【文章內容簡介】 務提出了明確要求。2004年10月開始，國務院信息辦組織銀行、電力、鐵路、民航、證券、保險、海關和稅務八大重點行業(yè)信息系統(tǒng)主管部門共同出臺了《重要信息系統(tǒng)災難恢復指南》?！吨改稀窞楦鲉挝粚嵤碾y恢復提供了最低參考標準，對行業(yè)災難恢復管理規(guī)范的制定具有指導意義。　　二、信息系統(tǒng)災難風險分析　　（一）大型機構常見信息系統(tǒng)風險共性分析　　從機構常見災難種類及其影響的統(tǒng)計分類來看，大多數(shù)大型企業(yè)、機構常見的信息系統(tǒng)災難性故障類型及其對IT系統(tǒng)造成的影響可以從下表得到體現(xiàn)?！　”? 災難類型及可能帶來的影響序號災害名稱對IT系統(tǒng)可能造成的影響1地震機房、機器損毀，電力、通信中斷，人員傷亡2轟炸、爆炸機房、機器損毀，電力、通信中斷，人員傷亡3火災機房、機器損毀，電力、通信中斷，人員傷亡4水災機器損壞、電力中斷，人員受阻5電力供應中斷機器停止運行6環(huán)境污染機器運行不正常，人員受損7飛機墜毀機房、機器損毀，電力、通信中斷，人員傷亡8火山爆發(fā)機房、機器損毀，電力、通信中斷，人員傷亡9恐怖襲擊機房、機器損毀，電力、通信中斷，人員傷亡10大風雪交通受阻，人員不能到位，電力通信可能中斷11病毒的發(fā)作系統(tǒng)運轉不正常甚至停機12災難的機器故障系統(tǒng)停機13陰謀破壞系統(tǒng)運行不正?！　臋C構設施差異情況分析災難風險危害性，不同設施發(fā)生災難時對IT系統(tǒng)破壞程度也有差別，差別分析如下表所示。表2機構設施風險分析列表序號風險對IT系統(tǒng)可能造成的影響1建筑環(huán)境物理安全機房倒塌2基礎設施的脆弱性漏水、漏電，電磁干擾3數(shù)據(jù)中心的環(huán)境位置泥石流，粉塵、有毒氣體，造成機房故障 4不滿情緒的雇員蓄意破壞系統(tǒng)，誤操作5數(shù)據(jù)安全非法入侵6關鍵技術點文檔丟失，關鍵技術人員離職7系統(tǒng)支持和恢復配件不齊、支持人員不夠　　從災難的可控制程度來看，根據(jù)不同的風險，采取可能的控制方法對風險的控制程度情況，如下表所示。表3 風險可控程度分析列表序號風險類型可能的控制方法可控制程度1自然的提高抵御自然災害的能力低2人為的嚴格管理制度中3技術的采用冗余配備，加強技術培訓和管理高4政治的低5無意的嚴格管理制度中6故意的增強安全防范意識中7內部加強思想教育中8外部的加強聯(lián)系溝通中　　根據(jù)機構共性風險分析結果表明，很多災難的可控程度偏低，暴露了各機構的信息系統(tǒng)脆弱性，這種脆弱性會導致財產(chǎn)損失和失去關鍵性核心職能。因此，除了采取必要的措施對風險進行控制之外，建立災難備份系統(tǒng)是增強信息安全的必由之路?！　。ǘ┒悇障到y(tǒng)信息系統(tǒng)災難風險分析　　針對稅務系統(tǒng)可能存在的風險因素，通過對稅務系統(tǒng)過去十年來主要停機事故的故障調研分析，稅務系統(tǒng)主要災難類型分布比例，如下圖所示?！　≡谏蠄D各項主要災難類型中，數(shù)據(jù)庫故障、軟件故障、應用故障、網(wǎng)絡等技術類故障導致的風險成為稅務容災備份系統(tǒng)的首要抵御目標，而自然災害、社會動亂和恐怖活動等大型災難類型盡管發(fā)生概率很低，但鑒于其對正常運營和社會影響范圍極大，因此也是稅務系統(tǒng)需要重點防范的災難風險類型?！　