方案設計

1.用戶現(xiàn)狀與需求

1.1.用戶n■系統(tǒng)現(xiàn)狀

用戶現(xiàn)有系統(tǒng)包括數(shù)據(jù)庫、應用W、EB、郵件等系統(tǒng)，雖然是雙機架構，但是其穩(wěn)定性

和可靠性都沒有達到核心系統(tǒng)應該具備的標準而，且直連的存儲架構對于性能和管理型都有

一定的局限性。

業(yè)務數(shù)據(jù)是企業(yè)業(yè)務的生命線，如何保護好計算機系統(tǒng)里存儲的數(shù)據(jù)，保證系統(tǒng)穩(wěn)定可

靠地運行，并為業(yè)務系統(tǒng)提供快捷可靠的訪問，是系統(tǒng)建設中最重要的問題之一。為了保護

業(yè)務系統(tǒng)的關鍵業(yè)務數(shù)據(jù)，我們必須對這些數(shù)據(jù)進行有效的備份，并支持快速恢復。

通過備份的方式將文件、數(shù)據(jù)庫等重要數(shù)據(jù)做一個副本，只能在本地建立數(shù)據(jù)保護。但

因意外（如火災、地震等）住手工作時，隨之而來的損失更是不可估計，為避免類似風險的存

在，就需要建立異地容災系統(tǒng)，整個應用系統(tǒng)可以切換到另一處，使得該系統(tǒng)功能可以繼續(xù)

正常工作，保證業(yè)務穩(wěn)定運行。

1.2.用戶需求

121.建設目標

從容災的級別來說，可以規(guī)劃數(shù)據(jù)級容災和應用級容災，根據(jù)業(yè)務種類多，

業(yè)務方式多樣化的特點，僅建設一個數(shù)據(jù)級容災是不夠，容災發(fā)生時，業(yè)務快速

的恢復是容災系統(tǒng)的一大需求。應用級容災是建立在數(shù)據(jù)級容災的基礎上，在容

災切換時，除了切換核心的數(shù)據(jù)庫數(shù)據(jù)外，還包含了IP地址切換（按客戶需要

選擇），中間件服務，用戶級業(yè)務。應用級容災從流程上實現(xiàn)了全業(yè)務的連續(xù)性

需求。

從我們的災難系統(tǒng)建設經(jīng)驗出發(fā)，XXX有限公司可以考慮以下業(yè)務連續(xù)性計劃目標：

RPO（最大允許數(shù)據(jù)丟失時間）：零數(shù)據(jù)丟失

RTO（最大允許宕機時間：）30分鐘

北京海量智能數(shù)據(jù)技術有限公司1

方案設計

應用級容災需求

1.2.2.需求分析

用戶需要保障數(shù)據(jù)的長期安全可靠的，數(shù)據(jù)對于災難的安全性和可恢復性：

災難切換時間要求災難系統(tǒng)切換時間不超過30分鐘，最好在10分鐘內(nèi)實現(xiàn)。

多種災難切換方式提供自動災難系統(tǒng)切換和手動災難切換方式

計劃內(nèi)維護要求提供計劃內(nèi)維護支持能力，計劃內(nèi)維護切換時間不多1于。分鐘

數(shù)據(jù)丟失性要求原則上要求零數(shù)據(jù)丟失，可以依據(jù)情況進行調整

數(shù)據(jù)同步方式提供同步和異步兩種方式

備份和災難備份方式采用物理備份方式實現(xiàn)

物理部件失敗要求支持部份磁盤，文件系統(tǒng)，主機，磁盤柜等各種物理部件失敗導

致的失敗保護。

站點失敗要求支持由于火災，電力以及其他因素導致站點失敗的數(shù)據(jù)保護。

邏輯失敗要求支持由于數(shù)據(jù)塊腐敗導致的數(shù)據(jù)庫無法啟動數(shù)，據(jù)丟失等邏輯失敗保

護

人類錯誤失敗要求支持由于人類誤操作以及入侵等導致人類錯誤失敗導致的數(shù)據(jù)

保護或者恢復。

生產(chǎn)系統(tǒng)的性能影響要求生產(chǎn)系統(tǒng)性能影響不超過5%

生產(chǎn)系統(tǒng)可用性要求容災系統(tǒng)不會降低生產(chǎn)系統(tǒng)可用性

網(wǎng)絡鏈路分鐘級別短暫故障要求不會對生產(chǎn)系統(tǒng)產(chǎn)生影響

網(wǎng)絡鏈路小時級別長期故障要求不會對生產(chǎn)系統(tǒng)產(chǎn)生影響

網(wǎng)絡鏈路密集的秒級別短暫故障要求不會對生產(chǎn)系統(tǒng)產(chǎn)生影響

網(wǎng)絡鏈路容錯支持網(wǎng)絡鏈路的容錯，可以利用網(wǎng)絡的備份鏈路，比如多路網(wǎng)卡等

災難系統(tǒng)的硬件故障由于災難系統(tǒng)硬件故障導致的災難系統(tǒng)不可用不會對生產(chǎn)系統(tǒng)

產(chǎn)生影響，比如網(wǎng)卡，磁盤以及控制卡等

災難系統(tǒng)的軟件故障由于災難系統(tǒng)軟件故障導致的災難系統(tǒng)不可用不會對生產(chǎn)系統(tǒng)

產(chǎn)生影響，比如災難系統(tǒng)管理軟件部件等

網(wǎng)絡協(xié)議采用IP網(wǎng)絡實現(xiàn)

