JP2006185108A - ストレージシステムのデータを管理する管理計算機及びデータ管理方法 - Google Patents

Abstract

【課題】リモートコピーによるペアが構成されたストレージシステムにおいて、ペアに障害が発生したときに、失われるデータを特定する。
【解決手段】
ストレージシステムに接続された管理計算機において、前記ストレージシステムは、データが格納される正論理ボリュームと、前記正論理ボリュームに格納されたデータの複製が格納される副論理ボリュームと、を備え、前記正論理ボリュームと前記副論理ボリュームとはペアを構成し、前記管理計算機は、前記正及び副論理ボリュームに格納されたデータを管理するデータ管理部を有し、前記データ管理部は、前記ペアに関するイベントを取得し、前記イベントが前記ペアに発生した障害によるものであるか否かを判定し、前記イベントが前記障害によるものである場合、当該障害によって失われたデータを判定し、当該失われたデータに関する情報を出力する。
【選択図】 図１

Description

本発明は、データ複製技術を応用したストレージシステムのデータ管理に関する。

複数の装置によって構成されるネットワークにおいて障害が発生した場合、復旧のために、障害が発生した部位を特定する必要がある。しかし、ネットワークの規模が大きくなり、その構成が複雑化すると、障害部位の特定は困難になる。

特許文献１には、管理装置及び管理装置エージェントがネットワーク上の経路の状態を監視することによって、発生した障害の部位を特定するネットワーク管理システムが開示されている。
特開平１０−２２９４７号公報

近年のデータストレージの分野では、ストレージシステムに格納されたデータを保護するため、ストレージのコピー技術を使用したデータの複製が実現されている。このコピー技術によれば、ストレージシステム内の論理ボリュームが、同一の又は他のストレージシステム内の一つ以上の論理ボリュームとペアを構成する。さらに、これらのペアを多段に連結することもできる。このように多段に連結されたペア構成は、カスケード構成と呼ばれる。各ペアにおけるデータ複製の実行を制御することによって、任意の時点の複製データを作成し、保管することができる。

このようなペア構成において、いずれかのペアの状態が変化することによって、他のペアのデータが失われる場合がある。例えば、あるペアでデータ複製が実行されているときに、そのペアで障害が発生すると、データ複製が中断する。その結果、複製先の論理ボリュームのデータの論理的な整合性が失われる。

しかし、各論理ボリュームには、コピー元の論理ボリュームに格納されているデータとは異なる時点のバックアップデータが格納されている場合がある。このため、ペア状態が変化した場合にデータが失われるか否かを判定するために、データのバージョンを参照する必要がある。

さらに、正常なペアの状態には複数の種類がある。障害が発生したときにデータが失われるか否かは、障害が発生する前のペア状態に依存する。

したがって、従来の障害部位特定方法によって、障害が発生したときに失われるデータを特定することはできない。

本発明は、計算機システムに含まれるストレージシステムに接続された管理計算機において、前記ストレージシステムは、データが格納される正論理ボリュームと、前記正論理ボリュームに格納されたデータの複製が格納される副論理ボリュームと、を備え、前記正論理ボリュームと前記副論理ボリュームとはペアを構成し、前記管理計算機は、前記正及び副論理ボリュームに格納されたデータを管理するデータ管理部を有し、前記データ管理部は、前記ペアに関するイベントを取得し、前記イベントが前記ペアに発生した障害によるものであるか否かを判定し、前記イベントが前記障害によるものである場合、当該障害によって失われたデータを判定し、当該失われたデータに関する情報を出力することを特徴とする。

本発明によれば、ペアに障害が発生したときに失われるデータが特定される。さらに、本発明によれば、失われたデータを復旧することができるか否かが表示される。さらに、本発明は、失われたデータの復旧を支援する。

図１は、本発明の実施の形態のコンピュータシステムの構成のブロック図である。

本実施の形態のコンピュータシステムは、管理サーバ１００、一つ以上の業務サーバ１２０及び一つ以上のストレージシステム１４０によって構成される。

管理サーバ１００及び業務サーバ１２０は、ネットワーク１６０によって相互に通信可能に接続される。ネットワーク１６０は、例えば、ＬＡＮ又はいわゆるインターネット等のＩＰネットワークである。

業務サーバ１２０及びストレージシステム１４０は、ストレージエリアネットワーク（ＳＡＮ）１７０によって相互に通信可能に接続される。ＳＡＮ１７０は、ストレージ専用のネットワークであり、ＦＣプロトコル又はＦＣＩＰプロトコル等による通信が行われる。

ストレージシステム１４０は、さらに、ネットワーク１６０によって管理サーバ１００等と通信可能に接続されてもよい。

管理サーバ１００は、本実施の形態のコンピュータシステムを管理するコンピュータである。管理サーバ１００は、入出力装置１０１、ディスク装置１０２、ＣＰＵ１０３、主記憶装置１０４、ネットワークインターフェース（Ｉ／Ｆ）１０５及びこれらを接続するバス１０６によって構成される。

入出力装置１０１は、例えば、表示画面（ディスプレイ）、キーボード、マウス等である。

ディスク装置１０２は、例えば、一つのハードディスクドライブであり、ＣＰＵ１０３によって実行されるプログラム及び当該プログラムを実行する際に必要なデータが格納される（図２参照）。

ＣＰＵ１０３は、管理サーバ１００を制御するプロセッサであり、ディスク装置１０２に格納されたプログラムを実行する。

主記憶装置１０４は、例えば、半導体メモリであり、ＣＰＵ１０３がプログラムを実行する際に使用される。

ネットワークＩ／Ｆ１０５は、管理サーバ１００がネットワーク１６０を介して業務サーバ１２０等と通信するためのインターフェースである。

業務サーバ１２０は、ストレージシステム１４０を使用してファイルシステムを提供したり、ＤＢＭＳ等のアプリケーションを実行することによってユーザの業務を支援するコンピュータである。業務サーバ１２０は、入出力装置１２１、ネットワークＩ／Ｆ１２２、ＣＰＵ１２３、主記憶装置１２４、ディスク装置１２５、データＩ／Ｆ１２６及びこれらを接続するバス１２７によって構成される。

入出力装置１２１は、例えば、表示画面（ディスプレイ）、キーボード、マウス等である。

ネットワークＩ／Ｆ１２２は、業務サーバ１２０がネットワーク１６０を介して管理サーバ１００等と通信するためのインターフェースである。

ＣＰＵ１２３は、業務サーバ１２０を制御するプロセッサであり、ディスク装置１２５に格納されたプログラムを実行する。

主記憶装置１２４は、例えば、半導体メモリであり、ＣＰＵ１２３がプログラムを実行する際に使用される。

ディスク装置１２５は、例えば、一つのハードディスクドライブであり、ＣＰＵ１２３によって実行されるプログラム及び当該プログラムを実行する際に必要なデータが格納される（図３参照）。

データＩ／Ｆ１２６は、業務サーバ１２０がＳＡＮ１７０を介してストレージシステム１４０等と通信するためのインターフェースである。

業務サーバ１２０Ｃの構成は、図示を省略するが、業務サーバ１２０Ａ及び１２０Ｂと同様である。本実施の形態のコンピュータシステムは、さらに多くの業務サーバ１２０を含んでもよい。

ストレージシステム１４０は、業務サーバ１４０からの要求に応じて、データを格納する。

ストレージシステム１４０は、管理用ポート１４１、ポート１４２、ディスク装置１４３及びこれらを制御するディスクコントローラ１４５によって構成される。

管理用ポート１４１は、ストレージシステム１４０がネットワーク１６０を経由して管理サーバ１００等と通信するためのインターフェースである。なお、ストレージシステム１４０は、ネットワーク１６０に接続されなくてもよい。ストレージシステム１４０をネットワーク１６０に接続しない場合、管理用ポート１４１はなくてもよい。

ポート１４２は、ストレージシステム１４０がＳＡＮ１７０を介して業務サーバ１２０等と通信するためのインターフェースである。

論理ボリューム１４４は、複数のハードディスクドライブ（例えば、ＲＡＩＤ）から構成されてもよい。本実施例では、各論理ボリューム１４４は、複数のハードディスクドライブによって構成されるＲＡＩＤを想定している。

論理ボリュームとは、論理的に一つのディスクドライブとして取り扱われる記憶領域である。業務サーバ１２０がストレージシステム１４０で使用するデータは、論理ボリューム１４４に格納される。

ストレージシステム１４０Ｃの構成は、図示を省略するが、ストレージシステム１４０Ａ及び１４０Ｂと同様である。本実施の形態のコンピュータシステムは、さらに多くのストレージシステム１４０を含んでもよい。

ストレージシステム１４０の論理ボリューム１４４に格納されたデータを、業務サーバ１２０を介さずに、ＳＡＮ１７０を介して別のストレージシステム１４０の論理ボリューム１４４に複製（コピー）することができる。このようなデータ複製は、リモートコピーと呼ばれる。また、ストレージシステム１４０の論理ボリューム１４４に格納されたデータを、同じストレージシステム１４０の別の論理ボリューム１４４に複製することもできる。このようなデータ複製は、ローカルコピーと呼ばれる。

これらのように、論理ボリューム１４４間でデータが複製される場合、複製元の論理ボリューム１４４と複製先の論理ボリューム１４４は、二つのボリュームでペアと呼ばれる。複製元の論理ボリューム１４４は正論理ボリューム（ＰＶＯＬ）、複製先の論理ボリューム１４４は副論理ボリューム（ＳＶＯＬ）と呼ばれる。

図２は、本発明の実施の形態の管理サーバ１００のディスク装置１０２の内容の説明図である。

ディスク装置１０２には、少なくとも、データ管理プログラム２０１、ペア状態・業務状態管理テーブル２０２、ボリューム・データ対応管理テーブル２０３及び障害詳細コードテーブル２０４が格納される。これらのプログラム及びテーブルの構成については、後で詳細に説明する。

図３は、本発明の実施の形態の業務サーバ１２０のディスク装置１２５の内容の説明図である。

ストレージシステム１４０に接続された業務サーバ１２０の少なくとも一つには、ペア管理プログラム３０１及びペア構成定義テーブル３０２が格納される。

ペア管理プログラム３０１は、管理サーバ１００等から指示を受けて、論理ボリューム１４４のペアの状態を切り替えるペア操作を実行する。

ペア状態には、「ペア（PAIR）」、「サスペンド（SUSPEND）」、「コピー（COPY）」、「リバースコピー（REVERSE-COPY）」及び「エラー（ERROR）」の五つがある。

「ペア」は、データ複製が行われた結果、ＰＶＯＬとＳＶＯＬに同一のデータが格納された（すなわち、データが二重化された）状態である。「ペア」状態のペアのＰＶＯＬのデータが更新されると、更新されたデータは、データ複製（ローカルコピー又はリモートコピー）によってＳＶＯＬに複製される。その結果、ＰＶＯＬとＳＶＯＬのデータの同一性が維持される。同期コピー（Synchronous copy）が行われる場合、「ペア」状態において、ＰＶＯＬとＳＶＯＬのデータの同一性が維持される（ミラーリング）。

「サスペンド」は、後述するペア操作「分割」が実行された結果、データ複製が停止した状態である。「サスペンド」状態のペアのＰＶＯＬのデータが更新されても、更新されたデータは、ＳＶＯＬに複製されない。このため、「サスペンド」状態のペアのＰＶＯＬとＳＶＯＬには、異なるデータが格納されている場合がある。

「コピー」及び「リバースコピー」は、「サスペンド」状態を「ペア」状態に切り替えるためのデータ複製が行われている状態（すなわち、データ複製が開始されて、まだ完了していない状態）である。「コピー」は、ＰＶＯＬからＳＶＯＬへのデータ複製が行われている状態である。「リバースコピー」は、ＳＶＯＬからＰＶＯＬへのデータ複製が行われている状態である。

「エラー」は、障害が発生した結果、データ複製が停止した状態である。ここで、障害とは、例えば、ＳＡＮ１７０に発生したネットワーク障害又はストレージシステム１４０に発生した障害である。「エラー」状態のペアでは、「サスペンド」状態のときと同様、データ複製が行われない。このため、「エラー」状態は、「サスペンドエラー（SUSPEND ERROR）」とも呼ばれる。したがって、「エラー」状態のペアのＰＶＯＬとＳＶＯＬには、異なるデータが格納されている場合がある。

