JP2010282373A - 災害対策システムおよび災害対策方法 - Google Patents

Abstract

【課題】ミッションクリティカルなコンピュータシステムについて、迅速で確実な災害復旧と効率的なセキュリティ対策とを両立する。
【解決手段】上位装置からの書込データを暗号化プロセッサ１０８で暗号化し書込処理する手段１１０と、格納データを所定時間毎に第２ディスク制御装置２００にリモートコピーする手段１１１と、データ書込ログをログ発生毎に第２ディスク制御装置２００にリモートコピーする手段１１２とを備える第１ディスク制御装置１００と、前記リモートコピーで得た格納データおよびデータ書込ログを記憶装置に格納する手段２１０と、代替対応指示を受信し前記格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させる手段２１１と、上位装置からの書込データを暗号化プロセッサで暗号化し復旧後の格納データに対し書込処理する手段２１２とを備える第２ディスク制御装置２００とから災害対策システム１０を構成する。
【選択図】図１

Description

本発明は、災害対策システムおよび災害対策方法に関するものであり、具体的には、ミッションクリティカルなコンピュータシステムについて、迅速で確実な災害復旧と効率的なセキュリティ対策とを両立する技術に関する。

金融機関等の公共性が高い組織においては、災害復旧（ディザスタリカバリ）対応を考慮に入れ、高い信頼性、可用性を発揮する、いわゆるミッションクリティカルなコンピュータシステムが必要とされている。もしこうした金融機関等の基幹システムに故障や処理エラー、或いはセキュリティ上の問題が生じれば、自社業務が中断するのみならず、顧客の信用失墜や損失を招来する恐れがある。そこでこうした状況に対応する技術として、例えば、プライマリサイトにおける記憶装置のデータの複製を、前記プライマリサイトとは遠隔地にあるリモートサイトの記憶装置に格納して管理する、いわゆるリモートコピーなどの技術が知られている（特許文献１参照）などが提案されている。

特開２００３−１２２５０９号公報

災害発生に伴って災害対策用コンピュータ（前記リモートサイト）を、金融機関等の基幹システムなど現用コンピュータ（前記プライマリサイト）の代替システムとしてすぐさま利用するためには、現用コンピュータから災害対策用コンピュータへのリモートコピーを高頻度ないしリアルタイムに行っておく必要がある。しかし、現用コンピュータでのディスクＩ／Ｏや、前記コンピュータ間を結ぶネットワークの回線トラフィックが大きくなれば、災害対策用コンピュータでの格納待ちのデータが増大してキャッシュメモリがオーバーフローするなどし、ひいては現用コンピュータの処理速度の低下等を招く恐れがある。

また、金融機関等のコンピュータシステムで管理するデータは、顧客の個人情報や金融資産、与信状況などセキュリティ面で十分な配慮が必要なデータが多い。そのため、前記現用コンピュータや災害対策用コンピュータで扱うデータについても、暗号化するなどして良好なセキュリティ性を確保して取り扱う必要がある。しかしながら、上記したような従来の災害対策用のコンピュータシステムにおいては効率的なセキュリティ対策が採用されていなかった。

そこで本発明は上記課題を鑑みてなされたものであり、ミッションクリティカルなコンピュータシステムについて、迅速で確実な災害復旧と効率的なセキュリティ対策とを両立する技術の提供を主たる目的とする。

上記課題を解決する本発明の災害対策システムは、ハードディスクなどの記憶装置を配下に備えたディスク制御装置群からなるコンピュータシステムである。前記ディスク制御装置群は、金融機関等で通常業務を処理する第１ディスク制御装置と、この第１ディスク制御装置のバックアップ装置であり、災害発生時には前記第１ディスク制御装置に代わって通常業務を処理する本番機となる第２ディスク制御装置とを含んでいる。これら第１および第２ディスク制御装置は、それぞれチャネルエクステンダを備えており、ネットワークを介して互いに通信可能である（チャネルエクステンダを用いたディスク制御装置同士の通信手法については既存のものを利用すればよい）。

前記第１ディスク制御装置は、記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し記憶装置に書込処理する手段を備えている。

また、前第１ディスク制御装置は、前記記憶装置の格納データをチャネルエクステンダを介して所定時間毎に第２ディスク制御装置にリモートコピーする手段を備えている。

また、前記第１ディスク制御装置は、前記記憶装置へのデータ書込ログをチャネルエクステンダを介してログ発生毎に第２ディスク制御装置にリモートコピーする手段を備えている。

また、前記第２ディスク制御装置は、前記第１ディスク制御装置からのリモートコピーで得た前記格納データおよび前記データ書込ログを記憶装置に格納する手段を備えている。

また、前記第２ディスク制御装置は、前記第１ディスク制御装置での障害発生に伴う代替対応指示をチャネルアダプタを介して他端末より受信し、前記第１ディスク制御装置から得ている前記格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させる手段を備えている。

また、前記第２ディスク制御装置は、記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し、前記復旧後の格納データに対し書込処理する手段を備えている。

なお、前記第２ディスク制御装置は、前記第１ディスク制御装置からリモートコピーで得た前記格納データを、前記所定時間毎に記憶媒体にバックアップする手段を備えるとしてもよい。この場合、前記第２ディスク制御装置は、格納データのリモートコピーを前記第１ディスク制御装置から受けている際に、障害発生に伴う代替対応指示をチャネルアダプタを介して他端末より受信した場合、直近版の格納データを前記記憶媒体から読み出し、この直近版格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させる手段を備える。

