18 闪存盘与数据完整性 — 新硬件的新脾气,和「盘会说谎」的应对Copy Anchor Link

1. 这一章讲什么Copy Anchor Link

持久化部分的最后两块拼图。第一块:SSD——闪存没有机械臂, 随机读快几百倍,但写要先擦除整块(毫秒级)且每块只能擦写 约一万次。把这样的芯片包装成「一块普通盘」卖给世界, 就是闪存转换层(FTL)的工程;而它的解法,你会认出是 LFS 的思想。 第二块:数据完整性——补 RAID 章留的尾巴:真实世界里盘很少 「干脆死掉」,更多是静默说瞎话;检测靠校验和,恢复靠冗余, 原则靠端到端。

2. 顶层全景Copy Anchor Link

  闪存的三条物理约束:
    读页:快(数十 µs,随机=顺序)
    写页:只能 1→0,且必须先擦除整块(128–256KB,毫秒级)
    寿命:反复 P/E 累积残电荷 → 块磨损(MLC ≈ 10,000 次)
        │
  FTL 的三件套(把怪脾气藏成普通块设备):
    日志式映射:写永远追加到当前块,映射表记 逻辑块 → 物理页
    垃圾回收:整段搬活块、回收死块(写放大的来源)
    磨损均衡:让全盘的块均匀老化
        │
  数据完整性:
    fail-partial 模型:整盘坏死之外,还有 LSE(读时报错,好办)
    和静默损坏(返回错数据不吭声,难办)
    检测 = 校验和(XOR/加法/Fletcher/CRC 的强度-速度权衡)
    恢复 = 冗余(镜像/RAID-DP 双奇偶);原则 = 端到端

图说:上半是「新硬件的新约束与它的包装层」,下半是「旧冗余观 不够用了,补上检测这一半」。

3. 核心原理Copy Anchor Link

3.1 闪存的基本脾气(主线例子:改一页,赔一块)Copy Anchor Link

组织结构:块(block / 擦除块,128–256KB)> 页(page,数 KB)。 三个操作(书里的性能表)¹:

图说:注意术语陷阱——闪存的「块/页」和磁盘的「块」、虚拟内存的 「页」完全不是一个东西,各域有各域的叫法²。

改一页的完整代价(书里的 4 页小例子,数值照抄): 块里 4 页都已编程(VALID),要把 Page 0 从 00011000 改成 00000011——先擦整块,四页全变 11111111(ERASED), 再编程 Page 0;Page 1–3 的旧内容全部陪葬³。 所以任何「覆写」之前,必须先把块里还在用的页搬到别处—— 这一条物理约束,决定了 FTL 的全部形状。

页状态机也值得一提:INVALID →(擦除)ERASED →(编程)VALID; 已编程的页不能再编程,唯一的改法是擦整块⁴。

寿命与干扰:MLC 块标称 10,000 次 P/E,SLC 100,000 次 (实测往往更长);另有读/编程干扰(碰一页,邻居页位翻转)⁵。 所以「写性能」和「活得久」是 SSD 设计的两个主战场。

3.2 FTL:日志式映射如何把怪脾气藏成一块盘Copy Anchor Link

反面教材:直接映射(逻辑页 N = 物理页 N)。 每次写:读整块 → 擦整块 → 把旧页+新页一起写回。 写放大正比于块内页数,比机械盘还慢;且热点逻辑块把对应的 物理块反复擦写,很快磨死⁶。性能和寿命双输。

正解:日志式 FTL。写逻辑块 N 时,不找「N 的老位置」, 而是追加到当前正在写的块的下一个空页;内存里(并有持久形式) 的映射表记 N → 最新物理地址⁷。主线例子(书里的玩具盘: 16KB 块 ÷ 4KB 页;客户写 逻辑块 100=a1、101=a2、2000=b1、 2001=b2):FTL 先擦块 0,按页序把 a1、a2 写进页 0、1, 再擦块 1 写 b1、b2;映射表相应记下 100→块0页0 等⁸。 按页序写还有个附带好处:减轻编程干扰⁹。

垃圾回收与写放大。覆写产生死页,攒多了就要回收: 读 M 个旧段里的活块、压进 N 个新段(M>N)、擦掉旧段。 写放大 = FTL 发给闪存的总写入 ÷ 客户请求的写入—— 段里活块越多,搬运越亏;接近满盘时写放大急剧恶化, 这是「SSD 要留空闲」和「TRIM 命令告诉它哪些块已删」的由来¹⁰。

