JP2006092154A - ストレージシステム及びストレージ制御方法 - Google Patents

Abstract

【課題】 記憶装置と記憶装置及びホストコンピュータとのデータ転送を制御するディスク制御装置で構成するストレージシステムにおける、記憶装置を構成する記憶媒体のセキュリティを高める。
【解決手段】 記憶装置１４５と記憶装置及びホストコンピュータ１０５とのデータ転送を制御するディスク制御装置１１５で構成するストレージシステムに記憶装置１４５、記憶媒体１５０、または論理デバイス単位のパスワードを管理するパスワード管理テーブル１３０と、その記憶装置１４５、記憶媒体１５０、論理デバイス単位でパスワード設定、及び解除を実行する機能を持たせる。
【選択図】 図１

Description

本発明は、１つ、または複数のディスクで構成する記憶装置と記憶装置を制御するディスク制御装置で構成するストレージシステムのセキュリティ技術に関する。

証券、医療など様々な分野でメールなどの電子記録や履歴情報などのデータ保存とその保存期間について法整備が進んでいる。例えば米国では米国企業改革法(SOX)や米証券取引委員会規則17条a-4(SEC17 a-4)などである。これらの情報には顧客情報や企業の機密情報が含まれていることが多いため、情報流出防止やプライバシーの保護が必須である。さらに長期保存出来ることが必要ではあるが、必要な時には迅速にそのデータを取り出せなければならない。長期保存目的のデータは参照される確率もそれほど高くないということからローコストであるテープ装置へ退避させるのが一般的であった。

しかし、上記のように必要な時に迅速にデータを取り出すという要件を性能的に劣るテープ装置で満たすことは難しい。このような背景の中、高性能、高信頼なハイエンドストレージで扱うような参照可能性は高くはないが、テープ装置などローエンドストレージに格納するほど参照可能性は低くなく、かつある程度性能が要求されるデータを格納するためのストレージシステムが要求される。このようにその時々のデータの性質に応じてそのデータ格納場所を最適化することによる管理コストの低減を図るソリューションが登場した。このソリューションは、データライフサイクル管理や情報ライフサイクル管理と呼ばれている。

各ストレージベンダはこのソリューションでニアラインストレージという製品を発表している。多くのニアラインストレージ製品はSerial ATA（attachment(IDEとも呼ばれる））(SATA)ドライブが使われている。ハイエンドストレージで多く使われているファイバチャネルドライブと比較して性能は劣るが低コスト、ローエンドストレージであるテープ装置と比較してコストは上がるが高性能ということからニアラインストレージのドライブとして用いられている。また、ハイエンドストレージでも装置内でデータライフサイクル管理を可能にするためにSATAドライブ適用の可能性がある。このような性質のデータを扱うストレージシステムに対して先で述べたように情報流出防止やプライバシーの侵害が起きることは望ましくない。ストレージシステムのセキュリティ技術については記憶装置を論理分割した論理ユニットLUNと呼ばれる単位でホストコンピュータのアクセスを制限するLUNマスキング（ストレージベンダによって呼び方は異なるが、ここではLUNマスキングと呼ぶことにする）がある。また、ネットワーク接続前のセキュリティ技術においては、ホストコンピュータとストレージシステム間はファイバチャネルによるネットワーク接続が主流であるが、そのネットワークを構築するために必要なスイッチにもゾーニングと呼ばれる技術がある。ゾーニング技術にも幾つか種類があり、スイッチのポートに依存するポートゾーニングとホストコンピュータやストレージシステムに依存するWWN（World Wide Name）ゾーニングがある。

以上のような技術は、ストレージシステムに格納されているデータへのアクセスを制限することにより、不当なホストコンピュータからのアクセスが遮断できるので、データ改ざんや漏洩のリスクを抑えられる。

一方、データ保護技術としては、データの改ざんや無断消去防止を目的とする、一度書き込んだデータは読み出しのみ可能で更新できないWORM（Write Once,Read Many)がある。ニアラインストレージに多く採用されているSATAはもともとパラレル伝送方式のATAをシリアル化することで転送性能を向上させ、さらに機能拡張したものである（非特許文献１）。ATAで規格化された機能の中にドライブに格納されたユーザデータへのアクセスを制限するパスワードシステムというものがある。尚、このパスワードシステムに関連する公知文献が開示されている（特許文献１）。

また、ＨＤＤ(hard disc drive)パスワードをシステムBIOS(Basic Input & Output System）が自動的に設定するハードディスクのプライバシー保護システムを提供するＨＤＤを搭載したコンピュータシステムのパスワード制御方法が開示されている（特許文献２）。
特開２００４−０７８５３９号公報 特開平１１−０８５４０７号公報 ＡＴＡ−３ ｄｒａｆｔ

