JP2005339191A - Ｗｏｒｍ保証付きリモートコピー - Google Patents

Abstract

【課題】
記憶装置システムＡ内のデータを記憶装置システムＢにリモートコピーする場合、対象となるデータがＷＯＲＭデータであるか否かを意識したリモートコピーは行われていない。
【解決手段】
記憶装置システムA内のボリュームに格納されているデータを記憶装置システムB内のボリュームにコピーするよう設定する場合、記憶装置システムA内の第1の制御装置は、記憶装置システムA内のボリュームに、参照と更新ができる属性か、参照ができ更新ができない属性の、いずれの属性が付加されているかを判断する。そして、当該ボリュームが、参照ができ更新ができない属性が付加されたボリュームである場合、第1の制御装置は、記憶装置システムB内のボリュームに参照ができ更新ができない旨の属性を付加するよう記憶装置システムB内の第2の制御装置に指示する。
【選択図】図１

Description

本発明は、計算機システムを構成する記憶装置システムに関し、特に記憶装置システムが有するリモートコピー機能とＷＯＲＭ機能に関する。

リモートコピーとは、複数の記憶装置システム（ここで、記憶装置システムとは、データを記録する記憶装置と、記憶装置を制御する制御装置を含む。以下同様。）間で、ホストコンピュータを経由せずにデータのミラーリングを行う技術である。論理ボリュームA（１）を有する記憶装置システムAと論理ボリュームB（１）を有する記憶装置システムBがＦｉｂｒｅ ＣｈａｎｎｅｌやＩＰ等のネットワークまたは専用回線で接続されている場合を例に、リモートコピーについて説明する。

リモートコピーを行うことにより、論理ボリュームＡ（１）、論理ボリュームＢ（１）に記録される内容は、同一に保たれる。ホストコンピュータは、記憶装置システムＡに接続され、論理ボリュームＡ（１）に記録されているデータの参照や更新を行い、論理ボリュームＡ（１）、論理ボリュームＢ（１）をリモートコピーのペアに設定する。ホストコンピュータが論理ボリュームＡ（１）に記録されているデータの更新を行うコマンドを記憶装置システムＡに発行したとき、記憶装置システムＡは、論理ボリュームＡ（１）の更新を行うと共に、記憶装置システムＢに対しても論理ボリュームA（１）で更新されたデータを送信し、記憶装置システムＢは、論理ボリュームＢ（１）に記録されているデータを更新する。このようにして、論理ボリュームＡ（１）と論理ボリュームＢ（１）に記録されるデータは同一であることが保たれる。

複数の記憶装置システムを互いに遠隔地に配置し、リモートコピーを行うことにより、災害時に計算機システムの運用を継続させ、迅速に復旧させる。さらに、リモートコピーを行うことにより、ある記憶装置システム内に記録されたデータの運用を別の記憶装置システムに引き継ぐことができる。ある記憶装置システム内に記録されたデータの運用を別の記憶装置システムに引き継ぐ方法としては、あらかじめ定めた時刻に記憶装置システムを停止させて別の記憶装置システムにデータの運用を引き継ぐ方法や無停止で別の記憶装置システムにデータの運用を引き継ぐ方法がある。リモートコピーの詳細は、特許文献１に開示されている。

ＷＯＲＭとは、Ｗｒｉｔｅ Ｏｎｃｅ Ｒｅａｄ Ｍａｎｙの略であり、一度記録したデータは更新を行うことができず、参照のみ行える、データの性質である。ＷＯＲＭの性質を持つデータは、データが記録後に改竄されていないことの証明や、誤操作によるデータ消去の防止に有効である。以下、ＷＯＲＭの性質を持つデータをＷＯＲＭデータと呼ぶ。ＷＯＲＭデータの実現方法としては、Ｗｒｉｔｅ Ｏｎｃｅ ＣＤのように、物理的な性質としてＷＯＲＭの性質を有する記録装置を用いる方法と、物理的には何度も更新可能な磁気ディスク等を内蔵した記憶装置に、データの更新を禁止する装置またはプログラムを追加することによって実現する方法がある。後者については、非特許文献１に開示されている。

米国特許第５，７４２，７９２号明細書 「Hitachi LDEV Guard」, Hitachi Data Systems Corporation, 2003年10月

従来技術では、記憶装置システムＡ内のデータを記憶装置システムＢにリモートコピーする場合、対象となるデータがＷＯＲＭデータであるか否かを意識したリモートコピーは行われていない。従って、例えばリモートコピー中に、災害によって記憶装置システムＡが故障し、記憶装置システムＢにリモートコピーされたデータを用いてシステムの運用を継続しなければならない場合、記憶装置システムＢに記録されているデータは、ＷＯＲＭデータではないため、データの改竄が可能となり、記録後に改竄が行われていないことの証明ができなくなる。また、別の記憶装置システムに計画的に記憶装置システム内のデータの運用を引き継ぐ際も同様の問題が起きる。

そこで、データだけでなくＷＯＲＭの性質も複製することができる、即ち、複製先のデータにも複製元のデータと同様にWORMの性質を持たせることが可能なＷＯＲＭデータのリモートコピー機能を有するシステムを開示する。

記憶装置システムA内のボリュームに格納されているデータを記憶装置システムB内のボリュームにコピーするよう設定する場合、記憶装置システムA内の第1の制御装置は、記憶装置システムA内のボリュームに、参照と更新ができる属性か、参照ができ更新ができない属性の、いずれの属性が付加されているかを判断する。そして、当該ボリュームが、参照ができ更新ができない属性が付加されたボリュームである場合、第1の制御装置は、記憶装置システムB内のボリュームに参照ができ更新ができない旨の属性を付加するよう、記憶装置システムB内の第2の制御装置に指示する。

複数の記憶装置システム間で、リモートコピーを行う際、データだけでなくＷＯＲＭの性質も他の記憶装置システムに複製することができる、即ち、複製先のデータにも複製元のデータと同様にWORMの性質を持たせることができる。

以下、本発明の実施形態について、図面を参照して説明する。尚、本発明は、本実施形態に限られるものではない。

図１は、本実施形態を適用するシステムの構成の一例を示した図である。

本発明を適用するシステムは、記憶装置システムA１１０と、記憶装置システムB１１１と、管理端末１０１と、クライアント１０２と、管理端末１０１と記憶装置システムA１１０と記憶装置システムB１１１とを接続するLAN１０３と、クライアント１０２と記憶装置システムA１１０と記憶装置システムB１１１とを接続するSAN１０４とにより構成される。

