JP2007065788A - ディスクアレイ装置及びその制御方法並びにプログラム - Google Patents

Abstract

【課題】
高い信頼性を確保しながら安価に構築できるディスクアレイ装置及びその制御方法並びにプログラムを提案する。
【解決手段】
システム情報を記憶する記憶デバイスの記憶領域を、システム情報を記憶するためのシステム領域及び上位装置からのデータを記憶するためのデータ領域に分けて管理すると共に、記憶デバイスのデータ領域に対して第１の周期でベリファイ処理を実施し、システム領域に対して第１の周期よりも速い第２の周期でベリファイ処理を実施するようにした。
【選択図】 図７

Description

本発明は、ディスクアレイ装置及びその制御方法並びにプログラムに関し、システムディスクとして信頼性の低いディスクを利用したディスクアレイ装置に適用して好適である。

近年、企業や官庁におけるデータ保存用のストレージ装置として、複数のハードディスクデバイスをＲＡＩＤ（Redundant Array of Inexpensive Disks）方式で管理・運用するようになされた、いわゆるディスクアレイ装置が広く用いられている。

かかるディスクアレイ装置においては、近年、低価格化が進み、これに伴いハードディスクデバイスとして、従来用いられているファイバーチャネルディスクよりも安価なＳＡＴＡ（Serial AT Attachment）ディスクを用いることが提案されている（特許文献１参照）。
特開２００４−３４８８７６号公報

ところが、ＳＡＴＡディスクは安価な分、信頼性が低い。このため、例えばディスクアレイ装置を動作させるのに必要なシステム情報と呼ばれる情報のような特に信頼性を確保する必要がある情報を格納するハードディスクドライブをも単にファイバーチャネルディスクからＳＡＴＡディスクに置き換えるだけでは、ディスクアレイ装置全体としての信頼性が低下する原因ともなる問題があった。

本発明は以上の点を考慮してなされたもので、高い信頼性を確保しながら安価に構築できるディスクアレイ装置及びその制御方法並びにプログラムを提案しようとするものである。

かかる課題を解決するため本発明においては、所定のシステム情報に基づいて動作するディスクアレイ装置において、前記システム情報を記憶する記憶デバイスと、前記記憶デバイスの記憶領域を、前記システム情報を記憶するためのシステム領域及び上位装置からのデータを記憶するためのデータ領域に分けて管理する管理部とを備え、前記管理部は、前記記憶デバイスの前記データ領域に対して第１の周期でベリファイ処理を実施し、前記システム領域に対して前記第１の周期よりも速い第２の周期でベリファイ処理を実施することを特徴とする。

この結果、このディスクアレイ装置では、記憶デバイスのシステム領域に格納されたシステム情報の信頼性を向上させることができる。

また本発明においては、所定のシステム情報に基づいて動作するディスクアレイ装置の制御方法において、前記システム情報を記憶する記憶デバイスの記憶領域を、前記システム情報を記憶するためのシステム領域及び上位装置からのデータを記憶するためのデータ領域に分けて管理する第１のステップと、前記記憶デバイスの前記データ領域に対して第１の周期でベリファイ処理を実施し、前記システム領域に対して前記第１の周期よりも速い第２の周期でベリファイ処理を実施する第２のステップとを備えることを特徴とする。

この結果、このディスクアレイ装置の制御方法によれば、記憶デバイスのシステム領域に格納されたシステム情報の信頼性を向上させることができる。

さらに本発明においては、プログラムにおいて、所定のシステム情報に基づいて動作するディスクアレイ装置の動作制御を司るコンピュータに、前記システム情報を記憶する記憶デバイスの記憶領域を、前記システム情報を記憶するためのシステム領域及び上位装置からのデータを記憶するためのデータ領域に分けて管理する第１のステップと、前記記憶デバイスの前記データ領域に対して第１の周期でベリファイ処理を実施し、前記システム領域に対して前記第１の周期よりも速い第２の周期でベリファイ処理を実施する第２のステップとを備える処理を実行させるようにした。

この結果、このプログラムによれば、記憶デバイスのシステム領域に格納されたシステム情報の信頼性を向上させることができる。

本発明によれば、システム情報を記憶する記憶デバイスとして例えばＳＡＴＡディスクのような安価な記憶デバイスを用いた場合においても、信頼性の高いシステム情報を得ることができる。従って、高い信頼性を確保しながら安価に構築し得るディスクアレイ装置を実現できる。

以下図面について、本発明の一実施の形態を詳述する。

（１）本実施の形態によるネットワークシステムの構成
図１は、本実施例に係るネットワークシステム１を示す。このネットワークシステム１は、ホスト装置２がネットワーク３を介してディスクアレイ装置４と接続され、当該ディスクアレイ装置４がＬＡＮ５を介して管理装置６と接続されることにより構成されている。

ホスト装置２は、ＣＰＵ（Central Processing Unit）やメモリ等の情報処理資源を備えたコンピュータ装置であり、例えばパーソナルコンピュータや、ワークステーション、メインフレームなどから構成される。ホスト装置２は、キーボード、スイッチやポインティングデバイス、マイクロフォン等の情報入力装置（図示せず）と、モニタディスプレイやスピーカ等の情報出力装置（図示せず）とを備える。

ネットワーク３は、例えばＳＡＮ（Storage Area Network）、ＬＡＮ（Local Area Network）、インターネット、公衆回線又は専用回線などから構成される。このネットワーク３を介したホスト装置２及びディスクアレイ装置４間の通信は、例えばネットワーク３がＳＡＮである場合にはファイバーチャネルプロトコルに従って行われ、ネットワーク３がＬＡＮである場合にはＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）プロトコルに従って行われる。

ディスクアレイ装置４は、複数のハードディスクドライブ等のディスクデバイス１０からなるディスクデバイス群１１と、これらディスクデバイス群１１を構成する各ディスクデバイス１０を制御する二重化されたコントローラ１２，１３とを備える。

各ディスクデバイス１０は、例えばファイバーチャネルディスク等の高価なハードディスク、又はＳＡＴＡ（Serial AT Attachment）ディスク等の安価なハードディスクから構成される。ただし、本実施の形態によるディスクアレイ装置４においては、少なくともシステムディスクとして用いられる複数台（例えば５台）のディスクデバイス１０がＳＡＴＡディスクから構成されている。各ディスクデバイス１０はそれぞれ２つのコントローラ１２，１３の両方からアクセスし得るようになされており、これにより一方のコントローラ１２，１３に障害が発生した場合にも他方のコントローラ１２，１３によって各ディスクデバイス１０にデータを読み書きできるようになされている。

