XX区政府信息系统整合建设方案-v1

建设方案XX年4月目录一. 方案概述 11.1. 项目建设背景 11.2. XX区政府信息化建设现状 11.3. 项目建设的必要性 21.4. 建设原则 21.5. 建设内容 31.6. 设计描述 31.6.1. 服务器系统建设及整合 41.6.2. 存储、备份系统 61.6.3. 容灾系统 61.6.4. 运维管理系统 7二. 服务器系统建设及整合 82.1. 数据库服务器 82.2. 功能服务器 92.3. 服务器高可用设计 102.4. 系统整合设计 112.1.1系统整合方案概述 112.1.2服务器整合方案概述 122.1.3存储系统整合方案 132.1.4应用结构部署建议 172.1.5系统分类原则 182.1.6vLAN划分建议 192.1.7系统拓展考虑 192.1.8实施系统整合的好处 19三. 存储、备份系统 213.1.1. 采用SAN存储网络 213.1.2. 存储设备的选型 213.2. 备份系统 233.2.1. 备份系统的重要性 233.2.2. 备份管理系统的基本要求 233.2.3. 备份系统的组成 253.2.4. 备份策略 25四. 负载均衡系统 27五. 容灾系统建设规划 285.1. 概述 285.1.1. RTO(RecoveryTimeObjective) 285.1.2. RPO(RecoveryPointObjective) 295.2. 容灾系统的规划 295.3. 容灾系统的定义及启动判断 315.4. 容灾系统备份和恢复技术步骤 335.5. 容灾系统响应流程 365.6. 容灾系统测试演练计划 375.7. 容灾系统计划维护管理 38六. 系统运行维护方案 406.1. IT运维管理体系 406.2. IT运维管理流程 416.2.1. 服务台 416.2.2. 配置管理流程 416.2.3. 事件管理流程 426.2.4. 问题管理服务流程 436.2.5. 变更管理流程 446.3. 机房运行管理制度 456.3.1. 机房环境要求 456.3.2. 机房出入制度 466.3.3. 出入管理条例 466.3.4. 机房值班员职责 476.3.5. 软件管理规定 48七. 方案预算 497.1. 数据中心一期系统预算 497.2. 数据中心二期系统预算 497.3. 容灾中心一期系统预算 507.4. 容灾中心二期系统预算 50方案概述项目建设背景XX区政府信息化建设现状序号设备类型数量备注1IBMP640B80小型机8台03年投入2IBMP6606H1(H85)小型机1台03年投入3SUNE420RSERVER小型机1台03年投入4SUNU10小型机1台03年投入5IBM5-550Q小型机2台07年5月投入6IbmXseries305PC服务器12台04年投入7IBMXseries345PC服务器10台04年投入8IBMXseries346PC服务器1台05年投入9IBMSystemx3800PC服务器2台07年5月投入10IBMSystemx3650PC服务器2台07年5月投入11IBMSystemx3400PC服务器1台07年5月投入12DELL2850PC服务器8台06年10月投入13DELL850PC服务器10台06年10月投入14DELLPowerEdge6850PC服务器2台07年5月投入15DELLPowerEdge1900PC服务器3台07年5月投入16HPNetServerE60PC服务器1台03年投入17联想万全T100PC服务器3台03年投入18长城俊杰50002台03年投入19DELLPrecision3402台03年投入20联想开天20001台03年投入21七喜快乐20001台03年投入22SANYOPROxtraX投影仪2台03年投入23IBMSSA7133-D40磁盘阵列2套03年投入24IBM3583-L36磁带库1台03年投入25EMCCX600存储设备（1.4T）1套04年投入26EMCDS-16B2光纤交换机2台04年投入27戴尔CX3001套07年5月投入28NETAPPFAS3020存储设备(10.6T)1套06年10月投入29DellPowerVault136T磁带库1套05年投入30DellPowerVault132T磁带库1台31众志合达虚拟磁带库16000F1台07年投入32CX500磁盘系统1台07年投入33光盘库1台03年投入34磁带机1台03年投入35数字式硬盘录像机1台03年投入除上述集中存放在信息中心的系统之外，其他各局（除公安、社保）另有至少12套系统位于各局自由的信息中心。项目建设的必要性随着电子政务系统的逐步建设，以及国务院对XX机构改革的行政调整逐步深入，我们认为有必要对区政府下属的各业务系统、业务平台进行整体规划和建设，避免以前各部门独立建设业务系统导致的信息孤岛、单点故障、重复投资、系统利用率低下、项目建设周期长等问题建设原则为了保证系统建成后的良好运行和发挥最大的功能和效益，系统的建设应该突出考虑实用性、先进性、扩展性、可靠性、安全性的建设需求，充分考虑到系统要求的可靠的和冗余的网络通信能力。同时从全局的观点出发，考虑到目前和将来的需求，设计统一的系统结构，为今后3－5年的发展留有余地。既要满足当前的需要，又要充分考虑其整个生命周期的长期需求，系统的建设应遵循以下几项原则：开放性、兼容性和可互联性在系统建设设计中需要考虑到所支持应用对环境需求的多样性，使建成的平台，能够成为一个开放，兼容和可互联的环境。技术先进性尽量采用符合当代信息技术发展形势、既有先进技术又发展成熟，并且是各个领域公认的领先产品,采用先进的计算机技术如容错技术、RAID技术等集成技术，采用网络交换技术、网管技术，通过智能化的网络设备及网管软件实现对计算机网络系统的有效管理与控制；实时监控网络运行情况，及时排除网络故障。高性能高可靠性系统建成后将承担起XX区政府的核心业务系统，因此，在设计过程中，需要充分考虑系统的性能和可靠性，使系统具备高性能和高可靠性。可扩展性计算机行业发展迅速，系统必须具有良好的可扩展性，才能满足业务不断增长的要求。在设备选型时，我们充分考虑其扩展性，为将来系统的扩展保留一定的空间。可管理性系统长期可靠运行不仅依靠软硬件设备的可靠性，还必须有良好的可维护性，保证在日常维护工作中减低对维护的依赖，并且在系统故障出现时能够即时发现和迅速排除。基于上述对建设原则的认识和理解，我们给出本次建设改造升级的方案设计。建设内容XX区政府信息中心系统按功能划可分为：数据库服务器（含数据库管理系统）、应用服务器（含中间件软件）、备份服务器（含备份管理软件）、管理服务器、存储设备（磁盘阵列、磁带库）、网络设备（路由器、局域网交换机、防火墙等）以及相关的外部配套设备（如机房等），此外，考虑到更高级别的数据安全，还需要对容灾系统进行规划。在项目安排方面，我们首先建成集中的计算中心、存储中心、数据交换中心部分应用，并初步建设备份系统和简单容灾系统。在后期的数据中心建设中，将在本次建设的基础上，建设更为完善的数据存储中心、数据处理中心、数据运行中心、数据交换中心、数据分析中心、数据安全中心、数据监控中心和运维服务系统。