JP2006293864A - ストレージシステム、データ移動管理システム、及びデータ移動管理方法 - Google Patents

Abstract

【課題】 書き換え又は消去等の改竄を防止しながら、ストレージシステム間のデータ移動を改竄防止期間内に行う。
【解決手段】 データ移動管理システムは、移動元のストレージシステムの論理デバイスから移動先のストレージシステムの論理デバイスへデータを複写し（Ｓ４０１）、移動先の論理デバイスに対して、改竄防止設定を行う（Ｓ４０３）。次いで、データ移動管理システムは、移動先のストレージシステムから改竄防止状況報告書を取得し（Ｓ４０５）、データが改竄されることなく移動できたことを確認すると、移動元のストレージシステムの論理デバイスの改竄防止設定を解除する（Ｓ４０７）。
【選択図】 図１１

Description

本発明はストレージシステム、データ移動管理システム、及びデータ移動管理方法に関し、特に、論理デバイス間のデータ移動を安全に行い、書き換え又は消去等の改竄を防止する技術に関する。

近年、ストレージシステムに要求されるセキュリティ機能の高まりや、電子データの取り扱いに関する法規制準拠等の目的により、ストレージシステムに書き込まれたデータの書き換え又は消去等の改竄を防止しながら、データを一定期間保管する技術の必要性が高まっている。例えば、特許文献１には、ストレージシステムの論理デバイス毎にリードオンリ属性を設定し、リードオンリ属性の変更を一定期間抑止することにより、論理デバイスに書き込まれたデータの書き換え又は消去等の改竄を防止する技術が提案されている。

一方、改竄防止とは別の技術動向として、データライフサイクル管理（ＤＬＣＭ）が着目されている。ＤＬＣＭは、時間と共に変化するデータの価値に応じて、データをストレージシステム間で移動することにより、コスト効率のよいデータ管理を実現する概念である。例えば、メールシステムは、企業の基幹システムであるため、高性能・高信頼性を有するハイエンドストレージシステムが必要である。数週間経過したメールはアクセス頻度が低くなるので、ハイエンドストレージシステムからニアラインストレージシステムにデータを移動させる。ニアラインストレージシステムは、ハイエンドストレージシステムと比較して性能・信頼性は劣るものの、低価格というメリットがあり、必要に応じて即時アクセスが可能である。そして、ニアラインストレージシステムにデータを移動してから１〜２年経過した後に、テープ媒体にデータを移動させ、保管庫に保管する。ＤＬＣＭの考えに立脚してデータ管理コストを削減するには、データの移動管理が重要である。

データの移動管理に関する技術として、例えば、特許文献２には、ネットワークに接続された情報記憶装置にファイルを保存する際に、保存先となる情報記憶装置におけるファイルの保管期限を管理し、保管期限満了前にファイルを自動的に他の記憶装置に移動させるファイル管理装置が開示されている。また、特許文献３には、規定の保管期限を経過して共用記憶領域内で保管されているファイルを退避用記憶領域に移動させ、規定の保管期限を経過して退避用記憶領域に保管されているファイルを外部記憶装置に移動させ、コンピュータ又はファイルサーバからファイル参照が行われた時点で、移動元の記憶領域にファイルを復元するファイル・リロケーション・システムが開示されている。
特開２００５−１８５６８号公報 特開２００３−５８３９７号公報 特開２００４−７８３３１号公報

特許文献１によれば、書き換え又は消去等の改竄を防止しながらデータを一定期間保存することができる。しかし、法律で規定された保管期間が満了する以前にストレージシステムの寿命が尽きる場合には、他のストレージシステムにデータを移動させる必要が生じる。或いは、ＤＬＣＭを実践するために、ストレージシステム間でデータを移動させる必要が生じる場合も想定される。このような場合に、特許文献１には、書き換え又は消去等の改竄を防止して安全に他のストレージシステムにデータを移動させる技術について言及されていない。

同様に、特許文献２及び特許文献３には、書き換え又は消去等の改竄を防止したストレージシステム間のデータ移動については言及されていない。例えば、法規制に対応するために、ＷＯＲＭ（Write Once Read Many）媒体に一定期間、データを保管する必要が生じる。ユーザは最終的にはＷＯＲＭテープ媒体への保管を望むが、アクセス性能やリカバリの高速化を考慮して、一定期間はディスクへの保管を望む傾向がある。改竄防止のためにリードオンリ属性に設定されたディスクに保管されたデータを、法律で規定された保管期間内に他のストレージシステムに移動しようとすると、移動先のストレージシステムへのデータの複写はできるものの、移動元のストレージシステムのデータは消去できない。そのため、移動元のストレージシステムでは、移動対象のデータが書き込まれていた記憶領域を再利用することができず、データの管理コストを削減することができない。

また、上述の特許文献１〜３では、法律で規定された保管期間内にストレージシステム間でデータを移動させたときに、改竄防止を保証することができず、更に、移動先のストレージシステムに対して改竄防止設定を行うことができない。

本発明は、上記の問題点に鑑みてなされたもので、本発明の目的は、書き換え又は消去等の改竄を防止しながら、ストレージシステム間のデータ移動を改竄防止期間内に行うことにある。

上記の課題を解決するため、本発明のストレージシステムは、論理デバイスを形成する記憶デバイスと、論理デバイスに書き込まれたデータの改竄を防止するための制御情報を格納する制御メモリと、制御情報に基づいて論理デバイスへのデータの読み書きを制御するコントローラと、を備える。制御情報には、論理デバイスに書き込まれたデータの改竄を禁止する期限を示す改竄防止期限と、論理デバイスに書き込まれたデータの改竄防止期限内における他の論理デバイスへのデータの移動を許可する期間を示す移動許可期間と、論理デバイスに書き込まれたデータの改竄の有無を識別するデータ識別情報とが含まれている。コントローラは、改竄防止設定がなされている論理デバイスに書き込まれたデータが改竄されることなく移動許可期間に他の論理デバイスに移動されたことを条件として、論理デバイスの改竄防止設定を解除する。

コントローラは、例えば、論理デバイスに書き込まれたデータが改竄されることなく他の論理デバイスに移動されたか否かを示す改竄防止状況報告書を、他の論理デバイスを備える移動先のストレージシステムから受信し、改竄防止状況報告書に基づいて、論理デバイスに書き込まれたデータが改竄されることなく移動許可期間に他の論理デバイスに移動されたか否かを判定する。

コントローラは、例えば、移動許可期間内に改竄防止状況報告書を取得できなかった場合、又は移動許可期間内に改竄防止状況報告書を取得できたが、論理デバイスに書き込まれたデータが改竄されることなく移動許可期間に他の論理デバイスに移動できたと判定できなかった場合には、新たに設定された移動許可期間内に論理デバイスに書き込まれたデータを他の論理デバイスに移動させる。

改竄防止状況報告書には、例えば、他の論理デバイスに設定された改竄防止期限及び移動許可期間と、他の論理デバイスに移動されたデータの改竄の有無を識別するデータ識別情報と、移動先のストレージシステムの電子署名とが含まれている。コントローラは、電子署名が正当であり、他の論理デバイスに設定された改竄防止期限が論理デバイスに設定された改竄防止期限と同一であり、他の論理デバイスに設定された移動許可期間の初日が現在日よりも将来の日付であり、論理デバイスに書き込まれたデータのデータ識別情報と他の論理デバイスに書き込まれたデータのデータ識別情報とが同一である場合に、論理デバイスに書き込まれたデータが改竄されることなく移動許可期間に他の論理デバイスに移動されたと判定する。

