ITIL：简约而不简单

7月28日那期的《来自最佳实践的结晶：ITIL》简要介绍了ITIL的产生和发展过程，以及ITIL的架构、内容和主要特点。在下面的几期中，我们将首先简单地介绍ITIL架构的6个模块，然后分别详细介绍服务支持和服务提供中包括的10个服务管理流程和1个服务管理职能。
英国商务部（OGC）颁布的ITIL，已经成为风行全球的信息服务管理（ITSM）事实上的业界标准。关于ITIL，我们可以将其概括为六大模块、十个流程、一个职能和三个比较。
六大模块
ITIL整个架构是由6个模块构成的，即业务管理（Business Perspective）、服务管理、ICT基础架构管理（ICTInfrastructure Management）、IT服务管理规划与实施（Planning to Implement IT ServiceManagement）、应用管理（ApplicationManagement）和安全管理，如图1所示。这六个模块的含义以及它们之间的关系分别介绍如下：

图1 ITIL的架构
业务管理ITIL所强调的核心思想是应该从客户（业务）而不是IT服务提供者（技术）的角度理解IT服务需求，也就是说，在提供IT服务的时候，我们首先应该考虑业务需求。业务管理这个模块就是用于帮助业务管理者如何利用商业思维分析IT问题，深入了解ICT基础架构支持业务流程的能力和IT服务管理在提供端到端IT服务过程中的作用，以及协助他们更好地处理与服务提供方之间的关系，以实现商业利益。
服务管理服务管理模块是ITIL架构的核心模块，它是ITIL与其它IT管理方法最不同的地方，即以一系列典型流程的方式把大部分IT管理内容进行了合理划分和管理。服务管理模块由服务支持和服务提供两个子模块构成。其中服务提供由服务等级管理、IT服务财务管理、IT服务持续性管理、可用性管理和能力管理5个服务管理流程组成；服务支持由事故管理、问题管理、配置管理、变更管理和发布管理5个流程及服务台职能组成。我们将在下面分别解释这十个流程和一个管理职能。
ICT基础架构管理IT服务管理的本质也是对ICT基础架构的管理，只不过它采取的是一种与通常的管理方法不同的方式，即将对ICT管理的任务标准化和模块化，然后打包成服务按需提供给客户。ICT基础架构管理模块覆盖了ICT基础架构管理的所有方面，从识别业务需求、实施、部署以及支持和维护基础架构。其目标是确保提供一个稳定可靠的IT基础架构，以支撑业务运作。
应用管理 IT服务管理包括对应用系统的支持、维护和运营，而应用系统是由客户或IT服务提供者或第三方开发的。IT服务管理的职能应该合理地延伸，介入应用系统的开发、测试和部署。应用管理模块解决的是如何协调这两者，以使他们一致地为服务于客户的业务。
安全管理 安全管理模块是ITIL1.0版本发布之后加入的，其目标是保护IT基础架构，使其避免未经授权的使用。安全管理模块为如何确定安全需求、制定安全政策和策略及处理安全事故提供全面指导。
IT服务管理规划与实施ITIL基本上只告诉我们要做什么（What），没有告诉如何做（How），因此提供一个一般性的规划和实施方法是非常必要的。IT服务管理规划和实施模块即是用于解决这个问题的。它为客户如何确立远景目标，如何分析现状、确定合理的目标并进行差距分析，和如何实施活动的优先级，以及如何对实施的流程进行评审，提供全面指导。
十个流程
ITIL的核心是服务管理模块，即服务支持和服务提供两个子模块中包括的十个典型服务管理流程和一个服务管理职能。前面已经指出，服务提供由服务级别管理、IT服务财务管理、IT服务持续性管理、可用性管理和能力管理5个服务管理流程组成，服务支持由事故管理、问题管理、配置管理、变更管理和发布管理5个流程及服务台职能组成。其中服务支持几个流程的含义分别解释如下：
事故管理所谓事故是指任何不符合标准操作、且已经引起或可能引起服务中断和服务质量下降的事件。事故管理的目的就是在出现事故时尽可能快地恢复服务的正常运作，避免其造成业务中断，以确保最佳的服务可用性级别。为了实现这个目的，事故管理流程必须最佳地利用资源支持业务、开发和维护有效的事故记录以及设计和应用统一的事故报告方法。
问题管理 问题是导致一些或多起事故的潜在原因，问题管理就是尽量减少服务基础架构、人为错误和外部事件等缺陷或过失对客户造成影响，并防止它们重复发生的过程。发生事故并不一定表明存在问题，问题也不一定要等发生事故后才能发现。
事故管理和问题管理的目标是相同的，但两者的侧重点不同。前者是强调“尽快恢复服务”，为此可以采取各种各样的措施，包括一些临时性的措施；而后者强调“从根本上解决问题”，即让事故不再发生，或者即使发生也有很好的应对措施。
变更管理 变更是指对IT基础架构组件（包括硬件、网络、软件、应用、环境、系统及相关文档）进行增加、修改或移除。变更管理的目的是使用标准方法和规程来快速有效地处理所有变更，以减少事故对服务的影响。
配置管理配置管理是识别和确认系统的配置项，记录和报告配置项状态和变更请求，检验配置项的正确性和完整性等活动构成的过程，其目的是提供IT基础架构的逻辑模型，支持其它服务管理流程特别是变更管理和发布管理的运作。为此，配置管理需要计量所有IT资产，为其它流程提供准确的信息，为事故管理、问题管理、变更管理和发布管理提供基础，验证基础架构记录并在必要时纠正有关记录。
发布管理 发布（版本）是指一组经过测试后导入实际运作环境的新增的或经过改动的配置项。发布管理的目的是为了保证发布的成功，主要应用于大型的或关键硬件、主要软件及打包或批处理一组变更。这五个流程之间的关系如图2所示。

