基于資源的災(zāi)難恢復(fù)能力指標(biāo)體系及其度量

張國強，楊英杰，李俊鋒

(解放軍信息工程大學(xué)電子技術(shù)學(xué)院，鄭州 450004)

1 概述

隨著信息技術(shù)的發(fā)展與廣泛應(yīng)用，特別是以金融、政府、電力、鐵路、民航等重點部門與行業(yè)為代表的一些關(guān)系國計民生的領(lǐng)域，其信息系統(tǒng)或電子政務(wù)系統(tǒng)已經(jīng)成為國家的重要基礎(chǔ)設(shè)施。據(jù)國際數(shù)據(jù)公司(International Data Corporation, IDC)對亞太市場的最新調(diào)查顯示，近七成受訪機構(gòu)在發(fā)生災(zāi)難時只有不到一半的系統(tǒng)在運行[1]。災(zāi)難對信息系統(tǒng)的安全威脅已嚴(yán)重影響企業(yè)的生存與社會的發(fā)展。

災(zāi)難恢復(fù)是指將信息系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到可正常運行狀態(tài)，并將其支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)而設(shè)計的活動和流程[2]。其旨在降低災(zāi)難影響，及時恢復(fù)關(guān)鍵業(yè)務(wù)。

發(fā)生在美國的9·11事件，使世貿(mào)中心在其后一年過半的企業(yè)因關(guān)鍵數(shù)據(jù)丟失而消失，而金融巨頭Morgan Stanley Co.由于重要數(shù)據(jù)得到災(zāi)難恢復(fù)系統(tǒng)的保護，使其在事后數(shù)小時即宣布次日正常營業(yè)[3]。

災(zāi)難恢復(fù)成為信息系統(tǒng)安全運行的最后防線，是各個行業(yè)或部門業(yè)務(wù)持續(xù)運作的重要保證。為指導(dǎo)提高災(zāi)難恢復(fù)建設(shè)水平，及時發(fā)現(xiàn)存在問題、對信息系統(tǒng)災(zāi)難恢復(fù)能力進行科學(xué)的評估具有較強的現(xiàn)實意義。

近年來，國外針對災(zāi)難恢復(fù)能力評估方面的研究以可用性評估、性能評估及效能評估為主[4]。國內(nèi)相關(guān)研究尚在起步階段，參照標(biāo)準(zhǔn)法規(guī)不一，且偏重管理與硬性條件評估，采用基于管理、技術(shù)或規(guī)劃的劃分方法[5-6]。

2007年，我國僅有的災(zāi)難恢復(fù)行業(yè)國標(biāo)《信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》的出臺對災(zāi)難恢復(fù)建設(shè)具有一定的指導(dǎo)作用，但僅依靠硬性基準(zhǔn)要求與定性描述難以界定災(zāi)難恢復(fù)能力的真實情況，在實際實施過程中存在“落地難”問題。建立緊密貼合國標(biāo)的災(zāi)難恢復(fù)能力指標(biāo)體系勢在必行，而相應(yīng)的指標(biāo)度量方法目前也缺乏系統(tǒng)的研究。

本文在災(zāi)難恢復(fù)國標(biāo)的基礎(chǔ)上，結(jié)合動態(tài)影響分析，提出基于資源的災(zāi)難恢復(fù)能力指標(biāo)體系，并依據(jù)指標(biāo)特性分類，設(shè)計系統(tǒng)的指標(biāo)度量方法，以提高指標(biāo)體系操作性，從而達到科學(xué)評估信息系統(tǒng)災(zāi)難恢復(fù)能力的目的。

2 基于資源的災(zāi)難恢復(fù)能力指標(biāo)體系

災(zāi)難恢復(fù)能力是指在災(zāi)難發(fā)生后，利用災(zāi)難恢復(fù)資源和災(zāi)難恢復(fù)預(yù)案及時恢復(fù)和繼續(xù)運作的能力[2]。

依據(jù)國標(biāo)，提出基于資源的災(zāi)難恢復(fù)能力指標(biāo)體系。國標(biāo)定義的7種災(zāi)難恢復(fù)資源要素包括[2]：

