金融级数据库容灾技术
数据库作为信息系统的核心，承担着数据存储和业务逻辑计算等工作，各金融机构信息化部门均应用大量容灾备份手段，用于保障数据库的业务连续性。
近年来，随着数据库应用场景日益丰富和数据库的云化趋势显著，金融机构数据库的容灾备份手段和模式也不断迭代更新。
本文聚焦金融领域的数据库在灾备方面的技术内容。介绍了容灾与备份的定义、分类，分析了金融机构灾备现状、需求与灾备市场情况，梳理了主流数据库容灾备份技术架构、实现方式与部署方案。
原文链接：金融级数据库容灾技术
容灾备份简称“灾备”，是指利用科学的技术手段和方法，提前建立系统化的数据应急方式，以应对灾难的发生。容灾与备份是两个独立的概念，容灾是为了在遭遇灾害时保证信息系统能正常运行，帮助企业实现业务连续性的目标，备份是为了应对灾难来临时造成的数据丢失问题。
灾备行业起源于20世纪70年代的美国费城。1979年，SunGard公司在费城建立了全世界第一个灾备中心，当时人们关注的重点是企业的数据备份和系统备份。后来，IT备份发展到了灾难恢复规划（DRP），在IT备份中加入了灾难恢复预案、资源需求、灾备中心管理，形成了对生产运行中心的保障概念。再后来，人们把灾难恢复从IT角度逐渐转向了业务的角度，用业务来衡量灾备目标，即哪些业务最重要，哪些业务可容忍的恢复时间最短。随着企业规模扩展及信息系统的应用范围日益扩大，信息系统在企业运营过程中的角色愈发重要，为防范因为各种因素企业数据遭到毁坏，如地震、火灾、恐怖袭击等，异地灾备建设的需求应运而生。
根据已经发生的灾备事件总结分析，通常情况下灾难发生的原因有以下几种方式：
容灾，即灾难发生时，在保证生产系统数据尽量少丢失的情况下，保持生产系统业务的不间断运行。容灾技术是信息系统的高可用性技术的一个组成部分。容灾方式根据容灾距离和保护等级存在两种分类方式。
1）按容灾距离划分：按照容灾距离分类，容灾可分为本地容灾和异地容灾。
2）按保护级别划分：按照保护级别，容灾系统可分为数据级容灾、应用级容灾和业务级容灾。
备份是指数据或系统的备份，它是容灾的基础，是指为防止系统出现操作失误或故障导致的数据丢失，而将全部或部分数据集合从应用主机的硬盘或阵列复制到其它存储介质的过程，数据库的备份与恢复通常基于数据库日志文件进行操作。
备份方式根据备份数据量、备份频率和备份对象等多种分类方式。按照备份数据量，备份可分为全量备份、增量备份和差异备份。
按照备份频率，备份可以分为定时备份和实时备份。按照备份对象，备份可以分为字节级备份、块级备份和文件级备份。
备份是容灾的基石，其目的是为了系统数据崩溃时能够恢复数据。容灾不能替换备份，容灾系统会完整地将生产系统的任何变化复制到容灾端，比如误将计费系统内的用户信息表删除，容灾端的用户信息表也会被完整删除。如果是同步容灾，容灾端的相关数据同时被删除了；如果是异步容灾，容灾端的相关数据在数据异步复制的间隔内会被删除。这时需要从备份系统中取出最新备份，从而恢复被错误删除的信息。因此，容灾系统的建设不能替代备份系统的建设。
评估一个灾备系统可靠性的两个重要指标为恢复时间目标（Recovery Time Objective，以下简称“RTO”）与恢复点目标（Recovery Point Objective，以下简称“RPO”）。
金融机构对数据零丢失和业务连续性要求在各行各业要求最高。以银行为例，银行信息系统架构最为严格，要求采用两地三中心或主备等多种模式构建灾备系统，通过裸光纤或密集型光波复用（DWDN）技术实现数据中心与各个营业网点的数据同步。以证券公司为例，各大券商的灾备中心的架构通常采用虚拟化技术，实现生产端物理机与虚拟机并存，灾备端以虚拟机为主的配置。
综合各类金融机构，主要需求包括但不限于：1）海量数据备份、实时复制；2）数据库数据跨平台迁移和读写分离；3）主备业务系统应用高可用；4）提升灾备中心智能运维水平；5）大规模灾备系统可用性验证的自动化能力等。
金融机构分类较多，不同行业发布的法律法规各不相同，以要求最为严格的银行和证券行业为代表，以下列举相关重要的现行标准规范：《证券期货业数据分类分级指引》自2018年9月27日同日公布实施，数据分类是按照 GB/T 10113-2003 中的线分类法和 GB/T 22240-2008中的定级方法为基础进行分类的。目的是在数据分类的基础上，对已分类数据按照数据泄露或损坏造成的影响进行分级，形成统一的分类分级方法。同时，在数据用语的使用过程中，也强调予以统一。
除上述监管要求外，证券行业信息安全监管还有包括但不限于：
《证券期货业信息安全保障管理办法》；
