JPH0683682A - アンドゥーログ使用の最大利用のための方法及び装置 - Google Patents

Abstract

(57)【要約】 （修正有） 【目的】 クラッシュ或は故障が発生した際にアンドウ
ートランザクションに記録させなくてはならない情報を
最小限におさえる。 【構成】 ライト−アヘッドログ−プロトコールを用い
てアンドゥ−ログの最適化を実施するために、書込むブ
ロックがコミットしていないデータを含むかどうかを判
定し１０１０、含んでいる場合はアンドゥ−バッファー
をアンドゥ−ログに書き込み、リドゥ−バッファーをリ
ドゥ−ログに書き込み１０２０、その後又はブロックが
コミットしてないデータを含まない場合には１０１０、
ブロックを永久記憶装置に書込む１０３０。

Description

【発明の詳細な説明】

【発明の背景】本発明は一般に共用ディスクシステムに
おけるクラッシュからの回復の分野、特にかかる回復に
おけるログの使用に関する。総てのコンピュータはクラ
ッシュするとデータを失うことがある。あるシステムの
中には故障或いはクラッシュによりデータを失う可能性
が特に高いものがある。これはそれらのシステムがディ
スク及びプロセッサメモリ間で大量のデータを伝送する
ためである。データを失うことに共通した理由とは非持
久型記憶システム（例えばプロセッサメモリ）から持久
型記憶システム（例えばディスク）へデータを送る際の
不完全な伝送である。クラッシュ時に処理が行なわれる
としばしば不完全な伝送が生じる。一般に処理は２つの
記憶システム間の一連の記憶（或いは変更）の伝送を含
んでいる。データの紛失及びその回復をアドレスする際
に重要な概念は処理を「実行」するという考えである。
処理はその総ての効果が持久型記憶機構で安定している
ことをある程度保証されている時に実行されるのであ
る。処理が実行される前にクラッシュが生じた場合、回
復に必要な工程は処理後にクラッシュが生じた場合の回
復に必要なものとことなる。回復とは、知られた所望の
時点で完全なシステムを再開できるようにデータベース
を訂正する工程である。必要とされる回復の種類は当然
ながらデータの紛失理由による。コンピュータのシステ
ムがクラッシュすると、その回復手段はクラッシュシス
テムの例えばディスク等の持久型記憶機構を前回実行さ
れた処理により生じたものと一致する状態まで回復でき
る必要がある。持久型記憶機構がクラッシュ（媒体故障
と言う）すると、その回復には貯蔵されたデータをディ
スクに再生する必要がある。データベースシステムを回
復するための多くの手段はログを使用している。ログは
少なくともデータベースの場合、そのデータベースにど
んな変更が行われたのか、またそれらの変更はどのよう
な順序で行われたのかを示す時刻順のアクションのリス
トに過ぎない。従って、ログはコンピュータシステムに
データベースを知られた所望の状態にするものであり、
その後データベースはリドゥー（ＲＥＤＯ）或いはアン
ドゥー（ＵＮＤＯ）の変更に使用できる。リドゥーは再
実行を、アンドゥーは無効を意味する。しかし、ノード
と呼ばれる数多くのコンピュータシステムが共用ディス
クの集合をアクセスするシステム配置においてはログは
管理しにくい。この構成のタイプは「クラスター」或い
は共用ディスクシステムと呼ばれる。このようなシステ
ムにおいてノードにデータをアクセスさせるシステムを
データ共用システムと呼ぶ。データ共用システムはデー
タの送信を行い、これによりデータブロック自身がディ
スクから要求するコンピュータに送られる。反対に「区
分」システムとしてより広く知られる機能送信システム
はデータの区分の「サーバー」として指定されたコンピ
ュータにオペレーションの集合を送信する。その後、サ
ーバーはオペレーションを実行してその結果を要求する
側に返送する。区分システムでは単一ノード或いは集中
システムのようにデータの各部は１ノード以下のローカ
ルメモリの中に属することができる。また、区分システ
ム及び集中システムは両方共単一のログに記憶されたア
クションしか必要としない。ここで重要なのはデータの
回復は１つのログの内容だけに基づき行なえることであ
る。一方、分配されたデータの送信システムは集中化さ
れず、同じデータが多数のノードのローカルメモリ内に
属してそれらのノードから更新できる。これにより同じ
データのために多数のノードロギングアクションが生じ
る。同じデータのために多数のログを有するアクション
の問題を避けるために、データ送信システムは、データ
の回復情報を記録する責任のある単一のログへデータの
ためのログの記録を返送することを要求する。しかし、
このような遠隔ロギングには別々に新たなシステム源が
要求される。何故なら入出力のほかに必要なログの記録
を有する別のメッセージをログに書き込むためである。
更にロギングコンピュータから受信通知を待つことによ
り遅れが大きくなり得る。これにより応答時間が増加す
るだけでなく、ユーザーが同じデータベースへ同時にア
クセスできいるという能力を減少させることにもなる。
別の方法としては代わる代わる書き込む共通のログを同
時に使用することである。しかし、これも調整のための
別のメッセージを必要とするため費用がかかり過ぎる。
これらの問題点はアドレスにとって重要である。何故な
らおうおうにしてデータ共用システムのほうが区分シス
テムより好ましいからである。たとえばデータ共用シス
テムはワークステーションに延長された期間データを貯
蔵させることができ、これによりデータの局所処理を高
い水準で実行できるため、データ共用システムはワーク
ステーション及びエンジニアリング設計アプリケーショ
ンにとって重要である。更に、データ共用システムは多
数のノードがデータを同時にアクセスし、いくつかの局
所データ自体を管理し、また他のデータを他のホストコ
ンピュータ及びワークステーションと共用できるため
に、本来的に耐故障性及びロードバランス性を有してい
る。従って、本発明の目的はリドゥーレコードからアン
ドゥー情報を除去することによりリドゥーログの管理を
容易にすることである。また本発明の他の目的はトラン
ザクション実行時にアンドゥー情報を放棄することによ
りアンドゥー情報の管理をより容易にすることである。
更に本発明の他の目的は、クラッシュ或いは故障が発生
した際にアンドゥートランザクションに記録させなくて
はならない情報を最小限におさえることである。 ＩＩ．発明の要約 本発明は実行していないトランザクションの総ての変更
を除去でき、実行されたトランザクションからの変更を
再生でき、またアンドゥーログへのアンドゥーバッファ
の記録量を最小限に抑えることができるようにリドゥー
及びアンドゥーバッファから充分な情報を維持すること
により、先行技術の問題点を回避するものである。更
に、アクションは行われないため、トランザクションに
おけるアクションのカウントを保持することにより効率
を維持することができる。詳細には、複数のノード、及
びセクションごとに分割された持久型記憶媒体を有する
データ処理システムにおいて、前記複数のノードはトラ
ンザクションにより前記セクションに対して変更を行
い、前記各トランザクションは少なくとも１つのノード
により、少なくとも１つのセクションに対して行なう一
連の変更を有し、前記各トランザクションは、該トラン
ザクションにより行われる変更のレコード及び該トラン
ザクションの完了の表示が記憶媒体に確実に記憶された
場合に実行され、確実に記憶されない場合には実行され
ず、前記複数のノードの最初の１つは、少なくとも１つ
のセクションのコピーを保持するメモリと；該メモリに
連結されて、そのメモリ内の少なくとも１つのセクショ
ンのコピーに対して変更を行なう処理手段と；前記メモ
リ内の少なくとも１つのコピーに対して前記処理手段に
より行われた変更の順次リストを有する少なくとも１つ
のアンドゥーバッファと；該各アンドゥーバッファは最
初のノードにより該ノード及び各アンドゥーバッファの
ための実行されていない異なるトランザクションに対し
て行われた変更に対応し、対応するノード内の処理手段
によりメモリ内の少なくとも１つのセクションのコピー
に対して行われた変更の順次リストを有するレコードバ
ッファと；前記メモリに連結され、少なくとも１つのセ
クションのコピーを前記記憶媒体に戻して記憶するため
の記憶手段と；実行されていないトランザクションの全
変更の効果を除去できること、及び実行されたトランザ
クションの全変更の再生できることを確実にするため
に、前記アンドゥーバッファ及びリドゥーバッファの部
分を前記記憶媒体に選択的に記憶する、アンドゥーバッ
ファ及びリドゥーバッファに連結された、ログ管理手段
と；よりなることを特徴とする。本願の一部である添付
図面は本発明の好適な実施例を示し、本明細書と共に本
発明の原理を説明するものである。

