【正文】 ....................................... 38 圖 56 災(zāi)備中心與生產(chǎn)中心的數(shù)據(jù)鏈路 ................................................................................................................. 42 圖 57 災(zāi)備中心廣域網(wǎng)邏輯架構(gòu)示意圖 .................................................................................................................. 43 圖 61 業(yè)務(wù)永續(xù)管理與 ITSM 其他流程的關(guān)系 ..................................................................................................... 45 圖 62 中國人壽永 續(xù)運(yùn)行管理流程概覽 .................................................................................................................. 46 圖 63 中國人壽業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的維護(hù)流程 .................................................................................................... 48 圖 64 災(zāi)備中心永續(xù)運(yùn)行管理組構(gòu)成 ...................................................................................................................... 51 表 51 技術(shù)手段與 RPO、 RTO 的對應(yīng)關(guān)系 35 表 52 業(yè)務(wù)類型的服務(wù)級別分類 35 表 53 中國人壽關(guān)鍵應(yīng)用 RTO 與 RPO 要求（來源：中國人壽 IT 規(guī)劃項(xiàng)目組） 39 1 概述 根據(jù)項(xiàng)目第一階段的調(diào)查和在在中國人壽 IT 戰(zhàn)略的要求，我們認(rèn)為中國人壽有必要建立一個(gè)災(zāi)備中心和相應(yīng)的業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃。任何個(gè)人、機(jī)構(gòu)未經(jīng)中國惠普有限公司咨詢與集成事業(yè)部的書面授權(quán)許可，不得復(fù)制或引用本文件的任何片斷，無論通過電子形式或非電子形式。 據(jù)Gartner Group 的調(diào)查數(shù)據(jù)表明：在經(jīng)歷過大型災(zāi)難或長時(shí)間系統(tǒng)停運(yùn)的公司中，有 2/5 的公司再也未恢復(fù)運(yùn)行，而在其余的公司中，有 1/3 的公司在兩年內(nèi)破產(chǎn)。 通過我們第一 階段的調(diào)研，也發(fā)現(xiàn)中國人壽從自身的發(fā)展出發(fā)，有建立災(zāi)備中心的需求。 這 5 個(gè)步驟分別是：分析，設(shè)計(jì)，建設(shè)，管理，提高?；A(chǔ)架構(gòu)和 IT 流程詳細(xì)設(shè)計(jì)。對 IT 進(jìn)行監(jiān)控，衡量，并持續(xù)管理。服務(wù)級別報(bào)告和分析。簡單地講，一個(gè)高可用性系統(tǒng)就是一個(gè)用戶能隨時(shí)使用的系統(tǒng)，例如當(dāng)用戶需 要在早上 8 點(diǎn)到下午 5 點(diǎn)啟用該系統(tǒng)時(shí)，該系統(tǒng)就應(yīng)該在這段時(shí)間內(nèi)保證良好的可用狀態(tài)，其余的時(shí)間可以用來進(jìn)行定期維修保養(yǎng)。 