设计描述根据XX区政府信息系统整合的初步设想，我们从下面三个方面，提出项目建设方案：一、服务器系统建设及整合；二、存储和备份系统；三、容灾系统四、系统运行维护方案服务器系统建设及整合初步建设目标对于IT系统建设项目，从业务逻辑方面分析，大概可以分为网络平台、应用接入平台、应用服务平台、数据库平台以及存储备份平台等几大部分，其逻辑关系可以用下表表示：系统安全网络系统平台系统管理业务应用1业务应用2…………业务应用n容灾系统中间件产品（包括应用中间件、邮件、集成中间件）操作系统、数据库、各类政府业务系统主机服务器平台存储、备份平台具体到硬件层面，我方建议的整体系统架构可以用下图来表示：解决方案概述如下：采用两套中高端Unix服务器，作为信息系统整合的数据库服务器，并配置为高可用集群结构，可以考虑采用数据库并行（如OracleRAC）技术；同时，通过Unix服务器的虚拟化分区技术，将一套物理服务器，分成逻辑上相互独立的服务器分区，分别承担各个不同的业务系统数据库，并且，CPU、内存、I/O资源可以根据需要在各分区之间动态调整；采用1套刀片系统（或者多套4路PC服务器），结合服务器虚拟化软件（如VMware或者Xen或者微软的VirtualServer等），实现各类功能服务器的整合，包括Web服务器、应用服务器、小规模SQL数据库服务器和管理服务器，上述每种功能服务器均可根据需要对应配置一个或多个刀片系统，或者一个或多个虚拟服务器；考虑到应用系统前端用户可能较多，可以根据实际需要，配置2套内容交换机，实现前端业务访问的负载均衡。配置一套中低端Unix服务器，作为业务系统的开发、测试、培训系统，以及业务系统正式上线前的支撑服务器。远期建设目标在初步建设的基础上，搭建更为完善的数据存储、处理、运行、交换、分析、安全、监控和运维服务等系统，提供健壮的支撑系统。具体包括构建标准化的业务运行组件，在各业务系统开发之初，要求开发商按照SOA的设计理念，充分实现各类数据的共享；采用两套中高端服务器，作为数据分析系统和数据交换平台，通过服务器虚拟化，可以实现不同业务系统的数据分析和数据交换功能；逐步淘汰现有的老、旧服务器，其功能由高性能服务器的虚拟化分区或虚拟机来承担，减轻机房供电、制冷、占地空间等方面的需求，降低系统的运行维护成本；建设数据中心的容灾中心，避免数据集中带来的机房单点故障。存储、备份系统对于存储备份系统，可以按照下述思路来建设：采用光纤存储网络，搭建高可用、高可扩展的存储平台；采用1套高性能、一体化存储（指同时支持光纤SAN、IPSAN、NAS等多协议、多连接方式的存储）系统，作为数据中心的集中存储平台，同时新增一套存储虚拟化系统（或者集成在高性能存储上面），对现有的存储进行存储虚拟化整合；采用一套备份系统，用来对数据中心进行本地数据备份；同时如果有条件的话，建立一套远程备份系统，初步保证数据的高度冗余；采用1套PC服务器，作为备份管理服务器；容灾系统对于容灾系统，初步建议通过远程备份来实现较低级别的数据冗余。在远期规划中，业务系统和数据量均比一期会有较大的增长，我们认为有必要建设功能较为完善的容灾系统。对于多业务系统容灾，我们建议采用基于磁盘阵列数据复制的技术，来实现业务系统容灾。主要配置包括：1套中高端Unix服务器，分成多个分区，运行多个数据库实例，作为多套业务库的容灾系统；1套中端服务器系统，作为数据交换系统容灾服务器；1套中、高端磁盘系统或虚拟化设备，配置与主存储大致相当的磁盘容量，作为容灾中心存储系统；提供必要的存储连接环境（如SAN交换机），作为容灾机房的存储连接设备；配置一套刀片系统或者通过服务器虚拟化，作为数据分析、业务服务和小规模数据库系统服务器；运维管理系统业务系统建好以后，便进入后期运行维护期。运维制度、运维人员的技术水平均对后期系统的运行有较大的影响，我们在后面章节对IT系统运维做简单阐述。服务器系统建设及整合数据库服务器在信息系统数据大集中的大背景下，数据库服务器系统需要为相关业务系统提供后台支持，因此系统的稳定性、可靠性和可扩展性显得最重要。服务器选型一般考虑下列因素：1、性能指标TPC-C(TransactionProcessingperformanceCouncil)是衡量计算机系统联机事务(OLTP)处理能力的一种标准，联机事务处理逻辑上在一个交易内对多个数据表进行读写操作，它基本上反映了一台服务器CPU、内存和I/O的综合处理能力。对于分析型系统，还可以参考TPC-H性能指标，这种指标反应了各类硬件系统在分析型环境下的性能。2、内存带宽及内存（系统带宽）内存是各种信息存储和交换的中心，CPU执行指令、计算机执行程序、磁盘IO操作，都要通过内存来做交换或者存取数据和指令，现代计算的信息流程是以内存为中心的，这与古典的以CPU为中心不同，内存的访问速度与计算机CPU处理的速度不同，特别是CPU的处理速度比较快，内存读写速度远远低于处理器速度，各种测试说明，内存系统的设计是提高系统性能的关键，设计的不好可能会形成系统瓶颈。所以一般把内存带宽叫做系统带宽，显示了其重要性。内存是所有程序运行的环境，在CPU、I/O和相关系统软件处理能力范围内，一般来说，内存空间越大，服务器事务处理性能也越好。但不同的应用对内存的要求不同，在应用中，为避免出现内存瓶颈，提高系统整体效率，通常把常用的数据上载到内存中，这样来匹配CPU的高速处理。实际应用时，根据实际要求的角度来寻找最佳的配置。3、SMP系统分为两种结构：总线和CROSSBAR结构总线体系：总线用于在CPU、内存、IO之间传输数据，在每一时刻只能处理一个总线访问请求，他的特点是结构简单，成本低，易于实现，大多数PCSERVER的体系就是这样实现的。有很多大型系统也是采用总线形式。CROSSBAR体系：采用交叉交换器来连接CPU、内存、IO，在每一时刻可同时处理多个访问请求，每一个请求都可以通过单独的总线来通讯。所有处理器和和内存模块都通过交叉器对称连接在一起，采用单一的地址空间和均匀内存访问，使用户不必考虑软件使用哪个CPU或者调用哪个内存模块，简化了系统安装和软件的开发、移植。扩展性也比总线好。4、存储和I/O在满足系统存储量之外，在实际应用中，影响系统性能的一个的因素是I/O，而磁盘的I/O能力主要体现在磁盘数据的传输能力和磁盘本身的读写速度两个方面。磁盘数据的传输能力主要体现在存储结构的设计，磁盘的读写速度主要体现在磁盘的转速。5、高速缓存一般是指CPU的CACHE，可以把处理器和内存之间的速度差距缩小到30倍左右，也能缓解系统速度（内存速度）远远小于CPU速度的差距。6、系统的安全可靠性主要体现在主机系统的设计方面，如CPU的保护：CPU上的CACHE采用ECC技术，CPU自动重新分配，自动故障隔离，CPU的冷却系统，CPU冗余电源供应；内存保护：采用chipkill技术，自动重新分配，自动故障隔离等，冗余电源，冗余风扇等。7、系统分区能力系统分区能力体现了一台服务器在应用整合方面的能力。目前主流的Unix服务器系统大都能支持分区技术。从扩展性方面来说，数据库的扩充建议采用垂直扩充方式，即通过增加CPU、内存等方式来实现系统性能扩展。通常，对于一套应用系统来说，会包括1套生产环境、1套开发、培训、测试环境。对于预算充裕的用户，可以对上述4套环境均采用独立的系统来承担。结合到XX区政府的实际需求，本项目只建设2套环境，即一套生产环境，另外将开发、测试环境合并，由一套系统独立承担。功能服务器功能服务系统主要处理用户的各种业务逻辑，通常包括小型数据库、web系统、邮件系统、备份、管理、数据采集、数据交换等。从系统整合的角度出发，本项目建议采用刀片系统或者4路、8路PC服务器，通过服务器虚拟化软件来提高系统的整体利用率。在硬件平台选型方面，用户可以从CPU处理能力、CPU、内存可靠性、产品性价比、操作系统安全性、管理便捷性以及供货商对产品的售后服务响应能力等方面考虑。另外，我们建议采用单独的PC服务器，作为备份管理服务器。服务器高可用设计数据库服务器作为整个信息系统的核心组成部分，其可靠性、可用性直接关系到整个数据中心的可靠性和可用性，因此，这类系统通常采用多节点集群的方式在搭建。简单的说，集群（cluster）就是一组计算机，它们作为一个整体向用户提供一组网络资源。这些单个的计算机系统就是集群的节点（node）。一个理想的集群是，用户从来不会意识到集群系统底层的节点，在他/她们看来，集群是一个系统，而非多个计算机系统。并且集群系统的管理员可以随意增加和删改集群系统的节点。