《证券期货业信息安全事件报告与调查处理方法》；
《证券期货经营机构信息系统备份能力标准》等。
金融领域确保业务连续性是重中之重，它关系到广大投资者和用户日常的投资行为和经济消费行为，任何由于数据库导致的非计划性停机，都可能引发巨大的经济损失和非经济性影响。
智研咨询报告显示，中国灾备行业市场规模从2010年的49.8亿人民币，增长至2018年近180亿人民币，预计至2022年中国灾备行业市场规模可达300亿以上。
Gartner预计到2021年，使用备份而非归档方式来管理企业长期的比例将由2017年的30%升 至50%。国际灾备市场发展同样强劲，根据DataCore的2018年报告5显示，有20%的用户计划将存储预算的25%用于灾备方面。
随着IT技术产品不断迭代，灾备应用场景从同机房本地备份容灾，向同城、异地及云端等更宏大的场景延伸；灾备技术从传统的存储复制技术，延伸到基于主机、操作系统、数据库、文件和网络等五大数据复制技术。灾备产品也正在不断拓展边界，涵盖传统系统备份、容灾和恢复；数据同步、分发、脱敏、副本管理；大数据管理与应用；数据库读写分离与容灾等。其中，数据库容灾架构在信息系统容灾架构中发挥至关重要的作用。
不同应用场景和业务需求下，分布式数据库的部署方式应该选择合理容灾架构，常见的分布式数据库容灾架构包括单中心容灾、同城互备、同城双活、两地三中心等。
对于容灾要求不高的一些内部业务系统，可以只在单一的生产中心内部署。在这种模式下，数据库通过在该生产中心的多个不同可用区多实例部署，实现数据库服务高可用。不同可用区的数据库均能向应用系统提供数据库访问服务。
基于数据库的高可用机制，可以抵御部分节点甚至机房可用区整体故障，仍然保持数据库服务正常服务。但如果遇到数据中心级的灾难，则无法保持可用。
同城互备模式需要在灾备中心内部署与生产中心业务系统相同资源配置，包括应用和数据库在内的完整业务系统。生产中心和灾备中心均能承载全流量业务压力。数据库系统在生产中心和灾备中心都需要冗余部署满足系统正常运行的全部组件，并配备满足全量数据存储和访问压力的存储和计算资源。正常情况下，只有生产中心投入运行，灾备中心处于在线待机状态。当数据中心发生灾难时，灾备中心可以在短时间内切换并提供服务，快速实现业务止损。异地互备模式部署架构图如下：
为了一定程度提高资源利用率，针对不同的核心业务系统，可交替设置主备中心。主备中心数据同步方式，可以采用强同步机制或异步同步机制。这取决于根据业务对数据一致性的要求，同时也受到数据中心距离带来的网络延时限制。
当数据中心和灾备中心在同城距离较近，网络延时较小，通常选择强同步，可称为同城互备；当数据中心间距离较远，跨地区进行传输的网络延时较大，可称为异地互备。
同城双活是双活技术与同城灾备中心模式结合的一种主流容灾架构。业务系统可以同时通过生产中心和灾备中心进行访问，无需指定特定的访问规则。数据库架构同时兼备异地互备模式的负载均衡和故障自动切换能力，且由于处于同城较近距离，两个数据中心的存储节点可以保持数据强一致。
当其中一个中心发生灾难时，通过接入前端的负载均衡调整，可将全流量输入对等的灾备中心；数据库同时自动进行切换，灾备中心的数据库集群承载全部查询请求。同城双活的部署示意图如下：
基于数据分布式架构可以对应用层提供透明的双活能力。以一个四分片的数据表为例，分片数据可以均匀分布在两个中心的数据库存储节点中：
在同城双活容灾架构下，数据库系统在生产中心和灾备中心也同样都需要冗余部署满足系统正常运行的全部组件，每一个计算中心都需要配备满足全量业务访问要求的存储和计算资源。
在同城双活或者同城互备的架构下，再增加一个远距离的容灾中心，可实现两地三中心的容灾架构。
该架构在同城容灾方案的基础上，获得了对地震、飓风等区域级灾难的抵御能力。由于异地灾备中心距离较远，所以数据同步一般考虑使用异步模式，可基于数据库异步同步功能实现，或者在应用层使用消息队列等组件进行业务数据异步同步，进而实现远距离异地机房的数据最终一致性。
来源：中国信息通信研究院和北京百度网讯科技有限公司
下载地址：
转载申明：转载本号文章请注明作者和来源，本号发布文章若存在版权等问题，请留言联系处理，谢谢。
推荐阅读
更多架构相关技术知识总结请参考“架构师全店铺技术资料打包”相关电子书(37本技术资料打包汇总详情可通过“阅读原文”获取)。
全店内容持续更新，现下单“全店铺技术资料打包(全)”，后续可享全店内容更新“免费”赠阅，价格仅收198元(原总价350元)。
温馨提示：
扫描二维码关注公众号，点击阅读原文链接获取“架构师技术全店资料打包汇总(全)”电子书资料详情。
