JP4394493B2 - ファイル管理方法、ファイル管理装置、及び、ファイル管理プログラム - Google Patents

Description

本発明は、ＷＯＲＭファイルを管理するファイル管理装置に関し、特に、ＷＯＲＭファイルを安全に削除するファイル管理装置に関する。

ＷＯＲＭファイルを管理するファイル管理装置は、ＷＯＲＭファイルの保存期限が満了した場合に、当該ＷＯＲＭファイルを自動的に（又は手動で）削除する。この保存期限の満了は、ファイル管理装置のシステム時計によって管理している。そのため、このシステム時計は比較的高い精度が要求される。さらに、同一のネットワーク内にある管理装置、サーバ、ストレージ等は、管理するファイルのタイムスタンプが同一のため、同一の基準時刻に基づいて管理することが望ましい。

また、網間をまたがるサービスデータ管理装置間で、一方のサービスデータ管理装置で原本データを管理し、他方のサービスデータ管理装置で複製データを利用するために該データを保存するシステムが知られている（例えば、特許文献１参照。）。そしてこの特許文献１のように、離れた場所に同一のファイルの複製を保存する手法を応用し、広域ネットワークを介してファイルを分散して保存する広域分散ストレージが知られている。

そこで、ネットワークの同一セグメント内にあるノードを同一の時間で管理するために、ネットワーク上にタイムサーバを設け、タイムサーバによって管理される時刻を、ＮＴＰ（Network Time Protocol）等のプロトコルを用いた一元管理を行うシステムが知られている。

また、異なるセグメント間で異なるタイムサーバによって時間を管理している。この異なるタイムサーバは、標準電波やＧＰＳ（Global Positioning System）等を利用し、タイムサーバの時刻を定期的に補正することによって正確な時刻を保っている。そのため、異なるタイムサーバ同士でも時刻が大きく異なることはない。
特許３２２６１５８号公報

しかし、タイムサーバのうちの１つが何らかの要因によって大幅に時刻が狂ってしまった場合に当該タイムサーバの設けられているセグメント全体の時刻が狂うこととなる。

タイムサーバの時刻が狂う要因として、タイムサーバ自体の不具合のほか、外部からのクラッキング等の攻撃によってタイムサーバの時刻が意図的に狂わされることも起こりうる。特に、タイムサーバの時刻が現在時刻から大幅に未来の時刻に変更されてしまった場合は、当該タイムサーバによって時刻を管理されているファイル管理装置に管理されているＷＯＲＭファイルの保存期限が満了を迎える可能性が高くなり、ファイルの期限満了に伴い自動的に削除を行うよう構成されたシステムでは、意図せずに多くのファイルを失ってしまうことにもなりかねない。

本発明は上記の問題点に鑑みてなされたものであり、ＷＯＲＭファイルの保存期限の満了に伴うファイルの自動削除において、他のセグメントの管理装置に問い合わせるように構成したストレージシステムを提供することを目的とする。

第１のファイル管理装置は、第１のストレージ装置に保存されている保存期限が満了したファイルに対応するファイルの前記第２のストレージ装置における保存場所を取得し、取得した該ファイルの保存場所である第２のファイル管理装置に対して、該取得したファイルの保存期限を問い合わせ、第２のファイル管理装置は、第２のファイル管理テーブルを参照して、前記第２のストレージ装置における当該ファイルの有無、及び、当該ファイルの保存期限が満了しているか否かを示す情報を含む応答をし、第１のファイル管理装置は、前記応答に基づいて、第２のストレージ装置に該ファイルが保管されていない場合、及び／又は、第２のファイル管理装置において該ファイルの保存期限が満了していない場合は、ストレージ装置から該ファイルを削除することなく、その旨を報知し、前記応答に基づいて、第２のストレージ装置に該ファイルが保管されており、かつ、第２のファイル管理装置においても該ファイルの保存期限が満了している場合は、ストレージ装置から該ファイルを削除する。

本発明によると、ファイル保存期限の満了したファイルを削除可能対象としてもよいかを、複数のファイル管理装置に問い合わせることにより、自システムの時刻が狂っている場合でも、ファイルの意図しない削除を行うことがなく、システムの信頼性を高めることができる。

以下に本発明の実施の形態を図面に基づいて説明する。

図１は、本発明の実施の形態のストレージシステムの構成を示すブロック図である。

広域ネットワーク２０を介して２つのセグメント（セグメント１０Ａ、セグメント１０Ａ）が接続されている。広域ネットワーク２０は、例えばインターネット等によって構成される。

各セグメント１０は、ルータ５００を介して広域ネットワークに接続されている。セグメント１０には、ネットワーク６００が備えられ、このネットワーク６００には、管理サーバ３００、時刻サーバ４００、ファイル管理装置１００が接続されている。また、ファイル管理装置１００にはストレージ装置２００が接続されている。

管理サーバ３００は、ＣＰＵ、メモリ、記憶装置及びインターフェースが備わるコンピュータ装置であり、セグメント１０に備えられる各ノードを統括的に管理し、例えば、管理者による設定の変更や、管理者へのエラーメッセージの通知等を行う。

