Inleiding

Gegevensverwerking was in het verleden nog het gevolg van transacties en mutaties die door mensen tijdens reguliere kantoortijden werden ingevoerd. De hedendaagse eisen aan de beschikbaarheid van continuïteit van ICT gaan uit van de noodzaak 24/7, 365 dagen per jaar te kunnen beschikken over informatie en informatiesystemen. Hierbij is per informatiesysteem slechts beperkte tijd beschikbaar voor onderhoud en is het zeer onwenselijk dat tijdens productie-uren verstoringen optreden. Op alle lagen in de technische infrastructuur zijn daarom maatregelen getroffen om verstoringen tegen te gaan. Al deze maatregelen zijn echter afhankelijk van de continue stroomtoevoer en koeling in het datacenter. Zonder deze zekerheid zullen alle overige maatregelen niet betrouwbaar functioneren.

Maar wat als er onderhoud plaats moet vinden aan de technische installaties in het datacenter? Onderhoud vindt bij voorkeur plaats zonder stroomonderbreking en dus zonder onderbreking van alle systemen in het datacenter. Dit is echter alleen mogelijk als deze technische installaties zijn ontworpen volgens de eisen van de Tier III- en IV-classificatie uit de datacenterstandaard van het Uptime Institute ([Upti10]). Deze de facto standaard geeft heldere ontwerpprincipes voor de technische installaties van datacenters, zodanig dat groot onderhoud mogelijk is zonder dat sprake hoeft te zijn van een ‘total shutdown’ van een datacenter.

KPMG wordt regelmatig gevraagd onderzoek te doen naar of te adviseren over de kwaliteit van IT-continuïteitsmaatregelen. Veel klanten staan voor de uitdaging om aan hoge beschikbaarheidseisen te voldoen voor hun primaire en secundaire processystemen, terwijl ze hierbij afhankelijk zijn van sterk verouderde datacenters (vijftien jaar of ouder). De oplossing ligt voor de hand: verhuizen of migreren naar nieuwe, eigen datacenters of datacenters van IT-dienstverleners. Het op grote schaal migreren van datacenters is echter een risicovolle, complexe aangelegenheid. Daarnaast zoeken klanten die kiezen voor het bouwen van nieuwe datacenters naar een optimum in enerzijds het investeren in kostbare continuïteitsmaatregelen en anderzijds het tot op acceptabel niveau reduceren van risico’s. Hierbij is een Tier IV-datacenter niet altijd de beste oplossing. Maar wat betekent deze Tier-classificatie van datacenters nu eigenlijk?

In dit artikel gaan we in op de niveaus in de technische infrastructuur waarop continuïteitsmaatregelen getroffen kunnen worden en besteden we met name aandacht aan de Tier-classificatie uit bovengenoemde standaarden. In het artikel ‘Strategische keuzen rondom datacenters’ in deze Compact wordt onder meer dieper ingegaan op de risico’s en aanpak van datacentermigraties.

Gelaagdheid in continuïteit

In figuur 1 is een sterk vereenvoudigd, gelaagd model gegeven van een technische ICT-infrastructuur.

Figuur 1. Vereenvoudigd model van een technische ICT-infrastructuur.

Hierbij is onderscheid gemaakt tussen de ICT-infrastructuur die fysiek geconcentreerd is in een datacenter (links), de decentrale ICT-infrastructuur voor bijvoorbeeld werkplekautomatisering op kantoorlocaties (rechts) en de netwerkverbindingen tussen het datacenter en de decentrale ICT-omgevingen (midden).

De volgorde van de lagen betekent dat elke laag noodzakelijk is voor de laag erboven en dat idealiter per laag technologische keuzen kunnen worden gemaakt die onafhankelijk zijn van de andere lagen. De onafhankelijkheid tussen deze lagen heeft te maken met open standaarden en marktwerking, waardoor organisaties een vrije keuze hebben in het kiezen van leveranciers en oplossingen per laag. Denk hierbij aan industriestandaarden voor het formaat van IT-apparatuur en apparatuurracks, door platformen ondersteunde standaard-datatransportprotocollen als Ethernet en TCP/IP en dataopslagprotocollen als CIFS, NFS en iSCSI, en de verschillende platformen die leveranciers van middlewareoplossingen, databases en applicaties ondersteunen.

