關于金融機構接入全國性數據處理中心的高可用方案研究

孫書彤

摘 要 當前金融業務在社會中承擔的作用越來越重要，而在開展金融業務時，各家金融機構接入全國性數據處理中心時的架構處于混合模式，在系統的高可用方面存在較大的提升空間。本文通過對金融機構同全國性數據處理中心的通信方式、接入方式進行分析，提出提高系統架構可用性和可靠性的方案。

關鍵詞 金融IT系統;災備系統;冗余能力

Abstract At present， financial business plays an increasingly important role in the society， while in the development of financial business， the framework of each financial institution when it connects to the national data processing center is in a mixed mode， and there is a large space for improvement in the high availability of the system. This paper analyzes the communication and access modes between financial institutions and national data processing centers， and puts forward a scheme to improve the availability and reliability of the system architecture.

Key words Financial IT system; Disaster preparedness system; Redundant capacity

1 全國性數據處理中心系統概述

全國性數據處理中心系統是一個金融機構間、跨地區的支付清算系統，是國家重要的金融交易和信息管理決策系統。

1.1 背景

為了主動適應金融業務的創新和發展，使支付系統未來能快速適應業務需求的變化以及發展。數據處理中心需要建設適應新興電子支付發展的、面向接入機構管理需要的、功能更完善、架構更合理、技術更先進、管理更簡便的新一代交換系統。

為了不斷提高系統間鏈接的穩定、可靠性，持續分析、優化系統結構，本文主要結合作者從事金融系統建設的經驗，對全國性數據處理中心系統與金融機構系統在鏈接冗余方面進行分析并提出改進高可用方案。

1.2 全國數據處理中心系統的現狀

全國性數據處理中心，以城市處理中心作為接入節點，全國性金融機構以省級分行為單位通過所在地城市處理中心接入，地方性金融機構以法人為單位通過所在地城市處理中心接入，同時也支持接入的金融機構總部一點接入、一點清算，適應了銀行業金融機構內部系統數據大集中的發展趨勢，為金融機構節約了流動性和接入成本。

2 金融機構接入全國數據處理中心冗余能力分析

全國數據處理中心已具備快速、高效、安全的特點。但同時，該系統由于多層結構，每一層接入都是一個交易鏈條的關鍵節點，要保證系統穩定并提高接入節點的容災能力，必須解決整個系統接入環節的可靠性、可用性問題。結合金融系統運營的經驗，針對金融交換系統同金融機構的連接結構進行分析，進而優化和改進。

2.1 金融機構接入全國數據處理中心通信接入方式分析

根據調研目前大多數金融機構系統都是通過兩條單邏輯鏈路與全國數據處理中心相連，見下圖所示。

（1）金融機構通信前置同全國數據中心的前置采用串行直連的方式接入。

（2）兩臺全國數據中心的前置分別同數據中心接入通信進行雙通道的方式直連接入。

從圖上可出，金融機構同全國數據處理中心前置的交叉連接方式充分保證了系統冗余能力、提高了系統的可用性和健壯性。而前置同數據處理中心的通信機的連接是兩條單鏈路接入的情況，系統單對單的接入模式降低了連接的容錯能力，增加了系統容災切換的處理時效并增加了鏈路故障影響性，因此給業務應急切換和恢復帶來了一定的風險和困難。

金融機構穩定接入和運行對全國的金融業務是有力保障，因此在圖2-1網狀接入的金融系統架構體系中，不僅要考慮網狀結構間各節點的高可用和負載，而且還要充分考慮網狀結構間的節點與節點之間的通道的高可用和負載均衡，進而保障整個網狀結構的金融系統能穩定運行，而不因節點故障、通道故障、通道負載不均衡影響到金融業務的開展。

結合金融系統網狀結構需要滿足節點高可用、通道高可用、通道負載均衡的要求，對圖2-1中進行分析，得出了相關結論：

由于數據處理中心前置同通信機的連接分別是單點接入通道，節點間單對單的接入不能保障線路高可用和線路負載，當節點間連接出現故障時，即使存在節點的高可用，也很難保障整個網狀結構的全部高可用和負載均衡。此網狀結構的不足，增加了系統容災切換的時間且放大通道故障造成對外的影響，給業務應急切換和恢復帶來了一定的風險和困難。

