データセンター向け補給水タンクの並列冗長化
作成日 今日
データセンター向け補給水タンクの並列冗長性
補給水タンクの冗長性は容量の問題ではなく信頼性の判断です。並列、使用中/待機、分割容量はそれぞれ異なる故障に対して保護し、並列タンクはヘッダー、補給、ポンプ、制御が独立している場合にのみ役立ちます。Uptime InstituteのTier証拠として監査人が求めるのは、共有バルブの背後にある2番目のタンクではなく、各項目に緩和策を付けた単一障害点リストです。
はじめに
補給水タンクは、容量の資産となるはるか以前に、信頼性の資産である。タンクを2基並列に設置するか、1基を待機用として保持するか、必要な容量を複数基に分割するかという問いは、冷却ループが1日に何立方メートルを必要とするかではなく、タンク、ポンプ、ヘッダーのいずれかが故障したときに何を稼働し続けなければならないかによって決まる。冗長性を容量の問題として扱うと、供用停止時に代替手段のない単一の大型タンクに行き着く。
本稿では、冗長トポロジーをデータセンターの補給水ストレージにおける独自の設計判断として扱う。一般的な3つのトポロジー、それぞれがもたらす故障モード、並列タンクが密かに生み出しうる単一障害点、冗長性を実質的なものにする切替・保守ロジック、そしてUptime Institute Tier Standardが監査人に提示を求めるエビデンスについて述べる。また、防火用水が同一スコープに含まれる場合はNFPA 22を、補給水の負荷そのものについてはASHRAEハンドブックを参照する。
なぜ冗長性トポロジーは容量とは別の決定なのか
必要な補給水量は水バランスとサイトが必要とする自律性によって決まり、その数値はタンクを1基建設しても4基建設しても同じである。冗長性とは、ある要素の故障が補給機能を失わせないように総量をどのように配置するかという別の問いである。この2つを混同すると、容量に合わせてサイズ設定されながら代替手段のない単一タンク、あるいは1つのヘッダーを共有するがゆえに1つの故障を共有する2基のタンクが生まれる。
規律とは、まずサイズを決め、次に配置を決めることである。使用可能な容積が確定したら、トポロジーの問題はこうなる。タンクを一つ失っても、配管、ポンプ、コントローラーのいずれかを一つ失っても、冷却ループを補完できるか。その答えは容器の配置にかかっており、同様に、それらに供給し排水するすべてのものの配置にもかかっている。ティア目標を宣言したデータセンターは、この問題の一部にすでに答えを出している。なぜなら、ティアレベルによって、設計が示さなければならない同時保守性や故障耐性の程度が決まるからである。
3つのトポロジー：並列、デューティ/スタンバイ、分割容量
並列とは、2つ以上の同等のタンクを接続し、そのいずれもが運用に供することができるようにするもので、1つを失っても残りが負荷を担い、タンク数においてN+1の構成となる。常用/待機は、1つのタンクをオンラインにし、1つを予備として保持するもので、待機側は通常は休止状態にあり、主タンクの故障時に引き継ぐ。これは主タンクの完全な故障に対して保護するが、日常の取り出しと点検負担を1つの容器に集中させる。分割容量は、必要な容量を複数のより小さなタンクに分散させ、そのいずれもが単独で予備全体を保持するものではない。
実際には、この三つは相互排他的ではない。サイトによっては、分割リザーブを備えた並列デューティタンクを運用したり、それ自体が分割されているデューティ/スタンバイのペアを運用したりする場合がある。重要なのは、各トポロジーが異なる障害に対応するという点である。並列構成はメンテナンスによるタンクの喪失に対応し、デューティ/スタンバイ構成はアクティブタンクの喪失に対応し、分割容量構成は単一のシェルがリザーブ全体を保持しないことを保証することで単一シェルの壊滅的喪失に対応する。その選択は、習慣ではなく、最も生き残る必要がある障害によって導かれる。
各トポロジーの故障モード
