Dispositivos de entrada e saída, discos e RAID

Um dispositivo de entrada e saída transfere dados para dentro ou para fora de um computador ou os mantém de forma persistente. Um teclado fornece entrada; uma placa de rede envia e recebe pacotes; um disco mantém dados depois que a energia é desligada. Os dispositivos se conectam por barramentos ou interconexões. PCI Express (PCIe) conecta dispositivos de alto desempenho, como SSDs NVMe. SATA e USB atendem outros dispositivos de armazenamento e periféricos mais distantes na hierarquia. Interconexões rápidas custam mais para construir e têm limites físicos mais restritos, então um computador combina vários tipos.

A interface é a visão do software

Um controlador pode conter processadores, memória e firmware, o software executado dentro do dispositivo. O sistema operacional o controla por meio de uma interface de hardware disponibilizada pelo dispositivo. Dois controladores podem ter estruturas internas muito diferentes e, ainda assim, aceitar os mesmos comandos.

Um dispositivo simples tem três registradores:

Para uma operação simples de saída, o núcleo primeiro verifica o estado até o dispositivo estar pronto. Depois, escreve os dados, escreve o comando e verifica o estado até a conclusão. Por fim, verifica se houve erro. Escrever o comando antes de fornecer seus dados poderia iniciar uma operação com o conteúdo errado. Verificar o estado repetidamente é consulta periódica; fazer a CPU transferir a área útil é entrada e saída programada (PIO).

Acesse registradores com segurança

A entrada e saída mapeada em portas fornece aos registradores um espaço de endereçamento separado. Em x86, instruções como in e out acessam essas portas. O núcleo controla qual código pode executá-las. A entrada e saída mapeada em memória (MMIO) coloca registradores no espaço de endereçamento físico, permitindo que instruções de leitura e escrita os acessem por mapeamentos controlados pelas tabelas de páginas do núcleo. Dispositivos PCIe normalmente usam MMIO.

Um endereço de MMIO representa uma operação de dispositivo, embora seu acesso se pareça com um acesso à memória. Uma leitura pode limpar um indicador. Uma escrita pode iniciar uma transferência. O estado pode mudar porque o dispositivo termina o trabalho, sem que a CPU escreva nesse endereço. O comportamento comum do cache poderia ocultar essas mudanças ou combinar acessos que o dispositivo precisa receber separadamente.

Por isso, drivers do Linux usam funções de acesso como readl() e writel(), atributos de mapeamento adequados e as barreiras de memória necessárias. Um ponteiro volatile pode impedir que o compilador remova ou combine acessos, mas não garante toda a ordenação necessária em relação à memória comum ou à reordenação da CPU. Por exemplo, um descritor de comando na RAM precisa estar visível ao dispositivo antes que um registrador de notificação o instrua a buscar esse descritor.

Mantenha o controle dos dispositivos no núcleo

Uma aplicação normalmente chama read() ou write(). O núcleo verifica as permissões e executa o protocolo de dispositivo em nome dela. Isso impede que um programa emita comandos que interfiram na requisição de outro programa. Um buffer de usuário é a área de dados da aplicação; um registrador de comando é o ponto de controle do controlador. Eles têm funções diferentes, mesmo quando ambos têm endereços.

Um dispositivo pode levar muito mais tempo para concluir uma requisição do que a CPU leva para emiti-la. A estratégia de espera decide se a CPU passa esse intervalo verificando o dispositivo ou realizando outro trabalho. Ela não altera a rapidez com que o próprio dispositivo conclui a requisição.

Consulte ou suspenda

Com consulta periódica, a CPU lê o estado repetidamente. Uma conclusão pode ser percebida rapidamente, mas verificações feitas enquanto o dispositivo ainda está ocupado consomem tempo de CPU. Com interrupções, um processo que aguarda uma leitura fica bloqueado e outro processo pronto pode executar. Quando o dispositivo termina, ele sinaliza à CPU. O tratador de interrupções do núcleo, também chamado de rotina de serviço de interrupção, verifica a conclusão, trata o resultado e coloca o processo em espera no estado de pronto. O escalonador decide quando esse processo executará novamente.

Suponha que o processo A inicie uma leitura de disco que leva 10 ms. A consulta periódica ocupa a CPU durante essa espera. Com entrada e saída por interrupções, o processo B pode executar cálculos durante os mesmos 10 ms. A operação de dispositivo de A ainda dura 10 ms; o processamento útil se sobrepõe à espera.

Interrupções também exigem trabalho: a CPU salva o estado, executa o tratador, restaura o estado e pode trocar de processo e preencher novamente os caches. O custo costuma ser de alguns microssegundos. Se um dispositivo responde em 2 µs, um breve laço de consulta periódica pode ser mais barato que bloquear e despertar o processo. Interrupções são adequadas a operações lentas; uma consulta periódica curta é adequada às muito rápidas.

Adapte-se à velocidade de conclusão e à carga

Uma estratégia híbrida, ou de duas fases, faz consultas periódicas brevemente e depois aguarda uma interrupção com o processo suspenso se a requisição ainda não terminou. Conclusões rápidas evitam o custo de despertar, enquanto conclusões lentas não ocupam a CPU durante todo o período. O Linux oferece verificação periódica da conclusão para requisições adequadas de armazenamento rápido.

Um grande volume de interrupções cria outro problema. Se quase todo ciclo da CPU trata eventos recém-chegados, o código que consome seus dados recebe pouco tempo para executar. Isso é bloqueio ativo: a máquina está ocupada, mas o progresso útil despenca. O mecanismo de rede NAPI do Linux limita o trabalho com interrupções e muda para consulta periódica em lotes sob carga.

O agrupamento de interrupções reúne várias conclusões em uma notificação. Com 100.000 conclusões por segundo e 5 µs de trabalho de CPU por interrupção, notificações separadas custam:

Isso equivale à metade do tempo de um núcleo de CPU a cada segundo. Combinar oito conclusões por interrupção resulta em 12.500 interrupções e 62,5 ms de trabalho de CPU por segundo, ou 6,25% de um núcleo. Uma requisição pode esperar brevemente por seu lote, então a menor sobrecarga vem acompanhada de latência adicional de notificação.

Envie notificações ao núcleo certo

Dispositivos PCIe normalmente usam MSI ou MSI-X, interrupções entregues como mensagens a um endereço especial. Múltiplos vetores de interrupção permitem que um dispositivo direcione as conclusões de filas diferentes a núcleos diferentes. Um controlador NVMe pode associar filas por núcleo a vetores de interrupção adequados, mantendo próximos os trabalhos de submissão e conclusão. Mais vetores organizam o trabalho da CPU; eles não encurtam uma leitura de memória flash nem uma rotação de disco.

