Comms room UPS: sizing, tests and shutdown

Qué vas a conseguir

Que un corte de luz en la sede sea una alerta y no un incidente mayor. El SAI (sistema de alimentación ininterrumpida) de la sala de comunicaciones tiene un trabajo concreto: aguantar la carga hasta que arranque el grupo electrógeno o, si no arranca, dar tiempo para apagar en orden lo que no puede caerse de golpe. En una sede con sala de trading eso se decide antes de las 9:00, con el mercado a punto de abrir.

Antes de empezar

El esquema eléctrico de la sala: de qué cuadro sale cada línea, qué SAI alimenta cada PDU y qué circuitos cubre el grupo electrógeno del edificio.
El contrato de mantenimiento del SAI (visitas, sustitución de baterías, tiempo de respuesta) y el contacto de mantenimiento del edificio para el grupo.
Acceso a la tarjeta de red de cada SAI y a la monitorización de la sede.

1. Dimensionar: carga y autonomía

Carga: se mide, no se suma de las placas de características. Las PDU con medición dan el consumo real de cada rack; el panel del SAI, el total.

Trabaja en kW, no en kVA. Un SAI de 10 kVA con factor de potencia 0,9 da 9 kW; los modernos suelen dar 1,0.
Con dos SAI, uno para la línea A y otro para la B, cada uno tiene que poder con toda la carga si el otro falla. Con 6,4 kW de carga total, dos SAI de 10 kW van al 32 % cada uno y al 64 % si queda uno solo. Por encima del 80 % con uno solo, no queda margen para crecer.

Autonomía: depende de para qué la quieras.

Con grupo electrógeno que cubre la sala, el SAI tiene que aguantar el arranque y la conmutación (segundos) más un margen por si el primer intento falla. 10-15 minutos es un objetivo habitual.
Sin grupo, o si el grupo falla, la autonomía tiene que cubrir el apagado ordenado completo con margen. Mide cuánto tarda (en la prueba anual) y suma la mitad.
La autonomía real baja con la edad de las baterías y con la temperatura. La del día de la instalación no es la de dentro de cuatro años.

2. Doble alimentación con PDU A y B

Cada equipo crítico con dos fuentes: una a la PDU A y otra a la PDU B, cada PDU de un SAI distinto (o una de SAI y otra de red con su propia protección, según el diseño de la sala).
Los equipos con una sola fuente (algunos aparatos de operadores, consolas, equipos antiguos) van con un conmutador de transferencia (ATS) de rack, o se aceptan y se documentan como punto único de fallo.
Comprueba que cada fuente lleva carga. Una fuente desenchufada o averiada no se nota hasta que se corta la otra línea: las alertas de fuente redundante perdida de iDRAC, iLO y los switches tienen que llegar a alguien.
Cada PDU por debajo del 40-50 % de su capacidad en uso normal: si cae la otra línea, tiene que absorber toda la carga del rack.

3. Baterías: vida y sustitución

Las baterías de plomo selladas (VRLA) de los SAI de sala suelen tener una vida de diseño de 5 años o de 10 en las de larga duración, pero la vida real suele ser menor y depende sobre todo de la temperatura: por encima de unos 25 °C, se acorta mucho.
Mantén la sala entre 20 y 25 °C y vigila la temperatura del propio SAI, no solo la del aire acondicionado.
Planifica la sustitución por fecha y por resultado de las pruebas, no esperando a la alarma de "replace battery". Anota la fecha de la última sustitución en el inventario.

4. Pruebas: cada mes y cada año

Cada mes:

Autotest de baterías desde la tarjeta de red o el panel, fuera del horario de mercado. Resultado y fecha en el registro.
Revisión de alarmas activas, carga de cada SAI y de cada PDU, temperatura y autonomía estimada.

Cada año, con el mantenedor y en ventana de cambio aprobada:

Prueba de descarga o calibración de autonomía con carga real: cuántos minutos aguanta de verdad.
Prueba del bypass y de cada línea por separado: se corta la A y se comprueba que todo sigue en la B, y al revés. Es la prueba que encuentra la fuente desenchufada.
Prueba con el grupo electrógeno del edificio coordinada con la propiedad: corte de red, arranque, conmutación y vuelta.

