JP2002215462A

JP2002215462A - 計算機システム

Info

Publication number: JP2002215462A
Application number: JP2001010323A
Authority: JP
Inventors: Noboru Morishita; 昇森下; Takashi Arakawa; 敬史荒川; Jun Kitahara; 潤北原
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2001-01-18
Filing date: 2001-01-18
Publication date: 2002-08-02

Abstract

(57)【要約】【課題】暗号化したまま副記憶装置に格納したリモー
トコピー対象データの暗号鍵更新時の負荷を軽減し、複
数の暗号鍵を効率良く管理すること。【解決手段】ボリューム毎のボリューム鍵５７１で暗
号化したまま副記憶装置９に書き込んだボリュームの鍵
の変更を、副記憶制御装置８において、正記憶制御装置
５から現ボリューム鍵と新ボリューム鍵を受領し、正記
憶制御装置５からのリモートコピー対象レコードを受領
し続けながら、当該ボリューム全体のレコードを、耐タ
ンパ性を持つ暗号機能８５内部で、現ボリューム鍵で復
号化し、新ボリューム鍵で暗号化する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、計算機システムに
係り、特に、ホスト計算機を介さず、記憶制御装置相互
間の転送データを暗号化してデータを２重化するリモー
トコピー機能を有する計算機システムに関する。

【０００２】

【従来の技術】災害等による記憶装置内のデータの喪失
を避けることを可能にした技術として、遠隔地にある記
憶装置にデータを２重化する機能であるリモートコピー
の技術が知られている。リモートコピーは、ホスト計算
機に接続されている正記憶制御装置と、正記憶制御装置
と接続されている副記憶制御装置とにリモートコピー対
象ボリュームを設定し、正記憶制御装置に接続されてい
る正記憶装置の正ボリュームと、副記憶制御装置に接続
している副記憶装置の副ボリュームの内容とを常に一致
させるようにコピーを実行し続けるというものである。

【０００３】この種のリモートコピーに関する従来技術
として、例えば、特開平１１−８５４０８号公報等に記
載された技術が知られている。この従来技術は、異なる
記憶制御装置相互間で、ホスト計算機を介さずデータを
２重書きするものであり、ホスト計算機からライト時刻
を付加されたライトデータを受領した正記憶制御装置
が、ホスト計算機にライトデータのライト完了報告後、
ライト時刻順に、ライト時刻とライトデータとを副記憶
制御装置に転送し、副記憶制御装置が、正記憶制御装置
から受領したライト時刻とライトデータとを不揮発のキ
ャッシュメモリに格納して、あるライト時刻までのデー
タを保証するというものである。

【０００４】前述において、副記憶制御装置が遠隔地に
ある場合、正記憶制御装置から副記憶制御装置へのデー
タ転送路に公衆通信回線を使用する場合がある。公衆通
信回線は、記憶装置を設置しているデータセンタ内の転
送路と比較し安全性が低く、第三者に転送データが傍受
される可能性が相対的に高い。これに対処するため、公
衆通信回線とデータセンタ内の転送路との接続点から記
憶制御装置との間の部分に暗号機能を追加し、公衆通信
回線に流れるリモートコピー対象データを暗号化する技
術があり、これにより、データが傍受されても内容の解
読を難しくすることができる。また、リモートコピー対
象データに応じた暗号機能を使用するには、リモートコ
ピー対象データの転送元に近いほど容易であるため、記
憶制御装置への暗号機能の内蔵という方法が考えられ
る。

【０００５】通信路における転送データを暗号化する従
来技術として、例えば、特開平９−１３９７３５公報等
に記載された技術が知られている。この従来技術は、デ
ータの転送元と転送先とのコンピュータにおいて、暗号
化を実行する中継サービスプログラムを動作させ、ネッ
トワークを介する送受信をこの中継サービスプログラム
を介して実行するというものである。

【０００６】リモートコピー対象データの秘匿要求とし
て、正記憶制御装置で暗号化し副記憶制御装置において
復号化せずに副記憶装置に書き込みたいという要求があ
る。このような要求は、特に、副記憶装置が、社外のス
トレージサービスプロバイダの提供する記憶装置である
ような場合に生じる。

【０００７】一方、リモートコピー対象データの暗号化
に使用する鍵は、リモートコピー対象データの内容が解
読される危険を減らすために、ある頻度で更新する必要
がある。鍵を更新しようとした場合、鍵で正記憶制御装
置において暗号化し副記憶制御装置で復号化せず副記憶
装置に書き込んだリモートコピー対象データの全てを、
現在の鍵で復号化し、新しい鍵で再び暗号化する必要が
ある。

【０００８】次に、リモートコピーのボリュームペアの
状態とコピー先ボリュームの内容の一貫性について説明
する。リモートコピーのボリュームペアの状態は、大き
く分けて４通りあり、これらは、ペア未形成、二重化過
渡中（ボリュームの転送中）、二重化中（ボリューム転
送後の格納中）、中断中である。以下に、一般的な状態
遷移を説明する。

【０００９】まず、ボリュームペア形成指示により、ペ
ア未形成から二重化過渡中となる。ボリュームペア形成
直後の二重化過渡中において、コピー元ボリュームの内
容の全てをコピー先ボリュームに転送する処理と、ホス
ト計算機から更新されたコピー元ボリュームの内容をコ
ピー先ボリュームに転送する処理とが実行される。この
ような二重化過渡中は、コピー先ボリュームの内容に一
貫性はない。

【００１０】次に、コピー元ボリュームの内容の全てを
コピー先ボリュームに転送した時点で、二重化過渡中か
ら二重化中となる。このとき、ホスト計算機から更新さ
れたコピー元ボリュームの内容をコピー先ボリュームに
転送する処理が実行されている。このような二重化中
は、コピー先ボリュームの内容に一貫性がある。

【００１１】ボリュームペア中断指示により、二重化過
渡中、二重化中から中断中となる。中断中において、ホ
スト計算機から更新されたコピー元ボリュームの位置を
記録しておき、コピー先ボリュームへの転送は行われな
い。二重化過渡中から中断中となった場合、コピー先ボ
リュームの内容に一貫性はない。二重化中から中断中と
なった場合、コピー先ボリュームの内容に一貫性があ
る。

【００１２】また、ボリュームペア解除の指示により、
二重化過渡中、二重化中、中断中からペア未形成とな
る。二重化過渡中からペア未形成となった場合、コピー
先ボリュームの内容に一貫性はない。二重化中からペア
未形成となった場合、コピー先ボリュームの内容に一貫
性がある。中断中からペア未形成となった場合、コピー
先ボリュームの内容の一貫性は、中断中となる前の状態
に依存する。

【００１３】また、ボリュームペア回復指示により、中
断中から二重化過渡中となる。このとき、中断中に記録
しておいたホスト計算機から更新されたコピー元ボリュ
ームの位置のデータをコピー先ボリュームに転送する処
理と、ホスト計算機から更新されたコピー元ボリューム
の内容をコピー先ボリュームに転送する処理とが実行さ
れる。二重化過渡中は、コピー先ボリュームの内容に一
貫性はない。

【００１４】以上より、二重化過渡中、二重化過渡中か
らの中断中、及び、ペア未形成の状態のとき、コピー先
ボリュームの内容に一貫性がなく利用することができな
いため、これらの状態のときに、正記憶制御装置が災害
にあった場合、データの喪失となる。

【００１５】暗号アルゴリズムは、暗号化と復号化に同
じ鍵を使用する共通鍵暗号、暗号化と復号化とに別々の
鍵を使用する公開鍵暗号に大きく分けられる。共通鍵暗
号は、暗号化／復号化の処理速度が速く、高速に大量の
データを転送する際に用いられる。しかし、鍵を秘密情
報として管理しなければならない。一方、公開鍵暗号
は、暗号化／復号化の処理速度は遅いが、鍵の一方であ
る暗号化のための鍵を秘密情報として管理する必要がな
い。なお、共通鍵暗号の鍵を共通鍵、公開鍵暗号の鍵
で、公開する鍵を公開鍵、秘密とする鍵を秘密鍵と呼ぶ
ことがある。

【００１６】公開鍵暗号は、公開鍵をオンラインで交換
する際、公開鍵転送元と公開鍵転送先との間に他人が介
入し、転送元の公開鍵を自分の公開鍵にすりかえ、公開
鍵転送先から公開鍵転送元への暗号化しようとしていた
通信内容を傍受する中間者攻撃の可能性がある。

【００１７】この中間者攻撃を避けるため、公開鍵とそ
の所有者とを登録する認証局を設ける方法がある。この
方法は、次のように行われる。公開鍵転送元は、公開鍵
を交換する前に、公開鍵と身元情報とを認証局に安全性
が確保された手段で転送する。認証局は、公開鍵転送元
の身元情報を審査し、公開鍵転送元の公開鍵を登録し、
公開鍵転送元の身元情報と公開鍵とを認証局の秘密鍵で
復号化した公開鍵証明書を公開鍵転送元に転送する。公
開鍵転送元と公開鍵転送先とには、認証局の公開鍵をあ
らかじめ設定しておく。公開鍵転送元は、公開鍵転送元
の身元情報と公開鍵と公開鍵証明書とを公開鍵転送先に
転送する。公開鍵転送先は、公開鍵証明書を認証局の公
開鍵で暗号化した内容と、公開鍵転送元の身元情報と公
開鍵とを比較し一致していれば、当該公開鍵を公開鍵転
送元のものであると判断する。

【００１８】鍵の管理方式は、一般に、階層化されてい
る。例えば、岡本栄司著「暗号理論入門」(共立出版、
ＩＳＢＮ：４−３２０−０２６３３−０)の第６章１１
０ページには、鍵階層の構成例が示されている。階層化
されている鍵は、その最下位の鍵をワーク鍵、最上位の
鍵をマスタ鍵、その中間にあたる鍵を鍵暗号化鍵と呼
ぶ。これらの鍵は、ワーク鍵を転送データの暗号化／復
号化に使用し、鍵暗号化鍵、及び、マスタ鍵を、より下
位の鍵を暗号化し、通信相手に転送するために使用する
という使用形態で利用される。但し、マスタ鍵は、オフ
ライン等で伝えあう必要がある。階層数を２層にし、マ
スタ鍵に公開鍵暗号、ワーク鍵に共通鍵暗号を使用する
形態は一般的である。

【００１９】ところで、暗号技術において、外部からの
暗号機能内部の情報を不正に参照したり改ざんしたりす
るのを難しくする性質を、一般に、耐タンパ性と呼んで
いる。この耐タンパ性を増す技術の例が、例えば、日経
エレクトロニクス２０００.３．２７（ｎｏ．７６
６）号の１６１頁に示されている。耐タンパ性を増すた
めの技術としては、ハードウェアによるものとソフトウ
ェアによるものとがあり、通常、これらの技術が組み合
わせて使用される。

【００２０】

【発明が解決しようとする課題】前述した従来技術によ
るリモートコピーにおける転送データの暗号化は、正記
憶制御装置で暗号化し、副記憶制御装置で復号化せず副
記憶装置に書き込んだリモートコピー対象データの暗号
鍵の更新について考慮されていない。このため、前述の
従来技術は、例えば、暗号鍵を記憶制御装置毎に持つ場
合、暗号鍵の更新対象となるデータが、暗号鍵の更新時
点までに、正記憶制御装置で暗号化し、副記憶制御装置
で復号化せず副記憶装置に書き込んだリモートコピー対
象データの全てとなり、暗号鍵の更新対象データ量が莫
大なものとなるという問題点を有している。

【００２１】また、前述の従来技術は、暗号鍵の更新
時、暗号鍵の更新対象となるデータの全てを、正記憶制
御装置から新しい暗号鍵で暗号化し再転送する場合、公
衆通信回線を介し大量のデータを転送するため時間がか
かり、しかも、再転送中に正記憶制御装置側に災害が発
生すると、副記憶装置のリモートコピー対象データに一
貫性がないため再利用することができず、このため、デ
ータ喪失となるという問題点を有している。