記憶装置システムＡ１１０は、コントローラ１２６と、ディスクドライバ群１２７とを有する。記憶装置システムA１１０は、ＳＡＮ１０４と接続されるクライアント１０２から、記憶装置システムA１１０内の論理ボリュームへのＩ／Ｏ要求を受け付ける。

記憶装置システムＢ１１１は、記憶装置システムA１１０と同様の構成を有し、クライアント１０２から、記憶装置システムB１１１内の論理ボリュームへのI／O要求を受け付ける。本実施形態では、記憶装置システムB１１１は、記憶装置システムA１１０と同じ構成としたが、記憶装置システムＡ１１０と全く同じ装置である必要はない。

ディスクドライバ群１２７は、複数のハードディスクを有し、複数のハードディスクは、Ｉ／Ｆ１２０と接続される。ディスクドライバ群１２７内の記憶領域は、複数の論理ボリュームに分割される。論理ボリューム１２２は、複数の論理ボリュームのうちのひとつである。論理ボリュームとハードディスクの対応関係等を示すボリューム管理情報Ａ１２４は、ディスクドライバ群１２７内の記憶領域１２１に記録される。本実施形態では、ボリューム管理情報Ａ１２４は、ディスクドライバ群１２７内の記憶領域１２１に記録するとしたが、コントローラ１２６上のフラッシュメモリ等、ディスクドライバ群１２７内の記憶領域１２１以外に記録してもよい。

本実施形態では、ボリューム管理情報Ａ１２４とボリューム管理情報Ｂ１２５に、それぞれ、記憶装置システムＡ１１０内の論理ボリューム１２２と、記憶装置システムＢ１１１内の論理ボリューム１２３とがリモートコピーペアであり、論理ボリューム１２２が正ボリューム、論理ボリューム１２３が副ボリュームであると記録されているとする。ここで、リモートコピーペアとは、正ボリュームと副ボリュームから構成されるリモートコピーの複写元と複写先の組である。リモートコピーペアは、LAN１０３に接続される管理端末１０１が、記憶装置システムA１１０および記憶装置システムB１１１に対し、正ボリュームと副ボリュームを構成する論理ボリュームを指定することで設定される。

コントローラ１２６は、制御装置１１４と、制御装置１１４で実行されるプログラムが格納されるメモリ１１５と、キャッシュ１１９と、ＳＡＮ１０４と接続されるＩ／Ｆ１１２と、ＬＡＮ１０３と接続されるＩ／Ｆ１１３と、ディスクドライバ群１２７と接続されるI／F１２０とを有する。メモリ１１５には、入出力処理プログラム１１６と、リモートコピープログラム１１７と、構成管理プログラム１１８とが格納される。

入出力処理プログラム１１６は、クライアント１０２から受信した論理ボリュームへのＩ／Ｏコマンドを、ボリューム管理情報を用いて、ドライブ装置１２７内の各ハードディスクへのＩ／Ｏコマンドに変換する処理を実行するためのプログラムである。

構成管理プログラム１１８は、管理端末１０１から、リモートコピーペアの設定の指示を受け、リモートコピーペアを設定する処理を実行するためのプログラムである。リモートコピーペアの設定の詳細については、後述する。

リモートコピープログラム１１７は、リモートコピーペアが設定された場合に、設定されたリモートコピーペア間でのリモートコピー機能を提供する処理を実行するためのプログラムである。ここで、リモートコピー機能とは、リモートコピーペアが設定された場合、正ボリュームに格納されているデータを副ボリュームにコピーすること、および、リモートコピーペア設定後に、クライアント１０２からの指示により正ボリュームに書き込まれるデータを副ボリュームにコピーする機能をいう。クライアント１０２からの正ボリューム１２２に対してのライト要求は、リモートコピー機能によって、副ボリューム１２３に対しても同様に実行される。従って、副ボリューム１２３は、リモートコピーペアを組む正ボリューム１２２の複製（ミラー）となる。

図２は、ボリューム管理情報Ａ１２４の一例を示した図である。ボリューム管理情報Ａ１２４は、ボリューム管理テーブルＡ２２４と、WORMが設定されたボリュームに対応するボリュームごとに用意されたWORM属性３００および４００とを記憶し、管理する。ボリューム管理テーブルＡ２２４とWORM属性についての詳細は、後述する。尚、ボリューム管理情報Ａ１２４は、本実施形態のボリューム管理情報に限られるものではなく、他の情報を含んでいてもよい。また、本実施形態では、WORM属性は、ボリュームにWORMが設定されると、記憶装置システム各々の構成管理プログラムにより、WORMが設定されたボリュームに対応するWORM属性３００または４００が作成されるとするが、あらかじめ、全ボリュームに対応するWORM属性３００または４００が用意されていてもよい。

図３は、ボリューム管理テーブルＡ２２４の一例を示した図である。ボリューム管理テーブルＡ２２４は、ボリューム番号２０１と、容量２０２と、Ｉ／Ｏ制御種別２０３と、ＷＯＲＭ単位２０４と、リモートコピー属性２０５と、リモートコピー状態２０６とを記憶し、管理する。

ボリューム番号２０１は、論理ボリュームの番号を示す。

容量２０２は、論理ボリュームの記憶容量を示す。

Ｉ／Ｏ制御種別２０３には、通常またはＷＯＲＭのいずれかの属性が管理端末１０１もしくはクライアント１０２により設定される。クライアント１０２は、Ｉ／Ｏ制御種別２０３に通常が設定された論理ボリュームについては、全てのセクタに対する参照、更新が共に可能である。一方、クライアント１０２は、Ｉ／Ｏ制御種別２０３にＷＯＲＭが設定された論理ボリュームについては、ＷＯＲＭ単位２０４および図４または図５に示すＷＯＲＭ属性に設定された条件に基づいて、全てのセクタまたは一部の特定のセクタやファイルに対する更新が制限される。

