JP5042660B2 - ストレージシステム - Google Patents

Description

本発明は、記憶装置を備えるストレージシステム等に関し、特に、記憶装置に格納されたデータを削除する技術（シュレッディング技術）に関する。

従来、１台以上の計算機と１台以上の外部記憶装置とを接続するネットワークであるストレージエリアネットワーク（SAN: Storage Area Network）が知られている。ＳＡＮでは、複数の計算機が連携して１つの機能を提供する場合や、１つの大容量記憶装置を１台以上の計算機で共有する場合によく使われる。ＳＡＮは、記憶資源や計算機資源を後から追加・削除・交換することが容易であり、拡張性にすぐれているという利点がある。

ＳＡＮにおいては、外部記憶装置としてディスクアレイ装置が一般的によく利用される。ディスクアレイ装置は、ハードディスクに代表される磁気記憶デバイスを多数搭載する装置である。ディスクアレイ装置では、例えば、RAID(Redundant Array of Independent Disks)技術により数台の磁気記憶デバイスをひとつの集合として管理する。この磁気記憶デバイスの集合をRAIDグループと呼ぶ。RAIDグループは１つ以上の論理的な記憶領域（論理記憶領域）を形成する。ＳＡＮに接続された計算機は、この論理記憶領域に対してデータ入出力処理を実行する。論理記憶領域にデータを記録するときには、ディスクアレイ装置は例えば、RAIDグループを構成する磁気記憶デバイスに対して１つも若しくは２つの冗長データを記録する。この冗長データを記憶しておくために、磁気記憶デバイスの１つひとつが故障した状況でもRAIDグループの残りの磁気記憶デバイスのデータから必要なデータを復元することが可能であるという利点がある。

一方、ボリューム内のすべてのデータを消去するボリュームシュレッディング技術も知られている。ボリュームシュレッディング技術では、ユーザデータが書き込まれたボリューム全体に意味のないダミーデータの上書きを行い、ユーザデータを消去する。ボリューム全体の記憶領域に渡って書き込みを行うので処理に長時間を要し、場合によっては、数時間から数日を要することもある。例えば、ボリュームシュレッディング技術に関する規格の一つである米国国防省（ＤｏＤ）規格では、ダミーデータの上書きを少なくとも３回以上繰り返すことが決められている。このボリュームシュレッディング技術によると、データを復元できないため、不要となったユーザのデータを完全に消去することができ、セキュリティ上の利点がある。

一般的に、ストレージシステムのポートに対応付けることができる論理記憶領域の数には限度があるため、ホスト計算機からアクセス可能な論理記憶領域の数には制限が生じる。これに対して、ボリュームの動的割り付け技術（例えば、特許文献１参照）では、計算機からの要求に応じて、ホスト計算機によるアクセス対象のデバイスに対応付けられる論理記憶領域を変更する。この技術によると、ストレージシステムが有するポートの数、および１つのポートに対応付けることができる論理記憶領域の数に拠ることなく、複数の論理記憶領域へのアクセスを許容し、論理記憶装置の利用効率を向上させることができる利点がある。

また、従来のＳＡＮの運用においては、ホスト計算機において稼働するファイルシステムに記憶ボリュームをマウントする際、該当する記憶ボリュームの物理ディスク容量を予め静的に割り当てる必要があった。ところが、こうした運用においては容量増設やボリューム作成・削除のためにシステム停止などの多大な工数を要する。そこで、事前に静的に物理ディスク容量を割り当てるのではなく、仮想ボリューム、すなわち、ボリュームを仮想的な記憶領域（仮想記憶領域）としてホスト計算機に提供しておき、ホスト計算機からの書き込みが発生した時点で動的に記憶リソースプールから論理記憶領域を割り当てるThin Provisioning技術が登場している（例えば、特許文献２参照）。事前に定義しておく記憶リソースプールについては、仮想ボリュームに比べて少ない容量で構成しておけばよく、容量使用効率が良くなるのに加え、記憶リソースプールへの容量増設ではホスト計算機への影響を伴わないため運用が簡易化され、管理負担が軽減される。

特開２００５−２０９１４９号公報 特開２００３−０１５９１５号公報

上述のように、磁気ディスク等の記憶装置に対する完全消去（シュレッディング）処理では、ボリュームの全領域に渡ってダミーデータの書き込みを行うため、処理時間が長大であり、例えば、数時間から数日を要することもある。消去対象のボリュームを使用するホスト計算機は、当該ボリュームに対するシュレッディング処理完了まで当該ボリュームに対するRead/Writeが実行できず、長大な待ち時間が生じるという問題が生じる。

本発明は、上記課題に鑑みなされたものであり、その目的は、消去対象のボリュームをホスト装置等が迅速に利用できるようにする技術を提供する。

上記目的達成のため、本発明の一観点に係るストレージシステムは、複数の記憶装置の少なくとも一部の記憶領域が割り当てられたボリュームを管理するストレージシステムであって、或るボリュームに格納されたデータの消去処理要求を受信する受信部と、前記或るボリュームに割り当てられている第１記憶領域と異なり、且つ前記或るボリュームに割り当て可能な第２記憶領域を検出する記憶領域検出部と、前記或るボリュームに対して、前記第１記憶領域に換えて、前記第２記憶領域を割り当てる割当部と、前記第２記憶領域の割り当て後に、前記消去処理要求の要求元に対して、前記或るボリュームに対するアクセスが可能であることを示す通知を送信する通知送信部と、前記第１記憶領域のデータの消去を行う第１データ消去部とを有する。

本発明の実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、本発明の一実施形態に係る計算機システムの構成図である。

計算機システムにおいて、データベースやファイルサーバなどのアプリケーションを稼働し、記憶領域へのデータ入出力を行うホスト計算機３００と、記憶装置の一例としてのハードディスクを備え、データを記憶する記憶領域を提供するストレージ装置１００とが、ネットワーク接続装置４００を介して互いに接続されており、ホスト計算機３００とストレージシステム１００との間で相互にデータ入出力が可能となっている。ストレージ装置１００、ホスト計算機３００、およびネットワーク接続装置４００は、管理用ネットワーク６００を経由して管理計算機５００に接続されている。なお，本実施形態では、管理用ネットワーク６００と、ネットワーク接続装置４００により構成されるデータ入出力用ネットワークとはそれぞれ独立した形態としているが、単一のネットワークによって双方の機能を兼ねるようにしても良い。

図２は、本発明の一実施形態に係るストレージシステムの構成図である。

ストレージシステム１００は、ネットワーク接続装置４００に接続され、データ入出力を行うためのデータ入出力用通信インタフェース１４０（１４０ａ、１４０ｂ）と、管理用ネットワーク６００に接続され、管理情報を入出力するための管理用通信インタフェース１５０と、ストレージシステム１００内の制御を司るプロセッサを搭載したストレージコントローラ１９０と、ストレージシステム１００の稼働に必要なプログラム、情報等を蓄積する記憶空間であるプログラムメモリ１０００と、複数の記憶装置１２０と、ホスト計算機３００から記憶装置１２０の記憶領域への入出力を高速化するための一時記憶領域であるデータ入出力用キャッシュメモリ１６０とを備えている。データ入出力用通信インタフェース１４０、管理用通信インタフェース１５０、プログラムメモリ１０００、記憶装置１２０、および入出力用キャッシュメモリ１６０は、ストレージコントローラ１９０を介して互いに接続されている。

データ入出力用通信インタフェース１４０と管理用通信インタフェース１５０とは、それぞれ、ファイバチャネルやイーサネット（登録商標）などにおいて従来利用されているネットワーク入出力装置により実装すればよい。なお、データ入出力用通信インタフェース１４０の個数と、管理用通信インタフェース１５０の個数は、単数であってもよく、複数であってもよい。また、本実施形態では、データ入出力用通信インタフェース１４０と管理用通信インタフェース１５０とは独立したものとしているが、これらを独立したものとせずに、データ入出力用通信インタフェース１４０を用いて管理情報の入出力を行うようにしてもよい。

データ入出力用キャッシュメモリ１６０は、揮発性メモリによる実装が一般的であるが、不揮発性メモリやハードディスクドライブ（ＨＤＤ）であってもよい。なお、データ入出力用キャッシュメモリ１６０の個数は、単数であっても複数であってもよい。また、データ入出力用キャッシュメモリ１６０の記憶容量は、任意の記憶容量であってよい。記憶装置１２０は、例えば、ハードディスクドライブであり、データを記憶する記憶領域を有している。本実施形態のストレージシステム１００では、複数の記憶装置１２０の記憶領域を次のように管理している。すなわち、ストレージシステム１００では、複数の記憶装置１２０をＲＡＩＤとして構成し、ＲＡＩＤとして構成された複数の記憶装置１２０の記憶領域を、１以上の論理的な記憶領域（論理記憶領域１１：図１２参照）として管理し、更に、当該論理記憶領域１１と、論理的な記憶ユニット１０（論理ボリューム１０：図１２参照）と対応付けて管理している。また、ストレージシステム１００では、仮想的な記憶領域（仮想記憶領域１５：図１２参照）を管理し、当該仮想記憶領域１５と仮想的な記憶ユニット１３（仮想ボリューム１３：図１２参照）と対応付けて管理している。更に、ストレージシステム１００では、仮想記憶領域１５に対しては、必要に応じて論理記憶領域１１が割り当てられて管理される。

プログラムメモリ１０００は、例えば、ＨＤＤまたは揮発性半導体メモリの少なくともいずれか１つにより構成され、データを記憶するメモリ空間を有しており、ストレージシステム１００の稼働に必要な基本プログラムや情報を保持する。また、プログラムメモリ１０００は、ストレージシステム１００の制御プログラムおよび制御情報を保持する。

本実施形態では、プログラムメモリ１０００は、ＲＡＩＤグループ構成情報１００１、記憶領域構成情報１００２、論理記憶ユニット構成情報１００３、仮想記憶領域プール構成情報１００４、仮想記憶ユニット構成情報１００５、仮想記憶領域割当マップ情報１００６、記憶領域構成管理プログラム１００７、記憶領域セキュリティ管理プログラム１００８、データ消去プログラム１００９、仮想記憶ユニット管理プログラム１０１０、および構成情報配布プログラム１０１１を有する。なお、各種情報１００１〜１００６の詳細については後述する。

記憶領域構成管理プログラム１００７は、記憶装置１２０の記憶領域を管理するための後述する記憶ユニット（論理ボリューム）１０や当該記憶ユニット１０に対応する論理記憶領域１１の属性を管理する処理をストレージコントローラ１９０のプロセッサに実行させるためのプログラムである。また、記憶領域構成管理プログラム１００７は、ホスト計算機３００からの命令に応じてＬＵ（論理ユニット）パスを定義し、論理記憶領域１１を記憶ユニット１０へ対応付ける制御をストレージコントローラ１９０のプロセッサに実行させるためのプログラムである。また、記憶領域構成管理プログラム１００７は、データ消去処理における消去対象の論理記憶領域１１とデータ消去済みの論理記憶領域１１との交換機能（ＬＤＥＶチェンジャ）をストレージコントローラ１９０のプロセッサに実行させるためのプログラムである。

論理記憶領域セキュリティ管理プログラム１００８は、消去処理途中の論理記憶領域１１に対して外部からのWriteを禁止する等の論理記憶領域１１へのアクセス制限をかける処理をストレージコントローラ１９０のプロセッサに実行させるためのプログラムである。データ消去プログラム１００９は、データ消去を行う対象を論理記憶領域単位で選択し、論理記憶領域の全領域に渡ってダミーデータを上書きすることにより、当該論理記憶領域にともと書き込まれていたデータを完全に消去する処理をストレージコントローラ１９０のプロセッサに実行させるためのプログラムである。