ファイバチャネルを介して操作されるドライブを搭載する従来のストレージシステムにおけるセキュリティ技術として先にも述べたようなLUNマスキングやゾーニングは、不当なホストコンピュータがストレージシステムへのアクセスを許可していたホストコンピュータに成りすますことで、ストレージシステムへ不正にアクセスでき、データ改ざんや漏洩につながる。これを解決するためには、不正にアクセスされてもストレージシステムのドライブ自体で制限をかけておけばよい。特許文献１では、ATA準拠のパスワードの設定機能を有するパーソナルコンピュータ等のハードディスクへのパスワード設定、解除をユーザに意識させずにシステムBIOSが自動的に処理する技術が示されている。しかし、特許文献１で開示された技術は、あくまでもパーソナルコンピュータがターゲットであり、またストレージシステムに目を向けるとSATAディスク搭載の製品が登場してまだ間もないこともありこのパスワードシステムを備えている製品はない。

一方、ストレージシステムで多く使用されているファイバチャネルを介して操作されるドライブでは、そもそもパスワードを用いたネットワーク接続後のセキュリティを保護する点は考慮されていなかった。

そこで、本発明は、ネットワーク接続後のセキュリティ技術としてパスワードを設定可能なドライブを用いて情報漏えいを防ぐことができるストレージシステムを提供することを目的とするものである。

上記課題を解決するため、本発明のストレージシステムは、主に次のような構成を採用する。ネットワークとのインタフェースを備えるチャネル制御部と、記憶装置とのインタフェースを備えるディスク制御部と、不揮発メモリ部を備え、前記記憶装置は多数の記憶媒体で構成するディスク制御装置において、前記不揮発メモリ部に前記記憶装置を構成する記憶媒体に対応するパスワードを管理するテーブルが格納され、所定のタイミングを契機に、前記パスワードを使って該記憶媒体をロック、またはそのロックを解除する構成とする。

更に上記課題を解決するため、本発明のストレージシステムは、２つのストレージシステムが主・副の関係にあり、主ストレージシステムと副ストレージシステム間が伝送路を介して接続されており、主ストレージシステムの情報を副ストレージシステムへ移行・複写した場合に副ストレージシステムの記憶媒体に対するパスワード設定・解除手段、及びそのパスワードを管理するテーブルを有する構成とする。

本発明によれば、記憶装置と記憶装置及びホストコンピュータとのデータ転送を制御するディスク制御装置で構成するストレージシステムにおいて、記憶装置を構成する記憶媒体の情報漏えいに対するセキュリティを高めることが出来る。

これにより、たとえ記憶装置から記憶媒体自体が取り出されたとしても、パスワードを使って記憶媒体のロックを解除しなければ記憶媒体内の情報を読み取ることができないので、着脱型の記憶媒体の情報漏えいに対するセキュリティを高めることが出来る。

本発明のディスク制御装置に係る実施の形態について、図面を参照しながら以下詳細に説明する。
図１は、ストレージシステムの他の構成例を示す図である。図１においてホストコンピュータ（以下、ホストという。）１０５はネットワーク１１０を介してディスク制御装置１１５のチャネル制御部１２０に接続されている。ここで、ホスト１０５とディスク制御装置１１５間のネットワーク１１０は、ファイバチャネルプロトコルやｉＳＣＳＩプロトコルで通信可能となるように、スイッチやルータなどで構成する。ディスク制御装置１１５は、ホスト１０５と記憶装置１４５間のデータを制御する。ディスク制御装置１１５はネットワーク１１０とのインタフェースを備えるチャネル制御部１２０、記憶装置１４５とのインタフェースを備えるディスク制御部１４０、及び不揮発メモリ部１２５で構成する。

チャネル制御部１２０は、ファイバチャネルプロトコルを処理するＩ／ＦチップやｉＳＣＳＩ(internet small computer system interface)プロトコルを処理するＩ／Ｆチップと、それらチップのファームウェアとそのファームウェアに必要なデータ、ネットワークを介してホストと送受信する一時的なデータ格納場所としてメモリを含む構成となる。

不揮発メモリ部１２５は、ホスト１０５から頻繁にアクセスされるデータやホスト１０５から送られたデータの一時的な格納場所であるキャッシュメモリ（図示せず）やディスク制御装置１４０内部の管理情報や各種制御情報の格納場所であるシェアードメモリ（図示せず）で構成する。なお、図１ではキャッシュメモリやシェアードメモリを１つの不揮発メモリ部で管理しているが、キャッシュメモリ、シェアードメモリそれぞれに各制御部を設けて別々の管理としても構わない。不揮発メモリ部１２５は、パスワード管理テーブル１３０とジョブ管理キュー１３５を含む。

記憶装置１４５は、複数の記憶媒体１５０で構成する。本実施の形態例の記憶媒体はＳＡＴＡドライブとする。なお、図１では記憶媒体１５０はディスク制御部１４０と直結した図としているが、拡張性を考えハブ相当の機能を有するデバイスで接続してもよい。これらの記憶媒体に対するパスワードは不揮発メモリ部１２５に格納されるパスワード管理テーブル１３０で管理する。パスワード管理テーブル１３０については図５で一例を挙げて説明する。
ジョブ管理キュー１３５はホスト１０５からのデータ入出力要求に対する記憶装置への処理をディスク制御部１４０に通知するために蓄えておく蓄積部である。

