JP2023137886A - ストレージ装置 - Google Patents

Abstract

【課題】データ保護機能が向上したストレージ装置を提供すること。【解決手段】実施形態に係るストレージ装置は、第１ユーザが割り当てられる第１記憶領域と第２ユーザが割り当てられる第２記憶領域を含むストレージと、前記第１記憶領域のデータ保護機能と、前記第２記憶領域のデータ保護機能と、を提供可能する第１コントローラと、前記第２記憶領域のデータ保護機能を提供可能な第２コントローラと、を具備する。前記第１コントローラは、前記データ保護機能に関する情報を記憶するテーブルを備える。前記第２コントローラは、前記テーブルを参照可能である。前記第１コントローラは、前記第１記憶領域に関する第１ユーザ認証を実行する第１権限と、前記第２記憶領域に関する第２ユーザ認証を実行する第２権限と、を有する。前記第１コントローラは、前記第１ユーザ認証に成功した場合、前記第１記憶領域のデータ保護機能を提供する。前記第２ユーザ認証に成功した場合、前記第２記憶領域のデータ保護機能を提供する。【選択図】図１２

Description

本発明の実施形態は、ストレージ装置に関する。

高速データ通信を行うためのシリアル転送方式の拡張インターフェース規格としてＰＣＩ－ｅ^ＴＭ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｅｘｐｒｅｓｓ）が広く知られている。このＰＣＩ－ｅ規格に準拠した単一のデバイスを複数の仮想デバイス（Ｖｉｒｔｕａｌ Ｆｕｎｃｔｉｏｎ）からなるストレージ装置として見せるための規格としてＳＲ－ＩＯＶ（Ｓｉｎｇｌｅ－Ｒｏｏｔ Ｉ／Ｏ Ｖｉｒｔｕａｌｉｚａｔｉｏｎ）がある。ＳＲ－ＩＯＶにより各仮想デバイスには専用のメモリ空間が割り当てられる。ホストからストレージ装置へＩＯアクセスする際、アクセスのパフォーマンスのオーバヘッドとなるＶＩ (Ｖｉｒｔｕａｌｉｚａｔｉｏｎ Ｉｎｔｅｒｍｅｄｉａｒｙ)（Ｈｙｐｅｒｖｉｓｏｒとも称される）を迂回してＤＭＡ転送を行う。尚、ＶＩは、物理リソースを抽象化し、複数の物理リソースを分離し、複数の物理リソースを仮想リソースにマッピングする。

一方、ストレージ装置のデータ保護機能としてＴＣＧ（Ｔｒｕｓｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｇｒｏｕｐ）が提案するＴＣＧ規格がある。しかし、現行のＴＣＧ規格のストレージ装置は、ＳＲ－ＩＯＶ規格のストレージ装置に十分に対応していない。そのため、ＳＲ－ＩＯＶ規格に準拠するストレージ装置に記憶されているデータの保護が十分ではない可能性がある。

米国特許出願公開第２０２１／７２８９３号明細書 米国特許出願公開第２０１７／２５７３１５号明細書 米国特許出願公開第２０１９／３８４９２３号明細書

本発明の目的は、データ保護機能を向上させたストレージ装置を提供することである。

実施形態に係るストレージ装置は、第１ユーザが割り当てられる第１記憶領域と第２ユーザが割り当てられる第２記憶領域を含むストレージと、前記第１記憶領域のデータ保護機能と、前記第２記憶領域のデータ保護機能と、を提供可能する第１コントローラと、前記第２記憶領域のデータ保護機能を提供可能な第２コントローラと、を具備する。前記第１コントローラは、前記データ保護機能に関する情報を記憶するテーブルを備える。前記第２コントローラは、前記テーブルを参照可能である。前記第１コントローラは、前記第１記憶領域に関する第１ユーザ認証を実行する第１権限と、前記第２記憶領域に関する第２ユーザ認証を実行する第２権限と、を有する。前記第１コントローラは、前記第１ユーザ認証に成功した場合、前記第１記憶領域のデータ保護機能を提供する。前記第２ユーザ認証に成功した場合、前記第２記憶領域のデータ保護機能を提供する。

実施形態に係るストレージ装置と、ストレージ装置と接続可能なホストデバイスを含む情報処理システムの一例を示すブロック図。 実施形態に係るストレージ装置のコントローラのデータ保護機能の一例を説明するためのブロック図。 実施形態に係るストレージ装置のユーザ領域に対するレンジ設定の一例を説明するための図。 実施形態に係るストレージ装置のグローバルレンジの一例を説明するための図。 実施形態に係るストレージ装置のネームスペース領域に対するレンジ設定の一例を説明するための図。 実施形態に係るストレージ装置におけるネームスペース領域の割り当て／割り当て解除の一例を説明するための図。 実施形態に係るストレージ装置におけるシングルネームスペースの場合のレンジ設定の一例を説明するための図。 実施形態に係るストレージ装置におけるマルチネームスペースの場合のレンジ設定の一例を説明するための図。 実施形態に係るストレージ装置のレンジと暗号鍵の関係の一例を説明するための図。 実施形態に係るストレージ装置のレンジと暗号鍵の関係の他の例を説明するための図。 実施形態に係るストレージ装置のレンジと暗号鍵の関係の他の例を説明するための図。 実施形態に係るストレージ装置のデータ保護機能の一例を説明するための論理的な構成を示すブロック図。 実施形態に係るストレージ装置のデータ保護機能の他の例を説明するための論理的な構成を示すブロック図。 実施形態に係るストレージ装置が記憶するＬｏｃｋｉｎｇテーブルの一例を示す図。 実施形態に係るストレージ装置が記憶するＬｏｃｋｉｎｇＩｎｆｏテーブルの一例を示す図。 実施形態に係るストレージ装置のＰＴＰｅｒによる認証処理の一例を示すフローチャート。 実施形態に係るストレージ装置の第１ＶＴＰｅｒによる認証処理の一例を示すフローチャート。

以下、図面を参照して、実施形態を説明する。以下の説明は、実施形態の技術的思想を具体化するための装置や方法を例示するものであって、実施形態の技術的思想は、以下に説明する構成要素の構造、形状、配置、材質等に限定されるものではない。当業者が容易に想到し得る変形は、当然に開示の範囲に含まれる。説明をより明確にするため、図面において、各要素のサイズ、厚み、平面寸法又は形状等を実際の実施態様に対して変更して模式的に表す場合もある。複数の図面において、互いの寸法の関係や比率が異なる要素が含まれることもある。複数の図面において、対応する要素には同じ参照数字を付して重複する説明を省略する場合もある。いくつかの要素に複数の呼称を付す場合があるが、これら呼称の例はあくまで例示であり、これらの要素に他の呼称を付すことを否定するものではない。また、複数の呼称が付されていない要素についても、他の呼称を付すことを否定するものではない。なお、以下の説明において、「接続」は直接接続のみならず、他の要素を介した接続も含む場合もある。

以下、図面を参照しながら本実施の形態について詳細に説明する。

図１は、実施形態に係るストレージ装置４と、ストレージ装置４と接続可能なホストデバイス（以下、単にホストと称する）２を含む情報処理システムの一例を示すブロック図である。ストレージ装置４は、ＳＲ－ＩＯＶ規格に準拠して動作する。ホスト２は、サーバやパーソナルコンピュータである。ホスト２とストレージ装置４は、ＰＣＩｅ規格に従って接続される。ホスト２とストレージ装置４は、ＮＶＭｅ（Ｎｏｎ－Ｖｏｌａｔｉｌｅ Ｍｅｍｏｒｙ Ｅｘｐｒｅｓｓ）^ＴＭ規格に従って通信を実行する。ストレージ装置４は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）として実現される。

ストレージ装置４は、ストレージ１２、バッファメモリ１４、及びコントローラ１０を有する。

ストレージ１２は、不揮発性の記憶媒体である。ストレージ１２は、ハードディスクや不揮発性メモリからから構成される。不揮発性メモリの例は、ＮＡＮＤ型フラッシュメモリ、ＮＯＲ型フラッシュメモリ、ＭＲＡＭ（Ｍａｇｎｅｔｏ－ｒｅｓｉｓｔｉｖｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＰＲＡＭ（Ｐｈａｓｅ ｃｈａｎｇｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲｅＲＡＭ（Ｒｅｓｉｓｔｉｖｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＦｅＲＡＭ（Ｆｅｒｒｏｅｌｅｃｔｒｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等である。ストレージ１２のユーザ領域は、複数のネームスペース領域（Ｎａｍｅｓｐａｃｅ領域）ＮＳ１、ＮＳ２、…ＮＳｎに分割されることができる。ネームスペース領域ＮＳ１、ＮＳ２、…ＮＳｎの各々は、例えば、異なるユーザに割り当てることが可能である。

バッファメモリ１４は、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等、揮発性メモリから構成される。

コントローラ１０は、ＳｏＣ（Ｓｙｓｔｅｍ Ｏｎ ａ Ｃｈｉｐ）から構成される。コントローラ１０は、ホスト２から送信されたコマンドに基づき、ストレージ１２を制御する。具体的には、コントローラ１０は、ホスト２から送信されたライトコマンドやリードコマンドを受け付ける。コントローラ１０は、ライトコマンドを受け付けると、バッファメモリ１４をデータの一時的な記憶領域として利用しながら、ホスト２から転送されてくるデータのストレージ１２への書き込み処理を行う。コントローラ１０は、リードコマンドを受け付けると、バッファメモリ１４をデータの一時的な記憶領域として利用しながら、ホスト２から要求されたデータのストレージ１２からの読み出し処理を実行する。

コントローラ１０は、ＦＥ（Ｆｒｏｎｔ Ｅｎｄ）部２０、ＢＥ（Ｂａｃｋ Ｅｎｄ）部２２、暗号化部２４、及びＴＰｅｒ（Ｔｒｕｓｔｅｄ Ｐｅｒｉｐｈｅｒａｌ）２６を有する。ＴＰｅｒ２６は、ＦＥ部２０を介してホスト２に接続される。ＴＰｅｒ部２６は、ＢＥ部２２を介してストレージ１２に接続される。ＦＥ部２０は、ＳＲ－ＩＯＶ規格に準拠して、ホスト２とＴＰｅｒ２６との接続を制御する。

コントローラ１０は、ストレージ１２のデータ保護機能として、ＴＣＧ規格に従うレンジ機能（Ｒａｎｇｅ Ｆｕｎｃｔｉｏｎ）と暗号化消去機能（Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｅｒａｓｅ Ｆｕｎｃｔｉｏｎ）とを備える。

レンジ機能は、ユーザ領域を複数の区画（レンジ（Ｒａｎｇｅ）とも称する）に分割し、レンジ毎にロック状態を設定する機能である。レンジ機能とは、ユーザ領域を複数の区画（以下、レンジ（Ｒａｎｇｅ）と称する）に分割し、それぞれのレンジに記録されるデータを異なる暗号鍵によってセキュアに保護する機能である。これにより、それぞれのレンジに対して異なるユーザを割り当て、各ユーザは割り当てられたユーザ領域のレンジに記録したデータをセキュアに管理することができる。尚、暗号鍵は、レンジ毎に設定され、各レンジはそれぞれの暗号鍵によってロック状態またはアンロック状態が設定可能となっている。ロック状態は、リードロック状態とライトロック状態を含む。アンロック状態は、リードアンロック状態とライトアンロック状態を含む。リードロック状態のレンジに記憶されているデータはリード不可である。リードアンロック状態のレンジに記憶されているデータはリード可である。ライトロック状態のレンジへのデータのライトは不可である。ライトアンロック状態のレンジへのデータのライトは可である。ロック状態とアンロック状態を設定できるユーザは、レンジに割り当てられているユーザである。

暗号化消去機能は、レンジ毎に、ユーザデータの暗号鍵を再生成（すなわち変更）することにより、レンジの全データを復号できなくさせる、すなわち、レンジの全データを無効化する機能である。暗号化消去を実行できるユーザは、レンジに割り当てられているユーザである。

