【正文】 產(chǎn)站點(diǎn)和災(zāi)難恢復(fù)站點(diǎn)運(yùn)行同樣的系統(tǒng)，包括操作系統(tǒng)、基礎(chǔ)數(shù)據(jù)庫和應(yīng)用軟件，并通過數(shù)據(jù)復(fù)制完成在線和實(shí)時(shí)的數(shù)據(jù)復(fù)制，或者通過光纖通道的遠(yuǎn)程數(shù)據(jù)復(fù)制。假如工作站點(diǎn)發(fā)生突發(fā)災(zāi)難，不能再繼續(xù)工作，這時(shí)容災(zāi)中心會(huì)將業(yè)務(wù)數(shù)據(jù)及時(shí)恢復(fù)到備用服務(wù)器上，并迅速將業(yè)務(wù)系統(tǒng)加載到備用服務(wù)器，然后實(shí)現(xiàn)業(yè)務(wù)的 遠(yuǎn)程切換 (Failover)，恢復(fù)應(yīng)用系統(tǒng)不間斷的運(yùn)行，在容災(zāi)中心實(shí)現(xiàn)業(yè)務(wù)的恢復(fù)運(yùn)轉(zhuǎn)，這個(gè)過程只需要幾分鐘或者幾十分鐘的時(shí)間；在此基礎(chǔ)上，在災(zāi)難過后，生產(chǎn)系統(tǒng)恢復(fù)正常后，再將業(yè)務(wù)運(yùn)行切換回正常的生產(chǎn)系統(tǒng)，實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)的災(zāi)難恢復(fù)（ Failback）。 一般來講，一家運(yùn)行關(guān)鍵業(yè)務(wù)的企業(yè)應(yīng)該拿出 IT 總預(yù)算的 7%到 15%用于災(zāi)難備份與恢復(fù)。在發(fā)達(dá)國家，面對(duì)高級(jí)災(zāi)難防護(hù)，一般公司每月要支付大約 5 萬美元到 10 萬美元的費(fèi)用，而對(duì)于大公司，這一數(shù)字可能高達(dá) 100萬美元。這個(gè)數(shù)字十分驚人，但當(dāng)用戶進(jìn)行整體的評(píng)估和核算后， 會(huì)發(fā)現(xiàn)一次業(yè)務(wù)中斷所造成的經(jīng)濟(jì)損失將遠(yuǎn)遠(yuǎn)超過投資于業(yè)務(wù)持續(xù)性系統(tǒng)的成本。 在國內(nèi)，當(dāng)前應(yīng)用級(jí)容災(zāi)系統(tǒng)的用戶還不多。究其原因，首先觀念是重要因素。容災(zāi)系統(tǒng)的投入相當(dāng)大，而它所針對(duì)的只是一些諸如火災(zāi)、洪水、地震等小概率事件，因此，對(duì)許多用戶來說，這種高投入和相對(duì)的小概率產(chǎn)出使他們望而卻步。但是對(duì)于像財(cái)稅研究機(jī)構(gòu)這樣的政府要害部門來說，關(guān) 鍵數(shù)據(jù)丟失造成的損失是遠(yuǎn)遠(yuǎn)不能用財(cái)務(wù)數(shù)據(jù)來衡量的。同時(shí)還應(yīng)當(dāng)指出，容災(zāi)系統(tǒng)并不僅僅針對(duì)突發(fā)性災(zāi)害等小概率事件，其它一些宕機(jī)事件，如人為誤操作、機(jī)房事故（電源、空調(diào)、管道漏水）、計(jì) 劃內(nèi)的系統(tǒng)維護(hù)和擴(kuò)容等，也可使用異地容災(zāi)系統(tǒng)實(shí)現(xiàn)關(guān)鍵業(yè)務(wù)的持續(xù)運(yùn)轉(zhuǎn)。此外，在生產(chǎn)系統(tǒng)正常運(yùn)轉(zhuǎn)的情況下，容災(zāi)系統(tǒng)還可以被用來開展諸如數(shù)據(jù)挖掘、經(jīng)營分析以及用戶查詢等其他業(yè)務(wù)，從而使為防止災(zāi)難而采購的軟硬件設(shè)備在平時(shí)也能得到很好的應(yīng)用。 