ここで、ホスト１０５がディスク制御装置１１５、記憶装置１４５に対して発行するファイバチャネルプロトコルやｉＳＣＳＩプロトコルに基づく要求は、実際はＳＣＳＩコマンドである。そこで、ＳＡＴＡコマンドで操作可能であって、複数の記憶媒体１５０に対してある管理単位毎に定めるパスワードを用いたセキュリティ機能を備えたＳＡＴＡドライブで構成する記憶装置１４５に対してディスク制御装置１１５でＳＣＳＩコマンドからＡＴＡコマンドへ変換する機能が必要となる。この変換する機能をディスク制御部１４０に持たせる。具体的にこの変換する機能は媒体変換部１４２である。

また、ディスク制御装置１１５の構成変更、モニタリング及び制御等を外部から行えるように、ディスク制御装置１１５には管理端末１５５を設ける。ここで、不揮発メモリ部１２５で管理するパスワード管理テーブル１３０を、図１のように管理端末１５５で管理することも可能である。

図２は、ストレージシステムの他の構成例を示す図である。特に説明のない部分は図１と同じものとして同じ符号を付してその説明を省略する。図１と比較すると、記憶装置２０５の構成が異なる。図１では、ＳＣＳＩコマンドをＳＡＴＡコマンドへ変換する媒体変換部分１４２がディスク制御部１４０であったのに対し、図２では記憶装置２０５内の媒体変換部２２５が変換する。従って、記憶装置２０５内で複数種類の記憶媒体が混在可能となる。２１０は第１記憶媒体で例えばＳＣＳＩコマンドで直接操作可能なファイバチャネルドライブとする。ここでファイバチャネルドライブで構成する第１の記憶媒体２１０はループ接続、可能であればスイッチで接続した構成でもよい。２２０は第２記憶媒体でファイバチャネルドライブとは異なるＳＡＴＡコマンドで操作可能であって、複数の記憶媒体２２０に対してある管理単位毎に定めるパスワードを用いたセキュリティ機能を備えたＳＡＴＡドライブとする。２２５は媒体変換部でＳＣＳＩコマンドをＳＡＴＡコマンドへ変換する機能を有する。

図３は、ストレージシステムの他の構成例を示す図である。特に説明のない部分は図１、図２と同じものとして同じ符号を付してその説明を省略する。図１、図２と比較し、ディスク制御装置１１５，３１５と記憶装置１４５，３４５で構成するストレージシステムが２つ存在し、それぞれのストレージシステム同士が接続されている点で異なる。このような形態は、バックアップや先に述べたデータライフサイクル管理等に用いられる。図３の記憶装置１４５と記憶装置３４５の記憶媒体１５０、３５０は異なる記憶媒体で例えば記憶媒体１５０はＳＣＳＩコマンドで直接操作可能なファイバチャネルドライブ、記憶媒体３５０はＳＡＴＡコマンドで操作可能であって、複数の記憶媒体２２０に対してある管理単位毎に定めるパスワードを用いたセキュリティ機能を備えたＳＡＴＡドライブとすると、パスワードを設定するのは記憶装置３４５となる。この場合、記憶装置３４５は図２で示すように媒体変換部２２５によって記憶装置３４５内でコマンド変換をすることも可能である。なお、記憶媒体３５０のパスワードは、仮にディスク制御装置３１５で障害が発生した場合を想定しディスク制御装置１１５、または管理端末１５５で管理しても良い。

以下、図１の構成をもとに動作について説明する。
図４は、記憶装置４０５（図１の１４５に相当する）の記憶媒体４１０（図１の１５０に相当する）を模式化した図である。図４を用いて、セキュリティレベルについて説明する。
実際に記憶装置４０５をホスト１０５に認識させる場合、管理上の観点から複数の記憶媒体を束ねた形で認識させるのが一般的である。ここでは、複数の記憶媒体を束ねた形を論理デバイス４２５と呼ぶことにする。

ここでは、セキュリティレベルを少なくとも３つ設ける。第1のレベルは、記憶装置４０５内の全記憶媒体４１０にパスワードを用いてロックをかけることである。第2のレベルは、記憶装置４０５内の論理デバイス４２５単位でパスワードを用いてロックをかけることである。第3のレベルは、記憶装置４０５内の記憶媒体４１０単位でパスワードを用いてロックをかけることである。第1のレベルは、文字通り全領域がパスワードを用いてロックされることになるため最もセキュリティが高い状態となる。情報漏えいに関しては最も強固である。第2のレベルは、例えばホスト１０５と論理デバイスが対応付けられるような場合、各ホスト１０５毎でパスワードの設定可否の選択が可能になる。第3のレベルは、記憶装置４０５の中で、キーとなる記憶媒体にだけパスワードをかけることを可能にする。このようなレベルを設定することは、ユーザの要求に柔軟に対応できるということである。また、通常ストレージシステムに搭載される記憶媒体の台数は何千台にも及ぶ。単にパスワードをかけるといっても、数台であればさほど問題にはならないが、何千台にもなると時間と労力が膨大にかかる。セキュリティ強度としては強力になるが、必ずしも全てにパスワードをかけなくてもある範囲だけでデータは守られるというケースもある。こういうケースにも対応することが出来る。

