基于補(bǔ)償回滾的操作系統(tǒng)故障自恢復(fù)方法
【專利摘要】操作系統(tǒng)故障根據(jù)傳播范圍可分為process-local(進(jìn)程局部)和kernel-global(內(nèi)核全局)兩類，分別造成進(jìn)程局部數(shù)據(jù)和內(nèi)核全局狀態(tài)的錯(cuò)誤，本發(fā)明公開了一種基于補(bǔ)償回滾的操作系統(tǒng)故障自恢復(fù)技術(shù)，可使系統(tǒng)從錯(cuò)誤狀態(tài)恢復(fù)正常。該技術(shù)方案包括進(jìn)程備份重啟和內(nèi)核補(bǔ)償兩種機(jī)制，其中進(jìn)程備份機(jī)制通過周期性備份進(jìn)程執(zhí)行狀態(tài)，當(dāng)進(jìn)程出現(xiàn)故障崩潰時(shí)，通過重新載入備份的執(zhí)行鏡像完成快速重啟；內(nèi)核補(bǔ)償機(jī)制通過監(jiān)測(cè)內(nèi)核全局方法調(diào)用，通過內(nèi)核棧結(jié)構(gòu)存儲(chǔ)進(jìn)程執(zhí)行的修改內(nèi)核全局狀態(tài)的操作，在進(jìn)程故障后利用補(bǔ)償操作消除內(nèi)核的不一致狀態(tài)，控制故障的傳播效應(yīng)，減小單點(diǎn)故障造成的影響。在恢復(fù)進(jìn)程局部數(shù)據(jù)前提下，有效控制了本進(jìn)程故障整體系統(tǒng)的影響，提高了故障恢復(fù)率。
【專利說明】
基于補(bǔ)償回滾的操作系統(tǒng)故障自恢復(fù)方法
技術(shù)領(lǐng)域
[0001]本發(fā)明涉及計(jì)算機(jī)技術(shù)領(lǐng)域，尤其涉及一種基于補(bǔ)償回滾的操作系統(tǒng)故障自恢復(fù)方法。
【背景技術(shù)】
[0002]作為系統(tǒng)軟件的最低層，操作系統(tǒng)管理軟硬件資源，為系統(tǒng)軟硬件交互提供接口，充當(dāng)TCB(Trusting Computing Base可信計(jì)算基礎(chǔ))的角色。當(dāng)前操作系統(tǒng)在出現(xiàn)嚴(yán)重內(nèi)部錯(cuò)誤時(shí)大都采取fail-stop (故障即失效)的行為模式，因此故障的出現(xiàn)等價(jià)于系統(tǒng)的失效。操作系統(tǒng)設(shè)計(jì)一般采用模塊化或?qū)蛹?jí)結(jié)構(gòu)，某個(gè)模塊或進(jìn)程中出現(xiàn)的故障會(huì)通過程序調(diào)用、參數(shù)傳遞等方式進(jìn)行傳播，導(dǎo)致故障影響范圍的擴(kuò)大。操作系統(tǒng)故障根據(jù)其傳播范圍分為process-local (進(jìn)程局部故障)和kernel-global (內(nèi)核全局故障)兩類。其中process-local類型故障的影響范圍僅限于故障進(jìn)程上下文，而kernel-global類型故障則會(huì)影響到其他進(jìn)程的執(zhí)行上下文和全局?jǐn)?shù)據(jù)結(jié)構(gòu)。由于kernel-global類型故障不僅會(huì)帶來進(jìn)程數(shù)據(jù)的丟失，還會(huì)引起系統(tǒng)其他模塊甚至整體的失效，故其故障危害要大于process-local故障。操作系統(tǒng)本身存在很多防范機(jī)制，包括對(duì)指針數(shù)據(jù)結(jié)構(gòu)的檢查，在發(fā)現(xiàn)數(shù)據(jù)不一致時(shí)終止故障進(jìn)程的執(zhí)行。該類機(jī)制雖然可以縮小錯(cuò)誤傳播的范圍，控制故障的傳播，但進(jìn)程功能的失效也是不可接受的。基于以上分析，故障恢復(fù)策略應(yīng)該在完成進(jìn)程執(zhí)行狀態(tài)的恢復(fù)的同時(shí)，保證共享數(shù)據(jù)的一致性，消除故障傳播的影響。
