【導讀】天馬行空官方博客：；QQ:1318241189；QQ群：175569632. 中國人壽IT戰(zhàn)略規(guī)劃。災備中心高端設計。北京市朝陽區(qū)建國路112號。本文件中出現(xiàn)的任何文字敘述、文檔格式、插圖、照片、方法、過程等內容，除另有特別注明，版權均屬中國惠普有限公司咨詢與集成事業(yè)部所有，受到有關產權及版權法保護。構未經中國惠普有限公司咨詢與集成事業(yè)部的書面授權許可，不得復制或引用本文件的任何片。斷，無論通過電子形式或非電子形式。版本號維護日期作者/維護人描述。20xx/12/24劉育新目錄結構。添加恢復組織的角色和職責定義。20xx/2/7劉育新修改災備中心的功能要求。20xx/2/18劉育新根據(jù)中國人壽項目小組的審核意見修。20xx/2/24劉育新修改節(jié)，災備中心的體系架構

　　

【正文】 3. 對 初步建議進行調整，給出最終建議 現(xiàn)假設災備中心只有保險核心應用、財務系統(tǒng)、銷售支持系統(tǒng)、客戶服務系統(tǒng)和電子商務系統(tǒng)，且災備中心這些應用系統(tǒng)的處理能力與生產系統(tǒng)相同。 恢復時間的要求 RPO（ Recovery Point Objective）：即數(shù)據(jù)恢復點目標，主要指的是業(yè)務系統(tǒng)所能容忍的數(shù)據(jù)丟失量。 RTO（ Recovery Time Objective）：即恢復時間目標，主要指的是所能容忍的業(yè)務停止服務的最長時間，也就是從災難發(fā)生到業(yè)務系統(tǒng)恢復服務功能所需要的最短時間周期。 RPO 針對的是 數(shù)據(jù)丟失，而 RTO 針對的是服務丟失，二者沒有必然的關聯(lián)性。 RTO 和 RPO的確定必須在進行風險分析和業(yè)務影響分析后根據(jù)不同的業(yè)務需求確定。對于不同企業(yè)的同一種業(yè)務， RTO 和 RPO 的需求也會有所不同。 RPO 和 RTO 是業(yè)務影響分析的結論之一。 恢復時間是指從確認生產中心切換至災難中心到災難中心接替生產中心工作的時間。 而 RTO 的實現(xiàn)以以下兩個主要方面為前提條件： 第一，實現(xiàn)災難恢復的主要步驟及操作模式。包括：由災難中心主管確認災難的確發(fā)生；在災難中心主機作斷點分析，查明交易情況；完成網絡物理切換（手工 或自動）；啟動災難中心主機應用系統(tǒng)（手工或自動）；主機系統(tǒng)重新與分支機構連線，完成災難中心切換任務。 第二，災難恢復有關制度及運作模式的建立。包括災難恢復的運作完全采用實時自動方式， 及災難恢復的運作采用人工干預與部分自動相結合的方式。 可見， RTO 不僅受到技術的影響，還跟管理流程和具體的業(yè)務操作密不可分。所以，目前我們尚無法估計出符合中國人壽實際情況的 RTO 指標。 體系架構 容災的體系架構不僅要能處理單點故障，還要能處理多點故障，甚至能處理數(shù)據(jù)中心、整個企業(yè)甚至某一區(qū)域性的災害。 能夠抵御多點故障甚 至區(qū)域故障的集群結構是一種特殊的集群結構，稱為容災體系架構。這種架構可以提供災難發(fā)生后的自動切換或者手工切換功能。一般來說，只有當整個數(shù)據(jù)中心都失效時，才啟動切換功能。 在地理位置上分離的容災體系架構可以對非計劃的停機提供保護，因為一個地點的故障影響不到另一點。為了能評估不同的容災方案需要知道： ? 災難的風險。 需要針對臺風，洪水還是地震設計容災方案。要應對什么樣的災難，決定了選擇什么樣的容災方案。