5. Monitorización: tarjeta de red y SNMP

Cada SAI con su tarjeta de gestión de red en la VLAN de gestión, con la contraseña de fábrica cambiada y SNMPv3 hacia la monitorización. Muchos SAI publican el MIB estándar de SAI (RFC 1628) además del suyo:

Linux · consulta SNMPv3 al SAI de la línea A

›snmpget -v3 -l authPriv -u mon-sai -a SHA -A "$AUTH" -x AES -X "$PRIV" sai-cr1-a.mgmt.local 1.3.6.1.2.1.33.1.4.1.0 1.3.6.1.2.1.33.1.2.1.0 1.3.6.1.2.1.33.1.2.3.0 1.3.6.1.2.1.33.1.2.4.0SNMPv2-SMI::mib-2.33.1.4.1.0 = INTEGER: 5SNMPv2-SMI::mib-2.33.1.2.1.0 = INTEGER: 2SNMPv2-SMI::mib-2.33.1.2.3.0 = INTEGER: 18SNMPv2-SMI::mib-2.33.1.2.4.0 = INTEGER: 71# 4.1 origen de la salida: 3 normal, 4 bypass, 5 batería# 2.1 estado de batería: 2 normal, 3 baja, 4 agotada# 2.3 minutos estimados de autonomía · 2.4 carga de batería en %

Alertas que tienen que llegar al teléfono de guardia, no solo al correo: en batería, batería baja, sustituir batería, sobrecarga, en bypass, temperatura alta y tarjeta sin respuesta (si la monitorización no la ve, tampoco verá un corte).

6. El orden de apagado

Si el corte va a durar más que la batería, se apaga por capas, de fuera hacia dentro, y se enciende al revés:

Lo que no hace falta para operar: entornos de prueba, servidores de impresión, equipos de sala de reuniones.
Aplicaciones: máquinas virtuales de aplicación, antes que sus bases de datos.
Bases de datos: con su parada limpia, para no arrancar después con una recuperación.
Almacenamiento compartido y después los hosts de virtualización.
La red, al final: núcleo, cortafuegos y la gestión fuera de banda siguen vivos hasta el último momento, porque son el camino por el que llegan las órdenes de apagado y por el que verás lo que pasa.

El software de apagado del fabricante (o un agente en cada hipervisor) puede lanzar cada capa al cruzar un umbral de autonomía o de tiempo en batería. Los umbrales se fijan con la autonomía medida, no con la del catálogo.
Los equipos de la sala de trading que gestiona su propio equipo (servidores de datos de mercado, aparatos de operadores) tienen su orden y su responsable: acuérdalo por escrito antes, no durante el corte.
Los puestos de trading suelen ir en tomas de la planta respaldadas por SAI, a menudo de otro color. Si no lo están, un corte apaga los puestos aunque la sala aguante.

7. El grupo electrógeno y la propiedad del edificio

En una oficina alquilada, el grupo suele ser de la propiedad:

Pide por escrito qué circuitos cubre: sala de comunicaciones, climatización de la sala (sin ella, el SAI aguanta pero la sala se calienta), plantas, ascensores.
Tiempo de arranque y conmutación del grupo y quién lo prueba, con qué frecuencia y si es con carga.
Combustible: horas de autonomía y contrato de reposición.
Contacto 24x7 del mantenimiento del edificio y aviso previo de los cortes programados, para moverlos fuera de mercado.

8. El caso: corte de luz a las 7:15

Martes, 7:15. Salta la alerta "en batería" de los dos SAI. La sala de trading empieza a llenarse a las 8:00; el mercado abre a las 9:00.

7:16 · ¿Ha arrancado el grupo? Los SAI siguen en batería pasado un minuto: el grupo no ha entrado. Llamada al mantenimiento del edificio.
7:18 · Cuánto queda: la tarjeta de red dice 18 minutos de autonomía y 71 % de carga en la línea A. El apagado ordenado completo tarda 12 minutos: el margen es corto.
7:19 · Primera capa: se apagan los entornos de prueba y los equipos no críticos para ganar autonomía. Aviso al responsable de la sala de trading y a continuidad de negocio: "corte en el edificio, la sala aguanta con SAI, el grupo no ha arrancado; decisión a las 7:22".
7:21 · El grupo arranca: el mantenimiento lo pone en marcha a mano. Los SAI vuelven a la entrada de red del grupo y empiezan a recargar.
7:30 · Comprobaciones: los SAI en línea, cada PDU con las dos fuentes con carga, la climatización de la sala funcionando. Las baterías están al 60 %: si hay un segundo corte, no hay autonomía para otro apagado ordenado. Los equipos apagados siguen apagados hasta que la batería se recupere.
8:00 · Antes de la apertura: los puestos de trading encienden y tienen red y datos de mercado. Si los puestos no estaban en tomas con SAI, se reinician y se comprueban fila a fila.
Después: el informe con la hora de cada paso, la causa del fallo del grupo pedida por escrito a la propiedad, una nueva prueba del grupo con carga y la revisión de los umbrales de apagado con la autonomía que se ha visto.

