Brainstorm: Нотариус физической ответственности

Дата: 2026-09-03

1. Контекст: месяц после брейншторма («Proof of Recovery»).
2. Изменения:
   • массовое уничтожение складов WB (краткосрочно не сломало WB как платформу);
   • атаки на Ozon — малозначительны;
   • Ozon анонсировал децентрализацию складов (ПВЗ = склады)
   • Ozon официально подтвердил: модель «ПВЗ как склад» тестировалась в 2018 и была отвергнута.

Оглавление

1. Что изменилось за месяц
2. Семантика ударов: ДЦ против складов
3. Закон доминирующей стороны (почему 9 рамок умерли)
4. Проваленные итерации
5. Прорыв: нотариус физической ответственности
6. Что такое «суд-грейд»: три опоры
7. Техническая форма: граф ответственности
8. Страховой тезис: от отказа к андеррайтингу
9. Пакет продукта: мясо + удочка + моат
10. Кто внутри Ozon платит
11. Открытые вопросы
12. Ключевые инсайты

Что изменилось за месяц

Семантика ударов: ДЦ против складов

Гипотеза: атака на дата-центр — удар прямо по маркетплейсу (инфраструктура, операционная способность). Атака на склад — удар по селлерам и покупателям. Это социально ориентированный удар, и именно в нём заинтересован противник.

Следствие: если бы противник хотел убить конкретную платформу — он бил бы по ДЦ (прецедент: AWS, Бахрейн, 05.03.2026). Он бьёт по складам → цель не «смерть WB», а подрыв доверия к электронной торговле как институту: «твой товар и твои деньги там не в безопасности». Это удар по гражданской экономике.

Ключевой вывод: рынок боится не потери данных (данные-то целы), а потери товара и невозможности доказать — сколько и чьё было.

Закон доминирующей стороны

За девять итераций все рамки «прозрачности» умерли по одной и той же причине. Сформулируем закон:

Покупатель «независимой целостности» — это сторона, которая боится непрозрачности контрагента. Доминирующая сторона своей экосистемы в независимости не нуждается: независимость только ограничивает её. Поэтому доминант никогда добровольно не купит «прозрачность» — это противоречит его природе.

Доминант (Ozon) покупает внешнюю независимую фиксацию только в трёх случаях:

1. Асимметрично — как оружие против своей слабой стороны (операторы ПВЗ, курьеры, перевозчики, мошенничающие контрагенты). Здесь неизменяемость — не наручники на Ozon, а доказательство в пользу Ozon.
2. По команде сверху (ЦБ/ФАС). Без команды — никогда.
3. Деньги входящие — когда плательщик, который не доверяет Ozon (страховая вне экосистемы, суд, депозит контрагента), должен выплатить Ozon — и без независимой записи не платит.

Дополнительные ограничения, убивающие «прозрачность» как продукт: - Ozon не заинтересован в прозрачности в критической ситуации: прозрачность = обязательства, а форс-мажор уже закрыл претензии. - Публичные или доступные селлерам реестры токсичны для ежедневной операционки: ежедневные претензии вместо редких споров. - Ozon имеет собственный банк — выгрузку из своей системы своему же банку делает сам. - Прозрачность — операционные расходы. Если они превышают доходы от притока новых селлеров — экономического смысла нет. - Селлеры бегут от WB в Ozon сами, из чувства самосохранения. «Ловить» их не нужно → тратить на привлечение смысла нет.

Проваленные итерации

Вывод из итераций 1–5: рекуррентная ценность продукта не может быть прозрачностью. И мы девять раз продавали одно и то же: «одностороннюю доказуемость» (Ozon доказывает факт). А односторонняя доказуемость упирается в возражение заинтересованной стороны — его и убивали.

Прорыв

Всё вышеперечисленное — односторонняя доказуемость: «Ozon доказывает факт». Она всегда умирает на возражении «это запись заинтересованной стороны».

Прорыв — смена категории:

Фиксировать не данные, а момент перехода ответственности. В точке, где товар и ответственность переходят из рук в руки, — двусторонний акт, подписанный обеими сторонами и якорённый вне контроля обеих.

«Контрагент подписывает событие своими руками — тогда блокчейн фиксирует: этот акт с подписью оператора существовал в момент T, и никто, включая Ozon, его после не менял.»

Это не нотариус данных. Это нотариус физической ответственности.

Почему это неубиваемо инхаусом: Ozon может построить лог, но не может построить запись, которой не владеет. В споре Ozon против оператора собственный лог Ozon ничего не стоит — оператор скажет «Ozon переписал». Ценность — ровно в том, что якорь живёт не у Ozon. Это невозможно сделать внутри по определению.

