JP2011197928A - ストレージ装置、及び、暗号鍵の変更方法 - Google Patents

Abstract

【課題】業務サーバに対する入出力処理の性能を低下させることなく暗号鍵の変更を可能とするストレージ装置、及び暗号鍵の変更方法を提案する。
【解決手段】ストレージ装置は、プール外のディスクをコピー先として選択する手段と、管理情報に基づいて、プール内のディスクのうち、コピーが未完了のブロックを選択し、コピー元の選択されたブロックから暗号化データを読み出して復号し、暗号化データを暗号した暗号鍵とは異なる暗号鍵を用いて再暗号化し、再暗号化データをコピー先に書き込む手段と、コピー元の全ブロックについてコピーが完了すると、コピー元をプールから外し、コピー元をプールに組み込むことでディスクの接続を切り替える手段と、外部からコピー元に対する書き込み指示があった場合に、該指示に対応するコピー元のブロックの管理情報をコピー未完了に設定する手段と、を有する。
【選択図】図１

Description

本発明は、ストレージ装置、及び、暗号鍵の変更方法に関する。

近年、データにおけるセキュリティ対策の強化に伴い、暗号化したデータ（以下、暗号化データという。）を保存するストレージ装置に対しても、データの暗号化及び復号化に使用される暗号鍵の定期的な変更が要求されている。

かかる要求に応えるため、例えば、暗号化データを復号化し、復号化したデータ（以下、復号化データという。）を新しい暗号鍵により再び暗号化する、という暗号鍵の変更技術がある。しかし、この技術では、データの復号化及び再暗号化を実行している間は、論理ディスクを構成する物理ディスクのデータを読み出すことができないため、ストレージ装置が業務サーバ（ホスト計算機）に対して行う入出力処理を停止せざるを得なかった。

そこで、かかる入出力処理の停止を回避するため、例えば、特許文献１には、物理ストレージコンポーネント（すなわち、論理ディスク又は物理ディスク）をブロック領域単位に分割して管理し、該ブロック領域毎にデータの復号化を行い、生成した新しい暗号鍵を用いて、復号化データを再暗号化し、再暗号化したデータを読み出したブロック領域に上書きする、というストレージシステムが開示されている。

特開２００５−３０３９８１号公報

特許文献１に開示されたストレージシステムによれば、データの復号化及び再暗号化を実行している間であっても、ストレージ装置が業務サーバに対して行う入出力処理は停止しない。しかしながら、入出力処理を実行中の物理ストレージコンポーネントに対して、ストレージ装置が、復号化を行うためのデータの読出しと、再暗号化後のデータの書込みと、を行うため、業務サーバに対して行う入出力処理の性能が低下してしまう。

そこで、本発明は、業務サーバに対する入出力処理の性能を低下させることなく暗号鍵の変更を可能とするストレージ装置、及び暗号鍵の変更方法を提案する。

かかる課題を解決するため、本発明は、プールを構成する複数のディスクを備え、ディスクに対し暗号又は復号を行って暗号化データを書き込み又は読み出すストレージ装置であって、ストレージ装置は、外部から受信した暗号鍵変更指示に基づいて、プール外のディスクをコピー先として選択し、プールを構成する複数のディスクのうち、コピーが未完了のディスクをコピー元として選択する手段と、プールを構成するそれぞれのディスクについて、該ディスクの記憶領域を分割したブロックごとにコピーが完了したか否かを管理する管理情報を格納する管理テーブルと、該管理テーブルに基づいて、選択したコピー元のうち、コピーが未完了のブロックを選択し、コピー元の選択されたブロックから暗号化データを読み出して復号し、暗号化データを暗号した暗号鍵とは異なる暗号鍵を用いて再暗号化し、再暗号化データをコピー先の対応するブロックに書き込む手段と、コピー元の全ブロックについてコピーが完了すると、コピー元をプールから外し、コピー元をプールに組み込むことでディスクの接続を切り替える手段と、外部からコピー元に対する書き込み指示があった場合に、管理テーブルについて、該指示に対応するコピー元のブロックの管理情報をコピー未完了に設定する手段と、を有する。