コントローラ１２は、複数のチャネルインタフェース２０Ａ、ＣＰＵ２１Ａ、ローカルメモリ２２Ａ、データ転送コントローラ２３Ａ、キャッシュメモリ２４Ａ、複数のディスクインタフェース２５Ａ及びＬＡＮインタフェース２６Ａを備えて構成される。

チャネルインタフェース２０Ａは、ネットワーク３に対するインタフェースであり、書込み対象のデータや、ディスクデバイス１０から読み出されたデータ、及び各種コマンドなどをホスト装置２との間で送受信する。

ＣＰＵ２１Ａは、ホスト装置２からのデータ入出力要求に応答して、ディスクデバイス１０へのデータ入出力処理（ライトアクセス又はリードアクセス）を制御するプロセッサであり、ディスクデバイス１０から読み出されたマイクロプログラムを実行することによりチャネルインタフェース２０Ａ、データ転送コントローラ２３Ａ、ディスクインタフェース２５Ａ等を制御する。またローカルメモリ２２Ａは、ＣＰＵ２１Ａのワークメモリとして用いられる。

データ転送コントローラ２３Ａは、ＣＰＵ２１Ａの制御に基づいて、チャネルインタフェース２１Ａ及びディスクインタフェース２５Ａ間のデータ転送を制御する。データ転送コントローラ２３Ａは、後述する他方のコントローラ１３のデータ転送コントローラ２３Ｂとバス２７を介して通信可能に接続されており、これによりこれら２つのコントローラ１２，１３間においてコマンドやデータ等を相互にやり取りすることができる。

キャッシュメモリ２４Ａは、かかるチャネルインタフェース２０Ａ及びディスクインタフェース２５Ａ間において転送されるデータを一時的に記憶するために用いられる。このキャッシュメモリ２４Ａには、ディスクアレイ装置４の起動時にシステムディスク１０Ａから読み出されたシステム情報も格納される。

ディスクインタフェース２５Ａは、ディスクデバイス１０に対するインタフェースであり、例えばファイバーチャネルプロトコルに従って書込み対象のデータやディスクデバイス１０から読み出されたデータ、及び各種コマンドなどをディスクデバイス１０との間で送受信する。またＬＡＮインタフェース２６Ａは、ＬＡＮ５に対するインタフェースであって、例えばＴＣＰ／ＩＰプロトコルに従って管理装置６との間でデータや各種制御コマンドを送受信する。

もう一方のコントローラ１３は、上述のコントローラ１２と同様に、複数のチャネルインタフェース２０Ｂ、ＣＰＵ２１Ｂ、ローカルメモリ２２Ｂ、データ転送コントローラ２３Ｂ、キャッシュメモリ２４Ｂ、複数のディスクインタフェース２５Ｂ及びＬＡＮインタフェース２６Ｂを備えて構成される。

これら各チャネルインタフェース２０Ｂ、ＣＰＵ２１Ｂ、ローカルメモリ２２Ｂ、データ転送コントローラ２３Ｂ、キャッシュメモリ２４Ｂ、各ディスクインタフェース２５Ｂ及びＬＡＮインタフェース２６Ｂは、上述したコントローラ１２の各チャネルインタフェース２０Ａ、ＣＰＵ２１Ａ、ローカルメモリ２２Ａ、データ転送コントローラ２３Ａ、キャッシュメモリ２４Ａ、各ディスクインタフェース２５Ａ及びＬＡＮインタフェース２６Ａと全く同様の機能を有するものであり、これにより２つのコントローラ１２，１３の何れか一方が故障した場合においても他方のコントローラ１３，１２のみによって対応し得るようになされている。

管理装置６は、例えばＣＰＵ、メモリ及びディスプレイ等のハードウェア資源を備えるコンピュータ装置であり、ディスクアレイ装置４の各コントローラ１２，１３のＣＰＵ２１Ａ，２１ＢとＬＡＮ５を介して各種データやコマンドをやり取りし得るようになされている。管理装置６は、ディスクアレイ装置４の動作状態や障害の有無を監視し、必要な情報をディスプレイに表示したり、オペレータ操作に応じてディスクアレイ装置４の動作を制御する。ユーザは管理装置６を用いてシステム構成情報を定義し、必要に応じてこれを変更することができ、またこの定義したシステム構成情報を各コントローラ１２，１３のＣＰＵ２１Ａ，２１Ｂを介してキャッシュメモリ２４Ａ，２４Ｂに格納することができる。

図２（Ａ）は、ディスクアレイ装置４における各ディスクデバイス１０の記憶領域の論理構成を示すものである。このディスクアレイ装置４では、各ディスクデバイス１０により提供される物理的な記憶領域３０がシステム領域３１及びユーザ領域３２の２つの領域に分けて管理される。

そして、システムドライブ１０Ａとして用いられる複数台（例えば５台）のディスクデバイス１０の各システム領域３１に、それぞれこのディスクアレイ装置４のシステム情報がミラー状にそれぞれ格納される。これにより例えば１つのシステムディスク１０Ａに障害が発生した場合においても、残りのシステムディスク１０Ａに格納されたシステム情報に基づいてディスクアレイ装置４を制御することが可能となる。なお、システムドライブ１０Ａ以外のディスクデバイス１０のシステム領域には、何も格納されない。

一方、図２（Ｂ）に示すように、各ディスクデバイス１０のユーザ領域３２は、コントローラ１２，１３によりＲＡＩＤ方式で管理・運用される。複数のディスクデバイス１０により１つのＲＡＩＤグループが構成され、ＲＡＩＤグループを構成する各ディスクデバイス１０のユーザ領域３２上に１又は複数の論理ユニットＬＵが設定される。そしてホスト装置２からのデータは、この論理ユニットＬＵ内に所定大きさのブロック（以下、これを論理ブロックと呼ぶ）を単位として記憶される。

各論理ユニットＬＵには、それぞれ固有の識別番号（以下、これをＬＵＮ（Logical Unit number）と呼ぶ）が付与される。データの入出力は、このＬＵＮと、各論理ブロックにそれぞれ付与されるその論理ブロックに固有の番号（以下、これをＬＢＡ（Logical Block Address）と呼ぶ）との組み合わせたものをアドレスとして、当該アドレスを指定して行われる。

