JP4700331B2 - ストレージ装置に保存されたデータの真正さの保証 - Google Patents

Description

関連出願との対応 0001 本発明の実施形態は２００４年３月２３日出願受理の米国出願第＿/＿,＿（Ａｔｔｏｒｎｅｙ Ｄｏｃｋｅｔ Ｎｏ．１６８６９Ｂ−１０３７００ＵＳ）に関連し、その全内容はここに参照のために組み込まれる。

0002 本発明は全体としてストレージ装置の分野に関し、より具体的にはストレージ装置に保存されたデータの真正さを保証する技術に関する。

0003 今日のビジネス環境では情報を保存することが要求され、要求はますます強くなりつつあり、これを満足させることが重要な局面となっている。具体的には、記録を作成し、保存し、アクセスし、管理し、そしてある期間保存するプロセスの情報の保存が求められている。Ｅメール、患者のカルテ、金融取引であれ、企業ではこれら大量の情報を不正なアクセス、破壊から守るために、方針、手順、システムを制定し始めている。ビジネス上、業務上の内容を、数年から永久までに亘る様々な所定の期間、保存することが政府あるいは産業界から発表されている多くの規制によって求められている。これらの規制により、企業はデータを記録し保存管理する方法の迅速な見直しを迫られてきた。

0004 例えば、最近、米国政府による規制は記録の保存をますます必須のものとしてきている。米国政府のデータ保護の規制は、現在、ヘルスケア、金融業、法人の責務、生命科学、および連邦政府に適用されている。金融業界では、１９３４年制定の証券取引所法規則１７a−４項により、証券業会員、仲介業者、および代理店は、勘定元帳、日々の証券購入、売却の項目別記録、仲介注文指示書、顧客への通知書、その他文書などある種の記録を保存することが求められている。本規則では、証券取引業会員、仲介業者、および代理店は、記録が書き換え不能、消去不能な形式でのみ保存されるのであれば、これらの記録を電子保存媒体に保存することが認められている。

0005 さらに、団体や業界では独自の文書保存方針を制定することができる。これらの方針ではしばしば長期間の保存が求められる。金融業に関する自己管理組織である、米国証券代理店協会（The National Association of Security Dealers）“NASD”ではこの種の規則を設けている。例えば、NASD規則３１１０項では、各々の会員はある種の帳簿、勘定書、記録、メモ、および連絡文書を保存することを求めている。

0006 保存される記録には手紙、患者のカルテ、メモ、元帳、スプレッドシート、Ｅメールメッセージ、音声メール、簡単メッセージなど多くの形式のものがありうる。従って、保存される記録の量は膨大となりえて、高速で大容量の処理が求められる。さらに、保存される記録は、ＰＤＦファイル、ＨＴＭＬ文書、ワープロ文書、テキストファイル、リッチテキストファイル、ＥＸＣＥＬ^ＴＭスプレッドシート、ＭＰＥＧファイル、ＡＶＩファイルあるいはＭＰ３ファイルなど多くのまったく共通性のない電子フォーマットである可能性がある。

0007 今日、多くの従来技術の方法で、上位レベルのソフトウェアあるいはアプリケーションソフトウェアを用いて、書き換え不能、消去不能な状態でデータを保存している。例えば、電子メールアーカイブソフトウェアなどの上位レベルソフトウェアではデータを消去不能に設定することができる。しかしながら、ライトプロテクトを行う上位レベルソフトウェアプログラムは一般的には信頼度が低く、セキュリティ上の弱点を攻撃されやすく、ストレージ媒体レベルで簡単にバイパスできると考えられている。さらに上位レベルソフトウェアを実行するのには、多くの情報源から発する、多くの全く異なる形式の文書を処理せねばならないためにコストがかかる場合がある。

0008 他の従来技術では、追記型（write once read many：ＷＯＲＭ）の記憶装置を使用して書き換え不能、消去不能な状態でデータを保存している。しかしながら、ＷＯＲＭ記憶装置の内容が所定の期間内変更されずに保存されていることを証明するのは困難である。例えば、ユーザは業務の記録を書き換え可能装置に保存し、必要に応じて修正を加え、監査に先立ってＷＯＲＭ記憶装置にデータを保存することができる。すなわち、データがＷＯＲＭストレージ装置に保存されていたとしても、元のデータが変更されていないという証拠にはならないのである。

0009 以上から分かるように、従来技術では監査員、規格担当者あるいは検査官に保存データの信憑性を納得させるだけの配慮に欠けるのである。ストレージ装置の改良、特にデータを長期保存しその信憑性を増加させる技術の改良が必要である。

0010 本発明を実施することによりストレージ装置に保存されたデータの真正さを保証する技術が提供される。ストレージ装置にはＩ／Ｏオペレーションと管理オペレーションを行うストレージコントローラが含まれる。管理オペレーションの記述と対応するタイムスタンプの記述がメモリに保存されたオペレーションログに記録される。メモリはストレージ装置の各ストレージボリュームの属性も追加して保存する。各ストレージボリュームへの書き込みアクセスはその属性に依存する。

0011 本発明の一実施例では、ストレージシステムはホストコンピュータとのインタフェースと、Ｉ／Ｏオペレーションと管理オペレーションを行う中央処理装置を有するストレージコントローラを有している。管理オペレーションの記述と対応するタイムスタンプがメモリに保存されるオペレーションログに記録される。メモリはストレージシステムの各ストレージボリュームの属性も追加して保存する。各ストレージボリュームへの書き込みアクセスはその属性に依存する。ストレージボリュームは少なくとも1台のハードディスクドライブで定義される。

0012 本発明の他の実施例では、ストレージシステムは第一のメモリと第二のメモリを有している。第二のメモリは、管理オペレーションの記述と対応するタイムスタンプが記録されるオペレーションログを保存する。中央処理装置は第一のメモリから指示を引き出し、指示を実行する。クロック回路はタイムスタンプを生成するのに使われる時刻情報を提供する。ストレージシステムの論理ボリュームは少なくとも1台のハードディスクドライブに保存される。システムは各論理ボリュームの属性を保存し、各論理ボリュームへの書き込みアクセスはこの属性に依存する。

