JP4937863B2 - 計算機システム、管理計算機及びデータ管理方法 - Google Patents

Description

本発明は、ストレージ装置に格納されたデータを消去する技術に関し、特に、消去対象のデータの複製を消去する技術に関する。

一台以上の外部記憶装置と一台以上の計算機とを接続するストレージエリアネットワーク（ＳＡＮ）が知られている。ストレージエリアネットワークは、複数の計算機が一つの大規模記憶装置を共有する場合に特に有効である。ストレージエリアネットワークを含むストレージシステムは、記憶装置又は計算機を容易に追加又は削除できるため、拡張性に優れている。

また、ＳＡＮに接続する外部記憶装置には、ディスクアレイ装置が一般的によく利用される。ディスクアレイ装置は、ハードディスクに代表される記憶デバイス（例えば、磁気記憶デバイス）を多数搭載する装置である。

ディスクアレイ装置は、ＲＡＩＤ（Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙ ｏｆ Ｉｎｄｅｐｅｎｄｅｎｔ Ｄｉｓｋｓ）技術によって、数台の磁気記憶デバイスを一つのＲＡＩＤグループとして管理する。ＲＡＩＤグループは、一つ以上の論理的な記憶領域を形成する。ＳＡＮに接続された計算機は、当該記憶領域に対してデータ入出力処理を実行する。ディスクアレイ装置は、当該記憶領域にデータを記録する場合に、ＲＡＩＤグループを構成する磁気記憶デバイスに冗長データを記録する。当該冗長データによって、磁気記憶デバイスの一つが故障した場合であっても、データを復元することができる。

また、磁気記憶デバイスに記録されたデータを消去するためには、消去対象の記憶領域にダミーデータを上書きする。しかし、ダミーデータの上書き回数が一回のみの場合には、残留磁気が残存してしまうため、データが復元可能となってしまう場合がある。そこで、ダミーデータの上書きを少なくとも三回以上繰り返すことによって、完全に残留磁気を消去する技術が開示されている（特許文献１参照）。完全に残留磁気を消去し、データの復元を防止することによって、セキュリティリスクを軽減することができる。

近年、複数の論理記憶装置を備え、当該複数の論理記憶装置のいずれかを計算機のアクセス対象とするジュークボックス制御機構を有する記憶装置システムが提案されている。ジュークボックス制御機構は、管理計算機からの要求に応じて、アクセス対象の論理記憶装置を変更することができる（特許文献２参照）。アクセス対象の論理記憶装置を変更することによって、変更時点のデータの複製を保存することが可能となり、データの複製を世代管理することができる。
特開２００７−１１５２２号公報 特開２００５−２０９１４９号公報

磁気ディスク媒体（ハードディスクドライブ）は、データを保存するために広く使われている。磁気ディスク媒体に記録されたデータは、単純なファイル削除操作又はボリュームフォーマット処理では完全に抹消されずに、復元可能であるという特徴がある。特に磁気ディスクの特性上、データを一回のみ上書きした場合又はフォーマット処理では残留磁気が媒体上に残存し、残留磁気を元にデータが復元されてしまう場合がある。

また、近年のセキュリティに対する関心の高まりに伴って、保存されたデータを完全に消去する技術が求められている。そこで、磁気ディスク上の残留磁気を完全に抹消するためには、ダミーデータの上書きを複数回繰り返す完全消去処理が有効である。

一方、記憶装置に格納されたデータを完全に消去した場合であっても、バックアップデータが保存されている場合には、当該バックアップデータからデータが漏洩してしまうおそれがある。特に、過去に作成されたバックアップデータの管理が不十分な場合には、データの消去が困難になる可能性がある。

さらに別の要因として、磁気記憶装置のデータを磁気記憶装置にバックアップを作成する場合には、コピー元のデータ領域を複数回上書きして完全消去し、ゼロデータに置き換えた場合であっても、ゼロデータをコピー先のディスクに複製するだけでは、コピー先のデータ領域に対する上書きは一回のみであるため、残留磁気が残存し、データを復元することができる可能性がある。

本発明の代表的な一形態では、ストレージ装置と、前記ストレージ装置にネットワークを介して接続されるホスト計算機と、前記ストレージ装置及び前記ホスト計算機にアクセス可能な管理計算機と、を含む計算機システムであって、前記ストレージ装置は、前記ネットワークに接続される第１インタフェースと、前記第１インタフェースに接続される第１プロセッサと、前記第１プロセッサに接続される第１メモリと、を備え、データが読み書きされる第１のボリュームを前記ホスト計算機に提供し、前記管理計算機は、前記ネットワークに接続される第２インタフェースと、前記第２インタフェースに接続される第２プロセッサと、前記第２プロセッサに接続される第２メモリと、を備え、前記管理計算機は、前記第１のボリュームと前記第１のボリュームに格納されたデータの複製を格納する第２のボリュームとの対応を含むカタログ情報、を格納し、前記管理計算機は、データ消去方法と複製データの消去の有無を示すデータ消去条件を含む前記第１のボリュームに格納されたデータの消去要求、を受け付けた場合には、前記第１のボリュームに格納されたデータの前記データ消去条件に従った消去を前記ストレージ装置に要求し、前記ストレージ装置は、前記第１のボリュームに格納されたデータの消去要求に基づいて、前記第１のボリュームに格納されたデータを、前記データ消去条件に従って消去し、前記管理計算機は、前記データ消去条件に従って、前記カタログ情報に基づいて、前記第１のボリュームに格納されたデータの複製を格納する前記第２のボリュームを特定し、前記管理計算機は、前記特定された第２のボリュームに格納されたデータの前記データ消去条件に従った消去を前記ストレージ装置に要求し、前記ストレージ装置は、前記特定された第２のボリュームに格納されたデータを、前記データ消去条件に従って、消去し、前記管理計算機は、前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去された場合には、それぞれ前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去されたことを示す消去証明書を出力する。

本発明の一形態によれば、記憶領域に格納されたデータを消去した場合に、消去されたデータの複製（バックアップ、アーカイブ）をさらに消去することによって、セキュリティリスクを低減することができる。

以下に図面を参照しながら本発明の実施の形態を説明する。

（第１の実施の形態）
図１は、本発明の第１の実施の形態のストレージエリアネットワークの構成を表す図である。ストレージエリアネットワークは、データ入出力用ネットワーク及び管理用ネットワーク６００によって構成される。

データ入出力用ネットワークは、ストレージ装置１００、テープライブラリ装置２００、ホスト計算機３００及びネットワーク接続装置４００を含む。ホスト計算機３００及びストレージ装置１００は、ネットワーク接続装置４００を介して互いに接続することによって、相互にデータを入出力する。データ入出力用ネットワークは、図１では太線で表示されている。データ入出力用ネットワークは、ファイバチャネル又はイーサネット（「イーサネット」は登録商標、以下同じ）などの従来技術によるネットワークである。

管理用ネットワーク６００は、ファイバチャネル又はイーサネットなどの従来技術によるネットワークである。ストレージ装置１００、テープライブラリ装置２００、ホスト計算機３００及びネットワーク接続装置４００は、管理用ネットワーク６００を介して管理計算機５００に接続する。

ホスト計算機３００は、データベース又はファイルサーバなどのアプリケーションが稼働し、記憶領域に対するデータの入出力を実行する。ストレージ装置１００は、磁気記憶装置などの記憶デバイスを搭載し、ホスト計算機３００によって読み書きされるデータの記憶領域を提供する。テープライブラリ装置２００は、ストレージ装置１００に格納されたデータのバックアップをテープに記録する。ネットワーク接続装置４００は、ホスト計算機３００とストレージ装置１００とを接続する機器であって、例えば、ファイバチャネルスイッチである。

なお、第１の実施の形態では、管理用ネットワーク６００と、データ入出力用ネットワークとが、それぞれ独立した形態となっているが、双方の機能を兼ねる単一のネットワークであってもよい。

図２は、本発明の第１の実施の形態のストレージ装置１００の構成を示す図である。

ストレージ装置１００は、データ入出力用通信インタフェース１４０、管理用通信インタフェース１５０、ストレージコントローラ１９０、プログラムメモリ１０００、データ入出力用キャッシュメモリ１６０及び磁気記憶装置１２０を含む。データ入出力用通信インタフェース１４０、管理用通信インタフェース１５０、プログラムメモリ１０００、データ入出力用キャッシュメモリ１６０及び磁気記憶装置１２０は、ストレージコントローラ１９０を介して互いに接続される。

データ入出力用通信インタフェース１４０は、データ入出力用ネットワークを介してネットワーク接続装置４００に接続する。管理用通信インタフェース１５０は、管理用ネットワーク６００を介して管理計算機５００に接続する。なお、データ入出力用通信インタフェース１４０及び管理用通信インタフェース１５０の数は任意である。また、データ入出力用通信インタフェース１４０は、管理用通信インタフェース１５０と独立した構成とする必要はなく、データ入出力用通信インタフェース１４０から管理情報を入出力し、管理用通信インタフェース１５０と共用してもよい。

ストレージコントローラ１９０は、ストレージ装置１００を制御するプロセッサを搭載する。データ入出力用キャッシュメモリ１６０は、ホスト計算機３００から記憶領域に対する入出力を高速化するための一時記憶領域である。データ入出力用キャッシュメモリ１６０は、揮発性メモリによる構成が一般的であるが、不揮発性メモリ又は磁気記憶装置で代用することも可能である。なお、データ入出力用キャッシュメモリ１６０の個数及び容量に制限はない。磁気記憶装置１２０は、ホスト計算機３００によって読み書きされるデータを格納する。

