Audit di continuità del raffreddamento data center: come prepararsi?

Cosa verifica un audit di continuità del raffreddamento?

Un audit di continuità verifica che il raffreddamento non si fermi quando un componente si guasta. Non guarda lo schema sulla carta, ma il comportamento reale: la ridondanza esiste davvero, esistono prove di failover riuscite, l'autonomia in mancanza rete è misurata e i runbook sono aggiornati. In sostanza, chiede una prova al posto di una promessa.

Sette aree ricorrono in ogni verifica seria: ridondanza effettiva (N+1 o 2N), single point of failure sul percorso del freddo, autonomia in mancanza rete o chiller, prove periodiche di failover, manutenzione e ricambi critici, set-point e allarmi, documentazione e test. È la differenza tra "lo schema dice 2N" e "abbiamo spento un ramo e la sala ha tenuto". Negli impianti di sala dati che gestiamo il punto più spesso scoperto non è la macchina, ma la pompa o l'elettrico a monte.

Il quadro di riferimento non manca: la ISO/IEC 22301 descrive un sistema di gestione della continuità operativa e la norma europea EN 50600 tratta le infrastrutture dei data center, incluso il raffreddamento. Sono standard di buona pratica, non obblighi: un audit ben fatto li usa come griglia, senza spacciarli per legge.

Ridondanza N+1 e 2N: cosa controlla un auditor?

N è la capacità di raffreddamento al pieno carico. N+1 aggiunge un'unità di scorta: se un chiller o un CRAC si ferma, gli altri reggono. 2N raddoppia tutto su due rami indipendenti, così un intero ramo può cadere senza impatto (Uptime Institute, classificazione Tier). L'auditor verifica che la ridondanza dichiarata esista anche su pompe, tubazioni, valvole ed elettrico, non solo sulle macchine.

L'errore classico è la ridondanza "monca": due chiller in N+1 alimentati dallo stesso quadro, o serviti da un'unica linea idraulica. Sulla carta è ridondante, nei fatti quel quadro o quella tubazione è un single point of failure. Negli audit che facciamo seguiamo il percorso del freddo dall'unità interna fino al contatore, e segniamo ogni punto dove un solo componente, cadendo, ferma tutto. È lì che si gioca la disponibilità vera, non sulla targa del chiller.

Autonomia e failover: cosa succede quando salta la rete?

In mancanza rete il raffreddamento si ferma con l'alimentazione, mentre i server continuano a dissipare calore. Senza accumulo termico la temperatura può superare la soglia critica in pochi minuti, prima che il gruppo elettrogeno riprenda i chiller (ASHRAE TC 9.9, linee guida termiche). L'audit misura il tempo reale di intervento e l'eventuale serbatoio di acqua refrigerata. Risultati indicativi.

Il failover non si valuta a parole. Si programma una finestra, si simula la caduta di un ramo o di un chiller e si misura se la temperatura di mandata resta nei limiti e in quanto tempo. Una prova riuscita vale più di dieci schermate di monitoraggio. Se vuoi mettere un numero sul rischio del non-fare, puoi stimare il costo di un fermo impianto per il tuo settore.

I tier Uptime Institute e gli SLA: cosa chiedono i clienti?

I Tier I-IV dell'Uptime Institute classificano la disponibilità dell'infrastruttura: dal Tier I senza ridondanza al Tier IV "fault tolerant", con percorsi attivi e indipendenti che reggono un guasto singolo senza fermo (Uptime Institute, Tier Standard). Non è un obbligo di legge, ma è il linguaggio con cui un cliente scrive nello SLA quanta continuità si aspetta, e quindi cosa un audit deve dimostrare.

Un'avvertenza che diamo sempre: il tier è una promessa di progetto, l'audit è la verifica che quella promessa regga in esercizio. Un impianto progettato Tier III, ma con la manutenzione arretrata e i ricambi critici esauriti, in pratica non è più Tier III. La differenza non la fa la dichiarazione iniziale, ma lo stato in cui l'impianto si trova il giorno del guasto. Se un termine non ti è familiare, lo trovi nel glossario.

Come ci si prepara: inventario, prove e gap analysis?

Ci si prepara con quattro passi: inventario completo degli impianti di raffreddamento con dati di targa e storici di guasto, raccolta di runbook e registri di manutenzione, prove di failover in finestra concordata, gap analysis tra ridondanza dichiarata e reale. Arrivare con la documentazione in ordine e i test già fatti accorcia l'audit e riduce le non conformità da chiudere dopo.

Monitoraggio continuo e gestione: come si tiene la continuità nel tempo?

La continuità non è una fotografia del giorno dell'audit, ma uno stato da mantenere. Servono monitoraggio continuo di temperature e allarmi, manutenzione programmata sui componenti critici, test di failover ripetuti e ricambi sempre a scorta. È la parte meno visibile e quella che decide se al prossimo guasto la sala tiene o si ferma. Per i data center inclusi tra i soggetti regolati, il D.Lgs 138/2024 (NIS2) lega la continuità del raffreddamento alla sicurezza dell'infrastruttura, con obbligo di notifica degli incidenti.

Noi lavoriamo a canone: manutenzione programmata, monitoraggio continuo e interventi in caso di guasto con tempi concordati, spesa annua nota in anticipo. È quello di cui ci occupiamo con il monitoraggio degli impianti e la gestione a canone. Per una sala dati operativa è il modo per arrivare a ogni audit con i test già fatti e i registri in ordine, invece di rincorrerli. Se serve scegliere tra rimettere a posto o cambiare una macchina critica, parte da qui la nostra guida su quando sostituire un CRAC o una UTA.