0013 さらに本発明の他の実施例により、ストレージコントローラと複数のディスクストレージを有するストレージサブシステムに保存されるデータの真正さを保証する方法が提供される。本方法では第一のログと第二のログを保存することを含む。ストレージサブシステムの管理オペレーションと対応するタイムスタンプが第一のログに記録される。論理ボリュームの管理オペレーションと対応するタイムスタンプがライトプロテクト属性とライトプロテクト期間に応じて第二のログに記録される。論理ボリュームへの書き込みアクセスはライトプロテクト属性とライトプロテクト期間に応じて拒絶される。第一のログ、第二のログ、あるいは第一と第二のログの組み合わせを出力することができる。

0014 本発明の実施例により、ストレージサブシステムに保存されるデータの真正さを保証し、コンピュータで読み取り可能なストレージ媒体に保存されるコンピュータプログラム製品が提供される。コンピュータプログラム製品は、第一と第二のログを保存するコードと、ストレージサブシステムの管理オペレーションと対応するタイムスタンプを第一のログに記録するコードと、論理ボリュームのライトプロテクト属性とライトプロテクト期間を特定するコードと、ライトプロテクト属性とライトプロテクト期間に応じて論理ボリュームの管理オペレーションと対応するタイムスタンプを第二のログに記録するコードと、論理ボリュームのライトプロテクト属性とライトプロテクト期間に応じて論理ボリュームへの書き込みアクセスをホストに対して拒否するコードと、第一のログか第二のログ、あるいは第一と第二のログの組み合わせから情報をコンソールに提供するコードとを備えている。

0015 発明の他の目的、特徴、および利点は以下の詳細な説明と付随する図面により明らかになる。ここで各図面を通して同じ参照記号は同じ機構を示す。

本発明を実施することによりストレージ装置に保存されたデータの真正さを保証する技術が提供される。

0024 以下の説明において具体的な詳細は単に発明を説明するために示されているものである。しかしながら本発明は以下に示される実施例に対して一定の修正を加えることができることは明らかなことである。

0025 図１は本発明を適用した典型的なプライマリストレージシステム１の単純化したシステム構成図である。プライマリストレージシステム１はホストコンピュータ２及び複数のコンソール３に接続している。プライマリストレージシステム１はセカンダリストレージシステム４に接続していても良い。ホストコンピュータ２は、読み出し書き込み指示などのＩ／Ｏ要求をプライマリストレージシステム１に発行する。プライマリストレージシステム１のシステム構成は、認定ユーザ（例えば、システム管理者、監査員、規格担当者、検査官などのユーザ）によってコンソール３からアクセスし、あるいは変更することが可能である。セカンダリストレージシステム４はプライマリストレージシステム１のデータをコピーし、あるいは移行するのに使用することができる。例えば、プライマリストレージシステム１を入れ替えるような場合に、プライマリストレージシステム１の論理ボリュームに保存されたデータをセカンダリストレージシステム４の論理ボリュームに移行することができる。他の実施例では複数のホストコンピュータをプライマリストレージシステム１に接続することができる。

0026 ストレージシステム１（あるいはストレージサブシステム）は、ディスクコントローラ１０（あるいはストレージコントローラ）と複数のディスク１１を備えている。ディスクコントローラ１０は、ディスク１１の動作を制御しディスク１１とホストコンピュータ２との間のデータの通信を実現している。例えば、ディスクコントローラ１０は、ディスク１１に書き込むデータをフォーマットしディスク１１から読み出したデータを検証する。ディスク１１は本実施例では1台以上のハードディスクドライブである。他の実施例では、ディスク１１としてフロッピィディスク、ＣＤ−ＲＯＭ，ＣＤ−Ｒ／Ｗ、ＤＶＤ、光磁気ディスク、これらの組み合わせなどの適当なストレージ媒体を使用することができる。ストレージシステム１は1台、１０台、１００台、１０００台、あるいはさらに多数のハードディスクドライブを備えることができる。本発明を１台のパーソナルコンピュータに適用した場合、通常はストレージシステムは１０台未満のハードディスクドライブを備えることになる。しかしながら、一流の金融機関などの大企業の場合、ハードディスクドライブの数は１０００台を超えることもある。各ディスク１１はストレージシステム１の棚に実装されている。ストレージシステム１は各ディスクの棚上の実装位置を、識別情報を用いて追跡する。識別情報は０から始まる数字の識別子で、本発明ではＨＤＤ ＩＤとよばれている。さらに各ディスクは固有の通し番号を有しており、ストレージシステム１から追跡可能となっている。

0027 ディスクコントローラ１０は、ホストコンピュータ２、セカンダリストレージシステム４、ディスク１１及びコンソール３とのインタフェースをとるホストインタフェース１０１と１０２、ディスクインタフェース１０６及び制御インタフェース１０７を備えている。ホストインタフェース１０１はホストコンピュータ２とディスクコントローラ１０との連携をとり、ホストコンピュータ２の発行する読み出し指示、書き込み指示及びその他Ｉ／Ｏ要求を受信する。ホストインタフェース１０２によりセカンダリストレージシステム４をディスクコントローラ１０に接続しデータ移行を行うことができる。あるいは、ホストインタフェース１０２により増設ホストコンピュータ２をストレージシステム１に接続することができる。ディスク１１はディスクインタフェース１０６を介してディスクコントローラ１０に接続される。制御インタフェース１０７はコンソール３とのインタフェースを提供する。

0028 更に、ディスクコントローラ１０は中央処理装置（ＣＰＵ）１０３、メモリ１０４、不揮発ランダムアクセスメモリ（ＮＶＲＡＭ）１０５及びクロック回路１０８を備えている。ＣＰＵ１０３はメモリ１０４から指示を引き出し実行してストレージシステム１を動作させる。ＮＶＲＡＭ１０５はストレージシステム１のオペレーションログ領域１５４を保存する。ＮＶＲＡＭ１０５は、定電圧電源に接続された１つ以上のスタティックランダムアクセスメモリ（ＳＲＡＭ）装置、電気的に消去可能なプログラマブルリードオンリメモリ（ＥＥＰＲＯＭ）装置、電源が切断されたときにＮＶＲＡＭ１０５の内容を保存するフラッシュメモリ装置、あるいはこれらの組み合わせを備えることができる。クロック回路１０８はプライマリストレージシステム１が使用するタイムスタンプ（現在の日付と時刻）を提供する。

