JP4933946B2 - 外部記憶装置及び情報漏洩防止方法 - Google Patents

Description

本発明は、計算機システムのデータを格納する外部記憶装置に関し、特に外部記憶装置が盗難されたり不正なホスト計算機からのデータ読み出しが試行された際の外部記憶装置からの情報漏洩を防止する技術に適用しても好適なものである。

企業などが保有するデジタルデータの量の増大に伴い、ホスト計算機と外部記憶装置などを記憶装置専用のネットワーク（主としてFibre Channel）で接続した計算機システムが普及している。

従来、データセンタなどに設置される計算機システムでは、外部記憶装置は大型の筐体を持ち、物理的に隔離され入退出管理のなされたサーバルームに敷設されることが一般的であるため外部記憶装置の盗難の可能性は少なかった。近年、HDDの大容量化等に伴い外部記憶装置の小型化、可搬化が進められ、また、管理者による犯罪の増加などから外部記憶装置の盗難のリスクが高まっている。

そこで、外部記憶装置が盗難された場合であっても、外部記憶装置からの情報漏洩を防止するための技術が提案されている。例えば、非特許文献１では、暗号化されたデータの復元を防止するため暗号モジュールに対する物理的セキュリティ要件として、暗号モジュールのメンテナンスインタフェースがアクセスされたとき、平文の暗号鍵等をゼロ化することが記載されている。

米国国立標準技術研究所（NIST），FIPS PUB 140-2，インターネット＜URL：http:／／csrc.nist.gov／publications／fips／fips140-2／fips1402.pdf，平成19年1月15日検索＞

非特許文献1の従来技術を外部記憶装置に適用すれば、外部記憶装置のデータを暗号化して格納しておき外部記憶装置の盗難を検知したとき、その暗号鍵をゼロ化することになり、外部記憶装置からの情報漏洩を防止することが可能となる。

しかしながら、非特許文献１に記載された従来技術では、暗号鍵のゼロ化を行う際の外部記憶装置の盗難を検知する手段や、誤って暗号鍵をゼロ化したときの鍵のリストアについて言及されていない。また、外部記憶装置が盗難されない場合であっても、不正なホスト計算機が正規のホスト計算機に成りすまして外部記憶装置にアクセスした場合、従来技術では暗号鍵がゼロ化されていないため外部記憶装置内の格納データが復号化され外部記憶装置からのデータが漏洩する可能性がある。

本発明は、以上の点を考慮してなされたもので、ホスト計算機及び外部記憶装置等から構成される計算機システムにおいて、外部記憶装置が盗難された場合や不正なホスト計算機からアクセスされた場合であってもその外部記憶装置からの情報漏洩を防止する外部記憶装置及び情報漏洩防止方法を提案しようとするものである。

本発明の目的を達成するために、ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置であって、ホスト計算機から書き込まれたデータを格納する記憶領域と、記憶領域に格納されたデータの暗号化及び復号化を行う暗号計算部と、ホスト計算機または他の外部記憶装置に対して存在確認のためのリクエストを所定期間ごとに送信する送信部と、リクエストに対するホスト計算機または他の外部記憶装置からのレスポンスの結果に基づいて、暗号計算部の暗号化及び復号化の暗号計算に使用する暗号鍵のゼロ化を行う鍵管理部とを備えることを特徴とする。

したがって、ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置の記憶領域に格納されるホスト計算機から書き込まれるデータの暗号化及び復号化を行い、ホスト計算機または他の外部記憶装置に対して存在確認のためのリクエストを所定期間ごとに送信し、リクエストに対するホスト計算機または他の外部記憶装置からのレスポンスの結果に基づいて、暗号化及び復号化の暗号計算に使用する暗号鍵のゼロ化を行うことにより、外部記憶装置の情報漏洩を防止することができる。

例えば、送信部は、ホスト計算機からのデータ入出力要求のタイミングがシーケンシャルアクセスかランダムアクセスであるかの違いに基づいてリクエストを送信する所定期間を決定する。また、送信部は、ホスト計算機からのデータ入出力要求のタイミングがランダムアクセスである場合にリクエストを行う所定期間を短くしていく。また、鍵管理部は、暗号鍵のゼロ化を行った場合に、他の外部記憶装置内の暗号鍵をゼロ化するための情報を他の外部記憶装置へ送信する。また、外部記憶装置は設置されたエリアの人数を取得する取得部を備え、送信部は、取得部で取得した人数に基づいてリクエストを送信するタイミングを決定する。

本発明の外部記憶装置は、ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置であって、ホスト計算機から書き込まれたデータを格納する記憶領域と、記憶領域に格納されたデータの暗号化及び復号化を行う暗号計算部と、ホスト計算機からの個々の入出力要求に対応するシーケンス番号を算出する算出部と、ホスト計算機より送信されるシーケンス番号と、算出部で算出するシーケンス番号の照合を行う照合部と、照合部の照合結果に基づいて、送信されるシーケンス番号と算出するシーケンス番号が一致しない場合に、暗号化及び復号化の暗号計算に使用する暗号鍵のゼロ化を行う鍵管理部とを備えることを特徴とする。

したがって、ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置の記憶領域に記憶されるホスト計算機から書き込まれたデータの暗号化及び復号化を行い、ホスト計算機からの個々の入出力要求に対応するシーケンス番号を算出し、ホスト計算機より送信されるシーケンス番号と、算出部で算出するシーケンス番号の照合を行い、照合を行うステップにより得られる照合結果に基づいて、送信されるシーケンス番号と算出するシーケンス番号が一致しない場合に、暗号化及び復号化の暗号計算に使用する暗号鍵のゼロ化を行うことにより、外部記憶装置の情報漏洩を防止することができる。

例えば、ホスト計算機からの個々の入出力要求に対応するシーケンス番号は、不規則な数字又は文字列からなる。また、鍵管理部は、暗号鍵のゼロ化を行った場合に他の外部記憶装置内の暗号鍵をゼロ化するための情報を他の外部記憶装置へ送信する。

本発明の外部記憶装置は、ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置であって、ホスト計算機から書き込まれたデータを格納する記憶領域と、記憶領域に格納されたデータの暗号化及び復号化を行う暗号計算部と、暗号計算部の暗号化及び復号化の暗号計算に使用する暗号鍵を記憶するとともに外部からの電源の供給が遮断すると記憶した暗号鍵をゼロ化する揮発性メモリとを備えることを特徴とする。

したがって、ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置の記憶領域に格納されるホスト計算機から書き込まれたデータの暗号化及び復号化を行い、外部からの電源の供給が遮断すると、暗号化及び復号化の暗号計算に使用する暗号鍵を記憶する揮発性メモリの暗号鍵をゼロ化することにより、外部記憶装置の情報漏洩を防止することができる。

本発明の外部記憶装置は、ホスト計算機または外部記憶装置とネットワークを介してアクセス可能な外部記憶装置であって、ホスト計算機から書き込まれたデータを格納する記憶領域と、記憶領域に格納されたデータの暗号化及び復号化を行う暗号計算部と、暗号計算部の暗号化及び復号化の暗号計算に使用する暗号鍵を記憶した記憶媒体から暗号鍵を読取るリーダ装置と、リーダ装置に記憶媒体が挿入された状態のときは暗号鍵の使用を不許可とする制御部とを備えることを特徴とする。

したがって、ホスト計算機から書き込まれたデータを格納する記憶領域と、記憶領域に格納されたデータの暗号化及び復号化を行う暗号計算部と、暗号計算部の暗号化及び復号化の暗号計算に使用する暗号鍵を記憶した記憶媒体から暗号鍵を読取るリーダ装置と、リーダ装置に記憶媒体が挿入された状態のときは暗号鍵の使用を不許可とする制御部とを備えることにより、外部記憶装置の情報漏洩を防止することができる。

すなわち、上記外部記憶装置によれば、外部記憶装置とホスト計算機との接続状態を検知できるようになり、また、不正なホスト計算機からのデータ入出力を検知できるようになり、そのとき暗号鍵をゼロ化して外部記憶装置からの情報漏洩を防止することが可能となる。

本発明は、ホスト計算機及び外部記憶装置等から構成される計算機システムにおいて、外部記憶装置が盗難された場合や不正なホスト計算機からアクセスされた場合であってもその外部記憶装置からの情報漏洩を防止する外部記憶装置及び情報漏洩防止方法を提供できる。

