【正文】 正常運行時間和數(shù)據(jù)保護對業(yè)務(wù)而言非常關(guān)鍵，災(zāi)難帶來的員工工作效率下降、士氣低落、收入下降、聲譽受損和影響合規(guī)性將對企業(yè)產(chǎn)生巨大的消極影響。 數(shù)據(jù)中心的災(zāi)難會以不同形式發(fā)生，比如電力中斷、硬件故障、人為操作失誤、以及自然災(zāi)害。因此 ，只要是擁有 IT 信息系統(tǒng)的組織 ， 都應(yīng)為隨時可能發(fā)生的中斷作好準(zhǔn)備。 事實上， 災(zāi)難恢復(fù) 的影響不僅僅局限于 上面提到的 金融領(lǐng)域，政府 、 公安 、 醫(yī)療 、教育等諸多行業(yè)都需要使用 業(yè)務(wù)可用 性解決方案來保證 其業(yè)務(wù)的可用 性 ， 對于這些企業(yè)，機關(guān)，單位而言， 當(dāng) IT 基礎(chǔ)設(shè)施突然停運 ， 不僅企業(yè)內(nèi)部的業(yè)務(wù)流轉(zhuǎn)、辦公等面臨癱瘓 ， 更重要的是 ， 對外與客戶或合作伙伴的所有業(yè)務(wù)交流都不得不陷入停滯 。所以，對用戶來說，明確災(zāi)備系統(tǒng)建設(shè)的總體規(guī)劃十分必要。及在發(fā)生災(zāi)難，容災(zāi)系統(tǒng)接替原生產(chǎn)系統(tǒng)運行時，容災(zāi)系統(tǒng)與原生產(chǎn)中心不一至的數(shù)據(jù)量。在實際應(yīng)用中，考慮到數(shù)據(jù)傳輸因素，業(yè)務(wù)數(shù)據(jù)庫與容災(zāi)備份數(shù)據(jù)庫的一致性（ SCN）是不相同的，RPO 表示業(yè)務(wù)數(shù)據(jù)與容災(zāi)備份數(shù)據(jù)的 SCN 的時間差。 5 RTO(Recovery Time Objective):以應(yīng)用為出發(fā)點， 即 應(yīng)用的 恢復(fù)時間目標(biāo)，主要指的是所能容忍的 應(yīng)用 停止服務(wù)的最長時間，也就是從災(zāi)難發(fā)生到業(yè)務(wù)系統(tǒng)恢復(fù)服務(wù)功能所需要的最短時間周期。 RTO 值越小，代表容災(zāi)系統(tǒng)的數(shù)據(jù)恢復(fù)能力越強。容災(zāi)系統(tǒng)為獲得最小的 RTO，需要投入大量資金。 國際標(biāo)準(zhǔn) SHARE 78 要建設(shè)容災(zāi)系統(tǒng)，就必須提出相應(yīng) 的設(shè)計指標(biāo) ，以此作為衡量和選擇容災(zāi)解決方案的參數(shù)。 ● 備份 /恢復(fù)的范圍 ● 災(zāi)難恢復(fù)計劃的狀態(tài) ● 業(yè)務(wù)中心與容災(zāi)中心之間的距離 ● 業(yè)務(wù)中心與容災(zāi)中心之間如何連接 ● 數(shù)據(jù)是怎樣在兩個中心之間傳送的 ● 允許有多少數(shù)據(jù)丟失 ● 保證更新的數(shù)據(jù)在容災(zāi)中心被更新 ● 容災(zāi)中心可以開始容災(zāi)進程的能力 SHARE 78 是建立容災(zāi)系統(tǒng)的一種評審標(biāo)準(zhǔn)。