改竄防止状況報告書には、更に、移動先のストレージシステムのベンダ名、装置名及び製造番号が含まれていてもよい。

本発明のデータ移動管理システムは、第一のストレージシステムと第二のストレージシステムとの間におけるデータ移動を管理する。第一のストレージシステムは、第一の論理デバイスを形成する第一の記憶デバイスと、第一の論理デバイスに書き込まれたデータの改竄を防止するための第一の制御情報を格納する第一の制御メモリと、第一の制御情報に基づいて第一の論理デバイスへのデータの読み書きを制御する第一のコントローラと、を備える。第一の制御情報には、第一の論理デバイスに書き込まれたデータの改竄を禁止する期限を示す第一の改竄防止期限と、第一の論理デバイスに書き込まれたデータの第一の改竄防止期限内における第二の論理デバイスへのデータの移動を許可する期間を示す第一の移動許可期間と、第一の論理デバイスに書き込まれたデータの改竄の有無を識別する第一のデータ識別情報とが含まれている。第二のストレージシステムは、第二の論理デバイスを形成する第二の記憶デバイスと、第二の論理デバイスに書き込まれたデータの改竄を防止するための第二の制御情報を格納する第二の制御メモリと、第二の制御情報に基づいて第二の論理デバイスへのデータの読み書きを制御する第二のコントローラと、を備える。第二の制御情報には、第二の論理デバイスに書き込まれたデータの改竄を禁止する期限を示す第二の改竄防止期限と、第二の論理デバイスに書き込まれたデータの第二の改竄防止期限内における他の論理デバイスへのデータの移動を許可する期間を示す第二の移動許可期間と、第二の論理デバイスに書き込まれたデータの改竄の有無を識別する第二のデータ識別情報とが含まれている。データ移動管理システムは、少なくとも第一の改竄防止期限と第一の移動許可期限とを管理する移動スケジュールテーブルを備えており、改竄防止設定がなされている第一の論理デバイスに書き込まれたデータが改竄されることなく第一の移動許可期間に第二の論理デバイスに移動されたことを条件として、第一の論理デバイスの改竄防止設定を解除する。

本発明のデータ移動管理システムは、例えば、第一の論理デバイスに書き込まれたデータが改竄されることなく第二の論理デバイスに移動されたか否かを示す改竄防止状況報告書を第二のストレージシステムから受信し、改竄防止状況報告書を第一のストレージシステムに転送する。

本発明のデータ移動管理システムは、例えば、第一の移動許可期間内に第一のストレージシステムが改竄防止状況報告書を取得できなかった場合、又は第一の移動許可期間内に第一のストレージシステムが改竄防止状況報告書を取得できたが、第一の論理デバイスに書き込まれたデータが改竄されることなく第一の移動許可期間に第二の論理デバイスに移動できなかった場合には、第一の移動許可期間を新たに設定する。

本発明のデータ移動管理方法は、第一のストレージシステムと第二のストレージシステムとの間におけるデータ移動を管理する。この方法は、第一のストレージシステムの改竄防止設定された第一の論理デバイスに書き込まれたデータを改竄防止期限内に第二のストレージシステムの第二の論理デバイスに移動させるステップと、第一の論理デバイスに書き込まれたデータが改竄されることなく改竄防止期間内に第二の論理デバイスに移動できた場合に、第一の論理デバイスに設定された改竄防止設定を解除するステップと、を備える。

本発明のデータ移動管理方法は、例えば、第一の論理デバイスに書き込まれたデータが改竄されることなく第二の論理デバイスに移動されたか否かを示す改竄防止状況報告書を第二のストレージシステムから受信するステップと、第二のストレージシステムから受信した改竄防止状況報告書を第一のストレージシステムに転送するステップと、を備える。

本発明のデータ移動管理方法は、例えば、改竄防止期間内に第一のストレージシステムが改竄防止状況報告書を取得できなかった場合、又は改竄防止期間内に第一のストレージシステムが改竄防止状況報告書を取得できたが、第一の論理デバイスに書き込まれたデータが改竄されることなく改竄防止期間内に第二の論理デバイスに移動できなかった場合には、第一の論理デバイスに書き込まれたデータを第二の論理デバイスに移動させるための移動許可期間を新たに設定するステップを備える。

本発明によれば、書き換え又は消去等の改竄を防止しながら、ストレージシステム間のデータ移動を改竄防止期間内に行うことができる。

以下、各図を参照しながら本発明の実施形態について説明する。
図１は本実施形態のストレージシステム１０，２０を含むネットワーク構成を示している。複数のホスト装置３１，３２と、複数のストレージシステム１０，２０と、バックアップ装置８０とがＳＡＮ（Storage Area Network）６１を介して接続されている。ストレージシステム１０，２０は、例えば、複数のディスクドライブをアレイ状に配置し、ＲＡＩＤ（Redundant Array of Independent Inexpensive Disks）構成に対応したデータ管理を行うディスクアレイ装置等である。

ストレージシステム１０は、時計１１、チャネルコントローラ１２、制御メモリ１３、キャッシュメモリ１４、ディスクコントローラ１５、及び複数のディスクドライブ１６−１，１６−２，…，１６−４を備えて構成されている。

チャネルコントローラ１２は、ホスト装置３１，３２との通信を制御する。例えば、ホスト装置３１，３２がメインフレーム系である場合には、チャネルコントローラ１２は、ＦＩＣＯＮ（Fibre Connection：登録商標）、ＥＳＣＯＮ（Enterprise System Connection：登録商標）、ＡＣＯＮＡＲＣ（Advanced Connection Architecture：登録商標）、ＦＩＢＡＲＣ（Fibre Connection Architecture：登録商標）等の通信プロトコルで通信を行うためのメインフレーム用のインターフェースを備える。スト装置３１，３２がオープン系である場合には、チャネルコントローラ１２は、オープンシステム用のインターフェースを備える。

ディスクコントローラ１５は、ディスクドライブ１６−１，１６−２，…，１６−４へのデータのリード／ライト操作を制御する。ディスクドライブ１６−１，１６−２，…，１６−４は、例えば、ＡＴＡ（Advanced Technology Attachment）ディスクドライブ、ＳＣＳＩ（Small Computer System Interface）ディスクドライブ、ファイバチャネルディスクドライブ等のハードディスクドライブである。制御メモリ１３は、論理デバイス毎の改竄防止設定やデータ移動管理等を制御するためのＬＤＥＶ制御情報や、その他のオペレーションの制御に必要な各種の情報を格納する。キャッシュメモリ１４は、ディスクドライブ１６−１，１６−２，…，１６−４から読み出したリードデータ、又はディスクドライブ１６−１，１６−２，…，１６−４へ書き込むためのライトデータを一時的に格納する。時計１１は、現在日時を計測するための計測手段であり、論理デバイス毎に設定された改竄防止期限等の管理に用いられる。