【００２２】さらに、前述の従来技術は、複数のワーク
鍵を複数の暗号機能で使用し、鍵を正記憶制御装置と副
記憶制御装置との間で共有する鍵の管理方式について考
慮されていないという問題点を有している。

【００２３】本発明の目的は、前述した従来技術の問題
点を解決し、リモートコピーにおける転送データの暗号
化において、暗号化したまま副記憶装置に格納したリモ
ートコピー対象データの暗号鍵更新時の負荷を軽減し、
正記憶制御装置と副記憶制御装置とにおいて、複数の暗
号機能で使用する複数の暗号鍵を効率よく管理すること
を可能にした計算機システムを提供することにある。

【００２４】また、本発明の目的は、副記憶制御装置に
存在するコピー先ボリュームの一貫性を保ったまま暗号
化・複合化指定の変更、及び、鍵の更新を行うことを可
能とした計算機システムを提供することにある。

【００２５】

【課題を解決するための手段】本発明によれば前記目的
は、正ホスト計算機及び正記憶装置に接続された正記憶
制御装置と、副ホスト計算機及び副記憶装置に接続され
た副記憶制御装置とを備え、前記正記憶制御装置と前記
副記憶制御装置とが公衆通信回線を介して接続されてリ
モートコピーを実行する計算機システムにおいて、リモ
ートコピー実行前、前記正記憶制御装置は、自装置内の
暗号機能に、公開鍵暗号秘密鍵である正記憶制御装置マ
スタ鍵と、共通鍵暗号共通鍵である正記憶制御装置鍵暗
号化鍵と設定し、管理情報メモリに、副記憶制御装置の
公開鍵暗号秘密鍵である副記憶制御装置マスタ鍵と対と
なる公開鍵暗号公開鍵である副記憶制御装置鍵交換鍵を
設定し、前記副記憶制御装置は、自装置内の暗号機能
に、副記憶制御装置マスタ鍵と、共通鍵暗号共通鍵であ
る副記憶制御装置鍵暗号化鍵を設定し、リモートコピー
開始時、新規リモートコピー対象ボリュームが暗号化指
定ボリュームである場合、前記正記憶制御装置内の暗号
機能は、共通鍵暗号共通鍵であるボリューム鍵を生成
し、当該ボリューム鍵を正記憶制御装置鍵暗号化鍵で暗
号化して管理情報メモリに設定し、さらに、新規リモー
トコピー対象ボリュームが復号化指定ボリュームである
場合、当該ボリューム鍵を副記憶制御装置鍵交換鍵で暗
号化して副記憶制御装置に転送し、副記憶制御装置内の
暗号機能は、正記憶制御装置から受領した副記憶制御装
置鍵交換鍵で暗号化したボリューム鍵を副記憶制御装置
マスタ鍵で復号化し、副記憶制御装置鍵暗号化鍵で暗号
化して管理情報メモリに設定し、リモートコピー実行
中、リモートコピー対象レコードが暗号化指定ボリュー
ムである場合、正記憶制御装置の暗号機能は、管理情報
メモリの当該暗号化指定ボリュームのボリューム鍵を、
暗号機能に設定された正記憶制御装置鍵暗号化鍵で復号
化し、当該ボリューム鍵で転送対象レコードを暗号化
し、暗号化した転送対象レコードを副記憶制御装置に転
送し、副記憶制御装置内の暗号機能は、正記憶制御装置
から受領したリモートコピー対象レコードが復号化指定
ボリュームに属する場合、管理情報メモリの当該復号化
指定ボリュームのボリューム鍵を、暗号機能に設定され
た副記憶制御装置鍵暗号化鍵で復号化し、当該ボリュー
ム鍵で転送対象レコードを復号化することにより達成さ
れる。

【００２６】前述において、公開鍵暗号の暗号化／復号
化機能を持たない場合、本発明は、公開鍵暗号秘密鍵の
記憶制御装置マスタ鍵と、公開鍵暗号公開鍵の記憶制御
装置鍵交換鍵とを廃止し、新たに、正記憶制御装置と副
記憶制御装置間の鍵交換のための共通鍵暗号共通鍵であ
る正副記憶制御装置間鍵交換鍵を設け、管理情報メモリ
に記憶制御装置鍵暗号化鍵で暗号化して管理してもよ
い。

【００２７】また、本発明は、認証局を設け、記憶制御
装置鍵交換鍵と、当該記憶制御装置鍵交換鍵に対応する
記憶制御装置の身元情報を、公開鍵暗号秘密鍵である認
証局鍵で復号化した認証局証明書を発行し、記憶制御装
置間の記憶制御装置鍵交換鍵の交換時に認証局証明書を
交換し、予め各記憶制御装置に設定した認証局鍵と対と
なる公開鍵暗号公開鍵である証明書鍵で認証局証明書を
暗号化することにより、記憶制御装置鍵交換鍵の正当性
を確認し、記憶制御装置鍵交換鍵を交換するようにして
もよい。

【００２８】さらに、前記目的は、前述において、前記
新規リモートコピー対象ボリュームが正記憶制御装置で
暗号化し副記憶制御装置で復号化しないボリュームであ
り、当該ボリュームのボリューム鍵の変更時、正記憶制
御装置は、鍵生成機能により当該ボリュームの新ボリュ
ーム鍵を生成し、新ボリューム鍵を正記憶制御装置鍵暗
号化鍵で暗号化して管理情報メモリに設定し、新ボリュ
ーム鍵を副記憶制御装置鍵交換鍵で暗号化して副記憶制
御装置に転送し、副記憶制御装置は、正記憶制御装置か
ら受領した新ボリューム鍵を、副記憶制御装置マスタ鍵
で復号化し、副記憶制御装置鍵暗号化鍵で暗号化して管
理情報メモリの現ボリューム鍵とは別の領域に設定し、
正記憶制御装置は、以降の当該ボリュームのリモートコ
ピー対象レコードを新ボリューム鍵で暗号化して副記憶
制御装置に転送し、副記憶制御装置は、当該ボリューム
の先頭から終端まで、レコードを一定数ずつドライブか
ら読み出し、読み出したレコードを暗号機能に転送し、
副記憶制御装置内の暗号機能は、当該レコードのボリュ
ームの現ボリューム鍵と新ボリューム鍵とを管理情報メ
モリから読み出し、副記憶制御装置鍵暗号化鍵で復号化
後、当該レコードを現ボリューム鍵で復号化し、新ボリ
ューム鍵で暗号化してドライブに書き込み、ドライブへ
の書き込みが失敗した場合、ドライブから読み出した当
該レコードを再び暗号機能へ転送する段階から再実行
し、正記憶制御装置から受領したリモートコピー対象レ
コードを、リモートコピー対象レコードの全てが鍵変更
済みレコードの場合、そのままドライブに書き込み、リ
モートコピー対象レコードの全てが鍵未変更レコードの
場合、暗号機能において、リモートコピー対象レコード
の属するボリュームの現ボリューム鍵と新ボリューム鍵
とを管理情報メモリから読み出し、副記憶制御装置鍵暗
号化鍵で復号化後、リモートコピー対象レコードを新ボ
リューム鍵で復号化し、現ボリューム鍵で暗号化してド
ライブに書き込み、リモートコピー対象レコードの全て
が鍵変更済みレコードでなく、かつ、リモートコピー対
象レコードの全てが鍵未変更レコードでない場合、一定
時間待ち、当該リモートコピー対象レコードの判定を再
実行するようにすることにより達成される。

【００２９】また、本発明は、正記憶制御装置で暗号化
していないボリュームの暗号化指定時、前述において、
現ボリューム鍵に関連する処理を行わず、新たに生成し
たボリューム鍵を新ボリューム鍵として、新ボリューム
鍵に関連する処理のみを行うようにしてもよい。

【００３０】また、本発明は、正記憶制御装置で暗号化
し副記憶制御装置で復号化するボリュームの復号化指定
の解除時、正記憶制御装置と副記憶制御装置との間での
鍵の交換は行わず、正記憶制御装置の暗号化に関する動
作を変更せず、副記憶制御装置において、現ボリューム
鍵に関連する処理を行わず、現在、復号化に使用してい
るボリューム鍵を新ボリューム鍵として、新ボリューム
鍵に関連する処理のみを行うようにしてもよい。

【００３１】また、本発明は、正記憶制御装置で暗号化
し副記憶制御装置で復号化しないボリュームの暗号化指
定の解除時、前述において、新ボリューム鍵に関連する
処理を行わず、現在、暗号化に使用しているボリューム
鍵を現ボリューム鍵として、現ボリューム鍵に関連する
処理のみを行うようにしてもよい。

【００３２】さらに、本発明は、正記憶制御装置で暗号
化し副記憶制御装置で復号化しないボリュームの復号化
指定の設定時、前述において、正記憶制御装置の暗号化
に関する動作を変更せず、新ボリューム鍵に関連する処
理を行わず、現在、暗号化に使用しているボリューム鍵
を現ボリューム鍵として、現ボリューム鍵に関連する処
理のみを行っても良い。

【００３３】

【発明の実施の形態】以下、本発明による計算機システ
ムの実施形態を図面により詳細に説明する。

【００３４】図１はリモートコピーの鍵管理方式として
公開鍵暗号と共通鍵暗号との両者を用いる本発明の第１
の実施形態による計算機システムの構成を示すブロック
図である。

【００３５】図１において、正記憶制御装置５は、正サ
イトＳＡＮ（ストレージエリアネットワーク）２１を介
して正ホスト計算機１１に接続するチャネルインタフェ
ース５１ａと、ゲートウェイ３１と正サイトＳＡＮ３１
とを介して公衆通信回線４に接続する暗号機能５５を内
蔵するチャネルインタフェース５１ｂと、正記憶装置６
のドライブ６１に接続するドライブインタフェース５２
と、正記憶制御装置５の管理情報を格納する２重化され
た不揮発の管理情報メモリ５４と、データを格納する２
重化された不揮発のキャッシュメモリ５３と、リモート
コピー実行の指示を出す保守端末７とがバスで接続され
て構成される。

【００３６】暗号機能５５は、耐タンパ性を持ち、内部
に、共通鍵暗号用の秘密鍵を生成する鍵生成機能５５
１、公開鍵暗号及び共通鍵暗号の暗号化／復号化機能５
５２ａ、公開鍵暗号秘密鍵、及び、共通鍵暗号共通鍵を
格納する鍵格納領域５５３を備えている。鍵格納領域５
５３には、公開鍵暗号秘密鍵である正記憶制御装置マス
タ鍵５５４と共通鍵暗号共通鍵である正記憶制御装置鍵
暗号化鍵５５５とが格納されている。

【００３７】管理情報メモリ５４には、公開鍵暗号公開
鍵を格納する鍵交換鍵格納領域５６ａと、共通鍵暗号共
通鍵を格納するボリューム鍵格納領域５７と、リモート
コピー対象ボリュームの管理情報を格納するリモートコ
ピー管理情報５８とが格納されている。

【００３８】鍵交換鍵格納領域５６ａには、正記憶制御
装置マスタ鍵５５４と対となる正記憶制御装置鍵交換鍵
５６１が格納され、さらに、リモートコピー先となる副
記憶制御装置毎に、副記憶制御装置鍵交換鍵８６１が登
録される。

【００３９】ボリューム鍵格納領域５７には、ボリュー
ム＃に対応したボリューム鍵５７１が格納され、正記憶
制御装置鍵暗号化鍵５５５で暗号化されている。

【００４０】保守端末７は、リモートコピー管理情報５
８を設定する。具体的には、保守端末７は、副記憶制御
装置８の登録、副記憶制御装置８への転送パスの設定、
リモートコピーペアの各種設定（コピー先ボリューム設
定、暗号化／復号化指定等）を実行する。また、保守端
末７は、暗号機能５５に複数の公開鍵暗号や複数の共通
鍵暗号を持つ場合、どの公開鍵暗号や共通鍵暗号を使用
するかを指定する。リモートコピー管理情報５８の設定
は、主に正記憶制御装置５の保守端末７で行い、正記憶
制御装置５のリモートコピー管理情報５８を副記憶制御
装置８に反映する形態をとる。

