医院容灾解决方案

医院容灾方案容灾解决方案上海金仕达卫宁软件股份有限公司二0一一年七月

目录1 系统及数据安全的重要性 22 传统的容灾方式及容灾技术指标 42.1 传统的容灾方式 42.2 容灾方案的技术指标 52.3 容灾的核心问题 53 数据库系统容灾解决方案 63.1 建设目标 63.1.1 为关键业务系统构建容灾机制 63.1.2 持续保护核心业务数据 63.1.3 增量镜像减少对生产主机的性能影响 63.1.4 无需增加昂贵的硬件设备投入 73.2 复制容灾策略 73.2.1 定时全量复制，保障容错 73.2.2 实时增量复制，保障容灾 83.3 浪擎·镜像系统架构和工作原理 83.3.1 应用架构 83.3.2 基于事务的逻辑数据复制工作原理 103.4 与其他基于存储层复制技术的比较 154 容灾系统部署及措施 154.1 建设目标 154.2 需要部件配置 154.3 应用部署 164.4 容灾启用时采取的措施 175 置预算 176 本方案特色 186.1 备用端可查询 186.2 高性价比 186.3 方便灵活 186.4 高效率、低负载 186.5 基于Web的任务监控和配置管理 186.6 全方位的复制包含各种数据类型 186.7 灾难恢复 196.8 可选择性复制 196.9 更低成本的容灾方案 19系统及数据安全的重要性随着医院各项业务系统信息化，数字化进程的发展，数据越来越成为医院日常运作的核心决策发展的依据。由于网络的发展，网络安全也越来越引起人们的重视，归根到底网络安全的核心也就是数据的安全。有机构研究显示：丢失300MB的数据对于市场营销部门就意味着13万元人民币的损失。对财务部门就意味着16万的损失，对工程部门来说损失可达80万。而企业丢失的关键数据如果15天内仍得不到恢复，企业就有可能被淘汰出局。如CIH和爱虫等病毒给国际社会造成损失多达数十亿美金。国内有客户误删有效数据由于没有备份造成停业手工重新录入，给企业造成损失数十万元。这种教训在国内时有发生，这都说明了保证信息数据安全的重要性.医院信息系统安全防护措施的制定和实施是保证医院信息系统的稳定性、可靠性、安全性、可用性的利器。目前医院网络系统覆盖全院的每个部门，涵盖病人来院就诊的各个环节，几百台计算机同时运行，支持各方面的管理，成为医院开展医疗服务的业务平台，医院信息系统的安全性直接关系到医院医疗工作的正常运行，一旦网络瘫痪或数据丢失，将会给医院和病人带来巨大的灾难和难以弥补的损失。因此，医院计算机网络系统的安全工作非常重要，特别是核心业务数据库服务器系统的安全，必须制定周密的安全维护措施，以确保医院计算机网络系统持久、稳定、高效、安全地运行。对数据库安全的威胁或侵犯大致可以分为以下几类:自然灾害:自然的或意外的事故,灾难,例如地震,水灾,火灾等导致的硬件损坏,进而导致数据的损坏和丢失.人为疏忽:由授权用户造成的无意损害,特别在批处理作业的情况下.恶意破坏:存心不良的编程人员,技术支持人员和执行数据库管理功能的人员的破坏,毁损及其他行为.犯罪行为:盗窃行为,监守自盗,工业间谍,出卖公司秘密和邮件列表数据的雇员.隐私侵害:不负责任的猎奇,竞争者查看数据,为政治和法律目的获取数据诸如此类的事件都有可能随时在我们的身边发生。那么在这些事故导致的后果是什么呢？至少，我们很难想象这么不幸的医院还能正常的为患者服务。因为在这个信息化的社会，信息往往是维持医院正常工作的基础保证。所以我们该如何避免医院信息遭到破坏，该如何避免信息灾难的发生，已经列入每位医院领导所考虑的重要议程。面对医疗信息化建设的快速发展，如何应对医院信息系统出现的各种意外故障，如何提高医院抗风险能力和应对突发事件的能力?通过对医疗市场分析和医疗领域所提出的种种规范可以得出医疗行业对容灾系统的要求有如下几点：容灾系统必须保证医院各业务系统能不间断运行。