CN103748551A

CN103748551A - 跟踪数据块操作

Info

Publication number: CN103748551A
Application number: CN201180072892.0A
Authority: CN
Inventors: 秦·胡伊·辛; 彼得·杰加迪普拉马纳; 柯克·梁·赖安·科; 布·松·李
Original assignee: Hewlett Packard Development Co LP
Current assignee: Hewlett Packard Development Co LP
Priority date: 2011-08-17
Filing date: 2011-08-17
Publication date: 2014-04-23
Also published as: EP2745199A1; WO2013025211A1; EP2745199A4; US9213842B2; US20140208432A1

Abstract

提供一种跟踪云系统中的数据块操作的设备和相关方法。可以将与数据块操作相关联的属性附加到数据块操作所对准的每个单独数据块。

Description

跟踪数据块操作

背景技术

随着越来越多的应用程序和数据服务在服务器上远程地而不是在客户端上本地被管理，云计算近年来已经越来越普及。例如，在用户希望创建文档时，在服务器上运行的合适的应用程序将由用户创建的文档显示在客户网络浏览器上。在客户端装置上分配内存以将应用数据显示在屏幕上，但是通过网络上的一个或多个远程计算机来执行计算。此外，文件可以远程地存储在云服务器上，这些文件包括可以包含敏感或者个人数据的文件。

附图说明

图1示出了根据本申请各方面的云系统的示例。

图2是根据本申请各方面的云服务器的示例。

图3是根据本申请各方面的由计算机设备做主机的虚拟机的示例。

图4是存储与块操作相关联的跟踪信息的说明性方法的流程图。

图5是根据本申请各方面的由计算机设备做主机的虚拟机的功能图。

图6A和图6B是根据本申请各方面的块操作的执行前后的文件的示例的示意图。

具体实施方式

虽然云计算由于改进了可扩展性和使维护简化而被称赞，但是它也由于包括向非法监测和盗窃暴露信息的潜在安全风险而受到批评。本申请的各方面提供用于跟踪云系统中的数据块操作的技术。在一个方面中，计算机设备可以执行模拟独立的计算机设备的至少一个虚拟机。在另一个方面中，可以截取计算机设备和其中的虚拟机内的数据块操作。与数据块操作相关联的属性可以被检索和附加到目标数据块，以便在其中嵌入跟踪信息。稍后可以使用嵌入的信息，用于云网络的论争分析。

图1给出描绘网络配置中使用的各种计算装置的说明性云系统100的示意图。例如，图1示出了多个计算机102、104、106以及108。每个计算机可以是云的节点，并且可以包括能够处理指令并且向包括膝上型电脑、全尺寸的个人计算机、高档服务器或者缺少本地存储能力的网络计算机的其它计算机传输数据以及从上述其它计算机传输数据的任何装置。此外，节点可以包括能够与服务器无线交换数据的移动电话113或者移动装置114。移动装置114可以是无线启动的PDA或者小平板PC。

图1中公开的计算机或者装置可以经由网络112互连，网络112可以是局域网（LAN）、广域网（WAN）、因特网等。网络112和中间节点也可以使用各种协议，包括虚拟专用网络、本地以太网、使用一个或多个公司私有的通信协议的专用网、蜂窝和无线网络、即时消息、HTTP和SMTP以及前述的不同组合。尽管在图1中仅描绘少数计算机，但应该理解的是，一般的云系统可以包括许多互连的计算机。

如上所述，图1中示出的每个计算机或者装置可以处于云系统100的一个节点，并且能够与系统的其它计算机或者装置直接或者间接通信。例如，计算机104可以是能够与客户端计算机通信的云服务器，使得计算机104使用网络112来发送呈现给用户的信息。因此，计算机104可以用来生成用于例如通过在计算机102上执行的网页浏览器显示的请求信息。为了接收、处理以及发送数据到多个客户端计算机，计算机102、104、106以及108中的任何一个还可以包括用于与网络的不同节点交换信息的诸如负载均衡网络的多个计算机。在这种情况下，客户端计算机通常仍然处于网络中与包括计算机102、104、106以及108的计算机中的任何一个不同的节点。