Где применять (избирательно, там где Ozon — потенциальная жертва): - приёмка FBO от селлера (декларация отгрузки ↔ фактическая приёмка); - приёмка товара оператором ПВЗ (хэндоф склад → ПВЗ); - перемещения между ПВЗ (товары «путешествуют»); - передача курьеру / последняя миля; - возвраты (состояние товара при возврате); - перевозчики (повреждение в пути — переложить ответственность дальше); - инвентаризации (двусторонняя сверка состояния точки).

Почему Ozon согласится, хотя запись «режет в обе стороны»: 1. Ozon в цепочке — глубокий карман. Его обвинят и без записей; записи не создают новых исков, а делают существующие разрешимыми дёшево. 2. Ozon сам — жертва на других плечах (оператор украл, курьер потерял, перевозчик повредил). Запись — оружие Ozon против них. 3. Запись, где отмечено повреждение при доставке, позволяет Ozon переложить ответственность на перевозчика. 4. Ozon внедряет избирательно: там, где товар идёт через чужие руки, а не там, где Ozon контролирует процесс и ему выгодна односторонность.

Почему согласится оператор: сейчас Ozon может повесить на оператора любую потерю бездоказательно. Подписанный акт защищает оператора от ложных обвинений Ozon. Это нейтральная инфраструктура, нужная обеим сторонам, потому что обе боятся друг друга. Подпись становится контрактным условием партнёрства.

Третья сторона — селлер: конверсия FBS → FBO

Нотариус ответственности описывает не только связку Ozon ↔ оператор. Селлер — такая же сторона в цепи передачи ответственности: его товар входит в сеть на приёмке FBO (переход «селлер → сеть Ozon»). Если этот хэндоф не зафиксирован, рождается тот же спор, что и с оператором: селлер отгрузил 500, приёмка показала 450 — и слова против слов. Механизм тот же: декларация селлера (что отгрузил) и фактическая приёмка Ozon якорятся независимо — никто не перепишет свою цифру задним числом, а запись ограничивает обе стороны (селлер не раздует, Ozon не занизит).

После WB селлер напуган и приходит на Ozon сам — но в каком режиме? По умолчанию выбирает FBS: товар остаётся у него, Ozon лишь забирает заказ. Для селлера это «безопасно»; для Ozon — тонкая комиссия, ноль глубины стока, ноль скорости-обещания. Экономика Ozon держится на FBO: глубина инвентаря, денежный поток, контроль логистики. А децентрализация в ПВЗ работает, только если селлеры готовы нести сток в сеть. Не готовы — из страха (опрос: «непонятный ПВЗ, неблагонадёжный оператор»).

Скидка на хранение страх не лечит — WB только что показал, чего стоят обещания. Лечится механизмом, дающим селлеру основания верить: 1. базовая приёмка зафиксирована — её не занизят и не «потеряют»; 2. если с точкой что-то случится — есть суд-грейд аттестация его позиции (для него, для суда, для страховой); 3. его FBO-сток становится страхуемым внешней страховой (страховой тезис) — прямой аргумент «FBO не страшнее FBS».

И это не ежедневная прозрачность селлеру: итерация 4 умерла именно на ней (прозрачность = операционные расходы). Это запечатанный механизм — видимость по событию. Селлеру не нужен дашборд остатков Ozon; ему нужно знать, что «чёрный ящик» перестал быть чёрным для атрибуции — когда это важно.

Отсюда роль «удочки»: публичный знак доверия — не только PR против WB, а конверсионный инструмент FBS → FBO. «Мы — маркетплейс, чей учёт физически не переписать» — фраза, которая переводит напуганного селлера в маржинальный FBO-сток. Это деньги без единого нового селлера.

Суд-грейд

«Суд-грейд» — не юридический термин, а инженерный: доказательство, сконструированное так, чтобы пережить возражение «это запись заинтересованной стороны».

Пример: ПВЗ принял 200 коробок, через две недели «ограбление»/расхождение. Оператор: «привезли 150». - Без суд-грейда: «в нашей системе 200» → «ваш админ мог переписать» → Ozon проигрывает. - Суд-грейд держится на трёх опорах:

1. Двусторонняя подпись (происхождение). Акт подписывает сам оператор на терминале (ключ в защищённом элементе), в момент хэндофа. Это не «Ozon утверждает», это «оператор собственноручно подтвердил». Несущая стена.
2. Независимый якорь (неизменность и время). Хэш акта уходит в 6 независимых узлов в момент T. Закрывает возражение «Ozon мог дописать задним числом». Свой immutable-лог не работает — им Ozon владеет.
3. Гигиена процесса. Непрерывность, автоматизация, управление ключами, аудит доступа. Любая ручная дырка — поверхность для адвоката и судебной экспертизы.

