JPH07500203A - ロールバックのためのデータ・バックアップ・システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 ロールパックのためのデータ・バックアップ・システム（技術分野） 本発明はコンピュータに関し、特に耐故障コンビニ−幻こ関する。

（背景技術） 過去１０年にわたり、典型的に「パーソナル・コンピュータ」また：マ「ワーク ステーション」と呼ばれる小型コンピュータ・システム力１、重要な商業的用途 のため益々使用されてきた。コンピュータにおいて処理されるデータＩｔ、会社 書ことって非常に重要であり、不良データおよびコンピュータにおける故障（ま 受入れ１１１（、％稼働の停止、経理的損失、あるいは重要なＰＣアプリケーシ ョンにお番するデータ損失を不可避的にもたらす。

耐故障アーキテクチャは、システムに冗長資源を提供する。１つの資源が障害を 生じると、別の資源がその代わりに割当てられて停止することなく、ある＆ｌｔ 最小限の停止でアプリケージジンの処理を継続する能力を与える。耐故障設計の 目標は、システムが所ぢの数の障害の存在時にその所定の機能を遂行することを も高度に信頼し得るものではなく、あるいは高い信頼性１ま必ずしも耐故障であ ることを要求するものでもない。耐故障システムに対する決定的な目標ｉ１．１ つの障害がシステム障害の原因となり得ないことである。

エラーの回復は、耐故障システムの重要な特質である。「エラーの回復」シマ、 システムの継続される稼働のため受入れ得る状態への補正である。システム回復 方式は、システムの運転を前の正しい状態即ち回復点へ復帰する。例えＩｆ、レ ジスタおよびメモリーを保管された状態へ復元し、キャッシュ・メモ１ノーを無 効イヒし、キャッシュ・データをディスクから復元させることにより、プロセッ サ力く回復点へ戻される。

データベース管理システム（ＤＢＭＳ）は、トランザクションと関連する１つの 形態のエラー回復を用いる。トランザクションは、初めと終りとを有する一連の 処理ステップである。トランザクションは、「遂行され」　（恒久化され）ある いは「打切られる」　（データベースにおける記録が元の状態へ戻される）。少 なくとも１つのＤＢＭＳは、ユーザが多数のトランザクションをロールパックす ることを許容する。

エラー回復の１つの重要な特質は、故障後のハード・ディスクまたは他の大容量 記憶媒体におけるデータの復元である。典型的な故障は、新たなデータが単に部 分的にハード・ディスクに書込まれ前のデータが部分的に書込み動作に重ね書き された書込み動作中における停電、あるいはオペレータの誤りにより誤ったデー タをハード・ディスクへ書込ませることを含み得る。いずれの場合も、ユーザは アプリケーションを続行するため前の既知の状態へ戻ることを欲する。

従って、ハード・ディスク・ドライブに影響を及ぼすエラーからの有効かつコス ト効率のよい回復方法を有する耐故障システムに対する要求が産業界に起生じた 。

（発明の概要） 本発明によれば、ハード・ディスクのエラー回復における著しい改善を含む耐故 障コンピュータ・システＬ１が提供される。

本発明のコンピュータ・システｔ１は、定義された監査区画を持つ大容量記憶装 置を含む。処Ｊ１回路が、データを変更する装置に対するアクセスを検出して、 以降の復元のため監査区画に変更されるデータを記憶する。

本発明の一実施例においては、監査区画は、監査ヘッダ区画と監査バッファ区画 とを含んでいる。この監査ヘッダ区画は、監査バッファ区画の構成についての情 報を保持し、監査バッファ区画は、システムの事象に関する情報を保持する。

システム事象は、これに限定されるものではないが、始動条件（監査サブシステ ムを可能状態にするための）と、パワーオンおよび電源障害、リブート、休止（ ユーザが所要のハード・ディスク状態を表示するためのマーカを呼出した）、お よび監査（データ変更）を含む。

本発明は、ディスクの耐故障性に対する有効かつ信頼し得る、コスト効率のよい アーキテクチャを提供する。

本発明およびその利点の更に完全な理解のため、添付図面に関して以降の記述を 参照する。

（図面の簡単な説明） 図１は、本発明のコンピュータ・システム・ハードウェアの図、図２８および図 ２ｂは、ハード・ディスクおよびそれに定義された監査区画の割付けを示す概略 図、 図３は、監査マーカを示す図、 図４は、監査サブシステムのユーザ構成を示すフロー図、図５は、変更要求を示 すフロー図、 図６は、アーカイブ手順を示すフロー図、図７は、ロールパック手順を示すフロ ー図、および図８は、図７のフロー図のプロセス監査事象ブロックを示すフロー 図である。

（実施例） 本発明の望ましい実施態様およびその利点については、図面の図１乃至図８を参 照することによりよく理解されよう。図面においては、各図の類似および対応部 分に同じ番号が用いられる。