容灾系统不能影响医院各业务系统的运行状态。必须改变传统冷备份的先天不足。保证数据的准确性、安全性、冗余性。当灾难发生时，容灾系统必须能全面，快速的恢复业务系统。特殊地区容灾需要做到异地容灾，保证数据安全。容灾系统的备用系统必须为可用系统，备用数据必须为可用数据。容灾系统数据必须保证与生产系统数据实时同步。传统的容灾方式及容灾技术指标传统的容灾方式1.数据备份是数据容灾的基础备份是指为防止系统出现操作失误或系统故障导致数据丢失，而将全系统或部分数据集合从应用主机的硬盘或阵列复制到其它的存储介质的过程。数据备份是数据高可用的最后一道防线，其目的是为了系统数据崩溃时能够快速的恢复数据。虽然它也算一种容灾方案，但这种容灾能力非常有限，因为传统的备份主要是采用数据内置或外置的磁盘机进行冷备份，备份磁盘同时也在机房中统一管理，一旦整个机房出现了灾难，如火灾、盗窃和地震等灾难时，这些备份磁盘也随之销毁，所存储的磁盘备份也起不到任何容灾功能。2.双机热备的备份方式面对灾难各大容灾厂商首先所提出的容灾解决方案就是双机热备技术。双机热备技术是基于应用切换的原理即整个容灾系统由两套业务系统和共享一个存储阵列所构成。一但主服务器出现异常或故障，备份服务器立刻接管主服务器的应用。也就是目前通常所说的active/standby方式，主要通过纯软件切换的方式实现双机容错。因为两台服务器共享一个磁盘阵列上的数据，所以当磁盘损坏的时候就造成两台服务器都不可用，这样就达不到容灾的效果。而且通过纯软件来切换的话存在误切换的情况，就是当主服务器还是正常的时候就把业务系统的连接切换到备用服务器上，这就会造成业务系统的暂时停顿等问题。3.双机双存储双机双存储即在双机热备的基础上增加一套存储，实现应用层的切换和底层数据的不间断复制。其工作原理与双机热备类似。数据库若要能够正常启动，必会先检测其数据文件，日志文件，控制文件等一系列文件的完整性，才可以正常启动。对于双机双存储的存储层复制来说是文件层复制，他们无法做到检测数据的一致性，一旦双机双存储发生的是逻辑错误时，无论是主服务器还是备用服务器都将无法启动。4．容灾不是简单备份真正的数据容灾就是要避免传统冷备份的先天不足，它能在灾难发生时，全面、及时地恢复整个系统。容灾按其容灾能力的高低可分为多个层次，例如国际标准SHARE78定义的容灾系统有七个层次：从最简单的仅在本地进行磁盘备份，到将备份的磁盘存储在异地，再到建立应用系统实时切换的异地备份系统，恢复时间也可以从几天到小时级到分钟级、秒级或0数据丢失等。容灾系统的目的在于保证系统数据和服务的“在线性”，即当系统发生故障时，仍然能够正常地向网络系统提供数据和服务，以使系统不致停顿。而容灾备份技术的目的与此并不相同，备份是“将在线数据转移成离线数据的过程”，其目的在于应付系统数据中的逻辑错误和历史数据保存。所以，在各种容错技术非常丰富的今天，备份系统仍然是不可替代的。容灾方案的技术指标1．RTO（RecoveryTimeObject）：是指“将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态”所需时间，其中包括备份数据恢复到可用状态所需时间、数据处理系统切换时间、以及备用网络切换时间等，该指标用以衡量容灾方案的业务恢复能力。2．RPO（RecoveryPointTime）：是指业务系统所允许的灾难过程中的最大数据丢失量（以时间来度量），这是一个与数据备份系统所选用的技术有密切关系的指标，用以衡量灾难恢复方案的数据冗余备份能力。3．容灾半径：是指生产中心和灾备中心之间的直线距离，用以衡量容灾方案所能防御的灾难影响范围。