Geht das? Rechenzentren ohne Anlagen zur Brandbekämpfung? Sinn oder Unsinn von automatischen Löschanlagen im Rechenzentrum

Anbieter zum Thema

VON ZUR MÜHLEN'SCHE GmbH

PresseBox - unn | UNITED NEWS NETWORK GmbH

Rosenberger-OSI GmbH & Co. OHG

maincubes Holding & Service GmbH

Zahlreiche Rechenzentren sind mit automatischen Löschanlagen ausgestattet, die im Brandfall entweder durch Inertisierung die Sauerstoffkonzentration senken oder auf chemische Art und Weise eine Brandzone kühlen. Viele Verantwortliche glauben, dass dies dem Stand der Technik entspricht und ein wesentlicher Bestandteil der Infrastruktur sein muss. Doch ist das so?

Automatischen Löschanlagen dienen dem wichtigen Schutzziel, Brände zu vermeiden und im Falle des Falles eine maximale Schadensbegrenzung sicherzustellen. Ja, aber ... Erfahrene Planer und Berater empfehlen immer häufiger alternative Brandschutzkonzepte, die oftmals ohne Löschanlagen auskommen.

Die Ausgangslage

In der Branche gehören Löschanlagen im Rechenzentrum fast schon zur Selbstverständlichkeit. Aussagen wie „Das macht doch jeder“ oder „Das muss doch so sein“ sind oft zu hören. Fragt man nach den fachlichen Argumenten, erhält man immer wieder ähnlich klingende Antworten:

Manche sagen, dass der Versicherer eine Löschanlage fordert und dafür Nachlässe in der Versicherungssumme gewährt. Andere geben an, so besser im hart umkämpften Datacenter-Markt bestehen zu können, oder das Löschanlagen Anforderung der Kundschaft seien.

Selten geht es wirklich um den Nutzen der Löschanlage im Brandschutzkonzept. Wir haben schon öfter erfahren, dass sich Versicherer Löschanlagen nur wünschten, weil es ein Wunsch der Feuerwehr war. Zu Preisreduktionen seitens der Versicherer kam es indes so gut wie nie.

Feuerwehren und Versicherern geht es zu Recht um die schnelle Bekämpfung eines ausgebrochenen Brandes, also um die Schadensbegrenzung aus deren Sicht. Die Verfügbarkeit des Rechenzentrumsbetriebs ist für diese Organe zweitranging. Damit unterscheidet sich deren Interessenlage grundlegend von der des Datacenter-Betreibers, für den die Verfügbarkeit der Prozesse die höchste Priorität hat.

Die Brandrisiken im Rechenzentrum

Das Sicherheits-Management beginnt immer mit der Betrachtung der Risiken. Brände entstehen, wenn brennbares Material (Brandlasten), Zündquellen und Sauerstoff aufeinandertreffen. Wie steht es damit in Rechenzentren?

• Das Auftreten von Brandlasten hat in den letzten Jahren sicher zugenommen. Ein Beispiel dafür sind Kabeltrassen. Waren diese früher aus Stahlblech, findet man heutzutage insbesondere bei Lichtwellenleiter-Systemen Trassenanlagen aus Kunststoff. Aber auch Kabel, Gehäuse und die IT-Geräte bis hin zur 19-Zoll-Blindabdeckung haben immer mehr Kunststoffbauteile.
  Ein Ansatz zur Risiko-Reduzierung ist aber genau das Gegenteil, nämlich die Reduktion der Brandlasten. Hier drängt sich ein bewährtes Konzept auf: die konsequente räumliche und brandschutztechnische Trennung von grober und feiner Technik.
  Dieser Strategie folgend haben USV-Anlagen und deren Batterien sowie elektrotechnische Schalt- und Verteileranlagen nichts in den Rechnerräumen zu suchen. Generell ist Technik, die nicht direkt der IT zuzuordnen ist, aber zu deren Versorgung dient, außerhalb des Rechnerraums zu installieren.

• So sind auch automatisch die Zündquellen, die fast immer in Verbindung mit den Elektroanlagen zu finden sind aus dem Rechenzentrum gebannt.

• Und der Sauerstoff? Nur der Vollständigkeit halber sei erwähnt, dass es Konzepte gibt, die darauf ausgelegt sind, die Sauerstoffkonzentration im Rechnerraum dauerhaft abzusenken. Es handelt sich jedoch um wartungsintensive Technik mit hohen Betriebskosten, die besser dort eingesetzt werden, wo beispielsweise unwiederbringliche historische Werte in Form von Büchern oder anderen Kunstobjekten zu finden sind.

Eine Reduktion der Risiken kann also zielstrebig angegangen werden.

Beispiel Brandfall Steuermatrix @VZM

Das Schutzziel: Verfügbarkeit des Rechenzentrums

Viele Rechenzentrumskunden oder -betreiber stellen sich zu Beginn eines jeden Projektes zum Neu- oder auch Umbau von IT-Fläche die Frage zur Notwendigkeit einer Löschanlage. Folgende Gedanken sollen helfen, das Thema richtig zu verorten und mit neutraler Betrachtungsweise einzuordnen.

