恢復(fù)的7個(gè)層次

1、恢復(fù)的7個(gè)層次災(zāi)難保護(hù)計(jì)劃的目的是，確保關(guān)鍵業(yè)務(wù)持續(xù)運(yùn)行以及減少非計(jì)劃宕機(jī)時(shí)間。所有與容災(zāi)方案相關(guān)的計(jì)劃都試圖在方 案本身、宕機(jī)時(shí)間和實(shí)施方案所需成本三者之間找到一個(gè)平衡點(diǎn)。圖1.三者的平衡關(guān)系災(zāi)難恢復(fù)方案中的恢復(fù)時(shí)間與下列因素有關(guān):數(shù)據(jù)有效性的恢復(fù)IT基礎(chǔ)設(shè)施的恢復(fù)可操作流程的修復(fù)關(guān)鍵業(yè)務(wù)的修復(fù)災(zāi)難恢復(fù)的層次劃分 Tier 7 - Highly automated, business wide, integrated solution不能容M的應(yīng)用Tier 6 - Storage mirroring一見(jiàn)手不號(hào)妾亙新宜擔(dān)Tier 5 - Software tv/o site, two phas

2、e commitfc mini nites to hours Edata r&creationiTier 4 - BatcIVOnline database shadowing & journaling, Point in Time disk copy (FlashCopy)充許短 應(yīng)角up to 24 hours data recreatioiniTier 3 - Electronic Vaulting. TSM.(Tape24-4B hours data recreatian. Tier 2 - PT AM. Hot Site.TSM能容忍15 Min. 1-4 Hr. 4 -8 Hr.

3、8-12 Hr., 12-16 Hr. 24 Hr. Days恢復(fù)時(shí)間圖2.災(zāi)難恢復(fù)的層次劃分細(xì)述7個(gè)層次災(zāi)難恢復(fù)方案的7個(gè)層次提供了一個(gè)簡(jiǎn)單方法論一如何定義當(dāng)前的服務(wù)水平、風(fēng)險(xiǎn)以及期望的服務(wù)水平和環(huán)境。0層：無(wú)異地備份數(shù)據(jù)(no off-site data)對(duì)于使用0層災(zāi)難恢復(fù)解決方案的業(yè)務(wù)，可稱其為沒(méi)有災(zāi)難恢復(fù)計(jì)劃，主要表現(xiàn)為：數(shù)據(jù)僅在本地進(jìn)行備份恢復(fù)，沒(méi)有任何數(shù)據(jù)信息和資料被送往異地，沒(méi)有處理意外 事故的計(jì)劃?；謴?fù)時(shí)間：在此種情況下，恢復(fù)時(shí)間不可預(yù)測(cè)。事實(shí)上也不可能恢復(fù)。例如，目前我們通常在機(jī)房?jī)?nèi)所做的數(shù)據(jù)備份，備份介質(zhì)保留在機(jī)房?jī)?nèi)，用于本地的數(shù)據(jù)恢復(fù)。當(dāng)災(zāi)難發(fā)生時(shí)，數(shù) 據(jù)備份和設(shè)備有可

4、能一同被毀，無(wú)法進(jìn)行恢復(fù)。1層：有數(shù)據(jù)備份，無(wú)備用系統(tǒng)(data backup with no hot site)使用1層災(zāi)難恢復(fù)解決方案的業(yè)務(wù)，通常將需要的數(shù)據(jù)備份到磁帶上，然后將這些介質(zhì)運(yùn)送到其它較為安全的地方。 但在那里缺乏能恢復(fù)數(shù)據(jù)的系統(tǒng)，若數(shù)據(jù)備份的頻率很高，則在恢復(fù)時(shí)丟失的數(shù)據(jù)就會(huì)少些。此類業(yè)務(wù)應(yīng)能忍受幾天乃 至幾星期的數(shù)據(jù)丟失。例如，PTAM(Pickup Truck Access Method)是一種許多數(shù)據(jù)中心所采用的標(biāo)準(zhǔn)備份方式。在完成所需的數(shù)據(jù)備份 后，用適當(dāng)?shù)倪\(yùn)輸工具將它們送到遠(yuǎn)離本地的地方，同時(shí)備有數(shù)據(jù)恢復(fù)的程序。災(zāi)難發(fā)生后，一整套系統(tǒng)安裝需要在一 臺(tái)未開(kāi)啟的計(jì)算機(jī)上