時刻サーバ４００は、ＣＰＵ、メモリ、記憶装置及びインターフェースを備える、時刻を管理するサーバであり、ＧＰＳや標準電波等を受信することによって、常に時刻サーバ４００の内部時刻を正確に保っている。また、セグメント１０に備えられる各ノードに対してＮＴＰ（Network Time Protocol）等のプロトコルを用いて正確な時刻の情報を供給することで、各ノードの内部時計の時刻を正確に設定することができる。

ルータ５００は、セグメント１０と広域ネットワーク２０との間のデータを仲介する。

ファイル管理装置１００は、ＣＰＵ、メモリ、記憶装置及びインターフェースが備わるコンピュータ装置であり、ストレージ装置２００が接続されて、ストレージ装置２００に保存されているファイルを管理し、クライアント等からの要求に従って、ストレージ装置２００のファイルの書き込み又は読み出し等の制御を行う。

ストレージ装置２００は、データ（ＷＯＲＭファイル）を保存するディスクドライブ等の大容量記憶装置を備えており、ファイル管理装置１００の制御によって、データの書き込み又は読み出し等を行う。

セグメント１０Ａのストレージ装置２００ａと、セグメント１０Ｂのストレージ装置２００ｂとで同一のＷＯＲＭファイルの複製を保存している。すなわち、一方のストレージ装置が他方のバックアップとして機能する。このように、広域ネットワーク２０を介して各々のストレージ装置がデータの複製を分散して保存することで、広域分散ストレージが構成される。

なお、図１では広域ネットワーク２０を介して二つのセグメントが示されているが、本発明は、セグメントの数は二つに限定されるものではない。

図２は、ファイル管理装置１００及びストレージ装置２００の詳細な構成を示したブロック図である。

ファイル管理装置１００は、プロセッサ（ＣＰＵ）１０１、キャッシュメモリ１０２、メインメモリ１０３、ストレージ装置アダプタ１０４、内部時計１０５、ネットワークインターフェイス（Ｉ／Ｆ）１０６、入出力部１０７、ファイル管理テーブル１０８等から構成されている。

メインメモリ１０３には、ファイル保存期間満了確認プログラム、問合せ応答プログラム、ファイル管理テーブルエントリ削除プログラムが記憶されており、ＣＰＵ１０１の制御によって動作する。なお、これらのプログラムの動作については後述する。

ストレージ装置アダプタ１０４は、ファイル管理装置１００とストレージ装置２００との間でデータや制御信号を送受信するインターフェースである。このストレージ装置アダプタ１０４はＳＣＳＩやＦｉｂｒｅＣｈａｎｎｅｌ等のプロトコルが用いられる。

内部時計１０５は、ファイル管理装置１００の時刻を司る時計であり、ストレージ装置２００に保存されるファイルの保存日時（アーカイブ日時）は、この内部時計１０５によって示される時刻情報が用いられる。この内部時計１０５は、任意の時刻又は定期的に、同じセグメント１０に備えられた時刻サーバ４００に対してＮＴＰ等のプロトコルによって時刻を問いあわせ、問い合わせの結果得られた時刻を自らの時刻に設定する。こうすることで、内部時計１０５は、常に時刻サーバ４００と同一の時刻に設定される。

ネットワークＩ／Ｆ１０６は、ネットワーク２０に接続され、例えば、ＴＣＰ／ＩＰプロトコルによってパケット等の信号の送受信を行う。入出力部１０７は、入出力機器をつないで、管理者などのユーザが直接ファイル管理装置１００を操作するものであり、例えばＲＳ−２３２Ｃのようなシリアルポートである。

ファイル管理テーブル１０８は、ストレージ装置２００に保存するファイルの情報を記憶するものであり、保存したファイル名に従ってソーティングが行なわれている。なおこのファイル名の命名規則は、ファイル管理装置１００によって、セグメント１０Ａ、セグメント１０Ｂに渡って唯一の名前となるように設定される。ファイル管理装置１００はこのファイル管理テーブル１０８を参照して、ファイルの取得、ファイルの保存期限の満了の判断等を行う。

ストレージ装置２００は、ストレージ制御部２１０とストレージ２２０とに大分される。

ストレージ制御部２１０は、ディスク制御プロセッサ２０１、キャッシュメモリ２０２、メインメモリ２０３、ファイル管理装置アダプタ２０４、ストレージアダプタ２０５等から構成され、ストレージ２２０に対するデータの入出力を制御する。

ファイル管理装置アダプタ２０４は、ファイル管理装置１００とストレージ装置２００との間でデータの送受信を行うインターフェースである。このファイル管理装置アダプタ２０４はＳＣＳＩやＦｉｂｒｅＣｈａｎｎｅｌ等のプロトコルが用いられる。

ストレージアダプタ２０５は、ＳＣＳＩやＦｉｂｒｅＣｈａｎｎｅｌ等のプロトコルによって、ストレージ２２０との間でデータの送受信を行うインターフェースである。

メインメモリ２０３には、図示しないがストレージ制御部２１０を制御するためのプログラム等が備えられている。これらのプログラムは、ディスク制御プロセッサ２０１の制御によって動作する。