臑碾y發(fā)生的可控度分析，90%的災難通過完備的事前災難預防和完善的容災項目實施，都能得到有效控制，10%的事件由于導致災難發(fā)生的主觀性、低概率和非預見性，成為整個系統(tǒng)內數(shù)據(jù)安全和業(yè)務保障的不可控因素。因此，在災備中心的規(guī)劃和建設過程中，應在全面分析考慮災難類型基礎上，加強對各類災難風險的針對性防范工作。　　三、金稅工程三期對容災備份體系建設的規(guī)劃　　按照金三規(guī)劃，總局在廣東南海建成南海數(shù)據(jù)中心。南海數(shù)據(jù)中心作為總局數(shù)據(jù)中心的災備中心，主要服務范圍包括總局和71個?。ㄗ灾螀^(qū)、直轄市、計劃單列市）級國稅局和地稅局的數(shù)據(jù)中心，其最終要實現(xiàn)的總體目標是為各單位提供由總局統(tǒng)一組織開發(fā)的主要核心業(yè)務系統(tǒng)的應用級災備，為總局提供核心業(yè)務系統(tǒng)以外的其它系統(tǒng)的數(shù)據(jù)級災難備份服務。災備恢復內容如下表所示。表4 納入備份恢復的IT系統(tǒng)列表序號系 統(tǒng)1征收管理系統(tǒng)征收子系統(tǒng)管理子系統(tǒng)檢查子系統(tǒng)執(zhí)行子系統(tǒng)處罰子系統(tǒng)救濟子系統(tǒng)2行政管理系統(tǒng)文件處理子系統(tǒng)人力資源子系統(tǒng)財務管理子系統(tǒng)監(jiān)察監(jiān)督子系統(tǒng)后勤保障子系統(tǒng)輔助辦公子系統(tǒng)3決策支持系統(tǒng)稅收業(yè)務子系統(tǒng)行政管理子系統(tǒng)4外部信息系統(tǒng)為納稅人服務子系統(tǒng)外部信息交換子系統(tǒng)國際情報交換子系統(tǒng)5CA/RA認證　　南海數(shù)據(jù)中心面向總局的災備恢復內容，具體包括提供征收管理系統(tǒng)、稅務行政系統(tǒng)、決策支持系統(tǒng)等系統(tǒng)以及與核心業(yè)務系統(tǒng)相關的部分外部信息系統(tǒng)的應用級災難備份恢復和CA認證系統(tǒng)的應用級恢復，對其他系統(tǒng)則提供數(shù)據(jù)級災難備份恢復服務。面向省級國、地稅局的恢復內容具體包括提供征收管理系統(tǒng)以及與核心業(yè)務系統(tǒng)相關的部分外部信息系統(tǒng)的應用級災難備份恢復，對其他系統(tǒng)提供數(shù)據(jù)級災難備份恢復服務?！　≡跒膫浠謴湍芰Ψ矫?，南海數(shù)據(jù)中心的建設目標是保證北京數(shù)據(jù)中心和兩個以上省級數(shù)據(jù)中心同時發(fā)生災難時，具備核心業(yè)務應用系統(tǒng)的接管能力，同時還要保證為其它未發(fā)生災難的總局或省級單位提供數(shù)據(jù)級容災備份?！　≡跒膫浠謴偷燃壱?guī)劃方面，南海數(shù)據(jù)中心的設計必須達到國家規(guī)定的災難恢復等級五級標準，其災難恢復時間和恢復點目標為核心業(yè)務應用系統(tǒng)災難恢復時間（RTO）=48小時，恢復點目標（RPO）=24小時?！　∷摹鴥热轂膫浞萁ㄔO案例　　目前，國內各行業(yè)已經(jīng)在災難備份系統(tǒng)的建設方面具有一些成功經(jīng)驗，其中走在前列的主要是金融行業(yè)。下表是國內一些銀行在容災備份系統(tǒng)建設中的案例。