JP4892382B2 - 記憶装置及びデータ管理方法 - Google Patents

Description

本発明は記憶装置及びデータ管理方法に関し、特に記憶装置が提供する共有リソースの暗号化又は復号化を行う技術に関する。

計算機システムの大規模化に伴い、記憶装置同士間や記憶装置と計算機間等をファイバチャネル（Fibre Channel）のような記憶装置専用のネットワークで接続する、ストレージエリアネットワークが普及してきている。上記計算機システムでは、膨大化するデータの効率的な管理やデータの可用性を高めるための様々な技術が開発されている。

例えば、一つの記憶装置を複数の論理的な記憶資源（以下、ＳＬＰＲ：Storage management logical partition という）に分割してユーザに提供することで、計算機や管理計算機が、各ＳＬＰＲを物理的に異なる記憶装置として認識する技術がある（例えば特許文献１参照）。具体的に特許文献１では、記憶装置が備える複数の記憶領域や複数のポート等のリソースをそれぞれのＳＬＰＲに割当てる技術である。上記技術によれば、例えば企業の各部門にそれぞれＳＬＰＲを割当てて、計算機システムを部門毎に独立して管理させることが可能となる。

また他の技術として、記憶領域のデータを任意時点の状態に復元するための、スナップショットやＣＤＰ（Continuous Data Protection：継続的なデータの保護）といった技術がある（例えば特許文献２参照）。スナップショットとは、ある指定時点における記憶領域のデータイメージのことである。特許文献２では、複数の記憶領域間でデータを復元するために共有するジャーナルボリュームのような、共有リソースを使用する。共有リソースは、１又は複数の記憶領域からなる記憶領域である。記憶領域にあるデータを更新する際に、予め記憶領域に格納される更新前のデータを更新データとして共有リソースに格納する。共有リソースは、任意時点毎に区分した更新データ（世代の更新データ）を格納する。そして、更新データは記憶領域内のデータを復元することが必要になった際に使用される。例えば、管理者は所定のスナップショットに対して、共有リソース内に格納された更新データを復元したい時点まで取得しリストアを行う事で、任意時点時におけるデータに復元することが可能である。

さらに別の技術として、計算機システムのセキュリティを高めることを目的として記憶領域のデータを暗号化する技術がある。この技術により、データへの不正アクセス及びディスクが盗難された際のデータ漏洩を防止することが可能である。
特開２００５−１６５４４１号公報 特開２００５−２３５０５８号公報

しかしながら上述の技術によると、記憶装置が有する記憶領域やポート等のリソースを論理的に分割し各ＳＬＰＲへ割当てることが可能だが、共有リソース内に格納される更新データの論理分割については考慮されていない。

また、共有リソースを利用する記憶領域の構成が記憶装置を論理的に分割する等を契機に変更された場合、例えばある記憶領域が所属するＳＬＰＲが変更された場合等には、記憶領域の構成の変更を共有リソース内の更新データにも反映させる必要があるが、そのような方法については考慮されていない。

このため、格納されたデータの暗号化を行う記憶装置で論理的な分割を行う場合には、次のような問題が生じる。

まず、一つ目の問題として、次のような問題がある。

記憶装置を論理的に分割する前は、一つの暗号化鍵で記憶装置内の全ての記憶領域を暗号化しているとする。そして記憶装置を論理的に分割した後は、ＳＬＰＲごとに異なる管理者を設け独立して管理させる場合を考える。この場合、互いの管理者は自らが管理するＳＬＰＲ以外のＳＬＰＲで使用される暗号化鍵を知らないようにする必要があり、ＳＬＰＲごとに異なる暗号化鍵で記憶領域を暗号化することが考えられる。

しかし仮にＳＬＰＲごとに異なる暗号化鍵で記憶領域が暗号化されても、上述のように、共有リソース内の更新データを論理的に分割することについては考慮されていない。このため、共有リソース内の更新データは単一の暗号化鍵で暗号化されたままである。

即ち、記憶装置を論理的に分割するにあたり、一つの共有リソース内に異なるＳＬＰＲに所属する記憶領域の更新データがそれぞれ格納される場合であっても、共有リソース内の更新データは、ＳＬＰＲごとに異なる暗号化鍵で暗号化されない。したがって、一つの共有リソースが属するＳＬＰＲで使われる単一の暗号化鍵で共有リソース内の更新データが暗号化されるにとどまる、という問題が生じる。

二つ目の問題として、次のような問題がある。

例えば、記憶装置を論理的に分割することにより、記憶装置が第一のＳＬＰＲと第二のＳＬＰＲに論理的に分割され、共有リソースは第一のＳＬＰＲに所属するとする。また、共有リソース内には第一のＳＬＰＲ内の記憶領域の更新データと第二のＳＬＰＲ内の記憶領域の更新データとが混在しているとする。そして、第一のＳＬＰＲは管理者ａが管理し、第二のＳＬＰＲは管理者ｂが管理しているとする。

この場合、管理者ａのミスによって管理者ａが管理する第一のＳＬＰＲの暗号化鍵が漏洩すると、第一のＳＬＰＲ内のデータが漏洩するのみならず、管理者ａとは独立に計算機システムの運用管理を行っており、暗号化鍵の漏洩ミスをしていない管理者ｂの第二のＳＬＰＲ内のデータ（共有リソースに格納された、第二のＳＬＰＲに所属する記憶領域の更新データ）までもが漏洩してしまうという問題が生じる。

加えてこのような問題は、記憶装置の論理的な分割や論理的な結合の際に使用する暗号化鍵を変更する場合や、当該暗号化鍵を管理する管理者の変更の場合に限られず、共有リソースを利用する記憶領域の暗号化鍵を変更する場合や、当該暗号化鍵を管理する管理者を変更する場合にも生じる。

三つ目の問題として、次のような問題がある。

例えば、二つ目の問題を防ぐために、共有リソース自体の暗号化は行なわず、共有リソース内に、共有リソースを利用する各記憶領域の暗号化鍵を使用して暗号化した更新データを格納することを考える。この場合、共有リソース内には、ＳＬＰＲごとに（又は記憶領域ごとに）異なる暗号化鍵で暗号化された記憶領域の更新データがそれぞれ格納される。しかしながら、記憶領域の暗号化鍵を変更することによって、共有リソース内には暗号化鍵を変更した後の記憶領域の更新データと、暗号化鍵を変更する前の記憶領域の更新データとが混在してしまう可能性がある。

この場合、暗号化鍵を変更した後の記憶領域の更新データを、暗号化鍵を変更する前の記憶領域にリストアした場合や、暗号化鍵を変更する前の記憶領域の更新データを、暗号化鍵を変更した後の記憶領域にリストアした場合には、データを正しく復元することができないため、データが破壊されてしまうという問題が生じる。

このような問題は、記憶装置の論理的な分割や論理的な結合の際の暗号化鍵を変更する場合や当該暗号化鍵を管理する管理者の変更の場合に限られず、記憶領域に使用する暗号化鍵を更新する（re-key）際に伴って暗号化鍵を変更する場合にも生じる。

本発明は、上記の点を鑑みて考えられたものであり、記憶装置を論理的に分割又は結合することを契機として、記憶領域に使用される暗号化鍵が変更又は管理者が変更された場合であっても、共有リソースに格納される更新データのセキュリティを高めると同時に管理者が共有リソース内の更新データを正しく利用できる記憶装置及びデータ管理方法を提供することにある。

かかる課題を解決するため本発明は、計算機からのデータの入出力を制御する記憶装置において、計算機からのデータを記憶する論理ボリュームと、計算機からの次データを論理ボリュームに記憶するために、予め論理ボリュームに記憶されるデータを更新データとして記憶する共有リソースと、論理ボリュームに記憶されるデータ又は共有リソースに記憶される更新データを暗号化又は復号化する暗号化復号化部と、論理ボリュームに記憶されるデータを暗号化又は復号化するための鍵を変更し、論理ボリュームに記憶されるデータに使用した鍵の情報に基づいて、共有リソース内に記憶される更新データを暗号化又は復号化するための鍵を変更する鍵変更部と、を備えることを特徴とする。

この結果、論理ボリュームに使用される鍵の変更に伴って、記憶装置は、論理ボリュームに記憶されるデータの更新データを保存する共有リソース内の記憶領域に使用される鍵も変更することができる。

また、本発明は、計算機からのデータの入出力を制御する記憶装置のデータ管理方法において、計算機からのデータを論理ボリュームで記憶し、計算機からの次データを論理ボリュームに記憶するために、予め論理ボリュームに記憶されるデータを更新データとして共有リソースで記憶し、論理ボリュームに記憶されるデータ又は共有リソースに記憶される更新データを暗号化又は復号化する暗号化復号化ステップと、論理ボリュームに記憶されるデータを暗号化又は復号化するための鍵を変更し、論理ボリュームに記憶されるデータに使用した前記鍵の情報に基づいて、共有リソース内に記憶される更新データを暗号化又は復号化するための鍵を変更する鍵変更ステップと、を備えることを特徴とする。

この結果、論理ボリュームに使用される鍵の変更に伴って、記憶装置は、論理ボリュームに記憶されるデータの更新データを保存する共有リソース内の記憶領域に使用される鍵も変更することができる。

その他、記憶装置は管理計算機から自記憶装置の論理分割／論理結合要求を受信し自記憶装置の論理分割／論理結合を行う。記憶装置は論理分割／論理結合を行なうにあたり新たな鍵を生成し、ＳＬＰＲで使用する鍵を変更する。記憶装置は、ＳＬＰＲの鍵変更に伴って鍵変更される記憶領域が共有リソースを利用しているか確認する。当該記憶領域が共有リソースを利用している場合は、共有リソース内の当該記憶領域の更新データを鍵変更前の鍵で復号し、鍵変更後の新規鍵で再暗号化する。また記憶装置は、共有リソースを利用する記憶領域のうち鍵変更中のものに対して計算機から書き込み要求をうけた場合、書き込み場所の鍵変更状態を確認する。記憶装置は、当該鍵変更状態に応じて、記憶領域の更新データを復号化せずに暗号化されたまま、または、鍵変更前の鍵で復号化し鍵変更後の新規鍵で再暗号化して、共有リソース内に書き込む。さらに記憶装置は、鍵変更中の記憶領域に関して計算機からリストア要求を受信した場合は、当該記憶領域及び共有リソース内の当該記憶領域の更新データの鍵変更状態に応じたリストア処理を行なう。

本発明によれば、共有リソースに格納される記憶領域の更新データのセキュリティを高め、管理者が共有リソース内の更新データを正しく利用することができる。

以下、本発明の実施の形態を第１の実施の形態、第２の実施の形態及び第３の実施の形態として説明する。なお、以下に説明する実施の形態は一例であって、本発明はこれに限定されるものではない。また以下では、記憶装置を論理的に分割又は論理的に結合することをＳＬＰＲ分割又はＳＬＰＲ結合と称し、記憶領域を論理ボリュームＬＵ（Logical Unit）と称す。

（１） 第１の実施の形態
以下に、図１から図１９を用いて、第１の実施の形態を説明する。

（１−１） 物理的なシステム構成
図１は、本実施形態のシステム構成である。

１は、本実施の形態の計算機システムを示す。

本実施の形態の計算機システム１は、複数の計算機１０１がファイバチャネルスイッチ（以下、ＦＣスイッチと呼ぶ）４０１を介して記憶装置２０１Ａに接続され、記憶装置２０１Ａが管理計算機３０１と接続される構成である。

それぞれの計算機１０１は、ＣＰＵ１１０、メモリ１２０、ファイバチャネルインタフェース１３０（以下、ＦＣインタフェースと呼ぶ）を備える。メモリ１２０には、ＣＰＵ１１０が実行するプログラムや、記憶装置２０１Ａから読み出したデータ及び記憶装置２０１Ａに書き込むデータを保持する。

