JP5646682B2 - ストレージ装置及びその制御方法 - Google Patents

Description

本発明は、ストレージ装置及びその制御方法に関し、例えばデータを暗号化して記憶媒体に保存するストレージ装置に適用して好適なものである。

従来、この種のストレージ装置においては、ホストから書込み要求と共に与えられたデータを暗号化して記憶媒体に格納し、当該データの読出し要求がホストから与えられたときには、暗号化されたデータを復号化しながら記憶媒体から読み出してホストに送信する。

この際、この種のストレージ装置では、かかるデータの暗号化処理及び復号化処理をシステム管理者により予め設定された暗号鍵を用いて行うため、記憶媒体に格納されたデータのセキュリティを高めるために、定期的に暗号鍵を交換することが望まれる。

このような暗号化鍵の交換方式として、従来、暗号鍵を交換しようとするデータをシーケンシャルに復号化しながら記憶媒体から読み出し、得られた復号化されたデータを新たな暗号鍵を用いて暗号化しながら記憶媒体の同じ位置に上書きする方式（以下、これを上書き方式と呼ぶ）が提案されている（特許文献１）。

また他の暗号化鍵の交換方式として、記憶媒体に保存されたデータをシーケンシャルに復号化しながら記憶媒体から読み出し、得られた復号化データを新たな暗号鍵を用いて暗号化しながら他の記憶媒体に書き込む方式（以下、これをマイグレーション方式と呼ぶ）も広く用いられている。

米国特許第７１６２４７号明細書

ところで、上述の上書き方式では、記憶媒体が提供する記憶領域のうちの鍵交換処理が完了した部分と、鍵交換処理が行われていない部分とを区別するため、ポインタを用いて鍵交換処理の進捗状況を管理する。このためこの上書き方式によると、メモリの故障などによりこのポインタが消滅した場合にどの記憶領域に格納されたデータに対してどの暗号鍵を適用すべきであるかが不明となって、データを正しく復号化することができなくなり、結果としてデータ消失と同等の状況に陥る問題があった。

一方、上述のマイグレーション方式では、かかる暗号鍵の交換処理がパリティグループ単位で行われる。このためかかるマイグレーション方式によると、そのとき暗号化鍵を交換しようとするパリティグループを構成する記憶媒体と同じ数の記憶媒体を余計に必要となる問題があった。

本発明は以上の点を考慮してなされたもので、信頼性高くかつ安価に暗号化鍵交換処理を行い得るストレージ装置及びその制御方法を提案しようとするものである。

かかる課題を解決するため本発明においては、１以上の外部装置と接続されるストレージ装置であって、予備記憶媒体を含む複数の記憶媒体と、前記１以上の外部装置の何れかから与えられたデータを第１の暗号鍵を用いて暗号化し、前記記憶媒体に格納するコントロールユニットとを設け、前記コントロールユニットは、前記１以上の外部装置の何れかからの暗号鍵交換指示に応じて、前記予備記憶媒体が使用可能か否かを判定する判定部と、前記予備記憶媒体以外の前記複数の記憶媒体の中から、暗号鍵の交換対象となる第１の記憶媒体を選択する選択部と、前記第１の記憶媒体に格納されているデータを前記第１の暗号鍵を用いて復号化し、前記復号化したデータを、前記暗号鍵交換指示において指定された第２の暗号鍵で暗号化して前記予備記憶媒体に格納する格納部と、前記第１の記憶媒体を新たな予備記憶媒体とし、前記予備記憶媒体を前記第１の記憶媒体とするように、前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える記憶媒体入替え部とを備え、前記判定部が、前記予備記憶媒体が使用できないと判定した場合、前記判定を繰り返し、前記予備記憶媒体が使用可能と判定できなかったときには、前記暗号鍵交換指示を指示した外部装置に対してエラーを通知するようにした。

また本発明においては、１以上の外部装置と接続されるストレージ装置の制御方法であって、前記ストレージ装置は、予備記憶媒体を含む複数の記憶媒体と、前記１以上の外部装置の何れかから与えられたデータを第１の暗号鍵を用いて暗号化し、前記記憶媒体に格納するコントロールユニットとを有し、前記コントロールユニットが、前記１以上の外部装置の何れかからの暗号鍵交換指示に応じて、前記予備記憶媒体が使用可能か否かを判定する第１のステップと、前記コントロールユニットが、前記予備記憶媒体以外の前記複数の記憶媒体の中から、暗号鍵の交換対象となる第１の記憶媒体を選択する第２のステップと、前記コントロールユニットが、前記第１の記憶媒体に格納されているデータを前記第１の暗号鍵を用いて復号化し、前記復号化したデータを、前記暗号鍵交換指示において指定された第２の暗号鍵で暗号化して前記予備記憶媒体に格納する処理を実行し、当該処理の終了後に、前記第１の記憶媒体を新たな予備記憶媒体とし、前記予備記憶媒体を前記第１の記憶媒体とするように、前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える第３のステップとを設け、前記第１のステップにおいて、前記コントロールユニットが、前記予備記憶媒体が使用できないと判定した場合、前記判定を繰り返し、前記予備記憶媒体が使用可能と判定できなかったときには、前記暗号鍵交換指示を指示した外部装置に対してエラーを通知するようにした。

