金融行業(yè)“兩地三中心”數(shù)據(jù)備份與恢復(fù)方案設(shè)計(jì)“兩地三中心”設(shè)計(jì)背景行業(yè)背景中華人民共和國(guó)有句俗話，“人無(wú)遠(yuǎn)慮，必有近憂”。隨著信息化不斷進(jìn)一步，銀行越來(lái)越依賴信息系統(tǒng)，在信息化給社會(huì)和銀行帶來(lái)巨大好處同步，這也使得銀行組織更易遭受襲擊，從而導(dǎo)致業(yè)務(wù)系統(tǒng)中斷、數(shù)據(jù)丟失等。近年來(lái)，越來(lái)越多銀行發(fā)現(xiàn)，她們IT系統(tǒng)意外地、不必要地中斷——即便是暫時(shí)性，也會(huì)使銀行業(yè)務(wù)活動(dòng)及時(shí)中斷，無(wú)法繼續(xù)開(kāi)展，數(shù)據(jù)丟失或訪問(wèn)中斷，不但影響了系統(tǒng)運(yùn)營(yíng)，還給銀行導(dǎo)致重大損失。業(yè)務(wù)持續(xù)性需求銀行服務(wù)日益全球化，經(jīng)濟(jì)增長(zhǎng)和國(guó)民財(cái)富急劇增長(zhǎng)，客戶需求日益多樣化和復(fù)雜化，對(duì)銀行服務(wù)質(zhì)量盼望值越來(lái)越高，使銀行保持業(yè)務(wù)持續(xù)狀態(tài)成為當(dāng)務(wù)之急。所謂業(yè)務(wù)持續(xù)，就是無(wú)論發(fā)生任何狀況，核心系統(tǒng)和網(wǎng)絡(luò)都持續(xù)可用。老式意義上備份和恢復(fù)籌劃無(wú)法繼續(xù)滿足需要。當(dāng)今防止辦法應(yīng)當(dāng)涉及風(fēng)險(xiǎn)評(píng)估、中斷影響分析以及避免中斷方略，必要將這些因素充分考慮進(jìn)綜合業(yè)務(wù)持續(xù)性籌劃。在信息時(shí)代，業(yè)務(wù)持續(xù)性不再是一項(xiàng)“可有可無(wú)”工作，而是“勢(shì)在必行”重點(diǎn)規(guī)劃?！皟傻厝行摹睒I(yè)務(wù)保障影響業(yè)務(wù)持續(xù)性發(fā)展因素諸多，既有外部因素，如電力、通訊等；也有內(nèi)部因素，如場(chǎng)地、人員、決策、IT技術(shù)等。但從系統(tǒng)觀念看，可以說(shuō)當(dāng)前影響銀行業(yè)務(wù)持續(xù)發(fā)展最直接威脅來(lái)自于信息系統(tǒng)安全。健全業(yè)務(wù)持續(xù)性風(fēng)險(xiǎn)防止方略和辦法，需要如下幾點(diǎn)基于業(yè)務(wù)需求：實(shí)行數(shù)據(jù)集中保護(hù)。隨著數(shù)據(jù)日益成為銀行生命線，支持業(yè)務(wù)持續(xù)性數(shù)據(jù)存儲(chǔ)方略成為銀行必要考慮重點(diǎn)。它優(yōu)勢(shì)在于，總體存儲(chǔ)方式可使銀行減少購(gòu)買(mǎi)和維護(hù)成本，最大限度地減少管理各種獨(dú)立業(yè)務(wù)系統(tǒng)復(fù)雜性，提高銀行數(shù)據(jù)整體安全性。同步，存儲(chǔ)容量也可得以優(yōu)化，減少運(yùn)用率偏低現(xiàn)象。采用冗余、集群、負(fù)載均衡能力等技術(shù)，消除單點(diǎn)故障，提高系統(tǒng)高可用性，提高系統(tǒng)性能影響。建立信息系統(tǒng)安全業(yè)務(wù)持續(xù)性保障體系，針對(duì)劫難性事件防止目的，建議總、分行層面考慮建立異地容災(zāi)環(huán)境，建立異地備份機(jī)房，配備核心業(yè)務(wù)需要基本設(shè)施、網(wǎng)絡(luò)設(shè)備、通訊線路和計(jì)算機(jī)設(shè)備；建立數(shù)據(jù)服務(wù)器區(qū)，實(shí)現(xiàn)全行經(jīng)營(yíng)數(shù)據(jù)集中保存。