异地数据备份方案.docx

1、异地数据备份方案新一篇:VERITAS的全线存储备份容灾解决方案第一章 灾难备份背景及优势1.1 什么是计算机业务系统的灾难今天，XXXX比以往任何时候都更加依赖于计算机系统，计算机系统在为XXXX迅猛发展提供技术基础架构的同时，由于用户业务处理的高度集中，以及不可预见的故障和灾难，导致整个系统存在很多灾难性破坏的隐患，有可能成为整体系统中的单故障点。因此，业务的拓展与灾难的防范是所有用户都必须同步重视的问题。那么，什么是计算机业务系统的灾难呢？通常的定义是指采用计算机系统处理的重要电子数据丢失至不可恢复或由此导致业务中断以至于延长到不可接受的时间。1.2 国外计算机业务系统灾难备份应用情况灾

2、难备份计划在发达国家电信行业和金融行业得到了较早的实施，现已较为普遍。例如在美国，因一九八五年纽约银行计算机故障，联邦管理部门更加强了在这方面的监管力度。现美国计算机业务系统一般出于以下三方面来考虑灾难备份计划：重要数据保护与业务连续运行的需要：在美国，各行业内部竞争激烈；在计算机管理制度上较为完善；一旦因突发灾难而造成数据丢失或业务中断，将会造成重大乃至致命的打击。审计的要求：美国较大型的企业一般会由第三家独立审计公司来提供其资信业务、管理等方面咨询服务，而世界著名的六大审计公司在对企业的评估项目中均包含灾难备份计划一项；评估企业数据在灾难等威胁破坏下数据的完整性，一致性与安全性，及业务的可

3、恢复性等，有些咨询审计公司还会参与验证所制订的容灾计划的具体过程和其可行性。缺少灾难备份计划及其危害性会在评估报告中被显示出来。法律的要求：美国政府及州政府通过多项法律强制性要求电信、金融业等大型企业备有计算机安全及灾难备份计划。对于没有遵守这项灾难备份计划的企业，会遭受曝光及罚款等严重处理，同时亦可能对相关责任人采取罚款甚至监禁等处罚。已知的灾难例子有：日本神户大地震、美国佛罗里达州飓风（数百家企业实施了灾难备份计划）、台湾大地震等。1.3 国内计算机系统的灾难备份计划的应用情况随着我国入“世”的脚步越来越近，传统产业在进入新市场新方式的竞争中，企业的电子信息架构的搭建，成为最具有战略意义的

4、资源投资。作为信息架构核心的数据，其安全备份和灾难恢复随着世纪交替Y2K问题的引发，逐渐引起人们的思考和重视。现代企业必须直面一个迫在眉睫的问题：如何对数据进行持续不断地存储，并通过有效地应用这些信息，提高企业的利润率和竞争力。所以，在当今企业运营电子化的进程中，存储将与网络、软件应用和系统CPU处于同等重要的地位，成为决定系统成熟与否的关键。由于存在着各种数据丢失的可能，随着人们对网络系统的依赖日益增加，从硬件到软件对数据的保护和备份确实是不容忽视的环节。企业的IT专家们逐渐认识到，可能造成数据丢失的因素主要有三种：自然灾害的灾难性破坏造成数据永久丢失，最佳的解决方案就是异地数据备份；计算机

5、和网络系统的硬件和软件故障，这种损失也只有通过完整的数据备份来弥补；另外，自然免不了黑客的破坏以及人员的操作失误。这些事故的发生都是防不胜防的，唯一能把损失降到最低的办法就只有依赖具有数据备份和灾难恢复功能的存储设备。近年来国内用户在计算机应用方面的飞速发展，计算机系统基础架构的建设、特别是计算机容灾系统的设计与建设正逐渐被用户所重视。不言而喻，如果用户的业务系统有一套完备的灾难备份/恢复体系，当突发性灾难发生后，业务系统关键业务数据的损失将减至最小。特别是随着中国加入WTO的日益临近和行业竞争越来越激烈, 完善的灾难备份/恢复体系在不远的将来将是国内企业发展的可靠保障。在国内，随着Inter

6、net的逐渐普及和电子商务热潮的兴起，企业需要整合越来越多的数据，而数据的合并、管理、分享、保护都需要一个强大的、高可靠性的数据中心；同时，随着国内企业经营者对企业数据信息的价值和数据安全备份的认识的提高，存储设备的投资也正在企业信息化建设的投入中占据着越来越高的比重。IT行业权威人士认为，在将来的一至两年中，数据存储系统要花费所有企业计算系统投资的70。1.4 建设灾难备份中心的重要意义随着计算机管理技术和网络技术的发展，为了提高企业业务管理水平、增强企业市场竞争能力，越来越多的企业开始使用计算机来处理内部日常事务和外部业务往来，从而使得这些企业越来越依赖于系统管理数据和业务信息。尤其是在企

