【文章內(nèi)容簡(jiǎn)介】 據(jù)中心或?yàn)?zāi)備中心發(fā)生小范圍事故時(shí)，系統(tǒng)在數(shù)據(jù)中心或?yàn)?zāi)備中心內(nèi)部可以自動(dòng)切換 災(zāi)備中心的建設(shè)與數(shù)據(jù)中心的關(guān)系災(zāi)備中心機(jī)房建設(shè)的前提條件是 完成BIA分析和災(zāi)備中心IT基礎(chǔ)架構(gòu)設(shè)計(jì) 生產(chǎn)數(shù)據(jù)中心開始運(yùn)行理由如下：1. 沒(méi)有BIA的分析結(jié)果，無(wú)法明確災(zāi)備中心到底針對(duì)何種災(zāi)害設(shè)計(jì)，即無(wú)法決定災(zāi)備中心的物理地點(diǎn)2. 沒(méi)有BIA的分析結(jié)果，無(wú)法決定中國(guó)人壽對(duì)災(zāi)備中心的投資規(guī)模3. 沒(méi)有BIA的分析結(jié)果，無(wú)法確定災(zāi)備中心運(yùn)行的核心應(yīng)用種類及其對(duì)恢復(fù)時(shí)間和數(shù)據(jù)丟失量的要求；無(wú)法確定核心業(yè)務(wù)流程之間的依賴關(guān)系，也就是說(shuō)無(wú)法明確核心業(yè)務(wù)應(yīng)用之間的數(shù)據(jù)傳遞關(guān)系及對(duì)數(shù)據(jù)完整性的要求，所以無(wú)法進(jìn)行IT基礎(chǔ)架構(gòu)設(shè)計(jì)。4. 沒(méi)有BIA的分析結(jié)果，無(wú)法確定中國(guó)人壽在發(fā)生災(zāi)難后所希望達(dá)到的服務(wù)標(biāo)準(zhǔn)，即是否關(guān)閉一些保險(xiǎn)業(yè)務(wù)，是否關(guān)閉一些分支機(jī)構(gòu)（如區(qū)縣級(jí)機(jī)構(gòu)），是否限制使用系統(tǒng)的用戶數(shù)量，是否改變正常的業(yè)務(wù)處理流程等。這些都決定者與災(zāi)備中心相連的廣域網(wǎng)布局如何設(shè)計(jì)。5. 沒(méi)有IT基礎(chǔ)架構(gòu)設(shè)計(jì)，無(wú)法明確災(zāi)備中心需要的設(shè)備類型和數(shù)量，所以無(wú)法進(jìn)行設(shè)備選購(gòu)，無(wú)法得出對(duì)機(jī)房配電，空調(diào)，地板承重以及布線的具體要求6. 如果數(shù)據(jù)中心的應(yīng)用部署沒(méi)有最終完成，無(wú)法得到詳細(xì)的應(yīng)用之間的數(shù)據(jù)依賴關(guān)系，無(wú)法得到應(yīng)用正常運(yùn)行需要何種質(zhì)量的數(shù)據(jù)，無(wú)法取得應(yīng)用正常啟動(dòng)和異常啟動(dòng)需要的時(shí)間，這些都是決定采用何種恢復(fù)技術(shù)的關(guān)鍵因素，也是衡量災(zāi)備中心的設(shè)計(jì)是否能夠達(dá)到要求的恢復(fù)時(shí)間的重要依據(jù)。 災(zāi)難恢復(fù)基本模式 1. 本地容錯(cuò) 本地故障、錯(cuò)誤可以分為幾種類型：網(wǎng)絡(luò)設(shè)備宕機(jī)、服務(wù)器宕機(jī)、數(shù)據(jù)庫(kù)宕機(jī)、存儲(chǔ)設(shè)備宕機(jī)、線路中斷、操作系統(tǒng)故障、應(yīng)用系統(tǒng)故障、硬件設(shè)備故障、磁盤故障。本地設(shè)備和軟件發(fā)生故障時(shí)，本地冗余和備份的設(shè)備和軟件可以幫助恢復(fù)故障。 2. 異地容災(zāi) 大災(zāi)難包括：自然災(zāi)難（地震、臺(tái)風(fēng)、洪水等）、突發(fā)事件（業(yè)務(wù)系統(tǒng)中斷、通訊中斷、計(jì)算機(jī)病毒、計(jì)算機(jī)網(wǎng)絡(luò)犯罪、火災(zāi)影響、恐怖活動(dòng)）等。大災(zāi)難使得本地的網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)設(shè)備宕機(jī)，技術(shù)支持人員不能及時(shí)到現(xiàn)場(chǎng)恢復(fù)，業(yè)務(wù)系統(tǒng)中斷，從而造成重大損失和災(zāi)難。 