In de figuur is tevens aangegeven welke technische componenten en maatregelen van belang zijn voor het realiseren van een hoge beschikbaarheid en continuïteit van de gegevensverwerking:

• Publieke infrastructuren. De continuïteit van een datacenter is sterk afhankelijk van een betrouwbare toevoer van stroom (technische installaties en ICT-apparatuur, verlichting, e.d.), koelwater (gesloten circuit of externe koeling via een kanaal of rivier) en brandstof (noodstroomaggregaten).
• Datacenter gebouw en fysieke beveiliging. Een datacenter dient bouwkundig geschikt te zijn voor het huisvesten van grote hoeveelheden ICT-apparatuur, gelegen te zijn buiten risicogebieden voor bijvoorbeeld overstromingen en fysiek beveiligd te zijn tegen inbraak, vandalisme en aanslagen.
• Technische installaties. De (redundante) toevoer van stroom, het afvoeren en koelen van de grote hoeveelheden warmte die vrijkomt in de ICT-apparatuur en het reguleren van de luchtkwaliteit vragen om betrouwbare technische installaties.
• Datacenter netwerk en koppelingen. De componenten van de ICT-apparatuur in het datacenter staan met elkaar in verbinding via een redundant opgezet datacenternetwerk met een hoge bandbreedte (DC LAN’s). Ook kent elk datacenter een groot aantal (redundante) externe netwerkkoppelingen (internet, WAN’s).
• Servers en storage. De verwerkings- en opslagcapaciteit in een datacenter is afhankelijk van het aantal en de capaciteit van serverplatformen en storagesystemen. Deze staan met elkaar in verbinding door glasvezelnetwerken met een zeer grote bandbreedte. Met hardwarevirtualisatie zijn rekenkracht en opslagcapaciteit te bundelen tot een logische server en zijn zowel servers als data in geval van een calamiteit over te schakelen naar een andere fysieke locatie in het datacenter (locatietransparante gegevensverwerking).
• Besturingssystemen. De capaciteit en de beveiliging van ICT-hardware worden gereguleerd door besturingssystemen. Met virtualisatie van besturingssystemen kunnen verschillende besturingssystemen naast elkaar op dezelfde fysieke of logische server draaien, met het hierboven beschreven voordeel van locatietransparantie.
• Middleware en databases. Middleware is kortweg een verzamelnaam voor ICT-toepassingen die applicaties onderling laten communiceren. Databases bieden een gestructureerde wijze van het opslaan en raadplegen van gegevens. Door middel van real-time gegevensreplicatie tussen databases op verschillende locaties kan het risico worden gereduceerd dat gegevens tijdens calamiteiten verloren gaan.
• Kantoorautomatisering. Deze component omvat alle ICT-toepassingen die nodig zijn voor onderlinge samenwerking en om eindgebruikers op een gecontroleerde wijze toegang te geven tot applicaties en gegevens. Voor e-mailvoorzieningen kunnen mailboxen worden verspreid over meerdere datacenters en worden gerepliceerd om verlies van mail tijdens calamiteiten te voorkomen.
• Applicaties. Bedrijfsapplicaties in de vorm van standaardpakketten of informatiesystemen die op maat ontworpen zijn voor specifieke bedrijfsprocessen. Applicaties steunen voor continuïteit en beschikbaarheid sterk op de hierboven beschreven maatregelen in de technische infrastructuur.

In andere artikelen in deze Compact wordt dieper ingegaan op continuïteitsmaatregelen rondom dataopslag met Storage Area Networks (SAN’s).

