DE4340069A1 - Verfahren zum Sichern von Daten auf dem Plattenspeicher eines Rechners - Google Patents

Description

In Datenverarbeitungsanlagen werden häufig hohe Anforderungen an die Datensicherheit gestellt, und zwar nicht nur an den Schutz gegen Verlust, sondern auch gegen Inkonsistenz, die z. B. dann auftritt, wenn in einer Datei auf Daten in einer anderen Datei verwiesen wird, die wegen eines Spannungsaus­ falls nicht mehr gespeichert werden konnten. Besonders in Steuerungen für Werkzeugmaschinen werden hohe Anforderungen gestellt, da infolge fehlerhafter Daten großer Schaden ent­ stehen kann.

Ohne Gegenmaßnahmen führen Spannungseinbrüche zu fehlerhaften Datenstrukturen. Damit die Datensicherheit auch nach abnorma­ ler Systembeendigung sichergestellt ist, wurde bisher der Hauptspeicher ganz oder teilweise batteriegepuffert. Mit der Einführung von Festplatten, z. B. in die Mensch-Maschine-Kom­ munikationskomponente von Steuerungssystemen, reicht eine Batteriepufferung des Hauptspeichers zur Konsistenzsicherung nicht mehr aus. Denn da für das Wiedererreichen des konsi­ stenten Zustandes nach einer Änderung in der Regel die voll­ ständige Durchführung mehrerer Plattenzugriffe erforderlich ist, entstehen große Zeiträume, in denen bei Einsatz konven­ tioneller Mittel ein Spannungseinbruch zum Datenverlust und zur Dateninkonsistenz führt. Eine Hardware-Unterstützung, z. B. eine unterbrechungsfreie Stromversorgung oder der Ein­ satz spezieller Plattensubsysteme zur Sicherung der Datenkon­ sistenz kommt aus Kostengründen nicht in Betracht.

Als Software-Lösung dieses Problems wurde das Transaktions­ konzept vorgeschlagen. Danach werden alle aus Sicht des Be­ nutzers logisch zusammengehörigen Operationen zu einer Ein­ heit, der Transaktion, zusammengefaßt. Diese werden, wenn die Ausführung einer Operation durch eine Störung abgebrochen wird, so zurückgesetzt, als ob nie irgendeine dieser Opera­ tionen ausgeführt worden wäre. Andererseits muß das Resultat einer bis zum Ende ausgeführten Transaktion auch nach einer Systemstörung erhalten bleiben. Wird jede Transaktion so zu­ sammengestellt, daß durch ihre Ausführung ein zu Beginn kon­ sistenter Datenbestand am Ende konsistent bleibt, so kann die Konsistenz des Datenbestandes auch durch Systemstörungen nicht mehr verlorengehen.

Das Transaktionskonzept ist zwar für Datenbanksysteme geeig­ net, zeigt aber beim Einsatz in numerisch gesteuerten Werk­ zeugmaschinen eine Reihe von Nachteilen. So entsteht ein Pro­ blem dadurch, daß beim Transaktionskonzept alle Anwendungen auf den Schnittstellen der Software aufsetzen, welche die Da­ tensicherheit gewährleisten soll. Da in numerisch gesteuerten Werkzeugmaschinen, vor allem in der hier in Betracht kommen­ den Mensch-Maschine-Kommunikationskomponente, Software unter­ schiedlicher Hersteller und Standard-Software eingesetzt werden, ist die Integration einer Software-Lösung in alle An­ wendungen nicht möglich. Auch ist ein erheblicher Bedarf an Haupt- und Peripherspeicher erforderlich, der einen wirt­ schaftlichen Einsatz, insbesondere bei Kleinsteuerungen, nicht zuläßt. Nach einer abnormalen Systembeendigung müssen im Wiederanlauf die Datenstrukturen reorganisiert werden, d. h. die Daten nach Inkonsistenzen durchsucht, Transaktionen schrittweise zurückgesetzt werden und so fort. Diese Reorga­ nisation kann erhebliche Zeit benötigen, was zu beträchtli­ chen Kosten führen kann. Auch sind bei Wiederanlauf oder für Vorsorgemaßnahmen des Anwenders im laufenden Betrieb Ein­ griffe erforderlich, so daß in der Regel ein operatorloser Betrieb nicht möglich ist.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, ein Verfahren zum Sichern von Daten gegen Verlust und Inkonsi­ stenz zu schaffen, für das nur ein geringer Aufwand erforder­ lich ist und das einen raschen Wiederanlauf nach einer Stö­ rung ermöglicht. Ferner soll eine Steuerung für eine nume­ risch gesteuerte Werkzeugmaschine geschaffen werden, welche im Falle einer Störung, z. B. eines Spannungsausfalles, die Daten in einem konsistenten Zustand sichert, aus dem ein ra­ scher Wiederanlauf möglich ist.

