第十章 故障恢復與系統容錯

1第十章故障恢復與系統容錯2主要內容10.1概述10.2事務恢復10.3容錯10.4分層故障屏蔽和成組故障屏蔽10.5小結310.1概述

分布式系統設計的一個重要目標是:它可以從部分失效中自動恢復，而且不會嚴重影響整體性能。即在發(fā)生故障時，能容許錯誤，在某種程度上仍可以繼續(xù)工作。

410.2事務恢復1.事務的原子化特征要求：所有已提交的事務對數據項的影響都已反映到數據項中，所有未提交或異常終止的事務對數據項的影響應全部撤消。

5耐久性：

要求將數據項保存到永久存儲器中并可隨時使用，客戶的提交請求意味著該事務的所有影響不僅記錄在服務器的數據項中，而且記錄在永久存儲器中。錯誤原子化：

是指服務器發(fā)生故障，事務對數據的影響是原子化的。62.恢復處理程序的主要任務:將數據保存到永久存儲器中對數據項進行恢復重新組織恢復文件回收存儲空間7意向表：

任何提供事務的服務器需要對客戶事務所存取的數據項進行監(jiān)控。表中包含事務名及由事務修改的數據項的值。當服務器準備提交事務時，它必須把該事務的意向表以及意向表中的數據保存到恢復文件中。84.恢復文件表目：恢復文件除了保存數據項外還應保存更多的信息。表10.1恢復文件中包含的項目表目類型數據項事務狀態(tài)意向表數據項的值事務標識符、事務狀態(tài)（準備提交、提交、異常中止）以及其他用于兩階段提交協議和嵌套事務的狀態(tài)值事務標識符及一系列意向，每個意向中包含數據項標識符及數據項在恢復文件中的位置表目內容描述910.2.1登錄

登錄技術是一種恢復文件的方法?；謴臀募砟撤掌魉鶊?zhí)行的所有事務的歷史記錄，其中包括數據項的值、事務狀態(tài)表目及意向表。10Data:A100Data:B200Data:C300Data:A96Data:B204Trans:Tprepared<A、P1><B、P2>P0Trans:TcommittedP3Data:C297Data:B207Trans:UPrepared<C、P5><B、P6>P4P0P1P2P3P4P5P6P7CheckpointEndoflog圖10.1銀行服務登陸111.數據項的恢復當服務器重啟時,首先設置數據項的初始默認值,然后將控制權交給恢復處理程序?；謴吞幚沓绦蜇撠熁謴头掌魃系臄祿?，它必須恢復所有已提交的事務對數據項的影響，并撤消所有未提交或異常終止的事務對數據項的影響。122.恢復文件的重新組織恢復處理程序負責恢復文件的重新組織以加快恢復過程并減少文件所占的存儲空間。如果沒有對恢復文件進行重新組織，那么恢復處理程序必須從后向前掃描恢復文件直到找出所有數據項的值。13Checkpointing過程：

將當前已提交的數據項的值及未完成事務的意向表和事務狀態(tài)表目寫入到新恢復文件中。當恢復完成后，任何事務開始之前立即執(zhí)行Checkpointing過程。完成Checkpointing后，用新的恢復文件代替原恢復文件，并還原遠恢復文件的存儲空間。檢查點表示由Checkpointing過程所存儲的信息。1410.2.2影子版本影子版本是另一種恢復文件的方法。地圖：對保存于稱為版本存儲文件中的數據進行定位。版本存儲文件：數據項的全部記錄。影子版本：準備提交一個事物時，將所有由事務所修改的數據項添加到版本存儲文件中，這些新的臨時版本稱為影子版本。事務狀態(tài)文件：事務狀態(tài)表目及意向表。15MapatstartMapwhenTcommitsP3P4P2P0P1P2ABCABC10020030096204297207P0P1P2P3P4檢查點地圖版本存儲文件圖10.2版本存儲文件16MapABCP3P4p2TTUpreparedcommittedprepared穩(wěn)定存儲器事務狀態(tài)文件ABP3P4BCP6P5圖10.3提交事務T和準備提交事務U時地圖及事務狀態(tài)文件的相應情形數據項恢復