プログラムメモリ１０００は、ストレージ装置１００で実行される処理に必要なプログラム及び制御情報を格納する。プログラムメモリ１０００は、磁気記憶装置又は揮発性半導体メモリによって構成される。プログラムメモリ１０００に格納される制御プログラム及び制御情報は、図５にて後述する。

図３は、本発明の第１の実施の形態のホスト計算機３００の構成を示す図である。

ホスト計算機３００は、データ入出力用通信インタフェース３４０、管理用通信インタフェース３５０、入力用インタフェース３７０、出力用インタフェース３７５、演算処理装置３８０、磁気記憶装置３２０及びデータ入出力用キャッシュメモリ３６０を含む。

データ入出力用通信インタフェース３４０、管理用通信インタフェース３５０、入力用インタフェース３７０、出力用インタフェース３７５、演算処理装置３８０、磁気記憶装置３２０及びデータ入出力用キャッシュメモリ３６０は、通信バス３９０を介して互いに接続される。ホスト計算機３００は、汎用計算機（ＰＣ）で実現可能なハードウェア構成である。

データ入出力用通信インタフェース３４０は、データ入出力用ネットワークを介してネットワーク接続装置４００に接続し、データを入出力する。管理用通信インタフェース１５０は、管理用ネットワーク６００を介して管理計算機５００に接続し、管理情報を入出力する。なお、データ入出力用通信インタフェース３４０及び管理用通信インタフェース３５０の数は任意である。また、データ入出力用通信インタフェース３４０は、管理用通信インタフェース３５０と独立した構成とする必要はなく、データ入出力用通信インタフェース３４０から管理情報を入出力し、管理用通信インタフェース３５０と共用してもよい。

入力用インタフェース３７０は、利用者が情報を入力するための機器と接続し、例えば、キーボード及びマウスなどと接続する。出力用インタフェース３７５は、利用者に情報を出力するための機器と接続し、例えば、汎用ディスプレイなどと接続する。演算処理装置３８０は、各種演算を実行し、ＣＰＵ又はプロセッサに相当する。磁気記憶装置３２０は、オペレーティングシステム及びアプリケーションなどのソフトウェアを格納する。

データ入出力用キャッシュメモリ３６０は、揮発性メモリなどによって構成され、磁気記憶装置３２０に対するデータ入出力を高速化するために使用される。データ入出力用キャッシュメモリ３６０は、揮発性メモリによる実装が一般的であるが、不揮発性メモリ又は磁気記憶装置で構成してもよい。なお、データ入出力用キャッシュメモリ３６０の個数及び容量に制限はない。

プログラムメモリ３０００は、ホスト計算機３００で実行される処理に必要なプログラム及び制御情報を格納する。プログラムメモリ３０００は、磁気記憶装置又は揮発性半導体メモリによって構成される。

プログラムメモリ３０００は、業務アプリケーションプログラム３００１を記憶する。業務アプリケーションプログラム３００１は、例えば、データベース又は会計プログラムなど、ストレージ装置１００に格納される情報を作成及び更新するプログラムである。

図４は、本発明の第１の実施の形態の管理計算機５００の構成を示す図である。

管理計算機５００は、データ入出力用通信インタフェース５４０、管理用通信インタフェース５５０、入力用インタフェース５７０、出力用インタフェース５７５、演算処理装置５８０、磁気記憶装置５２０、プログラムメモリ５０００及びデータ入出力用キャッシュメモリ５６０を含む。

データ入出力用通信インタフェース５４０、管理用通信インタフェース５５０、入力用インタフェース５７０、出力用インタフェース５７５、演算処理装置５８０、磁気記憶装置５２０、プログラムメモリ５０００及びデータ入出力用キャッシュメモリ５６０は、通信バス５９０を介して互いに接続される。管理計算機５００は、汎用計算機（ＰＣ）で実現可能なハードウェア構成となっており、各部の機能は、図３に示されたホスト計算機３００と同じである。

プログラムメモリ５０００は、管理計算機５００で実行される処理に必要なプログラム及び情報を格納する。プログラムメモリ５０００は、磁気記憶装置又は揮発性半導体メモリによって構成される。プログラムメモリ５０００に格納されるプログラム及び情報は、図６にて後述する。

図５は、本発明の第１の実施の形態のストレージ装置１００のプログラムメモリ１０００に格納される制御プログラム及び制御情報の一例を示す図である。

プログラムメモリ１０００には、ストレージ構成管理機構１０１０、コピー管理機構１０２０、データ消去プログラム１００１及び構成情報更新サービスプログラム１００２が含まれる。

ストレージ構成管理機構１０１０は、ストレージ装置１００がホスト計算機３００に提供する記憶資源を管理するためのプログラム及び情報を含む。具体的には、ストレージ構成管理機構１０１０には、記憶領域構成管理プログラム１０１１、ＲＡＩＤグループ構成情報１０１２、記憶領域構成情報１０１３、論理記憶ユニット構成情報１０１４及び記憶領域更新制限プログラム１０１５が含まれる。

記憶領域構成管理プログラム１０１１は、ストレージコントローラ１９０に搭載されたプロセッサに実行されることによって、後述する記憶領域構成情報１０１３に基づいて、ホスト計算機３００に提供する記憶領域を管理及び制御する。

ＲＡＩＤグループ構成情報１０１２は、磁気記憶装置１２０の集合によるＲＡＩＤグループの構成情報である。ＲＡＩＤグループ構成情報１０１２の詳細については、図７にて後述する。

記憶領域構成情報１０１３は、ＲＡＩＤグループが論理的な単位に分割された記憶資源の単位である記憶領域の構成情報である。記憶領域構成情報１０１３の詳細については、図８にて後述する。

論理記憶ユニット構成情報１０１４は、ホスト計算機３００に提供する記憶資源の単位である論理記憶ユニットの構成情報である。論理記憶ユニット構成情報１０１４の詳細については、図９にて後述する。

記憶領域更新制限プログラム１０１５は、ストレージコントローラ１９０に実行されることによって、ある記憶領域に対する書き込み要求を受信した場合に、当該記憶領域への更新が許可されていなければ書き込みを実行せず、要求に対してエラーメッセージを応答する。

コピー管理機構１０２０は、ストレージ装置１００が提供する記憶領域に格納されたデータを、別の記憶領域に複製するためのプログラム及び情報である。コピー管理機構１０２０には、データコピープログラム１０２１、コピー構成情報１０２２及び更新データ情報１０２３が含まれる。

データコピープログラム１０２１は、ストレージコントローラ１９０に実行されることによって、コピー構成情報１０２２に基づいて、コピー元記憶領域に記録されたデータをコピー先記憶領域に複写する。

コピー構成情報１０２２は、コピー対象の記憶領域と、当該記憶領域のコピー先となる記憶領域の対応関係を含む。コピー構成情報１０２２の詳細については、図１０にて後述する。

更新データ情報１０２３は、ホスト計算機３００によるデータの書き込みによってコピー元記憶領域が更新された場合に、コピー先記憶領域に複写されていない差分データの位置情報がコピー元記憶領域ごとに格納される。更新データ情報１０２３の詳細については、図１１にて後述する。

データコピープログラム１０２１は、データコピー処理においてコピー元記憶領域に格納されたすべてのデータをコピー先記憶領域に複写するのではなく、更新データ情報１０２３に記録された差分だけをコピー先記憶領域に複写することによって、コピー処理を完了することができる。

データ消去プログラム１００１は、ストレージコントローラ１９０に実行されることによって、記憶領域に対してゼロデータ又は乱数データなどのダミーデータを複数回上書きする。記憶領域にダミーデータを複数回上書きすることによって、磁気記憶装置１２０上の残留磁気を抹消し、完全にデータを読み出せなくすることができる。ダミーデータの上書き回数は、例えば、３回である。

構成情報更新サービスプログラム１００２は、ストレージコントローラ１９０に搭載されたプロセッサに実行されることによって、管理計算機５００からの要求に基づいて、構成情報を送信する。

図６は、本発明の第１の実施の形態の管理計算機５００のプログラムメモリ５０００に格納される制御プログラム及び制御情報の一例を示す図である。

管理計算機５００のプログラムメモリ５０００には、データ消去要求プログラム５００１、コピー構成情報１０２２、構成情報更新プログラム５００２、消去証明書発行プログラム５００３及びコピーデータカタログ情報５１０１が記憶される。

データ消去要求プログラム５００１は、演算処理装置５８０によって実行されることによって、管理者から入力された情報に基づいて、ストレージ装置１００にデータ消去を要求する。コピー構成情報１０２２は、構成情報更新プログラム５００２によって、ストレージ装置１００に格納されたコピー構成情報１０２２と同じ内容を格納する。

構成情報更新プログラム５００２は、ストレージ装置１００が保持する構成情報を取得し、保存するためのプログラムである。構成情報更新プログラム５００２による処理の手順は、図１３にて後述する。

消去証明書発行プログラム５００３は、出力用インタフェース５７５を介して、消去証明書を管理者に提供するプログラムである。消去証明書の一例は、図１７にて後述する。

コピーデータカタログ情報５１０１は、コピー構成情報１０２２に基づいて、現在及び過去に作成されたコピーデータの格納位置をカタログとして保管している。コピーデータカタログ情報５１０１の詳細については、図１２にて後述する。

