JPH08511368A

JPH08511368A - 不揮発性メモリを用いてｒａｉｄサブシステムにパリティを形成する方法

Info

Publication number: JPH08511368A
Application number: JP7502000A
Authority: JP
Inventors: ヒッツ、デイビット; マルコム、マイケル; ロー、ジェームス; ラッキッツィズ、バイロン
Original assignee: ネットワーク・アプリアンス・コーポレーション
Priority date: 1993-06-04
Filing date: 1994-06-02
Publication date: 1996-11-26
Also published as: JP2007184011A; US6988219B2; EP0701715A1; JP4283859B2; US5948110A; EP1031928A3; HK1028281A1; WO1994029795A1; EP0701715A4; JP2008251034A; EP1031928B1; DE69434381D1; US6480969B1; JP4408939B2; US20030037281A1; DE69434381T2; EP1031928A2

Abstract

(57)【要約】本発明は、不揮発性ランダムアクセスメモリ（ＮＶ−ＲＡＭ８１６）を用いた、ディスク（８２８）の配列のエラーを補正の方法に関する。不揮発性ＲＡＭ（８１６）は、ディスクエラーからＲＡＩＤを回復する速度を早くするために使用されている。これは、パリティが不一致になるかもしれないすべてのブロックのリスト化により行われる。このブロックリストはＲＡＩＤ中のパリティブロック（８２０）の全体数よりもかなり少ない。ＲＡＩＤ（８２８）中のパリティブロックの全体数は数十万の範囲である。不一致となるかもしれないパリティブロック数の情報によりリストで確認されるいくつかのブロックを固定でき、それにより時間を著しく節約できる。壊れたディスクを用いてＲＡＩＤに安全に書き込む方法は複雑である。この方法によれば、破壊することがあるデータは、潜在的な破壊動作が行われる前に、ＮＶ−ＲＡＭ（８１６）にコピーされる。

Description

【発明の詳細な説明】不揮発性メモリを用いてＲＡＩＤサブシステムにパリティを形成する方法１．発明の属する分野本発明はディスク配列のエラー補正の分野に関する。２．背景技術コンピュータ装置は、一般に、情報（例えばデータ及び／又はアプリケーションプログラム）を格納するために、ディスクドライブのような大量の二次的なメモリを必要とする。従来のコンピュータ装置は、大量のデータを永久的に保存するために、一つの“ウインチェスタ”型ハードディスクドライブをよく使用している。コンピュータとそのプロセッサの性能が良くなるにしたがって、大容量のディスクドライブと高速のデータ移送性の要求が増してきた。それとともに、ディスクドライブ性能の変更や改良が為されてきた。例えば、データ及びトラック密度の増加、媒体改良、及び一つのディスクドライブ中の多数のヘッドとディスクにより、高速のデータ移送性が可能になった。二次的な保存のために一つのディスクドライブを使用することの問題は、非常に大きい能力又は性能が必要とされる場合の、ドライブ交換の費用である。別の問題は、一つのディスクドライブに余裕又はバックアップが不足することである。一つのディスクドライブが損傷したり、動作不能になったり、又は交換されると、そのシステムは停止する。シングルディスクドライブシステムの問題を軽減し又は解消するために従来行われてきたことは、並列に相互連結された複数のドライブを使用することである。データは、並列につながれた多数のドライブから同時に又は複数のドライブのシングルドライブから連続的にアクセスできる固まりに分解される。ディスクドライブを並列に連結したシステムの一つが、“高価でないディスクの冗長配列” （ＲＡＩＤ）として知られている。ＲＡＩＤシステムは、大きなシングルディスクドライブシステムと同一の保存能力を有し、しかも低価格である。同様に、高速データ移送性も配列の平行処理により達成される。ＲＡＩＤシステムにより、配列にディスクドライブを追加するにしたがって保存能力が大きくなる。ＲＡＩＤシステムのディスクが壊れた場合、これは全体システムを停止することなく交換できる。壊れたディスク上のデータはエラー補正法を用いて回復できる。ＲＡＩＤ配列ＲＡＩＤは、ＲＡＩＤレベル０からＲＡＩＤレベル５と呼ばれる６つのディスク配列型を有する。それそれのＲＡＩＤレベルは利点と欠点を有する。本説明では、ＲＡＩＤレベル４と５だけを説明する。しかしながら、それぞれのＲＡＩＤレベルの詳細な説明は、パターソン等によるA Case for Redundant Arrays of I nexpensive Disk（RAID）、ACM SIGMOD Concerence，１９８８年６月、に記述されている。この論文は本明細書中に組み込まれている。ＲＡＩＤシステムはディスク破壊を保護する技術となる。ＲＡＩＤは多数の異なるフォーマット（既述）を包含するが、共通の特徴は、一つのディスク（又は複数のディスク）がディスク配列中に保存されたデータのパリティ情報を保存しているという点である。ＲＡＩＤレベル４システムが全てのパリティ情報をシングルディスク上に保存するのに対して、ＲＡＩＤレベル５システムは公知のパターンにしたがってＲＡＩＤ配列の全体にわたってパリティブロックを保存する。ディスクが壊れた場合、ＲＡＩＤサブシステムに保存されたパリティ情報により、壊れたディスクから損失したデータを再び計算できる。図１はＲＡＩＤレベル４を備えた従来のシステムを表したブロック図である。このシステムは、コンピュータシステム又はホストコンピュータに通信チャンネル１３０を介して接続されたＮ＋１個のディスク１１２−１１８を備えている。この実施例では、データは各ハードディスク上で４Ｋバイト（ＫＢ）のブロック又はセグメントに保存される。ディスク１１２はシステム用のパリティディスクで、ディスク１１４−１１８はデータディスク０からＮ−１である。ＲＡＩＤレベル４は、図１に示すように、配列中の全ディスクにデータブロックを分配するディスク“ストライピング”を使用する。ストライプは一群のデータブロックで、そこでは各ブロックがＮ個の別々のディスク上に一つのパリティディスク上の対応するパリティブロックと共に保存される。図１において、第１と第２のストライプ１４０と１４２は点線で示してある。最初のストライプ１４０はパリティ０ブロックとデータブロック０からＮ−１を備えている。図示する実施例では、最初のデータブロック０が、Ｎ＋１個のディスク配列のディスク１１４上に保存される。第２のデータブロック１はディスク１１６に保存される。最後に、データブロックＮ−１はディスク１１８に保存される。公知の方法を用いてストライプ１４０に対するパリティが計算され、それはディスク１１２上にパリティブロック０として保存される。同様に、Ｎ個のデータブロックを有するストライプ１４２が、ディスク１１４にデータブロックＮ、ディスク１１６にデータブロックＮ＋１、さらにディスク１１８にデータブロック２Ｎ−１というように保存される。ストライプ１４２に対してパリティが計算され、それがパリティブロック１としてディスク１１２に保存される。図１に示すように、ＲＡＩＤレベル４は、システム中の各ストライプに対してエラー補正情報を含む特別のパリティディスクドライブを付加する。システム中にエラーが発生した場合、ＲＡＩＤ配列は配列中のすべてのドライブを使用してシステム中のエラーを補正しなければならない。ＲＡＩＤレベル４は、データのごく一部を読み取る際に適正に動作する。