【好適な実施例の説明】本発明の好適な実施例を以下に
詳述する。その具体例を添付図面に図示する。Ａ．システムの構成要素 システム１００は本発明を実施するのに使用できる記憶
システムの一例である。システム１００はノード１１
０、１２０及び１３０を有し、これらは総て共用ディス
クシステム１４０をアクセスする。ノード１１０、１２
０及び１３０は後述の記憶及び回復ルーティーンを実行
するためにそれぞれプロセッサ１１３、１２３及び１３
３を有する。ノード１１０、１２０及び１３０は少なく
とも２つの機能を提供するためにそれぞれメモリ１１
８、１２８及び１３８を更に有している。これらの機能
のうち一方は対応するプロセッサのための局所メモリと
して作動し、他方は前記ディスクシステム１４０と交換
されてデータを保持するものである。データ交換に使用
されるメモリの部分はキャッシュと呼ばれる。キャッシ
ュは一般に非持久型記憶システムである。共用ディスク
システム１４０もたとえ永続的記憶システムの一部或い
は総てがクラッシュしても、記憶内容は永続であると考
えられる持久型記憶システムを指す。この持久型システ
ムは伝統的に磁気ディスクシステムを採用しているが、
永続的記憶システムは光学式ディスク或いは磁気テープ
システムを使用することもできる。また、本発明を実施
するのに使用される永続的記憶システムは図１に示され
るアーキテクチャー（コンピュータの設計仕様）にのみ
限定されるものではない。例えば、この永続的記憶シス
テムはそれぞれ異なるノードに結合されたいくつかのデ
ィスクを使用することもでき、それらノードはいくつか
のタイプのネットワークに連結されても良い。永続的記
憶システムの他の部分はアーカイブ（ａｒｃｈｉｖｅ）
記憶システムと呼ばれるバッタアップシステム１５０で
ある。アーカイブ記憶システムという用語は永続的記憶
システム内のデータが読み取り不能になった際に永続的
記憶システムの内容を復元させる情報のために使用され
る記憶システムに言及するのに一般に使われている。例
えば共用ディスクシステム１４０が媒体に障害を起こし
た時、そのシステム１４０を復元するためにテープシス
テム１５０を使用することができる。アーカイブ記憶シ
ステムは通常磁気テープシステムを使用しているが、磁
気或いは光学式ディスクシステムを使用することもでき
る。システム１００のデータは通常ブロックに記憶さ
れ、それは該システムの回復可能な目的である。一般に
ブロックはそれらがあるノードのキャッシュ内にある時
のみ作動できる。図２はディスク２００の一部のブロッ
ク２１０、２２０及び２３０の一例を示したものであ
る。一般に１つのブロックは永続的記憶システムの整数
のページ数を有している。例えば、図２においてブロッ
ク２１０はページ２１２、２１４、２１６及び２１８を
有している。Ｂ．ログ 上述の通り、データベースシステムの殆どは回復を目的
としたログを使用している。ログは通常永続的記憶シス
テム内に記憶される。ノードが永続的記憶システムを更
新する時、ノードはそのノードのキャッシュ内のバッフ
ァ内の更新を記述するログレコードを記憶する。本発明
の好適な実施例では永続的記憶システムにおいて３つの
タイプのログを想定しているが、各ノードのキャッシュ
には２つのタイプのバッファしかない。前記ログとはリ
ドゥーログ（ＲＬＯＧ）、アンドゥーログ（ＲＬＯＧ）
及びアーカイブログ（ＡＬＯＧ）である。また、前記バ
ッファとはリドゥーバッファ及びアンドゥーバッファで
ある。ＲＬＯＧの例を図３に、ＵＬＯＧの例を図４、ま
たＡＬＯＧの例を図５に示す。リドゥーバッファの構成
はＲＬＯＧに類似しており、アンドゥーバッファの構成
はＵＬＯＧに類似している。ログの順序番号（ＬＳＮ）
はログ内のレコードのアドレス或いは相対的位置であ
る。各ログはそのログ内のレコードにＬＳＮを示す。１． ＲＬＯＧ（リドゥーログ） 図３に示されるようにＲＬＯＧ３００は変更に関する情
報を記録するために使用される順次ファイルの好適な実
施例であり、その情報はそれらの変更が示される間に行
われる特定のオペレーションを繰り返すことを許容する
ものである。一般に、これらのオペレーションは一度ブ
ロックが記録されたアクションの実行された状態まで復
元されると、回復計画の間反復させる必要がある。図３
に示されるように、ＲＬＯＧ３００はレコード３１０、
３０２及び３１０を有し、各レコードは幾つかの属性を
有する。ＴＹＰＥ属性３２０は対応するＲＬＯＧレコー
ドのタイプを識別する。ＲＬＯＧレコードの異なるタイ
プの例としてはリドゥーレコード、補正ログレコード及
び実行に関するレコードである。これらのレコードにつ
いて以下に説明する。ＴＩＤ属性３２５はカレントレコ
ード（現在レコード）に関連するトランザクションのた
めの唯一の識別名である。この属性は現在のＲＬＯＧレ
コードに対応するＵＬＯＧのレコードを探すための補助
に使用される。ＢＳＩ属性３００は状態前識別名（ｂｅ
ｆｏｒｅ ｓｔａｔｅ ｉｄｅｎｔｉｆｉｅｒ）であ
る。この識別名を以下に詳述する。簡単に言えば、この
ＢＳＩは対応するトランザクションにより修正変更され
る前のブロックのバージョンのための状態の識別名の値
を示す。ＢＩＤ属性３３５はＲＬＯＧレコードに対応す
る更新により修正変更されたブロックを識別する。ＲＥ
ＤＯ ＤＡＴＡＭ属性３４０は対応するアクションの性
質を記述し、そのアクションを繰り返すための充分な情
報を提供する。「更新」という用語は本明細書の中で広
義に、且つ「アクション」という用語と同じ意味に使用
される。アクションとは厳格に言えば、レコードの変更
だけではなく、レコードの挿入及び削除、またブロック
の割り振り及び開放をも含む。ＬＳＮ属性３４５は唯一
ＲＬＯＧ３００のカレントレコードを識別する。後述す
るように、ＬＳＮバッファ３４５は本実施例ではレドス
キャン及びＲＬＯＧチェックポイントを制御するのに使
用される。ＬＳＮ３４５は本実施例ではＲＬＯＧレコー
ド或いはブロックのいずれにも記憶されない。それはＲ
ＬＯＧ内のレコードの位置から本来固有のものだからで
ある。本発明の目的は各ノードに他のノードとは可能な
限り独立してその回復を管理させることである。このた
めに、別個のＲＬＯＧを各ノードに関連させる。好適な
実施例におけるノードとＲＬＯＧとの関連は各ノードに
異なるＲＬＯＧを使用する方法を用いている。別の方法
として、ノードにＲＬＯＧを共用させるか、或いは各ノ
ードに多数のＲＬＯＧを与えることもできる。しかし、
ＲＬＯＧが１つのノード専用である場合には、そのとＲ
ＬＯＧをほかのＲＬＯＧやノードに同等に使用するため
のメッセージを含む同期化は必要ない。２． ＵＬＯＧ（アンドゥーログ） 図４において、ＵＬＯＧ４００は、ブロックのオペレー
ションを正しく取り消す情報を記録するのに使用される
順次ファイルの好適な実施例である。ＵＬＯＧ４００は
ブロックをトランザクションが始まった時の状態に復元
させるのに使用される。ＲＬＯＧとは異なり、ＵＬＯＧ
及びアクシヨンバッファはそれぞれ異なるトランザクシ
ョンに関連する。従って、ＵＬＯＧ及びそれらの対応す
るバッファはトランザクションが実行されると消失し、
新たなトランザクションが開始すると新たなＵＬＯＧが
出現する。他の可能性も存在する。ＵＬＯＧ４００はレ
コード４１０、４０２及び４１０を有し、各レコードは
２つのフィールドを有する。ＢＩＤフィールド４２０は
そのレコードに記録されたトランザクションにより修正
変更されたブロックを識別する。ＵＮＤＯ−ＤＡＴＡフ
ィールド４３０は更新の性質を記述し、更新されたもの
を元に戻すのに充分な情報を提供する。ＲＬＳＮフィー
ルド４４０は或るアクションが取消された時のために同
じアクシヨンを記述するＲＬＯＧレコードを識別する。
この属性は各ＵＬＯＧを別々に識別する機能を提供する
ためのものである。３． ＡＬＯＧ（アーチブログ） 図５においてＡＬＯＧ５００は図１の共用ディスクシス
テム１４００が故障した時等の媒体の回復に充分な時間
レドログの記録を記憶させるのに使用される順次ファイ
ルの好適な手段である。ＲＬＯＧバッファはＡＬＯＧ５
００が発する情報源であり、従って、ＡＬＯＧ５００は
ＲＬＯＧ３００と同じ属性を有する。ＡＬＯＧは好まし
くは対応するＲＬＯＧの切断部分から形成される。切断
部分はブロックの永続的記憶システムのバージョンをカ
レントバージョンにする必要のない部分である。しか
し、ブロックの永続的記憶システムバージョンが入手不
可能になった場合や、アーチブ記憶システムのブロック
のバージョンから回復させることが必要になった場合、
このＲＬＯＧの切断部分のレコードはまだ必要である。
ＲＬＯＧ３００と同様にＡＬＯＧ５００はレコード５０
１、５０２及び５０３を有する。ＴＹＰＥ５２０、ＴＩ
Ｄ５２５、ＢＳＩ５３０、ＢＩＤ５３５及びＲＥＤＯ−
ＤＡＴＡ５４０の属性は同じ名称のＲＬＯＧ３００にお
ける属性と同様に機能する。ＬＳＮ５４５はＲＬＯＧ３
００のためのＬＳＮ３４５と同じくＡＬＯＧのレコード
を識別する。Ｃ．状態識別名（及びライト−アヘッドログプロトコ
ル） ログベースシステムではログレコードは、記録されたブ
ロックの状態がログレコードに指定された更新に適切で
ある場合にのみブロックに出力される。従って、レドの
訂正に充分な条件はブロックがオリジナルのアクション
の遂行された時と同じ状態にある時に、記憶されたトラ
ンザクションをブロックに出力することである。オリジ
ナルアクションが正しければ、やり直されたアクシヨン
も正しいであろう。ブロックの状態の全体の内容をログ
に記録させるのは難しく、実用的ではない。従って、ブ
ロックの状態のために代理の値、或いは識別名が作られ
る。本実施例で使用されるその識別名は状態識別名、即
ち、ＳＩである。ＳＩは各ブロックのための唯一の値を
有する。その値はブロックのオペレーションの実行前、
或いは後等のように特定の時間におけるブロックの状態
を識別する。ＳＩは完全な状態よりもはるかに小さいた
め、必要な時に完全な状態が再現できる限り、完全な状
態の代用として安価に使用できる。ＳＩはブロック内の
区画状態識別名、即ち、ＤＳＩと呼ばれる特定の値を記
憶することにより「区画」される。このＤＳＩはそれが
含まれるブロックの状態を示す。状態の再生は回復の間
に永続的記憶システムに記憶された全体のブロックをア
クセスすると共にそのブロックのＤＳＩを示すことによ
り行なわれる。このブロックの状態は適切なログアクシ
ョンを行なうことにより、後述のように更新される。Ａ
ＬＯＧを用いた媒体の回復のための類似した方法を次に
述べる。ログレコードがブロックに出力されたか否かを
知ることにより、ログアクションがどのような状態を出
力したかをログレコードにより判断できる。本発明によ
れば、ブロックのＤＳＩはログレコードをそのブロック
にいつ出力したかを判断するのに使用される。集中或い
は区分システムでは、アクションをやり直すために単一
のログのレコードの物理順序が用いられる。即ち、ある
ブロックのアクションＢがそのブロックのアクションＡ
の直ぐ後に続く場合、そのアクションＢはアクションＡ
に再生されたブロック状態に適用される。従って、アク
ションＡがやり直されれば、ブロックに適用される次の
ブロックレコードはアクションＢである。集中、或いは
区分システムのような単一のログシステムは通常ブロッ
クの状態を識別するのにＤＳＩとしてＬＳＮを使用して
いる。ブロックのためのＤＳＩとして機能するＬＳＮは
ブロック内で効果を反映させるべくログ順序における前
回のレコードを識別する。かかるシステムでは、ログレ
コードのＬＳＮは記憶されたアクションの後のブロック
状態を識別する「状態後識別名」、即ちＡＳＩとして機
能する。これは後述するようにログレコード内で本発明
に使用されたＢＳＩ（状態前識別名）と対象的である。
ＤＳＩを更新して次のオペレーシヨンに備えるため、ロ
グレコードを出力した後のブロックのためのＡＳＩも決
定できる必要がある。記憶可能であるにも関わらずＡＳ
Ｉをログレコードに記憶させなくても良いように、その
ＡＳＩをＢＳＩ等のログレコードから獲得できるのが有
効である。しかし、そのような獲得は回復や正常なオペ
レーション時に使えるものでなくてはならない。好まし
くは、ＳＩは単調に増加し、ゼロから始まる整数の組等
の知られた順序である。この技法では、ＡＳＩは常にＢ
ＳＩより１だけ多い。更新されたブロックを共用ディス
クシステム１４０等の永続的記憶システムに記憶する場
合、ライト−アヘッドログ（ＷＡＬ）プロトコルが使用
される。ＷＡＬプロトコルはレド及びアンドゥーバージ
ョンをブロックの前の共用ディスクシステム１４０内の
ログに書き込むことを要求する。これはアクションの反
復、或いは取消に必要な情報がデータの永続的コピーを
変更する前に安定して記憶するためである。ＷＡＬプロ
トコルが理解されずに、ブロックの前回の更新のための
ログレギュレータ以前にブロックが永続的記憶システム
に書き込まれようとしても、一定の条件下では回復はで
きない。例えば、１つのノードで更新することにより、
実行されない更新を含むブロックは永続的記憶システム