ＷＯＲＭ単位２０４には、ＷＯＲＭが設定された論理ボリュームの更新を制限する単位が管理端末１０１もしくはクライアント１０２により設定される。本実施形態では、ファイル、セクタ、ボリュームを単位の例として挙げたが、論理ボリューム内の特定の部分を指定する単位であれば、ＷＯＲＭ単位２０４として適用することができる。ＷＯＲＭ単位２０４としてボリュームを設定した場合、当該ボリュームの全てのセクタに対する更新が禁止される。WORM単位２０４としてセクタを設定した場合は、当該ボリュームに対応するWORM属性３００において更新禁止領域として設定されたセクタに対する更新が禁止される。WORM単位２０４として、ファイルを設定した場合は、当該ボリュームに対応するWORM属性４００において更新禁止ファイルとして設定されたファイルに対する更新が禁止される。ただし、ＷＯＲＭ単位２０４としてファイルを指定する場合、図１の記憶装置システムA１１０、記憶装置システムB１１１がファイルサーバ機能を持つか、またはＳＡＮ１０４上に記憶装置システムA１１０、記憶装置システムB１１１と通信するファイルサーバが存在しなければならない。

リモートコピー属性２０５は，当該論理ボリュームがリモートコピーペアを構成しているか否かを示す。リモートコピーペアを構成している場合、当該論理ボリュームが正ボリュームまたは副ボリュームのいずれであるかが記録される。尚、図示しないが、リモートコピーペアを構成している場合、リモートコピー属性２０５には、ペア相手の論理ボリュームのボリューム番号や該論理ボリュームを有する記憶装置のIdentification（ID）等の付加情報も含まれる。記憶装置のIdentification（ID）としては、例えば、Fibre Channel規格のWorld Wide Name（WWN）等がある。ここで、正ボリュームと副ボリュームが共にＷＯＲＭの属性であるリモートコピーペアを、ＷＯＲＭリモートコピーペアと呼ぶ。ＷＯＲＭリモートコピーペアを組むことで、正論理ボリュームのＷＯＲＭの属性を副ボリュームに引き継ぐことができる。

リモートコピー状態２０６には、論理ボリュームがリモートコピーペアを構成している場合、リモートコピーの状態が記録される。状態の種類や遷移については，図７の説明とともに後述する。

図４は、論理ボリュームごとにボリューム管理情報A１２４に備えられているＷＯＲＭ属性の一例を示した図である。図４に示すWORM属性は、図３の各ボリュームのうち、I／O制御種別がWORMでWORM単位２０４としてセクタが指定されたボリュームの属性情報である。

ＷＯＲＭ属性３００に含まれるＷＯＲＭセクタ範囲３１０には、更新禁止領域を示す情報が複数含まれる。更新禁止領域を示す情報は、開始番地３１１と終了番地３１２の組とライトフラグ３１３のONまたはOFFによって構成されており、これらの情報は、管理端末１０１またはクライアント１０２により指定される。ライトフラグ３１３は、当該更新禁止領域に対し、1回の更新または書き込みができるか否かを示す。ONは、当該更新禁止領域に対し、1回の書き込みまたは更新ができ、OFFは、書き込みおよび更新ができないことを示す。さらに、ライトフラグ３１３がONの場合、WORM属性３００は、当該更新禁止領域に対応するライト管理ビットマップ３１４を有し、ライト管理ビットマップ３１４を用いて、当該更新禁止領域内の各セクタに対し、1回の書き込みまたは更新が行われたか否かを管理する。開始番地３１１と終了番地３１２で指定された当該更新禁止領域内のすべてのセクタに1回の更新または書き込みが実行されると、入出力処理プログラム１１６は、ライトフラグをOFFに切り替える。

尚、図３の各ボリュームのうち、I／O制御種別がWORMで、ＷＯＲＭ単位２０４としてボリュームが指定されている場合は、図４のWORMセクタ範囲３１０に当該ボリュームの全記憶領域が登録される。

ＷＯＲＭ属性３００に含まれるイベントログ３２０には、リモートコピーに関するイベントのログが記録される。ここで、リモートコピーに関するイベントとは、例えば、図７に示すリモートコピー状態の遷移がある。また、イベントログには、例えば、通番３２１、イベント発生時刻３２２、イベント内容３２３が含まれる。

図５は、論理ボリュームごとにボリューム管理情報A１２４に備えられているWORM属性の他の一例を示した図である。図５に示すWORM属性は、図３の各ボリュームのうち、I／O制御種別がWORMでWORM単位２０４としてファイルが指定されたボリュームの属性情報である。

ＷＯＲＭ属性４００に含まれるＷＯＲＭファイル集合４１０には、更新禁止ファイルを示す情報が複数含まれる。更新禁止ファイルを示す情報は、パス名４１１と、ライトフラグ４１２のONまたはOFFによって構成されており、これらの情報は、管理端末１０１またはクライアント１０２により指定される。ライトフラグ４１２は、当該ファイルに対し、1回の書き込みまたは更新ができるか否かを示す。ONは、当該ファイルに1回の書き込みまたは更新ができ、OFFは、当該ファイルに書き込みおよび更新ができないことを示す。さらに、ライトフラグ４１２がONの場合、WORM属性４００は、当該ファイルが格納される記憶領域に対応するライト管理ビットマップ４１３を有し、ファイルが格納される記憶領域内の各セクタに対し、1回の書き込みまたは更新が行われたか否かを管理する。パス名で指定された、ファイルが格納される記憶領域内のセクタすべてに1回の更新または書き込みが実行されると、入出力処理プログラム１１６は、ライトフラグをOFFに切り替える。

イベントログ４２０には、図４のイベントログ３２０と同様に、リモートコピーに関す
るイベントのログが記録される。

尚、本実施形態では、ボリュームに対しWORMを設定する方法として、２つのタイプがある。

タイプ１では、すでにデータが書き込まれている記憶領域に対し、WORMが設定される。そして、WORM設定後は、当該記憶領域に対するデータの書き込みおよび更新は禁止される。

タイプ２では、記憶領域にWORMが設定されると、その後、1回のみデータの書き込み若しくは更新が許可される。しかし、データの書き込み若しくは更新が許可されるのは1回のみで、その後は、当該記憶領域に対する書き込み及び更新共に禁止される。

いずれのタイプの方法でWORMが設定されるかは、管理端末１０１またはクライアント１０２から構成管理プログラム１１８の指示によって決まる。

尚、タイプ１の方法のみでWORMが設定される場合には、WORM単位２０４がセクタ、ボリューム、ファイル等、いずれの場合も、ライトフラグおよびライト管理ビットマップは不要となる。

