【正文】 保其適當(dāng)性，在業(yè)務(wù)范圍和方向發(fā)生變化時(shí)尤其應(yīng)該如此。相互依賴性，特別是對(duì)企業(yè)控制范圍之外的外部團(tuán)體的依賴性應(yīng)該被全面測(cè)試。4. 其它可能的測(cè)試包括： 員工呼叫測(cè)試（人員調(diào)動(dòng)和無(wú)調(diào)動(dòng)情況下） 共享服務(wù)替代測(cè)試 關(guān)鍵記錄恢復(fù)（數(shù)字的或書(shū)面的） 應(yīng)該準(zhǔn)備好正式的測(cè)試文檔和列有經(jīng)驗(yàn)教訓(xùn)以及風(fēng)險(xiǎn)消減措施的測(cè)后分析報(bào)告供管理層簽署。1. 建立恢復(fù)策略可以使企業(yè)以有序和事先定義的方式執(zhí)行業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃以減少中斷時(shí)間和經(jīng)濟(jì)損失。沒(méi)有這些清晰的定義，有限的資源就有可能被不恰當(dāng)?shù)挠糜诖我幕顒?dòng)。關(guān)鍵業(yè)務(wù)功能2. 在危機(jī)中，全部恢復(fù)所有的業(yè)務(wù)功能可能是不實(shí)際的。獲取這些信息的常用方法是進(jìn)行業(yè)務(wù)影響分析 。3. 由于不同企業(yè)的業(yè)務(wù)導(dǎo)向和顧客預(yù)期不同，所以其關(guān)鍵業(yè)務(wù)功能也有所不同?；謴?fù)時(shí)間目標(biāo)4. 不同企業(yè)的恢復(fù)時(shí)間目標(biāo)可能不同，范圍從中斷后的一天之內(nèi)到數(shù)分鐘之內(nèi)，非常重要的企業(yè)功能比其它企業(yè)要求有更快的恢復(fù)能力。1. 企業(yè)具有將風(fēng)險(xiǎn)和過(guò)程分散和分布在本地、區(qū)域內(nèi)和全球范圍的傾向。任何對(duì)互相依賴風(fēng)險(xiǎn)的不當(dāng)管理都可能造成風(fēng)險(xiǎn)疊加而降低運(yùn)行或系統(tǒng)效率，從而有可能損害企業(yè)的運(yùn)行。企業(yè)也應(yīng)該了解支持這些關(guān)鍵功能的相關(guān)業(yè)務(wù)方法，尤其是業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃準(zhǔn)備和恢復(fù)優(yōu)先順序方面的。 企業(yè)中的 對(duì)供應(yīng)商（如災(zāi)難恢復(fù)服務(wù)供應(yīng)商） 這些依賴關(guān)系應(yīng)該在制定恢復(fù)策略和恢復(fù)時(shí)間目標(biāo)時(shí)做為考慮因素。最終，依賴性風(fēng)險(xiǎn)將會(huì)落在企業(yè)身上而無(wú)法回避。4. 在與任何外部供應(yīng)商簽訂合同之前，企業(yè)都應(yīng)該確信外來(lái)風(fēng)險(xiǎn)在當(dāng)前風(fēng)險(xiǎn)策略可接受的范圍內(nèi)，并且不會(huì)破壞自己的業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃。企業(yè)還應(yīng)該事先向其服務(wù)供應(yīng)商尋求其業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃得到定期測(cè)試的保證。企業(yè)應(yīng)該采取合理步驟以保持適當(dāng)?shù)目刂扑讲⒈Ａ舨扇∵m當(dāng)措施繼續(xù)其關(guān)鍵業(yè)務(wù)運(yùn)行和維護(hù)其業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃不容破壞的權(quán)力。1. 9’11事件表明，企業(yè)應(yīng)該為大范圍中斷情況制定計(jì)劃。企業(yè)考慮的因素還應(yīng)該包括什么情況下關(guān)鍵人員可能會(huì)遭受嚴(yán)重?fù)p失或無(wú)法使用，什么情況下諸如電信這樣的關(guān)鍵服務(wù)會(huì)大面積中斷。