本発明の暗号鍵交換方式によれば、データに対してどの暗号鍵を適用すべきであるかが不明となるおそれがなく、また暗号化鍵を交換しようとするパリティグループを構成する記憶媒体と同じ数の記憶媒体を用意する必要もない。かくするにつき、本発明によれば、信頼性高くかつ安価に暗号鍵の交換処理を行うことができる。

図１は、本実施の形態による計算機システムの概略構成を示すブロック図である。 図２は、ホストコンピュータの構成を示すブロック図である。 図３は、ストレージ装置の構成を示すブロック図である。 図４は、管理コンピュータの構成を示すブロック図である。 図５は、コレクションコピー機能の説明に供する概念図である。 図６は、本実施の形態による暗号鍵交換方式の概略説明に供する概念図である。 図７は、本実施の形態による暗号鍵交換方式に関連してストレージ装置が保持する各種制御プログラム及び各種テーブルの説明に供する概念図である。 図８は、暗号鍵管理テーブルの構成を示す概念図である。 図９は、ディスク管理テーブルの構成を示す概念図である。 図１０は、ボリューム管理テーブルの構成を示す概念図である。 図１１は、暗号鍵交換設定画面の構成を略線的に示す略線図である。 図１２は、第１の暗号鍵交換処理の処理手順を示すフローチャートである。 図１３は、コレクションコピー処理の処理手順を示すフローチャートである。 図１４は、第２の暗号鍵交換処理の処理手順を示すフローチャートである。 図１５は、暗号鍵交換プロセス制御処理の処理手順を示すフローチャートである。 図１６は、第２の実施の形態によるコレクションコピー処理の処理手順を示すフローチャートである。 図１７は、スケジュール設定画面の構成を略線的に示す略線図である。

以下図面について、本発明の一実施の形態を詳述する。

（１）第１の実施の形態
（１−１）本実施の形態による計算機システムの構成
図１において、１は全体として本実施の形態による計算機システムを示す。この計算機システム１は、ホストコンピュータ２、ストレージ装置３及び管理コンピュータ４を備えて構成される。そして、計算機システム１においては、ホストコンピュータ２及びストレージ装置３間がＳＡＮ（Storage Area Network）等の第１のネットワーク５を介して接続されると共に、ホストコンピュータ２及び管理コンピュータ４間と、ストレージ装置３及び管理コンピュータ４間とがそれぞれＬＡＮ（Local Area Network）等の第２及び第３のネットワーク６，７を介して接続されている。

ホストコンピュータ２は、図２に示すように、プロセッサ１０、メモリ１１、ネットワークインタフェース１２、管理ポート１３、入力装置１４及び出力装置１５を備え、これらが内部バス１６を介して相互に接続されることにより構成されている。

プロセッサ１０は、ホストコンピュータ２全体の動作制御を司る機能を有し、メモリ１１に格納されたビジネスアプリケーションソフトウェア１７及びファイルシステム１８などに基づいて各種の制御処理を実行する。メモリ１１は、かかるビジネスアプリケーションソフトウェア１７、ファイルシステム１８及びその他の制御プログラムを記憶するために用いられるほか、プロセッサ１０のワークメモリとしても用いられる。

ネットワークインタフェース１２は、ホストコンピュータ２が第１のネットワーク５を介してストレージ装置３と通信を行うためのインタフェースである。ホストコンピュータ２は、このネットワークインタフェース１２を介してストレージ装置３内の対応する論理ボリュームＶＯＬにデータを読み書きする。

管理ポート１３は、ホストコンピュータ２を第２のネットワーク６に接続するためのポートである。この管理ポート１３には、ＷＷＮ（World Wide Name）やＩＰ（Internet Protocol）アドレスなどの固有のネットワークアドレスが付与される。

入力装置１４は、キーボード及びマウスなどから構成され、ユーザが各種操作を入力するために用いられる。また出力装置１５は、ディスプレイ及びスピーカなどから構成され、プロセッサの制御のもとにＧＵＩ（Graphical User Interface）や各種情報を表示する。
ストレージ装置３は、図３に示すように、複数のハードディスク装置２０を備える記憶部２１と、これらハードディスク装置２０に対するデータの入出力を制御するコントロール部３０とから構成される。

ハードディスク装置２０は、例えばＳＣＳＩ（Small Computer System Interface）ディスク等の高価なディスクや、ＳＡＴＡ（Serial AT Attachment）ディスク等の安価なディスクなどから構成される。１又は複数のハードディスク装置２０により１つのパリティグループ２２が構成され、１つのパリティグループ２２を構成する各ハードディスク装置２０が提供する物理的な記憶領域上に、１又は複数の論理ボリュームＶＯＬが設定される。そしてホスト２からのデータは、この論理ボリュームＶＯＬ内に所定大きさのブロック（以下、これを論理ブロックと呼ぶ）を単位として記憶される。

