JP2009163542A - 論理ボリュームに関する設定を制御する制御装置 - Google Patents

Abstract

【課題】論理ボリュームに記憶されるデータが破壊されない適切な設定を行えるようにする。
【解決手段】制御装置は、対象の論理ボリュームに記憶されるデータが複数のアクセス装置に使用され得るかどうかの第一の判定を行う。制御部は、前記第一の判定の結果が肯定的である場合、各アクセス装置がデータ暗号化部を備えているか否かの第二の判定を行う。制御部は、前記第二の判定の結果に基づいて、前記複数のアクセス装置のうちの一のアクセス装置に対する、前記対象の論理ボリュームに関する設定を制御する。
【選択図】図１

Description

本発明は、ストレージ装置が提供する論理ボリュームに関する設定の制御のための技術に関する。

近年、不正アクセス防止やデータ保護などデータのセキュリティ対策に関する関心が高まっている。複数の記憶メディアドライブを備えるストレージ装置には、企業の従業員の個人情報や顧客情報のような重要なデータが記憶されており、ストレージ装置に格納されるデータを保護する技術が必要とされている。特許文献１には、ストレージ装置の内部でデータの暗号化を行う技術が開示されている。特許文献１に開示の技術によれば、ストレージ装置内の記憶メディアドライブ（例えば、ハードディスクドライブ（ＨＤＤ））が盗難されても、記憶メディアドライブに記録されているデータが暗号化されているため、データ漏洩のリスクを低減することが可能となる。

特開２００５−３２２２０１号公報

複数のストレージ装置が混在するシステム構成において、複数の装置が同一のデータ（データを格納する論理ボリューム（論理ＶＯＬ））にアクセス可能な場合がある。例えば、一つの論理ＶＯＬが、複数のストレージ装置のそれぞれが備える論理ＶＯＬ（例えば、仮想的な論理ＶＯＬである仮想ＶＯＬ）に割り当てられている場合である。このような場合、共通の論理ＶＯＬ（以下、「共通論理ＶＯＬ」）が割り当てられている仮想ＶＯＬを備えるストレージ装置（以下、「共通論理ＶＯＬアクセス装置」）のそれぞれが、同一のデータ（即ち、共通論理ＶＯＬのデータ）にアクセス可能となる。

ここで、共通論理ＶＯＬアクセス装置が、共通論理ＶＯＬに格納されるデータの暗号化を行う場合、複数の共通論理ＶＯＬアクセス装置の全てが、同一の暗号方式を採用してそのデータの暗号化や復号化を行えることが必要となる。なぜなら、共通論理ＶＯＬアクセス装置のそれぞれが、異なる暗号方式を採用して共通論理ＶＯＬのデータの暗号化や復号化を行ってしまうと、共通論理ＶＯＬに格納されているデータが破壊される危険性があるからである。また、データの暗号化や復号化を行う機能（暗号化機能）を有しない共通論理ＶＯＬアクセス装置が存在してしまうと、その暗号化機能を有しない共通論理ＶＯＬアクセス装置が、共通論理ＶＯＬに格納されている暗号化されたデータに対して、平文のデータに対して行う処理と同様の処理を行ってしまう可能性がある。この場合も、上記と同様に、共通論理ＶＯＬに格納されるデータが破壊される危険性がある。

そこで、本発明の目的は、論理ボリュームに記憶されるデータが破壊されない適切な設定を行えるようにすることである。

制御装置は、対象の論理ボリュームに記憶されるデータが複数のアクセス装置に使用され得るかどうかの第一の判定を行う。制御部は、前記第一の判定の結果が肯定的である場合、各アクセス装置がデータ暗号化部を備えているか否かの第二の判定を行う。制御部は、前記第二の判定の結果に基づいて、前記複数のアクセス装置のうちの一のアクセス装置に対する、前記対象の論理ボリュームに関する設定を制御する。

実施形態１では、制御装置が、対象の論理ボリュームに記憶されるデータが複数のアクセス装置に使用され得るかどうかの第一の判定を行う第一の判定部と、前記第一の判定の結果が肯定的である場合、各アクセス装置がデータ暗号化部を備えているか否かの第二の判定を行う第二の判定部と、前記第二の判定の結果に基づいて、前記複数のアクセス装置のうちの一のアクセス装置に対する、前記対象の論理ボリュームに関する設定を制御する設定制御部とを備える。

実施形態２では、実施形態１において、制御装置が、前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記一のアクセス装置に対して行う暗号設定要求を受け付ける設定要求受付部を更に備える。前記設定制御部は、前記設定要求受信部が前記暗号設定要求を受信したとき、前記第二の判定の結果が、前記複数のアクセス装置のうちの他のアクセス装置がデータ暗号化部を備えているとの判定結果である場合に、前記一のアクセス装置及び前記他のアクセス装置に対して前記暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信する。

実施形態３では、実施形態２において、制御部が、採用可能な暗号方式を示す情報をアクセス装置ごとに記憶する記憶部を更に備える。前記第二の判定部は、各アクセス装置がデータ暗号化部を備えているか否かに加えて、前記他のアクセス装置が前記一のアクセス装置に暗号設定がなされることによって前記一のアクセス装置がデータの暗号化に採用することとなる暗号方式と同一の暗号方式を採用することができるか否かを判定する。前記設定制御部は、前記第二の判定の結果が所定の結果である場合に、前記一のアクセス装置及び前記他のアクセス装置に対して前記対象の論理ボリュームに記憶されるデータを前記同一の暗号方式を採用して暗号化することの暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信する。前記所定の結果とは、前記他のアクセス装置がデータ暗号化部を備えており、かつ、前記他のアクセス装置が、前記一のアクセス装置に暗号設定がなされることによって前記一のアクセス装置がデータの暗号化に採用することとなる暗号方式と同一の暗号方式を採用することができるとの判定結果である。

実施形態４では、実施形態１〜３のいずれかにおいて、制御装置が、第一のアクセス制御部を更に備える。前記第一のアクセス制御部は、前記第二の判定の結果が、前記他のアクセス装置がデータ暗号化部を備えていないとの判定結果である場合に、前記他のアクセス装置から前記対象の論理ボリュームへアクセスを行えなくなるようにするための処理の指示を前記他のアクセス装置へ送信する。

実施形態５では、実施形態１〜４のいずれかにおいて、制御部が、第二のアクセス制御部を更に備える。前記第二のアクセス制御部は、前記一のアクセス装置が、前記対象の論理ボリュームに記憶されているデータを暗号化している間に前記他のアクセス装置から前記対象の論理ボリュームへのアクセスを行えなくなるようにするための処理の指示を前記他のアクセス装置へ送信する。

実施形態６では、実施形態１〜５のいずれかにおいて、前記アクセス装置は、前記対象の論理ボリュームが割り当てられる仮想ボリュームを備え得る装置である。前記アクセス装置は、前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記仮想ボリュームごとに行うことができる。前記制御装置が、前記一のアクセス装置が備える前記一の仮想ボリュームに対して前記暗号設定を行うことを要求する暗号設定要求を受け付ける設定要求受付部を更に備える。前記第一の判定部は、前記対象の論理ボリュームが前記複数のアクセス装置のそれぞれが備える仮想ボリュームに割り当てられているかどうかを判定する。前記第二の判定部は、前記複数のアクセス装置のそれぞれが備える、前記対象の論理ボリュームが割り当てられた仮想ボリュームに対して、前記暗号設定を行うことが可能か否かを判定する。前記設定制御部は、前記設定要求受信部が前記暗号設定要求を受信したとき、前記第二の判定の結果が、前記複数のアクセス装置のうちの他のアクセス装置が備える、前記対象の論理ボリュームが割り当てられた他の仮想ボリュームに対して前記暗号設定を行うことが可能との判定結果である場合に、前記一の仮想ボリューム及び前記他の仮想ボリュームに対して前記暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信する。

実施形態７では、実施形態１〜５のいずれかにおいて、前記アクセス装置は、前記対象の論理ボリュームが割り当てられる仮想ボリュームを備え得る装置である。前記アクセス装置は、前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記仮想ボリュームごとに行うことができる。前記制御装置が、前記対象の論理ボリュームが割り当てられた一の仮想ボリュームを前記一のアクセス装置に作成することの仮想ボリューム作成要求を受け付ける設定要求受付部を更に備える。前記第一の判定部は、前記対象の論理ボリュームが前記複数のアクセス装置のそれぞれが備える仮想ボリュームに割り当てられているかどうかを判定する。前記第二の判定部は、前記一のアクセス装置に生成される前記一の仮想ボリュームと、前記他のアクセス装置が備える、前記対象の論理ボリュームが割り当てられた他の仮想ボリュームとに対して、前記暗号設定を行うことが可能か否かを判定する。前記設定制御部は、前記設定要求受信部が前記仮想ボリューム作成要求を受信したとき、前記第二の判定の結果が、前記一の仮想ボリュームと前記他の仮想ボリュームとに対して前記暗号設定を行うことが可能であるとの判定結果である場合に、前記一の仮想ボリュームを作成することの指示及び前記一の仮想ボリュームに対して前記暗号設定を行うことの指示を前記一のアクセス装置へ送信し、前記他の仮想ボリュームに対して前記暗号設定を行うことの指示を前記他のアクセス装置へ送信する。

上述した各部（第一の判定部、第二の判定部、設定制御部、設定要求受付部、記憶部、第一のアクセス制御部、第二のアクセス制御部）のうちの少なくとも一つは、ハードウェア、コンピュータプログラム又はそれらの組み合わせ（例えば一部をコンピュータプログラムにより実現し残りをハードウェアで実現すること）により構築することができる。コンピュータプログラムは、所定のプロセッサに読み込まれて実行される。また、コンピュータプログラムがプロセッサに読み込まれて行われる情報処理の際、適宜に、メモリ等のハードウェア資源上に存在する記憶域が使用されてもよい。また、コンピュータプログラムは、ＣＤ−ＲＯＭ等の記録媒体から計算機にインストールされてもよいし、通信ネットワークを介して計算機にダウンロードされてもよい。

以下、図面を参照しながら本発明の一実施形態について詳細に説明する。尚、本実施形態の説明では、コンピュータプログラムを主語として記述している説明文は、実際にはそのコンピュータプログラムを実行するＣＰＵによって処理が行われることを意味するものとして記述する。

図１は本実施形態に係る計算機システムの構成例を示す図である。

管理クライアント５０と管理計算機２０とホスト計算機３０とが、第一の管理ネットワーク４０Ａを介して互いに接続されている。また、管理計算機２０と複数のストレージ装置１０とが、第二の管理ネットワーク４０Ｂを介して互いに接続されている。管理ネットワーク４０（第一の管理ネットワーク４０Ａ及び第二の管理ネットワーク４０Ｂ）として、種々のネットワーク（例えば、ＬＡＮ（Local Area Network））を採用することができる。尚、第一の管理ネットワーク４０Ａと第二の管理ネットワーク４０Ｂとが、同一のネットワークであってもよい。

本実施形態では、複数のストレージ装置１０として、三つのストレージ装置（ストレージ装置Ａ、ストレージ装置Ｂ及びストレージ装置Ｃ）が考慮される。三つのストレージ装置１０のうちの一部（本実施形態では、ストレージ装置Ａ及びストレージ装置Ｂ）が、第一のデータネットワーク４１Ａを介して、ホスト計算機３０に接続される。また、ストレージ装置Ａとストレージ装置Ｂとストレージ装置Ｃとが、第二のデータネットワーク４１Ｂを介して互いに接続される。即ち、ストレージ装置Ｃは、ストレージ装置Ａ又はストレージ装置Ｂを介してホスト計算機３０と接続される。データネットワーク４１（第一のデータネットワーク４１Ａ及び第二のデータネットワーク４１Ｂ）として、種々のネットワーク（例えば、ＳＡＮ（Storage Area Network））を採用することができる。尚、第一のデータネットワーク４１Ａと第二のデータネットワーク４１Ｂとが、同一のネットワークであってもよい。また、管理ネットワーク４０とデータネットワーク４１とが、同一のネットワークであってもよい。