图2给出计算机104的闭合性说明。在图2的示例中，计算机104是被配置为云服务器的计算机设备，并且可以包括处理器202、存储器204以及通常存在于计算机中的其它部件。其它部件可以包括显示器（例如，具有屏幕的监视器、触摸屏、投影仪、电视机、计算机打印机或者可操作地显示信息的任何其它电气装置）以及用户输入（例如鼠标、键盘、触摸屏或者麦克风）。存储器204可以存储由处理器202可访问的信息，该信息包括可以由处理器202执行的指令。存储器204可以是能够存储由处理器可访问的信息的任何类型的装置，例如硬盘驱动器、ROM、RAM、CD-ROM、闪速存储器、能够写入或者只读存储器。存储装置220可以包括可以由处理器检索、操纵或者存储的数据，并且可以包括任何非易失性存储装置。处理器202可以包括用于执行操作的任意数量的已知处理器或者专用控制器，例如ASIC。各系统和方法可以包括前述的不同组合，其中指令和数据的不同部分存储在不同类型的介质上。

计算机104的网络接口222可以包括适合于与云系统100上的其它计算机或者设备通信的电路。网络接口222可以是实施由电气与电子工程师学会（IEEE）涵盖的标准，标准802.3的以太网接口。在另一示例中，网络接口222可以是根据IEEE802.11标准组的无线保真（Wi-Fi）。应理解的是，可以使用其它标准或者协议，例如蓝牙或者令牌网。

尽管图2功能上示出了位于相同块内的处理器202和存储器204，但应理解的是，处理器和存储器实际上可以包括可以存储或者可以不存储在相同物理外罩内的多个处理器和存储器。例如，存储器中的任何一个可以是硬盘驱动器或者可以是位于数据中心的服务器场中的其它存储介质。因此，对处理器、计算机或者存储器的引用将被理解为包括对可以或者可以不并行操作的处理器集或者计算机集或者存储器集的引用。此外，存储装置220可以处于物理上与处理器202分离但是仍然由处理器202可访问的位置。

本文中公开的指令可以是由处理器202直接（诸如机器代码）或者间接（例如脚本）执行的任何指令集。例如，指令可以作为计算机可读介质上的计算机代码来存储。因此，在本文中可以可交换地使用术语“指令”、“程序”或者“模块”。指令可以以目标代码格式来存储，以通过处理器直接进行处理，或者以包括脚本或者根据请求进行解释或者提前编译的独立源代码模块集合的任何其它计算机语言来存储。然而，应理解的是，可以以软件、硬件或者硬件和软件的组合的形式来实现本文中的示例。下面将更详细地说明指令的功能、方法以及例程。

可以通过被称为虚拟化的技术使用在云上的服务器的容量。虚拟化允许处理器根据诸如虚拟机指令212和214的指令来模拟独立的计算机设备。云系统上的操作可以发生在物理计算机设备上或者在虚拟机（例如，由物理计算机设备做主机）上。每个虚拟机可以具有它自己的操作系统、存储装置以及网络资源。存储器204和网络接口222的单独部分可以专用于每个虚拟机。图2描绘可以用来在相同物理计算机设备104上模拟两个单独的计算机的两个虚拟机指令212和214。虽然图2中描绘了两个虚拟机，但是云服务器可以执行任何数量的虚拟机，每个虚拟机可以专用于云网络上的不同客户端请求。例如，当计算机104的其余部分可以服务于云系统100的计算机102的请求时，虚拟机212可以同时服务于诸如计算机108的另一个客户端计算机的请求。每个虚拟机可以同时服务附加的客户端请求，并且可以充当具有与物理计算机设备或者其它虚拟机的操作系统不同的操作系统的独立计算机设备。

主机监视器指令216可以监视由在计算机104中执行的包括虚拟机的不同进程所使用的资源。内核219可以是适合于管理计算机104的资源并且允许其它程序利用那些资源的任何指令集。内核219可以是操作系统217的中央部件。操作系统217表示在由处理器202执行时充当指令执行所在的平台的程序集合。操作系统的示例包括但是不限于Microsoft的和

的各种版本。存储服务218可以是与内核219交互以管理在计算机104上执行的文件操作的指令。虽然存储服务218可以在本地计算机104中执行，但是存储服务218也可以在远程计算机上执行。文件操作可以是与计算机104上的文件相关联的任何业务（例如读出、写入、复制、重命名等）。文件操作可以包括针对存储装置220或者存储器204中的特定文件的一个或多个数据块进行的一种或多种操作（即，块操作）。数据块通常是具有名义尺寸的字节序列或者位序列。