ストレージシステム１０には、内部ＬＡＮ７２を介してサービスプロセッサ７１が接続されている。この内部ＬＡＮ７２は、ストレージシステム１０内のチャネルコントローラ１２やディスクコントローラ１５等と接続された、オペレーション制御用の内部ＬＡＮである。サービスプロセッサ７１には、ＬＡＮ７３を介してコンソール端末５１が接続されている。サービスプロセッサ７１に実装されているコンソールソフトウェア４１は、コンソール端末５１に対してＷｅｂサーバとして機能する。サービスプロセッサ７１は、コンソール端末５１からのリクエストに応答して、ストレージシステム１０に対し管理用の制御、例えば、ディスクドライブ１６−１，１６−２，…，１６−４の増設又は減設、ＲＡＩＤ構成の変更（例えば、ＲＡＩＤ１からＲＡＩＤ５への変更）、ストレージシステム１０動作状態の確認や故障部位の特定等を行うことができる。

ホスト装置３１，３２には、常駐型のソフトウェアであるストレージ管理ソフトウェア９１，９２が実装されている。これらのストレージ管理ソフトウェア９１，９２は、何れも、それぞれのホスト装置３１，３２に実装されているアプリケーションプログラムからの指示に応答して、ストレージシステム１０，２０に対する各種の管理用制御を行う。例えば、ホスト装置３２には、ストレージシステム１０のデータ移動管理を行うアプリケーションプログラムとして、データ移動管理ソフトウェア２２が実装されている。ホスト装置３２は、ストレージシステム１０，２０における論理デバイス毎の改竄防止設定や、ストレージシステム１０，２０間のデータ移動管理等の各種の管理用制御を行うデータ移動管理システムとして機能する。論理デバイス毎の改竄防止設定やデータ移動管理の詳細については、後述する。

バックアップ装置８０は、テープ媒体８１を備えており、ストレージシステム１０の論理デバイスに格納されるデータのバックアップを保持する。バックアップデータは、テープ媒体８１に格納される。

尚、ストレージシステム２０の構成は、上述したストレージシステム２０の構成と同様であるため、その構成の詳細な説明は省略する。

図２はディスクドライブ（物理デバイス）１６−１，１６−２，…，１６−４と論理デバイス（ＬＤＥＶ）１０１−１，１０１−２，…，１０１−４との関係を示す。論理デバイス１０１−１，１０１−２，…，１０１−４の各々は、複数のディスクドライブ１６−１，１６−２，…，１６−４に亘って、それらの部分的な記憶領域上に形成される。つまり、論理デバイス１０１−１は、論理デバイスＡとしてホスト装置３１，３２に提供されている。他の論理デバイス１０１−２，１０１−３，…，１０１−４についても同様に、それぞれ論理デバイスＢ，Ｃ，Ｄとしてホスト装置３１，３２に提供されている。

制御メモリ１３には、論理デバイス１０１−１，１０１−２，…，１０１−４毎の改竄防止設定やデータ移動管理等を制御するためのＬＤＥＶ制御情報１０３と、後述する改竄防止状況報告書に公開鍵暗号等を用いて電子署名するための鍵情報１０５が格納されている。鍵情報１０５は、例えば、ストレージベンダが登録申請した公開鍵及び秘密鍵等の情報である。チャネルコントローラ１２に実装されたチャネルインターフェース制御プログラム１０２は、ホスト装置３１，３２から与えられたＬＤＥＶアクセスのための情報から、アクセス対象のＬＤＥＶアドレス（論理デバイスの論理アドレス）を演算する。ディスクコントローラ１５に実装された論理・物理アドレス変換プログラム１０４は、ＬＤＥＶアドレスをＰＤＥＶアドレス（物理デバイスの物理アドレス）に変換する。また、チャネルインターフェース制御プログラム１０２と論理・物理アドレス変換プログラムは、ＬＤＥＶ制御情報１０３を参照することにより、論理デバイス１０１−１，１０１−２，…，１０１−４に対するホスト装置３１，３２からのアクセスを制御する。また、チャネルインターフェース制御プログラム１０２は、ホスト装置３１，３２からの指示により、ＬＤＥＶ制御情報１０３を更新することができる。

次に、本実施形態におけるデータ移動管理方法の概要について説明を加える。本実施形態のデータ移動管理方法では、法規制又はその他の取り決め等により定められたデータの保管期間（以下、改竄防止期間と称する。）とは別に、論理デバイスに保管されるデータの保管期間（以下、改竄防止保管期間と称する。）を設定する。改竄防止保管期間は、論理デバイスを構築する記憶デバイスの寿命、アクセス性能、管理コスト、ＤＬＣＭに基づくデータ移動スケジュール等を参考に定められる。例えば、ある法規制に基づくデータの改竄防止期間が３０年であるならば、改竄防止保管期間は６ヶ月という具合に定めることができる。ストレージシステム内に複数の論理デバイスが形成されている場合には、論理デバイス毎に改竄防止保管期間を設定することができる。また、改竄防止保管期間は、論理デバイス単位で設定する場合に限らず、例えば、記憶デバイス単位で設定してもよく、或いはストレージシステム単位で設定してもよい。尚、以下の説明において、改竄防止期限とは、改竄防止期間の最終日をいい、改竄防止保管期限とは、改竄防止保管期間の最終日をいうものとする。

さて、ある論理デバイスにデータを保管するには、その論理デバイスに改竄防止設定をする他、改竄防止期限と改竄防止保管期限を設定する。ここで、改竄防止設定とは、論理デバイスに書き込まれたデータの書き換え又は消去を禁止する設定をいう。例えば、リードアクセスを許可し、ライトアクセスを禁止する設定（Read Only設定）等がこれに該当する。改竄防止保管期限を経過した論理デバイスに格納されているデータは、他の論理デバイスに移動させることができる。データの移動単位は、ファイル単位でもよく、ブロック単位でもよい。移動元の論理デバイスに格納されているデータが改竄されることなく安全に移動先の論理デバイスに複写されたことが移動元のストレージシステムが確認できたか、或いは改竄防止期限が経過したことを条件として、移動元の論理デバイスに設定された改竄防止設定は解除される。これにより、改竄防止期間内における論理デバイス間のデータ移動の改竄防止を保証することができる。また、改竄防止設定が解除された移動元の論理デバイスは、改竄防止期限が経過する以前の段階においても、他のデータ保存等に利用することができ、データ管理コストの低減を実現できる。尚、改竄防止設定が解除された論理デバイスに対して、自動的に初期化するように構成してもよい。

図３はＬＤＥＶ制御情報１０３のテーブル構成を示している。ＬＤＥＶ制御情報１０３は、論理デバイス毎の竄防止設定やデータ移動管理等を制御するための情報として、ＬＤＥＶ実装ビット、改竄防止ビット、改竄防止期限、移動許可開始日、移動許可期限、移動延期期間、及びデータ識別情報を含む。ＬＤＥＶ実装ビットは、ＬＤＥＶが実装されているか否かを示す情報である。ＬＤＥＶ実装ビットが「１」であれば、ＬＤＥＶが実装されていることを示し、ＬＤＥＶ実装ビットが「０」であれば、ＬＤＥＶが実装されていないことを示す。改竄防止ビットは、ＬＤＥＶが改竄防止設定されているか否かを示す情報である。改竄防止ビットが「１」であれば、ＬＤＥＶが改竄防止設定されていることを示し、改竄防止ビットが「０」であれば、ＬＤＥＶが改竄防止設定されていないことを示す。改竄防止期限については、上述した通りである。

