JP4837378B2 - データの改竄を防止する記憶装置 - Google Patents

Description

本発明は、データの改竄を防止する記憶装置システムに関する。

近年、米国は、特定の組織に対して、特定のデータを指定された期間中、改竄されない状態で保存することを義務付けている。例えば、医療保険の相互運用性と説明責任に関する法律であるＨＩＰＡＡ（Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ）は、医療機関に、患者の医療データを、患者の死後２年間まで保存することを義務付けている。また、ＳＥＣ１７ａ−４は、金融・証券機関に、Ｅ−ｍａｉｌを含む業務履歴を、その機関が存続する限り保存することを義務付けている。これらの義務を怠った組織は、罰金や禁固等の処罰を科せられる。そのため、その保持期間の間はデータの改竄が行われないことを保証する機能の需要が高まっている。

従来、これらの組織は、このような保持期間付きのデータを、テープや光ディスク等の書き換え不可能な追記型の記録媒体に保存していた。このように、一度だけ書き込むことができ、消去や変更ができなデータ記録形式のことを、ＷＯＲＭ（Ｗｒｉｔｅ Ｏｎｃｅ Ｒｅａｄ Ｍａｎｙ）と呼ぶ。しかし、テープや光ディスクのような記録媒体はデータの入出力処理性能が低く、昨今の膨大な量のデータを保存するのに十分でないという問題があった。また、書き換え不可能な追記型の記録媒体では、保持期間が過ぎて不要になったデータであっても、このデータを削除してデータの利用効率を上げることができない、という問題があった。

そこで、入出力処理性能が高く、書き換えが可能な記憶媒体である磁気ディスクに、保持期間付きでデータを追記する技術が、特許文献１に開示されている。特許文献１に開示されているシステムは、ユーザ端末と、ファイルサーバから構成される。ファイルサーバは、ユーザ端末と相互接続され、ファイル単位でデータの入出力処理を行う。また、ファイルサーバは、ユーザ端末から送られたファイルを格納するための磁気ディスクを有する。

ファイルサーバの管理者は、ファイルサーバが有する磁気ディスクの記憶領域の一部を、保持期間を持つファイル（以下、「ＷＯＲＭファイル」と呼ぶ）を格納するための専用の記憶領域（以下、「ＷＯＲＭ領域」と呼ぶ）として定義する。ファイルサーバの管理者が、ＷＯＲＭ領域を消去、移動するコマンドを発行した場合、ファイルサーバはエラーを返す。また、ファイルサーバは、どの記憶領域がＷＯＲＭ領域であるかを認識するために、ＷＯＲＭ領域であることを示す属性値をファイルサーバ内に保持する。ファイルサーバに接続されるユーザ端末は、ＷＯＲＭ領域内に格納されているファイルに対して、ファイルの保持期間を含む特定のコマンドを発行することで、ファイルをＷＯＲＭファイルとして設定する。

ファイルサーバは、ユーザ端末からファイルの書き換え要求を受信したとき、そのファイルがＷＯＲＭファイルであるかをチェックする。ＷＯＲＭファイルである場合は、そのファイルの保持期間が既に経過しているかをチェックする。ファイルの保持期間が経過していない場合、ファイルサーバは、ファイルの書き換え要求を許可せず、ユーザ端末にファイルの書き換えが許可されないことを通知する。このようにして、ファイル毎に保持期間を設定し、その保持期間中はユーザ端末やファイルサーバの管理者からのファイルの改竄が行われないことを保証することが可能となる。

ＵＳ２００４０１８６８５８号公報

特許文献１には、ファイルサーバが、ファイルサーバに接続されるストレージ内の記憶領域をＷＯＲＭ領域として使用する内容が開示されている。しかし、特許文献１に記載されたシステムでは、ファイルサーバがファイルサーバに接続されるストレージを介して接続される他のストレージ（以下、「外部ストレージ」と呼ぶ）の記憶領域をファイルの格納先として使用する場合、その外部ストレージ内のファイルをＷＯＲＭファイルとして管理できない可能性がある。特許文献１では、外部ストレージ内の記憶領域がＷＯＲＭ領域であるか否かの情報はファイルサーバに保持されるため、外部ストレージは、ファイルサーバに提供している外部ストレージ内の記憶領域がＷＯＲＭ領域として使用されていることを認識できない。そのため、外部ストレージは、ファイルサーバを介さずに外部ストレージに接続するユーザ端末に対して、このＷＯＲＭ領域に対するアクセスを許可し、ユーザ端末がＷＯＲＭファイルを書き換える可能性がある。

また、外部ストレージに接続するユーザ端末は、ファイルサーバと同一のファイルシステムを搭載していなければ、記憶領域がＷＯＲＭ領域であることを認識できたとしても、ＷＯＲＭ領域の中に格納されているファイルを認識できない。そのため、外部ストレージに接続するユーザ端末は、ＷＯＲＭ領域内のデータを書き換えてしまう可能性がある。

よって、ファイルサーバは、外部ストレージに接続される他のユーザ端末に対して、ＷＯＲＭファイルの改竄が不可能であることを保証できない。

そこで、本発明では、ファイルサーバが外部ストレージにＷＯＲＭ領域を作成する場合において、ファイルサーバを介さずに外部ストレージに接続されているユーザ端末がＷＯＲＭ領域の中に格納されているファイルを書き換えることを、防止するシステムを提供する。

それぞれ複数の計算機が接続される複数のストレージを有するストレージシステムにおいて、第１のストレージは、自ストレージ内の記憶領域および自ストレージに提供される他のストレージ内の記憶領域に含まれるデータに対するアクセス権限を管理する手段を有する。第１のストレージは、第２のストレージに対し、第２のストレージ内の記憶領域についてアクセス権限の変更が可能か否かを問合せ、アクセス権限を変更するよう指示する。第２のストレージに接続される計算機は、第２のストレージ内の記憶領域にアクセス要求する場合、この記憶領域に設定されたアクセス権限に基づいて、アクセスの可否を判定される。

本発明によれば、ファイルサーバが外部ストレージ内にＷＯＲＭ領域を作成する場合において、外部ストレージに接続されているユーザ端末が、当該ＷＯＲＭ領域の中に格納されているデータを書き換えることを、防止することが可能となる。

以下、実施の形態として、第１から第５の実施例について説明する。

第１の実施例は、あるストレージが、自ストレージに提供される他のストレージ内の記憶領域を管理し、他ストレージにＷＯＲＭ領域を作成するシステムである。具体的には、第１のストレージの管理端末が、第２のストレージに対するセキュリティ設定が可能か否かを識別し、セキュリティ設定が可能な場合、第２のストレージの管理端末に対して、第２のストレージ内のある記憶領域を第１のストレージの入出力処理部からの書き換えのみ許可するＷＯＲＭ領域に変更してよいか否かを問い合わせる。第２のストレージの管理端末から、その記憶領域をＷＯＲＭ領域に変更することを許可する指示を受信した場合、第１のストレージの管理端末は、第２のストレージの管理端末に対して、上記の変更に基づいたアクセス権限の変更を実行するよう指示する。アクセス権限の変更が第２のストレージよって実行されると、第１のストレージの管理端末は、第１のストレージおよび第１のストレージに提供される第２のストレージ内の各記憶領域についてＷＯＲＭ領域であるか否かを識別する情報を更新する。

第２の実施例は、複数のストレージが、それぞれに接続される他のストレージ内にＷＯＲＭ領域を作成するシステムである。第２の実施例では、それぞれのストレージの管理端末が、他のストレージに対するセキュリティ設定が可能か否かを識別する手段と、他のストレージ内のある記憶領域に対して自ストレージの入出力処理部による書き換えを許可するＷＯＲＭ領域へと変更するよう指示する手段と、自ストレージ内の記憶領域をＷＯＲＭ領域に変更する手段と、自ストレージおよび他ストレージ内の各記憶領域がＷＯＲＭ領域であるか否かを識別する手段とを有する。

第３の実施例は、あるストレージが、自ストレージに接続される他のストレージ内にバックアップのための記憶領域を作成する場合に、このバックアップ用の記憶領域をＷＯＲＭ領域に設定する実施例である。バックアップ元である第１のストレージの管理端末は、バックアップ元とバックアップ先の記憶領域を対応付けるテーブルを有し、バックアップ先である第２のストレージの記憶領域をＷＯＲＭ領域に変更する。

第４の実施例は、一つの管理端末と複数のストレージが接続されるシステムにおいて、その管理端末が各ストレージ内にＷＯＲＭ領域を設定する実施例である。この場合、管理端末は、各ストレージに対するセキュリティ設定が可能か否かを識別する手段と、あるストレージ内のある記憶領域に対して他のストレージの入出力処理部による書き換えのみを許可するＷＯＲＭ領域へと変更するよう指示する手段と、各ストレージ内の記憶領域をＷＯＲＭ領域に変更する手段と、各ストレージ内の各記憶領域がＷＯＲＭ領域であるか否かを識別する手段とを有する。

第５の実施例は、ストレージの管理端末が、データ単位ごとにＷＯＲＭ形式のデータであるか否かの属性が設定されたストレージ内の記憶領域に対して、この属性を変更する実施例である。第１のストレージは記憶領域とＷＯＲＭ属性とを対で保存する手段を有する。第１のストレージの管理端末が、第２のストレージに対するセキュリティ設定が可能か否かを識別し、セキュリティ設定が可能な場合、第２のストレージの管理端末に対して、第２のストレージ内のある記憶領域を第１のストレージの入出力処理部による書き換えのみ許可するＷＯＲＭ領域に変更してよいか否かを問い合わせる。第２のストレージの管理端末から、その記憶領域をＷＯＲＭ領域に変更することを許可する指示を受信した場合、第１のストレージの管理端末は、第２のストレージの管理端末に対して、上記の変更を実行するよう指示する。上記の変更が実行されると、第１のストレージは、変更した記憶領域内の全てのデータに対して、データ単位ごとにＷＯＲＭ属性を付与して保存する。

以下、各実施の形態について、図面を用いて説明する。

図１から図７を用いて、第１の実施例を説明する。

図１は、第１の実施例に関するシステムを示す構成図である。本実施例のシステムは、複数のユーザ端末１００および１１０と、ユーザ端末１００に接続されるストレージ１２０と、ユーザ端末１１０に接続されるストレージ１３０と、ストレージ１２０および１３０を管理する管理端末１７０および１８０から構成される。

ユーザ端末１００および１１０は、ストレージ１２０および１３０を利用する端末である。

ユーザ端末１１０は、演算処理を行うプロセッサ１０１、演算処理を行う際に用いられる記憶手段としてメモリ１０２、インターフェイス（以下、「Ｉ/Ｆ」と略す）１０３から構成される。プロセッサ１０１は、メモリ１０２にプログラムを読み出して実行し、Ｉ／Ｆ１０３を介して、他の装置と通信する。プロセッサ１０１がメモリ１０２に読み出して実行するプログラムとして、例えば、ファイルシステム１０４がある。

ユーザ端末１００は、ネットワーク１９０を介して、ストレージ１２０中のファイル入出力処理部１４０と相互接続され、ファイル単位でデータの送受信を行う。ネットワーク１９０は、例えばファイル入出力ネットワークの代表的なものとして、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）によって構成されてもよい。

ユーザ端末１１０は、ユーザ端末と同様に、プロセッサ、メモリ、Ｉ／Ｆから構成される。ユーザ端末１１０は、ネットワーク１９２を介して、ストレージ１３０中のブロック入出力処理部１６１と相互接続され、ブロックと呼ばれる固定長データの単位でデータの送受信を行う。ネットワーク１９２は、例えばブロック入出力ネットワークの代表的なものとして、ＳＡＮ（Ｓｔｏｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）によって構成されてもよい。