また、本発明の災害対策方法は、第１ディスク制御装置が、記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し記憶装置に書込処理し、前記記憶装置の格納データをチャネルエクステンダを介して所定時間毎に第２ディスク制御装置にリモートコピーし、前記記憶装置へのデータ書込ログをチャネルエクステンダを介してログ発生毎に第２ディスク制御装置にリモートコピーし、前記第２ディスク制御装置が、前記第１ディスク制御装置からのリモートコピーで得た前記格納データおよび前記データ書込ログを記憶装置に格納し、前記第１ディスク制御装置での障害発生に伴う代替対応指示をチャネルアダプタを介して他端末より受信し、前記第１ディスク制御装置から得ている前記格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させ、記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し、前記復旧後の格納データに対し書込処理する、ことを特徴とする。

なお、前記暗号化プロセッサは、例えば前記第２ディスク制御装置において、前記第１ディスク制御装置から得ている前記格納データに対し前記データ書込ログを適用する際、一旦、前記格納データにおける該当データ（＝前記データ書込ログに対応する箇所）を復号化するとしてもよい。第２ディスク制御装置は、この復号化されたデータに前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させる。またこの復旧後、前記暗号化プロセッサは前記該当データについて再び暗号化する。こうしたデータ書込ログを適用する際の復号化や暗号化の処理は、前記記憶媒体から読み出す直近版の格納データに対して行う場合も同様である。

本発明によれば、ミッションクリティカルなコンピュータシステムについて、迅速で確実な災害復旧と効率的なセキュリティ対策とを両立できる。

本実施形態における災害対策システムを含むネットワーク全体の構成例を示す図である。 本実施形態におけるデータ遷移例１を示すイメージ図である。 本実施形態におけるデータ遷移例２を示すイメージ図である。 本実施形態におけるデータ遷移例３を示すイメージ図である。 本実施形態における災害対策方法の処理手順例１を示すフロー図である。 本実施形態におけるデータ遷移例４を示すイメージ図である。 本実施形態における災害対策方法の処理手順例２を示すフロー図である。 本実施形態におけるデータ遷移例５を示すイメージ図である。 本実施形態における災害対策方法の処理手順例３を示すフロー図である。

−−−システム構成−−−
以下に本発明の実施形態について図面を用いて詳細に説明する。
図１は、本実施形態の災害対策システム１０を含むネットワーク構成図である。図１に示す災害対策システム１０（以下、システム１０）は、ミッションクリティカルなコンピュータシステムについて、迅速で確実な災害復旧と効率的なセキュリティ対策とを両立するコンピュータシステムである。前記災害対策システム１０は、金融機関等で通常に業務処理を実行する現用ディスク制御装置１００（第１ディスク制御装置）と、この現用ディスク制御装置１００のバックアップ装置であり、災害発生時には前記現用ディスク制御装置１００に代わって通常業務を処理する本番機となる災害対策ディスク制御装置２００（第２ディスク制御装置）とを含んでいる。以後、前記現用ディスク制御装置１００を現用ＤＫＣ１００、前記災害対策ディスク制御装置２００を、災対ＤＫＣ２００と称する。

前記現用ＤＫＣ１００および災対ＤＫＣ２００は、それぞれ通信インターフェースとしてチャネルエクステンダ１０７、２０７を備えており、ネットワーク３０を介して互いに通信可能である（チャネルエクステンダを用いたディスク制御装置同士の通信手法については既存のものを利用すればよい）。また、前記現用ＤＫＣ１００は配下に記憶デバイス５０を、前記災対ＤＫＣ２００は配下に記憶デバイス６０を備えており、ディスク制御装置と記憶デバイスとからなるディスクアレイ装置と見ることもできる。

また本実施形態における前記ネットワーク構成には、前記現用ＤＫＣ１００および災対ＤＫＣ２００の他に、一例としてクライアントＰＣ１１、プリンタ（図中のPRT）１２、および記憶媒体たる磁気テープ記憶装置（図中のLTO）１３などの周辺機器と、アプリケーションサーバ等の上位装置１、２、他端末たる管理者端末４０（ディスク装置群の管理者が利用する端末）、管理サーバ７０などが含まれている。前記上位装置１、２らは、ＳＣＳＩやファイバーチャネルなどのインタフェースを介して前記現用ＤＫＣ１００や災対ＤＫＣ２００に接続されている。また、前記上位装置１、２らは、例えば、アプリケーションソフトウエアを備えて、銀行の自動預金預け払いシステムや航空機の座席予約システムといった機能を提供するサーバ装置を想定できる。また、前記周辺機器らは、例えば、前記上位装置１、２、管理サーバ７０や管理端末４０と結ばれている。

前記現用ＤＫＣ１００は、ＣＰＵや上位装置１らとの間の入出力インタフェース（いずれも図示しない）を備えるのは勿論のこと、キャッシュメモリ１０２、共有メモリ１０３、キャッシュ制御やデータ転送制御などを行うチャネルアダプタ（ＣＨＡと記載）１０４、記憶デバイス５０への入出力制御を行うディスクアダプタ（ＤＫＡと記載）１０５、チャネルエクステンダ１０７などを備えている（以下、災対ＤＫＣ２００についても同様である）。この現用ＤＫＣ１００は、前記上位装置１からの要求に応じて共有メモリ１０３等に記録した各種制御情報を、各装置等を接続するバス１０６を介して記憶デバイス５０の各ディスクアダプタ１０５に伝達し記憶装置群５１の制御を実行する。なお、前記の制御情報は、実際にはチャネルアダプタ１０４やディスクアダプタ１０５の備えるプロセッサで使用される。

