崔學(xué)毅

（北京鐵路局 信息技術(shù)所，石家莊 050000）

方法與應(yīng)用

信息系統(tǒng)應(yīng)急預(yù)案編制及其演練

崔學(xué)毅

（北京鐵路局 信息技術(shù)所，石家莊 050000）

信息系統(tǒng)應(yīng)急預(yù)案在編制中應(yīng)充分注意應(yīng)急預(yù)案、專項(xiàng)應(yīng)急預(yù)案和現(xiàn)場(chǎng)處置方案3者的關(guān)聯(lián)關(guān)系；所形成的應(yīng)急預(yù)案應(yīng)充分考慮應(yīng)用和設(shè)備的內(nèi)在關(guān)系，同時(shí)需要通過(guò)不斷地模擬和近似實(shí)戰(zhàn)的演練加以完善和優(yōu)化；特別指出，應(yīng)急預(yù)案不是一本孤立的文案，更需要將其納入日常運(yùn)行維護(hù)工作的范圍，注重應(yīng)急處置的判斷過(guò)程，重視技術(shù)升級(jí)優(yōu)化和應(yīng)急處置后的恢復(fù)工作。

應(yīng)急預(yù)案；編制；演練

信息系統(tǒng)應(yīng)急預(yù)案不但要針對(duì)某個(gè)信息系統(tǒng)及其數(shù)據(jù)本身，還應(yīng)包括支撐其運(yùn)行的操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、以及相關(guān)的中間件；也應(yīng)包含涉及該信息系統(tǒng)可靠運(yùn)行的所有計(jì)算設(shè)備、存儲(chǔ)設(shè)備、網(wǎng)絡(luò)設(shè)備、機(jī)房設(shè)備、以及容災(zāi)系統(tǒng)、通信系統(tǒng)、電力系統(tǒng)等支撐系統(tǒng)或設(shè)備；更應(yīng)包含保障該信息系統(tǒng)應(yīng)急預(yù)案實(shí)施的管理和組織行為。

1 信息系統(tǒng)應(yīng)急預(yù)案的架構(gòu)組織

信息技術(shù)所作為鐵路信息系統(tǒng)運(yùn)行維護(hù)生產(chǎn)的一個(gè)專業(yè)單位/部門，由于信息系統(tǒng)獨(dú)有的網(wǎng)絡(luò)應(yīng)用特性，信息技術(shù)所應(yīng)急預(yù)案體系必須要按照《生產(chǎn)經(jīng)營(yíng)單位生產(chǎn)安全事故應(yīng)急預(yù)案編制導(dǎo)則》要求，建立《信息計(jì)算所應(yīng)急預(yù)案》作為單位/部門級(jí)別應(yīng)急狀態(tài)下的綱領(lǐng)性組織文件，將影響全局的重要信息系統(tǒng)或設(shè)施合理地劃分為若干個(gè)《信息系統(tǒng)專項(xiàng)應(yīng)急預(yù)案》作為支撐預(yù)案，以遍及重要信息系統(tǒng)各個(gè)環(huán)節(jié)的《專業(yè)現(xiàn)場(chǎng)處置措施》作為專項(xiàng)應(yīng)急預(yù)案的支撐。由此形成信息部門一套完整的信息系統(tǒng)應(yīng)急預(yù)案體系。

1.1 信息技術(shù)所應(yīng)急預(yù)案

《信息技術(shù)所應(yīng)急預(yù)案》從屬于綜合應(yīng)急預(yù)案級(jí)別，它是生產(chǎn)經(jīng)營(yíng)單位應(yīng)急預(yù)案體系的總綱。其重點(diǎn)是解決應(yīng)急處置期間生產(chǎn)經(jīng)營(yíng)單位的應(yīng)急組織機(jī)構(gòu)及職責(zé)、應(yīng)急預(yù)案體系、事故風(fēng)險(xiǎn)描述、預(yù)警及信息報(bào)告、應(yīng)急響應(yīng)、保障措施、應(yīng)急預(yù)案管理等工作。

