6.2容灾能力级别划分

根据GB/T20988一2007、GB/T22240一2008、JR/T0044一2008的相关要求，按照所承载的业 发生故障或瘫痪的影响范围、危害程度等对分布式事务数据库容灾能力要求进行划分。 结合金融领域特性，将分布式事务数据库发生故障或瘫的影响范围分为4个层级：

ZJM0标准规范范本JR/T02052020

a）内部辅助管理：未对金融机构经济效益、社会声誉产生直接影响的内部管理事项， b）内部运营管理：对金融机构经济效益、社会声誉产生直接影响的内部管理事项。 公民、法人和其他组织的金融权益，包括： 一 公民、法人和其他组织的财产安全权、知情权、公平交易权、依法求偿权、信息安全权 一其他影响公民、法人和其他组织的金融权益的事项。 d 国家金融稳定、金融秩序，包括： 一一 国家对外活动中的经济金融利益。 一一国家金融政策的制定与执行。 一国家金融风险的防范。 一一国家金融管理活动。 一一多数关键金融机构、金融市场及其基础设施的稳定运行。 一其他影响国家金融稳定、金融秩序的事项。 将分布式事务数据库发生故障或摊痪的危害程度划分为3类： 较小影响：指的是工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出 现较轻的法律问题、较低的财产损失等。 D 一般影响：指的是工作职能受到一般影响，业务能力显著下降且影响主要功能的执行，引发 一般的法律问题、较高的财产损失等。 严重影响：指的是工作职能受到严重影响或丧失行使能力，业务能力严重下降或功能无法执 行，出现严重的法律问题等。 根据应用于金融领域的分布式事务数据库的业务系统的重要程度和发生故障或瘫的影响范围、危 度，将其容定能力等级划分为6级、且体贝表1

应用于金融领域分布式事务数据库容灾能力等

应用于金融领域的分布式事务数据库灾难恢复能力应至少达到4级及以上能力要求，具体对 O、RPO、灾备部署等关键指标要求见表2。

JR/T 02052020

应用于金融领域的分布式事务数据库应具备自动或手动灾难恢复能力，满足不同等级灾难恢复要 求。在单个机房发生灾难的情况下（如机房进水导致机房整体受损），提供不同等级的容灾能力。在受 灾机房恢复之前，应保证受灾机房中所对应的数据库数据和应用服务能通过技术手段全部恢复或者部分 恢复，即对数据可靠性和服务可靠性的影响控制在可预期范围内，数据恢复点目标和恢复时间目标根据 应用容灾等级进行约束。 分布式事务数据库的灾备建设模式选择，应结合风险分析、业务功能分析和业务中断影响分析，根 据成本风险平衡原则以及运行管理要求，选取相应的灾备建设模式。 灾备建设模式具体要求如下： 基本要求： 同城灾备场景：应支持同城两中心或同城多中心部署架构，具体为在生产中心所在城市建设同城数 据中心，以应对火灾、电力中断等生产中心可能发生的灾难。 增强要求： 异地灾备场景：宜支持两地三中心或多地多中心等部署架构，具体为在生产中心所在城市建立同城 数据中心，同时在与生产中心处于不同地理区域的城市建立异地数据中心，以应对可能发生的同城范围 的灾难。

金融领域分布式事务数据库应至少达到4级容灾能力要求，容灾能力相关技术要求应符合GB/T 20988一2007中的规定。本章节从数据备份、数据处理、网络能力和运维能力4个要素给出不同容灾能力 等级的具体要求，详见表3至表5

JR/T02052020

a）数据应在生产和同城数据中心至少各有2个数据副本，在满足RPO、RTO的要求下， 异地至少有1个数据副本。 数据备份 b）确保每个同城数据中心至少有1个副本是同步复制，保障数据一致性。 c）完全数据备份至少每周1次。 d）增量数据备份至少每天1次。 a）备用数据处理系统的主机、操作系统等资源与生产数据处理系统完全兼容。 b）异地和同城数据中心均具备与生产数据处理系统相一致的数据处理能力，至少有 数据处理 1个备份处于运行状态。 c）应确保备用数据处理系统具备与生产数据处理系统相同的高可用特性。 a）提供充足的网络带宽，保证备份数据传输带宽满足业务峰值所需的带宽需求。 网络能力 b）异地和同城数据中心的虚拟网络、物理网络、出口网络带宽及链路配置与生产系 统的网络能力相同。 a）应能够对灾备能力进行集成管理，支持通过可定制的标准化流程完成流量自动或 集中切换。 b）灾难事件发生后，备份数据中心的分布式事务数据库资源管理仍可完成对备份数 运维能力 据中心的资源管理和调度。 c）对生产系统关键运行状态进行实时监控和告警。 d）分布式事务数据库需要为关键的运营数据提供数据备份。