[0003]障恢復(fù)方法的設(shè)計(jì)一般涉及兩個(gè)問題，一是如何清除系統(tǒng)的錯(cuò)誤狀態(tài)，二是如何恢復(fù)系統(tǒng)失效前的執(zhí)行狀態(tài)，且需要滿足以下幾點(diǎn)要求:1)搶占性，可以在程序執(zhí)行過程中的任意一點(diǎn)執(zhí)行數(shù)據(jù)備份操作；2)透明性，對(duì)于已有的程序不需要對(duì)原有的代碼進(jìn)行修改就能支持備份重啟機(jī)制；3)低負(fù)載，不能造成顯著的系統(tǒng)負(fù)載；4)易于移植，不需要對(duì)操作系統(tǒng)代碼或結(jié)構(gòu)進(jìn)行修改，能夠較為便利地集成到現(xiàn)有操作系統(tǒng)中；5)安全性，機(jī)制避免系統(tǒng)程序的優(yōu)先級(jí)和權(quán)限被惡意提升。針對(duì)操作系統(tǒng)故障，除重新啟動(dòng)外，其他方法都無法將系統(tǒng)從故障狀態(tài)完全恢復(fù)。但對(duì)于安全關(guān)鍵應(yīng)用，重新啟動(dòng)帶來的損失是無法接受的。因此，本發(fā)明中設(shè)計(jì)的策略均基于不重新啟動(dòng)整個(gè)系統(tǒng)的前提。
[0004]對(duì)于傳播范圍僅限于錯(cuò)誤進(jìn)程空間，傳播途徑主要是參數(shù)調(diào)用和函數(shù)返回的故障，通過終止錯(cuò)誤進(jìn)程對(duì)內(nèi)核進(jìn)行恢復(fù)是一種有效的手段。對(duì)于會(huì)造成內(nèi)核共用數(shù)據(jù)的污染的故障，如導(dǎo)致內(nèi)核中負(fù)責(zé)管理堆棧的紅黑樹數(shù)據(jù)結(jié)構(gòu)污染，則需要對(duì)全局的數(shù)據(jù)操作進(jìn)行跟蹤記錄相關(guān)信息來實(shí)現(xiàn)故障修復(fù)。當(dāng)前操作系統(tǒng)通過冗余設(shè)計(jì)或重啟的方法實(shí)現(xiàn)故障自恢復(fù)。冗余設(shè)計(jì)方案通過軟硬件冗余來實(shí)現(xiàn)故障屏蔽，典型代表為三余度系統(tǒng)、N-Vers1n(多版本)軟件系統(tǒng)等，通過表決的方法保證結(jié)果的正確性。對(duì)故障系統(tǒng)、組件或操作進(jìn)行重啟是簡單有效的恢復(fù)策略，如微重啟、Transact1nal Recovery (基于事務(wù)的恢復(fù)策略)等，但未考慮kernel-global類型故障帶來的全局?jǐn)?shù)據(jù)狀態(tài)錯(cuò)誤。
[0005]現(xiàn)有技術(shù)通過重啟系統(tǒng)或重新執(zhí)行進(jìn)程來恢復(fù)故障，而未考慮故障傳播效應(yīng)，針對(duì)以上問題，本發(fā)明提出了一種基于補(bǔ)償回滾的故障自恢復(fù)技術(shù)。該方法對(duì)內(nèi)核全局?jǐn)?shù)據(jù)或方法進(jìn)行監(jiān)測(cè)，在進(jìn)程局部數(shù)據(jù)被正確恢復(fù)的前提下，通過控制故障的傳播效應(yīng)，保證了全局?jǐn)?shù)據(jù)狀態(tài)的一致性，兼顧了對(duì)兩類故障的恢復(fù)效果。

【發(fā)明內(nèi)容】

[0006]本發(fā)明的目的為提供一種在不重新啟動(dòng)整個(gè)系統(tǒng)的前提下恢復(fù)操作系統(tǒng)故障的方法。該基于補(bǔ)償回滾的故障恢復(fù)方法不僅可恢復(fù)故障進(jìn)程執(zhí)行狀態(tài)，而且可消除該故障進(jìn)程對(duì)內(nèi)核全局狀態(tài)的影響，從而消除故障對(duì)其他進(jìn)程的影響，提高故障恢復(fù)率。
