JP2002351747A - ストレージシステムにおけるストレージ内データのバックアップ管理方法およびこの管理方法を実施する手段を備えたストレージシステム - Google Patents

Abstract

(57)【要約】 【課題】 高いデータセキュリティを確保することがで
きる、ストレージシステムにおけるストレージ内データ
のバックアップ管理方法を提供する。 【解決手段】 個別にアクセス制限が施された複数の記
憶エリア１１を有するストレージ１０とリムーバブルメ
ディア方式のバックアップ装置３０とを含むストレージ
システムにおいて、ある記憶エリア１１のデータのバッ
クアップに際してはその記憶エリア１１に固有に付与し
たキーにより暗号化してその暗号化データをバックアッ
プ装置にセットされている所定のリムーバブルメディア
にＳＡＮ５０を通じて格納し、ある記憶エリア１１のデ
ータの復旧に際しては該当のリムーバブルメディアをバ
ックアップ装置にセットしてこれに格納されている暗号
化データをＳＡＮ５０を通じてストレージ１０に伝送し
これを前記記憶エリア１１に付与されたキーにより復号
化して前記記憶エリア１１に格納する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ストレージシステ
ムにおけるストレージ内データのバックアップ管理方法
に関し、とくにリムーバブルメディア方式のバックアッ
プ装置を利用してストレージ内データを集中的にバック
アップ管理する際におけるデータセキュリティを確保す
るための技術に関する。

【０００２】

【従来の技術】ＡＳＰ市場の拡大、企業システムのアウ
トソーシング指向に伴い、データセンタの需要が増大し
ている。典型的なデータセンタにおけるストレージシス
テムの概略構成を図６に示す。ディスクアレイ装置など
のストレージ１０と、ＬＡＮやＷＡＮ、インターネット
などを通じてデータセンタ外の機器に接続しこれらとス
トレージ１０との間に介在するサーバ装置２０ａ，２０
ｂ，２０ｃと、ストレージ１０内のデータをバックアッ
プするバックアップ装置３０（ＤＡＴテープドライブ）
とがＳＡＮ（Storage Area Network）５０により接続さ
れている。

【０００３】ところで、データセンタにおいては、デー
タの一括管理によるスケーラブルメリットを最大限に生
かすため、一台のストレージ１０に異なるシステムや異
なるユーザのデータを混在させて運用管理するのが一般
的である。そのため、データセンタでは、通常、ストレ
ージ１０内に実装されたハードディスクユニットなどの
各記憶資源について、ゾーニングやマスキングなどの機
能を用いてシステムごと或いはユーザコンピュータごと
のアクセス制限を施すことで、データセキュリティの確
保を図っている。

【０００４】一方、データセンタではディスククラッシ
ュなどのトラブルに対する危機管理も重要であり、通
常、データセンタではＳＡＮ５０の特徴を生かしたＬＡ
Ｎフリー・バックアップやサーバ・フリー・バックアッ
プといった手法を用いてＳＡＮ５０に接続されたバック
アップ装置３０により集中的なバックアップ管理を行っ
ている。なお、前記のバックアップ装置３０としては、
ビット単価の比較的安価なＤＡＴテープドライブなどの
リムーバブルメディア方式のものが採用されることが多
く、バックアップ装置３０にはリムーバブルメディアの
脱着を行うためのオペレータが配置されるのが普通であ
る。

【０００５】

【発明が解決しようとする課題】ところで、前記のリム
ーバブルメディアの脱着に際しては、オペレータには細
心の注意が要求される。何故なら、万が一、指定された
メディアと異なるメディアを間違えてバックアップ装置
３０にセットしてしまった場合には、あるシステムやユ
ーザ用にアクセス制限された記憶資源に他のシステムや
ユーザのデータが格納されてしまうこととなり、データ
センタの信用にかかわる重大な事故につながるおそれが
あるからである。

【０００６】しかしながら、オペレータも人間であるか
らこのような人為的なミスを完全に防ぐことは難しく、
従って、このような事故を未然に防ぐ仕組みを設けるこ
とがデータセンタの運用上好ましい。

【０００７】本発明はこのような観点からなされたもの
であって、高いデータセキュリティを確保することがで
きる、ストレージシステムにおけるストレージ内データ
のバックアップ管理方法およびこの管理方法を実施する
手段を備えたストレージシステムを提供することを目的
とする。