パラレルタンクは共通要素を通じて故障します。1つのブロックバルブを備えた共有サクションヘッダー、単一の充填ライン、または両方のタンクに1つのレベルコントローラーがある場合、それぞれがベッセルの冗長性を損ないます。故障モードはタンクシェルではなく、両方のタンクが依存するものです。デューティ/スタンバイは異なる形で故障します — スタンバイはアイドル中に故障を発症する可能性があり、メンテナンス後にバルブが閉じられたままになる可能性があり、または切り替えが手動で遅い場合、プライマリがスタンバイの稼働を確認する前に故障します。
分割容量の故障モードは、より多くの構成要素の合計である。より多くの基礎、より多くの屋根、より多くのノズル、それぞれが潜在的な漏洩点となるが、単一のものが予備全体を失わせることはない。その弱点は調整にある——分割がバルブで仕切られていずれの区画も隔離できるようになっていなければ、一つの故障が他の区画を排水したり汚染したりする可能性がある。誠実な比較は、どのトポロジーが最も少ない部品数を持つかではなく、どのトポロジーの支配的な故障モードを最も安価に緩和できるかであり、それはサイトの配管、制御、保守の文化に依存する。
パラレルタンクが生み出す単一障害点
並列タンクは、最も頻繁に冗長と見なされ、最も頻繁にそうでないと判明するトポロジーである。なぜなら、冗長性は容器の中に存在し、単一障害点はそれらを接続するものの中に存在するからだ。両方のタンクに供給する単一の吸込みヘッダーと1つの隔離弁は、その弁を閉めること、またはそのヘッダーの故障が両方を停止させることを意味する。代替供給源のない単一の市水供給は、タンクがいくつあっても供給中断が両方を空にすることを意味する。建物管理システムに供給する1つのレベルおよび温度ループは、制御障害が両方を排水または過充填する可能性があることを意味する。
この問題を明らかにする分析は、水源から使用地点までの水の経路をたどり、単一の構成要素に絞られる箇所をすべて印付けする。各印は単一障害点であり、それぞれが冗長化によって軽減される。独立した隔離を備えた第二のヘッダー、代替の供給源、タンクごとの独立した液位制御により、一方を稼働停止しながら他方を稼働させることができる。並列タンクが冗長性を発揮するのは、これらの共通要素もまた並列化されている場合に限られる。だからこそ、トポロジーの主張はタンク単位ではなく、配管一本一本について文書化されなければならない。
切り替えロジックと制御
人がバルブを操作するために立ち会うことを前提とした冗長性は、午前3時に機能しなくなる冗長性です。切替ロジックは、2番目のタンクが自動でオンラインになるか手動でオンラインになるかを決定し、制御システムが自動切替を信頼できるものにします。レベルベースの制御では、使用中のタンクが設定値を下回ったときに待機タンクへ負荷を逃がすことができ、ビル管理システムはポンプまたはレベルの故障時にアラームを発し、切り替えることができます。
制御要件は独立性と可視性である。各タンクには独自のレベル測定と独自の制御接続が必要であり、一方のコントローラが故障しても他方が見えなくなることも機能停止することもないようにする。切替はフェイルセーフであるべきであり、主供給経路が失われた場合、冷却ループが補給不足の状態に陥る前に代替経路が開かれる。常用/待機構成では、待機側を定期的に試運転し、実際の主系統故障時ではなく日常試験でアイドル状態の故障を発見できるようにする。制御ナラティブはTier証拠の一部である。なぜなら、監査人はタンクだけでなく、切替ロジックを確認したいからである。
供給を失わない保守
冗長トポロジーの価値は、めったに遭遇しない障害時ではなく、保守時に発揮される。同時保守性——クリティカル負荷を停止することなく、任意の一要素を切り離して保守できる能力——がTier IIIの要件であり、補給水貯蔵の構成がこれを支えるのは、任意の単一のタンク、ポンプ、バルブ、またはヘッダーを、他の要素がその役割を担ったまま運用から外すことができる場合に限られる。つまり、各要素が独自の隔離手段を持ち、残りの要素が負荷をカバーする容量を有していることが必要である。