記憶デバイス５０（記憶装置）は、例えばハードディスク装置であり、図中には複数のハードディスク装置からなるハードディスク装置群５１を例示している。これらのハードディスク装置群５１はＳＣＳＩなどのインタフェースを介して前記現用ＤＫＣ１００のディスクアダプタ１０５に接続する。現用ＤＫＣ１００は、これら複数台のハードディスク装置の記憶エリアを用いて編成される論理ユニット（後述する正・副のボリューム、ＵＲ受信ボリュームなど）、およびこの論理ユニット内に区画されたデータブロックを用いて記憶装置により提供される記憶エリアの管理を行っている。なお、論理ユニットはＬＵＮ（Logical Unit Number）で識別され、また、データブロックはブロックアドレスで指定される。

また、前記キャッシュメモリ１０２は、主としてチャネルアダプタ１０４とディスクアダプタ１０５との間で授受されるデータを一時的に記憶するために用いられる。例えばチャネルアダプタ１０４が上位装置１から受信したデータ入出力コマンドが書き込みコマンドである場合には、チャネルアダプタ１０４は上位装置１から受信した書き込みデータをキャッシュメモリ１０２に書き込む。またディスクアダプタ１０５はキャッシュメモリ１０２から書き込みデータを読み出して記憶デバイス５０に書き込む。

また、前記ディスクアダプタ１０５は、チャネルアダプタ１０４により共有メモリ１０３に書き込まれたデータＩ／Ｏ要求を読み出してそのデータＩ／Ｏ要求に設定されているコマンド（例えば、ＳＣＳＩ（Small Computer System Interface）規格のコマンド）に従って記憶デバイス５０にデータの書き込みや読み出しなどの処理を実行する。前記ディスクアダプタ１０５は記憶デバイス５０から読み出したデータをキャッシュメモリ１０２に書き込む。またデータの書き込み完了通知や読み出し完了通知などをチャネルアダプタ１０４に送信する。ディスクアダプタ１０５は、記憶デバイス５０をいわゆるＲＡＩＤ（Redundant Array of Inexpensive Disks）方式に規定されるＲＡＩＤレベル（例えば、０，１，５）で制御する機能を備えることもある。

また、前記チャネルエクステンダ１０７は、前記現用ＤＫＣ１００が災対ＤＫＣ２００との間でデータ伝送するための通信インタフェースであり、後述するリモートコピーにおける複製データの伝送はこのチャネルエクステンダ１０７を介して行われる。当該チャネルエクステンダ１０７は、チャネルアダプタ１０４のインタフェース（例えば、Ｆｉｂｒｅ Ｃｈａｎｎｅｌ、ＥＳＣＯＮ（登録商標）、ＦＩＣＯＮ（登録商標）などのインタフェース）を前記ネットワーク３０の通信方式に変換する。これにより現用ＤＫＣ１００と災対ＤＫＣ２００との間でのデータ伝送が実現される。

また、前記共有メモリ１０３はチャネルアダプタ１０４とディスクアダプタ１０５の両方からアクセスが可能である。データ入出力要求コマンドの受け渡しに利用される他、現用ＤＫＣ１００や記憶デバイス５０の管理情報等が記憶される。

続いて、前記システム１０を構成する、前記現用ＤＫＣ１００および災対ＤＫＣ２００らが、例えばプログラムに基づき記憶装置にて構成・保持する機能部につき説明を行う。前記現用ＤＫＣ１００は、前記記憶デバイス５０への書込データを暗号化する暗号化プロセッサ１０８を備え、チャネルアダプタ１０４で受けた上位装置１からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサ１０８で暗号化し記憶デバイス５０に書込処理する書込手段１１０を備える。この書込手段１１０は、前記現用ＤＫＣ１００ないし前記ディスクアダプタ１０５のプロセッサがＲＯＭ（現用ＤＫＣ１００ないしディスクアダプタ１０５が備えるもの）や共有メモリ１０３などに格納しているプログラムを実行することで実現するものとできる。図１では、前記書込手段１１０に対応するプログラムを前記共有メモリ１０３に格納している場合を例示した。勿論、前記書込手段１１０に対応するプログラムを前記ディスクアダプタ１０５のＲＯＭに格納しているとしてもよい。

また、前記現用ＤＫＣ１００は、前記記憶デバイス５０の格納データをチャネルエクステンダ１０７を介して所定時間毎に災対ＤＫＣ２００にリモートコピーするデータコピー手段１１１を備える。このデータコピー手段１１１は、前記現用ＤＫＣ１００ないし前記チャネルアダプタ１０４のプロセッサがＲＯＭ（現用ＤＫＣ１００ないしチャネルアダプタ１０４が備えるもの）や共有メモリ１０３などに格納しているプログラムを実行することで実現するものとできる。図１では、前記データコピー手段１１１に対応するプログラムを前記共有メモリ１０３に格納している場合を例示した。勿論、前記データコピー手段１１１に対応するプログラムを前記チャネルアダプタ１０４のＲＯＭに格納しているとしてもよい。

また、前記現用ＤＫＣ１００は、前記記憶デバイス５０へのデータ書込ログをチャネルエクステンダ１０７を介してログ発生毎に災対ＤＫＣ２００にリモートコピーするログコピー手段１１２を備える。このログコピー手段１１２は、前記現用ＤＫＣ１００ないし前記チャネルアダプタ１０４のプロセッサがＲＯＭ（現用ＤＫＣ１００ないしチャネルアダプタ１０４が備えるもの）や共有メモリ１０３などに格納しているプログラムを実行することで実現するものとできる。図１では、前記ログコピー手段１１２に対応するプログラムを前記共有メモリ１０３に格納している場合を例示した。勿論、前記ログコピー手段１１２はに対応するプログラムを前記チャネルアダプタ１０４のＲＯＭに格納しているとしてもよい。