なお、システム情報としては、例えばＣＰＵ２１Ａ，２１Ｂに読み込まれて実行されるマイクロプログラム（コンピュータプログラム）や、ディスクアレイ装置４の構成に関する構成情報、及びディスクアレイ装置４で障害が発生した場合の解析に利用されるトレース情報等の情報要素がある。

このうち構成情報には、例えば何台のディスクデバイス１０がどのスロットに搭載されているかというハードディスク情報や、どのディスクデバイス１０によってＲＡＩＤレベルがいくつ（例えば０，１，５）のＲＡＩＤグループが構築されているかというＲＡＩＤグループ情報、論理ユニットＬＵに関しての各種情報である論理ユニット情報、及びどのオプション機能が使用可能となっているかという機能情報などが含まれる。

またトレース情報には、例えばディスクアレイ装置４のどこでどのような障害が発生したかを表す障害情報や、管理装置から受けたコマンドが何であるかという受信コマンド情報、後述するオンラインベリファイなどのディスクアレイ装置４が自動的に実行した処理が何であるかを表す自動処理内容情報、及びどのホスト装置２からどのようなアクセス要求を受信したかを表す受信アクセス要求情報などが含まれる。これらトレース情報に含まれる各種情報要素は、その情報要素が表す事態が発生した時刻を表す時刻情報と対応付けられて保存される。

これらのシステム情報は、起動時にシステムディスク１０Ａから読み出されて各コントローラ１２，１３のキャッシュメモリ２４Ａ，２４Ｂに書き込まれて保持される。このうち構成情報は、その後ユーザ操作により更新すべき旨のコマンドが与えられたときに、このコマンドに従ってＣＰＵ２１Ａ，２１Ｂにより更新される。またトレース情報は、所定のイベントが発生するごとにＣＰＵ２１Ａ，２１Ｂにより追加される。

そしてＣＰＵ２１Ａ，２１Ｂは、このように構成情報の更新やトレース情報の追加などによりシステム情報に変更が生じた場合に、変更後の新たなシステム情報を上書きするようにして、各システムディスク１０Ａのシステム領域３１に格納されているシステム情報をそれぞれ最新の情報に更新する。

（１−２）システム領域に対するシステム情報の読書き処理
ところで、このディスクアレイ装置４の場合、上述のようにシステムディスク１０ＡとしてＳＡＴＡディスクを採用しているため、システムディスク１０Ａの信頼性が低く、例えばデータが正常なヘッド位置からずれた位置に書き込まれるいわゆるバックライトという不具合や他の障害が発生する可能性が高い。

そこで、このディスクアレイ装置４では、例えば上述のようにキャッシュメモリ２４Ａ，２４Ｂ上のシステム情報の変更に応じてシステムディスク１０Ａ内のシステム情報を更新するときや、ディスクアレイ装置４の立ち下がり時にキャッシュメモリ２４Ａ，２４Ｂ上のシステム情報をシステムディスク１０Ａに退避させるときなど、システムディスク１０Ａのシステム領域３１にシステム情報を書き込む際には、図３に示すように、そのシステム情報と一緒に当該システム情報の整合性を検証するためのチェックサムのサム値を各システムディスク１０Ａのシステム領域３１に格納するようになされている。

実際上、ディスクアレイ装置４のＣＰＵ２１Ａ，２１Ｂは、システム情報を各システムディスク１０のシステム領域３１に格納する場合、図４に示すシステム情報書込み処理手順ＲＴ１に従って、最新のシステム情報についてサム値を生成（計算）し（ＳＰ１）、得られたサム値をかかる最新のシステム情報と共に各システムディスク１０のシステム領域３１に書き込む（ＳＰ２）。

一方、ＣＰＵ２１Ａ，２１Ｂは、ディスクアレイ装置４の起動時など、システムディスク１０からシステム情報を読み出す際には、システム情報と共にかかるサム値も読み出し、このサム値に基づいて、そのシステム情報の整合性を検証する。

すなわちＣＰＵ２１Ａ，２１Ｂは、システムディスク１０のシステム領域３１からシステム情報を読み出す場合、図５に示すシステム情報読出し処理手順ＲＴ２に従って、まず、１つのシステムディスクのシステム領域からシステム情報及びそのサム値を読み出し、これをキャッシュメモリ２４Ａ，２４Ｂに格納する（ＳＰ１０）。またＣＰＵ１２Ａ，２１Ｂは、この後この読み出したシステム情報に基づいて、そのシステムシステムディスク１０ＡがＳＡＴＡディスクであるか否かを判断する（ＳＰ１１）。なお、このディスク種別の情報をシステム情報とは別に予め保持しておき、ＣＰＵ１２Ａ，２１Ｂがこれを参照するようにしても良い。

ＣＰＵ２１Ａ，２１Ｂは、この判断において否定結果を得ると（ＳＰ１１：ＮＯ）、システムディスク１０Ａがファイバーチャネルディスクであると判断して、このシステム情報の読出し処理を終了する（ＳＰ１６）。

これに対してＣＰＵ２１Ａ，２１Ｂは、かかるステップＳＰ１１の判断において肯定結果を得た場合には（ＳＰ１１：ＹＥＳ）、図６に示すように、システムディスク１０Ａから読み出してキャッシュメモリ２４Ａ，２４Ｂに格納したシステム情報に基づいて、そのシステム情報のサム値を計算し、計算結果をキャッシュメモリ２４Ａ，２４Ｂに格納する（ＳＰ１２）。このときの計算手法は、図３について上述したシステム情報書込み処理手順ＲＴ１のステップＳＰ１と同じ計算手法が用いられる。従って、システム情報のシステムディスク１０Ａへの読書き時に読書きエラー等が発生していなければ、このとき計算したサム値（以下、これを第２のサム値と呼ぶ）とシステムディスク１０Ａから読み出したサム値（以下、これを第１のサム値と呼ぶ）とが同じ値となる。

そこで、ＣＰＵ２１Ａ，２１Ｂは、この後第１及び第２のサム値を比較してこれらが一致するか否かを判断する（ＳＰ１３）。そしてＣＰＵ２１Ａ，２１Ｂは、第１及び第２のサム値が一致した場合には（ＳＰ１３：ＹＥＳ）、このシステム情報の読出し処理を終了する（ＳＰ１６）。

