【正文】 3 ），應(yīng)用等待（ 1 ）? 當(dāng)復(fù)制完成后（ 4 ），應(yīng)用繼續(xù)處理異步復(fù)制任何距離應(yīng)用認(rèn)為 ” I/O已經(jīng)完成 ”遠(yuǎn)程 I/O 有輕微延遲本地站點分裂? 應(yīng)用向 P V O L 寫數(shù)據(jù)（ 1 ）? 應(yīng)用認(rèn)為 I/O 已經(jīng)完成（ 2 ）而繼續(xù)進(jìn)行處理? P V O L 向 S V O L 復(fù)制數(shù)據(jù)同步本地磁盤復(fù)制主戰(zhàn)點 “ A ”中間站點 “ B ”恢復(fù)站點 C遠(yuǎn)地站點重同步異步任何距離重同步掛起多點接力不管多遠(yuǎn)都能防止數(shù)據(jù)丟失額外拷貝，防止在復(fù)制過程中發(fā)生災(zāi)難重同步? P V O L1 與 S V O L2 保持同步復(fù)制? S V O L2 在本地保持一個復(fù)制版本 P V O L2? S V O L2 與 P V O L2 周期性地分裂（ 1 ），同時 P V O L2 與S V O L3 利于異步復(fù)制進(jìn)行更新（ 2 ）? 當(dāng)更新完成（ 3 ）， P V O L2 和 S V O L2 在中間站點重新同步（ 4 ），同步完成后 P V O L1 繼續(xù)傳送數(shù)據(jù) 圖 54 中國人壽災(zāi)備中心假設(shè)方案 災(zāi)備中心的主機、存儲布局 集 群集 群磁 盤 陣 列 保 險 核 心 應(yīng) 用 S A N 交 換 機 2S A N S w i t c h 1磁 盤 陣 列 其 他 應(yīng) 用 磁 帶 庫核 心 網(wǎng) 絡(luò) 交 換 機 1核 心 網(wǎng) 絡(luò) 交 換 機 2N A SO A 服 務(wù) 器( 總 部 )工 作 組 交 換 機 1工 作 組 交 換 機 2保 險 核 心 應(yīng) 用數(shù) 據(jù) 庫 服 務(wù) 器 財 務(wù) 系 統(tǒng) 數(shù) 據(jù) 庫保 險 核 心 應(yīng) 用數(shù) 據(jù) 庫 服 務(wù) 器 財 務(wù) 系 統(tǒng) 數(shù) 據(jù) 庫保 險 核 心 應(yīng) 用應(yīng) 用 服 務(wù) 器保 險 核 心 應(yīng) 用應(yīng) 用 服 務(wù) 器總 部 M I S / B I應(yīng) 用 服 務(wù) 器總 部 C R M應(yīng) 用 服 務(wù) 器總 部 M I S / B I數(shù) 據(jù) 庫 服 務(wù) 器總 部 C R M數(shù) 據(jù) 庫 服 務(wù) 器集 群集 群集 群集 群企 業(yè) 門 戶 W E B 服 務(wù) 器 群 內(nèi) 部 N A S負(fù) 載 均 衡 器負(fù) 載 均 衡 器銷 售 支 持應(yīng) 用 服 務(wù) 器銷 售 支 持?jǐn)?shù) 據(jù) 庫 服 務(wù) 器集 群精 算 與 風(fēng) 險 管 理 電 子 商 務(wù)集 群目 錄 服 務(wù) 器 內(nèi) 部 備 份 服 務(wù) 器 網(wǎng) 管 服 務(wù) 器集 群工 作 組 交 換 機 3工 作 組 交 換 機 4S e r v i c e D e s k 數(shù) 據(jù) 庫 服 務(wù) 器S e r v i c e D e s k應(yīng) 用 服 務(wù) 器存 儲 管 理工 作 站H u b省 級 M I S / B I應(yīng) 用 服 務(wù) 器省 級 C R M應(yīng) 用 服 務(wù) 器集 群集 群E T L 服 務(wù) 器 E A I 服 務(wù) 器省 級 M I S / B I數(shù) 據(jù) 庫 服 務(wù) 器省 級 C R M數(shù) 據(jù) 庫 服 務(wù) 器集 群總 部 財 務(wù) 系 統(tǒng)H R 系 統(tǒng)產(chǎn) 品 開 發(fā) 圖 55 災(zāi)備中心主機、存儲布局 圖示： ? 