我們將圖 23 中對應(yīng)于數(shù)據(jù)，應(yīng)用 /數(shù)據(jù)庫，系統(tǒng)和網(wǎng)絡(luò)的解決方 案稱為高可用性解決方案。災(zāi)備中心就是為了應(yīng)對這種情況而誕生的。 業(yè)務(wù)永續(xù)運(yùn)行 所謂業(yè)務(wù)永續(xù)，是指在遇到嚴(yán)重災(zāi)害事件時(shí)（物理場所的災(zāi)難，人為破壞，自然災(zāi)害等），仍能夠提供保證業(yè)務(wù)運(yùn)行的環(huán)境。 業(yè)務(wù)永續(xù)運(yùn)行應(yīng)該包括風(fēng)險(xiǎn)評估，中斷影響分析，以及避免中斷策略，必須將這些因素充分考慮進(jìn)綜合性業(yè)務(wù)持續(xù)性計(jì)劃 ──即要根據(jù)關(guān)鍵性 業(yè)務(wù)程序而不是技術(shù)來進(jìn)行調(diào)整。 根據(jù)中國人壽的具體情況，我們建議中國人壽災(zāi)備中心的建設(shè)分 4 個(gè)階段進(jìn)行： 中國人壽業(yè)務(wù)永續(xù)環(huán)境實(shí)施方法階段任務(wù)? 建設(shè)基礎(chǔ)架構(gòu)? 為開發(fā)業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃而制訂項(xiàng)目計(jì)劃? 定義災(zāi)難恢復(fù)組織架構(gòu)? 開發(fā)災(zāi)難恢復(fù)流程? 開發(fā)業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃任務(wù)? 演練業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃? 對業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃實(shí)施變更管理? 對業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃進(jìn)行重審 .1. 0業(yè)務(wù)需求業(yè)務(wù)影響分析3. 0開發(fā)和實(shí)施構(gòu)架基礎(chǔ)架構(gòu)開發(fā)業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃4. 0運(yùn)行和維護(hù)恢復(fù)計(jì)劃演習(xí)恢復(fù)計(jì)劃審計(jì)任務(wù)? 理解災(zāi)難恢復(fù)的業(yè)務(wù)需求? 評估風(fēng)險(xiǎn)和風(fēng)險(xiǎn)發(fā)生的概率? 為預(yù)防災(zāi)難發(fā)生而評估當(dāng)前的環(huán)境? 分析開發(fā)業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃將給客戶帶來的好處主要交付物? 風(fēng)險(xiǎn)和業(yè)務(wù)關(guān)聯(lián)性分析? 災(zāi)難預(yù)防分析? 業(yè)務(wù)影響分析報(bào)告主要交付物? 恢復(fù)策略定義? 基礎(chǔ)架構(gòu)技術(shù)設(shè)計(jì)主要交付物? 項(xiàng)目計(jì)劃? 恢復(fù)流程? 業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃2. 0設(shè)計(jì)定義恢復(fù)策略基礎(chǔ)架構(gòu)，技術(shù)方案設(shè)計(jì)任務(wù)? 將恢復(fù)需求翻譯成恢復(fù)測略? 為支持恢復(fù)策略設(shè)計(jì)技術(shù)基礎(chǔ)架構(gòu)主要交付物? 業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃演習(xí)? 變更管理? 恢復(fù)計(jì)劃審計(jì)? 恢復(fù)計(jì)劃更新 圖 24 中國人壽業(yè)務(wù)永續(xù)運(yùn)行環(huán)境實(shí)施方法 業(yè)務(wù)影響分析 執(zhí)行業(yè)務(wù)永續(xù)運(yùn)行項(xiàng)目的第一步就是做業(yè)務(wù)影響分析 (Business Impact Analysis)。