これに対して、ＣＰＵ２１Ａ，２１Ｂは、第１及び第２のサム値が一致しなかった場合（ＳＰ１３：ＮＯ）、つまりそのシステム情報の整合性が否定される場合には、そのシステム情報を読み出したシステムディスク１０Ａのシステム領域３１を閉塞する処理を実行する。具体的には、キャッシュメモリ２４Ａ，２４Ｂに格納したシステム情報に含まれるシステムディスク１０Ａのシステム領域３１の閉塞の有無を管理する図示しない管理テーブル（以下、これをシステム領域閉塞管理テーブルと呼ぶ）に、かかるシステムディスク領域３１が閉塞されたことを登録する。このシステム領域閉塞管理テーブルに登録されたシステムディスク１０Ａのシステム領域３１は、その後使用されない。

そして、このようにシステム情報の整合性が否定されるシステムディスク１０Ａについて、システム領域３１のみを閉塞することで、そのシステムディスク１０Ａのデータ領域３２についてはその後もデータの読み書きを行うことができる。この場合において、例えばシステムディスク１０Ａ全体を閉塞したときには、そのシステムディスク１０Ａを含むＲＡＩＤグループ内の他のディスクデバイス１０から読み出した冗長データを用いてそのシステムディスク１０Ａのデータ領域に格納されたデータの復元処理を行うためにデータの読出し性能が低下するが、このようにシステムディスク１０Ａのシステム領域３１のみを閉塞することで、かかるデータの読出し性能の低下を未然かつ有効に防止することができる。

この後、ＣＰ２１Ａ，２１ＢＵは、対象を別のシステムディスク１０Ａに変更し（ＳＰ１５）、さらにこの後、その変更後のシステムディスク１０Ａについて、及び又は他のシステムディスク１０Ａについて同様の処理を実行することにより（ＳＰ１０〜ＳＰ１６）、いずれかのシステムディスク１０Ａからシステム情報を読み出し、これをキャッシュメモリ２４Ａ，２４Ｂに格納する。

このようにこのディスクアレイ装置４では、システムディスク１０Ａのシステム領域３１にシステム情報を書きこむ際にそのシステム情報のサム値（第１のサム値）を計算して当該システム情報と共に書き込み、システムディスク１０Ａからシステム情報を読み出す際にこのサム値に基づいて当該システム情報の整合性を検証することで、システムディスク１０ＡとしてＳＡＴＡディスクが用いられていることに起因する障害の発生を未然かつ有効に防止し、かくして高い信頼性を確保しながら安価に構築し得るようになされている。

（１−３）システム領域に対するオンラインベリファイ処理
他方、このディスクアレイ装置４では、上述のような起動時のシステム情報の整合性のチェックに加えて、システムディスク１０Ａのシステム領域３１に格納されたデータ（システム情報）の整合性を検証するベリファイ（検証）処理を定期的に行うようになされている。

すなわち、このディスクアレイ装置４の場合、ファイバーチャネルディスクに対しては、図７（Ａ）に示すように、ディスクアレイ装置を稼働させたままのいわゆるオンライン状態においてデータの整合性の検証する、いわゆるオンラインベリファイを一定周期（以下、３日周期とする）で行っている。この場合におけるベリファイ処理はデータ領域３２のみを対象とするものである。またＳＡＴＡディスクに対しては、高負荷で常時アクセスすることに問題があるため、図７（Ｂ）に示すように、ファイバーチャネルディスクの１／６の周期、つまり18日周期でデータ領域３２のみに対してベリファイ処理を行っている。

そして、このディスクアレイ装置４では、さらに図７（Ｃ）に示すように、システムディスク１０Ａとして用いられているＳＡＴＡディスクについては、上述のデータ領域３２に対するオンラインベリファイに加えて、そのシステム領域３１に対して、データ領域３２に対するオンラインベリファイ処理よりも速いファイバーチャネルディスクと同じ周期、つまり３日周期でベリファイを行うこととしている。

この場合において、システム領域３１は通常400〔ＭＢ〕以下と容量が小さく、アクセス時間が20秒程度と短くてすむため、このようにシステムディスク１０Ａのシステム領域３１に対するベリファイを行ったとしてもシステムディスク１０Ａが高負荷となることはない。

図８は、このようなオンラインベリファイ機能に関するＣＰＵ２１Ａ，２１Ｂの処理内容を示すフローチャートである。ＣＰＵ２１Ａ、２１Ｂは、かかる一定周期毎にこのフローチャートで表すオンラインベリファイ処理手順ＲＴ３を開始し、まずオンラインベリファイの対象とするディスクデバイス１０Ａを１つ選択する（ＳＰ２０）。

次いで、ＣＰＵ２１Ａ，２１Ｂは、キャッシュメモリ２４Ａ，２４Ｂに格納されているシステム情報に基づいて、そのディスクデバイス１０ＡがＳＡＴＡディスクであるか否かを判断する（ＳＰ２１）。ＣＰＵ２１Ａ，２１Ｂは、この判断において否定結果を得ると（ＳＰ２１：ＮＯ）、そのディスクデバイス１０Ａがファイバーチャネルディスクであると判断して、そのディスクデバイス１０Ａのデータ領域３２に対するベリファイ処理を実行する（ＳＰ２２）。

そしてＣＰＵ２１Ａ，２１Ｂは、かかるベリファイ処理が終了すると、全てのディスクデバイス１０に対するベリファイ処理が終了したか否かを判断し（ＳＰ２８）、否定結果を得ると（ＳＰ２８：ＮＯ）、次のディスクデバイス１０に対する処理に移行する（ＳＰ２０）。

またＣＰＵ２１Ａ，２１Ｂは、ステップＳＰ２１の判断において肯定結果を得ると（ＳＰ２１：ＹＥＳ）、キャッシュメモリ２４Ａ，２４Ｂに格納されているシステム情報に基づいて、ベリファイすべき領域がシステム領域３１であるか否か、つまりそのオンラインベリファイ処理の対象とするＳＡＴＡディスクがシステムディスク１０Ａであるか否かを判断する（ＳＰ２３）。

ＣＰＵ２１Ａ，２１Ｂは、この判断において肯定結果を得ると（ＳＰ２３：ＹＥＳ）、そのＳＡＴＡディスクのシステム領域３１に対してベリファイ処理を実行し（ＳＰ２４）、その後、全てのディスクデバイス１０に対するベリファイ処理が終了したか否かを判断し（ＳＰ２８）、否定結果を得ると（ＳＰ２８：ＮＯ）、次のディスクデバイス１０に対する処理に移行する（ＳＰ２０）。