計算機１０１は、ＦＣインタフェース１３０を介してＦＣスイッチ４０１に接続される。

記憶装置２０１Ａは、ＦＣスイッチ４０１に接続されるＦＣインタフェース２３０（図中、ＦＣ Ｉ／Ｆと示す）、管理計算機３０１に接続される管理インタフェース２２０（図中、管理 Ｉ／Ｆと示す）、計算機１０１が利用するデータを保持するためのディスク装置２１１、ディスク装置２１１に接続されるディスクインタフェース２４０（図中、ディスク Ｉ／Ｆと示す）、記憶装置２０１Ａ内のプログラムを制御するためのＣＰＵ２２１、ＣＰＵ２２１が実行するプログラムや記憶装置２０１Ａを管理するための各種管理情報を保持するメモリ２２３、ＣＰＵ２２１とメモリ２２３との間のデータ転送や各インタフェース２２０、２３０、２４０とメモリ２２３との間のデータ転送等の各種データ転送を制御するブリッジ２２２を備える。

記憶装置２０１Ａは、ＦＣインタフェース２３０を介して計算機１０１からのＲｅａｄ／Ｗｒｉｔｅ要求を受け取り、要求されたデータをディスク装置２１１の記憶領域から提供される論理ボリュームＬＵから取得及び要求されたデータを論理ボリュームＬＵへ書き込みを、ディスクインタフェース２４０を介して行う。なお、記憶装置２０１Ａはデータの暗号化・復号化機能を備えている。計算機１０１からのＲｅａｄ／Ｗｒｉｔｅ要求受信時の記憶装置２０１Ａでのデータの暗号化・復号化の処理の詳細については後述する。また記憶装置２０１Ａは管理計算機３０１との間で、記憶装置２０１Ａを管理するための各種管理情報の送受信を、管理インタフェース２２０を介して行う。

なお、ＦＣインタフェース２３０、管理インタフェース２２０、ディスクインタフェース２４０は、それぞれ複数あってもよい。

管理計算機３０１は、記憶装置２０１Ａに接続される管理インタフェース３１０と、管理計算機３０１内の処理を行うＣＰＵ３１１と、ＣＰＵ３１１が実行するプログラムや管理インタフェース３１０が送受信するデータなどを保持するメモリ３１３と、を備える。

図２に、管理計算機３０１のメモリ３１３が備えるプログラムを示す。管理計算機３０１のメモリ３１３は、記憶装置２０１Ａの管理操作の実行を要求する記憶装置管理要求プログラム３１５を備える。ＣＰＵ３１１が記憶装置管理要求プログラム５１５を実行することで、記憶装置２０１Ａに対して論理ボリュームＬＵの作成や削除など、記憶装置２０１Ａの構成や状態を管理する操作の実行を要求することができる。

（１−２） 論理的なシステム構成
図３は、記憶装置２０１Ａの論理的なシステム構成を示す図である。以下、図３を用いて、記憶装置２０１ＡのＳＬＰＲ分割・ＳＬＰＲ結合の一例を示す。記憶装置２０１Ａは論理ボリュームＬＵ１〜ＬＵ３と共有リソース２１３を備える。共有リソース２１３内には、論理ボリュームＬＵ１の更新データと論理ボリュームＬＵ３の更新データが格納されている。

ここで更新データとは、論理ボリュームＬＵのある時点のスナップショット取得後に、論理ボリュームＬＵへのデータ書換えが生じる際に生じる、書換え前のデータのことである。

共有リソース２１３内では、スナップショット取得後の最初のデータ書換えで生じる更新データを１世代更新データ、次のデータ書換えで生じる更新データを２世代更新データとし、更新データの世代管理がなされている。共有リソース２１３は、１又は複数の論理ボリュームＬＵからなる記憶領域である。

また図示していないが、記憶装置２０１Ａは論理ボリュームＬＵ以外のリソース、例えば通信ポートやキャッシュメモリ等も備えるとする。

なお、記憶装置２０１Ａは図示する以外の論理ボリュームＬＵ及び共有リソースを備えていてもよい。

以下、図３の例での記憶装置２０１ＡのＳＬＰＲ分割・ＳＬＰＲ結合に伴う、記憶装置２０１Ａ内の構成変更の詳細について説明する。

記憶装置２０１ＡはＳＬＰＲ１とＳＬＰＲ２に論理的に分割される。これにあたり、記憶装置２０１Ａが備える論理ボリュームＬＵ１、ＬＵ２と共有リソース２１３はＳＬＰＲ１に割当てられ、論理ボリュームＬＵ３はＳＬＰＲ２に割当てられる。

そしてＳＬＰＲ１にはＳＬＰＲ１を管理する管理者が存在し、ＳＬＰＲ２にはＳＬＰＲ２管理者が存在する。各ＳＬＰＲ管理者は、自身に割り当てられたＳＬＰＲのリソースの範囲内で、ＳＬＰＲの管理を行う。ＳＬＰＲの管理とは、例えば論理ボリュームＬＵの容量設定や、計算機から論理ボリュームＬＵへアクセスするためのパスの設定等である。

記憶装置２０１Ａ全体を管理する全体管理者はＳＬＰＲ１とＳＬＰＲ２の管理が可能であり、例えばＳＬＰＲ１とＳＬＰＲ２の結合等が可能である。

なお、図示していないが、論理ボリュームＬＵ以外のリソース（通信ポートやキャッシュメモリ等）も記憶装置２０１ＡのＳＬＰＲ分割の際に何れかのＳＬＰＲへ分配される。

またＳＬＰＲ１とＳＬＰＲ２の結合に関しては、ＳＬＰＲ分割の逆の処理として行なわれる。

（１−３） メモリ内の各種プログラム及び各種情報
図４に、記憶装置２０１Ａのメモリ２２３が備えるプログラム及び情報を示す。記憶装置２０１Ａのメモリ２２３は、記憶装置管理プログラム２２５、鍵変更プログラム２２６、暗号化・復号化プログラム２２７、アカウント認証・認可プログラム２２８、リストア制御プログラム２２９、物理ディスク管理情報２４３、ＬＵ管理情報２４４、鍵情報２４５、鍵変更情報２４６、共有リソース内データ管理情報２４７、アカウント情報２４８、及び役割定義情報２４９を備える。

記憶装置管理プログラム２２５は、ＳＬＰＲ分割やＳＬＰＲ結合、論理ボリュームＬＵの新規作成・削除、アカウント情報の設定等、記憶装置２０１Ａの管理を行なう。

鍵変更プログラム２２６は、論理ボリュームＬＵのデータの暗号化・復号化に用いる鍵（以下、ＬＵの鍵という）の変更を行なう。ＬＵの鍵の変更は、例えば記憶装置２０１ＡのＳＬＰＲ分割やＳＬＰＲ結合によってある論理ボリュームＬＵの所属ＳＬＰＲが変更になった時等に、当該プログラムを用いて行なわれる。

暗号化・復号化プログラム２２７は、論理ボリュームＬＵや共有リソース２１３に書き込むデータの暗号化、また、論理ボリュームＬＵや共有リソース２１３に格納された暗号化データの復号化を行なう。なお、暗号化・復号化プログラム２２７に基づいた暗号化・復号化処理の詳細については後述する。

アカウント認証・認可プログラム２２８は、記憶装置２０１Ａに対して管理操作を要求する管理者が正当な管理者であるか、また、当該管理操作を行なう権限を当該管理者が有しているかの検証を行なう。

リストア制御プログラム２２９は、管理計算機３０１から受信したリストア要求を受けリストアに使用する論理ボリュームＬＵ及び共有リソース２１３内の当該論理ボリュームＬＵの更新データが鍵変更中であるか否かを判定して、当該鍵変更状態に応じたリストア処理を行なう。

物理ディスク管理情報２４３、ＬＵ管理情報２４４、鍵情報２４５、鍵変更情報２４６、共有リソース内データ管理情報２４７、アカウント情報２４８、及び役割定義情報２４９については、後述で説明する。

図５に、記憶装置２０１Ａのメモリ２２３が備える物理ディスク管理情報２４３を示す。

物理ディスク管理情報２４３は、記憶装置２０１Ａに備えられるディスク装置２１１を管理するための情報であり、当該情報には記憶装置２０１Ａ内の物理的な構成や配置に依存する物理的な管理情報が格納される。

物理ディスク管理情報２４３では、各ディスク装置２１１を特定するための「ディスク番号」フィールド２４３Ａ、各ディスク装置２１１の容量を示す「容量」フィールド２４３Ｂ、各ディスク装置２１１のＲＡＩＤ（Redundant Arrays of Inexpensive Disks）構成を示す「ＲＡＩＤ」フィールド２４３Ｃ、各ディスク装置２１１が所属する「ＲＡＩＤグループ番号」フィールド２４３Ｄが構成される。

なお、ＲＡＩＤグループとは、各ディスク装置２１１が有し、一つのＲＡＩＤを構成する複数のハードディスクドライブからなるグループである。

図６に、記憶装置２０１Ａのメモリ２２３が備えるＬＵ管理情報２４４を示す。

ＬＵ管理情報２４４は、複数のディスク装置２１１上に論理的に作成される複数の論理ボリュームＬＵを管理するための情報である。

ＬＵ管理情報２４４では、複数の論理ボリュームＬＵを特定するための「ＬＵ番号」フィールド２４４Ａ、各論理ボリュームＬＵを構成するディスク装置２１１を示す「ディスク番号」フィールド２４４Ｂ、各論理ボリュームＬＵの容量を示す「容量」フィールド２４４Ｃ、各ＬＵ２１２のＲＡＩＤ構成を示す「ＲＡＩＤ」フィールド２４４Ｄ、各論理ボリュームＬＵが所属するＳＬＰＲを示す「所属ＳＬＰＲ」フィールド２４４Ｅ、各論理ボリュームＬＵが共有リソース２１３を使用しているか否かを示す「共有リソースフラグ」フィールド２４４Ｆ、各論理ボリュームＬＵが鍵を変更中であるか否かを示す「変更状態」フィールド２４４Ｇが構成される。

例えば、図６に示すように、「共有リソースフラグ」フィールド２４４Ｆが「ＯＦＦ」の場合には、共有リソースを設定おらず、更新データが保存されていない状態を示す。一方、「共有リソースフラグ」フィールド２４４Ｆが「ＯＮ」の場合には、共有リソース２１３が設定されており、更新データが保存されている状態を示す。

「変更状態」フィールド２４４Ｇの「変更中（ブロック番号１０）」は、対象となる論理ボリュームＬＵ内のブロック１０番目までの鍵変更が終了していることを示している。

図６に示した論理ボリュームＬＵの作成例を、図７に示す。

論理ボリュームＬＵ１はＲＡＩＤグループ０を構成するディスク番号００１〜００５のディスク装置２１１上に作成される。論理ボルームＬＵ２も同様にＲＡＩＤグループ０を構成するディスク番号００１〜００５のディスク装置２１１上に作成される。そしてＬＵ３は、ＲＡＩＤグループ１を構成するディスク番号００６、００７のディスク装置２１１上に作成される。

図８に、記憶装置２０１Ａのメモリ２２３が備える鍵情報２４５を示す。

鍵情報２４５は、論理ボリュームＬＵの暗号化・復号化に使用する鍵の情報である。

鍵情報２４５は、ＳＬＰＲを示す「ＳＬＰＲ番号」フィールド２４５Ａと、当該ＳＬＰＲ内の論理ボリュームＬＵの暗号化・復号化に使用する鍵の「鍵番号」フィールド２４５Ｂ、鍵のデータ情報である「鍵データ」フィールド２４５Ｃ、ＳＬＰＲに所属する論理ボリュームＬＵで鍵変更中のものが存在するか否かを示す「変更状態」フィールド２４５Ｄから構成される。

なお、図８においてＳＬＰＲごとに鍵を設定しているが、ＬＵごとに鍵を設定してもよい。また、「変更状態」フィールド２４５Ｄが「変更中」のＳＬＰＲはＳＬＰＲ分割及び結合ができず、変更が終了してからＳＬＰＲの分割及び結合が可能となる。

