容灾整体解决方案

XX 容灾整体解决方案
目
第1章
录
前言................................................................................................................................................2

容灾整体解决方案 第2章 2.1 2.2 2.2.1 2.2.2 2.3 2.4 容灾概述........................................................................................................................................3
概述 ...........................................................................................................................................................3 业务连续性管理简介................................................................................................................................5 《规范》简介 .........................................................................................................................................5 恢复时间目标（RTO）与恢复点目标（RPO）...................................................................................8 容灾系统建设的流程..............................................................................................................................10 容灾系统中的人员组织安排..................................................................................................................12 第3章 容灾建设中 IT 技术的选择 ........................................................................................................14
3.1.1
容灾中 IT 技术的选择..........................................................................................................................14 主流厂商解决方案简介 ..............................................................................................................23
第4章 4.1.1 4.1.2 4.1.3
EMC 容灾解决方案简介 .....................................................................................................................23 SYMMENTEC|VERITAS 整体解决方案简介.....................................................................................26 HDS 容灾解决方案简介.......................................................................................................................29 京北方公司容灾解决方案 ..........................................................................................................32
第5章 5.1.1 5.1.2
京北方公司容灾建设分阶段论............................................................................................................32 京北方公司容灾体系各阶段推荐的产品及产品优势 ........................................................................32 附件..............................................................................................................................................35
第6章
1-

容灾整体解决方案
第1章
前言
随着社会的发展和科技的进步，真实有效的信息已经成为企业赖以生存的 源泉，企业信息化的水平已经成为企业的核心竞争力。 随着企业信息化建设的普及与发展， 企业所面临的风险和威胁也越来越大。 外在的因素、内在的因素与更多不可欲知的灾难，时刻威胁着企业生存。绝大多数 企业都无法承担由于计划外系统中断造成的停机而带来的经济与信誉等诸多方面的 损失。而如何做到企业的业务永续运行，已经成为困扰企业经营决策者们的头等大 事。 在以往的企业信息化建设过程中，由于管理的需要，企业 IT 资源往往走过 一个从分散到集中的道路，当前企业信息化通常都是一个资源高度整合的系统。中 国有句古话“分久必合，合久必分” 。正是因为高度集中，一旦发生意外事故，势必 造成企业业务无法持续，这样威胁让企业信息化建设与管理者们夜不能寐，寝食难 安。为保证 7×24 全天候运行，企业需要一个全面的业务连续性计划，可以支持高 可用性、连续运营和灾难恢复。
2-

容灾整体解决方案
第2章
2.1 概述
容灾概述
什么样的威胁能够导致企业业务的中断？我国出台的《信息安全技术信息系统灾难 恢复规范》 （下称《规范》 ）中明确定义：灾难是由于人为或自然的原因，造成信息系统 运行严重故障或瘫痪，使信息系统支持的业务功能停顿或服务水平不可接受、达到特定 的时间的突发性事件，通常导致信息系统需要切换到备用场地运行。 下图数据来源于: Contingency Planning Research, Inc 1999 ( 1982-1997 （美国）样本数：6000 宗
由此可见，灾难不仅指自然的原因，也包括人为的原因。对于信息系统的连续性运 行来说， 灾难的范围很宽泛。 因为自然灾害或其他原因造成的数据丢失的案例经常发生。 事实上， 企业要保持业务连续性， 最大的威胁并不是来自于火灾、 地震等小概率、 大影响的灾难。相反，企业的业务更多地受到诸如人员错误、流程缺陷等事件的威 胁。虽然它们对业务的影响力远不如那些重大灾难，但是它们却时刻潜伏在企业的 周围，一触即发，同样会对企业造成致命的打击。不是所有的灾难都会毁掉整个数 据中心。很多灾难规模较小，如果有的话也只会影响到一个或者两个系统。我们还 是可以根据灾难的严重程度定义下面这样的灾难级别。 3-