各論理ボリュームＶＯＬには、それぞれ固有のＩＤ（以下、これをボリュームＩＤと呼ぶ）が付与される。本実施の形態の場合、データの入出力は、このボリュームＩＤと、各論理ブロックにそれぞれ付与されるその論理ブロックに固有の番号（以下、これをブロック番号と呼ぶ）とを組み合わせたものをアドレスとして、当該アドレスを指定して行われる。

またコントロール部３０は、それぞれパッケージ化された複数のホストインタフェース部３１、複数の制御部３２、複数の共有メモリ部３３及び複数のディスクインタフェース部３４を備え、これらが内部ネットワーク３５を介して接続されることにより構成されている。

ホストインタフェース部３１は、例えばＮＩＣ（Network Interface Card）やＬＡＮカードなどから構成される複数のホストインタフェース４０を備え、これらホストインタフェース４０が第１のネットワーク５や第３のネットワーク７に接続される。

制御部３２は、複数のマイクロプロセッサ４１及びローカルメモリ４２がバス４３を介して接続されることにより構成されている。ローカルメモリ４２には、後述する共有メモリ部３３から読み出した制御プログラム及び制御情報などが格納されており、これら制御プログラム及び制御情報に基づいて、各マイクロプロセッサ４１により、ホストコンピュータ２からの入出力要求に応じたデータの入出力処理や、そのデータの暗号化／復号化処理及び後述するコレクションコピー処理などが実行される。

共有メモリ部３３は、例えばＤＲＡＭ（Dynamic Random Access Memory）から構成されるデータキャッシュ用メモリ４４及び制御情報用メモリ４５を備える。データキャッシュ用メモリ４４は、ハードディスク装置２０に読み書きするデータを一時的に記憶するために利用され、制御情報用メモリ４５は、主にストレージ装置３全体の構成に関するシステム構成情報等の各種制御情報やコマンドを記憶するために利用される。

ディスクインタフェース部３４は、複数のディスクインタフェース４６を備えて構成される。これら複数のディスクインタフェース４６は、それぞれケーブル４７を介して記憶部２１のハードディスク装置２０と接続されており、コントロール部３０及び記憶部２１間における読書き対象のデータの受け渡し処理を仲介する。

内部ネットワーク３５は、例えば高速スイッチングによりデータ伝送を行う超高速クロスバススイッチなどのスイッチ又はバス等で構成される。ホストインタフェース部３１、制御部３２、共有メモリ部３３及びディスクインタフェース部３４間におけるデータやコマンドの授受は、この内部ネットワーク３５を介して行われる。

管理コンピュータ４は、図４に示すように、プロセッサ５０、メモリ５１、管理ポート５２、入力装置５３及び出力装置５４が内部バス５５を介して接続されることにより構成されている。

これらプロセッサ５０、メモリ５１、管理ポート５２、入力装置５３及び出力装置５４は、ホストコンピュータ２（図２）の対応部位と同様の機能を有するものであるため、ここでの説明は省略する。

なお、管理コンピュータ４の場合、メモリ５１には、後述する暗号化管理プログラム５６が格納される。

（１−２）本実施の形態による暗号鍵交換方式
次に、ストレージ装置３に搭載された暗号鍵交換機能について説明する。

ストレージ装置３では、パリティグループ２２（図３）が提供する論理ボリュームＶＯＬにデータを書き込む際、図５に示すように、ホストコンピュータ２から与えられた書込み対象のデータＤ，Ｄ２，Ｄ３，……を所定単位で複数のデータ（以下、これを分割データと呼ぶ）Ｄ１−１〜Ｄ１−３，Ｄ２−１〜Ｄ２−３，Ｄ３−１〜Ｄ３−３に分割すると共に、これら分割データＤ１−１〜Ｄ１−３，Ｄ２−１〜Ｄ２−３，Ｄ３−１〜Ｄ３−３に基づいて冗長データ（以下、これをパリティと呼ぶ）Ｄ１−Ｐ，Ｄ２−Ｐ，Ｄ３−Ｐを作成し、これらの分割データＤ１−１〜Ｄ１−３，Ｄ２−１〜Ｄ２−３，Ｄ３−１〜Ｄ３−３及びパリティＤ１−Ｐ，Ｄ２−Ｐ，Ｄ３−Ｐをそれぞれディスクインタフェース部３４を介して同じパリティグループ２２を構成する複数のハードディスク装置２０に分散して格納している。

またストレージ装置３においては、パリティグループ２２内の１つのハードディスク装置２０に障害が発生した場合、そのパリティグループ２２を構成する他のハードディスク装置２０に格納されているデータ（分割データＤ１−１〜Ｄ１−３，Ｄ２−１〜Ｄ２−３，Ｄ３−１〜Ｄ３−３又はパリティＤ１−Ｐ，Ｄ２−Ｐ，Ｄ３−Ｐ）を用いて障害が発生したハードディスク装置２０に格納されていたデータを復元し、復元したデータを予備のハードディスク装置（以下、これを予備ハードディスク装置と呼ぶ）２０に格納するコレクションコピー処理を実行する。