ストレージ２２０は、ハードディスク等の大容量記憶装置によって構成されている。

なお、ハードディスクではなく、テープドライブや、その他の記憶装置で構成されていてもよい。また、図２では二つのストレージが示されているが、単一のストレージであっても二つ以上のストレージによる冗長構成であってもよい。

次に、以上のように構成された本発明の実施の形態の動作を説明する。

本発明の実施の形態のストレージシステムでは、前述したように、あるセグメント１０Ａに保存されているＷＯＲＭファイルは、その複製が他のセグメント１０Ｂにも保存される。

ここで、セグメント１０Ａに保存されているＷＯＲＭファイルの保存期限が満了したとする。ファイル管理装置１００ａは、保存期限が満了したＷＯＲＭファイルの削除のための処理を行うが、その際に、当該ＷＯＲＭファイルの複製を保存している他のファイル管理装置１００ｂに対して、保存期限が満了しているかを問い合わせる。そして、問い合わせの結果、当該他のファイル管理装置１００ｂに保存されているＷＯＲＭファイルの保存期限も満了している場合は、自ファイル管理装置１００ａに保存されている対応するＷＯＲＭファイルを削除する。一方、他のファイル管理装置１００ｂに保存されている対応するＷＯＲＭファイルの保存期限が満了していない場合は、自ファイル管理装置１００ａに保存されているＷＯＲＭファイルの保存期限に異常があると判定し、エラーの報知など、所定の処理を行う。

図３は、ファイル管理装置１００が管理するファイル管理テーブル１０８の内容の説明図である。図３（ａ）は、ファイル管理装置１００ａが管理しているファイル管理テーブル１０８、図３（ｂ）はファイル管理装置１００ｂが管理しているファイル管理テーブル１０８を示す。

ファイル管理テーブル１０８は、１つのファイルについて、少なくとも、ファイル名、保管場所（ストレージ装置名、ファイルパス）、ファイル作成日（ファイル保存日）、ファイルの保存期限、及び、ファイルの削除属性フラグ、が、エントリとして記録されている。このエントリは、ストレージ管理装置２００にファイル実体またはその複製が保存されたときに作成される。このエントリ作成時のファイル削除属性フラグは「ＯＦＦ」になっている。図３（ａ）の例では、ファイル名「Ｆ＿３ｆｅｅｄｃ」は、ストレージ装置２００ａの「／１００／２００」というパスに保存されていることが示されている。さらに、保存期限は１０年と設定されている。一方、当該ファイル「Ｆ＿３ｆｅｅｄｃ」は、その複製がストレージ装置２００ｂにも保存されていることが示されている。このファイルのファイルパス、作成日、保存期限等は、ストレージ装置２００ｂを管理するファイル管理装置１００ｂで管理されるため、ファイル管理装置１００ａのエントリには記録されていない。一方、図３（ｂ）は、ファイル名「Ｆ＿３ｆｅｅｄｃ」は、ストレージ装置２００ｂの「／１０３／１９」というパスに保存されていることが示されている。

また、ファイル削除属性フラグは、当該ファイルの実体が、ストレージ装置から既に削除されているか否かを示す。図３（ａ）の例では、ファイル名「Ｆ＿２５６ａｆｅ」の保管場所はストレージ装置２００ａであるが、ファイル削除属性フラグが”ＯＮ”なので、当該ファイルの実体はストレージ装置２００ａからは既に削除されていることを示している。

なお、ファイルの実体が削除されたファイルのエントリは、後述するファイル管理テーブルエントリ削除プログラムによって削除される。

次に、ファイル管理テーブル１０８によって管理されているファイルの保存期限満了時の処理について説明する。

図４は、ファイル管理装置１００のファイル保存期間満了確認プログラム、及び、問合せ応答プログラムの処理を示すフローチャートである。

前述したように、ファイル管理装置１００では、ファイル保存期間満了確認プログラム、及び、問合せ応答プログラムが動作している。なお、ここでは、セグメント１０Ａにあるファイル管理装置１００ａのファイル保存日満了確認プログラムが、セグメント１０Ｂにあるファイル管理装置１００ｂの問合せ応答プログラムに問い合わせを行う際の処理について説明する。

ファイル保存期間満了確認プログラムは、周期的に起動し、処理を開始する（１００１）。これは、ファイル管理装置１００に備えられる内部時計等からの時間の情報を取得し、該時間の情報に基づいて所定の間隔で起動する。なお、周期的ではなく、管理者の指示等によって、任意のタイミングでファイル保存期間満了確認プログラムを起動してもよい。

ファイル保存期間満了確認プログラムは、まず、内部時計１０５から現在時刻を取得する（１００２）。次に、ファイル管理装置１００の管理下にあるファイル管理テーブル１０８のエントリを先頭から順に1つ読み出す(１０１８)。そして、読み出したエントリは実在するエントリであるかを確認する。すなわち、読み出したエントリが実在しないもの（空のエントリ）である場合は、そのファイル管理テーブル１０８の終端まで達したこととなる（１００３）。エントリの終端まで達し、全てのエントリの処理が完了したと判定した場合は、ファイル保存期間満了確認プログラムを終了する（１００４）。