ストレージ１２０および１３０は、ユーザ端末１００および１１０が利用するデータを格納する。ストレージ１２０および１３０は、それぞれ、コントローラ１２１および１３１と、ユーザ端末１００および１１０のデータを格納する記憶媒体１２２および１３２から構成される。記憶媒体１２２および１３２の代表的な例として、磁気ディスク、フラッシュメモリなどがあげられる。その他、書き換え可能な記憶媒体であれば、その種類に依らない。

コントローラ１２１は、記憶媒体１２２を制御する役割を持つ。コントローラ１２１は、複数のディスクドライブの部分的な記憶領域の集合を、一つの仮想的な記憶領域（以下、「論理ボリューム（Ｌｏｇｉｃａｌ Ｖｏｌｕｍｅ）」と呼ぶ）として入出力処理部に提供する役割を持つ。コントローラ１２１は、ファイル入出力処理部１４０と、ブロック入出力処理部１５０と、Ｉ／Ｆ１２３を有する。Ｉ／Ｆ１２３は、管理ネットワーク１９３を介して、管理端末１７０に接続される。管理ネットワーク１９３の代表的なものとして、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）がある。

なお、コントローラ１３１は、記憶媒体１３２を制御する役割を持ち、ブロック入出力処理部１６０、１６１、およびＩ／Ｆ１３３を有する。Ｉ／Ｆ１３３は、管理ネットワーク１９３を介して、管理端末１８０に接続される。

ファイル入出力処理部１４０は、ユーザからのファイル操作要求を受け、コントローラ１２１が提供する論理ボリュームにデータをファイル単位で格納、および抽出する役割を持つ。ファイル入出力処理部１４０は、プロセッサ１４１、メモリ１４２、Ｉ／Ｆ１４３、Ｉ／Ｆ１４４、Ｉ／Ｆ１４５、およびブロック入出力Ｉ／Ｆ１４６から構成される。プロセッサ１４１は、メモリ１４２にプログラムを読み出して実行し、Ｉ／Ｆ１４３、１４４、１４５およびブロック入出力Ｉ／Ｆ１４６を介して、他の装置と通信する。プロセッサ１４１がメモリ１４２に読み出して実行するプログラムとして、例えば、ファイルシステム１４７、およびファイルシステム１４７で実行されるＷＯＲＭファイル管理部１４８がある。なお、ファイルシステム１４７は、ユーザ端末１００とストレージ１２０とのファイル単位でのデータの送受信を行うため、ユーザ端末１００の有するファイルシステムと互換性を有するファイルシステムである。

プロセッサ１４１は、Ｉ／Ｆ１４３に接続されたネットワーク１９０を介して、ユーザ端末１００との間でファイル操作要求などの制御情報を送受信し、Ｉ／Ｆ１４５およびコントローラ１２１のＩ／Ｆ１２３を介して接続される管理ネットワーク１９３によって、管理端末１７０との間で制御情報を送受信する。また、プロセッサ１４１は、Ｉ／Ｆ１４４に接続されたネットワーク１９０を介して、ユーザ端末１００との間でデータを送受信し、ブロック入出力Ｉ／Ｆ１４６を介して、記憶媒体１２２に格納されたデータを操作する。

なお、ユーザからのファイル操作要求の代表的なものとして、ＮＦＳ（Ｎｅｔｗｏｒｋ Ｆｉｌｅ Ｓｙｓｔｅｍ）、ＣＩＦＳ（Ｃｏｍｍｏｎ Ｉｎｔｅｒｎｅｔ Ｆｉｌｅ Ｓｙｓｔｅｍ）、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）に準じたファイル操作要求がある。

ブロック入出力処理部１５０は、ユーザからのブロック操作要求を受け、コントローラ１２１が提供する論理ボリュームにデータをブロック単位で格納、および抽出する役割を持つ。ブロック入出力処理部１５０は、プロセッサ１５１、メモリ１５２、Ｉ／Ｆ１５３、ブロック入出力Ｉ／Ｆ１５４、およびブロック入出力Ｉ／Ｆ１５５から構成される。プロセッサ１５１は、メモリ１５２にプログラムを読み出して実行し、Ｉ／Ｆ１５３、ブロック入出力Ｉ／Ｆ１５４、１５５を介して、他の装置と通信する。プロセッサ１５１がメモリ１５２に読み出して実行するプログラムとして、例えば、アドレス変換テーブル１５６、入出力要求バッファ１５７、外部接続管理部１５８、ＬＵＮセキュリティ部１５９がある。
外部接続管理部１５８は、ストレージ１２０のブロック入出力処理部１５０に外部ストレージのブロック入出力処理部を接続した場合、この外部ストレージが有する記憶領域内のデータを使用できるように管理する機能を有する。ＬＵＮセキュリティ部１５９は、ブロック入出力処理部１５０にネットワークを接続される計算機からのアクセス要求に対して、アクセス可否の判定をする機能を有する。本実施例では、ストレージ１２０のブロック入出力処理部１５０とストレージ１３０のブロック入出力処理部１６０とが、ネットワーク１９１を介して接続され、ストレージ１３０に含まれる記憶媒体１３２は、ファイル入出力処理部１４０に提供される。また、外部ストレージが有する記憶領域は、後述する管理端末１７０の論理ボリューム管理部によって管理される。

プロセッサ１５１は、Ｉ／Ｆ１５３を介してファイル入出力処理部１４０と制御情報を送受信し、コントローラ１２１のＩ／Ｆ１２３を介して接続される管理ネットワーク１９３によって、管理端末１７０との間で制御情報を送受信する。また、プロセッサ１５１は、ブロック入出力Ｉ／Ｆ１５４を介して、記憶媒体１２２に格納されたデータを操作し、ブロック入出力処理部１５５およびネットワーク１９１を介して、記憶媒体１３２に格納されたデータを操作する。

なお、ブロック入出力処理部１６０および１６１は、ブロック１５０と同様の構成であるため、説明を省略する。

なお、ユーザからのブロック操作要求の代表的なものとして、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）やＡＴＡ（ＡＴ Ａｔｔａｃｈｍｅｎｔ）規格に準じたブロック操作要求がある。

管理端末１７０は、ストレージ１２０を管理する端末である。管理端末１７０は、プロセッサ１７１、メモリ１７２、およびＩ/Ｆ１７３から構成される。プロセッサ１７１は、メモリ１７２にプログラムを読み出して実行し、Ｉ／Ｆ１７３を介して、管理ネットワーク１９３に接続される他の装置と通信する。プロセッサ１７１がメモリ１７２に読み出して実行するプログラムとして、ＷＯＲＭ論理ボリューム作成部１７４、論理ボリューム管理部１７５、ストレージ管理部１７７、管理インターフェイス通信処理部１７９がある。

ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム番号を入力として、論理ボリューム番号に対応する論理ボリュームを、指定された入出力処理部以外からのデータ改竄を防止する論理ボリューム（以下、「ＷＯＲＭ論理ボリューム」と呼ぶ）として定義する役割を持つ。ストレージ１２０は、どの論理ボリュームがＷＯＲＭ論理ボリュームなのかを論理ボリューム管理テーブル１７６（後述）によって知ることができ、ストレージ１２０に含まれる論理ボリューム内のファイルに対する改竄操作を許可するか否かを判断できる。論理ボリューム内のファイルに対する改竄操作の代表的なものとして、許可されていない計算機からの論理ボリューム内のファイルの削除、論理ボリューム内のファイルの移動、論理ボリューム内のファイルの保持期間の変更、論理ボリューム内のファイルの書き換え処理などがある。

論理ボリューム管理部１７５は、ストレージ１２０が所有する論理ボリュームと、外部ストレージから提供されている論理ボリュームに、仮想論理ボリューム番号という一意な識別子を付加する。ストレージ１２０の入出力処理部が、仮想論理ボリューム番号で与えられる論理ボリュームにアクセスを要求したとき、論理ボリューム管理部は仮想論理ボリューム番号から、対応するストレージ中の該当する論理ボリュームを特定する。そして、仮想論理ボリューム番号から特定した論理ボリュームのアクセス先を入出力処理部に返信する。へのアクセスを入出力処理部に代わって行う。これにより、入出力処理部１４０および入出力処理部１５０は、論理ボリュームの所在を意識せずに論理ボリュームを利用することが可能となる。また、論理ボリューム管理部１７５は、各論理ボリュームについてそれがＷＯＲＭ論理ボリュームであるかを示すＷＯＲＭ属性を保持する。これにより管理端末１７０は、どの論理ボリュームがＷＯＲＭ論理ボリュームなのかを識別することができる。論理ボリューム管理部１７５は、仮想論理ボリューム番号と、その論理ボリュームを実際に有するストレージおよびそのストレージ内での論理ボリューム番号と、その論理ボリュームがＷＯＲＭ論理ボリュームであることを示すＷＯＲＭ属性との組み合わせを保持するために、論理ボリューム管理テーブル１７６を有する。

ストレージ管理部１７７は、自ストレージおよびブロック入出力処理部１５０を経由して接続している外部ストレージのセキュリティ設定の可否を管理する。セキュリティ設定の可否とは、そのストレージが有する各論理ボリュームに対して、アクセス可能な入出力処理部を制限できるか否か、を意味する。ストレージ管理部１７７は、自ストレージおよび外部ストレージと、セキュリティ設定の可否の組み合わせを保持するために、ストレージ管理テーブル１７８を有する。

管理インターフェイス通信処理部１７９は、管理端末同士のストレージ管理に関する通信を処理する。ストレージ管理に関する通信の代表的なものとして、ＳＭＩ−Ｓ（Ｓｔｏｒａｇｅ Ｍａｎａｇｅｍｅｎｔ Ｉｎｔｅｒｆａｃｅ−Ｓｔａｎｄａｒｄ）がある。

管理端末１８０は、ストレージ１３０を管理する端末である。管理端末１８０は、プロセッサ１８１、メモリ１８２、およびＩ/Ｆ１８３から構成される。プロセッサ１８１は、メモリ１８２にプログラムを読み出して実行し、Ｉ／Ｆ１８３を介して、管理ネットワーク１９３に接続される他の装置と通信する。プロセッサ１８１がメモリ１８２に読み出して実行するプログラムとして、論理ボリュームセキュリティ設定部１８４、管理インターフェイス通信処理部１８６がある。

論理ボリュームセキュリティ設定部１８４は、ストレージ１３０が有する各論理ボリュームについて、どの入出力処理部に対してどのようなアクセス権限が許可されているかを管理する。論理ボリュームセキュリティ設定部１８４は、論理ボリューム番号と、入出力処理部とそのアクセス権限との組み合わせを保持するために、アクセス管理テーブル１８５を有する。

なお、ユーザ端末１００、１１０、ファイル入出力処理部１４０、ブロック入出力処理部１５０、１６０、１６１、管理端末１７０、１８０に含まれるメモリは、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などにより構成されてもよい。また、ユーザ端末１００、１１０、ファイル入出力処理部１４０、ブロック入出力処理部１５０、１６０、１６１、管理端末１７０、１８０に含まれるプロセッサは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって構成される演算処理装置であってもよい。

