CN101916215B

CN101916215B - 一种基于操作截取的分布式关键任务系统悔改方法

Info

Publication number: CN101916215B
Application number: CN2010102477943A
Authority: CN
Inventors: 王慧强; 郑业青; 吕宏武; 周晓耕
Original assignee: Harbin Engineering University
Current assignee: Harbin Engineering University
Priority date: 2010-08-09
Filing date: 2010-08-09
Publication date: 2012-02-01
Anticipated expiration: 2030-08-09
Also published as: CN101916215A

Abstract

本发明提供的是一种基于操作截取的分布式关键任务系统悔改方法。首先，对系统重要文件进行冗余备份，保证数据信息的可恢复性。其次，操作截取器实时截取系统的操作信息，写入操作日志；操作分析器分析捕获到的操作记录，将不可恢复或无需恢复的操作交由操作存储器写入冗余文件，需要恢复的操作则交由悔改器处理。当系统失效发生时，悔改器通过操作回滚、操作修复、操作重放三个连续的步骤对系统实施悔改恢复，并通过一致性管理器依据分级补偿策略解决悔改过程可能产生的不一致性问题。

Description

一种基于操作截取的分布式关键任务系统悔改方法

技术领域

本发明涉及的是一种应用于具有高安全标准的分布式关键任务系统的信息安全保护方法。

背景技术

由于系统复杂性、异构性、动态性日益提高，以及外在攻击手段的不断革新，操作员对分布式关键任务系统的管理与维护日益困难，操作失误频繁发生，致使系统时刻面临软件中断、数据丢失、甚至系统崩溃等系统失效问题的威胁，如何保障分布式关键任务系统的连续可靠运行已成为一项严峻的挑战。针对该问题，早期的研究者从备份恢复的角度进行了一些有意义的探索。例如，公开号为CN1517918的专利中的技术方案，通过定期备份数据文件，使系统可以恢复到较早的健康状态；公开号为CN1784676的专利则给出了基于快照副本的系统恢复方法。备份恢复技术的缺点在于需要反复地对原始文件进行备份，增加了大量的额外恢复开销，也无法保证备份数据的实时性，在面对无法预测的随机误操作时，更是显得苍白无力，因此限制了其在分布式关键任务系统中的进一步应用。

由于操作员的操作失误在系统失效诱因中所占的比例日益增大，为了更好地解决分布式关键任务系统失效问题，研究者在传统的备份恢复技术的基础上，提出了“悔改”方法。所谓“悔改”方法是指系统对已经执行完毕的命令、操作等具有“后悔”和“改正”的能力，从而能使系统从失效状态恢复过来。悔改方法因其对用户操作灵活的undo/redo功能以及在恢复效率上的明显优势，得到了研究者的广泛重视。悔改方法最早应用于绘图和文字处理领域(公开号CN101539960)，在分布式关键任务系统领域的应用尚处于起步阶段。数据库事务回滚技术是悔改思想的一种体现，但它只是实现了事务回滚，并未使系统从失效中恢复，因此并未实现真正的悔改。

发明内容

本发明的目的在于提供一种能够对系统实施悔改恢复，解决悔改过程可能产生的不一致性问题的基于操作截取的分布式关键任务系统悔改方法。

本发明的目的是这样实现的：

步骤一：对分布式关键任务系统重要程序文件和数据文件进行冗余备份；

步骤二：操作截取器实时截取系统操作，捕获操作参数及操作数据，写入操作日志；

步骤三：操作分析器实时分析新发生的操作；操作监视模块监视操作日志的变化，读取操作日志中新形成的操记录，交由过滤模块处理；过滤模块对接收到的操作记录依据“可恢复性判断算法”进行可恢复性检查，将不可恢复或无需恢复的操作交由操作存储器直接写入冗余文件，把需要恢复的操作压入回滚栈，供悔改器处理；

步骤四：当系统失效发生时，悔改器对系统实施悔改恢复；首先，悔改器调用回滚模块分析历史操作记录，发出操作记录退栈消息；回滚操作栈响应退栈消息，使误操作记录退栈；接着，悔改器调用修复模块工作，修复模块依据“修复算法”，对误操作记录实施修复，修复后的误操作记录压入重放操作栈中；最后，悔改器调用重放模块工作，重放模块取出重放操作栈中的操作记录，重新执行；

