Un gruppo di continuità viene installato per impedire che un blackout spenga improvvisamente server, apparati di rete, sistemi di sicurezza e macchinari.
Ma cosa succede quando, proprio nel momento in cui dovrebbe intervenire, è l’UPS stesso a non funzionare?
È quello che è accaduto il 29 marzo 2025 nella zona Google Cloud denominata us-east5-c, situata nella regione di Columbus, in Ohio.
La rete elettrica esterna è venuta a mancare. Il sistema UPS avrebbe dovuto mantenere alimentata l’infrastruttura durante il breve intervallo necessario all’avvio dei gruppi elettrogeni.
Secondo il rapporto ufficiale pubblicato da Google, una grave anomalia del sistema batterie ha invece impedito all’UPS di svolgere correttamente la propria funzione. Alcune macchine virtuali hanno perso alimentazione, diversi servizi cloud sono diventati indisponibili e il recupero completo ha richiesto più di sei ore.
Non si è fermato tutto Google Cloud.
L’incidente ha riguardato una singola zona. Tuttavia, è stato sufficiente per coinvolgere server virtuali, database, sistemi Kubernetes, dischi, collegamenti di rete e numerosi servizi utilizzati dai clienti.
Il caso offre una lezione concreta anche alle aziende molto più piccole di Google:
Installare un UPS non significa essere automaticamente protetti.
Batterie, bypass, commutatori, gruppi elettrogeni, monitoraggio e procedure di ripristino devono funzionare come parti di un unico sistema.
Indice
- Che cosa è successo nella zona Google Cloud
- Perché l’UPS non ha mantenuto l’alimentazione
- Come nasce un guasto a cascata
- Perché il gruppo elettrogeno non ha evitato il fermo
- Ridondanza e failover: cosa ha funzionato
- Perché un UPS acceso può essere inaffidabile
- Come verificare realmente le batterie
- Manutenzione e monitoraggio: i controlli necessari
- UPS, generatore e ATS devono essere provati insieme
- Caso pratico: quando tutto sembra funzionare
- Checklist per prevenire un fermo a cascata
- Assistenza UPS con Multiservice S.r.l.
- Domande frequenti
- Conclusioni
Che cosa è successo nella zona Google Cloud
L’incidente è iniziato il 29 marzo 2025 alle 12:53, secondo l’orario del Pacifico riportato da Google, ed è terminato alle 19:15.
Per circa sei ore e dieci minuti, diversi servizi ospitati nella zona us-east5-c hanno registrato indisponibilità, errori o prestazioni degradate.
La causa iniziale è stata una perdita dell’alimentazione fornita dalla rete elettrica pubblica.
Una situazione del genere non dovrebbe provocare automaticamente lo spegnimento di un data center. Le infrastrutture critiche utilizzano UPS e gruppi elettrogeni proprio per continuare a funzionare durante le interruzioni della rete.
Nel caso di Columbus, però, il blackout ha innescato un guasto a cascata all’interno del sistema UPS.
Google parla espressamente di una grave anomalia alle batterie. Il sistema di continuità non è riuscito a coprire il passaggio tra la perdita della rete e l’attivazione dei generatori. Di conseguenza, alcune macchine virtuali hanno perso alimentazione e sono andate offline.
Il guasto ha avuto effetti anche sulla rete e sui sistemi di archiviazione.
Google ha registrato:
- perdita di connettività;
- pacchetti di rete persi;
- spegnimento di macchine virtuali;
- dischi temporaneamente indisponibili;
- aumento degli errori e della latenza;
- risorse che non hanno completato automaticamente il failover;
- necessità di interventi manuali.
Tra i servizi coinvolti figuravano Compute Engine, Google Kubernetes Engine, Cloud SQL, BigQuery, Cloud Bigtable, Persistent Disk, Virtual Private Cloud e Cloud Interconnect.
Non tutti hanno subito le stesse conseguenze.
Alcuni servizi sono stati trasferiti automaticamente su infrastrutture non coinvolte. Altri, soprattutto quelli strettamente legati alla singola zona, sono rimasti indisponibili più a lungo.
Un dato particolarmente significativo riguarda Cloud SQL: Google ha dichiarato che 318 istanze zonali hanno subito circa tre ore di interruzione. Le istanze configurate con alta disponibilità al di fuori della zona coinvolta hanno invece completato correttamente il passaggio su altre risorse.