北京海量智能數(shù)據(jù)技術有限公司2

方案設計

網(wǎng)絡帶寬普通的百兆或者千兆帶寬

RTT要求RTT要求在10ms以內(nèi)即可滿足要求，可以容忍部份時間的0ms響應

在線實施要求要求在備份系統(tǒng)實施期間保持生產(chǎn)系統(tǒng)運行

存儲系統(tǒng)失敗的原址運行在生產(chǎn)系統(tǒng)主機可用的情況下可以支持系統(tǒng)原址運行

部份文件失敗的原址運行在部份文件失敗的情況下可以支持系統(tǒng)原址運行

北京海量智能數(shù)據(jù)技術有限公司3

方案設計

2.建議方案

2.1設計原則

通過對用戶具體環(huán)境和需求的分析，我們在針對性的方案設計上應遵循以下

原則：

A最高的性價比，根據(jù)用戶的實際需求，提供合適的解決方案，在有限的

資金許可范圍內(nèi)提供符合需求的方案。

A優(yōu)化的策略，關鍵業(yè)務系統(tǒng)和普通應用系統(tǒng)優(yōu)先級的策略化，需要確保

關鍵業(yè)務系統(tǒng)的數(shù)據(jù)不丟失。

?廣泛的合用性，支持異構平臺，產(chǎn)品可以適應不同類型的應用、數(shù)據(jù)以

及主機存儲設備。

2.3.8容災方案設計

目前有不少種容災技術，分類也比較復雜。根據(jù)用戶應用系統(tǒng)特點的不同，

應用系統(tǒng)持續(xù)服務緊迫性的區(qū)別,應有針對性的選擇容災系統(tǒng)方案。

生產(chǎn)主機災備主機

??◎???應用系統(tǒng)

應用系統(tǒng)?

??????數(shù)據(jù)庫

數(shù)據(jù)庫?

..停）..??卷管理器

卷管理器■

存儲系統(tǒng)-.......＞存儲系統(tǒng)

北京海量智能數(shù)據(jù)技術有限公司4

方案設計

(1)基于應用程序容災解決方案

令方案優(yōu)點

?應用程序在本地、遠端雙寫I/O；

?該方案能夠實現(xiàn)業(yè)務系統(tǒng)在發(fā)生災難時自動切換，保證業(yè)務的

徹底連續(xù)性；

令方案缺點

?投資非常高，容災軟件價格昂貴；

?實施復雜，應用系統(tǒng)需要重新搭建；

?該方案徹底由軟件實現(xiàn)，需消耗主機系統(tǒng)資源，效率底；

(2)基于數(shù)據(jù)庫復制的遠程容災解決方案

令方案優(yōu)點

?數(shù)據(jù)庫本身的遠程復制(OracleDBGuard)；

?實施相對簡便，支持異構存儲；

令方案缺點

?只能復制數(shù)據(jù)庫文件，實現(xiàn)數(shù)據(jù)庫容災；

?需要重新調試、安裝數(shù)據(jù)庫；

?停機時間較長；

(3)基于主機的遠程數(shù)據(jù)復制軟件容災解決方案

令方案優(yōu)點

?復制軟件在卷管理器層面截獲I/O,遠程復制

?支持異構存儲；

?可以實現(xiàn)應用的實時、自動切換；

令方案缺點

?需要重新配置存儲卷，停機時間較長；

?新增容災系統(tǒng)需要增加軟件授權；

北京海量智能數(shù)據(jù)技術有限公司5

方案設計

(4)基于存儲的遠程數(shù)據(jù)復制容災解決方案

令方案優(yōu)點

?智能存儲遠程數(shù)據(jù)復制，技術較成熟；

?設備、軟件投資費用低；

?實施簡便，應用系統(tǒng)僅需短期停機；

?不需要對應用、數(shù)據(jù)庫重新安裝調試；

令方案缺點

?只支持同一廠商同一系列存儲；

?不能實現(xiàn)應用的實時、自動切換；

根據(jù)用戶的應用特點：建議使用基于存儲的容災方案。

2.3.9系統(tǒng)整體架構

本地災備中心

服務器均采用原有服務器，所有服務器配熱BA卡，連接至用戶現(xiàn)有光纖

交換機；

新增存儲加入SAN網(wǎng)絡，存儲空間可根據(jù)業(yè)務需求，自由劃分給多套系統(tǒng)

使用；

北京海量智能數(shù)據(jù)技術有限公司6

方案設計

新增一臺備份服務器，安裝NBU服務端，新增一臺HDS虛擬帶庫作為備份

介質保存?zhèn)浞輸?shù)據(jù)，實現(xiàn)SAN備份。

主數(shù)據(jù)中心和災備中心之間通過高速光纖鏈路連接為，數(shù)據(jù)復制和備份提供

了很好的鏈路基礎。利用HDS容災管理軟件TrueCopy實現(xiàn)磁盤陣列之間數(shù)據(jù)

的復制。建立同城異地容滅系統(tǒng)，通過數(shù)據(jù)同步保證在總部運行中心浮現(xiàn)重大災

難故障時，能啟用災備中心進行正常交易。

異地備份中心

容災中心新增容災服務器、容災交換機，新增存JDSAMS2100作為容災存

儲設備，該備份中心只需要保存業(yè)務系統(tǒng)數(shù)據(jù)一份可用的備份當。本地機房癱瘓

時，容災服務器接管ERP及交易系統(tǒng)。

北京海量智能數(shù)據(jù)技術有限公司7

方案設計

3.災備中心運行維護方案

3.1.解決方案選擇

保持業(yè)務持續(xù)性，恢復業(yè)務處理的方法可以包括與冷、溫或者熱站點供應商

簽訂商業(yè)合同、挪移站點、鏡像站點、與內(nèi)部或者外部機構簽訂互惠協(xié)議、與

設備供應商簽訂服務水平協(xié)議(SLA)。此外，在制定系統(tǒng)恢復策略時應該考慮

諸如獨立磁盤冗余陣列(RAID)、自動故障切換、不間斷電源(UPS)和鏡像

系統(tǒng)等技術。

業(yè)務持續(xù)性計劃必須包括在比較長的期間在備用設施中恢復和執(zhí)行系統(tǒng)運

行的策略。通常，有三種備用站點可供選擇：

由機構擁有或者運行的專用站點

與內(nèi)部或者外部實體簽訂的互惠協(xié)議或者協(xié)議備忘錄

商業(yè)租用設施

無論選擇哪種類型的備用站點，設施必須能夠支持應急計劃中所定義的系統(tǒng)

操作。三種站點類型可以根據(jù)運行的準備程度進行分類。這樣的話，站點可以被

確定為冷站點、溫站點、熱站點、挪移站點和鏡像站點。

根據(jù)BIA的結果和銀聯(lián)對業(yè)務持續(xù)性的要求，選擇的解決方案可以描述為：

(1)建立異地容災中心將徹底復制生產(chǎn)中心的數(shù)據(jù)，并實現(xiàn)兩中心間的數(shù)