読み出したエントリが実在するものである場合、すなわち、まだファイル管理テーブル１０８の終端まで達していないと判定した場合は、次に、読み出したエントリ中のファイル保管場所の装置名がファイル管理装置１００ａの管理するストレージ装置２００ａである否かを判定する（１０１９）。読み出したエントリ中のファイル保管場所の装置名がファイル管理装置１００ａの管理するストレージ装置２００ａでないと判定した場合は、そのエントリは以降の処理の対象外なので、処理１０１８に戻る(１０１９)。

処理１０１９において、読み出したエントリ中のファイル保管場所の装置名がファイル管理装置１００ａの管理するストレージ装置２００ａであると判定した場合は、当該エントリの作成日と保存期限を参照して、処理１００２で取得した時間と比較する。比較の結果、当該エントリに示される保存期限が処理１００２で取得した時間を経過しており、かつ、ファイル削除属性フラグがＯＦＦであるか否かを判定する（１０２０）。保存期限が処理１００２で取得した時間を経過しており、かつ、ファイル削除属性フラグがＯＦＦであると判定した場合は、当該エントリで示すファイルは保存期限が満了したものとみなし、次の処理１００５に移行する。それ以外での場合であれば、そのエントリは以降の処理の対象外なので、処理１０１８に戻る(１０２０)。

処理１００５では、改めてファイル管理テーブル１０８を、当該ファイル名を検索キーとして検索して、当該ファイルの複製を保持している他のセグメントのファイル管理装置（例えば、セグメント１０Ｂのファイル管理装置１００ｂ）を抽出する。そして、抽出した当該ファイルの複製を保持している他のセグメントのファイル管理装置のうち、まだ問い合わせを行っていないものがあるか否かを判定する。

全てのファイル管理装置１００に対する問い合わせを行ったと判定した場合は、当該ファイルに対してファイル保存期限切れ処理（１０１７）を行う。このファイル保存期限切れ処理では、ファイル管理テーブル１０８から当該保存期限の満了したファイルのエントリのファイル削除属性フラグに「ＯＮ」を付加する。そして、ストレージ装置２００ａに保存されている当該ファイルの実体を削除する。なお、保存期限の満了したファイルの実体は削除せず、ファイル管理テーブル１０８のエントリに削除可能フラグを付加してもよい。この場合、ファイルのエントリの削除と同時に当該ファイルの実体を削除してもよいし、管理者の操作によって別のタイミングで手動で削除してもよい。ここでは説明を簡単にするため、保存期限の満了を検出したファイルの当該エントリにあるファイル削除属性フラグに「ＯＮ」を付加した際にストレージ装置２００ａに保存されている当該ファイルの実体を削除する。その後、処理１００２に戻る。

処理１００５において、まだ問い合わせを行っていないファイル管理装置１００があると判定した場合は、当該ファイル管理装置（ファイル管理装置１００ｂ）に対して、当該ファイルの保存期限が満了しているかの問い合わせを行う問合せ要求を送信する（１００６）。

セグメント１０Ｂにあるファイル管理装置１００ｂにおいて、問合せ応答プログラムが問合せ要求を受信する（１００７）。問合せ応答プログラムは、内部時計１０５から現在時刻を取得する（１００８）。次に、問合せ要求によって示されたファイル名が、自ファイル管理装置１００ｂにおいて複製を保持しているファイルであるかを、問合せ要求によって示されたファイル名を検索キーとしてファイル管理テーブル１０８を参照して判定する。そして、自ファイル管理装置１００ｂにおいて複製を保持しているファイルである場合は、ファイル管理テーブル１０８を参照して当該ファイルの保存期限が満了しているかを判定する（１００９）。

そして、処理１００９の結果、すなわち、問合せ要求のファイルが自ファイル管理装置１００ｂにおいて複製を保持しているファイルであるか否か、当該ファイルの保存期限が満了しているか否か、を、問合せ結果として、問い合わせ要求の送信元であるファイル管理装置１００ａに対して送信する（１０１０）。

ファイル管理装置１００ａにおいて、ファイル保存期限満了確認プログラムは、ファイル管理装置１００ｂから送られた問合せ結果を受信する（１０１１）。そして、受信した問合せ結果から、ファイルが問合せ要求を送信した他のファイル管理装置（ファイル管理装置１００ｂ）において複製を保存していたか否かを判定する（１０１２）。複製ファイルが当該ファイル管理装置１００に保存されていると判定した場合は、受信した問合せ結果から、当該ファイルの保存期限が満了しているか否かを判定する（１０１３）。問合せ要求を行ったファイルが、当該ファイル管理装置１００ｂにおいても保存期限が満了していると判定した場合は、処理１００５に戻り、他のファイル管理装置１００に対して、保存期限満了確認処理を行う。

