普通企业、政府应用、通信系统和人工智能开发。
公开报道尚未证实 Kaluga 的哪些具体工作负载支持俄罗斯军事行动，也未显示哪些停运模块承载了民用客户数据。
在评估军事价值和民用影响时，这种不确定性非常重要。同一个实体基础设施中，一个云平台可以支持数千个彼此无关的客户。
不过，这一连串事件仍为远在俄罗斯以外的运营商发出了实际警示。地理冗余只有在备份站点保持可用、连通，并已为承接转移负载做好容量准备时才能发挥作用。
一家公司可能会在多个可用区之间复制数据。但如果这些可用区依赖共享的控制系统、拥堵的网络，或缺乏足够的备用算力，应用程序仍可能发生故障。
故障转移，即将工作负载迁移至备用基础设施的过程，也需要在应用层面进行规划。客户必须在危机发生前分布数据库、存储和应用实例。
云服务商无法自动让每个客户应用都具备韧性。一些客户为了降低复杂性、延迟或运营成本，会选择只使用一个可用区。
Yandex 的案例给双方都带来了压力。Yandex 必须在修复实体基础设施的同时维持核心服务运行；其云客户则必须判断自身架构是否经受住了服务商故障的考验。
这正是两次攻击比一次攻击更重要的原因。单次故障会触发冗余机制；连续攻击则检验冗余架构是否具备足够的地理和运营隔离，以维持其可信度。
云韧性存在物理极限
云计算可以在机器之间迁移工作负载，但无法让电力、制冷、网络或替换硬件变得无关紧要。
行业常将云资源描述为具有弹性。客户无需指定单台服务器，便可申请更多计算或存储资源。这种抽象很有用，但底层设备仍然位于实体建筑之中。
每个活跃工作负载都需要处理器、内存、硬盘、交换机、电力和散热能力。当模块消失时，其余基础设施必须承接这些需求，或削减低优先级工作负载。
第一项约束是备用容量。如果健康站点已接近实际承载上限，服务商无法立即迁移所有工作负载。
运营商通常会为故障和需求激增预留容量。公开信息并未披露 Yandex 在攻击前维持了多少备用容量。
第二项约束是数据部署。当其他地点存在最新副本时，复制的数据可以在一个站点被摧毁后存活下来。仍绑定于单一可用区的数据，则需要从备份或受损设备中恢复。
第三项约束是网络容量。重定向用户和迁移大量数据集可能会造成设施之间链路拥堵。即使应用在技术上仍可用，更高的延迟也可能降低其表现。
第四项约束是运营协调。工程师必须隔离不安全设备、检查电力系统、更新路由、确定工作负载优先级，并与客户沟通。
在同时发生的事件中，这些工作会变得更加困难。卡卢加遭袭时，负责萨索沃事件响应的团队本应已经在处理服务恢复工作。
第五项约束是硬件替换。服务器具有标准化特征，但大规模部署需要数千个组件。制裁和出口管制可能使俄罗斯更难获得先进处理器、网络硬件和替换部件。
现在就断言制裁阻止了 Yandex 重建还为时过早。俄罗斯科技公司会使用库存、国产系统、平行进口以及通过中间商采购的设备。
不过，这些渠道仍可能增加时间、成本和不确定性。普通电气或制冷设备的损坏或许比专用计算集群的损坏更容易修复。
人工智能工作负载带来了另一项复杂因素。训练系统使用紧密互联的加速器，共同构成一个大型计算环境。替换单台机器，并不能立即重建完整的集群。
Yandex 已投资 AI 模型和服务，包括 Alice 助手及基于云的机器学习工具。因此，该公司的 AI 开发依赖于持续获得可观的计算能力。
已确认的卡卢加损失并不能证明当地的 AI 集群已被摧毁。报道称萨索沃部署了两台超级计算机，这使得两起事件的综合影响与 Yandex 的 AI 业务更加相关。
Ars Technica 报道称，两次袭击已影响到 Yandex 五个主要数据中心中的两个，并将这场行动与此前针对乌克兰数字基础设施的俄罗斯袭击联系起来。
设施数量本身无法衡量韧性。如果工作负载和依赖关系得到妥善分布，五个站点可以提供强大的保护；如果关键系统仍高度集中，它们提供的保护就会较弱。
