【導(dǎo)讀】中國(guó)人壽IT戰(zhàn)略規(guī)劃。災(zāi)備中心高端設(shè)計(jì)。北京市朝陽(yáng)區(qū)建國(guó)路112號(hào)。本文件中出現(xiàn)的任何文字?jǐn)⑹觥⑽臋n格式、插圖、照片、方法、過程等內(nèi)容，除另有特別注明，版權(quán)均屬中國(guó)惠普有限公司咨詢與集成事業(yè)部所有，受到有關(guān)產(chǎn)權(quán)及版權(quán)法保護(hù)。構(gòu)未經(jīng)中國(guó)惠普有限公司咨詢與集成事業(yè)部的書面授權(quán)許可，不得復(fù)制或引用本文件的任何片。斷，無(wú)論通過電子形式或非電子形式。版本號(hào)維護(hù)日期作者/維護(hù)人描述。2020/12/24劉育新目錄結(jié)構(gòu)。添加恢復(fù)組織的角色和職責(zé)定義。2020/2/7劉育新修改災(zāi)備中心的功能要求。2020/2/18劉育新根據(jù)中國(guó)人壽項(xiàng)目小組的審核意見修。2020/2/24劉育新修改節(jié)，災(zāi)備中心的體系架構(gòu)

　　

【正文】 ，二者沒有必然的關(guān)聯(lián)性。 RTO 和 RPO的確定必須在進(jìn)行風(fēng)險(xiǎn)分析和業(yè)務(wù)影響分析后根據(jù)不同的業(yè)務(wù)需求確定。對(duì)于不同企業(yè)的同一種業(yè)務(wù)， RTO 和 RPO 的需求也會(huì)有所不同。 RPO 和 RTO 是業(yè)務(wù)影響分析的結(jié)論之一。 恢復(fù)時(shí)間是指從確認(rèn)生產(chǎn)中心切換至災(zāi)難中心到災(zāi)難中心接替生產(chǎn)中心工作的時(shí)間。 而 RTO 的實(shí)現(xiàn)以以下兩個(gè)主要方面為前提條件： 第一，實(shí)現(xiàn)災(zāi)難恢復(fù)的主要步驟及操作模式。包括：由災(zāi)難中心主管確認(rèn)災(zāi)難的確發(fā)生；在災(zāi)難中心主機(jī)作斷點(diǎn)分析，查明交易情況；完成網(wǎng)絡(luò)物理切換（手工或自動(dòng)）；啟動(dòng)災(zāi)難 中心主機(jī)應(yīng)用系統(tǒng)（手工或自動(dòng)）；主機(jī)系統(tǒng)重新與分支機(jī)構(gòu)連線，完成災(zāi)難中心切換任務(wù)。 第二，災(zāi)難恢復(fù)有關(guān)制度及運(yùn)作模式的建立。包括災(zāi)難恢復(fù)的運(yùn)作完全采用實(shí)時(shí)自動(dòng)方式，及災(zāi)難恢復(fù)的運(yùn)作采用人工干預(yù)與部分自動(dòng)相結(jié)合的方式。 可見， RTO 不僅受到技術(shù)的影響，還跟管理流程和具體的業(yè)務(wù)操作密不可分。所以，目前我們尚無(wú)法估計(jì)出符合中國(guó)人壽實(shí)際情況的 RTO 指標(biāo)。 體系架構(gòu) 容災(zāi)的體系架構(gòu)不僅要能處理單點(diǎn)故障，還要能處理多點(diǎn)故障，甚至能處理數(shù)據(jù)中心、整個(gè)企業(yè)甚至某一區(qū)域性的災(zāi)害。 能夠抵御多點(diǎn)故障甚至區(qū)域故障的集群結(jié) 構(gòu)是一種特殊的集群結(jié)構(gòu)，稱為容災(zāi)體系架構(gòu)。這種架構(gòu)可以提供災(zāi)難發(fā)生后的自動(dòng)切換或者手工切換功能。