磨损均衡:映射本来就是间接层,FTL 可以周期性把 冷数据搬去磨损重的块、热数据挪到磨损轻的块, 让所有块均匀老化——直接映射给不了这个自由¹¹。

一个呼应:#17 章的 LFS 在文件系统层做了同样三件事 (日志写、垃圾回收、间接定位);FTL 在设备层又做了一遍。 闪存 SSD 其实是「LFS 哲学在硅片里的实现」,只是客户看不见 ——这就是向后兼容的力量与代价:接口不变,两侧各自进化, 接口本身却成了下一代的束缚(书里引 ZFS 为例)¹²。

3.3 数据完整性:当盘开始说瞎话Copy Anchor Link

RAID 章假设 fail-stop(盘非好即坏,坏了立刻知道)。 现实是 fail-partial¹³:两类部分故障——

• 潜伏扇区错误(LSE):扇区物理损坏,读时报错。 好办:检测免费,冗余直接顶上(镜像读另一份;奇偶组重算)。 但有个组合拳要防:整盘重建期间撞上另一块盘的 LSE, 重建就完不成——NetApp RAID-DP 的答案是双奇偶, 用一块盘的空间换重建期的第二条命¹⁴。
• 静默损坏(corruption):固件把块写错位置、总线传错数据, 盘自己 ECC 全过、高高兴兴返回错数据。难办:检测是问题。

检测靠校验和(checksum):对 4KB 块算一个小摘要(4–8 字节), 随数据存下,读时重算比对¹⁵。函数谱系是强度-速度的权衡 (没有免费午餐)¹⁶:

图说:再强也有碰撞(不同数据同摘要)——摘要一定比原文小, 选对函数是在漏检率和算力间取点¹⁷。

布局的麻烦:校验和很小、盘按 512 字节写,厂商解法是把扇区 格式化成 520 字节(+8 存校验和);没有这功能的盘,文件系统得把 n 个校验和挤进一个扇区、再跟 n 个数据块——改一个数据块 要读校验和扇区、改它、连数据一起写回(1 读 2 写)¹⁸。

端到端视角收尾(补充,不在书里,是我们自己的综合): 下层(总线、盘内缓存、固件)都可能弄坏数据,只有端点(写数据的人、读数据的人)才能真正为完整性定责——中间各层的校验只是优化,不能替代端点的校验与恢复决策。原书以 ZFS 为代表点到「灵活端到端数据完整性」的方向(见该章参考文献 [Z+13]¹⁹)。所以可靠的存储栈是:冗余(恢复)+ 校验和(检测)+ 端点定责。

4. 作者的判断与证据Copy Anchor Link

书里给了证据的判断:

• 闪存三操作的延迟表引自公开测量¹;磨损寿命引厂商标称 与 [BD10] 的实测修正⁵;
• LSE/静默损坏的频率来自对 150 万块盘、约 3 年的两项研究 (便宜盘 LSE 9.4%、损坏 0.5%;贵盘低约一个数量级)¹³;
• 校验和的强度对比引 Fletcher 原文与 CRC 文献¹⁶。

作者的判断(立场):

• 「接口稳定使能两侧创新,但也可能成为下一代的束缚」—— 对 SSD 伪装成块设备这件事,书里态度是双面的¹²。
• 「想建可靠的存储系统,必须同时有检测和恢复两种机器」, 是这章的判词¹³。

5. 边界与局限Copy Anchor Link

• FTL 是商业机密,书里讲的是原理级模型(Agrawal 等的研究是 最深入的外部刻画);各家实现(静态/动态磨损均衡、贪心/成本感知的 回收策略)差异很大。
• 本章闪存叙述以 2010 年代中期的 SLC/MLC/TLC 为基准; QLC/PLC 与 3D NAND 已改变具体数字,但「擦整块才能写、 会磨损」两条物理约束不变。
• 数据完整性一章没展开「纠删码」(erasure coding)—— 数据中心里替代 RAID 的更大粒度冗余方案,属于下一层读物。

6. 可带走的Copy Anchor Link

1. 闪存三操作(读页/编程页/擦块)的粒度与成本差两个数量级; 一切 SSD 设计都是绕着「擦除」转。
2. 「写 = 先搬家、再擦块、再追加」→ FTL 的日志结构是物理约束 的必然,不是风格选择。
3. 写放大是 FTL 的头号指标;GC 策略、OP(预留空间)、TRIM 都围着它转。
4. 磨损均衡能存在,是因为映射表这层间接——间接层换来调度自由, 这个模式在虚拟内存、LFS、FTL 里重复出现。
5. 可靠的冗余设计要按 fail-partial 想:检测和恢复是两种 必须分别建设的机器;只囤冗余没有校验和,等于对瞎话照单全收。
6. 端到端原则:信任边界画在端点上,中间层的一切「保证」 都只是性能优化。

7. 原文地图Copy Anchor Link