Esperar e copiar são tarefas separadas. Interrupções podem impedir que a CPU fique em espera ocupada enquanto um dispositivo trabalha, mas a CPU ainda estaria ocupada se precisasse transferir cada palavra por um registrador de dados. O acesso direto à memória (DMA) atribui essa transferência a um mecanismo de hardware, geralmente dentro do controlador de dispositivo.

Meça o trabalho que a PIO deixa para a CPU

Imagine um registrador de dados de 4 bytes que leva 100 ns por acesso. Transferir um bloco de 4 KiB exige:

Essas operações de registrador ocupam a CPU. Buffers maiores exigem proporcionalmente mais acessos. O DMA elimina essa cópia palavra por palavra pelo registrador; a CPU ainda prepara a requisição e trata sua conclusão.

Acompanhe uma leitura com DMA

1. O driver prepara um buffer de destino e o disponibiliza para acesso pelo dispositivo.
2. Ele fornece o endereço ou os endereços de DMA, a quantidade de bytes, a direção e o comando de leitura.
3. O dispositivo lê os blocos de armazenamento solicitados e escreve os bytes na memória.
4. A CPU executa outro trabalho enquanto o dispositivo transfere os dados.
5. A conclusão é informada, geralmente por uma interrupção. O tratador verifica o estado e desperta o processo em espera.

O mecanismo de DMA atua como mestre do barramento, iniciando transferências de memória. Os custos de configuração dependem do mapeamento, da plataforma e do número de regiões de memória. O DMA também consome largura de banda de memória compartilhada com a CPU. Ele libera instruções da CPU, não todos os recursos.

Descreva memória distribuída

Um buffer pode ser contíguo no espaço de endereçamento virtual de um processo e ocupar páginas físicas separadas. Uma lista de dispersão e reunião descreve essas regiões como pares de endereço e comprimento. Um dispositivo pode transferir uma requisição por várias regiões sem que a CPU primeiro precise copiá-las para um único buffer fisicamente contíguo.

Por exemplo, um buffer de três páginas pode ser respaldado por três páginas não adjacentes. O driver cria descritores para as regiões visíveis ao dispositivo e mantém as páginas correspondentes estáveis até a conclusão. A fixação impede que essas páginas sejam removidas ou reutilizadas enquanto o hardware ainda possa acessá-las. Desfixá-las cedo demais cria o risco de uma escrita posterior por DMA sobrescrever dados de outra pessoa.

Use o espaço de endereçamento do dispositivo

Um dispositivo normalmente não usa um ponteiro virtual da aplicação. A API de DMA do núcleo fornece endereços de barramento, que podem diferir dos endereços físicos da CPU. Uma IOMMU traduz endereços de dispositivo para a memória física e restringe a memória que um dispositivo pode acessar. Esse isolamento também ajuda um hipervisor a atribuir um dispositivo a uma máquina virtual.

Caches de CPU acrescentam outra etapa de coordenação. Antes de uma transferência de DMA de saída, o dispositivo precisa ver os bytes mais recentes da CPU; após uma transferência de entrada, a CPU precisa ver as atualizações do dispositivo. Alguns hardwares mantêm a coerência automaticamente. Outras plataformas exigem sincronização de cache por meio da API de DMA. Mapeamento de endereços, tempo de vida das páginas e visibilidade do cache resolvem, cada um, uma parte diferente da segurança da transferência.

Um driver de dispositivo traduz uma requisição geral em comandos do controlador, acessos a registradores e tratamento da conclusão. Isso permite que um sistema de arquivos solicite um bloco sem saber se o hardware usa SATA, NVMe ou USB. O driver conhece o protocolo específico e as particularidades do controlador.

Atribua uma tarefa a cada camada

Uma leitura de armazenamento no Linux geralmente passa por esta sequência:

Aplicação → chamada de sistema → sistema de arquivos → camada de blocos genérica → driver → controlador → dispositivo de armazenamento.

O sistema de arquivos mapeia uma posição no arquivo para blocos de armazenamento. A camada de blocos enfileira requisições, combina as adjacentes e pode escalonar sua ordem. O driver envia as operações resultantes. O acesso ao dispositivo de blocos bruto pode contornar o sistema de arquivos e ainda usar as camadas inferiores.

A interface padrão torna um novo hardware utilizável sem reescrever cada aplicação. Ela também oculta alguns recursos especiais. Interfaces como ioctl() ou de passagem direta de comandos permitem que o software solicite controles que não se encaixam em uma leitura ou escrita comum de blocos.

Separe as classes de dispositivos

O Linux disponibiliza dispositivos de blocos e de caracteres como arquivos especiais, como /dev/sda e /dev/nvme0n1. Drivers geralmente executam em modo núcleo, então um erro em um driver pode travar o núcleo ou corromper a memória. O isolamento de drivers limita esse alcance em sistemas que o oferecem. A coleção de drivers do Linux representa uma grande parcela de sua árvore de código-fonte; estudos também descobriram que o código de drivers é particularmente propenso a erros.

Enfileire trabalho entre núcleos

A camada de blocos blk-mq do Linux usa filas de software por CPU e filas de despacho de hardware. Um escalonador de entrada e saída como mq-deadline, bfq ou kyber pode reordenar o trabalho ou administrar a justiça; none evita uma política adicional de escalonamento. Discos rígidos se beneficiam da redução de buscas. Dispositivos NVMe rápidos frequentemente usam none, pois não têm uma cabeça para reposicionar. O escalonador selecionado aparece entre colchetes em /sys/block/<device>/queue/scheduler.

SATA com AHCI/NCQ oferece uma fila de até 32 comandos pendentes por dispositivo. NVMe oferece muitas filas de submissão e conclusão na memória: até 65.535 filas de entrada e saída, com até cerca de 64.000 comandos por fila. Controladores reais oferecem limites menores. Pares de filas por núcleo reduzem a contenção nos caminhos compartilhados de submissão.

Acompanhe uma leitura NVMe

Um processo chama read(fd, buf, 4096). Se os dados não estiverem no cache, o sistema de arquivos encontra o bloco de disco e a camada de blocos cria uma requisição. O driver NVMe escreve um descritor em uma fila de submissão e depois escreve no registrador de notificação da fila por MMIO. O controlador busca o comando, transfere os dados para a memória por DMA e publica uma entrada de conclusão. Uma interrupção MSI-X leva o núcleo a concluir a requisição. Em uma leitura com buffer, os dados chegam ao buffer da aplicação pelo cache de páginas, e read() retorna 4096. Um acerto de cache pode satisfazer a leitura antes que seja necessária uma operação de entrada e saída no dispositivo.