容灾整体解决方案
一级 受到攻击和分析的威胁。如果有人声称知道业务系统里有后门可以进入或者准备用 病毒发动攻击，我们就认为正在受到攻击和分析的威胁。 遇到这种情况就，用户需 要要加强安全戒备，截击攻击者。此时，企业或机构还没有受到损失，攻击行动还 没有开始。 二级 这一情况不会对数据系统产生冲击，但是它仍然是企业必须解决的问题。例如，即 使安全漏洞让入侵者获得了敏感的信息，但是数据系统仍然在运行。但是，你必须 立即扭转这一局面。 三级 单个系统故障：单个系统故障造成其离线时间超若干分钟或者任意长时间，离线时 间取决于系统受到威胁的程度。这种情况需要立即进行应用转移，如果可能的话， 要转移到本地的备用系统上；否则，必须把系统从磁带上恢复到备用的硬件上。一 般来说，这种情况不会对商业运行造成巨大影响，但是必须尽快解决问题。 四级 单处致命故障或者多处非致命故障：在这种情况下，对商业运行的直接威胁已经发 生，但是，数据中心仍然在正常运行。如果有可能，还是要恢复到备用硬件和／或 进行本地的应用转移，但是响应时间现在变得非常重要。到达这一级别，系统正面 临大面积的威胁。 五级 数据中心即将或者已经发生故障，甚至更糟：断电、间谍活动、恐怖活动，以及自 然灾害都可以归入这一类。远程的应用转移或者使用基于磁带备份的数据来重建数 据中心是唯一的选择；这一级别会假设生产设施会有相当长的一段时间无法使用。
灾难范围的扩大，对企业的 IT 建设提出了新的挑战。为了保证企业 24x7 连续运营， 仅仅依靠传统的灾难备份/恢复已经满足不了业务的需求。从 IT 为业务服务的角度，业 界很早就提出了业务连续性的概念。 业务连续性涵盖面超出了 IT 灾备方案的范畴， 而是 一个包含了保证业务连续运行的各组成环节的管理流程。 什么是业务连续性管理（business continuity management）？BCM 是一套综合管理 体系 （从灾难恢复发展而来的一门管理学科） 它着眼于对各种潜在灾难和危险进行分析， 。 4-

容灾整体解决方案
并建立一套完善的业务持续计划(BCP)来防止或减少灾难事件给企业带来的损失 。它是 一项面向商业机构或政府组织信息安全与风险管理的综合管理流程，它使组织机构认识 到潜在的危机和相关影响，制定响应、业务和连续性的恢复计划，其总体目 标是为了提 高组织的风险防范与抗击打能力， 以有效地响应非计划的业务破坏并降低不良影响。 BCM 系统的整体规划、实施与运营包括信息系统的基础数据与应用系统灾难备份与业务恢复 计划 。 业务连续性管理与灾难恢复的关系又是怎么样的？下图为两者之间的关系
从图上我们可以看到，BCM 不仅仅包括灾难恢复，还包含风险管理，基础设施 管理，供应链管理，质量管理，健康与人身安全，知识管理等等内容。区分业务连 续性和灾难恢复是很必要的。严格地来说，灾难恢复是恢复数据的能力，是业务连 续性管理的一部分。
2.2 业务连续性管理简介
2.2.1 《规范》简介
上文已经提到了我国出台了《规范》 GB-20988-2007-T。 《规范》是我国容灾建设的 根本依据。 《规范》中的规定：我国灾难恢复等级划分：六级、七要素 5-

