【文章內容簡介】 與主中心相同5. 可以容納足夠的工作人員辦公6. 備份中心的所有應用系統(tǒng)必須經(jīng)過嚴格的測試，確保業(yè)務系統(tǒng)能夠正常運行 7. 備份中心與數(shù)據(jù)中心間網(wǎng)絡帶寬應能保證兩地間數(shù)據(jù)的可靠同步。 8. 備份中心計算機系統(tǒng)有足夠的處理能力來接管數(shù)據(jù)中心的業(yè)務；同時應具有不低于數(shù)據(jù)中心的安全防護能力9. 重大災難發(fā)生時，災備中心和數(shù)據(jù)中心可以通過手工操作的方式切換10. 數(shù)據(jù)中心或災備中心發(fā)生小范圍事故時，系統(tǒng)在數(shù)據(jù)中心或災備中心內部可以自動切換 災備中心的建設與數(shù)據(jù)中心的關系災備中心機房建設的前提條件是 完成BIA分析和災備中心IT基礎架構設計 生產(chǎn)數(shù)據(jù)中心開始運行理由如下：1. 沒有BIA的分析結果，無法明確災備中心到底針對何種災害設計，即無法決定災備中心的物理地點2. 沒有BIA的分析結果，無法決定中國人壽對災備中心的投資規(guī)模3. 沒有BIA的分析結果，無法確定災備中心運行的核心應用種類及其對恢復時間和數(shù)據(jù)丟失量的要求；無法確定核心業(yè)務流程之間的依賴關系，也就是說無法明確核心業(yè)務應用之間的數(shù)據(jù)傳遞關系及對數(shù)據(jù)完整性的要求，所以無法進行IT基礎架構設計。4. 沒有BIA的分析結果，無法確定中國人壽在發(fā)生災難后所希望達到的服務標準，即是否關閉一些保險業(yè)務，是否關閉一些分支機構（如區(qū)縣級機構），是否限制使用系統(tǒng)的用戶數(shù)量，是否改變正常的業(yè)務處理流程等。這些都決定者與災備中心相連的廣域網(wǎng)布局如何設計。5. 沒有IT基礎架構設計，無法明確災備中心需要的設備類型和數(shù)量，所以無法進行設備選購，無法得出對機房配電，空調，地板承重以及布線的具體要求6. 如果數(shù)據(jù)中心的應用部署沒有最終完成，無法得到詳細的應用之間的數(shù)據(jù)依賴關系，無法得到應用正常運行需要何種質量的數(shù)據(jù)，無法取得應用正常啟動和異常啟動需要的時間，這些都是決定采用何種恢復技術的關鍵因素，也是衡量災備中心的設計是否能夠達到要求的恢復時間的重要依據(jù)。 災難恢復基本模式 1. 本地容錯 本地故障、錯誤可以分為幾種類型：網(wǎng)絡設備宕機、服務器宕機、數(shù)據(jù)庫宕機、存儲設備宕機、線路中斷、操作系統(tǒng)故障、應用系統(tǒng)故障、硬件設備故障、磁盤故障。本地設備和軟件發(fā)生故障時，本地冗余和備份的設備和軟件可以幫助恢復故障。 2. 異地容災 大災難包括：自然災難（地震、臺風、洪水等）、突發(fā)事件（業(yè)務系統(tǒng)中斷、通訊中斷、計算機病毒、計算機網(wǎng)絡犯罪、火災影響、恐怖活動）等。大災難使得本地的網(wǎng)絡、服務器、存儲設備宕機，技術支持人員不能及時到現(xiàn)場恢復，業(yè)務系統(tǒng)中斷，從而造成重大損失和災難。 異地容災是在本地發(fā)生大災難時由異地設備提供業(yè)務容災恢復。高端異地容災由本地運行中心和異地備份中心組成，異地備份中心具有本地運行中心的相同業(yè)務系統(tǒng)，兩個中心的數(shù)據(jù)是同步的。在無大災難時，本地運行中心正常運行。