SAI de la sala de comunicaciones: dimensionado, alimentación A/B, baterías, pruebas, apagado ordenado y un corte de luz antes de la apertura

Qué vas a conseguir

Que un corte de luz en la sede sea una alerta y no un incidente mayor. El SAI (sistema de alimentación ininterrumpida) de la sala de comunicaciones tiene un trabajo concreto: aguantar la carga hasta que arranque el grupo electrógeno o, si no arranca, dar tiempo para apagar en orden lo que no puede caerse de golpe. En una sede con sala de trading eso se decide antes de las 9:00, con el mercado a punto de abrir.

Antes de empezar

• El esquema eléctrico de la sala: de qué cuadro sale cada línea, qué SAI alimenta cada PDU y qué circuitos cubre el grupo electrógeno del edificio.
• El contrato de mantenimiento del SAI (visitas, sustitución de baterías, tiempo de respuesta) y el contacto de mantenimiento del edificio para el grupo.
• Acceso a la tarjeta de red de cada SAI y a la monitorización de la sede.

1. Dimensionar: carga y autonomía

Carga: se mide, no se suma de las placas de características. Las PDU con medición dan el consumo real de cada rack; el panel del SAI, el total.

• Trabaja en kW, no en kVA. Un SAI de 10 kVA con factor de potencia 0,9 da 9 kW; los modernos suelen dar 1,0.
• Con dos SAI, uno para la línea A y otro para la B, cada uno tiene que poder con toda la carga si el otro falla. Con 6,4 kW de carga total, dos SAI de 10 kW van al 32 % cada uno y al 64 % si queda uno solo. Por encima del 80 % con uno solo, no queda margen para crecer.

Autonomía: depende de para qué la quieras.

• Con grupo electrógeno que cubre la sala, el SAI tiene que aguantar el arranque y la conmutación (segundos) más un margen por si el primer intento falla. 10-15 minutos es un objetivo habitual.
• Sin grupo, o si el grupo falla, la autonomía tiene que cubrir el apagado ordenado completo con margen. Mide cuánto tarda (en la prueba anual) y suma la mitad.
• La autonomía real baja con la edad de las baterías y con la temperatura. La del día de la instalación no es la de dentro de cuatro años.

2. Doble alimentación con PDU A y B

• Cada equipo crítico con dos fuentes: una a la PDU A y otra a la PDU B, cada PDU de un SAI distinto (o una de SAI y otra de red con su propia protección, según el diseño de la sala).
• Los equipos con una sola fuente (algunos aparatos de operadores, consolas, equipos antiguos) van con un conmutador de transferencia (ATS) de rack, o se aceptan y se documentan como punto único de fallo.
• Comprueba que cada fuente lleva carga. Una fuente desenchufada o averiada no se nota hasta que se corta la otra línea: las alertas de fuente redundante perdida de iDRAC, iLO y los switches tienen que llegar a alguien.
• Cada PDU por debajo del 40-50 % de su capacidad en uso normal: si cae la otra línea, tiene que absorber toda la carga del rack.

3. Baterías: vida y sustitución

• Las baterías de plomo selladas (VRLA) de los SAI de sala suelen tener una vida de diseño de 5 años o de 10 en las de larga duración, pero la vida real suele ser menor y depende sobre todo de la temperatura: por encima de unos 25 °C, se acorta mucho.
• Mantén la sala entre 20 y 25 °C y vigila la temperatura del propio SAI, no solo la del aire acondicionado.
• Planifica la sustitución por fecha y por resultado de las pruebas, no esperando a la alarma de "replace battery". Anota la fecha de la última sustitución en el inventario.

4. Pruebas: cada mes y cada año

Cada mes:

• Autotest de baterías desde la tarjeta de red o el panel, fuera del horario de mercado. Resultado y fecha en el registro.
• Revisión de alarmas activas, carga de cada SAI y de cada PDU, temperatura y autonomía estimada.

Cada año, con el mantenedor y en ventana de cambio aprobada:

• Prueba de descarga o calibración de autonomía con carga real: cuántos minutos aguanta de verdad.
• Prueba del bypass y de cada línea por separado: se corta la A y se comprueba que todo sigue en la B, y al revés. Es la prueba que encuentra la fuente desenchufada.
• Prueba con el grupo electrógeno del edificio coordinada con la propiedad: corte de red, arranque, conmutación y vuelta.

5. Monitorización: tarjeta de red y SNMP

Cada SAI con su tarjeta de gestión de red en la VLAN de gestión, con la contraseña de fábrica cambiada y SNMPv3 hacia la monitorización. Muchos SAI publican el MIB estándar de SAI (RFC 1628) además del suyo:

›snmpget -v3 -l authPriv -u mon-sai -a SHA -A "$AUTH" -x AES -X "$PRIV" sai-cr1-a.mgmt.local 1.3.6.1.2.1.33.1.4.1.0 1.3.6.1.2.1.33.1.2.1.0 1.3.6.1.2.1.33.1.2.3.0 1.3.6.1.2.1.33.1.2.4.0SNMPv2-SMI::mib-2.33.1.4.1.0 = INTEGER: 5SNMPv2-SMI::mib-2.33.1.2.1.0 = INTEGER: 2SNMPv2-SMI::mib-2.33.1.2.3.0 = INTEGER: 18SNMPv2-SMI::mib-2.33.1.2.4.0 = INTEGER: 71# 4.1 origen de la salida: 3 normal, 4 bypass, 5 batería# 2.1 estado de batería: 2 normal, 3 baja, 4 agotada# 2.3 minutos estimados de autonomía · 2.4 carga de batería en %

Alertas que tienen que llegar al teléfono de guardia, no solo al correo: en batería, batería baja, sustituir batería, sobrecarga, en bypass, temperatura alta y tarjeta sin respuesta (si la monitorización no la ve, tampoco verá un corte).