また、本発明は、プールを構成する複数のディスクを備え、ディスクに対し暗号又は復号を行って暗号化データを書き込み又は読み出すストレージ装置における暗号鍵の変更方法であって、ストレージ装置は、外部から受信した暗号鍵変更指示に基づいて、プール外のディスクをコピー先として選択し、プールを構成する複数のディスクのうち、コピーが未完了のディスクをコピー元として選択するステップと、プールを構成するそれぞれのディスクについて、該ディスクの記憶領域を分割したブロックごとにコピーが完了したか否かを管理する管理情報を格納する管理テーブルと、該管理テーブルに基づいて、選択したコピー元のうち、コピーが未完了のブロックを選択し、コピー元の選択されたブロックから暗号化データを読み出して復号し、暗号化データを暗号した暗号鍵とは異なる暗号鍵を用いて再暗号化し、再暗号化データをコピー先の対応するブロックに書き込むステップと、コピー元の全ブロックについてコピーが完了すると、コピー元をプールから外し、コピー元をプールに組み込むことでディスクの接続を切り替えるステップと、外部からコピー元に対する書き込み指示があった場合に、管理テーブルについて、該指示に対応するコピー元のブロックの管理情報をコピー未完了に設定するステップと、を有する。

本発明のストレージ装置によれば、プールを構成するディスクのブロック書き込み状況を管理し、書き込まれたブロックから暗号化データを読み出す。新たな暗号鍵で再暗号化したデータは、プール外のディスクにコピーし、その後、ストレージ装置は、プール外のディスクをプールに組み込み、ディスクの接続を切り替える。このように、暗号鍵を変更する際にも、プールを構成するディスクから暗号化データを読み出すだけでよいので、業務サーバに対する入出力処理の性能を低下させることなく暗号鍵を変更することができる。

本実施形態におけるストレージシステム１を示すブロック図である。 暗号鍵の変更処理を示すフローチャートである。 暗号鍵の生成処理を示すフローチャートである。 ライト監視処理を示すフローチャートである。 復号化、及び再暗号化処理を示すフローチャートである。 物理ディスク２３１，２３３の切り替え処理を示すフローチャートである。

以下、本発明の実施の形態について、図面を参照して説明する。なお、図面中、同一の要素には同一の符号を付し、重複する説明を省略する。また、以下の実施の形態は、本発明を説明するための例示であり、本発明をその実施の形態のみに限定する趣旨ではない。さらに、本発明は、その要旨を逸脱しない限り、さまざまな変形が可能である。

（１）ストレージシステムの構成
図１は、本実施形態によるストレージシステム１の構成を示したブロック図である。ストレージシステム１は、中央演算装置であるホスト計算機１００が第１通信線（図示せず）を介してストレージ装置２００と通信可能に接続される。

ホスト計算機１００は、ＣＰＵ（図示せず）、バスに接続されたメモリ（図示せず）、入力部（図示せず）、出力部（図示せず）及び入出力インタフェース（図示せず）など、通常のコンピュータ装置と同様のハードウェアを備えている。ホスト計算機１００は、物理的には、専用化したシステム、あるいは汎用の情報処理装置のいずれであってもよい。たとえば、一般的な構成の情報処理装置において、後述する暗号鍵の変更方法における各処理を規定したソフトウェアを実行することにより、本実施形態のホスト計算機１００として動作させることもできる。

ストレージ装置２００は、ホスト計算機１００と第１通信線を介して接続されるストレージコントローラ（図示せず）を備える。

ストレージコントローラは、マイクロプロセッサ（図示せず）、バスに接続されたメモリ（図示せず）、入力部（図示せず）、出力部（図示せず）、入出力インタフェース（図示せず）、及びＨＤＤコントローラ（図示せず）など、通常のストレージコントローラと同様のハードウェアを備えている。ストレージコントローラは、第２通信線（図示せず）を介して、複数の物理ディスク２３１，２３３と接続されており、物理ディスク２３１，２３３へのデータの入出力などを制御する。

