Continuidade operacional no hotel: a infraestrutura que mantém a operação funcionando

O que precisa continuar funcionando

Um plano de contingência diz o que a equipe faz quando um sistema cai. Este guia trata da outra metade: a infraestrutura que mantém a operação de pé, ou pelo menos dá tempo para a equipe agir, quando falta energia no bairro, a operadora cai ou o escritório central da rede fica fora do ar. Os procedimentos manuais, a FNRH Digital fora do ar e as perguntas sobre cada sistema estão no guia de plano de contingência de TI.

Esses cenários não são hipotéticos. Em 3 de novembro de 2023, um temporal deixou 2,1 milhões de clientes da Enel sem energia na região metropolitana de São Paulo, e houve residências e comércios sem luz por dias, segundo a Agência Brasil.

O ponto de partida é listar o que o hotel não pode parar de fazer e do que cada função depende. A tabela abaixo é um exemplo; a lista do seu hotel depende dos sistemas que ele usa.

Quase tudo passa por três pontos comuns: energia, rede interna (switches e Wi-Fi) e internet. É neles que a redundância rende mais.

Energia: nobreak, gerador e proteção contra surtos

Nobreak: tipo e tamanho

O nobreak (UPS) mantém os equipamentos ligados durante a queda e entrega energia estável. Há três tipos: o off-line (standby), que só entra quando a energia cai; o interativo (line-interactive), que também corrige variações de tensão; e o on-line de dupla conversão, que alimenta a carga o tempo todo pelo inversor, sem tempo de transferência. Para o rack principal, o on-line é o que protege melhor contra variações e quedas curtas; nos pontos da recepção, um interativo pode bastar.

O tamanho depende de duas medidas: a potência que a carga consome, em watts, e o tempo de autonomia de que o hotel precisa. Se há gerador, o nobreak só precisa segurar até o gerador assumir, com folga para uma partida que falhe. Se não há gerador, a autonomia define quanto tempo o hotel tem para desligar com segurança e passar para o procedimento manual. Peça ao fornecedor o cálculo por escrito, com a lista de equipamentos ligados.

As baterias se desgastam com o tempo e com o calor. Registre a data de instalação, siga a vida útil indicada pelo fabricante e teste a autonomia real, porque um nobreak com bateria no fim pode não segurar nem a partida do gerador. Se o modelo tem placa de rede, ative os alertas de queda de energia e de bateria fraca.

O que ligar no nobreak

Um erro frequente é proteger o servidor e esquecer o caminho até ele. Se o switch do andar ou o equipamento da operadora desliga, o servidor ligado não adianta. Inclua:

• Firewall e roteadores, incluindo os do segundo link.
• O equipamento da operadora instalado no hotel (ONT, modem ou roteador). Combine com a operadora onde ele fica e como é alimentado.
• Switches principais e switches com PoE, que alimentam pontos de acesso, telefones IP e câmeras.
• Switches dos racks de andar que atendem recepção, administração e áreas críticas.
• PCs e impressoras da recepção, codificador de cartões e servidor das fechaduras.
• Gravador do CFTV, central telefônica e servidor local, se houver.
• Maquininhas e PDVs do restaurante, se eles precisarem continuar vendendo.

Equipamentos que consomem muito e não são críticos, como impressoras de grande volume e telas de sinalização, ficam fora, porque gastam a autonomia.

Gerador e transferência automática

Para quedas de horas ou dias, só o gerador mantém o hotel funcionando. O ponto técnico é a transição: o gerador leva alguns segundos para partir e assumir a carga, e o nobreak cobre esse intervalo. A transferência deve ser automática, por um quadro de transferência automática (QTA), para não depender de alguém ir até a casa de máquinas no meio da noite.

Três perguntas definem se o gerador cobre a TI: quais circuitos ele alimenta (o rack, a recepção e os racks de andar precisam estar neles), quantas horas de combustível há no tanque e quem abastece numa queda longa, e quando foi o último teste com carga real. Gerador e quadro de transferência são instalações elétricas: o projeto e a execução ficam com um engenheiro eletricista e um instalador qualificados. O papel da TI é dizer o que precisa estar no circuito e conferir no teste.