移動許可開始日とは、改竄防止期間内において、データ移動が許可された期間（以下、移動許可期間と称する。）の初日をいい、改竄防止保管期限の翌日である。つまり、改竄防止保管期限が経過すると、データ移動が一定期間許可される。データ移動が一定期間許可されるのは、システム障害等で直ちにデータ移動できない場合等を想定したものである。移動許可期限とは、移動許可期間の最終日をいう。移動許可期限を設定することにより、移動元のデータが改竄される機会を減らして、セキュリティ性を高めることができる。移動延期期間とは、移動許可期間内に改竄防止状況報告書を取得できなかった場合や、或いは改竄防止状況報告書を取得できたが、論理デバイスに書き込まれたデータが改竄されることなく移動許可期間に他の論理デバイスに移動できたと判定できなかった場合を想定して、移動許可期限を経過した後においても、更に、データ移動が許可される期間である。ここでは、延期日数が示されている。新たに移動許可期間が設定される場合には、新たな移動許可開始日は、移動許可期限から移動延期期間を経過した後の期日に設定される。データ識別情報とは、各論理デバイスに格納されているデータの改竄の有無を示す情報、例えば、ハッシュ値である。データ識別情報としては、論理デバイスに書き込まれたデータに何等かの演算等を施すことにより、そのデータから一意に導き出される情報であればよく、ハッシュ値に限定されるものではない。上述したＬＤＥＶ実装ビット、改竄防止ビット、改竄防止期限、移動許可開始日、移動許可期限、移動延期期間、及びデータ識別情報はＬＤＥＶ毎に設定される。

次に、図４乃至図７を参照しながら、本実施形態のデータ移動管理方法の詳細について説明を加える。

図４はデータ移動管理ソフトウェア２２が保持する移動管理情報２２０の構成を示している。移動管理情報２２０は、移動スケジュールテンプレート２２１、ストレージグループ情報２２２、及び移動スケジュールテーブル２２３を備える。

図５は移動スケジュールテンプレート２２１の構成を示している。データ移動管理ソフトウェア２２は、移動スケジュールテンプレート２２１に必要な情報を書き込むことで、データ移動管理を行っている。より詳細には、データ移動管理ソフトウェア２２は、ＤＬＣＭ等の移動スケジュールに従って、データの改竄防止期間内にデータ移動させるストレージシステムの候補を複数設定するとともに、各候補のストレージシステムについて、改竄防止保管期間等の移動スケジュールに関する情報を設定する。そして、あるストレージシステムの改竄防止保管期限が経過すると、他のストレージシステムへのデータ移動を実施する。ストレージシステムの候補として、例えば、利用価値の高いデータを格納するストレージシステムとして、アクセス性能のよいディスクドライブ（例えば、ファイバチャネルディスクドライブ）を備えた高性能のストレージシステムを選択することができる。一方、利用価値の低いデータを格納するストレージシステムとして、アクセス性能は劣るが安価なディスクドライブ（例えば、ＡＴＡディスクドライブ）を備えたストレージシステムを選択することができる。また、殆ど利用価値がなく、長期間のデータ保存を行うストレージシステムとして、例えば、管理コストの安いテープ媒体を備えたストレージシステムを選択することができる。

移動スケジュールテンプレート２２１において、３１１−１は、データの識別情報（例えば、ハッシュ値）を示す。３１１−２は、データのサイズ（容量）を示す。３１２−１は、データの保管ポリシー名を示す。３１２−２は、改竄防止期間を示す。３１２−３は、データ移動先のストレージシステムの数を示す。３１３−１〜３１３−Ｂは、第一のストレージシステムにおける移動管理情報３１３を構成する。３１３−１は、第一のストレージシステムの改竄防止保管期間を示す。３１３−２は、第一のストレージシステムの改竄防止保管開始日を示す。３１３−３は、第一のストレージシステムの改竄防止保管期限を示す。３１３−４は、第一のストレージシステムの移動許可開始日を示す。ここでは、改竄防止保管期限からの経過日数を示している。３１３−５は、第一のストレージシステムの移動許可期間を示す。３１３−６は、第一のストレージシステムの移動延期期間を示す。３１３−７は、第一のストレージシステムが属するストレージグループ名を示す。３１３−８は、第一のストレージシステムのベンダ名を示す。３１３−９は、第一のストレージシステムの装置名を示す。３１３−Ａは、第一のストレージシステムの製造番号を示す。３１３−Ｂは、第一のストレージシステムが備える論理デバイスのうちデータを格納する論理デバイスの番号を示す。同様に、３１４−１〜３１４−Ｂは、第二のストレージシステムにおける移動管理情報３１４を構成し、３１５−１〜３１５−Ｂは、第Ｎのストレージシステムにおける移動管理情報３１５を構成する。

図６はストレージグループ情報２２２の構成を示している。ストレージグループ情報２２２には、データの移動先となるストレージシステムの候補に関する情報（ベンダ名、装置名、製造番号）がストレージグループ毎に登録される。ストレージグループ情報２２２において、４１１−１は、ストレージグループ名を示す。４１１−２は、当該ストレージグループに属するストレージシステムの数を示す。４１２−１〜４１２−３は、第一候補のストレージシステムに関する情報４１２を構成する。４１２−１は、第一候補のストレージシステムのベンダ名を示す。４１２−２は、第一候補のストレージシステムの装置名を示す。４１２−３は、第一候補のストレージシステムの製造番号を示す。同様に、４１３−１、４１３−２，４１３−３は、第二候補のストレージシステムに関する情報４１３を構成し、４１４−１，４１４−２，４１４−３は、第Ｍ候補のストレージシステムに関する情報４１４を構成する。

図７は移動スケジュールテーブル２２３の構成を示している。データ移動管理ソフトウェア２２は、ＤＬＣＭ等のデータ移動管理に基づいて、移動スケジュールテンプレート２２１に、データの移動先となる各ストレージシステムの改竄防止保管期間、移動許可開始日、移動許可期間、移動延期期間、及びストレージグループ名を登録することで、移動スケジュールテーブル２２３を作成する。データ移動管理ソフトウェア２２は、移動先のストレージグループで必要となる記憶容量、残存装置寿命、データ移動を実施する時期、改竄防止保管期間、及び移動許可開始日等を勘案して、データ移動のスケジューリングを実施する。

さて、データ移動管理ソフトウェア２２は、移動スケジュールテーブル２２３に書かれたスケジュールに従って、ストレージシステム間のデータ移動を実施する。データ移動を実施する上で、データ移動管理ソフトウェア２２は、移動先のストレージグループ名の情報を参照し、そのストレージグループに属する複数のストレージシステムの中からデータの移動先となる候補を検索する。移動管理ソフトウェア２２は、移動スケジュールテーブル２２３に書かれた改竄防止保管期間を取得し、この改竄防止保管期間よりも寿命の長いストレージシステムを選択する。更に、データ移動管理ソフトウェア２２は、移動元の論理デバイスの記憶容量と同等又はそれ以上の記憶容量を備える論理デバイスを選択する。このようにして選択された論理デバイスは、ストレージ管理者に移動先候補として提示され、ストレージ管理者の確認が得られてからデータ移動が実施されるように構成してもよく、或いはストレージ管理者の確認を求めずに、自動的にデータの移動先として取り扱われるように構成してもよい。