【０００８】

【課題を解決するための手段】この目的を達成するため
の、本発明の主たる発明は、個別にアクセス制限が施さ
れた複数の記憶エリアを有するストレージとこのストレ
ージにアクセスするサーバ装置とリムーバブルメディア
方式のバックアップ装置とが所定の通信手段によりネッ
トワーク接続されているストレージシステムにおけるス
トレージ内データのバックアップ管理方法であって、前
記記憶エリアのうちのある記憶エリアＡのデータのバッ
クアップに際しては記憶エリアＡのデータを記憶エリア
Ａに固有に付与したキーにより暗号化した暗号化データ
を前記通信ネットワークを通じて前記バックアップ装置
にセットされている所定のリムーバブルメディアに格納
し、記憶エリアＡのデータの復旧に際しては該当のリム
ーバブルメディアを前記バックアップ装置にセットして
これに格納されている暗号化データを前記通信ネットワ
ークを通じて前記ストレージに伝送し、これを記憶エリ
アＡに付与された前記キーにより復号化して記憶エリア
Ａに格納するようにしたものである。

【０００９】

【発明の実施の形態】図１に本発明の一実施例として説
明する、データセンタに設置されたストレージシステム
の概略構成を示している。ファイバチャネルストレージ
として機能するディスクアレイ装置１０と、ＬＡＮやＷ
ＡＮもしくはインターネットなどの外部ネットワークを
介してこのデータセンタの利用者である企業などのコン
ピュータに接続しこれらとディスクアレイ装置１０との
間に介在するサーバ装置２０と、ＤＡＴテープドライブ
３０とが、ファイバチャネルスイッチやファイバチャネ
ルブリッジなどのネットワークデバイスで構成されたＳ
ＡＮ５０に接続され、ストレージシステムを構成してい
る。

【００１０】図２はディスクアレイ装置１０の概略構成
である。複数台のハードディスクユニット１１が実装さ
れ、これら制御するドライブ制御部１２、ＳＡＮ５０と
の間の接続を制御するチャネル制御部１３、共用メモリ
１４やキャッシュメモリ１５、ディスクアレイ装置１０
内の各種制御や稼働状況監視、障害検知および各種情報
管理（例えば、実装されているハードディスクユニット
１１の物理シリンダ数やアクセス頻度などの管理）など
を行うサービスプロセッサ１６などを備えている。

【００１１】ハードディスクユニット１１には、ファイ
バチャネルスイッチおよびディスクアレイ装置などが備
えるゾーニングやマスキングなどの機能によってアクセ
ス制限が施されている。例えば、図１の場合では、ハー
ドディスクユニット１１ａ、１１ｂ、１１ｃにそれぞれ
個別にアクセス制限（ゾーンａ、ｂ、ｃ）が施され、ハ
ードディスクユニット１１ａ、１１ｂ、１１ｃはそれぞ
れ独立した記憶エリアを構成しており、例えば、サーバ
装置２０ａはゾーンａのハードディスクユニット１１ａ
にはアクセスできるが、ゾーンｂのハードディスクユニ
ット１１ｂやゾーンｃのハードディスクユニット１１ｃ
にはアクセスすることはできない。

【００１２】ディスクアレイ装置１０のハードディスク
ユニット１１の一部は、サーバ装置２０ａからの直接的
な読み出しや書き込みが可能な本番用ユニットＡに割り
当てられ、また、他の一部は本番用ユニットＡのバック
アップデータを格納するための待避用ユニットＢに割り
当てられている。各本番用ユニットＡと待避用ユニット
Ｂとの対応づけは、システム管理者などがディスクアレ
イ装置１０の管理端末などから手動で設定する方法、サ
ービスプロセッサ１６が、例えば、各ハードディスクユ
ニット１１が実装されているスロットの位置を自動認識
して設定する方法などの各種の方法により設定される。
ディスクアレイ装置１０は、この本番用ユニットＡと待
避用ユニットＢとの対応付けを、各ハードディスクユニ
ット１１に付与された固有のユニットＩＤにより図３に
示す管理テーブルに記憶管理している。

【００１３】待避用ユニットＢに格納されるバックアッ
プデータは、本番用ユニットＡのデータそのものでな
く、これを暗号化したものである。ディスクアレイ装置
１０は、各本番用ユニットＡのデータをリアルタイムに
暗号化し、各本番用ユニットＡに対応づけられている待
避用ユニットＢにリアルタイムに格納する。これにより
待避用ユニットＢには、本番用ユニットＡのデータの暗
号化データが同時並行的に記憶管理される。