【００４１】副記憶制御装置８は、正記憶制御装置５と
同一に構成され、副サイトＳＡＮ２２を介して副ホスト
計算機１２、及び、公衆通信回線４に接続され、また、
副記憶装置９と保守端末１０とに接続されている。

【００４２】暗号機能８５は、耐タンパ性を持ち、鍵格
納領域８５３には、公開鍵暗号秘密鍵である副記憶制御
装置マスタ鍵８５４と共通鍵暗号共通鍵である副記憶制
御装置鍵暗号化鍵８５５とが格納されている。

【００４３】管理情報メモリ８４の公開鍵暗号公開鍵を
格納する鍵交換鍵格納領域８６ａには、副記憶制御装置
マスタ鍵８５４と対となる副記憶制御装置鍵交換鍵８６
１が格納される。

【００４４】次に、本発明の第１の実施形態で使用する
鍵の構成について説明する。

【００４５】公開鍵暗号秘密鍵である正記憶制御装置マ
スタ鍵５５４、及び、副記憶制御装置マスタ鍵８５４
は、記憶制御装置毎に持つ鍵であり、秘密情報であるた
め耐タンパ性を持つ暗号機能内に保持される。記憶制御
装置内に暗号機能が複数ある場合、複数の暗号機能に同
じ値が設定される。また、これらのマスタ鍵と対となる
公開鍵暗号公開鍵である正記憶制御装置鍵交換鍵５６
１、及び、副記憶制御装置鍵交換鍵８６１も、記憶制御
装置毎に持つ鍵であり、ボリューム鍵５７１を交換した
い相手記憶制御装置に設定することことにより、ボリュ
ーム鍵５７１を暗号化して交換する。これらの鍵は、公
開鍵であるために、管理情報メモリに暗号化せずそのま
ま格納される。

【００４６】共通鍵暗号共通鍵であるボリューム鍵５７
１は、リモートコピーのボリュームペア毎に持つ鍵であ
る。そして、正記憶制御装置５のコピー元ボリューム＃
ｎから副記憶制御装置８のコピー先ボリューム＃ｍへ、
正記憶制御装置５で暗号化し、副記憶制御装置８で復号
化してリモートコピーを実行する場合、正記憶制御装置
５のボリューム＃ｎのボリューム鍵５７１と副記憶制御
装置８のボリューム＃ｍのボリューム鍵８７１とは一致
している。正記憶制御装置５で暗号化し、副記憶制御装
置８で復号化せずリモートコピーを実行する場合、正記
憶制御装置５のボリューム＃ｎのボリューム鍵５７１と
副記憶制御装置８のボリューム＃ｍのボリューム鍵８７
１を一致させる必要はない。この場合、正記憶制御装置
５のボリューム＃ｎのボリューム鍵５７１は、副記憶制
御装置８に転送してもよい。また、正記憶制御装置５と
も、副記憶制御装置８とも異なる第３の記憶制御装置に
転送してもよい。

【００４７】ボリューム鍵５７１、８７１は、秘密情報
であるが、ボリューム数が記憶制御装置当り数千あるた
め、ボリューム鍵５７１、８７１を格納するのに必要な
記憶領域は小さくはない。このため、ボリューム鍵は、
暗号機能内部に格納せず、管理情報メモリに、正記憶制
御装置鍵暗号化鍵５５５、副記憶制御装置鍵暗号化鍵８
５５により暗号化して格納される。

【００４８】共通鍵暗号共通鍵である正記憶制御装置鍵
暗号化鍵５５５、副記憶制御装置鍵暗号化鍵８５５は、
記憶制御装置毎に持つ鍵であり、耐タンパ性を持つ暗号
機能内に秘密情報として保持される。記憶制御装置内に
暗号機能が複数ある場合、複数の暗号機能に同じ値が設
定される。ボリューム鍵５７１、８７１を、正記憶制御
装置鍵交換鍵５６１、及び、副記憶制御装置鍵交換鍵８
６１で暗号化せずに、正記憶制御装置鍵暗号化鍵５５
５、副記憶制御装置鍵暗号化鍵８５５により暗号化して
いる理由は、リモートコピー対象データの暗号化／復号
化におけるボリューム鍵５７１、８７１の復号化オーバ
ヘッドが、公開鍵暗号と比べ共通鍵暗号の方が小さいか
らである。

【００４９】図２はリモートコピーの鍵管理方式として
公開鍵暗号と共通鍵暗号とを用いる図１に示すシステム
におけるリモートコピー実行前の暗号鍵の設定手順を説
明するフローチャートであり、以下、これについて説明
する。この処理は、正記憶制御装置５の保守端末７、及
び、副記憶制御装置８の保守端末１０から実行される処
理である。

【００５０】（１）まず、リモートコピー実行前、正記
憶制御装置５は、リモートコピー元ボリュームが暗号化
指定であるか否かを判断する。なお、暗号化指定は予め
保守端末７から設定しておく。この判定で、リモートコ
ピー元ボリュームが暗号化指定でない場合、暗号鍵の設
定は不要であるため、ここでの設定処理を終了する（ス
テップＳ２０１）。

【００５１】（２）ステップＳ２０１での判定で、リモ
ートコピー元ボリュームが暗号化指定であった場合、コ
ピー元である正記憶制御装置５において、暗号機能初期
設定が未実行であるか否かを判断する（ステップＳ２０
２）。

【００５２】（３）ステップＳ２０２で、暗号機能初期
設定が未実行であると判断された場合、正記憶制御装置
マスタ鍵５５４、及び、正記憶制御装置鍵暗号化鍵５５
５を暗号機能５５の鍵設定領域５５３に、正記憶制御装
置鍵交換鍵５６１を管理情報メモリ５４にそれぞれ設定
する（ステップＳ２０３）。

【００５３】（４）ステップＳ２０３の処理終了後、ま
たは、ステップＳ２０２で、暗号機能初期設定が実行済
みであった場合、コピー先である副記憶制御装置８にお
いて、暗号機能初期設定が未実行であるか否かを判断す
る（ステップＳ２０４）。

【００５４】（５）ステップＳ２０４で、暗号機能初期
設定が未実行であると判断された場合、副記憶制御装置
マスタ鍵８５４、及び、副記憶制御装置鍵暗号化鍵８５
５を暗号機能８５の鍵設定領域８５３に、副記憶制御装
置鍵交換鍵８６１を管理情報メモリ８４にそれぞれ設定
する（ステップＳ２０５）。

【００５５】（６）ステップＳ２０５の処理終了後、ま
たは、ステップＳ２０４で、暗号機能初期設定が実行済
みであった場合、正記憶制御装置５において、副記憶制
御装置８の副記憶制御装置鍵交換鍵５６２が未設定であ
るか否かを判断する（ステップＳ２０６）。

【００５６】（７）ステップＳ２０４で、副記憶制御装
置８の副記憶制御装置鍵交換鍵５６２が未設定であった
場合、正記憶制御装置５において、副記憶制御装置８の
副記憶制御装置鍵交換鍵５６２を管理情報メモリ５４に
設定する（ステップＳ２０７）。

【００５７】（８）ステップＳ２０７の処理終了後、ま
たは、ステップＳ２０６で、副記憶制御装置８の副記憶
制御装置鍵交換鍵５６２が設定済みであった場合、正記
憶制御装置５において、暗号機能５５の鍵生成機能５５
１により、リモートコピー元ボリュームのボリューム鍵
５７１を生成する（ステップＳ２０８）。

【００５８】（９）次に、正記憶制御装置５において、
暗号機能５５の暗号化／復号化機能５５２ａにより、正
記憶制御装置鍵暗号化鍵５５５でボリューム鍵５７１を
暗号化し、管理情報メモリ５４のボリューム鍵格納領域
５７のリモートコピー元ボリュームに対応した位置に設
定する（ステップＳ２０９）。

【００５９】（10）次に、副記憶制御装置８において、
リモートコピー先ボリュームが復号化指定であるか判断
する。なお、復号化指定は予め保守端末７から設定して
おく。この判断で、リモートコピー先ボリュームが復号
化指定でない場合、ここでの暗号鍵の設定処理を終了す
る（ステップＳ２１０）。

【００６０】（11）ステップＳ２１０で、リモートコピ
ー元ボリュームが復号化指定であると判断された場合、
正記憶制御装置５において、暗号機能５５の暗号化／復
号化機能５５２ａにより、副記憶制御装置鍵交換鍵５６
２でボリューム鍵５７１を暗号化して副記憶制御装置８
に転送する（ステップＳ２１１）。

【００６１】（12）次に、副記憶制御装置８において、
正記憶制御装置５から受領したボリューム鍵５７１を、
暗号機能８５の暗号化／復号化機能８５２ａにより、副
記憶制御装置マスタ鍵８５４で復号化し、さらに、副記
憶制御装置鍵暗号化鍵８５５で暗号化し、管理情報メモ
リ８４のボリューム鍵格納領域８７のコピー先ボリュー
ムに対応する位置に設定して、ここでの暗号鍵の設定処
理を終了する（ステップＳ２１２）。

【００６２】図３はリモートコピー実行中におけるデー
タ転送手順を説明するフローチャートであり、以下、こ
れについて説明する。この処理は、リモートコピー用に
指定したチャネルインタフェース、または、暗号機能５
５を内蔵するチャネルインタフェースにより実行される
処理である。

【００６３】（１）まず、正記憶制御装置５において、
リモートコピー対象ボリュームの有無を確認する。リモ
ートコピー対象ボリュームの設定は、保守端末７により
変更される。この判定で、リモートコピー対象ボリュー
ムがない場合、データ転送の処理を終了する（ステップ
Ｓ３０１）。

【００６４】（２）ステップＳ３０１で、リモートコピ
ー対象ボリュームがあった場合、正記憶制御装置５にお
いて、リモートコピー対象レコードがあるか判断し、リ
モートコピー対象レコードがなかった場合、ステップＳ
３０１からの処理に戻って処理を続ける（ステップＳ３
０２）。

【００６５】（３）ステップＳ３０２で、リモートコピ
ー対象レコードがあった場合、正記憶制御装置５におい
て、リモートコピー対象レコードが暗号化指定ボリュー
ムに属するか判断する（ステップＳ３０３）。

【００６６】（４）ステップＳ３０３で、リモートコピ
ー対象レコードが暗号化指定ボリュームに属すると判断
された場合、暗号機能５５の暗号化／復号化機能５５２
ａにおいて、正記憶制御装置鍵暗号化鍵５５５で当該暗
号化指定ボリュームのボリューム鍵５７１を復号化し、
復号化したボリューム鍵５７１によりリモートコピー対
象レコードを暗号化する（ステップＳ３０４）。

【００６７】（５）次に、正記憶制御装置５から副記憶
制御装置８へリモートコピー対象レコードを転送する
（ステップＳ３０５）。

【００６８】（６）次に、副記憶制御装置８において、
リモートコピー対象レコードが復号化指定ボリュームに
属するか否かを判断する（ステップＳ３０６）。

【００６９】（７）ステップＳ３０６の判断で、リモー
トコピー対象レコードが復号化指定ボリュームに属する
場合、暗号機能８５の暗号化／復号化機能８５２ａにお
いて、副記憶制御装置鍵暗号化鍵８５５により当該復号
化指定ボリュームのボリューム鍵５７１を復号化し、復
号化したボリューム鍵５７１によりリモートコピー対象
レコードを復号化する（ステップＳ３０７）。

【００７０】（８）ステップＳ３０７の処理後、また
は、ステップＳ３０６で、リモートコピー対象レコード
が復号化指定ボリュームでなかった場合、副記憶制御装
置８において、リモートコピー対象レコードをコピー先
ボリュームに反映させ、ステップＳ３０１からの処理を
続ける（ステップＳ３０８）。