一般來(lái)說(shuō)，只有當(dāng)整個(gè)數(shù)據(jù)中心都失效時(shí)，才啟動(dòng)切換功能。 在地理位置上分離的容災(zāi)體系架構(gòu)可以對(duì)非計(jì)劃的停機(jī)提供保護(hù)，因?yàn)橐粋€(gè)地點(diǎn)的故障影響不到另一點(diǎn)。為了能評(píng)估不同的容災(zāi)方案需要知道： ? 災(zāi)難的風(fēng)險(xiǎn)。 需要針對(duì)臺(tái)風(fēng)，洪水還是地震設(shè)計(jì)容災(zāi)方案。要應(yīng)對(duì)什么樣的災(zāi)難，決定了選擇什么樣的容災(zāi)方案。例如，如果所在地易發(fā)生地震，那么另一處容災(zāi)站點(diǎn)就不應(yīng)選擇在相同的城市，因?yàn)榈卣饡?huì)影響相當(dāng)大的區(qū)域。 另外，災(zāi)難發(fā)生的頻率也影響是否 選擇一個(gè)快速的恢復(fù)方案。例如，可能會(huì)針對(duì)每個(gè)季節(jié)都發(fā)生的颶風(fēng)設(shè)計(jì)一個(gè)快速恢復(fù)方案，而不會(huì)針對(duì) 100 年都沒有噴發(fā)的火山設(shè)計(jì)方案。 ? 業(yè)務(wù)的弱點(diǎn)。 業(yè)務(wù)到底能承受多長(zhǎng)時(shí)間的宕機(jī)？一些業(yè)務(wù)也許可以承受 1 或 2 天的恢復(fù)時(shí)間，而另一些業(yè)務(wù)可能需要在幾分鐘內(nèi)恢復(fù)。一些應(yīng)用可能只需要提供本地保護(hù)，另一些應(yīng)用可能既需要本地保護(hù)，又需要具有遠(yuǎn)程容災(zāi)功能。 重要的是要考慮容災(zāi)中心擔(dān)任的業(yè)務(wù)角色。例如，生產(chǎn)線生產(chǎn)可能需要非?？斓幕謴?fù)速度。但是，如果最容易發(fā)生的災(zāi)難是地震，生產(chǎn)線和為生產(chǎn)線服務(wù)的計(jì)算機(jī)會(huì)在災(zāi)難中同時(shí)損壞，在這種情況下， 容災(zāi)就沒有什么必要了。而實(shí)現(xiàn)本地切換會(huì)更有意義。 又如，訂單處理中心是完全依靠計(jì)算機(jī)工作的，為避免災(zāi)害對(duì)這些設(shè)備造成損害而造成業(yè)務(wù)停頓而建立災(zāi)備中心是有意義的。 決定采用什么容災(zāi)方案需要權(quán)衡災(zāi)難風(fēng)險(xiǎn)和在災(zāi)難發(fā)生時(shí)的業(yè)務(wù)弱點(diǎn)。針對(duì)不同的需求有不同的方案，但是無(wú)論什么容災(zāi)方案都會(huì)遵循一些基本原則： ? 通過地理位置上的分離保護(hù)節(jié)點(diǎn) ? 通過復(fù)制保護(hù)數(shù)據(jù) ? 使用冗余電源 ? 建立高可用性網(wǎng)絡(luò) 這些指導(dǎo)原則還要加上標(biāo)準(zhǔn)的高可用性原則，例如采用冗余的物理訪問通道（主機(jī)到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。 容災(zāi)中心的數(shù)據(jù)復(fù)制方式的 選擇與應(yīng)用的 RPO 密切相關(guān)。 ? 對(duì)于 RPO 要求低的應(yīng)用（例如，一天以上），可以采用磁帶備份的方法進(jìn)行數(shù)據(jù)復(fù)制。