ＴＰｅｒ２６は、ＴＣＧ規格に従うデータ保護機能を提供するための機能ブロックである。ストレージ装置４は、少なくとも１つのＴＰｅｒ２６を持つ。

ＳＲ－ＩＯＶ規格のストレージ装置は、仮想デバイス（Ｖｉｒｔｕａｌ Ｆｕｎｃｔｉｏｎ：以下ＶＦと称する）と物理デバイス（Ｐｈｙｓｉｃａｌ Ｆｕｎｃｔｉｏｎ：以下、ＰＦと称する）を備える。ＰＦとＶＦは、ＰＣＩｅ機能を提供するデバイスである。ＰＦは、ＳＲ－ＩＯＶ機能をサポートし、ＳＲ－ＰＣＩＭ、ＶＩまたはＳＩがアクセス可能である。ＳＲ－ＰＣＩＭ（Ｓｉｎｇｌｅ－Ｒｏｏｔ ＰＣＩ Ｍａｎａｇｅｒ）は、ＶＩに実装されるソフトウェア部品であり、ＰＦとＶＦの構成と管理を行う。ＳＩ（Ｓｙｓｔｅｍ Ｉｍａｇｅ）は、或る仮想リソース上で実行するように割り当てられたＯＳとアプリケーションを含むソフトウェア部品である。ＳＲ－ＩＯＶ機能とは、例えば、ＶＦを作成する機能を含む。一般的に、ＶＦが提供するＰＣＩｅ機能は、ＰＦが提供するＰＣＩｅ機能に比べて少ない。ＰＦは、ＦＥ部２０とＢＥ部２２に含まれる。ＶＦも、ＦＥ部２０とＢＥ部２２に含まれる。

ＴＰｅｒ２６は、ＰＦとＶＦについてのデータ保護機能を提供するための機能ブロックである物理ＴＰｅｒ（Ｐｙｓｉｃａｌ ＴＰｅｒ：以下、ＰＴＰｅｒと称する）３０と、ＶＦについてのデータ保護機能を提供するための機能ブロックである仮想ＴＰｅｒ（Ｖｉｒｔｕａｌ ＴＰｅｒ：以下、ＶＴＰｅｒと称する）３２を含む。ＰＴＰｅｒ３０及びＶＴＰｅｒ３２は、ＳＲ－ＩＯＶ規格に準拠するＦＥ部２０を介してホスト２と接続可能である。ＦＥ部２０は、ＳＲ－ＩＯＶ規格に準拠して、ホスト２とＰＴＰｅｒ３０及びＶＴＰｅｒ３２との接続を制御する。

ＰＴＰｅｒ３０は、従来のＴＣＧ規格のＴＰｅｒの機能と、ＶＴＰｅｒ管理機能とを提供する。ＶＴＰｅｒ管理機能とは、ＰＴＰｅｒ３０がＶＴＰｅｒ３２を作成したり、削除したりする機能、及び、ＶＴＰｅｒ３２へデータ保護機能の権限を移譲する機能である。データ保護機能の権限とは、例えば、レンジ機能を設定する権限や暗号化消去を実行する権限を含む。データ保護機能の権限を委譲することは、認証権限を委譲することを意味する。ＰＴＰｅｒ３０は、ＴＣＧ規格のデータ保護機能に関する全てのコマンドに対応する。ＶＴＰｅｒ３２は、一部のコマンドに対応できない。ＶＦの個数は複数の場合もある。ＶＦの個数が複数の場合、コントローラ１０は、複数のＶＴＰｅｒ３２を備える。

ＶＴＰｅｒ３２はデフォルトではＡｎｙｂｏｄｙ権限の処理のみ実行可能である。Ａｎｙｂｏｄｙ権限の処理の一例は、例えば、テーブルの参照である。ＶＴＰｅｒ３２は、ＰＴＰｅｒ３０からデータ保護機能の実行権限が移譲されると、自分に割り当てられたネームスペース領域やレンジのデータ保護の設定と実行を自分で出来るようになる。

暗号化部２４はＴＰｅｒ２６の制御の下で動作する。暗号化部２４は、ホスト２から転送されてくるデータを暗号化するとともに、ストレージ１２から読み出されたデータを復号する。

ＴＰｅｒ２６と暗号化部２４以外のコントローラ１０の機能は、ＦＥ部２０とＢＥ部２２により提供される。ＦＥ部２０は、ＴＰｅｒ２６を基準としてコントローラ１０の前段に位置づけられるホスト２寄りの機能を提供するモジュール全般を指す。ＢＥ部２２は、ＴＰｅｒ２６を基準としてコントローラ１０の後段に位置づけられるストレージ１２寄りの機能を提供するモジュール全般を指す。

ホスト２がライトコマンドを送信した場合、ＦＥ部２０が、ライトコマンドを受け付け、書き込み先を示す情報などとともに書き込みデータをＴＰｅｒ２６に引き渡す。

書き込み先がＰＦであるかＶＦであるかに応じて、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、書き込み先がデータ書き込み可能であるか否か、すなわち書き込み先はライトロック状態であるか否かの判定などを行う。ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、書き込み先がデータ書き込み可能である、すなわちライトアンロック状態であれば、書き込みデータを暗号化部２４に引き渡すとともに、書き込み先において使用されている暗号鍵によって書き込みデータを暗号化することを暗号化部２４に指示する。ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、書き込み先が書き込み不可、すなわちライトロック状態であれば、その旨をＦＥ部２０に通知する。ＦＥ部２０は、ライトコマンドに対する応答として、ホスト２にエラーを返送する。

暗号化部２４は、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２の指示に従い、書き込みデータを暗号化し、暗号化後の書き込みデータをＰＴＰｅｒ３０又はＶＴＰｅｒ３２に引き渡す。ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、暗号化された書き込みデータを、バッファメモリ１４を経由してＢＥ部２２へ引き渡し、ストレージ１２への書き込みをＢＥ部２２へ指示する。ストレージ１２への書き込みが完了すると、ＦＥ部２０は、ライトコマンドに対する応答として、書き込みが成功したことをホスト２に返送する。

ホスト２がリードコマンドを送信した場合、ＦＥ部２０が、リードコマンドを受け付け、読み出し先を示す情報などをＴＰｅｒ２６に引き渡す。

読み出し先がＰＦであるかＶＦであるかに応じて、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、指定された読み出し先からのデータの読み出し可能であるか否か、すなわち読み出し先はリードロック状態であるか否かの判定を行う。ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、読み出し先が読み出し可能、すなわちリードアンロック状態であれば、その旨をＦＥ部２０に通知する。ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、読み出し先が読み出し不可、すなわちリードロック状態であれば、その旨をＦＥ部２０に通知する。ＦＥ部２０は、リードコマンドに対する応答として、ホスト２にエラーを返送する。

ＦＥ部２０は、読み出し先を示す情報などをＢＥ部２２に引き渡して、ストレージ１２からのデータの読み出しをＢＥ部２２に指示する。ＢＥ部２２は、ストレージ１２から読み出したデータをバッファメモリ１４経由でＰＴＰｅｒ３０又はＶＴＰｅｒ３２に引き渡す。ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、ＢＥ部２２からバッファメモリ１４経由で受け取る暗号化された読み出しデータを暗号化部２４に引き渡すとともに、読み出し先において使用されている暗号鍵によって読み出しデータを復号することを暗号化部２４に指示する。ＦＥ部２０は、復号された読み出しデータを暗号化部２４から受ける。ＦＥ部２０は、リードコマンドに対する応答として、復号された読み出しデータをホスト２に送信する。

図２は、実施形態に係るストレージ装置４のコントローラ１０のデータ保護機能の一例を説明するためのブロック図である。図１のＦＥ部２０とＢＥ部２２は、図２ではＦＥ／ＢＦ部４０として纏めて示されている。ＦＥ／ＢＦ部４０は、ＰＦに関する機能ブロック４２と、ＶＦ４４に関する機能ブロック４４を含む。

ＰＴＰｅｒ３０とＶＴＰｅｒ３２は、同じ構造である。ＰＴＰｅｒ３０（又はＶＴＰｅｒ３２）は、インターフェースコントローラ（Ｉｎｔｅｒｆａｃｅ ｃｏｎｔｒｏｌｌｅｒ）５０、ＴＰｅｒセッションマネージャ（ＴＰｅｒ Ｓｅｓｓｉｏｎ Ｍａｎａｇｅｒ：以下、ＴＳＭと称する）５２、管理者セキュリティプロバイダ（Ａｄｍｉｎ Ｓｅｃｕｒｉｔｙ Ｐｒｏｖｉｄｅｒ：以下、Ａｄｍｉｎ ＳＰと称する）５４、及びＬｏｃｋｉｎｇセキュリティプロバイダ（以下、Ｌｏｃｋｉｎｇ ＳＰと称する）５６を有する。

インターフェースコントローラ５０は、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２とホスト２との間の通信が特定のインターフェースに依存しないようにする、換言すれば、インターフェース非依存の通信を実現するための処理を実行する。インターフェースコントローラ５０は、ＴＣＧに規定される各種インターフェースをサポートする。各種インターフェースは、ＮＶＭｅのほか、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）、ＡＴＡ（ＡＴ Ａｔｔａｃｈｍｅｎｔ）、ｅ・ＭＭＣ（Ｅｍｂｅｄｄｅｄ Ｍｕｌｔｉ Ｍｅｄｉａ Ｃａｒｄ）等でもよい。

ＴＳＭ５２は、ホスト２とＡｄｍｉｎ ＳＰ５４又はＬｏｃｋｉｎｇ ＳＰ５６との間の論理的な接続であるセッションを管理する。

Ａｄｍｉｎ ＳＰ５４とＬｏｃｋｉｎｇ ＳＰ５６は、テンプレートの複合体である。テンプレートは、関連するテーブルやメソッドの集合である。テーブルは、行と列を含むテーブルや、バイトストリームを含むテーブルである。データ保護機能に関する設定等のＴＣＧの設定は、設定に関するデータをテーブルに書き込むテーブル操作により行われる。ホスト２がテーブルやＡｄｍｉｎ ＳＰ５４やＬｏｃｋｉｎｇ ＳＰ５６に対する処理を指示する情報がメソッドである。

Ａｄｍｉｎ ＳＰ５４は、すべてのＳＰの共通機能用のベーステンプレートと、後述するＡｄｍｉｎ機能用のＡｄｍｉｎテンプレートによって構成される。Ｌｏｃｋｉｎｇ ＳＰ５６は、ベーステンプレートと、後述するレンジ機能を含むＬｏｃｋｉｎｇ機能用のＬｏｃｋｉｎｇテンプレートによって構成される。

ベーステンプレートは、テーブルアクセスやオーソリティ管理等のＡｄｍｉｎ ＳＰ５４やＬｏｃｋｉｎｇ ＳＰ５６の基本機能を定義する。ベーステンプレートのテーブルとしては、権限を有するユーザを定義するオーソリティテーブルや、ユーザのパスワードを定義するＣ＿ＰＩＮテーブル等がある。ベーステンプレートのメソッドとしては、テーブルの参照を指示するＧｅｔメソッドや、テーブル更新を指示するＳｅｔメソッドや、指定したＳＰを初期化するＲｅｖｅｒｔＳＰメソッド等がある。

Ａｄｍｉｎテンプレートは、Ａｄｍｉｎ機能を定義し、ＴＰｅｒ全体の管理や、他のＳＰの管理機能（初期化等）を管理する。Ａｄｍｉｎテンプレートのメソッドとしては、指定したＳＰを初期化するＲｅｖｅｒｔメソッドや、Ｌｏｃｋｉｎｇ ＳＰ５６を活性化（ａｃｔｉｖａｔｅ）するＡｃｔｉｖａｔｅメソッド等がある。

Ｌｏｃｋｉｎｇテンプレートは、レンジ機能を定義する。Ｌｏｃｋｉｎｇテンプレートのテーブルとしては、レンジのメタ情報を記憶するＬｏｃｋｉｎｇＩｎｆｏテーブルや、レンジ機能に関する設定を記憶するＬｏｃｋｉｎｇテーブルや、暗号論理を記憶するテーブル等がある。