(1)數(shù)據(jù)備份系統(tǒng)；

(2)備用數(shù)據(jù)處理系統(tǒng)；

(3)備用網(wǎng)絡(luò)系統(tǒng)；

(4)備用基礎(chǔ)設(shè)施；

(5)專業(yè)技術(shù)支持能力；

(6)運行維護管理能力；

(7)災(zāi)難恢復(fù)預(yù)案。

采用層次結(jié)構(gòu)，逐層細(xì)化，并引入動態(tài)指標(biāo)，得到災(zāi)難恢復(fù)能力指標(biāo)體系架構(gòu)，如圖1所示。

圖1 災(zāi)難恢復(fù)能力指標(biāo)體系架構(gòu)

在圖1中，一級指標(biāo)由國標(biāo)災(zāi)難恢復(fù)資源組成，二級指標(biāo)與三級指標(biāo)主要依據(jù)國標(biāo)規(guī)范性附錄 A災(zāi)難恢復(fù)能力等級劃分中對災(zāi)難恢復(fù)資源的要求提出，四級指標(biāo)為細(xì)粒度指標(biāo)，底層指標(biāo)由性能指標(biāo)組成。

2.1 各級指標(biāo)建立過程

依據(jù)國標(biāo)規(guī)范性附錄對各能力等級災(zāi)難恢復(fù)資源要求，可進行歸類，以數(shù)據(jù)備份系統(tǒng)與備用基礎(chǔ)設(shè)施為例，分別如表1和表2所示。于是可建立其對應(yīng)的二級指標(biāo)，如圖2所示。

表1 數(shù)據(jù)備份系統(tǒng)要求

表2 備用基礎(chǔ)設(shè)施要求

圖2 示例二級子指標(biāo)示意圖

根據(jù)國標(biāo)對災(zāi)難恢復(fù)資源的要求描述[2]，組織應(yīng)根據(jù)災(zāi)難恢復(fù)目標(biāo)，確定數(shù)據(jù)備份系統(tǒng)的以下內(nèi)容：

(1)數(shù)據(jù)備份的范圍；

(2)數(shù)據(jù)備份的時間間隔；

(3)數(shù)據(jù)備份的技術(shù)及介質(zhì)；

(4)數(shù)據(jù)備份線路速率及通信設(shè)備規(guī)格要求。

確定備用基礎(chǔ)設(shè)施的以下內(nèi)容：

(1)與主中心的距離要求；

(2)場地和環(huán)境要求；

(3)運行維護和管理要求。

則可建立相應(yīng)的三級指標(biāo)，以備用基礎(chǔ)設(shè)施子指標(biāo)為例，如圖3所示。

圖3 示例三級子指標(biāo)示意圖

圖4 示例四級子指標(biāo)示意圖

在圖3中，工作時間與電力要求為動態(tài)指標(biāo)，反映災(zāi)難恢復(fù)系統(tǒng)健康狀態(tài)受日常變化因素影響的情況。

指標(biāo)體系四級指標(biāo)為細(xì)粒度指標(biāo)，刻畫技術(shù)細(xì)節(jié)，是指標(biāo)與基礎(chǔ)數(shù)據(jù)集的橋梁。依據(jù)相關(guān)標(biāo)準(zhǔn)對三級指標(biāo)進行細(xì)化得到四級子指標(biāo)。如對于數(shù)據(jù)備份系統(tǒng)，可依據(jù)國標(biāo)要求，建立數(shù)據(jù)備份線路速率與數(shù)據(jù)備份線路與設(shè)備硬件2項四級子指標(biāo)。對于備用基礎(chǔ)設(shè)施，依據(jù)國標(biāo)要求及《電子信息系統(tǒng)機房設(shè)計規(guī)范》[7]，建立四級子指標(biāo)如圖4所示。

部分四級指標(biāo)，如數(shù)據(jù)備份線路速率、數(shù)據(jù)備份線路與設(shè)備硬件等，其決定因素來自性能指標(biāo)，包括磁盤性能、網(wǎng)絡(luò)性能、硬件可靠性、處理性能等。由此，在指標(biāo)體系底層建立性能指標(biāo)，表3列舉了部分典型的性能指標(biāo)。

表3 部分典型性能指標(biāo)

