【正文】 應(yīng)該定期對其進行檢查、維護和測試以確保其具有及時性、高效性和可操作性。 2. 定期：企業(yè)對其業(yè)務(wù)永續(xù)運行計劃一年至少要測試一次。相互依 賴性，特別是對企業(yè) 控制范圍之外的外部團體的依賴性應(yīng)該被全面測試。 關(guān)鍵業(yè)務(wù)功能 2. 在危機中，全部恢復(fù)所有的業(yè)務(wù)功能可能是不實際的。 1. 企業(yè)具有將風(fēng)險和過程分散和分布在本地、區(qū)域內(nèi)和全球范圍的傾向。最終，依賴性風(fēng)險將會落在企業(yè)身上而無法回避。 1. 9’11 事件表明，企業(yè)應(yīng)該為大范圍中斷情況制定計劃。這些鏈接應(yīng)該得到測試。關(guān)鍵業(yè)務(wù)功能的主 站點和恢復(fù)站點應(yīng)在不同的區(qū)域內(nèi)。 結(jié)論 綜上所述，結(jié)合中國人壽 IT 戰(zhàn)略規(guī)劃和中國人壽 IT 架構(gòu)的要求，我們認為中國人壽災(zāi)備中心的建設(shè)應(yīng)按照如下策略進行 ： ? 災(zāi)備中心的建設(shè)需要得到高層領(lǐng)導(dǎo)的支持 災(zāi)備中心的建設(shè)和運維需要大量人力、物力的配合，涉及到許多部門。 ? 災(zāi)備中心的建設(shè)以用先進、成熟的方法論做為指導(dǎo)，分階段進行 先進、成熟的方法論為災(zāi)備中心建設(shè)的成功提供了保障。 災(zāi)備中心建設(shè)的內(nèi)容包括： 1. 面向數(shù)據(jù)中心提供網(wǎng)絡(luò)通訊設(shè)備、通訊線路、存儲網(wǎng)絡(luò)設(shè)備的全面容錯和異地容災(zāi)。 5. 沒有 IT 基礎(chǔ)架構(gòu)設(shè)計，無法明確災(zāi)備中心需要的設(shè)備類型和數(shù)量，所以無法進行設(shè)備選購，無法得出對機房配電，空調(diào)，地板承重以及布線的具體要 求 6. 如果數(shù)據(jù)中心的應(yīng)用部署沒有最終完成，無法得到詳細的應(yīng)用之間的數(shù)據(jù)依賴關(guān)系，無法得到應(yīng)用正常運行需要何種質(zhì)量的數(shù)據(jù)，無法取得應(yīng)用正常啟動和異常啟動需要的時間，這些都是決定采用何種恢復(fù)技術(shù)的關(guān)鍵因素，也是衡量災(zāi)備中心的設(shè)計是否能夠達到要求的恢復(fù)時間的重要依據(jù)。在有大災(zāi)難時，關(guān)鍵業(yè)務(wù)的客戶端的 請求自動被送往異地備份中心的服務(wù)器，而異地備份中心的數(shù)據(jù)庫提供已同步的數(shù)據(jù)響應(yīng)客戶端的請求，從而保證數(shù)據(jù)的完整性和一致性，保證業(yè)務(wù) 7 天 24 小時不間斷運行。 4 災(zāi)備中心的功能要求 如果災(zāi)備中心平時處于冷備份狀態(tài)，那么為了更有效地利用災(zāi)備中心的設(shè)備，災(zāi)備中心除了擔(dān)負災(zāi)難發(fā)生時的應(yīng)急處理中心的任務(wù)外，在平時還可以做為應(yīng)用開發(fā)中心使用。主要進行的是壓力測試，系統(tǒng)聯(lián)調(diào)等。 