データの移動先候補を登録するストレージグループは、実在するストレージシステムに限らず、仮想上のストレージシステム（例えば、将来開発されるストレージシステム）でもよい。このため、データの移動を実施する時点において、データの移動先のストレージグループに属するストレージシステムが全て仮想上のものであって、実在しない場合も想定される。このような場合には、ストレージ管理者にメールを送信して、実在するストレージシステムをストレージグループに追加するよう催促するのが望ましい。このメールには、例えば、移動対象データ、移動元のストレージシステムのベンダ名、装置名、製品番号、論理デバイス番号、移動先ストレージシステムに必要な記憶容量等を含めることができる。ストレージグループへのストレージシステムの追加は、ストレージ管理者が手作業で行ってもよく、或いはデータ移動管理ソフトウェア２２がＳＡＮ６１に接続しているストレージシステムをディスカバリして、自動的に行ってもよい。

尚、移動スケジュールテーブル２２３において、データの移動先のストレージシステムのベンダ名、装置名、製造番号、及び論理デバイス番号が未確定であるのは、上述の如く、データ移動スケジュールの上では、データの移動先のストレージシステムが仮想上のものである場合を想定したものである。また、データの移動先のストレージシステムにおける改竄防止保管開始日、及び改竄防止保管期限が未確定であるのは、これらの情報は、データの移動先のストレージシステムにデータが実際に移動されてから確定するためである。

図８は改竄防止対象のデータをストレージシステムに最初に書き込むときにデータ移動管理ソフトウェア２２が実施する処理を示している。まず、データ移動管理ソフトウェア２２は、データのサイズを移動スケジュールテーブル２２３に書き込む（Ｓ１０１）。次いで、最初にデータを格納するストレージシステムを選択し、移動スケジュールテーブル２２３の第一のストレージシステムに関する移動管理情報３２３に、ベンダ名、装置名、製造番号を書き込む（Ｓ１０２）。次いで、データ移動管理ソフトウェア２２は、データを格納する論理デバイスを検索し、移動スケジュールテーブル２２３の第一のストレージシステムに関する移動管理情報３１３に、論理デバイス番号を書き込む（Ｓ１０３）。

次いで、データ移動管理ソフトウェア２２は、論理デバイスにデータを書き込み（Ｓ１０４）、データの識別情報を計算して、移動スケジュールテーブル２２３に登録する（Ｓ１０５）。次いで、データ移動管理ソフトウェア２２は、データを書き込んだ論理デバイスに対して改竄防止設定を行う（Ｓ１０６）。改竄防止設定処理の詳細については後述する。

次いで、データ移動管理ソフトウェア２２は、移動スケジュールテーブル２２３の第一のストレージシステムに関する移動管理情報３２３に、改竄防止保管開始日と改竄防止保管期限とを登録する（Ｓ１０７）。上述の如く、改竄防止保管開始日と改竄防止保管期限は、実際にデータを書き込んだ日付を基準に確定される。次いで、データ移動管理ソフトウェア２２は、移動許可開始日にデータ移動イベントが発生するようにシステムを設定する（Ｓ１０８）。

図９はデータ移動イベント発生時にデータ移動管理ソフトウェア２２が実施する処理を示している。データ移動イベントが発生すると、データ移動管理ソフトウェア２２は、移動スケジュールテーブル２２３を参照して、次の移動先となるストレージシステムの番号Ｎを取得する（Ｓ２０１）。次いで、第Ｎ番目にデータを格納するストレージシステムを選択し、移動スケジュールテーブル２２３の第Ｎのストレージシステムに関する移動管理情報３２５に、ベンダ名、装置名、製造番号を書き込む（Ｓ２０２）。

次いで、データ移動管理ソフトウェア２２は、データを格納する論理デバイスを検索し、移動スケジュールテーブル２２３の第Ｎのストレージシステムに関する移動管理情報３２５に、論理デバイス番号を書き込む（Ｓ２０３）。次いで、データ移動管理ソフトウェア２２は、第（Ｎ−１）のストレージシステムの論理デバイスから第Ｎのストレージシステムの論理デバイスへデータを複写する（Ｓ２０４）。

次いで、データ移動管理ソフトウェア２２は、移動スケジュールテーブル２２３の第Ｎのストレージシステムに関する移動管理情報３２５に、改竄防止保管開始日と改竄防止保管期限とを登録する（Ｓ２０５）。次いで、データ移動管理ソフトウェア２２は、移動許可開始日にデータ移動イベントが発生するようにシステムを設定する（Ｓ２０６）。

図１０はＬＤＥＶ制御情報１０３の設定、変更又は解除を行うときにストレージシステム１０で行われる処理を示している。ＬＤＥＶ制御情報１０３の設定、変更又は解除はデータ移動管理ソフトウェア２２からの指示によって行われる他、コンソール端末５１からの指示によっても行われる。ＬＤＥＶ制御情報１０３の設定、変更又は解除を行うには、まず、操作権限の妥当性が判定される（Ｓ３０１）。この判定は、操作対象の論理デバイスが複数のコントローラからアクセス可能であり、排他制御が必要である場合には、その論理デバイスのロックが取得できたか否か、ＬＤＥＶ制御情報１０３の設定、変更又は解除を行う上でライセンスの取得が必要な場合に、指示を出したホスト装置３１，３２又はコンソール端末５１がライセンスを取得しているか否かが判定される。

操作権限の妥当性があると判定された場合には（Ｓ３０１；ＹＥＳ）、次に、対象ＬＤＥＶの妥当性が判定される（Ｓ３０２）。この判定では、操作対象のＬＤＥＶ番号は妥当か否か、論理デバイスは実装され且つ正常であるか否か、論理デバイスの改竄防止設定又は移動許可開始日等を変更してもよいか否かが判定される。

対象ＬＤＥＶの妥当性があると判定された場合には（Ｓ３０２；ＹＥＳ）、次に、設定内容の妥当性が判定される（Ｓ３０３）。この判定では、改竄防止ビットが「０」であるか否か、設定済みの改竄防止期限は現在日時よりも将来であるか否か、これから設定しようとする改竄防止期限は設定済みの改竄防止期限よりも将来であるか否か、これから設定しようとする移動許可開始日は設定済みの移動許可開始日よりも将来であるか否か、これから設定しようとする移動許可期限は設定済みの移動許可期限よりも将来であるか否か、これから設定しようとする移動延期期間は設定済みの移動延期期間と同等又はそれ以上の期間であるか否か、これから設定しようとする移動許可開始日は現在日時よりも将来であるか否か、これから設定しようとする移動許可期限は移動許可開始日よりも将来であるか否かが判定される。

