JP2005157826A - アクセス制御装置及び方法 - Google Patents

Abstract

【課題】 同一の通信ネットワークだけでなく１又は複数の別の通信ネットワークを介して受けるアクセスを制御する。
【解決手段】 記憶制御システム３のチャネルプロセッサ４０は、ターゲットＩＰアドレスを含むログイン要求をターゲットホストから受け、そのターゲットＩＰアドレスと、ｉＳＣＳＩポート３８に記憶されている自機ＩＰアドレスとの比較結果に基づいて、ターゲットホストを含むターゲットネットワークについて、記憶制御システム３を含む通信ネットワーク２に対するターゲットネットワークのネットワーク相対論理距離を判断する。そして、チャネルプロセッサ４０は、その判断されたネットワーク相対論理距離に対応した許可アクセス種別のアクセスを、ターゲット上位装置に対して許可する。
【選択図】図１

Description

本発明は、外部装置から通信ネットワークを介して受けるアクセスを制御するための技術に関し、具体的には、例えば、通信ネットワークを介して受ける、ｉＳＣＳＩプロトコルに従うアクセスを制御する記憶制御装置に関する。

例えば、複数の上位装置からファイバチャネル（Ｆａｂｒｉｃ）を介して受けるアクセスを制御するファイバチャネル接続記憶制御装置が既に知られている（例えば特許文献１）。

特開平１０−３３３８３９号公報。

ところで、ＩＰ−ＳＡＮ（Internet Protocol - Storage Area Network）では、ｉＳＣＳＩ（ＳＣＳＩは「small computer system interface」の略語）と呼ばれる通信プロトコルに基づく通信が可能であることが知られている。ｉＳＣＳＩプロトコルに基づく通信技術では、どのようにして不正アクセスを防止しセキュリティを向上させるかが一つの課題と考えられる。

しかし、ｉＳＣＳＩプロトコルに基づくアクセスを制御するための技術に、特許文献１に記載のような、ファイバチャネルに基づくアクセス制御技術を単に転用することはできない。なぜなら、記憶制御装置がファイバチャネルを介して受けるアクセスは、必ず、同一通信ネットワークに接続された上位装置からのアクセスであり、ｉＳＣＳＩプロトコルに基づくアクセスのように、別の通信ネットワークに接続された不特定ノードからのアクセスであることは無いからである。具体的には、ｉＳＣＳＩプロトコルでは、例えば、或るＬＡＮ（Local Area Network）に接続された記憶制御装置は、別のＬＡＮ及びそれが接続されたインターネットを介して不特定情報処理端末からアクセスを受ける場合があり得る。

このように、ｉＳＣＳＩプロトコルに基づく通信では、どのようにアクセス制御を行って高セキュリティを提供するかが一つと課題と考えられる。また、この種の課題は、ｉＳＣＳＩプロトコルに限らず、同一の通信ネットワークだけでなく１又は複数の別の通信ネットワークを介して受けるアクセスを受けるようになったシステムにも同様に存在するものと考えられる。

従って、本発明の目的は、同一の通信ネットワークだけでなく１又は複数の別の通信ネットワークを介して受けるアクセスを制御することにある。具体的には、例えば、ｉＳＣＳＩプロトコルに基づいて受けるアクセスを制御することにある。

本発明の他の目的は、後述の説明から明らかになるであろう。

本発明の第１の側面に従う記憶制御装置は、１又は複数の通信ネットワークを介して上位装置に接続された記憶制御装置であって、１又は複数のメモリと、データ記憶装置（例えば物理的又は論理的な記憶デバイス）と、チャネルアダプタとを備える。

前記１又は複数のメモリ（例えば、不揮発性メモリ）は、上位装置が接続されるターゲット通信ネットワークの属性を表す複数種類のターゲットネットワーク属性（例えば、論理的な位置、ネットワーク種類等）にそれぞれ対応した複数種類の許可アクセス種別を記憶する。

前記データ記憶装置は、前記上位装置から受信するライトデータ及び／又は前記上位装置に送信されるリードデータを記憶する。

前記チャネルアダプタは、前記上位装置からのアクセスを１又は複数の通信ネットワークを介して受けるｉＳＣＳＩポートと、前記ｉＳＣＳＩポートから出力された情報に対する処理を行う１又は複数のチャネルプロセッサとを備える。前記チャネルアダプタは、ＩＰアドレスを含むアクセスを前記ターゲット上位装置から前記ｉＳＣＳＩポートで受け、前記ＩＰアドレスに基づいて、前記ターゲット通信ネットワークの種別を判断して、前記判断されたターゲット通信ネットワーク種別に対応した許可アクセス種別を、前記１又は複数のメモリ内の情報を参照することにより識別し、前記識別された許可アクセス種別の、前記データ記憶装置に対するアクセスを、前記ターゲット上位装置に対して許可する。この一連の処理は、例えば、ｉＳＣＳＩポートが有するプロトコル処理部及び／又は上記チャネルプロセッサが単独で又は協働して行っても良い。

ここで、「通信ネットワーク」とは、例えば、物理的又は論理的に区切られた一つの通信ネットワーク（例えばＬＡＮ又はインターネット）のことを意味し、複数の通信ネットワークを１又は複数種類の所定中継装置を介して接続することで、一つの通信ネットワーク群を構成することができる。具体的には、例えば、第１中継部（例えばスイッチ）に、記憶制御装置を含む１又は複数の機器が接続されることで、１又は複数の機器が接続された第１通信ネットワーク（例えばＬＡＮ）が構築される。同様に、第２中継部（例えばスイッチ）に１又は複数の第１上位装置が接続されることで、１又は複数の第１上位装置が接続された第２通信ネットワーク（例えばＬＡＮ）が構築される。そして、第１中継部と第２中継部とが所定中継装置（例えばゲートウェイ）を介して接続されることにより、前記第１通信ネットワークと前記第２通信ネットワークとを含んだ通信ネットワーク群が構築される。

また、上位装置からのアクセスに含まれる「ＩＰアドレス」は、アクセス元の上位装置が接続されたターゲット通信ネットワークにおいて割当てられたアクセス元上位装置それ自身のＩＰアドレスであっても良いし、ターゲット通信ネットワークを構築するための所定中継部に割当てられたグローバルＩＰアドレスであっても良い。

また、データ記憶装置は、例えば、１又は複数のデバイス識別コード（例えば後述の論理ユニット番号）がそれぞれ割当てられた１又は複数の論理デバイスであっても良い。記憶制御装置は、１又は複数のチャネルアダプタの各々に１以上のｉＳＣＳＩポートを備え、それら１以上のｉＳＣＳＩポートの各々には、そのｉＳＣＳＩポートにアクセスした上位装置がアクセス可能な１又は２以上の論理デバイスが割当てられていても良い。そして、各ｉＳＣＳＩポートのローカルメモリ又は別のメモリには、各ｉＳＣＳＩポートに割当てられた１又は２以上の論理デバイスのデバイス識別コードが記憶されても良い。それにより、例えば、デバイス識別コードを含んだアクセスをチャネルアダプタの或るｉＳＣＳＩポートが受けた場合、チャネルアダプタは、そのｉＳＣＳＩポートに割当てられたデバイス識別コードと、上記アクセスに含まれるデバイス識別コードとが一致するか否かを判別し、一致しなければ、アクセスを許可せず、一致すれば、アクセスを許可するようにしても良い。

この記憶制御装置の第１の好適な実施形態では、前記１又は複数のメモリは、複数の上位装置にそれぞれ対応した複数の上位装置識別情報を記憶する。前記チャネルアダプタは、前記ＩＰアドレス及びターゲット上位装置識別情報を含むアクセスを前記ターゲット上位装置から受けた場合、そのターゲット上位装置識別情報が前記１又は複数のメモリに記憶されていなければ、前記上位装置に対してアクセスを許可しない。