Um disco rígido apresenta um vetor de setores numerados a partir de zero. Esses números são endereços de bloco lógico (LBAs). Tradicionalmente, um setor tinha 512 bytes; muitas unidades agora usam setores físicos de 4.096 bytes. Uma unidade 512e aceita setores lógicos de 512 bytes sobre esse formato físico maior. Um bloco de 4 KiB de um sistema de arquivos pode, portanto, abranger vários setores lógicos.

Visualize as partes móveis

Pratos magnéticos giram em um eixo. Cada superfície tem trilhas concêntricas divididas em setores e uma cabeça de leitura e escrita em um braço móvel. As cabeças se movem juntas. As trilhas na mesma posição do braço em todas as superfícies formam um cilindro. Velocidades comuns do eixo incluem 5.400 e 7.200 RPM, com 10.000 e 15.000 RPM em famílias de discos mais rápidas.

LBAs próximos geralmente são posicionados próximos, ajudando leituras sequenciais a evitar buscas repetidas. Um setor remapeado para um setor reserva pode quebrar essa relação. O software, portanto, vê um espaço de endereçamento linear útil sem conhecer a posição física exata.

Trilhas externas têm mais espaço para setores. A gravação por zonas coloca mais setores nessas trilhas, de modo que mais bytes passam sob a cabeça por rotação. A vazão sequencial pode cair à medida que uma leitura avança em direção ao centro. A defasagem entre trilhas desloca as posições dos setores entre trilhas vizinhas: depois que a cabeça muda de trilha, o próximo setor sequencial chega no momento certo, em vez de já ter passado.

Separe conclusão de durabilidade

Um cache da unidade pode manter dados lidos recentemente e aceitar escritas. Esses buffers variam de alguns megabytes a centenas de megabytes; o cache de leitura pode manter o restante de uma trilha que já está passando sob a cabeça. Com cache de escrita de retorno, uma escrita pode terminar enquanto seus dados permanecem no cache volátil. A escrita direta espera pelo meio. Uma descarga do cache solicita que escritas armazenadas em cache cheguem ao armazenamento durável; o acesso forçado à unidade (FUA) solicita uma conclusão durável para a escrita afetada.

A atomicidade em caso de queda de energia é outra propriedade. Uma unidade de escrita atômica muda por completo ou permanece inalterada quando falta energia. O tamanho do setor por si só não fornece essa garantia: o dispositivo precisa documentá-la. Uma escrita que atravessa várias unidades atômicas pode resultar em uma escrita fragmentada, com algumas unidades novas e outras antigas. Descargas tratam da durabilidade; unidades atômicas tratam de atualizações parciais.

Leia corretamente as indicações de capacidade

As capacidades das unidades usam prefixos SI decimais. Unidades binárias usam potências de dois:

Uma unidade de 4 TB contém, portanto:

As duas indicações descrevem a mesma quantidade de bytes. Uma ferramenta que exibe cerca de 3,64 com a indicação “TB” usou aritmética binária com uma indicação de aparência decimal; a conversão não removeu espaço.

Reconheça uma restrição adicional de escrita

A gravação magnética sobreposta (SMR) sobrepõe trilhas adjacentes para armazenar mais dados. Reescrever uma trilha pode interferir na vizinha, tornando pequenas atualizações aleatórias custosas. Grandes escritas sequenciais em zonas adequadas funcionam melhor. Trata-se de um disco magnético com uma restrição de gerenciamento de escrita, embora leituras comuns ainda envolvam as mesmas cabeças e os mesmos pratos giratórios.

Uma requisição de disco gasta tempo para chegar aos dados antes de transferi-los. Para uma requisição simples sem espera em fila ou acerto de cache, divida o tempo de atendimento em três partes:

A busca move e estabiliza o braço na trilha. A latência rotacional é a espera até o setor chegar à cabeça. O tempo de transferência corresponde à passagem dos bytes sob ela. A espera em fila, quando existe, acrescenta tempo antes do início do atendimento.

Converta RPM em tempo de espera

Uma rotação leva 60.000 ms divididos pela RPM. A 7.200 RPM:

Para uma posição aleatória do setor, a espera média é meia rotação, cerca de 4,17 ms. A 15.000 RPM, uma rotação leva 4 ms e a espera média é 2 ms. Uma RPM maior reduz a latência rotacional; ela não reduz diretamente o tempo de busca do braço.

As fichas técnicas informam um tempo médio de busca. Requisições distribuídas uniformemente têm uma distância média de busca de cerca de um terço do percurso completo, mas o tempo de busca não é proporcional à distância. A aceleração e a estabilização dominam buscas curtas; buscas longas incluem mais percurso em velocidade máxima.

Calcule uma pequena leitura aleatória

Use uma unidade de 7.200 RPM com busca média de 8 ms e taxa de transferência de 200 MB/s. Uma requisição de 4 KiB contém 4.096 bytes. Primeiro, calcule a transferência em segundos:

Depois, some posicionamento e transferência:

Uma requisição pendente por vez resulta em cerca de:

A taxa efetiva é de cerca de 4.096 bytes multiplicados por 82 por segundo, ou 0,34 MB/s. Uma especificação de transferência de 200 MB/s descreve a movimentação de dados já posicionados; ela não elimina os cerca de 12 ms gastos no posicionamento para cada pequena requisição aleatória.

Calcule uma leitura sequencial longa

Agora leia 100 MB com uma busca inicial e uma espera rotacional. O tempo de transferência é 100/200 s, ou 500 ms. O tempo total é de cerca de 512,17 ms, resultando em:

A taxa efetiva é aproximadamente 580 vezes a taxa de pequenas leituras aleatórias. Um custo de posicionamento é distribuído por muito mais bytes. Grandes transferências sequenciais são dominadas pelo tempo de transferência; pequenas requisições aleatórias são dominadas pelo posicionamento.

Use bytes de forma consistente ao combinar KiB com MB/s e converta milissegundos em segundos antes de dividir bytes pelo tempo. IOPS é adequado para pequenas operações aleatórias; MB/s é adequado para fluxos sequenciais. A leitura antecipada, o posicionamento próximo e a combinação de pequenas escritas em lotes sequenciais melhoram o desempenho ao alterar a frequência com que o custo de posicionamento é pago.

Um escalonador de disco escolhe qual requisição pendente atender em seguida. A posição fornece informações úteis sobre o custo de atendimento. Reduzir o percurso do braço ajuda, mas uma política também deve considerar quanto tempo cada requisição espera.

