XX银行灾难备份系统规划

更新时间：2023-04-07 14:16:01 阅读量：教育文库文档下载

说明：文章内容仅供预览，部分内容可能不全。下载后的文档，内容与下面显示的完全一致。下载之前请确认下面内容是否您想要的，是否完整无缺。

灾难备份系统建设规划

1、概述

随着计算机技术和通讯技术的高速发展，以计算机和通讯技术为基础的金融电子化系统得到了飞速发展。建设银行四川省分行为了发挥计算机城市综合网系统的最大优势，在市场竞争中保持建设银行现有的科技优势，能够给大行业大企业提供全省范围内的优质服务，加强城市综合网系统的安全运行。规划将建设银行四川省分行全省范围内的客户数据帐务信息，集中到省分行运行中心统一处理，这是计算机应用技术发展的必然，也是建设银行四川省分行业务发展的需要。

随着数据集中处理的实施，可以预计，建行的业务运作、经营管理将越来越依赖于计算机网络系统的可靠运行。建设银行所提供金融服务的连续性以及业务数据的完整性、正确性、有效性，会直接关系到我们建行的生产、经营与决策活动。一旦因自然灾害、设备故障或人为因素等原因引起计算机网络系统停顿导致信息数据丢失和业务处理中断，将会给建设银行四川省分行造成巨大的经济损失和声誉损害，受到致命的打击。

将全省客户帐务数据集中统一处理，因数据集中处理伴随而来的运行风险将因为灾难发生大大增加。生产运行主机系统及其配套设备一旦发生故障，就会导致在全省建设银行范围内所有营业柜台停止营业的风险。会计、储蓄、信用卡等建设银行的三大主营业务的停业，建设银行四川省分行面临的将是灾难性打击。因此，生产运行系统的灾难备份系统就显得格外重要。我们认为，一旦实施全省数据集中，

- 1 -

灾难备份系统建设规划

灾难备份系统应该与生产运行应用系统（全省集中）同步投入使用，保证全省数据集中处理系统的运行安全。

根据建设银行四川省分行数据集中处理领导小组的统一安排，1999年10月10日到10月20日，分行科技处组织人员在成都市龙泉，进行封闭式工作，制定城市综合网系统全省数据集中处理规划，本应用系统灾难备份系统建设规划是其中很重要的分部。

1.1 计算机系统灾难备份概念简介

1.1.1 计算机系统灾难定义

计算机系统灾难是指造成重要业务数据丢失，使业务中断了不可忍受的一段时间的计算机系统事故，这些事故导致银行丧失了全部或部分业务处理能力，引起企业营业收入下降、信誉降低和形象受损，甚至威胁其生存。

造成计算机系统灾难性事故的原因有自然灾害、基础设施的突发性事故、计算机系统故障和各种人为因素等。

1.1.2 灾难备份与灾难恢复基本概念

灾难备份：

灾难备份是指为了减少灾难发生的概率，以及减少灾难发生时或发生后造成的损失而采取的各种防范措施。

灾难恢复：

灾难恢复是一个在发生计算机系统灾难后，在远离灾难现场的地方重新组织系统运行和恢复营业的过程。

- 2 -

灾难备份系统建设规划

灾难恢复的目标一是保护数据的完整性，使业务数据损失最少甚至没有业务数据损失。二是快速恢复营业，使业务停顿时间最短甚至不中断业务。

灾难备份中心：

灾难备份中心是一个拥有备份系统与场地，配备了专职人员，建立并制定了一系列运行管理制度、数据备份策略和灾难恢复程序，可以承担灾难恢复任务的机构。

灾难应急方案：

灾难应急方案是指在发生计算机系统灾难事件时，为了尽可能减少损失，而对计算机应用系统采取的抢救措施、故障隔离措施、恢复过程以及工作人员救护和撤离计划等。

灾难恢复方案：

是一套为保证在计算机系统发生灾难后恢复业务运行而预先制定的一套技术措施、管理方法和处理步骤。它是在充分考虑经济、技术、管理和社会条件的可行性的基础之上，提出的最佳灾难恢复策略。