Technische installaties

Een belangrijk fundament onder een ICT-infrastructuur met een hoge beschikbaarheid en continuïteit zijn de technische installaties in de datacenters. Onder technische installaties verstaan we de elektrotechnische en koeltechnische installaties waarmee datacenters van (nood)stroom en koeling worden voorzien. Deze installaties kunnen niet zonder regeltechniek voor het continu in- en bijregelen, meten en bewaken van de toevoer van onder meer stroom en koele lucht, het bijladen van noodstroomvoorzieningen en het opstarten van noodstroomaggregaten.

Alle maatregelen die op hoger gelegen infrastructuurlagen zijn ontworpen, zoals redundante netwerkverbindingen of gegevensopslag, zijn primair afhankelijk van een betrouwbare stroomvoorziening en een adequate koeling van de ICT-apparatuur. Als in een datacenter de koelinstallaties zouden uitvallen stijgt de temperatuur binnen enkele minuten tot ver boven het niveau waarop hardwareleveranciers de goede werking van de hardware kunnen garanderen. Betrouwbaar betekent in deze context de mate waarin de elektrotechnische en koelinstallatie beschikbaar zijn bij eventuele (ver)storingen en calamiteiten.

In de volgende paragrafen zal dieper worden ingegaan op welke standaarden en maatregelen kunnen bijdragen aan een hoge beschikbaarheid van een datacenter.

Het Uptime Datacenter Tier Topology-model

Om de verschillende niveaus in beschikbaarheid (en dus betrouwbaarheid) van technische infrastructuren van datacenters te kunnen vastleggen zodat er een waardeoordeel over gegeven kan worden, is door het Uptime Institute, dé grondlegger van continuïteitsinstallaties voor datacenters, een classificatiesysteem ontwikkeld: het zogenaamde Tier-model.

Het Tier-model bestaat uit vier niveaus (rangen) die de mate van beschikbaarheid weergeven waaraan een technische installatie/infrastructuur van een datacenter kan voldoen. Hierbij geldt dat hoe hoger de klasse waarin de technische installatie zich bevindt, hoe hoger de mate van beschikbaarheid en hoe kleiner de kans op uitval. Andersom geldt ook dat hoe lager de klasse waarin de technische installatie zich bevindt, hoe lager de mate van beschikbaarheid en hoe groter de kans op uitval. Binnen het Tier-model wordt de mate van beschikbaarheid weergegeven in 99,xx procent. Het getal dat achter de komma komt te staan, geeft de hoogte van de beschikbaarheid aan. Hieronder geven wij uitleg over de vier Tier-niveaus, hun kenmerken en hun betrouwbaarheid in een percentage.

Tier I

Een Tier I-datacenter heeft als belangrijkste kenmerk dat geen (of een zeer beperkt aantal) van de componenten in de technische installaties redundant is uitgevoerd. Elk van de componenten vormt hiermee een ‘single point of failure’. Bij uitval van een component zoals de koeling, betekent dit dat er geen andere koelinstallatie aanwezig is om de koeling over te nemen. Hierdoor moeten de ICT-systemen binnen het datacenter worden uitgeschakeld.

De beschikbaarheidsgarantie van een Tier I-datacenter is 99,6 procent per jaar. Dit vertaalt zich naar een down time van maximaal 28,8 uur per jaar voor onderhoud aan componenten in de technische installaties van het datacenter. Dus zowel bij calamiteiten als bij onderhoud is het vrijwel zeker dat het gehele datacenter niet beschikbaar is.

Figuur 2. Schematische weergave Tier I-datacenter.

