CN110647764A - 针对用户态非易失性内存文件系统的保护方法及系统 - Google Patents

Abstract

本发明提供了一种针对用户态非易失性内存文件系统的保护方法及系统，包括：一，利用内存保护键机制在用户态隔离非易失性内存文件系统与应用程序代码；二，将用户态文件系统非易失性内存划分成多区域，在区域之间进行隔离；三，在用户态处理文件系统错误和异常，防止应用程序因文件系统内数据错误而异常终止。本发明提供了一种针对用户态非易失性内存文件系统的保护和隔离机制，保证用户态非易失性内存文件系统不会因应用程序缺陷和错误而造成数据和元数据被肆意破坏，能将元数据错误隔离在一定区域之内，防止错误散落到整个文件系统，并能防止应用程序因用户态文件系统中的错误而异常终止，提升了整个系统的可靠性、鲁棒性和可用性。

Description

针对用户态非易失性内存文件系统的保护方法及系统

技术领域

本发明涉及存储技术领域，具体地，涉及一种针对用户态非易失性内存文件系统的保护方法及系统。

背景技术

非易失性内存具有和普通内存相近的低延迟和高吞吐，同时具有存储设备的非易失性和高密度。同时，非易失性内存可以以字节粒度寻址，可以使用处理器的load/store指令像访问普通内存一样进行访问。因此，非易失性内存可以直接在用户态被管理。

非易失性内存的出现，使得用户态文件系统变得更加高效。传统的用户态文件系统均需要的内核的紧密配合。如使用FUSE的用户态文件系统，当应用程序发出系统调用之后，系统调用的信息以及数据会先被传送到内核，内核再将所有的信息转发给用户态的FUSE文件系统进程，文件系统可能依然需要陷入内核进行各种操作。最后请求的处理结果会按照顺序层层传递回应用程序。这过程中有大量是数据拷贝操作以及上下文切换操作，严重影响的用户态文件系统的性能。非易失性内存，由于其高性能和可字节寻址性，可以大大简化这个过程。新型用户态非易失性内存文件系统，可以将部分或者全部非易失性内存映射(mmap)到用户态内存空间，之后对于用户发出的文件系统调用进行拦截，若发现可以在用户态直接处理，则无需进入内核。相对于传统方案，新型用户态非易失性内存文件系统显著减少了上下文切换和数据拷贝带来的性能开销。专利文献CN109445685A公开了一种用户态文件系统请求的处理方法，包括：若为实际文件写请求，则先向内核守护进程发送数据写请求，以使得内核守护进程直接将待写入的数据写入数据文件中，并根据被访问实际文件与数据文件之间的映射关系建立映射表；然后向内核守护进程发送元数据写请求，以使得内核守护进程将所建立的映射表写入元数据文件中；若为实际文件读请求，则先向内核守护进程发送元数据读请求，以使得内核守护进程从元数据文件中读取映射表；然后向内核守护进程发送数据读请求，以使得内核守护进程根据所读取的映射表直接从数据文件中读取所请求的数据。

虽然新型用户态非易失性内存文件系统提供了更高的性能，但是其也带来了一些问题。用户态文件系统及其管理的非易失性内存与应用程序处于同一内存空间中。应用程序中的缺陷很容易覆写非易失性内存中数据和元数据，造成用户态文件系统的损坏。同时，由于用户态文件系统可以访问所有非易失性内存，当非易失性内存中存储的某个元数据发生错误，文件系统的代码将错误的修改非易失性内存，从而造成错误在文件系统中蔓延，整个文件系统被损坏。最后，由于用户态文件系统与应用程序处于用户态，若某线程在用户态文件系统代码中出现了内存访问异常等，会导致整个应用程序被终止。其中包括其他正在操作非易失性内存的线程，会造成文件系统数据的损坏。

因此，如何在不过多影响整体性能的情况下，针对用户态非易失性内存文件系统设计高效的保护和隔离机制，对于完善高性能用户态非易失性内存系统，提升整个系统的可靠性、鲁棒性和可用性至关重要。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种针对用户态非易失性内存文件系统的保护方法及系统。