図１は、本発明の望ましい実施態様の図を示している。コンピュータ・システト １０は、キーボード１２の如き入力装置と、処理装置１４と、フロッピー・ディ スク・ドライブ１６（あるいは、他の取外し可能媒体装ｍ）と、１つ以上のハー ド・ディスク１８（あるいは、他の大容爪記憶装ｇ２）とを含む。処理装置１４ からの出力は、モニター２０上に表示される。望ましい実施例では、非遮断性電 源（ＵＰＳ）２２が、処理装置１４と電源との間に接続され、停電の際に暫定電 力を提供する。また、コンピュータ・システム１０は、２つの電源（図示せず） を用いて、バックアップ電源が常にえられるようにする。

耐故障コンピュータ・システムの目標は、１つの資源の障害がアプリケーション の継続される処理を著しく遮断することがないように、システムに冗長資源を提 供することにある。耐故障システム、の設計は、使用される冗長および耐故障対 策により影響を受ける、性能、複雑さ、コスト、大きさおよび他の制約を配慮し なければならない。耐故障対策は、下記の要素の１つ以上を含む。即ち、エラー の検出およびマスキング、エラーの拘束、エラーの回復、診断、および修理／再 構成である。これらの概念については、以下に記述する。

エラー検出およびマスキング システムの正常な動作中のエラーまたはその症状の検出は、耐故障アーキテクチ ャに対する基礎である。構成要素の複雑さは、エラーを正しい値から弁別する能 力に影響を及ぼす。レジスタおよびメモリーの如きデータ記憶要素に生じるエラ ー、またはバスまたはネットワーク・リンクを介するデータ伝送中のエラーは、 データを生成しあるいはこれを変形するモジュール内に生じるエラーよりも容易 に検出される。エラーの検出および（または）マスキングのため、下記の方法が 用いられる。即ち、 １、エラーの検出およびマスキングのためのモジュールの重複２、プロトコルお よびタイミングの検査３、エラーの検出および補正コード（ＦＣＣ）４、エラー 検出パリティ検査コード ５、自己検査ロジック（即ち、投票ロジック）。

エラーのマスキング即ち補正は更に難しいが、正常なシステム動作と共在させる ことができる。コード化理論は、ディジタル・システムにおけるエラー検出およ び補正のための最も広範に開発された機構であり、典型的に他のエラー検出およ び補正方式よりも少ない冗長性で済む。

エラーのゼ速 エラーの拘束は、システトにおける定義境界に跨って伝搬するエラーの阻止であ る。重要なシステト資源を保護して回復時間を最小化するため、エラーはそれが 生じたモジュールに拘束されねばならない。典型的には、エラー拘束境界は、エ ラーが交換モジュールに対してできるだけ低いレベルに拘束された状態で階層的 に定式される。

継続動作のため受入れ得る状態へのシステｔ１の補正は、「エラー回復」として 知られる。大半のシステム回復方式は、システム動作を前の正しい状態即ち回復 点まで復元する。プロセッサは、レジスタおよびメモリーをセーブされた状態に 復元してキャッシュ−メモリーを無効化し、キャッシュされたデータをディスク から強制的に復元させることにより、回復点ヘロールバックされる。

ゆるやかに結合されシステムにおいては、予備プロセッサが再始動点を規定する 予め決められた検査点で周期的に更新される。マスター・プロセッサが故障した 後に予備機がタスクの制御を与えられると、処理はタスクの初めからではな（再 始動点から継続することになる。

臆断 エラーが起生して回復された後、ユーザは診断を知らされる、即ち診断を与えら れねばならない。この診断は、ユーザにシステムにおいて検出されたエラー条件 に対して責任のある障害モジュールの識別を与えて、このモジュールが修復ある いは交換できるようにする。

修理／再構成 障害要素、またはそれを正常な動作中にバイパスさせるための機構の取外しある いは交換は、全体的な耐故障構成のため必要である。多くの再構成対策は、全て のシステム構成要素を用いて有効な作業を行う。障害が生じると、システム性能 は、残りの資源間への作業負荷の再分配により低下させられる。別の対策は、以 降の耐故障性に影響を及ぼすシステム冗長性を少なくすることである。

交換装置は、システムに対して「活性状態」または「休止状態」で付設すること ができる。活性状態の予備機は、交換すべきモジュールと同じ動作を同時に実行 して、これがシステムに切換えられる時初期設定を必要としない。休止状態の予 備機は、給電されないかあるいは他のタスクのため使用され、システムに切換え られる時初期設定を必要とする。「休止状態」の予備機の理念は、一般に低いハ ードウエアーコス）−であり、従って、多くの状況において選好される。

耐故障コンピュータ・システムの重要な特質は、故障後に前の既知の状態へ戻す その能力である。特に、ハード・ディスクにおけるデータは、時にアプリケーシ ョン・プログラムの動作中に変更され、あるいはオペレーティング・システ１１ によって変更される。システムの故障は、貴重な情報が失われるかあるいは破壊 される結果をもたらし得る。