Se o gerador alimenta o rack, mas não o ar-condicionado da sala técnica, a temperatura sobe e os equipamentos podem desligar sozinhos numa queda longa. Inclua a refrigeração da sala no circuito do gerador ou monitore a temperatura com alerta.

Proteção contra surtos

A volta da energia depois de uma queda e as descargas atmosféricas em temporais podem gerar surtos que queimam fontes e placas. Dispositivos de proteção contra surtos (DPS) no quadro elétrico, aterramento adequado e proteção nos cabos metálicos que entram no prédio reduzem esse risco. Também aqui, quem dimensiona e instala é o eletricista.

Internet: dois links que não caem juntos

Dois links só protegem o hotel se não falharem pelo mesmo motivo. Dois contratos de fibra com operadoras diferentes podem chegar pelo mesmo poste, pelo mesmo duto ou pela mesma rede de atacado, e cair juntos com a mesma árvore ou a mesma obra na rua.

• Operadoras diferentes, de preferência com tecnologias diferentes: fibra no principal e 4G/5G, rádio ou satélite no secundário.
• Rotas físicas diferentes até o prédio, se possível com entradas separadas. Pergunte a cada operadora por onde o cabo chega.
• Equipamento do segundo link também ligado no nobreak e no gerador.
• Para o link móvel, antena externa e teste de sinal no local onde o equipamento vai ficar, porque salas técnicas em subsolo podem ter sinal fraco.

Failover automático

O firewall, ou uma solução de SD-WAN, verifica continuamente se o link principal responde e, se não responder, passa o tráfego para o secundário sem ninguém intervir. Quando o principal volta, o tráfego retorna. Sem isso, o segundo link fica parado até alguém perceber a queda e trocar um cabo.

Dois detalhes evitam surpresas. Primeiro, o endereço IP público muda no failover: se o PMS na nuvem, o sistema de pagamentos ou a VPN do escritório central só liberam acesso pelo IP do link principal, cadastre também o do secundário. Segundo, teste o que acontece com as conexões abertas, como chamadas e transações em andamento, no momento da troca.

Prioridade para a operação

O link secundário pode ter menos banda que o principal. Defina regras de prioridade (QoS) para que recepção, pagamentos, telefone e PMS tenham banda garantida, e limite ou suspenda o Wi-Fi dos hóspedes, backups e atualizações automáticas enquanto o hotel estiver no link de reserva. Se o secundário for móvel, com franquia de dados, essa regra também evita uma conta inesperada.

Quando a queda é da região

Numa queda de energia que atinge o bairro, o hotel com gerador mantém os próprios equipamentos ligados, mas a rede da operadora na rua e as torres de celular dependem de baterias e geradores da própria operadora, que podem não durar uma queda longa. Por isso, num apagão regional, os dois links podem cair mesmo com o hotel funcionando. Um link via satélite, que não depende da infraestrutura local, é a alternativa para quem precisa de conexão nesse cenário. Para o resto, vale o funcionamento offline descrito mais abaixo.

Equipamentos redundantes e peças de reserva

Com energia e internet resolvidas, o ponto fraco passa a ser o equipamento único: o firewall, o switch principal ou o único PC que grava cartões. A redundância pode ser ativa, com um segundo equipamento assumindo sozinho, ou fria, com uma peça de reserva configurada na prateleira.

• Firewall: um par em alta disponibilidade ou, no mínimo, um equipamento de reserva com a configuração atual salva.
• Switch principal: dois switches empilhados ou em redundância, com os equipamentos críticos ligados aos dois quando possível.
• Fontes duplas: em servidores e switches com duas fontes, ligue cada uma em um circuito ou nobreak diferente.
• Peças na prateleira: um switch de andar, alguns pontos de acesso, um PC da recepção já configurado, uma impressora de recibos e, se possível, um segundo codificador de cartões.
• Backup das configurações: firewall, switches e controladora de Wi-Fi com cópia atualizada fora do equipamento, para que a troca leve minutos e não dias.