仮想記憶ユニット管理プログラム１０１０は、仮想記憶領域１５において論理記憶領域１１の割当や論理記憶領域１１で構成される仮想記憶領域プール１４（図１２参照）の構成を管理する処理をストレージコントローラ１９０のプロセッサに実行させるためのプログラムである。構成情報配布プログラム１０１１は、管理計算機５００において論理記憶ユニット１０に関する情報の更新を行わせるため、論理記憶ユニット１０の構成情報（論理記憶ユニット構成情報１００３）を管理計算機５００に送信する処理をストレージコントローラ１９０のプロセッサに実行させるためのプログラムである。

図３は、本発明の一実施形態に係るホスト計算機の構成図である。

ホスト計算機３００において、ネットワーク接続装置４００に接続され、データ入出力を行うためのデータ入出力用通信インタフェース３４０と、管理ネットワーク６００に接続され、管理情報を入出力するための管理用通信インタフェース３５０と、例えば、キーボードやマウスなどである操作者が情報を入力するための入力用インタフェース３７０と、例えば、汎用ディスプレイなどである操作者に情報を出力するための出力用インタフェース３７５と、各種計算を行うＣＰＵである演算処理装置３８０と、オペレーティングシステムやアプリケーションなどの基本ソフトウェアを保存するための磁気記憶装置３２０と、ホスト計算機３００の稼働に必要なプログラムを蓄積する記憶空間を有するプログラムメモリ３０００と、揮発性メモリなどにより構成され、データ入出力を高速化するためのデータ入出力用キャッシュメモリ３６０とが、バス３９０を介して互いに接続されている。ホスト計算機３００のハードウェア構成は汎用計算機（ＰＣ）により実現することができる。

データ入出力用通信インタフェース３４０と管理用通信インタフェース３５０とは、それぞれ、ファイバチャネルやイーサネットなどにおいて従来利用されているネットワーク入出力装置により実装すればよい。なお、データ入出力用通信インタフェース３４０の個数と、管理用通信インタフェース３５０の個数は、単数であってもよく、複数であってもよい。また、本実施形態では、データ入出力用通信インタフェース３４０と管理用通信インタフェース３５０とは独立したものとしているが、これらを独立したものとせずに、データ入出力用通信インタフェース３４０を用いて管理情報の入出力を行うようにしてもよい。

データ入出力用キャッシュメモリ３６０は、揮発性メモリによる実装が一般的であるが、不揮発性メモリやハードディスクドライブ（ＨＤＤ）であってもよい。なお、データ入出力用キャッシュメモリ３６０の個数は、単数であっても複数であってもよい。また、データ入出力用キャッシュメモリ３６０の記憶容量は、任意の記憶容量であってよい。

プログラムメモリ３０００は、例えば、ＨＤＤまたは揮発性半導体メモリの少なくともいずれか１つにより構成され、データを記憶するメモリ空間を有しており、ホスト計算機３００の稼働に必要な基本プログラムや情報を保持する。また、プログラムメモリ３０００は、ホスト計算機３００の制御プログラムおよび制御情報を保持する。プログラムメモリ３０００は、ホスト計算機記憶ボリューム構成情報３００１と、データ消去要求プログラム３００２とを保持する。なお、ホスト計算機記憶ボリューム構成情報３００１は、後述する。

データ消去要求プログラム３００２は、消去対象とするホスト計算機記憶ボリューム１６（図１２参照）を決定し、当該ホスト計算機記憶ボリューム１６に対応付けられているストレージシステム１００内の通信インタフェース１４０および記憶ユニット１０に対して、データの消去を要求するメッセージ（データ消去要求メッセージ）を送信する処理を、演算処理装置３８０に実行させるためのプログラムである。

図４は、本発明の一実施形態に係る管理計算機の構成図である。

管理計算機５００において、管理ネットワーク６００に接続され、管理情報を入出力するための管理用通信インタフェース５５０と、例えば、キーボードやマウスなどである操作者が情報を入力するための入力用インタフェース５７０と、例えば、汎用ディスプレイなどである操作者に情報を出力するための出力用インタフェース５７５と、各種計算を行うＣＰＵである演算処理装置５８０と、オペレーティングシステムやアプリケーションなどの基本ソフトウェアを保存するための記憶装置５２０と、管理計算機５００の稼働に必要なプログラムを蓄積する記憶空間を有するプログラムメモリ５０００とが、バス５９０を介して互いに接続されている。管理計算機５００のハードウェア構成は汎用計算機（ＰＣ）により実現することができる。

プログラムメモリ５０００は、例えば、ＨＤＤまたは揮発性半導体メモリの少なくともいずれか１つにより構成され、データを記憶するメモリ空間を有しており、管理計算機５００の稼働に必要な基本プログラムや情報を保持する。プログラムメモリ５０００は、論理記憶ユニット構成情報５００１と、データ消去要求プログラム５００２と、消去証明書作成プログラム５００３と、消去証明書出力プログラム５００４と、構成情報更新プログラム５００５とを保持する。ここで、論理記憶ユニット構成情報５００１については、後述する。

データ消去要求プログラム５００２は、消去対象とする記憶ユニット１０、仮想記憶ユニット１３あるいは論理記憶領域１１を決定し、ストレージシステム１００内の記憶ユニット１０、仮想記憶ユニット１３あるいは論理記憶領域１１からデータを消去する要求を送信する処理を演算処理装置５８０に実行させるためのプログラムである。消去証明書作成プログラム５００３は、ストレージシステム１００からデータを消去したことを示すデータ消去完了通知を受信すると消去証明書を作成する処理を演算処理装置５８０に実行させるためのプログラムである。消去証明書出力プログラム５００４は、作成された消去証明書を出力する処理を演算処理装置５８０に実行させるためのプログラムである。構成情報更新プログラム５００５はストレージシステム１００から受信した論理記憶ユニット構成情報１００３に基づいて論理記憶ユニット構成情報５００１を更新する処理を演算処理装置５８０に実行させるためのプログラムである。

図５は、本発明の一実施形態に係るＲＡＩＤグループ構成情報の構成の一例を示す図である。

ＲＡＩＤグループ構成情報１００１は、ＲＡＩＤグループ識別情報１００１１と、記憶容量情報１００１２と、記憶装置識別情報１００１３とのメンバを含む。

ＲＡＩＤグループ識別情報１００１１には、ＲＡＩＤを構成する単位となる各ＲＡＩＤグループ１２（図１２参照）を一意に識別する識別情報が格納される。記憶装置識別情報１００１３には、ＲＡＩＤグループ識別情報１００１１に格納されたＲＡＩＤグループ１２を構成する複数の記憶装置１２０を識別する識別情報が格納される。記憶容量情報１００１２には、対応するＲＡＩＤグループ１２における記憶容量が格納される。ここで、格納される記憶容量とは、磁気記憶装置識別情報１００１３に格納されている識別情報が示す複数の記憶装置１２０の物理記憶容量の合計値ではなく、ＲＡＩＤ構成においてデータを記録し得る論理的な実効記憶容量を意味している。例えば、ＲＡＩＤ構成が３Ｄ＋１Ｐである、すなわち、記憶装置１２０の物理記憶容量の１／４をパリティデータの記憶に使用する構成であれば、実効記憶容量は、パリティデータに使用する物理記憶容量を除いた記憶容量、すなわち、物理記憶容量の合計値の３／４の値となる。

図６は、本発明の一実施形態に係る記憶領域構成情報の構成の一例を示す図である。

記憶領域構成情報１００２は、記憶領域識別情報１００２１と、ＲＡＩＤグループ識別情報１００２２と、開始ブロックアドレス１００２３と、終了ブロックアドレス１００２４と、容量情報１００２５と、Ｒｅａｄアクセス可否情報１００２６と、Ｗｒｉｔｅアクセス可否情報１００２７と、消去状態情報１００２８とのメンバを含む。

記憶領域識別情報１００２１は、論理的な記憶領域（論理記憶領域１１）を識別するための識別情報が格納される。ＲＡＩＤグループ識別情報１００２２には、対応する論理記憶領域１１に割り当てられている物理的な記憶領域を有するＲＡＩＤグループ１２の識別情報が格納される。

開始ブロックアドレス１００２３には、対応する論理記憶領域１１に割り当てられているＲＡＩＤグループ１２上の物理的な記憶領域の開始位置を示す開始ブロックアドレスを格納する。終了ブロックアドレス１００２４には、対応する論理記憶領域１１に割り当てられているＲＡＩＤグループ１２上の物理的な記憶領域の終了位置を示す終了ブロックアドレスを格納する。論理記憶領域１１の物理位置は、開始ブロックアドレス１００２３および終了ブロックアドレス１００２４に格納された物理アドレス空間に一致する。容量情報１００２５には、対応する論理記憶領域１１の記憶容量が格納される。

Ｒｅａｄアクセス可否情報１００２６には、対応する論理記憶領域１１に格納されたデータがホスト計算機３００等の外部入出力装置から読取可能か否かを示すセキュリティ属性を格納する。本実施形態では、Ｒｅａｄアクセス可否情報１００２６には、論理記憶領域１１に格納されたデータが外部入出力装置から読み込みアクセスが可能であれば“Ｒｅａｄａｂｌｅ”が格納され、読み込みアクセスが禁止されていれば“Ｐｒｏｈｉｂｉｔｅｄ”が格納される。なお、セキュリティ属性の値を文字列で格納する例を示しているが、例えば、アクセス可否を“０”あるいは“１”等による真偽値で格納するようにしてもよい。

Ｗｒｉｔｅアクセス可否情報１００２７には、対応する論理記憶領域１１に対してホスト計算機３００等の外部入力装置から書き込みか否かを示すセキュリティ属性を格納する。本実施形態では、Ｗｒｉｔｅアクセス可否情報１００２７には、論理記憶領域１１に対して外部入出力装置から書き込みアクセスが可能であれば“Ｗｒｉｔａｂｌｅ”が格納され、書き込みアクセスが禁止されていれば“Ｐｒｏｈｉｂｉｔｅｄ”が格納される。なお、セキュリティ属性の値を文字列で格納する例を示しているが、例えば、アクセス可否を“０”あるいは“１”等による真偽値で格納するようにしてもよい。

消去状態情報１００２８には、対応する論理記憶領域１１がデータ消去状態であると保障されているか否かを示す情報が格納される。例えば、対応する論理記憶領域１１がデータ消去プログラム１００９によるデータ消去処理が施されており、且つホスト計算機３００等の外部入出力装置から書き込みされていないことが保証されていれば、属性値として“Ｅｒａｓｅｄ”が記憶される。一方、対応する論理記憶領域１１が論理記憶ユニット１０に登録されている等、外部入出力装置からの書き込みが発生する可能性がある状態に設定された時点で消去状態が保証されていない状態であることを示す属性値として“Ｎｏｔ
Ｅｒａｓｅｄ”が格納される。

図７は、本発明の一実施形態に係る論理記憶ユニット構成情報の構成の一例を示す図である。

論理記憶ユニット構成情報１００３は、通信インタフェース識別情報１００３１と、記憶ユニット識別情報１００３２と、記憶領域識別情報１００３３とを含む。通信インタフェース識別情報１００３１には、データ入出力用通信インタフェース１４０の識別情報が格納される。記憶ユニット識別情報１００３２には、記憶ユニット１０の識別情報が格納される。ここで、記憶ユニット１０は、ストレージシステム１００に接続されたホスト計算機３００からアクセス可能な記憶資源の単位であり、ホスト計算機３００が稼働するファイルシステムにマウントされるボリュームに対応する。記憶領域識別情報１００３３には、対応するデータ入出力用通信インタフェース１４０および記憶ユニット１０に対応付けられている論理記憶領域１１の識別情報が格納される。なお、管理計算機５００のプログラムメモリ５０００に格納されている論理記憶ユニット構成情報５００１も、論理記憶ユニット構成情報１００３と同様な構成となっている。