图2 服务支持流程之间的关系
服务提供的五个流程的含义分别说明如下：
服务等级管理 服务等级管理是有关定义、协商、签订和测评提供给客户的服务的质量水准的流程。服务等级协议中说明了有关所提供的服务和这些服务的质量水准，并规定了服务双方各自的责任、权利和义务。服务等级管理是IT服务成功运作的重要保障。
就像服务台是服务支持各流程的“联系点”一样，服务等级协议是服务提供各流程的连接处，它定量说明了IT服务过程中的财务、持续性和可用性等方面的数据指标，并规定当这些定量指标没有被满足时的处理方法。同时，服务等级协议还详细说明了处理事故的升级方法。
IT服务财务管理 IT服务财务管理是负责预算和核算IT服务提供方提供IT服务所需的成本，并向客户收取相应服务费用的管理流程。
IT服务财务管理流程包括IT投资预算、IT服务成本核算和服务计费三个子流程，其目标是通过量化服务成本减少成本超支的风险、减少不必要的浪费、合理引导客户的行为，从而最终保证所提供的IT服务符合成本效益的原则。IT服务财务管理流程产生的预算和核算信息可以为服务级别管理、能力管理、IT服务持续性管理和变更管理等管理流程提供决策依据。
IT服务持续性管理IT服务持续性管理是指确保发生灾难后有足够的技术、财务和管理资源来确保IT服务持续性的管理流程。IT服务持续性管理关注的焦点是在发生服务故障后仍然能够提供预定级别的IT服务，从而支持组织的业务持续运作的能力。因此，IT服务持续性管理必须立足于组织的业务持续性管理。
可用性管理 可用性管理是通过分析用户和业务方的可用性需求并据以优化和设计IT基础架构的可用性，从而确保以合理的成本满足不断增长的可用性需求的管理流程。
可用性管理是一个前瞻性的管理流程，它通过对业务和用户可用性需求的定位，使得IT服务的设计建立在真实需求的基础上，从而避免IT服务运作中采用了过度的可用性级别，节约了IT服务的运作成本。
能力管理 能力管理是指在成本和业务需求的双重约束下，通过配置合理的服务能力使组织的IT资源发挥最大效能的服务管理流程。
能力管理流程包括业务能力管理、服务能力管理和资源能力管理三个子流程，其中业务能力管理子流程主要关注当前及未来的业务需求，服务能力管理子流程主要关注当前IT服务的品质是否能够支持正常的业务运作，而资源能力管理子流程主要关注所有服务提供赖以进行的技术基础，确保IT基础设施中所有组件能发挥最大的效能。这五个流程之间的关系如图3所示。