另外，它們還應(yīng)該考慮到長(zhǎng)期中斷情況下對(duì)業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃的范圍進(jìn)行擴(kuò)大和深化的問(wèn)題。同一區(qū)域的關(guān)鍵功能和服務(wù)提供者的相互依賴性應(yīng)該得到適當(dāng)消減。這些鏈接應(yīng)該得到測(cè)試。1. 關(guān)鍵人員和信息是難以快速替代的重要資產(chǎn)。例如，當(dāng)今的許多企業(yè)設(shè)想將主站點(diǎn)的同一批人員用于在恢復(fù)站點(diǎn)對(duì)其關(guān)鍵業(yè)務(wù)功能進(jìn)行恢復(fù)的工作。2. 所以說(shuō)，既要消減集中風(fēng)險(xiǎn)和提高人員安全性，又不能損失業(yè)務(wù)處理和關(guān)鍵人員集中帶來(lái)的高效率，這兩者之間作出平衡是很重要的。關(guān)鍵業(yè)務(wù)功能的主站點(diǎn)和恢復(fù)站點(diǎn)應(yīng)在不同的區(qū)域內(nèi)。關(guān)鍵的事務(wù)操作和支持事務(wù)操作的IT操作應(yīng)該在不同的區(qū)域。第三：功能內(nèi)分離。解決方案可能包括處于兩個(gè)分離的操作地點(diǎn)的人員和得到交叉培訓(xùn)的另一個(gè)地點(diǎn)的人員。 結(jié)論綜上所述，結(jié)合中國(guó)人壽IT戰(zhàn)略規(guī)劃和中國(guó)人壽IT架構(gòu)的要求，我們認(rèn)為中國(guó)人壽災(zāi)備中心的建設(shè)應(yīng)按照如下策略進(jìn)行：沒(méi)有企業(yè)高層領(lǐng)導(dǎo)的支持是不行的。 災(zāi)備中心的建設(shè)要滿足業(yè)務(wù)的需求災(zāi)備中心的建設(shè)資金投入、功能、處理能力、管理方式等必須滿足目前的業(yè)務(wù)需求，同時(shí)還要兼顧未來(lái)發(fā)展的要求。 災(zāi)備中心需要建立高可用性的架構(gòu)災(zāi)備中心啟用后，就開(kāi)始做為生產(chǎn)中心提供服務(wù)。 災(zāi)備中心應(yīng)該可以提供演習(xí)環(huán)境演習(xí)是保證業(yè)務(wù)永續(xù)運(yùn)行計(jì)劃有效性的重要手段，每年至少應(yīng)該舉行一次。例如，為了在平時(shí)提供災(zāi)備中心設(shè)備的利用率，可以利用災(zāi)備中心的設(shè)備進(jìn)行應(yīng)用的開(kāi)發(fā)和測(cè)試。 災(zāi)備中心的建設(shè)以用先進(jìn)、成熟的方法論做為指導(dǎo)，分階段進(jìn)行先進(jìn)、成熟的方法論為災(zāi)備中心建設(shè)的成功提供了保障。 災(zāi)備中心與生產(chǎn)中心使用結(jié)構(gòu)相同的IT基礎(chǔ)架構(gòu)和管理流程這樣可以大大降低管理與運(yùn)行維護(hù)的復(fù)雜度。3 災(zāi)備中心建設(shè)的建議 根據(jù)中國(guó)人壽的未來(lái)IT架構(gòu)，我們建議中國(guó)人壽建設(shè)一個(gè)災(zāi)備中心，以保證中國(guó)人壽因重大災(zāi)難事件而使一級(jí)數(shù)據(jù)中心無(wú)法繼續(xù)提供服務(wù)時(shí)，繼續(xù)為關(guān)鍵企業(yè)應(yīng)用提供運(yùn)行平臺(tái)。 災(zāi)備中心的建設(shè)方案災(zāi)備中心的建設(shè)方案由兩種：1. 建立一個(gè)獨(dú)立的災(zāi)備中心2. 建立兩個(gè)數(shù)據(jù)中心，兩個(gè)中心之間互為備份但是，如果建立兩個(gè)數(shù)據(jù)中心，管理流程會(huì)變得復(fù)雜，人員配備會(huì)增加，運(yùn)行成本也會(huì)提高（例如，為了進(jìn)行雙向數(shù)據(jù)同步，要租用多條通信線路）。 