図６は、図１の記憶装置システムA１１０および記憶装置システムB１１１に対して、ＬＡＮ１０３に接続された管理端末１０１がリモートコピーペアの設定を行う処理の一例を示す図である。以下、リモートコピーペア設定５００の各ステップについて説明する。

ステップ５０１において、ユーザは、管理端末１０１から、記憶装置システムA１１０と記憶装置システムB１１１に対して、リモートコピーペア作成の指示を行う。ユーザからの指定には、正ボリュームとなる記憶装置システムA１１０内のボリュームの識別情報と、副ボリュームとなる記憶装置システムB１１１内のボリュームの識別情報が含まれる。

ステップ５０２において、記憶装置システムB１１１の構成管理プログラム１１８は、ボリューム管理情報B１２４に含まれる、Ｉ／Ｏ制御種別２０３を参照し、副ボリュームとして指定された論理ボリュームがＷＯＲＭ属性であるか否かを判定する。副ボリュームとして指定された論理ボリュームがWORM属性である場合、ステップ５０４において、構成管理プログラム１１８は、指示の不正をユーザに通知し、異常終了となる。これは、リモートコピーの設定前から副ボリュームがＷＯＲＭであれば、正ボリュームから複写されたデータを保存できない場合があるからである。副ボリュームとして指定された論理ボリュームがWORM属性でない場合、記憶装置システムB１１１の構成管理プログラム１１８は、記憶装置システムA１１０の構成管理プログラム１１８に副ボリュームとして指定された論理ボリュームがWORM属性でない旨を通知する。

ステップ５０３において、記憶装置システムA１１０の構成管理プログラム１１８は、ボリューム管理情報A１２４に含まれる、Ｉ／Ｏ制御種別２０３を参照し、正ボリュームとして指定された論理ボリュームがＷＯＲＭ属性であるか否かを判定する。正ボリュームとして指定された論理ボリュームがＷＯＲＭ属性である場合、記憶装置システムA１１０の構成管理プログラム１１８は、ステップ５０５において、副ボリュームのＩ／Ｏ制御種別２０３をＷＯＲＭに設定する。このとき、正ボリュームを持つ記憶装置システムA１１０の構成管理プログラム１１８が、ＬＡＮ１０３またはＳＡＮ１０４を通じて副ボリュームを持つ記憶装置システムB１１１の構成管理プログラム１１８と通信を行い、副ボリュームをＷＯＲＭに設定する指示を行う。記憶装置システムＢ１１１の構成管理プログラム１１８は、記憶装置システムＡ１１０の構成管理プログラム１１８からの指示に応じて、副ボリュームのＩ／Ｏ制御種別２０３をＷＯＲＭに設定する。記憶装置システムB１１１の構成管理プログラム１１８は、正ボリュームのWORM単位２０４に基づき、副ボリュームに指定されたボリュームに対応するWORM属性３００または４００を作成し、WORM単位２０４を正ボリュームと同じに設定する。ＷＯＲＭの属性に設定され、かつ、リモートコピー属性２０５が副であるボリュームには、正ボリュームからのデータを複写するための更新処理のみが許可され、クライアント１０２からの更新は禁止される。

ステップ５０６では、記憶装置システムA１１０および記憶装置システムB１１１のそれぞれの構成管理プログラム１１８が、ステップ５０１でユーザから指定を受けた正ボリューム、副ボリュームのIDをリモートコピー属性２０５に書き込み、リモートコピーペア設定の完了を各々の構成管理プログラムが管理端末に対して送信し、ユーザに通知し、リモートコピーペア設定を正常終了する（ステップ５０７）。

以上のように、リモートコピーペア設定５００において、正ボリュームとしてＷＯＲＭ属性が設定されているボリュームが指定された場合に、副ボリュームに自動的にＷＯＲＭ属性を設定することで、ユーザが意識することなく自動的にＷＯＲＭリモートコピーペアの設定を行える。

ここでは、記憶装置システムA１１０内の論理ボリュームのいずれかを正ボリューム、記憶装置システムB１１１内の論理ボリュームのいずれかを副ボリュームとして、リモートコピーペアの設定を行うとしたが、同様の方法で、記憶装置システムB１１１内の論理ボリュームのいずれかを正ボリューム、記憶装置システムA１１０内の論理ボリュームのいずれかを副ボリュームとして、リモートコピーペアの設定を行うことができる。

図７は、ＬＡＮ１０３に接続された管理端末１０１が、記憶装置システムA１１０内の論理ボリュームのＩ／Ｏ制御種別をＷＯＲＭに変更するWORM設定処理の一例を示す図である。記憶装置システムB１１１に対しても同様の方法で、記憶装置システムB内の論理ボリュームのI／O制御種別をWORMに変更する処理を実行できる。以下、ＷＯＲＭ設定処理６００の各ステップについて説明する。

ステップ６０１において、ユーザは、管理端末１０１から、記憶装置システムA１１０の構成管理プログラムに対し、Ｉ／Ｏ制御種別をＷＯＲＭに設定する論理ボリュームを指定する。

ステップ６０２において、図１の記憶装置システムA１１０の構成管理プログラム１１８は、ボリューム管理テーブルA１２４に含まれる図３のリモートコピー属性２０５を参照し、ユーザが指定した論理ボリュームが副ボリュームかを判定する。論理ボリュームのリモートコピー属性が副であれば、記憶装置システムAの構成管理プログラム１１８は、ステップ６０４において指定の不正をユーザに通知し、異常終了となる。これは、副ボリュームのみがＷＯＲＭ属性となると、正ボリュームから複写されたデータを保存できないケースが生ずるからである。

ステップ６０３において、記憶装置システムA１１０の構成管理プログラム１１８は、ユーザが指定した論理ボリュームのリモートコピー属性が正であった場合、ステップ６０５において、ユーザが指定した論理ボリュームのI／O制御種別２０３をWORMに設定すると共に、図６のステップ５０５と同様の方法でユーザが指定した論理ボリュームとリモートコピーペアを構成する副ボリュームのＩ／Ｏ制御種別２０３をＷＯＲＭに設定する。これにより、リモートコピーペアはＷＯＲＭリモートコピーペアに自動的に変更されたことになる。