一方、処理１０１２において、他のファイル管理装置１００にファイルの複製が保存されていない場合、又は、他のファイル管理装置１００に保存されていた複製の保存期限がまだ満了していないと判定した場合は、ストレージシステムに何らかの異常があると判断し、管理サーバ３００ａに対して警報処理を行う（１０１４）。この警報処理では、管理サーバ３００に対して警報を送信し、異常の内容（ファイルの複製がない、ファイルの複製の保存期限が満了していない等）を、管理サーバ３００ａに備えられているディスプレイ等の出力装置に出力する。管理者は出力された内容を見て、ストレージシステムに対して必要な処置を行う。なお、この警報処理は、出力装置への出力に限らず、例えば、パトランプ、サイレン等による管理者への報知、ＭＩＢ（Management Information Base）への記録等によって行ってもよい。

図５は、前述した処理１００６において、ファイル保存期限満了確認プログラムが、問い合わせ先のファイル管理装置１００ｂに対して送信する問合せ要求パケットの内容を示す説明図である。

問合せ要求パケットは、問い合わせ先に当該問合せ要求パケットを送信するために必要な情報（ネットワークを通過するために必要な情報）、処理の内容（ファイル保存期限の問い合わせであることを示す内容）及び、問い合わせを行うファイル名を示す内容、が少なくとも含まれる。

図６は、前述した処理１０１０において、問合せ応答プログラムが、問合せ要求元のファイル管理装置１００ａに対して送信する問合せ応答パケットの内容を示す説明図である。

問合せ応答パケットは、問い合わせ先に当該問合せ応答パケットを送信するために必要な情報（ネットワークを通過するために必要な情報）、及び、処理の内容（要求ファイルの保存期限満了、ファイルの有無等を示す内容）が少なくとも含まれる。

次に、ファイル管理テーブル１０８において、削除済みファイルのエントリの削除について説明する。

前述したように、ファイルの保存期限の満了したファイルは、ファイル保存期限満了確認プログラムによって、ファイルの保存期限の満了が確認された後、自動的に（又は手動で）ストレージ装置２００から削除される。このとき、ファイル管理テーブル１０８のエントリは残ったままである。ファイルの実体が削除された後は、ファイル管理テーブル１０８のエントリは必要ないので、ファイル管理テーブル削除プログラムによって削除される。

図７は、ファイル管理テーブル削除プログラムの処理を示すフローチャートである。ここでは、セグメント１０Ａにあるファイル管理装置１００ａのファイル管理テーブル削除プログラムが、ファイル管理テーブルのエントリを削除する際の処理について説明する。

ファイル管理テーブル削除プログラムは、周期的に起動し、処理を開始する（２００１）。これは、ファイル管理装置１００に備えられる内部時計等からの時間の情報を取得し、該時間の情報に基づいて所定の間隔で起動する。なお、周期的ではなく、管理者の指示等によって、任意のタイミングでファイル管理テーブル削除プログラムを起動してもよい。

ファイル管理テーブル削除プログラムは、まず、内部時計１０５から現在時刻を取得する（２００２）。

次に、ファイル管理装置１００の管理下にあるファイル管理テーブル１０８のエントリを先頭から順に1つ読み出す(２０１３)。そして、読み出したエントリは実在するエントリであるかを確認する。すなわち、読み出したエントリが実在しないもの（空のエントリ）である場合は、そのファイル管理テーブル１０８の終端まで達したこととなる（２００３）。エントリの終端まで達し、全てのエントリの処理が完了したと判定した場合は、ファイル保存期間満了確認プログラムを終了する（２００４）。

読み出したエントリが実在するものである場合、すなわち、まだファイル管理テーブル１０８の終端まで達していないと判定した場合は、次に、読み出したエントリ中のファイル保管場所の装置名がファイル管理装置１００ａの管理するストレージ装置２００ａである否かを判定する（２０１４）。読み出したエントリ中のファイル保管場所の装置名がファイル管理装置１００ａの管理するストレージ装置２００ａでないと判定した場合は、そのエントリは以降の処理の対象外なので、処理２０１３に戻る(２０１４)。

次に、当該エントリのファイル削除属性フラグは有効か、すなわち、ファイル削除属性フラグがＯＮとなっているか否かを判定する（２００５）。エントリのファイル削除属性フラグが有効でない、すなわちファイル削除属性フラグがＯＦＦであると判定した場合は、当該エントリを削除する必要がないので、他のエントリについて処理をするために処理２０１３に戻る。

エントリのファイル削除属性フラグが有効であると判定した場合は、当該エントリの示すファイル保存期限は満了しているか否かを、処理２００２において取得した現在時刻と比較して判定する（２００６）。ファイルの保存期限が満了していないと判定した場合は、当該ファイルのエントリは、ファイルの保存期限が満了していないにもかかわらず削除属性を示しており、ファイル管理装置１００またはストレージシステムに何らかの異常が発生していると判断する。そして、管理サーバ３００に対して警報処理を行う（２０１２）。この警報処理では、管理サーバ３００に対して警報を送信し、異常の内容（ファイルの保存期限が切れる前にファイル管理テーブル１０８上ではファイル削除属性がＯＮ、すなわちファイル実体が削除されたことになっている等）を、管理サーバ３００に備えられているディスプレイ等の出力装置に出力する。管理者は出力された内容を見て、ストレージシステムに対して必要な処置を行う。