據(jù)實時同步，其功能為：

a.正常工作狀態(tài)下，災備中心將配置為生產(chǎn)中心的徹底數(shù)據(jù)復制，以保證

當生產(chǎn)中心發(fā)生災難時，數(shù)據(jù)的完整性。

b.當生產(chǎn)中心的存儲系統(tǒng)及數(shù)據(jù)不可訪問時，可以通過對備份數(shù)據(jù)中心的數(shù)

據(jù)的訪問。

(2)建立災備中心，生產(chǎn)中心的數(shù)據(jù)將徹底復制到災備中心，允許存在一

定的時間差，但應滿足RPO和RTO要求。災備中心配置有與生產(chǎn)中心架構相同

的服務器系統(tǒng)，在生產(chǎn)中心無法運行的情況下接替生產(chǎn)中心的生產(chǎn)業(yè)務，實現(xiàn)對

業(yè)務持續(xù)性的要求。

北京海量智能數(shù)據(jù)技術有限公司8

方案設計

a.正常工作狀態(tài)下，備份中心將配置為生產(chǎn)中心的數(shù)據(jù)復制源，以最大限

度的不影響生產(chǎn)中心的主機和存儲系統(tǒng)的性能。

b.當生產(chǎn)中心災難發(fā)生時，災備中心的徹底復制數(shù)據(jù)將用于生產(chǎn)數(shù)據(jù)中心

的數(shù)據(jù)同步，以保證當生產(chǎn)中心災難發(fā)生時，災備中心沒有數(shù)據(jù)丟失；業(yè)務可以

恢復運行。

3.2.業(yè)務持續(xù)性策略

3.2.1.日常運行狀態(tài)

在沒有任何異常情況發(fā)生的情況下，系統(tǒng)按照正常的運行狀態(tài)運轉，工作人

員按照各自的崗位職責開展工作。定期將工作內(nèi)容和工作結果向上級管理人員匯

報并接受上級管理人員的監(jiān)督和檢查。

3.2.2.切換流程

切換流程分計劃內(nèi)切換流程和計劃外切換流程，首先討論計劃為切換流程。

1.發(fā)現(xiàn)并確定災難情況

運行中心運行保障室是負責發(fā)現(xiàn)可能導致業(yè)務系統(tǒng)災難的事件的主要部門。

同時，網(wǎng)絡維護室、系統(tǒng)維護室和安全管理室等其它部門應該將所發(fā)現(xiàn)的可能導

致災難的時間隨時向運行保障室報告。

2.通知負責恢復的人員

運行保障室按照預定程序通知業(yè)務持續(xù)管理小組的值班人員，值班人員需要

監(jiān)控事件的發(fā)展，必要時將向業(yè)務持續(xù)小組負責人通報。

當發(fā)生可能導致業(yè)務處理中心的情況后，需要通知以下人員：

令信息中心主管

令業(yè)務持續(xù)管理小組負責人

令業(yè)務持續(xù)行政小組負責人

令負責維護發(fā)生以外事件的系統(tǒng)的部門負責人

3.判斷異常影響程度，啟動BCP計劃

北京海量智能數(shù)據(jù)技術有限公司9

方案設計

啟動BCP計劃是業(yè)務持續(xù)管理小組和/或者業(yè)務持續(xù)行政小組的職責。通常

由

業(yè)務持續(xù)管理小組和/或者業(yè)務持續(xù)行政小組的負責人宣布BCP計劃的啟動。在

被授權的組織會負責人確定需要啟動災備站點后，宣布BCP計劃啟動。

按照BCP所定義的工作內(nèi)容，傷害評估小組和災難恢復小組開始工作。

4.激活災備站點

在通知恢復的人員過程中，災備站點的值班人員必須被通知并即將投入工

作，做好業(yè)務運行環(huán)境的檢查等工作。關閉可能對恢復業(yè)務運行有影響的任何應

用系統(tǒng)，做好恢復業(yè)務運行的準備。

在收到BCP啟動的通知后，按照BCP所定義的操作流程，與生產(chǎn)中心陪著

或者獨立執(zhí)行業(yè)務恢復工作。

5.發(fā)布公告

業(yè)務持續(xù)管理小組的相關成員按照BCP所定義的工作內(nèi)容向外發(fā)布公告

6.提供業(yè)務恢復所需的服務

在業(yè)務恢復以及業(yè)務在災備站點運行期間，內(nèi)部和外部的支持團隊以及相關

工作人員按照BCP所定義的工作內(nèi)容為業(yè)務的持續(xù)運行服務。

對于計劃內(nèi)切換流程，其大部份內(nèi)容與計劃為流程相同，通常由通知負責恢

復的人員開始，直到提供業(yè)務恢復所需的服務。計劃內(nèi)切換可能是由于演習或者

需要進行站點級的設備維護造成的，有很強的計劃性，災備站點人員應該提早

完成恢復業(yè)務運行的準備工作，如所有工作人員到位等。

3.2.3.非切換異常處理流程

切換流程用于處理不會導致業(yè)務切換的異常事件，如部份設備的損壞沒有影

響業(yè)務處理的正常運行，或者備份中型和/或者災備中心發(fā)生異常等。雖然這些

異常事件不會對業(yè)務的運行造成直接影響，但是使系統(tǒng)整體的穩(wěn)定性降低，業(yè)

