2025 年伊比利亚大停电留下的账：西班牙节点该问的不是几路市电，而是能撑多久

那天中午，巴塞罗那和马德里的地铁车厢停在隧道里，广播要求乘客下车、沿着轨道走到最近的出口；路口的信号灯全黑，交警站到路中间用手势分流；手机一下午都打不通，不是慢，是根本没有信号。ATM 机前排着队，屏幕上什么也不显示。这不是某一栋楼跳闸的样子，是一个国家的电力系统在几分钟之内塌掉之后，城市地面上真实发生的事。

反直觉的地方就在这：那天出问题的不是某一座机房的供电，而是整个电网的可用性本身。机房宣传页上印着的双路市电、2N、双路引入，在那一刻不参与计算。不是它们质量不好，是它们的前提假设——两路电不会同时没——在那天中午被一次性证伪了。

写这篇文章的起因也很直接：2025 年之后，来问欧洲节点的客户里，问几路市电的人明显变多了，问市电全断之后能撑几个小时的还是少数。前者是一个在宣传页上就能找到答案的问题，后者才是一个能在出事那天救你的问题。下面把这两件事的差别讲清楚，顺带把该写进合同的那几个数字列出来。

事故当天到底发生了什么：把公开口径按时间排一遍

先把事实摆正。当地时间 2025 年 4 月 28 日中午，约 12:30 前后，西班牙、葡萄牙以及法国南部部分地区发生大范围停电。这个部分地区不是修辞，法国南部确实也在同一个事件里，只是受影响程度要轻得多。

西班牙电网公司 Red Eléctrica 官网公开的需求曲线显示，当天 12:15 前后，全国用电量从约 27,500 兆瓦骤降至接近 15,000 兆瓦。这个读数要和政治人物的口径分开看：西班牙首相佩德罗·桑切斯在当晚电视讲话中的说法是，西班牙电网在大约 5 秒内失去 15 吉瓦电力，相当于当时全国需求的约 60%。一个是电网公司公开曲线上的用电量读数，一个是首相讲话里的能力口径，两者不是同一把尺子，媒体在转述时也常常混着用，引用时必须说明是哪种，不能拿来做加减法。

桑切斯在讲话里还有一句更值得记住的话：我们从未经历过系统的完全崩溃。这句话的分量在于，他用的是系统的完全崩溃这个级别的描述，而不是局部故障或者供电紧张。一个国家的行政首脑在当晚选择这样的措辞，说明当时对事件严重性的判断已经不是常规级别。

Red Eléctrica 当天公开表示，完全恢复西班牙及邻国葡萄牙的供电可能需要 6 至 10 小时。这个 6 至 10 小时是当天给出的估计区间，不是事后复盘的实际耗时。其运营负责人 Eduardo Prieto 对这次事件的定性是前所未有、异常且非同寻常。三个形容词叠在一起，在电网运营方的公开表态里是不常见的。

恢复的实际节奏是这样的：当天傍晚，恢复的容量约占受影响容量的 20%；次日，也就是 4 月 29 日早上 7 点，西班牙超过 99% 的电力需求已恢复。葡萄牙那边，电网运营商 REN 表示 89 座变电站全部恢复联网、640 万用户恢复供电。把这两个数字和当天傍晚那 20% 放在一起看，恢复曲线是明显前缓后陡的——前半天只回来两成，剩下的大部分是在夜里到次日清晨这段时间集中回来的。

地面上发生的事：地铁与铁路停运并被紧急疏散，手机通信大面积中断，交通信号灯熄灭，ATM 无法使用。两国受影响人口超过 5000 万。西班牙多个自治区宣布进入紧急状态。这里的手机通信中断值得单独拎出来，因为它说明通信网络自身的备电能力在长时间停电面前同样有限——基站侧的电池一般只覆盖很短的一段时间，机房的柴发能撑多久，和你的用户能不能用手机找到你，其实是两件事，中间隔着一整张通信网。

处置过程中还有两个细节：葡萄牙配电公司 E-Redes 表示，为稳定电网不得不在特定区域切断供电；西班牙方面提到电力来自法国和摩洛哥，用于恢复半岛北部和南部。这两条合在一起，说明恢复不是等电网自己好起来，而是靠跨境互联从外部往里灌，同时靠主动切负荷保住主干。注意主动切负荷这四个字——它意味着在系统恢复阶段，断电可能是一种有意的调度动作，而不是故障。