表5銀行業(yè)災備成功案例單位災備地點主機類型備份技術工商銀行異地IBM S390IBM PPRC磁盤數(shù)據(jù)復制技術中國光大銀行同城HP SuperDomeEMC SRDF磁盤數(shù)據(jù)復制技術廣東發(fā)展銀行異地IBM AS400MIMIX數(shù)據(jù)復制軟件深圳發(fā)展銀行同城IBM S390EMC SRDF磁盤數(shù)據(jù)復制技術福建興業(yè)銀行同城＋異地IBM RS6000EMC SRDF磁盤數(shù)據(jù)復制技術中國建設銀行異地IBM S390+IBM RS6000IBM PPRC+EMC SRDF磁盤數(shù)據(jù)復制技術國家開發(fā)銀行同城＋異地HP SuperDomeHDS Truecope磁盤數(shù)據(jù)復制技術福建興業(yè)銀行同城＋異地IBM RS6000EMC SRDF磁盤數(shù)據(jù)復制技術招商銀行異地IBM AS400MIMIX數(shù)據(jù)復制軟件　　五、深圳國稅同城異址項目建設實踐　?。ㄒ唬┥钲趪愋畔⑾到y(tǒng)建設概況　　深圳國稅信息系統(tǒng)應用架構基本采用了三層架構，數(shù)據(jù)的存儲和保管全面實現(xiàn)市級大集中。主機以IBM小型機和PC服務器為主，存儲設備有EMC DMX和IBM SHARK，備份設備有IBM 3584磁帶庫，數(shù)據(jù)庫基本使用ORACLE9I，應用服務器使用WEBLOGIC.　　（二）深圳國稅信息系統(tǒng)運行存在風險分析　　單點故障的風險。在避免信息系統(tǒng)單點故障方面，目前已經(jīng)采取了必要措施，重要系統(tǒng)應用服務器采用WEBLIGIC集群方式，數(shù)據(jù)庫的部署采用ORACLE RAC方式，數(shù)據(jù)存儲采用RAID0+1或RAID5保護方式。但是，仍然存在單點故障的風險，如存儲設備本身和生產(chǎn)中心機房。　　本地磁帶庫進行數(shù)據(jù)備份、恢復的風險。目前數(shù)據(jù)備份做法是對本地數(shù)據(jù)通過TSM每天進行兩次增量備份，每周進行兩次全量備份，每天的備份磁帶復制一份通過郵遞方式異地存放。這種做法存在風險包括：磁帶備份的數(shù)據(jù)恢復時間較長；當機房出現(xiàn)重大自然災害后異地存放的磁帶無法進行數(shù)據(jù)恢復；磁帶庫備份策略無法快速、靈活的恢復由人為操作失誤造成的數(shù)據(jù)丟失?！　。ㄈ┥钲趪愅钱愔啡轂膫浞萁ㄔO的必要性　　同城異址備份站點建設周期較短，能有效填補時間空擋。總局南海數(shù)據(jù)中心面向全國國、地稅71個省級單位提供災備服務，涉及省級單位數(shù)量多、各地管理水平和技術水平參差不齊、基礎設施建設狀況有別，因此總局容災建設無法短期完成。深圳國稅目前已有大量的業(yè)務系統(tǒng)在運行，如何在總局容災建設完成之前保障數(shù)據(jù)的安全和業(yè)務的連續(xù)成為一項重要的工作。同城異址備份站點建設因建設周期較短，可以有效填補時間空擋?！　⊥钱愔穫浞菡军c能夠實現(xiàn)本地自行開發(fā)系統(tǒng)的容災備份。南海數(shù)據(jù)中心為各省提供的容災服務只限于總局推廣的業(yè)務系統(tǒng)，深圳國稅自行開發(fā)的重要應用系統(tǒng)如EAI、銀稅、網(wǎng)上業(yè)務系統(tǒng)等不在總局服務范圍。