務運行的風險加大了，而且這樣的事件大量存在，應該引起足夠的重視。初步

計劃的非切換異常處理流程如下：

1.發(fā)現(xiàn)并確定災難情況

運行中心運行保障室是負責發(fā)現(xiàn)可能導致業(yè)務系統(tǒng)災難的事件的主要部門。

北京海量智能數(shù)據(jù)技術有限公司10

方案設計

同時，網(wǎng)絡維護室、系統(tǒng)維護室和安全管理室等其它部門應該將所發(fā)現(xiàn)的可能導

致災難的時間隨時向運行保障室報告。

2.通知負責恢復的人員

運行保障室按照預定程序通知業(yè)務持續(xù)管理小組的值班人員，值班人員需要

監(jiān)控事件的發(fā)展，必要時將向業(yè)務持續(xù)小組負責人通報。

當發(fā)生可能導致業(yè)務處理中心的情況后，需要通知以下人員：

令信息中心主管

令業(yè)務持續(xù)管理小組負責人

令業(yè)務持續(xù)行政小組負責人

令負責維護發(fā)生以外事件的系統(tǒng)的部門負責人

3.判斷異常影響程度

業(yè)務持續(xù)管理小組和/或者業(yè)務持續(xù)行政小組的負責人在判斷異常影響程度

的基礎上，做出不啟動BCP的決定。

4.異常處理

在通知恢復的人員過程中，發(fā)生異常的站點的值班人員必須并即將投入異常

恢復工作，并與內(nèi)部和外部的支援團隊取得聯(lián)系，獲得相應支持。

4.災難恢復預案

容災系統(tǒng)建成之后，必須能夠發(fā)揮相應的效益。鑒于本次容災項目為數(shù)據(jù)級

的容災系統(tǒng)，在發(fā)生系統(tǒng)故障的時候，需要手工對應用系統(tǒng)進行切換，因此，我

們應對各種系統(tǒng)狀況提前做出操作預案，這樣才干保證容災系統(tǒng)真正發(fā)揮效益。

4.1.計劃內(nèi)和計劃外停機的切換步驟

4.11計劃內(nèi)停機

生產(chǎn)中心操作：

令檢查生產(chǎn)中心和容災中心所有的主機、存儲、網(wǎng)絡、卷復制軟件是否都

北京海量智能數(shù)據(jù)技術有限公司11

方案設計

正常;

令正常住手生產(chǎn)中心的所有應用；

令斷開產(chǎn)中心和容災中心的復制關系；

容災中心操作：

令陣列上的卷MAP給容災中心的主機；

令手工啟動應用系統(tǒng)；

4.1.2.計劃外停機

生產(chǎn)中心不能做任何操作的情況；

中心操作：

令陣列上的卷MAP給容災中心的主機；

令手工啟動應用測試；

4.2.設備故障的影響和處理

4.2.1.生產(chǎn)中心主機故障

I一臺主機問題；應用切換到cluster此外的一臺主機；對應用有小切換的影

響；

II兩臺主機問題或者cluster問題；數(shù)據(jù)切換到容災中心；在容災中心啟用

應用；對應用有大切換影響；

4.2.2.生產(chǎn)中心存儲系統(tǒng)故障

I陣列自己的冗余功能；替換故障備件；對應用無影響；

II陣列不能冗余問題（2塊控制器故障；多塊硬盤同時故障），數(shù)據(jù)切換到

北京海量智能數(shù)據(jù)技術有限公司12

方案設計

容災中心；在容災中心啟用應用；對應用有大切換影響;

4.2.3.復制鏈路故障

數(shù)據(jù)復制中斷；對應用無影響；鏈路恢復后數(shù)據(jù)正常復制；

4.2.4.容災中心設備故障

容災中心設備故障對應用系統(tǒng)無影響。

4.3.實施風險提示

根據(jù)XXXX的業(yè)務應用需求，本方案旨在用最低的投資達到xxxx所需在60

分鐘心實現(xiàn)應用系統(tǒng)切換的系統(tǒng)容災效果，無法規(guī)避如下風險因素：

令應用系統(tǒng)的自動實施切換

本方案在需要切換系統(tǒng)時，必須人工干預，無法實現(xiàn)自動切換；

令數(shù)據(jù)庫數(shù)據(jù)異常

當數(shù)據(jù)庫數(shù)據(jù)存在異常時，容災系統(tǒng)在進行切換時首先需要進行數(shù)據(jù)數(shù)據(jù)的

回滾才干啟動數(shù)據(jù)庫，回滾時間視數(shù)據(jù)庫的數(shù)據(jù)量而定，可能會超出60分鐘的

恢復時限。（所有容災方案均無法規(guī)避該問題）

令同城災難

本容災方案無法規(guī)避地震、電網(wǎng)大規(guī)模斷電等覆蓋全市的災難恢復；

北京海量智能數(shù)據(jù)技術有限公司13

方案設計

5.應急管理預案

5.1.緊急響應策略

5.1.1.緊急相應策略概述

緊急響應策略包括三個部份：緊急事件響應、恢復和復原。緊急事件響應包

括為保護生命和減輕損失所采取的最初行動策略?；謴褪侵咐^續(xù)支持關鍵業(yè)務所

采取的步驟。復原是回到業(yè)務的運行狀態(tài)。

緊急響應策略是用于減少緊急事件對業(yè)務連續(xù)性造成負面影響的一套機制、

計劃、方法和規(guī)程。緊急響應策略包括建立和管理緊急事件運作中心，該中心用

于在緊急事件中發(fā)布命令。

緊急事件響應方式概述

緊急事件響應方式根據(jù)不同類別的緊急事件，由有關部門組成緊急事件響應

指揮中心，用戶主管領導人擔任總指揮，統(tǒng)一領導、統(tǒng)一指揮緊急事件處理，協(xié)

調、調動相關力量和資源，決定采取處理緊急事件的重大措施；確定對外口徑，

指導對外新聞發(fā)布；其中容災工作委員會的主要指責是組織開展對緊急事件的

監(jiān)測與報告、分析和預警；需要啟動緊急事件緊急預案時，提請決策層批準，

進行組織和協(xié)調專業(yè)技術機構及其人員進行現(xiàn)場調查與處理，實施現(xiàn)場撤離與搶

修等緊急處理措施；組織制定有關的調查方案、技術標準和規(guī)范；依照條例規(guī)定

及時對緊急事件評估；發(fā)布、通報緊急事件信息，可以授權其他部門向社會發(fā)布

本行政區(qū)域緊急事件信息；開展健康教育、技術人員培訓和演練；會同有關部門

提出物資和經(jīng)費儲備計劃；檢查督導緊急事件緊急預案的落實情況等。

5.1.2.緊急響應和運作的需求

1、識別潛在的緊急事件類型和所需的響應(如火災、危(wei)險物質泄

漏、疾病等)

