JP2009122915A

JP2009122915A - 情報端末装置およびその運用方法

Info

Publication number: JP2009122915A
Application number: JP2007295532A
Authority: JP
Inventors: Tomotaka Shionoya; 友隆塩野谷
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2007-11-14
Filing date: 2007-11-14
Publication date: 2009-06-04

Abstract

【課題】
ユーザの使い勝手を良くするために自律認証方法を持つ情報端末装置を提供し、
更にこの使い勝手の良い情報端末装置を安価に提供する。
【解決手段】
複数台による協調動作を行う集合型の情報端末装置を、その操作履歴または操作結果を保存管理する保存制御部と、操作履歴または操作結果を比較する比較部と、この比較部の出力から協調動作の可否を判断する判断部とから構成する。情報端末装置の一様態としてストレージ装置104においては、そのディレクトリ構造108が操作結果に、ジャーナル230が操作履歴に、ファイルシステム210がこれらの操作結果および操作履歴を保存する保存制御部にそれぞれ対応する。
【選択図】図2

Description

情報を保持あるいは利用する情報端末装置であって、複数台による協調動作を行うものに関する。

近年、家庭における視聴コンテンツのデジタル化が急速に進んでいる。一方でネットワーク技術も進歩し、家庭内で高速な無線ネットワーク環境を構築することが一般的になってきている。こうした背景において、テレビやミュージックプレーヤといったAV情報端末の、相互接続および情報共有に注目が集まってきている。そのうちの一つにDLNA(Digital Living Network Alliance)（平成１９年１０月２５日検索、インターネット＜URL:http://www.dlna.org/jp/industry/＞）が推進する相互接続規格などがある。こうした規格においては、情報端末同士が相互接続し、保持するデータを開示しあうことで、ユーザの利便性を向上させる。

一般的に相互接続する際には接続を求める機器からなんらかの情報を発信し、この情報を受信した機器が接続を許可するプロセスが発生する。このプロセスを認証と呼ぶ。認証を実現する方法の一つにパスワードなどから生成される鍵を利用するものがある。

鍵を利用した認証の利点は、ネットワークもしくは鍵にかける暗号の強度が低くても、定期的に鍵を変化させることで外部からの不正アクセスからシステムを保護することができる点にある。一方で、認証時のパスワード入力や定期的なパスワード変更など、ユーザによる操作が必要である点で使い勝手が悪く、またユーザがパスワードの変更を怠ったり、安易なパスワードを設定したりすることでセキリティのレベルが下がるという問題がある。

このセキリティレベルの問題を解決するには、認証を行う機器同士が自律的に認証およびパスワードの変更を行えばよい。自律的な認証及びパスワード変更を実現する技術の一つが特許文献1で開示されている。

特開2003-140765号公報

上記の従来技術ではユーザの利用する業務サーバのほかにパスワード管理サーバを設け、パスワード管理サーバが定期的に機械的なパスワードを生成し、各業務サーバに通知することで背景技術に示した使い勝手およびセキリティレベルの問題を解決している。一方で、パスワード管理サーバを設けることにより保守コストが増大しており、また、管理サーバと業務サーバの鍵を常に一致させるため、両サーバの電源および接続を常に確立する必要があるため運用コストも高価であるという問題があった。

本発明の目的は、自律的な認証を行うことにより背景技術に示したユーザ操作による使い勝手およびセキリティレベルの低下を解決する、使い勝手の良い情報端末装置およびその運用方法を提供することである。

本発明の他の目的は、管理用機器の追加や、情報端末装置の電源およびネットワーク接続が常時確立の必要がない、保守および運用コストが安価な情報端末装置を提供することである。

上記目的を達成するために、本発明においては、複数台による協調動作を行う集合型の情報端末装置であって、外部装置からの情報端末装置の操作履歴または操作結果を保存する保存制御部と、操作履歴または操作結果を比較する比較部と、比較部の出力を参照し、協調動作の可否を判断する協調動作可否判断部とを備えた情報端末装置を提供する。

本発明のある実施様態においては、自己（自装置）と協調動作を行っている他の各情報端末装置から、それらの比較部の出力を集約することで協調動作の状態を解析する集合解析部と、この集合解析部の出力に基づき自己（自装置）の動作を変更する動作変更部とをさらに有する。

本発明のある実施様態においては、外部から動作変更部に対して動作変更規則を入力する入力部をさらに有する。

また、本発明においては、複数台による協調動作を行う集合型の情報端末装置として、外部装置からの情報端末装置の操作履歴または操作結果を保存する保存制御部と、この操作履歴または操作結果に基づき認証鍵を生成する認証鍵生成部と、この認証鍵を他の情報端末装置に送り、他の情報端末装置の操作履歴または操作結果に基づく認証鍵との比較結果として、認証成功通知を受け取る通信部とを有し、この認証成功通知を受け取った場合、他の情報端末装置との間で協同動作を行う情報端末装置を提供する。

一般的に、この保存制御部と認証鍵生成部は情報端末装置内の処理部で実行されるプログラムで構成されと共に、この処理部が、通信部から比較結果として、認証成功通知を受け取った場合、自装置と他の情報端末装置との協調動作を行うよう動作する。

更に、本発明においては、複数台による協調動作を行う情報端末装置の運用方法として、情報端末装置は、外部からの情報端末装置の操作履歴または操作結果を保存し、自装置と他の情報端末装置の操作履歴または操作結果を比較し、この比較結果を参照し、他の情報端末装置との協調動作の可否を判断する情報端末装置の運用方法を提供する。

好適実施例においては、情報端末装置の一様態としてストレージ装置に本発明を適用する。このストレージ装置においては、そのディレクトリ構造が操作結果に、ジャーナルが操作履歴に、ファイルシステムがこれらの操作結果および操作履歴を保存する保存制御部にそれぞれ対応する。

ユーザの操作結果であるディレクトリ構造と、操作履歴であるジャーナルを利用することで定期的に変更され、かつ容易に類推できない鍵の生成を実現できる。また、ジャーナルは通常の手段ではアクセスすることができない。すなわちジャーナルを利用することで堅牢性の高い認証を実現できる。

