Überbrückungszeit, Batterien und die Pflicht zu testen

Eine Notstromversorgung wird meist als Anschaffung behandelt: Gerät kaufen, einbauen, Häkchen setzen. Tatsächlich ist sie die einzige Anlage im Haus, die über Jahre nichts tut und dann in Sekunden funktionieren muss. Daraus folgt eine unangenehme Eigenschaft: Ihr Zustand ist von außen nicht erkennbar. Man sieht nicht, ob eine Batterie noch Kapazität hat, und man merkt es genau in dem Moment nicht, in dem man es erfahren müsste.

Was die unterbrechungsfreie Stromversorgung abdecken muss

Der IT-Grundschutz verlangt, für alle betriebsrelevanten Komponenten eines Rechenzentrums eine unterbrechungsfreie Stromversorgung zu installieren. Er benennt dabei ein Problem, das in kleinen Anlagen häufig übersehen wird: Der Leistungsbedarf von Klimaanlagen ist für eine solche Versorgung oft zu hoch. Mindestens die Steuerung der Anlagen muss deshalb angeschlossen werden, damit die Kühlung nach dem Umschalten überhaupt wieder anlaufen kann.

Das ist mehr als ein technisches Detail. Wenn die Server weiterlaufen, die Kühlung aber nicht, wandert das Problem lediglich von der Stromversorgung zur Temperatur. Wer eine bestehende Anlage bewerten will, sollte deshalb zuerst fragen, welche Verbraucher tatsächlich auf der gesicherten Schiene liegen: Server, Speicher, Netzkomponenten, Überwachungstechnik, Steuerungen der Kälteanlage und die Zutrittsanlage gehören dazu. Arbeitsplatzdrucker und Kaffeemaschinen gehören es nicht, hängen aber in improvisierten Räumen erstaunlich oft mit dran.

Die Überbrückungszeit herleiten statt schätzen

Die nötige Überbrückungszeit ergibt sich aus dem, was in ihr geschehen soll. Mit Netzersatzanlage ist das die Zeit bis zur stabilen Lastübernahme durch den Generator, zuzüglich einer Reserve für den Fall, dass der erste Startversuch misslingt. Ohne Netzersatzanlage ist es die Zeit, die alle Systeme für ein geordnetes Herunterfahren brauchen, einschließlich der Dauer, bis ein Mensch die Entscheidung dazu trifft. Der IT-Grundschutz formuliert für Serverräume ohne Netzersatzanlage entsprechend, dass eine unterbrechungsfreie Stromversorgung mit einer dem Schutzbedarf angemessenen Autonomiezeit vorzusehen ist.

Ein Rechenbeispiel mit ausdrücklich angenommenen Werten, keinen Messwerten: Die gesicherte Last betrage 25 kW, die geforderte Überbrückungszeit 8 Minuten. Der Energiebedarf beträgt dann 25 kW multipliziert mit 8 Sechzigsteln einer Stunde, also rund 3,3 kWh. Weil ein Wechselrichter Verluste hat und eine Batterie mit dem Alter Kapazität verliert, wird in der Praxis ein Zuschlag eingeplant; bei angenommenen 30 Prozent ergibt das rund 4,3 kWh, die am Ende der Nutzungsdauer noch verfügbar sein müssen.

Zwei Fallstricke stecken in dieser Rechnung. Erstens sinkt die nutzbare Kapazität einer Batterie, je schneller sie entladen wird; die Angabe für eine zehnstündige Entladung hilft bei einer achtminütigen nicht weiter. Zweitens wächst die Last über die Jahre, weil Schränke gefüllt werden. Der IT-Grundschutz verlangt daher ausdrücklich, bei relevanten Änderungen an den Verbrauchern zu überprüfen, ob die vorhandenen Anlagen noch ausreichend dimensioniert sind. Diese Prüfung gehört in die Nachbereitung jedes Serverausbaus, nicht in die Jahresplanung.

Batterien sind Verbrauchsmaterial mit Betriebsbedingungen

Für den Energiespeicher stellt der IT-Grundschutz zwei konkrete Anforderungen. Die Batterie muss im erforderlichen Temperaturbereich gehalten werden, und sie sollte dazu vorzugsweise räumlich getrennt von der Leistungselektronik aufgestellt werden. Der Hintergrund ist einfach: Die Elektronik erzeugt Wärme, und Wärme verkürzt die Lebensdauer von Batterien. Wer beides in einen kleinen, schlecht belüfteten Raum stellt, verkürzt planmäßig die Autonomiezeit, ohne es zu bemerken.

Hinzu kommt die Wartung. Die unterbrechungsfreie Stromversorgung muss regelmäßig gewartet und auf Funktionsfähigkeit getestet werden, und die vom herstellenden Unternehmen vorgesehenen Wartungsintervalle sind einzuhalten. Für die Batterie bedeutet das mehr als eine Sichtprüfung: Erst eine Messung unter Last zeigt, welche Kapazität tatsächlich noch vorhanden ist. Der Austausch von Batterien ist deshalb ein planbarer, wiederkehrender Posten und keine unvorhergesehene Ausgabe. Die Wahl der Technik verändert Wartungsaufwand, Platzbedarf und Anforderungen an die Raumtemperatur, nicht aber die Notwendigkeit der Prüfung.

