新農合信息系統數據備份與容災設計

摘 要： 探討了如何有效增強新農合信息系統數據的安全性，確保業務系統的連續性。利用數據備份與數據容災技術，并以“整體規劃、分步實施、逐年投入”的建設思路來構建新農合信息系統數據備份與容災系統。詳述了新農合信息系統數據備份與容災系統的三個建設階段內容，即本地數據備份系統建設、異地數據級容災建設、應用級容災建設，并分階段實施，以確保建成一個有效的、全面的數據備份與容災系統。

關鍵詞： 新農合； 信息系統； 數據備份； 數據級容災； 應用級容災

中圖分類號：TP399 文獻標志碼：A 文章編號：1006-8228（2012）12-23-03

Design of data backup and disaster recovery of new rural cooperative information system

Chen Weiqiang

（Tongxiang Municipal Health Bureau， Tongxiang， Zhejiang 314500， China）

Abstract： It is discussed in this paper how to enhance the data security of new rural cooperative information system effectively and ensure the continuity of business system. Using data backup and disaster recovery technologies， adopting the construction thought of \"overall planning， step-by-step implementation and year-by-year input\"， data backup and disaster recovery system of new rural cooperative information system is constructed. According to this construction thought， three construction phases of data backup and disaster recovery design of this system are introduced， that is， construction of local data backup system， construction of off-site data level disaster recovery and construction of application level disaster recovery. Through step-by-step implementation， an effective and all-round data backup and disaster recovery system is constructed.

Key words： new rural cooperative medicine； information system； data backup； data level disaster recovery； application level disaster recovery

0 引言

新農合（新型農村合作醫療）信息系統實現了參合群眾在聯網定點醫療機構就診時的醫療費用實時報銷，主管機構對新農合基金的實時監管以及輔助決策分析。新農合信息系統的成功實施，使新農合政策深所廣大人民群眾的歡迎，提升了政府形象。新農合業務量不斷上升，信息系統隨之產生的業務數據也越來越多，這些業務數據十分重要，是新農合的生命，每一筆業務數據都關系著參合群眾的切身利益，關系著新農合基金的準確性、安全性，一旦發生數據丟失，勢必會造成嚴重的后果。因此，如何保證新農合信息系統的安全運行，如何保證新農合信息系統在各種威脅數據安全因素（如物理故障、病毒感染、黑客攻擊、重大自然災害等）面前具有必要的可靠性和健壯性[1]，已經成為一個重大的課題擺在了新農合信息化建設主管部門的桌面上。通過數據備份與容災技術可以增強新農合信息系統的數據安全性、確保業務系統的連續性。

1 數據備份與容災技術

數據備份技術和容災技術是互補的數據安全技術。數據備份技術的目的是側重于數據的安全性和記錄過程，其目的在于預防系統數據中的邏輯錯誤和歷史數據保存。容災系統的目的在于保證生產系統數據以及業務的連續性，即當生產系統發生故障時，仍然能夠保證數據的完整性以及業務可以繼續提供服務，以使系統不致停頓[2]。

1.1 數據備份是數據保護的基礎

數據備份是指為防止生產系統出現操作失誤或生產系統故障導致數據丟失，而將全系統或部分數據集合從應用主機的硬盤或陣列定期存放到其他存儲介質的過程。數據備份是數據高可用的最后一道防線，它保存了生產數據的一個或者多個完整的副本，其目的是為了生產系統數據崩潰時能夠恢復數據。數據備份不能提供容災系統實時的業務接管功能。

1.2 容災是保障業務連續的基石

容災往往是針對當生產站點的業務系統不能正常工作時，其業務可由容災站點接替，保持業務的連續性，能夠提供很好的RTO（Recovery Time Objective，系統恢復所需的時間指標）和RPO（Recovery Point Objective，系統能夠恢復到的最新狀態）指標。同時遠程容災站點具備應付各種災難，特別是區域性與毀滅性災難的能力，具備較為完善的數據保護與災難恢復功能，保證災難降臨時數據的完整性及業務的連續性，并在最短時間內恢復業務系統的正常運行，將損失降到最小。

由于容災系統會完整地把生產站點的任何變化復制到容災站點，包括一些誤操作等不想讓它復制的工作，比如不小心把生產站點數據庫系統的某個表刪除了，同時容災站點的表也會被完整地刪除。這時就需要從數據備份系統中取出最新備份，來恢復這些被錯誤刪除的信息。因此容災系統也不能替代數據備份系統的功能。