容灾整体解决方案
大致可以分为二类：数据类、应用类 “第 1 级”：数据介质转移（异地存放、安全保管、定期更新） “第 2 级”：备用场地支持（异地介质存放、系统硬件网络可调） “第 3 级”：电子传送和部分设备支持（网络传送、 、磁盘镜像复制） “第 4 级”：电子传送和完整设备支持（网络传送、网络与系统就绪） “第 5 级”：实时数据传送及完整设备支持（关键数据实时复制、网 络系统就绪、人机切换） “第 6 级”：数据零丢失和远程（在线实时镜像、作业动态分配、 实时 无缝切换） Tier1 的灾难恢复方案必须设计一个应急方案，能够备份所需要的信息并将它存储 在异地。 通常将本地备份的数据用交通工具送到远方。 这种方案相对来说成本较低， 但难于管理。 Tier2 相当于 Tier1 再加上热备份中心能力的进一步的灾难恢复。热备份中心拥有 足够的硬件和网络设备去支持关键应用。相比于 Tier1，明显降低了灾难恢复时间。 Tier3 是在 Tier2 的基础上用电子链路取代了卡车进行数据的传送的进一步的灾难 恢复。由于热备份中心要保持持续运行，增加了成本，但提高了灾难恢复速度。 Tier4 指两个中心同时处于活动状态并同时互相备份，在这种情况下，工作负载可 能在两个中心之间分享。在灾难发生时，关键应用的恢复也可降低到小时级或分钟 级。 Tier5 则提供了更好的数据完整性和一致性。 也就是说， Tier5 需要两中心与中心的 数据都被同时更新。在灾难发生时，仅是传送中的数据被丢失，恢复时间被降低到 分钟级。 Tier6 可以实现 0 或者极少的数据丢失率，被认为是灾难恢复的最高级别，在本地 和远程的所有数据被更新的同时，利用了双重在线存储和完全的网络切换能力，当 发生灾难时，能够提供跨站点动态负载平衡和自动系统故障切换功能。 通常这 6 个级别的恢复时间与成本关系如下图
6-

容灾整体解决方案
恢复时间
连续可用
恢复机制取决于 可接受的停机时间和预算
成本 / 复杂性
镜像 同步复制
快速恢复
异步复制
一般恢复
磁带恢复
恢复时间 分钟 小时 天
《指南》中还规定了容灾系统中的主要构成 7 要素： 数据备份：介质转移、批量传送、流水日志、实时镜像 主处理系统：主机、存储、应用、环境 网络通讯：信道、设施、切换 灾 难 恢 复 预 案 ： 计 划 与 评 审 、 测 试 、 演 练 、 文 档 、 保 障 联络、变更 BCP、DRP、DCM
运维管理：规章、管理、操作 技术支持：人员、技术、培训 基础设施：工作、生活、联络、供电 如图：
7-

容灾整体解决方案
而在容灾建设中， 我们如何确定是否达到目标呢？这就必须制定灾难恢复目标的参 考点：RTO 与 RPO 与总成本
2.2.2
恢复时间目标（RTO）与恢复点目标（RPO）
RTO，Recover Time Object，恢复时间指标，是指当灾难发生后，生产系统需要多 长时间能够恢复生产， 它是衡量企业在灾难发生后多长时间能重新开始运转的指标。 RPO，Recover Point Object，恢复点指标，是指灾难发生后，容灾系统能把数据恢 复到灾难发生前的哪一个时间点的数据，它是衡量企业在灾难发生后会丢失多少生 产数据的指标。 RTO 与 RPO 是容灾建设中非常关键的指标，直接与总成本相关。
8-

容灾整体解决方案
灾难覆盖面
可用的技术
成本
恢复速度
恢复程度
我们知道了 RTO,RPO 是灾难恢复的基本参考指标,那这些指标是怎么来的呢? 一般的流程是这样的:1:我们首先要建立业务发展模型与蓝图,根据这些模型与蓝图 确定各业务系统之间的逻辑关系、 重要程度等指标.2:风险分析(BA)根据以往本数据 中心的历史数据进行统计,分析可能存在的风险,及风险可能发生的比例,根据比例, 确定主要威胁.3:业务冲击分析(BIA):根据风险分析的结果,预计一旦发生相应的灾 难,会给企业造成如何的影响,这些影响都会带来如何的损失,各个系统恢复需要多 长时间,恢复的优先级是如何的(确立”关键活动”),各个系统允许丢失的数据的时 间是多久.4:确定连续性需求:需要评估各个系统恢复需要的资源(GAP).5:根据各个 系统的 RTO 与 RPO 要求,确定各个系统的业务连续性计划. 我们根据需要制定可达到目标的业务连续性计划，制定灾难恢复流程，建立人 力资源团队，建设基础设施并选择合适的技术手段来达到我们制定的要求！ 这也就是我们通常说的灾难恢复体系的模型：计划与三要素：人员、流程、技术。
9-