図７は、本発明の第１の実施の形態のストレージ装置１００に格納されるＲＡＩＤグループ構成情報１０１２の一例を示す図である。

ＲＡＩＤグループ構成情報１０１２は、ＲＡＩＤグループとＲＡＩＤグループを構成する磁気記憶装置との対応関係を格納する。ＲＡＩＤグループ構成情報１０１２は、ＲＡＩＤグループ識別情報１０１２１及び磁気記憶装置識別情報１０１２２を含む。

ＲＡＩＤグループ識別情報１０１２１は、ストレージ装置１００に備えられるＲＡＩＤグループを一意に識別する識別子である。

磁気記憶装置識別情報１０１２２は、ＲＡＩＤグループ識別情報１０１２１によって特定されるＲＡＩＤグループを構成する磁気記憶装置１２０を一意に識別する識別子である。例えば、ＲＡＩＤグループ「ＲＧ−０１」は、磁気記憶装置「ＨＤ−０１」、「ＨＤ−０２」、「ＨＤ−０３」及び「ＨＤ−０４」によって構成される。

図８は、本発明の第１の実施の形態のストレージ装置１００に格納される記憶領域構成情報１０１３の一例を示す図である。

記憶領域構成情報１０１３は、記憶領域識別情報１０１３１、ＲＡＩＤグループ識別情報１０１３２、開始ブロックアドレス１０１３３、終了ブロックアドレス１０１３４及び更新可否情報１０１３５を含む。

記憶領域識別情報１０１３１は、記憶領域を識別する識別子である。ＲＡＩＤグループ識別情報１０１３２は、ＲＡＩＤグループを識別する識別子である。記憶領域識別情報１０１３１によって識別される記憶領域は、ＲＡＩＤグループ識別情報１０１３２によって識別されるＲＡＩＤグループに定義された論理的な記憶領域である。

開始ブロックアドレス１０１３３は、記憶領域識別情報１０１３１によって識別される記憶領域が格納される物理領域の開始ブロックアドレスである。一方、終了ブロックアドレス１０１３４は、記憶領域識別情報１０１３１によって識別される記憶領域が格納される物理領域の終了ブロックアドレスである。

更新可否情報１０１３５は、記憶領域識別情報１０１３１によって識別される記憶領域のセキュリティ属性である。本発明の第１の実施の形態の更新可否情報１０１３５では、記憶領域がホスト計算機３００などの外部入出力装置から書き込みを許可する場合には“Ｎｏ”を記録し、書き込みを禁止するときは“Ｙｅｓ”を格納する。また、本発明の第１の実施の形態では属性値を文字列によって表現しているが、属性値は“０”又は“１”の真偽値などによって表現してもよい。

ストレージ装置１００のストレージコントローラ１９０は、記憶領域更新制限プログラム１０１５を実行すると、書き込み要求の対象である記憶領域の更新可否情報１０１３５が“Ｎｏ”である場合には、書き込み処理を実行せずにエラーを通知する。すなわち、更新可否情報１０１３５が“Ｎｏ”である間には、記憶領域に格納されたデータが保存されることが保証される。

図９は、本発明の第１の実施の形態のストレージ装置１００に格納される論理記憶ユニット構成情報１０１４の一例を示す図である。論理記憶ユニット構成情報１０１４は、通信インタフェースと、ホスト計算機３００からアクセス可能な記憶資源の単位である記憶ユニットと、記憶領域との対応が格納される。

論理記憶ユニット構成情報１０１４は、通信インタフェース識別情報１０１４１、記憶ユニット識別情報１０１４２及び記憶領域識別情報１０１４３を含む。

通信インタフェース識別情報１０１４１は、データ入出力用通信インタフェース１４０を一意に識別する識別子である。通信インタフェース識別情報１０１４１には、例えば、ＷＷＮ（Ｗｏｒｌｄ Ｗｉｄｅ Ｎａｍｅ）が格納される。

記憶ユニット識別情報１０１４２は、記憶ユニットを一意に識別する識別子である。記憶ユニットは、ストレージ装置１００に接続されたホスト計算機３００からアクセス可能な記憶資源の単位であり、ホスト計算機３００が稼働するファイルシステムにマウントされるボリュームに相当する。

記憶領域識別情報１０１４３は、ストレージ装置１００によって提供される論理的な記憶領域を一意に識別する識別子である。

図１０は、本発明の第１の実施の形態のストレージ装置１００に格納されるコピー構成情報１０２２の一例を示す図である。

コピー構成情報１０２２は、コピー元記憶領域識別情報１０２２１、コピー先記憶領域識別情報１０２２２、順序番号１０２２３及びコピー時刻１０２２４を含む。

ストレージコントローラ１９０のプロセッサは、データコピープログラム１０２１を実行することによって、コピー元記憶領域識別情報１０２２１によって識別される記憶領域から、コピー先記憶領域識別情報１０２２２によって識別される記憶領域にデータをコピーする。

順序番号１０２２３は、一つのコピー元記憶領域に対して複数のコピー先記憶領域が定義されている場合に、コピー順序を示す値である。データコピープログラム１０２１が複数のコピー先に対して順番にコピーを実行することによって、複数世代のバックアップを作成することができる。コピー時刻１０２２４は、データコピーが実行された時刻、すなわちバックアップ取得時間が格納される。

なお、管理計算機３００が複数のストレージ装置１００を管理する場合には、管理計算機３００に格納されるコピー構成情報１０２２は、コピー元及びコピー先の記憶領域識別情報によって各記憶領域を提供するストレージ装置１００を識別できる必要がある。記憶領域識別情報によってストレージ装置を識別できない場合には、コピー元及びコピー先の記憶領域を提供するストレージ装置１００の識別情報をさらに格納する必要がある。

また、コピー先の記憶領域が他のストレージ装置１００によって提供される場合には、ストレージ装置１００に格納されるコピー構成情報１０２２にコピー先の記憶領域を提供するストレージ装置１００の識別情報を格納する必要がある。

図１１は、本発明の第１の実施の形態のストレージ装置１００に格納される更新データ情報１０２３の一例を示す図である。

更新データ情報１０２３は、コピー元記憶領域とコピー先記憶領域のペアの数だけストレージ装置１００に保持される。更新データ情報１０２３は、ブロックアドレス１０２３１及び更新情報１０２３２を含む。

ブロックアドレス１０２３１は、コピー元記憶領域における位置情報が格納される。更新情報１０２３２は、コピー元記憶領域のブロックアドレス１０２３１に記録されたデータがコピー先記憶領域に複写されていなければ“Ｙｅｓ”が記録され、複写されていれば“Ｎｏ”が記録される。本発明の第１の実施の形態では、更新情報１０２３２に格納される値を文字列によって表しているが、“０”又は“１”の真偽値などによって表現してもよい。

図１２は、本発明の第１の実施の形態の管理計算機５００に格納されるコピーデータカタログ情報５１０１の一例を示す図である。

コピーデータカタログ情報５１０１は、コピー元記憶領域識別情報５１０１１、コピー先記憶領域識別情報５１０１２及びコピー時刻５１０１３を含む。

コピー元記憶領域識別情報５１０１１は、コピー元の記憶領域を識別する識別子が格納される。コピー先記憶領域識別情報５１０１２は、コピー先の記憶領域を識別する識別子が格納される。コピー時刻５１０１３は、コピーが実行された時刻が格納される。

なお、管理計算機３００が複数のストレージ装置を管理する場合には、構成情報１０２２と同じく、コピーデータカタログ情報５１０１にコピー元及びコピー先の記憶領域を提供するストレージ装置１００の識別情報を格納する必要がある。

図１３は、本発明の第１の実施の形態の管理計算機５００に格納されるストレージ装置の構成情報を更新する手順を示すフローチャートである。

本処理は、演算処理装置５８０によって構成情報更新プログラム５００２が実行されることによって処理される。処理の概要は、ストレージ装置１００から構成情報を取得し、コピー構成情報１０２２及びコピーデータカタログ情報５１０１を更新する。

管理計算機５００の演算処理装置５８０は、まず、ストレージ装置１００に構成情報送信要求メッセージを送信する（ステップＳ１０１）。このとき、構成情報送信要求メッセージに、要求する構成情報を指定し、必要な構成情報のみをストレージ装置１００から取得するようにしてもよい。

ストレージ装置１００のストレージコントローラ１９０は、構成情報更新サービスプログラム１００２を実行することによって、構成情報送信要求メッセージを受信し、要求された内容に基づいて、ストレージ装置１００の構成情報を管理計算機５００に送信する（ステップＳ１０２）。

管理計算機５００の演算処理装置５８０は、ストレージ装置１００から送信された構成情報を受信すると、受信した構成情報に基づいて、プログラムメモリ５０００に格納されたコピー構成情報１０２２を更新する（ステップＳ１０３）。

さらに、管理計算機５００の演算処理装置５８０は、更新された情報をコピーデータカタログ情報５１０１に反映する（ステップＳ１０４）。このとき、登録済みの情報を破棄せずに更新情報を追記することによって、過去のコピー実績を保存することができる。

なお、過去のコピーデータが格納されていた記憶領域が、別の用途で使用されるために再利用されていた場合には、過去のコピーデータすなわちバックアップに該当しないと判定することができる。したがって、過去にコピーデータが格納されていた記憶領域が再利用されていた場合には、コピー先記憶領域識別情報５１０１２に当該記憶領域が記録されているエントリをコピーデータカタログ情報５１０１から削除してもよい。また、各エントリに対応する記憶領域がバックアップに該当するか否かを判定する項目をコピーデータカタログ情報５１０１に追加することによって、消去対象の記憶領域か否かを判定してもよい。