同城異址備份站點能夠實現(xiàn)這些系統(tǒng)和數(shù)據(jù)的災難備份，是總局南海數(shù)據(jù)中心的有益補充。　　同城異址備份站點既能實現(xiàn)應用級的災難備份，又可作為第二生產(chǎn)中心分擔運行壓力。同城異址備份站點因為與生產(chǎn)中心、區(qū)分局辦稅服務大廳的距離相對接近，對容災建設的網(wǎng)絡資源要求比較低，比較容易實現(xiàn)應用級的容災備份和災難后的快速恢復；同時，備份站點建成后，還可由備份站點提供數(shù)據(jù)分析、查詢、開發(fā)測試等服務，甚至還可作為第二生產(chǎn)中心，運行部分業(yè)務系統(tǒng)，與主生產(chǎn)中心互為補充。　?。ㄋ模┥钲趪愅钱愔啡轂膫浞萁ㄔO的目標及建設原則　　深圳國稅同城異址容災備份建設的目標，一是保障數(shù)據(jù)安全，備份站點能為生產(chǎn)中心保留一份完整的、可供災難恢復的數(shù)據(jù)；二是保障災后業(yè)務及時恢復，災難發(fā)生后，備份站點能在確定的時間內接替生產(chǎn)中心的運行，并重新提供業(yè)務服務；三是提高災難抵御能力，減少災難打擊造成的經(jīng)濟損失和社會影響?！　∩钲趪愅钱愔啡轂膫浞萁ㄔO遵循原則，一是統(tǒng)籌規(guī)劃，建設過程中做好資源整合，堅持統(tǒng)籌規(guī)劃、分步實施；二是等級保護，針對面臨的風險和各項業(yè)務停頓所帶來的損失進行分析，確定災備渠道和業(yè)務恢復時間目標，選擇合適的災備方案；三是資源共享，充分利用現(xiàn)有資源；四是平戰(zhàn)結合，在不影響災難備份與恢復的前提下，充分利用災備中心的各類資源，開展培訓、演練、開發(fā)、數(shù)據(jù)應用等業(yè)務?！　。ㄎ澹┥钲趪愅钱愔啡轂膫浞萁ㄔO實施情況　　系統(tǒng)架構及設備部署　　深圳國稅同城異址容災備份系統(tǒng)架構如上圖所示。在數(shù)據(jù)復制工具軟件選型方面，經(jīng)多款工具軟件試用比較，最后采用飛康軟件公司的數(shù)據(jù)復制軟件IPStor CDP（持續(xù)數(shù)據(jù)保護工具）。在設備部署工作中，首先在生產(chǎn)中心配置一臺裝有復制軟件的管理服務器，實現(xiàn)生產(chǎn)系統(tǒng)數(shù)據(jù)實時保護，同時向災備中心實時復制數(shù)據(jù)；然后在災備中心配置一臺裝有數(shù)據(jù)復制軟件的管理服務器，實現(xiàn)遠程數(shù)據(jù)復制和快速恢復。　　本地數(shù)據(jù)的保護　　采用磁盤鏡像保護方法，實現(xiàn)本地數(shù)據(jù)保護。通過IBM操作系統(tǒng)提供的邏輯卷管理鏡像功能實現(xiàn)原主存儲系統(tǒng)到CDP存儲系統(tǒng)的本地數(shù)據(jù)實時保護，這種保護模式可以有效應對本地存儲設備的單點故障引起的數(shù)據(jù)災難。在主存儲系統(tǒng)發(fā)生設備故障時，CDP系統(tǒng)可以立即提供存儲服務，接管生產(chǎn)存儲。通過CDP設備提供的邏輯快照功能，還可獲得多達256個全備份歷史點。這種多備份歷史點的模式可以應對任何數(shù)據(jù)邏輯故障，包括數(shù)據(jù)庫邏輯錯誤、人為誤操作和病毒等引起的數(shù)據(jù)丟失、文件丟失、數(shù)據(jù)庫崩潰等?！　