なお、上位装置識別情報は、例えば、ｉＳＣＳＩネーム、ＭＡＣアドレス又は上位装置の製造シリアル番号等である。

この記憶制御装置の第２の好適な実施形態では、前記１又は複数のメモリは、前記ｉＳＣＳＩポート又は前記記憶制御装置に割当てられた自装置ＩＰアドレスを記憶する。前記ターゲットネットワーク属性は、前記記憶制御装置が接続される自装置通信ネットワークと前記ターゲット通信ネットワークとの論理的な距離を表すネットワーク論理距離である。前記複数種類のアクセス種別は、それぞれ、前記複数種類のネットワーク論理距離に対応付けられており、且つ、前記複数種類のアクセス種別の各々は、対応付けられた前記ネットワーク論理距離が大になればなるほど、前記ターゲット上位装置の前記データ記憶装置に対するアクセス可能行為数が少ないことを意味する種別になっている。前記チャネルアダプタは、前記自装置ＩＰアドレスと前記ＩＰアドレスとに基づいて、前記ネットワーク論理距離を判断する。

この記憶制御装置の第３の好適な実施形態では、上記第２の好適な実施形態において、前記ネットワーク論理距離が小（例えば、自装置通信ネットワークとの距離がゼロである場合を含んでも良い）に対応した許可アクセス種別は、前記上位装置に対して前記データ記憶装置へのリード及びライトの両方を許可することを意味する種別である。前記ネットワーク論理距離が中に対応した許可アクセス種別は、前記上位装置に対して前記データ記憶装置へのリード及びライトのうちリードのみを許可することを意味する種別である。前記ネットワーク論理距離が大に対応した許可アクセス種別は、前記上位装置に対して前記データ記憶装置へのリード及びライトのうちうちのいずれも許可しないことを意味する種別である。

ここで、例えば、ネットワーク論理距離は、前記自装置通信ネットワークと前記ターゲット通信ネットワークとを接続するための中継装置の数が多くなればなるほど大になっても良い。或いは、例えば、ネットワーク論理距離は、中継装置の数の多少に関わらず、所定種類の論理的又は物理的な中継デバイスが介在される毎に大になっても良い。換言すれば、例えば、第１通信ネットワークと第２通信ネットワークとの間に、どんな種類の論理的又は物理的な中継デバイスが幾つ介在するかによって、第１と第２の通信ネットワーク間のネットワーク論理距離が異なっても良い。また、例えば、第１通信ネットワークと第２通信ネットワークとの間に、どんな種類の通信プロトコルが介在するかによって、第１と第２の通信ネットワーク間のネットワーク論理距離が異なっても良い。具体的には、例えば、実質的に一種類の通信プロトコル（一例として、ｉＳＣＳＩプロトコルのみ）しか存在しないのであれば、ネットワーク論理距離は小さく、実質的に複数種類の通信プロトコル（一例として、ｉＳＣＳＩプロトコルとＦＣ（ファイバチャネル）プロトコル）が存在するのであれば、ネットワーク論理距離は大きいとされても良い。

本発明の第２の側面に従うアクセス制御装置は、１又は複数の通信ネットワークを介して上位装置に接続されたアクセス制御装置であって、ターゲット上位装置（例えばアクセス元上位装置）からのアクセスを１又は複数の通信ネットワークを介して受けるアクセス受け手段と、アクセス制御手段とを備える。アクセス制御手段は、前記ターゲット上位装置からのアクセスに含まれる情報（例えばＩＰアドレス）に基づいて、前記ターゲット上位装置が接続されるターゲット通信ネットワークに関する属性であるターゲットネットワーク属性を識別し、識別されたターゲットネットワーク属性に基づいて、前記ターゲット上位装置に対して許可するアクセス種別を制御する。

このアクセス制御装置の第１の好適な実施形態では、アクセス制御装置は、前記ターゲット通信ネットワークの論理的位置及び／又は種別を表す複数種類のターゲットネットワーク位置／種別にそれぞれ対応した複数種類の許可アクセス種別を記憶するアクセス制御用情報記憶手段（例えば、メモリ又はハードディスク）を更に備える。前記アクセス制御手段は、前記ターゲット上位装置からのアクセスに含まれる情報（例えばＩＰアドレス）に基づいて、前記ターゲットネットワーク位置／種別を識別し、識別されたターゲットネットワーク位置／種別に対応した許可アクセス種別を、前記アクセス制御用情報記憶手段が記憶する情報を参照することにより識別し、前記識別された許可アクセス種別に対応したアクセスを前記ターゲット上位装置に対して許可する。

ターゲットネットワーク位置／種別としては、例えば、自装置通信ネットワークから論理的にどの程度離れているかを段階的に又は連続的に示す遠隔距離レベルであっても良いし、ＬＡＮ、ＳＡＮ等の種別それ自体を表したものであっても良い。

このアクセス制御装置の第２の好適な実施形態では、上記第１の好適な実施形態において、前記アクセス制御手段は、前記ターゲット上位装置のターゲットＩＰアドレスを含むアクセスを前記ターゲット上位装置から受け、前記ターゲットＩＰアドレスに基づいて、前記ターゲットネットワーク位置を判断する。

ここで、例えば、「ターゲットＩＰアドレス」は、アクセス元の上位装置が接続されたターゲット通信ネットワークにおいて割当てられたアクセス元上位装置それ自身のＩＰアドレスであっても良いし、ターゲット通信ネットワークを構築するための所定中継部に割当てられたグローバルＩＰアドレスであっても良い。

このアクセス制御装置の第３の好適な実施形態では、上記第１の好適な実施形態において、前記アクセス制御用情報記憶装置は、前記アクセス制御装置に割当てられた自装置ＩＰアドレスを更に記憶する。前記ターゲットネットワーク位置は、前記アクセス制御装置が接続される自装置通信ネットワークと前記ターゲット通信ネットワークとの論理的な距離を表すネットワーク論理距離である。前記複数種類のアクセス種別は、それぞれ、前記複数種類のネットワーク論理距離に対応付けられており、且つ、前記複数種類のアクセス種別の各々は、対応付けられた前記ネットワーク論理距離が大になればなるほど、前記ターゲット上位装置のアクセス可能行為数が少ないことを意味する種別になっている。前記アクセス制御手段は、前記ターゲット上位装置のターゲットＩＰアドレスを含むアクセスを前記ターゲット上位装置から受け、前記自装置ＩＰアドレスと前記ターゲットＩＰアドレスとに基づいて、前記ネットワーク論理距離を判断する。

このアクセス制御装置の第４の好適な実施形態では、アクセス制御装置は、複数の上位装置にそれぞれ対応した複数の上位装置識別情報を記憶するアクセス制御用情報記憶装置を更に備える。前記アクセス制御手段は、前記ターゲット上位装置のターゲット上位装置識別情報を含むアクセスを前記ターゲット上位装置から受けた場合、そのターゲット上位装置識別情報が前記アクセス制御用記憶装置に記憶されていなければ、前記ターゲット上位装置に対してアクセスを許可しない。

本発明に従う記憶制御装置によれば、アクセス元であるターゲット上位装置が接続されるターゲット通信ネットワークの位置に基づいて、ターゲット上位装置からのアクセスの制御が行われる。これにより、１又は複数の通信ネットワークを介してアクセスを受ける場合に、アクセス元がどの通信ネットワークに接続された上位装置であるかに基づいたアクセス制御が可能である。

本発明に従うアクセス制御装置によれば、ターゲット上位装置からのアクセスに含まれる情報に基づいて、ターゲット上位装置が接続されるターゲット通信ネットワークに関する情報であるターゲットネットワーク情報を識別し、識別されたターゲットネットワーク情報に基づいて、ターゲット上位装置に対して許可するアクセス種別が制御される。これにより、１又は複数の通信ネットワークを介してアクセスを受ける場合に、アクセス元がどの通信ネットワークに接続された上位装置であるかに基づいたアクセス制御が可能である。

以下、１又は複数の通信ネットワークを介してアクセスを受ける場合として、ｉＳＣＳＩプロトコルに基づくアクセスを受ける場合を例に採り、図面を参照して、本発明の一実施形態について説明する。

図１は、本発明の一実施例に係るシステムの全体構成を示す。

このシステムでは、複数の通信ネットワークが互いに接続されて一つのネットワーク群が構成されている。複数の通信ネットワークには、記憶制御システム３が含まれた通信ネットワーク２と、その通信ネットワーク２と相対的に所定論理距離（以下、「ネットワーク相対論理距離」と言う）を隔てて離れている通信ネットワーク４又は６とが含まれている。具体的には、例えば、複数の通信ネットワークには、ネットワーク相対論理距離がゼロ又は小程度の「小遠隔ネットワーク」２と、ネットワーク相対論理距離が中程度の「中遠隔ネットワーク」４と、ネットワーク相対論理距離が大程度の「大遠隔ネットワーク」６とが含まれている。