ここで、図１４から図１６を参照しながら、本発明の第１の実施の形態の記憶領域のデータ消去処理手順について説明する。なお、データ消去処理は、管理計算機５００の演算処理装置５８０がデータ消去要求プログラム５００１を処理することによって実行される。

図１４は、本発明の第１の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。図１４に示すフローチャートは、指定された記憶領域に格納されるデータを消去する手順を示している。

管理計算機５００の演算処理装置５８０は、まず、データ消去要求プログラム５００１を実行することによって、システム管理者によるデータ消去要求命令の入力を受け付ける（ステップＳ２０１）。データ消去要求命令には、データ消去対象及びデータ消去条件が含まれる。データ消去対象には、例えば、記憶領域又は論理記憶ユニットが指定される。また、データ消去条件は、上書き回数、ゼロデータ又はランダムデータなどの上書きデータの種別に加え、消去対象のデータのコピーデータ又はバックアップデータを消去するか否かの情報が含まれる。

管理計算機５００の演算処理装置５８０は、次に、消去対象の記憶領域への入出力停止をホスト計算機３００に要求する（ステップＳ２０２）。

ホスト計算機３００の演算処理装置３８０は、業務アプリケーションプログラム３００１の処理において、消去対象の記憶領域への入出力停止要求を受け付け、消去対象記憶量領域に対するデータ読み出し及び書き込みを停止する（ステップＳ２０３）。さらに、入出力停止完了通知を管理計算機５００に送信する（ステップＳ２０４）。

管理計算機５００の演算処理装置５８０は、以上のステップＳ２０２からＳ２０４の処理によって、データ消去処理実行前に消去対象記憶領域に対するデータの入出力を停止し、消去処理中に入出力要求が発生して障害が生じる可能性を排除する。なお、本発明の第１の実施の形態では、ホスト計算機３００に対して入出力停止を要求する手順を示したが、ストレージ装置１００の記憶領域構成情報１０１３に含まれる更新可否情報１０１３５を“Ｎｏ”に設定することによって、ホスト計算機３００からの書き込み要求を拒否してもよい。このとき、読み出し要求に対してはエラーでなく、消去済み記憶領域から読み出されたデータを擬似的に模したゼロデータを応答してもよい。

管理計算機５００の演算処理装置５８０は、次に、消去対象記憶領域に対するデータ消去要求メッセージをストレージ装置１００に送信する（ステップＳ２０５）。

ストレージ装置１００のストレージコントローラ１９０は、管理計算機５００からデータ消去要求メッセージを受信する。そして、ストレージ装置１００のストレージコントローラ１９０は、データ消去プログラム１００１を実行することによって、データ消去要求メッセージに含まれる消去条件に基づいて、指定された記憶領域に格納されたデータを消去し、かつ、残留磁気を抹消する（ステップＳ２０６）。具体的には、記憶領域全体を消去し、かつ、残留磁気を抹消するために、開始ブロックアドレス１０１３３から終了ブロックアドレス１０１３４までの領域に対して、ゼロデータ又は乱数データを指定された回数分上書きする。処理が完了すると、ストレージ装置１００のストレージコントローラ１９０は、消去処理完了通知を管理計算機５００に送信する（ステップＳ２０７）。

図１５は、本発明の第１の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。図１５に示すフローチャートは、ホスト計算機３００からの書き込みを再開する手順を示している。

管理計算機５００の演算処理装置５８０は、図１４のステップＳ２０５の処理が終了し、ストレージ装置１００から消去処理完了通知を受信すると、消去対象記憶領域に対するデータの入出力の再開をホスト計算機３００に要求する（ステップＳ２０８）。

ホスト計算機３００の演算処理装置３８０は、消去対象記憶領域に対するデータの入出力を再開する（ステップＳ２０９）。さらに、入出力再開完了通知を管理計算機５００に送信する（ステップＳ２１０）。

以上のステップＳ２０８からＳ２１０の処理が実行されることによって、ホスト計算機３００から消去対象の記憶領域に再びアクセスすることが可能となる。

図１６は、本発明の第１の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。図１６に示すフローチャートは、消去対象領域の複製が格納された記憶領域のバックアップデータを消去する手順を示している。

管理計算機５００の演算処理装置５８０は、まず、ステップＳ２０１の処理で入力されたデータ消去条件にコピーデータを消去する指示が含まれるか否かを判定する（ステップＳ２１１）。

管理計算機５００の演算処理装置５８０は、コピーデータを消去する場合には（ステップＳ２１１の結果が「Ｙｅｓ」）、コピーデータカタログ情報５１０１を参照し、消去対象記憶領域の複製を格納する記憶領域を検索し、取得する（ステップＳ２１２）。

管理計算機５００の演算処理装置５８０は、ステップＳ２１２の処理で取得されたすべてのコピー先記憶領域について、以下のデータ消去処理を繰り返す（ステップＳ２１３）。

管理計算機５００の演算処理装置５８０は、コピー先記憶領域を消去対象とするデータ消去要求メッセージをストレージ装置１００に送信する（ステップＳ２１４）。

ストレージ装置１００のストレージコントローラ１９０は、データ消去要求メッセージを受信すると、データ消去要求メッセージに含まれる消去条件に基づいて、消去対象の記憶領域のデータを消去し、かつ、残留磁気を抹消する（ステップＳ２１５Ａ）。

ストレージ装置１００のストレージコントローラ１９０は、さらに、コピー元記憶領域とコピー先記憶領域とのペア関係を格納した更新データ情報１０２３を初期化する（ステップＳ２１５Ｂ）。ステップＳ２１５Ｂの処理は、コピー元記憶領域とコピー先記憶領域がいずれも消去された状態であることから、次回の差分データ複写時にコピー元記憶領域に上書きされた全データが複写されないようにするための処理である。更新データ情報１０２３の初期化処理は、消去対象の記憶領域の更新情報１０２３２にすべて“Ｎｏ”を記録すればよい。

ストレージ装置１００のストレージコントローラ１９０は、消去対象の記憶領域のデータの消去が完了すると、消去処理完了通知を管理計算機５００に送信する（ステップＳ２１６）。

管理計算機５００の演算処理装置５８０は、ステップＳ２１２の処理で取得されたすべてのコピー先記憶領域のデータの消去が完了した場合には、消去された記憶領域の情報を消去条件及び時刻とともに消去証明書に記載し、出力用インタフェース５７５から出力する（ステップＳ２１７）。なお、消去証明書の出力は、画面に出力してもよいし、プリンタから紙に印刷することによって出力してもよい。

なお、管理計算機５００の演算処理装置５８０は、コピーデータを消去しない場合には（ステップＳ２１１の結果が「Ｎｏ」）、コピーデータの消去をせずに消去証明書を発行する（ステップＳ２１７）。

図１７は、本発明の第１の実施の形態の消去証明書の出力例を示す図である。

消去証明書には、データ消去処理を施した記憶領域の一覧が、消去条件とともに出力される。消去対象がコピー先記憶領域である場合には、コピー構成情報１０２２のコピー時刻１０２２４を記載することによって、データが複製された時期を明示してもよい。また、管理者がコピー元の記憶領域を消去対象としてステップＳ２０１の処理で入力した場合には、あわせて消去された記憶領域の数及び識別情報を消去証明書に出力してもよい。

以上の手順に基づいて、本発明の第１実施の形態のデータ消去処理の流れを具体的に説明する。

ここでは、図１４のステップＳ２０１の処理において、消去対象の記憶領域として、記憶領域“ＬＤ−０１”の消去が管理者によって指示された場合について説明する。また、ステップＳ２０１の処理入力された消去条件は、コピー先記憶領域の消去を実行し、さらに、上書き回数は３回、１回目は全記憶領域にゼロデータを上書き、２回目は乱数データを上書き、３回目に再びゼロデータを上書きするアルゴリズムが指示されたとする。

管理計算機５００の演算処理装置５８０は、“ＬＤ−０１”に入出力する業務アプリケーションプログラム３００１の実行を一時停止するようにホスト計算機３００に指示する（ステップＳ２０３）。さらに、“ＬＤ−０１”のデータ消去を指示するようにストレージ装置１００に指示する（ステップＳ２０６）。

管理計算機５００の演算処理装置５８０は、データの消去が完了すると、“ＬＤ−０１”に対する業務アプリケーションプログラム３００１の実行によるデータの入出力を再開する（ステップＳ２０９）。

続いて、管理計算機５００の演算処理装置５８０は、コピーデータの消去が消去条件に含まれているため、コピー構成情報１０２２を参照し、“ＬＤ−０１”のコピー先記憶領域を取得する（ステップＳ２１２）。具体的には、図１０のコピー構成情報１０２２を参照すると、コピー先記憶領域として“ＬＤ−０５”、“ＬＤ−０６”、“ＬＤ−０７”を取得することができる。また、過去にコピー先記憶領域として利用されていた記憶領域を取得する場合には、図１２に示したコピーデータカタログ情報５１０１を参照すればよい。

管理計算機５００の演算処理装置５８０は、消去対象のコピー先記憶領域“ＬＤ−０５”、“ＬＤ−０６”及び“ＬＤ−０７”に対して消去処理を実行する（ステップＳ２１３）。

ストレージ装置１００のストレージコントローラ１９０は、管理計算機５００からの要求を受け付けると、“ＬＤ−０５”、“ＬＤ−０６”、“ＬＤ−０７”の消去を実行する（ステップＳ２１５）。