例如，如果所在地易發(fā)生地震，那么另一處容災站點就不應選擇在相同的城市，因為地震會影響相當大的區(qū)域。 另外，災難發(fā) 生的頻率也影響是否選擇一個快速的恢復方案。例如，可能會針對每個季節(jié)都發(fā)生的颶風設計一個快速恢復方案，而不會針對 100 年都沒有噴發(fā)的火山設計方案。 ? 業(yè)務的弱點。 業(yè)務到底能承受多長時間的宕機？一些業(yè)務也許可以承受 1 或 2 天的恢復時間，而另一些業(yè)務可能需要在幾分鐘內恢復。一些應用可能只需要提供本地保護，另一些應用可能既需要本地保護，又需要具有遠程容災功能。 重要的是要考慮容災中心擔任的業(yè)務角色。例如，生產線生產可能需要非?？斓幕謴退俣取５?，如果最容易發(fā)生的災難是地震，生產線和為生產線服務的計算機會在災難中同時損 壞，在這種情況下，容災就沒有什么必要了。而實現(xiàn)本地切換會更有意義。 又如，訂單處理中心是完全依靠計算機工作的，為避免災害對這些設備造成損害而造成業(yè)務停頓而建立災備中心是有意義的。 決定采用什么容災方案需要權衡災難風險和在災難發(fā)生時的業(yè)務弱點。針對不同的需求有不同的方案，但是無論什么容災方案都會遵循一些基本原則： ? 通過地理位置上的分離保護節(jié)點 ? 通過復制保護數(shù)據(jù) ? 使用冗余電源 ? 建立高可用性網絡 這些指導原則還要加上標準的高可用性原則，例如采用冗余的物理訪問通道（主機到磁盤陣列的連接）、網卡、電源和硬盤。 容災中 心的數(shù)據(jù)復制方式的選擇與應用的 RPO 密切相關。 ? 對于 RPO 要求低的應用（例如，一天以上），可以采用磁帶備份的方法進行數(shù)據(jù)復制。這種應用對于生產中心與災備中心之間的網絡連接無要求。 ? 對于 RPO 要求較高的應用（例如，幾個小時），可以采用異步數(shù)據(jù)同步的方式 ? 對于 RPO 要求高的應用（例如，幾分鐘），可以采用同步數(shù)據(jù)同步的方式 針對數(shù)據(jù)同步方式（同步或者異步），有兩類方案 1. 采用基于主機上運行的軟件進行 要求生產中心與災備中心之間有高速 IP 網絡 2. 采用磁盤陣列進行 要求生產中心與災備中心之間有高速存儲網絡 容災的體系架構 可以分成以下三種： ? 校園容災 ? 包含多個建筑物 ? 可以自動切換的單一集群結構 ? 不同站點間的磁盤鏡像 校園集群體系架構長波端口 = 1 0 km光纖交換機光纖交換機光纖交換機光纖交換機數(shù)據(jù)鏡像（使用硬件或基于主機的軟件）數(shù)據(jù)中心 A電源回路1電源回路2AC L 1B短波端口 = 5 0 0 米數(shù)據(jù)中心 B電源回路3電源回路4A39。C L 2B39。集群心跳線 ( 以太網 或 F DD I) 圖 51 校園集群體系架構 ? 城市間容災 ? 本地網絡和磁盤保護優(yōu)先 ? 可以自動切換的單一集群結構 ? 站點間使用物理數(shù)據(jù)復制 城間集群體系架構高可用性網絡數(shù)據(jù)中心A AB B電源回路1電源回路2數(shù)據(jù)中心 BA39。 A39。B39。 B39。電源回路3電源回路4數(shù)據(jù)中心 C網絡網絡1 或 2 個 仲裁系統(tǒng)電源回路 5 電源回路 6物理數(shù)據(jù)復制物理數(shù)據(jù)復制網絡網絡網絡 網絡 圖 52 城間集群體系架構 ? 廣域容災 ? 租用的高速交換網絡 (用于數(shù)據(jù)鏈路 ) ? 多集群架構 ? 站點間可以采用物理數(shù)據(jù)復制或邏輯數(shù)據(jù)復制 ? 物理數(shù)據(jù)復制是指利用硬 /軟件進行的磁盤裸設備復制 ? 