以上に示したディレクトリ構造とジャーナルを用いた認証方法の特徴は、ストレージ装置およびネットワークの管理にかけられるコストが限られた民生のシステムなどにおいても、セキリティレベルの高い認証方法を提供することが可能であることを示す。さらに言えば、ファイルシステムは一般のストレージ装置に利用されているものであるため、特殊な装置および機能を追加することによるコスト増大を防ぐことができる。

本発明によればユーザの操作を必要しない機器同士による自律的な認証機能を有する情報端末装置およびその運用方法を提供することができる。また本発明の情報端末装置においては、運用および保守のコストを安価にすることができる。

以下、本発明の最良の形態につき、図面を用いて詳述する。なお、以下の説明においては情報端末の一例としてストレージ装置を取り上げて説明するが、本発明はストレージ装置に限定されず、認証を必要とする協調動作を行う情報端末装置に利用可能である。

第１の実施例では、自律的な認証を行うことによりユーザ操作による使い勝手を向上し、セキリティレベルの低下を解決できる、協調動作を行う集合型のストレージ装置について説明する。

図1はホスト装置および実施例１によるネットワーク接続型ストレージ装置で構成されるネットワーク図を示す。図1において、100はネットワーク接続型ストレージ装置を利用するホスト装置、102はネットワーク、104はネットワーク接続型ストレージ装置、106はクラスタをそれぞれ示す。以降、ネットワーク接続型ストレージ装置104を単にストレージ装置104と呼ぶ。なお、本実施例におけるクラスタ106とは、クラスタ106内のストレージ装置104同士が、それぞれが保持するデータに自由にアクセスすることが許可されているストレージ装置104の集合と定義する。クラスタ106内のストレージ装置104はそれぞれが同一のディレクトリ構造108を保持している。また、ストレージ装置104同士が同一のディレクトリ構造を保持することを、ディレクトリ構造を共有すると言う。このディレクトリ構造108の共有方法については後で詳述する。

また図1記載のネットワーク102は家庭内ネットワークを想定している。大規模なストレージシステムと異なり家庭内においてはストレージ装置104およびネットワーク102の管理にかけられるコストが限られている。この管理コストに関する前提条件は、全てのストレージ装置の電源が常時オンになっていることやネットワーク102が常時確立されていることが保証されていないことを意味する。つまり、電源の遮断もしくはネットワーク102からの切断などの理由により、あるストレージ装置104が他のストレージ装置104と情報を常に同期できない。以上に示したストレージ装置104の常時接続保証がないことがネットワークの特徴であり、本実施例によれば、かような状況においてもユーザの操作を必要としない認証方法を提供することができる。

図2は本実施例におけるストレージ装置104の内部構成例を詳細に示す図である。図2において200は通信部であるネットワークインターフェース、202は中央処理部（Central Processing Unit,処理部あるいはCPUと呼ぶ）、204はCPUで実行される各種の機能プログラムを記憶するメモリ、206はストレージ部としてのハードディスクドライブ（HDD）である。なお、ストレージ部であるHDD206はHDDに限らずフラッシュメモリなどのストレージデバイスでもよい。ストレージ装置104はHDD206にデータを格納し、通信部を構成するネットワークインターフェース200を用いてデータを外部の装置とやりとりする。これら2つの動作は、メモリ204に格納されたファイルシステム210およびネットワーク通信プログラム211を、CPU202が実行することで実現されることは言うまでもない。

ファイルシステム210はHDD206内におけるデータの物理的配置位置の管理やディレクトリ構造108の管理などを行うプログラムである。また、ファイルシステム210はジャーナル機能220を有している。ジャーナル機能220とはファイルシステム210における更新履歴であるジャーナル230を保存するプログラムである。このジャーナル機能220により障害などでファイルシステム210の管理するデータが破損した場合においても、ジャーナル230をもとに障害発生前の状態に戻すことでファイルシステム210を保護することができる。

HDD206内に保存されるディレクトリ構造108は、ユーザによる操作、即ち装置外部からの操作により、HDD206にディレクトリが追加されるたび変化する操作結果である。また、ユーザによる操作の履歴であるジャーナル230は、外部から情報端末装置への命令履歴、外部装置からのストレージ装置104の操作履歴である。そして、これらディレクトリ構造108およびジャーナル230をHDD206に保存するファイルシステム210は、CPUで実行されることにより保存制御部として機能する。

ネットワーク通信プログラム211はネットワーク102を介して外部の装置とデータをやりとりするためのプログラムであり、CPU等で実行されることにより、ネットワークインターフェースと共に通信部を構成する。

認証鍵生成プログラム212はファイルシステム210によって管理されるHDD 206内のディレクトリ構造108を示すデータおよびジャーナルから適切な値を算出するプログラムである。適切な値とは不定長で構わなければ数件のディレクトリ名を作成順に連結したものなどであり、固定長が必須ならば、連結した値などをRFC(Request For Comment)1321で規定されているエムデーファイブ(Message Digest 5, MD5)ハッシュに変換するなどしたものである。以降、認証鍵生成プログラム212により、ディレクトリ構造108とジャーナル230から算出された適切な値を認証鍵と呼ぶ。

また、認証鍵生成プログラム212は認証鍵の生成、および以下に示すクラスタリスト231へのアドレスの追記も管理するプログラムである。

認証鍵比較プログラム213は認証鍵生成プログラム212によって生成される2つの認証鍵を比較し、等しい認証鍵であるかどうか比較するプログラムであり、比較部、及び比較結果に基づく協調動作可否判断部として機能する。

HDD206内のクラスタリスト231はクラスタ106に含まれるストレージ装置104のネットワーク102上のアドレスを保存しておく領域である。ネットワーク102上のアドレスとは、RFC791で規定されているインターネットプロトコル(Internet Protocol, IP)においてはIPアドレスなどであり、ネットワーク102上での一意の場所を特定する値である。以後、ネットワーク102上のアドレスを単にアドレスと呼ぶ。ストレージ装置104はクラスタリスト231を参照し、アクセス先あるいはアクセス元のストレージ装置104が同じクラスタ106に属しているか判断する。つまりストレージ装置104同士がそれぞれのクラスタリスト231に相手のアドレスを登録しあうことがクラスタへの参加を意味する。

ストレージ装置104は、自身（自装置）と相手装置の認証鍵を比較し、等しいと判断した場合に自身のクラスタリスト231へ相手装置のアドレスを登録する。以降、上記の認証鍵の比較による認証を簡易認証と呼ぶ。簡易認証の'簡易'とはユーザが操作を必要とせず、自律的に動作することを意味する。一方でユーザの操作を必要とする認証方法を本認証と呼ぶ。

