Нужен ли резерв по питанию, сети, серверу

Недооценка риска начинается с неверной картины отказа. Владелец объекта представляет отключение света на полчаса и считает, что за это время ничего не случится. На практике отказ узла резервирования проявляется отложенно: система продолжает выглядеть работающей, а провал появляется в архиве — за те минуты или часы, которые понадобятся при разборе инцидента.

Три сценария, которые мы регулярно видим на действующих объектах.

• Пропало питание. Камеры и коммутаторы обесточены, сервер завершил работу некорректно. Свет дали через сорок минут, всё поднялось само — в архиве дыра на сорок минут и повреждённый индекс записей за сутки.
• Пропала сеть. Камеры пишут, сервер работает, но поток на удалённую площадку или в пункт мониторинга не уходит. Если запись ведётся только на удалённой стороне, теряется всё время обрыва.
• Отказал диск или сервер. Массив без избыточности теряет архив целиком, и восстановить его нечем: в отличие от документов, видеозапись нигде не дублируется по умолчанию.

Общее у трёх сценариев одно: потеря обнаруживается не системой мониторинга, а человеком, которому запись понадобилась. Между отказом и обнаружением проходят дни. Именно этот разрыв и делает риск недооценённым — кто будет реагировать на отказ системы ночью, мы разбирали отдельно.

Для объектов, чьи системы видеонаблюдения интегрируются с Национальной системой видеомониторинга, автономность питания задана прямо. Приложение 2 к Правилам функционирования НСВМ (приказ Председателя КНБ РК от 27.10.2020 № 69-қе, adilet.zan.kz, V2000021693) требует гарантированного электропитания технических средств и автономной работы не менее 60 минут. Это минимум, а не проектная цель.

Там же заданы остальные технические минимумы: разрешение не ниже 1920×1080, 25 кадров в секунду, битрейт не менее 5000 кбит/с, светочувствительность 0,01 лк, исполнение IP66 и глубина архива не менее 30 суток. Обязанность оснастить объект перечня системой охранного телевидения и хранить записи не менее 30 суток установлена постановлением Правительства РК от 06.05.2021 № 305 (adilet.zan.kz, P2100000305).

Отдельная история — питание пожарной автоматики. Требования к системам автоматической пожарной сигнализации, пожаротушения и оповещения установлены техническим регламентом, утверждённым приказом Министра внутренних дел РК от 29.11.2016 № 1111 (adilet.zan.kz, V1600014858); резервное электроснабжение и контроль состояния резервного источника — часть штатной логики приёмно-контрольного прибора. Если объект не подпадает под требования НСВМ, это не отменяет резерва для АПС: у пожарной автоматики свои основания.

Для объектов вне перечня 60 минут остаются рабочим ориентиром по другой причине. Час — это типовое время, за которое либо восстанавливается городское питание, либо принимается решение о запуске генератора. Меньший запас не покрывает даже перерыв на переключение.

Автономность ИБП определяется не мощностью в вольт-амперах, а энергией батарей. Это самая частая подмена в спецификациях: заказчик видит «1500 ВА» и считает, что запас велик, тогда как вольт-амперы отвечают только за то, какую нагрузку ИБП способен потянуть, а минуты автономии дают ампер-часы аккумуляторов.

Сначала считаем нагрузку. Для примерного торгового объекта на 40 камер она складывается так (потребление камеры взято по классу 3 стандарта IEEE 802.3af-2003 — до 12,95 Вт на устройстве, фактическое по нашим замерам на объектах ниже):

Проверим сумму: 320 + 90 + 350 + 40 + 50 = 850 Вт. Дальше применяем формулу автономии: время (ч) = ёмкость АКБ (А·ч) × напряжение линейки (В) × КПД инвертора × допустимая глубина разряда / нагрузка (Вт). В расчётах мы закладываем КПД инвертора 0,85 и глубину разряда 0,8 — это проектные допущения ИСБ-Инжиниринг, а не норматив; совместный коэффициент выходит 0,68.

Теперь два варианта комплектации.

• Штатные батареи. ИБП 1500 ВА с двумя аккумуляторами 12 В / 9 А·ч: 2 × 12 × 9 = 216 Вт·ч запаса, полезных 216 × 0,68 = 146,9 Вт·ч. При нагрузке 850 Вт это 146,9 / 850 = 0,17 часа, то есть около 10 минут. Мощности хватает, энергии — нет.
• Расчёт под норматив. Обратная формула: ёмкость (А·ч) = нагрузка (Вт) × время (ч) / (напряжение × 0,68). Для 850 Вт на один час нужно 850 / 0,68 = 1250 Вт·ч энергии батарей; при линейке 48 В (четыре аккумулятора по 12 В последовательно) это 1250 / 48 = 26 А·ч.