成因方面，当时没有下定论，这一点必须说清楚，不能被后来的各种演绎带跑。Red Eléctrica 运营负责人提到，电网不稳定导致比利牛斯山脉方向西班牙与法国的互联解列，随后西班牙系统整体崩溃。葡萄牙国家网络安全中心声明没有迹象表明是网络攻击；西班牙方面排除人为破坏的说法。三个表述合在一起看：互联解列是一个已经被说出来的技术环节，整体崩溃是结果，而为什么开始不稳定，在当时的公开信息里没有结论。写方案时如果把成因当成已知条件，就是在编。

最后是钱。加拿大皇家银行资本市场（RBC）当时估算这次停电的经济损失大约在 22.5 亿欧元到 45 亿欧元之间。这是机构估算，不是官方统计，也不是事后核算出来的实际损失，引用时不能当成定论。这个区间的宽度本身也说明一件事：这种级别的事故连损失都算不准，更别说提前算准自己要承担哪一块。所以别指望用这个数字去说服谁，它能起的作用只有一个——提醒你这类事件的分量级。

双路市电、N+1、2N：这些词在那一天为什么不参与计算

先说清楚一个常被混淆的点：这些词不是骗人的，它们解决的确实是真实存在的问题，只是那个问题不是 2025 年 4 月 28 日发生的那一个。

双路市电解决的是这一路电缆被挖断、这一段开关跳闸、这个变电站检修这一类问题。它的前提是另外一路还在。这个前提在绝大多数时候成立，所以这套设计在绝大多数时候有效。但它的隐含边界是：两路电共享同一个上级电网。

两路从不同的变电站引来，看起来是两条独立的路。往上看一层，这两个变电站可能都挂在同一片区域输电网下；再往上看，整个伊比利亚半岛的电力系统在那天是一个整体。所以当整体崩溃发生时，两路输入在同一个瞬间变成零，你有多少路都没有区别。2N 也一样——2N 说的是两套系统各自能带全载，它保证的是一套坏了另一套顶上，它不保证两套同时失去输入之后还能撑多久。N+1 说的是多一份备份容量，同样不回答时间问题。

这就是为什么我一般不建议客户在评估欧洲节点时把几路市电作为主要判据。它是一个必要项，但它是个判断题（有或者没有），不是度量题。真正决定那天结局的，是一个带单位的数字：小时。

还有一层更难开口但必须说：冗余这个词的诱惑在于它给人一种已经解决了的错觉。四个字母、一个字母加一个数字，写在方案里很好看，评审会上也很好过。但冗余如果只有拓扑含义而没有时间含义，那么在系统性事件里它就是一张没填数字的表格。

局域停电和系统性停电，是两类完全不同的事件

把这两类分开，后面所有的讨论才不会跑偏。很多争论其实是因为两边在说不同的事件。

局域停电的特征是：范围有限，一栋楼、一条线路、一个园区；持续时间相对可预期，检修有公告，故障有抢修时间；电网的其余部分完好，你所在的机房即使断电，同城的其他机房、上游运营商的汇聚节点、用户手里的手机大概率还是通的。这类事件里，双路市电加 UPS 加柴发这套组合是有效的，而且通常不需要把柴发跑到油箱见底，撑过抢修窗口就够了。

系统性停电的特征正好反过来：范围以国家甚至跨国为单位；持续时间不可预期，当天官方给出的估计是 6 至 10 小时，实际是次日上午才基本恢复；电网整体不可用，于是除了电之外还有一堆东西跟着不可用——通信基站、交通系统、支付终端、物流，以及你依赖的所有第三方服务。

葡萄牙配电公司 E-Redes 那句为稳定电网不得不在特定区域切断供电，还揭示了系统性事件的一个特殊之处：在恢复过程中，主动断电是一种调度手段。你所在区域什么时候被切、什么时候被恢复，机房自己说了不算，连当地的配电公司都可能在按全网最优而不是按你的利益来排序。这一点在局域停电里完全不存在。

这两类事件的差别，决定了机房侧该准备的东西完全不一样。局域停电下你准备的是撑过抢修时间，是一个有上限的问题；系统性停电下你准备的是撑过一段不知道多长的时间，同时外部世界也在同步降级，是一个下限未知的问题。后者的账要按小时算，而且这个小时数的边界由外部条件决定，不由你想要多少决定。

