Gerade beschäftigen den Autor dieses Beitrages mehrere gutachterliche Aufgabenstellungen zu Vorfällen, bei denen USV-Systeme (Unterbrechungsfreie Stromversorgung bzw. UPS für Uninterruptible Power Supply) im Mittelpunkt stehen. Jene Anlagen also, die mit Hilfe von Batterien kurzzeitige Stromausfälle überbrücken sollen. Ein Vorfall hatte den Betreiber eines Serverraums unerwartet getroffen und fuhr den IT-Betrieb direkt vor die Wand. Zwei andere spielten sich bei routinemäßigen Wartungsarbeiten in Rechenzentren ab. Diese Häufung der Ereignisse mag zwar statistisch noch nicht relevant sein. Sie regt jedoch trotzdem zum Nachdenken an, inwieweit solche Vorfälle bei der Planung hoch verfügbarer Stromversorgungen antizipiert werden müssen.
Im ersten Fall wurde in einer zweipfadigen Stromversorgung jeder Pfad einzeln abgeschaltet, damit der jeweils andere Pfad seine Leistungsfähigkeit unter Beweis stellen konnte. Beim Wiederzuschalten eines der beiden Pfade wurde die USV dann schlagartig mit einem elektrischen Lastimpuls konfrontiert, was durch die Häufung von kapazitiven Bauelementen in Servernetzteilen schon mal passieren kann. Eines der USV-Module kam offensichtlich mit dieser Lastzuschaltung nicht klar und wurde, bevor irgendwelche Schutzorgane wirksam werden konnten, spektakulär zerstört. Für den IT-Betrieb hatte dieser stinkende und qualmende Vorfall keine unmittelbaren Auswirkungen, da die verbleibenden USV-Module diesen Ausfall abfangen konnten.
Im zweiten Fall wurde bei einem routinemäßigen Testprozedere festgestellt, dass mehr als ein Dutzend Batterien einer USV-Anlage im Ernstfall hätten keine Energie liefern können, da sie nach nur fünf Betriebsjahren einen außergewöhnlich hohen Verschleiß zu verzeichnen hatten. Bitter in diesem Fall war, dass einerseits Batterien mit einer prognostizierten Lebensdauer von zehn bis zwölf Jahren im Einsatz waren und dass andererseits das hochwertige und auch kostspielige Batteriemanagementsystem, dass alle Blöcke einzeln überwacht, diesen Defekt nicht angezeigt hatte.
Im dritten Fall lösten ohne erkennbare äußere Einwirkung die der USV-Anlage vorgeschalteten Sicherungen außerhalb der üblichen Büroarbeitszeit aus. Die Stromversorgung der USV war damit unterbrochen. Diesen Fall hätte die Anlage eigentlich abfangen sollen, da die Batterien ja weiterhin verfügbar waren und die nachgeschaltete Serverinfrastruktur weiter hätten versorgen können. Doch genau dies passiert nicht, die USV schaltete die kritische Last ab, somit war der IT-Betrieb unmittelbar gestört – Ursache unbekannt.
Während man nun im letzten Fall mit forensischen Methoden gemeinsam mit Wartungsunternehmen, Herstellern und Betreibern versucht, das Geschehen aufzuklären, um für die Zukunft besser gerüstet zu sein, wurden bei den ersten beiden Fällen die entsprechenden Bauteile lediglich ausgetauscht und der der IT Betrieb fortgeführt.
Egal wie die Fehlersuche im letzten Fall ausgeht, es lohnt sich, zu erkennen, dass auch USV-Systeme technische Systeme sind, die aus verschiedensten Baugruppen bestehen. Und jede dieser Baugruppen bringt ein Ausfall- und Fehlerrisiko mit sich. Insofern handelt es sich mitnichten um einzelne höchstverfügbare Supersysteme mit 100 Prozent Zuverlässigkeit. Ausfälle durch technische Störungen können immer und überall auftreten. Vorsorgemaßnahmen, die diese unvermeidlichen Umstände hinreichend würdigen, sollte man also bereits bei der Konzeption, bei der Planung und beim Design der Stromversorgung treffen.
W Man darf sich nicht von einem einzelnen System abhängig machen, sondern sollte besser Redundanzen bis hin zur kompletten Zweizügigkeit vorsehen. Solche Konzepte können nicht nur Ausfälle abfangen, sondern sie ermöglichen auch Wartungstätigkeiten im laufenden Betrieb. Insofern ist eine Zweizügigkeit von Versorgungspfaden zwar kostspielig, aber gerade für hochverfügbare IT-Prozesse häufig unabdingbar.
- Hierbei gilt es, Einzelfehlerpunkte, die sogenannten SPOFs (Single Point of Failure) zu vermeiden. Von einem SPOF spricht man immer dann, wenn eine einzelne Komponente durch ihren Ausfall das Potential hat, den (IT-) Prozess unmittelbar zu beeinträchtigen oder komplett zu unterbinden.
- Da Produkte durchaus auch serienmäßige Fehler aufweisen können, lohnt es sich bei der vorbeschriebenen Zweizügigkeit darüber nachzudenken, je Pfad mit unterschiedlichen Fabrikaten zu arbeiten. Dies kann die USV Anlagen selbst, die Batterieanlagen oder weitere unterstützende Systeme betreffen. Dieser Punkt lässt sich zudem auch auf andere Versorgungselemente wie Klimatisierung oder Netzersatzanlagen übertragen.
- Ein weiterer wichtiger Grundsatz ist, dass man Anlagen nie zu kompliziert denken, planen und bauen sollte. Viele Kreuz- und Querverbindungen, optionale Versorgungs- und Bypass-Pfade erhöhen zwar in der Theorie die Verfügbarkeit, erweisen sich aber oft gerade in stressigen Momenten als kaum beherrschbar und dadurch wiederum als fehlerträchtig. Das gute alte KISS-Prinzip „Keep It Stupid and Simple“ schafft überschaubare, leicht zu bedienende Systeme.
Hochverfügbarer IT-Betrieb ist zweifelsohne abhängig von vielen komplexen technischen Systemen. Keines davon ist jedoch so resistent gegen Störungen und Ausfälle, dass es für sich alleine betrachtet werden darf. Eine hochverfügbare Versorgungsinfrastruktur berücksichtigt immer auch Schwachstellen und Unzulänglichkeiten sowie die besonderen Befindlichkeiten für die Instandhaltung im laufenden Betrieb.