ファイルの保存期限が満了していると判定した場合は、次に、当該エントリが示す保存期限に余裕期間を付加した期間が満了しているか否かを判定する（２００７）。

ここで、余裕期間とは、ストレージ装置２００からファイルの実体を削除した後も、エントリ自体はファイル削除属性フラグを有効にした状態で残しておく期限のことである。これは、ファイル管理装置１００において、ファイル保存期限満了確認プログラムによって、保存期限が満了したファイルの実体をストレージ装置２００から削除した後に、当該ファイルのエントリを他のファイル管理装置１００が参照する可能性を考慮して設ける期限である。

例えば、ファイル管理装置１００ａにおいて実行されるファイル保存期限満了確認プログラムは午前中に起動し、ファイル管理装置１００ｂにおいて実行されるファイル保存期限満了確認プログラムは午後に起動されるように設定されている場合について説明する。この場合、同日に保存期限の満了したファイルは、ファイル管理装置１００ａではファイルの実体を削除したが、ファイル管理装置１００ｂではまだ当該ファイルの削除を行っていないという場合が生じうる。ここで、ファイル管理装置１００ａに対して問合せ要求を行うが、ファイル管理装置１００ａにおいてファイルの実体が削除され、その後直ちにファイル管理テーブルのエントリが削除されてしまうと、当該ファイルは無いという問合せ応答が返送され、エラーとなる。このことを防ぐためにファイルの実体を自動的に削除した後も、余裕期間が満了するまでは、エントリ自体はファイル削除属性フラグを有効にした状態で残しておく。なお、余裕期間は、ファイル保存期限満了確認プログラムの起動間隔の数倍とすることが望ましく、例えば、本実施形態のように、１日１回の起動があれば１０日とする。

エントリの示す保存期限に余裕期間を付加した期間が満了していないと判定した場合は、当該エントリの削除処理は行わず、他のエントリについて処理をするために処理２０１３に戻る。

エントリの示す保存期限に余裕期間を付加した期間が満了したと判定した場合は、次に、当該エントリの示すファイルは、ファイル保管場所（ストレージ装置２００）から既に削除されているか否かを判定する（２００８）。なお、ここではファイル保存期限切れ処理（図６の処理１０１７）において、ストレージ装置２００ａに保存されている当該ファイルの実体は、既に削除されているものとする。

当該ファイルの実体が削除されていない場合は、ファイル管理装置１００またはストレージシステムに何らかの異常が発生していると判断する。そして、管理サーバ３００に対して警報処理を行う（２０１２）。この警報処理では、管理サーバ３００に対して警報を送信し、異常の内容（ファイル保存期限が満了しているが、ファイル実体が消去されずに残っている等）を、管理サーバ３００に備えられているディスプレイ等の出力装置に出力する。管理者は出力された内容を見て、ストレージシステムに対して必要な処置を行う。

当該ファイルの実体が削除されていると判定した場合は、当該ファイルの示すエントリを削除する（２００９）。次に、当該ファイル名を検索キーとして、ファイル管理テーブル１０８を参照して、当該ファイル名が別の保管場所（他のファイル管理装置１００に接続されているストレージ装置２００）に保存されていることを示すエントリがあるか否かを判定する（２０１０）。

別の保管場所のエントリがないと判定した場合は、処理２０１３に戻り、他のエントリについて処理を行う。別の保管場所のエントリがあると判定した場合は、当該エントリを削除する（２０１１）。そして、処理２０１０に戻り、別の保管場所にある当該ファイルを示すすべてのエントリがファイル管理テーブル１０８から削除されるまで処理２０１０と処理２０１１を繰り返す。

以上のように、ファイル管理テーブル削除プログラムによって、ファイルの実体が削除されたファイル管理テーブルについて、当該ファイルに関するエントリを所定の期間の後削除される。

以上のように構成した本発明の実施の形態のストレージシステムでは、ファイル管理装置１００が、管理下にあるストレージ装置に保存されているファイル（ＷＯＲＭファイル）の削除期限が満了したと判定した場合、当該ファイルの複製を保持している他のファイル管理装置１００に対して、保存期限が満了しているかの確認を行う。そして、確認の結果、複製ファイルも同様に保存期限が満了していれば、当該ファイルを削除可能とする。

このようにすることで、ファイル管理装置１００の時刻に異常がある、または、登録されているエントリに異常があることを検出することができる。ファイルの保存期限を管理するファイル管理装置１００の時刻が大幅に狂ってしまった場合（たとえば、ファイル管理装置１００の時刻を司る時刻サーバ４００がクラッキングされた場合等）や、ファイル管理装置１００のファイル管理テーブル１０８がクラッキング等によって書き換えられてしまった場合や、ファイル管理装置１００の内部時計１０５がクラッキング等によって実時間よりも先に進められてしまった場合にも、意図しないファイルの消去を防ぎ、システムの安全性を高めることができる。