実用試験は保守シナリオである。タンクAを内部検査およびコーティング補修のために取り出し、タンクBとC（または待機タンク）が停止期間中の補給量を保持できることを確認する。これには最悪の週の需要も含まれる。もし回答がプライマリタンクを稼働継続させることを要求するなら、その設計は同時保守可能ではない。分割容量はここで役立つ。なぜなら、単一のシェルが予備容量全体を保持するわけではないため、1基を隔離しても他のタンクに必要量が残るからである。隔離ポイントと容量チェックを含む保守計画が、その主張を証明する文書である。
各トポロジーがTierの証拠として提供するもの
Uptime Instituteのティア基準では、冗長性を同時保守性（ティアIII）と耐障害性（ティアIV）として位置づけており、各トポロジーは異なるエビデンスを生み出します。並列配置および分割配置は、機能を失うことなくいずれか1つのタンクを保守のために切り離せることを実証し、これはティアIIIの同時保守性を裏付けます。耐障害性とは、最悪のケースの故障が発生してもダウンタイムなしでシステムが存続するというティアIVの要件であり、タンク殻の喪失を含む単一の故障によって予備が失われない場合に裏付けられます。これを分割容量が直接的に解決します。
監査人が求める証拠はタンクの数ではなく、分析である。特定された単一障害点、それぞれに付随する緩和策、隔離および切り替えのロジック、そして停止中に残りの要素が負荷をカバーすることを示す容量の証明である。共有ヘッダーの背後にある2台目のタンクはTier IIIの証拠にはならない。なぜなら、それは同時保守可能ではないからである。トポロジーとそれを実現する配管および制御は一体として文書化され、Tier目標は機器上のラベルとしてではなく、その証拠を添えた設計意図として明示される。
選択基準
トポロジーの選択は、短い一連の基準に還元され、順番に実行する必要があります。まずTierの目標を述べます。これは、設計が示さなければならない最小限の同時保守性またはフォールトトレランスを設定するためです。次に、最も耐える必要のある現実的な障害を列挙します — 保守によるタンクの喪失、アクティブタンクの喪失、または単一シェルの壊滅的な喪失 — そしてそれぞれにトポロジーを対応させます。その後、サイトを確認します。スペース、基礎、および複数の小型タンクと1つの大型タンクのコスト比較です。
タイブレーカーは通常、共通要素のリスクです。サイトが1つの充填源または1つのヘッダーしか提供できない場合、並列タンクはほとんど効果がなく、独立した隔離を備えた分割容量の方が適している可能性があります。最終的な基準はドキュメントです。どのトポロジーを選択するにしても、単一障害点分析とTierの証拠を含めて、配管ごとに示さなければなりません。容量だけで選択されたトポロジー、または緩和策のリストなしで主張されたトポロジーは、監査で不合格となるものです。
冗長トポロジーの比較：それぞれが何を保護し、何のコストがかかるか
トポロジー | 保護対象 | 主要な故障モード | Tierサポート |
並列（N+1） | メンテナンスまたは修理による1基のタンクの喪失 | 共有ヘッダー、充填または制御 | Tier III 同時保守性 |
常用／待機 | アクティブタンクのクリーンな故障 | アイドル待機故障、低速切替 | 切替が証明された場合の保守性 |
分割容量 | 1つのシェルの壊滅的損失 | コンポーネントが多い。連携が不十分 | Tier IVのフォールトトレランス |
単一タンク | それ自体の完全性を超えるものはない | タンク障害が発生すると補給が停止する | なし |
単一障害点登録簿：要素、障害、緩和策
共通要素 | 故障 | 緩和策 | 証拠 |