図９に、記憶装置２０１Ａのメモリ２２３が備える鍵変更情報２４６を示す。

鍵変更情報２４６は、ＬＵの暗号化・復号化に使用する鍵を変更中であるか否かを示す情報である。

鍵変更情報２４６は、鍵変更を行う論理ボリュームＬＵの番号を示す「ＬＵ番号」フィールド２４６Ａ、論理ボリュームＬＵの鍵変更における変更前の鍵を示す「鍵（変更前）」フィールド２４６Ｂ、「鍵（変更前）」フィールド２４６Ｂの鍵番号を示す「鍵番号」フィールド２４６Ｂ１、「鍵（変更前）」フィールド２４６Ｂの鍵データを示す「鍵データ」フィールド２４６Ｂ２、当該論理ボリュームＬＵの鍵変更における変更後の鍵を示す「鍵（変更後）」フィールド２４６Ｃ、「鍵（変更後）」フィールド２４６Ｃの鍵番号を示す「鍵番号」フィールド２４６Ｃ１、「鍵（変更後）」フィールド２４６Ｃの鍵データを示す「鍵データ」フィールド２４６Ｃ２、当該論理ボリュームＬＵの鍵変更の状態を示す「変更状態」フィールド２４６Ｄから構成される。

なお、「変更状態」フィールド２４６Ｄが空欄の論理ボリュームＬＵは、当該論理ボリュ無ＬＵの鍵変更が完了済みまたは鍵変更が行なわれていないことを示す。また、「変更状態」フィールド２４６Ｄが「変更中」の論理ボリュームＬＵは、当該論理ボリュームＬＵの鍵が変更中であることを示す。具体的には、当該論理ボリュームＬＵのデータまたは共有リソース２１３内の当該論理ボリュームＬＵの更新データを、変更前の鍵と変更後の鍵とを使って変更中であることを示す。

図９には明記していないが、ある論理ボリュームＬＵに使用する鍵の変更が完了した場合、鍵（変更後）の「鍵番号」フィールド２４６Ｃ１の値を、鍵（変更前）の「鍵番号」フィールド２４６Ｂ１の欄に上書きして更新するため、鍵（変更後）の「鍵番号」フィールド２４６Ｃ１及び「変更状態」フィールド２４６Ｄは空欄となる。

例えばＬＵ番号３の論理ボリュームＬＵ３は、「変更状態」フィールド２４６Ｄが「変更中」であるため、当該論理ボリュームＬＵ３のデータ及び共有リソース２１３内の当該論理ボリュームＬＵの更新データを、変更前の鍵（鍵番号２４６Ｂ１が１の鍵）を使って復号し、変更後の鍵（鍵番号２４６Ｃ１が２の鍵）を使って再暗号化中であることを示す。

なお、「鍵番号」フィールド２４６Ｂ１及び「鍵番号」フィールド２４６Ｃ１内の値は、「鍵番号」フィールド２４５Ｂ内の値と対応しており、鍵番号が同じ鍵は同一の鍵であることを示している。

図１０に、記憶装置２０１Ａのメモリ２２３が備える共有リソース内データ管理情報２４７を示す。

共有リソース内データ管理情報２４７は、各共有リソース２１３に格納されている論理ボリュームＬＵの更新データを管理するための情報である。

共有リソース内データ管理情報２４７は、共有リソース２１３の番号を示す「共有リソース番号」フィールド２４７Ａ、当該共有リソース２１３が所属するＳＬＰＲの番号を示す「ＳＬＰＲ番号」フィールド２４７Ｂ、当該共有リソース２１３を使用する論理ボリュームＬＵの番号を示す「ＬＵ番号」フィールド２４７Ｃ、当該論理ボリュームＬＵが所属するＳＬＰＲの番号を示す「ＳＬＰＲ番号」フィールド２４７Ｄ、当該論理ボリュームＬＵの共有リソース２１３内の更新データの鍵変更の状態を示す「変更状態」フィールド２４７Ｅから構成される。

例えば、「変更状態」フィールド２４７Ｅが空欄の場合は、共有リソース２１３内の更新データの鍵変更が完了済み又は鍵変更が行なわれていないことを示す。また「変更状態」フィールド２４７Ｅが「変更中」の場合は、共有リソース２１３内の更新データが、変更前の鍵と変更後の鍵とを使って変更中であることを示す。例えばＬＵ番号３の論理ボリュームＬＵ３は、「変更状態」フィールド２４７Ｅ内が「変更中（ブロック番号５）」であるため、共有リソース２１３内の更新データ内のブロック番号５まで鍵変更が完了済みであることを示している。

図１１に、記憶装置２０１Ａのメモリ２２３が備えるアカウント情報２４８を示す。

アカウント情報２４８には、管理者のユーザＩＤ、パスワード、役割の情報が格納される。

アカウント情報２４８は、管理者が記憶装置２０１Ａに対して管理操作を行う際に使用する「ユーザＩＤ」フィールド２４８Ａ、「パスワード」フィールド２４８Ｂ、記憶装置２０１Ａにおいて管理者の操作権限を示す「役割」フィールド２４８Ｃを備える。

なお、アカウント情報２４８は、一つのユーザＩＤ２４８ａが複数の役割２４８ｃを有する形態であってもよい。役割の詳細については、図１１を用いて後述する。

なお、本実施例では管理者を識別するためのアカウント情報としてユーザＩＤ、パスワードを使用しているが、それ以外に記憶装置２０１Ａと管理計算機３０１との間でセッションを確立し、確立したセッションＩＤなどを使用してもよい。

図１２に、記憶装置２０１Ａのメモリ２２３が備える役割定義情報２４９を示す。

役割定義情報２４９は、記憶装置２０１Ａにおいて管理者の実行可能な操作を規定する情報である。

役割定義情報２４９は、「役割名」フィールド２４９Ａ、管理者が管理可能なＳＬＰＲを示す「ＳＬＰＲ」フィールド２４９Ｂ、管理者が管理可能な鍵を示す「鍵」フィールド２４９Ｃから構成される。ここで鍵の管理とは、鍵のバックアップや更新等、鍵に関する操作のことである。図１２において、例えばＳＬＰＲ１管理者はＳＬＰＲ１内のリソースの管理であるＳＬＰＲ１内の論理ボリュームＬＵの作成や、ＳＬＰＲ１内の論理ボリュームＬＵの暗号化・復号化に使用する鍵の参照や、論理ボリュームＬＵのバックアップが可能である。

また、役割をさらに細かく分離させてもよい。例えば、ＳＬＰＲ１管理者の役割を、ユーザＩＤ・パスワードの設定等のアカウント管理を行なうアカウント管理役割、論理ボリュームＬＵの作成等のストレージ管理を行なうストレージ管理役割に分離する等である。

図１２において、全体管理者は「ＳＬＰＲ」の「全て」及び「鍵」の「全て」において管理権限を有しているが、これらの権限を各ＳＬＰＲ管理者に委譲して全体管理者はこれらのリソースの管理権限を有さない運用としても良い。

（１−４） 鍵変更中でない論理ボリュームのＲｅａｄ／Ｗｒｉｔｅ処理
それでは次に、計算機１０１からＲｅａｄ／Ｗｒｉｔｅ要求を受信した記憶装置２０１Ａのデータの暗号化・復号化の処理を説明する。

まず、図１３に示すように、論理ボリュームＬＵに使用する鍵の変更処理を実行していない場合に、論理ボリュームＬＵに対して計算機１０１からＲｅａｄ／Ｗｒｉｔｅ要求を受信したフローチャートについて説明する。Ｒｅａｄ／Ｗｒｉｔｅ処理は、記憶装置２０１ＡのＣＰＵ２２１が暗号化・復号化プログラム２２７に基づいて実行する。

具体的にはまず、記憶装置２０１ＡのＣＰＵ２２１は、計算機１０１からデータのＲｅａｄ／Ｗｒｉｔｅ要求を受信するとＲｅａｄ／Ｗｒｉｔｅ処理を開始する（Ｓ１３０１Ａ）。計算機１０１から受信する情報には、計算機１０１が要求する操作がＲｅａｄ／Ｗｒｉｔｅの何れであるかを示す情報、Ｒｅａｄ／Ｗｒｉｔｅ要求先の論理ボリュームＬＵの情報、Ｗｒｉｔｅ要求の場合の書き込みデータ、が含まれる。

次にＣＰＵ２２１はステップＳ１３０１で受信した情報に基づいて、Ｒｅａｄ／Ｗｒｉｔｅ要求先の論理ボリュームＬＵを特定する（Ｓ１３０２）。そしてＣＰＵ２２１は、ＬＵ管理情報２４４を参照して、特定した論理ボリュームＬＵが所属するＳＬＰＲの特定を行なう（Ｓ１３０２）。またＣＰＵ２２１は、鍵情報２４５を参照して、特定したＳＬＰＲで使用する鍵の特定を行なう（Ｓ１３０２）。

次にＣＰＵ２２１は、ステップＳ１３０１で受信した計算機１０１からの要求がＲｅａｄ要求であるか、Ｗｒｉｔｅ要求であるかを判別する（Ｓ１３０３）。

ＣＰＵ２２１は、Ｒｅａｄ要求であると判別した場合(Ｓ１３０３:ＹＥＳ)、ステップＳ１３０２で特定した鍵を用いて、論理ボリュームＬＵ内に保存されている暗号化されたデータを復号する（Ｓ１３０８）。そしてＣＰＵ２２１は、復号化したデータを計算機１０１へ送信し（Ｓ１３０９）、この処理を終了する（Ｓ１３１１）。

一方、ステップＳ１３０３においてＣＰＵ２２１は、Ｗｒｉｔｅ要求であると判別した場合(Ｓ１３０３:ＮＯ)、ＬＵ管理情報２４４を参照して、Ｗｒｉｔｅ要求先の論理ボリュームＬＵが共有リソース２１３を使用しているか否か判別する（Ｓ１３０４）。

ステップＳ１３０４において、ＣＰＵ２２１は、Ｗｒｉｔｅ要求先の論理ボリュームＬＵが共有リソース２１３を使用していると判定した場合（Ｓ１３０４：ＹＥＳ）、計算機１０１から受信した書き込みデータをステップＳ１３０２で特定した鍵を用いて暗号化する。

そしてＣＰＵ２２１は、Ｗｒｉｔｅ要求先の論理ボリュームＬＵに暗号化したデータを書き込んでデータを更新する前に、予め論理ボリュームＬＵ内に保存されている更新前のデータを特定する(Ｓ１３０５)。

次にＣＰＵ２２１は、予め保存されている更新前のデータをＷｒｉｔｅ要求先の論理ボリュームＬＵから復号化しないまま読み取り、共有リソース２１３へ書き込む(Ｓ１３０６)。この書き込み処理により、共有リソース２１３内に保存される更新データが更新される。

そしてＣＰＵ２２１は、暗号化されたデータを、計算機１０１が指定するＷｒｉｔｅ要求先の論理ボリュームＬＵへ書き込むと（Ｓ１３０７）、この処理を終了する（Ｓ１３１１）。

一方、ステップ１３０４において、ＣＰＵ２２１は、Ｗｒｉｔｅ要求先の論理ボリュームＬＵが共有リソース２１３を使用していないと判定した場合(Ｓ１３０４:ＮＯ)、計算機１０１から受信した書き込みデータをステップＳ１３０２で特定した鍵を用いて暗号化し、Ｗｒｉｔｅ要求先の論理ボリュームＬＵに暗号化したデータを書き込むと（Ｓ１３１０）、この処理を終了する（Ｓ１３１１）。

なお、ステップＳ１３０６の他の形態として、次の形態が挙げられる。すなわち、ＣＰＵ２２１は、ステップＳ１３０５で更新される論理ボリュームＬＵ内のデータを、ステップＳ１３０２で特定した鍵を用いて復号化する。そしてＣＰＵ２２１は、復号化したデータを共有リソース２１３が所属するＳＬＰＲの鍵で再暗号化した後、暗号化したデータを共有リソース２１３に書き込む。この他の形態の場合、ＣＰＵ２２１は共有リソース２１３がどのＳＬＰＲに所属するかを示す管理情報を別途参照する必要がある。

（１−５） ＳＬＰＲ分割処理
次に、論理ボリュームＬＵに使用する鍵の変更処理を実行する場合に、論理ボリュームＬＵに対して暗号化・復号化処理を行うことについて説明する。論理ボリュームＬＵに使用する鍵の変更処理は、記憶装置２０１ＡがＳＬＰＲ分割・ＳＬＰＲ結合の際に行われる。