加えて本実施の形態によるストレージ装置３には、以上のようなコレクションコピー機能を利用して暗号鍵の交換処理を行う暗号鍵交換機能が搭載されている。

実際上、本ストレージ装置３では、暗号鍵の交換処理時、図６に示すように、パリティグループ２２を構成する複数のハードディスク装置２０のうち、暗号鍵の交換対象（以下、これを暗号鍵交換対象と呼ぶ）とするハードディスク装置２０に格納されているデータを上述のコレクションコピー処理により復元し、復元したデータを新たな暗号鍵を用いて暗号化して予備ハードディスク装置２０にコピーする。そしてストレージ装置３は、この後、このとき暗号鍵交換対象であったハードディスク装置２０を予備ハードディスク装置２０に切り替える。

またストレージ装置３においては、かかるパリティグループ２２を構成する残りの各ハードディスク装置２０についても同様のコレクションコピー処理を実行する。これにより、パリティグループ２２を構成する各ハードディスク装置２０にそれぞれ格納されたデータの暗号鍵を新たな暗号鍵に交換することができる。

以上のような本実施の形態による暗号鍵交換処理を実行するための手段として、ストレージ装置３の制御部３２（図３）のローカルメモリ４２には、図７に示すように、暗号鍵交換制御プログラム６０、暗号化／復号化プログラム６１及び暗号鍵交換プロセス制御プログラム６２などの制御プログラムと、暗号鍵管理テーブル６３、ディスク管理テーブル６４及びボリューム管理テーブル６５などの管理情報とが格納されている。

このうち暗号鍵交換制御プログラム６０は、上述のようにコレクションコピー機能を用いて暗号鍵の交換を行うための制御プログラムであり、暗号化／復号化プログラム６１は、データを暗号化又は復号化するためのプログラムである。また暗号鍵交換プロセス制御プログラム６２は、上述のような暗号鍵交換処理を実行している最中にそのストレージ装置２内のいずれかのハードディスク装置２０に障害が発生した場合の対応処理を実行するためのプログラムである。

なお、以下においては、各種処理の処理主体を「プログラム」として説明することがあるが、実際上は、その「プログラム」に基づいて制御部３２（図３）内のマイクロプロセッサ４１（図３）がその処理を実行することは言うまでもない。

一方、暗号鍵管理テーブル６３は、ストレージ装置３内において暗号鍵を管理するためのテーブルであり、図８に示すように、鍵ＩＤ欄６３Ａ、鍵データ欄６３Ｂ及び生成日欄６３Ｃから構成される。

そして鍵ＩＤ欄６３Ａには、対応する暗号鍵に付与された固有のＩＤ（鍵ＩＤ）が格納され、鍵データ欄６３Ｂには、その暗号鍵のデータが格納される。また生成日欄６３Ｃには、その暗号鍵を生成した年月日が格納される。従って、図８では、「54SD7DODE4AG45S5DFDF5PL」という暗号鍵は「2005/03/31」に生成され、その暗号鍵には「KEY001」という鍵ＩＤが付与されていることが示されている。

ディスク管理テーブル６４は、そのストレージ装置３内に存在するハードディスク装置２０を管理するためのテーブルであり、図９に示すように、ディスクＩＤ欄６４Ａ、パリティグループＩＤ欄６４Ｂ、鍵ＩＤ欄６４Ｃ及び暗号化日時欄６４Ｄから構成される。

そしてディスクＩＤ欄６４Ａには、対応するハードディスク装置２０に付与された当該ハードディスク装置２０に固有のＩＤ（ディスクＩＤ）が格納され、パリティグループＩＤ欄６４Ｄには、そのハードディスク装置２０が属するパリティグループ２２に付与された当該パリティグループ２２に固有のＩＤ（パリティグループＩＤ）が格納される。

また鍵ＩＤ欄６４Ｃには、そのハードディスク装置２０に格納されたデータを暗号化する際に使用した暗号鍵の鍵ＩＤが格納され、暗号化日時欄６４Ｄには、そのハードディスク装置２０に格納されたデータを暗号化した日時が格納される。

従って、図９の例では、「DISK001」〜「DISK004」というディスクＩＤがそれぞれ付与された４つのハードディスク装置２０により「PG001」というパリティグループＩＤが付与されたパリティグループ２２が構成されており、このパリティグループ２２が提供する論理ボリュームＶＯＬに格納されたデータは、「KEY001」という鍵ＩＤの暗号鍵を用いて「2007/04/01 00:21.01」に暗号化されていることが分かる。

また図９では、「DISK005」〜「DISK007」というディスクＩＤがそれぞれ付与された３つのハードディスク装置２０は、いずれもパリティグループ２２に属していないことが示されている。なお、「DISK020」というハードディスク装置２０については、パリティグループＩＤ欄６４Ｂに「HOT SWAP」という情報が格納されているが、これはこのハードディスク装置２０が予備ハードディスク装置であることを表している。

