【正文】 其中 PVOL 是在數(shù)據(jù)中心（站點 A）的存儲，而 SVOL 是位于災備中心的存儲。集群心跳線 ( 以太網(wǎng) 或 F DD I) 圖 51 校園集群體系架構 ? 城市間容災 ? 本地網(wǎng)絡和磁盤保護優(yōu)先 ? 可以自動切換的單一集群結構 ? 站點間使用物理數(shù)據(jù)復制 城間集群體系架構高可用性網(wǎng)絡數(shù)據(jù)中心A AB B電源回路1電源回路2數(shù)據(jù)中心 BA39。例如，可能會針對每個季節(jié)都發(fā)生的颶風設計一個快速恢復方案，而不會針對 100 年都沒有噴發(fā)的火山設計方案。 而 RTO 的實現(xiàn)以以下兩個主要方面為前提條件： 第一，實現(xiàn)災難恢復的主要步驟及操作模式。 二級數(shù)據(jù)中心有生產(chǎn)環(huán)境，運行維護環(huán)境和響應中心。 災備中心在平時做為開發(fā)測試中心基于如下假設： 災備中心在需要啟動時，所有服務器冷啟動就可以滿足“恢復時間”的要求。本地設備和軟件發(fā)生故障時，本地冗余和備份的設備和軟件可以幫助恢復故 障。災備中心的處理能力可以與生 產(chǎn)中心不同，但是要滿足業(yè)務需要。關鍵的事務操作和支持事務操作的 IT 操作應該在不同的區(qū)域。企業(yè)考慮的因素還應該包括什么情況下關鍵人員可能會遭受 嚴重損失或無法使用，什么情況下諸如電信這樣的關鍵服務會大面積中斷。任何對互 相依賴風險的不當管理都可能造成風險疊加而降低運行或系統(tǒng)效率，從而有可能損害企業(yè)的運行。 4. 其它可能的測試包括： ? 整個系統(tǒng)的桌面排演測試 ? 員工呼叫測試（人員調動和無調動情況下） ? 備份站點到備份站點的測試（包括與外部服務提供商） ? 共享服務替代測試 ? 備份磁帶還原測試以及 ? 關鍵記錄恢復（數(shù)字的或書面的） 應該準備好正式的測試文檔和列有經(jīng)驗教訓以及風險消減措施的測后分析報告供管理層簽署。 原則 3：企業(yè)應該定期、全面和切實地測試其業(yè)務永續(xù)運行計劃。 業(yè)務永續(xù)運行計劃是災備中心最重要的文件之一。 業(yè)務永續(xù)運行 所謂業(yè)務永續(xù)，是指在遇到嚴重災害事件時（物理場所的災難，人為破壞，自然災害等），仍能夠提供保證業(yè)務運行的環(huán)境。服務級別報告和分析。 通過我們第一 階段的調研，也發(fā)現(xiàn)中國人壽從自身的發(fā)展出發(fā)，有建立災備中心的需求。面對各種未可預知的災難，越來越多的企業(yè)將容災作為企業(yè)安全的保障。 IT 流程自動化。災備中心位于與生產(chǎn)中心不同的建筑物中，距離因容災目的而不同。 BIA 的目標： ? 識別和量化每個業(yè)務單元或者資源對整個企業(yè)在財務和運行方面的影 響 ? 識別潛在的失效場景和評估潛在的威脅 ? 幫助定義針對不同的可用性 /災難恢復要求所需要的不同級別的投資情況 ? 規(guī)定恢復策略 ? 建立災難恢復時的恢復流程優(yōu)先級 我們認為，中國人壽應該按照如下步驟進行業(yè)務影響分析： 階段任務? 以定性的觀點評估數(shù)據(jù)? 以定量的觀點評估數(shù)據(jù)? 根據(jù)收集到的數(shù)據(jù)定義恢復目標? 估計恢復期間的損失? 定義最大能夠承受的服務中斷時間任務? 完成報告。 2. 業(yè)務永續(xù)運行計劃應該是可信的，包含清晰的策略和職責，具有可操作性，隨著業(yè)務變化得到更新并經(jīng)過切實的測試。全面性還包括測試人員的意識和準備情況以及對外協(xié)調情況。 原則 5：企業(yè)應該了解和適當?shù)叵麥p關鍵業(yè)務功能互相依賴的風險。 原則 6：企業(yè)應該為大范圍中斷情況制定計劃。