異地容災(zāi)是在本地發(fā)生大災(zāi)難時(shí)由異地設(shè)備提供業(yè)務(wù)容災(zāi)恢復(fù)。高端異地容災(zāi)由本地運(yùn)行中心和異地備份中心組成，異地備份中心具有本地運(yùn)行中心的相同業(yè)務(wù)系統(tǒng)，兩個(gè)中心的數(shù)據(jù)是同步的。在無(wú)大災(zāi)難時(shí)，本地運(yùn)行中心正常運(yùn)行。在有大災(zāi)難時(shí)，關(guān)鍵業(yè)務(wù)的客戶端的請(qǐng)求自動(dòng)被送往異地備份中心的服務(wù)器，而異地備份中心的數(shù)據(jù)庫(kù)提供已同步的數(shù)據(jù)響應(yīng)客戶端的請(qǐng)求，從而保證數(shù)據(jù)的完整性和一致性，保證業(yè)務(wù)7天24小時(shí)不間斷運(yùn)行。中端異地容災(zāi)與高端異地容災(zāi)大部分相同，所不同的是對(duì)重要業(yè)務(wù)采用中端容災(zāi)硬件和軟件，有數(shù)據(jù)丟失，業(yè)務(wù)短暫間斷，投資成本較低。低端異地容災(zāi)可以對(duì)一般業(yè)務(wù)采用遠(yuǎn)端磁帶庫(kù)和磁盤進(jìn)行定期備份，業(yè)務(wù)恢復(fù)時(shí)間長(zhǎng)，數(shù)據(jù)丟失多，投資成本最低。 省市災(zāi)備中心建設(shè) 由于未來(lái)中國(guó)人壽的核心業(yè)務(wù)系統(tǒng)和關(guān)鍵數(shù)據(jù)都集中在一級(jí)數(shù)據(jù)中心，省市級(jí)數(shù)據(jù)中心的數(shù)據(jù)量較少，主要是辦公自動(dòng)化數(shù)據(jù)，所以建議在省市級(jí)數(shù)據(jù)中心不建立災(zāi)備中心。影像系統(tǒng)雖然在二級(jí)數(shù)據(jù)中心，但是在一級(jí)數(shù)據(jù)中心保存有影像數(shù)據(jù)，所以二級(jí)數(shù)據(jù)中心發(fā)生故障時(shí)，用戶可以使用一級(jí)數(shù)據(jù)中心的影像數(shù)據(jù)。地市系統(tǒng)先通過(guò)公司內(nèi)部專用網(wǎng)絡(luò)連接到二級(jí)數(shù)據(jù)中心，然后再連接到一級(jí)數(shù)據(jù)中心。當(dāng)二級(jí)數(shù)據(jù)中心發(fā)生災(zāi)難無(wú)法工作時(shí)，地市用戶可以通過(guò)因特網(wǎng)上的VPN直接與一級(jí)數(shù)據(jù)中心通信。 機(jī)房建設(shè)請(qǐng)參照《數(shù)據(jù)中心高端設(shè)計(jì)》的相應(yīng)章節(jié)。4 災(zāi)備中心的功能要求如果災(zāi)備中心平時(shí)處于冷備份狀態(tài)，那么為了更有效地利用災(zāi)備中心的設(shè)備，災(zāi)備中心除了擔(dān)負(fù)災(zāi)難發(fā)生時(shí)的應(yīng)急處理中心的任務(wù)外，在平時(shí)還可以做為應(yīng)用開發(fā)中心使用。這要求用于應(yīng)用開發(fā)的主機(jī)配有2套系統(tǒng)啟動(dòng)硬盤。災(zāi)備中心在平時(shí)做為開發(fā)測(cè)試中心基于如下假設(shè)：災(zāi)備中心在需要啟動(dòng)時(shí)，所有服務(wù)器冷啟動(dòng)就可以滿足“恢復(fù)時(shí)間”的要求。 災(zāi)備環(huán)境 平時(shí)，災(zāi)備系統(tǒng)的主機(jī)用于應(yīng)用開發(fā)機(jī)，但應(yīng)用數(shù)據(jù)必須保持與生產(chǎn)系統(tǒng)同步，這就要求應(yīng)用數(shù)據(jù)要保存在基于硬件同步的磁盤陣列中。災(zāi)難發(fā)生時(shí)，用災(zāi)備系統(tǒng)的啟動(dòng)硬盤啟動(dòng)，系統(tǒng)進(jìn)入災(zāi)備系統(tǒng)狀態(tài)工作。 