本発明の実施の形態の、ストレージシステムの構成を示すブロック図である。 本発明の実施の形態の、ファイル管理装置１００及びストレージ装置２００の詳細な構成を示したブロック図である。 本発明の実施の形態の、ファイル管理装置１００が管理するファイル管理テーブル１０８の内容の一例を示す表である。 本発明の実施の形態の、ファイル管理装置１００のファイル保存期間満了確認プログラム、及び、問合せ応答プログラムの処理を示すフローチャートである。 本発明の実施の形態の、問合せ要求パケットの内容を示す説明図である。 本発明の実施の形態の、問合せ応答パケットの内容を示す説明図である。 本発明の実施の形態の、ファイル管理テーブル削除プログラムの処理を示すフローチャートである。

符号の説明

１０ セグメント
２０ 広域ネットワーク
１００ ファイル管理装置
２００ ストレージ装置
３００ 管理サーバ
４００ 時刻サーバ
５００ ルータ
６００ ネットワーク

Claims (13)

1. 互いに接続される第１のネットワークセグメントと、第２のネットワークセグメントとを備え；
   前記第１のネットワークセグメントには、
   ファイルを保存する第１のストレージ装置と、
   前記第１のストレージ装置に保存されているファイルの保存場所及び保存期限を管理する第１のファイル管理テーブルを備える第１のファイル管理装置と、
   前記第１のファイル管理装置に時刻の情報を提供する第１の時刻サーバと、
   前記第１のファイル管理装置からの警報を受け付ける第１の管理サーバと、が接続されており；
   前記第２のネットワークセグメントには、
   前記第１のストレージ装置に保存されているファイルと同じ内容のファイルを保存する第２のストレージ装置と、
   前記第２のストレージ装置に保存されているファイルの保存場所及び保存期限を管理する第２のファイル管理テーブルを保持する第２のファイル管理装置と、
   前記第２のファイル管理装置に時刻の情報を提供する第２の時刻サーバと、
   前記第２のファイル管理装置からの警報を受け付ける第２の管理サーバと、が接続されて構成されるストレージシステムにおけるファイル管理方法であって；
   前記第１のファイル管理装置は、
   前記第１のストレージ装置に保存されている保存期限が満了したファイルに対応するファイルの前記第２のストレージ装置における保存場所を取得し、
   前記取得した該ファイルの保存場所である第２のファイル管理装置に対して、該取得したファイルの保存期限を問い合わせ；
   前記第２のファイル管理装置は、
   前記第２のファイル管理テーブルを参照して、前記第２のストレージ装置における当該ファイルの有無、及び、当該ファイルの保存期限が満了しているか否かを示す情報を含む応答をし；
   前記第１のファイル管理装置は、
   前記応答に基づいて、前記第２のストレージ装置に該ファイルが保管されていない場合、及び／又は、前記第２のファイル管理装置において該ファイルの保存期限が満了していない場合は、前記第1のストレージ装置から該ファイルを削除することなく、その旨を前記第１の管理サーバへ報知し、
   前記応答に基づいて、前記第２のファイル管理装置に該ファイルが保管されており、かつ、前記第２のストレージ装置においても該ファイルの保存期限が満了している場合は、前記第1のストレージ装置から該ファイルを削除することを特徴とするファイル管理方法。
2. ストレージ装置に接続され、内部時計と、前記ストレージ装置に保存されているファイルの保存場所及び保存期限を管理するファイル管理テーブルと、を備え、
   前記内部時計から取得した現在時刻と、前記ファイル管理テーブルに記録されるファイルの保存期限との比較結果に基づいて前記ストレージ装置に保管されるファイルを管理するファイル管理装置であって、
   前記ストレージ装置に保存されている保存期限が満了したファイルに対応するファイルを保管している他のストレージ装置を検索し、
   前記検索された他のストレージ装置を管理するファイル管理装置に対して、該ファイルの保存期限を問い合わせ、
   前記問い合わせの結果、前記他のファイル管理装置において該ファイルの保存期限が満了していない場合は、前記ストレージ装置から該ファイルの削除を許可することなく、その旨を報知し、
   前記問い合わせの結果、前記他のファイル管理装置において該ファイルの保存期限が満了している場合は、前記ストレージ装置から該ファイルの削除を許可することを特徴とするファイル管理装置。
3. 前記問い合わせの結果、前記他のファイル管理装置に該ファイルが保管されていない場合、及び／又は、前記他のファイル管理装置において該ファイルの保存期限が満了していない場合は、前記ストレージ装置から該ファイルの削除を許可することなく、その旨を報知し、
   前記問い合わせの結果、前記他のファイル管理装置に該ファイルが保管されており、かつ、前記他のファイル管理装置においても該ファイルの保存期限が満了している場合は、前記ストレージ装置から該ファイルの削除を許可することを特徴とする請求項２に記載のファイル管理装置。
4. 前記内部時計は、第１のネットワークを介して接続された第１の時刻サーバによって時刻が管理されており、