• Bei Löschanlagen handelt es sich um komplizierte, wartungsintensive Technik, die Platz beansprucht, Geld kostet und Energie benötigt.

• Brände in Rechenzentren treten fast immer als so genannte Schwelbrände auf, hervorgerufen durch defekte elektrische Bauteile oder Installationen. Ein Schwelbrand weist eine niedrige Temperatur auf und erzeugt viel Rauch. Einen solchen Schwelbrand schnell zu erkennen und dessen Ursache zu beheben ist für den weiteren sicheren Datacenter-Betrieb wesentlich vorteilhafter als zu löschen.

• Eine Löschung auf Basis von Gasen, egal ob Inertisierung oder chemische Brandbekämpfung ist nur so lange wirksam, wie die Löschmittelkonzentration im Löschbereich dies ermöglicht. Spätestens wenn die Sauerstoffkonzentration wieder zunimmt, müssen die Stützenergien wie Strom und Kälte abgeschaltet, werden, um ein Wiederentzünden zu vermeiden. Das RZ ist dann tot. Sollte es nicht aber hochverfügbar sein? Eine Löschanlage hilft hier also kaum.

Ein wichtiges Ziel des Brandschutzkonzeptes ist es, die Verfügbarkeit eines Rechenzentrums zu erhalten. Genau dieser Grundsatz spiegelt sich in den Vorgaben der Verbände und Institutionen wider, die später auch zertifizierende Organe sein können. Nimmt man sich den TSI-Kriterienkatalog der TÜV-IT GmbH zur Hand, dann erkennt man schnell, dass es bei dem Einsatz von Löschanlagen um Schadensbegrenzung geht und nicht um Verfügbarkeit. Man kann selbst bei Level 3 auf Löschanlagen verzichten, wenn beispielsweise folgende Maßnahmen ergriffen werden:

• ständig besetzte Stelle mit in der Brandbekämpfung geschultem Personal,

• brandlastarme Installation und

• Löschmittel in ausreichender Menge, zum Beispiel 30-Kilogramm-Löscher) vorhalten.

Das sind im Gegensatz zu einer automatischen Löschanlage eher kleinere Maßnahmenpakete, die ohne großen Aufwand relativ leicht umsetzbar sind beziehungsweise insbesondere in Bezug auf die ständig besetzte Stelle ohnehin im Sinne eines störungsfreien 24/7-IT-Betriebes erforderlich sind.

Intelligentere Detektion und Reaktion

Es gibt zahlreiche technische Mittel der Detektion. Eine Möglichkeit ist der Einsatz von Ansaugrauchmeldern, die hoch sensibel auf alles reagieren, was durch die Luft wirbelt. Bei der Rauchdetektion stehen die Größen Sensibilität und Robustheit gegen Falschalarm im umgekehrten Verhältnis. Das bedeutet, dass ein sehr gutes Event- und Alarm-Management nötig ist, damit die Rauchmeldung keine übereilten Löschangriffe oder Feuerwehr-Notrufe auslöst.

Werfen wir weiterhin einen Blick auf die konventionellen optischen Streulicht-Melder. Diese robusteren Melder sorgen dafür, dass der oft behördlich geforderte Brandschutz in Verbindung mit einer Aufschaltung der Feuerwehr funktioniert. Sie steuern, oftmals in Zweimeldungsabhängigkeit, den automatischen Feuerwehralarm, weitere Alarmierungssysteme, Lüftungsanlagen oder Entrauchungen. Vor allem sind sie sehr gut geeignet zur Überwachung der groben Technik, die sich ja dem oben beschriebenen Konzept zur Risikominimierung folgend in Räumen außerhalb der Rechnerräume befindet.

Auch die Möglichkeit der zwischenzeitlichen Abschaltung der Klimatisierung, ohne den IT-Betrieb zu gefährden, dient als probates Mittel, um den Brandherd durch entsprechende Nachschau zu ermitteln. Solche Maßnahmen werden oft in zeitlichen Abhängigkeiten miteinander kombiniert und in einer Brandfallsteuermatrix dargestellt. Selbstredend sind hier auch die brandschutztechnischen Notwendigkeiten, wie die Schließung von Brandschutzklappen bei Alarm, enthalten.

Mit klar definierten Prozessen und Handlungsabläufen, durchgeführt von gut informiertem Personal, können Entstehungsbrände oft erfolgreich bekämpft werden.

Prozessorientiertes Brandschutzkonzept

Die Praxis zeigt, dass eine frühzeitige und granulare Detektion in Verbindung mit einem ganzheitlichen und prozessorientierten Alarm-Management in vielerlei Hinsicht sinnvoller und wirksamer sein kann als eine Löschanlage. Auch hinsichtlich des Zeitfaktors unterliegt die automatische Löschung. Sie setzt erst relativ spät ein: nämlich erst dann, wenn zwei Rauchmelder an unterschiedlichen Positionen den Alarm melden. Einer bedingungslosen Flutung mit Löschgas steht ein individuelles und frühzeitiges Handeln des geschulten Personals gegenüber.