0029 本発明の実施例としてＮＶＲＡＭ１０５に保存されるオペレーションログ領域１５４の完全性を保証するために、コンソール３あるいはホストコンピュータ２はＮＶＲＡＭ１０５への直接アクセスを行わず、あるいはコンソール３またはホストコンピュータ２はＮＶＲＡＭ１０５へ直接書き込みを行わない。ＣＰＵ１０３がオペレーションログ領域１５４へ追加情報を保存するためＮＶＲＡＭ１０５への書き込みアクセスを許可する。さらなる代替えとしてＣＰＵ１０３を、オペレーションログ領域１５４を保存するのに使用されるＮＶＲＡＭ１０５のメモリ領域をオーバライトしないよう制約してもよい。ＣＰＵ１０３はＮＶＲＡＭ１０５の使用済みあるいは空きのメモリ領域を識別する１つ以上のポインターを備えることによりこの制約が実現される。これらアクセス制限はＮＶＲＡＭ１０５内のオペレーションログ領域１５４がどのユーザ（例えば、システム管理者及び規格担当者）によっても改竄されないよう守っている。またさらに、オペレーションログ領域１５４をホストコンピュータ２あるいはコンソール３が直接アクセスできないディスク１１の特殊な領域に保存しても良い。

0030 同様に、クロック回路１０８へのアクセスを制限して不正確なタイムスタンプがオペレーションログ領域１５４に記録されるのも防ぐことができる。ストレージシステムの情報保存に関連したクロックの管理と調整の技術は、出願番号Ｎｏ．＿/＿,＿（Attorney Docket No. 16869B-103700US）、２００４年３月２３日出願受理の米国特許出願に記載されている。

0031 コンソール３はストレージシステム１に直接あるいは通信ネットワーク１２を介して接続することができる。ある実施例では通信ネットワーク１２はワイドエリアネットワーク（ＷＡＮ）であるが、別の例ではローカルエリアネットワーク（ＬＡＮ）、インタネット、無線ネットワーク、イントラネット、プライベートネットワーク、公衆ネットワーク、スイッチネットワーク、あるいはこれらの組み合わせなど適当なネットワークであればどれであっても良い。通信ネットワーク１２として、ハードワイヤリンク、光リンク、衛星あるいは他の無線通信リンク、波動伝搬リンク、あるいは他の情報通信方式をとることができる。通信ネットワーク１２を介してコンソール３とストレージシステム１が通信するのを容易にするため様々な通信プロトコル（ＴＣＰ／ＩＰ、ＨＴＴＰプロトコル、拡張マークアップ言語（ＸＭＬ）、無線アプリケーションプロトコル（ＷＡＰ）、メーカー固有プロトコル、個別化プロトコルなど）を使用することができる。通信ネットワーク１２によりストレージシステム１を一層柔軟に管理し監視することが可能になる。例えば、ある規格担当者は、ニューヨーク州ニューヨーク市の本社で、カリフォルニア州サンノゼの支社にあるストレージシステム１を遠隔で管理し監視することができる。

0032 本発明の他の実施例では、複数のホストコンピュータを通信ネットワークを介してストレージシステム１に接続することができる。この通信ネットワークはコンソール３が使用する通信ネットワーク１２と同様のものである。あるいは同じ通信ネットワークであっても良い。これによって、ストレージシステム１のリモートアクセスを改善するのが容易になる。例えば、ストレージシステム１は企業の本社にあって、保存されている情報にアクセスすることを必要とする従業員は支社に在席しているということが可能である。アクセスを必要とする従業員は通信ネットワークを介してリモートアクセスが可能になる。

0033 図２に本発明の実施例によるディスクコントローラ１０の単純化した機能ブロック構成図を示す。ディスクコントローラ１０はストレージマネージャ１５１、Ｉ／Ｏ処理プログラム１５２、クロック管理プログラム１５３、環境モニタ１５５、及びボリューム管理プログラム１５６の機能の１つ以上を備えている。ストレージマネージャ１５１、Ｉ／Ｏ処理プログラム１５２、クロック管理プログラム１５３、及びボリューム管理プログラム１５６はＣＰＵ１０３で実行されメモリ１０４内に存在する。

0034 Ｉ／Ｏ処理プログラム１５２はホストコンピュータ２からのＩ／Ｏ要求を処理しディスク１１にアクセスする。１つ以上の論理ボリューム（あるいはストレージボリューム）がＩ／Ｏ処理プログラム１５２によってディスク１１から生成される。本発明では、Ｉ／Ｏ処理プログラム１５２が論理ユニットボリュームを区別できるように、各論理ボリュームは論理ボリュームＩＤ（ＶＯＬ ＩＤ）と呼ばれる固有のボリューム識別子を有している。本発明の実施例では、ＶＯＬ ＩＤは小型コンピュータシステムインタフェース（ＳＣＳＩ）で使用される固有な識別子である論理ユニット番号（ＬＵＮ）と同等である。しかしながらどのような固有の識別子でもＶＯＬ ＩＤとして使用することができる。ホストコンピュータ２はＬＵＮを指定することによりこれら論理ボリュームにアクセス（例えば、読み出し、及びライトプロテクトされていなければ書き込みアクセス）するためＩ／Ｏ要求を発行することができる。論理ボリュームへのＩ／Ｏ要求は、Ｉ／Ｏ処理プログラム１５２によってディスク１１の然るべきディスクへのアクセスに変換される。

0035 ボリューム管理プログラム１５６は次の機能の１つ以上を実行する。

0036 １． 論理ボリュームの属性の管理。ストレージシステム１の各論理ボリュームは、“通常”“オフライン”“ライトプロテクト”のどれかのボリューム属性を有している。通常属性は論理ボリュームがホストコンピュータ２から読み出し書き込み両方のアクセスを受け付けることを示す。オフライン属性は論理ボリュームがホストコンピュータ２から読み書きができないことを示す。論理ボリュームは認定ユーザがコンソール３から指定することによりオフラインに設定することができる。認定ユーザは論理ボリュームへの全てのアクセスを防止するためにその設定を選択することができる。さらに、ストレージシステム１は障害が発生した場合（例えば、論理ボリュームのベースとなっているハードディスクドライブの障害など）当該論理ボリュームを自動的にオフラインに設定することができる。ライトプロテクト属性はボリュームがライトプロテクトされておりホストコンピュータ２から書き込むことが出来ないことを示す。ボリュームは指定された“継続期間”の間ライトプロテクトされている。論理ボリュームの属性がライトプロテクトに変更されるとホストコンピュータ２が当該論理ボリュームに書き込みを行えないばかりでなく、継続期間の間は誰もライトプロテクト属性を変更することができない。継続期間が終了するとユーザが属性を正常に変更して、ホストコンピュータ２から当該論理ボリュームへデータを書き込みできるようにすることができる。本発明の実施例では継続期間はライトプロテクト属性を最初に設定するときにユーザが指定する。あるいは継続期間をデフォルト値で自動設定してもよい。さらに他の実施例では、継続期間が設定された後、認定ユーザが継続期間の長さを短縮はできないが延長は可能である。