図８は、本発明の一実施形態に係る仮想記憶領域プール構成情報の構成の一例を示す図である。

仮想記憶領域プール構成情報１００４は、仮想記憶領域プール識別情報１００４１と、記憶領域識別情報１００４２とを含む。仮想記憶領域プール識別情報１００４１には、論理記憶領域１１の少なくとも一部の記憶領域によって構成される仮想記憶領域プール１４（図１２参照）の識別情報が格納される。記憶領域識別情報１００４２には、対応する仮想記憶領域プール１４を構成する論理記憶領域１１の識別情報が格納される。

図９は、本発明の一実施形態に係る仮想記憶ユニット構成情報の構成の一例を示す図である。

仮想記憶ユニット構成情報１００５は、通信インタフェース識別情報１００５１と、記憶ユニット識別情報１００５２と、仮想記憶領域プール識別情報１００５３と、仮想記憶領域識別情報１００５４とを含む。通信インタフェース識別情報１００５１には、データ入出力用通信インタフェース１４０の識別情報が格納される。記憶ユニット識別情報１００５２には、仮想記憶ユニット（仮想ボリューム）１３の識別情報が格納される。仮想記憶領域プール識別情報１００５３には、対応するデータ入出力用通信インタフェース１４０および仮想記憶ユニット１３に対応付けられている仮想記憶領域プール１４の識別情報が格納される。仮想記憶領域識別情報１００５４には、対応するデータ入出力用通信インタフェース１４０、仮想記憶ユニット１３、および仮想記憶領域プールに対応付けられている仮想記憶領域１５の識別情報が格納される。

図１０は、本発明の一実施形態に係る仮想記憶領域割当マップ情報の構成の一例を示す図である。

仮想記憶領域割当マップ情報１００６は、論理記憶領域情報１００６１と、仮想記憶領域情報１００６２と、割当可否状態情報１００６３とを含む。論理記憶領域情報１００６１は、論理記憶領域識別情報１００６４と、開始ブロックアドレス１００６５と、終了ブロックアドレス１００６６とを含む。論理記憶領域識別情報１００６４には、仮想記憶領域プール１４を構成する論理記憶領域１１の識別情報が格納される。開始ブロックアドレス１００６５には、対応する論理記憶領域１１内での記憶領域の範囲を指定するための開始ブロックアドレスが格納される。終了ブロックアドレス１００６６には、対応する論理記憶領域１１内での記憶領域の範囲を指定するための終了ブロックアドレスが格納される。この論理記憶領域情報１００６１においては、仮想記憶領域プール１４を構成する論理記憶領域１１について、開始ブロックアドレスおよび終了ブロックアドレスで表現されるアドレス範囲の記憶領域（アドレス空間）を単位として管理することができる。したがって、論理記憶領域１１をより小さい単位に細分化して管理を行うことができる。

仮想記憶領域情報１００６２は、仮想記憶領域識別情報１００６７と、開始ブロックアドレス１００６８と、終了ブロックアドレス１００６９とを含む。仮想記憶領域識別情報１００６７には、対応する論理記憶領域１１のアドレス範囲の記憶領域が割り当てられた仮想記憶領域１５の識別情報が格納される。開始ブロックアドレス１００６８には、論理記憶領域１１が割り当てられた仮想記憶領域１５の仮想アドレス空間の開始部分を示す開始ブロックアドレスが格納される。終了ブロックアドレス１００６９には、論理記憶領域１１が割り当てられた仮想記憶領域１５の仮想アドレス空間の終了部分を示す終了ブロックアドレスが格納される。

論理記憶領域情報１００６１に格納された情報と、仮想記憶領域情報１００６２に格納された情報とによると、仮想記憶領域１５の仮想アドレス空間と、当該仮想アドレス空間に割り当てられた論理記憶領域１１の物理的なアドレス空間との対応関係が管理される。

割当可否状態情報１００６３には、対応する論理記憶領域１１のアドレス空間が、仮想記憶領域１５に対する記憶領域の割当てに利用できるか否かを示す属性値が格納される。本実施形態では、対応する論理記憶領域１１のアドレス空間が、仮想記憶領域１５に対して割当て可能である場合には“Ｐｅｒｍｉｔｔｅｄ”が格納され、割当て不可能である場合には“Ｐｒｏｈｉｂｉｔｅｄ”が格納される。

例えば、仮想記憶領域割当マップ情報１００６の一番上のレコードによると、“ＬＤ−２１”で示される論理記憶領域１１のブロックアドレス“０ｘ００１１”から“０ｘ００２０”の領域は、“ＶＤ−０１”で示される仮想記憶領域１５の仮想ブロックアドレス“０ｘ０００１”から“０ｘ００１０”に対応付けられていることが示されている。このようなレコードが存在する場合に、ストレージシステム１００に対して、ホスト計算機３００から“ＶＤ−０１”で示される仮想記憶領域１５の仮想ブロックアドレス“０ｘ０００１”から“０ｘ００１０”の範囲へのデータ入出力要求があれば、“ＬＤ−２１”で示される論理記憶領域１１のブロックアドレス“０ｘ００１１”から“０ｘ００２０”の範囲へのデータ入出力要求に変換され、“ＬＤ−２１”で示される論理記憶領域１１に対する入出力が実行されることになる。

また、仮想記憶領域１５の仮想アドレス空間のうち、論理記憶領域１１が割り当てられていない領域への入出力要求が発生した場合には、仮想記憶ユニット管理プログラム１０１０を実行するストレージコントローラ１９０のプロセッサは、当該仮想アドレス空間に対して新たに論理記憶領域１１内の領域を動的に割り当てることで入出力処理を遂行する。このとき，“ＬＤ−２１”で示される論理記憶領域１１のブロックアドレス“０ｘ００３１”から“０ｘ００４０”の領域は、割当可否状態情報１００６３に記録されているとおり、仮想記憶領域１５への割当てが禁止されているため、仮想記憶ユニット管理プログラム１０１０を実行するプロセッサは、当該領域の割り当てを行わず、割り当てが許可されている他の領域を割り当てる。

図１１は、本発明の一実施形態に係るホスト計算機記憶領域構成情報の構成の一例を示す図である。

ホスト計算機記憶領域構成情報３００１は、記憶ボリューム識別情報３００１１と、記憶デバイス識別情報３００１２と、通信インタフェース識別情報３００１３と、記憶ユニット識別情報３００１４とを含む。

記憶ボリューム識別情報３００１１には、ホスト計算機３００で稼動するファイルシステムの記憶ボリューム１６を示す識別情報が格納される。記憶デバイス識別情報３００１２には、対応する記憶ボリューム１６をマウント先としてマウントさせる記憶デバイスの識別情報が格納される。通信インタフェース識別情報３００１３には、対応する記憶ボリューム１６へのアクセスを行う際に接続するストレージシステム１００のデータ入出力用通信インタフェース１４０の識別情報が格納される。記憶ユニット識別情報３００１４には、記憶ボリューム１６に対応する記憶ユニット１０を識別する情報が格納される。ホスト計算機３００においては、このホスト計算機記憶領域構成情報３００１を用いて記憶ボリューム１６への入出力要求が行われる。すなわち、記憶ボリューム１６への入出力要求は、ネットワーク接続装置４００を介して接続可能であるストレージシステム１００のデータ入出力用通信インタフェース１４０に設定された記憶ユニット１０に対して実行される。

図１２は、本発明の一実施形態に係るストレージシステム及びホスト計算機の論理的な構成の一例を示す図である。同図は、図５〜図１１に示す各情報として各図に示す内容が格納されている場合の構成を示している。

ストレージシステム１００は、ＲＡＩＤグループ１２として、“ＲＧ−０１”、“ＲＧ−０２”、“ＲＧ−０３”、“ＲＧ−０４”等を格納する（図５のＲＡＩＤグループ構成情報１００１参照）。ＲＡＩＤグループ１２には、論理記憶領域１１が定義される。例えば、“ＲＧ−０２”で識別されるＲＡＩＤグループ１２には、“ＬＤ−０２”と“ＬＤ−０３”で識別される論理記憶領域１１が定義されている（図６の記憶領域構成情報１００２参照）。“ＬＤ−０２”の論理記憶領域１１は、データ消去プログラム１００９によって消去済みが保障されている状態となっている（図６の記憶領域構成情報１００２参照）。

論理記憶領域１１には、記憶ユニット１０が対応付けられている（図７の論理記憶ユニット構成情報１００３参照）。例えば、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示されるデータ入出力用通信インタフェース１４０ａの“ＬＵ−１２”で示される記憶ユニット１０は、“ＬＤ−０３”で示される論理記憶領域１１に対応付けられている（図７の論理記憶ユニット構成情報１００３参照）。一方、記憶ユニット１０は、ホスト計算機３００上でホスト計算機記憶ボリューム１６に対応付けられている（図１１のホスト計算機記憶領域構成情報３００１参照）。例えば、“50:00:01:1E:0A:E8:02”で示されるデータ入出力用通信インタフェース１４０ａの“ＬＵ−１２”で示される記憶ユニット１０は、“/data2”で示されるホスト計算機記憶ボリューム１６に対応している（図１１のホスト計算機記憶領域構成情報３００１参照）。

また、仮想記憶領域プール１４は論理記憶領域１１の集合で構成されている（図８の仮想記憶領域プール構成情報１００４参照）。例えば、“ＰＬ−０１”で示される仮想記憶領域プール１４は、“ＬＤ−２１”および“ＬＤ−２２”で示される論理記憶領域１１により構成されている（（図８の仮想記憶領域プール構成情報１００４参照）。

仮想記憶領域プール１４には、仮想記憶領域１５が定義される（図９の仮想記憶ユニット構成情報１００５参照）。例えば、“ＰＬ−０１”で示される仮想記憶領域プール１４には、“ＶＤ−０１”と“ＶＤ−０２”で示される仮想記憶領域１５が定義されている（（図９の仮想記憶ユニット構成情報１００５参照）。仮想記憶領域１５は、仮想記憶ユニット１３に対応付けられている（図９の仮想記憶ユニット構成情報１００５参照）。例えば、“ＶＤ−０１”で示される仮想記憶領域１５は、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示されるデータ入出力用通信インタフェース１４０ａの“ＬＵ−２１”で示される仮想記憶ユニット１３に対応付けられている（（図９の仮想記憶ユニット構成情報１００５参照）。さらに、“ＶＤ−０１”で示される仮想記憶領域１５の仮想アドレス空間と、“ＬＤ−２１”で示される論理記憶領域１１のアドレス空間とは、図１０に示す仮想記憶領域割当マップ情報１００６によって対応付けられている。

次に、管理計算機５００とストレージシステム１００との間で実行される論理記憶ユニット構成情報更新処理について説明する。

図１３は、本発明の一実施形態に係る論理記憶ユニット構成情報更新処理のフローチャートである。

論理記憶ユニット構成情報更新処理は、例えば、所定の時間おきに実行され、管理計算機５００側の処理は、演算処理装置５８０が構成情報更新プログラム５００５を実行することにより実現される。

管理計算機５００の演算処理装置５８０は、管理用通信インタフェース５５０を介してストレージシステム１００に向けて論理記憶ユニット構成情報の送信要求メッセージを発信する。（ステップｓ１０１）。ストレージシステム１００では、ストレージコントローラ１９０のプロセッサが、管理用通信インタフェース１５０を介して論理記憶ユニット構成情報の送信要求メッセージを受信し、プロセッサが構成情報配布プログラム１０１１を実行することにより、要求に従って論理記憶ユニット構成情報１００３を、管理用通信インタフェース１５０を介して管理計算機５００に送信する（ステップｓ１０２）。