   前記問い合わせ先である他のファイル管理装置の内部時計は、第２のネットワークを介して第２の時刻サーバによって時刻が管理されており、
   前記第１の時刻サーバと前記第２の時刻サーバとは異なるものであることを特徴とする請求項２に記載のファイル管理装置。
5. 前記ファイル管理装置は、前記第１の時刻サーバと共に第１のネットワークに接続されており、
   前記他のファイル管理装置は、前記第２の時刻サーバと共に第２のネットワークに接続されており、
   前記第１のネットワークと前記第２のネットワークとは異なるネットワークセグメントに属することを特徴とする請求項４に記載のファイル管理装置。
6. 他のファイル管理装置からファイルの保存期限の問い合わせを受け付けると、
   自装置に備えられた前記ファイル管理テーブルを参照して、該問い合わせに係るファイルの有無、及び、該問い合わせに係るファイルの保存期限が満了しているか否かを示す情報を含む応答を前記他のファイル管理装置に送信することを特徴とする請求項２に記載のファイル管理装置。
7. 前記問い合わせの結果に基づいて前記ストレージ装置からファイルが削除された後、該ファイルの保存期限満了から所定の期間が経過した後に、前記ファイル管理テーブルの該ファイルに関する情報を削除することを特徴とする請求項２に記載のファイル管理装置。
8. 前記問い合わせの結果に基づいて前記ストレージ装置からファイルの削除処理が行われた後、
   前記ファイル管理テーブルに記録された該ファイルの保存期限が満了していない場合、又は、該ファイルが前記ストレージ装置に保存されている場合に、前記ファイル管理テーブルの該ファイルに関する情報を削除することなく、その旨を報知し、
   前記ファイル管理テーブルの該ファイルの保存期限が満了している場合、及び、該ファイルが前記ストレージ装置に保存されていない場合は、該ファイルの保存期限満了から所定の期間が経過した後に、前記ファイル管理テーブルの該ファイルに関する情報を削除することを特徴とする請求項２に記載のファイル管理装置。
9. ストレージ装置に接続され、内部時計と、前記ストレージ装置に保存されているファイルの保存場所及び保存期限を管理するファイル管理テーブルと、を備えるファイル管理装置に、
   前記内部時計より現在時刻を取得する第１の手順と、
   前記ストレージ装置に保存されている保存期限が満了したファイルに対応するファイルを保管している他のストレージ装置を検索する第２の手順と、
   前記検索された他のストレージ装置を管理するファイル管理装置に対して、該ファイルの保存期限を問い合わせる第３の手順と、
   前記問い合わせの結果、前記他のファイル管理装置において該ファイルの保存期限が満了していない場合は、前記ストレージ装置から該ファイルの削除を許可することなく、その旨を報知する第４の手順と、
   前記問い合わせの結果、前記他のファイル管理装置において該ファイルの保存期限が満了している場合は、前記ストレージ装置から該ファイルの削除を許可する第５の手順と、を実行させることによって、
   前記ストレージ装置に保管されるファイルを管理させることを特徴とするプログラム。
10. 前記第４手順は、前記他のファイル管理装置に該ファイルが保管されていない場合に加え、前記他のファイル管理装置において該ファイルの保存期限が満了していない場合にも、前記ストレージ装置から該ファイルの削除を許可することなく、その旨を報知し、
    前記第５手順は、前記他のファイル管理装置に該ファイルに関する情報が保管されており、かつ、前記他のファイル管理装置において前記情報に含まれる該ファイルの保存期限が満了している場合は、該ファイルの前記ストレージ装置からの削除を許可することを特徴とする請求項９に記載のプログラム。
11. 前記他のファイル管理装置からファイルの保存期限の問い合わせを受け付けると、自装置に備えられた前記ファイル管理テーブルを参照して、該問い合わせに係るファイルの有無、及び／又は、該問い合わせに係るファイルの保存期限が満了しているか否かを示す情報を含む応答を前記他のファイル管理装置に送信する第６手順を含むことを特徴とする請求項９に記載のプログラム。
12. 前記問い合わせの結果に基づいて前記ストレージ装置からファイルが削除された後、該ファイルの保存期限満了から所定の期間が経過した後に、前記ファイル管理テーブルの該ファイルに関する情報を削除する第７手順を含むことを特徴とする請求項９に記載のプログラム。
13. 前記問い合わせの結果に基づいて前記ストレージ装置からファイルの削除処理が行われた後、
    前記ファイル管理テーブルに記録された該ファイルの保存期限が満了していない場合、又は、該ファイルが前記ストレージ装置に保存されている場合に、前記ファイル管理テーブルの該ファイルに関する情報を削除することなく、その旨を報知し、
    前記ファイル管理テーブルの該ファイルの保存期限が満了している場合、及び、該ファイルが前記ストレージ装置に保存されていない場合は、該ファイルの保存期限満了から所定の期間が経過した後に、前記ファイル管理テーブルの該ファイルに関する情報を削除する第８手順を含むことを特徴とする請求項９に記載のプログラム。

Images