ここで、「ネットワーク相対論理距離がゼロ又は小程度」とは、例えば、記憶制御システム３が存在する通信ネットワーク２それ自体であること、又は、その通信ネットワーク２とそれの接続先ネットワークとの間に介在する物理的又は論理的な介在デバイスの種類が後述の小遠隔ネット側スイッチ７と同種の中継器であること（或いは、介在中継器の数が少ないこと（例えば１個であること））を意味する。

また、「ネットワーク相対論理距離が中程度」とは、例えば、小遠隔ネットワーク２とそれの接続先ネットワークとの間に所定種類の上記介在デバイス（例えばゲートウェイ）があること（或いは、介在中継器の数が中程度であること））を意味する。

また、「ネットワーク相対論理距離が大程度」とは、例えば、小遠隔ネットワーク２とそれの接続先ネットワークとの間に上記所定種類の上記介在デバイス（例えばゲートウェイ）に代えて又は加えて、別の所定種類の上記介在デバイス（例えばファイアウォール）があること（或いは、介在中継器の数が多いこと））を意味する。

小遠隔ネットワーク２は、小遠隔ネット側スイッチ７等のネットワーク構築用機器（例えばハブ）に１又は複数のノード機器が接続されることによって構築されたものである。小遠隔ネット側スイッチ７には、例えば、１又は複数のホスト装置（以下、「小遠隔ネット接続ホスト」と言う）５と、ホスト装置５、１５又は３１からアクセスを受ける記憶制御システム３とが接続される。

小遠隔ネット接続ホスト５は、パーソナルコンピュータ、ＰＤＡ（Personal Digital Assistants）等のコンピュータマシンである。小遠隔ネット接続ホスト５は、ｉＳＣＳＩプロトコルに基づく通信を行うためのｉＳＣＳＩポート２１を備えている。このｉＳＣＳＩポート２１が小遠隔ネット側スイッチ７に接続されることにより、小遠隔ネット接続ホスト５がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。ｉＳＣＳＩポート２１には、メモリ等の記憶媒体（以下、「ポートメモリ」と言う）が備えられており、そのポートメモリに、小遠隔ネット接続ホスト５に割当てられたＩＰアドレスと、固有のｉＳＣＳＩネームとが格納されている。

記憶制御システム３は、複数の物理ディスク群（例えばハードディスク群）を含んだ記憶装置２３と、ホスト装置５、１５又は３１からの記憶装置２３へのアクセスを制御する記憶制御部２５とを備える。記憶制御部２５は、ホスト装置５、１５又は３１との間の通信を制御する複数のチャネルアダプタセット３７を備える。チャネルアダプタセット３７に含まれる各チャネルアダプタには、ｉＳＣＳＩポート３８が搭載されている。このｉＳＣＳＩ３８が小遠隔ネット側スイッチ７に接続されることにより、記憶制御システム３がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。

中遠隔ネットワーク４は、中遠隔ネット側スイッチ９等のネットワーク構築用機器（例えばハブ）に１又は複数のノード機器が接続されることによって構築されたものである。中遠隔ネット側スイッチ９には、１又は複数のホスト装置（以下、「中遠隔ネット接続ホスト」と言う）１５が接続される。

中遠隔ネット接続ホスト１５は、小遠隔ネット接続ホスト５と同様に、パーソナルコンピュータ、ＰＤＡ（Personal Digital Assistants）等のコンピュータマシンである。中遠隔ネット接続ホスト１５も、ｉＳＣＳＩポート１３を備えており、このｉＳＣＳＩポート１３が中遠隔ネット側スイッチ９に接続されることにより、このホスト１５がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。ｉＳＣＳＩポート１３には、ポートメモリが備えられており、そのポートメモリに、中遠隔ネット接続ホスト１５に割当てられたＩＰアドレスと、固有のｉＳＣＳＩネームとが格納されている。

大遠隔ネットワーク６は、インターネット１に１又は複数のノード機器が通信可能に接続されることによって構築されたものである。１又は複数のノード機器は、例えば、ホスト装置（以下、「大遠隔ネット接続ホスト」と言う）３１である。

大遠隔ネット接続ホスト３１は、小遠隔ネット接続ホスト５と同様に、パーソナルコンピュータ、ＰＤＡ（Personal Digital Assistants）等のコンピュータマシンである。大遠隔ネット接続ホスト３１も、ｉＳＣＳＩポート３３を備えており、このｉＳＣＳＩポート３３がインターネットに接続されることにより、このホスト３１がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。ｉＳＣＳＩポート３３には、ポートメモリが備えられており、そのポートメモリに、大遠隔ネット接続ホスト３３に割当てられたＩＰアドレスと、固有のｉＳＣＳＩネームとが格納されている。

以上の小遠隔ネットワーク２の小遠隔ネット側スイッチ７と、中遠隔ネットワーク４の中遠隔ネット側スイッチ９とが、ゲートウェイ３０（例えば、ｉＳＣＳＩプロコルに基づくコマンドとＦＣプロトコルに基づくコマンドとを互いに変換する等の所定プロトコル変換機）を介して接続されている。また、ゲートウェイ３０は、ファイアウォール２９を介してインターネット１に接続されている。これにより、小遠隔ネットワーク２が、中遠隔ネットワーク４及び大遠隔ネットワーク６の双方と接続されている。この環境の下で、記憶制御システム３は、どのホスト５、１５及び３１とも通信可能になっている。

図２は、記憶制御システム３のハードウェア構成を示すブロック図である。

記憶制御システム３は、例えばＲＡＩＤ（Redundant
Array of Independent Inexpensive Disks）システムであり、記憶装置２３として、アレイ状に配設された複数のディスク型記憶装置を有する１以上の物理ディスク群３９を備える。それら物理ディスク群３９により提供される物理的な記憶領域上には、論理的な記憶領域である１又は複数の論理デバイス（以下、「Logical Device」を略して「ＬＤＥＶ」と表記）３５が設定される。各ＬＤＥＶ３５には、そのＬＤＥＶの識別情報（以下、「ＬＤＥＶ＃」と表記）が割当てられており、且つ、各ＬＤＥＶ＃には、ホスト装置５、１５又は３１が指定可能な論理ユニット番号（以下、「Logical
Unit Number」を略して「ＬＵＮ」と表記）が対応付けられている。

また、記憶制御システム３は、１又は複数のチャネルアダプタセット３７と、キャッシュメモリ４３と、共有メモリ４７と、１又は複数のディスクアダプタセット４１と、スイッチング制御部４５とを備えている。

各チャネルアダプタセット３７には、複数（典型的には２つ）のチャネルアダプタ３７Ａ、３７Ｂが含まれており、それらアダプタ３７Ａ、３７Ｂは、実質的に同一の構成になっている。これにより、例えば、一方のチャネルアダプタ３７Ａを介してホスト５、１５又は３１が所定ＬＤＥＶにアクセスできなくなった場合には、他方のチャネルアダプタ３７Ｂを介して同一の所定ＬＤＥＶにアクセスすることが行われる（これは、ディスクアダプタセット４１についても実質的に同様である）。チャネルアダプタ３７Ａ、３７Ｂも実質的に同一の構成なので、チャネルアダプタ３７Ａについて代表的に説明する。

