中國人民解放軍第三零九醫(yī)院信息科，北京 100091

醫(yī)院信息系統(tǒng)容災(zāi)方案的設(shè)計(jì)與實(shí)現(xiàn)

林濟(jì)南，王虹

中國人民解放軍第三零九醫(yī)院信息科，北京 100091

目的設(shè)計(jì)一套針對醫(yī)院信息系統(tǒng)（HIS）的容災(zāi)方案。方法采用冗余備份技術(shù)、集群技術(shù)，來實(shí)現(xiàn)HIS的數(shù)據(jù)容災(zāi)和應(yīng)用容災(zāi)。結(jié)果該方案在醫(yī)院使用后，多次有效地避免了由各種原因引起的數(shù)據(jù)丟失和應(yīng)用中斷事件的發(fā)生。結(jié)論該設(shè)計(jì)方案簡單有效，使HIS具備了數(shù)據(jù)容災(zāi)和應(yīng)用容災(zāi)的能力，保證了醫(yī)院業(yè)務(wù)的連續(xù)性和高可用性。

醫(yī)院信息系統(tǒng)；容災(zāi)系統(tǒng)；數(shù)據(jù)備份

隨著醫(yī)院信息化建設(shè)的發(fā)展，醫(yī)院信息系統(tǒng)（HIS）、圖片存檔及通訊系統(tǒng)（PACS）、實(shí)驗(yàn)室信息系統(tǒng)（LIS）、辦公自動(dòng)化（OA）信息系統(tǒng)等逐漸得到廣泛應(yīng)用，加上社會(huì)、公眾對醫(yī)療業(yè)務(wù)的服務(wù)要求不斷地提高，醫(yī)院信息系統(tǒng)需要7×24 h連續(xù)運(yùn)行，這對于系統(tǒng)的安全性、穩(wěn)定性要求很高。信息系統(tǒng)應(yīng)用的時(shí)間越長，業(yè)務(wù)安全越關(guān)鍵，日常的醫(yī)院管理、臨床醫(yī)療和教學(xué)科研對它們的依賴度也就越強(qiáng)，這些系統(tǒng)一旦停機(jī)造成的損失也越大。為了保護(hù)重要業(yè)務(wù)數(shù)據(jù)的安全，保證醫(yī)院信息系統(tǒng)的業(yè)務(wù)連續(xù)性和高可用性，容災(zāi)系統(tǒng)的建設(shè)已經(jīng)刻不容緩。

1 容災(zāi)系統(tǒng)簡介

2007年7月，國家標(biāo)準(zhǔn)《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》(GB/ T20988-2007)出臺(tái)[1]，并于2007年11月1日開始正式實(shí)施。

容災(zāi)系統(tǒng)用于災(zāi)難恢復(fù)，它由數(shù)據(jù)備份系統(tǒng)、備用數(shù)據(jù)處理系統(tǒng)和備用的網(wǎng)絡(luò)系統(tǒng)組成。災(zāi)難恢復(fù)是將信息系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到可正常運(yùn)行狀態(tài)，并將其支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)，而設(shè)計(jì)的活動(dòng)和流程[2]。

1.1 災(zāi)難風(fēng)險(xiǎn)分析

一般來說，人們將計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)可能遭受的災(zāi)難分為下面幾種：① 自然災(zāi)難，如洪水、颶風(fēng)、地震等；② 外在事件，如電力或通訊中斷；③ 技術(shù)失靈，如電腦宕機(jī)或網(wǎng)絡(luò)受損；④ 設(shè)備受損，如火災(zāi)、爆炸等。

由于醫(yī)院業(yè)務(wù)信息系統(tǒng)與計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)緊密連接，無論哪種災(zāi)難都會(huì)影響醫(yī)院業(yè)務(wù)信息系統(tǒng)的安全。然而，建立容災(zāi)系統(tǒng)可以幫助業(yè)務(wù)信息系統(tǒng)將損失降到最小。容災(zāi)分為本地容災(zāi)和遠(yuǎn)程容災(zāi)，