参照图3，提供虚拟机的一个示例。虽然为便于说明，图3集中于虚拟机212，但应理解的是，虚拟机214或者任何其它共存的虚拟机可以包括与图3的虚拟机212类似的特征。正如物理计算机设备104一样，虚拟机212可以具有操作系统302和内核305。文件子系统308可以按照由虚拟机212可访问的方式来组织存储装置220中的数据。由文件子系统308使用的数据配置通常依赖于操作系统302。文件子系统的示例包括但是不限于文件分配表（FAT）系统或者UNIX文件系统。存储驱动器指令303可以提供存储装置220与虚拟机212之的接口。

图4示出了跟踪物理计算机设备和虚拟计算机设备上的数据块操作的过程的流程图。图5示出了虚拟机和物理计算机设备的各方面。图6A和图6B是在实施多个块操作前后的文件的闭合性说明。以下关于图4的流程图来讨论图5、图6A、图6B中示出的动作。

参照图4，可以接收数据块操作请求和第一记录，如框402所示。第一记录可以包括与数据块操作相关联的至少一个属性，并且可以由提出该请求的相同实体来生成。请求实体可以是在计算机设备104中执行的虚拟机，诸如虚拟机212和214。可替代地，请求实体可以是云上的远程计算机（诸如计算机108）上的进程。记录的属性可以包括与提出请求的进程（诸如进程304）相关联的标识符、与发起该请求的用户相关联的标识符、表示进程开始或者终止该请求的时间的时间戳、由提出该请求的进程所使用的资源或者提出该请求的实体的配置（例如虚拟或者实际硬件模型、CPU、网络配置等）。返回参照图4，可以生成第二记录，如框404所示。第二记录可以由计算机设备104的主机监视器216生成。第二记录的属性可以包括与第一记录的属性相对应的主机属性。例如，第二记录可以包括计算机设备中使用的服务于该请求的资源、主机配置、与主机相关联的标识符。第一记录和第二记录的上述属性仅仅是说明性的，应理解的是，可以增加或者删除属性。

在图5的示例中，虚拟机212是请求数据块操作的实体。进程304被示出为请求文件操作（例如文件创建、文件写入、文件删除、文件重命名等）以及将该请求提交到文件子系统308。文件子系统308可以搜集与该操作相关联的属性。此外，文件子系统308可以将该文件操作转换为对目标文件内的一个或多个数据块的块操作。每个块操作和它的相关联属性可以被转送到存储驱动器303。接着，存储驱动器303可以经由通信信道502将每个块操作和它的相关联属性发送到在物理计算机设备104上执行的存储服务218。如果存储服务218在本地计算机104中执行，则通信信道502可以例如是虚拟串行链路，例如Citrix Xen V4V或者用于区域内通信启动的VMWare虚拟机通信接口（VMCI）。如果存储服务218在远程计算机中执行，则通信信道502可以是经由网络接口222的网络112上的链路。

主机监视器指令216可以截取从虚拟机212接收到的每个块操作和属性。此外，主机监视器指令216可以生成包括对应的主机属性的第二记录。返回参照图4，第一记录和第二记录可以被级联或者附加到由每个块操作对准的每个数据块，如框406所示。第一记录和第二记录可以是预挂起或者附加到每个数据块。可替代地，第一指针可以与第一记录相关联，并且第二指针可以与第二记录相关联。在这个示例中，第一指针和第二指针可以预挂起或者附加到由每个块操作对准的每个数据块。每个指针可以表示记录位置的地址。在这点上，第一记录和第二记录可以存储在例如存储器204中。在图4的框408中，可以对每个目标数据块上执行每个数据块操作。

主机监视器216可以将具有附加记录的数据块转送到存储服务218，存储服务218可以对存储装置220中的一个或多个目标数据块实施该操作。

图6A和图6B示出了实施块操作请求前后的数据块。图6A示出了在接受数据块操作之前包括被分成单个数据块604至614的文件602的存储装置220。图6B示出了在对文件602执行一个或多个块操作之后的文件602。在图6B的示例中，块605、611以及614中的数据由于根据存储服务218的指令的块操作而被更新。块605、611以及614被示出为分别具有附加记录615、616以及617。每个记录615至617可以是在虚拟机212中生成的第一记录和在计算机设备104中生成的第二记录的级联。附加记录可以由另一个进程检索，以将跟踪信息显示给研究云系统中发生的行为的用户。在一个示例中，附加记录可以被加密，使得仅仅对解密密钥具有访问权的授权用户能够查看跟踪信息。