に書き込まれる。そのブロックに対する前回の更新がノ
ードのＲＬＯＧに記憶されておらず、また第２のノード
の他のトランザクションがブロックを更新して実行した
場合、そのブロックのＤＳＩは増加する。その第２のト
ランザクションのための実行時に、他のトランザクショ
ンのための記憶されたアクションが第２のノードのため
のＲＬＯＧに送られる。何故なら、２回目の更新は別の
ノードにより生じたものではあるが、第２のトランザク
ションのためのログレコードの書き込みからは、オリジ
ナルノードの実行されていないトランザクションのため
のログレコードが書き込まれるのを保証しないためであ
る。オリジナルノードがクラッシュし、また実行されて
いないトランザクションのためのログレコードがＲＬＯ
Ｇに書き込まれていない場合、ブロックのためのＡＳＩ
−ＢＳＩ順序にギャツプが生じる。例えばディスクの故
障等により永続的記憶システム内のブロックが入手不可
能になった場合、後述のＡＬＯＧマージが知られている
ＳＩのギャツプのない順序を要求するため回復は失敗す
るであろう。従って、ＷＡＬプロトコルは記憶されたア
クションの破壊されない順序のために必要な条件であ
る。それはブロックの更新に関しても充分な条件であ
る。ブロックが１つのノードのキャッシュから別のもの
に移った場合、ＷＡＬプロトコルは更新前のＲＬＯＧレ
コードを、トランザクションを実行することにより更新
されるブロックに強制する。「強制」とはノードキャッ
シュ、或いはバージョン内のレコードを永続的記憶シス
テムに安定して記憶することを確実にするという意味で
ある。永続的記憶システムに書き込むことにより、ＷＡ
Ｌプロトコルは前回更新されたログレコードからカレン
トブロックまで、オリジナルノードのＲＬＯＧ内の総て
のレコードを書き込むことを強制する。Ｄ．新たなブロックの割り振り 正常なディスク記憶管理ルーティーン等の間にブロック
が開放され、後の段階で更に使用するために再度割り振
られた場合、このアクションは特殊ではない状態の識別
名になるため、ＤＳＩをゼロに設定してはならない。Ｄ
ＳＩをゼロに設定すると、いくつかのログレコードが出
現してブロックに適用される可能性がある。何故ならそ
れらは同じＳＩを有しているからである。正確なログレ
コードを判断するために新たな情報が必要であろう。従
って前回の割り振りに使用されたＤＳＩの連番は新たな
割り振りにおいて区切れずに保護しなければならない。
新たに割り振られたブロックのためのＢＳＩは開放され
たブロックのＡＳＩであるのが好ましい。区切れないＳ
Ｉの連番を達成するのに簡単な１つの方法は、ＤＳＩを
フリーオペレーションの結果としてブロック内に記憶す
ることである。ブロックが再度割り振られると、それは
恐らく永続的記憶システムから読み取られ、正常にＤＳ
Ｉの増加が続く。これは丁度更新オペレーシヨンのよう
に割り振り及び開放を扱う。この解決策の１つの問題点
はブロックを使用する前に、新たに割り振られたブロッ
クを読み取る必要があることである。しかし、最小の入
出力アクティビティーでスペース管理を効果的に行なう
ためには、「割り振り前の読み込みによりペナルティ
ー」を回避するのが望ましい。本発明は割り振られてい
ないブロック全てにＤＳＩを書き込まないことにより効
率を高めるものである。以前割り振られていなかったブ
ロックのために初期のＤＳＩは常にゼロに設定される。
そして割り振り解除されたブロックのＤＳＩだけが記憶
される。これらのＤＳＩは永続型記憶システム内のフリ
ースペースの簿記のためのシステムにより既に保持され
ているレコードを使用して記憶される。通常このような
簿記の情報はスペース管理でブロックの集合内に記録さ
れる。このスプレー管理の情報と共に、割り振り解除さ
れた各ブロックのための初期ＳＩを記憶することによ
り、その初期ＳＩをブロック内に記憶する必要がなくな
り、従って割り振り前の読み取りペナルティーを避ける
ことができる。再割り振りでは、「割り振り」オペレー
ションのためのＢＳＩは以前の「解放」ブロックの初期
ＳＩになる。勿論、この処理を正確に作動させるには、
スペース管理の情報を含むブロックを永続型記憶システ
ムに定期的に書き込まなければならず、１つのノードは
解放されたブロックの存在が簿記を介して明らかになる
まで、他のノードにより解放されたブロックを割り振っ
てはならない。従って、解放されたブロックのために初
期ＳＩを維持することにより、フリースペース簿記の情
報の新たな読み取り或いは書き込みの必要が生じること
はない。フリーブロックのためのＳＩ情報を追加すれば
このシステムに必要なスペース管理情報の量は増加する
が、システムの効率がそれ程低下しない２つの理由があ
る。第１の理由は、殆どのフリースペースは「以前に割
り振られてはいない」（ｎｅｖｅｒ ｂｅｆｏｒｅ ａ
ｌｌｏｃａｔｅｄ）という特徴を有しており、従って既
にゼロの初期ＳＩを有している。第２の理由は、データ
ベースは通常成長するものであるので、以前使用された
フリースペースは殆どのデータでは小さい。初期ＳＩは
再度割り振られたブロックのためだけに個別に記憶され
るため、ＳＩの増加した記憶量は小さい。別の方法とし
て、以前割り振られていないブロックを再度割り振られ
たものと区別することができる。再割り振りされたブロ
ックのＳＩはそれらが割り振られる時永続型記憶システ
ムから読み取られる。しかし、上述の理由によりペナル
ティーの程度は軽いものの、これにより割り振り前の読
み取りペナルティーが生じる。Ｅ．回復 １． ブロックバージョン 回復においてログをいかにして使用できるかを理解する
ために、クラッシュ後に利用できる、異なるブロックバ
ージョンを把握する必要がある。これらのバージョン
は、利用できるカレントバージョンを作成するのにどれ
だけ多くのログが必要かに基づく記憶された更新の量と
して表現することができる。これはどのくらい広い或い
は局所化された回復アクティビティーであるかについて
明らかにインパクトを有する。回復のために、３種類の
ブロックがある。ブロックで実行された全ての更新がバ
ージョン内に反映されていれば、そのブロックのバージ
ョンが「カレント」バージョンである。故障後のカレン
トバージョンを有するブロックはレド回復を必要としな
い。しかし、予測できないシステムの故障に対処すると
き、更新するたびにキャッシュを永続型記憶システムに
全て書き込まなければ全てのブロックがカレントである
ことを保証できない。これは高価でありまれにしか行わ
れない。ただ一つのノードのログが、まだブロックに送
られていない更新を有している場合、ブロックのバージ
ョンは「ワン−ログ」（ｏｎｅ−ｌｏｇ）である。故障
が起きても多くても１つのノードが回復に使用されれば
良い。これは回復の間に、調整が高価についたり、また
新たに費用がかかる可能性を回避するので望ましい。１
つ以上のノードのログが、まだ適用されていない更新を
有することができる場合、ブロックのバージョンはＮ−
ログである。ワン−ログブロックよりもＮ−ログの方が
一般に回復がより難しいが、媒体メモリを提供する時に
ブロックが常にワン−ログであることを確実にすること
は実用的ではない。何故なら、これはブロックがノード
を変えるたびに、ブロックをアーカイブ記憶システムに
書き込み工程を含むからである。２． レド回復 システムのクラッシュ時に媒体とは対照的に、いくつか
のブロックが不注意によりＮ−ログになることがある。
しかし、本発明の好適な実施例では、全てのブロック
が、システムのクラッシュからの回復のためのワン−ロ
グブロックであることを保障している。Ｎ−ログブロッ
クは回復のためのノード間で複雑な調整を必要とするこ
とがあるため、これは利点である。更新は正常なシステ
ムの作動中に、分散された同時制御により最初に連続し
て行われたため、上述のような調整は可能ではあるが、
そのような同時制御は回復中には回避すべきであるオー
バヘッドを要求する。全てのブースタは、あるキャッシ
ュから他のものへ移動する前に永続型記憶システムに書
き込むよう「ダーティー」ブロックに要求することによ
り、レド回復に関してワン−レグになることが保障され
る。ダーティーブロックとは、そのブロックが永続型記
憶システムから読み取られているため、キャッシュにお
けるバージョンが更新されたものである。この規則に従
えば、要求するノードは、ブロックが新しいノードのキ
ャッシュに入る時はいつでもクリーンブロックを得るこ
とができる。更に、回復の間、ブロックを変更する前回
のノードのログのレコードだけをそのブロックに適用す
れば良い。他のノード他の全てのアクションは永続型記
憶システム内のブロックの状態において既に獲得されて
いる。従って、全てのブロックはリドゥーレコードに対
してワン−ログになり、そのためレグ回復は分散された
同時制御を必要としない。この技法は多数のログはブロ
ックのためのレコードを決して含まないという意味では
ない。この技法は１つだけのノードのレコードが永続型
記憶システム内のブロックのバージョンに適用できるこ
とを確実にするだけである。更に、システムのクラッシ
ュのためにワン−ログリドゥーの回復を用いることが考
えられるが、媒体の回復を実行するためには、ブロック
がキャッシュ間を移動するためだけに各ブロックがアー
カイブ記憶システムに書き込まれるのを避けるために多
数のログのリドゥーアクションを適用しなければならな
いかも知れない。従って、特定の環境では全てのログに
わたって記憶されたアクションにＮ−ログブロックのた
めの回復を提供するよう命令する必要が依然としてあ
る。しかし、ＳＩ順序のため、これは実行できる。図６
は上述のＲＬＯＧ及びＳＩを使用したリドゥーオペレー
ションのための基本的工程のフローチャート６００を示
す。このフローチャート６００で示されるレドオペレー
ションは単一のブロックに適用される単一のＲＬＯＧレ
コードを使用して単一ノードにより行われる。先ず、ロ
グレコードにより識別されたブロックの最も新しいバー
ジョンはＰＳ（工程６１０）から呼び戻される。その呼
び戻されたブロックに記憶されていたＤＳＩがログレコ
ード（工程６００）内に記憶されたＢＳＩと等しけれ
ば、そのログレコードに示されたアクションがそのブロ
ックに適用され、ＤＳＩが増加して前記ブロックの新た
な状態を反映する（工程６３０）。前記ＤＳＩが前記Ｂ
ＳＩと等しくない場合には、その更新はブロックには適
用されない。ＢＳＩ及びＡＳＩは回復時に判断されるた
め、図６に関して述べられたリドゥーオペレーションは
可能である。従って、各ログのために、どのログレコー
ドをやり直さなければならないのかを判断でき、この判
断は他のログの内容と独立させて行うことができる。ブ
ロックＤＳＩ及びログレコードＢＳＩ間で行わなくては
ならない唯一の比較は同格性の比較である。図６に関し
て記述されたレドオペレーションはシステムのクラッシ
ュからの回復に使用することができる。クラッシュから
の回復の手順を図７のフローチャート７００に示す。単
一のノードが他のノードとは独立してこのクラッシュか
らの回復処理を実行できる。最初の工程は最新のチェッ
クポイントにより示された最初のＲＬＯＧレコードをノ
ードに読み込ませることである（工程７１０）。後述す
るように、チェックポイントは適用しなければならない
最も古い更新に対応するレコードを含むＲＬＯＧにおけ
るポイントを示す。その後、図６に示されるリドゥーオ
ペレーションはそのログレコードに特定されたアクショ
ンをそのログレコードに識別されたブロックに適用する
かどうかを判断する（工程７２０）。リドゥーオペレー
ション終了後にそれ以上レコードがなければ、クラッシ
ュの回復は完了する。反対に他にもレコードがある場合
には、次のレコードがＲＬＯＧから呼び戻され（工程７
４０）、図６に示されるリドゥーオペレーションが繰り
返される（工程７２０）。ログレコードに関連したＳＩ
がＡＳＩを単調に増加する場合、ログレコードをある状
態のブロックに適用すべきか否かのテストは、このＡＳ
ＩがそのブロックのＤＳＩより大きい最初のものである
か否かのテストである。しかし、これはワン−ログの回
復だけにとってみれば充分である。何故なら、その場
合、ワン−ログだけがブロック内のＤＳＩよりも大きな
ＡＳＩを有するレコードを持っているからである。しか
し、本発明の好適な実施例では、各ログレコードは記憶
されたアクションを実行する前と正確に同一のブロック
状態を含んでいる。上述のように、これが“ｂｅｆｏｔ
ｅ ｓｔａｔｅ ｉｄｅｎｔｉｆｉｅｒ”（状態識別名
の前）、即ち、ＢＳＩである。３． 媒体回復のための多数のログレゴ 媒体の回復はクラッシュの回復と同じ性格を多く有して
いる。例えば、ログレコードが適用される、安定して記
憶されたバージョンが必要である。また、重要な違いも
ある。第１に、ＡＬＯＧレコードが適用されるブロック
の安定したバージョンは前回のアーチブ記憶システムに
送られたバージョンである。媒体の回復はＮ−ログであ
る。何故ならそれらはアーカイブ記憶システムからブロ