這種應(yīng)用對(duì)于生產(chǎn)中心與災(zāi)備中心之間的網(wǎng)絡(luò)連接無(wú)要求。 ? 對(duì)于 RPO 要求較高的應(yīng)用（例如，幾個(gè)小時(shí)），可以采用異步數(shù)據(jù)同步的方式 ? 對(duì)于 RPO 要求高的應(yīng)用（例如，幾分鐘），可以采用同步數(shù)據(jù)同步的方式 針對(duì)數(shù)據(jù)同步方式（同步或者異步），有兩類方案 1. 采用基于主機(jī)上運(yùn)行的軟件進(jìn)行 要求生產(chǎn)中心與災(zāi)備中心之間有高速 IP 網(wǎng)絡(luò) 2. 采用磁盤陣列進(jìn)行 要求生產(chǎn)中心與災(zāi)備中心之間有高速存儲(chǔ)網(wǎng)絡(luò) 容災(zāi)的體系架構(gòu)可以分成以下三種： ? 校園容災(zāi) ? 包含多個(gè)建筑物 ? 可以自動(dòng)切換的單一集群結(jié)構(gòu) ? 不同站點(diǎn)間的磁盤鏡像 校園集群體系架構(gòu)長(zhǎng)波端口 = 1 0 km光纖交換機(jī)光纖交換機(jī)光纖交換機(jī)光纖交換機(jī)數(shù)據(jù)鏡像（使用硬件或基于主機(jī)的軟件）數(shù)據(jù)中心 A電源回路1電源回路2AC L 1B短波端口 = 5 0 0 米數(shù)據(jù)中心 B電源回路3電源回路4A39。C L 2B39。集群心跳線 ( 以太網(wǎng) 或 F DD I) 圖 51 校園集群體系架構(gòu) ? 城市間容災(zāi) ? 本地網(wǎng)絡(luò)和磁盤保護(hù)優(yōu)先 ? 可以自動(dòng)切換的單一集群結(jié)構(gòu) ? 站點(diǎn)間使用物理數(shù)據(jù)復(fù)制 城間集群體系架構(gòu)高可用性網(wǎng)絡(luò)數(shù)據(jù)中心A AB B電源回路1電源回路2數(shù)據(jù)中心 BA39。 A39。B39。 B39。電源回路3電源回路4數(shù)據(jù)中心 C網(wǎng)絡(luò)網(wǎng)絡(luò)1 或 2 個(gè) 仲裁系統(tǒng)電源回路 5 電源回路 6物理數(shù)據(jù)復(fù)制物理數(shù)據(jù)復(fù)制網(wǎng)絡(luò)網(wǎng)絡(luò)網(wǎng)絡(luò) 網(wǎng)絡(luò) 圖 52 城間集 群體系架構(gòu) ? 廣域容災(zāi) ? 租用的高速交換網(wǎng)絡(luò) (用于數(shù)據(jù)鏈路 ) ? 多集群架構(gòu) ? 站點(diǎn)間可以采用物理數(shù)據(jù)復(fù)制或邏輯數(shù)據(jù)復(fù)制 ? 物理數(shù)據(jù)復(fù)制是指利用硬 /軟件進(jìn)行的磁盤裸設(shè)備復(fù)制 ? 邏輯數(shù)據(jù)復(fù)制指利用文件系統(tǒng)或數(shù)據(jù)庫(kù)進(jìn)行數(shù)據(jù)復(fù)制 廣域集群體系架構(gòu)數(shù)據(jù)中心 AA AB B電源回路1電源回路2數(shù)據(jù)中心 BA39。 A39。B39。 B39。