Perché l’UPS non ha mantenuto l’alimentazione
Le batterie sono uno dei componenti fondamentali di un UPS.
Quando la rete è presente, l’UPS alimenta normalmente i dispositivi collegati e mantiene le batterie in carica.
Quando la rete viene a mancare, le batterie devono fornire energia immediatamente. Non ci sono motori da avviare e non bisogna attendere l’intervento di un operatore.
In un impianto dotato anche di gruppo elettrogeno, le batterie possono avere il compito di sostenere il carico soltanto per il tempo necessario a:
- rilevare la perdita della rete;
- inviare il comando di avviamento al generatore;
- accendere il motore;
- portare tensione e frequenza entro i valori previsti;
- effettuare la commutazione;
- trasferire il carico sull’alimentazione di emergenza.
L’intervallo può durare pochi secondi, ma è decisivo.
Se le batterie non riescono a sostenere il carico fino al completamento della commutazione, server e apparati possono spegnersi prima che il generatore sia pronto.
Il rapporto Google descrive proprio questa situazione: la criticità del sistema batterie ha impedito all’UPS di assicurare la continuità e ha ostacolato il corretto trasferimento verso i generatori.
Questo non significa che tutte le batterie vecchie provochino necessariamente un’interruzione così grave.
Significa che, quando le batterie fanno parte di una catena critica, un loro problema può coinvolgere molti altri componenti.
Come nasce un guasto a cascata
Un guasto a cascata si verifica quando un primo problema ne provoca altri, fino a coinvolgere un sistema molto più ampio.
Nel caso Google, la sequenza generale può essere riassunta così:
- la rete elettrica viene a mancare;
- l’UPS deve passare al sistema batterie;
- le batterie presentano una grave anomalia;
- l’UPS non mantiene il carico;
- alcune macchine virtuali si spengono;
- una parte della rete perde connettività;
- alcuni dischi diventano indisponibili;
- non tutti i servizi completano il failover;
- diventano necessari interventi manuali;
- il recupero richiede ore.
La rete elettrica è stata l’evento iniziale.
Il danno maggiore è però derivato dal fatto che uno dei sistemi progettati per affrontare proprio quell’evento non è riuscito a svolgere correttamente il proprio compito.
Questa dinamica può verificarsi anche in una piccola sala server.
Pensiamo a un’azienda con:
- un server gestionale;
- un NAS;
- un router;
- alcuni switch;
- un centralino VoIP;
- un impianto di videosorveglianza;
- un solo UPS.
Se la rete manca e le batterie dell’UPS non reggono, tutti questi dispositivi possono spegnersi contemporaneamente.
Il risultato può essere molto più grave della semplice assenza di corrente:
- gestionale inutilizzabile;
- telefoni fuori servizio;
- telecamere non disponibili;
- documenti non accessibili;
- database da verificare;
- ordini o spedizioni bloccati;
- personale impossibilitato a lavorare.
Riattivare l’alimentazione non significa necessariamente aver ripristinato l’attività.
Dopo uno spegnimento improvviso può essere necessario controllare l’integrità dei dischi, riavviare i servizi nel corretto ordine, riallineare i database e risolvere eventuali errori.
Pochi secondi di blackout possono quindi trasformarsi in ore di fermo operativo.
Perché il gruppo elettrogeno non ha evitato il fermo
Una domanda sorge spontanea:
Se il data center disponeva di gruppi elettrogeni, perché i server si sono spenti?
Perché un generatore non interviene normalmente nello stesso istante in cui manca la rete.
Il motore deve avviarsi, raggiungere il corretto regime e produrre energia con tensione e frequenza compatibili con l’impianto.
Durante questo breve intervallo, l’UPS deve mantenere alimentati i carichi.
Nel caso Google, i tecnici sono riusciti successivamente a escludere il sistema UPS guasto e a ripristinare l’energia tramite generatore entro le 14:49, secondo l’orario del Pacifico. La maggior parte dei servizi ha iniziato a recuperare poco dopo, mentre altri hanno richiesto interventi manuali.
Il gruppo elettrogeno era quindi utilizzabile.
