醫(yī)院數(shù)據(jù)庫高可用設(shè)計淺談

吳 健

（安徽省無為縣人民醫(yī)院，蕪湖 238300）

醫(yī)院越來越依賴于信息化管理，各業(yè)務(wù)應(yīng)用的數(shù)據(jù)信息，主要存儲在數(shù)據(jù)庫中，醫(yī)院對這些數(shù)據(jù)訪問的連續(xù)性要求越來越高，為了避免因為數(shù)據(jù)庫原因?qū)е赂鞣N損失，數(shù)據(jù)庫的高可用已成了信息化建設(shè)的重中之中。數(shù)據(jù)庫高可用設(shè)計尤其重要，通過數(shù)據(jù)庫高可用性解決方案可以幫助最大化系統(tǒng)可用性并滿足業(yè)務(wù)的最高SLA要求。

1 什么是高可用

高可用性是指按需訪問應(yīng)用程序、數(shù)據(jù)庫、服務(wù)或功能的程度。高可用性是通過最終用戶的感知來衡量的。

1.1 高可用性主要特征

可靠性：可靠的硬件是高可用性解決方案的一個組成部分?？煽康能浖ò〝?shù)據(jù)庫，Web服務(wù)器和應(yīng)用程序）對于實現(xiàn)高可用性解決方案同樣至關(guān)重要。例如，低成本商用硬件與系統(tǒng)集群、數(shù)據(jù)庫集群等軟件相結(jié)合，可用于實現(xiàn)非?？煽康南到y(tǒng)，因為即使單個服務(wù)器可能出現(xiàn)故障，數(shù)據(jù)庫也可以繼續(xù)提供訪問。

可恢復(fù)性：由于從故障中恢復(fù)可能有很多選擇，因此確定高可用性環(huán)境中可能發(fā)生的故障類型以及如何及時從這些故障中恢復(fù)以滿足業(yè)務(wù)需求非常重要。

及時錯誤檢測：如果架構(gòu)中的組件發(fā)生故障，則快速檢測對于從意外故障中恢復(fù)至關(guān)重要。雖然可以從停機中快速恢復(fù)，但如果發(fā)現(xiàn)問題需要額外的90分鐘，那么可能無法滿足SLA。監(jiān)視環(huán)境的運行狀況需要可靠的軟件來快速查看它，并能夠通知數(shù)據(jù)庫管理員一個問題。

持續(xù)運行：當(dāng)執(zhí)行維護(hù)活動的停機時間非常短或沒有時，提供連續(xù)訪問數(shù)據(jù)的能力至關(guān)重要。諸如將系統(tǒng)升級或服務(wù)器增加硬件等活動對于高可用性體系結(jié)構(gòu)中的最終用戶應(yīng)該是透明的。

1.2 高可用重要性

高可用性的重要性因應(yīng)用環(huán)境而異。系統(tǒng)設(shè)計方案依賴于對關(guān)鍵業(yè)務(wù)數(shù)據(jù)的即時訪問。當(dāng)數(shù)據(jù)不可用時，操作可以停止運行。停機可能導(dǎo)致效率下降，收入損失，醫(yī)患關(guān)系受損，宣傳不力和訴訟。

停機成本中需要考慮的其他因素是單個意外中斷的最大可容忍長度以及允許事件的最大頻率。如果事件持續(xù)時間少于30秒，那么它可能會造成很小的影響，并且最終用戶可能幾乎感覺不到。隨著中斷的長度增加，效果可能呈指數(shù)級增長，并對業(yè)務(wù)產(chǎn)生負(fù)面影響?；蛘?，頻繁停電，即使持續(xù)時間很短，也可能同樣擾亂醫(yī)院業(yè)務(wù)運營。在設(shè)計解決方案時，了解停機的真實成本非常重要，以了解醫(yī)院業(yè)務(wù)如何通過可用性改進(jìn)而受益。

2 確定高可用性要求

確定高可用性要求的分析框架：

2.1 業(yè)務(wù)影響分析

嚴(yán)格的業(yè)務(wù)影響分析可識別醫(yī)院中的關(guān)鍵業(yè)務(wù)流程，計算影響每個業(yè)務(wù)流程的計劃外和計劃IT中斷的可量化損失風(fēng)險，并概述這些中斷的影響。它考慮了基本業(yè)務(wù)功能，人員和系統(tǒng)資源，政府法規(guī)以及內(nèi)部和外部業(yè)務(wù)依賴性。

2.2 停機成本

完整的業(yè)務(wù)影響分析提供了量化計劃外和計劃內(nèi)停機成本所需的洞察力。了解此成本至關(guān)重要，因為這有助于確定高可用性投資的優(yōu)先級，并對所選的高可用性技術(shù)產(chǎn)生直接影響，以最大限度地降低停機風(fēng)險。