2、識別現(xiàn)有的、正確的緊急事件相應規(guī)程

北京海量智能數(shù)據(jù)技術有限公司14

方案設計

通知規(guī)程:

(1)內(nèi)部的(逐級規(guī)程)，包括本地的、機構的。

(2)外部的(響應規(guī)程)，包括公共機構和媒體、產(chǎn)品和服務的供應商

事件前的準備：

(1)根據(jù)災難的類型：自然事件、事故、故意的破壞

(2)管理和職權的連續(xù)性

(3)指定人員的角色

緊急措施：

(1)疏散

(2)醫(yī)療和人員咨詢

(3)危(wei)險材料響應

(4)滅火

(5)通知

(6)其他

設施的穩(wěn)定：

消減損失：

測試規(guī)程和責任：

3、建議制定還沒有的緊急事件規(guī)程，規(guī)程包括以下內(nèi)容：

人員的保護：

(3)人員集合的位置以及確保所有員工識別和安全的過程，如果需要包

括適當?shù)闹鸺夁^程

(4)認識和了解充分和更嚴格地履行任何相關法律要求的重要性

(5)識別直接部署和后續(xù)合同的選項

(6)了解法律規(guī)定的內(nèi)在乎義

事件的控制：

(1)了解拯救和控制損失的原則

(2)了解用于控制業(yè)務影響的緊急事件服務工作進行補充的可用選項

(3)了解業(yè)務功能本身控制災難影響的可能性

北京海量智能數(shù)據(jù)技術有限公司15

方案設計

后果的評估：

(1)分析形勢并提供有效的評估報告

(2)評價事件對機構的直接影響

(3)將形勢通報給相關設施和機構其他地點中的員工

(4)提供對媒體可能關注事項的理解并與現(xiàn)存的公共關系和/或者市場部

門

聯(lián)合制定響應方案

決定最適宜的行動：

(1)了解在建議或者決定連續(xù)性選項過程中需要考慮的事項

(2)了解緊急事件服務的角色

(3)維護安全的原則(人員、物理和信息)

4、將災難恢復、業(yè)務連續(xù)性規(guī)程與緊急事件規(guī)程整合起來

5、識別管理緊急事件的命令和控制需求

設計和裝備緊急事件運作中心

在事件中命令和決策的職權角色

通信載體(如郵件、無線電、信使和挪移電話等)

6、建議制定對角色、職權進行定義的命令和控制規(guī)程以及管理緊急事件的

通信規(guī)程

開啟緊急事件運作中心

緊急事件運作中心的安全

緊急事件運作中心團隊的進度安排

緊急事件運作中心的管理和運作

關閉緊急事件運作中心

7、緊急事件響應和分類救護

制定、實施和演練緊急事件響應和分類救護規(guī)程，包括確定緊急事件中行動

的優(yōu)先順序

制定、實施和演練分類救護規(guī)程，如急救和醫(yī)療；確定地點和制定到附近醫(yī)

院的運輸規(guī)程

8、拯救和復原需求

北京海量智能數(shù)據(jù)技術有限公司16

方案設計

集合適當?shù)膱F隊：

(7)了解通過電話進行有效診斷的需要

(8)了解在受到影響的地點對相關資源進行有效集中的需要

(9)制定內(nèi)部逐級規(guī)程以便在事件/響應展開的現(xiàn)場提供所需等級的資源

定義初始現(xiàn)場的行動策略：

(1)了解對直接消減損失和拯救需求進行識別的需要

(2)了解其需求并在需要的情況下準備站點保安、安全和穩(wěn)定措施計劃

(3)識別保護現(xiàn)場資產(chǎn)的適當方法，包括設備房產(chǎn)和文檔

(4)認識建立與外部機構聯(lián)絡的潛在需求(如法律法規(guī)、緊急事件服務

如消防部門以及警察、保險公司、損失理賠等)

(5)了解業(yè)務需求和對其進行解釋以協(xié)助物理資產(chǎn)的恢復

(6)與公共當局建立設施訪問的規(guī)程

(7)與第三方服務提供商竭力規(guī)程，包括適當?shù)暮贤瑓f(xié)議

9、確保緊急事件響應規(guī)程與公共當局的要求相統(tǒng)一

5.1.3.緊急響應場所的分類和功能、建設描述

緊急響應場所至少包括避難所(shelterinplace),緊急操作中心EOC

(emergencyoperationcenter)>緊急事件運作中心ICS(incidentcommandcenter)；

緊急響應場所建設描述，包括建設內(nèi)容、設備需求、場地需求、環(huán)境需求等；

緊急事件運作中心ICS是緊急指揮體系的首腦部門，也是緊急事件處理指揮

的場所。實現(xiàn)對緊急事件的分析、計劃、組織、協(xié)調和管理控制等指揮功能。

緊急事件運作中心的總體目標是：面對緊急事件，能夠為指揮首長和參預指

揮的業(yè)務人員和專家，提供各種通訊和信息服務，提供決策依據(jù)和分析手段，和

指揮命令實施部署和監(jiān)督方法能及時、有效地調集各種資源，實施事故、災難控

制和搶修救治工作，減輕緊急事件對生命安全和業(yè)務造成的威脅、，用最有效的控

制手段和最小的資源投入，將損失控制在最小范圍內(nèi)。

緊急事件運作中心基本功能包括：

1.緊急事件的評估與觸發(fā)啟動，根據(jù)對各種資料數(shù)據(jù)的分析評估，對事件

北京海量智能數(shù)據(jù)技術有限公司17

方案設計

進行級別判定，經(jīng)核實后向相應級別的部門提出預案啟動建議。

2.指揮功能：指揮現(xiàn)場為參加指揮首長提供會議設施、桌面終端網(wǎng)絡、電

話系統(tǒng)。參謀人員為首長提供各種輔助決策信息。

3.通訊功能：利用專線、因特網(wǎng)、衛(wèi)星網(wǎng)絡、電話設備、挪移通訊設備與

及其他相關單位的通訊網(wǎng)絡。

4.信息采集分析功能：采集、整理各種相關信息資源。

緊急事件運作中心應急指揮系統(tǒng)具有以下六大功能：

(1)可實現(xiàn)針對特定事件的特定范圍內(nèi)資源實時調度方案的輔助制定，合

理配置有關資源，及時控制事件蔓延。

(2)可實現(xiàn)對特定范圍內(nèi)緊急事件的實時監(jiān)測，及時發(fā)現(xiàn)突發(fā)事件。

(3)可生成針對不同應急事件的多種處理預案。

(5)可實現(xiàn)具有真實感的虛擬環(huán)境下的事件演化模型，并對處理方案的預

期效果進行摹擬。

(6)可實現(xiàn)相關資源管理業(yè)務和信息管理的統(tǒng)一性和一致性，并實現(xiàn)網(wǎng)絡

化遠程調度管理，從根本上提高管理效率。

5.1.4.緊急場所設施使用人員的權限分配

建議制定對角色、職權進行定義的命令和控制規(guī)程，考慮管理和職權的連續(xù)