ストレージコントローラは、機能的には、暗号鍵変更手段２５０、暗号鍵生成手段２６０、ライト監視手段２６５、暗号化・復号化手段２７０、及び、物理ディスク切り替え手段２８０を有している。詳細は後述する。

複数の物理ディスク２３１，２３３のうち、物理ディスク２３１は、既存の暗号鍵Ａ（第１暗号鍵）２４１を用いて暗号化データが保存されているディスクであり、その他の物理ディスク２３３は、ホスト計算機１００からのアクセスの対象としないプール２２０外のディスクである。

また、１台以上の物理ディスク２３１に基づいて１つのプール２２０が構成されており、１つのプール２２０上に論理ディスク２１０が少なくとも１つ以上構成されている。物理ディスク、プール、論理ディスクの対応情報は、メモリ（図示せず）に格納されている。

暗号鍵変更手段２５０は、ホスト計算機１００（又はユーザ）からの指示に基づいて、論理ディスク２１０に対する暗号鍵Ａ２４１の変更を行う。

暗号鍵生成手段２６０は、新しい暗号鍵Ｂ（第２暗号鍵）２４３を生成する。

ライト監視手段２６５は、ホスト計算機１００からのライト要求に対して行われる物理ディスク２３１へのライトを監視する。また、ライト監視手段２６５は、後述するコピー管理テーブル２７５の参照及び更新を実施する。

暗号化・復号化手段２７０は、コピー元の物理ディスク２３１から暗号鍵Ａ２４１を用いて暗号化データを読み出し、読み出した暗号化データを復号し、復号化データを新しく生成した暗号鍵Ｂ２４３を用いて再暗号化し、再暗号化したデータ（以下、再暗号化データという。）をプール２２０外の物理ディスク２３３に書き込む。また、暗号化・復号化手段２７０は、後述するコピー管理テーブル２７５の参照及び更新を実施する。

物理ディスク切り替え手段２８０は、暗号鍵を変更する前の物理ディスク２３１から変更した後の物理ディスク２３３に接続を切り替える。

メモリは、対応管理テーブル（図示せず）と、コピー管理テーブル２７５と、暗号鍵テーブル（図示せず）とを格納している。

対応管理テーブルは、上述した物理ディスク２３１、プール２２０、論理ディスク２１０の対応関係を示した情報である。

コピー管理テーブル（管理情報）２７５は、物理ディスク２３１の記憶領域を分割したブロック（分割記憶領域）ごとにコピーが完了したか否かを管理する。例えば、コピー管理テーブル２７５は、暗号化データのコピーが未完了であるブロックには、該ブロックに対応するビットを「１」とし、暗号化データのコピーが完了したブロックには、該ブロックに対応するビットを「０」として、管理する。暗号鍵を変更する場合に、復号化・暗号化手段２７０によって、ビット「１」に対応するブロックに書込まれた暗号化データが読み出されると、該ブロックに対応するビットは「０」に変更される。

暗号鍵テーブルは、暗号鍵と、該暗号鍵によって暗号化された暗号化データを格納する物理ディスクと、の対応関係を示した情報である。本実施形態では、プール２２０内の物理ディスク２３１には、暗号鍵Ａ２４１によって暗号化された暗号化データが格納されている。

なお、第１通信線としては、ＳＡＮ（Storage Area Network）が使用され、第２通信線としては、ＦＣ（Fibre Channel），ＳＡＳ（Serial Attached SCSI），ＳＡＴＡ（Serial ATA）のいずれかが使用される。

（２）暗号鍵の変更処理
このように構成されたストレージシステム１において、ホスト計算機１００と暗号鍵変更対象の論理ディスク２１０との間で入出力処理が実行されている状態で、ストレージ装置２００が暗号鍵の変更を実行する場合の暗号鍵の変更処理を、図２に示すフローチャートを用いて説明する。

まず、暗号鍵変更手段２５０は、ホスト計算機１００（又は、ユーザ）から、論理ディスク２１０に対する暗号鍵の変更指示を受信すると（Ｓ１）、論理ディスク番号と対応情報とに基づいて、論理ディスク２１０を構成しているプール２２０を検索し、検索したプールを構成する物理ディスク２３１を検索する。暗号鍵変更手段２５０は、検索した複数の物理ディスク２３１のうち、コピーが未完了の物理ディスク２３１をコピー元として選択し、プール２２０を構成しない物理ディスク２３３をコピー先として選択する。

