多種類型的災難都可能導致關鍵系統離線、辦公室和數據中心受損，或導致正常業務運營所需的數據庫和應用程序暫時無法使用。災難恢復計劃是企業快速恢復其最重要系統和應用程序的流程和技術路線圖，以便企業能夠在恢復其他系統和應用程序的同時恢復工作。

災難恢復簡介

災難恢復 (DR) 包括企業在發生破壞性事件后恢復其計算工作負載的技術計劃，以及在災難發生前測試策略的方法。在災難恢復計劃中，工作負載按重要性排序。企業的目標是最大限度地減少計算停機時間和數據丟失，同時平衡每個工作負載的成本。

雖然災難恢復長期以來一直是 IT 運營的重要組成部分，但云計算和為互聯網設計的軟件架構正在降低實施全面災難恢復計劃的成本和工作量。

定義和概述

災難恢復是指企業在因操作員錯誤、瀆職、軟件錯誤、自然災害或其他災難導致意外停機后，為使重要 IT 系統恢復運行而采取的政策、技術和預算。在發生中斷之前，企業需要確定哪些關鍵任務應用程序必須在災難發生后立即恢復，并將其他應用程序按重要性分組（稱為層級）。然后，他們需要確定企業可以承受每個應用程序的停機時間和數據丟失量，并據此制定 IT 策略。

災難恢復的重要性

災難恢復非常重要，因為破壞性事件導致的意外停機可能導致重大財務損失——據行業估計，每小時約 10 萬美元。長時間的停機還會損害品牌聲譽，并導致監管機構的譴責或處罰。在一些監管嚴格的行業，包括金融服務、能源和醫療保健，公司需要以比傳統備份數據副本更快的速度恢復數據和計算操作。

在緊急服務和醫療保健等領域，意外停機也可能導致生命損失。如果發生災難性事件（如颶風、龍卷風或地震），那么所有服務都面臨風險。信息能否流向需要的地方以拯救生命？

災難恢復的基本概念

有兩個關鍵的災難恢復指標：恢復時間目標 (RTO)，衡量系統可以保持離線狀態的最長時間；恢復點目標 (RPO)，衡量企業可以承受的數據丟失量，與備份或復制的頻率相關。對于這兩個指標，閾值越短越好，但成本也越高。IT 組織通常會為其運行的每個系統設置 RTO 和 RPO，從而讓他們能夠平衡成本和關鍵性。

災難恢復是一個成熟的實踐領域，但更多地使用云服務與所謂的“試點”部署相結合，即使用實時、最新的數據和備用服務來重啟云數據中心的系統，可以幫助規劃人員以更少的資金提供出色的 RTO 和 RPO 指標。這是因為云提供商在每個基礎設施層都投資了冗余，從而實現了自動和半自動故障轉移和恢復過程。這些是他們的客戶不再需要進行的投資。此外，試點部署可以將恢復服務所需的時間縮短到幾分鐘。

有關基于云的 DR 部署的更多信息即將發布。

災害類型

許多類型的災難都會影響 IT 系統，包括網絡攻擊、硬件故障、自然災害和人為錯誤導致的中斷。有些災難是可以預見的。例如，所有組織都可能成為網絡攻擊的目標。有些公司位于颶風、地震和洪水等自然災害更容易發生的地方。人為錯誤是常有的事。

這項工作就是當出現問題時做好反應的準備。

計劃外中斷是指系統或服務中意外中斷，導致停機和正常運營中斷。這些中斷可能由于剛剛討論的因素而發生，并可能對企業造成嚴重后果，包括收入損失、聲譽受損、客戶滿意度下降，甚至生命損失。制定恢復計劃至關重要，以最大限度地減少計劃外中斷的影響并確保快速恢復服務。