【００７１】次に、本発明の第２の実施形態を説明す
る。図４はリモートコピーの鍵管理方式として共通鍵暗
号を用いる本発明の第２の実施形態による計算機システ
ムの構成を示すブロック図である。なお、説明の重複を
さけるため、以下の説明では、本発明の第１の実施形態
と異なる部分について説明する。

【００７２】図４に示す本発明の第２の実施形態による
計算機システムの図１に示す第１の実施形態による計算
機システムとの相違は、正記憶制御装置５の暗号機能５
５における暗号化／復号化機能５５２ｂに公開鍵暗号機
能がない点、鍵格納領域５５３に正記憶制御装置マスタ
鍵５５４を持たない点、副記憶制御装置８の暗号機能８
５における暗号化／復号化機能８５２ｂに公開鍵暗号機
能がない点、鍵格納領域８５３に副記憶制御装置マスタ
鍵８５４を持たない点、また、制御情報メモリ５４にお
ける鍵交換鍵格納領域５６ｂに公開鍵暗号公開鍵を格納
せず、共通鍵暗号共通鍵である正記憶制御装置５と副記
憶制御装置８とのペア毎に設けられる正副記憶制御装置
間鍵交換鍵５６３を、正記憶制御装置５では正記憶制御
装置鍵暗号化鍵５５５で、副記憶制御装置８では副記憶
制御装置鍵暗号化鍵８５５でそれぞれ暗号化して格納す
る点である。

【００７３】図５はリモートコピーの鍵管理方式として
共通鍵暗号を用いる図４に示すシステムにおけるリモー
トコピー実行前の暗号鍵の設定手順を説明するフローチ
ャートであり、以下、これについて説明する。

【００７４】図５に示すフローの図２により説明したフ
ローとの相違は、図２のステップＳ２０３、Ｓ２０５〜
Ｓ２０７の処理のそれぞれが、図５のステップＳ５０１
〜Ｓ５０４のそれぞれに置き換えられた点であり、具体
的には、正記憶制御装置５において、正記憶制御装置マ
スタ鍵５５４、正記憶制御装置鍵交換鍵５６１の初期設
定がない点（ステップＳ５０１）、副記憶制御装置８に
おいて、副記憶制御装置マスタ鍵８５４、副記憶制御装
置鍵交換鍵８６１の設定がない点（ステップＳ５０
２）、正副記憶制御装置間鍵交換鍵５６３の設定を追加
した点（ステップＳ５０３、Ｓ５０４）、正記憶制御装
置５と副記憶制御装置８との間において、ボリューム鍵
５７１を正副記憶制御装置間鍵交換鍵５６３で暗号化し
て転送する点（ステップＳ５０５、Ｓ５０６）である。

【００７５】次に、本発明の第３の実施形態を説明す
る。図６はリモートコピーの鍵管理方式として共通鍵暗
号と共通鍵暗号とを用い、公開鍵を認証局証明書により
交換する本発明の第３の実施形態による計算機システム
の構成を示すブロック図である。なお、説明の重複をさ
けるため、以下の説明では、本発明の第１の実施形態と
異なる部分について説明する。

【００７６】図６に示す本発明の第３の実施形態による
計算機システムの図１に示す第１の実施形態による計算
機システムとの相違は、公開鍵暗号秘密鍵である認証局
鍵１３１を持つ認証局１３を備える点、正記憶制御装置
５の管理情報メモリ５４に、認証局鍵１３１と対となる
公開鍵暗号公開鍵である証明書鍵５９１と、認証局１３
から発行された正記憶制御装置鍵交換鍵の認証局証明書
５９２とを持つ点、副記憶制御装置８の管理情報メモリ
８４に、認証局鍵１３１と対となる公開鍵暗号公開鍵で
ある証明書鍵５９１と、副記憶制御装置鍵交換鍵の認証
局証明書８９２とを持つ点である。

【００７７】図７はリモートコピーの鍵管理方式として
公開鍵暗号と共通鍵暗号とを用い、公開鍵を認証局証明
書により交換する図６に示すシステムにおける認証局証
明書作成の手順を説明するフローチャートであり、以
下、これについて説明する。

【００７８】（１）まず、記憶制御装置鍵交換鍵を登録
しようとする記憶制御装置は、自記憶制御装置の身元情
報とその記憶制御装置鍵交換鍵とを、安全な手段により
認証局１３に転送する。身元情報は、例えば、記憶制御
装置毎に一意に設定される製造番号のようなものであっ
てよい（ステップＳ７０１）。

【００７９】（２）次に、認証局１３において、当該記
憶制御装置の身元情報を確認し、身元情報に問題がない
か否かをチェックする。身元情報に問題があれば、認証
局証明書を発行することなく、ここでの処理を終了する
（ステップＳ７０２）。

【００８０】（３）ステップＳ７０２のチェックで、身
元情報に問題がなければ、認証局１３は、その記憶制御
装置の記憶制御装置鍵交換鍵が未登録か否か確認する
（ステップＳ７０３）。

【００８１】（４）ステップＳ７０３で、その記憶制御
装置の記憶制御装置鍵交換鍵が未登録であった場合、そ
の記憶制御装置の身元情報と記憶制御装置鍵交換鍵とを
認証局鍵１３１で復号化し、記憶制御装置鍵交換鍵の認
証局証明書を作成する（ステップＳ７０４）。

【００８２】（５）ステップＳ７０４の処理後、また
は、ステップＳ７０３で、その記憶制御装置の記憶制御
装置鍵交換鍵が登録済みであった場合、その記憶制御装
置鍵交換鍵の認証局証明書を発行して処理を終了する
（ステップＳ７０５）。

【００８３】図８はリモートコピーの鍵管理方式として
公開鍵暗号と共通鍵暗号とを用い、公開鍵を認証局証明
書により交換する図６に示すシステムにおけるリモート
コピー実行前の暗号鍵の設定手順を説明するフローチャ
ートであり、以下、これについて説明する。

【００８４】図８に示すフローの図２により説明したフ
ローとの相違は、図２のステップＳ２０３、Ｓ２０５の
処理のそれぞれが、図８のステップＳ８０１、Ｓ８０２
のそれぞれの処理に置き換えられ、図２のステップＳ２
０７の処理が図８のステップＳ８０３〜Ｓ８０６の処理
に置き換えられた点である。具体的には、暗号機能初期
設定の際に、正記憶制御装置５において、正記憶制御装
置鍵交換鍵の認証局証明書５９２と認証局鍵１３１と対
となる公開鍵暗号公開鍵である証明書鍵５９１とを設定
する点（ステップＳ８０１）、副記憶制御装置８におい
て、副記憶制御装置鍵交換鍵の認証局証明書８９２と、
認証局鍵１３１と対となる公開鍵暗号公開鍵である証明
書鍵５９１とを設定する点（ステップＳ８０２）、及
び、図２のステップＳ２０７の処理に代わるステップＳ
８０３〜Ｓ８０６の処理であり、以下、ステップＳ８０
３〜Ｓ８０６の処理について説明する。

【００８５】（１）ステップ２０６の判定で、正記憶制
御装置５に副記憶制御装置鍵交換鍵８６１が未設定の場
合、正記憶制御装置５において、副記憶制御装置８に副
記憶制御装置鍵交換鍵８６１を要求する（ステップＳ８
０３）。

【００８６】（２）次に、副記憶制御装置８において、
副記憶制御装置鍵交換鍵８６１の認証局証明書８９２
と、副記憶制御装置鍵交換鍵８６１とを、正記憶制御装
置５に転送する（ステップＳ８０４）。

【００８７】（３）次に、正記憶制御装置５において、
受領した副記憶制御装置鍵交換鍵８６１の認証局証明書
８９２を証明書鍵５９１で暗号化し、受領した副記憶制
御装置鍵交換鍵８６１と比較し、受領した副記憶制御装
置鍵交換鍵８６１が副記憶制御装置８のものであること
を確認する（ステップＳ８０５）。

【００８８】（４）その後、管理情報メモリ５４に副記
憶制御装置鍵交換鍵８６１を設定し、図２により説明し
たステップ２０８以降の処理を続ける（ステップＳ８０
６）。

【００８９】次に、本発明の第４の実施形態を説明す
る。本発明の第４の実施形態は、正記憶制御装置５での
暗号化していないボリュームの暗号化指定、正記憶制御
装置５で暗号化し副記憶制御装置８で復号化しないボリ
ュームのボリューム鍵５７１の更新、暗号化指定の解
除、復号化指定の設定、または、正記憶制御装置５で暗
号化し副記憶制御装置８で復号化するボリュームの復号
化指定の解除を行う場合に、副記憶装置９に格納してい
る当該ボリューム内容の暗号化／復号化を、ボリューム
ペアの二重化中状態を継続したまま、副記憶制御装置８
で実行することを可能にしたものである。

【００９０】ボリューム鍵５７１は、正記憶制御装置５
と副記憶制御装置８との間で、暗号化して交換され、副
記憶制御装置８の管理情報メモリに暗号化して格納され
るため、副記憶制御装置８において、暗号機能８５の内
部以外でクリア値となることはない。また、正記憶制御
装置５で暗号化し副記憶制御装置８で復号化しないボリ
ュームのボリューム鍵５７１の更新時、更新対象のデー
タも副記憶制御装置８において、暗号機能８５の内部以
外でクリア値となることはない。このため、副記憶制御
装置８での当該ボリュームの暗号化／復号化の実行で、
安全性が低下することはない。

【００９１】なお、正記憶制御装置５で暗号化せずに、
副記憶制御装置８で暗号化するような処理は、リモート
コピーの暗号化とは異なるため、ここでは考慮しないも
のとする。

【００９２】次に、本発明の第４の実施形態での前述し
た各ケースにおける副記憶制御装置８のコピー先ボリュ
ームで実行する暗号化／復号化内容について説明する。

【００９３】正記憶制御装置５での暗号化していないボ
リュームの暗号化指定は、新たに生成したボリューム鍵
５７１での暗号化が必要となる。

【００９４】正記憶制御装置５で暗号化し副記憶制御装
置８で復号化しないボリュームのボリューム鍵５７１の
更新は、現在のボリューム鍵５７１で復号化し、新たに
生成したボリューム鍵５７１での暗号化が必要となる。

【００９５】正記憶制御装置５で暗号化し副記憶制御装
置８で復号化しないボリュームの暗号化指定の解除は、
現在のボリューム鍵５７１での復号化が必要となる。

【００９６】正記憶制御装置５で暗号化し副記憶制御装
置８で復号化しないボリュームの復号化指定の設定は、
現在のボリューム鍵５７１での復号化が必要となる。

【００９７】正記憶制御装置５で暗号化し副記憶制御装
置８で復号化するボリュームの復号化指定の解除では、
現在のボリューム鍵５７１での暗号化が必要となる。

【００９８】図９は前述した本発明の第４の実施形態に
おける管理情報メモリ内のボリューム鍵格納領域とリモ
ートコピー管理情報とについて説明する図であり、以
下、これについて説明する。なお、正記憶制御装置５と
副記憶制御装置８との管理情報メモリ５４、８４内のボ
リューム鍵格納領域とリモートコピー管理情報との構造
は、同一であるため、説明では同一の番号を使用する。

【００９９】ボリューム鍵格納領域は、各ボリューム毎
に２つのボリューム鍵格納領域を持つ。

【０１００】リモートコピー管理情報は、各ボリューム
毎に管理情報１４を持ち、各ボリューム毎の管理情報１
４は、ボリューム状態情報１５と、暗号管理情報１６
と、鍵変更管理情報１９とにより構成される。

【０１０１】ボリューム状態情報１５は、自ボリューム
のコピー元／先を示す自ボリューム情報１５１、ボリュ
ームペアとなる相手ボリュームの記憶制御装置番号、ボ
リューム番号、転送パス等の情報である相手ボリューム
情報１５２等を持つ。