本地容災(zāi)，一般指主機(jī)集群中某臺(tái)主機(jī)出現(xiàn)故障，不能正常工作時(shí)，其他的主機(jī)可以替代該主機(jī)，繼續(xù)進(jìn)行正常工作[3]。遠(yuǎn)程容災(zāi)可以這樣理解，備份中心是遠(yuǎn)程的，并且在單位日常業(yè)務(wù)運(yùn)作信息系統(tǒng)中實(shí)施了各種數(shù)據(jù)保護(hù)，一旦單位日常業(yè)務(wù)運(yùn)作信息系統(tǒng)受災(zāi)，遠(yuǎn)程備份中心接管它繼續(xù)提供服務(wù)。

1.2 災(zāi)難恢復(fù)等級(jí)劃分及要素分析

按照國家標(biāo)準(zhǔn)將信息系統(tǒng)災(zāi)難恢復(fù)到各個(gè)等級(jí)所需的資源分為7 個(gè)要素：① 數(shù)據(jù)備份系統(tǒng)；② 備用數(shù)據(jù)處理系統(tǒng)；③ 備用網(wǎng)絡(luò)系統(tǒng)；④ 備用基礎(chǔ)設(shè)施；⑤ 技術(shù)支持能力；⑥ 運(yùn)行維護(hù)管理能力；⑦ 災(zāi)難恢復(fù)預(yù)案。國家標(biāo)準(zhǔn)對這7個(gè)要素都提出了明確要求[4]，見圖1。

圖1 災(zāi)難恢復(fù)等級(jí)

2 容災(zāi)方案的設(shè)計(jì)與實(shí)現(xiàn)

2.1 采用冗余、備份技術(shù)進(jìn)行數(shù)據(jù)容災(zāi)

（1）網(wǎng)絡(luò)連接。我院將生產(chǎn)中心（支持醫(yī)院日常業(yè)務(wù)運(yùn)作的各信息系統(tǒng)）建在門診樓，而容災(zāi)中心則建在干部保健樓，兩座樓的距離在300 m以上。生產(chǎn)中心和容災(zāi)中心之間不但有多條光纖直接相聯(lián)，同時(shí)也建立千兆帶寬的以太網(wǎng)絡(luò)連接，并且信息系統(tǒng)各工作站的接入層網(wǎng)絡(luò)建立與容災(zāi)中心的網(wǎng)絡(luò)連接。

（2）數(shù)據(jù)存儲(chǔ)。將相關(guān)信息系統(tǒng)的數(shù)據(jù)集中存儲(chǔ)到中心磁盤陣列上。在生產(chǎn)中心對現(xiàn)有HIS磁盤陣列存儲(chǔ)進(jìn)行升級(jí)擴(kuò)容，使其成為中心磁盤陣列；將LIS、OA、內(nèi)網(wǎng)、郵件等服務(wù)器配備的雙冗余光纖通道主機(jī)適配卡和中心磁盤陣列的雙陣列控制器連接，實(shí)現(xiàn)生產(chǎn)中心的應(yīng)用服務(wù)器與中心磁盤陣列存儲(chǔ)之間的數(shù)據(jù)鏈路的冗余；同時(shí)，將LIS、OA、內(nèi)網(wǎng)、郵件等應(yīng)用服務(wù)器上的數(shù)據(jù)由本地磁盤遷移到中心磁盤陣列上。

（3）數(shù)據(jù)備份。通過數(shù)據(jù)庫備份腳本或第三方備份軟件實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)從中心磁盤陣列備份到對應(yīng)服務(wù)器的本地磁盤。這種方式確保生產(chǎn)中心所有業(yè)務(wù)系統(tǒng)的數(shù)據(jù)都有相同的兩份，杜絕了磁盤單點(diǎn)故障。

（4）磁盤陣列。我院對不同業(yè)務(wù)系統(tǒng)的存儲(chǔ)設(shè)備采用不同級(jí)別的磁盤數(shù)組技術(shù)（RAID）；對HIS、PACS、LIS、電子病歷等核心業(yè)務(wù)的中心磁盤陣列采用RAID1＋0的方式存儲(chǔ)[4]，以達(dá)到對本地存儲(chǔ)數(shù)據(jù)的冗余保護(hù)；對OA、網(wǎng)站等其他非核心業(yè)務(wù)，中心磁盤陣列則采用RAID5技術(shù)，以達(dá)到提高磁盤存儲(chǔ)利用率的目的。