2.2 動態(tài)指標(biāo)意義及分類

隨著系統(tǒng)的運行，災(zāi)難恢復(fù)能力會產(chǎn)生明顯變化，其原因包括：

(1)線路與設(shè)備逐漸老化，自然故障率上升。

(2)系統(tǒng)所在場地環(huán)境變化，如產(chǎn)生結(jié)露、電磁干擾等現(xiàn)象，威脅硬件穩(wěn)定運行。

(3)系統(tǒng)安全漏洞、病毒感染、網(wǎng)絡(luò)擁塞等導(dǎo)致關(guān)鍵業(yè)務(wù)受到威脅。

(4)災(zāi)難恢復(fù)建設(shè)初期，組織管理預(yù)案等的不完善及應(yīng)急響應(yīng)實施不熟練，影響災(zāi)難恢復(fù)的效果。

(5)企業(yè)頻繁的人事變動或人才流失等，增大了數(shù)據(jù)災(zāi)難發(fā)生率，對災(zāi)難恢復(fù)工作產(chǎn)生影響。

綜合以上，提出動態(tài)指標(biāo)以刻畫災(zāi)難恢復(fù)能力受外界因素的影響情況。

根據(jù)指標(biāo)特性，將動態(tài)指標(biāo)劃分為以下4類：

(1)環(huán)境敏感指標(biāo)。反映系統(tǒng)所處環(huán)境，主要指機房環(huán)境對系統(tǒng)的穩(wěn)定運行及災(zāi)難恢復(fù)的順利實施產(chǎn)生的影響。

(2)資源敏感指標(biāo)。反映業(yè)務(wù)軟件環(huán)境對業(yè)務(wù)連續(xù)運行的影響，主要由性能指標(biāo)組成。

(3)時間敏感指標(biāo)。反映硬件可靠度、失效率及平均壽命等，該類可靠性指標(biāo)與時間相關(guān)，通過統(tǒng)計數(shù)據(jù)計算。

(4)管理敏感指標(biāo)。反映組織管理變更對災(zāi)難恢復(fù)能力的影響，含組織結(jié)構(gòu)調(diào)整及人力資源變動等。

3 災(zāi)難恢復(fù)能力指標(biāo)度量方法研究

3.1 災(zāi)難恢復(fù)能力指標(biāo)度量分析

依據(jù)動態(tài)指標(biāo)分類情況選取適合的度量方法：對于環(huán)境敏感指標(biāo)，各環(huán)境因素指標(biāo)與其對系統(tǒng)影響程度存在一定關(guān)系，可采用模糊數(shù)學(xué)的方法，構(gòu)建相應(yīng)隸屬函數(shù)將影響量化，存在環(huán)境因素組合影響情況時，還需采用邏輯樹方法描述其間的邏輯運算關(guān)系；資源敏感指標(biāo)系統(tǒng)性能指標(biāo)對災(zāi)難恢復(fù)能力的影響程度度量可采用劃分指標(biāo)閾值區(qū)間，并構(gòu)建邏輯規(guī)則庫，以反映系統(tǒng)性能對災(zāi)難恢復(fù)能力的綜合影響；資源敏感指標(biāo)的網(wǎng)絡(luò)性能指標(biāo)對災(zāi)難恢復(fù)能力的影響程度度量，應(yīng)主要從網(wǎng)絡(luò)性能對災(zāi)難備份與恢復(fù)性能影響上分析，采用基于備份性能影響分析指標(biāo)度量方法；對于時間敏感指標(biāo)的度量，其對象為硬件等可靠度、失效率等，選取工業(yè)上較為成熟且已廣泛應(yīng)用的威布爾分析方法進行度量。

而對靜態(tài)指標(biāo)度量方法的選取較為直觀，依據(jù)靜態(tài)指標(biāo)獲得基礎(chǔ)數(shù)據(jù)的類型不同，典型地，可將靜態(tài)指標(biāo)劃分為符合性指標(biāo)、行業(yè)性指標(biāo)與模糊性指標(biāo)。對于符合性指標(biāo)，僅有符合與不符合2種結(jié)果，可直接指定賦值；對于行業(yè)性指標(biāo)，即由于企業(yè)所屬行業(yè)的不同，指標(biāo)所參考的基準(zhǔn)不同，應(yīng)建立行業(yè)屬性矩陣，通過計算絕對差或相對差的方法進行度量；模糊性指標(biāo)，即指標(biāo)參數(shù)與指標(biāo)取值關(guān)系不明顯的，采用模糊數(shù)學(xué)的方法進行度量。