[0007]為達(dá)到上述目的，本發(fā)明提供包括進(jìn)程備份重啟和內(nèi)核補(bǔ)償兩機(jī)制的技術(shù)方案，可描述如下:
[0008]進(jìn)程備份重啟機(jī)制實(shí)現(xiàn)process-local類型故障的恢復(fù)，對(duì)進(jìn)程相關(guān)的文件句柄、內(nèi)存數(shù)據(jù)、寄存器數(shù)據(jù)周期性保存到文件中，此外還需記錄進(jìn)程執(zhí)行的內(nèi)核系統(tǒng)調(diào)用。操作系統(tǒng)中，進(jìn)程對(duì)內(nèi)核全局?jǐn)?shù)據(jù)的操作通過特定的系統(tǒng)調(diào)用實(shí)現(xiàn)，因此對(duì)全局?jǐn)?shù)據(jù)修改的記錄可轉(zhuǎn)化為對(duì)系統(tǒng)調(diào)用序列的記錄。
[0009]內(nèi)核補(bǔ)償機(jī)制用于恢復(fù)kernel-global類型故障，其工作流程分為如下幾個(gè)階段，內(nèi)核系統(tǒng)調(diào)用監(jiān)測(cè)階段、補(bǔ)償操作映射階段、補(bǔ)償棧數(shù)據(jù)維護(hù)階段和故障補(bǔ)償修復(fù)階段。工作原理為通過執(zhí)行內(nèi)核系統(tǒng)調(diào)用對(duì)應(yīng)的補(bǔ)償調(diào)用來消除對(duì)內(nèi)核全局狀態(tài)的影響，如打開文件和關(guān)閉文件系統(tǒng)調(diào)用即為調(diào)用與補(bǔ)償調(diào)用的關(guān)系。
[0010]以上兩機(jī)制執(zhí)行步驟可描述如下:
[0011][I]進(jìn)程信息備份階段，將與該進(jìn)程相關(guān)的全局寄存器、內(nèi)存指針、進(jìn)程局部寄存器、占用內(nèi)存段中的數(shù)據(jù)值以文件形式保存到非易失存儲(chǔ)器中。
[0012][2]內(nèi)核調(diào)用追蹤階段，建立內(nèi)核棧及系統(tǒng)調(diào)用逆調(diào)用映射機(jī)制，在內(nèi)核中通過動(dòng)態(tài)內(nèi)存分配的方法建立動(dòng)態(tài)棧，并為需要監(jiān)測(cè)的系統(tǒng)調(diào)用及其逆調(diào)用設(shè)置標(biāo)識(shí)號(hào)。此階段鏈接進(jìn)程備份重啟機(jī)制與內(nèi)核補(bǔ)償機(jī)制，其可分為如下基本步驟:
[0013](a)內(nèi)核方法調(diào)用監(jiān)測(cè)階段，利用中斷捕捉監(jiān)測(cè)進(jìn)程執(zhí)行的內(nèi)核系統(tǒng)調(diào)用，對(duì)內(nèi)核執(zhí)行流中關(guān)鍵方法調(diào)用進(jìn)行監(jiān)測(cè)，將采集到的全局寄存器、內(nèi)存指針、進(jìn)程局部寄存器、占用內(nèi)存段中的數(shù)據(jù)傳輸至補(bǔ)償操作映射階段，當(dāng)監(jiān)測(cè)到補(bǔ)償調(diào)用時(shí)則直接修改補(bǔ)償棧數(shù)據(jù)。
[0014](b)補(bǔ)償操作映射階段，根據(jù)監(jiān)測(cè)到的內(nèi)核調(diào)用信息，映射出可以消除該調(diào)用導(dǎo)致的全局?jǐn)?shù)據(jù)變化的補(bǔ)償調(diào)用，動(dòng)態(tài)分配內(nèi)存存儲(chǔ)內(nèi)核方法調(diào)用監(jiān)測(cè)階段采集的數(shù)據(jù)，并將該信息傳輸?shù)綏?shù)據(jù)維護(hù)階段。