容灾整体解决方案
2.3 容灾系统建设的流程
通常我们在建设容灾系统的流程上分为 3 大阶段，7 个主要步骤： 计划阶段：主要包括业务模型分析（确定各业务系统之间的逻辑关系） ，风险分析， 业务冲击分析， 当前业务环境及恢复能力分析， 然后根据分析结果(RTO,RPO)制定不 同的策略， 编制业务连续性计划， 根据计划进行容灾方案选择及业务恢复流程设计， 组建灾难恢复管理队伍。 实施阶段：在此阶段根据容灾方案进行容灾系统的建设，落实相应的规章制度。 管理阶段：应急预案的编制、测试、维护、评估与改进等.
7 个主要步骤： 1．灾难类型分析 2．业务冲击分析 3．当前业务环境及恢复能力分析 4．容灾策略制订 5．容灾方案设计 6．业务恢复流程设计 7．业务恢复流程及容灾方案管理和测试
灾难恢复建设流程
灾备建设起点 获得管理层支持 科技、业务、财务、 后勤支持等相关部门
数据处理中心风险分析 业务影响分析 确定灾难恢复策略与目标 成立灾难恢复专 门机构 分析灾难 备份需求 数据备份系统 备用数据处理系统 备用通信网络系统 灾备中心运营管理
日常监控与操作管理 问题管理与变更流程 演练管理 预案维护和评估 预案测试和演练 初稿的制订 初稿的评审 初稿的修订 预案的测试 预案的审核和批准
保持灾备 系统永续 运行
制订灾难 备份方案
制订灾难 恢复预案
实施灾难 备份方案 实施灾难备份方案 落实相应的规章制度 组建运营管理队伍
10-

容灾整体解决方案
在容灾建设的过程中，我们发现：灾难应急预案与灾难恢复演练很重要。我们的 应急预案是否可行，在一旦发生故障时，系统是否能够按照计划恢复？我们是否做 过多次的演练来反复完善我们的预案？ 应急预案制定的原则：完整性，有效性，易用性，明确性与兼容性 至少包括的内容：
灾难应急预案应该是一个制定、评估、测试、改进、维护的过程，不断改进的过程。 而演练是检验应急预案最好的实践方法，能够提高企业的预案执行能力。 演练前应制定完备的演练方案，明确演练目标、范围、层次、形式等因素；演练后， 应对演练组织，过程，结果等进行评估，从而有效的对应急预案进行改进。 容灾演练的流程
11-

容灾整体解决方案
灾难演练流程
1.确定演练目标与范围 2.确定演练的时间 3.确定演练的测试方案 4.确定灾难演练计划 5.灾难备份中心提前准备就绪 6.灾难备援系统提前准备就绪 7.确定演练参加单位与人员 8.下发演练通知
演练准备 实施演练
1.模拟灾难发生 2.启动灾难宣告流程 3.模拟灾难断开数据复制链路 4.灾难备援系统准备 5.启用备援系统，并确认备援系统 的可用性和正确性 6.启动应用系统，并确认和验证应 用系统和数据的可用性 7.演练营业网点通信切换 8.灾备中心正式接替电脑中心运营 9.业务处理服务重续运行
1.恢复数据备份系统 2.恢复营业网点通信 3.清理演练环境，删除演练数 据
演练恢复 演练总结
1.更新灾难备份系统 2.文档资料更新 3.更新灾难恢复预案 4.形成演练总结报告 5.演练文档资料存档
应急响应与运作 应当制定和实施用于事件响应以及对事件所引起状况进行稳定的规程，包括建立和 管理紧急事件运作中心，该中心用于在紧急事件中发布命令。
2.4 容灾系统中的人员组织安排
容灾系统中成员构成： 领导小组 业务恢复操作组 技术功能操作组 外部协调和联系人员 设备和软件供应商联系人 外部协作机构 企业都应该设立一个由领导挂帅，各业务部门和 IT 部门联合组成的一个容灾指挥 小组。由该小组指挥，IT 部门和业务部门分别执行，IT 恢复计划和业务连续性计划 才能得到同步，从而达到容灾设计的目标。 以下是各个组的主要职能： a） 负责计划的执行 12-