一方、前記災対ＤＫＣ２００は、前記現用ＤＫＣ１００からのリモートコピーで得た前記格納データおよび前記データ書込ログを記憶デバイス６０に格納するデータ取得手段２１０を備える。このデータ取得手段２１０は、前記災対ＤＫＣ２００、前記チャネルアダプタ２０４、および前記ディスクアダプタ２０５のいずれかのプロセッサがＲＯＭ（災対ＤＫＣ２００、チャネルアダプタ２０４、ディスクアダプタ２０５のいずれかが備えるもの）や共有メモリ２０３などに格納しているプログラムを実行することで実現するものとできる。図１では、前記データ取得手段２１０に対応するプログラムを前記共有メモリ２０３に格納している場合を例示した。勿論、前記データ取得手段２１０に対応するプログラムを前記チャネルアダプタ１０４ないしディスクアダプタ１０５のＲＯＭに格納しているとしてもよい。

また、前記災対ＤＫＣ２００は、前記現用ＤＫＣ１００での障害発生に伴う代替対応指示をチャネルアダプタ２０７を介して管理者端末４０より受信し、前記現用ＤＫＣ１００から得ている前記格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させるデータ復旧手段２１１を備える。このデータ復旧手段２１１は、前記災対ＤＫＣ２００、前記チャネルアダプタ２０４、および前記ディスクアダプタ２０５のいずれかのプロセッサがＲＯＭ（災対ＤＫＣ２００、チャネルアダプタ２０４、ディスクアダプタ２０５のいずれかが備えるもの）や共有メモリ２０３などに格納しているプログラムを実行することで実現するものとできる。図１では、前記データ復旧手段２１１に対応するプログラムを前記共有メモリ２０３に格納している場合を例示した。勿論、前記データ復旧手段２１１に対応するプログラムを前記チャネルアダプタ１０４ないしディスクアダプタ１０５のＲＯＭに格納しているとしてもよい。

また、前記災対ＤＫＣ２００は、前記記憶デバイス６０への書込データを暗号化する暗号化プロセッサ２０８を備え、チャネルアダプタ２０４で受けた上位装置２からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサ２０８で暗号化し、前記復旧後の格納データに対し書込処理する書込手段２１２を備える。この書込手段２１２は、前記災対ＤＫＣ２００ないし前記ディスクアダプタ２０５のいずれかのプロセッサがＲＯＭ（災対ＤＫＣ２００ないしディスクアダプタ２０５のいずれかが備えるもの）や共有メモリ２０３などに格納しているプログラムを実行することで実現するものとできる。図１では、前記書込手段手段２１２に対応するプログラムを前記共有メモリ２０３に格納している場合を例示した。勿論、前記書込手段２１２に対応するプログラムを前記ディスクアダプタ１０５のＲＯＭに格納しているとしてもよい。

なお、前記災対ＤＫＣ２００は、前記現用ＤＫＣ１００からリモートコピーで得た前記格納データを、前記所定時間毎に前記記憶媒体２３（例：磁気テープ記憶装置など）にバックアップする媒体書込手段２１３を備えるとしてもよい。本実施形態では、一例として、前記媒体書込手段２１３が、前記管理サーバ７５に対し所定時間毎に前記格納データを含むバックアップ指示を送信し、前記管理サーバ７５が記憶媒体２３に前記格納データを書込処理する状況を想定した。前記媒体書込手段２１３は、前記災対ＤＫＣ２００、前記チャネルアダプタ２０４、および前記ディスクアダプタ２０５のいずれかのプロセッサがＲＯＭ（災対ＤＫＣ２００、チャネルアダプタ２０４、ディスクアダプタ２０５のいずれかが備えるもの）や共有メモリ２０３などに格納しているプログラムを実行することで実現するものとできる。図１では、前記媒体書込取得手段２１３に対応するプログラムを前記共有メモリ２０３に格納している場合を例示した。勿論、前記媒体書込手段２１３に対応するプログラムを前記チャネルアダプタ１０４ないしディスクアダプタ１０５のＲＯＭに格納しているとしてもよい。

この場合の前記災対ＤＫＣ２００のデータ復旧手段２１１は、格納データのリモートコピーを前記現用ＤＫＣ１００から受けている際に、障害発生に伴う代替対応指示をチャネルアダプタ２０７を介して管理者端末４５より受信した場合、直近版の格納データを前記記憶媒体２３から読み出し、この直近版格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させる。本実施形態では、一例として、前記データ復旧手段２１１が前記管理サーバ７５に対し前記直近版の格納データを要求し、前記管理サーバ７５が前記記憶媒体２３から該当データを読み出してデータ復旧手段２１１に返信する状況を想定した。

なお、前記現用ＤＫＣ１００および災対ＤＫＣ２００がそれぞれ備える暗号化プロセッサ１０８、２０８は、例えば、既存の暗号処理装置を想定でき、前記ディスクアダプタ１０５、２０５に備わる状況を想定できる。この暗号化プロセッサは、例えば、乱数発生器、ＲＯＭ、およびＲＡＭを備えるか、或いはディスク装置内の該当機能を利用可能である。前記乱数発生器は、上位装置からのＩ／Ｏ要求などが含む平文を暗号化する際のワーク鍵となる所定の乱数を発生させる。一方、前記ＲＯＭは、例えばＫＰＳ方式における秘密アルゴリズム、シングルＤＥＳまたはトリプルＤＥＳの共通鍵として使用されるスクランブルキー、シングルＤＥＳまたはトリプルＤＥＳによって暗号化されたスクランブルＩＤとが記憶されている。また、前記ＲＯＭには所定のアドレスが設定されており、前記暗号化プロセッサが、前記所定のアドレスにアクセスすることにより、データを読み出すことが可能である。前記暗号化プロセッサは、ＤＥＳのアルゴリズム（シングルＤＥＳまたはトリプルＤＥＳ）に基づくデータの暗号化あるいは復号化を行う。また前記暗号化プロセッサは、ＫＰＳ方式に基づいて共通鍵を算出する際の行列演算回路としても機能する。

