Il gruppo di continuità non spegne nulla — ed è voluto

Al mio Raspberry Pi a Kapfenberg è collegato un gruppo di continuità. Se manca la corrente tiene in vita Pi, router e collegamento verso l’esterno per circa 67 minuti.

Quello che non fa: spegnere il Pi in modo ordinato prima che la batteria si esaurisca. Ogni guida consiglia esattamente questo. L’ho attivato e disattivato nel giro di un’ora.

Ecco perché — e perché il motivo riguarda una proprietà che nessun UPS scrive nella propria scheda tecnica.

L’intoppo

Con lo spegnimento attivo, a cinque minuti di autonomia residua succede questo: il Pi si spegne in modo pulito. File system chiuso, tutto a posto.

E poi resta spento.

Perché un UPS non rilascia le sue prese finché la batteria ha ancora carica. Se la corrente torna mentre c’è ancora carica, il Pi non vede mai un momento di accensione. Per lui alla presa non è cambiato nulla: la tensione c’è sempre stata.

Tornerebbe su solo quando la batteria si esaurisce del tutto. Oppure quando qualcuno ci va e preme il pulsante.

Cosa significa in pratica

Un blackout di 90 minuti in cui la corrente torna dopo 50:

	con spegnimento	senza
minuto 0–45	va a batteria	va a batteria
minuto 45	si spegne	continua
minuto 50, corrente tornata	resta spento	continua
dalla seconda ora fino a una visita	casa morta	tutto normale

In una casa in cui si abita sarebbe seccante. In una in cui non si abita è la differenza tra «è stato buio un momento» e «da martedì non si fa sentire più nulla e nessuno sa perché».

Il male minore

Un file system che subisce un’interruzione brusca è al confronto il caso meno grave — tanto più che ha un journal e l’impianto gira su un SSD NVMe, non su una scheda SD.

È un bilanciamento, non un’affermazione. Chi fa girare il proprio impianto su una scheda SD fa un calcolo diverso: lì un’interruzione brusca è davvero pericolosa. Proprio per questo le due cose vanno decise insieme: supporto di memoria e strategia di spegnimento.

Verificato, non affermato

Che l’impostazione faccia davvero quello che suppongo sta nel registro del servizio — i comandi di spegnimento differiscono:

con spegnimento    SHUTDOWNCMD: /usr/bin/shutdownhost
                   WARNING: UPS Shutdown will shutdown the host

senza              SHUTDOWNCMD: /run/s6/basedir/bin/halt

halt ferma solo il contenitore del servizio. Il Pi resta acceso.

È la differenza tra «ho tolto la spunta» e «so cosa fa la spunta».

Cosa resta quando nulla si spegne

La soglia a cinque minuti di autonomia residua resta impostata, benché non inneschi più nulla. Rende prevedibile l’ultimo avviso: l’avviso di batteria arriva in modo affidabile a cinque minuti e non a un momento qualsiasi.

E i due livelli di avviso, senza spegnimento ordinato, sono più importanti di prima, non meno. Non c’è più una chiusura pulita. L’ultimo messaggio è tutto quello che resta.

Autonomia residua	Messaggio	A cosa serve
15 min	«restano circa 15 minuti, poi il Pi cade»	tempo per decidere se fare qualcosa
5 min	«quasi scarica — questo è l’ultimo messaggio»	un segno nel registro, non una chiamata all’azione

Il secondo non è esplicitamente una chiamata all’azione. A cinque minuti non può più fare nulla chi non sia già in casa. È una marca temporale per dopo: fin qui funzionava.

Prima il registro, poi il telefono

Entrambi i messaggi scrivono prima nel registro e poi inviano al telefono.

Il motivo è banale e viene comunque quasi sempre invertito: il registro sta sul disco, la notifica deve prima uscire. Se la rete cade insieme alla corrente, la notifica è persa e la voce di registro c’è.

Notifica persistente e voce di registro restano quindi in ogni automazione — non perché il router dipenda dall’UPS, ma perché un blackout può durare più di 67 minuti di batteria. Allora si perde tutto ciò che era in viaggio solo come notifica.

Cosa dipende davvero dall’UPS

All’inizio non lo sapevo, e l’ho indovinato male.

Dalla visualizzazione del carico avevo concluso: 0–1 per cento di 520 watt, il Pi assorbe 5 watt, quindi ci sta solo il Pi. Il calcolo era giusto, la conclusione no.