最後に、管理計算機５００の演算処理装置５８０は、図１７に示した消去証明書を発行し（ステップＳ２１７）、本処理を終了する。

図１８は、本発明の第１の実施の形態のストレージ装置１００のコピー構成を示す図である。なお、図１８では、２台のストレージ装置が示されており、それぞれ、ストレージ装置１００Ａ及びストレージ装置１００Ｂとする。ストレージ装置１００Ａ及びストレージ装置１００Ｂは、前述したストレージ装置１００と同じ構成である。

記憶領域“ＬＤ−０１”は、図１０に示したコピー構成情報を参照すると、“ＬＤ−０５”、“ＬＤ−０６”及び“ＬＤ−０７”がコピー先記憶領域として登録されている。このような構成では、“ＬＤ−０１”とコピー先記憶領域の消去を指示された場合には、“ＬＤ−０１”、“ＬＤ−０５”、“ＬＤ−０６”及び“ＬＤ−０７”が消去対象となる。

また、コピー構成をカスケード構成としてもよい。具体的には、記憶領域“ＬＤ−６１”は、“ＬＤ−６２”、“ＬＤ−６３”及び“ＬＤ−６４”がコピー先記憶領域として登録されている。さらに、“ＬＤ−６３”には、“ＬＤ−６５”及び“ＬＤ−６６”がコピー先として登録されている。カスケード構成では、“ＬＤ−６５”及び“ＬＤ−６６”に記録されるデータは、“ＬＤ−６１”の特定の時点における複製となる。したがって、“ＬＤ−６１”のデータ消去が指示され、消去条件としてコピー先記憶領域のデータ消去を指示されている場合には、記憶領域“ＬＤ−６２”、“ＬＤ−６３”、“ＬＤ−６４”、“ＬＤ−６５”及び“ＬＤ−６６”が消去対象となり、ステップＳ２１５の処理で消去される。

さらに、コピー構成を複数のストレージ装置１００に複製が格納されるリモートコピー構成としてもよい。“ＬＤ−５１”には、ストレージ装置１００Ａにコピー先記憶領域として“ＬＤ−５２”及び“ＬＤ−５３”が作成されており、さらに、ストレージ装置１００Ｂに“ＬＤ−８１”が作成されている。すなわち、“ＬＤ−５１”と“ＬＤ−８１”とは、リモートコピーを構成する関係にある。さらに、“ＬＤ−８１”は、ストレージ装置１００Ｂの記憶領域“ＬＤ−８２”、“ＬＤ−８３”及び“ＬＤ−８４”をコピー先としている。このような構成において、ステップＳ２０１の処理で記憶領域“ＬＤ−５１”のデータ消去が指示され、消去条件としてコピー先記憶領域のデータ消去を指示されている場合には、記憶領域“ＬＤ−５２”、“ＬＤ−５３”、“ＬＤ−８１”、“ＬＤ−８２”、“ＬＤ−８３”及び“ＬＤ−８４”が消去対象となる。

リモートコピー構成のように複製を格納するストレージ装置１００Ｂが消去対象のデータを格納するボリュームを提供するストレージ装置１００Ａと異なる場合には、前述したように、コピー構成情報１０２２及びコピーデータカタログ情報５１０１にストレージ装置の識別情報を含ませる必要がある。

また、リモートコピー構成の場合には、ストレージ装置１００Ｂに対するデータ消去要求をストレージ装置１００Ａから送信してもよいし、管理計算機３００から送信してもよい。なお、過去に記録されたデータの複製を格納し、保管されている記憶領域を消去する場合には、管理計算機３００に格納されたコピーデータカタログ情報５１０１を参照して当該記憶領域を含むストレージ装置に対してデータ消去要求を送信する必要がある。

本発明の第１の実施の形態によれば、指定された記憶領域のデータを消去する場合に、バックアップデータなどの当該データの複製を同時に消去することができる。

また、本発明の第１の実施の形態によれば、バックアップデータの残留磁気まで含めた完全消去を実行するため、データの復元を防止し、セキュリティリスクを低減することができる。

（第２の実施の形態）
本発明の第１の実施の形態では、指定された記憶領域に格納されたデータを消去する場合に、当該記憶領域のコピー先の記憶領域に格納されたデータを消去する技術について説明したが、本発明の第２の実施の形態では、消去対象の記憶領域に格納されたデータについて、別の形態で保存されたデータを消去する場合について説明する。具体的には、特許文献２に開示された、ストレージ装置１００が論理記憶ユニットを構成する記憶領域を別の記憶領域に切り替える技術に対して適用する。特許文献２に開示された技術では、記憶領域が切り替えられた時点における記憶領域に格納されたデータを保存することが可能である。

なお、本発明の第２の実施の形態において、本発明の第１の実施の形態と共通する内容については適宜説明を省略する。

図１９は、本発明の第２の実施の形態のストレージ装置１００のプログラムメモリ１０００に格納される制御プログラム及び制御情報の一例を示す図である。

本発明の第２の実施の形態のプログラムメモリ１０００に格納される制御プログラム及び制御情報は、コピー管理機構１０２０の代わりに記憶領域交換プログラム１００３を含む。ストレージ構成管理機構１０１０、データ消去プログラム１００１及び構成情報更新サービスプログラム１００２は、本発明の第１の実施の形態と同様である。

記憶領域交換プログラム１００３は、論理記憶ユニットを構成する記憶領域を別の記憶領域に置き換えるプログラムである。例えば、図９に示した論理記憶ユニット構成情報１０１４を参照すると、識別情報が“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”であるデータ入出力用通信インタフェース１４０には、識別情報が“ＬＵ−１１”である論理記憶ユニットが定義されている。そして、当該論理記憶ユニットを構成する記憶領域は、“ＬＤ−０１”となっている。

この場合において、ストレージ装置１００のストレージコントローラ１９０は、記憶領域交換プログラム１００３を実行することによって、データ入出力用通信インタフェース１４０に対応する記憶領域識別情報を“ＬＤ−０２”に更新する。データ入出力用通信インタフェース１４０に対応する記憶領域識別情報が“ＬＤ−０２”に更新されると、記憶ユニット“ＬＵ−１１”にアクセスするホスト計算機３００は、以後“ＬＤ−０１”ではなく、“ＬＤ−０２”に対してデータを読み書きする。さらに、交換される記憶領域（例えば、“ＬＤ−０１”）の更新可否情報１０１３５を“Ｎｏ”に設定することによって、記憶ユニットから解除された時点のデータを保存することができる。

図２０は、本発明の第２の実施の形態の管理計算機５００のプログラムメモリ５０００に格納される制御プログラム及び制御情報の一例を示す図である。

管理計算機５００のプログラムメモリ５０００には、データ消去要求プログラム５００１、記憶領域構成管理機構５０１０及び消去証明書発行プログラム５００３が記憶される。

データ消去要求プログラム５００１は、ストレージ装置１００にデータの消去を要求する点では、本発明の第１の実施の形態と同じであり、処理の相違点については、図２２にて後述する。

記憶領域構成管理機構５０１０は、記憶領域交換技術を用いたデータ保存を管理及び制御するためのプログラム及び情報である。記憶領域構成管理機構５０１０には、記憶領域構成情報１０１３、論理記憶ユニット構成情報１０１４、構成情報更新プログラム５００２、記憶領域交換要求プログラム５０１１及び記憶領域カタログ管理情報５０１２が含まれる。

記憶領域構成情報１０１３及び論理記憶ユニット構成情報１０１４は、構成情報更新プログラム５００２を実行することによって、ストレージ装置１００から取得される構成情報である。構成情報更新プログラム５００２による構成情報更新処理の手順は、図１３に示した本発明の第１の実施の形態と同様である。

記憶領域交換要求プログラム５０１１は、入力用インタフェース５７０を介して管理者によって入力された記憶領域交換要求操作に基づいて、ストレージ装置１００に記憶領域の交換を指示するプログラムである。

記憶領域カタログ管理情報５０１２は、記憶領域の交換指示に応じてストレージ装置１００で記憶領域交換プログラム１００３が実行され、交換された記憶領域の履歴情報を格納する。

消去証明書発行プログラム５００３は、本発明の第１の実施の形態と同様に、出力用インタフェース５７５を介して、消去証明書を管理者に提供するプログラムである。

図２１は、本発明の第２の実施の形態の管理計算機５００に格納される記憶領域カタログ管理情報５０１２の一例を示す図である。

記憶領域カタログ管理情報５０１２は、記憶領域識別情報５０１２１、使用状態情報５０１２２、通信インタフェース識別情報５０１２３、論理記憶ユニット識別情報５０１２４及び解除時刻５０１２５を含む。

記憶領域識別情報５０１２１は、論理記憶ユニットを構成する記憶領域、及び、過去に論理記憶ユニットを構成し、記憶領域交換プログラムの実行によって交換され、現在は論理記憶ユニットを構成していない記憶領域の識別子が格納される。

使用状態情報５０１２２は、記憶領域識別情報５０１２１によって識別される記憶領域が論理記憶ユニットを構成していれば“Ｏｎ”を、論理記憶ユニットを構成していなければ“Ｏｆｆ”が設定される。本発明の第２の実施の形態では、使用状態情報５０１２２の値が文字列で表現されているが、“０”又は“１”の真偽値などで表現されてもよい。

通信インタフェース識別情報５０１２３及び論理記憶ユニット識別情報５０１２４は、データ入出力用通信インタフェース１４０及びデータ入出力用通信インタフェース１４０に定義された論理記憶ユニットの識別情報が格納される。すなわち、現在又は過去において、記憶領域識別情報５０１２１で識別される記憶領域が論理記憶ユニットを構成していたことを表す情報が格納される。

