1. 期货交易管理系统灾备
基础知识

2. 目录
• 灾备系统概述及灾备系统方案原理
• 证监会灾备合规要求及灾备指标
• 双机热备系统原理

3. 第一章 灾备系统概述
 灾备基本定义
 灾备系统类型 。
 灾备数据备份方式

4. 灾备基本定义
灾难定义：
灾难指不可抗非技术因素引起的，或采取了技术手段后仍不可
解决的系统失效。运营中心系统突然失去 70% 以上的业务运行能力
或全系统业务停止可能超过 1 天以上的故障认为是灾难。
（ 1 ）自然灾难：主要是地震、洪水、火灾、战争、恐怖事件或供电
故障等外界因素造成的灾害等；
（ 2 ）硬件灾难：主要是硬件系统大面积损坏、容错措施失效等造成
的整个系统瘫痪或由于通讯造成 70 ％以上的营业部业务中断；
（ 3 ）软件灾难：主要包括操作系统、数据库、中间件、应用软件、
人为误操作（包括黑客行为）造成的整个系统瘫痪。

5. 灾备的重要性
数据丢失对大小企业来说都是个恶梦，业务数据与企业日常业
务运作唇齿相依，损失这些数据，即使是暂时性，亦会威胁到企业辛
苦赚来的竞争优势，更可能摧毁你公司的声誉，或可能引致昂贵的诉
讼和索偿费用
美国“ 911” 恐怖事件发生后，在世贸大厦金融界巨头摩根士丹
利公司全球营业部第二天可以照常工作

6. 灾备的定义
所谓数据灾备，就是指建立一个异地的数据系统，该系统是本
地关键应用数据的一个可用复制。在本地数据及整个应用系统出现灾
难时，系统至少在本地或者异地保存有一份可用的关键业务的数据。
该数据可以是与本地生产数据的完全实时复制，也可以比本地数据略
微落后，但一定是可用的。采用的主要技术是数据备份和数据复制技
术。

7. 灾备备份的等级
灾备备份是通过在异地建立和维护一个备份存储系统，利用地理上的分
离来保证系统和数据对灾难性事件的抵御能力。
根据灾备系统对灾难的抵抗程度，可分为数据灾备和应用灾备。数据灾
备是指建立一个异地的数据系统，该系统是对本地系统关键应用数据实时复
制。当出现灾难时，可由异地系统迅速接替本地系统而保证业务的连续性。
应用灾备比数据灾备层次更高，即在异地建立一套完整的、与本地数据系统
相当的备份应用系统（可以同本地应用系统互为备份，也可与本地应用系统
共同工作）。在灾难出现后，远程应用系统迅速接管或承担本地应用系统的
业务运行。

8. 设计一个灾备备份系统，需要考虑多方面的因素，如备份 / 恢
复数据量大小、应用数据中心和备援数据中心之间的距离和数据传输
方式、灾难发生时所要求的恢复速度、备援中心的管理及投入资金等
。根据这些因素和不同的应用场合，通常可将灾备备份分为四个等级
。
第 0 级：没有备援中心
这一级灾备备份，实际上没有灾难恢复能力，它只在本地进行数
据备份，并且被备份的数据只在本地保存，没有送往异地。
第 1 级：本地磁带备份，异地保存
在本地将关键数据备份，然后送到异地保存。灾难发生后，按预
定数据恢复程序恢复系统和数据。这种方案成本低、易于配置。但当
数据量增大时，存在存储介质难管理的问题，并且当灾难发生时存在
大量数据难以及时恢复的问题。为了解决此问题，灾难发生时，先恢
复关键数据，后恢复非关键数据。

