人力資源和社會保障局雙活數(shù)據(jù)中心容災(zāi)方案設(shè)計

張正欣

（江蘇省鹽城市社會保障信息中心 江蘇省鹽城市 224001）

1 引言

高可用性：數(shù)據(jù)集中意味著風(fēng)險集中和響應(yīng)集中。計算機軟件和硬件出現(xiàn)意想不到的故障幾乎是不可避免的，業(yè)務(wù)連續(xù)性和數(shù)據(jù)完整性中斷對企業(yè)持續(xù)運營來說是致命的，而新一代數(shù)據(jù)中心的高可用性可以程度地減少業(yè)務(wù)中斷對企業(yè)核心業(yè)務(wù)的影響。

融合：數(shù)據(jù)統(tǒng)一管理加大了業(yè)務(wù)維護復(fù)雜度，隨著企業(yè)業(yè)務(wù)的無限拓展，數(shù)據(jù)中心IT 基礎(chǔ)設(shè)施越來越密集，基礎(chǔ)架構(gòu)也將越來越復(fù)雜，當(dāng)該架構(gòu)達(dá)到一定規(guī)模后將難以擴展且輸入成本也在持續(xù)增加，無法滿足企業(yè)業(yè)務(wù)拓展的需要。這時有很多新的融合技術(shù)被越來越多地被應(yīng)用于數(shù)據(jù)中心，例如LAN 和SAN 合并，計算和存儲合并，網(wǎng)絡(luò)和安全合并。

虛擬化：虛擬化是數(shù)據(jù)中心的常見功能，它讓安裝部署業(yè)務(wù)變得更加靈活，同時提高了業(yè)務(wù)連續(xù)性和設(shè)備使用效率，也使數(shù)據(jù)中心變得更加綠色并降低了總投資成本，隨著服務(wù)器和存儲虛擬化應(yīng)用程序的日益普及，當(dāng)前網(wǎng)絡(luò)虛擬化技術(shù)也成為數(shù)據(jù)中心建設(shè)和規(guī)劃的熱點。

智能：隨著下一代數(shù)據(jù)中心變得越來越復(fù)雜，僅依靠運維人員的個人能力進行日常管理和故障排除也變得越來越困難，如果發(fā)生錯誤將需要很長的時間來查找和解決問題，因此越來越多的新興數(shù)據(jù)中心管理工具正被推廣使用，使用這些工具可以直觀地觀看數(shù)據(jù)中心的運行情況，當(dāng)發(fā)生系統(tǒng)錯誤后，可以快速找到并解決問題。

2 容災(zāi)定義

引起業(yè)務(wù)災(zāi)難的原因很多，災(zāi)難的定義有不同的說法，沒有統(tǒng)一的理解。我們將災(zāi)難定義為影響系統(tǒng)正常運行的不可預(yù)測事件或不可預(yù)測的影響。災(zāi)難可影響數(shù)據(jù)中心的正常操作，以下是定義的五個災(zāi)難級別。

一級：攻擊威脅。如果有人聲稱知道業(yè)務(wù)系統(tǒng)具有后門準(zhǔn)備發(fā)動或發(fā)起病毒攻擊，則可以視為受到攻擊威脅。在這種情況下用戶必須加強安全技術(shù)或管理手段以攔截攻擊者。

二級：漏洞。數(shù)據(jù)數(shù)據(jù)中心系統(tǒng)存在技術(shù)或管理上的漏洞，且系統(tǒng)漏洞使入侵者獲得敏感信息，則可視為漏洞引起的災(zāi)難。這種情況雖然不會影響數(shù)據(jù)系統(tǒng)，但仍然是企業(yè)或機構(gòu)需要解決的問題。

三級：單個系統(tǒng)故障。單個系統(tǒng)故障脫機時間超出了幾分鐘或更長的時間，則可視為單個系統(tǒng)故障。脫機時間取決于對系統(tǒng)威脅的嚴(yán)重性，在這種情況下應(yīng)立即將應(yīng)用程序轉(zhuǎn)移到本地備份系統(tǒng)，否則必須將系統(tǒng)從磁帶還原到備份硬件上面。通常這些情況不會對業(yè)務(wù)運營產(chǎn)生重大影響，但是應(yīng)盡快解決故障問題。