Il problema si è verificato prima, durante il passaggio tra l’interruzione della rete e la nuova fonte di alimentazione.
UPS e generatore svolgono due funzioni diverse:
- l’UPS interviene immediatamente;
- il generatore garantisce energia per un periodo più lungo.
Uno non sostituisce l’altro.
Ridondanza e failover: cosa ha funzionato
Il rapporto Google mostra anche che non tutte le protezioni hanno fallito.
I sistemi di monitoraggio hanno segnalato rapidamente il problema. Gli ingegneri hanno deviato parte del traffico, spostato alcuni servizi su infrastrutture sane e ripristinato l’alimentazione attraverso i generatori.
Diversi servizi configurati con alta disponibilità hanno completato correttamente il failover.
Altri, invece, non sono riusciti a trasferirsi automaticamente e hanno richiesto l’intervento dei tecnici. Google ha quindi annunciato verifiche specifiche sui sistemi che non avevano reagito come previsto e un confronto con il fornitore dell’UPS sul problema del sistema batterie.
Questa differenza è importante.
La ridondanza non consiste semplicemente nell’installare due o tre apparecchiature.
Riello UPS distingue tra una configurazione parallela utilizzata per aumentare la capacità e una configurazione parallela realmente ridondante.
In un impianto in capacità, tutti i moduli possono essere necessari per alimentare il carico. Se uno si arresta, quelli rimanenti potrebbero non essere sufficienti.
In una configurazione N+X, invece, il sistema viene dimensionato affinché il carico continui a essere sostenuto anche quando uno o più moduli previsti dal progetto diventano indisponibili.
Facciamo un esempio.
Un carico richiede 20 kVA.
Con due UPS da 10 kVA si ottiene una potenza complessiva di 20 kVA, ma entrambi i moduli sono indispensabili. Se uno si ferma, l’altro non può sostenere da solo l’intero carico.
Con tre UPS da 10 kVA, due moduli possono sostenere il carico e il terzo può rappresentare la riserva. Se uno viene spento o presenta un guasto, gli altri due possono continuare ad alimentare i dispositivi.
La ridondanza deve però riguardare l’intero percorso.
Se più UPS dipendono dallo stesso quadro, dalla stessa linea, dallo stesso bypass o da un altro punto comune vulnerabile, la presenza di moduli aggiuntivi potrebbe non essere sufficiente.
Perché un UPS acceso può essere inaffidabile
Uno degli errori più comuni consiste nel considerare efficiente un UPS soltanto perché:
- il display è acceso;
- la spia è verde;
- non si sentono allarmi;
- le apparecchiature ricevono corrente.
Quando la rete è disponibile, un UPS può continuare ad alimentare il carico anche con batterie degradate.
Il problema emerge nel momento in cui deve passare realmente a batteria.
Un banco deteriorato può:
- offrire un’autonomia molto inferiore a quella prevista;
- scaricarsi in pochi secondi;
- non sostenere il carico di picco;
- causare uno spegnimento improvviso;
- compromettere il comportamento dell’intera stringa;
- non coprire il tempo di avviamento del generatore.
Anche il carico può essere cambiato nel tempo.
Un UPS correttamente dimensionato al momento dell’installazione potrebbe essere diventato insufficiente dopo l’aggiunta di nuovi server, switch, sistemi di sicurezza o altri dispositivi.
La sola presenza di tensione ai terminali non consente di conoscere la capacità reale delle batterie.
Riello UPS sottolinea che misurare esclusivamente la tensione di mantenimento di un banco non fornisce un quadro attendibile del suo stato effettivo. Per i sistemi di dimensioni importanti sono necessari controlli esterni e, quando opportuno, verifiche sui singoli elementi.
Come verificare realmente le batterie
Molti gruppi di continuità eseguono autotest periodici.
Questi controlli sono utili per individuare alcuni problemi, ma non sempre permettono di valutare in modo dettagliato ogni batteria.
Per ottenere informazioni più precise si possono utilizzare test specifici.
Test d’impedenza
È una verifica non invasiva che misura la resistenza interna dei singoli elementi.
I risultati vengono confrontati con quelli raccolti nelle verifiche precedenti. Un aumento anomalo dell’impedenza può indicare un deterioramento progressivo.