電源回路3電源回路4主集群次集群高可用性廣域網(wǎng) ( W A N )使用高可用性的網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)復(fù)制和集群監(jiān)控物理或邏輯數(shù)據(jù)復(fù)制網(wǎng)絡(luò)網(wǎng)絡(luò)網(wǎng)絡(luò)網(wǎng)絡(luò)物理或邏輯數(shù)據(jù)復(fù)制 圖 53 廣域集群體系架構(gòu) 數(shù)據(jù)同步技術(shù)及相關(guān)指標(biāo)： 技術(shù)手段 RPO RTO 磁帶備份 幾小時(shí)～幾星期 硬盤間在線復(fù)制 映像（快照） 幾分鐘～一天 異步復(fù)制 幾秒鐘～幾分鐘 同步復(fù)制 0～幾秒鐘 基于廣域網(wǎng)的集群 幾分鐘～一天 磁帶恢復(fù) 幾天～幾星期 表 51 技術(shù)手段與 RPO、 RTO 的對(duì)應(yīng)關(guān)系 不同業(yè)務(wù)類型的服務(wù)級(jí)別： Gartner 根據(jù)業(yè)務(wù)類型的不同，提出了如下的 RTO 和 RPO 要求（參見《 Best Practices and Trends in Business Continuity Planning》 2020 年版）。 級(jí)別 業(yè)務(wù) 服務(wù)級(jí)別 一級(jí) ? 直接面對(duì)客戶或者合作伙伴 ? 對(duì)企業(yè)收入和正常生產(chǎn)有嚴(yán)重影響 ? 提供 24X7服務(wù) ? 可用性達(dá)到 %(停機(jī)時(shí)間 45分鐘 /月 ) ? RTO=2小時(shí)； RPO=0小時(shí) 二級(jí) ? 供應(yīng)鏈 ? 對(duì)企業(yè)收入和生產(chǎn)有一定的影響 ? 可用性達(dá)到 %(停機(jī)時(shí)間 /月 ) ? RTO=824小時(shí)； RPO=4小時(shí) 三級(jí) ? 企業(yè)后端應(yīng)用 ? 可用性達(dá)到 99%(停機(jī)時(shí)間 /月 ) ? RTO=72小時(shí)； RPO=24小時(shí) 四級(jí) ? 部門級(jí)應(yīng)用 ? 可用性達(dá)到 98%(停機(jī)時(shí)間 /月 ) ? RTO=120小時(shí)； RPO=24小時(shí) 表 52 業(yè)務(wù)類型的服務(wù)級(jí)別分類 我們建議中國(guó)人壽也按照這種方法，將所有應(yīng)用分成四級(jí)。 體系架構(gòu)建議： 中國(guó)人壽是全國(guó)性的大企業(yè)，數(shù)據(jù)中心是為全國(guó)各省服務(wù)的，為了最大限度的降低災(zāi)害的影響，我們建議災(zāi)備中心最好遠(yuǎn)離生產(chǎn)數(shù)據(jù)中心，所以我們建議中國(guó)人壽采用“廣域集群體系架構(gòu)”。 中國(guó)人壽可以采取先建立同城的災(zāi)備中心，然后在建立遠(yuǎn)程災(zāi)備中心的策略。 基于同城的災(zāi)備中心可以采用同步數(shù)據(jù)傳輸?shù)姆绞?，保證數(shù)據(jù)不丟失。而遠(yuǎn)程災(zāi)備中心采用數(shù)據(jù)異步傳輸?shù)姆绞剑ＷC系統(tǒng)的響應(yīng)速度。通過同步與異步的結(jié)合，既保證了不丟失數(shù)據(jù)，又保證了系統(tǒng)的響應(yīng)速度。如圖 54 所示： 開始，可以建立如圖中最上部分所示的采用同步傳輸?shù)臑?zāi)備中心。其中 PVOL 是在數(shù)據(jù)中心（站點(diǎn) A）的存儲(chǔ)，而 SVOL 是位于災(zāi)備中心的存儲(chǔ)。如果條件成熟后，可以選擇比較遠(yuǎn)的地方建立遠(yuǎn)地災(zāi)備中心（站點(diǎn) C），而將同城的災(zāi)備中心做為中間站點(diǎn)（站點(diǎn) B）（參見圖中最下端的部分）。