以下、図面を参照しながら本発明の実施の形態について詳細に説明する。なお、以下に説明する実施の形態に本発明が限定されることはない。

本発明の実施の形態における計算機システム１のシステム構成例を図１に示す。図１に示すように、計算機システム１は、ホスト計算機１２０Ａ，１２０Ｂ、外部記憶装置１００Ａ，１００Ｂ、管理計算機１３２、入退出管理システム１３３より構成される。

上記計算機システム１は、図１には明示していないが、入退出管理が行われた物理的に隔離されたサーバルームに設置されるものとする。ホスト計算機１２０Ａ，１２０Ｂ、外部記憶装置１００Ａ，１００Ｂは、ＦＣ（ファイバチャネル）スイッチ１３１を介して、ストレージ専用ネットワークによって相互に接続されている。管理計算機１３２、入退出管理システム１３３、外部記憶装置１００Ａ，１００Ｂは、ＬＡＮ１３４によって相互に接続されている。

ホスト計算機１２０Ａは，外部記憶装置１００Ａ，１００Ｂに対してデータ入出力を要求する計算機であり、外部記憶装置１００Ａ，１００Ｂと連携した処理を行うためのドライバプログラム１２１Ａと、ＨＢＡ（ホストバスアダプタ）１２２Ａ及びアプリケーションプログラム（図示されていない）などを備えている。

ＨＢＡ１２２ＡはユニークなWWN（World Wide NＡme）を持つ。なお、ホスト計算機１２０Ｂも，ホスト計算機１２０Ａと同様の構成であるため説明を省略する。また、以下では、ホスト計算機１２０Ａ，１２０Ｂを特に区別する必要のないときは，ホスト計算機及びその構成要素の識別番号からＡ，Ｂを除外して、ホスト計算機１２０、ドライバプログラム１２１等と表す。

図１１から図１３は、外部記憶装置１００Ａの外観及び構成を示したものである。図１１は立体図、図１２は、図１１の外部記憶装置１００Ａの断面図を示したものである。また、図１３は、図１１に示す外部記憶装置１００Ａ内の電源ユニットの配置を変更した構成を示す図である。なお、外部記憶装置１００Ｂも同様な外観及び構成であるため、図示及び説明を省略する。

外部記憶装置１００は、ＨＤＤ１２、ファン１３ａ，１３ｂ、電源ユニット１４ａ，１４ｂ、コントローラ２０、ホストポート１５、外部記憶装置ポート１６を有し、これらが筐体１７によって覆われた構成となっている。なお、筐体１７は、部品交換が容易にできないようにする構成とするもので、必ずしも密封状態とする必要はなく、他装置との接続部分、スイッチ等の操作部分、冷却のための空気口といった部分が存在する。このように容易に部品交換をできないようにすることで、例えば規定以外のＨＤＤを誤って接続することを防止することができる。また、部品交換を前提としないことにより、部品配置の自由度が増加し、部品の搭載密度を従来よりも高くすることも可能となる。なお、ＨＤＤ１２は、後述する記憶領域１０６として用いられる。

図１２は、外部記憶装置１００Ａの断面図であり、前面から後面に対して、コントローラ２０、ファン１３ａ、ＨＤＤ１２、ＨＤＤ１２といった配列で基板１０の両面に実装した構成としている。外部記憶装置１００Ａを小型化するために、ＨＤＤ１２を横置とし、更に、前面から後面に向かってＨＤＤ１２を２列に配置することで、容量を稼ぐ構成としている。

一方、図１１に示すように、ＨＤＤ１２を横置きにし、Ｘ方向に４台ならべた配置とすると、これまで３．５インチＨＤＤを縦置きでｘ方向に並べた標準的な寸法とほぼ一致させることができる。そのため、これまで利用していた外部記憶装置１００Ａを置くためのラックを同様に利用することができる。

また、ファン１３についても、冷却効率の良い箇所に配置することができ、冷却効率を高めることができる。外部記憶装置１００Ａでは、図１２に示すようにコントローラ２０と、ＨＤＤ１２との間にファンを設ける構成とし、コントローラ２０の熱をＨＤＤ側に送るようにしている。

なお、筐体１７で覆うことにより防塵効果を得ることができ、各部品の障害発生確率を下げることも可能になる。電源ユニット１４は、図１１に示すように、２つの電源ユニット１４ａ，１４ｂを搭載している。この２つの電源ユニット１４ａ，１４ｂのうち、上側（プラスＺ方向）に配置される電源ユニット１４ａが、図１２に示す、基板１０より上側にあるコントローラ２０、ファン１３ａ及びＨＤＤ１２に電力を供給し、下側（マイナスＺ方向）に配置される電源ユニット１４ｂが、基板１０の下側に配置されるコントローラ２０、ファン１３ｃ及びＨＤＤ１２に電力を供給する。また、２つの電源ユニット１４は、それぞれ基板１０の上側／下側両方のコントローラ２０、ファン１３及びＨＤＤ１２と接続されており、一方の電源ユニット１４に障害が発生した際にはもう一方の電源ユニット１４によって全てのコントローラ２０、ファン１３、ＨＤＤ１２に電力を供給する。

電源ユニット１４の配置は、図１１に示すように上下方向（ｚ方向）に並べて配置する構成の他に、前後方向（ｘ方向）に並べる配置としてもよいし、図１３に示す配置としてもよい。図１１及び図１３の配置とすることで、上側の部品配置と下側の部品配置とを対称となる構成となり、上下対称に配置されたファン１３ａ，１３ｂによって上下同様に冷却することができ、同じファン１３ａ，１３ｂを採用した場合に冷却効率を向上させることができる。また、上下対象とすることで、設計、製造も容易になる。一方、電源ユニット１４の上下方向の寸法が３．５インチのＨＤＤ１２を図１１のように２台上下並べた寸法と近く、前後方向（ｘ方向）の寸法が一般的なコントローラ２０の前後方向の半分の寸法に近い場合には、電源ユニット１４を前後方向（ｘ方向）にならべた配置を取ることで、外部記憶装置を小型化することができる。

このように構成された外部記憶装置１００Ａは，ホスト計算機１２０Ａ，１２０Ｂからの要求に応じてデータ入出力を行い、データの保存を行うための記憶装置であり、ＣＰＵ１０１Ａ、キャッシュメモリ１０２Ａ、鍵記憶用揮発性メモリ１０３Ａ、ＩＣカードリーダライタ１０４Ａ、ディスクコントローラ１０５Ａ、記憶領域１０６Ａ、ＦＣポート１０７Ａ、ＬＡＮポート１０８Ａ、ＩＣカード１０９Ａ及びプログラムメモリ１１０Ａによって構成される。なお、これら要素は、コントローラ２０に含まれる。

ＣＰＵ１０１Ａは、外部記憶装置１００Ａ全体の動作を制御し、プログラムメモリ１１０内の各プログラムに従って所定の処理を実行する中央演算処理装置である。キャッシュメモリ１０２Ａは、記憶領域１０６Ａへのデータ入出力を高速化するための一時記憶領域である。鍵記憶用揮発性メモリ１０３Ａは、データの暗号計算に使用する鍵情報を記憶するための一時記憶領域であり、電源供給が行われなくなると記憶内容が失われる揮発性メモリによって実装される。ＩＣカードリーダライタ１０４Ａは、ＩＣカード１０９Ａに対するデータ入出力を行うＩＣカードリーダライタ装置である。ディスクコントローラ１０５Ａは、記憶領域１０６Ａに対するデータ入出力の制御を行う処理装置である。記憶領域１０６Ａは、ホスト計算機１２０Ａ，１２０Ｂからのデータを保存する物理ディスクドライブである。ＦＣポート１０７Ａは、ストレージ専用ネットワークを介して、ホスト計算機１２０Ａ，１２０Ｂ及び他の外部記憶装置１００Ｂとの通信を行うためのインタフェースであり、ＦＣポートはユニークなWWN（World Wide Name）を持つ。ＬＡＮポート１０８Ａは、ＬＡＮ１３４を介して管理計算機１３２、入退出管理システム１３３及び他の外部記憶装置１００Ｂとの通信を行うためのインタフェースである。ＩＣカード１０９Ａは、外部記憶装置１００Ａのデータの暗号計算に使用する鍵情報を保存するためのＩＣカードである。プログラムメモリ１１０Ａは，外部記憶装置１００Ａの各種処理を実行するためのプログラム１１１Ａ〜１１５Ａ及びテーブル１１６Ａ，１１７Ａを保持するための記憶領域である。