根据本发明提供的一种针对用户态非易失性内存文件系统的保护方法，包括：

文件系统与应用程序隔离步骤：利用内存保护键机制在用户态隔离非易失性内存文件系统与应用程序代码；

文件系统区域数据隔离步骤：将用户态文件系统管理的非易失性内存划分成多区域，将不同的区域映射到不同的内存保存组中，将元数据错误限定在一个区域内；

文件系统错误异常处理步骤：在进行每个文件系统操作之前，记录下当前的程序状态，当文件系统操作中发生了错误或者异常，在相应的信号处理函数中，处理相应的状态，并将错误信息进行报错，之后恢复到文件系统操作之前记录的状态，并返回相应的错误信息。

优选地，所述文件系统与应用程序隔离步骤包括：

将文件系统的数据与应用程序内存映射在不同的内存保护组，从而使得访问文件系统数据时需要切换内存保护组的访问权限。

优选地，所述文件系统与应用程序隔离步骤包括：

应用程序在调用用户态非易失性内存文件系统提供的接口之后，用户态文件系统首先打开内存保护组的访问权限，之后再进行非易失性内存的访问；在访问完成后，关闭内存保护组的访问权限，再返回到应用程序的代码。

优选地，所述文件系统区域数据隔离步骤包括：

在用户态文件系统要访问其中一个区域时，首先打开相应内存保护组的访问权限，在访问完成之后，关闭对应的内存保护组访问权限。

优选地，所述文件系统错误异常处理步骤包括：

在执行用户态文件系统操作前，先记录当前的程序执行状态，并注册相应的信号处理函数，在产生错误或异常时，由信号处理函数中跳回到之前记录的程序执行状态，并返回相应的错误代码。

根据本发明提供的一种针对用户态非易失性内存文件系统的保护系统，包括：

文件系统与应用程序隔离模块：利用内存保护键机制在用户态隔离非易失性内存文件系统与应用程序代码；

文件系统区域数据隔离模块：将用户态文件系统管理的非易失性内存划分成多区域，将不同的区域映射到不同的内存保存组中，将元数据错误限定在一个区域内；

文件系统错误异常处理模块：在进行每个文件系统操作之前，记录下当前的程序状态，当文件系统操作中发生了错误或者异常，在相应的信号处理函数中，处理相应的状态，并将错误信息进行报错，之后恢复到文件系统操作之前记录的状态，并返回相应的错误信息。

优选地，所述文件系统与应用程序隔离模块包括：

将文件系统的数据与应用程序内存映射在不同的内存保护组，从而使得访问文件系统数据时需要切换内存保护组的访问权限。

优选地，所述文件系统与应用程序隔离模块包括：

应用程序在调用用户态非易失性内存文件系统提供的接口之后，用户态文件系统首先打开内存保护组的访问权限，之后再进行非易失性内存的访问；在访问完成后，关闭内存保护组的访问权限，再返回到应用程序的代码。

优选地，所述文件系统区域数据隔离模块包括：

在用户态文件系统要访问其中一个区域时，首先打开相应内存保护组的访问权限，在访问完成之后，关闭对应的内存保护组访问权限。

优选地，所述文件系统错误异常处理模块包括：

在执行用户态文件系统操作前，先记录当前的程序执行状态，并注册相应的信号处理函数，在产生错误或异常时，由信号处理函数中跳回到之前记录的程序执行状态，并返回相应的错误代码。

与现有技术相比，本发明具有如下的有益效果：

本发明利用内存保护键机制，保证用户态非易失性内存文件系统不会因应用程序缺陷和错误而造成数据和元数据被肆意破坏，能将元数据错误隔离在一定区域之内，防止错误散落到整个文件系统，并能防止应用程序因用户态文件系统中的错误而异常终止，提升了整个系统的可靠性、鲁棒性和可用性。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1为本发明的流程图；

图2为本发明中对于文件系统与应用程序的内存隔离的实施例示意图；

图3为本发明中对于非易失性内存中多区域以及内存保护键寄存器的实施例示意图；

图4为本发明中对于在隔离保护下用户态文件系统在访问非易失性内存不同区域时的实施例示意图；

图5为本发明中对于用户态文件系统中的错误和异常的实施例示意图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。

如图1所示，本发明提供的一种针对用户态非易失性内存文件系统的保护方法，包括以下三个方面：

一，文件系统与应用程序隔离：利用内存保护键机制在用户态隔离非易失性内存文件系统与应用程序代码。如图2所示，将文件系统的数据与应用程序内存映射在不同的内存保护组，从而使得访问文件系统数据时需要切换内存保护组的访问权限，来防止应用程序缺陷造成随机的内存写而破坏文件系统的数据。内存保护组可通过调用相应的系统调用接口完成。