チャネルアダプタ３７Ａは、１又は複数（例えば２つ）のｉＳＣＳＩポート３８、３８を備え、ｉＳＣＳＩポート３８を介して１又は複数のホスト５、１５又は３１と通信可能に接続される。チャネルアダプタ３７Ａは、ハードウェア回路、ソフトウェア、又はそれらの組み合わせで構成することができ、この記憶制御システム３とホスト５、１５又は３１との間のデータ通信を行う。ｉＳＣＳＩポート３８には、インターフェース１２０、バッファ１２１、ローカルメモリ１２３及びプロトコル処理部１２２が備えられる。インターフェース１２０は、小遠隔ネット側スイッチ７と物理的に接続されるケーブル口を有したものである。バッファ１２１は、ホスト５、１５又は３１と記憶制御システム３との間で送受信されるデータが一時的に格納されるメモリである。ローカルメモリ１２３は、例えば不揮発性メモリであり、ＩＰアドレスと、ｉＳＣＳＩネームと、このｉＳＣＳＩポート３８がアクセス可能なアクセス可能ＬＵＮとを記憶する。プロトコル処理部１２２は、所定内部バス（例えばＰＣＩバス）を介してチャネルプロセッサ４０、４０と通信可能に接続されており、バッファ１２１及びローカルメモリ１２３内の情報に基づいて、後述するＴＣＰ／ＩＰ、ｉＳＣＳＩ及びＳＣＳＩプロトコルに従うプロトコル処理を実行する。なお、ＴＣＰ／ＩＰ、ｉＳＣＳＩ及びＳＣＳＩプロトコルに従うプロトコル処理を実行する機能は、プロトコル処理部１２２に代えてチャネルプロセッサ４０が備えても良い。

また、チャネルアダプタ３７Ａには、各ｉＳＣＳＩポート３８に通信可能に接続される１以上のマイクロプロセッサ（以下、「チャネルプロセッサ」と言う）４０も搭載される。更に、チャネルアダプタ３７Ａには、共有メモリ４７と通信可能に接続されるマイクロプロセッサアダプタ（以下、「ＭＰＡ」と略記）４２と、キャッシュメモリ４３と通信可能に接続されるデータ転送アダプタ（以下、「ＤＴＡ」と略記）４４とが搭載される。チャネルプロセッサ４０が外部プロセッサ（具体的には、ディスクアダプタ４１Ａ、４１Ｂ上の図示しないマイクロプロセッサ）との間で制御情報（例えばプロセッサ間メッセージ）を送受信する場合には、ＭＰＡ４２を介して制御情報が送受信される。また、ホスト５、１５又は３１からＬＤＥＶ３５にライトデータが書き込まれる場合、及び、ＬＤＥＶ３５から読み出されたリードデータが記憶制御システム３からホスト５、１５又は３１に出力される場合には、ライトデータ及びリードデータはＤＴＡ４４を通過する。

各チャネルプロセッサ４０は、例えば、共有メモリ４７の制御情報格納領域５０をポーリングしＭＰＡ４２を介して制御情報を取得したり、キャッシュメモリ４３に格納されているリードデータを読み出してホスト５、１５又は３１に送信したり、ホスト５、１５又は３１から受信した書込み対象のデータ（つまりライトデータ）をキャッシュメモリ４３に格納したりする。

キャッシュメモリ４３は、揮発性又は不揮発性のメモリである。キャッシュメモリ４３には、チャネルアダプタ３７Ａ、３７Ｂからディスクアダプタセット４１のディスクアダプタ４１Ａ、４１Ｂへ渡されるライトデータ、及び、ディスクアダプタ４１Ａ、４１Ｂからチャネルアダプタ３７Ａ、３７Ｂへ渡されるリードデータが一時的に格納される。

共有メモリ４７は、不揮発性のメモリであり、例えば、制御情報格納領域５０と、データテーブル群５１とを備える。制御情報格納領域５０には、上述した制御情報が格納される。

各ディスクアダプタセット４１は、各物理ディスク群３９毎に備えられている。ディスクアダプタ４１Ａ、４１Ｂは、図示しない１又は複数のマイクロプロセッサを備えており、そのマイクロプロセッサの処理により、ホスト装置５、１５又は３１から指定されたＬＵＮに対応のＬＤＥＶ＃を有するＬＤＥＶ３５に対してデータの読出し又は書込みを行なう。

スイッチング制御部４５は、例えば、高速スイッチング動作によりデータ伝送を行う超高速クロスバスイッチ等のような高速バスとして構成することができる。スイッチング制御部４５は、各チャネルアダプタ３７Ａ、３７Ｂと、各ディスクアダプタ４１Ａ、４１Ｂと、共有メモリ４７と、キャッシュメモリ４３とを相互に通信可能に接続する。上述した各チャネルアダプタ３７Ａ、３７Ｂと、各ディスクアダプタ４１Ａ、４１Ａと、共有メモリ４７と、キャッシュメモリ４３との間のデータ又はコマンドの授受は、スイッチング制御部４５を介して行われる。

以上が、この実施形態に係る記憶制御システム３の概要である。この記憶制御システム３は、ホスト５、１５又は３１からＩ／Ｏ要求を受け、そのＩ／Ｏ要求の内容に基づく処理を実行する。

以下、記憶制御システム３におけるＩ／Ｏ要求の処理流れの概要を、ホスト装置５がＩ／Ｏ要求を発行した場合を例に採り説明する。なお、その説明では、発行されたＩ／Ｏ要求がリード要求を示す場合とライト要求を示す場合とに分けて説明する。

（１）Ｉ／Ｏ要求がリード要求を示す場合。

ホスト装置５から発行されたＩ／Ｏ要求は、ｉＳＣＳＩポート３８のバッファ１２１に格納される。チャネルプロセッサ４０は、その格納されたＩ／Ｏ要求を読出し、そのＩ／Ｏ要求においてリード要求されているデータ（つまりリードデータ）がキャッシュメモリ４３に存在するか否かの判別を行う。

その判別の結果が肯定的の場合、すなわち、リードデータがキャッシュメモリ４３に存在する場合（キャッシュヒットした場合）、チャネルプロセッサ４０は、キャッシュメモリ４３からＤＴＡ４４を介してリードデータを取得し、そのリードデータを、ｉＳＣＳＩポート３８を介してホスト装置５に送信する。

一方、上記判別の結果が否定的の場合、すなわち、リードデータがキャッシュメモリ４３に存在しない場合（キャッシュミスした場合）、チャネルプロセッサ４０は、所定ＬＤＥＶ３５内のリードデータをいったんキャッシュメモリ４３にリードすることをディスクアダプタ４３Ａのマイクロプロセッサ（以下、「ディスクプロセッサ」と言う）に指示するための制御情報をＭＰＡ４２を介して共有メモリ４７に格納する。ディスクプロセッサがその制御情報を読み出すことにより、ディスクプロセッサによって、所定ＬＤＥＶ３５からリードデータがリードされてキャッシュメモリ４３に格納される。その後、チャネルプロセッサ４０は、そのリードデータをキャッシュメモリ４３から取得してホスト装置５に送信する。

（２）Ｉ／Ｏ要求がライト要求を示す場合。

ホスト装置５から出力された、ライトデータを含んだＩ／Ｏ要求は、ｉＳＣＳＩポート３８のバッファ１２１に格納される。チャネルプロセッサ４０は、その格納されたＩ／Ｏ要求を読出し、キャッシュメモリ４３上の所定領域（以下、所定キャッシュスロット）にデータが存在するか否かの判別を行う。

その判別の結果が肯定的の場合、すなわち、データが所定のキャッシュスロットに存在する場合（キャッシュヒットした場合）、チャネルプロセッサ４０は、上記読み出したＩ／Ｏ要求に含まれているライトデータを、上記所定のキャッシュスロット内のデータに上書きする。

一方、上記判別の結果が否定的の場合、すなわち、データが所定のキャッシュスロットに存在しない場合（キャッシュミスした場合）、チャネルプロセッサ４０は、上記読み出したＩ／Ｏ要求から特定されるＬＤＥＶからデータをいったんキャッシュメモリ４３にリードすることをドライブ制御部１０７に指示する。それにより、ディスクアダプタ１０７によって、そのデータ記憶領域からデータがリードされて所定のキャッシュスロットに格納されたならば、チャネルプロセッサ４０は、上記所定のキャッシュスロットに格納されたデータに、上記読み出したＩ／Ｏ要求に含まれているライトデータを上書きする。

このようにして、キャッシュメモリ４３にライトデータが書き込まれたときは、当該ライト要求は終了したものとして、記憶制御システム３０からホスト装置５に終了報告が返される。なお、キャッシュメモリ４３にライトデータが書き込まれた時点では、一般に、そのデータは所定ＬＤＥＶ３５には反映されておらず、その後に、ディスクプロセッサによって、キャッシュメモリ４３からライトデータが読み出され所定ＬＤＥＶに書き込まれる。