本文主要針對動態(tài)指標(biāo)度量方法進行研究。

3.2 基于閾值邏輯樹影響分析的指標(biāo)度量方法

閾值邏輯樹影響分析指標(biāo)度量方法即先對底層性能指標(biāo)設(shè)定閾值，再通過構(gòu)建邏輯樹以建立邏輯規(guī)則庫，從底層指標(biāo)值計算得出綜合動態(tài)指標(biāo)。閾值邏輯樹影響分析指標(biāo)度量應(yīng)用于環(huán)境敏感指標(biāo)及資源敏感指標(biāo)的系統(tǒng)性能指標(biāo)度量。其步驟如下：

(1)設(shè)定性能閾值。如從內(nèi)存不足角度設(shè)定內(nèi)存可用字節(jié)數(shù)閾值為 5 MB，設(shè)定每秒內(nèi)存分頁數(shù)閾值20 Pages。

(2)構(gòu)建邏輯樹。當(dāng)上述2個指標(biāo)同時超過相應(yīng)閾值時，可初步判斷系統(tǒng)內(nèi)存不足，2個事件間為“與”關(guān)系，如圖5所示，則依據(jù)邏輯樹可建立對應(yīng)的邏輯規(guī)則庫。

圖5 邏輯樹示意圖

(3)影響分析計算。如造成內(nèi)存不足的子事件有多個，依據(jù)其導(dǎo)致父事件發(fā)生概率的大小決定各自影響權(quán)重或子事件的影響值。設(shè)可能導(dǎo)致內(nèi)存不足的子事件i導(dǎo)致內(nèi)存不足的概率Pi，且Pi的最大值為內(nèi)存字節(jié)數(shù)與每秒內(nèi)存分頁數(shù)均超過閾值的事件導(dǎo)致內(nèi)存不足事件的概率P=0.73，則當(dāng)上述2項子指標(biāo)同時超過閾值時，內(nèi)存性能值為：

3.3 基于網(wǎng)絡(luò)性能影響分析的指標(biāo)度量方法

網(wǎng)絡(luò)性能指標(biāo)用以度量網(wǎng)絡(luò)性能對備份性能的影響程度。網(wǎng)絡(luò)性能指標(biāo)值可以通過度量其對災(zāi)難恢復(fù)能力的 2項重要性能指標(biāo)恢復(fù)點目標(biāo)(Recovery Point Objective, RPO)與恢復(fù)時間目標(biāo)(Recovery Time Objective, RTO)的影響來計算。

數(shù)據(jù)在廣域網(wǎng)傳輸過程中，網(wǎng)絡(luò)性能瓶頸時有發(fā)生，由此導(dǎo)致的備份性能下降現(xiàn)象不容忽視。據(jù)Arsenal Digital估測，其成功的備份任務(wù)中有 94.5%需要達到3次連接嘗試，且有超過6成的未成功備份任務(wù)的失敗歸因于網(wǎng)絡(luò)瓶頸[8]。

如圖6所示，設(shè)主站點到備用站點路徑包含n段鏈路，第i段鏈路Li的帶寬為Bi，承載的其他業(yè)務(wù)流總流量為 Fi，有瓶頸鏈路 Lbn帶寬 Bbn、緊湊鏈路Lc帶寬Bc、可用帶寬Ba的關(guān)系如下：

圖6 瓶頸鏈路示意圖

假設(shè)主站點與備用站點的設(shè)備I/O對網(wǎng)絡(luò)傳輸無影響，網(wǎng)絡(luò)未擁塞，網(wǎng)絡(luò)延時與備份時間相比忽略不計。設(shè)全備份周期Tb，第i次全備份總用時 tb(i)，如圖7所示，則信息系統(tǒng)的RPO上限Rmax= Tb+tb(i)。