【０１０２】暗号管理情報１６は、正記憶制御装置５側
で暗号化するか否かを示す暗号化指定フラグ１１６
２、暗号化指定フラグ２１６３、副記憶制御装置８側
で復号化するか否かを示す復号化指定フラグ１１６
４、復号化指定フラグ２１６５、フラグ１とフラグ２
とのどちらが有効かを示す有効指定フラグ番号１６１、
ボリューム鍵格納領域において、現在の暗号化／復号化
に使用している鍵の番号を示す現鍵番号１６６を持つ。

【０１０３】鍵変更管理情報１９は、正記憶制御装置５
側で使用するコピー元管理情報１７と、副記憶制御装置
８側で使用するコピー先管理情報１８とにより構成され
る。

【０１０４】コピー元管理情報１７は、副記憶制御装置
８において鍵変更処理を実行中にボリュームペアの暗号
化／復号化の状態変更を受け付けないようにするための
暗号化状態変更抑止フラグ１７１と、正記憶制御装置５
の暗号化指定と副記憶制御装置８の復号化指定を更新
し、副記憶制御装置８で鍵変更処理を起動するまでの
間、正記憶制御装置５から副記憶制御装置８へのリモー
トコピーレコードの転送を抑止するリモートコピー対象
レコード転送抑止フラグ１７２とを持つ。

【０１０５】コピー先管理情報１８は、鍵の変更中を示
す鍵変更中フラグ１８１、鍵の変更において現在のボリ
ューム内容を復号化する必要があるか否かを示す復号化
要否フラグ１８２、鍵の変更において現在のボリューム
内容を暗号化する必要があるか否かを示す暗号化要否フ
ラグ１８３、現在のボリューム内容を復号化する際に使
用するボリューム鍵格納領域８７における鍵の番号であ
る復号化用鍵番号１８４、現在のボリューム内容を暗号
化する際使用するボリューム鍵格納領域８７における鍵
の番号である暗号化用鍵番号１８５、当該ボリュームに
おいて鍵変更が終了した領域の終端レコード番号である
鍵変更済みレコード番号１８６、当該ボリュームにおい
て鍵変更を実行中の領域の終端レコード番号である鍵変
更中レコード番号１８７、ドライブ９１に反映中のリモ
ートコピー対象レコードの先頭を示すリモートコピー中
先頭レコード番号１８８を持つ。

【０１０６】図１０は前述の本発明の第４の実施形態に
おいて、リモートコピーの鍵管理方式として公開鍵暗号
と共通鍵暗号とを用いた場合の鍵変更開始処理の動作を
説明するフローチャートであり、以下、これについて説
明する。

【０１０７】鍵の更新を開始する契機は、正記憶制御装
置５の保守端末７から暗号化指定／復号化指定の変更が
あった場合、ボリューム鍵を生成してからの暗号化への
使用時間や使用回数が予め設定した閾値を超えた場合等
である。そして、鍵変更開始処理が開始される時点で、
暗号管理情報１６の有効指定フラグ番号１６１でない番
号の各フラグ、すなわち、有効指定フラグ番号１６１が
２の場合、暗号化指定フラグ１１６２と復号化指定フ
ラグ１１６３とに、有効指定フラグ番号１６１が１の
場合、暗号化指定フラグ２１６４と復号化指定フラグ
２１６５とに新たな暗号化指定と復号化指定とが設定
されているものとする。

【０１０８】（１）鍵変更開始処理が開始されると、ま
ず、正記憶制御装置５において、暗号化状態変更抑止フ
ラグ１７１をＯＮとし、リモートコピー対象レコード転
送抑止フラグ１７２をＯＮとする（ステップＳ１００
１、Ｓ１００２）。

【０１０９】（２）次に、正記憶制御装置５において、
新たにボリューム鍵５７１を生成する必要があるか否か
を判断する。生成する必要がある場合とは、正記憶制御
装置５で暗号化していないボリュームの暗号化指定の場
合と、正記憶制御装置５で暗号化し副記憶制御装置８で
復号化しないボリュームのボリューム鍵５７１の更新の
場合である（ステップＳ１００３）。

【０１１０】（３）ステップＳ１００３で、新たにボリ
ューム鍵５７１を生成する必要があると判断された場
合、正記憶制御装置５において、新たにボリューム鍵５
７１を生成し、生成したボリューム鍵５７１を正記憶制
御装置鍵暗号化鍵５５５で暗号化し、管理情報メモリ５
４のボリューム鍵格納領域５７の現鍵番号１６６でない
番号に対応する領域に設定する（ステップＳ１００４、
Ｓ１００５）。

【０１１１】（４）ステップＳ１００５の処理後、また
は、ステップＳ１００３で、新たにボリューム鍵５７１
を生成する必要がないと判断された場合、正記憶制御装
置５において、転送が必要な鍵を副記憶制御装置鍵交換
鍵８６１で暗号化したものと、新しい暗号管理情報１６
と、鍵変更処理への指示情報とを副記憶制御装置８に転
送する。前述の転送が必要な鍵とは、ステップＳ１００
４で新たにボリューム鍵５７１を生成する必要があった
ために生成したボリューム鍵５７１と、当該ボリューム
が、正記憶制御装置５で暗号化し副記憶制御装置８で復
号化しないボリュームであり、未だ副記憶制御装置８に
ボリューム鍵５７１を転送していない場合の現在のボリ
ューム鍵５７１である。また、新しい暗号管理情報１６
とは、暗号管理情報１６の有効指定フラグ番号１６１で
ない番号の暗号化指定フラグと復号化指定フラグとであ
る。また、鍵変更処理への指示情報とは、復号化の要
否、及び、暗号化の要否、復号化する際の鍵指定、暗号
化する際の鍵指定である（ステップＳ１００６）。

【０１１２】（５）次に、副記憶制御装置８において、
正記憶制御装置５から受領したボリューム鍵５７１を副
記憶制御装置マスタ鍵８５４で復号化し、副記憶制御装
置鍵暗号化鍵８５５で暗号化し、これを管理情報メモリ
８４に設定し、新しい暗号管理情報１６と、鍵変更処理
への指示情報をリモートコピー管理情報８８とに反映さ
せる（ステップＳ１００７）。

【０１１３】前述のステップＳ１００７での処理におい
て、受領した鍵として、現在のボリューム鍵５７１を受
領している場合、現在のボリューム鍵５７１を現鍵番号
１６６でない番号の対応するボリューム鍵格納領域８７
の位置に設定して現鍵番号１６６を変更し、また、新た
に生成したボリューム鍵５７１を受領している場合、新
たに生成したボリューム鍵５７１を現鍵番号１６６でな
い番号の対応するボリューム鍵格納領域８７の位置に設
定して現鍵番号１６６を変更する。

【０１１４】前述のような処理を行うことにより、新た
に生成したボリューム鍵５７１がある場合は、新たに生
成したボリューム鍵５７１を、ボリューム鍵格納領域８
７の現鍵番号１６６の位置に、さらに、現在のボリュー
ム鍵５７１がある場合は、現在のボリューム鍵５７１
を、ボリューム鍵格納領域８７の現鍵番号１６６でない
番号の位置に設定することになる。また、新たに生成し
たボリューム鍵５７１がない場合は、現在のボリューム
鍵５７１を、ボリューム鍵格納領域８７の現鍵番号１６
６の位置に設定することになる。

【０１１５】新しい暗号管理情報１６の反映は、副記憶
制御装置８の有効指定フラグ番号１６１でない番号の暗
号化指定フラグと復号化指定フラグを、正記憶制御装置
５から受領した暗号化指定フラグと復号化指定フラグと
で上書きし、有効指定フラグ番号１６１を変更すること
により行われる。

【０１１６】また、鍵変更処理への指示情報により、復
号化要否フラグ１８２、暗号化要否フラグ１８３を設定
し、暗号化要否フラグ１８３がＯＮであれば、暗号化用
鍵番号１８５には、現鍵番号１６６を設定し、さらに、
復号化要否フラグ１８２がＯＮであれば、復号化用鍵番
号１８４に、現鍵番号１６６でない番号を設定する。暗
号化要否フラグ１８３がＯＦＦであれば、復号化要否フ
ラグ１８２がＯＮであるから、復号化用鍵番号１８４に
現鍵番号１６６を設定する。

【０１１７】副記憶制御装置８は、これ以降、受領する
当該ボリュームのリモートコピー対象レコードに対し
て、有効指定フラグ番号１６１の復号化指定フラグと現
鍵番号１６６とにより指定される動作を行う。

【０１１８】（６）次に、副記憶制御装置８は、リモー
トコピー中先頭レコード番号１８８を初期化して鍵変更
処理を起動する。例えば、当該ボリューム先頭からレコ
ード番号が１から昇順に付与されている場合、ここでの
初期化は、リモートコピー中先頭レコード番号１８８に
当該ボリュームの終端レコード番号を超える番号を設定
することである。なお、鍵変更の処理については後述す
る（ステップＳ１００８）。

【０１１９】（７）次に、正記憶制御装置５において、
有効指定フラグ番号１６１を更新し、暗号管理情報１６
を更新し、さらに、リモートコピー対象レコード転送抑
止フラグ１７２をＯＦＦとする（ステップＳ１００９、
Ｓ１０１０）。

【０１２０】（８）その後、副記憶制御装置８の鍵変更
処理からの終了報告を待ち、副記憶制御装置８の鍵変更
処理から終了報告があった場合、正記憶制御装置５にお
いて、暗号化状態変更抑止フラグ１７１をＯＦＦとして
処理を終了する（ステップＳ１０１１〜Ｓ１０１３）。

【０１２１】図１１は本発明の第４の実施形態におい
て、リモートコピーの鍵管理方式として共通鍵暗号を用
いた場合の鍵変更開始処理の動作を説明するフローチャ
ートであり、以下、これについて説明する。

【０１２２】図１１に示すフローの図１０により説明し
たフローとの相違は、図１０のステップＳ１００６、Ｓ
１００７の処理のそれぞれが、図１１のステップＳ１１
０１、Ｓ１１０２のそれぞれに置き換えられた点であ
り、具体的には、ステップＳ１１０１で副記憶制御装置
鍵交換鍵８６１でなく、正副記憶制御装置間鍵交換鍵５
６３を使用する点と、ステップＳ１１０２で副記憶制御
装置マスタ鍵８５４でなく、正副記憶制御装置間鍵交換
鍵５６３を使用する点である。

【０１２３】図１２は本発明の第４の実施形態におい
て、副記憶制御装置が実行する鍵変更処理の動作を説明
するフローチャートであり、以下、これについて説明す
る。

【０１２４】（１）まず、鍵変更中フラグ１８１をＯＮ
とする。次に、当該ボリュームの鍵変更済みレコード番
号１８６と鍵変更中レコード番号１８７とを初期化す
る。例えば、当該ボリューム先頭からレコード番号が、
１から昇順に付与されている場合、ここでの初期化は、
鍵変更済みレコード番号１８６と鍵変更中レコード番号
１８７とを０に設定することである（ステップＳ１２０
１、Ｓ１２０２）。

【０１２５】（２）次に、鍵変更済みレコード番号１８
６が、当該ボリュームの終端と一致するか否かを判断
し、一致する場合、当該ボリュームの鍵の変更は終了で
あるため、鍵変更中フラグ１８１をＯＦＦとして、正記
憶制御装置５に鍵変更処理の終了を報告し、この鍵変更
処理を終了する（ステップＳ１２０３、Ｓ１２２０、Ｓ
１２２１）。

【０１２６】（３）ステップＳ１２０３で、鍵変更済み
レコード番号１８６が、当該ボリュームの終端と一致し
ていなかった場合、読み出そうとするレコード範囲にリ
モートコピー中先頭レコード番号１８８が含まれるか否
かを判断する。この判断は、鍵変更処理と同時に実行す
る可能性がある鍵変更中レコード反映処理とのレコード
更新との排他を取るために必要である。そして、含まれ
る場合、一定時間待つ（ステップＳ１２０４、Ｓ１２０
５）。

【０１２７】（４）ステップＳ１２０４で、読み出そう
とするレコード範囲にリモートコピー中先頭レコード番
号１８８が含まれなかった場合、鍵変更済みレコード番
号１８６の次のレコードから一定数のレコードをドライ
ブ９１からキャッシュメモリ８３に読み出す（ステップ
Ｓ１２０６）。