[0015](C)棧數(shù)據(jù)維護(hù)階段，對(duì)內(nèi)核調(diào)用信息及其對(duì)應(yīng)的補(bǔ)償操作信息進(jìn)行維護(hù)，為故障恢復(fù)階段提供數(shù)據(jù)支持，若無故障，則執(zhí)行完棧數(shù)據(jù)操作后返回內(nèi)核調(diào)用追蹤階段，若收到故障監(jiān)測(cè)器故障報(bào)警，則進(jìn)入故障補(bǔ)償恢復(fù)階段。
[0016][3]故障補(bǔ)償恢復(fù)階段，通過補(bǔ)償棧中的數(shù)據(jù)生成補(bǔ)償操作序列，恢復(fù)內(nèi)核全局?jǐn)?shù)據(jù)一致性。具體包括以下步驟:
[0017](a)在對(duì)故障進(jìn)程進(jìn)行修復(fù)時(shí)，首先將檢查內(nèi)核補(bǔ)償棧。若棧中信息不為空，執(zhí)行
(b)步驟，否則執(zhí)行(C)步驟。
[0018](b)此時(shí)當(dāng)前進(jìn)程在出錯(cuò)退出時(shí)對(duì)全局?jǐn)?shù)據(jù)造成的影響未被消除，則從補(bǔ)償棧中依次出棧補(bǔ)償操作，根據(jù)其操作標(biāo)識(shí)調(diào)用補(bǔ)償方法，使內(nèi)核狀態(tài)恢復(fù)到一致狀態(tài)。
[0019](c)首先需要載入故障進(jìn)程執(zhí)行鏡像文件，載入內(nèi)存，恢復(fù)當(dāng)前進(jìn)程的執(zhí)行狀態(tài)，包括寄存器數(shù)據(jù)、內(nèi)存數(shù)據(jù)已經(jīng)文件句柄，完成故障恢復(fù)恢復(fù)。
[0020]通過本發(fā)明中涉及的補(bǔ)償回滾故障恢復(fù)方法，在進(jìn)程故障后利用補(bǔ)償操作消除內(nèi)核的不一致狀態(tài)，控制故障的傳播效應(yīng)，減小單點(diǎn)故障造成的影響。在恢復(fù)進(jìn)程局部數(shù)據(jù)前提下，有效控制了本進(jìn)程故障整體系統(tǒng)的影響，提高了故障恢復(fù)率。
【附圖說明】
[0021]下面結(jié)合附圖對(duì)本發(fā)明進(jìn)一步說明:
[0022]圖1為進(jìn)程備份重啟機(jī)制示意圖；
[0023]圖2為內(nèi)核補(bǔ)償棧工作流程示意圖；
[0024]圖3為進(jìn)程備份重啟機(jī)制流程圖；
[0025]圖4為補(bǔ)償棧操作流程圖；
[0026]圖5故障修復(fù)流程圖；
【具體實(shí)施方式】
[0027]在每個(gè)備份周期內(nèi)，進(jìn)程備份重啟機(jī)制主要包括進(jìn)程信息備份和內(nèi)核調(diào)用追蹤兩個(gè)階段。
[0028]進(jìn)程信息備份階段，圖1中t0到tl時(shí)間段，將與該進(jìn)程相關(guān)的全局寄存器、內(nèi)存指針、進(jìn)程局部寄存器等信息保存到非易失存儲(chǔ)器中。在每個(gè)Checkpoint周期結(jié)束時(shí)，需要更新進(jìn)程備份鏡像。
[0029]內(nèi)核調(diào)用追蹤階段，圖1中tl到t2時(shí)間段，利用中斷捕捉本進(jìn)程的內(nèi)核全局方法調(diào)用，將能夠?qū)е氯謹(jǐn)?shù)據(jù)修改的操作及其參數(shù)等信息存儲(chǔ)到內(nèi)核補(bǔ)償棧結(jié)構(gòu)中，該結(jié)構(gòu)常駐于系統(tǒng)內(nèi)存中，實(shí)現(xiàn)快速地增加刪除內(nèi)核系統(tǒng)調(diào)用信息。