SHARE 78, M028 報告中定義的災(zāi)備的七個級別和與其對應(yīng)的數(shù)據(jù)丟失量與恢復(fù)時間情況詳見下表 ： 災(zāi)難備份等級與業(yè)務(wù)恢復(fù)情況對照表 等級 描述 PRO RTO 企業(yè)百分比 6 0級 無災(zāi)備計劃 % 1級 車輛運送方式 24~48小時 48小時 % 2級 車輛運送＋熱備份 24~48小時 24小時 90% 3級 電子傳送 24小時 24小時 6% 4級 活動狀態(tài)備份中心 秒級 24小時 % 5級 兩中心、兩階段確認(rèn) 秒級 2小時 % 6級 零數(shù)據(jù)丟失 零丟失 2小時 3% Tier 0 Tier 0 無異地數(shù)據(jù)備份 (No offsite Data) Tier 0 被定義為沒有信息存儲的需求，沒有建立備份硬件平臺的需求，也沒有發(fā)展應(yīng)急計劃的需求，數(shù)據(jù)僅在本地進行備份恢復(fù)， 沒有數(shù)據(jù)送往異地。 7 Tier 1 Tier 1 PTAM 車輛轉(zhuǎn)送方式 ( Pickup Truck Access Method) 作為 Tier 1 的災(zāi)難備份方案需要設(shè)計一個應(yīng)急方案，能夠備份所需要的信息并將它存儲在異地，然后根據(jù)災(zāi)難備份的具體需求，有選擇地建立備份平臺， 但事先并不提供數(shù)據(jù)處理的硬件平臺。在災(zāi)難發(fā)生后，一整套系統(tǒng)和應(yīng)用安裝動作需要在一臺未啟動的計算機上重新完成。這種災(zāi)難備份方案相對來說成本較低 (僅僅需要傳輸工具的消耗 以及存儲設(shè)備的消耗 )。一旦系統(tǒng)可以工作，標(biāo)準(zhǔn)的做法是首先恢復(fù)關(guān)鍵應(yīng)用，其余的應(yīng)用根據(jù)需要恢復(fù)。 Tier 2 Tier 2 PTAM 卡車轉(zhuǎn)送方式 +熱備份中心 (PTAM+Hot Site) Tier 2 相當(dāng)于是 Tier 1 再加上具有熱備份能力中心的災(zāi)難備份。對于十分關(guān)鍵的應(yīng)用，在災(zāi)難發(fā)生 的同時，必須在異地有正運行著的硬件平臺提供支持。雖然移動數(shù)據(jù)到一個熱備份中心增加了成本，但卻明顯降低了災(zāi)難備份的時間。接收 8 方的硬件平臺必須與生產(chǎn)中心物理地相分離，在災(zāi)難發(fā)生后，存儲的數(shù)據(jù)用于災(zāi)難備份。但確實是消除了運送工具的需要，提高了災(zāi)難備份的速度。接收方硬件平臺必須保證與另一方平臺物理地相分離，在這種情況下，工作負(fù)載可以在兩個中心之間被分擔(dān)，兩個中心之間之間彼此備份。在災(zāi)難發(fā)生時，需要的關(guān)鍵數(shù)據(jù)通過網(wǎng)絡(luò)可迅速恢 復(fù)，通過網(wǎng)絡(luò)的切換，關(guān)鍵應(yīng)用的恢復(fù)時間也可降低到了小時級。我們可以想象這樣一種情景，數(shù)據(jù)在兩個中心之間相互映像，由遠(yuǎn)程 twophase mit 來同步，因為關(guān)鍵應(yīng)用使用了雙重在線存儲，所以在災(zāi)難發(fā)生時，僅僅傳送中的數(shù)據(jù)被丟失，恢復(fù)的時間被降低到了小時級。 Tier 6被認(rèn)為是災(zāi)難備份的最高的級別，在本地和遠(yuǎn)程的所有數(shù)據(jù)被更新的同時，利用了雙重在線存儲和完全的網(wǎng)絡(luò)切換能力。對于 Tier 6 的災(zāi) 難備份解決方案，可以應(yīng)用兩種 9 遠(yuǎn)程拷貝技術(shù)來實現(xiàn)，即 PPRC 同步遠(yuǎn)程拷貝和 XRC 異步遠(yuǎn)程拷貝。 