JP2023039218A - 計算機および制御方法 - Google Patents

Abstract

【課題】 情報記録装置への不正なアクセスを防止できる計算機を実現する。【解決手段】 実施形態によれば、計算機は、不揮発性記録部との間で情報を入出力する処理を含むアプリケーションプログラムを実行し、演算部と前記計算機の外部の装置と通信プロトコルに従って通信するための通信インタフェース部とを具備する。前記演算部は、前記アプリケーションプログラムとの間で前記不揮発性記録部に対する第１のＩ／Ｏ要求を受信し、前記第１のＩ／Ｏ要求に基づいて前記不揮発性記録部を制御するための一つ以上の第１制御コマンドを生成し、前記不揮発性記録部を制御するストレージプロトコル処理を実行する。前記演算部は、サーバ装置から認可情報を取得する認可情報取得処理を実行する。前記演算部は、前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドに、取得した前記認可情報を挿入するか、あるいは関連付ける認可情報挿入処理を実行する。【選択図】図２

Description

本発明の実施形態は、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）のような情報記録装置にＩ／Ｏコマンドを送信する計算機および制御方法に関する。

ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）といった情報記録装置は、ホスト装置と称される計算機からのＩ／Ｏコマンドに基づいて情報の読み書きを行うように構成されている。

また、最近では、ネットワークを介して情報記録装置にアクセスする技術も利用されている。

コンピュータのような計算機において実行されるソフトウェアに不正なプログラムが侵入すると、情報記録装置が不正にアクセスされ、これによってデータの破壊やデータの盗難が引き起こされる場合がある。

このため、情報記録装置への不正なアクセスを防止可能な新たな技術の実現が求められている。

特開２００６－８６９０７号公報

Ｃｈａｒｌｉｅ Ｋａｕｆｍａｎ、"Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ （ＩＫＥｖ２） Ｐｒｏｔｏｃｏｌ"、［ｏｎｌｉｎｅ］、ＲＦＣ４３０６、２００５年１２月、［２０２１年７月１９日検索］、インターネット＜ＵＲＬ：ｈｔｔｐｓ：／／ｄａｔａｔｒａｃｋｅｒ．ｉｅｔｆ．ｏｒｇ／ｄｏｃ／ｈｔｍｌ／ｒｆｃ４３０６＞

本発明の一実施形態が解決しようとする課題は、情報記録装置への不正なアクセスを防止できる計算機および制御方法を提供することである。

実施形態によれば、計算機は、不揮発性記録部との間で情報を入出力する処理を含むアプリケーションプログラムを実行する。この計算機は、演算部と、通信インタフェース部と、一時記録部とを具備する。前記通信インタフェース部は、前記計算機の外部の装置と通信プロトコルに従って通信する。前記一時記録部は、前記演算部が使用する情報を一時的に保存する。前記演算部は、前記アプリケーションプログラムを実行する。前記演算部は、前記アプリケーションプログラムから前記不揮発性記録部に対する第１のＩ／Ｏ要求を受信し、前記第１のＩ／Ｏ要求に基づいて前記不揮発性記録部を制御するための一つ以上の第１制御コマンドを生成し、前記不揮発性記録部を制御するストレージプロトコル処理を実行する。前記演算部は、前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とするか否かを判断する認可情報要否判断処理を実行する。前記演算部は、前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とすると判断した場合、外部のサーバ装置と前記通信インタフェース部を介して通信を行って、前記第１のＩ／Ｏ要求が発生した際の状況と理由の少なくとも一方を示すコンテキスト情報を前記サーバ装置に送信するとともに認可情報を要求し、前記サーバ装置から認可情報を取得する認可情報取得処理を実行する。前記演算部は、前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドに、取得した前記認可情報を挿入するか、あるいは関連付ける認可情報挿入処理を実行する。前記演算部は、前記認可情報取得処理で認可情報を要求する前に、前記サーバ装置に送信する前記コンテキスト情報を収集し、前記一時記録部に保存するコンテキスト収集処理を実行する。

第１実施形態に係る計算機を含むストレージシステムの構成例を示すブロック図。 第１実施形態に係る計算機の構成例を示すブロック図。 第１実施形態に係る計算機の動作シーケンスを示すフローチャート。 図３Ａに後続する動作シーケンスを示すフローチャート。 第１実施形態に係る計算機における認可情報取得処理の動作シーケンスを示すフローチャート。 第１実施形態に係る計算機において揮発性記録部に保存される認可情報の構成例を示す図。 第１実施形態に係る計算機において揮発性記録部に保存されるコンテキスト情報の構成例を示す図。 第１実施形態に係る計算機によって管理される例外リストの例を示す図。 第１実施形態に係る計算機において揮発性記録部に保存される識別子対応関係の構成例を示す図。 第１実施形態に係る計算機において、Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ（ＩＰ）オプションまたはＴｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ（ＴＣＰ）オプションとして、認可情報をパケットに追加する例を示す図。 第１実施形態に係る計算機によって管理される送信したパケットに関する情報と認可情報との対応関係の例を示す図。 第２実施形態に係る計算機の構成例を示すブロック図。 第３実施形態に係る計算機の構成例を示すブロック図。 第３実施形態に係る計算機の動作シーケンスを示すフローチャート。 第４実施形態に係る計算機の構成例を示すブロック図。 第４実施形態に係る計算機の動作シーケンスを示すフローチャート。

以下に添付図面を参照して、幾つかの実施形態にかかる計算機および制御方法を説明する。

（第１実施形態）
図１は、第１実施形態に係る計算機１００の構成例と計算機１００を含む情報記録システムの構成例を示すブロック図である。第１実施形態に係る計算機１００は、アプリケーションプログラム（以下、アプリケーションとも称する）などを実行する演算部１０１と、ダイナミックアクセスメモリ（ＤＲＡＭ）などの揮発性記録部１０２と、ＮＡＮＤ型フラッシュメモリを使って情報を保存するソリッドステートドライブ（ＳＳＤ）やハードディスクドライブ（ＨＤＤ）で構成される不揮発性記録部１０３と、ネットワークに接続するための通信インタフェース部（通信Ｉ／Ｆ部）１０４とで構成される。計算機１００は、ネットワーク１３０を介して認可サーバ１１０と接続している。また、計算機１００は、ネットワーク１３０を介して情報の読み書きができる情報記録装置１２０に接続していてもよい。ここで示す各構成要素の接続方法や構成方法は一例であり、記載の方法に限定するわけではない。

（構成要素とその説明）
図１に示すように、本実施形態の計算機１００は、演算部１０１、揮発性記録部１０２、不揮発性記録部１０３、および通信Ｉ／Ｆ部１０４を含む。揮発性記録部１０２は、演算部１０１が使用する情報を一時的に保存する。通信Ｉ／Ｆ部１０４はＩＥＥＥ８０２．３などの通信規格を用いてネットワーク１３０に接続しており、そのネットワーク１３０には認可サーバ１１０や情報記録装置１２０が接続している。認可サーバ１１０は、本実施形態の計算機１００内で発生する情報読み書き要求（すなわち、Ｉ／Ｏ要求）に対して実行許可もしくは実行不許可の認可判断を求める認可要求をネットワーク１３０経由で受信し、その結果を認可情報として応答することを特徴とするサーバ装置である。情報記録装置１２０は、ｉＳＣＳＩやＮＶＭ Ｅｘｐｒｅｓｓ^ＴＭ（ＮＶＭｅ^ＴＭ） ｏｖｅｒ Ｆａｂｒｉｃｓ（ＮＶＭｅ－ｏＦ）、ＮＶＭｅ／ＴＣＰなどのストレージプロトコルおよび通信プロトコルを介して情報の読み書きができる情報記録装置である。情報記録装置１２０の内部は一つ以上のストレージドライブ（ＳＳＤやＨＤＤ）や、（ドライブという形状ではなく）不揮発性メモリやバッテリバックアップ付きの揮発性メモリで情報を長期間記録できるように構成された装置である。本実施形態では、認可サーバ１１０や情報記録装置１２０の構成や実現形態については問わない。

図２は演算部１０１上でソフトウェアを用いて実行する処理を示した機能ブロック図である。ここでは演算部１０１の内部に処理が存在するものとして記載しているが、実際には不揮発性記録部１０３上にプログラムとして保存されている処理を揮発性記録部１０２に読み出し、演算部１０１は揮発性記録部１０２を参照しながら各処理を実行している。

アプリケーション２００は計算機１００上で実行するアプリケーションであり、例えば、文書作成アプリケーションやプレゼンテーションソフトウェアなどを指す。アプリケーション２００は、不揮発性記録部１０３や情報記録装置１２０に対して情報の読み書きを行う処理を含む。ストレージプロトコル処理２０１は、アプリケーション２００が要求した情報の読み書き（すなわち、情報の入出力）を不揮発性記録部１０３との間で適切に仲介する処理を行う。例えば、計算機１００に直接接続する不揮発性記録部１０３がＮＶＭｅで接続している場合には、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ（ＯＳ）が提供するＰｏｒｔａｂｌｅ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ ｆｏｒ ＵＮＩＸ^ＴＭ（ＰＯＳＩＸ）インタフェースの処理、ファイルシステムの処理、ブロックデバイスの処理、デバイスドライバの処理などが該当する。より具体的には、ストレージプロトコル処理２０１は、アプリケーション２００が要求した情報の読み書きに基づいて、ストレージ制御コマンドを生成する。ストレージ制御コマンドは、例えば、リードコマンド、ライトコマンドである。認可情報挿入処理２０２は、ストレージプロトコル処理２０１の前・途中・後のいずれかのタイミングにて処理前・処理中・処理後のＩ／Ｏ要求に認可情報を付与する。通信プロトコル処理２０３は、通信Ｉ／Ｆ部１０４を介して情報を送受信するためのパケット生成・送信・受信処理を行う。

認可情報要求処理２０４は、認可情報挿入処理２０２で認可情報が必要になった際に認可サーバ１１０と通信を行って認可情報を取得し、認可情報一時保存部２０６に保存したうえで、認可情報挿入処理２０２に返す処理を行う。また、認可情報一時保存部２０６に対応する認可情報が保持されている場合には、認可サーバ１１０と通信を行うことなく、それを読み出して認可情報挿入処理２０２に返す。