性。

5.15緊急事件發(fā)生前的監(jiān)測、監(jiān)控與預警系統(tǒng)

監(jiān)測、監(jiān)控與預警系統(tǒng)是緊急預警處理的基礎。平時細致有效的監(jiān)測與監(jiān)控

是第一步。一旦發(fā)現(xiàn)有緊急事件浮現(xiàn)，對局部事件進行實時監(jiān)控，就可以展開及

時的調查和分析，防止事件的擴散，在全面分析和科學判斷的前提下，發(fā)出預警

信號，提醒企業(yè)和社會進行相關的應對和準備工作，防患于未然。

監(jiān)測預警主要包括：

北京海量智能數(shù)據(jù)技術有限公司18

方案設計

令火災監(jiān)測

令供電監(jiān)測

令監(jiān)測

令急救監(jiān)測

令影響區(qū)域監(jiān)測

以上部份根據(jù)風險分析來完善。

預警系統(tǒng)是指對監(jiān)測數(shù)據(jù)進行整合、分析和判斷，建立診斷和預測模型，對

易造成重大危害的分布狀態(tài)及危（wei）險因素進行早期報告。

緊急事件緊急預警處理系統(tǒng)要想達到高效、快速反應，首先必須形成徹底覆

蓋，不留漏點。但徹底覆蓋必然涉及到社會的方方面面，其中包括許多單位和行

政、事業(yè)單位。

北京海量智能數(shù)據(jù)技術有限公司19

方案設計

5.1.6.緊急事件發(fā)生后的緊急事件響應程序

緊急事件的普通響應程序是:

1,

應急處理笥案結束

緊急事件的普通處理程序包括事件通知、事件評估、緊急預案啟動及相關措

施；

5.1.6.1.事件通知

通知規(guī)程

北京海量智能數(shù)據(jù)技術有限公司20

方案設計

事件的發(fā)生可能有先兆也可能沒有先兆。例如，颶風將影響某個地區(qū)或者計

算機病毒會在某日發(fā)作時常會得到實現(xiàn)通知。但是，設備故障或者犯罪活動就

可能沒有先兆。通知規(guī)程應該在計劃中包含這兩種情況。適當?shù)耐ㄖ獙p少

IT系統(tǒng)的影響是很重要的；在一些情況下，它可以為允許系統(tǒng)人員正常關閉系

統(tǒng)避免系統(tǒng)崩潰贏得足夠的時間。在災難發(fā)生后，應該通知傷害評估小組使其

能夠確定事態(tài)的嚴重程度和下一步將要采取的行動。傷害評估完成后，應該通

知相應的恢復和支持小組。

可以通過各種方法完成通知，包括電話、傳呼、電子郵件或者挪移電話。由

于無法確定能否有效恢復，所以通過電子郵件發(fā)送通知應該謹慎從事。在工作時

間發(fā)送的通知應該發(fā)送到辦公地址，在局域網(wǎng)停頓的事件中可以使用個人電子郵

箱傳送消息。在影響廣泛的災難事件中，有效的通知工具是電臺、電視廣播和

WEB網(wǎng)站。

通知策略應該定義在事件發(fā)生后人員無法聯(lián)絡時的規(guī)程。一種通知方法是呼

叫樹。這種技術指定特定人員執(zhí)行通知任務，這人負責通知其他的恢復人員。呼

叫樹應該包括主要的和備用的聯(lián)絡方法，應該討論在某個人無法聯(lián)系時應該采取

的規(guī)程。下面是一個呼叫樹（舉個例子）：

需要通知的人員應該在計劃附錄中的聯(lián)系清單中標明。這個清單確定人員在

其團隊中的職位、姓名和聯(lián)絡信息（如家庭、工作電話號碼及傳呼號碼、電子郵

件地址和家庭地址）o

通知還應該發(fā)給會因為不知情而受到負面影響的外部機構或者互聯(lián)的火伴

系統(tǒng)。根據(jù)中斷類型的不同，POC可能具有恢復能力。所以，與外部機構相連

的每一個互聯(lián)系統(tǒng)應相互協(xié)助，協(xié)助的方式應該根據(jù)所提供的系統(tǒng)互聯(lián)協(xié)議確

定。這些POC應該被列入計劃的附錄中。

北京海量智能數(shù)據(jù)技術有限公司21

方案設計

通知中所傳遞的信息類型應該在計劃中載明。所傳遞的信息數(shù)量和詳細程度

可依據(jù)被通知的團隊而定。根據(jù)需要，通知信息可以包括以下內(nèi)容：

令所發(fā)生或者將發(fā)生的緊急情況的性質

令死亡或者受傷情況

令任何已知的評估結果

令響應和恢復的細節(jié)

令何時何地召集會議介紹簡況或者聽取進一步的響應指令

令在評估期間進行重新部署準備的指令

使用呼叫樹完成通知的指令（如果需要）

5.1.62傷害評估

要確定緊急事件后如何實施緊急計劃，對系統(tǒng)傷害性質和程度的評估是非常

重要的。這個傷害評估應該在能夠確保人員安全這個最優(yōu)先任務的前提下盡快完

成。所以，如果可能，傷害評估小組是第一個得到時間通知的小組。傷害評估規(guī)

程對于不同的系統(tǒng)是不同的；但是應該涉及到以下領域：

令造成緊急情況或者中斷的原因

令潛在的附加中斷和損失

令受到緊急情況影響的區(qū)域

令物理架構（如計算機室結構的完整性、電源、電信、以及制熱、通風和

空調）的狀況

令IT設備的總量和功能狀態(tài)