Yandex 此前曾宣称，支持其云服务的数据中心实现了极高的持续运行指标。这些历史数据反映的是常规可靠性，包括设备和电力故障。
战时打击则构成另一类故障。可靠性工程通常假设，相互独立的设施不会在同一短时间窗口内遭遇破坏性的实体事件。
云架构师将这种情况称为关联故障。即使组件在日常运营中看似彼此独立，它们也会因共享同一原因而同时失效。
军事行动可以有意制造这种关联性。攻击者可以选择连接至同一服务商、服务组合或国家基础设施的不同站点。
这正是 Yandex 事件的核心逆转。地理分布依然具有价值，但当对手能够打击多个地点时，这种分布本身也会成为目标地图。
这并不意味着冗余彻底失效。尽管萨索沃遭受严重损坏、卡卢加出现部分损失，Yandex 仍维持了许多服务的运行。
真正的考验在于性能下降了多少、有多少客户失去访问权限，以及受限运营将持续多久。Yandex 尚未公布这些指标。
损失尚未证明什么
公开证据支持这是一起严重的多站点事件，但并不能证实所有关于算力被摧毁或全国性中断的说法。
Yandex 确认了卡卢加的损失以及数个模块的丧失。多家主要新闻机构也报道了该公司的声明。
然而，“数个模块”并非标准的公开容量衡量方式。模块在占地面积、机架数量、电力负载和运营用途上可能存在很大差异。
尚无经验证的影像能够确认卡卢加哪些建筑遭到袭击。Yandex 也未披露损失是否波及服务器机房、变电站、制冷设备或辅助结构。
该公司同样未说明被停用区域承载了哪些服务。这使得人们无法将实体损坏与某一具体应用中断直接关联起来。
社交媒体帖子称，出租车、配送服务、搜索、电子邮件和 Alice 助手均出现广泛故障。一些用户可能确实遇到了问题，但轶事性帖子无法衡量全国范围的可用性。
互联网服务也可能因无关原因发生故障。网络拥堵、应用程序漏洞、区域连接问题和防御性停机，都可能与数据中心事件同时发生。
状态数据提供了更有力的证据，但仍需加以解读。列出的故障可以表明某个云组件或可用区受到影响，却无法揭示受影响客户或失败请求的完整数量。
同样的谨慎也适用于有关园区建设完成情况的说法。Yandex 于 2022 年公布设计方案，并计划于 2023 年首次启用。公开来源没有提供完整的、逐模块的建设历史。
规划中的 63 兆瓦容量不应被自动视为攻击当天的运营容量。该设施可能已达到这一水平，但 Yandex 尚未公布当前利用率数据。
同样，超过 3,800 个机架代表的是公布的设计方案，并不能证明每个机架都已安装、投入使用并处理活跃工作负载。
据俄罗斯市场报道，该公司股价在袭击消息传出后下跌。短期市场下跌反映的是投资者担忧，而非对基础设施损失的量化估计。
归因问题同样尚存。Yandex 称这是一次无人机袭击，乌克兰方面则宣称负责。Fire Point 特别表示，乌克兰部队使用了其 FP-1 无人机。
这些声明构成了一套一致的报道叙述，但独立调查人员尚未公布对卡卢加行动的全面重建分析。
将此次打击描述为报复行动的说法来自乌克兰官员。它反映的是乌克兰所陈述的理由，不应被表述为已被独立证实的作战动机。
对平民的影响仍是另一项悬而未决的问题。Yandex 表示该设施无人受伤。另有报道提及卡卢加地区其他袭击造成的伤亡，但未将其与数据中心联系起来。
将地区伤亡数字与 Yandex 站点混为一谈并不准确。该公司现有声明明确表示，其设施内没有人员伤亡。
目前也没有公开证据表明客户数据已经丢失。服务中断、设备被毁和永久性数据丢失是三种不同结果。
当完好的副本仍保留在其他地点时，存储系统可能会暂时不可用。只有在所有可用副本和备份都无法访问或被摧毁时，才会发生永久性丢失。
Yandex 尚未报告此类损失。客户仍应核查自身的备份和复制安排，而不应将服务商的沉默视为安全证明。
因此，最站得住脚的评估是有限但严肃的：Yandex 的两个站点在连续两天内遭受了经确认的实体损坏。萨索沃已停止运营，卡卢加则有部分区域被停用。