2 新農合信息系統數據備份與容災系統建設思路

新農合信息系統是以新農合管理中心為核心，互聯轄區內各級醫院、社區衛生服務中心及站等醫療機構的實時聯網交易系統，是政府直接面向群眾服務的窗口，系統運行的好壞直接關系群眾的利益和政府的形象。因此，新農合信息系統對RPO和RTO指標肯定要盡可能高。

我國在2007年就由國家質量監督檢驗檢疫總局和標準化管理委員會聯合發布了GB/T 20988—2007《信息系統災難恢復規范》（以下簡稱“規范”）[3]，該規范根據RTO和RPO指標將容災系統的災難恢復能力劃分為6個級別，具體如表1所示。

從第1級到第6級RTO和RPO的要求逐步提高，相應的建設成本也逐級遞增。根據新農合業務的特點，選擇第6等級災難恢復能力是最為理想的，即“數據零丟失，業務系統僅間斷數分鐘”。但考慮到建設成本，很多財政能力欠佳的地區都難以承受。因此，對新農合信息系統的數據備份與容災系統建設可采取整體規劃、分步實施、逐年投入的建設思路。各地新農合信息主管部門可以分階段進行，從最基本的本地數據備份（等級1）做起，再到異地的數據級容災（等級2-5），最終實現應用級的切換容災（等級6）目標。

3 新農合信息系統數據備份與容災系統建設內容

根據分步建設的思路，系統的建設可大致分三個階段進行，即：本地數據備份系統建設階段、異地數據級容災建設階段、應用級容災建設階段。以下將詳述各階段系統建設內容。

3.1 本地數據備份系統

新農合信息系統本地數據備份可實現新農合生產數據離線保存，確保在生產數據受損的情況下從離線備份數據中恢復回去。新農合信息系統本地數據備份組成應至少包括一臺數據備份服務器、一套數據備份軟件、一臺磁帶庫、多個備份客戶端節點。數據備份模式有LAN-Free和LAN方式，LAN-Free模式不占用IP網絡資源，備份與恢復效率高。

⑴ 數據備份服務器用于運行數據備份軟件主控端，實現備份軟件主控端與備份客戶端節點的通訊以及對磁帶庫讀寫操作的控制。

⑵ 數據備份軟件應包括主控端、操作系統客戶端、數據庫客戶端、SAN支持客戶端、存儲介質許可等模塊，實現制定執行新農合信息系統業務數據備份與恢復策略任務。（備份軟件有Veritas NBU、IBM TSM、commvault、bakbone等）。

⑶ 磁帶庫是存儲備份數據的介質設備，通常有物理磁帶庫和虛擬磁帶庫，物理磁帶庫有磁帶驅動器、機械臂、磁帶槽位等組件組成，虛擬磁帶庫有仿真物理磁帶庫軟件、存儲控制器、磁盤等組件組成。由于物理磁帶庫組件易老化、維護成本高、速度慢等不足，目前業界主流采用虛擬磁帶庫，虛擬磁帶庫讀寫速度快、維護方便并具有遠程復制的功能，未來可升級至數據級的遠程容災。

⑷ 備份客戶端節點是要備份數據的業務服務器，根據操作系統、數據庫平臺需安裝不同的備份軟件客戶端代理，備份客戶端代理將保持與備份軟件主控端的通訊。

⑸ 通過配置備份軟件任務，在業務系統空閑時（晚上或凌晨），每天增量/每周全量備份新農合信息系統數據庫、日志及配置文件[4]。

⑹ 定期對備份的數據進行驗證，以保證和校驗備份數據的正確性和一致性，操作頻率為每月1次，并對操作進行記錄，具體記錄內容包括所需恢復數據時間戳、數據容量、操作開始時間、操作結束時間、恢復總花費時間等。

⑺ 要建立完善的集中備份和恢復系統機制，是備份平臺可靠運行的有力保障。應建立專人運維、日檢查、周檢查、周匯報的運行制度，以確保數據集中備份和恢復平臺運行的可靠性和連續性。