5、重新完成，系統(tǒng)和數(shù)據(jù)可以被恢復(fù)并重新與網(wǎng)絡(luò)相連。這種災(zāi)難恢復(fù)方案相對(duì)來(lái)說(shuō)成本較低(僅僅需 要運(yùn)輸工具的消耗以及存儲(chǔ)設(shè)備的消耗)。但恢復(fù)的時(shí)間長(zhǎng)，且數(shù)據(jù)不夠新。Datacenter ADaily Backups2層：有數(shù)據(jù)備份，有備用系統(tǒng)(Data Backup with Hot Site)使用2層容災(zāi)解決方案的業(yè)務(wù)會(huì)定期將數(shù)據(jù)備份到磁帶上，并將其運(yùn)到安全的地點(diǎn)。在備份中心有備用的系統(tǒng)，當(dāng)災(zāi) 難發(fā)生時(shí)，可以使用這些數(shù)據(jù)備份磁帶來(lái)恢復(fù)系統(tǒng)。雖然還需要數(shù)小時(shí)或幾天的時(shí)間來(lái)恢復(fù)數(shù)據(jù)以使業(yè)務(wù)可用，但不可 預(yù)測(cè)的恢復(fù)時(shí)間減少了。2層相當(dāng)于在1層上增加了備份中心的災(zāi)難恢復(fù)。備份中心擁有足夠的硬件和網(wǎng)絡(luò)設(shè)備來(lái)

6、維持關(guān)鍵應(yīng)用的安裝需求， 這樣的應(yīng)用是十分的關(guān)鍵的，它必須在災(zāi)難發(fā)生的同時(shí)，在異地有正運(yùn)行著的硬件提供支持。這種災(zāi)難恢復(fù)的方式依賴 于PTAM方法去將日常數(shù)據(jù)放入倉(cāng)庫(kù)，當(dāng)災(zāi)難發(fā)生的時(shí)候，再將數(shù)據(jù)恢復(fù)到備份中心的系統(tǒng)上。雖然備份中心的系統(tǒng)增加 了成本，但明顯降低了災(zāi)難恢復(fù)時(shí)間，系統(tǒng)可在幾天內(nèi)得以恢復(fù)。Datacenter ADatacenter BOffsite(hotsite)DailyBackupsAt RecoveryTime3層：電子鏈接(Electronic vaulting)使用3層容災(zāi)解決方案的業(yè)務(wù)，是在2層解決方案的基礎(chǔ)上，又使用了對(duì)關(guān)鍵數(shù)據(jù)的電子鏈接技術(shù)。電子鏈接將磁帶備 份后

7、更改的數(shù)據(jù)進(jìn)行記錄，并傳到備用中心，使用此種方法會(huì)比使用傳統(tǒng)的磁帶備份更快地得到更新的數(shù)據(jù)。所以，當(dāng) 災(zāi)難發(fā)生后，只有少量的數(shù)據(jù)需要重新恢復(fù)，恢復(fù)時(shí)間會(huì)縮短。由于備用中心要保持持續(xù)運(yùn)行，與生產(chǎn)中心間的通訊線路要保證暢通，增加了運(yùn)營(yíng)成本。但消除了對(duì)運(yùn)輸工具的依 賴，提高了災(zāi)難恢復(fù)速度。例如，某企業(yè)在每天下班后，將當(dāng)日的流水全部記錄下來(lái)，通過(guò)網(wǎng)絡(luò)傳到備份中心；備份中心在備用系統(tǒng)上，重新將 所有業(yè)務(wù)重做，保證與生產(chǎn)中心的一致性。這一領(lǐng)域的產(chǎn)品可以分四層： 存儲(chǔ)設(shè)備層：IBM-ESS-PPRC、IBM-DS4000-RM、EMC-SRDF、HP-EVA-StorageWorks Continuous