A peça de reserva só ajuda se alguém souber instalá-la. Documente a troca passo a passo, ou combine por escrito com o fornecedor o tempo de atendimento presencial e em que horários ele vale.

Funcionar sem internet: PMS, chaves, pagamentos e telefone

PMS

Com PMS na nuvem, sem internet não há PMS. Pergunte ao fornecedor se existe modo offline ou somente leitura e, qualquer que seja a resposta, gere em intervalos regulares, por exemplo a cada troca de turno, um relatório de chegadas, saídas, hóspedes da casa e saldos, guardado no PC da recepção e impresso. Com ele, a recepção continua atendendo e lança tudo depois. Os procedimentos completos, incluindo a FNRH Digital, estão no plano de contingência.

Fechaduras e chaves

Fechaduras de cartão que funcionam a bateria, sem conexão com a rede, continuam abrindo com os cartões já gravados. O ponto fraco é gravar novos cartões: o codificador pode depender do servidor das fechaduras, do PMS ou da internet. Confirme com o fornecedor se o codificador grava cartões sem o PMS e mantenha um estoque de cartões e um procedimento de emergência. Chaves no celular e fechaduras on-line dependem da rede e, em alguns casos, da internet, como explica o guia sobre chave virtual e check-in digital; tenha um plano para hóspedes que só usam a chave no celular.

Pagamentos

Maquininhas com chip de dados de uma operadora diferente da do hotel continuam cobrando quando a internet do hotel cai, desde que a rede móvel esteja funcionando. O Pix precisa de internet e de confirmação no sistema; sem ela, o hotel não tem como conferir o pagamento com segurança, e aceitar comprovante enviado por mensagem abre espaço para fraude, como mostra o guia sobre golpes de Pix em reservas. Se o PDV do restaurante emite NFC-e em contingência, confirme com o fornecedor como esse modo funciona e teste antes de precisar.

Telefone

Telefones IP param se o switch com PoE desliga, e uma central na nuvem para se a internet cai. Mantenha pelo menos um celular na recepção, carregado, com um número que a equipe e os hóspedes conheçam para emergências, e confira se a central consegue desviar chamadas para celulares quando perde a conexão.

Segurança das pessoas

Alarme de incêndio, iluminação de emergência, elevadores e saídas de emergência são sistemas do prédio, com normas e responsáveis técnicos próprios, e não fazem parte da TI. O cuidado da TI é não criar dependência: uma porta que só libera pelo sistema de controle de acesso, ou um alarme que só avisa por e-mail, precisa ser revisado com o responsável pelo prédio.

Quando o escritório central cai

Em redes e grupos hoteleiros, parte da TI do hotel pode depender do escritório central ou de um data center do grupo. Se a sede perde energia ou internet, ou sofre um ataque, os hotéis podem parar junto, mesmo sem nenhum problema local. Vale verificar quatro pontos:

• Saída de internet: se todo o tráfego do hotel passa pela VPN até a sede antes de chegar à internet, uma queda na sede derruba o acesso ao PMS na nuvem, aos pagamentos e ao e-mail. Com saída local de internet para os sistemas na nuvem, protegida pelo firewall do próprio hotel, a operação continua.
• Login: se as contas da equipe só são validadas por um servidor na sede, os logins podem falhar. Avalie um controlador de domínio local, credenciais em cache nos PCs críticos ou uma identidade na nuvem, e contas locais de emergência guardadas com segurança.
• Serviços locais: DHCP, DNS e impressão do hotel não devem depender de um servidor remoto.
• Documentos e contatos: procedimentos de contingência, contatos de fornecedores, contratos de suporte e a lista de ramais precisam estar no hotel, impressos ou offline, e não só na intranet da sede.