（5）冗余備份。在容災(zāi)中心安裝一臺(tái)磁盤陣列存儲(chǔ)作為HIS和其他系統(tǒng)的容災(zāi)存儲(chǔ)，利用IBM存儲(chǔ)自帶的遠(yuǎn)程數(shù)據(jù)鏡像和數(shù)據(jù)復(fù)制技術(shù)進(jìn)行異地冗余備份，當(dāng)生產(chǎn)中心出現(xiàn)毀滅性災(zāi)難時(shí)，能最大限度保證數(shù)據(jù)的完整和安全[5]。對HIS、LIS、PACS、電子病歷等核心業(yè)務(wù)的數(shù)據(jù)庫數(shù)據(jù)除了利用上述方案進(jìn)行冗余備份外，還利用Oracle、SQL Server自帶的數(shù)據(jù)備份工具或自編備份腳本，進(jìn)行數(shù)據(jù)庫文件備份，并轉(zhuǎn)儲(chǔ)到磁帶上，實(shí)現(xiàn)一段時(shí)間內(nèi)的數(shù)據(jù)全備份，以有效應(yīng)對文件損壞或人為誤操作帶來的數(shù)據(jù)風(fēng)險(xiǎn)[6]。

綜上所述，該方案將生產(chǎn)中心與容災(zāi)中心設(shè)置在相隔一定距離的兩座樓里，其優(yōu)點(diǎn)有兩個(gè)：一是可以有效預(yù)防單點(diǎn)的火災(zāi)、爆炸、電力或通訊中斷等情況發(fā)生時(shí)對業(yè)務(wù)和數(shù)據(jù)的影響，二是方便本院技術(shù)人員實(shí)時(shí)監(jiān)控容災(zāi)中心的日常運(yùn)行情況和故障排除。其缺點(diǎn)是無法實(shí)現(xiàn)大的自然災(zāi)難發(fā)生時(shí)對業(yè)務(wù)和數(shù)據(jù)的安全保護(hù)，如當(dāng)洪水和地震造成生產(chǎn)中心與容災(zāi)中心所在樓同時(shí)發(fā)生毀損時(shí)，業(yè)務(wù)和數(shù)據(jù)就會(huì)徹底被毀損。

2.2 采用雙機(jī)熱備和集群技術(shù)進(jìn)行應(yīng)用的容災(zāi)

信息系統(tǒng)的業(yè)務(wù)連續(xù)性主要由2 個(gè)指標(biāo)來衡量：恢復(fù)時(shí)間目標(biāo)（Recovery Time Objective，RTO）和恢復(fù)點(diǎn)目標(biāo)（Recovery Point Objective，RPO）。RTO 體現(xiàn)了災(zāi)難發(fā)生后，業(yè)務(wù)工作可以在多長時(shí)間內(nèi)恢復(fù)；RPO 體現(xiàn)了業(yè)務(wù)工作恢復(fù)時(shí)數(shù)據(jù)的丟失程度。國家標(biāo)準(zhǔn)第6級(jí)要求RTO 和RPO的值都趨于零，即具備遠(yuǎn)程集群系統(tǒng)的實(shí)時(shí)監(jiān)控和自動(dòng)切換能力。但這需要成倍的增加建設(shè)資金及后續(xù)維護(hù)成本。本方案綜合考慮成本和業(yè)務(wù)實(shí)際需要，在災(zāi)備機(jī)房沒有采用遠(yuǎn)程集群系統(tǒng)的實(shí)時(shí)監(jiān)控和自動(dòng)切換，做到了RPO等于零，而業(yè)務(wù)應(yīng)用需要工程師的干預(yù)，RTO在10～15min左右。

我院數(shù)據(jù)庫服務(wù)器和應(yīng)用服務(wù)器采用雙機(jī)熱備技術(shù)和集群技術(shù)，大大降低了因機(jī)器硬件（硬盤、風(fēng)扇和網(wǎng)卡）故障和軟件（操作系統(tǒng)、應(yīng)用軟件）故障所帶來的宕機(jī)風(fēng)險(xiǎn)，提高了整個(gè)系統(tǒng)的可用性。如HIS、PACS、RIS、醫(yī)保和電子病歷等數(shù)據(jù)庫服務(wù)器均采用雙機(jī)熱備技術(shù)和集群技術(shù)進(jìn)行容災(zāi)保護(hù)，以達(dá)到業(yè)務(wù)應(yīng)用容災(zāi)的目的。每個(gè)業(yè)務(wù)系統(tǒng)均有2臺(tái)數(shù)據(jù)庫服務(wù)器，2臺(tái)服務(wù)器根據(jù)業(yè)務(wù)特點(diǎn)，采用主從、互備、并行等不同的方式工作。

