Zwei Räume sind noch keine zwei unabhängigen Umgebungen. Gemeinsame Stromversorgung, zentrale Netzkomponenten oder ein einzelnes Storage-System können beide betreffen. Beginnen Sie mit dem Fehlerbild, das Sie auffangen wollen, und verfolgen Sie dessen Auswirkungen bis zur Anwendung.
Zwei Räume. Eine gemeinsame Stromversorgung.
Die getrennten Räume und Netzteile sind vorhanden. Die Versorgung ist in diesem Beispiel trotzdem nicht unabhängig. Der tatsächliche Schutz ergibt sich aus der gesamten Stromkette, nicht aus der Anzahl der Anschlüsse.
Das Schutzziel konkret benennen
Ein defektes Netzteil, der Ausfall einer Stromverteilung und ein nicht zugängliches Gebäude sind verschiedene Szenarien. Prüfen Sie für jedes relevante Szenario, welche Komponenten weiterlaufen müssen. Entscheiden Sie danach, ob eine zweite Versorgung, ein getrennter Brandabschnitt oder ein anderer Standort erforderlich ist.
Gemeinsame Komponenten sichtbar machen
Zwei Netzteile schützen nicht vor jeder Unterbrechung der Versorgung. Verfolgen Sie beide Strompfade mit den Gebäudeverantwortlichen bis zu ihrer gemeinsamen Einspeisung. Dasselbe Prinzip gilt für Carrier und Storage.
Doppelt vorhanden, trotzdem gemeinsam betroffen
- Strom: zwei Netzteile
Beide Leitungen enden an derselben USV oder Verteilung? Dann bleibt deren Gesamtausfall ein gemeinsames Fehlerbild.
- WAN: zwei Provider
Beide Glasfasern nutzen dieselbe Gebäudeeinführung oder Trasse? Unterschiedliche Verträge schaffen keine physische Trennung.
- Storage: zwei Pfade
Beide führen zum selben Array? Multipathing schützt gegen Pfadausfälle, nicht gegen den Verlust des gesamten Arrays.
ENTSCHEIDENDIm Plan die erste gemeinsame Komponente markieren. Erst dann entscheiden, ob die Trennung das vereinbarte Fehlerbild abdeckt. DNS, Identitäten und Quorum ebenfalls einbeziehen.
Mit der verbleibenden Leistung rechnen
Nach dem Ausfall einer Seite muss die andere die vorgesehenen Anwendungen tragen. Dazu gehören CPU und Arbeitsspeicher ebenso wie Storage-Leistung und Netzbandbreite. Vereinbaren Sie, welche weniger wichtigen Systeme im Ersatzbetrieb pausieren dürfen. Berücksichtigen Sie auch den Fall, dass eine weitere Komponente gerade gewartet wird.
Fehlerbilder kontrolliert erproben
Leiten Sie aus der Architektur einen abgestimmten Testplan ab. Definieren Sie Freigaben, Schutzmaßnahmen und Abbruchkriterien, bevor Verbindungen oder Komponenten abgeschaltet werden. Prüfen Sie neben der Umschaltung auch die Rückkehr zum Normalbetrieb und die Sicht des Fachbereichs.
Diese Fragen sollten geklärt sein
- Welches konkrete Fehlerbild deckt die räumliche Trennung ab?
- Welche Komponenten und Leitungswege werden gemeinsam genutzt?
- Welche Anwendungen bleiben mit der Restkapazität nutzbar?
- Sind Umschaltung und Rückkehr praktisch geprüft?