図５は、パスワード管理テーブルの一例を示した図である。５１０は記憶媒体位置で、図４の位置識別子４２０の内容が含まれる。５１５は論理デバイス識別子で記憶装置を論理的に区切った単位（論理デバイス）に付けられる識別子を含む。図５では記憶媒体位置５１０の”００””０１”が１つの論理デバイスを形成し、この論理デバイスに対して論理デバイス識別子”１”が割り当てられていることを示している。５２０は、パスワードＰＷであり、記憶媒体にかけるパスワードを含む。このパスワードは、記憶媒体毎に、論理デバイス毎に異なるパスワードを設定しても良いが、記憶装置全体で統一したパスワードを設定することも可能で、その場合はパスワードＰＷ５２０は全て同じパスワードが入る。また、全て同じパスワードを設定する場合は、不揮発メモリの使用領域を減らすために図５のようなパスワードＰＷ５２０の列を設けず、このテーブルとは別にパスワードフィールドを設け、そのパスワードフィールドに設定したパスワードを設定するようにしてもよい。５２５はパスワードをかける範囲となる単位を示すもので、例えば記憶媒体単体の場合は”記憶媒体”が、論理デバイス単位の場合は”論理デバイス”となる。ここで、”論理デバイス”が指定され、パスワードＰＷ５２０に登録されているパスワードが異なる場合は、例えば、記憶媒体位置の一番若い記憶媒体のパスワードを使う。５３０は、設定・解除可否の状態を示す。この列は、記憶媒体へのセキュリティ設定の可否を指定する目的で使うと共に、ストレージシステムの電源が投入されたときに、パスワード設定をする記憶媒体をストレージシステム自身で判断するための基準ともなる。このようなテーブルを設けることでどの記憶媒体に、もしくはどの論理デバイスにどのパスワードを設定するかを管理出来る。

図６は、ストレージシステムが電源ＯＮとなった場合のパスワード設定フローを示す図である。まず、ストレージシステムの電源がＯＮとなる（ステップＳ６０５）と、ストレージシステムがパスワードを生成し不揮発メモリへ格納する（ステップＳ６１０）。ここで、パスワードを生成するのはストレージシステムのチャネル制御部であり、またはディスク制御部であってもよい。また、パスワード生成は、乱数等を用いても、記憶媒体の物理的な位置をキーとして生成してもよい。ディスク制御装置が不揮発メモリから生成したパスワードを読み出し(ステップＳ６１５)、記憶媒体に対してパスワード設定コマンドを発行することで終了する。

図７は、ストレージシステムの電源がＯＮとなり、管理端末でパスワードを管理する場合のパスワード設定フローチャートを示す図である。まず、ストレージシステムの電源がＯＮとなると（ステップ７０５）、管理端末でパスワードが生成される（ステップ７１０）。ここで、パスワード生成は、乱数等を用いても、記憶媒体の物理的な位置をキーとして生成してもよい。生成したパスワードは、ストレージシステムの不揮発メモリへと転送され（ステップ７１５）、不揮発メモリ上のパスワード管理テーブルのパスワード列へ格納する（ステップ７２０）。ディスク制御部が不揮発メモリからパスワードを読み出し(ステップＳ７２５)、記憶媒体へパスワード設定コマンドを発行し（ステップＳ７３０）終了する。

図８は、ストレージシステムの装置のドアがあけられたタイミングでのパスワード設定フローチャートを示す図である。図８は、記憶装置からＳＡＴＡドライブが取り出される状態を示すものである。
装置のドアが開けられたことかどうかを判定し（Ｓステップ８０５）、開けられたことを検知した場合、ディスク制御部に例えば停止処理などのジョブ管理キューを介してパスワード設定指示を出す（ステップＳ８１５）。そうでなければ、通常処理（ステップＳ８１０）をする。パスワード設定指示はチャネル制御部や管理端末である。ディスク制御部が不揮発メモリからパスワードを読み出し（ステップＳ８２５）、記憶媒体へパスワード設定コマンドを発行し（ステップＳ８３０）、終了となる。