在有大災難時，關鍵業(yè)務的客戶端的請求自動被送往異地備份中心的服務器，而異地備份中心的數(shù)據(jù)庫提供已同步的數(shù)據(jù)響應客戶端的請求，從而保證數(shù)據(jù)的完整性和一致性，保證業(yè)務7天24小時不間斷運行。中端異地容災與高端異地容災大部分相同，所不同的是對重要業(yè)務采用中端容災硬件和軟件，有數(shù)據(jù)丟失，業(yè)務短暫間斷，投資成本較低。低端異地容災可以對一般業(yè)務采用遠端磁帶庫和磁盤進行定期備份，業(yè)務恢復時間長，數(shù)據(jù)丟失多，投資成本最低。 省市災備中心建設 由于未來中國人壽的核心業(yè)務系統(tǒng)和關鍵數(shù)據(jù)都集中在一級數(shù)據(jù)中心，省市級數(shù)據(jù)中心的數(shù)據(jù)量較少，主要是辦公自動化數(shù)據(jù)，所以建議在省市級數(shù)據(jù)中心不建立災備中心。影像系統(tǒng)雖然在二級數(shù)據(jù)中心，但是在一級數(shù)據(jù)中心保存有影像數(shù)據(jù)，所以二級數(shù)據(jù)中心發(fā)生故障時，用戶可以使用一級數(shù)據(jù)中心的影像數(shù)據(jù)。地市系統(tǒng)先通過公司內部專用網(wǎng)絡連接到二級數(shù)據(jù)中心，然后再連接到一級數(shù)據(jù)中心。當二級數(shù)據(jù)中心發(fā)生災難無法工作時，地市用戶可以通過因特網(wǎng)上的VPN直接與一級數(shù)據(jù)中心通信。 機房建設請參照《數(shù)據(jù)中心高端設計》的相應章節(jié)。4 災備中心的功能要求如果災備中心平時處于冷備份狀態(tài)，那么為了更有效地利用災備中心的設備，災備中心除了擔負災難發(fā)生時的應急處理中心的任務外，在平時還可以做為應用開發(fā)中心使用。這要求用于應用開發(fā)的主機配有2套系統(tǒng)啟動硬盤。災備中心在平時做為開發(fā)測試中心基于如下假設：災備中心在需要啟動時，所有服務器冷啟動就可以滿足“恢復時間”的要求。 災備環(huán)境 平時，災備系統(tǒng)的主機用于應用開發(fā)機，但應用數(shù)據(jù)必須保持與生產(chǎn)系統(tǒng)同步，這就要求應用數(shù)據(jù)要保存在基于硬件同步的磁盤陣列中。災難發(fā)生時，用災備系統(tǒng)的啟動硬盤啟動，系統(tǒng)進入災備系統(tǒng)狀態(tài)工作。 開發(fā)測試環(huán)境 由于開發(fā)測試不穩(wěn)定，經(jīng)常會進行修改或者重新啟動系統(tǒng)，所以要求開發(fā)測試環(huán)境的數(shù)據(jù)與災備環(huán)境的數(shù)據(jù)分開存儲―存儲在不同的物理設備上或同一設備的不同分區(qū)上。開發(fā)測試環(huán)境還可以用作業(yè)務永續(xù)運行計劃的演習環(huán)境。 預生產(chǎn)環(huán)境 預生產(chǎn)環(huán)境主要用于系統(tǒng)正式投產(chǎn)前的驗收測試。主要進行的是壓力測試，系統(tǒng)聯(lián)調等。其技術實現(xiàn)方面的要求與開發(fā)測試環(huán)境相同，即也需要獨立的存儲環(huán)境支持。 演習環(huán)境為了更好的對實際情況進行模擬，建議演習環(huán)境與災備環(huán)境使用統(tǒng)一運行平臺。環(huán)境的相互切換通過使用不同的系統(tǒng)啟動硬盤實現(xiàn)。