以下、本実施例におけるストレージ装置104の動作について説明する。ストレージ装置104の機能は大きく分けてデータの保管機能、ディレクトリ構造の共有機能、クラスタの形成機能の3つがある。以下、これら機能を順次説明する。

まず、データの保管機能について説明する。ネットワーク102を介してストレージ装置104にアクセスする機器は、ストレージ装置104にデータの取得もしくは格納を要求する。ストレージ装置104はネットワーク通信プログラム211により通信部であるネットワークインターフェース200を監視し、ネットワーク102に接続されたホスト装置100からのデータアクセスを受け付ける。

データアクセスを受け付けたネットワーク通信プログラム211はファイルシステム210にデータの取得もしくは格納を要求する。ファイルシステム210はHDD 206からデータを取得もしくは格納する。この履歴をファウルシステム201のジャーナル機能220によりジャーナル230に追記し、一連のデータアクセス操作は終了する。

このときファイルシステム210がHDD206に対して行うデータのやりとりは、ストレージ装置104の外部に顕われることがない。つまり外部の観測者はファイルシステム210が保存するジャーナルには通常の手段ではアクセスすることができない。本実施例では外部の観測者による取得が困難なジャーナル230を共通の鍵の一部として利用することで、後述するストレージ装置104のクラスタ形成機能を堅牢にしている。

また図2に示すストレージ装置104の物理的構成は特殊なものではなく、一般的なNAS (Network Attached Storage)に利用されているものである。また、プログラムに関してもジャーナル機能を有するファイルシステムはジャーナリングファイルシステムなどと呼ばれXFS、NTFSなどがNASにおいて広く利用されている。ネットワーク通信プログラムは外部装置からはファイルシステムと同等のプログラムに見えるため、ネットワークファイルシステムとも呼ばれる。有名なネットワークファイルシステムにNFSやSambaなどがありこれらもNASにおいて広く利用されている。つまり本実施例は一般の構成のNASに認証鍵生成プログラム211およびクラスタリスト231という比較的小さなプログラムを組み込むことで実現できる。このことから本実施例の実現にかかるコストは小さく、結果としてストレージ装置104を安価に提供できる。

次に、ディレクトリ構造の共有方法について説明する。

図3は本実施例におけるディレクトリ構造108の共有をストレージ装置104が管理する方法の一例を示すものである。図3において300はディレクトリ作成命令であり、302が新規作成されたディレクトリを示す。また、図3中の3台のストレージ装置104はクラスタ106を形成している。ホスト装置100はディレクトリを作成するため、ディレクトリ作成命令300をクラスタ106中のストレージ装置104の1台に送信する。

ディレクトリ作成命令300を受けたストレージ装置104のファイルシステム210はまず新規ディレクトリ302を作成する。その後、ストレージ装置104は同様のコマンド300をクラスタ106内の各ストレージ装置104に展開する。

最初に命令を受けたストレージ装置104からディレクトリ作成命令300を受信した各ストレージ装置104は同様にディレクトリを作成する。この操作によりクラスタ106内においてストレージ装置104のディレクトリ構造108を共有する。

図4は本実施例におけるディレクトリ構造108の共有をホスト装置100が管理する方法の一例である。図4においても3台のストレージ装置104はクラスタ106を形成している。図4ではディレクトリ構造108の共有のため、ホスト装置100がクラスタ106の各ストレージ装置104にディレクトリ作成命令300を展開する。ディレクトリ作成命令300を受信した各ストレージ装置104はディレクトリ302を作成する。この操作によりクラスタ106内においてストレージ装置104のディレクトリ構造108を共有する。

複数ユーザによる運用もしくはストレージ装置104ごとに異なるディレクトリ構造108を構築する運用においては、必要に応じてストレージ装置104は作成されたディレクトリ302に隠し属性を付与しユーザから隠蔽する。この隠し属性とはファイルシステム210がネットワーク接続プログラム211に対してディレクトリの存在を通知しない仕組みである。隠し属性の仕組みについては第3の実施例で詳しく説明するため、ここでは詳述しないが、先述したジャーナル230にアクセスが不可能であることと同様に、隠し属性を付与されたディレクトリの情報は外部に顕われることがない。

この隠し属性を付与する操作によりストレージ装置104が独自のディレクトリ構造を有しているようにユーザに見せながらも、クラスタ106内でのディレクトリ構造108の共有を実現する。

最後にクラスタ106の形成機能について図5を用いて説明する。

図5は本実施例によるストレージ装置104がクラスタ106に参加する様子の一例である。図5の例では既に4台のストレージ装置104がネットワーク(図示せず)に接続した状態において新たにストレージ装置500がネットワーク102に接続し簡易認証を行う過程を説明する。4台のストレージ装置104のうち3台は既にクラスタ106を形成している。

追加されるストレージ装置500は、以前クラスタ106に参加していたが一時的に接続を離れていたストレージ装置104である。ストレージ装置500がクラスタ106を離れている間にクラスタ106のディレクトリ構造は更新され、追加ストレージ500のディレクトリ構造108と異なっている。

本実施例においては、ストレージ装置104はファイルシステム210のジャーナル機能220により過去のディレクトリ構造108aを記録している。クラスタ106に含まれるストレージ装置104は、自身のディレクトリ構造108と追加ストレージ装置500のディレクトリ構造108を新しいものから数回比較し、等しいものがあれば簡易認証の成功通知（Accept）502を送信する。一方、等しいディレクトリ構造108がない場合は失敗通知（Reject）504を送信する。

以上の方法により、ユーザによる運用によって追加ストレージ500がクラスタ106を離れている間にディレクトリ構造108が変化した状態における簡易認証を実現する。つまり本実施例によるストレージ装置104は電源の遮断及びネットワーク102からの切断が行われても、自律的な認証が可能である。また、ストレージシステムに管理サーバなどの特殊な構成要素を追加する必要がない。

以上2点の特徴は運用および保守コストが従来技術に比べて安価であることを示している。続いて、認証鍵の生成にジャーナル機能220を利用することで、簡易認証の堅牢性を向上させることができることを説明する。

