【正文】 應(yīng)該定期對其進(jìn)行檢查、維護(hù)和測試以確保其具有及時性、高效性和可操作性。 2. 定期：企業(yè)對其業(yè)務(wù)永續(xù)運(yùn)行計劃一年至少要測試一次。相互依 賴性，特別是對企業(yè) 控制范圍之外的外部團(tuán)體的依賴性應(yīng)該被全面測試。 關(guān)鍵業(yè)務(wù)功能 2. 在危機(jī)中，全部恢復(fù)所有的業(yè)務(wù)功能可能是不實際的。 1. 企業(yè)具有將風(fēng)險和過程分散和分布在本地、區(qū)域內(nèi)和全球范圍的傾向。最終，依賴性風(fēng)險將會落在企業(yè)身上而無法回避。 1. 9’11 事件表明，企業(yè)應(yīng)該為大范圍中斷情況制定計劃。這些鏈接應(yīng)該得到測試。關(guān)鍵業(yè)務(wù)功能的主 站點和恢復(fù)站點應(yīng)在不同的區(qū)域內(nèi)。 結(jié)論 綜上所述，結(jié)合中國人壽 IT 戰(zhàn)略規(guī)劃和中國人壽 IT 架構(gòu)的要求，我們認(rèn)為中國人壽災(zāi)備中心的建設(shè)應(yīng)按照如下策略進(jìn)行 ： ? 災(zāi)備中心的建設(shè)需要得到高層領(lǐng)導(dǎo)的支持 災(zāi)備中心的建設(shè)和運(yùn)維需要大量人力、物力的配合，涉及到許多部門。 ? 災(zāi)備中心的建設(shè)以用先進(jìn)、成熟的方法論做為指導(dǎo)，分階段進(jìn)行 先進(jìn)、成熟的方法論為災(zāi)備中心建設(shè)的成功提供了保障。 災(zāi)備中心建設(shè)的內(nèi)容包括： 1. 面向數(shù)據(jù)中心提供網(wǎng)絡(luò)通訊設(shè)備、通訊線路、存儲網(wǎng)絡(luò)設(shè)備的全面容錯和異地容災(zāi)。 5. 沒有 IT 基礎(chǔ)架構(gòu)設(shè)計，無法明確災(zāi)備中心需要的設(shè)備類型和數(shù)量，所以無法進(jìn)行設(shè)備選購，無法得出對機(jī)房配電，空調(diào)，地板承重以及布線的具體要 求 6. 如果數(shù)據(jù)中心的應(yīng)用部署沒有最終完成，無法得到詳細(xì)的應(yīng)用之間的數(shù)據(jù)依賴關(guān)系，無法得到應(yīng)用正常運(yùn)行需要何種質(zhì)量的數(shù)據(jù)，無法取得應(yīng)用正常啟動和異常啟動需要的時間，這些都是決定采用何種恢復(fù)技術(shù)的關(guān)鍵因素，也是衡量災(zāi)備中心的設(shè)計是否能夠達(dá)到要求的恢復(fù)時間的重要依據(jù)。在有大災(zāi)難時，關(guān)鍵業(yè)務(wù)的客戶端的 請求自動被送往異地備份中心的服務(wù)器，而異地備份中心的數(shù)據(jù)庫提供已同步的數(shù)據(jù)響應(yīng)客戶端的請求，從而保證數(shù)據(jù)的完整性和一致性，保證業(yè)務(wù) 7 天 24 小時不間斷運(yùn)行。 4 災(zāi)備中心的功能要求 如果災(zāi)備中心平時處于冷備份狀態(tài)，那么為了更有效地利用災(zāi)備中心的設(shè)備，災(zāi)備中心除了擔(dān)負(fù)災(zāi)難發(fā)生時的應(yīng)急處理中心的任務(wù)外，在平時還可以做為應(yīng)用開發(fā)中心使用。主要進(jìn)行的是壓力測試，系統(tǒng)聯(lián)調(diào)等。 