567计算机灾难快速恢复系统的应用 计算机灾难快速恢复系统的应用 张志强 王立国 广州市红十字会医院，510220，广州市同福中路 396 号 北京同有飞骥科技有限公司，100086，北京市海淀区中关村南大街 36 号湖北大厦 18 层 关键词关键词 医院信息系统 容灾系统 NRS 摘 要 摘 要 计算机系统灾难故障是指由于基础设施故障、人为原因和自然灾害等引起系统非正常停机的事件。NetStor Recovery Server（NRS）是一台封装了备份和恢复软件的的磁盘阵列产品，该系统通过从应用服务器连续复制系统及数据到 NetStor NRS 快速保护/恢复系统，通过磁盘虚拟和快照技术为关键业务的应用和文件服务器提供系统及数据保护。 NetStor NRS 应用恢复系统可以运行在现有的 FC 或者 IP 网络上， 为包括 Microsoft Windows、Novell NetWare 及 Unix 应用和文件服务器提供系统及数据保护。本文探讨了NRS 产品原理及功能和在医院中的实际应用。 1 引言 1 引言 计算机系统灾难故障是指一切引起系统非正常停机的事件， 通常引发计算机系统灾难的因素有基础设施故障、计算机系统硬件故障、人为原因和自然灾害等。在信息社会，随着计算机系统对业务流程的广泛覆盖，发生计算机灾难事故，系统停机、数据丢失和损坏将给组织带来难以估量的损失。在医院，信息系统已经覆盖门诊、住院、药房、诊疗等各个环节，系统停机造成医院业务处理能力丢失或下降，病人在医院的诊疗活动难以继续，营业收入下降，医院信誉降低和形象受损，极端情况下可能会危及病人的生命。由于计算机系统地复杂性， 何时何地会发生何种灾害事故不能预测和完全避免。 为了保障应用系统的稳定性和数据安全，解决应用系统不间断的问题，需要采取灾难备份和灾难恢复技术。 2 容灾概述 2 容灾概述 容灾保护是保证计算机系统连续运行的重要措施。 灾难备份是指为减少灾难发生的概率而采取的各种防范措施， 目标是减少灾难发生时的损失。 灾难恢复是重新组织系统运行的过程，目标是业务快速恢复，使业务中断时间最短或不中断。灾难备份和灾难恢复需要技术和管理双重手段，包括数据备份、系统切换、业务恢复等内容。 2.1 容灾备份需要考虑的问题2.1 容灾备份需要考虑的问题 根据国际标准 SHARE 78 的定义，灾难备份解决方案要考虑八个方面的需求程度或水平，包括：备份/恢复的范围；灾难备份计划的状态；生产中心与备份中心之间的距离； 生产中心与备份中心之间是如何相互连接的； 数据是怎样在两个中心之间传送的；允许有多少数据被丢失；怎样保证更新的数据在备份中心被更新；备份中心可以开始备份工作的能力。 2.2 容灾备份的层次2.2 容灾备份的层次 在 1992 年 Anaheim 的 SHARE 78 M028 这一会议报告中，自动地异568地远程恢复任务被定义有七种层次： 2.2.1 Tier 0-无异地数据备份(No off-site Data)2.2.1 Tier 0-无异地数据备份(No off-site Data) Tier 0 被定义为没有信息存储的需求，数据仅在本地进行备份恢复，没有数据送往异地。 2.2.2 Tier 1-PTAM 车辆转送方式( Pickup Truck Access Method)2.2.2 Tier 1-PTAM 车辆转送方式( Pickup Truck Access Method) 作为 Tier 1 的灾难备份方案需要设计一个应急方案， 能够备份所需要的信息并将它存储在异地， 然后根据灾难备份的具体需求，有选择地建立备份平台，但事先并不提供数据处理的硬件平台。 2.2.3 Tier 2-PTAM 卡车转送方式+热备份中心(PTAM+Hot Site)2.2.3 Tier 2-PTAM 卡车转送方式+热备份中心(PTAM+Hot Site) Tier 2 相当于是 Tier 1再加上具有热备份能力中心的灾难备份。 