なお、上述したＷＯＲＭ論理ボリューム作成部１７４、論理ボリューム管理部１７５、ストレージ管理部１７７、管理インターフェイス通信処理部１７９などの機能モジュールは、上述したようにソフトウェアにより実現されてもよいし、任意のＣＰＵや他のＬＳＩなどによりハードウェアとして、さらにそれらの組み合わせとして実現されてもよい。また、上記のように構成可能であることは、管理端末１７０以外の、ユーザ端末１００および１１０、ファイル入出力処理部１４０、ブロック入出力処理部１５０、１６０、および１６１、コントローラ１２１および１３１、管理端末１８０などの他の構成部内における機能モジュールにおいても同様である。

図２は、論理ボリューム管理テーブル１７６の一例を示す構成図である。論理ボリューム管理テーブル１７６は、仮想論理ボリューム番号２０１と、その論理ボリュームが実際に存在するストレージ名とそのストレージ内での論理ボリューム番号２０２と、ＷＯＲＭ属性２０３とを組とするエントリ２１０〜２１３を複数有する。

仮想論理ボリューム番号２０１には、ストレージが内部に持っている論理ボリューム、および接続しているストレージの内部にあって自ストレージに提供されている論理ボリュームを一意に識別するための識別子が仮想論理ボリューム番号として格納される。

ストレージ名とそのストレージ内での論理ボリューム番号２０２には、仮想論理ボリューム番号２０１で示す論理ボリュームが実際に存在するストレージの識別情報と、そのストレージ内における仮想論理ボリューム番号２０１で示す論理ボリュームの識別情報が格納される。本実施例では、それぞれストレージ名と論理ボリューム番号が格納される。

ＷＯＲＭ属性２０３には、その論理ボリュームがＷＯＲＭ論理ボリュームであるか否かを示す情報がフラグとして格納される。本実施例では、論理ボリュームがＷＯＲＭ論理ボリュームである場合に“Ｙｅｓ”、ＷＯＲＭ論理ボリュームでない場合に“Ｎｏ”が、ＷＯＲＭ属性２０３に格納される。

例えば、エントリ２１０に格納された情報は、仮想論理ボリューム番号１で与えられる論理ボリュームが、実際はストレージ１２０の論理ボリューム番号１で与えられる論理ボリュームであって、ＷＯＲＭ論理ボリュームではないことを表している。また、エントリ２１３に格納された情報は、仮想論理ボリューム番号４で与えられる論理ボリュームが、実際はストレージ１３０の論理ボリューム番号１で与えられる論理ボリュームであって、ＷＯＲＭ論理ボリュームではないことを表している。

図３は、ストレージ管理テーブル１７８の一例を示す構成図である。ストレージ管理テーブル１７８は、ストレージ名３０１と、セキュリティ設定フラグ３０２とを組とするエントリ３１０〜３１１を複数有する。

ストレージ名３０１には、外部接続しているストレージの識別子が格納される。

セキュリティ設定フラグ３０２には、ストレージ名３０１で示されるストレージのセキュリティ設定の可否を示す情報がフラグとして格納される。本実施例では、ストレージ名３０１で示されるストレージが論理ボリュームセキュリティ設定部１８４を備えている場合、セキュリティ設定が可能であるとして、セキュリティ設定フラグ３０２に“Ｙｅｓ”が格納される。

例えば、エントリ３１０に格納された情報は、ストレージ１２０が論理ボリュームセキュリティ設定部１８４を備えていることを示している。また、エントリ３１１に格納された情報は、ストレージ１３０が論理ボリュームセキュリティ設定部１８４を備えていることを示している。

ストレージ管理テーブル１７８の構成方法の代表的なものとして、他社ストレージの論理ボリュームセキュリティ設定の可否を調査しているサポートセンターより供給を受ける、という方法がある。他にも、管理インターフェイス通信処理部１１６を通して、外部のストレージに論理ボリュームセキュリティ設定のテストを行い、設定が可能かどうかを確認する、という方法がある。

図４は、アクセス管理テーブル１８５の一例を示す構成図である。アクセス管理テーブル１８５は、論理ボリューム番号４０１と、入出力処理部名４０２と、その入出力処理部のアクセス許可属性４０３とを組とするエントリ４１０〜４１３を複数有する。

論理ボリューム番号４０１には、ストレージが各論理ボリュームを一意に識別するための番号が格納される。

入出力処理部名４０２には、論理ボリューム番号４０１で示される論理ボリュームに対するアクセスを許可される入出力処理部の識別子が格納される。

アクセス許可属性４０３には、入出力処理部名４０２で示される入出力処理部に許可されるアクセスの種類が格納される。本実施例では、データの読み出し、および書き込みが許可される場合は“Ｒ／Ｗ”、データの読み込みが許可される場合は、“Ｒ”が格納される。なお、許可するアクセスの種類の表記は、他の表記法に従っても良い。

例えば、エントリ４１０に格納された情報は、論理ボリューム番号１で示される論理ボリュームに対して、ファイル入出力処理部１４０からのデータの読み出しおよび書き込みが許可されることを表している。また、エントリ４１２に格納された情報は、論理ボリューム番号２で示される論理ボリュームに対して、ブロック入出力処理部１５０からのデータの読み出しおよび書き込みが許可されることを表している。

図５は、ＷＯＲＭ論理ボリュームの作成処理を示すフローチャートである。ＷＯＲＭ論理ボリューム作成部１７４は、特定の論理ボリュームをＷＯＲＭ論理ボリュームとして設定することをファイル入出力処理部１４０から要求されたことを契機として、ＷＯＲＭ論理ボリュームの作成処理を開始する（ステップ５０１）。

ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理テーブル１７６中に仮想論理ボリューム番号が与えられたある論理ボリュームを、ＷＯＲＭ論理ボリュームとして設定するとき、論理ボリューム管理部１７５にアクセスして、この論理ボリュームが実際に存在する外部ストレージのストレージ名と論理ボリューム番号を取得する（ステップ５０２）。

さらに、ストレージ管理部１７７にアクセスし、ストレージ管理テーブル１７８中の該当する外部ストレージについて、セキュリティ設定フラグが”Ｙｅｓ”になっているかを確認する（ステップ５０３）。

ステップ５０３においてセキュリティ設定フラグが”Ｙｅｓ”となっている場合、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１７９を介して該当する外部ストレージの管理端末と通信し、外部ストレージの論理ボリュームセキュリティ設定部１８４にアクセスする。そして、アクセス管理テーブル１８５中のエントリの中から、該当する論理ボリュームの論理ボリューム番号４０１と、入出力処理部がファイル入出力処理部１４０以外である入出力処理部名４０２の組であるエントリを抽出する。抽出したエントリのアクセス許可属性が“Ｒ／Ｗ”であるならば、これを“Ｒ”としてよいかどうかを、論理ボリュームセキュリティ設定部１８４に問い合わせる（ステップ５０４）。例えば、問い合わせる方法として、論理ボリュームセキュリティ設定部１８４が問い合わせを受けたとき、外部ストレージの管理端末に、アクセス許可属性の変更を求めるメッセージと、“Ｙｅｓ”と“Ｎｏ”を選択させるダイアログボックスを表示して外部ストレージの管理者に選択させる、という方法がある。

問合せを受けた外部ストレージの管理端末（上記の例では、外部ストレージの管理者）は、この問い合わせに対して回答する。問合せに対する回答は、管理インターフェイス通信処理部１７９を通してＷＯＲＭ論理ボリューム作成部１７４に転送される（ステップ５０５）。

ステップ５０５における問い合わせの回答が“Ｙｅｓ”であった場合、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１７９を通して外部ストレージの管理端末にアクセスし、論理ボリュームセキュリティ設定部１８４に設定の変更を要求する（ステップ５０６）。

論理ボリュームセキュリティ設定部１８４は、アクセス管理テーブル１８５中のエントリの中から、該当する論理ボリュームの論理ボリューム番号４０１と、入出力処理部がファイル入出力処理部１４０以外である入出力処理部名４０２の組であるエントリを抽出する。そして、抽出したエントリのアクセス許可属性４０３が“Ｒ／Ｗ”であるならば、これを“Ｒ”に設定する。この設定によって、ファイル入出力処理部１４０以外の入出力処理部は、アクセス許可属性４０３を“Ｒ”に変更した論理ボリュームに含まれるデータに対して、読み出しの要求のみが許可され、書き換えや削除といった改竄処理が不可能となる（ステップ５０７）。

さらに、ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部１７５にアクセスし、論理ボリューム管理テーブル１７６に対して、アクセス管理テーブルでアクセス許可属性を変更した当該論理ボリュームについてのＷＯＲＭ属性２０３を“Ｎｏ”から“Ｙｅｓ”に変更し（ステップ５０８）、処理を終了する（ステップ５１０）。

ステップ５０３においてこの外部ストレージのセキュリティ設定フラグが”Ｎｏ”であった場合や、ステップ５０５においてこの外部ストレージの管理端末からの回答が”Ｎｏ”であった場合、ＷＯＲＭ論理ボリューム作成部１７４は、ファイル入出力処理部１４０に対して、ＷＯＲＭ論理ボリュームに設定しようとしている当該論理ボリュームについて、ＷＯＲＭ論理ボリュームに変更する処理（以下、「改竄防止処理」と呼ぶ）を行えないことを通知し（ステップ５０９）、処理を終了する（ステップ５１０）。

本実施例において、ＷＯＲＭ論理ボリュームの設定を行うまでの流れを、図６および図７を用いて説明する。本例では、ストレージ１２０のファイル入出力処理部１４０が、ＷＯＲＭ論理ボリューム作成部１７４に対して、仮想論理ボリューム番号４で与えられる論理ボリュームをＷＯＲＭ論理ボリュームに変更することを要求したときの改竄防止処理の流れについて説明する。

図６は、論理ボリュームセキュリティ設定部１８４が、改竄防止処理の対象である論理ボリュームに対してアクセス許可属性４０３を変更した後のアクセス管理テーブル１８５を示す構成図である。

図７は、ＷＯＲＭ論理ボリューム作成部１７４が、改竄防止処理の対象である論理ボリュームに対してＷＯＲＭ属性２０３を変更した後の論理ボリューム管理テーブル１７６を示す構成図である。

ファイル入出力処理部１４０から要求を受けたＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部１７５にアクセスして、図２に示す論理ボリューム管理テーブル１７６のエントリ２１３から、仮想論理ボリューム番号４が実際に存在するストレージと論理ボリューム番号が、ストレージ１３０の論理ボリューム番号１であることを取得する。

続いて、ＷＯＲＭ論理ボリューム作成部１７４は、ストレージ管理部１７７にアクセスして、図３に示すストレージ管理テーブル１７８のエントリ３１１から、ストレージ１３０のセキュリティ設定フラグ３０２が”Ｙｅｓ”になっているかを確認する。

ストレージ１３０のセキュリティ設定フラグ３０２が”Ｙｅｓ”となっているため、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１７９を通してストレージ１３０の論理ボリュームセキュリティ設定部１８４にアクセスし、図４に示すアクセス管理テーブル１８５中のエントリで、論理ボリューム番号４０１が１であり、入出力処理部名４０２がファイル入出力処理部１４０以外であるエントリ４１１を抽出する。抽出したエントリ４１１のアクセス許可属性４０３が“Ｒ／Ｗ”であるので、ＷＯＲＭ論理ボリューム作成部１７４は、管理端末１８０に対し、エントリ４１１のアクセス許可属性４０３を“Ｒ”としてよいかを問い合わせる。