Батарея 4 × 12 В / 26 А·ч даёт ровно 60 минут — то есть норматив выполняется без запаса, а ёмкость аккумулятора падает с возрастом и на морозе. Поэтому мы берём следующий типоразмер: 4 × 12 В / 40 А·ч — это 1920 Вт·ч, полезных 1305,6 Вт·ч, то есть 1305,6 / 850 = 1,54 часа, около 92 минут. Для такой батареи нужен ИБП с поддержкой внешнего батарейного модуля — комплектная модель с двумя внутренними аккумуляторами эту ёмкость не примет.

Практический вывод для приёмки: в спецификации должны быть указаны ампер-часы и напряжение батарейной линейки, а не только вольт-амперы ИБП. Если в проекте стоит «ИБП 1500 ВА» без ёмкости АКБ, автономность объекта не рассчитана.

Генератор нужен там, где перерыв питания превышает запас батарей, а простой объекта неприемлем: холодильные склады, производства, объекты с непрерывным режимом. ИБП и генератор решают разные задачи — ИБП закрывает первые минуты и корректно завершает работу сервера, генератор держит нагрузку часами. Одно другое не заменяет.

Между пропажей городского питания и выходом генератора на режим проходят десятки секунд: срабатывает автоматический ввод резерва, стартует двигатель, стабилизируются параметры. Всё это время нагрузку держит только ИБП — поэтому даже при наличии генератора батареи из схемы не убираются. Обратная ошибка тоже встречается: генератор есть, но серверная и коммутаторы видеонаблюдения к резервному вводу не подключены, потому что при проектировании их сочли некритичной нагрузкой.

Отдельно проверяйте, что именно заведено на резервный ввод. Типовой набор для систем безопасности — серверная, все PoE-коммутаторы по трассе, активное сетевое оборудование, пост охраны и оборудование пожарной автоматики. Если хотя бы один коммутатор в цепочке остался на обычном вводе, обесточенным окажется весь сегмент камер за ним, при полностью исправном сервере.

Резервный интернет-канал сохраняет управляемость и передачу тревог, но сам по себе не спасает архив. Всё зависит от того, где ведётся запись. Если архив пишется локально на объекте, обрыв связи не приводит к потере данных — теряется только удалённый доступ. Если запись ведётся на удалённой площадке, каждая минута обрыва — это минута, которой в архиве не будет.

Оцените, что физически проходит через канал. При техническом минимуме 5000 кбит/с на камеру 40 камер дают 40 × 5000 = 200 000 кбит/с, то есть 200 Мбит/с исходящего трафика. Резервный канал такой полосы, как правило, не обеспечивает, поэтому на резерв переводят не все потоки: управление, тревожные события и субпоток низкого разрешения по ключевым камерам. Планировать резервный канал «как основной, только запасной» — значит закладывать невыполнимое требование.

Отсюда практическое правило, которое мы применяем при проектировании: основной архив держим на объекте, а канал резервируем ради непрерывности мониторинга и передачи событий. Такая схема переживает и обрыв связи, и переключение на резервного оператора, не создавая пропусков в записи.

Внутри объекта резервируется другое — топология. Кольцевая схема коммутаторов вместо линейной означает, что обрыв одного участка кабеля не отсекает половину камер. Это дешевле, чем второй провайдер, и закрывает более частый сценарий: повреждение кабеля при ремонте гораздо вероятнее, чем авария у оператора связи.

Сервер и дисковый массив — узел, отказ которого невозвратен. Обесточенные камеры после включения питания снова снимают, оборванный канал восстанавливается, а вот утраченный архив восстановить, как правило, нечем. Поэтому резервирование хранения мы ставим по приоритету выше резервирования канала, а часто и выше горячего резерва сервера.

Базовый уровень — избыточность массива. При 5000 кбит/с одна камера занимает 54 ГБ в сутки и 1,62 ТБ за 30 суток; 40 камер — 2,16 ТБ в сутки и 64,8 ТБ за нормативные 30 суток. С учётом эксплуатационного резерва (коэффициент 0,9) нужно 72 ТБ рабочей ёмкости: это RAID5 из шести накопителей по 16 ТБ — 80 ТБ полезных, 72 ТБ рабочих. RAID5 переживает отказ одного диска, RAID6 — двух.

