如何正确配置UPS冗余供电系统
作者：张广明来源：cra-ccua 日期：2007-9-12 17:16:59
前言
在UPS供电系统中，模块化冗余配置是可同时提高系统可用性、可维护性、可扩充性的最有效的措施。但是在实际应用中由于存在着盲目地设备堆积、忽视可靠性瓶颈、设备使用不当等问题，系统的可用性并没有实现预期的目标，又由于系统的复杂性增加，不仅增加了一次性投入成本，维护成本和维护难度也明显地增加了。本文将针对与冗余系统配置有关的错误观念和在实践中已发生过的问题进行些讨论。
一、模块化冗余系统对提高系统可用性的贡献
对于UPS供电系统,越来越多的厂商和用户已经形成这样一个共识：UPS系统经过多年发展，在其性能指标已完全满足计算机网络设备要求的情况下，真正能为用户带来价值的是其可用性。供电系统可用性在概念上包含了设备的可靠性、可管理性和可维护性。可靠性高、便于管理、故障后可快速修复等，都意味着给用户更多的正常使用时间，把故障后不可用时间降到最低限度。
系统可用性A(t)的定义为：电子系统在使用过程中（尤其在不间断连续使用的条件下），可以正常使用的时间与总时间之比。系统可用性可用平均无故障时间MTBF（是设备失效率λ的倒数）和平均维修时间MTTR表示，即：
（1）
由公式（1）可以看出，要提高系统的可用性，最根本的两项措施是提高设备的可靠性和降低系统故障修复时间。
要提高设备的可靠性，通常的做法是：采用先进的主电路结构和控制技术，对整机做专门的可靠性设计，包括控制电路的可靠性设计、功率电路和功率器件的可靠性设计、提高功率器件的规格和档次并降容使用、热可靠性设计、耐环境可靠性设计、电磁兼容可靠性设计、安全性可靠性设计、严格生产工艺、加强质量管理等。但是，组成UPS主机的上千个元器件和几千个接点，在可靠性模型图上是串连的，整个系统的可用性是这些器件和接点可靠性的乘积，所以以上措施对提高设备的可靠性虽然是有效的，但效果是有限的。
鉴于以上情况，UPS厂商开始在UPS系统配置方案上探讨提高系统可用性的途径，虽然UPS 产品本身的可靠性设计是提高可用性的关键，但是合理的UPS系统配置和使用方法也可大大提高整个UPS供电系统的可用性。所以系统配置方案也是UPS可用性设计的一个重要内容。在这方面最大的技术突破是UPS的模块化冗余并机技术。如图1所示。
这里要说明的是，模块化冗余系统的定义应该是：系统中，一个设备整机或者一个完整的功能模块可以在不影响系统正常运行的情况下维护或更换，则这个系统就叫模块化冗余系统。
UPS冗余并机应具备的条件是：输出可直接并联，在系统容量备份情况下可脱机维护。
UPS整机在具备了以上条件时，就可组成图1所示的模块化冗余并机系统，整机本身在系统中就是一个模块，但是故障后脱机维护的时间（MTTR）可能很长，甚至还包括厂商对故障反映
的时间和备件储备发运的时间。
把一台整机按功能分割成几个完整的模块，然后组成一个完整的UPS整机系统，这就是当前已被用户认可并广泛应用的“模块化UPS”，与整机并机系统相比，它的最大的优点是可用插拔的方法把故障脱机维护时间（MTTR）缩到最短，在用户现场有备件的情况下，可将此时间缩短到1小时。
仅就UPS冗余并机环节，用图1的可靠性模型就可看出模块化冗余系统对提高系统可用性的贡献。
图1（a）两台都故障时则系统故障，
可用性模型如图2所示
A1、A2分别是UPS1 和UPS2的可用性，
则系统的可用性：
当A2=A1时
（2）
图1（b）在满负荷时任意两个模块发生故障，则系统故障，可用性模型如图3所示
由图3可以看出，4+1冗余并机系统相当于10个1+1冗余并机系统的串联，如果每个UPS的可用性都相同并都等于A1时，系统的可用性为：
（3）
假定UPS单机（或模块）的MTBF=10万小时，平均维护时间MTTR=8小时，而模块化可插拔的平均维护时间MTTR=1小时，则对系统可用性计算结果如下表数据
值得注意的是，单机和单机1+1冗余的可用性都与负载量无关，而单机4+1冗余的可用性则与负载量有关，75%负载时系统变成3+2，50%负载时系统变成2+3，所以可
用性随负载量减小而变高。可插拔模块系统的可用性除了与负载量有关外，还因为故障修复时间可降到1小时，所以系统可用性更高。
图4是不可用性（1-A）与MTBF和MTTR 的关系的计算曲线，更明显地显示了MTTR和MTBF 对可用性的影响。
二、市电冗余和UPS双输入问题