如上所述，綜合考慮業(yè)務(wù)中斷、數(shù)據(jù)丟失所導(dǎo)致的損失和增值業(yè)務(wù)所帶來的收益，容災(zāi)系統(tǒng)的建設(shè)投入還是值得的。 國外計(jì)算機(jī)業(yè)務(wù)系統(tǒng)災(zāi)難備份應(yīng)用情況 災(zāi)難備份計(jì)劃在發(fā)達(dá)國家電信行業(yè)和金融行業(yè)得到了較早實(shí)施，現(xiàn)已較為普遍。例如美國，因一九八五年紐約銀行計(jì)算機(jī)故障，聯(lián)邦管理部門更加強(qiáng)了在這方 面的監(jiān)管力度?，F(xiàn)美國計(jì)算機(jī)業(yè)務(wù)系統(tǒng)一般出于以下三方面來考慮災(zāi)難備份計(jì)劃： 重要數(shù)據(jù)保護(hù)與業(yè)務(wù)連續(xù)運(yùn)行的需要： 在美國，各行業(yè)內(nèi)部競(jìng)爭(zhēng)激烈，各項(xiàng)業(yè)務(wù)的正常開展完全依賴于計(jì)算機(jī)系統(tǒng)的高性能、高可靠運(yùn)行，一旦因突發(fā)性災(zāi)難而造成數(shù)據(jù)丟失或業(yè)務(wù)中斷，必將會(huì)造成重大乃至致命的打擊。 審計(jì)的要求： 美國較大型的企業(yè)一般會(huì)由第三方獨(dú)立審計(jì)公司來提供其資信業(yè)務(wù)、管理等方面咨詢服務(wù)，而世界著名的五大審計(jì)公司在對(duì)企業(yè)的評(píng)估項(xiàng)目中均包含災(zāi)難備份計(jì)劃一項(xiàng)；評(píng)估企業(yè)數(shù)據(jù)在災(zāi)難等威脅破壞下數(shù)據(jù)的完整性與安全性，及業(yè)務(wù)可恢復(fù)性等，有些還會(huì)參于 驗(yàn)證這種計(jì)劃的具體操作過程。缺少災(zāi)難備份計(jì)劃及其危害性會(huì)在報(bào)告中被顯示出來。 法律的要求： 美國政府及州政府通過多項(xiàng)法律強(qiáng)制性要求金融、電信等大型企業(yè)備有計(jì)算機(jī)安全及災(zāi)難備份計(jì)劃。對(duì)于沒有遵守這項(xiàng)災(zāi)難備份計(jì)劃的企業(yè)，會(huì)遭受曝光及罰款等處理，同時(shí)亦可能對(duì)相關(guān)責(zé)任人進(jìn)行罰款甚至監(jiān)禁等處罰。已知的災(zāi)難例子有：日本神戶大地震、美國佛羅里達(dá)州颶風(fēng)（數(shù)百家企業(yè)實(shí)施了災(zāi)難備份計(jì)劃）、臺(tái)灣大地震等。 災(zāi)備系統(tǒng)實(shí)施容災(zāi)方案的意義 我國的相關(guān)政策法規(guī)： 2020 年 9 月 ,中共中央辦公廳、國務(wù)院辦公廳轉(zhuǎn)發(fā)了《國家信息化領(lǐng)導(dǎo)小組關(guān) 于加強(qiáng)信息安全保障工作的意見》（中辦發(fā) [2020]27 號(hào)），提出各基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)建設(shè)要充分考慮抗毀性與災(zāi)難恢復(fù)； 2020 年 1 月 9 日全國信息安全保障工作會(huì)議上下發(fā)了《關(guān)于做好國家重要信息系統(tǒng)容災(zāi)備份工作的通知》； 2020 年央行提出各銀行要在 2020 年前完成災(zāi)難備份工作； 2020 年 1 月國信辦組織起草了《重要信息系統(tǒng)災(zāi)難恢復(fù)規(guī)劃指南》； … 災(zāi)備系統(tǒng)自身業(yè)務(wù)需要： 災(zāi)備系統(tǒng)目前日常研發(fā)工作依賴于 Oracle 數(shù)據(jù)庫軟件，這套軟件分別運(yùn)行在 2 套由 HP 小型機(jī)組成的 HA 集群中，此配置保證了數(shù)據(jù)庫服務(wù)應(yīng)用在 單機(jī)出現(xiàn)故障時(shí)可以迅速切換到集群中的另一臺(tái)機(jī)器上去。