1.1.3 灾难备份数据分析

从数据用途角度分析一般可将需要备份的数据分为系统数据、基础数据、应用数据、临时数据；根据数据存贮与管理方式又可分为数据库数据、非数据库数据、孤立数据、遗失数据。

系统数据（SYSTEM DATA）：

系统数据主要是指操作系统、数据库系统安装的各类软件包和应用系统执行程序。系统数据在系统安装后基本上不再变动，只有在操

- 3 -

灾难备份系统建设规划

作系统、数据库系统版本升级或应用程序调整时才发生变化。系统数据一般都有标准的安装介质（软盘、磁带、光盘）。

基础数据（INFRASTRUCTURE DATA）：

基础数据主要是指保证业务系统正常运行所使用的系统目录、用户目录、系统配臵文件、网络配臵文件、应用配臵文件、存取权限控制等。基础数据随业务系统运行环境的变化而变化，一般作为系统档案进行保存。

应用数据（APPLICATION DATA）：

应用数据主要是指业务系统的所有业务数据，对数据的安全性、准确性、完整性要求很高而且变化频繁。

临时数据（TEMPORARY DATA）

主要是指操作系统、数据库产生的系统运行记录、数据库逻辑日志和应用程序在执行过程中产生的各种打印、传输临时文件，随系统运行和业务的发生而变化。临时数据对业务数据的完整性影响不大，增大后需要定期进行清理。

数据库数据（DATABASE DATA）：

是指通过数据库管理系统（DBMS）来进行存取和管理的数据。

非数据库数据（NON-DATABASE DATA）：

是指通过文件等非数据库管理系统来进行存取和管理的数据。

孤立数据（ORPHAN DATA）：

是指从最后一次业务数据备份后到灾难发生、系统运行停止前未备份的数据。这部分数据通常需要通过人工等方法重新录入到系统

- 4 -

灾难备份系统建设规划

中。一般情况下，孤立数据越多，系统恢复的时间就越长，业务的停顿时间也就越长。孤立数据的多少与数据备份的周期有很大关系。

对数据库数据可通过逻辑日志来恢复全部或部分孤立数据，对非数据库数据则需通过其它方法如缩短备份周期来减少孤立数据。

遗失数据（LOST DATA）：

是指无法恢复或重建的数据。在灾难备份系统的设计与实施中，要重点考虑的就是防止遗失数据的产生或减少遗失数据的数量，以及如何快速查找遗失数据等等。

※※※※※※

从各种数据的数据量增长速度、数据变化频率等方面考虑，应用数据、临时数据、基础数据、系统数据都具有不同的特点，如图1.1所示。

- 5 -

灾难备份系统建设规划

图1.1 数据量增长速度、数据变化频率关系示意图

因此从数据备份角度讲，上述各种不同的数据类型需采取不同的备份策略，如采取相应的数据备份技术及不同的备份周期，重点保护应用数据等。

1.1.4 灾难备份系统的组成

灾难备份系统一般由可接替生产系统运行的后备运行系统、数据备份系统、终端用户切换到备份系统的备用通讯线路等部分组成。

在正常生产和数据备份状态下，生产系统通过人工或网络传输方法向备份系统传送需备份的各种数据。备份中心与生产中心及终端用户的关系如图1.2所示。

- 6 -

灾难备份系统建设规划

图1.2 生产中心与灾难备份中心正常关系图灾难发生后，备份系统将接替生产系统继续运行，备份中心、生产中心及终端用户三者之间的关系如图1.3所示。此时重要营业终端用户将从生产主机切换到备份中心主机，继续对外营业。

图1.3 灾难恢复时生产中心与灾难备份中心关系图

- 7 -

灾难备份系统建设规划

1.1.5 数据备份方式简介

目前比较实用的的数据备份方式可分为本地备份异地保存、远程磁带库与光盘库、远程关键数据+定期备份、远程数据库复制、网络数据镜像、远程镜像磁盘等六种。

（ 1）本地备份异地保存

是指按一定的时间间隔（如一天）将系统某一时刻的数据备份到磁带、磁盘、光盘等介质上，然后及时地传递到远离运行中心的、安全的地方保存起来。

（2）远程磁带库、光盘库

是指通过网络将数据传送到远离生产中心的磁带库或光盘库系统。本方式要求在生产系统与磁带库或光盘库系统之间建立通信线路。

（ 3）远程关键数据+定期备份

本方式定期备份全部数据，同时生产系统实时向备份系统传送数据库日志或应用系统交易流水等关键数据。

（4）远程数据库复制

在与生产系统相分离的备份系统上建立生产系统上重要数据库的一个镜像拷贝，通过通信线路将生产系统的数据库日志传送到备份系统，使备份系统的数据库与生产系统的数据库数据变化保持同步。