Compare as políticas

O SSTF pode escolher repetidamente novas requisições próximas enquanto uma distante espera. Um sistema operacional sem a geometria exata costuma aproximá-lo usando a distância entre LBAs, no método chamado bloco mais próximo primeiro. A justiça do tipo SCAN pressupõe que o sistema consiga continuar atendendo trabalho durante a varredura; um dispositivo sobrecarregado ainda não consegue oferecer um tempo de resposta fixo para cada chegada.

Some o percurso trecho por trecho

Considere as trilhas 0–199, uma cabeça em 50 movendo-se para trilhas de número maior e as chegadas 82, 170, 43, 140, 24, 16, 190. Pare de contar quando todas as requisições terminarem.

FCFS segue a lista. Seu percurso é 32 + 88 + 127 + 97 + 116 + 8 + 174 = 642 trilhas. SSTF visita 43, 24, 16, 82, 140, 170, 190, totalizando 208 trilhas.

SCAN visita as requisições de número maior, continua até 199 e depois inverte até 16. Sua distância é 149 + 183 = 332. LOOK retorna em 190, resultando em 140 + 174 = 314. C-LOOK vai de 50 a 190, retorna a 16 e termina em 43: 140 + 174 + 27 = 341 trilhas. O retorno é um movimento real, embora nenhuma requisição seja atendida durante ele. C-SCAN iria até 199, retornaria a 0 sem atender e depois atenderia em direção às trilhas de número maior até 43.

O melhor total nessa fila finita não determina a melhor política para um fluxo de chegadas futuras. O pequeno percurso do SSTF aqui vem acompanhado de risco de inanição sob carga contínua.

Inclua rotação e firmware

Menor tempo de posicionamento primeiro (SPTF) minimiza a soma de busca e latência rotacional. Uma trilha mais distante pode ser escolhida se seu setor chegar antes. Escolhas precisas exigem a geometria e a posição rotacional, então o firmware da unidade está em melhor posição para fazê-las que o sistema operacional.

O sistema operacional pode combinar requisições de blocos adjacentes e depois enviar vários comandos por NCQ. O firmware reordena esse lote usando informações internas. O escalonamento antecipatório pode deixar o disco ocioso brevemente para esperar uma provável requisição seguinte próxima. O escalonamento por prazo limita o adiamento; o mq-deadline do Linux acompanha os prazos e favorece leituras. O escalonamento de SSDs se concentra em justiça e latência, pois não há busca ou rotação a reduzir.

A memória flash NAND armazena informações como carga elétrica em células. O controlador distingue níveis de carga para ler os bits. Uma célula que armazena mais bits precisa de mais níveis distinguíveis, o que aumenta a capacidade, mas dificulta a programação e o controle de erros.

Conte os níveis de carga

Para uma célula com b bits, o número de níveis é $2^b$. Mais bits por célula geralmente reduzem o custo por gigabyte, enquanto a programação fica mais lenta e a resistência a ciclos de apagamento diminui. Essas são propriedades da organização das células; o controlador e o paralelismo do SSD como um todo também afetam o desempenho.

Relacione cada operação à sua unidade

Chips de memória flash contêm blocos de apagamento, cada um com muitas páginas. Uma página normalmente tem 4–16 KiB, enquanto um bloco de apagamento pode conter centenas de páginas e ocupar de centenas de KiB a vários MiB. Uma página de memória flash, uma página de memória virtual e um bloco de sistema de arquivos são unidades distintas, mesmo quando alguns tamanhos coincidem.

Uma leitura retorna uma página, geralmente em dezenas de microssegundos. Uma programação escreve uma página apagada e leva centenas de microssegundos. Um apagamento redefine todos os bits de um bloco para um e leva milissegundos. As páginas são programadas na ordem exigida pelo chip, geralmente das páginas de número menor para as de número maior. O controlador deve seguir essas regras de ordenação ao posicionar dados.

Uma página usada não pode simplesmente receber uma versão substituta. Seu bloco de apagamento precisa primeiro ser apagado, destruindo o conteúdo de todas as páginas desse bloco. Essa é a diferença central: escritas têm o tamanho de uma página, enquanto apagamentos têm o tamanho de um bloco.

Veja o custo de uma atualização no mesmo lugar

Imagine um bloco contendo as páginas A, B, C e D. Para substituir A por A′ mantendo a mesma posição física:

1. Leia B, C e D para um armazenamento temporário.
2. Apague o bloco inteiro, incluindo o A antigo.
3. Programe A′, B, C e D nas páginas apagadas.

Uma página de informações novas causou três leituras, quatro programações e um apagamento. Não é possível apagar apenas A. Um SSD evita pagar esse custo em cada sobrescrita do hospedeiro escrevendo a substituição em outro lugar e alterando seu mapeamento.

Gerencie danos e retenção

Cada ciclo de programação e apagamento (P/E) danifica ligeiramente as células. Faixas representativas de resistência são cerca de 50.000–100.000 ciclos para SLC, 1.000–3.000 para TLC e cerca de 1.000 ou menos para QLC; os valores reais variam bastante conforme a geração e o fabricante do chip. Os controladores retiram de uso blocos que se tornam pouco confiáveis.

A carga também se dissipa com o tempo, especialmente em células desgastadas. A leitura ou a programação pode perturbar células próximas. Códigos de correção de erros (ECC) robustos corrigem muitos erros de bits resultantes, e o controlador pode renovar dados cuja contagem de erros esteja aumentando. A memória flash é um armazenamento persistente com operações assimétricas e resistência finita, então uma leitura rápida de página, por si só, diz pouco sobre o custo de sobrescritas contínuas.

O hospedeiro lê e sobrescreve blocos lógicos. A camada de tradução flash (FTL) do SSD mapeia esses endereços para páginas físicas de memória flash e gerencia os apagamentos ocultos por trás deles. Manter permanentemente a página lógica N na página física N faria com que sobrescritas frequentes apagassem repetidamente os mesmos blocos.

Escreva uma nova versão em outro lugar

Uma FTL estruturada em registro programa novos dados em uma página livre e altera seu mapeamento. Suponha que o LBA 100 seja mapeado para a página física 0 e o LBA 101 para a página 1. Uma sobrescrita do LBA 100 é programada na página 2. O mapa passa a ser 100 → 2; a página 0 torna-se inválida. O hospedeiro continua solicitando o LBA 100 e recebe a nova versão.

Inválido é um estado de mapeamento, não um apagamento físico imediato. Os bits antigos permanecem até que seu bloco de apagamento seja recuperado. Excluir ou sobrescrever um arquivo, portanto, não oferece uma garantia confiável de quando cada cópia física antiga desaparecerá. O apagamento confiável usa uma operação adequada de sanitização da unidade ou um esquema de criptografia de toda a unidade corretamente gerenciado com destruição da chave.