服務器重新啟動時，恢復程序讀取地圖，并利用地圖中的信息對版本存儲文件中的數據項進行定位，然后就可以恢復相應的數據項了。1718表10.2協調程序——工作者表目內容表目類型協調程序工作者表目內容事務標識符，相應的工作者事務標識符，相應的協調程序10.2.3恢復文件中的事務狀態(tài)表及意向表表目1.對兩階段提交協議的恢復19....Trans:TPreparedCoord’r:Trans:TcommittedTrans:UPreparedIntentionslistTWorkerList:…listIntensionsworker:UCood’r…Trans:UuncertainTrans:Ucommitted圖10.4與兩階段提交協議相關的表目的登陸20表10.3兩階段提交協議的恢復對象協調程序協調程序工作者工作者工作者協調程序狀態(tài)準備提交提交提交uncertain準備提交done在服務器故障之前沒有到達任何決定，它向自己的所有工作者服務器發(fā)送異常終止事務的消息，并在自身的恢復文件中添加異常終止事務狀態(tài)。若沒有相應的工作者列表，則工作者最終會因超時而異常終止該事務在服務器故障之前到達一個提交決定，若在此之前沒有發(fā)送DoCommit消息，則協調程序向自己的所有工作者發(fā)送一個DoCommit消息，并繼續(xù)兩階段提交協議的第四步在工作者故障之前若沒有發(fā)送HaveCommitted消息，則工作者向協調程序發(fā)送一個HaveCommitted消息，從而使協調程序在下一個檢查點處對該事務的信息不予考慮在知道事務結果之前工作者發(fā)生故障，只有在協調程序的提示下才可以決定事務狀態(tài)。工作者將發(fā)送GetDecision消息給協調程序，從而可以決定事務狀態(tài)。當接收到應答后，根據應答的內容相應提交或異常終止該事務工作者沒有進行表決，并可異常終止該事務不采取任何行為212.恢復處理程序的重新組織執(zhí)行Checkpointing過程時必需保證：某事務的狀態(tài)不是done，則與之相應的協調者不能從恢復文件中刪除，直到所有工作者都確認已經完成相應事務，可對狀態(tài)為done的表目進行刪除。但若某事務的狀態(tài)uncertain，這相應的工作者的表目必需保留。22TT1T2T11T12A圖10.5嵌套的事務3.嵌套事務的恢復子事務的臨時版本基于父事務的臨時版本，當子事務提交時，相應的父事務繼承它的臨時版本。當某子事務異常丟棄它的臨時版本。最頂層的事務最終提交時，它的版本為新的提交版本。最頂層的事務最終提交或異常終止以前，臨時提交的臨時版本代表相應的子事務，并將它寫入服務器的恢復文件中。最頂層的事務在兩階段提交協議中作為協調者決定了這些臨時版本在恢復文件中的最終狀態(tài)。2310.2.4分布式事務的故障模型向永久存儲器進行寫操作時可能發(fā)生故障服務器故障在消息到達目的地之前可能有一個隨機延遲可利用這種故障模型設計穩(wěn)定系統，該系統各部件中可對任何單一故障進行容錯處理。2410.3容錯

容錯意味著系統發(fā)生故障還能提供服務容錯與被稱為可靠系統緊密相關造成錯誤的原因成為故障可靠性系統與控制故障緊密相關2510.3.1故障模式故障分類子類說明崩潰故障服務器停機，但停機前正常工作遺漏故障接收故障發(fā)送故障服務器沒有對請求應答服務器不能接收消息服務器不能發(fā)送消息響應故障值故障狀態(tài)轉換故障服務器應答不正確返回錯誤值服務器偏離了控制流定時故障服務器的響應在指定時間之外隨意性故障服務器可能在隨意的時間產生隨意的響應故障分類表2610.3.2基于冗余的故障屏蔽信息冗余：通過維持冗余信息，使數據的存取或傳輸中的錯誤可得到糾正。時間冗余如果一個操作執(zhí)行失敗，可以再執(zhí)行一次。物理冗余通過添加額外的硬件裝備或進程使系統能夠容忍個別部件的實效或個別進程的崩潰。2710.4分層故障屏蔽和成組故障屏蔽10.4.1分層屏蔽高層次服務器屏蔽低層次故障，如果不能屏蔽故障，可將它轉變成一個高層異常。到達用戶界面層次時，大多數故障已經得到屏蔽。10.4.