二，文件系统区域数据隔离：将用户态文件系统非易失性内存划分成多区域，将不同的区域映射到不同的内存保存组中，将元数据错误限定在一个区域内，防止错误被蔓延到整个文件系统。图3中展示了一个完整的例子，其中非易失性内存在此用户进程中被映射到三个保护组中(Region 1到3)，而应用程序的内存被映射到保护组Region 0中。进程中有三个线程，各自拥有一个PKRU寄存器，记录当前线程对各个保护组的访问权限。如线程1对保护组Region 0拥有读写权限，对Region 1拥有只读权限，对Region 2没有任何访问权限，对Region 3拥有读写权限。同时每个线程有自己的PKRU寄存器，因而每个线程对各个保护组的访问权限可能不同。图4距离展示了用户态文件系统在保护下对非易失性内存的访问。最开始线程1只能访问应用程序的内存，对非易失性内存上的三个线程均无访问权限。操作(1)通过修改PKRU寄存器，赋予了自己对保护组Region 2的只读权限。此后线程1可以对Region 2中内存进行访问。操作(2)通过修改PKRU寄存器，关闭了对Region 2的内存访问，同时打开了对Region 1的读写访问权限。此后线程1无法访问Region 2，但是可以对Region1进行读写访问。在所有操作完成之后，线程1修改PKRU寄存器，关闭了对Region 1的读写访问。此后线程1恢复了最开始的状态，可以访问应用程序内存，但是无法访问非易失性内存。通过这种权限保护，应用程序在运行时，只有对应用程序内存的访问权限，对非易失性内存的保护组没有访问权限，因此即使应用程序中存在缺陷，缺陷造成的随机写不会破坏到非易失性内存中的数据，从而达到隔离和保护文件系统的目的。此外，由于非易失性内存被分在多个保护组中，当访问其中一个保护组时，其余保护组均为不可访问的权限，因而当被访问的保护组中的数据和元数据被损坏时，文件系统不会因被损坏的元数据而错误的访问其他的保护组，以此达到隔离非易失性内存中多个区域的目的。

三，文件系统错误和异常处理：在进行每个文件系统操作之前，记录下当前的程序状态，当文件系统操作中发生了错误或者异常，在相应的信号处理函数(signal handler)中，处理相应的状态，并将错误信息进行报错，之后恢复到文件系统操作之前记录的状态，并返回相应的错误信息。在用户态处理文件系统错误和异常，可防止应用程序因文件系统内数据错误而异常终止。图5展示了此过程的一个例子。文件系统代码首先通过setjmp等函数保存当前线程的运行状态，此后开始调用call_fs_mkdir函数，开始真正的文件系统操作。若在真正的文件系统操作中产生错误(如页中断等)，内核会将控制流跳转到对应的信号处理函数(SIGSEGV处理代码)。在信号处理代码中，会对产生页中断的原因进行检查，最后通过longjmp函数跳转回此前保存的线程运行状态，并返回相应的错误代码。

在上述一种针对用户态非易失性内存文件系统的保护方法的基础上，本发明还提供一种针对用户态非易失性内存文件系统的保护系统，包括：

文件系统与应用程序隔离模块：利用内存保护键机制在用户态隔离非易失性内存文件系统与应用程序代码；

文件系统区域数据隔离模块：将用户态文件系统管理的非易失性内存划分成多区域，将不同的区域映射到不同的内存保存组中，将元数据错误限定在一个区域内；

文件系统错误异常处理模块：在进行每个文件系统操作之前，记录下当前的程序状态，当文件系统操作中发生了错误或者异常，在相应的信号处理函数中，处理相应的状态，并将错误信息进行报错，之后恢复到文件系统操作之前记录的状态，并返回相应的错误信息。

本领域技术人员知道，除了以纯计算机可读程序代码方式实现本发明提供的系统及其各个装置、模块、单元以外，完全可以通过将方法步骤进行逻辑编程来使得本发明提供的系统及其各个装置、模块、单元以逻辑门、开关、专用集成电路、可编程逻辑控制器以及嵌入式微控制器等的形式来实现相同功能。所以，本发明提供的系统及其各项装置、模块、单元可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置、模块、单元也可以视为硬件部件内的结构；也可以将用于实现各种功能的装置、模块、单元视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。