以上が、記憶制御システム３におけるデータのリード及びライトの処理流れの概要である。

以下、本実施形態に係るシステムについて、主要な部分について詳細に説明する。

図３及び図４は、共有メモリ４７に格納されるデータテーブル群５１の構成を示す。

データテーブル群５１には、図３に示すように、ホスト接続パラメータエントリテーブル（以下、「ＨＰテーブル」と表記）５３、ホスト管理テーブル５７、ＬＵＮ第１管理テーブル５９及びＬＵＮ第２管理テーブル６０が含まれている。また、データテーブル群５１には、図４に示すように、ＬＤＥＶ管理テーブル６１及び許可アクセス種別設定ルールテーブル６３が含まれている。

図３に示すように、ＨＰテーブル５３は、ホスト装置５、１５又は３１毎に用意されるテーブルである。このＨＰテーブル５３には、ＨＰテーブルＩＤ（識別情報）と共に、ｉＳＣＳＩプロトコルに基づく通信のために必要な種々の通信情報が登録される。その通信情報には、例えば、ホストｉＳＣＳＩネーム、ＩＰアドレス、ＴＣＰ／ＩＰオプション、ｉＳＣＳＩオプション、第１ｉＳＣＳＩパラメータ及び第２ｉＳＣＳＩパラメータが登録される。これらの情報のうち、ホストｉＳＣＳＩネーム、ＩＰアドレス、ＴＣＰ／ＩＰオプション、ｉＳＣＳＩオプション及び第１ｉＳＣＳＩパラメータは、ｉＳＣＳＩプロトコルに基づくホストからのログイン要求の際にそのホスト装置から受ける情報であり、第２ｉＳＣＳＩパラメータは、後述するネットワークアドレス判定時に決定される情報である。従って、「ホストｉＳＣＳＩネーム」は、そのログイン要求元のホスト装置（具体的にはそれのｉＳＣＳＩポート）に割当てられたｉＳＣＳＩネームである。「ＩＰアドレス」は、ログイン要求元のホスト装置（具体的にはそれのｉＳＣＳＩポート）に割当てられたＩＰアドレス（又は、そのホスト装置が接続されたネットワークにおける中継器（例えばゲートウェイ）に割当てられたグローバルＩＰアドレス）である。「ＴＣＰ／ＩＰオプション」は、例えば、ＴＣＰ／ＩＰプロトコル固有情報、ＤＨＣＰ（Dynamic Host Configuration
Protocol）使用有無、及び／又はＤＮＳ（Domain
Name System）使用有無を含んだ情報である。「ｉＳＣＳＩオプション」は、ｉＳＣＳＩプロトコル固有情報、ＣＨＡＰ（Challenge Handshake
Authentication Protocol）使用有無、及び／又はタイムアウト値を含んだ情報である。「第１ｉＳＣＳＩパラメータ」は、コネクション数及びｉＳＣＳＩ転送長／転送数の少なくとも１つを含む情報である。「第２ｉＳＣＳＩパラメータ」は、許可アクセス種別を含む情報である。許可アクセス種別には、複数種類があり、例えば、リード及びライトの両方を許可することを意味する「ＲＷ」、リード及びライトのうちリードのみを許可することを意味する「ＲＯ」、及び、リード及びライトのいずれも許可しないことを意味する「ＲＪＴ」（「reject」の略）がある。

ホスト管理テーブル５７には、ホスト装置からのアクセス制御に使用するための種々の情報が登録される。具体的には、例えば、ホスト管理テーブル５７には、複数のホストｉＳＣＳＩネームにそれぞれ対応したＨＰテーブルＩＤ、ＩＰアドレス及び許可アクセス種別が登録される。初期的には、ホストｉＳＣＳＩネームのみが登録されており、その他の情報はブランクの状態になっている。なお、ホスト５，１５又は３１から記憶制御システム３へのログイン要求のときに記憶制御システム３が受けたＩＰアドレスがグローバルＩＰアドレスの場合には、ホスト管理テーブル５７には、２種類以上のｉＳＣＳＩネームに対して同一のＩＰアドレスが設定される場合がある。

ＬＵＮ第１管理テーブル５９には、どのホスト装置からどのＬＵＮの指定を受け付けるかに関する情報が登録される。具体的には、例えば、ＬＵＮ第１管理テーブル５９には、複数のｉＳＣＳＩネーム（すなわち複数のホスト）の各々に対応した１以上のＬＵＮが登録される。これは、例えば、予めユーザによって初期的に完全な状態で用意される。また、適当なタイミングで、ユーザによって編集されても良い。

ＬＵＮ第２管理テーブル６０には、どのＬＵＮがどのＬＤＥＶ＃に対応付いているかに関する情報が登録される。具体的には、例えば、ＬＵＮ第２管理テーブル６０には、複数種類のＬＵＮにそれぞれ対応したＬＤＥＶ＃が登録されている。

図４に示すように、ＬＤＥＶ管理テーブル６１には、各ＬＤＥＶ３５に関する情報が登録される。具体的には、例えば、ＬＤＥＶ管理テーブル６１には、複数のＬＤＥＶ３５の各々に対応したＬＤＥＶ＃、開始アドレス、及びデータ記憶サイズ等が登録される。

許可アクセス種別設定ルールテーブル６３には、どのようなＩＰアドレスを受けた場合にログイン要求元ホストに対してどんなアクセス種別を許可するかに関する情報が登録される。具体的には、例えば、許可アクセス種別設定ルールテーブル６３には、複数種類のネットマスクの各々に対応した許可アクセス種別（例えば「ＲＷ」、「ＲＯ」及び「ＲＪＴ」のいずれか１つ）が登録されている。

なお、ネットマスクは、ホストのログイン要求の際に受けるログイン要求側のＩＰアドレス（以下、「ターゲットＩＰアドレス」）と、記憶制御システム３のｉＳＣＳＩポート３８に記憶されているＩＰアドレス（以下、「自機ＩＰアドレス」）とから、ログイン要求元ホストがどのようなネットワークに属するのかを判別するために使用されるものである。

例えば、ＩＰアドレスが、図示のように「.（ピリオド）」で区切られた４つの数字を含んでいる場合、ネットマスク「255.255.255.0」は、ターゲットＩＰアドレスと自機ＩＰアドレスとにおける初め（左側）の３つの数字が同じで最後の１つの数字が異なること、換言すれば、ネットワーク相対論理距離が小程度（例えばゼロ）であることを意味する。すなわち、例えば、小遠隔ネットワーク２（図１参照）に属する小遠隔ネット接続ホスト５に対しては、許可アクセス種別として「ＲＷ」が設定される。

また、ネットマスク「255.255.0.0」は、ターゲットＩＰアドレスと自機ＩＰアドレスとにおいける初めの２つの数字が同じで残りの２つの数字が異なること、換言すれば、ネットワーク相対論理距離が中程度であることを意味する。すなわち、例えば、中遠隔ネットワーク４（図１参照）に属する中遠隔ネット接続ホスト１５に対しては、許可アクセス種別として「ＲＯ」が設定される。

また、ネットマスク「255.0.0.0」は、ターゲットＩＰアドレスと自機ＩＰアドレスとが、最初の１つの数字が同じで残りの３つの数字が異なることを意味する。また、ネットマスク「0.0.0.0」は、ターゲットＩＰアドレスと自機ＩＰアドレスとには、同じ場所に同じ数字が全く存在しないことを意味する。これら２つのネットマスク「255.0.0.0」及び「0.0.0.0」は、換言すれば、ネットワーク相対論理距離が大程度であることを意味する。すなわち、例えば、大遠隔ネットワーク６（図１参照）に属する大遠隔ネット接続ホスト３１に対しては、許可アクセス種別として「ＲＪＴ」が設定される。

以上が、データテーブル群５１に含まれる各種テーブルについての説明である。なお、データテーブル群５１のうちの少なくとも１つのテーブルは、共有メモリ４７以外の場所、例えば、物理ディスク群３９或いはｉＳＣＳＩポート３８のローカルメモリ（例えば不揮発性メモリ）１２３に格納されていても良い。