ホスト計算機３０は、ストレージ装置１０が提供する論理ボリューム（ＶＯＬ）１８へアクセスするコンピュータである。ホスト計算機３０は、例えば、ＣＰＵ３１と、メモリ３２と、ストレージ装置１０と接続するためのインタフェースであるホストＩ／Ｆ（インタフェース）３４と、管理クライアント５０や管理計算機２０と接続するためのインタフェースである管理Ｉ／Ｆ３３とを備える。ＣＰＵ３１、メモリ３２、管理Ｉ／Ｆ３３及びホストＩ／Ｆ３４は、例えば、バス等を介して互いに接続される。ＣＰＵ３１は、メモリ３２に記憶されている各種のプログラムを実行する演算処理装置である。メモリ３２は、いわゆる内部記憶装置であり、各種のプログラム等を記憶する不揮発性メモリ及び演算処理結果を一時的に格納する揮発性メモリの双方を含む。メモリ３２には、例えば、ストレージ装置１０が提供する論理ＶＯＬ１８へのアクセスを行う所定の業務プログラム（例えば、データベース管理システム（ＤＢＭＳ））Ｐ３０や、パス管理プログラムＰ３１等が記憶される。例えば、業務プログラムＰ３０は、そのプログラムＰ３０の実行の際に利用する種々のデータを論理ＶＯＬ１８から読み出したり、そのプログラムＰ３０の実行結果を論理ＶＯＬ１８へ書き込んだりする。パス制御プログラムＰ３１は、ストレージ装置１０に対するＩ／Ｏ要求（ライト要求やリード要求）の発行の制御を行う。また、パス制御プログラムＰ３１は、ホスト計算機３０とストレージ装置１０間のパスの切り替えをも行う。

管理計算機２０は、ホスト計算機２０やストレージ装置１０を管理するためのコンピュータである。例えば、管理計算機２０は、各装置１０，２０を制御して、各装置１０，２０に対して、ストレージ装置１０における論理ＶＯＬ１８の作成や、ホスト計算機３０から論理ＶＯＬ１８までのパスの作成や、論理ＶＯＬ１８のマイグレーションやレプリケーション等を行わせることができる。管理計算機２０は、例えば、ＣＰＵ２１と、メモリ２２と、管理クライアント５０やホスト計算機３０と接続するためのインタフェースであるフロントエンド管理Ｉ／Ｆ２３と、ストレージ装置１０と接続するためのインタフェースであるリアエンド管理Ｉ／Ｆ２４とを備える。ホスト計算機３０と同様に、ＣＰＵ２１、メモリ２２及び管理Ｉ／Ｆ２３，２４は、例えば、バス等を介して互いに接続される。ＣＰＵ３１及びメモリ２３は、ホスト計算機３０のものと実質的に同じである。メモリ３２には、例えば、ストレージ管理プログラムＰ２０等が記憶される。ストレージ管理プログラムＰ２０の詳細については後述する。

管理クライアント５０は、ユーザからの指示に従って、管理計算機２０上で動作するストレージ管理プログラムＰ２０に対して種々の要求を送信するコンピュータである。管理クライアント５０は、例えば、ＧＵＩ（Graphical User Interface）やＣＬＩ（Command Line Interface）等のユーザＩ／Ｆを備える。管理クライアント５０は、ユーザＩ／Ｆを介して、ユーザからの指示を受け付けたり、受け付けた指示に従って実行した処理の結果をユーザへ通知したりする。

ストレージ装置１０は、例えば、アレイ状に配列された多数の記憶メディアドライブ（例えば、ハードディスクドライブ（ＨＤＤ））を備えるＲＡＩＤ（Redundant Arrays of Independent （or Inexpensive） Disks）システムとすることができる。記憶メディアドライブは、ＨＤＤに限らず、他種の記憶メディアドライブ（例えばフラッシュメモリドライブ）から構成されてもよいし、複数種類の記憶メディアドライブが混在してもよい。ストレージ装置１０の内部構成の詳細については、図２を参照して説明する。

図２は、ストレージ装置１０の内部構成の一例を示す図である。

ストレージ装置１０は、そのコントローラ１１として、例えば、ＣＨＡ（Channel Adapter）１２と、ＤＫＡ（Disk Adapter）１６と、スイッチ１４と、共有メモリ１５と、キャッシュメモリ（以下、単に「キャッシュ」と言う）１７と、管理Ｉ／Ｆ１３とを備える。ストレージ装置１０のコントローラ１１によって、記憶メディアドライブ１９へのアクセスが制御される。尚、例えば、ストレージ装置１０のコントローラ１１の機能が、データネットワーク４１を構成するＦＣ（Fibre Channel）スイッチ上に搭載され、ＦＣスイッチと複数の記憶メディアドライブ１９との組み合わせによりストレージ装置１０が実現されてもよい。

ＣＨＡ１２は、ホスト計算機３０や他のストレージ装置１０等との間のデータ通信を行うものであり、一又は複数の通信ポートを備えている。ＣＨＡ１２は、図１におけるホストＩ／Ｆ１２Ａや外部接続Ｉ／Ｆ１２Ｂに相当する。ＣＨＡ１２は、ＣＰＵ１２１やメモリ１２２等を備えたマイクロコンピュータシステム（例えば、回路基盤）として構成されている。ＣＨＡ１２が備えるメモリ１２２には、例えば、ストレージ制御プログラムＰ１０が記憶される。ストレージ制御プログラムＰ１０の詳細については後述する。ＣＨＡ１２は、例えば、ホスト計算機３０からのライト要求があった場合、ライト対象のデータをキャッシュ１７に、ホスト計算機３０から受信したコマンドを共有メモリ１５にそれぞれ書き込む。また、ＣＨＡ１２は、ホスト計算機３０からのリード要求があった場合、ホスト計算機３０から受信したコマンドを共有メモリ１５に書き込み、また、ＤＫＡ１６が記憶メディアドライブ１９から読み出してキャッシュ１７に書き込んだリード対象のデータをホスト計算機３０へ送信する。

ＤＫＡ１６は、各記憶メディアドライブ１９との間のデータ授受を行うものである。各ＤＫＡ１６も、ＣＨＡ１２と同様に、ＣＰＵやメモリ等を備えたマイクロコンピュータシステムとして構成することができる。ＤＫＡ１６は、例えば、ＣＨＡ１２からキャッシュ１７に書き込まれたライト対象のデータを記憶メディアドライブ１９に書き込んだり、記憶メディアドライブ１９から読み出したリード対象のデータをキャッシュ１７に書き込んだりする。

スイッチ１４は、例えばクロスバスイッチであり、ＣＨＡ１２、ＤＫＡ１６、共有メモリ１５、キャッシュ１７及び管理Ｉ／Ｆ１３を相互に接続させる装置である。スイッチ１４に代えて、バスなどの他種の接続部が採用されてもよい。

共有メモリ１５は、例えば、不揮発または揮発の半導体メモリから構成することができる。共有メモリ１５には、例えば、ホスト計算機３０から受信した各種コマンドや、ストレージ装置１０の制御に使用される制御情報等が記憶される。コマンドや制御情報等は、複数の共有メモリ１５によって、冗長記憶されてもよい。

キャッシュ１７は、例えば、揮発または不揮発の半導体メモリから構成することができる。キャッシュ１７には、ホスト計算機３０から受信したデータや、記憶メディアドライブ１９から読み出されたデータ等が記憶される。尚、共有メモリ１５とキャッシュ１７とは、本実施形態のように、それぞれ別々のメモリとして構成されてもよいし、一つのメモリから構成されてもよい。一つのメモリから構成される場合は、例えば、メモリの一部がキャッシュ領域として使用され、同一のメモリの別の一部が共有メモリ領域として使用される。

また、ストレージ装置１０には、例えば、一以上のＲＡＩＤグループが、複数の記憶メディアドライブ１９から構成される。ＲＡＩＤグループは、例えば、ＲＡＩＤ１やＲＡＩＤ５等に基づく冗長化された記憶方式を提供する。ＲＡＩＤグループに含まれる複数の記憶メディアドライブ１９のそれぞれの記憶領域の一部ずつが割り当てられることによって、論理ＶＯＬ１８が形成される。論理ＶＯＬ１８は、ストレージ装置１０からホスト計算機３０へ提供される。

図３は、複数のストレージ装置１０のそれぞれが備える論理ＶＯＬ１８間の関係を示す図である。

ストレージ装置１０がホスト計算機３０へ提供する論理ＶＯＬ１８には、実ＶＯＬと仮想ＶＯＬとの二種類がある。本実施形態の説明において、実ＶＯＬは、その実ＶＯＬを提供するストレージ装置１０が備える記憶メディアドライブの記憶領域が割り当てられることによって形成される論理ＶＯＬである。一方、仮想ＶＯＬは、その仮想ＶＯＬを提供するストレージ装置１０以外の他のストレージ装置１０が備える記憶メディアドライブの記憶領域（即ち、他のストレージ装置１０が備える実ＶＯＬ）が割り当てられることによって形成される論理ＶＯＬである。同図の例では、実線で記されている論理ＶＯＬ１８が実ＶＯＬを示しており、破線で記されている論理ＶＯＬ１８が仮想ＶＯＬを示している。そして、二つの論理ＶＯＬ１８間を繋ぐ点線は、一方の論理ＶＯＬ１８（実ＶＯＬ）が他方の論理ＶＯＬ１８（仮想ＶＯＬ）に割り当てられていることを示している。例えば、ストレージ装置Ａが備える論理ＶＯＬ Ａ２は、ストレージ装置Ｃが備える論理ＶＯＬ Ｃ１が割り当てられることによって形成されている。以下では、割り当てられた側の論理ＶＯＬ１８（上記の例では、論理ＶＯＬ Ａ２）を「上位ＶＯＬ」と呼ぶ。反対に、割り当てる側の論理ＶＯＬ１８（上記の例では、論理ＶＯＬ Ｃ１）を「下位ＶＯＬ」と呼ぶ。更に、上位ＶＯＬを備えるストレージ装置１０を「上位装置」と呼び、下位ＶＯＬを備えるストレージ装置１０を「下位装置」と呼ぶ。

本実施形態では、或るストレージ装置１０が備える論理ＶＯＬ１８のうちの少なくとも一つが、他のストレージ装置１０が備える論理ＶＯＬ１８に割り当てられている論理ＶＯＬ１８と同一の論理ＶＯＬ１８が割り当てられることによって形成される。言い換えると、異なるストレージ装置１０のそれぞれが備える論理ＶＯＬ１８が、同一の論理ＶＯＬ１８が割り当てられることによって形成される。同図の例では、ストレージ装置Ａが備える論理ＶＯＬ Ａ３には、ストレージ装置Ｃが備える論理ＶＯＬ Ｃ２が割り当てられている。また、ストレージ装置Ｂが備える論理ＶＯＬ Ｂ１にも、ストレージ装置Ｃが備える論理ＶＯＬ Ｃ２が割り当てられている。つまり、異なるストレージ装置１０（ストレージ装置Ａ及びストレージ装置Ｂ）のそれぞれが備える論理ＶＯＬ１８（論理ＶＯＬ Ａ３及び論理ＶＯＬ Ｂ１）が、同一の論理ＶＯＬ１８（論理ＶＯＬ Ｃ２）が割り当てられることによって形成される。