中間站點(diǎn)只需要配備存儲(chǔ)設(shè)備，而不需要服務(wù)器設(shè)備。在建立了遠(yuǎn)程災(zāi)備中心后，應(yīng)用的切換是在 數(shù)據(jù)中心和遠(yuǎn)的數(shù)據(jù)中心之間進(jìn)行的。 數(shù)據(jù)中心（站點(diǎn) A）與中間站點(diǎn)（站點(diǎn) B）之間采用同步數(shù)據(jù)傳輸，中間站與災(zāi)備中心（站點(diǎn) C）之間采用異步數(shù)據(jù)傳輸。當(dāng)站點(diǎn) A 因故停止運(yùn)行后，站點(diǎn) C 要等待站點(diǎn) B 的數(shù)據(jù)完全傳輸?shù)秸军c(diǎn) C 后才能重新運(yùn)行。 同步復(fù)制本地站點(diǎn) 遠(yuǎn)地站點(diǎn)復(fù)制應(yīng)用等待遠(yuǎn)程 I/ O 完成應(yīng)用繼續(xù)處理? 應(yīng)用向 P V O L 寫數(shù)據(jù)（ 1 ）? 當(dāng) P V O L 向 S V O L 復(fù)制數(shù)據(jù)時(shí)（ 2amp。 3 ），應(yīng)用等待（ 1 ）? 當(dāng)復(fù)制完成后（ 4 ），應(yīng)用繼續(xù)處理異步復(fù)制任何距離應(yīng)用認(rèn)為 ” I/O已經(jīng)完成 ”遠(yuǎn)程 I/O 有輕微延遲本地站點(diǎn)分裂? 應(yīng)用向 P V O L 寫數(shù)據(jù)（ 1 ）? 應(yīng)用認(rèn)為 I/O 已經(jīng)完成（ 2 ）而繼續(xù)進(jìn)行處理? P V O L 向 S V O L 復(fù)制數(shù)據(jù)同步本地磁盤復(fù)制主戰(zhàn)點(diǎn) “ A ”中間站點(diǎn) “ B ”恢復(fù)站點(diǎn) C遠(yuǎn)地站點(diǎn)重同步異步任何距離重同步掛起多點(diǎn)接力不管多遠(yuǎn)都能防止數(shù)據(jù)丟失額外拷貝，防止在復(fù)制過程中發(fā)生災(zāi)難重同步? P V O L1 與 S V O L2 保持同步復(fù)制? S V O L2 在本地保持一個(gè)復(fù)制版本 P V O L2? S V O L2 與 P V O L2 周期性地分裂（ 1 ），同時(shí) P V O L2 與S V O L3 利于異步復(fù)制進(jìn)行更新（ 2 ）? 當(dāng)更新完成（ 3 ）， P V O L2 和 S V O L2 在中間站點(diǎn)重新同步（ 4 ），同步完成后 P V O L1 繼續(xù)傳送數(shù)據(jù) 圖 54 中國(guó)人壽災(zāi)備中心假設(shè)方案 災(zāi)備中心的主機(jī)、存儲(chǔ)布局 集 群集 群磁 盤 陣 列 保 險(xiǎn) 核 心 應(yīng) 用 S A N 交 換 機(jī) 2S A N S w i t c h 1磁 盤 陣 列 其 他 應(yīng) 用 磁 帶 庫(kù)核 心 網(wǎng) 絡(luò) 交 換 機(jī) 1核 心 網(wǎng) 絡(luò) 交 換 機(jī) 2N A SO A 服 務(wù) 器( 總 部 )工 作 組 交 換 機(jī) 1工 作 組 交 換 機(jī) 2保 險(xiǎn) 核 心 應(yīng) 用數(shù) 據(jù) 庫(kù) 服 務(wù) 器 財(cái) 務(wù) 系 統(tǒng) 數(shù) 據(jù) 庫(kù)保 