災(zāi)備系統(tǒng)建設(shè)的總體規(guī)劃應(yīng)包括以下幾個方面： 界定災(zāi)備系統(tǒng)的適用范圍 分析不同的應(yīng)用系統(tǒng)，確定災(zāi)備系統(tǒng)是一個覆蓋整個計算機系統(tǒng)的工程， 根據(jù)業(yè)務(wù)的重要性，對不同的系統(tǒng)采用不同級別的容災(zāi)方案，如 針對關(guān)鍵的業(yè)務(wù)應(yīng)用子系統(tǒng) ，實施高級別的容災(zāi) 工程 ；對 低級別的業(yè)務(wù)系統(tǒng)，實施低級別的容災(zāi)工程。 界定災(zāi)備建設(shè)的目標(biāo) 生產(chǎn)系統(tǒng)在單位時間內(nèi)的數(shù)據(jù)處理能力或 IO 流量確定的情況下， RPO 實際上成為一個反映災(zāi)備恢復(fù)過程中的數(shù)據(jù)丟失量的指標(biāo)?？傮w規(guī)劃中應(yīng)為災(zāi)備系統(tǒng)設(shè)定明確的 RPO 和 RTO 指標(biāo)。例如，某些地區(qū)為了防范一些特定自然災(zāi)害的風(fēng)險，要求容災(zāi)備份中心與業(yè)務(wù)中心保持足夠的距離，在這種情況下，容災(zāi)備份中心與業(yè)務(wù)中心的距離要求就是容災(zāi)系統(tǒng)的重要指標(biāo)。如果容災(zāi)系統(tǒng)使用的通信網(wǎng)絡(luò)是確定的，為了比較不同容災(zāi)解決方案，可以用單位 10 存儲容量的 數(shù)據(jù)庫在同一通信網(wǎng)絡(luò)上的數(shù)據(jù)完全恢復(fù)時間作為一項設(shè)計指標(biāo)。實現(xiàn)數(shù)據(jù)庫容災(zāi) 是容災(zāi)的基礎(chǔ)，在保數(shù)據(jù)庫數(shù)據(jù)一致的前提下，還要實現(xiàn)應(yīng)用程序和配置信息的一致性；實現(xiàn)應(yīng)用系統(tǒng)的高可用性、應(yīng)用程序在容災(zāi)中心與生產(chǎn)中心接管和切回的過程，因此，還要考慮應(yīng)用的模式是 C/S、 B/S，兩層、三層、多層次的應(yīng)用結(jié)構(gòu)等等。 XXX 企業(yè)容災(zāi)方案 現(xiàn)狀分 析 在國內(nèi)，很多企業(yè)都不具備災(zāi)難恢復(fù)能力，甚至是一些金融相關(guān)的公司都沒有真正意義的災(zāi)難演練過。 XXX 公司的采用傳統(tǒng)災(zāi)備解決方案，并 有了多年的積累和發(fā)展 ，但是傳統(tǒng)的解決方案還是存在如下諸多問題的。雖然這種方法通?？梢蕴峁┎诲e的可用性，但是由于每一組應(yīng)用都有自己的解決方案，因此這種方法有如下弊端： 11 ? 復(fù)雜且昂貴 ? 對管理員的技術(shù)要求較高 ? 出錯的風(fēng)險大 ? 許可證較貴 (如 RAC) ? 專用的備份架構(gòu) 其次，雖然有一些基礎(chǔ)架構(gòu)層的解決方案可以比應(yīng)用級解決方案更加經(jīng)濟高效，但是這些解決方案往往在正常運行時間和 RTO（恢復(fù)時間目標(biāo)）方面表現(xiàn)得比較差。由于災(zāi)難恢復(fù)可能非常復(fù)雜，因此各 個 企業(yè)常常發(fā)現(xiàn)他們只能為少數(shù)幾個重要 的 生產(chǎn)工作負(fù)載提供良好的保護，而其他 的 工作負(fù)載（如文件 /打印服務(wù)器、內(nèi)部 Web 服務(wù)器、部門級應(yīng)用） 則 得不到保護或 者 保護 的 不充分。 