EN 50600 vs Uptime Tier: czym różnią się klasy dostępności centrum danych i co wybrać

W skrócie: EN 50600 (w Polsce: PN-EN 50600) i Uptime Tier odpowiadają na to samo pytanie: jak bardzo infrastruktura centrum danych jest odporna na awarie i prace serwisowe. Robią to jednak inaczej. EN 50600 to norma europejska z czterema klasami dostępności, które przypisuje się osobno zasilaniu, chłodzeniu i okablowaniu, a klasę całego obiektu wyznacza najsłabsza z nich. Tier to czterostopniowy standard prywatny, który ocenia obiekt jako całość, a certyfikat wydaje wyłącznie Uptime Institute. Filozofia stopni jest zbliżona (pojedyncza ścieżka, redundancja urządzeń, serwis bez wyłączania, odporność na błędy), ale systemy nie są formalnie równoważne. W dokumentacji projektowej i przetargu publicznym w Polsce naturalnym odniesieniem jest PN-EN 50600, a certyfikat Tier ma największą wagę na komercyjnym rynku kolokacji.

Dwa systemy, jedno pytanie: co się stanie, gdy coś padnie

W specyfikacjach serwerowni i centrów danych krążą dziś dwa systemy klasyfikacji: cztery klasy dostępności według EN 50600 i cztery poziomy Tier według Uptime Institute. Oba opisują odporność infrastruktury technicznej na awarię pojedynczego elementu i na planowany serwis. Problem zaczyna się wtedy, gdy autor wymagań miesza oba porządki, na przykład żąda „serwerowni Tier III wg normy EN 50600″. Taki zapis nie znaczy nic, a bywa podstawą sporów przy odbiorze.

Zanim porównamy szczegóły, jedno rozróżnienie porządkujące: EN 50600 jest normą europejską opracowaną przez CENELEC i przyjętą do zbioru Polskich Norm, natomiast Tier jest standardem prywatnym jednej organizacji, która sama ocenia i certyfikuje obiekty. To rozróżnienie wraca w każdej praktycznej decyzji z tego artykułu.

Czym jest seria EN 50600 i co obejmuje

Seria EN 50600 składa się z kilkunastu części, które razem pokrywają cały cykl życia centrum danych: od koncepcji, przez projekt każdej instalacji, po eksploatację i mierzenie efektywności. Części projektowe wyglądają tak:

• EN 50600-1 – pojęcia ogólne: terminologia oraz systemy klasyfikacji (klasy dostępności, klasy ochrony, poziomy szczegółowości pomiaru efektywności),
• EN 50600-2-1 – konstrukcja budynku,
• EN 50600-2-2 – zasilanie i dystrybucja energii,
• EN 50600-2-3 – parametry środowiskowe, czyli przede wszystkim chłodzenie,
• EN 50600-2-4 – infrastruktura okablowania telekomunikacyjnego,
• EN 50600-2-5 – systemy zabezpieczeń (kontrola dostępu, ochrona przeciwpożarowa, zdarzenia środowiskowe),
• EN 50600-3-1 – zarządzanie i informacje operacyjne w fazie eksploatacji,
• seria EN 50600-4 – wskaźniki KPI, między innymi PUE (efektywność wykorzystania energii) i REF (udział energii odnawialnej).

Seria funkcjonuje również na poziomie międzynarodowym: ISO/IEC przeniosło kolejne części EN 50600 do serii ISO/IEC 22237, więc wymagania „europejskiej” normy da się przywołać także w projektach realizowanych poza Europą (kolejne wydania obu serii mogą różnić się w szczegółach).

Klasy dostępności EN 50600: od pojedynczej ścieżki do odporności na błędy

EN 50600-1 definiuje 4 klasy dostępności i robi to jakościowo, przez architekturę ścieżek, a nie przez procenty (rozdz. 7.2.2, tabela 1):

• Klasa 1 – rozwiązanie jednościeżkowe. Awaria jednego elementu może zatrzymać obciążenie, a planowana konserwacja może wymagać wyłączenia.
• Klasa 2 – jedna ścieżka z redundancją urządzeń (typowo N+1). Awaria pojedynczego urządzenia nie zatrzymuje ścieżki, serwis urządzeń nadmiarowych odbywa się bez wyłączania obciążenia.
• Klasa 3 – wiele ścieżek w układzie „naprawa i praca jednocześnie” (concurrent repair/operate). Planowany serwis dowolnego elementu nie wymaga wyłączenia obciążenia.
• Klasa 4 – rozwiązanie odporne na błędy (fault tolerant). Zasilanie i chłodzenie mają zostać utrzymane nawet przy pojedynczym zdarzeniu w rodzaju pożaru w jednym z torów.

