Как устроен дата-центр: путь электричества от ввода до вашего сервера

MAATRIX

Когда сервер падает, первая мысль — "наверное, у хостера обесточка". Саппорт отвечает "у нас всё штатно, электричество не пропадало" — и это тупик: обе стороны правы, а причина где-то между ними. Чтобы разговаривать с хостером на одном языке и понимать, за что вы платите, когда видите в описании тарифа "резервирование по Tier III", полезно представлять весь путь электричества — от городской подстанции до блока питания вашего сервера.

Ввод: несколько независимых линий вместо одной розетки

Дата-центр никогда не запитан от одного кабеля. Уже на уровне ввода серьёзная площадка получает электричество от двух (иногда больше) независимых фидеров — в идеале от разных подстанций энергосети, чтобы авария на одной линии не задевала вторую. Это первый и самый дешёвый уровень резервирования: если один ввод пропадает, автоматика переключает нагрузку на второй без участия человека.

Слабое место здесь в том, что "два ввода" на бумаге и "два независимых ввода" на практике — разные вещи. Бывает, что оба кабеля физически идут от одной и той же подстанции или даже проложены в одной траншее — тогда экскаватор или пожар в трансформаторной подстанции обесточивает разом обе "независимые" линии. Уточнять топологию ввода у хостера почти невозможно (это не публичная информация), но сам факт, что дата-центр декларирует два ввода, а не один, — уже фильтр, отсекающий совсем несерьёзные площадки.

Второй нюанс: ввод — это ещё не питание сервера. Между городской сетью и стойкой стоит цепочка оборудования, и именно она определяет, что почувствует ваш сервер при сбое: ничего, короткую просадку напряжения или полное отключение.

ИБП: буфер на секунды, а не на часы

Первое, что встречает электричество после ввода, — источники бесперебойного питания (ИБП, UPS). Их задача не в том, чтобы "работать долго от аккумулятора" — батарейного запаса промышленного ИБП хватает обычно на минуты, а не на часы. Задача ИБП — мгновенно закрыть провал в электроснабжении, который возникает при переключении между вводами, при кратковременной просадке напряжения в сети или при старте резервного генератора.

Работает это так: в норме электричество проходит через ИБП транзитом (или через двойное преобразование — переменный ток выпрямляется в постоянный и обратно в переменный, что заодно фильтрует помехи и скачки напряжения). Если внешнее питание пропадает, батареи ИБП подхватывают нагрузку за миллисекунды — оборудование в стойках даже не замечает переключения. Этого запаса хватает ровно на то, чтобы:

• переключиться на резервный городской ввод, если он есть и жив;
• запустить дизель-генератор и дождаться, пока он выйдет на рабочие обороты и примет нагрузку.

В серьёзных дата-центрах ИБП тоже резервированы — не один большой блок на всё здание, а несколько модулей с избыточностью (конфигурация N+1 или 2N), так что отказ одного ИБП или его планового обслуживания не обесточивает стойки. Для арендатора это означает: короткие городские сбои по питанию (моргнул свет на пару секунд) вы в принципе не должны замечать — именно на этот случай ИБП и существует.

Дизель-генераторы: план на случай долгого отключения

Если внешнее электричество пропало не на секунды, а всерьёз — авария на подстанции, плановые работы, форс-мажор, — в игру вступают дизель-генераторы. Автоматика запускает их сразу, как только фиксируется потеря основного ввода, и параллельно ИБП держит нагрузку, пока генератор раскручивается и стабилизирует выдаваемое напряжение и частоту. После этого нагрузка переключается на генератор, и дата-центр может работать так часами и сутками — ограничение обычно в объёме топлива в баке и договорённостях о его подвозе, а не в ресурсе самого генератора.

Практические детали, которые отличают серьёзную площадку от условной:

• генераторов должно быть больше одного, с запасом по мощности N+1 или 2N — чтобы отказ или плановое обслуживание одного не оставило дата-центр без резерва;
• регулярные тестовые запуски под нагрузкой (а не "включили на минуту вхолостую") — генератор, который не запускали полгода, имеет заметный шанс не завестись именно тогда, когда понадобится;
• контракт на регулярный подвоз топлива, причём желательно не с одним поставщиком.

Для арендатора это самая практически значимая часть цепочки: именно здесь измеряется, переживёт ли дата-центр многочасовое отключение города без даунтайма для ваших серверов. Спросить об этом у хостера напрямую (сколько генераторов, какая схема резервирования, как часто тестируют) — вполне нормальный вопрос при выборе площадки для критичного проекта.

От машинного зала до стойки: щиты и PDU

Электричество, прошедшее через ИБП и переключение на генератор при необходимости, попадает на главные распределительные щиты дата-центра, а оттуда расходится по машинному залу на щиты меньшего уровня и дальше — на PDU (Power Distribution Unit, блок распределения питания) внутри конкретной стойки.