また、前記ＫＰＳ（Key Predistribution System）方式は、データ暗号化に使用する鍵を安全に配送する方式の一つであり、暗号化アルゴリズムにはＤＥＳを用いる。このＫＰＳ方式においては、前記現用ＤＫＣ１００および災対ＤＫＣ２００の間でのデータ送信＝リモートコピーの処理にあたり、送信側および受信側にＫＰＳセンターから秘密アルゴリズムがそれぞれ発行されている。そして、送信側において、受信者の公開ＩＤを一方向性関数によって処理した実行ＩＤと、秘密アルゴリズムとを行列演算し、一方向性関数によって処理した結果を共通鍵として暗号化を行う。より詳細には、送信側において、所定の乱数を発生させ、これをワーク鍵として平文を暗号化し、ワーク鍵である乱数を共通鍵によって暗号化する。また送信側では、平文から得た暗号文と、暗号化されたワーク鍵とを受信側に送信する。一方、受信側においては、送信者の公開ＩＤを一方向性関数によって処理した実行ＩＤと、秘密アルゴリズムとを行列演算し、一方向性関数によって処理した結果を共通鍵として復号化を行う。より詳細には、受信側において、共通鍵によって、暗号化されたワーク鍵を復号化し、そのワーク鍵によって暗号文を平文に復号化する。

なお、これまで示した前記システム１０をなす各ディスク制御装置における各手段１１０〜１１２、２１０〜２１３らはハードウェアとして実現してもよいし、各ディスク制御装置における例えば共有メモリ１０３などの適宜な記憶部に格納したプログラムとして実現するとしてもよい。この場合、各ディスク制御装置やチャネルアダプタ１０４、ディスクアダプタ１０５のＣＰＵがプログラム実行に合わせて各記憶部より該当プログラムを読み出して実行することとなる。

−−−リモートコピーについて−−−
本実施形態の現用ＤＫＣ１００および災対ＤＫＣ２００の間で実行されるリモートコピーは、ディスク制御装置が自律的に、指定されたボリュームを他のディスク制御装置にコピーする機能である。この機能は、例えばディスク制御装置が（チャネルアダプタ１０４や共有メモリ１０３等で）記憶するプログラムにより実現される。例えば、現用ＤＫＣ１００から災対ＤＫＣ２００へのリモートコピーの動作は、次のようになる。まず、上位装置１からの記憶デバイス５０への書込要求コマンドに対し、例えば現用ＤＫＣ１００のチャネルアダプタ１０４は、その書込先のボリューム“Ａ”がリモートコピーの対象になっているか否かを判断する。リモートコピー対象ボリュームの情報は、共有メモリ１０３上に置かれており、前記チャネルアダプタ１０４上のプロセッサが共有メモリ１０３を参照して判断する。前記ボリューム“Ａ”がリモートコピーの対象になっていない場合、前記チャネルアダプタ１０４はそのまま書込要求コマンドを処理する。

一方、書込先である前記ボリューム“Ａ”がリモートコピーの対象になっている場合、前記チャネルアダプタ１０４は、通常通りに書込要求コマンドを処理すると共に、前記現用ＤＫＣ１００と接続されている災対ＤＫＣ２００のチャネルアダプタ２０４に対し、上位装置１から受け取ったコマンドと同一の書込要求コマンドを発行する。これにより、災対ＤＫＣ２００の記憶デバイス６０上に、前記ボリューム“Ａ” の複製が生成される。前記チャネルアダプタ１０４、２０４らは、入出力コマンドの発行処理と受信処理の両方の機能を備えている。これらコマンドの処理/生成機能はチャネルアダプタ１０４、２０４中のプロセッサの処理により実現される。

こうしたリモートコピーの開始／終了等は、通常の入出力命令と同様なコマンドを用い、上位装置上のプログラムから制御される。主なコマンドを次に述べる。
(1)初期化＆コピー開始コマンド（コピー先のボリュームの内容をコピー元と同一にするために、指定されたボリュームの全内容をコピー先へコピーする（初期化）と共に、ホストから発行された書込要求コマンドに対し、指定されたコピーモード（同期／非同期）でリモートコピーを開始する）。
(2)中断コマンド（リモートコピーを一時中断する。この後に受け付けた書込要求コマンドに対するリモートコピーデータはバッファに保存しておき、後の再開コマンドに備える）。
(3)再開コマンド（中断していたリモートコピーを再開する。バッファに保存されているリモートコピーデータに対してもコピーを行う）。
(4)フラッシュコマンド（バッファに保存されているリモートコピーデータを強制的にコピー先へコピーする）。

本実施形態において現用ＤＫＣ１００および災対ＤＫＣ２００の間は、上位装置とストレージシステムとを接続するチャネルパスと同種類のパスで結んでもよいが、一般的なチャネルパスの物理/電気的仕様では比較的短距離間の接続を前提にしているため、ＷＡＮ（Wide Area Network）などのネットワーク３０を利用して結ぶものとする。チャネルパスの結合距離を長距離に伸ばすには、通信事業者が提供する前記ＷＡＮを利用するのが一般的である。この場合、前記現用ＤＫＣ１００および災対ＤＫＣ２００において、ＷＡＮとの接続点に前記チャネルエクステンダ１０７、１０８等の変換装置を設置する。こうしたチャネルエクステンダを使用するディスク制御装置や上位装置では、ＷＡＮを経由している事は認識されず、通常のチャネルパス接続と等価に見える。このため、ディスク制御装置や上位装置上のプログラムを変更すること無しに、遠距離間のデータ入出力が可能になる。