容災(zāi)備份系統(tǒng)建設(shè)內(nèi)容 在災(zāi)備中心建設(shè)中，不僅要考慮數(shù)據(jù)中心端的容錯(cuò)，還要考慮對(duì)重要關(guān)鍵業(yè)務(wù)系統(tǒng)進(jìn)行異地容災(zāi)備份和對(duì)重要數(shù)據(jù)的定時(shí)和實(shí)時(shí)備份。 2. 面向數(shù)據(jù)中心提供部分關(guān)鍵業(yè)務(wù)系統(tǒng)的容錯(cuò)和異地容災(zāi)。 災(zāi)備中心建設(shè)要求 災(zāi)備中心的建設(shè)須滿足以下要求： 1. 備份中心與數(shù)據(jù)中心在地理位置上保持較遠(yuǎn)的距離(例如1000公里)，使得當(dāng)數(shù)據(jù)中心遭受災(zāi)害破壞時(shí)，不會(huì)影響到備份中心。 8. 備份中心計(jì)算機(jī)系統(tǒng)有足夠的處理能力來(lái)接管數(shù)據(jù)中心的業(yè)務(wù)；同時(shí)應(yīng)具有不低于數(shù)據(jù)中心的安全防護(hù)能力9. 重大災(zāi)難發(fā)生時(shí)，災(zāi)備中心和數(shù)據(jù)中心可以通過(guò)手工操作的方式切換10. 數(shù)據(jù)中心或?yàn)?zāi)備中心發(fā)生小范圍事故時(shí)，系統(tǒng)在數(shù)據(jù)中心或?yàn)?zāi)備中心內(nèi)部可以自動(dòng)切換 災(zāi)備中心的建設(shè)與數(shù)據(jù)中心的關(guān)系災(zāi)備中心機(jī)房建設(shè)的前提條件是 生產(chǎn)數(shù)據(jù)中心開(kāi)始運(yùn)行理由如下：1. 沒(méi)有BIA的分析結(jié)果，無(wú)法明確災(zāi)備中心到底針對(duì)何種災(zāi)害設(shè)計(jì)，即無(wú)法決定災(zāi)備中心的物理地點(diǎn)2. 沒(méi)有BIA的分析結(jié)果，無(wú)法決定中國(guó)人壽對(duì)災(zāi)備中心的投資規(guī)模3. 沒(méi)有BIA的分析結(jié)果，無(wú)法確定災(zāi)備中心運(yùn)行的核心應(yīng)用種類及其對(duì)恢復(fù)時(shí)間和數(shù)據(jù)丟失量的要求；無(wú)法確定核心業(yè)務(wù)流程之間的依賴關(guān)系，也就是說(shuō)無(wú)法明確核心業(yè)務(wù)應(yīng)用之間的數(shù)據(jù)傳遞關(guān)系及對(duì)數(shù)據(jù)完整性的要求，所以無(wú)法進(jìn)行IT基礎(chǔ)架構(gòu)設(shè)計(jì)。這些都決定者與災(zāi)備中心相連的廣域網(wǎng)布局如何設(shè)計(jì)。 災(zāi)難恢復(fù)基本模式 1. 本地容錯(cuò) 本地故障、錯(cuò)誤可以分為幾種類型：網(wǎng)絡(luò)設(shè)備宕機(jī)、服務(wù)器宕機(jī)、數(shù)據(jù)庫(kù)宕機(jī)、存儲(chǔ)設(shè)備宕機(jī)、線路中斷、操作系統(tǒng)故障、應(yīng)用系統(tǒng)故障、硬件設(shè)備故障、磁盤故障。 2. 異地容災(zāi) 大災(zāi)難包括：自然災(zāi)難（地震、臺(tái)風(fēng)、洪水等）、突發(fā)事件（業(yè)務(wù)系統(tǒng)中斷、通訊中斷、計(jì)算機(jī)病毒、計(jì)算機(jī)網(wǎng)絡(luò)犯罪、火災(zāi)影響、恐怖活動(dòng)）等。 異地容災(zāi)是在本地發(fā)生大災(zāi)難時(shí)由異地設(shè)備提供業(yè)務(wù)容災(zāi)恢復(fù)。在無(wú)大災(zāi)難時(shí)，本地運(yùn)行中心正常運(yùn)行。中端異地容災(zāi)與高端異地容災(zāi)大部分相同，所不同的是對(duì)重要業(yè)務(wù)采用中端容災(zāi)硬件和軟件，有數(shù)據(jù)丟失，業(yè)務(wù)短暫間斷，投資成本較低。 