構(gòu)建生產(chǎn)中心、同城災(zāi)備中心、異地災(zāi)備中心“兩地三個(gè)中心”災(zāi)備體系?！皟傻厝行摹苯匐y恢復(fù)系統(tǒng)布局布局原則a)劫難備份中心設(shè)立在中華人民共和國(guó)境內(nèi)；b)劫難備份中心與生產(chǎn)中心之間距離合理，應(yīng)避免劫難備份中心與生產(chǎn)中心同步遭受同類風(fēng)險(xiǎn)；c)劫難備份中心選址應(yīng)服從國(guó)家戰(zhàn)略安全規(guī)定，并綜合考慮生產(chǎn)中心與劫難備份中心交通和電訊便利性與多樣性，以及劫難備份中心本地業(yè)務(wù)與技術(shù)支持能力、電訊資源、地理地質(zhì)環(huán)境、公共資源與服務(wù)配套能力等外部支持條件。布局模式依照成本風(fēng)險(xiǎn)平衡原則以及運(yùn)營(yíng)管理規(guī)定，采用“一主雙備”布局模式，即一種生產(chǎn)中心，兩個(gè)個(gè)備份中心，其中一種同城備份、一種異地備份。對(duì)于同城數(shù)據(jù)備份中心，應(yīng)與生產(chǎn)中心直線距離至少達(dá)到30公里，可以接管所有核心業(yè)務(wù)運(yùn)營(yíng)；對(duì)于異地?cái)?shù)據(jù)備份中心，應(yīng)與生產(chǎn)中心直線距離至少達(dá)到100公里?！皟傻厝行摹苯匐y恢復(fù)系統(tǒng)設(shè)計(jì)“兩地三中心”框架設(shè)計(jì)結(jié)合近年國(guó)內(nèi)浮現(xiàn)大范疇自然災(zāi)害，以同城雙中心加異地災(zāi)備中心“兩地三中心”災(zāi)備模式兼具高可用性和劫難備份能力。同城雙中心是指在同城或鄰近都市建立兩個(gè)可獨(dú)立承擔(dān)核心系統(tǒng)運(yùn)營(yíng)數(shù)據(jù)中心，雙中心具備基本等同業(yè)務(wù)解決能力并通過(guò)高速鏈路實(shí)時(shí)同步數(shù)據(jù)，尋常狀況下可同步分擔(dān)業(yè)務(wù)及管理系統(tǒng)運(yùn)營(yíng)，并可切換運(yùn)營(yíng)；劫難狀況下可在基本不丟失數(shù)據(jù)狀況下進(jìn)行災(zāi)備應(yīng)急切換，保持業(yè)務(wù)持續(xù)運(yùn)營(yíng)。與異地災(zāi)備模式相比較，同城雙中心具備投資成本低、建設(shè)速度快、運(yùn)維管理相對(duì)簡(jiǎn)樸、可靠性更高等長(zhǎng)處。異地災(zāi)備中心是指在異地都市建立一種備份災(zāi)備中心，用于雙中心數(shù)據(jù)備份，當(dāng)雙中心浮現(xiàn)自然災(zāi)害等因素而發(fā)生故障時(shí)，異地災(zāi)備中心可以用備份數(shù)據(jù)進(jìn)行業(yè)務(wù)恢復(fù)。兩地三中心”災(zāi)備模式框架圖如下圖所示：如圖，同城雙中心應(yīng)用切換，采用集群軟件來(lái)實(shí)現(xiàn)，生產(chǎn)中心主機(jī)和災(zāi)備中心主機(jī)上都需要進(jìn)行集群。采用集群監(jiān)測(cè)本地雙機(jī)或集群狀態(tài)，并通過(guò)組件在本地和遠(yuǎn)程集群之間進(jìn)行狀態(tài)監(jiān)測(cè)。