Najważniejsza cecha tego systemu: klasę przypisuje się osobno każdej z trzech infrastruktur, czyli zasilaniu, chłodzeniu i okablowaniu. Norma mówi przy tym wprost, że o klasie całego centrum danych decyduje najsłabsza z nich. Można więc zaprojektować zasilanie w klasie 4 i chłodzenie w klasie 3, ale taki obiekt jako całość pozostaje obiektem klasy 3. W praktyce projektowej to zaleta, nie wada: klasy per infrastruktura pozwalają wydać budżet tam, gdzie ryzyko jest realne, zamiast płacić za symetryczną redundancję wszystkiego.

Tak wyglądają wymagania rozróżniające klasy w poszczególnych częściach normy:

Dlaczego EN 50600 nie podaje procentów dostępności

W załączniku A do EN 50600-1 znajduje się wprost uzasadnienie, dlaczego opisywanie infrastruktury procentem dostępności jest niemiarodajne. Przykład z normy: przerwa w zasilaniu trwająca sekundę mieści się w bardzo wysokim procencie dostępności instalacji, a może oznaczać wielogodzinny przestój usług IT, bo systemy trzeba ponownie uruchomić i zsynchronizować. Dlatego klasy opisują strukturę i redundancję, a nie obiecany procent czasu działania. Jeżeli w specyfikacji widzisz „dostępność 99,99% zgodnie z EN 50600″, autor nie czytał normy.

Klasy ochrony: druga oś klasyfikacji, jeszcze bardziej ziarnista

Obok klas dostępności EN 50600 prowadzi 4 klasy ochrony, opisane w EN 50600-1 i uszczegółowione w EN 50600-2-5. Dotyczą one dostępu osób nieuprawnionych, włamania, pożaru wewnętrznego oraz zdarzeń środowiskowych wewnętrznych i zewnętrznych. Tu granularność idzie dalej niż przy dostępności: norma stwierdza, że nie istnieje pojęcie „centrum danych klasy ochrony X”. Klasę ochrony przypisuje się niezależnie każdemu pomieszczeniu i każdemu aspektowi z osobna. Sala IT może mieć klasę 4 dla ochrony przeciwpożarowej i jednocześnie klasę 3 dla kontroli dostępu, a pomieszczenie UPS zupełnie inny zestaw. Dla projektanta i audytora to precyzyjne narzędzie, dla autora specyfikacji sygnał, że jednym zdaniem „obiekt w klasie ochrony 3″ niczego się nie opisze.

Czym jest Uptime Tier i jak działa certyfikacja

System Tier rozwijany jest od lat 90. przez Uptime Institute i obejmuje 4 poziomy: Tier I (podstawowa wydolność), Tier II (redundantne urządzenia), Tier III (serwis bez wyłączania obiektu) i Tier IV (odporność na błędy). Poziomy oceniają obiekt całościowo: certyfikowany jest konkretny obiekt, a nie jego poszczególne instalacje.

Od EN 50600 różni go przede wszystkim model oceny. Certyfikaty i oznaczenia Tier Certification są zastrzeżone przez Uptime Institute, a ocenę zgodności i certyfikację prowadzi wyłącznie ta organizacja. Certyfikacja przebiega etapami: najpierw dokumentacja projektowa (TCDD, Tier Certification of Design Documents), potem wybudowany obiekt (TCCF, Tier Certification of Constructed Facility), a dla działających obiektów dostępna jest ocena eksploatacji (TCOS, Tier Certification of Operational Sustainability). Certyfikat projektowy nie jest bezterminowy: TCDD wydane po 1 stycznia 2014 r. wygasają po 2 latach od przyznania. Publiczny rejestr certyfikowanych obiektów prowadzi Uptime Institute na swojej stronie i tam można sprawdzić, czy deklaracja „posiadamy Tier III” ma pokrycie w certyfikacie, a także którego etapu dotyczy.