8、Access、 FALCONSTOR-IPSTOR、 NETAPP等。 操作系統(tǒng)及系統(tǒng)軟件層：IBM-GEORM、VERITAS-Storage Replicator/Volume Replicator、LEGATAL- RepliStor。 數(shù)據(jù)庫(kù)層：IBM-DB2-HADR、ORACLE-ORACLE- Replication等。 應(yīng)用程序?qū)樱簯?yīng)用程序開(kāi)發(fā)時(shí)考慮到數(shù)據(jù)的復(fù)制。Datacenter B(hotsite)Offs I拍Vault4層：使用快照技術(shù)拷貝數(shù)據(jù)(Point-in-time Copies)使用4層災(zāi)難恢復(fù)方案的業(yè)務(wù)，對(duì)數(shù)據(jù)的實(shí)時(shí)性和快速恢復(fù)性要求更高些。1-3層的方案中

9、較常使用磁帶備份和傳輸，在4層方案中開(kāi)始使用基于磁盤的解決方案。此時(shí)仍然會(huì)出現(xiàn)幾個(gè)小時(shí)的數(shù)據(jù)丟失，但同基于磁帶的解決方案相比，通過(guò) 加快備份頻率，使用最近時(shí)間點(diǎn)的快照拷貝恢復(fù)數(shù)據(jù)會(huì)更快。系統(tǒng)可在一天內(nèi)恢復(fù)。4層災(zāi)難恢復(fù)可有兩個(gè)中心同時(shí)處于活動(dòng)狀態(tài)并管理彼此的備份數(shù)據(jù)，允許備份行動(dòng)在任何一個(gè)方向發(fā)生。接收方硬 件必須保證與另一方平臺(tái)在地理上分離，在這種情況下，工作負(fù)載可能在兩個(gè)中心之間分享，中心1成為中心2的備份， 反之亦然。在兩個(gè)中心之間，彼此的在線關(guān)鍵數(shù)據(jù)的拷貝不停地相互傳送著。在災(zāi)難發(fā)生時(shí)，需要的關(guān)鍵數(shù)據(jù)通過(guò)網(wǎng)絡(luò) 可迅速恢復(fù)，通過(guò)網(wǎng)絡(luò)的切換，關(guān)鍵應(yīng)用的恢復(fù)也可降低到小時(shí)級(jí)。支持這種工作方式

10、的產(chǎn)品包括IBM-HAGEO、VARITAS-Global Cluster Manager。High BandwidthCannectionsDatacenter B(hot site)At Recovery Time5層：交易的完整性 (Transaction Integrity)使用5層災(zāi)難恢復(fù)方案的業(yè)務(wù)，要求保證生產(chǎn)中心和數(shù)據(jù)備份中心的數(shù)據(jù)的一致性。在此層方案中只允許少量甚至是 無(wú)數(shù)據(jù)丟失，但是該功能的實(shí)現(xiàn)完全依賴于所運(yùn)行的應(yīng)用。5層除了使用4層的技術(shù)外，還要維護(hù)數(shù)據(jù)的狀態(tài)-要保證在本地和遠(yuǎn)端數(shù)據(jù)庫(kù)中都要更新數(shù)據(jù)。只有當(dāng)兩地的數(shù)據(jù) 都更新完成后，才認(rèn)為此次交易成功。生產(chǎn)中心和備用中心是由