Erfindungsgemäß werden diese Aufgaben mit den in den Ansprü­ chen 1 und 5 angegebenen Maßnahmen gelöst.

Ausgestaltungen und Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.

Anhand der Zeichnung wird im folgenden die Erfindung näher beschrieben und erläutert.

In den Fig. 1 bis 5 sind einzelne Schritte eines Beispiels des neuen Verfahrens veranschaulicht.

In Fig. 1 ist mit HS der Hauptspeicher einer Werkzeugmaschi­ nensteuerung bezeichnet, mit einem Zwischenpuffer CH (Cache), über den Daten in und aus einem Plattenspeicher, im folgenden auch kurz Platte genannt, eingeschrieben bzw. ausgelesen wer­ den. In einen Hauptspeicherbereich SF können Verwaltungsin­ formationen eingetragen werden, die z. B. angeben, unter wel­ cher Adresse Dateien bzw. Datenblöcke auf der Platte gespei­ chert sind. Diese enthält z. B. Datenblöcke a, o, x, s, g, u, c, e. Ferner sind in einem Bereich V Informationen, wie An­ fangsadresse, Blockgröße und dergleichen, zur Verwaltung der genannten Datenblöcke gespeichert.

In dem in Fig. 1 veranschaulichten Ausgangszustand sind die Datenblöcke und die Verwaltungsinformationen gesichert, d. h., sie sind dauerhaft gespeichert. Dies bedeutet, daß im Falle einer Störung, z. B. eines Netzausfalles, der Wiederan­ lauf mit den gesicherten Datenblöcken und der gespeicherten Verwaltungsinformationen erfolgt. Die Inhalte des Zwischen­ puffers CH und des Hauptspeicherbereichs SF sind noch ohne Bedeutung, so daß sie leer dargestellt sind.

In Fig. 2 ist ein Zustand dargestellt, der sich, ausgehend vom Zustand nach Fig. 1, bei der Bearbeitung eines Program­ mes nach einigen Schreib-/Leseoperationen eingestellt hat. Die Datenblöcke a, s, u sind von der Platte PS in den Zwi­ schenpuffer CH gelesen und dort zu Blöcken a′, s′, u′ modifi­ ziert worden. Dec Datenblock y ist neu gebildet, er existiert nur im Hauptspeicher. Der Datenblock c wurde bisher nur ge­ lesen; er wird unverändert im Zwischenpuffer CH für nachfol­ gende Lese- oder Schreiboperationen bereitgehalten. Der Block x war zunächst in den Zwischenpuffer CH gelesen und dort zu einem Block x′ verändert worden, wurde aber dann wegen Überfüllung des Zwischenpuffers zurück auf die Platte PS verdrängt, damit Platz für andere Blöcke frei wurde. Auf der Platte befindet sich somit der dauerhaft gespeicherte Daten­ block x und ein schraffiert dargestellter, flüchtig gespei­ cherter Datenblock x′. Die Verwaltungsinformationen für flüchtig gespeicherte Blöcke sind im Bereich SF des Haupt­ speichers HS enthalten. Bei normalem ungestörtem Betrieb wird mit dieser Information auf die Platte zugegriffen, so daß im­ mer die aktuellsten Daten benutzt werden.