コンテキスト情報収集処理２０５は、認可情報要求処理２０４が認可サーバ１１０に認可情報を要求する際に必要な情報を集める処理である。集めた情報は揮発性記録部１０２のコンテキスト情報保存部２０７に保存しておく。この保存されている情報は、認可情報要求処理２０４が適切に読み出して認可情報取得要求として認可サーバ１１０に送信する際に利用する。なお、コンテキスト情報収集処理２０５は認可情報要求処理２０４の指示に基づいて実行する場合と、何らかのイベントが発生した場合に実行する場合の二通りの動作パターンがある。後者の例は、通信Ｉ／Ｆ部１０４がネットワーク１３０に接続したとき、計算機１００で実行しているＯＳへのログインが行われたとき、事前にセットしたタイマーが動作したとき、事前に設定された一定時間ごとの定期的な動作、などが考えられる。

識別子抽出処理２０９は、アプリケーション２００が使用する情報を特定する識別子を認可情報要求処理２０４が認可を要求する際に利用できるようにする。例えば、次の二つの処理を行うことで実現する。一つはアプリケーション２００の不揮発性記録部１０３に対する操作を監視して情報の第１の識別子（以下、この第１の識別子をアプリレベル識別子とも称する）を抽出する処理である。もう一つは、ストレージプロトコル処理２０１を監視して、アプリケーション２００が発行した情報の読み書き要求に含まれるアプリレベル識別子が、不揮発性記録部１０３を制御するためのＩ／Ｏコマンド（ストレージ制御コマンド）に変換された後の第２の識別子（以下、この第２の識別子をストレージレベル識別子とも称する）を取得する処理である。取得したアプリレベル識別子とストレージレベル識別子は、揮発性記録部１０２の識別子対応関係保存部２０８に保持しておく。認可情報要求処理２０４は、この対応関係を参照して適切な識別子を認可情報の要求に含める。なお、アプリレベル識別子とストレージレベル識別子が同じ場合には、本処理は省略されうる。対応する識別子対応関係保存部２０８も省略されうる。

（動作シーケンス 全体）
図３Ａおよび図３Ｂと図４は、計算機１００の典型的な動作シーケンスを示すフローチャートである。これらの図を用いて計算機１００の動作を述べる。図３Ａに示すように、本計算機１００の動作はアプリケーション２００にてデータの読み書き要求が発生することで始まる（ステップＳ３００、Ｓ３０１）。アプリケーション２００はストレージプロトコル処理２０１に読み書き要求を渡し、ストレージプロトコル処理２０１によってストレージ制御コマンドが生成される（ステップＳ３０２）。生成されたストレージ制御コマンドは認可情報挿入処理２０２によって捕捉（インターセプト）され（ステップＳ３０４）、認可情報挿入処理２０２が認可の必要なストレージ制御コマンドか否かを判定する（ステップＳ３０５）。認可情報挿入処理２０２は、ストレージ制御コマンドが不揮発性記録部１０３または情報記録装置１２０にアクセスするために認可情報を必要とするか否かを判断する認可情報要否判断処理を含む。あるいは、認可情報挿入処理２０２とは別に設けられた認可情報要否判断処理が演算部１０１によって実行されてもよい。なお、ストレージ制御コマンドが不揮発性記録部１０３または情報記録装置１２０にアクセスするために認可情報を必要とするか否かを判断することは、ストレージ制御コマンドに対応する読み書き要求が不揮発性記録部１０３または情報記録装置１２０にアクセスするために認可情報を必要とするか否かを判断することであると云える。

認可が必要なストレージ制御コマンドだった場合（ステップＳ３０５－ＹＥＳ）、図３Ｂに示すように、認可情報挿入処理２０２は認可情報要求処理２０４を実行し、認可済みのストレージ制御コマンドか否かを判定する（ステップＳ３０７）。具体的には、認可情報要求処理２０４は認可情報一時保存部２０６を参照し、判断中のストレージ制御コマンドに含まれるストレージレベル識別子に対応する有効な認可情報を保持しているかを確認する。認可済みの場合、すなわち、対応する認可情報を保持している場合（ステップＳ３０７－ＹＥＳ）、対応する認可情報を読み出し（ステップＳ３０８）、認可情報挿入処理２０２に返す。

認可済みのストレージ制御コマンドではなかった場合（ステップＳ３０７－ＮＯ）、認可情報要求処理２０４は認可情報を取得する（ステップＳ３１７）。認可情報の取得処理の詳細については図４で詳細に述べる。

正常に認可情報を取得できた場合（ステップＳ３１８－ＹＥＳ）、当該認可情報を認可情報挿入処理２０２に返す。正常に認可情報を取得できなかった場合（ステップＳ３１８－ＮＯ）、認可情報挿入処理２０２はストレージ制御コマンドをエラーとして処理させるためのエラー応答を生成し、ストレージプロトコル処理２０１に返す（ステップＳ３１９）。その後、ストレージプロトコル処理２０１は読み書き要求がエラーとなったことをアプリケーション２００に返す（ステップＳ３２０）。この場合は、以上で処理が終了する（ステップＳ３２１）。

ステップＳ３０８で認可情報を読み出した場合、あるいはステップＳ３１７で認可情報を正常に取得できた場合、ストレージプロトコル処理２０１は、認可情報の付与が必要なストレージ制御コマンドのアクセス先がローカル接続しているものか、ネットワークを介して接続しているものかを判断する（ステップＳ３０９）。つまり、ストレージプロトコル処理２０１は、認可情報の付与が必要なストレージ制御コマンドのアクセス先が、ローカルストレージであるか、それともネットワークストレージであるかを判断する。ローカル接続の場合（ステップＳ３０９－ＹＥＳ）、認可情報を受け取った認可情報挿入処理２０２は、受け取った認可情報を、対応するストレージ制御コマンドに付加する（ステップＳ３１０）。その後、ストレージ制御コマンドを不揮発性記録部１０３に向けて送信し（ステップＳ３１１）、処理を終了する（ステップＳ３１２）。

ネットワーク接続の場合（ステップＳ３０９－ＮＯ）、認可情報を受け取った認可情報挿入処理２０２は、受け取った認可情報を、対応するストレージ制御コマンドに付加し（ステップＳ３１３（１））、そのストレージ制御コマンドを通信プロトコル処理２０３に渡し、ネットワークに送信可能なパケットに加工する（ステップＳ３１４）。あるいは、ネットワーク接続の場合（ステップＳ３０９－ＮＯ）、対象となるストレージ制御コマンドを通信プロトコル処理２０３に渡し、ステップＳ３１４でネットワークに送信可能なパケットに加工した後もしくはパケットに加工する過程において、認可情報挿入処理２０２は、受け取った認可情報を、ストレージ制御コマンドに付加する（ステップＳ３１３（２））。その後、通信プロトコル処理２０３はパケットを通信Ｉ／Ｆ部１０４を介して情報記録装置１２０に向けて送信し（ステップＳ３１５）、処理を終了する（ステップＳ３１６）。

なお、図３Ａに示すように、認可が必要なストレージ制御コマンドではなかった場合（ステップＳ３０５－ＮＯ）、ストレージプロトコル処理２０１は、ストレージ制御コマンドのアクセス先がローカル接続しているものか、ネットワークを介して接続しているものかを判断する（ステップＳ３０６）。

ローカル接続の場合（ステップＳ３０６－ＹＥＳ）、計算機１００による動作はＢ１に接続する。すなわち、図３Ｂに示すステップＳ３１１に進む。

一方、ネットワーク接続の場合（ステップＳ３０６－ＮＯ）、計算機１００による動作はＢ２に接続する。すなわち、図３Ｂに示すステップＳ３１４に進む。なお、この場合、認可が必要なストレージ制御コマンドではないので、認可情報をストレージ制御コマンドに付加するステップＳ３１３（２）の動作は行われない。

図３Ａおよび図３Ｂの動作シーケンスではストレージ制御コマンドを不揮発性記録部１０３もしくは情報記録装置１２０に送信した後の応答処理については記載していないが、本実施形態を適用してない場合と同様の応答処理を行い、アプリケーション２００に処理が戻るものとする。

（動作シーケンス 認可情報の取得）
続いて、図４を用いて認可情報要求処理２０４が行う認可情報取得処理の詳細を述べる。図３Ａおよび図３Ｂで述べたように、認可情報取得処理は処理中のストレージ制御コマンドに対応する認可情報を保持していない場合に実行される（ステップＳ３０７－ＮＯ、Ｓ４０１）。本処理が実行されると、認可情報要求処理２０４は、最初に認可情報の要求に必要なコンテキスト情報が揃っていることを確認する（ステップＳ４０２）。つまり、認可情報要求処理２０４は、コンテキスト情報保存部２０７におけるコンテキスト情報の取得・保存状況を確認する。

コンテキスト情報が揃っていれば（ステップＳ４０３－ＹＥＳ）、認可情報要求処理２０４は、認可情報を要求する処理へと進む。コンテキスト情報が揃っていなければ（ステップＳ４０３－ＮＯ）、認可情報要求処理２０４は、コンテキスト情報収集処理２０５の実行を指示する（ステップＳ４０４）。

認可情報要求処理２０４の指示を受けてコンテキスト情報収集処理２０５が実行される。この処理は計算機１００で実行されるＯＳ（図示せず）や計算機１００に実装されている様々なデバイス（図示せず）を介して得られる情報を集める処理である。集める情報は認可サーバ１１０のポリシーに依存するが、例えば、現在実行しているＯＳのバージョン、セキュリティパッチの適用状態、アンチウィルスソフトなどのセキュリティ対策の実施状況、使用しているユーザの識別子、実行しているアプリケーション２００の識別子、ネットワークへの接続状態やＩＰアドレス、不揮発性記録部１０３や情報記録装置１２０に保存されている情報のうち参照している情報のアプリレベル識別子やストレージレベル識別子（なお、収集するタイミングで参照しているものでもよいし、前回の収集したタイミングから今回収集するタイミングまでの期間で参照されたものでもよい）、通信の通信相手（同様に、収集するタイミングで通信している相手だけでもよいし、前回の収集したタイミングから今回収集するタイミングまでの期間で実行された通信の相手全てであってもよい）、通信の内容（例えばアプリケーション２００がウェブブラウザであった場合、参照したＵＲＬを含む。ＵＲＬを集める期間の考え方については通信相手に対する期間と同様に扱う）などである。ＧＰＳや各種無線装置に基づく物理的な位置が取得できる仕組みを有している場合には、計算機１００の現在位置を収集してもよい。照度センサや加速度センサなどを具備している場合には、使用位置の明るさ、計算機１００が静止しているか動いているか、どのような向きで使用されているかなどの情報を収集しても良い。マイクが具備されている場合には、事前に設定された時間の音声を記録して収集してもよい。カメラが具備されている場合には、事前に設定されたタイミングで画像や動画を記録して収集してもよい。いずれにせよ、コンテキスト情報収集処理２０５は様々な情報を収集し、揮発性記録部１０２のコンテキスト情報保存部２０７に保存する。