【０１２８】（５）次に、復号化要否フラグ１８２と暗
号化要否フラグ１８３とを参照し、復号化要否フラグ１
８２がＯＮ、かつ、暗号化要否フラグ１８３がＯＮであ
るか否かを判断する（ステップＳ１２０７）。

【０１２９】（６）ステップＳ１２０７で、復号化要否
フラグ１８２がＯＮ、暗号化要否フラグ１８３がＯＮで
あった場合、暗号機能８５において、管理情報メモリ８
４からボリューム鍵格納領域８７の復号化用鍵番号１８
４の示す位置のボリューム鍵５７１を復号化用の鍵とし
て、ボリューム鍵格納領域８７の暗号化用鍵番号１８５
の示す位置のボリューム鍵５７１を暗号化用の鍵として
読み出し、副記憶制御装置鍵暗号化鍵８５５で復号化す
る（ステップＳ１２０８）。

【０１３０】（７）次に、暗号機能８５において、キャ
ッシュメモリ８３に読み出した一定数のレコードを、復
号化用の鍵で復号化し、暗号化用の鍵で暗号化し、キャ
ッシュメモリ８３の別の領域に書き込む（ステップＳ１
２０９）。

【０１３１】（８）ステップＳ１２０７で、復号化要否
フラグ１８２がＯＮ、かつ、暗号化要否フラグ１８３が
ＯＮでなかった場合、復号化要否フラグ１８２がＯＮ、
かつ、暗号化要否フラグ１８３がＯＦＦであるか否かを
判断し、復号化要否フラグ１８２がＯＮ、暗号化要否フ
ラグ１８３がＯＦＦであった場合、暗号機能８５におい
て、管理情報メモリ８４からボリューム鍵格納領域８７
の復号化用鍵番号１８４の示す位置のボリューム鍵５７
１を復号化用の鍵として読み出し、副記憶制御装置鍵暗
号化鍵８５５で復号化する（ステップＳ１２１０、Ｓ１
２１１）。

【０１３２】（９）次に、暗号機能８５において、キャ
ッシュメモリ８３に読み出した一定数のレコードを復号
化用の鍵で復号化し、キャッシュメモリ８３の別の領域
に書き込む（ステップＳ１２１２）。

【０１３３】（10）ステップＳ１２１０で、復号化要否
フラグ１８２がＯＮ、かつ、暗号化要否フラグ１８３が
ＯＦＦでない場合、すなわち、復号化要否フラグ１８２
がＯＦＦ、暗号化要否フラグ１８３がＯＮの場合、暗号
機能８５において、管理情報メモリ８４からボリューム
鍵格納領域８７の暗号化用鍵番号１８５の示す位置のボ
リューム鍵５７１を暗号化用の鍵として読み出し、副記
憶制御装置鍵暗号化鍵８５５で復号化する（ステップＳ
１２１３）。

【０１３４】（11）次に、暗号機能８５において、キャ
ッシュメモリ８３に読み出した一定数のレコードを暗号
化用の鍵で暗号化し、キャッシュメモリ８３の別の領域
に書き込む（ステップＳ１２１４）。

【０１３５】（12）次に、ステップＳ１２０９、Ｓ１２
１２またはＳ１２１４の処理の終了後、鍵変更中レコー
ド番号１８７にキャッシュメモリ８３に読み出した一定
数のレコードの終端レコード番号を設定し、キャッシュ
メモリ８３の別の領域に格納した暗号機能８５により処
理済みの一定数のレコードをドライブ９１に書き込む
（ステップＳ１２１５、Ｓ１２１６）。

【０１３６】（13）次に、キャッシュメモリ８３の別の
領域に格納した暗号機能８５で処理済みの一定数のレコ
ードのドライブ９１への書き込みが成功したか否かを判
断し、失敗していた場合、書き込もうとしたドライブ９
１上の一定数のレコードを格納している領域の内容が、
暗号機能８５で処理する前の内容と処理した後の内容と
が混在している可能性があるため、鍵変更中レコード番
号１８７に鍵変更済みレコード番号１８６を設定して、
ステップＳ１２０７からの処理に戻って処理を続ける
（ステップＳ１２１７、Ｓ１２１８）。

【０１３７】（14）ステップＳ１２１７で、暗号機能８
５で処理済みの一定数のレコードのドライブ９１への書
き込みが成功していた場合、鍵変更済みレコード番号１
８６に鍵変更中レコード番号１８７を設定し、ステップ
Ｓ１２０３からの処理に戻って処理を続ける（ステップ
Ｓ１２１９）。

【０１３８】図１３は前述した本発明の第４の実施形態
におけるリモートコピー実行中のデータ転送手順の処理
動作を説明するフローチャートであり、以下、これにつ
いて説明する。

【０１３９】図１３に示すフローの図３により説明した
フローとの相違は、図３のステップＳ３０７の後に、ス
テップＳ１３０１〜Ｓ１３０３の処理が加えられた点で
あり、以下では、この加えられたステップの処理につい
てのみ説明する。

【０１４０】（１）本発明の第１の実施形態によりすで
に説明したステップＳ３０７の処理後、または、ステッ
プＳ３０６で、リモートコピー対象レコードが復号化指
定ボリュームでなかった場合、副記憶制御装置８におい
て、鍵変更中フラグ１８１を参照し（ステップ受領した
リモートコピー対象レコードのボリュームが鍵変更中で
あるか否かを判断する（ステップＳ１３０１、Ｓ１３０
２）。

【０１４１】（２）ステップＳ１３０２で、鍵変更中で
なかった場合、図３によりすでに説明したと同じ内容の
ステップＳ３０８へ移行し、また、鍵変更中であった場
合、鍵変更中レコード反映処理を実行し、ステップＳ３
０１からの処理に戻って処理を続ける（ステップＳ１３
０３）。

【０１４２】図１４は本発明の第４の実施形態での副記
憶制御装置８における鍵変更処理中のリモートコピー対
象データに対する処理である鍵変更中レコード反映処理
の動作を説明するフローチャートであり、以下、これに
ついて説明する。

【０１４３】（１）まず、鍵変更中レコード番号１８７
と鍵変更済みレコード番号１８６を参照し、次に、リモ
ートコピー対象レコードの終端レコード番号が鍵変更済
みレコード番号以下であるか否か、すなわち、リモート
コピー対象レコードの反映先が、全て鍵変更済みのレコ
ードか否かを判断する（ステップＳ１４０１、Ｓ１４０
２）。

【０１４４】（２）ステップＳ１４０２で、リモートコ
ピー対象レコードの終端レコード番号が鍵変更済みレコ
ード番号以下であった場合、リモートコピー対象レコー
ドをドライブ９１に書き込み、ここでの鍵変更中レコー
ド反映処理を終了する（ステップＳ１４０３）。

【０１４５】（３）ステップＳ１４０２で、リモートコ
ピー対象レコードの終端レコード番号が鍵変更済みレコ
ード番号以下でなかった場合、リモートコピー対象レコ
ードの先頭レコード番号が鍵変更中レコード番号を超え
るか否か、すなわち、リモートコピー対象レコードの反
映先が、全て鍵未変更のレコードか否かを判断する（ス
テップＳ１４０４）。

【０１４６】（４）ステップＳ１４０４で、リモートコ
ピー対象レコードの先頭レコード番号が鍵変更中レコー
ド番号を超えなかった場合、すなわち、リモートコピー
対象レコードの反映先が、鍵変更中のレコードを含む場
合、リモートコピー対象レコードの反映先が、鍵変更中
のレコードを含まなくなるのを期待し、一定時間待って
ステップＳ１４０１からの処理に戻って処理を続ける
（ステップＳ１４０５）。

【０１４７】（５）ステップＳ１４０４で、リモートコ
ピー対象レコードの先頭レコード番号が鍵変更中レコー
ド番号を超えていた場合、リモートコピー対象レコード
の先頭レコード番号をリモートコピー中先頭レコード番
号１８８に設定する（ステップＳ１４０６）。

【０１４８】（６）次に、鍵変更中レコード番号１８７
を参照し、再び、リモートコピー対象レコードの先頭レ
コード番号が鍵変更中レコード番号を超えるか否かを判
断する。これは、ステップＳ１４０１で鍵変更中レコー
ド番号１８７と鍵変更済みレコード番号１８６を参照し
てから、ステップＳ１４０６でリモートコピー中先頭レ
コード番号１８８を設定するまでの間に、鍵更新処理が
進むことにより、鍵変更中レコード番号１８７が更新さ
れることを考慮したものである（ステップＳ１４０７、
Ｓ１４０８）。

【０１４９】（７）ステップＳ１４０８で、リモートコ
ピー対象レコードの先頭レコード番号が鍵変更中レコー
ド番号を超えなかった場合、リモートコピー中先頭レコ
ード番号１８８の設定を解除し、ステップＳ１４０１か
らの処理に戻って処理を続ける（ステップＳ１４０
９）。

【０１５０】（８）ステップＳ１４０８で、リモートコ
ピー対象レコードの先頭レコード番号が鍵変更中レコー
ド番号を超えていた場合、復号化要否フラグ１８２と暗
号化要否フラグ１８３とを参照し、復号化要否フラグ１
８２がＯＮ、かつ、暗号化要否フラグ１８３がＯＮであ
るか否かを判断する（ステップＳ１４１０）。

【０１５１】（９）ステップＳ１４１０で、復号化要否
フラグ１８２がＯＮ、かつ、暗号化要否フラグ１８３が
ＯＮであった場合、暗号機能８５において、管理情報メ
モリ８４から、ボリューム鍵格納領域８７の復号化用鍵
番号１８４の示す位置のボリューム鍵５７１を復号化用
の鍵として、ボリューム鍵格納領域８７の暗号化用鍵番
号１８５の示す位置のボリューム鍵５７１を暗号化用の
鍵として読み出し、副記憶制御装置鍵暗号化鍵８５５で
復号化する（ステップＳ１４１１）。

【０１５２】（10）次に、暗号機能８５において、リモ
ートコピー対象レコードを暗号化用の鍵で復号化し、復
号化用の鍵で暗号化して、ドライブ９１に書き込む（ス
テップＳ１４１２）。

【０１５３】（11）ステップＳ１４１０で、復号化要否
フラグ１８２がＯＮ、かつ、暗号化要否フラグ１８３が
ＯＮでなかった場合、復号化要否フラグ１８２がＯＮ、
かつ、暗号化要否フラグ１８３がＯＦＦであるか否かを
判断する（ステップＳ１４１３）。

【０１５４】（12）ステップＳ１４１３で、復号化要否
フラグ１８２がＯＮ、かつ、暗号化要否フラグ１８３が
ＯＦＦであった場合、暗号機能８５において、管理情報
メモリ８４から、ボリューム鍵格納領域８７の復号化用
鍵番号１８４の示す位置のボリューム鍵５７１を復号化
用の鍵として読み出し、副記憶制御装置鍵暗号化鍵８５
５で復号化する（ステップＳ１４１４）。

【０１５５】（13）次に、暗号機能８５において、リモ
ートコピー対象レコードを、復号化用の鍵で暗号化し、
ドライブ９１に書き込む（ステップＳ１４１５）。

【０１５６】（14）ステップＳ１４１３で、復号化要否
フラグ１８２がＯＮ、かつ、暗号化要否フラグ１８３が
ＯＦＦでなかった場合、すなわち、復号化要否フラグ１
８２がＯＦＦ、暗号化要否フラグ１８３がＯＮであった
場合、暗号機能８５において、管理情報メモリ８４か
ら、ボリューム鍵格納領域８７の暗号化用鍵番号１８５
の示す位置のボリューム鍵５７１を暗号化用の鍵として
読み出し、副記憶制御装置鍵暗号化鍵８５５で復号化す
る（ステップＳ１４１６）。