細(xì)線是網(wǎng)絡(luò)線 ? 綠色代表 Active ? 紅色代表 Standby ? 粗線是存儲網(wǎng)絡(luò)線（ SAN） ? 黑色代表 Active ? 紅色代表 Standby ? 黃色背景的主機屬于組 ? 其他主機屬于總部 災(zāi)備中心包含了數(shù)據(jù)中心的所有應(yīng)用，根據(jù)應(yīng)用的 RPO 和 RTO 的要求不同，推薦采用不的技術(shù)進(jìn)行數(shù)據(jù)復(fù)制。當(dāng)站點 A 因故停止運行后，站點 C 要等待站點 B 的數(shù)據(jù)完全傳輸?shù)秸军c C 后才能重新運行。在建立了遠(yuǎn)程災(zāi)備中心后，應(yīng)用的切換是在 數(shù)據(jù)中心和遠(yuǎn)的數(shù)據(jù)中心之間進(jìn)行的。如果條件成熟后，可以選擇比較遠(yuǎn)的地方建立遠(yuǎn)地災(zāi)備中心（站點 C），而將同城的災(zāi)備中心做為中間站點（站點 B）（參見圖中最下端的部分）。如圖 54 所示： 開始，可以建立如圖中最上部分所示的采用同步傳輸?shù)臑?zāi)備中心。而遠(yuǎn)程災(zāi)備中心采用數(shù)據(jù)異步傳輸?shù)姆绞?，保證系統(tǒng)的響應(yīng)速度。 中國人壽可以采取先建立同城的災(zāi)備中心，然后在建立遠(yuǎn)程災(zāi)備中心的策略。 級別 業(yè)務(wù) 服務(wù)級別 一級 ? 直接面對客戶或者合作伙伴 ? 對企業(yè)收入和正常生產(chǎn)有嚴(yán)重影響 ? 提供 24X7服務(wù) ? 可用性達(dá)到 %(停機時間 45分鐘 /月 ) ? RTO=2小時； RPO=0小時 二級 ? 供應(yīng)鏈 ? 對企業(yè)收入和生產(chǎn)有一定的影響 ? 可用性達(dá)到 %(停機時間 /月 ) ? RTO=824小時； RPO=4小時 三級 ? 企業(yè)后端應(yīng)用 ? 可用性達(dá)到 99%(停機時間 /月 ) ? RTO=72小時； RPO=24小時 四級 ? 部門級應(yīng)用 ? 可用性達(dá)到 98%(停機時間 /月 ) ? RTO=120小時； RPO=24小時 表 52 業(yè)務(wù)類型的服務(wù)級別分類 我們建議中國人壽也按照這種方法，將所有應(yīng)用分成四級。 B39。 A39。 B39。 A39。C L 2B39。這種應(yīng)用對于生產(chǎn)中心與災(zāi)備中心之間的網(wǎng)絡(luò)連接無要求。 容災(zāi)中心的數(shù)據(jù)復(fù)制方式的 選擇與應(yīng)用的 RPO 密切相關(guān)。 決定采用什么容災(zāi)方案需要權(quán)衡災(zāi)難風(fēng)險和在災(zāi)難發(fā)生時的業(yè)務(wù)弱點。而實現(xiàn)本地切換會更有意義。例如，生產(chǎn)線生產(chǎn)可能需要非?？斓幕謴?fù)速度。一些應(yīng)用可能只需要提供本地保護(hù)，另一些應(yīng)用可能既需要本地保護(hù)，又需要具有遠(yuǎn)程容災(zāi)功能。 ? 業(yè)務(wù)的弱點。 另外，災(zāi)難發(fā)生的頻率也影響是否 選擇一個快速的恢復(fù)方案。要應(yīng)對什么樣的災(zāi)難，決定了選擇什么樣的容災(zāi)方案。為了能評估不同的容災(zāi)方案需要知道： ? 災(zāi)難的風(fēng)險。一般來說，只有當(dāng)整個數(shù)據(jù)中心都失效時，才啟動切換功能。 