∵h程數(shù)據(jù)復制和容災　　在生產(chǎn)中心和容災備份站點之間通過數(shù)據(jù)復制工具實現(xiàn)生產(chǎn)數(shù)據(jù)遠程實時容災備份，當生產(chǎn)環(huán)境發(fā)生災難后，備份站點完成業(yè)務接管。　　容災備份恢復演練　　演練在容災建設工作中必不可少，通過演練可以幫助管理人員提高操作水平，提高應急恢復速度；演練工作同時需要控制風險，降低對生產(chǎn)系統(tǒng)的影響。演練實現(xiàn)方式有兩種，一是定期或隨時利用容災中心CDP所提供的多點快照，加載快照到容災主機，同時啟動容災數(shù)據(jù)庫和應用進行演練和驗證；二是切斷復制鏈路，直接提取容災中心的數(shù)據(jù)盤，啟動容災中心應用，業(yè)務演練驗證后既可以將生產(chǎn)端數(shù)據(jù)同步災備端數(shù)據(jù)，消除災備端由于演練產(chǎn)生的垃圾數(shù)據(jù)，又可以將災備端數(shù)據(jù)同步生產(chǎn)端數(shù)據(jù)，保留由于演練產(chǎn)生的真實數(shù)據(jù)?！　。┥钲趪愅钱愔啡轂膫浞萁ㄔO特點及效益評估　　深圳國稅同城異址容災備份建設，具有以下幾個特點：一是不僅能夠完成硬件設備出現(xiàn)故障后的業(yè)務恢復，而且還可以實現(xiàn)最為常見的數(shù)據(jù)丟失和人為錯誤出現(xiàn)后的業(yè)務恢復；二是生產(chǎn)中心與災備中心的主機和存儲設備不受生產(chǎn)廠商和型號的限制，主備中心平臺無緊密關聯(lián)；三是數(shù)據(jù)復制通過TCP/IP協(xié)議傳輸，數(shù)據(jù)分割為較小的單元，大幅節(jié)省網(wǎng)絡傳輸資源；四是可以生成256份不同時間點的數(shù)據(jù)拷貝，這些虛擬的數(shù)據(jù)拷貝可供其它應用使用，如軟件測試、查詢與備份；五是采用差異比對技術，大幅提高容災演練、容災系統(tǒng)恢復過程的效率和可操作性，復雜過程簡單化；六是采用集成的容災備份管理和全圖形化的容災備份系統(tǒng)操作界面，原本非常復雜的容災備份系統(tǒng)管理變得極其簡單?！　∩钲趪愅钱愔啡轂膫浞萁ǔ墒褂煤螅〉昧肆己玫男б妫禾峁┝送钱愔啡轂膫浞菽芰?，能夠防御一定級別的災難，確保信息系統(tǒng)在災難發(fā)生時可以繼續(xù)提供服務；災備中心通過臨時租用電信沙河機房的方式，有利于容災工作網(wǎng)絡架構的建設，節(jié)省了網(wǎng)絡資源的運營費用，同時可以充分利用運營商專業(yè)的機房管理服務；采用的備份技術能夠支持當前各種品牌、檔次的主機、存儲設備，在主、備站點靈活選擇設備可以大幅降低硬件投入；多份不同時間點的數(shù)據(jù)拷貝可以同時用于開發(fā)測試、數(shù)據(jù)應用、數(shù)據(jù)歸檔、數(shù)據(jù)備份等工作，大幅減少了存儲資源的的資金投入；本地數(shù)據(jù)保護的備份功能避免了以前磁帶庫備份遇到的各種困擾，減少了備份設備的資金投入；系統(tǒng)總體投入成本低，而且維護簡單，災難恢復演練和實施操作提供圖形界面，操作簡單便捷，大幅降低了后期系統(tǒng)維護資金的投入?！　。ㄆ撸┥钲趪愇磥砉ぷ饕?guī)劃　　建立和完善業(yè)務連續(xù)性管理體系　　管理體系包括災難事故的預防機制和應急機制。根據(jù)總局金稅三期的指導建議，結合深圳國稅同城異址容災備份建設的實際情況，業(yè)務連續(xù)性管理體