ペア管理プログラム３０１が実行するペア操作には、「分割（SPLIT）」「同期（RESYNC）」「逆同期（REVERCE-RESYNC）」の三つがある。なお、「逆同期」は、「復元（RESTORE）」とも呼ばれる。

「ペア」状態のペアに「分割」を実行すると、そのペアは「サスペンド」状態になる。

「サスペンド」状態のペアに「同期」を実行すると、そのペアは「コピー」状態となり、ＰＶＯＬのデータがＳＶＯＬに複製される。その複製が終了すると、そのペアは「ペア」状態となる。

なお、後で説明するように、ペアに発生した障害の程度が軽度である場合、「エラー」状態（「サスペンドエラー」状態）のペアに「同期」を実行することができる。その実行の結果は、「サスペンド」状態のペアに「同期」を実行したときと同じである。すなわち、「同期」が実行された「エラー」状態のペアは「コピー」状態となり、ＰＶＯＬのデータがＳＶＯＬに複製される。その複製が終了すると、そのペアは「ペア」状態となる。

「サスペンド」状態のペアに「復元」を実行すると、そのペアは「リバースコピー」状態となり、ＳＶＯＬのデータがＰＶＯＬに複製される。その複製が終了すると、そのペアは「ペア」状態となる。

ペア管理プログラム３０１は、さらに、ペア状態が変更されたことを検出して、その変更を管理サーバ１００に通知してもよい。具体的には、ペア管理プログラム３０１がペア操作を実行したときだけでなく、他のソフトウエアがペア操作を実行したとき、及び、ペアに障害が発生したときに、ペア状態が変更されたこと及び変更後のペア状態を管理サーバ１００に通知する。

なお、ストレージシステム１４０は、管理用ポート１４１を介して、ペア状態の変更を管理サーバ１００に直接通知してもよい。

ペア管理プログラム３０１は、さらに、業務状態が変更されたことを検出して、その変更を管理サーバ１００に通知してもよい。具体的には、いずれかの論理ボリューム１４４について、業務静止化又は業務静止化解除されたことを検出して、業務状態が変更されたこと及び変更後の業務状態を管理サーバ１００に通知する。

ペア構成定義テーブル３０２は、業務サーバ１２０が接続されたストレージシステム１４０内の各論理ボリュームが属するペアに関する情報を含む。ペア構成定義テーブルについては、後で詳細に説明する（図７）。

なお、ペア管理プログラム３０１及びペア構成定義テーブル３０２は、管理サーバ１００のディスク装置１０２に格納されてもよい。その場合、ペア管理プログラム３０１は、ネットワーク１６０に接続された管理用ポート１４１を介してストレージシステム１４０内の論理ボリューム１４４のペア操作を実行する。

図４は、本発明の実施の形態のデータ複製のペア及びコピーグループの説明図である。

図４の例において、ＤＫＣ１、ＤＫＣ２及びＤＫＣ３は、ストレージシステム１４０である。例えば、ＤＫＣ１、ＤＫＣ２及びＤＫＣ３は、それぞれ、ストレージシステム１４０Ａ、１４０Ｂ及び１４０Ｃであってもよい。図４では、ＳＡＮ１７０、業務サーバ１２０等の図示を省略する。

ＤＫＣ１には、ＶＯＬ１０、ＶＯＬ１１及びＶＯＬ１２の三つの論理ボリューム１４４が含まれる。ＤＫＣ２には、ＶＯＬ２０、ＶＯＬ２１及びＶＯＬ２２の三つの論理ボリューム１４４が含まれる。ＤＫＣ３には、ＶＯＬ３０、ＶＯＬ３１、ＶＯＬ３２、ＶＯＬ４０、ＶＯＬ４１及びＶＯＬ４２の六つの論理ボリューム１４４が含まれる。

ＤＫＣ１及びＤＫＣ２の間で、ＶＯＬ１０のデータがＶＯＬ２０に複製される。すなわち、ＶＯＬ１０及びＶＯＬ２０は、ペアを構成する。ここで、ＶＯＬ１０がＰＶＯＬ、ＶＯＬ２０がＳＶＯＬである。このＶＯＬ１０及びＶＯＬ２０によるペアを、ペアＰ１０２０とする。

同様にして、ＶＯＬ１１及びＶＯＬ２１は、ペアＰ１１２１を構成する。ここで、ＶＯＬ１１がＰＶＯＬ、ＶＯＬ２１がＳＶＯＬである。

ＶＯＬ１２及びＶＯＬ２２は、ペアＰ１２２２を構成する。ここで、ＶＯＬ１２がＰＶＯＬ、ＶＯＬ２２がＳＶＯＬである。

これらの３つのペアは、ＤＫＣ１及びＤＫＣ２の間のリモートコピーによるペアである。

ペアＰ１０２０、Ｐ１１２１及びＰ１２２２は、コピーグループＣＧ１２を構成する。コピーグループとは、ペアの集合であり、ペア操作の単位とすることができる。ペア操作は個々のペアに対して実行することができるが、コピーグループを指定することによって、複数のペア操作を一括して実施することもできる。コピーグループがデータ整合性を保障する場合、一つのコピーグループ内では、ＰＶＯＬが更新されると、その更新の順にＳＶＯＬが更新される。例えば、ＶＯＬ１０のデータＡ（図示省略）が更新され、次にＶＯＬ１１のデータＢ（図示省略）が更新される場合、データＡがＶＯＬ１０からＶＯＬ２０に複製され、次にデータＢがＶＯＬ１１からＶＯＬ２１に複製される。このようにデータの更新順序が維持されることによって、コピーグループ内のデータの相互の整合性が維持される。

例えば、一つのアプリケーションの一つのインスタンスに関する複数のペアを一つのコピーグループとしてもよいし、一つのデータベースに関する複数のペアを一つのコピーグループとしてもよい。

同様にして、ＶＯＬ２０、ＶＯＬ２１及びＶＯＬ２２は、それぞれ、ＶＯＬ３０、ＶＯＬ３１及びＶＯＬ３２と、リモートコピーによるペアＰ２０３０、Ｐ２１３１及びＰ２２３２を構成する。これらのペアにおいては、ＶＯＬ２０、ＶＯＬ２１及びＶＯＬ２２がＰＶＯＬであり、ＶＯＬ３０、ＶＯＬ３１及びＶＯＬ３２がＳＶＯＬである。これらの３つのペアは、コピーグループＣＧ２３を構成する。

さらに、ＶＯＬ３０、ＶＯＬ３１及びＶＯＬ３２は、それぞれ、ＶＯＬ４０、ＶＯＬ４１及びＶＯＬ４２と、ローカルコピーによるペアＰ３０４０、Ｐ３１４１及びＰ３２４２を構成する。これらのペアにおいては、ＶＯＬ３０、ＶＯＬ３１及びＶＯＬ３２がＰＶＯＬであり、ＶＯＬ４０、ＶＯＬ４１及びＶＯＬ４２がＳＶＯＬである。これらの３つのペアは、コピーグループＣＧ３４を構成する。

ＤＫＣ１からＤＫＣ３に至るコピー経路において、ＰＶＯＬ側を上段、ＳＶＯＬ側を下段と定義する。例えば、ペアＰ２０３０を基準にすると、ペアＰ１０２０は上段にあり、ペアＰ３０４０は下段にある。なお、ペアＰ１０２０はペアＰ２０３０の上段に隣接するペアであり、ペア３０４０はペアＰ２０３０の下段に隣接するペアである。一方、ペアＰ１０２０は、ペアＰ３０４０の上段にあるが、ペアＰ３０４０と隣接しない。

次に、図４を用いて本発明の概要を説明する。なお、ここでは、ＶＯＬ１０、ＶＯＬ２０、ＶＯＬ３０及びＶＯＬ４０のみについて説明するが、この説明は他の論理ボリューム１４４にも適用される。

図４に示す全てのペアのペア状態が「ペア」である場合、例えば、業務サーバ１２０がＤＫＣ１のＶＯＬ１０のデータを更新すると、その更新は、リモートコピーによってＶＯＬ２０及びＶＯＬ３０に反映され、さらに、ローカルコピーによってＶＯＬ４０に反映される。その結果、ＶＯＬ１０、ＶＯＬ２０、ＶＯＬ３０及びＶＯＬ４０には、同じデータが格納される。

次に、ペアＰ２０３０について「分割」が実行されると、ペアＰ２０３０のペア状態は「サスペンド」となり、ペアＰ２０３０のリモートコピーが停止される。

その後、ＶＯＬ１０のデータが更新されると、その更新はリモートコピーによってＶＯＬ２０に反映されるが、ペアＰ２０３０のリモートコピーが停止しているため、ＶＯＬ３０及びＶＯＬ４０には反映されない。その結果、ＶＯＬ１０及びＶＯＬ２０に格納されるデータと、ＶＯＬ３０及びＶＯＬ４０に格納されるデータとは、同一でなくなる。

このとき、ペアＰ１０２０に障害が発生すると、業務が停止していない限り、ＶＯＬ２０に格納されたデータの論理的な整合性を保証できなくなる（整合性が保たれる場合もあり得るが、それを保証することはできない）。整合性が保証されないデータを利用することはできないため、ＶＯＬ２０のデータが失われる。

一方、ペア１０２０が正常であるとき、ペアＰ２０３０について「同期」が実行されると、ペア状態は「コピー」となり、ＶＯＬ２０のデータがＶＯＬ３０に複製される。その複製が終了すると、ペア状態は「ペア」となる。このとき、複製が開始する前にＶＯＬ３０に格納されていたデータのうち、ＶＯＬ２０と異なるデータは、ＶＯＬ２０のデータが上書きされることによって失われる。

さらに、ペアＰ３０４０のペア状態が「ペア」であるため、ＶＯＬ３０の更新がＶＯＬ４０に反映される。その結果、ＶＯＬ４０に格納されていたデータのうち、ＶＯＬ２０と異なるデータは、ＶＯＬ２０のデータが上書きされることによって失われる。

また、ペア状態が「コピー」のときにペアＰ２０３０に障害が発生してデータの複製が停止すると、ＶＯＬ３０に格納されたデータの整合性が保証されない。このため、ＶＯＬ３０のデータが失われる。

さらに、ペアＰ３０４０のペア状態が「ペア」であるため、ＶＯＬ３０の更新がＶＯＬ４０に反映される。すなわち、整合性が保証されないデータがＶＯＬ３０からＶＯＬ４０に複製される。その結果、ＶＯＬ４０のデータも失われる。

本発明のデータ管理プログラム２０１は、障害又はペア操作によってペア状態が変更されたとき、その変更によって失われるデータ又は上書きされるデータを特定し、ユーザに通知する。

図５は、本発明の実施の形態のペア状態・業務状態管理テーブル２０２の説明図である。

ペア状態・業務状態管理テーブル２０２は、論理ボリューム１４４のデータを管理するための情報を含み、データ管理プログラム２０１によって参照される。

図５は、図１のコンピュータシステムに、図４のようなペア及びコピーグループが存在する場合のペア状態・業務状態管理テーブル２０２の内容を示す。ペア状態・業務状態管理テーブル２０２の一つの行は、管理サーバ１００が管理するストレージシステム１４０に存在する一つのペアに対応する。

図５において、ＰＶＯＬ５０１及びＳＶＯＬ５０２は、各ペアを構成するＰＶＯＬ及びＳＶＯＬの名前である。ＰＶＯＬ５０１及びＳＶＯＬ５０２には、「ＶＯＬ１０」、「ＶＯＬ２０」等が記入される。

コピーグループ名５０３は、各ペアが属するコピーグループの名前である。コピーグループ名５０３には、「ＣＧ１２」等が記入される。

ペア名５０４は、各ペアの名前である。ペア名５０４には、「Ｐ１０２０」等が記入される。

ペア状態５０５は、各ペアのペア状態である。ペア状態５０５には、「ペア」、「サスペンド」、「コピー」又は「エラー」のいずれかが記入される。図５の例では、ペアＰ２０３０、Ｐ２１３１及びＰ２２３２のペア状態は「サスペンド」であり、その他のペアのペア状態は「ペア」である。これは、図４において、コピーグループＣＧ１２及びＣＧ３４に属するペアにおいてはリモートコピー又はローカルコピーが実行され、コピーグループＣＧ２３に属するペアのリモートコピーは停止していることを示す。