热备份中心拥有足够的硬件和网络设备去支持关键应用的安装需求。对于十分关键的应用，在灾难发生的同时，必须在异地有正运行着的硬件平台提供支持。 2.2.4 Tier 3-电子传送(Electronic Vaulting)2.2.4 Tier 3-电子传送(Electronic Vaulting) Tier 3 是在 Tier 2 的基础上用电子链路取代了车辆进行数据传送的灾难备份。接收方的硬件平台必须与生产中心物理地相分离，在灾难发生后，存储的数据用于灾难备份。由于热备份中心要保持持续运行，因此增加了成本。但确实是消除了运送工具的需要，提高了灾难备份的速度。 2.2.5 Tier 4-活动状态的备份中心(Active Secondary Site)2.2.5 Tier 4-活动状态的备份中心(Active Secondary Site) Tier 4 这种灾难备份要求两个中心同时处于活动状态并管理彼此的备份数据，允许备份行动在任何一个方向发生。接收方硬件平台必须保证与另一方平台物理地相分离， 在这种情况下， 工作负载可以在两个中心之间被分担，两个中心之间彼此备份。在灾难发生时，需要的关键数据通过网络可迅速恢复，通过网络的切换，关键应用的恢复时间也可降低到了小时级或分钟级。 2.2.6 Tier 5-两中心两阶段确认(Two-Site Two-Phase Commit)2.2.6 Tier 5-两中心两阶段确认(Two-Site Two-Phase Commit) Tier 5 是在 Tier 4 的基础上在镜像状态上管理着被选择的数据(根据单一 commit 范围， 在本地和远程数据库中同时更新着数据)，也就是说，在更新请求被认为是满意之前，Tier 5 需要生产中心与备份中心的数据都被更新。数据在两个中心之间相互映象，由远程 two-phase commit 来同步，因为关键应用使用了双重在线存储，所以在灾难发生时，仅仅传送中的数据被丢失，恢复的时间被降低到了分钟级。 2.2.7 Tier 6-零数据丢失(Zero Data Loss)2.2.7 Tier 6-零数据丢失(Zero Data Loss) Tier 6 可以实现零数据丢失率，同时保证数据立即自动地被传输到备份中心。Tier 6 被认为是灾难备份的最高的级别，在本地和远程的所有数据被更新的同时，利用了双重在线存储和完全的网络切换能力。Tier 6 是灾难备份中最昂贵的方式，也是速度最快的恢复方式。 2.3 医院的容灾备份2.3 医院的容灾备份 现有的医院普遍已建立双机热备+备份的数据安全保护架构，但随着现有医疗信息系统的发展以及 IT 系统在医院运行的过程中起着至关重要的作用，传统的双机热备+备份的数据安全保护架构存在问题。 双机热备通常采用两台服务器连接一台磁盘阵列 （或者通过全冗余链路的 SAN 的方式进行连接），随着数据的大集中，此方式其磁盘阵列本身存在一个单点故障，因此当磁盘阵列出现意外事故， 则整个医疗核心系统会出现瘫痪的局面， 同时其重要的医疗信息数据会存在丢失的风险。 现有很多医院的医疗信息系统均采用了磁盘、 物理磁带库、 虚拟磁带库等设备提供了569数据备份保护， 但当重要的核心医疗系统出现灾难性故障时， 所采用的传统恢复方式可能需要十几个步骤，且其应用于数据的恢复时间与需要恢复的数据量大小成正比， 因为上述现有数据安全保护架构的不足， 目前有医院采取各种措施来建立医院容灾系统1,3，在实践过程中，参考上述各容灾级别建立整体容灾解决方案，随着数据及应用安全性的增加， 其容灾系统投资及技术复杂度相应增加， 尤其是异地应用容灾需要大量的资金，而建成后容易造成系统拓扑复杂，管理困难。 目前医院信息系统处于高速发展的阶段， 管理者将资金和技术人力主要投向应用拓展方面，在系统安全方面投入较少，迫切需要一种经济的、能够快速部署的解决方案，来预防大部分灾难事故， 在灾难发生后， 能够快速恢复应用。 