設定内容の妥当性があると判定された場合には（Ｓ３０３；ＹＥＳ）、次に、改竄防止期間、移動許可開始日、移動許可期限、移動延期期間を設定する（Ｓ３０４，Ｓ３０５，Ｓ３０６，Ｓ３０７）。次いで、データ識別情報の計算が必要であるか否かが判定される（Ｓ３０８）。例えば、移動許可開始日を将来の日時に変更するだけで、論理デバイスに書き込まれたデータの内容が変更されないような場合には、データ識別情報を計算する必要がない場合には（Ｓ３０８；ＮＯ）、Ｓ３１０に進む。一方、論理デバイス間のデータ移動を伴う場合のように、データ識別情報が変化する可能性がある場合には、データ識別情報を計算する必要があるので（Ｓ３０８；ＹＥＳ）、データ識別情報を計算する（Ｓ３０９）。そして、最後に、改竄防止ビットを「０」から「１」に変更して、改竄防止設定を行う（Ｓ３１０）。

但し、操作権限の妥当性がないと判定された場合（Ｓ３０１；ＮＯ）、対象ＬＤＥＶの妥当性がないと判定された場合（Ｓ３０２；ＮＯ）、或いは設定内容の妥当性がないと判定された場合には（Ｓ３０３；ＮＯ）、エラー報告がなされて（Ｓ３１１）、処理が終了する。

図１１はストレージシステム間のデータ移動が行われるときにデータ移動管理ソフトウェア２２が実施する処理を示している。まず、データ移動管理ソフトウェア２２は、移動元のストレージシステムの論理デバイスから移動先のストレージシステムの論理デバイスへデータを複写する（Ｓ４０１）。データ移動の際にエラーが発生しない場合には（Ｓ４０２；ＮＯ）、データ移動管理ソフトウェア２２は、移動先の論理デバイスに対して、改竄防止設定を行う（Ｓ４０３）。改竄防止設定の際にエラーが発生しない場合には（Ｓ４０４；ＮＯ）、移動先のストレージシステムから改竄防止状況報告書を取得する（Ｓ４０５）。改竄防止状況報告書の作成手順については後述する。改竄防止状況報告書の作成の際にエラーが発生しない場合には（Ｓ４０６；ＮＯ）、データ移動管理ソフトウェア２２は、改竄防止状況報告書をチェックし、データが改竄されることなく移動できたことを確認すると、移動元のストレージシステムの論理デバイスの改竄防止設定を解除する（Ｓ４０７）。改竄防止設定の解除の際にエラーが発生しない場合には（Ｓ４０８；ＮＯ）、処理を終了する。一方、上記の処理Ｓ４０２，Ｓ４０４，Ｓ４０６，Ｓ４０８の何れかにおいて、エラーが発生した場合には、エラー報告をして（Ｓ４０９）、処理を終了する。

図１２は移動先のストレージシステムにおいて、改竄防止状況報告書を生成する処理を示している。改竄防止状況報告書とは、データが改竄されることなくストレージシステム間を移動できたことを移動先のストレージシステムが証明する電子証明書である。ここでは、電子証明書は、文字列Ｔから成る場合を例示する。移動先のストレージシステムは、電子証明書を生成する際に、まず、論理デバイスに対する操作権限の妥当性、及び対象ＬＤＥＶの妥当性を判定する（Ｓ５０１，Ｓ５０２）。これらの判定は、図１０において上述したＳ３０１，Ｓ３０２の判定と同様であるため、説明を省略する。次いで、移動先のストレージシステムは、情報取得の妥当性を判定する（Ｓ５０３）。この判定では、情報を読み取る対象ＬＤＥＶが改竄防止設定されたものであるか否かが判定される。

情報取得の妥当性がある場合には（Ｓ５０３；ＹＥＳ）、移動先のストレージシステムは文字列Ｔに自身のベンダ名、装置名、及び製造番号を含める（Ｓ５０４）。更に、移動先のストレージシステムは、文字列Ｔに改竄防止期限、移動許可開始日、データ識別情報を含める（Ｓ５０５，Ｓ５０６，Ｓ５０７）。次いで、移動先のストレージシステムは、文字列Ｔを自身の秘密鍵で暗号化し、文字列Ｔに電子署名を付加する（Ｓ５０８）。移動先のストレージシステムは、電子署名付きの文字列Ｔを改竄防止状況報告書として、移動元のストレージシステムに送付する（Ｓ５０９）。電子証明書の送付は、上述の如く、管理サーバ３２を経由して行われる。但し、操作権限の妥当性がないと判定された場合（Ｓ５０１；ＮＯ）、対象ＬＤＥＶの妥当性がないと判定された場合（Ｓ５０２；ＮＯ）、或いは情報取得の妥当性がないと判定された場合には（Ｓ５０３；ＮＯ）、エラー報告がなされて（Ｓ５１０）、処理が終了する。

図１３は改竄防止状況報告書の一例を示している。同図に示すように、改竄防止状況報告書には、当該報告書を生成したストレージシステムのベンダ名、装置名、製造番号、改竄防止期限、移動許可開始日、データ識別情報（ハッシュ値）、及び電子署名が付加される。改竄防止状況報告書にストレージシステムのベンダ名、装置名、及び製造番号を付加するのは、電子証明書を生成したストレージシステムを一意に特定するためである。

図１４はデータが改竄されることなく移動先のストレージシステムに移動できたことを改竄防止状況報告書によって移動元のストレージシステムが確認したことを条件として、移動元のストレージシステムが自身の論理デバイスの改竄防止設定を解除する処理を示している。移動元のストレージシステムは、論理デバイスに対する操作権限の妥当性、対象ＬＤＥＶの妥当性、及び設定内容の妥当性を判定する（Ｓ６０１，Ｓ６０２，Ｓ６０３）。これらの判定は、図１０において上述したＳ３０１，Ｓ３０２，Ｓ３０３の判定と同様であるため、説明を省略する。ここで、操作権限の妥当性がないと判定された場合（Ｓ６０１；ＮＯ）、対象ＬＤＥＶの妥当性がないと判定された場合（Ｓ６０２；ＮＯ）、或いは設定内容の妥当性がないと判定された場合には（Ｓ６０３；ＮＯ）、エラー報告がなされて（Ｓ６１０）、処理が終了する。

一方、Ｓ６０１，Ｓ６０２，Ｓ６０３の判定において、何れもＹＥＳである場合には、移動元のストレージシステムは、移動先のストレージシステムから送信された改竄防止状況報告書の電子署名が妥当であるか否かを判定する（Ｓ６０４）。この判定は、移動先のストレージシステム（署名者）の公開鍵で電子署名を復号することにより、検証することができる。電子署名が妥当である場合には（Ｓ６０４；ＹＥＳ）、移動元のストレージシステムは、改竄防止状況報告書に含まれる改竄防止期限が妥当であるか否かを判定する（Ｓ６０５）。この判定は、移動元のストレージシステムに設定されている改竄防止期限と、改竄防止状況報告書に含まれる改竄防止期限とが一致するか否かにより判定され、両者が一致していれば、改竄防止状況報告書に含まれている改竄防止期限は妥当であり、両者が不一致であれば、改竄防止状況報告書に含まれている改竄防止期限は妥当でない。