図6は本実施例における悪意ある第三者によるクラスタ106への不正アクセスへの拒絶処理を表す図である。悪意ある第三者は何らかの手段でディレクトリ構造108を取得し、図5に示した追加ストレージ500と同様のディレクトリ構造108bを構築したストレージ装置600をクラスタ106に参加させようとしている。

図6の各ディレクトリ構造108においてディレクトリにそれぞれ振られている数字は各ディレクトリ構造108においてディレクトリが作成された順番を表すものである。この順番はジャーナル230により保存されている。悪意ある第三者はジャーナル230にアクセスできない。そのため、ディレクトリ構造108bの形状は108aと同様であっても作成順番が異なる。すなわち、異なる認証鍵が生成されるため簡易認証が失敗504する。

以上、説明したように本実施例の構成により、認証鍵の生成にジャーナル230を利用することで堅牢な認証を実現できる。

以下、第1の実施例におけるストレージ装置104の認証動作を、図7を用いて詳しく説明する。図7はクラスタ106にストレージ装置500を参加させる認証動作の流れの一例を示す図である。

図７の左半分のステップ(700〜705および720)が追加されるストレージ装置500の動作、右半分のステップ(710〜714および720)がネットワーク102に接続している既存のストレージ装置104の動作をそれぞれ示している。以降、追加されるストレージ装置500を追加ストレージ500、ネットワーク102に接続しているストレージ装置104を既存ストレージ104と表現する。既存ストレージ104と追加ストレージ500は、図２に示した処理部であるCPUのコントロールの下、図７の各ステップを実行することとなる。なお、これら追加ストレージ500と既存ストレージ104は、それぞれの通信部であるネットワークインターフェースを介して、必要な情報を送受信することは言うまでもない。

さて、クラスタ106への認証動作は、追加ストレージ500がネットワーク102に接続した時点で開始される(700)。まず、追加ストレージ500は自身のディレクトリ構造108およびジャーナル230から認証鍵を生成(701)し、その認証鍵をネットワーク102上のストレージ装置104に展開する(702)。

既存ストレージ104は、追加ストレージ500を自身のクラスタ106に参加させてよいかどうか判断するため、送られてきた追加ストレージ500の認証鍵と、自装置内で同様に作成された認証鍵を、比較部、協調動作可否判断部として機能する認証鍵比較プログラム213を用いて比較する(710)。上記の認証鍵比較方法については後述する。

既存ストレージ104は２つの認証鍵が等しければ自身のクラスタリスト231に追加ストレージ500のアドレスを追記し、簡易認証成功通知502を追加ストレージ500に送信する(711)。認証鍵が等しくなければ(710-N)、簡易認証失敗通知504として本認証要求を追加ストレージ500に送信する(712)。

追加ストレージ500が簡易認証成功通知を受信した場合(710-Y)はそのクラスタ106に参加し、成功通知502を送信した既存ストレージ装置104のアドレスを自身（自装置）のクラスタリスト231に追記することによってクラスタ統合を行う(720)。この操作により、追加ストレージ500のクラスタ106への参加動作が完了する。その後、ディレクトリ構造108の差分の補完動作が発生する(713,714)。既存ストレージ104は追加ストレージ500から受信した認証鍵と自身のジャーナル230から追加ストレージ装置500に不足しているディレクトリ（後で説明する図8に示すディレクトリ構造の差分800）を分析し(713)、これを追加するコマンドを発行する(714)。

ディレクトリ追加コマンドを受けた追加ストレージ装置500は自身のディレクトリ構造108を更新し、クラスタ106内でディレクトリ構造108を共有する(703)。このディレクトリ追加処理と、クラスタ統合処理の順序はどちらが先でも良い。なお、既存ストレージ104によるディレクトリ構造108の分析方法については認証鍵比較方法と合わせて後述する。

一方で追加ストレージ500は本認証要求504を受信した場合、ユーザに本認証の必要を通知する(704)。ユーザによる本認証が行われた時点で本認証を行ったストレージ装置104のクラスタ106に参加することによりクラスタ統合する(720)。また、ユーザによる本認証が行われない場合、追加ストレージ500はクラスタ106に参加せず、独立したストレージ装置104(構成台数が1台のクラスタ106)として動作する(705)。

なお、追加ストレージ500がまったくデータを持たない新品のストレージ装置104であった場合は、自動的に簡易認証を成功させディレクトリ構造108を共有させてもよいし、自動的に簡易認証を失敗させ本認証プロセスを発生させてもよい。

以下、本実施例における簡易認証方法およびその誤認率について説明する。

図8は本実施例による簡易認証に用いるジャーナル232の一例を示すものである。本実施例におけるジャーナル232にはディレクトリ構造108の更新履歴のみが保存されている。実際のジャーナル230にはファイルシステム210によってHDD 206に加えられた全ての更新履歴が保存されている。かようなジャーナルを利用する場合においても、ディレクトリ構造108の更新履歴を抽出することで、第1の実施例における認証鍵比較動作と同様の操作を実現する。

同図において、ジャーナル232は左のほうが古いディレクトリであることを示している。ジャーナル232に割り当てられる記憶容量は有限のため、全ての更新履歴を保存し続けるのは非現実的である。また、過去のディレクトリ構造108全てと追加ストレージ装置500のディレクトリ構造108を比較することは、計算コストが高いため望ましくない。

ここでは簡易認証において許容されるディレクトリ構造108の差異をs件とし、認証に利用するディレクトリ数をw件とする。許容されるディレクトリ構造108の差異sとは、追加ストレージ500がクラスタ106から離れている間にクラスタ106に追加されても簡易認証によりクラスタ106に再び参加することが許容されるディレクトリの件数である。このsが大きければ大きいほどストレージ装置104がクラスタ106を長く離れることができるが誤認率と計算コストが増大する。

一方wは追加ストレージ500が離れることを許容される時間には影響しないが、大きいほど誤認率が低下し、その効果はsに比べて大きい。wおよびsはストレージ装置104のユースケースに基づいて許容される誤認率より仕様として決定される。この誤認率については簡易認証方法を説明した後詳しく説明する。