鑒于信息技術(shù)所重大的安全生產(chǎn)問(wèn)題均會(huì)影響鐵路局整體的運(yùn)輸經(jīng)營(yíng)活動(dòng)，且一旦信息系統(tǒng)或支撐該信息系統(tǒng)的某一個(gè)環(huán)節(jié)崩潰或者失效，相關(guān)專業(yè)的應(yīng)急預(yù)案就需要啟動(dòng)。基于這一實(shí)際情況，信息技術(shù)所安全生產(chǎn)的重大問(wèn)題必須通過(guò)信息技術(shù)所的行政管理行為進(jìn)行干預(yù)，必須通過(guò)建立一套基于行政組織行為的綜合性應(yīng)急（組織）預(yù)案予以保證。在這個(gè)應(yīng)急預(yù)案中，信息技術(shù)所應(yīng)急組織機(jī)構(gòu)和職責(zé)必須與鐵路局應(yīng)急預(yù)案有序銜接，專項(xiàng)應(yīng)急預(yù)案必須納入鐵路局的應(yīng)急預(yù)案體系，預(yù)警及信息報(bào)告和應(yīng)急響應(yīng)必須與鐵路局相關(guān)體系形成閉環(huán)。

1.2 信息系統(tǒng)專項(xiàng)應(yīng)急預(yù)案

信息技術(shù)所專項(xiàng)應(yīng)急預(yù)案從屬于對(duì)鐵路運(yùn)輸和經(jīng)營(yíng)活動(dòng)產(chǎn)生重大影響的應(yīng)急預(yù)案級(jí)別。是對(duì)信息技術(shù)所重要生產(chǎn)設(shè)施、重要應(yīng)用系統(tǒng)和重大危險(xiǎn)源進(jìn)行分類整合，由此所形成模塊清晰、相互不相交叉的專項(xiàng)應(yīng)急預(yù)案。主要包括事故風(fēng)險(xiǎn)分析、應(yīng)急指揮機(jī)構(gòu)及職責(zé)、處置程序和措施等內(nèi)容。

信息技術(shù)所保障信息系統(tǒng)運(yùn)行的重要生產(chǎn)設(shè)施可以大致分類為：機(jī)房保障設(shè)施、網(wǎng)絡(luò)設(shè)備及其冗余設(shè)施、計(jì)算機(jī)/存儲(chǔ)設(shè)備及其冗余設(shè)施、系統(tǒng)/數(shù)據(jù)庫(kù)及其實(shí)時(shí)（備份及恢復(fù)）設(shè)施以及信息系統(tǒng)自身代碼及其容錯(cuò)設(shè)施。信息系統(tǒng)最大的危險(xiǎn)源主要有自然災(zāi)害、火災(zāi)危險(xiǎn)、供配電停電危險(xiǎn)。

就分類級(jí)別角度分析，自然災(zāi)害、火災(zāi)危險(xiǎn)、電力停電危險(xiǎn)將直接導(dǎo)致全部信息系統(tǒng)的崩潰，危及到鐵路客貨運(yùn)業(yè)務(wù)的整體混亂，因此這些風(fēng)險(xiǎn)在應(yīng)急預(yù)案中應(yīng)列入最高級(jí)別（一級(jí)），涉及本級(jí)和上一級(jí)信息系統(tǒng)應(yīng)用的中心網(wǎng)絡(luò)及其冗余設(shè)施失效同樣具有電力停電一樣的危險(xiǎn)度，故也應(yīng)納入最高級(jí)別。

信息系統(tǒng)自身代碼及其容錯(cuò)設(shè)施失效將導(dǎo)致信息系統(tǒng)整體崩潰，危機(jī)到單個(gè)鐵路業(yè)務(wù)停頓，這種風(fēng)險(xiǎn)相對(duì)所有信息系統(tǒng)崩潰影響范圍較小，在信息技術(shù)所中和應(yīng)急預(yù)案中應(yīng)該列入次要級(jí)別（二級(jí)）。部分應(yīng)用相關(guān)的核心網(wǎng)絡(luò)設(shè)備及冗余設(shè)施同時(shí)故障、計(jì)算機(jī)/存儲(chǔ)設(shè)備及其冗余設(shè)施同時(shí)故障以及系統(tǒng)/數(shù)據(jù)庫(kù)及其實(shí)時(shí)（備份及恢復(fù)）設(shè)施同時(shí)故障，也會(huì)造成單個(gè)或多個(gè)信息系統(tǒng)停頓，在信息技術(shù)所和應(yīng)急預(yù)案中也應(yīng)該列入次要級(jí)別（二級(jí)）。

部分機(jī)房環(huán)境設(shè)施（如空調(diào)）故障、次要網(wǎng)絡(luò)設(shè)備及冗余設(shè)施同時(shí)故障、集群部分設(shè)備同時(shí)故障，造成部分區(qū)域應(yīng)用停頓，需要業(yè)務(wù)部門啟動(dòng)一定范圍的應(yīng)急預(yù)案，在信息技術(shù)所應(yīng)急預(yù)案中應(yīng)該列入次要級(jí)別（三級(jí)）。