制御プログラム１１１Ａは、ホスト計算機１２０からのデータ入出力要求に従って，キャッシュメモリ１０２Ａ、記憶領域１０６Ａ等に対するデータの入出力を制御するプログラムである。設定管理プログラム１１２Ａは、管理計算機１３２からの設定及び操作要求に従って、外部記憶装置１００Ａの処理に必要な情報の設定を行い、また必要なレスポンスやメッセージの通知を行うためのプログラムである。暗号計算プログラム１１３Ａは、記憶領域１０６に格納するデータの暗号化／復号化計算を行うプログラムであり、例えば共通鍵暗号方式のＡＥＳ（Advanced Encryption Standard）によって実装される。鍵管理プログラム１１４Ａは、暗号計算プログラム１１３Ａが使用する暗号鍵情報を管理し、必要に応じて暗号鍵のゼロ化（すなわち、暗号鍵のクリア、あるいは、無効化）を行うプログラムである。状態管理プログラム１１５Ａは、計算機システム１内の各装置の接続状態の確認、ホスト計算機１２０Ａからのデータ入出力要求の正当性の確認及びＩＣカードリーダライタ１０４Ａの状態の確認等を行うプログラムである。

パス管理テーブル１１６Ａは，計算機システム１を構成するホスト計算機１２０及び他の外部記憶装置１００Ｂ等の装置のパス情報として、装置名、種別（ホスト計算機／外部記憶装置）、WWN及び設置場所等の情報を管理するためのテーブルである。ポリシテーブル１１７Ａは、後述する外部記憶装置内の暗号鍵をゼロ化するときの条件や，外部記憶装置の暗号鍵のゼロ化に連動して他の外部記憶装置の暗号鍵のゼロ化を行うときの範囲等の情報を管理するためのテーブルである。

外部記憶装置１００Ｂも、外部記憶装置１００Ａと同様の構成であるため説明を省略する。また、外部記憶装置１００Ａ，１００Ｂを特に区別する必要のないときは、外部記憶装置及びその構成要素の識別番号からＡ，Ｂを除外して、ホスト計算機１２０、プログラムメモリ１１０等と表す。

管理計算機１３２は、外部記憶装置１００Ａ，１００Ｂに対する設定及び操作要求や外部記憶装置１００からのメッセージ表示等を行う計算機である。本発明の実施の形態において、外部記憶装置１００Ａ，１００Ｂの管理のために共通の管理計算機１３２が提供されているが、管理計算機１３２の代わりに，管理計算機１３２と同等の処理を行う各外部記憶装置１００Ａ，１００Ｂそれぞれに専用の管理コンソール端末を用いてもよい。

入退出管理システム１３３は、計算機システムが設置された物理的に隔離されたサーバルームにおける人の入退出を管理するシステムであり、サーバルーム内の人の増減が発生するたびにサーバルーム内の総人数を外部記憶装置１００に対して通知する。

さて、本発明の実施の形態では、外部記憶装置１００において、プログラムメモリ１１０内の各種プログラム１１１〜１１５がＣＰＵ１０１によって実行されることにより、以下の（１）〜（４）の各種処理が実現され，外部記憶装置１００Ａからの情報漏洩を防止することができる。
（１）計算機システムを構成する各装置のパス情報の登録
（２）暗号鍵情報の登録
（３）格納データの暗号化／復号化
（４）異常状態検知時の暗号鍵のゼロ化
以下，処理（１）〜処理（４）の実現方法について、図２〜図１０を用いて説明する。

はじめに、外部記憶装置１００Ａにおいて、計算機システム１を構成する装置であるホスト計算機１２０及び他の外部記憶装置１００Ｂ等のパス情報の登録を行う処理（１）について、図２を用いて説明する。図２は、各装置のパス情報の登録を行うために設定管理プログラム１１２Ａ及び状態監視プログラム１１５Ａによって実行される処理を示すフローチャートである。

ステップＳ２０１において、計算機システム１の管理者は、管理計算機１３２より計算機システム１を構成するホスト計算機１２０及び他の外部記憶装置１００Ｂ等のパス情報として、各装置の装置名、種別（ホスト計算機／外部記憶装置）、WWN及び設置場所を入力する。管理計算機１３２は、管理者により入力されたホスト計算機１２０、外部記憶装置１００Ｂのパス情報を外部記憶装置１００Ａに送信する。

ステップＳ２０２において、外部記憶装置１００Ａの設定管理プログラム１１２Ａは、ホスト計算機１２０、外部記憶装置１００Ｂのパス情報を取得する。ステップＳ２０３において、外部記憶装置１００Ａの状態管理プログラム１１５Ａは、ホスト計算機１２０、外部記憶装置１００Ｂに対して、WWNを宛先として、存在確認リクエストを送信する。

ステップＳ２０４において、WWNを持つホスト計算機１２０、外部記憶装置１００Ｂは、存在確認リクエストを受信し，ステップＳ２０５におい、外部記憶装置１００Ａに対してレスポンスを返信する。

ステップＳ２０６において、状態監視プログラム１１５Ａは、ホスト計算機１２０、外部記憶装置１００Ｂより所定時間内にレスポンスがあるかどうかの確認を行う。所定時間内にレスポンスがあった場合は（Ｓ２０６：あり）、ステップＳ２０７において、設定管理プログラム１１２Ａは、レスポンスのあった装置の装置名、種別、WWN及び設置場所をパス管理テーブル１１６Ａに登録する。所定時間内にレスポンスがなかった場合は（Ｓ２０６：なし）、ステップＳ２０８において、設定管理プログラム１１２Ａは、レスポンスのなかった装置の装置名、種別、WWN及び設置場所の登録を行わない（もしパス監視テーブル１１６Ａに既に登録が行われていた場合は、その登録を削除する）。

ここで、図３に、設定管理プログラム１１２Ａによって登録されたパス管理テーブル１１６Ａの一例を示しておく。図３に示すように、パス管理テーブル１１６Ａは、番号欄１１６１、装置名欄１１６２、種別欄１１６３、ＷＷＮ欄１１６４及び設置場所欄１１６５を設けている。番号欄１１６１はパス管理テーブル１１６Ａ内で管理する情報をナンバリングするための数字を保存する。装置名欄１１６２はホスト、ストレージ等の装置名を保存する。種別欄１１６３は、ホスト計算機または外部記憶装置等の装置の種別を保存する。ＷＷＮ欄１１６４は、ＷＷＮを保存する。設置場所欄１１６５はいずれのサーバルームに設置されているかを示す設置場所を保存する。

例えば、パス管理テーブル１１６Ａ内の番号欄１１６１「１」には、装置名欄１１６２に「ホスト１」、種別欄１１６３に「ホスト計算機」、ＷＷＮ欄１１６４に「０ｘＡＡＢＢＣＣＤＤ」及び設置場所欄１１６５に「サーバルーム１」の各情報が対応づけて保存されている。

上記のようにして、外部記憶装置１００Ａの設定管理プログラム１１２Ａ及び状態監視プログラム１１５Ａによって、外部記憶装置１００Ａとともに計算機システム１を構成する稼動中のホスト計算機１２０及び他の外部記憶装置１００Ｂのパス情報の登録処理が行われる。

次に、外部記憶装置１００Ａにおいて、暗号計算に使用する暗号鍵情報の登録を行う処理（２）について、図４を用いて説明する。暗号鍵情報の登録は，新規に暗号鍵情報を登録する場合のほかに、上記処理（４）によって暗号鍵がゼロ化された状態から暗号鍵情報を復旧させる場合において行われる。図４は、暗号鍵情報の登録を行うために、設定管理プログラム１１２Ａ、鍵管理プログラム１１４Ａ及び状態監視プログラム１１５Ａによって実行される処理を示すフローチャートである。

ステップＳ４０１において、計算機システム１の管理者は、暗号鍵情報の格納されたＩＣカード１０９Ａを外部記憶装置１００ＡのＩＣカードリーダライタ１０４Ａに挿入する。外部記憶装置１００Ａの鍵管理プログラム１１３Ａは、ＩＣカード１０９Ａより暗号鍵情報を取得し、鍵記憶用揮発性メモリ１０３Ａに格納する。ただし、鍵管理プログラム１１３Ａは、上記暗号鍵情報を使用できないよう無効化しておく。ステップＳ４０２において、設定管理プログラム１１２Ａは、パス管理テーブル１１６Ａより、登録済みのホスト計算機１２０及び他の外部記憶装置１００Ｂ等の各装置のパス情報を取得し、管理計算機１３２に対して上記パス情報を送信する。