省市災(zāi)備中心建設(shè) 由于未來(lái)中國(guó)人壽的核心業(yè)務(wù)系統(tǒng)和關(guān)鍵數(shù)據(jù)都集中在一級(jí)數(shù)據(jù)中心，省市級(jí)數(shù)據(jù)中心的數(shù)據(jù)量較少，主要是辦公自動(dòng)化數(shù)據(jù)，所以建議在省市級(jí)數(shù)據(jù)中心不建立災(zāi)備中心。地市系統(tǒng)先通過(guò)公司內(nèi)部專用網(wǎng)絡(luò)連接到二級(jí)數(shù)據(jù)中心，然后再連接到一級(jí)數(shù)據(jù)中心。 機(jī)房建設(shè)請(qǐng)參照《數(shù)據(jù)中心高端設(shè)計(jì)》的相應(yīng)章節(jié)。這要求用于應(yīng)用開(kāi)發(fā)的主機(jī)配有2套系統(tǒng)啟動(dòng)硬盤。 災(zāi)備環(huán)境 平時(shí)，災(zāi)備系統(tǒng)的主機(jī)用于應(yīng)用開(kāi)發(fā)機(jī)，但應(yīng)用數(shù)據(jù)必須保持與生產(chǎn)系統(tǒng)同步，這就要求應(yīng)用數(shù)據(jù)要保存在基于硬件同步的磁盤陣列中。 開(kāi)發(fā)測(cè)試環(huán)境 由于開(kāi)發(fā)測(cè)試不穩(wěn)定，經(jīng)常會(huì)進(jìn)行修改或者重新啟動(dòng)系統(tǒng)，所以要求開(kāi)發(fā)測(cè)試環(huán)境的數(shù)據(jù)與災(zāi)備環(huán)境的數(shù)據(jù)分開(kāi)存儲(chǔ)―存儲(chǔ)在不同的物理設(shè)備上或同一設(shè)備的不同分區(qū)上。 預(yù)生產(chǎn)環(huán)境 預(yù)生產(chǎn)環(huán)境主要用于系統(tǒng)正式投產(chǎn)前的驗(yàn)收測(cè)試。其技術(shù)實(shí)現(xiàn)方面的要求與開(kāi)發(fā)測(cè)試環(huán)境相同，即也需要獨(dú)立的存儲(chǔ)環(huán)境支持。環(huán)境的相互切換通過(guò)使用不同的系統(tǒng)啟動(dòng)硬盤實(shí)現(xiàn)。例如，可以在演習(xí)前停止測(cè)試環(huán)境，并對(duì)測(cè)試環(huán)境的數(shù)據(jù)進(jìn)行全備份。演習(xí)除了包含主機(jī)系統(tǒng)的切換外，還應(yīng)該包括廣域網(wǎng)的切換，所以在演習(xí)前還應(yīng)該通知相應(yīng)的電信運(yùn)營(yíng)商做好配合。響應(yīng)中心的人員可以訪問(wèn)生產(chǎn)環(huán)境，IT服務(wù)人員 可以訪問(wèn)運(yùn)行維護(hù)系統(tǒng)。二級(jí)數(shù)據(jù)中心的響應(yīng)中心主要解決本地的故障，當(dāng)遇到故障無(wú)法解決時(shí)，將問(wèn)題轉(zhuǎn)給位于一級(jí)數(shù)據(jù)中心的響應(yīng)中心處理。當(dāng)一級(jí)數(shù)據(jù)中心的響應(yīng)中心有關(guān)于應(yīng)用的問(wèn)題無(wú)法解決時(shí)，將問(wèn)題傳遞給位于災(zāi)備中心的應(yīng)用支持組。當(dāng)有災(zāi)難發(fā)生時(shí)，停止開(kāi)發(fā)環(huán)境，測(cè)試環(huán)境和預(yù)生產(chǎn)環(huán)境的運(yùn)行，啟動(dòng)備份生產(chǎn)環(huán)境。5 災(zāi)備中心設(shè)備、網(wǎng)絡(luò)性能要求 災(zāi)備中心的容量災(zāi)備中心的處理能力受到幾方面的制約： 災(zāi)備中心運(yùn)行時(shí)的聯(lián)機(jī)系統(tǒng)用戶的數(shù)量容災(zāi)中心的設(shè)備要與數(shù)據(jù)中心的設(shè)備兼容，具體配置通過(guò)下述述手段獲得：1. 根據(jù)對(duì)處理性能的要求并參照數(shù)據(jù)中心的配置給出初步建議2. 