【正文】 4. 其它可能的測試包括： 員工呼叫測試（人員調(diào)動和無調(diào)動情況下） 共享服務(wù)替代測試 關(guān)鍵記錄恢復(fù)（數(shù)字的或書面的） 應(yīng)該準備好正式的測試文檔和列有經(jīng)驗教訓以及風險消減措施的測后分析報告供管理層簽署。1. 建立恢復(fù)策略可以使企業(yè)以有序和事先定義的方式執(zhí)行業(yè)務(wù)永續(xù)運行計劃以減少中斷時間和經(jīng)濟損失。沒有這些清晰的定義，有限的資源就有可能被不恰當?shù)挠糜诖我幕顒印ｊP(guān)鍵業(yè)務(wù)功能2. 在危機中，全部恢復(fù)所有的業(yè)務(wù)功能可能是不實際的。獲取這些信息的常用方法是進行業(yè)務(wù)影響分析 。3. 由于不同企業(yè)的業(yè)務(wù)導(dǎo)向和顧客預(yù)期不同，所以其關(guān)鍵業(yè)務(wù)功能也有所不同。恢復(fù)時間目標4. 不同企業(yè)的恢復(fù)時間目標可能不同，范圍從中斷后的一天之內(nèi)到數(shù)分鐘之內(nèi)，非常重要的企業(yè)功能比其它企業(yè)要求有更快的恢復(fù)能力。1. 企業(yè)具有將風險和過程分散和分布在本地、區(qū)域內(nèi)和全球范圍的傾向。任何對互相依賴風險的不當管理都可能造成風險疊加而降低運行或系統(tǒng)效率，從而有可能損害企業(yè)的運行。企業(yè)也應(yīng)該了解支持這些關(guān)鍵功能的相關(guān)業(yè)務(wù)方法，尤其是業(yè)務(wù)永續(xù)運行計劃準備和恢復(fù)優(yōu)先順序方面的。 企業(yè)中的 對供應(yīng)商（如災(zāi)難恢復(fù)服務(wù)供應(yīng)商） 這些依賴關(guān)系應(yīng)該在制定恢復(fù)策略和恢復(fù)時間目標時做為考慮因素。最終，依賴性風險將會落在企業(yè)身上而無法回避。4. 在與任何外部供應(yīng)商簽訂合同之前，企業(yè)都應(yīng)該確信外來風險在當前風險策略可接受的范圍內(nèi)，并且不會破壞自己的業(yè)務(wù)永續(xù)運行計劃。企業(yè)還應(yīng)該事先向其服務(wù)供應(yīng)商尋求其業(yè)務(wù)永續(xù)運行計劃得到定期測試的保證。企業(yè)應(yīng)該采取合理步驟以保持適當?shù)目刂扑讲⒈Ａ舨扇∵m當措施繼續(xù)其關(guān)鍵業(yè)務(wù)運行和維護其業(yè)務(wù)永續(xù)運行計劃不容破壞的權(quán)力。1. 9’11事件表明，企業(yè)應(yīng)該為大范圍中斷情況制定計劃。企業(yè)考慮的因素還應(yīng)該包括什么情況下關(guān)鍵人員可能會遭受嚴重損失或無法使用，什么情況下諸如電信這樣的關(guān)鍵服務(wù)會大面積中斷。另外，它們還應(yīng)該考慮到長期中斷情況下對業(yè)務(wù)永續(xù)運行計劃的范圍進行擴大和深化的問題。同一區(qū)域的關(guān)鍵功能和服務(wù)提供者的相互依賴性應(yīng)該得到適當消減。這些鏈接應(yīng)該得到測試。1. 關(guān)鍵人員和信息是難以快速替代的重要資產(chǎn)。例如，當今的許多企業(yè)設(shè)想將主站點的同一批人員用于在恢復(fù)站點對其關(guān)鍵業(yè)務(wù)功能進行恢復(fù)的工作。2. 所以說，既要消減集中風險和提高人員安全性，又不能損失業(yè)務(wù)處理和關(guān)鍵人員集中帶來的高效率，這兩者之間作出平衡是很重要的。關(guān)鍵業(yè)務(wù)功能的主站點和恢復(fù)站點應(yīng)在不同的區(qū)域內(nèi)。關(guān)鍵的事務(wù)操作和支持事務(wù)操作的IT操作應(yīng)該在不同的區(qū)域。第三：功能內(nèi)分離。解決方案可能包括處于兩個分離的操作地點的人員和得到交叉培訓的另一個地點的人員。 結(jié)論綜上所述，結(jié)合中國人壽IT戰(zhàn)略規(guī)劃和中國人壽IT架構(gòu)的要求，我們認為中國人壽災(zāi)備中心的建設(shè)應(yīng)按照如下策略進行：沒有企業(yè)高層領(lǐng)導(dǎo)的支持是不行的。 