柴发带载之后，账要按储油能撑几个小时来算

柴发一响起来，很多人就觉得稳了。实际上从这一刻开始，决定性的变量换人了：不再是发电机的功率，而是油箱里还有多少柴油，以及烧完之前能不能补上。

这里有个经常被销售话术绕过去的地方。问柴发能撑多久，得到的回答往往是可以持续运行或者储油充足。这两个回答都没有单位。你要的是一个数字：在当前负载率下，现场储油对应多少小时。而且必须问清楚这个数字是按满载算的，还是按某个折扣负载算的——同一个油箱，带载率不同，能撑的小时数差别不小。满载口径看着保守，但如果你的实际负载常年只有一半，用满载口径做决策又会导致过早降级，所以正确做法是两种口径都要，并且知道自己的实际带载率。

还有一层：柴发本身有连续运行时间的限制。带载运行到一定时长之后要做检查、要换滤芯、要补充机油，这些是维护动作，不是故障，但它们会让理论可运行时间和实际可运行时间之间产生差距。这个差距有多少，同样要书面问。只回答能一直跑的，通常是没有把维护停机算进去。

再往下是负载本身的弹性。停电期间如果你主动降载——关掉非核心的计算任务、把批处理停掉、降低冗余副本的写入频率——单位时间的油耗会下降，储油对应的小时数就会被拉长。这是一件在平时就该算清楚的账：你的业务里哪些负载是可以牺牲的，牺牲掉之后能换回多少小时。这个换算表平时不做，出事当天一定来不及做。

说到这里可以给一个经验判断：如果一家服务商只能告诉我有柴发，却给不出储油对应的小时数和带载率口径，那么这个节点的真实续航能力其实是不知道的。不知道不等于差，但在 4 月 28 日那天，不知道就意味着你没法做业务决策——你不知道该在什么时候启动降级、什么时候切到第二站点、什么时候通知客户。信息缺失本身，就是那天的成本之一。

从断电到柴发稳定带载，中间那段窗口是真实的暴露期

柴发不是瞬间接管负载的。市电掉压之后，UPS 先顶上，柴发收到信号、自检、启动、升速、电压频率稳定、然后才并上去带载。这中间有一段窗口，全部负载一直挂在电池上。

这段窗口有多长，取决于机房的设计、柴发的启动方式、并车逻辑，也取决于当时的带载率。行业里常见的做法是把这个窗口设计在分钟级，但常见不等于你这一家。需要向服务商书面确认的是三件事：这个时间窗的设计值是多少秒或多少分钟；这个设计值是在什么负载率下达成的；最近一次实际带载切换演练是什么时候做的、当时的结果如何。

为什么这段窗口危险？因为它正好压在两个薄弱环节上。第一个是电池——窗口越长，电池放得越深，如果电池有老化，电压下降会比预期快，后面的风险就不是线性的，而是到某个点之后突然塌。第二个是数据——这段时间里主机还在写，缓存策略、数据库的刷盘节奏、分布式系统的提交确认，都是在电力随时可能彻底断掉的阴影下运行的。只靠内存里没落盘的那部分数据，最后丢不丢，差别就出在这里。

顺便说一句：演练这件事很多机房不愿意做，因为带载切换演练本身有风险，尤其是业务在跑的时候，切一次就可能出一次问题。这个顾虑是合理的，我也能理解。但合理的顾虑不等于可以没有答案——至少应该有一个书面说明：为什么不演练、用什么方式替代验证、替代验证的频率是多少、最近一次的替代验证结论是什么。拿不出任何书面说明的，就把它当成这一段没被验证过来处理，在方案里按最坏情况留余量。

油料补给：是合同里的一条款，还是出事当天临时打电话叫车

这是我认为最容易被忽略、也最容易在系统性事件里出事的一环。现场储油再多也有烧完的时候；烧完之前能不能补上，取决于你和供油方的关系是合同关系还是临时关系。

设想一下 4 月 28 日下午的伊比利亚半岛：交通信号灯是黑的，手机通信大面积中断，多个自治区宣布进入紧急状态，受影响人口超过 5000 万。在这样一个环境里，一辆满载柴油的槽车能不能按时开到你机房门口，与你签没签合同是两回事——但签了合同的，至少在供油方的调度列表里是有排位的；没签的，是在和加油站、和其他所有突然需要柴油的机构抢同一批车、同一批司机。