在新建和改建的计算机供电系统中，大都不同程度地采用了UPS模块化冗余并机方案，但是在已投入运行的系统中，却存在着一些需要讨论的观念和问题。双市电冗余输入（或市电加油机）与UPS双输入的方案就值得讨论。如图5所示。
图5（a）中，UPS是双转换电路结构，主电路和静态旁路可以分开输入，市电2为主电路供电，市电1为静态旁路供电。主电路逆变器工作频率跟踪旁路市电。此系统在结构上是可行的，但从冗余功能来看,却明显地存在着以下几个问题：
（1）、如图5（b）所示，当市电1故障掉电时，UPS主电路继续工作，但系统失去了转旁路的功能。要知道，可靠性MTBF是在UPS在带转旁路功能的情况下得出的，UPS主电路与静态旁路是冗余配置，失去转旁路功能会大大降低UPS系统的可靠性，典型的数据是，如果带转旁路功能的UPS的MTBF值为15万小时，不带转旁路功能时仅有3万小时；
（2）、如图5（c）所示，当市电2故障掉电时，UPS主电路会转电池逆变工作，在系统有双路市电输入的情况下，电池的备用时间通常都在10-30分钟范围内，如果电池放电结束而市电2仍未恢复，则UPS就转旁路由市电1供电。其结果一是负载直接由质量不高的市电供电，二是UPS因电池放电终结而失去不停电供电功能。在整个过程中UPS只相当一个可延时不间断转换
的静态转换开关STS。
总之，两路市电本来是冗余的，但任何一路掉电都会使系统工作不正常，甚至使UPS系统失去不停电供电功能。
要解决以上问题，正确的配置应该是在两路市电后先加入自动转换开关ATS，如图5（d）所示。这样才能在不对UPS系统产生任何影响的情况下实现双路市电冗余。
图6是用UPS双输入实现市电冗余的典型错误案例。
此系统设计的主要依据和设计思路是这样的：
系统要求：四路负载由独立的四路主供电UPS1- UPS4供电；
输入由双市电通过ATS1冗余，然后再与油机通过ATS2冗余；
设计思路：双路市电通过ATS1冗余后直接向四路主供UPS的主电路供电；
油机与冗余的市电再通过ATS2冗余向四路主供UPS的静态旁路供电；
为了解决UPS转旁路后的质量问题，在ATS2后再加一台与四路主供UPS同容量的UPS5，设计认为此设计方案的巧妙之处就在于只用了5
台UPS就实现了四路独立运行的UPS的冗余问题。
图6设计通过了方案评审并进入采购招标阶段，但存在的问题是严重地并且是显而易见的：（1）此方案采用了串联热备份方案，如图7所示，与均流直接并机相比，其不利因素有UPS 工作寿命低（一台连续满负荷工作）、电池利用率低、对UPS输出负载阶跃性能要求高等，因而已不大采用了；
（2 ）由于UPS5与其它四路主供UPS规格容量相同，所以只允许一路主供UPS转旁路，此时其它三路失去转旁路功能，系统可靠性降低，有两台UPS需要同时转旁路时，则这两路UPS 直接宕机；
（3 ）如果UPS5 故障，则使四路主供UPS都失去转旁路的功能，如果UPS5 转旁路工作，则不再保证四路主供电UPS转旁路时的供电质量；
当两路市电同时故障掉电时，四台主供电UPS都进入电池逆变状态，待电池能量放到最低下限时，尽管油机已经启动正常，但是由于备用UPS5的容量有限，所以四台主供UPS都宕机，停止对负载供电，柴油发电机等于虚设，是UPS5阻断了它的能量的输出。
三、UPS冗余系统中的再冗余问题
模块化冗余系统已被用户接受，并成为设计单位普遍采用的提高系统可用性的主要措施，但是在诸多设计案例中却存在着一种错误的观念和倾向，即系统的关键而薄弱环节冗余程度越高越好，其结果是设备堆积，系统过于复杂，不仅预期的系统可用性难以实现，还大大提高了建造成本和系统投入运行后的维护难度。
根据数学家Erich Pieruschka对串联系统的解答得出了有关产品可靠性的Lusser定律，其表述形
式是：
RS=R1×R2×R3×……Rn （4）
也就是说，一个串联系统的可靠性即是该系统所连接的子系统的可靠性。因此，系统的可靠性要远远低于其中任何单个组件的可靠性。
Lusser定律同样适用于可用性的研究，下面分析两个已在实践中常见的事例。
（1）双总线UPS系统中的UPS再冗余
图8 （a）是双总线系统中的UPS环节的配置方法，图8（b）中把两路中的UPS 做了再冗余。