（5）网络数据镜像

是指对生产系统的数据库数据和重要的数据与目标文件进行监控与跟踪，并将对这些数据及目标文件的操作日志通过网络实时传送

- 8 -

灾难备份系统建设规划

到备份系统，备份系统则根据操作日志对磁盘中数据进行更新，以保证生产系统与备份系统数据同步。

（6）远程镜像磁盘

利用高速光纤通信线路和特殊的磁盘控制技术将镜像磁盘安放到远离生产系统的地方，镜像磁盘的数据与主磁盘数据以实时同步或实时异步方式保持一致。磁盘镜像可备份所有类型的数据。

1.1.6 后备运行系统的状态

按后备运行系统的准备程度，可将其分为冷备份、温备份和热备份三大类。

冷备份：后备运行系统未安装或未配臵成与生产系统相同或相似的运行环境, 应用系统数据没有及时装入备份系统。一旦发生灾难，需安装配臵所需的运行环境，用数据备份介质（磁带或光盘）恢复应用数据，手工逐笔或自动批量追补孤立数据，将终端用户通过通讯线路切换到备份系统，恢复业务运行。

优点：设备投资较少，节省通信费用，通信环境要求不高。

缺点：恢复时间较长，一般要数天至一周，数据完整性与一致性较差。

温备份：有后备运行系统安装场地、后备运行主机和通讯设备，后备运行系统已安装配臵成与生产系统相同或相似的系统和网络运行环境，安装了应用系统业务定期备份数据。一旦发生灾难，直接使用定期备份数据，手工逐笔或自动批量追补孤立数据或，将终端用户通过通讯线路切换到备份系统，恢复业务运行。

- 9 -

灾难备份系统建设规划

优点：设备投资较少，通信环境要求不高。

缺点：恢复时间长，一般要十几小时至数天，数据完整性与一致性较差。

热备份：后备运行系统处于联机状态，生产系统通过高速通信线路将数据实时传送到备份系统，保持备份系统与生产系统数据的同步。也可定时在备份系统上恢复生产系统的数据。一旦发生灾难，不用追补或只需追补很少的孤立数据，备份系统可快速接替生产系统运行，恢复营业。

优点：恢复时间短，一般几十分钟到数小时，数据完整性与一致性最好，数据丢失可能性最小。

缺点：设备投资大，通信费用高，通信环境要求高，平时运行管理较复杂。

1.2国外灾难备份技术发展趋势

1.2.1业务连续性要求的提法与灾难恢复目标的变化

建立灾难备份中心的最初目的是：以最合理的代价保护应用数据的完整性与安全性，在灾难发生后尽快恢复运行，减少业务停顿时间，尽可能不中断或不影响业务的正常进行，使灾难造成的损失降到最小。即不管两个系统相离多远，当一个数据中心出现问题时，另一个数据中心就应能迅速接替运行，既要保证业务数据的完整性，又要保证关键业务的连续性。

随着商业银行的业务发展及竞争的日益加剧，国外商业银行又提

- 10 -

灾难备份系统建设规划

出了业务连续性的要求。这种要求的产生背景是：

（1）商业银行承诺向客户提供“3A”服务（即任何时间A nytime，任何地点A nywhere，任何方式A nyways）。由于家庭银行、企业银行、网络银行、电话银行、ATM/POS等电子银行的出现，客户不受银行终端用户的上下班时间及位臵的限制，享受银行提供的金融服务。

（2）随着银行金融服务和金融市场的拓展，商业银行比较注重银行间相互联网。这样，当客户外出时，无需携带大量现金，也无需在当地银行、外币找换店及酒店兑换外币，可直接在当地自助设备上提取当地货币，还可办理各种存取款、转帐、申请结单或支票等业务，既节省时间，又极大方便了客户。由于时差等原因，要求银行服务具有连续性。