Riello UPS segnala che questo tipo di prova viene spesso effettuato con cadenza periodica proprio per costruire uno storico delle prestazioni.
Prova di scarica
Serve a verificare quanto a lungo il banco riesca realmente a sostenere un carico.
Può essere eseguita in condizioni controllate utilizzando un banco di carico o procedure specifiche definite dal tecnico.
Prova di scarica parziale
Riduce il livello di carica senza portare le batterie alla scarica completa.
Può fornire indicazioni utili, ma bisogna considerare che, durante il successivo periodo di ricarica, l’autonomia disponibile sarà temporaneamente inferiore.
Controllo dei singoli elementi
Nei banchi composti da numerose batterie, il comportamento complessivo può essere compromesso anche da pochi elementi deboli.
Per questo il controllo individuale può essere più affidabile della sola valutazione generale della stringa.
Queste verifiche devono essere pianificate.
Staccare improvvisamente la corrente per “vedere quanto dura l’UPS” non è un test professionale.
Se le batterie non reggono, la prova può provocare proprio lo spegnimento che si voleva prevenire.
Manutenzione e monitoraggio: i controlli necessari
Una manutenzione preventiva UPS non consiste nel pulire il display e controllare che l’apparecchiatura sia accesa.
Secondo la documentazione Riello UPS, un controllo tecnico può comprendere la verifica di:
- interruttori;
- contattori;
- fusibili;
- cablaggi;
- trasformatori;
- schede elettroniche;
- condensatori;
- ventole;
- sistemi di comunicazione;
- batterie;
- terminali;
- misure elettriche;
- stato operativo generale.
Le batterie devono inoltre essere controllate per individuare danni, corrosione, perdite o collegamenti non corretti.
Il tecnico deve considerare anche le condizioni reali dell’ambiente:
- temperatura;
- polvere;
- ventilazione;
- umidità;
- numero di interventi a batteria;
- carico collegato;
- età dell’UPS;
- data di installazione delle batterie.
Accanto alla manutenzione è importante il monitoraggio.
Un sistema remoto può registrare:
- funzionamento a batteria;
- autonomia stimata;
- percentuale di carico;
- sovraccarichi;
- passaggi in bypass;
- temperature;
- errori delle batterie;
- anomalie della rete;
- test non superati;
- perdita di comunicazione.
L’allarme, però, serve soltanto se qualcuno lo riceve e interviene.
Il monitoraggio diventa inutile quando:
- le notifiche non sono configurate;
- l’indirizzo email non è più utilizzato;
- nessuno controlla lo storico;
- il segnale acustico viene silenziato;
- non è stato stabilito chi debba intervenire.
Spegnere il beep non significa aver risolto il problema.
Significa soltanto averlo reso meno rumoroso.
UPS, generatore e ATS devono essere provati insieme
Controllare separatamente UPS e generatore non dimostra che l’intero sistema sia pronto ad affrontare un blackout.
Il generatore può avviarsi regolarmente, ma il commutatore potrebbe non trasferire il carico.
L’ATS può funzionare, ma l’UPS potrebbe non accettare correttamente tensione o frequenza prodotte dal generatore.
Le batterie possono risultare cariche, ma non riuscire a sostenere la potenza necessaria durante la transizione.
Una verifica completa dovrebbe considerare:
- rilevamento della mancanza rete;
- passaggio dell’UPS a batteria;
- autonomia durante l’avviamento;
- accensione del gruppo elettrogeno;
- stabilizzazione di tensione e frequenza;
- funzionamento dell’ATS;
- trasferimento del carico;
- compatibilità tra generatore e UPS;
- ricarica delle batterie;
- ritorno controllato alla rete.
Anche il generatore deve essere dimensionato considerando non soltanto le apparecchiature da alimentare, ma anche eventuali correnti di avviamento e l’energia richiesta dall’UPS per ricaricare le batterie.
Una prova che accende il motore per pochi minuti, senza trasferire realmente il carico, controlla il generatore ma non l’intera catena di continuità.
Caso pratico: quando tutto sembra funzionare
Immaginiamo un’azienda dotata di:
- un server gestionale;
- un NAS;
- un router;
- due switch;
- videosorveglianza;
- un UPS;
- un gruppo elettrogeno automatico.