Folgendes Beispiel soll ein solches Szenario verdeutlichen: Als Ausgangssituation soll ein herkömmlich über den Doppelboden klimatisierter Serverraum herhalten. Die Klimatisierung erfolgt aus einem brandschutztechnisch vom Serverraum getrennten Raum, der so genannten Klimaspange über entsprechende Kanäle und Brandschutzklappen.

Der Serverraum ist brandschutztechnisch mit Ansaugrauchmeldern ausgestattet. Diese Melder sind an den Rückluftöffnungen der Umluftkühlgeräte (ULKs) angebracht und dienen dem internen Alarm-Management und der im Folgenden beschriebenen Ansteuerung der ULKs. Sie sind ausdrücklich nicht Bestandteil der bauordnungsrechtlich vorgeschriebenen Brandmeldeüberwachung.

Das Detektionsspektrum der Ansaugrauchmelder je nach Rauchkonzentration wird mindestens in die folgenden drei Stufen gegliedert:

• 1. Infoalarm,

• 2. Voralarm,

• 3. Hauptalarm.

Ferner ist der Raum mit konventionellen, gegebenenfalls baurechtlich geforderten Standardmeldern ausgestattet. Die entsprechenden Schalt- und Steuerfunktionen der Ansaugrauchmelder sehen nun folgendermaßen aus:

• Im Normalzustand sind die ULKs in Betrieb.

• Bei sehr geringer Verrauchung wird ein Infoalarm ausgegeben. Dann erfolgt eine Alarmmeldung an die ständig besetzte Stelle jedoch noch keine weitere automatische Schalthandlung.

• Bei deutlicherer Verrauchung erzeugen die Melder einen Voralarm. Dann erfolgt die Abschaltung der in Betrieb befindlichen ULKs. Die Brandschutzklappen in der Zu- und Rückluft werden geschlossen. Der IT-Betrieb läuft ohne Klimatisierung kurzzeitig weiter. Vor Ort erfolgt eine Nachschau durch geschultes Personal.
   - Erfolgt innerhalb von fünf Minuten nach dem Voralarm keine weiterführende Alarmierung, sei es durch die Ansaugrauchmelder oder konventionelle punktförmige Melder im Raum, werden die oben genannten Brandschutzklappen wieder geöffnet und die ULKs wieder in Betrieb gesetzt.
   - Erfolgt hingegen binnen fünf Minuten eine weiterführende Alarmierung, bleiben die Brandschutzklappen geschlossen und die Umluftkühlung bleibt außer Betrieb. Dann ist von einem tatsächlichen Brandereignis auszugehen.

Damit die Server nicht überhitzen und vor allem, um dem Brand die Stützenergie zu nehmen, sollte jetzt ein Shutdown eingeleitet werden. Tatsächlich gibt es aber auch Konzepte, die die IT so lange am Laufen halten, wie es irgendwie geht. Die Konzepte hierfür sind sehr individuell.

• Schließlich wird bei starker Verrauchung ein Hauptalarm ausgegeben. Diese höchste Eskalationsstufe setzt alle Alarmierungen und Ansteuerungen in Betrieb, da hier von einem Brandereignis auszugehen ist. Natürlich kann ein solcher Hauptalarm auch manuell ausgelöst werden, nämlich beispielsweise dann, wenn sich bei der Intervention zum oben beschriebenen Voralarm-Szenario ein tatsächliches Brandereignis herausstellt.

Im gesamten Ablauf muss geschultes Personal innerhalb der genannten fünf Minuten die Möglichkeit einer gezielten Nachschau im Serverraum nutzen, da durch die Abschaltung der ULKs keine Luftumwälzung im Raum besteht und ein eventueller Brandherd als Schwelherd einfacher zu orten ist. Gerade bei der Entstehung von Bränden und gleichzeitig hohen Luftgeschwindigkeiten durch die Klimatisierung ist die Lokalisierung sonst sehr schwer möglich.

Ausfall der Kühlung

Bei der Festlegung eines solchen Procederes ist vor allem die Dauer interessant, in der die IT ohne Kühlung auskommen kann. Die oben genannten fünf Minuten, in der die ULKs ausgeschaltet bleiben, dürfen keine willkürliche Festlegung sein. Eine oft schwierige Frage, die IT-Verantwortliche manchmal auf Grund ihrer jahrelangen Erfahrungen beantworten können.

Bildergalerie

Ein probateres und reproduzierbareres Mittel zur Ermittlung solcher 'Auszeiten' ist das schrittweise Herantasten durch probeweises Abschalten der Klimaversorgung. Solche Handlungen sind beispielsweise im Zuge von so genannten Funktions-, Resilienz- und Integrationstests möglich, da zu dieser Zeit die IT-Anwendungen und Prozesse ohnehin auf null gefahren werden. Ein besseres Zeitfenster bekommt man nur selten. Eine schnelle Wiederkehr der Systeme sollte im laufenden Betrieb jedoch immer gewährleistet sein.

* Die Autoren Peter Schmidt und Jörg Schulz sind Berater der von zur Mühlen’sche (VZM) GmbH.

(ID:46741237)