図２ａは、ハード・ディスク１８の割付けの概略図を示している。ハード・ディ スクは、あるハード・ディスクは１枚の円盤を含むが、時には各面に記録媒体を 持つ幾枚かの円盤からなる。ハード・ディスクは典型的には磁気媒体であるが、 光ディスクの如き他の技術もまた本文に示される本発明を盛込むことができる。

図２ａにおいては、ディスク２４が監査区画２６を持つように示される。この監 査区画２６は、監査サブシステムにより使用されるため留保されるハード・ディ スクの部分である。典型的には、前記監査区画は、ハード・ディスクの容量の少 な（とも２％からなる。

図２ｂに示されるように、監査区画２６は、監査環境を追跡してシステム内で、 　生じる選択されたある事象を記憶するため使用される。監査区画２６は、２つ の部分、即ち、監査ヘッダ２８と監査バッファ３０とからなっている。監査ヘッ ダ２８は、監査バッファ３０、アーカイブ媒体（以下本文で述べる）および監査 サブシステムの一般環境を管理するため使用される情報を含んでいる。監査バッ ファは、故障の事象でシステムを前の状態に復元するため使用される事象を記憶 する。

監査バッファ３０は、監査マーカ（図３参照）が記憶される円形バッファである 。

事象およびデータは、監査マーカ・フォーマットを用いて監査バッファ３０に記 憶される。望ましい実施例においては、監査区画は、一連のディスクのセクター として構成され、第１のディスク・セクターが監査ヘッダ２８を保持し、次のセ クターが監査バッファ３０を保持する。

監査ヘッダは、表１に定義された多数のフィールドからなっている。これらのフ ィールドにおける情報は、監査バッファ３０が構成され処理される方法を制御す るため使用される。

データ・ラベル　データの記述 Ｖｅｒ　監査区画に生成される監査システムのバージョンＮａｍｅ　監査区画が 有効であるとの判定を助けるネームＨｄｒＳｃｑＮｕｍ　ヘッダがディスクに書 込まれる度に使用される連番Ｔｉｍｅ　監査区画が生成されまたはリセット（消 去）された時点 ＣＩｏｓｃＥｒｒ　最後の監査エラー。故障が生じたかどうかを判定するため用 い、監査ヘッダがハード・ディスクで更新される前にシステムが停止する Ｓ　ｃ　ｑ　Ｎ　ＩＩ　ｍ　使用する次のアーカイブ・ディスクの連番ＱＳｅｑ Ｎｕｍ　ユーザの体１ヒマーカを含む最後のアーカイブ・ディスク Ｆｌｕｓｈ　監査ヘッダが次に得られる機会にディスクへ書込まれることを必要 とするシステムに対する注記（メモリーのみで使用される） ＬａｂｃｌＬｏｃ　ディスクにおけるラベルの物理的場所（監査ヘッダ）ＢｔＪ ｆ’Ｌｏｃ　ディスクにおける監査バッファの初めの物理的場所ＣａｃｈｃＬｏ ｃ　ディスク・キャッシュにおける監査バッファのその時の場所 ＣＬ　ｏ　ｃ　バッファにおける最後のデータの物理的場所。バッファの次の更 新がこのアドレスで始まる。これは、セクター弔位でセクター上に１置かれる。

ＣＬｏｃｋＢｙｔｅｓ　現在いるその時のセクターにおけるその時のオフセット （ＣＬｏ　ｃを参照） ＭａｙＳｃｃｔｏｒｓ　監査バッファを構成するセクター数。監査ヘッダを含む 第１のセクターは含まない。

ＭａｘＵｓａｂｌｃ　監査バッファがこの点を取る時、アーカイブ・システムが アーカイブ動作を開始する。

ＭｉｎＵｓａｂｌｃ　監査バッファがこの点を取る時、アーカイブ・システムが アーカイブ動作を停止する。

ＵｓｃｄＳｃｃｔｏｒｓ　監査バッファで使用されたセクター数ＣｕｒＳｅｃｔ ｏｒ　監査バッファによりその時使用される論理セクター数 ＦｉｒｓｔＭａｒｋｃｒ　第１のマーカ・ヘッダの内容Ｆｉｒｓｔｌｌａｒｋｃ ｒＬｏｃ　監査バッファにおける第１のマーカの場所ＦｉｒｓｔＭａｒｋｃｒＯ ｆｆｓｃｔ　第１のマーカを含むセクターのオフセットＦｉｒｓｔＭａｒｋｃｒ Ｓｃｃｔｎｒ　第１のマーカを含む論理セクターＬａｓｔＭａｒｋｃｒ　最後の マーカ・ヘッダの内容ＬａｓｔＭａｒｋｃｒＬｎｃ　監査バッファにおける最後 のマーカ場所ＬａｓｔＭａｒｋｃｒＯＨｓｅｔ　最後のマーカを含むセクターの オフセット監査バッファ３０は、ハード・ディスクへの書込み、電源障害、パワ ーオンおよびシステム・リブートの如き事象を記録するため使用される。事象は 更に表４に記述される。各事象は、図３に示される監査マーカで捕捉される。監 査マーカ３２は、マーカ・ヘッダ３４と、マーカ・トレーラ３６とを含む。この マーカ・ヘッダは、起生した事象の種類と時間を記述するため用いられる。何か のデータが捕捉されると、これはマーカ・ヘッダ３４に付記される。マーカ・ヘ ッダ・フィールドが表２に示される。