災(zāi)備中心功能示意圖 運行維護 ( 備份 )開發(fā)環(huán)境軟件編寫響應(yīng)中心 ( 備份 )預(yù)生產(chǎn)環(huán)境軟件和硬件的驗收測試向生產(chǎn)系統(tǒng)發(fā)布IT 服務(wù) ( 備份 )生產(chǎn)環(huán)境( 備份 )軟件測試測試環(huán)境災(zāi)備中心S y s t e m s A c c e s s R e f e r r a l o r e s c a lati o n H e lp/I n f o r m a t io n R e q u e s t s 響應(yīng)中心影像服務(wù)器和辦公自動化服務(wù)器運行維護網(wǎng)絡(luò)管理 ( 數(shù)據(jù)中心局域網(wǎng) )中國人壽網(wǎng)絡(luò)管理組 )系統(tǒng)運行系統(tǒng)管理性能管理數(shù)據(jù)庫管理應(yīng)用管理用戶管理存儲和備份恢復(fù)日程管理響應(yīng)中心詢問和事件管理IT 服務(wù)帳戶 / 客戶管理服務(wù)計劃服務(wù)級別管理成本管理應(yīng)急計劃容量管理問題管理可用性管理變更管理配置管理生產(chǎn)環(huán)境生產(chǎn)環(huán)境運行維護詢問和事件管理系統(tǒng)運行 ( N T)網(wǎng)絡(luò)管理 ( 本地 L A N )核心應(yīng)用系統(tǒng)管理軟件中國人壽內(nèi)部用戶中國人壽客戶一級數(shù)據(jù)中心應(yīng)用支持二線支持三線支持開發(fā)二 級數(shù)據(jù)中心核心應(yīng)用系統(tǒng)管理軟件 圖 41 容災(zāi)中心的功能 如圖 41 所示，一級數(shù)據(jù)中心內(nèi)部有生產(chǎn)環(huán)境，運行維護環(huán) 境， IT 服務(wù)管理環(huán)境和響應(yīng)中心。同時響應(yīng)中心， IT 服務(wù)管理環(huán)境和運行維護環(huán)境也切換到災(zāi)備中心。 RPO 和 RTO 是業(yè)務(wù)影響分析的結(jié)論之一。 體系架構(gòu) 容災(zāi)的體系架構(gòu)不僅要能處理單點故障，還要能處理多點故障，甚至能處理數(shù)據(jù)中心、整個企業(yè)甚至某一區(qū)域性的災(zāi)害。例如，如果所在地易發(fā)生地震，那么另一處容災(zāi)站點就不應(yīng)選擇在相同的城市，因為地震會影響相當(dāng)大的區(qū)域。但是，如果最容易發(fā)生的災(zāi)難是地震，生產(chǎn)線和為生產(chǎn)線服務(wù)的計算機會在災(zāi)難中同時損 壞，在這種情況下，容災(zāi)就沒有什么必要了。 ? 對于 RPO 要求較高的應(yīng)用（例如，幾個小時），可以采用異步數(shù)據(jù)同步的方式 ? 對于 RPO 要求高的應(yīng)用（例如，幾分鐘），可以采用同步數(shù)據(jù)同步的方式 針對數(shù)據(jù)同步方式（同步或者異步），有兩類方案 1. 采用基于主機上運行的軟件進行 要求生產(chǎn)中心與災(zāi)備中心之間有高速 IP 網(wǎng)絡(luò) 2. 采用磁盤陣列進行 要求生產(chǎn)中心與災(zāi)備中心之間有高速存儲網(wǎng)絡(luò) 容災(zāi)的體系架構(gòu) 可以分成以下三種： ? 校園容災(zāi) ? 包含多個建筑物 ? 可以自動切換的單一集群結(jié)構(gòu) ? 不同站點間的磁盤鏡像 校園集群體系架構(gòu)長波端口 = 1 0 km光纖交換機光纖交換機光纖交換機光纖交換機數(shù)據(jù)鏡像（使用硬件或基于主機的軟件）數(shù)據(jù)中心 A電源回路1電源回路2AC L 1B短波端口 = 5 0 0 米數(shù)據(jù)中心 B電源回路3電源回路4A39。B39。通過同步與異步的結(jié)合，既保證了不丟失數(shù)據(jù)，又保證了系統(tǒng)的響應(yīng)速度。 同步復(fù)制本地站點 遠地站點復(fù)制應(yīng)用等待遠程 I/ O 完成應(yīng)用繼續(xù)處理? 應(yīng)用向 P V O L 寫數(shù)據(jù)（ 1 ）? 當(dāng) P V O L 向 S V O L 復(fù)制數(shù)據(jù)時（ 2amp。