7、业业务不断增加、数据量成倍增长乃至出现数据膨胀现象时，由此引发的企业从数据膨胀、到计算机性能提高、再导致新一轮数据膨胀的循环不断加剧，进而在企业中引起新的数据安全恐慌，数据失效问题时有发生。建设灾难备份中心的目的就是在于防止一些灾难性的小概率事件可能对集中式信息系统造成的不可恢复的原始数据的丢失，这些灾难性事件可能包括为火灾，地震，电源故障及一些人为的操作失误等，如下图所示。现代企业管理非常重视总体拥有成本（TCO）。所谓TCO，实际上是由实际成本、使用成本和风险成本三项组成。实际成本和使用成本在企业的建设与生产中往往容易引起人们重视，因而考虑得非常周到。而风险成本不仅是企业看不见、摸不着的东

8、西，也是企业运作时很难预料和把握的内容。在使用计算机系统的企业中，风险成本包含用于管理关系到企业生命的各项数据与信息的安全、正常、可靠的高速运行的所需费用。所以，为将风险成本降至最低，同时使企业长期处于最佳状态，对企业业务和计算机管理与控制系统数据进行全面存储备份是一项绝对值得的、也是必要的投资。我们知道，随着企业计算机系统建设计划的逐步实施，XXXX的日常业务同计算机系统的联系越来越紧密。因此，业务主机系统的运行出现故障所带来的业务影响范围会被迅速扩大，而客户对企业计算机业务系统的连续运行，业务系统、用户数据的高可用性以及业务计算机系统抵御突发性灾难的能力的要求也必然急剧提高。XXXX建设灾

9、难备份/恢复中心有如下的意义： 重要业务数据在灾难发生后得以有效保护 重要业务在灾难发生后可以在设定的时间内恢复，从而实现业务的连续运行 业务计算机系统抵御突发性灾难的能力和级别提高 进一步提高XXXX声誉，增强客户及潜在客户的信心 扩大对同行业竞争对手的优势第二章 灾难分析可能发生的灾难因各城市/地域的地理、气候、社会治安、城市管理，如供水、供电、通讯条件等差异而有所不同。仔细地分析各种突发性灾害发生的可能性以及由此所造成的后果，对于制定和构建完整的和有很强针对性的灾难备份体系是有很大帮助的。下表是一张分析表样本，可使我们对于可能发生的突发性灾难评估有较为清晰的概念。可能的灾难可能性：123

10、45工作场所火灾数据中心火灾电源故障气候灾难（台风，洪水等）工业破坏城市事件（罢工，动乱等）硬件故障软件故障设备问题（如管道漏水等）供水故障通讯系统故障计算机故意破坏（如病毒等）爆炸威胁工作场所的环境紧急事件（化学污染等）第三章 灾难备份设计目标3.1 灾难备份的设计目标采用何种容灾方式（逻辑数据复制物理数据复制）实现灾难备份系统的设计目标主要应从以下四个方面来考虑：具体数据类型与目标的灾难保护：从用户业务系统正常运作的角度分析各种关键业务数据，作出重要性与可恢复性要求的评估，并由此制定系统的数据灾难保护政策。灾难发生后的可恢复业务分析：对用户各种业务与管理流程进行分析评估，并据此制定出用户核

11、心业务系统的灾难备份/恢复策略。灾难发生后的可恢复分析：对于突发性灾难这样的重大事件，有时受灾地区并不苟求所有业务系统都能够可持续运营，故可按实际需求和比例进行分析，并由此配置相应的容灾设备。灾难发生后的业务可恢复时间指标：可以将灾难的发生分为两类，一类是可以预计具体时间的灾难，如损害性极大的台风等；另一类是不可预计具体时间的突发性的灾难，如地震、主机系统的非计划性Down 机等。针对两种不同的灾难类型，要设定不同的业务恢复时间指标。一般来说，对第一类灾难的业务恢复时间要大大短于对第二类突发性灾难的业务恢复时间根据用户对系统容灾能力的不同要求以及投资方面的因素，HP公司提供多种容灾解决方案，各