図９は、ホストからストレージシステムに対する最初の入出力要求を受信したタイミングでのパスワード設定フローチャートを示す図である。チャネル制御部がホストからの最初の入出力要求を受信すると（ステップＳ９０５）、受信した入出力要求を解析（ステップＳ９１０）し、その内容をジョブ管理キューに登録する（ステップＳ９１５）。ディスク制御部でジョブ管理キューに登録された処理を実行し、その結果をチャネル制御部へ報告し、チャネル制御部がその結果をホストへ送信する（ステップＳ９２０）。その後、不揮発メモリからその処理対象となった記憶媒体、または論理デバイスに対するパスワードを読み出し（ステップＳ９２５）、該記憶媒体、または論理デバイスに対してパスワード設定コマンドを発行する（ステッＳ９３０）ことで終了となる。以降は、入出力要求に対する処理が続く。

図１０は、２つのストレージシステム間で情報の移行、もしくは複写が指示されたタイミングでの移行／複写先のストレージシステムの記憶媒体に対するパスワード設定フローチャートを示す図である。ここでは、情報の移行／複写元を第１ストレージシステム、移行／複写先を第２ストレージシステムとする。管理端末から情報移行、もしくは複写が指示される（ステップＳ１００５）と、第１ストレージシステムが第２ストレージシステムへコマンドを発行（ステッＳ１０１０）する。具体的にはライトコマンドである。第２ストレージシステムがコマンドを受信したかどうか判定し（ステップＳ１０１５）、受信したらそのコマンドを解析し、処理する（ステップＳ１０２０）。処理が終了するまで（ステップＳ１０４５）ステップＳ１０１５、Ｓ１０２０を繰り返す。処理が終了したら、第２ストレージシステムがその処理に対するステータスを第１ストレージシステムへ送信する（ステップＳ１０３０）。第１ストレージシステムは第２ストレージシステムが送信したステータスを受信し、そのステータスを解析した（ステップＳ１０５０）後処理終了となる。一方、第２ストレージシステムでは、ディスク制御装置が不揮発メモリからパスワードを読み出し（ステップＳ１０３５）、パスワード設定コマンドを対象記憶媒体、もしくは論理デバイスへ発行（ステップＳ１０４０）し終了となる。

図１１は、ストレージシステムの電源がＯＮになったときのパスワード解除フローチャートを示す図である。まず、ストレージシステムの電源がＯＮになると（ステップＳ１１０５）、ディスク制御装置が不揮発メモリからパスワードを読み出し（ステップＳ１１１０）、記憶媒体、または論理デバイスに対してロック解除コマンドを発行（ステップＳ１１１５）して終了となる。

図１２は、ホストから該記憶媒体、または論理デバイスに対する最初の入出力要求を受信したタイミングでのパスワード解除フローチャートを示す図である。ホストから最初の入出力要求を受信すると、その要求を解析する（ステップＳ１２１０）。チャネル制御部がディスク制御部に対してジョブ管理キューを介してパスワード解除を指示する（ステップＳ１２１５）。ディスク制御部は不揮発メモリから対象記憶媒体、または論理デバイスのパスワードを読み出し（ステップＳ１２２０）、パスワード解除コマンドを発行する（ステップＳ１２２５）。以降、受信した入出力要求を処理する（ステップＳ１２３０）。

図１３は、ホストからのストレージシステムの記憶媒体、もしくは論理デバイスに対するログイン要求を受信したタイミングでのパスワード解除フローチャートを示す図である。なお、ログイン処理が必要なｉＳＣＳＩを例にとって説明する。ホストやストレージシステムの記憶媒体や論理デバイスに対してｉＳＣＳＩＮａｍｅと呼ばれるユニークな識別子が割り当てられる。このｉＳＣＳＩＮａｍｅを図５のパスワード管理テーブルに例えばｉＳＣＳＩＮａｍｅという列を設けて管理してもよい。ストレージシステムはホストから自身のｉＳＣＳＩｎａｍｅを含むログイン要求を受信すると（ステップＳ１３０１）、そのログイン要求を解析する（ステップＳ１３０５）。セキュリティ上、ログイン要求の送信元のホストが正規ホストかどうかを判定し（ステップＳ１３１０）、正規ホストであれば、ディスク制御装置へパスワード解除を指示する（ステップＳ１３２０）。そうでなければ、拒絶応答をホストへ送信して（ステップＳ１３１５）終了する。ディスク制御部が対象記憶媒体、もしくは論理デバイスのパスワードを不揮発メモリから読み出し（ステップＳ１３２５）、パスワードロック解除コマンドを発行する（ステップＳ１３３０）。最後にログイン許可応答をホストに送信して（ステップＳ１３３５）終了となる。