Recupere espaço e conte escritas adicionais

A coleta de lixo (GC) escolhe um bloco, copia suas páginas válidas para outro lugar, atualiza o mapa e apaga o bloco antigo. Páginas inválidas não precisam ser copiadas. Um bloco com muitas páginas inválidas fornece mais espaço livre por página ativa copiada.

A amplificação de escrita (WA) mede essa programação adicional:

Em um bloco de 64 páginas com 48 páginas válidas e 16 inválidas, a GC copia 48 páginas. Apagar o bloco cria 64 páginas livres, mas as cópias consumiram 48 páginas em outro lugar: o ganho líquido é de 16. Preencher esse ganho com 16 páginas do hospedeiro produz 64 programações de páginas de memória flash para 16 escritas de páginas do hospedeiro, então WA = 4. Uma amplificação maior consome mais rapidamente a largura de banda e a resistência a ciclos de apagamento.

O superprovisionamento reserva espaço de memória flash que o hospedeiro não pode preencher. Mais espaço livre dá à GC flexibilidade para escolher blocos de menor custo. O TRIM, chamado Deallocate em NVMe e UNMAP em SCSI, informa ao dispositivo quais intervalos lógicos não contêm mais dados necessários. As páginas de um arquivo excluído podem então ser tratadas como inválidas em vez de copiadas durante a GC.

Dimensione a memória de mapeamento e o desgaste

Um mapa em nível de página precisa de uma entrada por página lógica. Um dispositivo de 1 TiB com páginas de 4 KiB tem:

Com 4 bytes por entrada, a tabela ocupa 1 GiB. O mapeamento em nível de bloco reduz a tabela, mas torna pequenas atualizações custosas. O mapeamento híbrido combina mapas de blocos com áreas de registro mapeadas por página; outra abordagem mantém em cache apenas entradas ativas do mapa de páginas.

O nivelamento de desgaste distribui apagamentos entre os blocos. Novas escritas já são distribuídas, mas blocos que contêm dados frios e inalterados poderiam, de outra forma, evitar o desgaste indefinidamente enquanto regiões quentes se desgastam. Mover alguns dados frios libera blocos pouco usados para integrar o conjunto disponível para escrita. Essa migração pode acrescentar escritas, então o controlador equilibra o desgaste uniforme com o custo de cópia.

Um SSD não tem braço de disco nem prato giratório. Ele evita atrasos de posicionamento de milissegundos, mas sua velocidade ainda depende do tamanho das requisições, do paralelismo, do histórico de escritas e do trabalho que seu controlador realiza em segundo plano.

Compare latência e vazão

Essas são classes representativas de dispositivos, não garantias para cada unidade. A vazão de um SSD SATA é limitada pelo enlace de 6 Gb/s. NVMe usa PCIe e pode manter muitos canais de memória flash ocupados ao mesmo tempo.

Um programa que emite uma pequena leitura e espera por ela antes de emitir a próxima percebe a latência de cada requisição. Se a latência for 80 µs, esse padrão serial permite cerca de 12.500 operações por segundo. Um dispositivo anunciado com uma taxa de IOPS muito maior precisa de muitas requisições em andamento, fornecidas por threads ou entrada e saída assíncrona. A profundidade da fila cria oportunidades de trabalho paralelo; também pode acrescentar espera quando o dispositivo está saturado.

Considere o histórico de escritas

Escritas aleatórias e sequenciais continuam diferentes. Atualizações aleatórias podem deixar páginas inválidas espalhadas entre páginas ativas, aumentando as cópias da GC. Cargas de trabalho sequenciais podem invalidar regiões inteiras juntas, tornando a recuperação mais barata e mantendo a WA mais próxima de um. Um SSD vazio pode programar diretamente no espaço livre; um SSD cheio precisa recuperá-lo. O desempenho em regime permanente inclui esse custo contínuo da GC, enquanto testes logo após a retirada da caixa podem não incluí-lo.

Leia as especificações de vida útil como um limite de escrita

TBW é o total especificado de terabytes escritos pelo hospedeiro. DWPD expressa as gravações completas da unidade pelo hospedeiro por dia durante o período de garantia. Para um dispositivo de 1 TB especificado para 600 TBW em cinco anos:

Com 50 GB por dia, 600 TB de escritas do hospedeiro seriam acumulados após 12.000 dias, cerca de 33 anos. Essa aritmética é uma comparação de cargas de trabalho, não uma previsão de vida útil: falhas do controlador, envelhecimento e limites de garantia ainda importam. Alta amplificação interna desgasta as células mais rapidamente, embora a especificação de vida útil conte as escritas do hospedeiro.

Escolha o dispositivo adequado ao trabalho

Discos rígidos oferecem baixo custo por terabyte para conjuntos de dados grandes e acessados com pouca frequência. SSDs são adequados a trabalhos sensíveis à latência. O armazenamento em camadas mantém dados quentes em SSDs e dados mais frios em discos. Ambos podem falhar: discos têm falhas mecânicas e setores defeituosos; SSDs têm desgaste, falhas de controlador e erros de firmware. Redundância e backups separados continuam úteis para ambos.

Em SSDs, a desfragmentação acrescenta escritas com pouco benefício relacionado à busca. O TRIM ajuda o controlador a identificar dados não utilizados. Ferramentas atuais de particionamento geralmente alinham os inícios a limites de 1 MiB, evitando requisições de blocos mal alinhadas.

RAID, um arranjo redundante de discos de baixo custo ou independentes, apresenta vários discos físicos como um único dispositivo lógico de blocos. Internamente, um mapeamento envia cada bloco lógico para cópias de dados ou para uma faixa com redundância. Aplicações e sistemas de arquivos podem continuar usando a interface de blocos sem entender essa organização.

Compare três medidas separadas

Capacidade é o espaço utilizável para dados do usuário. Confiabilidade descreve as falhas que uma organização pode tolerar. Desempenho inclui tanto a vazão em muitas operações quanto a latência de uma operação. Um nível pode melhorar uma medida enquanto reduz outra. Uma vazão agregada maior também não reduz necessariamente a latência de uma única requisição de bloco.

Use este modelo simples para discos de mesmo tamanho:

S e R usam as mesmas unidades de taxa, como MB/s. Em um disco rígido, elas diferem muito: o exemplo anterior de tempos resultou em cerca de 195 MB/s sequenciais e 0,34 MB/s para pequenas leituras aleatórias. As fórmulas do modelo pressupõem trabalho concorrente suficiente e nenhum gargalo no controlador; seu propósito é mostrar os custos da organização.