中間站點只需要配備存儲設(shè)備，而不需要服務(wù)器設(shè)備。 體系架構(gòu)建議： 中國人壽是全國性的大企業(yè)，數(shù)據(jù)中心是為全國各省服務(wù)的，為了最大限度的降低災(zāi)害的影響，我們建議災(zāi)備中心最好遠離生產(chǎn)數(shù)據(jù)中心，所以我們建議中國人壽采用“廣域集群體系架構(gòu)”。B39。針對不同的需求有不同的方案，但是無論什么容災(zāi)方案都會遵循一些基本原則： ? 通過地理位置上的分離保護節(jié)點 ? 通過復(fù)制保護數(shù)據(jù) ? 使用冗余電源 ? 建立高可用性網(wǎng)絡(luò) 這些指導(dǎo)原則還要加上標準的高可用性原則，例如采用冗余的物理訪問通道（主機到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。 業(yè)務(wù)到底能承受多長時間的宕機？一些業(yè)務(wù)也許可以承受 1 或 2 天的恢復(fù)時間，而另一些業(yè)務(wù)可能需要在幾分鐘內(nèi)恢復(fù)。 在地理位置上分離的容災(zāi)體系架構(gòu)可以對非計劃的停機提供保護，因為一個地點的故障影響不到另一點。 第二，災(zāi)難恢復(fù)有關(guān)制度及運作模式的建立。 RTO（ Recovery Time Objective）：即恢復(fù)時間目標，主要指的是所能容忍的業(yè)務(wù)停止服務(wù)的最長時間，也就是從災(zāi)難發(fā)生到業(yè)務(wù)系統(tǒng)恢復(fù)服務(wù)功能所需要的最短時間周期。 災(zāi)備中心有開發(fā)組，應(yīng)用支持組，開發(fā)環(huán)境，測試環(huán)境和預(yù)生產(chǎn)環(huán)境。 演習(xí)環(huán)境應(yīng)該有不同于災(zāi)備環(huán)境的磁盤空間存儲演習(xí)用數(shù)據(jù)。 災(zāi)難發(fā)生時，用災(zāi)備系統(tǒng)的啟動硬盤啟動，系統(tǒng)進入災(zāi)備系統(tǒng)狀態(tài)工作 。 影像系統(tǒng)雖然在二級數(shù)據(jù)中心，但是在一級數(shù)據(jù)中心保存有影像數(shù)據(jù)，所以二級數(shù)據(jù)中心發(fā)生故障時，用戶可以使用一級數(shù)據(jù)中心的影像數(shù)據(jù)。大災(zāi)難使得本地的網(wǎng)絡(luò)、服務(wù)器、存儲設(shè)備宕機，技術(shù)支持人員不能及時到現(xiàn)場恢復(fù)，業(yè)務(wù)系統(tǒng)中斷，從而造成重大損失和災(zāi)難。 2. 交通便捷 3. 主要電信服務(wù)商可以提供語音及專用數(shù)據(jù)網(wǎng)絡(luò)服務(wù) 4. 機房環(huán)境要求與主中心相同 5. 可以容納足夠的工作人員辦公 6. 備份中心的所有應(yīng)用系統(tǒng)必須經(jīng)過嚴格的測試，確保業(yè)務(wù)系統(tǒng)能夠正常運行 7. 備份中心與數(shù)據(jù)中心間網(wǎng)絡(luò)帶寬應(yīng)能保證兩地間數(shù)據(jù)的可靠同步。 我們的設(shè)計基于如下假設(shè)： 由于連續(xù)性災(zāi)難（即主數(shù)據(jù)中心發(fā)生災(zāi)難尚未恢復(fù)正常運行時，災(zāi)備中心又因發(fā)生重大災(zāi)難而停止運行）發(fā)生的概率極小，我們在設(shè)計中不考率對于連續(xù)性災(zāi)難的恢復(fù)問題。因此災(zāi)備中心也應(yīng)該與生產(chǎn)中心一樣，對關(guān)鍵業(yè)務(wù)應(yīng)用采用高可用性架構(gòu)，以防止由于單點故障而引起宕機 ? 