3.2 異地數據級容災系統

異地數據級容災的目的是確保數據的安全。傳統上，數據級的容災是通過磁帶備份完成的，這里有一個概念：嚴格意義上，所有的通過服務器磁盤或者磁盤陣列進行數據同步的技術都不能稱作是數據級的容災，只能作為應用級容災的組成部分，因為這種方式雖然能夠避免硬損害（掉電、硬件故障，火災，地震等），但并不能防止數據的邏輯損害（黑客攻擊、人為誤操作、病毒感染等）。定時將數據備份到離線的磁帶，再通過人力運送到遠程異地保存，一旦有災難發生時，先將IT基礎設施修復，再從磁帶中恢復系統和數據—這就是采用磁帶的數據級容災方式。由于其成本低廉，長期以來被廣泛采用。但隨著數據量的增長，這種方式的弊端也日益明顯—冗長的恢復時間 （通常需要數天甚至數周）、不可靠的數據恢復等，使它越來越不能滿足業界各行各業的RTO和RPO要求。因此，新農合信息系統異地數據級容災系統采用虛擬磁帶庫是較為理想的方式。基于虛擬磁帶庫的數據級容災其實是傳統的磁帶備份容災方式的改良版本，在提供更高性能、更高可靠性的同時，用基于IP網絡的自動化傳輸取代了人工車輛運輸的過程，使容災過程更加方便、快捷且避免了風險極高的人工接觸點。另外，由于虛擬磁帶庫在邏輯層面和原來的磁帶備份設備完全相同，完全兼容原有的備份軟硬件系統，人員也不需要進行新的培訓和適應，加之其數據近線保存，具有無需人工管理磁帶、恢復速度快等特點。

在本地備份系統建設階段完成基礎上，可以很方便地實現異地數據級容災。需要配備的主要設備和軟件有以下：

⑴ 需準備異地容災中心場所，具備計算機設備運行的基本環境要求。（包括防靜電、防雷接地、不間斷電源、網絡通訊鏈路、交換路由設備、安全設備等）；

⑵ 本地數據中心與容災中心須通過租用專線鏈路或VPN方式實現互聯互通；

⑶ 異地容災中心配置一臺支持ISCSI接口的虛擬磁帶庫，能與本地主機房虛擬磁帶庫遠程通訊，實現兩臺虛擬磁帶庫之間的遠程數據復制；

⑷ 定期需對本地備份數據與異地備份數據進行一致性的校驗工作。

3.3 應用級容災系統

應用級容災是《規范》[3]中最高等級的災難恢復系統，目的是為了生產中心在發生災難時保證業務系統的正常運行，一般都需要本異地建立完全相同的兩套系統，一套本地數據中心生產系統，一套異地容災中心災備系統，兩套同時運行（熱-熱模式）或者處于主從狀態，發生災難時立即切換至災備系統（熱-冷模式）。兩套系統之間有數據傳輸鏈路連接，數據自生產系統實時復制災備系統，或者共享同一套數據。實現應用級容災主要通過兩大技術，一是本地與異地災備系統之間的應用系統集群實時切換技術，二是數據的遠程實時復制[5]。在數據遠程實時復制方面我們還可以選擇基于服務器端技術、基于交換機端技術或者基于存儲端技術等。

在本地備份系統和異地容災系統建設階段完成基礎上，采用基于服務器端技術實現新農合應用級容災。需配置的主要設備及軟件有以下：

⑴ 需異地容災中心場所，具備計算機設備運行的基本環境要求。（包括防靜電、防雷接地、不間斷電源、網絡通訊鏈路、交換路由設備、安全設備等）；

⑵ 配備與主數據中心相當或稍低配置的數據庫服務器、應用服務器、存儲陣列等設備；

⑶ 配置基于服務器端技術的遠程數據實時復制軟件和遠程應用系統高可用切軟件軟件。（主流軟件為Symatec Storage Foundation）。

⑷ 需建立本地數據中心與異地容災中心的切換機制、恢復機制、演練機制等運維措施。

4 結束語

綜上所述，新農合信息系統數據備份與容災是一個循序漸進的過程，信息技術的發展日新月異，我們既不能盲目地投入建設，又要兼顧好新農合信息系統服務水平的提升。分階段進行數據備份與容災系統的建設是理性、科學的選擇。建設好數據備份與容災系統可以使新農合信息系統更加健壯、更加安全可靠。

參考文獻：

[1] 陳伯勛，李健，李勇濤，曾光.醫院信息系統中的數據安全與備份[J].中

國數字醫學，2008.3（12）：33

[2] 章志華.信息化醫院業務系統數據災難備份[J].中國數字醫學，

2009.4（6）：90

[3] GB/T 20988—2007.信息安全技術信息系統災難恢復規范[S].

[4] 扶干儒.淺談數據備份技術[J].黑龍江科技信息，2007.16：85

[5] 湯泳，呂英杰.數據容災技術介紹[J].郵電設計技術，2002.10：40