演習環(huán)境應該有不同于災備環(huán)境的磁盤空間存儲演習用數(shù)據(jù)。例如，可以在演習前停止測試環(huán)境，并對測試環(huán)境的數(shù)據(jù)進行全備份。演習時使用原來測試環(huán)境使用的磁盤陣列。演習除了包含主機系統(tǒng)的切換外，還應該包括廣域網(wǎng)的切換，所以在演習前還應該通知相應的電信運營商做好配合。 災備中心功能示意圖圖 41容災中心的功能如圖41所示，一級數(shù)據(jù)中心內部有生產(chǎn)環(huán)境，運行維護環(huán)境，IT 服務管理環(huán)境和響應中心。響應中心的人員可以訪問生產(chǎn)環(huán)境，IT服務人員 可以訪問運行維護系統(tǒng)。二級數(shù)據(jù)中心有生產(chǎn)環(huán)境，運行維護環(huán)境和響應中心。二級數(shù)據(jù)中心的響應中心主要解決本地的故障，當遇到故障無法解決時，將問題轉給位于一級數(shù)據(jù)中心的響應中心處理。災備中心有開發(fā)組，應用支持組，開發(fā)環(huán)境，測試環(huán)境和預生產(chǎn)環(huán)境。當一級數(shù)據(jù)中心的響應中心有關于應用的問題無法解決時，將問題傳遞給位于災備中心的應用支持組。應用支持組也無法解決時，再將問題交給開發(fā)組。當有災難發(fā)生時，停止開發(fā)環(huán)境，測試環(huán)境和預生產(chǎn)環(huán)境的運行，啟動備份生產(chǎn)環(huán)境。同時響應中心，IT服務管理環(huán)境和運行維護環(huán)境也切換到災備中心。5 災備中心設備、網(wǎng)絡性能要求 災備中心的容量災備中心的處理能力受到幾方面的制約： 運行與災備中心的關鍵應用系統(tǒng)的數(shù)量 災備中心運行時的聯(lián)機系統(tǒng)用戶的數(shù)量 災備中心運行時能夠提供的應用系統(tǒng)響應速度所以災備中心的容量必須等到業(yè)務影響分析完成后才能明確。容災中心的設備要與數(shù)據(jù)中心的設備兼容，具體配置通過下述述手段獲得：1. 根據(jù)對處理性能的要求并參照數(shù)據(jù)中心的配置給出初步建議2. 搭建測試環(huán)境進行測試（兼容性測試和壓力測試）3. 對初步建議進行調整，給出最終建議現(xiàn)假設災備中心只有保險核心應用、財務系統(tǒng)、銷售支持系統(tǒng)、客戶服務系統(tǒng)和電子商務系統(tǒng)，且災備中心這些應用系統(tǒng)的處理能力與生產(chǎn)系統(tǒng)相同。 恢復時間的要求RPO（Recovery Point Objective）：即數(shù)據(jù)恢復點目標，主要指的是業(yè)務系統(tǒng)所能容忍的數(shù)據(jù)丟失量。 　　 RTO（Recovery Time Objective）：即恢復時間目標，主要指的是所能容忍的業(yè)務停止服務的最長時間，也就是從災難發(fā)生到業(yè)務系統(tǒng)恢復服務功能所需要的最短時間周期。 　　 RPO針對的是數(shù)據(jù)丟失，而RTO針對的是服務丟失，二者沒有必然的關聯(lián)性。RTO和RPO的確定必須在進行風險分析和業(yè)務影響分析后根據(jù)不同的業(yè)務需求確定。對于不同企業(yè)的同一種業(yè)務，RTO和RPO的需求也會有所不同。RPO和RTO是業(yè)務影響分析的結論之一?；謴蜁r間是指從確認生產(chǎn)中心切換至災難中心到災難中心接替生產(chǎn)中心工作的時間。 　