Ｅｖｅｎｔ　（Ｓｔａｔｅ）　生じた事象の種類Ｍａｒｋｅｒ　ＣＲＣ？−力の 周期的冗長性検査（ＣＲＣ）Ｔｉｍｅ　事象が生じた時間 Ｒｃｂ　妥当するならば、データを持って来た／％−ド・ディスクの場所 ＭｓｇＬｃｎ　マーカと関連する任意のテキスト・ストリングの長さ ＭｓｇＤａｔａ　マーカと関連する任意のテキスト・ストリング。事象が監査事 象である、即ちＭｓｇＬｅｎ＝Ｏならば、このフィールドは空である。このテキ スト・フィールドが、変更照合のためのマークについての注記でユーザの休止マ ークの生成を許容する。

５ｃｃｔｏｒＤａｔａ　場所Ｒｃｂにおけるハード・ディスクから読出されたデ ータ。事象が監査事象でなければ、このフィールドは空である。

マーカ・トレーラ３６は、監査バッファ３０を逆の順序でアクセスするため使用 される。マーカ・トレーラ３６は、マーカ・ヘッダの場所を判定するため要求さ れる事象の種類および他の情報を含む。マーカ・トレーラ・フィールドは、表３ に示される。

Ｅｖｅｎｔ　（Ｓｔａｔｅ）　生じた事象の種類ＭｓｇＬｃｎ　マーカと関連す る任意のテキスト・ストリングの長さ。

Ｍａｒｋｅｒ　ＣＲＣｖ−力の周期的冗長性検査（ＣＲＣ）。

監査区画は、どんな数の事象に関する情報も記憶するため使用される。望ましい 実施例に支持される事象については、表４に関して記述される。コンピュータ・ システム１０は、事象に応答する適当な信号を生成するための回路を提供する。

例えば、電源は、ＵＰＳがコンピュータ・システム１０を動作させ続ける場合で も、ＡＣ電力が無くなる時信号を生じる。また、システム・リブートに対する割 込みは、リブートの実行に先立ち捕捉され記憶される。

５ｔａｒｔ　監査バッファの始動。これは、監査区画が生成される時か、監査バ ッファがリセット（クリヤ）される時にのみ生じる。

Ｃｏｎ　ｔ　１ｎｕｃ　監査のアーカイブ部分が監査バッファを完全に消去する ならば、この事象は監査バッファに置かれる。

Ａｕｄｉｔ　ハード・ディスクにおけるデータが変更される時にこの事象が生じ る。事象は、τ！Ｆ込みが生じる前にディスクの１つのセクターに存在したデー タを保持する。

Ｎｏｐ　一般充填事象 Ｐｏｗｃ　ｒａｎ　システムがパワーオンを検出した。電力がオフされ、元に戻 った。

ＰｏｗｃｒＦａ　ｉ　Ｉ　システｔ１が電力障害を検出した。電力はオンである がＡＣは停電した。

Ｒｃｂｏｏｔ　システ１１がリブートされた。

Ｑｕｉｃｓｃｃ　ユーザまたはアプリケーションが、この時システムに監査バッ ファにマーカを入れることを要求した。

監査サブシステ１１はバックグラウンドで働き、ユーザはインパクトを蒙らない 。

監査サブシステ１１は、ユーザにより可能状態あるいは不能状態にすることがで きる。システムは、監査サブシステムが可能状態にあるならば、「オンライン」 と見做される。望ましい実施例においては、監査サブシステムはシステムＢ１０ ５（基本人出カシステ１１）の一部であるが、メモリーに常駐するプログラムで もよい。

即ち、 １、監査サブシステムを可能状態にするかどうか。

２、監査サブシステムが可能状態にされるならば、アーカイブ動作を可能状態に するかどうか。

３、（利用可能な監査記憶スペースのある比率として定義される）取外し可能媒 体に対してアーカイブ・データを開始する時、アーカイブ・サブシステムが可能 状態にされるかどうか。