显然，具有零RTO、零RPO和大容灾半径的灾难恢复方案是用户最期望的，但受系统性能要求、适用技术及成本等方面的约束，这种方案实际上是不大可行的。所以，用户在选择容灾方案时应该综合考虑灾难的发生概率、灾难对数据的破坏力、数据所支撑业务的重要性、适用的技术措施及自身所能承受的成本等多种因素，理性地作出选择。容灾的核心问题1．容灾适应性：指的是容灾系统在实施和使用的过程中对原有的生产系统、硬件系统、网络系统的影响，有的容灾系统可能需要冻结原有的生产系统的情况下进行数据的复制，有点容灾系统可能要对硬件、网络环境进行改造，改造成系统所要求的条件。这些对改造对原有的系统和数据都存在一定的风险性。2．容灾可见性：指的是容灾系统的容灾效果是不是可见、可查询的。有的容灾系统的容灾效果要等灾难发生之后，备用系统恢复之后才能验证是不是真做到了数据零丢失的效果。如果数据复制失败不能马上反应出来同样达不到容灾的效果。所以容灾系统的核心问题：能否构建一个绿色容灾系统，在实施和使用过程中不会影响原生产系统，无需改造硬件和网络环境，其容灾结果的好与坏又实时可见、可验证。数据库系统容灾解决方案建设目标为关键业务系统构建容灾机制浪擎·镜像系统通过建立业务系统的可用副本，实现了以高可用性为目的系统冗余。利用可读写的数据副本，可在生产系统需要计划或非计划停机时，改善可用性达到容灾目的。当主系统停止服务时，可立即启用备用系统并切换应用，实现持续服务。经综合分析，备份需求如下：业务系统服务器实时备份到备用服务器。容灾系统对生产机（主服务器）不能有任何性能影响。必须保证该系统的正常运行。为降低容灾成本，提高资源利用率主备服务器硬件规格或配置无需相同。强调持久化服务能力，业务系统运行不允许中断。强调数据的准确性，业务系统不允许丢失数据或出错。需要可靠的容灾方案，保证数据的安全及提供快速的恢复能力。持续保护核心业务数据通过镜像代理将核心业务系统运行过程中生成的数据实时地复制到本地备用数据库中，减小因意外故障导致的数据损失。传统的数据保护解决方案专注在对数据的周期性备份上，因此一直存在备份窗口、数据一致性以及对生产系统的影响等问题。浪擎·镜像系统不存在备份窗口问题，可以为业务系统提供足够细的保护粒度，形成持续保护机制。当源系统发生灾难时其数据丢失量可以降低到几秒。增量镜像减少对生产主机的性能影响考虑到医院业务系统负荷繁重，为了高效地实现镜像不影响原来业务系统运行，镜像系统增量处理复制数据，即计算数据变化情况，并仅镜像自上次镜像以后变化的数据。其示意图如下：增量处理示意图浪擎·镜像系统支持块级别的增量传输技术，提高传输效率，减少带宽占用。无需增加昂贵的硬件设备投入浪擎·镜像系统在应用层实现将捕获业务应用事务转发复制到目标系统，这种复制原理决定源主机和目标主机无需硬件规格一致，目标主机可采用低于源主机的硬件规格。由于仅复制增量事务，大大的减少网络传输流量，因此无需专用传输网络。浪擎·镜像系统支持一对多镜像方式，可根据实际业务系统环境可将多台源服务器的数据复制到一台备用服务器，大大节省硬件投入。复制容灾策略 定时全量复制，保障容错浪擎镜像系统提供便捷的定时全量镜像复制计划，保障容错功能。全量镜像复制功能作业可配置信息字段：开始时间、结束时间和日期以及在这段时间之内的镜像频率、需要镜像表。定时镜像计划通过追逐式复制来实现。定时的将SQLserver数据库的全部数据复制目标服务器；目标服务器将最近一个全量版本保存起来，可恢复SQLserver到这个版本。从而实现数据库容错功能。`在本方案中，可配置每天做一个全量复制计划，并且将全量复制数据也保存在目标服务器。 实时增量复制，保障容灾实时镜像复制技术，实时数据复制技术不需要通过任何数据库的引擎来获取变更数据，而是通过镜像系统的实时捕获分析来获取源系统上的改变并传送给目的系统，不会对生产系统和数据库造成任何性能上的影响，保障了容灾功能。