Ａｄｍｉｎ ＳＰ５６は、Ａｄｍｉｎ機能を提供する。具体的には、Ａｄｍｉｎ ＳＰ５４は、Ｌｏｃｋｉｎｇ ＳＰ５６を活性化（Ａｃｔｉｖａｔｅ）したり、不活性化（Ｉｎａｃｔｉｖａｔｅ）したり、初期化するといったＬｏｃｋｉｎｇ ＳＰ５６のライフサイクル管理を実行する。Ｌｏｃｋｉｎｇ ＳＰ５６を活性化するとは、ネームスペース領域のデータ保護機能を有効にすることである。一方、Ｌｏｃｋｉｎｇ ＳＰ５６を不活性化するとは、ネームスペース領域のデータ保護機能を無効にすることである。Ｌｏｃｋｉｎｇ ＳＰ５６の不活性化は、初期化とも称する。Ａｄｍｉｎ ＳＰ５４は、常に活性化されている。Ｌｏｃｋｉｎｇ ＳＰ５６は、常に活性化されている場合と、デフォルトでは不活性化されている場合がある。

Ａｄｍｉｎ ＳＰ５４は、ストレージ装置４上に構築されているＴＰｅｒ２６がサポートする仕様（Ｓｅｃｕｒｉｔｙ ＳｕｂＣｌａｓｓ：ＳＳＣ）の種類などといったＴＰｅｒ２６の全体情報やＬｏｃｋｉｎｇ ＳＰ５６を管理する。ＳＳＣの種類は、ＰＴＰｅｒ３０やＶＴＰｅｒ３２をどのように構築するかによって異なり得る。また、全体情報には、後述する、ストレージ装置４全体でのレンジの設定可能数や、各ネームスペース領域でのレンジの設定可能数なども含まれる。

Ａｄｍｉｎ ＳＰ５４は、Ｌｏｃｋｉｎｇ ＳＰ５６のライフサイクル管理を、ホスト２から送信されたＴＣＧに関するメソッドに対応して実行する。データ保護機能を有効にするためのメソッドとしてＡｃｔｉｖａｔｅメソッドが定義されており、データ保護機能を無効にするためのメソッドとしてＲｅｖｅｒｔメソッドが定義されている。

Ｌｏｃｋｉｎｇ ＳＰ５６は、レンジ機能と暗号化消去機能を提供する。Ｌｏｃｋｉｎｇ ＳＰ５６は、レンジごとに、暗号鍵を管理したり、ロック状態やアンロック状態を設定したり、暗号化消去を実行することができる。レンジが設定されていない状態のユーザ領域は、全体がグローバルレンジ（Ｇｌｏｂａｌ Ｒａｎｇｅ）として扱われる。また、１以上のレンジが設定された状態のユーザ領域のうちのレンジが設定されていない領域も、グローバルレンジとして扱われる。

テーブルはバッファメモリ１４に記憶される。テーブルは、ストレージ装置４がシャットダウンする前に、ストレージ１２のユーザ領域以外のシステム領域に記憶される。ストレージ１２に記憶されているテーブルは、ストレージ装置４の電源が投入されると、バッファメモリ１４に記憶される。

図２は、レンジとネームスペース領域の割り当ての一例を示す。ＰＴＰｅｒ３０のＬｏｃｋｉｎｇ ＳＰ５６は、レンジ１等をネームスペース領域ＮＳ１等に割り当てる。ＶＴＰｅｒ３２のＬｏｃｋｉｎｇ ＳＰ５６は、レンジｍをネームスペース領域ＮＳｍに割り当てる。レンジｍは、ネームスペース・グローバルレンジ（Ｎａｍｅｓｐａｃｅ Ｇｌｏｂａｌ Ｒａｎｇｅ：ＮＳグローバルレンジ）と称する。ＰＴＰｅｒ３０のＡｄｍｉｎ ＳＰ５４は、グローバルレンジをネームスペース領域ＮＳｍ＋１～ＮＳｎに割り当てる。

図３は、実施形態に係るストレージ装置のユーザ領域に対するレンジ設定の一例を説明するための図である。最小の論理アドレスＬＢＡ０から最大の論理アドレスＭａｘＬＢＡまでのユーザ領域が複数のレンジ、例えば、レンジ１、レンジ２、レンジ３に分割される。

例えば、レンジ１に関して、データの暗号鍵として暗号鍵ＭＥＫ１が設定され、ユーザ１が割り当てられる。ユーザ１は、レンジ１に関して、例えばリードロック状態（ｒｅａｄ ｌｏｃｋｅｄ）とライトロック状態（ｗｒｉｔｅ ｌｏｃｋｅｄ）を設定する。ユーザ１は、レンジ１に関して暗号化消去を実行することができる。

レンジ２に関して、データの暗号鍵として暗号鍵ＭＥＫ２が設定され、ユーザ２が割り当てられる。ユーザ２は、レンジ２に関して、例えばリードロック状態（ｒｅａｄ ｌｏｃｋｅｄ）とライトアンロック状態（ｗｒｉｔｅ ｕｎｌｏｃｋｅｄ）を設定する。レンジ３に関して、データの暗号鍵として暗号鍵ＭＥＫ３が設定され、ユーザ３が割り当てられる。ユーザ３は、レンジ３に関して、例えばリードアンロック状態（ｒｅａｄ ｕｎｌｏｃｋｅｄ）とライトアンロック状態（ｗｒｉｔｅ ｕｎｌｏｃｋｅｄ）を設定する。

図４は、実施形態に係るストレージ装置のグローバルレンジの一例を説明するための図である。図３に示したように最小の論理アドレスＬＢＡ０から最大の論理アドレスＭａｘＬＢＡがユーザ領域であり、図４（ａ）のようにレンジが設定されていない場合は、ユーザ領域全体がグローバルレンジである。例えば、初期状態では、ユーザ領域全体がグローバルレンジである。グローバルレンジは、最大で“レンジ数＋１”個の領域である。図４（ｂ）は、２個のレンジ（レンジ１とレンジ２）がユーザ領域に設定された状態を示す。レンジ１とレンジ２は、ノングローバルレンジとなり、レンジ１とレンジ２以外のユーザ領域（ここでは斜線部の３つの領域）は、グローバルレンジである。グローバルレンジは、暗号鍵ＭＥＫが共通であり、レンジ機能に関する設定も共通である。

図５は、実施形態に係るストレージ装置のネームスペース領域に対するレンジ設定の一例を説明するための図である。

図５（ａ）はＴＣＧ規格の基本的な仕様におけるレンジ設定の一例を示す。この仕様はネームスペースを考慮していない。しかし、ユーザ領域全体を１つのネームスペース領域ＮＳ１とみなすと、この仕様は、マルチレンジ／シングルネームスペースに関するものであると言える。複数のレンジＲ１ａ、Ｒ２ａ、…Ｒｍａがユーザ領域全体であるネームスペース領域ＮＳ１に割り当てられる。複数のレンジＲ１ａ、Ｒ２ａ、…Ｒｍａ以外のネームスペース領域ＮＳ１の領域は、グローバルレンジ１０２である。レンジＲ１ａ、Ｒ２ａ、…Ｒｍａはノングローバルレンジと称する。

図５（ｂ）はＴＣＧ ＳＩＩＳ（Ｓｔｏｒａｇｅ Ｉｎｔｅｒｆａｃｅ Ｉｎｔｅｒｃｔｉｏｎｓ Ｓｐｅｃｉｆｉｃａｔｉｏｎ）規格におけるレンジ設定の一例を示す。この規格は、グローバルレンジ／マルチネームスペースに関する。ユーザ領域が複数のネームスペース領域ＮＳ１、ＮＳ２、…ＮＳｎに分割される。グローバルレンジ１０２がユーザ領域に割り当てられる。グローバルレンジ１０２に対して設定されたロック状態とアンロック状態は全部のネームスペース領域ＮＳ１、ＮＳ２、…ＮＳｎに反映される。

図５（ｃ）はＴＣＧ ＣＮＬ（Ｃｏｎｆｉｇｕｒａｂｌｅ Ｎａｍｅｓｐａｃｅ Ｌｏｃｋｉｎｇ）規格におけるレンジ設定の一例を示す。ＴＣＧでは、複数のネームスペースが設定された場合のネームスペース単位でのデータ保護機能を提供するためのＣＮＬ規格が策定されている。この規格は、マルチレンジ／マルチネームスペースに関する。

例えば、ユーザ領域が複数のネームスペース領域ＮＳ１、ＮＳ２、…ＮＳｎに分割される。グローバルレンジ１０２がネームスペース領域ＮＳ１に割り当てられる。ＮＳグローバルレンジ１０６がいくつかのネームスペース領域に割り当てられる。例えば、３つのＮＳグローバルレンジ１０６ａがネームスペース領域ＮＳ２に割り当てられ、２つのＮＳグローバルレンジ１０６ｂがネームスペース領域ＮＳｎに割り当てられる。

図５（ｃ）に例示されるように、ネームスペース・ノングローバルレンジ（ネームスペースがグローバルレンジに割り当てられないレンジ）（以下、ＮＳノングローバルレンジと称する）である、レンジのＲ１、Ｒ２がネームスペース領域ＮＳ２に割り当てられる。また、ＮＳノングローバルレンジＲｍがネームスペース領域ＮＳｎに割り当てられる。ネームスペース領域ＮＳ２の領域のうち、ＮＳノングローバルレンジＲ１、Ｒ２以外の領域は、ＮＳグローバルレンジ１０６ａである。ネームスペース領域ＮＳｎの領域のうち、ＮＳノングローバルレンジＲｎ以外の領域は、ＮＳグローバルレンジ１０６ｂである。

図６は、実施形態に係るストレージ装置４におけるネームスペース領域の割り当て／割り当て解除の一例を説明するための図である。図６（ａ）は、ユーザ領域としてネームスペース領域がグローバルレンジ１０２に割り当てられていない状態を示している。

図６（ａ）に示した状態において、ホスト２がＮＶＭｅ規格のｔｈｅ ｓｅｌｅｃｔ（ＳＥＬ）フィールドにＣｒｅａｔｅを指定したＮａｍｅｓｐａｃｅ Ｍａｎａｇｅｍｅｎｔコマンド（以下、Ｃｒｅａｔｅコマンド）をストレージ装置４に送信すると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、Ｃｒｅａｔｅコマンドに対応して１つのネームスペース領域をユーザ領域として割り当てる。

図６（ｂ）は、図６（ａ）のグローバルレンジ１０２に対して、１つのネームスペース領域ＮＳ１がユーザ領域として割り当てられた状態を示す。

図６（ｂ）に示した状態において、ホスト２がＮＶＭｅ規格のｔｈｅ ｓｅｌｅｃｔ（ＳＥＬ）フィールドにＤｅｌｅｔｅを指定したＮａｍｅｓｐａｃｅ Ｍａｎａｇｅｍｅｎｔコマンド（以下、Ｄｅｌｅｔｅコマンド）をストレージ装置４へ送信すると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、Ｄｅｌｅｔｅコマンドに対応して１つのネームスペース領域ＮＳ１のユーザ領域への割り当てを解除する。

ネームスペース領域ＮＳ１のユーザ領域への割り当てが解除されると、ユーザ領域は、図６（ａ）に示した状態に戻る。

一方、図６（ｂ）に示した状態において、ホスト２が（ｎ－１）個のＣｒｅａｔｅコマンドをストレージ装置４へ送信すると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、図６（ｃ）に示すように、Ｃｒｅａｔｅコマンドに対応して（ｎ－１）個のネームスペース領域ＮＳ２、…ＮＳｎをユーザ領域としてグローバルレンジ１０２に対してさらに割り当てる。