超出这一范围的结论还需要更多证据。被摧毁算力的规模、对 AI 开发的影响以及恢复时间表仍不确定。
三个信号将显示 Yandex 能否控制危机
服务遥测数据、维修披露以及 Yandex 基础设施战略的变化，将揭示这些袭击究竟造成了短暂中断，还是持久的容量问题。
第一个信号是 Yandex Cloud 的服务状态。恢复通知应显示受影响可用区是否恢复正常，以及存储延迟是否下降。
如果迅速恢复正常，说明流量和工作负载已成功重新分配。持续的警告则表明可能存在容量、网络或数据恢复限制。
最有价值的证据将是针对具体服务的。笼统地宣称 Yandex “正常运行”或“已宕机”，掩盖了搜索、消费级应用、云存储、数据库和 AI 系统之间的差异。
客户应关注表面恢复后是否仍出现反复故障。服务商可以恢复基本可用性，却同时处于冗余能力降低、备用容量不足的状态。
这种状态会使服务容易受到普通硬件故障或再次攻击的影响，也可能在流量高峰时导致性能变慢。
第二个信号是详细的损失与恢复评估。Yandex 曾表示，仍在确定卡卢加损失的完整范围。
评估应明确被停用模块的数量、受影响系统以及预计的维修顺序。它还应区分可修复的设备与需要替换的基础设施。
公布时间表将增强人们对事件已得到控制的信心。反复推迟的预估则可能指向更深层的电力、制冷或供应链问题。
萨索沃需要得到单独关注。如果该公司恢复该设施，Yandex 就能在修复卡卢加的同时重新获得地理容量；如果萨索沃持续离线，剩余网络将承受更大压力。
有关超级计算机的报道也应谨慎对待。若确认 Chervonenkis 和 Lyapunov 得以保存，将缓解对 Yandex 短期 AI 训练能力的担忧。
若确认遭到摧毁，其影响将截然不同。重建一个大型加速器集群，不只是恢复普通云服务器那么简单，尤其是在技术出口管制的背景下。
第三个信号是物理基础设施战略的变化。Yandex 可以加强防御，将容量分散至更小的地点，或把关键工作负载迁往距离冲突可及范围更远的区域。
每种选择都伴随权衡。加固建筑和部署防空系统会提高成本，却无法保证安全。较小的站点能够降低集中风险，但也会增加需要运营和保护的设施数量。
更大的地理距离可以降低遭受打击的风险，但也可能增加网络延迟，并使计算容量远离 Yandex 最大的用户和商业市场。
据报道，Yandex 在袭击发生后从其地图服务中删除或模糊处理了数据中心信息。隐藏信息可以降低被随意发现的可能性，但对大型工业设施的保护作用有限。
超大规模设施需要土地、电力线路、变电站、光纤连接、施工活动和冷却基础设施。商业卫星图像和公开规划记录都可能暴露这些特征。
更关键的应对将涉及架构，而非地图。Yandex 必须决定，有多少基础设施应继续集中在莫斯科及邻近地区。
云客户也面临自己的决策。他们应确认应用是否跨越独立可用区部署，以及备份能否在主服务商之外恢复。
这一审查并不意味着假定 Yandex 会再次遭袭。它只是将战争视为一种可能使常规可靠性假设失效的基础设施条件。
因此，对 Yandex 数据中心的无人机袭击不只是受损建筑的故事。它也是一次实时检验：商业云架构在针对其物理基础的蓄意行动中究竟表现如何。
最有力的证据将来自可衡量的恢复情况，而不是戏剧性的画面或任何一方的说法。应关注 Yandex 的状态遥测、维修时间表，以及其可用区网络是否会进行重新设计。
如果服务在 Sasovo 和 Kaluga 恢复期间保持稳定，Yandex 将证明其分布式系统承受住了一次非同寻常的冲击。持续的限制则会揭示一个更严峻的现实：计算能力过度集中所带来的问题。
云基础设施可以让单台服务器彼此可替代，但无法让大型园区、电力容量或专用 AI 硬件立即得到替代。
对于在冲突暴露地区使用任何云服务的企业而言，实际问题已迫在眉睫：当备份地点成为下一个目标时，关键业务能否继续运转？