【０１５７】（15）次に、暗号機能８５において、リモ
ートコピー対象レコードを、暗号化用の鍵で復号化し、
ドライブ９１に書き込む（ステップＳ１４１７）。

【０１５８】（16）ステップＳ１４１２、Ｓ１４１５、
Ｓ１４１７の処理終了後、リモートコピー中先頭レコー
ド番号の設定を解除し、ここでの鍵変更中レコード反映
処理を終了する（ステップＳ１４１８）。

【０１５９】

【発明の効果】以上説明したように本発明によれば、リ
モートコピーにおける転送データの暗号化において、暗
号化したまま副記憶装置に格納したリモートコピー対象
データの暗号鍵更新時の負荷を軽減し、正記憶制御装置
と副記憶制御装置とにおいて、複数の暗号機能で使用す
る複数の暗号鍵を効率良く管理することができる。

【０１６０】また、本発明によれば、副記憶制御装置に
存在するコピー先ボリュームの一貫性を保ったまま暗号
化・複合化指定の変更、及び、鍵の更新を行うことが可
能であり、これにより、暗号化・複合化指定の変更、及
び、鍵の更新のシステム中に、正記憶制御装置側が被災
した場合にも、副記憶制御装置側の処理を完遂させるこ
とにより、ボリュームの内容の一貫性を保つことができ
る。

【図面の簡単な説明】

【図１】リモートコピーの鍵管理方式として公開鍵暗号
と共通鍵暗号との両者を用いる本発明の第１の実施形態
による計算機システムの構成を示すブロック図である。

【図２】本発明の第１の実施形態におけるリモートコピ
ー実行前の暗号鍵の設定手順を説明するフローチャート
である。

【図３】本発明の第１の実施形態におけるリモートコピ
ー実行中のデータ転送手順を説明するフローチャートで
ある。

【図４】リモートコピーの鍵管理方式として共通鍵暗号
を用いる本発明の第２の実施形態による計算機システム
の構成を示すブロック図である。

【図５】本発明の第２の実施形態におけるリモートコピ
ー実行前の暗号鍵の設定手順を説明するフローチャート
である。

【図６】リモートコピーの鍵管理方式として共通鍵暗号
と共通鍵暗号とを用い、公開鍵を認証局証明書により交
換する本発明の第３の実施形態による計算機システムの
構成を示すブロック図である。

【図７】本発明の第３の実施形態における認証局証明書
作成の手順を説明するフローチャートである。

【図８】本発明の第３の実施形態におけるリモートコピ
ー実行前の暗号鍵の設定手順を説明するフローチャート
である。

【図９】本発明の第４の実施形態における管理情報メモ
リ内のボリューム鍵格納領域とリモートコピー管理情報
とについて説明する図である。

【図１０】本発明の第４の実施形態において、リモート
コピーの鍵管理方式として公開鍵暗号と共通鍵暗号とを
用いた場合の鍵変更開始処理の動作を説明するフローチ
ャートである。

【図１１】本発明の第４の実施形態において、リモート
コピーの鍵管理方式として共通鍵暗号を用いた場合の鍵
変更開始処理の動作を説明するフローチャートである。

【図１２】本発明の第４の実施形態において、副記憶制
御装置が実行する鍵変更処理の動作を説明するフローチ
ャートである。

【図１３】本発明の第４の実施形態におけるリモートコ
ピー実行中のデータ転送手順の処理動作を説明するフロ
ーチャートである。

【図１４】本発明の第４の実施形態での副記憶制御装置
における鍵変更処理中のリモートコピー対象データに対
する処理である鍵変更中レコード反映処理の動作を説明
するフローチャートである。

【符号の説明】

１１正ホスト計算機１２副ホスト計算機１３認証局１３１認証局鍵４公衆通信回線５正記憶制御装置５５暗号機能５５１鍵生成機能５５２ａ、５５２ｂ暗号化／復号化機能５５３鍵格納領域５５４正記憶制御装置マスタ鍵５５５正記憶制御装置鍵暗号化鍵５６ａ、５６ｂ鍵交換鍵格納領域５６１正記憶制御装置鍵交換鍵５６２副記憶制御装置鍵交換鍵５６３正副記憶制御装置間鍵交換鍵５７ボリューム鍵格納領域５７１ボリューム鍵５８リモートコピー管理情報５９１証明書鍵５９２、８９２認証局証明書６正記憶装置７、１０保守端末８副記憶制御装置８５４副記憶制御装置マスタ鍵８５５副記憶制御装置鍵暗号化鍵８６１副記憶制御装置鍵交換鍵９副記憶装置

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｇ０６Ｆ 15/00 ３３０Ｇ０６Ｆ 15/00 ３３０Ａ５Ｊ１０４Ｇ０９Ｃ 1/00 ６４０Ｇ０９Ｃ 1/00 ６４０Ｚ６６０６６０ＥＨ０４Ｌ 9/08 Ｈ０４Ｌ 9/00 ６０１Ｃ 9/32 ６０１Ｅ６７５Ｄ (72)発明者北原潤神奈川県横浜市戸塚区吉田町292番地株式会社日立製作所システム開発研究所内Ｆターム(参考） 5B017 AA03 BA07 CA07 5B018 GA04 HA03 MA12 5B065 BA01 EA35 PA04 PA16 5B082 DA02 DE07 GA11 5B085 AE13 AE29 5J104 AA16 AA34 EA04 EA05 EA06 EA18 EA19 NA02 PA07