【００１４】暗号化は、各本番用ユニットＡとこれに対
応づけられた待避用ユニットＢのペアごとに固有に設定
されたキーを用いて行われる。キーは、ディスクアレイ
装置１０により自動的に生成される場合、システム管理
者などにより手動で設定される場合など、様々な方法で
設定される。キーは、本番用ユニットＡと待避用ユニッ
トＢの組み合わせに対応づけて前記管理テーブルに記憶
管理される。

【００１５】ところで、この実施例で説明するストレー
ジシステムでは、本番用ユニットＡのデータのバックア
ップに際し本番用ユニットＡのデータをそのままバック
アップするのではなく、これに対応づけられている待避
用ユニットＢに格納されている暗号化データの方をバッ
クアップするようにしている。これはバックアップに関
する一連の処理が本番用ユニットＡに与える負荷を極力
抑え、本番用ユニットＡを利用している各種システムや
ユーザへの影響を減らすためである。

【００１６】バックアップはつぎの手順で行われる。ま
ず、ディスクアレイ装置１０は、ＳＡＮ５０を通じてＤ
ＡＴテープドライブ３０にＤＡＴテープのセット指示を
送信する。これによりＤＡＴテープドライブ３０は、付
属の管理用ディスプレイにＤＡＴテープをセットするよ
う表示する。ここでこの指示には、バックアップ対象と
なる本番用ユニットＡを特定するユニットＩＤが含ま
れ、管理用ディスプレイには前記セット指示に付帯して
ユニットＩＤも表示される。オペレータは、これらの表
示を確認すると、該当の本番用ユニットＡ用に用意され
たＤＡＴテープを管理ラックから探し出してＤＡＴテー
プドライブ３０にセットする。

【００１７】つぎに、ＤＡＴテープが正常にセットされ
ると、その旨がＳＡＮ５０を通じてディスクアレイ装置
１０に通知され、バックアップ対象となる本番用ユニッ
トＡに対応する待避用ユニットＢに格納されている暗号
化データが、ＳＡＮ５０通じてディスクアレイ装置１０
からＤＡＴテープドライブ３０に伝送されて、前記ＤＡ
Ｔテープに前記暗号化データが格納される。暗号化デー
タのＤＡＴテープへの格納が完了すると、管理用ディス
プレイにその旨が表示される。これを見たオペレータは
ＤＡＴテープをＤＡＴテープドライブ３０から取り外
し、そのＤＡＴテープを管理用ラックの所定位置に収納
する。

【００１８】一方、ＤＡＴテープにバックアップされた
暗号化データは、例えば、ディスククラッシュなどによ
り本番用ユニットＡのデータが紛失等した場合のデータ
の復旧処理に利用される。つぎに、この復旧処理の手順
を図４に示すフローチャートとともに説明する。

【００１９】ディスクアレイ装置１０は、ある本番用ユ
ニットＡに何らかの異常が発生し、ＤＡＴテープにバッ
クアップされた暗号化データを利用する必要があると判
断すると、ＤＡＴテープドライブ３０にその本番用ユニ
ットＡに対応する暗号化データ（すなわち、この本番用
ユニットＡに対応する待避用ユニットＢからバックアッ
プした暗号化データ）が格納されているＤＡＴテープの
セット指示を、ＳＡＮ５０を通じて送信する（１１
０）。ＤＡＴテープドライブ３０は、このセット指示を
受信すると、その旨およびこのセット要求通知に付帯す
る前記本番用ユニットＡのユニットＩＤを、管理用ディ
スプレイに表示する（１２０）。オペレータは、このセ
ット指示を確認すると、該当のＤＡＴテープを管理ラッ
クから探し出し、そのテープをＤＡＴテープドライブに
セットする（１３０）。

【００２０】ＤＡＴテープが正常にセットされると、つ
ぎに、その旨がＳＡＮ５０を通じてディスクアレイ装置
１０に通知され、ＤＡＴテープドライブ３０にセットさ
れているＤＡＴテープに格納されている暗号化データ
が、ディスクアレイ装置１０に伝送される。ディスクア
レイ装置１０は、伝送されてきた暗号化データを、前記
本番用ユニットＡに対応づけられている待避用ユニット
Ｂに格納する（１４０）。