解除時刻５０１２５は、記憶領域識別情報で識別される、過去に論理記憶ユニットを構成していた記憶領域が、記憶領域交換プログラム１００３の実行によって、別の記憶領域に交換された時刻が格納される。

図２２は、本発明の第２の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。

指定された記憶領域に格納されるデータを消去する手順（図１４）及びストレージ装置１００に対するホスト計算機３００からのデータのアクセスを再開する手順（図１５）については、本発明の第１の実施の形態と同じである。本処理は、管理計算機５００の演算処理装置５８０がデータ消去要求プログラム５００１を処理することによって実行される。

図２２のフローチャートに示す手順は、図１５のステップＳ２１０の処理の後に実行される手順である。処理の概要としては、記憶領域カタログ管理情報５０１２を検索することによって、消去対象の記憶領域を特定し、消去対象の記憶領域のデータを消去する。

管理計算機５００の演算処理装置５８０は、消去対象の記憶領域によって構成された論理記憶ユニットを過去に構成していた記憶領域（旧記憶領域）を消去対象とする指示が、入力されたデータ消去条件に含まれるか否かを判定する（ステップＳ３０１）。

管理計算機５００の演算処理装置５８０は、旧記憶領域を消去対象とする場合には（ステップＳ３０１の結果が「Ｙｅｓ」）、記憶領域カタログ管理情報５０１２を参照し、消去対象記憶領域によって構成された論理記憶ユニットをすべて検索し、取得する（ステップＳ３０２）。

管理計算機５００の演算処理装置５８０は、ステップＳ３０２の処理によって取得されたすべての論理記憶ユニットについて、以下の処理を実行する（ステップＳ３０３）。

管理計算機５００の演算処理装置５８０は、記憶領域カタログ管理情報５０１２を参照し、当該論理記憶ユニットを過去に構成していた記憶領域をすべて検索、取得する（ステップＳ３０４）。そして、取得されたすべての記憶領域について、以下のデータ消去処理を実行する（ステップＳ３０５）。

管理計算機５００の演算処理装置５８０は、旧記憶領域を対象としたデータ消去要求メッセージをストレージ装置１００に送信する（ステップＳ３０６）。ストレージ装置１００のストレージコントローラ１９０は、データ消去要求メッセージを受信すると、消去条件に基づいて、指定された記憶領域のデータを消去し、かつ、残留磁気を抹消する（ステップＳ３０７）。データ消去処理が完了すると、管理計算機５００の演算処理装置５８０は、消去処理完了通知を管理計算機５００に送信する（ステップＳ３０８）。

以上の手順に基づいて、本発明の第２の実施の形態のデータ消去処理の流れをより具体的に説明する。

ここでは、図１４のステップＳ２０１の処理において、消去対象の記憶領域として、記憶領域“ＬＤ−０１”の消去が管理者によって指示された場合について説明する。また、ステップＳ２０１の処理入力された消去条件には、過去に“ＬＤ−０１”と交換された旧記憶領域の消去が指示されているものとする。

管理計算機５００の演算処理装置５８０は、ステップＳ２０６の処理で記憶領域“ＬＤ−０１”を消去した後、記憶領域カタログ管理情報５０１２を参照し、記憶領域“ＬＤ−０１”が構成する論理記憶ユニットの情報を取得する（ステップＳ３０２）。具体的には、図２１に示した記憶領域カタログ管理情報５０１２を参照すると、取得された論理記憶ユニットは、通信インタフェース“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”に定義された“ＬＵ−１１”となる。さらに、記憶領域“ＬＤ−０２”が過去に論理記憶ユニット“ＬＵ−１１”を構成していたことを特定することができる（ステップＳ３０４）。管理計算機５００の演算処理装置５８０は、特定された記憶領域“ＬＤ−０２”に対してもデータ消去処理を実行する（ステップＳ３０７）。

本発明の第２の実施の形態によれば、消去対象の記憶領域とペアを構成している記憶領域だけでなく、消去対象の記憶領域の過去に取得された複製など、ホスト計算機３００からオフラインとなっているデータを消去することができる。

（第３の実施の形態）
本発明の第１の実施の形態及び第２の実施の形態では、データの複製を磁気記憶装置に格納する場合について説明したが、本発明の第３の実施の形態では、記憶領域に格納されたデータをテープ記録媒体に保存するバックアップシステムにおけるデータ消去技術について説明する。

図２３は、本発明の第３の実施の形態のテープライブラリ装置２００の構成を示す図である。

テープライブラリ装置２００は、データ入出力用通信インタフェース２４０、管理用通信インタフェース２５０、データ入出力コントローラ２９０、テープ記録媒体入出力装置２６０、テープ記録媒体２２０及びプログラムメモリ２０００を含む。データ入出力用通信インタフェース２４０、管理用通信インタフェース２５０、テープ記録媒体入出力装置２６０及びプログラムメモリ２０００は、データ入出力コントローラ２９０を介して互いに接続される。

データ入出力用通信インタフェース２４０は、データ入出力用ネットワークを介してネットワーク接続装置４００に接続する。管理用通信インタフェース２５０は、管理用ネットワーク６００を介して管理計算機５００に接続する。なお、データ入出力用通信インタフェース２４０及び管理用通信インタフェース２５０の数は任意である。また、データ入出力用通信インタフェース２４０は、管理用通信インタフェース２５０と独立した構成とする必要はなく、データ入出力用通信インタフェース２４０から管理情報を入出力し、管理用通信インタフェース２５０と共用してもよい。

テープ記録媒体入出力装置２６０は、テープ記録媒体に対するデータの読み出し及び書き込みを制御する。テープ記録媒体２２０は、磁気テープによる記録媒体である。

データ入出力コントローラ２９０は、入出力命令に基づいて、読み出し又は書き込み先のテープ記録媒体２２０をテープ記録媒体入出力装置２６０にロードし、テープ記録媒体２２０に対するデータの読み出し又は書き込み処理を実行する。

プログラムメモリ２０００は、テープライブラリ装置２００で実行される処理に必要なプログラム及び情報を格納する。プログラムメモリ２０００は、磁気記憶装置又は揮発性半導体メモリによって構成される。

プログラムメモリ２０００には、テープ記録媒体管理情報２００１及び構成情報更新プログラム２００２が格納される。

テープ記録媒体管理情報２００１は、テープライブラリ装置２００が搭載するテープ記録媒体２２０の管理情報である。構成情報更新プログラム２００２は、管理計算機５００からの要求に基づいて、構成情報を送信するプログラムである。

図２４は、本発明の第３の実施の形態のストレージ装置１００のプログラムメモリ１０００に格納される制御プログラム及び制御情報の一例を示す図である。

プログラムメモリ１０００には、ストレージ構成管理機構１０１０、データ消去プログラム１００１及び構成情報更新サービスプログラム１００２が含まれる。

本発明の第３の実施の形態のストレージ装置１００のプログラムメモリ１０００には、テープライブラリ装置２００によってデータのバックアップが作成されるため、コピー管理機構などを含まない点で本発明の第１の実施の形態及び第２の実施の形態と相違する。

ストレージ構成管理機構１０１０、コピー管理機構１０２０、データ消去プログラム１００１及び構成情報更新サービスプログラム１００２の機能は、本発明の第２の実施の形態と同様である。

図２５は、本発明の第３の実施の形態の管理計算機５００のプログラムメモリ５０００に格納される制御プログラム及び制御情報の一例を示す図である。

管理計算機５００のプログラムメモリ５０００には、データ消去要求プログラム５００１、記憶領域構成情報１０１３、論理記憶ユニット構成情報１０１４、構成情報更新プログラム５００２、バックアップ管理機構５０２０、消去証明書発行プログラム５００３及びデータ消去プログラム５００４が記憶される。

データ消去要求プログラム５００１は、管理者からの入力に基づいて、ストレージ装置１００及びテープライブラリ装置２００に対してデータ消去プログラム１００１又は５００４によるデータ消去を要求するプログラムである。

記憶領域構成情報１０１３及び論理記憶ユニット構成情報１０１４は、構成情報更新プログラム５００２を実行することによって、ストレージ装置１００から取得される構成情報である。構成情報更新プログラム５００２による構成情報更新処理の手順は、図１１に示した本発明の第１の実施の形態の手順と同様である。

消去証明書発行プログラム５００３は、本発明の第１の実施の形態と同様に、出力用インタフェース５７５を介して、消去証明書を管理者に提供するプログラムである。

データ消去プログラム５００４は、テープ記録媒体２２０に対してゼロデータ又は乱数データなどのダミーデータを上書きすることによって、テープ記録媒体２２０上の残留磁気を抹消することで完全にデータを読み出せなくするプログラムである。

バックアップ管理機構５０２０は、バックアップシステムの動作及び状況を管理又は制御するためのプログラム及び情報である。バックアップ管理機構５０２０には、バックアップ処理プログラム５０２１及びバックアップカタログ管理情報５０２２が含まれる。

バックアップ処理プログラム５０２１は、テープライブラリ装置２００に対して記憶領域に格納されたデータの書き込み処理を行うプログラムである。バックアップカタログ管理情報５０２２は、バックアップ処理プログラム５０２１によって実行されたバックアップ処理により、テープ記録媒体２２０に格納されたバックアップデータの管理情報である。

図２６は、本発明の第３の実施の形態のバックアップカタログ管理情報５０２２の一例を示す図である。

バックアップカタログ管理情報５０２２は、データ識別情報５０２２１、記憶領域識別情報５０２２２、テープ記録媒体識別情報５０２２３、開始アドレス５０２２４、終了アドレス５０２２５及び更新日時５０２２６を含む。