さらにボリューム管理テーブル６５は、ストレージ装置３内に定義された論理ボリュームＶＯＬを管理するためのテーブルであり、図１０に示すように、パリティグループＩＤ欄６５Ａ、ＲＡＩＤレベル欄６５Ｂ、容量欄６５Ｃ及びボリュームＩＤ欄６５Ｄから構成される。

そしてパリティグループＩＤ欄６５Ａには、対応するパリティグループ２２のパリティグループＩＤが格納され、ＲＡＩＤレベル欄６５Ｂには、そのパリティグループ２２について設定されたＲＡＩＤ（Redundant Arrays of Inexpensive Disks）レベルが格納される。また容量欄６５Ｃには、そのパリティグループ２２の容量が格納され、ボリュームＩＤ欄６５Ｄには、そのパリティグループ２２を構成する論理ボリュームＶＯＬのボリュームＩＤが格納される。

従って、図１０の例の場合、「VOL001」というボリュームＩＤが付与された論理ボリュームＶＯＬは、「PG001」というパリティグループＩＤが付与された容量が「150GB」でＲＡＩＤレベルが「RAID5(3D＋1)」のパリティグループ２２を構成していることが分かる。

（１−３）暗号鍵交換指示画面
図１１は、管理コンピュータ４（図４）において暗号化管理プログラム５６（図４）を起動することにより当該管理コンピュータ４に表示される暗号鍵交換設定画面７０を示す。

この暗号鍵交換設定画面７０は、ストレージ装置３に上述の暗号鍵交換機能に基づく暗号鍵交換処理を実行させる際の各種条件を設定するためのＧＵＩ（Graphical User Interface）であり、ディスク情報領域７１、リソース選択領域７２及び交換鍵選択領域７３から構成される。

このうちディスク情報領域７１には、暗号化管理プログラム５６がストレージ装置３から収集した当該ストレージ装置３内のハードディスク装置２０に関する情報に基づいて、ディスク管理テーブル６４（図９）と同様の情報が一覧形式で表示される。

またリソース選択領域７２は、暗号鍵交換対象を選択するためのＧＵＩ領域である。このリソース選択領域７２において、ユーザは、ディスクＩＤ、パリティグループＩＤ、鍵ＩＤ又は期間のいずれかの条件を指定することにより暗号鍵交換対象を選択することができる。

例えば、かかる条件としてディスクＩＤを指定する場合、ユーザは、ディスクＩＤに対応するラジオボタン８０を選択すると共に、選択ディスクＩＤ表示欄８１のプルダウンボタン８２をクリックすることにより、ストレージ装置３内のすべてのハードディスク装置２０のディスクＩＤが掲載されたプルダウンメニューを表示させ、このプルダウンメニューから暗号鍵交換対象とすべきハードディスク装置２０のディスクＩＤを１つ選択するようにする。この結果、そのとき選択されたディスクＩＤが選択ディスクＩＤ表示欄８１に表示される。そして、選択ディスクＩＤ表示欄８１にディスクＩＤが表示されたハードディスク装置２０が暗号鍵交換対象として選択されたことになる。

また、かかる条件としてパリティグループＩＤを指定する場合、ユーザは、パリティグループＩＤに対応するラジオボタン８３を選択すると共に、選択パリティグループＩＤ表示欄８４のプルダウンメニューボタン８５をクリックすることにより、ストレージ装置３内に定義されたすべてのパリティグループ２２のパリティグループＩＤが掲載されたプルダウンメニュー８６を表示させ、このプルダウンメニュー８６から暗号鍵交換対象とすべきパリティグループ２２のパリティグループＩＤを１つ選択する。この結果、そのとき選択されたパリティグループＩＤが選択パリティグループＩＤ表示欄８４に表示される。そして、選択パリティグループＩＤ表示欄８４にパリティグループＩＤが表示されたパリティグループ２２が暗号鍵交換対象として選択されたことになる。

さらに、かかる条件として鍵ＩＤを指定する場合、ユーザは、対応するチェックボックス８７にチェックマークを表示させると共に、選択鍵ＩＤ表示欄８８のプルダウンメニューボタン８９をクリックすることにより、ストレージ装置３において使用されたすべての暗号鍵の鍵ＩＤが掲載されたプルダウンメニューを表示させ、このプルダウンメニューから暗号鍵交換対象とすべき暗号鍵の鍵ＩＤを１つ選択する。この結果そのとき選択された鍵ＩＤが選択鍵ＩＤ表示欄８８に表示される。そして、選択鍵ＩＤ表示欄８８に鍵ＩＤが表示された暗号鍵により暗号化されたデータが格納されているハードディスク装置２０が暗号鍵交換対象として選択されたことになる。

さらに、かかる条件として期間を指定する場合、ユーザは、対応するチェックボックス９０にチェックマークを表示させると共に、期間初日表示欄９１及び期間最終日表示欄９２にそれぞれ期間の初日及び最終日の日にちを入力する。この結果、このとき期間初日表示欄９１に表示された日にちから期間最終日表示欄９２に表示された日にちまでの間に暗号化されたデータが格納されているハードディスク装置２０が暗号鍵交換対象として選択されたことになる。