図６（ｃ）に示した状態で、ホスト２が（ｎ－１）個のＤｅｌｅｔｅコマンドをストレージ装置４へ送信すると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、Ｄｅｌｅｔｅコマンドに対応して（ｎ－１）個のネームスペース領域ＮＳ２、…ＮＳｎのユーザ領域への割り当てを解除する。ネームスペース領域ＮＳ２、…ＮＳｎのユーザ領域への割り当てが解除されると、ユーザ領域は、図６（ｂ）に示した状態に戻る。

図７は、実施形態に係るストレージ装置におけるシングルネームスペースの場合のレンジ設定の一例を説明するための図である。図７（ａ）は、図６（ｂ）と同様にグローバルレンジ１０２にユーザ領域としてネームスペース領域Ｎ１を割り当てた状態を示す。

例えば、ホスト２からＴＣＧ規格のＳｅｔメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“非０”を指定）がストレージ装置４に送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、１つのＳｅｔメソッドに対応して１つのノングローバルレンジにネームスペース領域ＮＳ１を割り当てる（図７（ａ））。ここで、“非０”の指定は、所定サイズのレンジを設定することを意味する。

その後、ホスト２からＴＣＧ規格のＳｅｔメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“非０”を指定）がストレージ装置４にｍ回送信されると、図７（ｂ）に示すようにｍ個のノングローバルレンジＲ１ａ、Ｒ２ａ、…Ｒｍａがネームスペース領域ＮＳ１に割り当てられる。ノングローバルレンジＲ１ａ、Ｒ２ａ、…Ｒｍａ以外のネームスペース領域ＮＳ１の領域は、グローバルレンジ１０２として維持される。

その後、図７（ｂ）に示した状態で、ホスト２からＳｅｔメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“０”を指定）が送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、１つのＳｅｔメソッドに対応して１つのノングローバルレンジの割り当てを解除する。ここで、“０”の指定は、レンジの設定を解除することを意味する。

このようにホスト２からＴＣＧ規格のＳｅｔメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“０”を指定）がｍ回送信され、ノングローバルレンジＲ１、Ｒ２、…Ｒｍの割り当てが解除されると、ユーザ領域は、図７（ａ）に示した状態に戻る。

図８は、実施形態に係るストレージ装置におけるマルチネームスペースの場合のレンジ設定の一例を説明するための図である。図８（ａ）は、図６（ｃ）と同様にグローバルレンジ１０２をネームスペース領域Ｎ１、ＮＳ２、…ＮＳｎに割り当てた状態を示す。

その後、図８（ｂ）に示すように、ホスト２からＴＣＧ規格のＡｓｓｉｇｎメソッドが送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、１つのＡｓｓｉｇｎメソッドに対応して１つのＮＳグローバルレンジを１つのネームスペース領域に割り当てる。例えば、図８（ｂ）に示すように、１つのＡｓｓｉｇｎメソッドに対応してＮＳグローバルレンジ１０６ａがネームスペース領域ＮＳ２に割り当てられ、他のＡｓｓｉｇｎメソッドに対応してＮＳグローバルレンジ１０６ｂがネームスペース領域ＮＳｎに割り当てられる。

図８（ｂ）に示した状態において、ホスト２からＴＣＧ規格のＤｅａｓｓｉｇｎメソッドが送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、ＤｅＡｓｓｉｇｎメソッドに対応して１つのＮＳグローバルレンジの割り当てを解除する。ここで、例えば、異なる２つのＤｅａｓｓｉｇｎメソッドがホストから送信されると、ＮＳグローバルレンジ１０６ａ、１０６ｂの割り当てが解除され、ユーザ領域は、図８（ａ）に示した状態に戻る。

一方、図８（ｂ）に示した状態において、ホスト２からＮＳグローバルレンジ１０６ａ、１０６ｂが割り当てられたネームスペース領域に対してＡｓｓｉｇｎメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“非０”を指定）が送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、１つのＡｓｓｉｇｎメソッドに対応して１つのＮＳノングローバルレンジをネームスペース領域に割り当てる。図８（ｃ）は、例えば、２つのＡｓｓｉｇｎメソッドに対応してＮＳノングローバルレンジＲ１とＲ２がネームスペース領域ＮＳ２に割り当てられ、１つのＡｓｓｉｇｎメソッドに対応してＮＳノングローバルレンジＲｍがネームスペース領域ＮＳｎに割り当てられた状態を示す。ＮＳノングローバルレンジＲ１、Ｒ２以外のネームスペース領域ＮＳ２の領域は、ＮＳグローバルレンジ１０６ａである。ＮＳノングローバルレンジＲｍ以外のネームスペース領域ＮＳｎの領域は、ＮＳグローバルレンジ１０６ｂである。

図８（ｃ）に示した状態で、ホスト２からＮＳノングローバルレンジＲ１、Ｒ２、Ｒｍが割り当てられたネームスペース領域に対してＤｅａｓｓｉｇｎメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“０”を指定）が送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、１つのＤｅＡｓｓｉｇｎメソッドに対応して１つのＮＳノングローバルレンジの割り当てを解除する。図８（ｃ）に示した状態で、ＮＳノングローバルレンジＲ１、Ｒ２、Ｒｍの割り当てが解除されると、ユーザ領域は、図８（ｂ）に示した状態に戻る。

図８（ｃ）に示した状態で、ホスト２からＳｅｔメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“０”を指定）が送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、１つのＳｅｔメソッドに対応して１つのＮＳノングローバルレンジをＮＳグローバルレンジに変更する。図８（ｄ）は、図８（ｃ）に示したＮＳノングローバルレンジＲｍがＮＳグローバルレンジＲｍｂに変更された状態を示す。

図８（ｄ）に示した状態で、ホスト２からＳｅｔメソッド（Ｒａｎｇｅ Ｌｅｎｇｔｈとして“非０”を指定）が送信されると、ＰＴＰｅｒ３０又はＶＴＰｅｒ３２は、１つのＳｅｔメソッドに対応して１つのＮＳグローバルレンジをＮＳノングローバルレンジに変更する。図８（ｃ）は、図８（ｄ）に示したＮＳグローバルレンジＲｍｂがＮＳノングローバルレンジＲｍに変更された状態を示す。

図９は、実施形態に係るストレージ装置のレンジと暗号鍵の関係の一例を説明するための図である。この例では、ユーザ領域にネームスペース領域ＮＳ１、ＮＳ２、及びＮＳ３が割り当てられ、ユーザ領域全体にグローバルレンジ１０２が割り当てられる（図９（ａ））。ＴＣＧ ＣＮＬ規格に対応するためには、少なくともネームスペース領域毎に１つの暗号鍵ＭＥＫを設定する必要がある。ネームスペース領域ＮＳ１、ＮＳ２、及びＮＳ３の暗号鍵として、ＭＥＫ１、ＭＥＫ２、及びＭＥＫ３が夫々割り当てられ、グローバルレンジ１０２に暗号鍵ＭＥＫ１、ＭＥＫ２、及びＭＥＫ３が関連付けられる（図９（ｂ））。グローバルレンジ１０２と暗号鍵の関係は１対多である。グローバルレンジ１０２に記憶されているデータを暗号化消去機能により削除する場合は、グローバルレンジ１０２に関連する全ての暗号鍵ＭＥＫ１、ＭＥＫ２、ＭＥＫ３を再生成する。

図１０は、実施形態に係るストレージ装置のレンジと暗号鍵の関係の他の一例を説明するための図である。図１０は、図９に示す状態で、Ａｓｓｉｇｎメソッドにより、ＮＳグローバルレンジ１０６がネームスペース領域ＮＳ２に割り当てられた状態を示す（図１０（ａ））。ＮＳグローバルレンジ１０６がネームスペース領域ＮＳ２に割り当てられても、ネームスペース領域と暗号鍵ＭＥＫ１、ＭＥＫ２、ＭＥＫ３との関係に変更はないが、暗号鍵とレンジとの関連付けが変更される。グローバルレンジ１０２に暗号鍵ＭＥＫ１とＭＥＫ３が関連付けられ、ＮＳグローバルレンジ１０６に暗号鍵ＭＥＫ２が関連付けられる（図１０（ｂ））。ＮＳグローバルレンジ１０６と暗号鍵の関係は１対１である。

図１１は、実施形態に係るストレージ装置のレンジと暗号鍵の関係の他の一例を説明するための図である。図１１は、図１０に示す状態で、Ａｓｓｉｇｎメソッドにより、ＮＳノングローバルレンジＲ１がネームスペース領域ＮＳ２に割り当てられた状態を示す（図１１（ａ））。暗号鍵として、ＮＳノングローバルレンジＲ１の暗号鍵ＭＥＫ２－１が追加される。グローバルレンジ１０２に暗号鍵ＭＥＫ１とＭＥＫ３が関連付けられ、ＮＳグローバルレンジ１０６に暗号鍵ＭＥＫ２が関連付けられ、ＮＳノングローバルレンジＲ１に暗号鍵ＭＥＫ２－１が関連付けられる。（図１１（ｂ））。ＮＳノングローバルレンジＲ１と暗号鍵の関係は１対１である。

図１２は、実施形態に係るストレージ装置４のデータ保護機能の一例を説明するための論理的な構成を示すブロック図である。

ストレージ装置４のコントローラ１０は、ホスト２に含まれるＯＳ（例えば、ブートＯＳ）２０２と接続される物理デバイスであるＰＦ２１２と、ＰＦ２１２についてのデータ保護機能を提供可能なＰＴＰｅｒ２２２を備える。ＰＴＰｅｒ２２２は、ＰＦ２１２に接続される。ＰＦ２１２は、図２に示したＰＦ４２に対応する。ＰＴＰｅｒ２２２は、図１、図２に示したＰＴＰｅｒ３０に対応する。ＰＦ２１２にはユーザ１とユーザ２が割り当てられている。ＰＦ２１２にはネームスペース領域ＮＳＩＤ１，ＮＳＩＤ２が割り当てられている。ネームスペース領域ＮＳＩＤ１，ＮＳＩＤ２にはそれぞれグローバルレンジ、レンジ１が割り当てられている。グローバルレンジ、レンジ１にはそれぞれユーザ１、ユーザ２が割り当てられている。ホスト２がＣｒｅａｔｅコマンドをストレージ装置４に送信すると、コントローラ１０は、Ｃｒｅａｔｅコマンドに対応してユーザ１にネームスペース領域ＮＳＩＤ１を割り当て、ユーザ２にネームスペース領域ＮＳＩＤ２を割り当て、ネームスペース領域ＮＳＩＤ１、ＮＳＩＤ２をＰＦ２１２のユーザ領域に割り当てる。

ＯＳ２０２の起動後、ホスト２は、第１仮想マシン（以下、第１ＶＭと称する）２０４と第２仮想マシン（以下、第２ＶＭと称する）２０６を生成する。第１ＶＭ２０４と第２ＶＭ２０６のＯＳは、ＯＳ２０２とは異なってもよい。仮想マシンの数は１個でも良いし、３個以上でもよい。第１ＶＭ２０４と第２ＶＭ２０６は互いに異なるデータをストレージ装置４に対してリード又はライトしてもよい。例えば、第１ＶＭ２０４は画像データをリード又はライトしてもよいし、第２ＶＭ２０６はテキストデータをリード又はライトしてもよい。

ホスト２は第１ＶＭ２０４を生成すると、第１仮想デバイス（以下第１ＶＦと称する）２１４と、第１ＶＦ２１４についてのデータ保護機能を提供する第１ＶＴＰｅｒ２２４とを生成する指示をストレージ装置４に送信する。第１ＶＦ２１４は、図２に示したＶＦ４４に対応する。第１ＶＴＰｅｒ２２４は、図１、図２に示したＶＴＰｅｒ３２に対応する。ホスト２は、第１ＶＦ２１４にユーザ１とユーザ３を割り当てる。ホスト２がＣｒｅａｔｅコマンドをストレージ装置４に送信すると、コントローラ１０は、Ｃｒｅａｔｅコマンドに対応してユーザ１のためのネームスペース領域ＮＳＩＤ１とユーザ３のためのネームスペース領域ＮＳＩＤ３を第１ＶＦ２１４のユーザ領域に割り当てる。