Defina o modelo de falhas

Um disco no modelo de falha por parada funciona corretamente até falhar por completo e de forma visível. Isso torna administrável o raciocínio básico sobre RAID: o arranjo sabe qual disco está ausente. Discos reais também podem ter setores ilegíveis ou retornar bytes incorretos. Essas falhas parciais e silenciosas exigem verificações de integridade além de uma organização que sobreviva à perda completa de um disco.

Um arranjo redundante opera em modo degradado enquanto os discos com falha permanecem dentro de sua tolerância. Ele ainda fornece dados, mas os discos restantes realizam trabalho adicional ou têm menos capacidade de leitura disponível. Uma reconstrução preenche um disco substituto a partir das informações restantes. Um disco de reserva a quente é um disco ocioso instalado que permite iniciar a reconstrução rapidamente. RAID-0 não tem redundância nem esse estado de operação degradada após perder um disco do arranjo.

Mantenha consistentes as atualizações em vários discos

O RAID pode executar em um controlador de hardware com processador e cache protegido próprios, em software do sistema operacional, como o md do Linux, ou dentro de um sistema de arquivos, como ZFS. Cada um deve tratar uma escrita interrompida entre atualizações em discos diferentes. Espelhos podem divergir; dados e paridade podem descrever versões diferentes. O caso da paridade é a lacuna de escrita.

Um cache não volátil protegido ou um diário de transações adequado pode preservar atualizações pendentes para recuperação. Um mapa de bits de intenção de escrita registra quais áreas precisam de ressincronização após uma interrupção. Ele não mantém os novos dados e, sozinho, não é uma solução completa para a lacuna de escrita de paridade quando um disco também está ausente.

RAID mantém a disponibilidade diante de falhas de disco especificadas. Uma exclusão ou escrita de ransomware chega às cópias do arranjo pela interface normal. Um incêndio ou roubo pode eliminar todo o arranjo. Backups separados fornecem versões ou cópias recuperáveis além desses eventos compartilhados.

RAID-0 distribui dados em faixas entre discos sem manter informações redundantes. Com um fragmento de um bloco e numeração a partir de zero, o bloco lógico A vai para:

Para quatro discos, o bloco 14 pertence ao disco 2 no deslocamento 3. O módulo escolhe o disco; a divisão inteira conta as linhas de faixa completas antes desse bloco.

Inclua o tamanho do fragmento no mapeamento

Um fragmento de faixa é uma sequência de blocos consecutivos colocados em um disco antes de passar ao próximo. Seja seu tamanho c blocos. Primeiro identifique o fragmento, depois o disco e o deslocamento local:

Para o bloco 14, c = 2 e N = 4, o fragmento é 7, o disco é 3 e o deslocamento é 2. Usar A módulo N diretamente ignoraria os fragmentos de dois blocos. Fragmentos pequenos podem distribuir uma requisição grande por mais discos; fragmentos maiores mantêm mais trabalho próximo em um disco. Fragmentos comuns de arranjos variam de 64 a 512 KiB; o md do Linux geralmente usa 512 KiB como padrão.

RAID-0 tem capacidade NB e taxas agregadas ideais sequencial e aleatória NS e NR. Uma pequena requisição a um único disco ainda leva cerca de T. A falha de qualquer disco do arranjo causa perda de alguns dados, então essa organização é adequada a dados temporários reproduzíveis quando a disponibilidade não é importante.

Acrescente cópias espelhadas

Um espelho RAID-1 de dois discos escreve cada bloco nos dois integrantes. RAID-10 distribui faixas entre pares espelhados. Com quatro discos e fragmentos de um bloco entre pares, o bloco A vai para o par A módulo 2 no deslocamento piso(A/2), e ambos os integrantes o armazenam.

RAID-10 usa metade da capacidade bruta. Ele sobrevive a qualquer falha isolada e pode sobreviver a N/2 falhas se cada uma atingir um par diferente. Perder os dois integrantes de um par causa a perda dos dados desse par, mesmo que todos os outros pares permaneçam saudáveis.

Conte o trabalho útil por disco

Cada escrita espelhada atualiza dois discos em paralelo. Sua latência é cerca de T, determinada pelo integrante mais lento, enquanto a vazão agregada de escrita aleatória é NR/2. Leituras podem ser distribuídas entre todas as cópias, resultando em NR com leituras aleatórias independentes suficientes.

O modelo simples de leitura sequencial espelhada resulta em NS/2 porque os parceiros saltam os blocos um do outro. Implementações que atribuem intervalos completos de leitura a cada cópia podem obter resultados melhores. O espelhamento fornece mais capacidade de atendimento de leituras; ele não faz um disco concluir uma leitura individual na metade do tempo.

Uma faixa com paridade armazena blocos de dados e um bloco de redundância igual ao XOR bit a bit deles. Para cada posição de bit, XOR é um quando um número ímpar de entradas é um. Aplicar XOR a um valor com ele mesmo o cancela. Esse cancelamento permite que o arranjo determine um bloco ausente.

Recupere um bloco ausente conhecido

Para os dados 0011, 0101 e 1001:

Se o segundo bloco estiver ausente:

O arranjo precisa saber qual bloco reconstruir. Uma divergência de paridade entre blocos aparentemente saudáveis mostra inconsistência, mas não identifica o integrante defeituoso. Uma soma de verificação pode ajudar a determinar quais dados são válidos.

Atualize um bloco sem ler a faixa inteira

Reconstruir a paridade a partir dos outros dados é a paridade aditiva. Com cinco discos de dados, alterar um bloco exige ler os outros quatro blocos de dados e depois combiná-los com o novo valor. A paridade subtrativa, ou leitura, modificação e escrita, remove a contribuição do bloco antigo e insere a do novo:

Altere 0101 para 1100 na faixa acima:

Isso exige duas leituras, dos dados antigos e da paridade antiga, seguidas de duas escritas, dos novos dados e da nova paridade. A fase de leitura precisa terminar antes da fase de escrita, resultando em cerca de 2T de latência. Uma escrita de faixa completa tem todos os novos blocos de dados, então calcula a nova paridade diretamente e não precisa ler blocos antigos.

Distribua o trabalho de paridade

O disco de paridade do RAID-4 realiza uma leitura e uma escrita para cada pequena atualização, criando um gargalo fixo. RAID-5 distribui a paridade entre os discos, permitindo que atualizações de faixas independentes ocorram simultaneamente. Ele ainda paga quatro operações físicas de entrada e saída por pequena escrita lógica. Leituras aleatórias podem usar todos os discos a NR; grandes escritas sequenciais chegam a cerca de (N − 1)S.

RAID-6 acrescenta redundâncias independentes P e Q, geralmente usando um código Reed–Solomon para Q. Duas cópias do mesmo XOR forneceriam apenas uma equação. Atualizar um bloco de dados por leitura, modificação e escrita lê os dados antigos, P e Q e depois escreve os três: seis operações de entrada e saída.