根据试验和统计数据，UPS输入输出配电柜1-4的可用性都等于A1=0.99999，UPS的可用性都等于AU =0.9999（MTBF=10万小时，MTTR=8小时），负载端用的STS的可用性As=0.99999。假定电网输入冗余系统（包括两路市电、油机和相应的ATS）的可用性At=0.99999，图8（a）的可用性为Aa，图8（b）的可用性为Ab，则：
（5）
（6）
比较Aa和Ab，两者都是4个9，差别仅在小数点后第八位，结论是，在双总线系统中，UPS 再冗余对提高系统的可用性的贡献是微乎其微的，如果再考虑购置成本和维护工作量的增加，就更不值了。
（2）市电油机容余系统中的油机再冗余
交流输入系统的最高配置是两路市电冗余输入再配置柴油发电机,如图9(a),但是,有的设计者为了提高系统的可用性,把油机也做冗余配置,如图9(b),
图9、交流输入系统的冗余配置
根据试验和统计数据，ATS的可用性At=0.99999,油机的可用性Ay=0.999，市电（在电网环境较好的地区）的可用性Ai=0.999,假定图9（a）的可用性为Aa，图9（b）的可用性为Ab，则：
计算结果与图8的情况相似，两者的可用性都是4个9，差别仅在小数点后第八位，结论是，双市电冗余的情况下，备份油机是必要的，但是，没有必要投入更大的资金和维护工作把油机也做冗余备份。
四、双总线UPS系统的可靠性模型
最高可用性级别的双总线系统
为了提高供电系统的可用性，大多数新建的数据中心（IDC）都采用了双总线UPS供电系统，如图10所示。图10的上部分是当前比较常用的双总线配置方法，当然也还可以做些有益的改动，特别是交流输入部分的ATS和输出部分的STS，增加设备和改变配置方法还可以进一部提高系统的可用性，这里不做专门地讨论。本文要讨论的是UPS环节的可用性问题。人们常常简单地认为只要是双总线就会勿容置疑地实现总线冗余功能，投入运行后才发现他们的系统根本就达不到设计预期的效果。仅就UPS环节而言，问题就发生在两路UPS并没有完全隔离，图10的下部分是UPS环节的可用性模型图。图中，A1是输入输出配电1-4的可用性，AU是UPS1和UPS2的可用性。由于UPS1和UPS2并不隔离，所以在模型图中又出现了AU2.1、AU1.2、A3三个可用性参数：
A3：总线同步器的可用性。由于输出端配置是的静态转换开关STS，总线同步器可使两路UPS输出电压同频同相，为STS的安全转换提供必要的条件。因为总线同步器的工作状态同时与双总线的两路UPS有关，所以在可用性模型图中是单路经故障点。正因为两路UPS不能完全隔离，根据可靠性科学的相依性理论，于是就在UPS环节中还存在下面两个可用性参数：AU2.1：由于UPS2故障而引起的UPS1故障的等效可用性参数；
AU1.2：由于UPS1故障而引起的UPS2故障的等效可用性参数；
尽管AU2.1、AU1.2还没有可量化的参考数据,但在系统实际运行中,由于一台UPS故障而诱发另一台同时故障的现象却是屡见不鲜的。系统恢复后又发现被诱发故障的一台又是一切正常的，甚至找不出故障的原因。
采用图11 配置可使双总线系统的可用性达到最高级别。此方案设计的要点是：
（1）由于当前的IT负载设备绝大部分是实现了双电源供电，所以可用双路电源直接输入，而无需再加转换开关STS；
（2）对于少数的单电源负载，可用小功率（≤3KVA）的ATS（或无需输入同步的小STS），由于不需要两路输入同步，所以就可去掉双总线中的总线同步器。小ATS的转换
时间可做到<10ms，丝毫不影响负载的正常运行；
（3）市电（冗余）输入后，与油机用两个ATS实现冗余。
从图11可以看出，对于少数单电源负载，只有一个单路经故障点ATS，而对于大
多数双电源负载，则实现了两路供电的完全隔离。如果每路的可用性为4个9，那末双总线的可用性就是8个9，因此我们可认为是最高可用性级别的双总线系统。
五、结束语
在系统设计和实际配置中还存在着其它各种问题，在不同程度上影响了冗余系统可用性功能的正常发挥。
宽输入电压范围的UPS在电网电压变化大于±10%的地方，因拒绝转旁路而会失去主电路与静态旁路的冗余功能；在直接并机配置中，公用电池组会增加一个单路经故障点；并机超过4台时，在系统转旁路时，各台旁路不能保证均流效果，所以应加系统集中旁路；旁路带隔离变压器的UPS不宜直接并机，因为系统转旁路时，变压器会因直接并联运行而损坏等。
总之，要从整个系统的角度去分析并精心设计冗余系统，要正确配置和使用每个环节的设备，特别是要防止简单地设备堆积，在不过份增大成本的前提下设计建造出性能优良的冗余系统。