鑒于現狀和不足的分析，本文對此金融機構接入數據處理中心架構中的各節點和節點間存在的關系進行梳理，并找出可優化的點，最終保障該金融系統的高可用能力。

2.2 金融機構接入全國數據處理中心接入方式分析

根據規劃，未來全國數據處理中心系統將形成多中心的格局，將建設主中心、備中心等多中心。基于多中心的模式，目前金融機構接入全國數據處理中心的現狀如下：

（1）金融機構通信前置同數據處理中心前置采用交叉直連的負載均衡的方式接入。

（2）兩臺數據處理中心前置分別同接入通信進行雙通道的方式直連接入主中心。

（3）兩臺數據處理中心前置只有在主中心異常時，通過應急處理，在災備切換時才同備中心以雙通道的方式接入。

在多中心的架構下，此類的中心接入方式由于災備中心對外透明，因此在災備切換時增加了切換難度，對于業務恢復能力也有一定的影響。

在圖2-2金融機構接入全國數據處理中心系統中心接入架構中，實現了網狀結構間各節點的高可用和負載均衡、中心間的節點災難備份（例如主中心故障時各金融機構將同備中心建立通信連接，并承擔業務職責），保障整個金融系統能穩定運行，而不因中心節點故障影響到全國金融業務的開展。

結合金融機構網狀接入結構的特性，對圖2-2中進行深入分析，得出了相關結論：

由于數據處理中心的前置同通信機的連接分別是單點接入通道，節點間單對單的接入不能保障中心的高可用和中心線路負載，當節點間連接出現故障或者中心出現故障時，即使存在節點和中心級別的高可用，也很難保障金融機構接入數據處理中心系統整體的高可用。此中心接入方式會增加系統容災切換的時間和對外的影響，給應急切換和恢復帶來了一定的風險和困難。

鑒于中心接入的各網絡節點和節點關系進行推導，找出最優的關系和最穩定的狀態，最終提升金融機構中心接入的高可用能力。

3 金融機構接入全國數據處理中心提高冗余能力方案

結合前面現狀分析，為了提高系統冗余能力，建議用Petri網模型對系統可靠性進行定量分析找出解決方案。

在Petri網中，整個系統的狀態用庫所（Place）來表示，而導致狀態改變的事件用變遷（Transition）來表示。Petri網是一個六元組N=（P，T，F，K，W，M），其中：P是庫所集;T為各種變遷的集合;F是該網N的有向弧的集合;W為弧F的權函數，W（p，t）為從P到轉換t所消耗的令牌（token）數，pP，tT;K為庫所p的容量函數，K（p） 代表庫所p的最大令牌數;M是網N的一個標識，M（p）代表庫所p的當前令牌數，條件為：pP，M（p）K（p）。Petri網規則是：①有向弧是有方向的;②兩個庫所或變遷之間不允許有弧;③庫所可擁有任意數量的令牌。

結合Petri網模型對于系統可靠性分析采用故障樹分析法FTA（Fault Tree Analysis），FTA是一種自頂向下路徑進行的分析法，即從希望不發生的事件（頂事件）開始，向下逐步追查導致頂事件發生的原因，一直查到最底層事件（底事件），以此確定事件發生的原因。

本次系統可靠性分析，即在X為輸出系統可靠性;xi為輸入系統可靠性，i=1，2，...n;為輸出系統可靠性的概率，則串聯系統可靠性的輸出概率為：

根據公式可以分析出當系統串聯接入時，可靠性會隨接入節點數增多而下降;當系統并聯接入時，可靠性會隨并入節點數增加而提升。因此根據分析結論建議采用多節點并聯接入方案來提升系統冗余能力。