ストレージ１３０の管理者が、管理端末１８０に表示されたダイアログボックスに対して“Ｙｅｓ”と回答した場合、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１７９を通して論理ボリュームセキュリティ設定部１８４に設定の変更を要求する。論理ボリュームセキュリティ設定部１８４は、図４に示すアクセス管理テーブル１８５中のエントリで、論理ボリューム番号４０１が１であり、入出力処理部名４０２がファイル入出力処理部１４０以外であるエントリ４１１を抽出する。そして、図６のアクセス管理テーブル１８５中のエントリ６００に示すように、抽出したエントリ４１１のアクセス許可属性を“Ｒ／Ｗ”から“Ｒ”に変更する。さらに、ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部１７５にアクセスし、図７の論理ボリューム管理テーブル１７６中のエントリ７００に示すように、仮想論理ボリューム番号４で与えられる論理ボリュームのＷＯＲＭ属性２０３を“Ｎｏ”から“Ｙｅｓ”に変更し、処理を終了する。

以上説明したように、本発明によって、ファイル入出力処理部が外部接続されたストレージにＷＯＲＭ論理ボリュームを作成する場合、外部接続されたストレージに接続されている入出力処理部（本実施例ではブロック入出力処理部１６１）を介して接続される計算機（本実施例ではユーザ端末１１０）が、ＷＯＲＭ論理ボリュームの中に格納されているデータを書き換えることを、防止することが可能となる。

第１の実施例では、一つのストレージにのみファイル入出力処理部が存在する形態であったが、複数のストレージにファイル入出力処理部があり、相互にＷＯＲＭ論理ボリュームを作成し合う実施例もある。本実施例では、複数のストレージがそれぞれファイル入出力処理部を有する形態について説明する。

図８から図１０を用いて、第２の実施例を説明する。

図８は、第２の実施例に関するシステムを示す構成図である。図１との差分について、以下に述べる。ストレージ１３０は、新たにファイル入出力処理部８００を有する。管理端末１７０は、新たに論理ボリュームセキュリティ設定部８０１およびアクセス管理テーブル８０２を有する。管理端末１８０は、新たにＷＯＲＭ論理ボリューム作成部８０３、論理ボリューム管理部８０４、論理ボリューム管理テーブル８０５、ストレージ管理部８０６を有する。

本実施例において、論理ボリュームをＷＯＲＭ論理ボリュームに変更する処理（改竄防止処理）を行うまでの流れを、図９、図１０を用いて説明する。本実施例では、ファイル入出力処理部８００が、ＷＯＲＭ論理ボリューム作成部８０３に対して、管理端末１８０の有する論理ボリューム管理テーブル中の仮想論理ボリューム番号４で与えられる論理ボリュームをＷＯＲＭ論理ボリュームに変更するよう要求したときの流れについて説明する。なお、仮想論理ボリューム番号は、管理端末１７０、１８０のそれぞれの論理ボリューム管理部１７５、８０４によって独立して付加される。

図９（ａ）は、管理端末１８０の論理ボリュームセキュリティ設定部１８４が有するアクセス管理テーブル１８５の状態を示す図である。図９（ｂ）は、管理端末１７０の論理ボリュームセキュリティ設定部８０１が有するアクセス管理テーブル８０２の初期状態を示す図である。図９（ｃ）は、改竄防止処理において、管理端末１７０の論理ボリュームセキュリティ設定部８０１が有するアクセス管理テーブル８０２中のアクセス許可属性４０３が変更された後の状態を示す図である。

図１０（ａ）は、管理端末１７０の論理ボリューム管理部１７５が有する論理ボリューム管理テーブル１７６の状態を示す図である。図１０（ｂ）は、管理端末１８０の論理ボリューム管理部８０４が有する論理ボリューム管理テーブル８０５の初期状態を示す図である。図１０（ｃ）は、改竄防止処理において、管理端末１８０の論理ボリューム管理部１７５が有する論理ボリューム管理テーブル８０５中のＷＯＲＭ属性２０３が変更された後の状態を示す図である。

ファイル入出力処理部８００から要求を受けた管理端末１８０のＷＯＲＭ論理ボリューム作成部８０３は、管理端末１８０の論理ボリューム管理部８０４にアクセスして、図１０（ｂ）に示す論理ボリューム管理テーブル８０５のエントリ１００８から、仮想論理ボリューム番号４が実際に存在するストレージと論理ボリューム番号が、ストレージ１２０の論理ボリューム番号２であることを取得する。

続いて、管理端末１８０のＷＯＲＭ論理ボリューム作成部８０３は、ストレージ管理部８０６にアクセスして、ストレージ１２０のセキュリティ設定フラグが”Ｙｅｓ”になっているかを確認する。

ストレージ１２０のセキュリティ設定フラグが”Ｙｅｓ”となっているため、ＷＯＲＭ論理ボリューム作成部８０３は、管理インターフェイス通信処理部１８６を通してストレージ１２０の論理ボリュームセキュリティ設定部８０１にアクセスし、図９（ｂ）に示すアクセス管理テーブル８０２中のエントリで、論理ボリューム番号４０１が２であり、入出力処理部名４０２がファイル入出力処理部８００以外であるエントリ９０７を抽出する。抽出したエントリ９０７のアクセス許可属性４０３が“Ｒ／Ｗ”であるので、管理端末１８０の論理ボリューム作成部８０３は、管理端末１７０（本実施例では、ストレージ１２０の管理者）に対して、エントリ９０７のアクセス許可属性４０３を“Ｒ”としてよいかを問い合わせる。

ストレージ１２０の管理者が、管理端末１７０に表示されたダイアログボックスに対して“Ｙｅｓ”と回答した場合、管理端末１８０のＷＯＲＭ論理ボリューム作成部８０３は、管理インターフェイス通信処理部１８６を通して管理端末１７０の論理ボリュームセキュリティ設定部８０１に対して、アクセス許可属性の設定の変更を要求する。論理ボリュームセキュリティ設定部８０１は、図９（ｂ）に示すアクセス管理テーブル８０２中のエントリで、論理ボリューム番号４０１が２であり、入出力処理部名４０２がファイル入出力処理部８００以外であるエントリ９０７を抽出する。そして、図９（ｃ）のアクセス管理テーブル８０２中のエントリ９０９に示すように、抽出したエントリ９０７のアクセス許可属性４０３を“Ｒ／Ｗ”から“Ｒ”に変更する。さらに、管理端末１８０のＷＯＲＭ論理ボリューム作成部８０３は、管理端末１８０の論理ボリューム管理部８０４にアクセスし、図１０（ｃ）の論理ボリューム管理テーブル８０５中のエントリ１００９に示すように、仮想論理ボリューム番号４で与えられる論理ボリュームのＷＯＲＭ属性２０３を“Ｎｏ”から“Ｙｅｓ”に変更し、処理を終了する。

このように、第２の実施例では、管理端末１８０からストレージ１２０に対する改竄防止処理が可能である。また、第１の実施例で説明したような管理端末１７０からストレージ１３０に対する改竄防止処理も可能であるため、管理端末１７０および１８０の双方において、それぞれの外部ストレージであるストレージ１３０および１２０に対する改竄防止処理が可能となる。よって、二つのストレージが相互に論理ボリュームを提供しあう場合においても、外部接続されたストレージの入出力処理部から自ストレージのＷＯＲＭ論理ボリュームに対する改竄を防止することが可能となる。

第２の実施例において、ストレージの内部に作成したＷＯＲＭ論理ボリュームを外部のストレージにバックアップする場合、バックアップ先の論理ボリュームの改竄を防止する必要がある。そこで、バックアップ用の論理ボリュームとしてＷＯＲＭ論理ボリュームを作成するという実施例もある。

図１１から図１６を用いて、第３の実施例を説明する。

図１１は、第３の実施例に関するシステムを示す構成図である。図１との差分について、以下に述べる。

ストレージ１２０のブロック入出力処理部１５０は、バックアップ処理部１１００を有する。バックアップ処理部１１００は、ストレージ１２０の論理ボリュームをストレージ１３０にバックアップする。ここで、バックアップとは、バックアップ元として指定した論理ボリュームのデータを、一定の時間間隔でバックアップ先として指定した論理ボリュームにコピーする動作のことをいう。一定の時間間隔には、１日、１ヶ月といった間隔があるが、本実施例ではこの時間間隔は任意に設定可能である。

管理端末１７０は、バックアップ管理部１１０１を有する。バックアップ管理部１１０１は、バックアップ元の仮想論理ボリューム番号と、バックアップ先の仮想論理ボリューム番号をそれぞれ付加することで、バックアップに伴うＷＯＲＭ論理ボリュームの複製を管理するの役割を持つ。バックアップ管理部１１０１は、バックアップ元の論理ボリューム番号と、バックアップ先の論理ボリューム番号との組み合わせを保持するために、バックアップ管理テーブル１１０２を有する。

図１２は、第３の実施例に関するバックアップ管理テーブル１１０２の一例を示す構成図である。バックアップ管理テーブル１１０２は、バックアップ元論理ボリューム番号１２０１と、バックアップ先論理ボリューム番号１２０２とを組とするエントリ１２０３を複数有する。

バックアップ元論理ボリューム番号１２０１には、バックアップ対象となるデータが格納されている論理ボリュームの仮想論理ボリューム番号が登録される。

バックアップ先の論理ボリューム番号１２０２には、対象のデータのバックアップを格納する論理ボリュームの仮想論理ボリューム番号が登録される。

例えば、バックアップ管理テーブル１１０２のエントリ１２０３は、仮想論理ボリューム番号１の論理ボリュームに格納されているデータを、仮想論理ボリューム番号３の論理ボリュームにバックアップして格納することを表している。

図１３は、バックアップ管理部１１０１がバックアップ要求を受けたとき、バックアップ管理部１１０１が行う処理の流れである。この処理は、ファイル入出力処理部１４０が、バックアップ管理部１１０１に対して、バックアップ要求を実行することで開始される（ステップ１３０１）。

バックアップ要求を受信したバックアップ管理部１１０１は、論理ボリューム管理部１７５にアクセスし、論路ボリューム管理テーブルから、バックアップ元の仮想論理ボリューム番号で示される論理ボリュームのＷＯＲＭ属性２０３を取得する（ステップ１３０２）。続いて、バックアップ管理部１１０１は、取得したＷＯＲＭ属性２０３が“Ｙｅｓ”になっているかどうかをチェックする（ステップ１３０３）。

ステップ１３０３において、取得したＷＯＲＭ属性２０３が“Ｙｅｓ”である場合、バックアップ管理部１１０１は、ＷＯＲＭ論理ボリューム作成部１７４にバックアップ先の仮想論理ボリューム番号を渡し、ＷＯＲＭ論理ボリュームの作成を依頼する（ステップ１３０４）。

続いて、バックアップ管理部１１０１は、依頼されたＷＯＲＭ論理ボリュームの作成に成功したか否かを確認する（ステップ１３０５）。

ステップ１３０５において、ＷＯＲＭ論理ボリューム作成の依頼の結果、ＷＯＲＭ論理ボリュームの作成に失敗したら、ＷＯＲＭ論理ボリューム作成部１７４はバックアップ依頼元にエラーを返して処理を終了する（ステップ１３０６）。

ステップ１３０３においてバックアップ元の論理ボリュームのＷＯＲＭ属性２０３が“Ｎｏ”であった場合や、ステップ１３０５においてＷＯＲＭ論理ボリュームの作成に成功した場合は、バックアップ元の仮想論理ボリューム番号と、バックアップ先の仮想論理ボリューム番号との組み合わせを、バックアップ管理テーブル１１０２のエントリとして新規作成し、処理を終了する（ステップ１３０７）。