【００２１】以上により暗号化データが待避用ユニット
Ｂに格納されると、つぎに、ディスクアレイ装置１０は
管理テーブルを参照し、前記本番用ユニットＡに対応づ
けられているキーにより待避用ユニットＢに記憶されて
いる暗号化データの復号化を試みる（１５０）。ここで
このキーが待避用ユニットＢに格納されている暗号化デ
ータの暗号化の際に使用したキーと一致する場合には、
正常に復号化が行われ、ディスクアレイ装置１０は復号
化されたデータを前記本番用ユニットＡに格納し、これ
により前記本番用ユニットＡのデータ復旧処理が無事完
了する（１６０）。

【００２２】他方、キーが不一致の場合には、復号化を
行うことができず、この場合、ディスクアレイ装置１０
は、当該装置１０の管理端末のディスプレイなどにその
旨を通知するエラーメッセージを表示する（１７０）。
そして、これを見て復号化ができなかったことを知った
システム管理者は、ＤＡＴテープの掛け間違えたかどう
かをオペレータに確認し、掛け間違えであった場合に
は、オペレータに正しいＤＡＴテープをＤＡＴテープド
ライブ３０にセットし直してもらうなどの対応を講じる
こととなる。

【００２３】以上に説明したように、本発明によれば、
万が一、オペレータがＤＡＴテープを掛け間違えてセッ
トしても、あるシステムやユーザにアクセスが許可され
たハードディスクユニットに他のシステムやユーザの暗
号化データが格納されてもキーが一致しない以上その暗
号化データが復号化されることはなく、高いデータセキ
ュリティが確保されることになる。また、万が一、ＤＡ
Ｔテープが盗まれても、キーが知られない以上、元のデ
ータを復元することはできず、この点でもデータセキュ
リティが確保されることになる。

【００２４】ところで、以上の実施例は、待避用ユニッ
トＢに格納されている暗号化データをバックアップする
構成であったが、例えば、本番用ユニットＡのデータを
ディスクアレイ装置１０が直接暗号化し、この暗号化デ
ータを直接ＳＡＮ５０を通じてＤＡＴテープドライブ３
０に伝送してリムーバブルメディアにバックアップし、
データ復旧時には該当のＤＡＴテープに格納されている
暗号化データをＤＡＴテープドライブからＳＡＮ５０通
じてディスクアレイ装置１０に伝送して復号化する、と
いった構成も考えられる。なお、この方式を採用した場
合には、図１に示すように各ゾーンに必ずしも複数のハ
ードディスクユニットが含まれている必要はなく、一つ
のゾーンに一台のハードディスクユニットしか含まれな
くてもよいことになる。

【００２５】アクセス制限は必ずしも前述の実施例で説
明したようにハードディスクユニット単位に設定する必
要はなく、例えば、１台のハードディスクユニットの記
憶エリアを分割し、分割された記憶エリアごとに異なる
アクセス制限を施す、といったアクセス制限の仕方も考
えられる。

【００２６】本番用ユニットＡと待避用ユニットＢとは
前述の実施例のように１：１に対応づけられていてもよ
いし、１：ｎに対応づけられていてもよい。

【００２７】ストレージは、ディスクアレイ装置である
場合に限られず、磁気ディスクシステムや光磁気ディス
ク装置（共に充分な容量のキャッシュやバッファを備え
たもの）などでもよい。

【００２８】バックアップ装置は、前述したＤＡＴテー
プドライブ以外に、例えば、カセットテープ、８ｍｍテ
ープ、９トラック・オープン・テープ、３４９０／３４
９０Ｅカートリッジ・テープ、ＤＬＴ／ＳＤＬＴテー
プ、ＡＩＴテープ、ＴＲＡＶＡＮミニカートリッジ・テ
ープ、ＤＴＦカートリッジ・テープ、ＬＴＯカートリッ
ジ・テープ、ＺＩＰ、ＣＤ−Ｒ、ＤＶＤ−ＲＡＭ、ＤＶ
Ｄ−Ｒ、ＭＯ、フロッピー（登録商標）ディスクなどの
メディアを用いるものであってもよい。

【００２９】また、一般にストレージに実装されるハー
ドディスクユニット１１は、ＲＡＩＤを構成しているこ
とが多いが、本発明はＲＡＩＤを構成しているかどうか
に関わらず適用することができる。

【００３０】キーは、前述の実施例のように暗号化と復
号化の双方に同一のキーを設定してもよいし、暗号化キ
ーと復号化キーとを別個に設定してもよい。なお、この
場合、暗号化キーと復号化キーは、例えば、図５に示す
ような形態で管理テーブルに管理されることになる。