集群系统的良好的性能可扩展性(scalability)。提高CPU主频和总线带宽是最初提供计算机性能的主要手段。但是这一手段对系统性能的提供是有限的。接着人们通过增加CPU个数和内存容量来提高性能，于是出现了向量机，对称多处理机(SMP)等。但是当CPU的个数超过某一阈值，象SMP这些多处理机系统的可扩展性就变的极差。主要瓶颈在于CPU访问内存的带宽并不能随着CPU个数的增加而有效增长。与SMP相反，集群系统的性能随着CPU个数的增加几乎是线性变化的。集群系统的主要优点：1、高可扩展性：如上所述。2、高可用性：集群中的一个节点失效，它的任务可以传递给其他节点。可以有效防止单点失效。3、高性能：负载平衡集群允许系统同时接入更多的用户。4、高性价比：可以采用廉价的符合工业标准的硬件构造高性能的系统。集群主要分为两种：高可用(HighAvailability)集群,简称HA集群。这类集群致力于提供高度可靠的服务。高性能计算(HighPerfermanceComputing)集群，简称HPC集群。这类集群致力于提供单个计算机所不能提供的强大的计算能力。高性能计算集群在本项目中的用处不是很大，这里就不多介绍了，下面主要介绍高可用集群。高可用集群就是采用集群技术来实现计算机系统的高可用性。高可用集群通常有两种工作方式：容错系统：通常是主从服务器方式。从服务器检测主服务器的状态，当主服务工作正常时，从服务器并不提供服务。但是一旦主服务器失效，从服务器就开始代替主服务器向客户提供服务。负载均衡系统：集群中所有的节点都处于活动状态，它们分摊系统的工作负载。一般Web服务器集群、数据库集群和应用服务器集群都属于这种类型。在本项目中，采用容错方式，保证数据库系统的高可用性，如果预算较为充裕，可以考虑采用负载均衡方式，提高业务持续运行能力。系统整合设计我们主要从基础架构整合、应用整合和数据备份及容灾等方面，对XX区政府系统的建设提出规划性质的建议，为以后的系统建设提供参考。系统整合方案概述系统整合大致可以从下列几方面考虑：基础平台整合基础平台的整合通常包括服务器资源整合和存储系统整合两大方面。服务器整合的通常表现就是采用虚拟化技术，将一套性能较强的系统，逻辑的分割为多个相对独立的系统，这样可以将较多的应用整合大较少的物理服务器里面。存储系统整合通常表现为集中存储，采用光纤SAN、IPSAN或NAS等连接技术，将多个业务系统对存储的需求，集中到少数几套、甚至一套存储系统中，实现存储系统的集中管理和调度。此外，通过基础平台的整合，也可以降低对网络连接等基础架构（包括SAN连接和以太网连接端口）的使用需求。应用系统整合应用系统的整合主要包括应用部署进行重新规划、解决Internet地址分配问题和数据库整合三个方面。应用系统部署重新规划，主要是结合服务器虚拟化技术，将多个业务系统进行集中，同时根据业务系统类型，进行合理的资源分配。Internet地址分配问题，主要是由于目前外网IP地址比较紧张，每上线一套系统，如果需要外网IP地址，都需要联系通信部门，这样给系统上线造成一定程度影响，我们可以对应用程序结构进行调整，使得基于B/S结构的应用可以共享极少数外网地址。数据库整合，主要是要对现有的多套小数据库（数据量少、访问量不多）进行合并，降低管理复杂性，减少Oracle等数据库实例的数量。服务器整合方案概述通常，服务器整合有下列几类方式：1、采用大型服务器分区技术，将一台物理的服务器分割成几个较小的单元，给每个单元分配一定量的CPU、内存、I/O卡资源，在上面安装各自的操作系统，组成一定数量的分区，运行不同的应用系统；这类技术的主要表现是IBM的动态逻辑分区技术、HP公司的硬件分区和虚拟分区技术以及Sun公司的动态系统域技术；图示如下：2、基于操作系统虚拟化的分区技术。这类技术的主要表现是EMC公司的VMwareESX、Sun公司的SolarisContainers/基于Hyper-V的虚拟化、HP公司的VirtualMachine、微软公司的Hyper-V/VirtualServer等。图示如下：严格来说，IBM的动态逻辑分区技术和微分区技术也是基于Hyper-V的分区技术，只不过该技术在业界使用相对成熟，我们还是将其归到第一类分区技术里面。第一类分区技术，主要在Unix服务器上实施较多，历史也比较长，技术稳定可靠，但是Unix服务器相对PC服务器，价格还是相对昂贵，所以这类技术的普及率不是很大。第二类分区技术，主要在PC服务器上实施，门槛较低。随着PC服务器性能不断增长，越来越多的用户开始采用虚拟化技术，来整合自己的数据中心。总体来说，虚拟化有如下几点优势：较好的管理;提高资源使用率；降低费用;更多精力专著于业务；简化IT环境；专注于核心业务处理；快速地响应业务的调整和变化；对于XX区政府系统的虚拟化，我们建议在数据库层面，使用第一类虚拟化技术，在业务服务层面（如应用服务器、web服务器等），使用第二类虚拟化技术。存储系统整合方案目前各主要业务系统均使用自身建设时配置的存储空间，而一些业务量较小的系统，则仅仅使用服务器内置硬盘作为存储，鉴于目前存储资源较为分散，我们建议添加一套存储虚拟化设备，将现有的各套存储集中管理，然后将存储资源根据需要分配给各业务系统。另外，考虑到现有存储设备大多已经使用多年，建议另采购一套大容量存储，作为以后业务系统的主要存储空间。如何选择合适的存储产品，可以从数据保护能力、性能、容量、连接性、管理性和附加功能这几个方面来考虑。数据保护能力数据保护能力是指在存储设备的设计方面，对各种偶然性错误和意外情况的预期，以及采取的预防或补救措施。这里，用户需要注意的是，存储系统是一个从软到硬的复杂系统，所以，对数据保护能力的评价应当考虑到整个系统。一些低端磁盘阵列厂商宣称他们的产品由于采用了RAID、热交换磁盘、双电源等技术，数据将永不丢失。对一些中小型用户，这些数据保护技术基本可以满足要求，但是对关键性业务的用户来说，这些技术只能算数据保护的最基本前提。只有对数据完整性的保护，对写缓存的保护，对主机连接的保护以及对远程容灾的支持等方面，才能够体现出存储产品的真正数据保护能力。性能存储产品的性能评价是最容易的，因为这一指标可以被充分量化。对磁盘阵列产品来说，性能指数主要有两个：带宽和IOps（每秒I/O次数）。带宽决定于整个阵列系统，与所配置的磁盘个数也有一定关系；而IOps则基本由阵列控制器完全决定。在Web、E-mail、数据库等小文件频繁读写的环境下，性能主要由IOps决定。在视频、测绘等大文件连续读写的环境下，性能主要由带宽决定。可见，在不同的应用方式中，需要考察的侧重点也不同。对NAS产品来说，主要性能指数也是两个：OPS和ORT，分别代表每秒可响应的并发请求数和每个请求的平均反应时间。对磁带存储设备来说，单个磁带驱动器的读写速度是最重要的性能指标。容量容量是最简单的一个方面，这里需要留意的是，用户不仅要关心产品的最大容量，还要关心厂商推荐使用容量以及扩容成本等问题。而对磁带产品来说，容量决定于磁带纪录格式。因为磁带驱动器都具有硬件压缩功能，所以磁带容量有压缩容量和非压缩容量之分。一般压缩容量按非压缩容量的二倍计算。连接性在SAN环境中，以光纤连接设备为中心，要连接主机、磁盘阵列、磁带库等设备，环境比较复杂。因此在产品选型时，要充分考虑设备间的连接性。选择具有良好的开放性和连接性的产品，不仅是当前系统正常连接和运行的保障，也为系统将来扩展提供更大的空间和灵活性。管理性管理性是任何产品的重要方面之一。首先，用户应考虑产品所提供的管理功能或方式是否实用可靠。其次，支持中心化管理和远程管理的产品一定会令用户省事不少。还有，很多产品的故障自动通知机制给用户带来了方便，但同时也是数据安全的隐患。最后，在配置改变或系统扩容时，不需宕机或尽可能缩短宕机时间，是企业级产品的重要特征。附加功能今天的存储产品，尤其是部门级和企业级的在线存储产品，已经不仅仅是存储数据的盒子，而是一个智能的小型系统。