（３）在开放的金融市场环境下，为适应市场需求，发达国家的商业银行从注重规模效益转为重视深度效益。注重客户关系及客户价值是变革的关键，而深度效益的内涵是对详细客户信息和市场信息的组织和分析，利用数据仓库(DATA WAREHOUSE)、数据采掘(DATA MINING)技术从业务数据中提取可供辅助决策用的信息。数据仓库是将银行各自分散的原始数据（如主机中的帐务数据）汇集和整理成为单一的管理信息数据库、客户信息数据库，面向专题和时间组织数据，并对数据进行集成。使用数据采掘技术从数据仓库中提取隐藏的预测性信息，为银行提供完整、及时、准确的商业决策信息，为银行经营决策人员提供辅助决策支持。它要求原始数据具有实时性、连续可用性，并具有较好的完整性与长时间延续性。

- 11 -

灾难备份系统建设规划

保持业务的连续性要求灾难恢复系统实现更高的目标：除了以最合理的代价保护应用数据的完整性与安全性，在灾难发生后尽快恢复运行，减少或尽可能消除业务停顿时间外，还应做到：

（1）保证业务的连续性与延续性，即保证业务数据的连续性，为银行的决策支持系统提供连续完整的基本数据；

（2）缩小或取消应用系统用于批处理和数据备份（如磁带备份）的时间，保证关键业务服务24小时不中断，使应用系统的服务时间达到7X24，满足银行互联及客户的需求；

（3）为业务发展及应用开发提供与生产系统完全一致的开发与测试环境，如测试2000年日期问题，开发测试新应用程序等。

1.2.2灾难备份技术的发展趋势

灾难备份技术的发展趋势主要有三个方面：

（ 1）采用实时热备份技术。实时热备份技术具有一次性投资昂贵、通讯费用高等缺点，但具有最好的数据完整性与业务连续性保证。随着商业银行的业务发展及竞争需要，银行的业务连续性要求将越来越高，采取实时热备份技术来实现灾难备份是未来的发展趋势。

（2）外包方式：灾难恢复计划涉及到业务风险分析、方案选择、实施、测试、培训、演习等内容，是一项既复杂又繁锁的工作。采用外包方式则可将灾难恢复计划交给专业计算机公司来完成，银行则可专心从事银行的生产与经营。

（3）开发灾难恢复计划辅助工具：灾难恢复计划是一项系统工程，开发灾难恢复计划的辅助工具与系统是非常必要的，它包括：备

- 12 -

灾难备份系统建设规划

份策略决策系统，灾难恢复指引系统，自动运行管理系统等。

1.2.3 灾难恢复计划辅助工具的应用

（1）备份策略决策系统

备份策略决策系统应以风险及损失分析为基础，同时考虑成本、恢复速度、防灾种类、数据的完整性等因素，通过科学的分析及决策方法来确定应采用的备份策略。

（2）灾难恢复指引系统

通过将相应的灾难恢复处理流程编成相应的在线指引性软件系统，在灾难发生后指导管理维护人员如何一步一步地依照设定好的步骤，准备相应的资源，执行相应的操作，从而准确地进行灾难恢复。灾难发生后的恢复工作是一项复杂的系统工作，不是仅凭经验就可以做好的，恢复工作必须依照严格的操作指南来完成，以保证整个系统恢复工作的有序进行。

（3）自动运行管理系统

运行自动化是指通过软、硬件等措施，实现生产系统及备份系统的全部或部分自动操作。这样既可减少人员的投入，又可减少由于人为失误而带来的损失，从而提高整个系统的安全性与可靠性。

2、备份系统规划的制约条件

2.1 技术上的制约因素

技术上的制约因素主要有以下几个方面：

（1）灾难恢复技术比较复杂。

- 13 -

灾难备份系统建设规划

开放系统（四川省分行系统属于开放系统）远程备份可采用EMC 或STK的远程磁盘镜像技术或者数据库管理系统厂商的热备份技术，如INFORMIX HDR/CDR。IBM公司在RS6000计算机上有系统一级的热备份技术HAGEO。HP公司在HP-9000计算机上有硬件级的远程磁盘阵列镜像技术HP SureStore E-XP256。这些技术的实施都比较复杂，需要进行高层次的培训及操作管理熟悉。并在实际使用方面加以多方面的考虑和规划。