災(zāi)備中心功能示意圖 運(yùn)行維護(hù) ( 備份 )開發(fā)環(huán)境軟件編寫響應(yīng)中心 ( 備份 )預(yù)生產(chǎn)環(huán)境軟件和硬件的驗收測試向生產(chǎn)系統(tǒng)發(fā)布IT 服務(wù) ( 備份 )生產(chǎn)環(huán)境( 備份 )軟件測試測試環(huán)境災(zāi)備中心S y s t e m s A c c e s s R e f e r r a l o r e s c a lati o n H e lp/I n f o r m a t io n R e q u e s t s 響應(yīng)中心影像服務(wù)器和辦公自動化服務(wù)器運(yùn)行維護(hù)網(wǎng)絡(luò)管理 ( 數(shù)據(jù)中心局域網(wǎng) )中國人壽網(wǎng)絡(luò)管理組 )系統(tǒng)運(yùn)行系統(tǒng)管理性能管理數(shù)據(jù)庫管理應(yīng)用管理用戶管理存儲和備份恢復(fù)日程管理響應(yīng)中心詢問和事件管理IT 服務(wù)帳戶 / 客戶管理服務(wù)計劃服務(wù)級別管理成本管理應(yīng)急計劃容量管理問題管理可用性管理變更管理配置管理生產(chǎn)環(huán)境生產(chǎn)環(huán)境運(yùn)行維護(hù)詢問和事件管理系統(tǒng)運(yùn)行 ( N T)網(wǎng)絡(luò)管理 ( 本地 L A N )核心應(yīng)用系統(tǒng)管理軟件中國人壽內(nèi)部用戶中國人壽客戶一級數(shù)據(jù)中心應(yīng)用支持二線支持三線支持開發(fā)二 級數(shù)據(jù)中心核心應(yīng)用系統(tǒng)管理軟件 圖 41 容災(zāi)中心的功能 如圖 41 所示，一級數(shù)據(jù)中心內(nèi)部有生產(chǎn)環(huán)境，運(yùn)行維護(hù)環(huán) 境， IT 服務(wù)管理環(huán)境和響應(yīng)中心。同時響應(yīng)中心， IT 服務(wù)管理環(huán)境和運(yùn)行維護(hù)環(huán)境也切換到災(zāi)備中心。 RPO 和 RTO 是業(yè)務(wù)影響分析的結(jié)論之一。 體系架構(gòu) 容災(zāi)的體系架構(gòu)不僅要能處理單點故障，還要能處理多點故障，甚至能處理數(shù)據(jù)中心、整個企業(yè)甚至某一區(qū)域性的災(zāi)害。例如，如果所在地易發(fā)生地震，那么另一處容災(zāi)站點就不應(yīng)選擇在相同的城市，因為地震會影響相當(dāng)大的區(qū)域。但是，如果最容易發(fā)生的災(zāi)難是地震，生產(chǎn)線和為生產(chǎn)線服務(wù)的計算機(jī)會在災(zāi)難中同時損 壞，在這種情況下，容災(zāi)就沒有什么必要了。 ? 對于 RPO 要求較高的應(yīng)用（例如，幾個小時），可以采用異步數(shù)據(jù)同步的方式 ? 對于 RPO 要求高的應(yīng)用（例如，幾分鐘），可以采用同步數(shù)據(jù)同步的方式 針對數(shù)據(jù)同步方式（同步或者異步），有兩類方案 1. 采用基于主機(jī)上運(yùn)行的軟件進(jìn)行 要求生產(chǎn)中心與災(zāi)備中心之間有高速 IP 網(wǎng)絡(luò) 2. 采用磁盤陣列進(jìn)行 要求生產(chǎn)中心與災(zāi)備中心之間有高速存儲網(wǎng)絡(luò) 容災(zāi)的體系架構(gòu) 可以分成以下三種： ? 校園容災(zāi) ? 包含多個建筑物 ? 可以自動切換的單一集群結(jié)構(gòu) ? 不同站點間的磁盤鏡像 校園集群體系架構(gòu)長波端口 = 1 0 km光纖交換機(jī)光纖交換機(jī)光纖交換機(jī)光纖交換機(jī)數(shù)據(jù)鏡像（使用硬件或基于主機(jī)的軟件）數(shù)據(jù)中心 A電源回路1電源回路2AC L 1B短波端口 = 5 0 0 米數(shù)據(jù)中心 B電源回路3電源回路4A39。B39。通過同步與異步的結(jié)合，既保證了不丟失數(shù)據(jù)，又保證了系統(tǒng)的響應(yīng)速度。 同步復(fù)制本地站點 遠(yuǎn)地站點復(fù)制應(yīng)用等待遠(yuǎn)程 I/ O 完成應(yīng)用繼續(xù)處理? 應(yīng)用向 P V O L 寫數(shù)據(jù)（ 1 ）? 當(dāng) P V O L 向 S V O L 復(fù)制數(shù)據(jù)時（ 2amp。