これに対してＣＰＵ２１Ａ，２１Ｂは、ステップＳＰ２３の判断において否定結果を得ると（ＳＰ２３：ＮＯ）、対応するカウンタ（以下、これをベリファイカウンタと呼ぶ）のカウント値を「１」だけカウントアップし、その後そのベリファイカウンタのカウント数を６で割った余りが１であるか否かを判断する（ＳＰ２６）。

この判断において否定結果を得ることは（ＳＰ２６：ＮＯ）、その周期がＳＡＴＡディスクのデータ領域３２をベリファイ処理すべき周期でないことを意味する。かくして、このときＣＰＵ２１Ａ，２１Ｂは、全てのディスクデバイス１０に対するベリファイ処理が終了したか否かを判断し（ＳＰ２８）、否定結果を得ると（ＳＰ２８：ＮＯ）、次のディスクデバイス１０に対する処理に移行する（ＳＰ２０）。

これに対して、かかるステップＳＰ２６の判断において肯定結果を得ることは（ＳＰ２６：ＹＥＳ）、その周期がＳＡＴＡディスクのデータ領域３１をオンラインベリファイすべき周期であることを意味する。かくして、このときＣＰＵ２１Ａ，２１Ｂは、そのＳＡＴＡディスクのデータ領域３１に対するベリファイ処理を実行する（ＳＰ２７）。またＣＰＵ２１Ａ，１２Ｂは、その後全てのディスクデバイス１０に対するベリファイ処理が終了したか否かを判断し（ＳＰ２８）、否定結果を得ると（ＳＰ２８：ＮＯ）、次のディスクデバイス１０に対する処理に移行する（ＳＰ２０）。

さらにＣＰＵ２１Ａ，２１Ｂは、この後、全てのディスクデバイス１０に対する処理を終了すると（ＳＰ２８）、このオンラインベリファイ処理を終了する（ＳＰ２９）。

ここで、図９は、上述したオンラインベリファイ処理手順ＲＴ３のステップＳＰ２２，ＳＰ２４及びＳＰ２７において行われるベリファイ処理の具体的な処理内容を示すフローチャートである。

すなわち、ＣＰＵ２１Ａ，２１Ｂは、オンラインベリファイ処理手順ＲＴ３のステップＳＰ２２，ＳＰ２４又はＳＰ２７に進むと、このフローチャートで表すオンラインベリファイ実行処理手順ＲＴ４を開始し、まず、そのディスクデバイス１０のシステム領域３１又はデータ領域３２に対してベリファイ処理を実行する（ＳＰ３０）。

そしてＣＰＵ２１Ａ，２１Ｂは、かかるベリファイ処理を終了すると、当該ベリファイ処理時においてエラーを検出したか否かを判断し（ＳＰ３１）、否定結果を得たときには（ＳＰ３１：ＮＯ）、このオンラインベリファイ実行処理を終了して（ＳＰ４１）、オンラインベリファイ処理手順ＲＴ３のステップＳＰ２８に進む。

これに対してＣＰＵ２１Ａ，２１Ｂは、ステップＳＰ３１における判断において肯定結果を得たときには（ＳＰ３１：ＹＥＳ）、そのときベリファイ処理の対象のディスクデバイス１０がＳＡＴＡディスクであるか否かを判断する（ＳＰ３２）。

そして、ＣＰＵ２１Ａ，２１Ｂは、この判断において肯定結果を得ると（ＳＰ３２：ＹＥＳ）、そのディスクデバイス１０のベリファイ処理した領域がシステム領域３１であるか否かを判断する（ＳＰ３３）。

ＣＰＵ２１Ａ，２１Ｂは、この判断において肯定結果を得ると（ＳＰ３３：ＹＥＳ）、図５のシステム情報読出し処理手順ＲＴ１のステップＳＰ１４について上述した場合と同様にして、そのディスクデバイス１０のシステム領域３１を閉塞する処理を実行し（ＳＰ３４）、その後このオンラインベリファイ実行処理を終了して（ＳＰ４１）、オンラインベリファイ処理手順ＲＴ３のステップＳＰ２８に進む。

一方、ＣＰＵ２１Ａ，２１Ｂは、そのときオンラインベリファイ処理の対象としているディスクデバイス１０がＳＡＴＡディスクでない（ファイバーチャネルディスクであった）ことにより、ステップＳＰ３２において否定結果を得ると（ＳＰ３２：ＮＯ）、対応するカウンタ（以下、これをＦＣ用ベリファイカウンタと呼ぶ）のカウント値を「１」だけカウントアップさせ（ＳＰ３５）、この後ＦＣ用ベリファイカウンタのカウント値が予め定められたしきい値を越えたか否かを判断する（ＳＰ３６）。

ＣＰＵ２１Ａ，２１Ｂは、この判断において否定結果を得ると（ＳＰ３６：ＮＯ）、そのディスクデバイス１０の同じ領域（データ領域３２）に対して、再度、ステップＳＰ３０以降の処理を実行する。従って、ステップＳＰ３１におけるエラーが、例えばタイムアウトエラーなどの類のものではなく、そのディスクデバイス１０に生じた定常的なディスク障害が原因である回復不能な欠陥が原因である場合には、やがてステップＳＰ３６の判断において肯定結果を得ることとなる（ＳＰ３６：ＹＥＳ）。

かくして、このときＣＰＵ２１Ａ，２１Ｂは、そのディスクデバイス１０全体を閉塞する閉塞処理を実行し（ＳＰ３７）、この後このオンラインベリファイ実行処理を終了して（ＳＰ４１）、オンラインベリファイ処理手順ＲＴ３のステップＳＰ２８に進む。

なお、この場合におけるディスクデバイス１０の閉塞処理としては、そのディスクデバイス１０の電源を遮断することや、システム情報に含まれるディスクデバイス１０の状態を管理するためのテーブルにおいて、そのディスクデバイス１０の状態を稼動中から停止中に変えることなどがある。