また、本実施形態では、上位装置には、後述する暗号制御モジュールＭ１０２が備えられる場合がある。暗号制御モジュールＭ１０２は、論理ＶＯＬ１８に格納されるデータの暗号化や復号化の処理（以下、「暗号化処理」）を行うモジュール（サブプログラム）である。暗号化制御モジュールＭ１０２を備える上位装置は、その上位装置が備える論理ＶＯＬ１８の全部又は一部に対して、その論理ＶＯＬ１８に格納されるデータを暗号化するように設定することができる。以下、論理ＶＯＬ１８に対するデータの暗号化の設定を「暗号設定」と呼ぶ。ホスト計算機３０が、暗号設定がなされた論理ＶＯＬ１８へアクセスする際には、データの暗号化或いは復号化が行われる。同図の例で説明すると、例えば、論理ＶＯＬ Ａ１に暗号設定がなされており、ホスト計算機３０が、その論理ＶＯＬ Ａ１へデータをライトする場合は、ライト対象のデータは、ストレージ装置Ａに備えられる暗号制御モジュールＭ１０２によって暗号化された後、論理ＶＯＬ Ａ１へ書き込まれる。また、ホスト計算機３０が、その暗号設定がなされた論理ＶＯＬ Ａ１からデータを読み出す場合は、リード対象のデータは、ストレージ装置Ａに備えられる暗号制御モジュールＭ１０２によって復号化された後、ホスト計算機３０へ送信される。

暗号設定がなされた論理ＶＯＬ１８が仮想ＶＯＬの場合、暗号化されたデータは、実ＶＯＬに格納される。例えば、論理ＶＯＬ Ａ３に暗号設定がなされている場合、ストレージ装置Ａがホスト計算機３０から論理ＶＯＬ Ａ３に対するライト要求を受けると、ライト対象のデータは、ストレージ装置Ａにおいて暗号化された後、ストレージ装置Ｃの論理ＶＯＬ Ｃ２に格納される。ここで、論理ＶＯＬ Ｃ２は、ストレージ装置Ｂの論理ＶＯＬ Ｂ１の下位ＶＯＬともなっているため、論理ＶＯＬ Ｃ２のデータは、ストレージ装置Ｂからもアクセスされる可能性がある。

次に、図４乃至図８を参照して、管理計算機２０に備えられるストレージ管理プログラムＰ２０、ストレージ装置１０に備えられるストレージ制御プログラムＰ１０、及びストレージ管理プログラムＰ１０やストレージ制御プログラムＰ１０が有する各種のテーブルの詳細を説明する。尚、各図のテーブルにおいて、参照番号が付されているのは、カラム或いはフィールドを指し、カラム或いはフィールドに格納される値それ自体を指してはいない。従って、以下の説明では、カラム或いはフィールドを指す場合には、参照番号を付して説明し、カラム或いはフィールドを指しているわけではない場合には、参照番号を付さずに説明することにする。

図４は、ストレージ制御プログラムＰ１０の構成例を示す図である。

ストレージ制御プログラムＰ１０には、例えば、ストレージ制御モジュールＭ１０1や、暗号制御モジュールＭ１０２や、アクセス制御モジュールＭ１０３等の各種のサブプログラムや、ＶＯＬ管理テーブルＴ１０１や、ＶＯＬアクセス制御テーブルＴ１０２等の各種のテーブルが備えられる。

暗号制御モジュールＭ１０２は、論理ＶＯＬ１８に対する暗号化処理（論理ＶＯＬ１８に格納されるデータの暗号化や復号化の処理）を行うモジュールである。例えば、暗号制御モジュールＭ１０２は、上述したように、論理ＶＯＬ１８に書き込まれるデータの暗号化や論理ＶＯＬ１８から読み出されるデータの復号化を行う。また、暗号制御モジュールＭ１０２は、論理ＶＯＬ１８に対して暗号設定を行ったり、また、論理ＶＯＬ１８に対して設定されている暗号設定を解除したりする。暗号設定を行う際には、暗号制御モジュールＭ１０２は、その論理ＶＯＬ１８のデータの暗号化（復号化）に利用する暗号鍵の生成を行う。

アクセス制御モジュールＭ１０３は、論理ＶＯＬ１８に対するアクセスの制御を行うモジュールである。アクセス制御モジュールＭ１０３は、論理ＶＯＬ１８が、その論理ＶＯＬ１８へのアクセスが許可されている装置（ホスト計算機３０や上位装置）からだけアクセスされるように、ストレージ装置１０を制御する。このアクセスの制御には、ＶＯＬアクセス制御テーブルＴ１０２が利用される。アクセス制御モジュールＭ１０３は、ＶＯＬアクセス制御テーブルＴ１０２の更新をも行う。

ストレージ制御モジュールＭ１０１は、暗号制御モジュールＭ１０２やアクセス制御モジュールＭ１０２が行う処理を除いた、ストレージ装置１０を制御する全ての処理を行うモジュールである。

図５は、ＶＯＬ管理テーブルＴ１０１の一例を示す図である。

ＶＯＬ管理テーブルＴ１０１は、ストレージ装置１０が提供する論理ＶＯＬ１８に関する情報を管理するテーブルである。ＶＯＬ管理テーブルＴ１０１には、例えば、ＶＯＬ識別子Ｃ１１や、ＶＯＬ種別Ｃ１２や、対応暗号方式Ｃ１３や、暗号状態Ｃ１４や、暗号鍵Ｃ１５や、下位ＶＯＬ識別子Ｃ１６や、下位装置識別子Ｃ１７や、アクセス装置識別子Ｃ１８等のカラムが備えられる。

ＶＯＬ識別子Ｃ１１は、論理ＶＯＬ１８を一意に特定するための値（以下、「ＶＯＬ識別子」）を格納するためのカラムである。ＶＯＬ種別Ｃ１２は、その論理ＶＯＬ１８のＶＯＬ種別を示す値を格納するカラムである。例えば、その論理ＶＯＬ１８のＶＯＬ種別が実ＶＯＬであれば、ＶＯＬ種別Ｃ１２には“実”が、その論理ＶＯＬ１８のＶＯＬ種別が仮想ＶＯＬであれば、ＶＯＬ種別Ｃ１２には“仮想”が、それぞれ設定される。対応暗号方式Ｃ１３は、その論理ＶＯＬ１８が暗号設定された場合にその論理ＶＯＬ１８に対する暗号化処理に採用することができる暗号方式（以下、「採用可能暗号方式」）を示す値（例えば、暗号方式名等）を格納するカラムである。採用可能暗号方式が複数存在する場合は、例えば、同図のように、複数の暗号方式名がカンマで区切られて設定される。その論理ＶＯＬ１８を備えるストレージ装置１０が暗号制御モジュールＭ１０２を備えておらず、その論理ＶＯＬ１８に対する暗号設定ができない場合には、対応暗号方式Ｃ１３には、例えば、“ｎ／a”が設定される。暗号状態Ｃ１４は、その論理ＶＯＬ１８に現在採用されている暗号方式を示す値を格納するカラムである。その論理ＶＯＬ１８が、暗号設定が可能な論理ＶＯＬ１８であるが暗号設定がなされていない場合には、暗号状態Ｃ１４には“ＯＦＦ”が、その論理ＶＯＬ１８が、暗号設定ができない論理ＶＯＬ１８である場合には、暗号状態Ｃ１４には“ｎ／a”が、それぞれ設定される。暗号鍵Ｃ１５は、暗号化処理に用いられる暗号鍵（任意のコード列）を格納するカラムである。その論理ＶＯＬ１８に暗号設定がなされていない場合には、暗号鍵Ｃ１５には、“ｎ／a”が設定される。下位ＶＯＬ識別子Ｃ１６は、その論理ＶＯＬ１８の下位ＶＯＬを示すＶＯＬ識別子を格納するカラムである。下位装置識別子Ｃ１７は、その論理ＶＯＬ１８の下位ＶＯＬを備えるストレージ装置１０の識別子を格納するカラムである。アクセス装置識別子Ｃ１８は、その論理ＶＯＬ１８を利用している（その論理ＶＯＬ１８にアクセスする）装置（以下、「アクセス装置」）の識別子を格納するカラムである。本実施形態のようにストレージ装置１０に上位装置と下位装置とがある場合は、アクセス装置識別子Ｃ１８には、その論理ＶＯＬ１８が下位装置に備えられていれば、上位装置の識別子が設定され、その論理ＶＯＬ１８が上位装置に備えられていれば、ホスト計算機３０の識別子が設定される。

図６は、ＶＯＬアクセス制御テーブルＴ１０２の一例を示す図である。

ＶＯＬアクセス制御テーブルＴ１０２は、ストレージ装置１０が提供する論理ＶＯＬ１８に対してアクセス可能な装置を管理するテーブルである。ＶＯＬアクセス制御テーブルＴ１０２には、例えば、ＶＯＬ識別子Ｃ２１や、アクセス許可Ｃ２２等のカラムが備えられる。

ＶＯＬ識別子Ｃ２１は、その論理ＶＯＬ１８を示すＶＯＬ識別子を格納するカラムである。アクセス許可Ｃ２２は、その論理ＶＯＬ１８に対してアクセス可能な装置（ストレージ装置１０やホスト計算機３０）の識別子を格納するカラムである。アクセス可能な装置が複数ある場合には、それぞれの装置の識別子がカンマで区切られて設定される。例えば、図６の例では、ＶＯＬ識別子が“Ｖｏｌ１Ｃ”の論理ＶＯＬ１８に対しては、識別子が“Ｓｔｏｒａｇｅ１０Ａ”である装置からのみアクセスすることができる。

図７は、ストレージ管理プログラムＰ２０の構成例を示す図である。

ストレージ管理プログラムＰ２０には、ＶＯＬ管理モジュールＭ２０1や、パス管理モジュールＭ２０２等の各種のサブプログラムや、ＶＯＬ統合管理テーブルＴ２０１等の各種のテーブルが備えられる。

ＶＯＬ管理モジュールＭ２０1は、管理クライアント５０からの要求に応じて、ストレージ装置１０が備える論理ＶＯＬ１８に対する種々の操作を実行するモジュールである。ＶＯＬ管理モジュールＭ２０１は、管理クライアント５０からの要求を受け取ると、管理クライアント５０からの要求を実行するために、ストレージ装置１０のストレージ制御プログラムＰ１０に対して、種々の操作を行うように指示を出す。例えば、ＶＯＬ管理モジュールＭ２０１は、管理クライアント５０から論理ＶＯＬ１８に対する暗号設定の要求或いは暗号設定の解除の要求を受け取ると、指定された論理ＶＯＬ１８を備えるストレージ装置１０の暗号制御モジュールＭ１０２に対して、その論理ＶＯＬ１８に対する暗号設定或いは暗号設定の解除を行うように指示を出す。ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１の更新をも行う。

パス管理モジュールＭ２０２は、ホスト計算機３０からストレージ装置１０が提供する論理ＶＯＬ１８までのパスの切り替えや、論理ＶＯＬ１８に対するＩ／Ｏを、ホスト計算機３０で動作するパス制御プログラムＰ３１に制御させるためのモジュールである。例えば、パス管理モジュールＭ２０２は、論理ＶＯＬ１８に対して暗号設定を行う際、或いは暗号設定の解除を行う際に、その論理ＶＯＬ１８がホスト計算機３０からアクセスされないようにするために、その論理ＶＯＬ１８へのＩ／Ｏ要求の発行を保留することの指示をパス制御プログラムＰ３１に送信する。