ステップ６０３において、ユーザが指定した論理ボリュームがリモートコピーペアを構成しない場合は、ステップ６０５１で、記憶装置システムＡ１１０の構成管理プログラム１１８は、ユーザが指定した論理ボリュームのＩ／Ｏ制御種別２０３をＷＯＲＭに設定する。

尚、記憶装置システムの構成管理プログラム１１８は、記憶装置システム内のボリュームのI／O制御種別２０３をWORMに設定した場合、WORMに設定されたボリュームに対応するWORM属性３００または４００を作成する。

ステップ６０６において、記憶装置システムAの構成管理プログラム１１８は、ＷＯＲＭ設定の完了をユーザに通知し，ＷＯＲＭ設定を正常終了する（ステップ６０７）。

ＷＯＲＭ設定６００において、リモートコピーペアの正ボリュームをＷＯＲＭに設定した場合、副ボリュームにも自動的にＷＯＲＭ属性を設定することで、リモートコピーペアは、ユーザが意識することなく自動的にＷＯＲＭリモートコピーペアに変更される。

次に、図４又は図５に示すＷＯＲＭ属性内に記録される、イベントログについて説明する。ボリュームに対しWORMを設定する処理、クライアント１０２または管理端末１０１からリモートコピーペアの設定等の指示を受け付け実行する処理について、構成管理プログラム１１８は、イベントログを作成し、ＷＯＲＭ属性に記録する。例えば、記憶装置システムＡ１１０の構成管理プログラム１１８は、クライアント１０２または管理装置１０１から正ボリュームのデータを記憶装置システムＢ１１１内の副ボリュームにコピーするよう指示され、指示を実行する際、その旨のイベントログを作成して、ボリューム管理情報Ａ１２４に記憶する。

さらに、記憶装置システムA１１０の構成管理プログラム１１８は、イベントログの記録対象となったボリュームがペアを構成している場合には、記憶装置システムＢ１１１の構成管理テーブル１１８に対し、記憶装置システムＡ１１０の構成管理プログラム１１８が作成したイベントログをボリューム管理情報Bに記憶するよう指示する。このような処理を行うことで、リモートコピーペアである正副ボリューム各々に対応するＷＯＲＭ属性に記憶されるイベントログの整合性が保たれる。

図８は、クライアント１０２が論理ボリュームへのライト要求を記憶装置システムＡ１１０に発行した場合の処理の一例を示した図である。ここでは、WORM単位がセクタの場合を例に、コマンド処理８００を説明する。まず、タイプ１の方法でWORMが設定されている場合を例に説明する。

ステップ８０１において、入出力プログラム１１６は、クライアント１０２から送信されてメモリ１１５上のコマンドキューに格納されたコマンドのうち１コマンドをコマンドキューから取り出す。

ステップ８０２において、入出力プログラム１１６は、コマンド種別を示すフィールドからセクタの更新を行うコマンドかどうかを判定し、該当すればステップ８０３に、読み込み等セクタの更新に該当しないコマンドであればステップ８０６に遷移する。

ステップ８０３において、入出力プログラム１１６はコマンドが対象とするボリュームの図４のＷＯＲＭ属性３００を参照し、コマンドが対象とするセクタがＷＯＲＭセクタ範囲３１０に含まれるかどうかを判定し、該当すればステップ８０４に、該当しなければステップ８０６に遷移する。

ステップ８０４において、入出力プログラム１１６はコマンドが対象とするボリュームの図２のリモートコピー属性２０５を参照し、リモートコピーペアの副ボリュームかどうかを判定し、該当すればステップ８０５に、該当しなければ更新禁止セクタに対する不正な更新コマンドと判断してステップ８０７に遷移する。

ステップ８０５において、入出力プログラム１１６は、リモートコピーペアを構成する正ボリュームからのリモートコピーによるコマンドかどうかを判定する。

判定する方式の一つとして、コマンドを発行した装置のＳＡＮ Ｉ／Ｆの識別子を用いる方式がある。例えば、Ｆｉｂｒｅ Ｃｈａｎｎｅｌであれば、各Ｉ／ＦはＷＷＮ（Ｗｏｒｌｄ Ｗｉｄｅ Ｎａｍｅ）と呼ばれる識別子を持つ。他のネットワーク方式においても、同様の識別子がある。コマンドには、コマンドの発行元の装置のSAN I／Fの識別子が格納された領域がある。図１の構成管理プログラム１１８がリモートコピーペアを設定する際にボリューム管理情報Ｂ１２５に正ボリューム１２２を持つ記憶装置システムＡ１１０のＩ／Ｆ１１２のＷＷＮを記録しておく。ステップ８０５において、入出力プログラム１１６は、コマンドに格納された識別子とボリューム管理情報B１２５に記録された識別子を照合し、副ボリュームへの更新コマンドが正ボリュームからのリモートコピーによるコマンドかどうかを判定することができる。

別の方式として、正ボリュームを持つ記憶装置システムのリモートコピープログラム１１７が、副ボリュームを持つ記憶装置システムのリモートコピープログラムにコマンドを送信する際に、正規のリモートコピーコマンドであることを示すコードを付加する方式が考えられる。データが正しい送信元からのものであることを証明する技術として、メッセージ認証コードなどが知られている。

ステップ８０５において、正規のリモートコピーコマンドと判定されればステップ８０６に、そうでなければステップ８０７に遷移する。ステップ８０６では通常のコマンド処理が実行され、装置の障害やコマンドの異常等がなければステップ８０９を実行し正常終了８１０する。ステップ８０７ではコマンドは異常終了８０８する。

次に、タイプ２の方法でWORMが設定されている場合について、タイプ１の場合との違いを説明する。ステップ８０４でNOと判定された後に、入出力処理プログラム１１６は、WORM属性３００を参照し、データを更新しようとするセクタのライトフラグがONか否かを判定する。ライトフラグがONである場合は、入出力プログラム１１６は、セクタのビットマップを参照し、データを更新しようとするセクタに1回の書き込みが行われていなければ、ステップ８０６に遷移する。ライトフラグがOFFまたは、ライトフラグがONであってもセクタのビットマップを参照し、データを更新しようとするセクタに1回の書き込みが行われていれば、ステップ８０７に進む。