次に、暗号鍵変更手段２５０は、暗号鍵生成手段２６０に、新しい暗号鍵の生成指示を送信し（Ｓ２）、ライト監視手段２６５に、コピー元の物理ディスク２３１に対するライト状況の監視指示を送信する（Ｓ３）。

暗号鍵生成手段２６０は、暗号鍵変更手段２５０からの指示を受信すると、鍵生成処理を実行し（Ｓ４）、新しい暗号鍵を生成した旨の報告を暗号鍵変更手段２５０に送信する（Ｓ５）。鍵生成処理の詳細は、後述する。

ライト監視手段２６５は、暗号鍵変更手段２５０からの指示を受信すると、コピー管理テーブル２７５を初期化し、コピー元の物理ディスク２３１に対し、ライト監視処理を開始し、（Ｓ６）その旨の報告を暗号鍵変更手段２５０に送信する（Ｓ７）。ライト監視処理の詳細は、後述する。

暗号鍵変更手段２５０は、暗号鍵生成手段２６０からの報告、及びライト監視手段２６５からの報告を受信すると、復号化・暗号化手段２７０に、コピー元の物理ディスク２３１に対する復号化と再暗号化の要求を送信する（Ｓ８）。

暗号化・復号化手段２７０は、暗号鍵変更手段２５０からの指示を受信すると、コピー元の物理ディスク２３１に対する復号化処理と再暗号化処理とを実行する（Ｓ９）。すなわち、暗号化・復号化手段２７０は、コピー管理テーブル２７５に基づいて、ビットが「１」である物理ディスク２３１のブロックから暗号化データを読み出し、読み出した暗号化データを復号化し、復号化データを生成した新しい暗号鍵を用いて再暗号化し、再暗号化データをプール２２０外の物理ディスク２３３に書き込む。暗号化・復号化手段２７０は、暗号化データを読み出したブロックに対応するビットを「０」に変更し、物理ディスク２３３にコピーが完了した旨の報告を暗号鍵変更手段２５０に送信する（Ｓ１０）。復号化処理と再暗号化処理の詳細は、後述する。

暗号鍵変更手段２５０は、暗号化・復号化手段２７０からの報告を受信すると、物理ディスク切り替え手段２８０に、物理ディスク２３１から物理ディスク２３３への接続切り替え指示を送信する（Ｓ１１）。

物理ディスク切り替え手段２８０は、暗号鍵変更手段２５０からの指示を受信すると、切り替え処理を実行し（Ｓ１２）、物理ディスク２３１から物理ディスク２３３への接続切り替えが終了した旨の報告を暗号鍵変更手段２５０に送信する（Ｓ１３）。

暗号鍵変更手段２５０は、物理ディスク切り替え手段２８０からの報告を受信すると、コピーを完了していない物理ディスクがあるか否かを判断する（Ｓ１４）。

暗号鍵変更手段２５０はコピーを完了していない物理ディスクがあると判断すると（Ｓ１４ Ｙｅｓ）、ステップＳ３に戻り、再び、ステップＳ３からの各ステップを実行する。

一方、暗号鍵変更手段２５０は、コピー元の物理ディスクに対するコピーが全て完了していると判断すると（Ｓ１４ Ｎｏ）、暗号鍵の変更処理を終了する。

（３）各種の処理
次に、上述した鍵生成処理（Ｓ４）、ライト監視処理（Ｓ６）、復号化・再暗号化処理（Ｓ９）、及び切り替え処理（Ｓ１２）のそれぞれについて、図３乃至図６を用いて説明する。

（３−１）鍵生成処理
まず、図３に示すように、暗号鍵生成手段２６０は、暗号鍵変更手段２５０から暗号鍵生成の指示を受信すると、暗号鍵Ａ２４１とは異なる新しい暗号鍵Ｂ２４３を生成する（Ｓ３１）。次に、暗号鍵生成手段２６０は、メモリに暗号鍵Ｂ２４３の情報を保存すると、生成した旨の報告を暗号鍵変更手段２５０に送信し（Ｓ３２）、この処理を終了する。