論理記憶ユニット構成情報１００３を受信した管理計算機５００では、演算処理装置５８０が受信した論理記憶ユニット構成情報１００３に基づいて、プログラムメモリ５０００に保持する論理記憶ユニット構成情報５００１を更新する（ステップｓ１０３）。この処理によって、管理計算機５００においては、論理記憶ユニット構成情報５００１をストレージシステム１００における最新の状態に逐次更新することができる。

次に、ストレージシステム１００における消去済み状態記憶領域作成処理を説明する。

図１４および図１５は、本発明の一実施形態に係る消去済み状態記憶領域作成処理のフローチャートである。

ストレージシステム１００において、例えば、所定時間おきにストレージコントローラ１９０のプロセッサが記憶領域構成管理プログラム１００７を実行することにより、消去済み状態記憶領域作成処理が実行される。

消去済み状態記憶領域作成処理では、まず、ストレージシステム１００のストレージコントローラ１９０のプロセッサが、論理記憶ユニット構成情報１００３に格納された全ての記憶ユニット１０のそれぞれについて、ステップｓ１１０〜ｓ１２０を繰り返して実行することを開始する（ステップｓ１１０）。ストレージコントローラ１９０のプロセッサは、論理記憶ユニット構成情報１００３を検索し、処理を行っていない一の記憶ユニット１０を構成する論理記憶領域１１を取得する（ステップｓ１１１）。以降、消去済み状態記憶領域作成処理において、ステップｓ１１１で取得した論理記憶領域１１を便宜的に論理記憶領域（１）として記載することとする。

ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２に格納されているすべての論理記憶領域１１の中から、容量情報１００２５を参照して論理記憶領域（１）と同容量の論理記憶領域１１を検索し、この検索によって得られたすべての論理記憶領域１１について、ステップｓ１１３を繰り返して実行することを開始する（ステップｓ１１２）。以後、消去済み状態記憶領域作成処理において、ステップｓ１１２において検索により得られた論理記憶領域１１を便宜的に論理記憶領域（２）と記載することとする。

ストレージコントローラ１９０のプロセッサは、論理記憶領域（２）について、記憶領域構成情報１００２の消去状態情報１００２８を参照し、論理記憶領域（２）が消去済み状態であるかどうか判定する（ステップｓ１１３）。論理記憶領域（２）が消去済み状態であれば（ステップｓ１１３のＹｅｓ）、ステップｓ１１９に遷移し、ストレージコントローラ１９０のプロセッサは、別の記憶ユニット１０について同様の処理を繰り返す。一方、論理記憶領域（２）が消去済み状態でなければ（ステップｓ１１３のＮｏ）、ステップｓ１１４に遷移し、ストレージコントローラ１９０のプロセッサは、別の論理記憶領域（２）についてステップｓ１１３からのステップを繰り返す。

すべての論理記憶領域（２）について消去済み状態かどうかを判定した結果、消去済み状態である論理記憶領域１１を発見できなかった場合には、ステップｓ１１２のループを抜けて、ステップｓ１１５に遷移する。

ステップｓ１１５において、ストレージコントローラ１９０のプロセッサは、ＲＡＩＤグループ構成情報１００１および記憶領域構成情報１００２を検索し、論理記憶領域（１）の容量以上の空き領域があるＲＡＩＤグループ１２を検索する（ステップｓ１１５）。ここで、ＲＡＩＤグループ１２の空き領域は、記憶領域構成情報１００２のＲＡＩＤグループ識別情報１００２２が調査対象のＲＡＩＤグループ１２に一致するエントリ（レコード）をすべて取得し、各エントリの容量情報１００２５に記録された容量の合計値を算出し、ＲＡＩＤグループ構成情報１００１のＲＡＩＤグループ識別情報１００１１が調査対象のＲＡＩＤグループ１２に一致するエントリにおける記憶容量情報１００１２から、容量の合計値を除算することにより算出することができる。

次いで、ストレージコントローラ１９０のプロセッサは、ステップｓ１１５において検出されたＲＡＩＤグループ１２が存在するか否かを判定し、存在しない場合（ステップｓ１１６のＮｏ）には、ステップｓ１２０に遷移する。

一方、ステップｓ１１５において検出されたＲＡＩＤグループ１２が存在する場合（ステップｓ１１６のＹｅｓ）には、ストレージコントローラ１９０のプロセッサは、検出したＲＡＩＤグループ１２内に、論理記憶領域（１）と同容量の論理記憶領域１１を作成し、記憶領域構成情報１００２に新たなエントリを追加する（ステップｓ１１７）。以降、消去済み状態記憶領域作成処理において、ステップｓ１１７で作成した論理記憶領域１１を便宜的に論理記憶領域（３）として記載することとする。

次いで、ストレージコントローラ１９０のプロセッサは、データ消去プログラム１００９に従って、作成した論理記憶領域（３）のデータを消去する（ステップｓ１１８）。データの消去が完了した後、ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２の論理記憶領域（３）に対応するエントリの消去状態情報１００２８を消去済み状態を示す“Ｅｒａｓｅｄ”に更新する（ステップｓ１１９）。更に、ストレージコントローラ１９０のプロセッサは、記憶情報セキュリティ管理プログラム１００８に従って、記憶領域構成情報１００２の論理記憶領域（３）に対応するエントリのＲｅａｄアクセス可否情報１００２６を“Ｒｅａｄａｂｌｅ”に更新し、Ｗｒｉｔｅアクセス可否情報１００２７を“Ｗｒｉｔａｂｌｅ”に更新する（ステップｓ１１９）。この後、ステップｓ１２０に遷移し、論理記憶ユニット構成情報１００３に格納された全ての記憶ユニット１０に対して上記した処理を実行していない場合には、別の記憶ユニット１０に対してステップｓ１１１からの処理を実行し、全ての記憶ユニット１０に対して上記した処理を実行した場合には、ストレージコントローラ１９０のプロセッサは、消去済み状態記憶領域作成処理を終了する。

次に、ホスト計算機３００または管理計算機５００からストレージシステム１００の論理ボリューム１０のデータを消去させるデータ消去処理について説明する。

図１６、図１７、図１８および図１９は、本発明の一実施形態に係るデータ消去処理のフローチャートである。

ストレージシステム１００の論理記憶領域１１のデータは、ホスト計算機３００または管理計算機５００を通じて消去させることができる。ホスト計算機３００を通じてデータを消去させる場合には、ホスト計算機３００の演算処理装置３８０がデータ消去プログラム３００２に従って動作し、演算処理装置３８０がアプリケーションプログラムを実行することにより生じた指示を受けて、あるいは入力用インタフェース３７０を利用してのデータ管理者からの指示を受けて、消去対象とするホスト計算機記憶ボリューム１６を決定する（ステップｓ２０１）。演算処理装置３８０は、ホスト計算機記憶領域構成情報３００１を検索し、記憶ボリューム識別情報３００１１に格納された識別情報が決定したホスト計算機記憶ボリューム１６の識別情報と一致するレコードを取得し、当該レコードに記録された通信インタフェース１４０および記憶ユニット１０を消去対象とするデータ消去要求メッセージをストレージシステム１００宛にデータ入出力用通信インタフェース３４０を介して送信する（ステップｓ２０２）。

一方、管理計算機５００を通じてデータ消去させる場合には、管理計算機５００の演算処理装置５８０がデータ消去プログラム５００２に従って動作し、演算処理装置５８０がアプリケーションプログラムを実行することにより生じた指示を受けて、あるいは入力用インタフェース５７０を利用しての管理者からの指示を受けて、消去対象とする記憶ユニット１０あるいは論理記憶領域１１を決定する（ステップｓ２０１）。演算処理装置５８０は、決定された記憶ユニット１０あるいは論理記憶領域１１を消去対象とするデータ消去要求メッセージをストレージシステム１００宛に管理用通信インタフェース５５０を介して送信する（ステップｓ２０２）。

ストレージシステム１００のストレージコントローラ１９０は、ホスト計算機３００または管理計算機５００から送信されたデータ消去要求メッセージを、データ入出力用通信インタフェース１４０または管理用通信インタフェース１５０を介して受信し、ストレージコントローラ１９０のプロセッサは、記憶領域構成管理プログラム１００７に従って、論理記憶ユニット構成情報１００３からデータ消去要求メッセージに含まれた消去対象の記憶ユニット１０に対応するエントリを検索し、エントリの記憶領域識別情報１００３３に格納された論理記憶領域１１の識別情報を取得する（ステップｓ２０３）。以後、データ消去処理において、ステップｓ２０３において取得した識別情報に対応する論理記憶領域を便宜的に論理記憶領域（１）と記載することとする。

ストレージシステム１００のストレージコントローラ１９０は、記憶領域構成管理プログラム１００７に従って、論理記憶領域（１）がデータ消去可能であるか否か、すなわち書き込み可能であるか否かを判断するため、記憶領域構成情報１００２の論理記憶領域（１）に対応するレコードのＷｒｉｔｅアクセス可否情報１００２７が“Ｗｒｉｔａｂｌｅ”であるか否かを判定する（ステップｓ２０４）。ステップｓ２０４の結果、消去対象の論理記憶領域（１）が書き込み不可能であると判断した場合（ステップｓ２０４のＮｏ）、データの消去ができないことを意味しているので、ストレージコントローラ１９０は、エラーメッセージをデータ消去要求メッセージの送信元（ホスト計算機３００または管理計算機５００）に返信する（ステップｓ２０５）。

一方、消去対象の論理記憶領域（１）が書き込み可能であると判断した場合（ステップｓ２０４のＹｅｓ）、ステップｓ２０６に遷移する。ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２を参照し、各レコードの容量情報１００２５を検索して消去対象の論理記憶領域（１）と同容量の論理記憶領域１１を取得する。さらに取得した論理記憶領域１１のうちから、対応するレコードのＷｒｉｔｅアクセス可否情報１００２７が“Ｗｒｉｔａｂｌｅ”に一致し、且つ、消去状態情報１００２８が“Ｅｒａｓｅｄ”に一致する論理記憶領域１１を取得する（ステップｓ２０６）。以後、ステップｓ２０６において、取得した論理記憶領域１１を便宜的に論理記憶領域（２）と記載することとする。

ステップｓ２０６の検索条件を満たす論理記憶領域（２）が１つ以上ある場合（ステップｓ２０７のＹｅｓ）、ステップｓ２０８に遷移する。一方、ステップｓ２０６の検索条件を満たす論理記憶領域（２）が無かった場合（ステップｓ２０７のＮｏ）、ステップｓ２１３に遷移する。

ステップｓ２０８では、ストレージコントローラ１９０のプロセッサは、消去対象の論理記憶領域（１）に対するＲｅａｄアクセスを不可能にするために、記憶領域構成情報１００２の論理記憶領域（１）に対応するレコードのＲｅａｄアクセス可否情報１００２６を“Ｐｒｏｈｉｂｉｔｅｄ”に変更する（ステップｓ２０８）。これによって、ストレージコントローラ１９０のプロセッサは、記憶領域セキュリティ管理プログラム１００８に従って動作することにより、外部の装置（例えば、ホスト計算機）から論理記憶領域（１）に対する読み込み要求は拒絶される。このため、当該論理記憶領域１１のデータが漏洩することを適切に防止することができる。

次いで、ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２のなかの論理記憶領域（２）の内の１つの論理記憶領域１１に対応するレコードの消去状態情報１００２８をデータの消去がされていない状態（非消去済み状態）を示す“Ｎｏｔ
Ｅｒａｓｅｄ”に変更する（ステップｓ２０９）。この後、ストレージコントローラ１９０のプロセッサは、消去対象の記憶ユニット１０を構成する論理記憶領域１１を、論理記憶領域（１）からデータ消去済みである論理記憶領域（２）の内の１つの論理記憶領域１１に交換する（ステップｓ２１０）。すなわち、ストレージコントローラ１９０のプロセッサは、論理記憶ユニット構成情報１００３の消去対象の記憶ユニット１０に対応するレコードの記憶領域識別情報１００３３を、論理記憶領域（２）の内の１つの識別情報に更新する。