四級：單個致命錯誤或多個非致命錯誤。這種情況已經(jīng)對業(yè)務(wù)運營產(chǎn)生了直接威脅，但數(shù)據(jù)中心仍在正常運行。可以還原到備用硬件或進行本地應(yīng)用程序轉(zhuǎn)移，應(yīng)急響應(yīng)的時間也變得非常重要。

五級：數(shù)據(jù)中心正在發(fā)生故障或已發(fā)生，如停電，間諜活動，恐怖活動和自然災(zāi)害都可以歸為此類，唯一的選擇是應(yīng)用轉(zhuǎn)移或使用磁帶備份數(shù)據(jù)來重建數(shù)據(jù)中心，在此級別上實施時間過長將會導(dǎo)致生產(chǎn)設(shè)備長時間不能使用。

圖1：災(zāi)難恢復(fù)示例圖

圖2：RTO 和RPO 關(guān)系示例圖

圖3：同城災(zāi)備中心例圖

圖4：異地災(zāi)備中心例圖

3 容災(zāi)恢復(fù)定義

根據(jù)國際標(biāo)準(zhǔn)SHARE 78 的定義，從低到高有7 個級別的災(zāi)難恢復(fù)操作，取決于不同的投資成本和恢復(fù)時間。

第0 層：無異地數(shù)據(jù)。未構(gòu)建信息存儲和備份硬件平臺，也未制定應(yīng)急計劃，數(shù)據(jù)僅在本地備份和還原。

第1 層：卡車運輸。將必要的信息通過卡車運輸?shù)姆绞竭\送到異地進行存儲，然后根據(jù)災(zāi)難恢復(fù)的特定需求有選擇地構(gòu)建備份平臺，有制定應(yīng)急計劃，但異地備份事件不在計劃內(nèi)。

第2 層：卡車運輸訪問模式+熱備份中心。基于第1 層，熱備份站點設(shè)置在異地，站點上有主機系統(tǒng)，只需要通過數(shù)據(jù)備份介質(zhì)恢復(fù)數(shù)據(jù)，當(dāng)發(fā)生災(zāi)害時使用主機系統(tǒng)恢復(fù)數(shù)據(jù)，在這種情況下備份介質(zhì)會被運送到異地，而運送需要花費時間，因此會丟失一天或一周的數(shù)據(jù)。

第3 層：電子鏈接。基于第2 層，使用光纖或通信線路將由本地備份軟件創(chuàng)建的數(shù)據(jù)發(fā)送到異地備份，不需要任何傳遞工具，而且災(zāi)害恢復(fù)的速度會加快。

第4 層：在線數(shù)據(jù)庫圖像和日志。第4 層的災(zāi)害恢復(fù)是兩個站點同時激活，管理彼此的備份數(shù)據(jù)，因此可以向兩個方向進行備份操作，但接收方的硬件物理上必須與其他平臺分離，這種情況下可以在兩個站點之間共享工作負(fù)載。

第5 層：兩中心兩階段確認(rèn)。基于第4 層，第5 層管理在考慮滿足更新請求之前選擇的數(shù)據(jù)（即本地和遠(yuǎn)程數(shù)據(jù)庫的實時更新數(shù)據(jù)）。第5 層更新了應(yīng)用程序站點和備份站點的數(shù)據(jù)，恢復(fù)時間只有幾分鐘，例如使用專用的數(shù)據(jù)復(fù)制軟件和硬件的使用。

第6 層：零數(shù)據(jù)丟失的遠(yuǎn)程磁盤鏡像與自動切換。第6 層保證數(shù)據(jù)在保持?jǐn)?shù)據(jù)丟失率為零的狀態(tài)下自動地向備份站點傳送，第6層被認(rèn)為是災(zāi)難恢復(fù)的最高水平，在更新所有本地和遠(yuǎn)程數(shù)據(jù)的同時，我們可以利用多余的在線存儲和完整的網(wǎng)絡(luò)進行交換。