險(xiǎn) 核 心 應(yīng) 用數(shù) 據(jù) 庫(kù) 服 務(wù) 器 財(cái) 務(wù) 系 統(tǒng) 數(shù) 據(jù) 庫(kù)保 險(xiǎn) 核 心 應(yīng) 用應(yīng) 用 服 務(wù) 器保 險(xiǎn) 核 心 應(yīng) 用應(yīng) 用 服 務(wù) 器總 部 M I S / B I應(yīng) 用 服 務(wù) 器總 部 C R M應(yīng) 用 服 務(wù) 器總 部 M I S / B I數(shù) 據(jù) 庫(kù) 服 務(wù) 器總 部 C R M數(shù) 據(jù) 庫(kù) 服 務(wù) 器集 群集 群集 群集 群企 業(yè) 門 戶 W E B 服 務(wù) 器 群 內(nèi) 部 N A S負(fù) 載 均 衡 器負(fù) 載 均 衡 器銷 售 支 持應(yīng) 用 服 務(wù) 器銷 售 支 持?jǐn)?shù) 據(jù) 庫(kù) 服 務(wù) 器集 群精 算 與 風(fēng) 險(xiǎn) 管 理 電 子 商 務(wù)集 群目 錄 服 務(wù) 器 內(nèi) 部 備 份 服 務(wù) 器 網(wǎng) 管 服 務(wù) 器集 群工 作 組 交 換 機(jī) 3工 作 組 交 換 機(jī) 4S e r v i c e D e s k 數(shù) 據(jù) 庫(kù) 服 務(wù) 器S e r v i c e D e s k應(yīng) 用 服 務(wù) 器存 儲(chǔ) 管 理工 作 站H u b省 級(jí) M I S / B I應(yīng) 用 服 務(wù) 器省 級(jí) C R M應(yīng) 用 服 務(wù) 器集 群集 群E T L 服 務(wù) 器 E A I 服 務(wù) 器省 級(jí) M I S / B I數(shù) 據(jù) 庫(kù) 服 務(wù) 器省 級(jí) C R M數(shù) 據(jù) 庫(kù) 服 務(wù) 器集 群總 部 財(cái) 務(wù) 系 統(tǒng)H R 系 統(tǒng)產(chǎn) 品 開 發(fā) 圖 55 災(zāi)備中心主機(jī)、存儲(chǔ)布局 圖示： ? 細(xì)線是網(wǎng)絡(luò)線 ? 綠色代表 Active ? 紅色代表 Standby ? 粗線是存儲(chǔ)網(wǎng)絡(luò)線（ SAN） ? 黑色代表 Active ? 紅色代表 Standby ? 黃色背景的主機(jī)屬于組 ? 其他主機(jī)屬于總部 災(zāi)備中心包含了數(shù)據(jù)中心的所有應(yīng)用，根據(jù)應(yīng)用的 RPO 和 RTO 的要求不同，推薦采用不的技術(shù)進(jìn)行數(shù)據(jù)復(fù)制。 應(yīng)用系統(tǒng) APP 業(yè)務(wù)區(qū)域 名稱 APP NAME 災(zāi)難發(fā)生時(shí)的容災(zāi)要求 可容忍的數(shù)據(jù)丟失時(shí)間（ RPO） 可容忍的業(yè)務(wù) 中斷時(shí)間（ RTO） 核心保險(xiǎn)應(yīng)用 Core 24小時(shí) 8小時(shí) 銷售支持和管理 SFA 24小時(shí) 8小時(shí) 財(cái)務(wù)系統(tǒng) Financial 24小時(shí) 8小時(shí) 應(yīng)用系統(tǒng) APP 業(yè)務(wù)區(qū)域 管理信息系統(tǒng) MIS 5天 24小時(shí) 電子商務(wù)