本実施例において、論理ボリュームをＷＯＲＭ論理ボリュームに変更する処理（改竄防止処理）を行うまでの流れを、図１４、図１５、図１６を用いて説明する。本例では、ファイル入出力処理部１４０が、仮想論理ボリューム番号２で示される論理ボリュームを、仮想論理ボリューム番号４で示される論理ボリュームにバックアップするよう、バックアップ管理部１１０１に要求したときの流れについて説明する。

図１４（ａ）は、管理端末１８０の論理ボリュームセキュリティ設定部１８４が有するアクセス管理テーブル１８５の初期状態を示す図である。図１４（ｂ）は、改竄防止処理において、管理端末１８０の論理ボリュームセキュリティ設定部１８４が有するアクセス管理テーブル１８５中のアクセス許可属性４０３が変更された後の状態を示す図である。

図１５（ａ）は、管理端末１７０の論理ボリューム管理部１７５が有する論理ボリューム管理テーブル１７６の初期状態を示す図である。図１５（ｂ）は、改竄防止処理において、管理端末１７０の論理ボリューム管理部１７５が有する論理ボリューム管理テーブル１７６中のＷＯＲＭ属性２０３が変更された後の状態を示す図である。

図１６は、改竄防止処理において、管理端末１７０のバックアップ管理部１１０１が有するバックアップ管理テーブル１１０２中にバックアップ先とバックアップ元の組のエントリが新規作成された後の状態を示す図である。

ファイル入出力処理部１４０から要求を受けたバックアップ管理部１１０１は、論理ボリューム管理部１７５にアクセスし、図１５（ａ）に示す論理ボリューム管理テーブル１７６のエントリ１５０２から、バックアップ元の仮想論理ボリューム番号２で示される論理ボリュームのＷＯＲＭ属性２０３を取得する。取得したＷＯＲＭ属性２０３が“Ｙｅｓ”であるため、バックアップ管理部１１０１は、ＷＯＲＭ論理ボリューム作成部１７４にバックアップ先の論理ボリュームとして仮想論理ボリューム番号４を渡し、ＷＯＲＭ論理ボリュームの作成を依頼する。

要求を受けたＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部１７５にアクセスして、図１５（ａ）に示す論理ボリューム管理テーブル１７６のエントリ１５０４から、仮想論理ボリューム番号４が実際に存在するストレージと論理ボリューム番号が、ストレージ１３０の論理ボリューム番号１であることを取得する。

続いて、ＷＯＲＭ論理ボリューム作成部１７４は、ストレージ管理部１７７にアクセスして、ストレージ１３０のセキュリティ設定フラグが”Ｙｅｓ”になっているかを確認する。

ストレージ１３０のセキュリティ設定フラグが”Ｙｅｓ”となっているため、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１７９を通してストレージ１３０の論理ボリュームセキュリティ設定部１８４にアクセスし、図１４（ａ）に示すアクセス管理テーブル１８５中のエントリで、論理ボリューム番号４０１が１であり、入出力処理部名４０２がブロック入出力処理部１５０以外であるエントリ１４０２を抽出する。抽出したエントリ１４０２のアクセス許可属性４０３が“Ｒ／Ｗ”であるので、ＷＯＲＭ論理ボリューム作成部１７４は管理端末１８０（本実施例では、ストレージ１３０の管理者）に対し、エントリ１４０２のアクセス許可属性４０３を“Ｒ”としてよいかを問い合わせる。

ストレージ１３０の管理者が、管理端末１８０に表示されたダイアログボックスに対して“Ｙｅｓ”と回答した場合、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１１６を通して論理ボリュームセキュリティ設定部１８４に対して、アクセス許可属性の設定の変更を要求する。論理ボリュームセキュリティ設定部１８４は、図１４（ａ）に示すアクセス管理テーブル１８５中のエントリで、論理ボリューム番号４０１が１であり、入出力処理部名４０２がブロック入出力処理部１５０以外であるエントリ１４０２を抽出する。そして、図１４（ｂ）のアクセス管理テーブル１８５中のエントリ１４０５に示すように、抽出したエントリ１４０２のアクセス許可属性４０３を“Ｒ／Ｗ”から“Ｒ”に変更する。さらに、ＷＯＲＭ論理ボリューム作成部１７４は論理ボリューム管理部１７５にアクセスし、図１５（ｂ）の論理ボリューム管理テーブル１７６中のエントリ１５０５に示すように、仮想論理ボリューム番号４で与えられる論理ボリュームのＷＯＲＭ属性２０３を“Ｎｏ”から“Ｙｅｓ”に変更する。

さらに、バックアップ管理部１１０１は、図１６に示すバックアップ管理テーブル１１０２中にエントリ１６０１を新規作成して、バックアップ元の仮想論理ボリューム番号２と、バックアップ先の仮想論理ボリューム番号４との組み合わせを格納し、処理を終了する。

以上の処理により、バックアップ先の論理ボリュームがＷＯＲＭ領域として確保されるため、ファイル入出力処理部１４０がブロック入出力処理部１５０のバックアップ処理部１１００に指示して、改竄防止処理後の任意の契機において、バックアップのためのコピー処理を実行できる。

このように、第３の実施例では、ＷＯＲＭ論理ボリュームを外部接続されたストレージにバックアップする場合においても、外部接続されたストレージに接続されているユーザ（本実施例ではブロック入出力処理部１６１に接続されるユーザ端末１１０）からバックアップデータに対する改竄を防止することが可能となる。

第１の実施例では、ストレージ毎に管理端末を一つ用意する形態であったが、第４の実施例では、一つの管理端末で複数のストレージを管理する実施例について説明する。

図１７から図２０を用いて、第４の実施例を説明する。

図１７は、第４の実施例に関する記憶装置を示す構成図である。図１との差分を以下に述べる。ストレージ１２０および１３０は、管理端末１７００に接続されている。管理端末１７００は、ストレージ１２０の管理部として、ＷＯＲＭ論理ボリューム作成部１７４、論理ボリューム管理部１７５、ストレージ管理部１７７を有する。また、ストレージ１３０の管理部として、論理ボリュームセキュリティ設定部１８４を有する。

なお、本実施例においては、管理端末間で通信を行わないため、管理インターフェイス通信処理部１１６は不要となる。

図１８は、ＷＯＲＭ論理ボリューム作成処理を示すフローチャートである。ＷＯＲＭ論理ボリューム作成部１７４は、特定の論理ボリュームについてＷＯＲＭ論理ボリュームに変更することをファイル入出力処理部１４０から要求されたことを契機として、外部ストレージ内にＷＯＲＭ論理ボリュームを作成する処理を開始する（ステップ１８０１）。

ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理テーブル１７６中に仮想論理ボリューム番号が与えられたある論理ボリュームをＷＯＲＭ論理ボリュームとして設定するとき、論理ボリューム管理部１７５にアクセスして該当する論理ボリュームが実際に存在する外部ストレージのストレージ名と論理ボリューム番号を取得する（ステップ１８０２）。

さらに、ＷＯＲＭ論理ボリューム作成部１７４は、ストレージ管理部１７７にアクセスしてストレージ管理テーブル１７８中の該当する外部ストレージのセキュリティ設定フラグが”Ｙｅｓ”になっているかを確認する（ステップ１８０３）。

ステップ１８０３においてセキュリティ設定フラグが”Ｙｅｓ”になっている場合、ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリュームセキュリティ設定部１８４にアクセスする。そして、アクセス管理テーブル１８５中のエントリの中から、該当する論理ボリューム番号４０１と、論理ボリューム入出力処理部名がファイル入出力処理部１４０以外である入出力処理部４０２の組であるエントリを抽出する。抽出したエントリのアクセス許可属性４０３が“Ｒ／Ｗ”であるならば、これを“Ｒ”とする（ステップ１８０４）。

さらに、ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部１７５にアクセスし、論理ボリューム管理テーブル１７６中の該当する論理ボリュームのＷＯＲＭ属性２０３を“Ｎｏ”から“Ｙｅｓ”に変更し（ステップ１８０５）、処理を終了する（ステップ１８０７）。

ステップ１８０３においてセキュリティ設定フラグが”Ｎｏ”であった場合は、ＷＯＲＭ論理ボリューム作成部１７４は、ファイル入出力処理部１４０に対して、この論理ボリュームに対する改竄防止処理を行えないことを通知し（ステップ１８０６）、処理を終了する。

本実施例において、論理ボリュームをＷＯＲＭ論理ボリュームに変更する処理（改竄防止処理）を行うまでの流れを、図１９、図２０を用いて説明する。

図１９（ａ）は、管理端末１７００のストレージセキュリティ設定部１８４が有するアクセス管理テーブル１８５の初期状態を示す図である。図１９（ｂ）は、改竄防止処理において、管理端末１７００のストレージセキュリティ設定部１８４が有するアクセス管理テーブル１８５中のアクセス許可属性４０３が変更された後の状態を示す図である。

図２０（ａ）は、管理端末１７００の論理ボリューム管理部１７５が有する論理ボリューム管理テーブル１７６の初期状態を示す図である。図２０（ｂ）は、改竄防止処理において、管理端末１７００の論理ボリューム管理部１７５が有する論理ボリューム管理テーブル１７６中のＷＯＲＭ属性２０３が変更された後の状態を示す図である。

ファイル入出力処理部１４０は、ＷＯＲＭ論理ボリューム作成部１７４に仮想論理ボリューム番号４を渡し、ＷＯＲＭ論理ボリュームの作成を依頼したとする。

このとき、要求を受けたＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部１７５にアクセスして、図２０（ａ）に示す論理ボリューム管理テーブル１７６のエントリ２００４から、仮想論理ボリューム番号４が実際に存在するストレージと論理ボリューム番号が、ストレージ１３０の論理ボリューム番号１であることを取得する。

続いて、ＷＯＲＭ論理ボリューム作成部１７４は、ストレージ管理部１７７にアクセスして、ストレージ１３０のセキュリティ設定フラグが”Ｙｅｓ”になっているかを確認する。

ストレージ１３０のセキュリティ設定フラグが”Ｙｅｓ”となっているため、ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリュームセキュリティ設定部１８４にアクセスし、図１９（ａ）に示すアクセス管理テーブル１８５中のエントリで、論理ボリューム番号４０１が１であり、入出力処理部名４０２がファイル入出力処理部１４０以外であるエントリ１９０２を抽出する。そして、図１９（ｂ）のアクセス管理テーブル１８５中のエントリ１９０５に示すように、抽出したエントリ１９０２のアクセス許可属性４０３を“Ｒ／Ｗ”から“Ｒ”に変更する。さらに、ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部１７５にアクセスし、図２０（ｂ）の論理ボリューム管理テーブル１７６中のエントリ２００５に示すように、仮想論理ボリューム番号４で与えられる論理ボリュームのＷＯＲＭ属性２０３を、“Ｎｏ”から“Ｙｅｓ”に変更し、処理を終了する。

このように、第４の実施例では、複数のストレージの管理を一つの管理端末で行う場合においても、あるストレージのファイル入出力処理部が外部接続されたストレージにＷＯＲＭ論理ボリュームを作成する場合、外部接続されたストレージに接続されているユーザが、ＷＯＲＭ論理ボリュームの中に格納されているデータを書き換えることを、防止することが可能となる。

