A/B ist erst redundant, wenn jede Seite allein trägt

Ein Serverraum mit zwei Stromschienen, A und B. In jedem Rack zwei Steckdosenleisten, eine pro Schiene, und jeder Server hat zwei Netzteile. Auf dem Plan ist das redundant, und im Normalbetrieb sieht es auch so aus: Beide Leisten zeigen um die 60 Prozent Last.

Dann wird Schiene A für eine Wartung abgeschaltet. Die Server schalten wie vorgesehen auf ihr zweites Netzteil um, und Schiene B trägt jetzt die gesamte Last: 120 Prozent ihrer Nennleistung. Der Sicherungsautomat der Leiste löst aus. Das Rack ist dunkel, obwohl alles doppelt war.

Was der Grundschutz verlangt

Der Baustein INF.2 Rechenzentrum sowie Serverraum beschreibt die zweizügige Versorgung in zwei Anforderungen für erhöhten Schutzbedarf. INF.2.A23 legt fest, wo sie anfangen soll:

„Zur optimalen Versorgung von IT-Hardware, die über zwei Netzteile verfügt, SOLLTE ab der Niederspannungshauptverteilung für die IT-Betriebsbereiche eine zweizügige sogenannte A-B-Versorgung aufgebaut werden.“

Und gleich danach: „Einander Redundanz gebende Leitungen SOLLTEN über getrennte Trassen verlegt werden.“ INF.2.A25 ergänzt die zweite Hälfte: Ist eine A-B-Versorgung aufgebaut, soll „jeder der beiden Strompfade mit einem eigenständigen USV-System ausgestattet sein“.

Die Basis-Anforderung INF.2.A3 sagt, was mit der Dimensionierung passiert, wenn sich etwas ändert:

„Bei relevanten Änderungen an den Verbrauchern MUSS überprüft werden, ob die vorhandenen USV-Systeme noch ausreichend dimensioniert sind.“

Was die Anforderungen nicht als Zahl nennen, ergibt sich aus ihnen: Eine A-B-Versorgung ist nur dann eine, wenn jede Seite die volle Last allein tragen kann. Die DIN EN 50600 behandelt Verfügbarkeitsklassen der Stromversorgung ausführlich; ihr Normtext ist urheberrechtlich geschützt und wird hier nur sinngemäß herangezogen.

Wo es in der Praxis kippt

• Die Last jeder Seite. Bei gleichmäßig verteilter Last darf jede Seite im Normalbetrieb höchstens zur Hälfte ihrer Nennleistung belastet sein, mit Abstand für Anlaufströme. 60 Prozent auf beiden Seiten klingt gesund und ist es nicht. Und weil jedes neue Gerät beide Seiten belastet, wandert die Grenze mit jeder Installation näher, genau der Fall aus INF.2.A3.
• Wo A und B zusammenlaufen. Zwei Leisten im Rack heißen nicht zwei Wege. Hängen beide Abgänge am selben Unterverteiler, an derselben USV oder liegen ihre Leitungen in derselben Trasse, ist die Redundanz nur im Rack doppelt. Die Anforderung nennt nicht ohne Grund die Niederspannungshauptverteilung als Startpunkt.
• Das zweite Netzteil an derselben Leiste. Beim Einbau unter Zeitdruck stecken beide Netzteile in die Leiste, die näher ist. Oder ein Netzteil ist seit Monaten defekt, der Server läuft weiter, und niemand merkt, dass er nur noch einbeinig steht.

Alle drei Fehler haben gemeinsam, dass im Alltag nichts passiert. Sie zeigen sich erst in dem Moment, für den die Redundanz gebaut wurde.

Wie isidaten das abbildet

Im DCIM-Modul wird der Strompfad je Netzteil verfolgt: vom Gerät über Leiste und Abgang bis zur Verteilung und zur Quelle, sodass sichtbar wird, ob A und B wirklich getrennt bleiben. Die Rack-Ansicht warnt bei Geräten, deren Stromanschlüsse nur zu einer einzigen Leiste oder USV führen, und wenn ein ganzes Rack nur aus einer Quelle versorgt wird. Liegen Messwerte je Netzteil vor, vergleicht isidaten alle 15 Minuten die aktuelle Lastverteilung mit dem Mittel der Vorwoche und meldet, wenn ein Netzteil plötzlich nichts mehr trägt oder eines dauerhaft fast alles; die Meldung läuft über die normale Alarmierung bis hin zum Vorfall.

Die Prüffrage

Nehmen Sie das Rack mit der höchsten Last: Wie viel Prozent ihrer Nennleistung trägt Leiste B, wenn Leiste A ausfällt, und bis zu welcher Verteilung lassen sich die beiden Wege getrennt verfolgen?

Wenn die erste Antwort über 100 liegt oder die zweite „im Rack“ lautet, ist die Versorgung doppelt, aber nicht redundant.

Quellen

BSI IT-Grundschutz-Kompendium, Edition 2023, Baustein INF.2 Rechenzentrum sowie Serverraum, Anforderungen A3, A23 und A25. DIN EN 50600 sinngemäß, Normtext urheberrechtlich geschützt.

In der nächsten Folge: Ghost-Server, die Strom und Höheneinheiten belegen, ohne eine Aufgabe zu haben. Die vorige Folge: Für das BSI ein Rechenzentrum, für das EnEfG nicht.