Para quatro discos de 4 TB com R = 1 MB/s, RAID-4 e RAID-5 fornecem 12 TB e taxas de escrita aleatória de 0,5 e 1 MB/s. RAID-6 fornece 8 TB e cerca de 0,67 MB/s. Em RAID-5 degradado, um bloco de dados ausente exige N − 1 leituras de blocos restantes. Em RAID-6 com um bloco de dados ausente, a reconstrução com P exige N − 2 leituras e omite Q; dois blocos ausentes exigem as duas equações independentes.

Comece a escolha de um RAID pela carga de trabalho e pelas perdas às quais ele precisa sobreviver. Considerar apenas a capacidade deixa de fora o custo de escrita, o desempenho em modo degradado e o tempo necessário para restaurar a redundância. Um arranjo maior tem mais discos contribuindo para a capacidade, mas também mais discos e setores expostos durante a recuperação.

Escolha a organização adequada à carga de trabalho

RAID-0 é adequado a dados temporários que podem ser recriados e não precisam de tolerância a falhas de disco. RAID-10 é adequado a muitas pequenas leituras e escritas aleatórias quando é aceitável abrir mão de metade da capacidade. RAID com paridade usa o espaço de forma eficiente e funciona bem para grandes escritas de faixa completa. RAID-6 acrescenta proteção contra quaisquer duas falhas, útil quando a reconstrução de unidades grandes leva muito tempo.

Com quatro discos, RAID-10 e RAID-6 fornecem, cada um, metade da capacidade bruta. RAID-10 precisa de duas escritas físicas por pequena escrita lógica; a leitura, modificação e escrita do RAID-6 precisa de seis operações de entrada e saída. RAID-6 sobrevive a qualquer combinação de falhas em dois discos, enquanto RAID-10 exige que essas falhas atinjam pares diferentes. Nenhuma das escolhas é superior em todas as medidas.

Calcule um limite inferior para a reconstrução

A reconstrução de um espelho copia seu disco parceiro restante. Uma reconstrução completa de um arranjo com paridade lê os dados restantes e reconstrói os blocos ausentes. A equação P do RAID-6 pode reconstruir um bloco de dados ausente sem Q; as leituras reais de recuperação dependem da organização e da implementação. Reconstruções de unidades completas podem envolver leituras extensas nos discos restantes.

Escrever um disco substituto de 20 TB a 200 MB/s leva pelo menos:

Isso equivale a cerca de 27,8 horas sem carga concorrente ou gargalo adicional. Entrada e saída normal, buscas, trabalho do controlador e limitação da recuperação podem aumentar esse tempo. Adicionar um disco de reserva a quente reduz a espera antes do início da reconstrução; isso não elimina o tempo de cópia.

Examine a exposição durante a recuperação

Um arranjo RAID-5 degradado já usou sua única tolerância a falha de disco. A perda de outro disco impede a recuperação. Um setor ilegível em um disco restante também pode deixar uma faixa com dois blocos desconhecidos: o bloco do disco ausente e o bloco ilegível do disco restante. Outras faixas ainda podem ser recuperáveis.

Como cálculo ilustrativo, reconstruir um RAID-5 de quatro discos de 4 TB exige ler três discos restantes completos:

Se os erros forem modelados à taxa de um por 10¹⁴ bits, o número esperado será 0,96. Esse é um número esperado segundo esse modelo de taxa, não uma probabilidade de falha de 96%. Um limite de taxa de erro de uma ficha técnica não é uma previsão medida para uma reconstrução específica. Especificações empresariais frequentemente apresentam um limite mais rigoroso, como um por 10¹⁵ bits.

Aumentar o RAID-5 de quatro para oito discos eleva a capacidade utilizável de 75% para 87,5% do espaço bruto, enquanto aumenta os dados restantes lidos durante a recuperação. Idade e desgaste semelhantes também enfraquecem a hipótese de falhas independentes. Um banco de dados com muitas escritas pode favorecer RAID-10; um grande arquivo sequencial pode favorecer RAID-6. Programe varreduras de integridade para descobrir setores defeituosos enquanto ainda há redundância e mantenha backups separados.

O modelo de falha por parada identifica um disco inteiro como ausente. Um dispositivo no modelo de falha parcial funciona na maior parte do tempo, enquanto alguns blocos são ilegíveis ou incorretos. Essas falhas podem permanecer ocultas em dados raramente acessados até que outra falha torne esses blocos necessários para uma reconstrução.

Separe um erro de leitura informado de bytes incorretos

Um erro latente de setor (LSE) significa que a unidade não consegue ler um setor e informa um erro. Danos físicos ou erros de bits além da capacidade de correção do ECC interno podem causá-lo. Como o local é conhecido, um sistema redundante pode ler um espelho ou reconstruir esse bloco a partir da paridade. Reescrever os dados recuperados permite que a unidade retire de uso ou remapeie o local danificado.

Corrupção silenciosa significa que uma leitura retorna bytes incorretos sem informar erro. Firmware defeituoso, uma falha no controlador ou no barramento, ou uma escrita em destino incorreto podem causá-la. O estado de sucesso do comando indica que a transferência terminou; ele não valida o conteúdo de ponta a ponta.

Diferencie erros de endereço e de versão

Uma escrita em destino incorreto pode sobrescrever um bloco não relacionado e deixar o destino pretendido desatualizado. Uma escrita perdida deixa a versão antiga do bloco pretendido no lugar. Um identificador de endereço ajuda a detectar a primeira falha; uma referência da nova versão armazenada de forma independente ajuda a detectar a segunda.

O ECC interno da unidade corrige muitos erros nos bits armazenados. Ele não consegue verificar todas as falhas em outros pontos do caminho, como um valor corrompido antes de a unidade calcular seu código ou depois de a unidade retorná-lo. A proteção restrita ao meio deixa outros componentes sem verificação.

Entenda por que a escala importa

Um estudo de campo acompanhou 1,53 milhão de discos em produção por 32 meses. LSEs afetaram cerca de 8,5% das unidades nearline e 1,9% das unidades de classe empresarial. Um estudo separado sobre corrupção na mesma população durante 41 meses encontrou divergências de somas de verificação em cerca de 0,86% e 0,065%, respectivamente. Essas são observações históricas em períodos de estudo diferentes, não probabilidades anuais nem garantias atuais. Na escala de um grande parque de unidades, até falhas incomuns por unidade tornam-se eventos operacionais regulares.

Use redundância com verificação

Uma leitura normal de um espelho de duas cópias pode escolher uma delas sem compará-la com a outra. Ela pode retornar bytes corrompidos se nenhuma soma de verificação for conferida. Se as cópias forem comparadas e divergirem, duas cópias sozinhas não indicam qual está correta. Uma soma de verificação válida fornece uma base para selecionar uma versão correta.