開發(fā)測(cè)試環(huán)境 由于開發(fā)測(cè)試不穩(wěn)定，經(jīng)常會(huì)進(jìn)行修改或者重新啟動(dòng)系統(tǒng)，所以要求開發(fā)測(cè)試環(huán)境的數(shù)據(jù)與災(zāi)備環(huán)境的數(shù)據(jù)分開存儲(chǔ)―存儲(chǔ)在不同的物理設(shè)備上或同一設(shè)備的不同分區(qū)上。開發(fā)測(cè)試環(huán)境還可以用作業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的演習(xí)環(huán)境。 預(yù)生產(chǎn)環(huán)境 預(yù)生產(chǎn)環(huán)境主要用于系統(tǒng)正式投產(chǎn)前的驗(yàn)收測(cè)試。主要進(jìn)行的是壓力測(cè)試，系統(tǒng)聯(lián)調(diào)等。其技術(shù)實(shí)現(xiàn)方面的要求與開發(fā)測(cè)試環(huán)境相同，即也需要獨(dú)立的存儲(chǔ)環(huán)境支持。 演習(xí)環(huán)境為了更好的對(duì)實(shí)際情況進(jìn)行模擬，建議演習(xí)環(huán)境與災(zāi)備環(huán)境使用統(tǒng)一運(yùn)行平臺(tái)。環(huán)境的相互切換通過(guò)使用不同的系統(tǒng)啟動(dòng)硬盤實(shí)現(xiàn)。演習(xí)環(huán)境應(yīng)該有不同于災(zāi)備環(huán)境的磁盤空間存儲(chǔ)演習(xí)用數(shù)據(jù)。例如，可以在演習(xí)前停止測(cè)試環(huán)境，并對(duì)測(cè)試環(huán)境的數(shù)據(jù)進(jìn)行全備份。演習(xí)時(shí)使用原來(lái)測(cè)試環(huán)境使用的磁盤陣列。演習(xí)除了包含主機(jī)系統(tǒng)的切換外，還應(yīng)該包括廣域網(wǎng)的切換，所以在演習(xí)前還應(yīng)該通知相應(yīng)的電信運(yùn)營(yíng)商做好配合。 災(zāi)備中心功能示意圖圖 41容災(zāi)中心的功能如圖41所示，一級(jí)數(shù)據(jù)中心內(nèi)部有生產(chǎn)環(huán)境，運(yùn)行維護(hù)環(huán)境，IT 服務(wù)管理環(huán)境和響應(yīng)中心。響應(yīng)中心的人員可以訪問(wèn)生產(chǎn)環(huán)境，IT服務(wù)人員 可以訪問(wèn)運(yùn)行維護(hù)系統(tǒng)。二級(jí)數(shù)據(jù)中心有生產(chǎn)環(huán)境，運(yùn)行維護(hù)環(huán)境和響應(yīng)中心。二級(jí)數(shù)據(jù)中心的響應(yīng)中心主要解決本地的故障，當(dāng)遇到故障無(wú)法解決時(shí)，將問(wèn)題轉(zhuǎn)給位于一級(jí)數(shù)據(jù)中心的響應(yīng)中心處理。災(zāi)備中心有開發(fā)組，應(yīng)用支持組，開發(fā)環(huán)境，測(cè)試環(huán)境和預(yù)生產(chǎn)環(huán)境。當(dāng)一級(jí)數(shù)據(jù)中心的響應(yīng)中心有關(guān)于應(yīng)用的問(wèn)題無(wú)法解決時(shí)，將問(wèn)題傳遞給位于災(zāi)備中心的應(yīng)用支持組。應(yīng)用支持組也無(wú)法解決時(shí)，再將問(wèn)題交給開發(fā)組。當(dāng)有災(zāi)難發(fā)生時(shí)，停止開發(fā)環(huán)境，測(cè)試環(huán)境和預(yù)生產(chǎn)環(huán)境的運(yùn)行，啟動(dòng)備份生產(chǎn)環(huán)境。同時(shí)響應(yīng)中心，IT服務(wù)管理環(huán)境和運(yùn)行維護(hù)環(huán)境也切換到災(zāi)備中心。5 災(zāi)備中心設(shè)備、網(wǎng)絡(luò)性能要求 災(zāi)備中心的容量災(zāi)備中心的處理能力受到幾方面的制約： 運(yùn)行與災(zāi)備中心的關(guān)鍵應(yīng)用系統(tǒng)的數(shù)量 災(zāi)備中心運(yùn)行時(shí)的聯(lián)機(jī)系統(tǒng)用戶的數(shù)量 災(zāi)備中心運(yùn)行時(shí)能夠提供的應(yīng)用系統(tǒng)響應(yīng)速度所以災(zāi)備中心的容量必須等到業(yè)務(wù)影響分析完成后才能明確。