図４は、監査サブシステ１１のユーザ構成を記述するフローチャートを示す。判 断ブロック３８において、ユーザは監査システムを可能状態にするかどうかを決 定する。監査システムが可能状態にされるならば、これはハード・ディスクに事 象を記憶して、故障の場合にシステムを復元する（ブロック４０）。さもなけれ ば、監査システムが可能状態にされなければ、ハード・ディスクの動作は正常で ある。監査システムが可能状態にされるならば、ユーザは、判断ブロック４２に おいてアーカイブ・サブシステムを可能状態にする選択を有する。アーカイブ・ サブシステムは、監査区画からの桁溢れ情報をフロッピー・ディスクの如き取外 し可能な媒体に対して記憶する。この選択は、ハード・ディスクの状態を前の状 態にロールバックする機会を増す（ブロック４４）。アーカイブ・サブシステム は、監査システムが可能状態にされる場合にのみ選択することができる。データ が取外し可能媒体に書込まれる時の選択は、監査記憶スペースの比率（即ち、監 査区画２６の大きさ）で規定されることが望ましい。例えば、書込みの開始およ び停止のための典型的な値は、それぞれ８０％および５０％である。このため、 アーカイブ・データを取外し可能媒体に書込むプロセスは、監査サブシステムが 監査バッファ３０の８０％充填した時に開始し、監査バッファ３０の５０％が利 用可能である時に停止する。

「変更要求」は、ハード・ディスクの内容を修正するアプリケーションからの要 求である。図５は、変更要求に応答して監査サブシステムにより行われる動作の シーケンスを記述するフローチャートである。判断ブロック４６において、監査 サブシステｌ−は、変更要求が生成されるまで待機する。コンピュータ・システ ム１０がハード・ディスク１８に書込む必要がある時、この要求は、（監査が可 能状態にされるものとして）ディスクにおけるデータが変更される前に、監査サ ブシステムへ送られる（ブロック４８）。ディスクにおいて変更されるデータは 、一時に１セクターずつ読出される（ブロック５０）。各セクターはディスクか ら（あるいは、もしあれば、ディスク・キャッシュから）読出されて、「イメー ジ前の」データとして監査バッファに入れられる（ブロック５２）。アプリケー ションが１つ以」二のセクターとなる書込みを要求するならば、各セクターは独 立的な要求として処理される。監査サブシステムの処理爪を増加するため、監査 サブシステムは、非常に遅いハード・ディスク−にの監査区画へのデータの書込 みに先立ち、データを半導体メモリー・バッファに付加する。メモリー・バッフ ァが一杯である時（判断ブロック５４）、あるいは処理装置１４が別の目的のた めメモリー−バッファに使用されるメモリーを要求する時、監査サブシステムは 、メモリー・バッファに記憶されたデータをディスク上の監査バッファ３０の終 りに書込み（ブロック５６）、（メモリー・バッファにおける）監査ヘッダを更 新して変更を反映する（ブロック５８）。

メモリー・バッファが望ましい実施例に提供されるが、データはまたハード−デ ィスクにおける監査区画２６へ低い速度でｉｉ：ｊ接ｉ！Σ込むこともできる。

データ保全のため、ＵＰＳが設けられなければ、揮発性メモリー・バッファは用 いるべきではない。

メモリー・バッファにおけるデータの記憶は、３つの段階で行われる。マーカ・ ヘッダ３４は、メモリー・バッファで生成されこれに記憶される。セクター・デ ータが記憶されると、これはマーカ・ヘッダへ付加される。最後に、マーカ・ト レーラ３６が記憶される。完全な動作がマーカ３２を生成する。

システムは、マーカの種類（事象の種類と対応する）、マーカのＣＲＣｌその時 のシステム時間、およびセクター・データがハード・ディスクから得た場所、か ら監査ヘッダを構成する。ＣＲＣは、ＣＲＣアルゴリズムにマーカの一部を送る ことにより生成される。即ち、 ｘ＋　（ｘ＊２）　但し、Ｘはマーカからのワードである。

アルゴリズムに送られるマーカの各部は、下記の順序である。即ち、前のマーカ からのシード（ｓｅｅｄ）（区画が生成されるかクリヤされるならば、２９．８ ７８がシードとして用いられる）、セクター・データ（マーカが監査事象と対応 するならば）、一時に１ワード、マーカがアルゴリズムを介して処理される時間 、および何らかのメツセージ・テスト（休１に事象に対する）、である。

書込み要求の全てのセクターが処理された後、監査サブシステムが制御を再び処 理装置１４へ戻し、これがハード・ディスク１８を要求された書込みにより変更 することを許容する。

全てのデータが、実際のデータの前に物理的ディスクへ書出されることに注意す べきである。これは、メモリー・バッファをセマフォア動作させることにより行 われる。コンピュータ・システム１０の別の部分がハード・ディスクに対するデ ータの書込みを必要とする時、これは物理的ディスクに対する監査マーカを含む メモリー・バッファをフラッシュすることになる。このことは、データの「イメ ージ前」が実際のデータが変更される前に物理的ディスクに捕捉されねばならな いため、ロールパックが働くために要求される。バッファを要する理由は、物理 的ディスクに対するＴ１０数を減少するためである。