また、リモートコピープログラム１１７に、正ボリュームを持つ記憶装置システムのみが生成することができる電子署名やメッセージ認証コードを、正ボリュームから副ボリュームへ送信する複写データに付加するプログラムと、副ボリュームを持つ記憶装置システムにおいて、複写データに付与されていた電子署名やメッセージ認証コードの検証を行うプログラムと、電子署名やメッセージ認証コードの検証に基づき、認証に失敗した場合は、複写データによる副ボリュームの更新を禁止するプログラムとを追加することで、ＷＯＲＭリモートコピーペアの副ボリュームに、正ボリュームを有する記憶装置システムからの正ボリュームに格納されているデータの複写データ以外の不正なデータによる更新が行われないようより確実に制御することができる。

図９は、図３のボリューム管理テーブルＡ２２４のリモートコピー状態２０６の遷移の一例を示す図である。

リモートコピー状態２０６には、無と、コピー中、ペアと、分割、通信エラーと、ペア解除のいずれかが設定される。

無は、当該ボリュームがリモートコピーペアを形成していないボリュームである状態を示す（状態７０１）。

コピー中は、副ボリュームのデータを正ボリュームと同一にするため、正ボリュームのデータが副ボリュームにコピーされている状態を示す（状態７０２）。状態７０２では、正ボリュームと副ボリュームで、データだけでなく、両ボリュームのＷＯＲＭ属性も同一にする。正ボリュームのWORM属性３００または４００が、リモートコピープログラム１１７によって記憶装置システムA１１０から記憶装置システムB１１１に送信され、副ボリュームのWORM属性３００または４００に複写される。

ペアは、正ボリュームに対するクライアント１０２からのライト要求によるデータの更新が、副ボリュームに対しても実行されている状態を示す（状態７０３）。また、状態７０３では、クライアント１０２から記憶装置システムＡ１１０へのライト要求によるデータの更新だけでなく、正ボリュームに対するＷＯＲＭ属性の更新も副ボリュームに対して実行される。さらに、このとき、管理端末１０１やクライアント１０２が正ボリュームを持つ記憶装置システムＡ１１０および正ボリュームに対応する副ボリュームをもつ記憶装置システムＢ１１１に対し、正副ボリュームの運用の切り替えを指示することにより、ボリュームの運用を切り替えることができる。

分割は、正ボリュームに対するクライアント１０２からのライト要求によるデータの更新を、副ボリュームに対して実行しない状態を示す（状態７０４）。

通信エラーは、通信障害やＷＯＲＭリモートコピーペアを形成するいずれかの記憶装置に故障が発生した状態を示す（状態７０５）。

ペア解除は、リモートコピーペアを解除する状態を示す（状態７０６）。

次に、状態から状態への遷移過程について、説明する。

状態７０１から、状態７０２への遷移は、図６に示すリモートコピーペア設定５００により行われる（遷移７１１）。遷移７１１で、リモートコピーペアを形成するために実行される正ボリュームから副ボリュームへのデータのコピーを初期コピーと呼ぶ。

状態７０２で正ボリュームから副ボリュームへのコピーが完了すると、状態７０３となる（遷移７１２）。状態７０２で、正ボリュームから副ボリュームへのデータのコピー中に通信障害等が発生し、コピーの継続ができない状態になると、状態７０５となる（遷移７１７）。

状態７０３で、管理端末１０１またはクライアント１０２が記憶装置システムＡ１１０に指示することにより、状態７０４となる（遷移７１４）。また、状態７０３で、通信障害等が発生し、リモートコピーペアの継続ができない状態になると、状態７０５となる（遷移７１５）。
状態７０４で、管理端末１０１またはクライアント１０２が記憶装置システムＡ１１０に指示することにより、状態７０２となる（遷移７１３）。遷移７１３では、分割（状態７０４）中に正ボリュームに対して実行されたデータの更新を副ボリュームにも反映すべく、分割中に正ボリュームに格納された更新データを副ボリュームにコピーする。このコピー処理により正ボリュームと副ボリュームのデータを一致させることを再同期という。再同期には、正ボリュームと副ボリュームのWORM属性３００または４００を一致させる処理を含む。また、管理端末１０１またはクライアント１０２が記憶装置システムＡ１１０に指示することにより、状態７０６となる（遷移７１９）。

状態７０５で、エラー要因が解消すると、状態７０２となる（遷移７１６）。遷移７１６では、エラー中（状態７０５）に正ボリュームに対して実行されたデータの更新を副ボリュームにも反映すべく、エラー中に正ボリュームに格納された更新データを副ボリュームにコピーする。このコピー処理により正ボリュームと副ボリュームのデータを一致させることを再同期という。再同期には、正ボリュームと副ボリュームのWORM属性３００または４００を一致させる処理を含む。また、状態７０５は、管理端末１０１またはクライアント１０２が指示することにより、状態７０６となる（遷移７１８）。

状態７０６となるとＷＯＲＭリモートコピーペアを形成する両ボリュームの対応するリモートコピー属性２０５およびリモートコピー状態２０６は“無”になる。また、両ボリュームのＩ／Ｏ制御種別２０３はＷＯＲＭとなる。状態７０６となると、状態７０６となるまでに一度でも状態７０３となったことがあれば、副ボリュームへは正ボリュームのＷＯＲＭ属性およびデータが引き継がれている。しかし、完全ではなく、最後に遷移７１４により状態７０４となった時点、または遷移７１５により状態７０５となった時点で正ボリュームに格納されていたデータ、正ボリュームに設定されていたWORM属性は引き継がれるが、それ以降については保証されていない。どの時点までのＷＯＲＭ属性およびデータが引き継がれたかは、副ボリュームであったボリュームのイベントログ３２０（図４）またはイベントログ４２０（図５）によって確認することができる。ペア解除後の元正ボリュームと元副ボリュームは、いずれのＩ／Ｏ制御種別もＷＯＲＭであるため、図６のリモートコピーペア設定５００の説明で示した制限によって、再びＷＯＲＭリモートコピーペアを形成することはできない。

本実施形態では、Ｉ／Ｏ制御種別がＷＯＲＭである正ボリュームに指定されたボリュームに格納されるデータを、状態７０２で初期コピーすると共に、副ボリュームに指定されたボリュームのI／O制御種別をWORMに設定する。また、状態７０３でのミラーや状態７０２での再同期の際、副ボリュームへのリモートコピープログラム以外による更新を禁止し、不正な改竄を防止することによって、副ボリュームに、正ボリュームと同様の、最初に記録されたデータが改竄されていないことを証明できる性質を持たせることができるＷＯＲＭリモートコピーを実現する。