Netzersatzanlage: Kraftstoff, Protokoll und Wiederkehr

Für die Netzersatzanlage sind die Vorgaben ungewöhnlich konkret. Sie muss regelmäßig gewartet werden, und bei diesen Wartungen sind auch Belastungs- und Funktionstests sowie Testläufe unter Last durchzuführen. Der Betriebsmittelvorrat ist regelmäßig daraufhin zu überprüfen, ob er ausreichend ist, und ebenso darauf, ob die Vorräte noch verwendbar sind, vor allem um mikrobiellen Befall des Kraftstoffs zu vermeiden, in der Praxis Dieselpest genannt. Nach Möglichkeit soll statt Dieselkraftstoff schwefelarmes Heizöl verwendet werden.

Besonders aufschlussreich ist die Protokollpflicht: Tankvorgänge müssen dokumentiert werden, und aus dem Protokoll muss die Art des Brennstoffs, die genutzten Additive, das Tankdatum und die getankte Menge hervorgehen. Ein solches Protokoll ist bei einer Besichtigung eines der ehrlichsten Dokumente überhaupt, weil es sich nachträglich kaum plausibel erfinden lässt. Fehlt es, war der Kraftstoffvorrat vermutlich nie Gegenstand einer Prüfung.

Zur Dimensionierung gehört die Frage, wie lange der Vorrat trägt und wie er nachgefüllt wird. Bei einem Flächenausfall sind Tankwagen knapp und Straßen möglicherweise nicht befahrbar. Ein Liefervertrag mit zugesagter Frist ist daher Teil der Auslegung, nicht ihre Ergänzung. Bei erhöhtem Schutzbedarf sieht der IT-Grundschutz zusätzlich eine redundante Auslegung der Netzersatzanlagen vor, wobei auch die redundante Anlage denselben Wartungsvorgaben unterliegt.

Testen und prüfen sind zwei verschiedene Pflichten

Der IT-Grundschutz trennt den Funktionstest von der Wartung. Die technische Infrastruktur eines Rechenzentrums soll regelmäßig, zumindest ein- bis zweimal jährlich, sowie nach Systemumbauten und umfangreichen Reparaturen getestet werden; die Ergebnisse sind zu dokumentieren, und besonders ganze Reaktionsketten sollen einem echten Funktionstest unterzogen werden. Genau darin liegt der Unterschied zwischen einem Probelauf und einem Test: Nicht der Generator wird geprüft, sondern die Kette von der Netzüberwachung über die Umschaltung und den Start bis zum Wiederanlauf der Kühlung.

Daneben stehen Pflichten aus dem Arbeitsschutzrecht. Die Betriebssicherheitsverordnung verlangt, Arbeitsmittel, deren Sicherheit von den Montagebedingungen abhängt, vor der erstmaligen Verwendung und nach jeder Montage durch eine zur Prüfung befähigte Person prüfen zu lassen. Arbeitsmittel, die schädigenden Einflüssen ausgesetzt sind, unterliegen wiederkehrenden Prüfungen in Fristen, die der Arbeitgeber aus der Gefährdungsbeurteilung ermittelt. Das Ergebnis ist aufzuzeichnen, und zwar mit Art und Umfang der Prüfung, dem Ergebnis sowie Name und Unterschrift der befähigten Person.

Für die Durchführung eines solchen Tests gilt eine einfache Regel: Wer nicht umschaltet, hat nicht getestet. Ein Generator, der im Leerlauf warmläuft, beweist, dass er startet. Er beweist nicht, dass die Umschalteinrichtung arbeitet, dass die Batterie die Zeit bis zur Übernahme trägt und dass die Kälteanlage anschließend wieder anläuft. Ein solcher Test braucht einen Termin, eine Ankündigung an die Kunden, einen Ablaufplan und einen definierten Rückweg für den Fall, dass etwas nicht funktioniert.

Ergänzend gehört zur elektrischen Absicherung der Blitz- und Überspannungsschutz. Der IT-Grundschutz empfiehlt, dafür ein Konzept auf Grundlage der einschlägigen Normenreihe zu erstellen und die Einrichtungen einmal jährlich einer umfassenden Prüfung zu unterziehen. Wer Notstrom plant, aber den Überspannungsschutz nicht mitprüft, sichert die Versorgung und lässt die Elektronik ungeschützt.

Unterlagen, die vorliegen sollten

Unsere Einordnung: Die Frage nach der Notstromversorgung wird zu oft mit einer Leistungsangabe in Kilowatt beantwortet. Belastbar sind dagegen drei Zahlen mit Datum: die gemessene Restkapazität der Batterie, die Dauer des letzten Testlaufs unter Last und die Reichweite des Kraftstoffvorrats samt Nachlieferzusage. Wer diese drei Angaben nicht nennen kann, betreibt eine Anlage, deren Zustand er nicht kennt.

Verwandte Themen: Wer hier weiterdenkt, liest bei Redundanz, Serverraum und Wiederherstellungsübung weiter.