步骤五：当悔改恢复过程产生不一致性时，一致性管理器依据分级补偿机制，对不一致性进行处理。

本发明面向分布式关键任务系统，提出了一种基于操作截取的悔改方法，该方法通过操作截取器、操作日志、操作分析器、悔改器、一致性管理器及操作存储器实现对系统操作的悔改。首先，对系统重要文件进行冗余备份，保证数据信息的可恢复性。其次，操作截取器实时截取系统的操作信息，写入操作日志；操作分析器分析捕获到的操作记录，将不可恢复或无需恢复的操作交由操作存储器写入冗余文件，需要恢复的操作则交由悔改器处理。悔改器是本发明的核心部分，当系统失效发生时，悔改器通过操作回滚、操作修复、操作重放三个连续的步骤对系统实施悔改恢复，并通过一致性管理器依据分级补偿策略解决悔改过程可能产生的不一致性问题。

附图说明

图1本发明的实现原理图；

图2可恢复判断方法流程图；

图3修复方法流程图；

图4悔改恢复过程关键代码实现。

具体实施方式

下面结合附图举例对本发明做更详细地描述：

图1说明了本发明的实现原理，给出了一种基于操作截取的分布式关键任务系统悔改方法的详细工作过程：

步骤一：对分布式关键任务系统重要程序文件和数据文件进行冗余备份，以保证系统初始状态信息的完整性和可恢复性。这样，即使在悔改方法无法正常工作的“最坏”情况下，系统仍能被恢复到初始状态。

步骤二：操作截取器实时截取系统操作，捕获操作参数及操作数据，写入操作日志。

步骤三：操作分析器实时分析新发生的操作。操作监视模块监视操作日志的变化，读取操作日志中新形成的操记录，交由过滤模块处理。过滤模块对接收到的操作记录依据“可恢复性判断算法”进行可恢复性检查，将不可恢复或无需恢复的操作交由操作存储器直接写入冗余文件，把需要恢复的操作压入回滚栈，供悔改器处理。

步骤四：当系统失效发生时，悔改器对系统实施悔改恢复。首先，悔改器调用回滚模块分析历史操作记录，发出操作记录退栈消息；回滚操作栈响应退栈消息，使误操作记录退栈；接着，悔改器调用修复模块工作，修复模块依据“修复算法”，对误操作记录实施修复，修复后的误操作记录压入重放操作栈中；最后，悔改器调用重放模块工作，重放模块取出重放操作栈中的操作记录，重新执行。

步骤五：当恢复一致性管理器依据分级补偿机制，解决悔改恢复过程中可能产生的不一致性问题。

1、冗余文件

在系统处于初始状态时，通过为系统重要程序文件和数据文件进行冗余备份，保障了系统重要系统信息和数据信息的完整性和可恢复性。系统运行过程中，随着无需恢复和不可恢复等“安全”操作的写入，冗余文件保存了系统最近的健康状态，从而避免了对原始文件的反复备份。

2、操作截取器

操作截取器负责实时截取系统运行过程中产生的操作信息，如IO操作、进程通信操作及SQL操作等。应用现有HOOK技术及SQL截取技术，可以对系统操作进行无侵入式地拦截和捕获。以下给出了操作截取器实现中一次完整的HOOK操作截取过程：(1)注入操作截取dll模块；(2)保存系统函数入口地址；(3)替换进程中的系统函数，执行dll模块；(4)恢复系统函数入口地址，重新调用原来的系统函数。

3、操作日志

操作截取器捕获到操作信息后，按照一定格式写入操作日志，形成操作记录。操作记录保存了操作过程的完整信息，包括操作发生时间、操作发生位置、操作类型及操作所携带的数据等。以下给出了操作记录的一种实现方式：

op_id|op_time|op_location|op_type|op_data

其中，op_id标识本次操作；op_time记录本次操作发生的时间；op_location记录本次操作的位置信息；op_type给出了本次操作的类型；op_data记录了本次操作的操作数据。

