JP4354494B2

JP4354494B2 - ディスク制御装置

Info

Publication number: JP4354494B2
Application number: JP2007030334A
Authority: JP
Inventors: 栄作高橋
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2007-02-09
Filing date: 2007-02-09
Publication date: 2009-10-28
Anticipated expiration: 2027-02-09
Also published as: JP2008197778A; US20080195886A1

Description

本発明は、ディスク制御装置に関する。

近年、個人情報保護法等により、顧客データの漏洩対策が必須となっている。そのため故障ディスク装置でも、顧客データが格納されている状態で修理等の為に輸送等を行うと、紛失および盗難に遭った場合、安易にデータの読み込みが行える状態では、顧客データの漏洩につながり、物理的な損失とは比べられない被害となる場合がある。したがって、故障ディスク装置においては、確実にデータの読み込みが行えないようにする必要がある。

従来の技術では、RAID装置に搭載のディスク装置にてエラー等が発生した場合、RAID装置からは単純に切離し、当該ディスク装置はそのまま梱包、発送が行われる。しかしながら、ディスク装置の故障品の分析を行ったところ、約半数の障害が未再現であり、通常の操作にて、ディスク装置内の全データを読み出すことが出来る状態である。また、残り半数の故障も全データではないものの、大部分は通常操作にてデータを呼び出すことができてしまい、データが全く読み出せない状態となる故障は全故障中の数パーセントに過ぎない。

そこで、従来では、RAID装置から切離す際に、切離すディスク装置内のデータを読み出せないように、通常のライト機能によりディスク装置内のデータを消去するが、ディスク装置の全領域を消去するには多くの時間を要してしまう。また、当該ディスク装置は故障判定されており、正常に消去の為の通常ライトが行われることも保証できないため、盗難等に遭わないように厳重な輸送を行うか、物理破壊を行う必要がありコスト高となってしまう。

図６は、従来の故障ディスク装置の切り離し処理のフローである。
ステップＳ１０において、ディスク装置の故障などを検出するためのRAIDの通常処理を行う。ステップＳ１１において、故障ディスク装置が見つかり、この故障ディスク装置がRAID装置から切り離すための条件に一致するかを判断する。ステップＳ１１の切り離し条件に合致しない場合には、ステップＳ１０に戻って、他のディスク装置に対する処理を行う。ステップＳ１１で、故障ディスク装置が切り離し条件に合致した場合には、ステップＳ１２において、冗長化を復元するために、予備ディスク装置へ、故障ディスク装置のデータを移行する。ステップＳ１３においては、当該故障ディスク装置をRAID装置から切り離す処理を実施し、ステップＳ１０に戻って、他のディスク装置についても故障しているか否かの判断を行う。

特許文献１には、HDDの情報漏えい防止方法として、パスワード解除コマンドとロック用パスワードを用いた技術が開示されている。
特開２００６−５９０２５号公報

本発明の課題は、故障ディスク装置が発生した場合、故障ディスク装置から意図に反して情報が読み取られてしまうことのないような構成を有するディスク制御装置を提供することである。

本発明のディスク制御装置は、複数のディスク装置が接続されたディスクシステムにおけるディスク制御装置であって、ディスク装置の故障が検出された場合に、該ディスク装置の制御情報記憶領域を所定の値で上書きする命令を発行する制御情報記憶領域上書き手段を備えることを特徴とする。

本発明によれば、故障ディスク装置を修理などに出した場合に、故障が再現性のない故障であったために、ユーザの意図に反して、ディスク装置内のデータが読み取られてしまうことを防止することが出来る。

ディスク装置は起動時、ディスク装置自身のシステム制御管理情報(SA: System Area)を読み込んだ後に、通常のユーザ領域のデータライト・リードが可能となる。SAが正常に読み込まれなかった場合には、ディスク装置は正常にリード・ライトを行うことができない。本発明の実施形態においては、故障検出時に、SA領域を不特定データにより、上書きすることによって、ユーザ領域のリードを抑止することを実現する。