災(zāi)備中心的建設(shè)要滿足業(yè)務(wù)的需求災(zāi)備中心的建設(shè)資金投入、功能、處理能力、管理方式等必須滿足目前的業(yè)務(wù)需求，同時還要兼顧未來發(fā)展的要求。 災(zāi)備中心需要建立高可用性的架構(gòu)災(zāi)備中心啟用后，就開始做為生產(chǎn)中心提供服務(wù)。 災(zāi)備中心應(yīng)該可以提供演習環(huán)境演習是保證業(yè)務(wù)永續(xù)運行計劃有效性的重要手段，每年至少應(yīng)該舉行一次。例如，為了在平時提供災(zāi)備中心設(shè)備的利用率，可以利用災(zāi)備中心的設(shè)備進行應(yīng)用的開發(fā)和測試。 災(zāi)備中心的建設(shè)以用先進、成熟的方法論做為指導(dǎo)，分階段進行先進、成熟的方法論為災(zāi)備中心建設(shè)的成功提供了保障。 災(zāi)備中心與生產(chǎn)中心使用結(jié)構(gòu)相同的IT基礎(chǔ)架構(gòu)和管理流程這樣可以大大降低管理與運行維護的復(fù)雜度。3 災(zāi)備中心建設(shè)的建議 根據(jù)中國人壽的未來IT架構(gòu)，我們建議中國人壽建設(shè)一個災(zāi)備中心，以保證中國人壽因重大災(zāi)難事件而使一級數(shù)據(jù)中心無法繼續(xù)提供服務(wù)時，繼續(xù)為關(guān)鍵企業(yè)應(yīng)用提供運行平臺。 災(zāi)備中心的建設(shè)方案災(zāi)備中心的建設(shè)方案由兩種：1. 建立一個獨立的災(zāi)備中心2. 建立兩個數(shù)據(jù)中心，兩個中心之間互為備份但是，如果建立兩個數(shù)據(jù)中心，管理流程會變得復(fù)雜，人員配備會增加，運行成本也會提高（例如，為了進行雙向數(shù)據(jù)同步，要租用多條通信線路）。 容災(zāi)備份系統(tǒng)建設(shè)內(nèi)容 在災(zāi)備中心建設(shè)中，不僅要考慮數(shù)據(jù)中心端的容錯，還要考慮對重要關(guān)鍵業(yè)務(wù)系統(tǒng)進行異地容災(zāi)備份和對重要數(shù)據(jù)的定時和實時備份。 2. 面向數(shù)據(jù)中心提供部分關(guān)鍵業(yè)務(wù)系統(tǒng)的容錯和異地容災(zāi)。 災(zāi)備中心建設(shè)要求 災(zāi)備中心的建設(shè)須滿足以下要求： 1. 備份中心與數(shù)據(jù)中心在地理位置上保持較遠的距離(例如1000公里)，使得當數(shù)據(jù)中心遭受災(zāi)害破壞時，不會影響到備份中心。 8. 備份中心計算機系統(tǒng)有足夠的處理能力來接管數(shù)據(jù)中心的業(yè)務(wù)；同時應(yīng)具有不低于數(shù)據(jù)中心的安全防護能力9. 重大災(zāi)難發(fā)生時，災(zāi)備中心和數(shù)據(jù)中心可以通過手工操作的方式切換10. 數(shù)據(jù)中心或災(zāi)備中心發(fā)生小范圍事故時，系統(tǒng)在數(shù)據(jù)中心或災(zāi)備中心內(nèi)部可以自動切換 災(zāi)備中心的建設(shè)與數(shù)據(jù)中心的關(guān)系災(zāi)備中心機房建設(shè)的前提條件是 生產(chǎn)數(shù)據(jù)中心開始運行理由如下：1. 沒有BIA的分析結(jié)果，無法明確災(zāi)備中心到底針對何種災(zāi)害設(shè)計，即無法決定災(zāi)備中心的物理地點2. 沒有BIA的分析結(jié)果，無法決定中國人壽對災(zāi)備中心的投資規(guī)模3. 沒有BIA的分析結(jié)果，無法確定災(zāi)備中心運行的核心應(yīng)用種類及其對恢復(fù)時間和數(shù)據(jù)丟失量的要求；無法確定核心業(yè)務(wù)流程之間的依賴關(guān)系，也就是說無法明確核心業(yè)務(wù)應(yīng)用之間的數(shù)據(jù)傳遞關(guān)系及對數(shù)據(jù)完整性的要求，所以無法進行IT基礎(chǔ)架構(gòu)設(shè)計。