各厂商将很多功能性软件都整合到自己的存储设备中，以向用户提供更好的解决方案。目前，比较常见的附加功能主要有以下几种:数据快照功能、本地卷复制功能、LUNMasking功能、异地数据复制功能等。对于业务系统来说，存储系统可以考虑采用国际品牌，如EMCCX4-480、IBMDS5000、HDSAMS2300或者hp的EVA8400等产品，也可以选择国内的成熟SAN解决方案，如H3C的IX3240，或者华为的S6000等产品。在磁盘系统选型方面，还需要考虑磁盘接口的问题。目前存储系统主流接口包括SCSI、iSCSI、FC、NAS和SAS等几种方式，我们可以根据实际需要进行选择。在具体的产品选择方面，既可以采用SAN+NAS网关的方式，也可以考虑采用独立的一体化存储设备（即光纤接口、NAS接口、IPSAN接口均有），这样，既可以实现SAN的高效率，也可以实现数据在多台服务器之间共享的应用需求，同时实现存储几种管理。在业务系统连接方面，对主要的数据库系统，可以采用FCSAN连接，对边缘业务的数据库系统，可以考虑FCSAN或者IPSAN，也可以考虑NAS连接，对于文件类应用，则可以考虑NAS连接。目前，在主流存储方面，EMC、HP、HDS、IBM以及国产的大多数品牌厂商主要采用SAN+NAS网关的方式，NetApp公司的产品（以及IBM的NS系列产品）主要是一体化设备，华为赛门铁克公司、EMC、HP、HDS等公司也逐步推出了基于SAN存储的一体化解决方案，即在FCSAN存储的基础上，将NAS与IPSAN打包销售。比如，国产的华为S6800存储系统，前端支持16个光纤接口和4个iSCSI接口，既支持前端主机采用光纤SAN连接存储，也支持前端主机采用IPSAN连接存储。服务器与存储的连接，可以用下图来表示：采用这款设备以后，我们可以根据服务器对数据量的需求情况，确定该服务器是通过IPSAN访问存储，还是通过FCSAN来访问存储。通常来说，IPSAN的连接成本（包括SAN交换机和服务器端的HBA卡）要低于FCSAN，这样，我们可以降低投资成本。对于新上线的业务系统，我们建议采用新购的存储作为主存储设备。数据传输与互联方面，中调管理区、公司管理区之间可以实现Web、数据库等正常业务的访问，但是跟Internet之间，最好是以文件形式进行数据交换，如果是业务系统直连，风险较大；如果不同的区域均有存储，可以通过阵列的镜像实现数据的冗余和数据交换。应用结构部署建议从功能角度讲，我们将系统分为四个层次：前端用户、接口服务器、应用服务器和数据库服务器，如下图所示。其中前端用户、应用服务器和数据库服务器都比较好理解。我们这里重点说明接口服务器的使用。在前端用户访问业务系统的时候，他（她）只需要输入如：http://ip:port/应用A或http://ip:port/应用B的URL，接口服务器（或者称为转发服务器）就可以根据URL后面的应用名称，转发到对应的应用服务器上，而前端用户不必理会后端应用服务器是如何部署的。如果用户有新的业务系统需要部署，我们只需要增加应用服务器来支撑新的应用，前端访问接口地址只需要改为形如http://ip:port/应用N的地址即可访问新的应用，而不需要在防火墙做端口映射，或者需要新的IP地址、端口号等资源。对于应用服务器需要用到存储的需求，我们可以在数据库服务器或者接口服务器上，用操作系统提供的文件共享功能，向应用服务器提供存储空间，解决应用服务器存储空间不足的问题。说明：只要接口服务器（网页发布引擎）能逻辑上与后台系统通信，那么所有的三层应用均可共享一套接口服务器；系统分类原则对于需要整合的系统，我们可以根据相关系统的特点，对其进行分类，并根据系统分类，分配资源给相关的应用系统。系统分类可以从下面这些角度考虑：系统安全要求；系统的使用频率；系统对资源的要求（CPU、内存、存储、网络等）；系统对其他业务的影响；系统故障对业务的影响；数据库类的系统，是采用归档还是不采用归档方式运行；在资源分配方面，我们可以考虑下列原则：整体上，根据各业务系统对安全性的要求以及业务系统的重要程度，分为关键系统、一般系统和辅助系统，或者按照其他条件进行分类，总之，这种分类需要体现各类系统的差异性，并将现有的业务系统按照上述分类进行部署改造，同时，以后新建的系统也要根据上述分类进行部署；对于那些使用频率低、对其他业务影响小的系统，我们可以考虑将这些系统通过虚拟机整合到一至两套物理服务器；对那些对系统资源（特别是存储资源）和安全要求较高的系统，我们建议采用独立的物理机器，并通过光纤链路连接存储系统，同时，根据需要，考虑是否采用集群系统；对于数据库类的系统，我们大致可以根据归档或者非归档，对不同的系统进行整合，减少数据库（或数据库实例）的数量，从而减少管理人员工作量；此外，在后续的备份项目中，由于数据库在线备份模块是按照数据库的数量收费的，在环境中减少数据库的数量，也可以在后续项目中降低支出；对于其他一般类型的业务系统，我们可以考虑采用一个虚拟机支撑一个业务系统vLAN划分建议目前所有系统都直接或者间接的连接到2台Cisco6509交换机上，并且通过Cisco6509划分了若干个相对逻辑独立的vLAN，以部署各业务系统。从访问性能和便利性来说，将安全性要求相同的系统部署在同一个vLAN里面，是比较合适的，这样，网络结构也会相对简单；但是考虑到系统之间潜在的互相影响的可能性，将不同类型的系统部署到不同的vLAN里面也是很合理的一种选择，这也是目前vLAN划分的出发点。从系统建设整体考虑，比较理想的情况，是在保证安全要求的前提下，尽可能减少网络中vLAN的数量，特别是服务器区的vLAN数量，尤其是我们在以后建设备份系统的时候，由于很大一部分备份数据需要通过网络来传输，如果vLAN太多，对核心交换机和防火墙的压力是比较大的。系统拓展考虑实现系统整合以后，仍然会有新的业务系统需要部署，这时我们就需要面对系统拓展的问题。在新系统上线时，我们可以根据上文提到的系统分类原则，结合该应用对资源的实际需求，决定是在现有系统上新虚拟一个虚拟机为该应用提供服务，还是需要新增物理节点才能支撑该业务系统。此外，当业务系统对存储有更大需求时，我们可以通过在集中存储系统上扩容磁盘，以满足要求。实施系统整合的好处通过实施系统整合方案，我们可以得到下列好处：减少支持业务所需要的服务器数量。以前，每上线一套业务系统，都需要一台或多台的物理服务器，以保证稳定性和可靠性，这导致大多数的服务器利用率都比较低，且需要为开发、测试和生产系统而维护大量的系统。通过服务器整合，我们可以极大的减少服务器硬件数量，提高服务器资源利用率，降低了在服务器硬件中的花费。同时可以保证系统的可靠性和互不干扰。降低硬件成本。通过减少服务器数量，数据中心可以降低为获得更高支持级别而购买硬件支持合同所带来的花费。我们还可以将在旧式硬件中运行的旧式应用程序移植到运行虚拟化软件的新式服务器中，从而无需为旧式硬件购买高额的扩展支持合同和按事件支持合同。降低数据中心供电和制冷成本。降低数据中心中服务器的数量可以显著降低供电和制冷成本。同时，还可以避免为满足数据中心对供电和制冷要求的不断提高而产生的高额数据中心升级和扩展费用。降低网络和存储等基础设施的成本。由于在同一台物理服务器上运行的虚拟机可以共享网络和存储连接，因此，通过虚拟基础结构整合服务器可以减少所需的网络和存储端口数，这样可以降低SAN和网络交换机、电缆和管理的成本。提高管理效率。服务器虚拟化可以集中、简化和自动化常用的任务，如调配、配置、重新配置和迁移。例如，调配新服务器花费的时间可由数天或数周减少为数分钟。同样，从管理员的桌面只需几分钟的时间，便可以重新配置虚拟机硬件，并能够将虚拟化的工作负载迁移到其他硬件中。通过类似功能实现的效率提高使得我们可以管理越来越多的服务器，而人员预算不需同等快速增长。