浪擎·镜像系统架构和工作原理应用架构采用浪擎·镜像系统的镜像服务器、SQLServer2005镜像代理、镜像任务监控软件解决上述需求。浪擎·镜像系统的镜像代理支持自动检测文件或数据库的增量变化，无需以扫描文件系统或数据库方式来判断变化，并且支持高效的增量传输算法，从而支持重负荷条件下的秒级别实时镜像频率，对原来系统的性能影响极少。镜像系统由镜像代理（客户端）、镜像服务器（服务器端）以及管理端组成。在HIS双机的两台SQLServer2005数据库服务器上均安装浪擎·SQLServer镜像代理，在备用服务器上安装镜像服务器端。设置浪擎·SQLServe镜像代理的检测路径为主存储路径，镜像服务器设置路径为备用存储路径。1）当HIS双机热备的主服务器处于Active状态时，把Active服务器的浪擎·SQLServe镜像代理连接至SQLServer镜像服务器。当镜像代理检测到主存储数据变化后，将捕获变化的数据实时的复制到备用存储上。实现了实时的复制。具体部署如下图：镜像架构图12）当Active和Standby服务器通过设置切换后，即备用服务器处于Active状态时，把安装在备用服务器上的浪擎·SQLServe镜像代理连接至SQLServer镜像服务器。当镜像代理检测到主存储上数据变化时将捕获变化的数据实时的复制到备用存储上。实现了实时的复制。具体部署如下图：镜像架构图23）当主、备服务器都停止服务，即主备服务器都无法提供业务系统服务的时候，镜像服务可直接接替主备服务器工作保障业务系统的持续运行，具体部署如下图：镜像架构图34）当主、备服务器都恢复工作后，即主备服务器都可以正常提供业务系统服务的时候，镜像服务器会继续其对主服务器的镜像工作，并且在这之前会通过镜像系统的同步工具保障系统数据的同步和一致，具体部署如下图：镜像架构图4通过以上4点保证了备用存储上的数据和主存储上的数据完全一致。避免了主存储的单点故障。管理端可部署在备用服务器上或系统管理员主机上。系统管理员可通过管理端配置镜像策略、全量和增量作业等。在主数据库服务器上设置需复制的SQLServer2005数据库名称和定时复制计划。基于事务的逻辑数据复制工作原理传统的数据备份磁带、光存储介质的备份和恢复效率比较低，导致数据损失比较大，也使服务停止导致的费用与损失增加。基于磁带备份系统的灾难恢复解决方案需磁带介质单独保管，且进行恢复操作之前需在本系统和另外一个系统上进行长时间的恢复系统和数据。采用数据库或应用系统层面的实时逻辑数据复制技术进行应用数据复制建立备用系统，可解决上述问题。实时数据复制保障应用系统数据丢失程度极小；具备应用切换功能保障业务系统持续运行。实时可到秒级或分钟级。比较如下：比较项浪擎·镜像系统传统备份系统系统原理镜像代理捕获数据库事务变化通过相应系统提供的备份接口实现备份复制频率实时秒级别小时级别增量复制技术增量数据库记录不支持备份窗口极小，接近于零小时级别数据丢失概率实时复制，数据丢失概率极低丢失一个备份周期的数据恢复时间无需恢复小时级别系统性能影响极小非常大浪擎·镜像系统通过高效捕获应用系统变化，从而将变化数据复制到备用服务器，极大地降低对原来系统性能的影响。一般而言，浪擎·镜像系统在复制数据时CPU占用不超过10%，内存占用不超过20MB。由于所用机制不同，这是传统备份系统所不能做到的。基于数据复制技术的灾难恢复解决方案的主要优点在于：恢复操作不需要进行重建工作，通常停机的时间会非常短，对于客户端一侧来说也基本不需要重新配置。逻辑数据复制安装在操作系统的文件系统或应用系统层中，对应用程序和硬件设备是透明的。在应用中，支持源与目的系统之间跨局域网或广域网的异步复制。而且，支持块级的数据传输和逻辑表达式过滤，占用的带宽资源较少。