まず、記憶装置２０１ＡがＳＬＰＲ分割を行うことに伴って鍵の変更処理が行われる場合を、図１４に示すフローチャートに基づいて説明する。図１４では、記憶装置２０１ＡのＣＰＵ２２１が、記憶装置管理プログラム２２５、鍵変更プログラム２２６、暗号化・復号化プログラム２２７及びアカウント認証・認可プログラム２２８に基づいて実行する。

記憶装置２０１ＡのＣＰＵ２２１は、管理計算機３０１からＳＬＰＲ分割要求を受信すると、この処理を開始する（Ｓ１４０１）。例えば、ＣＰＵ２２１は、ＳＬＰＲ１とＳＬＰＲ２とに分割する要求を受信する。

なお、ステップＳ１４０１で管理計算機３０１から受信する情報には、管理計算機３０１を使用する管理者のユーザＩＤ情報とパスワード情報、当該管理者が要求する操作の内容（記憶装置２０１ＡのＳＬＰＲ１とＳＬＰＲ２への分割）が含まれる。

次に、ＣＰＵ２２１は、アカウント認証・認可プログラム２２８に基づいてアカウント情報２４８を参照する。そしてＣＰＵ２２１は、管理計算機３０１から受信したユーザＩＤ情報とパスワード情報が正当であるか否か、及び、管理計算機３０１からＳＬＰＲ分割要求を行った管理者が操作を行う権限を有しているか否かを判別する（Ｓ１４０２）。

ＣＰＵ２２１は、ユーザＩＤ情報とパスワード情報が正当であって、管理者が正当な管理者であると判定した場合には（Ｓ１４０２：ＹＥＳ）、記憶装置管理プログラム２２５に基づいて、ＳＬＰＲ分割を開始する（Ｓ１４０３）。

このフローチャートにおいてＳＬＰＲ分割とは、記憶装置２０１Ａの管理管轄を論理的に分割することであって、具体的には記憶装置２０１Ａが備える論理ボリュームＬＵやポート等のリソースをＳＬＰＲ毎（例えば、ＳＬＰＲ１又はＳＬＰＲ２）に割当て、それぞれのＳＬＰＲで割当てられたリソースを別個に管理できるようにすることである。

ＣＰＵ２２１は、鍵変更プログラム２２６に基づいて新規鍵の生成を行う（Ｓ１４０４）。加えてＣＰＵ２２１は、ＳＬＰＲ分割によって割当てられた論理ボリュームＬＵや論理ボリュームＬＵが使用する鍵の生成に伴って、ＬＵ管理情報２４４、鍵情報２４５、鍵変更情報２４６及び共有リソース内データ管理情報２４７を更新する（Ｓ１４０４）。

ここで、鍵情報２４５、鍵変更情報２４６及び共有リソース内データ管理情報２４７の更新の様子を図１６から図１８に示す。

まず図１６（Ａ）から（Ｃ）は、ＳＬＰＲ分割前・分割中・分割後における鍵情報２４５の様子を示している。

図１６（Ａ）の「ＳＬＰＲ番号」フィールド２４５Ａは「−」となっているため、記憶装置２０１Ａ内にＳＬＰＲが存在せず、ＳＬＰＲ分割が行われていないことを示している。また「鍵番号」フィールド２４５Ｂの値が「１」となっていることから、ＳＬＰＲ分割前における記憶装置２０１Ａでは全ての論理ボリュームＬＵ及び共有リソース２１３内の更新データに対して、鍵番号「１」の鍵を用いてデータの暗号化・復号化が行われていることを示している。さらに「変更状態」フィールド２４５Ｄが空欄のため、鍵変更中の論理ボリュームＬＵは存在しないことを示している。

図１６（Ｂ）の「ＳＬＰＲ番号」フィールド２４５Ａには、ＳＬＰＲ「１」とＳＬＰＲ「２」が存在することがわかる。またＳＬＰＲ１ではＳＬＰＲ分割前と同じ鍵（鍵番号２４５ｂが１の鍵）を使用しているのに対し、ＳＬＰＲ２ではＳＬＰＲ分割前と異なる新規鍵（鍵番号２４５ｂが２の鍵）を使用している。このことから、ＳＬＰＲ分割によって新規鍵の作成と鍵変更が行われていることがわかる。

鍵変更が行われるＳＬＰＲ２では、ＳＬＰＲ２内にある論理ボリュームＬＵの鍵変更が行われる。ここで、論理ボリュームＬＵの鍵変更とは、鍵変更情報２４６に基づいて、鍵変更が行われる前までに格納されている論理ボリュームＬＵ内のデータ、及び、論理ボリュームＬＵが共有リソース２１３を利用する場合に共有リソース２１３内にある論理ボリュームＬＵの更新データについて、変更前の鍵を使用して復号した後、変更後の鍵を使用して再暗号化してデータを更新することである。鍵を変更した後は、論理ボリュームＬＵのデータ及び共有リソース２１３内にある論理ボリュームＬＵの更新データは変更後の鍵を使って暗号化・復号化される。ＳＬＰＲ２の「変更状態」フィールド２４５Ｄは「変更中」であることから、ＳＬＰＲ２内に鍵を変更中の論理ボリュームＬＵが存在することがわかる。

そうして、ＳＬＰＲ２において鍵の変更が終了した場合、鍵情報２４５は図１６（Ｃ）の状態になる。

次に、図１７（Ａ）から（Ｃ）は、ＳＬＰＲ分割前・分割中・分割後における鍵変更情報２４６の様子を示している。

図１７（Ａ）では、「変更状態」フィールド２４６Ｄが、「空欄」のため、現時点において論理ボリュームＬＵに使用する鍵の変更は行われていないことを示している。

図１７（Ｂ）では、論理ボリュームＬＵ３の「変更状態」フィールド２４６Ｄは「変更中」であるため、鍵番号「１」の鍵から鍵番号「２」の鍵に変更中であることを示している。

そして鍵の変更を終了した後の鍵変更情報２４６は、図１７（Ｃ）のようになる。

次に、図１８（Ａ）から（Ｃ）は、ＳＬＰＲ分割前・分割中・分割後における共有リソース内データ管理情報２４７の様子を示している。

図１８（Ａ）では、論理ボリュームＬＵ「１」及びＬＵ「３」が共有リソース「１」を利用していることを示している。また論理ボリュームＬＵ１及びＬＵ３の「変更状態」フィールド２４７Ｅは、「空欄」となっており、現在共有リソース２１３内にあるＬＵ１及びＬＵ３の更新データの鍵変更は行われていないことを示している。

図１８（Ｂ）では、論理ボリュームＬＵ３の「変更状態」フィールド２４７Ｅが「変更中（ブロック番号５）」であるため、共有リソース２１３内にある論理ボリュームＬＵ３の更新データの５番目のブロックまで鍵の変更が完了済みであることを示している。鍵の変更が終了した後の共有リソース内データ管理情報２４７は、図１８（Ｃ）に示す状態になる。

次にＣＰＵ２２１は、共有リソース内データ管理情報２４７を参照して、鍵の変更が行われる論理ボリュームＬＵが共有リソース２１３を使用しているか否か判定する（Ｓ１４０５）。

そしてＣＰＵ２２１は、鍵の変更が行なわれる論理ボリュームＬＵが共有リソース２１３を使用していると判定した場合には（Ｓ１４０５:ＹＥＳ）、鍵変更情報２４６を参照して、ＳＬＰＲ分割前まで共有リソース２１３内に格納された論理ボリュームＬＵの更新データを、変更前の鍵で復号化し、変更後の鍵で再暗号化する（Ｓ１４０６）。

例えば、論理ボリュームＬＵ３は共有リソース２１３を使用しており、ＳＬＰＲ分割によって図１７（Ｂ）に示すように鍵変更されるため、共有リソース２１３内の論理ボリュームＬＵ３の更新データは、鍵番号が「１」の鍵で復号化され、鍵番号が「２」の鍵で再暗号化される。

ＣＰＵ２２１は、鍵の変更が行なわれる論理ボリュームＬＵが共有リソース２１３を使用していないと判定した場合（Ｓ１４０５:ＮＯ）又はステップＳ１４０６の処理を実行した場合に、鍵変更情報２４６を参照して、論理ボリュームＬＵのデータを変更前の鍵で復号化し、変更後の鍵で再暗号化する（Ｓ１４０７）。

例えば論理ボリュームＬＵ３のデータは、図１７（Ｂ）に示す鍵変更情報２４６に基づき、鍵番号が「１」の鍵で復号化され、鍵番号が「２」の鍵で再暗号化される。

なお、本フローチャートでは、ステップＳ１４０６の後にステップＳ１４０７を行なっているが、両ステップを並列して行なうフローチャートとしても良い。またステップＳ１４０６で鍵の変更処理が終了した場合、論理ボリュームＬＵの「変更状態」フィールド２４７Ｅは「変更中」から「空欄」へ更新され、ステップＳ１４０７での鍵の変更処理が終了した場合、論理ボリュームＬＵの「変更状態」フィールド２４４Ｇは「変更中」から「空欄」へ更新される。

次にＣＰＵ２２１は、論理ボリュームＬＵに使用する鍵の変更を終了した後、鍵の変更をした論理ボリュームＬＵの鍵変更情報２４６を更新する（Ｓ１４０８）。具体的には、鍵変更情報２４６の「鍵（変更後）」フィールド２４６Ｃの鍵情報を、「鍵（変更前）」フィールド２４６Ｂの鍵情報に上書きし、「鍵（変更後）」フィールド２４６Ｃ及び「変更状態」フィールド２４６Ｄを「空欄」にする。

引き続きＣＰＵ２２１は、鍵情報２４５を更新する（Ｓ１４０８）。具体的には、ステップＳ１４０４の処理後の鍵情報２４５において、ＳＬＰＲ内の全ての論理ボリュームＬＵに使用する鍵の変更を終了した後、「変更状態」フィールド２４５Ｄを「変更中」から「空欄」にする（Ｓ１４０９）。

ＣＰＵ２２１は、ステップＳ１４０９の処理が終了すると、ＳＬＰＲ分割の処理を終了する（Ｓ１４１０）。

なお、ステップＳ１４０２において、ＣＰＵ２２１は、各種の情報が正当でなく、管理者が正当な管理者でないと判定した場合には（Ｓ１４０２：ＮＯ）、ＳＬＰＲ分割の処理を終了する（Ｓ１４１０）。

（１−６） ＳＬＰＲ結合処理
次に、記憶装置２０１ＡのＣＰＵ２２１がＳＬＰＲ結合を行うことに伴って鍵の変更処理が行われる場合を、図１５に示すフローチャートに基づいて説明する。図１５では、図１４と同様に、記憶装置２０１ＡのＣＰＵ２２１が、記憶装置管理プログラム２２５、鍵変更プログラム２２６、暗号化・復号化プログラム２２７及びアカウント認証・認可プログラム２２８に基づいて実行する。

なお、ＳＬＰＲ結合処理のステップ処理において、上述したＳＬＰＲ分割処理と同様のステップ処理の場合には、詳細な説明は省略する。

まず、ＣＰＵ２２１は、管理計算機３０１からＳＬＰＲ結合要求を受信すると、ＳＬＰＲ結合処理を開始する（Ｓ１５０１）。例えば、ＣＰＵ２２１は、ＳＬＰＲ１とＳＬＰＲ２とを結合する要求を管理計算機３０１から受信する。

このフローチャートにおいてＳＬＰＲ結合とは、記憶装置２０１Ａの管理管轄を論理的に結合することであって、具体的にはＳＬＰＲ毎に別個独立に管理されていた論理ボリュームＬＵやポート等のリソースを、結合するＳＬＰＲ毎又は記憶装置２０１Ａ全体に割当て、結合単位でリソースを管理できるようにすることである。

そして、ＣＰＵ２２１は、アカウント認証・認可プログラム２２８を用いて、ステップＳ１５０１の操作を要求する管理者を認証し、管理者が操作を行う権限を有しているか判別する（Ｓ１５０２）。

ステップＳ１５０２において、ＣＰＵ２２１は、管理者が正当な管理者であり記憶装置２０１Ａへの操作を行う権限を有していると判定した場合には（Ｓ１５０２：ＹＥＳ）、ＣＰＵ２２１は、記憶装置管理プログラム２２５を用いてＳＬＰＲ結合を開始する（Ｓ１５０３）。