Der Datenblock e wurde in den Hauptspeicher HS ausgegeben, modifiziert und direkt als Block e′ dauerhaft auf der Platte gespeichert. Das Verfahren der direkten Speicherung wird wei­ ter unten beschrieben. Deren Ergebnis ist, daß die Daten ei­ nes Schreibauftrags sich vollständig und dauerhaft, ein­ schließlich der zugehörigen Verwaltungsinformation, auf der Platte befinden, wenn das Einspeichern quittiert ist. Wird ein direkter Schreibvorgang, z. B. wegen Spannungsausfalls, abgebrochen, so werden die bereits auf die Platte geschrie­ benen Daten nach dem Wiederanlauf zurückgesetzt.

Mit Ausnahme des Blockes e′ werden die Blöcke indirekt ge­ speichert. Bei dieser Art von Speicherung sind die Daten zu­ nächst flüchtig gespeichert. Das gilt auch für Änderungen von dauerhaft gespeicherten Daten. Die Änderung ist flüchtig, der ursprüngliche Wert geht aber nicht verloren. Dieser wird nur bei anormaler Beendigung der laufenden Datenverarbeitung be­ nutzt. Im Normalfalle wird nach einer Änderung nicht mehr auf den dauerhaft gespeicherten, sondern nur noch auf den flüch­ tig gespeicherten aktuellen Wert zugegriffen.

Die flüchtig gespeicherten Daten werden in einem Sicherungs­ vorgang, der in den Fig. 3 bis 5 veranschaulicht ist, dau­ erhaft gemacht, derart, daß auch ihre Konsistenz gesichert ist. Mit der Sicherung werden alle flüchtigen Daten in allen zum Sicherungszeitpunkt geöffneten Datensystemen dauerhaft gespeichert. Die Sicherung kann zu beliebigen vorbestimmten Bearbeitungspunkten durchgeführt werden, zweckmäßig jeden­ falls beim Schließen eines Dateisystems. Eine einzelne Datei mit flüchtigem Inhalt kann auch durch direktes Speichern dau­ erhaft gemacht werden.

In Fig. 3 ist der erste Sicherungsschritt veranschaulicht. Die im Zwischenpuffer CH enthaltenen Datenblöcke a′, y, s′, u′, die noch nicht auf der Platte flüchtig oder dauerhaft ge­ speichert sind, werden flüchtig gespeichert. Gleichzeitig werden in den Hauptspeicherbereich SF die zugehörigen Verwal­ tungsinformationen eingetragen.

Anschließend werden, wie in Fig. 4 gezeigt, die Verwaltungs­ informationen aus dem Hauptspeicher HS in den Bereich V der Platte PS eingetragen, und es werden in einem Vorgang die bisher flüchtigen Blöcke a′, y, x′, s′, d, u′ dauerhaft ge­ macht und die bisher dauerhaften Blöcke a, x, u, s als ungül­ tig markiert bzw. zum Überschreiben freigegeben. Dieser Um­ schaltvorgang ist kritisch und muß daher mit einem physischen Schreibauftrag erfolgen, mit dem nur ein Plattensektor be­ schrieben wird. Ein solcher Schreibvorgang wird von den übli­ chen Plattenlaufwerken immer, auch bei Eintreten einer Stö­ rung während des Schreibvorganges, zu Ende geführt. Bis zum Beginn dieses Schreibvorgangs wird ein Abbruch des Siche­ rungsvorgangs so behandelt, als ob er nicht eingeleitet wor­ den wäre. Danach existieren nur noch Datenblöcke sowie Datei­ strukturen, die einen Spannungsverlust, Systemabsturz und dergleichen überdauern (Fig. 5).

Der kritische Schreibvorgang, mit dem die flüchtigen Daten­ blöcke dauerhaft gemacht werden, kann darin bestehen, daß die Verwaltungsinformationen über neue und geänderte Datenblöcke aus dem Hauptspeicherbereich SF in den Plattenspeicherbereich V übertragen werden, wo sie zusammen mit den Informationen über unveränderte Datenblöcke die vollständige neue Verwal­ tungsinformation bilden. Statt dessen kann auch neben den Verwaltungsinformationen über die dauerhaft gespeicherten Da­ tenblöcke eine zweite Version von vollständigen Verwaltungs­ informationen über die neuen und geänderten, das sind die flüchtigen Datenblöcke, und die unveränderten, dauerhaften Datenblöcke auf der Platte gespeichert werden. Diese zweite Version der Verwaltungsinformationen ist zunächst flüchtig. Der kritische Schreibvorgang besteht dann darin, daß die zweite Version als dauerhaft und die ursprüngliche erste Ver­ sion als ungültig markiert wird. Ein solcher Umschaltvorgang ist sehr kurz und wird von allen üblichen Plattenspeichern in jedem Falle, eine physische Beschädigung der Platte selbstverständlich ausgenommen, zu Ende geführt.