1.3 信息系統(tǒng)現(xiàn)場(chǎng)處置方案

現(xiàn)場(chǎng)處置方案不同于應(yīng)急方案，應(yīng)急方案表征的是對(duì)信息系統(tǒng)故障延時(shí)所引發(fā)為事故的協(xié)調(diào)組織特性，現(xiàn)場(chǎng)處置方案則表征的是對(duì)信息系統(tǒng)故障排除的技術(shù)處理特性。

針對(duì)信息專業(yè)而言，應(yīng)急處置措施不同于現(xiàn)場(chǎng)修復(fù)，是需要通過(guò)替代（故障系統(tǒng)或設(shè)備）、短接（跨接故障節(jié)點(diǎn)）、轉(zhuǎn)移（應(yīng)用系統(tǒng)或載體）、減少（負(fù)載或負(fù)荷）、縮減（應(yīng)用規(guī)模）、整體或局部降級(jí)等方式的現(xiàn)場(chǎng)處置措施。

現(xiàn)場(chǎng)處置方案應(yīng)主要包括事故風(fēng)險(xiǎn)分析、應(yīng)急工作職責(zé)、應(yīng)急處置和注意事項(xiàng)等內(nèi)容。信息技術(shù)所需要對(duì)所轄的所有在線信息系統(tǒng)/設(shè)備以及連接到應(yīng)用終端的網(wǎng)絡(luò)徑路進(jìn)行全路徑篩選，確定可能造成整體或局部癱瘓的關(guān)鍵項(xiàng)點(diǎn)，組織相關(guān)技術(shù)人員編制出可以通過(guò)替代、短路、轉(zhuǎn)移、減少、縮減或降級(jí)等方式的現(xiàn)場(chǎng)處置方案。

現(xiàn)場(chǎng)處置方案的立足點(diǎn)應(yīng)是縮短故障處置時(shí)長(zhǎng)、其目的就是盡快恢復(fù)應(yīng)用單位的現(xiàn)場(chǎng)運(yùn)用或盡量減輕對(duì)運(yùn)用單位的干擾時(shí)間。因此應(yīng)急處置過(guò)程簡(jiǎn)單、有序是編制現(xiàn)場(chǎng)處置方案的核心。

綜上所述，一個(gè)完整的信息系統(tǒng)專項(xiàng)應(yīng)急預(yù)案是一個(gè)專項(xiàng)應(yīng)急預(yù)案和若干個(gè)專業(yè)性現(xiàn)場(chǎng)處置方案的有序組合。對(duì)以往已經(jīng)納入到應(yīng)急預(yù)案而其故障并不會(huì)影響安全生產(chǎn)的冗余系統(tǒng)或設(shè)備的處置措施，確需重新審定、斟酌并剔除。

2 信息系統(tǒng)應(yīng)急預(yù)案的演練組織

應(yīng)急預(yù)案演練是對(duì)應(yīng)急預(yù)案編制結(jié)果的主動(dòng)檢測(cè)。而應(yīng)急預(yù)案實(shí)際啟動(dòng)則是現(xiàn)場(chǎng)出現(xiàn)真實(shí)故障的被動(dòng)應(yīng)對(duì)。所以，應(yīng)急預(yù)案的演練是應(yīng)急預(yù)案體系中最為重要的日常性技術(shù)保障工作。

信息技術(shù)所信息系統(tǒng)應(yīng)急預(yù)案演練具體體現(xiàn)在現(xiàn)場(chǎng)處置方案的演練。由于現(xiàn)場(chǎng)處置方案對(duì)專項(xiàng)應(yīng)急預(yù)案的緊密關(guān)聯(lián)，每一個(gè)專項(xiàng)應(yīng)急預(yù)案的演練同時(shí)會(huì)波及到信息技術(shù)所的綜合性應(yīng)急預(yù)案，也會(huì)波及到相關(guān)專業(yè)的應(yīng)急預(yù)案是否需要模擬或真實(shí)啟動(dòng)。

