«N+1» in capitolato: la ITU-T L.1202 lo calcola, non lo collauda

Durante una manutenzione programmata su un ramo di alimentazione, un armadio critico di un data center resta senza corrente per una manciata di secondi. Il progetto dichiarava «configurazione N+1»: il ramo gemello avrebbe dovuto prendere il carico senza che nessuno se ne accorgesse. Il commutatore automatico esiste, cablato, ispezionato a vista in collaudo. Non era mai stato chiuso sotto il carico reale della sala. «N+1» era scritto nel progetto, nel capitolato, nel certificato di collaudo. Nessuno lo aveva mai messo alla prova.

Sei configurazioni, non un’etichetta

L’unica raccomandazione ITU-T liberamente scaricabile che descrive per intero l’architettura di un sistema di alimentazione fino a 400 VDC per data center e centri di telecomunicazione — la ITU-T L.1204 (06/2016), Extended architecture of power feeding systems of up to 400 VDC, che estende la precedente L.1201 (03/2014) sull’interfaccia già fissata dalla L.1200 (05/2012) — l’abbiamo scaricata e letta per intero. Non contiene mai l’etichetta «N+1», né «2N», né «Tier»: zero occorrenze. Al loro posto, la clausola 6.3 disegna sei configurazioni via via più ridondanti — raddrizzatore raddoppiato, poi PDU, poi distribuzione DC, fino alla ridondanza end-to-end di Figura 8: «This system configuration is the most reliable of these system configurations» — la più affidabile fra tutte quelle descritte. Lo scopo dichiarato in apertura è preciso quanto la lista è corta: «a reference of power feeding architecture […] with high reliability, safety and manageability» — un riferimento di architettura ad alta affidabilità, sicurezza e gestibilità — per soli tre capitoli: configurazione, requisiti degli elementi, monitoraggio. Nessuna clausola sulla prova.

Il gruppo elettrogeno compare, ma con un ruolo preciso, non con un tempo di intervento dichiarato: «a battery’s main function is to provide power during the starting time of the AC backup generator» — la funzione principale della batteria è fornire energia durante il tempo di avviamento del gruppo elettrogeno. La raccomandazione dice che va coperto, non quanto dura né come si misura.

Il fattore 20 viene dalla bibliografia, non da un banco di prova

Quanto vale, in pratica, la ridondanza end-to-end? La stessa L.1204 lo scrive nell’introduzione, con una cautela che pochi capitolati riportano: «Improvements in reliability and availability vary between factors of 2 for a simple architecture to 20 for a full end-to-end redundant architecture» — i miglioramenti vanno da un fattore 2, per un’architettura semplice, a un fattore 20, per un’architettura end-to-end — ma la frase prosegue: «this is based on many of the papers listed in the bibliography» — si basa su una serie di articoli elencati in bibliografia. Il fattore 20 non è una misura della ITU-T: è una sintesi di letteratura, non un dato ricavato da un impianto realmente collaudato.

Dove entra «N+1», e da dove viene davvero

La raccomandazione che risponde alla domanda «quanto vale questa architettura» è un’altra, la ITU-T L.1202 (04/2015), Methodologies for evaluating the performance of an up to 400 VDC power feeding system and its environmental impact — anche questa scaricata e letta per intero. Per classificare l’affidabilità delle configurazioni della L.1201, la L.1202 usa una scala propria, dalla classe {#1} alla {#5}. L’etichetta «N+1» compare solo altrove: nell’Appendice IV, confrontando con classi esterne (BICSI, EMerge Alliance, TGG); e nell’Appendice VI, con i livelli dell’Uptime Institute. Qui la L.1202 scrive: «Tier is an industry standard produced by the United States private organization, Uptime Institute» — Tier è uno standard di settore prodotto dall’organizzazione privata statunitense Uptime Institute — e riporta una tabella di disponibilità dichiarata per livello: Tier 1, 99,67%; Tier 2, 99,75%; Tier 3, 99,98%; Tier 4, 99,99%. Non abbiamo letto il documento originale dell’Uptime Institute — la sua pagina ufficiale non mostra un link di scarico — solo questa ripresa, con fonte bibliografica propria. «N+1» non è mai categoria nativa della ITU-T: entra solo confrontandosi con standard esterni, dichiarati ogni volta per nome.

