İnsan anatomisi harika bir yedeklilik (redundancy) simetrisine sahiptir. İki böbreğimiz, iki akciğerimiz, beynimize kan taşıyan iki ana şah damarımız (karotis arter) vardır. Biri hasar görse, diğeri organizmayı hayatta tutacak kapasiteye sahiptir. Fakat bu kusursuz biyolojik tasarımın ölümcül bir darboğazı vardır: İki akciğerin de oksijen aldığı yer tek bir borudur; trakea, yani nefes borusu.

Bir lokma et trakeayı tıkadığında, göğüs kafesinizde iki tane devasa akciğerinizin olmasının hiçbir kıymeti kalmaz. O ortak darboğaz çöktüğü anda, iki bağımsız organ da saniyeler içinde oksijensiz kalarak beyni felce sürükler.

Veri merkezi mimarisinde ve kurumsal sistem odalarında da tam olarak bu trakea körlüğünü yaşayan, tabelasında "Tier-3 Altyapı" yazıp arka planda sefalet saçan devasa bir illüzyon vardır: Çift Güç Kaynağı (Redundant PSU) Yalanı.

Satın alma departmanları bütçeyi ikiye katlayarak "çift güç kaynaklı (Dual PSU / 750W Titanium Hot-Plug)" kurumsal sunucular alır, sistemciler sunucuların arkasına gururla iki kalın siyah güç kablosu takar. Ta ki binanın trafosunda küçük bir ark oluşup, o çift güç kaynaklı yüz elli sunucunun hepsi aynı mikrosaniyede tek bir "çıt" sesiyle zifiri karanlığa gömülene kadar.

Kabin Arkasındaki Tembellik: Aynı PDU'ya İki Fiş

Gözlerimle onlarca kurumsal firmanın sistem odasında şahit olduğum, trajikomik bir kabin arkası manzarası vardır.

Sunucunun kasasını rafa sürersiniz. Kasanın arkasında yan yana iki adet güç kaynağı yuvası durur: PSU 1 ve PSU 2. Mühendis eline iki adet C13-C14 güç kablosu alır. Biri sağdakine, biri soldakine takılır.

Sonra kabinin yan dikmesinde asılı duran dikey PDU'ya (Power Distribution Unit) bakar. Orada yan yana 24 tane C13 priz vardır. Mühendis iki kabloyu da alır; birinci fişi 7. prize, ikinci fişi 8. prize takar!

Tebrikler; kağıt üzerinde "çift beslemeli ve yedekli" bir sunucunuz vardır, ama gerçekte o kabinin PDU'su üzerinde küçük bir kısa devre olduğunda veya PDU'nun kendi giriş sigortası attığında sunucunuz anında kütük gibi yere çakılacaktır.

Sunucunun kendi içinde iki güç kaynağının olması bir "yedeklilik" değildir; o sadece son kullanıcı ucundaki bir soket çoğullamasıdır. Asıl mesele, o iki soketin geriye doğru uzanan elektriksel soyağacının nerede buluştuğudur.

A ve B Hattının Sahte Ayrılığı

İşi biraz daha bildiğini iddia eden ekipler kabine iki adet PDU koyarlar: Sol tarafa mavi etiketli "PDU-A", sağ tarafa kırmızı etiketli "PDU-B". Sunucunun PSU 1'i A'ya, PSU 2'si B'ye takılır. Mühendis koltuğuna kurulur: "Artık A+B tam yedekliyiz."

Şimdi kabinin tabanındaki yükseltilmiş döşemeyi kaldıralım ve o iki kalın zırhlı kablonun izini sürelim:

  1. Aynı Sigorta Panosu (Distribution Panel): PDU-A ve PDU-B'den çıkan kablolar oda duvarındaki dağıtım panosuna gider. Panonun kapağını açarsınız; evet, iki ayrı 16 Amper sigortaya bağlanmışlardır. Ama o iki sigortanın tepe barası ortaktır! Panonun girişindeki ana kaçak akım rölesi veya ana şalter tek bir faz dengesizliğinde attığında, hem A hem B sigortası aynı anda enerjisiz kalır.
  2. Aynı UPS Ünitesi: Panoyu geçersiniz, UPS odasına inersiniz. Görürsünüz ki PDU-A da PDU-B de aynı 100 kVA'lık devasa kabin tipi kesintisiz güç kaynağına bağlıdır! "Nasıl olsa UPS'imiz 100 kVA, ikisini de besler" denmiştir. O UPS'in içindeki statik bypass arızalandığında veya akü grubundan biri patladığında iki hat birden kesilir.
  3. Aynı Şehir Şebekesi / Trafo: En acı senaryo ise binanın ana dağıtım merkezindedir. A hattı UPS üzerinden geliyordur, B hattı ise "UPS çökerse şebekeden beslensin" diye doğrudan trafoya bağlanmıştır. Şehir elektriği kesildiğinde şebeke ölür (B hattı gider); tam o sırada UPS devreye girerken oluşan 20 milisaniyelik transfer gecikmesinde (veya UPS'in aşırı akım çekmesiyle) A hattı da çöker.