11、高速的寬帶連接的，關(guān)鍵數(shù)據(jù)和應(yīng)用同時(shí)運(yùn)行在兩個(gè)地 點(diǎn)。當(dāng)災(zāi)難發(fā)生時(shí)，只有正在進(jìn)行的交易數(shù)據(jù)會(huì)丟失。由于恢復(fù)數(shù)據(jù)的減少，恢復(fù)時(shí)間也大大縮短。數(shù)據(jù)庫(kù)的數(shù)據(jù)復(fù)制 功能一般可以工作在這樣的方式下：IBM-DB2-HADR、ORACLE-ORACLE- Replication等。Datacenter ADatacenter B(hotsite)Connections6層：少量或無(wú)數(shù)據(jù)丟失(Zero or little data loss)6層災(zāi)難恢復(fù)方案可以保證最高一級(jí)數(shù)據(jù)的實(shí)時(shí)性。適用于那些幾乎不允許數(shù)據(jù)丟失并要求能快速將數(shù)據(jù)恢復(fù)到應(yīng)用中的業(yè)務(wù)。此種解決方案提供數(shù)據(jù)的一致性，不依賴于應(yīng)用而是靠大量的硬

12、件技術(shù)和操作系統(tǒng)軟件來(lái)實(shí)現(xiàn)的。這一級(jí)別的要求很高，一般需要整個(gè)系統(tǒng)應(yīng)用程序?qū)拥接布泳扇∠鄳?yīng)措施。應(yīng)用程序?qū)硬捎没诮灰?TRANSACTION)的方法開(kāi)發(fā)。數(shù)據(jù)庫(kù)可以采取數(shù)據(jù)復(fù)制。IBM-DB2-HADR、ORACLE-ORACLE- Replication等。操作系統(tǒng)使用集群軟件、站點(diǎn)遷移軟件、數(shù)據(jù)復(fù)制軟件：IBM-HACMP、VARITAS-Global Cluster Manager等。硬件層使用同步的數(shù)據(jù)復(fù)制：IBM-ESS-PPRC、IBM-DS4000-RM、EMC- SRDF或使用帶有CONSISTANCY-GROUP功能的異步數(shù)據(jù)復(fù)制IBM-ESS-PPRC、IBM-DS4

13、000-RM。7層：解決方案與具體業(yè)務(wù)相結(jié)合，實(shí)現(xiàn)自主管理(Highly Automated , Bussiness integrated Solution)7層災(zāi)難恢復(fù)方案在第6層的基礎(chǔ)上，集成了自主管理的功能。在保證數(shù)據(jù)一致性的同時(shí)，又增加了應(yīng)用的自動(dòng)恢復(fù)能 力，使得系統(tǒng)和應(yīng)用恢復(fù)的速度更快、更可靠(按照災(zāi)難恢復(fù)流程，手工操作也可實(shí)現(xiàn)整個(gè)恢復(fù)過(guò)程)。Datacenter BDatacenter A7層可以實(shí)現(xiàn)0數(shù)據(jù)丟失率，同時(shí)保證數(shù)據(jù)立即自動(dòng)地被傳輸?shù)交謴?fù)中心。7層被認(rèn)為是災(zāi)難恢復(fù)的最高級(jí)別，在本地 和遠(yuǎn)程的所有數(shù)據(jù)被更新的同時(shí)，利用了雙重在線存儲(chǔ)和完全的網(wǎng)絡(luò)切換能力。7層是災(zāi)難恢復(fù)中最昂