根據(jù)災(zāi)難恢復(fù)時間和數(shù)據(jù)恢復(fù)程度等不同的災(zāi)難恢復(fù)要求，將這七個災(zāi)難恢復(fù)備份模式分為三個級別。

（1）冷備份：災(zāi)難恢復(fù)系統(tǒng)不設(shè)置在與生產(chǎn)系統(tǒng)相同的運轉(zhuǎn)環(huán)境中，不在備份系統(tǒng)中加載應(yīng)用系統(tǒng)數(shù)據(jù)，在發(fā)生災(zāi)害的情況下，安裝、設(shè)置必要的操作環(huán)境，使用數(shù)據(jù)備份介質(zhì)復(fù)原應(yīng)用數(shù)據(jù)，手動備份數(shù)據(jù)

優(yōu)點：保護投資，降低通信成本，減少通信環(huán)境要求。

缺點：恢復(fù)時間通常是幾天到一周，嚴(yán)重影響數(shù)據(jù)的完整性。

（2）預(yù)熱備份：災(zāi)害恢復(fù)站點配備的基礎(chǔ)設(shè)施環(huán)境與正式生產(chǎn)系統(tǒng)的環(huán)境配置一致。安裝的應(yīng)用程序系統(tǒng)會在災(zāi)難恢復(fù)站點定期備份數(shù)據(jù)。在發(fā)生災(zāi)害的情況下可以直接使用以往的備份數(shù)據(jù)。

優(yōu)點：保護投資，降低通信成本。

缺點：恢復(fù)時間較長。

（3）熱備份：災(zāi)難恢復(fù)系統(tǒng)實時在線與生產(chǎn)系統(tǒng)聯(lián)動，數(shù)據(jù)實時同步。通過高速通信線路實時向災(zāi)害恢復(fù)系統(tǒng)發(fā)送數(shù)據(jù)。災(zāi)難發(fā)生后可以通過災(zāi)難恢復(fù)系統(tǒng)定期恢復(fù)生產(chǎn)系統(tǒng)上的數(shù)據(jù)。

優(yōu)點：恢復(fù)時間通常從幾分鐘到幾個小時都很短，數(shù)據(jù)完整性和一致性最高，數(shù)據(jù)丟失的可能性最小。

缺點：投資成本增高，對通信環(huán)境要求較高。

4 容災(zāi)恢復(fù)的技術(shù)指標(biāo)

從理論上講，構(gòu)建災(zāi)難恢復(fù)系統(tǒng)的目的是防止由于意外數(shù)據(jù)丟失而導(dǎo)致系統(tǒng)服務(wù)中斷。 以下兩個重要指標(biāo)可以幫助評估災(zāi)難恢復(fù)系統(tǒng)對系統(tǒng)業(yè)務(wù)回報的有效性。

圖1 從最左數(shù)起，是系統(tǒng)執(zhí)行災(zāi)難恢復(fù)備份的時間，圖1 的中間部分顯示了由于災(zāi)難導(dǎo)致的數(shù)據(jù)丟失，圖1 的右側(cè)顯示了數(shù)據(jù)服務(wù)恢復(fù)時間。 RPO（恢復(fù)點對象）表示災(zāi)難發(fā)生前的數(shù)據(jù)丟失量，RTO（恢復(fù)時間對象）表示發(fā)生災(zāi)難后系統(tǒng)的恢復(fù)時間。顯然這兩個指標(biāo)的值越小越好。

圖2 較好地反映了RTO 和RPO 的關(guān)系。

5 容災(zāi)系統(tǒng)的組成

與可持續(xù)業(yè)務(wù)運營相比，災(zāi)難恢復(fù)強調(diào)災(zāi)難發(fā)生時關(guān)鍵業(yè)務(wù)的響應(yīng)和恢復(fù)能力。換句話說，通過盡可能最快，最全面的企業(yè)業(yè)務(wù)恢復(fù)操作，將災(zāi)難造成的損失降至最低。當(dāng)然也不能保證不會有業(yè)務(wù)中斷，實際上，災(zāi)難恢復(fù)系統(tǒng)的整個災(zāi)難恢復(fù)過程都將導(dǎo)致一段時間停機。