図５は、ｉＳＣＳＩに関する通信におけるプロトコル構成を示す。図６は、その通信において送受信されるコマンドの構成を示す。

図５に示すように、ｉＳＣＳＩプロトコルに基づく通信のために、ホスト装置５（１５及び３１）には、下位層から上位層にかけて順に言うと、物理層及びデータリンク層７１、ＩＰプロトコル層７２、ＴＣＰプロトコル層７３、ｉＳＣＳＩプロトコル層７４、ＳＣＳＩプロトコル層７５及びＳＣＳＩアプリケーション層７６が備えられている。

一方、記憶制御システム３には、下位層から上位層にかけて順に言うと、物理層及びデータリンク層８１、ＩＰプロトコル層８２、ＴＣＰプロトコル層８３、ｉＳＣＳＩプロトコル層８４、ＳＣＳＩプロトコル層８５及びデバイスサーバ層８６が備えられている。

ホスト装置５のＳＣＳＩアプリケーション層７６からＳＣＳＩプロトコル層７５を介して出力されるコマンドは、図６（Ａ）に例示するように、コマンド及びデータ（又はコマンドのみ）を含んだコマンドフレーム（具体的には、例えば、ライト又はリード等のオペレーションコードが先頭バイトに含まれる６バイトのコマンドフレーム）である。そして、そのコマンドフレームが、ｉＳＣＳＩプロトコル層７４に到達し、その層７４からデータリンク層及び物理層７１から出力されると、図６（Ｂ）に示すような情報フレーム、すなわち、ＳＣＳＩコマンドパケットが、ｉＳＣＳＩＰＤＵユニット、ＴＣＰパケット、ＩＰパケット及びイーサネットヘッドパケットに包まれた情報フレームになる。なお、ＰＤＵは、Protocol Data Unitの略であり、このＰＤＵには、ホスト装置が記憶制御システム３に対して指定するＬＵＮや、ＣＤＢ（Command
Descriptor Block）が含まれる。

図５に示したプロトコル構成の下では、データリンク層及び物理層７１、８１同士、ＩＰプロトコル層７２、８２同士、ＴＣＰプロトコル層７３、８３同士、ｉＳＣＳＩプロトコル層７４、８４同士、ＳＣＳＩプロトコル層７５、８５同士、及びＳＣＳＩアプリケーション層７６とデバイスサーバ層８６同士が順にセッションすることにより、ホスト装置から出力されたＩ／Ｏ要求を記憶制御システム３が受信しその記憶制御システム３がそのＩ／Ｏ要求に基づく処理を実行することが行われる。

例えば、データリンク層及び物理層７１、８１同士のセッションでは、ＡＲＰ（Address Resolution Protocol）要求とそれに対するＡＲＰ応答が行われることにより、互いに、通信相手のＭＡＣ（Media
Access Control）アドレスが取得される。ＩＰプロトコル層７２、８２同士のセッションでは、ping要求とそれに対するping応答が行われることにより、互いに、相手（ＩＰアドレス）が存在するかの確認が行われる。具体的には、例えば、ログイン要求元ホストが接続されたネットワーク（以下、「ターゲットネットワーク」）から記憶制御システム３に送信される。また、ＴＣＰプロトコル層７３、８３同士のセッションでは、シーケンス番号を同期させるための３つのパケットがやりとりされる。また、ｉＳＣＳＩプロトコル層７４、８４同士のセッションでは、ログイン要求とそれに対するログイン応答がやり取りされるログインフェーズによって、ｉＳＣＳＩの接続が確立される（例えば、ＩＰアドレス、ログイン要求元ホストのｉＳＣＳＩネーム及びＴＣＰポート番号がターゲットネットワークから記憶制御システム３に送信される）。また、ＳＣＳＩプロトコル層７５、８５同士のセッションでは、リード要求又はライト要求を含んだＳＣＳＩコマンドがホストから記憶制御システム３へ送信される。ＳＣＳＩアプリケーション層７６とデバイスサーバ層８６同士のセッションでは、ライトデータがホストから記憶制御システム３に送信される、又は、リードデータが記憶制御システム３からホストへ送信される。

本実施形態では、記憶制御システム３は、上述したログインフェーズでターゲットネットワークから受ける情報に基づいて、ログイン要求元ホストからのアクセス（例えばログイン又はその後のアクセス）を制御する。以下、図７を参照して、記憶制御システム３において行われるログイン要求元ホストからのアクセス制御の処理流れを説明する。

まず、ｉＳＣＳＩポート３８のプロトコル処理部１２２が、ターゲットネットワークからログイン要求を受ける（ステップＳ１）。そのログイン要求には、例えば、ＴＣＰポート番号、ログイン要求元ホストのｉＳＣＳＩネーム、及びＩＰアドレス（例えば、ログイン要求元ホストのＩＰアドレス又はターゲットネットワークの中継器（例えばゲートウェイ）に割当てられたグローバルＩＰアドレス）が含まれている。これらの情報は、例えば、ユーザによってホストに入力されホストの記憶装置に記憶されて読み出されたものであっても良い。また、これらの情報は、ＤＮＳ（Domain Name System）等により、同一ネットワークに所属する１以上のホストを管理するホスト管理装置からログイン要求元ホストが取得した情報であっても良い。

Ｓ１において、ｉＳＣＳＩポート３８がログイン要求を受けた場合、ｉＳＣＳＩポート３８のプロトコル処理部１２２が、そのログイン要求に対してプロトコル処理（例えばパケットの開封処理）を行い、その処理によって得られた情報（例えば、ＴＣＰポート番号、ログイン要求元ホストのｉＳＣＳＩネーム、及びＩＰアドレス等）を、所定の又は任意に選択したターゲットチャネルプロセッサ４０に渡す。また、プロトコル処理部１２２は、ＨＰテーブルＩＤを生成し、それを、上記ターゲットチャネルプロセッサ４０に渡す。

ターゲットチャネルプロセッサ４０は、プロトコル処理部１２２から受けたＨＰテーブルＩＤを有する新たなＨＰテーブル５３（つまり、ログイン要求元ホストに対応した新たなＨＰテーブル５３）を準備する。そして、ターゲットチャネルプロセッサ４０は、プロトコル処理部１２２から受けた情報（例えば上記ｉＳＣＳＩネーム等）に基づいて、上記準備したＨＰテーブル５３に、上述したホストｉＳＣＳＩネーム、ＩＰアドレス、ＴＣＰ／ＩＰオプション、ｉＳＣＳＩオプション及び第１ｉＳＣＳＩパラメータを書き込む（Ｓ２）。

次に、チャネルプロセッサ４０は、新たなＨＰテーブル５３に書き込んだホストｉＳＣＳＩネームが、ホスト管理テーブル５７に予め登録されている複数のｉＳＣＳＩネームのうちのいずれかと一致するか否かを判別する（Ｓ３）。

Ｓ３の判別の結果、否定的な結果が得られた場合は（Ｓ３でＮ）、チャネルプロセッサ４０は、以後、ログイン要求元ホストに対して何ら応答しない（Ｓ８）。すなわち、ｉＳＣＳＩプロトコルの下では、チャネルプロセッサ４０は、ログイン要求に対するログイン応答して、ログインを許可することを意味する「ログイン許可」と、ログインを許可しないことを意味する「ログイン拒否」との２種類のログイン応答のいずれかを、プロトコル処理部１２２を介して返すことができるが、この実施形態では、Ｓ３で否定的な結果が得られた場合には、ログイン拒否さえも返さない（この場合、タイムアウトによりコネクションが切断されるようにする）。なお、この実施形態の一つの変形例として、許可アクセス種別「ＲＪＴ」については、応答種別として、「何も応答しない」と、「ログイン拒否の応答を返す」の２種類の応答種別を用意し、ターゲットネットワークの種別に基づいて応答種別が選択されるようにしても良い（例えば、ネットワーク相対論理距離が単なる大ならば、応答種別として「ログイン拒否」が選択され、当該論理距離が一層大ならば、応答種別として「何も応答しない」が選択されても良い）。

さて、一方、Ｓ３の判別の結果、肯定的な結果が得られた場合（Ｓ３でＹ）、チャネルプロセッサ４０は、ホスト管理テーブル５７における、ログイン要求元ホストのｉＳＣＳＩネーム（以下、「ターゲットｉＳＣＳＩネーム」と言う）に対応した情報項目欄を埋める（Ｓ４）。