Wynika z tego prosty wniosek praktyczny: obiekt zaprojektowany „w duchu Tier III”, ale nieoceniony przez Uptime Institute, nie jest obiektem Tier III. Może być co najwyżej obiektem, którego projektant deklaruje zgodność z filozofią standardu i taką deklarację trzeba w dokumentach nazywać po imieniu.

EN 50600 a Tier: jak mają się do siebie stopnie

Filozofia obu skal jest zbieżna i można wskazać 4 pary odpowiedników co do zasady działania:

To jednak odpowiedniki co do filozofii, nie formalna równoważność. Różnice, które mają znaczenie w praktyce:

• Zakres oceny. Tier ocenia obiekt w całości, EN 50600 klasyfikuje każdą infrastrukturę osobno i dopiero z nich składa ocenę obiektu (najsłabsze ogniwo).
• Okablowanie. EN 50600 traktuje infrastrukturę okablowania jako pełnoprawną, klasyfikowaną infrastrukturę (EN 50600-2-4, z wymaganiami dla tras, stref dystrybucji i wprowadzeń operatorów). W ocenie Tier okablowanie telekomunikacyjne nie jest osią klasyfikacji.
• Metodyka i kryteria. EN 50600 to jawny tekst normatywny, do którego może się odwołać każdy projektant i audytor. W przypadku Tier obowiązująca interpretacja kryteriów należy do Uptime Institute jako właściciela standardu i jedynego certyfikującego.
• Klasy ochrony i eksploatacja. EN 50600 dokłada osobną oś ochrony fizycznej per pomieszczenie oraz część eksploatacyjną (EN 50600-3-1) i wskaźniki (seria 50600-4). W systemie Uptime odpowiednikiem oceny eksploatacji jest osobna certyfikacja operacyjna.

Cztery mity, które krążą po specyfikacjach

Mit 1: „Tier III to gwarancja dostępności 99,982%”. Tabelki wiążące poziomy Tier z procentami (99,671%, 99,741%, 99,982%, 99,995%) pochodzą z dawnych opracowań i do dziś są powielane w materiałach handlowych. Aktualny standard opisuje architekturę, a nie obiecany procent czasu działania. EN 50600 idzie o krok dalej i w załączniku A wprost wyjaśnia, dlaczego procent jest złą miarą dla infrastruktury.

Mit 2: „Obiekt zgodny z Tier III” bez certyfikatu. Bez oceny Uptime Institute taka deklaracja jest wyłącznie opinią autora projektu. Jeżeli wymaganie ma być weryfikowalne bez udziału Uptime Institute, właściwszym odniesieniem jest klasa dostępności według PN-EN 50600, bo jej spełnienie można wykazać wprost z tekstu normy.

Mit 3: mylenie Tier z „Rated” według TIA-942. Amerykański standard TIA-942 posługuje się własną czterostopniową skalą (Rated/Rating 1-4) i bywa certyfikowany przez inne podmioty. To trzeci, odrębny system, choć w rozmowach wszystkie trzy skale bywają wrzucane do jednego worka „tierów”.

Mit 4: „nasz obiekt ma klasę ochrony 3 wg EN 50600″. Jak wyżej: klasy ochrony przypisuje się pomieszczeniom i aspektom, nie całemu obiektowi. Zdanie ma sens dopiero w formie „sala IT: klasa ochrony 3 dla dostępu, klasa 4 dla pożaru”.

Co wpisać do wymagań: praktyka projektu i przetargu

Dobór systemu klasyfikacji warto zacząć od jednego pytania: kto i po co będzie weryfikował spełnienie wymagań. Stąd 3 typowe scenariusze:

Zamówienie publiczne albo wewnętrzna specyfikacja inwestora. Prawo zamówień publicznych pozwala opisać przedmiot zamówienia przez odniesienie do Polskich Norm przenoszących normy europejskie, więc zapis w rodzaju „instalacja zasilania w klasie dostępności 3 wg PN-EN 50600-2-2, chłodzenie w klasie 3 wg PN-EN 50600-2-3, okablowanie w klasie 3 wg PN-EN 50600-2-4″ jest precyzyjny, weryfikowalny przez niezależnego audytora i nie uzależnia odbioru od usług jednej organizacji. Wymaganie certyfikatu Tier w przetargu publicznym jest ryzykowne: wskazuje produkt jednej firmy i zwykle wymaga dopuszczenia rozwiązań równoważnych, których równoważności nikt nie umie potem rozstrzygnąć.