在應對大范圍中斷的準備中，企業(yè)應該盡量采用以下三種關鍵業(yè)務功能的分離策略： 第一：主站點和恢復站點分離。 例如，為了在平時提供災備中心設備的利用率，可以利用災備中心的設備進行應用的開發(fā)和測試。這些都決定者與災備中心相連的廣域網(wǎng)布局如何設計。 機房建設 請參照《數(shù)據(jù)中心高端設計》的相應章節(jié)。 演習除了包含主機系統(tǒng)的切換外，還應該包括廣域網(wǎng)的切換，所以在演習前還應該通知相應的電信運營商做好配合。對于不同企業(yè)的同一種業(yè)務， RTO 和 RPO 的需求也會有所不同。要應對什么樣的災難，決定了選擇什么樣的容災方案。這種應用對于生產(chǎn)中心與災備中心之間的網(wǎng)絡連接無要求。而遠程災備中心采用數(shù)據(jù)異步傳輸?shù)姆绞?，保證系統(tǒng)的響應速度。在建立了遠程災備中心 后，應用的切換是在數(shù)據(jù)中心和遠的數(shù)據(jù)中心之間進行的。 B39。一些應用可能只需要提供本地保護，另一些應用可能既需要本地保護，又需要具有遠程容災功能。包括災難恢復的運作完全采用實時自動方式， 及災難恢復的運作采用人工干預與部分自動相結合的方式。當一級數(shù)據(jù)中心的響應中心有關于應用的問題無法解決時，將問題傳遞給位于災備中心的應用支持組。 開發(fā)測試環(huán)境 由于開發(fā)測試不穩(wěn)定，經(jīng)常會進行修改或者重新啟動系統(tǒng)，所以要求開發(fā)測試環(huán)境的數(shù)據(jù)與災備環(huán)境的數(shù)據(jù)分開存儲―存儲在不同的物理設備上或同一設備的不同分區(qū)上。 異地容災是在本地發(fā)生大災難時由異地設備提供業(yè)務容災恢復。 災備中心的建設方案 災備中心的建設方案由兩種： 1. 建立一個獨立的災備中心 2. 建立兩個數(shù)據(jù)中心，兩個中心之間互為備份 但是 ，如果建立兩個數(shù)據(jù)中心，管理流程會變得復雜，人員配備會增加，運行成本也會提高（例如，為了進行雙向數(shù)據(jù)同步，要租用多條通信線路）。部署在另外區(qū)域的一批工作人員用于接管關鍵業(yè)務功能。 2. 大范圍中斷可能會增加依賴性風險。這些依賴性的例子有： ? 企業(yè)中的 ? 企業(yè)之間（如銀保通） ? 對供應商（如災難恢復服務供應商） ? 對基礎設施提供者（如電信） 業(yè)務永續(xù)運行計劃應該將復雜的依賴關系考慮進去并且盡可能地消減這些風險。它是定義關鍵業(yè)務功能的恢復時間目標 的基礎。因此，通過對業(yè)務永續(xù)運行計劃的測試來測量其可用性和有效性是很重要的。 1. 企業(yè)的業(yè)務永續(xù)運行計劃是董事會和管理層的責任。也不是高可用性，災難恢復或者容災的實現(xiàn)。 高可用性 可用性并不是一個模糊概念，實際上它能用數(shù)學方法來精確地表示。這 5 個步驟將伴隨建設的全過程，是一個不斷循環(huán)往復的過程。 本文是中國人壽 IT 戰(zhàn)略規(guī)劃 項目的高端設計之一災備中心高端設計。培訓員工。在使用高可用性方案進行系統(tǒng)恢復時，一般只需要 IT 部門參與，而與業(yè)務部門無關。 業(yè)務影響分析是確定不同業(yè)務流程對企業(yè)的影響程度。 原則 2：企業(yè)應該將業(yè)務永續(xù)運行計劃融入到日常的業(yè)務活動中使之成為良好的工作習慣。 3. 全面和切實：業(yè)務方法的所有部分都應該得到切實的測試（比如從前臺到支持和處理部分），其中包括測試恢復站點所提供基礎設施的連接性、功能性和負載能力。 3. 由于不同 企業(yè)的業(yè)務導向和顧客預期不同，所以其關鍵業(yè)務功能也有所不同。企業(yè)還應該事先向其服務供應商尋求其業(yè)務永續(xù)運行計劃得到定期測試的保證。