認可情報要求処理２０４はコンテキスト情報収集処理２０５の実行を指示した後、一定時間待機してコンテキスト情報が保存されるのを待つ（ステップＳ４０５）。所定時間が経過するとコンテキスト情報保存部２０７の保存状態を確認する（ステップＳ４０６）。コンテキスト情報が保存されていれば（ステップＳ４０６－ＹＥＳ）、ステップＳ４０３に戻る。保存されていなければ（ステップＳ４０６－ＮＯ）、ステップＳ４０５に戻って再び一定時間待機する。

コンテキスト情報が揃っていた場合（ステップＳ４０３－ＹＥＳ）、認可情報要求処理２０４は、認可情報の要求に必要なコンテキスト情報をコンテキスト情報保存部２０７から読み出す（ステップＳ４０７）。認可情報の要求に必要なコンテキスト情報は、対応する読み書き要求が発生した際の状況と理由の少なくとも一方を示す。そして、認可情報要求処理２０４は、読み出したコンテキスト情報を含む認可要求メッセージを生成し、通信プロトコル処理２０３に渡す。通信プロトコル処理２０３は認可要求メッセージをネットワーク１３０で送受信可能なパケットの形に整形し、通信Ｉ／Ｆ部１０４を介して認可サーバ１１０に送信する（ステップＳ４０８）。

その後、認可情報要求処理２０４は認可サーバ１１０から応答を受信するまで待機する（ステップＳ４０９）。この間、一定時間間隔で応答の受信を確認するようにしてもよいし、通信Ｉ／Ｆ部１０４や通信プロトコル処理２０３からのトリガーによって処理が再開されるようにしてもよい。いずれにせよ、応答が受信できているかどうかを確認し（ステップＳ４１０）、受信できていなければ（ステップＳ４１０－ＮＯ）、ステップＳ４０９に戻って待機する。また、一定期間にわたって応答が得られない場合にはタイムアウトエラーとして扱う（図示せず）。

応答を受信できていた場合（ステップＳ４１０－ＹＥＳ）、認可情報要求処理２０４は、その内容を確認（検証）する（ステップＳ４１１）。正常な応答と確認できた場合（ステップＳ４１２－ＹＥＳ）、認可情報要求処理２０４は、応答に含まれていた認可情報を抽出し、揮発性記録部１０２の認可情報一時保存部２０６に保存する（ステップＳ４１３）。認可情報要求処理２０４は、これにより処理を終了する（ステップＳ４１４）が、正常に取得できた旨を呼び出し元である認可情報挿入処理２０２に通知してもよい。

正常な応答と確認できなかった場合（ステップＳ４１２－ＮＯ）、対応するストレージ制御コマンドをエラーとして扱うためのエラー応答を生成するよう認可情報挿入処理２０２に通知し（ステップＳ４１５）、処理を終了する（ステップＳ４１６）。

以上が本実施形態における計算機１００の基本的な動作シーケンスである。

（認可情報一時保存部）
揮発性記録部１０２に構成される認可情報一時保存部２０６について補足する。図５に認可情報一時保存部２０６の構成例を示す。図５では表形式（表５００）での構成例を示している。実際のデータ構造としてはリストや配列、ハッシュ表などで構成すればよい。表５００では各エントリは、認可情報を特定する識別子５０１、対応する認可情報の有効期限５０２、コンテキスト情報ハッシュ値５０３、および認可情報そのもの５０４で構成されている。認可情報５０４は認可サーバ１１０から受信した認可情報そのものを保持してもよいし、認可情報を保持している揮発性記録部１０２の中の領域に対するアドレスを保持してもよい。ひとつの実装の中で一方だけを使ってもよいし、両方を同時に使ってもよい。ここでは説明のため、行５１０は前者を、行５１１は後者を使った場合の例である（行５１１・列５０４は認可情報が保持されている領域５０５のアドレスを示す）。

列５０１の識別子は認可情報を要求した際のコンテキスト情報に基づいて生成される識別子である。例えば、識別子抽出処理２０９が抽出するアプリケーションやストレージプロトコル処理２０１の中で使われる識別子や一部のコンテキスト情報の組み合わせに基づく情報に対して、ハッシュ関数などを適用して生成する。この時、ハッシュ関数の衝突に備えてより詳細な識別情報を別途保存しておいてもよいし、検索コストを抑えるためにＢｌｏｏｍ Ｆｉｌｔｅｒなどの仕組みを用いてもよい。

列５０２の有効期限は、認可情報を認可サーバ１１０から取得した際に通知される、もしくは取得した認可情報に保持されている有効期限である。コンテキスト情報が同じ認可情報に対してはこの有効期限内であれば、認可情報を再取得する必要が無い期限を示す。認可情報挿入処理２０２は、コンテキスト情報のハッシュ値と有効期限とを確認し、認可情報が再利用できるかどうかを判断する。

列５０３のコンテキスト情報ハッシュ値は、認可情報を認可サーバ１１０に要求した際に送信したコンテキスト情報に対するハッシュ値である。この値が同じであれば状況が変わっていないものと判断する。つまり、コンテキスト情報ハッシュ値は、対応するコンテキスト情報の識別子として用いられる。なお、時刻など絶えず変化する値については、ハッシュ値を計算する際に除外する、適切な値に調整する（例えば、現在時刻であれは１０分単位にまとめるなど）などをしてよい。なお、列５０１の識別子もコンテキスト情報から計算される値であるが、コンテキスト情報ハッシュ値は認可サーバ１１０に送信した（原則として）すべてのコンテキスト情報から算出する。一方、列５０１の識別子は認可情報の生成由来を区別しうる一部のコンテキスト情報から算出する（これにより、識別子算出のオーバヘッドが小さくなる）。

（コンテキスト情報保存部）
揮発性記録部１０２に構成されるコンテキスト情報保存部２０７について補足する。図４の説明で述べた通り、コンテキスト情報は継続的に収集し保存してよい。その保存方法の一例として、図６に示すように、収集する情報ごとにリスト構造を構成し、コンテキスト情報保存部２０７に保存する方法が考えられる。この例では、保存するコンテキスト情報ごとにリストを構成しており、かつ各々のリストもリストを構成している。なお、片方向リストで構成しているが双方向リストでもよい。

一つ目のリストは要素６０１（１）～６０５（１）、二つ目のリストは要素６０１（２）、三つ目のリストは要素６０１（３）～６０３（３）、四つ目のリストは要素６０１（Ｎ）～６０４（Ｎ）である。各リストは、一つの種類のコンテキスト情報を表す。また、各リストは、例えば、コンテキスト情報の種類を特定するインデックス（識別子）とその最新の値へのリンクを保持しており、インデックス要素６００（１）、６００（２）、６００（３）、・・・、６００（Ｎ）がそれにあたる。

各要素の詳細は図６の下部に示した通りであるが、全体の構成も含めて一例であり他の形態に構成してもよい。例えば、図６の下部の左側に示すように、インデックス要素６００（Ｎ）は、対応するコンテキスト情報の種類を特定する識別子と、当該コンテキスト情報の最新の値を含む要素（例えば、要素６０１（Ｎ））へのリンク６１２と、別の種類のコンテキスト情報のインデックス要素へのリンク６１１を含む。また、例えば、図６の下部の右側に示すように、要素６０１（Ｎ）は、対応するコンテキスト情報の具体的な値６２０と、当該値が収集された時刻６２１と、当該値の一つ前に収集された値を含む要素（例えば、要素６０２（Ｎ））へのリンク６２２とを含む。

また、多様な情報を柔軟に保存できる仕組みとして、データベースソフトウェアを利用して構成してもよい。データベースの形式はＫｅｙ－Ｖａｌｕｅ（ＫＶ）型データベース、時系列データベース、リレーショナル型データベースなどを任意の形式を利用すればよい。保存するコンテキスト情報に応じて変えてもよいし、全体を一種類のデータベースで構成してもよい。その際、データベースソフトウェア自体は演算部１０１で動作し、保存する情報や管理情報をコンテキスト情報保存部２０７に保存する。また、コンテキスト情報の保存先として揮発性記録部１０２のコンテキスト情報保存部２０７を対象としていたが、一部または全部を不揮発性記録部１０３に保存してもよい。

その際、データベースアプリケーションが不揮発性記録部１０３に情報を保存したり情報を読み出したりする際に発生するストレージ制御コマンドは、認可不要なストレージ制御コマンドとして処理するようにしておく。これには、図７に示すような例外リストとして保持してもよいし、認可情報挿入処理２０２に埋め込みルールとして固定的に設定しておいてもよい。

（例外リスト）
図３ＡのステップＳ３０５に示したように、認可情報挿入処理２０２は認可情報の挿入が必要なストレージ制御コマンドと不要なストレージ制御コマンドを識別する必要がある。この識別処理は何らかの識別アルゴリズムに基づいて実現してもよいし、単純にセーフリストとブロックリストを用いて判断してもよい。セーフリストは、認可情報の挿入を必要としない条件を記載したものであり、記載された条件に該当しない場合には（すなわちデフォルトでは）、ストレージ制御コマンドに対する認可情報の挿入が必要と判断される。また、ブロックリストは、認可情報の挿入が必要な条件を記載したものであり、記載された条件に該当しない場合には（すなわちデフォルトでは）、ストレージ制御コマンドに対する認可情報の挿入が不要と判断される。

図７はセーフリストの例である。挿入要否はコンテキスト情報を用いて設定する。一例として図７では、ストレージ制御コマンドの発行元アプリケーション７０１、ストレージ制御コマンドの発行元アプリケーションを使用しているユーザ７０２、何らかのコンテキスト情報１ ７０３のようにコンテキスト情報を組み合わせている。一連のコンテキスト情報の組み合わせによって挿入が必要または不要なコマンド７０４を特定する。