ホスト２は第２ＶＭ２０６を生成すると、第２仮想デバイス（以下第２ＶＦと称する）２１６と、第２ＶＦ２１６についてのデータ保護機能を提供する第２ＶＴＰｅｒ２２６とを生成する指示をストレージ装置４に送信する。第２ＶＦ２１６は、図２に示したＶＦ４４に対応する。第２ＶＴＰｅｒ２２６は、図１、図２に示したＶＴＰｅｒ３２に対応する。ホスト２は、第２ＶＦ２１６にユーザ１とユーザ４を割り当てる。ホスト２がＣｒｅａｔｅコマンドをストレージ装置４へ送信すると、コントローラ１０は、Ｃｒｅａｔｅコマンドに対応してユーザ１のためのネームスペース領域ＮＳＩＤ１とユーザ４のためのネームスペース領域ＮＳＩＤ４を第２ＶＦ２１６のユーザ領域に割り当てる。

複数の物理デバイスと仮想デバイスのユーザ領域に割り当てられているネームスペース領域は共通ネームスペース領域とも称する。ここでは、ネームスペース領域ＮＳＩＤ１は、ＰＦ２１２、第１ＶＦ２１４、及び第２ＶＦ２１６のユーザ領域に割り当てられているので、共通ネームスペース領域と称する。１つの物理デバイスまたは仮想デバイスのユーザ領域にのみ割り当てられているネームスペース領域ＮＳＩＤ２、ＮＳＩＤ３、ＮＳＩＤ４はプライベートネームスペース領域とも称する。

ストレージ装置４の複数のユーザは、それぞれに割り当てられたネームスペース領域についてのデータ保護機能を適用することができる。データ保護機能を適用するためには、ユーザ認証が必要である。コントローラ１０は、ユーザにデータ保護機能を提供する前に、ユーザ認証を実行する。

ＰＴＰｅｒ２２２は、ストレージ装置４に設定された全てのユーザ（例えばここでは、ユーザ１、ユーザ２、ユーザ３、ユーザ４）の認証権限を有する。ユーザ認証権限はユーザオーソリティとも称される。ＰＴＰｅｒ２２２のユーザ認証権限として、ここでは、ユーザ１、ユーザ２、ユーザ３、ユーザ４を設定している。ＰＴＰｅｒ２２２は、各ユーザに対してに認証が成功すると、ユーザそれぞれに割り当てられたネームスペース領域についてのデータ保護機能を提供できる。

一方、第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６のユーザ認証権限には、Ａｎｙｂｏｄｙが設定されている。ユーザ認証権限がＡｎｙｂｏｄｙであるということは、第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６がユーザ認証が不要な処理しか実行できないことを意味する。ユーザ認証不要の処理としては、例えば、テーブルを参照する処理がある。第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６は、ストレージ装置４の何れのユーザ（ユーザ１、ユーザ２、ユーザ３、ユーザ４）についても認証権限を有しない。第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６は、ユーザ１、ユーザ２、ユーザ３、又はユーザ４の認証を実行することができず、ユーザ１、ユーザ２、ユーザ３、又はユーザ４に割り当てられたネームスペース領域についてのデータ保護機能を提供することができない。

ここで、或る特定のユーザが自分に割り当てられたネームスペース領域についてのデータ保護機能を適用する場合には、ホスト２は、ストレージ装置４に対し、データ保護機能を適用すべきネームスペース領域についてのユーザ認証を実行するよう指示する。ＰＴＰｅｒ２２２は、その指示に従い、ユーザ認証を行い、ユーザ認証の結果をホスト２へ返送する。

ホスト２は、ユーザ認証が成功したネームスペース領域についてのＡｓｓｉｇｎメソッドをストレージ装置４へ送信する。ＰＴＰｅｒ２２２は、Ａｓｓｉｇｎメソッドに従って、ネームスペース領域にレンジを割り当てる。割り当ての一例では、ユーザ１のネームスペース領域ＮＳＩＤ１にはグローバルレンジを割り当て、ユーザ２のネームスペース領域ＮＳＩＤ２にレンジ２を割り当て、ユーザ３のネームスペース領域ＮＳＩＤ３にレンジ３を割り当て、ユーザ４のネームスペース領域ＮＳＩＤ４にレンジ４を割り当てる。

レンジの割り当て後、ホスト２はストレージ装置４へ或るレンジについてのＳｅｔメソッドを送信する。ＰＴＰｅｒ２２２は、Ｓｅｔメソッドに従って、レンジのロック状態またはアンロック状態を設定する。

ＰＴＰｅｒ２２２は、レンジのロック状態またはアンロック状態に関する設定情報を、Ｌｏｃｋｉｎｇテーブルに書き込む。Ｌｏｃｋｉｎｇテーブルは、レンジ毎のロック情報を記憶する行を含む。各行は、レンジの先頭位置、レンジの長さ、ロック状態またはアンロック状態、レンジが属するネームスペース領域ＩＤ、レンジがＮＳグローバルレンジであるかを示す情報等を記憶する。

コントローラ１０は、テーブル更新のコミット時に、Ｌｏｃｋｉｎｇテーブルのロック状態またはアンロック状態を参照し、レンジをリードロック状態またはリードアンロック状態、及びライトロック状態またはライトアンロック状態とする。

レンジの割り当て後、ホスト２はストレージ装置４へ或る特定のレンジについてのＧｅｎｋｅｙメソッド又はＥｒａｓｅメソッドを送信してもよい。ＰＴＰｅｒ２２２は、Ｇｅｎｋｅｙメソッド又はＥｒａｓｅメソッドに従って、レンジの暗号鍵を再生成し、データを無効化する。Ｅｒａｓｅメソッドは、暗号鍵の再生成に加えて、レンジのロックを解除し、ユーザのパスワードを初期化する。

ＰＴＰｅｒ２２２は、各ユーザの認証を実行し、それぞれのユーザ認証に成功した場合、ユーザに割り当てられたネームスペース領域についてのデータ保護機能を提供する。ＰＴＰｅｒ２２２は、ＰＦ２１２に記憶されているデータに限らず、第１ＶＦ２１４に記憶されているデータや第２ＶＦ２１６に記憶されているデータも、ＴＣＧ規格に従ってデータ保護機能を提供することができる。
以上述べたように、第１ＶＴＰｅｒ２２４、第２ＶＴＰｅｒ２２６などのＶＴＰｅｒを導入することにより、ＰＦを介さずに、それぞれのＡｎｙｂｏｄｙ権限により、テーブル参照などを行うことができる。従って、ストレージ装置４のデータ保護機能が向上する。

ＰＴＰｅｒ２２２は、一度適用したレンジ機能の内容を変更することもできる。例えば、ＰＴＰｅｒ２２２は、Ａｓｓｉｇｎメソッドに対応して新たなレンジをネームスペース領域に割り当て、Ｓｅｔメソッドに対応してレンジにロック状態またはアンロック状態を設定してもよい。ＰＴＰｅｒ２２２は、Ｓｅｔメソッドに対応してレンジのロック状態またはアンロック状態を変更してもよい。ＰＴＰｅｒ２２２は、ロック状態またはアンロック状態の変更をＬｏｃｋｉｎｇテーブルに反映させる。

図１３は、実施形態に係るストレージ装置４のデータ保護機能の他の例を説明するための論理的な構成を示すブロック図である。

図１２に示した例では、ＰＴＰｅｒ２２２が全てのネームスペース領域についてのデータ保護機能を一元的に提供する。一方、図１３に示した例では、ネームスペース領域のデータ保護機能はそのネームスペース領域が割り当てられているデバイスに関するＰＴＰｅｒ２２２、第１ＶＴＰｅｒ２２４、又は第２ＶＴＰｅｒ２２６により個別に提供される。ネームスペース領域のユーザ認証権限は、そのネームスペース領域に関連するＰＴＰｅｒ２２２、第１ＶＴＰｅｒ２２４、又は第２ＶＴＰｅｒ２２６に与えられる。

図１３に示す例では、初回のデータ保護機能の提供時は、ストレージ装置４の全てのユーザの認証権限はＰＴＰｅｒ２２２に与えられており、ＰＴＰｅｒ２２２が全てのネームスペース領域についてのデータ保護機能を提供する。その後、第１ＶＦ２１４に割り当てられているユーザ３の認証権限を第１ＶＴＰｅｒ２２４に移譲し、第２ＶＦ２１６に割り当てられているユーザ４の認証権限を第２ＶＴＰｅｒ２２６に移譲する。

２回目以降のデータ保護機能の提供時は、データ保護機能を適用するネームスペース領域が割り当てられているデバイスに関するＰＴＰｅｒ２２２、第１ＶＴＰｅｒ２２４、又は第２ＶＴＰｅｒ２２６がユーザ認証を行い、データ保護機能を提供する。

図１２を参照して説明したように、ホスト２は、第１ＶＦ２１４と第２ＶＦ２１６、及び第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６を生成した後、或る特定のネームスペース領域についてのデータ保護機能の提供をユーザから要求されると、ストレージ装置４に対して当該ネームスペース領域についてのユーザ認証を実行するよう指示する。この時は、ＰＴＰｅｒ２２２がストレージ装置４の全てのユーザを認証する権限を有する。

図１３に示した例の場合、第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６がユーザ認証権限を有することもあり得る。従って、或るユーザについてＰＴＰｅｒ２２２がユーザ認証権限を有するのか、あるいは、第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６がユーザ認証権限を有するのか、をコントローラ１０、ＰＴＰｅｒ２２２、第１ＶＴＰｅｒ２２４、又は第２ＶＴＰｅｒ２２６が認識した方がよい場合がある。そのため、ロック状態またはアンロック状態に関する情報を記憶するＬｏｃｋｉｎｇテーブルは、ユーザ認証権限の所有者がＶＦに割り当てられたかどうかの情報に関するＶＦ Ａｓｓｉｇｎｅｄ列をさらに有する。

図１４は、実施形態に係るストレージ装置４が記憶するＬｏｃｋｉｎｇテーブルの一例を示す。Ｌｏｃｋｉｎｇテーブルは、ＰＴＰｅｒ２２２のＬｏｃｋｉｎｇ ＳＰ５６に含まれるテーブルである。ＰＴＰｅｒ２２２は、レンジに関するロック状態またはアンロック状態の設定情報を、Ｌｏｃｋｉｎｇテーブルに書き込む。Ｌｏｃｋｉｎｇテーブルは、レンジ毎の各種情報を記憶する行を含む。尚、図１２に示した例で用いられるＬｏｃｋｉｎｇテーブルでは、図１４のテーブルからＶＦ Ａｓｓｉｇｎｅｄ列は除かれたものとなっている。

ＰＴＰｅｒ２２２は、ＵＩＤ列に、テーブルの行、すなわちレンジを特定するＩＤを書き込む。ＰＴＰｅｒ２２２は、Ｎａｍｅ列に、グローバルレンジ、レンジ１、レンジ２、レンジ３等のレンジの名前を書き込む。ＰＴＰｅｒ２２２は、Ｒａｎｇｅ Ｓｔａｒｔ列に、レンジの先頭の論理アドレスを書き込む。ＰＴＰｅｒ２２２は、Ｒａｎｇｅ Ｌｅｎｇｔｈ列に、レンジの長さ（バイト）を書き込む。

ＰＴＰｅｒ２２２は、ＲｅａｄＬｏｃｋｅｄ列、及びＷｒｉｔｅＬｏｃｋｅｄ列の夫々に、ＴＲＵＥ又はＦＡＬＳＥを書き込む。レンジがリードロック状態である場合、ＰＴＰｅｒ２２２は、ＲｅａｄＬｏｃｋｅｄ列に、ＴＲＵＥを書き込む。レンジがライトロック状態である場合、ＰＴＰｅｒ２２２は、ＷｒｉｔｅＬｏｃｋｅｄ列に、ＴＲＵＥを書き込む。