第１の実施例では、管理端末のプログラムがＷＯＲＭ論理ボリューム属性を管理する形態であったが、これを論理ボリューム毎に保存する実施例もある。

図２１から図２６を用いて、第５の実施例を説明する。

図２１は、第５の実施例に関する記憶装置を示す構成図である。図１との差分を以下に述べる。ストレージ１２０のコントローラ１２１は、ＷＯＲＭ属性管理部２１０１を有する。ＷＯＲＭ属性管理部２１０１は、ストレージ１２０内の各論理ボリュームおよびストレージ１３０から提供される論理ボリュームに対して、ＷＯＲＭ論理ボリュームであるかどうかを示すＷＯＲＭ属性２１０２を付与する。各論理ボリュームは、例えばＷＯＲＭ属性管理テーブルを有し、論理ボリューム内に上記で付与されたＷＯＲＭ属性２１０２を保持する。

管理端末１７０内の論理ボリューム管理部２１０３は、ストレージ１２０が所有する論理ボリュームと、外部ストレージから提供されている論理ボリュームとを、仮想論理ボリューム番号によりストレージの入出力処理部に仮想的に見せる役割を持つ。なお、論理ボリューム管理部２１０３は、各論理ボリュームについてそれがＷＯＲＭ論理ボリュームであるかを管理する役割は持たない。論理ボリューム管理部２１０３は、仮想論理ボリューム番号と、実際に存在するストレージおよびその論理ボリューム番号との組み合わせを保持するために、論理ボリューム管理テーブル２１０４を有する。

図２２は、各論理ボリュームに格納されるＷＯＲＭ属性を示すＷＯＲＭ属性管理テーブルの構成図である。
論理ボリュームは、データブロック番号２２０１とデータブロックごとのＷＯＲＭ属性２２０２とを組とするエントリ２２１０〜２２１３を複数有する。データブロック番号２２０１には、論理ボリュームのデータ領域全体をあるデータ単位で区切り、区切られたデータを一意に識別するための番号が格納される。データ単位は本実施例のようなブロック以外にも、例えば、ディスク装置、ディスクのセクタといった物理的な単位や、ボリューム、ファイルといった論理的な単位であってもよい。

ＷＯＲＭ属性２２０２には、データブロック番号２２０１で示されるデータが、改竄を許可しないＷＯＲＭ領域であるか否かを識別するための情報がフラグとして格納される。このフラグにより、ストレージ１２０は、論理ボリューム中のどのデータブロックがＷＯＲＭ領域であるのかを識別して、ユーザ端末に提供することができる。

例えば、エントリ２２１０に格納された情報は、データブロック番号１で与えられるデータブロックがＷＯＲＭ領域ではないことを表している。また、エントリ２２１１に格納された情報は、データブロック番号２で与えられるデータブロックがＷＯＲＭ領域であることを表している。

図２３は、論理ボリューム管理テーブル２１０４の一例を示す構成図である。論理ボリューム管理テーブル２１０４は、仮想論理ボリューム番号２３０１と、その論理ボリュームが実際に存在するストレージ名とそのストレージ内での論理ボリューム番号２３０２とを組とするエントリ２３１０〜２３１３を複数有する。

仮想論理ボリューム番号２３０１には、ストレージが内部に持っている論理ボリューム、および外部接続しているストレージの内部にある論理ボリュームを一意に識別するための識別子が格納される。

ストレージ名とそのストレージ内での論理ボリューム番号２３０２には、仮想論理ボリューム番号２３０１で示す論理ボリュームが実際に存在するストレージの識別情報と、そのストレージ内における論理ボリューム番号２３０１で示す論理ボリュームの識別情報が格納される。本実施例では、それぞれストレージ名と論理ボリューム番号が格納される。

例えば、エントリ２３１１に格納された情報は、仮想論理ボリューム番号２で与えられる論理ボリュームは、実際はストレージ１２０の論理ボリューム番号２で与えられる論理ボリュームであることを表している。また、エントリ２３１３に格納された情報は、仮想論理ボリューム番号４で与えられる論理ボリュームは、実際はストレージ１３０の論理ボリューム番号１で与えられる論理ボリュームであることを表している。

図２４は、第５の実施例に関するＷＯＲＭ論理ボリューム作成処理を示すフローチャートである。ＷＯＲＭ論理ボリューム作成部１７４は、特定の論理ボリュームをＷＯＲＭ論理ボリュームに変更して設定することをファイル入出力処理部１４０から要求されたことを契機に、外部ストレージ内にＷＯＲＭ論理ボリュームを作成する処理を開始する（ステップ２４０１）。

ＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理テーブル２１０４中で仮想論理ボリューム番号が与えられたある論理ボリュームを、ＷＯＲＭ論理ボリュームとして設定するとき、管理端末１７０中の論理ボリューム管理部２１０３にアクセスしてこの論理ボリュームが実際に存在するストレージ名と論理ボリューム番号を取得する（ステップ２４０２）。

さらに、ＷＯＲＭ論理ボリューム作成部１７４は、ストレージ管理部１７７にアクセスしてストレージ管理テーブル１７８中の該当するストレージのセキュリティ設定フラグが”Ｙｅｓ”になっているかを確認する（ステップ２４０３）。

ステップ２４０３においてセキュリティ設定フラグが“Ｙｅｓ”となっている場合、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１７９を通して該当するストレージの論理ボリュームセキュリティ設定部１８４にアクセスする。そして、アクセス管理テーブル１８５中のエントリの中から、該当する論理ボリュームの論理ボリューム番号４０１と、入出力処理部名４０２がファイル入出力処理部１４０以外である入出力処理部名との組であるエントリを抽出する。抽出したエントリのアクセス許可属性が“Ｒ／Ｗ”であるならば、ＷＯＲＭ論理ボリューム作成部２１０１は、これを“Ｒ”としてよいかどうかを、論理ボリュームセキュリティ設定部１８４に問い合わせる（ステップ２４０４）。

問合せを受けた外部ストレージの管理端末（本実施例では、外部ストレージの管理者）は、この問い合わせに対して回答する（ステップ２４０５）。

ステップ２４０５において、問合せに対する回答が“Ｙｅｓ”である場合、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１１６を通して論理ボリュームセキュリティ設定部１８４に設定の変更を要求する（ステップ２４０６）。

論理ボリュームセキュリティ設定部１８４は、アクセス管理テーブル１８５中のエントリの中から、該当する論理ボリュームの論理ボリューム番号４０１と、入出力処理部名４０２がファイル入出力処理部１４０以外である入出力処理部名との組であるエントリを抽出する。そして、抽出したエントリのアクセス許可属性４０３が“Ｒ／Ｗ”であるならば、これを“Ｒ”に設定する（ステップ２４０７）。

さらに、ＷＯＲＭ論理ボリューム作成部１７４は、コントローラ１２１内のＷＯＲＭ属性管理部２１０１にＷＯＲＭ属性の変更を指示し、ＷＯＲＭ属性管理部２１０１は、ＷＯＲＭ属性管理テーブル内のデータブロック番号２２０１に対応するＷＯＲＭ属性２２０２を“Ｙｅｓ”とし（ステップ２４０８）、処理を終了する（ステップ２４１０）。

ステップ２４０３において、このストレージのセキュリティ設定フラグが”Ｎｏ”であった場合や、ステップ２４０５において、このストレージの管理者からの回答が”Ｎｏ”であった場合は、ファイル入出力処理部１４０に、この論理ボリュームに対する改竄防止処理を行えないことを通知し（ステップ２４０９）、処理を終了する（ステップ２４１０）。本実施例において、論理ボリュームをＷＯＲＭ論理ボリュームに変更する処理（改竄防止処理）を行うまでの流れを、図２５、図２６を用いて説明する。本例では、ファイル入出力処理部１４０が、ＷＯＲＭ論理ボリューム作成部１７４に、仮想論理ボリューム番号４で与えられる論理ボリュームをＷＯＲＭ論理ボリュームに変更することを要求したときの流れを説明する。

図２５（ａ）は、管理端末１８０の論理ボリュームセキュリティ設定部１８４が有するアクセス管理テーブル１８５の初期状態を示す図である。図２５（ｂ）は、改竄防止処理において、管理端末１８０の論理ボリュームセキュリティ設定部１８４が有するアクセス管理テーブル１８５中のアクセス許可属性４０３が変更された後の状態を示す図である。

図２６は、改竄防止処理において、ストレージ１３０の論理ボリューム番号１で示される論理ボリューム中のデータについてのＷＯＲＭ属性２２０２が変更された後のＷＯＲＭ属性管理テーブルの状態を示すである。

ファイル入出力処理部１４０から要求を受けたＷＯＲＭ論理ボリューム作成部１７４は、論理ボリューム管理部２１０３にアクセスして、図２３に示す論理ボリューム管理テーブル２１０４のエントリ２３１３から、仮想論理ボリューム番号４の論理ボリュームが実際に存在するストレージと論理ボリューム番号が、ストレージ１３０の論理ボリューム番号１であることを取得する。

続いて、ＷＯＲＭ論理ボリューム作成部１７４は、ストレージ管理部１７７にアクセスして、ストレージ１３０のセキュリティ設定フラグが”Ｙｅｓ”になっているかを確認する。

ストレージ１３０のセキュリティ設定フラグが”Ｙｅｓ”となっているため、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１１６を通してストレージ１３０の論理ボリュームセキュリティ設定部１８４にアクセスし、図２５（ａ）に示すアクセス管理テーブル１８５中のエントリで、論理ボリューム番号４０１が１であり、入出力処理部名４０２がファイル入出力処理部１４０以外であるエントリ２５０２を抽出する。抽出したエントリのアクセス許可属性４０３が“Ｒ／Ｗ”であるので、これを“Ｒ”としてよいかを問い合わせる。

ストレージ１３０の管理者が、管理端末１８０に表示されたダイアログボックスに対して“Ｙｅｓ”と回答した場合、ＷＯＲＭ論理ボリューム作成部１７４は、管理インターフェイス通信処理部１７９を通して論理ボリュームセキュリティ設定部１８４に対して、設定の変更を要求する。論理ボリュームセキュリティ設定部１８４は、図２５（ａ）に示すアクセス管理テーブル１８５中のエントリで、論理ボリューム番号４０１が１であり、入出力処理部名４０２がファイル入出力処理部１４０以外であるエントリ２５０２を抽出する。そして、図２５（ｂ）のアクセス管理テーブル１８５中のエントリ２５０５に示すように、抽出したエントリのアクセス許可属性４０３を“Ｒ／Ｗ”から“Ｒ”に変更する。

さらに、ＷＯＲＭ論理ボリューム作成部１７４はストレージ１２０のコントローラ内のＷＯＲＭ属性管理部２１０１にＷＯＲＭ属性を変更するよう指示する。指示を受信したＷＯＲＭ属性管理部２１０１は、図２６中のエントリ２６０１〜２６０４に示すように、この論理ボリューム内のすべてのデータについて、データブロック番号２２０１に対応するＷＯＲＭ属性２２０２を“Ｙｅｓ”に変更して、処理を終了する。

このように、第５の実施例では、各論理ボリュームが論理ボリューム内の各データについて、あるデータの単位ごとにＷＯＲＭ属性を保持する場合においても、外部接続されたストレージに接続されているユーザからのＷＯＲＭ論理ボリュームに対する改竄を防止することが可能となる。

なお、第５の実施例において、論理ボリュームがメタデータを格納するメタデータ部と、あるデータ単位ごとにデータを格納するデータブロック部とを有し、あるデータ単位ごとのＷＯＲＭ属性はメタデータ部に格納される構成としてもよい。
（変形例１）
第１乃至第５の実施例では、ファイル入出力処理部が、ユーザ端末の利用する外部ストレージ内の論理ボリュームに対するＷＯＲＭの設定を、管理端末に指示する形態を説明した。ここで、ファイル入出力部は、ストレージに接続されるファイルサーバであり、ユーザ端末がこのファイルサーバを介してストレージ内の記憶領域を利用する形態であってもよい。この場合、ファイルサーバが、ユーザ端末の利用する外部ストレージ内の論理ボリュームに対するＷＯＲＭの設定を、管理端末に指示する。