這些數(shù)據(jù)可以用來做制訂恢復(fù)和業(yè)務(wù)永續(xù)運(yùn)行策略的基礎(chǔ)。 業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃是災(zāi)備中心最重要的文件之一。管理層應(yīng)該通過對業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃準(zhǔn)備情況的定期驗(yàn)證來表明其對于風(fēng)險(xiǎn)及其消減措施的充分了解和重視。 4. 越來 越多的客戶和合作伙伴也在尋求為其提供金融服務(wù)的企業(yè)在業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃準(zhǔn)備方面的保證。它通過制定恢復(fù)業(yè)務(wù)功能以履行業(yè)務(wù)職責(zé)的方法和規(guī)程來處理風(fēng)險(xiǎn)。 原則 3：企業(yè)應(yīng)該定期、全面和切實(shí)地測試其業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃。測試還將使員工熟悉恢復(fù)站點(diǎn)的位置以及中斷期間所需的恢復(fù)規(guī)程。一些企業(yè)發(fā)現(xiàn)，每月或每季度進(jìn)行測試能夠有效幫助其進(jìn)行中斷處理的準(zhǔn)備。所有的策略和計(jì)劃的假設(shè)都應(yīng)該定期地被檢討以確保其適當(dāng)性，在業(yè)務(wù)范圍和方向發(fā)生變化時(shí)尤其應(yīng)該如此。 4. 其它可能的測試包括： ? 整個(gè)系統(tǒng)的桌面排演測試 ? 員工呼叫測試（人員調(diào)動(dòng)和無調(diào)動(dòng)情況下） ? 備份站點(diǎn)到備份站點(diǎn)的測試（包括與外部服務(wù)提供商） ? 共享服務(wù)替代測試 ? 備份磁帶還原測試以及 ? 關(guān)鍵記錄恢復(fù)（數(shù)字的或書面的） 應(yīng)該準(zhǔn)備好正式的測試文檔和列有經(jīng)驗(yàn)教訓(xùn)以及風(fēng)險(xiǎn)消減措施的測后分析報(bào)告供管理層簽署。沒有這些清晰的定義，有限的資源就有可能被不恰當(dāng)?shù)挠糜诖我幕顒?dòng)。獲取這些信息的常用方法是進(jìn)行業(yè)務(wù)影響分析 。 恢復(fù)時(shí)間目標(biāo) 4. 不同企業(yè)的恢復(fù)時(shí)間目標(biāo)可能不同，范圍從中斷后的一天之內(nèi)到數(shù)分鐘之內(nèi)，非常重要的企業(yè)功能比其它企業(yè)要求有更快的恢復(fù)能力。任何對互 相依賴風(fēng)險(xiǎn)的不當(dāng)管理都可能造成風(fēng)險(xiǎn)疊加而降低運(yùn)行或系統(tǒng)效率，從而有可能損害企業(yè)的運(yùn)行。這些依賴關(guān)系應(yīng)該在制定恢復(fù)策略和恢復(fù)時(shí)間目標(biāo)時(shí)做為 考慮因素。 4. 在與任何外部供應(yīng)商簽訂合同之前，企業(yè)都應(yīng)該確信外來風(fēng)險(xiǎn)在當(dāng)前風(fēng)險(xiǎn)策略可接受的范圍內(nèi)，并且不會破壞自己的業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃。企業(yè)應(yīng)該采取合理步驟以保持適當(dāng)?shù)目刂扑讲⒈Ａ舨扇∵m當(dāng)措施繼續(xù)其關(guān)鍵業(yè)務(wù)運(yùn)行和維護(hù)其業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃不容破壞的權(quán)力。企業(yè)考慮的因素還應(yīng)該包括什么情況下關(guān)鍵人員可能會遭受 嚴(yán)重?fù)p失或無法使用，什么情況下諸如電信這樣的關(guān)鍵服務(wù)會大面積中斷。同一區(qū)域的關(guān)鍵功能和服務(wù)提供者的相互依賴性應(yīng)該得到適當(dāng)消減。 1. 關(guān)鍵人員和信息是難以快速替代的重要資產(chǎn)。 2. 所以說，既要消減集中風(fēng)險(xiǎn)和提高人員安全性，又不能損失業(yè)務(wù)處理和關(guān)鍵人員集中帶來的高效率，這兩者之間作出平衡是很重要的。