ＰＴＰｅｒ２２２は、ＮａｍｅｓｐａｃｅＩＤ列に、そのレンジが割り当てられているネームスペース領域のＩＤを書き込む。ＰＴＰｅｒ２２２は、Ｎａｍｅｓｐａｃｅ Ｇｌｏｂａｌ Ｒａｎｇｅ列に、ＴＲＵＥ又はＦＡＬＳＥを書き込む。レンジがＮＳグローバルレンジである場合、ＰＴＰｅｒ２２２は、Ｎａｍｅｓｐａｃｅ Ｇｌｏｂａｌ Ｒａｎｇｅ列に、ＴＲＵＥを書き込む。レンジがＮＳグローバルレンジではない場合、ＰＴＰｅｒ２２２は、Ｎａｍｅｓｐａｃｅ Ｇｌｏｂａｌ Ｒａｎｇｅ列に、ＦＡＬＳＥを書き込む。ＮＳグローバルレンジについては、レンジはネームスペース領域全体に割り当てられるので、ＰＴＰｅｒ２２２は、Ｒａｎｇｅ Ｓｔａｒｔ列とＲａｎｇｅ Ｌｅｎｇｔｈ列に０を書き込む。０が書き込まれているＲａｎｇｅ Ｓｔａｒｔ列とＲａｎｇｅ Ｌｅｎｇｔｈ列は、無効である。

ＰＴＰｅｒ２２２は、ＶＦ Ａｓｓｉｇｎｅｄ列に、ＴＲＵＥ又はＦＡＬＳＥを書き込む。ＶＦ Ａｓｓｉｇｎｅｄ列は、当該レンジが属するネームスペース領域に割り当てられているユーザの認証権限をＰＴＰｅｒ２２２が有するのか、第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６が有するのかを表す。

ＰＴＰｅｒ２２２がユーザ認証権限を有する場合、ＰＴＰｅｒ２２２は、ＶＦ Ａｓｓｉｇｎｅｄ列に、ＦＡＬＳＥを書き込む。第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６がユーザ認証権限を有する場合、すなわち、ユーザ認証権限がＰＴＰｅｒ２２２から第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６に移譲された場合、ＰＴＰｅｒ２２２は、ＶＦ Ａｓｓｉｇｎｅｄ列に、ＴＲＵＥを書き込む。初期状態では、全てのユーザの認証権限はＰＴＰｅｒ２２２が有するので、ＬｏｃｋｉｎｇテーブルのＶＦ Ａｓｓｉｇｎｅｄ列は全てＦＡＬＳＥが書き込まれている。

コントローラ１０は、ホスト２から或る特定のネームスペース領域についてのユーザ認証の指示を受けた時に、Ｌｏｃｋｉｎｇテーブルの対応するネームスペース領域の行のＶＦ Ａｓｓｉｇｎｅｄ列を参照することにより、当該ネームスペース領域についてのユーザ認証権限を有するモジュールを知ることができる。コントローラ１０は、ユーザ認証権限を有するモジュール、すなわちＰＴＰｅｒ２２２によりユーザ認証を実行させる。

ユーザ認証が成功した場合、ホスト２は、ストレージ装置４へＡｓｓｉｇｎ２メソッドとＳｅｔメソッドを送信する。

Ａｓｓｉｇｎ２メソッドは、今までの説明で用いられたレンジを割り当てるＡｓｓｉｇｎメソッドの変形である。Ａｓｓｉｇｎ２メソッドは、Ａｓｓｉｇｎメソッドに対して、パラメータが１つ追加されている。パラメータとは、ホスト２がストレージ装置４へ送信する情報である。Ａｓｓｉｇｎ２メソッドのパラメータは、ＮａｍｅｓｐａｃｅＩＤと、Ｒａｎｇｅ Ｓｔａｒｔと、Ｒａｎｇｅ Ｌｅｎｇｔｈと、ＶＦ Ａｓｓｉｇｎｅｄを含む。この時、ＶＦ Ａｓｓｉｇｎｅｄは省略可能である。

ＰＴＰｅｒ２２２は、Ａｓｓｉｇｎ２メソッドのパラメータに従って、ネームスペース領域にレンジを割り当てる。割り当ての一例では、ネームスペース領域ＮＳＩＤ１にグローバルレンジを割り当て、ネームスペース領域ＮＳＩＤ２にレンジ１を割り当て、ネームスペース領域ＮＳＩＤ３にレンジ２を割り当て、ネームスペース領域ＮＳＩＤ４にレンジ３を割り当てる。

ＰＴＰｅｒ２２２は、割り当て結果をＬｏｃｋｉｎｇテーブルに書き込む。Ａｓｓｉｇｎ２メソッドのパラメータＶＦ Ａｓｓｉｇｎｅｄが省略された場合、ＰＴＰｅｒ２２２は、ＬｏｃｋｉｎｇテーブルのＶＦ Ａｓｓｉｇｎｅｄ列のデータを書き換えない。

ストレージ装置４は、Ａｓｓｉｇｎ２メソッドの応答としてホスト２へ戻り値を送信する。Ａｓｓｉｇｎ２メソッドの戻り値は、ＵＩＤと、Ｎａｍｅｓｐａｃｅ Ｇｌｏｂａｌ Ｒａｎｇｅを含む。ＵＩＤは、ネームスペース領域に割り当てたレンジのＩＤである。レンジがＮＳグローバルレンジである場合、ＰＴＰｅｒ２２２は、Ｎａｍｅｓｐａｃｅ Ｇｌｏｂａｌ Ｒａｎｇｅ列に、ＴＲＵＥを書き込む。レンジがＮＳノングローバルレンジである場合、ＰＴＰｅｒ２２２は、Ｎａｍｅｓｐａｃｅ Ｇｌｏｂａｌ Ｒａｎｇｅ列に、ＦＡＬＳＥを書き込む。

Ｓｅｔメソッドは、ホスト２がストレージ装置４へ送信する情報であるパラメータを伴なう。Ｓｅｔメソッドのパラメータは、レンジのＵＩＤと、ＲｅａｄＬｏｃｋｅｄがＴＲＵＥ又はＦＡＬＳＥであるかの情報と、ＷｒｉｔｅＬｏｃｋｅｄがＴＲＵＥ又はＦＡＬＳＥであるかの情報を含む。ＰＴＰｅｒ２２２は、パラメータのデータをＬｏｃｋｉｎｇテーブルの対応する列に書き込み、レンジのロック状態またはアンロック状態を設定する。

これにより、或る特定のネームスペース領域についての初回のデータ保護機能の提供が終了する。

この後、ホスト２は、データ保護機能が既に提供されているレンジ、例えばレンジ２が属するネームスペース領域ＮＳＩＤ３のユーザ認証権限をＰＴＰｅｒ２２２から第１ＶＴＰｅｒ２２４へ移譲したい場合、Ａｓｓｉｇｎ２メソッドをストレージ装置４へ送信する。ホスト２は、Ａｓｓｉｇｎ２メソッドのパラメータの中のＮａｍｅｓｐａｃｅＩＤに２を設定し、ＶＦ ａｓｓｇｉｎｅｄにＴＲＵＥを設定する。ＰＴＰｅｒ２２２は、このＡｓｓｉｇｎ２メソッドのパラメータに従って、ＰＴＰｅｒ２２２のＬｏｃｋｉｎｇ ＳＰ５６に含まれるＬｏｃｋｉｎｇテーブルのネームスペース領域ＮＳＩＤ３の行のＶＦ ａｓｓｇｉｎｅｄ列をＦＬＡＳＥからＴＲＵＥに書き換える。

ＰＴＰｅｒ２２２は、Ｌｏｃｋｉｎｇテーブルを更新する毎に、Ｌｏｃｋｉｎｇテーブルを第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６に送信する。第１ＶＴＰｅｒ２２４は、Ｌｏｃｋｉｎｇテーブルを第１ＶＴＰｅｒ２２４のＬｏｃｋｉｎｇ ＳＰ５６に記憶する。第２ＶＴＰｅｒ２２６は、Ｌｏｃｋｉｎｇテーブルを第２ＶＴＰｅｒ２２６のＬｏｃｋｉｎｇ ＳＰ５６に記憶する。これにより、ＰＴＰｅｒ２２２、第１ＶＴＰｅｒ２２４、及び第２ＶＴＰｅｒ２２６は同じ内容のＬｏｃｋｉｎｇテーブルを参照できる。

これにより、ネームスペース領域ＮＳＩＤ３のユーザ認証権限のＰＴＰｅｒ２２２から第１ＶＴＰｅｒ２２４への移譲が完了する。以降、ネームスペース領域ＮＳＩＤ３について、ＰＴＰｅｒ２２２はユーザ認証が不可となり、第１ＶＴＰｅｒ２２４はユーザ認証が可となる。

この後、ホスト２は、ネームスペース領域ＮＳＩＤ３についてのデータ保護機能の提供をユーザから要求されると、ストレージ装置４に対してユーザ認証を実行するよう指示する。第１ＶＴＰｅｒ２２４がネームスペース領域ＮＳＩＤ３についてのユーザ認証を実行し、ユーザ認証に成功すると、ネームスペース領域ＮＳＩＤ３についてのデータ保護機能を提供する。第１ＶＴＰｅｒ２２４が適用したデータ保護機能の設定に関す情報は、第１ＶＴＰｅｒ２２４が、第１ＶＴＰｅｒ２２４のＬｏｃｋｉｎｇ ＳＰ５６内のＬｏｃｋｉｎｇテーブルに書き込む。第１ＶＴＰｅｒ２２４は、Ｌｏｃｋｉｎｇテーブルを更新する毎に、ＬｏｃｋｉｎｇテーブルをＰＴＰｅｒ２２２と第２ＶＴＰｅｒ２２６に送信する。

ホスト２は、データ保護機能が既に提供されているレンジ、例えばレンジ３が属するネームスペース領域ＮＳＩＤ４のユーザ認証権限をＰＴＰｅｒ２２２から第２ＶＴＰｅｒ２２６へ移譲したい場合、Ａｓｓｉｇｎ２メソッドをストレージ装置４へ送信する。ホスト２は、Ａｓｓｉｇｎ２メソッドのパラメータの中のＮａｍｅｓｐａｃｅＩＤに３を設定し、ＶＦ ａｓｓｇｉｎｅｄにＴＲＵＥを設定する。ＰＴＰｅｒ２２２は、Ａｓｓｉｇｎ２メソッドのパラメータに従って、ＰＴＰｅｒ２２２のＬｏｃｋｉｎｇ ＳＰ５６に含まれるＬｏｃｋｉｎｇテーブルのネームスペース領域ＮＳＩＤ４の行のＶＦ ａｓｓｇｉｎｅｄ列をＦＬＡＳＥからＴＲＵＥに書き換える。

ＰＴＰｅｒ２２２は、Ｌｏｃｋｉｎｇテーブルを更新する毎に、Ｌｏｃｋｉｎｇテーブルを第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６に送信する。

これにより、ネームスペース領域ＮＳＩＤ４のユーザ認証権限のＰＴＰｅｒ２２２から第２ＶＴＰｅｒ２２６への移譲が完了する。以降、ネームスペース領域ＮＳＩＤ４について、ＰＴＰｅｒ２２２はユーザ認証が不可となり、第２ＶＴＰｅｒ２２６はユーザ認証が可となる。

この後、ホスト２は、ネームスペース領域ＮＳＩＤ４についてのデータ保護機能の提供をユーザから要求されると、ストレージ装置４に対してユーザ認証を実行するよう指示する。第２ＶＴＰｅｒ２２６がネームスペース領域ＮＳＩＤ４についてのユーザ認証を実行し、ユーザ認証に成功すると、ネームスペース領域ＮＳＩＤ４についてのデータ保護機能を提供する。第２ＶＴＰｅｒ２２６が適用したデータ保護機能の設定に関す情報は、第２ＶＴＰｅｒ２２６が、第２ＶＴＰｅｒ２２６のＬｏｃｋｉｎｇ ＳＰ５６内のＬｏｃｋｉｎｇテーブルに書き込む。第２ＶＴＰｅｒ２２６は、Ｌｏｃｋｉｎｇテーブルを更新する毎に、ＬｏｃｋｉｎｇテーブルをＰＴＰｅｒ２２２と第１ＶＴＰｅｒ２２４に送信する。