図８は、ＶＯＬ統合管理テーブルＴ２０１の一例を示す図である。

ＶＯＬ統合管理テーブルＴ２０１は、管理計算機２０が管理する複数のストレージ装置１０が提供する論理ＶＯＬ１８に関する情報を統合して管理するテーブルである。ＶＯＬ統合管理テーブルＴ２０１は、以下の点を除き、ＶＯＬ管理テーブルＴ１０１と実質的に同じである。即ち、ＶＯＬ統合管理テーブルＴ２０１には、ストレージ識別子Ｃ３３のカラムが備えられる。ストレージ装置識別子Ｃ３３は、その論理ＶＯＬ１８を備えるストレージ装置１０の識別子を格納するカラムである。このカラムＣ３３が備えられることにより、その論理ＶＯＬ１８が、複数のストレージ装置１０のうちのどのストレージ装置１０に備えられている論理ＶＯＬ１８なのかがわかるようになる。また、ＶＯＬ統合管理テーブルＴ２０１には、ＶＯＬ管理テーブルＴ１０１における暗号鍵Ｃ１５に相当するカラムが備えられていない。これは、本実施形態において、管理計算機２０側で暗号化処理を実施することはなく、暗号鍵を常時利用することはないため、暗号鍵は、ストレージ装置１０側でのみ管理され、管理計算機２０は、必要に応じて暗号鍵をストレージ装置１０から取り出すことを意図しているからである。尚、ＶＯＬ統合管理テーブルＴ２０１に、ＶＯＬ管理テーブルＴ１０１における暗号鍵Ｃ１５に相当するカラムが備えられてもよい。

以上が、本実施形態に係る計算機システムの構成の説明である。以下、管理クライアント５０、管理計算機２０、ホスト計算機３０、及びストレージ装置１０において行われる種々の処理の流れを説明する。尚、以下の各フローチャートは、本発明の理解及び実施に必要な程度で各処理の概要を示している。従って、いわゆる当業者であれば、本発明の範囲から逸脱しない程度に、ステップの順序を変更したり、ステップを別のステップに変更等することができる。

図９は、論理ＶＯＬ１８に対して暗号設定を行う際の処理のフローチャートである。

図９の処理は、ユーザが、管理クライアント５０に対して、暗号設定の指示を行うことによって開始される。この暗号設定の指示には、そのパラメータとして、例えば、暗号設定の対象となる論理ＶＯＬ１８のＶＯＬ識別子と、その論理ＶＯＬ１８に対する暗号化処理に採用する暗号方式（以下、「指定暗号方式」）を示す値とが指定される。暗号設定の指示を受けた管理クライアント５０は、指定されたパラメータとともに、暗号設定の要求を管理計算機２０へ送信する。以下、図９〜図１４において、暗号設定の対象となる論理ＶＯＬ１８を「対象論理ＶＯＬ」と呼ぶ。

管理計算機２０が暗号設定の要求を受信すると（Ｓ１０１）、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、管理クライアント５０から通知されたＶＯＬ識別子によって示される論理ＶＯＬ１８（対象論理ＶＯＬ）について、そのＶＯＬ種別を判断する（Ｓ１０２）。

対象論理ＶＯＬのＶＯＬ種別が実ＶＯＬである場合は（Ｓ１０２ａ）、ＶＯＬ管理モジュールＭ２０１は、Ｓ１０４の処理を実行する。即ち、対象論理ＶＯＬ以外の論理ＶＯＬ１８を考慮することなく、対象論理ＶＯＬに対して暗号設定する処理（以下、「暗号設定処理」）が行われる。この処理の詳細は、後に図１０で説明する。

一方、対象論理ＶＯＬのＶＯＬ種別が仮想ＶＯＬである場合は（Ｓ１０２ｂ）、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、下位ＶＯＬが対象論理ＶＯＬの下位ＶＯＬと同じである論理ＶＯＬ１８のＶＯＬ識別子のリスト（このリストを「リストＡ」とする）を作成する（Ｓ１０３）。尚、リストＡには、対象論理ＶＯＬの識別子は含まれない。

その後、ＶＯＬ管理モジュールＭ２０１は、リストＡのサイズ（リストＡに含まれる論理ＶＯＬの識別子の数）を判定する。

リストＡのサイズが０の場合（即ち、論理ＶＯＬ１８の識別子が、リストＡに全く含まれていない場合）は（Ｓ１０３ａ）、ＶＯＬ管理モジュールＭ２０１は、Ｓ１０４の処理を実行する。即ち、対象論理ＶＯＬ以外の論理ＶＯＬ１８を考慮することなく、対象論理ＶＯＬに対して暗号設定処理が行われる。なぜなら、対象論理ＶＯＬの下位ＶＯＬが、対象論理ＶＯＬ以外の上位ＶＯＬを持たないため、対象論理ＶＯＬに暗号設定を行っても、他の論理ＶＯＬ１８が影響を受けることがないからである。

一方、リストＡのサイズが１以上の場合は（Ｓ１０３ｂ）、ＶＯＬ管理モジュールＭ２０１は、リストＡに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８のそれぞれについて、指定暗号方式が、その論理ＶＯＬ１８の採用可能暗号方式であるかどうか（言い換えれば、暗号化処理の際に指定暗号方式を採用するような暗号設定を行うことができる論理ＶＯＬ１８であるかどうか）を判定する。そして、ＶＯＬ管理モジュールＭ２０１は、指定暗号方式が採用可能暗号方式である論理ＶＯＬ１８（指定暗号方式を採用する暗号設定が可能な論理ＶＯＬ１８）のＶＯＬ識別子のリスト（リストＢ）と、指定暗号方式が採用可能暗号方式でない論理ＶＯＬ１８（指定暗号方式を採用する暗号設定ができない論理ＶＯＬ１８であり、以下、「暗号設定不可ＶＯＬ」）のＶＯＬ識別子のリスト（リストＣ）とを作成する（Ｓ１０５）。尚、リストＡの要素（ＶＯＬ識別子）は、リストＢの要素とリストＣの要素との集合となる。指定暗号方式を採用できるかどうかの判定は、指定暗号方式を示す値が、ＶＯＬ統合管理テーブルＴ２０１における対応暗号方式Ｃ３４に含まれるかどうかを確認することにより行われる。指定暗号方式を示す値が対応暗号方式Ｃ３４に含まれる場合は、指定暗号方式を採用する暗号設定が可能と判定され、逆に、その値が含まれない場合は、暗号設定ができないと判定される。

暗号設定不可ＶＯＬが存在する場合（即ち、リストＣのサイズが１以上の場合）は（Ｓ１０５ａ）、ＶＯＬ管理モジュールＭ２０１は、その暗号設定不可論理ＶＯＬへの対処処理を行う（Ｓ１０６）。即ち、ＶＯＬ管理モジュールＭ２０１は、暗号設定不可ＶＯＬ（リストＣに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８）の削除（その暗号設定不可ＶＯＬへの下位ＶＯＬ（対象論理ＶＯＬと共通の下位ＶＯＬ）の割り当ての解除）を試みる。なぜなら、対象論理ＶＯＬ１８が暗号設定される結果、暗号設定不可ＶＯＬ経由で対象論理ＶＯＬの下位ＶＯＬへのデータ書き込みが発生すると、暗号化されたデータが破壊されてしまう危険性があるためである。この処理の詳細は、後に図１１で説明する。暗号設定不可ＶＯＬへの対処処理が終了した後、ストレージ管理プログラムＰ２０は、Ｓ１０７の処理を行う。

一方、指定暗号方式を採用する暗号設定ができない論理ＶＯＬ１８がない場合（即ち、リストＣのサイズが０の場合）は（Ｓ１０５ｂ）は、ストレージ制御プログラムＰ２０は、Ｓ１０７の処理を行う。

Ｓ１０７の時点では、リストＣに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８は、削除されている。従って、この時点では、下位ＶＯＬが対象論理ＶＯＬの下位ＶＯＬと同じである論理ＶＯＬ１８は、リストＢに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８となる。以下、リストＢに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８を「下位共通論理ＶＯＬ」という。

Ｓ１０７では、パス管理モジュールＭ２０２は、対象論理ＶＯＬの下位ＶＯＬが、対象論理ＶＯＬ以外の論理ＶＯＬ１８（即ち、下位共通論理ＶＯＬ）を介してアクセスされないように、対象論理ＶＯＬの下位ＶＯＬへのアクセスを一時的に抑止する（Ｓ１０７）。これは、対象論理ＶＯＬに対する暗号設定処理中に、対象論理ＶＯＬの下位ＶＯＬがアクセスされることを防ぐためである。この処理の詳細は、後に図１２で説明する。

その後、ＶＯＬ管理モジュールＭ２０１は、対象論理ＶＯＬ及び下位共通論理ＶＯＬ（リストＢに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８）に対する暗号設定処理を行う（Ｓ１０８）。この処理の詳細は、後に図１３で説明する。

その後、ＶＯＬ管理モジュールＭ２０１は、Ｓ１０７にて開始された、対象論理ＶＯＬの下位ＶＯＬへのアクセスの一時的な抑止を解除する（Ｓ１０９）。この処理の詳細は、後に図１４で説明する。

図１０は、対象論理ＶＯＬに対する暗号設定処理のフローチャートである。

まず、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して対象論理ＶＯＬを備えるストレージ装置１０（上位装置）を特定し、その上位装置に対して暗号設定及びデータの暗号化を要求する（Ｓ２０１）。この要求とともに、暗号設定の対象となる対象論理ＶＯＬのＶＯＬ識別子と、暗号化処理に採用する暗号方式（指定暗号方式）を示す値とが、上位装置へ通知される。尚、本実施形態では、対象論理ＶＯＬが上位装置Ａに、下位共通論理ＶＯＬが上位装置Ｂに、対象論理ＶＯＬの下位ＶＯＬが下位装置Ｃに、それぞれ備えられているものとして説明する。

暗号設定及びデータの暗号化の要求を受けた上位装置Ａの暗号制御モジュールＭ１０２は、指定暗号方式に対応する暗号鍵を生成する（Ｓ２０２）。

次に、暗号制御モジュールＭ１０２は、対象論理ＶＯＬに格納されているデータを、指定暗号方式と生成した暗号鍵とを用いて暗号化する（Ｓ２０３）。

その後、暗号制御モジュールＭ１０２は、上位装置Ａが備えるＶＯＬ管理テーブルＴ１０１における、対象論理ＶＯＬの暗号状態Ｃ１４に、採用した暗号方式（指定暗号方式）を示す値を、暗号鍵Ｃ１５に、生成した暗号鍵を、それぞれ設定する（Ｓ２０４）。

上位装置Ａの暗号設定及びデータの暗号化が完了すると、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１における、対象論理ＶＯＬの暗号状態Ｃ３５に、採用した暗号方式（指定暗号方式）を示す値を設定する（Ｓ２０５）。

その後、ＶＯＬ管理モジュールＭ２０１は、対象論理ＶＯＬに対する暗号設定が正常に行われたか否かを管理クライアント５０へ通知する（Ｓ２０６）。図９の処理のいずれかの時点で障害が発生した場合、ＶＯＬ管理モジュールＭ２０１は、管理クライアント５０へエラーを通知する。

図１１は、暗号設定不可ＶＯＬへの対処処理のフローチャートである。

まず、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、対象論理ＶＯＬに対して暗号設定を行うと、暗号設定不可ＶＯＬ（リストＣに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８）が利用できなくなる旨を、管理クライアント５０へ通知する（Ｓ３０１）。

リストＣに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８が利用できなくなる旨の通知を受けた管理クライアント５０は、暗号設定を行うかどうかをユーザに確認する（Ｓ３０２）。

ユーザが、暗号設定を行わないことを管理クライアント５０へ指示した場合（暗号設定の指示がキャンセルされた場合）は（Ｓ３０２ｂ）、暗号設定が行われないまま処理が終了する（Ｓ３０３）。

一方、ユーザが、暗号設定を行うことを管理クライアント５０へ指示した場合は（Ｓ３０２ａ）、管理計算機２０のストレージ管理プログラムＰ２０に対して、処理の続行が通知される。

処理の続行の通知を受け取ると、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して暗号設定不可ＶＯＬを備えるストレージ装置１０（上位装置）を特定し、その上位装置１０に対して、その暗号設定不可ＶＯＬの削除（その暗号設定不可ＶＯＬへの下位ＶＯＬ（対象論理ＶＯＬと共通の下位ＶＯＬ）の割り当ての解除）を要求する（Ｓ３０４）。ここでは、下位共通論理ＶＯＬと同様に、暗号設定不可ＶＯＬが、上位装置Ｂに備えられているものとして説明する。