關(guān)鍵的事務(wù)操作和支持事務(wù)操作的 IT 操作應(yīng)該在不同的區(qū)域。解決方案可能包括處于兩個(gè)分離的操作地點(diǎn)的人員和得到交叉培訓(xùn)的另一個(gè)地點(diǎn)的人員。 ? 災(zāi)備中心的建設(shè)要滿足業(yè)務(wù)的需求 災(zāi)備中心的建設(shè)資金投入、功能、處理能力、管理方式等必須滿足目前的業(yè)務(wù)需求，同時(shí)還要兼顧未來發(fā)展的要求。 ? 災(zāi)備中心的設(shè)備應(yīng)該得到充分利用 災(zāi)備中心的建設(shè)不僅要考率到緊急情況下的使用情況，還要考慮日常如何利用。災(zāi)備中心的處理能力可以與生 產(chǎn)中心不同，但是要滿足業(yè)務(wù)需要。所以，我們建議采用第一種方案。 3. 提供數(shù)據(jù)中心和容災(zāi)中心本地?cái)?shù)據(jù)備份。 4. 沒有 BIA 的分析結(jié)果，無法確定中國人壽在發(fā)生災(zāi)難后所希望達(dá)到的服務(wù)標(biāo)準(zhǔn)，即是否關(guān)閉一些保險(xiǎn)業(yè)務(wù)，是否關(guān)閉一些分支機(jī)構(gòu)（如區(qū)縣級機(jī)構(gòu)），是否限制使用系統(tǒng)的用戶數(shù)量，是否改變正常的業(yè)務(wù)處理流程等。本地設(shè)備和軟件發(fā)生故障時(shí)，本地冗余和備份的設(shè)備和軟件可以幫助恢復(fù)故 障。高端異地容災(zāi)由本地運(yùn)行中心和異地備份中心組成，異地備份中心具有本地運(yùn)行中心的相同業(yè)務(wù)系統(tǒng)，兩個(gè)中心的數(shù)據(jù)是同步的。低端異地容災(zāi)可以對一般業(yè)務(wù)采用遠(yuǎn)端磁帶庫和磁盤進(jìn)行定期備份，業(yè)務(wù)恢復(fù)時(shí)間長，數(shù)據(jù)丟失多，投資成本最低。當(dāng)二級數(shù)據(jù)中心發(fā)生災(zāi)難無法工作時(shí)，地市用戶可以通過因特網(wǎng)上的 VPN 直接與一級數(shù)據(jù)中心通信。 災(zāi)備中心在平時(shí)做為開發(fā)測試中心基于如下假設(shè)： 災(zāi)備中心在需要啟動(dòng)時(shí)，所有服務(wù)器冷啟動(dòng)就可以滿足“恢復(fù)時(shí)間”的要求。 開發(fā)測試環(huán)境還可以用作業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的演習(xí)環(huán)境。 演習(xí)環(huán)境 為了更好的對實(shí)際情況進(jìn)行模擬，建議演習(xí)環(huán)境與災(zāi)備環(huán)境使用統(tǒng)一運(yùn)行平臺。演習(xí)時(shí)使用原來測試環(huán)境使用的磁盤陣列。 二級數(shù)據(jù)中心有生產(chǎn)環(huán)境，運(yùn)行維護(hù)環(huán)境和響應(yīng)中心。應(yīng)用支持組也無法解決時(shí)，再將問題交給開發(fā)組。 容災(zāi)中心的設(shè)備要與數(shù)據(jù)中心的設(shè)備兼容，具體配置通過下述述手段獲得： 1. 根據(jù)對處理性能的要求并參照數(shù)據(jù)中心的配置給出初步建議 2. 搭建測試環(huán)境進(jìn)行測試（兼容性測試和壓力測試） 3. 對 初步建議進(jìn)行調(diào)整，給出最終建議 現(xiàn)假設(shè)災(zāi)備中心只有保險(xiǎn)核心應(yīng)用、財(cái)務(wù)系統(tǒng)、銷售支持系統(tǒng)、客戶服務(wù)系統(tǒng)和電子商務(wù)系統(tǒng)，且災(zāi)備中心這些應(yīng)用系統(tǒng)的處理能力與生產(chǎn)系統(tǒng)相同。 RTO 和 RPO的確定必須在進(jìn)行風(fēng)險(xiǎn)分析和業(yè)務(wù)影響分析后根據(jù)不同的業(yè)務(wù)需求確定。 而 RTO 的實(shí)現(xiàn)以以下兩個(gè)主要方面為前提條件： 第一，實(shí)現(xiàn)災(zāi)難恢復(fù)的主要步驟及操作模式。 可見， RTO 不僅受到技術(shù)的影響，還跟管理流程和具體的業(yè)務(wù)操作密不可分。