存储、备份系统采用SAN存储网络SAN代表下一代存储体系结构，其需求源自较新的信息密集的应用。SAN体系结构，建于光纤通道仲裁环(FibreChannelarbitratedloop(FC-AL))技术基础上,与ATM、快速以太网和千兆以太网技术是互补的；其目的在于解除服务器存储的瓶颈。SAN是类似LAN的一种高速网络，用来在存储单元和服务器或客户端之间建立直接连接，专门为数据存储建立单独的通道。鉴于SCSI的局限性，SCSI协议连接采用并行传输来传送数据块，它容易受到干扰和碰撞而产生很差的传输效能，SCSI传输速率20M，即使目前最快的ULTRA320也只能传输到320M；而光纤通道采用光纤通道协议（FC-SW、FC-AL），它将SCSI并行传输转换为连续传输，形成一种数据流来进行高速传输，它不受时钟频率的干扰，最好的传输速率能达到400M、选用SAN体系结构，其具有的可扩展性是DAS结构无法相比的，同时也解决了NAS需要占用大量网络带宽的问题。当然，对于某些特殊应用，可能仍然需要NAS环境，这样，我们可以通过购买一体化存储设备来解决。所谓的存储一体化设备，就是这种存储设备同时支持光纤SAN、IP-SAN和NAS，客户可以根据实际需求，决定选用何种连接方式。存储设备的选型本项目存储设备选型时，可以从性能、可用性、安全性、管理性和可扩展性这几个方面来考虑。高性能采用业界成熟、领先的产品和技术，以确保业务处理的实时性、高效率和高可靠性，降低系统风险。系统的整体效率应有显著提高。存储产品的性能评价是最容易的，因为这一指标可以被充分量化。对磁盘阵列产品来说，性能指数主要有两个：带宽和IOps（每秒I/O次数）。带宽决定于整个阵列系统，与所配置的磁盘个数也有一定关系；而IOps则基本由阵列控制器完全决定。在Web、E-mail、数据库等小文件频繁读写的环境下，性能主要由IOps决定。高效性关键应用要求系统对数据具有高速的访问能力和可持续访问的能力，因此数据系统的设计首先要建立一套高效的存储系统机制，包括采用先进的存储技术，采用先进的存储系统软件。可用性在SAN环境中，以光纤连接设备为中心，要连接主机、磁盘阵列、磁带库等设备，环境比较复杂。因此在产品选型时，要充分考虑设备间的连接性。选择具有良好的开放性和连接性的产品，不仅是当前系统正常连接和运行的保障，也为系统将来扩展提供更大的空间和灵活性。该存储系统须具有广泛的可用性。安全性存储子系统不能有任何单点故障。支持应用系统的cluster高可用热备份软件。此外，存储方案应该具有数据保护机制，采用RAID方式存储。配置双控制器，设备连接采用双光纤存储交换机，服务器与存储之间采用双通道的方式。另外，设备具有冗余电源、风扇等硬件部件。另外，可利用高性能的RAID5或RAID1/0保证数据安全可靠。扩展性为适应信息化今后业务的发展，系统应采取结构化、开放的、易于扩展的体系结构。系统的升级、切换等过程应尽量做到平滑、稳定，最大限度减小对正常业务运营的影响，保证业务的连续性和数据的安全性，并应充分利用现有资源，以保护现有投资尽量不受损害。硬件配置稳定性高、易扩充的磁盘阵列，适应升级以保护现有投资，并保证应用的连续运行。采用先进的存储局域网存储技术，将存储网独立于应用系统，建立合理的存储布局，以使数据在得到高度共享和高速访问的同时，也实现了集中管理和无限扩展。采用光通道存储设备，主机和设备之间采用SAN互连方式，从而具有极强的可扩展性，能最大限度地保护已有投资。管理性为保证数据存储的可管理性，最好能利于多台服务器共享集中管理的磁盘阵列存储器；当硬件数据出现故障时能及时向管理员报告；要能实现数据卷的在线伸缩等等。本项目建议配置一套中高端一体化存储系统，另外配置2套32（或以上）端口SAN交换机，用来扩展主机到存储系统的连接。同时，考虑到现有多套存储系统，如CX500、CX300、CX600、FAS3020等，我们可以添加一套虚拟化存储设备来实时上述各类存储系统的集中管理和利用，即将存储资源充分的“池”化，各业务系统可以通过连接到存储虚拟化设备，根据需要，透明的使用存储资源。备份系统备份系统的重要性在实施数据中心系统以后，相关业务系统成为XX区政府的核心系统，作为系统的核心，信息数据的重要性不言而喻，保护这些关键数据并加以合理的利用，是整个信息系统正常运行的基石。建立完备的生产信息数据保护系统，是整个计算机系统建设中最重要的问题之一。对数据的保护，有多种方法，备份是其中最基本、最有效、也是最普遍的一种。对计算机系统进行全面的备份，并不只是拷贝文件那么简单。一个完整的系统备份方案，应包括：备份硬件、备份软件、日常备份制度（BackupRoutines）和灾难恢复措施（DRP：DisasterRecoveryPlan）四个部分。选择了备份硬件和软件后，还需要根据自身情况制定日常备份制度和灾难恢复措施，并由管理人员切实执行备份制度，否则系统安全将仅仅是纸上谈兵。备份管理系统的基本要求对数据进行备份是为了保证数据的一致性和完整性，消除系统使用者和操作者的后顾之忧。不同的应用环境要求不同的解决方案来适应，一般来说，一个完善的备份系统，需要满足以下原则：稳定性备份产品的主要作用是为系统提供一个数据保护的方法，于是该产品本身的稳定性和可靠性就变成了最重要的一个方面。首先，备份软一定要与操作系统100%的兼容，其次，当事故发生时，能够快速有效地恢复数据。全面性在复杂的计算机网络环境中，可能会包括了各种操作平台，如各种厂家的UNIX、NetWare、WindowsNT、VMS等，并安装了各种应用系统，如ERP、数据库、群件系统等。选用的备份软件，要支持各种操作系统、数据库和典型应用。自动化很多系统由于工作性质，对何时备份、用多长时间备份都有一定的限制。在下班时间系统负荷轻，适于备份。可是这会增加系统管理员的负担，由于精神状态等原因，还会给备份安全带来潜在的隐患。因此，备份方案应能提供定时的自动备份，并利用磁带库等技术进行自动换带。在自动备份过程中，还要有日志记录功能，并在出现异常情况时自动报警。高性能随着业务的不断发展，数据越来越多，更新越来越快，在休息时间来不及备份如此多的内容，在工作时间备份又会影响系统性能。这就要求在设计备份时，尽量考虑到提高数据备份的速度，利用多个磁带机并行操作的方法。操作简单数据备份应用于不同领域，进行数据备份的操作人员也处于不同的层次。这就需要一个直观的、操作简单的图形化用户界面，缩短操作人员的学习时间，减轻操作人员的工作压力，使备份工作得以轻松地设置和完成。实时性有些关键性的任务是要24小时不停机运行的，在备份的时候，有一些文件可能仍然处于打开的状态。那么在进行备份的时候，要采取措施，实时地查看文件大小、进行事务跟踪，以保证正确地备份系统中的所有文件。维持业务系统的有效性实时备份对业务系统的性能将会产生一定的影响，有时会很大。如何采取有效的技术手段避免备份对服务器系统、数据库系统、网络系统的影响，将是非常重要的。容灾考虑将磁带库中的磁带拷贝一份，存放在远离数据中心的地方，以防数据中心发生不可预测的灾难。备份系统的组成一个完整的数据备份与恢复系统有三部分组成：执行备份的磁带机/磁带库/磁盘系统磁带机/磁带库/磁盘系统的质量与性能在整个备份过程中是至关重要的，它是能否进行高速高质量备份的关键所在。存储备份数据的介质介质是数据的负载物，它的质量一定要有保证，使用质量不过关的介质无疑是拿自己的数据冒险。控制备份的软件优秀备份软件包括加速备份、自动操作、灾难恢复等特殊功能，对于安全有效的数据备份是非常重要的。在本项目中，我们采用备份软件＋磁带库的方式来建设备份管理系统。将来根据应用的需要，逐步采用备份软件＋磁带库＋二级磁盘系统的方式来建立备份系统。最后建立远程的容灾系统。