Anche il calcolo lo ammette: serve una prova periodica

La parte più utile della L.1202 non è la tabella dei Tier: è un’ammissione nel proprio metodo di calcolo. Parlando di come stimare il tempo medio di riparazione (MTTR) di un componente il cui guasto resta silenzioso finché nessuno lo cerca, la raccomandazione scrive: «On systems where failure cannot be detected without an active test, it is proposed to replace the MTTR by Test period/2 + MTTR» — sui sistemi in cui un guasto non si rivela senza una prova attiva, si propone di sostituire il MTTR con (periodo di prova)/2 + MTTR. L’esempio che la norma sceglie è quasi lo stesso della nostra scena d’apertura: «a battery discharge test is of a 6 month period […] compared to an MTBF = some million hours» — una prova di scarica della batteria ha un periodo di sei mesi, contro un MTBF di alcuni milioni di ore. Il modello che calcola l’affidabilità di un sistema ridondante funziona solo se qualcuno la prova a intervalli — altrimenti il numero calcolato descrive un impianto che nessuno sa più se esiste ancora come progettato.

Cosa scrivere in capitolato

La configurazione per elementi, non per etichetta: quale organo raddoppia — raddrizzatore, PDU, distribuzione, percorso end-to-end — con la figura della L.1204 corrispondente, non solo «N+1» o «2N».
Prova di carico sulla potenza IT dichiarata, non sulla targa dell’impianto: banchi resistivi al regime previsto in esercizio, per una durata fissata prima della prova.
Guasto simulato di un solo ramo a impianto in regime: apertura controllata dell’alimentazione primaria, non un test a vuoto, con il ramo di riserva che deve prendere davvero il carico.
Tempo di trasferimento e di avviamento del gruppo elettrogeno misurati con strumento tarato — con certificato di taratura tracciabile, non stimati a cronometro né dedotti dalla scheda del costruttore.
Tenuta del carico IT durante il transitorio, verificata al lato utilizzatore: un buco di tensione che il generatore non vede può comunque riavviare un apparato a valle.
Periodicità della riprova scritta in contratto: l’affidabilità calcolata vale quanto la frequenza con cui quella ridondanza viene rimessa alla prova, non una certificazione una tantum.

Quello che non abbiamo verificato

La L.1201 (03/2014), la raccomandazione base che la L.1204 estende, l’abbiamo scaricata e letta quanto le altre due: la stessa configurazione asimmetrica AC/DC c’è già, in clausola 6.3.2.2, ma qualificata come «transitional solutions, in some regions only» — soluzioni transitorie, solo in alcune aree; la L.1204 la formalizza come architettura ibrida a sé. Durante la sessione il gateway PDF della ITU (dologin_pub.asp) ha restituito ripetuti errori 500 su questi codici, poi risolti. Il link handle.itu.int, senza intestazioni da browser, ha attivato il blocco WAF dell’ITU («Request Rejected», circa 245 byte); superato con intestazioni complete, ma la pagina restituita è un’applicazione JavaScript senza testo statico, e non l’abbiamo usata come fonte. I dati Tier citati vengono dalla L.1202, non dal documento originale dell’Uptime Institute: la sua pagina ufficiale non mostra un link di scarico verificabile. Non abbiamo trovato, in questa serie né altrove nel catalogo ITU-T, una raccomandazione dedicata al collaudo di una configurazione ridondante dopo la costruzione: se esiste, questa ricerca non l’ha incontrata.

I due assi, sulla ridondanza dichiarata

Primo asse: la configurazione tradotta nel capitolato che verifichiamo per elementi — quale organo raddoppia, con quale figura di riferimento — insieme alla prova di carico, al guasto simulato di un ramo e ai tempi misurati con strumento tarato. In collaudo si verifica che l’impianto costruito corrisponda a quella descrizione, non che qualcuno ricordi di aver scelto «N+1» in una riunione.

Secondo asse: quella prova, ripetuta alla periodicità scritta in contratto — non una tantum al collaudo iniziale — smette di essere un evento isolato. Con CSIDIA, l’altra società del gruppo, i verbali di prova, i tempi di trasferimento misurati nel tempo e i log del gruppo elettrogeno confluiscono in una mappa unica per ogni data center, su cui un’AI segnala quando un tempo misurato si allontana da quello dell’ultima prova — nel perimetro del cliente, on-premise o cloud dedicato con data center in Italia, sempre con gestione condivisa.

Il vostro capitolato dichiara una classe di ridondanza che nessuno ha mai messo alla prova sotto carico reale? Parlatene con un tecnico: il sopralluogo è senza costi, e la differenza fra «N+1» scritto e «N+1» provato si vede in una prova, non in una riunione.