暗号設定不可ＶＯＬの削除要求を受けた上位装置Ｂのストレージ制御モジュールＭ１０１は、暗号設定不可ＶＯＬを削除し、ＶＯＬ管理テーブルＴ１０１からその削除した暗号設定不可ＶＯＬに関する情報を削除する（Ｓ３０５）。

暗号設定不可ＶＯＬの削除が終了すると、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１から、削除した暗号設定不可ＶＯＬに関する情報を削除する（Ｓ３０６）。

次に、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、対象論理ＶＯＬの下位ＶＯＬが属するストレージ装置１０（本例では、下位装置Ｃ）を特定する。そして、ＶＯＬ管理モジュールＭ２０１は、その下位装置Ｃに対して、削除した暗号設定不可ＶＯＬを備える上位装置Ｂから対象論理ＶＯＬの下位ＶＯＬへアクセスできないような内容にアクセス制御テーブルＴ１０２を更新することの要求を送信する（Ｓ３０７）。具体的には、対象論理ＶＯＬの下位ＶＯＬに対応する上位装置Ｂの識別子を対象論理ＶＯＬの下位ＶＯＬのアクセス許可Ｃ２２から削除することの要求を送信する。

アクセス制御テーブルＴ１０２の更新の要求（Ｓ３０７で発行された要求）を受けた下位装置Ｃは、アクセス制御テーブルＴ１０２における、対象論理ＶＯＬの下位ＶＯＬのアクセス許可Ｃ２２から、削除した暗号設定不可ＶＯＬを備える上位装置（本例では、上位装置Ｂ）を示す識別子を削除する（Ｓ３０８）。

暗号設定不可ＶＯＬが複数存在する場合には、そのＶＯＬの全てに対してＳ３０４〜Ｓ３０８の処理が、繰返して実行される。

その後、ストレージ管理プログラムＰ２０は、Ｓ１０７の処理を実行する。

図１２は、対象論理ＶＯＬの下位ＶＯＬへのアクセスを一時的に抑止する処理のフローチャートである。

本処理は、対象論理ＶＯＬに対する暗号設定処理中に、対象論理ＶＯＬの下位ＶＯＬが、下位共通論理ＶＯＬを介してアクセスされることを防ぐために実施される。また、アクセスが抑止された経路を利用したホスト計算機３０からのＩ／Ｏ要求の発行が一時的に保留されるように、ホスト計算機３０における制御（Ｉ／Ｏ要求発行の保留の制御）も行われる。なぜなら、下位共通論理ＶＯＬから下位ＶＯＬへのアクセスを抑止した状態で、ホスト計算機３０からのＩ／Ｏ要求が発行されると、ホスト計算機３０へエラーが通知され、ホスト計算機３０で不必要なエラー処理が行われてしまう可能性があるためである。尚、Ｉ／Ｏ要求発行の保留の制御（Ｓ４０１〜Ｓ４０３の処理）は、必ずしも行われなくともよい。

まず、管理計算機２０のパス管理モジュールＭ２０２は、ＶＯＬ統合管理テーブルＴ２０１を参照して下位共通論理ＶＯＬ（リストＢに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８）に対するアクセス装置の識別子を取得する（Ｓ４０１）。

下位共通論理ＶＯＬに対するアクセス装置としてホスト計算機３０が設定されていない場合は（Ｓ４０１ｂ）、パス管理モジュールＭ２０２は、Ｓ４０４の処理を行う。

一方、下位共通論理ＶＯＬに対するアクセス装置としてホスト計算機３０が設定されている場合は（Ｓ４０１ａ）、パス管理モジュールＭ２０２は、そのアクセス装置（ホスト計算機３０）のパス制御プログラムＰ３１に対して、下位共通論理ＶＯＬへのＩ／Ｏ要求の発行を保留することの指示を出す（Ｓ４０２）。

Ｉ／Ｏ要求の発行を保留することの指示（Ｓ４０２で出された指示）を受けたホスト計算機３０のパス制御プログラムＰ３１は、パス管理モジュールＭ２０２からの指示に従い、下位共通論理ＶＯＬへのＩ／Ｏ要求が生じた場合にその発行を一時的に保留するように動作を切り替える（Ｓ４０３）。

下位共通論理ＶＯＬが複数存在する場合（リストＢのサイズが１以上の場合）は、全ての下位共通論理ＶＯＬに対してＳ４０１〜Ｓ４０３の処理が、繰返して実行される。

その後、パス管理モジュールＭ２０２は、ＶＯＬ統合管理テーブルＴ２０１を参照して、対象論理ＶＯＬの下位ＶＯＬを備えるストレージ装置１０（本例では、下位装置Ｃ）を特定する。そして、パス管理モジュールＭ２０２は、その下位装置Ｃに対して、対象論理ＶＯＬ以外の論理ＶＯＬ１８（即ち、下位共通論理ＶＯＬ）を介した、対象論理ＶＯＬの下位ＶＯＬへのアクセスを一時的に抑止することの指示を出す（Ｓ４０４）。

アクセス抑止の指示（Ｓ４０４で出された指示）を受けた下位装置Ｃのアクセス制御モジュールＭ１０３は、ＶＯＬアクセス制御テーブルＴ１０１における、対象論理ＶＯＬの下位ＶＯＬのアクセス許可Ｃ２２から、対象論理ＶＯＬを備える上位装置（本例では、上位装置Ａ）以外のストレージ装置（下位共通論理ＶＯＬを備える上位装置であり、本例では、上位装置Ｂ）の識別子を削除する（Ｓ４０５）。

その後、ストレージ管理プログラムＰ２０は、Ｓ１０８の処理を実行する。

尚、図１２の処理では、ホスト計算機３０のパス制御プログラムＰ３０側で一時的にＩ／Ｏ要求の発行を保留するようにしているが、ストレージ装置１０側（ホスト計算機３０からＩ／Ｏ要求を受ける上位装置側）でホスト計算機３０からのＩ／Ｏ要求に対する処理を保留するようにしてもよい。この場合、ＶＯＬ管理モジュールＭ２０１は、対応する上位装置のストレージ制御モジュールＭ１０１（本例では、上位装置Ｂ）に対して、ホスト計算機３０からのＩ／Ｏ要求に対する処理を保留するように指示する。

図１３は、対象論理ＶＯＬ及び下位共通論理ＶＯＬに対する暗号設定処理のフローチャートである。

まず、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、対象論理ＶＯＬを備えるストレージ装置１０（本例では、上位装置Ａ）を特定し、その上位装置Ａに対して暗号設定及びデータの暗号化と、暗号化に利用した暗号鍵の取得とを要求する（Ｓ５０１）。図１０におけるＳ２０１と同様に、この要求とともに、暗号設定の対象となる対象論理ＶＯＬのＶＯＬ識別子と、暗号化処理に採用する暗号方式（指定暗号方式）を示す値とが、上位装置Ａへ通知される。

暗号設定及びデータの暗号化の要求（Ｓ５０１で発行された要求）を受けた上位装置Ａの暗号制御モジュールＭ１０２は、指定暗号方式に対応する暗号鍵を生成する（Ｓ５０２）。

次に、暗号制御モジュールＭ１０２は、対象論理ＶＯＬに格納されているデータを、指定暗号方式と生成した暗号鍵とを用いて暗号化する（Ｓ５０３）。

その後、暗号制御モジュールＭ１０２は、上位装置Ａが備えるＶＯＬ管理テーブルＴ１０１における、対象論理ＶＯＬの暗号状態Ｃ１４に、採用した暗号方式（指定暗号方式）を示す値を、暗号鍵Ｃ１５に、生成した暗号鍵を、それぞれ設定する（Ｓ５０４）。

その後、暗号制御モジュールＭ１０２は、暗号化処理に用いた暗号鍵を、管理計算機２０のＶＯＬ管理モジュールＭ２０１へ通知する（Ｓ５０５）。

次に、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、下位共通論理ＶＯＬを備える上位装置（本例では、上位装置Ｂ）に対して、下位共通論理ＶＯＬに対する暗号設定を要求する（Ｓ５０６）。この要求とともに、暗号設定の対象となる下位共通論理ＶＯＬのＶＯＬ識別子と、暗号化処理に採用する暗号方式（指定暗号方式）を示す値と、暗号化処理に用いる暗号鍵（Ｓ５０５において上位装置Ａから通知された暗号鍵）とが、上位装置Ｂへ通知される。

暗号設定の要求（Ｓ５０６で発行された要求）を受けた上位装置Ｂの暗号制御モジュールＭ１０２は、上位装置Ｂが備えるＶＯＬ管理テーブルＴ１０１における、下位共通論理ＶＯＬの暗号状態Ｃ１４に、管理計算機２０から通知された暗号方式（指定暗号方式）を示す値を、暗号鍵Ｃ１５に、管理計算機２０から通知された暗号鍵を、それぞれ設定する（Ｓ５０７）。これにより、上位装置Ｂ側において、上位装置Ａによって暗号設定された下位ＶＯＬを読み書きする準備が整う。

上位装置Ａの暗号設定及びデータの暗号化と上位装置Ｂの暗号設定が完了すると、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１における、対象論理ＶＯＬ及び下位共通論理ＶＯＬの暗号状態Ｃ３５に、採用した暗号方式（指定暗号方式）を示す値を設定する（Ｓ５０８）。

下位共通論理ＶＯＬが複数存在する場合（リストＢのサイズが１以上の場合）は、全ての下位共通論理ＶＯＬに対してＳ５０６〜Ｓ５０８の処理が、繰返して実行される。

その後、ストレージ管理プログラムＰ２０は、Ｓ１０９の処理を実行する。

図１４は、対象論理ＶＯＬの下位ＶＯＬへのアクセスの一時的な抑止を解除する処理のフローチャートである。

まず、管理計算機２０のパス管理モジュールＭ２０２は、ＶＯＬ統合管理テーブルＴ２０１を参照して、対象論理ＶＯＬの下位ＶＯＬを備えるストレージ装置１０（本例では、下位装置Ｃ）を特定する。そして、パス管理モジュールＭ２０２は、その下位装置Ｃに対して、対象論理ＶＯＬ以外の論理ＶＯＬ１８（即ち、下位共通論理ＶＯＬ）を介した、対象論理ＶＯＬの下位ＶＯＬへのアクセスの一時的な抑止を解除することの指示を出す（Ｓ６０１）。この指示とともに、下位共通論理ＶＯＬを備えるストレージ装置１０の識別子のリスト（即ち、リストＢ）が、下位装置Ｃへ通知される。

アクセス抑止の解除の指示（Ｓ６０１で出された指示）を受けた下位装置Ｃのアクセス制御モジュールＭ１０３は、ＶＯＬアクセス制御テーブルＴ１０１における、対象論理ＶＯＬの下位ＶＯＬのアクセス許可Ｃ２２に、通知されたリストＢに含まれるストレージ装置１０の識別子を追加する（Ｓ６０２）。

次に、パス管理モジュールＭ２０２は、ＶＯＬ統合管理テーブルＴ２０１を参照して下位共通論理ＶＯＬ（リストＢに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８）に対するアクセス装置の識別子を取得する（Ｓ６０３）。

下位共通論理ＶＯＬに対するアクセス装置としてホスト計算機３０が設定されていない場合は（Ｓ６０３ｂ）、パス管理モジュールＭ２０２は、Ｓ６０６の処理を行う。

一方、下位共通論理ＶＯＬに対するアクセス装置としてホスト計算機３０が設定されている場合は（Ｓ６０３ａ）、パス管理モジュールＭ２０２は、そのアクセス装置（ホスト計算機３０）のパス制御プログラムＰ３１に対して、下位共通論理ＶＯＬへのＩ／Ｏ要求の発行の保留を解除することの指示を出す（Ｓ６０４）。