業務５０６は、業務サーバ１２０によって業務が実行されている（すなわち、業務サーバから直接データＩ／Ｏを受けている）論理ボリューム１４４を含むペアを示す。図５の例では、ＤＫＣ１を使用する業務サーバ１２０が業務を実行しているため、ＶＯＬ１０、ＶＯＬ１１及びＶＯＬ１２を含むペアについて、「○」が記入される。

静止フラグ５０７は、業務が静止化されているか否かを示す。静止化とは、業務サーバ１２０から論理ボリューム１４４への（直接又は間接の）データアクセス（Ｉ／Ｏ）を停止することである。業務が静止化されていると、業務を直接提供しているペアについて「○」が記入される。ただし、業務５０６に「○」が記入されているペアのみが記入の対象である。

図６は、本発明の実施の形態のボリューム・データ対応管理テーブル２０３の説明図である。

ボリューム・データ対応管理テーブル２０３は、論理ボリューム１４４のデータを管理するための情報を含み、データ管理プログラム２０１によって参照される。

図６は、図５と同様、図１のコンピュータシステムに、図４のようなペア及びコピーグループが存在する場合のボリューム・データ対応管理テーブル２０３の内容を示す。ボリューム・データ対応管理テーブル２０３の一つの行は、管理サーバ１００が管理するストレージシステム１４０に存在する一つの論理ボリューム１４４に対応する。

図６において、ボリューム６０１は、各論理ボリューム１４４の名前である。ボリューム６０１には、「ＶＯＬ１０」、「ＶＯＬ２０」等が記入される。

データ名６０２は、各論理ボリューム１４４に格納されるデータを識別する名前である。データは、例えば、データを作成したアプリケーション、そのアプリケーションを実行した業務サーバ１２０及びインスタンスの名前によって識別される。

図６の例では、ＶＯＬ１０〜１２のデータは、「ホスト１」という名前の業務サーバ１２０の「ＳＱＬサーバ」というアプリケーションによって作成されたものであり、インスタンス名は「ＳＱＬインスタンス０１」である。なお、「ホスト１」は、ＤＫＣ１を使用する業務サーバ１２０の名前である。

ＶＯＬ２０〜２２は、ＶＯＬ１０〜１２の複製である。このため、ＶＯＬ２０〜２２のデータ名６０２は、ＶＯＬ１０〜１２と同じである。ＶＯＬ３０〜３２及びＶＯＬ４０〜４２についても同様である。ただし、インスタンス名が変更された場合等は、上段と下段のデータ名６０２は必ずしも一致しない。

業務静止化時刻６０３は、各論理ボリューム１４４について業務を静止化した時刻である。図６において、ＶＯＬ１０〜１２及びＶＯＬ２０〜２２は、静止化されていないため、業務静止化時刻６０３には、「最新」が記入される。一方、ＶＯＬ３０〜３２及びＶＯＬ４０〜４２は静止化されているため、業務静止化時刻６０３には、静止化された時刻（図６の例では、「２００４年５月１０日０時０分」）が記入される。

なお、データ名６０２及び業務静止化時刻６０３は、データの識別子として利用することができる。すなわち、データ名６０２が同一であり、かつ、業務静止化時刻６０３が同一であるデータの内容は同一である。

バックアップＩＤ６０４は、バックアップの識別子である。バックアップＩＤ６０４の値は、各論理ボリューム１４４について業務が静止化したときに与えられる。データ名６０２及び業務静止化時刻６０３が同じである論理ボリューム１４４には、同じバックアップＩＤ６０４が与えられる。一方、データ名６０２又は業務静止化時刻６０３のうち、少なくとも一方が異なる論理ボリューム１４４には、異なるバックアップＩＤ６０４が与えられる。図６において、ＶＯＬ１０〜１２及びＶＯＬ２０〜２２は、静止化されていないため、バックアップＩＤ６０４は空欄である。一方、ＶＯＬ３０〜３２及びＶＯＬ４０〜４２は静止化されているため、バックアップＩＤ６０４には、静止化されたときに与えられたバックアップＩＤ（図６の例では、「ＢＩＤ００１」）が記入される。

なお、バックアップＩＤ６０４の代わりに、データ名６０２及び業務静止化時刻６０３の組み合わせによってデータを一意に識別することもできるため、バックアップＩＤ６０４は必須ではない。

業務ボリューム６０５は、各論理ボリューム１４４を含むコピー経路上の論理ボリューム１４４のうち、業務サーバ１２０からデータＩ／Ｏを受ける論理ボリューム１４４である。

なお、コピー経路とは、カスケード状に連結されたペアの系列である。例えば、図４において、カスケード状に連結されたＰ１０２０、Ｐ２０３０及びＰ３０４０が一つのコピー経路である。

図４において、ＶＯＬ１０、ＶＯＬ２０、ＶＯＬ３０及びＶＯＬ４０は、同一のコピー経路に属する。これらの論理ボリューム１４４のうち、ＶＯＬ１０が業務サーバ１２０からデータＩ／Ｏを受ける。このため、ＶＯＬ４０の業務ボリューム６０５は、ＶＯＬ１０である。同様にして、ＶＯＬ３０及びＶＯＬ２０の業務ボリューム６０５もＶＯＬ１０である。

一方、ＶＯＬ２１、ＶＯＬ３１及びＶＯＬ４１の業務ボリューム６０５は、ＶＯＬ１１である。また、ＶＯＬ２２、ＶＯＬ３２及びＶＯＬ４２の業務ボリューム６０５は、ＶＯＬ１２である。

なお、ボリューム・データ対応管理テーブル２０３には、各論理ボリューム１４４について、マウントポイントに関する情報が含まれてもよい。

図７は、本発明の実施の形態のペア構成定義テーブル３０２の説明図である。

図７は、図４の例において、ＤＫＣ１を使用する業務サーバ１２０のペア構成定義テーブル３０２である。

図７において、ボリューム７０１は、ＤＫＣ１に含まれる論理ボリュームの名前である。図７の例では、ボリューム７０１には、「ＶＯＬ１０」、「ＶＯＬ１１」及び「ＶＯＬ１２」が記入される。

コピーグループ名７０２は、各論理ボリューム１４４が属するコピーグループの名前である。図７の例では、ＶＯＬ１０〜ＶＯＬ１２のコピーグループ名７０２には、「ＣＧ１２」が記入される。

ペア名７０３は、各論理ボリューム１４４が属するペアの名前である。図７の例では、ＶＯＬ１０、ＶＯＬ１１及びＶＯＬ１２のペア名７０３には、それぞれ、「Ｐ１０２０」、「Ｐ１１２１」及び「Ｐ１２２２」が記入される。

ＤＫＣ２及びＤＫＣ３を使用する業務サーバ１２０のペア構成定義テーブル３０２については、図示を省略するが、上記と同様に、ＤＫＣ２又はＤＫＣ３に含まれる論理ボリューム１４４の名前、並びに、それらが属するコピーグループ及びペアの名前が記入される。

ペア構成定義テーブル３０２は、管理サーバ１００がペア状態・業務状態管理テーブル２０２及びボリューム・データ対応管理テーブル２０３を作成する際及びこれらのテーブルを最新の内容に更新する際に参照される。

図８は、本発明の実施の形態のコンピュータシステムにおいて、ペア状態が変更されたときにデータ管理プログラム２０１が実行する処理のフローチャートである。

ここで、ペア状態が変更された場合には、ペアに障害が発生した場合、及び、ユーザがペア管理プログラム３０１にペア操作を実行させた場合が含まれる。

図８の処理を実行する前提として、ペア状態・業務状態管理テーブル２０２及びボリューム・データ対応管理テーブル２０３の内容が最新であることが必要である。具体的には、管理サーバ１００が各業務サーバ１２０からこれらのテーブルの内容に関する情報を取得して、これらのテーブルを更新する。あるいは、ユーザが管理サーバ１００の入出力装置１０１を操作して、これらのテーブルを更新してもよい。この更新は、ユーザからペア状態監視の要求を受ける前又は後のいずれに実行されてもよい。

本実施の形態では、後で詳細に説明するように、ペア状態又は業務状態が変更されると、図８又は図１３の処理が実行される。その結果、ペア状態・業務状態管理テーブル２０２及びボリューム・データ対応管理テーブル２０３の内容が最新の値に更新される。したがって、本実施の形態によれば、これらのテーブルには常に最新の値が格納されている。

図８の処理は、ユーザが管理サーバ１００にペア状態の監視を要求することによって開始する。

データ管理プログラム２０１は、ユーザからペア状態の監視の要求を受信すると、ペア状態の監視を開始する（８０１）。そして、ペア状態変更イベントを待つ（８０２）。具体的には、業務サーバ１４０のペア管理プログラム３０１からペア状態変更の通知を受信するのを待つ。

データ管理プログラム２０１は、ペア状態変更イベントを取得（すなわち、ペア状態変更の通知を受信）すると（８０３）、次に、変更後のペア状態が「エラー」であるか否かを判定する（８０４）。

ステップ８０４において、変更後のペア状態が「エラー」であると判定された場合、ペア状態が変更されたペアに障害が発生している。このため、次に、データ管理プログラム２０１は、当該ペアに発生した障害によって失われるデータを特定する（８０５）。このとき、当該ペアの障害発生前のペア状態、当該ペアを含むコピー経路上の各ペアのペア状態及び業務状態が参照される。ステップ８０５の処理の手順は、後で詳細に説明する（図１０参照）。

次に、データ管理プログラム２０１は、ステップ８０５で特定されたデータ（すなわち、障害によって失われるデータ）に関する情報を出力する（８０６）。具体的には、当該データの名前（識別子）、業務静止化時刻、当該データが格納されたストレージシステムの名前（識別子）等の情報を、管理サーバ１００の入出力装置１０１から出力する。このとき出力される情報については、後で詳細に説明する（図９参照）。

一方、ステップ８０４において、変更後のペア状態が「エラー」でないと判定された場合、当該ペアにペア操作が実行されたことによってペア状態が変更されている。このため、データ管理プログラム２０１は、当該ペア操作によって変更される論理ボリューム１４４とその論理ボリューム１４４に格納されるデータとの対応関係を特定する（８１０）。このとき、当該ペア操作実行前のペア状態、当該ペアを含むコピー経路上の各ペアのペア状態及び業務状態が参照される。ステップ８１０の処理の手順は、後で詳細に説明する（図１１参照）。

ステップ８０６又はステップ８１０を実行した後、データ管理プログラム２０１は、変更後のペア状態に整合するように、ペア状態・業務状態管理テーブル２０２及びボリューム・データ対応管理テーブル２０３の内容を更新する（８０７）。この更新の手順については、後で詳細に説明する（図１２参照）。

次に、データ管理プログラム２０１は、ペア状態の監視を終了するか否かを判定する（８０８）。具体的には、例えば、ユーザからペア状態の監視を終了する指示が入力されたか否かを判定する。

ステップ８０８において、ペア状態の監視を終了しないと判定された場合、データ管理プログラム２０１は、ペア状態の監視を継続するため、ステップ８０２に戻る。

一方、ステップ８０８において、ペア状態の監視を終了すると判定された場合、ペア状態の監視を終了し（８０９）、図８の処理が終了する。

以上の図８によれば、ペア状態が変更されたとき、その変更が検出されたことを契機として、失われるデータ又は上書きされるデータを特定する処理が実行される。このため、ユーザがペア管理プログラム３０１を使用してペア操作を実行したときだけでなく、ペアに障害が発生した場合又は他のアプリケーションプログラム等によってペア状態が変更されたときにも、図８の処理が実行され、失われるデータ又は上書きされるデータが特定される。

図９は、本発明の実施の形態のデータ管理プログラム２０１が出力する、障害によって失われるデータに関する情報の説明図である。

図９は、図４、図５及び図６に示す例において、ＤＫＣ１及びＤＫＣ２の間のペアに障害が発生したときに、図８のステップ８０６において出力される情報を示す。ＤＫＣ１及びＤＫＣ２の間のペアに障害が発生すると、ＤＫＣ２内の論理ボリューム１４４に格納されているデータが失われる。したがって、図８のステップ８０６において、ＤＫＣ２内の論理ボリューム１４４に格納されているデータに関する情報が出力される。

なお、障害が発生するペアと、そのペアのペア状態と、その障害によって失われるデータとの関係については、後で詳細に説明する（図１０参照）。

失われるデータに関する情報９００のうち、出力情報種別９０１は、出力される情報の種類を示し、データ名９０３、業務静止化時刻９０４及びストレージシステム名９０５を含む。

