系統(tǒng)兩地三中心方案

1、WORD格式可編輯金融行業(yè)“兩地三中心”數(shù)據(jù)備份與恢復(fù)方案設(shè)計1. “兩地三中心”設(shè)計背景1.1. 行業(yè)背景中國有句俗話，“人無遠(yuǎn)慮，必有近憂”。伴隨信息化的不斷深入，銀行越來越依賴信息系統(tǒng)， 在信息化給社會和銀行帶來巨大好處的同時，這也使得銀行的組織更易遭受攻擊，從而造成業(yè)務(wù)系統(tǒng)的中斷、數(shù)據(jù)丟失等。近年來，越來越多的銀行發(fā)現(xiàn)，他們的IT 系統(tǒng)意外地、不必要地中斷即便是臨時性的， 也會使銀行業(yè)務(wù)活動立即中斷，無法繼續(xù)開展， 數(shù)據(jù)的丟失或訪問中斷，不僅影響了系統(tǒng)運行，還給銀行造成重大損失。1.2. 業(yè)務(wù)持續(xù)性需求銀行的服務(wù)日益全球化， 經(jīng)濟(jì)的增長和國民財富的急劇增長，客戶的需求日益多樣化和復(fù)雜化

2、， 對銀行的服務(wù)質(zhì)量的期望值越來越高，使銀行保持業(yè)務(wù)連續(xù)狀態(tài)成為當(dāng)務(wù)之急。 所謂業(yè)務(wù)連續(xù)， 就是無論發(fā)生任何情況， 關(guān)鍵系統(tǒng)和網(wǎng)絡(luò)都持續(xù)可用。傳統(tǒng)意義上的備份和恢復(fù)計劃無法繼續(xù)滿足需要。當(dāng)今的預(yù)防措施應(yīng)該包括風(fēng)險評估、中斷影響分析以及避免中斷策略，必須將這些因素充分考慮進(jìn)綜合業(yè)務(wù)持續(xù)性計劃。 在信息時代， 業(yè)務(wù)持續(xù)性不再是一項“可有可無”的工作，而是“勢在必行”的重點規(guī)劃。1.3. “兩地三中心”業(yè)務(wù)保障影響業(yè)務(wù)持續(xù)性發(fā)展的因素很多，既有外部因素，如電力、通訊等；也有內(nèi)專業(yè)知識整理分享WORD格式可編輯部因素，如場地、人員、決策、IT 技術(shù)等。但從系統(tǒng)的觀念看，可以說目前影響銀行業(yè)務(wù)持續(xù)發(fā)展的

3、最直接的威脅來自于信息系統(tǒng)的安全。健全業(yè)務(wù)持續(xù)性風(fēng)險的預(yù)防策略和措施，需要以下幾點基于業(yè)務(wù)的需求：a) 實施數(shù)據(jù)集中保護(hù)。隨著數(shù)據(jù)日益成為銀行的生命線，支持業(yè)務(wù)持續(xù)性的數(shù)據(jù)存儲策略成為銀行必須考慮的重點。 它的優(yōu)勢在于， 總體存儲的方式可使銀行降低購置和維護(hù)的成本，最大限度地減少管理多個獨立業(yè)務(wù)系統(tǒng)的復(fù)雜性，提高銀行數(shù)據(jù)的整體安全性。 同時，存儲容量也可得以優(yōu)化， 減少利用率偏低的現(xiàn)象。b) 采用冗余、集群、負(fù)載均衡能力等技術(shù)，消除單點故障，提高系統(tǒng)的高可用性，提高系統(tǒng)性能影響。建立信息系統(tǒng)安全業(yè)務(wù)持續(xù)性保障體系，針對災(zāi)難性事件的預(yù)防目標(biāo)， 建議總、分行層面考慮建立異地容災(zāi)環(huán)境，建立異地備份機(jī)