除此之外，由于恢復(fù)計劃 的 測試過程會造成中斷，而且成本 非常 高昂，所以各 個 企業(yè)無法確保所有培訓(xùn)、文檔和執(zhí)行過程都切實可行并 且 能夠成功恢復(fù) IT 服務(wù)。 由此，XXX 公司提出重新設(shè)計和實施中心總部應(yīng)用到北京 IDC 的異地遠(yuǎn)程災(zāi)備的需求。需結(jié)合應(yīng)用系統(tǒng)架構(gòu)給出中心總部應(yīng)用到北京 IDC 的異地遠(yuǎn)程災(zāi)備方案及實施日程表，按照日程表完成異地遠(yuǎn)程災(zāi)備。同時，由于該方案充分利用了虛擬化環(huán)境的優(yōu)勢，因此它可以達(dá)到傳統(tǒng)的非軟件定義解決方案無法達(dá)到的效果。 vCenter Site Recovery Manager 如今，企業(yè)發(fā)現(xiàn)越來越難以提供符合要求的災(zāi)難恢復(fù)解決方案。利用 Site Recovery Manager，企業(yè)可以管理從生產(chǎn)數(shù)據(jù)中心到災(zāi)難恢復(fù)站點的故障切換 ， 同時 ， 還可以管理兩個互為恢復(fù)站點且具有活動工作負(fù)載的站點之間的故障切換。 圖： VMware 災(zāi)難恢復(fù)解決方案 Site Recovery Manager 可以自動執(zhí)行及簡化故障切換至新數(shù)據(jù)中心的過程，從而讓所計劃的數(shù)據(jù)中心故障切換（如數(shù)據(jù)中心遷移）變得更加順暢。 SRM省去了復(fù)雜的手動恢復(fù)步驟，支持無中斷的恢復(fù)計劃測試，確?；謴?fù)過程的安全可靠。因此，企業(yè)不僅無需擔(dān)心災(zāi)難恢復(fù)的風(fēng)險，還可將所有重要的系統(tǒng)和應(yīng)用程序納入到保護范圍。到目前為止， VMware 已向 一萬五千多家客戶售出 萬個許可證，并且該產(chǎn)品還在以每年 50%～ 60%的速度繼續(xù)增長。 VMware 的許多客戶已利用 SRM從實際災(zāi)難（例如最近在日本發(fā)生的海嘯和在美國發(fā)生的颶風(fēng)）中快速恢復(fù)。 圖 ： Site Recovery Manager 的發(fā)展趨勢與部分客戶 SRM需要若干個組件。 SRM實例可通過與 vSphere 和 vCenter 緊密集成來提供管理和自動化功能。借助 SRM， 客戶可以選擇使用 vSphere Replication 或者使用基于存儲的復(fù)制。基于存儲的復(fù)制由第 三 方存儲供應(yīng)商提供 ， 并通過 Storage Replication Adapater (SRA)與 SRM緊密集成 ， 以使 SRM能夠利用該存儲層協(xié)調(diào)復(fù)制和恢復(fù)活動。 圖 ： SRM 的主要功能組件 Site Recovery Manager 的主要功能特性 VMware vCenter Site Recovery Manager 可提供先進的復(fù)制、災(zāi)難恢復(fù)管理、無中斷測試、自動故障切換和故障恢復(fù)以及計劃內(nèi)遷移功能。 Site Recovery Manager 經(jīng)常用于計劃內(nèi)遷移和預(yù)防性故障切換以避免發(fā)生災(zāi)難 ，它的主要功能特性如下： 集中式恢復(fù)計劃 ? 