ックを復元し、また上述のようにブロックはそれらがキ
ャッシュ間を移動する度にアーチズ記憶システムに書込
まれないからである。従って、システムのクラッシュの
ためのＮ−ログ回復を避けるためにブロックを書き込ん
で記憶するという技法は媒体の回復には使用できない。
媒体の回復を管理するにはＡＬＯＧを組合せなければ困
難である。ＡＬＯＧと組合せない場合、回復は適用可能
なログレコードのための一定の検索を必要とする。ＡＬ
ＯＧと組合せると、ＢＳＩの使用に際して大きな利点が
ある。図８は多数のＡＬＯＧのマージャーを有するＮ−
ログ媒体の回復のための処理８００を示している。組合
せは全てのログレコードの中の命令の統計に基づいてで
はなく、同じブロックのためのログレコードの中の命令
により生じた部分的命令に基づいて行われる。時々、対
応するそれぞれのブロックに適用できる。アクションの
レコードを有する多数のＡＬＯＧがある。処理８００の
記憶から明らかなように、媒体の回復時にこれらのアク
ションのどれを最初に適用するかは重要ではない。多数
のＡＬＯＧを組合せて、単一のバス内のアーカイブ記憶
システムにおけるバックアップデータベースに適用する
方が速くて効果的である。これはＳＩが正しく命令され
た場合、行うことができる。上述の通り、ＳＩは知られ
た順序で命令され、また本発明の好適な実施例が単調に
増加するＳＩを使用しているのはこのためである。いず
れのＢＬＯＧから開始しても最初のログレコードはアク
セスされる（工程８１０）。その後、ブロックＩＤ及び
ＢＳＩはそのレコードから抽出される（工程８２０）。
次にブロックＩＤにより識別されたブロックが取り出さ
れる（工程８３０）。一度、識別されたブロックが取り
出されると、そのＤＳＩは読み込まれ、ＡＬＯＧレコー
ドのＢＳＩと比較される（工程８４０）。ここで、ＡＬ
ＯＧのレコードのＢＳＩがブロックのＤＳＩより小さけ
れば、記憶されたアクションは既にブロックに盛り込ま
れているということであるためそのレコードは無視さ
れ、従ってレドは要求されない。また、ＡＬＯＧレコー
ドのＢＳＩがブロックのＤＳＩと等しければ、記憶され
たアクションはブロックに適用されてやり直される（工
程８５０）。これは、ＳＩが等しいということは記憶さ
れたアクションがブロックのカレントバージョンに適用
されるという意味であるからである。その後ブロックの
ＤＳＣは増加する（工程８６０）。これは記憶されたア
クションのアプリケーションがブロックの新しい（より
最新の）バージョンを作り出したことを示す。ここでＡ
ＬＯＧレコードのＢＳＩがブロックのＤＳＩより大きい
場合、ログレコードに対応するアクションを適用するの
には適切な時ではなく、代わりに他のＡＬＯＧに記録さ
れたアクションを適用するのに適切な時である。従っ
て、このＡＬＯＧの読み込みは休止しなければならず、
他のＡＬＯＧの読み込みが開始される（工程８７０）。
他のＡＬＯＧが既に休止していた場合には（工程８８
０）。コントロール工程８２０に移しそのログが休止し
た時にカレントであったログレコードのブロックＩＤ及
びＢＳＩを抽出する。また、ログが休止していなかった
場合には、コントロールはそれがあたかも最初のＡＬＯ
Ｇであったとして処理を続ける。結局、これらの工程、
即ち他のＡＬＯＧが前もって休止していなかった場合、
ＡＬＯＧレコードのいずれかを残すか否かの判断か行わ
れる（工程８９０）。残すのであれば次のレコードは取
り出された（工程８１０）。残さないのであれば工程８
００を終了する。ＡＬＯＧを休止する場合、カレントブ
ロックより先行するブロックのレコードを有する他の少
なくとも１つのＡＬＯＧがなくてはならない。待機ログ
レコードを有する休止したＡＬＯＧは単に、その最初の
アイテム（配列された順序で）が他の入力ストリーム
（即ちＡＬＯＧ）におけるアイテムよりも後で比較する
入力ストリームと見做される。処理は他のＡＬＯＧを用
いて続行される。ＢＳＩは他のＡＬＯＧに介入するアク
ションなしにはブロックのＤＳＩよりも大きくはないた
め、休止したＡＬＯＧのカレントレコードは後の段階で
ブロックに適用できなくてはならない。これが生じた
時、休止していたＡＬＯＧは休止が解除される。アクシ
ョンはブロックのためのＳＩの配列に合致した配列で最
初に行われたため、ＡＬＯＧの全てが同時に休止するこ
とはない。従って、ＡＬＯＧのマージは常に可能であ
る。４． リドゥー管理 ａ．安全点の決定 本発明に関し、リドゥー回復をよりいっそう効率的にす
るのに、多くのチェックポイント設定テクニックを用い
ることができる。例えば、ダーティブロックテーブルを
作成して、回復管理情報を各ダーティブロックに対応づ
けすることができる。この情報は、ＲＬＯＧ管理に、従
ってＡＬＯＧに、二つの重要な機能を提供するものであ
る。第一に、回復管理情報は、ＲＬＯＧの走査及び切捨
を支配する「安全点」の決定に用いられる。第二に、回
復管理情報は、ポテンシャル取消ログについてだけでな
く、ＲＬＯＧについてもＷＡＬプロトコルを実施する
（ｅｎｆｏｒｃｅ）のに使用できる。安全点の決定は、
リドゥー回復を行うために、どれだけ多くのＲＬＯＧが
走査を必要とするかを決定するのに重要である。このリ
ドゥー走査に関するＲＬＯＧの開始点が、「安全点」と
呼ばれる。安全点は、二つの意味で「安全」である。第
１にリドゥー回復は、安全点に先行するレコードを安全
に無視することができ、これはそれらのレコードが、既
に全て永久記憶装置におけるブロックのバージョンに含
まれているからである。第二に、「無視した」レコード
は、もはや必要がないので、それらのレコードをＲＬＯ
Ｇから切捨てることができる。この第二の特徴は、アン
ドゥー／リドゥーログに関しては正しくない。例えば、
アンドゥーレコードが生成する長いトランザクションが
あったならば、アンドゥーレコードにおける動作が、永
久記憶装置に書込まれているリドゥーレコードにおける
動作に先行するため、チェックポイントの前に切捨てを
行うことは不可能である。このことが、切捨てを妨げて
いる。ダーティブロックテーブル９００を図９に示す。
ダーティブロックテーブル９００の現在のコピーを、揮
発性記憶装置に保守し、永久記憶装置のＲＬＯＧチェッ
クポイントの設定プロセスの一部として定期的に記憶さ
せることが好ましい。ダーティブロックテーブルエント
リ９１０、９１１及び９１２は、回復ＬＳＮフィールド
９２０及びブロックＩＤフィールド９３０を含む。回復
ＬＳＮフィールド９２０の値は、動作が永久記憶装置に
おけるブロックのバージョンに含まれない最早ＲＬＯＧ
レコードを識別する。そのため、ＬＳＮフィールド９２
０の値は、リドゥーすることが必要な第１ＲＬＯＧであ
る。ブロックＩＤフィールド９３０の値は、回復ＬＳＮ
に対応するブロックを識別する。そのため、ダーティブ
ロックテーブル９００は、全てのダーティブロックと、
そのブロックをダーティにしたＲＬＯＧレコードのＬＳ
Ｎとを対応づける。ダーティブロックテーブル９００の
もう一つのエントリは、ラストＬＳＮエントリ９５０で
ある。このエントリに関する値は、各ブロックについ
て、ブロックに最新の更新を記述するＲＬＯＧレコード
及びＵＬＯＧレコードのＬＳＮである。ログにおける位
置を決定することが必要なため、ＤＳＬよりもむしろＬ
ＳＮが使用される。ラストＬＳＮ９５０は、ＷＡＬプロ
トコルを実施するためにブロックが永久記憶装置に書き
込まれた場合に、それぞれ、どれだけ多くのＲＬＯＧ及
びＵＬＯＧが強制を必要とするかを示す（ＲＬＯＧに関
する）ＲラストＬＳＮ９５５及び（各々のＵＬＯＧにつ
いて１つの）ＵラストＬＳＮ９５８のリストを含んでい
る。そのため、ＷＡＬプロトコルを実施することは、永
久記憶装置に関するブロックに組込まれた全ての動作
は、安定に記憶されたＲＬＯＧ及びＵＬＯＧの両方を有
していることを意味する。ＲラストＩＳＮ９５５及びＵ
ラストＬＳＮ９５８は、（後に述べる）チェックポイン
トには含まれないが、それらの役割がただＲＬＯＧ及び
ＵＬＯＧに関してＷＡＬプロトコル実施するに過ぎない
からである。そのため、好ましい実現においては、これ
らのエントリを回復ＬＳＮから分離しておき、それらが
チェックポイント情報とともに記憶されるのを避けるこ
とが好ましい。ノードのキャッシュにおける全てのブロ
ックに関する第１ＬＳＮが、局所ＲＬＯＧのリドゥー走
査の安全点である。リドゥー回復は、安全点から順方向
に局所ＲＬＯＧを読み取り、続くレコードにおける動作
を再実行することにより開始される。リドゥーが必要な
全てのブロックは、この走査の間に出会うリドゥーする
ことが必要な全ての動作を有している。先に説明したよ
うに、１−ログ想定（ａｓｓｕｍｐｔｉｏｎ）は、各Ｒ
ＬＯＧを分離して管理することを可能にする。ノード
は、それ自身のＲＬＯＧを処理するだけでよく、そのた
め、あるノードの動作は、他のノードのキャッシュにお
けるブロックがダーティである理由にはなり得ない。従
って、各ブロックに対応づけられた単純な回復ＬＳＮ
｛ＲＬＯＧを指定（ｎａｍｅ）しないもの｝を保存すれ
ば充分であり、ここにおいて回復ＬＳＮは、局所ＲＬＯ
Ｇにおけるレコードを識別することが判る。ｂ．チェックポイントの設定 チェックポイントの設定の目的は、安全点の決定が、上
記の様に、システムの破損の後も存続できることを確か
なものにすることである。チェックポイントの設定は、
安全点を移動させてリドゥーの必要なログの部分を小さ
くさせることのできる管理ブロック用ストラテジと組合
せることができる。チェックポイントの設定のための多
数の様々なテクニックがある。一つを以下に述べるが、
必須のテクニックであると解するべきではない。本発明
を実現する好ましいテクニックは、「ファジー」ＲＬＯ
Ｇチェックポイント設定の形式である。「ファジー」と
呼ばれるのは、トランザクション又はオペレーションが
終了したかどうかに係わりなくチェックポイントの設定
を行うことができるからである。チェックポイントを設
定した情報からのダーティブロックテーブル９００のバ
ージョンの回復は、リドゥー走査を開始する位置の決定
を可能にする。ダーティブロックテーブル９００のブロ
ックだけが永久記憶装置に記憶されていない動作を有し
ているため、それらのブロックをリドゥーするだけでよ
い。先に説明したようにダーティブロックテーブル９０
０は、リドゥーが必要かもしれない第１に記録されたト
ランザクションを示す。ＲＬＯＧによるシステム破損回
復とＡＬＯＧによるメディア回復は、典型的に異なる安
全点を有し、そのため切捨てられる。特に、ＲＬＯＧの
切捨てられた部分が、メディア回復に必要なままである
ことがある。そうであれば、その切捨てられた部分は、
ＡＬＯＧの一部になる。ＡＬＯＧの切捨てには、ＲＬＯ
Ｇのチェックポイントを用いる。ＲＬＯＧのチェックポ
イントは、チェックポイントの時点でのＲＬＯＧの切捨
てを可能にする安全点を決定する。これは、永久記憶装
置におけるデータの全てのバージョンが、この安全点よ
りも新しく、そうでなければこの点は安全ではないから
である。ＡＬＯＧを切り捨てるため、永久記憶装置に関
するブロックを先ずバックアップして記憶をアーカイブ
する。これが終了すると、アーカイブチェックポイント
レコードが、了解位置（ａｇｒｅｅｄ ｕｐｏｎ ｌｏ
ｃａｔｉｏｎ）、例えばアーカイブ記憶機構に書き込ま
れ、アーカイブチェックポイントの決定が始まった時に
カレントであったＲＬＯＧのチェックポイントを識別す
る。ＡＬＯＧは、アーカイブチェックポイントにおいて
メディア回復のために指定されたＲＬＯＧチェックポイ
ントにより識別される安全点で切捨てることができる。
永久記憶装置の全てのブロックは、ＲＬＯＧのチェック
ポイントが決まった（ｄｏｎｅ）後にアーカイブ記憶機
構に書き込まれるため、このチェックポイントの安全点
の前になされた全ての変化を反映する。ブロックのバッ
クアップの間に、幾つかの追加のＲＬＯＧチェックポイ
ントを採っても（ｔａｋｅ）よい。これらは、ＡＬＯＧ
の切捨てに影響しないか、これは、関連するログレコー
ドか、全てアーカイブ記憶機構のブロックの状態に具体
化されている（ｉｎｃｏｒｐｏｒａｔｅｄ）という保証
はないからである。リドゥーをする必要はないが、ＡＬ
ＯＧに関して残されている動作は、適用外として検知さ
れ、メディア回復処理の間無視される。チェックポイン
トは、ＲＬＯＧに書き込まれる。ＲＬＯＧに書き込まれ
た最新のチェックポイントを見出すため、その位置か、
ノードに関する大域情報のエリアにおいて対応するノー
ドの永久記憶装置に書き込まれる。最新のチェックポイ
ント情報は、回復の間にアクセスされた最初の情報であ
るのが典型的である。そうでなければ、最新のチェック
ポイントに関するＲＬＯＧの末尾をサーチすることので
きる情報である。チェックポイントは、システムがリド
ゥーログ、したがってリドゥー回復に必要な時間の明示
制御を有するという主な利点を提供する。ＲＬＯＧが、
ＵＬＯＧと組合されたとすれば、先に説明した理由で安
全点をログの切捨てに使用することができない。加え
て、アンドゥー情報をＲＬＯＧから排除することは、ブ