0037 ２． 論理ボリュームのコピーの生成。ボリューム管理プログラム１５６は、プライマリ論理ボリュームに保存されたデータをストレージシステム１内のセカンダリ論理ボリュームにコピーする機能を備えている。セカンダリ論理ボリュームは、データ回復、アプリケーションのテストと開発、データマイニング、データウェアハウス、あるいは無停止バックアップのために生成され、あるいは保守作業の一部として生成されることができる。論理ボリュームコピー機能は、Hitachi Data Systems Corporationの製品であるHitachi Shadow Image Softwareで実行することができる。Hitachi Shadow Image Softwareに関する詳細はデータシートに記載されており、http://www.hds.com/pdf/shadowimage_datasheet_393_02.pdfから参照可能である。ここに記載されている全事項は参照用として本特許に組み込まれる。

0038 ３． 論理ボリュームの移行。ボリューム管理プログラム１５６は論理ボリュームの内容をセカンダリストレージシステム４へ移行する、あるいはセカンダリストレージシステム４内のボリュームの内容をストレージシステム１の論理ボリュームへ移行する機能を備えている。一般にストレージシステムの論理ボリュームの内容は、保守作業あるいはストレージシステムの置き換えを実施するのに先立って、他のストレージ箇所へ移行される。

0039 ストレージマネージャ１５１は次の機能の１つ以上を実行する。

0040 １． ストレージ管理オペレーションの実行。コンソール３からの要求に応じて、ストレージマネージャ１５１はストレージシステムの動作を制御する。例えば、ユーザがコンソール３を操作して、論理ボリュームの生成、ディスクドライブの追加、論理ボリュームのコピー、あるいは論理ボリュームの移行などのストレージシステム１の構成変更を行うことができる。

0041 ２． 状態情報の収集。ストレージマネージャ１５１は環境モニタ１５５を使用してストレージシステム１の構成装置の状態情報を収集する。例えば、ディスク１１の１台が障害となった場合、環境モニタ１５５が障害を検出し、障害ディスクを特定し、ストレージマネージャ１５１に通知する。他の例では、ディスク１１の１台以上がストレージシステム１から取り外された場合、環境モニタ１５５が取り外されたことを検出し関係する事象情報（例えばＨＤＤ ＩＤ、ディスク固有の通し番号、時刻、日付、あるいは他の情報）をストレージマネージャ１５１に報告する。ストレージマネージャ１５１はこの事象情報をオペレーションログ領域１５４に保存する。

0042 ３． ボリューム管理情報の収集。ストレージマネージャ１５１は論理ボリュームのある種の構成変更に関する事象情報を記録する。事象情報はオペレーションログ領域１５４に保存され、日付時刻情報、ユーザＩＤ、ＨＤＤ ＩＤ、ディスク固有の通し番号、構成変更の種類などを制限なしに保有できる。例えば、認定ユーザがコンソール３から論理ボリュームを他の論理ボリュームへコピーする要求を出すと、ストレージマネージャ１５１はオペレーションログ領域１５４へその要求を記録する。

0043 ４． ログ情報の報告。システムアドミニストレイタ、規格担当者、検査官などの認定ユーザはコンソール３からオペレーションログ領域１５４に保存されたシステム及びボリューム情報を要求し読み出すことができる。ストレージマネージャ１５１はオペレーションログ領域１５４の全情報あるいはその一部をコンソール３に出力することができる。出力された情報をコンソール３に表示さする前にフィルタにかけ分類することができる。例えば、認定ユーザが読み出すログ情報の論理ボリュームＩＤを指定することができ、ストレージマネージャ１５１は指定されたボリュームに関連するログ情報を出力することができる。他の実施例では、出力されたログ情報は、オペレーションログ領域１５４にあるいずれかのデータ（例えば時刻、日時、ＨＤＤ ＩＤ、ライトプロテクト期間、事象その他）により分類するか、あるいはフィルタにかけることができる。

0044 クロック管理プログラム１５３はストレージシステム１の時刻を（すなわち現在の日時と時刻）を管理しストレージマネージャ１５１に時刻情報を提供する。状態情報あるいは管理情報がオペレーションログ領域１５４に保存されると、ストレージマネージャ１５１もまた対応する時刻情報（すなわちタイムスタンプ）を保存する。

0045 図３は本発明の実施例におけるオペレーションログ領域１５４を示す。本実施例では、オペレーションログ領域１５４は、システムオペレーションと論理ボリュームオペレーションの２種類の情報を保存する。ある種のシステムオペレーションに関する情報と、関連するタイムスタンプは、システムオペレーションログ２００に保存され、一方ある種の論理ボリュームオペレーション（論理ボリュームのベースとなるＨＤＤ装置の撤去などの論理ボリュームの状態を含む）に関する情報と、関連するタイムスタンプは、ボリュームオペレーションログ３００に保存される。

0046 さらにストレージシステム１の各論理ボリュームは関連するボリュームオペレーションログ３００を有している。したがってストレージシステム１にＮ個の論理ボリュームがある場合、Ｎ個のボリュームオペレーションログ３００が存在する。例えば図３でＮ個の論理ボリュームに対して、オペレーションログ領域１５４がボリュームオペレーションログ３００−１、３００−２、・・・、３００−Ｎを含んでおり、論理ボリュームｋのボリュームオペレーションに関連する情報がボリュームオペレーションログ３００−ｋに保存されている。ここで１≦ｋ≦Ｎである。ストレージマネージャ１５１はボリュームオペレーション情報を関連するタイムスタンプとともに、論理ボリュームに対応するボリュームオペレーションログ３００に保存する。