しかし、ＲＡＩＤレベル４配列は常に、配列中にデータを書き込む際に専用のパリティドライブを使用する。ＲＡＩＤレベル５配列システムもまたパリティ情報を記録する。しかし、一つのドライブ上にすべてのパリティセクターを保持することはない。ＲＡＩＤレベル５は、Ｎ＋１個のディスクのディスク配列中で利用可能なディスク上でパリティブロックの位置を回転させる。したがって、ＲＡＩＤレベル５システムは、パリティデータをＮ＋１個のディスクドライブ上で一度に１ブロックづつ順番に回転して分散させることによりＲＡＩＤ４の性能を改善している。最初の組のブロックでは、パリティブロックは最初のドライブに保存される。第２組のブロックでは第２のディスクドライブに保存される。各セットがパリティブロックを有するように繰り返される。しかし、全てのパリティ情報が一つのディスクドライブに保存されることはない。ＲＡＩＤレベル５システムでは、一群のブロックに対するすべてのパリティ情報を一つのディスクに保持させていないので、一度に配列中のいくつかの複数のドライブに書き込みが可能である。したがって、ＲＡＩＤレベル５システム上では読み取りと書き込みの両方がＲＡＩＤ４配列よりも素早く行われる。図２はＲＡＩＤレベル５を有する従来のシステムを表すブロック図である。そのシステムは、通信チャンネル１３０によりコンピュータシステム又はホストコンピュータに接続したＮ＋１個のディスク２１２−２１８を備えている。ストライプ２４０では、パリティブロック０が第１のディスク２１２に保存されている。データブロック０は第２のディスク２１４に保存され、データブロック１が第３のディスク２１６に保存されている。最後に、データブロックＮ−１がディスク２１８に保存されている。ストライプ２４２では、データブロックＮが第１ディスク２１２に保存されている。第２のパリティブロック１は第２のディスク２１４に保存されている。データブロックＮ＋１はディスク２１６に保存されている。最後にデータブロック２Ｎ−１がディスク２１８に保存されている。Ｍ−１のストライプ２４４では、データブロックＭＮ−Ｎが第１のディスク２１２に保存されている。データブロックＭＮ−Ｎ＋１は第２のディスク２１４に保存されている。データブロックＭＮ−Ｎ＋２は第３のディスク２１６に保存されている。最後に、パリティブロックＭ−１はｎ番目のディスク２１８に保存されている。したがって、図２は、ＲＡＩＤレベル５システムがＲＡＩＤレベル４システムと同一のパリティ情報を保存していることを示しているが、ＲＡＩＤレベル５システムはパリティブロックの位置を利用可能なディスク２１２−２１８上で循環させる。ＲＡＩＤレベル５では、パリティがディスク配列に分配される。これによりディスクを多重検索できる。また、ある決められた数のディスクをパリティ要求のためにシステムに付加しなければならないので、ＲＡＩＤ配列のサイズが大きくなるのが防止される。ＲＡＩＤレベル４及び５を備えた従来のシステムはいくつかの問題がある。最初の問題は、システムが故障すると、各ストライプのパリティ情報がこのストライプ中の他のディスク上に保存されているデータブロックと調和しないということである。そのために全ＲＡＩＤ配列についてパリティを再び計算しなければならない。どのパリティブロックが正しくないのか判断する方法がないので、パリティはすべて再度計算される。したがって、ＲＡＩＤ配列におけるすべてのパリティブロックは再び計算されなければならない。ＲＡＩＤ配列に保存されているすべてのデータを読む必要があるので、すべてのＲＡＩＤ配列についてパリティを再び計算することは多大な時間の浪費である。例えば、２ＧＢのディスクを最大速度で読んでも終了するのに１５分から２０分かかる。しかし、殆どのコンピュータは非常に多くのディスクを並行して最大速度で読み取ることはできないので、ＲＡＩＤ配列についてパリティを再度計算するのは多くの時間がかかる。ＲＡＩＤ配列に関してパリティを再度計算するのに要する時間を軽減する一つの方法は、ＲＡＩＤ配列に即座にアクセスして、オンライン状態の間にシステムに対するパリティを再度計算できるようにすることである。しかし、この方法は２つの問題がある。最初の問題は、パリティを再計算する間、不一致パリティを有するブロックが更なる破壊から保護されていないということである。この間にＲＡＩＤ配列中のディスクが壊れると、システム中のデータを永久的に失う。この従来技術の第２の問題は、パリティ計算中にＲＡＩＤサブシステムは満足に動作しないということである。これはパリティの再計算に必要な複数の入力／出力（Ｉ／Ｏ）処理により生ずる時間遅延によるものである。従来のシステムの第２の問題点は、ディスクが機能していない間のＲＡＩＤ配列への書き込みにある。ＲＡＩＤサブシステムはパリティ情報を用いて故障したディスク上のデータを再計算できるので、そのＲＡＩＤサブシステムはたとえディスクが故障していてもデータは依然として読み込むことができる。また、多くのＲＡＩＤシステムは、ディスクが故障していても書き込みが継続できる。これは、壊れたＲＡＩＤ配列に書き込むことは、システムが故障の場合にデータを破壊することがあるので問題である。例えば、ＲＡＩＤ配列を使用する処理システムがクラッシュしたり、又はシステムへの電力供給が断たれた場合に、システムが故障する。従来のＲＡＩＤサブシステムはこの事象シーケンスに対するプロテクションを備えていない。発明の概要本発明は、不揮発性ランダムアクセスメモリ（ＮＶ−ＲＡＭ）を使用してディスク配列をエラー補正する方法である。不揮発性ＲＡＭはディスクエラーからＲＡＩＤを回復させる速度を早くするために使用される。これは、パリティが一致しないすべてのディスクブロックのリストを保持することにより達成される。ディスクブロックのそのようなリストはＲＡＩＤサブシステムにおけるパリティブロックの全体数よりも小さい。ＲＡＩＤサブシステムにおけるパリティブロックの全体数は通常数十万のパリティブロックの範囲にある。不一致のパリティブロック数の情報により、従来技術で可能であった時間よりもかなり短時間の間に、リスト中で確認された数のブロックを、修正することができる。本発明はまた同時に起こるシステムの故障と壊れたディスクに対する保護の方法と、一つの壊れたディスクを用いてＲＡＩＤサブシステムへの安全に書き込む方法を提供するものである。図面の簡単な説明図１は従来のＲＡＩＤレベル４サブシステムのブロック図である。図２は従来のＲＡＩＤレベル５サブシステムのブロック図である。図３Ａ−３Ｃは“ストライプ”に保存されたデータの再計算を表示する従来の図である。図４Ａ−４Ｂはシステム故障の際のパリティ破壊に対する従来のタイミング図である。図５は故障したディスクへの書き込みが発生したときにデータが破壊されるのを防止する本発明のタイミング図である。図６は壊れたディスクによる書き込み上のディスク破壊を示すタイミング図である。図７Ａ−７Ｂは壊れたディスクによる書き込み上のデータ破壊を防止する本発明のタイミング図である。図８は本発明を示す図である。図９はシステムとディスクが同時に故障することによりデータが破壊されるのを示すタイミング図である。図１０Ａ−１０Ｃはシステムとディスクが同時に故障することによりデータが破壊されるのを防止する本発明のタイミング図である。図１１Ａ−１１Ｃは回復処理を示す本発明のフロー図である。図１２Ａ−１２Ｃは再計算によるパリティのタイミング図である。本発明の詳細な説明不揮発性ランダムアクセスメモリ（ＮＶ−ＲＡＭ）を用いてディスク配列のエラーを補正する方法と装置を説明する。以下の説明において、本発明をさらに詳細に説明するために、ディスクの数や性質、ディスクブロックのサイズ等のような数多くの特定の細部を詳細に説明する。しかし、当業者にとって、それらの詳しい細部の説明がなくても本発明が実施できることは明らかである。