在網(wǎng)絡(luò)層，同城雙中心之間采用光纖連接，保證雙中心之間較大帶寬，以響應(yīng)實(shí)時(shí)業(yè)務(wù)數(shù)據(jù)需求，同城異地之間采用專網(wǎng)或IP廣域網(wǎng)即可實(shí)現(xiàn)，以節(jié)約成本。同城雙中心光纖采用波分復(fù)用（WDM）技術(shù)進(jìn)行建設(shè)，針對(duì)兩地只有1條或2條光纖連接場(chǎng)景，采用WDM方式，可以虛擬出多條FC或GE聯(lián)系，滿足兩地之間對(duì)業(yè)務(wù)和數(shù)據(jù)多重鏈路需求。WDM技術(shù)能充分運(yùn)用光纖巨大帶寬資源，大幅度提高系統(tǒng)傳播容量，減少傳播成本，因而在長(zhǎng)途和骨干網(wǎng)超大容量傳播中得到了廣泛應(yīng)用。將WDM技術(shù)引入城域網(wǎng)、接入網(wǎng)，整個(gè)網(wǎng)絡(luò)就會(huì)變成無(wú)縫連接整體，為所有不同業(yè)務(wù)提供支持和連接，因而城域網(wǎng)中WDM具備很大優(yōu)越性。在數(shù)據(jù)存儲(chǔ)層，布置虛擬存磁盤(pán)陣列，通過(guò)存儲(chǔ)同步遠(yuǎn)程復(fù)制功能將數(shù)據(jù)同步復(fù)制到災(zāi)備站點(diǎn)。保證生產(chǎn)中心和災(zāi)備中心數(shù)據(jù)完全一致。使用存儲(chǔ)異步復(fù)制功能，將數(shù)據(jù)通過(guò)廣域網(wǎng)復(fù)制到遠(yuǎn)端災(zāi)備站點(diǎn)，并且保證數(shù)據(jù)完整性和可用性。遠(yuǎn)端站點(diǎn)作用重要是用來(lái)防止地理和自然劫難，當(dāng)同城雙中心所有故障后，可以保證在異地有一份完整數(shù)據(jù)拷貝，用于后續(xù)業(yè)務(wù)恢復(fù)。劫難恢復(fù)能力級(jí)別需求國(guó)標(biāo)規(guī)定劫難備份級(jí)別依照國(guó)標(biāo)《信息系統(tǒng)劫難恢復(fù)規(guī)范》(GB/T20988-)定義：劫難是指由于人為或自然因素，導(dǎo)致信息系統(tǒng)嚴(yán)重故障或癱瘓，使信息系統(tǒng)支持業(yè)務(wù)功能停頓或服務(wù)水平不可接受、達(dá)到特定期間突發(fā)性事件。劫難備份是指為了劫難恢復(fù)而對(duì)數(shù)據(jù)、數(shù)據(jù)解決系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、基本設(shè)施、專業(yè)技術(shù)支持能力和運(yùn)營(yíng)管理能力進(jìn)行備份過(guò)程；而劫難恢復(fù)是指為了將信息系統(tǒng)從劫難導(dǎo)致故障或癱瘓狀態(tài)恢復(fù)到可正常運(yùn)營(yíng)狀態(tài)、并將其支持業(yè)務(wù)功能從劫難導(dǎo)致不正常狀態(tài)恢復(fù)到可接受狀態(tài)，而設(shè)計(jì)活動(dòng)和流程。災(zāi)備系統(tǒng)建設(shè)包括七要素：數(shù)據(jù)備份系統(tǒng)、備用數(shù)據(jù)解決系統(tǒng)、備用網(wǎng)絡(luò)系統(tǒng)、備用基本設(shè)施、專業(yè)技術(shù)支持能力、運(yùn)營(yíng)維護(hù)管理能力、劫難恢復(fù)預(yù)案。《信息系統(tǒng)劫難恢復(fù)規(guī)范》將劫難恢復(fù)能力劃分為6級(jí)，劫難恢復(fù)能力級(jí)別越高，對(duì)信息系統(tǒng)保護(hù)效果越好，但同步成本也會(huì)迅速上升。