İki farklı yolun sonunda aynı köprüye çıkıyorsanız, o köprü yıkıldığında hangi yoldan geldiğinizin hiçbir önemi kalmaz.

Yük Paylaşımı (Load Balancing) ve Gizli Aşırı Yük Tuzağı

Çift güç kaynaklı sunucuların çalışma prensibinde çok kritik ve çoğu zaman gözden kaçan bir fizik kuralı vardır: Yük Paylaşımı.

Modern sunucularda PSU'lar genellikle iki modda çalışır:

  • Ya yükü %50 - %50 oranında iki güç kaynağı arasında eşit paylaşırlar,
  • Ya da biri aktif (%100), diğeri pasif/standby (%0) bekler.

Şimdi kabininizdeki PDU-A ve PDU-B'nin durumunu düşünün. Kabinde 20 adet 2U sunucu var. Her sunucu normalde 400 Watt güç çekiyor.
Eşit yük paylaşımı modunda:

  • PSU 1 (PDU-A): Her sunucudan 200 Watt çekiyor. Toplam: 4.000 Watt (yaklaşık 17.4 Amper).
  • PSU 2 (PDU-B): Her sunucudan 200 Watt çekiyor. Toplam: 4.000 Watt (yaklaşık 17.4 Amper).

PDU'larınız 20 Amperliktir ve mühendis bakar: "Harika, PDU-A 17.4A çekiyor, PDU-B 17.4A çekiyor, sınırın altındayız, her şey güvenli."

İşte ölümcül matematik tam burada pusuya yatar!
Bir gün PDU-A'nın beslemesi kesilirse veya A tarafının sigortası atarsa ne olur?
O 20 sunucunun PSU 2'leri bir milisaniye içinde tüm yükü tek başlarına üstlenir!
Sunucu başına çekilen güç 200W'tan 400W'a fırlar. PDU-B üzerindeki toplam akım aniden 17.4 Amperden 34.8 Ampere sıçrar!

Sonuç? 20 Amperlik PDU-B sigortası anında "GÜM" diye atar!
A hattı kesildiği için hayatta kalması gereken sistem, B hattına binen ani aşırı yük (inrush & full load) yüzünden B hattının da sigortasını attırarak tüm kabini yerle bir eder.

Bir hattın kapasitesini hesaplarken, o hattın tek başına kabin içindeki tüm sistemlerin yüzde yüz yükünü taşıyabileceğinden emin değilseniz; sizin bir yedek hattınız yoktur, sadece aşırı yüke kurban edilmeyi bekleyen bir kurbanınız vardır.

Gerçek A+B Mimarisi Nasıl Olmalıdır?

Gerçek ve tavizsiz bir elektriksel yedeklilik, satın alma broşürlerindeki etiketlerle değil, beton ve bakırın fiziksel ayrılığıyla inşa edilir:

  1. Tamamen Bağımsız İki Güç Yolu (Dual Path): A hattı; Şebeke 1 -> Jeneratör 1 -> ATS 1 -> UPS Grubu A -> Dağıtım Panosu A -> Kabin PDU-A rotasını izlemelidir. B hattı ise; Şebeke 2 -> Jeneratör 2 -> ATS 2 -> UPS Grubu B -> Dağıtım Panosu B -> Kabin PDU-B rotasından gelmelidir. Bu iki hattın tek bir vidası veya ortak barası dahi olmamalıdır.
  2. Kapasite Sınırı (%40 Kuralı): Bir PDU'ya bağlanan yük, nominal kapasitenin asla yüzde 40'ını aşmamalıdır. Böylece diğer hat tamamen çöktüğünde ve tüm yük tek PDU'ya bindiğinde akım yüzde 80'i geçmez ve sigorta atma riski sıfırlanır.
  3. Periyodik Kesme Testi (Pull the Plug): Gerçek yedeklilik, yılda en az bir kez planlı bakımda ana A panosunun şalteri küt diye indirilerek test edilir. O şalter indiğinde tek bir sunucunuz bile yeniden başlıyorsa, mimarinizde bir yerlerde ortak bir trakea tıkanıklığı var demektir.

Tıpta hastanın iki böbreği olması harika bir güvencedir; ama doktor her iki böbreğin kan damarlarını ayrı ayrı kontrol eder.

Siz de sunucunuzun arkasındaki o iki fişe güvenip arkanıza yaslanmayın. Yükseltilmiş tabanı kaldırın, kabloları takip edin ve o iki kablonun nerede aynı kuyuya düştüğünü bulun. Yoksa o kuyunun kapağı ilk fırtınada üzerinize kapanacaktır.