图3 服务提供流程之间的关系
一个职能
这里的一个职能即指服务台职能。在服务管理中，服务台处于非常重要的位置，因为它是客户（用户）与服务提供方之间最重要的沟通渠道。我们可以将服务台的作用归纳为以下几个方面：
“应答机” 当客户或用户提出服务请求、报告事故或问题时负责记录这些请求、事故和问题，尽量解决它们，在不能解决时可以转交给相应的支持小组并负责协调个小组和用户的交互。此外，服务台还负责回答客户和用户的一般性咨询问题。
“灭火器” 客户总会有不满意的地方，因此这里的关键是如何化解他们的不满意之处。服务台此时就相当于“灭火器”，通过各种方式（有些是标准的、预定的）消除客户的抱怨，提高客户满意度。
“传声机” 服务台根据支持小组的要求进一步联系客户、了解有关情况，并把支持小组的处理进展及时通报给用户。此外，服务台还为其它管理流程如变更、配置、发布、服务级别及IT服务持续性管理提供了接口。
在接下来的几期中，我们将分别较详细地介绍这些流程和服务职能。
三个比较
当谈到ITIL的时候，我们不可避免的要提到COBIT、ISO17799、CMM和ISO9000等标准和方法。作者将ITIL与这些标准和方法之间的关系归纳为三个“比较”：
（1）ISO9000、CMM和ITIL
ISO9000最初是为制造业开发的一个通用质量审核模型，但也可以应用到任何生产/服务组织。ISO9000强调的是审核，只是提出一系列组织需要达到的目标，并没有指出如何达到这些目标。CMM是特地为软件开发和维护组织开发的，它归纳了一组有关软件开发和维护的最佳实践，并将这些实践划分为五个有序的层次，即五个级别的成熟度。而ITIL是特地为IT服务管理和运营组织（机构）开发的、有关IT服务管理和运营方面的最佳实践框架。
对IT组织而言，三者的相同之处是都只告诉你要做什么（What），没有告诉你如何去做（Howto），一个实施了ITIL的组织可以很容易通过ISO9000。它们的不同之处在于，ISO9000虽然适用于各类组织，但它显得太过“通用”，只是相当于给组织制定了一个最低的质量标准；CMM和ITIL适应对象不同：前者主要是面向软件开发，对软件维护有所涉及，但不是重点，而ITIL更多关注的是软件（当然还包括硬件和网络等其它IT基础设施）的维护，对软件的开发涉及不多。
（2）COBIT、ISO17799和ITIL
在国内，经常有人讨论COBIT、ISO17799（主要根据BS7799制定的）和ITIL之间的异同或是谁将替代谁之类的问题，其实这三者之间的相互交叉和相互补充的，不存在谁替代谁的问题（正如COBIT阵容宣称ITIL是属于它的一部分，而ITIL方面把COBIT看作它的一个方面一样，这最少在目前为止还是一个很有争论的问题）。它们都是IT管理方法，但各自的侧重点不同。COBIT侧重于IT控制和评价，对IT流程和安全方面涉及不多；ISO17799主要是关于安全控制和管理的；而ITIL主要针对的是IT流程，对安全和系统开发关注不多。
普华永道曾在2002年7月份发布一个研究报告，提出一个统一的框架定位这三个标准。该报告认为，为了战略整合信息技术和业务、提高服务质量和效率、降低服务成本和控制安全，企业应当重点关注人、流程、技术、结构和角色、评价指标和控制等6个方面。从这6个方面来考察，COBIT、ISO17799和ITIL之间的定位如图4所示。

图4 COBIT、ISO17799和ITIL三者的定位
正如前面所分析的一样，图4较好地说明了三个标准的联系与区别，以及它们的不足。
（3）MOF、HP ITSM Reference Model和ITIL
ITIL虽然已经成为了IT管理领域的事实上标准，但由于它没有说明如何来实施它，因此以ITIL为核心，世界上的一些IT企业开发了自己的IT管理实施方法论。其中影响较大的有微软公司的MOF（管理运营框架）和HP公司的HP ITSM Reference Model（惠普ITSM参考模型）等。
MOF和HP ITSM Reference Model都是以ITIL为基础，一方面将ITIL中原有的核心流程按照生命周期的观点加以重组，形成特地的实施方案，另一方面对ITIL进行加强，增加一些ITIL中没有的重要流程，以使其更为完善。
至于MOF和HP ITSM Reference Model之间的不同，主要表现为前者是特地针对微软的产品和服务开发的，而后者是惠普公司根据自身特点和优势提出的本公司使用的ITSM实施方法论。