容灾白皮书 - 容灾的IT实现2.3

2.3容灾的IT实现

除了详尽的容灾计划，实际上还需要合理的IT系统架构来确保企业的容灾计划得以实现。
对于IT系统而言，在技术层面上，容灾需要考虑： 中国容灾网，护航业务。

* 数据版本保护 － 建立容灾的多版本保护底线（Bottom Line）
* 实时数据保护 － 数据复制，近乎0的数据丢失，数据一致性
* 应用系统恢复 － 恢复时间（包括数据库恢复）、应用版本的一致性（PTF）等
* 网络系统恢复 － 数据访问点变化、建立新网络路径、动态路由（收敛时间/稳定性）
* 容灾切换决策 － 及时发现灾难（容灾系统管理）、容灾切换的损失和补救办法
* 容灾切换过程 － 变更管理 中国容灾网，独家发布。

同时，无论任何时候，备份都是非常重要的，并要定期测试备份的可靠性。一种技术只能减少或防止某些类型的灾难的影响。除了简单或一成不变的应用，在没有特别要求的情况下，尽量不要采用操作系统层面以上的数据复制技术。而没有文档化的流程就相当于没有流程，没有流程的系统能够在要求时间内恢复完全靠运气（通常不能）。 中国容灾网，Rongzai.com.cn。

另外，在通常情况下，IT系统相关的灾难备份方案设计都必须考虑以下五大因素，
1、灾难类型
需要考虑哪些灾难？怎样的灾难？会使业务中断多久？
2、恢复速度
灾难发生后需要多久来启动及运行系统？能否承受数天或数分钟的等待？
3、恢复程度
需要恢复每条记录和交易吗？可以使用上星期或昨天的数据吗？需要恢复一切吗？有不相关的文件吗？什么是合法隐含的要求？有少数的一组人输入交易吗？他们可以重新输入灾难期间丢失的交易吗？这些交易十分重要而不容许丢失吗？
4、可用的技术
必须结合考虑所选技术在本地区的适用性、实现条件以及在实施时是否受某些现有条件的制约？
5、方案总体成本
实现灾难备份需要多少投资？不实现灾难备份会损失多少钱？
综合以上所述，可以如图2所示：
 
图2. 灾难备份方案选择标准

2.3.1容灾的7个层次

据国际标准SHARE78的定义，灾难恢复解决方案可根据以下主要方面所达到的程度分为七级，即从低到高有七种不同层次的灾难恢复解决方案。可以根据企业数据的重要性以及您需要恢复的速度和程度，来设计选择并实现您的灾难恢复计划（参见图3）。这取决于下列要求：
 
中国容灾网，Rongzai.com.cn。

备份/恢复的范围
灾难恢复计划的状态
在应用中心与备份中心之间的距离
应用中心与备份中心之间是如何相互连接的
数据是怎样在两个中心之间传送的
有多少数据被丢失
怎样保证更新的数据在备份中心被更新
备份中心可以开始备份工作的能力

中国容灾网，保护数据。

现已证明，为实现有效的灾难恢复，无需人工介入的自动站点故障切换功能是一个必须被纳入考虑范围的重要事项。目前通用的异地远程恢复标准采用的是1992年Anaheim的SHARE78，M028会议的报告中所阐述的七个层次： 中国容灾网，护航业务。

0层- 没有异地数据(No off-site Data)
Tier0即没有任何异地备份或应急计划。数据仅在本地进行备份恢复，没有数据送往异地。事实上这一层并不具备真正灾难恢复的能力。
1层- PTAM卡车运送访问方式 (Pickup Truck Access Method)
Tier1的灾难恢复方案必须设计一个应急方案，能够备份所需要的信息并将它存储在异地。PTAM指将本地备份的数据用交通工具送到远方。这种方案相对来说成本较低，但难于管理。
2层- PTAM卡车运送访问方式+热备份中心 (PTAM + Hot Center)
Tier2相当于Tier1再加上热备份中心能力的进一步的灾难恢复。热备份中心拥有足够的硬件和网络设备去支持关键应用。相比于Tier1，明显降低了灾难恢复时间。
3层- 电子链接 (Electronic Vaulting)
Tier3是在Tier2的基础上用电子链路取代了卡车进行数据的传送的进一步的灾难恢复。由于热备份中心要保持持续运行，增加了成本，但提高了灾难恢复速度。
4层- 活动状态的备份中心 (Active Secondary Center)
Tier4指两个中心同时处于活动状态并同时互相备份，在这种情况下，工作负载可能在两个中心之间分享。在灾难发生时，关键应用的恢复也可降低到小时级或分钟级。 中国容灾网，护航业务。
5层– 两个活动的数据中心，确保数据一致性的两阶段传输承诺（Two-Site Two-Phase Commit）
Tier5则提供了更好的数据完整性和一致性。也就是说，Tier5需要两中心与中心的数据都被同时更新。在灾难发生时，仅是传送中的数据被丢失，恢复时间被降低到分钟级。
6层- 0数据丢失 (Zero Data Loss)，自动系统故障切换
Tier6可以实现0数据丢失率，被认为是灾难恢复的最高级别，在本地和远程的所有数据被更新的同时，利用了双重在线存储和完全的网络切换能力，当发生灾难时，能够提供跨站点动态负载平衡和自动系统故障切换功能。