図７の例では前述の認可情報挿入処理２０２で用いる条件のみ例示したが、他のケースに例外リストを利用してもよい。例えば保護を必要としないアプリケーションやＯＳによるプログラムの読込み、などが考えられる。

（識別子抽出処理と識別子対応関係保存部）
識別子抽出処理２０９は、前述の通り（１）アプリケーション２００が情報を特定するアプリレベル識別子を抽出し、（２）ストレージプロトコル処理部２０１が不揮発性記録部１０３や情報記録装置１２０の情報を識別するためのストレージレベル識別子との対応関係を生成する、という二つの処理を行う。処理の詳細は各実装に依存するため省略するが、一例として、各々に対応する以下の方法を挙げることができる。

アプリケーション２００が情報を特定するアプリレベル識別子の抽出は、ファイルとして情報を管理する場合にはｏｐｅｎ（）システムコールを監視することで抽出できる。例えば、
ＰＩＤ＝１１２９８
ｏｐｅｎ（“／ｄａｔａ／ｃｏｎｆｉｄｅｎｔｉａａｌ＿ｉｎｆｏ．ｄａｔ”， Ｏ＿ＲＤＯＮＬＹ， …）というシステムコールの実行が抽出できたとすると、ＰＩＤ（プロセスＩＤ）として１１２９８を持つプロセスがファイル“／ｄａｔａ／ｃｏｎｆｉｄｅｎｔｉａａｌ＿ｉｎｆｏ．ｄａｔ”を読み出そうとしていることが分かる。ＰＩＤとプロセス名の対応やＰＩＤと実行プログラムの場所（例えば、ＰＩＤ＝１１２９８のプロセスは／ｕｓｒ／ｓｂｉｎ／ｅｘａｍｐｌｅ＿ｄａｅｍｏｎであること）などはＯＳの機能を使って容易に把握できる。

一方、前述の手順で特定したアプリレベル識別子（この例ではファイル名）を、ストレージプロトコル処理２０１がストレージ制御コマンドに格納するストレージレベル識別子と対応づけるためには、ストレージプロトコル処理２０１の中で両者の変換を行っている部分に注目し、その対応関係を抽出すればよい。ファイルとして情報を管理する本例では、ｏｐｅｎ（）システムコールの後で実行されるファイルシステムの処理（これは前記ｏｐｅｎ（）ではなくｒｅａｄ（）やｗｒｉｔｅ（）システムコールであっても構わない）にて“／ｄａｔａ／ｃｏｎｆｉｄｅｎｔｉａａｌ＿ｉｎｆｏ．ｄａｔ”を不揮発性記録部１０３上の保存位置を特定するＬｏｇｉｃａｌ Ｂｌｏｃｋ Ａｄｄｒｅｓｓ（ＬＢＡ）に変換する部分で抽出すればよい。ただしファイルには長さがあるため、先頭を特定するアドレスと長さによって対応関係を表現する必要がある。なお、一つのファイルが複数の小断片に分かれて保存されている場合もある。そのようなケースでは変換のたびに対応関係を抽出していけばよい。

識別子抽出処理２０９は、抽出した対応関係を、図８のように揮発性記録部１０２の識別子対応関係保存部２０８に保存する。この関係保持のデータ構造には、ストレージレベル識別子と長さの組をキーとしてアプリレベル識別子を値とするＫｅｙ－Ｖａｌｕｅ Ｓｔｏｒｅ（ＫＶＳ）形式、３つの情報の組からなるリンクリスト形式や配列形式などが考えられる。図８では表８００にストレージレベル識別子８０１と長さ８０２、アプリレベル識別子８０３を保持している。行８１０はファイル名とアドレスが１対１に対応している例であり、対応するアドレスと長さを保持している。行８２０はファイルが小断片に分かれて保存されている例であり、複数のアドレスと長さを保持している。

認可情報要求処理２０４は図３のステップＳ３０７において認可情報の要求要否を判断する際に、認可情報挿入処理２０２からストレージプロトコル処理２０１が生成したストレージレベル識別子（および長さ）を受け取り、識別子対応関係保存部２０８を参照してストレージレベル識別子（および長さ）からアプリレベル識別子を特定する。その後、アプリレベル識別子とその他のコンテキスト情報を用いて認可情報一時保存部２０６の検索に必要な識別子を生成する。認可情報要求処理２０４は、例えば、アプリレベル識別子と少なくとも一部のコンテキスト情報とにハッシュ関数を適用して算出されるハッシュ値を、認可情報一時保存部２０６の検索に必要な識別子として生成する。

（認可情報の付加処理；ローカルストレージの場合）
認可情報挿入処理２０２は図３ＢのステップＳ３１０やステップＳ３１３（１）およびステップＳ３１３（２）で示したように、ストレージ制御コマンドに対して適切な認可情報を付与する処理を行う。認可情報挿入処理２０２は、ストレージ制御コマンドに対して適切な認可情報を付与するために、認可情報を、ストレージ制御コマンドに挿入するか、あるいは関連付ける。なお、認可情報挿入処理２０２は、ストレージ制御コマンドに対応する読み書き要求に対して、認可情報を挿入するか、あるいは関連付けてもよい。

はじめにローカルストレージ用のストレージ制御コマンドに認可情報を付与する場合を述べる。ここではＮＶＭｅを想定して説明するが、他のストレージプロトコルであってもよい。

第１の方法として専用コマンドを追加する方法が考えらえる。ＮＶＭｅには管理用のＡｄｍｉｎコマンドセット、Ｉ／Ｏを実行するＩ／Ｏコマンドセットなどが定義されているが、そのコマンドの一つとして認可情報を通知するコマンドを定義する方法である。この場合、認可情報とそれによって制御されるコマンドとの対応関係を定義して通知する必要がある。

関係を定義する方法の一つとしてＦＵＳＥＤ Ｏｐｅｒａｔｉｏｎ機能を利用してもよい。ＦＵＳＥＤ Ｏｐｅｒａｔｉｏｎは連続する二つのコマンドを一体のものとして扱って一つの効果を得る操作であるが、その一つ目のコマンドで認可情報を伝達し、二つ目のコマンドでＩ／Ｏコマンドを伝達するようにする。コマンドを受信した側では一つ目の認可情報を処理した段階で「不許可」であればエラー扱いになり、二つ目のＩ／Ｏコマンドは実行されない。これを実現するため、認可情報挿入処理２０２は挿入対象のストレージ制御コマンドを受け取るとそれを二つ目のコマンドとみなして、認可情報を含む一つ目のコマンドを生成する。両コマンドをＦＵＳＥＤ Ｏｐｅｒａｔｉｏｎとしてマーキングし、不揮発性記録部１０３に伝達する。

関係を定義する別の方法として、専用コマンドの中に認可対象となるストレージ制御コマンドの識別子を格納しておく方法がある。認可情報挿入処理２０２は挿入対象のストレージ制御コマンドを受け取ると、対応する識別子を抽出もしくは生成し、当該ストレージ制御コマンドの送信を保留する。その後、認可情報を送信する専用コマンドを生成し、その内部情報として前記識別子と認可情報を含める。最終的に、専用コマンド、認可情報の挿入対象となったストレージ制御コマンドの順で不揮発性記録部１０３に伝達する。

第２の方法としてメタデータとして扱う方法が考えられる。ＮＶＭｅのコマンドにはコマンドに付随する情報を伝えるためのメタデータを扱うフィールドが用意されており、対応するコマンドの後に配置されたメタデータの開始位置を指定したり、別バッファとして保存されているメタデータの場所を通知したりできるようになっている。この機能を用いる場合、認可情報挿入処理２０２は挿入対象のストレージ制御コマンドを受け取ると、そのメタ情報ポインタのフィールドに認可情報が保存されたバッファのアドレスを指定する。その後は通常通り、認可情報の挿入対象となったストレージ制御コマンドを不揮発性記録部１０３に伝達する。なお、認可情報を対象となるストレージ制御コマンドに連続するバッファに配置し直したうえで、その位置をメタ情報ポインタのフィールドに指定してもよい。

（認可情報の付加処理；ネットワークストレージの場合）
続いて、ネットワーク１３０を介して接続するストレージに対するストレージ制御コマンドに認可情報を付与する場合を述べる。例えば、通信Ｉ／Ｆ部１０４およびネットワーク１３０を介して通信可能な外部の情報記録装置１２０に設けられるストレージと接続していることを検出した際には、認可情報挿入処理２０２は、認可情報を、読み書き要求（Ｉ／Ｏ要求）、ストレージ制御コマンド、読み書き要求またはストレージ制御コマンドを含む通信プロトコルのヘッダ部またはデータ部、および読み書き要求またはストレージ制御コマンドを含む通信プロトコルの第１のパケットとは異なる第２のパケットのヘッダ部またはデータ部、のいずれかを用いる方法で情報記録装置１２０に通知する。第１のパケットとは異なる第２のパケットのヘッダ部またはデータ部を用いて認可情報を通知する場合、通信プロトコル処理２０３および通信Ｉ／Ｆ部１０４は、例えば、第１のパケットを送受信する物理接続または論理接続とは異なる物理接続または論理接続を用いる。

以下では、ＮＶＭｅ／ＴＣＰの場合を例に述べるが、他のネットワークストレージプロトコルでも同様の考え方で適用できる。

第１の方法は、認可情報をＮＶＭｅ／ＴＣＰで運ぶＮＶＭｅプロトコルの部分に付与する方法である。この場合、前述のローカルストレージと同様に処理すればよい。パケットに加工する前に認可情報の付与ができるので、図３ＢのフローチャートではステップＳ３１３（１）で付与する場合に相当する。

ただし、同じＮＶＭｅであってもコマンドを送信する通信プロトコルによって制約が異なる場合がある（例えばＮＶＭｅ／ＴＣＰではメタ情報を対象コマンドと分離した状態での送信はサポートされない）。このため、適用可能な方法のみを利用することになる。

