【正文】 在災(zāi)難發(fā)生時(shí)的業(yè)務(wù)弱點(diǎn)。而實(shí)現(xiàn)本地切換會(huì)更有意義。例如，生產(chǎn)線生產(chǎn)可能需要非?？斓幕謴?fù)速度。一些應(yīng)用可能只需要提供本地保護(hù)，另一些應(yīng)用可能既需要本地保護(hù)，又需要具有遠(yuǎn)程容災(zāi)功能。 業(yè)務(wù)的弱點(diǎn)。例如，可能會(huì)針對(duì)每個(gè)季節(jié)都發(fā)生的颶風(fēng)設(shè)計(jì)一個(gè)快速恢復(fù)方案，而不會(huì)針對(duì)100年都沒(méi)有噴發(fā)的火山設(shè)計(jì)方案。例如，如果所在地易發(fā)生地震，那么另一處容災(zāi)站點(diǎn)就不應(yīng)選擇在相同的城市，因?yàn)榈卣饡?huì)影響相當(dāng)大的區(qū)域。需要針對(duì)臺(tái)風(fēng)，洪水還是地震設(shè)計(jì)容災(zāi)方案。為了能評(píng)估不同的容災(zāi)方案需要知道：一般來(lái)說(shuō)，只有當(dāng)整個(gè)數(shù)據(jù)中心都失效時(shí)，才啟動(dòng)切換功能。能夠抵御多點(diǎn)故障甚至區(qū)域故障的集群結(jié)構(gòu)是一種特殊的集群結(jié)構(gòu)，稱為容災(zāi)體系架構(gòu)。所以，目前我們尚無(wú)法估計(jì)出符合中國(guó)人壽實(shí)際情況的RTO指標(biāo)。包括災(zāi)難恢復(fù)的運(yùn)作完全采用實(shí)時(shí)自動(dòng)方式，及災(zāi)難恢復(fù)的運(yùn)作采用人工干預(yù)與部分自動(dòng)相結(jié)合的方式。包括：由災(zāi)難中心主管確認(rèn)災(zāi)難的確發(fā)生；在災(zāi)難中心主機(jī)作斷點(diǎn)分析，查明交易情況；完成網(wǎng)絡(luò)物理切換（手工或自動(dòng)）；啟動(dòng)災(zāi)難中心主機(jī)應(yīng)用系統(tǒng)（手工或自動(dòng)）；主機(jī)系統(tǒng)重新與分支機(jī)構(gòu)連線，完成災(zāi)難中心切換任務(wù)?；謴?fù)時(shí)間是指從確認(rèn)生產(chǎn)中心切換至災(zāi)難中心到災(zāi)難中心接替生產(chǎn)中心工作的時(shí)間。對(duì)于不同企業(yè)的同一種業(yè)務(wù)，RTO和RPO的需求也會(huì)有所不同。 　　 RPO針對(duì)的是數(shù)據(jù)丟失，而RTO針對(duì)的是服務(wù)丟失，二者沒(méi)有必然的關(guān)聯(lián)性。 恢復(fù)時(shí)間的要求RPO（Recovery Point Objective）：即數(shù)據(jù)恢復(fù)點(diǎn)目標(biāo)，主要指的是業(yè)務(wù)系統(tǒng)所能容忍的數(shù)據(jù)丟失量。 災(zāi)備中心運(yùn)行時(shí)能夠提供的應(yīng)用系統(tǒng)響應(yīng)速度所以災(zāi)備中心的容量必須等到業(yè)務(wù)影響分析完成后才能明確。 運(yùn)行與災(zāi)備中心的關(guān)鍵應(yīng)用系統(tǒng)的數(shù)量同時(shí)響應(yīng)中心，IT服務(wù)管理環(huán)境和運(yùn)行維護(hù)環(huán)境也切換到災(zāi)備中心。應(yīng)用支持組也無(wú)法解決時(shí)，再將問(wèn)題交給開(kāi)發(fā)組。災(zāi)備中心有開(kāi)發(fā)組，應(yīng)用支持組，開(kāi)發(fā)環(huán)境，測(cè)試環(huán)境和預(yù)生產(chǎn)環(huán)境。二級(jí)數(shù)據(jù)中心有生產(chǎn)環(huán)境，運(yùn)行維護(hù)環(huán)境和響應(yīng)中心。 災(zāi)備中心功能示意圖圖 41容災(zāi)中心的功能如圖41所示，一級(jí)數(shù)據(jù)中心內(nèi)部有生產(chǎn)環(huán)境，運(yùn)行維護(hù)環(huán)境，IT 服務(wù)管理環(huán)境和響應(yīng)中心。