0047 図４に本発明の一実施例によるボリュームオペレーションログ３００の例を示す。時刻３０１はボリュームオペレーションが要求された時刻あるいはストレージシステム１により実行された時刻を示す。論理ボリュームの状態変化事象に関して時刻３０１は発生時刻を示す。時刻３０１はボリュームオペレーションあるいは事象のタイムスタンプである。オペレーション３０２はボリュームオペレーションあるいは状態の簡単な記述である。

0048 ボリュームオペレーションログ３００は論理ボリュームの履歴記録を提供しその真正さをサポートすることを意図しているものなので、データの検証を容易にするボリュームオペレーション情報とボリューム状態情報はボリュームオペレーションログ３００に保存されるべきである。本発明の一実施例では、ストレージマネージャ１５１は次の条件の１つ以上を適切なボリュームオペレーションログ３００に保存することができる。

0049 １． 論理ボリュームに対してライトプロテクトを設定する、あらゆる指示、要求あるいはコマンド（ライトプロテクト属性への変更など）。オペレーションの記述はユーザ指示による継続期間を含む。しかしながら、別の実施例では継続期間は予め設定されており、継続期間をボリュームオペレーションログ３００に保存する必要はない。

0050 ２． 論理ボリュームがライトプロテクトされている場合、論理ボリュームのコピーを作成するあらゆる指示、要求あるいはコマンド。ボリュームオペレーションログ３００に保存されるオペレーションの記述は、論理ボリュームがコピーペアのプライマリボリュームであることを示す情報、及びＶＯＬ ＩＤなどのペアのセカンダリボリュームを特定する情報を含む。またオペレーションの記述はセカンダリボリュームに関連するボリュームオペレーションログ３００に保存され、本論理ボリュームはライトプロテクトされたボリュームとペアになっていることを示す。

0051 ３． ライトプロテクトされた論理ボリュームを構成している１台以上のハードディスクドライブの撤去。ボリュームオペレーションログ３００に保存された記述はＨＤＤ ＩＤ及びＨＤＤ通し番号などのハードディスクドライブを特定する情報を含むことができる。論理ボリュームがＲＡＩＤ（低価格ディスクの冗長アレイ）情報などの冗長情報を含んでいた場合、環境モニタが１台以上のディスクが取り外されたことを検出すると、ストレージシステム１は取り外されたディスクドライブをスペアディスクドライブに置き換える。この場合、ストレージマネジャ１はスペアディスクドライブの情報を記録する。他の実施例では、論理ボリュームのベースとなっている１台以上のハードディスクドライブを取り外すと、ライトプロテクトの状態の如何にかかわらずボリュームオペレーションログ３００にログが残される。

0052 ４． ライトプロテクトからオフラインへの論理ボリュームの属性変更をもたらすあらゆる事象（指示、要求、コマンドを含む）。

0053 ５． セカンダリストレージシステム４の論理ボリュームをストレージシステム１のライトプロテクトされていない論理ボリュームへ移行させるあらゆる指示、要求及びコマンド。指示、要求及びコマンドの内容はストレージシステム１の論理ボリュームに対するボリュームオペレーションログ３００に記録される。さらに、セカンダリストレージシステム４が自身のボリュームオペレーションログを有していた場合、セカンダリストレージシステム４における論理ボリュームのボリュームオペレーションログ情報はストレージシステム１の論理ボリュームに対するボリュームオペレーションログ３００に記録される。別の実施例では、論理ボリュームはライトプロテクトされていないため、移行させる指示、要求、あるいはコマンドはボリュームオペレーションログ３００に記録されない。この別の実施例では、ストレージシステムの論理ボリュームログを実現するためのメモリ量を削減することができるが、ストレージシステム１の論理ボリュームのデータのソースへの追跡可能性は犠牲にされている。

0054 事象が状態の変化をもたらすかストレージシステム１の構成が変化した場合は、ハードウェアの状態あるいは構成を詳述する情報がシステムオペレーションログ２００に保存される。図５に本発明の実施例によるシステムオペレーションログ２００の例を示す。時刻２０１すなわちタイムスタンプは状態あるいは構成の変化が発生した時刻を示している。オペレーション２０２は示された時刻の状態あるいは構成の変化の簡単な記述である。本発明の１実施例ではストレージマネージャ１５１は次の条件のうち１つ以上をシステムオペレーションログ２００に保存することができる。

0055 １． 増設ディスクドライブのストレージシステム１への組み込み。システムオペレーションログ２００に保存される情報には組み込んだ時刻、ディスクドライブの通し番号、ディスクドライブの組み込まれた位置が含まれる。

0056 ２． 障害ディスクドライブの予備ディスクとの交換。システムオペレーションログ２００に保存される情報には交換した時刻、予備ディスクドライブの通し番号、予備ディスクドライブの位置が含まれる。

0057 ３． ディスクドライブのストレージシステム１からの撤去。システムオペレーションログ２００に保存される情報には撤去した時刻、ディスクドライブの通し番号、撤去されたディスクドライブの以前の位置が含まれる。

0058 ４． 論理ボリュームの生成。システムオペレーションログ２００に保存される情報には論理ボリュームＩＤ（ＶＯＬ ＩＤ）、ＨＤＤ ＩＤ、生成した時刻、論理ボリュームの生成を要求したユーザが含まれる。

0059 システムオペレーションログ２００とボリュームオペレーションログ３００を含む、オペレーションログ領域１５４に記録された情報を使用して、ストレージシステム１のライトプロテクトされたボリュームは改竄されておらず、これらの論理ボリュームはライトプロテクトされた状態に留まっていることを示すことができる。すなわち、ストレージシステム１はライトプロテクトされたボリュームの内容を変更する可能性のある事象に関連する情報を保存していることを意味する。ここに開示する技術を使用せずとも、従来のシステムで見られるように、データを保護するための迂回路をとることができる。例えば、ユーザは論理ボリュームのコピーをセカンダリボリュームに生成し、セカンダリボリュームの内容を変更したのち、セカンダリボリュームの属性をライトプロテクト状態に変更することができる。他の例として、ディスクの論理―物理マッピングに精通したユーザが、従来技術のストレージシステムからハードディスクドライブを取り外し、ハードディスクドライブの内容を（データの論理−物理マッピングを考慮して）他の装置で変更して、従来技術のストレージシステムの元の場所にハードディスクドライブを戻すことができる。