Die direkte Speicherung läuft entsprechend der Sicherung von flüchtigen Daten ab. Zunächst wird die zu speichernde Datei auf die Platte geschrieben. Durch Eintrag der zugehörigen Verwaltungsinformation in den Plattenspeicherbereich V wird die Datei dauerhaft gemacht und gleichzeitig eine etwaige äl­ tere Datei, aus der die zu sichernde Datei durch Änderung hervorgegangen ist, ungültig gemacht.

Mit dem neuen Verfahren wird beim Wiederanlauf nach einer Störung der Datenbestand automatisch und ohne Zeitverlust auf den Zustand der letzten Sicherung und die darauffolgenden, durch direkte Speicherung sofort dauerhaft gemachten Daten aufgesetzt. Der zusätzlich benötigte Aufwand an Hauptspeicher und Peripheriespeicher ist sehr gering. Das Verfahren benutzt das Standard-Dateisystem, das mit Sicherheitsmechanismen er­ weitert ist. Die Standard-Schnittstellen können daher beibe­ halten werden, so daß alle Funktionen des Standard-Dateisy­ stems unverändert aufgerufen werden können. Damit sind alle Anwendungsprogramme ohne Eingriffe oder Veränderungen auf dem erweiterten Dateisystem ablauffähig. Dennoch wirkt das neue Verfahren auf alle Schreibvorgänge. Auch kann in gewohnter Weise dem Plattenspeicher ein Zwischenpuffer (Cache) vorge­ schaltet sein, der ohne Gefahr des Konsistenzverlustes un­ eingeschränkt genutzt werden kann.

Claims (5)

1. Verfahren zum Sichern von Daten auf dem Plattenspeicher eines Rechners, gekennzeichnet durch

• - ausgehend von einem gesicherten Zustand, in dem die Daten und die zugehörigen Verwaltungsinformationen im Platten­ speicher (PS) dauerhaft gespeichert sind, werden während der weiteren Programmbearbeitung geänderte und neue Daten flüchtig auf dem Plattenspeicher und/oder im Hauptspeicher gespeichert, wobei der letzte gesicherte Zustand erhalten bleibt;
• - bei Erreichen eines Sicherungspunktes werden die im Haupt­ speicher enthaltenen flüchtigen Daten sowie die zugehöri­ gen Verwaltungsinformationen in den Plattenspeicher (PS) übertragen;
• - die flüchtigen Daten und die Verwaltungsinformationen wer­ den zum Erreichen des nächsten gesicherten Zustandes gleichzeitig dauerhaft gemacht, während die bisher dauer­ haften Daten, die nach Änderungen in flüchtige Daten umge­ wandelt wurden, ungültig gemacht werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeich­ net, daß die flüchtigen Daten durch Eintrag ihrer Verwal­ tungsinformationen in den Plattenspeicher (PS) dauerhaft gemacht werden.

3. Verfahren nach Anspruch 1, dadurch gekennzeich­ net, daß auf dem Plattenspeicher (PS) erste Verwaltungsin­ formationen zu den mit der jeweils letzten Sicherung dauer­ haft gespeicherten Daten und zweite Verwaltungsinformationen zu den mit der folgenden Sicherung dauerhaft zu speichernden Daten enthalten sind und daß in den Sicherungspunkten die er­ sten Verwaltungsinformationen für ungültig und die zweiten Verwaltungsinformationen für die gesicherten Daten als gültig markiert werden.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Daten über einen Zwischenpuf­ fer (Cache) in den Plattenspeicher eingeschrieben und aus diesem ausgelesen werden.

5. Numerisch gesteuerte Werkzeugmaschine mit einer Steuerung, die nach den in den Ansprüchen 1 bis 4 angegebenen Verfahren arbeitet.