データ識別情報５０２２１は、バックアップデータを識別するための識別子が格納される。記憶領域識別情報５０２２２は、作成されたバックアップデータを格納していた記憶領域の識別子が格納される。記憶領域識別情報５０２２２によって識別される記憶領域のバックアップデータが、データ識別情報５０２２１で識別されるデータに対応する。

テープ記録媒体識別情報５０２２３は、バックアップデータが格納されたテープ記録媒体２２０を識別する識別子が格納される。開始アドレス５０２２４及び終了アドレス５０２２５によって定義されるアドレス空間は、テープ記録媒体識別情報５０２２３で識別されるテープ記録媒体２２０において、当該データが格納されているアドレス空間に対応する。更新日時５０２２６は、バックアップデータが作成又は更新された日時が格納される。

図２７は、本発明の第３の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。

指定された記憶領域に格納されるデータを消去する手順（図１４）及びストレージ装置１００に対するホスト計算機３００からの書き込みを再開する手順（図１５）については、本発明の第１の実施の形態と同じである。本処理は、管理計算機５００の演算処理装置５８０がデータ消去要求プログラム５００１を処理することによって実行される。

図２７のフローチャートに示す手順は、図１５のステップＳ２１０の処理の後に実行される手順である。具体的には、記憶領域カタログ管理情報５０１２を検索することによって、消去対象の記憶領域を取得し、消去対象の記憶領域のデータを消去する。

管理計算機５００の演算処理装置５８０は、テープ記録媒体２２０に記録されたバックアップデータを消去する指示が、入力されたデータ消去条件に含まれるか否かを判定する（ステップＳ４０１）。

管理計算機５００の演算処理装置５８０は、テープ記録媒体２２０に記録されたバックアップデータを消去する場合には（ステップＳ４０１の結果が「Ｙｅｓ」）、バックアップカタログ管理情報５０２２を参照し、指定された消去対象記憶領域のバックアップデータをすべて検索し、取得する（ステップＳ４０２）。

管理計算機５００の演算処理装置５８０は、取得されたすべてのバックアップデータについて、以下の処理を実行する（ステップＳ４０３）。

管理計算機５００の演算処理装置５８０は、データ消去プログラム５００４を実行することによって、テープライブラリ装置２００にバックアップデータを格納したテープ記録媒体２２０のロードを指示する。そして、テープ記録媒体２２０の開始アドレス５０２２４から終了アドレス５０２２５までに格納されたバックアップデータを消去し、残留磁気を抹消する（ステップＳ４０４）。

以上の手順に基づいて、本発明の第３の実施の形態のデータ消去処理の流れをより具体的に説明する。

ここでは、図１４のステップＳ２０１の処理において、消去対象の記憶領域として、記憶領域“ＬＤ−０１”の消去が管理者によって指示された場合について説明する。また、ステップＳ２０１の処理入力された消去条件には、“ＬＤ−０１”のバックアップデータの消去が指示されているものとする。

管理計算機５００の演算処理装置５８０は、ステップＳ２０６の処理で記憶領域“ＬＤ−０１”を消去した後、バックアップカタログ管理情報５０２２を参照し、記憶領域“ＬＤ−０１”のバックアップデータの情報を取得する（ステップＳ３０２）。図２６に示したバックアップカタログ管理情報５０２２を参照すると、記憶領域識別情報５０２２２が“ＬＤ−０１”であるバックアップデータには、“ＢＫ−０１”、“ＢＫ−０２”及び“ＢＫ−０３”が該当する。

管理計算機５００の演算処理装置５８０は、データ消去プログラム５００４を実行し、取得されたバックアップデータに対してデータ消去処理を実行する（ステップＳ４０４）。具体的には、“ＢＫ−０１”については、まず、テープライブラリ装置２００にテープ記録媒体“ＴＰ−０１”のロードを指示し、アドレス“０ｘ０００１”から“０ｘ０１００”に該当する領域に対して消去処理を実行する。同様に、“ＢＫ−０２”、“ＢＫ−０３”に対しても消去処理を実行する。

本発明の第３の実施の形態によれば、指定された記憶領域のデータを消去する場合に、当該データの複製がテープ記録媒体などの記憶装置に格納されていても、バックアップデータなどの関連するデータを消去することができる。

本発明の第１の実施の形態のストレージエリアネットワークの構成を表す図である。 本発明の第１の実施の形態のストレージ装置の構成を示す図である。 本発明の第１の実施の形態のホスト計算機の構成を示す図である。 本発明の第１の実施の形態の管理計算機の構成を示す図である。 本発明の第１の実施の形態のストレージ装置のプログラムメモリに格納される制御プログラム及び制御情報の一例を示す図である。 本発明の第１の実施の形態の管理計算機のプログラムメモリに格納される制御プログラム及び制御情報の一例を示す図である。 本発明の第１の実施の形態のストレージ装置に格納されるＲＡＩＤグループ構成情報の一例を示す図である。 本発明の第１の実施の形態のストレージ装置に格納される記憶領域構成情報の一例を示す図である。 本発明の第１の実施の形態のストレージ装置に格納される論理記憶ユニット構成情報の一例を示す図である。 本発明の第１の実施の形態のストレージ装置に格納されるコピー構成情報の一例を示す図である。 本発明の第１の実施の形態のストレージ装置に格納される更新データ情報の一例を示す図である。 本発明の第１の実施の形態の管理計算機に格納されるコピーデータカタログ情報の一例を示す図である。 本発明の第１の実施の形態の管理計算機に格納されるストレージ装置の構成情報を更新する手順を示すフローチャートである。 本発明の第１の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。 本発明の第１の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。 本発明の第１の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。 本発明の第１の実施の形態の消去証明書の出力例を示す図である。 本発明の第１の実施の形態のストレージ装置のコピー構成を示す図である。 本発明の第２の実施の形態のストレージ装置のプログラムメモリに格納される制御プログラム及び制御情報の一例を示す図である。 本発明の第２の実施の形態の管理計算機のプログラムメモリに格納される制御プログラム及び制御情報の一例を示す図である。 本発明の第２の実施の形態の管理計算機に格納される記憶領域カタログ管理情報の一例を示す図である。 本発明の第２の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。 本発明の第３の実施の形態のテープライブラリ装置の構成を示す図である。 本発明の第３の実施の形態のストレージ装置のプログラムメモリに格納される制御プログラム及び制御情報の一例を示す図である。 本発明の第３の実施の形態の管理計算機のプログラムメモリに格納される制御プログラム及び制御情報の一例を示す図である。 本発明の第３の実施の形態のバックアップカタログ管理情報の一例を示す図である。 本発明の第３の実施の形態の記憶領域のデータ消去処理手順を示すフローチャートである。

符号の説明

１００ ストレージ装置
１２０ 磁気記憶装置
１４０ データ入出力用通信インタフェース
１５０ 管理用通信インタフェース
１９０ ストレージコントローラ
３００ ホスト計算機
３２０ 磁気記憶装置
３４０ データ入出力用通信インタフェース
３５０ 管理用通信インタフェース
３７０ 入力用インタフェース
３７５ 出力用インタフェース
３８０ 演算処理装置
４００ ネットワーク接続装置
５００ 管理計算機
５２０ 磁気記憶装置
５４０ データ入出力用通信インタフェース
５５０ 管理用通信インタフェース
５７０ 入力用インタフェース
５７５ 出力用インタフェース
５８０ 演算処理装置
６００ 管理用ネットワーク
１０００ プログラムメモリ
１００１ データ消去プログラム
１００２ 構成情報更新サービスプログラム
１００３ 記憶領域交換プログラム
１０１１ 記憶領域構成管理プログラム
１０１２ ＲＡＩＤグループ構成情報
１０１３ 記憶領域構成情報
１０１４ 論理記憶ユニット構成情報
１０１５ 記憶領域更新制限プログラム
１０２１ データコピープログラム
１０２２ コピー構成情報
１０２３ 更新データ情報
２０００ プログラムメモリ
２００１ テープ記録媒体管理情報
２００２ 構成情報更新プログラム
３０００ プログラムメモリ
３００１ 業務アプリケーションプログラム
５０００ プログラムメモリ
５００１ データ消去要求プログラム
５００２ 構成情報更新プログラム
５００３ 消去証明書発行プログラム
５００４ データ消去プログラム
５０１２ 記憶領域カタログ管理情報
５０２２ バックアップカタログ管理情報
５１０１ コピーデータカタログ情報

Claims (14)