0060 本発明の実施例ではストレージシステム１は影響を受けやすい操作あるいは状態の変化を記録し、オペレーションログ領域１５４を用いてその種の操作あるいは状態の変化はなかったことを示すことができる。あるいはオペレーションログ領域１５４を認定ユーザ（監査員、規格担当者、検査官、あるいはシステム管理者など）が用いて、それらの影響を受けやすい操作あるいは状態の変化の経緯を調べることができる。例えば監査員がオペレーションログ領域１５４に保存された情報を使用して論理ボリュームのコピーを要求したユーザを特定し、そのコピーした論理ボリュームの使用と目的について調査することができる。

0061 図６は本発明を用いてオペレーションのログを残す典型的な手順の特徴を説明するフローチャートである。ステップ１２０１で、ストレージマネージャ１５１は管理オペレーションあるいは状態変化の情報をオペレーションログ領域１５４に記録すべきかどうかをチェックする。すなわち、ストレージマネージャ１５１は管理オペレーションあるいは状態変化の情報がシステムオペレーションログ２００あるいはボリュームオペレーションログ３００のいずれかに記録を残すことが必要な事象あるいは動作であるかどうかを検証する。必要なければ管理オペレーションあるいは状態変化の情報は記録されない。必要あれば、次にステップ１２０２でストレージマネージャ１５１は管理オペレーションあるいは状態変化の情報が特定のボリュームと関係するかを判断する。特定のボリュームに関係していたら、ストレージマネージャ１５１は現在の時刻（例えばタイムスタンプ）とともに情報の記述をボリュームオペレーションログ３００に記録する。管理オペレーションあるいは状態変化の情報が特定のボリュームに関連していなければ、ストレージマネージャ１５１はタイムスタンプとともに情報の記述をシステムオペレーションログ２００に保存する。他の実施例では、ライトプロテクトされていない論理ボリュームに関連する管理オペレーション、状態変化の情報、あるいは管理オペレーションと状態変化の情報の組み合わせをボリュームオペレーションログ３００に記録しても良い。

0062 管理情報とタイムスタンプをオペレーションログ領域１５４に記録するのに加えて、ストレージシステム１はホストコンピュータ２からのある種のＩ／Ｏ指示をＩ／Ｏオペレーション情報１５７として記録することができる。ある実施例ではＩ／Ｏオペレーション情報１５７は長い連続したデータ読み出しアクセスの発生を判断するのに有用な情報を含んでいる。Ｉ／Ｏオペレーション情報はＮＶＲＡＭ１０５に保存することができる。

0063 図７は本発明によるＩ／Ｏオペレーション情報１５７の典型的な実施例を示す。Ｉ／Ｏオペレーション情報１５７はＮ行（Ｎ個の論理ボリュームに対して）６列の表として示される。各行はＶＯＬ ＩＤ４０１で示される論理ボリュームに対する連続読み出し情報を含んでいる。開始時刻４０２は連続読み出し動作が最初に開始された日付と時刻を示している。開始ＬＢＡ４０３は最初の連続読み出しコマンドでデータが読み出された論理ブロックアドレス（ＬＢＡ）である。最終時刻４０４は最新の連続読み出しコマンドを受信した日付と時刻を示し、最終ＬＢＡ４０５は最新の連続読み出し要求によりデータが読み出された論理ボリュームのＬＢＡである。フラグ４０６は、Ｉ／Ｏ処理プログラム１５２が連続読み出しアクセスを処理すべきか拒否すべきかを決定するのに使用する情報である。

0064 図８は本発明を使用して連続読み出し動作を検出する典型的な手順の特徴を示すフローチャートである。この処理は属性がライトプロテクト状態にある論理ボリュームに適用される。しかしながら他の実施例ではメモリ使用量は増加するが本処理を非ライトプロテクト状態の論理ボリュームに適用することができる。

0065 ステップ１３０１で、ライトプロテクト状態にある論理ボリュームの読み出しコマンドをストレージシステム１が受信したとき、Ｉ／Ｏ処理プログラム１５２は論理ボリュームの最終ＬＢＡ４０５に対するＩ／Ｏオペレーション情報１５７を検索する。次にステップ１３０２で、Ｉ／Ｏ処理プログラム１５２は最終ＬＢＡ４０５と読み出しコマンドで指定されたＬＢＡ情報を比較する。読み出しコマンドで指定されたＬＢＡ情報が最終ＬＢＡ４０５の次のアドレスであれば、Ｉ／Ｏ処理プログラム１５２は、開始ＬＢＡ４０３と読み出しコマンドで指定されたＬＢＡ情報を使用して、データ長を計算する。

0066 計算されたデータ長を所定値、すなわち“第一の閾値”と比較する。第一の閾値はストレージサブシステム１に固定された値とすることができる（例えば出荷前に工場で設定した値）。あるいは第一の閾値を監査員、規格担当者、検査官、あるいはシステム管理者など認定ユーザがコンソール３で設定する可変値とすることもできる。ステップ１３０２で開始ＬＢＡ４０３を使用してデータ長を計算し、複数の部分に分割されて実行される読み出しコマンドを連続読み出しコマンドと認識しても良い。従って、複数の段階でデータをコピーしようとする場合、第一の閾値以下のそれぞれがＩ／Ｏ処理プログラム１５２で連続読み出しコマンドとして把握される。

0067 データ長が第一の閾値を超えない場合、Ｉ／Ｏ処理プログラム１５２は連続読み出しは要求されていないと判断する。ストレージマネージャ１５１はステップ１３０８でＩ／Ｏアドレス情報から読み出し処理を削除し、要求された読み出しコマンドを実行する。一方データ長が第一の閾値を超える場合Ｉ／Ｏ処理プログラム１５２は読み出しコマンドを連続読み出しコマンドと判断する。

0068 第一の閾値を超える場合、Ｉ／Ｏ処理プログラム１５２は、ステップ１３０３で、データ長が第二の所定の値、すなわち“第二の閾値”を超えるかどうかを判断する。第二の閾値は第一の閾値以上の値を有する。第二の閾値もストレージサブシステムに固定した値としても良い。あるいは第二の閾値を認定ユーザが指定することもできる。データ長が第二の閾値を超える場合、読み出しコマンドの情報はストレージマネージャ１５１に送られシステムはステップ１３０４へ進む。超えない場合は、ステップ１３０７でストレージマネージャ１５１が要求された読み出しコマンドの実行を反映してＩ／Ｏオペレーション情報１５７を更新する。