図１４は、２つのストレージシステム間において、第１ストレージシステムの情報を第２ストレージシステムへデータ移行した場合に第２ストレージシステムに格納されたデータを参照するタイミングでの第２ストレージシステムの記憶媒体、もしくは論理デバイスのパスワードロック解除フローチャートを示す図である。なお、第２ストレージシステムには第１ストレージシステムのほかに、ネットワークを介してホストが接続されているとする。第２ストレージシステムに対して第１ストレージシステム、もしくはホストからデータ参照要求を受信したら（ステップＳ１４０５）、その要求を解析する（ステップＳ１４１０）。第２ストレージシステムのチャネル制御部は第２ストレージシステムの対象記憶媒体、もしくは論理デバイスに対してロック解除を指示する（ステップＳ１４１５）。ディスク制御部が不揮発メモリから対象記憶媒体、もしくは論理デバイスのパスワードを読み出し（ステップＳ１４２０）、パスワードロック解除コマンドを発行する（ステップＳ１４２５）。その後、データ参照要求の内容に従い処理される（ステップＳ１４３０）。

図１５は、パスワード設定後のデータ読み出しのフローチャートを示す図である。図１５は、パスワード設定後にホストからデータ読み出しの要求があった場合のストレージシステムの処理を示すものである。
図１５において、ストレージシステムのディスク制御装置でパスワード設定処理が行われる（ステップＳ１５０５）。ホストからデータ読み出しの要求があった場合（ステップＳ１５１０）、ディスク制御装置は、パスワードによりロックが解除されているか否かを判断し（ステップＳ１５１５）、ロックが解除されているときはデータ読み出しの要求対して処理を行い（ステップＳ１５２０）、ロックが解除されていないときはホストに対してエラー状態であることを応答して（ステップＳ１５２５）、終了する。

本実施の形態例によれば、パスワード設定可能な記憶媒体で構成する記憶装置とディスク制御装置で構成するストレージシステムにおいて、単にパスワードを設定することでセキュリティを高めるだけでなく、パスワードをかける範囲や設定するか否かというパラメータを設定することで、本システムの導入先のユーザのニーズに応じたセキュリティ機能を提供可能となる。

なお、上述した本実施の形態例において、ストレージシステムのディスク制御装置でパスワードを設定するコマンドを発行し、パスワードをディスク制御装置の不揮発メモリ部１２５のパスワード管理テーブル１３０に記憶することにより、パスワードが正しいときにのみ、記憶装置に対するデータの読み出し又は書き込みを許可するロック状態にするので、たとえＳＡＴＡコマンドで操作可能であって、複数の記憶媒体２２０に対してある管理単位毎に定めるパスワードを用いたセキュリティ機能を備えたＳＡＴＡドライブ自体が記憶装置から取り出された場合であっても、設定したパスワードが機能しているので、着脱可能なＳＡＴＡドライブの情報漏えいに対するセキュリティを高めることが出来る。

また、パスワードの設定主体は、特に限定するものではないが、起動時のみはディスク制御部が優先的にパスワードを設定可能として、他はチャネル制御部又は管理端末がパスワードを設定可能としてもよい。このとき、パスワードを設定する主体の優先順位としては、第１がディスク制御部、第２がチャネル制御部、第３が管理端末とする。

また、ロック解除のときは、アクセス時に正当な権限を持つホストからのアクセスかどうかを判断するようにすることにより、より、セキュリティを高めることができる。
また、ロックと解除のタイミングは、対応させてもよいし、別であってもよい。

ストレージシステムの一例構成を示す図である。 ストレージシステムの他の構成例を示す図である。 ストレージシステムの他の構成例を示す図である。 記憶装置の模式図である。 パスワード管理テーブルの一例を示した図である。 ストレージシステムが電源ＯＮとなった場合のパスワード設定フローチャートを示す図である。 ストレージシステムの電源がＯＮとなり、管理端末でパスワードを管理する場合のパスワード設定フローチャートを示す図である。 ストレージシステムの装置があけられたタイミングでのパスワード設定フローチャートを示す図である。 ホストコンピュータからストレージシステムに対する最初の入出力要求を受信したタイミングでのパスワード設定フローチャートを示す図である。 ２つのストレージシステム間で情報の移行、もしくは複写が指示されたタイミングでの移行／複写先のストレージシステムの記憶媒体に対するパスワード設定フローチャートを示す図である。 ストレージシステムの電源がＯＮになったときのパスワード解除フローチャートを示す図である。 ホストから該記憶媒体、または論理デバイスに対する最初の入出力要求を受信したタイミングでのパスワード解除フローチャートを示す図である。 ホストからのストレージシステムの記憶媒体、もしくは論理デバイスに対するログイン要求を受信したタイミングでのパスワード解除フローチャートを示す図である。 ２つのストレージシステム間において、第１ストレージシステムの情報を第２ストレージシステムへデータ移行した場合に第２ストレージシステムに格納されたデータを参照するタイミングでの第２ストレージシステムの記憶媒体、もしくは論理デバイスのパスワードロック解除フローチャートを示す図である。 パスワード設定後のデータ読み出しのフローチャートを示す図である。

