SPoF – Single Point of Failure
Abkürzung: SPoF
Ein Single Point of Failure, deutsch Einzelfehlerpunkt, ist ein Bestandteil eines Systems, dessen Ausfall das ganze System ausfallen lässt. Der Begriff beschreibt keine Schwäche eines Geräts, sondern eine Eigenschaft des Aufbaus.
Wie man einen SPOF bestimmt
Die Prüfung ist eine einzige Frage, für jedes Element nacheinander gestellt: Was passiert, wenn genau das ausfällt? Lautet die Antwort „der Dienst steht", ist der Einzelfehlerpunkt gefunden.
Das klingt trivial und ist es bei der Hardware auch. Schwierig wird es, weil die Antwort Abhängigkeiten einschließen muss, die nicht im Schaltplan stehen — und genau dort verstecken sich die Fälle, die im Störungsfall überraschen.
Wo SPOF übersehen werden
Die gemeinsame Trasse. Zwei Anbindungen von zwei Anbietern, beide zuverlässig, beide über dieselbe Einführung ins Gebäude oder dasselbe Kabelkanalstück an der Straße. Ein Bagger trennt beide gleichzeitig. Die Redundanz existierte nur auf dem Papier des Einkaufs.
Der gemeinsame Verteiler. Zwei Stromstränge, die sich am Ende dieselbe Unterverteilung oder denselben Hauptschalter teilen.
Der gemeinsame Switch. Zwei Server mit je zwei Netzanschlüssen, beide Anschlüsse am selben Gerät. Zwei Kabel sind keine zwei Wege.
Die gemeinsame Firmware-Charge. Zwei gleiche Geräte, gleichzeitig gekauft, gleiche Version. Ein Fehler, der nach einer bestimmten Laufzeit auftritt, trifft beide am selben Tag. Dieselbe Logik gilt für Festplatten aus derselben Fertigungsserie.
Der gemeinsame Wartungszeitpunkt. Wer beide Stränge im gleichen Fenster aktualisiert, hat während dieses Fensters keinen.
Die gemeinsame Abhängigkeit im Hintergrund. Namensauflösung, Zeitsynchronisation, Verzeichnisdienst, Zertifikatsprüfung — Dienste, von denen alles andere abhängt und die selbst oft einfach ausgelegt sind. Ein redundantes Rechenzentrum mit einem einzigen Namensserver ist nicht redundant.
Der Mensch. Wenn nur eine Person weiß, wie ein System wieder angefahren wird, ist diese Person der Einzelfehlerpunkt. Das ist der am seltensten dokumentierte Fall.
Redundanz, die keine ist
Der häufigste Trugschluss im Betrieb: Zwei Stränge sind vorhanden, und beide sind zu 80 Prozent ausgelastet. Fällt einer aus, müsste der andere 160 Prozent tragen — er löst aus, und der Ausfall ist vollständig statt halbiert.
Redundanz ist deshalb nicht nur eine Frage der Anzahl, sondern der Auslegung: Jeder Strang muss im Störungsfall die gesamte Last übernehmen können. Bei zwei Strängen heißt das eine Auslastung von höchstens 40 bis 50 Prozent im Normalbetrieb. Eine Anlage, die vermeintlich schlecht ausgelastet ist, kann also genau richtig ausgelegt sein — und eine gut ausgelastete hat ihre Redundanz rechnerisch aufgegeben.
Derselbe Gedanke steckt hinter den Auslegungsarten: Bei N+1 ist eine Einheit mehr vorhanden als nötig, bei 2N ist alles doppelt. Die erste Form deckt einen Ausfall, die zweite zusätzlich die Wartung am laufenden System.
Was gegen einen SPOF hilft
Nicht jeder Einzelfehlerpunkt muss beseitigt werden. Die Entscheidung hängt an zwei Größen: wie lange der Dienst ausfallen darf und was ein Ausfall kostet.
Daraus ergeben sich drei Wege. Doppeln beseitigt den Punkt, kostet aber doppelt und bringt zusätzliche Komplexität — eine Umschaltung, die selbst ausfallen kann. Ersatz vorhalten lässt den Ausfall zu, verkürzt aber die Dauer: ein Gerät im Schrank und eine geübte Prozedur schlagen oft eine aufwendige Automatik. Bewusst hinnehmen ist die dritte Möglichkeit, und sie ist legitim, solange die Entscheidung getroffen und festgehalten wurde.
Unbrauchbar ist nur die vierte Variante: den Punkt nicht zu kennen.
Was den Nachweis schwer macht
Papier zeigt keine Abhängigkeiten. Ein Schema belegt, dass zwei Wege eingezeichnet sind, nicht dass sie getrennt verlaufen. Der Nachweis gelingt nur durch Begehung oder durch einen Test.
Der Test findet nicht statt. Eine Redundanz, die nie geschaltet wurde, ist eine Vermutung. Das Umschalten im laufenden Betrieb ist unbeliebt und genau deshalb nötig — in der Störung ist es der erste Versuch.
Komplexität schafft neue Punkte. Ein Lastverteiler, der zwei Server redundant macht, ist selbst einer, solange er nicht doppelt ausgelegt ist.
Abgrenzung
Die USV beseitigt den Einzelfehlerpunkt Stromversorgung für kurze Zeit, die Netzersatzanlage für längere. Beide sind selbst Einzelfehlerpunkte, wenn sie einfach ausgelegt sind.
Die A/B-Versorgung mit zwei PDU ist die Umsetzung des Gedankens im Serverschrank.
Verfügbarkeit ist die Kennzahl, die das Ergebnis beschreibt; der Einzelfehlerpunkt ist eine ihrer Ursachen.
Ein Cluster verteilt eine Aufgabe auf mehrere Systeme — und braucht dafür eine Einigung darüber, wer gerade zuständig ist, was wiederum ein Einzelfehlerpunkt sein kann.
Quellen
- DIN EN 50600-1: Rechenzentren — Allgemeine Konzepte
- ISO/IEC 22301: Business continuity management systems
- Uptime Institute: Tier Standard — Topology