ロックを永久記憶装置に書き込むことにより、システム
がログの切捨てを制御することを可能にする。ＲＬＯＧ
の切捨ては、良いトランザクションの打切りを必要とす
るものでは決してない。このことは、取消情報を含むロ
グを切捨てる場合には正しくはない。システムは、ブロ
ックを後方の永久記憶装置におけるブロックの位置に書
き込むことによりＲＬＯＧの制御を行う。実際、このブ
ロックの書込は、時にはチェックポイントの部分である
と考えられる。ブロックは、より古い、即ち、ＲＬＯＧ
において更に後方の回復ＩＳＮを有している永久記憶装
置に書き込んでもよい。これは、ＲＬＯＧに関する安全
点をログの末尾のより近くに移動させる。オペレーショ
ンが新たに書き込まれたブロックに含まれるログレコー
ドは、まはやリドゥー回復に必要でなく、したがって切
捨てられる。メディア回復は、システム破損回復と同様
の基本パラダイムに従う。ブロックのバージョンは、ア
ーカイブ記憶機構に安定に記録される。先に説明したよ
うに、各ＡＬＯＧは、ＲＬＯＧのうちの一つの切捨てら
れた部分から形成される。ＡＬＯＧそれ自身は、ブロッ
クのどのバージョンがアーカイブ記憶機構にあるかに基
づき、定期的に切捨てることができる。ＤＳＩのみがブ
ロックに記憶されており、ＩＳＮは記憶されていない場
合は、どのログがアーカイブ記憶機構のブロックを更新
するのに応じることのできる最新のログかを知ることも
できないし、このレコードがＲＬＯＧのどこにあるかを
知ることもできない。そのため、ブロックにおける情報
は、ＡＬＯＧ又はＲＬＯＧを切すれるための適当な点を
決定するのには不十分である。しかしながら、ダーティ
ブロックテーブルを、ＲＬＯＧの切捨てにおけるガイド
として使用することができる。そしてＲＬＯＧの安全点
を、ＡＬＯＧの安全点の設定に使用することができる。 Ｆ．ＵＬＯＧオペレーション １．ＵＬＯＧ管理 ＵＬＯＧからのＲＬＯＧの分離が、ＲＬＯＧオペレーシ
ョンを計画している（ｈａｖｅ ｏｎ）という利点に加
え、斯かる分離が、ＵＬＯＧオペレーションを計画して
いるという利点もある。例えば、ひとたびトランザクシ
ョンがコミットしたらトランザクション特定ＵＬＯＧを
破棄することができる。したがって、ＵＬＯＧに関する
スペース管理は単純であり、アンドゥー情報は永久記憶
装置には長く残らない。加えて、後に説明するように、
アンドゥーレコードがログに永続的に書込まれること
を、しばしば防ぐことができる。コミットされていない
データを含むブロックを永久記憶装置に書込む場合に
は、アンドゥーレコードを書込むだけでよい。リドゥー
ログに関しＵＬＯＧとＲＬＯＧが離れていることの一つ
の不利益は、ＷＡＬプロトコルを満たすため、コミット
されていないデータを含むブロックを永久記憶装置に書
込む場合に、二つのログを強制しなければならないこと
である。しかしながら、一般に、コミットされていない
データを有するブロックの永久記憶装置への書込は、充
分に稀なので、ログの分離は、性能においてさえも、正
味の利得をもたらすものである。Ｎ−ログアンドゥーに
関しては、複数のノードが、ブロックにコミットされて
いないデータを同時に有することができる。システム破
損は、これらのトランザクションが全てアンドゥーされ
ることを必要とし、このことは、例えば、アンドゥー回
復の間ロックをしてブロックのアクセスを調整すること
を必要とするかもしれない。全てのブロックが、アンド
ゥー回復に関して１−ログであることを確実にするよう
に、あるノードからのコミットされていないデータを含
むブロックは、決して第二のノードによって更新される
ことはない。これは、ブロックよりも小さくないロック
の細分性により達成することができる。しかる後、要求
ノードが、他のノードによるアンドゥー処理を決して必
要としないブロックを受取る。したがって、例えば、他
のノードからのトランザクションがブロックを既に更新
した後に打切る場合には、そのトランザクションの影響
は、既に取消されている。１−ログ取消は、複雑さを緩
和するが、回復時におけるＮ−ログアンドゥーのシステ
ム性能へのインパクトは、Ｎ−ログリドゥーに関するよ
りもはるかに少ない。これは、システム破損の時にコミ
ットされていないトランザクションの小さなセットしか
取消を必要としないからである。ブロックよりも小さく
ないロック細分性を有することが、同時実行を実質的に
減少させることを可能にしている。本発明のテクニック
は、通常は短いトランザクションに関してＵＬＯＧへの
書込の必要性を回避するものである。これはいかなる特
定の短いトランザクションからのコミットしていないデ
ータを有するブロックを含むキャッシュスロットも必要
となることは稀だからである。斯かる稀少性の理由は、
殆どの短いトランザクションは、それらのキャッシュス
ロットが必要になる前に、コミットするか又は打切りに
なるからである。取り除く（ｓｔｏｌｅｎ）べきキャッ
シュスロットが、コミットしていないデータを有するブ
ロックを含んでいるとすると、ＷＡＬプロトコルは、取
消レコードの全ての適当なＵＬＯＧへの書込を要求す
る。ＷＡＬプロトコルは、ブロックに関するダーティブ
ロックテーブルエントリーにおけるＵラストＬＳＮによ
り識別されるレコードを通して各ＵＬＯＧを強制書込み
することにより、ＵＬＯＧに関して強制される。先に説
明したように、ＵラストＬＳＮは、各ＵＬＯＧにおける
ブロックへの最新の更新に関しアンドゥーレコードを識
別する。ＷＡＬプロトコルに関して、トランザクション
の更新をしていないブロックの状態を記憶させるのに必
要な情報は、ブロックの永久記憶バージョンを新しい状
態で重ねがきする前に、トランザクションのＵＬＯＧに
常に永続的に記憶される。そのため、トランザクション
の更新をしていないブロックの状態は、トランザクショ
ンのコミットに先立って常に永続的である。この情報
は、（ｉ）永久記憶装置のブロックバージョン内、（ｉ
ｉ）先行するトランザクションからのＲＬＯＧ情報を用
いる永久記憶装置におけるバージョンからの「リドゥー
可能」、或いは（ｉｉｉ）このトランザクションについ
てのＷＡＬプロトコルによりＵＬＯＧに対してログされ
るか又はリドゥー回復の間につくられたアンドゥー情報
を用いる（ｉ）又は（ｉｉ）により作られたバージョン
からのアンドゥー回復可能、である。前の状態のままで
ある永久記憶装置に対するブロックに関し、対応するＵ
ＬＯＧレコードのないＲＬＯＧレコードを有することが
可能である。これは、「任意の」アンドゥーロギングが
ある場合には、ありふれたことである。斯かるブロック
に関し、対応するＲＬＯＧレコードのないＵＬＯＧレコ
ードを有することも可能である。この場合ＵＬＯＧレコ
ードは無視することができる。そのため、リドゥー回復
の後にアンドゥーする必要のある全ての動作が、必ずし
もＵＬＯＧにおいて見出される必要はない。システムが
破損した場合には、失われたアンドゥーレコードを、リ
ドゥーレコード及びブロックの前の状態から生成する必
要がある。動作が、ブロックの状態を及びログされた動
作の値パラメータのみによる限りは、動作が初めに行わ
れた時に利用可能であった全ての情報が、この時点にお
いて利用可能であるため、アンドゥーレコードの生成
は、可能である。 動作は、二つの理由でＵＬＯＧで終
了する。ブロックは、永久記憶装置に書込まれたので、
ＷＡＬプロトコルが、ＵＬＯＧにバッファレコードを強
制するか、又はＷＡＬの実施（ｅｎｆｏｒｃｅｍｅｎ
ｔ）のためのＵＬＯＧの書込か、先行するＵＬＯＧリド
ゥー及び、ある場合には、取消バッファにある続くＵＬ
ＯＧレコードの書込に帰着するかによるものである。こ
れらの動作に関しては、必ずしも回復の間に取消レコー
ドを生成する必要がないのは、これらのレコードが、Ｕ
ＬＯＧにあることが保証されているからである。このこ
とが重要なのは、永久記憶装置におけるブロックのバー
ジョンが、動作の後に来る状態を有するので、再実行を
ログしたトランザクション用のＵＬＯＧを構成するのが
不可能といえるからである。幸運なことに、これらのブ
ロックと正確に同じであり、ＵＬＯＧレコードがそのた
めに既に存在するブロックがある。リドゥーの間、失わ
れた取消レコードが生成される。リドゥーの終りまで
に、生成されたアンドゥーレコードとＵＬＯＧのアンド
ゥーレコードとの合併（ｕｎｉｏｎ）は、全てのコミッ
トしていないトランザクションをロールバックすること
ができる。 ２． ＵＬＯＧの最適化 本発明に関し、アンドゥーログバッファの内容を、必要
な時にのみＵＬＯＧに書込むことを確実にすることによ
り、ＵＬＯＧの使用を最適化することができる。一般
に、現在（ｃｕｒｒｅｎｔ）トランザクションからのコ
ミットしていないデータを含むブロックを永久記憶装置
に書込む場合に、アンドゥーバッファはＵＬＯＧに記憶
させるだけでよい。トランザクションが、コミットされ
ている場合には、トランザクションにおける更新を取消
す必要はなく、そのためアンドゥーバッファを破棄する
ことができる。図１０は、ＷＡＬプロトコルを用いたこ
のＵＬＯＧの最適化を実現するための手順のフローダイ
ヤグラム１０００を示す。ブロックのバージョンは、永
久記憶装置に書込まれるものと仮定する。書込むブロッ
クが、コミットしていないデータを含んでいる場合には
（工程１０１０）、そこでアンドゥーバッファを永久記
憶装置のＲＬＯＧに書込む必要があり、いかなるアンド
ゥーバッファも永久記憶装置のＵＬＯＧに書込む（工程
１０２０）。リドゥーバッファのＲＬＯＧへの書込及び
アンドゥーバッファのＵＬＯＧへの書込（工程１０２
０）の後、又はブロックがコミットしていないデータを
含まない場合には（工程１０１０）。ブロックを永久記
憶装置に書込む（工程１０３０）。これはＷＡＬプロト
コルに従うものである。そのため、記憶すべきコミット
していないデータがある場合には、アンドゥーバッファ
を書込むだけである。トランザクションがコミットする
各々の時、対応するアンドゥーログバッファを永久記憶
装置にかきこむ必要がないので、このアンドゥーログバ
ッファを破棄することができる。更に、取消がここでは
必要ではないので、トランザクション用ＵＬＯＧ自体を
破棄することができる。永久記憶装置におけるＲＬＯＧ
のトランザクションに関する全ての再実行レコードを記
録することにより、コミットしたトランザクションか、
永続的になる。その後のある時点で、更新したブロック
を永久記憶装置に書込むことができる。たとえ更新した
ブロックを書込む前に破損があっても、ＲＬＯＧを検索
してブロックの状態を再記録することができる。システ
ムは、ＲＬＯＧのコミットレコードを記憶することによ
り、トランザクションがコミットすることを知覚してい
るのである。３． トランザクションの打切り トランザクションがコミットすると、トランザクション
の効果の無効化はもはや要求されないので、ＵＬＯＧは
そこで破棄することができる。トランザクションの打切
りに関しては、状況が幾分異なる。トランザクション用
ＵＬＯＧレコードを破棄できるまでには、打切りトラン
ザクションにより変更された全てのブロックが、無効と
されたそれらの変更をしているだけでなく、その結果の
無効とされたブロックの状態が、ＵＬＯＧ以外のどこか
に永続的に記憶されることを確実にする必要がある。取
消された状態にあるブロック自体を永久記憶装置に書込
まれなければならないか（「強制」打切りと呼ばれ
る）、又はアンドゥートランザクションをＲＬＯＧに書
込み強制しなければならない（「非強制」打切りと呼ば
れる）。コミッティングトランザクションと同様に、Ｒ
ＬＯＧに対するロギング動作は、ブロックをこの場合に
は永久記憶装置に強制する必要を回避する。 ａ．非強制打切り 非強制打切りか、アンドゥーオペレーションを、先の更
新の効果を反対にする打切りトランザクションの付加的
動作として取扱うことにより実現する。斯かる「補償」
動作は、「補償ログレコード」（ＣＬＲｓ）としてＲＬ
ＯＧにログされる。補償ログレコードは、効率的にＲＬ
ＯＧへと移動されたアンドゥーレコードである。しかし
ながら、これらのレコードを他のＲＬＯＧレコードから
区別するため、余分の情報が必要である。加えて、リド
ゥーすべき他のログされたトランザクションに対し、Ｃ
ＬＲを正しく順に並べるため、ＳＩが必要である。図１
１は、幾つかの属性を備えたＣＬＲ１０００を示す。Ｔ
ＹＰＥ属性１１１０は、このログレコードを補償ログレ
コードとして識別する。ＴＩＤ属性１１２０は、トラン
ザクションに関する一意の名前である。これは、このＲ
ＬＯＧ ＣＬＲに対応するＵＬＯＧを見出す助けをす
る。ＢＳＩ属性１１３０は、先に説明したように、更新
前状態識別子である。このコンテキストでは、ＢＳＩ属
性１１３０は、ＣＬＲが適用された（ａｐｐｌｉｅｄ）
時点におけるブロックの状態を識別する。ＢＩＤ属性１
１４０は、このレコードをログした動作により変更され
たブロックを識別する。ＵＮＤＯ ＤＡＴＡ属性１１５
０は、無効とすべき動作の性質を説明し、無効とすべき
動作に関する充分な情報を、この動作に対応する最初の