ステップＳ４０３において、管理計算機１３２は、上記送信されたホスト計算機１２０、外部記憶装置１００Ｂのパス情報を受信し、計算機システムの管理者に対して上記パス情報を表示する。ステップＳ４０４において、計算機システムの管理者は、計算機システム１の最新のシステム構成に合わせて、必要に応じてホスト計算機１２０、外部記憶装置１００Ｂのパス情報の削除、変更又は追加等の修正の入力を行う。管理計算機１３２は、その入力されたホスト計算機１２０、外部記憶装置１００Ｂのパス情報を外部記憶装置１００Ａに送信する。

ステップＳ４０５において、設定管理プログラム１１２Ａは、最新のシステム構成におけるホスト計算機１２０、外部記憶装置１００Ｂのパス情報を取得する。ステップＳ４０６において、外部記憶装置１００Ａの状態管理プログラム１１５Ａは、ホスト計算機１２０、外部記憶装置１００Ｂに対して、パス情報のWWNを宛先として、存在確認リクエストを送信する。

ステップＳ４０７において、WWNを持つホスト計算機１２０、外部記憶装置１００Ｂは、存在確認リクエストを受信し、ステップＳ４０８において、外部記憶装置１００Ａに対してレスポンスを返信する。

ステップＳ４０９において、状態監視プログラム１１５Ａは、ホスト計算機１２０、外部記憶装置１００Ｂより所定時間内にレスポンスがあるかどうかの確認を行う。所定時間内にレスポンスがあった場合は（Ｓ４０９：あり）、ステップＳ４１０において、設定管理プログラム１１２Ａは、レスポンスのあった装置の装置名、種別、WWN及び設置場所をパス管理テーブル１１６Ａに登録する。所定時間内にレスポンスがなかった場合は（Ｓ４０９：なし）、ステップＳ４１１において、設定管理プログラム１１２Ａは、レスポンスのなかった装置の装置名、種別、WWN及び設置場所の登録を行わない（もしテーブル１１６Ａに既に登録が行われていた場合、その登録を削除する）。

ステップＳ４１２において、状態監視プログラム１１５Ａは、ＩＣカードリーダライタ１０４ＡよりＩＣカード１０９Ａが抜かれているかどうかの確認を行う。ＩＣカード１０９Ａが抜かれていない場合は（Ｓ４１２：いいえ）、ステップＳ４１３において、設定管理プログラム１１２Ａは管理計算機１３２に対して、ＩＣカード１０９Ａを抜く旨のメッセージを通知する。

そしてステップＳ４１４において、管理計算機１３２は、計算機システム１の管理者に対して、ＩＣカード１０９Ａを抜く旨のメッセージを表示する。そして、ＩＣカード１０９がＩＣカードリーダライタ１０４Ａから抜かれるまで、ステップＳ４１２の処理が繰り返される。

ＩＣカード１０９Ａが抜かれている場合は（Ｓ４１２：はい）、ステップＳ４１５において、鍵管理プログラム１１３Ａは、鍵記憶用揮発性メモリ１０３Ａに格納した暗号鍵情報を暗号計算に使用できるよう有効化する。

上記のようにして，外部記憶装置１００Ａの設定管理プログラム１１２Ａ、鍵管理プログラム１１４Ａ及び状態監視プログラム１１５Ａによって、暗号計算に使用する暗号鍵情報の登録処理が行われる。このとき、外部記憶装置１００Ａにおいて、暗号鍵情報を有効化し、記憶領域１０６Ａに格納するデータの暗号計算を正しく行うためには外部記憶装置１００ＡからＩＣカード１０９Ａが抜かれた状態でなければならない。このため、外部記憶装置１００Ａが盗難された場合であっても、ＩＣカード１０９Ａごと盗難されるのを防止できるようになる。

また、後述するように、計算機システム１のシステム構成の正当な変更により外部記憶装置１００Ａの暗号鍵情報がゼロ化され、その復旧のために暗号鍵の登録を行ったような場合であっても、暗号鍵情報の登録に合わせてパス管理テーブル１１６Ａも最新の状態に更新される。このため、計算機システム１の変更前の各装置のパス情報によって，再び暗号鍵情報がゼロ化されるのを防止できるようになる。

次に、外部記憶装置１００において、記憶領域１０６に格納するデータの暗号化／復号化計算を行う処理（３）について図５を用いて説明する。図５は、暗号計算を行うために、制御プログラム１１１及び暗号計算プログラム１１３によって実行される処理を示すフローチャートである。

はじめに、ホスト計算機１２０からのデータ入力要求時における外部記憶装置１００のデータ暗号化計算の処理について説明する。ステップＳ５０１において、ホスト計算機１２０は、外部記憶装置１００に対してデータ入力要求を行い、データを平文で送信する。

ステップＳ５０２において、外部記憶装置１００の制御プログラム１１１は、平文データを受信し、キャッシュメモリ１０２に一時保存する。ステップＳ５０３において、外部記憶装置１００の暗号計算プログラム１１３は、揮発性メモリ１０３より暗号鍵を取得する。ステップＳ５０４において、制御プログラム１１１は、キャッシュメモリ１０２より平文データを取得、暗号計算プログラム１１３が暗号鍵を用いて平文データの暗号化計算を行う。そして、制御プログラム１１１が暗号化されたデータを記憶領域１０６に保存する。

次に、ホスト計算機１２０からのデータ出力要求時における外部記憶装置１００のデータ復号化計算の処理について説明する。ステップＳ５０５において、ホスト計算機１２０は、外部記憶装置１００に対してデータ出力要求を行う。

ステップＳ５０６において、暗号計算プログラム１１３は、鍵記憶用揮発性メモリ１０３より暗号鍵を取得する。ステップＳ５０７において、制御プログラム１１１は、記憶領域１０６より出力要求された暗号化データを取得し、暗号計算プログラム１１３が暗号鍵を用いて暗号化データの復号化計算を行う。そして制御プログラム１１１が復号化されたデータをキャッシュメモリ１０２に一時保存する。ステップＳ５０８において、制御プログラム１１１は、ホスト計算機１２０に対してキャッシュメモリ１０２内のデータを平文で送信する。

ステップＳ５０９において、ホスト計算機１２０は、出力要求したデータを平文で取得する。

上記のようにして、制御プログラム１１１及び暗号計算プログラム１１３によって、記憶領域１０６に格納するデータの暗号化／復号化計算を行う処理が行われる。これにより、ホスト計算機１２０より入力された全てのデータは、外部記憶装置１００において暗号化して格納され、暗号鍵がない限り、その格納データが平文データとして外部記憶装置１００から外部に出力されることはない。

次に、外部記憶装置１００において、異常状態検知時の暗号鍵のゼロ化を行う処理（４）について図６〜図１０を用いて説明する。本発明の実施の形態では、以下の（ｉ）
〜（ｖ）のケースを，暗号鍵のゼロ化を行うべき異常状態であるとしている。
（ｉ）外部記憶装置１００の電源が遮断されたとき
（ｉｉ）外部記憶装置１００の前回の暗号鍵の登録から所定期間が経過したとき
（ｉｉｉ）計算機システムのシステム構成が変更されたとき
（ｉｖ）外部記憶装置１００に対して不正なホスト計算機からのデータ入出力要求が行わ
れたとき
（ｖ）他の外部記憶装置１００において暗号鍵のゼロ化が行われたとき
以下，ケース（ｉ）〜（ｖ）における異常状態検知及び暗号鍵のゼロ化の処理について
説明する。

はじめに、ケース（ｉ）における外部記憶装置１００Ａの電源が遮断されたときの暗
号鍵のゼロ化処理について説明する。外部記憶装置１００Ａにおいて、暗号鍵を一時記憶する鍵記憶用揮発性メモリ１０３Ａは、外部からの電源（図示されていない）によって給電され動作するものとする。外部記憶装置１００Ａの電源スイッチ（図示されていない）ＯＦＦや電源コード（図示されていない）の切断等により電源が遮断されたとき、鍵記憶用揮発性メモリ１０３Ａへの給電は停止される。その結果、鍵記憶用揮発性メモリ１０３Ａ上に一時記憶されている暗号鍵情報はクリアされる。

上記のようにして、外部記憶装置１００Ａの電源が遮断されたとき，暗号鍵のゼロ化が行われる。これにより、外部記憶装置１００Ａが外部に盗難された場合であっても外部への盗難により外部記憶装置１００Ａの電源は遮断される。その結果、暗号鍵のゼロ化が行われ、外部記憶装置１００Ａに格納された暗号化データを復号化して取り出すことができなくなり、情報漏洩を防止することができるようになる。