14、貴的方式，但也是 速度最快的恢復(fù)方式。當(dāng)一個(gè)工作中心發(fā)生災(zāi)難時(shí)，7層能夠提供一定程度的跨站點(diǎn)動(dòng)態(tài)負(fù)載平衡和自動(dòng)系統(tǒng)故障切換功 能?，F(xiàn)在已經(jīng)證明，為實(shí)現(xiàn)有效的災(zāi)難恢復(fù)，無(wú)需人工介入的自動(dòng)站點(diǎn)故障切換功能需要一個(gè)應(yīng)該納入考慮范圍的重要 事項(xiàng)。Advanced Coupled/Ciustered Systems在選擇災(zāi)難恢復(fù)解決方案時(shí)，非常重要的一點(diǎn)是，解決方案所需的投資在IT商業(yè)價(jià)值中應(yīng)占切實(shí)可行的部分，任何人 都希望用較少的投資換取更多的利益-災(zāi)難恢復(fù)解決方案的投資一定要少于災(zāi)難本身帶來(lái)的財(cái)政損失。按照下述目標(biāo)，為一個(gè)商業(yè)應(yīng)用選擇解決方案時(shí)，決定起來(lái)就會(huì)簡(jiǎn)單：(按用戶的投入、希望恢復(fù)的速度等目標(biāo)

15、來(lái)選擇，災(zāi)難恢復(fù)越快所需的投入就越多)恢復(fù)時(shí)間目標(biāo)(RTO - Recovery Time Objective)沒(méi)有應(yīng)用系統(tǒng)，可以忍受多長(zhǎng)時(shí)間？恢復(fù)時(shí)間點(diǎn)目標(biāo)(RPO - Recovery Point Objective)系統(tǒng)恢復(fù)后，可以允許重新創(chuàng)建多少數(shù)據(jù)？降級(jí)操作目標(biāo)(DOO - Degraded Operations Objective )數(shù)據(jù)中心減少了，會(huì)有什么負(fù)面影響？網(wǎng)絡(luò)恢復(fù)目標(biāo)(NRO - Network Recovery objective)網(wǎng)絡(luò)切換需要多長(zhǎng)時(shí)間？通常，構(gòu)成應(yīng)用業(yè)務(wù)連續(xù)可用性的因素只適用于同一機(jī)房?jī)?nèi)的環(huán)境。機(jī)房本身就是一個(gè)單點(diǎn)故障。為了抵抗災(zāi)難， 我們必須選擇一

16、種比連續(xù)可用性考慮更多的恢復(fù)方案?；謴?fù)方案一定是在全面衡量了實(shí)施費(fèi)用、維護(hù)費(fèi)用、災(zāi)難對(duì)財(cái)政的影響，并對(duì)業(yè)務(wù)影響進(jìn)行了分析后而得出的一個(gè)綜 合方案。四個(gè)關(guān)鍵目標(biāo)每一層災(zāi)難恢復(fù)方案的恢復(fù)時(shí)間通常是指恢復(fù)處理業(yè)務(wù)服務(wù)所需的安裝時(shí)間。然而在現(xiàn)實(shí)的災(zāi)難中，需要對(duì)其他更 多的事項(xiàng)進(jìn)行考慮。例如，有些業(yè)務(wù)可以容忍較長(zhǎng)時(shí)間的停機(jī)服務(wù)，但要求一旦業(yè)務(wù)開(kāi)始就需要使用最多的實(shí)時(shí)數(shù)據(jù)； 有些業(yè)務(wù)必須在盡可能短的時(shí)間內(nèi)恢復(fù)服務(wù)，而不考慮數(shù)據(jù)的實(shí)時(shí)性；還有一些既需要最短的時(shí)間內(nèi)恢復(fù)服務(wù)，也需要 最多的實(shí)時(shí)數(shù)據(jù)。通過(guò)評(píng)估具體場(chǎng)地的實(shí)際災(zāi)難恢復(fù)需求，為恢復(fù)計(jì)劃開(kāi)好頭。四個(gè)關(guān)鍵目標(biāo)數(shù)據(jù)丟失；:!； :!;:!;:!； :!;:

17、!； :!;:!;:!； :!;:!； :!;:!;:!； :!;:!； :!;:!;:!； :!;:!； :!;:!;:!； :!;:!； :!;:!;:!； :!;:!； :!;:!;:!； :!;:!； :!;:!;:!;星期小時(shí)以數(shù)據(jù)恢復(fù)為目標(biāo)How much data can I affordto lose?I：；!：；!：；：；,以網(wǎng)絡(luò)恢復(fù)為目標(biāo)How much of the network must berestored in order to continue operations?小時(shí)以降低操作為目標(biāo)What impact will I experience withfewe