Il generatore viene acceso periodicamente e sembra funzionare.
L’UPS non mostra errori evidenti.
Le batterie, però, sono installate da diversi anni e non sono mai state sottoposte a una prova esterna.
Nel frattempo l’azienda ha aggiunto un nuovo server e altri dispositivi di rete.
Durante un blackout:
- l’UPS passa a batteria;
- il carico è superiore a quello inizialmente previsto;
- le batterie degradate perdono rapidamente tensione;
- il generatore inizia ad avviarsi;
- l’UPS si spegne prima del completamento della commutazione;
- server e NAS perdono alimentazione;
- il database del gestionale non riparte correttamente;
- l’attività rimane ferma per diverse ore.
Il gruppo elettrogeno era funzionante.
L’UPS era acceso.
Il problema era una catena mai verificata nelle condizioni reali.
Una manutenzione avrebbe potuto rilevare:
- autonomia insufficiente;
- batterie deteriorate;
- aumento del carico;
- necessità di sostituire il banco;
- tempi reali di avviamento del generatore;
- eventuali problemi nella sequenza di trasferimento.
Non serve gestire un data center per subire un guasto a cascata.
Checklist per prevenire un fermo a cascata
UPS e batterie
- Il display non presenta allarmi
- L’UPS non è bloccato in bypass
- La percentuale di carico è stata verificata
- Il dimensionamento è ancora adeguato
- La data di installazione delle batterie è conosciuta
- L’autonomia reale è stata controllata
- Le prove sono documentate
- Non sono presenti perdite o rigonfiamenti
- Non sono presenti tracce di corrosione
- La temperatura del locale è controllata
- Le griglie di ventilazione sono libere
- La sostituzione delle batterie è programmata
Generatore e commutazione
- L’avviamento automatico è stato verificato
- La batteria di avviamento è efficiente
- Il carburante è sufficiente
- Tensione e frequenza sono stabili
- L’ATS viene controllato
- Il tempo di commutazione è conosciuto
- L’UPS è compatibile con il generatore
- È stata eseguita una prova integrata
- I carichi prioritari sono identificati
- È definita una procedura di ritorno alla rete
Monitoraggio e organizzazione
- Gli allarmi arrivano a recapiti attivi
- Lo storico viene consultato
- Esiste un responsabile del sistema
- I recapiti dell’assistenza sono disponibili
- È definito l’ordine di riavvio dei dispositivi
- Gli interventi vengono documentati
- I rapporti tecnici vengono conservati
- Il piano viene aggiornato quando cambiano i carichi
Assistenza UPS con Multiservice S.r.l.
Multiservice S.r.l. è un Centro Assistenza Autorizzato Riello UPS e opera nella fornitura, installazione, manutenzione e assistenza tecnica dei gruppi di continuità.
L’azienda interviene anche su UPS di altri marchi e offre servizi che comprendono:
- manutenzione preventiva e correttiva;
- analisi delle batterie;
- test di autonomia;
- pulizia tecnica dei componenti;
- verifica di log, allarmi e temperature;
- misure elettriche;
- aggiornamenti firmware;
- report tecnici;
- assistenza remota;
- telemonitoraggio.
Un controllo tecnico permette di valutare:
- efficienza delle batterie;
- autonomia disponibile;
- carico realmente collegato;
- condizioni dei cablaggi;
- funzionamento delle ventole;
- presenza di allarmi;
- stato del bypass;
- comunicazione con i sistemi di monitoraggio;
- necessità di sostituire componenti;
- adeguatezza dell’UPS rispetto alle esigenze attuali.
L’obiettivo non è semplicemente verificare che il gruppo di continuità sia acceso.
È capire come si comporterà quando la rete verrà realmente a mancare.
Domande frequenti
Il guasto ha fermato tutto Google Cloud?
No. L’incidente ha interessato la zona us-east5-c della regione di Columbus. Altre zone non sono state coinvolte nello stesso modo.
È stato realmente un guasto UPS?
Sì. Google ha indicato una perdita della rete seguita da un guasto a cascata nel sistema UPS e da una grave criticità del sistema batterie.
Sappiamo quale batteria si è guastata?
No. Il rapporto pubblico non indica il singolo elemento, il modello o la tecnologia delle batterie coinvolte.