また、ディスク装置の故障の態様によっては、ライトが出来ないような故障が存在する。その場合は、SA領域に不特定データを書き込むことは不可能である。この場合は、ヘッドをアウター位置（ディスク媒体の周辺部）に移動させ、その状態のまま、ディスク媒体の回転用とヘッドの駆動用モータを停止させる。そうすることによって、ヘッドはアウター位置で媒体表面に接地する。ディスク装置のヘッドと媒体は鏡面化された状態であるため、コンタクトスタートストップ(CSS)を行うためのディスク媒体の内側部の凹凸をつけた場所(CSSゾーン)以外（アウター位置）にヘッドが接地した場合は、ヘッドがディスク媒体に吸着してしまう。また、アウター位置で吸着すると、吸着自体の吸着力が同じでも、アウター側の方がモータの回転中心より、遠くなる為、回転モーメントとしては大きくなる為、アウター位置で接地させることにより、吸着したディスク媒体とヘッドが離れづらくなり、確実な吸着を行うことが出来る。もちろんサーボ制御部の故障も想定し、サーボ制御を前提にせず、VCM（Voice Coil Motor）に対し、ヘッドをアウターへ移動させる電圧を印加させるだけの単純な制御を行うようにする。これにより、様々な故障においても、ディスク装置からのデータの読み出しを防止することが出来る。VCMがヘッドを単にアウターに移動させることも出来ないような故障は、そのままでもデータの読み込みは出来ない為問題ない。

本発明の実施形態では、障害発生時SA領域を不特定データで上書きすることにより、短時間でディスク装置からの読み出しを抑止することが可能である。また、SA領域を上書きできないような故障態様でも、アウター位置でのヘッドと媒体の吸着を実現させることで、確実に短時間でディスク装置の動作を抑止することができる。但し、ヘッドと媒体を吸着させた場合には、修理時にヘッドと媒体は再利用できなくなってしまう為、コスト面で不利であるが、故障時は基本的にSAの上書きを行い、SAの上書きが出来ない場合に、ヘッドと媒体の吸着させることで、データ漏洩防止と短時間で安価な防止策の両立を実現できる。

図１は、本発明の実施形態が適用されるRAID装置のブロック構成図である。
ホスト１０とRAID装置９が接続され、RAID装置９にディスク装置１９−１〜１９−８が接続されている。ホスト１０は、RAID装置９を介して、ディスク装置１９−１〜１９−８にアクセスする。RAID装置９には、ホスト対応部１１が設けられ、RAID装置９とホスト１０の間のインターフェースとして動作する。また、ディスク制御部１２は、RAID装置９とディスク装置１９−１〜１９−８との間のインターフェースとして動作する。プロセッサ
１３は、たとえば、ディスク装置１９−１〜１９−８の故障診断処理を行ったり、故障診断結果をホスト１０に通知するなどの処理を行うため、ホスト対応部１１とディスク制御部１２に命令を発行する。プロセッサ１３が、ディスク装置１９−１〜１９−８の故障診断を行い、その結果を受信すると、故障診断結果は、ディスク切り離し判断部１４に送られ、ディスク切り離し判断部１４は、どのディスク装置が故障しているかを判断した上で、プロセッサ１３に、切り離しを行うべきディスク装置を通知する。

ここで、本発明の実施形態では、更に、データ読み出し防止処理判断部１５、データ領域の上書き処理制御部１６、SA領域の上書き処理部１７、ヘッド吸着指示部１８を設けている。データ読み出し防止処理判断部１５は、ディスク切り離し判断部１４から、どのディスク装置を切り離すかの情報を得て、ディスク装置を切り離す前に、故障したディスク装置内のデータが後に読み出されないように処理を施す。処理を施す場合には、データ読み出し防止処理判断部１５は、行う処理によって、それぞれ、データ領域の上書き処理制御部１６、SA領域の上書き処理部１７、ヘッド吸着指示部１８に処理を指示する。データ領域の上書き処理制御部１６は、切り離しが決定したディスク装置のデータ領域に、たとえば、「０」を上書きすることにより、ディスク装置のデータ領域に格納されているデータを消去する。また、SA領域上書き処理部１７は、ディスク装置のSAに無意味なデータ、あるいは、「０」を上書きすることにより、ディスク装置の制御情報を無効化し、ディスク装置にアクセスできないようにする。ヘッド吸着指示部１８は、データ領域の上書きやSA領域の上書きが出来ないと判断された場合に、故障ディスク装置のヘッドをディスク媒体のアウター領域に吸着させる処理を行う。