（2）应用系统需要改造

我们现在运行的城市综合网应用系统在系统的结构、信息组织及运行方式等方面未充分考虑数据备份及灾难恢复的需求。如城市综合网系统的数据库SAVDB，存放了储蓄业务、信用卡业务的所有客户帐户信息、会计信息、报表数据和各种标准数据，有发生变化频繁的支持日常业务交易的数据（流水帐、明细户主帐、综合户主帐等），有发生不频繁的数据（明细帐、总帐、报表等），也有基本不发生变化的数据（科目字典、利率表、机构编码表等）。这些数据存放在一起，造成每天有70%以上的数据在重复备份，既占用大量数据存储资源（磁带、硬盘空间），需要计算机主机硬件资源频繁的升级或更换；更占用了比较多的数据备份及恢复时间，造成数据全省集中潜在的危机。

2.2管理和认识方面的制约因素

（1）在灾难备份中心的运行管理上，尚无成熟的规章制度，无经验可谈，需要借鉴国内外的成熟经验，需要在实践中不断摸索。

（2）灾难备份中心的建设尽管看起来主要涉及众多技术方面的

- 14 -

灾难备份系统建设规划

问题，但灾难备份中心的建设是一项浩大的系统工程，需要各部门的参与，而绝不仅仅是技术部门的事，灾难备份中心的建设应该由管理的决策高层来决定和推动。

2.3 投资方面的制约

要建立一个技术比较先进、功能完备的灾难备份中心，具体说来，就是建立一个能在较短时间（如在3小时以内），接替生产运行系统工作并保持生产运行系统的运行性能的灾难备份系统，投资是巨大的，因为灾难备份系统应该具有生产运行系统的所有投资，还要加上。

3、规划的基本原则

由于存在着各种制约条件，要确定一个理想的灾难备份与恢复策略是非常困难的，必须综合考虑各方面的因素。我们认为，灾难备份规划的制定应遵守以下基本原则。

3.1 侧重于保护业务数据安全。

灾难备份的目标有两个，一是保护数据的完整性，尽量减少业务数据丢失，最好没有业务数据丢失，从而减少业务风险。二是快速恢复营业，使业务停顿时间最短。

要实现保证业务连续性的目标，资金投入要比保护数据完整性的目标大得多，而“数据是银行的生命线”，因此在制定灾难备份策略时应侧重于保护业务数据安全，将确保数据安全作为灾难备份的首要目标。

- 15 -

灾难备份系统建设规划

3.2 充分利用已有资源。

要充分利用已有的机器设备、机房等资源。尽可能少投入新增设备购买资金。如要投资，也要与其他的工作项目一起综合利用资源的使用，如软件测试、新技术实验等。

3.3 灾难预防措施与灾难备份策略相结合。

灾难备份作为银行计算机信息系统安全技术机制的一个重要组成部分，与灾难预防措施有着密切的联系，采用灾难预防措施可以大大地减少灾难性故障发生的概率，启用灾难恢复系统，还是在运行中心进行现场恢复要作全面的、综合的考虑，作出最优的决策。

3.4 目前管理运行上可行，又要考虑将来的发展变化。

目前，我行正处于从专业银行向国有商业银行转化的体制改革之中，总行科技部也正在进行灾难备份建设的总体规划。因此灾难备份中心的建设的策略是：既要在目前管理运行上是可行的，又要能适应将来的发展变化。

4、需求分析

4.1 计算机系统灾难分析

4.1.1 灾难类型

（1）自然灾害：造成计算机灾难的自然灾害有：火灾、水灾、雷击、台风、地震、鼠害等。根据有关资料，成都地区发生毁坏性地震的可能性不大，并且，现有生产运行中心所在地--民兴大厦，在修建