災(zāi)備級(jí)別重要從RTO(恢復(fù)時(shí)間目的)和RPO(恢復(fù)點(diǎn)目的)來(lái)考慮，RPO(恢復(fù)點(diǎn)目的)是指發(fā)生劫難前最后一次備份時(shí)間點(diǎn)距離當(dāng)前時(shí)間差(數(shù)據(jù)丟失時(shí)間)；RTO(時(shí)間恢復(fù)目的)是指發(fā)生劫難后恢復(fù)物理系統(tǒng)環(huán)境時(shí)間。大某些顧客關(guān)注是數(shù)據(jù)安全性，即RPO值(RPO越小，數(shù)據(jù)丟失越少)，但是顧客往往談更多是RTO(RTO越小，恢復(fù)生產(chǎn)越快)。金融行業(yè)原則規(guī)定劫難恢復(fù)級(jí)別金融行業(yè)原則《銀行業(yè)信息系統(tǒng)劫難恢復(fù)管理規(guī)范》(JR/T0044-)中指出金融單位應(yīng)依照風(fēng)險(xiǎn)分析、業(yè)務(wù)功能分析和業(yè)務(wù)中斷影響分析結(jié)論，將信息系統(tǒng)準(zhǔn)時(shí)間敏感性提成三類需求級(jí)別：第一類：短時(shí)間中斷將嚴(yán)重影響單位核心業(yè)務(wù)功能并導(dǎo)致重大經(jīng)濟(jì)損失系統(tǒng)；單位和顧客對(duì)系統(tǒng)短時(shí)間中斷不能容忍系統(tǒng)。第二類：短時(shí)間中斷將影響單位某些核心業(yè)務(wù)功能并導(dǎo)致較大經(jīng)濟(jì)損失系統(tǒng)；單位和顧客對(duì)系統(tǒng)短時(shí)間中斷具備一定容忍度系統(tǒng)。第三類：短時(shí)間中斷將影響單位非核心業(yè)務(wù)功能并導(dǎo)致一定經(jīng)濟(jì)損失系統(tǒng)；業(yè)務(wù)功能容許一段時(shí)間中斷系統(tǒng)。依照信息系統(tǒng)時(shí)間敏感性，擬定信息系統(tǒng)劫難恢復(fù)目的最低規(guī)定：第一類：RTO<6小時(shí)，RPO<15分鐘；第二類：RTO<24小時(shí)，RPO<120分鐘；第三類：RTO<7天。結(jié)合信息系統(tǒng)劫難恢復(fù)目的最低規(guī)定和《信息系統(tǒng)劫難恢復(fù)規(guī)范》將劫難恢復(fù)能力劃分為6級(jí)規(guī)定，第一類信息系統(tǒng)達(dá)到5級(jí)劫難恢復(fù)能力；第二類達(dá)到3級(jí)劫難恢復(fù)能力；第三類達(dá)到2級(jí)劫難恢復(fù)能力?！皟傻厝行摹苯ㄔO(shè)方略依照中華人民共和國(guó)金融行業(yè)IT戰(zhàn)略規(guī)劃和架構(gòu)規(guī)定，咱們以為“兩地三中心”建設(shè)應(yīng)按照如下方略進(jìn)行：“兩地三中心”建設(shè)要滿足業(yè)務(wù)需求。建設(shè)資金投入、功能、解決能力、管理方式等必要滿足當(dāng)前業(yè)務(wù)需求，同步還要兼顧將來(lái)發(fā)展規(guī)定?！皟傻厝行摹毙枰⒏呖捎眯约軜?gòu)。其中災(zāi)備中心啟用后，就開(kāi)始做為生產(chǎn)中心提供服務(wù)。因而災(zāi)備中心也應(yīng)當(dāng)與生產(chǎn)中心同樣，對(duì)核心業(yè)務(wù)應(yīng)用采用高可用性架構(gòu)，以防止由于單點(diǎn)故障而引起宕機(jī)“兩地三中心”應(yīng)當(dāng)可以提供演習(xí)環(huán)境。演習(xí)是保證業(yè)務(wù)永續(xù)運(yùn)營(yíng)籌劃有效性重要手段，每年至少應(yīng)當(dāng)舉辦一次。演習(xí)環(huán)境是為了保證在演習(xí)是正常業(yè)務(wù)解決仍能繼續(xù)而建立?！