Poi qualcuno ha staccato la spina per 112 secondi:

20:45:37  a batteria   carica 100 %   rete assente
20:46:28  a batteria   carica  99 %   ingresso 0,0 V   autonomia 70 min
20:47:29  in rete      carica  98 %   ingresso 232 V   in carica

E la riga che contava: in ogni singola interrogazione da Vienna risultava «raggiungibile». Il collegamento non è mai caduto per tutta la durata. Pi, router e l’adattatore verso l’unità esterna hanno continuato interamente a batteria.

Lo stesso UPS durante il blackout segnalava 0 per cento di carico — mentre in quel preciso momento portava circa 20 watt.

Cosa dipende da un UPS te lo dice la spina, non la visualizzazione del carico. Staccare la spina richiede due minuti e risponde alla domanda in via definitiva. Ogni stima ricavata da percentuali sono fondi di caffè.

Per questo qui non c’è più alcun sensore di watt. Avrebbe mostrato zero mentre metà della rete ci dipende. Un valore che mostra affidabilmente zero dove invece c’è qualcosa è peggio di nessun valore — perché la volta dopo qualcuno ci crederà.

Perché l’autonomia e non lo stato di carica

Il secondo errore, che quasi ogni dashboard per UPS ripete.

Una batteria al piombo morta mostra il 100 per cento. Accetta carica ma non la trattiene sotto carico. Lo stato di carica è quindi il valore più inutile che un UPS fornisca — e proprio quello che tutti mostrano.

Tre altri dicono qualcosa:

• L’autonomia residua. Crolla per prima, molto prima che lo stato di carica dica qualcosa.
• La tensione di batteria. 13,5 volt è sana; nettamente sotto, con carico, significa invecchiamento.
• L’età. Il piombo dura tre-cinque anni, che serva o no. Questa ha due anni e mezzo — tra circa un anno e mezzo scatterà il promemoria mensile, ed è esattamente l’intenzione.

La parte che mi ha fatto pensare di più

La documentazione di questo pacchetto si apre con la frase:

Un UPS senza monitoraggio è un apparecchio che per anni fa il suo lavoro senza farsi notare — e poi smette senza farsi notare.

Due giorni dopo il monitoraggio stesso ha smesso senza farsi notare.

Costruendo una dashboard è emerso che tutte le entità dell’UPS risultavano «non disponibili» da 43 ore. Nel registro scorreva un messaggio di errore al secondo. L’elenco dispositivi del sistema non conosceva più l’UPS; lo stato era esattamente quello precedente all’inserimento del cavo.

Per due giorni un blackout non avrebbe prodotto un solo messaggio. Nessuna delle cinque automazioni può innescarsi se l’entità da cui dipende non è disponibile.

Un monitoraggio che non si accorge del proprio silenzio non monitora nulla.

Perciò ora ci sono altre due automazioni: una segnala quando lo stato dell’UPS è non disponibile da due ore, l’altra rimuove la segnalazione quando torna e indica i valori attuali.

Due ore di tolleranza, perché ogni riavvio mette brevemente le entità su «non disponibile». E la segnalazione è di proposito persistente, non solo una notifica: non deve poter essere scacciata con un gesto e poi dimenticata.

Cosa non è stato provato

L’interruzione brusca vera e propria. Servirebbe lasciar scaricare la batteria per 67 minuti, e finora non è successo.

Sono provati: il blackout di 112 secondi con l’intera catena di segnalazione, entrambi i livelli di avviso innescati singolarmente, e la differenza tra i comandi di spegnimento nel registro. Cosa succeda quando il Pi perde davvero corrente mentre scrive resta aperto.

E quindi?

1. Verifica se il tuo UPS rilascia mai la presa. Da questo dipende se uno spegnimento ordinato ti protegge o ti spegne la casa finché non ci vai di persona.
2. Decidi insieme supporto di memoria e strategia di spegnimento. Su scheda SD il calcolo è diverso che su SSD.
3. Misura con la spina, non con la visualizzazione. Due minuti rispondono alla domanda su cosa dipenda davvero dall’UPS.
4. Mostra l’autonomia residua, non lo stato di carica. Il cento per cento non dice nulla su una batteria che non regge più il carico.
5. Monitora il tuo monitoraggio. È il punto in cui sono cascato io, e riguarda ogni catena di allarme della casa, non solo l’UPS.

La lezione vera è scomoda: la decisione contro lo spegnimento era giusta, ma è diventata una decisione solo perché qualcuno ha chiesto cosa succede dopo. L’impostazione predefinita avrebbe spento la casa, e nessuno se ne sarebbe accorto prima.