令IT設備及其存貨的損失類型

令被更換的項目（如硬件、軟件、固件或者支持材料）

令估計恢復正常服務所需的事件

在書面計劃無法得到的情況下，具有傷害評估職責的人員應該了解和能夠執(zhí)

行這些規(guī)程.一旦系統(tǒng)的影響被確定，就應該將最新信息和對此情況的響應計劃通

知給適當?shù)膱F隊。通知應該按照通知規(guī)程進行。

北京海量智能數(shù)據(jù)技術有限公司22

方案設計

5.163.計劃的啟動

惟獨當傷害評估的結果顯示一個或者多個系統(tǒng)啟動條件被滿足時，IT緊急

計劃才應該被啟動。如果滿足啟動條件，緊急計劃協(xié)調人或者CIO應啟動計

劃。各機構的啟動條件各不相同，應該在緊急計劃策略條款中予以說明。條件

可以基于以下方面：

令人員的安全和/或者設施損失的程度

令系統(tǒng)損失的程度

令系統(tǒng)對于機構使命的影響程度

令預期的中斷持續(xù)時間

一旦明確了系統(tǒng)傷害，緊急計劃協(xié)調人就可以選擇適當?shù)幕謴筒呗圆⑼ㄖ?/p>

關的恢復團隊。

5164通知和啟動階段模板

本階段涉及到用來探測和評估由（系統(tǒng)名稱）中斷造成的傷害的最初行為。

基于對事件的評估，可以通過緊急計劃協(xié)調人啟動計劃。

在緊急情況下，在執(zhí)行通知和啟動規(guī)程前（機構名稱）的最優(yōu)先任務是保護

人員的健康和安全。

關聯(lián)人員的聯(lián)絡信息列在附錄中，通知順序如下：

令最初的反應是通知緊急計劃協(xié)調人。所有已知的信息被傳遞給緊急計劃

協(xié)調人。

令（系統(tǒng)負責人）與（傷害評估小組負責人）聯(lián)系并將事件通知他們。（緊

急計劃協(xié)調人）指示團隊負責人開始評估規(guī)程。

令（傷害評估小組負責人）通知小組成員并指導他們完成以下評估規(guī)程以

確定傷害的范圍和估計的恢復時間。如果由于安全條件的限制無法在本

北京海量智能數(shù)據(jù)技術有限公司23

方案設計

地繼續(xù)傷害評估，（傷害評估小組）可以遵循以下指導。

應該列出詳細的行動規(guī)程，包括確定中斷原因、確定潛在的附加中斷或者損

害、確定受影響的物理區(qū)域和物理設施的狀態(tài)、確定包括需要更換的IT設備在

內(nèi)的IT設備的功能和總量的狀態(tài)、估計將服務恢復到正常運行狀態(tài)所需的時間。

令接到（緊急計劃協(xié)調人）的通知后（傷害評估小組負責人）應該….

令（傷害評估小組）應該….

評估筋程

令接到（緊急計劃協(xié)調人）的通知后（傷害評估小組負責人）應該….

令（傷害評估小組）應該….

一當完成傷害評估后，（傷害評估小組負責人）將結果通知（緊急計劃協(xié)調

人）。

-（緊急計劃協(xié)調人）對結果進行評估并確定是否啟動緊急計劃以及是否需

要重新進行配置。

--依據(jù)評估結果，在適當?shù)那闆r下（緊急計劃協(xié)調人）將評估結果通知國家

緊急情況相關人員（如警察、消防）。

以下一個或者多個標準得到滿足將啟動緊急預案：

1、（系統(tǒng)名稱）超過規(guī)定時間內(nèi)無法使用。

2、設施受損并且超過規(guī)定時間內(nèi)無法使用。

3、其他適當?shù)臉藴省?/p>

令如果要啟動緊急預案，（緊急計劃協(xié)調人）要通知所有團隊的負責人并

將事件的細節(jié)以及是否需要重新配置通知他們。

令收到（緊急計劃協(xié)調人）的通知，團隊負責人要通知各自團隊。應該將

所有適當信息通知團隊成員，團隊成員應該做好響應和重新配置的準

備。

北京海量智能數(shù)據(jù)技術有限公司24

方案設計

令（緊急計劃協(xié)調人）要通知（離站存儲設施）發(fā)生了緊急事件并且（損

害評估確定的情況下）將所需材料送到（備用站點）。

令（緊急計劃協(xié)調人）要通知（備用站點）發(fā)生了緊急事件并要求其為（機

構）的到達進行準備。

令（緊急計劃協(xié)調人）要將事件的大致情況通知剩余人員（通過通知規(guī)