演習(xí)時(shí)使用原來(lái)測(cè)試環(huán)境使用的磁盤(pán)陣列。演習(xí)環(huán)境應(yīng)該有不同于災(zāi)備環(huán)境的磁盤(pán)空間存儲(chǔ)演習(xí)用數(shù)據(jù)。 演習(xí)環(huán)境為了更好的對(duì)實(shí)際情況進(jìn)行模擬，建議演習(xí)環(huán)境與災(zāi)備環(huán)境使用統(tǒng)一運(yùn)行平臺(tái)。主要進(jìn)行的是壓力測(cè)試，系統(tǒng)聯(lián)調(diào)等。開(kāi)發(fā)測(cè)試環(huán)境還可以用作業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的演習(xí)環(huán)境。災(zāi)難發(fā)生時(shí)，用災(zāi)備系統(tǒng)的啟動(dòng)硬盤(pán)啟動(dòng)，系統(tǒng)進(jìn)入災(zāi)備系統(tǒng)狀態(tài)工作。災(zāi)備中心在平時(shí)做為開(kāi)發(fā)測(cè)試中心基于如下假設(shè)：災(zāi)備中心在需要啟動(dòng)時(shí)，所有服務(wù)器冷啟動(dòng)就可以滿足“恢復(fù)時(shí)間”的要求。4 災(zāi)備中心的功能要求如果災(zāi)備中心平時(shí)處于冷備份狀態(tài)，那么為了更有效地利用災(zāi)備中心的設(shè)備，災(zāi)備中心除了擔(dān)負(fù)災(zāi)難發(fā)生時(shí)的應(yīng)急處理中心的任務(wù)外，在平時(shí)還可以做為應(yīng)用開(kāi)發(fā)中心使用。當(dāng)二級(jí)數(shù)據(jù)中心發(fā)生災(zāi)難無(wú)法工作時(shí)，地市用戶可以通過(guò)因特網(wǎng)上的VPN直接與一級(jí)數(shù)據(jù)中心通信。影像系統(tǒng)雖然在二級(jí)數(shù)據(jù)中心，但是在一級(jí)數(shù)據(jù)中心保存有影像數(shù)據(jù)，所以二級(jí)數(shù)據(jù)中心發(fā)生故障時(shí)，用戶可以使用一級(jí)數(shù)據(jù)中心的影像數(shù)據(jù)。低端異地容災(zāi)可以對(duì)一般業(yè)務(wù)采用遠(yuǎn)端磁帶庫(kù)和磁盤(pán)進(jìn)行定期備份，業(yè)務(wù)恢復(fù)時(shí)間長(zhǎng)，數(shù)據(jù)丟失多，投資成本最低。在有大災(zāi)難時(shí)，關(guān)鍵業(yè)務(wù)的客戶端的請(qǐng)求自動(dòng)被送往異地備份中心的服務(wù)器，而異地備份中心的數(shù)據(jù)庫(kù)提供已同步的數(shù)據(jù)響應(yīng)客戶端的請(qǐng)求，從而保證數(shù)據(jù)的完整性和一致性，保證業(yè)務(wù)7天24小時(shí)不間斷運(yùn)行。高端異地容災(zāi)由本地運(yùn)行中心和異地備份中心組成，異地備份中心具有本地運(yùn)行中心的相同業(yè)務(wù)系統(tǒng)，兩個(gè)中心的數(shù)據(jù)是同步的。大災(zāi)難使得本地的網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)設(shè)備宕機(jī)，技術(shù)支持人員不能及時(shí)到現(xiàn)場(chǎng)恢復(fù)，業(yè)務(wù)系統(tǒng)中斷，從而造成重大損失和災(zāi)難。本地設(shè)備和軟件發(fā)生故障時(shí)，本地冗余和備份的設(shè)備和軟件可以幫助恢復(fù)故障。5. 沒(méi)有IT基礎(chǔ)架構(gòu)設(shè)計(jì)，無(wú)法明確災(zāi)備中心需要的設(shè)備類型和數(shù)量，所以無(wú)法進(jìn)行設(shè)備選購(gòu)，無(wú)法得出對(duì)機(jī)房配電，空調(diào)，地板承重以及布線的具體要求6. 