[0030]圖2中描述了內(nèi)核補(bǔ)償棧的工作流程，Ci為ai對(duì)應(yīng)的補(bǔ)償操作，補(bǔ)償操作映射模塊可以根據(jù)ai查找出其對(duì)應(yīng)的ci。若某一執(zhí)行的進(jìn)程中包含al a2 a3...ak_l ak關(guān)鍵方法調(diào)用，在該進(jìn)程順次執(zhí)行該操作序列時(shí)，補(bǔ)償映射模塊根據(jù)補(bǔ)償操作映射獲得其補(bǔ)償操作，同時(shí)將補(bǔ)償操作信息加入補(bǔ)償棧中保存。若在當(dāng)前備份周期內(nèi)操作流執(zhí)行完后無故障正常退出，則在監(jiān)測(cè)到補(bǔ)償調(diào)用時(shí)，會(huì)依次出棧相應(yīng)的補(bǔ)償操作信息，補(bǔ)償棧應(yīng)為空。若執(zhí)行過程中出現(xiàn)故障，則需依次出棧當(dāng)前補(bǔ)償棧中與該操作流相關(guān)的補(bǔ)償操作，生成補(bǔ)償操作序列并依次執(zhí)行，完成對(duì)系統(tǒng)全局不一致狀態(tài)的修復(fù)。
[0031]進(jìn)程備份重啟機(jī)制執(zhí)行流程如圖3所示。在計(jì)時(shí)器累加后會(huì)判斷當(dāng)前是否處于新的備份周期，若處于新的周期，則對(duì)原有的進(jìn)程鏡像進(jìn)行更新。若處于舊的的周期，則會(huì)監(jiān)測(cè)內(nèi)核關(guān)鍵方法的調(diào)用，在內(nèi)核補(bǔ)償棧中記錄關(guān)鍵方法、補(bǔ)償方法調(diào)用信息。用戶可以在不需要恢復(fù)模塊時(shí)將其卸載。在每個(gè)備份周期完成調(diào)用信息記錄或進(jìn)程鏡像更新操作后，會(huì)檢查該加載的自恢復(fù)模塊是否有效，若無效則會(huì)退出整個(gè)備份重啟機(jī)制；否則執(zhí)行計(jì)時(shí)器進(jìn)行累加，進(jìn)入后續(xù)信息記錄更新過程。
[0032]圖4中描述了補(bǔ)償棧的執(zhí)行流程，提供入棧、出棧、棧數(shù)據(jù)查詢等基本操作接口。數(shù)據(jù)以鏈表的形式進(jìn)行存儲(chǔ)。入棧操作通過在頭結(jié)點(diǎn)后插入節(jié)點(diǎn)實(shí)現(xiàn)，出棧操作通過反向遍歷鏈表刪除頭結(jié)點(diǎn)實(shí)現(xiàn)。補(bǔ)償棧數(shù)據(jù)為全局?jǐn)?shù)據(jù)，且對(duì)其訪問操作較短，且不能被中斷或搶占，故設(shè)置了自旋鎖保證其數(shù)據(jù)一致性。每次進(jìn)行棧數(shù)據(jù)操作時(shí)需要首先獲取相應(yīng)的自旋鎖。
[0033]故障修復(fù)流程如圖5所示，主要包括內(nèi)核補(bǔ)償和進(jìn)程狀態(tài)恢復(fù)兩個(gè)基本階段，具體執(zhí)行操作如前所述:首先將檢查內(nèi)核補(bǔ)償棧。若棧中信息不為空，說明當(dāng)前進(jìn)程在出錯(cuò)退出時(shí)對(duì)全局?jǐn)?shù)據(jù)造成的影響未被消除，則從補(bǔ)償棧中依次出棧補(bǔ)償操作，根據(jù)其操作標(biāo)識(shí)調(diào)用補(bǔ)償方法，使內(nèi)核狀態(tài)恢復(fù)到一致狀態(tài)。若補(bǔ)償棧為空，則直接進(jìn)入進(jìn)程狀態(tài)恢復(fù)階段。其次需要載入故障進(jìn)程執(zhí)行鏡像文件，調(diào)用進(jìn)程備份重啟機(jī)制提供的重啟接口，完成故障恢復(fù)恢復(fù)。
【主權(quán)項(xiàng)】