なお、かかる条件を組み合わせて暗号鍵交換対象を選択することもできる。例えば暗号鍵交換対象の条件としてパリティグループＩＤ及び鍵ＩＤの２つを選択した場合、そのパリティグループＩＤが付与されたパリティグループ２２内のその暗号鍵により暗号化されたデータが格納されているハードディスク装置２０が暗号鍵交換対象となる。

また暗号鍵交換対象の条件としてパリティグループＩＤ及びデータ暗号化期間の２つを選択した場合、そのパリティグループＩＤが付与されたパリティグループ２２内のその期間内に暗号化されたデータが格納されているハードディスク装置２０が暗号鍵交換対象となる。

さらに暗号鍵交換対象の条件としてパリティグループＩＤ、鍵ＩＤ及び期間の３つを選択した場合、そのパリティグループＩＤが付与されたパリティグループ２２内のその期間内にその鍵ＩＤが付与された暗号鍵により暗号化されたデータが格納されているハードディスク装置２０が暗号鍵交換対象となる。

さらに暗号鍵交換対象の条件として鍵ＩＤ及び期間の２つを指定した場合、その鍵ＩＤが付与された暗号鍵によりその期間内に暗号化されたデータが格納されているハードディスク装置２０が暗号鍵交換対象となる。

他方、交換鍵選択領域７３は、暗号鍵交換処理に使用する新たな暗号鍵を選択するためのＧＵＩ領域である。ユーザは、この交換鍵選択領域７３において、新たな暗号鍵を選択することができる。

実際上、新たな暗号鍵を選択する場合、ユーザは、新暗号鍵ＩＤ表示欄９３のプルダウンメニューボタン９４をクリックすることにより、予め作成されたすべての暗号鍵の鍵ＩＤが表示されたプルダウンメニューを表示させ、このプルダウンメニューから新たに使用すべき暗号鍵の鍵ＩＤを１つ選択する。かくして、そのとき選択された鍵ＩＤが新暗号鍵ＩＤ表示欄９３に表示される。そして、ユーザは、この後、ニューキーボタンをクリックする。この結果、そのとき新暗号鍵ＩＤ表示欄９３に表示された鍵ＩＤが付与された暗号鍵が新たな暗号鍵として選択されたことになる。

そして暗号鍵交換設定画面７０では、以上のようにして暗号鍵交換対象と、新たな暗号鍵とを選択した後、画面右下に表示された実行ボタン７４をクリックすることによって、暗号鍵交換処理の実行命令を入力することができる。

この場合、このとき暗号鍵交換設定画面７０を用いてユーザが選択した暗号鍵交換対象と、新たな暗号鍵とに関する情報を含む、暗号鍵交換処理の実行指示（以下、これを暗号鍵交換指示と呼ぶ）が管理コンピュータ４からストレージ装置３に与えられる。そして、この暗号鍵交換指示に基づいて、後述のようにストレージ装置３において暗号鍵交換処理が実行される。

なお、暗号鍵交換設定画面７０において、画面右下に表示されたキャンセルボタン７５をクリックした場合、そのとき暗号鍵交換設定画面７０において行ったユーザ操作がすべてキャンセルされる。

（１−４）本実施の形態による暗号鍵交換処理
次に、かかる暗号鍵交換指示を受信したストレージ装置３の暗号鍵交換制御プログラム６０及び暗号鍵交換プロセス制御プログラム６２（図７）の処理内容について説明する。

（１−４−１）第１の暗号鍵交換処理
図１２は、暗号鍵交換制御プログラム６０が、暗号鍵交換対象としてパリティグループ２２（図３）が指定された上述の暗号鍵交換指示を受信した場合に実行する第１の暗号鍵交換処理の処理手順を示す。暗号鍵交換制御プログラム６０は、かかる暗号鍵交換指示が与えられると、この処理手順に従って、指定されたパリティグループ（以下、これを指定パリティグループと呼ぶ）２２に属する各ハードディスク装置２０に対する暗号鍵交換処理を実行する。

すなわち暗号鍵交換制御プログラム６０は、暗号鍵交換指示が与えられると、この第１の暗号鍵交換処理を開始し、まず、ディスク管理テーブル６４（図９）を参照して、かかる指定パリティグループ２２に属する各ハードディスク装置２０について、そのハードディスク装置２０に格納されているデータを暗号化するときに使用した暗号鍵の鍵ＩＤを検出する（ＳＰ１）。

続いて暗号鍵交換制御プログラム６０は、記憶部２１内の制御プログラム保存用として使用されている所定のハードディスク装置２０から暗号化／復号化プログラム６１（図７）をローカルメモリ４２（図３）に読み出し（ＳＰ２）、この後、予備ハードディスク装置２０が使用可能であるか否かを判断する（ＳＰ３）。