圖7 備份性能與RPO關(guān)系示意圖

備份數(shù)據(jù)大小通常為線性增長或指數(shù)增長，通過線性擬合或指數(shù)擬合推斷第 i次全備份的數(shù)據(jù)大小S(i)，設(shè)備份時間區(qū)間的平均可用帶寬為，于是得到第i次全備份總用時為：

設(shè)系統(tǒng)初始建立時的RPO最大值Rmax′，從而得到網(wǎng)絡(luò)性能指標(biāo)值W，且有：

當(dāng)網(wǎng)絡(luò)擁塞發(fā)生，導(dǎo)致網(wǎng)絡(luò)延時。對于自適應(yīng)心跳檢測算法，會主動提高檢測時間，從而造成 RTO下限提高，與往返時延(Round-trip Time, RTT)近似相等，即RTO下限Rmin≈RTT。

3.4 基于威布爾分析的指標(biāo)度量方法

在目前所有適用的計算可靠性的分布中，威布爾分布是一種具有廣泛適用性的統(tǒng)計分布函數(shù)。對于硬件系統(tǒng)可靠性分析，應(yīng)用雙參數(shù)威布爾分布較為常見，設(shè)備可靠度為R(t)，有：

其中，β為狀態(tài)參數(shù)，確定威布爾分布族中對于具體數(shù)據(jù)描述相關(guān)性最好的分布；η為比例參數(shù)或特征壽命，可以簡單理解為63.2%的單元故障時的壽命。雙參數(shù)均可從壽命數(shù)據(jù)中估計出。

平均故障時間(Mean Time To Failure, MTTF)和特征壽命η為Γ函數(shù)關(guān)系，其公式為[9]：

現(xiàn)在標(biāo)準(zhǔn)工程方法采用故障時間的中間值而非均值來劃分壽命數(shù)據(jù)。根據(jù)中間等級壽命數(shù)據(jù)計算出β和 η。

威布爾分析分 4個步驟進行，并用 Matlab命令進行擬合：

(1)輸入壽命數(shù)據(jù)將某路由器壽命數(shù)據(jù)輸入data數(shù)組。

(2)估計威布爾參數(shù)

采用命令 parmhat=wblfit(data)估計威布爾雙參數(shù)，默認(rèn)取置信水平為95%。

(3)繪制威布爾概率圖

采用命令 wblplot(data)繪制出威布爾概率，如圖8所示。

圖8 威布爾概率圖

(4)擬合結(jié)果分析

采用Matlab擬合工具箱對擬合結(jié)果分析如下：

由此可得相關(guān)系數(shù) r=0.986 2≈1，即線性相關(guān)性很好。決定系數(shù)r2=0.972 5，有97.25%的變量數(shù)據(jù)可由相關(guān)性解釋。又有和方差SSE=0.045 69≈0，均方根RMSE=0.050 38≈0，表明擬合質(zhì)量很好。

故采用威布爾分析設(shè)備可靠性的結(jié)果令人滿意。

4 指標(biāo)體系及其度量在評估中的應(yīng)用

4.1 災(zāi)難恢復(fù)能力狀態(tài)的評估

現(xiàn)有災(zāi)難恢復(fù)能力評估側(cè)重于對硬性指標(biāo)符合性的考察[10]，所選取的指標(biāo)體系也大多局限于有或無等粗粒度指標(biāo)，對災(zāi)難恢復(fù)能力在災(zāi)難恢復(fù)系統(tǒng)運行的不同階段所受到的變化因素影響細(xì)節(jié)缺乏考量，從而對系統(tǒng)災(zāi)難恢復(fù)能力狀態(tài)細(xì)節(jié)難以準(zhǔn)確把握。

本文提出的基于資源的災(zāi)難恢復(fù)能力指標(biāo)體系，緊扣國標(biāo)并圍繞災(zāi)難恢復(fù)能力定義劃分指標(biāo)域，引入影響細(xì)節(jié)動態(tài)指標(biāo)，加強了對災(zāi)難恢復(fù)能力細(xì)節(jié)的刻畫能力，增強了評估的科學(xué)性與操作性。