9. 第 2 级：热备份站点备份
在异地建立一个热备份点，通过网络进行数据备份。也就是通过
网络以同步或异步方式，把主站点的数据备份到备份站点，备份站点
一般只备份数据，不承担业务。当出现灾难时，备份站点接替主站点
的业务，从而维护业务运行的连续性。
第 3 级：活动备援中心
在相隔较远的地方分别建立两个数据中心，它们都处于工作状态
，并进行相互数据备份。当某个数据中心发生灾难时，另一个数据中
心接替其工作任务。这种级别的备份根据实际要求和投入资金的多少
，又可分为两种：①两个数据中心之间只限于关键数据的相互备份；
②两个数据中心之间互为镜像，即零数据丢失等。零数据丢失是目前
要求最高的一种灾备备份方式，它要求不管什么灾难发生，系统都能
保证数据的安全。所以，它需要配置复杂的管理软件和专用的硬件设
备，需要投资相对而言是最大的，但恢复速度也是最快的。

10. 指标定义
故障恢复时间目标（ RTO1 ）：
发生技术故障导致业务中断后，业务从停顿到必须恢复正常的时间。
灾难恢复时间目标（ RTO2 ）：
发生灾难灾害导致业务中断后，业务从停顿到必须恢复正常的时间。
本文档所指 RTO 若无特别说明，指的是 RTO2 。
恢复点目标（ RPO ）：
指在因硬件、程序或通信发生故障，而导致的计算机、系统或网络出
现故障时，必须从备份存储中恢复以保证系统正常运行的文件的年龄
。这是衡量在系统故障严重影响业务之前丢失了多长时间数据的尺度
。

11. 灾备系统类型
根据灾备系统的原始数据中心和灾备数据中心复制的数据之间
时间长短的差异，我们可以将灾备系统分成以下几种：
同步系统：将每一个写盘指令同时发送到主从存储系统，并在得
到两个存储系统的应答后，才进行下一次的写盘操作；所以同步系统
的优点就是主从存储系统的数据在灾难发生的时刻，是完全一样的。
为了保证整个存储系统的高效率，因此一般来说，要求主节点和从节
点采用相同档次的高速磁盘系统，并且是高速连接，从而距离会有严
格的限制；

12. 异步系统：将每一个写盘指令同时发送到主从存储系统，只需
要主存储系统的应答后，就进行下一次的写盘操作，从存储系统不需
要应答；异步系统与同步系统相比较，由于不需要从存储系统的应答
，因此技术上可以使灾备数据中心与主数据中心的距离能够大大增加
；其带来的问题是，灾难发生时可能造成的数据丢失的时间间隔也更
大，丢失的事务数也更多；
总之，不管是同步系统还是异步系统，由于是将写磁盘的数据完
全发送到从存储系统，所以需要传送的数据量仍然非常大，对传输的
带宽要求很高。

13. 数据备份方式：
完全备份
完全备份 (full backup) 」，每个档案都会被写进备份档去。如上所述，如果两个时间
点备份之间，数据没有任何更动，那么所有备份数据都是一样的。
增量备份
跟完全备份不同，增量备份在做数据备份前会先判断，档案的最后修改时间是否比上
次备份的时间来得晚。如果不是的话，那表示自上次备份后，这档案并没有被更动过，
所以这次不需要备份。换句话说，如果修改日期「的确」比上次更动的日期来得晚，那
么档案就被更动过，需要备份。
差异备份
差异备份与增量备份一样，都只备份更动过的数据。但前者的备份是一个档案只要自
上次完整备份后，曾被更新过，那么接下来每次做差异备份时，这个档案都会被备份
( 当然，直到下一次完整备份为止 ) 。

14. 第二章 证监会灾备合规要求及灾备指标
 证监会灾备合规要求
 证监会灾备指标
 灾备术语和定义

15. 证监会灾备合规要求
《期货公司网上期货信息系统技术指引》：
《期货公司网上期货信息系统技术指引》在“三类要求”与“四类要求”中
明确了系统灾难备份的建设要求。其中“四类要求”中对灾备系统建设
提出了指导目标：
可接管所有核心业务的运行（灾备能力 100% ）；
恢复时间目标（ RTO2 ）应 <=2 小时；
恢复点目标（ RPO ）应 <=10 分钟；
灾难备份中心处理能力应不低于主系统处理的 50% ；
采用远程数据复制技术，将关键数据实时复制到灾难备份中心；
配备灾难恢复所需的全部运行环境，并处于就绪状态或运行状态；
灾难备份中心与生产中心直线距离 >=100 公里；不同城。