具体的には、例えば、チャネルプロセッサ４０は、新たなＨＰテーブル５３のＨＰテーブルＩＤを、ターゲットｉＳＣＳＩネームに対応したＨＰテーブルＩＤ欄に書き込む。

また、チャネルプロセッサ４０は、ｉＳＣＳＩポート３８のプロトコル処理部１２２から受信したターゲットＩＰアドレスを、ターゲットｉＳＣＳＩネームに対応したＩＰアドレス欄に書き込む。

また、チャネルプロセッサ４０は、ターゲットＩＰアドレスと、ログイン要求を受けたｉＳＣＳＩポート３８が記憶する自機ＩＰアドレスとを、許可アクセス種別設定ルールテーブル６３（特に、それに記録されている複数種類のネットマスク）を用いて比較するネットワークアドレス判定を実行する。そして、チャネルプロセッサ４０は、その比較の結果に基づいて、複数の許可アクセス種別の中から任意の許可アクセス種別を選択し、選択された許可アクセス種別を、ターゲットｉＳＣＳＩネームに対応した許可アクセス種別欄に書き込む。

Ｓ４において、許可アクセス種別が「ＲＯ」及び「ＲＷ」の場合、チャネルプロセッサ４０は、ログイン許可をプロトコル処理部１２２を介してログイン要求元ホストに通知する（Ｓ５）。

Ｓ５の後、チャネルプロセッサ４０は、上記選択された許可アクセス種別を、上記新たなＨＰテーブル５３に第２ｉＳＣＳＩパラメータとして設定する（Ｓ６）。その後、チャネルプロセッサ４０は、ログイン要求元のiSCSIネームに対応した１又は複数個のＬＵＮをLUN第１管理テーブルから取得し、取得した１又は複数個のＬＵＮを、ログイン要求元ホストに通知する（Ｓ７）。これにより、ログインフェーズは終了し、以後、ＳＣＳＩコマンドを含んだイーサネットフレーム（図６の（Ｂ）参照）の受信が可能になる。

なお、Ｓ４において、許可アクセス種別が「ＲＪＴ」の場合、チャネルプロセッサ４０は、ログイン要求元ホストに対して何ら応答しない（Ｓ８）。

以上の一連の流れにより、ホスト管理テーブル５７に、各ホスト毎に対して設定した許可アクセス種別が登録され、ログインフェーズが終了する。この後、例えば次のようにしてアクセス制御が行われる。

まず、ｉＳＣＳＩポート３８が、ＬＵＮを含んだＩ／Ｏ要求（イーサネットフレーム）をホストから受け、そのＩ／Ｏ要求が、ｉＳＣＳＩポート３８のバッファ１２１に一時的に格納される。

その場合、プロトコル処理部１２２は、そのバッファ１２１に蓄積されたＩ／Ｏ要求に含まれているＬＵＮと、ローカルメモリ１２３に記憶されているアクセス可能ＬＵＮとが一致するか否かを判断し、否定的であれば所定のエラー処理を実行する（例えばＩ／Ｏ要求を消去する等して、そのＩ／Ｏ要求を実行しない）。

一方、その判断の結果が肯定的であれば、プロトコル処理部１２２がその旨をチャネルプロセッサ４０に通知する。チャネルプロセッサ４０は、バッファ１２１に蓄積されたＩ／Ｏ要求に含まれているＩＰアドレス又はｉＳＣＳＩネームに対応した許可アクセス種別をホスト管理テーブル５７から識別する。そして、チャネルプロセッサ４０は、識別された許可アクセス種別と、上記取得したＩ／Ｏ要求が指し示すアクセス種別とが適合するか否かを比較する。

その比較の結果が否定的である場合、チャネルプロセッサ４０は、所定のエラー処理を実行する。具体的には、例えば、許可アクセス種別が「ＲＯ」であるにも関わらず、Ｉ／Ｏ要求がライト要求であることが認識された場合（例えば、図６（Ａ）に示したＳＣＳＩコマンドの先頭バイトに「ライト」が記述されている場合）、チャネルプロセッサ４０は、Ｉ／Ｏ要求送信元ホストにエラー（例えば、不当コマンド受領）を応答する。なお、許可アクセス種別が「ＲＯ」の場合、ログインフェーズ終了後、Ｉ／Ｏ要求を受けたか否かに関わらず、チャネルプロセッサ４０は、リードコマンドは実行するがライトコマンドは実行できない旨を、ログイン要求元ホストに通知しても良い。また、例えば、許可アクセス種別が「ＲＷ」の場合、ログインフェーズ終了後、Ｉ／Ｏ要求を受けたか否かに関わらず、チャネルプロセッサ４０は、リードコマンド及びライトコマンドの双方を実行する旨を、ログイン要求元ホストに通知しても良い。

一方、上記比較の結果が肯定的であれば（例えば、許可アクセス種別が「ＲＷ」である場合にＩ／Ｏ要求がリード要求又はライト要求であることが認識された場合）、チャネルプロセッサ４０は、Ｉ／Ｏ要求送信元ホストのｉＳＣＳＩネームに対応した１又は複数のＬＵＮをＬＵＮ第１管理テーブル５９から取得し、取得した１又は複数のＬＵＮに、Ｉ／Ｏ要求に含まれるＬＵＮと一致するＬＵＮが存在するか否かを判定する。

その判定の結果が否定的であれば、チャネルプロセッサ４０は、Ｉ／Ｏ要求発行元ホストに違うＬＵＮを指定するよう指示する等の所定のエラー処理を実行する。

一方、その判定の結果が肯定的であれば、チャネルプロセッサ４０は、Ｉ／Ｏ要求に含まれるＬＵＮに対応したＬＤＥＶ＃をＬＵＮ第２管理テーブル６０から取得し、取得されたＬＤＥＶ＃に対応したＬＤＥＶに対してデータのリード又はライトを行うよう所定のディスクプロセッサに指示する。それにより、Ｉ／Ｏ要求発行元ホストが発行したＩ／Ｏ要求に基づく処理が完了する。

以上が、この実施形態についての説明である。なお、この実施形態では、例えば、図７を参照して説明した処理、及び、許可アクセス種別設定後のアクセス制御処理は、チャネルプロセッサ４０以外の要素、例えば、ｉＳＣＳＩポート３８のプロトコル処理部１２２が所定のマイクロプログラムにより実行しても良い。また、この実施形態では、例えば、ＩＰアドレス及びｉＳＣＳＩネームの少なくとも一方は、記憶制御システム３に固有のものであっても良いし、各ｉＳＣＳＩポート３８毎に固有のものであっても良い。また、ログインフェーズでは、ｉＳＣＳＩネームに代えて又は加えて、別の種類のホスト識別情報（例えばＭＡＣアドレス）がターゲットネットワークから記憶制御システム３に送信されても良い。

以上、上述した実施形態によれば、ターゲットＩＰアドレスと自機ＩＰアドレスとの比較の結果、換言すれば、上述したネットワーク相対論理距離に基づいて、許可アドレス種別が設定される。すなわち、ログイン要求元ホストが所属する通信ネットワークが、記憶制御システム３が含まれた通信ネットワーク２から論理的にどれだけ離れた場所にあるかに基づいて、そのログイン要求元ホストが行えるアドレス種別が決定される。換言すれば、記憶制御システム３が含まれる通信ネットワーク２を基準とする各通信ネットワーク２，４及び６のネットワーク相対論理距離に応じて、各通信ネットワーク２、４、６がレベル分けされ、各レベルに基づいて、許可アクセス種別が決定される。これにより、通信ネットワーク単位でアクセス制御を行うことが可能になる。

また、上述した実施形態によれば、不正アクセスの可能性が高いと考えられる通信ネットワークに所属するホストからのアクセスに対して記憶制御システム３は何ら応答を返さない。これにより、そのホストに対して記憶制御システム３の存在が知らされないので、高いセキュリティが図れる。

以上、本発明の好適な実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施形態及び変形例にのみ限定する趣旨ではない。本発明は、他の種々の形態でも実施することが可能である。例えば、本発明は、ｉＳＣＳＩプロトコルに基づく通信環境だけでなく、１又は複数の通信ネットワークを介してアクセスを受ける種々の環境下に適用可能である。また、例えば、リードやライトに限らず、他種のＳＣＳＩコマンドコード（抽象的にはアクセス種別）毎に、どのような応答を返すかが対応付けられたテーブルが用意されていて、ログイン後にＳＣＳＩコマンドを受けた場合、当該テーブルとそのＳＣＳＩコマンドコードに基づいて、応答の内容が選択されても良い。