Si el grupo no hubiera arrancado, a las 7:22 se habría lanzado el apagado ordenado completo y se habría activado el plan de continuidad: trasladar a los operadores al sitio alternativo antes de las 9:00 es una decisión de negocio que se toma con tiempo, no con el último minuto de batería.

Siguientes pasos

La guía de Device42 del Sector 5 guarda qué equipo va a qué PDU, la base para comprobar que cortar una línea no deja nada sin corriente.
La guía de DR/BCP: preparar y supervisar una prueba de recuperación explica cómo llevar a los operadores al sitio alternativo si la sede no aguanta.
El repositorio 36-major-incident-command-kit de mi GitHub sirve para llevar un corte así como incidente mayor: cronología, comunicaciones y revisión posterior.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

What you'll get

A power cut at the site that is an alert, not a major incident. The UPS (uninterruptible power supply) in the comms room has a specific job: carry the load until the generator starts or, if it doesn't, give you time to shut down in order whatever can't drop all at once. On a site with a trading floor that is decided before 9:00, with the market about to open.

Before you start

The room's electrical diagram: which board each line comes from, which UPS feeds each PDU and which circuits the building's generator covers.
The UPS maintenance contract (visits, battery replacement, response time) and the building maintenance contact for the generator.
Access to each UPS's network card and to the site's monitoring.

1. Sizing: load and runtime

Load is measured, not added up from rating plates. Metered PDUs give the real consumption of each rack; the UPS panel, the total.

Work in kW, not kVA. A 10 kVA UPS with a 0.9 power factor delivers 9 kW; modern ones usually deliver 1.0.
With two UPS units, one for line A and one for line B, each must be able to carry the whole load if the other fails. With 6.4 kW of total load, two 10 kW units run at 32% each and at 64% if only one is left. Above 80% on a single unit, there is no headroom to grow.

Runtime depends on what you want it for.

With a generator covering the room, the UPS has to carry the start-up and transfer (seconds) plus a margin in case the first attempt fails. 10-15 minutes is a common target.
Without a generator, or if it fails, runtime has to cover the complete orderly shutdown with a margin. Measure how long it takes (in the annual test) and add half.
Real runtime drops with battery age and temperature. The figure on installation day is not the figure four years later.

2. Dual power with A and B PDUs

Every critical device with two power supplies: one to PDU A and one to PDU B, each PDU fed by a different UPS (or one from UPS and one from mains with its own protection, depending on the room's design).
Single-supply devices (some carrier equipment, consoles, older kit) go on a rack automatic transfer switch (ATS), or are accepted and documented as a single point of failure.
Check that each supply carries load. An unplugged or failed supply goes unnoticed until the other line is cut: the lost-redundancy power supply alerts from iDRAC, iLO and the switches must reach someone.
Each PDU below 40-50% of its capacity in normal use: if the other line drops, it has to take the whole rack's load.

3. Batteries: life and replacement

The sealed lead-acid (VRLA) batteries in comms room UPS units usually have a design life of 5 years, or 10 for long-life ones, but real life is usually shorter and depends above all on temperature: above about 25 °C, it shortens considerably.
Keep the room between 20 and 25 °C and watch the temperature of the UPS itself, not just the air conditioning.
Plan replacement by date and by test results, not by waiting for the "replace battery" alarm. Record the date of the last replacement in the inventory.

4. Tests: monthly and annual

Every month:

Battery self-test from the network card or the panel, outside market hours. Result and date in the log.
Review of active alarms, load on each UPS and each PDU, temperature and estimated runtime.

Every year, with the maintainer and in an approved change window:

Discharge test or runtime calibration with real load: how many minutes it really lasts.
Test of the bypass and of each line separately: cut A and check everything stays up on B, and the other way round. It is the test that finds the unplugged supply.
Generator test coordinated with the landlord: mains cut, start, transfer and return.