邏輯數(shù)據(jù)復制指利用文件系統(tǒng)或數(shù)據(jù)庫進行數(shù)據(jù)復制 廣域集群體系架構數(shù)據(jù)中心 AA AB B電源回路1電源回路2數(shù)據(jù)中心 BA39。 A39。B39。 B39。電源回路3電源回路4主集群次集群高可用性廣域網 ( W A N )使用高可用性的網絡進行數(shù)據(jù)復制和集群監(jiān)控物理或邏輯數(shù)據(jù)復制網絡網絡網絡網絡物理或邏輯數(shù)據(jù)復制 圖 53 廣域集群體系架構 數(shù)據(jù)同步技術及相關指標： 技術手段 RPO RTO 磁帶備份 幾小時～幾星期 硬盤間在線復制 映像（快照） 幾分鐘～一天 異步復制 幾秒鐘～幾分鐘 同步復制 0～幾秒鐘 基于廣域網的集群 幾分鐘～一天 磁帶恢復 幾天～幾星期 表 51 技術手段與 RPO、 RTO 的對應關系 不同業(yè)務類型的服務級別： Gartner 根據(jù)業(yè)務類型的不同，提出了如下的 RTO 和 RPO 要求（參見《 Best Practices and Trends in Business Continuity Planning》 20xx 年版）。 級別 業(yè)務 服務級別 一級 ? 直接面對客戶或者合作伙伴 ? 對企業(yè)收入和正常生產有嚴重影響 ? 提供 24X7服務 ? 可用性達到 %(停機時間 45分鐘 /月 ) ? RTO=2小時； RPO=0小時 二級 ? 供應鏈 ? 對企業(yè)收入和生產有一定的影響 ? 可用性達到 %(停機時間 /月 ) ? RTO=824小時； RPO=4小時 三級 ? 企業(yè)后端應用 ? 可用性達到 99%(停機時間 /月 ) ? RTO=72小時； RPO=24小時 四級 ? 部門級應用 ? 可用性達到 98%(停機時間 時 /月 ) ? RTO=120小時； RPO=24小時 表 52 業(yè)務類型的服務級別分類 我們建議中國人壽也按照這種方法，將所有應用分成四級。 體系架構建議： 中國人壽是全國性的大企業(yè)，數(shù)據(jù)中心是為全國各省服務的，為了最大限度的降低災害的影響，我們建議災備中心最好遠離生產數(shù)據(jù)中心，所以我們建議中國人壽采用“廣域集群體系架構”。 中國人壽可以采取先建立同城的災備中心，然后在建立遠程災備中心的策略。 基于同城的災備中心可以采用 同步數(shù)據(jù)傳輸?shù)姆绞剑ＷC數(shù)據(jù)不丟失。而遠程災備中心采用數(shù)據(jù)異步傳輸?shù)姆绞?，保證系統(tǒng)的響應速度。通過同步與異步的結合，既保證了不丟失數(shù)據(jù)，又保證了系統(tǒng)的響應速度。如圖 54 所示： 開始，可以建立如圖中最上部分所示的采用同步傳輸?shù)臑膫渲行?。其?PVOL 是在數(shù)據(jù)中心（站點 A）的存儲，而 SVOL 是位于災備中心的存儲。如果條件成熟后，可以選擇比較遠的地方建立遠地災備中心（站點 C），而將同城的災備中心做為中間站點（站點 B）（參見圖中最下端的部分）。中間站點只需要配備存儲設備，而不需要服務器設備。在建立了遠程災備中心 后，應用的切換是在數(shù)據(jù)中心和遠的數(shù)據(jù)中心之間進行的。 數(shù)據(jù)中心（站點 A）與中間站點（站點 B）之間采用同步數(shù)據(jù)傳輸，中間站與災備中心（站點 C）之間采用異步數(shù)據(jù)傳輸。當站點 A 因故停止運行后，站點 C 要等待站點 B 的數(shù)據(jù)完全傳輸?shù)秸军c C 后才能重新運行。 