改竄防止期限が妥当である場合には（Ｓ６０５；ＹＥＳ）、移動元のストレージシステムは、改竄防止状況報告書に含まれる移動許可開始日が妥当であるか否かを判定する（Ｓ６０６）。この判定は、改竄防止状況報告書に含まれる移動許可開始日が現在日時よりも将来であるか否かにより判定され、移動許可開始日が現在日時よりも将来である場合には、移動許可開始日は妥当であり、移動許可開始日が現在日時よりも過去である場合には、移動許可開始日は妥当でない。

移動許可開始日が妥当である場合には（Ｓ６０６；ＹＥＳ）、移動元のストレージシステムは、改竄防止状況報告書に含まれるデータ識別情報が妥当であるか否かを判定する（Ｓ６０７）。この判定は、移動元のストレージシステムに設定されているデータ識別情報と、改竄防止状況報告書に含まれるデータ識別情報とが一致するか否かにより判定され、両者が一致していれば、改竄防止状況報告書に含まれているデータ識別情報は妥当であり、両者が不一致であれば、改竄防止状況報告書に含まれているデータ識別情報は妥当でない。

データ識別情報が妥当である場合には（Ｓ６０７；ＹＥＳ）、移動元のストレージシステムは、論理デバイスの改竄防止ビットを「１」から「０」に設定する（Ｓ６０８）。これにより、論理デバイスの改竄防止設定が解除される。論理デバイスは、初期化することにより、改竄防止期限が経過する以前の段階においても、他のデータ格納用途に利用できる。一方、Ｓ６０４〜Ｓ６０７の何れかの判定において、ＮＯである場合には、データ移動が適正に行われなかったと考えられるので、移動元のストレージシステムにおいて、移動許可開始日と移動許可期限を再設定し（Ｓ６０９）、再度、移動先のストレージシステムへのデータ移動が可能となるようにする。その後、移動元のストレージシステムは、エラー報告をして（Ｓ６１０）、処理を終了する。

図１５はバックアップデータのリカバリを行うときの移動管理ソフトウェア２２が実施する処理を示している。ストレージシステム１０の論理デバイスに障害が生じると、ストレージシステム１０は、バックアップ装置８０に保持されているバックアップデータを用いてデータのリカバリを行う。ここでは、説明の便宜上、ストレージシステム１０の論理デバイスＡに障害が発生し、バックアップ装置８０に格納されている論理デバイスＡのバックアップデータを用いて、論理デバイスＢにデータをリカバリする例を示す。論理デバイスＡに障害が生じると、保守員は、コンソール端末５１を操作して、論理デバイスＡに設定されている移動許可開始日と移動許可期限とを変更し、論理デバイスＡから他の論理デバイスへデータの移動が可能となる状態に設定する。

論理デバイスＡから他の論理デバイスへデータの移動が可能となる状態において、移動管理ソフトウェア２２は、まず、テープ媒体８１から論理デバイスＢにデータを複写する（Ｓ７０１）。データを複写する際に、エラーが発生しない場合には（Ｓ７０２；ＹＥＳ）、移動管理ソフトウェア２２は、論理デバイスＢに対して改竄防止設定を行う（Ｓ７０３）。改竄防止設定の際にエラーが発生しない場合には（Ｓ７０４；ＹＥＳ）、移動管理ソフトウェア２２は、データが改竄されることなく、テープ媒体８１から論理デバイスＢにデータ移動がなされたことを示す改竄防止状況報告を取得する（Ｓ７０５）。改竄防止状況報告書の生成過程においてエラーが発生しない場合には（Ｓ７０６；ＹＥＳ）、移動管理ソフトウェア２２は、改竄防止状況報告をチェックし、データが改竄されることなく、テープ媒体８１から論理デバイスＢにデータ移動がなされたこと確認すると、論理デバイスＡの改竄防止設定を解除する（Ｓ７０７）。改竄防止設定の解除の際にエラーが発生しない場合には（Ｓ７０８；ＹＥＳ）、処理を終了する。一方、上記の処理Ｓ７０２，Ｓ７０４，Ｓ７０６，Ｓ７０８の何れかにおいて、エラーが発生した場合には、エラー報告をして（Ｓ７０９）、処理を終了する。

以上、説明したように、本発明の実施形態によれば、改竄防止設定がなされている論理デバイスに書き込まれたデータが改竄されることなく移動許可期間に他の論理デバイスに移動されたことを条件として、論理デバイスの改竄防止設定を解除することにより、論理デバイスの再利用が可能になり、データの管理コストの低下を実現できる。

また、論理デバイスに書き込まれたデータが改竄されることなく移動許可期間に他の論理デバイスに移動されたか否かを移動先ストレージシステムの電子署名が付加された改竄防止状況報告書で確認することにより、改竄防止の有無を、人手を介することなく、自動的にしかも厳格に行うことができる。

また、ホスト装置３２が移動スケジュールテーブル２２３に従って、ストレージシステム間のデータ移動を管理することにより、データの管理コストの低下を実現できる。

尚、改竄防止期限、改竄防止保管期限、移動許可期限等の期限は、１日単位に限らず、例えば、時間単位、分単位、或いは秒単位で管理することも可能である。

本発明は上述した実施形態に限定されない。当業者であれば、本発明の範囲内で種々の追加や変更等を行うことができる。

本実施形態のストレージシステムを含むネットワーク構成図である。 物理デバイスと論理デバイスとの関係を示す説明図である。 ＬＤＥＶ制御情報のテーブル構成を示す説明図である。 移動管理情報の構成図である。 移動スケジュールテンプレートの構成図である。 ストレージグループ情報の構成図である。 移動スケジュールの構成図である。 データ移動管理ソフトウェアの処理を示すフローチャートである。 データ移動管理ソフトウェアの処理を示すフローチャートである。 ＬＤＥＶ制御情報の設定等の処理を示すフローチャートである。 データ移動管理ソフトウェアの処理を示すフローチャートである。 改竄防止状況報告書の生成処理を示すフローチャートである。 改竄防止状況報告書の一例を示す図である。 改竄防止設定を解除する処理を示すフローチャートである。 バックアップデータのリカバリの処理を示すフローチャートである。

符号の説明

１０…ストレージシステム １１…時計 １２…チャネルコントローラ １３…制御メモリ １４…キャッシュメモリ １５…ディスクコントローラ １６…ディスクドライブ ２０…ストレージシステム ２２…データ移動管理ソフトウェア ３２…ホスト装置 １０１…論理デバイス １０３…ＬＤＥＶ制御情報 ２２０…データ移動管理方法 ２２１…移動スケジュールテンプレート ２２２…ストレージグループ情報 ２２３…移動スケジュールテーブル

Claims (11)