皟傻厝行摹痹O(shè)備應(yīng)當(dāng)?shù)玫匠浞诌\(yùn)用。系統(tǒng)建設(shè)不但要考率到緊急狀況下使用狀況，還要考慮尋常如何運(yùn)用。例如，為了在平時(shí)提供災(zāi)備中心設(shè)備運(yùn)用率，可以運(yùn)用災(zāi)備中心設(shè)備進(jìn)行應(yīng)用開(kāi)發(fā)和測(cè)試。“兩地三中心”建設(shè)以用先進(jìn)、成熟辦法論做為指引，分階段進(jìn)行。先進(jìn)、成熟辦法論為災(zāi)備中心建設(shè)成功提供了保障。災(zāi)備中心與生產(chǎn)中心使用構(gòu)造相似IT基本架構(gòu)和管理流程。這樣可以大大減少管理與運(yùn)營(yíng)維護(hù)復(fù)雜度。災(zāi)備中心解決能力可以與生產(chǎn)中心不同，但是要滿足業(yè)務(wù)需要。建設(shè)內(nèi)容涉及：面向數(shù)據(jù)中心提供網(wǎng)絡(luò)通訊設(shè)備、通訊線路、存儲(chǔ)網(wǎng)絡(luò)設(shè)備全面容錯(cuò)和異地容災(zāi)；面向數(shù)據(jù)中心提供某些核心業(yè)務(wù)系統(tǒng)容錯(cuò)和異地容災(zāi)?！皟傻厝行摹狈桨笇?shí)現(xiàn)系統(tǒng)實(shí)現(xiàn)數(shù)據(jù)備份同城雙中心數(shù)據(jù)采用同步復(fù)制，在同城災(zāi)備中心建立一種在線更新數(shù)據(jù)副本。當(dāng)有數(shù)據(jù)下發(fā)到生產(chǎn)中心陣列時(shí)，陣列間同步復(fù)制都會(huì)同步將數(shù)據(jù)復(fù)制一份到同城災(zāi)備中心。同城災(zāi)備中心與異地災(zāi)備中心之間采用異步復(fù)制方式，定期將數(shù)據(jù)進(jìn)行復(fù)制備份，異步復(fù)制支持增量復(fù)制方式，可以節(jié)約數(shù)據(jù)備份帶寬占用，縮短數(shù)據(jù)備份時(shí)間。劫難檢測(cè)通過(guò)對(duì)資源組狀態(tài)監(jiān)控來(lái)判斷資源可用性，涉及數(shù)據(jù)庫(kù)資源組、網(wǎng)絡(luò)資源組等。資源組狀態(tài)分online/offline/fault三種，正常狀況下生產(chǎn)中心在工作時(shí)候資源組狀態(tài)都是online，而災(zāi)備中心資源組是offline狀態(tài)。每個(gè)資源組在online和offline時(shí)候均可以指定運(yùn)營(yíng)程序或腳本，程序或腳本執(zhí)行完畢后資源組即完畢online或offline過(guò)程。當(dāng)檢測(cè)到生產(chǎn)中心有資源組浮現(xiàn)fault狀態(tài)時(shí)，同城內(nèi)生產(chǎn)中心同災(zāi)備中心將進(jìn)行切換，以保證業(yè)務(wù)持續(xù)性。容災(zāi)切換基于應(yīng)用容災(zāi)切換涉及一系列動(dòng)作：停止劫難節(jié)點(diǎn)部件服務(wù)、切斷數(shù)據(jù)復(fù)制鏈路、建立數(shù)據(jù)容災(zāi)基線、啟動(dòng)容災(zāi)節(jié)點(diǎn)部件服務(wù)、告知前端設(shè)備進(jìn)行業(yè)務(wù)網(wǎng)絡(luò)切換。詳細(xì)動(dòng)作可以結(jié)合實(shí)際狀況，通過(guò)腳本來(lái)定制?