第２の方法は、認可情報を通信プロトコルの部分に付与する方法である。この場合、パケットに加工した後もしくはパケットに加工する過程において認可情報を付与する。図３ＢのフローチャートではステップＳ３１３（２）で付与する場合に相当する。本方法の場合、例えばＩＰヘッダのオプション（ＩＰｖ４ ヘッダオプション、ＩＰｖ６ Ｄｅｓｔｉｎａｔｉｏｎ Ｏｐｔｉｏｎｓ Ｈｅａｄｅｒ）とする方法、ＴＣＰヘッダのオプションとする方法、新たなフィールドとして追加する方法の３つの可能性がある。

ＩＰオプションやＴＣＰオプションとして追加する場合、すでにパケットが形成されていればそれを走査して挿入場所を決め、その前後の領域に位置するフィールドに合わせて認可情報の前に付与するＩＰオプションヘッダ／ＴＣＰオプションヘッダを追加し、その後に認可情報を挿入する。パケットを生成する過程であれば、ＩＰヘッダ（またはＴＣＰヘッダ）を生成する段階で認可情報とそれに追加で付与するオプションヘッダのサイズに相当するバッファ領域を確保し、まとめてＩＰヘッダ（またはＴＣＰヘッダ）として生成する。図９は、ＩＰオプションまたはＴＣＰオプションとして、認可情報をパケットに追加する例を示す。

ＩＰオプションやＴＣＰオプションとして追加する場合、パケットロスによる再送を考慮した認可情報の再付与の仕組みが必要になる。例えば、ＴＣＰヘッダのシーケンス番号と付与する認可情報との対応関係を維持しておき、受信確認ができるまで保持しておく必要がある。なお、ＩＰオプションとして挿入する際にも再送はＴＣＰが行うため、ＴＣＰオプションとして挿入する場合と同じ処理が必要になる。これを実現するため、例えば図１０のように対応関係を揮発性記録部１０２に保持しておく。図１０はＴＣＰコネクションを識別する５タプル（宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、プロトコル）１００１、送信したパケット（＝認可情報を付与したパケット）のシーケンス番号１００２、対応する認可情報の識別子１００３で構成しており、送信パケットごとに行のエントリを追加し、受信確認ができたら削除される。

なお、認可情報挿入処理２０２が再送を検出できる場合には、検出のたびに前述の情報を参照して対応する認可情報を埋め込む。これは、例えば、認可情報挿入処理２０２に複数の実行方法を設け、呼び出し側となる通信プロトコル処理２０３が通常送信で呼び出す場合と再送で呼び出す場合を区別することで実現できる。一方、認可情報挿入処理２０２が再送を検出できない場合は、挿入対象となるパケットを受け取った際に、都度シーケンス番号を確認して送信済みの認可情報を付与するべきか、新しく通知されてきた認可情報を付与するべきかを判断する。

新たなフィールドとして追加する場合、その挿入位置によって必要な処理が異なる。ＴＣＰヘッダの直後（ＴＣＰオプションと位置は同じだが、ＴＣＰデータとして扱うようにする）やＮＶＭｅデータの直後（すなわち、パケットの最後）に付与する場合にはＴＣＰに対するデータとして扱われるため、前述の再送への対応は不要となる。一方、それ以外の位置に挿入する場合（例えば、ＩＰヘッダの後でＩＰオプションとして扱わない場合、ＩＰヘッダの前に挿入する場合）は再送への対応が必要となる。

ＮＶＭｅ／ＴＣＰでは、一つのＴＣＰパケットに複数のＮＶＭｅパケットを格納する場合や、一つのＮＶＭｅパケットが複数のＴＣＰパケットに分割されて格納される場合がある。本実施形態では認可情報をストレージ制御コマンドの単位で付与する必要があるため、複数のＮＶＭｅパケットを格納する場合はＩＰオプションやＴＣＰオプションとして付与する方法は使用できない（つまり、ＮＶＭｅのプロトコル部分に付与する方法しか採用できない）。また、複数のＴＣＰパケットに分割される場合には、先頭のパケットにだけ認可情報を付与すればよい。

（認可情報の付加処理；ネットワークストレージで複数のコネクションを使う場合）
認可情報をパケットに付与する場合、ＮＶＭｅ／ＴＣＰの通信処理に影響を与えてしまう。それを避けるため、新たに確立したＴＣＰコネクションを利用して認可情報を送信してもよい。受信側である情報記録装置１２０は、主たるＴＣＰコネクションを用いたＮＶＭｅによるストレージ制御コマンドを含むパケットの受信に加え、第２のＴＣＰコネクションで認可情報を含むパケットを受信して、ストレージ制御コマンドに対応づけたうえで、認可情報に基づいてストレージ制御コマンドを実行すればよい。例えば、ＮＶＭｅ／ＴＣＰでストレージとして利用を始めるＴＣＰコネクション（第１のＴＣＰコネクション）確立時に、追加で認可情報用の第２のＴＣＰコネクションを確立する。ストレージ制御コマンドの送信時に、当該ストレージ制御コマンドを特定する識別子を生成し、識別子と認可情報をペアにして第２のＴＣＰコネクションに送信する。なお、第１のＴＣＰコネクションの確立に用いられる物理接続が、第２のＴＣＰコネクションに用いられる物理接続と異なっていてもよい。

ストレージ制御コマンドと認可情報との送信順序は、ストレージ制御コマンドを先に送信して後から認可情報を送信する方法と、先に認可情報を送信して後からストレージ制御コマンドを送信する方法がある。認可情報のサイズが小さくてストレージ制御コマンド（およびそのデータ）が大きい場合には、先に認可情報を送るほうが良い。こうすることで受信側の情報記録装置１２０において、サイズが大きなストレージ制御コマンド（およびデータ）を長時間バッファする必要が無くなる。一方、ＲＥＡＤコマンドのようにストレージ制御コマンドの実行から応答を得るまでに時間かかる場合、先にストレージ制御コマンドを送信し、後から認可情報を送信するようにしてもよい。こうすることで受信側の情報記録装置１２０は投機的にストレージ制御コマンドを実行し、応答を返す直前に認可情報を判断して応答を返すか否かを判断することができる。これにより処理時間が隠蔽できる可能性がある。

なお、認可情報の送受信にはＴＣＰ以外の通信プロトコルを使ってもよい。例えばＵｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ（ＵＤＰ）を使ってもよいし、ＵＤＰベースで再送機能を備えるＱｕｉｃｋ ＵＤＰ Ｉｎｔｅｒｎｅｔ Ｃｏｎｎｅｃｔｉｏｎｓ（ＱＵＩＣ）を使ってもよい。第２のＴＣＰコネクションや別の通信プロトコルを使った送受信方法の維持管理は、認可情報挿入処理２０２が通信プロトコル処理２０３を制御して実現すればよい。

（認可情報の保護）
本実施形態で述べた認可情報は、認可サーバ１１０が生成する際に適切に暗号化もしくはメッセージダイジェストなどの暗号学的ハッシュ関数により生成されたハッシュ値が付与されているとする。これにより計算機１００上で動作する不正なプログラムが認可情報を改変したとしても、それを受信する不揮発性記録部１０３や情報記録装置１２０は異常を検出することができる。

（第１実施形態 まとめ）
以上が第１実施形態である。計算機１００では、ユーザもしくはアプリケーション２００が要求するストレージ（例えば、不揮発性記録部１０３、情報記録装置１２０）へのアクセスに対して、ユーザもしくはアプリケーションの介在を排した状態でストレージアクセスに必要な認可を自動取得したうえで、ストレージ制御コマンドが発行される。これにより、不正な操作によってストレージに保存されている情報が読み出されたり、不正な情報をストレージに書き込まれたりする可能性を減らすことができる。

（第２実施形態）
第１実施形態に係る計算機１００は、アプリケーション２００などを実行する演算部１０１において第１実施形態の基本的な処理（認可情報挿入処理２０２、認可情報要求処理２０４、コンテキスト情報収集処理２０５）を実行している。そのため、もし特権ユーザに昇格できるユーザやプログラムが不正な行為を行うと、途中の処理が改変される恐れがある。例えば認可情報とストレージ制御コマンドの対応関係を意図的に変更する不正が考えられる。この場合、実行が許可されたストレージ制御コマンドの認可情報を実行が禁止されるべきストレージ制御コマンドに埋め込むことで、不正な読み出しや書き込みが実現できてしまう。また、不正な認可情報を挿入してすべてのストレージアクセスを妨害する攻撃も考えられる。

（構成要素とその説明）
このような課題に対応するため、演算部の一部処理が安全に実行されるように変更する。図１１は本実施形態の構成例を示すブロック図である。第１実施形態と同じ構成要素には同じ番号を付している。

計算機１１００は第１実施形態とほぼ同じ構成であるが、演算部１１０１の中にセキュア領域１１０２が設けられている。セキュア領域１１０２の中には認可情報挿入処理２０２、認可情報要求処理２０４が含まれている。また揮発性記録部１１０３の一部にもセキュア領域１１０４が設けられ、演算部１１０１のセキュア領域１１０２からだけ参照できるような制限が設けられている。つまり、セキュア領域１１０４は、演算部１１０１のセキュア領域１１０２からだけ利用可能な隔離領域である。セキュア領域１１０４には、例えば、認可情報一時保存部２０６が含まれている。セキュア領域１１０２の内部で動作する一つ以上の処理は、外部で動作する別の一つ以上の処理とは分離して実行され、特定の条件を満たした場合に、内部の一つ以上の処理を外部の一つ以上の処理との間で情報および制御のやり取りが可能になる。具体的には、セキュア領域１１０２の内部で動作する一つ以上の処理と外部で動作する一つ以上の処理は、所定の手続きに基づく情報および制御の送受が必要である。所定の手続きに基づく情報および制御の送受は、例えば、特定のＡｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ（ＡＰＩ）を用いた情報の送受である。これにより、例えば、設計時に想定していない不正なプログラムが不正な認可情報の埋め込みを認可情報挿入処理２０２に依頼することはできなくなる。認可情報要求処理２０４が認可サーバ１１０から取得し、認可情報一時保存部２０６に保存されている認可情報も、不正なプログラムによる改変を受けたり読み出されたりしないようになる。

