Was in diesem Serverraum passiert ist
In einem Betrieb, den wir übernommen haben, stand eine USV im Serverraum, ordentlich gekauft und angesteckt. Verbunden mit dem Server war sie nie. Sie hielt den Strom also ein paar Minuten länger und riss ihn dann genauso hart ab, nur mit Verzögerung.
Beim Gewitterabend traf es die Datenbank der Branchensoftware mitten in einem Schreibvorgang. Sie startete nicht mehr, und aus einem Gewitter wurden zwei Tage Wiederherstellung aus der Datensicherung.
Zwei Tage klingen überschaubar, solange man sie nicht im Kalender sucht. Sie bedeuten einen Betrieb, der nicht arbeiten kann, Fristen, die trotzdem weiterlaufen, und Termine, die der Betrieb verschieben muss, samt der Erklärung gegenüber dem Kunden. Erfahrungsgemäß fallen diese Tage nicht in den ruhigen August.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Was ein Batteriekasten leistet, was nicht
Er überbrückt Minuten, keine Stunden. Eine USV ist kein Notstromaggregat, und dass das Büro bei Stromausfall weiterarbeitet, ist nicht ihr Zweck. Sie kauft dem Server die Zeit, die er braucht, um sich geordnet zu verabschieden.
Sie bringt einen Feinschutz mit, ersetzt aber den Ableiter im Verteiler nicht. Das ist die zweite Verwechslung, und sie liegt bei einem Gewitter noch näher als die mit dem Notstromaggregat. Praktisch jede USV filtert am Eingang die kleinen Spitzen weg. Einen Einschlag in der Nähe hält sie nicht auf. Dafür braucht es den koordinierten Überspannungsableiter im Verteiler, und den setzt der Elektriker, nicht der IT-Betreuer.
Sie schützt nur, was gemeldet wird. Jemand muss das geordnete Herunterfahren einrichten: offene Schreibvorgänge abschließen, Datenbanken sauber beenden, ausschalten. Ohne Signalverbindung passiert nichts davon, und genau daran scheitert es in der Praxis.
Und sie schützt einen Server anders als einen PC. Ein PC, der hart ausgeschaltet wird, startet meistens einfach neu. Auf einem Server laufen in jedem Moment Schreibvorgänge: Datenbanken, offene Dateien, E-Mail, oft mehrere virtuelle Maschinen. Reißt der Strom mitten hinein, bleiben halbfertige Daten zurück.
Für Technik-Interessierte Bauarten, Laufzeit und Abschaltfolge
Vier Punkte entscheiden, ob eine USV im Ernstfall trägt.
Auf dem Datenblatt stehen die Bauart und die VA-Zahl. Alles andere entscheidet sich in Ihrem Serverraum.
- Die drei Bauarten. Die Offline-USV, auch Standby genannt, ist die einfachste und steht in kleinen Serverräumen am häufigsten. Sie lässt den Netzstrom durch und schaltet bei Ausfall in Millisekunden auf Batterie um. Line-Interactive kann dasselbe und hat zusätzlich einen Regeltrafo eingebaut, den AVR. Der gleicht mäßige Über- und Unterspannungen aus, ohne dafür auf Batterie zu gehen, und genau das ist bei einem Netz, das öfter schwankt, der Unterschied: Der Akku wird nicht bei jeder Delle beansprucht. Online-USVs versorgen die Last permanent aus dem Wandler: Umschaltzeit null, Spannungsschwankungen komplett gefiltert.
- Die Laufzeit als Rechenaufgabe. Sie ergibt sich aus tatsächlicher Last in Watt und Batteriekapazität. Auf dem Datenblatt steht allerdings die Scheinleistung in VA, und die Wattangabe desselben Geräts liegt deutlich darunter. Wer die VA-Zahl für Watt hält, kauft zu klein, und das ist der klassische Fehler beim Dimensionieren. Rechnen Sie mit der Wattangabe und dimensionieren Sie nicht auf Weiterarbeiten, sondern auf das geordnete Herunterfahren, mit Zeitreserve.
- Die Alterung der Akkus. Sie altern chemisch und liefern nach einigen Jahren nur noch einen Bruchteil der Nennlaufzeit. Eine USV, deren Akku nach fünf Jahren Sekunden hält, fällt genau dann auf, wenn es darauf ankommt.
- Die Abschaltfolge. Zuerst die abhängigen Dienste, dann die Datenbanken, dann die virtuellen Maschinen, zuletzt der Host. In der falschen Reihenfolge entsteht derselbe Schaden wie ohne USV.
„Eine USV, die nie unter Last getestet wurde, ist ein Karton mit Batterien. Ich will das geordnete Herunterfahren gesehen haben, bevor das erste Gewitter es auslöst.“
Und wie sieht Vorbereitung konkret aus?
Im Normalbetrieb. Die USV ist mit dem Server verbunden und meldet ihm einen Stromausfall in dem Moment, in dem sie auf Batterie wechselt. Das ist die Voraussetzung für alles Weitere.
Beim Ausfall. Nach einer definierten Wartezeit fährt alles automatisch und in der richtigen Reihenfolge herunter. Auch nachts um drei, auch am Feiertag, ohne dass jemand ins Büro fährt.
Bei der Rückkehr des Stroms. Die Systeme starten in der richtigen Reihenfolge: zuerst die Basis, dann die Datenbanken, dann die abhängigen Dienste. Wer das nicht geregelt hat, verbringt den Morgen mit Reihenfolge-Raten.
Und einmal im Jahr. Ein kontrollierter Probelauf unter Last, mit Protokoll und gemessener Laufzeit. Erst dieses Protokoll unterscheidet eine Vorsorge von einem Gerät im Eck.
Die Bestandsfragen können Sie selbst stellen, und den Testtermin können Sie selbst einfordern. Der Lasttest und die Einrichtung der Abschaltkette gehören dagegen in fachkundige Hände: Ein missglückter Probelauf richtet genau den Schaden an, den er verhindern soll.
„Bisher ist ja nie etwas passiert“
Der Einwand ist ehrlich und in den meisten Betrieben sogar richtig: In zehn Jahren hat der Server jeden Stromausfall überstanden, warum sollte ausgerechnet der nächste ihn umbringen.
Weil sich zwei Dinge ändern, während nichts passiert. Der Akku altert, und die Umgebung wird dichter, weil auf einer Maschine heute mehr läuft als vor zehn Jahren. Den Rauchmelder tauschen Sie ja auch nicht deshalb nie, weil es bisher nicht gebrannt hat.
Vier Fragen, und was Sie selbst tun können.
Wer dieses Protokoll nicht vorlegen kann, hat Ihnen einen Karton mit Batterien verkauft, keine Vorsorge.
Nach dem Lasttest-Protokoll gefragt.Und „die USV steht eh dort“ gehört?
Dann weiß niemand, ob sie beim nächsten Gewitter mehr tut, als den Abriss zu verzögern. Reden wir eine halbe Stunde darüber. Wir gehen die Kette von der Batterie über die Abschaltfolge bis zur Meldung durch, solange draußen die Sonne scheint.