中間站點只需要配備存儲設(shè)備，而不需要服務(wù)器設(shè)備。 體系架構(gòu)建議： 中國人壽是全國性的大企業(yè)，數(shù)據(jù)中心是為全國各省服務(wù)的，為了最大限度的降低災(zāi)害的影響，我們建議災(zāi)備中心最好遠(yuǎn)離生產(chǎn)數(shù)據(jù)中心，所以我們建議中國人壽采用“廣域集群體系架構(gòu)”。B39。針對不同的需求有不同的方案，但是無論什么容災(zāi)方案都會遵循一些基本原則： ? 通過地理位置上的分離保護(hù)節(jié)點 ? 通過復(fù)制保護(hù)數(shù)據(jù) ? 使用冗余電源 ? 建立高可用性網(wǎng)絡(luò) 這些指導(dǎo)原則還要加上標(biāo)準(zhǔn)的高可用性原則，例如采用冗余的物理訪問通道（主機(jī)到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。 業(yè)務(wù)到底能承受多長時間的宕機(jī)？一些業(yè)務(wù)也許可以承受 1 或 2 天的恢復(fù)時間，而另一些業(yè)務(wù)可能需要在幾分鐘內(nèi)恢復(fù)。 在地理位置上分離的容災(zāi)體系架構(gòu)可以對非計劃的停機(jī)提供保護(hù)，因為一個地點的故障影響不到另一點。 第二，災(zāi)難恢復(fù)有關(guān)制度及運(yùn)作模式的建立。 RTO（ Recovery Time Objective）：即恢復(fù)時間目標(biāo)，主要指的是所能容忍的業(yè)務(wù)停止服務(wù)的最長時間，也就是從災(zāi)難發(fā)生到業(yè)務(wù)系統(tǒng)恢復(fù)服務(wù)功能所需要的最短時間周期。 災(zāi)備中心有開發(fā)組，應(yīng)用支持組，開發(fā)環(huán)境，測試環(huán)境和預(yù)生產(chǎn)環(huán)境。 演習(xí)環(huán)境應(yīng)該有不同于災(zāi)備環(huán)境的磁盤空間存儲演習(xí)用數(shù)據(jù)。 災(zāi)難發(fā)生時，用災(zāi)備系統(tǒng)的啟動硬盤啟動，系統(tǒng)進(jìn)入災(zāi)備系統(tǒng)狀態(tài)工作 。 影像系統(tǒng)雖然在二級數(shù)據(jù)中心，但是在一級數(shù)據(jù)中心保存有影像數(shù)據(jù)，所以二級數(shù)據(jù)中心發(fā)生故障時，用戶可以使用一級數(shù)據(jù)中心的影像數(shù)據(jù)。大災(zāi)難使得本地的網(wǎng)絡(luò)、服務(wù)器、存儲設(shè)備宕機(jī)，技術(shù)支持人員不能及時到現(xiàn)場恢復(fù)，業(yè)務(wù)系統(tǒng)中斷，從而造成重大損失和災(zāi)難。 2. 交通便捷 3. 主要電信服務(wù)商可以提供語音及專用數(shù)據(jù)網(wǎng)絡(luò)服務(wù) 4. 機(jī)房環(huán)境要求與主中心相同 5. 可以容納足夠的工作人員辦公 6. 備份中心的所有應(yīng)用系統(tǒng)必須經(jīng)過嚴(yán)格的測試，確保業(yè)務(wù)系統(tǒng)能夠正常運(yùn)行 7. 備份中心與數(shù)據(jù)中心間網(wǎng)絡(luò)帶寬應(yīng)能保證兩地間數(shù)據(jù)的可靠同步。 我們的設(shè)計基于如下假設(shè)： 由于連續(xù)性災(zāi)難（即主數(shù)據(jù)中心發(fā)生災(zāi)難尚未恢復(fù)正常運(yùn)行時，災(zāi)備中心又因發(fā)生重大災(zāi)難而停止運(yùn)行）發(fā)生的概率極小，我們在設(shè)計中不考率對于連續(xù)性災(zāi)難的恢復(fù)問題。因此災(zāi)備中心也應(yīng)該與生產(chǎn)中心一樣，對關(guān)鍵業(yè)務(wù)應(yīng)用采用高可用性架構(gòu)，以防止由于單點故障而引起宕機(jī) ? 