数据备份压倒“灾难”(上）

对于电力企业而言，网络系统的核心是数据，如果没有数据或者数据不安全，就谈不上电力应用。容灾备份是保证电力系统正常运营的灵丹妙药。

人为的操作错误、软件缺陷、硬件故障、计算机病毒、黑客攻击、自然灾难等诸多因素，均有可能带来数据的丢失，从而给整个电力企业带来无法估量的损失。

笔者曾经参与了一个安全咨询项目:某省电力公司需要建立公钥基础设施(Public Key Infrastructure，PKI)系统，通过发放PKI数字证书(可以形象地称为网络身份证)，验证每位员工的身份。

PKI系统建成后，该电力公司将门禁、计算机系统登陆、食堂用餐、电力超市消费等与数字证书关联起来。随后，该电力公司产生一个疑惑:数字证书信息、密钥信息等非常重要，一旦遭受攻击或自然灾害，非常容易丢失，这时怎么办?

应该进行远程容灾备份。

远程容灾备份是保护数据信息的重要手段，利用它，用户可在遭受攻击或遭遇自然灾害引发数据丢失时，快速恢复数据和系统服务。

个性化需要

在电力企业中，有很多应用系统和重要数据。比如能量管理系统、电量计量、电力市场系统、水调系统、调度生产管理系统、财务管理统、用电营销系统、办公自动化系统、PKI系统等。这些数据大多分布在内部系统的多台服务器上，需要容灾备份的工作量比较大。

电监会电力二次系统(除PKI系统以外的容灾备份系统)安全防护条文规定:电力应用系统可划分为生产控制大区和管理信息大区。生产控制大区又可分为控制区(安全区I)和非控制区(安全区Ⅱ);在不影响生产控制大区安全的前提下，根据各企业不同的安全要求，管理信息大区又可划分安全区。

规定还要求，应用系统必须避免不同安全区的纵向交叉连接。有鉴于此，建立异地容灾备份系统，一定要考虑好系统边界的防护问题，切勿跨越安全区。

由于业务系统关联程度比较高(例如电力市场系统可能涉及到能量管理系统、电量计量系统等)，当电力系统要做应用级的容灾备份时，需将所有的系统都复制一份，还要求到各个厂、站的所有通讯两路都响应容灾。所以，无论在技术上还是投资规模上，应用级的容灾备份方案实现起来较为困难。

笔者建议电力系统采用同城数据容灾备份的方式。

PKI式容灾备份

针对上面提及的电力用户，建成后的PKI电力网上身份认证生产系统(即数字证书认证中心CA和密钥管理中心KM)，必须具有较高的可用性和可维护性。

一方面，如果系统发生故障或遇到灾难，要保证及时恢复生产系统。

此外，考虑到灾难发生的突然性，电力用户所选用的灾难备份和恢复系统，必须具有简单、快速的易操作性，能够以最短的时间处理故障，恢复系统的运行，并在故障消除后，将系统运行恢复原状。

另一方面，在特殊情况下，需要对CA中心进行必要的监管和维护。这就要求系统在具有容灾能力的同时，具有远程管理和维护能力。

图1为PKI生产系统容灾备份中心的示意图。

从图1中可以看出，PKI生产系统容灾备份中心包括CA容灾备份系统与KM容灾备份系统两部分。两个系统各自采用PKI网关等安全设备，通过备份专用通道与相应的生产系统(即CA和KM)相连。

数据备份通过专用的远程备份服务系统加载安全备份软件来实现。备份专用通道以专线形式，采取安全拨号、VPN、IP宽带网等方式，提供生产系统与容灾备份中心之间的安全连接。

为保证PKI生产系统能够正常不间断地进行生产服务，在PKI生产系统容灾备份中心，CA备份系统与电力CA系统的组成需要保持一致，都应该能够复制远程生产系统，包括Web服务系统、目录服务系统、证书业务管理与处理系统、证书签发服务系统、备份服务系统、数据库服务系统。

CA备份系统的各个系统均建立在信任服务基础平台之上，由相应的功能服务模块构建而成，各功能服务模块之间的相互协调与调度机制与生产系统相一致。

同样，PKI生产系统容灾备份中心的KM备份系统也是电力KM系统的复制，以确保紧急情况下的替换和接管。

在PKI生产系统容灾备份中心的系统结构里，采用独立的远程备份服务系统，是因为其运行不会影响生产系统服务模块的运行。

运行备份服务模块上的安全备份软件不占用正常生产系统的资源，惟一的影响是对网络资源的占用，因为生产系统中产生的日志必须通过网络不断地传送到备份服务模块。若采用可移动介质，不会对网络产生任何影响。

PKI生产系统的备份策略和流程为:采用全备份—差分备份方式。首先对所有的操作系统、数据库、应用程序等进行完全备份。定期进行完全备份，包含所有的系统和数据。

在其他时间采用差分备份，一方面可以节省备份窗口，另一方面也保证能够及时恢复数据。同时，可移动介质要放入保险柜，由专人使用，且使用时至少有两人在场。

由于PKI生产系统容灾备份中心具有远程监管及维护功能，在CA备份系统和KM备份系统中，都设有各自独立的远程管理和维护座席群。