容災(zāi)中心的設(shè)備要與數(shù)據(jù)中心的設(shè)備兼容，具體配置通過(guò)下述述手段獲得：1. 根據(jù)對(duì)處理性能的要求并參照數(shù)據(jù)中心的配置給出初步建議2. 搭建測(cè)試環(huán)境進(jìn)行測(cè)試（兼容性測(cè)試和壓力測(cè)試）3. 對(duì)初步建議進(jìn)行調(diào)整，給出最終建議現(xiàn)假設(shè)災(zāi)備中心只有保險(xiǎn)核心應(yīng)用、財(cái)務(wù)系統(tǒng)、銷售支持系統(tǒng)、客戶服務(wù)系統(tǒng)和電子商務(wù)系統(tǒng)，且災(zāi)備中心這些應(yīng)用系統(tǒng)的處理能力與生產(chǎn)系統(tǒng)相同。 恢復(fù)時(shí)間的要求RPO（Recovery Point Objective）：即數(shù)據(jù)恢復(fù)點(diǎn)目標(biāo)，主要指的是業(yè)務(wù)系統(tǒng)所能容忍的數(shù)據(jù)丟失量。 　　 RTO（Recovery Time Objective）：即恢復(fù)時(shí)間目標(biāo)，主要指的是所能容忍的業(yè)務(wù)停止服務(wù)的最長(zhǎng)時(shí)間，也就是從災(zāi)難發(fā)生到業(yè)務(wù)系統(tǒng)恢復(fù)服務(wù)功能所需要的最短時(shí)間周期。 　　 RPO針對(duì)的是數(shù)據(jù)丟失，而RTO針對(duì)的是服務(wù)丟失，二者沒(méi)有必然的關(guān)聯(lián)性。RTO和RPO的確定必須在進(jìn)行風(fēng)險(xiǎn)分析和業(yè)務(wù)影響分析后根據(jù)不同的業(yè)務(wù)需求確定。對(duì)于不同企業(yè)的同一種業(yè)務(wù)，RTO和RPO的需求也會(huì)有所不同。RPO和RTO是業(yè)務(wù)影響分析的結(jié)論之一。恢復(fù)時(shí)間是指從確認(rèn)生產(chǎn)中心切換至災(zāi)難中心到災(zāi)難中心接替生產(chǎn)中心工作的時(shí)間。 　而RTO的實(shí)現(xiàn)以以下兩個(gè)主要方面為前提條件： 　　第一，實(shí)現(xiàn)災(zāi)難恢復(fù)的主要步驟及操作模式。包括：由災(zāi)難中心主管確認(rèn)災(zāi)難的確發(fā)生；在災(zāi)難中心主機(jī)作斷點(diǎn)分析，查明交易情況；完成網(wǎng)絡(luò)物理切換（手工或自動(dòng)）；啟動(dòng)災(zāi)難中心主機(jī)應(yīng)用系統(tǒng)（手工或自動(dòng)）；主機(jī)系統(tǒng)重新與分支機(jī)構(gòu)連線，完成災(zāi)難中心切換任務(wù)。 　　第二，災(zāi)難恢復(fù)有關(guān)制度及運(yùn)作模式的建立。包括災(zāi)難恢復(fù)的運(yùn)作完全采用實(shí)時(shí)自動(dòng)方式，及災(zāi)難恢復(fù)的運(yùn)作采用人工干預(yù)與部分自動(dòng)相結(jié)合的方式。可見，RTO不僅受到技術(shù)的影響，還跟管理流程和具體的業(yè)務(wù)操作密不可分。所以，目前我們尚無(wú)法估計(jì)出符合中國(guó)人壽實(shí)際情況的RTO指標(biāo)。 體系架構(gòu)容災(zāi)的體系架構(gòu)不僅要能處理單點(diǎn)故障，還要能處理多點(diǎn)故障，甚至能處理數(shù)據(jù)中心、整個(gè)企業(yè)甚至某一區(qū)域性的災(zāi)害。能夠抵御多點(diǎn)故障甚至區(qū)域故障的集群結(jié)構(gòu)是一種特殊的集群結(jié)構(gòu)，稱為容災(zāi)體系架構(gòu)。這種架構(gòu)可以提供災(zāi)難發(fā)生后的自動(dòng)切換或者手工切換功能。一般來(lái)說(shuō)，只有當(dāng)整個(gè)數(shù)據(jù)中心都失效時(shí)，才啟動(dòng)切換功能。