その他の実施例では、本発明が不必要に不明瞭にならないように、公知の特徴部分は詳細に説明しない。特に、多くの実施例ではストライプ中の一つのブロックだけが更新された場合を考えているが、説明する技術は多数のブロックを更新する場合でも同様に適用できる。本発明は、システムが故障した場合にパリティを再計算するために必要な時間を減少し、故障しているディスクにデータが書き込まれ、かつ、そのシステムがクラッシュした場合、ＲＡＩＤ配列中のデータが破壊されるのを防止する方法を提供する。本発明はこれらの問題を解消するために不揮発性ＲＡＭを使用している。従来技術の説明とその問題は以下の通りである。この従来技術の問題は、システムが故障したときのパリティ破壊、壊れたディスクによる書き込み上のデータ破壊、及び同時にシステムとディスクが破壊したときのデータ破壊について説明されている。ＲＡＩＤを用いた損失データの再計算ストライプ中に保存されたデータブロックを排他的論理和演算することによりパリティが計算される。Ｎ個のデータブロックから計算されたパリティ値は、ストライプのパリティブロックに記録される。いずれかの一つのブロックからのデータが例えばディスク破壊によって損失されると、ディスクに関する損失したデータはストライプ中に残っているブロックを排他的論理和演算することにより再計算される。一般的に、ストライプ中のデータブロックが修正されると、パリティがストライプに対して再計算されなければならない。すべてのＮ個のデータブロックを書くことによってストライプを更新する場合、ディスクとパリティからデータを読むことなくパリティを計算でき、データはたった一回のＩ／Ｏサイクルの間に書くことができる。したがって、ストライプ中のＮ個数のすべてのデータブロックに対して書き込みには、最小時間が必要である。一つのデータブロックをディスクに書き込み場合、減算によるパリティが使用される（後述する）。一回のＩ／Ｏサイクルを行うには古いデータとパリティを読み込み必要があり、第２のＩ／Ｏサイクルでは新たなデータとパリティを書き込み必要がある。ＲＡＩＤ配列中のディスク駆動部は同期していないので、書き込みは一般に正確に同時に起こることがない。ある場合には、パリティブロックはディスクに最初に到達し、その他の場合にはデータブロックの一つがディスクに最初に到達する。ここで説明する技術はブロックがディスクに到達する順番とは無関係である。非同期駆動部を有するディスクに対する別の方法は、パリティを最初に計算し、データブロックがディスクに書き込まれる前にディスクにパリティブロックが書かれる。ＲＡＩＤ配列中のディスク上の各データブロックは４ＫＢのデータを保存する。以下の説明では、各４ＫＢブロック中のデータを一つの大きな整数（６４Ｋビットの長さ）として扱う。したがって、図面では、パリティとデータディスクのブロックに保存された情報について整数値が示してある。この習慣は図面を簡単にするためにだけ図法として使用するものである。図３Ａは従来のＲＡＩＤレベル４サブシステムを示す図で、Ｎ＝３の場合には４つのディスク３３０−３３６を備えている。図において、ディスク３３０はパリティディスクである。ディスク３３２−３３６はデータディスクである。図は、ＲＡＩＤ配列中のディスク３３０−３３６に含まれるストライプ３２０を示す。ディスクブロック３３０Ａは、整数値１２を含むパリティブロックである。ディスクブロック３３２Ａ−３３６Ａはそれぞれストライプ３２０のデータブロックである。データブロック３３２Ａ−３３６Ａはデータ値４、７、及び１をそれぞれ含む。一つのストライプ３２０中の各ブロック３３２Ａ−３３６Ａのデータが整数として表されている。ストライプ３２０のパリティはデータブロック３３２Ａ−３３６Ａに保存されているデータ値の合計として示してある。パリティブロック３３０Ａは値１２（すなわち４＋７＋１）を含む。図３Ａは、パリティを用いたエラー補正方法の単なる一つの例を示す図である。パリティ値はデータブロック３３２Ａ−３３６Ａの排他的論理和演算であるが、数学的加算特性は排他的論理和関数のそれに調和する。したがって、図３Ａでは加算が使用されている。図３Ｂは、図３Ａに示すストライプ３２０上での動作のタイミング図である。そのテーブルはパリティ、データ０、データ１及びデータ２の見出しを有する。その値１２、４、７、及び１は対応するテーブルの見出しの下に表されている。図３Ｂは時刻Ｔ_Bの時点での失われたデータブロックを有するストライプを示すテーブルである。図３Ｂに示すように、ストライプ３２０は、図３Ａのデータディスク３３４から失われたデータブロック１中の損失データを含む。これは、データ１の見出しの下で箱により囲まれた疑問符を用いてテーブル中に示してある。時刻Ｔ_Aの時点で、パリティ、データ０とデータ２はそれぞれ値１２、４、１を有する。データブロック１用のディスク３３４上のデータは以下のようにして即座に再計算される。データ１＝パリティ−データ０−データ２＝１２−４−１＝７（１）ここでデータブロック１は、パリティブロック、データブロック０、及びデータブロック２を用いて計算される。したがって、図３Ａに示すディスク３３４のデータブロック１に保存されたデータ値７は時刻Ｔ_Cの時点で再計算される。図３Ｂにおいて、時刻Ｔ_Cに、データブロック１用に再計算された値７が括弧に囲まれて示されている。以下の図面では、再計算された値は括弧を用いて示してある。すなわち、その他のディスク上のパリティとデータにより再計算されたものとして壊れたディスク用のデータが括弧で示してある。図３Ｂに示すように、壊れたディスク上のデータは、パリティディスクとディスク配列中に残存するディスクを用いて再計算できる。図３Ａに示す壊れたディスク３３４は最終的に置き換えられ、ディスクの古い内容は再計算されて新しいディスクに書き込まれる。図３Ｃは新しいデータ１ディスク３３８を含むＲＡＩＤサブシステムのブロック図である。図３Ｅに示すように、ストライプ３２０は、パリティ、データ０、新たなデータ１、及びデータ２用に値１２、４、７、及び１を有する。これらの値はパリティブロック３３０Ａ、データブロック３３２Ａ、３３８Ａ、及び３３６Ａに保存される。したがって、新しいディスク３３８はＲＡＩＤシステムの壊れたディスク３３４に置き換わり、それまでディスク３３４のデータブロック３３４Ａに保存されていたデータ値は以上のようにして計算されて、交換されたディスク３３８のデータブロック３３８Ａに保存される。新たなデータがデータブロックに書き込まれると、パリティブロックも更新される。ストライプ中のすべてのデータブロックが一度に更新されると、パリティは以上のようにして簡単に計算される。このとき、パリティ用の新たな値はディスクに書き込まれる情報から再計算される。新たなパリティとデータのブロックは次にディスクに書き込まれる。ストライプ中の幾つかのデータブロックが修正されると、パリティブロックの更新がさらに難しくなる。それは多くのＩ／Ｏ処理が必要となるからである。この場合、パリティを更新するには２つの方法がある。減算によるパリティの更新と、再計算によるパリティの更新である。例えば、一つのデータブロックに書き込みが行われた場合、ＲＡＩＤシステムは減算によりパリティを更新できる。ＲＡＩＤシステムはパリティブロックと上書きされるブロックを読み取る。まずパリティ値から古いデータ値を減算し、データブロックの新たなデータ値を中間のパリティ値に加算し、そして新たなパリティとデータのブロックを共にディスクに書き込む。パリティを再計算するために、ＲＡＩＤシステムはまずストライプ中のその他のＮ−１個のデータブロックを読む。Ｎ−１個のデータブロックを読んだ後、ＲＡＩＤシステムは、修正されたデータブロックとＮ−１個のデータブロックを用いて最初からパリティを再計算する。パリティが再計算されると、新たなパリティとデータのブロックはディスクに書き込まれる。