例如，當今的許多企業(yè)設想將主站點的同一批人員用于在恢復站點對其關鍵業(yè)務功能進行恢復的工作。因此災備中心也應該與生產(chǎn)中心一樣，對關鍵業(yè)務應用采用高可用性架構，以防止由于單點故障而引起宕機 ? 災備中心應該可以提供演習環(huán)境 演習是保證業(yè)務永續(xù)運行計劃有效性的重 要手段，每年至少應該舉行一次。 2. 交通便捷 3. 主要電信服務商可以提供語音及專用數(shù)據(jù)網(wǎng)絡服務 4. 機房環(huán)境要求與主中心相同 5. 可以容納足夠的工作人員辦公 6. 備份中心的所有應用系統(tǒng)必須經(jīng)過嚴格的測試，確保業(yè)務系統(tǒng)能夠正常運行 7. 備份中心與數(shù)據(jù)中心間網(wǎng)絡帶寬應能保證兩地間數(shù)據(jù)的可靠同步。 影像系統(tǒng)雖然在二級數(shù)據(jù)中心，但是在一級數(shù)據(jù)中心保存有影像數(shù)據(jù)，所以二級數(shù)據(jù)中心發(fā)生故障時，用戶可以使用一級數(shù)據(jù)中心的影像數(shù)據(jù)。 演習環(huán)境應該有不同于災備環(huán)境的磁盤空間存儲演習用數(shù)據(jù)。 RTO（ Recovery Time Objective）：即恢復時間目標，主要指的是所能容忍的業(yè)務停止服務的最長時間，也就是從災難發(fā)生到業(yè)務系統(tǒng)恢復服務功能所需要的最短時間周期。 在地理位置上分離的容災體系架構可以對非計劃的停機提供保護，因為一個地點的故障影響不到另一點。針對不同的需求有不同的方案，但是無論什么容災方案都會遵循一些基本原則： ? 通過地理位置上的分離保護節(jié)點 ? 通過復制保護數(shù)據(jù) ? 使用冗余電源 ? 建立高可用性網(wǎng)絡 這些指導原則還要加上標準的高可用性原則，例如采用冗余的物理訪問通道（主機到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。 體系架構建議： 中國人壽是全國性的大企業(yè)，數(shù)據(jù)中心是為全國各省服務的，為了最大限度的降低災害的影響，我們建議災備中心最好遠離生產(chǎn)數(shù)據(jù)中心，所以我們建議中國人壽采用“廣域集群體系架構”。 同步復制本地站點 遠地站點復制應用等待遠程 I/ O 完成應用繼續(xù)處理? 應用向 P V O L 寫數(shù)據(jù)（ 1 ）? 當 P V O L 向 S V O L 復制數(shù)據(jù)時（ 2amp。B39。但是，如果最容易發(fā)生的災難是地震，生產(chǎn)線和為生產(chǎn)線服務的計算機會在災難中同時損 壞，在這種情況下，容災就沒有什么必要了。 體系架構 容災的體系架構不僅要能處理單點故障，還要能處理多點故障，甚至能處理數(shù)據(jù)中心、整個企業(yè)甚至某一區(qū)域性的災害。同時響應中心， IT 服務管理環(huán)境和運行維護環(huán)境也切換到災備中心。主要進行的是壓力測試，系統(tǒng)聯(lián)調等。在有大災難時，關鍵業(yè)務的客戶端的 請求自動被送往異地備份中心的服務器，而異地備份中心的數(shù)據(jù)庫提供已同步的數(shù)據(jù)響應客戶端的請求，從而保證數(shù)據(jù)的完整性和一致性，保證業(yè)務 7 天 24 小時不間斷運行。 災備中心建設的內容包括： 1. 面向數(shù)據(jù)中心提供網(wǎng)絡通訊設備、通訊線路、存儲網(wǎng)絡設備的全面容錯和異地容災。 結論 綜上所述，結合中國人壽 IT 戰(zhàn)略規(guī)劃和中國人壽 IT 架構的要求，我們認為中國人壽災備中心的建設應按照如下策略進行 ： ? 