當(dāng)整個(gè)機(jī)房出現(xiàn)比較大的災(zāi)難時(shí)（如水災(zāi)、火災(zāi)等）， 2 套 HA 集群內(nèi)的主機(jī)都不能提供服務(wù)，更嚴(yán)重的是：災(zāi)難可能會(huì)對(duì)目前存放在 EVA4000 磁盤陣列中的數(shù)據(jù)造成損壞和丟失。即使事后可以通過備份來恢復(fù)數(shù)據(jù)，但是數(shù)據(jù)的部分丟失不可避免；而且新購買陣列、小型機(jī)的流程較長，災(zāi)備系統(tǒng)正常正常使用在較長的一段時(shí)間內(nèi)都會(huì)受到嚴(yán)重的影響。因此，為了保證數(shù)據(jù)的安全性和應(yīng)用的連續(xù)性，我們建議 在一個(gè)備場(chǎng)地建立一個(gè)災(zāi)備數(shù)據(jù)中心，災(zāi)備數(shù)據(jù)中心的數(shù)據(jù)和主數(shù)據(jù)中心數(shù)據(jù)實(shí)時(shí)保持同步。 隨著 災(zāi)備系統(tǒng)的業(yè)務(wù)開展的深入，數(shù)據(jù)量的增加，必然要考慮建設(shè)災(zāi)難\備份中心，其目的就是在于防止一些災(zāi)難性的小概率事件可能對(duì)集中式信息系統(tǒng)造成的不可恢復(fù)的原始數(shù)據(jù)的丟失，這些災(zāi)難性事件可能包括為火災(zāi)、水災(zāi)、地震、電源故障及一些人為的操作失誤等等。 綜上所述，災(zāi)備系統(tǒng)建設(shè)災(zāi)難備份中心有如下的意義： ? 重要業(yè)務(wù)數(shù)據(jù)在災(zāi)難發(fā)生后得以保護(hù)。 ? 重要業(yè)務(wù)，核心數(shù)據(jù)庫系統(tǒng)在災(zāi)難發(fā)生后可以在設(shè)定的時(shí)間內(nèi)恢復(fù)，從而實(shí)現(xiàn)業(yè)務(wù)的連續(xù)運(yùn)行 ? 業(yè)務(wù)計(jì)算機(jī)系統(tǒng)抵御突發(fā)性災(zāi)難的能力和級(jí)別提高 什么是容災(zāi)系統(tǒng) 容災(zāi)系統(tǒng)是業(yè)務(wù)永續(xù)運(yùn)行的重要的組成部分。 所謂災(zāi)難，通常是指引起關(guān)鍵業(yè)務(wù)的信息服務(wù)中斷，且中斷的時(shí)間及造成的損失超出企業(yè)所能承受的范圍之外的意外情況。引起災(zāi)難的因素很多，可以是系統(tǒng)環(huán)境中的軟件、硬件故障，有意或過失的人為破壞，還可能是因火災(zāi)、颶風(fēng)、地震而引起的數(shù)據(jù)處理設(shè)備的損壞等等，只要造成了關(guān)鍵業(yè)務(wù)的中斷，都是災(zāi)難。而容災(zāi)就是通過預(yù)先建立的備份中心、備份設(shè)備和備份數(shù)據(jù)等，在可以容忍的時(shí)間內(nèi)恢復(fù)業(yè)務(wù)系統(tǒng)的正常運(yùn)行，將企業(yè)因業(yè)務(wù)中斷而導(dǎo)致的損失降低到預(yù)定的程度。 相對(duì)于業(yè)務(wù)永續(xù)運(yùn)行來說，容災(zāi)強(qiáng)調(diào)的是企業(yè)的關(guān)鍵業(yè)務(wù)在災(zāi)難發(fā)生時(shí)的應(yīng)對(duì)能力和恢復(fù)能力，即通 過盡可能快速的、全面的企業(yè)業(yè)務(wù)恢復(fù)運(yùn)作，將因?yàn)?zāi)難造成的損失降低到最小程度。