パリティを更新するための減算と加算の方法はともに、１以上のデータブロックが同一ストライプに書き込まれる場合に一般化することができる。減算の場合、パリティブロックといま正に上書きされようとしているすべてのデータブロックの現在の内容とは、まずデータブロックから読み取られる。再計算において、いま正に上書きされることのないすべてのデータブロックの現在の内容はまずディスクから読み込まれる。ストライプ中のすべてのＮ個のデータブロックが同時に書き込まれるのは、再計算によるパリティを縮小（縮退）する場合である。書き込まれないすべてのデータブロックはまずディスクから読み込まれるが、本実施例ではそのようなブロックはない。システムが故障した場合に何故ストライプが不一致になるか不一致のストライプには、当該ストライプ中の他のブロックの排他的論理和を有しないパリティブロックを備えている。ストライプは、システムが故障すると共に、更新に関する書き込みの幾つかは終了しているがその他が未だ終了していないという場合に不一致となる。例えば、最初のデータブロックが上書きされる場合である。上述のように、ストライプのパリティブロックは再計算されてデータブロックと共に上書きされる。データブロックの一つがディスクに書き込まれたがその他は未だ書き込まれていないという状況でシステムが故障すると、ストライプが不一致となる。ストライプは、それが更新される際に不一致となることもある。したがって、任意の時点における潜在的な不一致のストライプ数は更新中のストライプ数に限られる。そのため、本発明は、現在更新中のすべてのストライプを含むＮＶ−ＲＡＭ中のリストを保持する。これらのストライプだけが潜在的に壊れることがあるので、ＮＶ−ＲＡＭ中のリストに保存されているストライプに対するシステム故障後にパリティが再計算される。これにより、上述した時間のかかる従来方法に比べて、システム故障後のパリティ再計算に要する全体時間を大幅に減少できる。従来技術におけるシステム故障の際のパリティ破壊以下の図面では、故障したデータディスクに関して括弧内に示した値は、ディスクに保存されている実際の値ではない。その代わり、ＲＡＩＤ配列中の壊れたディスクのメモリに保持されているのは計算された値である。図４Ａはシステムクラッシュを示す図で、変更値は図３Ａのディスク３３０− ３３６に書き込まれる。その図は、データブロックがパリティブロック以前にディスクに到達する場合のものである。図４Ａに示すように、時間は下方に向かって増大する。時刻Ｔ_Aにおいて、パリティブロックは１２、データブロック０から２は４、７、及び１をそれぞれ有する。時刻Ｔ_Bにおいて、新たな値２がデータブロック０に書き込まれ（値２の回りの箱で示してある）、これにより時刻Ｔ_A にデータブロック０に保存されている値４が置き換えられる。データブロック１と２に保存されているその他の値は変更されない。通常に動作している状態では、従来の方法では時刻Ｔ_Cの値１０（箱で示す）がパリティの見出しの下に示したパリティディスクに書き込まれる。これにより、時刻Ｔ_Bにデータブロック０への書き込みに対してパリティブロックが更新される。時刻Ｔ_Cにパリティに対する新たな値１０がデータブロック０から２の値２、７、及び１からそれぞれ計算される。したがって、図４Ａのタイミング図は、データブロックがパリティブロック以前にディスクに到達する場合の従来のＲＡＩＤサブシステムを示している。図４Ａにおける時刻Ｔ_BとＴ_Cとの間にシステム故障が発生すると、ストライプについてパリティが壊れる。そのタイミング図は、ストライプに関して再計算されたパリティが更新される以前に、時刻Ｔ_Bに新たなデータ値２がデータディスク０に書き込まれることを示す。したがって、ＲＡＩＤサブシステムがその後再スタートすると、パリティディスクは正しい値１０の代わりに古い値１２（アンダーラインで示す）を持つ。これは、システム故障が発生する前にストライプが更新されないことによる。ストライプに関するパリティは壊れている。何故ならば、パリティ＝データ０＋データ１＋データ２＝２＋７＋１＝１０≠１２（２）だからである。同様に、図４Ｂは別の従来の図を示し、これはシステムクラッシュを示し、変更値は図３Ａのディスク３３０−３３６に書き込まれる。その図は、データブロック以前にパリティブロックがディスクに到達する場合のものである。時刻Ｔ_A において、パリティブロックは値１２、ディスクブロック０から２は４、７、及び１をそれぞれ有する。時刻Ｔ_Bにおいて、新たな値１０（値１０の回りを箱で示す）がパリティブロックに書き込まれ、それにより時刻Ｔ_Aにパリティブロックに保存されている値１２を置き換える。データブロック０から２に保存されているデータ値は変更されない。時刻Ｔ_Bにおけるパリティの新たな値１０は、データブロック１と２の値７と１、及びデータブロック０の新たな値２から計算される。普通に動作している場合、従来技術では、新たなデータ値２は、データ０の見出しの下に示すように、データディスク０に時刻Ｔ_Cの時点で書き込まれる。これにより時刻Ｔ_Bにおけるパリティブロックへの書き込みにしたがってデータブロック０が更新される。したがって、図４Ａのタイミング図は従来のＲＡＩＤサブシステムを示し、そこではパリティブロックがデータブロック以前にディスクに到達する。図４Ｂにおける時刻Ｔ_BとＴ_Cとの間にシステムが故障すると、ストライプに関してパリティが壊れる。そのタイミング図は、ストライプのデータブロック０が更新される前に、時刻Ｔ_Bの時点で新たなパリティ値１０がパリティディスクに書き込まれることを示している。したがって、ＲＡＩＤサブシステムがその後に再スタートすると、データディスク０は正しい値２に代えて古い値４（アンダーラインで示す）を持つ。これは、システム破壊が発生する前にストライプが更新されかったことによる。ストライプに関するパリティは今壊れている。何故ならば、パリティ＝データ０＋データ１＋データ２＝２＋７＋１＝１０≠１２（３）だからである。図４Ａ−４Ｂは、ＲＡＩＤ配列中のディスク駆動部が同期していない場合の、新たなデータがデータブロックに書き込まれる場合とパリティディスクが更新される場合の２つの事例を示す。図４Ａに示す最初の事例は、新たなデータ値がデータディスクに最初に到達し、その後にパリティディスクのパリティ値が更新される場合を示す。図４Ｂに示す第２の事例は、パリティがディスクに最初に到達し、その後にデータが更新される場合を示す。図４Ａと４Ｂに関して、時刻Ｔ_B とＴ_Cとの間でシステムが故障すると、ファイルシステムの破壊が発生する。システムが図４Ａと４Ｂの時刻Ｔ_B後に故障した場合、図示するパリティ値は当該システムに関して正しいものではない。図４Ａに示すシステムの場合、新たなデータ値は合計値１０を有し、これは値２、７、及び１の合計に等しい。しかし、時刻Ｔ_Bにおけるパリティ値は値１２を示している。したがって、パリティディスクに保存されているパリティ値は、データディスク０から２に保存されているデータ値用の新たなパリティ値と等しくない。同様に、図４Ｂに示す第２のシステムについて時刻Ｔ_B後に故障が発生すると、データディスク０−１はそれぞれ４、７、及び１の値を持つ。それらのデータブロックに関するパリティ値は１２に等しい。しかし、このシステムのパリティは、新たなデータ値がディスクに書き込まれる前に更新されるので、時刻Ｔ_B時点でパリティディスクに保存されているパリティは１０に等しい。したがって、時刻Ｔ_Bの後に、パリティディスクに保存されたパリティはデータブロック用のパリティ値と等しくない。これは、新たなデータが、システム故障の前に更新されていなかったからである。従来の方法では、システムが故障後、システムが再スタートするとすべてのストライプについてパリティが再計算される。