0069 ステップ１３０４に示すようにストレージマネージャ１５１は読み出しコマンドに関する情報をボリュームオペレーションログ３００に記録する。ストレージマネージャ１５１はまたＩ／Ｏオペレーション情報１５７を更新する。ボリュームオペレーションログ３００に記録された情報は、開始時刻４０２、開始ＬＢＡ４０３及びデータ長の１つ以上を有することができる。

0070 ステップ１３０５で説明したように、ストレージマネージャ１５１は論理ボリュームに対するリジェクトフラグ４０６を確認して読み出し動作の要求を拒否するか実行するかを判断する。リジェクトフラグ４０６は認定ユーザ（例えばシステム管理者、規格担当者、監査員あるいは検査官）がコンソール３を介して設定することができる。リジェクトフラグ４０６がリジェクト状態にある、すなわち“ＯＮ”であると認識されると、ストレージマネージャ１５１はＩ／Ｏ処理プログラム１５２に読み出し動作を拒否するよう指示し、要求された読み出し動作はステップ１３０６で拒否される。リジェクトフラグ４０６がリジェクト状態にない、すなわち“ＯＦＦ”であると認識されると、ストレージマネージャ１５１はＩ／Ｏ処理プログラム１５２に要求された読み出し動作を実行するよう指示する。他の実施例では、各論理ボリューム毎のリジェクトフラグの代わりに、ストレージシステム１の全論理ボリュームに対して単一のリジェクトフラグ４６０を適用することができる。

0071 以上のように、Ｉ／Ｏオペレーション情報１５７を用いて、ライトプロテクトされたボリュームの全内容が他のボリュームにコピーされることを検出することができる。認定ユーザが本情報を用いて、保護されているデータのプロテクトされていないシステムへの流れを追跡することもできる。保護されているデータがプロテクトされていないシステムへコピーされることは監査員、検査官、及び規格担当者などの懸念事項である。このような状況は、保護されているデータがプロテクトされていないシステムで変更されて後に真正であると提示されることを示していると解釈されうる。例えば、ある企業の規格担当者が、作成された各コピーの現在の使用法と状態を調べて、データの変更されたコピーは存在せず、あるいは少なくとも規格部門には提供されていないことを確認することができる。さらに、ステップ１３０６に示すように、ストレージシステム１は全論理ボリュームをすべてコピー禁止することができる。

0072 本発明では、単一のホストコンピュータ２がストレージシステム１に接続されており、ステップ１３０２でプロセスが最新の読み出しコマンドのＬＢＡと前の読み出しコマンドで読み出されたＬＢＡとを比較する。他の実施例では、２台以上のホストコンピュータ２がストレージシステム１に接続されており、Ｉ／Ｏ処理プログラム１５２が読み出しコマンドを発行するホストコンピュータ２を検出し、論理ボリュームについて、検出したホストコンピュータ２に関連する最終ＬＢＡ情報を比較する。それ故Ｉ／Ｏオペレーション情報１５７は各ホストコンピュータ２のボリュームＩＤ４０１、開始時刻４０２、開始ＬＢＡ４０３、最終時刻４０４および最終ＬＢＡ４０５などの情報を含むことができる。

0073 ストレージシステム１はＳＣＳＩあるいはファイバチャネルを介してブロックアクセスコマンドを受信することができるストレージ装置として記述されているが、本特許で記述されている技術はネットワーク接続ストレージ（ＮＡＳ）装置など他の種類のストレージ装置にも適用可能である。例えば、ＮＡＳ装置ではボリュームあるいはファイルシステムの全内容をホストコンピュータがコピーしなくても済むように、ライトプロテクトされたボリュームあるいはファイルシステムから全てのファイルあるいはディレクトリ情報がコピーされるコピー動作をストレージシステムが検出できるようになっている。

0074 ここでは説明と記述を目的として本発明の記述を提示しているものである。余すところなく説明することも、記述の詳細に発明を限定することも意図してはおらず、上記の解説に従って多くの修正および変更を加えることが可能である。実施例は、発明の原理と実際の応用を最もよく理解できるように選択している。本記述により当業者は本発明を最適に利用し各種の応用に適用することが可能になり、固有の使用法に適した各種の変更を加えることが可能になる。本発明の範囲は次の請求項により規定される。

0016 図１は本発明を適用した典型的なプライマリストレージシステムの単純化したシステム構成図である。 0017 図２は本発明の実施例によるストレージシステムの単純化した機能ブロック構成図である。 0018 図３は本発明の実施例におけるオペレーションログ領域を示す。 0019 図４は本発明の実施例におけるボリュームのオペレーションログを示す。 0020 図５は本発明の実施例におけるシステムオペレーションログを示す。 0021 図６は本発明を用いてオペレーションのログを取る典型的なプロセスの特徴を示すフローチャートである。 0022 図７は本発明によるＩ／Ｏオペレーション情報の典型的な実施例を示す。 0023 図８は本発明を用いて連続読み出し処理を検出する典型的なプロセスの特徴を示すフローチャートである。

符号の説明

２… ホストコンピュータ
３… コンソール
４… セカンダリストレージシステム
１０… ディスクコントローラ
１２… 通信ネットワーク
１０１… ホストインタフェース
１０２… ホストインタフェース
１０３… 中央処理装置
１０４… メモリ
１０５… ＮＶＲＡＭ
１０６… ディスクインタフェース
１０７… 管理インタフェース
１０８… クロック回路

Claims (14)