Claims (10)

1.一种针对用户态非易失性内存文件系统的保护方法，其特征在于，包括：

文件系统与应用程序隔离步骤：利用内存保护键机制在用户态隔离非易失性内存文件系统与应用程序代码；

文件系统区域数据隔离步骤：将用户态文件系统管理的非易失性内存划分成多区域，将不同的区域映射到不同的内存保存组中，将元数据错误限定在一个区域内；

文件系统错误异常处理步骤：在进行每个文件系统操作之前，记录下当前的程序状态，当文件系统操作中发生了错误或者异常，在相应的信号处理函数中，处理相应的状态，并将错误信息进行报错，之后恢复到文件系统操作之前记录的状态，并返回相应的错误信息。

2.根据权利要求1所述的针对用户态非易失性内存文件系统的保护方法，其特征在于，所述文件系统与应用程序隔离步骤包括：

将文件系统的数据与应用程序内存映射在不同的内存保护组，从而使得访问文件系统数据时需要切换内存保护组的访问权限。

3.根据权利要求1所述的针对用户态非易失性内存文件系统的保护方法，其特征在于，所述文件系统与应用程序隔离步骤包括：

应用程序在调用用户态非易失性内存文件系统提供的接口之后，用户态文件系统首先打开内存保护组的访问权限，之后再进行非易失性内存的访问；在访问完成后，关闭内存保护组的访问权限，再返回到应用程序的代码。

4.根据权利要求1所述的针对用户态非易失性内存文件系统的保护方法，其特征在于，所述文件系统区域数据隔离步骤包括：

在用户态文件系统要访问其中一个区域时，首先打开相应内存保护组的访问权限，在访问完成之后，关闭对应的内存保护组访问权限。

5.根据权利要求1所述的针对用户态非易失性内存文件系统的保护方法，其特征在于，所述文件系统错误异常处理步骤包括：

在执行用户态文件系统操作前，先记录当前的程序执行状态，并注册相应的信号处理函数，在产生错误或异常时，由信号处理函数中跳回到之前记录的程序执行状态，并返回相应的错误代码。

6.一种针对用户态非易失性内存文件系统的保护系统，其特征在于，包括：

文件系统与应用程序隔离模块：利用内存保护键机制在用户态隔离非易失性内存文件系统与应用程序代码；

文件系统区域数据隔离模块：将用户态文件系统管理的非易失性内存划分成多区域，将不同的区域映射到不同的内存保存组中，将元数据错误限定在一个区域内；

文件系统错误异常处理模块：在进行每个文件系统操作之前，记录下当前的程序状态，当文件系统操作中发生了错误或者异常，在相应的信号处理函数中，处理相应的状态，并将错误信息进行报错，之后恢复到文件系统操作之前记录的状态，并返回相应的错误信息。

7.根据权利要求6所述的针对用户态非易失性内存文件系统的保护系统，其特征在于，所述文件系统与应用程序隔离模块包括：

将文件系统的数据与应用程序内存映射在不同的内存保护组，从而使得访问文件系统数据时需要切换内存保护组的访问权限。

8.根据权利要求6所述的针对用户态非易失性内存文件系统的保护系统，其特征在于，所述文件系统与应用程序隔离模块包括：

应用程序在调用用户态非易失性内存文件系统提供的接口之后，用户态文件系统首先打开内存保护组的访问权限，之后再进行非易失性内存的访问；在访问完成后，关闭内存保护组的访问权限，再返回到应用程序的代码。

9.根据权利要求6所述的针对用户态非易失性内存文件系统的保护系统，其特征在于，所述文件系统区域数据隔离模块包括：

在用户态文件系统要访问其中一个区域时，首先打开相应内存保护组的访问权限，在访问完成之后，关闭对应的内存保护组访问权限。

10.根据权利要求6所述的针对用户态非易失性内存文件系统的保护系统，其特征在于，所述文件系统错误异常处理模块包括：

在执行用户态文件系统操作前，先记录当前的程序执行状态，并注册相应的信号处理函数，在产生错误或异常时，由信号处理函数中跳回到之前记录的程序执行状态，并返回相应的错误代码。

Images