すべてのストライプに関する故障後のパリティの再計算方法には徹底的な計算が必要で、そのために極めて遅い。本発明はシステムが故障した後にパリティを再計算する方法である。そのシステムは、不揮発性ＲＡＭの中に進行中の書き込み値を備えたストライプのリストを維持する。システムが故障した後に再スタートすると、不揮発性ＲＡＭに保存されている進行中の書き込み値を有するリストだけが再計算される。壊れたディスクを用いた書き込み上の従来のデータ破壊故障した又は壊れたディスクを有するＲＡＩＤ配列に書き込みを行うと、システム故障中にディスク破壊が発生する。図６は、パリティをディスクに書き込み前に新たなデータ値に関してデータディスクが更新された場合にシステム故障が発生すると、故障したディスクに関するデータが破壊されることを表した従来の図である。図６において、データ１の見出しの下で括弧内に示すことにより、データディスク１が故障していることを表している。時刻Ｔ_Aに、パリティディスクは値１２を有する。データディスク１が故障した時刻Ｔ_A以前は、パリティディスクの値は、値４、７、及び１をそれぞれ有するデータディスク０から２の合計に等しい。時刻Ｔ_Aにおけるデータブロック１の値７が括弧で囲まれている。この値はデータディスク１に保存されている値を表すものではなく、代わりに、以下のようにして、ストライプのパリティブロックとデータブロック０−２から計算される。データ０＝パリティ−データ１−データ２＝１２−４−１＝７（４）時刻Ｔ_Bでは、新たな値２がデータディスク０に書き込まれる（箱内で２を囲んで示す）。時刻Ｔ_Bの時点では、パリティはデータディスク０に書き込まれている新たな値２に対して更新されておらず、値１２を持つ。したがって、データブロック１に関して計算された値は７に代わって９である。これは、時刻Ｔ_Bにおけるデータディスクに関して、括弧内の値９を囲んで図６に示されている。時刻Ｔ_Cの時点で通常に動作する場合、パリティブロックは、時刻Ｔ_Bの時点でデータブロック０に書き込まれる値２によって、１０に更新される。時刻Ｔ_Cでのパリティに対する新たな値１０は長方形の中に示してある。パリティ値１０について、データブロック１用の正しい値７が括弧内に示してある。図６に示すように、データディスク１が壊れているので、データブロック１に保存されているデータはディスク配列におけるその他のブロックから計算される。データブロック０に対する時刻Ｔ_Bでの最初の書き込み後のデータブロック１の計算値は正しくない。データブロック１に関する値９は、時刻Ｔ_Cにおけるパリティに関する次の書き込みが終了するまでは不正確である。時刻Ｔ_BとＴ_cとの間でシステム破壊が発生すると、故障したディスク又は壊れたディスクを有するＲＡＩＤ配列に対する書き込みはストライプ中のデータを破壊する。従来の方法に関して図６に示すように、パリティは更新されず、そのために値１２を有する（アンダーラインで示す）。したがって、ストライプのデータブロック１に関する計算値は不正確で、ストライプは以下のようにして破壊される。データ１＝パリティ−データ０−データ２＝１２−２−１＝９≠７（５）同様のデータ破壊が、データが到達する前にパリティがディスクに到達した場合に発生する。システムとディスクの同時破壊によるデータ破壊ＲＡＩＤシステムは、停電によりシステム破壊が発生した場合、ディスク破壊を経験する可能性が大いにある。一般に、停電後に発生する過渡電圧急激な立ち上がりによってディスクはダメージを受ける。したがって、システムとディスクの同時破壊によって、ストライプが壊れる可能性がある。図９はシステムとディスクの同時破壊を示す従来の図で、そこではパリティがディスクに書き込まれる前に、新たなデータ値に関してデータディスクが更新される。時刻Ｔ_Aでは、パリティディスクは値１２、データディスク０−２はそれぞれ４、７、及び１を有する。時刻Ｔ_Bでは、新たな値２がデータディスク０に書き込まれる（箱で示す）。時刻Ｔ_Bの時点では、パリティは、データディスク０に書き込まれた新たな値２に関して更新されず、値１２を有する。時刻Ｔ_BとＴ_Cとの間でシステム破壊が発生すると、ディスク１の値は破壊される。これは、時刻Ｔ_BとＴ_Cとの間に、システムとディスク同時に故障することにより発生する。時刻Ｔ_Cでは、システム故障によりパリティは更新されず、したがって値１０の代わりに値１２を有する。また、データディスク１はディスク故障により壊れる。データブロック１に関する計算値９は正しくない。以下のように、破壊されたパリティ値を用いてデータディスク１に関して正しく計算される。データ１＝パリティ−データ０−データ２＝１２−２−１＝９≠７（７）パリティがデータよりも前にディスクに到達した場合にデータは同様に破壊される。本発明の概要図８はＲＡＩＤシステム用にＮＶ−ＲＡＭを使用したエラー補正に関する本発明を示す図で、これはホストコンピュータ８１０、ＮＶ−ＲＡＭ８１６を有するＲＡＩＤコントローラ８１４、及びＮ＋１個のディスク８２０−８２６を備えている。ホストコンピュータ８１０は第１の通信チャンネル８１２によりＲＡＩＤコントローラ８１４に接続されている。ＲＡＩＤコントローラ８１４は、不一致状態になる可能性のあるＲＡＩＤ配列８２８のストライプを保存するためにＮＶ −ＲＡＭ８１６を備えている。ＲＡＩＤコントローラ８１４は、第２の通信チャネル８１８によりＲＡＩＤ配列８２８のＮ＋１個のディスク８２０−８２６に接続されている。ＲＡＩＤ配列８２８はパリティディスク８２０とＮ個のデータディスク８２２−８２６をそれぞれ備えている。ＮＶ−ＲＡＭ８１６は、潜在的に不一致となり得るパリティディスク８２０に保存されているすべてのパリティブロックのリストを維持することにより、システム故障後にＲＡＩＤを回復する速度を増すべく使用されている。一般的には、このブロックのリストは小さい。それは、ＲＡＩＤ配列８２８中のパリティブロックの全体数よりも小さい数オーダーの大きさでもよい。例えば、ＲＡＩＤ配列８２８は数十万のパリティブロックを有するのに対して、潜在的に不一致のブロックは僅か数百以下である。潜在的に不一致のいくつかのパリティブロックの情報によりパリティの再計算が格段に容易になる。その理由は、それらのパリティブロックだけを再保存すればよいからである。本発明はＮＶ−ＲＡＭ８１６を用いてデータをＲＡＩＤ配列８２８に安全に書き込むようにしており、このＲＡＩＤ配列はシステム故障によってもデータを破壊することなく壊れたディスクを保持する。破壊されることがあるデータは、破壊動作が始まる前にＮＶ−ＲＡＭ８１６にコピーされる。システム破壊後、ＮＶ −ＲＡＭ８１６に保存されたデータを用いて、ＲＡＩＤ配列８２８を矛盾ない状態に回復する。図１１Ａ−Ｃは、本発明により実行されるステップを示すフロー図である。まず図１１Ａを参照すると、ブート処理が実行される。判定ブロック１１０１では、システムがちょうど故障したか否か判定される。判定ブロックで正しいと判断された場合には、システムはステップ１１０２に進み（図１１Ｂ）、回復処理を実行する。判定ブロックで誤りと判断された場合、システムは通常処理のためにステップ１１０３に進む（図１１Ｃ）。図１１Ｂは、システム故障後の回復のフロー図を示す。判定ブロック１１０４では、ＮＶ−ＲＡＭ中の不正ストライプのリストで特定された残存ストライプがあるか否か判定する。判定ブロック１１０４で誤りと判断された場合、システムはリターンステップに進む。判定ブロック１１０４で正しいと判定された場合、システムはステップ１１０５に進む。ステップ１１０５では、ストライプ番号が得られる。ステップ１１０６では、パリティを再計算するために必要な識別されたストライプのデータブロックが読まれる。パリティはステップ１１０７でストライプに関して再計算される。