备份策略本项目备份策略的制定涉及内容：在什么时间（备份时间，如下午6:00）将什么数据（备份内容，如his数据）以什么方式（备份方式，如全备份或增量备份）备份到哪一个磁盘组（备份目的地，如：StoragePoolforhis）在本项目系统中，最重要的是对于数据库系统的备份，采用归档和在线备份二种方式相结合，由于归档记录了对数据库的所有操作，这样能保证数据库失败时没有被提交的所有数据的恢复。对数据库的在线备份建议每天做一次增量备份，每周进行一次全备份。对于归档建议采用自动方式进行。在本周末进行全备份后，再将上一周的全备份删除。每天增量备份的好处是减少了备份时间，提高了备份速度，可对每天的增量数据管理。将备份操作安排在业务较少的夜间进行是为了尽可能减少备份操作对业务的影响，如占用网络和CPU资源。每周全备份的好处是备份了所有数据，当发生系统灾难时，可以在最短的时间内完全恢复所有数据。对中间件服务器的文件系统备份，我们可以采用全备份和增量备份相结合的方式，每周一次全备份，其它时间增量备份。在我们对每一组数据、数据库都根据需要定义好备份策略后，系统就会自动的按照我们定义的时间、方式、将需要备份的数据备份到我们指定的带库中去。而备份的方式可以分为三种：全备份、增量备份、累计增量备份。全备份：全备份每次都备份定义的所有数据，优点是恢复快，缺点是备份数据量大，数据多时可能做一次全备份需很长时间增量备份：增量备份每次只备份自上一次备份以来更新的所有数据，其优点是每次备份的数据量少，缺点是恢复时需要全备份及多份增量备份累积增量备份：累积增量备份每次备份自上一次全备份以来更新的所有数据。根据不同类型的备份节点，我们可以结合这三种方式灵活应用。比如：对于数据量少的备份节点时，我们可以每次都用全备份方式备份该的数据，这样在恢复时，只需要指定一个数据源即可。对于数据量较大的节点，如果每天作全备份，效率会很低。我们可以结合全备份和增量备份方式。比如每星期作一次全备份（如星期天），其它时间，每天作一个增量备份（如:星期一到星期六）。恢复时，只要依次恢复最多七个备份介质即可。（如：上周日、星期一、星期二...，直到出事前一天的数据。）对于数据量特别大的备份节点，每星期作全备份对系统的压力也会很大。这时，我们可以结合全备份、累计增量备份、增量备份三种方式，提供相对效率高，恢复有快的备份手段。比如每个月作一次全备份（如每月初），然后每星期日作一次累计增量备份，其它时间，每天作一次增量备份。恢复时，先恢复月初的全备份，再恢复上周日的累计增量备份，在依次恢复以后每一天的增量备份，如星期一、星期二...，直到出事前一天的数据。（最多恢复8份数据，相对的如果不采用累计增量备份方式，恢复时最多可能需要恢复31份数据，恢复速度和复杂程度都会不理想）。在本项目中，对数据库的在线备份每天做一次增量备份，每周进行一次全备份。在本周末进行全备份后，再将上一周的全备份删除。每天增量备份的好处是减少了备份时间，提高了备份速度，可对每天的增量数据管理。将备份操作安排在业务较少的夜间进行是为了尽可能减少备份操作对业务的影响，如占用网络和CPU资源。每周全备份的好处是备份了所有数据，当发生系统灾难时，可以在最短的时间内完全恢复所有数据。负载均衡系统随着网络业务的不断发展，为网络提供服务的应用服务器承担的处理任务越来越多，单台服务器的处理能力毕竟是有限的，我们希望使用多台服务器运行相同的服务，采用4-7层的交换技术使每台服务器的负载得以均衡，从而使得系统持续提供具有高性能的服务。在WEB服务器群的前端，配置两台负载均衡系统，同时具备海量扩展能力。负载均衡系统以串接在三层交换机的两个不同VLAN之间，需要均衡的流量需要通过VLAN流经负载均衡系统处理，负载均衡系统以代理方式与后台应用服务器进行通信。通过负载均衡系统中具有丰富的负载分担算法，能够满足各种各样的应用需求。可以实现动态分配每一个应用请求到后台的服务器，并即时按需动态检查各个服务器的状态，将下一个请求分配给最有效率的服务器，当任何服务器或应用程序不能正常提供服务时，负载均衡系统能够检测到，并将会把接下来的访问请求分配给其它服务器，从而避免了由于后台某个服务器或应用的问题而影响了整个信息系统应用服务的提供。通过负载均衡功能，负载均衡系统可以智能寻找最佳服务器从而保证客户得到响应最快服务器所提供的最佳服务。同时结合负载均衡系统服务负载分担功能中所特有的性能增强功能的应用（如连接复用技术），能够在相同应用平台的基础上，从响应速度和响应用户量等方面最大程度得提高信息系统应用平台的处理能力，在减小对后台服务器的负载的同时减小了后台服务器遭受应用攻击的可能。负载均衡系统通常支持地址翻译技术和安全地址映射功能，通过默认情况下此技术的实现，访问客户不可能知道真正提供的服务器的IP地址与端口。同时，通过负载均衡系统中的4、7层自我保护的功能的应用，能够按需实现对产品及应用的安全防护，另外，负载均衡系统的管理通常采用SSH和SSLoverHttp技术，可以防止来自内部或互联网上的攻击。在负载均衡系统的解决方案中，在应用负载均衡功能的同时，通过结合负载均衡系统性能增强功能的应用，如Http压缩功能，Cache功能等，能够极大地减小用户访问Web页面等待时间，减小对带宽的消耗，在减小对后台服务器的负载的同时减小自身设备遭受应用攻击的可能，有针对性的提高了网上系统的用户响应速度。容灾系统建设规划概述本节介绍的容灾以及3.2节所阐述的数据备份都属于数据安全的范畴。容灾相对于传统的数据备份来说，在对灾难的响应速度方面要优于纯粹的数据备份。在主站点系统出现故障以后，容灾系统能够立即启用，从而减少了业务系统的业务中断时间。而对于数据备份方案，则要先对主站点的系统进行必要的恢复，然后才能启用该站点。在这里，我们就不对容灾和备份的必要性进行过多的说明了。下面我们简单介绍一下两个常见的容灾术语：RPO和RTO。RPO（RecoveryPointObjective）：即数据恢复点目标，主要指的是业务系统所能容忍的数据丢失量。RTO（RecoveryTimeObjective）：即恢复时间目标，主要指的是所能容忍的业务停止服务的最长时间，也就是从灾难发生到业务系统恢复服务功能所需要的最短时间周期。RPO针对的是数据丢失，而RTO针对的是服务丢失，二者没有必然的关联性。RTO和RPO的确定必须在进行风险分析和业务影响分析后根据不同的业务需求确定。对于不同企业的同一种业务，RTO和RPO的需求也会有所不同。RTO(RecoveryTimeObjective)RTO，RecoveryTimeObjective，是指灾难发生后，从I/T系统宕机导致业务停顿之刻开始，到IT系统恢复至可以支持各部门运作，业务恢复运营之时，此两点之间的时间段称为RTO。一般而言，RTO时间越短，即意味要求在更短的时间内恢复至可使用状态。虽然从业务的角度而言，RTO时间越短越好，但是，这同时也意味着更多成本的投入，即可能需要购买更快的存储设备或高可用性软件。对于不同行业的企业来说，其RTO目标一般是不相同的。即使是在同一行业，各企业因业务发展规模的不同，其RTO目标也会不尽相同。RTO目标的确定可以用下图来说明：如上所说，RTO目标越短，成本投入也越大。另一方面，各企业都有其在该发展阶段的单位时间赢利指数，该指数是通过业务冲击分析（BIA-BusinessImpactAnalysis）咨询服务，以交谈、问答和咨询的方式得到确定的。在确定了企业的单位时间赢利指数后，就可以计算出业务停顿随时间而造成的损失大小。如上图，结合这两条曲线关系，我们将可以找到对该企业而言比较适合的RTO目标，即在该目标定义下，用于容灾的投入应不大与对应的业务损失。RPO(RecoveryPointObjective)RPO，RecoveryPointObjective，是指从系统和应用数据而言，要实现能够恢复至可以支持各部门业务运作，系统及生产数据应恢复到怎样的更新程度。这种更新程度可以是上一周的备份数据，也可以是上一次交易的实时数据。