監査バッファが一杯になり、構成が可能状態のアーカイブ・サブシステムを持つ ならば、監査システムはディスプレイ２０に対して監査バッファ３０が一杯であ るというメツセージを送出する。この時、ユーザは外部記憶のためにアーカイブ 媒体に対する要求に応答することができる。アーカイブ・サブシステムの動作の フローチャートは図６に示される。

監査バッファ３０のアーカイブ動作は、予め定めた間隔で（例えば、５秒毎に） 生じる。５秒のティツカ−（Ｌ　ｉ　ｃｋｃ　ｒ）が可能状態になりシステムが アーカイブ動作を必要とすること決定したならば、１つのトラックのデータ（ト ラックのサイズはアーカイブ媒体の構造に依存する）が調製され、次にアーカイ ブ媒体に記憶される。このシステムは、アーカイブ動作中にユーザが処理を継続 できるように、アーカイブ動作をバックグラウンドで起生ずることを許容する。

アーカイブは、システムの残部と非同期である。アーカイブ・システムが実際に アーカイブ媒体へ書込む時間中、システ１１応答はやや遅くなるが、ユーザはア ーカイブ量と媒体の変更のため介入するだけでよい。

図６において、判断ブロック６０では、／Ｘ−ド・ディスクにおける監査ノ＜ソ ファ３０がディスク全体に対する予め定めた比率を越えるかどうかが判定される 。もしそうであれば、判断ブロック６２においてアーカイブ媒体が具備されるか どうかが判定され、もしそうでなければ、アーカイブ媒体が具備されるまでメツ セージが表示される（ブロック６３）。アーカイブ媒体が一旦具備されると、判 断ブロック６４においてアーカイブ媒体が一杯であるかどうか判定される。一杯 であれば、一杯でない新しい媒体が具備されるまで、メツセージが表示される（ ブロック６５）。ユーザがアーカイブ媒体を提供しないことを選択するならば、 監査システムは遮断され、エラー・メツセージが表示される（あるいはまた、ア ーカイブ動作が選択されない時のように、監査バッファは最も古い保管データを 重ね書きするように循環状態にされ得る。）。ブロック６６において、予め定め た数のセクターが監査バッファから読出される。望ましい実施例では、２０のセ クターが読出される。セクター数は、その時使用される２０のセクターがなけれ ば、より少な（することもできる。次に、アーカイブ・システムは、マーカから 最初のセクターにおける初めの場所を見出す。ついで、マーカの１８のセクター が読出されるまで、システｔ１はメモリーにおけるマーカを探すことになる。こ の時、リストの終りに「アーカイブ終了」と呼ばれるマーカを置（余地を作る。

アーカイブ終了は、書込まれるべきアーカイブ・トラックの終りをマークする。

次に、トラックはブロック６８においてアーカイブ媒体に書込まれる。書込みが 完了した後、メモリーにおける監査ヘッダが、監査バッファ３０からの監査マー カの除去を示すため変更される。

故障の場合、監査区画２６およびアーカイブ媒体は、前の既知の状態への／１− ド・ディスクの状態のロールバックを許容する。このロールバック機能は、別個 のオンライン監査システｔ１である。典型的には、ロールパックは、オンライン ・システ１＼をアクセスするユーティリティ・プロゲラｔ〜を介して行われる。

ロールパッククの概要を示すフローチャー！・が、図７および図８に提示される 。

図７において、ユーザは、ブロック７２で前の所要の状態を示すマーカを選択す る。このマーカは、監査バッファに保持されて、ハード・ディスクの履歴を逆の 順序で再現するために使用することができる。履歴は、各事象の時間と日付から なり、典型的には、監査事象が履歴の一部として表示されることはない。履歴か ら、ユーザは、ハード・ディスクの状態が復元される時間を選択することができ る。再現される事象のみが監査事象（イメージ前データを捕捉する事象）である 。他の事象は、ハード・ディスクが復元されるべき時間を決定するためユーザに より使用される。

マーカが一旦選択されると、監査状態はブロック７４において不能状態にされ、 選択されたマーカに達するまで暫定監査事象が逆の順序で処理される（ブロック ７６および７８）。

図８は、図７のブロック７６のステップを記述するフローチャートを示す。監査 事象の処理において、セクター・データが逆の順序で読出される（ブロック８０ ）。判断ブロック８２においてアーカイブ・ディスクが要求されるならば、ブロ ック８４においてディスク（単数または複数）が逆の順序で要求される。ブロッ ク８６において、セクター・データおよびハード・ディスクにおけるその関連す る場所（監査バッファへの転送に先立ちデータが占有される場所）が、適当な媒 体、監査バッファ３０またはアーカイブ・ディスクから読出される。セクター・ データは次に、ブロック８８において各場所へ書込まれる。プロセス・アーカイ ブ事象ステップは、選択されたマーカに達するまで反復される。その時、ハード ・ディスクは選択されたロールパック点に復元されている。このようにロールパ ックが完了した後、またユーザがユーティリティを終った後、ユーティリティは オペレーティング・システムをリブートする。オペレーティング・・システムが ロードされた後、ハード・ディスクは選択されたロールバック点の時間について データを保持する。ロールパック点の後にディスクに記憶された他の全てのデー タは、除去されて前のデータと置換されることになる。