ステップ１１０８では、ストライプ用に新たなパリティブロックが書き込まれる。次に、このシステムは判定ブロック１１０４に戻る。通常の処理が図１１Ｃに示してある。ステップ１１０９では、ストライプを更新するために必要なすべてのブロックが読まれる。ステップ１１１０では、ストライプに関する新たなパリティが、新たなデータを使って計算される。そのストライプのストライプ番号は、ステップ１１１１でＮＶ−ＲＡＭ中の不正ストライプのリストに書き込まれる。ステップ１１１２では、ストライプを更新するために必要なディスクブロックがディスクに書き込まれる。ステップ１１１３では、ストライプの数がＮＶ−ＲＡＭの不正ストライプのリストから除去される。ＮＶ−ＲＡＭを用いたシステム故障のパリティ破壊図５は、ＮＶ−ＲＡＭを用いてパリティ破壊を防止する本発明を示す図である。図１１Ａ−Ｃを参照してタイミング図を説明する。図５はシステム破壊を示す本発明のタイミング図で、変更する値は図３Ａのディスク３３０−３３６に書き込まれる。その図は、パリティが新たなデータについて計算されそのデータがパリティブロックを更新する前にデータに書き込まれる場合のものである。時刻Ｔ_A の時点で、パリティブロックは値１２、データブロック０−２は値４、７、及び１をそれぞれ有する。Ｔ_Aの時点で、本発明に関する図１１Ｃのステップ１１０９は、ストライプを更新するのに必要なブロックがメモリに書き込まれたときに実行される。そのシステムはステップ１１１０を実行し、そこでは新たなパリティ値が新たなデータ値に基づいて計算される。時刻Ｔ_Bの時点では、図１１Ｃのステップ１１１１が実行され、そこでストライプ数がＮＶ−ＲＡＭに書き込まれる。時刻Ｔ_Cでは、ステップ１１１２で、新たなデータ値２（値を囲む箱で示す）がデータブロック０に書き込まれ、時刻Ｔ_Bにデータブロック０に保存されている値４に置き換わる。データブロック１と２に保存されているその他の値は変更されない。最初に、システムが故障しない通常の場合を考える。本発明では、新たなパリティ値１０（パリティの見出しの下に箱で示す）が時刻Ｔ_Dにステップ１１１２で書き込まれる。これにより、時刻Ｔ_Cに、データブロック０への書き込み用にパリティブロックが更新される。時刻Ｔ_Eには、ステップ１１１３で、ＮＶ−ＲＡＭのストライプ数がクリアされる。したがって、パリティディスクとデータディスク０−２に関するブロックを有するストライプがそれぞれ１０、２、７、及び１を有する。次に、時刻ｔ_iとｔ_Dとの間（ステップ１１１１と１１１３との間）にシステムが故障した場合を考える。このシステムはリブートし、図１１Ａのスタート時点で実行開始される。判定ブロック１１０１では、時刻Ｔ_Dにおいて、システム故障が発生すると、判定ブロック１１０１は正しい（Ｙｅｓ）と判定する。ストライプは、パリティ用に値１２（アンダーラインで示す）とデータディスク０−２用の値２、７、及び１をそれぞれ有する。図５に示すように、時刻Ｔ_Cに、システム故障後にパリティが壊れる。これは次の理由からである。パリティ＝データ０＋データ１＋データ２＝２＋７＋１＝１０≠１２（９）しかしながら、ストライプは矛盾のない状態まで回復できる。ＮＶ−ＲＡＭは回復対象であるストライプの表示、すなわち更新されるストライプのリストを有する。パリティ値以外のすべてはディスク上で利用できる（時刻Ｔ_cにディスクに書き込まれる“２”）。ストライプに関するデータ値はディスクから読み取られ、新たなパリティ値１０が計算される。パリティ＝データ０＋データ１＋データ２＝２＋７＋１＝１０（１０）したがって、新たに計算されたパリティ値１０は、時刻Ｔ_Dにステップ１１０８でパリティディスクに書き込まれ、ストライプは最早壊れていない。以下のものは図１１Ｃの処理を説明する疑似コードの例である。（１）ストライプを更新するために必要なすべてのディスクブロックを読む。（２）新たなパリティの内容を計算する。（３）ストライプがＮＶ−ＲＡＭの不正ストライプリストに書き込まれるようにストライプに＃を付す。（４）ストライプを更新するのに必要な全てのディスクブロックを書込む。（５）直前に書き込まれたストライプ用の＃をＮＶ−ＲＡＭ不正ストライプリストから取り除く。システムの故障後に、図１１Ｂのスタートアップ手続の一部を以下の疑似コードを用いて説明する。（ＮＶ−ＲＡＭ不正ストライプリストの中で特定されたすべてのストライプ）に関して｛（１）ストライプ中のすべてのデータブロックを読み取る。（２）ストライプ用のパリティブロックを再計算する。（３）ストライプ用に新たなパリティブロックを読み取る。｝したがって、本発明によれば、ＮＶ−ＲＡＭを使用することにより、システム破壊後にパリティが壊れるのを防止できる。リストの代わりにビットマップを用いることによるパリティ破壊の検出前節では、潜在的に壊れているストライプのリストをＮＶ−ＲＡＭに保持することで、システムが壊れた後のレブートの際に、リスト中のストライプだけがそれらの再計算されたパリティブロックを保持する必要があった。本発明の別の実施例はＮＶ−ＲＡＭ中でビットマップを使用して、システム破壊後にパリティブロックを再計算しなければならない潜在的に壊れたストライプを表示する。この方法ではビットマップを使用し、そこでは各ビットが１以上のストライプ群を代表している。一般的なディスク配列は２５，０００のストライプを備えている。ビットマップの各項目は一つのストライプを代表し、そのビットマップは約３２ＫＢである。各ビットで隣接する３２個のストライプ群を代表させることにより、その大きさを１ＫＢに縮小できる。システム破壊後にあっては、どのストライプがリストの代わってパリティ再計算を必要とするかを判断するためにビットマップを使用しているという点を除いて、この方法は“ストライプのリスト”と本質的に同一である。ビットマップ中にビットが設定されている群のすべてのストライプによりそれらのパリティが再計算される。通常処理中にビットマップを管理するのは、リストを管理するのと少し異なる。更新が完了するやいなやストライプの項目を消去するのは最早不可能である。一つのビットは一以上のストライプの動作を指示できるからである。あるストライプの更新は行われるかもしれないが、同一ビットを共有する別のストライプは依然として役立つかもしれない。代わりに、ストライプ用の適当なビットがストライプを更新する直前に設定されるが、更新が完了した後でも消去されない。周期的に、ビットマップが大量の項目を蓄積している場合、すべてのブロックはディスクに流され、それは不一致のストライプがないことを保証し、全ビットマップが消去される。以下の疑似コードはこれを実施する。（１）ストライプを更新するために必要なすべてのブロックを読み込む。（２）新たなパリティの内容を計算する。（３）ストライプの更新用にビットマップの項目を設定する。（４）ストライプの更新に必要なすべてのディスクブロックを書き込む。（５）ビットマップが満杯の場合、すべてのブロックがディスクに到達するまで待機し、すべてのビットマップを消去する。システム故障の場合、ビットマップにより多くのブロックをリストよりも明確にできるが、システム中のすべてのストライプに関するパリティを再計算するのに比べて保存は依然として相当なものである。一般的なＲＡＩＤシステムは２５０，０００のストライプを有し、したがってたとえ２，５００の潜在的に破壊されたストライプがビットマップ中で参考にされても、それはシステム中のストライプの僅か１％に過ぎない。ビットマップ法は書き込み−キャッシュディスクを用いると特に有益である。これは、停電時にデータがディスクに到達するのを保証するものではない。そのようなディスクは、実際にデータを書き込む前の所定時間、ＲＡＭにデータを保持することができる。これは、ストライプ更新段階が終了した後でも、パリティ破壊の可能性があることを意味する。