我院利用 NetStor NRS 解决方案，用较小的投入初步实现了灾难备份和灾难恢复系统，对关键业务服务器做到应用级保护，取得了良好效果。 3 灾难恢复系统 NRS 工作方式及实现原理 3 灾难恢复系统 NRS 工作方式及实现原理 快速灾难恢复系统NetStor Recovery Server（以下简称NRS） ，是一台封装了灾难保护软件的磁盘阵列设备，同时相应在受保护客户端配备相应的客户端代理软件模块组成；其结合虚拟化存储、CDP（数据持续保护） 、快照等技术对主机系统提供应用级保护。 该系统通过将应用服务器数据基于Block级连续复制到快速保护/恢即复系统， 持续复制的同时相应的数据提供数据快照保护， 因此为对关键业务的应用和文件服务器提供不间断的系统及数据保护。 针对现有各医院复杂的IT环境， 灾难保护系统采用了同时基于稳定、可靠、高速的FC-SAN以及便捷、低成本的IP-SAN上，网络上，为包括 Microsoft Windows、Novell NetWare 及Unix应用和文件服务器提供先进的系统及数据保护。 NRS系统支持IP/iSCSI/FC三种连接方式，满足医院在现已部署的IP SAN（iSCSI）和FC SAN 网络上基于 Windows/UNIX 的关键应用系统， 可适用于多种关键业务的保护场合。在病毒攻击、应用程序故障或硬盘崩溃时捕捉并启动指定的应用或文件服务器所需的信息。 如果主磁盘出现故障， 快速保护/恢复系统会使用iSCSI协议或FC协议， 在后台从 iSCSI 或FC系统盘通过 IP 网络或FC网络来启动目标服务器。 服务器启动以后， 可以在后台逆向同步复制以恢复系统盘，无需中断业务。如果数据盘出现故障，则无需重新启动系统即可快速恢复数据，消除了停机时间并保持了生产力。 NRS系统在系统崩溃后可以捕捉启动应用程序服务器所需的数据，通过少量的操作，在10分钟内重新启动崩溃的系统，系统恢复过程比较简单，而且能够在后端重建系统，无停机时间。 系统在远程站点继续运行的同时， 会在后台执行从iSCSI磁盘/FC磁盘到新的本地磁盘的恢复，因此消除了磁盘修复时的停机时间。 由于灾难保护系统后台要求进行本地磁盘与灾难保护系统之间的虚拟磁盘进行同步复制，为了有效提高网络带宽的利用率，快速保护/恢复系统必须要求提供基于增量的数据快速保护/恢复技术， 通过建立数据的快速时间点映象， 保护数据不受“软错误”损害，如意外删除、文件损坏及病毒攻击等。 570针对现有医疗应用的实际情况， 其核心应用相关联众多的SQL、 Oracle等大型数据库，快速保护/恢复系统的快照技术在复制时，通过触发运行针对 Microsoft Exchange，SQL Server和 Oracle 等应用数据库的代理程序， 保证在复制时将数据库致于静默状态， 以确保增量复制的数据完整性。 该系统提供快照功能， 针对关键性业务提供连续数据保护。 可以通过对合适的时间点标记进行“回滚”来快速恢复系统和数据。同时灾难保护系统可用基于时间点快照技术，可以设定按策略为数据卷自动创建基于多时间点标记。创建时间点标记策略可自主制定。当发生软件程序导致的数据损坏、 病毒破坏、 意外删除及其它人为误操作引起的数据丢失或错误时，可以通过对合适的时间点标记进行“回滚”来快速恢复数据。 可将数据卷的任意时间点状态抓取出来， 作为一个独立的数据卷提供给主机， 用于数据测试、数据分析和数据备份。基于先进的快照技术可实现快照拷贝（也称数据卷克隆或卷拷贝）功能。快照拷贝可为源数据卷创建基于时间点的数据拷贝（克隆卷），这个克隆卷与原数据卷在物理上完全独立，克隆卷不受原数据卷的影响，可单独使用。 当主机应用程序正常运行时， 部分数据并未写到后端磁盘上， 而是驻留在主机内存中。如果仅仅是对磁盘中的数据进行快照操作， 往往会发现快照出来的数据“不对”， 与预期中的数据不一致。 因此灾难保