（３−２）ライト監視処理
まず、図４に示すように、ライト監視手段２６５は、暗号鍵変更手段２５０からライト監視の指示を受信すると、コピー管理テーブル２７５を初期化する（Ｓ４１）。具体的には、コピー元の物理ディスク２３１のブロックに対応するビット表（コピー管理テーブル２７５）を作成する。該ブロックに対し、暗号化データのコピーが未完了である場合には、ビットを「１」に設定し、該ブロックに対し、暗号化データのコピーが完了した場合には、ビットを「０」に設定する。

次に、ライト監視手段２６５は、コピー元の物理ディスク２３１に対するライト状況の監視を開始する（Ｓ４２）。ライト監視手段２６５は、コピー元の物理ディスク２３１のブロックへの書き込みを検出した場合には、該ブロックに対応するビットを「１」にする。

ライト監視手段２６５は、コピー元の物理ディスク２３１に対するライト状況の監視を開始した旨の報告を暗号鍵変更手段２５０に送信する（Ｓ４３）。かかる監視は、暗号鍵変更手段２５０から新たな指示を受信するまで実施する。

（３−３）復号化・再暗号化処理
まず、図５に示すように、暗号化・復号化手段２７０は、暗号鍵変更手段２５０から復号化・再暗号化の指示を受信すると、コピー管理テーブル２７５を参照し、ビットが「１」に対応する物理ディスク２３１のブロックから暗号化データを読み出す（Ｓ５１）。暗号化・復号化手段２７０は、読み出したブロックに対応するビットを「０」に設定する（Ｓ５２）。

暗号化・復号化手段２７０は、読み出した暗号化データを暗号鍵Ａ２４１で復号化すると（Ｓ５３）、暗号鍵テーブルを参照し、復号化データを新しく生成した暗号鍵Ｂ２４３を用いて再暗号化する（Ｓ５４）。暗号化・復号化手段２７０は、再暗号化データをプール２２０外の物理ディスク２３３に書き込む（Ｓ５５）。

暗号化・復号化手段２７０は、コピー管理テーブル２７５を参照し、全てのビットが「０」か、否かを判断する（Ｓ５６）。暗号化・復号化手段２７０は、コピー管理テーブル２７５を参照し、全てのビットが「０」ではないと判断すると（Ｓ５６ Ｎｏ）、ステップＳ５１に戻り、ビットが「１」に対応するブロックについて、暗号化データを読み出す。

一方、暗号化・復号化手段２７０は、コピー管理テーブル２７５を参照し、全てのビットが「０」であると判断すると（Ｓ５６ Ｙｅｓ）、コピー先に対応する暗号鍵テーブルを書き換えた後、復号化・再暗号化が終了した旨を暗号鍵変更手段２５０に送信し、この処理を終了する。

（３−４）切り替え処理
まず、図６に示すように、物理ディスク切り替え手段２８０は、暗号鍵変更手段２５０から切り替えの指示を受信すると、暗号化データを読み出した物理ディスク２３１から再暗号化データを書き込んだ物理ディスク２３３に接続を切り替える（Ｓ６１）。具体的には、物理ディスク切り替え手段２８０は、物理ディスク２３１をプール２２０の構成から外し、物理ディスク２３３をプール２２０の構成に組み込む。

次に、物理ディスク切り替え手段２８０は、対応管理テーブルを書き換えた後、切り替えが終了した旨を暗号鍵変更手段２５０に送信し（Ｓ６２）、この処理を終了する。

なお、プール２２０外の物理ディスク２３３は１台でも複数台でもよい。ストレージ装置２００が、プール２２０外の物理ディスク２３３を複数台有する場合には、複数台のプール２２０外の物理ディスク２３３のそれぞれを、複数台の使用済の物理ディスク２３１のそれぞれに対応させて、上記暗号鍵変更処理を並行に実施する。