3.1 金融機構接入全國數據處理中心通信接入方式優化方案

鑒于圖2-1金融機構接入全國數據處理中心系統現狀的分析，提出機構側同數據處理中心前置、數據處理中心前置同接入側兩級連接方式都采用交叉接入的方式。

根據建議接入方式：

（1）金融機構通信前置同在數據處理中心前置采用交叉直連的負載均衡的方式接入。

（2）兩臺數據處理中心前置同接入應用也采用交叉直連的負載均衡的方式接入。

雙機負載均衡接入的架構下，同時在前置和接入通信機上增加線路狀態監控，可以具備如下的優點：

1）業務高可用

雙機模式下，即使單機故障，可以實現業務無縫切換到正常的數據鏈路，業務處理無中斷，報文錄入及發送，來報接受及業務處理，日終對賬皆不受影響，業務響應時間有保證。

2）橫向可擴展

隨業務處理量增長，后臺應用可橫向擴展，在帶寬及前置處理能力限度內，批量發送及接收的業務處理性能可隨應用擴展實現近似線性增長。

3.2 金融機構接入全國數據處理中心的中心接入優化方案

全國數據處理中心通過建設雙中心的架構，與金融機構接入采取雙點交叉接入的形式來提高容災和抗災能力。

（1）金融機構通信前置同數據處理中心前置采用交叉直連的負載均衡的方式接入。

（2）兩臺數據處理中心前置分別同主中心和備中心的接入通信機采用交叉直連的方式直連接入。

建議所有接入金融機構都要以雙中心接入的方式接入全國數據處理中心，增強系統的容災和應急能力。特別是在全國數據處理中心實現“兩地三中心”的模式下，提供多點接入的接入形式，金融機構配置雙通信前置分別與多個處理中心建立通信連接。如果監測到一個通信前置機與某個處理中心之間的通信連接異常，那么交易可以立刻轉發至其他處理中心，最大限度地降低各種異常對業務的影響。

此種中心接入的方式，具備故障自動切換及恢復時無縫回切功能。

從提高運維管理和業務連續性管理水平的角度考慮，系統的建設依照“多中心一體化（多個物理中心協同形成一個大的邏輯中心）”的思路進行設計，支持一體化的監控、運行、維護等;因此中心接入模式也需依照“多中心一體化”原則來推廣和建設[3]。

4 金融機構接入高可用方案實踐

結合前面通信接入和中心接入的優化方案，根據在金融機構的系統接入實踐，通過項目改造以及實際運行數據，驗證優化方案達到預期提升高可用性的效果：①在通信交叉接入的模式下，金融機構系統全年業務“零影響”;②在中心多點交叉接入模式下，單個中心故障和切換時，對外業務無影響，全年系統“零故障”。

同時對系統的可靠性開展定量分析， 按照業界基準水平系統主機故障率為4sigma（每百萬次機會中的缺陷數3170個）[4]的水平來評估，由于我們優化前采用串聯接入的模式，優化后采用的并聯接入的模式，系統可靠性來評估公式如下：

根據定量分析發現金融機構系統的通信和中心接入模式在優化前可靠性水平低于4sigma，在優化后根據評估的結果可靠性水平均超過6sigma，因此本文分析提出的高可用優化方案滿足金融機構系統對于可用性和可靠性的高要求。

5 結束語

中國經濟的高速運行以及社會威脅的不可預測性，使我們不得不想方設法改進整個金融體系應對災難、風險和危機的應變能力。

除了本文對于金融機構接入全國數據處理中心系統的通信連接和中心連接的改進建議，還希望通過加強日常化運行質量分析、建立系統化的運行指標監控體系、持續開展容量分析，使金融系統的各個節點運行在一個健康的狀態，確保社會經濟秩序穩定運行。

參考文獻

[1] 金娟，黎和貴.當前支付清算系統的問題與對策[J].金融理論與實踐，2003（1）：37-38.

[2] 金光，周經倫，何小懷.一種基于Petri網的可靠性分析方法[J].小型微型計算機系統，2001，22（8）：1023-1024.

[3] 堵秋瑩.關于我國支付清算系統現狀及問題分析[J].法制與社會，2007（9）：608-609.

[4] 吳桐毅，謝旻，成曄，等.對6Sigma范式的改進[J].工業工程與管理，2003（5）：1-5.