【００３１】また、以上の説明では秘密鍵方式を前提と
するものであるが、公開鍵暗号化方式を採用することも
考えられる。

【００３２】

【発明の効果】以上説明したように、本発明によれば、
高いデータセキュリティを確保しつつ、ストレージシス
テムにおけるストレージ内データのバックアップ管理を
行うことが可能である。

【図面の簡単な説明】

【図１】本発明の一実施例による、データセンタに設置
されたストレージシステムの概略構成を示す図である。

【図２】本発明の一実施例によるディスクアレイ装置の
概略構成を示す図である。

【図３】本発明の一実施例による管理テーブルの一例を
示す図である。

【図４】本発明の一実施例による、本番用ユニットのデ
ータの復旧処理を説明するフローチャートである。

【図５】本発明の一実施例による管理テーブルの一例を
示す図である。

【図６】従来のデータセンタにおけるストレージシステ
ムの概略構成を示す図である。

【符号の説明】

１０ ディスクアレイ装置 １１ ハードディスクユニット ２０ａ，２０ｂ，２０ｃ サーバ装置 ３０ バックアップ装置（ＤＡＴテープドライブ） ５０ ＳＡＮ

フロントページの続き Ｆターム(参考） 5B017 AA03 BA07 CA07 5B018 GA04 GA10 HA04 KA03 MA12 5B065 BA01 BA07 CA19 CE22 EA12 EA35 PA16 ZA15 5B082 DE04 DE07 GA11 HA05

Claims (5)

【特許請求の範囲】
1. 【請求項１】 個別にアクセス制限が施された複数の記
   憶エリアを有するストレージとこのストレージにアクセ
   スするサーバ装置とリムーバブルメディア方式のバック
   アップ装置とが所定の通信手段によりネットワーク接続
   されているストレージシステムにおけるストレージ内デ
   ータのバックアップ管理方法であって、 前記記憶エリアのうちのある記憶エリアＡのデータのバ
   ックアップに際しては記憶エリアＡのデータを記憶エリ
   アＡに固有に付与したキーにより暗号化した暗号化デー
   タを前記通信ネットワークを通じて前記バックアップ装
   置にセットされている所定のリムーバブルメディアに格
   納し、 記憶エリアＡのデータの復旧に際しては該当のリムーバ
   ブルメディアを前記バックアップ装置にセットしてこれ
   に格納されている暗号化データを前記通信ネットワーク
   を通じて前記ストレージに伝送し、これを記憶エリアＡ
   に付与された前記キーにより復号化して記憶エリアＡに
   格納することを特徴とする。
2. 【請求項２】 請求項１に記載のストレージシステムに
   おけるストレージ内データのバックアップ管理方法であ
   って、 前記所定の通信手段がＳＡＮであり、 前記記憶エリアが一台もしくは複数台のハードディスク
   ユニットにより提供され、 前記ハードディスクユニットのうちのあるハードディス
   クユニットＡのデータをそのハードディスクユニットに
   固有に付与したキーにより暗号化してこの暗号化データ
   をハードディスクユニットＡとは別の前記ハードディス
   クユニットに記憶管理し、 ハードディスクユニットＡのデータのバックアップに際
   しては前記暗号化データを前記ＳＡＮを通じて前記バッ
   クアップ装置にセットされている所定のリムーバブルメ
   ディアに格納し、 ハードディスクユニットＡのデータの復旧に際しては該
   当のリムーバブルメディアを前記バックアップ装置にセ
   ットしてこれに格納されている暗号化データを前記ＳＡ
   Ｎを通じて前記ストレージに伝送しこれをハードディス
   クユニットＡに付与された前記キーにより復号化してハ
   ードディスクユニットＡに格納するようにすることを特
   徴とする。
3. 【請求項３】 請求項２に記載のストレージシステムに
   おけるストレージ内データのバックアップ管理方法であ
   って、前記アクセス制限が前記ＳＡＮのゾーニング機能
   もしくはマスキング機能により設定されたものであるこ
   とを特徴とする。
4. 【請求項４】 請求項２に記載のストレージシステムに
   おけるストレージ内データのバックアップ管理方法であ
   って、前記暗号化データを前記ハードディスクユニット
   Ａに格納されているデータの変更に応じてリアルタイム
   に生成し、前記暗号化データを前記ハードディスクユニ
   ットＡとは別の前記ハードディスクユニットに同時並行
   的に記憶管理することを特徴とする。
5. 【請求項５】 請求項１〜４のいずれかに記載のバック
   アップ管理方法を実施する手段を備えたストレージシス
   テム。