顯然，它并不保證業(yè)務(wù)的零間斷能力；實(shí)際上，容災(zāi)系統(tǒng)的整個(gè)災(zāi)難恢復(fù)過程必須會(huì)造成一段時(shí)間的業(yè)務(wù)中斷。另外，也正是因?yàn)榭梢匀萑桃欢螘r(shí)間的業(yè)務(wù)間斷，所以其實(shí)施難度、周期和規(guī)模都要遠(yuǎn)遠(yuǎn)小于實(shí)現(xiàn)業(yè)務(wù)持續(xù)性系統(tǒng)的建設(shè)。 從廣義上講，任何提高系統(tǒng)可用性的努力，都可稱之為容災(zāi)。本地容災(zāi)，例如主機(jī)集群：當(dāng)某臺(tái)主機(jī)出現(xiàn)故障，不能正常工作時(shí)，其他的主機(jī)可以替代該主機(jī)，繼續(xù)進(jìn)行正常工作。而我們平時(shí)講到的容災(zāi)，尤其是值得重視的容災(zāi)，一般都是指遠(yuǎn)程容災(zāi)。遠(yuǎn)程容災(zāi) 可以這樣理解：在各行業(yè)企業(yè)用戶的IT 系統(tǒng)中，必然有一部分（尤其是核心部分）是非常重要的，我們叫它生產(chǎn)中心。人們往往給生產(chǎn)中心配備一個(gè)備份中心，該備份中心是遠(yuǎn)程的，并且在生產(chǎn)中心的內(nèi)部，已經(jīng)實(shí)施了各種各樣的數(shù)據(jù)保護(hù)。不論采取什么方式進(jìn)行保護(hù)，當(dāng)火災(zāi)、地震這類突發(fā)性災(zāi)難發(fā)生時(shí)，一旦生產(chǎn)中心癱瘓了，備份中心將能接管生產(chǎn)系統(tǒng)，繼續(xù)提供網(wǎng)絡(luò)服務(wù)。比如，全國鐵路調(diào)度中心網(wǎng) 絡(luò)系統(tǒng)，當(dāng)發(fā)生火災(zāi)、地震等災(zāi)難性事件時(shí)，該系統(tǒng)仍要保持正常進(jìn)行，不能因?yàn)檎{(diào)度中心出現(xiàn)災(zāi)難性事件，全國的鐵路系統(tǒng)就處于癱瘓狀態(tài)，讓災(zāi)難不合理地蔓延。 我 們認(rèn)為，一個(gè)有效的高可靠性計(jì)算環(huán)境應(yīng)該能夠做到： ? 數(shù)據(jù)中心任何計(jì)算機(jī)系統(tǒng)硬件，軟件及應(yīng)用的單點(diǎn)故障將不會(huì)影響整個(gè)數(shù)據(jù)中心的處理工作； ? 數(shù)據(jù)中心由于災(zāi)難 (火災(zāi)、地震、斷電 )等原因無法工作時(shí)，應(yīng)有一個(gè)備份數(shù)據(jù)中心能夠迅速接管關(guān)鍵應(yīng)用，繼續(xù)運(yùn)行； ? 主數(shù)據(jù)中心恢復(fù)后，應(yīng)用系統(tǒng)、業(yè)務(wù)數(shù)據(jù)應(yīng)能迅速切換回主中心運(yùn)行。 災(zāi)難及應(yīng)對(duì)分析 災(zāi)難的定義 一般來說，人們可將災(zāi)難分為下面幾個(gè)類型：自然災(zāi)難（洪水、颶風(fēng)、地震），外在事件（電力或通訊中斷）、技術(shù)失靈（電腦宕機(jī)或網(wǎng)絡(luò)受損）、設(shè)備受損（火災(zāi)）及人為操作（黑 客入侵、惡意破壞、員工誤操作）等。在本文中，災(zāi)難的定義主要是指自然的和人為的災(zāi)難，包括系統(tǒng)硬件，網(wǎng)絡(luò)故障，機(jī)房斷電，人為破壞甚至火災(zāi)地震等，例如臺(tái)灣的臺(tái)北大地震導(dǎo)致該區(qū)域內(nèi)建筑及大部分機(jī)器均遭到嚴(yán)重破壞。