また、状態７０３において正ボリュームと副ボリュームを交代することによって、交代前に正ボリュームであった論理ボリュームと同等の非改竄証明能力を維持しつつ、交代前に副ボリュームであった論理ボリュームを用いてシステムの運用を継続することができる。

また、正ボリュームを持つ記憶装置の障害やリモートコピーを行う通信路の障害により、正ボリュームと副ボリュームの同一性が保たれなくなった場合にも、ＷＯＲＭ属性が含むイベントログ３２０、４２０（図４または図５）内にリモートコピーの状態遷移を記録しておくことでログに記録が残っているある時点までの正ボリュームのデータおよびＷＯＲＭ属性が、副ボリュームに記録されていることを証明することができ、副ボリュームを用いてシステムの運用を継続することができる。また、図６のリモートコピーペア設定５００の説明で示したように、図１の構成管理プログラム１１８がリモートコピーペア形成を指示されたボリュームのＩ／Ｏ制御種別を用いて正ボリュームに指定された論理ボリュームがＷＯＲＭであるか否かを判定することで、自動的にＷＯＲＭリモートコピーペアを形成することができる。

また、図７のＷＯＲＭ設定６００の説明で示したように、図１の構成管理プログラム１１８がＩ／Ｏ制御種別をＷＯＲＭに変更することをユーザから指示された論理ボリュームのリモートコピー属性を判定することで、自動的にＷＯＲＭリモートコピーペアを形成することができる。

本実施形態では、リモートコピーの対象として論理ボリュームを例にとったが、物理ボリュームやファイルシステム内のディレクトリ、ファイル等を対象としたリモートコピーにも、ＷＯＲＭを実現するために本実施形態と同様の方法が適用可能である。

本発明を実施するシステムの構成の一例を示す図である。 ボリューム管理情報の一例を示す図である。 ボリューム管理テーブルの一例を示す図である。 あるボリュームのＷＯＲＭ属性の一例を示す図である。 あるボリュームのＷＯＲＭ属性の一例を示す図である。 記憶装置の構成管理プログラムがリモートコピーペアを設定する処理の一例を示す図である。 記憶装置の構成管理プログラムがボリュームのＩ／Ｏ制御種別をＷＯＲＭに設定する処理の一例を示す図である。 コマンド処理の一例を示す図である。 リモートコピーにおける状態遷移の一例を示す図である。

符号の説明

１０２ クライアント
１０４ ＳＡＮ
１１０ 記憶装置Ａ
１１１ 記憶装置Ｂ
１１７ リモートコピープログラム
１２２ 論理ボリューム（正ボリューム）
１２３ 論理ボリューム（副ボリューム）
１２４ ボリューム管理情報Ａ
１２５ ボリューム管理情報Ｂ
３００ ＷＯＲＭ属性
３２０ イベントログ
４００ ＷＯＲＭ属性
４２０ イベントログ

Claims (20)