Perché il generatore non ha evitato lo spegnimento?
L’UPS avrebbe dovuto mantenere alimentati i sistemi durante il passaggio dalla rete ai generatori. La criticità alle batterie ha impedito di completare correttamente questa fase.
L’autotest dell’UPS è sufficiente?
Non sempre. Può fornire un’indicazione generale, mentre per valutare meglio un banco di grandi dimensioni possono essere necessari test esterni e controlli sui singoli elementi.
È possibile provare l’UPS staccando la corrente?
Non è consigliabile senza una procedura tecnica. Se le batterie non sono efficienti, la prova può causare lo spegnimento dei dispositivi.
Conclusioni
Il caso Google Cloud non dimostra che gli UPS siano apparecchiature inaffidabili.
Dimostra quanto siano importanti e perché non possano essere installati e poi dimenticati.
Il 29 marzo 2025 la rete elettrica è venuta a mancare in una zona dell’infrastruttura di Columbus. Il sistema UPS avrebbe dovuto coprire il tempo necessario all’attivazione dei generatori.
Una grave criticità alle batterie ha invece provocato la perdita di alimentazione di alcune macchine virtuali e un guasto a cascata che ha coinvolto rete, dischi, database e altri servizi.
Secondo l’Annual Outage Analysis 2026 di Uptime Institute, l’alimentazione elettrica rimane la principale causa delle interruzioni con conseguenze importanti nei data center. Tra i componenti maggiormente coinvolti figurano UPS, commutatori di trasferimento e generatori.
La domanda corretta non è quindi soltanto:
Abbiamo un UPS?
Bisogna chiedersi:
- le batterie sono efficienti?
- l’autonomia è stata misurata?
- il carico è ancora quello previsto?
- il bypass funziona?
- gli allarmi vengono ricevuti?
- UPS, ATS e generatore sono stati provati insieme?
- cosa succede se è proprio l’UPS a guastarsi?
Una spia verde indica che il sistema è acceso in quel momento.
Solo manutenzione, monitoraggio e test permettono di capire come reagirà durante il prossimo blackout.
Fonti e attribuzioni
L’articolo è stato scritto con formulazione originale. Le informazioni tecniche e i dati relativi all’incidente sono stati sintetizzati e rielaborati senza riprodurre integralmente i testi delle fonti.
[1] Google Cloud – “Customers are experiencing connectivity issues with multiple Google Cloud services in zone us-east5-c”.
Rapporto ufficiale relativo all’incidente del 29 marzo 2025, pubblicato l’11 aprile 2025. Fonte utilizzata per durata, causa, servizi coinvolti, modalità di ripristino e azioni correttive. Consultata il 23 luglio 2026.
[2] Riello UPS – “What Are the Different Types of UPS Battery Testing?”.
Fonte tecnica utilizzata per test d’impedenza, controllo dei singoli elementi e verifiche esterne delle batterie. Consultata il 23 luglio 2026.
[3] Riello UPS – “What’s the Difference Between Parallel Capacity and Parallel Redundancy UPS Systems?”.
Fonte tecnica utilizzata per la distinzione tra configurazioni parallele in capacità e configurazioni ridondanti N+X. Consultata il 23 luglio 2026.
[4] Riello UPS – “What Should a UPS Preventive Maintenance Visit Include?”.
Fonte tecnica utilizzata per descrivere i principali controlli di una manutenzione preventiva. Consultata il 23 luglio 2026.
[5] Uptime Institute – “Annual Outage Analysis 2026”.
Rapporto pubblicato l’11 maggio 2026, utilizzato per il quadro generale sulle cause delle interruzioni nei data center. Consultato il 23 luglio 2026.
[6] Multiservice S.r.l. – sito ufficiale e pagina dedicata all’assistenza tecnica UPS.
Fonti utilizzate per descrivere qualifiche, attività, servizi tecnici e recapiti aziendali. Consultate il 23 luglio 2026.
Nota tecnica
Configurazioni, intervalli di manutenzione, test e procedure possono cambiare in base al modello di UPS, alla tecnologia delle batterie, all’impianto e alla criticità dei carichi.
Qualsiasi intervento interno, prova di scarica o simulazione della mancanza di rete deve essere pianificato ed eseguito da personale qualificato.