要写进合同的至少有四项：供油商的名称，不接受长期合作的供应商这种说法；补给响应的时限，从发出请求到油到现场，多少小时，写数字；你在供油方客户列表里的优先级排位，是协议客户还是临时调度；以及当燃料运输受到公共管制、或者道路通行受限时的替代方案是什么。

还有一个很容易漏掉的问题：停电期间，加油站本身也需要电才能把油抽出来，槽车卸油也可能需要泵。所以附近有加油站这种说法在系统性停电里是不成立的，它默认了对方有电。补给方案必须包含在无外部电源条件下如何完成卸油这个环节，否则合同写得再漂亮，油到了也卸不下来。

第四个要问的是补给的次数。很多补给合同只保证一次。如果停电持续到次日甚至更久——4 月 28 日这次就是次日上午才基本恢复——一次补给之后油箱再次见底怎么办？合同里要写清楚在持续停电状态下，补给的频次上限是多少、每次的量是多少、超出之后按什么价格和什么优先级处理。这一条在平时谈判时显得很琐碎，但它恰好是长时事件里最先被触及的边界。

油料补给的合同该怎么验收：几个能查的硬动作

合同里写了优先供油四个字，等于没写。要让它变成可检查的动作，得往下拆成具体的流程。

第一个动作：约定通知方式。停电当天手机通信可能中断，4 月 28 日就是这样。所以打电话给供油商这种通知方式在系统性事件里不可靠。合同里要写明备用通知渠道是什么、由谁发出、发不到时的升级路径是什么、升级到第几层仍然无回应时如何处置。

第二个动作：约定到场确认。油车到了之后，谁签收、签什么单据、单据上要有哪些字段，包括数量、时间、卸油位置、油品规格。没有签收单据，事后无法核对是不是真的补了，也无法在争议时举证。

第三个动作：约定卸油条件。前面说过加油站抽油需要电，槽车卸油也可能需要泵。合同里要写明在无机房外电的情况下卸油由谁提供动力、设备由谁准备、如果双方都提供不了时的兜底做法是什么。这一条最容易被跳过，也最容易在当天卡住——卡住的位置非常具体，就是油在车里、机房在等。

第四个动作：约定演练与台账。不要求每次都真补油，但至少要有年度的供油商确认函，确认你仍在他们的服务名单上、优先级排位未变、联系人和联系方式未变。供油商换了主体、合同被转包、优先级被调整，这三件事都不会主动通知你，只有主动去问才会发现。

第五个动作：约定结算方式。停电期间银行系统可能不可用，那天的 ATM 就没法用。如果供油合同的付款依赖实时转账，会在最不该卡的时候卡住。要约定事后结算的凭证流程、最长账期，以及账期内不影响下一次补给这个前提。供油方如果担心收不到钱，在紧急状态下的响应速度会打折，这是现实。

这五个动作的共同点是：它们都不是技术参数，都是流程。而系统性事件里，最后卡住的往往是流程而不是设备。设备会按设计动作，流程需要有人才会动，而那天人是最难协调的资源。

UPS 电池的标称容量和用久之后的可用容量，不是同一个数

UPS 是这整条链上最安静的一环，也是最容易被高估的一环。它没有声音、没有参数牌子挂在墙上、在绝大多数时间里什么都不做，于是也就最容易被当成理所当然。

新电池的标称容量是一个出厂参数；用了几年的电池，实际能放出来的容量会往下走，这是化学特性决定的，不是质量问题，也不是维护不到位。问题在于：衰减到什么程度需要换，是靠什么判断的——是到了告警阈值才换，还是按固定周期换，还是靠内阻测试逐节筛。三种做法的成本和风险完全不同，阈值换最省但最容易被打个措手不及，周期换最稳但可能换掉还有用的电池，逐节筛最精细但要求有人真的去做。

对采购方来说，能问到的东西只有三个：电池组的投入使用时间；最近一次带载放电测试的日期、当时的负载率和实测持续时间；电池的更换策略是哪一种、上一次执行是什么时候。这三个问题里只要有一个答不上来，你就没法判断 UPS 能顶多久这个数字的可信度，也就没法倒推柴发的启动窗口够不够。