Важная оговорка про RAID: он защищает от отказа диска, но не от удаления, шифровальщика, ошибки оператора или пожара в серверной. Резервной копией архива RAID не является. На дисках большой ёмкости восстановление массива после замены накопителя занимает продолжительное время, и второй отказ в этот период для RAID5 фатален — это довод в пользу RAID6 на массивах из дисков от 12–16 ТБ.

Уровень выше — резерв самого сервера. Полноценный горячий резерв нужен далеко не всем: для объекта на 40 камер обычно достаточно холодного резерва плюс договорных сроков восстановления. Что действительно проверяется в договоре — есть ли у подрядчика склад ЗИП и резерв оборудования и за какое время он заменит отказавший узел. Отдельно учитывайте, что глубина архива напрямую задаёт стоимость хранилища: почему архив и хранение резко увеличивают цену CCTV мы разбирали в отдельном материале.

Резервировать всё подряд не нужно — это прямой путь к переплате без выигрыша в надёжности. Приоритет мы расставляем по одному критерию: обратим ли отказ. Невозвратные потери (архив) закрываются в первую очередь, восстановимые (доступ, картинка в реальном времени) — по остаточному принципу и бюджету.

Обратная ошибка — резервировать по максимуму «на всякий случай»: два сервера в кластере на объекте, где нет ни круглосуточной службы, ни требований к непрерывности. Мы разбирали, где переплачивают на решении с запасом — избыточное резервирование попадает туда же. Ориентир простой: сначала закрываем невозвратные потери, потом всё остальное.

Последствия отказа делятся на три части: нормативную, договорную и операционную. Нормативная возникает, когда после отказа объект перестаёт соответствовать требованиям — например, архив не обеспечивает 30 суток, установленных постановлением Правительства РК № 305 и Приложением 2 к Правилам функционирования НСВМ. Это фиксируется при проверке как несоответствие с выдачей предписания.

Для пожарной автоматики последствия жёстче и имеют прямой состав. Ответственность за нарушение требований пожарной безопасности установлена статьёй 410 КоАП РК: по части 1 — предупреждение или штраф 5 МРП на физических лиц, 15 МРП на должностных лиц и субъектов малого предпринимательства, 50 МРП на субъекты среднего и 150 МРП на субъекты крупного предпринимательства. Неработоспособная из-за отсутствия питания система пожарной сигнализации — это нарушение требований, а не техническая мелочь.

Договорная часть касается отношений с подрядчиком и страховщиком. Если событие произошло, а записи нет, доказательная база отсутствует: спор с контрагентом, инцидент с персоналом или заявление в страховую опираются на видеозапись как основной аргумент. Здесь же проверяется, кто отвечает за простой системы и в какие сроки восстанавливает — если это не зафиксировано договором, отвечает собственник объекта.

Операционная часть самая недооценённая: время. Пока архив недоступен, а сервер восстанавливается, объект работает вслепую. Мы разбирали на цифрах, где собственник теряет больше, если экономит на системе безопасности сейчас — экономия на резервировании даёт самый короткий и самый неприятный обратный отсчёт.

Проверка не требует выезда специалиста и приборов — нужны паспорт ИБП, однолинейная схема электропитания и доступ к настройкам регистратора. Пройдите восемь пунктов подряд: три и более отрицательных ответа означают, что резерв на объекте существует только в спецификации.

1. В паспорте или проекте указана ёмкость АКБ в ампер-часах и напряжение батарейной линейки, а не только мощность ИБП в ВА.
2. Расчётная автономность сходится по формуле «ёмкость × напряжение × 0,68 / нагрузка» и составляет не менее 60 минут для объектов, подпадающих под требования НСВМ.
3. Фактическая нагрузка на ИБП измерена и совпадает с проектной — оборудование не добавлялось после ввода в эксплуатацию.
4. Под ИБП заведены не только сервер, но и все PoE-коммутаторы по трассе, маршрутизатор и оборудование поста охраны.
5. Дата замены аккумуляторов известна и находится в пределах срока службы; тест автономности проводился, а его результат зафиксирован в акте.
6. Дисковый массив собран с избыточностью, тип RAID известен, а деградация массива выводит сообщение оператору, а не только запись в лог.
7. Архив пишется локально на объекте либо есть подтверждение, что резервный канал держит фактический поток записи.
8. В договоре обслуживания зафиксированы срок реакции и срок восстановления при отказе сервера, а также наличие подменного оборудования.

Пятый пункт проваливают чаще остальных: аккумуляторы деградируют молча, ИБП годами показывает «норма», а реальная автономность к третьему-четвёртому году падает в разы. Тест под нагрузкой раз в год снимает этот вопрос полностью.