Ｉ／Ｏ要求の発行の保留を解除することの指示（Ｓ６０４で出された指示）を受けたホスト計算機３０のパス制御プログラムＰ３１は、パス管理モジュールＭ２０２からの指示に従い、下位共通論理ＶＯＬへのＩ／Ｏ要求の発行の保留を解除するように動作を切り替える（Ｓ６０５）。

下位共通論理ＶＯＬが複数存在する場合（リストＢのサイズが１以上の場合）は、全ての下位共通論理ＶＯＬに対してＳ６０３〜Ｓ６０５の処理が、繰返して実行される。尚、図１２におけるＳ４０１〜Ｓ４０３の処理が行われていない場合は、図１４におけるＳ６０３〜Ｓ６０５の処理も、行われなくともよい。

その後、ＶＯＬ管理モジュールＭ２０１は、対象論理ＶＯＬに対する暗号設定が正常に行われたか否かを管理クライアント５０へ通知する（Ｓ６０６）。図９の処理のいずれかの時点で障害が発生した場合、ＶＯＬ管理モジュールＭ２０１は、管理クライアント５０へエラーを通知する。

図１５は、論理ＶＯＬ１８に対する暗号設定の解除を行う際の処理のフローチャートである。

図１５の暗号設定の解除の処理は、ユーザが、管理クライアント５０に対して、暗号設定の解除の指示を行うことによって開始される。この暗号設定の解除の指示には、そのパラメータとして、例えば、暗号設定の解除の対象となる論理ＶＯＬ１８のＶＯＬ識別子と、その論理ＶＯＬ１８の暗号化処理に採用する暗号方式（以下、「指定暗号方式」）を示す値とが指定される。暗号設定の指示を受けた管理クライアント５０は、指定されたパラメータとともに、暗号設定の要求を管理計算機２０へ送信する。以下、図１５〜図１７において、暗号設定の解除の対象となる論理ＶＯＬ１８を「対象論理ＶＯＬ」と呼ぶ。

管理計算機２０が暗号設定の解除の要求を受信すると（Ｓ７０１）、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、管理クライアント５０から通知されたＶＯＬ識別子によって示される論理ＶＯＬ１８（対象論理ＶＯＬ）について、そのＶＯＬ種別を判断する（Ｓ７０２）。

対象論理ＶＯＬのＶＯＬ種別が実ＶＯＬである場合は（Ｓ７０２ａ）、ＶＯＬ管理モジュールＭ２０１は、Ｓ７０４の処理を実行する。即ち、対象論理ＶＯＬ以外の論理ＶＯＬ１８を考慮することなく、対象論理ＶＯＬに対して暗号設定を解除する処理（以下、「暗号設定解除処理」）が行われる。この処理の詳細は、後に図１６で説明する。

一方、対象論理ＶＯＬのＶＯＬ種別が仮想ＶＯＬである場合は（Ｓ７０２ｂ）、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、下位共通論理ＶＯＬのＶＯＬ識別子のリスト（リストＢ）を作成する（Ｓ７０３）。

その後、パス管理モジュールＭ２０２は、対象論理ＶＯＬの下位ＶＯＬが、対象論理ＶＯＬ以外の論理ＶＯＬ１８（即ち、下位共通論理ＶＯＬ）を介してアクセスされないように、対象論理ＶＯＬの下位ＶＯＬへのアクセスを一時的に抑止する（Ｓ７０５）。Ｓ７０５では、図１２における処理と実質的に同じ処理が行われる。

その後、ＶＯＬ管理モジュールＭ２０１は、対象論理ＶＯＬ及び下位共通論理ＶＯＬ（リストＢに含まれるＶＯＬ識別子によって示される論理ＶＯＬ１８）に対する暗号設定解除処理を行う（Ｓ７０６）。この処理の詳細は、後に図１７で説明する。

その後、パス管理モジュールＭ２０２は、Ｓ７０５にて開始された、対象論理ＶＯＬの下位ＶＯＬへのアクセスの一時的な抑止を解除する（Ｓ７０７）。Ｓ７０７では、図１４における処理と実質的に同じ処理が行われる。

図１６は、対象論理ＶＯＬに対する暗号設定解除処理のフローチャートである。

まず、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して対象論理ＶＯＬを備えるストレージ装置１０（上位装置）を特定し、その上位装置に対してデータの復号化及び暗号設定の解除を要求する（Ｓ８０１）。この要求とともに、暗号設定の解除の対象となる対象論理ＶＯＬのＶＯＬ識別子が、上位装置へ通知される。尚、暗号設定解除処理（図１６及び図１７の処理）の説明では、暗号設定処理の場合と同様に、対象論理ＶＯＬが上位装置Ａに、下位共通論理ＶＯＬが上位装置Ｂに、対象論理ＶＯＬの下位ＶＯＬが下位装置Ｃに、それぞれ備えられているものとして説明する。

データの復号化及び暗号設定の解除の要求（Ｓ８０１で発行された要求）を受けた上位装置Ａの暗号制御モジュールＭ１０２は、上位装置Ａが備えるＶＯＬ管理テーブルＴ１０１から、対象論理ＶＯＬの暗号方式を示す値と暗号鍵を取得し、その取得した値が示す暗号方式と取得した暗号鍵とを用いて、対象論理ＶＯＬに格納されているデータを復号化する（Ｓ８０２）。

その後、暗号制御モジュールＭ１０２は、上位装置Ａが備えるＶＯＬ管理テーブルＴ１０１における、対象論理ＶＯＬの暗号状態Ｃ１４を“ＯＦＦ”に、暗号鍵Ｃ１５を“ｎ／ａ”に、それぞれ変更する（Ｓ８０３）。

上位装置Ａのデータ復号化及び暗号設定の解除が完了すると、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１における、対象論理ＶＯＬの暗号状態Ｃ３５を“ＯＦＦ”に変更する（Ｓ８０４）。

その後、ＶＯＬ管理モジュールＭ２０１は、対象論理ＶＯＬに対する暗号設定の解除が正常に行われたか否かを管理クライアント５０へ通知する（Ｓ８０５）。図１５の処理のいずれかの時点で障害が発生した場合、ＶＯＬ管理モジュールＭ２０１は、管理クライアント５０へエラーを通知する。

図１７は、対象論理ＶＯＬ及び下位共通論理ＶＯＬに対する暗号設定解除処理のフローチャートである。

まず、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、対象論理ＶＯＬを備えるストレージ装置１０（本例では、上位装置Ａ）を特定し、その上位装置Ａに対してデータの復号化及び暗号設定の解除を要求する（Ｓ９０１）。図１６におけるＳ５０１と同様に、この要求とともに、暗号設定の対象となる対象論理ＶＯＬのＶＯＬ識別子が、上位装置Ａへ通知される。

データの復号化及び暗号設定の解除の要求（Ｓ９０１で発行された要求）を受けた上位装置Ａの暗号制御モジュールＭ１０２は、上位装置Ａが備えるＶＯＬ管理テーブルＴ１０１から、対象論理ＶＯＬの暗号方式を示す値と暗号鍵を取得し、その取得した値が示す暗号方式と取得した暗号鍵とを用いて、対象論理ＶＯＬに格納されているデータを復号化する（Ｓ９０２）。

その後、暗号制御モジュールＭ１０２は、上位装置Ａが備えるＶＯＬ管理テーブルＴ１０１における、対象論理ＶＯＬの暗号状態Ｃ１４を“ＯＦＦ”に、暗号鍵Ｃ１５を“ｎ／ａ”に、それぞれ変更する（Ｓ９０３）。

次に、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、下位共通論理ＶＯＬを備える上位装置（本例では、上位装置Ｂ）に対して、下位共通論理ＶＯＬに対する暗号設定の解除を要求する（Ｓ９０４）。この要求とともに、暗号設定の対象となる下位共通論理ＶＯＬのＶＯＬ識別子が、上位装置Ｂへ通知される。

暗号設定の解除の要求（Ｓ９０４で発行された要求）を受けた上位装置Ｂの暗号制御モジュールＭ１０２は、上位装置Ｂが備えるＶＯＬ管理テーブルＴ１０１における、下位共通論理ＶＯＬの暗号状態Ｃ１４を“ＯＦＦ”に、暗号鍵Ｃ１５を“ｎ／ａ”に、それぞれ変更する（Ｓ９０５）。

上位装置Ａのデータの復号化及び暗号設定の解除と上位装置Ｂの暗号設定の解除が完了すると、管理計算機２０のＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１における、対象論理ＶＯＬ及び下位共通論理ＶＯＬの暗号状態Ｃ１４を“ＯＦＦ”に変更する（Ｓ９０６）。

下位共通論理ＶＯＬが複数存在する場合（リストＢのサイズが１以上の場合）は、全ての下位共通論理ＶＯＬに対してＳ９０４〜Ｓ９０６の処理が、繰返して実行される。

その後、ストレージ管理プログラムＰ２０は、Ｓ７０７の処理を実行する。

図１８は、ストレージ装置１０がホスト計算機３０からライト要求を受信した際の処理のフローチャートである。

ストレージ装置１０（上位装置）がホスト計算機３０からライト要求を受信すると（Ｓ１００１）、上位装置のストレージ制御モジュールＭ１０１は、ＶＯＬ管理テーブルＴ１０１を参照し、ライト対象の論理ＶＯＬ１８の暗号状態Ｃ１４に設定されている値を取得する（Ｓ１００２）。ストレージ制御モジュールＭ１０１は、その取得した値を判断する。

暗号状態Ｃ１４に“ＯＦＦ”が設定されている場合（Ｓ１００２ａ）、ストレージ制御モジュールＭ１０１は、ライト要求とともに受信したライト対象のデータを、そのままライト対象の論理ＶＯＬ１８へ書き込む（Ｓ１００４）。

一方、暗号状態Ｃ１４に“ＯＦＦ”以外の値が設定されている場合（Ｓ１００２ｂ）、暗号制御モジュールＭ１０２は、ライト要求とともに受信したライト対象のデータを、暗号状態Ｃ１４に設定されている暗号方式と暗号鍵Ｃ１５に設定されている暗号鍵を用いて暗号化する（Ｓ１００３）。

その後、ストレージ制御モジュールＭ１０１は、その暗号化済みのデータをライト対象の論理ＶＯＬ１８へ書き込む（Ｓ１００４）。

以上の処理により、ライト対象の論理ＶＯＬ１８に対して暗号設定がなされている場合には、ライト対象のデータは、暗号化された後、ライト対象の論理ＶＯＬ１８へ書き込まれることになる。

図１９は、ストレージ装置１０がホスト計算機３０からリード要求を受信した際の処理のフローチャートである。

ストレージ装置１０（上位装置）がホスト計算機３０からリード要求を受信すると（Ｓ１１０１）、上位装置のストレージ制御モジュールＭ１０１は、リード対象の論理ＶＯＬ１８からリード対象のデータを読み出す（Ｓ１１０２）。

次に、ストレージ制御モジュールＭ１０１は、ＶＯＬ管理テーブルＴ１０１を参照し、リード対象の論理ＶＯＬ１８の暗号状態Ｃ１４に設定されている値を取得する（Ｓ１１０３）。ストレージ制御モジュールＭ１０１は、その取得した値を判断する。

暗号状態Ｃ１４に“ＯＦＦ”が設定されている場合（Ｓ１１０３ａ）は、ストレージ制御モジュールＭ１０１は、リード対象の論理ＶＯＬ１８から読み出したデータを、そのままホスト計算機３０へ送信する（Ｓ１１０５）。