如果數(shù)據(jù)中心的應(yīng)用部署沒(méi)有最終完成，無(wú)法得到詳細(xì)的應(yīng)用之間的數(shù)據(jù)依賴關(guān)系，無(wú)法得到應(yīng)用正常運(yùn)行需要何種質(zhì)量的數(shù)據(jù)，無(wú)法取得應(yīng)用正常啟動(dòng)和異常啟動(dòng)需要的時(shí)間，這些都是決定采用何種恢復(fù)技術(shù)的關(guān)鍵因素，也是衡量災(zāi)備中心的設(shè)計(jì)是否能夠達(dá)到要求的恢復(fù)時(shí)間的重要依據(jù)。4. 沒(méi)有BIA的分析結(jié)果，無(wú)法確定中國(guó)人壽在發(fā)生災(zāi)難后所希望達(dá)到的服務(wù)標(biāo)準(zhǔn)，即是否關(guān)閉一些保險(xiǎn)業(yè)務(wù)，是否關(guān)閉一些分支機(jī)構(gòu)（如區(qū)縣級(jí)機(jī)構(gòu)），是否限制使用系統(tǒng)的用戶數(shù)量，是否改變正常的業(yè)務(wù)處理流程等。 完成BIA分析和災(zāi)備中心IT基礎(chǔ)架構(gòu)設(shè)計(jì) 2. 交通便捷3. 主要電信服務(wù)商可以提供語(yǔ)音及專用數(shù)據(jù)網(wǎng)絡(luò)服務(wù)4. 機(jī)房環(huán)境要求與主中心相同5. 可以容納足夠的工作人員辦公6. 備份中心的所有應(yīng)用系統(tǒng)必須經(jīng)過(guò)嚴(yán)格的測(cè)試，確保業(yè)務(wù)系統(tǒng)能夠正常運(yùn)行 7. 備份中心與數(shù)據(jù)中心間網(wǎng)絡(luò)帶寬應(yīng)能保證兩地間數(shù)據(jù)的可靠同步。 3. 提供數(shù)據(jù)中心和容災(zāi)中心本地?cái)?shù)據(jù)備份。 災(zāi)備中心建設(shè)的內(nèi)容包括： 1. 面向數(shù)據(jù)中心提供網(wǎng)絡(luò)通訊設(shè)備、通訊線路、存儲(chǔ)網(wǎng)絡(luò)設(shè)備的全面容錯(cuò)和異地容災(zāi)。所以，我們建議采用第一種方案。我們的設(shè)計(jì)基于如下假設(shè)：由于連續(xù)性災(zāi)難（即主數(shù)據(jù)中心發(fā)生災(zāi)難尚未恢復(fù)正常運(yùn)行時(shí)，災(zāi)備中心又因發(fā)生重大災(zāi)難而停止運(yùn)行）發(fā)生的概率極小，我們?cè)谠O(shè)計(jì)中不考率對(duì)于連續(xù)性災(zāi)難的恢復(fù)問(wèn)題。災(zāi)備中心的處理能力可以與生產(chǎn)中心不同，但是要滿足業(yè)務(wù)需要。 災(zāi)備中心的設(shè)備應(yīng)該得到充分利用災(zāi)備中心的建設(shè)不僅要考率到緊急情況下的使用情況，還要考慮日常如何利用。演習(xí)環(huán)境是為了保證在演習(xí)是正常的業(yè)務(wù)處理仍能繼續(xù)而建立的。因此災(zāi)備中心也應(yīng)該與生產(chǎn)中心一樣，對(duì)關(guān)鍵業(yè)務(wù)應(yīng)用采用高可用性架構(gòu)，以防止由于單點(diǎn)故障而引起宕機(jī) 災(zāi)備中心的建設(shè)需要得到高層領(lǐng)導(dǎo)的支持災(zāi)備中心的建設(shè)和運(yùn)維需要大量人力、物力的配合，涉及到許多部門(mén)。企業(yè)應(yīng)該確定和設(shè)計(jì)減少集中風(fēng)險(xiǎn)的最適當(dāng)?shù)南麥p措施組合。部署在另外區(qū)域的一批工作人員用于接管關(guān)鍵業(yè)務(wù)功能。例如，結(jié)算操作人員與其IT操作（包括IT設(shè)備和人員）應(yīng)該在不同的區(qū)域。第二：事務(wù)操作和IT操作分離。在應(yīng)對(duì)大范圍中斷的準(zhǔn)備中，企業(yè)應(yīng)該盡量采用以下三種關(guān)鍵業(yè)務(wù)功能的分離策略：第一：主站點(diǎn)和恢復(fù)站點(diǎn)分離。這在中斷造成人員無(wú)法使用的情況下通常是行不通的。當(dāng)業(yè)務(wù)運(yùn)行及其支持技術(shù)（IT設(shè)備和人員）被安排在同一區(qū)域時(shí)，企業(yè)應(yīng)該評(píng)估其集中風(fēng)險(xiǎn)。原則 7：企業(yè)應(yīng)該采用分離策略來(lái)消減集中風(fēng)險(xiǎn)。