這種架構(gòu)可以提供災(zāi)難發(fā)生后的自動(dòng)切換或者手工切換功能。 需要針對臺風(fēng)，洪水還是地震設(shè)計(jì)容災(zāi)方案。例如，可能會針對每個(gè)季節(jié)都發(fā)生的颶風(fēng)設(shè)計(jì)一個(gè)快速恢復(fù)方案，而不會針對 100 年都沒有噴發(fā)的火山設(shè)計(jì)方案。 重要的是要考慮容災(zāi)中心擔(dān)任的業(yè)務(wù)角色。 又如，訂單處理中心是完全依靠計(jì)算機(jī)工作的，為避免災(zāi)害對這些設(shè)備造成損害而造成業(yè)務(wù)停頓而建立災(zāi)備中心是有意義的。 ? 對于 RPO 要求低的應(yīng)用（例如，一天以上），可以采用磁帶備份的方法進(jìn)行數(shù)據(jù)復(fù)制。集群心跳線 ( 以太網(wǎng) 或 F DD I) 圖 51 校園集群體系架構(gòu) ? 城市間容災(zāi) ? 本地網(wǎng)絡(luò)和磁盤保護(hù)優(yōu)先 ? 可以自動(dòng)切換的單一集群結(jié)構(gòu) ? 站點(diǎn)間使用物理數(shù)據(jù)復(fù)制 城間集群體系架構(gòu)高可用性網(wǎng)絡(luò)數(shù)據(jù)中心A AB B電源回路1電源回路2數(shù)據(jù)中心 BA39。電源回路3電源回路4數(shù)據(jù)中心 C網(wǎng)絡(luò)網(wǎng)絡(luò)1 或 2 個(gè) 仲裁系統(tǒng)電源回路 5 電源回路 6物理數(shù)據(jù)復(fù)制物理數(shù)據(jù)復(fù)制網(wǎng)絡(luò)網(wǎng)絡(luò)網(wǎng)絡(luò) 網(wǎng)絡(luò) 圖 52 城間集群體系架構(gòu) ? 廣域容災(zāi) ? 租用的高速交換網(wǎng)絡(luò) (用于數(shù)據(jù)鏈路 ) ? 多集群架構(gòu) ? 站點(diǎn)間可以采用物理數(shù)據(jù)復(fù)制或邏輯數(shù)據(jù)復(fù)制 ? 物理數(shù)據(jù)復(fù)制是指利用硬 /軟件進(jìn)行的磁盤裸設(shè)備復(fù)制 ? 邏輯數(shù)據(jù)復(fù)制指利用文件系統(tǒng)或數(shù)據(jù)庫進(jìn)行數(shù)據(jù)復(fù)制 廣域集群體系架構(gòu)數(shù)據(jù)中心 AA AB B電源回路1電源回路2數(shù)據(jù)中心 BA39。電源回路3電源回路4主集群次集群高可用性廣域網(wǎng) ( W A N )使用高可用性的網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)復(fù)制和集群監(jiān)控物理或邏輯數(shù)據(jù)復(fù)制網(wǎng)絡(luò)網(wǎng)絡(luò)網(wǎng)絡(luò)網(wǎng)絡(luò)物理或邏輯數(shù)據(jù)復(fù)制 圖 53 廣域集群體系架構(gòu) 數(shù)據(jù)同步技術(shù)及相關(guān)指標(biāo)： 技術(shù)手段 RPO RTO 磁帶備份 幾小時(shí)～幾星期 硬盤間在線復(fù)制 映像（快照） 幾分鐘～一天 異步復(fù)制 幾秒鐘～幾分鐘 同步復(fù)制 0～幾秒鐘 基于廣域網(wǎng)的集群 幾分鐘～一天 磁帶恢復(fù) 幾天～幾星期 表 51 技術(shù)手段與 RPO、 RTO 的對應(yīng)關(guān)系 不同業(yè)務(wù)類型的服務(wù)級別： Gartner 根據(jù)業(yè)務(wù)類型的不同，提出了如下的 RTO 和 RPO 要求（參見《 Best Practices and Trends in Business Continuity Planning》 20xx 年版）。 基于同城的災(zāi)備中心可以采用 同步數(shù)據(jù)傳輸?shù)姆绞?，保證數(shù)據(jù)不丟失。其中 PVOL 是在數(shù)據(jù)中心（站點(diǎn) A）的存儲，而 SVOL 是位于災(zāi)備中心的存儲。 數(shù)據(jù)中心（站點(diǎn) A）與中間站點(diǎn)（站點(diǎn) B）之間采用同步數(shù)據(jù)傳輸，中間站與災(zāi)備中心（站點(diǎn) C）之間采用異步數(shù)據(jù)傳