災(zāi)備中心應(yīng)該可以提供演習(xí)環(huán)境 演習(xí)是保證業(yè)務(wù)永續(xù)運(yùn)行計劃有效性的重 要手段，每年至少應(yīng)該舉行一次。 第三：功能內(nèi)分離。例如，當(dāng)今的許多企業(yè)設(shè)想將主站點的同一批人員用于在恢復(fù)站點對其關(guān)鍵業(yè)務(wù)功能進(jìn)行恢復(fù)的工作。另外，它們還應(yīng)該考慮到長期中斷情況下對業(yè)務(wù)永續(xù)運(yùn)行計劃的范圍進(jìn)行擴(kuò)大和深化的問題。企業(yè)還應(yīng)該事先向其服務(wù)供應(yīng)商尋求其業(yè)務(wù)永續(xù)運(yùn)行計劃得到定期測試的保證。企業(yè)也應(yīng)該了解支持這些關(guān)鍵功能的相關(guān)業(yè)務(wù)方法，尤其是業(yè)務(wù)永續(xù)運(yùn)行計劃準(zhǔn)備和恢復(fù)優(yōu)先順序方面的。 3. 由于不同 企業(yè)的業(yè)務(wù)導(dǎo)向和顧客預(yù)期不同，所以其關(guān)鍵業(yè)務(wù)功能也有所不同。 1. 建立恢復(fù)策略可以使企業(yè)以有序 和事先定義的方式執(zhí)行業(yè)務(wù)永續(xù)運(yùn)行計劃以減少中斷時間和經(jīng)濟(jì)損失。 3. 全面和切實：業(yè)務(wù)方法的所有部分都應(yīng)該得到切實的測試（比如從前臺到支持和處理部分），其中包括測試恢復(fù)站點所提供基礎(chǔ)設(shè)施的連接性、功能性和負(fù)載能力。技術(shù)、業(yè)務(wù)方法以及員工角色和責(zé)任的變化將影響和降低業(yè)務(wù)永續(xù)運(yùn)行計劃的效率并最終影響到企業(yè)的準(zhǔn)備狀態(tài)。 原則 2：企業(yè)應(yīng)該將業(yè)務(wù)永續(xù)運(yùn)行計劃融入到日常的業(yè)務(wù)活動中使之成為良好的工作習(xí)慣。? 定義角色和責(zé)任? 召開項目啟動會議定義階段任務(wù)? 對意外情況和災(zāi)難進(jìn)行定義和分類? 定義上報流程? 定義通知流程? 搜集備份需求? 識別和消除潛在的風(fēng)險和災(zāi)害? 建立 / 記錄財產(chǎn)清單中國人壽開發(fā)業(yè)務(wù)永續(xù)運(yùn)行計劃的方法主要交付物? 計劃的目標(biāo)和范圍? 項目啟動會議? 項目計劃? 項目組內(nèi)每個業(yè)務(wù)單元的角色和責(zé)任主要交付物? 災(zāi)難分類? 上報和通知流程? 歸檔的財產(chǎn)清單主要交付物? 重審，演習(xí)，維護(hù)的計劃和日程? 業(yè)務(wù)永續(xù)運(yùn)行計劃主要交付物? 恢復(fù)流程? 激活流程 圖 26 中國人壽開發(fā)業(yè)務(wù)永續(xù)運(yùn)行計劃的方法 根據(jù)中國人壽的具體情況，我們認(rèn)為中國人壽在制訂和執(zhí)行業(yè)務(wù)永續(xù)運(yùn)行計劃時應(yīng)參考如下原則： 原則 1: 董事會和管理層應(yīng)該對其企業(yè)的業(yè)務(wù)永續(xù)運(yùn)行計劃準(zhǔn)備情況負(fù)責(zé)。 業(yè)務(wù)影響分析是確定不同業(yè)務(wù)流程對企業(yè)的影響程度。業(yè)務(wù)永續(xù)不是專門的技術(shù)，產(chǎn)品或服務(wù)。在使用高可用性方案進(jìn)行系統(tǒng)恢復(fù)時，一般只需要 IT 部門參與，而與業(yè)務(wù)部門無關(guān)。 業(yè)務(wù)連續(xù)的幾個層次 圖 23 業(yè)務(wù)連續(xù)的層次 如圖 23 所示，根據(jù)受保護(hù)對象的不同，保證業(yè)務(wù)連續(xù)運(yùn)行所使用的技術(shù)不盡相同，當(dāng)然，實現(xiàn)的成本也有較大的差異。培訓(xùn)員工。 