4、房， 配備核心業(yè)務(wù)需要的基礎(chǔ)設(shè)施、網(wǎng)絡(luò)設(shè)備、通訊線路和計算機(jī)設(shè)備；建立數(shù)據(jù)服務(wù)器區(qū)，實現(xiàn)全行經(jīng)營數(shù)據(jù)的集中保存。構(gòu)建生產(chǎn)中心、同城災(zāi)備中心、異地災(zāi)備中心的“兩地三個中心”災(zāi)備體系。2. “兩地三中心”災(zāi)難恢復(fù)系統(tǒng)布局2.1. 布局原則a) 災(zāi)難備份中心設(shè)置在中華人民共和國境內(nèi)；b) 災(zāi)難備份中心與生產(chǎn)中心之間距離合理，應(yīng)避免災(zāi)難備份中心與生產(chǎn)中心同時遭受同類風(fēng)險；專業(yè)知識整理分享WORD格式可編輯c) 災(zāi)難備份中心的選址應(yīng)服從國家戰(zhàn)略安全要求，并綜合考慮生產(chǎn)中心與災(zāi)難備份中心交通和電訊的便利性與多樣性， 以及災(zāi)難備份中心當(dāng)?shù)氐臉I(yè)務(wù)與技術(shù)支持能力、 電訊資源、地理地質(zhì)環(huán)境、 公共資源與服務(wù)配套能

5、力等外部支持條件。2.2. 布局模式根據(jù)成本風(fēng)險平衡原則以及運行管理要求，采用“一主雙備”布局模式，即一個生產(chǎn)中心，兩個個備份中心，其中一個同城備份、一個異地備份。對于同城數(shù)據(jù)備份中心，應(yīng)與生產(chǎn)中心直線距離至少達(dá)到30 公里，可以接管所有核心業(yè)務(wù)的運行； 對于異地數(shù)據(jù)備份中心， 應(yīng)與生產(chǎn)中心直線距離至少達(dá)到 100 公里。3. “兩地三中心”災(zāi)難恢復(fù)系統(tǒng)設(shè)計3.1. “兩地三中心”框架設(shè)計結(jié)合近年國內(nèi)出現(xiàn)的大范圍自然災(zāi)害，以同城雙中心加異地災(zāi)備中心的“兩地三中心”的災(zāi)備模式兼具高可用性和災(zāi)難備份的能力。同城雙中心是指在同城或鄰近城市建立兩個可獨立承擔(dān)關(guān)鍵系統(tǒng)運行的數(shù)據(jù)中心，雙中心具備基本等同的

6、業(yè)務(wù)處理能力并通過高速鏈路實時同步數(shù)據(jù)，日常情況下可同時分擔(dān)業(yè)務(wù)及管理系統(tǒng)的運行，并可切換運行； 災(zāi)難情況下可在基本不丟失數(shù)據(jù)的情況下進(jìn)行災(zāi)備應(yīng)急切換，保持業(yè)務(wù)連續(xù)運行。 與異地災(zāi)備模式相比較，同城雙中心具有投資成本低、建設(shè)速度快、運維管理相對簡單、可靠性更高等優(yōu)點。專業(yè)知識整理分享WORD格式可編輯異地災(zāi)備中心是指在異地的城市建立一個備份的災(zāi)備中心，用于雙中心的數(shù)據(jù)備份，當(dāng)雙中心出現(xiàn)自然災(zāi)害等原因而發(fā)生故障時，異地災(zāi)備中心可以用備份數(shù)據(jù)進(jìn)行業(yè)務(wù)的恢復(fù)。兩地三中心”的災(zāi)備模式框架圖如下圖所示：如圖，同城雙中心的應(yīng)用切換， 采用集群軟件來實現(xiàn)， 生產(chǎn)中心主機(jī)和災(zāi)備中心主機(jī)上都需要進(jìn)行集群。 采用