データ名９０３は、さらに、業務サーバ名９０６、アプリケーション名９０７及びインスタンス名９０８を含む。ただし、業務がファイルシステムである場合、データ名９０３は、業務サーバ名９０６、ファイルシステム名（図示省略）及びマウントポイント（図示省略）を含む。データ名９０３は、失われるデータを識別する他の情報を含んでもよい。ストレージシステム名９０５は、ローカル９０９及びリモート９１０に分類される。

内容９０２は、出力情報種別９０１に対応する内容である。図９の例において、失われるデータは、図６のＶＯＬ２０〜２２のデータである。したがって、データ名９０３の内容９０２は、これらの論理ボリューム１４４のデータ名６０２と同一である。すなわち、業務サーバ名９０６は「ホスト１」、アプリケーション名９０７は「ＳＱＬサーバ」、インスタンス名は「ＳＱＬインスタンス０１」である。

同様に、業務静止化時刻９０４の内容９０２は、図６の業務静止化時刻６０３と同一の「最新」である。

ストレージシステム名９０５の内容９０２は、失われるデータが格納されているストレージシステム１４０の名前（識別子）である。ここで、一つの行は、失われるデータが格納されている一つの論理ボリュームに対応する。

ストレージシステム名９０５は、ローカル９０９及びリモート９１０に分類される。ローカル９０９は、業務サーバ１２０が直接業務で利用する論理ボリュームが格納されているストレージシステム１４０であり、リモート９１０は、前記論理ボリュームが格納されているストレージシステム１４０とは異なるストレージシステム１４０である。なお、リモート９１０は、複数段のリモートコピーによって接続されてもよい。

図４の例では、ＤＫＣ１は、業務サーバ１２０によって業務に使用されているため、ローカル９０９に分類される。ＤＫＣ２及びＤＫＣ３は、業務サーバ１２０によって業務に使用されていないため、リモート９１０に分類される。

図４及び図６によれば、失われるデータは、ＤＫＣ１に格納されていない。このため、ローカル９０９の内容９０２は、空欄である。

図４及び図６によれば、失われるデータは、ＤＫＣ２に格納されている。このため、リモート９１０の内容９０２は、ＤＫＣ２の識別子である。具体的には、失われるデータが格納される論理ボリューム１４４を含むストレージシステム１４０の名前（識別子）が記入される。

「Ａｂｃ１３４６８＠１９２．１６．１．１」は、ＤＫＣ２の識別子である。「（リモートコピー）」は、ＤＫＣ２に格納されたデータが、他のストレージシステム１４０（この場合は、ＤＫＣ１）からリモートコピーによって複製されたことを示す。

失われるデータに関する情報９００は、入出力装置１０１から、テキストデータとして出力されてもよい。あるいは、例えば、コンピュータシステムの構成図等の図面と共に出力されてもよい。

図１０は、本発明の実施の形態のペアに障害が発生したときに、その障害によって失われるデータを特定する処理のフローチャートである。

図１０の処理は、図８のステップ８０５において、データ管理プログラム２０１によって実行される。

図１０の処理が開始されると、データ管理プログラム２０１は、障害が発生する直前のペア状態が「コピー」、「ペア」又は「サスペンド」のいずれであったかを判定する（１００１）。具体的には、障害が発生したペアについて、ペア状態・業務状態管理テーブル２０２のペア状態５０５を参照する。

障害が発生する直前のペア状態が「サスペンド」であると判定された場合、そのペアのＳＶＯＬのデータの整合性は、障害によって失われない。このため、データが失われないと判定し（１０１２）、処理を終了する。

一方、障害が発生する直前のペア状態が「コピー」であると判定された場合、そのペアのＳＶＯＬのデータの整合性は、障害によって失われる。このため、ステップ１００４に進む。

一方、障害が発生する直前のペア状態が「ペア」であると判定された場合、そのペアのＳＶＯＬのデータの整合性は、障害によって失われる場合がある。

このため、次に、障害が発生したペアに対してデータが書き込まれた（又は書き込まれた可能性があった）か否かを判定する（１０２０、１００２）。障害が発生したペアにデータが書き込まれると、そのペアのＳＶＯＬのデータの整合性が失われる可能性があるためである。

ステップ１０２０では、障害が発生したペアの上段に、ペア状態が「コピー」であるペアが存在するか否かを判定する。具体的には、障害が発生したペアの上段の全てのペアについて、ペア状態・業務状態管理テーブル２０２のペア状態５０５を参照する。そして、障害が発生したペアの上段に、ペア状態５０５が「コピー」であるペアが存在すると判定された場合、そのペアと障害が発生したペアとの間にある全てのペアのペア状態５０５が「ペア」であるか否かを判定する。

その結果、障害が発生したペアの上段に、ペア状態５０５が「コピー」であるペアが存在し、かつ、そのペアと障害が発生したペアとの間にある全てのペアのペア状態５０５が「ペア」である場合、ステップ１０２０の判定結果は「Ｙｅｓ」となる。この場合、障害が発生したペアにデータが書き込まれる（又は書き込まれる可能性がある）ため、データの整合性が失われている可能性がある。このため、ステップ１００４に進む。

一方、障害が発生したペアの上段に、ペア状態５０５が「コピー」であるペアが存在しない場合、ステップ１０２０の判定結果は「Ｎｏ」となる。また、障害が発生したペアの上段にペア状態５０５が「コピー」であるペアが存在し、かつ、そのペアと障害が発生したペアとの間にある一つ以上のペアのペア状態５０５が「ペア」でない場合も、ステップ１０２０の判定結果は「Ｎｏ」となる。この場合、障害が発生したペアにデータが書き込まれる可能性がない。このため、データの整合性が失われない（すなわち、データが失われない）と判定し（１０１２）、処理を終了する。

ステップ１００２では、障害が発生したペアが業務ボリューム６０５と同期しているか否かを判定する。具体的には、障害が発生したペアのＰＶＯＬと、そのＰＶＯＬを含むコピー経路上の業務ボリューム６０５との間に存在する全てのペアのペア状態５０５が「ペア」であるか否かを判定する。

これらの全てのペアのペア状態５０５が「ペア」でない（すなわち、「サスペンド」状態のペアが一つ以上ある）と判定された場合、障害が発生したペアは、業務ボリューム６０５と同期していない。この場合、障害が発生したペアのＳＶＯＬのデータの整合性は、障害によって失われない。このため、データが失われないと判定し（１０１２）、処理を終了する。

一方、これらの全てのペアのペア状態５０５が「ペア」であると判定された場合、障害が発生したペアは、業務ボリューム６０５と同期している。この場合、障害が発生したペアのＳＶＯＬのデータの整合性は、障害によって失われる場合がある。

このため、次に、業務が静止化されているか否かを判定する（１００３）。具体的には、障害が発生したペアの業務ボリューム６０５について、ペア状態・業務状態管理テーブル２０２の静止フラグ５０７を参照する。

業務が静止化されていると判定された場合、障害が発生したペアのＳＶＯＬのデータの整合性は、障害によって失われない。このため、データが失われないと判定し（１０１２）、処理を終了する。

一方、業務が静止化されていないと判定された場合、障害が発生したペアのＳＶＯＬのデータの整合性は、障害によって失われた可能性がある。整合性が保証されないデータを利用することはできないため、障害が発生したペアのＳＶＯＬのデータは、失われる（１００４）。

このため、次に、その障害によって他の論理ボリュームのデータが失われるか否かを判定する。最初に、障害が発生したペアのＳＶＯＬを最初の探索対象の論理ボリューム１４４（探索対象ボリューム）とする（１００５）。さらに、その探索対象ボリュームを対象リストに登録する。ここで、対象リストとは、障害によってデータが失われる論理ボリューム１４４のリストである。

次に、その探索対象ボリュームの下段に隣接するペアのうち、ペア状態が「ペア」又は「コピー」のいずれでもないペアを、探索済みとする（１００６）。

次に、その探索対象ボリュームの下段に隣接するペアに未探索のペアが存在するか否かを判定する（１００７）。

その探索対象ボリュームの下段に隣接するペアに未探索のペアが存在すると判定された場合、その未探索のペアのＳＶＯＬのデータの整合性が失われている。このため、その未探索のペアのＳＶＯＬを新たな探索対象ボリュームとし、そのＳＶＯＬを対象リストに追加する（１００８）。そして、その未探索のペアを探索済みとして、ステップ１００６に戻る。

一方、ステップ１００７において、その探索対象ボリュームの下段に隣接するペアに未探索のペアが存在しない場合、その探索対象ボリュームの下段にデータが失われる論理ボリューム１４４はそれ以上存在しない。

このため、次に、その探索対象ボリュームが最初の探索対象ボリューム（ステップ１００５参照）であるか、又は、未探索のペアが存在しないか否かを判定する（１００９）。

その探索対象ボリュームが最初の探索対象ボリュームでなく、かつ、未探索のペアが存在する場合、最初の探索対象ボリュームの下段に未探索のペアが残っている。このため、その探索対象ボリュームをＳＶＯＬとするペアを探索済みとする。そして、その探索対象ボリュームの上段に隣接する論理ボリューム１４４（すなわち、その探索対象ボリュームをＳＶＯＬとするペアのＰＶＯＬ）を新たな探索対象ボリュームとして（１０１０）、ステップ１００６に戻る。

一方、ステップ１００９において、その探索対象ボリュームが最初の探索対象ボリューム（ステップ１００５参照）であるか、又は、未探索のペアが存在しない場合、最初の探索対象ボリュームの下段の全てのペアの探索が終了した。

このため、次に、対象リストに登録された論理ボリューム１４４に関する情報を出力して（１０１１）、処理を終了する。具体的には、対象リストに登録された論理ボリューム１４４について、図９に示す情報を出力する。

上記の図１０の処理では、論理ボリューム１４４の探索（ステップ１００５〜１０１０）に深さ優先検索（Depth First Search）を利用している。しかし、幅優先検索（Breadth First Search）等、他の検索方法を利用しても、本発明を実施することができる。

図１１は、本発明の実施の形態において、ペア状態がペア操作によって変更されたとき、その変更によって上書きされるデータを特定する処理のフローチャートである。

図１１の処理を実行することによって、論理ボリューム１４４と、その論理ボリュームに格納されるデータとの対応関係が特定される。

図１１の処理は、図８のステップ８１０において、データ管理プログラム２０１によって実行される。

図１１の処理が開始されると、データ管理プログラム２０１は、ペア状態が変更されたペアについて、変更される直前のペア状態が「コピー」、「ペア」又は「サスペンド」のいずれであったかを判定する（１１０１）。

変更される直前のペア状態が「ペア」であったと判定された場合、変更後のペア状態は「サスペンド」である。したがって、ペア状態が「サスペンド」に変更されたことが通知される（１１１４）。この場合、当該ペアのＳＶＯＬにはデータが上書きされない。すなわち、ペア状態が変更される直前に当該ＳＶＯＬに格納されていたデータと、ペア状態が変更された直後に当該ＳＶＯＬに格納されているデータとは、同一である。このため、論理ボリューム１４４とデータとの対応関係は変化しない（１１１５）。したがって、上書きされるデータがないことが確定して（１１１０）、処理が終了する。

一方、ステップ１１０１において、変更される直前のペア状態が「サスペンド」であったと判定された場合、変更後のペア状態は「コピー」又は「ペア」である。したがって、ペア状態が「コピー」又は「ペア」に変更されたことが通知される（１１１２）。

ペア状態が変更される直前の当該ペアのＰＶＯＬとＳＶＯＬに格納されたデータが同一であれば、データ複製が実行されず、直ちに「ペア」状態となる。この場合、データ複製が実行されないため、論理ボリューム１４４とデータとの対応関係は変化しない（１１１３）。すなわち、ペア状態が変更される直前に当該ＳＶＯＬに格納されていたデータと、ペア状態が変更された直後に当該ＳＶＯＬに格納されているデータとは、同一である。したがって、上書きされるデータがないことが確定して（１１１０）、処理が終了する。

一方、当該ペアのＰＶＯＬとＳＶＯＬに格納されたデータが同一でなければ、「コピー」状態となってデータ複製が実行された後、「ペア」状態となる。この場合、データ複製は実行されるが、データ複製が終了するまでＳＶＯＬに格納されたデータは確定しない。このため、「サスペンド」状態が「コピー」状態に変更された時点では、上書きされるデータがないことが確定して（１１１０）、処理が終了する。