動作がブロックの状態に組込まれた後に、提供する。Ｕ
ＮＤＯ ＤＡＴＡ属性１１５０に関する値は、ＵＬＯＧ
又は取消バッファに記憶されている対応する取消しレコ
ードからきている。ＲＬＳＮ属性１１６０は、同じ動作
にとって取消しであるこの動作を説明するＲＬＯＧレコ
ードである。この属性は、ＵＬＯＧレコードのＲＬＳＮ
属性からきている。ＬＳＮ１１７０は、ＲＬＯＧにおけ
るその位置により識別できるため、明示的に記憶する必
要がなく、ＲＬＯＧに関し一意的にこのＣＬＲを識別す
る。ＬＳＮは、リドゥー走査及びＲＬＯＧのチェックポ
イントの設定を制御するのに用いられる。トランザクシ
ョンのコミットがあった場合には、トランザクションの
打切りの際、トランザクションの動作を説明する全ての
再実行レコードがＲＬＯＧに書込まれる。打切られたト
ランザクションに関しては、このトランザクションはＣ
ＬＲに取消し動作を含んでいる。コミットに関しては、
ＲＬＯＧは、トランザクション用の全ての再実行レコー
ドが、安定に記憶されることを確実にするよう強制され
る。打切りに関しては、打切りは厳密には必ずしも必要
ではない。必要な情報は、既にＵＬＯＧに存在してい
る。しかしながら、打切りトランザクション用のＣＬＲ
がＲＬＯＧに永続的に書込まれるまで、ＵＬＯＧを破棄
することができない。ＲＬＯＧのＣＬＲは、しかる後Ｕ
ＬＯＧレコードの代りになる。非強制アプローチの望ま
しい特性は、メディア回復のために、リドゥー相のみが
必要なことである。更新は、更新がＡＬＯＧマージング
の間に処理されるように、適用される。全ての必要なリ
ドゥーは、ＣＬＲを適用することにより行われるので、
ＡＬＯＧを処理する際に独立したアンドゥー相が必要と
されることはない。第二のテーブルは、アクティブトラ
ンザクションテーブルと呼ばれるが、アンドゥーオペレ
ーションを行うのに必要な情報を記憶する。ダーティブ
ロックテーブル９００のように、アクティブトランザク
ションテーブルは、ＲＬＯＧのチェックポイント情報の
一部となるため、システムが破損しても情報が保存され
る。アクティブトランザクションテーブルは、アンドゥ
ーの必要なトランザクション、アンドゥー／リドゥーロ
ギングの状態、及びアンドゥープログレスを示す。充分
な情報を、アクティブトランザクションテーブルに符合
化して全てのシステム破損からの回復を確かなものにし
なければならず、破損には回復そのものが行われている
間に起きるものも含まれる。回復性能を改善する幾つか
の情報を、更に含んでいても良い。図１２は、アクティ
ブトランザクションテーブル１２００の例を示す。テー
ブル１２００は、レコード１２０５、１２０６、及び１
２０７を含んでいる。各々のレコードは、幾つかの属性
を含んでいる。ＴＩＤ属性１２１０は、トランザクショ
ンに関する一意の名前である。この名前は、ＲＬＯＧレ
コードに属するトランザクション識別子と同様のもので
ある。ＳＴＡＴＥ属性１２２０は、アクティブトランザ
クションが、二相コミットの一部として「準備された
（ｐｒｅｐａｒｅｄ）」かどうかを示す。複数のノード
が、トランザクションに関与する場合に、二相コミット
が用いられる。斯かるトランザクションをコミットする
ためには、全てのノードが、先ずトランザクションを準
備をして（相１）はじめてノードがトランザクションを
コミットすることができる（相２）。準備は、一つのノ
ードがコミットし、もう一方のノードが打切りの場合に
起きる部分コミットを回避するために行う。準備したト
ランザクションは、ロールバックすることが必要なこと
があるので、アクティブトランザクションテーブル１２
００に保存することが必要である。非準備（ｎｏｎ−ｐ
ｒｅｐａｒｅｄ）トランザクションと異なり、準備した
トランザクションを自動的に打切るべきではない。ＵＬ
ＯＧ ｌｏｇ属性１２３０は、トランザクション特定Ｕ
ＬＯＧの位置を示す。この属性は、ＵＬＯＧを見出す他
の方法がない場合には、存在してさえいればよい。例え
ば、ＴＩＤ１２１０は、トランザクション用ＵＬＯＧを
見出す代りの方法を提供する。ＨＩＧＨ属性１２４０
は、このトランザクション用ＵＬＯＧに書込まれた取消
しレコードに関する最新の動作である動作のＲＬＯＧ
ＬＳＮを示す。このＵＬＯＧレコードは、システムの破
損の後、トランザクションがコミットしていないのであ
れば、トランザクションをロールバックできるようにし
ておくため、ＲＬＳＮにしたがうＲＬＯＧレコードがリ
ドゥーの間に生成される必要があるように、ＲＬＳＮに
おけるＲＬＯＧ ＬＳＮを含んでいる。ＮＥＸＴ属性１
２５０は、取消す必要のあるトランザクションにおける
次の動作のＲＬＯＧ ＬＳＮを示す。ロールバックされ
ないトランザクションに関し、ＮＥＸＴ属性１２５０
は、トランザクションにより行われた最新の動作のレコ
ード番号である。あるシステムは、回復の間にＣＬＲを
取消すが、好ましい実施態様では、ＣＬＲＳは取消され
ない。そのかわり、ＣＬＲは、（ＴＹＰＥ属性を介し
て）タグをつけられ、そのためＣＬＲを回復の間に識別
することができる。ＵＬＯＧの順序性のため、アンドゥ
ーレコードがＵＬＯＧに強制されると、全ての先行する
アンドゥーレコードも永続的となることを保証される。
ＲＬＯＧは、ＵＬＯＧと同じオーダーで書込まれる。そ
のため、ＲＬＯＧが再実行の必要がないことが判ると、
例えばその効果は既に永久記憶装置のブロックのバージ
ョンにあるので、全ての先行するＲＬＯＧレコードは、
そのためＵＬＯＧにアンドゥーレコードを有する。これ
は、ブロックが書込まれた場合にＵＬＯＧが強制され、
そのため全ての先のＵＬＯＧレコードが同時に書込まれ
たために起こったのである。このトランザクションのた
めに再実行の間に取消しレコードが生成された場合に
は、全ての斯かる先行レコードは既にＵＬＯＧに存在し
ているはずであるため、それらのアンドゥーレコードは
破棄することができる。最新のＲＬＯＧに関してＵＬＯ
Ｇレコードが書込まれたそのＲＬＯＧのＲＬＯＧ ＬＳ
Ｎは、トランザクションに関するアクティブトランザク
ションテーブルエントリーのＨＩＧＨ属性１２４０（図
１２）に記憶される。この示されたリドゥーログレコー
ドに先行するＲＬＯＧレコードは、再実行の間に取消し
レコードを生成しないが、これはＲＬＯＧレコード全て
が、既にＵＬＯＧレコードを有しているからである。Ｈ
ＩＧＨにより示されるものの一つに追従するＲＬＯＧレ
コードは、生成されたアンドゥーレコードを有すること
が必要なことがある。アンドゥーレコードの生成は、各
トランザクションに関して既に適用されたアンドゥーレ
コードの数を注意深く監視すれば、やはり回避すること
ができる。したがって、アンドゥー「高水位」がアクテ
ィブトランザクションテーブル１２００のＮＥＸＴ属性
１２５０において符合化される。ＮＥＸＴ属性１２５０
は、トランザクションのために適用される次のアンドゥ
ーレコードのレコード数を含んでいる。正常な処理の
間、ＮＥＸＴ属性１２５０は、常にトランザクションの
最近のトランザクションに対するレコード数である。Ｎ
ＥＸＴ属性１２５０における値は、これらの動作がログ
されるにつれて増加する。アンドゥー回復の間、各々の
アンドゥー動作が、その先駆アンドゥーレコードを次の
アンドゥー動作として指定しながら、適用されて、その
ＣＬＲがログされた後、ＮＥＸＴ属性１２５０における
値は減少する。ロールバックの間にシステムの破損が起
きた場合には、ＮＥＸＴ属性１２５０により示されたレ
コード数よりも大きいレコード数のアンドゥーレコード
は、再び適用する必要がなく、そのため再実行の間に再
び生成する必要がない。最終結果は、再実行の間、レコ
ード数がＨＩＧＨ属性１２４０についての値とＮＥＸＴ
属性１２５０についての値との間に下がったＲＬＯＧレ
コードに関し、無効レコードが生成されるものである。
ＨＩＧＨ属性１２４０の値が、ＮＥＸＴ属性１２５０の
値よりも大きいか又は等しい場合にはいつでも、取消し
レコードを生成させる必要が全くない。ｂ．強制打切り 「強制」打切りに関しては、ＣＬＲは書込をしない。そ
の代り、ブロックが取消された場合は、ブロックそれ自
体が永久記憶装置に強制される。この種の打切りでは、
ブロックが、取消しオペレーションが行われる順序だけ
でなく、アンドゥーレコードを適用した結果も含むと云
う知識を、ＣＬＲを書込むことなく安定に保存すること
が必要なことである。目標は、数個のノードが、システ
ムの破損の結果としての一つのブロックについてのトラ
ンザクションを取消すことができるＮ−ログ取消しを支
持することである。したがって、各ノードにより行われ
る取消しオペレーションの進行は、安定して記録される
はずである。このことは、非強制の場合においてはＣＬ
Ｒが行うことである。ＣＬＲがない場合には、何か他の
テクニックが必要である。一つの代りの方法は、必要な
情報を、永久記憶装置に入るブロックに書込むことであ
る。ＣＬＲは、アンドゥー動作の完全な説明を含んでい
るか、この説明の全てが必要なわけではない。強制打切
りの場合において必要なことは、アンドゥートランザク
ションの結果及び取消しトランザクションのうちのどれ
が無効化されているかを記録することである。 ｇ．正常のオペレーション 正常のオペレーションの間、トランザクションの開始、
ブロックの更新、ブロックの書込、トランザクションの
打切り、トランザクションの準備、及びトランザクショ
ンのコミットのオペレーションは回復の要求に対してイ
ンパクトを有する。したがって、正常のオペレーション
の間、回復が可能であることを確実にするためロギング
に関する工程を設けなくてはならない。図１３は、トラ
ンザクションの開始オペレーションに関する手続１３０
０を含んでいる。先ず、ＳＴＡＲＴ ＴＲＡＮＳＡＣＴ
ＩＯＮ レコードをＲＬＯＧに書込まなくてはならない
（工程１３１０）。次いで、トランザクションは、「ア
クティブ」状態でアクティブトランザクションテーブル
１２００に入る（工程１３２０）。しかる後、トランザ
クション用のＵＬＯＧ及びその一致が、ＵＬＯＧｌｏｃ
１２３０に記録される（工程１３３０）。最終的に、Ｈ
ＩＧＨ１２４０およびＮＥＸＴ１２５０の値をゼロにセ
ットする（工程１３４０）。図１４は、ブロックの更新
オペレーションに関する手続き１４００を示している。
先ず、要求される同時制御を行い、更新用ブロックをロ
ックする（工程１４１０）。しかる後、ブロックが既に
キャッシュにあるのでなければ、ブロックは永久記憶装
置からアクセスされる（工程１４２０）。指示されたト
ランザクションは、キャッシュにおけるブロックのバー
ジョンの直後に行われる（工程１４３０）。次いで、ブ
ロックのＤＳＩが、動作に関するＡＳＩで更新される
（工程１４４０）。その後、ＲＬＯＧレコード及びＵＬ
ＯＧレコードは、更新用に構成され、それらの適当なバ
ッファに通知される（ｐｏｓｔｅｄ）（工程１４５
０）。ラストＬＳＮ９５０（図９）は、適当に更新され
る（工程１４６０）。その後、ＮＥＸＴ１２５０の値
は、個の動作のためのアンドゥーレコードのためのＵＬ
ＯＧ ＬＳＮにセットされる（工程１４７０）。ブロッ
クがクリーンだった場合には（工程１４７５）、ブロッ
クをダーティにする（工程１４８０）。しかる後、ブロ
ックをダーティブロックテーブル９００（図９）にすえ
る（ｐｕｔ）が、そのために回復ＬＳＮ９２０は、ＲＬ
ＯＧのためのＬＳＮにセットされている（工程１４８
５）。図１５は、ブロックがコミットしていないデータ
を含んでいる場合のブロックの書込オペレーションのた
めのフローダイヤグラム１５００を含む。先ず、ＷＡＬ
プロトコルを実施する（工程１５１０）。具体的には、
ブロックを永久記憶装置に書込む前に、全てのアンドゥ
ーバッファを、ブロックに関して対応するラスト用ＳＮ
９５８（図９）まで書込み、ＲＬＯＧバッファを、ラス
トＲＬＳＮ９５５（図９）まで書込む。ブロックに関し
てラストＲＬＳＮにおいて識別される各トランザクショ
ンのために、これらのトランザクション用のＨＩＧＨ
を、ダーティブロックテーブルからのラストＵＬＳＮ属
性により識別されたアンドゥーレコードのＲＬＳＮ属性
におけるＲＬＯＧ ＬＳＮの値にセットする。各ラスト
ＵＬＳＮは、ＴＩＤ経由及びＵＬＯＧ ＬＳＮ経由のト
ランザクションの両方を識別しなければならない。これ
らのログに関し、これらのレコードが既に書込まれてい
るので、書込みをする必要のない時がある。しかる後、
ブロックはダーティブロックテーブル９００から除かれ
（工程１５２０）、ブロックは、永久記憶装置に書込ま
れる（工程１５３０）。ブロック書込みレコードは、そ
の後ＲＬＯＧに書込んでブロックが永久記憶装置に書込
まれていることを表示してもよいが、これは任意であ
る。このブロック書込みレコードは、強制する必要がな
い。図１６は、トランザクションの打切りオペレーショ
ンに関するフローダイヤグラム１８００を含む。先ず、
ＮＥＸＴ欄１２５０における値によりしめされるアンド
ゥーレコードを設置する（ｌｏｃａｔｅｄ）（工程１６
１０）。その後、要求される同時制御をあたかも正常な