符号の説明

１０５…ホスト、１１０…ネットワーク、１１５…ディスク制御装置、１２０…チャネル制御部、１２５…不揮発メモリ部、１３０…パスワード管理テーブル、１３５…ジョブ管理キュー、１４０…ディスク制御部、１４２…媒体変換部、１４５…記憶装置、１５０…記憶媒体、１５５…管理端末

Claims (21)

1. ネットワークに接続するストレージシステムであって、
   前記ストレージシステムはディスク制御装置と記憶装置で構成され、
   前記ディスク制御装置は前記ネットワークとのインタフェースを有するチャネル制御部、及び記憶装置とのインタフェースを有するディスク制御部で構成され、前記記憶装置は複数の記憶媒体で構成され、
   所定のタイミングで前記複数の記憶媒体に対してある管理単位毎に定めるパスワードを用いたロック手段を有することを特徴とするストレージシステム。
2. ネットワークに接続するストレージシステムであって、
   前記ストレージシステムはディスク制御装置と記憶装置で構成され、
   前記ディスク制御装置は前記ネットワークとのインタフェースを有するチャネル制御部、不揮発メモリ及び記憶装置とのインタフェースを有するディスク制御部で構成され、前記記憶装置は複数の記憶媒体で構成され、
   所定のタイミングで前記不揮発メモリで管理するある管理単位毎に定めるパスワードを用いてロックされている前記複数の記憶媒体に対して前記ロックを解除する手段を有することを特徴とするストレージシステム。
3. 前記ロックを解除する手段は、前記記憶装置に対する正当なアクセスか否かを判断する手段を有することを特徴とする請求項２記載のストレージシステム。
4. 前記パスワードは、前記ディスク制御装置内の前記不揮発メモリのパスワード管理テーブルで管理することを特徴とする請求項１又は請求項２記載のストレージシステム
5. 前記パスワードは、前記ストレージシステムに接続される管理端末で管理することを特徴とする請求項１又は請求項２記載のストレージシステム。
6. 前記パスワードは乱数等を用いて生成することを特徴とする請求項４又は請求項５記載のストレージシステム。
7. 前記パスワードは、記憶媒体が存在する場所をキーとして、同一の場所に挿入しないと解除できないようなパスワードを生成することを特徴とする請求項４又は請求項５記載のストレージシステム。
8. 前記記憶媒体は単一の種類であることを特徴とする請求項１又は請求項２記載のストレージシステム。
9. 前記記憶媒体は第1の記憶媒体と第２の記憶媒体で構成することを特徴とする請求項１又は請求項２記載のストレージシステム。
10. 前記複数のすべての記憶媒体を同時にロックし、又はロックを解除することを特徴とする請求項１及び請求項２記載のストレージシステム。
11. 前記記憶装置内の論理デバイス単位でロック、及びロックを解除することを特徴とする請求項１又は請求項２記載のストレージシステム。
12. 前記記憶装置内の特定の記憶媒体のみのロック、及びロックを解除することを特徴とする請求項１又は請求項２記載のストレージシステム。
13. ディスク制御装置と記憶装置で構成されるストレージシステムの前記記憶装置内の記憶媒体をパスワードを使ってロックするストレージ制御方法であって、
    前記ストレージシステムの電源が投入され前記ストレージシステムの初期化処理中にストレージシステムがパスワードを生成し、前記ディスク制御装置内の不揮発メモリ部へ格納するステップと、
    前記ディスク制御装置内で複数の記憶媒体に対して設けられるディスク制御部が前記不揮発メモリ上に格納されたパスワードを読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って記憶媒体に対してパスワード設定コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
14. ディスク制御装置と記憶装置で構成されるストレージシステムの前記記憶装置内の記憶媒体をパスワードを使ってロックするストレージ制御方法であって、
    前記ストレージシステムに接続される管理端末が記憶媒体に対するパスワードを生成し、前記ディスク制御装置内の不揮発メモリ部へ格納するステップと、
    前記ディスク制御装置内で複数の記憶媒体に対して設けられるディスク制御部が前記不揮発メモリ上に格納されたパスワードを読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って記憶媒体に対してパスワード設定コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
15. ディスク制御装置と記憶装置で構成されるストレージシステムの前記記憶装置内の記憶媒体をパスワードを使ってロックするストレージ制御方法であって、
    前記ストレージシステムの装置のドアが開けられたことを前記ディスク制御装置内のチャネル制御部、またはディスク制御部が検出するステップと、
    前記チャネル制御部が検出した場合、ジョブ管理キューを介して前記ディスク制御部に対して記憶媒体に対するパスワード設定を指示するステップと、
    前記ディスク制御部が前記ディスク制御装置内の不揮発メモリ上に格納されたパスワードを読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って記憶媒体に対してパスワード設定コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
16. ディスク制御装置と記憶装置で構成されるストレージシステムの前記記憶装置内の論理デバイスをパスワードを使ってロックするストレージ制御方法であって、
    ホストコンピュータから前記論理デバイスに対して最初の入出力要求をストレージシステムが受信するステップと、