既存ストレージ装置104はジャーナル232の新しいほうからw件のディレクトリを用いて認証鍵を生成する。この認証鍵生成動作を1件ずつ過去にさかのぼり、s+1回繰り返すことでs+1個の認証鍵を生成する。この操作に必要なジャーナル232の件数はw+s件である。既存ストレージは追加ストレージ500から送信されてきた認証鍵を上記の操作で生成されたs+1個の認証鍵それぞれと比較する。この操作中に等しい認証鍵を発見した場合、簡易認証が成功する。簡易認証が成功した時点で、追加ストレージ500に不足しているディレクトリ(ディレクトリ構造の差分)800が判明し、図6におけるステップ713、714において、追加ストレージ500にディレクトリ構造の差分800を不足ディレクトリとして追加する。

ここで簡易認証の誤認率について説明する。何らかの原因で追加ストレージ500のディレクトリ構造108が一致する事象をSとし、追加ストレージ装置500の簡易認証が成功する事象をJとする。また、ディレクトリ構造108に含まれる総ディレクトリ数をdとすると、ディレクトリ構造108が一致した状態において、簡易認証が成功する確率は

［数１］
P (S|J) = (s+1) (d-w)!/d! × 100 (%) （1）

となる。この確率はdが十分大きければ、十分小さな値となる。たとえばs=3,w=5の条件下ではdが8以上で（1）式は0.1%以下になる。このことから本実施例による簡易認証方法は誤認率が低く、悪意ある第三者がディレクトリ構造108を取得し、真似ることで不正にクラスタ106に参加を試みたとしても簡易認証が成功することはまずないといえる。

以上説明してきた、データ保管機能、ディレクトリ構造共有機能、クラスタ形成機能の3つの機能により、本実施例におけるストレージ装置104はユーザの操作を必要としないクラスタ接続機能を有するクラスタ型ストレージ装置を実現する。

本実施例によるストレージ装置はネットワークや機器の運用コストを下げるため、電源が頻繁にオフにされるような運用においても利用可能である。また、ストレージ装置以外の管理用ノードをシステムに設置する必要がない。すなわち、運用および設置、保守コストが安価なクラスタ型ストレージ装置を提供できる。

なお、上述した本実施例においては、HDD206に記憶されるデータの種類については特に述べなかったが、これはデータベースのデータであって良い。この場合、メモリには更にデータベースの検索部である検索プログラムが設置される。そして、操作履歴は、外部からこのデータベースへのコマンド履歴であり、保存制御部は、コマンド履歴を保存するデータベースに含まれるジャーナル機能である。そして、比較部では、このコマンド履歴の類似度を算出し、協調動作可否判断部は、この比較部より出力される類似度を参照して協調動作可否を判断する。また、データベースはHDD206に格納されるデータとデータの特徴を関連付けることで、ユーザによって入力されるデータの特徴からHDD206に格納されたデータを検索および出力することができる。この場合、ジャーナルだけを用いて、協調動作可否判断できることとなる。

第1の実施例において追加ストレージ500は簡易認証が成功したクラスタ106に常に接続したが、実際の運用においては、ユーザは追加ストレージ500を明示的に他のクラスタに接続させたり、独立のストレージとして利用したりしたい場合、すなわちネットワーク102に接続しているクラスタ106の状況に応じてストレージ装置104の動作を変更したい場合がある。

しかしながら、第1の実施例の方法では追加ストレージ500はクラスタ106に参加を許可されたか否かしか検知することができず、ネットワーク102内のクラスタ106の構成を検知することができない。そこで第2の実施例ではネットワーク102内のクラスタ106の状態を検知する方法について説明し、ユーザが接続するクラスタ106を選択する方法について説明する。

図9は本実施例におけるストレージ装置104がクラスタ106に参加する様子の一例である。5台のストレージ装置104が3つのクラスタ106a, b, cを形成してネットワーク102に接続しているとき、追加にストレージ装置500を接続する様子を示す。図5および6においては、簡単化のためクラスタ106に含まれるストレージ装置104の1台が簡易認証の合否を返信しているように描画したが、実際は図9に示すようにネットワークに接続した既存ストレージ104それぞれが合否を返信する。第1の実施例においては既存ストレージ104から返信される簡易認証の合否には付与される情報がなかったが、第2の実施例では簡易認証失敗通知504に認証鍵の比較における差分情報504a,bを付与する。図9では差分情報を504a,bそれぞれに付与したxxxx,yyyyで示している。この差分情報504a,bは認証鍵同士の減算演算の結果などでもよいし、認証鍵生成プログラム212を利用して、二つの認証鍵から新しい認証鍵を生成するなどしてもよい。各クラスタ106内においてそれぞれに属するストレージ装置104の認証鍵は等しいため、同一クラスタ106に属するストレージ装置104からの差分情報504a,bは全て等しくなる。

追加ストレージ装置500は差分情報504a,bを利用して、ネットワーク102に存在するクラスタ106の数および接続が許可されているかどうかを、図９下部にしめすクラスタ表900のように検知することができる。追加ストレージ装置500はホスト装置100を介してクラスタ表900をユーザに表示し、接続するクラスタ106を決定させる。その後必要に応じて本認証のプロセスを発行し、クラスタ106a,b,cのいづれかに参加する。

以下、第2の実施例におけるストレージ装置の認証動作を図10を用いて詳しく説明する。

図10は任意のクラスタ106にストレージ装置500を参加させる認証動作の流れの一例を示す図である。図7との差分は、追加ストレージ500の動作にクラスタ検知動作(1000〜1002)と、既存ストレージ104が簡易認証失敗通知504として送信する値が認証鍵差分1010(図5の504a,504b)となっている点である。このクラスタ検知動作は、協調動作状態を解析する協調動作解析部、並びに協調動作解析部の出力に基づき、自己の動作を変更する動作変更部として機能する。

第１の実施例同様、認証プロセスは追加ストレージ500がネットワーク102に接続した時点で開始される(700)。まず、追加ストレージ500は自身のディレクトリ構造108およびジャーナル232から認証鍵を生成(701)し、その認証鍵をネットワーク102上のストレージ装置104に展開する(702)。既存ストレージ104は、追加ストレージ500かを判断するため、展開されてきた認証鍵と自装置の認証鍵を認証鍵比較プログラム213を用いて比較する(710)。既存ストレージ104は認証鍵が等しければクラスタリスト231に追加ストレージ500のアドレスを追記し、簡易認証成功通知502を追加ストレージ500に送信する(711)。以上の動作は第1の実施例と同様である。