更新により処理されているかのように正確に係わり合う
（ｉｎｖｏｌｖｅｄ）ブロックについて行った（工程１
６２０）。次いで、現在取消しログレコードを、その指
定されたブロックに適用し（工程１６３０）、アンドゥ
ー動作に関するＣＬＲをＲＬＯＧに書込む（工程１６４
０）。その後、ＮＥＸＴ欄１２５０の値を減少させて、
次の適用すべきアンドゥーログレコードを「現在の」ア
ンドゥーレコードとして指標付けする（工程１６４
０）。幾らかのアンドゥーレコードがトランザクション
用のままで残っていると（工程１６６０）、制御は、工
程１６１０に戻る。そうでなければ、ＡＢＯＲＴレコー
ドをＲＬＯＧに設置する（工程１６７０）。その後、Ｒ
ＬＯＧを、永久記憶装置にＡＢＯＲＴレコードを介して
記憶させる（工程１６８０）。しかる後、ＵＬＯＧを破
棄する（工程１６９０）。最終的に、トランザクション
をアクティブトランザクションテーブル１２００（図１
２）から取り除く（工程１６９５）。図１７は、トラン
ザクションの準備オペレーションに関するフローダイヤ
グラム１７００を示す。先ず、トランザクション用の準
備ログレコードをＲＬＯＧに書込む（工程１７１０）。
次いで、ＲＬＯＧをこの準備ログレコードに強制する
（工程１７２０）。最終的に、「準備された」トランザ
クションの状態は、アクティブトランザクションテーブ
ル１２００において変更される（工程１７３０）。図１
８は、トランザクションのコミットオペレーションに関
するフローダイヤグラム１８００を示す。先ず、トラン
ザクション用のコミットログレコードが、ＲＬＯＧに書
込まれる（工程１８１０）。次いで、ＲＬＯＧをこのレ
コードに強制する（工程１８２０）。しかる後、ＵＬＯ
Ｇを破棄する（工程１８３０）。最終的に、トランザク
ションをアクティブトランザクションテーブル１２００
から取り除く（工程１８８０）。Ｈ．システム事故回復処理 前述の説明では、ログ、状態識別子及び回復の種々の態
様を説明してきた。これらは種々の方法で組み合わされ
て有効な回復計画になる。好ましい方法を以下に説明す
る。 １．分析フェーズ 分析フェーズは厳密には必要ではない。しかし、分析フ
ェーズなしでは、或る不必要な仕事が他の回復フェーズ
中行われるかもしれない。分析フェーズの目的は、最後
のチェックポイントに格納されたシステム状態をシステ
ムが事故を起こしたときのデータベースの状態にまでも
たらすことである。これを行うために、ＲＬＯＧ上の最
後の完全なチェックポイント内の情報が読み取られ、ダ
ーティブロックテーブル９００（図９）及びアクティブ
トランザクションテーブル１２００（図１２）に対する
値を初期化するのに用いられる。次いで、この最後のチ
ェックポイントに続くＲＬＯＧ記録が読み取られる。分
析フェーズは２つのテーブル上に事実上の経過記録した
動作をシュミレートする。特定の記録に関して説明する
と、スタートトランザクション記録がアクティブトラン
ザクションテーブルに関するスタートトランザクション
オペレーションと厳密に同一に処理される。更新ログ記
録はダーティブロックテーブル９００及びアクティブト
ランザクションテーブル１２００に関するブロック更新
と厳密に同一に処理されるが、更新は適用されない。補
償ログ記録は、ＮＥＸＴ属性１２５０の値が減らされる
点を除いては、ダーティブロックテーブル９００及びア
クティブトランザクションテーブル１２００に関するブ
ロック更新と厳密に同一に処理され、更新は適用されな
い。ブロック書込み記録に対して、ブロックはダーティ
ブロックテーブル９００から除去される。放棄トランザ
クション記録に対して、トランザクションがアクティブ
トランザクションテーブル１２００から削除される。準
備トランザクション記録に対して、アクティブトランザ
クションテーブル１２００中のトランザクションの状態
が「準備」に設定される。委任トランザクション記録に
対して、トランザクションはアクティブトランザクショ
ンテーブル１２００から削除される。アクティブトラン
ザクションテーブル１２００中のトランザクションに対
してＨＩＧＨ属性１２４０を復元するために、ＵＬＯＧ
はＵＬＯＧに書き込まれた最後の記録のＲＬＳＮ属性を
見い出すためにアクセスされねばならない。このＬＳＮ
はＨＩＧＨ属性１２４０に対する値となる。他の方法と
しては、ＨＩＧＨ属性１２４０に対する値を使用でき又
は更新できる。このＲＬＯＧ ＬＳＮは、トランザクシ
ョンのためにＵＬＯＧ上に既に記録された動作に対する
アンドゥー記録を発生させるのを避けるために使用でき
る。この値に続くトランザクションに対するＲＬＯＧだ
けに対して、アンドゥー情報が発生されねばならない。
したがって、ＮＥＸＴ属性１２５０は、（１）もしログ
記録が更新用ならば、トランザクションに対するＲＬＯ
Ｇに書き込まれたログ記録を持つ最後の動作のＲＬＯＧ
ＬＳＮ、又は（２）トランザクションに対した書き込
まれた最後のＣＬＲのＲＬＳＮ属性のいずれかである。
かくして、ＮＥＸＴ属性１２５０がＲＬＯＧの分析パス
中復元できる。ＮＥＸＴ属性１２５０は、ＵＬＯＧ記録
内のＲＬＳＮの値を介して、実行すべき次のアンドゥー
記録を識別する。ＮＥＸＴ属性１２５０は、また、無効
とするためにＣＬＲが書き込まれることによって補償さ
れた動作に対するアンドゥー記録を発生させるのを避け
るために用いることもできる。かくして、アクティブト
ランザクションテーブル１２００内のトランザクション
に対するＮＥＸＴ属性１２５０より大きな、ＲＬＯＧ
ＬＳＮに対するリドゥー記録は、存在するＣＬＲが回復
のリドゥーフェーズ中に加えられるときにアンドゥー操
作がなされるので、リドゥー記録に対して発生されたア
ンドゥー情報を持つ必要がない。 ２．リドゥーフェーズ リドゥーフェーズでは、再構成されたダーティブロック
テーブル９００内にダーティとして示されるすべてのブ
ロックがキャッシュ（データ交換用メモリ）に読取られ
る。この読取りは、ＲＬＯＧの走査とオーバーラップし
てまとめて行うことができる。幾つかのブロックが、ブ
ロックがローカルリドゥーに関連する必要があるか否か
を決定するために、数個のノードによって読み取られる
が、ノードのうちの一つだけがブロックに対するリドゥ
ーを実際に行う。しかし、このことは、ブロック書込み
記録をＲＬＯＧに書き込むことによってほぼ完全に避け
ることができる。ブロック書込み記録は強制される必要
がないので、ブロックは、このことが必要ないとき、と
きには持続性記憶装置から読み取られる。しかし、この
ような読取りに対する不利益は小さい。各ブロックのワ
ンログ変形版が持続性記憶装置に存在し、ただ一つだけ
のノードはブロックのＤＳＩに等しいＢＳＩを持つ記録
をそのログに持つことができる。このノードは、ブロッ
ク上でリドゥー処理を独立に行うものである。その結
果、リドゥーは、各々がそれ自体のＲＬＯＧを持つシス
テムの別個のノードによって並列に行われる。並行制御
はここでは必要がない。リドゥーフェーズは、リドゥー
を必要とするダーティブロックにアクセスし、ＲＬＯＧ
記録中に示される変更を転記することによってノードの
キャッシュの状態を再構成する。得られたキャッシュは
事故当時の状態のダーティブロックを含む。リドゥーを
受けたブロックはロックされる。得られたダーティブロ
ックテーブル９００及びアクティブトランザクションテ
ーブル１２００が同様に再構成される。リドゥーを受け
たブロックはロックされる。分析フェーズ後のダーティ
ブロックテーブル９００内に示されるダーティブロック
に対するリドゥー記録だけが再行される必要があるかも
しれない。ＲＬＯＧの反復走査はダーティブロックテー
ブル９００に記録された最も早期の回復ＬＳＮ９２０で
スタートする。これはリドゥーに対して安全な時点であ
る。その結果、持続性記憶装置に書き込まれてからの各
ブロックに対する更新のすべてをリドゥー走査に含ませ
ることが確保される。前述のように、ＲＬＯＧ記録をそ
の対応するブロックに加えようとするとき、生じること
があるのは２つの場合だけである。もしＲＬＯＧ記録の
ＲＳＩがブロックのＤＳＩに等しくなければ、経過記録
した動作が無視される。もしその代わりＲＬＯＧ記録の
ＢＳＩがブロックのＤＳＩに等しければ、適当な反復動
作が行われる。リドゥーフェーズは履歴を反復すること
に関連する。ブロックの回復ＬＳＮによって示されるＲ
ＬＯＧ記録でスタートするすべての更新ＲＬＯＧ記録
は、トランザクションに属するものがその後無効とされ
る必要があるものであるときでさえ、加えられる。ここ
での原則は、反復すべき動作に対して、初期動作が加え
られた状態と厳密に同一の状態でブロックに反復動作を
加える必要があることである。ＲＬＯＧ記録をブロック
に加える際、ブロックのＤＳＩが反復された動作に対す
るＡＳＩに更新される。ノードは、ＲＬＯＧ動作が加え
られるとき、ブロックに適当なロックを要求する。リド
ゥーは、その他のノードがロックを要求しないので、ロ
ックが許されるのを待つ必要はない。しかし、要求され
たロックはアンドゥーのスタート前に許されねばならな
い。このことが並行制御をアンドゥーフェーズに対して
初期化する方法である。もしＲＬＯＧに経過記録された
通常の更新がリドゥーを必要とするならば、ＵＬＯＧ記
録をそのために発生させる必要がある。ＨＩＧＨ及びＮ
ＥＸＴの値の間のＬＳＩを持ったトランザクションに対
するすべてのＲＬＯＧリドゥー記録がそれらのために発
生されるアンドゥー情報を持つようになる。この情報
は、好ましくは、これらの記録を識別するＲＬＳＮ属性
を持ったＵＬＯＧ記録を含む。もし動作が反復されるの
に要求されないならば、不適当に発生されたかもしれな
い早期のアンドゥー記録は、ＵＬＯＧがこの動作に対す
るＵＬＯＧ記録までＷＡＬを介して持続性記憶装置に書
き込まれているので、破棄される。ＨＩＧＨ属性１２４
０は、この時点でこの記録のＲＬＯＧ ＬＳＮで更新さ
れ、ＲＬＯＧＬＳＮは、もしチェックポイントがとられ
るならば、万一現在の回復プロセスが失敗するとして
も、次の回復中冗長性のアンドゥー記録発生を減らす。
各トランザクションに対して、発生されたアンドゥー記
録がトランザクションのＵＬＯＧバッファに記録され
る。これらのアンドゥー記録プラスそのＵＬＯＧ及びＣ
ＬＲのアンドゥー記録により、能動トランザクションを
ロールバックすることが確保される。その結果、リドゥ
ーフェーズの終了時には、すべての必要なアンドゥーロ
グ記録が存在する。３．アンドゥーフェーズ アンドゥー回復はＮログである。その結果、アンドゥー
回復フェーズは、それがトランザクションロールバック
中必要とされるのと同時に並行制御を必要とする。多数
のノードが同一のブロックに対してアンドゥー変化を必
要とするかもしれない。通常のデータベース活動は、一
旦アンドゥーフェーズが始まると、再開することができ
るが、通常の活動はトランザクション放棄を並行して進
めることができる。適当なロッキングのすべてがこの代
わりこのこと許容する。このことは、すべてのノードが
リドゥーフェーズを完了するまで、アンドゥーフェーズ
をスタートしないことによって確保される。この結果、
リドゥー中の任意のノードによって要求されたすべての
ロックがアンドゥーの始まる前に適当なノードによって
保持される。最初に、アクティブトランザクションテー
ブル１２００中のすべてのアクティブトランザクション
（しかし準備されていないトランザクション）がロール
バックされる。アンドゥー処理は、１つの例外を除い
て、厳密に放棄されたトランザクションをロールバック
するのと厳密に同一に進行する。あるアンドゥー記録
は、それらの記録が再行中に再生されるアンドゥーバッ
ファ中、又は持続性記憶装置中のＵＬＯＧ中の両方に存
在する。これらの複製のアンドゥー記録が検出されて無
視される。このことは次のアンドゥー記録を得るために
ルーチン内に閉じ込められ、その結果、事故当時に能動
であるアンドゥートランザクションに対するコードの残
りは、システムが通常動作するときのトランザクション
を無効とするために必要なコードと実質的に等しい。こ
れらのソース中の冗長のＵＬＯＧ記録は、すべてのアン
ドゥー記録が適用されるＲＬＯＧ記録のＬＳＮによって
識別されるので、消去される。Ｖ．結 論 別個のＲＬＯＧ及びＵＬＯＧを使用することにより、ア
ンドゥー情報が絶対に必要なときにＵＬＯＧに記憶され
ることを確実にすることによりロッギングオペレーショ
ンの最適化が可能となる。必要性が生じるときに対する
試験は、非委任トランザクションに関連する変化に必要
な情報のすべてが記憶されるか又は再形成されるかであ
る。さらに最適化は回復中になされる変化のカウントを
保持することによって得られる。変形及び変更がこの発
明の精神及び範囲から逸脱することなくなされうること
は当業者にとって明らかである。例えば、図１に示すア
ーキテクチャは異なったものでもよく、各ノードに割り
当てられるアンドゥー及びリドゥーログの数は変更でき
る。本発明はそのような変形及び変更を含むものであ
り、そのような変形及び変更は添付した特許請求の範囲
の範囲内に入るものである。