對(duì)于企業(yè)與客戶、合作伙伴和服務(wù)供應(yīng)商的主站點(diǎn)在同一區(qū)域的情況，其恢復(fù)站點(diǎn)之間應(yīng)該安排有電信鏈接。2. 大范圍中斷可能會(huì)增加依賴性風(fēng)險(xiǎn)。企業(yè)應(yīng)該在業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃中考慮到多個(gè)區(qū)域中斷的情況，考慮到各關(guān)鍵業(yè)務(wù)活動(dòng)的水平、風(fēng)險(xiǎn)承受能力和風(fēng)險(xiǎn)管理策略。范圍被定義為同一中斷所影響的可能區(qū)域 。原則 6：企業(yè)應(yīng)該為大范圍中斷情況制定計(jì)劃。5. 在外部供應(yīng)商異常終止或破產(chǎn)的事件中，企業(yè)尋找其它合適的供應(yīng)商并進(jìn)行安置和部署可能要花費(fèi)數(shù)月的時(shí)間，這樣的過(guò)渡期風(fēng)險(xiǎn)是無(wú)法接受的。它們應(yīng)該確定其服務(wù)供應(yīng)商也有相應(yīng)的應(yīng)急計(jì)劃，即使這些計(jì)劃沒(méi)有自己的業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃準(zhǔn)備的那么充分。所以，企業(yè)應(yīng)采取合理的步驟消減這些風(fēng)險(xiǎn)（如同電信供應(yīng)商討論確保通信線路通過(guò)不同的交換局進(jìn)行路由的問(wèn)題）。3. 雖然有些依賴性風(fēng)險(xiǎn)不在企業(yè)的控制范圍內(nèi)而無(wú)法徹底消減（如無(wú)法使用電信網(wǎng)絡(luò)），但是這并不能降低其客戶和合作伙伴對(duì)企業(yè)服務(wù)和履行職責(zé)的期望。 對(duì)基礎(chǔ)設(shè)施提供者（如電信） 業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃應(yīng)該將復(fù)雜的依賴關(guān)系考慮進(jìn)去并且盡可能地消減這些風(fēng)險(xiǎn)。 企業(yè)之間（如銀保通） 這些依賴性的例子有：2. 在制定關(guān)鍵業(yè)務(wù)功能的應(yīng)急計(jì)劃時(shí)，企業(yè)應(yīng)該考慮到這些功能的相互依賴性及其相互依賴的程度。這使其增加了對(duì)其它團(tuán)體（內(nèi)部或外部的）的依賴。原則 5：企業(yè)應(yīng)該了解和適當(dāng)?shù)叵麥p關(guān)鍵業(yè)務(wù)功能互相依賴的風(fēng)險(xiǎn)。但是，與完成大額支付業(yè)務(wù)、清算和結(jié)算事務(wù)、履行每日資金和擔(dān)保職責(zé)、管理客戶風(fēng)險(xiǎn)以及維護(hù)客戶、投資者或公眾信心有關(guān)的功能通常被視作關(guān)鍵的。這種方法也用來(lái)凸現(xiàn)各種關(guān)鍵功能之間的相對(duì)優(yōu)先順序并幫助企業(yè)確定其恢復(fù)策略和恢復(fù)時(shí)間目標(biāo)。所以，企業(yè)應(yīng)該確定其關(guān)鍵的業(yè)務(wù)功能以及這些操作中斷情況下的潛在損失（經(jīng)濟(jì)或非經(jīng)濟(jì)方面）。這樣就可能對(duì)企業(yè)的信譽(yù)和生存能力造成負(fù)面的影響。它是定義關(guān)鍵業(yè)務(wù)功能的恢復(fù)時(shí)間目標(biāo) 的基礎(chǔ)。原則 4：企業(yè)應(yīng)該制定恢復(fù)策略和關(guān)鍵業(yè)務(wù)功能的恢復(fù)時(shí)間目標(biāo)。 備份磁帶還原測(cè)試以及 備份站點(diǎn)到備份站點(diǎn)的測(cè)試（包括與外部服務(wù)提供商） 整個(gè)系統(tǒng)的桌面排演測(cè)試 這包括在新加坡以外工作的企業(yè)官員、分枝或服務(wù)提供商。全面性還包括測(cè)試人員的意識(shí)和準(zhǔn)備情況以及對(duì)外協(xié)調(diào)情況。企業(yè)應(yīng)該能夠證明其測(cè)試項(xiàng)目充分涵蓋了定性和定量等各方面的問(wèn)題。