認証鍵が等しくない場合、簡易認証失敗通知504として認証鍵差分を追加ストレージ500に送信する(1010)。

追加ストレージ500は簡易認証成功通知502および失敗通知504を利用してネットワーク102上のクラスタ106の状況を検知する(1000)。

その後、接続するクラスタ106を決定するため、追加ストレージ500はユーザに検知したクラスタ106の状況(図9のクラスタ表900)を提示し、指示を待つ(1001)。このときクラスタ106の状況であるクラスタ表900をユーザに提示する手段としてはホスト装置100のユーザインターフェースを利用してもよいし、ストレージ装置104がディスプレイなどの出力装置を有する場合には、そのディスプレイを利用してもよい。

ユーザが選択したクラスタ106が参加を許可されたクラスタ106であり、簡易認証が成功している場合は、第1の実施例と同様にディレクトリ構造108の共有を行い、クラスタ106に参加する(1002)。

一方、簡易認証が許可されていないクラスタ106を選択した場合は本認証プロセスを発生させる(704)。このプロセスも第1の実施例と同様に、本認証が実施された場合はクラスタ106に参加させてクラスタ統合し(720)、実施されない場合は独立のストレージ装置として動作する(705)。

以上の動作により、ストレージ装置104の簡易認証の簡易さを損なうことなく、また第1の実施例に示した構成に特殊な構成要素を追加することなく、参加するクラスタ106の選択機能を実現する。この選択機能によりユーザの利便性を向上させる。

第3の実施例では、ストレージ装置によるディレクトリ隠蔽方法について説明する。

図示されない外部装置からのストレージ装置104へのデータアクセスは最初にネットワーク通信プログラム211により処理される。まず、外部装置は閲覧したいディレクトリへのアクセスを要求する。
ネットワーク通信プログラム211はディレクトリ構造108に含まれるディレクトリもしくはデータがそれぞれ要求してきた外部装置にアクセス権があるかファイルシステム210に問い合わせる。ファイルシステム210はネットワーク通信プログラム211に各データおよびディレクトリのアクセス権について返信する。その後、ネットワーク通信プログラムはアクセス権のあるもののリストを外部装置に返信する。

この方法の特長は、アクセス権の無いデータもしくはディレクトリに関して、外部装置はまったく情報を得ることができない点である。すなわち本方法によるディレクトリ隠蔽力は極めて高い。このディレクトリ隠蔽方法により、ストレージ装置104の信頼性を高くすることができる。

第1および第2の実施例においては、クラスタ106を利用するユーザの人数に関して言及しなかったが、実際の運用において1つのクラスタ106を複数のユーザで利用する場合がある。

かような状況において望まれることは2つある。1つは他のユーザと共用のクラスタ106であったとしても第1および第2の実施例にて示した利便性を損なわないことである。もう1つは他のユーザにデータを改ざんなどされぬようユーザに応じたデータへのアクセス権を設定できること、ユーザに応じて動作を変更する手段、すなわちユーザ認識部と、認識されたユーザに応じて動作を変更する動作変更部を有することである。

そこで第4の実施例では上記2点を実現する複数人によるクラスタ106の運用方法について説明する。

図14は複数ユーザによるクラスタ106の運用および簡易認証の様子の一例である。クラスタ106には利用ユーザが2人おり、ユーザごとにそれぞれディレクトリ構造108A,108Bで運用している。実際にクラスタ106中にはディレクトリ構造は一つしかなく、108Aおよび108Bを足しあわせた108Sのようにクラスタ106中で共有されている。ディレクトリ構造108Sの各ディレクトリに付与した文字はそれぞれディレクトリのオーナを表し、Sはシステム全体で利用するディレクトリであることを、Aは108Aでクラスタ106を運用する1人目のユーザAのディレクトリであることを、Bは108Bでクラスタ106を運用する2人目のユーザBのディレクトリであることをそれぞれ示している。システムディレクトリSに関するアクセス権は全てのユーザに与えても良いし、全てのディレクトリ構造108Sを把握している管理者のみに与えても良い。

このクラスタ106に追加ストレージ500が接続を要求した場合においては、クラスタ106はまずディレクトリ構造108Sを参照して簡易認証を行う。108Sによる簡易認証はシステムのディレクトリを全て把握している管理者であるかどうか判断する簡易認証である。108Sにより簡易認証が失敗した場合は次にディレクトリ構造108Aを参照して簡易認証を行い、それでも失敗する場合はディレクトリ構造108Bを参照して簡易認証を行う。それぞれの簡易認証において成功した場合、成功したディレクトリ構造108Sの一部ないしは全部へのアクセス権を追加ストレージ500に与え、クラスタ106への接続を許可する。図14の例においては追加ストレージ500のディレクトリ構造108はクラスタ106中のディレクトリ構造108Aと等しい。すなわち、追加ストレージ500のユーザはAであると判断し、クラスタ106中のディレクトリ構造108のうちオーナがAあるいはAとSのディレクトリへのアクセス権を追加ストレージ500のユーザに与えてクラスタ106への接続を許可する。

アクセス権による情報隠蔽力は第3の実施例で示したとおり極めて高い。第4の実施例におけるアクセス権とは、第3の実施例で示した隠し属性と同様にストレージ装置104内のファイルシステム210がネットワーク通信プログラム211に対してディレクトリへのアクセスを許可もしくは不許可するものである。その結果、第1の実施例で説明した隠し属性と同様に、アクセスが許可されていないユーザにはディレクトリの中のデータはもちろん、クラスタ106内にどのようなディレクトリがあるのかすら知ることができない。つまり、第4の実施例によるストレージ装置104は、データの隠蔽性が極めて高い複数ユーザで利用するクラスタ型ストレージを提供できる。

以上説明したように、複数ユーザでクラスタ106を利用する場合において、ディレクトリ構造108による簡易認証を用いることにより、ユーザIDなどのユーザ識別子を必要とすることなくユーザの識別およびクラスタ106への参加認証を自律的に行うことができ、またクラスタ106内における他ユーザへのデータの隠蔽性が高いクラスタ型ストレージを提供できる。