12、有侧重不同，我们会从不同的角度介绍容灾系统的实现方法，以及系统的典型配置。第四章 灾难备份设计思路及模型为了设计与实施xxxx的灾难备份系统，按照大型项目的管理方法和公司在项目管理方面所积累的丰富经验，在这里将整体项目的设计与实施分为五个阶段：4.1容灾项目开始 明确xxxx灾难备份恢复计划的必要性 明确灾难备份计划的负责人和实施队伍 制定项目实施时间表。4.2灾难风险分析 确定对xxxx业务至关重要的系统、网络和用户 确定由于自然或人为灾难对这些造成的威胁和损失，并尽可能准确为具体的损失 收集各种业务和用户对系统中断时间等的要求4.3制定恢复计划制定当灾难发生，原业务主机系统或网络系统不可用

13、时，提供第二主机（灾备主机）或网络（灾备网络）的选择策略。4.4方案实施开始实施灾难备份计划，如数据实时在线备份、应用系统切换、记录本地数据备份的磁带管理等。4.5支持与维护由指定的人员、部门或公司提供容灾系统的日常支持与维护服务，保证灾难备份恢复系统的可持续，高可用运行。以下为容灾方案实施各阶段的框图：项目开始灾难风险分析方案实施支持与维护制定恢复计划对于其中的核心部分第三项“制定恢复计划”，根据xxxx的业务特点，这里分为以下几个步骤：1、制定业务主机系统集群系统热备份计划：包括对服务器、操作系统、应用系统、数据库系统、重要数据等的热备份计划。2、制定位于生产地的、与业务主机系统相关的前置

14、服务器数据热备份计划：包括对其他机型的操作系统、数据库系统、应用系统、重要数据和通讯配置等的热备份计划。3、制定网络通讯备份计划：对网络设备、网络协议、网络参数设定、故障切换的逻辑过程、通讯线路的备份计划等。4、制定客户端备份计划：包括终端设备，终端用户的注册与权限管理的备份。5、制定磁带备份计划：包括系统备份、非系统数据文件备份、业务数据库数据备份，及与备份系统相关的其他全量备份、增量备份等，以构成完整的系统保护措施。6、制定灾难备份指示系统：此系统用来提供清晰全面的灾难备份指南，可以在灾难发生时在最短时间内找到灾难备份流程，与相关负责人和供应商的联系方式，以及应当采取的应急措施等。如下为流

15、程框图：第五章 xxxx业务系统灾难备份恢复体系设计5.1 灾难备份恢复体系总体设计惠普公司为xxxx业务系统提供的灾难备份恢复方案可以满足用户对于计算机系统、数据的最高保护要求，保证即使发生断电，火灾等严重灾难时，用户业务也可以7x24小时的连续运行，同时确保业务数据在主中心和备份中心得到及时的更新，保证用户数据最大的完整性。根据惠普公司多年来所积累的实施高可靠性灾难备份恢复解决方案的成功经验，我们可以承诺用户在最小的投资范围内，按照惠普公司的项目实施流程，在最短的时间周期内达到整个项目的设计目标，并且通过惠普公司完善周全的售后服务体系，确保XXXX核心业务计算机系统的全天候、安全、稳定的运

16、行。由于用户数据中心的核心业务系统相对集中，因此在数据中心实现关键业务数据的规范化的本地数据备份是灾备系统建设的前提基础；同时通过进行重要业务数据的远程同步实现用户重要业务数据的远程异地存储，为实现业务系统的远程正常运作奠定坚实的基础；容灾系统的关键就是远程生产数据的自动复制，由于用户的应用均为基于数据库的联机事务处理（）业务系统，所以业务数据远程复制的关键就是确保数据库数据的完整性、连续性，实时性和可恢复性。而现在惠普公司基于用户不同的容灾需求所提供的灾难备份恢复方案主要有以下四大类型：1) 通过应用程序来进行远程数据复制（应用层次）；其主要原理就是通过修改应用程序或者使用BEA等公司的中间

17、件产品，使得前端平台在向数据库服务器发送生产数据时，同时向主数据中心和备份数据中心均发送交易数据，主数据中心处理交易数据并返回处理结果，备份中心在正常情况下，只处理交易数据，当主数据中心无法正常工作时，备份中心服务器接替主中心服务器向前端平台返回处理结果。2) 利用数据库厂家的软件产品完成远程数据备份（数据库层次）；现有的一些数据库厂家例如Oracle数据库可以提供STANDBY数据库功能，通过通信网络将实际数据库日志文件传至备份中心存储系统，备份中心的STANDBY数据库按照主数据库结构从日志文件中重新恢复数据库；又例如Informix数据库可以提供HADR(High-Availabilit