Durante uma reconstrução de RAID-5, um LSE em um disco restante pode eliminar a última informação necessária para sua faixa. O arranjo já tem um bloco ausente, e uma equação XOR não consegue recuperar duas incógnitas. Encontrar e reparar falhas latentes enquanto todos os discos permanecem disponíveis preserva opções para a próxima falha.

Uma soma de verificação resume um bloco de dados em um valor muito menor. Na leitura, recalcule-a e compare-a com o valor esperado armazenado. Uma divergência detecta uma inconsistência. Entradas diferentes podem compartilhar um valor, o que se chama colisão, então somas coincidentes fornecem uma forte evidência cuja robustez depende da função escolhida e do padrão de erro.

Experimente XOR e adição

Para os bytes 0x36, 0x5A, 0xC1 e 0x0F, o XOR bit a bit resulta em 0xA2. Em binário, o cálculo é:

Inverta o bit menos significativo dos dois primeiros bytes, obtendo 0x37 e 0x5B. As duas alterações se cancelam no XOR, mantendo 0xA2. Uma operação barata pode ter um ponto cego previsível.

Uma soma de verificação por adição de 8 bits soma os valores dos bytes módulo 256:

A dupla inversão acima altera a soma para 0x62, então a adição detecta esse erro. Mas mudar a ordem dos bytes deixa tanto a adição simples quanto o XOR inalterados.

Acrescente sensibilidade à posição

Uma soma de verificação de Fletcher mantém duas somas, inicializadas em zero. Para cada byte d, atualize a primeira soma e depois adicione seu novo valor à segunda:

O resultado é (97, 122). Trocar os dois primeiros bytes de lugar resulta em (97, 158). A primeira soma ignora a ordem, mas a segunda atribui pesos às posições por meio da acumulação progressiva. Fletcher detecta erros de um único bit e muitos erros em rajada a baixo custo, embora colisões continuem possíveis.

Acompanhe uma divisão curta de CRC

Uma verificação de redundância cíclica (CRC) trata bits como coeficientes polinomiais e divide usando XOR. Com o gerador 1011, que representa x³ + x + 1, um resto de três bits protege os dados. Para os dados 1101, acrescente três zeros:

1. Comece com 1101000 e aplique XOR com 1011000, restando 0110000.
2. Alinhe o gerador ao primeiro bit um e aplique XOR com 0101100, restando 0011100.
3. Aplique XOR com 0010110, restando 0001010.
4. Aplique XOR com 0001011, restando 0000001.

O resto é 001, então armazene 1101001. Dividir essa palavra de código resulta em zero; alterá-la para 1111001 resulta em resto 110. Um CRC de n bits detecta toda rajada de comprimento máximo n bits. O suporte da CPU torna o CRC viável para armazenamento e tráfego de rede, incluindo CRC32C em metadados do ext4 e no Btrfs.

Hashes criptográficos como SHA-256 também resistem a tentativas deliberadas de colisão. Um hash usado contra adulteração precisa de um valor esperado confiável; substituir tanto os dados quanto seu hash não confiável invalida a comparação. O OpenZFS normalmente usa Fletcher para dados comuns e SHA-256 para deduplicação. Oito bytes de soma de verificação por bloco de 4 KiB custam cerca de 0,2% de espaço. A detecção sozinha não fornece bytes de substituição: o reparo exige redundância ou um código de correção de erros.

Uma função de soma de verificação determina quais alterações são detectáveis. O projeto de armazenamento determina com qual valor ela é comparada, a qual endereço pertence e se existe uma substituição correta. Uma soma de verificação robusta associada à versão errada ainda pode aceitar dados desatualizados.

Escolha um lugar para o valor esperado

O ZFS usa somas de verificação em ponteiros de blocos pais, criando uma árvore de verificação até sua raiz. Informações de proteção também podem conter o endereço esperado. A etiqueta de referência do T10 usa os 32 bits menos significativos do endereço de bloco lógico junto com um CRC de dados de 16 bits e uma etiqueta de aplicação. Uma verificação de endereço pode rejeitar bytes corretos retornados do local errado.

Separe local errado de versão errada

Suponha que uma leitura do disco 3, bloco 1.207 retorne um par válido de dados e soma de verificação identificado para outro endereço. A soma de verificação sozinha coincide, mas o identificador de endereço revela o destino incorreto.

Uma escrita perdida é mais difícil: o conteúdo antigo pode ter uma soma de verificação válida e o endereço correto. A verificação por leitura após escrita compara uma nova leitura com o novo conteúdo esperado, acrescentando aproximadamente outra operação de entrada e saída. Ela precisa observar o resultado armazenado, não apenas a mesma cópia em cache volátil. Uma soma de verificação esperada armazenada separadamente, como em um ponteiro confirmado de bloco pai, pode rejeitar a versão desatualizada do bloco filho. O valor esperado separado deve, ele próprio, descrever a atualização pretendida.

Verifique antes de retornar ou reparar

Em uma leitura, obtenha o bloco e sua soma de verificação esperada, recalcule e compare. Se a primeira cópia falhar, leia outra cópia ou reconstrua o bloco a partir da redundância. Verifique esse resultado antes de retorná-lo. Se ele passar, retorne os dados corretos e reescreva a cópia danificada. Isso é autorreparo. Se nenhuma cópia válida puder ser encontrada, retorne um erro em vez de bytes não verificados.

Por exemplo, um conjunto de armazenamento ZFS espelhado lê o disco A e detecta uma divergência de soma de verificação. A cópia do disco B passa na verificação. O sistema retorna os dados de B, repara A e registra o erro de A. O espelhamento comum sem verificação de soma poderia retornar os bytes incorretos de A sem perceber.

Procure erros antes que uma falha force a recuperação

A varredura de integridade lê e verifica periodicamente os dados armazenados, inclusive blocos que as aplicações raramente acessam. Com redundância disponível, o sistema pode reparar falhas antes que outro disco falhe. No estudo histórico sobre LSEs, a varredura de integridade encontrou mais de 60% dos erros.

A verificação consome tempo de CPU, espaço para somas de verificação e, às vezes, entrada e saída adicional. Oito bytes por 4 KiB custam cerca de 0,2%; oito por 512 bytes de dados custam cerca de 1,6%. As leituras da varredura competem com requisições em primeiro plano, então períodos de baixa atividade são úteis. O argumento de ponta a ponta coloca a verificação final perto do sistema de arquivos ou da aplicação, cobrindo mais partes do caminho que o ECC da unidade restrito ao meio.