    前記ディスク制御装置内のチャネル制御部、及びディスク制御部によって入出力要求を処理し、前記チャネル制御部がホストコンピュータに対して処理完了を報告するステップと、
    前記ディスク制御部が前記ディスク制御装置内の不揮発メモリ上に格納されたパスワードを読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って記憶媒体に対してパスワード設定コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
17. ディスク制御装置と記憶装置で構成されるストレージシステムの前記記憶装置内の第1の記憶媒体に格納されている情報を第２の記憶媒体へ複写または移行した後で、第２の記憶媒体をパスワードを使ってロックするストレージ制御方法であって、
    前記ストレージシステムに接続される管理端末から第1の記憶媒体の情報を第２の記憶媒体へ移行、もしくは複写をストレージシステムへ指示するステップと、
    前記ディスク制御装置内のチャネル制御部がディスク制御部に対して第1の記憶媒体の情報を第２の記憶媒体へ移行、もしくは複写をジョブ管理キューを介して指示するステップと、
    前記ディスク制御部がその指示に従って第1の記憶媒体から第２の記憶媒体へ情報を移行、もしくは複写するステップと、
    前記ディスク制御部が前記ディスク制御装置内の不揮発メモリ上に格納された第２の記憶媒体に対するパスワードを読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って第２の記憶媒体に対してパスワード設定コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
18. ディスク制御装置と記憶装置で構成されるストレージシステムの前記記憶装置内の記憶媒体をパスワードを使ってロックを解除するストレージ制御方法であって、
    ストレージシステムの動作に関する所定のタイミングの発生を前記ディスク制御装置内のチャネル制御部かディスク制御部、チャネル制御部、又はディスク制御部の役割を統合したストレージ制御部が検出するステップと、
    前記チャネル制御部が検出した場合は、それをディスク制御部に通知するするステップと、
    前記ディスク制御装置内の不揮発メモリ上のパスワード管理テーブルから適切なパスワードを前記ディスク制御部が読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って記憶媒体に対してパスワード解除コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
19. ディスク制御装置と記憶装置で構成されるストレージシステムの記憶装置を論理的に分割したリソースを論理デバイスとし、前記論理デバイスを構成する記憶媒体に対してパスワードを使ってロックを解除するストレージ制御方法であって、
    ホストコンピュータから論理デバイスへのログイン要求を前記ディスク制御装置内のチャネル制御部が受信するステップと、
    前記チャネル制御部が受信したログイン要求を解析し、正当なホストコンピュータからの要求かどうか判定するステップと、
    前記チャネル制御部で正当と判断した場合、前記論理デバイスを構成する記憶媒体のロック解除を前記ディスク制御装置内のディスク制御部へ指示するステップと、
    前記ディスク制御部は前記ディスク制御装置内の不揮発メモリ上のパスワード管理テーブルから適切なパスワードを読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って前記論理デバイスを構成する記憶媒体に対してパスワード解除コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
20. ディスク制御装置と記憶装置で構成されるストレージシステムの記憶装置を論理的に分割したリソースを論理デバイスとし、前記論理デバイスを構成する記憶媒体に対してパスワードを使ってロックを解除するストレージ制御方法であって、
    前記ディスク制御装置内のチャネル制御部がホストコンピュータから発行された最初の入出力要求をネットワークを介して受信するステップと、
    前記チャネル制御部が受信した入出力要求を解析し、その処理をジョブ管理キューを介して前記ディスク制御装置内のディスク制御部に通知するステップと、
    前記ディスク制御部は前記ディスク制御装置内の不揮発メモリ上のパスワード管理テーブルから適切なパスワードを読み出すステップと、
    前記ディスク制御部が読み出したパスワードを使って前記論理デバイスを構成する記憶媒体に対してパスワード解除コマンドを発行するステップと
    を備えたことを特徴とするストレージ制御方法。
21. ネットワークに接続され、記憶装置と前記記憶装置に対する動作を制御するディスク制御装置とを有して構成されるストレージシステムにおいて、
    前記記憶装置は複数の記憶媒体に対してある管理単位毎に定めるパスワードを用いたセキュリティ機能を備え、
    前記パスワードの設定及び解除手段を前記ディスク制御装置内の前記複数の記憶媒体に対して設けられるディスク制御部、又は前記ディスク制御装置内の前記パスワードを用いない前記記憶装置に対するコマンドから前記パスワードを用いた前記記憶装置に対するコマンドに変換する媒体変換部に備え、
    前記ディスク制御装置内の不揮発メモリに前記パスワードを管理するパスワード管理テーブルを設け、
    前記記憶装置に対する前記パスワードの設定範囲をセキュリティレベルに応じて可変して指定可能とすると共に、
    前記記憶装置に対する動作に応じた所定のタイミングで前記パスワードの設定及び解除手段により前記パスワードの設定及び解除を可能とする
    ことを特徴とするストレージシステム。

Images