災(zāi)備中心應(yīng)該可以提供演習(xí)環(huán)境 演習(xí)是保證業(yè)務(wù)永續(xù)運行計劃有效性的重 要手段，每年至少應(yīng)該舉行一次。 第三：功能內(nèi)分離。例如，當(dāng)今的許多企業(yè)設(shè)想將主站點的同一批人員用于在恢復(fù)站點對其關(guān)鍵業(yè)務(wù)功能進行恢復(fù)的工作。另外，它們還應(yīng)該考慮到長期中斷情況下對業(yè)務(wù)永續(xù)運行計劃的范圍進行擴大和深化的問題。企業(yè)還應(yīng)該事先向其服務(wù)供應(yīng)商尋求其業(yè)務(wù)永續(xù)運行計劃得到定期測試的保證。企業(yè)也應(yīng)該了解支持這些關(guān)鍵功能的相關(guān)業(yè)務(wù)方法，尤其是業(yè)務(wù)永續(xù)運行計劃準備和恢復(fù)優(yōu)先順序方面的。 3. 由于不同 企業(yè)的業(yè)務(wù)導(dǎo)向和顧客預(yù)期不同，所以其關(guān)鍵業(yè)務(wù)功能也有所不同。 1. 建立恢復(fù)策略可以使企業(yè)以有序 和事先定義的方式執(zhí)行業(yè)務(wù)永續(xù)運行計劃以減少中斷時間和經(jīng)濟損失。 3. 全面和切實：業(yè)務(wù)方法的所有部分都應(yīng)該得到切實的測試（比如從前臺到支持和處理部分），其中包括測試恢復(fù)站點所提供基礎(chǔ)設(shè)施的連接性、功能性和負載能力。技術(shù)、業(yè)務(wù)方法以及員工角色和責(zé)任的變化將影響和降低業(yè)務(wù)永續(xù)運行計劃的效率并最終影響到企業(yè)的準備狀態(tài)。 原則 2：企業(yè)應(yīng)該將業(yè)務(wù)永續(xù)運行計劃融入到日常的業(yè)務(wù)活動中使之成為良好的工作習(xí)慣。? 定義角色和責(zé)任? 召開項目啟動會議定義階段任務(wù)? 對意外情況和災(zāi)難進行定義和分類? 定義上報流程? 定義通知流程? 搜集備份需求? 識別和消除潛在的風(fēng)險和災(zāi)害? 建立 / 記錄財產(chǎn)清單中國人壽開發(fā)業(yè)務(wù)永續(xù)運行計劃的方法主要交付物? 計劃的目標和范圍? 項目啟動會議? 項目計劃? 項目組內(nèi)每個業(yè)務(wù)單元的角色和責(zé)任主要交付物? 災(zāi)難分類? 上報和通知流程? 歸檔的財產(chǎn)清單主要交付物? 重審，演習(xí)，維護的計劃和日程? 業(yè)務(wù)永續(xù)運行計劃主要交付物? 恢復(fù)流程? 激活流程 圖 26 中國人壽開發(fā)業(yè)務(wù)永續(xù)運行計劃的方法 根據(jù)中國人壽的具體情況，我們認為中國人壽在制訂和執(zhí)行業(yè)務(wù)永續(xù)運行計劃時應(yīng)參考如下原則： 原則 1: 董事會和管理層應(yīng)該對其企業(yè)的業(yè)務(wù)永續(xù)運行計劃準備情況負責(zé)。 業(yè)務(wù)影響分析是確定不同業(yè)務(wù)流程對企業(yè)的影響程度。業(yè)務(wù)永續(xù)不是專門的技術(shù)，產(chǎn)品或服務(wù)。在使用高可用性方案進行系統(tǒng)恢復(fù)時，一般只需要 IT 部門參與，而與業(yè)務(wù)部門無關(guān)。 業(yè)務(wù)連續(xù)的幾個層次 圖 23 業(yè)務(wù)連續(xù)的層次 如圖 23 所示，根據(jù)受保護對象的不同，保證業(yè)務(wù)連續(xù)運行所使用的技術(shù)不盡相同，當(dāng)然，實現(xiàn)的成本也有較大的差異。培訓(xùn)員工。 