これにより、或る特定のネームスペース領域についてのユーザ認証権限の移譲が終了する。
以上述べたように、第１ＶＴＰｅｒ２２４、第２ＶＴＰｅｒ２２６などのＶＴＰｅｒを導入することにより、ユーザの認証権限をＰＴＰｅｒからＶＴＰｅｒに委譲できるので、ＶＦ自身がＴＣＧ規格に従い、各ネームスペース領域のデータ保護を個別に行うことができる。従って、ストレージ装置４のデータ保護機能が向上する。

ユーザ認証権限の委譲メソッドとして、既存のＡｓｓｉｇｎメソッドにパラメータを追加したものを説明したが、専用の新規メソッドを定義してもよい。

移譲の際、幾つかの制約を満たすことを条件としてもよい。

レンジがシングルユーザモード（Ｓｉｎｇｌｅ Ｕｓｅｒ Ｍｏｄｅ：ＳＵＭ）設定されていることを移譲の条件としてもよい。ＳＵＭ設定されているレンジは、データ保護機能を利用できるユーザは単一のユーザであるレンジである。

ＳＵＭ設定されていないレンジについて、データ保護機能を利用できるユーザとして複数のユーザが設定可能である。この場合、レンジに対するアクセス権を有するユーザは流動的となってしまう。さらに、１人のユーザが複数のレンジに対してアクセス権を有する可能性がある。つまり、対象となるレンジだけでなく、ＰＴＰｅｒに割り当てられているレンジや別のＶＴＰｅｒに割り当てられているレンジに対するアクセス権も同時に有するユーザが存在してしまう可能性がある。従って、ＳＵＭ設定を条件にしないと、色々な特殊仕様の定義が必要となり、仕様が複雑化する懸念がある。ＳＵＭ設定されているレンジに割り当てられているユーザは当該レンジに関するＬｏｃｋｉｎｇテーブルの行しか書換えられなし。従って、或るＶＭのユーザパスワードが漏洩しても、ＯＳ２０２や他のＶＭに対する被害が遮断される。

図１５は、実施形態に係るストレージ装置４が記憶するＬｏｃｋｉｎｇＩｎｆｏテーブルの一例を示す。ＬｏｃｋｉｎｇＩｎｆｏテーブルは、ＰＴＰｅｒ２２２のＬｏｃｋｉｎｇ ＳＰ５６に含まれるテーブルである。ＬｏｃｋｉｎｇＩｎｆｏテーブルは、レンジのメタ情報（レンジの数等）を記憶する行を含む。

ＰＴＰｅｒ２２２は、ＵＩＤ列に、ＬｏｃｋｉｎｇＩｎｆｏテーブルの行を示すＩＤを書き込む。ＰＴＰｅｒ２２２は、Ｎａｍｅ列に、“ＬｏｃｋｉｎｇＩｎｆｏ”等の文字列を書き込む。ＰＴＰｅｒ２２２は、Ｅｎｃｒｙｐｔ Ｓｕｐｏｒｔ列に、媒体暗号サポートの有無を表す情報を書き込む。ＰＴＰｅｒ２２２は、Ｍａｘ Ｒａｎｇｅｓ列に、最大レンジ数（グローバルレンジを含まない）を書き込む。ＰＴＰｅｒ２２２は、Ａｌｉｇｎｍｅｎｔ Ｒｅｑｕｉｒｅｄ列に、Ａｌｉｇｎｍｅｎｔが必要かどうかを表す情報を書き込む。ＰＴＰｅｒ２２２は、Ｌｏｇｉｃａｌ Ｂｌｏｃｋ Ｓｉｚｅ列に、１ブロック当たりのバイト長を書き込む。ＰＴＰｅｒ２２２は、Ａｌｉｇｎｍｅｎｔ Ｇｒａｕｌａｒｉｔｙ列に、Ｒａｎｇｅ ＳｔａｒｔとＲａｎｇｅ ＬｅｎｇｔｈのＡｌｉｇｎｍｅｎｔ Ｇｒａｕｌａｒｉｔｙを書き込む。ＰＴＰｅｒ２２２は、Ｌｏｗｅｓｔ Ａｌｉｇｎｅｄ ＬＢＡ列に、指定できる最小のＡｌｉｇｎｅｄ ＬＢＡを書き込む。

Ｓｉｎｇｌｅ Ｕｓｅｒ Ｍｏｄｅ Ｒａｎｇｅｓ列は、シングルユーザモードに設定されているレンジを表す情報をリスト形式（［レンジ１］，［レンジ１，レンジ２］等）で記憶する。全レンジがシングルユーザモードに設定されている場合、Ｓｉｎｇｌｅ Ｕｓｅｒ Ｍｏｄｅ Ｒａｎｇｅｓ列は、Ｌｏｃｋｉｎｇテーブルと言うテーブルを示すＵＩＤのみを記憶する。Ｓｉｎｇｌｅ Ｕｓｅｒ Ｍｏｄｅ Ｒａｎｇｅｓ列は、Ａｃｔｉｖａｔｅメソッド又はＲｅａｃｔｉｖａｔｅメソッドにより指定される。

ＰＴＰｅｒ２２２は、ホスト２からＡｓｓｉｇｎ２メソッドにより、ユーザ認証権限の委譲を指示されても、ＬｏｃｋｉｎｇＩｎｆｏテーブルのＳｉｎｇｌｅ Ｕｓｅｒ Ｍｏｄｅ Ｒａｎｇｅｓ列を参照して、レンジがＳＵＭ設定されていなければ、ＬｏｃｋｉｎｇテーブルのＶＦ Ａｓｓｉｇｎｅｄ列を書き換えない。

レンジのリードロック状態あるいはライトロック状態の少なくともいずれか一方が解除されていることを移譲の条件としてもよい。つまり、レンジの暗号鍵（ＭＥＫ）がパスワードの入力無しで導出可能な状態であることを条件としてもよい。移譲後、暗号鍵は移譲後のパスワードで保護される。暗号鍵の保護に関して２つの場合がある。

ＰＴＰｅｒ２２２は、ホスト２からＡｓｓｉｇｎメソッドにより、ユーザ認証権限の委譲を指示されても、ＬｏｃｋｉｎｇテーブルのＲｅａｄＬｏｃｋｅｄ列とＷｒｉｔｅＬｏｃｋｅｄ列を参照して、レンジがリードロック状態かつライトロック状態であれば、（ｉ）メソッドエラーとして、ＬｏｃｋｉｎｇテーブルのＶＦ Ａｓｓｉｇｎｅｄ列の書き換えを実行しないか、（ｉｉ）レンジについて暗号化消去を実行、又はリードロック状態又はライトロック状態を解除してからＬｏｃｋｉｎｇテーブルのＶＦ Ａｓｓｉｇｎｅｄ列の書き換えを実行する。

パスワードの移譲方法について説明する。

第１の方法は、そのまま移譲する方法である。これには、ＯＳ２０２と第１ＶＭ２０２、第２ＶＭ２０４とのセキュアな連携が必要である。

第２の方法は、移譲を指示するＡｓｓｉｇｎ２メソッドに新規なパラメータＮｅｗ ＰＩＮを追加して、このパラメータにより移譲する方法である。Ｎｅｗ ＰＩＮが移譲後のパスワードとなる。これにも、ＯＳ２０２と第１ＶＭ２０２、第２ＶＭ２０４とのセキュアな連携が必要である。

第３の方法は、決められた固定値を移譲後のパスワードとする方法である。

図１６は、実施形態に係るストレージ装置４のＰＴＰｅｒ２２２による認証処理の一例を示すフローチャートである。図１６は、図１３に示すように、一部のユーザのユーザ認証権限がＰＴＰｅｒ２２２から第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６に移譲された場合の処理を説明する。

ユーザが或るレンジについてのデータ保護機能の利用をホスト２に要求すると、ホスト２は、ストレージ装置４にユーザ認証の実行を指示する。

ユーザ認証の実行が指示されると、ステップＳ１０２で、ＰＴＰｅｒ２２２は、ＬｏｃｋｉｎｇＩｎｆｏテーブルのＳｉｎｇｌｅ Ｕｓｅｒ Ｍｏｄｅ Ｒａｎｇｅｓ列を参照することにより、対象のレンジはＳＵＭ設定されているか否かを判断する。

ステップＳ１０２の判断結果がイエスの場合（レンジはＳＵＭ設定されている場合）、ステップＳ１０４で、ＰＴＰｅｒ２２２は、ＬｏｃｋｉｎｇテーブルのＶＦ Ａｓｓｉｇｎｅｄ列がＴＲＵＥであるか否かを判断する。

ステップＳ１０４の判断結果がノーの場合（ＶＦ Ａｓｓｉｇｎｅｄ列がＦＬＡＬＳＥである場合）、ステップＳ１０６で、ＰＴＰｅｒ２２２は、ユーザの認証処理を実行する。

ステップＳ１０２の判断結果がノーの場合（レンジはＳＵＭ設定されていない場合）、ステップＳ１０６で、ＰＴＰｅｒ２２２は、ユーザの認証処理を実行する。

ステップＳ１０８で、ＰＴＰｅｒ２２２は、ユーザ認証が成功したか否かを判断する。

ユーザ認証が成功した場合（ステップＳ１０８のイエス）、ステップＳ１１０で、ＰＴＰｅｒ２２２は、ホスト２から送信されるメソッドに対応して、ロック状態またはアンロック状態の設定、設定の変更、又は暗号化消去の実行を行う。その後、処理は終了する。

ユーザ認証が失敗した場合（ステップＳ１０８のノー）、ステップＳ１１４で、ＰＴＰｅｒ２２２は、認証失敗処理を行う。認証失敗処理は、ユーザに認証の失敗を通知する処理でもよい。その後、処理は終了する。

ステップＳ１０４の判断結果がイエスの場合（ＶＦ Ａｓｓｉｇｎｅｄ列がＴＲＵＥである場合）、ステップＳ１０６で、ＰＴＰｅｒ２２２は、認証拒否処理を行う。認証拒否処理は、ユーザに認証の拒否理由を通知する処理でもよい。その後、処理は終了する。

図１７は、実施形態に係るストレージ装置４の第１ＶＴＰｅｒ２２４による認証処理の一例を示すフローチャートである。第２ＶＴＰｅｒ２２６による認証処理のフローチャートは第１ＶＴＰｅｒ２２４に関するフローチャートと同じであるので、説明は省略する。

ユーザ認証の実行が指示されると、ステップＳ２０２で、第１ＶＴＰｅｒ２２４は、ＬｏｃｋｉｎｇＩｎｆｏテーブルのＳｉｎｇｌｅ Ｕｓｅｒ Ｍｏｄｅ Ｒａｎｇｅｓ列を参照することにより、対象のレンジはＳＵＭ設定されているか否かを判断する。

ステップＳ２０２の判断結果がイエスの場合（レンジはＳＵＭ設定されている場合）、ステップＳ２０４で、第１ＶＴＰｅｒ２２４は、ＬｏｃｋｉｎｇテーブルのＶＦ Ａｓｓｉｇｎｅｄ列がＴＲＵＥであるか否かを判断する。

ステップＳ２０４の判断結果がイエスの場合（ＶＦ Ａｓｓｉｇｎｅｄ列がＴＲＵＥである場合）、ステップＳ２０６で、第１ＶＴＰｅｒ２２４は、ユーザの認証処理を実行する。

ステップＳ２０８で、第１ＶＴＰｅｒ２２４は、ユーザ認証が成功したか否かを判断する。

ユーザ認証が成功した場合（ステップＳ２０８のイエス）、ステップＳ２１０で、第１ＶＴＰｅｒ２２４は、ホスト２から送信されるメソッドに対応してロック状態またはアンロック状態の設定、設定の変更、又は暗号化消去の実行を行う。その後、処理は終了する。