たとえストライプがリストから除かれても、ストライプのパリティは依然として潜在的に破壊されているので、リスト法は動作しない。したがって、ビットマップ法を使用し、ビットマップがクリアされると同時に内部のキャッシュをフラッシュするように各ディスクに指示すると、書き込み− キャッシュディスクドライブと組み合わせて発明を動作させることができる。ＮＶ−ＲＡＭを使用して壊れたディスクによる書き込み上のデータ破壊本発明は、不揮発性ＲＡＭの壊れたディスクからデータを保存することにより、故障したディスクを用いた書き込み上でのデータ破壊に対する問題を解消することである。図７Ａは、ＮＶ−ＲＡＭの故障したディスクからデータを保存することにより、データ破壊を防止する本発明のタイミング図である。図１１Ａ−Ｃを参照して図を説明する。図７Ａにおいて、パリティが更新される前にデータがディスクに書き込まれる。時刻Ｔ_Aにおいて、壊れたデータディスク１は、括弧内に示した値７を有するように表示されている。括弧内の値７は、データディスク１が故障し、ディスクから再計算されたものであることを示している。この値は、パリティディスクに保存されている値１２から、データディスク０と２の値４と１を減算することにより計算される。ステップ１１０９では、ストライプが時刻Ｔ_AにＲＡＩＤ配列から読み込まれる。ＮＶ−ＲＡＭは消去される。これは図７ＡにおいてＮＶ−ＲＡＭに関する見出しの下に疑問符で示してある。時刻Ｔ_Bの時点で、故障したデータディスク１の値７はステップ１１０９にしたがってＮＶ−ＲＡＭに書き込まれる。ＮＶ−ＲＡＭに書き込まれるデータディスク１の値７は、図７Ａ中の長方形箱により示されている。次に、システムは図１１Ｃのステップ１１１０でストライプ用の新しいパリティ値を計算する。時刻Ｔ_Cでは、データディスク０用の新しい値２（箱で示す）が、ステップ１１１２にしたがって、ストライプ用のパリティが更新される前に、ディスクに書き込まれる。したがって、時刻Ｔ_Cには、データディスク１の値は９で、括弧内に示されている。システムが故障していない通常の場合、新たなパリティ値１０が時刻Ｔ_Dにディスクに書き込まれ、ディスク１の再計算された正しい値が７になる。時刻Ｔ_CとＴ_Dとの間にシステム破壊が発生すると、パリティの新たな値は、時刻Ｔ_Cにデータディスク０に書き込まれる値２に関してＮＶ−ＲＡＭを用いて正しく更新される。ステップ１１０６にしたがって、ＮＶ−ＲＡＭに保存されているすべての機能しているデータディスクに関する値を最初に読み取って、時刻Ｔ_Dにパリティが正しく更新され、その値の計算は以下の通りである。パリティ＝データ０＋ＮＶ−ＲＡＭ＋データ２＝２＋７＋１＝１０（１２）したがって、システムが故障した後に本発明が再スタートすると、パリティに関して正しい値１０が計算される。ステップ１１０８では、値１０が時刻Ｔ_Dにパリティディスクに書き込まれ、計算された値Ｄ１を正しい値１に戻す。時刻Ｔ_E に、ＮＶ−ＲＡＭはステップ１１１３でクリアされる。したがって、本発明によれば、ＮＶ−ＲＡＭを使用することによって、ディスクが故障したときに、システム故障によってデータが破壊されるのを防止できる。図７Ｂは、データが更新される前にパリティがディスクに書き込まれた場合に、ＮＶ−ＲＡＭの故障したディスクからデータを保存することによりデータ破壊を防止する本発明のタイミング図である。時刻Ｔ_Aにおいて、壊れたデータディスク１が、括弧内に示した値７を有するように示してある。この値は図７Ａを参照して上述のように計算される。ステップ１１０９では、ストライプは時刻Ｔ_A にＲＡＩＤ配列から読み込まれる。ＮＶ−ＲＡＭがクリアされ、それはＮＶ−ＲＡＭの見出しの下の疑問符で示してある。時刻Ｔ_Bにおいて、故障したデータディスク１の値７がステップ１１０９にしたがってＮＶ−ＲＡＭに書き込まれる。ＮＶ−ＲＡＭに書き込まれるデータディスク１の値７は図７Ｂで長方形箱により示してある。次に、システムは、図１１のステップ１１１０でストライプに関するパリティの新たな値を計算する。時刻Ｔ_Cでは、パリティの新たな値１０（箱で示す）が、データブロック０を更新する前に、ステップ１１０８でパリティディスクに書き込まれる。したがって、時刻Ｔ_Cにおいて、データディスク１の値は５で、括弧内に示してある。時刻Ｔ_CとＴ_Dとの間でシステム破壊が発生した場合、新たなパリティ値がＮＶ−ＲＡＭを用いてパリティディスクについて正しく更新される。判定ブロック１１０１では、システムがリブートした後、システム破壊が発生したか否か判定する。そして、本実施例では判定ブロックでは正しい（Ｙｅｓ）に戻り、ステップ１１０４を継続する。以下のように、パリティは時刻Ｔ_Dにその値を再計算して正しく更新される。パリティ＝壊れたディスク（７）のＮＶ−ＲＡＭ＋壊れていないディスクのディスク上のデータ＝４＋７＋１＝１２（１３）したがって、図７Ａ−７Ｂに示すように、システムがまさにストライプに書き込まれようとするとき、不揮発性ＲＡＭ中の故障したデータディスク１に関する値を保存する。次に、データディスク０（パリティ）の新たな値をディスクに書き込む。新たな値を時刻Ｔ_Cにディスク０（パリティディスク）に書き込んだ後にシステム破壊が発生すると、データディスク１の値が破壊される。システム故障後、新たなパリティ値（データディスク０）が、データディスク１用に計算された値５に代えて、ＮＶ−ＲＡＭに保存されている値７を用いて計算される。パリティの値（データディスク０）は次にディスクに書き込まれる。これが完了すると、ＮＶ−ＲＡＭは消去される。ＮＶ−ＲＡＭを用いたシステムとディスクの同時破壊本発明は、ＮＶ−ＲＡＭ中でストライプブロックを保存することにより、同時にシステムとディスクの破壊が発生したときの、パリティとディスクの破壊に関する問題を解消する。ＮＶ−ＲＡＭを使用することにより、システム中の複数のブロック（以下の例では、データブロック０と１）を更新する間にシステム破壊が発生した場合、システムを矛盾のない状態に回復できる。こららのデータブロックを変換するためには、更新されるストライプのパリティが必要である。本発明では、その目的のためにディスクから読み取られるＮＶ−ＲＡＭの任意のブロックに常に保存する（データブロック０を更新する前にそれをＮＶ−ＲＡＭに読み込む）。したがって、ストライプ情報はＮＶ−ＲＡＭに保存されているデータから再計算できる。本発明は、そのために減算によるパリティと再計算によるパリティを用いる２つの解決法を提供するものである。減算によるパリティでは、パリティとデータのブロックを含むデータは、それを更新する前にディスクから読み取られる。図１０Ａは、ＮＶ−ＲＡＭ中のストライプのブロックを保存することにより、パリティとデータの破壊を防止するための、本発明にかかるタイミング図である。図１１Ａ−Ｃを参照して図面を説明する。図１０Ａにおいて、データはパリティが更新される前にディスクに書き込まれる。時刻Ｔ_Aでは、パリティブロックとデータブロック０がＲＡＩＤ配列から読み込まれる。ＮＶ−ＲＡＭは消去される。これは、図１０Ａにおいて、ＮＶ −ＲＡＭ用の見出しの下の疑問符で示してある。時刻Ｔ_Bにおいて、パリティブロックとデータブロック０は、それらがディスクから読み込まれると、ＮＶ−ＲＡＭに書き込まれる。ＮＶ−ＲＡＭに書き込まれるパリティブロックとデータブロック０は、図１０Ａにおいて長方形の箱で示してある。システムは次にデータブロック０用の値２について新たなパリティ値を計算する。時刻Ｔ_Cにおいて、データディスク０の新たな値２（箱で示す）は、ストライプのパリティを更新する前に、ディスクに書き込まれる。時刻Ｔ_CとＴ_Dとの間にシステム故障が発生すると、ＲＡＩＤ配列中のディスクが故障し、本発明は壊れたディスクの３つの場合、パリティディスク、データディスク０、及びデータディスク２（又は３）について解決策を提供する。