一方、暗号状態Ｃ１４に“ＯＦＦ”以外の値が設定されている場合（Ｓ１１０３ｂ）、ストレージ制御モジュールＭ１０１は、リード対象の論理ＶＯＬ１８から読み出したデータを、暗号状態Ｃ１４に設定されている暗号方式と暗号鍵Ｃ１５に設定されている暗号鍵を用いて復号化する（Ｓ１１０４）。

その後、ストレージ制御モジュールＭ１０１は、その復号化済のデータをホスト計算機３０へ送信する（Ｓ１１０５）。

以上の処理により、リード対象の論理ＶＯＬ１８に対して暗号設定がなされている場合には、リード対象のデータは、リード対象の論理ＶＯＬ１８から読み出されて復号化された後、ホスト計算機３０へ送信されることになる。

図２０は、上位装置のいずれかに新たな仮想ＶＯＬを作成する際の処理のフローチャートである。

図２０の仮想ＶＯＬの新規作成の処理は、ユーザが、管理クライアント５０に対して、仮想ＶＯＬの新規作成の指示を行うことによって開始される。この仮想ＶＯＬの新規作成の指示には、そのパラメータとして、例えば、仮想ＶＯＬを作成する上位装置の識別子と、その仮想ＶＯＬに割り当てる実ＶＯＬのＶＯＬ識別子（その実ＶＯＬを備える下位装置の識別子も含む）と、その仮想ＶＯＬに対する暗号化処理に採用される暗号方式を示す値とが指定される。仮想ＶＯＬの新規作成の指示を受けた管理クライアント５０は、指定されたパラメータとともに、仮想ＶＯＬの新規作成の要求を管理計算機２０へ送信する。以下、図２０において、新規に作成される仮想ＶＯＬを「新規作成ＶＯＬ」と呼び、新規作成ＶＯＬが作成されることとなる上位装置を「指定上位装置」とよび、新規作成ＶＯＬに対する暗号化処理に採用される暗号方式を「指定暗号方式」と呼ぶ。また、図２０において、新規作成ＶＯＬに割り当てられる実ＶＯＬを「指定下位ＶＯＬ」と呼び、指定下位ＶＯＬを下位ＶＯＬとする、新規作成ＶＯＬ以外の論理ＶＯＬ１８を「下位共通論理ＶＯＬ」と呼ぶ。

管理計算機２０が仮想ＶＯＬの新規作成の要求を受信すると（Ｓ１２０１）、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１を参照して、指定下位ＶＯＬを下位ＶＯＬとする、新規作成ＶＯＬ以外の論理ＶＯＬ１８（即ち、下位共通論理ＶＯＬ）が存在するかどうかを判断する（Ｓ１２０２）。

下位共通論理ＶＯＬが存在しない場合は（Ｓ１２０２ａ）、ＶＯＬ管理モジュールＭ２０１は、指定上位装置に対して、新規作成ＶＯＬの作成、その作成した新規作成ＶＯＬに対する暗号設定、及び、その作成した新規作成ＶＯＬに格納されるデータの暗号化を指示する。この指示とともに、指定下位ＶＯＬのＶＯＬ識別子と、新規作成ＶＯＬに対する暗号化処理に採用される暗号方式（ここでは、指定暗号方式）を示す値とが、指定上位装置へ通知される。

ＶＯＬ管理モジュールＭ２０１から指示（新規作成ＶＯＬの作成、その作成した新規作成ＶＯＬに対する暗号設定、及び、その作成した新規作成ＶＯＬに格納されるデータの暗号化の指示）を受けた指定上位装置のストレージ制御モジュールＭ１０１は、指定下位ＶＯＬを割り当てることによって新規作成ＶＯＬを作成する（Ｓ１２０３）。Ｓ１２０３において、新規作成ＶＯＬに関する情報が、ＶＯＬ管理テーブルＴ１０１に登録される。

その後、指定上位装置の暗号制御モジュールＭ１０２は、Ｓ１２０３で作成した新規作成ＶＯＬに対する暗号設定処理を行う（Ｓ１２０４）。Ｓ１２０３では、図１０におけるＳ２０２〜Ｓ２０４の処理と実質的に同じ処理が行われる。尚、図１０におけるＳ２０５と同様に、ＶＯＬ統合管理テーブルＴ２０１の更新も行われる。その後、Ｓ１２０９の処理が行われる。

一方、下位共通論理ＶＯＬが存在する場合は（Ｓ１２０２ｂ）、ＶＯＬ管理モジュールＭ２０１は、ＶＯＬ統合管理テーブルＴ２０１から、下位共通論理ＶＯＬに現在設定されている暗号方式（以下、「設定済み暗号方式」）を示す値を取得する。そして、ＶＯＬ管理モジュールＭ２０１は、その取得した暗号方式（設定済み暗号方式）とユーザが指定した暗号方式（指定暗号方式）とが同一か否かを判定する（Ｓ１２０５）。

設定済み暗号方式と指定暗号方式とが同一である場合は（Ｓ１２０５ａ）、ＶＯＬ管理モジュールＭ２０１は、下位共通論理ＶＯＬを備える上位装置から、下位共通論理ＶＯＬに対する暗号化処理に用いられる暗号鍵を取得する（Ｓ１２０６）。そして、ＶＯＬ管理モジュールＭ２０１は、指定上位装置に対して、新規作成ＶＯＬの作成、及び、その作成した新規作成ＶＯＬに対する暗号設定を指示する。この指示とともに、指定下位ＶＯＬのＶＯＬ識別子と、新規作成ＶＯＬに対する暗号化処理に採用される暗号方式（ここでは、指定暗号方式）を示す値と、下位共通論理ＶＯＬを備える上位装置から取得した暗号鍵とが、指定上位装置へ通知される。

ＶＯＬ管理モジュールＭ２０１から指示（新規作成ＶＯＬの作成、及び、その作成した新規作成ＶＯＬに対する暗号設定の指示）を受けた指定上位装置のストレージ制御モジュールＭ１０１は、指定下位ＶＯＬを割り当てることによって新規作成ＶＯＬを作成する（Ｓ１２０７）。Ｓ１２０７において、新規作成ＶＯＬに関する情報が、ＶＯＬ管理テーブルＴ１０１に登録される。

その後、指定上位装置の暗号制御モジュールＭ１０２は、ＶＯＬ管理テーブルＴ１０１における、新規作成ＶＯＬの暗号状態Ｃ１４に、管理計算機２０から通知された暗号方式を示す値を、暗号鍵Ｃ１５に、下位共通論理ＶＯＬを備える上位装置から取得した暗号鍵を、それぞれ設定する（Ｓ１２０８）。

Ｓ１２０９では、指定下位ＶＯＬを備える下位装置のアクセス制御モジュールＭ１０３が、指定上位装置が指定下位ＶＯＬにアクセスできるような内容に、ＶＯＬアクセス制御テーブルＴ１０２を更新する。具体的には、アクセス制御モジュールＭ１０３は、ＶＯＬアクセス制御テーブルＴ１０２における、指定下位ＶＯＬのアクセス許可Ｃ２２に、指定上位装置の識別子を追加する。

一方、設定済み暗号方式と指定暗号方式とが異なる場合は（Ｓ１２０５ｂ）、ユーザが指定した指定暗号方式をそのまま適用すると元のデータが破壊されてしまうおそれがあるため、次のように処理される。

即ち、ＶＯＬ管理モジュールＭ２０１は、新規作成ＶＯＬに対する暗号化処理に設定済み暗号方式を採用することができるか否かを判定する（Ｓ１２１０）。

設定済み暗号方式を採用できる場合は（Ｓ１２１０ａ）、Ｓ１２０６〜Ｓ１２０９と同様の処理が行われる。この際、新規作成ＶＯＬの暗号化処理に採用される暗号方式は、ユーザから指定された指定暗号方式ではなく、下位共通論理ＶＯＬに設定されている設定済み暗号方式とされる。即ち、ＶＯＬ管理モジュールＭ２０１は、指定上位装置に対して、新規作成ＶＯＬの作成、及び、その作成した新規作成ＶＯＬに対する暗号設定を指示する際に、その指示とともに、新規作成ＶＯＬに対する暗号化処理に採用することとなる設定済み暗号方式を、指定上位装置へ通知する。

一方、設定済み暗号方式を採用できない場合は（Ｓ１２１０ｂ）、ＶＯＬ管理モジュールＭ２０１は、新規作成ＶＯＬを作成できない旨を管理クライアント５０へ通知する（Ｓ１２１１）。

尚、本実施形態では、設定済み暗号方式と指定暗号方式とが異なる場合、設定済み暗号方式が採用されるようにしているが、必ずしもこのようにする必要はない。例えば、採用する暗号方式を変更するかどうかユーザに確認し、ユーザが、再度、採用する暗号方式を指定してもよい。

図２０の処理が行われることにより、新規作成ＶＯＬに割り当てられる下位ＶＯＬ（指定下位ＶＯＬ）を下位ＶＯＬとする既存の論理ＶＯＬ１８（下位共通論理ＶＯＬ）が存在する場合、新規作成ＶＯＬ及び下位共通論理ＶＯＬに対して、同一の暗号方式と暗号鍵とが設定されるように調整される。これにより、新規作成ＶＯＬに割り当てられる指定下位ＶＯＬに格納されているデータが、破壊されることを防ぐことが可能となる。

上述した本発明の幾つかの実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。本発明は、その要旨を逸脱することなく、その他の様々な態様でも実施することができる。

本実施形態では、複数の上位装置に備えられるそれぞれの論理ＶＯＬ１８が、同一の論理ＶＯＬ１８を下位ＶＯＬとしている場合を例に挙げて説明したが、これとは異なる構成であってもよい。例えば、複数の上位装置に備えられるそれぞれの論理ＶＯＬ１８間で同期コピーが行われている構成でもよい。コピーペアの関係にある論理ＶＯＬ１８のそれぞれのデータが同一に保たれるので、実質的に、同一のデータが複数の装置からアクセスされているものと考えることができるからである。

また、複数の上位装置のそれぞれが一つの下位装置の論理ＶＯＬ１８にアクセスする場合の例を説明したが、上位装置をホスト計算機３０やＮＡＳヘッド等に置き変えてもよい。この場合、本実施形態における仮想ＶＯＬが、ホスト計算機３０の実ＶＯＬ或いはＮＡＳヘッドが利用する論理ＶＯＬ１８に相当し、暗号制御モジュールＭ１０２が、ホスト計算機３０上或いはＮＡＳヘッドで動作するプログラムとなる。

また、本実施形態では、論理ＶＯＬ１８単位に暗号設定が可能であるが、ストレージ装置１０で一つの設定とするなど、別の粒度で暗号設定が行われてもよい。

また、本実施形態では、暗号設定時及び暗号設定の解除時のみ説明したが、暗号鍵を再生成する場合にも適用できる。暗号鍵の再生成時は、新たに暗号化処理が行われる、暗号設定時と同様の処理が実施される。

また、本実施形態では、複数の論理ＶＯＬ１８（仮想ＶＯＬ）に割り当てられる論理ＶＯＬ１８（実ＶＯＬ）が下位装置に備えられているが、複数の論理ＶＯＬ１８（仮想ＶＯＬ）を備える上位装置のいずれかに備えられてもよい。