2.3.2容灾的业务恢复时间段

对于IT系统的容灾指标，我们可以通过下列参数表示：
* 以恢复点为目标(RPO -- Recovery Point Object）
– – 数据的完整性(无数据丢失)
– – 数据的一致性(数据正确且可用）
* 以恢复时间为目标(RTO --- Recovery Time Object）
* 以网络恢复为目标(NRO --- Network Recovery Object）
* 以服务支持能力为目标(SDO --- Serviceability Degrade Object)
– – 性能
– – 地域/ 支持的客户总数
– – 功能的限制

中国容灾网，容灾行业网站。

图4展示了业务恢复的不同时间段。
 
图4. 容灾的业务恢复时间段 中国容灾网，容灾行业网站。

2.3.3容灾所涉及的恢复技术

中国容灾网，容灾行业网站。

DR（容灾 Disaster Recovery）项目的实施中涉及到多种技术。这些技术可以分为三类：应用恢复，网络恢复，数据恢复。
应用恢复技术

中国容灾网，保护数据。

常用的应用恢复技术或方法如下： 中国容灾网，Rongzai.com.cn。

* 通过负载均衡提供永不停顿的系统运行能力 (Tier-7)
例如：IBMS/390的GDPS技术给用户提供一个无中断的操作环境,来运行那些关键业务的应用程序，通过自动应用恢复能力来满足其第7级容灾要求
* 通过事先写好的脚本来实现自动的热接管 (Tier-6)
例如：GDPS也可以在热待命状态下运行，来为S/390系统提供第6级解决方案。
HAGEO提供与GDPS热待命相似的解决方案，并常被用来作为大型关键业务UNIX数据中心的DR解决方案
* 按预案手工实现站点接管 (Tier 4/5)
例如：有些设施的DR包括必须有人介入和决策的手动应用恢复程序。
在实际灾难发生时，一些这样的设施因为对人工操作的依赖，造成恢复过程的延误。因此，我们认识到，容灾的实施必须包括一定程度的自动化，这也是GDPS和HAGEO这样的软件的主旨。
网络恢复技术

中国容灾网，保护数据。

常用的网络恢复技术或方法如下：
* 4-7 层交换机 (Tier-7)
例如：无中断的第7级网络恢复需要动态网络路由重选，来保证应用能够在不中断最终用户的情况下转入备用数据中心。在SNA环境下通过APPN来完成，而在IP环境下则通过第4-7层转换来完成。APPN是在IBM S/390 GDPS环境下，为动态网络恢复而开发的SNA网络技术。通过标准的基于路由器的技术，可以在通用的IP传输上使用APPN
* 路由 (Tier-6)
例如：在第6级DR的实施中，网络恢复可以通过APPN和/或标准的路由协议来完成 (OSPF / EIGRP / BGP-4)在非GDPS环境中，APPN应用路由在容灾系统备用路径可用时，自动恢复网络连接
* 2层 Reconnect (Tier-4/5)
例如：SNA子网在以太网/SNA中通过ATM / 帧中继 / DDN 链路进行互联，如果发生链路故障，则可以通过手工切换来实现网络恢复 中国容灾网，护航业务。

数据恢复技术

中国容灾网，容灾行业网站。

数据容灾系统的实现可以采用不同的技术。一种技术是采用硬件进行远程数据复制，我们称为硬件复制技术。这种技术的提供者是一些存储设备厂商， 其技术例如PPRC、SRDF。数据的复制完全通过专用线路实现物理存储设备之间的交换；另一种技术是采用软件系统实现远程的实时数据复制，并且实现远程的全程高可用体系（远程监控和切换）。这种技术的代表则是一些存储软件厂商，其技术例如HAGEO、VVR。

中国容灾网，保护数据。

数据复制是一个复杂的议题，但一般来说这，它可以在硬件或软件层上实施（参见图5）。今天，市场上的硬件和软件技术提供不同的第4级和第7级数据恢复，对硬件或软件的选择取决于很多与设施相关的因素，如工作量、网络成本要求、工作点和数据恢复点间的距离、同性或异性的平台支持等等。我们将在下面的章节对以上两种技术进行详细的论述。
 
图5. 数据复制技术 中国容