在工作過程中，實(shí)際以同一個(gè)虛擬的IP地址對外提供服務(wù)，按工作方式的不同，將服務(wù)請求發(fā)送給其中一臺(tái)服務(wù)器承擔(dān)；同時(shí)，服務(wù)器之間通過心跳線偵測對方的工作狀況，當(dāng)一臺(tái)服務(wù)器出現(xiàn)故障時(shí)，另一臺(tái)服務(wù)器根據(jù)心跳偵測的情況做出判斷并進(jìn)行切換、接管服務(wù)。對于用戶而言，這一過程是全自動(dòng)、完全透明的，在很短時(shí)間內(nèi)完成，系統(tǒng)將繼續(xù)正常運(yùn)行，不會(huì)對業(yè)務(wù)造成影響。隨著我院設(shè)備的擴(kuò)充和業(yè)務(wù)量的增加，像PACS等系統(tǒng)還可以增加新的應(yīng)用服務(wù)器到集群中來平衡系統(tǒng)的壓力。

我院將現(xiàn)有的IBM P5 520小型機(jī)遷移到容災(zāi)中心，作為HIS容災(zāi)主機(jī)，在災(zāi)難發(fā)生時(shí)作為HIS應(yīng)急運(yùn)行主機(jī)；新購幾臺(tái)PC服務(wù)器作為其他業(yè)務(wù)系統(tǒng)的容災(zāi)主機(jī)，在災(zāi)難發(fā)生時(shí)作為應(yīng)急運(yùn)行主機(jī)。在容災(zāi)主機(jī)中安裝和生產(chǎn)系統(tǒng)相同版本的操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用等軟件，確保在生產(chǎn)數(shù)據(jù)庫故障時(shí)，數(shù)據(jù)無丟失，數(shù)據(jù)庫快速接管。容災(zāi)方案架構(gòu)圖，見圖2。

圖2 容災(zāi)方案架構(gòu)圖

該方案建成后，有效地應(yīng)對過一次門診樓的火災(zāi)風(fēng)波。去年，我院門診樓因中央空調(diào)老化起火，雖然火災(zāi)在較短的時(shí)間內(nèi)撲滅了，沒有造成生產(chǎn)中心硬件受損，但較長時(shí)間內(nèi)電力無法供應(yīng)，業(yè)務(wù)無法繼續(xù)，經(jīng)請示報(bào)告后，迅速啟用容災(zāi)中心的相關(guān)系統(tǒng)，在15 min內(nèi)HIS、PACS、LIS、醫(yī)保和電子病歷等核心業(yè)務(wù)系統(tǒng)恢復(fù)服務(wù)，確保了各項(xiàng)業(yè)務(wù)工作的正常運(yùn)行。

2.3 采用雙光纖交換機(jī)、雙光纖線路進(jìn)行網(wǎng)絡(luò)鏈路的容災(zāi)

容災(zāi)中心與生產(chǎn)中心的數(shù)據(jù)需要進(jìn)行同步，所以同步的鏈路也是安全保護(hù)的重點(diǎn)。容災(zāi)系統(tǒng)在網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)設(shè)計(jì)中，在位于門診樓的生產(chǎn)中心架設(shè)2臺(tái)光纖交換機(jī)，在干部保健樓的容災(zāi)中心也架設(shè)2臺(tái)光纖交換機(jī)，交換機(jī)之間采用2條多模光纖直接連接，充分考慮了擴(kuò)展性和冗余性[7]，最大限度地保證網(wǎng)絡(luò)的健壯和自愈性，從而實(shí)現(xiàn)網(wǎng)絡(luò)鏈路的容災(zāi)。