次に、ケース（ｉｉ）における外部記憶装置１００Ａの前回の暗号鍵の登録から所定期
間が経過したときの暗号鍵のゼロ化処理について説明する。外部記憶装置１００Ａの鍵管理プログラム１１４Ａは、上記処理（２）によって前回暗号鍵情報の登録が行われた時刻を記憶領域１０６Ａ等の不揮発性メモリ上に記憶しておく。そして鍵管理プログラム１１４Ａは、前回の暗号鍵の登録が行われた時刻から予め設定された所定期間が経過したとき、鍵記憶用揮発性メモリ１０３Ａ内に一時保存された暗号鍵情報をクリアする。

上記のようにして、外部記憶装置１００Ａの前回の暗号鍵の登録から所定期間が経過したとき暗号鍵のゼロ化が行われる。このとき、上記の予め設定された所定期間を短く設定しておけば、仮に外部記憶装置１００Ａが盗難されたとしても盗難者が外部記憶装置１００Ａからデータを取り出す前に上記所定期間が経過し、暗号鍵のゼロ化が行われるため、外部記憶装置１００Ａに格納された暗号化データを復号化して取り出すことができなくなり、情報漏洩を防止することができるようになる。

また、外部記憶装置１００Ａでは、前回暗号鍵の登録から所定期間が経過する直前に暗号鍵の再登録が行われれば、暗号鍵のゼロ化までの期間も延長されることになる。よって所定期間が経過する前に定期的に暗号鍵の再登録を行えば、暗号鍵のゼロ化は行われなくなり、ホスト計算機１２０の処理を停止させることなくそのデータ入出力要求に常に応えることができるようになる。

次に、ケース（ｉｉｉ）における計算機システム１のシステム構成が変更されたときの検
知方法及び暗号鍵のゼロ化処理について、図６を用いて説明する。図６は、計算機システム１のシステム構成の変更を検知し暗号鍵のゼロ化を行うために、設定管理プログラム１１２Ａ、鍵管理プログラム１１４Ａ及び状態監視プログラム１１５Ａによって実行される処理を示すフローチャートである。

ここで、後述するように、外部記憶装置１００Ａからホスト計算機１２０及び他の外部記憶装置１００Ｂに対して、存在確認リクエストがポーリングされるが、そのポーリング周期として、標準的な間隔のポーリング周期Ｔ１と、標準より長めの間隔のポーリング周期Ｔ２とが計算機システムの管理者によって予め設定されているものとする。

ステップＳ６０１において、入退出管理システム１３３はサーバルーム内への入退出が発生したとき、サーバルーム内の総人数を外部記憶装置１００Ａに対して通知する。

ステップＳ６０２において、外部記憶装置１００Ａの設定管理プログラム１１２Ａは、上記サーバルーム内の総人数を取得し、サーバルーム内が有人であるかどうかを確認する。無人の場合（Ｓ６０２：無人）、ステップＳ６０３において、設定管理プログラム１１２Ａは、パス管理テーブル１１６Ａより登録済みのホスト計算機１２０及び他の外部記憶装置１００Ｂ等の各装置のパス情報（装置名，種別，WWN，設置場所）を取得し、他の外部記憶装置１００Ｂへの存在確認リクエストをポーリングする周期をＴ２に設定する。そしてステップＳ６０４において、設定管理プログラム１１２Ａは、ホスト計算機１２０からの前回入出力要求が行われた時刻またはホスト計算機１２０への前回ポーリングが行われた時刻からＴ２時刻経過ごとに、ホスト計算機１２０への存在確認リクエストのポーリングを行うようポーリング周期を設定する。ここで、図７（１）に、ステップＳ６０４において設定されたポーリング周期に従ったときのホスト計算機１２０へのポーリング実行例を示す。

有人の場合（Ｓ６０２：有人）、ステップＳ６０５において、設定管理プログラム１１２Ａは、パス管理テーブル１１６Ａより登録済みのホスト計算機及び他の外部記憶装置等の各装置のパス情報を取得し、他の外部記憶装置１００Ｂへの存在確認リクエストをポーリングする周期をＴ１に設定する。そして、ステップＳ６０６において、設定管理プログラム１１２Ａは、過去の所定期間内のホスト計算機１２０より外部記憶装置１００Ａに対してデータ入出力要求の行われた時刻を記憶しておき、そのデータ入出力要求の行われた間隔からホスト計算機１２０からのデータ入出力要求が、次のいずれであるかの判断を行う。
（６−１）Ｔ１以下の周期のシーケンシャルアクセス
（６−２）Ｔ１より長い周期のシーケンシャルアクセス
（６−３）ランダムアクセス

ホスト計算機１２０からのデータ入出力要求が（６−１）の場合、ステップＳ６０７において、設定管理プログラム１１２Ａは、ホスト計算機１２０への存在確認リクエストのポーリングを行わないように設定する。ここで、図７（２）に、ステップＳ６０７において設定されたポーリング周期に従ったときのホスト計算機１２０へのポーリング実行例を示す。

ホスト計算機１２０からのデータ入出力要求が（６−２）の場合、ステップＳ６０８において、設定管理プログラム１１２Ａは、ホスト計算機１２０からの前回入出力要求が行われた時刻またはホスト計算機１２０への前回ポーリングが行われた時刻からＴ１時刻経過ごとにホスト計算機１２０への存在確認リクエストのポーリングを行うようポーリング周期を設定する。ここで、図７（３）に、ステップＳ６０８において設定されたポーリング周期に従ったときのホスト計算機１２０へのポーリング実行例を示す。

ホスト計算機１２０からのデータ入出力要求が（６−３）の場合、ステップＳ６０９において、設定管理プログラム１１２Ａは、ホスト計算機１２０からの前回入出力要求が行われた時刻から所定回数だけＴ２時刻経過ごとに、ホスト計算機１２０への存在確認リクエストのポーリングを行い、それ以降は、Ｔ１時刻経過ごとにポーリングを行うようポーリング周期を設定する。ここで、図７（４）に、ステップＳ６０９において設定されたポーリング周期に従ったときのホスト計算機１２０へのポーリング実行例を示す。なお、図７（４）の例では、最初のＴ２時刻経過ごとに行うポーリングの所定回数を２回としている。

ここで、計算機システム１内に複数のホスト計算機１２０Ａ，１２０Ｂが接続されている場合、ステップＳ６０４，Ｓ６０６〜Ｓ６０９の処理は，各ホスト計算機１２０Ａ，１２０Ｂごとに適用するものとする。すなわち各ホスト計算機１２０Ａ，１２０Ｂに対して、それぞれのポーリング周期の設定が行われる。

続いて、ステップＳ６１０において、外部記憶装置１００Ａの状態管理プログラム１１５Ａは、ホスト計算機１２０及び他の外部記憶装置１００Ｂ等の各装置に対して、上記設定されたポーリング周期に従って存在確認リクエストをポーリングする。

ステップＳ６１１において、ホスト計算機１２０及び他の外部記憶装置１００Ｂは、存在確認リクエストを受信し、ステップＳ６１２において、レスポンスを返信する。

ステップＳ６１３において、状態監視プログラム１１５Ａは、ホスト計算機１２０及び他の外部記憶装置１００Ｂより所定時間内にレスポンスがあるかどうかの確認を行う。そして、状態監視プログラム１１５Ａは、ポリシテーブル１１７Ａにおいて有効なポリシとして選択されているポリシを参照し、上記ポリシが規定する台数以上の装置から所定時間内にレスポンスがない場合、ステップＳ６１４に進み、そうでない場合は、ステップＳ６０１に戻り、以降のステップＳ６０２〜Ｓ６１３を繰り返す。ステップＳ６１４において、鍵管理プログラム１１４Ａは、鍵記憶用揮発性メモリ１０３Ａ内に一時保存された暗号鍵情報をクリアする。

ここで、図１０に，ポリシテーブル１１７Ａの一例を示しておく。図１０に示すように、ポリシテーブル１１７Ａには、番号欄１１７１、ポリシ欄１１７２及び有効性設定欄１１７４が設定されている。番号欄１１７１はポリシテーブル１１７Ａ内で管理する情報をナンバリングするための数字を保存する。ポリシ欄１１７２には、暗号鍵のゼロ化を行うための前提条件となる所定時間内にレスポンスを返さない装置の台数が規定される。有効性設定欄１１７３には、どのポリシが有効であるか否かが設定される。有効なポリシに対して「○」が設定され、有効でないポリシに対して「×」が設定される。