16. “ 证券期货业信息系统备份能力标准”：
预计下半年出台的“证券期货业信息系统备份能力标准”将信息系统备
份所需资源划分为备份数据（ Data ）、备份系统（ System ）、备
份网络（ Network ）、备份人员（ Personnel ）、备份基础保障条件
（ Facility ）、备份管理能力（ Management ）六个要素，结合期货
行业机构信息系统特点及信息技术发展状况，对六要素各级别的进行
了具体定义。
从目前获知的信息来看，对期货公司的最高要求是交易系统，且：
同城备份系统： RTO1<=20 分钟、 RTO2<=40 分钟、 RPO<=3 分钟
异地备份系统： RTO1<=30 分钟、 RTO2<=12 小时、 RPO<=10 分
钟

17. 证监会灾备指标
灾备的主要指标是：
（ 1 ）灾难备份系统处理能力应不低于主系统处理的 70%
（ 2 ）灾备能力： 100%
（ 3 ）交易管理系统（含网上交易系统、银期转账与报盘等）：
RTO<3 分钟、 RPO<10 秒钟

18. 灾备术语和定义
重要信息系统 critical information system
支持行业机构关键业务功能的信息系统。这类系统出现异常将对证券期
货市场和投资者造成较大的影响。
重要数据 critical data
重要信息系统处理、存储的业务数据，涉及开户、交易、行情、转账、
登记、存管、结算、查询和相关业务办理的数据，行业机构内部经营管理数据（
如财务数据），以及重要信息系统的代码、软件、技术参数等。这类数据损失将
影响重要信息系统正常运行，将对证券期货市场和投资者造成较大的影响。

19. 灾备术语和定义
备份数据 data backup
将主系统的数据复制并保存到安全地点。从备份方式分，包括离线备份
数据和联机备份数据。从备份地点分，包括本地备份数据、同城备份数据和异地
备份数据。
离线备份数据 offline data backup
将数据复制并保存到移动硬盘、磁带或光盘等介质上的备份数据的方式
。
联机备份数据 online data backup
将数据复制并保存到主系统的备份系统中，并处于可用状态的备份数据
的方式。
本地备份数据 local data backup
将主系统的数据复制并保存到同一主中心的安全地点的备份数据的方式

20. 灾备术语和定义
同城备份数据 regional data backup
将主系统的数据复制并保存到同一城市，与主中心直线距离３公里以上
的安全地点的备份数据的方式。
异地备份数据 non-regional data backup
将主系统的数据复制并保存到不同城市，与主中心直线距离 600 公里以
上的安全地点的备份数据的方式。

21. 灾备术语和定义
备份系统 system backup
主系统的备用系统。从备份方式分，包括热备系统、温备系统、冷备系
统。从备份地点分，包括本地备份系统、同城备份系统和异地备份系统。
热备系统 hot standby system
备份系统时刻处于运行状态，并与主系统保持同步。当主系统不可用时
，备份系统可以立即自动接替主系统而不中断服务。
温备系统 warm standby system
备份系统处于加电待用状态，并周期性同步复制或镜像主系统。当主系
统不可用时，需要经过一定时间，才能切换到备份系统。

22. 灾备术语和定义
冷备系统 cold standby system
备份系统处于不加电待用状态，但在需要时能够启用。当主系统不可用
时，需要经过较长时间，完成备份数据导入，才能切换到备份系统。
本地备份系统 local system backup
备份系统与主系统处于同一主中心的备份方式。本地备份系统用于防范
主系统的设备故障等技术故障。