本発明は、古いデータが新しいデータで重ね書きされる大容量記憶媒体に対して 適用し得るものである。本文に述べた許容、量媒体は「ディスク」として記述さ れるが、本発明の適用性に影響を及ぼすことな（、ドラム構造の如き他の構造も ピユータ・システム１０と共にあるが、本発明は取外し可能媒体でも適用し得る にデータが構成されるか、あるいはデータがトランザクションの初めまたは終り のどちらであるかとは関係なく、データ・ストリームの間に生じるデータ・スト リームおよびシステム事象に基く監査の追跡を提供する。これは、故障に応答し る如き本発明の趣旨および範囲から逸脱することなく、本発明における種々の変 更、代替および修正が可能であることを理解すべきである。

ＦＩＧ、３ ＦＩＧ、５ ＦＩＧ、６ ＦＩＧ、７ ＦＩＧ、８ 補正書の翻訳文提出書 （特許法第１８４条の８）

Claims (45)

【特許請求の範囲】
1. １．定義された監査区画を有する記憶装置と、データを変更する、記憶装置に対 するアクセスを検出して、以降の復元のため前記監査区画において変更されるべ きデータを記憶する処理回路と、を設けてなるコンピュータ・システム。
2. ２．前記区画が、監査ヘッダ区画と監査バッファ区画とを含む請求の範囲第１項 記載のコンピュータ・システム。
3. ３．前記監査ヘッダ区画が前記監査バッファの構成についての情報を保持する請 求の範囲第２項記載のコンピュータ・システム。
4. ４．前記監査バッファ区画がシステム事象に関する情報を保持する請求の範囲第 ２項記載のコンピュータ・システム。
5. ５．前記監査バッファ情報が１つ以⊥の監査マーカを含み、各監査マーカが、事 象の種類と該事象が起じた時点とを記述するマーカ・ヘッダと、該マーカ・ヘッ ダの場所を判定する情報を提供するマーカ・トレーラとを含む請求の範囲第４項 記載のコンピュータ・システム。
6. ６．前記マーカ・ヘッダが変更されるべきデータを更に含む請求の範囲第５項記 載のコンピュータ・システム。
7. ７．前記処理回路が更に、データを前記監査バッファから取外し可能媒体へ転送 するよう動作可能である請求の範囲第１項記載のコンピュータ・システム。
8. ８．前記処理回路が、一杯になる前記監査バッファの予め定めた比率に応答して データを前記取外し可能媒体へ転送するよう動作可能である請求の範囲第７項記 載のコンピュータ・システム。
9. ９．前記処理回路が更に、前記監査バッファの予め定めた比率がクリヤされるま で、該監査バッファからデータを転送するよう動作可能である請求の範囲第８項 記載のコンピュータ・システム。
10. １０．前記処理回路が、データを前記監査バッファから前記記憶装置へ転送して 、前記記憶装置を前の状態へ戻すよう動作可能である請求の範囲第１項記載のコ ンピュータ・システム。
11. １１．前記処理回路が更に、システム事象を検出して、前記監査区画における事 象に関する情報を記憶するよう動作可能である請求の範囲第１項記載のコンピュ ータ・システム。
12. １２．バワーオン事象に応答して信号を生じる回路を更に設ける請求の範囲第１ １項記載のコンピュータ・システム。
13. １３．電源の障害事象に応答して信号を生じる回路を更に設ける請求の範囲第１ １項記載のコンピュータ・システム。
14. １４．所要の状態を定義するユーザ入力に応答して信号を生じる回路を更に設け る請求の範囲第１１項記載のコンピュータ・システム。
15. １５．システム・リブートに応答して信号を生じる回路を更に設ける請求の範囲 第１１項記載のコンピュータ・システム。
16. １６．前の所要の状態へのロールパックを行うための記憶装置サブシステムにお いて、 定義された監査区画を有する記憶媒体と、データを変更する、記憶装置に対する アクセスを検出して、以降の復元のため前記監査区画において変更されるべきデ ータを記憶する処理回路と、を設けてなる記憶装置サブシステム。
17. １７．前記区画が、監査ヘッダ区画と監査バッファ区画とを含む請求の範囲第１ ６項記載の記憶装置サブシステム。
18. １８．前記監査ヘッダ区画が、前記監査バッファの構成についての情報を保持す る請求の範囲第１７項記載の記憶装置サブシステム。
19. １９．前記監査バッファ区画が、システム事象に関する情報を保持する請求の範 囲第１７項記載の記憶装置サブシステム。