−−−処理フロー例１−−−
以下、本実施形態における災害対策方法の実際手順について図に基づき説明する。なお、以下で説明する災害対策方法に対応する各種動作は、前記システム１０を構成する前記現用ＤＫＣ１００および災対ＤＫＣ２００が、自身で備えるプログラムを実行するか該当機能を発現するハードウェアを用いて実行する。

図２〜４は本実施形態におけるデータ遷移例１〜３を示すイメージ図であり、図５は本実施形態における災害対策方法の処理手順例１を示すフロー図である。ここでは、災害の発生がない平常時における、前記現用ＤＫＣ１００から災対ＤＫＣ２００へのリモートコピーによるデータバックアップ処理について説明する。なお、以降で示すリモートコピーの処理は、記憶デバイス５０の正ボリューム（上位装置１からのＩ／Ｏ要求に応じてデータ入出力される通常のボリューム）に格納されているデータ（以下、ＤＢデータ）と、前記正ボリュームに対して行なわれた操作を再実行するための作業履歴情報であるログ（以下、ＤＢログ）、その他転送データとでそれぞれ異なっている。

まず、前記ＤＢデータのリモートコピーの処理について述べる。リモートコピーに先立ち、前記現用ＤＫＣ１００の書込手段１１０は、前記チャネルアダプタ１０４で上位装置１からＩ／Ｏ要求を受ける毎に、前記Ｉ／Ｏ要求が含む書込データを前記暗号化プロセッサ１０８で暗号化し、記憶デバイス５０の正ボリューム１２５に書込処理している（ｓ１００）。つまりこの正ボリューム１２５は、暗号化されたボリュームとなっており、記憶デバイス５０ごと盗難・紛失の事態となってもセキュリティ性が確保される。

また、前記現用ＤＫＣ１００のデータコピー手段１１１は、前記正ボリューム１２５の格納データを日次など所定時間毎に副ボリューム１２６にバックアップする（ｓ１０１）。このバックアップに際しては、例えば、「ShadowImage（Oracle社：登録商標）」やSQLserverにおける「完全データベースバックアップ」の技術を用いて物理的に正ボリューム１２５から副ボリューム１２６にデータコピーする。この日次のデータバックアップにより前記副ボリューム１２６の静止点を作成した後、前記データコピー手段１１１は、前記副ボリューム１２６の格納データをチャネルエクステンダ１０７を介して、例えば日次で前記災対ＤＫＣ２００の受信ボリューム２２５にリモートコピーする（ｓ１０２）。

なお前記データコピー手段１１１は、通常時（前記ステップｓ１００まで）、前記正ボリューム１２５−副ボリューム１２６のペア（例：ShadowImageペア）を、基本的にペア分割の状態（ペアサスペンディッド）にしておく。また、前記副ボリューム１２６−災対ＤＫＣ２００の受信ボリューム２２５のリモートコピーのペアについても、通常時はペア分割の状態にしておく。一方、前記データコピー手段１１１は、前記ステップｓ１０１の日次のバックアップにあわせて、前記正ボリューム１２５−副ボリューム１２６のペアを、分割の状態から同期の状態に遷移させる。また前記データコピー手段１１１は、このペア同期、つまり日次バックアップが完了した時点で、前記正ボリューム１２５−副ボリューム１２６のペアを分割し、続いて、前記ステップｓ１０２でのリモートコピーにあわせて、現用ＤＫＣ１００の副ボリューム１２６と災対ＤＫＣ２００の受信ボリューム２２５の間のペアの再同期を実施することとなる。この現用ＤＫＣ１００の副ボリューム１２６−災対ＤＫＣ２００の受信ボリューム２２５の再同期が完了した時点で、前記データコピー手段１１１は、現用ＤＫＣ１００の副ボリューム１２６−災対ＤＫＣ２００の受信ボリューム２２５の間のペアを分割してペア分割状態とする。

上記のように、前記データコピー手段１１１でＤＢデータのリモートコピーが実行されるのに加え、前記現用ＤＫＣ１００のログコピー手段１１２は、前記記憶デバイス５０の正ボリューム１２５へのデータ書込ログをチャネルエクステンダ１０７を介してログ発生毎（つまり常時）に災対ＤＫＣ２００の受信ボリューム２２５にリモートコピーする（ｓ１０３）。この処理は、前記ＤＢデータのリモートコピー中の被災により、受信ボリューム２２５のＤＢデータが使用不可となった事態を想定して実行されるものである。この場合、前記災対ＤＫＣ２００は、前記現用ＤＫＣ１００から得たＤＢログについて当日と前日の２日分を例えば受信ボリューム２２５に格納しておくものとする。

前記ログコピー手段１１２は、逐次更新されるＲＥＤＯログファイル（Oracle社：商標登録）と自動取得のアーカイブログファイル(Oracle社：商標登録)、或いは、トランザクションログバックアップ（SQLserver）を、災対ＤＫＣ２００の前記受信ボリューム２２５に対しリモートコピーする。なお、上記ＤＢデータやＤＢログの他に、前記ログコピー手段１１２は、その他の転送データを前記受信ボリューム２２５にリモートコピーするとしてもよい。

一方、前記災対ＤＫＣ２００のデータ取得手段２１０は、前記現用ＤＫＣ１００からのリモートコピーで得た前記格納データおよび前記データ書込ログを記憶デバイス６０の受信ボリューム２２５に格納する（ｓ１０４）。また、前記災対ＤＫＣ２００の媒体書込手段２１３は、前記現用ＤＫＣ１００からのリモートコピーで受信ボリューム２２５に得た前記ＤＢデータ（格納データ）を、管理サーバ７５を介して日次など所定時間毎に記憶媒体２３（例：磁気テープ記憶装置など）にバックアップする（ｓ１０５）。