23. 灾备术语和定义
同城备份系统 regional system backup
备份系统与主系统处于同一城市的备份方式。运行同城备份系统的场所
为同城灾备中心，同城灾备中心原则上与主中心直线距离在 3 公里以上，不共用
同一建筑、水电、空调等基础设施，输入供电须来自不同的变电站，通信线路不
在同一汇接局内。主中心发生设备故障、网络中断、电力故障、场地火灾等灾难
事件，可切换到同城备份系统。
异地备份系统 non-regional system backup
备份系统与主系统处于不同城市的备份方式。运行异地备份系统的场所
为异地灾备中心，异地灾备中心原则上与主中心直线距离在 600 公里以上，并且
不应建设在同一地震带区域、同一电网内、历史上曾发生台风、洪灾、冰灾等重
大自然灾害的区域、周围有易燃易爆工厂的区域，以及具有其他不利因素影响而
不适合于建立灾备中心的区域。主中心所在城市发生地震、洪水、台风、恐怖袭
击，较大范围的通信网、电网故障等重大灾难事件，可切换到异地备份系统。

24. 灾备术语和定义
两地三中心 three datacenter in two region
具有一个主中心、一个同城备份中心和一个异地备份中心的建设模式。
双主中心 active-active primary center
具有两个主中心处于两个不同城市且互为备份的建设模式。
多主中心 multi-active primary center
具有多个主中心处于两个以上不同城市且互为备份的建设模式。

25. 灾备术语和定义
备份网络 network backup
用于支持主系统和备份系统的通信线路和网络设备。
备份人员 personnel backup
在主中心，可以履行代替主系统操作和管理职责的人员。在同城灾备中
心或异地灾备中心，负责日常管理、运行维护、执行备份与恢复的业务和技术人
员。
备份基础保障条件 facility backup
用于支持主系统和备份系统的环境。包括场地、供电、空调和布线等设
施。
备份管理能力 backup management capability
对备份数据、备份系统、备份网络、备份人员、备份基础保障条件的管
理能力。

26. 双机热备原理
双机热备针对的是服务器的故障。
服务器的故障可能由各种原因引起，如设备故障、操作系统故
障、软件系统故障等等。一般地讲，在技术人员在现场的情况下，恢
复服务器正常可能需要１０分钟、几小时甚至几天。从实际经验上看
，除非是简单地重启服务器（可能隐患仍然存在），否则往往需要几
个小时以上。而如果技术人员不在现场，则恢复服务的时间就更长了
。

27. 而对于一些重要系统而言，用户是很难忍受这样长时间的服务
中断的。因此，就需要通过双机热备，来避免长时间的服务中断，保
证系统长期、可靠的服务。
决定是否使用双机热备，正确的方法是要分析一下系统的重要性
以及对服务中断的容忍程度，以此决定是否使用双机热备。即，你的
用户能容忍多长时间恢复服务，如果服务不能恢复会造成多大的影响
。
在考虑双机热备时，需要注意，一般意义上的双机热备都会有一
个切换过程，这个切换过程可能是几十秒左右。在切换过程中，服务
是有可能短时间中断的。但是，当切换完成后，服务将正常恢复。因
此，双机热备不是无缝、不中断的，但它能够保证在出现系统故障时
，能够很快恢复正常的服务，业务不致受到影响。而如果没有双机热
备，则一旦出现服务器故障，可能会出现几个小时的服务中断，对业
务的影响就可能会很严重。

28. 另有一点需要强调，即服务器的故障与交换机、存储设备的故
障不同，其概念要高得多。原因在于服务器是比交换机、存储设备复
杂得多的设备，同时也是既包括硬件、也包括操作系统、应用软件系
统的复杂系统。不仅设备故障可能引起服务中断，而且软件方面的问
题也可能导致服务器不能正常工作。
还应指出的是，一些其他的防护措施如磁盘阵列（ RAID ）、数
据备份虽然是非常重要的，但却不能代替双机热备的作用。

29. 谢 谢！
王 冰