用户可选择复制数据库或文件。浪擎·镜像基于事务日志分析技术，将数据库事务定时或实时应用到目标数据库，占用极少的系统开销，极大地改善数据库可用性，可用于容灾和数据同步领域。对备用服务器硬件和网络等无特殊要求，可实现低成本、高保障的备份和容灾。该系统是业界成熟的高性能/高可用的逻辑数据复制解决方案，具有系统资源占用少、配置灵活、实时镜像等特点，解决关键应用的可用性问题以及适应数据同步需求。工作原理1）镜像引擎架构SQLServer数据库镜像引擎包括代理、镜像服务器、基准装载器三大部件。代理包含事务日志实时捕获器、事务日志分析器、自适应数据字典、初步过滤器、传输控制器和任务队列等；镜像服务器包含接收队列、事务队列和Snapshot存储、SQL应用机构等。2）复制流程事务日志实时捕获器实时监控源SQLServer事务日志文件和捕获其变化数据；事务日志分析器通过数据字典将日志数据解析还原成数据库记录，并过滤不需要镜像的表或其他数据库对象；传输控制器从任务队列中取出记录数据传输至镜像服务器。镜像服务器接收队列将记录数据保存至事务队列和Snapshot文件中；SQL应用机构扫描事务队列，将提交事务应用到目标SQLServer。如下图所示。SQLServer镜像原理示意图3）传输控制传输控制器记录当前传输成功的事务点。当连接中断等因素导致传输失败，传输控制则停止传输工作，尝试连接直至成功。4）基准装载基准装载器使用SQLServer数据库提供的在线备份功能，将源数据库备份出来，还原至目标数据库，实现源和目标数据库基准一致。5）目标数据库状态目标SQLServer处于运行状态，能读能写，运行的目标系统保证了系统的一致性。基于WEB的复制任务和运行状态监控WEB监控界面可监控全网的备份任务及运行状态。每条监控记录就是一条完整的复制链路，包含镜像代理、镜像服务器、运行状态。配置如下：监控配置示意图Web可监控全网所有镜像代理、镜像服务器的工作状态以及所有复制任务。复制任务监控信息包括：编号：根据任务复制的顺序来排序的。类型：模块类型，有文件，SQLSERVER和ORACLE三种。服务器：镜像服务器所在服务器IP。目标数据库：镜像服务器端备份数据库的名称。执行内容：具体复制的内容，数据库监控的是SQL语句，文件监控的是复制的文件名。开始时间：任务开始执行的时间。结束时间：任务执行结束的时间。状态：任务执行完成后的状态，如果复制成功显示为成功，失败显示的是失败主要实现功能实时单向数据镜像，单向镜像以主服务器系统作为复制的数据源，复制到备用数据库用于查询。定时镜像计划，系统还提供便捷的定时镜像计划。镜像计划作业可配置信息字段：开始时间、结束时间和日期以及在这段时间之内的镜像频率、需要镜像数据库。定时镜像计划类似于基准装载，均通过SQLServer数据库提供在线备份功能实现。数据一致性校验，系统提供对镜像的表进行数据一致性校验，并修改目标表的数据。这种补偿性能力解决当镜像系统停止时，源和目标产生的不一致性。数据库备份存储，镜像系统可将基准装载或定时镜像计划使用的数据库备份保存在磁盘上；系统采用时间戳命名备份文件。用户可调节保存的备份版本数量或时间；用户可手工在SQLServer企业管理器中将数据库备份还原至数据库中。数据库容灾策略1）初次完全备份或基准同步基准装载器使用SQLServer数据库提供的在线备份功能，将源数据库备份出来，还原至目标数据库，实现源和目标数据库基准一致。或者，以后需要再次基准同步时仍然可使用基准装载器。2）实时增量备份或同步事务日志实时捕获器实时监控源SQLServer事务日志文件和捕获其变化数据；事务日志分析器通过数据字典将日志数据解析还原成数据库记录，并过滤不需要镜像的用户、表或其他数据库对象；传输控制器从任务队列中取出记录数据传输至镜像服务器。