；謴?fù)回切回切工作流程和切換流程原理是同樣，只是由于切換時(shí)候是不擬定觸發(fā)、也許導(dǎo)致業(yè)務(wù)受某些影響；而回切時(shí)候通過(guò)人工確認(rèn)，選取最小影響狀況下執(zhí)行操作（例如業(yè)務(wù)流量非常小狀況下，甚至?xí)和I(yè)務(wù)狀況下），因而回切推薦采用是手動(dòng)切換模式。應(yīng)用級(jí)容災(zāi)采用是自動(dòng)切換還是手動(dòng)切換，顧客可以在布置時(shí)通過(guò)修改主機(jī)集群軟件切換配備實(shí)現(xiàn)。同城范疇有效保證了數(shù)據(jù)安全性和業(yè)務(wù)持續(xù)性；異地復(fù)制數(shù)據(jù)依照劫難情形，盡量減少數(shù)據(jù)丟失機(jī)率；同城雙中心為同步復(fù)制，數(shù)據(jù)實(shí)時(shí)同步，RPO=0；異地?zé)o距離限制，保證數(shù)據(jù)一致性，保證了數(shù)據(jù)有效保護(hù)；異地容災(zāi)帶寬規(guī)定低，先進(jìn)復(fù)制機(jī)制提高帶寬運(yùn)用率。業(yè)務(wù)應(yīng)用備份恢復(fù)實(shí)現(xiàn)應(yīng)用環(huán)境備份目是保證災(zāi)備中心可以迅速重建數(shù)據(jù)中心應(yīng)用系統(tǒng)環(huán)境，并實(shí)現(xiàn)備份業(yè)務(wù)系統(tǒng)對(duì)生產(chǎn)系統(tǒng)有效代替。相應(yīng)用環(huán)境備份設(shè)計(jì)要點(diǎn)涉及：通過(guò)配備同步技術(shù)，實(shí)現(xiàn)數(shù)據(jù)中心應(yīng)用環(huán)境一致性。災(zāi)備中心應(yīng)用環(huán)境在技術(shù)路線、設(shè)備布置方面應(yīng)盡量保證與數(shù)據(jù)中心應(yīng)用環(huán)境一致。這樣有助于提高災(zāi)備應(yīng)用環(huán)境與生產(chǎn)應(yīng)用環(huán)境之間手工切換效率，也有助于尋常檢查災(zāi)備應(yīng)用環(huán)境可用性。普通可通過(guò)災(zāi)備應(yīng)用環(huán)境定期向生產(chǎn)應(yīng)用環(huán)境讀取配備文獻(xiàn)、參數(shù)等方式，實(shí)現(xiàn)兩者配備同步。災(zāi)備中心核心型業(yè)務(wù)系統(tǒng)實(shí)現(xiàn)集群間自動(dòng)切換，別的業(yè)務(wù)系統(tǒng)則采用手工切換模式。數(shù)據(jù)中心應(yīng)用服務(wù)器普通通過(guò)HA等技術(shù)建立高可用性集群，保證本地應(yīng)用服務(wù)高可靠性。同樣，只要建立數(shù)據(jù)中心與災(zāi)備中心之間高可用性網(wǎng)絡(luò)監(jiān)控技術(shù)，災(zāi)備中心備份應(yīng)用服務(wù)器集群可實(shí)現(xiàn)與數(shù)據(jù)中心生產(chǎn)服務(wù)器集群之間高可用性自動(dòng)切換。為節(jié)約成本投入，建議對(duì)核心性業(yè)務(wù)系統(tǒng)采用此方式，以滿足RTO一小時(shí)以內(nèi)災(zāi)備恢復(fù)需求。對(duì)于別的業(yè)務(wù)系統(tǒng)，只要如前所述，保證應(yīng)用環(huán)境一致性，通過(guò)手工方式進(jìn)行切換即可。采用虛擬化技術(shù)對(duì)備份環(huán)境進(jìn)行整合。災(zāi)備中心應(yīng)用環(huán)境備份資源畢竟有限，充分運(yùn)用備份應(yīng)用資源對(duì)數(shù)據(jù)中心應(yīng)用環(huán)保十分重要。虛擬