7、集群監(jiān)測本地雙機(jī)或集群狀態(tài)，并通過組件在本地和遠(yuǎn)程的集群之間進(jìn)行狀態(tài)監(jiān)測。在網(wǎng)絡(luò)層，同城雙中心之間采用光纖連接，保證雙中心之間較大的帶寬，以響應(yīng)實時的業(yè)務(wù)數(shù)據(jù)需求，同城異地之間采用專網(wǎng)或IP 廣域網(wǎng)即可實現(xiàn)，以節(jié)約成本。同城雙中心的光纖采用波分復(fù)用（WDM ）技術(shù)進(jìn)行建設(shè)，針對兩地只有 1 條或 2 條光纖連接的場景， 采用 WDM 方式，能夠虛擬出多條 FC 或 GE 聯(lián)絡(luò)，滿足兩地之間對業(yè)務(wù)和數(shù)據(jù)多重鏈路的需求。 WDM 技術(shù)能充分利用光纖的巨大帶寬資源， 大幅度提高系統(tǒng)傳輸容量， 降低傳輸成本， 因此在長途和骨干網(wǎng)的超大容量傳輸中得到了廣泛的應(yīng)用。將 WDM 技術(shù)引入城域網(wǎng)、接入網(wǎng)，整專

8、業(yè)知識整理分享WORD格式可編輯個網(wǎng)絡(luò)就會變成無縫連接的整體，為所有不同的業(yè)務(wù)提供支持和連接，因此城域網(wǎng)中 WDM 具有很大優(yōu)越性。在數(shù)據(jù)存儲層， 部署虛擬存磁盤陣列， 通過存儲的同步遠(yuǎn)程復(fù)制功能將數(shù)據(jù)同步復(fù)制到災(zāi)備站點。 確保生產(chǎn)中心和災(zāi)備中心的數(shù)據(jù)完全一致。使用存儲的異步復(fù)制功能，將數(shù)據(jù)通過廣域網(wǎng)復(fù)制到遠(yuǎn)端的災(zāi)備站點，并且保證數(shù)據(jù)的完整性和可用性。遠(yuǎn)端站點的作用主要是用來防止地理和自然災(zāi)難，當(dāng)同城的雙中心全部故障后，可以確保在異地有一份完整的數(shù)據(jù)拷貝，用于后續(xù)業(yè)務(wù)的恢復(fù)。3.2. 災(zāi)難恢復(fù)能力等級需求國家標(biāo)準(zhǔn)要求災(zāi)難備份級別根據(jù)國家標(biāo)準(zhǔn)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范(GB/T 20988-2007)

9、 的定義：災(zāi)難是指由于人為或自然的原因， 造成信息系統(tǒng)嚴(yán)重故障或癱瘓，使信息系統(tǒng)支持的業(yè)務(wù)功能停頓或服務(wù)水平不可接受、達(dá)到特定的時間的突發(fā)性事件。災(zāi)難備份是指為了災(zāi)難恢復(fù)而對數(shù)據(jù)、 數(shù)據(jù)處理系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、基礎(chǔ)設(shè)施、專業(yè)技術(shù)支持能力和運行管理能力進(jìn)行備份的過程；而災(zāi)難恢復(fù)是指為了將信息系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到可正常運行狀態(tài)、并將其支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)，而設(shè)計的活動和流程。 災(zāi)備系統(tǒng)的建設(shè)包含七要素：數(shù)據(jù)備份系統(tǒng)、備用數(shù)據(jù)處理系統(tǒng)、備用網(wǎng)絡(luò)系統(tǒng)、備用基礎(chǔ)設(shè)施、專業(yè)技術(shù)支持能力、運行維護(hù)管理能力、災(zāi)難恢復(fù)預(yù)案。信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范 將災(zāi)難恢復(fù)能力劃分為6