20. ２０．前記監査バッファの情報が１つ以上の監査マーカを含み、各監査マーカが 、事象の種類と事象が生じた時点とを記述するマーカ・ヘッダと、前記マーカ・ ヘッダの場所を判定するための情報を提供するマーカ・トレーラとを含む請求の 範囲第９項項記載の記憶装置サブシステム。
21. ２１．前記マーカ・ヘッダが、変更されるべきデータを更に含む請求の範囲第２ ０項記載の記憶装置サブシステム。
22. ２２．前記処理回路が、データを前記監査バッファから取外し可能媒体へ転送す るよう更に動作可能である請求の範囲第１６項記載の記憶装置サブシステム。
23. ２３．前記処理回路が、一杯になる前記監査バッファの予め定めた比率に応答し て、データを前記取外し可能媒体へ転送するよう動作可能である請求の範囲第２ ２項記載の記憶装置サブシステム。
24. ２４．前記処理回路が、前記監査バッファの予め定めた比率がクリヤされるまで 、データを前記監査バッファから転送するよう更に動作可能である請求の範囲第 ２３項記載の記憶装置サブシステム。
25. ２５．前記処理回路が、データを前記監査バッファから前記記憶媒体へ転送し、 記憶装置を前の状態へ戻すよう動作可能である請求の範囲第１６項記載の記憶装 置サブシステム。
26. ２６．前記処理回路が、システム事象を検出して、前記監査区画における亊象に 関する情報を記憶するよう更に動作可能である請求の範囲第１６項記載の記憶装 置サブシステム。
27. ２７．パワーオン事象に応答して信号を生じる回路を更に設ける請求の範囲第２ ６項記載の記憶装置サブシステム。
28. ２８．電源の障害事象に応答して信号を生じる回路を更に設ける請求の範囲第２ ６項記載の記憶装置サブシステム。
29. ２９．所要の状態を定義するユーザ入力に応答して信号を生じる回路を更に設け る請求の範囲第２６項記載の記憶装置サブシステム。
30. ３０．システム・リブートに応答して信号を生じる回路を更に設ける請求の範囲 第２６項記載の記憶装置サブシステム。
31. ３１．記憶装置におけるデータの前の所要の状態へのロールバックを行う方法に おいて、 前記記憶装置に監査区画を定義し、 データを変更する、前記記憶装置に対するアクセスを検出し、以降の復元のため 前記監査区画に変更されるべきデータを記憶するステップを 含む方法。
32. ３２．前記定義ステップが、監査ヘッダ区画と監査バッファ区画とを定義するス テップを含む請求の範囲第３１項記載の方法。
33. ３３．前記監査バッファの構成についての情報を前記監査ヘッダ区画に記憶する ステップを更に含む請求の範囲第３２項記載の方法。
34. ３４．前記監査バッファ区画にシステム事象に関する情報を記憶するステップを 更に含む請求の範囲第３２項記載の方法。
35. ３５．前記監査バッファ区画に情報を記憶する前記ステップが監査マーカを記憶 することを含み、各監査マーカが、事象の種類と該事象が生じた時点とを記述す るマーカ・ヘッダと、該マーカ・ヘッダの場所を判定するための情報を提供する マーカ・トレーラとを含む請求の範囲第３４項記載の方法。
36. ３６．監査マーカを記憶する前記ステップが、前記マーカ・ヘッダに変更される べきデータを記憶するステップを更に含む請求の範囲第３５項記載の方法。
37. ３７．データを前記監査バッファから取外し可能媒体へ転送するステップを更に 含む請求の範囲第３１項記載の方法。
38. ３８．前記転送ステップが、一杯になる前記監査バッファの予め定めた比率に応 答して、データを前記取外し可能媒体へ転送することを含む請求の範囲第３７項 記載の方法。
39. ３９．データを前記監査バッファから転送する前記ステップが、該監査バッファ の予め定めた比率がクリヤされるまで、データを監査バッファから転送すること を更に含む請求の範囲第３８項記載の方法。
40. ４０．データを前記監査バッファからハード・ディスクヘ転送して、該ハード・ ディスクを前の状態へ戻すステップを更に含む請求の範囲第３１項記載の方法。
41. ４１．システム事象を検出して、前記監査区画に事象に関する情報を記憶するス テップを更に含む請求の範囲第３１項記載の方法。
42. ４２．パワーオン事象に応答して信号を生じるステップを更に含む請求の範囲第 ４１項記載の方法。
43. ４３．電源の障害事象に応答して信号を生じるステップを更に含む請求の範囲第 ４１項記載の方法。
44. ４４．所要の状態を定義するユーザ入力に応答して信号を生じるステップを更に 含む請求の範囲第４１項記載の方法。
45. ４５．システム・リブートに応答して信号を生じるステップを更に含む請求の範 囲第４１項記載の方法。