同步復制本地站點 遠地站點復制應用等待遠程 I/ O 完成應用繼續(xù)處理? 應用向 P V O L 寫數(shù)據(jù)（ 1 ）? 當 P V O L 向 S V O L 復制數(shù)據(jù)時（ 2amp。 3 ），應用等待（ 1 ）? 當復制完成后（ 4 ），應用繼續(xù)處理異步復制任何距離應用認為 ” I/O已經完成 ”遠程 I/O 有輕微延遲本地站點分裂? 應用向 P V O L 寫數(shù)據(jù)（ 1 ）? 應用認為 I/O 已經完成（ 2 ）而繼續(xù)進行處理? P V O L 向 S V O L 復制數(shù)據(jù)同步本地磁盤復制主戰(zhàn)點 “ A ”中間站點 “ B ”恢復站點 C遠地站點重同步異步任何距離重同步掛起多點接力不管多遠都能防止數(shù)據(jù)丟失額外拷貝，防止在復制過程中發(fā)生災難重同步? P V O L1 與 S V O L2 保持同步復制? S V O L2 在本地保持一個復制版本 P V O L2? S V O L2 與 P V O L2 周期性地分裂（ 1 ），同時 P V O L2 與S V O L3 利于異步復制進行更新（ 2 ）? 當更新完成（ 3 ）， P V O L2 和 S V O L2 在中間站點重新同步（ 4 ），同步完成后 P V O L1 繼續(xù)傳送數(shù)據(jù) 圖 54 中國人壽災備中心假設方案 災備中心的主機、存儲布局 集 群集 群磁 盤 陣 列 保 險 核 心 應 用 S A N 交 換 機 2S A N S w i t c h 1磁 盤 陣 列 其 他 應 用 磁 帶 庫核 心 網 絡 交 換 機 1核 心 網 絡 交 換 機 2N A SO A 服 務 器( 總 部 )工 作 組 交 換 機 1工 作 組 交 換 機 2保 險 核 心 應 用數(shù) 據(jù) 庫 服 務 器 財 務 系 統(tǒng) 數(shù) 據(jù) 庫保 險 核 心 應 用數(shù) 據(jù) 庫 服 務 器 財 務 系 統(tǒng) 數(shù) 據(jù) 庫保 險 核 心 應 用應 用 服 務 器保 險 核 心 應 用應 用 服 務 器總 部 M I S / B I應 用 服 務 器總 部 C R M應 用 服 務 器總 部 M I S / B I數(shù) 據(jù) 庫 服 務 器總 部 C R M數(shù) 據(jù) 庫 服 務 器集 群集 群集 群集 群企 業(yè) 門 戶 W E B 服 務 器 群 內 部 N A S負 載 均 衡 器負 載 均 衡 器銷 售 支 持應 用 服 務 器銷 售 支 持數(shù) 據(jù) 庫 服 務 器集 群精 算 與 風 險 管 理 電 子 商 務集 群目 錄 服 務 器 內 部 備 份 服 務 器 網 管 服 務 器集 群工 作 組 交 換 機 3工 作 組 交 換 機 4S e r v i c e D e s k 數(shù) 據(jù) 庫 服 務 器S e r v i c e D e s k應 用 服 務 器存 儲 管 理工 作 站H u b省 級 M I S / B I應 用 服 務 器省 級 C R M應 用 服 務 器集 群集 群E T L 服 務 器 E A I 服 務 器省 級 M I S / B I數(shù) 據(jù) 庫 服 務 器省 級 C R M數(shù) 據(jù) 庫 服 務 器集 群總 部 財 務 系 統(tǒng)H R 系 統(tǒng)產 品 開 發(fā) 圖 55 災備中心主機、存儲布局 圖示： ? 細線是網絡線 ? 綠色代表 Active ? 紅色代表 Standby ? 粗線是存儲網絡線（ SAN） ? 黑色代表