Tier II

Binnen Tier II-datacenters is er sprake van het principe ‘Need plus One’ (N + 1) voor de generator, uninterruptible power supply (hierna: UPS) en koeling. Deze redundante componenten in de technische installaties kunnen de functionaliteit overnemen bij een verstoring. Het distributiepad van de UPS naar de servers is bij een Tier II-datacenter enkelvoudig. Wordt er onderhoud uitgevoerd aan deze distributiepaden dan moeten de servers worden uitgeschakeld of moet er gekeken worden naar andere mogelijke oplossingen. De beschikbaarheidsgarantie van een Tier II-datacenter is 99,7 procent per jaar, wat een maximale down time betekent van 22 uur per jaar. Bij onderhoud is het alsnog mogelijk dat het gehele datacenter niet beschikbaar is. Voor een aantal enkelvoudige verstoringen in de stroomtoevoer biedt een Tier II-datacenter passende maatregelen. De verdelers blijven een potentiële point of failure. Indien een voeding van een server defect raakt, bestaat er geen alternatief distributiepad tot de server die een redundante voeding van stroom kan voorzien.

Figuur 3. Schematische weergave Tier II-datacenter.

Tier III

Wanneer het mogelijk is gepland onderhoud uit te voeren aan elk van de componenten zonder een onderbreking van de werking van de ICT-systemen is er sprake van een Tier III-datacenter, ook wel ‘concurrently maintainable’. Dit kan preventief onderhoud zijn maar bijvoorbeeld ook de vervanging, verwijdering of toevoeging van één of meer componenten. De beschikbaarheidsgarantie van een Tier III-datacenter is aanzienlijk hoger dan die van een Tier II-datacenter, namelijk 99,98 procent. Dit houdt een jaarlijkse maximale down time in van 1,6 uur. In geval van (groot) onderhoud of verstoringen biedt de redundantie in de componenten en distributiepaden voor stroomtoevoer en koeling de zekerheid dat de IT-apparatuur blijft draaien, tenminste zolang het datacenter van stroom wordt voorzien of de generatoren blijven draaien. Toch zijn niet alle componenten in elk van de distributiepaden redundant uitgevoerd aanwezig, in het bijzonder de generatoren en UPS’en.

Figuur 4. Schematische weergave Tier III-datacenter.

Tier IV

De hoogst mogelijke beschikbaarheid wordt verkregen met een Tier IV-datacenter. Een Tier IV- datacenter is in staat ten minste één ‘worst case’ storing of gebeurtenis te doorstaan zonder dat dit een directe impact heeft op de technische infrastructuur. Dit vereist dan ook dat elk van de componenten redundant is uitgevoerd. De beschikbaarheidsgarantie van een Tier IV-datacenter is 99,995 procent, wat neerkomt op maximaal 0,4 uur down time per jaar.

Figuur 5. Schematische weergave Tier IV-datacenter.

In tabel 1 is per Tier level volgens de Tier Topology een kort overzicht gegeven van de belangrijkste kenmerken en eigenschappen.

Tabel 1. Kenmerken en eigenschappen datacenters op basis van Uptime Tier Topology.

De de facto standaard voor datacentercontinuïteit is Tier III, waarbij nog ontwerpkeuzen gemaakt kunnen worden welke componenten enkelvoudig worden uitgevoerd. Deze Tier-indeling wordt breed gebruikt in de IT-markt, maar nog lang niet alle bestaande datacenters voldoen aan de eisen van Tier III en brengen daarmee specifieke risico’s met zich mee. Het is daarom van groot belang precies te weten waar de zwakke plekken zitten in uw datacenterontwerp en welke componenten een ‘single point of failure’ vormen.

Overige relevante standaarden

Naast het Uptime Tier Topology-model wordt in de Nederlandse markt met regelmaat gebruikgemaakt van de TIA-942-standaard van de Telecommunications Industry Association (TIA) ([TIA05]). Deze standaard is in 2005 door TIA uitgegeven, waarop in 2008 twee ([TIA08a], [TIA08b]) en in 2010 één ([TIA10]) addenda zijn gepubliceerd. De TIA-942 is in de basis gestoeld op de Tier Topology van het Uptime Institute. De TIA-942 voegt in die zin waarde toe op het Tier Topology-model door concrete eisen aan te dragen per Tier level.