次いで、ストレージコントローラ１９０のプロセッサは、記憶領域構成管理プログラム１００７に従って、データ消去要求メッセージの送信元（ホスト計算機３００または管理計算機５００）に対して、データの消去に関する処理の正常終了を伝えるメッセージ（正常終了通知）を送信する（ステップｓ２１１）。この正常終了を伝えるメッセージは、消去対象の記憶ユニット１０へのアクセスが可能になったことを示しており、当該正常終了を伝えるメッセージを受信したホスト計算機３００もしくは管理計算機５００は、消去対象の記憶ユニット１０のデータ消去が完了したと認識し、データ消去対象の記憶ユニット１０に対する書き込みや読み込み等のアクセス処理を実行することが可能となる。したがって、ホスト計算機３００等においては、記憶ユニット１０に対応付けられていた論理記憶領域１１に対する実際のデータ消去の完了を待たずに、当該記憶ユニット１０に対するアクセスが可能となるので、ホスト計算機３００等における記憶ユニット１０に対するアクセスの待ち時間を効果的に削減することができる。

次いで、ストレージコントローラ１９０のプロセッサは、記憶領域構成管理プログラム１００７に従って、データ消去プログラム１００９を実行することにより、消去対象の論理記憶領域（１）のデータを消去し（ステップｓ２１２）、ステップｓ２１５に遷移する。データを消去する方法としては、例えば、所定のダミーデータを当該論理記憶領域（１）に対応する記憶装置１２０の物理的な記憶領域に対して複数回（例えば、３回）書き込む方法がある。

一方、ステップｓ２０７の判定の結果、ステップｓ２０６の検索条件を満たす論理記憶領域（２）が無いと判定された場合（ステップｓ２０７のＮｏ）、論理記憶領域（１）と交換することのできる消去済み状態の論理記憶領域１１が存在しないことを意味しているので、ステップｓ２１３に遷移する。

ストレージコントローラ１９０のプロセッサは、記憶領域構成管理プログラム１００７に従って、データ消去プログラム１００９を実行することにより、消去対象の論理記憶領域（１）のデータを消去する（ステップｓ２１３）。ストレージコントローラ１９０のプロセッサは、論理記憶領域（１）のデータを消去した後、データ消去要求メッセージの送信元（ホスト計算機３００または管理計算機５００）に対して、データの消去に関する処理の正常終了を伝えるメッセージを送信し（ステップｓ２１4）、ステップｓ２１５に遷移する。

ステップｓ２１５では、ステップｓ２１２またはステップｓ２１４を完了した時点で、消去対象の論理記憶領域（１）は消去済み状態となっているので、ストレージコントローラ１９０のプロセッサは、記憶領域構成管理プログラム１００７に従って、記憶領域構成情報１００２の論理記憶領域（１）に対応するレコードの消去状態情報１００２８を“Ｅｒａｓｅｄ”に変更し（ステップｓ２１５）、Ｒｅａｄアクセス可否情報１００２６を“Ｒｅａｄａｂｌｅ”に変更して、論理記憶領域（１）への読み込みアクセスを許可する（ステップｓ２１６）。これによって、論理記憶領域（１）を、新たな消去対象の論理記憶領域１１と交換するために利用することができるようになる。

次いで、ストレージコントローラ１９０のプロセッサは、一連のデータ消去処理の終了を伝える完了通知メッセージを管理計算機５００に送信する（ステップｓ２１７）。完了通知メッセージには、消去対象の論理記憶領域（１）の識別情報、消去完了時刻、データの消去に利用したデータ消去アルゴリズム、ダミーデータの上書き回数などの消去証明書の作成に必要な情報が含まれている。

完了通知メッセージを管理計算機５００の演算処理装置５８０が管理用通信インタフェース５５０を介して受信し、管理用通知メッセージに含まれている情報に基づいて、消去対象の論理記憶領域（１）の識別情報、消去完了時刻、データの消去に利用したデータ消去アルゴリズム、ダミーデータの上書き回数等を含む消去証明書を作成し（ステップｓ２１８）、演算処理装置５８０が消去証明書出力プログラム５００３に従って、出力用インタフェース５７５を通じて消去証明書を出力する（ステップｓ２１９）。これによって、管理者は、論理記憶領域１１の消去が確実に行われたことを適切に把握することができ、また、対外的に論理記憶領域１１をシュレッディングしたことを証明することができる。

次に、図１６〜図１９に示したデータ消去処理をより具体的な例を用いて説明する。なお、適宜、図１６〜図１９を参照することとする。

まず、ホスト計算機３００およびストレージシステム１００の状態は、図１２に示した状態であるものとし、ホスト計算機３００を使用するユーザもしくはホスト計算機３００のアプリケーションを実行する演算処理装置３８０が、“／ｄａｔａ２”で示される記憶ボリューム１６を消去対象として指定した場合の例を以下に説明する。

ホスト計算機３００の演算処理装置３８０は、指定された“／data２”で示される記憶ボリューム１６を消去対象として決定し（ステップｓ２０１）、“／ｄａｔａ２”で示される記憶ボリューム１６を構成する記憶ユニット１０である識別情報“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−１２”で示される記憶ユニット１０を対象とするデータ消去要求メッセージを、当該通信インタフェース１４０ａに向けて送信する（ステップｓ２０２）。

データ消去要求メッセージを受信したストレージシステム１００では、ストレージコントローラ１９０のプロセッサが、通信インタフェース１４０ａの識別情報“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”と、記憶ユニットの識別情報“ＬＵ−１２”とに対応するレコードを論理記憶ユニット構成情報１００３から検索し、当該レコードの記憶領域識別情報１００３３から消去対象の記憶ユニット１０を構成する論理記憶領域１１の識別情報が“ＬＤ−０３”であることを判別する。次に、ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２から“ＬＤ−０３”で示される論理記憶領域１１に対応するレコードを特定し、当該レコードのＷｒｉｔｅアクセス可否情報１００２７を参照して、“ＬＤ−０３”で示される論理記憶領域１１がＷｒｉｔｅアクセス可能であると判別する（ステップｓ２０４）。

Ｗｒｉｔｅアクセス可能であるので、ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２を検索し、“ＬＤ−０３”で示される論理記憶領域１１と同容量（容量が１００ＧＢ）であり、Ｗｒｉｔｅアクセス可能であり、かつ消去済み状態である論理記憶領域１１を検索し、“ＬＤ−０２”で示される論理記憶領域１１がその条件を満たすことを把握する（ステップｓ２０６、ｓ２０７）。そこで、ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２の“ＬＤ−０３”で示される論理記憶領域１１に対応するレコードのＲｅａｄアクセス可否情報１００２６を“Ｐｒｏｈｉｂｉｔｅｄ”に変更し、“ＬＤ−０３”で示される論理記憶領域１１へのＲｅａｄアクセスを禁止する（ステップｓ２０８）。これによって、“ＬＤ−０３”で示される論理記憶領域１１に対しての読み込みアクセスができなくなり、当該論理記憶領域１１のデータが漏洩することを防止できる。

次いで、ストレージコントローラ１９０のプロセッサは、記憶領域構成情報１００２の“ＬＤ−０２”で示される論理記憶領域１１に対応するレコードの消去状態情報１００２８を“Ｎｏｔ
Ｅｒａｓｅｄ”に変更する（ステップｓ２０９）。ストレージコントローラ１９０のプロセッサは、論理記憶ユニット構成情報１００３のレコードのうち、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−１２”で示される記憶ユニット１０に対応するレコードの記憶領域識別情報１００３３を“ＬＤ−０２”に変更する（ステップｓ２１０）。これによって、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０a上の“ＬＵ−１２”で示される記憶ユニット１０に対して“ＬＤ−０２”で示される論理記憶領域１１が対応付けられることとなる。その後、ストレージコントローラ１９０のプロセッサは、正常終了通知をホスト計算機３００に返信する（ステップｓ２１１）。この正常終了通知を受け取ったホスト計算機３００では、記憶ユニット１０に対する入出力処理を再開することが可能となる。

次いで、ストレージコントローラ１９０のプロセッサは、“ＬＤ−０３”で示される論理記憶領域１１のデータの消去を実行する（ステップｓ２１２）。データの消去が終了した後、ストレージコントローラ１９０のプロセッサは、“ＬＤ−０３”で示される論理記憶領域１１に対応する記憶領域構成情報１００２のレコードにおける消去状態情報１００２８を“Ｅｒａｓｅｄ”に変更し（ステップｓ２１５）、更に、Ｒｅａｄアクセス可否情報１００２６を再び“Ｒｅａｄａｂｌｅ”に変更する（ステップｓ２１６）。これによって、“ＬＤ−０３”で示される論理記憶領域１１は、以降において、交換対象の論理記憶領域１１となることができるようになる。その後、ストレージコントローラ１９０のプロセッサは、消去完了通知を管理計算機５００に送信する（ステップｓ２１７）。

管理計算機５００の演算処理装置５８０は、消去証明書を作成し（ステップｓ２１８）、消去証明書を出力用インタフェース５７５から出力する（ステップｓ２１９）。

次に、上記した具体例に示したデータ消去処理を実行した後のストレージシステム１００について説明する。

図２０は、本発明の一実施形態に係る処理実行後のストレージシステムの論理的な構成の一部についての一例を示す図である。

処理前においては、図１２に示すように、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−１２”で示される記憶ユニット１０には、“LD−０３”で示される論理記憶領域１１が対応付けられていたが、上記データ消去処理を行うことにより、図２０に示すように、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−１２”で示される記憶ユニット１０には、“LD−０２”で示される論理記憶領域１１が対応付けられ、“LD−０２”で示される論理記憶領域１１が“／ｄａｔａ２”としてホスト計算機３００にマウントされることとなる。

図２１は、本発明の一実施形態に係る処理実行後の論理記憶ユニット構成情報の構成の一例を示す図である。

処理前においては、図７に示すように論理記憶ユニット構成情報１００３では、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−１２”で示される記憶ユニット１０には、“LD−０３”で示される論理記憶領域１１が対応付けられていたが、上記データ消去処理を行うことに、図２１に示すように、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−１２”で示される記憶ユニット１０には、“LD−０２”で示される論理記憶領域１１が対応付けられることとなる。

図２２は、本発明の一実施形態に係る処理実行後の記憶領域構成情報の構成の一例を示す図である。

処理前においては、図６に示すように記憶領域構成情報１００２では、“ＬＤ−０２”で示される論理記憶領域１１に対応する消去状態情報１００２８には“Ｅｒａｓｅｄ”が格納され、“ＬＤ−０３”で示される論理記憶領域１１に対応する消去状態情報１００２８には“Ｎｏｔ Ｅｒａｓｅｄ”が格納されていたが、データ消去処理後には、図２２に示すように、“ＬＤ−０２”で示される論理記憶領域１１に対応する消去状態情報１００２８には“Ｎｏｔ Ｅｒａｓｅｄ”が格納され、“ＬＤ−０３”で示される論理記憶領域１１に対応する消去状態情報１００２８には“Ｅｒａｓｅｄ”が格納されている。すなわち、“ＬＤ−０２”で示される論理記憶領域１１と“ＬＤ−０３”で示される論理記憶領域１１との立場が逆転している。

次に、ホスト計算機３００または管理計算機５００からストレージシステム１００の仮想記憶ユニット（仮想ボリューム）１３のデータを消去させるデータ消去処理について説明する。