管理層應(yīng)該參與到測(cè)試中并熟悉其在計(jì)劃啟動(dòng)時(shí)的角色和責(zé)任。經(jīng)常性的測(cè)試對(duì)于保證業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的效率是至關(guān)重要的。測(cè)試的目標(biāo)是確保企業(yè)在啟動(dòng)業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃后能夠按照計(jì)劃可靠、及時(shí)和有效地恢復(fù)運(yùn)行。因此，通過(guò)對(duì)業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的測(cè)試來(lái)測(cè)量其可用性和有效性是很重要的。1. 需要通過(guò)測(cè)試來(lái)確定業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的有效性。企業(yè)應(yīng)該努力將面向風(fēng)險(xiǎn)的業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃融入到日常運(yùn)行和管理中并使之成為企業(yè)文化的一部分。 對(duì)外聯(lián)絡(luò)和危機(jī)管理協(xié)調(diào)規(guī)程 不斷對(duì)員工進(jìn)行相關(guān)的意識(shí)培養(yǎng)和技能培訓(xùn) 進(jìn)行業(yè)務(wù)影響分析 明確業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃政策和策略 2. 業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃應(yīng)該是可信的，包含清晰的策略和職責(zé)，具有可操作性，隨著業(yè)務(wù)變化得到更新并經(jīng)過(guò)切實(shí)的測(cè)試。1. 業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃是面向風(fēng)險(xiǎn)和事先反應(yīng)的方法，它包括對(duì)業(yè)務(wù)分枝的全面理解、事件響應(yīng)、危機(jī)管理和對(duì)外聯(lián)絡(luò)。所以，如果適當(dāng)，應(yīng)該將這些驗(yàn)證與客戶、合作伙伴以及其它有關(guān)方面共享。所以驗(yàn)證應(yīng)該定期進(jìn)行更新。 企業(yè)考慮到其業(yè)務(wù)活動(dòng)水平、風(fēng)險(xiǎn)管理策略和在保護(hù)保險(xiǎn)體系系統(tǒng)穩(wěn)定性方面所扮演的角色這些因素的情況下，選擇遵循本文中原則的程度 3. 這些驗(yàn)證應(yīng)該提交給董事會(huì)。2. 驗(yàn)證的內(nèi)容應(yīng)該明確包括：1. 企業(yè)的業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃是董事會(huì)和管理層的責(zé)任。業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃是災(zāi)備中心最重要的文件之一。 建立災(zāi)難恢復(fù)時(shí)的恢復(fù)流程優(yōu)先級(jí)我們認(rèn)為，中國(guó)人壽應(yīng)該按照如下步驟進(jìn)行業(yè)務(wù)影響分析：圖 25中國(guó)人壽業(yè)務(wù)影響分析方法 業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃是關(guān)于一些流程的正式文件，這些流程是制訂企業(yè)面對(duì)不利的意外事件時(shí)的策略和行動(dòng)計(jì)劃的。 幫助定義針對(duì)不同的可用性/災(zāi)難恢復(fù)要求所需要的不同級(jí)別的投資情況 識(shí)別和量化每個(gè)業(yè)務(wù)單元或者資源對(duì)整個(gè)企業(yè)在財(cái)務(wù)和運(yùn)行方面的影響這些數(shù)據(jù)可以用來(lái)做制訂恢復(fù)和業(yè)務(wù)永續(xù)運(yùn)行策略的基礎(chǔ)。