JR/T 02052020

JR/T 02052020

灾难预防应支持对数据中心灾备环境与主生产环境一体化管理，将数据中心的变更、容量、配置、 监控、事件、应急、安全等管理流程延伸到同城数据中心和异地数据中心，尤其当主生产环境发生变更 寸，应定期对灾备环境进行同步变更。 灾难预防应建立和完善的机制包括如下内容： a）应支持数据库灾备环境系统可用性检测。 应支持自动或手动切换服务的功能。 数据中心应定期制定灾备切换演练计划，定期进行灾备切换演练，验证灾备系统的有效性。 数据中心应建立完善的应急处理体系，灾难恢复预案和流程应经过切换演练的验证，能确保 在紧急情况下发挥作用。

8. 1. 1灾难预案管理

灾难预案管理通常包含如下内容： a）可用性检测管理： 一应具备灾难检测预案和灾难检测机制，判断资源的可用性。 应支持对资源的状态进行实时检测，当检测到生产中心异常时及时触发灾备切换。 b 数据备份管理： 一应具备数据备份方案，定期对生产数据中心和灾备数据中心的数据进行备份。 应具备数据一致性检测方案，定期对备份数据进行一致性检测。 一应具备备份数据的恢复校验功能，避免因为异常导致备份数据不可用。 一备份数据宜存储在2个以上机房。 c）灾备切换策略管理： 一应具备完善的灾难切换策略， 一应具备完善的恢复回切管理。 宜在有对应安全机制的前提下，模拟灾难场景，验证灾备系统是否具备完善的灾备切换 和恢复回切管理，并以最小化影响业务为原则，满足不同等级的容灾要求。

8.1.2灾难切换演练

灾难切换演练主要是为了验证灾难恢复预案的 提高预案的执行能力，确保各参与 方在灾难发生时的有效协同，以及业务系统的快速恢复，应至少每年进行1次相关预案的切换演练施工标准规范范本，具 信息服务平台 体实施方案包括： 土 a）同城机房故障切换方案： 生产中心切换同城数据中心。 一生产中心恢复， 一同城数据中心回切。 b） 异地机房故障切换方案： 生产中心切换到异地数据中心， 一一异地数据中心差异数据修复。 一生产中心恢复。 一 异地数据中心回切。

JR/T02052020

应急处理主要是当数据库系统发生事故停止工作时，整个数据库系统能切换到灾备系统运行，使得 库系统功能可以继续正常工作， 应急处理流程应包括：数据备份、切换灾备系统运行、业务数据验证、事故检查与验证、恢复和切 产系统、回溯总结等步骤。相关要求如下： 数据备份，内容如下： 一一应在启动事故处置操作前，对数据进行备份，避免在恢复过程中造成数据丢失或损坏。 一一当本地已部署有数据库及存储设备，可通过远程存储做本地数据库的数据备份。 一一当本地数据库发生故障时可通过远程存储将数据恢复到本地。 一如果发生城市级故障，则应把原有数据备份传输到异地。 b）切换灾备系统运行，内容如下： 一对生产端和灾备端的数据进行验证，包括一致性验证、完整性验证和可用性验证，确保 灾备数据与生产数据一致且可用。 一一将发生事件的生产系统切换到灾备系统运行，灾备系统应提前经过运行测试，确保灾备 系统可接替生产系统运行。 业务数据验证，内容如下： 一一业务数据验证是指当数据库系统切换到灾备系统后，验证系统自身所产生的业务数据， 或与其他相关应用系统的交互数据是否正确。 一一业务数据验证包括交易数据验证和汇总数据验证，内容如下： ·交易数据是指数据库系统在工作时段所产生的数据； ·汇总数据是指数据库系统在工作时段结束后产生报表时所产生的数据。 一一交易数据和汇总数据均经验证与生产一致，才能通过业务数据验证，针对发出提交指令 但是未收到确认回复的存疑事务进行校验和处置， d 事故检查与验证，内容如下： 对事故发生的原因，受影响的机房、服务器、数据库的范围等进行检查和验证。 一制定事故处置的实施方案，事故处置的实施方案应经过详细的测试与验证，且应包含系 统回退方案，确保实施过程中发生意外事件时，系统能回退到实施前的状态。 e 恢复和切回生产系统内容包括：对生产系统进行恢复，并在生产系统正常运行后，应切回生 产系统。 回溯总结内容包括：应对事故处置过程进行全程日志记录，针对事故处置过程中存在的问题 进行回溯总结，制定灾难预防措施，并对相关事故处置的预案文档进行修订、发布和宣讲， 提升对事故的响应和处置能力。

8. 3. 1监控管理

监控管理包括对监控能力和监控职责的管理，具体要求如下： 8 监控能力：分布式事务数据库环境的灾难恢复应具备的监控能力，包括但不限于： 一应实时监控生产中心和灾备中心的业务应用系统可用性和性能状态。 一应能够有效监控灾备切换过程。 一应能够监控灾备同步状态。 一应具备告警功能。 b）监控职责：分布式事务数据库应对灾难恢复系统的日常生产维护工作进行监控，包括但不限 于：

路桥施工组织设计 JR/T 02052020

应监控分布式事务数据库资源的运行状态并进行优化。 应执行分布式事务数据库的日常操作、维护工作和升级工作。 应解决分布式事务数据库资源的基础架构的故障和问题

8. 3. 2监督管理