仮想記憶ユニット１３のデータを消去する場合に、論理記憶ユニット１０と同様な方法によりデータの消去を実行しようとすると、仮想記憶ユニット１３の全領域を対象としたダミーデータの書き込みを行うこととなるため、仮想記憶ユニット１３の仮想アドレス空間全領域に対して論理記憶領域１１を割り当てることとなり、仮想記憶領域プール１４の記憶資源が不足してしまう虞がある。

そこで、本実施形態においては、仮想記憶ユニット１３に対するデータ消去においては、以下に示すデータ消去処理を実行する。

図２３及び図２４は、本発明の一実施形態に係る仮想記憶ユニットに対するデータ消去処理のフローチャートである。

ストレージシステム１００の仮想記憶ユニット１３のデータは、ホスト計算機３００または管理計算機５００を通じて消去させることができる。ホスト計算機３００を通じてデータを消去させる場合には、ホスト計算機３００の演算処理装置３８０がデータ消去プログラム３００２に従って動作し、演算処理装置３８０がアプリケーションプログラムを実行することにより生じた指示を受けて、あるいは入力用インタフェース３７０を利用してのデータ管理者からの指示を受けて、消去対象とするホスト計算機記憶ボリューム１６を決定する（ステップｓ３０１）。演算処理装置３８０は、ホスト計算機記憶領域構成情報３００１を検索し、記憶ボリューム識別情報３００１１に格納された識別情報が決定したホスト計算機記憶ボリューム１６の識別情報と一致するレコードを取得し、当該レコードに記録された通信インタフェース１４０および仮想記憶ユニット１３を消去対象とするデータ消去要求メッセージをストレージシステム１００宛にデータ入出力用通信インタフェース３４０を介して送信する（ステップｓ３０２）。

一方、管理計算機５００を通じてデータ消去させる場合には、管理計算機５００の演算処理装置５８０がデータ消去プログラム５００１に従って動作し、演算処理装置５８０がアプリケーションプログラムを実行することにより生じた指示を受けて、あるいは入力用インタフェース５７０を利用しての管理者からの指示を受けて、消去対象とする仮想記憶ユニット１３あるいは論理記憶領域１１を決定する（ステップｓ３０１）。演算処理装置５８０は、決定された仮想記憶ユニット１３あるいは論理記憶領域１１を消去対象とするデータ消去要求メッセージをストレージシステム１００宛に管理用通信インタフェース５５０を介して送信する（ステップｓ３０２）。

ストレージシステム１００のストレージコントローラ１９０は、ホスト計算機３００または管理計算機５００から送信されたデータ消去要求メッセージを、データ入出力用通信インタフェース１４０または管理用通信インタフェース１５０を介して受信し、ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、仮想論理記憶ユニット構成情報１００５からデータ消去要求メッセージに含まれた消去対象の仮想記憶ユニット１３に対応するエントリを検索し、エントリの仮想記憶領域識別情報１００５４に格納された仮想論理記憶領域の識別情報を取得する（ステップｓ３０３）。以後、データ消去処理において、ステップｓ３０３において取得した識別情報に対応する仮想記憶領域１５を便宜的に仮想論理記憶領域（１）と記載することとする。

ストレージコントローラ１９０のプロセッサは、仮想記憶領域割当マップ情報１００６から、仮想記憶領域識別情報１００６７に仮想記憶領域（１）を示す識別情報が格納されている全てのエントリを検索して取得し、取得したこれらエントリを割当マップ情報として、例えば、プログラムメモリ１０００内の一時記憶領域に複製して保存する（ステップｓ３０４）。

ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、仮想記憶領域割当マップ情報１００６において、仮想記憶領域識別情報１００６７に仮想記憶領域（１）を示す識別情報が格納されている全てのエントリを検索し、検索して得られたエントリにおける割当可否状態情報１００６３を“Ｐｒｏｈｉｂｉｔｅｄ”に変更することにより、当該仮想記憶領域（１）に対して割り当てられていた論理記憶領域１１の記憶領域を割当不可状態に設定する（ステップｓ３０５）。さらに、ストレージコントローラ１９０のプロセッサは、検索して得られたエントリにおける仮想記憶領域情報１００６２をすべてＮｕｌｌに変更してクリアすることにより、仮想記憶領域（１）を開放するとともに、当該仮想記憶領域（１）に割り当てられていた論理記憶領域を開放する（ステップｓ３０６）。これによって、仮想記憶領域（１）の割当が可能になる。ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、データ消去要求元（ホスト計算機３００もしくは管理計算機５００）に正常終了通知を送信する（ステップｓ３０７）。この正常終了を伝えるメッセージは、消去対象の仮想記憶ユニット１３へのアクセスが可能になったことを示しており、当該正常終了を伝えるメッセージを受信したホスト計算機３００もしくは管理計算機５００は、消去対象の仮想記憶ユニット１３のデータ消去が完了したと認識し、データ消去対象の仮想記憶ユニット１３に対する書き込みや読み込み等のアクセス処理を実行することが可能となる。したがって、ホスト計算機３００等においては、仮想記憶ユニット１３に対応する論理記憶領域１１に対する実際のデータ消去の完了を待たずに、当該仮想記憶ユニット１３に対するアクセスが可能となるので、ホスト計算機３００等における記憶ユニット１３に対するアクセスの待ち時間を削減することができる。

次いで、ストレージコントローラ１９０のプロセッサは、データ消去プログラム１００９に従って、複製しておいた割当マップ情報に含まれている論理記憶領域情報１００６１の論理記憶領域識別情報１００６４に格納された識別情報が示す論理記憶領域１１における開始ブロックアドレス１００６５及び終了ブロックアドレス１００６６により規定されるアドレス範囲の記憶領域（アドレス空間）に対して、データの消去を実行する（ステップｓ３０８）。データの消去を終了した後、ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、ステップｓ３０５で割当不可状態に設定した各エントリの割当可否状態情報１００６３を“Ｐｅｒｍｉｔｔｅｄ”に変更することにより、当該論理記憶領域１１の対応するアドレス範囲の記憶領域を、仮想記憶領域１５に割当可能な状態に設定する（ステップｓ３０９）。これによって、一時的に割当不可能であった論理記憶領域１１の記憶領域を仮想記憶領域１５に割り当てられるようになる。

次いで、ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、管理計算機５００に消去完了通知を送信し（ステップｓ３１０）、ステップｓ３０４で保存しておいた割当マップ情報を一時記憶領域から削除する（ステップｓ３１１）。完了通知メッセージを管理計算機５００の演算処理装置５８０が管理用通信インタフェース５５０を介して受信し、管理用通知メッセージに含まれている情報に基づいて、消去証明書を作成し（ステップｓ３１２）、演算処理装置５８０が消去証明書出力プログラム５００３に従って、出力用インタフェース５７５を通じて消去証明書を出力する（ステップｓ２１９）。これによって、管理者は、仮想記憶ユニット１３に管理されていたデータの消去が確実に行われたことを適切に把握することができ、また、対外的にシュレッディングしたことを証明することができる。

次に、図２３および図２４に示したデータ消去処理をより具体的な例を用いて説明する。なお、適宜、図２３および図２４を参照することとする。

まず、ホスト計算機ストレージシステム１００の状態は、図１２に示した状態であるものとし、ホスト計算機３００を使用するユーザもしくはホスト計算機３００のアプリケーションを実行する演算処理装置３８０が、仮想記憶ユニット１３である識別情報“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−２１”で示される記憶ユニット１３を対象とするデータ消去要求メッセージを、当該通信インタフェース１４０ａに向けて送信する（ステップｓ３０２）。

データ消去要求メッセージを受信したストレージシステム１００では、ストレージコントローラ１９０のプロセッサが、通信インタフェース１４０ａの識別情報“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”と、記憶ユニットの識別情報“ＬＵ−２１”とに対応するレコードを仮想記憶ユニット構成情報１００５から検索し、当該レコードの仮想記憶領域識別情報１００５４から消去対象の仮想記憶ユニット１３を構成する仮想記憶領域１５の識別情報が“ＶＤ−０１”であることを判別する。

次に、ストレージコントローラ１９０のプロセッサは、仮想記憶領域割当マップ情報１００６において、仮想記憶領域識別情報１００６７に“ＶＤ−０１”が格納されている全てのエントリを検索して取得し、取得したこれらエントリ（図１０では、２行目と５行目のエントリ）を割当マップ情報として、例えば、プログラムメモリ１０００内の一時記憶領域に複製して保存する（ステップｓ３０４）。

ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、仮想記憶領域割当マップ情報１００６において、仮想記憶領域識別情報１００６７に“ＶＤ−０１”が格納されている全てのエントリを検索し、検索して得られたエントリ（図１０では、２行目と５行目のエントリ）における割当可否状態情報１００６３を“Ｐｒｏｈｉｂｉｔｅｄ”に変更する（ステップｓ３０５）。さらに、ストレージコントローラ１９０のプロセッサは、検索して得られたエントリにおける仮想記憶領域情報１００６２をすべてＮｕｌｌに変更する（ステップｓ３０６）。ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、データ消去要求元のホスト計算機３００に正常終了通知を送信する（ステップｓ３０７）。当該正常終了通知を受信したホスト計算機３００は、消去対象の仮想記憶ユニット１３のデータ消去が完了したと認識し、データ消去対象の識別情報“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示される通信インタフェース１４０ａ上の“ＬＵ−２１”で示される仮想記憶ユニット１３に対する書き込みや読み込み等のアクセス処理を実行することが可能となる。したがって、ホスト計算機３００においては、仮想記憶ユニット１３に対応する論理記憶領域１１に対する実際のデータ消去の完了を待たずに、当該仮想記憶ユニット１３に対するアクセスが可能となるので、ホスト計算機３００における仮想記憶ユニット１３に対するアクセスの待ち時間を削減することができる。

次いで、ストレージコントローラ１９０のプロセッサは、データ消去プログラム１００９に従って、複製しておいた割当マップ情報の論理記憶領域情報１００６１の論理記憶領域識別情報１００６４に格納された“ＬＤ−２１”で示される論理記憶領域１１における開始ブロックアドレス１００６５及び終了ブロックアドレス１００６６により規定されるアドレス範囲“０ｘ００１１”〜“０ｘ００２０”の記憶領域と、た“ＬＤ−２２”で示される論理記憶領域１１における開始ブロックアドレス１００６５及び終了ブロックアドレス１００６６により規定されるアドレス範囲“０ｘ００４１”〜“０ｘ００５０”の記憶領域と、に対して、データの消去を実行する（ステップｓ３０８）。データの消去を終了した後、ストレージコントローラ１９０のプロセッサは、仮想記憶ユニット管理プログラム１０１０に従って、ステップｓ３０５で割当不可状態に設定した仮想記憶領域割当マップ情報１００６の各エントリの割当可否状態情報１００６３を“Ｐｅｒｍｉｔｔｅｄ”に変更する（ステップｓ３０９）。これによって、消去対象の仮想記憶ユニット１３に割り当てられていた論理記憶領域１１中の記憶領域を、以降において、新たに仮想記憶領域１５に割り当てられるようになる。

図２５は、本発明の一実施形態に係る処理実行後の仮想記憶領域割当マップ情報の構成の一例を示す図である。

処理前においては、図１０に示すように仮想記憶領域割当マップ情報１００６では、“ＶＤ−０１”で示される仮想記憶領域１５の“０ｘ０００１〜０ｘ００１０”の仮想アドレス空間に対して、“ＬＤ−２１”で示される論理記憶領域１１の“０ｘ００１１〜０ｘ００２０”のアドレス空間が対応付けれ、“ＶＤ−０１”で示される仮想記憶領域１５の“０ｘ００４１〜０ｘ００５０”の仮想アドレス空間に対して、“ＬＤ−２２”で示される論理記憶領域１１の“０ｘ０００１〜０ｘ００１０”のアドレス空間が対応付けられている。