一方、ステップ１１０１において、変更される直前のペア状態が「コピー」であったと判定された場合、変更後のペア状態は「ペア」である。したがって、ペア状態が「ペア」に変更されたことが通知される（１１０２）。そして、上書きされるデータを特定する処理が開始する。

最初に、ペア状態が変更されたペア（以下、状態変更ペアと記載する）に格納されたデータを特定する（１１０３）。具体的には、状態変更ペアについて、ボリューム・データ対応管理テーブル２０３のデータ名６０２、業務静止化時刻６０３及びバックアップＩＤ６０４等を参照する。

次に、状態変更ペアを最初の探索対象ペアとする（１１０４）。さらに、状態変更ペアのＳＶＯＬを上書き対象ボリュームリストに登録する。ここで、上書き対象ボリュームリストとは、ペア状態の変更によってデータが上書きされる論理ボリューム１４４のリストである。

すなわち、ペア状態の変更の結果、当該ＳＶＯＬにおいて、論理ボリューム１４４とデータとの対応関係が変化すると判定される。具体的には、ＳＶＯＬにＰＶＯＬのデータが上書きされる結果、ＳＶＯＬに格納されたデータとＰＶＯＬに格納されたデータが同一になる。

次に、探索対象ペアの下段に隣接するペアに、未探索のものがあるか否かを判定する（１１０５）。

未探索のペアがあると判定された場合、その探索対象ペアの下段に、ペア状態の変更によってデータが上書きされる論理ボリューム１４４のうち、上書き対象ボリュームリストに登録されていないものが存在する場合がある。

このため、次に、その探索対象ペアの下段に隣接する未探索のペアを新たな探索対象ペアとする（１１０６）。

次に、その新たに設定された探索対象ペアのペア状態が「ペア」であるか「サスペンド」であるかを判定する（１１０７）。

ペア状態が「サスペンド」であると判定された場合、その探索対象ペアではデータ複製が実行されない。したがって、その探索対象ペアのＳＶＯＬにはデータが上書きされない。さらに、その探索対象ペアの下段にデータが上書きされる論理ボリューム１４４は存在しない。このため、その探索対象ペアを探索済みとして、ステップ１１０５に戻る。

一方、ステップ１１０６において、ペア状態が「ペア」であると判定された場合、その探索対象ペアではデータ複製が実行される。したがって、その探索対象ペアのＳＶＯＬにはデータが上書きされる。このため、そのＳＶＯＬを上書き対象ボリュームリストに追加する（１１０８）。

すなわち、ペア状態の変更の結果、当該ＳＶＯＬにおいて、論理ボリューム１４４とデータとの対応関係が変化すると判定される。具体的には、ＳＶＯＬにＰＶＯＬのデータが上書きされる結果、ＳＶＯＬに格納されたデータとＰＶＯＬに格納されたデータが同一になる。

ステップ１１０８が終了すると、ステップ１１０５に戻る。

一方、ステップ１１０５において、未探索のペアがないと判定された場合、ペア状態の変更によってデータが上書きされる論理ボリューム１４４のうち、その探索対象ペアの下段に存在するものは全て上書き対象ボリュームリストに登録された。

このため、次に、探索対象ペアが状態変更ペアであるか否かを判定する（１１０９）。

探索対象ペアが状態変更ペアでないと判定された場合、状態変更ペアの下段にペア状態の変更によってデータが上書きされる論理ボリューム１４４のうち、上書き対象ボリュームリストに登録されていないものが存在する場合がある。このため、探索対象ペアの上段に隣接するペアを新たな探索対象ペアとして（１１１１）、ステップ１１０５に戻る。

一方、探索対象ペアが状態変更ペアであると判定された場合、ペア状態の変更によってデータが上書きされる論理ボリューム１４４は、全て上書き対象ボリュームリストに登録された。このため、上書きされるデータ及びそのデータが格納される論理ボリューム１４４が確定して（１１１０）、処理が終了する。

図１２は、本発明の実施の形態においてペア状態が変更された場合のテーブル更新処理のフローチャートである。

図１２のテーブル更新処理は、図８のステップ８０７において、データ管理プログラム２０１によって実行される。

テーブル更新処理が開始されると、最初に、ペア状態が変更されたペアについて、ペア状態・業務状態管理テーブル２０２のペア状態５０５を更新する（１２０１）。

次に、障害によって失われたデータ、又は、ペア状態の変更によって上書きされたデータがあるか否かを判定する（１２０２）。具体的には、ペアに障害が発生した場合、図１０の処理の結果を参照して、障害によって失われたデータが存在するか否かを判定する。ペア操作が実行された場合、図１１の処理の結果を参照して、ペア変更によって上書きされたデータがあるか否かを判定する。

ステップ１２０２において、障害によって失われたデータ及びペア変更によって上書きされたデータのいずれもないと判定された場合、処理を終了する。

一方、ステップ１２０２において、障害によって失われたデータ又はペア変更によって上書きされたデータがあると判定された場合、ボリューム・データ対応管理テーブル２０３を更新する（１２０３）。具体的には、データが上書きされた論理ボリューム１４４のデータ名６０２、業務静止化時刻６０３、バックアップＩＤ６０４及び業務ボリューム６０５の値を、上書きされるデータの複製元の論理ボリューム１４４と同一の値に更新する。

図１３は、本発明の実施の形態のコンピュータシステムにおいて、ペア状態又は業務状態が変更されたときにデータ管理プログラム２０１が実行する処理のフローチャートである。

図１３の説明において、図８の処理（ペア状態が変更されたときにデータ管理プログラム２０１が実行する処理）と共通する部分については、詳細な説明を省略する。

業務状態の変更には、業務静止化及び業務静止化解除が含まれる。業務が静止化されているとき、業務サーバ１２０は、論理ボリューム１４４にデータを書き込まない。一方、業務の静止化が解除されると、業務サーバ１２０は、論理ボリューム１４４にデータを書き込むことができる。業務サーバ１２０が論理ボリューム１４４にデータを上書きすることによって、その論理ボリューム１４４に格納されていた古いデータが失われる。

図１３の処理は、ユーザが管理サーバ１００にペア状態及び業務状態の監視を要求することによって開始する。

データ管理プログラム２０１は、ユーザからペア状態及び業務状態の監視の要求を受信すると、これらの状態の監視を開始する（１３０１）。そして、ペア状態変更イベント又は業務状態変更イベントを待つ（１３０２）。具体的には、業務サーバ１４０のペア管理プログラム３０１からペア状態変更又は業務状態変更の通知を受信するのを待つ。

データ管理プログラム２０１は、ペア状態変更イベント又は業務状態変更イベントを取得すると（１３０３）、次に、ペア状態が「エラー」に変更されたか否かを判定する（１３０４）。

ステップ１３０４において、ペア状態が「エラー」に変更されたと判定された場合、ペア状態が変更されたペアに障害が発生している。このため、次に、データ管理プログラム２０１は、当該ペアに発生した障害によって失われるデータを特定する（１３０５）。ステップ１３０５の処理の手順は、図１０において説明した通りである。

次に、データ管理プログラム２０１は、ステップ１３０５で特定されたデータ（すなわち、障害によって失われるデータ）に関する情報を出力する。このとき出力される情報は、図９において説明した通りである。

次に、データ管理プログラム２０１は、変更後のペア状態に整合するように、ペア状態・業務状態管理テーブル２０２及びボリューム・データ対応管理テーブル２０３の内容を更新する（１３０７）。この更新の手順は、図１２において説明した通りである。

次に、データ管理プログラム２０１は、ペア状態及び業務状態の監視を終了するか否かを判定する（１３０８）。具体的には、例えば、ユーザからペア状態及び業務状態の監視を終了する指示が入力されたか否かを判定する。

ステップ１３０８において、ペア状態及び業務状態の監視を終了しないと判定された場合、データ管理プログラム２０１は、監視を継続するため、ステップ１３０２に戻る。

一方、ステップ１３０８において、ペア状態及び業務状態の監視を終了すると判定された場合、ペア状態の監視を終了する（１３０９）。

一方、ステップ１３０４において、ペア状態が「エラー」に変更されていないと判定された場合、当該ペアにペア操作が実行されているか、又は、業務状態が変更されている。ペア操作が実行されると、ペア状態が変更され、その結果、論理ボリューム１４４とデータとの対応関係が変更される場合がある。また、業務上状態が変更されたときも、論理ボリューム１４４とデータとの対応関係が変更される場合がある。このため、次に、論理ボリューム１４４とデータとの対応関係を特定する（１３１０）。ステップ１３１０の処理の手順は、後で詳細に説明する（図１４参照）。ステップ１３１０が終了すると、次に、ステップ１３０７に進む。

以上の図１３によれば、ペア状態又は業務状態が変更されたとき、その変更が検出されたことを契機として、失われるデータ又は上書きされるデータを特定する処理が実行される。このため、ユーザがペア管理プログラム３０１等を使用してペア操作を実行したとき又は業務状態を変更したときだけでなく、ペアに障害が発生した場合又は他のアプリケーションプログラム等によってペア状態若しくは業務状態が変更されたときにも、図１３の処理が実行され、失われるデータ又は上書きされるデータが特定される。

図１４は、本発明の実施の形態において、ペア状態がペア操作によって変更されたとき、又は、業務状態が変更されたとき、その変更によって上書きされるデータを特定する処理のフローチャートである。

図１４の処理は、図１３のステップ１３１０において、データ管理プログラム２０１によって実行される。

図１４の処理が開始すると、データ管理プログラム２０１は、業務状態とペア状態のいずれが変更されたかを判定する（１４０１）。

ペア状態が変更されたと判定された場合は、ペア状態変更によって上書きされるデータを特定する処理を実行する（１４１１）。この処理は、図１１において説明したものであるため、ここでは説明を省略する。

一方、業務状態が変更されたと判定された場合は、次に、業務静止化が実行されたか、業務静止化解除が実行されたかを判定する（１４０２）。業務静止化が実行された場合、データが上書きによって失われることがないため（１４１２）、ステップ１４０９に進む。

一方、業務静止化解除が実行された場合は、データが上書きによって失われることがある。このため、次に、業務に直接使用される論理ボリューム１４４（すなわち、業務サーバから直接アクセスされる論理ボリューム１４４）を、最初の探索対象の論理ボリューム１４４（探索対象ボリューム）とする（１４０３）。さらに、探索対象ボリュームを上書き対象ボリュームリストに記入する。なお、上書き対象ボリュームリストは、図１１において説明したものと同様である。さらに、探索対象ボリュームに格納されるデータを、上書きされるデータとする。

さらに、当該探索対象ボリュームの下段の論理ボリューム１４４のデータが上書きによって失われる場合がある。具体的には、当該探索対象ボリュームの下段の、ペア状態が「ペア」である一つ以上のペアによって連結された論理ボリューム１４４のデータが上書きによって失われる。そこで、データが上書きされる下段の論理ボリューム１４４を特定するために、当該操作対象ボリュームの下段の論理ボリューム１４４の探索を開始する。

次に、探索対象ボリュームとペアを構成し、かつ、未探索であるＳＶＯＬが存在するか否かを判定する（１４０４）。

探索対象ボリュームとペアを構成し、かつ、未探索であるＳＶＯＬが存在する場合は、探索対象ボリュームの下段の論理ボリューム１４４の探索が終了していない。このため、次に、探索対象ボリュームと、当該未探索のＳＶＯＬとが構成するペアのペア状態が「ペア」であるか、「サスペンド」であるかを判定する（１４０５）。

ペア状態が「サスペンド」である場合は、当該ＳＶＯＬにデータが上書きされない。このため、当該ＳＶＯＬを探索済みとし、他のＳＶＯＬについて調査するために、ステップ１４０４に戻る。なお、このとき、当該ＳＶＯＬの下段の論理ボリューム１４４にもデータが上書きされない。このため、当該ＳＶＯＬの下段の論理ボリューム１４４については、探索する必要がない。

一方、ステップ１４０５においてペア状態が「ペア」である場合、当該ＳＶＯＬにデータが上書きされる。このため、当該ＳＶＯＬを上書き対象ボリュームリストに追加する（１６０６）。

次に、探索対象ボリュームを探索済みとし、当該ＳＶＯＬを新たな探索対象ボリュームとして（１４０７）、ステップ１４０４に戻る。

一方、ステップ１４０４において、探索対象ボリュームとペアを構成し、かつ、未探索であるＳＶＯＬが存在しない場合は、探索対象ボリュームの下段の論理ボリューム１４４の探索が終了した。このため、次に、探索対象ボリュームが業務に直接使用される論理ボリューム１４４であるか否かを判定する（１４０８）。