例えば、ポリシテーブル１１７Ａには、番号欄１１７１の「１」に対応して、ポリシ欄１１７２に「少なくとも１台のホスト計算機または外部記憶装置からの存在確認に対するレスポンスが返信されなかったとき、外部記憶装置の鍵をゼロ化する。自外部記憶装置の鍵をゼロ化したとき他の全ての外部記憶装置の鍵をゼロ化する。」が設定され、有効性設定欄１１７３に「○」が設定されている。

図１０の例では、♯１のポリシが有効なポリシとして選択されているため少なくとも１台以上の装置からレスポンスがなかったとき暗号鍵のゼロ化が行われる。ポリシテーブル１１７Ａへのポリシの新規登録及び有効なポリシの選択は、管理者が管理計算機１３２を用いて設定内容を入力し、設定管理プログラム１１２Ａが上記設定内容をポリシテーブル１１７Ａに反映させることによって行われる。

もし、ホスト計算機１２０と外部記憶装置１００Ｂとのパスの切断／接続が頻繁に行われる環境の場合、図１０の例において、例えば♯３や♯４など、「少なくとも２台以上（またはそれ以上）の装置から上記レスポンスがなかったとき、暗号鍵のゼロ化を行う」のポリシを選択しておくことにより、暗号鍵のゼロ化が不必要に実施されるのを防ぐことができる。

上記のようにして、計算機システム１のシステム構成の変更が検知され、暗号鍵のゼロ化が行われる。これにより、外部記憶装置１００Ａが外部に盗難された場合であっても計算機システム１のシステム構成の変更が検知される。その結果、暗号鍵のゼロ化が行われ、外部記憶装置１００Ａに格納された暗号化データを復号化して取り出すことができなくなり、情報漏洩を防止することができるようになる。

また、本発明の実施の形態においては、計算機システム１のシステム構成の変更を検知するためホスト計算機１２０及び他の外部記憶装置１００Ｂに対してポーリングを行っているが、以下の考えに基づいて、ホスト計算機１２０及び他の外部記憶装置１００Ｂに対するポーリング周期を動的に変更しているため，ネットワーク負荷の少ない効率的なポーリングを実行できるようになる。

すなわち、サーバルームが無人のときは盗難の可能性が低いため，ホスト計算機１２０及び他の外部記憶装置１００Ｂに対するポーリング周期を長くする。また、ホスト計算機１２０から外部記憶装置１００Ａに対して標準的な周期Ｔ１以下の周期でシーケンシャルアクセスが行われている場合、外部記憶装置１００Ａが盗難されたとしても上記シーケンシャルアクセスに失敗し、管理者が盗難の事実に気づく可能性が高いためホスト計算機１２０に対するポーリングを行わない。また、ホスト計算機１２０から外部記憶装置１００Ａに対して標準的な周期Ｔ１より長い周期でシーケンシャルアクセスが行われている場合、そのシーケンシャルアクセスの間隔を補うようにホスト計算機１２０に対するポーリングを行う。さらに、ホスト計算機１２０から外部記憶装置１００Ａに対してランダムアクセスが行われている場合、ホスト計算機１２０からのアクセスがすぐに繰り返されるかもしれないため、はじめはホスト計算機１２０に対するポーリング周期を長くし、アクセスがない状態がしばらく続けばポーリング周期を短くする。

ここで、上記ステップＳ６０３及びＳ６０４において、サーバルームが無人のときのホスト計算機１２０及び他の外部記憶装置１００Ｂに対するポーリング周期を設定しているが、無人のサーバルームにおいて外部記憶装置１００の盗難がありえないことが保証できるときは、上記ポーリングを行わないように設定してもよい。

また、ステップＳ６０７において、ホスト計算機１２０へのポーリングを行わないように設定しているが、ホスト計算機１２０がシーケンシャルアクセスに失敗し、管理者が外部記憶装置１００の盗難に気づいたとしても、そのまま盗難者によって外部記憶装置１００が持ち去られる可能性のあるときは、ポーリング失敗時の暗号鍵のゼロ化が行われるようホスト計算機１２０へのポーリングを行うように設定してもよい。

次に、ケース（ｉｖ）における外部記憶装置１００Ａに対して不正なホスト計算機から
のデータ入出力要求が行われたときの検知方法及び暗号鍵のゼロ化処理について、図８を用いて説明する。図８は、不正なホスト計算機からのデータ入出力要求が行われたことを検知し暗号鍵のゼロ化を行うために、制御プログラム１１１Ａ、設定管理プログラム１１２Ａ、鍵管理プログラム１１４Ａ及び状態監視プログラム１１５Ａによって実行される処理を示すフローチャートである。

ステップＳ８０１において、外部記憶装置１００Ａの設定管理プログラム１１２Ａは、パス管理テーブル１１６Ａより、計算機システム１に新規登録されたホスト計算機１２０のパス情報（装置名、種別、WWN及び設置場所）を取得する。ステップＳ８０２において、外部記憶装置１００Ａの状態監視プログラム１１５Ａは、ホスト計算機１２０に対して、ユニークなシーケンス番号の初期値を乱数によって生成し、ホスト計算機１２０に対してその初期値を通知する。そしてステップＳ８０３において、状態監視プログラム１１５Ａは、所定の計算式に基づいて、前回のシーケンス番号から次回のシーケンス番号の算出を行う。

ここで、シーケンス番号の計算式には、例えばＳＨＡ（Secure Hash Algorithm）１やMD５（Message Digest Algorithm 5）等のハッシュ関数に基づく以下の計算式を用いればよい。
第ｎ＋１のシーケンス番号＝ハッシュ関数（第ｎのシーケンス番号＋初期値を結合した文字列）

ステップＳ８０４において、ホスト計算機１２０はシーケンス番号の初期値を取得する。そして、ステップＳ８０５において、ホスト計算機１２０のドライバプログラム１２１は、所定の計算式に基づいて、前回のシーケンス番号から次回のシーケンス番号の算出を行う。ここで、ドライバプログラム１２１は、状態監視プログラム１１５Ａが使用した計算式と同じ計算式を使用するものとする。よって、同じ初期値と計算式を使用しているため状態監視プログラム１１５Ａによって算出されるシーケンス番号と、ドライバプログラム１２１によって算出されるシーケンス番号は毎回同じ値になることが保証される。また、計算機システム１内に、複数のホスト計算機１２０Ａ，１２０Ｂが接続されている場合、外部記憶装置１００Ａの状態監視プログラム１１５Ａは、各ホスト計算機１２０Ａ，１２０Ｂに対して、それぞれ異なるシーケンス番号の初期値を生成し、各ホスト計算機１２０Ａ，１２０Ｂに対して通知する。シーケンス番号算出に使用される計算式には、ハッシュ関数に基づく計算式が用いられるため、各ホスト計算機１２０Ａ，１２０Ｂにおいて、同一のシーケンス番号が衝突する可能性は非常に少ない。

次に、ステップＳ８０６において、ホスト計算機１２０は、外部記憶装置１００Ａに対してデータ入出力要求を行うとき、上記算出したシーケンス番号を付加してデータ入出力要求を送信する。

ステップＳ８０７において、外部記憶装置１００Ａは、ホスト計算機１２０からのデータ入出力要求とシーケンス番号とを受信し、状態監視プログラム１１５Ａは、自身が算出したシーケンス番号と、ホスト計算機１２０より送信されたシーケンス番号が一致しているかどうかの確認を行う。不一致の場合（Ｓ８０７：不一致）、ステップＳ８０８において、外部記憶装置１００Ａの鍵管理プログラム１１４Ａは、鍵記憶用揮発性メモリ１０３Ａ内に一時保存された暗号鍵情報をクリアする、すなわち、暗号鍵のゼロ化を行なう。一致している場合（Ｓ８０７：一致）、ステップＳ８０９において、制御プログラム１１１Ａは、ホスト計算機１２０からのデータ入出力要求に従って、所定のデータ入出力処理を行い、ホスト計算機１２０に対してレスポンスを返信する。レスポンスを返信した後、ステップＳ８０３に進み、状態監視プログラム１１５Ａによって、次回のシーケンス番号の算出を行う。

ステップＳ８１０において、ホスト計算機１２０は、外部記憶装置１００Ａからのレスポンスを受信する。そしてステップＳ８０５に進み，ドライバプログラム１２１によって、次回のシーケンス番号の算出を行う。