Критично: блокчейн сам по себе суд-грейдом не является. Если Ozon просто хэширует свои записи — это та же односторонняя запись, только с хэшами (возражение «хэш a1b2c3 — докажите, что это контракт Иванова, а не kote.txt» из итерации 4 документа 08). Суд-грейд появляется, только когда на краю сети контрагент подписывает событие своими руками: подпись закрывает происхождение, блокчейн закрывает неизменность. Нужны обе половины.

В российском праве запись — «дополнительное доказательство» (ст. 55 ГПК, ст. 64 АПК), в оспариваемом деле возможна компьютерно-техническая экспертиза. Суд-грейд — дизайн-цель и лучшая юридическая позиция, а не гарантия.

Техническая форма: граф ответственности

Исходная грубая идея и её развитие с учётом суд-грейда и zero data leakage.

Ядро: каждый ПВЗ — уникальный Ethereum-адрес (EoA) в PoA-сети. ПВЗ владеет приватным ключом и подписывает исходящую транзакцию с фактом перехода ответственности. В транзакции есть и from, и to — по адресам можно восстановить граф переходов ответственности между субъектами.

Почему это ложится на апплаенс: железо не меняется — меняется смысл payload'а. Вместо «хэш документа» — «подписанный оператором факт перехода ответственности». Апплаенс остаётся PoA-нодой и шлюзом Ozon; ПВЗ не поднимают полные ноды, а только подписывают. Апплаенс добавляет три функции: онбординг адресов (адрес ↔ юрлицо), relay операторских транзакций, индексер в Journal DB, который восстанавливает граф и сверяет его с цепью.

Сильные стороны: - Адрес = субъект: идентичность и подпись в одном. Ozon не может подделать подпись оператора — даже при ретрансляции через апплаенс Ozon подпись исходит из ключа оператора. Это и есть «двусторонность» из раздела «Прорыв». - Цепочка хранения становится запрашиваемой: «кто держал посылку X между T1 и T2», «текущий ответственный». - Производная: custody explorer — визуальный граф цепи ответственности по посылке/ПВЗ, который можно показать суду и страховой, а в агрегате — в удочку.

Пять поправок, без которых форма не держит суд-грейд:

1. Ключ — не на флэшке, а в защищённом элементе (смарт-карта / хардверный keystore в сканере-терминале). Копируемый ключ = защита оператора скажет «ключ скопировали / флэшку потерял / подписал не я». Каждая подпись требует PIN/биометрии и логируется.
2. Транзакция — конверт, а не сырой блоб: {from, to, kind, hash_акта}, где hash_акта покрывает полный акт (количество, SKU, ID) и именно его подписывает оператор. Полный акт живёт в Journal DB. Наружу уходит только хэш и адреса — zero data leakage соблюдён, и Ozon не может подменить «200» на «150» задним числом.
3. Идентичность: реестр «адрес ↔ юрлицо» на онбординге + ротация и отзыв ключей. Анонимный граф в суд не предъявишь.
4. Не перепродавать крипту: цепь доказывает атрибуцию и неизменность (кто подписал, что запись не меняли), а не честность оператора при скане. Точность на краю — процесс: обязательная сверка счёта, вес, камеры.
5. Вход FBO «мягче»: у селлера нет ключа (удалённая сторона). Его декларация отгрузки в кабинете (подпись через обычную аутентификацию) + приёмка, подписанная ключом склада Ozon; дальше — сверка двух записей. Внутри сети (склад → ПВЗ → курьер) граф чистый; на стыке с селлером симметрии криптоподписей нет — это надо проговорить.

Страховой тезис

Выплаты — одна сторона медали. Главное: наша система может перевести страховую из режима «отказ» в режим «андеррайтинг».

Сегодня внешняя страховая отказывается страховать товар в складской сети маркетплейса: не может проверить, что где лежит, кто за что отвечает, а после WB — в панике. Рынка страхования распределённого стока не существует.

Важно: отказ — не из-за военного риска. Ударная концентрация — проблема крупных центральных складов; тысячи распределённых ПВЗ имеют профиль обычных коммерческих рисков: мошенничество, кражи, порча, подлог оператора. Децентрализация Ozon не только делает сеть физически неубиваемой, но и конвертирует нестрахуемую концентрацию военного риска в страхуемый диверсифицированный портфель. Единственное, что мешает андеррайтингу, — «чёрный ящик»: страховая не видит, что где лежит и кто за что отвечает. Именно этот барьер и снимает наша система.

С нашей системой у страховой появляется то, чего ей не хватало: - непрерывно якорённая, двусторонне подписанная, суд-грейд запись состояния по каждой точке; - атрибуция ответственности (оператор/курьер/перевозчик/Ozon) по каждому событию; - достоверное состояние на момент события — для урегулирования.

Это превращает «мы не можем страховать чёрный ящик» в «мы можем андеррайтить, потому что видим и можем проверить». Открывается рынок, которого сегодня нет.