探索対象ボリュームが業務に直接使用される論理ボリューム１４４でない場合、未探索の論理ボリューム１４４が残っていることがある。このため、未探索の論理ボリューム１４４を探索するために、探索対象ボリュームを探索済みとし、その論理ボリューム１４４の上段に隣接する論理ボリューム１４４を新たな探索対象ボリュームとして（１４１０）、ステップ１４０４に戻る。

一方、探索対象ボリュームが業務に直接使用される論理ボリューム１４４である場合、論理ボリューム１４４の探索が終了した。このため、上書きされるデータ及び上書き対象ボリュームが確定し（１４０９）、処理を終了する。

図１５は、本発明の実施の形態においてペア状態又は業務状態が変更された場合のテーブル更新処理のフローチャートである。

図１５のテーブル更新処理は、図１３のステップ１３０７において、データ管理プログラム２０１によって実行される。

テーブル更新処理が開始されると、最初に、ペア状態・業務状態管理テーブル２０２を更新する（１５０１）。具体的には、ペア状態が変更された場合、ペア状態が変更されたペアについて、ペア状態・業務状態管理テーブル２０２のペア状態５０５を更新する。業務状態が変更された場合、業務状態が変更された業務について、ペア状態・業務状態管理テーブル２０２の業務５０６を更新する。

次に、障害によって失われたデータ、又は、ペア状態の変更若しくは業務状態の変更によって上書きされたデータがあるか否かを判定する（１５０２）。具体的には、ペアに障害が発生した場合、図１０の処理の結果を参照して、障害によって失われたデータが存在するか否かを判定する。ペア操作が実行された場合、図１１の処理の結果を参照して、上書きされたデータがあるか否かを判定する。業務状態が変更された場合、図１４の処理の結果を参照して、上書きされたデータがあるか否かを判定する。

ステップ１５０２において、失われたデータ及び上書きされたデータのいずれもないと判定された場合、処理を終了する。

一方、ステップ１５０２において、失われたデータ又は上書きされたデータがあると判定された場合、ボリューム・データ対応管理テーブル２０３を更新する（１５０３）。具体的には、データが上書きされた論理ボリューム１４４のデータ名６０２、業務静止化時刻６０３、バックアップＩＤ６０４及び業務ボリューム６０５の値を、上書きされるデータの複製元の論理ボリューム１４４と同一の値に更新する。

図１６は、本発明の実施の形態において、失われたデータの復旧を支援する情報を出力する処理のフローチャートである。

図１６の処理は、データ管理プログラム２０１によって実行される。

図１６の処理において、図８と共通する部分については、詳細な説明を省略する。

なお、図１６において、ステップ１６０１から１６０５は、それぞれ、図８のステップ８０１から８０５と同一である。また、ステップ１６０６、１６０７及び１６１２は、それぞれ、ステップ８０７、８０６及び８１０と同一である。

図１６の処理を実行する前提として、ペア状態・業務状態管理テーブル２０２及びボリューム・データ対応管理テーブル２０３の内容が最新であることが必要である。

図１６の処理は、ユーザが管理サーバ１００にペア状態の監視を要求することによって開始する。

データ管理プログラム２０１は、ユーザからペア状態の監視の要求を受信すると、ペア状態の監視を開始する（１６０１）。そして、ペア状態変更イベントを待つ（１６０２）。

データ管理プログラム２０１は、ペア状態変更イベントを取得（すなわち、ペア状態変更の通知を受信）すると（１６０３）、次に、変更後のペア状態が「エラー」であるか否かを判定する（１６０４）。

ステップ１６０４において、変更後のペア状態が「エラー」であると判定された場合、ペア状態が変更されたペアに障害が発生している。このため、次に、データ管理プログラム２０１は、当該ペアに発生した障害によって失われるデータを特定する（１６０５）。ステップ１６０５の処理の手順は、図１０に示す通りである。

一方、ステップ１６０４において、変更後のペア状態が「エラー」でないと判定された場合、当該ペアにペア操作が実行されている。このため、データ管理プログラム２０１は、当該ペア操作によって変更される論理ボリューム１４４とデータとの対応関係を特定する（１６１２）。ステップ１６１２の処理の手順は、図１１に示す通りである。

ステップ１６０５又はステップ１６１２を実行した後、データ管理プログラム２０１は、変更後のペア状態に整合するように、ペア状態・業務状態管理テーブル２０２及びボリューム・データ対応管理テーブル２０３の内容を更新する（１６０６）。この更新の手順は、図１２に示す通りである。

次に、データ管理プログラム２０１は、ステップ１６０５で特定されたデータ（すなわち、障害によって失われるデータ）に関する情報を出力する（１６０７）。このとき出力される情報は、図９に示す通りである。

次に、データ管理プログラム２０１は、ペアに発生した障害によって失われたデータと同一のデータが格納された論理ボリューム１４４が、コピー経路上に存在するか否かを判定する（１６０８）。

具体的には、ステップ１６０７で出力された情報（図９）及びボリューム・データ対応管理テーブル２０３（図６）を参照する。そして、データ名６０２の値がデータ名９０３の内容９０２と同一であり、かつ、業務静止化時刻６０３の値が業務静止化時刻９０４の内容９０２と同一であるボリューム６０１が存在するか否かを判定する。これらが同一であるボリューム６０１が存在する場合、そのボリューム６０１に対応する論理ボリューム１４４には、ペアに発生した障害によって失われたデータと同一のデータが格納されている。

ステップ１６０８において、ペアに発生した障害によって失われたデータと同一のデータが格納された論理ボリューム１４４が、コピー経路上に存在すると判定された場合、その論理ボリューム１４４のデータを使用して、失われたデータを復旧することができることを管理サーバ１００に通知する（１６０９）。このとき、管理サーバ１００の入出力装置１０１には、データが失われた論理ボリューム１４４と、その失われたデータと同一のデータが格納された論理ボリューム１４４が図示されてもよい（図１７参照）。

ユーザは、ステップ１６０９で通知された情報（図１７に示す情報を含む）に基づいて、失われたデータを復旧することができる。

一方、ステップ１６０８において、ペアに発生した障害によって失われたデータと同一のデータが格納された論理ボリューム１４４が、コピー経路上に存在しないと判定された場合、失われたデータと同一のデータが存在しないことを管理サーバ１００に通知する（１６１３）。

ステップ１６０９又はステップ１６１３を実行した後、データ管理プログラム２０１は、ペア状態の監視を終了するか否かを判定する（１６１０）。

ステップ１６１０において、ペア状態の監視を終了しないと判定された場合、データ管理プログラム２０１は、ペア状態の監視を継続するため、ステップ１６０２に戻る。

一方、ステップ１６１０において、ペア状態の監視を終了すると判定された場合、ペア状態の監視を終了し（１６１１）、図１６の処理が終了する。

図１７は、本発明の実施の形態において、失われたデータの復旧を支援する情報を出力する画面表示の説明図である。

図１７は、図１６のステップ１６０９において出力される画面表示の例である。

この画面表示は、例えば、管理サーバ１００の入出力装置１０１の表示画面（図示省略）から出力される。

図１７において、ストレージ１、ストレージ２及びストレージ３は、ストレージシステム１４０である。

ＶＯＬ１及びＶＯＬ２は、ストレージ１に格納される論理ボリューム１４４である。

ＶＯＬ３及びＶＯＬ４は、ストレージ２に格納される論理ボリューム１４４である。

ＶＯＬ５、ＶＯＬ６及びＶＯＬ７は、ストレージ３に格納される論理ボリューム１４４である。

これらのＶＯＬ１〜ＶＯＬ７は、一つのコピー経路を構成する。

ＶＯＬ１及びＶＯＬ２は、ペアＰ１２を構成する。ペアＰ１２において、ＶＯＬ１がＰＶＯＬ、ＶＯＬ２がＳＶＯＬであり、ペア状態は「サスペンド」である。

ＶＯＬ１及びＶＯＬ３は、ペアＰ１３を構成する。ペアＰ１３において、ＶＯＬ１がＰＶＯＬ、ＶＯＬ３がＳＶＯＬであり、ペア状態は「サスペンド」である。

ＶＯＬ３及びＶＯＬ４は、ペアＰ３４を構成する。ペアＰ３４において、ＶＯＬ３がＰＶＯＬ、ＶＯＬ４がＳＶＯＬであり、ペア状態は「サスペンド」である。

ＶＯＬ３及びＶＯＬ５は、ペアＰ３５を構成する。ペアＰ３５において、ＶＯＬ３がＰＶＯＬ、ＶＯＬ５がＳＶＯＬであり、ペア状態は「コピー」である。

ＶＯＬ５及びＶＯＬ６は、ペアＰ５６を構成する。ペアＰ５６において、ＶＯＬ５がＰＶＯＬ、ＶＯＬ６がＳＶＯＬであり、ペア状態は「サスペンド」である。

ＶＯＬ５及びＶＯＬ７は、ペアＰ５７を構成する。ペアＰ５７において、ＶＯＬ５がＰＶＯＬ、ＶＯＬ７がＳＶＯＬであり、ペア状態は「ペア」である。

各ペアを表示する矢印の元がＰＶＯＬ側、先端がＳＶＯＬ側である。

なお、図１７において、ペアＰ１３及びＰ３５は、リモートコピーのペアであり、ペアＰ１２、Ｐ３４、Ｐ５６及びＰ５７は、ローカルコピーによるペアである。

図１７において、最初、ペアＰ３５のペア状態は、「コピー」である。

このとき、ＶＯＬ１には、バックアップＩＤ６０４が「最新」であるデータが格納されている。

ＶＯＬ２には、バックアップＩＤ６０４が「ＢＩＤ０３」であるデータが格納されている。

ＶＯＬ３には、バックアップＩＤ６０４が「ＢＩＤ０２」であるデータが格納されている。

ペアＰ３５のペア状態が「コピー」であるため、ペアＰ３５では、データ複製が実行中である。すなわち、ＶＯＬ５には、ＶＯＬ３のデータ（すなわち、「ＢＩＤ０２」）の一部が複製されている。

ペアＰ５７のペア状態が「ペア」であるため、ＶＯＬ７には、ＶＯＬ５のデータが反映される。すなわち、ＶＯＬ７にも、ＶＯＬ３のデータ（すなわち、「ＢＩＤ０２」）の一部が複製されている。

ＶＯＬ４には、バックアップＩＤ６０４が「ＢＩＤ０１」であるデータが格納されている。

ＶＯＬ６には、データが格納されていない（「Ｎｏ＿Ｄａｔａ」）。

図１７は、ユーザがペアＰ３５に障害が発生したときの画面表示の例である。ペアＰ３５に障害が発生すると、ＶＯＬ３からＶＯＬ５へのデータ複製が中断して、ＶＯＬ５のデータ「ＢＩＤ０２」の整合性が失われる。さらに、ペアＰ５７のペア状態が「ペア」であるため、ＶＯＬ７にもＶＯＬ５から整合性の失われたデータが複製される。その結果、ＶＯＬ５及びＶＯＬ７から、データ「ＢＩＤ０２」が失われる。

一方、ＶＯＬ３に格納されたデータ「ＢＩＤ０２」は、ペアＰ３５の障害の影響を受けない。このため、ＶＯＬ３のデータ「ＢＩＤ０２」は、ペアＰ３５に障害が発生した後も存在する。

図１７の例では、ペア障害によって失われたデータ（すなわち、ＶＯＬ５及びＶＯＬ７のデータ「ＢＩＤ０２」）を反転（白抜き）で表示している。また、失われたデータと同一のデータがコピー系路上に存在する場合、そのデータ（すなわち、ＶＯＬ３のデータ「ＢＩＤ０２」）を斜体字（イタリック）で表示している。

ユーザは、図１７の表示を参照して、ＶＯＬ５及びＶＯＬ７のデータがペアＰ３５の障害によって失われたことを知ることができる。さらに、ＶＯＬ５及びＶＯＬ７から失われたデータと同一のデータがＶＯＬ３に格納されていることを知ることができる。このため、ユーザは、失われたデータを復旧する処理を実行することができる。例えば、ペアＰ３５の障害が回復した後で、ペアＰ３５に「同期」を実行することによって、データ「ＢＩＤ０２」がＶＯＬ３からＶＯＬ５及びＶＯＬ７に複製される。その結果、失われたデータが復旧する。