次にＣＰＵ２２１は、鍵変更プログラム２２６を用いて、ＳＬＰＲ結合によって生じる鍵の変更を行い、ＬＵ管理情報２４４、鍵情報２４５、鍵変更情報２４６及び共有リソース内データ管理情報２４７を更新する（Ｓ１５０４）。

ここで、本ステップＳ１５０４における、鍵情報２４５、共有リソース内データ管理情報２４７と鍵変更情報２４６の更新の模様を図１６、図１７、図１８を用いて説明する。

図１６、図１７、図１８の共通の事項として、各図（Ｃ）はＳＬＰＲ結合前の状態、各図（Ｂ）はＳＬＰＲ結合中の状態、各図（Ａ）はＳＬＰＲ結合後の状態を示している。

なお、本ＳＬＰＲ結合処理では、図１６（Ｃ）と図１６（Ａ）とを比較してわかるように、ＳＬＰＲ２についてのみ鍵番号が「２」から「１」に鍵の変更が行なわれ、それに伴いＳＬＰＲ２に所属していた論理ボリュームＬＵ３のみに使用する鍵の変更が行なわれる。

鍵情報２４５の更新については、ＳＬＰＲ結合前は図１６（Ｃ）に示すように、ＳＬＰＲ１、ＳＬＰＲ２の「変更状態」フィールド２４５Ｄは「空欄」である。そしてＣＰＵ２２１がＳＬＰＲ結合を実行すると、図１６（Ｂ）に示すように「変更状態」フィールド２４５Ｄは「変更中」となる。そしてＳＬＰＲ２の鍵変更が終了してＳＬＰＲ結合が終了すると、鍵情報２４５は図１６（Ａ）に示す状態になる。

次に鍵変更情報２４６については、図１７（Ｃ）に示すように、ＳＬＰＲ結合前の初期状態では、論理ボリュームＬＵ３の「鍵（変更後）」フィールド２４６Ｃにある「鍵番号」フィールド２４６Ｃ１、「鍵データ」フィールド２４６Ｃ２及び「変更状態」フィールド２４６Ｄが空欄である。ＣＰＵ２２１が、ＳＬＰＲ結合を実行すると、論理ボリュームＬＵ３の「鍵（変更後）」フィールド２４６Ｃに、図１６（Ａ）の鍵番号「１」の情報がセットされ、「変更状態」フィールド２４６Ｄが「変更中」となる。そして論理ボリュームＬＵ３の鍵の変更が終了すると、鍵変更情報２４６は図１７（Ａ）のようになる。

次に、共有リソース内データ管理情報２４７については、図１８（Ｃ）に示すように、ＳＬＰＲ結合前の初期状態では論理ボリュームＬＵ３の「変更状態」フィールド２４７Ｅが「空欄」である。ＣＰＵ２２１がＳＬＰＲ結合を実行すると、図１８（Ｂ）に示すように「変更状態」フィールド２４７Ｅは「変更中（ブロック番号５）」となる。そして共有リソース２１３内の論理ボリュームＬＵ３の更新データに使用する鍵の変更処理が終了すると、共有リソース内データ管理情報２４７は図１８（Ａ）のようになる。

ＣＰＵ２２１は、共有リソース内データ管理情報２４７を参照して、鍵変更が行われる論理ボリュームＬＵが共有リソース２１３を使用しているか否か判定する（Ｓ１５０５）。

ＣＰＵ２２１は、鍵変更が行なわれる論理ボリュームＬＵが共有リソース２１３を使用していると判定した場合には（Ｓ１５０５：ＹＥＳ）、鍵変更情報２４６を参照して、ＳＬＰＲ結合前までに共有リソース２１３内に格納された論理ボリュームＬＵの更新データを、変更前の鍵で復号化し、変更後の鍵で再暗号化する（Ｓ１５０６）。

次に、ＣＰＵ２２１は、鍵変更が行なわれる論理ボリュームＬＵが共有リソース２１３を使用していないと判定した場合には（Ｓ１５０５：ＮＯ）、又はステップＳ１５０６を実行した場合、鍵変更情報２４６を参照して、論理ボリュームＬＵのデータを、変更前の鍵で復号化し、変更後の鍵で再暗号化する（Ｓ１５０６）。

なお、本フローチャートではステップＳ１５０６の後にステップＳ１５０７を行なっているが、両ステップを並列して行なうフローチャートとしても良い。

またステップＳ１５０６での鍵の変更処理が終了した場合、ＬＵの「変更状態」フィールド２４７Ｅは「変更中」から「空欄」へ更新され、ステップＳ１５０７での鍵の変更処理が終了した場合、ＬＵの「変更状態」フィールド２４４Ｇは「変更中」から「空欄」へ更新される。

次にＣＰＵ２２１は、論理ボリュームＬＵに使用する鍵の変更を終了した後、鍵変更情報２４６を更新する（Ｓ１５０８）。具体的にＣＰＵ２２１は、鍵変更情報２４６を参照し、論理ボリュームＬＵに使用した「鍵（変更後）」フィールド２４６Ｃの情報を「鍵（変更前）」フィールド２４６Ｂに上書きし、「鍵（変更後）」フィールド２４５Ｃ及び「変更状態」フィールド２４６Ｄを「空欄」にする。

またＣＰＵ２２１は、ＳＬＰＲ内の全ての論理ボリュームＬＵに使用する鍵の変更を終了した後、鍵情報２４５を更新する（Ｓ１５０９）。具体的には、ＣＰＵ２２１は、ステップＳ１５０４４において「変更状態」フィールド２４５Ｄが「変更中」となっているＳＬＰＲにおいて、ＳＬＰＲ内の全ての論理ボリュームＬＵに使用する鍵の変更を終了した後、「変更状態」フィールド２４５Ｄを「空欄」にする（Ｓ１５０９）。

ＣＰＵ２２１は、ステップＳ１５０９の処理を終了すると、ＳＬＰＲ結合の処理を終了する（Ｓ１５１０）。

なお、ステップＳ１５０２において、ＣＰＵ２２１は、各種の情報が正当でなく、管理者が正当な管理者でないと判定した場合には（Ｓ１５０２：ＮＯ）、ＳＬＰＲ結合の処理を終了する（Ｓ１５１０）。

（１−７） 鍵変更中のＬＵについての共有リソースへの新規書き込み処理
次に記憶装置２０１ＡのＣＰＵ２２１が論理ボリュームＬＵにあるデータに使用する鍵の変更を実行中に、計算機１０１から鍵を変更中の論理ボリュームＬＵへのＷｒｉｔｅ要求を受信した場合の共有リソース２１３への新規書き込み処理について、図１９を用いて説明をする。

なお、鍵の変更を実行していない論理ボリュームＬＵに対し計算機１０１からのＷｒｉｔｅ要求を受信した場合の処理は、図１３のフローチャートで既に説明済みである。

新規書き込み処理は、記憶装置２０１ＡのＣＰＵ２２１が暗号化・復号化プログラム２２７に基づいて実行する。

ＣＰＵ２２１は、鍵を変更中の論理ボリュームＬＵに対し、計算機からＷｒｉｔｅ要求を受信すると、この新規書き込み処理を開始する（Ｓ１９０１）。

ここで鍵を変更中の論理ボリュームＬＵとは、ＬＵ管理情報２４４の「変更状態」フィールド２４４Ｇ、鍵変更情報２４６の「鍵（変更後）」２４６フィールドＣ及び「変更状態」フィールド２４６Ｄを更新している状態をいう。

ＣＰＵ２２１は、計算機１０１からＷｒｉｔｅ要求を受信すると、Ｗｒｉｔｅ要求先の論理ボリュームＬＵに該当する鍵変更情報２４６とＬＵ管理情報２４４の「変更状態」フィールド２４４Ｇを特定する（Ｓ１９０２）。

次に、ＣＰＵ２２１は、計算機１０１から受信したデータを変更後の鍵で暗号化し、この暗号化されたデータを論理ボリュームＬＵに書き込むにあたり、書き込み予定である論理ボリュームＬＵのブロックは、鍵の変更済みか否か判定する（Ｓ１９０３）。

なお、本ステップでの判定は、ＣＰＵ２２１が、計算機１０１から要求される書き込み予定のブロック番号と、現在論理ボリュームＬＵのどのブロックまで鍵の変更が終了済みかを示す「変更状態」フィールド２４４Ｇのブロック番号とを比較して判定する。ＣＰＵ２２１は、書き込み予定のブロック番号が「変更状態」フィールド２４４Ｇのブロック番号より小さな番号である場合に、書き込み予定である論理ボリュームＬＵのブロックは、鍵の変更済みと判定する。

ＣＰＵ２２１は、書き込み予定である論理ボリュームＬＵのブロックが鍵の変更済みであると判定した場合には（Ｓ１９０３：ＹＥＳ）、計算機１０１からのデータを書き込む前の状態の論理ボリュームＬＵに保存されるデータを復号化しないまま更新データとして共有リソース２１３に書き込み、計算機１０１からの書き込みデータを暗号化して、暗号化したデータを論理ボリュームに書き込む（Ｓ１９０４）。

ＣＰＵ２２１は、書き込み予定のブロックが鍵の変更済みでないと判定した場合（にはＳ１９０３：ＮＯ）、書き込み予定のブロックは鍵の変更済みと鍵の未変更の両方の状態を含むか否か判定する（Ｓ１９０５）。

ここで、書き込み対象の論理ボリュームＬＵ内において、１から１００ブロックまでのブロック範囲がある場合を考える。例えば、両方の状態とは、１ブロックから４５ブロックまでの範囲では鍵の変更済み処理が終了しているが、４６ブロックから１００ブロックまでの範囲では鍵の変更が未処理である状態をいう。

ＣＰＵ２２１は、書き込み予定のブロックが鍵変更済みと鍵未変更の両方を含むと判定した場合（Ｓ１９０５：ＹＥＳ）、一定時間待機した後(Ｓ１９０６)、再びステップＳ１９０３へ戻る。

一方、ＣＰＵ２２１は、書き込み予定のブロックが鍵変更済みと鍵未変更の両方は含んでいないと判定した場合（Ｓ１９０５：ＮＯ）、すなわち、全てのブロックが前記鍵の未変更ブロックであると判定した場合には、計算機１０１からのデータを書き込む前の状態の論理ボリュームＬＵに保存されるデータを変更前の鍵で復号化し、変更後の鍵で暗号化して共有リソースに書き込む（Ｓ１９０７）。

その後、ＣＰＵ２２１は、計算機１０１から受信したデータを変更前の鍵で暗号化し、暗号化されたデータを論理ボリュームＬＵに書き込むと（Ｓ１９０８）。新規書き込み処理を終了する（Ｓ１９０９）。

なお本フローチャートでは、鍵の変更に伴って保存される論理ボリュームＬＵ内の暗号化されたデータについては、共有リソース２１３内へ新規に書き込みを行なわない。これは、鍵の変更に伴って保存される論理ボリュームＬＵ内の暗号化されたデータを共有リソース２１３内に書き込む場合、暗号化鍵が異なるだけで復号化時に同じ内容となるデータを二重に書き込まないためである。これにより、共有リソース２１３の圧迫を防止することができる。

但し、本実施の形態は図１９のフローチャートに限定されず、共有リソース２１３に十分な容量を確保できる場合、鍵の変更に伴って保存される論理ボリュームＬＵ内の暗号化されたデータを共有リソース２１３内に新規書き込むフローチャートとしてもよい。

（１−８） 鍵変更中の論理ボリュームＬＵについてのリストア処理
次に、共有リソース２１３を使用する論理ボリュームＬＵの鍵を変更中に、管理計算機３０１が論理ボリュームＬＵに対してリストア要求をした場合に、記憶装置２０１ＡのＣＰＵ２２１が、リ共有リソース２１３内にあるストア対象の論理ボリュームＬＵの更新データを論理ボリュームＬＵにリストアして、論理ボリュームＬＵ内のデータを復元する場合の、リストア処理のフローチャートについて説明する。リストア処理のフローチャートは、図２０及び図２１を用いて説明する。