他方、ＣＰＵ２１Ａ，２１Ｂは、そのときオンラインベリファイ処理の対象としているディスクデバイス１０がＳＡＴＡディスクであり、そのディスクデバイス１０がＳＡＴＡディスクでないことにより、ステップＳＰ３３において否定結果を得ると（ＳＰ３３：ＮＯ）、対応するカウンタ（以下、これをＳＡＴＡ用ベリファイカウンタと呼ぶ）のカウント値を「１」だけカウントアップさせ（ＳＰ３８）、この後ＳＡＴＡ用ベリファイカウンタのカウント値が予め定められたしきい値を越えたか否かを判断する（ＳＰ３９）。

ＣＰＵ２１Ａ，２１Ｂは、この判断において否定結果を得ると（ＳＰ３９：ＮＯ）、そのディスクデバイス１０の同じ領域（データ領域３２）に対して、再度、ステップＳＰ３０以降の処理を実行する。従って、例えばそのディスクデバイス１０に回復不能な欠陥がある場合には、やがてステップＳＰ３９における判断において肯定結果を得ることとなる（ＳＰ３９：ＹＥＳ）。かくして、このときＣＰＵ２１Ａ，２１Ｂは、そのディスクデバイス１０自体を閉塞する閉塞処理を実行し（ＳＰ４０）、この後このオンラインベリファイ実行処理を終了して（ＳＰ４１）、オンラインベリファイ処理手順ＲＴ３のステップＳＰ２８に進む。

このようにして、このディスクアレイ装置４では、上述のような起動時のシステム情報の整合性のチェックに加えて、システムディスク１０Ａのシステム領域３１を定期的にベリファイ処理することで、システムディスク１０ＡとしてＳＡＴＡディスクを用いた場合にもシステム情報の信頼性をより一層と向上させることができ、これにより高い信頼性を確保しながら安価に構築し得るようになされている。

（１−４）システム領域の回復処理
システムディスク１０Ａは１台だけでなく冗長性をもたせるため複数（例えば５つ）用意されるが、上述のようにシステム領域３１が閉塞された場合に、当該閉塞に対するその後の自動的な回復手段は現在のところない。閉塞されたシステムディスク１０Ａの交換後に自動的に行われる回復処理時や、ユーザ操作による指示入力が唯一の回復手段となっている。

そこで、このディスクアレイ装置４では、図５について上述したシステム情報読出し処理手順ＲＴ２のステップＳＰ１４や、図９について上述したオンラインベリファイ実行処理手順ＲＴ４のステップＳＰ３４においてシステムディスク１０Ａのシステム領域３１を閉塞する処理を行ったときに、その後かかるシステム情報書込み処理手順ＲＴ２やオンラインベリファイ実行処理手順ＲＴ４と並行して図１０に示すシステム領域回復処理手順ＲＴ５を実行することにより、そのシステムディスク１０Ａのシステム領域３１を即座に回復させるようになされている。

すなわちＣＰＵ２１Ａ，２１Ｂは、システム情報読出し処理手順ＲＴ２（図５）のステップＳＰ１４や、オンラインベリファイ実行処理手順ＲＴ４（図９）のステップＳＰ３４においてシステムディスク１０Ａのシステム領域３１を閉塞する処理を行った場合、このシステム領域回復処理手順ＲＴ５を開始する。

そしてＣＰＵ２１Ａ，２１Ｂは、まず、キャッシュメモリ２４Ａ，２４Ｂに格納されているシステム情報に基づいて別のシステムディスク１０Ａを検索し、検索したシステムディスク１０Ａのシステム領域３２からシステム情報を読み出して、これを上述のようにシステム領域３２を閉塞したシステムディスク１０Ａの当該システム領域３２にコピーする（ＳＰ５０）。

続いて、ＣＰＵ２１Ａ，２１Ｂは、かかるコピーが正常に終了したか否かを判断し（ＳＰ５１）、正常に終了したときには（ＳＰ５１：ＹＥＳ）、このシステム領域回復処理を終了する（ＳＰ５４）。

これに対して、ＣＰＵ２１Ａ，２１Ｂは、かかるステップＳＰ５１の判断において否定結果を得ると（ＳＰ５１：ＮＯ）、かかるシステム領域回復処理についてのリトライ回数のカウント値（初期時は「０」）をカウントアップし（ＳＰ５２）、この後、かかるカウント値が予め定められたしきい値を超えたか否かを判断する（ＳＰ５３）。

ＣＰＵ２１Ａ，２１Ｂは、この判断において否定結果を得ると（ＳＰ５３：ＮＯ）、ステップＳＰ５０に戻って、再度、同様の処理を実行する。従って、そのシステムドライブ１０Ａに回復不能な欠陥がある場合には、やがてステップＳＰ５３において肯定結果が得られる（ＳＰ５３：ＹＥＳ）。かくして、このときＣＰＵ１２Ａ，２１Ｂは、このシステム領域回復処理を終了する（ＳＰ５４）。従って、このときこのシステムディスク１０Ａのシステム領域３１は、閉塞されたままの状態で放置されることとなる。

そこで、このディスクアレイ装置４では、システム領域３１が閉塞されているシステムディスク１０Ａが存在するか否かを定期的（例えば１日単位）にチェックし、かかるシステムディスク１０Ａが存在する場合には、再度、その回復を試みるようになされている。

図１１は、このようなシステムディスク１０Ａのシステム領域３１に対する定期的な回復処理の処理内容を示すフローチャートである。ＣＰＵ２１Ａ，２１Ｂは、このフローチャートで表すシステム領域定期回復処理手順ＲＴ６に従ってかかるシステム領域に３１対する定期的な回復処理を実行する。

すなわちＣＰＵ２１Ａ，２１Ｂは、予め設定されたシステム領域３１の回復処理実行時刻となると、このシステム領域定期回復処理手順ＲＴ６を開始し、まず、システム領域３１が閉塞されているシステムディスク１０Ａが存在するか否かを判断する（ＳＰ６０）。

ＣＰＵ２１Ａ，２１Ｂは、この判断において否定結果を得ると（ＳＰ６０：ＮＯ）、このシステム領域定期回復処理を終了する（ＳＰ６７）。これに対して、ＣＰＵ２１Ａ，２１Ｂは、このステップＳＰ６０の判断において肯定結果を得ると（ＳＰ６０：ＹＥＳ）、システム領域３１が閉塞しているシステムドライブ１０Ａに対して、図１０について上述したシステム領域回復処理手順ＲＴ５のステップＳＰ５０と同様にして、そのシステム領域３１に正常なシステムディスク１０Ａのシステム領域３１Ａに格納されたシステム情報をコピーすることによる回復処理を実行する（ＳＰ６１）。