這些都決定者與災(zāi)備中心相連的廣域網(wǎng)布局如何設(shè)計。 災(zāi)難恢復(fù)基本模式 1. 本地容錯 本地故障、錯誤可以分為幾種類型：網(wǎng)絡(luò)設(shè)備宕機、服務(wù)器宕機、數(shù)據(jù)庫宕機、存儲設(shè)備宕機、線路中斷、操作系統(tǒng)故障、應(yīng)用系統(tǒng)故障、硬件設(shè)備故障、磁盤故障。 2. 異地容災(zāi) 大災(zāi)難包括：自然災(zāi)難（地震、臺風、洪水等）、突發(fā)事件（業(yè)務(wù)系統(tǒng)中斷、通訊中斷、計算機病毒、計算機網(wǎng)絡(luò)犯罪、火災(zāi)影響、恐怖活動）等。 異地容災(zāi)是在本地發(fā)生大災(zāi)難時由異地設(shè)備提供業(yè)務(wù)容災(zāi)恢復(fù)。在無大災(zāi)難時，本地運行中心正常運行。中端異地容災(zāi)與高端異地容災(zāi)大部分相同，所不同的是對重要業(yè)務(wù)采用中端容災(zāi)硬件和軟件，有數(shù)據(jù)丟失，業(yè)務(wù)短暫間斷，投資成本較低。 省市災(zāi)備中心建設(shè) 由于未來中國人壽的核心業(yè)務(wù)系統(tǒng)和關(guān)鍵數(shù)據(jù)都集中在一級數(shù)據(jù)中心，省市級數(shù)據(jù)中心的數(shù)據(jù)量較少，主要是辦公自動化數(shù)據(jù)，所以建議在省市級數(shù)據(jù)中心不建立災(zāi)備中心。地市系統(tǒng)先通過公司內(nèi)部專用網(wǎng)絡(luò)連接到二級數(shù)據(jù)中心，然后再連接到一級數(shù)據(jù)中心。 機房建設(shè)請參照《數(shù)據(jù)中心高端設(shè)計》的相應(yīng)章節(jié)。這要求用于應(yīng)用開發(fā)的主機配有2套系統(tǒng)啟動硬盤。 災(zāi)備環(huán)境 平時，災(zāi)備系統(tǒng)的主機用于應(yīng)用開發(fā)機，但應(yīng)用數(shù)據(jù)必須保持與生產(chǎn)系統(tǒng)同步，這就要求應(yīng)用數(shù)據(jù)要保存在基于硬件同步的磁盤陣列中。 開發(fā)測試環(huán)境 由于開發(fā)測試不穩(wěn)定，經(jīng)常會進行修改或者重新啟動系統(tǒng)，所以要求開發(fā)測試環(huán)境的數(shù)據(jù)與災(zāi)備環(huán)境的數(shù)據(jù)分開存儲―存儲在不同的物理設(shè)備上或同一設(shè)備的不同分區(qū)上。 預(yù)生產(chǎn)環(huán)境 預(yù)生產(chǎn)環(huán)境主要用于系統(tǒng)正式投產(chǎn)前的驗收測試。其技術(shù)實現(xiàn)方面的要求與開發(fā)測試環(huán)境相同，即也需要獨立的存儲環(huán)境支持。環(huán)境的相互切換通過使用不同的系統(tǒng)啟動硬盤實現(xiàn)。例如，可以在演習前停止測試環(huán)境，并對測試環(huán)境的數(shù)據(jù)進行全備份。演習除了包含主機系統(tǒng)的切換外，還應(yīng)該包括廣域網(wǎng)的切換，所以在演習前還應(yīng)該通知相應(yīng)的電信運營商做好配合。響應(yīng)中心的人員可以訪問生產(chǎn)環(huán)境，IT服務(wù)人員 可以訪問運行維護系統(tǒng)。二級數(shù)據(jù)中心的響應(yīng)中心主要解決本地的故障，當遇到故障無法解決時，將問題轉(zhuǎn)給位于一級數(shù)據(jù)中心的響應(yīng)中心處理。當一級數(shù)據(jù)中心的響應(yīng)中心有關(guān)于應(yīng)用的問題無法解決時，將問題傳遞給位于災(zāi)備中心的應(yīng)用支持組。當有災(zāi)難發(fā)生時，停止開發(fā)環(huán)境，測試環(huán)境和預(yù)生產(chǎn)環(huán)境的運行，啟動備份生產(chǎn)環(huán)境。