圖5：兩地三中示例圖

圖6：冷備模式災(zāi)備中心例圖

圖7：熱備模式災(zāi)備中心例圖

圖8：雙主災(zāi)備中心網(wǎng)絡(luò)架構(gòu)示例圖

通常，提高系統(tǒng)可用性的任何努力都可以稱為容災(zāi)，如主機集群本地災(zāi)難恢復(fù)：如果主機服務(wù)器出現(xiàn)故障并且無法正常運行，則另一臺主機可以替換該主機繼續(xù)工作。通常提到的災(zāi)難容災(zāi)，通常是指遠(yuǎn)程災(zāi)難容災(zāi)，遠(yuǎn)程災(zāi)難恢復(fù)可以理解為：不同行業(yè)的IT 系統(tǒng)必然有非常重要的部分（尤其是核心部分）組成，這被稱為新中心，為新中心配備一個遠(yuǎn)程備份中心，并且在新中心內(nèi)部實施了各種數(shù)據(jù)保護。無論采用哪種方法進行保護，在發(fā)生火災(zāi)，地震等突發(fā)性災(zāi)難的情況下，當(dāng)新的中心癱瘓時，遠(yuǎn)程備份中心都可以接管生產(chǎn)系統(tǒng)并繼續(xù)提供網(wǎng)絡(luò)服務(wù)。

高可靠性計算環(huán)境能夠保障數(shù)據(jù)中心中計算機系統(tǒng)硬件、軟件和應(yīng)用程序的單點故障不會影響整個數(shù)據(jù)中心的數(shù)據(jù)處理功能。

建設(shè)一個遠(yuǎn)程備份數(shù)據(jù)中心來應(yīng)對注入因火災(zāi)，地震，停電等災(zāi)難引起的業(yè)務(wù)中斷。

主數(shù)據(jù)中心在災(zāi)難恢復(fù)后，業(yè)務(wù)數(shù)據(jù)必須能夠快速切換到主數(shù)據(jù)中心運行。

災(zāi)難備份中心業(yè)務(wù)系統(tǒng)應(yīng)由服務(wù)器層、網(wǎng)絡(luò)層和數(shù)據(jù)層三個部分組成。

由于中心的業(yè)務(wù)系統(tǒng)是由服務(wù)器層，網(wǎng)絡(luò)層和數(shù)據(jù)層這三部分組成，為了保障系統(tǒng)的可用性和業(yè)務(wù)的連續(xù)性和去除單點故障，應(yīng)從這三個不同的層面分別進行合理性設(shè)計，而整個容災(zāi)系統(tǒng)也是由這三個層面的保護措施組成的

6 數(shù)據(jù)容災(zāi)中心建設(shè)模式探析

從管理方式上看，人社單位具有明顯的縱向特征，但就構(gòu)建數(shù)據(jù)中心本身而言，為了確保業(yè)務(wù)系統(tǒng)和數(shù)據(jù)的高可用性，通常必須并行構(gòu)建多個數(shù)據(jù)中心進行災(zāi)難恢復(fù)，以下從縱向和橫向描述人力資源和社會保障局?jǐn)?shù)據(jù)中心的建設(shè)。

6.1 數(shù)據(jù)中心縱向建設(shè)

通常，可以根據(jù)人社單位的規(guī)模來構(gòu)建不同級別的數(shù)據(jù)中心，構(gòu)建一個數(shù)據(jù)中心在很大程度上依賴于國家信息網(wǎng)絡(luò)，數(shù)據(jù)安全問題也更加突出，數(shù)據(jù)中心的建立應(yīng)基于諸如數(shù)據(jù)的本地化屬性，根據(jù)數(shù)據(jù)量以及數(shù)據(jù)更新頻率之類的因素來確定。可以根據(jù)需要構(gòu)建最多3 個級別的數(shù)據(jù)中心。

總部數(shù)據(jù)中心；

區(qū)域/省級數(shù)據(jù)中心；

區(qū)/縣級/數(shù)據(jù)中心。

三層數(shù)據(jù)中心網(wǎng)絡(luò)相連接，實現(xiàn)實時數(shù)據(jù)交換和數(shù)據(jù)統(tǒng)一更新，確保數(shù)據(jù)的一致性，及時性，準(zhǔn)確性和完整性并確保數(shù)據(jù)實時共享。