災難恢復與高可用性

高可用性技術可在集群中的節點或集群服務器之間復制數據，以便它們可以相互故障轉移并保持工作負載運行，從而確保非常高的 IT 服務水平。這些技術旨在消除單點故障，并且通常由保證正常運行時間百分比的服務級別協議支持。在云計算中，高可用性保護物理基礎設施，包括電源、冷卻、存儲、網絡和服務器。應用程序級負載平衡軟件也有助于確保高水平的正常運行時間。

另一方面，災難恢復可防止多點故障，旨在在極端中斷（例如地震或颶風導致設施癱瘓）后將關鍵工作負載恢復到運行狀態。災難恢復站點通常在地理位置上彼此相距甚遠。

高可用性和 DR 技術都應該是全面業務連續性計劃的一部分。

災難恢復的目標

災難恢復計劃的主要目標是確保業務部門在危機期間能夠繼續工作。災難恢復計劃包括快速重啟計算服務以及限制數據和資金損失的流程。它們還旨在滿足管理業務連續性和數據保留的監管要求。

恢復時間目標 (RTO) 和恢復點目標 (RPO)

災難恢復計劃的兩個主要指標是恢復時間目標 (RTO) 和恢復點目標 (RPO)。企業運行的每個系統可能具有不同的 RTO 和 RPO 要求，具體取決于 IT 部門與相關業務部門之間的服務水平協議。

對于每個應用程序或服務，RTO 是計劃外中斷后允許的最大停機時間，而 RPO 衡量企業愿意容忍的最大數據丟失量。閾值越短/越小越好，但通常成本更高。IT 組織可以為其運行的每個系統設置 RTO 和 RPO，以平衡成本和關鍵性。

制定災難恢復計劃

DR 計劃包括對災難事件的潛在風險、可能造成的運營損害、員工和外部利益相關者可能受到的影響以及可能由此造成的財務損失或監管罰款的全面評估。

作為制定災難恢復計劃的一部分，公司需要確定執行發起人和受影響的團隊；編目可能在災難期間受損的物理和 IT 資產；并考慮對客戶、供應商、合作伙伴和其他利益相關者的潛在影響。

IT 部門需要決定哪些工作負載可以從備份中恢復，哪些工作負載需要實時數據和以較低容量運行的服務，哪些工作負載需要滿負荷運行。在某些情況下，停機的活動系統將自動切換到備用系統，從而將停機時間降至最低，并且不會丟失任何數據。在其他情況下，切換將是手動的。IT 團隊將希望選擇備份站點并制定一個計劃，讓他們能夠快速重啟應用程序。云計算在這里大有幫助。企業還需要尋找可能阻礙重啟運營的 IT 依賴關系——一個離線應用程序阻止另一個應用程序重新上線的情況。

除了這些技術方面之外，高管領導和業務部門還應制定緊急溝通和響應計劃，并對員工進行災難恢復計劃培訓，通過桌面測試或演練進行測試和演練，并不斷改進。

風險評估和恢復目標

每個 DR 計劃都應包括可能中斷業務運營的事件的風險評估、可能受影響的應用程序的影響分析以及由此造成的財務損失的估計。業務影響分析應包括每個應用程序的 RTO 和 RPO。然后，企業可以決定其恢復計劃，并選擇在哪里以更高的成本換取更短的恢復時間和恢復點目標。

備份和恢復策略

備份和恢復方法根據性能成本不同而有所差異，包括以下幾種：

• 離線備份具有更高的 RPO，但在勒索軟件攻擊期間可能是唯一的選擇
• 試點部署可以在幾分鐘內（而不是幾小時）將系統恢復到工作狀態，但比簡單的備份更昂貴，維護起來也更困難
• 熱備用方法，將實時數據與以較低容量運行的云中應用程序副本相結合
• 主動/主動故障轉移方法，即多個實時站點以滿負荷運行以實現恢復時間，并且恢復點接近于零，是最昂貴的災難恢復策略，盡管現代軟件架構和數據管理策略可以幫助控制成本，并可能帶來其他好處，包括提高可擴展性