镜像服务器接收队列将记录数据保存至事务队列和Snapshot文件中；SQL应用机构扫描事务队列，将提交事务应用到目标SQLServer数据库。故障切换和回切大致说明下述启用过程对前端用户而言是透明的。当主业务系统停止服务时，A) 关闭镜像系统复制作业。B) 彻底关闭主业务系统所在服务器，包括关闭业务系统、SQLServer数据库。C) 启用备用服务器上的网络名称资源，完成此步骤使备用服务器与主服务器具备一样的计算机名称或IP地址。D) 业务系统连接到备用SQLServer数据库系统。E) 前端用户可继续使用业务系统。在实施后，需编制每套业务系统的具体故障切换步骤和应急措施。当主服务器修复后，需要将备用服务器的业务数据回切到主服务器数据库中。具体方法和所采用软件如下：利用镜像系统提供全量备份软件回切业务系统数据库数据。将备用服务器的数据库全量备份出来，并拷贝备份文件至主服务器，还原至数据库中。与其他基于存储层复制技术的比较与基于存储层的复制技术比较如下：比较项浪擎系统基于存储层的复制技术复制原理采用应用系统专属的复制，复制每个SQL事务复制磁盘设备层每个IO，然后同步或异步写入远程备用存储方案投入成本远低于存储复制成本极为昂贵的投入维护成本维护量比较少需经过厂商认证的、专业的存储工程师，维护成本巨大主、备份系统硬件要求无要求采用硬件规格一致的设备传输网络要求无要求专用的光纤网络容灾级别处于第五或六层处于第六或七层应用系统事务完整性保证一致不能保证事务一致性，备用系统可能不能启用备用(目标)系统状态备用数据库完全处于open可用状态备用数据库处于不可用状态，如需要则需创建第三方镜像RPO目标恢复精度达记录级别“回放”可能是错误的RTO目标恢复时间可接近零恢复时间不可预测支持一对多复制方式支持不支持容灾系统部署及措施建设目标为关键业务系统构建容灾机制持续保护核心业务数据增量镜像减少对生产主机的性能影响无需增加昂贵的硬件设备投入需要部件配置针对于上述需求说明，选用以下规格的部件及数量：SQLServer数据库镜像代理（ForSQLServer2005），4套。镜像服务器（ForSQLServer2005），2套。镜像任务监测系统，1套。文件备份代理，1套。管理服务器，1套。容灾机房的硬件配置需要满足网络互联互通及容灾服务器设备等。应用部署1、当生产数据中心的服务器，如HIS系统所在正常状态时，把生产服务器中的SQLServer镜像代理通过网络连接至容灾中心的镜像（备份）服务器。在正常情况下，当镜像代理检测到磁盘阵列数据变化后，将捕获变化的数据实时的复制到备用存储上，实现了实时的复制。具体部署如下图：2、在一般情况下，当主数据库服务器出现故障时候，通过HA软件将服务自动切换至备份SQLServer数据库服务器。部署说明：镜像代理安装在主服务器上；镜像服务器安装在备用服务器上；系统管理界面提供给系统管理人员使用。镜像架构部署图13、管理端可部署在备用服务器上或系统管理员主机上。系统管理员可通过管理端配置镜像策略、全量和增量作业等。在主数据库服务器上设置需复制的SQLServer数据库名称和定时复制计划。当主数据库服务器出现故障时候，通过HA软件将服务自动切换至备份SQLServer数据库服务器。4、通过文件复制的方式来确保两个数据中心之间应用服务器中相关程序的实时一致。容灾启用时采取的措施在生产数据中心相关核心业务数据库服务器出现灾难性故障时，根据医院实现确定系统容灾服务器启用的预案的流程，起用容灾系统中的相关服务器。分如下情况：在某个业务系统数据库服务器或存储系统出现灾难故障时，只要改变相关应用服务器程序中的数据库服务器指向，重新登陆系统即可。业务的恢复是最快的。在相关业务系统在生产中心均出现灾难故障时，需要在终端PC机设置中重新改变相关的应用服务器