1. Ｉ／Ｏ指示を送信するホストコンピュータと接続される第一のインタフェースと、
   管理指示を送信するコンソールと接続される第二のインタフェースと、
   前記第一のインタフェース、前記第二のインタフェース及び複数の記憶ディスクと接続され、前記ホストコンピュータからの前記Ｉ／Ｏ指示及び前記コンソールからの前記管理指示を受信するストレージコントローラと、
   前記複数の記憶ディスクのうちの少なくとも１台の記憶ディスクから構成され、前記第一のインタフェースを介して前記ホストコンピュータからの前記Ｉ／Ｏ指示に応じて読み出し／書き込み可能なデータを保存するためのデータ保存領域と、
   前記複数の記憶ディスクのうちの少なくとも１台の記憶ディスクにより構成される第一のログ保存領域と、
   前記複数の記憶ディスクのうちの少なくとも１台の記憶ディスクにより構成される第二のログ保存領域と、
   を備え、
   前記管理指示は、前記データ保存領域の属性の設定／変更指示を含む、構成変更を指示するものであり、
   前記ストレージコントローラは、
   前記第一のインタフェースを介した前記ホストコンピュータからの前記Ｉ／Ｏ指示に関連するログ情報を前記第一のログ保存領域に記録し、
   前記第二のインタフェースを介した前記コンソールからの前記管理指示のログ情報を前記第二のログ保存領域に記録し、
   前記第一のインタフェースを介した該第二のログ保存領域への書き込みアクセスを前記ホストコンピュータに対して制限する
   ことを特徴とするストレージシステム。
2. 前記データ保存領域は、前記複数の記憶ディスクのうちの少なくとも１台の記憶ディスクで定義される複数のストレージボリュームのうちの少なくとも１つのストレージボリュームにより構成され、
   前記ストレージコントローラは、前記複数のストレージボリュームのうちの前記少なくとも１つのストレージボリュームにライトプロテクトが設定されている場合、該複数のストレージボリュームのうちの該少なくとも１つのストレージボリュームを対象とする前記管理指示のログ情報を記録する
   ことを特徴とする請求項１に記載のストレージシステム。
3. 前記データ保存領域は、前記複数の記憶デバイスのうちの少なくとも１台の記憶デバイスで定義される複数のストレージボリュームのうちの少なくとも１つのストレージボリュームにより構成され、
   前記管理指示のログ情報は、前記ストレージボリュームの各々と関連した前記第二のログ保存領域内の領域に保存される
   ことを特徴とする請求項１に記載のストレージシステム。
4. 前記第二のログ保存領域は、
   特定の前記ストレージボリュームに対応した前記管理指示のログ情報を保存する領域と、特定の前記ストレージボリュームに対応しない前記管理指示のログ情報を保存する領域と、を有することを特徴とする請求項１に記載のストレージシステム。
5. 前記データ保存領域を対象とする前記管理指示は、該データ保存領域の属性の変更を含む
   ことを特徴とする請求項１に記載のストレージシステム。
6. 前記データ保存領域は、前記複数の記憶ディスクのうちの少なくとも１台の記憶ディスクで定義される複数のストレージボリュームのうちの少なくとも１つのストレージボリュームにより構成され、
   前記管理指示は、新たな前記ストレージボリュームの作成、前記ストレージボリュームの複製の作成、前記ストレージボリューム内のデータの移行のいずれかを含むことを特徴とする請求項５に記載のストレージシステム。
7. 前記ストレージコントローラは、
   前記第一のインタフェースを介して前記ホストコンピュータから受信した前記Ｉ／Ｏ指示により読み出し又は書き出しが行われるデータの長さが、所定の閾値よりも長い場合、前記Ｉ／Ｏ指示に関する情報を前記第二のログ保存領域に保存することを特徴とする請求項１に記載のストレージシステム。
8. 前記データ保存領域の前記属性は、該データ保存領域への書き込みアクセスを前記ホストコンピュータに対して制限するライトプロテクト属性を有する
   ことを特徴とする請求項５に記載のストレージシステム。
9. 複数のＩ／Ｏ指示を送信するホストコンピュータと接続される第一のインタフェースと、
   複数の管理指示を送信するコンソールと接続される第二のインタフェースと、
   前記第一のインタフェースを介して前記ホストコンピュータからの前記Ｉ／Ｏ指示により書き込み可能なデータを保存するためのデータ保存領域、前記第一のインタフェースを介した前記ホストコンピュータからの前記Ｉ／Ｏ指示に関連するログ情報を保存するための第一のログ保存領域、及び前記第二のインタフェースを介した前記コンソールから前記管理指示に関連するログ情報を保存するための第二のログ保存領域とを有する複数の記憶ディスクと、
   前記第一のインタフェース、前記第二のインタフェース及び前記複数の記憶ディスクと接続され、前記ホストコンピュータから受信した前記Ｉ／Ｏ指示及びメモリに保存された前記データ保存領域の属性情報に応じて、Ｉ／Ｏオペレーションを行うストレージコントローラと、
   を備え、
   前記ストレージコントローラは、
   ボリューム管理オペレーションを行って前記コンソールから受信した前記管理指示に応じて前記メモリの前記データ保存領域の前記属性情報を変更し、
   該管理指示に応じた該ボリューム管理オペレーションの記述を有する前記ログ情報を前記第二のログ保存領域に記録し、
   前記第一のインタフェースを介した該第二のログ保存領域への書き込みアクセスを前記ホストコンピュータに対して制限する
   ことを特徴とするストレージシステム。
10. 前記属性情報は、前記データ保存領域をライトプロテクト、オフライン及び通常のうちの少なくとも１つに特定する
    ことを特徴とする請求項９に記載のストレージシステム。
11. 前記メモリは、不揮発ランダムアクセスメモリである
    ことを特徴とする請求項９に記載のストレージシステム。
12. 前記データ保存領域は、前記複数の記憶ディスクのうちの少なくとも１台の記憶ディスクで定義される複数のストレージボリュームのうちの少なくとも１つのストレージボリュームにより構成され、
    前記ストレージコントローラは、前記複数のストレージボリュームのうちの前記少なくとも１つのストレージボリュームにライトプロテクトが設定されている場合、該複数のストレージボリュームのうちの該少なくとも１つのストレージボリュームを対象とする前記受信された管理指示に関連するログ情報を記録する
    ことを特徴とする請求項９に記載のストレージシステム。
13. 前記データ保存領域は、前記複数の記憶ディスクのうちの少なくとも１台の記憶ディスクで定義される複数のストレージボリュームのうちの少なくとも１つのストレージボリュームにより構成され、
    前記管理指示に関連する前記ログ情報は、前記ストレージボリュームの各々と関連して保存される
    ことを特徴とする請求項９に記載のストレージシステム。
14. 前記データ保存領域の前記属性情報は、該データ保存領域への書き込みアクセスを前記ホストコンピュータに対して制限するライトプロテクト属性を有する
    ことを特徴とする請求項９に記載のストレージシステム。

Images