上述系统使能够跟踪在云网络上发生的数据块操作。在这点上，用户可以更加相信，在出现盗窃或者数据丢失的情况下能够跟踪存储在云中的敏感文件。

尽管参照特定示例已经描述本文中的应用，应理解的是，这些示例仅仅是本公开示意性的原理和应用。因此，应理解的是，在不脱离所附权利要求定义的本申请的精神和范围的情况下，可以对示意性示例做出大量修改，并且可以设计其它配置。此外，虽然在附图中以特定顺序示出了特定的过程，但是这些过程不限于任何特定的顺序，除非在本文中清楚地提出这种顺序。更确切地说，可以以不同顺序或者同时处理各步骤，并且可以省略或者增加步骤。

Claims

1.一种计算机设备，包括：

处理器，用于：

访问由请求数据块操作的实体生成的第一记录，所述第一记录包括与所述数据块操作相关联的至少一个属性；

生成第二记录，所述第二记录包括对应于所述第一记录的所述至少一个属性的至少一个互补属性；

将所述第一记录和所述第二记录附加到数据块，所述数据块是所述数据块操作的目标；以及

执行所请求的数据块操作。

2.如权利要求1所述的计算机设备，其中所述处理器用于：

执行至少一个虚拟机，所述至少一个虚拟机模拟独立的计算机设备，所述虚拟机是请求所述数据块操作的实体。

3.如权利要求2所述的计算机设备，其中所述虚拟机用于：

请求文件操作；以及

将文件操作请求转换为一个或多个块操作请求。

4.如权利要求3所述的计算机设备，其中所述至少一个属性包括：

与所述虚拟机中发起所述文件操作的进程相关联的标识符；以及

所述进程在发起所述文件操作期间所使用的资源的表示。

5.如权利要求1所述的计算机设备，其中请求所述数据块操作的所述实体是进程。

6.如权利要求5所述的计算机设备，其中所述进程在远程计算机设备上执行。

7.一种计算机设备，包括：

处理器，用于：

将所述第一记录与第一指针相关联，所述第一指针表示所述第一记录的地址；

将所述第二记录与第二指针相关联，所述第二指针表示所述第二记录的地址；

将所述第一指针和所述第二指针附加到数据块，所述数据块是所述数据块操作的目标；以及

执行所请求的数据块操作。

8.如权利要求7所述的计算机设备，其中所述处理器用于执行至少一个虚拟机，所述至少一个虚拟机模拟独立的计算机设备，所述虚拟机是请求所述数据块操作的实体。

9.如权利要求8所述的计算机设备，其中所述虚拟机用于：

请求文件操作；以及

将文件操作请求转换为一个或多个块操作请求。

10.如权利要求9所述的计算机设备，其中所述至少一个属性包括：

所述进程在发起所述文件操作期间所使用的资源的表示。

11.一种方法，包括：

接收数据块操作，所述数据块操作由实体请求；

接收包括与所述数据块操作相关联的至少一个属性的第一记录，所述第一记录由请求所述数据块操作的所述实体生成；

利用处理器生成第二记录，所述第二记录包括对应于所述第一记录的所述至少一个属性的至少一个互补属性；

利用所述处理器将所述第一记录和所述第二记录附加到数据块，所述数据块是所述数据块操作的目标；以及

利用所述处理器执行所述数据块操作。

12.如权利要求11所述的方法，其中请求所述数据块操作的所述实体是模拟独立的计算机设备的虚拟机。

13.如权利要求12所述的方法，其中所述虚拟机请求所述数据块操作包括：

利用所述处理器请求文件操作；以及

利用所述处理器将文件操作请求转换为一个或多个块操作请求。

14.如权利要求13所述的方法，其中所述至少一个属性包括：

所述进程在发起所述文件操作期间所使用的资源。

15.如权利要求11所述的方法，其中请求所述数据块操作的所述实体是在远程计算机中执行的进程。