−−−処理フロー例２−−−
次に、前記現用ＤＫＣ１００を含む現用センタ（例えば上位装置１や記憶デバイス５０も含む）が被災した際に、災対ＤＫＣ２００が前記現用ＤＫＣ１００の代替機となってシステム復旧を図る場合の処理について説明する。図６は本実施形態におけるデータ遷移例４を示すイメージ図であり、図７は本実施形態における災害対策方法の処理手順例２を示すフロー図である。

この場合、前記災対ＤＫＣ２００のデータ復旧手段２１１は、前記現用ＤＫＣ１００での障害発生に伴う代替対応指示をチャネルアダプタ２０７を介して管理者端末４５より受信したとする（ｓ２００）。前記データ復旧手段２１１（ないし災対ＤＫＣ２００を含む災対センタの管理サーバ７５：RAID Manager）は、現用ＤＫＣ１００−災対ＤＫＣ２００間のリモートコピーペア（ＤＢログのリモートコピー用の常時接続ペア）を削除する（ｓ２０１）。なお、前記災対センタ（災対ＤＫＣ２００の他、記憶デバイス６０も含む）において、前記現用ＤＫＣ１００の代替機としての機能だけでなく、普段は他業務処理を正ボリューム２２６に対し実行している場合も想定できる。この場合、前記災対センタにおける正ボリューム２２６とそのバックアップボリュームである副ボリューム２２７におけるバックアップ処理のペア（例：ShadowImageのペア）を解除するものとする（ｓ２０２）。

次に、前記データ復旧手段２１１は、前記受信ボリューム２２５と前記正ボリューム２２６の間でバックアップ処理のペア（例：ShadowImageのペア）を生成し、前記受信ボリューム２２５の前記正ボリューム２２６へのコピー処理（例：Shadowコピー）を実行する（ｓ２０３）。なお、本実施形態の災対センタは通常時に他業務処理に利用されているとしたので、前記ステップｓ２０３の処理にあわせて、前記現用センタでの業務処理の環境に変更する必要がある。そこで、例えば、災対センタに備わる所定の管理サーバが、現用センタの業務処理環境イメージ（業務処理用のアプリケーションや必要なデータ類）を、上位装置２にコピーしておくものとする。

また、前記データ復旧手段２１１（ないし前記管理サーバ）は上位装置２（アプリケーションサーバ等）に起動指示を通知し、上位装置２の再起動を実施する（ｓ２０４）。前記正ボリューム２２６におけるＤＢデータについては、可能な限り被災直前の状態にするために、リカバリ（ロールフォワード／ロールバック）を実施することとなる。そのため、前記データ復旧手段２１１は、前記現用ＤＫＣ１００から得て、受信ボリューム２１５から正ボリューム２２６へコピー（＝リストア）した前記ＤＢデータに対し、前記アーカイブログとＲＥＤＯログ（データ書込ログ）を適用して当該アーカイブログとＲＥＤＯログの取得時点の状態にＤＢデータを復旧させる（ｓ２０５）。或いは、前記「完全データベースバックアップ」に対して、前記トランザクションログバックアップを適用してリカバリを実施する。

その後、前記現用ＤＫＣ１００の代替機として通常運用状態となった前記災対ＤＫＣ２００においては、前記書込手段２１２が、前記正ボリューム２２６への書込データ（＝Ｉ／Ｏ要求）をチャネルアダプタ２０４で上位装置２から受信し、この書込データを前記暗号化プロセッサ２０８で暗号化し、前記復旧後の正ボリューム２２６の格納データに対し書込処理することとなる。なお、前記災対ＤＫＣ２００が現用ＤＫＣ１００の代替機となって稼働して以降、前記正ボリューム２２６から前記受信ボリューム２２５へのコピー処理（例：Shadowコピー）を実行し、親子関係を再構築する。

−−−処理フロー例３−−−
次に、前記現用ＤＫＣ１００から災対ＤＫＣ２００へのＤＢデータのリモートコピー中に被災した場合の処理について説明する。図８は本実施形態におけるデータ遷移例５を示すイメージ図であり、図９は本実施形態における災害対策方法の処理手順例３を示すフロー図である。この場合の前記災対ＤＫＣ２００のデータ復旧手段２１１は、現用ＤＫＣ１００−災対ＤＫＣ２００間のリモートコピー（ＤＢログのリモートコピー）中に、障害発生に伴う代替対応指示をチャネルアダプタ２０７を介して管理者端末４５より受信したとする（ｓ３００）。或いは前記データ復旧手段２１１は、前記リモートコピーのペア状態が被災によりペア・サスペンドエラー状態となり、Ｉ／Ｏ禁止状態となったことを検知して被災を認識する。

この時、前記データ復旧手段２１１は、前記現用ＤＫＣ１００−災対ＤＫＣ２００間のリモートコピーペア（ＤＢログのリモートコピー用の常時接続ペア）を削除する（ｓ３０１）。また、前記データ復旧手段２１１は、前記災対センタにおける正ボリューム２２６とそのバックアップボリュームである副ボリューム２２７におけるバックアップ処理のペア（例：ShadowImageのペア）を解除する（ｓ３０２）。

また、前記データ復旧手段２１１は、直近版＝ここでは日次であるから前日分のＤＢデータを、管理サーバ７５を介して前記記憶媒体２３から読み出して、受信ボリューム２２５にリストアする（ｓ３０３）。前記データ復旧手段２１１は、前記災対センタの受信ボリューム２２５と正ボリューム２２６の間でコピー処理のペア（例：ShadowImageのペア）を生成し、受信ボリューム２２５の正ボリューム２２６へのコピー処理（例：Shadowコピー）を実行する（ｓ３０４）。なお、本実施形態の災対センタは通常時に他業務処理に利用されているとしたので、前記ステップｓ３０４の処理にあわせて、前記現用センタでの業務処理の環境に変更する必要がある。そこで、例えば、災対センタに備わる所定の管理サーバが、現用センタの業務処理環境イメージ（業務処理用のアプリケーションや必要なデータ類）を、上位装置２にコピーしておくものとする。