上記のようにして、不正なホスト計算機からのデータ入出力要求が行われたことが検知され、暗号鍵のゼロ化が行われる。これにより、外部記憶装置１００Ａが盗難されず、計算機システム１に接続されたままの状態で、不正なホスト計算機から外部記憶装置１００Ａのデータ取得が試行された場合であっても、暗号鍵のゼロ化が行われるため、外部記憶装置１００Ａに格納された暗号化データを復号化して取り出すことができなくなり、情報漏洩を防止することができるようになる。

次に、ケース（ｖ）における、ある外部記憶装置において暗号鍵のゼロ化が行われた
ときの他の外部記憶装置１００の暗号鍵のゼロ化処理について、図９を用いて説明する。図９は、他の外部記憶装置１００Ａにおける暗号鍵のゼロ化に連動して外部記憶装置１００Ｂの暗号鍵のゼロ化を行うために、鍵管理プログラム１１４Ａ，１１４Ｂ及び設定管理プログラム１１２Ａによって実行される処理を示すフローチャートである。

ステップＳ９０１において、上記（ｉｉ）（ｉｉｉ）（ｉｖ）の理由により、外部記憶装置１００Ａの鍵管理プログラム１１４Ａは、鍵記憶用揮発性メモリ１０３Ａ内に一時保存された暗号鍵情報をクリアする。ステップＳ９０２において、設定管理プログラム１１２Ａは、パス管理テーブル１１６Ａより登録済みの他の外部記憶装置１００Ｂのパス情報（装置名、種別、WWN及び設置場所）を取得する。そしてステップＳ９０３において、外部記憶装置１００Ａの鍵管理プログラム１１４Ａは、ポリシテーブル１１７Ａにおいて有効なポリシとして設定されているポリシを参照し、ポリシが規定する範囲内の全ての外部記憶装置に対して暗号鍵のゼロ化要求を通知する。

ここで，図１０に示すポリシテーブル１１７Ａには、外部記憶装置１００Ｂの暗号鍵のゼロ化に連動して暗号鍵のゼロ化が行われる他の外部記憶装置１００Ｂの範囲が規定されている。図１０の例では、上記のように、番号欄１１７１の「１」に対応する有効性設定欄１１７３に「○」が設定され、番号１のポリシが有効なポリシとして選択されている。このため、外部記憶装置１００Ｂを含め、パス管理テーブル１１６Ａに登録されている他の全ての外部記憶装置１００Ｂに対して上記通知が行われる。

ステップＳ９０４において、外部記憶装置１００Ｂの鍵管理プログラム１１４Ｂは、上記暗号鍵のゼロ化要求を取得し、揮発性メモリ１０３Ｂ内に一時保存された暗号鍵情報をクリアする。

上記のようにして、ある外部記憶装置１００Ａの暗号鍵のゼロ化が行われ、他の外部記憶装置１００Ｂにおいても情報漏洩の可能性が高まった場合であっても、それに連動して外部記憶装置１００Ｂの暗号鍵のゼロ化が行われるため、外部記憶装置１００Ｂに格納された暗号化データを復号化して取り出すことができなくなり、情報漏洩を防止することができるようになる。

ここで、もし、外部記憶装置１００Ａの設置場所とは異なる遠隔サイトに他の外部記憶装置（図示しない。）が設置されて計算機システム１が構成されている場合、外部記憶装置１００Ａの鍵のゼロ化が行われたとしても、遠隔サイトに設置された他の外部記憶装置に対して、情報漏洩の危険性が波及する可能性は少ない。

このとき、図１０のポリシテーブル１１７Ａの例において、例えば、番号欄１１７１の「♯２」や「♯４」に対応付けされている「外部記憶装置１００Ａと同じ場所に設置された他の全ての外部記憶装置のみの鍵をゼロ化する」のポリシの有効性設定欄１７３を有効にしておくことにより、安全な遠隔サイトに設置された外部記憶装置の暗号鍵のゼロ化は行われず、暗号鍵のゼロ化が不必要に実施されるのを防ぐことができる。

また、このとき、外部記憶装置１００Ａと遠隔サイトに設置された外部記憶装置の記憶領域同士がペアボリュームを構成している場合、外部記憶装置１００Ａが鍵のゼロ化を行った後で外部記憶装置１００Ａの設定管理プログラム１１２Ａは、外部記憶装置１００Ａのボリュームと接続されているホスト計算機１２０の接続先を、遠隔サイトの外部記憶装置のペアボリューム先とするようパスを切り替える。これにより、ホスト計算機１２０のデータ入出力要求に対する処理が遠隔サイトの外部記憶装置に引き継がれ、ホスト計算機１２０の業務を中断することなく継続することが可能となる。

以上述べたように、本発明の実施形態によれば、ホスト計算機及び外部記憶装置等から構成される計算機システム１において，外部記憶装置が盗難された場合や不正なホスト計算機からアクセスされた場合であってもその外部記憶装置からの情報漏洩を防止することが可能となる。

なお、ホスト計算機１２０Ａ，１２０Ｂまたは他の外部記憶装置である外部記憶装置１００ＢとネットワークであるＬＡＮ１３４を介してアクセス可能な外部記憶装置１００Ａは、記憶領域１０６Ａに格納される例えばホスト計算機１２０Ａから書き込まれたデータの暗号化及び復号化を行う。この暗号化及び復号化の暗号計算は、既述のように、鍵記憶用揮発性メモリ１０３Ａに記憶された暗号鍵を用いて行なわれる。そして、外部からの電源の供給が遮断すると、外部記憶装置１００Ａの鍵記憶用揮発性メモリ１０３Ａに記憶された暗号鍵がゼロ化される。このように暗号鍵がゼロ化されることにより、記憶領域１０６Ａに記憶されたデータの情報漏洩を防止する構成に代えて、例えば、ＣＰＵ１０１Ａが外部からの電源の供給が遮断されたことを検出すると、鍵記憶用揮発性メモリ１０３Ａに記憶された暗号鍵をゼロ化するように構成しても良い。すなわち、計算機システム１の外部記憶装置１００Ａが、記憶領域１０６Ａに格納されるホスト計算機１００Ａから書き込まれたデータの暗号化及び復号化を行うステップと、外部からの電源の供給が遮断すると、暗号化及び復号化の暗号計算に使用する暗号鍵を記憶する鍵記憶用揮発性メモリ１０３Ａに記憶される暗号鍵をゼロ化するステップとを備える構成である。このように計算機システム１を構成すると、例えば、鍵記憶用揮発性メモリ１０３Ａが外部記憶装置１００Ａ内のバックアップ電源により一時的にバックアップされる等の構成に対しても、記憶領域１０６Ａに記憶されたデータの情報漏洩を防止することが可能となる。

本発明は、種々の外部記憶装置に広く適用することができる。

本発明の実施の形態における計算機システムのシステム構成例を示す図である。 本発明の実施の形態における外部記憶装置において行われる各装置のパス情報の登録を行う処理のフローチャートである。 本発明の実施の形態における外部記憶装置が保持するパス管理テーブルの一例を示す図である。 本発明の実施の形態における外部記憶装置において行われる暗号鍵情報の登録を行う処理のフローチャートを示す図である。 本発明の実施の形態における外部記憶装置において行われる格納データの暗号化／復号化計算を行う処理のフローチャートを示す図である。 本発明の実施の形態における外部記憶装置において行われる計算機システムのシステム構成が変更されたときの検知方法及び暗号鍵のゼロ化処理のフローチャートを示す図である。 本発明の実施の形態における外部記憶装置において行われるホスト計算機に対するポーリング実行例を示す図である。 本発明の実施の形態における外部記憶装置において行われる不正なホスト計算機からのデータ入出力要求が行われたときの検知方法及び暗号鍵のゼロ化処理のフローチャートを示す図である。 本発明の実施の形態における外部記憶装置において行われる不正なホスト計算機からのデータ入出力要求が行われたときの検知方法及び暗号鍵のゼロ化処理のフローチャートを示す図である。 本発明の実施の形態における外部記憶装置が保持するポリシテーブルの一例を示す図である。 本発明の実施の形態における外部記憶装置の外観及び構成を示す図である。 本発明の実施の形態における外部記憶装置の外観及び構成を示す図である。 本発明の実施の形態における外部記憶装置の外観及び構成を示す図である。