そしてＣＰＵ２１Ａ，２１Ｂは、この後そのシステムディスク１０Ａに対する回復処理が成功したか、つまりコピーが正常に終えたか否かを判断し（ＳＰ６２）、この判断において肯定結果を得ると（ＳＰ６２：ＹＥＳ）、システム領域３１が閉塞されている他のシステムディスク１０Ａが存在するか否かを判断する（ＳＰ６６）。

そして、ＣＰＵ２１Ａ，２１Ｂは、この判断において肯定結果を得ると（ＳＰ６６：ＹＥＳ）、ステップＳＰ６１に戻ってこの後そのシステムディスク１０Ａに対して上述と同様の処理を実行する。

一方、ＣＰＵ２１Ａ，２１Ｂは、ステップＳＰ６２の判断において否定結果を得ると（ＳＰ６２：ＮＯ）、そのシステムディスク１０Ａと対応付けられた定期回復処理用カウンタのカウント値を「１」だけカウントアップし（ＳＰ６３）、その後その定期回復処理用カウンタのカウント値が予め設定されたしきい値を越えたか否かを判断する（ＳＰ６４）。

ＣＰＵ２１Ａ，２１Ｂは、この判断において否定結果を得ると（ＳＰ６４：ＮＯ）、ステップＳＰ６１に戻って、その後上述と同様の処理を実行する。従って、そのシステムディスク１０Ａに回復不能な欠陥があるときには、ステップＳＰ６１〜ＳＰ６４−ＳＰ６１のループを繰り返し、やがてステップＳＰ６４の判断において肯定結果を得ることとなる（ＳＰ６４：ＹＥＳ）。

かくして、このときＣＰＵ２１Ａ，２１Ｂは、そのディスクデバイス１０全体を閉塞する閉塞処理を実行し（ＳＰ６５）、この後システム領域３１が閉塞されている他のシステムディスク１０Ａが存在するか否かを判断する（ＳＰ６６）。

そしてＣＰＵ２１Ａ，２１Ｂは、やがてシステム領域が閉塞しているシステムディスク１０Ａが存在しなくなると（ＳＰ６６：ＹＥＳ）、このシステム領域定期回復処理を終了する（ＳＰ６７）。

このようにして、このディスクアレイ装置４では、システムディスク１０Ａのシステム領域３１を閉塞したときに２重３重に渡ってそのシステム領域３１の回復処理を行うようになされ、これによりシステムの冗長性を確保して、信頼性の低下を有効に防止し得るようになされている。

（３）他の実施の形態
なお上述の実施の形態においては、本発明を図１のように構築されたデュアルコントローラ構成のディスクアレイ装置４に適用する場合について述べたが、本発明はこれに限らず、この他種々の構成のディスクアレイ装置４に広く適用することができる。

また上述の実施の形態においては、システム情報や上位装置としてのホスト装置２から与えられるデータを記憶する記憶デバイスとしてディスクデバイス１０を適用するようにした場合について述べたが、本発明はこれに限らず、この他種々の記憶デバイスを広く適用することができる。

さらに上述の実施の形態においては、システムディスク１０ＡとしてＳＡＴＡディスクを適用するようにした場合について述べたが、本発明はこれに限らず、この他ＡＴＡディスクや光ディスクなどの各種ディスクを広く適用することができる。またシステムディスク１０Ａとしてファイバーチャネルディスク等の信頼性の高いディスクデバイスを用いる場合にも、本発明を適用することによって、ディスクアレイ装置の信頼性をより一層と向上させることができる。

さらに上述の実施の形態においては、システムディスク１０Ａにシステム情報を書き込む際に、当該システム情報の整合性を検証するための検証用情報としてサム値を適用するようにした場合について述べたが、本発明はこれに限らず、かかる検証用情報として、例えばＥＣＣ（Error Correction Code）やＬＲＣ（Longitudinal Redundancy Check）コードなどのようなデータ保証コードを適用したり、サム値とデータ保証コードを併用するようにしても良く、検証用情報としてはこの他種々の情報を広く適用することができる。

さらに上述の実施の形態においては、システム情報の１つに対してサム値を１つ生成するようにした場合について述べたが、本発明はこれに限らず、例えばマイクロプログラム、構成情報及びトレース情報などのシステム情報要素毎にサム値などの検証用情報を生成してシステムディスク１０Ａのシステム領域３１に格納し、このシステム情報要素毎の検証用情報に基づいてそのシステム情報要素の整合性を検証するようにしても良い。

本発明は、システムディスクとして信頼性の低いディスクを利用したディスクアレイ装置の他、種々の構成のディスクアレイ装置に適用できる。

本実施の形態によるネットワークシステムの構成を示すブロック図である。 （Ａ）及び（Ｂ）は、共にディスクデバイスの論理構成を示す概念図である。 ディスクデバイスのシステム領域に対するシステム情報の読書き処理の説明に供する概念図である。 システム情報書込み処理手順を示すフローチャートである。 システム情報読出し処理手順を示すフローチャートである。 ディスクデバイスのシステム領域に対するシステム情報の読書き処理の説明に供する概念図である。 （Ａ）〜（Ｃ）は、共にディスクデバイスに対するオンラインベリファイ処理の説明に供する概念図である。 オンラインベリファイ処理手順を示すフローチャートである。 オンラインベリファイ実行処理手順を示すフローチャートである。 システム領域回復処理手順を示すフローチャートである。 システム領域定期回復処理手順を示すフローチャートである。

符号の説明

１……ネットワークシステム、２……ホスト装置、４……ディスクアレイ装置、１０……ディスクデバイス、１０Ａ……システムディスク、１２，１３……コントローラ、２１Ａ，２１Ｂ……ＣＰＵ、２４Ａ……キャッシュメモリ、３０……記憶領域、３１……システム領域、３２……ユーザ領域。

Claims (20)