吸込みヘッダー | 1つのブロックバルブが両方のタンクを停止させる | 独立した隔離を備えた二重ヘッダー | 別々の経路を示すP&ID |
充填源 | 単一の自治体供給が中断 | 代替水源またはより大きな予備 | 水源調査と自律性計算 |
レベル / 制御ループ | 1つのコントローラが両方を排水または遮断 | タンクごとの独立した測定 | 制御ナラティブとアラーム |
切り替え | 手動、低速、または未実証 | 自動フェイルセーフ転送 | 転送ロジックとテスト記録 |
基礎／アンカレッジ | サイト固有の地震事象 | サイトごとの設計責任技術者 | 密封基礎計算書 |
プロジェクト参照
データセンターにおける並列または分割容量の補給水タンク冗長化について、検証済みプロジェクトライブラリには一致するプロジェクト記録が存在せず、このページにはプロジェクト参照も記載されていません。上記の推奨事項は、トポロジー比較、単一障害点分析、切替および保守ロジック、ならびにUptime Institute Tier Standard、NFPA 22およびASHRAE Handbookの参照に基づいています。特定のサイトについては、ここに示す選定基準とTierの根拠が、レビュー担当者が監査できる基礎となります。
Center Enamelについて
Center Enamel（石家庄正中科技有限公司）は、ボルト締め鋼製貯蔵タンク、溶接鋼製タンク、溶融結合エポキシタンク、亜鉛メッキタンク、ステンレス鋼製容器、圧力容器、アルミニウムジオデシックドーム屋根および浮き屋根の設計・製作を行っています。同社は30年以上の生産経験を有し、100か国以上のプロジェクトに設備を供給してきました。アルミニウムジオデシックドーム屋根はAPI 650 Appendix G、AWWA D108、Aluminum Design Manual、ASCE 7およびIBCに準拠して設計・製作されており、同社は2023年に直径72 mのアルミニウムドーム屋根を開発・輸出しました。エンジニアリング、製作、コーティング、品質管理および現場サービスを一つのスコープとして処理しているため、図面、計算根拠および納入されたハードウェアを相互に照合することができます。
よくある質問
補給水タンクは並列に設置すべきか？
並列設置は、タンクの共通要素も冗長化されている場合にのみ価値がある。1本の吸引ヘッダーの背後に2基のタンク、1本の充填ライン、または1台のレベルコントローラーという構成は、独立した2系統の供給ではない。なぜなら、それらの共有要素のいずれかが両方を停止させ得るからである。サイトが独立したヘッダー、代替の充填源、およびタンクごとの個別制御を提供できるのであれば、並列タンクはタンク1基が使用不能になった際に対する真のN+1保護を実現する。それができない場合、独立した隔離を備えた容量分割が通常はより良い解決策であり、代替手段のない単一の大型タンクが最悪である。
並列タンクと常用／待機タンクの違いは何か？
並列タンクはどちらも通常オンラインで、どちらもデューティを担うことができるため、一方を失っても残りが負荷を担います。タンク数でN+1となり、日々の取り出しを分散します。デューティ/スタンバイは一方のタンクを稼働、もう一方を予備として保持するため、プライマリが故障するまでスタンバイは待機状態にあり、プライマリの完全な故障には対処できますが、摩耗と検査が1つの容器に集中し、実証が必要な切り替えに依存します。これらのトポロジーは異なる故障に対応し、時には組み合わされ、並列デューティタンクと分割またはスタンバイ予備を備えます。
分割容量冗長性とは何か？
分割容量は、必要な補給量を複数の小さなタンクに分散させることで、単一のシェルが予備量の全体を保持しないようにします。これにより、一つのタンクの壊滅的な損失——シェルの破損、大規模な漏洩、長期の検査停止——から保護されます。残りのタンクが必要な容量を依然として保持しているからです。その強みは直接的なフォールトトレランスにあり、分割がバルブで仕切られていれば任意の区画を隔離できるため、Tier IVの意図をサポートします。そのコストは、基礎、屋根、ノズルが増えることであり、それぞれが維持すべき別個の要素となります。