ここで、予備ハードディスク装置２０が既に使用されている場合や、当該予備ハードディスク装置に障害が発生している場合には、この判断において否定結果が得られる。かくして、このとき暗号鍵交換制御プログラム６０は、所定時間待機した後（ＳＰ４）、タイムアウトとなったか否か（リトライ回数が予め定められた回数となったか否か）を判断した後に（ＳＰ５）、ステップＳＰ３に戻る。

そして暗号鍵交換制御プログラム６０は、ステップＳＰ３又はステップＳＰ５において肯定結果を得るまで同様の処理を繰り返し、やがてステップＳＰ５において肯定結果を得た場合には、管理コンピュータ４にエラーを通知した後（ＳＰ６）、この第１の暗号鍵交換処理を終了する。

これに対して暗号鍵交換制御プログラム６０は、ステップＳＰ３の判断において肯定結果を得た場合には、指定パリティグループ２２に属するハードディスク装置２０を１つ選択する（ＳＰ７）。

続いて暗号鍵交換制御プログラム６０は、そのハードディスク装置２０に格納されているデータ（分割データ又はパリティ）を、暗号鍵交換指示において指定された新たな暗号鍵で暗号化しながら予備ハードディスク装置２０にコレクションコピーする（ＳＰ８）。

次いで暗号鍵交換制御プログラム６０は、ステップＳＰ７において選択したハードディスク装置２０と、予備ハードディスク装置２０とを入れ替える。つまり、暗号鍵交換制御プログラム６０は、ステップＳＰ７において選択したハードディスク装置２０を予備ハードディスク装置２０に設定し、それまでの予備ハードディスク装置２０を指定パリティグループ２２に属するハードディスク装置２０として設定する（ＳＰ９）。

より具体的には、暗号鍵交換制御プログラム６０は、ディスク管理テーブル６４（図９）の、ステップＳＰ７において選択したハードディスク装置２０に対応するエントリのパリティグループＩＤ欄６４Ｇに、当該ハードディスク装置２０が予備ハードディスク装置であることを意味する「HOT SWAP」を格納すると共に、それまで予備ハードディスク装置として設定されていたハードディスク装置２０に対応するエントリのパリティグループＩＤ欄６４Ｂに、指定パリティグループ２２のパリティグループＩＤを格納する。

また暗号鍵交換制御プログラム６０は、ボリューム管理テーブル６５（図１０）の、ステップＳＰ７において選択したハードディスク装置２０に対応するエントリのパリティグループＩＤ欄６５Ａ、ＲＡＩＤレベル欄６５Ｂ及び容量欄６５Ｃに格納されている情報を、それまで予備ハードディスク装置として設定されていたハードディスク装置２０に対応するエントリのパリティグループＩＤ欄６５Ａ、ＲＡＩＤレベル欄６５Ｂ及び容量欄６５Ｃにそれぞれコピーした後に消去する。

続いて暗号鍵交換制御プログラム６０は、指定パリティグループ２２に属するすべてのハードディスク装置２０について同様の処理を実行し終えたか否かを判断する（ＳＰ１０）。

そして暗号鍵交換制御プログラム６０は、この判断において否定結果を得ると、ステップＳＰ３に戻り、この後、ステップＳＰ７において選択するハードディスク装置２０を順次他のハードディスク装置２０に切り替えながら、同様の処理を繰り返す（ＳＰ３〜ＳＰ１０−ＳＰ３）。

以上により、指定パリティグループ２２に属する各ハードディスク装置２０について、そのハードディスク装置２０に格納されているデータを予備ハードディスク装置２０に新たな暗号鍵で暗号化しながらコレクションコピーすることができる。

そして暗号鍵交換制御プログラム６０は、やがて指定パリティグループ２２に属する各ハードディスク装置２０にそれぞれ格納されているデータを他のハードディスク装置２０にコレクションコピーし終えることによりステップＳＰ１０において肯定結果を得ると、上述の処理により最後に予備ハードディスク装置２０に設定されたハードディスク装置２０に格納されているデータを完全消去し（ＳＰ１１）、この後、この第１の暗号鍵交換処理を終了する。

（１−４−２）コレクションコピー処理
図１３は、上述の暗号鍵交換処理のステップＳＰ８において実行されるコレクションコピー処理の具体的な処理内容を示す。

暗号鍵交換制御プログラム６０は、第１の暗号鍵交換処理のステップＳＰ８に進むと、このコレクションコピー処理を開始し、まず、所定のカウンタ（以下、これをブロックカウンタと呼ぶ）のカウント値をリセット（「０」にセット）する（ＳＰ２０）。

続いて暗号鍵交換制御プログラム６０は、暗号鍵交換対象のハードディスク装置２０以外の指定パリティグループ２２に属する各ハードディスク装置２０から、ブロックカウンタのカウント値と同じブロック番号が付与された論理ブロックに格納されているデータ（分割データ又はパリティ）をそれぞれ読み出す（ＳＰ２１）。そして暗号鍵交換制御プログラム６０は、このとき各ハードディスク装置２０からそれぞれ読み出した１論理ブロック分の各データをそれぞれ復号化する（ＳＰ２２）。

