Ein RZ-Betreiber mitten in Deutschland testet einmal jährlich die Redundanzen der technischen Infrastruktur – nicht durch Simulation, sondern durch reale Abschaltungen. Dieser Beitrag berichtet von einem Vorfall während eines solchen Tests im letzten August und analysiert das Ergebnis. Vorher aber zunächst ein paar Worte zur technischen Infrastruktur des besagten Rechenzentrums.
Das 2018 neu erstellte elektrische Versorgungssystem besteht bei diesem Rechenzentrum aus einer konsequenten A-/B-Versorgung, von den Trafostationen bis zu den Servernetzteilen. Die beiden USV-Anlagen (unterbrechungsfreie Stromversorgung) sind jeweils ausgelegt für den vollen IT-Bedarf von 200 kVA. Realisiert wurde das Ganze mit modularen Systemen eines italienischen Herstellers. Jede USV besteht folglich aus fünf Modulen mit je 42 kVA, was in Summe jeweils 210 kVA ergibt. Die Anlagen laufen im sogenannten Halblast-Parallelbetrieb. Der aktuelle Ausbaustand des Rechenzentrums liegt bei ca. 120 kVA, also etwa 60 Prozent der Nennleistung. Das führt im Regelbetrieb in der genannten Betriebsart zu jeweils 30 Prozent Auslastung der beiden USVen.
Im Vorfeld des Testwochenendes wurden Testszenarien entwickelt, die den Ausfall einzelner Komponenten, aber auch jeweils eines gesamten Pfades des Systems, berücksichtigen sollten. Ein Szenario sah dabei vor, die Stromversorgung hinter einer der USVen zu kappen, um festzustellen, ob der verbleibende Redundanzpfad die Versorgung der IT übernimmt und ob alle IT-Geräte auch tatsächlich korrekt an die Versorgungspfade A und B angeschlossen sind. Unter diesen Voraussetzungen wurde der Test begonnen. Die folgende Symbolik zeigt schematisch, an welcher Stelle die Versorgung des Systems A unterbrochen wurde:
Der Test verlief soweit erfolgreich, alle IT-Geräte blieben in Betrieb. Das B-System übernahm die Versorgung wie geplant. Alle Beteiligten waren erleichtert und man entschloss sich, wieder in den Regelbetrieb zurückzukehren, indem man die A-Versorgung wieder zuschaltete.
Im Moment des Zuschaltens gab es dann jedoch einen Knall aus dem USV-Raum. Erschrocken und ratlos sahen sich die Beteiligten an. Der anwesende Vertreter des USV-Herstellers rief: „Ihr habt die USV zerschossen!“ Er sollte nur teilweise Recht behalten. Nachdem nichts weiter geschah, fing man an, den Vorfall zu analysieren. Das Wichtigste: Kein Feuer, kein Rauch, keine Verletzten. Und augenscheinlich waren alle Serversysteme in Betrieb und wurden vom System A und vom System B versorgt. Beide USVen befanden sich in Betrieb im Online-Modus, also nicht auf Bypass. Die USV A aber zeigte ein fehlerhaftes Modul an.
Schnell wurde klar, dass der Vorfall etwas mit den Einschaltströmen der Server-Netzteile zu tun hat. Die Last wurde beim Zuschalten nicht sequenziell, sondern komplett aufgeschaltet. Es kam ein Strom von ca. 700 Ampere zum Fließen, wie die nachträgliche Auswertung der fest installierten Messgeräte ergab. Dieser Zustand sieht für eine USV für einen kurzen Moment wie ein Kurzschluss aus. Diese Stresssituation hat eines der USV-Module wohl nicht verkraftet. Wie kann das sein? Wurde etwa eine falsche Schalthandlung durchgeführt?
Schaut man sich die technischen Merkmale der betroffenen USV-Anlage an, liest man, dass die USV im Onlinebetrieb den zweieinhalb-fachen Nennstrom bewältigen muss. Bei 210 kVA beträgt der Nennstrom 303 Ampere. Dies multipliziert mit 2,5 ergibt 758 Ampere. Somit hätte die Anlage die 700 Ampere durchaus bewältigen müssen. Und selbst wenn der Strom wesentlich höher gelegen hätte, müsste die Anlage dies durch Umschaltung auf den Bypass bewältigen. Kaputtgehen darf sie dabei in jedem Falle nicht. Der Hersteller hat das betroffene USV-Modul auch prompt binnen weniger Tage getauscht – im Zuge der Gewährleistung.
Eine wichtige Erkenntnis lässt sich hier aber zum Konzept der modularen USVen ableiten: Wäre ein solcher Fehler mit einer nicht-modularen USV passiert, wäre die gesamte USV wirkungslos und ein A-/B-Betrieb nur noch über den Bypass möglich gewesen. Im modularen Konzept bleiben aber vier von fünf Modulen funktionsfähig und versorgen die IT weiterhin. Das ist mal ein Argument für die deutlich komplexeren und teureren modularen USV-Systeme.
Eine weitere Erkenntnis ist die, dass der RZ-Betreiber bei solchen Testszenarien künftig die Last sequenziell zuschalten wird. Das Gute dabei ist, dass dieses Ausfall-Szenario im richtigen Leben praktisch nie vorkommt, da hinter der USV immer Strom anliegt, sei es durch den elektronischen oder den mechanischen Bypass in der USV oder den zusätzlichen externen Bypass. Wäre man aber tatsächlich gezwungen, einen „Schwarzstart“ vollziehen zu müssen, könnte man die Einschaltströme über den externen Bypass abfangen und dann unterbrechungsfrei auf den Online-Betrieb wechseln.
Es zeigt sich wieder, wie sinnvoll solche Tests sind. Schwachstellen und Mängel werden aufgedeckt, Erkenntnisse für das weitere Handeln werden gewonnen und Fehler „mit Ansage“ werden in der Zukunft vermieden. Simulationen und sogenannte „Stress-Tests“ auf dem Papier reichen dafür ganz sicher nicht aus.