与RTO目标不同，RPO目标的确定不是依赖于企业业务规模，而是决定于企业业务的性质和业务操作依赖于数据的程度。因此，RPO目标对相同行业的企业而言会有些接近，而对于不同行业的企业来说仍可能会有较大差距。RPO目标仍是以咨询的方式，通过与各业务部门主管的交流，了解业务流程和IT应用的关系，以及通过回答问卷的方式，确定能够支持该企业核心业务的RPO目标。容灾系统的规划容灾系统规划的主要目的是为以后的方案设计和实施提供依据，我们主要的工作在于和客户共同合作，通过座谈和问答卷等形式进行沟通，对客户的业务进行风险评估（RA）和业务影响分析（BIA）。根据客户提供的信息，还要建立关键业务的流程关系，找到最关键的业务系统及其支撑系统，制定出可行的恢复时间目标（RTO）和恢复点目标（RPO）。风险评估（RA）RA的目的是针对当前核心业务流程，系统环境和所存在的潜在风险确定系统可恢复能力级别（levelofrecoverability），确定当前业务环境中的客观存在的威胁（threat）和薄弱环节（vulnerability），提供在现有条件下，降低风险和改进薄弱环节的建议，提供改善可恢复能力级别的有效方案。一般来说，人们可将灾难分成下面几个类型：自然灾难（洪水、飓风、地震），外在事件（电力或通讯中断）、技术失灵（电脑宕机或网络受损）及设备受损（火灾）等，由于商业系统会因为计算机系统和网络的紧密连接而受到很大影响，企业蒙受的冲击及财务损失可能如同灾难本身一样可怕。因而，无论导致网络瘫痪的原因是地震，还是磁盘失效，容灾系统都可以帮助人们将损失降低到最小。在本文中，灾难的定义主要是指自然的和人为的灾难，包括系统硬件，网络故障，机房断电甚至火灾地震，例如台湾的台北大地震导致该区域内建筑及大部分机器均遭到严重破坏。而灾难发生从而引发的系统崩溃的损失可能导致生产停顿，失去客户以及减少定单、收入。用户业务系统可能面临多种风险和可能的灾难因素，从类型上可以大致分为自然灾害和人为因素；从发生的概率看可以分为比较可能，可能，和基本不可能。分析各种风险是制定相应的容灾策略以预防或尽可能降低灾难影响的基础。根据我们的经验，对可能发生的灾难归纳如下：比较可能可能基本不可能恐怖事件（炸弹威胁，爆炸，挟持人质等）气候灾难（暴风雪，严寒等）核战/战争建筑物倒塌城市事件（罢工，动乱等）人为过失/故意破坏（对公司不满的员工，外部黑客，计算机病毒等）工作场所的环境紧急事件（化学污染等）气候灾难（台风，洪水等）地震设备/硬件/系统故障流行疾病业务应用软件故障社会性恐慌火灾基础设施故障（网络，通信，电力，空调，通风等）以上列出的是灾难因素分析仅作一般性参考，根据用户的具体情况（地理，人文，社会服务环境等），有待进一步针对性地细化。容灾系统的定义及启动判断根据有关信息，目前发生过的灾害主要有停电、数据库崩溃，最可能的灾害主要有火灾可能导致数据中心长时间瘫痪（一般必须进行容灾切换），其他导致业务停顿的常见故障有电源发生故障、软硬件故障、消防系统和空调系统等机房环境告警、以及一些人为因素误操作（一般在可忍受的时间内本地修复）。灾难种类发生概率影响损失影响范围可能的业务中断或业务损失抵御的方法大型地震0.510080数据中心全部业务中断，数据大量丢失远程容灾站点数据备份火灾15010数据中心业务中断远程容灾站点备份应用系统和冗余网络接入停电310~5010数据中心业务中断冗余电源供应（UPS或者多电源接入）数据库崩溃1305数据中心业务中断从备份中取回数据部分硬件故障530~505数据中心部分业务中断增加硬件冗余度，使用集群技术和数据复制技术等等以上只是我们简单列举出的对部分灾难的分析。公司在XX区政府进行容灾系统建设的前期，会根据实际情况进一步细化和深入分析可能的灾害。业务影响分析（BIA）BIA是用以确定当不可预见的故障或灾害发生时，给经济上和业务操作上所造成的影响的完整分析方法和流程．通过确定各个业务流程的上下文关系，找到最关键的业务流程链，根据关键链中的业务可能发生的概率和影响，确定关键业务，确定当在预定的时间内无法正常运行时，对业务影响最大的关键业务流程及其损失；明确对业务所造成的经济和操作上的影响。业务影响的确定标准可分为定量（quantitative）的和定性的（qualitative）两种。定量的计算方法可以被表示成一个数字，一个公式例如ALE(年度化的损失公式)，最简单的计算公式可以列成以下形式：B=f×(E－e)-c其中， f代表灾难发生频率 E代表不加控制的灾难损失 E代表控制下的灾难损失 B代表受益 c代表维持控制的费用本公式仅表示出了最简单的一种计算方法，在实际的分析中可能会采用更复杂的计算方法。实际的业务影响还有很多是无法定量计算的，例如对投资人的投资兴趣影响、对客户忠诚度的影响，品牌形象的损失等等，这些大多可以归类为定性分析。我们为XX区政府进行BIA将依据成熟的方法论，从确定需要考虑的应用系统入手，进行数据收集和分析，最终得出结论并提出建议。对于这一方法论的一个高度概括的描述如下：确定标准可承受的损失明确业务功能的关键性确定风险／威胁确定收集数据的方法设计问卷进行访谈进行后续的追加访谈分析数据验证数据和初步的结论根据发现和建议形成报告向XX区政府汇报得到XX区政府的认可容灾系统备份和恢复技术步骤容灾技术方案对应着七个理论级别：7TiersforDisasterRecoverySolution，是指根据国际标准SHARE78的定义，容灾技术方案可以根据以下主要方面所达到的程度而分为七级，备份/恢复的范围灾难恢复计划的状态应用站点与备援站点之间的距离应用站点与备援站点之间是如何相互连接的数据是怎样在两个站点之间传送的允许有多少数据被丢失怎样保证更新的数据在备援站点被更新备援站点可以开始备援工作的能力从低到高有七种不同层次的灾难恢复解决方案。如下图所示，该七个理论级别的容灾的技术方案分别是：Tier1-PTAM“卡车”运送访问方式(PickupTruckAccessMethod)Tier2-PTAM卡车运送访问方式+热备份站点(PTAM+Hotsite)Tier3-电子链接方式(ElectronicVaulting)Tier4-数据库镜像和日志方式(Batch/OnlineDatabaseShadowing&Journaling)Tier5-两点两阶段提交(Two-SiteTwo-PhaseCommit)Tier6-无数据丢失(ZeroDataLoss)Tier7-无数据丢失和应用自动切管（ZeroDataLoss+AppAutomatictakeover）以上七个理论级别的容灾的技术方案的特点和区别，可以参照如下描述：RTORPO灾备中心备份方式数据更新/恢复主机Tier172hrs以上24hrs无磁带磁带关机Tier224-72hrs24hrs专有的磁带磁带关机Tier312-24hrs文件级专有的电子文件，定时的活动Tier44-12hrs日志级专有的电子文件或日志，时间段活动Tier5<60min交易级专有的电子数据，软件活动Tier6<60min交易级专有的电子数据，系统/硬件活动Tier7<60min交易级专有的电子数据，系统/硬件活动Tier1-PTAM“卡车”运送访问方式(PickupTruckAccessMethod)Tier1的灾难恢复方案必须设计一个严格的数据备份方案，能够备份所需要的信息并将它递送存放在异地，然后根据恢复的具体需求，有选择地建立备份平台，但不提供数据处理的硬件。PTAM是一种被用于许多中心的备份的标准的方式，数据在完成写操作的一些时候，将会被送到远离本地的地方，同时准备有数据恢复的程序。在灾难发生后，一整套安装需要在一台未开启的计算机上重新完成。系统和数据可以被恢复并重新与网络相连。这种灾难恢复方案相对来说成本较低(仅仅需要传输工具的消耗以及存储设备的消耗)。