容灾整体解决方案
b） 促进与其它组之间的交流，监督计划的测试和执行 c） 所有或是某一个成员可能领导特定的组 d） 协调恢复过程 e） 评估灾难，执行恢复计划，联系组长 f） 监控并记录恢复的过程 g） 是最终决定优先级设置、各种政策和过程的人 一旦发生灾难，每个人都知道自己应该做什么是容灾系统建设成功的重要因素！
13-

容灾整体解决方案
第3章 容灾建设中 IT 技术的选择
3.1.1 容灾中 IT 技术的选择
我们在做容灾系统方案设计时，根据不同的业务，不同的 RTO\RPO 需求，应当制定 不同的业务连续性计划， 根据不同的业务连续性计划选择不同的技术来实现相应的计划。 我们知道按照《指南》的规定容灾分为数据级的容灾与业务级的容灾。 数据级别容灾的关注点在于数据， 即灾难发生后可以确保用户原有的数据不会丢失 或者遭到破坏。数据级容灾较为基础，其中，较低级别的数据容灾方案仅需利用磁带库 和管理软件就能实现数据异地备份，达到容灾的功效；而较高级的数据容灾方案则是依 靠数据复制工具， 例如卷复制软件， 或者存储系统的硬件控制器， 实现数据的远程复制。 数据级别容灾是保障数据可用的最后底线，当数据丢失时能够保证应用系统可以重新得 到所有 数据。从这种意义上讲，数据备份属于该级别容灾，用户把重要的数据存放在磁 带上， 如果考虑到高级别的安全性还可以把磁带运送到远距离的地方保存， 当灾难发 生 后，从磁带中获取数据。该级别灾难恢复时间较长，仍然存在风险，尽管用户原有数据 没有丢失，但是应用会被中断，用户业务也被迫停止。 应用级容灾是在数据级容灾的基础上，再把应用处理能力复制一份，也就是说，在 备份站点同样构建一套应用系统。应用级容灾系统能提供不间断的应用服务，让用户应 用的服务请求能够透明地继续运行，而感受不到灾难的发生，保证信息系统提供的服务 完整、可靠、安全。一般来说，应用级容灾系统需要通过更多软件来实现，它可以使企 业的多种应用在灾难发生时进行快速切换，确保业务的连续性。 灾难恢复过程中， 通常分为本地与远程二个部分， 通过以下技术 （或层次） 来实现：
14-

容灾整体解决方案
灾难备份恢复技术 灾难备份恢复是指将数据从企业数据中心移动到另一个地点，以便最终恢复。可以 使用磁带备份的异地存储，或者数据中心到另一地点的数据复制实现。这种技术的 实现通常借助企业备份子系统，包括备份软件与硬件：物理带库或虚拟带库等。当 前市场主流的备份软件有 symantec|veritas netbackup、emc|legato netwoerker 等。 本地高可用性技术 指的是将一个或者多个数据系统故障转移至同一站点里立即可用的硬件资源上。例 如，如果某个数据服务器发生了故障，你可以立即让同一数据中心里的另一台物理 机器投入在线工作。这种技术的实现通常借助系统的高可用软件，市场主流的高可 用软件有 IBM HACMP，HP MC-SG，symantec|veritas VCS 等。 远程集群技术 远程集群技术把高可用性推向了一个更高的级别，它指的是在物理地点之间进行的 数据系统故障转移。这种技术的实现通常借助高可用软件的远程模式，市场上支持 远 程 集 群 技 术 的 高 可 用 软 件 有 IBM HACMP （ HACMP-XD ） Symantec|veritas ， VCS(global 选项) 这种类型的解决方案比其他任何形式的恢复技术（在速度上）快很多。 远程数据复制技术 通常数据复制地工作机制主要包括同步和异步两种。 同步远程镜像(同步复制技术) 是指通过远程镜像软件， 将本地数据以完全同步的方式复制到异地， 每一本地的 I/O 15-