リストア処理は、ＣＰＵ２２１がリストア制御プログラム２２９及び暗号化・復号化プログラム２２７に基づいて実行する。

なお、以下では論理ボリュームＬＵの鍵変更に伴う論理ボリュームＬＵのデータ自体の変更処理については、上述で説明済みのため省略する。また本フローチャートでは、共有リソース内データ管理情報２４７や鍵変更情報２４６の更新方法の詳細については、既にＳＬＰＲ分割・ＳＬＰＲ結合処理等で説明済みのため省略する。

まず記憶装置２０１ＡのＣＰＵ２２１は、管理計算機３０１から鍵を変更中の論理ボリュームＬＵ内のデータに対してリストア要求を受信するとリストア処理を開始する（Ｓ２００１）。

鍵の変更とは、リストア対象の論理ボリュームＬＵに使用する鍵の変更と、鍵を変更する論理ボリュームＬＵに対応する共有リソース２１３内の更新データに使用する鍵の変更と、を実行することをいう。具体的には、ＣＰＵ２２１が共有リソース内データ管理情報２４７と論理ボリュームＬＵの鍵変更情報２４６を更新する。

次に、ＣＰＵ２２１は、リストア要求先（リストア対象）の論理ボリュームＬＵの鍵変更情報２４８、ＬＵ管理情報２４４の「変更状態」フィールド２４４Ｇ及び共有リソース内データ管理情報２４７の「変更状態」フィールド２４７Ｅを特定する（Ｓ２００２）。

そして、ＣＰＵ２２１は、ステップＳ１８０２で取得した情報に基づいて、リストア要求先の論理ボリュームＬＵ内のデータに使用する鍵の変更は終了済みであり、かつ、リストア要求先の論理ボリュームＬＵに対応する共有リソース２１３内の更新データに使用する鍵の変更も終了済みであるか否かを判定する（Ｓ２００３）。

なお、リストア要求先の論理ボリュームＬＵとは、ある時点における論理ボリュームＬＵをいう。ある指定時点における論理ボリューム内には複製データが保存されている。このような複製データは定期的に取得される。ある時点での論理ボリュームＬＵに共有リソース２１３内の更新データを上書きすることで、任意の時点における論理ボリュームＬＵのデータを復元することができる。

ＣＰＵ２２１は、リストア要求先の論理ボリュームＬＵ及びこの論理ボリュームＬＵに対応する共有リソース２１３内の更新データに使用する鍵の変更が終了済みであると判定した場合（Ｓ２００３：ＹＥＳ）、リストア要求先の論理ボリュームＬＵに、共有リソース２１３内にある更新データをリストアし、データを復元する（Ｓ２００８）。

一方、ＣＰＵ２２１は、リストア要求先の論理ボリュームＬＵ及びこの論理ボリュームＬＵに対応する共有リソース２１３内の更新データに使用する鍵の変更が終了済みではないと判定した場合（Ｓ２００３：ＮＯ）、リストア要求先の論理ボリュームＬＵに使用する鍵の変更は終了済みであり、かつ、この論理ボリュームＬＵに対応する共有リソース２１３に使用する鍵は変更中か否かを判定する（Ｓ２００４）。

ＣＰＵ２２１は、リストア要求先の論理ボリュームＬＵに使用する鍵の変更は終了済みであり、かつ、この論理ボリュームＬＵに対応する共有リソース２１３の更新データに使用する鍵は変更中であると判定した場合（Ｓ２００４：ＹＥＳ）、引き続き、更新データには更新データに使用する鍵の変更済み部分と鍵の未変更部分との両方を含むか否かを判定する（Ｓ２００５）。

ＣＰＵ２２１は、新データには更新データに使用する鍵の変更済み部分と鍵の未変更部分との両方を含むと判定した場合には（Ｓ２００５：ＹＥＳ）、一定時間待機した後（Ｓ２００６）、再びステップＳ２００３に戻る。

一方、ＣＰＵ２２１は、更新データには更新データに使用する鍵の変更済み部分と鍵の未変更部分との両方を含まないと判定した場合には（Ｓ２００５：ＮＯ）、すなわち全てのブロックが前記鍵の未変更ブロックであると判定した場合には、更新データを変更前の鍵で復号化し、変更後の鍵で暗号化する（Ｓ２００７）。その後、ＣＰＵ２２１は、ステップＳ２００８の処理を行ってデータを復元すると、リストア処理を終了する（Ｓ２０１４）。

ステップＳ２００４において、ＣＰＵ２２１は、リストア要求先の論理ボリュームＬＵに使用する鍵の変更は終了済みではなく、かつ、この論理ボリュームＬＵに対応する共有リソース２１３の更新データに使用する鍵は変更中ではないと判定した場合（Ｓ２００４：ＮＯ）、引き続き、ＣＰＵ２２１は、リストア要求先の論理ボリュームＬＵに使用する鍵は変更中であり、かつ、この論理ボリュームＬＵに対応する共有リソース２１３の更新データに使用する鍵の変更は終了済みか否かを判定する（Ｓ２００９）。

ＣＰＵ２２１は、リストア要求先の論理ボリュームＬＵに使用する鍵は変更中であり、かつ、この論理ボリュームＬＵに対応する共有リソース２１３の更新データに使用する鍵の変更は終了済みであると判定した場合（Ｓ２００９：ＹＥＳ）、リストア要求先の論理ボリュームＬＵに使用する鍵の変更が終了した後、リストア要求先の論理ボリュームＬＵに共有リソース２１３内の更新データをリストアしデータを復元して（Ｓ２０１３）この処理を終了する（Ｓ２０１４）。

一方、ＣＰＵ２２１は、リストア要求先の論理ボリュームＬＵに使用する鍵は変更中ではなく、かつ、この論理ボリュームＬＵに対応する共有リソース２１３の更新データに使用する鍵の変更は終了済みではないと判定した場合（Ｓ２００９：ＮＯ）、更新データには更新データに使用する鍵の変更済み部分と鍵の未変更部分との両方を含むか否かを判定する（Ｓ２０１０）。

そうして、ＣＰＵ２２１は、ステップＳ２０１０からＳ２０１３までの処理を、ステップＳ２００５からＳ２００８までの処理と同様の手順で実行し、この処理を終了する（Ｓ２０１４）。

（１−９） 第１の実施の形態の効果
本実施の形態によれば、記憶装置が、ＳＬＰＲ分割又はＳＬＰＲ結合によって生じる論理ボリュームＬＵに使用する鍵の変更、鍵の変更中に共有リソース内に保存される更新データの書き込み処理、及び、鍵を変更中の論理ボリュームＬＵの更新データを使用したリストア処理を行なうことができる。

本実施の形態によれば、共有リソース内に論理ボリュームの更新データを保存し、論理ボリュームの鍵と共有リソースに使用する鍵とを対応付けて管理するため、更新データのセキュリティを高めることができる。

また、本実施の形態によれば、管理者が正しく論理ボリュームＬＵの更新データを利用することができる。

（２） 第２の実施の形態
次に、第２の実施の形態による計算機システムについて、以下に説明する。図１の１０は、第２の実施の形態の計算機システムである。第２の実施の形態では、第１の実施の形態と同じ構成には同一の符号を付す。第２の実施の形態の説明では、第１の実施の形態と異なる構成についてのみ説明をする。

本実施の形態と第１の実施の形態との差異は、第１の実施の形態の記憶装置２０１ＡではＳＬＰＲ分割又はＳＬＰＲ結合後も従来の鍵を使用しているＳＬＰＲが存在するのに対し、本実施の形態の記憶装置２０１ＢではＳＬＰＲ分割又はＳＬＰＲ結合にあたっては従来の鍵を破棄し、全てのＳＬＰＲに対して新規な鍵の割当て、従来鍵から新規鍵への変更を行なう点にある。

（２−１） ＳＬＰＲ分割処理
まず図２２において、第２の実施の形態におけるＳＬＰＲ分割処理について説明する。第２の実施の形態におけるＳＬＰＲ分割処理は、記憶装置２０１ＢのＣＰＵ２２１が、記憶装置管理プログラム２２５、鍵変更プログラム２２６、暗号化・復号化プログラム２２７及びアカウント認証・認可プログラム２２８に基づいて実行する。

具体的には、ＣＰＵ２２１が、ステップＳ２２０１からＳ２２０３の処理をＳ１４０１からＳ１４０３の処理と同様の手順で実行する。

次に、ＣＰＵ２２１は、鍵変更プログラム２２６に基づいて、各ＳＬＰＲに対して新規鍵の生成を行い、各ＳＬＰＲの鍵変更を行なう(Ｓ２２０４)。

鍵の変更については、図２３を用いて説明をする。

図２３（Ａ）はＳＬＰＲ分割前の鍵情報２４５である。そして図２３（Ｂ）はＳＬＰＲ分割後の鍵情報２４５である。

ここで、ＣＰＵ２２１は、記憶装置２０１ＢをＳＬＰＲ１とＳＬＰＲ２に分割する。この分割処理にあたり、ＳＬＰＲ１に対しては鍵番号が「２」の新規鍵を割当て、ＳＬＰＲ２に対しては鍵番号が「３」の新規鍵を割当て、各ＳＬＰＲの鍵変更を行なう。記ＣＰＵ２２１は、鍵の変更を終了すると、従来使用していた鍵（鍵番号が「１」の鍵）を破棄する。

その後、ＣＰＵ２２１は、ステップＳ２２０５からＳ２２１０までの処理をＳ１４０５からＳ１４１０の処理と同様の手順で実行して、ＳＬＰＲ分割処理を終了する。

（２−２） ＳＬＰＲ結合処理
次に、記憶装置２０１ＢのＣＰＵ２２１がＳＬＰＲ結合を行うことに伴って鍵の変更処理が行われる場合を、図２４に示すフローチャートに基づいて説明する。図２４では、図２２と同様に、記憶装置２０１ＢのＣＰＵ２２１が、記憶装置管理プログラム２２５、鍵変更プログラム２２６、暗号化・復号化プログラム２２７及びアカウント認証・認可プログラム２２８に基づいて実行する。

具体的には、ＣＰＵ２２１が、ステップＳ２４０１からＳ２４０３の処理をＳ１５０１からＳ１５０３の処理と同様の手順で実行する。

次にＣＰＵ２２１は、鍵変更プログラム２２６に基づいて、ＳＬＰＲ結合後に使用する新規鍵を生成し、結合対象の各ＳＬＰＲの鍵変更を行なう（Ｓ２４０４）。

鍵の変更については、図２３を用いて説明する。

図２３（Ａ）はＳＬＰＲ結合前の鍵情報２４５である。そして、図２３（Ｂ）はＳＬＰＲ結合後の鍵情報２４５である。

ここで、ＣＰＵ２２１は、ＳＬＰＲ１とＳＬＰＲ２を結合する。結合処理は、ＳＬＰＲ１とＳＬＰＲ２とを結合する処理は、鍵番号が「４」の新規鍵を割当て、ＳＬＰＲ１とＳＬＰＲ２の鍵変更を行なう。ＣＰＵ２２１は、鍵の変更を終了すると、従来使用していた鍵（鍵番号が「２」の鍵と「３」の鍵）を破棄する。

その後、ＣＰＵ２２１は、ステップＳ２４０５からＳ２４１０までの処理をＳ１５０５からＳ１５１０の処理と同様の手順で実行して、ＳＬＰＲ結合処理を終了する。

（２−３） 第２の実施の形態の効果
本実施の形態によれば、記憶装置が、ＳＬＰＲ分割又はＳＬＰＲ結合によって生じるＳＬＰＲに使用する鍵の変更の伴い、分割前又は結合前に使用していた従来鍵を破棄することができる。

また、本実施の形態によれば、共有リソース内に論理ボリュームの更新データを保存し、論理ボリュームの鍵と共有リソースに使用する鍵とを対応付けて管理するため、更新データのセキュリティを高めることができる。

さらに、本実施の形態によれば、管理者が正しく論理ボリュームＬＵの更新データを利用することができる。

（３） 第３の実施の形態
次に、第３の実施の形態による計算機システムについて、以下に説明する。図１の１００は、第３の実施の形態の計算機システムである。第３の実施の形態では、第１の実施の形態と同じ構成には同一の符号を付す。第３の実施の形態の説明では、第１の実施の形態と異なる構成についてのみ説明をする。