前記データ復旧手段２１１（ないし前記管理サーバ）は上位装置２（アプリケーションサーバ等）に起動指示を通知し、上位装置２の再起動を実施する（ｓ３０５）。前記正ボリューム２２６におけるＤＢデータについては、可能な限り被災直前の状態にするために、リカバリ（ロールフォワード／ロールバック）を実施することとなる。そのため、前記データ復旧手段２１１は、前記現用ＤＫＣ１００から得て、記憶媒体２３から受信ボリューム２１５にリストアし、更に正ボリューム２２６にコピー＝リストアした前記ＤＢデータに対し、前記アーカイブログとＲＥＤＯログ（データ書込ログ）を適用して当該アーカイブログとＲＥＤＯログの取得時点の状態にＤＢデータを復旧させる（ｓ３０６）。或いは、前記「完全データベースバックアップ」に対して、前記トランザクションログバックアップを適用してリカバリを実施する。

その後、前記現用ＤＫＣ１００の代替機として通常運用状態となった前記災対ＤＫＣ２００においては、前記書込手段２１２が、前記正ボリューム２２６への書込データ（＝Ｉ／Ｏ要求）をチャネルアダプタ２０４で上位装置２から受信し、この書込データを前記暗号化プロセッサ２０８で暗号化し、前記復旧後の正ボリューム２２６の格納データに対し書込処理することとなる。なお、前記災対ＤＫＣ２００が現用ＤＫＣ１００の代替機となって稼働して以降、前記正ボリューム２２６から前記受信ボリューム２２５へのコピー処理（例：Shadowコピー）を実行し、親子関係を再構築する。

以上、本実施形態によれば、ミッションクリティカルなコンピュータシステムについて、迅速で確実な災害復旧と効率的なセキュリティ対策とを両立できる。

以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

１、２ 上位装置
１０ 災害対策システム
１１ クライアントＰＣ
１２ プリンタ
１３ 記憶媒体（磁気テープ記憶装置）
３０ ネットワーク
４０ 管理者端末
５０、６０ 記憶デバイス（記憶装置）
５１、６１ 記憶装置群
１００ 現用ＤＫＣ（第１ディスク制御装置）
１０２、２０２ キャッシュメモリ
１０３、２０３ 共有メモリ
１０４、２０４ チャネルアダプタ
１０５、２０５ ディスクアダプタ
１０７、２０７ チャネルエクステンダ
１０８、２０８ 暗号化プロセッサ
１１０ 書込手段
１１１ データコピー手段
１１２ ログコピー手段
２００ 災対ＤＫＣ（第２ディスク制御装置）
２１０ データ取得手段
２１１ データ復旧手段
２１２ 書込手段
２１３ 媒体書込手段

Claims (3)

1. 互いに通信可能である第１および第２のディスク制御装置を含むシステムであり、
   前記第１ディスク制御装置は、
   記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し記憶装置に書込処理する手段と、
   前記記憶装置の格納データをチャネルエクステンダを介して所定時間毎に第２ディスク制御装置にリモートコピーする手段と、
   前記記憶装置へのデータ書込ログをチャネルエクステンダを介してログ発生毎に第２ディスク制御装置にリモートコピーする手段とを備え、
   前記第２ディスク制御装置は、
   前記第１ディスク制御装置からのリモートコピーで得た前記格納データおよび前記データ書込ログを記憶装置に格納する手段と、
   前記第１ディスク制御装置での障害発生に伴う代替対応指示をチャネルアダプタを介して他端末より受信し、前記第１ディスク制御装置から得ている前記格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させる手段と、
   記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し、前記復旧後の格納データに対し書込処理する手段とを備える、
   ことを特徴とする災害対策システム。
2. 前記第２ディスク制御装置は、
   前記第１ディスク制御装置からリモートコピーで得た前記格納データを、前記所定時間毎に記憶媒体にバックアップする手段と、
   格納データのリモートコピーを前記第１ディスク制御装置から受けている際に、障害発生に伴う代替対応指示をチャネルアダプタを介して他端末より受信した場合、直近版の格納データを前記記憶媒体から読み出し、この直近版格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させる手段と、
   を備えることを特徴とする請求項１に記載の災害対策システム。
3. 第１ディスク制御装置が、
   記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し記憶装置に書込処理し、
   前記記憶装置の格納データをチャネルエクステンダを介して所定時間毎に第２ディスク制御装置にリモートコピーし、
   前記記憶装置へのデータ書込ログをチャネルエクステンダを介してログ発生毎に第２ディスク制御装置にリモートコピーし、
   前記第２ディスク制御装置が、
   前記第１ディスク制御装置からのリモートコピーで得た前記格納データおよび前記データ書込ログを記憶装置に格納し、
   前記第１ディスク制御装置での障害発生に伴う代替対応指示をチャネルアダプタを介して他端末より受信し、前記第１ディスク制御装置から得ている前記格納データに対し前記データ書込ログを適用して当該データ書込ログの取得時点の状態に格納データを復旧させ、
   記憶装置への書込データを暗号化する暗号化プロセッサを備え、チャネルアダプタで受けた上位装置からのＩ／Ｏ要求が含む書込データを前記暗号化プロセッサで暗号化し、前記復旧後の格納データに対し書込処理する、
   ことを特徴とする災害対策方法。

Images