18、r datacenters?以恢復(fù)時(shí)間為目標(biāo)How long can I afford to be without ITsystems?星期服務(wù)丟失方案成本與業(yè)務(wù)停止帶來(lái)的損失災(zāi)難恢復(fù)方案的成本是根據(jù)以下兩點(diǎn)得出的：*客戶需要在多快的時(shí)間內(nèi)恢復(fù)數(shù)據(jù)*不能繼續(xù)業(yè)務(wù)處理將帶來(lái)多少損失恢復(fù)數(shù)據(jù)所需的時(shí)間越少，業(yè)務(wù)處理服務(wù)中斷的時(shí)間就越短，所需的方案成本就越多。另一方面，不能進(jìn)行業(yè)務(wù)處理的時(shí)間越長(zhǎng)，由此帶來(lái)的損失就越大。最優(yōu)的方案就是，方案成本曲線和業(yè)務(wù)停止帶來(lái)的損失的曲線的交集。成本/時(shí)間窗口。時(shí)間停止?fàn)I業(yè)后 的損失方案成本 和恢復(fù)時(shí)間成本/時(shí)間 窗口與系統(tǒng)體系結(jié)構(gòu)的關(guān)系為了災(zāi)難保護(hù)，需要建立一個(gè)可

19、靠并經(jīng)過(guò)驗(yàn)證的基礎(chǔ)結(jié)構(gòu)，系統(tǒng)的每一級(jí)部件都一定要有冗余，這是必須的。存儲(chǔ)設(shè)備級(jí)存儲(chǔ)子系統(tǒng)控制:高可用系統(tǒng)的構(gòu)成因素存儲(chǔ)設(shè)備內(nèi)置的預(yù)見(jiàn)性故障分析 和自愈機(jī)制基于存儲(chǔ)控制器級(jí)的拷貝，復(fù)制 和冗余機(jī)制通過(guò)使用H+1個(gè)部件以實(shí)現(xiàn)連接 和協(xié)議級(jí)上的冗余SAN級(jí)設(shè)備驅(qū)動(dòng)程序多路徑和失效接管機(jī)制設(shè)備驅(qū)動(dòng)程序級(jí)基于操作系統(tǒng)的群集，H+1JE務(wù)器操作系統(tǒng)級(jí)應(yīng)用程序級(jí)業(yè)務(wù)的連續(xù)性基于應(yīng)用的群集 個(gè)應(yīng)用JE務(wù)器業(yè)務(wù)功能級(jí)存儲(chǔ)設(shè)備級(jí) （storage device level）存儲(chǔ)設(shè)備級(jí)，是指存儲(chǔ)的物理實(shí)體，如磁盤或磁帶機(jī)。為了實(shí)現(xiàn)設(shè)備級(jí)的可用性，使用嵌入在設(shè)備自身中的功 能，這些冗余功能可通過(guò)在磁盤中使用備用磁道或在磁帶機(jī)中使用特定的寫機(jī)制來(lái)實(shí)現(xiàn)。存儲(chǔ)服務(wù)器（存儲(chǔ)子系統(tǒng)）控制器級(jí)存儲(chǔ)控制器自身的接口用于連接SAN或服務(wù)器（servers）和存儲(chǔ)設(shè)備。存儲(chǔ)控制器的內(nèi)置功能負(fù)責(zé)所有與存儲(chǔ) 相關(guān)的執(zhí)行操作。*內(nèi)置的拷貝功能，如point-in-time拷貝，遠(yuǎn)程鏡像*內(nèi)置高可用性機(jī)制（冗余、接管fail over）SAN （Storage Area Network）級(jí)SAN級(jí)的冗余可通過(guò)冗余SAN的基本模塊-S