これに対して、データ消去処理後においては、図２５に示すように、“ＶＤ−０１”で示される仮想記憶領域１５が対応付けられていた“ＬＤ−２１”で示される論理記憶領域１１の“０ｘ００１１〜０ｘ００２０”のアドレス空間と、“ＬＤ−２２”で示される論理記憶領域１１の“０ｘ０００１〜０ｘ００１０”のアドレス空間とに対して、“ＶＤ−０１”で示される仮想記憶領域１５の情報がすべてＮｕｌｌに変更された情報が対応付けられる。すなわち、“５０：００：０１：１Ｅ：０Ａ：Ｅ８：０２”で示されるデータ入出力用通信インタフェース１４０ａの“ＬＵ−２１”で示される仮想記憶ユニット１５に割り当てられた記憶領域が存在しない状態となっている。この状態は、当該仮想記憶ユニット１５に書き込まれたデータそのものが存在しない状態である。

以上、本発明を一実施形態に基づいて説明したが、本発明は上述した実施形態に限られず、他の様々な態様に適用可能である。

例えば、上記実施形態においては、ストレージシステム１００の記憶装置１２０としてハードディスクドライブを用いていたが、本発明はこれに限られず、例えば、記憶装置１２０の少なくとも一部、または全部を、例えば、フラッシュメモリに置き換えるようにしてもよく、要は、データを記憶可能な記憶装置であればよい。

また、上記実施形態においては、消去対象となる仮想記憶領域１５に割り当てられていた論理記憶領域１１のアドレス空間を一時的に仮想記憶領域１５への割当不可にし、当該論理記憶領域１１のアドレス空間のデータを消去した後に、割当可能にしていたが、本発明はこれに限られず、例えば、消去対象となる仮想記憶領域１５に割り当てられていた論理記憶領域１１のアドレス空間を仮想記憶領域プール１４から外して、別の論理記憶領域１１のアドレス空間を仮想記憶領域プール１４に含めるようにし、その後、消去対象となる仮想記憶領域１５に割り当てられていた論理記憶領域１１のアドレス空間のデータを消去するようにしてもよい。このようにすると、仮想記憶領域１５に割当可能な論理記憶領域１１の記憶容量が一時的に低下することを防止できる。

また、上記実施形態においては、消去証明書をディスプレイに出力する例を説明していたが、本発明はこれに限られず、例えば、紙媒体に出力するようにしてもよい。

本発明の一実施形態に係る計算機システムの構成図である。 本発明の一実施形態に係るストレージシステムの構成図である。 本発明の一実施形態に係るホスト計算機の構成図である。 本発明の一実施形態に係る管理計算機の構成図である。 本発明の一実施形態に係るＲＡＩＤグループ構成情報の構成の一例を示す図である。 本発明の一実施形態に係る記憶領域構成情報の構成の一例を示す図である。 本発明の一実施形態に係る論理記憶ユニット構成情報の構成の一例を示す図である。 本発明の一実施形態に係る仮想記憶領域プール構成情報の構成の一例を示す図である。 本発明の一実施形態に係る仮想記憶ユニット構成情報の構成の一例を示す図である。 本発明の一実施形態に係る仮想記憶領域割当マップ情報の構成の一例を示す図である。 本発明の一実施形態に係るホスト計算機記憶領域構成情報の構成の一例を示す図である。 本発明の一実施形態に係るストレージシステム及びホスト計算機の論理的な構成の一例を示す図である。 本発明の一実施形態に係る論理記憶ユニット構成情報更新処理のフローチャートである。 本発明の一実施形態に係る消去済み状態記憶領域作成処理の第１のフローチャートである。 本発明の一実施形態に係る消去済み状態記憶領域作成処理の第２のフローチャートである。 本発明の一実施形態に係るデータ消去処理の第１のフローチャートである。 本発明の一実施形態に係るデータ消去処理の第２のフローチャートである。 本発明の一実施形態に係るデータ消去処理の第３のフローチャートである。 本発明の一実施形態に係るデータ消去処理の第４のフローチャートである。 本発明の一実施形態に係る処理実行後のストレージシステムの論理的な構成の一例を示す図である。 本発明の一実施形態に係る処理実行後の論理記憶ユニット構成情報の構成の一例を示す図である。 本発明の一実施形態に係る処理実行後の記憶領域構成情報の構成の一例を示す図である。 本発明の一実施形態に係る仮想記憶ユニットに対するデータ消去処理の第１のフローチャートである。 本発明の一実施形態に係る仮想記憶ユニットに対するデータ消去処理の第２のフローチャートである。 本発明の一実施形態に係る処理実行後の仮想記憶領域割当マップ情報の構成の一例を示す図である。

符号の説明

１０ 論理記憶ユニット、１１ 論理記憶領域、１２ RAIDグループ、１３ 仮想記憶ユニット、１４仮想記憶領域プール、１５ 仮想記憶領域、１６ 記憶ボリューム、１００ ストレージシステム、１２０ 記憶装置、１４０ データ入出力用通信インタフェース、１５０ 管理用通信インタフェース、１６０ データ入出力用キャッシュメモリ、１９０ ストレージコントローラ、３００ ホスト計算機、３２０ 磁気記憶装置、３４０ データ入出力用通信インタフェース、３５０ 管理用通信インタフェース、３６０ データ入出力用キャッシュメモリ、３７０ 入力用インタフェース、３７５ 出力用インタフェース
３８０ 演算処理装置、３９０ バス、４００ ネットワーク接続装置、５００ 管理計算機、５２０ 磁気記憶装置、５５０ 管理用通信インタフェース、５６０ データ入出力用キャッシュメモリ、５７０ 入力用インタフェース、５７５ 出力用インタフェース、５８０ 演算処理装置、５９０ バス、６００ 管理用ネットワーク、１０００ プログラムメモリ、１００１ RAIDグループ構成情報、１００２ 記憶領域構成情報、１００３ 論理記憶ユニット構成情報、１００４ 仮想記憶領域プール構成情報、１００５ 仮想記憶ユニット構成情報、１００６ 仮想記憶領域割当マップ構成情報、１００７ 記憶領域構成管理プログラム、１００８ 記憶領域セキュリティ管理プログラム、１００９ データ消去プログラム、１０１０ 仮想記憶ユニット管理プログラム、１０１１ 構成情報配布プログラム、３０００ プログラムメモリ、３００１ ホスト計算機記憶ボリューム構成情報、３００２ データ消去要求プログラム、５０００ プログラムメモリ、５００１ 論理記憶ユニット構成情報、５００２ データ消去要求プログラム、５００３ 消去証明書作成プログラム、５００４ 消去証明書出力プログラム、５００５ 構成情報更新プログラム、１００１１ RAIDグループ識別情報、１００１２ 記憶容量情報、１００１３ 記憶装置識別情報、１００２１ 記憶領域識別情報、１００２２ RAIDグループ識別情報、１００２３ 開始ブロックアドレス、１００２４ 終了ブロックアドレス、１００２５ 容量情報、１００２６ Readアクセス可否情報、１００２７ Writeアクセス可否情報、１００２８ 消去状態情報、１００３１ 通信インタフェース識別情報、１００３２ 記憶ユニット識別情報、１００３３ 記憶領域識別情報、１００４１ 仮想記憶領域プール識別情報、１００４２ 記憶領域識別情報、１００５１ 通信インタフェース識別情報、１００５２ 記憶ユニット識別情報、１００５３ 仮想記憶領域プール識別情報、１００５４ 仮想記憶領域識別情報、１００６１ 論理記憶領域情報、１００６２ 仮想記憶領域情報、１００６３ 割当可否状態情報、１００６４ 論理記憶領域識別情報、１００６５ 開始ブロックアドレス、１００６６ 終了ブロックアドレス、１００６７ 仮想記憶領域識別情報、１００６８ 開始ブロックアドレス、１００６９ 終了ブロックアドレス、３００１１ 記憶ボリューム識別情報、３００１２ 記憶デバイス識別情報、３００１３ 通信インタフェース識別情報、３００１４ 記憶ユニット識別情報。

Claims (5)