18、y Data Replication)功能，在初始化时将主数据中心的数据库中的所有dbspace进行一次零级备份，并恢复到备份数据中心的数据库中，之后主数据中心的数据库服务器可以通过通信网络将生产数据库的逻辑日志文件传送至备份中心的数据库服务器，备份中心的secondary数据库将这些逻辑日志恢复到相应的dbspace上3) 利用主机上安装的操作系统级镜像软件进行远程数据镜像（系统软件，如HP-UX MirrorDisk/UX，Veritas Volume Replicator等）；主中心存储设备与备份中心存储设备进行逻辑卷镜像，主机同时将数据分别写到本地和远程的磁盘设备上，实现业务数据的远程

19、复制。4) 通过惠普最新存储产品XP系列磁盘阵列（磁盘阵列硬件层次），可以实现主数据中心和备份中心的操作系统、文件系统、数据库、应用程序的实时远程拷贝复制。主、备中心磁盘阵列本身就可以通过阵列上的微处理器完成数据的实时同步功能，将灾难发生时关键数据的损失降至最低，而且不需要主机干涉或占用主机资源，可以做到灾难发生的同时实现应用处理过程的恢复。远程备份系统的重新启动可以做到象一般输入电源故障后的重新启动那么简单。以下是对各种容灾实现方案的总体比较：数据量应用复杂度数据实时性对主机性能影响带宽投资成本交易数据备份交易数据高（可能修改应用）低10%几十万数据库日志备份2-4倍交易数据数据库工具可能至

20、少丢失1个LOG较高（10-20%）几十万镜像软件4-8倍交易数据应用透明高（I/O级），网络镜像软件故障影响主机业务高（10-30%）几百万磁盘阵列4-8倍交易数据应用透明高（I/O级）无几百万5.2 应用层方式容灾结构简介利用应用层容灾方式建立针对用户业务的灾难备份系统，其主要原理是通过应用程序或者中间件产品同时向主中心和备份中心传输未经处理的生产数据，主中心服务器和备份中心服务器同时处理数据。在正常情况下，只用主中心和业务系统联系，备份中心只在后台处理数据；当主中心瘫痪时，由于备份中心也存有生产数据库，也存有生产数据，所以可以迅速接管业务。由于是利用应用软件来实现数据同步及保证一致性的，

21、因而对于硬件方面的影响较小。如图所示：这种方案的主要优点就是：a) 由于通过网络传输交易数据时未经数据库处理，所以传输数据量小，对传输数据的网络带宽要求不高；b) 传输数据过程中，主中心和备份中心异步进行，由传输距离产生的延迟和通信带宽瓶颈不会对应用产生较大影响缺点是：a) 对应用程序修改较大，增加应用软件商二次开发负担；b) 由于主，备数据中心的业务处理过程为异步进行，如何保障数据的一致性非常困难，需要在应用中对数据的同步进行周密的设计；这种容灾方式适合于传输距离极长（几千公里），且网络传输带宽和通信质量无法得到有效保证的用户环境而对于存储设备则没有严格的限制，用户可以灵活的选择满足容量和速

22、度要求的存储设备。5.3 数据库方式容灾结构简介531 原理数据库方式由于只是传送数据库日志，与应用没有直接关系，因此无须对应用程序作大量修改。以下介绍主要以Oracle和Informix数据库为主。数据库方式容灾通过数据复制把数据定期、在线地复制到目的地的机器上去，以保持分布在不同地方的两个或多个数据库系统内容的一致性，来实现数据保护。但它将消耗大量的主机资源（至少要占用监控和复制两个进程）。复制的对象是数据库的处理单位，如事务日志（逻辑日志），实现方式也有同步与异步两种，严格来讲，这种方法很难有真正的同步方案。因为同步数据复制要求做任何一笔交易，都要实时地将结果发送到远程的站点中，等远程操

23、作结束后，再执行下一笔交易；而在实际操作中，很难做到这一点，只能做异步的数据复制。所以一个实时应用系统中，一般采用异步方式。备份数据中心通过网络连接到中央数据中心。在正常情况下，Oracle数据库运行在主数据中心的服务器上，数据存储于主数据中心的磁盘阵列中。利用Oracle数据库提供的STANDBY数据库功能，可以通过通信网络将实际数据库日志文件传至备份中心存储系统，备份中心的STANDBY数据库按照主数据库结构从日志文件中重新恢复数据库，以保持数据的一致性。一旦中央数据中心出现问题，用户可以立即启动备份数据中心的备份数据库以及相关应用。Achivelog的备份方式这一实现方式的关键在于通过一