なお本実施形態を実現するにあたり、演算部１１０１の中に特定の処理を安全に実行するセキュア領域１１０２を設けて、そのセキュア領域１１０２内で実行される処理を安全とみなすようにしてもよいし（図１１の場合はこの方法）、演算部１１０１全体を安全とした上で特定の処理（のプログラム）を揮発性記録部１１０３上のセキュア領域１１０４に保存して実行することで、その処理を安全とみなしてもよい。この場合、それ以外の処理（プログラム）は揮発性記録部１１０３のセキュア領域１１０４以外の場所に保存したうえで実行されることになる。例えば、図１１と同様の構成を実現する場合、認可情報挿入処理２０２のプログラムと認可情報要求処理２０４のプログラムとがセキュア領域１１０４に保存され、それ以外の処理のプログラムがセキュア領域１１０４以外の場所に保存されて、実行される。

（動作シーケンス）
本実施形態の動作シーケンスは、第１実施形態と同じである。

（第２実施形態 まとめ）
以上が第２実施形態である。演算部１１０１にセキュア領域１１０２を設け、認可情報を扱う処理をその内部で実行することにより、より安全に認可情報を扱えるようになる。また、揮発性記録部１１０３にセキュア領域１１０４を設け、セキュア領域１１０４に認可情報一時保存部２０６を含めることで、認可情報一時保存部２０６に保存している認可情報に対する不正からも守ることができるようになる。

（第３実施形態）
これまでに述べた第１および第２実施形態では、計算機１００、１１００、特に演算部１１０１の内部で動作するソフトウェアとしてストレージ制御コマンドに認可情報を挿入して、ストレージに送信する実施形態だった。そのため、計算機１００、１１００に内蔵したローカルストレージとネットワークを介して利用するネットワークストレージとの双方に適用できた。第３実施形態ではネットワークを介して接続するストレージ装置に注目する。そして、通信Ｉ／Ｆ部に認可情報挿入処理とそれに必要な認可情報の一時保存処理をオフロードすることにより、演算部の負荷低減を図る。

（構成要素とその説明）
図１２は本実施形態の構成例を示すブロック図である。図１２の各構成要素は、これまでと同じ機能を具備する部分もあるが、改めて番号を振りなおしている。本実施形態の計算機１２００は、演算部１２０１、揮発性記録部１２０８、通信Ｉ／Ｆ部１２１１、不揮発性記録部１２１５で構成される。不揮発性記録部１２１５は、演算部１２０１で実行されるプログラムやデータなどを保持する部分であり、第１実施形態もしくは第２実施形態による認可情報を伴ってアクセスを保護するように実装されていてもよい。

演算部１２０１は計算機１２００で実行されるアプリケーション１２０２、ストレージプロトコル処理１２０３、通信プロトコル処理１２０６、認可情報要求処理１２０４、コンテキスト情報収集処理１２０５、識別子抽出処理１２０７などを実行する部分である。

揮発性記憶部１２０８は演算部１２０１が実行する処理のプログラムを一時的に保持したり、処理のデータを保持したりする機能を持つ。また、揮発性記憶部１２０８は、第１および第２実施形態と同様にコンテキスト情報を保持するコンテキスト情報保存部１２０９を具備する。また、揮発性記憶部１２０８は、アクセス対象の情報に対してアプリケーション１２０２が用いる識別子（アプリレベル識別子）とストレージプロトコルが用いる識別子（ストレージレベル識別子）の対応を保持する識別子対応関係保存部１２１０を具備していてもよい。

通信Ｉ／Ｆ部１２１１は、演算部１２０１で実行されるアプリケーション１２０２などが計算機１２００の外部と通信する際にパケットを送受信する機能を具備するほか、ネットワーク１３０を介して接続するストレージ（例えば、情報記録装置１２０）にアクセスする際に、必要に応じて認可情報を挿入する機能（認可情報挿入処理１２１２）を具備する。演算部１２０１で実行される各処理が通信Ｉ／Ｆ部１２１１に対して認可情報の挿入を指示する処理は、ハードウェア制御で用いられる一般的なインタフェース（例えば、Ｍｅｍｏｒｙ－Ｍａｐｐｅｄ Ｉ／Ｏ（ＭＭＩＯ）やＤｉｒｅｃｔ Ｍｅｍｏｒｙ Ａｃｃｅｓｓ（ＤＭＡ）転送など）で実現してよい。

なお、通信Ｉ／Ｆ部１２１１が適切なパケットに認可情報を挿入するために、通信Ｉ／Ｆ部１２１１は認可情報とパケットの対応関係を、ストレージプロトコル処理１２０３および通信プロトコル処理１２０６から受信する機能を具備する。この通知は例えば、パケットを識別するための情報（例えば、ＩＰヘッダのＩＤフィールドの値やＴＣＰヘッダのシーケンス番号フィールドの値、パケットの一部または全体にわたって計算されたハッシュ値など）と認可情報を、通信に先立って専用の制御コマンドで通知することで実現できる。さらに通知した認可情報を通信Ｉ／Ｆ部１２１１で一時保存可能か否かを指定してもよい。保存可能と通知された認可情報は、認可情報一時保存部１２１３で保持しておき、後続の関連するパケットに付加できる。その際、後続の関連するパケットを識別する条件（すなわち、後続の関連するパケットを識別するための情報）も前記通知に含めてよい。この場合、通信Ｉ／Ｆ部１２１１は、認可情報を、後続の関連するパケットを識別する条件に関連付けて、認可情報一時保存部１２１３で保存する。なお、ＴＣＰヘッダのシーケンス番号などから自明な繋がりで識別可能であれば、後続の関連するパケットを識別する条件を通知しなくてもよい。

また、通信Ｉ／Ｆ部１２１１が通知に基づいて認可情報の埋め込みを試みた際に、適切な認可情報が認可情報一時保存部１２１３に保存されていない場合、新たな認可情報の取得を促すために演算部１２０１に通知する機能も具備する。この通知は、例えば通信Ｉ／Ｆ部１２１１が所定のフラグをセットした状態で割り込みを発行して、ディスクリプタなどの適切な形で必要な認可情報の識別子を通知する等の方法で実現できる。

（動作シーケンス）
本実施形態の動作シーケンスを図１３に示す。基本的には図３Ａおよび図３Ｂを踏襲しているが、ネットワーク１３０を介したストレージ（例えば、情報記録装置１２０）を前提とする点および認可情報の挿入を通信Ｉ／Ｆ部１２１１で行う点に依存するステップが変更されている。

本動作シーケンスは、他の実施形態と同様にアプリケーション１２０２でデータの読み書き要求が発生することで始まる（ステップＳ１３０1、Ｓ１３０２）。アプリケーション１２０２の要求はストレージプロトコル処理１２０３でストレージ制御コマンドに変換され、通信プロトコル処理１２０６にてストレージ制御コマンドを含むパケットが生成される（ステップＳ１３０３）。その後、パケットは通信Ｉ／Ｆ部１２１１に通知される（ステップＳ１３０４）。

ストレージ制御コマンドを含むパケットを受信した通信Ｉ／Ｆ部１２１１は、通知されたパケットが認可の必要なストレージ制御コマンドを含んでいるかどうかを確認する（ステップＳ１３０５）。認可が不要なストレージ制御コマンドだった場合（ステップＳ１３０５－ＮＯ）、通信Ｉ／Ｆ部１２１１は、そのままパケットをネットワーク１３０に送信して処理を終了する（ステップＳ１３０８、Ｓ１３０９）。

認可が必要なストレージ制御コマンドだった場合（ステップＳ１３０５－ＹＥＳ）、通信Ｉ／Ｆ部１２１１は、対象のストレージ制御コマンド（またはパケット）が認可情報取得済みのストレージ制御コマンドかどうかを確認する（ステップＳ１３０６）。取得済みだった場合（ステップＳ１３０６－ＹＥＳ）、通信Ｉ／Ｆ部１２１１は、パケットを特定する識別子を抽出または算出したうえで、その識別子に対応する認可情報を認可情報一時保存部１２１３から読み出し、パケットに付加する（ステップ１３０７）。より具体的には、通信Ｉ／Ｆ部１２１１は、例えば、対象のストレージ制御コマンドを含むパケットが、認可情報一時保存部１２１３に保存された認可情報に対応する関連する後続パケットを識別する条件に該当する場合、その認可情報をパケットに付加する。その後、通信Ｉ／Ｆ部１２１１は、パケットをネットワーク１３０に送信して処理を終了する（ステップＳ１３０８、Ｓ１３０９）。

認可情報を取得できていないパケットだった場合（ステップＳ１３０６－ＮＯ）、通信Ｉ／Ｆ部１２１１は演算部１２０１に対して認可情報の取得を要求する（ステップＳ１３１０）。要求を受けた演算部１２０１（より詳しくは認可情報要求処理１２０４）では認可情報を認可サーバ１１０に要求し、取得する（ステップＳ１３１１）。ステップＳ１３１１の処理は図４で示した処理と同じであるため詳細は省略する。認可情報を正常に取得できなかった場合（ステップＳ１３１２－ＮＯ）、演算部１２０１は、認可情報の取得が必要となったストレージ制御コマンドに対するエラー応答を生成し（ステップＳ１３１４）、アプリケーション１２０２にエラー応答を返す（ステップＳ１３１５）。さらに、演算部１２０１は、通信Ｉ／Ｆ部１２１１で認可情報の取得を要求する契機となったパケットを破棄してエラー処理をするように通知する（ステップＳ１３１６）。この通知には、認可情報の通知で使うものと同じ仕組みを用いてよい。

認可情報を正常に取得できた場合（ステップＳ１３１２－ＹＥＳ）、演算部１２０１は、通信Ｉ／Ｆ部１２１１に認可情報を通知するとともに、認可情報の取得を要求する契機となったパケットとの対応関係を通知する（ステップＳ１３１３）。その後、通信Ｉ／Ｆ部１２１１はパケットに認可情報を付加する処理を再開し、パケットに認可情報を付加したうえで（ステップＳ１３０７）、パケットをネットワーク１３０に送信して（ステップＳ１３０８）、処理を終了する（ステップＳ１３０９）。

以上が本実施形態の動作シーケンスである。

（第３実施形態 まとめ）
以上が第３実施形態である。対象となるデータの保存先をネットワーク１３０越しに接続するストレージとした場合に、認可情報の挿入処理を演算部から通信Ｉ／Ｆ部にオフロードする構成とした。これにより、認可情報の付加に係る処理のオーバヘッドが削減でき、ストレージＩ／Ｏ処理の性能劣化を抑えて安全性を確保できるようになる。