10、 級，災(zāi)難恢復(fù)能力等級越高，對信息系統(tǒng)的保護(hù)效果越好，但同時成本也會迅速上升。災(zāi)備等級主要從RTO(恢復(fù)時間目標(biāo) )和 RPO( 恢復(fù)點目標(biāo) ) 來考慮， RPO( 恢復(fù)點目標(biāo) )是指發(fā)生災(zāi)專業(yè)知識整理分享WORD格式可編輯難前最后一次備份的時間點距離當(dāng)前時間差(數(shù)據(jù)丟失時間 )；RTO(時間恢復(fù)目標(biāo) )是指發(fā)生災(zāi)難后恢復(fù)物理系統(tǒng)環(huán)境的時間。大部分的用戶關(guān)注的是數(shù)據(jù)安全性，即 RPO 值 (RPO 越小，數(shù)據(jù)丟失越少 )，但是用戶往往談的更多的是RTO(RTO越小，恢復(fù)生產(chǎn)越快 )。金融行業(yè)標(biāo)準(zhǔn)要求災(zāi)難恢復(fù)級別金融行業(yè)標(biāo)準(zhǔn)銀行業(yè)信息系統(tǒng)災(zāi)難恢復(fù)管理規(guī)范(JR/T 0044-2008) 中指出金

11、融單位應(yīng)根據(jù)風(fēng)險分析、 業(yè)務(wù)功能分析和業(yè)務(wù)中斷影響分析的結(jié)論，將信息系統(tǒng)按時間敏感性分成三類需求等級：第一類：短時間中斷將嚴(yán)重影響單位關(guān)鍵業(yè)務(wù)功能并造成重大經(jīng)濟(jì)損失的系統(tǒng)；單位和用戶對系統(tǒng)短時間中斷不能容忍的系統(tǒng)。第二類：短時間中斷將影響單位部分關(guān)鍵業(yè)務(wù)功能并造成較大經(jīng)濟(jì)損失的系統(tǒng)；單位和用戶對系統(tǒng)短時間中斷具有一定容忍度的系統(tǒng)。第三類：短時間中斷將影響單位非關(guān)鍵業(yè)務(wù)功能并造成一定經(jīng)濟(jì)損失的系統(tǒng)；業(yè)務(wù)功能容許一段時間中斷的系統(tǒng)。根據(jù)信息系統(tǒng)的時間敏感性，確定信息系統(tǒng)災(zāi)難恢復(fù)目標(biāo)的最低要求：第一類： RTO<6 小時， RPO<15 分鐘；第二類： RTO<24 小時， RPO

12、<120 分鐘；第三類： RTO<7 天。結(jié)合信息系統(tǒng)災(zāi)難恢復(fù)目標(biāo)的最低要求和信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范 將災(zāi)難恢復(fù)能力劃分為6 級要求，第一類信息系統(tǒng)達(dá)到5 級災(zāi)難恢復(fù)能力； 第二類達(dá)到專業(yè)知識整理分享WORD格式可編輯3 級災(zāi)難恢復(fù)能力；第三類達(dá)到2 級災(zāi)難恢復(fù)能力。3.3. “兩地三中心”建設(shè)策略依照中國金融行業(yè)IT 戰(zhàn)略規(guī)劃和架構(gòu)的要求，我們認(rèn)為“兩地三中心”的建設(shè)應(yīng)按照如下策略進(jìn)行：“兩地三中心” 建設(shè)要滿足業(yè)務(wù)的需求。 建設(shè)資金投入、功能、處理能力、管理方式等必須滿足目前的業(yè)務(wù)需求，同時還要兼顧未來發(fā)展的要求。“兩地三中心” 需要建立高可用性的架構(gòu)。 其中災(zāi)備中心啟用后， 就

13、開始做為生產(chǎn)中心提供服務(wù)。 因此災(zāi)備中心也應(yīng)該與生產(chǎn)中心一樣，對關(guān)鍵業(yè)務(wù)應(yīng)用采用高可用性架構(gòu)，以防止由于單點故障而引起宕機(jī)“兩地三中心” 應(yīng)該可以提供演習(xí)環(huán)境。 演習(xí)是保證業(yè)務(wù)永續(xù)運行計劃有效性的重要手段， 每年至少應(yīng)該舉行一次。 演習(xí)環(huán)境是為了保證在演習(xí)是正常的業(yè)務(wù)處理仍能繼續(xù)而建立的。“兩地三中心” 設(shè)備應(yīng)該得到充分利用。 系統(tǒng)建設(shè)不僅要考率到緊急情況下的使用情況， 還要考慮日常如何利用。 例如，為了在平時提供災(zāi)備中心設(shè)備的利用率，可以利用災(zāi)備中心的設(shè)備進(jìn)行應(yīng)用的開發(fā)和測試?！皟傻厝行摹?建設(shè)以用先進(jìn)、成熟的方法論做為指導(dǎo)， 分階段進(jìn)行。先進(jìn)、成熟的方法論為災(zāi)備中心建設(shè)的成功提供了保障。