在地理位置上分離的容災(zāi)體系架構(gòu)可以對(duì)非計(jì)劃的停機(jī)提供保護(hù)，因?yàn)橐粋€(gè)地點(diǎn)的故障影響不到另一點(diǎn)。為了能評(píng)估不同的容災(zāi)方案需要知道： 災(zāi)難的風(fēng)險(xiǎn)。需要針對(duì)臺(tái)風(fēng)，洪水還是地震設(shè)計(jì)容災(zāi)方案。要應(yīng)對(duì)什么樣的災(zāi)難，決定了選擇什么樣的容災(zāi)方案。例如，如果所在地易發(fā)生地震，那么另一處容災(zāi)站點(diǎn)就不應(yīng)選擇在相同的城市，因?yàn)榈卣饡?huì)影響相當(dāng)大的區(qū)域。另外，災(zāi)難發(fā)生的頻率也影響是否選擇一個(gè)快速的恢復(fù)方案。例如，可能會(huì)針對(duì)每個(gè)季節(jié)都發(fā)生的颶風(fēng)設(shè)計(jì)一個(gè)快速恢復(fù)方案，而不會(huì)針對(duì)100年都沒(méi)有噴發(fā)的火山設(shè)計(jì)方案。 業(yè)務(wù)的弱點(diǎn)。業(yè)務(wù)到底能承受多長(zhǎng)時(shí)間的宕機(jī)？一些業(yè)務(wù)也許可以承受1或2天的恢復(fù)時(shí)間，而另一些業(yè)務(wù)可能需要在幾分鐘內(nèi)恢復(fù)。一些應(yīng)用可能只需要提供本地保護(hù)，另一些應(yīng)用可能既需要本地保護(hù)，又需要具有遠(yuǎn)程容災(zāi)功能。重要的是要考慮容災(zāi)中心擔(dān)任的業(yè)務(wù)角色。例如，生產(chǎn)線生產(chǎn)可能需要非?？斓幕謴?fù)速度。但是，如果最容易發(fā)生的災(zāi)難是地震，生產(chǎn)線和為生產(chǎn)線服務(wù)的計(jì)算機(jī)會(huì)在災(zāi)難中同時(shí)損壞，在這種情況下，容災(zāi)就沒(méi)有什么必要了。而實(shí)現(xiàn)本地切換會(huì)更有意義。又如，訂單處理中心是完全依靠計(jì)算機(jī)工作的，為避免災(zāi)害對(duì)這些設(shè)備造成損害而造成業(yè)務(wù)停頓而建立災(zāi)備中心是有意義的。決定采用什么容災(zāi)方案需要權(quán)衡災(zāi)難風(fēng)險(xiǎn)和在災(zāi)難發(fā)生時(shí)的業(yè)務(wù)弱點(diǎn)。針對(duì)不同的需求有不同的方案，但是無(wú)論什么容災(zāi)方案都會(huì)遵循一些基本原則： 通過(guò)地理位置上的分離保護(hù)節(jié)點(diǎn) 通過(guò)復(fù)制保護(hù)數(shù)據(jù) 使用冗余電源 建立高可用性網(wǎng)絡(luò)這些指導(dǎo)原則還要加上標(biāo)準(zhǔn)的高可用性原則，例如采用冗余的物理訪問(wèn)通道（主機(jī)到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。容災(zāi)中心的數(shù)據(jù)復(fù)制方式的選擇與應(yīng)用的RPO密切相關(guān)。 對(duì)于RPO要求低的應(yīng)用（例如，一天以上），可以采用磁帶備份的方法進(jìn)行數(shù)據(jù)復(fù)制。這種應(yīng)用對(duì)于生產(chǎn)中心與災(zāi)備中心之間的網(wǎng)絡(luò)連接無(wú)要求。 對(duì)于RPO要求較高的應(yīng)用（例如，幾個(gè)小時(shí)），可以采用異步數(shù)據(jù)同步的方式 對(duì)于RPO要求高的應(yīng)用（例如，幾分鐘），可以采用同步數(shù)據(jù)同步的方式針對(duì)數(shù)據(jù)同步方式（同步或者異步），有兩類方案1. 采用基于主機(jī)上運(yùn)行的軟件進(jìn)行要求生產(chǎn)中心與災(zāi)備中心之間有高速IP網(wǎng)絡(luò)2. 采用磁盤陣列進(jìn)行要求生產(chǎn)中心與災(zāi)備中心之間有高速存儲(chǔ)網(wǎng)絡(luò)容災(zāi)的體系架構(gòu)可以分成以下三種：216。 校園容災(zāi)– 包含多個(gè)建筑物