4、操作分析器

操作分析器由监视模块和过滤模块构成，对截取器捕获到的操作进行分析。监视模块实时读取操作日志中形成的操作记录，交由过滤模块处理。过滤模块根据“可恢复性判断算法”，如图2，对监视模块交付的操作记录进行可恢复性判断。以下给出了“可恢复性判断算法”的一种实现方式：

算法：可恢复性判断算法

输入：操作记录

输出：可恢复；无需恢复；或者不可恢复

{

opr＝new Oprecord(op_record)； /*传入操作记录参数*/

if(opr.isSaveable()) /*可存储判断*/

{

if(opr.isUndoable()) /*可回退判断*/

{

if(opr.isThreatenable()) /*可引起失效判断*/

opr.setRecoveryType(“可恢复”)；

else

opr.setRecoveryType(“无需恢复”)；

}

else

opr.setRecoveryType(“不可恢复”)；

}

else

opr.setRecoveryType(“不可恢复”)；

}

过滤模块对操作记录进行可恢复性判断后，将不可恢复或无需恢复的操作交由操作存储器直接写入冗余文件，把需要恢复的操作压入回滚栈，供悔改器处理。

5、悔改器

当系统失效发生时，由悔改器负责对系统实施悔改恢复。首先，悔改器调用回滚模块分析历史操作记录，发出操作记录退栈消息；回滚操作栈响应退栈消息，使误操作记录退栈；接着，悔改器调用修复模块工作，修复模块依据修复算法，如图3，对误操作记录实施修复，修复后的误操作记录压入重放操作栈中；最后，悔改器调用重放模块工作，重放模块取出重放操作栈中的操作记录，重新执行。以下给出了修复算法的一种实现方式，悔改过程关键代码如图4所示。

算法：修复算法

输入：操作记录

输出：修复后的操作记录

{

opr＝stac k.getTopItem()； /*回滚栈栈顶出栈*/

if(opr.isReversible()) /*可逆判断*/

{

reverseRecovery(opr)； /*逆向修复*/

}

else

if(opr、isReplaceable()) /*可替换判断*/

{

replaceRecovery(opr)； /*替换修复*/

}

else

Inconsistency(opr)； /*不一致性处理*/

}

6、一致性管理器

一致性管理器负责检查悔改恢复过程可能产生的“不一致性”问题。所谓的“不一致性”问题是指，由于操作信息在修复过程中发生了变化，使得系统重放后的状态与系统失效前的状态相比可能产生偏差、不一致、甚至引入新的错误。为了解决“不一致性”问题，一致性管理器通过建立分级补偿机制，使系统最大限度地恢复到失效前的状态。分级补偿机制下所示。

本发明给出了一种基于操作截取的分布式关键任务系统悔改恢复方法，可以解决基于操作的分布式关键任务系统失效问题。该方法与传统的基于检查点的备份恢复方法相比，具有低恢复开销，高恢复速度的优点，应用于具有高安全标准的分布式关键任务系统。

Claims

1.一种基于操作截取的分布式关键任务系统悔改方法，其特征是：

步骤三：操作分析器实时分析新发生的操作；操作监视模块监视操作日志的变化，读取操作日志中新形成的操作记录，交由过滤模块处理；过滤模块对接收到的操作记录进行可恢复性检查，将不可恢复或无需恢复的操作交由操作存储器直接写入冗余文件，把需要恢复的操作压入回滚栈，供悔改器处理；

步骤四：当系统失效发生时，悔改器对系统实施悔改恢复；首先，悔改器调用回滚模块分析历史操作记录，发出操作记录退栈消息；回滚操作栈响应退栈消息，使误操作记录退栈；接着，悔改器调用修复模块工作，对误操作记录实施修复，修复后的误操作记录压入重放操作栈中；最后，悔改器调用重放模块工作，重放模块取出重放操作栈中的操作记录，重新执行；

步骤五：当悔改恢复过程产生不一致性时，一致性管理器依据分级补偿机制，对不一致性进行处理；所述的不一致性是指，由于操作信息在修复过程中发生了变化，使得系统重放后的状态与系统失效前的状态相比产生的偏差、不一致及引入的新的错误。