判定ブロック１１０１では、システム破壊が発生したか否か判定する。本実施例では、判定ブロックは正しい（Ｙｅｓ）に戻り、ステップ１１０４で継続される。パリティが減算により計算される場合、システム破壊による壊れたディスクの３つの場合は、それぞれ図１０Ａ−１０Ｃに示す。図１０Ａの時刻Ｔ_Dにおいて、時刻Ｔ_CとＴ_Dとの間で、システム破壊によってパリティディスクが故障する。この場合、何も行われない。いかなるデータも失われず、パリティディスクにはいかなる情報も書き込まれることがない。図１０Ｂを参照すると、時刻Ｔ_Dにおいて、時刻Ｔ_CとＴ_Dとの間のシステム破壊によりデータディスク０が故障する。この場合のパリティを再計算する一般式は、次の通りである。パリティ＝“壊れたディスクのＮＶ−ＲＡＭ” ＋“壊れていないすべてのディスクのディスク上の値” 本実施例では、それは次のようになる。パリティ＝ＮＶ（データ０）＋データ１＋データ２＝４＋７＋１＝１２その結果、壊れたディスクを再保存するために、ＮＶ−ＲＡＭ中に保存された値にパリティが更新される。この特別な例では、パリティの新たな値は古い値に調和することがある。データ０の他にその他のデータブロックが更新され、しかもシステム破壊の前にそれらの一つがディスクに到達した場合、新たなパリティ値は古いものと調和することがない。図１０Ｃを参照すると、時刻Ｔ_Dにおいて、時刻Ｔ_CとＴ_Dとの間のシステム破壊によりデータディスク１が故障する。この場合は、ステップ１１４でＮＶ−ＲＡＭからパリティとデータディスク０の値を読み込み、それらをディスク（箱で示す）に書き込むことで処理される。したがって、データディスク０に対する変換は上書きされるが、ストライプは矛盾のない状態に戻る。データディスク１は、その値を括弧で囲うことにより、時刻Ｔ_DとＴ_Fに破壊されたものとして示されている。そして、破壊されたデータディスク１の値は、以下のように、時刻Ｔ_D の時点で７に正しく計算される。データ１＝ＮＶ（パリティ）−ＮＶ（データ０）−データ２＝１２−４−１＝７（１４）ここで、ＮＶ（パリティ）とＮＶ（データ０）は、ＮＶ−ＲＡＭに保存されているパリティとデータブロック０の値である。時刻Ｔ_Eには、ＮＶ−ＲＡＭがクリアされる。したがって、図１０Ｃにおいて、時刻Ｔ_CとＴ_Dとの間のシステム破壊後にデータディスク１（壊れたディスク２も同様に処理される）が故障しても、ストライプは本発明によって矛盾のない状態に保たれる。この場合、以下のようにして、壊れたディスクの古い内容を最初に計算することにより処理できる。Ｄ１計算値＝ＮＶパリティ −“更新されるディスクのＮＶ値” −“更新されないデータディスクのディスク上の値” 新たなパリティ値は以下の式から計算される。パリティ＝“上述のステップから得たＤ１計算値” ＋“壊れていないすべてのデータディスクに関するディスク上の値”再計算によるパリティと同時のシステムとディスクの破壊再計算によるパリティにおいて、更新されていないデータブロックはまずディスクから読み取られた後、まさに書き込まれようとしている新たなデータと組み合わせた値に基づいて再計算される。これは、多数のデータブロックが一時に更新される場合に一般に使用される。何故ならば、それらの場合に、減算によるパリティよりも一層効率的だからである。簡単にするために、本実施例では、一つのブロックだけを更新する。示されている方法は任意の数のブロックを更新する場合に適用される。図１２Ａ−１２Ｃは再計算によるパリティのタイミング図である。時刻Ｔ_A、Ｔ_B、及びＴ_Cに関して、それらはすべて一致している。時刻Ｔ_Aにおいて、ステップ１１０９では、ブロックＤ１とＤ２がディスクから読み込まれる。ステップ１１１０において、システムは、ディスク１と２からちょうど読み込まれたデータと共にディスク０に関する新たなデータに基づいて新たなパリティを計算する。時刻Ｔ_Bにおいて、ステップ１１１１では、ブロックＤ１とＤ２が、それらが属するストライプの標識と共にＮＶ−ＲＡＭに書き込まれる。時刻Ｔ_Cにおいて、ステップ１１１２の間、新たな値“２”がディスク０に書き込まれる。通常の場合、パリティブロックはまたステップ１１１２の際中に書き込まれ、破壊されることはない。本実施例では、ディスク故障との組み合わさったシステム故障がある。システムが故障した後にシステムがリブートすると、ステップ１１０１で処理が開始される。故障があるので、判定ブロックは正しい（Ｙｅｓ）に戻り、ステップ１１０２で続けられ、ＮＶ−ＲＡＭの内容に基づいてＲＡＩＤサブシステムを回復するために必要なステップを実行する。図１２Ａは、パリティディスクが壊れた場合を示す。この場合、何も行われる必要がない。データディスクは壊れていないので、データが失われる可能性はない。図１２Ｂは、更新されるディスクが壊れた場合を示す。なお、時刻Ｔ_Dにおいて、ディスク０に関して計算された値は正しくない。一般に、複数のブロックが更新されると、失われたデータブロックを再生するために十分な情報はＮＶ−ＲＡＭ中にない。これは、再計算によるパリティでは、ＮＶ−ＲＡＭに乗っているのは更新されていないデータだからである。壊れたディスク上のデータはどこにも保存されていない。この場合、本発明では、壊れたディスクの内容をゼロに設定する新たなパリティ値を計算する。そのための一般式は次の通りである。パリティ＝壊れていないディスクの合計また、この実施例では、それは以下の通りである。パリティ＝Ｄ１＋Ｄ２＝７＋１＝８時刻Ｔ_Eに新たなパリティ値が書き込まれ、また時刻Ｔ_EにＤ１とＤ２に関するＮＶ−ＲＡＭ値がクリアされる。新たなデータを古いデータと同じ場所に書き込む従来のファイルシステムでは、データブロックをゼロ化することは行われない。しかし、ＷＡＦＬによれば、これは常に新たなデータをディスク上の不使用位置に書き込むものであり、書き込まれるブロックをゼロ化することは問題ない。何故ならば、ブロックの内容はファイルシステムの一部ではないからである。図１２Ｃは、更新されないディスクが壊れた場合を示す。なお、時刻Ｔ_Dにおいて、ディスクの計算値は正しくない。パリティを再計算する式は以下の通りである。パリティ＝“壊れたディスクのＮＶ−ＲＡＭ値” ＋“壊れていないディスクに関するディスク上の値” 本実施例では、それは次の通りである。パリティ＝ＮＶ（Ｄ１）＋Ｄ０＋Ｄ２＝７＋２＋１＝１０時刻Ｔ_Eに新たなパリティ値が書き込まれ、また時刻Ｔ_FにＤ１とＤ２に関するＮＶ−ＲＡＭ値がクリアされる。このようにして、不揮発性ランダムアクセスメモリ（ＲＡＭ）を用いたディスク配列に関するエラー補正の方法と装置が開示されている。

───────────────────────────────────────────────────── フロントページの続き (72)発明者マルコム、マイケルアメリカ合衆国、94022、カリフォルニア州、ロス・アルトス、サウス・アヴァロン・ドライブ48番 (72)発明者ロー、ジェームスアメリカ合衆国、95014、カリフォルニア州、クパーティノ、アップランド・ウェイ 11570番 (72)発明者ラッキッツィズ、バイロンアメリカ合衆国、94043、カリフォルニア州、マウンテン・ヴュー、ノース・ウィスマン100番、ナンバー130

Claims

【特許請求の範囲】１．処理手段と、複数のディスクのうちの少なくとも一つがパリティ情報を保存するためのものである複数の保存データ用ディスクを有するＲＡＩＤ配列と、上記ＲＡＩＤ配列に接続されるＲＡＩＤ配列をコントロールするコントロール手段とを備え、上記コントロール手段はさらに処理手段に接続され、上記コントロール手段は複数のストライプを保存する不揮発性メモリを備えている、エラー補正システム。