至于你的业务在断电瞬间到底能撑到几秒、在缓存里的数据有多少会丢，这个没有通用答案，需要以自有业务实测为准——不同写缓存策略、不同数据库的刷盘配置、不同分布式一致性设置，结果差别很大。机房侧能给你的是电力能撑多久，业务侧能给你的是数据能撑多久，这两个数字要分开问、分开验证，别指望一个 SLA 同时回答两件事，它做不到。

第二站点怎么选才算真的隔离：一张跨电网的判定清单

第二站点这件事，很多人以为不在同一栋楼、不在同一个城市就算隔离了。4 月 28 日证明的是：不在同一个国家，都未必算。

西班牙和葡萄牙是同一个半岛上的两个国家电网，那天一起出事；法国南部部分地区也在事件范围内。所以判定清单的第一条不是距离，是电网归属。

下面这张清单，是我建议逐条打勾的，勾不满不要紧，但要知道缺哪一条。

第一，第二站点所在的电网，是否属于同一个同步互联区。伊比利亚半岛和欧洲大陆之间是通过比利牛斯方向的互联通道连接的——Red Eléctrica 运营负责人提到的，正是这个方向的互联解列。互联通道存在，意味着故障可以传播；互联通道容量有限，意味着在需要它救命的时候它也救不了多少。这两个方向都要想，而不是只看到它有互联所以更安全。

第二，第二站点是否有独立的跨境电源路径。西班牙方面在恢复阶段提到电力来自法国和摩洛哥，用于恢复半岛北部和南部——这说明跨境电力输入在恢复过程中是真实可用的资源。那么选第二站点时就要问：这个站点所在区域，有没有从另一个国家电网受电的物理通道，通道容量在什么量级，历史上有没有被用作应急输入。

第三，第二站点的柴发储油和补给合同，是否与第一站点共用同一家供油商。如果共用，那么两个站点在油料这一项上其实是一个供应商，系统性事件下会同时卡住，第二站点并不会比第一站点多撑多久。这一条在纸面上完全看不出来，只有把两份合同的供油方名字摆在一起才看得见。

第四，两个站点之间的网络路径，是否依赖同一个国家的骨干。电隔离了、网络没隔离，用户一样到不了你。这一条在 4 月 28 日有直接证据：手机通信大面积中断，说明通信侧的可用性并不独立于电力侧。评估时至少要确认跨站复制链路的物理路由，以及这条路由在极端情况下有没有第二选择。

第五，两个站点的运维团队是否共用。电、网、油都隔离了，但同一批人要同时处理两个站点的切换，人手不够一样切不动。这一条常被忽略，因为它不上任何一张技术拓扑图，只有在真的出事那天才会暴露出来。

五条里只要有两条答不上来，这个第二站点在系统性事件里的价值就要打折。说白了，第二站点的意义不是多一份拷贝，而是在另一套失效模型下还活着。拷贝解决的是数据问题，失效模型解决的是生存问题，这两个不是一回事。

一个内部决策时钟：把不确定的外部恢复时间换成自己的时间预算

Red Eléctrica 当天给出的恢复估计是 6 至 10 小时，实际是次日上午才基本恢复。这两个时间对外部都一样不可控，但对你内部不应该一样——你要把它们换成一个自己的时间预算。

做法是反推。先定一个最长可接受中断时长，也就是你的业务在中断多久之后必须启动降级或者切到第二站点。然后往下拆：在这个时长之内，柴发储油够不够？如果够，你在什么时候做切换决策（不能等到最后一小时才决定，因为切换本身要时间，同步和验证也要时间）；如果不够，你在什么时候开始降级服务——关掉非核心功能、把电力和带宽资源留给核心链路。

关键是要留出决策余量。假设你的储油能撑 8 小时，那么第 8 小时才决定是错的，你实际可用的决策时间在第 4 到第 6 小时之间——因为切换、数据同步、业务验证都要时间，而且这些动作在降级环境下（网络慢、人联系不上、监控可能也不准）会比平时慢得多。

还有一个反直觉的点：降级要尽早，不要等确认。4 月 28 日的经验是，官方在当天给出的估计（6 至 10 小时）和实际恢复（次日上午）之间存在差距。如果你等到确认这是长时停电才动作，那时候通信可能已经断了、决策所需的信息也不全了、人也联系不上了。所以内部时钟应该按最坏情况起算，而不是按官方估计起算。按最坏情况起算，最坏的结果只是白降级一次；按官方估计起算，最坏的结果是错过窗口。