計劃測試和合規性

僅創建 IT 清單、確定應用程序層和映射依賴關系是不夠的。為了使 DR 達到企業期望的水平，從操作系統到應用程序的每種技術都需要冗余。DR 的成功還取決于定期測試，無論是桌面演練（利益相關者口頭執行步驟），還是 IT 部門將采取的措施的實際演練以及僅在災難期間使用的系統組件的測試。

財務報告和數據保護法規也會影響災難恢復計劃。例如，美國企業財務報告法規《薩班斯-奧克斯利法案》規定了數據保留要求。美國《健康保險流通與責任法案》（HIPAA）要求在災難期間制定電子健康信息應急計劃，歐盟《通用數據保護條例》（GDPR）則規定在災難期間公民的個人數據必須可用。

DRaaS 的優勢和用例

災難恢復即服務 (DRaaS) 是一種云服務，可讓企業在公共云或混合云中運行應用程序，并在云提供商的設施而不是本地數據中心制定 DR 計劃。基于云的 DRaaS 產品可讓公司在云區域之間遠程轉換計算、數據庫和應用程序負載，并自動執行恢復業務系統所需的步驟，而無需重新架構它們或使用專門的管理軟件。至關重要的是，云提供商的 DRaaS 解決方案應專為備用區域的高可用性而設計，以確保服務在災難事件期間可訪問且正常運行。

企業可以使用云中的 DR 來規劃在自然災害破壞基礎設施或網絡事件（例如勒索軟件攻擊，導致本地網絡資源訪問被切斷）后恢復數據。由于數據可以存儲在區域云中，因此該策略可以符合 GDPR 等數據保護法規。當預算緊張時，DRaaS 也是一個不錯的解決方案，因為其成本可能低于設置冗余恢復站點的成本。

實施災難恢復解決方案

制定災難恢復計劃應首先對潛在災難事件及其對 IT 系統和業務流程的影響進行風險評估。然后，在管理層的支持下，IT 和業務線團隊應根據資產和系統的重要性對其進行排序，并根據所需的 RTO 和 RPO 以及可用預算分配 DR 策略來保護每個資產和系統。DR 計劃是更廣泛的業務連續性計劃的一部分，用于縮短從災難、網絡攻擊或技術錯誤導致的中斷到恢復的時間。它們需要不斷測試和更新。

傳統災難恢復與基于云的災難恢復

傳統災難恢復依賴于位于公司自有數據中心的冗余服務器和存儲設備，或將業務數據和應用程序實例備份到遠程數據中心，因此一個地理區域的問題不太可能對遠處的遠程副本造成損害。相比之下，基于云的災難恢復策略允許企業在公共云中存儲較小或備用的應用程序實例副本，并在緊急情況下需要激活時通過添加計算資源來擴展它們，從而節省前期成本。企業還可以將關鍵任務應用程序分布在多個云區域。

災難恢復工作流程、運行手冊和計劃

災難恢復工作流程概述了在危機期間重啟系統、恢復數據和通信所需的步驟和順序。災難恢復運行手冊更詳細地介紹了恢復過程和相關文檔。它們提供了易于遵循的清單，用于在緊急情況下將數字運營轉移到安全的地方，并且可以在緊急情況下簡化測試或故障轉移。工作流程和運行手冊向企業展示了如何分階段進行恢復，并確定了關鍵系統和服務水平協議。

災難恢復工作流程包括風險評估、參與計劃的委員會以及管理支持、恢復策略和測試程序。運行手冊可能包含不同數據庫、服務器和網絡設備的詳細清單，以便工作人員能夠在時間壓力下執行恢復步驟。

了解 DR 操作：故障轉移和切換

災難恢復操作是執行災難恢復計劃中每個預定步驟或任務的過程，這些步驟或任務是將組織的基礎設施、數據庫和應用程序恢復到完全運行狀態所必需的。故障轉移和切換這兩個術語用于描述應用程序堆棧轉換到不同位置的過程。

故障轉移功能可在發生意外危機（包括斷電和設備故障）時快速切換到備用系統。當應用程序、數據庫和虛擬機崩潰，并且存儲、數據和操作系統等資源處于不穩定狀態時，就會使用故障轉移功能。