どのトポロジーが最も故障モードが少ないか？
絶対的な意味で最も故障モードが少ないトポロジーは存在しない。それぞれ異なる支配的な故障モードを持つ。並列タンクは共通のヘッダー、充填ライン、制御系を通じて故障する。デューティ/スタンバイは、待機側の故障、閉止されたままのバルブ、または遅い手動切替によって故障する。分割容量はコンポーネントが多いが、単一のコンポーネントが予備全体を失わせることはない。誠実な比較とは、どのトポロジーの支配的故障を最も安価に緩和できるかであり、それはタンクの数だけではなく、サイトの配管、制御、保守文化に依存する。
タンク間の切り替えはどのように制御されていますか？
切替は自動かつフェイルセーフであるべきであり、その責務がクリティカルな場合には、ビル管理システムにおけるレベル検知またはポンプ故障検知によってトリガーされ、冷却ループが補給水不足の状態に陥る前に代替タンクが開くようにする。各タンクには独自のレベル測定と独自の制御接続が必要であり、一方のコントローラが他方を無効化したり麻痺させたりしてはならない。常用/待機構成では、待機側を定期的に試運転し、アイドル状態の故障が実際の障害時ではなく試験中に発見されるようにする。切替ロジックは、監査人がレビューするTier証拠の一部である。
供給を失わずに1つのタンクを維持できますか？
はい、その配置が同時保守可能である場合：任意の単一のタンク、ポンプ、バルブ、またはヘッダーを隔離しながら、他の機器が任務を担うことができ、最悪週の補給需要も含まれます。そのためには、各要素に独立した隔離手段が必要であり、停止をカバーするのに十分な残存容量が求められます。分割容量が役立つのは、単一の殻が全予備量を保持しないため、一つを隔離しても必要な容量が残るからです。隔離ポイントを含む保守計画と容量チェックが、その主張を証明する文書であり、それがなければ、その設計は同時保守可能とは言えません。
Tier監査では冗長性についてどのような証拠が必要ですか？
Tier監査が求めているのは分析であり、タンクの数ではない。タンク、ヘッダー、充填、ポンプ、制御にわたって特定された単一障害点、それぞれに付随する緩和策、隔離および切替ロジック、そして停止中に残りの要素が職務をカバーするという容量の証明である。並列または分割構成はTier IIIの同時保守性を支え、分割容量は単一障害で予備が失われない場合のTier IVの故障耐性を支える。Tier目標は、機器に付されたラベルとしてではなく、その証拠を添えた設計意図として述べられる。
補給水タンクの冗長性は、容量が確定した後に下される信頼性の判断であり、選択するトポロジーは、最も耐える必要のある障害に適合していなければなりません。並列タンクはメンテナンスによるタンク喪失に対応し、デューティ/スタンバイは稼働タンクの喪失に対応し、分割容量は単一シェルの壊滅的喪失に対応しますが、ヘッダー、充填、ポンプ、制御が独立していなければ、いずれも冗長とは言えません。
Uptime InstituteのTier証拠として監査人がレビューするのは、各項目に対する緩和策を伴う単一障害点リスト、アイソレーションと切り替えロジック、および停電時に残りの要素が職務をカバーするという容量の証明です。補給量、Tier目標、サイト制約、利用可能な水源をお送りいただければ、共通要素を二重化し、証拠を文書化したトポロジーをご返却します。
エンジニアリングチームに相談する
職務、容量の根拠、適用されるコード、サイト制約をお送りいただければ、当社のエンジニアリングチームが、サプライヤーが見積もりでき、レビュアーが承認できる仕様をご提案します。また、別のタンクタイプや別のスコープの方が適切な回答である場合は、その旨を率直にお伝えします。
WhatsApp