業(yè)務(wù)驅(qū)動導(dǎo)致停機(jī)的原因 硬件故障只占很小的百分比來源 : Gartner Group, 9 月 20xx非計劃 計劃軟件2 6 %網(wǎng)絡(luò)1 5 %應(yīng)用和數(shù)據(jù)庫6 5 %1 0 %硬件 , 網(wǎng)絡(luò) ,操作系統(tǒng)系統(tǒng)軟件處理批處理作業(yè)1 3 %1 0 %備份 /恢復(fù)環(huán)境 2%硬件2 1 %人為錯誤1 3 %環(huán)境因素安全3%未知原因1 2 %1 0 % 圖 21 停機(jī)因素 惠普公司在總結(jié)了大量經(jīng)驗的基礎(chǔ)上提出了建設(shè)高可用性環(huán)境的 5 個步驟。 本文是中國人壽 IT 戰(zhàn)略規(guī)劃 項目的高端設(shè)計之一災(zāi)備中心高端設(shè)計。其中涉及到如下問題： ? 災(zāi)備中心建設(shè)的策略 提出了業(yè)務(wù)永續(xù)運(yùn)行的概念，并建議中國人壽的災(zāi)備中心具有保證關(guān)鍵業(yè)務(wù)永續(xù)運(yùn)行的能力 ? 災(zāi)備中心建設(shè)的建議 介紹了災(zāi)備中心建設(shè)應(yīng)該考慮的問題，例如災(zāi)備中心地點的選擇，技術(shù)的選擇，關(guān)于省市級數(shù)據(jù)中心的災(zāi)備中心建設(shè)的考慮等 ? 災(zāi)備中心的功能要求 ? 災(zāi)備中心設(shè)備、網(wǎng)絡(luò)性能要求，以及災(zāi)備中心的安全體系 ? 災(zāi)備中心的管理體系 介紹災(zāi)備中心的組織架構(gòu)以及管理流程，質(zhì)量控制等 2 災(zāi)備中心建設(shè)的策略 在信息時代，數(shù)據(jù)是企業(yè)創(chuàng)造商業(yè)價值的生產(chǎn)資料，數(shù)據(jù)的丟失將 為企業(yè)帶來毀滅性的災(zāi)難。這 5 個步驟將伴隨建設(shè)的全過程，是一個不斷循環(huán)往復(fù)的過程。測試并投入生產(chǎn)。 高可用性 可用性并不是一個模糊概念，實際上它能用數(shù)學(xué)方法來精確地表示。 災(zāi)備中心 當(dāng)遇到大規(guī)模的自然或人為災(zāi)害，例如火災(zāi)，地震等，辦公場所 /機(jī)房也許會遭到破壞。也不是高可用性，災(zāi)難恢復(fù)或者容災(zāi)的實現(xiàn)。優(yōu)先級的制訂主要根據(jù)分析有形的和無形的影響，對停止業(yè)務(wù)時間長短的接受情況和為使影響降至最低的最低需求。 1. 企業(yè)的業(yè)務(wù)永續(xù)運(yùn)行計劃是董事會和管理層的責(zé)任。 1. 業(yè)務(wù)永續(xù)運(yùn)行計劃是面向風(fēng)險和事先反應(yīng)的方法，它包括對業(yè)務(wù)分枝的全面理解、事件響應(yīng)、危機(jī)管理和對外聯(lián)絡(luò)。因此，通過對業(yè)務(wù)永續(xù)運(yùn)行計劃的測試來測量其可用性和有效性是很重要的。企業(yè)應(yīng)該能夠證明其測試項目充分涵蓋了定性和定量等各方面的問題。它是定義關(guān)鍵業(yè)務(wù)功能的恢復(fù)時間目標(biāo) 的基礎(chǔ)。但是，與完成大額支付業(yè)務(wù)、清算和結(jié)算事務(wù)、履行每日資金和擔(dān)保職責(zé)、管理客戶風(fēng)險以及維護(hù)客戶、投資者或公眾信心有關(guān)的功能通常被視作關(guān)鍵的。這些依賴性的例子有： ? 企業(yè)中的 ? 企業(yè)之間（如銀保通） ? 對供應(yīng)商（如災(zāi)難恢復(fù)服務(wù)供應(yīng)商） ? 對基礎(chǔ)設(shè)施提供者（如電信） 業(yè)務(wù)永續(xù)運(yùn)行計劃應(yīng)該將復(fù)雜的依賴關(guān)系考慮進(jìn)去并且盡可能地消減這些風(fēng)險。 5. 在外部供應(yīng)商異常終止或破產(chǎn)的事件中，企業(yè)尋找其它合適的供應(yīng)商并進(jìn)行安置和部署可能要花費(fèi)數(shù)月的時間，這