6. El orden de apagado

Si el corte va a durar más que la batería, se apaga por capas, de fuera hacia dentro, y se enciende al revés:

1. Lo que no hace falta para operar: entornos de prueba, servidores de impresión, equipos de sala de reuniones.
2. Aplicaciones: máquinas virtuales de aplicación, antes que sus bases de datos.
3. Bases de datos: con su parada limpia, para no arrancar después con una recuperación.
4. Almacenamiento compartido y después los hosts de virtualización.
5. La red, al final: núcleo, cortafuegos y la gestión fuera de banda siguen vivos hasta el último momento, porque son el camino por el que llegan las órdenes de apagado y por el que verás lo que pasa.

• El software de apagado del fabricante (o un agente en cada hipervisor) puede lanzar cada capa al cruzar un umbral de autonomía o de tiempo en batería. Los umbrales se fijan con la autonomía medida, no con la del catálogo.
• Los equipos de la sala de trading que gestiona su propio equipo (servidores de datos de mercado, aparatos de operadores) tienen su orden y su responsable: acuérdalo por escrito antes, no durante el corte.
• Los puestos de trading suelen ir en tomas de la planta respaldadas por SAI, a menudo de otro color. Si no lo están, un corte apaga los puestos aunque la sala aguante.

7. El grupo electrógeno y la propiedad del edificio

En una oficina alquilada, el grupo suele ser de la propiedad:

• Pide por escrito qué circuitos cubre: sala de comunicaciones, climatización de la sala (sin ella, el SAI aguanta pero la sala se calienta), plantas, ascensores.
• Tiempo de arranque y conmutación del grupo y quién lo prueba, con qué frecuencia y si es con carga.
• Combustible: horas de autonomía y contrato de reposición.
• Contacto 24x7 del mantenimiento del edificio y aviso previo de los cortes programados, para moverlos fuera de mercado.

8. El caso: corte de luz a las 7:15

Martes, 7:15. Salta la alerta "en batería" de los dos SAI. La sala de trading empieza a llenarse a las 8:00; el mercado abre a las 9:00.

1. 7:16 · ¿Ha arrancado el grupo? Los SAI siguen en batería pasado un minuto: el grupo no ha entrado. Llamada al mantenimiento del edificio.
2. 7:18 · Cuánto queda: la tarjeta de red dice 18 minutos de autonomía y 71 % de carga en la línea A. El apagado ordenado completo tarda 12 minutos: el margen es corto.
3. 7:19 · Primera capa: se apagan los entornos de prueba y los equipos no críticos para ganar autonomía. Aviso al responsable de la sala de trading y a continuidad de negocio: "corte en el edificio, la sala aguanta con SAI, el grupo no ha arrancado; decisión a las 7:22".
4. 7:21 · El grupo arranca: el mantenimiento lo pone en marcha a mano. Los SAI vuelven a la entrada de red del grupo y empiezan a recargar.
5. 7:30 · Comprobaciones: los SAI en línea, cada PDU con las dos fuentes con carga, la climatización de la sala funcionando. Las baterías están al 60 %: si hay un segundo corte, no hay autonomía para otro apagado ordenado. Los equipos apagados siguen apagados hasta que la batería se recupere.
6. 8:00 · Antes de la apertura: los puestos de trading encienden y tienen red y datos de mercado. Si los puestos no estaban en tomas con SAI, se reinician y se comprueban fila a fila.
7. Después: el informe con la hora de cada paso, la causa del fallo del grupo pedida por escrito a la propiedad, una nueva prueba del grupo con carga y la revisión de los umbrales de apagado con la autonomía que se ha visto.

Si el grupo no hubiera arrancado, a las 7:22 se habría lanzado el apagado ordenado completo y se habría activado el plan de continuidad: trasladar a los operadores al sitio alternativo antes de las 9:00 es una decisión de negocio que se toma con tiempo, no con el último minuto de batería.

Siguientes pasos

• La guía de Device42 del Sector 5 guarda qué equipo va a qué PDU, la base para comprobar que cortar una línea no deja nada sin corriente.
• La guía de DR/BCP: preparar y supervisar una prueba de recuperación explica cómo llevar a los operadores al sitio alternativo si la sede no aguanta.
• El repositorio 36-major-incident-command-kit de mi GitHub sirve para llevar un corte así como incidente mayor: cronología, comunicaciones y revisión posterior.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.