次に、本実施の形態において、ペア障害によってデータが失われた場合に、その失われたデータを復旧する処理について説明する。

ペア障害によってデータが失われた場合であっても、障害が発生したペアにペア操作「同期」を実行することによって、失われたデータを復旧することができる場合がある。例えば、図１７において、ペアＰ３５に「同期」を実行すれば、ＶＯＬ５及びＶＯＬ７のデータが復旧する。障害が発生したペアにペア操作「同期」を実行することができるか否かは、発生した障害の程度によって決まる。

以下の処理の前提として、障害のイベントには、障害詳細コードが付与されていることを要する。障害詳細コードとは、障害の程度を表す属性情報である。

図１８は、本発明の実施の形態において、障害によって失われたデータを復旧する処理のフローチャートである。

図１８の処理は、データ管理プログラム２０１によって実行される。

図１８において、ステップ１８０１〜１８０６は、それぞれ、図８のステップ１６０１〜１６０６と同じである。また、ステップ１８０７、１８０８、１８１４及び１８１５は、それぞれ、ステップ１６１２、１６０７、１６１０及び１６１１と同じである。このため、これらのステップについては、説明を省略する。

図１８において、ペア障害が発生し（１８０４）、その障害によって失われたデータが特定され（１８０５）、各テーブルが更新されると（１８０６）、その障害によって失われたデータに関する情報が出力される（１８０８）。なお、以下の説明において、出力とは、その情報を管理サーバ１００の入出力装置１０１の表示画面（図示省略）に表示することであってもよいし、その情報を所定のアドレスに送信すること又はその情報を管理ログのファイル（図示省略）に書き込むこと等であってもよい。

次に、失われたデータと、障害が発生したペアの上段の論理ボリューム１４４に格納されているデータとを比較し、失われたデータと同じデータが格納された論理ボリューム１４４が存在するか否かを判定する（１８０９）。

失われたデータと同じデータが格納された論理ボリューム１４４が存在し、かつ、その論理ボリューム１４４と障害が発生したペアとの間のコピー経路上の全てのペアのペア状態が「ペア」である場合、ステップ１８０９において「Ｙｅｓ」と判定される。一方、失われたデータと同じデータが格納された論理ボリューム１４４が存在しないか、又は、その論理ボリューム１４４と障害が発生したペアとの間のコピー経路上に「ペア」以外のペア状態であるペアが存在する場合、ステップ１８０９において「Ｎｏ」と判定される。

失われたデータと同じデータが格納された論理ボリューム１４４が存在するか否かは、例えば、ボリューム・データ対応管理テーブル２０３のバックアップＩＤ６０４を参照して判定される。

ステップ１８０９において「Ｎｏ」と判定された場合、失われたデータと同じデータがストレージシステム１４０上に存在しないか、又は、障害が発生したペアに「同期」を実行することによって失われたデータを復旧することができない。このため、ペア操作を実行しないことを出力して（１８１３）、ステップ１８１４に進む。ステップ１８１３において、失われたデータと同じデータがストレージシステム１４０上に存在しないこと、又は、障害が発生したペアに「同期」を実行することによって失われたデータを復旧することができないことを出力してもよい。

一方、ステップ１８０９において「Ｙｅｓ」と判定された場合、次に、障害の程度が軽度であるか否か、すなわち、障害が発生したペアにペア操作「同期」を実行することができるか否かを判定する（１８１０）。この判定は、障害のイベントに付与されている障害詳細コード及び障害詳細コードテーブル２０４を参照することによってなされる。障害詳細コードテーブル２０４については、後で詳細に説明する（図１９参照）。

ステップ１８１０において、障害の程度が軽度でない（すなわち、障害が発生したペアにペア操作「同期」を実行することができない）と判定された場合、ステップ１８１４に進む。

一方、ステップ１８１０において、障害の程度が軽度である（すなわち、障害が発生したペアにペア操作「同期」を実行することができる）と判定された場合、次に、障害が発生したペアにペア操作「同期」を実行して失われたデータを復旧することを許可するか否かを確認する表示を出力して、ユーザからの応答を待つ（１８１１）。

ステップ１８１１において、ペア操作「同期」を実行することを許可しない応答があった場合、又は、ユーザからの応答を待っている間にペア状態変更イベントを受信した場合、ステップ１８０３に戻る。

一方、ステップ１８１１において、ペア操作「同期」を実行することを許可する応答があった場合、障害が発生したペアにペア操作「同期」を実行する（１８１２）。

次に、ペア状態の監視を終了するか否かを判定する（１８１４）。ペア状態の監視を終了しないと判定された場合はステップ１８０２に戻り、ペア状態の監視を終了すると判定された場合は、ペア状態の監視を終了して（１８１５）、図１８の処理を終了する。

図１９は、本発明の実施の形態の障害詳細コードテーブル２０４の説明図である。

障害詳細コードテーブル２０４は、管理サーバ１００のディスク装置１０２に格納され、データ管理プログラム２０１（具体的には、図１８に示す処理）によって参照される。この障害詳細コードテーブル２０４は、障害詳細コードと、障害が発生したペアにペア操作「同期」を実行することができるか否かを示す情報とを対応付ける。

障害詳細コードテーブル２０４は、障害詳細コード番号（＃）１９０１、障害詳細コード１９０２及び同期可否１９０３からなる。

障害詳細コード番号１９０１は、障害詳細コードに付与された通し番号である。

障害詳細コード１９０２は、障害の程度を表すコードである。障害のイベントには、障害詳細コード１９０２のいずれかが付与されている。

同期可否１９０３は、各障害詳細コード１９０２について、ペア操作「同期」を実行することができるか否かを示す。

図１９の例では、障害詳細コード１９０２「ｘ００１」及び「ｘｃａ０」の同期可否１９０３が共に「否」である。これは、「ｘ００１」及び「ｘｃａ０」に対応する障害が重度であり、これらの障害が発生したペアに対してペア操作「同期」を実行することができないことを示す。

例えば、障害のイベントに付与された障害詳細コードが「ｘ００１」である場合、図１８のステップ１８１０において、障害詳細コードテーブル２０４が参照される。そして、障害詳細コード１９０２「ｘ００１」に対応する同期可否１９０３が「否」であることから、障害が重度であり、ペア操作「同期」を実行することができないと判定される。

一方、障害詳細コード１９０２「ｘ００２」及び「ｘｃ９９」の同期可否１９０３が共に「可」である。これは、「ｘ００２」及び「ｘｃ９９」に対応する障害が軽度であり、これらの障害が発生したペアに対してペア操作「同期」を実行することができることを示す。

例えば、障害のイベントに付与された障害詳細コードが「ｘ００２」である場合、図１８のステップ１８１０において、障害詳細コードテーブル２０４が参照される。そして、障害詳細コード１９０２「ｘ００２」に対応する同期可否１９０３が「可」であることから、障害が軽度であり、ペア操作「同期」を実行することができると判定される。

以上の本実施の形態によれば、ペア状態又は業務状態が変更されたとき、その変更が検出されたことを契機として、失われるデータ又は上書きされるデータを特定する処理が実行される。このため、ユーザがペア操作を実行したとき又は業務状態を変更したときだけでなく、他のアプリケーションプログラム等によってペア状態又は業務状態が変更されたときにも、その変更によって論理ボリュームに上書きされるデータが特定される。

その結果、常に最新のペア状態、業務状態及び論理ボリュームの内容（すなわち、論理ボリュームとデータとの対応）を把握することができる。

さらに、ペアに障害が発生したとき、上記の最新のペア状態等を参照して、発生した障害によって失われるデータを正確に特定することができる。

また、ペアの障害によってデータが失われた場合、失われたデータと同一のデータがいずれかの論理ボリュームに存在するか否かが判定される。そして、存在する場合は、その失われたデータと同一のデータの所在が表示される。ユーザは、その表示を参照して、失われたデータを復旧する処理を実行することができる。

さらに、障害が発生したペアにペア操作「同期」を実行することによって、失われてデータを復旧することができるか否かが判定され、できる場合、「同期」を実行するか否かをユーザに問い合わせる。ユーザが実行を許可した場合、「同期」が実行され、失われたデータが復旧する。

このように、本実施の形態は、ペアに発生した障害によって失われたデータの復旧を支援する。

本発明の実施の形態のコンピュータシステムの構成のブロック図である。 本発明の実施の形態の管理サーバのディスク装置の内容の説明図である。 本発明の実施の形態の業務サーバのディスク装置の内容の説明図である。 本発明の実施の形態のデータ複製のペア及びコピーグループの説明図である。 本発明の実施の形態のペア状態・業務状態管理テーブルの説明図である。 本発明の実施の形態のボリューム・データ対応管理テーブルの説明図である。 本発明の実施の形態のペア構成定義テーブルの説明図である。 本発明の実施の形態のコンピュータシステムにおいて、ペア状態が変更されたときにデータ管理プログラムが実行する処理のフローチャートである。 本発明の実施の形態のデータ管理プログラムが出力する、障害によって失われるデータに関する情報の説明図である。 本発明の実施の形態のペアに障害が発生したときに、その障害によって失われるデータを特定する処理のフローチャートである。 本発明の実施の形態において、ペア状態がペア操作によって変更されたとき、その変更によって上書きされるデータを特定する処理のフローチャートである。 本発明の実施の形態においてペア状態が変更された場合のテーブル更新処理のフローチャートである。 本発明の実施の形態のコンピュータシステムにおいて、ペア状態又は業務状態が変更されたときにデータ管理プログラムが実行する処理のフローチャートである。 本発明の実施の形態において、ペア状態がペア操作によって変更されたとき、又は、業務状態が変更されたとき、その変更によって上書きされるデータを特定する処理のフローチャートである。 本発明の実施の形態においてペア状態又は業務状態が変更された場合のテーブル更新処理のフローチャートである。 本発明の実施の形態において、失われたデータの復旧を支援する情報を出力する処理のフローチャートである。 本発明の実施の形態において、失われたデータの復旧を支援する情報を出力する画面表示の説明図である。 本発明の実施の形態において、障害によって失われたデータを復旧する処理のフローチャートである。 本発明の実施の形態の障害詳細コードテーブルの説明図である。

符号の説明

１００ 管理サーバ
１０１、１２１ 入出力装置
１０２、１２５ ディスク装置
１０３、１２３ ＣＰＵ
１０４、１２４ 主記憶装置
１０５、１２２ ネットワークインターフェース（Ｉ／Ｆ）
１０６、１２７ バス
１２０ 業務サーバ
１２６ データインターフェース（Ｉ／Ｆ）
１４０ ストレージシステム
１４１ 管理用ポート
１４２ ポート
１４３ ディスク装置
１４４ 論理ボリューム
１４５ ディスクコントローラ
１６０ ネットワーク
１７０ ストレージエリアネットワーク（ＳＡＮ）
２０１ データ管理プログラム
２０２ ペア状態・業務状態管理テーブル
２０３ ボリューム・データ対応管理テーブル
２０４ 障害詳細コードテーブル
３０１ ペア管理プログラム
３０２ ペア構成定義テーブル

Claims (20)