而RTO的實現(xiàn)以以下兩個主要方面為前提條件： 　　第一，實現(xiàn)災難恢復的主要步驟及操作模式。包括：由災難中心主管確認災難的確發(fā)生；在災難中心主機作斷點分析，查明交易情況；完成網(wǎng)絡物理切換（手工或自動）；啟動災難中心主機應用系統(tǒng)（手工或自動）；主機系統(tǒng)重新與分支機構連線，完成災難中心切換任務。 　　第二，災難恢復有關制度及運作模式的建立。包括災難恢復的運作完全采用實時自動方式，及災難恢復的運作采用人工干預與部分自動相結合的方式。可見，RTO不僅受到技術的影響，還跟管理流程和具體的業(yè)務操作密不可分。所以，目前我們尚無法估計出符合中國人壽實際情況的RTO指標。 體系架構容災的體系架構不僅要能處理單點故障，還要能處理多點故障，甚至能處理數(shù)據(jù)中心、整個企業(yè)甚至某一區(qū)域性的災害。能夠抵御多點故障甚至區(qū)域故障的集群結構是一種特殊的集群結構，稱為容災體系架構。這種架構可以提供災難發(fā)生后的自動切換或者手工切換功能。一般來說，只有當整個數(shù)據(jù)中心都失效時，才啟動切換功能。在地理位置上分離的容災體系架構可以對非計劃的停機提供保護，因為一個地點的故障影響不到另一點。為了能評估不同的容災方案需要知道： 災難的風險。需要針對臺風，洪水還是地震設計容災方案。要應對什么樣的災難，決定了選擇什么樣的容災方案。例如，如果所在地易發(fā)生地震，那么另一處容災站點就不應選擇在相同的城市，因為地震會影響相當大的區(qū)域。另外，災難發(fā)生的頻率也影響是否選擇一個快速的恢復方案。例如，可能會針對每個季節(jié)都發(fā)生的颶風設計一個快速恢復方案，而不會針對100年都沒有噴發(fā)的火山設計方案。 業(yè)務的弱點。業(yè)務到底能承受多長時間的宕機？一些業(yè)務也許可以承受1或2天的恢復時間，而另一些業(yè)務可能需要在幾分鐘內恢復。一些應用可能只需要提供本地保護，另一些應用可能既需要本地保護，又需要具有遠程容災功能。重要的是要考慮容災中心擔任的業(yè)務角色。例如，生產(chǎn)線生產(chǎn)可能需要非?？斓幕謴退俣?。但是，如果最容易發(fā)生的災難是地震，生產(chǎn)線和為生產(chǎn)線服務的計算機會在災難中同時損壞，在這種情況下，容災就沒有什么必要了。而實現(xiàn)本地切換會更有意義。又如，訂單處理中心是完全依靠計算機工作的，為避免災害對這些設備造成損害而造成業(yè)務停頓而建立災備中心是有意義的。決定采用什么容災方案需要權衡災難風險和在災難發(fā)生時的業(yè)務弱點。針對不同的需求有不同的方案，但是無論什么容災方案都會遵循一些基本原則： 通過地理位置上的分離保護節(jié)點 通過復制保護數(shù)據(jù) 使用冗余電源 建立高可用性網(wǎng)絡這些指導原則還要加上標準的高可用性原則，例如采用冗余的物理訪問通道（主機到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。容災中心的數(shù)據(jù)復制方式的選擇與應用的RPO密切相關。 對于RPO要求低的應用（例如，一天以上），可以采用磁帶備份的方法進行數(shù)據(jù)復制。這種應用對于生產(chǎn)中心與災備中心之間的網(wǎng)絡連接無要求。 對于RPO要求較高的應用（例如，幾個小時），可以采用異步數(shù)據(jù)同步的方式 對于RPO要求高的應用（例如，幾分鐘），可以采用同步數(shù)據(jù)同步的方式針對數(shù)