而突發(fā)性災(zāi)難發(fā)生從而引發(fā)的 IT系統(tǒng)崩潰的后果將可能導(dǎo)致生產(chǎn)停頓，失去客戶以及減少定單、收入，甚至威脅到企業(yè)的生存。 災(zāi)備系統(tǒng)面臨著多種可能出現(xiàn)的風(fēng)險(xiǎn)和災(zāi)難因素，從類型上可以大致分為自然災(zāi)害和人為因素；從發(fā)生的概率看可以分為比較可能，可能，和基本不可能。分析各種風(fēng)險(xiǎn)是制定相應(yīng)的容災(zāi)策略以預(yù)防或盡可能降低災(zāi)難影 響的基礎(chǔ)。 對(duì)業(yè)務(wù)環(huán)境中可能發(fā)生的突發(fā)性災(zāi)難歸納如下： 比較可能 可能 基本不可能 ? 人為過失 /故意破壞（對(duì)公司不滿的員工，外部黑客，計(jì)算機(jī)病毒等） ? 氣候?yàn)?zāi)難（暴風(fēng)雪，嚴(yán)寒等） ? 設(shè)備 /硬件 /系統(tǒng)故障 ? 業(yè)務(wù)應(yīng)用軟件故障 ? 火災(zāi) ? 基礎(chǔ)設(shè)施故障（網(wǎng)絡(luò)，通信，電力，空調(diào)，通風(fēng)等） ? 氣候?yàn)?zāi)難（臺(tái)風(fēng)，洪水等，沙塵暴） ? 城市事件（罷工，動(dòng)亂等） ? 工作場(chǎng)所的環(huán)境緊急事件（化學(xué)污染等） ? 地震 ? 流行疾病 ? 社會(huì)性恐慌 ? 恐怖襲擊（炸彈威脅，爆炸，挾持人質(zhì)等） ? 戰(zhàn)爭(zhēng) ? 核戰(zhàn) 以上列出的災(zāi)難因素分析僅作一般性參考。災(zāi)備系統(tǒng)的具體情況（ IT系統(tǒng)環(huán)境，地理，人文，社會(huì)服務(wù)環(huán)境等），可以在項(xiàng)目的風(fēng)險(xiǎn)分析階段針對(duì)性的明確與細(xì)化。 另一方面，從災(zāi)難的后果和影響來看，大致可以分為兩大類： 業(yè)務(wù)停頓，但一般可以在能忍受的時(shí)間內(nèi)完成本地修復(fù)，不需要異地切換。 例如：機(jī)房電源設(shè)備發(fā)生故障、 IT 設(shè)備軟硬件故障、消防系統(tǒng)和空調(diào)系統(tǒng)等機(jī)房環(huán)境告警、人為因素誤操作的情況等，電信供應(yīng)商的 IT 系統(tǒng)普遍建立了相應(yīng)的本地高可用性系統(tǒng)（ HA）、備份 /恢復(fù)策略，運(yùn)維管理流程，并購買了 IT 廠商高級(jí)別支持服務(wù)，以及其它一些基礎(chǔ)設(shè)施的防護(hù)措施等。我們建議 首先應(yīng)立足于現(xiàn)有系統(tǒng)環(huán) 境，在現(xiàn)有條件下解決自身的災(zāi)難預(yù) 防和風(fēng)險(xiǎn)規(guī)避問題，盡可能避免發(fā)生大的突發(fā)性災(zāi)難并降低災(zāi)難的破壞力。同時(shí)需要統(tǒng)籌規(guī)劃容災(zāi)系統(tǒng)的建設(shè)，按系統(tǒng)的方法論分階段、有步驟進(jìn)行相應(yīng)的分析、設(shè)計(jì)、實(shí)施、測(cè)試、人員培訓(xùn)等工作。這也正是目前容災(zāi)規(guī)劃所關(guān)注的課題。 容災(zāi)可以達(dá)到的目標(biāo)層次 根據(jù)企業(yè)自身的現(xiàn)有環(huán)境、客觀條件、投資規(guī)模、實(shí)施階段的不同，容災(zāi)方案可以達(dá)到多種目標(biāo)層次，這些層次可以在企業(yè)不同的層面上實(shí)現(xiàn)不同的容災(zāi)功能要求。下面的圖表展示了各個(gè)容災(zāi)層次： 地區(qū)運(yùn)營節(jié)點(diǎn)