このように、本実施形態によれば、ホスト計算機１００とコピー元の論理ディスク２１０との間で入出力処理が実行されている状態で、ストレージ装置２００は、入出力処理を実行中の論理ディスク２１０を構成するプール２２０を検索し、検索したプール２２０を構成する物理ディスク２３１から、コピー管理テーブル２７５に基づいて、暗号化データを読み出し、復号化する。その後、ストレージ装置２００は、復号化データを、生成した新しい暗号鍵で再暗号化し、再暗号化データをプール２２０外の物理ディスク２３３にコピーし、再暗号化データを書き込んだ物理ディスク２３３に接続を切り替える。このように、ストレージ装置２００は、暗号鍵の変更処理を実行する場合、入出力処理を実行中の物理ディスク２３１から暗号化データを読み出すだけでよく、再暗号化データはプール２２０を構成しない他の物理ディスク２３３へ書き込むため、ホスト計算機１００に対する入出力処理の性能を低下させることなく暗号鍵を変更することができる。

入出力処理を実行中の物理ディスク２３１から暗号化データを読み出す際にも、暗号化データが書き込まれているブロックに絞って行うため、入出力処理における性能の低下を一層削減することができる。

また、暗号化・復号化手段２７０がプール２２０外の物理ディスク２３３へコピー中に、既に読み出し済みの物理ディスク２３１に対する書き込みがあった場合でも、ライト監視手段２６５が、読み出し済みの物理ディスク２３１のブロックに対して、再びビットを「１」に戻す。これにより、暗号化・復号化手段２７０は、書き込みがあった物理ディスク２３１のブロックに対して、暗号化データを再度読み出して復号化し、復号化データを暗号鍵Ｂ２４３で再暗号化し、この再暗号化データを先に書き込まれている物理ディスク２４３のブロックに上書きする。このように、暗号化・復号化手段２７０がプール２２０外の物理ディスク２３３へコピー中に既に読み出し済みの物理ディスク２３１に対する書き込みがあった場合でも、この間のデータも随時反映することができる。

上記実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）プールを構成する複数のディスクを備え、前記ディスクに対し暗号又は復号を行って暗号化データを書き込み又は読み出すストレージ装置であって、前記ストレージ装置は、外部から受信した暗号鍵変更指示に基づいて、プール外のディスクをコピー先として選択し、前記プールを構成する複数のディスクのうち、コピーが未完了のディスクをコピー元として選択する手段と、前記プールを構成するそれぞれのディスクについて、該ディスクの記憶領域を分割したブロックごとにコピーが完了したか否かを管理する管理情報を格納する管理テーブルと、該管理テーブルに基づいて、前記選択したコピー元のうち、コピーが未完了のブロックを選択し、前記コピー元の選択されたブロックから暗号化データを読み出して復号し、前記暗号化データを暗号した暗号鍵とは異なる暗号鍵を用いて再暗号化し、再暗号化データを前記コピー先の対応するブロックに書き込む手段と、前記コピー元の全ブロックについてコピーが完了すると、前記コピー元を前記プールから外し、前記コピー元を前記プールに組み込むことでディスクの接続を切り替える手段と、外部から前記コピー元に対する書き込み指示があった場合に、前記管理テーブルについて、該指示に対応する前記コピー元のブロックの管理情報をコピー未完了に設定する手段と、を有するストレージ装置。

（付記２）プールを構成する複数のディスクを備え、前記ディスクに対し暗号又は復号を行って暗号化データを書き込み又は読み出すストレージ装置における暗号鍵の変更方法であって、前記ストレージ装置は、外部から受信した暗号鍵変更指示に基づいて、プール外のディスクをコピー先として選択し、前記プールを構成する複数のディスクのうち、コピーが未完了のディスクをコピー元として選択するステップと、前記プールを構成するそれぞれのディスクについて、該ディスクの記憶領域を分割したブロックごとにコピーが完了したか否かを管理する管理情報を格納する管理テーブルと、該管理テーブルに基づいて、前記選択したコピー元のうち、コピーが未完了のブロックを選択し、前記コピー元の選択されたブロックから暗号化データを読み出して復号し、前記暗号化データを暗号した暗号鍵とは異なる暗号鍵を用いて再暗号化し、再暗号化データを前記コピー先の対応するブロックに書き込むステップと、前記コピー元の全ブロックについてコピーが完了すると、前記コピー元を前記プールから外し、前記コピー元を前記プールに組み込むことでディスクの接続を切り替えるステップと、外部から前記コピー元に対する書き込み指示があった場合に、前記管理テーブルについて、該指示に対応する前記コピー元のブロックの管理情報をコピー未完了に設定するステップと、を有する暗号鍵の変更方法。