能夠抵御多點故障甚至區(qū)域故障的集群結(jié) 構(gòu)是一種特殊的集群結(jié)構(gòu)，稱為容災(zāi)體系架構(gòu)。所以，目前我們尚無法估計出符合中國人壽實際情況的 RTO 指標(biāo)。包括災(zāi)難恢復(fù)的運作完全采用實時自動方式，及災(zāi)難恢復(fù)的運作采用人工干預(yù)與部分自動相結(jié)合的方式。包括：由災(zāi)難中心主管確認(rèn)災(zāi)難的確發(fā)生；在災(zāi)難中心主機作斷點分析，查明交易情況；完成網(wǎng)絡(luò)物理切換（手工或自動）；啟動災(zāi)難 中心主機應(yīng)用系統(tǒng)（手工或自動）；主機系統(tǒng)重新與分支機構(gòu)連線，完成災(zāi)難中心切換任務(wù)。 恢復(fù)時間是指從確認(rèn)生產(chǎn)中心切換至災(zāi)難中心到災(zāi)難中心接替生產(chǎn)中心工作的時間。對于不同企業(yè)的同一種業(yè)務(wù)， RTO 和 RPO 的需求也會有所不同。 RPO 針對的是數(shù)據(jù)丟失，而 RTO 針對的是服務(wù)丟失，二者沒有必然的關(guān)聯(lián)性。 恢復(fù)時間的要求 RPO（ Recovery Point Objective）：即數(shù)據(jù)恢復(fù)點目標(biāo)，主要指的是業(yè)務(wù)系統(tǒng)所能容忍的數(shù)據(jù)丟失量。 5 災(zāi)備中心設(shè)備、網(wǎng)絡(luò)性能要求 災(zāi)備中心的容量 災(zāi)備中心的處理能力受到幾方面的制約： ? 運行與災(zāi)備中心的關(guān)鍵應(yīng)用系統(tǒng)的數(shù)量 ? 災(zāi)備中心運行時的聯(lián)機系統(tǒng)用戶的數(shù)量 ? 災(zāi)備中心運行時能夠提供的應(yīng)用系統(tǒng)響應(yīng)速度 所以災(zāi)備中心的容量必須等到業(yè)務(wù)影響分析完成后才能明確。 當(dāng)有災(zāi)難發(fā)生時，停止開發(fā)環(huán)境，測試環(huán)境和預(yù)生產(chǎn)環(huán)境的運行，啟動備份生產(chǎn)環(huán) 境。當(dāng)一級數(shù)據(jù)中心的響應(yīng)中心有關(guān)于應(yīng)用的問題無法解決時，將問題傳遞給位于災(zāi)備中心的應(yīng)用支持組。二級數(shù)據(jù)中心的響應(yīng)中心主要解決本地的故障，當(dāng)遇到故障無法解決時，將問題轉(zhuǎn)給位于一級數(shù)據(jù)中心的響應(yīng)中心處理。響應(yīng)中心的人員可以訪問生產(chǎn)環(huán)境， IT 服務(wù)人員 可以訪問運行維護(hù)系統(tǒng)。 演習(xí)除了包含主機系統(tǒng)的切換外，還應(yīng)該包括廣域網(wǎng)的切換，所以在演習(xí)前還應(yīng)該通知相應(yīng)的電信運營商做好配合。例如，可以在演習(xí)前停止測試環(huán)境，并對測試環(huán)境的數(shù)據(jù)進(jìn)行全備份。環(huán)境的相互切換通過使用不同的系統(tǒng)啟動硬盤實現(xiàn)。其技術(shù)實現(xiàn)方面的要求與開發(fā)測試環(huán)境相同，即也需要獨立的存儲環(huán)境支持。 預(yù)生產(chǎn)環(huán)境 預(yù)生產(chǎn)環(huán)境主要用于系統(tǒng)正式投產(chǎn)前的驗收測試。 開發(fā)測試環(huán)境 由于開發(fā)測試不穩(wěn)定，經(jīng)常會進(jìn)行修改或者重新啟動系統(tǒng)，所以要求開發(fā)測試環(huán)境的數(shù)據(jù)與災(zāi)備環(huán)境的數(shù)據(jù)分開存儲―存儲在不同的物理設(shè)備上或同一設(shè)備的不同分區(qū)上。 