切換是在計劃停機維護期間有序地過渡到輔助系統。它允許關閉應用程序、數據庫和虛擬機或服務器。在這種情況下，主區域和備用區域均正常運行，IT 運營人員將系統從一個區域移動到另一個區域進行維護或完成滾動升級。

基于云的災難恢復的類型

云計算的靈活性使企業能夠實施符合其需求的災難恢復策略，而不會超出預算。混合云安排（其中一些計算資源在本地運行，一些在公共云中運行）可以降低災難恢復的成本。云架構（包括微服務）允許軟件組件在分布式虛擬服務器上運行，從而使它們不易受到多種災難的影響。

跨區域災難恢復解決方案

跨區域災難恢復解決方案可保護組織免受颶風等中斷的影響，這些中斷會導致僅托管在一個數據中心的系統的訪問中斷。服務可以在受影響區域之外的容錯、地理上分開且隔離的可用性域中運行。給定系統的整個應用程序堆棧（包括虛擬機、數據庫和應用程序）可以轉換到另一個位置的不同云區域。

混合云災難恢復解決方案

混合云是一種流行的架構，它允許企業將一些工作負載從自己的數據中心轉移到云基礎設施。它也有助于災難恢復。采用混合架構通常需要在虛擬服務器上運行工作負載，以便云數據中心內的底層硬件可以輕松更改而不會影響運營。

一旦工作負載虛擬化，當主數據中心不可用時，它們可以在云環境中重新啟動。云數據中心可以成為地理上分散的數據中心陣列的經濟替代方案。

多云災難恢復解決方案

多云災難恢復解決方案通過將應用程序的組件分布在兩個或更多提供商的云基礎架構中來保護應用程序和數據。此策略適合使用多個云提供商的企業，讓他們可以為不同的應用程序設置恢復時間和點目標，同時管理成本并做出有關地理分布的決策。多云災難恢復流程也可能源自服務和應用程序的開發方式。

使用 DRaaS 自動執行災難恢復任務

災難恢復編排和管理服務可以為應用程序堆棧的所有層（包括基礎設施、數據庫和中間件）提供全面的 DR。DRaaS 通過快速執行災難恢復工作流來恢復不同區域的應用程序堆棧，從而減少人為錯誤并最大限度地縮短恢復時間。

Oracle 云基礎設施 (OCI) 全棧災難恢復讓客戶能夠管理全球 OCI 區域之間的基礎設施、數據庫和應用程序的過渡。客戶可以使用全棧災難恢復，而無需重新設計或重新部署現有基礎設施、數據庫或應用程序，同時也無需專門的存儲或管理服務器。

災難恢復常見問題解答

為什么災難恢復對企業很重要？

計劃外的企業中斷成本高昂。根據 IT 咨詢機構 Uptime Institute 的數據，超過三分之二的計劃外 IT 中斷成本超過 10 萬美元，而四分之一的計劃外 IT 中斷成本超過 100 萬美元。

災難恢復計劃的關鍵組成部分是什么？

災難恢復計劃包括公司選擇備份站點或在公共云中部署計算工作負載的策略，以便快速重啟運營。組織還需要對關鍵任務和重要業務應用程序進行排序，并映射它們之間的依賴關系，這些依賴關系可能會阻礙軟件恢復運行。

災難恢復與數據備份有何不同？

將數據備份到遠程服務器或站點是災難恢復的一個方面，但現代災難恢復計劃涵蓋的內容遠不止這些。公司需要考慮平衡數據復制與服務可用性的技術策略，以控制成本，同時允許他們從小型備用實例重新啟動應用程序。

云計算如何影響災難恢復？

云技術可以通過將云區域劃分為彼此隔離且具有容錯能力的可用性域來在災難期間提供保障。公司可以使用云供應商通常提供的設施和實用程序復制系統以實現高可用性和災難恢復。