図２７を用いて、ファイルサーバを含むシステム構成について説明する。図１との差分を以下に述べる。複数のユーザ端末１００は、ネットワーク１９０を介して、ファイルサーバ２７００に接続され、ファイルサーバ２７００はストレージ１２０内のブロック入出力部２７１０と相互接続される。ブロック入出力処理部２７１０は、前述したブロック入出力処理部１５０、１６０、１６１と同様の構成を有する。

ファイルサーバ２７００は、ユーザからのファイル操作要求を受け、ストレージ１２０内の論理ボリュームにデータをファイル単位で格納、および抽出する役割を持つ。ファイルサーバ２７００は、プロセッサ２７０１、メモリ２７０２、Ｉ／Ｆ２７０３、Ｉ／Ｆ２７０４、Ｉ／Ｆ２７０５、およびブロック入出力Ｉ／Ｆ２７０６から構成される。プロセッサ２７０１は、メモリ２７０２にプログラムを読み出して実行し、Ｉ／Ｆ２７０３、２７０４、２７０５およびブロック入出力Ｉ／Ｆ２７０６を介して、他の装置と通信する。プロセッサ２７０１がメモリ２７０２に読み出して実行するプログラムとして、例えば、ファイルシステム２７０７、およびファイルシステム２７０７で実行されるＷＯＲＭファイル管理部２７０８がある。

なお、ファイルシステム２７０７は、ユーザ端末１００とストレージ１２０とのファイル単位でのデータの送受信を行うため、ユーザ端末１００の有するファイルシステムと互換性を有するファイルシステムである。

プロセッサ２７０１は、Ｉ／Ｆ２７０３に接続されたネットワーク１９０を介して、ユーザ端末１００との間でファイル操作要求などの制御情報を送受信し、Ｉ／Ｆ２７０５を介して接続される管理ネットワーク１９３によって、管理端末１７０との間で制御情報を送受信する。また、プロセッサ２７０１は、Ｉ／Ｆ２７０４に接続されたネットワーク１９０を介して、ユーザ端末１００との間でデータを送受信し、ブロック入出力Ｉ／Ｆ２７０６を介して、ストレージ１２０のブロック入出力処理部２７１０にアクセスし、記憶媒体１２２に格納されたデータを操作する。

以上のようなシステム構成において、ＷＯＲＭ論理ボリュームの作成処理は、実施例１ではファイル入出力処理部１４０が行っていた処理を、ファイルサーバ２７１０が実行することで可能となる。

なお、上述したように、５つの実施例および変形例を説明したが、本発明はこれらの実施例に制限されるものではない。

第１の実施例に関するシステムを示す構成図である。 第１の実施例に関する論理ボリューム管理テーブルの一例を示す構成図である。 第１の実施例に関するストレージ管理テーブルの一例を示す構成図である。 第１の実施例に関するアクセス管理テーブルの一例を示す構成図である。 第１の実施例に関するＷＯＲＭ論理ボリューム作成処理を示すフローチャートである。 第１の実施例に関するアクセス管理テーブルの改竄防止処理後を示す構成図である。 第１の実施例に関する論理ボリューム管理テーブルの改竄防止処理後を示す構成図である。 第２の実施例に関するシステムを示す構成図である。 第２の実施例に関するアクセス管理テーブルの改竄防止処理後を示す構成図である。 第２の実施例に関する論理ボリューム管理テーブルの改竄防止処理後を示す構成図である。 第３の実施例に関するシステムを示す構成図である。 第３の実施例に関するバックアップ管理テーブルの一例を示す構成図である。 第３の実施例に関するＷＯＲＭ論理ボリューム作成処理を示すフローチャートである。 第３の実施例に関するアクセス管理テーブルの初期状態と改竄防止処理後を示す構成図である。 第３の実施例に関する論理ボリューム管理テーブルの初期状態と改竄防止処理後を示す構成図である。 第３の実施例に関するＷＯＲＭ論理ボリューム作成後のバックアップ管理テーブルを示す構成図である。 第４の実施例に関するシステムを示す構成図である。 第４の実施例に関するＷＯＲＭ論理ボリューム作成処理を示すフローチャートである。 第４の実施例に関するアクセス管理テーブルの改竄防止処理後を示す構成図である。 第４の実施例に関する論理ボリューム管理テーブルの改竄防止処理後を示す構成図である。 第５の実施例に関するシステムを示す構成図である。 第５の実施例に関するＷＯＲＭ属性を示す構成図である。 第５の実施例に関する論理ボリューム管理テーブルの一例を示す構成図である。 第５の実施例に関するＷＯＲＭ論理ボリューム作成処理を示すフローチャートである。 第５の実施例に関するアクセス管理テーブルの初期状態と改竄防止処理後を示す構成図である。 第５の実施例に関する改竄防止処理後のＷＯＲＭ属性を示す構成図である。 実施例の変形例に関するシステムを示す構成図である。

符号の説明

１００，１１０ ユーザ端末
１２０，１３０ ストレージ
１７０，１８０，１７００ 管理端末
１９０，１９１，１９２ ネットワーク
１９３ 管理ネットワーク
１２１，１３１ コントローラ
１２２，１３２ 記憶媒体
１４０，８００ ファイル入出力処理部
１５０，１６０，１６１、２７１０ ブロック入出力処理部
１０１，１２１，１４１，１５１，１７１，１８１，２７０１ プロセッサ
１０２，１２２，１４２，１５２，１７２，１８２，２７０２ メモリ
１０３，１２３，１３３，１４３〜１４５，１５３、１７３，１８３，２７０３〜２７０５ Ｉ／Ｆ
１４６，１５４，１５５，２７０６ ブロック入出力Ｉ／Ｆ
１７４，８０３ ＷＯＲＭ論理ボリューム作成部
１７５，８０４ 論理ボリューム管理部
１７６，８０５ 論理ボリューム管理テーブル
１７７，８０６ ストレージ管理部
１７８ ストレージ管理テーブル
１７９，１８６ 管理インターフェイス通信処理部
１８４，８０１ 論理ボリュームセキュリティ設定部
１８５，８０２ アクセス管理テーブル
２０１，２３０１ 仮想論理ボリューム番号
２０２ ストレージ名とその論理ボリューム番号
２０３ ＷＯＲＭ属性
３０１ ストレージ名
３０２ セキュリティ設定フラグ
４０１ 論理ボリューム番号
４０２ 入出力処理部名
４０３ アクセス許可属性
１１００ バックアップ処理部
１１０１ バックアップ管理部
１１０２ バックアップ管理テーブル
１２０１ バックアップ元論理ボリューム番号
１２０２ バックアップ先論理ボリューム番号
２１０１ ＷＯＲＭ属性管理部
２１０２ ＷＯＲＭ属性
２１０３ 論理ボリューム管理部
２１０４ 論理ボリューム管理テーブル
２２０１ データブロック番号
２２０２ ＷＯＲＭ属性
２３０２ ストレージ名とその論理ボリューム番号
２７００ ファイルサーバ

Claims (18)