災(zāi)備環(huán)境 平時，災(zāi)備系統(tǒng)的主機用于應(yīng)用開發(fā)機，但應(yīng)用數(shù)據(jù)必須保持與生產(chǎn)系統(tǒng)同步，這就要求應(yīng)用數(shù)據(jù)要保存在基于硬件同步的磁盤陣列中。這要求用于應(yīng)用開發(fā)的主機配有 2 套系統(tǒng)啟動硬盤。 機房建設(shè) 請參照《數(shù)據(jù)中心高端設(shè)計》的相應(yīng)章節(jié)。 地市系統(tǒng)先通過公司內(nèi)部專用網(wǎng)絡(luò)連接到二級數(shù)據(jù)中心，然后再連接到一級數(shù)據(jù)中心。 省市災(zāi)備中心建設(shè) 由于未來中國人壽的核心業(yè)務(wù) 系統(tǒng)和關(guān)鍵數(shù)據(jù)都集中在一級數(shù)據(jù)中心，省市級數(shù)據(jù)中心的數(shù)據(jù)量較少，主要是辦公自動化數(shù)據(jù)，所以建議在省市級數(shù)據(jù)中心不建立災(zāi)備中心。中端異地容災(zāi)與高端異地容災(zāi)大部分相同，所不同的是對重要業(yè)務(wù)采用中端容災(zāi)硬件和軟件，有數(shù)據(jù)丟失，業(yè)務(wù)短暫間斷，投資成本較低。在無大災(zāi)難時，本地運行中心正常運行。 異地容災(zāi)是在本地發(fā)生大災(zāi)難時由異地設(shè)備提供業(yè)務(wù)容災(zāi)恢復(fù)。 2. 異地容災(zāi) 大災(zāi)難包括：自然災(zāi)難（地震、臺風(fēng)、洪水等）、突發(fā)事件（業(yè)務(wù)系統(tǒng)中斷、通訊中斷、計算機病毒、計算機網(wǎng)絡(luò)犯罪、火災(zāi)影響、恐怖活動）等。 災(zāi)難恢復(fù)基本模式 1. 本地容錯 本地故障、錯誤可以分為幾種類型：網(wǎng)絡(luò)設(shè)備宕機、服務(wù)器宕機、數(shù)據(jù)庫宕機、存儲設(shè)備宕機、線路中斷、操作系統(tǒng)故障、應(yīng)用系統(tǒng)故障、硬件設(shè)備 故障、磁盤故障。這些都決定者與災(zāi)備中心相連的廣域網(wǎng)布局如何設(shè)計。 8. 備份中心計算機系統(tǒng) 有足夠的處理能力來接管數(shù)據(jù)中心的業(yè)務(wù)；同時應(yīng)具有不低于數(shù)據(jù)中心的安全防護(hù)能力 9. 重大災(zāi)難發(fā)生時，災(zāi)備中心和數(shù)據(jù)中心可以通過手工操作的方式切換 10. 數(shù)據(jù)中心或災(zāi)備中心發(fā)生小范圍事故時，系統(tǒng)在數(shù)據(jù)中心或災(zāi)備中心內(nèi)部可以自動切換 災(zāi)備中心的建設(shè)與數(shù)據(jù)中心的關(guān)系 災(zāi)備中心機房建設(shè)的前提條件是 ? 完成 BIA 分析和災(zāi)備中心 IT 基礎(chǔ)架構(gòu)設(shè)計 ? 生產(chǎn)數(shù)據(jù)中心開始運行 理由如下： 1. 沒有 BIA 的分析結(jié)果，無法明確災(zāi)備中心到底針對何種災(zāi)害設(shè)計，即無法決定災(zāi)備中心的物理地點 2. 沒有 BIA 的分析結(jié)果，無法決定中國人壽對災(zāi)備中心的投資規(guī)模 3. 沒有 BIA 的分析結(jié)果，無法確定災(zāi)備中心運行的核心應(yīng)用種類及其對恢復(fù)時間和數(shù)據(jù)丟失量的要求；無法確定核心業(yè)務(wù)流程之間的依賴關(guān)系，也就是說無法明確核心業(yè)務(wù)應(yīng)用之間的數(shù)據(jù)傳遞關(guān)系及對數(shù)據(jù)完整性的要求，所以無法進(jìn)行 IT 基礎(chǔ)架構(gòu)設(shè)計。 