図２は、本発明の実施形態に従ったディスク装置１９のブロック構成図である。
ディスク装置１９には、ディスクプロセッサ２５が設けられており、RAID装置９からの指示を解釈し、各制御回路に所定の処理を行うように指示を出す。VCM通常制御回路２６は、ディスクプロセッサ２５からの指示を受けて、VCM２９の制御電圧を生成する。通常動作時のヘッドの動きは、このVCM２９への制御によって制御される。また、SPM制御回路３１は、SPM（Spindle Motor）３２の動作を制御する制御電圧を生成する。SPM３２は、ディスク媒体の回転を制御する。RAID装置９からデータ領域の上書き、あるいは、SA領域の上書き指示が来た場合には、SPM制御回路３１がSPM３２を回転させると共に、VCM通常制御回路２６が、VCM２９を制御して、ヘッドを移動し、上書きを実行させる。ところが、VCM通常制御回路２６が故障しているなどにより、所定の上書き動作が行えない場合には、その旨がRAID装置９に通知される。すると、RAID装置９は、ディスクプロセッサ２５にヘッドの吸着を行うよう指示する。この命令は、吸着制御部３０に通知され、スイッチ２８を切り替えて、VCM２９に、アウターへの移動回路２７からの固定電圧を印加させる。アウターへの移動回路２７の固定電圧は、ヘッドをディスク媒体の周辺部であるアウター領域に移動させるために必要な電圧となっている。また、吸着制御部３０は、SPM制御回路３１に、SPM３２を停止するように指示する。これにより、ヘッドのディスク媒体への吸着がなされ、データの読み出しが不可能となる。

図３は、本発明の実施形態に従ったRAID装置の処理フローである。
ステップＳ１５において、ディスク装置の故障検査等のRAIDの通常処理を行う。ステップＳ１６において、処理中のディスク装置が切り離し条件（書き込み、読み出しが出来ない等）に合致するか否かを判断する。ステップＳ１６において、当該ディスク装置が切り離し条件を満たさない場合には、ステップＳ１５に戻って、他のディスク装置について処理を行う。ステップＳ１６において、切り離し条件を満たすと判断された場合には、ステップＳ１７において、冗長化を復元するために、切り離し条件を満たすディスク装置のデータと同じデータを予備のディスク装置に移行する。ここの処理は、たとえば、冗長化構成として、ミラー冗長化を行っていた場合を考えると、通常、ディスク装置は、２つのディスク装置で組になっており、２つのディスク装置は、同じデータを格納する。また、RA
ID装置においては、このようなミラーディスク装置のほかに、通常何もデータが入っていない予備ディスク装置が用意されている。今、１つのディスク装置が故障した場合、ミラー冗長化を行っているので、故障したディスク装置のデータは、対になっているもう一方のディスク装置にも入っているので、データが失われることはない。しかし、一方のディスク装置が故障してしまったために、そのディスク装置に格納されていたデータについては、ミラー冗長化がなされなくなってしまう。そこで、故障してしまったディスク装置と対になっている他方の正常なディスク装置から、RAID装置に設けられている予備のディスク装置にデータをコピーし、他方の正常なディスク装置と、予備のディスク装置で対を作り、ミラー冗長化が当該データについて維持されるようにするものである。

ステップＳ１８では、切り離しディスク装置のデータの読み出し防止処理を行い、ステップＳ１９で、切り離し条件を満たしたディスク装置の切り離し処理を実施して、ステップＳ１５に戻る。

図４は、図３のステップＳ１８の処理の詳細を示すフローである。
ステップＳ２０において、当該ディスク装置の全データ領域を「０」で上書きする。ステップＳ２１において、全データ領域の上書きが成功したか否かを判断する。ステップＳ２１の判断がＹｅｓの場合には、処理を終了する。ステップＳ２１の判断がＮｏの場合には、ステップＳ２２において、SA領域のライト許可フラグをオンにし、ステップＳ２３において、当該ディスク装置のSAの全領域を「０」で上書きする。ステップＳ２４においてSA全領域について上書きが成功したか否かを判断する。ステップＳ２４の判断がＹｅｓの場合には、処理を終了する。ステップＳ２４の判断がＮｏの場合には、ステップＳ２５において、当該ディスク装置に吸着指示を発行する。ステップＳ２６において、当該ディスク装置より吸着処理が正常に実行された旨の応答があったか否かについて判断する。ステップＳ２６において、正常に実行された旨も応答があった場合には、処理を終了する。ステップＳ２６において、正常に実行された旨の応答がなかった場合には、ステップＳ２７において、切り離しディスク装置のデータ読み出し防止処理が失敗したことをホストに報告して処理を終了する。