但同时有这样的问题，那就是难于管理，即很难知道什么样的数据在什么样的地方。Tier2-PTAM卡车运送访问方式+热备份站点(PTAM+Hotsite)Tier2相当于Tier1再加上热备份中心能力的进一步的灾难恢复。热备份中心拥有足够的硬件和网络设备去支持关键应用的安装需求，这样的应用是十分的关键的，它必须在灾难发生的同时，在异地有与生产环境相类似的硬件提供支持。这种灾难恢复的方式依赖于PTAM方法去将日常数据放入仓库，当灾难发生的时候，数据再被移动到一个热备份的中心。虽然移动数据到一个热备份中心增加了成本，但却明显降低了灾难恢复时间。Tier3-电子链接方式(ElectronicVaulting)Tier3是在Tier2的基础上用电子链路取代了卡车进行数据的传送的进一步的灾难恢复。接收方的硬件必须与主中心物理地相分离，在灾难发生后，存储的数据用于灾难恢复，由于热备份中心要保持持续运行，增加了成本。但消除了传输工具的需要，提高了灾难恢复速度。Tier4-数据库镜像和日志方式(Batch/OnlineDatabaseShadowing&Journaling)Tier4是在Tier3的基础上，以数据库远程备份为基础。灾难恢复具有两个中心同时处于活动状态并管理彼此的备份数据，允许备份行动在任何一个方向发生。接收方硬件必须保证与另一方平台物理地分离，在这种情况下，工作负载可能在两个中心之间分享，中心1成为中心2的备份，反之亦然。在两个中心之间，彼此的在线关键数据的拷贝不停地相互传送着。在灾难发生时，需要的关键数据通过网络可迅速恢复，通过网络的切换，关键应用的恢复也可降低到小时级。Tier5-两点两阶段提交(Two-SiteTwo-PhaseCommit)Tier5在Tier4的基础上管理着被选择的数据(根据单一commit的范围在本地和远程数据库中同时更新数据)，也就是说，在更新请求被认为是满意之前，Tier5需要生产中心与备份中心的数据都被更新。我们可以想象这样一种情景，数据在两个中心之间相互映象，由远程two-phasecommit来同步。Tier5为关键应用使用了双重在线存储，在灾难发生时，仅仅传送中的数据被丢失，恢复时间被降低到分钟级。Tier6-无数据丢失(ZeroDataLoss)Tier6可以实现零数据丢失率，同时保证数据立即自动地被传输到恢复中心。Tier6被认为是灾难恢复的相当高的理论级别，通过使用文件系统或存储硬件底层的数据同步/异步镜像功能，保证数据的实时一致性和完整性。Tier7-无数据丢失和应用自动切管（ZeroDataLoss+AppAutomatictakeover）Tier7在Tier6的基础上，在本地和远程的所有数据被更新的同时，利用了双重在线活动的主机，备份数据和完全的网络切换能力，实现应用程序的实时监控和接管。Tier7是灾难恢复中最昂贵的方式，但也是需人工干预最少，速度最快的恢复方式。容灾系统响应流程建立了容灾中心，系统维护的工作量增加很多。很多单位忽视了需要增加相应的专职工作人员，系统切换人员没保证。当发生灾难时，需要有人作出是否启用容灾中心的决定以及进行容灾系统切换及回切工作。在平时，需要有人组织和完成日常管理、预警、演习、测试、培训等工作。容灾需要有一个包括决策组、执行组、行政组的完整组织机构。出现紧急情况的时候，执行组成员应迅速根据事态的发展作出正确判断并及时向决策组报告，同时建议最佳解决方案。决策组作出是否启用容灾中心的决定。决策组一般是由单位分管相关工作的领导牵头组成，相关部门负责人作为组员。执行组成员一般由各个部门的技术、业务经验丰富的工作人员担任，可以专职或兼职，但是专职人员不得少于一定数量。执行组应由专职技术人员，如：主机管理员、存储管理员、网络管理员、数据库管理员、中间件管理员、机房环境管理员、值班管理员等组成。执行组负责容灾系统的日常维护，演习、预警、灾难恢复期间的系统方面的灾情的评估、切换/回切的具体操作等。行政管理组负责为其他职能部门作好所需的后勤保障工作，包括运输、安全保卫、资金、人员调配、信息发布和公共关系等。一般由具有足够资源调度授权的经理担任组员，如负责运输、财务、人事、安全保卫、公共关系相关人员、外部服务商、供应商联络人员、行政助理等。在组织建设中，还需要编制容灾组织结构职责及通知手册，应至少包含以下内容：各组成员及集成商、设备供应商、各个工作人员的联系方式以及优先次序，确定有效确认通知手段、后备人员等。容灾系统测试演练计划容灾演练为计划内的切换，主要包括两种需求，一种是为容灾演练的切换和回切，另一种是当生产系统为了进行计划内的硬件维护，而临时将应用切换到灾备系统，等生产系统维护结束后，还可试运行一段时间，确认运行稳定后，再把应用切换回来。这段时间里，应用不需要停机，且应用对数据库的所有操作，均可以通过灾备数据库重新复制回生产系统。整个过程可分为两个阶段：生产系统到灾备系统的切换生产系统到灾备系统的切换，主要包含以下几个步骤1、停止应用程序，确认数据库不会再有修改；2、在源端终止业务系统，确认目标端进程停止，队列中的所有数据都已经传输到目标端；3、在目标端激活一个反向的配置文件，并停止容灾数据库上的export进程；4、将应用程序的数据库联接改到目标端数据库，并启动应用程序；5、整个切换过程完成。灾备系统到生产系统的切换当生产系统维护结束后，将应用程序切换回生产系统，需要以下几个步骤：1、启动源系统的数据库和容灾进程；2、启动容灾端的export进程，让积累在队列文件中的数据传输到目标端；3、确认容灾端积累的队列都已经加载到源数据库中，并确认原系统数据库已经运行正常；4、当队列中没有积累的数据时，在容灾端停止应用程序；5、在容灾端终止业务操作，确认队列中数据已经全部传输到生产系统，且生产系统的Post进程已经停止；6、停止灾备系统的复制链路，启动灾备系统的post进程；7、将应用的数据库联接修改为生产系统数据库，并启动应用程序8、整个回切过程完成数据损失计划内的切换过程，不会有任何数据损失。切换演练的步骤，与计划内的切换完全相同。容灾系统计划维护管理在信息系统的容灾方案实施上线以后，未来的容灾复制链路维护和突发的异常情况处理措施，主要包括以下几个方面：情况状态对容灾系统对生产系统容灾链路维护预防措施网络中断复制链路暂时中断，复制数据在磁盘缓存，数据消息完整没有影响不需人工干预，网络恢复后容灾链路自动恢复正常监控网络状态，发现中断后立即排查解决网络拥挤复制速度降低没有影响不需人工干预，如果拥挤情况持续，需要评估复制效率不需人工干预，发现拥挤后立即排查解决数据库实例停止没有影响业务系统暂停不需人工干预重启后自动恢复监控数据库状态数据库监听器停止没有影响业务系统暂停不需人工干预重启后自动恢复监控数据库状态操作系统宕机器没有影响业务系统暂停不需人工干预重启后自动恢复监控系统状态复制进程被Kill没有影响没有影响不需人工干预后自动恢复监控进程状态磁盘阵列全部损坏复制链路暂时中断业务系统暂停不需人工干预磁盘修复后恢复正常磁盘阵列需要冗余备份系统掉电没有影响业务系统暂停不需人工干预重启后自动恢复监控系统状态业务程序异常停止没有影响业务系统暂停不需人工干预监控业务程序进程状态归档日志磁盘空间占满没有影响业务系统暂停不需人工干预监控归档日志文件系统空间复制队列磁盘空间占满复制链路暂时中断没有影响需要清理磁盘空间后，链路自动恢复正常监控磁盘文件系统空间数据库表空间占满没有影响业务系统暂停不需人工干预监控数据库空间使用情况容灾系统效果示意图系统运行维护方案IT运维管理体系在信息系统搭建完成后更重要的是系统的运行和维护管理。需要通过对网络、系统的良好的运行维护来保证各项应用的顺畅运行。建议参考行业标准ITIL/ISO20000标准构建运维服务体系，充分借鉴国际化标准的IT服务管理最佳经验，做好系统的运行和维护管理。建议建立一套基于ITIL的运维管理体系，作为网络系统运维服务的管理基础，保证信