本実施の形態では、記憶装置２０１ＣをＳＬＰＲ分割するにあたり、共有リソース２１３Ａ内に共有リソースが属するＳＬＰＲと異なるＳＬＰＲに属することとなった論理ボリュームＬＵの更新データを保存する場合、異なるＳＬＰＲ内に新規共有リソース２１３Ｂを作成し、共有リソース２１３Ａ内に格納されている当該ＬＵの更新データを、当該新規共有リソース２１３Ｂへ移行する点で、第１の実施の形態と相違する。

（３−１） 論理的なシステム構成
本実施の形態の論理的なシステム構成は、第１の実施の形態で説明をした論理的なシステム構成（図２）とは異なる。

具体的には、図２５に示すように、記憶装置２０１Ｃを論理的に分割したＳＬＰＲ１とＳＬＰＲ２において、ＳＬＰＲ１に共有リソース２１３Ａを有するだけではなく、ＳＬＰＲ２にも共有リソース２１３Ｂを有する。第１の実施の形態では、ＳＬＰＲ１又はＳＬＰＲ２のいずれか一方に共有リソース２１３を有する場合について説明したので、この点で本実施の形態とは相違する。

（３−２） ＳＬＰＲ分割処理
次に、本実施の形態で記憶装置２０１Ｃが行う処理と第１の実施の形態で記憶装置２０１Ａが行なう処理の差異を説明する。

第１の実施の形態では、図１４のステップＳ１４０５からＳ１４０７において、ＳＬＰＲ分割にあたって鍵変更がなされるＬＵの共有リソース内の更新データを、ＳＬＰＲ分割時に割り当てられる当該ＬＵの新規鍵で再暗号化することを説明した。

これに対し、本実施の形態では、ＳＬＰＲ分割にあたって共有リソース内に共有リソースが属すＳＬＰＲと異なるＳＬＰＲに属すＬＵの更新データが生じた場合に、当該異なるＳＬＰＲ用に新規共有リソースを作成し、共有リソース内の当該異なるＳＬＰＲに属すＬＵの更新データを、ＳＬＰＲ分割時に割り当てられる当該ＬＵの新規鍵で再暗号化して当該新規共有リソースへ移行する。

具体的には、図２６及び図２６において、第３の実施の形態におけるＳＬＰＲ分割処理について説明する。第３の実施の形態におけるＳＬＰＲ分割処理は、記憶装置２０１ＢのＣＰＵ２２１が、記憶装置管理プログラム２２５、鍵変更プログラム２２６、暗号化・復号化プログラム２２７及びアカウント認証・認可プログラム２２８に基づいて実行する。

まず、ＣＰＵ２２１が、ステップＳ２６０１からＳ２６０５の処理をＳ１４０１からＳ１４０５の処理と同様の手順で実行する。

次にＣＰＵ２２１は、鍵の変更が行なわれる論理ボリュームＬＵが共有リソースを使用していると判定した場合（Ｓ２６０５：ＹＥＳ）、鍵の変更が行なわれる論理ボリュームＬＵのうち、共有リソース２１３が所属するＳＬＰＲと異なるＳＬＰＲに所属しているものはあるか判別する（Ｓ２６０６）。

例えば、図２５に示すように、ＣＰＵ２２１は、鍵の変更が行なわれる論理ボリュームＬＵのうち、共有リソース２１３Ａが所属するＳＬＰＲ１と異なるＳＰＬＲであるＳＬＰＲ２に所属する論理ボリュームＬＵがあるか否かを判別する。

そしてＣＰＵ２２１は、鍵の変更が行なわれる論理ボリュームＬＵのうち、共有リソース２１３が所属するＳＬＰＲと異なるＳＬＰＲに所属する論理ボリュームはあると判定した場合には（Ｓ２６０６：ＹＥＳ）、異なるＳＬＰＲに所属する新規な共有リソースを作成する（Ｓ２６０７）。

例えば、図２５に示すように、ＣＰＵ２２１は、ＳＬＰＲ２に所属する新規な共有リソース２１３Ｂを作成する。

ＣＰＵ２２１は、ＳＬＰＲに所属する共有リソース内の更新データを、変更前の鍵で復号化し、変更後の鍵で再暗号化する（Ｓ２６０８）。

そしてＣＰＵ２２１は、再暗号化した更新データを新規な共有リソースに移行して、保存する（Ｓ２６０９）。

図２８（Ａ）から（Ｃ）を用いて上記の処理の具体的な例を説明する。

図２８（Ａ）はＳＬＰＲ分割前の共有リソース内データ管理情報である。図２８（Ｂ）はＳＬＰＲ分割中の共有リソース内データ管理情報である。図２８（Ｃ）はＳＬＰＲ分割後の共有リソース内データ管理情報である。

図２８（Ａ）に示すように、まず、ＳＬＰＲ分割前は論理ボリュームＬＵ１、ＬＵ３が共有リソース１を使用していることがわかる。その後、図２８（Ｂ）よりＳＬＰＲ分割処理を行うことにより、「１」の共有リソース２１３及び論理ボリュームＬＵ１がＳＬＰＲ１に所属し、論理ボリュームＬＵ３がＳＬＰＲ２に所属する。この時論理ボリュームＬＵ３は、「１」の共有リソース２１３が所属するＳＬＰＲ１とは異なるＳＬＰＲ２に所属する。

このため、ＣＰＵ２２１は、ステップＳ２６０７からＳ２６０９の処理を実行する。具体的な処理としては、図２５に示すように新規の共有リソース２１３Ｂを作成し、共有リソース２１３Ａに格納されていた論理ボリュームＬＵ３の更新データをＳＬＰＲ分割前に使用していた鍵で復号し、ＳＬＰＲ分割後に新規に割当てられた鍵で再暗号化して共有リソース２１３Ｂに移行する。移行処理終了後は、共有リソース内データ管理情報２４７は図２８（Ｃ）に示すようになる。

一方、ステップＳ２６０６において、ＣＰＵ２２１は、鍵の変更が行なわれる論理ボリュームＬＵのうち、共有リソース２１３が所属するＳＬＰＲと異なるＳＬＰＲに所属する論理ボリュームＬＵがないと判定した場合には（Ｓ２６０６：ＮＯ）、その後、ステップＳ２６１０からＳ２６１４までの処理を、ステップＳ１４０６からＳ１４１０までの処理と同様の手順で実行して、ＳＬＰＲ分割処理を終了する。

なお、本実施の形態では、論理ボリュームＬＵの更新データを再暗号化し、再暗号化した更新データを新規共有リソースへ移行した後は、移行した更新データは移行元の共有リソース内に設けない形態としているが、新規共有リソースへ移行した後も移行した更新データを設ける形態としてもよい。

なお、ＳＬＰＲ結合処理は、本実施の形態では新規共有リソースに対しても第１の実施形態での共有リソースへの処理と同様の処理を行なう点が異なる。しかしながらＳＬＰＲ結合処理は、第１の実施形態で説明をした共有リソース２１３への処理と同様であるため、その説明は行なわない。

（３−３） 第３の実施の形態の効果
本実施の形態によれば、記憶装置が、ＳＬＰＲ分割によってＳＬＰＲの所属が異なることとなった論理ボリュームの更新データを、異なるＳＬＰＲ内に新規に作成した共有リソース内に移行することができる。

また、本実施の形態によれば、共有リソース内に論理ボリュームの更新データを保存し、論理ボリュームの鍵と共有リソースに使用する鍵とを対応付けて管理するため、更新データのセキュリティを高めることができる。

さらに、本実施の形態によれば、管理者が正しく論理ボリュームＬＵの更新データを利用することができる。

（４） 他の実施の形態
第１から第３の実施の形態について説明したが、本発明はこうした実施の形態に何ら限定されるものではなく、本発明の趣旨を逸脱しない範囲内において様々な形態で実施し得ることは勿論である。

論理ボリュームＬＵに記憶されるデータ又は共有リソース２１３に記憶される更新データを暗号化又は復号化する暗号化復号化部と、論理ボリュームＬＵに記憶されるデータを暗号化又は復号化するための鍵を変更し、論理ボリュームＬＵに記憶されるデータに使用した鍵の情報に基づいて、共有リソース２１３内に記憶される更新データを暗号化又は復号化するための鍵を変更する鍵変更部とをメモリ２２３に備えたが、暗号化復号化部と鍵変更部とを個別のハードウェア構成としてもよい。

また、論理ボリュームＬＵ、共有リソース２１３及び管理領域ＳＬＰＲの対応付け情報を管理する管理部をメモリ２２３に備えたが、管理部を個別のハードウェア構成としてもよい。

本発明は、暗号化・復号化機能を備えた１又は複数のディスク装置を有する記憶装置や、その他の形態の記憶装置に広く適用することができる。

第１の実施の形態における計算機システムの全体構成を示すブロック図である。 第１の実施の形態における管理計算機のメモリの内容を示す図である。 第１の実施の形態における計算機システムの論理的な構成を示す概念図である。 第１の実施の形態における記憶装置のメモリの内容を示す図である。 第１の実施の形態における物理ディスク管理情報を示す図表である。 第１の実施の形態における論理ボリューム管理情報を示す図表である。 第１の実施の形態におけるディスク装置の論理的な構成を示す概念図である。 第１の実施の形態における鍵情報を示す図表である。 第１の実施の形態における鍵変更情報を示す図表である。 第１の実施の形態における共有リソース内データ管理情報を示す図表である。 第１の実施の形態におけるアカウント情報を示す図表である。 第１の実施の形態における役割定義情報を示す図表である。 第１の実施の形態におけるＲｅａｄ／Ｗｒｉｔｅ処理を示すフローチャートである。 第１の実施の形態におけるＳＬＰＲ分割処理を示すフローチャートである。 第１の実施の形態におけるＳＬＰＲ結合処理を示すフローチャートである。物理ディスク管理情報２４３の一例を示す図である。 第１の実施の形態におけるＳＬＰＲ分割処理又はＳＬＰＲ結合処理での鍵情報の図表である。 第１の実施の形態におけるＳＬＰＲ分割処理又はＳＬＰＲ結合処理での鍵変更情報の図表である。 第１の実施の形態におけるＳＬＰＲ分割処理又はＳＬＰＲ結合処理での共有リソース内データ管理情報の図表である。 第１の実施の形態における論理ボリュームに使用する鍵変更時のＲｅａｄ／Ｗｒｉｔｅ処理を示すフローチャートである。 第１の実施の形態におけるリストア処理を示すフローチャートである。 第１の実施の形態におけるリストア処理を示すフローチャートである。 第２の実施の形態におけるＳＬＰＲ分割処理を示すフローチャートである。 第２の実施の形態におけるＳＬＰＲ分割処理又はＳＬＰＲ結合処理での鍵情報の図表である。 第２の実施の形態におけるＳＬＰＲ結合処理を示すフローチャートである。 第３の実施の形態における計算機システムの論理的な構成を示す概念図である。 第３の実施の形態におけるＳＬＰＲ分割処理を示すフローチャートである。 第３の実施の形態におけるＳＬＰＲ分割処理を示すフローチャートである。 第３の実施の形態におけるＳＬＰＲ分割処理での共有リソース内データ管理情報の図表である。

符号の説明

１，１０，１００…計算機システム、１０１…計算機、１１０…ＣＰＵ、１２０…メモリ、１３０…ＦＣインタフェース、２０１…記憶装置、２１１…ディスク装置、ＬＵ…論理ボリューム（記憶領域）、２１３…共有リソース、２２０…管理インタフェース、２２１…ＣＰＵ、２２２…ブリッジ、２２３…メモリ、２２５…記憶装置管理プログラム、２２６…鍵変更プログラム、２２７…暗号化・復号化プログラム、２２８…アカウント認証・認可プログラム、２２９…リストア制御プログラム、２３０…ＦＣインタフェース、２４０…ディスクインタフェース、２４３…物理ディスク管理情報、２４４…ＬＵ管理情報、２４５…鍵情報、２４６…鍵変更情報、２４７…共有リソース内データ管理情報、２４８…アカウント情報、２４９…役割定義情報、３０１…管理計算機、３１０…管理インタフェース、３１１…ＣＰＵ、３１３…メモリ、３１５…記憶装置管理要求プログラム、４０１…ＦＣスイッチ。