1.基于補(bǔ)償回滾的操作系統(tǒng)故障自恢復(fù)方法，其特征在于包括下述步驟: [1]進(jìn)程信息備份階段，將與該進(jìn)程相關(guān)的全局寄存器、內(nèi)存指針、進(jìn)程局部寄存器、占用內(nèi)存段中的數(shù)據(jù)值以文件形式保存到非易失存儲(chǔ)器中。 [2]內(nèi)核調(diào)用追蹤階段，建立內(nèi)核棧及系統(tǒng)調(diào)用逆調(diào)用映射機(jī)制，在內(nèi)核中通過動(dòng)態(tài)內(nèi)存分配的方法建立動(dòng)態(tài)棧，并為需要監(jiān)測(cè)的系統(tǒng)調(diào)用及其逆調(diào)用設(shè)置標(biāo)識(shí)號(hào)。此階段鏈接進(jìn)程備份重啟機(jī)制與內(nèi)核補(bǔ)償機(jī)制，其可分為如下基本步驟: (a)內(nèi)核方法調(diào)用監(jiān)測(cè)階段，利用中斷捕捉監(jiān)測(cè)進(jìn)程執(zhí)行的內(nèi)核系統(tǒng)調(diào)用，對(duì)內(nèi)核執(zhí)行流中關(guān)鍵方法調(diào)用進(jìn)行監(jiān)測(cè)，將采集到的全局寄存器、內(nèi)存指針、進(jìn)程局部寄存器、占用內(nèi)存段中的數(shù)據(jù)傳輸至補(bǔ)償操作映射階段，當(dāng)監(jiān)測(cè)到補(bǔ)償調(diào)用時(shí)則直接修改補(bǔ)償棧數(shù)據(jù)。 (b)補(bǔ)償操作映射階段，根據(jù)監(jiān)測(cè)到的內(nèi)核調(diào)用信息，映射出可以消除該調(diào)用導(dǎo)致的全局?jǐn)?shù)據(jù)變化的補(bǔ)償調(diào)用，動(dòng)態(tài)分配內(nèi)存存儲(chǔ)內(nèi)核方法調(diào)用監(jiān)測(cè)階段采集的數(shù)據(jù)，并將該信息傳輸?shù)綏?shù)據(jù)維護(hù)階段。 (C)棧數(shù)據(jù)維護(hù)階段，對(duì)內(nèi)核調(diào)用信息及其對(duì)應(yīng)的補(bǔ)償操作信息進(jìn)行維護(hù)，為故障恢復(fù)階段提供數(shù)據(jù)支持，若無故障，則執(zhí)行完棧數(shù)據(jù)操作后返回內(nèi)核調(diào)用追蹤階段，若收到故障監(jiān)測(cè)器故障報(bào)警，則進(jìn)入故障補(bǔ)償恢復(fù)階段。 [3]故障補(bǔ)償恢復(fù)階段，通過補(bǔ)償棧中的數(shù)據(jù)生成補(bǔ)償操作序列，恢復(fù)內(nèi)核全局?jǐn)?shù)據(jù)一致性。 具體包括以下步驟: (a)在對(duì)故障進(jìn)程進(jìn)行修復(fù)時(shí)，首先將檢查內(nèi)核補(bǔ)償棧。若棧中信息不為空，執(zhí)行(b)步驟，否則執(zhí)行(C)步驟。 (b)此時(shí)當(dāng)前進(jìn)程在出錯(cuò)退出時(shí)對(duì)全局?jǐn)?shù)據(jù)造成的影響未被消除，則從補(bǔ)償棧中依次出棧補(bǔ)償操作，根據(jù)其操作標(biāo)識(shí)調(diào)用補(bǔ)償方法，使內(nèi)核狀態(tài)恢復(fù)到一致狀態(tài)。 (C)首先需要載入故障進(jìn)程執(zhí)行鏡像文件，載入內(nèi)存，恢復(fù)當(dāng)前進(jìn)程的執(zhí)行狀態(tài)，包括寄存器數(shù)據(jù)、內(nèi)存數(shù)據(jù)已經(jīng)文件句柄，完成故障恢復(fù)恢復(fù)。
【文檔編號(hào)】G06F11/07GK105988885SQ201510154388
【公開日】2016年10月5日
【申請(qǐng)日】2015年3月26日
【發(fā)明人】朱怡安, 史佳龍, 張黎翔
【申請(qǐng)人】朱怡安, 史佳龍, 張黎翔