本実施形態に係る計算機システムの構成例を示す図である。 ストレージ装置の内部構成の一例を示す図である。 複数のストレージ装置のそれぞれが備える論理ＶＯＬ間の関係を示す図である。 ストレージ制御プログラムの構成例を示す図である。 ＶＯＬ管理テーブルの一例を示す図である。 ＶＯＬアクセス制御テーブルの一例を示す図である。 ストレージ管理プログラムの構成例を示す図である。 ＶＯＬ統合管理テーブルの一例を示す図である。 論理ＶＯＬに対して暗号設定を行う際の処理のフローチャートである。 対象論理ＶＯＬに対する暗号設定処理のフローチャートである。 暗号設定不可ＶＯＬへの対処処理のフローチャートである。 対象論理ＶＯＬの下位ＶＯＬへのアクセスを一時的に抑止する処理のフローチャートである。 対象論理ＶＯＬ及び下位共通論理ＶＯＬに対する暗号設定処理のフローチャートである。 対象論理ＶＯＬの下位ＶＯＬへのアクセスの一時的な抑止を解除する処理のフローチャートである。 論理ＶＯＬに対する暗号設定の解除を行う際の処理のフローチャートである。 対象論理ＶＯＬに対する暗号設定解除処理のフローチャートである。 対象論理ＶＯＬ及び下位共通論理ＶＯＬに対する暗号設定解除処理のフローチャートである。 ストレージ装置がホスト計算機からライト要求を受信した際の処理のフローチャートである。 ストレージ装置がホスト計算機からリード要求を受信した際の処理のフローチャートである。 上位装置のいずれかに新たな仮想ＶＯＬを作成する際の処理のフローチャートである。

符号の説明

１０…ストレージ装置、２０…管理計算機、３０…ホスト計算機、４０…管理ネットワーク、４１…データネットワーク、５０…管理クライアント

Claims (14)

1. 対象の論理ボリュームに記憶されるデータが複数のアクセス装置に使用され得るかどうかの第一の判定を行う第一の判定部と、
   前記第一の判定の結果が肯定的である場合、各アクセス装置がデータ暗号化部を備えているか否かの第二の判定を行う第二の判定部と、
   前記第二の判定の結果に基づいて、前記複数のアクセス装置のうちの一のアクセス装置に対する、前記対象の論理ボリュームに関する設定を制御する設定制御部と、
   を備える制御装置。
2. 前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記一のアクセス装置に対して行う暗号設定要求を受け付ける設定要求受付部、を更に備え、
   前記設定制御部は、前記設定要求受信部が前記暗号設定要求を受信したとき、前記第二の判定の結果が、前記複数のアクセス装置のうちの他のアクセス装置がデータ暗号化部を備えているとの判定結果である場合に、前記一のアクセス装置及び前記他のアクセス装置に対して前記暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信する、
   請求項１記載の制御装置。
3. 採用可能な暗号方式を示す情報をアクセス装置ごとに記憶する記憶部を更に備え、
   前記第二の判定部は、各アクセス装置がデータ暗号化部を備えているか否かに加えて、前記他のアクセス装置が前記一のアクセス装置に暗号設定がなされることによって前記一のアクセス装置がデータの暗号化に採用することとなる暗号方式と同一の暗号方式を採用することができるか否かを判定し、
   前記設定制御部は、前記第二の判定の結果が所定の結果である場合に、前記一のアクセス装置及び前記他のアクセス装置に対して前記対象の論理ボリュームに記憶されるデータを前記同一の暗号方式を採用して暗号化することの暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信し、
   前記所定の結果とは、前記他のアクセス装置がデータ暗号化部を備えており、かつ、前記他のアクセス装置が、前記一のアクセス装置に暗号設定がなされることによって前記一のアクセス装置がデータの暗号化に採用することとなる暗号方式と同一の暗号方式を採用することができるとの判定結果である、
   請求項２記載の制御装置。
4. 第一のアクセス制御部を更に備え、
   前記第一のアクセス制御部は、前記第二の判定の結果が、前記他のアクセス装置がデータ暗号化部を備えていないとの判定結果である場合に、前記他のアクセス装置から前記対象の論理ボリュームへアクセスを行えなくなるようにするための処理の指示を前記他のアクセス装置へ送信する、
   請求項１〜３のいずれか１項に記載の制御装置。
5. 第二のアクセス制御部を更に備え、
   前記第二のアクセス制御部は、前記一のアクセス装置が、前記対象の論理ボリュームに記憶されているデータを暗号化している間に前記他のアクセス装置から前記対象の論理ボリュームへのアクセスを行えなくなるようにするための処理の指示を前記他のアクセス装置へ送信する、
   請求項１〜４のいずれか１項に記載の制御装置。
6. 前記アクセス装置は、前記対象の論理ボリュームが割り当てられる仮想ボリュームを備え得る装置であり、
   前記アクセス装置は、前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記仮想ボリュームごとに行うことができ、
   前記制御装置が、
   前記一のアクセス装置が備える前記一の仮想ボリュームに対して前記暗号設定を行うことを要求する暗号設定要求を受け付ける設定要求受付部を更に備え、
   前記第一の判定部は、前記対象の論理ボリュームが前記複数のアクセス装置のそれぞれが備える仮想ボリュームに割り当てられているかどうかを判定し、
   前記第二の判定部は、前記複数のアクセス装置のそれぞれが備える、前記対象の論理ボリュームが割り当てられた仮想ボリュームに対して、前記暗号設定を行うことが可能か否かを判定し、
   前記設定制御部は、前記設定要求受信部が前記暗号設定要求を受信したとき、前記第二の判定の結果が、前記複数のアクセス装置のうちの他のアクセス装置が備える、前記対象の論理ボリュームが割り当てられた他の仮想ボリュームに対して前記暗号設定を行うことが可能との判定結果である場合に、前記一の仮想ボリューム及び前記他の仮想ボリュームに対して前記暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信する、
   請求項１〜５のいずれか１項に記載の制御装置。
7. 前記アクセス装置は、前記対象の論理ボリュームが割り当てられる仮想ボリュームを備え得る装置であり、
   前記アクセス装置は、前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記仮想ボリュームごとに行うことができ、
   前記制御装置が、
   前記対象の論理ボリュームが割り当てられた一の仮想ボリュームを前記一のアクセス装置に作成することの仮想ボリューム作成要求を受け付ける設定要求受付部を更に備え、
   前記第一の判定部は、前記対象の論理ボリュームが前記複数のアクセス装置のそれぞれが備える仮想ボリュームに割り当てられているかどうかを判定し、
   前記第二の判定部は、前記一のアクセス装置に生成される前記一の仮想ボリュームと、前記他のアクセス装置が備える、前記対象の論理ボリュームが割り当てられた他の仮想ボリュームとに対して、前記暗号設定を行うことが可能か否かを判定し、
   前記設定制御部は、前記設定要求受信部が前記仮想ボリューム作成要求を受信したとき、前記第二の判定の結果が、前記一の仮想ボリュームと前記他の仮想ボリュームとに対して前記暗号設定を行うことが可能であるとの判定結果である場合に、前記一の仮想ボリュームを作成することの指示及び前記一の仮想ボリュームに対して前記暗号設定を行うことの指示を前記一のアクセス装置へ送信し、前記他の仮想ボリュームに対して前記暗号設定を行うことの指示を前記他のアクセス装置へ送信する、
   請求項１〜５のいずれか１項に記載の制御装置。
8. 対象の論理ボリュームに記憶されるデータが複数のアクセス装置に使用され得るかどうかの第一の判定を行い、
   前記第一の判定の結果が肯定的である場合、各アクセス装置がデータ暗号化部を備えているか否かの第二の判定を行い、
   前記第二の判定の結果に基づいて、前記複数のアクセス装置のうちの一のアクセス装置に対する、前記対象の論理ボリュームに関する設定を制御する、
   を備える制御方法。
9. 前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記一のアクセス装置に対して行う暗号設定要求を受け付け、
   前記暗号設定要求を受信したとき、前記第二の判定の結果が、前記複数のアクセス装置のうちの他のアクセス装置がデータ暗号化部を備えているとの判定結果である場合に、前記一のアクセス装置及び前記他のアクセス装置に対して前記暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信する、
   請求項８記載の制御方法。
10. 採用可能な暗号方式を示す情報をアクセス装置ごとに記憶する記憶し、
    前記第二の判定は、各アクセス装置がデータ暗号化部を備えているか否かと、前記他のアクセス装置が前記一のアクセス装置に暗号設定がなされることによって前記一のアクセス装置がデータの暗号化に採用することとなる暗号方式と同一の暗号方式を採用することができるか否かとの判定であり、
    前記第二の判定の結果が所定の結果である場合に、前記一のアクセス装置及び前記他のアクセス装置に対して前記対象の論理ボリュームに記憶されるデータを前記同一の暗号方式を採用して暗号化することの暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信し、
    前記所定の結果とは、前記他のアクセス装置がデータ暗号化部を備えており、かつ、前記他のアクセス装置が、前記一のアクセス装置に暗号設定がなされることによって前記一のアクセス装置がデータの暗号化に採用することとなる暗号方式と同一の暗号方式を採用することができるとの判定結果である、
    請求項９記載の制御方法。
11. 前記第二の判定の結果が、前記他のアクセス装置がデータ暗号化部を備えていないとの判定結果である場合に、前記他のアクセス装置から前記対象の論理ボリュームへアクセスを行えなくなるようにするための処理の指示を前記他のアクセス装置へ送信する、
    請求項８〜１０のいずれか１項に記載の制御方法。
12. 前記一のアクセス装置が、前記対象の論理ボリュームに記憶されているデータを暗号化している間に前記他のアクセス装置から前記対象の論理ボリュームへのアクセスを行えなくなるようにするための処理の指示を前記他のアクセス装置へ送信する、
    請求項８〜１１のいずれか１項に記載の制御方法。
13. 前記アクセス装置は、前記対象の論理ボリュームが割り当てられる仮想ボリュームを備え得る装置であり、
    前記アクセス装置は、前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記仮想ボリュームごとに行うことができ、
    前記第一の判定は、前記対象の論理ボリュームが前記複数のアクセス装置のそれぞれが備える仮想ボリュームに割り当てられているかどうかの判定であり、
    前記第二の判定は、前記複数のアクセス装置のそれぞれが備える、前記対象の論理ボリュームが割り当てられた仮想ボリュームに対して、前記暗号設定を行うことが可能か否かを判定であり、
    前記一のアクセス装置が備える前記一の仮想ボリュームに対して前記暗号設定を行うことを要求する暗号設定要求を受け付け、
    前記暗号設定要求を受信したとき、前記第二の判定の結果が、前記複数のアクセス装置のうちの他のアクセス装置が備える、前記対象の論理ボリュームが割り当てられた他の仮想ボリュームに対して前記暗号設定を行うことが可能との判定結果である場合に、前記一の仮想ボリューム及び前記他の仮想ボリュームに対して前記暗号設定を行うことの指示を、前記一のアクセス装置及び前記他のアクセス装置へ送信する、
    請求項８〜１２のいずれか１項に記載の制御方法。
14. 前記アクセス装置は、前記対象の論理ボリュームが割り当てられる仮想ボリュームを備え得る装置であり、
    前記アクセス装置は、前記対象の論理ボリュームに記憶されるデータを暗号化することの暗号設定を前記仮想ボリュームごとに行うことができ、
    前記第一の判定は、前記対象の論理ボリュームが前記複数のアクセス装置のそれぞれが備える仮想ボリュームに割り当てられているかどうかを判定であり、
    前記第二の判定は、前記一のアクセス装置に生成される前記一の仮想ボリュームと、前記他のアクセス装置が備える、前記対象の論理ボリュームが割り当てられた他の仮想ボリュームとに対して、前記暗号設定を行うことが可能か否かを判定であり、
    前記対象の論理ボリュームが割り当てられた一の仮想ボリュームを前記一のアクセス装置に作成することの仮想ボリューム作成要求を受け付け、
    前記仮想ボリューム作成要求を受信したとき、前記第二の判定の結果が、前記一の仮想ボリュームと前記他の仮想ボリュームとに対して前記暗号設定を行うことが可能であるとの判定結果である場合に、前記一の仮想ボリュームを作成することの指示及び前記一の仮想ボリュームに対して前記暗号設定を行うことの指示を前記一のアクセス装置へ送信し、前記他の仮想ボリュームに対して前記暗号設定を行うことの指示を前記他のアクセス装置へ送信する、
    請求項８〜１３のいずれか１項に記載の制御方法。

Images