Обязательное условие: страховая — вне экосистемы Ozon. Страховщик внутри экосистемы (Ozon Банк / собственная страховая) доверяет данным Ozon — он просто вытащит выгрузку из их БД, независимость ему не нужна. Внешний страховщик не верит самоотчёту Ozon в принципе — и именно ему нужна запись, которой Ozon не владеет. Это подтверждает закон с обратной стороны: независимая верификация ценна ровно там, где контрагент genuinely внешний и недоверчивый.

Это же усиливает довод «деньги входящие» из закона доминирующей стороны: страховые выплаты Ozon (и селлерам) становятся возможны только при наличии независимой записи.

Пакет продукта

Один аппарат, одна PoA-сеть, два сторителлинга:

Мясо (ядро, рекуррентная ценность)

Нотариус физической ответственности: двусторонние акты на каждом хэндофе, якорённые вне Ozon. - Возврат потерь (взыскание с операторов/перевозчиков, депозиты, страховки контрагентов). - Дешёвое разрешение споров вниз по цепочке. - Инкассация от внешних страховых. - Открытие рынка страхования распределённого стока.

Удочка (публичное, производная)

Агрегат записей даёт эксклюзивный знак доверия: «мы — маркетплейс, чей учёт физически не может быть переписан». Рекламная кампания против тонущего WB. Ценность — в эксклюзивности: первый покупатель платит за то, чтобы второй не смог. WB не может ответить (репутация уже сгорела), Я.Маркет ещё не додумался. И это не только PR: знак доверия — конверсионный инструмент FBS → FBO (см. «Третья сторона — селлер»).

Моат

Англицизм из бизнес-лексики — economic moat («экономический ров»), термин, популяризированный Уорреном Баффетом. Означает устойчивое конкурентное преимущество, которое защищает бизнес от конкурентов — как ров вокруг замка: конкуренту трудно перебраться через него и отнять у тебя клиента.

Ozon не может владеть этим сам: ценность записи — в том, что она живёт не у Ozon. Единственный, кто может продать Ozon «запись, которой не владеет Ozon», — это мы. 4000 инженеров Ozon здесь не помогают.

Кто внутри Ozon платит

Ключевой момент: экономика сходится не на «доходах от новых селлеров» (они приходят сами), а на конверсии пришедших в маржинальный FBO-сток + возврате собственных потерь Ozon + инкассации от страховых.

Открытые вопросы

1. Кто именно внутри Ozon страдает от того, что селлеры не несут сток в ПВЗ (владелец ПВЗ-программы)? Есть ли у него бюджет и мандат?
2. Согласится ли Ozon на записи, которые связывают и его (двусторонность режет в обе стороны)? Анализ: да, при избирательном внедрении там, где Ozon — потенциальная жертва. Нужна проверка.
3. Какая внешняя страховая готова андеррайтить распределённый сток при наличии независимой записи? Что ей нужно для старта?
4. Пилот: один поток — приёмка в ПВЗ (или перемещения между ПВЗ). Замерить стоимость разрешения споров «до/после».
5. Регуляторный контур: после массовых потерь WB вероятность требований ЦБ/ФАС к доказуемому учёту растёт. Быть готовым решением к моменту команды.
6. Конверсия FBS → FBO: что реально двигает селлера — знак доверия, страхуемость стока или комиссия? Протестировать на когорте бегущих от WB селлеров.

Ключевые инсайты

1. ❌ Удар по складу ≠ удар по данным. Склад = место, где лежит чужой товар; удар по складу = социальный удар по селлерам и покупателям, а не по платформе.
2. ❌ Ozon добровольно не купит «прозрачность». Прозрачность = обязательства + операционные расходы. Покупатель независимости — тот, кто боится непрозрачности контрагента. Доминант не боится.
3. ❌ Селлеры приходят сами — «ловить» их не нужно. Значит, продукт не может строиться на «привлечении через прозрачность».
4. ❌ Односторонняя доказуемость умирает на возражении заинтересованной стороны, сколько бы ни было блокчейна.
5. ✅ Прорыв: двусторонняя фиксация в точке перехода ответственности. Подпись контрагента закрывает происхождение, независимый якорь — неизменность. Нужны обе половины.
6. ✅ Моат: Ozon не может построить запись, которой не владеет. Ценность живёт вне его контроля.
7. ✅ Страховой тезис: система переводит внешнюю страховую из «отказа» в «андеррайтинг» — и это работает только со страховой вне экосистемы Ozon.
8. ✅ Пакет: мясо (нотариус ответственности → возврат потерь и страховые выплаты) + удочка (эксклюзивный знак доверия против WB) + моат (запись вне контроля Ozon).
9. ✅ Деньги — в конверсии FBS → FBO. Селлер приходит сам, но в тонком режиме FBS. Нотариус ответственности + знак доверия переводят его в маржинальный FBO — без единого нового селлера.