5. Monitoring: network card and SNMP

Each UPS with its network management card on the management VLAN, with the factory password changed and SNMPv3 to monitoring. Many UPS units publish the standard UPS MIB (RFC 1628) as well as their own:

Linux · SNMPv3 query to the line A UPS

›snmpget -v3 -l authPriv -u mon-ups -a SHA -A "$AUTH" -x AES -X "$PRIV" ups-cr1-a.mgmt.local 1.3.6.1.2.1.33.1.4.1.0 1.3.6.1.2.1.33.1.2.1.0 1.3.6.1.2.1.33.1.2.3.0 1.3.6.1.2.1.33.1.2.4.0SNMPv2-SMI::mib-2.33.1.4.1.0 = INTEGER: 5SNMPv2-SMI::mib-2.33.1.2.1.0 = INTEGER: 2SNMPv2-SMI::mib-2.33.1.2.3.0 = INTEGER: 18SNMPv2-SMI::mib-2.33.1.2.4.0 = INTEGER: 71# 4.1 output source: 3 normal, 4 bypass, 5 battery# 2.1 battery status: 2 normal, 3 low, 4 depleted# 2.3 estimated minutes of runtime · 2.4 battery charge in %

Alerts that must reach the on-call phone, not just email: on battery, low battery, replace battery, overload, on bypass, high temperature and card not responding (if monitoring can't see it, it won't see a power cut either).

6. The shutdown order

If the cut will last longer than the battery, shut down in layers, from the outside in, and power up in reverse:

What isn't needed to operate: test environments, print servers, meeting room equipment.
Applications: application virtual machines, before their databases.
Databases: with a clean stop, so they don't come back up into a recovery.
Shared storage and then the virtualisation hosts.
The network, last: core, firewalls and out-of-band management stay alive until the very end, because they are the path the shutdown commands travel and the way you will see what is happening.

The vendor's shutdown software (or an agent on each hypervisor) can trigger each layer when it crosses a runtime or time-on-battery threshold. Thresholds are set from measured runtime, not the catalogue figure.
Trading floor equipment managed by its own team (market data servers, carrier equipment) has its own order and owner: agree it in writing beforehand, not during the cut.
Trading desks usually sit on UPS-backed floor sockets, often a different colour. If they don't, a cut switches off the desks even if the room holds.

7. The generator and the landlord

In a leased office, the generator usually belongs to the landlord:

Ask in writing which circuits it covers: comms room, the room's cooling (without it, the UPS holds but the room heats up), floors, lifts.
The generator's start and transfer time, and who tests it, how often and whether it is under load.
Fuel: hours of runtime and the refuelling contract.
A 24x7 building maintenance contact and advance notice of planned outages, so they can be moved outside market hours.

8. The case: a power cut at 7:15

Tuesday, 7:15. Both UPS units raise the "on battery" alert. The trading floor starts filling up at 8:00; the market opens at 9:00.

7:16 · Has the generator started? The UPS units are still on battery after a minute: the generator hasn't come in. Call building maintenance.
7:18 · How much is left: the network card says 18 minutes of runtime and 71% charge on line A. The complete orderly shutdown takes 12 minutes: the margin is short.
7:19 · First layer: test environments and non-critical equipment are shut down to gain runtime. Notice to the trading floor manager and business continuity: "building power cut, the room is holding on UPS, the generator hasn't started; decision at 7:22".
7:21 · The generator starts: maintenance starts it by hand. The UPS units go back to the generator-fed input and start recharging.
7:30 · Checks: UPS units online, each PDU with both supplies carrying load, the room's cooling running. Batteries are at 60%: if there is a second cut, there is no runtime for another orderly shutdown. The equipment that was shut down stays off until the battery recovers.
8:00 · Before the open: trading desks power up and have network and market data. If the desks weren't on UPS-backed sockets, they are restarted and checked row by row.
Afterwards: the report with the time of each step, the cause of the generator failure requested in writing from the landlord, a new generator test under load, and a review of the shutdown thresholds against the runtime actually seen.

If the generator hadn't started, at 7:22 the complete orderly shutdown would have been triggered and the continuity plan activated: moving the traders to the alternate site before 9:00 is a business decision taken with time to spare, not on the last minute of battery.

Next steps

The Device42 guide in Sector 5 records which device goes to which PDU, the basis for checking that cutting one line leaves nothing without power.
The DR/BCP: preparing and overseeing a recovery test guide explains how to move the traders to the alternate site if the site can't hold.
The 36-major-incident-command-kit repository on my GitHub helps run a cut like this as a major incident: timeline, communications and the post-incident review.

Is something missing, or different in your environment? Get in touch and I'll fix it.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.

Apúntate y llévate las 33 ideasSign up and get the 33 ideas →