本発明は、業務サーバに対する入出力処理の性能を低下させることなく暗号鍵の変更を可能とするストレージ装置又は該ストレージ装置を含むシステムに広く適用することができる。

１００…ホスト計算機、２００…ストレージ装置、２１０…論理ディスク、２２０…プール、２３１…物理ディスク（プールを構成するディスク）、２３３…物理ディスク（プール外のディスク）、２４１…暗号鍵Ａ、２４３…暗号鍵Ｂ、２５０…暗号鍵変更手段、２６０…暗号鍵生成手段、２６５…ライト監視手段、２７０…暗号化・復号化手段、２８０…物理ディスク切り替え手段、２７５…コピー管理テーブル（管理情報）。

Claims (2)

1. プールを構成する複数のディスクを備え、前記ディスクに対し暗号又は復号を行って暗号化データを書き込み又は読み出すストレージ装置であって、
   前記ストレージ装置は、
   外部から受信した暗号鍵変更指示に基づいて、プール外のディスクをコピー先として選択し、前記プールを構成する複数のディスクのうち、コピーが未完了のディスクをコピー元として選択する手段と、
   前記プールを構成するそれぞれのディスクについて、該ディスクの記憶領域を分割したブロックごとにコピーが完了したか否かを管理する管理情報を格納する管理テーブルと、該管理テーブルに基づいて、前記選択したコピー元のうち、コピーが未完了のブロックを選択し、前記コピー元の選択されたブロックから暗号化データを読み出して復号し、前記暗号化データを暗号した暗号鍵とは異なる暗号鍵を用いて再暗号化し、再暗号化データを前記コピー先の対応するブロックに書き込む手段と、
   前記コピー元の全ブロックについてコピーが完了すると、前記コピー元を前記プールから外し、前記コピー元を前記プールに組み込むことでディスクの接続を切り替える手段と、
   外部から前記コピー元に対する書き込み指示があった場合に、前記管理テーブルについて、該指示に対応する前記コピー元のブロックの管理情報をコピー未完了に設定する手段と、
   を有するストレージ装置。
2. プールを構成する複数のディスクを備え、前記ディスクに対し暗号又は復号を行って暗号化データを書き込み又は読み出すストレージ装置における暗号鍵の変更方法であって、
   前記ストレージ装置は、
   外部から受信した暗号鍵変更指示に基づいて、プール外のディスクをコピー先として選択し、前記プールを構成する複数のディスクのうち、コピーが未完了のディスクをコピー元として選択するステップと、
   前記プールを構成するそれぞれのディスクについて、該ディスクの記憶領域を分割したブロックごとにコピーが完了したか否かを管理する管理情報を格納する管理テーブルと、該管理テーブルに基づいて、前記選択したコピー元のうち、コピーが未完了のブロックを選択し、前記コピー元の選択されたブロックから暗号化データを読み出して復号し、前記暗号化データを暗号した暗号鍵とは異なる暗号鍵を用いて再暗号化し、再暗号化データを前記コピー先の対応するブロックに書き込むステップと、
   前記コピー元の全ブロックについてコピーが完了すると、前記コピー元を前記プールから外し、前記コピー元を前記プールに組み込むことでディスクの接続を切り替えるステップと、
   外部から前記コピー元に対する書き込み指示があった場合に、前記管理テーブルについて、該指示に対応する前記コピー元のブロックの管理情報をコピー未完了に設定するステップと、
   を有する暗号鍵の変更方法。

Images