災(zāi)備中心建設(shè)要求 災(zāi)備中心的建設(shè)須滿足以下要求： 1. 備份中心與數(shù)據(jù)中心在地理位置上保持較遠(yuǎn)的距離 (例如 1000 公里 )，使得當(dāng)數(shù)據(jù)中心遭受災(zāi)害破壞時，不會影響到備份中心。 2. 面向數(shù)據(jù)中心提供 部分關(guān)鍵業(yè)務(wù)系統(tǒng)的容錯和異地容災(zāi)。 容災(zāi)備份系統(tǒng)建設(shè)內(nèi)容 在災(zāi)備中心建設(shè)中，不僅要考慮數(shù)據(jù)中心端的容錯，還要考慮對重要關(guān)鍵業(yè)務(wù)系統(tǒng)進(jìn)行異地容災(zāi)備份和對重要數(shù)據(jù)的定時和實時備份。 災(zāi)備中心的建設(shè)方案 災(zāi)備中心的建設(shè) 方案由兩種： 1. 建立一個獨立的災(zāi)備中心 2. 建立兩個數(shù)據(jù)中心，兩個中心之間互為備份 但是，如果建立兩個數(shù)據(jù)中心，管理流程會變得復(fù)雜，人員配備會增加，運行成本也會提高（例如，為了進(jìn)行雙向數(shù)據(jù)同步，要租用多條通信線路）。 3 災(zāi)備中心建設(shè)的建議 根據(jù)中國人壽的未來 IT 架構(gòu)，我們建議中國人壽建設(shè)一個災(zāi)備中心，以保證中國人壽因重大災(zāi)難事件而使一級數(shù)據(jù)中心無法繼續(xù)提供服務(wù)時，繼續(xù)為關(guān)鍵企業(yè)應(yīng)用提供運行平臺。 ? 災(zāi)備中心與生產(chǎn)中心使用結(jié)構(gòu)相同的 IT 基礎(chǔ) 架構(gòu)和管理流程 這樣可以大大降低管理與運行維護(hù)的復(fù)雜度。例如，為了在平時提供災(zāi)備中心設(shè)備的利用率，可以利用災(zāi)備中心的設(shè)備進(jìn)行應(yīng)用的開發(fā)和測試。演習(xí)環(huán)境是為了保證在演習(xí)是正常的業(yè)務(wù)處理仍能繼續(xù)而建立的。 ? 災(zāi)備中心需要建立高可用性的架構(gòu) 災(zāi)備中心啟用后，就開始做為生產(chǎn)中心提供服務(wù)。沒有企業(yè)高層領(lǐng)導(dǎo)的支持是不行的。企業(yè)應(yīng)該確定和設(shè)計減少集中風(fēng)險的最適當(dāng)?shù)南麥p措施組合。部署在另外區(qū)域的一批工作人員用于接管關(guān)鍵業(yè)務(wù)功能。例如，結(jié)算操作人員與其 IT 操作（包括 IT 設(shè)備和人員）應(yīng)該在不同的區(qū)域。 第二：事務(wù)操作和 IT 操作分離。在應(yīng)對大范圍中斷的準(zhǔn)備中，企業(yè)應(yīng)該盡量采 用以下三種關(guān)鍵業(yè)務(wù)功能的分離策略： 第一：主站點和恢復(fù)站點分離。這在中斷造成人員無法使用的情況下通常是行不通的。當(dāng)業(yè)務(wù)運行及其支持技術(shù)（ IT 設(shè)備和人員）被安排在同一區(qū)域時，企業(yè)應(yīng)該評估其集中風(fēng)險。 原則 7：企業(yè)應(yīng)該采用分離策略來消減集中風(fēng)險。對于企業(yè)與客戶、合作伙伴和服務(wù)供應(yīng)商的主站點在同一區(qū)域的情況，其恢復(fù)站點之間應(yīng) 該安排有電信鏈接。 2. 大范圍中斷可能會增加依賴性風(fēng)險。企業(yè)應(yīng)該在業(yè)務(wù)永續(xù)運行計劃中考慮到多個區(qū)域中斷的情況，考慮到各關(guān)鍵業(yè)務(wù)活動的水平、風(fēng)險承受能力和風(fēng)險管理策略。范圍被定義 為同一中斷所影響的可能區(qū)域 。 原則 6：企業(yè)應(yīng)該為大范圍中斷情況制定計劃。 5. 在外部供應(yīng)