这个时钟要写进运维手册，而不是写在某个人的脑子里。出事那天能联系上谁、谁能拍板降级、谁能批准切到第二站点、拍板之后谁执行、执行之后谁对外通报，这五件事如果不提前定，储油能撑 20 小时也没有意义——因为没有人知道该在什么时刻用掉这 20 小时。

分阶段对照：电网在做什么、机房靠什么撑、业务先坏在哪、合同里该写什么

这张表可以按自己的业务逐格替换内容，但不要删格。删掉的那一格，往往就是出事那天没人认领的那一格。

落到采购：把哪几个数字写成可验证条款

前面讲了很多，落到签合同时，真正要写进去的其实就下面这几个。每个都要带单位，都要有验证方式，都要有对应的责任方。

一、储油小时数：在当前负载率下，现场储油对应的可运行小时数，写明负载率口径，同时给出满载口径的数字作为对照。验证方式：储油容量与油耗的计算依据，或书面说明该数字的来源。

二、切换时间窗：从市电中断到柴发稳定带载的设计时长，以及达成该数值的负载率。验证方式：演练记录；不能演练的，要有书面说明与替代验证方式。

三、补给时限：供油商名称、响应小时数、优先级排位、持续停电下的补给频次、无外电卸油方案。验证方式：合同条款本身，加上供油商出具的年度确认函。

四、UPS 备电时长与电池状态：设计备电时长、电池投入使用时间、最近一次带载测试日期与负载率、更换策略是阈值还是周期。验证方式：测试报告。

五、第二站点的电网归属：第二站点所在电网的运营主体名称、是否与第一站点属于同一同步互联区、跨境受电通道情况、两站是否共用供油商与运维团队。验证方式：书面答复，不接受口头。

六、恢复阶段的义务：多次闪断情况下柴发是否继续带载的决策流程与责任人；恢复后的巡检、报告与复盘义务；对外通报的责任边界。

这六条里只要有一条问不出书面答复，就把它当成这一环没有被承诺来处理，而不是这一环应该没问题。这个处理方式听起来苛刻，但它是从 4 月 28 日那天得来的——那天出问题的地方，多半不是没有冗余，而是冗余的边界从来没人问清楚。

一万网络深耕 IDC 19 年（成立于 2007 年），欧洲节点的供电冗余和柴发参数可以在签约前逐条问清楚，问不出书面答复的那一条，往往就是出事那天最贵的一条。

哪些业务根本不需要为这件事花钱

不是所有业务都该为系统性电网事件付费。这条边界不划清楚，预算会被浪费在错误的地方，而且会浪费得很隐蔽——因为买的都是看起来很专业的东西。

不需要为多撑几小时付费的，是那些中断之后可以无损重跑、且用户对中断不敏感的业务：离线批处理、定时生成的报表、异步的数据同步、可以随时重放的任务队列。这类业务的正确做法是停电就停、恢复后重跑，把钱花在任务的幂等性和断点续跑上，比花在柴发小时数上划算得多。一个能干净重跑的任务，比一个能多撑四小时的柴发更值钱。

也不需要为第二站点跨电网付费的，是那些本身就只在单一地区有用户、且中断窗口内没有替代需求的业务。比如只服务本地商户的内部系统——用户自己正在停电，你的系统还在跑也没有意义。那天 ATM 用不了，不是银行的机房没电，是整条链上每一环都没电、每一个用户都到不了。这种情况下为跨电网冗余付费，买到的是一个用不上的能力。

真正值得为这件事花钱的是三类：一是中断期间必须被外部访问到的公共服务，它的可用性是承诺出去的；二是有严格数据时点要求、中断会带来不可逆损失的交易类系统，它怕的不是停机而是数据错位；三是作为其他系统的依赖方、自己停了会连带一片的底座服务。第三类最容易被低估——你的可用性要求不是你自己定的，是你下游所有依赖方共同定的，你在评估时如果只看自己的业务指标，一定会低估。

还有一种判断方法，比分类更好用：算一算如果不能访问，我在那个小时里损失什么。如果这个答案是重跑一遍就好，别买；如果答案是要人工介入、要赔、要上报，那就按前面那六个数字去谈。RBC 当时给出的机构估算是 22.5 亿欧元到 45 亿欧元，摊到具体某一家公司头上一定是很小的一块，但那一块是不是你能接受的，只有你自己知道，也只应该在事前而不是事后知道。

