Conocí personalmente a Ken Brill, fundador del Uptime Institute, allá por setiembre de 2007 en Santa Fe, la ciudad donde vivía, y a partir de ese momento entablé una cierta amistad con él que duró hasta que nos dejó, en pocos días hará 10 años, quién lo diría.
Recuerdo especialmente el día en el que le pregunté acerca de la razón por la cual el nivel de disponibilidad asociado a una topología Tier IV, según la tabla publicada por su Uptime Institute, era solamente de 99,995, lo que suponía un tiempo anual de parada de cerca de media hora, algo a todas luces inaceptable para un entorno de misión crítica. “Pregúntale al EPO”, contestó. “Se trata del sistema de seguridad que más inseguridad provoca”, sentenció.
Y, efectivamente, al ponernos a investigar un poco sobre el tema en cuestión, nos encontramos con que la actuación, inconsciente o no, sobre el EPO había ocasionado desconexiones completas de un buen número de instalaciones dotadas algunas de ellas de elevados niveles de redundancia. Una inversión descomunal en sistemas de respaldo al traste por un sistema de seguridad simple y no concebido convenientemente. Todo un logro por parte de un activo, en principio importante, pero que se transforma en un enemigo escondido tras la puerta.
Índice de temas
¿Qué es el EPO?
El Emergency Power Off (EPO), o sea, la “seta de emergencia” es un dispositivo sobre el que actuar en caso de alarma y que resulta obligatorio en algunos países, mientras en otros, como es el caso de USA, lo es en ciertos estados. Existen diversas normas que tratan el tema (UI, EN, IEC o NFPA entre otras) y en su aplicación a los data center se ha ido manifestando una evolución que podríamos resumir de la forma siguiente.
En primer lugar, hay que recordar que, allá donde la autoridad competente exija su utilización, no hay otra posibilidad, pero que las organizaciones alrededor del sector, desde hace tiempo están recomendando buscar soluciones alternativas para donde no sea exigible por ley.
En origen, la idea es disponer de un elemento de corte accionable en caso de peligro para los equipos o para el personal, pero el accionamiento injustificado en entornos de cada vez mayor exigencia de continuidad lo ha puesto en entredicho.
Los data center de los años 80, e incluso algunos de principios de los 90, disponían en cabecera de las PDU de contactores cuya bobina estaba gobernada por un circuito en el que se encontraban contactos de los sistemas de alarma, principalmente por la parte de la protección contra incendios. A la mínima, todo a paseo y, esto, con los años, ha ido adquiriendo tintes cada vez más oscuros.
Por su parte, muchas de las acciones correspondientes a la actuación de los bomberos son diametralmente opuestas a lo que eléctricamente pueda parecer correcto, pero el punto de vista es distinto, como distinta es la actuación.
El lugar de colocación debe de ser de acceso sencillo, en una ubicación adecuada, normalmente cerca de la zona de entrada, pero sin que exista el peligro de confundirlo con otro tipo de mecanismos como los de la luz.
A pesar de ello, el número de accionamientos “indebidos” ha ido haciendo evolucionar el sistema de forma que el procedimiento incorpore algún obstáculo previo que evite el suceso. Además, los errores asociados a las tareas de comprobación, pruebas y ensayos han sido una constante añadida, haciendo de este riesgo una auténtica amenaza.
Cómo se suelen reducir los riesgos… con resultados insuficientes
Para minimizar los riesgos en los lugares donde se debe implantar, se ha ido recurriendo a sucesivas medidas entre las cuales podríamos destacar:
1. Colocarlo a mano, pero claramente diferenciado de otros accionamientos. Resultado insuficiente.
2. Colocación de todo tipo de advertencias en el entorno del mecanismo. Resultado insuficiente.
3. Evitar que el simple apoyo sobre el EPO lo active, mediante procedimiento inverso por estiramiento. Resultado insuficiente.
4. Pasar de una maniobra simple a una condición doble (giro y levantamiento). Resultado insuficiente.
5. Colocación de cubierta protectora. Resultado insuficiente.
6. Colocación de EPOs de tres pasos (tapa, giro y levantamiento). Resultado no del todo suficiente
7. Disposición de dos mecanismos que deben ser accionados simultáneamente, utilizando las dos manos. Resultados bajo estudio en aplicaciones concretas
Claro que también existen otra modalidad, de esencia puramente carpetovetónica, consistente en colocar el EPO, pasar las pruebas iniciales y dejarlo finamente desconectado (obviamente inaceptable allá donde sea exigible su presencia).
Y todo por evitar la inseguridad asociada al componente más básico de la seguridad.