基于應(yīng)急演練對(duì)運(yùn)輸生產(chǎn)具有影響的特性，信息系統(tǒng)不同類型的應(yīng)急預(yù)案演練的形式、范圍、頻次、內(nèi)容必須在有計(jì)劃的前提下展開(kāi)，要盡力選擇對(duì)運(yùn)輸生產(chǎn)影響最小的時(shí)段內(nèi)進(jìn)行。應(yīng)急演練結(jié)束后，必須組織對(duì)應(yīng)急演練過(guò)程及結(jié)果進(jìn)行評(píng)估、總結(jié)。

應(yīng)急預(yù)案演練的形式應(yīng)該是多樣化的，信息技術(shù)所應(yīng)急預(yù)案和專項(xiàng)應(yīng)急預(yù)案在每一次現(xiàn)場(chǎng)處置方案演練時(shí)都會(huì)啟動(dòng)，考慮到線上應(yīng)急處置演練對(duì)生產(chǎn)的實(shí)際影響，應(yīng)將線上演練和線下測(cè)試相結(jié)合、模擬演練和驗(yàn)證性演練相結(jié)合，由此實(shí)現(xiàn)對(duì)現(xiàn)場(chǎng)處置預(yù)案自身的不斷完善、補(bǔ)充和改進(jìn)。

3 信息系統(tǒng)應(yīng)急預(yù)案需要注意的若干問(wèn)題

信息系統(tǒng)應(yīng)急預(yù)案編制和演練過(guò)程中，除按照國(guó)家《生產(chǎn)經(jīng)營(yíng)單位生產(chǎn)安全事故應(yīng)急預(yù)案編制導(dǎo)則》推薦的內(nèi)容外，還有以下幾點(diǎn)需要特別注意。

3.1 應(yīng)急處置預(yù)案需要日常維護(hù)工作的有力支撐

目前，鐵路重要的信息系統(tǒng)都采用了冗余系統(tǒng)，這些冗余系統(tǒng)主要分布在應(yīng)急預(yù)案所涉及的關(guān)鍵部位，一旦冗余系統(tǒng)失效，將會(huì)對(duì)運(yùn)輸生產(chǎn)產(chǎn)生大范圍的影響。因此冗余系統(tǒng)日常的維護(hù)工作則顯得更加重要。冗余系統(tǒng)的線上和線下檢測(cè)和測(cè)試，其頻度要大于相關(guān)現(xiàn)場(chǎng)處置方案的演練。將冗余系統(tǒng)運(yùn)行狀態(tài)實(shí)時(shí)監(jiān)測(cè)起來(lái)，一旦出現(xiàn)問(wèn)題必須在最短的時(shí)間內(nèi)給予修復(fù)。與此類同，除設(shè)備級(jí)別的冗余外，系統(tǒng)/應(yīng)用/數(shù)據(jù)軟件及其實(shí)時(shí)備份系統(tǒng)也必須實(shí)時(shí)監(jiān)測(cè)起來(lái)，并及時(shí)處理任何異常狀態(tài)。

確保應(yīng)急系統(tǒng)及數(shù)據(jù)的一致性檢查和冗余設(shè)備的可用性維護(hù)，既是避免應(yīng)急預(yù)案被動(dòng)啟動(dòng)的基本保證，也是確保應(yīng)急處置預(yù)案能否正確切換、替代和轉(zhuǎn)移的基本保證。

3.2 應(yīng)急預(yù)案必須關(guān)注結(jié)合部的有組織判斷

信息系統(tǒng)故障有其特有的復(fù)雜度。例如操作系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)以及中間件之間有著千絲萬(wàn)縷的關(guān)系，一個(gè)表象后面可能是多種問(wèn)題的集合。再如計(jì)算機(jī)設(shè)備、存儲(chǔ)設(shè)備和軟件系統(tǒng)也有著極其密切的依賴關(guān)系，一個(gè)軟性故障可能包含著硬件故障。還有網(wǎng)絡(luò)故障包含著通信專業(yè)問(wèn)題等。

當(dāng)一次現(xiàn)場(chǎng)處置方案啟動(dòng)時(shí)，最關(guān)鍵的組織行為就是要在最短的時(shí)間內(nèi)確定故障點(diǎn)，以便最快的速度啟動(dòng)相應(yīng)現(xiàn)場(chǎng)處置方案。而其中最重要的是參與故障判斷人員的專業(yè)技術(shù)水平和能力。因此，很有必要建立一個(gè)本單位/部門的專業(yè)技術(shù)專家組，實(shí)施有組織的故障診斷，其診斷結(jié)果和意見(jiàn)作為專項(xiàng)應(yīng)急預(yù)案和信息技術(shù)所綜合應(yīng)急預(yù)案的專業(yè)決策依據(jù)。