（第４実施形態）
第４実施形態は第３実施形態の変形であり、認可情報挿入処理に加えてストレージプロトコル処理の一部と通信プロトコル処理も通信Ｉ／Ｆ部にオフロードする。

（構成要素とその説明）
図１４は本実施形態の構成例を示すブロック図である。図１２に示した第３実施形態との違いはストレージプロトコル処理がストレージプロトコル処理（前半）１４０３とストレージプロトコル処理（後半）１４１１に分割されていること、ストレージプロトコル処理（後半）１４１１と通信プロトコル処理１４１４が通信Ｉ／Ｆ部１４１０にオフロードされていることである。そのほかの構成要素については第３実施形態と同じである。

ストレージプロトコル処理は、ファイルシステムの処理などローカルストレージへのアクセスに必要な処理か否かで大きく分割する。ローカルストレージへのアクセスに必要な処理はストレージプロトコル処理（前半）１４０３に含まれ、ネットワークを介して接続するストレージに固有の処理をストレージプロトコル処理（後半）１４１１に含める。ストレージプロトコル処理（前半）１４０３は、通信プロトコル（例えばＮＶＭｅ）に依存しない処理である。ストレージプロトコル処理（後半）１４１１は、通信プロトコルに依存する処理である。

（動作シーケンス）
図１５に本実施形態の動作シーケンスを示す。このシーケンスは図１３に示した第３実施形態とほぼ同じである。読み書きの要求がストレージ制御コマンドの状態で通信Ｉ／Ｆ部１４１０に通知されるため、それに対応する部分が変更されている（ステップＳ１５０３、Ｓ１５０４、Ｓ１５０７、Ｓ１５０８、Ｓ１５０９、Ｓ１５１５、Ｓ１５１８）。以下、変更があったステップについて述べる。

ステップＳ１５０３は、ストレージプロトコル処理がストレージプロトコル処理（前半）１４０３とストレージプロトコル処理（後半）１４１１に分割されたことによる変更である。このステップＳ１５０３ではストレージプロトコル処理（前半）１４０３で実行可能なストレージ制御コマンドの生成までを行う。そのうえで、ステップＳ１５０４にてストレージ制御コマンドを通信Ｉ／Ｆ部１４１０に通知する。

ステップＳ１５０７とステップＳ１５０９は認可情報をストレージ制御コマンドに埋め込む形態により実行する場合と、実行しない場合がある。ステップＳ１５０７は認可情報をストレージプロトコルのレベルでストレージ制御コマンドへ埋め込む場合に実行するステップである。一方、ステップＳ１５０９は認可情報を通信プロトコルのレベルでパケットへ埋め込む場合に実行するステップである。これらの処理に挟まれるステップＳ１５０８はストレージ制御コマンドをパケットに加工するステップであり、新たに通信Ｉ／Ｆ部１４１０にオフロードした通信プロトコル処理１４１４で行う。

ステップＳ１５１５は演算部１４０１と通信Ｉ／Ｆ部１４１０とが認可情報を付加する対象を識別する方法がストレージ制御コマンドに変わったことによる変更である。すなわち、通信Ｉ／Ｆ部１４１０から通知されたストレージ制御コマンドと新たに取得した認可情報の対応関係を、演算部１４０１から通信Ｉ／Ｆ部１４１０に通知するように変更している。Ｓ１５１８も同様の変更である。

（第４実施形態 まとめ）
以上が第４実施形態である。対象となるデータの保存先をネットワーク１３０越しに接続するストレージとした場合に、認可情報の挿入処理に加えてストレージプロトコル処理の一部（ストレージプロトコル処理（後半）１４１１）と通信プロトコル処理１４１４を演算部から通信Ｉ／Ｆ部にオフロードする構成とした。これにより、認可情報の付加に係る処理のオーバヘッドがさらに削減でき、ストレージＩ／Ｏ処理の性能劣化を抑えて安全性を確保できるようになる。

（第３・第４実施形態の補足）
第３・第４実施形態の構成は、第１実施形態を元に一部の処理を通信Ｉ／Ｆ部にオフロードした。これに加え、第２実施形態で述べたセキュア領域１１０２，１１０４の概念を適用してもよい。すなわち、通信Ｉ／Ｆ部１２１１，１４１０にオフロードする処理のうち、認可情報の埋め込みに関する部分および認可情報の一時保存に関する部分をセキュア領域として実装して保護してもよい。さらに、演算部１２０１，１４０１の認可情報要求処理１２０４，１４０４も演算部１２０１，１４０１内のセキュア領域内に実装し、演算部１２０１，１４０１と通信Ｉ／Ｆ部１２１１，１４１０のセキュア領域とが連携して動作するように実現してもよい。

以上説明したように、第１乃至第４実施形態によれば、情報記録装置への不正なアクセスを防止できる。演算部は、アプリケーションプログラムを実行する。演算部は、アプリケーションプログラムから不揮発性記録部に対する第１のＩ／Ｏ要求を受信し、第１のＩ／Ｏ要求に基づいて不揮発性記録部を制御するための一つ以上の第１制御コマンドを生成し、不揮発性記録部を制御するストレージプロトコル処理を実行する。演算部は、第１のＩ／Ｏ要求または一つ以上の第１制御コマンドが、不揮発性記録部にアクセスするために認可情報を必要とするか否かを判断する認可情報要否判断処理を実行する。演算部は、第１のＩ／Ｏ要求または一つ以上の第１制御コマンドが、不揮発性記録部にアクセスするために認可情報を必要とすると判断した場合、外部のサーバ装置と通信インタフェース部を介して通信を行って、第１のＩ／Ｏ要求が発生した際の状況と理由の少なくとも一方を示すコンテキスト情報をサーバ装置に送信するとともに認可情報を要求し、サーバ装置から認可情報を取得する認可情報取得処理を実行する。演算部は、第１のＩ／Ｏ要求または一つ以上の第１制御コマンドに、取得した認可情報を挿入するか、あるいは関連付ける認可情報挿入処理を実行する。演算部は、認可情報取得処理で認可情報を要求する前に、サーバ装置に送信するコンテキスト情報を収集し、一時記録部に保存するコンテキスト収集処理を実行する。
よって、計算機では、例えば、アプリケーションが生成するストレージ（例えば、不揮発性記録部１０３、情報記録装置１２０）へのＩ／Ｏ要求に対して、アプリケーションの介在を排した状態で、ストレージへのアクセスに必要な認可情報を自動取得したうえで、ストレージ制御コマンドを発行する。これにより、不正な操作によってストレージに保存されている情報が読み出されたり、不正な情報をストレージに書き込まれたりする可能性を減らすことができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１００…計算機、１０１…演算部、１０２…揮発性記録部、１０３…不揮発性記録部、１０４…通信インタフェース部、１１０…認可サーバ、１２０…情報記録装置、１３０…ネットワーク、２００…アプリケーション、２０１…ストレージプロトコル処理、２０２…認可情報挿入処理、２０３…通信プロトコル処理、２０４…認可情報要求処理、２０５…コンテキスト情報収集処理、２０６…認可情報一時保存部、２０７…コンテキスト情報保存部、２０８…識別子対応関係保存部、２０９…識別子抽出処理。

Claims (14)