數(shù)據(jù)中心的垂直層次結(jié)構(gòu)是為了更好地適應(yīng)人社單位的管理模式，在這種分層配置模式下，集中管理的原則應(yīng)優(yōu)先考慮IT 應(yīng)用系統(tǒng)的部署，確保系統(tǒng)集成和使用最佳軟件。集中管理在總部，如果由于技術(shù)限制而無法實施集中管理，最好考慮使用分布式管理，集中管理和分散管理各有優(yōu)缺點，因此需要根據(jù)實際情況進行選擇。

集中管理：管理措施更完備，提供的支持更有有效，采購價格的性價比也更高；

分散管理：易于實施，滿足分支機構(gòu)的需求，能提供更快的支持。

6.2 數(shù)據(jù)中心橫向建設(shè)

對于上述的三層數(shù)據(jù)中心垂直配置，為確保數(shù)據(jù)中心提供服務(wù)可靠性，應(yīng)在每個數(shù)據(jù)中心考慮業(yè)務(wù)連續(xù)性和數(shù)據(jù)災(zāi)難恢復(fù)，因此應(yīng)該為三層數(shù)據(jù)中心的每個級別考慮水平的多中心災(zāi)難恢復(fù)配置，目前災(zāi)難恢復(fù)中心有三種主要的建設(shè)模式。

圖3 所示，同城雙中心。生產(chǎn)中心和災(zāi)難恢復(fù)中心在同一城市，并且通常使用DWDM 或光纖互連，可以輕松地實現(xiàn)數(shù)據(jù)的同步鏡像，確保數(shù)據(jù)完整性和零數(shù)據(jù)丟失，業(yè)務(wù)備份通常通過第2 層群集等技術(shù)完成。生產(chǎn)中心和災(zāi)難備份中心相對物理位置較近，實現(xiàn)數(shù)據(jù)的同步鏡像比較容易，保證了數(shù)據(jù)的完整性。同時它也可以防止?jié)撛诘奈ｋU，例如火災(zāi)和建筑物損壞，但是較小的容災(zāi)半徑使其無法應(yīng)對戰(zhàn)爭，地震和洪水等隱患。

異地雙中心：

圖4 所示，異地雙中心。生產(chǎn)中心和災(zāi)難恢復(fù)中心跨城域，距離通常為數(shù)百公里。同城互聯(lián)使用高速專用線路，例如155 / 622M SDH，大的容災(zāi)半徑防止了諸如地震，洪水和戰(zhàn)爭之類的隱患，但是由于生產(chǎn)中心和備份中心跨城域并且距離相對較長，因此當(dāng)同步遠(yuǎn)程鏡像時，事務(wù)處理效率太低，通信成本也很高，無法通過異步鏡像或復(fù)制進行數(shù)據(jù)備份以保證零數(shù)據(jù)丟失。

圖5 所示，兩地三中心。是同城兩中心和異地兩中心的結(jié)合并繼承了它們的優(yōu)點。

6.3 數(shù)據(jù)中心業(yè)務(wù)容災(zāi)模式

將人社單位數(shù)據(jù)中心和災(zāi)備中心進行垂直和水平整合的構(gòu)建模式中，為數(shù)據(jù)中心選擇業(yè)務(wù)災(zāi)難恢復(fù)模型將直接影響數(shù)據(jù)中心的構(gòu)建成本以及關(guān)鍵的評估指標(biāo)恢復(fù)時間目標(biāo)（RTO）和恢復(fù)點目標(biāo)（RPO）。典型的業(yè)務(wù)災(zāi)難恢復(fù)模式包括冷備用，熱備用和雙活模式。

如圖6 所示，冷備容災(zāi)。在冷備模式中，備份系統(tǒng)沒有安裝在與主系統(tǒng)相同或相似的操作環(huán)境中，并且應(yīng)用系統(tǒng)數(shù)據(jù)未加載到備份系統(tǒng)中，發(fā)生災(zāi)害時，必須手動或自動安裝，設(shè)置必要的操作環(huán)境，使用數(shù)據(jù)備份介質(zhì)恢復(fù)應(yīng)用數(shù)據(jù)，恢復(fù)孤立的數(shù)據(jù)。