14、災(zāi)備中心與生產(chǎn)中心使用結(jié)構(gòu)相同的IT 基礎(chǔ)架構(gòu)和管理流程。這樣可以大大降低管理與運行維護(hù)的復(fù)雜度。災(zāi)備中心的處理能力可以與生產(chǎn)中心不同，但專業(yè)知識整理分享WORD格式可編輯是要滿足業(yè)務(wù)需要。建設(shè)的內(nèi)容包括： 面向數(shù)據(jù)中心提供網(wǎng)絡(luò)通訊設(shè)備、通訊線路、存儲網(wǎng)絡(luò)設(shè)備的全面容錯和異地容災(zāi)； 面向數(shù)據(jù)中心提供部分關(guān)鍵業(yè)務(wù)系統(tǒng)的容錯和異地容災(zāi)。4. “兩地三中心”方案實現(xiàn)4.1. 系統(tǒng)實現(xiàn)數(shù)據(jù)備份同城雙中心的數(shù)據(jù)采用同步復(fù)制， 在同城災(zāi)備中心建立一個在線更新的數(shù)據(jù)副本。當(dāng)有數(shù)據(jù)下發(fā)到生產(chǎn)中心陣列時，陣列間的同步復(fù)制都會同時將數(shù)據(jù)復(fù)制一份到同城災(zāi)備中心。同城災(zāi)備中心與異地災(zāi)備中心之間采用異步復(fù)制方式，定期將

15、數(shù)據(jù)進(jìn)行復(fù)制備份，異步復(fù)制支持增量復(fù)制方式，可以節(jié)省數(shù)據(jù)備份的帶寬占用，縮短數(shù)據(jù)的備份時間。災(zāi)難檢測通過對資源組狀態(tài)的監(jiān)控來判斷資源的可用性，包括數(shù)據(jù)庫資源組、 網(wǎng)絡(luò)資源組等。資源組的狀態(tài)分online/offline/fault三種，正常情況下生產(chǎn)中心在工作的時候資源組的狀態(tài)都是online ，而災(zāi)備中心的資源組是offline狀態(tài)。每個資源組在 online 和 offline 的時候均可以指定運行程序或腳本，程序或腳本執(zhí)行完成后資源組即完成online或 offline 的過程。當(dāng)檢測到生產(chǎn)中心有資源組出現(xiàn)fault 狀態(tài)時，同城內(nèi)生產(chǎn)中心同災(zāi)備中心將進(jìn)行切換，以保證業(yè)務(wù)的連續(xù)性。專業(yè)知

16、識整理分享WORD格式可編輯容災(zāi)切換基于應(yīng)用容災(zāi)切換包括一系列的動作：停止災(zāi)難節(jié)點的部件服務(wù)、 切斷數(shù)據(jù)復(fù)制鏈路、建立數(shù)據(jù)容災(zāi)基線、 啟動容災(zāi)節(jié)點的部件服務(wù)、通知前端設(shè)備進(jìn)行業(yè)務(wù)網(wǎng)絡(luò)切換。具體動作可以結(jié)合實際情況，通過腳本來定制?；謴?fù)回切回切工作流程和切換流程原理是一樣的，只是因為切換的時候是不確定觸發(fā)的、可能導(dǎo)致業(yè)務(wù)受部分影響； 而回切的時候通過人工確認(rèn)，選擇最小影響的情況下執(zhí)行操作（比如業(yè)務(wù)流量非常小的情況下，甚至?xí)和I(yè)務(wù)情況下），因此回切推薦采用的是手動切換模式。應(yīng)用級容災(zāi)采用的是自動切換還是手動切換，用戶可以在部署時通過修改主機(jī)集群軟件的切換配置實現(xiàn)。同城范圍有效保證了數(shù)據(jù)的安全性和業(yè)

