Google atribui queda em Londres a falha na detecção de tensão e erro de configuração em geradores de backup

O postmortem publicado pelo Google em 4 de novembro de 2026 detalha a queda de 20 de outubro na zona europe-west-2-b, em Londres. O site usa arquitetura de energia 2N (caminhos duplicados para cada carga crítica) e um banco central de geradores de alta tensão controlado por um PLC com redundância dupla. Há dois alimentadores de rede, A e B, e uma conexão de reserva para transferência manual.

A sequência foi esta: o disjuntor do alimentador B estava aberto para reparos, após problemas achados em um teste trimestral de carga dos geradores em 14 de outubro de 2026. O alimentador A carregava toda a carga crítica quando um cabo subterrâneo externo da concessionária se rompeu. As UPSs seguraram a carga por cerca de cinco minutos, mas uma falha de projeto na detecção de tensão e uma configuração incorreta do PLC impediram o sinal automático de partida dos geradores. A lógica indicava fonte de rede saudável, mesmo com as duas distribuições sem energia. O Google reprogramou o PLC após a reconexão e prevê duas ações: um mecanismo automatizado de alerta para comunicação em incidentes que afetam uma localidade e a ampliação dos testes em toda a plataforma para eventos de infraestrutura.

Em 21 de outubro de 2026, o CEVIU noticiou "Falha de energia no Google Cloud paralisa serviços e impacta múltiplos setores em Londres", com foco nos serviços afetados, como Cloud Run, Google Kubernetes Engine e Kafka gerenciado. Naquele momento, o registro era do impacto. Agora há a causa técnica oficial: falha na detecção de tensão, PLC mal configurado e um alimentador já fora de operação por manutenção.

Para quem opera TI corporativa, o caso mostra que redundância no papel não basta. A janela de manutenção reduziu a margem justamente quando o cabo externo falhou, e a lógica de controle era o ponto único de falha. Vale perguntar ao provedor como são testados os cenários de manutenção com redundância degradada e, internamente, rever a dependência de uma única zona de disponibilidade nas cargas críticas. A promessa de alertas mais rápidos também interessa a quem mantém planos de comunicação e continuidade.