搭建測(cè)試環(huán)境進(jìn)行測(cè)試（兼容性測(cè)試和壓力測(cè)試）3. 對(duì)初步建議進(jìn)行調(diào)整，給出最終建議現(xiàn)假設(shè)災(zāi)備中心只有保險(xiǎn)核心應(yīng)用、財(cái)務(wù)系統(tǒng)、銷售支持系統(tǒng)、客戶服務(wù)系統(tǒng)和電子商務(wù)系統(tǒng)，且災(zāi)備中心這些應(yīng)用系統(tǒng)的處理能力與生產(chǎn)系統(tǒng)相同。 　　 RTO（Recovery Time Objective）：即恢復(fù)時(shí)間目標(biāo)，主要指的是所能容忍的業(yè)務(wù)停止服務(wù)的最長(zhǎng)時(shí)間，也就是從災(zāi)難發(fā)生到業(yè)務(wù)系統(tǒng)恢復(fù)服務(wù)功能所需要的最短時(shí)間周期。RTO和RPO的確定必須在進(jìn)行風(fēng)險(xiǎn)分析和業(yè)務(wù)影響分析后根據(jù)不同的業(yè)務(wù)需求確定。RPO和RTO是業(yè)務(wù)影響分析的結(jié)論之一。 　而RTO的實(shí)現(xiàn)以以下兩個(gè)主要方面為前提條件： 　　第一，實(shí)現(xiàn)災(zāi)難恢復(fù)的主要步驟及操作模式。 　　第二，災(zāi)難恢復(fù)有關(guān)制度及運(yùn)作模式的建立?？梢?jiàn)，RTO不僅受到技術(shù)的影響，還跟管理流程和具體的業(yè)務(wù)操作密不可分。 體系架構(gòu)容災(zāi)的體系架構(gòu)不僅要能處理單點(diǎn)故障，還要能處理多點(diǎn)故障，甚至能處理數(shù)據(jù)中心、整個(gè)企業(yè)甚至某一區(qū)域性的災(zāi)害。這種架構(gòu)可以提供災(zāi)難發(fā)生后的自動(dòng)切換或者手工切換功能。在地理位置上分離的容災(zāi)體系架構(gòu)可以對(duì)非計(jì)劃的停機(jī)提供保護(hù)，因?yàn)橐粋€(gè)地點(diǎn)的故障影響不到另一點(diǎn)。 災(zāi)難的風(fēng)險(xiǎn)。要應(yīng)對(duì)什么樣的災(zāi)難，決定了選擇什么樣的容災(zāi)方案。另外，災(zāi)難發(fā)生的頻率也影響是否選擇一個(gè)快速的恢復(fù)方案。業(yè)務(wù)到底能承受多長(zhǎng)時(shí)間的宕機(jī)？一些業(yè)務(wù)也許可以承受1或2天的恢復(fù)時(shí)間，而另一些業(yè)務(wù)可能需要在幾分鐘內(nèi)恢復(fù)。重要的是要考慮容災(zāi)中心擔(dān)任的業(yè)務(wù)角色。但是，如果最容易發(fā)生的災(zāi)難是地震，生產(chǎn)線和為生產(chǎn)線服務(wù)的計(jì)算機(jī)會(huì)在災(zāi)難中同時(shí)損壞，在這種情況下，容災(zāi)就沒(méi)有什么必要了。又如，訂單處理中心是完全依靠計(jì)算機(jī)工作的，為避免災(zāi)害對(duì)這些設(shè)備造成損害而造成業(yè)務(wù)停頓而建立災(zāi)備中心是有意義的。針對(duì)不同的需求有不同的方案，但是無(wú)論什么容災(zāi)方案都會(huì)遵循一些基本原則： 通過(guò)復(fù)制保護(hù)數(shù)據(jù) 建立高可用性網(wǎng)絡(luò)這些指導(dǎo)原則還要加上標(biāo)準(zhǔn)的高可用性原則，例如采用冗余的物理訪問(wèn)通道（主機(jī)到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。這種應(yīng)用對(duì)于生產(chǎn)中心與災(zāi)備中心之間的網(wǎng)絡(luò)連接無(wú)要求。 對(duì)于RPO要求較高的應(yīng)用（例如，幾個(gè)小時(shí)），可以采用異步數(shù)據(jù)同步的方式 校園容災(zāi)– 包含多個(gè)建筑物– 可以自動(dòng)切換的單一集群結(jié)構(gòu)– 不同站點(diǎn)間的磁盤鏡像圖 51校園集