Claims

【特許請求の範囲】

【請求項１】正ホスト計算機及び正記憶装置に接続さ
れた正記憶制御装置と、副ホスト計算機及び副記憶装置
に接続された副記憶制御装置とを備え、前記正記憶制御
装置と前記副記憶制御装置とが公衆通信回線を介して接
続されてリモートコピーを実行する計算機システムにお
いて、リモートコピー実行前、前記正記憶制御装置は、自装置
内の暗号機能に、公開鍵暗号秘密鍵である正記憶制御装
置マスタ鍵と、共通鍵暗号共通鍵である正記憶制御装置
鍵暗号化鍵と設定し、管理情報メモリに、副記憶制御装
置の公開鍵暗号秘密鍵である副記憶制御装置マスタ鍵と
対となる公開鍵暗号公開鍵である副記憶制御装置鍵交換
鍵を設定し、前記副記憶制御装置は、自装置内の暗号機
能に、副記憶制御装置マスタ鍵と、共通鍵暗号共通鍵で
ある副記憶制御装置鍵暗号化鍵を設定し、リモートコピー開始時、新規リモートコピー対象ボリュ
ームが暗号化指定ボリュームである場合、前記正記憶制
御装置内の暗号機能は、共通鍵暗号共通鍵であるボリュ
ーム鍵を生成し、当該ボリューム鍵を正記憶制御装置鍵
暗号化鍵で暗号化して管理情報メモリに設定し、さら
に、新規リモートコピー対象ボリュームが復号化指定ボ
リュームである場合、当該ボリューム鍵を副記憶制御装
置鍵交換鍵で暗号化して副記憶制御装置に転送し、副記
憶制御装置内の暗号機能は、正記憶制御装置から受領し
た副記憶制御装置鍵交換鍵で暗号化したボリューム鍵を
副記憶制御装置マスタ鍵で復号化し、副記憶制御装置鍵
暗号化鍵で暗号化して管理情報メモリに設定し、リモートコピー実行中、リモートコピー対象レコードが
暗号化指定ボリュームである場合、正記憶制御装置の暗
号機能は、管理情報メモリの当該暗号化指定ボリューム
のボリューム鍵を、暗号機能に設定された正記憶制御装
置鍵暗号化鍵で復号化し、当該ボリューム鍵で転送対象
レコードを暗号化し、暗号化した転送対象レコードを副
記憶制御装置に転送し、副記憶制御装置内の暗号機能
は、正記憶制御装置から受領したリモートコピー対象レ
コードが復号化指定ボリュームに属する場合、管理情報
メモリの当該復号化指定ボリュームのボリューム鍵を、
暗号機能に設定された副記憶制御装置鍵暗号化鍵で復号
化し、当該ボリューム鍵で転送対象レコードを復号化す
ることを特徴とする計算機システム。
【請求項２】正ホスト計算機及び正記憶装置に接続さ
れた正記憶制御装置と、副ホスト計算機及び副記憶装置
に接続された副記憶制御装置とを備え、前記正記憶制御
装置と前記副記憶制御装置とが公衆通信回線を介して接
続されてリモートコピーを実行する計算機システムにお
いて、リモートコピー実行前、前記正記憶制御装置は、自装置
内の暗号機能に、共通鍵暗号共通鍵である正記憶制御装
置鍵暗号化鍵を設定し、管理情報メモリに、共通鍵暗号
共通鍵である正副記憶制御装置間鍵交換鍵を正記憶制御
装置鍵暗号化鍵で暗号化して設定し、副記憶制御装置
は、自装置内の暗号機能に、共通鍵暗号共通鍵である副
記憶制御装置鍵暗号化鍵を設定し、管理情報メモリに、
正副記憶制御装置間鍵交換鍵を副記憶制御装置鍵暗号化
鍵で暗号化して設定し、リモートコピー開始時、新規リモートコピー対象ボリュ
ームが暗号化指定ボリュームである場合、前記正記憶制
御装置の暗号機能は、鍵生成機能により共通鍵暗号共通
鍵であるボリューム鍵を生成し、正記憶制御装置鍵暗号
化鍵で当該ボリューム鍵を暗号化し管理情報メモリに設
定し、さらに、新規リモートコピー対象ボリュームが復
号化指定ボリュームである場合、管理情報メモリの正副
記憶制御装置間鍵交換鍵を正記憶制御装置鍵暗号化鍵で
復号化し、当該ボリューム鍵を正副記憶制御装置間鍵交
換鍵で暗号化して副記憶制御装置に転送し、副記憶制御
装置の暗号機能は、管理情報メモリの正副記憶制御装置
間鍵交換鍵を副記憶制御装置鍵暗号化鍵で復号化し、正
記憶制御装置から受領したボリューム鍵を正副記憶制御
装置間鍵交換鍵で復号化し、当該ボリューム鍵を副記憶
制御装置鍵暗号化鍵で暗号化し管理情報メモリに設定
し、リモートコピー実行中、リモートコピー対象レコードが
暗号化指定ボリュームである場合、正記憶制御装置の暗
号機能は、管理情報メモリの当該暗号化指定ボリューム
のボリューム鍵を、正記憶制御装置鍵暗号化鍵で復号化
し、当該ボリューム鍵で転送対象レコードを暗号化し、
暗号化した転送対象レコードを副記憶制御装置に転送
し、副記憶制御装置の暗号機能は、正記憶制御装置から
受領したリモートコピー対象レコードが復号化指定ボリ
ュームに属する場合、管理情報メモリの当該暗号化指定
ボリュームのボリューム鍵を副記憶制御装置鍵暗号化鍵
で復号化し、当該ボリューム鍵で転送対象レコードを復
号化することを特徴とする計算機システム。
【請求項３】認証局をさらに備え、リモートコピー実行前、前記認証局は、副記憶制御装置
マスタ鍵と対となる公開鍵暗号公開鍵である副記憶制御
装置鍵交換鍵を登録し、副記憶制御装置鍵交換鍵の認証
局証明書を発行し、正記憶制御装置は、管理情報メモリ
に、認証局の公開鍵暗号公開鍵を設定し、副記憶制御装
置は、管理情報メモリに、副記憶制御装置鍵交換鍵と、
認証局の公開鍵暗号公開鍵と、副記憶制御装置鍵交換鍵
の認証局証明書とを設定し、リモートコピー開始時、前記正記憶制御装置は、副記憶
制御装置に副記憶制御装置鍵交換鍵を要求し、副記憶制
御装置は、副記憶制御装置鍵交換鍵の認証局証明書と、
副記憶制御装置鍵交換鍵とを正記憶制御装置に転送し、
正記憶制御装置は、受領した副記憶制御装置鍵交換鍵の
認証局証明書を認証局の公開鍵暗号公開鍵で暗号化し、
受領した副記憶制御装置鍵交換鍵と比較して受領した副
記憶制御装置鍵交換鍵が副記憶制御装置のものであるこ
とを確認し、管理情報メモリに副記憶制御装置鍵交換鍵
を設定することを特徴とする請求項１記載の計算機シス
テム。
【請求項４】前記新規リモートコピー対象ボリューム
が正記憶制御装置で暗号化し副記憶制御装置で復号化し
ないボリュームであり、当該ボリュームのボリューム鍵
の変更時、正記憶制御装置は、鍵生成機能により当該ボ
リュームの新ボリューム鍵を生成し、新ボリューム鍵を
正記憶制御装置鍵暗号化鍵で暗号化して管理情報メモリ
に設定し、新ボリューム鍵を副記憶制御装置鍵交換鍵で
暗号化して副記憶制御装置に転送し、副記憶制御装置
は、正記憶制御装置から受領した新ボリューム鍵を、副
記憶制御装置マスタ鍵で復号化し、副記憶制御装置鍵暗
号化鍵で暗号化して管理情報メモリの現ボリューム鍵と
は別の領域に設定し、正記憶制御装置は、以降の当該ボ
リュームのリモートコピー対象レコードを新ボリューム
鍵で暗号化して副記憶制御装置に転送し、副記憶制御装
置は、当該ボリュームの先頭から終端まで、レコードを
一定数ずつドライブから読み出し、読み出したレコード
を暗号機能に転送し、副記憶制御装置内の暗号機能は、
当該レコードのボリュームの現ボリューム鍵と新ボリュ
ーム鍵とを管理情報メモリから読み出し、副記憶制御装
置鍵暗号化鍵で復号化後、当該レコードを現ボリューム
鍵で復号化し、新ボリューム鍵で暗号化してドライブに
書き込むことを特徴とする請求項１または３記載の計算
機システム。
【請求項５】正記憶制御装置で暗号化していないボリ
ュームの暗号化を指定してリモートコピーを実行すると
き、正記憶制御装置は、鍵生成機能により当該ボリュー
ムのボリューム鍵を生成し、ボリューム鍵を正記憶制御
装置鍵暗号化鍵で暗号化して管理情報メモリに設定し、
ボリューム鍵を副記憶制御装置鍵交換鍵で暗号化して副
記憶制御装置に転送し、副記憶制御装置は、正記憶制御
装置から受領したボリューム鍵を、副記憶制御装置マス
タ鍵で復号化し、副記憶制御装置鍵暗号化鍵で暗号化し
て管理情報メモリに設定し、正記憶制御装置は、以降の
当該ボリュームのリモートコピー対象レコードをボリュ
ーム鍵で暗号化し、副記憶制御装置に転送し、副記憶制
御装置は、当該ボリュームの先頭から終端まで、レコー
ドを一定数ずつドライブから読み出し、読み出したレコ
ードを副記憶制御装置内の暗号機能に転送し、該暗号機
能は、当該レコードのボリュームのボリューム鍵を管理
情報メモリから読み出し、副記憶制御装置鍵暗号化鍵で
復号化後、当該レコードをボリューム鍵で暗号化してド
ライブに書き込むことを特徴とする請求項１または３記
載の計算機システム。
【請求項６】正記憶制御装置で暗号化し副記憶制御装
置で復号化しているボリュームの復号化指定を解除して
リモートコピーを実行するとき、副記憶制御装置は、以
降の当該ボリュームのリモートコピー対象レコードの復
号化を中止し、当該ボリュームの先頭から終端まで、レ
コードを一定数ずつドライブから読み出し、読み出した
レコードを副記憶制御装置内の暗号機能に転送し、該暗
号機能は、当該レコードのボリュームのボリューム鍵を
管理情報メモリから読み出し、副記憶制御装置鍵暗号化
鍵で復号化後、当該レコードをボリューム鍵で暗号化し
てドライブに書き込むことを特徴とする請求項１、２ま
たは３記載の計算機システム。
【請求項７】正記憶制御装置で暗号化し副記憶制御装
置で復号化していないボリュームの暗号化を解除してリ
モートコピーを実行するとき、正記憶制御装置は、現ボ
リューム鍵を未だ副記憶制御装置に転送していない場
合、現ボリューム鍵を正記憶制御装置鍵暗号化鍵で復号
化し、副記憶制御装置鍵交換鍵で暗号化して副記憶制御
装置に転送し、副記憶制御装置は、正記憶制御装置から
受領した現ボリューム鍵を、副記憶制御装置マスタ鍵で
復号化し、副記憶制御装置鍵暗号化鍵で暗号化して管理
情報メモリの現ボリューム鍵の領域に設定し、正記憶制
御装置は、以降の当該ボリュームのリモートコピー対象
レコードを暗号化せずに副記憶制御装置に転送し、副記
憶制御装置は、当該ボリュームの先頭から終端まで、レ
コードを一定数ずつドライブから読み出し、読み出した
レコードを副記憶制御装置内の暗号機能に転送し、該暗
号機能は、当該レコードのボリュームのボリューム鍵を
管理情報メモリから読み出して副記憶制御装置鍵暗号化
鍵で復号化後、当該レコードを現ボリューム鍵で復号化
してドライブに書き込むことを特徴とする請求項１また
は３記載の計算機システム。
【請求項８】正記憶制御装置で暗号化し副記憶制御装
置で復号化しないボリュームの復号化を指定してリモー
トコピーを実行するとき、正記憶制御装置は、現ボリュ
ーム鍵を未だ副記憶制御装置に転送していない場合、現
ボリューム鍵を正記憶制御装置鍵暗号化鍵で復号化し、
副記憶制御装置鍵交換鍵で暗号化して副記憶制御装置に
転送し、副記憶制御装置は、正記憶制御装置から受領し
た現ボリューム鍵を、副記憶制御装置マスタ鍵で復号化
し、副記憶制御装置鍵暗号化鍵で暗号化し管理情報メモ
リの現ボリューム鍵の領域に設定し、副記憶制御装置
は、以降の当該ボリュームのリモートコピー対象レコー
ドを復号化すると共に、当該ボリュームの先頭から終端
まで、レコードを一定数ずつドライブから読み出し、読
み出したレコードを副記憶制御装置内の暗号機能に転送
し、該暗号機能は、当該レコードのボリュームのボリュ
ーム鍵を管理情報メモリから読み出して副記憶制御装置
鍵暗号化鍵で復号化後、当該レコードを現ボリューム鍵
で復号化してドライブに書き込むことを特徴とする請求
項１または３記載の計算機システム。
【請求項９】前記新規リモートコピー対象ボリューム
が正記憶制御装置で暗号化し副記憶制御装置で復号化し
ないボリュームであり、当該ボリュームのボリューム鍵
の変更時、正記憶制御装置は、鍵生成機能により当該ボ
リュームの新ボリューム鍵を生成し、新ボリューム鍵を
正記憶制御装置鍵暗号化鍵で暗号化して管理情報メモリ
に設定し、新ボリューム鍵を正副記憶制御装置間鍵交換
鍵で暗号化して副記憶制御装置に転送し、副記憶制御装
置は、正記憶制御装置から受領した新ボリューム鍵を、
正副記憶制御装置間鍵交換鍵で復号化し、副記憶制御装
置鍵暗号化鍵で暗号化して管理情報メモリの現ボリュー
ム鍵とは別の領域に設定し、正記憶制御装置は、以降の
当該ボリュームのリモートコピー対象レコードを新ボリ
ューム鍵で暗号化して副記憶制御装置に転送し、副記憶
制御装置は、当該ボリュームの先頭から終端まで、レコ
ードを一定数ずつドライブから読み出し、読み出したレ
コードを暗号機能に転送し、副記憶制御装置内の暗号機
能は、当該レコードのボリュームの現ボリューム鍵と新
ボリューム鍵とを管理情報メモリから読み出し、副記憶
制御装置鍵暗号化鍵で復号化後、当該レコードを現ボリ
ューム鍵で復号化し、新ボリューム鍵で暗号化してドラ
イブに書き込むことを特徴とする請求項２記載の計算機
システム。
【請求項１０】正記憶制御装置で暗号化していないボ
リュームの暗号化を指定してリモートコピーを実行する
とき、正記憶制御装置は、鍵生成機能により当該ボリュ
ームのボリューム鍵を生成し、ボリューム鍵を正記憶制
御装置鍵暗号化鍵で暗号化して管理情報メモリに設定
し、ボリューム鍵を正副記憶制御装置間鍵交換鍵で暗号
化して副記憶制御装置に転送し、副記憶制御装置は、正
記憶制御装置から受領したボリューム鍵を、正副記憶制
御装置間鍵交換鍵で復号化し、副記憶制御装置鍵暗号化
鍵で暗号化して管理情報メモリに設定し、正記憶制御装
置は、以降の当該ボリュームのリモートコピー対象レコ
ードをボリューム鍵で暗号化し、副記憶制御装置に転送
し、副記憶制御装置は、当該ボリュームの先頭から終端
まで、レコードを一定数ずつドライブから読み出し、読
み出したレコードを副記憶制御装置内の暗号機能に転送
し、該暗号機能は、当該レコードのボリュームのボリュ
ーム鍵を管理情報メモリから読み出し、副記憶制御装置
鍵暗号化鍵で復号化後、当該レコードをボリューム鍵で
暗号化してドライブに書き込むことを特徴とする請求項
２記載の計算機システム。
【請求項１１】正記憶制御装置で暗号化し副記憶制御
装置で復号化していないボリュームの暗号化を解除して
リモートコピーを実行するとき、正記憶制御装置は、現
ボリューム鍵を未だ副記憶制御装置に転送していない場
合、現ボリューム鍵を正記憶制御装置鍵暗号化鍵で復号
化し、正副記憶制御装置間鍵交換鍵で暗号化して副記憶
制御装置に転送し、副記憶制御装置は、正記憶制御装置
から受領した現ボリューム鍵を、正副記憶制御装置間交
換鍵で復号化し、副記憶制御装置鍵暗号化鍵で暗号化し
て管理情報メモリの現ボリューム鍵の領域に設定し、正
記憶制御装置は、以降の当該ボリュームのリモートコピ
ー対象レコードを暗号化せずに副記憶制御装置に転送
し、副記憶制御装置は、当該ボリュームの先頭から終端
まで、レコードを一定数ずつドライブから読み出し、読
み出したレコードを副記憶制御装置内の暗号機能に転送
し、該暗号機能は、当該レコードのボリュームのボリュ
ーム鍵を管理情報メモリから読み出して副記憶制御装置
鍵暗号化鍵で復号化後、当該レコードを現ボリューム鍵
で復号化してドライブに書き込むことを特徴とする請求
項２記載の計算機システム。
【請求項１２】正記憶制御装置で暗号化し副記憶制御
装置で復号化しないボリュームの復号化を指定してリモ
ートコピーを実行するとき、正記憶制御装置は、現ボリ
ューム鍵を未だ副記憶制御装置に転送していない場合、
現ボリューム鍵を正記憶制御装置鍵暗号化鍵で復号化
し、正副記憶制御装置間鍵交換鍵で暗号化して副記憶制
御装置に転送し、副記憶制御装置は、正記憶制御装置か
ら受領した現ボリューム鍵を、正副記憶制御装置間交換
鍵で復号化し、副記憶制御装置鍵暗号化鍵で暗号化し管
理情報メモリの現ボリューム鍵の領域に設定し、副記憶
制御装置は、以降の当該ボリュームのリモートコピー対
象レコードを復号化すると共に、当該ボリュームの先頭
から終端まで、レコードを一定数ずつドライブから読み
出し、読み出したレコードを副記憶制御装置内の暗号機
能に転送し、該暗号機能は、当該レコードのボリューム
のボリューム鍵を管理情報メモリから読み出して副記憶
制御装置鍵暗号化鍵で復号化後、当該レコードを現ボリ
ューム鍵で復号化してドライブに書き込むことを特徴と
する請求項２記載の計算機システム。