De eisen uit de TIA-942 zijn onderverdeeld naar bouwkundige eisen, elektrotechnische eisen, mechanische eisen, telecommunicatie eisen en beveiliging (fysiek). In figuur 1 is de reikwijdte van de TIA-942 weergegeven in termen van de onderste infrastructuurlagen.

Als derde standaard worden de Syska’s Criticality Levels gehanteerd ([Sysk05]). Deze worden in een mindere mate aangetroffen binnen de Nederlandse markt. De Syska’s Criticality Levels™ bouwen net als de TIA-942-standaard door op de Uptime Tier Topology. Zij geven echter minder diepgang dan de TIA-942. Door de beperkte mate van bekendheid wordt er niet verder ingegaan op deze standaard.

Bovenstaande standaarden ondersteunen bij het verkrijgen van inzicht in de kwaliteit van de technische infrastructuur en de daarbij behorende beschikbaarheidsniveaus. Op basis van dit inzicht kan het noodzakelijk zijn verbeteringen in de technische infrastructuur door te voeren of de ICT-infrastructuur uit een dergelijk datacenter te verhuizen naar een ander datacenter.

Risicospreiding met tweelingen

Moderne datacenterconcepten voorzien ‘by design’ in hoge beschikbaarheids- en continuïteitsgaranties door middel van een hoge mate van redundantie in de technische installaties, een hoge mate van hardware- en platformvirtualisatie, meerdere fysieke locaties en real-time datareplicatie over deze locaties (het zogenaamde Twin Datacenter-concept). Hierdoor zijn investeringen in separate uitwijklocaties verleden tijd en kan in geval van een ernstige calamiteit op één locatie de beschikbare overcapaciteit op de andere locatie tijdelijk worden ingeruimd voor systeemuitwijk.

In figuur 6 is een sterk vereenvoudigd, gelaagd model gegeven van een twin datacenter.

Figuur 6. Conceptueel model van een twin datacenter.

Hierbij is sprake van één logisch datacenter, verdeeld over twee fysieke locaties. Hierdoor wordt het risico gespreid van bijvoorbeeld brand, stroomstoringen of netwerkstoringen door graafwerkzaamheden.

Dit concept kan worden uitgebreid naar meerdere datacenters. Door deze vorm van risicospreiding is het niet noodzakelijk om de technische installaties van elk datacenter te ontwerpen op het hoogste en daarmee meest kostbare Tier IV-niveau van de Uptime Institute-classificatie.

Een Tier IV-datacenter vereist namelijk twee gescheiden stroomtoevoerpaden van twee onafhankelijke leveranciers. In Nederland delen energieleveranciers veelal de energie-infrastructuur en zijn er slechts weinig locaties beschikbaar waar twee energiebedrijven in twee volledig onafhankelijke toeleveringspaden kunnen voorzien. Veel klanten kiezen dan ook voor een compromis, waarbij meerdere Tier III-datacenters op een afstand van tientallen kilometers of meer als één logisch datacenter worden ingericht. De gedachte hierachter is dat twee Tier III (twin)-datacenters even betrouwbaar en goedkoper kunnen uitpakken als één Tier IV-datacenter.

Conclusie

Het overgrote deel van de gegevensverwerking van organisaties vindt plaats achter de deuren van het datacenter. In dit artikel is ingegaan op de verschillende niveaus in de technische infrastructuur waarop maatregelen getroffen worden om de continuïteit en beschikbaarheid van de gegevensverwerking te kunnen waarborgen.

De technische installaties in het datacenter vormen het belangrijkste fundament onder een IT-infrastructuur die moet kunnen voldoen aan hoge beschikbaarheids- en continuïteitseisen. In dit artikel is kort ingegaan op het zogenaamde Tier Topology-model van het Uptime Institute en de vergelijkbare open standaard TIA-942. Eerstgenoemd model geeft heldere ontwerpprincipes voor de technische installaties van datacenters, zodanig dat groot onderhoud mogelijk is zonder dat sprake hoeft te zijn van een ‘total shutdown’ van een datacenter.