1. 第１のストレージシステムと、前記第１のストレージシステムに接続される第２のストレージシステムを有する計算機システムであって、
   前記第１のストレージシステム内の複数の記憶領域である第１の記憶領域と、前記第２のストレージシステム内の複数の記憶領域である第２の記憶領域とを有し、
   前記第１のストレージシステムは、
   前記第２の記憶領域を、当該第１のストレージシステムの記憶領域として、当該第１のストレージシステムに接続される第１の計算機に提供するコントローラ部と、
   前記第２の記憶領域のうちの所定の記憶領域に対して、前記第２のストレージシステムに接続される第２の計算機からのアクセスを制限するよう、前記第２のストレージシステムに対して指示するアクセス制限指示部を有し、
   前記第２のストレージシステムは、
   前記第１のストレージシステムの前記アクセス制限指示部から受信した前記アクセス制限の指示に基づいて、当該第２のストレージシステム内の前記所定の記憶領域に対して、前記第２の計算機からのアクセスを制限するアクセス制限設定部を有し、
   前記コントローラ部は、
   前記第１の記憶領域に対する前記第１の計算機からの入出力要求を制御する第１の入出力処理部と、
   前記第２の記憶領域を前記第１のストレージシステムの記憶領域として、前記第１の入出力処理部を介して前記第１の計算機に提供し、前記第１の入出力処理部を介した前記第２の記憶領域に対する入出力要求を制御する第２の入出力処理部を有し、
   前記アクセス制限設定部は、
   前記第１のストレージシステムの前記アクセス制限指示部から受信した前記アクセス制限の指示に基づいて、前記第２の記憶領域内の前記所定の記憶領域に格納されたデータに対して、前記第２の計算機からのライト要求を禁止することを特徴とする計算機システム。
2. 請求項１に記載の計算機システムであって、
   前記第２のストレージシステムは、
   前記第２の入出力処理部から送信された入出力要求に基づいて、前記第２の記憶領域のうちのいずれかの記憶領域に対する入出力要求を制御する第３の入出力処理部と、
   前記第２の記憶領域に対する前記第２の計算機からの入出力要求を制御する第４の入出力処理部を有することを特徴とする計算機システム。
3. 請求項２に記載の計算機システムであって、
   前記第２のストレージシステムは、
   前記第２の記憶領域に対するリード要求およびライト要求のアクセス可否を識別する情報を格納する設定テーブルを有し、
   前記アクセス制限設定部は、前記作成部から受信した前記アクセス制限の指示に基づいて、前記所定の記憶領域に格納されたデータに対する前記第２の計算機からのライト要求を禁止するよう設定する場合、
   前記第４の入出力処理部からのライト要求を禁止するよう前記設定テーブルを更新することを特徴とする計算機システム。
4. 請求項３に記載の計算機システムであって、
   前記第２の計算機が、前記第４の入出力処理部を介して、前記第２の記憶領域内の前記所定の記憶領域に格納されたデータに対するリード要求を送信した場合、前記第２のストレージシステムは前記設定テーブルを参照して前記リード要求を許可し、
   前記第２のストレージシステムに接続される前記第２の計算機が、前記第４の入出力処理部を介して、前記第２の記憶領域内の前記所定の記憶領域に格納されたデータに対するライト要求を送信した場合、前記第２のストレージシステムは、前記設定テーブルを参照して、前記ライト要求を禁止することを特徴とする計算機システム。
5. 請求項３に記載の計算機システムであって、
   前記第１のストレージシステムは、
   前記第１の記憶領域、および当該第１のストレージシステムに提供される前記第２の記憶領域を一意に識別する識別子と、該記憶領域に格納されたデータに対して前記第１または第２の計算機からのライト要求を禁止するアクセス制限属性とを対応付ける管理テーブルを有し、
   前記アクセス制限設定部が前記アクセス制限指示部から受信した前記アクセス制限の指示に基づいて、前記第２の記憶領域内の前記所定の記憶領域について前記設定テーブルを更新する場合、
   前記アクセス制限指示部は、前記設定テーブルの更新に応じて、前記所定の記憶領域に対して前記アクセス制限属性を付与するよう前記管理テーブルを更新することを特徴とする計算機システム。
6. 請求項１に記載の計算機システムであって、
   前記第１のストレージシステムは、
   当該第１のストレージシステム内の前記第１の記憶領域のうちのある記憶領域の複製として、前記第２のストレージシステム内に複製記憶領域の作成を要求する複製管理部を有し、
   前記複製管理部は、前記アクセス制限設定部による前記複製元の記憶領域に対する前記アクセス制限において、ライト要求を禁止するアクセス制限が設定されているか否かを判定し、
   前記アクセス制限が設定されている場合、前記第２のストレージシステムに対して、前記複製記憶領域を作成するよう要求し、
   前記第２のストレージシステムは、前記作成要求に基づいて、前記第２のストレージシステム内に前記複製記憶領域を作成し、
   前記アクセス制限設定部は、作成された前記複製先の前記複製記憶領域に対して前記第２の計算機からのライト要求を禁止するよう前記アクセス制限を設定し、
   前記アクセス制限指示部は、前記アクセス制限が設定された前記複製記憶領域に対して前記アクセス制限が設定されたことを示す識別子を付与して管理し、
   前記複製管理部は、前記複製元の記憶領域と前記複製先の前記複製記憶領域とを対応付けて管理することを特徴とする計算機システム。
7. 請求項６に記載の計算機システムであって、
   前記第２の入出力処理部は、
   前記第１のストレージシステム内の前記複製元の記憶領域に含まれるデータを、前記第２のストレージシステム内の前記複製記憶領域に複製する複製処理部を有し、
   前記複製処理部は、前記複製管理部が管理する前記複製元の記憶領域に対応する前記複製先の前記複製記憶領域を参照して、前記複製元の記憶領域内に含まれるデータを、前記複製先の前記複製記憶領域に複製することを特徴とする計算機システム。
8. 請求項１に記載の計算機システムであって、
   前記第１のストレージシステムは、
   前記第２の記憶領域内の前記複数の記憶領域に対するアクセス権限の変更が可能か否かを前記第２のストレージに対して問い合わせるストレージ管理部を有し、
   前記ストレージ管理部は、前記第２のストレージシステムに対して、前記所定の記憶領域に対するアクセス権限の変更が可能か否かを問合せ、前記アクセス権限の変更が可能な場合、前記アクセス制限指示部に前記アクセス権限の変更が可能である情報を送信し、
   前記アクセス制限指示部は、前記アクセス権限の変更可能との情報に基づいて、前記第２のストレージシステムに対して、前記所定の記憶領域に対する前記第２の計算機からのアクセスを制限するアクセス制限を送信することを特徴とする計算機システム。
9. 請求項１に記載の計算機システムであって、
   前記第１のストレージシステムと前記第２のストレージシステムとは、SANを介して、データを送受信し、
   前記第１のストレージシステムと前記第２のストレージシステムとは、LANを介して、制御情報を送受信することを特徴とする計算機システム。
10. 請求項１に記載の計算機システムであって、
    前記第１の計算機と前記第１のストレージシステム間、および、前記第２の計算機と前記第２のストレージシステム間は、LANを介して接続されることを特徴とする計算機システム。
11. 計算機がそれぞれ接続される複数のストレージシステムを有する計算機システムであって、
    前記複数のストレージシステムは、それぞれ、
    当該ストレージシステムに接続される前記計算機が使用するデータを格納する複数の記憶領域と、
    当該ストレージシステムに接続される他のストレージシステム内の前記複数の記憶領域を、当該ストレージシステムの記憶領域として前記計算機に提供し、前記計算機からの当該ストレージシステム内の前記複数の記憶領域に対する入出力要求を制御する入出力処理部と、
    当該ストレージシステムに接続される他のストレージシステム内の前記複数の記憶領域に対するアクセス権限の変更が可能か否かを、前記他のストレージシステムに問い合わせるストレージ管理部と、
    前記他のストレージシステムに記憶領域に対するアクセス権限の変更が可能である情報を前記ストレージ管理部から受信した場合、前記他のストレージシステム内の前記複数の記憶領域のうちの所定の記憶領域に対して、前記他のストレージシステムに接続される他の計算機からのアクセスを制限するよう、前記他のストレージシステムに対して指示するアクセス制限指示部と、
    前記他のストレージシステムが、当該ストレージシステムのアクセス制限指示に基づいて、前記他のストレージシステム内の前記所定の記憶領域に対して、前記他の計算機からのアクセス制限を設定した場合、
    前記アクセス制限指示部によって、前記所定の記憶領域と、該所定の記憶領域に格納されたデータに対する前記他の計算機からのライト要求を禁止するアクセス制限属性とが対応付けられる管理テーブルと、
    前記他のストレージシステム内の前記アクセス制限指示部が、当該ストレージシステムに対して、当該ストレージシステムが前記他のストレージに提供しているある記憶領域に対する、前記計算機からのアクセス制限を指示した場合、当該ストレージシステム内の前記ある記憶領域に対して、前記計算機からのアクセスを制限するよう設定するアクセス制限設定部と、
    前記アクセス制限設定部によって、前記計算機と前記ある記憶領域に対するアクセス可否を示す情報とが対応付けられる設定テーブルとを有することを特徴とする計算機システム。
12. 第１のストレージシステムと、前記第１のストレージシステムに接続される第２のストレージシステムと、前記第１および第２のストレージシステムに接続される管理端末とを有する計算機システムであって、
    前記第１のストレージシステム内の複数の記憶領域である第１の記憶領域と、前記第２のストレージシステム内の複数の記憶領域である第２の記憶領域とを有し、
    前記第１のストレージシステムは、前記第２の記憶領域を、当該第１のストレージシステムの記憶領域として、当該第１のストレージシステムに接続される第１の計算機に提供するコントローラ部を有し、
    前記管理端末は、
    前記第２の記憶領域に対するアクセス権限の変更が可能か否かを判定するストレージ管理部と、
    前記ストレージ管理部から受信した、前記第２の記憶領域に対するアクセス権限の変更が可能との情報に基づいて、前記第２の記憶領域のうちの所定の記憶領域に対して、前記第２のストレージシステムに接続される第２の計算機からのアクセスを制限するよう指示するアクセス制限指示部と、
    前記アクセス制限指示に基づいて、前記第２の記憶領域内の前記所定の記憶領域に対して、前記第２の計算機からのアクセス制限を設定するアクセス制限設定部と、
    前記アクセス制限設定部によって、前記第２の計算機と、前記所定の記憶領域に対するアクセス可否を示す情報とが対応付けられる設定テーブルと、
    前記設定テーブルの更新に基づいて、前記アクセス制限指示部が、前記所定の記憶領域と、該所定の記憶領域に格納されたデータに対する前記第２の計算機からのライト要求を禁止するアクセス制限属性とを対応付けて管理する管理テーブルとを有することを特徴とする計算機システム。
13. 第１のストレージシステムと、第２のストレージシステムを有する計算機システムであって、
    前記第１のストレージシステム内の複数の記憶領域である第１の記憶領域と、前記第２のストレージシステム内の複数の記憶領域である第２の記憶領域とを有し、
    前記第１のストレージシステムは、
    前記第１の計算機からの前記第１の記憶領域に対する入出力要求を制御する第１の入出力処理部と、
    前記第２の記憶領域を当該第１のストレージシステムの記憶領域として、前記第１の入出力処理部を介して、前記第１の計算機に提供し、前記第１の入出力処理部を介した前記第２の記憶領域に対する入出力要求を制御する第２の入出力処理部と、
    前記第１および第２の記憶領域に格納された前記所定の単位のデータごとに、アクセス制限属性を付与して管理する属性管理部と、
    前記第２の記憶領域のうちの所定の記憶領域に対して、前記第２のストレージシステムに接続される第２の計算機からのアクセスを制限するよう、前記第２のストレージシステムに対して指示するアクセス制限指示部を有し、
    前記第２のストレージシステムは、
    前記アクセス制限指示部から受信した指示に基づいて、当該第２のストレージシステム内の前記所定の記憶領域に格納されるデータに対して、前記第２の計算機からのライト要求を禁止するアクセス制限設定部を有し、
    前記属性管理部は、前記アクセス制限設定部がライト要求を禁止するよう設定した前記所定の記憶領域に格納された前記所定の単位のデータに対して、それぞれ、前記アクセス制限属性を付与することを特徴とする計算機システム。
14. 請求項１３に記載の計算機システムであって、
    前記第２のストレージシステムは、
    前記第２の入出力処理部から送信された入出力要求に基づいて、前記第２の記憶領域のうちのいずれかの記憶領域に対する入出力要求を制御する第３の入出力処理部と、
    前記第２の記憶領域に対する前記第２の計算機からの入出力要求を制御する第４の入出力処理部を有することを特徴とする計算機システム。
15. 請求項１４に記載の計算機システムであって、
    前記第２のストレージシステムは、
    前記第２の記憶領域に対するリード要求およびライト要求のアクセス可否を識別する情報を格納する設定テーブルを有し、
    前記アクセス制限設定部は、前記作成部から受信した前記アクセス制限の指示に基づいて、前記所定の記憶領域に格納されたデータに対する前記第２の計算機からのライト要求を禁止するよう設定する場合、
    前記第４の入出力処理部からのライト要求を禁止するよう前記設定テーブルを更新することを特徴とする計算機システム。
16. 計算機と、前記計算機に接続される第１のストレージシステムと、前記第１のストレージシステムに接続される第２のストレージシステムを有する計算機システムであって、
    前記第１のストレージシステム内の複数の記憶領域である第１の記憶領域と、前記第２のストレージシステム内の複数の記憶領域である第２の記憶領域とを有し、
    前記計算機は、
    当該計算機を介して前記第１の記憶領域を使用する第１の計算機からの、該記憶領域内のファイル形式のデータに対する入出力要求をブロック形式のデータに対する入出力要求に変換する変換部を有し、
    前記第１のストレージシステムは、
    当該第１の記憶領域に対して、前記計算機が変換した前記ブロック形式のデータに対する入出力要求を制御する第１の入出力処理部と、
    当該第１のストレージシステムを介して前記計算機に提供される、前記第２の記憶領域に対して、前記計算機が変換した前記ブロック形式のデータに対する入出力要求を制御する第２の入出力処理部と、
    前記第２の記憶領域のうちの所定の記憶領域に対して、前記第２のストレージシステムに接続される第２の計算機からのアクセスを制限するよう、前記第２のストレージシステムに対して指示するアクセス制限指示部とを有し、
    前記第２のストレージステムは、
    前記アクセス制限指示部から受信した指示に基づいて、当該第２のストレージシステム内の前記所定の記憶領域に対して、前記第２の計算機からのアクセスを制限するアクセス制限設定部を有することを特徴とする計算機システム。
17. 請求項１６に記載の計算機システムであって、
    前記第２のストレージシステムは、
    前記第２の入出力処理部から送信された入出力要求に基づいて、前記第２の記憶領域のうちのいずれかの記憶領域に対する入出力要求を制御する第３の入出力処理部と、
    前記第２の記憶領域に対する前記第２の計算機からの入出力要求を制御する第４の入出力処理部を有することを特徴とする計算機システム。
18. 請求項１７に記載の計算機システムであって、
    前記第２のストレージシステムは、
    前記第２の記憶領域に対するリード要求およびライト要求のアクセス可否を識別する情報を格納する設定テーブルを有し、
    前記アクセス制限設定部は、前記作成部から受信した前記アクセス制限の指示に基づいて、前記所定の記憶領域に格納されたデータに対する前記第２の計算機からのライト要求を禁止するよう設定する場合、
    前記第４の入出力処理部からのライト要求を禁止するよう前記設定テーブルを更新する
    ことを特徴とする計算機システム。

Images