容灾整体解决方案
事务均需等待远程复制的完成确认信息， 方予以释放。 异步远程镜像(异步复制技术) 保证在更新远程存储视图前完成向本地存储系统的基本 I/O 操作，而由本地存储系 统提供给请求镜像主机的 I/O 操作完成确认信息，远程的数据复制以后台同步的方 式进行。通常由于链路的延迟与衰减， （关于链路的延迟与衰减，请参考附件 1）我 们通常把同步方式称作同城复制，把异步方式称作异地复制。 同步模式与异步模式的对比： 同步模式远程复制： 优点：无数据丢失，业务恢复时间极短； 缺点：1：由于链路延时与衰减的原因，有距离限制（通常不能超过 200KM） ； 2： 由于 1 笔 IO 写入必须主站点与灾备站点全部完成以后才算成功， 所以对生产 应用系统有性能影响； 3：对链路的要求很高，成本较高。 异步远程复制的总结： 优点：业务恢复时间极短，无距离限制，链路成本相对较低； 缺点：有少量数据丢失；
数据的远程复制技术根据作用层次的不同主要分为 3 类： 1. 基 于 存 储 层 面 数 据 复 制 ： 主 流 产 品 ： EMC SYMMTRIX SRDF 、 EMC CLARIION MIRRORVIEW、IBM PPRC、HDS TrueCopy 等等 2.基于主机层面数据复制：主流产品：Veritas Volume Replicator（卷远程复制） 、 veritas Storage Foundation(卷远程镜像) ibm glvm（卷镜像）等 3.基于应用层面数据复制：Oracle DataGuard，IBM DB2 HADR 等
基于存储子系统的远程复制： 采用基于存储的容灾方案的技术核心是利用存储阵列自身的盘阵对盘阵的数据块复 制技术实现对生产数据的远程拷贝，从而实现生产数据的灾难保护。在主数据中心发生 灾难时，可以利用灾备中心的数据在灾备中心建立运营支撑环境，为业务继续运营提供 IT 支持。同时，也可以利用灾备中心的数据恢复主数据中心的业务系统，从而能够让企 业的业务运营快速回复到灾难发生前的正常运营状态。 基于存储的容灾方案示意图如下： 16-

容灾整体解决方案
基于存储数据复制技术的容灾方案示意图
同步方式： （同城）
异步方式： （异地）
同 步 与 异 步 结 合 ：（ 通 常 称 作
2
地
3
中 心 甚 至
3
地 ）
17-

容灾整体解决方案
采用基于存储数据复制技术建设容灾方案的主要缺点是： 通常必须采用同一厂家的存储平台， 通常也必须是同一系列的存储产品， 给用户 的存储平台选择带来一定的限制。 采用同步方式可能对生产系统性能产生影响， 而且对通信链路要求较高， 有距离 限制，通常在近距离范围内实现（同城容灾或园区容灾方案） 采用异步方式与其他种类的异步容灾方案一样，存在数据丢失的风险,通常在远 距离通信链路带宽有限的情况下实施。 灾备中心的数据仅用来做保护，通常不可用。 尽管有以上缺点， 基于存储的容灾技术方案仍然是当前企业最优先选择的容灾技 术平台 基于主机层面的的镜像或远程数据复制技术： 采用基于主机的容灾方案的示意图如下：
18-

容灾整体解决方案
基于主机的容灾方案示意图
采用基于主机系统的容灾方式的核心是利用主、备中心主机系统通过 IP 网络建 立数据传输通道，通过主机数据管理软件实现数据的镜像或远程复制，当主数据中 心的数据遭到破坏时，可以随时从备份中心恢复应用或从备份中心恢复数据，从而 给企业提供了应用系统容灾的能力。
采用基于主机的数据镜像或复制技术建设容灾方案有以下优点：
1 基于主机的方案最主要的优点是只对服务器平台和主机软件有要求,完全不依 赖于底层存储平台，生产数据中心和后备数据中心可以采用不同的存储平台； 2 既有针对数据库的容灾保护方案，也有针对文件系统的容灾保护方案。 有很多不同的基于主机的方案， 可以满足用户的不同数据保护要求， 提供多种不 同数据保护模式； 3 基于 IP 网络,没有距离限制
同时，采用主机的数据复制技术建设容灾方案有以下缺点：
1 基于主机的数据复制方案由于生产主机既要处理生产请求， 又要处理远程数据 复制，必须消耗生产主机的计算资源，因而对生产主机性能产生较大的影响，甚至 是产生严重影响。 19-