24、个专用程序将主数据中心的数据库中的Achive Log 定时通过通信网络传输到备份中心的数据库中。一旦主数据中心不能提供服务，备份中心首先通过Redo Log恢复数据，然后再代替主数据中心恢复应用。基于数据库方式的容灾能够把变化了的数据定期、在线地复制到目的地的机器上去。对用户来说，这种复制方式的优点是能够较好地保证数据的一致性，但它将消耗大量的主机资源（至少要占用监控和复制两个进程）。此方案可以做到在有限的投资范围内，充分利用现有机器设备，实现应用系统和重要数据的灾难恢复功能。作为惠普公司成熟的灾难恢复技术，此方案已经在国内许多用户中成功实施过。其中包括：上海浦东国际机场灾难恢复系统等。建立

25、远程容灾环境： 利用中央数据库的全备份（零级备份）建立灾难备份数据库 由专门进程负责传输中央数据库生成的日志文件到远地，这里可以通过定义日志文件大小及传输时机来控制灾难发生时的数据损失尽量降低，并可加快容灾应用切换速度，尽快恢复业务在备份数据中心系统上运行。 灾难备份数据库使用传输来的日志文件（Archive log或Logical log）不断更新备份数据库，这时数据库一直处于恢复状态（Informix数据库为quiescent状态），其数据不可被访问（对于Informix数据库，备份数据库中的数据可被用来进行读操作，但无法进行写操作）。 灾难备份数据库更新出错且无法解决时，应重新建立备份数

26、据库。 灾难备份数据库应定期做激活测试，以确保其在关键时刻的可用性。 应用系统需考虑发生灾难时如何将联接切换到灾难备份数据库。容灾切换： 将中央数据库的可取得的日志文件传至灾难数据库后，将灾难备份数据库更新到最近点，并开启数据库供应用系统使用； 立即对灾难数据库做数据库全备份； 对损失的数据进行修补； 以建立灾难数据库的同样方式建立中央数据库，并将运行系统切换回中央数据库，该次切换可做到数据无损失； 立即对中央数据库做数据库全备份； 重新建立灾难备份环境，恢复容灾系统532容灾环境维护（中央数据库结构发生变化）日常管理中，需对中央数据库的归档日志（逻辑日志）目录定期进行备份和清理，亦需清除灾难

27、备份数据库的归档日志（逻辑日志）目录中使用过的归档日志（逻辑日志）。在系统运行过程中，可能发生改变中央数据库结构的情况，这时需要进行适当的操作使灾难备份数据库跟上更新变化，保持数据库结构的一致和同步：1 增加数据文件在中央数据库上增加数据文件将产生相应的日志，当被施用到灾难备份数据库时控制文件中会加入此数据文件名，此时如灾难备份数据库能在相应目录找到此数据文件，恢复操作继续；否则会停止，在继续恢复操作之前，需选择以下操作：- 将此新数据文件拷贝到灾难备份节点的相应目录下；- 在灾难备份数据库上执行命令Alter Database Create Datafile filename2 数据文件更名

28、对中央数据库的数据文件进行更名，需要刷新灾难备份数据库控制文件，或在对中央数据库作该操作时亦对灾难备份数据库作类似操作，即可确保中央与灾难备份数据库的同步。3 修改联机日志文件设置在对中央数据库的联机日志文件进行增加、删除等操作后，都不会影响灾难备份数据库。但在中央数据库上执行命令Alter Database Clear Unarchived Logfile，或以Resetlogs选项打开数据库，则会使容灾备份数据库失效，因为容灾备份数据库无法得到进行恢复操作所需的归档日志文件，这时需要重新建立容灾环境。4 修改控制文件若在中央数据库上使用Create Controlfile命令执行以下操作，

29、将使容灾数据库的控制文件失效：- 改变联机日志组或文件的最大数目参数- 改变数据文件的最大数目参数- 改变并发打开数据库的实例的最大数目参数此时需要刷新灾难备份数据库控制文件。在中央数据库上使用带Resetlogs选项的Create Controlfile命令将在下一次打开中央数据库时重置联机日志，日志序列回到1，从而导致容灾备份数据库失效。5 数据库启动参数建议使中央数据库与灾难备份数据库的参数配置相同，以免因参数不同影响容灾数据库的性能甚至恢复操作的实现。6 刷新灾难备份数据库控制文件当中央数据库控制文件发生改变时，依照以下步骤刷新灾难备份数据库的控制文件：- 停止灾难备份数据库的恢复操作- 关闭灾难备份数据库- 在中央数据库上执行命令Alter Database Create Standby Database Controlfile As filename 创建供灾难备份数据库使用的控制文件- 在中央数据库上执行命令Alter System Archive Log Current归档出当前日志- 将上两步产生的控制文件及归档日志文件传送至容灾节点- 启动灾难备份数据库在Nomount状态，执行Alter Database Mount Standby Database使数据库处于