2.3 恢復(fù)時間目標(biāo)（RTO）

業(yè)務(wù)影響分析將確定恢復(fù)時間目標(biāo)（RTO）。RTO定義為在開始遭受不可接受的后果（財務(wù)損失，對客戶滿意度，聲譽等的影響）之前，基于IT的業(yè)務(wù)流程可能會停機的最長時間。RTO表示業(yè)務(wù)流程或組織的停機容忍度。RTO要求由業(yè)務(wù)的關(guān)鍵任務(wù)性質(zhì)驅(qū)動。因此，對于運行證券交易所的系統(tǒng)，RTO為零或非常接近零。

2.4 恢復(fù)點目標(biāo)（RPO）

業(yè)務(wù)影響分析還確定了恢復(fù)點目標(biāo)（RPO）。RPO是基于IT的業(yè)務(wù)流程在對組織造成有害損害之前可能丟失的最大數(shù)據(jù)量。RPO表示業(yè)務(wù)流程或組織的數(shù)據(jù)丟失容忍度。這種數(shù)據(jù)丟失通常以時間來衡量，例如，數(shù)據(jù)丟失5小時或2天。

3 數(shù)據(jù)庫高可用解決方案

3.1 系統(tǒng)恢復(fù)能力性能指標(biāo)

恢復(fù)時間目標(biāo)（RTO：Recovery time objective）和恢復(fù)點目標(biāo)（RPO：Recovery point objective）用于計劃外停機和計劃維護(hù)

3.2 可管理性開銷（MO：Manageability Overhead）

總體擁有成本（TCO：Total Cost of Ownership）和投資回報率（ROI：Return On Investment）

3.3 高可用架構(gòu)建議

根據(jù)RTO，RPO，MO，可伸縮性和其他因素的業(yè)務(wù)要求高可用性架構(gòu)建議：

4 醫(yī)院數(shù)據(jù)庫最佳實踐

4.1 醫(yī)院數(shù)據(jù)庫架構(gòu)設(shè)計實踐

數(shù)據(jù)庫系統(tǒng)環(huán)境：

數(shù)據(jù)庫版本：SQL SERVER 2012

操作系統(tǒng)版本：Windows 2012

集群環(huán)境：Windows MSCS

運行業(yè)務(wù)：HIS數(shù)據(jù)庫、LIS數(shù)據(jù)庫等

系統(tǒng)架構(gòu)考慮：

合理利用硬件性能，提供硬件使用率。這種架構(gòu)故障最大RTO或節(jié)點故障以秒為單位，MO（可管理性開銷）中等，ROI（投資回報率）很高。

實現(xiàn)數(shù)據(jù)庫負(fù)載均衡，數(shù)據(jù)庫讀、寫離。所有報表查詢、其它平臺接口在只讀數(shù)據(jù)庫操作，避免對主數(shù)據(jù)庫性能和安全影響。

避免數(shù)據(jù)庫單點故障，故障自動切換，服務(wù)器和數(shù)據(jù)庫例實級故障對門診訪問是透明的。數(shù)據(jù)是冗余存儲，避免存儲級單點故障。

系統(tǒng)架構(gòu)設(shè)計：

在HIS、LIS數(shù)據(jù)庫環(huán)境配置兩個數(shù)據(jù)庫集群環(huán)境，每個集群兩個數(shù)據(jù)庫節(jié)點。每個數(shù)據(jù)庫集群分別安裝和配置HIS、LIS兩個數(shù)據(jù)庫實例。

集群內(nèi)部數(shù)據(jù)庫節(jié)點自動故障切換，例如：當(dāng)HIS主節(jié)點故障時，HIS數(shù)據(jù)庫會自動切換到LIS輔助節(jié)點，且不影響HIS主數(shù)據(jù)庫訪問。

集群之間數(shù)據(jù)庫實時同步，且實現(xiàn)數(shù)據(jù)庫讀、寫分離，例如：當(dāng)主數(shù)據(jù)存儲故障導(dǎo)致主數(shù)據(jù)集群不可用時，HIS主、LIS輔助節(jié)點業(yè)務(wù)自動切換到輔助數(shù)據(jù)庫集群，所有連接IP信息是虛擬VIP，也可以自動遷移，對于門診業(yè)務(wù)是透明的。

HIS和LIS主數(shù)據(jù)庫分別在兩個集群環(huán)境，防止HIS和LIS數(shù)據(jù)庫在門診高峰期發(fā)生資源爭用。兩個集群主、輔助節(jié)點數(shù)據(jù)實時同步，并且讀、寫分離。