1. 不揮発性記録部との間で情報を入出力する処理を含むアプリケーションプログラムを実行する計算機であって、
   演算部と、
   前記計算機の外部の装置と通信プロトコルに従って通信するための通信インタフェース部と、
   前記演算部が使用する情報を一時的に保存する一時記録部と、
   を備え、
   前記演算部は、
   前記アプリケーションプログラムと、
   前記アプリケーションプログラムから前記不揮発性記録部に対する第１のＩ／Ｏ要求を受信し、前記第１のＩ／Ｏ要求に基づいて前記不揮発性記録部を制御するための一つ以上の第１制御コマンドを生成し、前記不揮発性記録部を制御するストレージプロトコル処理と、
   前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とするか否かを判断する認可情報要否判断処理と、
   前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とすると判断した場合、外部のサーバ装置と前記通信インタフェース部を介して通信を行って、前記第１のＩ／Ｏ要求が発生した際の状況と理由の少なくとも一方を示すコンテキスト情報を前記サーバ装置に送信するとともに認可情報を要求し、前記サーバ装置から認可情報を取得する認可情報取得処理と、
   前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドに、取得した前記認可情報を挿入するか、あるいは関連付ける認可情報挿入処理と、
   前記認可情報取得処理で認可情報を要求する前に、前記サーバ装置に送信する前記コンテキスト情報を収集し、前記一時記録部に保存するコンテキスト収集処理と、
   を実行する、
   計算機。
2. 前記演算部はさらに、
   前記アプリケーションプログラムが前記不揮発性記録部との間で第１情報を入出力する前記第１のＩ／Ｏ要求から、前記第１情報を特定するために用いる第１の識別子を抽出し、
   前記第１の識別子を含む前記不揮発性記録部への前記第１のＩ／Ｏ要求から前記ストレージプロトコル処理において前記不揮発性記録部を制御するために生成される前記一つ以上の第１制御コマンドから、前記第１情報を特定するために用いる一つ以上の第２の識別子を抽出し、
   前記第１の識別子と前記一つ以上の第２の識別子とを対応づけて前記一時記録部に保存する識別子抽出処理をさらに実行し、
   前記認可情報挿入処理は、前記一つ以上の第１制御コマンドに、取得した前記認可情報を挿入するか、あるいは関連付ける場合、前記識別子抽出処理により生成され、前記一時記録部に保存されている前記第１の識別子と前記一つ以上の第２の識別子の対応関係を用いて、取得した前記認可情報を挿入または関連付ける前記一つ以上の第１制御コマンドを特定する、
   請求項１に記載の計算機。
3. 前記認可情報取得処理はさらに、取得した前記認可情報、および前記認可情報の有効期限を、前記第１の識別子と前記一つ以上の第２の識別子の少なくとも一方と、前記認可情報を取得するために用いた前記コンテキスト情報に対する識別子とに関連付けて、前記一時記録部に保存し、
   前記ストレージプロトコル処理はさらに、前記アプリケーションプログラムとの間で前記不揮発性記録部に対する第２のＩ／Ｏ要求を受信し、前記第２のＩ／Ｏ要求に基づいて前記不揮発性記録部を制御するための一つ以上の第２制御コマンドを生成し、前記不揮発性記録部を制御し、
   前記認可情報要否判断処理はさらに、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とするか否かを判断し、
   前記認可情報挿入処理は、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とすると判断され、且つ前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドに対応する有効期限内の認可情報が前記一時記録部に保存されている場合、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドに対応する有効期限内の認可情報を、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドに挿入するか、あるいは関連付ける
   請求項２に記載の計算機。
4. 前記演算部はさらに、
   前記不揮発性記録部が前記通信インタフェース部を介して通信可能な外部装置を介して接続されていることを検出した場合に、Ｉ／Ｏ要求もしくは制御コマンドを通信プロトコルのデータとして扱って前記外部装置との間で通信を行う通信プロトコル処理
   を実行し、
   前記認可情報挿入処理は、前記不揮発性記録部が前記通信インタフェース部を介して通信可能な前記外部装置を介して接続していることを検出した際には、取得した前記認可情報を、Ｉ／Ｏ要求、制御コマンド、Ｉ／Ｏ要求または制御コマンドを含む通信プロトコルのヘッダ部またはデータ部、およびＩ／Ｏ要求または制御コマンドを含む通信プロトコルの第１のパケットとは異なる第２のパケットのヘッダ部またはデータ部、のいずれかを用いる方法で前記外部装置に通知する
   請求項３に記載の計算機。
5. 前記認可情報挿入処理は、前記第１のパケットと異なる前記第２のパケットのヘッダ部またはデータ部を用いて、取得した前記認可情報を通知する場合、前記第１のパケットを送受信する物理接続または論理接続とは異なる物理接続または論理接続を用いる
   請求項４に記載の計算機。
6. 前記演算部は、
   一つ以上の処理を別の一つ以上の処理とは分離して実行し、特定の条件を満たした場合に、前記一つ以上の処理を前記別の一つ以上の処理との間で情報および制御のやり取りが可能なセキュア領域を備え、
   前記認可情報取得処理と前記認可情報挿入処理とを前記セキュア領域で実行し、
   前記一時記録部は、
   前記演算部の前記セキュア領域から利用可能な隔離領域を有し、
   前記サーバ装置から取得した前記認可情報を前記隔離領域に一時的に保存する、
   請求項１乃至請求項５のいずれか一項に記載の計算機。
7. 不揮発性記録部との間で情報を入出力する処理を含むアプリケーションプログラムを実行する計算機であって、
   演算部と、
   前記計算機の外部の装置と通信プロトコルに従って通信するための通信インタフェース部と、
   前記演算部が使用する情報を一時的に保存する第１の一時記録部と、
   を備え、
   前記演算部は、
   前記アプリケーションプログラムと、
   前記アプリケーションプログラムとの間で前記不揮発性記録部に対する第１のＩ／Ｏ要求を受信し、前記第１のＩ／Ｏ要求に基づいて前記不揮発性記録部を制御するための一つ以上の第１制御コマンドを生成し、前記不揮発性記録部を制御するストレージプロトコル処理と、
   を実行し、
   前記通信インタフェース部は、前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とするか否かを判断する認可情報要否判断処理を実行し、
   前記演算部は、
   前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とすると判断された場合、外部のサーバ装置と前記通信インタフェース部を介して通信を行って、前記第１のＩ／Ｏ要求が発生した際の状況と理由の少なくとも一方を示すコンテキスト情報を前記サーバ装置に送信するとともに認可情報を要求し、前記サーバ装置から認可情報を取得する認可情報取得処理と、
   前記認可情報取得処理で認可情報を要求する前に、前記サーバ装置に送信する前記コンテキスト情報を収集し、前記第１の一時記録部に保存するコンテキスト収集処理と、
   を実行し、
   前記通信インタフェース部は、
   前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドに、取得した前記認可情報を挿入するか、あるいは関連付ける認可情報挿入処理を実行し、
   取得した前記認可情報を、前記通信インタフェース部内の第２の一時記録部に保存する
   計算機。
8. 前記演算部はさらに、
   前記アプリケーションプログラムが前記不揮発性記録部との間で第１情報を入出力する前記第１のＩ／Ｏ要求から、前記第１情報を特定するために用いる第１の識別子を抽出し、
   前記第１の識別子を含む前記不揮発性記録部への前記第１のＩ／Ｏ要求から前記ストレージプロトコル処理において前記不揮発性記録部を制御するために生成される前記一つ以上の第１制御コマンドから、前記第１情報を特定するために用いる一つ以上の第２の識別子を抽出し、
   前記第１の識別子と前記一つ以上の第２の識別子とを対応づけて前記第１の一時記録部に保存する識別子抽出処理をさらに実行し、
   前記認可情報挿入処理は、前記一つ以上の第１制御コマンドに、取得した前記認可情報を挿入するか、あるいは関連付ける場合、前記識別子抽出処理により生成され、前記第１の一時記録部に保存されている前記第１の識別子と前記一つ以上の第２の識別子の対応関係を用いて、取得した前記認可情報を挿入または関連付ける前記一つ以上の第１制御コマンドを特定する、
   請求項７に記載の計算機。
9. 前記通信インタフェース部はさらに、取得した前記認可情報を、当該認可情報を付与するパケットを識別するための情報に関連付けて、前記第２の一時記録部に保存し、
   前記ストレージプロトコル処理はさらに、前記アプリケーションプログラムとの間で前記不揮発性記録部に対する第２のＩ／Ｏ要求を受信し、前記第２のＩ／Ｏ要求に基づいて前記不揮発性記録部を制御するための一つ以上の第２制御コマンドを生成し、前記不揮発性記録部を制御し、
   前記認可情報要否判断処理はさらに、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とするか否かを判断し、
   前記認可情報挿入処理は、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とすると判断され、且つ前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドを含むパケットに対応する認可情報が前記第２の一時記録部に保存されている場合、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドに対応する認可情報を、前記第２のＩ／Ｏ要求または前記一つ以上の第２制御コマンドに挿入するか、あるいは関連付ける
   請求項８に記載の計算機。
10. 前記演算部はさらに、
    前記不揮発性記録部が前記通信インタフェース部を介して通信可能な外部装置を介して接続されていることを検出した場合に、Ｉ／Ｏ要求もしくは制御コマンドを通信プロトコルのデータとして扱って前記外部装置との間で通信を行う通信プロトコル処理
    を実行し、
    前記認可情報挿入処理は、前記不揮発性記録部が前記通信インタフェース部を介して通信可能な前記外部装置を介して接続していることを検出した際には、取得した前記認可情報を、Ｉ／Ｏ要求、制御コマンド、Ｉ／Ｏ要求または制御コマンドを含む通信プロトコルのヘッダ部またはデータ部、およびＩ／Ｏ要求または制御コマンドを含む通信プロトコルの第１のパケットとは異なる第２のパケットのヘッダ部またはデータ部、のいずれかを用いる方法で前記外部装置に通知する
    請求項９に記載の計算機。
11. 前記通信インタフェース部はさらに、
    前記不揮発性記録部が前記通信インタフェース部を介して通信可能な外部装置を介して接続されていることを検出した場合に、Ｉ／Ｏ要求もしくは制御コマンドを通信プロトコルのデータとして扱って前記外部装置との間で通信を行う通信プロトコル処理
    を実行し、
    前記認可情報挿入処理は、前記不揮発性記録部が前記通信インタフェース部を介して通信可能な前記外部装置を介して接続していることを検出した際には、取得した前記認可情報を、Ｉ／Ｏ要求、制御コマンド、Ｉ／Ｏ要求または制御コマンドを含む通信プロトコルのヘッダ部またはデータ部、およびＩ／Ｏ要求または制御コマンドを含む通信プロトコルの第１のパケットとは異なる第２のパケットのヘッダ部またはデータ部、のいずれかを用いる方法で前記外部装置に通知する
    請求項９に記載の計算機。
12. 前記認可情報挿入処理は、前記第１のパケットと異なる前記第２のパケットを用いて、取得した前記認可情報を通知する場合、前記第１のパケットを送受信する物理接続または論理接続とは異なる物理接続または論理接続を用いる
    請求項１０または請求項１１に記載の計算機。
13. 前記通信インタフェース部は、
    一つ以上の処理を別の一つ以上の処理とは分離して実行し、特定の条件を満たした場合に、前記一つ以上の処理を前記別の一つ以上の処理との間で情報および制御のやり取りが可能なセキュア領域を備え、
    前記認可情報挿入処理を前記セキュア領域で実行し、
    前記通信インタフェース部内の前記第２の一時記録部は、
    前記通信インタフェース部の前記セキュア領域から利用可能な隔離領域を有し、
    前記サーバ装置から取得した前記認可情報を前記隔離領域に一時的に保存する、
    請求項７乃至請求項１２のいずれか一項に記載の計算機。
14. 不揮発性記録部との間で情報を入出力する処理を含むアプリケーションプログラムを実行する計算機の制御方法であって、
    前記計算機は、
    前記計算機の外部の装置と通信プロトコルに従って通信するための通信インタフェース部と、
    情報を一時的に保存する一時記録部と、
    を備え、
    前記制御方法は、
    前記アプリケーションプログラムを実行し、
    前記アプリケーションプログラムから前記不揮発性記録部に対する第１のＩ／Ｏ要求を受信し、前記第１のＩ／Ｏ要求に基づいて前記不揮発性記録部を制御するための一つ以上の第１制御コマンドを生成し、前記不揮発性記録部を制御し、
    前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とするか否かを判断し、
    前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドが、前記不揮発性記録部にアクセスするために認可情報を必要とすると判断した場合、外部のサーバ装置と前記通信インタフェース部を介して通信を行って、前記第１のＩ／Ｏ要求が発生した際の状況と理由の少なくとも一方を示すコンテキスト情報を前記サーバ装置に送信するとともに認可情報を要求し、前記サーバ装置から認可情報を取得し、
    前記第１のＩ／Ｏ要求または前記一つ以上の第１制御コマンドに、取得した前記認可情報を挿入するか、あるいは関連付け、
    前記認可情報を要求する前に、前記サーバ装置に送信する前記コンテキスト情報を収集し、前記一時記録部に保存する、
    制御方法。

Images