1. 計算機システムに含まれるストレージシステムに接続された管理計算機において、
   前記ストレージシステムは、データが格納される正論理ボリュームと、前記正論理ボリュームに格納されたデータの複製が格納される副論理ボリュームと、を備え、
   前記正論理ボリュームと前記副論理ボリュームとはペアを構成し、
   前記管理計算機は、前記正及び副論理ボリュームに格納されたデータを管理するデータ管理部を有し、
   前記データ管理部は、
   前記ペアに関するイベントを取得し、
   前記イベントが前記ペアに発生した障害によるものであるか否かを判定し、
   前記イベントが前記障害によるものである場合、当該障害によって失われたデータを判定し、
   当該失われたデータに関する情報を出力することを特徴とする管理計算機。
2. 前記計算機システムには、前記管理計算機によって参照される管理情報が格納され、
   前記管理情報は、前記正及び副論理ボリュームに格納されたデータの識別子を含み、
   前記データ管理部は、
   前記識別子を参照して、前記失われたと判定されたデータと同一の前記識別子を有するデータを検索し、
   前記検索されたデータが格納された前記正及び副論理ボリュームに関する情報を出力することを特徴とする請求項１に記載の管理計算機。
3. 前記計算機システムには、前記管理計算機によって参照される管理情報が格納され、
   前記管理情報は、前記ペアのペア状態に関する情報と、前記正論理ボリュームの業務状態に関する情報と、を含み、
   前記ペア状態には、
   前記正論理ボリュームのデータが更新されると当該更新されたデータが前記副論理ボリュームに複製される第１ペア状態と、
   前記更新されたデータの複製が停止した第２ペア状態と、
   前記第２状態を前記第１状態に変更するために前記正論理ボリュームから前記副論理ボリュームへのデータの複製が実行されている第３ペア状態と、があり、
   前記業務状態には、前記論理ボリュームに対するデータアクセスが行われる運用状態があり、
   前記データ管理部は、
   前記障害が発生したペアの当該障害が発生する直前のペア状態が前記第２ペア状態である場合、当該障害によって当該障害が発生したペアの前記副論理ボリュームのデータが失われなかったと判定し、
   前記障害が発生したペアの当該障害が発生する直前のペア状態が前記第３ペア状態である場合、当該障害によって当該障害が発生したペアの前記副論理ボリュームのデータが失われたと判定し、
   前記障害が発生したペアの当該障害が発生する直前のペア状態が前記第１ペア状態であり、当該障害が発生したペアと業務に使用されている前記正論理ボリュームとの間に存在する全てのペアの前記ペア状態が前記第１ペア状態であり、かつ、当該業務に使用されている前記正論理ボリュームの前記業務状態が前記運用状態である場合、当該障害が発生したペアの前記副論理ボリュームのデータが失われたと判定することを特徴とする請求項１に記載の管理計算機。
4. 前記データ管理部は、前記障害が発生したペアの当該障害が発生する直前のペア状態が前記第１ペア状態であり、当該障害が発生したペアの上段に前記第３ペア状態のペアが存在し、かつ、当該第３ペア状態のペアと当該障害が発生したペアとの間の全てのペアの前記ペア状態が前記第１ペア状態である場合、当該障害が発生したペアの前記副論理ボリュームのデータが失われたと判定することを特徴とする請求項３に記載の管理計算機。
5. 前記データ管理部は、前記データが失われたと判定された前記副論理ボリュームの下段に隣接するペアのペア状態が前記第１ペア状態である場合、当該ペアの前記副論理ボリュームのデータが失われたと判定することを特徴とする請求項３に記載の管理計算機。
6. 前記計算機システムには、前記管理計算機によって参照される管理情報が格納され、
   前記データ管理部は、前記イベントが前記ペアに発生した障害によるものでない場合、
   前記ペアのペア状態の変更によって変更される前記副論理ボリュームと当該副論理ボリュームに格納されるデータとの対応関係を判定し、
   当該判定された対応関係を参照して前記管理情報を更新することを特徴とする請求項１に記載の管理計算機。
7. 前記管理情報は、前記ペアのペア状態に関する情報を含み、
   前記ペア状態には、
   前記正論理ボリュームのデータが更新されると当該更新されたデータが前記副論理ボリュームに複製される第１ペア状態と、
   前記更新されたデータの複製が停止した第２ペア状態と、
   前記第２状態を前記第１状態に変更するために前記正論理ボリュームから前記副論理ボリュームへのデータの複製が実行されている第３ペア状態と、があり、
   前記データ管理部は、
   前記ペア状態が変更されたペアの当該変更の直前のペア状態が前記第１ペア状態又は前記第２ペア状態である場合、当該ペア状態が変更されたペアの前記副論理ボリュームについて、当該ペア状態の変更によって前記対応関係が変化しないと判定し、
   前記ペア状態が変更されたペアの当該変更の直前のペア状態が前記第３ペア状態である場合、当該副論理ボリュームについて、当該ペア状態の変更によって前記対応関係が変化したと判定することを特徴とする請求項６に記載の管理計算機。
8. 前記データ管理部は、
   前記対応関係が変化したと判定された前記副論理ボリュームの下段に隣接するペアのペア状態が前記第１ペア状態である場合、当該ペアの前記副論理ボリュームについて、前記対応関係が変化したと判定することを特徴とする請求項７に記載の管理計算機。
9. 前記管理情報は、前記論理ボリュームに格納されたデータの識別子を含み、
   前記データ管理部は、前記対応関係が変化したと判定された副論理ボリュームに対応する前記識別子を、当該副論理ボリュームと前記ペアを構成する前記正論理ボリュームと同一の前記識別子に更新することを特徴とする請求項８に記載の管理計算機。
10. ストレージシステムを含む計算機システムにおける前記ストレージシステムのデータ管理方法において、
    前記ストレージシステムは、データが格納される正論理ボリュームと、前記正論理ボリュームに格納されたデータの複製が格納される副論理ボリュームと、を備え、
    前記正論理ボリュームと前記副論理ボリュームとはペアを構成し、
    前記データ管理方法は、
    前記ペアに関するイベントを取得する手順と、
    前記イベントが前記ペアに発生した障害によるものであるか否かを判定する手順と、
    前記イベントが前記障害によるものである場合、当該障害によって失われたデータを判定する手順と、
    当該失われたデータに関する情報を出力する手順と、を含むことを特徴とするデータ管理方法。
11. 前記計算機システムには、管理情報が格納され、
    前記管理情報は、前記正及び副論理ボリュームに格納されたデータの識別子を含み、
    前記データ管理方法は、さらに、
    前記識別子を参照して、前記失われたと判定されたデータと同一の前記識別子を有するデータを検索する手順と、
    前記検索されたデータが格納された前記正又は副論理ボリュームに関する情報を出力する手順と、を含むことを特徴とする請求項１０に記載のデータ管理方法。
12. 前記計算機システムには、管理情報が格納され、
    前記管理情報は、前記ペアのペア状態に関する情報と、前記正論理ボリュームの業務状態に関する情報と、を含み、
    前記ペア状態には、
    前記正論理ボリュームのデータが更新されると当該更新されたデータが前記副論理ボリュームに複製される第１ペア状態と、
    前記更新されたデータの複製が停止した第２ペア状態と、
    前記第２状態を前記第１状態に変更するために前記正論理ボリュームから前記副論理ボリュームへのデータの複製が実行されている第３ペア状態と、があり、
    前記業務状態には、前記論理ボリュームに対するデータアクセスが行われる運用状態があり、
    前記データ管理方法は、さらに、
    前記管理情報において、前記障害が発生したペアの当該障害が発生する直前の前記ペア状態を参照する手順と、
    前記障害が発生したペアの当該障害が発生する直前のペア状態が前記第２ペア状態である場合、当該障害によって当該障害が発生したペアの前記副論理ボリュームのデータが失われなかったと判定する手順と、
    前記障害が発生したペアの当該障害が発生する直前のペア状態が前記第３ペア状態である場合、当該障害によって当該障害が発生したペアの前記副論理ボリュームのデータが失われたと判定する手順と、
    前記障害が発生したペアの当該障害が発生する直前のペア状態が前記第１ペア状態であり、当該障害が発生したペアと業務に使用されている前記論理ボリュームとの間に存在する全てのペアの前記ペア状態が前記第１ペア状態であり、かつ、当該業務に使用されている前記正論理ボリュームの前記業務状態が前記運用状態である場合、当該障害が発生したペアの前記副論理ボリュームのデータが失われたと判定する手順と、を含むことを特徴とする請求項１０に記載のデータ管理方法。
13. 前記計算機システムには、管理情報が格納され、
    前記データ管理方法は、前記イベントが前記ペアに発生した障害によるものでない場合、さらに、
    前記ペアのペア状態の変更によって変更される前記副論理ボリュームと当該副論理ボリュームに格納されるデータとの対応関係を判定する手順と、
    当該判定された対応関係を参照して前記管理情報を更新する手順と、を含むことを特徴とする請求項１０に記載のデータ管理方法。
14. 前記管理情報は、前記ペアのペア状態に関する情報を含み、
    前記ペア状態には、
    前記正論理ボリュームのデータが更新されると当該更新されたデータが前記副論理ボリュームに複製される第１ペア状態と、
    前記更新されたデータの複製が停止した第２ペア状態と、
    前記第２状態を前記第１状態に変更するために前記正論理ボリュームから前記副論理ボリュームへのデータの複製が実行されている第３ペア状態と、があり、
    前記データ管理方法は、さらに、
    前記ペア状態が変更されたペアの当該変更の直前のペア状態が前記第１ペア状態又は前記第２ペア状態である場合、当該ペア状態が変更されたペアの前記副論理ボリュームについて、当該ペア状態の変更によって前記対応関係が変化しないと判定する手順と、
    前記ペア状態が変更されたペアの当該変更の直前のペア状態が前記第３ペア状態である場合、当該副論理ボリュームについて、当該ペア状態の変更によって前記対応関係が変化したと判定することを特徴とする請求項１３に記載のデータ管理方法。
15. ストレージシステムを含む計算機システムにおける前記ストレージシステムのデータ管理方法において、
    前記ストレージシステムは、データが格納される正論理ボリュームと、前記正論理ボリュームに格納されたデータの複製が格納される副論理ボリュームと、を備え、
    前記正論理ボリュームと前記副論理ボリュームとはペアを構成し、
    前記計算機システムは、管理情報を有し、
    前記データ管理方法は、
    前記ペアに関するイベントを取得する手順と、
    前記イベントが前記ペアに発生した障害によるものであるか否かを判定する手順と、
    前記イベントが前記ペアに発生した障害によるものでない場合、前記ペアのペア状態の変更によって変更される前記副論理ボリュームと当該副論理ボリュームに格納されるデータとの対応関係を判定する手順と、
    当該判定された対応関係を参照して前記管理情報を更新する手順と、を含むことを特徴とするデータ管理方法。
16. 前記管理情報は、前記ペアのペア状態に関する情報を含み、
    前記ペア状態には、
    前記正論理ボリュームのデータが更新されると当該更新されたデータが前記副論理ボリュームに複製される第１ペア状態と、
    前記更新されたデータの複製が停止した第２ペア状態と、
    前記第２状態を前記第１状態に変更するために前記正論理ボリュームから前記副論理ボリュームへのデータの複製が実行されている第３ペア状態と、があり、
    前記データ管理方法は、さらに、
    前記ペア状態が変更されたペアの当該変更の直前のペア状態が前記第１ペア状態又は前記第２ペア状態である場合、当該ペア状態が変更されたペアの前記副論理ボリュームについて、当該ペア状態の変更によって前記対応関係が変化しないと判定する手順と、
    前記ペア状態が変更されたペアの当該変更の直前のペア状態が前記第３ペア状態である場合、当該副論理ボリュームについて、当該ペア状態の変更によって前記対応関係が変化したと判定することを特徴とする請求項１５に記載のデータ管理方法。
17. 前記対応関係が変化したと判定された前記副論理ボリュームの下段に隣接するペアのペア状態が前記第１ペア状態である場合、当該ペアの前記副論理ボリュームについて、前記対応関係が変化したと判定する手順をさらに含むことを特徴とする請求項１６に記載のデータ管理方法。
18. 前記管理情報は、前記論理ボリュームに格納されたデータの識別子を含み、
    前記データ管理方法は、さらに、前記対応関係が変化したと判定された副論理ボリュームに対応する前記識別子を、当該副論理ボリュームと前記ペアを構成する前記正論理ボリュームと同一の前記識別子に更新する手順を含むことを特徴とする請求項１７に記載のデータ管理方法。
19. 前記ペアのペア状態には、
    前記正論理ボリュームのデータが更新されると当該更新されたデータが前記副論理ボリュームに複製される第１ペア状態と、
    前記更新されたデータの複製が停止した第２ペア状態と、
    前記第２状態を前記第１状態に変更するために前記正論理ボリュームから前記副論理ボリュームへのデータの複製が実行されている第３ペア状態と、があり、
    前記イベントが前記障害によるものである場合、当該障害が発生したペアの前記ペア状態を、前記第２ペア状態から前記第３ペア状態に変更する手順を含むことを特徴とする請求項１０に記載のデータ管理方法。
20. 前記イベントが前記障害によるものである場合、当該イベントには当該発生した障害の程度に関する属性情報が付与され、
    前記属性情報を参照して、前記障害が発生したペアの前記ペア状態を前記第２ペア状態から前記第３ペア状態に変更する手順を実行するか否かを判定する手順を含むことを特徴とする請求項１９に記載のデータ管理方法。

Images