1. 第1の記憶装置と前記第1の記憶装置を制御する第1の制御装置とを有する第1の記憶装置システムと、
   第2の記憶装置と前記第2の記憶装置を制御する第2の制御装置とを有する第2の記憶装置システムとを有するシステムであって、
   前記第1の記憶装置システムと前記第2の記憶装置システムとは、接続されており、
   前記第1の記憶装置と前記第2の記憶装置には、それぞれ、参照と更新ができる属性と参照ができ更新ができない属性のいずれかが付加されたボリュームが含まれており、
   前記第1の制御装置は、正ボリュームの指定を受信し、
   前記第2の制御装置は、前記正ボリュームに格納されるデータのコピーを格納する副ボリュームの指定を受信し、
   前記第1の制御装置は、前記正ボリュームとして指定されたボリュームが、参照と更新ができる属性か、参照ができ更新ができない属性の、いずれの属性が付加されているかを判断し、
   前記正ボリュームとして指定されたボリュームに、参照ができ更新ができない属性が付加されたボリュームである場合、前記副ボリュームとして指定されたボリュームに参照ができ更新ができない属性を付加するよう前記第2の制御装置に指示することを特徴とするシステム。
2. 請求項１記載のシステムであって、
   前記第２の制御装置は、
   前記副ボリュームとして指定されたボリュームに、参照と更新ができる属性か、参照ができ更新ができない属性のいずれの属性が付加されているかを判断し、
   前記副ボリュームとして指定されたボリュームが、参照ができ更新ができない属性が付加されたボリュームである場合、副ボリュームとしての指定を受けつけることができない旨を出力することを特徴とするシステム。
3. 請求項１記載のシステムであって、
   前記第１の記憶装置システムおよび前記第2の記憶装置システムは、それぞれ、
   前記第1の記憶装置内または前記第2の記憶装置内のボリュームが、
   正ボリュームであるか、副ボリュームであるか、若しくは正ボリュームでも副ボリュームでもないか、及び参照と更新ができる属性が付加されているボリュームか、参照ができ更新ができない属性が付加されているボリュームかを管理することを特徴とするシステム。
4. 請求項３記載のシステムであって、
   前記第1の記憶装置システムと、前記第2の記憶装置システムは、各々、前記第1の記憶装置内または前記第2の記憶装置内のボリュームが、
   正ボリュームであるか、副ボリュームであるか、若しくは正ボリュームでも副ボリュームでもないか、及び参照と更新ができる属性が付加されている属性が付加されているボリュームか、参照ができ更新ができない属性が付加されているボリュームかを記録したボリューム管理情報を有することを特徴とするシステム。
5. 請求項４記載のシステムであって、
   前記第1の制御装置及び前記第2の制御装置は各々、
   正ボリュームの指定または副ボリュームの指定を受信した場合、もしくは、
   参照ができ更新ができない属性をボリュームに付加するよう指示された場合、
   前記ボリューム管理情報を書き換えることを特徴とするシステム。
6. 請求項４記載のシステムであって、
   前記ボリューム管理情報は更に、参照ができ更新ができない属性が付加されているボリュームについて、
   該ボリューム内の記憶領域に対して、参照ができ更新ができない属性を付加する単位を記録していることを特徴とするシステム。
7. 請求項６記載のシステムであって、
   前記第1の制御装置および前記第2の制御装置は、それぞれ、
   ボリューム内の前記単位ごとに、参照ができ更新ができない属性を有する記憶領域であるか、参照と更新ができる属性を有する記憶領域であるかを管理することを特徴とするシステム。
8. 請求項７記載のシステムであって、
   前記単位はボリューム内の一部記憶領域であることを特徴とするシステム。
9. 請求項７記載のシステムであって、
   前記単位はボリューム内に格納されたファイルであることを特徴とするシステム。
10. 請求項１記載のシステムであって、
    前記第2の制御装置は、
    副ボリュームとして指定され、かつ参照ができ更新ができない属性が付加されたボリュームに対して、
    前記第1の制御装置からの更新を受け付けることを特徴とするシステム。
11. 請求項１記載のシステムであって、
    前記第1の制御装置は、
    参照ができ更新ができない属性を付加するボリュームの指定を受信し、
    指定されたボリュームが副ボリュームとして設定されていた場合、
    前記指定を受け付けることができない旨を出力することを特徴とするシステム。
12. 請求項１１記載のシステムであって、
    前記第1の制御装置は、
    指定されたボリュームが、正ボリュームとして設定されていた場合、
    指定されたボリュームに格納されるデータのコピー先である副ボリュームに、参照でき更新ができない属性を付加するよう前記第2の制御装置に指示することを特徴とするシステム。
13. 請求項１記載のシステムであって、
    前記第1の制御装置は、前記第1の記憶装置に格納されるボリュームに対し、参照でき更新ができない属性を設定した時点から、前記第1の記憶装置に格納されるボリュームに対して実行される処理の記録をとり、
    当該ボリュームが正ボリュームとして指定されている場合は、前記第1の記憶装置に格納されるボリュームに対して実行される処理の記録を前記第2の制御装置に送信することを特徴とするシステム。
14. 第1の記憶装置と前記第1の記憶装置を制御する第1の制御装置とを有する第1の記憶装置システムと、
    第2の記憶装置と前記第2の記憶装置を制御する第2の制御装置とを有し、前記第１の記憶装置システムと接続される第2の記憶装置システムとで実行されるプログラムであって、
    前記第1の記憶装置システムが正ボリュームの指定を受信するためのコードと、
    前記第2の記憶装置システムが、正ボリュームとして指定されるボリュームに格納されるデータのコピーを格納する副ボリュームの指定を受信するためのコードと、
    前記正ボリュームとして指定されたボリュームに、参照と更新ができる属性か、参照ができ更新ができない属性のいずれの属性が付加されているかを判断するためのコードと、
    前記正ボリュームとして指定されたボリュームが、参照ができ更新ができない属性のボリュームである場合、副ボリュームとして指定されるボリュームに参照ができ更新ができない旨の属性を付加するためのコードを有することを特徴とするシステムのプログラム。
15. 請求項１４記載のシステムのプログラムであって、
    さらに、副ボリュームとして指定されたボリュームに、参照と更新ができる属性か、参照ができ更新ができない属性のいずれの属性が付加されているかを判断するためのコードと、
    副ボリュームとして指定されたボリュームが、参照ができ更新ができない属性のボリュームである場合、前記副ボリュームの指定を受け付けることができない旨を出力するためのコードとを有することを特徴とするシステムのプログラム。
16. 請求項１４記載のシステムのプログラムであって、
    さらに、前記第1の記憶装置内のボリュームのうち、参照ができ更新ができない属性を付加するボリュームの指定を受信するためのコードと、
    指定されたボリュームが副ボリュームとして設定されていた場合、参照ができ更新ができない属性を前記指定されたボリュームに付加できない旨を出力するためのコードとを有することを特徴とするシステムのプログラム。
17. 請求項１６記載のシステムのプログラムであって、
    さらに、参照ができ更新ができない属性を付加するよう指定されたボリュームが、正ボリュームとして設定されているボリュームである場合、
    指定されたボリュームに格納されるデータのコピー先である副ボリュームに、参照ができ更新ができない属性を付加するためのコードを有することを特徴とするシステムのプログラム。
18. 管理端末と、
    第1の記憶装置と前記第1の記憶装置を制御する第1の制御装置とを有する第1の記憶装置システムと、
    第2の記憶装置と前記第2の記憶装置を制御する第2の制御装置とを有する第2の記憶装置システムとを有するシステムであって、
    前記第1の記憶装置システムと前記第2の記憶装置システムは、接続されており、
    前記第1の記憶装置と前記第2の記憶装置には、それぞれ、参照と更新ができる属性のボリュームと、参照ができ更新ができない属性のいずれかが付加されたボリュームが含まれており、
    前記管理端末は、正ボリュームを前記第1の制御装置に指定し、正ボリュームに格納されるデータのコピーを格納する副ボリュームを前記第2の制御装置に指定し、
    前記第1の制御装置は、前記正ボリュームとして指定されたボリュームに、参照と更新ができる属性か、参照ができ更新ができない属性のいずれの属性が付加されているかを判断し、
    前記正ボリュームとして指定されたボリュームが、参照ができ更新ができない属性のボリュームである場合、前記副ボリュームとして指定されたボリュームに、参照ができ更新ができない属性を付加するよう前記第2の制御装置に指示することを特徴とするシステム。
19. 請求項１８記載のシステムであって、
    前記第２の制御装置は、前記副ボリュームとして指定されたボリュームに、参照と更新ができる属性か、参照ができ更新ができない属性のいずれの属性が付加されているかを判断し、
    前記副ボリュームとして指定されたボリュームが、参照ができ更新ができない属性が付加されたのボリュームである場合、
    前記管理端末に、前記副ボリュームとしての指定を受け付けることができない旨を通知することを特徴とするシステム。
20. 請求項１８記載のシステムであって、
    前記管理端末は、
    前記第1の記憶装置内のボリュームのうち、参照ができ更新ができない属性を付加するボリュームを指定し、
    前記第１の制御装置は、指定されたボリュームが副ボリュームである場合、前記指定を受け付けることができない旨を前記管理端末に通知し、
    指定されたボリュームが、正ボリュームである場合、前記指定されたボリュームに格納されるデータのコピー先である副ボリュームに、参照ができ更新ができない属性を付加するよう前記第2の制御装置に指示することを特徴とするシステム。
    

Images