4.2 災(zāi)難恢復(fù)能力性能的評估

災(zāi)難恢復(fù)能力性能主要受系統(tǒng)性能與網(wǎng)絡(luò)性能影響，而災(zāi)難恢復(fù)任務(wù)的實施需要耗費一定的系統(tǒng)資源與網(wǎng)絡(luò)資源。目前對于系統(tǒng)性能或網(wǎng)絡(luò)性能對備份恢復(fù)性能影響的研究較少，本文對此進行了研究分析，并針對性地提出閾值邏輯樹影響分析度量方法與網(wǎng)絡(luò)性能影響分析度量方法。結(jié)合災(zāi)難恢復(fù)能力指標(biāo)體系動態(tài)性能指標(biāo)，有效刻畫了性能因素對災(zāi)難恢復(fù)能力的影響，提高了災(zāi)難恢復(fù)能力評估的準(zhǔn)確性。

5 結(jié)束語

為科學(xué)規(guī)范指導(dǎo)災(zāi)難恢復(fù)能力建設(shè)，本文提出基于資源的災(zāi)難恢復(fù)能力指標(biāo)體系，并對其建立過程進行了闡述，該指標(biāo)體系充分考慮到災(zāi)難恢復(fù)能力細(xì)節(jié)參量考察及各階段動態(tài)因素的影響，解決了國標(biāo)粒度粗與缺乏動態(tài)因素考察的問題。之后針對災(zāi)難恢復(fù)能力指標(biāo)度量方法進行了系統(tǒng)的分析研究，并依據(jù)指標(biāo)特性分類提出基于閾值邏輯樹影響分析、基于網(wǎng)絡(luò)性能影響分析及基于威布爾分析的指標(biāo)度量方法，從而提供了指標(biāo)與基礎(chǔ)測量值之間的紐帶，初步解決了國標(biāo)“落地難”問題并提高了評估實施可操作性。最后，對提出的指標(biāo)體系及其度量在評估中的應(yīng)用進行了分析。

本文提出的指標(biāo)體系及度量方法為科學(xué)規(guī)范的災(zāi)難恢復(fù)能力評估提供了基礎(chǔ)，推動災(zāi)難恢復(fù)能力指標(biāo)向更細(xì)粒度發(fā)展。然而，在災(zāi)難恢復(fù)能力評估中，評估算法模型及其權(quán)重的選擇也是決定評估成功與否的關(guān)鍵因素，如何構(gòu)建更加科學(xué)的評估體系和提高評估質(zhì)量，還有待進一步研究。

[1]IDC Corp..IDC-Press Release[EB/OL].(2011-04-15).http://www.idc.com/getdoc.jsp?containerId=prHK22926311.

[2]中華人民共和國國家質(zhì)監(jiān)總局.GB/T20988-2007 信息安全技術(shù) 信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范[S].2007.

[3]王勝航.IBM容災(zāi)白皮書[EB/OL].(2010-03-27).http://wenku.baidu.com/view/cdd6a0aad1f34693daef3e3d.html.

[4]Ueno Y, Miyaho N, Suzuki S, et al.Performance Evaluation of a Disaster Recovery System and Practical Network System Applications[C]//Proc.of the 5th International Conference on Systems and Networks Communications.Nice, France: [s.n.], 2010.

[5]趙 瑩.信息系統(tǒng)災(zāi)難恢復(fù)能力評估與實證研究[D].北京: 對外經(jīng)濟貿(mào)易大學(xué), 2009.

[6]陳敏剛, 董 軍, 張麗亮, 等.AHP和模糊綜合評判在災(zāi)難恢復(fù)能力評估中的應(yīng)用[J].計算機工程, 2006,32(18): 135-137.

[7]中華人民共和國工業(yè)和信息化部.GB50174-2008 電子信息系統(tǒng)機房設(shè)計規(guī)范[S].2008.

[8]Calyam P, Arava P K, Butler C, et al.Network Tuning and Monitoring for Disaster Recovery Data Backup and Retrieval[EB/OL].(2005-05-08).https://www.osc.edu/files/staff_files/pcalyam/dr_tcp.pdf.

[9]金 星, 洪延姬.系統(tǒng)可靠性與可用性分析方法[M].北京: 國防工業(yè)出版社, 2006.

[10]王椏楠.信息系統(tǒng)災(zāi)難恢復(fù)能力評估方法研究[D].保定: 華北電力大學(xué), 2006.