【図面の簡単な説明】

【図１】本発明の実施例なためのコンピュータシステム
を示す概略図、

【図２】ブロック及びページを示すディスクの一部の概
略図、

【図３】レドログの概略図、

【図４】アンドゥーログの概略図、

【図５】アーカイブログの概略図、

【図６】レドオペレーションの実行のためのフローチャ
ート、

【図７】クラッシュからの回復を実行するためのフロー
チャート、

【図８】アーカイブログを組合せるためのフローチャー
ト、

【図９】ダーティーブロックテーブルの概略図、

【図１０】アンドゥーログの使用を最大利用すべくライ
ト−アヘッドプロトコルを実行するためのフローチャー
ト、

【図１１】補正ログレコードの概略図、

【図１２】アクティブトランザクションの表、

【図１３】トランザクション開始オペレーションのため
のフローチャート、

【図１４】ブロック更新オペレーションのフローチャー
ト、

【図１５】ブロック書込オペレーションのフローチャー
ト、

【図１６】トランザクションの放棄オペレーションのた
めのフローチャート、

【図１７】トランザクションの準備オペレーションのた
めのフローチャート、

【図１８】トランザクションの変更オペレーションのた
めのフローチャート。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ピーター エム スピロ アメリカ合衆国 ニューハンプシャー州 03062 ナシュア ウェイクフィールド ドライヴ １ (72)発明者 アショーク エム ジョッシー アメリカ合衆国 ニューハンプシャー州 03062 ナシュア セント ジェームズ プレイス 718 (72)発明者 アナント ラグハーヴァン アメリカ合衆国 ニューハンプシャー州 03062 ナシュア ビー ベイ リッジ ドライヴ 26 (72)発明者 ティルマンジャーナム ケイ レンガラジ ャン アメリカ合衆国 ニューハンプシャー州 03062 ナシュア ６ ハムレット ドラ イヴ ５

Claims (3)

【特許請求の範囲】
1. 【請求項１】 複数のノードとセクションに分割された
   非揮発性記憶媒質とを有するデータ処理システムであっ
   て、複数のノードがトランザクションによってセクショ
   ンに変化し、各トランザクションは少なくとも１つのノ
   ードによって少なくとも１つのセクションになされた一
   連の変化から成り、各トランザクションはもしトランザ
   クション及びトランザクションの完了の指示によって行
   われた変化の記録が記憶媒質に確実に記憶されるならば
   委任され、さもないと委任されないデータ処理システム
   において、複数のノードのうちの最初の１つは、 少なくとも１つのセクションのコピーを保持するメモリ
   と、 メモリに接続されて、メモリ内の少なくとも１つのセク
   ションのコピーに変化する処理手段と、 処理手段によってメモリ内の少なくとも１つのセクショ
   ンのコピーになされる変化の順次リストを含む少なくと
   も１つのアンドゥーバッファとを有し、各アンドゥーバ
   ッファは最初のノードによって異なった委任されてない
   トランザクションになされた変化に対応し、 対応するノード内の処理手段によってメモリ内の少なく
   とも１つのセクションのコピーになされた変化の順次リ
   ストを含むリドゥーバッファと、 メモリに接続されて、少なくとも１つのセクションのコ
   ピーを記憶媒質に格納する記憶手段と、 アンドゥーバッファ及びリドゥーバッファに接続され
   て、アンドゥーバッファ及びリドゥーバッファの一部を
   記憶媒質に選択的に格納して委任されてないトランザク
   ションのすべての変化の効果を除去しかつ委任されたト
   ランザクションのすべての変化の効果を再形成するのを
   確保するログ管理手段とを有することを特徴とするデー
   タ処理システム。
2. 【請求項２】 請求項１記載のノードにおいて、ログ管
   理手段は記憶手段が対応する委任してないトランザクシ
   ョンからの変化を格納する前に記憶媒質内の復元バッフ
   ァの内容を格納する手段を有することを特徴とするノー
   ド。
3. 【請求項３】 請求項１記載の最初のノードにおいて、
   ログ管理手段は反復バッファに記録された最初のトラン
   ザクションに対する変化のすべてと最初のトランザクシ
   ョンの完了の指示とを記憶媒質に確実に格納し、それに
   よって最初のトランザクションを委任させる手段を有す
   ることを特徴とするノード。