災備中心的建設需要得到高層領導的支持 災備中心的建設和運維需要大量人力、物力的配合，涉及到許多部門。這些鏈接應該得到測試。最終，依賴性風險將會落在企業(yè)身上而無法回避。 關鍵業(yè)務功能 2. 在危機中，全部恢復所有的業(yè)務功能可能是不實際的。 2. 定期：企業(yè)對其業(yè)務永續(xù)運行計劃一年至少要測試一次。企業(yè)業(yè)務優(yōu)先情況的變化可能影響到其業(yè)務永續(xù)運行計劃準備的效率。業(yè)務永續(xù)的關鍵，在于了解什么業(yè)務程序在業(yè)務中事關重大，并確定影響該程序的所有因素。許多現(xiàn)代化系統(tǒng)需要一天24 小時、一年 365 天連續(xù)不間斷運轉 (有時也稱為 724 或 36524)。分析達到服務目標的潛在風險。： ； :； 群： 中國人壽 IT 戰(zhàn)略規(guī)劃項目 災備中心高端設計 版本號 起草人 :中國人壽 IT 規(guī)劃項目組 北京市朝陽區(qū)建國路 112 號 中國惠普大廈（ 100022） 電話： 01065643888 傳真： 01065668278 版權說明 本文件中出現(xiàn)的任何文字敘述、文檔格式、插圖、照片、方法、過程等內容，除另有特別注明，版權均屬中國惠普有限公司咨詢與集成事業(yè)部所有，受到有關產(chǎn)權及版權法保護。評估可供選擇的技術、服務以及解決方案。一個可用性為 %的 36524系統(tǒng)一年的平均故障時間為 小時 (525 分鐘 )，而要想讓系統(tǒng)的中斷時間在一年中只有 3 分鐘的話，系統(tǒng)必須有 %的可用性。綜合性風險分析，有助于企業(yè)做出有關應對，遷移或轉移風險的業(yè)務決策。所以驗證應該定期進行更新。經(jīng)常性的測試對于保證業(yè)務永續(xù)運行 計劃的效率是至關重要的。所以，企業(yè)應該確定其關鍵的業(yè)務功能以及這些操作中斷情況下的潛在損失（經(jīng)濟或非經(jīng)濟方面）。所以，企業(yè)應采取合理的步驟消減這些風險（如同電信供應商討論確保通信線路通過不同的交換局進行路由的問題）。 原則 7：企業(yè)應該采用分離策略來消減集中 風險。沒有企業(yè)高層領導的支持是不行的。 2. 面向數(shù)據(jù)中心提供部分關鍵業(yè)務系統(tǒng)的容錯和異地容災。中端異地容災與高端異地容災大部分相同，所不同的是對重要業(yè)務采用中端容災硬件和軟件，有數(shù)據(jù)丟失，業(yè)務短暫間斷，投資成本較低。其技術實現(xiàn)方面的要求與開發(fā)測試環(huán)境相同，即也需要獨立的存儲環(huán)境支持。 5 災備中心設備、網(wǎng)絡性能要求 災備中心的容量 災備中心的處理能力受到幾方面的制約： ? 運行與災備中心的關鍵應用系統(tǒng)的數(shù)量 ? 災備中心運行時的聯(lián)機系統(tǒng)用戶的數(shù)量 ? 災備中心運行時能夠提供的應用系統(tǒng)響應速度 所以災備中心的容量必須等到業(yè)務影響分析完成后才能明確。 能夠抵御多點故障甚 至區(qū)域故障的集群結構是一種特殊的集群結構，稱為容災體系架構。而實現(xiàn)本地切換會更有意義。 B39。 3 ），應用等待（ 1 ）? 當復制完成后（ 4 ），應用繼續(xù)處理異步復制任何距離應用認為 ” I/O已經(jīng)完成 ”遠程 I/O 有輕微延遲本地站點分裂? 應用向 P V O L 寫數(shù)據(jù)（ 1 ）? 應用認為 I/O 已經(jīng)完成（ 2 ）而繼續(xù)進行處理? P V O L 向 S V O L 復制數(shù)據(jù)同步本地磁盤復制主戰(zhàn)點 “ A ”中間站點 “ B ”恢復站點 C遠地站點重同步異步任何距離重同步掛起多點接力不管多遠都能防止數(shù)據(jù)丟失額外拷貝，防