1. 複数の物理記憶装置の物理記憶領域の少なくとも一部に基づく複数の論理記憶領域が静的に割り当てられたボリュームを管理するストレージシステムであって、
   或るボリュームに格納されたデータの消去要求を受信する要求受信部と、
   前記消去要求の対象である前記或るボリュームに割り当てられている第１の論理記憶領域を特定し、前記複数の論理記憶領域のうち、前記特定された第１の論理記憶領域と同容量であり、データがシュレッティング済みであり、且つ前記或るボリュームに割り当て可能な論理記憶領域である第２の論理記憶領域を検出する記憶領域検出部と、
   前記或るボリュームに対して、前記第１の論理記憶領域に換えて、前記検出された第２の論理記憶領域を割り当てる割当部と、
   前記或るボリュームに前記第２の論理記憶領域を割り当てた後に、前記消去処理要求の要求元に対して、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信する通知送信部と、
   前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信した後に、前記第１の論理記憶領域のデータのシュレッティングを行うデータ消去部と、
   前記第１の論理記憶領域のデータのシュレッティングが完了するまでの間、前記第１の論理記憶領域へのアクセスを遮断するアクセス遮断部と、
   前記第１の論理記憶領域のデータのシュレッティングが完了した後に、前記第１の論理記憶領域のデータのシュレッティングが完了したことを示す通知を所定の外部装置に送信するデータ消去通知部と、
   前記記憶領域検出部によって前記或るボリュームに対して割り当て可能な前記第２の論理記憶領域が検出できなかった場合に、前記データ消去部により前記第１の論理記憶領域のデータをシュレッティングさせ、前記データ消去部による前記第１の論理記憶領域のデータのシュレッティングが完了した後に、前記通知送信部により前記消去処理要求の要求元に対して、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信させる消去通知制御部と、
   前記或るボリュームに割り当て可能な前記第２の論理記憶領域となり得る論理記憶領域である対応領域を、予め確保しておく対応領域確保部と、
   を備え、
   前記対応領域は、前記第１の論理記憶領域の容量と同容量であり、且つデータがシュレッティング済みである論理記憶領域であり、
   前記論理領域確保部は、所定時間おきに、以下の処理、
   （１）前記複数の論理記憶領域それぞれについて、その論理記憶領域と同容量であり、かつデータがシュレッティング済みである対応領域を検索し、
   （２）或る論理記憶領域について検索した結果、前記或る論理記憶領域の対応領域が見つかった場合は、その対応領域を確保し、
   （３）或る論理記憶領域の対応領域が見つからなかった場合は、前記或る論理記憶領域の容量以上の論理記憶領域を有する前記複数の物理記憶装置から、前記或る論理記憶領域の容量と同容量の論理記憶領域を作成し、前記データ消去部に、前記作成した論理記憶領域のデータをシュレッティングされることで、前記対応領域を確保し、
   を行うストレージシステム。
2. 複数の物理記憶装置の物理記憶領域に基づく論理記憶領域がそれぞれ動的に割り当てられる仮想ボリュームを管理するストレージシステムであって、
   前記論理記憶領域が割り当てられている前記仮想ボリュームのデータの仮想記憶領域を示す情報を記憶する割り当て記憶部と、
   複数の仮想ボリュームのうちの或る仮想ボリュームに格納されたデータの消去処理要求を受信する要求受信部と、
   前記消去処理要求を受信した場合に、前記割り当て記憶部から前記或る仮想ボリュームのデータに割り当てられた前記論理記憶領域を示す情報を取得する論理記憶領域取得部と、
   前記取得された前記論理記憶領域を示す情報を記憶する取得情報記憶部と、
   前記取得情報記憶部に、前記取得された前記論理記憶領域を示す情報を記憶した後、前記消去処理要求の対象である前記或る仮想ボリュームに格納された前記データに割り当てられている前記仮想記憶領域を他のデータへの割り当てに解放する仮想記憶領域開放部と、
   前記仮想記憶領域を開放した後に、前記消去処理要求の要求元に対して、前記或る仮想ボリュームのデータのシュレッティングが完了したことを示す通知を送信する通知送信部と、
   前記或る仮想ボリュームのデータのシュレッティングが完了したことを示す通知を送信した後、前記或る仮想ボリュームに割り当てられていた前記論理記憶領域のデータのシュレッティングを実行するデータ消去部と、
   前記データ消去部が少なくとも前記論理記憶領域のデータのシュレッティングを実行している間、前記論理記憶領域の仮想ボリュームへの割り当てを遮断する割り当て遮断部を更に有する割り当て遮断部と、
   を有し、
   前記割り当て記憶部は、前記仮想ボリュームの前記データに割り当てられた前記論理記憶領域を示す情報と、前記仮想ボリュームの前記データに割り当てられた仮想ボリューム上の仮想記憶領域を示す情報と、を対応付けて記憶し、
   前記仮想記憶領域開放部は、前記割り当て記憶部から前記或る仮想ボリュームのデータに割り当てられた前記或る仮想ボリューム上の前記仮想記憶領域を示す情報を削除することにより、前記或る仮想ボリュームにおいて前記データに割り当てられている前記仮想記憶領域を他のデータへの割り当てに解放し、
   前記データ消去部は、前記取得情報記憶部に記憶された前記論理記憶領域を示す情報に基づいて、前記或る仮想ボリュームのデータに割り当てられていた前記論理記憶領域のデータのシュレッティングを実行し、
   前記データ消去部が前記論理記憶領域のデータのシュレッティングが完了した後に、前記通知送信部は、前記論理記憶領域のデータのシュレッティングが完了したことを示す通知を所定の外部装置に送信する
   ストレージシステム。
3. 複数の物理記憶装置の物理記憶領域の少なくとも一部に基づく複数の論理記憶領域が静的に割り当てられたボリュームを管理するストレージシステムにおけるボリュームデータ消去方法であって、
   或るボリュームに格納されたデータの消去処理要求を受信し、
   前記消去処理要求に基づき、前記或るボリュームに割り当てられている前記第1の論理記憶領域を特定し、前記複数の論理記憶領域のうち、前記特定された第１の論理記憶領域と同容量であり、データがシュレッティング済みであり、且つ前記或るボリュームに割り当て可能な論理記憶領域である第２の論理記憶領域を検出し、
   前記或るボリュームに対して、前記第１の論理記憶領域に換えて、前記検出された第２の論理記憶領域を割り当て、
   前記或るボリュームに前記第２の論理記憶領域を割り当てた後に、前記消去処理要求の要求元に対して、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信し、
   前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信した後に、前記第１の論理記憶領域のデータのシュレッティングを行い、
   前記第１の論理記憶領域のデータのシュレッティングが完了するまでの間、前記第１の論理記憶領域へのアクセスを遮断し、
   前記第１の論理記憶領域のデータのシュレッティングが完了した後に、前記第1の論理記憶領域のデータのシュレッティングが完了したことを示す通知を所定の外部装置に送信し、
   前記或るボリュームに対して割り当て可能な前記第２の論理記憶領域が検出できなかった場合に、前記第１の論理記憶領域のデータをシュレッティングし、前記第１の論理記憶領域のデータのシュレッティングが完了した後に、前記消去処理要求の要求元に対して、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信し、
   前記或るボリュームに割り当て可能な前記第２の論理記憶領域となり得る論理記憶領域である対応領域を、予め確保しておくために、所定時間おきに、以下の処理、
   （１）前記複数の論理記憶領域それぞれについて、その論理記憶領域と同容量であり、かつデータがシュレッティング済みである対応領域を検索し、
   （２）或る論理記憶領域について検索した結果、前記或る論理記憶領域の対応領域が見つかった場合は、その対応領域を確保し、
   （３）或る論理記憶領域の対応領域が見つからなかった場合は、前記或る論理記憶領域の容量以上の論理記憶領域を有する前記複数の物理記憶装置から、前記或る論理記憶領域の容量と同容量の論理記憶領域を作成し、前記データ消去部に、前記作成した論理記憶領域のデータをシュレッティングされることで、前記対応領域を確保し、
   を行うボリュームデータ消去方法。
4. 複数の物理記憶装置の物理記憶領域の少なくとも一部に基づく複数の論理記憶領域が静的に割り当てられたボリュームを管理するストレージシステムと、ホスト計算機と、管理計算機とを有する計算機システムであって、
   前記ストレージシステムは、
   或るボリュームに格納されたデータの消去処理要求を受信する要求受信部と、
   前記消去処理要求の対象である前記或るボリュームに割り当てられている第１の論理記憶領域を特定し、前記複数の論理記憶領域のうち、前記特定された第１の論理記憶領域と同容量であり、データがシュレッティング済みであり、且つ前記或るボリュームに割り当て可能な論理記憶領域である第２の論理記憶領域を検出する記憶領域検出部と、
   前記或るボリュームに対して、前記第１の論理記憶領域に換えて、前記検出された第２の論理記憶領域を割り当てる割当部と、
   前記或るボリュームに前記第２の論理記憶領域を割り当てた後に、前記消去処理要求の要求元に対して、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信する通知送信部と、
   前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信した後に、前記第１の論理記憶領域のデータのシュレッティングを行うデータ消去部と、
   前記第１の論理記憶領域のデータのシュレッティングが完了するまでの間、前記第１の論理記憶領域へのアクセスを遮断するアクセス遮断部と、
   前記第１の論理記憶領域のデータのシュレッティングが完了した後に、前記第１の論理記憶領域のデータのシュレッティングが完了したことを示す通知を前記ホスト計算機または前記管理計算機に送信するデータ消去通知部と、
   前記記憶領域検出部によって前記或るボリュームに対して割り当て可能な前記第２の論理記憶領域が検出できなかった場合に、前記データ消去部により前記第１の論理記憶領域のデータをシュレッティングさせ、前記データ消去部による前記第１の論理記憶領域のデータのシュレッティングが完了した後に、前記通知送信部により前記消去処理要求の要求元に対して、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信させる消去通知制御部と、
   前記或るボリュームに割り当て可能な前記第２の論理記憶領域となり得る論理記憶領域である対応領域を、予め確保しておく対応領域確保部と、
   を備え、
   前記対応領域は、前記第１の論理記憶領域の容量と同容量であり、且つデータがシュレッティング済みである論理記憶領域であり、
   前記論理領域確保部は、所定時間おきに、以下の処理、
   （１）前記複数の論理記憶領域それぞれについて、その論理記憶領域と同容量であり、かつデータがシュレッティング済みである対応領域を検索し、
   （２）或る論理記憶領域について検索した結果、前記或る論理記憶領域の対応領域が見つかった場合は、その対応領域を確保し、
   （３）或る論理記憶領域の対応領域が見つからなかった場合は、前記或る論理記憶領域の容量以上の論理記憶領域を有する前記複数の物理記憶装置から、前記或る論理記憶領域の容量と同容量の論理記憶領域を作成し、前記データ消去部に、前記作成した論理記憶領域のデータをシュレッティングされることで、前記対応領域を確保し、
   を行い、
   前記ホスト計算機または前記管理計算機は、
   前記ストレージシステムに対して前記或るボリュームに格納されたデータの消去処理要求を送信する要求送信部と
   前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知、及び前記第１の論理記憶領域のデータのシュレッティングが完了したことを示す通知を受信する通知受信部と
   を有する計算機システム。
5. 複数の物理記憶装置の物理記憶領域の少なくとも一部に基づく複数の論理記憶領域が静的に割り当てられたボリュームを管理するストレージシステムと、ホスト計算機と、管理計算機とを有する計算機システムであって、
   前記ストレージシステムは、
   前記ホスト計算機および前記管理計算機に接続される第１インタフェースと、前記第１インタフェースに接続される第１プロセッサと、データを格納する第１記憶装置と、を備え、
   前記第１プロセッサは、前記第１インタフェースを介して、前記ホスト計算機から、或るボリュームに格納されたデータの消去処理要求を受信し、前記消去処理要求の対象である前記或るボリュームに割り当てられている前記第1の論理記憶領域を特定し、前記複数の論理記憶領域のうち、前記特定された第１の論理記憶領域と同容量であり、データがシュレッティング済みであり、且つ前記或るボリュームに割り当て可能な論理記憶領域である第２の論理記憶領域を検出し、前記或るボリュームに対して、前記第１の論理記憶領域に換えて、前記検出された前記第２の論理記憶領域を割り当て、前記或るボリュームに前記第２の論理記憶領域を割り当てた後に、前記第１インタフェースを介して、前記消去処理要求の要求元の前記ホスト計算機に対して、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信し、前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信した後に、前記第１の論理記憶領域のデータのシュレッティングを行い、前記第１の論理記憶領域のデータのシュレッティングが完了するまでの間、前記第１の論理記憶領域へのアクセスを遮断し、前記第１記憶領域のデータのシュレッティングが完了した後に、前記第１インタフェースを介して前記管理計算機に前記第１の論理記憶領域のデータのシュレッティングが完了したことを示す通知を送信し、前記或るボリュームに対して割り当て可能な前記第２の論理記憶領域が検出できなかった場合に、前記第１の論理記憶領域のデータをシュレッティングし、前記第１の論理記憶領域のデータのシュレッティングが完了した後に、前記第１インタフェースを介して、前記消去処理要求の要求元である前記ホスト計算機に対して、前記第１インタフェースを介して前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を送信し、
   前記第１プロセッサは、前記或るボリュームに割り当て可能な前記第２の論理記憶領域となり得る論理記憶領域である対応領域を予め確保しておくために、所定時間おきに、以下の処理、
   前記論理領域確保部は、所定時間おきに、以下の処理、
   （１）前記複数の論理記憶領域それぞれについて、その論理記憶領域と同容量であり、かつデータがシュレッティング済みである対応領域を検索し、
   （２）或る論理記憶領域について検索した結果、前記或る論理記憶領域の対応領域が見つかった場合は、その対応領域を確保し、
   （３）或る論理記憶領域の対応領域が見つからなかった場合は、前記或る論理記憶領域の容量以上の論理記憶領域を有する前記複数の物理記憶装置から、前記或る論理記憶領域の容量と同容量の論理記憶領域を作成し、前記データ消去部に、前記作成した論理記憶領域のデータをシュレッティングされることで、前記対応領域を確保し、
   を行い、
   前記ホスト計算機は、
   前記ストレージシステムに接続される第２インタフェースと、前記第２インタフェースに接続される第２プロセッサとを備え、
   前記第２プロセッサは、前記第２インタフェースを介して、前記ストレージシステムに対して前記或るボリュームに格納されたデータの消去処理要求を送信し、前記第２インタフェースを介して、前記ストレージシステムから前記或るボリュームに格納されたデータのシュレッティングが完了したことを示す通知を受信し
   前記管理計算機は、
   前記ストレージシステムに接続される第３インタフェースと、前記第３インタフェースに接続される第３プロセッサと、前記第３プロセッサと接続される出力用インタフェースとを備え、
   前記第３プロセッサは、前記第３インタフェースを介して、前記ストレージシステムから前記第１の論理記憶領域のデータのシュレッティングが完了したことを示す通知を受信し、前記出力用インタフェースにより、前記或るボリュームのデータの消去が終了したことを示すデータ消去証明書を出力する
   計算機システム。
   

Images