Além da parte técnica, há a decisão: o plano deve dizer quem no hotel pode autorizar o procedimento manual, a contratação de um serviço emergencial ou o desligamento de um sistema quando a sede não responde.

Nuvem ou servidor local: o que muda

Nenhum modelo elimina o risco; cada um muda onde ele está. Um sistema local continua funcionando sem internet, desde que servidor, rede e sala técnica tenham energia, mas backup, atualização e segurança ficam por conta do hotel. Um sistema na nuvem continua de pé quando falta energia no hotel, mas a recepção perde o acesso quando a internet cai.

Hotéis costumam usar uma mistura dos dois. O exercício útil é marcar, para cada sistema crítico, qual coluna se aplica e qual proteção cobre cada linha. Para o risco de ataque, veja o guia sobre ransomware em hotéis.

Teste antes de precisar

Infraestrutura de contingência que nunca foi testada é uma aposta. Combine os testes com a equipe e os fornecedores, em horário de baixa ocupação:

• Desligar a energia da rua: confira o que fica ligado, por quanto tempo e se o gerador assume sozinho.
• Failover da internet: desligue o link principal e confira se recepção, pagamentos, telefone e PMS continuam funcionando, e se tudo volta sozinho quando o link retorna.
• Gerador com carga: teste com a carga real do hotel, não só a partida em vazio, e confira o combustível.
• Autonomia do nobreak: compare o tempo real com o calculado; se caiu muito, as baterias estão no fim.
• Exercício de mesa: simule com a recepção uma noite sem sistema, do check-in à cobrança.

Faça os testes pelo menos uma vez por ano e depois de qualquer mudança relevante, como troca de operadora, de PMS ou de equipamento de rede. Registre o resultado e o que foi corrigido.

Perguntas para os fornecedores

1. Operadoras: por onde o cabo chega ao prédio, qual é o prazo de reparo no contrato e por quanto tempo a rede da região funciona numa queda de energia?
2. Integrador de rede: o failover está configurado e testado, os IPs do link secundário estão liberados nos sistemas e as configurações têm backup?
3. Fornecedor do PMS: existe modo offline ou somente leitura, e quais relatórios a recepção consegue gerar e guardar?
4. Fornecedor das fechaduras: o codificador grava cartões sem o PMS e sem internet?
5. Manutenção elétrica: quais circuitos o gerador alimenta, qual é a autonomia de combustível e quando foi o último teste com carga?
6. Escritório central ou TI do grupo: o que no hotel depende da sede, e o que acontece se ela ficar fora do ar?

Checklist rápido

• Nobreak no rack, nos switches de andar, na recepção e no equipamento da operadora, com baterias dentro da vida útil.
• Gerador com transferência automática alimentando a TI e a refrigeração da sala técnica.
• DPS e aterramento revisados por eletricista.
• Dois links de operadoras, rotas e tecnologias diferentes, com failover automático testado.
• Prioridade para a operação e limite para o Wi-Fi dos hóspedes no link de reserva.
• Peças de reserva configuradas e backup das configurações de rede.
• Relatórios do PMS gerados a cada turno e guardados offline.
• Codificador de cartões testado sem o PMS e maquininha com chip de dados.
• Saída local de internet e login funcionando sem a sede.
• Testes de energia, internet e gerador pelo menos uma vez por ano, com resultado registrado.

Próximos passos

O primeiro passo é saber onde o hotel está: quais equipamentos estão no nobreak, o que o gerador alimenta, se o segundo link é independente e o que depende da sede. Nosso diagnóstico de TI levanta esses pontos em 2 a 4 semanas e entrega uma lista de prioridades. A HotelTI especifica o que precisa ser feito, coordena os fornecedores e confere o resultado nos testes; a instalação fica com o eletricista, a operadora e o integrador escolhidos pelo hotel. Não revendemos software nem mantemos acordos com fornecedores específicos. Para acompanhamento contínuo, o Gerente de TI Virtual mantém o plano, os testes e os fornecedores em dia. Fale com a nossa equipe.