直接從 vCenter Server 中 創(chuàng) 建并管理恢復(fù) 計 劃。 ? 將虛擬機映射到故障切換站點上的相應(yīng)資源 (資源池、虛擬 交換機和虛擬機文件夾 )。 ? ? 自定義虛擬機 IP 地址。 ? ? 利用自定義腳本擴展恢復(fù)計劃。 ? 將多個站點恢復(fù)至一個共享的恢復(fù)站點。 ? ? 只需單擊一次鼠標(biāo) ， 即可在 vCenter Server 中開始執(zhí)行恢復(fù)計劃。 ? ? 關(guān)閉故障切換站點上的低優(yōu)先級虛擬機。 ? 在恢復(fù)過程中執(zhí)行用戶定義的腳本和暫停。 ? ? 從 vCenter Server 中管理和監(jiān)控恢復(fù)計劃的執(zhí)行。 ? 通過自動反向復(fù)制到原始站點來重新保護虛擬機。 ? ? 利用 vSphere Replication 中的自動故障恢復(fù)功能。 ? 在原始站點正常關(guān)閉受保護的虛擬機。 ? 執(zhí)行利用應(yīng)用一致性虛擬機的恢復(fù)計劃。 ? 利用存儲快照功能執(zhí)行恢復(fù)測試 ,而不會中斷復(fù)制。 ? 針對測試方案自定義恢復(fù)計劃的執(zhí)行。 ? 在 vCenter Server 中存儲、查看和導(dǎo)出測試結(jié)果及故障切換 執(zhí)行情況。 ? 通過 vCenter 以精細(xì)靈活的虛擬機級別直接管理復(fù)制。 ? 執(zhí)行具備靈活 RPO(介于 15 分鐘到 24 小時之間 )的異步 復(fù)制。 17 ? 擴展到數(shù)百個虛擬機。 ? 使用多時間點 (MPIT) 恢復(fù)來回到以前的已知狀態(tài)。 ? 使用基于 iSCSI、光纖通道或 NFS 存儲的基于陣列的復(fù)制解 決方案。 ? 自動執(zhí)行復(fù)制和數(shù)據(jù)同步操作 ,以實現(xiàn)協(xié)調(diào)一致的災(zāi)難恢復(fù) ? 故障切換和計劃內(nèi)遷移。盡管這是最常見的配置，但此情形也意味著您需要為大部分時間都處于閑置狀態(tài)的災(zāi)難恢復(fù)站點投入大量資金。 用戶 可以將Site Recovery Manager 配置為在故障切換過程中自動關(guān)閉或掛起位于恢復(fù)站點的虛擬機，這樣就可以方便地釋放計算容量以用于需要恢復(fù)的工作負(fù)載。另一站點上的備用容量將用于運行需要故障切換的虛擬機。這些客戶將利用 Site Recovery Manager 執(zhí)行此類故障切換。當(dāng)然，災(zāi)難故障切換是最重要的使用情形，也就是當(dāng)一個站點停止工作并且需要盡快將虛擬機遷移到輔助站點的時候使用。 其他兩種使用情形盡管不是那么重 要，但卻更為常用。在這種情況下，企業(yè)一般可在災(zāi) 難實際來襲之前提早至少幾個小時得到通知。對于災(zāi)難規(guī)避和計劃內(nèi)遷移，現(xiàn)在企業(yè)可利用“計劃內(nèi)遷移”工作流程和自動故障恢復(fù)來簡化遷移流程。該解決方案已經(jīng)集成到 VMware vCenter 管理界面中 ， 可以統(tǒng)一管理虛擬基礎(chǔ)架構(gòu)及該架構(gòu)的災(zāi)難恢復(fù)計劃。還可讓用戶輕松地將生產(chǎn)資源（包括計算資源和網(wǎng)絡(luò)資源）映射到恢復(fù)站點上相應(yīng)的資源。用戶可以指定一些虛擬機暫?；蜿P(guān)閉，從而釋放可用資源以供恢復(fù)使用。 ? 測試恢復(fù)計劃 ： Site Recovery Manager 可以利用存儲