一万网络深耕 IDC 19 年（成立于 2007 年），欧洲节点的供电冗余和柴发参数可以在签约前逐条问清楚，问不出书面答复的那一条，往往就是出事那天最贵的一条。这句话的另一半是：问清楚之后发现不需要的，就别买。

把「能撑多久」写进合同之前，先确认这四个数字由谁兜底

核心结论只有一句：面对系统性电网事件，冗余的度量单位不是几路，而是能撑几小时——而且这个小时数要由油料、补给合同和第二站点的电网归属共同决定。

这四个数字分别是：储油对应的可运行小时数；市电中断到柴发稳定带载的时间窗；油料补给的响应小时数；UPS 电池在设计备电时长上的实际可用程度。每一个都要落到具体责任方：储油和柴发归机房，补给归供油商，电池状态归维护方，第二站点的电网归属归你在选点时自己核实，没有别人会替你核。

四个数字之间不是相加关系，是木桶关系。储油能撑 20 小时但补给合同是临时的，实际可用时间取决于补给什么时候到；柴发启动只要 1 分钟但 UPS 电池已经衰减到一半，那么这 1 分钟就是最危险的 1 分钟；第二站点跨了国但和主站共用一家供油商，那么在油料这一项上它并不比主站更安全。所以要找的是最短的那一块，不是最漂亮的那一块。

最后给一句可能不太中听的建议：别把问到了数字当成问题解决了。4 月 28 日那天真正难的不是有没有电，是没有人知道要撑多久、因此也就没有人知道该在什么时候做什么。如果你的合同里有一串带单位的数字，你的运维手册里有一个按最坏情况起算的内部时钟，那么至少在下一个 4 月 28 日，你知道自己有多少时间可以做决定。

数据来源与核验说明：2025 年伊比利亚停电事件的公开口径

本文材料来自西班牙电网公司 Red Eléctrica、葡萄牙 REN 的公开表态，以及当时主流媒体对首相电视讲话的转述；机构估算已在正文标注。文中未引用任何实测、压测数据。

具体口径说明：事件时间为当地时间 2025 年 4 月 28 日中午约 12:30 前后，涉及西班牙、葡萄牙以及法国南部部分地区。首相佩德罗·桑切斯当晚电视讲话称，电网在大约 5 秒内失去 15 吉瓦电力、相当于当时全国需求的约 60%，并表示我们从未经历过系统的完全崩溃。Red Eléctrica 官网公开需求曲线显示，当天 12:15 前后全国用电量从约 27,500 兆瓦骤降至接近 15,000 兆瓦——这与 15 吉瓦、约 60% 是不同口径的公开表述，前者为用电曲线读数，后者为能力口径，本文在正文中已分别标注，不做合并推算、不做二次换算。

恢复进程：Red Eléctrica 当天公开表示完全恢复西班牙及葡萄牙可能需要 6 至 10 小时，其运营负责人 Eduardo Prieto 称事件前所未有、异常且非同寻常；当天傍晚恢复容量约占受影响容量的 20%，次日（4 月 29 日）早上 7 点西班牙超过 99% 的电力需求已恢复；REN 表示 89 座变电站全部恢复联网、640 万用户恢复供电。

影响面与成因：地铁与铁路停运并被紧急疏散、手机通信大面积中断、交通信号灯熄灭、ATM 无法使用，两国受影响人口超过 5000 万，西班牙多个自治区宣布进入紧急状态；E-Redes 表示为稳定电网不得不在特定区域切断供电，西班牙方面提到电力来自法国和摩洛哥用于恢复半岛北部和南部。成因当时未下定论：Red Eléctrica 运营负责人提到电网不稳定导致比利牛斯方向西法互联解列、随后西班牙系统整体崩溃；葡萄牙国家网络安全中心声明没有迹象表明是网络攻击；西班牙方面排除人为破坏的说法。经济损失 22.5 亿欧元至 45 亿欧元为加拿大皇家银行资本市场（RBC）当时的机构估算，非官方统计、非事后核算。

本文中所有关于柴发、储油、补给、UPS、第二站点的讨论，均为采购与合同条款层面的建议，不包含任何一方的实测数据、压测数据或具体配置承诺；涉及具体数值的，均需向服务商书面确认，或以自有业务实测为准。文中未引用任何机房数量、实拍延迟、柴油价格、柴发运行时长的具体数字。