3.3 現(xiàn)場(chǎng)處置方案需要新技術(shù)的不斷引入

現(xiàn)場(chǎng)處置預(yù)案是根據(jù)不同故障類型，針對(duì)具體的場(chǎng)所、裝置或設(shè)施所制定的應(yīng)急處置措施。制定現(xiàn)場(chǎng)處置預(yù)案的根本原因是在目前使用的裝置與設(shè)施中潛在著功能失效和崩潰的危險(xiǎn)。

這些危險(xiǎn)大致為：截至目前IT業(yè)暫時(shí)還沒(méi)有較新的技術(shù)能夠有效解決，或者已經(jīng)有了解決方案，但由于投資過(guò)大，企業(yè)暫時(shí)無(wú)法給予投入，或者已經(jīng)采用了最新技術(shù)但依然存在小概率失效風(fēng)險(xiǎn)。

為此，需要在制定應(yīng)急預(yù)案的同時(shí)，對(duì)具有重大影響的裝置和設(shè)施實(shí)行有計(jì)劃的技術(shù)改進(jìn)和投入，由此不斷降低重要節(jié)點(diǎn)的危險(xiǎn)系數(shù)。此外還需要對(duì)處置過(guò)程繁瑣的現(xiàn)場(chǎng)處置方案進(jìn)行篩選和優(yōu)化，要通過(guò)新技術(shù)和新設(shè)備的引入去替代并簡(jiǎn)化應(yīng)急處置措施，努力提高應(yīng)急處置的時(shí)效性。

3.4 現(xiàn)場(chǎng)處置方案必須兼顧處置后的恢復(fù)和還原

現(xiàn)場(chǎng)處置方案重點(diǎn)是應(yīng)急處置的實(shí)現(xiàn)過(guò)程，在編制現(xiàn)場(chǎng)處置方案時(shí)，還必須兼顧應(yīng)急處置后的恢復(fù)和還原過(guò)程。應(yīng)急處置快速有效而恢復(fù)時(shí)影響鐵路運(yùn)輸生產(chǎn)的事件卻遠(yuǎn)大于應(yīng)急處置時(shí)間，這樣的結(jié)果反映出現(xiàn)場(chǎng)處置方案的不完整性。

因此，一個(gè)好的現(xiàn)場(chǎng)處置方案不但應(yīng)急處置快速有效，同時(shí)兼顧應(yīng)急處置后恢復(fù)及還原工作的簡(jiǎn)單有序。這就需要在信息系統(tǒng)及其相關(guān)設(shè)施的設(shè)計(jì)和實(shí)施前，必須充分考慮到系統(tǒng)架構(gòu)對(duì)應(yīng)急處置的影響。對(duì)架構(gòu)性問(wèn)題，要在編制現(xiàn)場(chǎng)處置方案的同時(shí)或之后進(jìn)行必須的改進(jìn)。

4 結(jié)束語(yǔ)

信息技術(shù)所應(yīng)急預(yù)案的編制和演練，只有密切結(jié)合信息技術(shù)自身的技術(shù)特性，才能編制出一套切實(shí)可行的應(yīng)急預(yù)案及其體系；只有實(shí)施演練，才能確保應(yīng)急預(yù)案的有效性；只有不斷從技術(shù)和組織方面進(jìn)行完善，信息系統(tǒng)的安全才有基本保證。

[1]中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局，中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì).GB/T29639-2013生產(chǎn)經(jīng)營(yíng)單位生產(chǎn)安全事故應(yīng)急預(yù)案編制導(dǎo)則[S]. 北京：中國(guó)國(guó)家標(biāo)準(zhǔn)出版社，2013.

責(zé)任編輯 方 圓

Formation of emergency plan for Information System and its drill

CUI Xueyi
( Institute of Information Technologies, Beijing Railway Administration, Shijiazhuang 050000, China )

Attention to the relationship among emergency plans, special emergency plans and site disposal program should be paid in the formation of emergency plan for Information System. The internal relation of application and equipment should be considered in the formed emergency plans. The plans should be improved and optimized by continuous simulation and actual drill. The paper pointed out that the emergency plan wasn’t a isolate copywriting, it should be brought into daily operation and maintenance work. The judge process, technological upgrading and recovery efforts after emergency disposal should be taken seriously.

emergency plan; formation; drill

U29∶TP39

A

1005-8451（2015）07-0035-03

2015-01-23

崔學(xué)毅，高級(jí)工程師。