PDU — это, по сути, длинная и умная розетка, вертикально закреплённая в стойке (в обиходе её называют "гребёнкой"). От неё идут кабели уже непосредственно к блокам питания серверов. У серьёзных PDU есть измерение потребления по каждой розетке или группе розеток — это то, откуда хостер знает, сколько киловатт реально потребляет ваша стойка или сервер, и это же используется для биллинга при оплате по факту потребления там, где такая модель есть.

Здесь возникает точка, которая часто выпадает из внимания клиента: чтобы резервирование ИБП и генераторов реально дошло до вашего сервера, в стойке должно быть не одно PDU, а два — запитанных от разных, независимых друг от друга цепочек питания дата-центра (условно "линия A" и "линия B"). Если в стойке физически один PDU, вся многоступенчатая избыточность выше по цепочке упирается в единственную точку отказа прямо перед сервером — сгорит один автомат в этом PDU, и не помогут ни два генератора, ни резервный ввод.

Резервирование в самом сервере: dual power supply

Последнее звено цепи — блок питания сервера. Даже если в стойке два независимых PDU по линиям A и B, толку от них не будет, если у сервера один блок питания, подключённый только в один из них: обрыв на этой конкретной линии всё равно обесточит машину, притом что вторая линия PDU рядом остаётся под напряжением.

Поэтому конфигурация "1+1" — два блока питания в самом сервере, каждый в свою линию PDU, — замыкает резервирование от подстанции до материнской платы. При отказе любого одного звена в этой паре путей (блок питания, кабель, автомат в PDU, даже теоретически целая линия распределения) второй путь берёт нагрузку на себя без остановки сервера. Подробнее о том, как это работает внутри самого сервера, что реально спасает резервный блок питания и в каких случаях он бессилен (сгоревший диск, ошибка в ядре, DDoS — это уже не про питание), — в отдельном разборе про резервный блок питания и отказоустойчивость.

Если вы арендуете VPS, а не физический сервер целиком, dual PSU обычно не выбирается отдельно — конфигурацию узла определяет провайдер. При аренде выделенного сервера для проекта, где простой стоит дорого, стоит явно уточнять у хостера, что стоит в стойке: одна линия питания или две.

Tier: как читать заявленный уровень резервирования дата-центра

Уровень избыточности каждого звена — вводов, ИБП, генераторов, распределения — описывается стандартом Uptime Institute как Tier, от I до IV. Это не маркетинговый ярлык, а конкретный набор инженерных требований:

Ключевая практическая грань проходит между Tier II и Tier III: именно на Tier III впервые появляется требование "несколько независимых путей распределения", то есть та самая связка "два ввода → резервированные ИБП → резервированные генераторы → два независимых PDU в стойке", которую мы разобрали выше. Дата-центры Tier I и II технически могут обещать высокий аптайм, но у них по конструкции есть плановые окна, когда часть инфраструктуры полностью отключается для обслуживания.

Стоит держать в голове две оговорки. Во-первых, официальная сертификация Uptime Institute — платная и не обязательная процедура; многие площадки строят инфраструктуру "по Tier III", но не проходят формальную сертификацию — это не значит, что они хуже, но проверить соответствие заявлению со стороны сложнее. Во-вторых, Tier описывает резервирование инфраструктуры здания, а не гарантию именно для вашей стойки — см. следующий раздел.

Почему "у хостера был свет" не значит, что у вас не было даунтайма

Это самая частая точка недопонимания между клиентом и хостингом. Дата-центр может честно отработать по заявленному Tier — ни ввод, ни ИБП, ни генераторы не подвели, — а конкретный сервер клиента всё равно упадёт. Причины обычно в одном из мест, которые Tier дата-центра в принципе не описывает:

• Единственный PDU в стойке или единственный блок питания сервера. Как разобрано выше, это точка отказа, которая физически ближе к вам, чем ко всей инфраструктуре здания, и Tier здания её не чинит.
• Автомат или предохранитель конкретной стойки/линии. Локальный автомат может сработать (перегрузка, короткое замыкание в оборудовании соседа по стойке на общей линии) без того, чтобы это было заметно как "авария дата-центра" в целом.
• Плановые работы на уровне здания или зала, о которых вас предупредили заранее письмом — формально это не "авария", и в отчёте хостера будет "электричество было", но сервер на время работ действительно перезагружали или переключали.
• Проблема вообще не в питании — сетевой инцидент, авария на стороне провайдера канала, программный сбой, обновление с перезагрузкой. С точки зрения "было электричество или нет" хостер прав, но это не отменяет ваш даунтайм.

Практический вывод простой: спрашивать у хостера "было ли электричество" — не тот вопрос, который защищает вас от простоя. Полезнее спросить, сколько независимых линий питания реально доходит до вашей стойки, и держать собственный независимый мониторинг доступности сервиса, а не полагаться на статус страницу хостера — она отражает состояние инфраструктуры дата-центра, а не факт того, что именно ваш сервер был доступен всё это время. Как настроить такой мониторинг за 15–20 минут, разобрано в статье про настройку Uptime Kuma для мониторинга сайта и сервера.

Частые вопросы