業(yè)務(wù)驅(qū)動導(dǎo)致停機的原因 硬件故障只占很小的百分比來源 : Gartner Group, 9 月 20xx非計劃 計劃軟件2 6 %網(wǎng)絡(luò)1 5 %應(yīng)用和數(shù)據(jù)庫6 5 %1 0 %硬件 , 網(wǎng)絡(luò) ,操作系統(tǒng)系統(tǒng)軟件處理批處理作業(yè)1 3 %1 0 %備份 /恢復(fù)環(huán)境 2%硬件2 1 %人為錯誤1 3 %環(huán)境因素安全3%未知原因1 2 %1 0 % 圖 21 停機因素 惠普公司在總結(jié)了大量經(jīng)驗的基礎(chǔ)上提出了建設(shè)高可用性環(huán)境的 5 個步驟。 本文是中國人壽 IT 戰(zhàn)略規(guī)劃 項目的高端設(shè)計之一災(zāi)備中心高端設(shè)計。其中涉及到如下問題： ? 災(zāi)備中心建設(shè)的策略 提出了業(yè)務(wù)永續(xù)運行的概念，并建議中國人壽的災(zāi)備中心具有保證關(guān)鍵業(yè)務(wù)永續(xù)運行的能力 ? 災(zāi)備中心建設(shè)的建議 介紹了災(zāi)備中心建設(shè)應(yīng)該考慮的問題，例如災(zāi)備中心地點的選擇，技術(shù)的選擇，關(guān)于省市級數(shù)據(jù)中心的災(zāi)備中心建設(shè)的考慮等 ? 災(zāi)備中心的功能要求 ? 災(zāi)備中心設(shè)備、網(wǎng)絡(luò)性能要求，以及災(zāi)備中心的安全體系 ? 災(zāi)備中心的管理體系 介紹災(zāi)備中心的組織架構(gòu)以及管理流程，質(zhì)量控制等 2 災(zāi)備中心建設(shè)的策略 在信息時代，數(shù)據(jù)是企業(yè)創(chuàng)造商業(yè)價值的生產(chǎn)資料，數(shù)據(jù)的丟失將 為企業(yè)帶來毀滅性的災(zāi)難。這 5 個步驟將伴隨建設(shè)的全過程，是一個不斷循環(huán)往復(fù)的過程。測試并投入生產(chǎn)。 高可用性 可用性并不是一個模糊概念，實際上它能用數(shù)學(xué)方法來精確地表示。 災(zāi)備中心 當(dāng)遇到大規(guī)模的自然或人為災(zāi)害，例如火災(zāi)，地震等，辦公場所 /機房也許會遭到破壞。也不是高可用性，災(zāi)難恢復(fù)或者容災(zāi)的實現(xiàn)。優(yōu)先級的制訂主要根據(jù)分析有形的和無形的影響，對停止業(yè)務(wù)時間長短的接受情況和為使影響降至最低的最低需求。 1. 企業(yè)的業(yè)務(wù)永續(xù)運行計劃是董事會和管理層的責(zé)任。 1. 業(yè)務(wù)永續(xù)運行計劃是面向風(fēng)險和事先反應(yīng)的方法，它包括對業(yè)務(wù)分枝的全面理解、事件響應(yīng)、危機管理和對外聯(lián)絡(luò)。因此，通過對業(yè)務(wù)永續(xù)運行計劃的測試來測量其可用性和有效性是很重要的。企業(yè)應(yīng)該能夠證明其測試項目充分涵蓋了定性和定量等各方面的問題。它是定義關(guān)鍵業(yè)務(wù)功能的恢復(fù)時間目標 的基礎(chǔ)。但是，與完成大額支付業(yè)務(wù)、清算和結(jié)算事務(wù)、履行每日資金和擔(dān)保職責(zé)、管理客戶風(fēng)險以及維護客戶、投資者或公眾信心有關(guān)的功能通常被視作關(guān)鍵的。這些依賴性的例子有： ? 企業(yè)中的 ? 企業(yè)之間（如銀保通） ? 對供應(yīng)商（如災(zāi)難恢復(fù)服務(wù)供應(yīng)商） ? 對基礎(chǔ)設(shè)施提供者（如電信） 業(yè)務(wù)永續(xù)運行計劃應(yīng)該將復(fù)雜的依賴關(guān)系考慮進去并且盡可能地消減這些風(fēng)險。 5. 在外部供應(yīng)商異常終止或破產(chǎn)的事件中，企業(yè)尋找其它合適的供應(yīng)商并進行安置和部署可能要花費數(shù)月的時間，這