Claims (18)

1. 計算機に接続される記憶装置において、
   前記計算機からのデータを記憶する複数の論理ボリュームと、
   複数の前記論理ボリュームに記憶されるデータを更新データとして記憶する共有リソースと、
   複数の前記論理ボリュームに記憶されるデータ及び前記共有リソースに記憶される更新データを暗号化又は復号化する暗号化復号化部と、
   複数の前記論理ボリュームに記憶されるデータを暗号化又は復号化するための暗号鍵を変更する暗号鍵変更部を備え、
   前記暗号鍵変更部は、複数の前記論理ボリュームのうちいずれかの前記論理ボリュームの暗号化鍵を変更した場合には、
   前記共有リソース内の更新データのうち、暗号鍵の変更を行った前記論理ボリュームに関する更新データの暗号鍵を、前記暗号鍵を変更した前記論理ボリュームの暗号鍵と同じ暗号鍵に変更する
   ことを特徴とする記憶装置。
2. 前記共有リソースは、少なくとも１以上備えられ、
   前記鍵変更部は、
   少なくとも１以上の論理ボリューム又は共有リソースを、前記記憶装置を管理するために形成される１以上の管理領域に割当てる割当て処理を契機として実行される
   ことを特徴とする請求項１記載の記憶装置。
3. 前記論理ボリューム、前記共有リソース及び前記管理領域の対応付け情報を管理する管理部を有し、
   前記管理部は、
   前記論理ボリュームに記憶されるデータを暗号化又は復号化するための暗号鍵の変更情報を管理する又は前記共有リソース内に記憶される更新データを暗号化又は復号化するための暗号鍵の変更情報を管理する
   ことを特徴とする請求項２記載の記憶装置。
4. 前記鍵変更部は、
   前記計算機から読み書き要求を受信すると、
   前記論理ボリュームに記憶されるデータを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定し、
   暗号鍵の変更済みであると判定した場合には、
   前記論理ボリュームに記憶されるデータを暗号化又は復号化せずに前記共有リソースに更新データとして記憶する
   ことを特徴とする請求項２記載の記憶装置。
5. 前記鍵変更部は、
   前記計算機から読み書き要求を受信すると、
   前記論理ボリュームに記憶されるデータを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定し、
   暗号鍵の変更中であると判定した場合には、
   データを記憶する前記論理ボリューム内のブロック又は更新データを記憶する前記共有リソース内のブロックから暗号鍵の変更済ブロックと暗号鍵の未変更ブロックとを判定し、
   前記暗号鍵の変更済ブロックと前記暗号鍵の未変更ブロックとが含まれると判定した場合には、全てのブロックが暗号鍵の変更済になるまで待機し、
   全てのブロックが前記暗号鍵の未変更ブロックであると判定した場合には、
   前記論理ボリュームに記憶されるデータを暗号化又は復号化した際に使用した変更前の暗号鍵を使用して前記共有リソースに記憶される更新データを復号化又は暗号化し、変更後の暗号鍵を使用して前記共有リソースに記憶される更新データを再暗号化又は再復号化する
   ことを特徴とする請求項２記載の記憶装置。
6. 前記鍵変更部は、
   前記記憶装置を管理する管理計算機又は前記計算機からリストア要求を受信すると、
   前記リストア要求先の前記論理ボリュームに記憶されるデータ及び前記共有リソースに記憶される更新データを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定し、
   暗号鍵の変更済みであると判定した場合には、
   前記共有リソースに記憶される更新データを前記リストア要求先の前記論理ボリュームにリストアしデータを復元する
   ことを特徴とする請求項２記載の記憶装置。
7. 前記鍵変更部は、
   前記記憶装置を管理する管理計算機又は前記計算機からリストア要求を受信すると、
   前記リストア要求先の前記論理ボリュームに記憶されるデータ及び前記共有リソースに記憶される更新データを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定し、
   暗号鍵の変更中であると判定した場合には、
   データを記憶する前記論理ボリューム内のブロック又は更新データを記憶する前記共有リソース内のブロックから暗号鍵の変更済ブロックと暗号鍵の未変更ブロックとを判定し、
   前記暗号鍵の変更済ブロックと前記暗号鍵の未変更ブロックとが含まれると判定した場合には、全てのブロックが暗号鍵の変更済になるまで待機し、
   全てのブロックが前記暗号鍵の未変更ブロックであると判定した場合には、
   前記論理ボリュームに記憶されるデータを暗号化又は復号化した際に使用した変更前の暗号鍵を使用して前記共有リソースに記憶される更新データを復号化又は暗号化し、変更後の暗号鍵を使用して前記共有リソースに記憶される更新データを再暗号化又は再復号化し、
   前記共有リソースに記憶される更新データを前記リストア要求先の前記論理ボリュームにリストアしデータを復元する
   ことを特徴とする請求項２記載の記憶装置。
8. 前記論理ボリュームに記憶されるデータを暗号化又は復号化するために使用する新規な暗号鍵を、前記割当て処理を契機として前記管理領域毎に作成し、
   前記論理ボリュームに記憶されるデータ又は前記共有リソースに記憶される更新データを暗号化又は復号化するために、前記割当て処理を実行する前に使用した従来の暗号鍵を破棄する
   ことを特徴とする請求項２記載の記憶装置。
9. 前記共有リソースは、前記管理領域毎に作成され、
   前記鍵変更部は、
   １の管理領域に所属する前記論理ボリュームに記憶されるデータを暗号化又は復号化するための暗号鍵を変更し、
   1の管理領域に所属する前記共有リソースに記憶される更新データを他の管理領域に新たに作成した共有リソースに保存する
   ことを特徴とする請求項２記載の記憶装置。
10. 計算機からのデータを記憶する複数の論理ボリュームと、
    複数の前記論理ボリュームに記憶されるデータを更新データとして記憶する共有リソースと、
    複数の前記論理ボリュームに記憶されるデータ及び前記共有リソースに記憶される更新データを暗号化又は復号化する暗号化復号化部と、
    複数の前記論理ボリュームに記憶されるデータを暗号化又は復号化するための暗号鍵を変更する暗号鍵変更部を備え、前記計算機に接続される記憶装置の管理方法において、
    前記暗号鍵変更部が、複数の前記論理ボリュームのうちいずれかの前記論理ボリュームの暗号化鍵を変更した場合には、
    前記共有リソース内の更新データのうち、暗号鍵の変更を行った前記論理ボリュームに関する更新データの暗号鍵を、前記暗号鍵を変更した前記論理ボリュームの暗号鍵と同じ暗号鍵に変更する鍵変更ステップを
    備えることを特徴とするデータ管理方法。
11. 前記共有リソースは、少なくとも１以上備えられ、
    前記暗号鍵変更部による前記鍵変更ステップは、
    少なくとも１以上の論理ボリューム又は共有リソースを、前記記憶装置を管理するために形成される１以上の管理領域に割当てる割当て処理を契機として実行される
    ことを特徴とする請求項１０記載のデータ管理方法。
12. 前記論理ボリューム、前記共有リソース及び前記管理領域の対応付け情報を管理する管理部が、前記論理ボリュームに記憶されるデータを暗号化又は復号化するための暗号鍵の変更情報を管理する又は前記共有リソース内に記憶される更新データを暗号化又は復号化するための暗号鍵の変更情報を管理する管理ステップを備える
    ことを特徴とする請求項１１記載のデータ管理方法。
13. 前記鍵変更部が、前記計算機から読み書き要求を受信すると、
    前記論理ボリュームに記憶されるデータを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定する判定ステップと、
    前記鍵変更部が、暗号鍵の変更済みであると判定すると、
    前記論理ボリュームに記憶されるデータを暗号化又は復号化せずに前記共有リソースに更新データとして記憶する記憶ステップと、を備える
    ことを特徴とする請求項１１記載のデータ管理方法。
14. 前記鍵変更部が、前記計算機から読み書き要求を受信すると、
    前記論理ボリュームに記憶されるデータを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定する判定ステップと、
    前記鍵変更部が、暗号鍵の変更中であると判定すると、
    データを記憶する前記論理ボリューム内のブロック又は更新データを記憶する前記共有リソース内のブロックから暗号鍵の変更済ブロックと暗号鍵の未変更ブロックとを判定する判定ステップと、
    前記鍵変更部が、前記暗号鍵の変更済ブロックと前記暗号鍵の未変更ブロックとが含まれると判定すると、全てのブロックが暗号鍵の変更済になるまで待機する待機ステップと、
    前記鍵変更部が、全てのブロックが前記暗号鍵の未変更ブロックであると判定すると、
    前記論理ボリュームに記憶されるデータを暗号化又は復号化した際に使用した変更前の暗号鍵を使用して前記共有リソースに記憶される更新データを復号化又は暗号化し、変更後の暗号鍵を使用して前記共有リソースに記憶される更新データを再暗号化又は再復号化する再暗号化又は再復号化ステップと、を備える
    ことを特徴とする請求項１１記載のデータ管理方法。
15. 前記鍵変更部が、前記記憶装置を管理する管理計算機又は前記計算機からリストア要求を受信すると、
    前記リストア要求先の前記論理ボリュームに記憶されるデータ及び前記共有リソースに記憶される更新データを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定する判定ステップと、
    前記鍵変更部が、暗号鍵の変更済みであると判定すると、
    前記共有リソースに記憶される更新データを前記リストア要求先の前記論理ボリュームにリストアしデータを復元する復元ステップと、を備える
    ことを特徴とする請求項１１記載のデータ管理方法。
16. 前記鍵変更部が、前記記憶装置を管理する管理計算機又は前記計算機からリストア要求を受信すると、
    前記リストア要求先の前記論理ボリュームに記憶されるデータ及び前記共有リソースに記憶される更新データを暗号化又は復号化するために使用する暗号鍵を変更しているか否かを判定する判定ステップと、
    前記鍵変更部が、暗号鍵の変更中であると判定すると、
    データを記憶する前記論理ボリューム内のブロック又は更新データを記憶する前記共有リソース内のブロックから暗号鍵の変更済ブロックと暗号鍵の未変更ブロックとを判定する判定ステップと、
    前記鍵変更部が、前記暗号鍵の変更済ブロックと前記暗号鍵の未変更ブロックとが含まれると判定すると、全てのブロックが暗号鍵の変更済になるまで待機する待機ステップと、
    前記鍵変更部が、全てのブロックが前記暗号鍵の未変更ブロックであると判定すると、
    前記論理ボリュームに記憶されるデータを暗号化又は復号化した際に使用した変更前の暗号鍵を使用して前記共有リソースに記憶される更新データを復号化又は暗号化し、変更後の暗号鍵を使用して前記共有リソースに記憶される更新データを再暗号化又は再復号化する再暗号化又は再復号化ステップと、
    前記鍵変更部が、前記共有リソースに記憶される更新データを前記リストア要求先の前記論理ボリュームにリストアしデータを復元する復元ステップと、を備える
    ことを特徴とする請求項１１記載のデータ管理方法。
17. 前記鍵変更部が、前記論理ボリュームに記憶されるデータを暗号化又は復号化するために使用する新規な暗号鍵を、前記割当て処理を契機として前記管理領域毎に作成する作成ステップと、
    前記鍵変更部が、前記論理ボリュームに記憶されるデータ又は前記共有リソースに記憶される更新データを暗号化又は復号化するために、前記割当て処理を実行する前に使用した従来の暗号鍵を破棄する破棄ステップと、を備える
    ことを特徴とする請求項１１記載のデータ管理方法。
18. 前記共有リソースは、前記管理領域毎に作成され、
    前記鍵変更部が、１の管理領域に所属する前記論理ボリュームに記憶されるデータを暗号化又は復号化するための暗号鍵を変更する変更ステップと、
    前記鍵変更部が、１の管理領域に所属する前記共有リソースに記憶される更新データを他の管理領域に新たに作成した共有リソースに保存する保存ステップと、を備える
    ことを特徴とする請求項１１記載のデータ管理方法。

Images