- 16 -

灾难备份系统建设规划

时作了抗7级以下地震的设计。成都地区附近无大江大河，不会出现洪涝。因此对我们生产运行系统来讲，自然灾害主要是指水灾、火灾、雷击和鼠害。

（2）计算机系统故障：引起计算机系统故障的因素有下述几点： a.主机系统故障：

主要指：数据库系统故障、系统软件故障、硬盘损坏、网卡故障、电源故障、应用系统缺陷、其它故障

b.主机房故障：

主要指：主机房电源故障、主机房通讯故障、主机房水灾、主机房火灾、主机房鼠害

c.整幢楼房故障：

主要指：整幢楼房电源故障、整幢楼房火灾或水灾、整幢楼房其它灾害

（４）人为因素：由于应用系统缺陷、误操作、人为蓄意破坏、外来暴力事件等都将直接影响系统的安全运行。

图4.1是1988年以来世界范围内计算机系统灾难统计。

- 17 -

灾难备份系统建设规划

图4.1计算机系统灾难统计图

(资料来源：美国UNISYS公司)

4.1.2 国外银行和公司计算机灾难案例

〃1997年四月下旬，在香港零售银行业占有一半以上市场的汇丰银行和恒生银行由于电源系统发生故障导致中枢电脑系统停机，造成“该行一百三十年以来最严重的事故”。故障期间，这两家银行的八百多部自动柜员机暂停服务两个小时，同时柜台服务和电话银行服务也受到严重的影响，这次重大事故立刻成为传媒的焦点，给两行业务和信誉造成极大损失；

〃1996年1月美国南加州洛杉矶发生6.6级地震，造成三百亿美元的损失；

〃1995年1月17日日本神户地区大地震摧毁了1700多部电脑系统，造成一千多亿美元的损失；

- 18 -

灾难备份系统建设规划

〃1992年4月美国芝家哥市中心商业区河水倒灌电力管道，致使200家电脑中心受损；

〃1990年8月美国纽约CON EDISON电力公司发生火灾，致使120多家电脑中心遭受损失。

4.1.3 对建设银行计算机灾难成因的分析

根据对各分行调查的材料统计分析，1997年六月份以前全国建设银行计算机应用系统发生的故障排序如下：

( 1）通信线路出现故障最频繁。一旦出现故障轻则影响数个网点，重则影响大部分甚至整个地区。如某直辖市通讯线路出现故障致使建行ATM全部停业3天;某计划单列市电信局更换设备考虑不周，全市线路处于瘫痪状态整整7个小时。

（2）引起计算机系统停顿的内部因素，一是数据库管理系统存在缺陷，二是数据库厂商与机器厂家在产品兼容性等方面工作未做好，一旦出现问题，相互推诿责任，常常出现数据库系统瘫痪现象，导致业务中断。如沿海、沿江一些省分行全部采用INFORMIX—ONLINE作为数据库平台，但数据库系统经常瘫痪，时间在十几分钟到数小时之间不等，在某一分行竟长达2天之久。

（3）某些地区电网周波不稳定，常常损坏中心机房UPS等设备。

（4）某些地区雷击和火灾对我行计算机系统构成了直接威胁。如沿海某县行由于雷击，使网络设备和供电设备遭到严重破坏，损失高达70万元；某分行信托公司由于接线板短路引发火灾，大楼受到严重破坏，计算机设备全部报废，证券部停业，在社会上造成很坏的影

- 19 -

灾难备份系统建设规划

响。某分行一县支行大楼发生火灾，整幢大楼全部被烧毁，幸亏一技术人员冒着生命危险从金库中抢出数据备份磁带，从而避免了毁灭性的损失。

（5）由于应用系统缺陷、后台人为误操作等造成系统停机的现象也不同程度存在。如某计划单列市分行由于应用软件缺陷导致停机1.5小时；某二级分行技术人员由于误删数据库停机长达半天；某二级分行由于轧帐出错，致使停机长达8小时。

（6）由于管道破裂引起机房进水的情况存在。如某行由于水管破裂差一点使配电柜受到损坏；某行因水管破裂使一台U6000主机受淹，幸好未开机而未受到严重损坏。

4.2 业务连续性要求分析

4.2.1 国外研究分析资料

（１）调查到的国外各行业可以忍受的最长停顿时间如下: 〃银行：2.0天

〃商业：3.3天

〃工业：5.0天