5 災(zāi)備中心設(shè)備、網(wǎng)絡(luò)性能要求 災(zāi)備中心的容量災(zāi)備中心的處理能力受到幾方面的制約： 災(zāi)備中心運行時的聯(lián)機系統(tǒng)用戶的數(shù)量容災(zāi)中心的設(shè)備要與數(shù)據(jù)中心的設(shè)備兼容，具體配置通過下述述手段獲得：1. 根據(jù)對處理性能的要求并參照數(shù)據(jù)中心的配置給出初步建議2. 搭建測試環(huán)境進行測試（兼容性測試和壓力測試）3. 對初步建議進行調(diào)整，給出最終建議現(xiàn)假設(shè)災(zāi)備中心只有保險核心應(yīng)用、財務(wù)系統(tǒng)、銷售支持系統(tǒng)、客戶服務(wù)系統(tǒng)和電子商務(wù)系統(tǒng)，且災(zāi)備中心這些應(yīng)用系統(tǒng)的處理能力與生產(chǎn)系統(tǒng)相同。 　　 RTO（Recovery Time Objective）：即恢復(fù)時間目標，主要指的是所能容忍的業(yè)務(wù)停止服務(wù)的最長時間，也就是從災(zāi)難發(fā)生到業(yè)務(wù)系統(tǒng)恢復(fù)服務(wù)功能所需要的最短時間周期。RTO和RPO的確定必須在進行風險分析和業(yè)務(wù)影響分析后根據(jù)不同的業(yè)務(wù)需求確定。RPO和RTO是業(yè)務(wù)影響分析的結(jié)論之一。 　而RTO的實現(xiàn)以以下兩個主要方面為前提條件： 　　第一，實現(xiàn)災(zāi)難恢復(fù)的主要步驟及操作模式。 　　第二，災(zāi)難恢復(fù)有關(guān)制度及運作模式的建立?？梢?，RTO不僅受到技術(shù)的影響，還跟管理流程和具體的業(yè)務(wù)操作密不可分。 體系架構(gòu)容災(zāi)的體系架構(gòu)不僅要能處理單點故障，還要能處理多點故障，甚至能處理數(shù)據(jù)中心、整個企業(yè)甚至某一區(qū)域性的災(zāi)害。這種架構(gòu)可以提供災(zāi)難發(fā)生后的自動切換或者手工切換功能。在地理位置上分離的容災(zāi)體系架構(gòu)可以對非計劃的停機提供保護，因為一個地點的故障影響不到另一點。 災(zāi)難的風險。要應(yīng)對什么樣的災(zāi)難，決定了選擇什么樣的容災(zāi)方案。另外，災(zāi)難發(fā)生的頻率也影響是否選擇一個快速的恢復(fù)方案。業(yè)務(wù)到底能承受多長時間的宕機？一些業(yè)務(wù)也許可以承受1或2天的恢復(fù)時間，而另一些業(yè)務(wù)可能需要在幾分鐘內(nèi)恢復(fù)。重要的是要考慮容災(zāi)中心擔任的業(yè)務(wù)角色。但是，如果最容易發(fā)生的災(zāi)難是地震，生產(chǎn)線和為生產(chǎn)線服務(wù)的計算機會在災(zāi)難中同時損壞，在這種情況下，容災(zāi)就沒有什么必要了。又如，訂單處理中心是完全依靠計算機工作的，為避免災(zāi)害對這些設(shè)備造成損害而造成業(yè)務(wù)停頓而建立災(zāi)備中心是有意義的。針對不同的需求有不同的方案，但是無論什么容災(zāi)方案都會遵循一些基本原則： 通過復(fù)制保護數(shù)據(jù) 建立高可用性網(wǎng)絡(luò)這些指導(dǎo)原則還要加上標準的高可用性原則，例如采用冗余的物理訪問通道（主機到磁盤陣列的連接）、網(wǎng)卡、電源和硬盤。這種應(yīng)用對于生產(chǎn)中心與災(zāi)備中心之間的網(wǎng)絡(luò)連接無要求。 對于RPO要求較高的應(yīng)用（例如，幾個小時），可以采用異步數(shù)據(jù)同步的方式 校園容災(zāi)u 包含多個建筑物u 可以自動切換的單一集群結(jié)構(gòu)u 不同站點間的磁盤鏡像圖 51校園集群體系架構(gòu) 廣域容災(zāi)u 租用的高速交換網(wǎng)絡(luò) (用于數(shù)據(jù)鏈路)u 多集群架構(gòu)u 站點間可以采用物理數(shù)據(jù)復(fù)制或邏輯數(shù)據(jù)復(fù)制 邏輯數(shù)據(jù)復(fù)制指利用文件系統(tǒng)或數(shù)據(jù)庫進行數(shù)據(jù)復(fù)制圖 53