1. 所定のシステム情報に基づいて動作するディスクアレイ装置において、
   前記システム情報を記憶する記憶デバイスと、
   前記記憶デバイスの記憶領域を、前記システム情報を記憶するためのシステム領域及び上位装置からのデータを記憶するためのデータ領域に分けて管理する管理部と
   を備え、
   前記管理部は、
   前記記憶デバイスの前記データ領域に対して第１の周期でベリファイ処理を実施し、前記システム領域に対して前記第１の周期よりも速い第２の周期でベリファイ処理を実施する
   ことを特徴とするディスクアレイ装置。
2. 前記システム情報を記憶する前記記憶デバイスは、ＳＡＴＡ（Serial AT Attachment）ディスクである
   ことを特徴とする請求項１に記載のディスクアレイ装置。
3. 前記管理部は、
   前記記憶デバイスの前記システム領域に対する前記ベリファイ処理によりエラーを検出したときには、前記記憶デバイスの前記システム領域のみを閉塞する
   ことを特徴とする請求項１に記載のディスクアレイ装置。
4. 前記管理部は、
   前記記憶デバイスの前記システム領域を閉塞したときには、当該システム領域を回復するための所定の第１の回復処理を即座に実施する
   ことを特徴とする請求項３に記載のディスクアレイ装置。
5. 前記管理部は、
   前記第１の回復処理に加えて、前記システム領域が閉塞された前記記憶デバイスの当該システム領域を回復するための所定の第２の回復処理を定期的に実施する
   ことを特徴とする請求項４に記載のディスクアレイ装置。
6. 前記管理部は、
   定期的な前記回復処理によっても回復不能なエラーが発生した前記記憶デバイスについて、当該記憶デバイス全体を閉塞する
   ことを特徴とする請求項５に記載のディスクアレイ装置。
7. 前記管理部は、
   前記システム情報の整合性を検証するための検証用情報を当該システム情報に基づいて生成すると共に、当該検証用情報を前記システム情報と併せて前記記憶デバイスの前記システム領域に格納し、
   前記記憶デバイスの前記システム領域から前記システム情報を読み出す際に、前記検証用情報に基づいて当該システム情報の整合性を検証する
   ことを特徴とする請求項１に記載のディスクアレイ装置。
8. 前記システム情報を記憶する前記記憶デバイスを複数備え、
   前記検証により前記記憶デバイスから読み出した前記システム情報の整合性が否定されるときには、他の前記記憶デバイスから前記システム情報を読み出す
   ことを特徴とする請求項７に記載のディスクアレイ装置。
9. 前記検証により前記記憶デバイスから読み出した前記システム情報の整合性が否定されるときには、当該記憶デバイスの前記システム領域を閉塞する
   ことを特徴とする請求項８に記載のディスクアレイ装置。
10. 所定のシステム情報に基づいて動作するディスクアレイ装置の制御方法において、
    前記システム情報を記憶する記憶デバイスの記憶領域を、前記システム情報を記憶するためのシステム領域及び上位装置からのデータを記憶するためのデータ領域に分けて管理する第１のステップと、
    前記記憶デバイスの前記データ領域に対して第１の周期でベリファイ処理を実施し、前記システム領域に対して前記第１の周期よりも速い第２の周期でベリファイ処理を実施する第２のステップと
    を備えることを特徴とするディスクアレイ装置の制御方法。
11. 前記システム情報を記憶する前記記憶デバイスは、ＳＡＴＡ（Serial AT Attachment）ディスクである
    ことを特徴とする請求項１０に記載のディスクアレイ装置の制御方法。
12. 前記第２のステップでは、
    前記記憶デバイスの前記システム領域に対する前記ベリファイ処理によりエラーを検出したときには、前記記憶デバイスの前記システム領域のみを閉塞する
    ことを特徴とする請求項１０に記載のディスクアレイ装置の制御方法。
13. 前記第２のステップでは、
    前記記憶デバイスの前記システム領域を閉塞したときには、当該システム領域を回復するための所定の第１の回復処理を即座に実施する
    ことを特徴とする請求項１２に記載のディスクアレイ装置の制御方法。
14. 前記第２のステップでは、
    前記第１の回復処理に加えて、前記システム領域が閉塞された前記記憶デバイスの当該システム領域を回復するための所定の第２の回復処理を定期的に実施する
    ことを特徴とする請求項１３に記載のディスクアレイ装置の制御方法。
15. 前記第２のステップでは、
    定期的な前記回復処理によっても回復不能なエラーが発生した前記記憶デバイスについて、当該記憶デバイス全体を閉塞する
    ことを特徴とする請求項１４に記載のディスクアレイ装置の制御方法。
16. 前記第２のステップでは、
    前記システム情報の整合性を検証するための検証用情報を当該システム情報に基づいて生成すると共に、当該検証用情報を前記システム情報と併せて前記記憶デバイスの前記システム領域に格納し、
    前記記憶デバイスの前記システム領域から前記システム情報を読み出す際に、前記検証用情報に基づいて当該システム情報の整合性を検証する
    ことを特徴とする請求項１０に記載のディスクアレイ装置の制御方法。
17. 前記ディスクアレイ装置は、前記システム情報を記憶する前記記憶デバイスを複数備え、
    前記第２のステップでは、
    前記検証により前記記憶デバイスから読み出した前記システム情報の整合性が否定されるときには、他の前記記憶デバイスから前記システム情報を読み出す
    ことを特徴とする請求項１６に記載のディスクアレイ装置の制御方法。
18. 前記第２のステップでは、
    前記検証により前記記憶デバイスから読み出した前記システム情報の整合性が否定されるときには、当該記憶デバイスの前記システム領域を閉塞する
    ことを特徴とする請求項１７に記載のディスクアレイ装置の制御方法。
19. 所定のシステム情報に基づいて動作するディスクアレイ装置の動作制御を司るコンピュータに、
    前記システム情報を記憶する記憶デバイスの記憶領域を、前記システム情報を記憶するためのシステム領域及び上位装置からのデータを記憶するためのデータ領域に分けて管理する第１のステップと、
    前記記憶デバイスの前記データ領域に対して第１の周期でベリファイ処理を実施し、前記システム領域に対して前記第１の周期よりも速い第２の周期でベリファイ処理を実施する第２のステップと
    を備える処理を実行させるためのプログラム。
20. 前記第２のステップにおいて、前記コンピュータに、
    前記システム情報の整合性を検証するための検証用情報を当該システム情報に基づいて生成すると共に、当該検証用情報を前記システム情報と併せて前記記憶デバイスの前記システム領域に格納し、
    前記記憶デバイスの前記システム領域から前記システム情報を読み出す際に、前記検証用情報に基づいて当該システム情報の整合性を検証する処理を実行させる
    ことを特徴とする請求項１９に記載のプログラム。

Images