ユーザ認証が失敗した場合（ステップＳ２０８のノー）、ステップＳ２１２で、第１ＶＴＰｅｒ２２４は、認証失敗処理を行う。認証失敗処理は、ユーザに認証の失敗を通知する処理でもよい。その後、処理は終了する。

ステップＳ２０２の判断結果がノーの場合（レンジはＳＵＭ設定されていない場合）、及びステップＳ２０４の判断結果がノーの場合（ＶＦ Ａｓｓｉｇｎｅｄ列がＦＡＬＳＥである場合）、ステップＳ２１４で、第１ＶＴＰｅｒ２２４はＰＴＰｅｒ２２２は、認証拒否処理を行う。その後、処理は終了する。

移譲の解除について説明する。ホスト２は、ＰＴＰｅｒ２２２から第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６へ移譲したユーザ認証権限をＰＴＰｅｒ２２２に移譲（移譲解除と称する）ことができる。移譲解除はＤｅＡｓｓｉｇｎ２メソッドによる。

ＤｅＡｓｓｉｇｎ２メソッドは、今までの説明で用いられたレンジの割り当てを解除するＤｅＡｓｓｉｇｎメソッドの変形である。ＤｅＡｓｓｉｇｎ２メソッドは、ＤｅＡｓｓｉｇｎメソッドに対して、パラメータが１つ追加されている。ＤｅＡｓｓｉｇｎ２メソッドのパラメータは、レンジのＵＩＤと、ＶＦ Ａｓｓｉｇｎｅｄを含む。

ホスト２は、ＤｅＡｓｓｉｇｎ２メソッドをストレージ装置４へ送信する。ホスト２は、ＤｅＡｓｓｉｇｎ２メソッドのパラメータの中のＵＩＤにユーザ認証権限をＰＴＰｅｒ２２２に移譲したいネームスペース領域に含まれるレンジのＵＩＤを設定し、ＶＦ ＡｓｓｉｇｎｅｄにＦＡＬＳＥを設定する。ＰＴＰｅｒ２２２は、ＤｅＡｓｓｉｇｎ２メソッドのパラメータに従って、ＰＴＰｅｒ２２２のＬｏｃｋｉｎｇ ＳＰ５６に含まれるＬｏｃｋｉｎｇテーブルのＵＩＤに対応する行のＶＦ ａｓｓｇｉｎｅｄをＴＲＵＥからＦＬＡＳＥに書き換える。

これにより、第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６へのユーザ認証権限の委譲が解除され、認証権限はＰＴＰｅｒ２２２に戻る。

ユーザ認証権限の委譲解除メソッドとして、既存のＤｅＡｓｓｉｇｎメソッドにパラメータを追加したものを説明したが、専用の新規メソッドを定義してもよい。

移譲解除についても、移譲の際と同じ制約を満たすことを条件としてもよい。レンジがＳＵＭ設定されていることを移譲解除の条件としてもよい。あるいは、レンジのリードロックあるいはライトロックの少なくともいずれか一方が解除されていることを移譲解除の条件としてもよい。

パスワードの移譲解除方法もパスワードの移譲方法と同じ方法が可能である。さらに、移譲解除の場合は、ＰＴＰｅｒ２２２が移譲前のパスワードを記憶しておき、移譲解除されると、記憶しているパスワードに戻すことも可能である。

ＰＴＰｅｒ２２２と第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６が記憶するデータ保護機能に関するテーブルについて説明する。

（１）ベーステンプレートに基づくテーブルとしては下記がある。

Ｌｏｃｋｉｎｇ ＳＰのＩＤを記憶するＳＰＩｎｆｏテーブル
組み込んでいるテンプレート情報を記憶するＳＰＴｅｍｐｌａｔｅｓテーブル
各テーブルのＩＤ情報を記憶するＴａｂｌｅテーブル
各メソッドのＩＤを記憶するＭｅｔｈｏｄＩＤテーブル
各メソッドの権限設定情報を記憶するＡｃｃｅｓｓＣｏｎｔｒｏｌテーブル
Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｅｌｅｍｅｎｔを記憶するＡＣＥテーブル
管理者とユーザの権限設定情報を記憶するＡｕｔｈｏｒｉｔｙテーブル
ＰＩＮ情報を記憶するＣ＿ＰＩＮテーブル
ＰＩＮやＭＥＫ等の秘密情報の保護方法を記憶するＳｅｃｒｅｔＰｒｏｔｅｃｔテーブル
（２）Ｌｏｃｋｉｎｇプレートに基づくテーブルとしては下記がある。
前述のＬｏｃｋｉｎｇＩｎｆｏテーブル
前述のＬｏｃｋｉｎｇテーブル
ＭＢＲの利用可否と、ＭＢＲシャドウイングの完了か否か等の設定情報を記憶するＭＢＲＣｏｎｔｒｏｌテーブル
シャドウＭＢＲ（１２８ＭＢ以上）を記憶するＭＢＲテーブル（バイトテーブル）
媒体暗号化情報を記憶するＫ＿ＡＥＳ＿２５６テーブル
（３）テンプレートに基づかないテーブルとして、汎用セキュリティデータ（最小１０ＭＢ）を記憶するＤａｔａＳｔｏｒｅテーブル（バイトテーブル）がある。

これらのテーブルは、認証権限が委譲されるので、ＰＴＰｅｒ２２２と第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６の全てがこれらのテーブルを記憶するようにしてもよい。リソースの関係で、ＰＴＰｅｒ２２２と第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６が全てのテーブルを記憶できない場合は、第１ＶＴＰｅｒ２２４と第２ＶＴＰｅｒ２２６がＰＴＰｅｒ２２２のテーブルを参照できればよい。

ＴＣＧ規格では、ストレージ１２の初期化メソッドとして、Ｒｅｖｅｒｔメソッド、ＲｅｖｅｒｔＳＰメソッド、及びＲｅａｃｔｉｖａｔｅメソッドが規定されている。ユーザ認証権限、すなわちデータ保護機能の利用権限が第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６に移譲されたレンジについては、ＲｅｖｅｒｔメソッドとＲｅｖｅｒｔＳＰメソッドによる初期化対象外としてもよい。なお、ＰＳＩＤ（ラベルＩＤ）によって認証されているレンジについては、ユーザ認証権限が第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６に移譲されたとしても、ＲｅｖｅｒｔメソッドとＲｅｖｅｒｔＳＰメソッドにより初期化してもよい。

ユーザ認証権限が第１ＶＴＰｅｒ２２４又は第２ＶＴＰｅｒ２２６に移譲されたか否か等のストレージ装置４の状態を示す情報は、ストレージ装置４からホスト２に送信してもよい。この一例は、ＴＣＧ規格のＬｅｖｅｌ０ディスカバリがある。ホスト２がＬｅｖｅｌ０ディスカバリをストレージ装置４に送信すると、ストレージ装置４は、Ｌｅｖｅｌ０ディスカバリの応答をホスト２に送信する。
ストレージ装置４は、Ｌｅｖｅｌ０ディスカバリの応答にＶＦ Ａｓｓｉｇｎｅｄのデータを含めてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０…コントローラ、１２…ストレージ、３０…ＰＴＰｅｒ、３２…ＶＴＰｅｒ、２１２…ＰＦ、２１４…第１ＶＦ、２１６…第２ＶＦ、２２２…ＰＴＰｅｒ、２２４…第１ＶＴＰｅｒ、２２６…第２ＶＴＰｅｒ

Claims (13)

1. 第１ユーザが割り当てられる第１記憶領域と第２ユーザが割り当てられる第２記憶領域を含むストレージと、
   前記第１記憶領域のデータ保護機能と、前記第２記憶領域のデータ保護機能と、を提供可能する第１コントローラと、
   前記第２記憶領域のデータ保護機能を提供可能な第２コントローラと、を具備し、
   前記第１コントローラは、前記データ保護機能に関する情報を記憶するテーブルを備え、
   前記第２コントローラは、前記テーブルを参照可能であり、
   前記第１コントローラは、前記第１記憶領域に関する第１ユーザ認証を実行する第１権限と、前記第２記憶領域に関する第２ユーザ認証を実行する第２権限と、を有し、
   前記第１コントローラは、
   前記第１ユーザ認証に成功した場合、前記第１記憶領域のデータ保護機能を提供し、
   前記第２ユーザ認証に成功した場合、前記第２記憶領域のデータ保護機能を提供する、ストレージ装置。
2. 前記第１コントローラは、前記第１ユーザ認証に成功した場合、前記第１記憶領域をリードロック状態又はライトロック状態とし、
   前記第１コントローラは、前記第２ユーザ認証に成功した場合、前記第２記憶領域をリードロック状態又はライトロック状態とする、請求項１記載のストレージ装置。
3. 前記第１記憶領域は、第１暗号鍵で暗号化されたデータを記憶し、
   前記第２記憶領域は、第２暗号鍵で暗号化されたデータを記憶し、
   前記第１コントローラは、前記第１ユーザ認証に成功した場合、前記第１暗号鍵を変更し、
   前記第１コントローラは、前記第２ユーザ認証に成功した場合、前記第２暗号鍵を変更する、請求項１記載のストレージ装置。
4. 前記第１コントローラは、外部からの指示に応答して、前記第２権限を前記第２コントローラへ移す、請求項１記載のストレージ装置。
5. 前記第２権限が前記第１コントローラから前記第２コントローラへ移され、前記第２コントローラが前記第２ユーザ認証に成功した場合、前記第２コントローラは、前記第２記憶領域のデータ保護機能を提供する、請求項４記載のストレージ装置。
6. 前記第２権限が前記第１コントローラから前記第２コントローラへ移された場合、前記第１コントローラは、前記第２ユーザ認証を実行することができない、請求項４記載のストレージ装置。
7. 前記第１記憶領域に複数のユーザが割り当てられ、前記第２記憶領域に複数のユーザが割り当てられている場合、前記第１コントローラは、前記第２権限を前記第２コントローラへ移すことができない、請求項４記載のストレージ装置。
8. 前記第１記憶領域がリードロック状態又はライトロック状態の場合、前記第１コントローラは、前記第２権限を前記第２コントローラへ移すことができない、請求項４記載のストレージ装置。
9. 前記第１コントローラは、前記第１ユーザ認証に成功した場合、前記第１記憶領域をリードロック状態又はライトロック状態とし、
   前記第２権限が前記第１コントローラから前記第２コントローラへ移され、前記第２コントローラが前記第２ユーザ認証に成功した場合、前記第２コントローラは、前記第２記憶領域をリードロック状態又はライトロック状態とする、請求項４記載のストレージ装置。
10. 前記第１記憶領域は、第１暗号鍵で暗号化されたデータを記憶し、
    前記第２記憶領域は、第２暗号鍵で暗号化されたデータを記憶し、
    前記第１コントローラは、前記第１ユーザ認証に成功した場合、前記第１暗号鍵を変更し、
    前記第２権限が前記第１コントローラから前記第２コントローラへ移され、前記第２コントローラが前記第２ユーザ認証に成功した場合、前記第２コントローラは、前記第２暗号鍵を変更する、請求項４記載のストレージ装置。
11. 前記テーブルは、前記第２コントローラが前記第２権限を有しているか否かを示す第１情報を記憶し、
    前記第２コントローラは、前記第１情報を参照して、前記第２権限が前記第１コントローラから前記第２コントローラへ移されたか否かを判断する、請求項４記載のストレージ装置。
12. 前記第１コントローラは、
    外部からの第１指示に応答して、前記第２権限を前記第１コントローラから前記第２コントローラへ移し、
    前記外部からの第２指示に応答して、前記第２権限を前記第２コントローラから前記第１コントローラへ移す、請求項１記載のストレージ装置。
13. 前記第１コントローラ及び第２コントローラは、ＦＥ（Ｆｒｏｎｔ Ｅｎｄ）部を介して外部のホストと接続可能であり、前記ＦＥ部はＳＲ－ＩＯＶ規格に準拠する、請求項１記載のストレージ装置。

Images