3 結(jié)束語

異地容災(zāi)系統(tǒng)能保證當(dāng)災(zāi)難發(fā)生時(shí)醫(yī)院數(shù)據(jù)的安全和業(yè)務(wù)的連續(xù)性，具體表現(xiàn)在：數(shù)據(jù)在遠(yuǎn)程場地存在有一致、可用的備份，應(yīng)用可以在十幾分鐘內(nèi)立即在遠(yuǎn)程容災(zāi)中心運(yùn)行。

該方案具有如下特點(diǎn)：① 管理操作簡單方便：將生產(chǎn)機(jī)房信息系統(tǒng)上的數(shù)據(jù)變化實(shí)時(shí)同步復(fù)制到災(zāi)備機(jī)房的容災(zāi)系統(tǒng)，對生產(chǎn)系統(tǒng)的資源占用低，不影響生產(chǎn)系統(tǒng)的正常運(yùn)行；與操作系統(tǒng)和數(shù)據(jù)庫無關(guān)，支持所有操作系統(tǒng)和數(shù)據(jù)庫及各種數(shù)據(jù)文件；② 快速切換、無縫接管：當(dāng)生產(chǎn)中心的系統(tǒng)無法正常運(yùn)行，而又不能在短期內(nèi)恢復(fù)時(shí)，可利用災(zāi)備中心提供業(yè)務(wù)接管，災(zāi)備中心必須在生產(chǎn)中心不可用并決定切換后，15min之內(nèi)完成業(yè)務(wù)接管，且生產(chǎn)中心服務(wù)器恢復(fù)正常后，容災(zāi)系統(tǒng)需要將災(zāi)備中心的最新數(shù)據(jù)反向復(fù)制回生產(chǎn)中心，實(shí)現(xiàn)業(yè)務(wù)的恢復(fù)；③ 監(jiān)控及管理功能：能實(shí)現(xiàn)對系統(tǒng)運(yùn)行狀態(tài)、運(yùn)行日志及系統(tǒng)配置等方面進(jìn)行統(tǒng)一的管理及監(jiān)控，保證在系統(tǒng)出現(xiàn)錯(cuò)誤時(shí)能及時(shí)報(bào)警并跟蹤，以方便故障快速定位和解決。

[1] GB/T20988-2007,信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范[S]．

[2] 胡敏,徐旭東,張曙光,等．醫(yī)院信息系統(tǒng)容災(zāi)方案的設(shè)計(jì)與實(shí)施[J]．醫(yī)療衛(wèi)生裝備,2009,30(11):44-45．

[3] 劉曉輝．醫(yī)院信息系統(tǒng)中災(zāi)備系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J]．醫(yī)療設(shè)備信息,2007,22(1):22-24．

[4] 朱有存,羅丹,王梅,等．基于RMAN的“軍衛(wèi)一號(hào)”數(shù)據(jù)庫備份恢復(fù)方法[J]．醫(yī)療衛(wèi)生裝備,2007,28(1):50-51．

[5] 馬錫坤．基于Oracle的在線式應(yīng)用容災(zāi)系統(tǒng)的建立[J]．中國醫(yī)療設(shè)備,2012,27(2):38-40．

[6] 王亦然．Oracle數(shù)據(jù)庫災(zāi)備技術(shù)探討[J]．個(gè)人電腦,2011,(11):94-96．

[7] 陳常暉．?dāng)?shù)據(jù)中心災(zāi)備技術(shù)實(shí)現(xiàn)淺析[J]．電腦知識(shí)與技術(shù), 2009,5(36):10544-10545．

Design and Implementation of Disaster Recovery Scheme of Hospital Information System

LIN Ji-nan, WANG Hong
Department of Information, the 309thHospital of PLA, Beijing 100091, China

ObjectiveTo design a disaster recovery scheme for hospital information system (HIS).MethodsUsing the redundancy backup technology and cluster technology to achieve the data disaster recovery and application disaster recovery of HIS.ResultsWith the application of this scheme in our hospital, data loss and application interruption caused by various causes are prevented.ConclusionThe scheme is simple and effective, and makes hospital information system have abilities of data disaster recovery and application disaster recovery, which assure the continuity and high usability of critical businesses.

hospital information system; disaster recovery system; data backup

TP309.3；TP393.08

A

10.3969/j.issn.1674-1633.2013.09.016

1674-1633(2013)09-0047-03

2013-05-29

2013-07-29

作者郵箱：linjn2009@126．com