本発明の一実施例に係るシステムの全体構成を示す。 記憶制御システム３のハードウェア構成を示すブロック図。 共有メモリ４７に格納されるデータテーブル群５１の構成を示す。 共有メモリ４７に格納されるデータテーブル群５１の構成を示す。 ｉＳＣＳＩに関する通信におけるプロトコル構成を示す。 ｉＳＣＳＩに関する通信において送受信されるコマンドの構成を示す。 記憶制御システム３において行われるログイン要求元ホストからのアクセス制御の処理流れを示す。

符号の説明

１・・・インターネット、２・・・小遠隔ネットワーク、３・・・記憶制御装置、４・・・中遠隔ネットワーク、５・・・小遠隔ネット接続ホスト、６・・・大遠隔ネットワーク、７・・・小遠隔ネット側スイッチ、９・・・中遠隔ネット側スイッチ、１３、２１及び３８・・・ｉＳＣＳＩポート、３５・・・ＬＤＥＶ（論理デバイス）、３７Ａ、３７Ｂ・・・チャネルアダプタ、３９・・・物理ディスク群、４０・・・チャネルプロセッサ、４１Ａ、４１Ｂ・・・ディスクアダプタ、４３・・・キャッシュメモリ、４５・・・スイッチング制御部、４７・・・共有メモリ

Claims (10)

1. １又は複数の通信ネットワークを介して上位装置に接続された記憶制御装置において、
   上位装置からのアクセスを１又は複数の通信ネットワークを介して受けるｉＳＣＳＩポートと、前記ｉＳＣＳＩポートから出力された情報に対する処理を行う１又は複数のチャネルプロセッサとを備えたチャネルアダプタと、
   前記上位装置が接続されるターゲット通信ネットワークの属性を表す複数種類のターゲットネットワーク属性にそれぞれ対応した複数種類の許可アクセス種別を記憶する１又は複数のメモリと、
   前記上位装置から受信するライトデータ及び／又は前記上位装置に送信されるリードデータを記憶するデータ記憶装置と
   を備え、
   前記チャネルアダプタは、ＩＰアドレスを含むアクセスを前記上位装置から前記ｉＳＣＳＩポートで受け、前記ＩＰアドレスに基づいて、前記ターゲット通信ネットワークの属性を判断して、前記判断されたターゲット通信ネットワーク属性に対応した許可アクセス種別を、前記１又は複数のメモリ内の情報を参照することにより識別し、前記識別された許可アクセス種別の、前記データ記憶装置に対するアクセスを、前記上位装置に対して許可する、
   記憶制御装置。
2. 前記１又は複数のメモリは、複数の上位装置にそれぞれ対応した複数の上位装置識別情報を記憶し、
   前記チャネルアダプタは、ＩＰアドレス及び上位装置識別情報を含むアクセスを前記上位装置から受けた場合、その上位装置識別情報が前記１又は複数のメモリに記憶されていなければ、前記上位装置に対してアクセスを許可しない、
   請求項１記載の記憶制御装置。
3. 前記１又は複数のメモリは、前記ｉＳＣＳＩポート又は前記記憶制御装置に割当てられた自装置ＩＰアドレスを記憶し、
   前記ターゲットネットワーク属性は、前記記憶制御装置が接続される自装置通信ネットワークと前記ターゲット通信ネットワークとの論理的な距離を表すネットワーク論理距離であり、
   前記複数種類のアクセス種別は、前記複数種類のネットワーク論理距離にそれぞれ対応付けられており、且つ、前記複数種類のアクセス種別の各々は、対応付けられた前記ネットワーク論理距離が大になればなるほど、前記上位装置の前記データ記憶装置に対するアクセス可能行為数が少ないことを意味する種別になっており、
   前記チャネルアダプタは、前記自装置ＩＰアドレスと前記ＩＰアドレスとに基づいて、前記ネットワーク論理距離を判断する、
   請求項１記載の記憶制御装置。
4. 前記ネットワーク論理距離が小に対応した許可アクセス種別は、前記上位装置に対して前記データ記憶装置へのリード及びライトの両方を許可することを意味する種別であり、
   前記ネットワーク論理距離が中に対応した許可アクセス種別は、前記上位装置に対して前記データ記憶装置へのリード及びライトのうちリードのみを許可することを意味する種別であり、
   前記ネットワーク論理距離が大に対応した許可アクセス種別は、前記上位装置に対して前記データ記憶装置へのリード及びライトのうちうちのいずれも許可しないことを意味する種別である、
   請求項３記載の記憶制御装置。
5. １又は複数の通信ネットワークを介して上位装置に接続されたアクセス制御装置において、
   ターゲット上位装置からのアクセスを１又は複数の通信ネットワークを介して受けるアクセス受け手段と、
   前記ターゲット上位装置からのアクセスに含まれる情報に基づいて、前記ターゲット上位装置が接続されるターゲット通信ネットワークに関する属性であるターゲットネットワーク属性を識別し、識別されたターゲットネットワーク属性に基づいて、前記ターゲット上位装置に対して許可するアクセス種別を制御するアクセス制御手段と
   を備えるアクセス制御装置。
6. 前記ターゲット通信ネットワークの論理的位置及び／又は種別を表す複数種類のターゲットネットワーク位置／種別にそれぞれ対応した複数種類の許可アクセス種別を記憶するアクセス制御用情報記憶手段を更に備え、
   前記アクセス制御手段は、前記ターゲット上位装置からのアクセスに含まれる情報に基づいて、前記ターゲットネットワーク位置／種別を識別し、識別されたターゲットネットワーク位置／種別に対応した許可アクセス種別を、前記アクセス制御用情報記憶手段が記憶する情報を参照することにより識別し、前記識別された許可アクセス種別に対応したアクセスを前記ターゲット上位装置に対して許可する、
   請求項５記載のアクセス制御装置。
7. 前記アクセス制御手段は、ターゲットＩＰアドレスを含むアクセスを前記ターゲット上位装置から受け、前記ターゲットＩＰアドレスに基づいて、前記ターゲットネットワーク位置を判断する、
   請求項６記載のアクセス制御装置。
8. 前記アクセス制御用情報記憶装置は、前記アクセス制御装置に割当てられた自装置ＩＰアドレスを更に記憶し、
   前記ターゲットネットワーク位置は、前記アクセス制御装置が接続される自装置通信ネットワークと前記ターゲット通信ネットワークとの論理的な距離を表すネットワーク論理距離であり、
   前記複数種類のアクセス種別は、前記複数種類のネットワーク論理距離にそれぞれ対応付けられており、且つ、前記複数種類のアクセス種別の各々は、対応付けられた前記ネットワーク論理距離が大になればなるほど、前記ターゲット上位装置のアクセス可能行為数が少ないことを意味する種別になっており、
   前記アクセス制御手段は、ターゲットＩＰアドレスを含むアクセスを前記ターゲット上位装置から受け、前記自装置ＩＰアドレスと前記ターゲットＩＰアドレスとに基づいて、前記ネットワーク論理距離を判断する、
   請求項６記載のアクセス制御装置。
9. 複数の上位装置にそれぞれ対応した複数の上位装置識別情報を記憶するアクセス制御用情報記憶装置を更に備え、
   前記アクセス制御手段は、前記ターゲット上位装置のターゲット上位装置識別情報を含むアクセスを前記ターゲット上位装置から受けた場合、そのターゲット上位装置識別情報が前記アクセス制御用記憶装置に記憶されていなければ、前記ターゲット上位装置に対してアクセスを許可しない、
   請求項５記載のアクセス制御装置。
10. 上位装置が１又は複数の通信ネットワークを介して下位装置にアクセスすることを制御するための方法において、
    ターゲット上位装置から出力されたアクセスに含まれる所定情報に基づいて、前記ターゲット上位装置が接続されるターゲット通信ネットワークに関する情報であるターゲットネットワーク情報を識別するステップと、
    前記識別されたターゲットネットワーク情報に基づいて、前記ターゲット上位装置に対して許可するアクセス種別を制御するステップと
    を有するアクセス制御方法。

Images