第2の実施例において、ユーザには状況に応じてクラスタ106の接続先を変更したいという要求があることを説明した。第2の実施例ではこの要求を満たす一方で、ユーザにクラスタ106を選択させる操作が発生しユーザの負担が増大している。第5の実施例では上記のユーザの負担を軽減するために接続先決定ポリシーを設定および編集するストレージ装置104の運用方法について説明する。

図11は第5の実施例におけるストレージ装置104の内部構成例を詳細に図示した図である。第1および第2の実施例におけるストレージ装置104の構成例との差分は、メモリ204に記憶されるプログラムとしてのポリシーエンジン214、およびHDD206にポリシー232を保存する点である。

ポリシーエンジン214はポリシー232の管理および実行を行うプログラムである。ポリシー232とはストレージ装置104がクラスタ106への接続プロセス中に取得した情報から動作を決定する規則である。ポリシーエンジン214はポリシー232に従ったストレージ装置104の運用機能およびポリシー管理用インターフェースを提供するものである。

ポリシー232の概念を用いれば、第1および第2の実施例記載のストレージ装置104はそれぞれ、「参加を許可されたクラスタを検知した場合即座に参加し、検知できない場合はユーザに本認証をゆだねる」、「クラスタのリストをユーザに表示し、ユーザに参加するクラスタを決定させる」というポリシー232をそれぞれ持った第5の実施例記載のストレージ装置104であると言い換えることができる。

図12は第5の実施例におけるネットワーク構成の一例である。図12は企業におけるストレージ装置104の運用を想定している。1200は利用場所を表し、aが企業、bがストレージ装置104のユーザの家庭である。

ストレージ装置104は機密情報保護のため社内1200aだけで利用可能であり、外部1200bでの利用は禁止(1201)されている。また、ストレージ装置104の管理は企業内のシステム管理部で一元化されている。

かような状況で第5の実施例記載のストレージ装置104は、企業内1200aのネットワーク102aに接続している間はストレージ装置を自由に利用できるが、社外1200bのネットワーク102bではデータが取り出せないようにする方法を提供する。

以下、この方法について説明する。外部でストレージ装置104からデータを取り出せないようにするアプローチとして、第5の実施例では外部ではストレージ装置104の電源を起動できないようにする。これを実現するためにシステム管理部では「参加を許可されたクラスタを検知できない場合、電源を遮断する」というポリシー232をストレージ装置104に設定する。

このポリシー232により、企業内1200aでの利用においては、簡易認証によりクラスタ106aに参加し、ストレージ装置104の機能を自由に利用できるが、社外1200bのネットワーク102bでは、ストレージ装置104の電源が遮断されるためストレージ装置104からデータが取得できず、またポリシー232を変更することができない。ポリシー232の保護に関しては、第4の実施例で示した複数ユーザによるストレージ装置104の運用方法を利用し、システム管理部にのみポリシー232を保存するディレクトリのアクセス権を与えればよい。第4の実施例で示したように、ストレージ装置104のアクセス権を持たないユーザに対するデータの隠蔽性は極めて高く、システム管理部用のディレクトリを持つことでポリシー232の改ざんを不可能とすることができる。

以上、ポリシー232による本実施例によるストレージ装置104の動作決定について説明した。以下、ポリシー232の設定方法について説明する。

ポリシー232はユーザがホスト装置100のコンソールプログラムを用いてストレージ装置104にアクセスすることで設定される。すなわち、コンソールプログラムは、動作変更規則であるポリシーの入力部として機能する。

図13はコンソールプログラムからストレージ装置104へアクセスした際に示される画面の一例である。

1300,1301,1302はそれぞれポリシー232に設定されている機能ブロックを示す。1303はあらかじめ用意されている機能ブロックである。1310はコンソールプログラムを表示しているホスト装置100の出力画面である。

コンソールプログラムはたとえばWebブラウザなどである。ポリシー232はストレージ装置104内部ではXML(eXtensible Markup Language)やLISP(LISt Programming)などのテキストで記述されている。GUI (Graphical User Interface) が利用できない環境などにおいては、このテキストベースのポリシーを表示する。図13のポリシー232の機能ブロックにおいて、一重丸(1300)は条件分岐を表し、二重丸(1301,1302)は終了状態を示す。管理者はあらかじめ用意された機能ブロック1303を組み合わせることでポリシー232を生成する。以上の方法により生成されたポリシー232はポリシーエンジン214によりテキストベースに変換され、HDDに格納される。同様のポリシー232を持つストレージ装置104を作成する場合、テキストベースのポリシー232をコピーすることで作成することができる。

以上示したポリシー232を設定することで認証時におけるユーザの操作を減らし、結果ストレージ装置104の使い勝手を向上させることができる。

第１の実施例が適用される、ホスト装置およびネットワーク接続型ストレージ装置のネットワークの一例を示す図である。第１の実施例におけるストレージ装置の内部構成例を詳細に示した図である。第１の実施例におけるディレクトリ構造の共有をストレージ装置が管理する方法の一例を説明するための図である。第１の実施例におけるディレクトリ構造の共有をホスト装置が管理する方法の一例を説明するための図である。第１の実施例におけるストレージ装置がクラスタに参加する様子の一例を示す図である。第一の実施例における悪意ある第三者によるクラスタへの不正アクセスの拒絶を説明するための図である。第１の実施例におけるクラスタにストレージ装置を参加させる認証動作の流れの一例を示す図である。第１の実施例における簡易認証に用いるジャーナルの一例を示す図である。第２の実施例におけるストレージ装置がクラスタに参加する様子の一例を説明するための図である。第２の実施例における任意のクラスタにストレージ装置を参加させる認証動作の流れの一例を示す図である。第５の実施例におけるストレージ装置の内部構成例を詳細に図示した図である。第５の実施例におけるネットワーク構成の一例を示す図である。第５の実施例におけるコンソールプログラムからストレージ装置へアクセスした際に示される画面の一例を示す図である。第４の実施例における複数ユーザによるクラスタの運用および簡易認証の様子の一例を示す図である。