優(yōu)點：保護投資，降低通信成本和降低通信環(huán)境要求。

缺點：恢復(fù)時間長（通常超過幾天），并且數(shù)據(jù)完整性和一致性差。

災(zāi)備等級：3 級。

如圖7 所示，暖備/熱備容災(zāi)。在這種模式下，備份系統(tǒng)和主系統(tǒng)的后臺數(shù)據(jù)層通過高速通信線路將數(shù)據(jù)實時傳輸?shù)絺浞菹到y(tǒng)，以使備份系統(tǒng)和生產(chǎn)系統(tǒng)的數(shù)據(jù)保持同步，并且還可以恢復(fù)備份系統(tǒng)的數(shù)據(jù)，在應(yīng)用程序級別，備用系統(tǒng)的應(yīng)用程序系統(tǒng)和業(yè)務(wù)網(wǎng)絡(luò)通道處于待機狀態(tài)。換句話說，應(yīng)用程序系統(tǒng)和業(yè)務(wù)網(wǎng)絡(luò)設(shè)備已打開電源，但未加載相關(guān)的配置文件。在發(fā)生災(zāi)難的情況下無需補充或僅需少量補充孤立數(shù)據(jù)，通過僅加載應(yīng)用程序服務(wù)器和業(yè)務(wù)網(wǎng)絡(luò)設(shè)備的配置文件，備份系統(tǒng)可以快速接管主系統(tǒng)的操作并恢復(fù)生產(chǎn)。

優(yōu)點：恢復(fù)時間非常短，通常從幾分鐘到幾個小時，數(shù)據(jù)完整性很好，而且數(shù)據(jù)丟失的可能性最小。缺點：大型設(shè)備投資，高通信成本，高通信環(huán)境要求，更復(fù)雜的常規(guī)運行和維護。 災(zāi)難恢復(fù)級別：4 到5。

如圖8 所示，雙活容災(zāi)。數(shù)據(jù)中心采用雙活動數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)，可同時提供服務(wù)。數(shù)據(jù)中心的應(yīng)用架構(gòu)基本上是被劃分為web層、應(yīng)用服務(wù)器層和數(shù)據(jù)庫層的多層應(yīng)用體系結(jié)構(gòu)。主模式在各層實現(xiàn)。Web 層通常不是基于狀態(tài)連接，而是基于HTTP 連接，因此，在默認(rèn)情況下，應(yīng)用程序可以連接到任意的數(shù)據(jù)中心的Web 層。應(yīng)用服務(wù)器層可以在非狀態(tài)應(yīng)用中實現(xiàn)主狀態(tài)模式。數(shù)據(jù)庫集群太長。太長距離將難以獲得數(shù)據(jù)庫訪問時間和同步策略。

優(yōu)點：恢復(fù)時間通常與最好的數(shù)據(jù)完整性一致，數(shù)據(jù)丟失和短短幾十秒幾分鐘。

缺點：在軟件和硬件設(shè)備上的大量投資，較高的通信成本和較高的通信環(huán)境要求。

災(zāi)難恢復(fù)級別：6 級。

7 結(jié)語

實現(xiàn)數(shù)據(jù)中心雙活，不僅依賴于應(yīng)用程序、操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、存儲系統(tǒng)的全方位雙活架構(gòu)設(shè)計，也要關(guān)注各系統(tǒng)模塊之間的整體協(xié)同性，當(dāng)設(shè)備故障需要自動切換時，各系統(tǒng)之間仲裁時間的設(shè)定將直接影響，雙活數(shù)據(jù)中心架構(gòu)遇到故障時能否正常切換。[1]面對復(fù)雜的數(shù)據(jù)中心雙活架構(gòu)，設(shè)計時應(yīng)充分考慮細(xì)節(jié)，實踐時需多維度測試，以保證數(shù)據(jù)中心雙活架構(gòu)的有效性。[1]