招商银行“双中心运行”管理实践_数据中心

随着2012年上海数据中心的正式投产，招商银行初步形成了由深圳数据中心、上海数据中心组成的“两地双中心”的容灾体系，为实现“百年招银”奠定了坚实的信息科技基础。

由于银行业务对信息系统的高度依赖，业务部门和监管机构都对信息系统的可用性和连续性提出了很高要求。随着招商银行经营规模和品牌影响力的不断提高，如何继续提升信息系统的连续性，为业务的可持续发展保驾护航，成为招商银行信息技术部门面临的最迫切的问题之一。从信息技术部门的角度来看，当前IT 建设所面临的挑战包括以下两个方面：一是如何加强与业务部门的合作，共同推动业务连续性管理水平的提升；二是如何继续提升信息系统的连续性管理水平，为业务连续性打造更加坚实的基础。

单独头像.jpg
招商银行股份有限公司信息技术部张春林

为了应对挑战，近年来，招商银行不断加大灾备建设方面的投入，实施“双中心运行”战略。随着2012年上海数据中心的正式投产，招商银行初步形成了由深圳数据中心、上海数据中心组成的“两地双中心”的容灾体系，为实现“百年招银”奠定了坚实的信息科技基础。

一、灾备建设历程

在招商银行的灾备建设历程中有两个重要的里程碑，分别是2002年南京灾备中心成立和2012年上海数据中心投产，两者之间的时间跨度正好是十年。

2002年，招商银行南京灾备中心成立，正式拉开了招商银行灾备建设的序幕。初期，招商银行完成了主机系统的灾备建设，具备了核心业务系统的异地数据备份和灾难恢复能力。2007~2010年，招商银行陆续完成了开放平台重要系统的灾备建设，同时开展了大量异地真实切换演练，初步实现了重要业务系统的灾备建设目标。2012年，招商银行上海数据中心投产，彻底解决了困扰南京灾备中心的基础设施不足、发展空间受限的问题，为招商银行的灾备建设奠定了良好的基础，标志着招商银行的灾备建设进入了全新阶段。

二、灾备模式选择及战略目标

任何一家金融机构在进行灾备建设之前，首先要面对的就是数据中心选址和主备模式选择的问题。在业界所熟知的“两地三中心”的灾备架构体系中，采用“大同城、小异地”还是“小同城、大异地”是一个非常重要的策略问题。在“大同城、小异地”模式下，同城灾备中心具备完整的应用处理能力，而异地灾备中心只有数据备份能力和基本的应用处理能力。由于同城灾备中心与生产中心距离较近，网络延时较小，很多厂商的产品可以支持双活，这样就能很容易地实现RPO=0和RTO=0。但该模式最大的弊端在于无法应对区域性的灾难，且在这种模式下，异地灾备中心在灾难发生时是否能够如期发挥作用也是未知数。

在“小同城、大异地”模式下，异地灾备中心具备完整的应用处理能力，同城灾备中心只为核心系统提供数据备份和快速恢复的能力。“小同城、大异地”模式最主要的优点是应对区域性灾难的能力强。其缺点也很明显，如无法实现异地数据双活，灾难发生时存在数据丢失的风险，而且该模式对运营管理的要求很高，由于两地员工的办公地点不在一处，存在沟通和交流上的困难，两地一体化运维的问题凸显。

招商银行权衡优劣，从抗灾能力、投资保护、自身核心系统的技术特点等多个角度综合考虑，确定了“双中心运行”的灾备模式，该模式有别于“两地三中心”的惯常做法，只建异地灾备中心，不建同城灾备中心，并且将异地灾备中心定位于“第二生产中心”。

为了实现两地一体化运维，招商银行从流程、技术、资源、人员多个方面同时入手。在日常运维流程方面，两地遵循同一套ITIL流程和ISO20000标准。在应急管理流程方面，所有系统的应急或灾备演练均由两地人员共同参与，并跨两地设定了AB角。在技术方面，制定了高可用架构标准，所有系统均按照该架构改造，确保两地的主备系统架构和资源配备完全一致，当灾难发生时，上海数据中心可以100%接管交易。在工具方面，监控系统、自动化工具、登录工具等两地均统一部署，使用相同的用户界面，做到两地视角和体验的一致性。在人员方面，为培养上海数据中心员工，上海数据中心新员工均要求先在深圳学习至少一年。为提高两地员工的沟通效率，启动了“双中心通讯”项目，建立了高清视频会议系统、桌面视频系统、即时通讯系统、IP电话系统等集消息、语音、视频于一体的双中心通讯平台。

为了实现“双中心运行”，招商银行信息技术部确定了“主机系统每年在上海运行一段时间，开放系统均衡运行在两大数据中心”的终极目标，并为此制定了灾备建设路线图（见图1），将终极目标分解为每年可执行的具体目标，循序渐进，逐年提升。

招商银行“双中心运行”管理实践图1.jpg