符号の説明

１２…ハードディスク、２０…コントローラ、１００Ａ，１００Ｂ…外部記憶装置，１０１Ａ，１０１Ｂ…ＣＰＵ、１０２Ａ，１０２Ｂ…キャッシュメモリ、１０３Ａ，１０３Ｂ…鍵記憶用揮発性メモリ、１０４Ａ，１０４Ｂ…ＩＣカードリーダライタ、１０５Ａ，１０５Ｂ…ディスクコントローラ、１０６Ａ，１０６Ｂ…記憶領域、１０７Ａ，１０７Ｂ…ＦＣポート、１０８Ａ，１０８Ｂ…ＬＡＮポート、１０９Ａ，１０９Ｂ…ＩＣカード、１１０Ａ，１１０Ｂ…プログラムメモリ、１１１Ａ，１１１Ｂ…制御プログラム、１１２Ａ，１１２Ｂ…設定管理プログラム、１１３Ａ，１１３Ｂ…暗号計算プログラム、１１４Ａ，１１４Ｂ…鍵管理プログラム、１１５Ａ，１１５Ｂ…状態監視プログラム、１１６Ａ，１１６Ｂ…パス管理テーブル、１１７Ａ，１１７Ｂ…ポリシテーブル、１２０Ａ，１２０Ｂ…ホスト計算機、１２１Ａ，１２１Ｂ…ドライバプログラム、１２２Ａ，１２２Ｂ…ＨＢＡ、１３１…ＦＣスイッチ、１３２…管理計算機、１３３…入退出管理システム、１３４…ＬＡＮ

Claims (12)

1. ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置であって、
   ホスト計算機から書き込まれたデータを格納する記憶領域と、
   前記記憶領域に格納されたデータの暗号化及び復号化を行う暗号計算部と、
   前記ホスト計算機または前記他の外部記憶装置に対して存在確認のためのリクエストを所定期間ごとに送信する送信部と、
   前記リクエストに対する前記ホスト計算機または前記他の外部記憶装置からのレスポンスの結果に基づいて、前記暗号計算部の前記暗号化及び復号化の暗号計算に使用する暗号鍵のゼロ化を行う鍵管理部とを備え、
   前記送信部は、
   前記ホスト計算機からのデータ入出力要求のタイミングを解析し、
   前記データ入出力要求のタイミングがシーケンシャルであって、当該入出力要求の周期が予め設定された所定の閾値よりも短い場合には、前記リクエストの送信を行わない
   ことを特徴とする外部記憶装置。
2. 前記送信部は、
   前記ホスト計算機からのデータ入出力要求のタイミングがシーケンシャルアクセスであるかランダムアクセスであるかを判断し、
   前記データ入出力要求のタイミングがシーケンシャルであって、当該入出力要求の周期が予め設定された前記リクエストを送信する周期よりも長い場合には、前記データ入出力要求と前記リクエスト送信のいずれかの処理が発生する周期が、予め設定された所定の閾値よりも短くなるように、前記リクエストを送信する周期を決定する
   ことを特徴とする請求項１に記載の外部記憶装置。
3. 前記送信部は、
   前記ホスト計算機からのデータ入出力要求のタイミングがシーケンシャルアクセスであるかランダムアクセスであるかを判断し、
   前記データ入出力要求のタイミングがランダムアクセスである場合には、前記リクエストを行う周期を短くすること、
   を特徴とする請求項１に記載の外部記憶装置。
4. 前記外部記憶装置の設置されたエリアの人数を取得する取得部を備え、
   前記送信部は、前記取得部で取得した人数に基づいて、前記取得した人数が予め設定された人数よりも多い場合には、前記リクエストを送信する周期を予め設定された閾値より短く設定し、前記取得した人数が予め設定された人数以下の場合には、前記リクエストを送信する周期を前記閾値より長く設定すること、
   を特徴とする請求項１に記載の外部記憶装置。
5. ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置の情報漏洩防止方法であって、
   暗号計算部が、記憶領域に格納される前記ホスト計算機から書き込まれるデータの暗号化及び復号化を行う第１のステップと、
   送信部が、前記ホスト計算機または前記他の外部記憶装置に対して存在確認のためのリクエストを所定期間ごとに送信する第２のステップと、
   鍵管理部が、前記リクエストに対する前記ホスト計算機または前記他の外部記憶装置からのレスポンスの結果に基づいて、前記暗号計算部の前記暗号化及び復号化の暗号計算に使用する暗号鍵のゼロ化を行う第３のステップと、
   前記第２のステップにおいて、前記送信部が、前記ホスト計算機からのデータ入出力要求のタイミングを解析し、前記データ入出力要求のタイミングがシーケンシャルであって、当該入出力要求の周期が予め設定された所定の閾値よりも短い場合には、前記リクエストの送信を行わない
   ことを特徴とする外部記憶装置の情報漏洩防止方法。
6. 前記第２のステップにおいて、前記送信部が、前記ホスト計算機からのデータ入出力要求のタイミングがシーケンシャルアクセスであるかランダムアクセスであるかを判断し、
   前記データ入出力要求のタイミングがシーケンシャルであって、当該入出力要求の周期が予め設定された前記リクエストを送信する周期よりも長い場合には、前記データ入出力要求と前記リクエスト送信のいずれかの処理が発生する周期が、予め設定された所定の閾値よりも短くなるように、前記リクエストを送信する周期を決定する
   ことを特徴とする、請求項５に記載の外部記憶装置の情報漏洩防止方法。
7. 前記第２のステップにおいて、前記送信部が、前記ホスト計算機からのデータ入出力要求のタイミングがシーケンシャルアクセスであるかランダムアクセスであるかを判断し、
   前記データ入出力要求のタイミングがランダムアクセスである場合には、前記リクエストを行う周期を短くすること、
   を特徴とする請求項５に記載の外部記憶装置の情報漏洩防止方法。
8. 取得部が、前記外部記憶装置の設置されたエリアの人数を取得する第４のステップを備え、
   前記第２のステップにおいて、前記送信部が、前記第４のステップで取得した人数に基づいて、前記取得した人数が予め設定された人数よりも多い場合には、前記リクエストを送信する周期を予め設定された閾値より短く設定し、前記取得した人数が予め設定された人数以下の場合には、前記リクエストを送信する周期を前記閾値より長く設定すること、
   を特徴とする請求項５記載の外部記憶装置の情報漏洩防止方法。
9. ホスト計算機または他の外部記憶装置とネットワークを介してアクセス可能な外部記憶装置を含む記憶システムであって、
   前記外部記憶装置の記憶領域に格納される前記ホスト計算機から書き込まれたデータの暗号化及び復号化を行う暗号計算部と、
   前記ホスト計算機または前記他の外部記憶装置に対して存在確認のためのリクエストを所定期間ごとに前記外部記憶装置から送信する送信部と、
   前記リクエストに対する前記ホスト計算機または前記他の外部記憶装置からのレスポンスの結果に基づいて、前記外部記憶装置内の前記暗号計算部の前記暗号化及び復号化の暗号計算に使用する暗号鍵のゼロ化を行う鍵管理部とを備え、
   前記送信部は、
   前記ホスト計算機からのデータ入出力要求のタイミングを解析し、
   前記データ入出力要求のタイミングがシーケンシャルであって、当該入出力要求の周期が予め設定された所定の閾値よりも短い場合には、前記リクエストの送信を行わない
   ことを特徴とする記憶システム。
10. 前記送信部は、
    前記ホスト計算機からのデータ入出力要求のタイミングがシーケンシャルアクセスであるかランダムアクセスであるかを判断し、
    前記データ入出力要求のタイミングがシーケンシャルであって、当該入出力要求の周期が予め設定された前記リクエストを送信する周期よりも長い場合には、前記データ入出力要求と前記リクエスト送信のいずれかの処理が発生する周期が、予め設定された所定の閾値よりも短くなるように、前記リクエストを送信する周期を決定する
    ことを特徴とする、請求項９に記載の記憶システム。
11. 前記送信部は、
    前記ホスト計算機からのデータ入出力要求のタイミングがシーケンシャルアクセスであるかランダムアクセスであるかを判断し、
    前記データ入出力要求のタイミングがランダムアクセスである場合には、前記リクエストを行う周期を短くすること、
    を特徴とする請求項９に記載の記憶システム。
12. 前記外部記憶装置の設置されたエリアの人数を前記外部記憶装置で取得する取得部を備え、
    前記送信部は、前記取得部で取得した人数に基づいて、前記取得した人数が予め設定された人数よりも多い場合には、前記リクエストを送信する周期を予め設定された閾値より短く設定し、前記取得した人数が予め設定された人数以下の場合には、前記リクエストを送信する周期を前記閾値より長く設定すること、
    を特徴とする請求項９に記載の記憶システム。

Images