図５は、ヘッドの吸着指示を受けたディスク装置の処理を示すフローである。
ステップＳ３０において、SPMが回転しているか否かを判断する。ステップＳ３０の判断がＹｅｓの場合には、ステップＳ３３に進む。ステップＳ３０の判断がＮｏの場合には、ステップＳ３１において、SPMを回転させ、ステップＳ３２において、SPMの起動に失敗したか否かを判断する。ステップＳ３２の判断がＹｅｓの場合には、ステップＳ３４において、RAID装置にエラー報告をして処理を終了する。ステップＳ３２の判断がＮｏの場合には、ステップＳ３３において、スイッチを切り替えて、VCMをアウターへの移動回路で駆動する。ステップＳ３５において、ヘッドがアウター領域に移動するまで待つ（当業者によって適切に一定時間の待ち時間が設定されるべきである）。ステップＳ３６において、SPMを停止させ、ステップＳ３７において、SPMの停止を待つ。ステップＳ３８において、スイッチを切り替えて、VCMを通常制御回路へ戻し、ステップＳ３９において、吸着が正常に行われた旨の応答をRAID装置に対して行って、処理を終了する。

本発明の実施形態が適用されるRAID装置のブロック構成図である。本発明の実施形態に従ったディスク装置１９のブロック構成図である。本発明の実施形態に従ったRAID装置の処理フローである。図３のステップＳ１８の処理の詳細を示すフローである。ヘッドの吸着指示を受けたディスク装置の処理を示すフローである。従来の故障ディスク装置の切り離し処理のフローである。

符号の説明

９ RAID装置
１０ホスト
１１ホスト対応部
１２ディスク制御部
１３プロセッサ
１４ディスク切り離し判断部
１５データ読み出し防止処理判断部
１６データ領域の上書き処理制御部
１７ SA領域の上書き処理部
１８ヘッド吸着指示部
１９、１９−１〜１９−８ディスク装置
２５ディスクプロセッサ
２６ VCM通常制御回路
２７アウターへの移動回路
２８スイッチ
２９ VCM（ボイスコイルモータ）
３０吸着制御部
３１ SPM制御回路
３２ SPM（スピンドルモータ）

Claims

複数のディスク装置が接続されたディスクシステムにおけるディスク制御装置であって、
ディスク装置の故障が検出された場合に、該ディスク装置のヘッドとディスク媒体とを前記ディスク媒体の外周側の吸着位置において吸着させる命令を発行する吸着命令手段と、
前記吸着命令手段から吸着させる命令を受けると、前記ヘッドを駆動するモータに印加する電圧を、通常動作時の電圧から前記ヘッドをディスク媒体の前記外周側の吸着位置まで移動させるための吸着電圧に切り換えて前記ヘッドを駆動し、前記ヘッドをディスク媒体の吸着位置まで移動させた後、ディスク媒体の回転を停止して、ヘッドとディスク媒体を吸着させ、前記吸着電圧から前記通常の電圧に切り換えてから電圧の印加を解除する印加電圧切換手段とを備えたことを特徴とするディスク装置。
吸着命令手段は、前記故障が検出された場合であって、かつ該ディスク装置の制御情報記憶領域の上書きが不可能であった場合に前記吸着させる命令を発行することを特徴とする請求項１に記載のディスク装置。
吸着命令手段は、前記故障が検出された場合であって、かつ該ディスク装置のデータ領域の上書きが不可能であった場合に前記吸着させる命令を発行することを特徴とする請求項１に記載のディスク装置。
前記ヘッドは、前記ディスク媒体のコンタクトスタートストップ領域以外の外周側領域に吸着させられることを特徴とする請求項１に記載のディスク制御装置。
複数のディスク装置が接続されたディスクシステムにおけるディスク制御方法であって、
ディスク装置の故障が検出された場合に、該ディスク装置のヘッドとディスク媒体とを前記ディスク媒体の外周側の吸着位置において吸着させる命令を発行し、
前記吸着命令発行ステップから吸着させる命令を受けると、前記ヘッドを駆動するモータに印加する電圧を、通常動作時の電圧から前記ヘッドをディスク媒体の前記外周側の吸着位置まで移動させるための吸着電圧に切り換えて前記ヘッドを駆動し、前記ヘッドをディスク媒体の吸着位置まで移動させた後、ディスク媒体の回転を停止して、ヘッドとディスク媒体を吸着させ、前記吸着電圧から前記通常の電圧に切り換えてから電圧の印加を解除する、
ことを特徴とするディスク制御方法。