Komercyjne centrum kolokacyjne. Jeżeli obiekt ma sprzedawać usługi klientom międzynarodowym, certyfikat Uptime Institute bywa wart swojej ceny jako rozpoznawalny na całym świecie sygnał jakości. Nic nie stoi na przeszkodzie, żeby ten sam obiekt projektować według wymagań EN 50600 i równolegle poddać certyfikacji Tier.

Serwerownia firmowa. Dla własnej serwerowni pełna symetryczna redundancja rzadko się broni ekonomicznie. Klasy EN 50600 per infrastruktura pozwalają świadomie zróżnicować odporność: na przykład zasilanie w klasie 3, chłodzenie w klasie 2 z przemyślanym czasem podtrzymania, okablowanie w klasie 2 z dwoma wprowadzeniami operatorów. Taki opis od razu nadaje się do dokumentacji projektowej i późniejszego audytu przed modernizacją.

Niezależnie od scenariusza jedna zasada: klasę wybiera się dla każdej infrastruktury świadomie, na podstawie kosztu godziny przestoju, a nie „bo konkurencja ma Tier III”. Więcej o samym procesie projektowym piszemy w przewodniku jak zaprojektować serwerownię oraz w artykule o projektowaniu zasilania w szafach serwerowych.

Najczęstsze pytania o EN 50600 i Uptime Tier

Czy klasa 3 według EN 50600 to to samo co Tier III?

Nie. Obie oznaczają architekturę pozwalającą serwisować infrastrukturę bez wyłączania obciążenia, więc filozofia jest ta sama, ale to dwa różne systemy: EN 50600 klasyfikuje osobno zasilanie, chłodzenie i okablowanie na podstawie jawnego tekstu normy, a Tier III to całościowa ocena obiektu przyznawana wyłącznie przez Uptime Institute.

Czy EN 50600 wymaga dostępności 99,99%?

Nie. Norma nie przypisuje klasom żadnych procentów dostępności, a w załączniku A do EN 50600-1 wprost uzasadnia, dlaczego procent jest niemiarodajną miarą dla infrastruktury: krótka przerwa w zasilaniu mieszcząca się w wysokim procencie może oznaczać wielogodzinny przestój usług IT.

Kto może certyfikować centrum danych na zgodność z Tier?

Wyłącznie Uptime Institute. Certyfikacja obejmuje etap projektu (TCDD), wybudowany obiekt (TCCF) i eksploatację (TCOS), a listę certyfikowanych obiektów można sprawdzić w publicznym rejestrze na stronie Uptime Institute.

Czy w przetargu publicznym można wymagać certyfikatu Tier III?

Takie wymaganie wskazuje usługę jednej organizacji, więc w praktyce zamówień publicznych jest ryzykowne i wymaga dopuszczenia rozwiązań równoważnych. Bezpieczniejszym i precyzyjnym odniesieniem są klasy dostępności według PN-EN 50600, których spełnienie może zweryfikować niezależny audytor na podstawie tekstu normy.

Czym jest ISO/IEC 22237 i jak się ma do EN 50600?

To przeniesienie serii EN 50600 na poziom międzynarodowy. Kolejne części EN 50600 zostały opublikowane przez ISO/IEC jako seria 22237, więc w projektach realizowanych poza Europą można przywołać odpowiadającą część ISO/IEC zamiast normy europejskiej. Kolejne wydania obu serii mogą różnić się w szczegółach, ale układ i filozofia wymagań są wspólne.

Piszesz wymagania albo projektujesz serwerownię?

DCNART projektuje serwerownie i infrastrukturę centrów danych w pełnym zakresie serii EN 50600: od klas dostępności dla zasilania, chłodzenia i okablowania, przez okablowanie strukturalne na systemach Panduit i Leviton, po audyty istniejących obiektów i wsparcie przy formułowaniu wymagań do specyfikacji. Nie wykonujemy instalacji: projektujemy, dostarczamy komponenty i szkolimy autoryzowanych instalatorów, a przy odbiorach wykonujemy pomiary i audyty.

Jeżeli stoisz przed wyborem klasy dla nowej serwerowni, dostałeś do zaopiniowania specyfikację z „Tier III” w co drugim akapicie albo chcesz sprawdzić, w której klasie realnie jest Twój obiekt, napisz do nas.

Grafika główna tego artykułu jest ilustracją poglądową wygenerowaną przez AI.