17、務(wù)連續(xù)性；異地復(fù)制數(shù)據(jù)根據(jù)災(zāi)難情形，盡可能降低數(shù)據(jù)丟失機(jī)率；同城雙中心為同步復(fù)制，數(shù)據(jù)實時同步，RPO=0 ；異地?zé)o距離限制，保證數(shù)據(jù)一致性，保證了數(shù)據(jù)的有效保護(hù)；異地容災(zāi)帶寬要求低，先進(jìn)的復(fù)制機(jī)制提高帶寬利用率。4.2. 業(yè)務(wù)應(yīng)用備份恢復(fù)實現(xiàn)應(yīng)用環(huán)境備份的目的是確保災(zāi)備中心能夠快速重建數(shù)據(jù)中心應(yīng)用系統(tǒng)環(huán)境，并實現(xiàn)備份業(yè)務(wù)系統(tǒng)對生產(chǎn)系統(tǒng)有效替代。對應(yīng)用環(huán)境備份的設(shè)計要點包括：通過配置同步技術(shù)， 實現(xiàn)數(shù)據(jù)中心應(yīng)用環(huán)境的一致性。災(zāi)備中心的應(yīng)用環(huán)境專業(yè)知識整理分享WORD格式可編輯在技術(shù)路線、設(shè)備部署方面應(yīng)盡量保證與數(shù)據(jù)中心應(yīng)用環(huán)境一致。這樣有利于提高災(zāi)備應(yīng)用環(huán)境與生產(chǎn)應(yīng)用環(huán)境之間手工切換的效率，也

18、有利于日常檢驗災(zāi)備應(yīng)用環(huán)境的可用性。一般可通過災(zāi)備應(yīng)用環(huán)境定期向生產(chǎn)應(yīng)用環(huán)境讀取配置文件、參數(shù)等方式，實現(xiàn)兩者配置的同步。災(zāi)備中心關(guān)鍵型業(yè)務(wù)系統(tǒng)實現(xiàn)集群間自動切換，其余業(yè)務(wù)系統(tǒng)則采用手工切換模式。數(shù)據(jù)中心應(yīng)用服務(wù)器一般通過HA 等技術(shù)建立高可用性集群， 保證本地應(yīng)用服務(wù)的高可靠性。 同樣，只要建立數(shù)據(jù)中心與災(zāi)備中心之間的高可用性網(wǎng)絡(luò)監(jiān)控技術(shù)，災(zāi)備中心備份應(yīng)用服務(wù)器集群可實現(xiàn)與數(shù)據(jù)中心生產(chǎn)服務(wù)器集群之間的高可用性自動切換。 為節(jié)約成本投入， 建議對關(guān)鍵性業(yè)務(wù)系統(tǒng)采用此方式，以滿足 RTO 一小時以內(nèi)的災(zāi)備恢復(fù)需求。對于其余業(yè)務(wù)系統(tǒng)，只要如前所述，保證應(yīng)用環(huán)境一致性，通過手工方式進(jìn)行切換即可。采用虛擬化技術(shù)對備份環(huán)境進(jìn)行整合。災(zāi)備中心應(yīng)用環(huán)境備份資源畢竟有限，充分利用備份應(yīng)用資源對數(shù)據(jù)中心應(yīng)用環(huán)境保護(hù)十分重要。虛擬化技術(shù)可實現(xiàn)一臺物理應(yīng)用服務(wù)器對多臺邏輯服務(wù)器的虛擬。這樣在數(shù)據(jù)中心里， 大量性能要求不苛刻、 RTO 要求在數(shù)小時以上的應(yīng)用系統(tǒng)災(zāi)備環(huán)境就可以集中部署在少數(shù)的硬件服務(wù)器資源中， 有利