符号の説明

100…ホスト装置、
102…ネットワーク、
104…ストレージ装置、
106…クラスタ、
108…ディレクトリ構造、
200…ネットワークインターフェース、
202…CPU、
204…メモリ、
206…HDD、
210…ファイルシステム、
211…ネットワーク通信プログラム、
212…認証鍵生成プログラム、
213…認証鍵比較プログラム、
214…ポリシーエンジン、
220…ジャーナル機能、
230…ジャーナル、
231…クラスタリスト、
232…ポリシー、
300…ディレクトリ作成命令、
302…追加されたディレクトリ、
500…追加ストレージ、
502…簡易認証成功通知、
504…簡易認証失敗通知、
600…悪意ある第三者の不正アクセスを試みる追加ストレージ、
800…ディレクトリ構造の差分、
900…ネットワークに接続しているクラスタのリスト、
1200…ストレージ装置の利用場所、
1310…ホスト装置の画面。

Claims

複数台による協調動作を行う情報端末装置であって、
外部からの当該情報端末装置の操作履歴または操作結果の保存を制御する保存制御部と、
自己の前記操作履歴または操作結果と他の情報端末装置の操作履歴または操作結果とを比較する比較部と、
前記比較部の出力を参照し、前記他の情報端末装置との協調動作の可否を判断する協調動作可否判断部と、
を備えた情報端末装置。
請求項１記載の情報端末装置であって、
自己と協調動作を行っている、前記他の情報端末装置の前記比較部の出力を集約し、協調動作状態を解析する協調動作状態解析部と、
前記協調動作状態解析部の出力に基づき自己の動作を変更する動作変更部と、を更に有する
情報端末装置。
請求項２記載の情報端末装置であって、
外部から前記動作変更部に対して動作変更規則を入力する規則入力部、を更に有する
情報端末装置。
請求項1記載の情報端末装置であって、
データを格納するためのストレージ部を有し、
前記操作結果は、外部からの操作によって前記ストレージ部内に構築されるディレクトリ構造であり、
前記保存制御部は、前記ディレクトリ構造を保存するファイルシステムであり、
前記比較部は、前記ディレクトリ構造の類似度を算出し、
前記協調動作可否判断部は、前記比較部より得られる前記類似度を参照して協調動作の可否を判断する
情報端末装置。
請求項1記載の情報端末装置であって、
データを格納するためのストレージ部を有し、
前記操作結果は、外部からの操作によって前記ストレージ部内に構築されるディレクトリ構造であり、
前記操作履歴は、前記情報端末装置のジャーナルであり、
前記保存制御部は、前記ディレクトリ構造及び前記ジャーナルを保存するファイルシステムであり、
前記比較部は、前記ディレクトリ構造と前記ジャーナルより類似度を算出し、
前記協調動作可否判断部は、前記比較部より得られる前記類似度を参照して協調動作の可否を判断する
情報端末装置。
請求項1記載の情報端末装置であって、
前記保存制御部は、前記操作履歴または前記操作結果を構成する要素の一部あるいは全部をユーザから隠蔽する
情報端末装置。
請求項2記載の情報端末装置であって、
前記動作変更部は、前記協調動作状態解析部により解析した、自己の周囲に存在する協調動作状態に応じて接続する当該協調動作状態を決定する
情報端末装置。
ネットワークを介して、他の情報端末装置と協調動作を行う情報端末装置であって、
外部からの当該情報端末装置の操作履歴または操作結果の保存を制御し、前記操作履歴または操作結果から認証鍵を生成する処理部と、
前記他の情報端末装置に前記認証鍵を送り、前記他の情報端末装置における操作履歴または操作結果に基づく認証鍵との比較の結果を受け取る通信部と、を有し、
前記通信部から前記比較結果として、認証成功通知を受け取った場合、自装置と前記他の情報端末装置との協調動作を行う
情報端末装置。
請求項8記載の情報端末装置であって、
前記処理部は、前記通信部を介して、前記認証成功通知を受け取った場合、前記他の情報端末装置から送られる、前記操作結果の不足分を受け取り、自装置の前記操作結果に追加する
情報端末装置。
請求項8記載の情報端末装置であって、
前記処理部は、前記通信部を介して、前記比較結果として、自装置と前記他の情報端末装置の認証鍵差分を受け取る
情報端末装置。
請求項10記載の情報端末装置であって、
前記処理部は、前記通信部を介して、前記比較結果として前記認証成功通知、あるいは前記認証鍵差分を受け取り、前記認証成功通知および前記認証鍵差分を用いて、前記他の情報処理装置間の協調動作を検知する
情報端末装置。
請求項8記載の情報端末装置であって、
データを格納するためのストレージ部を更に有し、
前記操作結果は、外部からの操作によって前記ストレージ部内に構築されるディレクトリ構造、また前記操作履歴は、前記情報端末装置のジャーナルであり、
前記処理部は、前記ディレクトリ構造と前記ジャーナルを前記ストレージ部に保存するファイルシステムを実行する
情報端末装置。
複数台による協調動作を行う情報端末装置の運用方法であって、
前記情報端末装置は、外部からの前記情報端末装置の操作履歴または操作結果を保存し、
自己と他の情報端末装置の前記操作履歴または操作結果を比較し、
前記比較結果を参照し、前記他の情報端末装置との協調動作の可否を判断する
情報端末装置の運用方法。
請求項13記載の情報端末装置の運用方法であって、
前記情報端末装置は、自己と協調動作を行っている前記情報端末装置から前記比較結果を集約することで協調動作状態を解析し、
前記協調動作解析結果に含まれる自己の周囲に存在する協調動作状態に応じて、接続する協調動作状態を決定する
情報端末装置の運用方法。
請求項13記載の情報端末装置の運用方法であって、
前記情報端末装置は、外部から動作変更規則が入力され、前記動作変更規則を用いて、自己の動作を変更する
情報端末装置の運用方法。
請求項13記載の情報端末装置の運用方法であって、
前記情報端末装置は、前記操作履歴をユーザごとに解析することでユーザを認識し、前記認識結果に基づき前記情報端末装置の動作を変更する
情報端末装置の運用方法。
請求項13記載の情報端末装置の運用方法であって、
前記情報端末装置は、前記操作履歴または前記操作結果を構成する要素の一部あるいは全部がユーザから隠蔽する
情報端末装置の運用方法。
請求項15記載の情報端末装置の運用方法であって、
前記情報端末装置は、認識した前記ユーザに応じて、開示する前記操作結果または操作履歴の範囲を決定する
情報端末装置の運用方法。
請求項15記載の情報端末装置の運用方法であって
前記情報端末装置は、認識した前記ユーザに応じて接続する協調動作状態を決定する
情報端末装置の運用方法。