程）。

5.165.局部事故緊急響應預案

局部事故應急預案指企業(yè)單位針對本單位存在的現(xiàn)實危（wei）險和有可能

發(fā)生的事故，在積極預防的基礎上，為避免和防止事故中人員傷亡和財產(chǎn)損失

擴大而實施應急救援的組織方案和行動計劃。

（一）應急預案的編制原則

1、應根據(jù)本單位危（wei）險源的特點編制，要有較強的針對性。

2、救援措施、避險要領應該簡潔明了，有較強的可操作性。

3、應急救援預案的編制應遵循企業(yè)自救與社會救援相結合的原則。

（二）應急預案的主要內(nèi)容

1、危（wei）險源辨識及評價結果。

2、事故類型及可能造成的危害分析。

3、事故應急救援及緊急避險措施。

4、事故應急救援組織指揮機構、救援隊伍及職責分工。

5、事故應急救援器材、裝備。

6、需請求社會救援的事項。

7、事故應急預案演練的考核評價標準。

8、事故應急預案管理制度。

（三）應急預案制定的基本程序及要求

應急預案的制定是針對各項事故應急措施（含信息）、程序和行動計劃的文件

化過程。預案的制定應按如下程序及要求進行。

北京海量智能數(shù)據(jù)技術有限公司25

方案設計

1、危（wei）險源評估。通過辨識危（wei）險因素和危（wei）險部位，確

定危（wei）險（危害）類型。

2、事故類型與危害分析。事故類型與危害分析是在危（wei）險源評估的

基礎上對

其可能發(fā)生的危害類型進行分析認定，從而科學地預測可能發(fā)生事故的類型及事

故產(chǎn)生危害的大小，以此作為制定事故應急措施的依據(jù)。

3、制定應急措施。根據(jù)不同的事故類別、事故危害等，研究制定相應的應

對措施。對可能發(fā)生無法直接施救或者可產(chǎn)生較大次生災害的事故要賦予特殊

關注，制定緊急疏散等應急措施，防止盲目施救導致傷亡擴大。

4、根據(jù)事故應急措施需要，制定應急救援裝備、器材配置方案。主要包括

搶險器材設備、人員防護裝備、通訊設備、救護器材設備的種類和數(shù)量等。

5、制定應急救援組織指揮機構和應急救援隊伍方案，并明確職責分工。保

證事故應急救援組織指揮機構在發(fā)生事故時能根據(jù)事故狀況實施有效的協(xié)調指

揮；應急救援隊伍能夠實施有效的應急搶險、排險、救援、救護等工作。

6、分析確定需社會救援的事項。為了在發(fā)生重、特大事故時能夠及時得到

有效的社會救援支持，應依據(jù)可能發(fā)生的事故類型及危害，分析確定需要社會救

援的事項，納入預案管理。

7、制定有關人員培訓內(nèi)容和預案演練考核標準。為使應急指揮人員和救援

隊伍掌握應急指揮與救援要領，危（wei）險崗位工作人員掌握事故狀態(tài)下應急

搶險或者避險逃生的要領，應研究制定相關培訓內(nèi)容和預案演練考核標準。

8、形成預案。在上述工作的基礎上，經(jīng)過專家評審和領導審批后，作為執(zhí)

行性文件。

特大事故應急救援預案應報有關管理部門備案。

（四）預案措施的落實與管理

應急救援預案確定后，企業(yè)單位的主要負責人要組織預案措施的落實工作。

（五）預案演練

預案演練是保證一旦發(fā)生事故，預案可以有效發(fā)揮作用的重要環(huán)節(jié)。演練的

主要內(nèi)容：

1、事故報告與接報。包括第一時間的事故現(xiàn)場人員或者事故發(fā)現(xiàn)人員的報告;

事故單位接報響應；事故單位向當?shù)卣捌鋺北Ｕ舷到y(tǒng)報告，請求外圍應急

北京海量智能數(shù)據(jù)技術有限公司26

方案設計

救援支援及其接報響應。

2、事故發(fā)生后第一時間的現(xiàn)場應急搶險或者避險。

3、事故應急調度指揮部指揮與搶險。包括指揮部人員迅速趕赴現(xiàn)場預定位

置指揮搶險工作；通知各有關應急機構進入應急狀態(tài)；指揮調動應急救援隊伍開

展搶險、排險、疏散、警戒、救護等相關工作。

4、調用物資。包括應急搶險車輛、裝備、通訊器材、醫(yī)療器材、藥品和個

人防護用品等。

5、演練總結和預案補充。根據(jù)演練考核標準，對演練情況進行總結，補充

完善預案。

5.1.6.6.重、特大事故緊急響應預案

重、特大事故應急響應預案是指針對行業(yè)、地區(qū)或者所屬單位重大危（wei）

險源及有可能發(fā)生的重、特大生產(chǎn)事故，為迅速掌握和報送事故信息，及時協(xié)

調搶險、救災、救護等工作而制定的事故應急響應方案和行動計劃。

重、特大事故應急響應預案由主管領導審批執(zhí)行，在相關部門備案。

主要內(nèi)容應包括：

（一）事故應急響應組織體系及各部份職能

1、組織領導機構。

2、辦事機構。

3、明確事故應急響應職責。

（二）事故信息報送程序及要求

1、各類事故信息報送程序及要求。

2、通訊方式和通信聯(lián)絡體系。

3、重大事項的決策程序。

4、重大指令下達程序。

（三）事故分級響應指揮調度程序

1＞重大事故響應程序。

2、特大事故響應程序。

北京海量智能數(shù)據(jù)技術有限公司27

方案設計

3、特殊重大事故響應程序。

（四）應急響應終結

1、事故情況上報事項。

2、需向事故調查處理小組移交的相關事項。

3、事故應急情況工作報告。

5.1.7.緊急響應策略保持有效性的監(jiān)管措施

通過建立監(jiān)管措施，并且根據(jù)規(guī)劃執(zhí)行3年一次的BCP計劃回顧和更新保證

BCP計劃的有效性.

6.預案摹擬演練方案

演練是有計劃的整體演練，主要目的是為了檢驗災難發(fā)生時，災備中心是否

具備接管業(yè)務的必要條件，能否保證核心業(yè)務系統(tǒng)按既定目標準切當換、正常運

行。對演練中發(fā)現(xiàn)的系統(tǒng)潛在問題，應即將組織查找原因，采取有效措施加以改

進，從而消除安全隱患。同時，對提高信息技術團隊的應急響應、協(xié)作能力和災

難恢復經(jīng)驗，完善技術保障流程具有重要意義。

北京海量智能數(shù)據(jù)技術有限公司28

方案設計

6.1.生產(chǎn)中心向備份中心切換流程演練

操作前提操作內(nèi)容操作結果備注

生產(chǎn)中心備份中

心

檢查人員到位確認人員到位如故意外，停

止切換

檢查系統(tǒng)運行情況確認系統(tǒng)正常如有系統(tǒng)故

障，住手切換

住手所有變更應用參數(shù)等不

再變化

住手服務斷開同步復制住手備份中心的快確保當現(xiàn)數(shù)據(jù)

成功照復制至備份中

心

修改環(huán)境參數(shù)修改恢復用于備份

腳本中心環(huán)境的數(shù)

據(jù)庫，應用等

修改參數(shù)

系統(tǒng)環(huán)境順序啟動數(shù)據(jù)庫備份中心數(shù)據(jù)不成功，切換

恢復庫啟動暫停.

數(shù)據(jù)庫啟啟動應用備份中心應用不成功,切換

北京海量智能數(shù)據(jù)技術有限公司29