1. ストレージ装置と、前記ストレージ装置にネットワークを介して接続されるホスト計算機と、前記ストレージ装置及び前記ホスト計算機にアクセス可能な管理計算機と、を含む計算機システムであって、
   前記ストレージ装置は、前記ネットワークに接続される第１インタフェースと、前記第１インタフェースに接続される第１プロセッサと、前記第１プロセッサに接続される第１メモリと、を備え、データが読み書きされる第１のボリュームを前記ホスト計算機に提供し、
   前記管理計算機は、前記ネットワークに接続される第２インタフェースと、前記第２インタフェースに接続される第２プロセッサと、前記第２プロセッサに接続される第２メモリと、を備え、
   前記管理計算機は、前記第１のボリュームと前記第１のボリュームに格納されたデータの複製を格納する第２のボリュームとの対応を含むカタログ情報、を格納し、
   前記管理計算機は、データ消去方法と複製データの消去の有無とを示すデータ消去条件を含む前記第１のボリュームに格納されたデータの消去要求、を受け付けた場合には、前記第１のボリュームに格納されたデータの前記データ消去条件に従った消去を前記ストレージ装置に要求し、
   前記ストレージ装置は、前記第１のボリュームに格納されたデータの消去要求に基づいて、前記第１のボリュームに格納されたデータを、前記データ消去条件に従って消去し、
   前記管理計算機は、前記データ消去条件に従って、前記カタログ情報に基づいて、前記第１のボリュームに格納されたデータの複製を格納する前記第２のボリュームを特定し、
   前記管理計算機は、前記特定された第２のボリュームに格納されたデータの前記データ消去条件に従った消去を前記ストレージ装置に要求し、
   前記ストレージ装置は、前記特定された第２のボリュームに格納されたデータを、前記データ消去条件に従って、消去し、
   前記管理計算機は、前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去された場合には、それぞれ前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去されたことを示す消去証明書を出力することを特徴とする計算機システム。
2. 前記カタログ情報は、前記第１のボリュームに格納されたデータの複製が更新されることなく格納されている、前記第２のボリュームと異なる第３のボリュームの情報をさらに含み、
   前記管理計算機は、前記データ消去条件に従って、前記カタログ情報に基づいて、前記データの消去を要求された前記第１のボリュームに対応する前記第３のボリュームを特定し、
   前記ストレージ装置は、前記特定された前記第３のボリュームに格納されたデータを消去することを特徴とする請求項１に記載の計算機システム。
3. 前記ストレージ装置は、前記第１のボリューム及び前記第２のボリュームに所定のダミーデータを複数回上書きすることによって、前記第１のボリューム及び前記第２のボリュームに格納されたデータを消去することを特徴とする請求項１に記載の計算機システム。
4. 前記ストレージ装置は、前記第２のボリュームに格納されたデータの複製を格納する第４のボリュームをさらに含み、
   前記ストレージ装置は、前記第２のボリュームに格納されたデータが消去された場合に、前記第４のボリュームに格納されたデータを消去することを特徴とする請求項１に記載の計算機システム。
5. 前記計算機システムは、前記ストレージ装置に接続される第２のストレージ装置をさらに含み、
   前記第２のボリュームは、前記第２のストレージ装置によって提供されることを特徴とする請求項１に記載の計算機システム。
6. 前記第１のボリュームに対するデータの読み書きが停止され、前記第２のボリュームにデータが読み書されるように設定された場合に、前記第２のボリュームに格納されたデータの消去要求を受け付けた場合には、前記管理計算機は、前記第２のボリュームに格納されたデータの消去を前記ストレージ装置に要求し、
   前記ストレージ装置は、前記第２のボリュームに格納されたデータの消去要求に基づいて、前記第２のボリュームに格納されたデータを消去し、
   前記管理計算機は、
   前記カタログ情報に基づいて、前記第２のボリュームに対応する前記第１のボリュームを特定し、
   前記特定された第１のボリュームに格納されたデータの消去を前記ストレージ装置に要求し、
   前記ストレージ装置は、前記特定された第１のボリュームに格納されたデータを消去することを特徴とする請求項１に記載の計算機システム。
7. ストレージ装置と、前記ストレージ装置にネットワークを介して接続されるホスト計算機と、前記ストレージ装置及び前記ホスト計算機にアクセス可能な管理計算機と、を含む計算機システムにおける管理計算機であって、
   前記ネットワークに接続されるインタフェースと、前記インタフェースに接続されるプロセッサと、前記プロセッサに接続されるメモリと、を備え、
   前記メモリは、前記ストレージ装置によって前記ホスト計算機に記憶領域として提供される第１のボリュームと前記第１のボリュームに格納されたデータの複製を格納する第２のボリュームとの対応を含むカタログ情報、を記憶し、
   前記プロセッサは、
   データ消去方法と複製データの消去の有無とを示すデータ消去条件を含む前記第１のボリュームに格納されたデータの消去要求を受け付けた場合に、前記ストレージ装置に前記第１のボリュームに格納されたデータの前記データ消去条件に従った消去を要求し、
   前記データ消去条件に従って、前記カタログ情報に基づいて、前記第１のボリュームに格納されたデータの複製を格納する前記第２のボリュームを特定し、
   前記特定された第２のボリュームに格納されたデータの前記データ消去条件に従った消去を前記ストレージ装置に要求し、
   前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去された場合には、それぞれ前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去されたことを示す消去証明書を出力することを特徴とする管理計算機。
8. 前記カタログ情報は、前記第１のボリュームに格納されたデータの複製が格納され、格納されたデータが更新されないように保管されている、前記第２のボリュームと異なる第３のボリュームの情報をさらに含み、
   前記プロセッサは、
   前記データ消去条件に従って、前記カタログ情報に基づいて、前記データの消去を要求された前記第１のボリュームに対応する前記第３のボリュームを特定し、
   前記特定された前記第３のボリュームに格納されたデータの消去を前記ストレージ装置に要求することを特徴とする請求項７に記載の管理計算機。
9. ストレージ装置と、前記ストレージ装置にネットワークを介して接続されるホスト計算機と、前記ストレージ装置及び前記ホスト計算機にアクセス可能な管理計算機と、を含む計算機システムにおいて、前記ストレージ装置に格納されたデータを管理する方法であって、
   前記ストレージ装置は、前記ネットワークに接続される第１インタフェースと、前記第１インタフェースに接続される第１プロセッサと、前記第１プロセッサに接続される第１メモリと、を備え、前記ホスト計算機によってデータが読み書きされる第１のボリュームを前記ホスト計算機に提供し、
   前記管理計算機は、前記ネットワークに接続される第２インタフェースと、前記第２インタフェースに接続される第２プロセッサと、前記第２プロセッサに接続される第２メモリと、を備え、
   前記管理計算機は、前記第１のボリュームと前記第１のボリュームに格納されたデータの複製を格納する第２のボリュームとの対応を含むカタログ情報、を格納し、
   前記データ管理方法は、
   前記第２プロセッサが、データ消去方法と複製データの消去の有無とを示すデータ消去条件を含む前記第１のボリュームに格納されたデータの消去要求を受け付けた場合には、前記第１のボリュームに格納されたデータの前記データ消去条件に従った消去を前記ストレージ装置に要求し、
   前記第１プロセッサが、前記第１のボリュームに格納されたデータの消去要求に基づいて、前記第１のボリュームに格納されたデータを前記データ消去条件に従って消去し、
   前記第２プロセッサが、前記データ消去条件に従って、前記カタログ情報に基づいて、前記第１のボリュームに格納されたデータの複製を格納する前記第２のボリュームを特定し、
   前記第２プロセッサが、前記特定された第２のボリュームに格納されたデータの前記データ消去条件に従った消去を前記ストレージ装置に要求し、
   前記第１プロセッサが、前記特定された第２のボリュームに格納されたデータを前記データ消去条件に従って消去し、
   前記第２プロセッサが、前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去された場合には、それぞれ前記第１のボリューム及び前記第２のボリュームに格納されたデータが前記データ消去条件に従って消去されたことを示す消去証明書を出力することを特徴とするデータ管理方法。
10. 前記カタログ情報は、前記第１のボリュームに格納されたデータの複製が更新されることなく格納されている、前記第２のボリュームと異なる第３のボリュームの情報をさらに含み、
    前記データ管理方法は、
    前記第２プロセッサが、前記データ消去条件に従って、前記カタログ情報に基づいて、前記データの消去を要求された前記第１のボリュームに対応する前記第３のボリュームを特定し、
    前記第１プロセッサが、前記特定された前記第３のボリュームに格納されたデータを消去することを含むことを特徴とする請求項９に記載のデータ管理方法。
11. 前記第１のボリュームに格納されたデータを消去する処理は、前記第１のボリュームに所定のダミーデータを複数回上書きすることによって実行され、
    前記第２のボリュームに格納されたデータを消去する処理は、前記第２のボリュームに所定のダミーデータを複数回上書きすることによって実行されることを特徴とする請求項９に記載のデータ管理方法。
12. 前記ストレージ装置は、前記第２のボリュームに格納されたデータの複製を格納する第４のボリュームをさらに含み、
    前記データ管理方法は、前記第１プロセッサが、前記第２のボリュームに格納されたデータが消去された場合に、前記第４のボリュームに格納されたデータを消去することを含むことを特徴とする請求項９に記載のデータ管理方法。
13. 前記計算機システムは、前記ストレージ装置に接続される第２のストレージ装置をさらに含み、
    前記第２のボリュームは、前記第２のストレージ装置によって提供されることを特徴とする請求項９に記載のデータ管理方法。
14. 前記データ管理方法は、前記第１のボリュームに対するデータの読み書きが停止され、前記第２のボリュームにデータが読み書されるように設定された場合に、前記第２のボリュームに格納されたデータの消去要求を受け付けた場合には、
    前記第２プロセッサが、前記第２のボリュームに格納されたデータの消去を前記ストレージ装置に要求し、
    前記第１プロセッサが、前記第２のボリュームに格納されたデータの消去要求に基づいて、前記第２のボリュームに格納されたデータを消去し、
    前記第２プロセッサが、前記カタログ情報に基づいて、前記第２のボリュームに対応する前記第１のボリュームを特定し、
    前記第２プロセッサが、前記特定された第１のボリュームに格納されたデータの消去を前記ストレージ装置に要求し、
    前記第１プロセッサが、前記特定された第１のボリュームに格納されたデータを消去することを特徴とする請求項９に記載のデータ管理方法。

Images