1. 論理デバイスを形成する記憶デバイスと、
   前記論理デバイスに書き込まれたデータの改竄を防止するための制御情報を格納する制御メモリと、
   前記制御情報に基づいて、前記論理デバイスへのデータの読み書きを制御するコントローラと、
   を備え、
   前記制御情報には、前記論理デバイスに書き込まれたデータの改竄を禁止する期限を示す改竄防止期限と、前記論理デバイスに書き込まれたデータの前記改竄防止期限内における他の論理デバイスへのデータの移動を許可する期間を示す移動許可期間と、前記論理デバイスに書き込まれたデータの改竄の有無を識別するデータ識別情報とが含まれており、
   前記コントローラは、改竄防止設定がなされている前記論理デバイスに書き込まれたデータが改竄されることなく前記移動許可期間に前記他の論理デバイスに移動されたことを条件として、前記論理デバイスの改竄防止設定を解除する、ストレージシステム。
2. 請求項１に記載のストレージシステムであって、
   前記コントローラは、前記論理デバイスに書き込まれたデータが改竄されることなく前記他の論理デバイスに移動されたか否かを示す改竄防止状況報告書を、前記他の論理デバイスを備える移動先のストレージシステムから受信し、前記改竄防止状況報告書に基づいて、前記論理デバイスに書き込まれたデータが改竄されることなく前記移動許可期間に前記他の論理デバイスに移動されたか否かを判定する、ストレージシステム。
3. 請求項２に記載のストレージシステムであって、
   前記コントローラは、前記移動許可期間内に前記改竄防止状況報告書を取得できなかった場合、又は前記移動許可期間内に前記改竄防止状況報告書を取得できたが、前記論理デバイスに書き込まれたデータが改竄されることなく前記移動許可期間に前記他の論理デバイスに移動できたと判定できなかった場合には、新たに設定された移動許可期間内に前記論理デバイスに書き込まれたデータを前記他の論理デバイスに移動させる、ストレージステム。
4. 請求項２に記載のストレージシステムであって、
   前記改竄防止状況報告書には、前記他の論理デバイスに設定された改竄防止期限及び移動許可期間と、前記他の論理デバイスに移動されたデータの改竄の有無を識別するデータ識別情報と、前記移動先のストレージシステムの電子署名とが含まれており、
   前記コントローラは、前記電子署名が正当であり、前記他の論理デバイスに設定された改竄防止期限が前記論理デバイスに設定された改竄防止期限と同一であり、前記他の論理デバイスに設定された移動許可期間の初日が現在日よりも将来の日付であり、前記論理デバイスに書き込まれたデータのデータ識別情報と前記他の論理デバイスに書き込まれたデータのデータ識別情報とが同一である場合に、前記論理デバイスに書き込まれたデータが改竄されることなく前記移動許可期間に前記他の論理デバイスに移動されたと判定する、ストレージシステム。
5. 請求項４に記載のストレージシステムであって、
   前記改竄防止状況報告書には、更に、前記移動先のストレージシステムのベンダ名、装置名及び製造番号が含まれる、ストレージステム。
6. 第一のストレージシステムと第二のストレージシステムとの間におけるデータ移動を管理するデータ移動管理システムであって、
   前記第一のストレージシステムは、
   第一の論理デバイスを形成する第一の記憶デバイスと、
   前記第一の論理デバイスに書き込まれたデータの改竄を防止するための第一の制御情報を格納する第一の制御メモリと、
   前記第一の制御情報に基づいて、前記第一の論理デバイスへのデータの読み書きを制御する第一のコントローラと、
   を備え、
   前記第一の制御情報には、前記第一の論理デバイスに書き込まれたデータの改竄を禁止する期限を示す第一の改竄防止期限と、前記第一の論理デバイスに書き込まれたデータの前記第一の改竄防止期限内における第二の論理デバイスへのデータの移動を許可する期間を示す第一の移動許可期間と、前記第一の論理デバイスに書き込まれたデータの改竄の有無を識別する第一のデータ識別情報とが含まれており、
   前記第二のストレージシステムは、
   前記第二の論理デバイスを形成する第二の記憶デバイスと、
   前記第二の論理デバイスに書き込まれたデータの改竄を防止するための第二の制御情報を格納する第二の制御メモリと、
   前記第二の制御情報に基づいて、前記第二の論理デバイスへのデータの読み書きを制御する第二のコントローラと、
   を備え、
   前記第二の制御情報には、前記第二の論理デバイスに書き込まれたデータの改竄を禁止する期限を示す第二の改竄防止期限と、前記第二の論理デバイスに書き込まれたデータの前記第二の改竄防止期限内における他の論理デバイスへのデータの移動を許可する期間を示す第二の移動許可期間と、前記第二の論理デバイスに書き込まれたデータの改竄の有無を識別する第二のデータ識別情報とが含まれており、
   前記データ移動管理システムは、
   少なくとも前記第一の改竄防止期限と前記第一の移動許可期限とを管理する移動スケジュールテーブルを備えており、改竄防止設定がなされている前記第一の論理デバイスに書き込まれたデータが改竄されることなく前記第一の移動許可期間に前記第二の論理デバイスに移動されたことを条件として、前記第一の論理デバイスの改竄防止設定を解除する、データ移動管理システム。
7. 請求項６に記載のデータ移動管理システムであって、
   前記第一の論理デバイスに書き込まれたデータが改竄されることなく前記第二の論理デバイスに移動されたか否かを示す改竄防止状況報告書を前記第二のストレージシステムから受信し、前記改竄防止状況報告書を前記第一のストレージシステムに転送する、データ移動管理システム。
8. 請求項７に記載のデータ移動管理システムであって、
   前記第一の移動許可期間内に前記第一のストレージシステムが前記改竄防止状況報告書を取得できなかった場合、又は前記第一の移動許可期間内に前記第一のストレージシステムが前記改竄防止状況報告書を取得できたが、前記第一の論理デバイスに書き込まれたデータが改竄されることなく前記第一の移動許可期間に前記第二の論理デバイスに移動できなかった場合には前記第一の移動許可期間を新たに設定する、データ移動管理システム。
9. 第一のストレージシステムと第二のストレージシステムとの間におけるデータ移動を管理するデータ移動管理方法であって、
   前記第一のストレージシステムの改竄防止設定された第一の論理デバイスに書き込まれたデータを改竄防止期限内に前記第二のストレージシステムの第二の論理デバイスに移動させるステップと、
   前記第一の論理デバイスに書き込まれたデータが改竄されることなく前記改竄防止期間内に前記第二の論理デバイスに移動できた場合に前記第一の論理デバイスに設定された改竄防止設定を解除するステップと、
   を備える、データ移動管理方法。
10. 請求項９に記載のデータ移動管理方法であって、
    前記第一の論理デバイスに書き込まれたデータが改竄されることなく前記第二の論理デバイスに移動されたか否かを示す改竄防止状況報告書を前記第二のストレージシステムから受信するステップと、
    前記第二のストレージシステムから受信した前記改竄防止状況報告書を前記第一のストレージシステムに転送するステップと、
    を備える、データ移動管理方法。
11. 請求項１０に記載のデータ移動管理方法であって、
    前記改竄防止期間内に前記第一のストレージシステムが前記改竄防止状況報告書を取得できなかった場合、又は前記改竄防止期間内に前記第一のストレージシステムが前記改竄防止状況報告書を取得できたが、前記第一の論理デバイスに書き込まれたデータが改竄されることなく前記改竄防止期間内に前記第二の論理デバイスに移動できなかった場合には前記第一の論理デバイスに書き込まれたデータを前記第二の論理デバイスに移動させるための移動許可期間を新たに設定するステップを備える、データ移動管理方法。
    
    

Images