次いで暗号鍵交換制御プログラム６０は、ステップＳＰ２２において復号化した各データに基づいて、暗号鍵交換対象のハードディスク装置２０内の、ブロックカウンタのカウント値と同じブロック番号が付与された論理ブロックに格納されているであろうデータをコレクションコピー機能を用いて生成する（ＳＰ２３）。

さらに暗号鍵交換制御プログラム６０は、この後、生成したデータを、暗号鍵交換指示において指定された新たな暗号鍵を用いて暗号化し（ＳＰ２４）、暗号化したデータを予備ハードディスク装置２０内のブロック番号が「Ｉ」の論理ブロックに書き込む（ＳＰ２５）。

続いて暗号鍵交換制御プログラム６０は、暗号鍵交換対象のハードディスク装置２０内のすべての論理ブロックについて同様の処理を終えたか否かを判断する（ＳＰ２６）。

そして暗号鍵交換制御プログラム６０は、この判断において否定結果を得ると、上述のブロックカウンタのカウント値を１増加させた後（ＳＰ２７）、ステップＳＰ２１に戻る。そして暗号鍵交換制御プログラム６０は、この後、同様の処理を繰り返す。

そして暗号鍵交換制御プログラム６０は、やがてそのとき対象としているハードディスク装置２０内のすべての論理ブロックについて同様の処理を終えることにより（つまりそのとき対象としているハードディスク装置２０についてのコレクションコピーが完了することにより）ステップＳＰ２６において肯定結果を得ると、この暗号鍵交換実行処理を終了して上述の第１の暗号鍵交換処理（図１２）に戻る。

（１−４−３）第２の暗号鍵交換処理
一方、図１４は、暗号鍵交換制御プログラム６０が、暗号鍵交換対象としてハードディスク装置２０が指定された上述の暗号鍵交換指示を受信した場合に実行する第２の暗号鍵交換処理の処理手順を示す。暗号鍵交換制御プログラム６０は、かかる暗号鍵交換指示が与えられると、この処理手順に従って、当該暗号鍵交換指示において指定されたハードディスク装置（以下、これを指定ハードディスク装置と呼ぶ）２０に対する暗号鍵交換処理を実行する。

すなわち暗号鍵交換制御プログラム６０は、かかる暗号鍵交換指示が与えられると、この暗号鍵交換処理を開始し、まず、暗号鍵交換指示において指定されたディスクＩＤを取得する（ＳＰ３０）。

続いて暗号鍵交換制御プログラム６０は、予備ハードディスク装置２０が使用可能であるか否かを判断する（ＳＰ３１）。そして暗号鍵交換制御プログラム６０は、この判断において否定結果を得るとステップＳＰ３２に進み、続くステップＳＰ３２〜ステップＳＰ３４を図１２について上述した第１の暗号鍵交換処理のステップＳＰ４〜ステップＳＰ６と同様に処理する。

また暗号鍵交換制御プログラム６０は、ステップＳＰ３１の判断において肯定結果を得ると、ボリューム管理テーブル６５（図９）を参照して、指定ハードディスク装置２０がいずれかのパリティグループ２２に属しているか否かを判断する（ＳＰ３５）。

そして暗号鍵交換制御プログラム６０は、この判断において肯定結果を得ると、図１３について上述したコレクションコピー処理を実行することにより、その指定ハードディスク装置２０に格納されているデータ（分割データ又はパリティ）を、暗号鍵交換指示において指定された新たな暗号鍵で暗号化しながら予備ハードディスク装置２０にコレクションコピーする（ＳＰ３６）。

これに対して暗号鍵交換制御プログラム６０は、ステップＳＰ３５の判断において否定結果を得ると、指定ハードディスク装置２０に格納されているデータを元の暗号鍵を用いて復号化した後、復号化したデータを、暗号鍵交換指示において指定された新たな暗号鍵で暗号化しながら予備ハードディスク装置２０にコピーする（ＳＰ３７）。

次いで暗号鍵交換制御プログラム６０は、第１の暗号鍵交換処理のステップＳＰ９（図１２）と同様にして指定ハードディスク装置２０と予備ハードディスク装置２０とを入れ替える（ＳＰ３８）。

さらに暗号鍵交換制御プログラム６０は、予備ハードディスク装置（この時点では指定ハードディスク装置）２０に格納されているデータを完全消去し（ＳＰ３９）、この後、この第２の暗号鍵交換処理を終了する。

（１−４−４）暗号鍵交換プロセス制御処理
一方、図１５は、第１の暗号鍵交換処理の実行中に当該ストレージ装置３に属するいずれかのハードディスク装置２０に障害が発生し、又は第２の暗号鍵交換処理の実行中に指定ハードディスク装置２０に障害が発生したことを検出した場合に、暗号鍵交換プロセス制御プログラム６２（図７）が実行する暗号鍵交換プロセス制御処理の処理手順を示す。

暗号鍵交換プロセス制御プログラム６２は、暗号鍵交換制御プログラム６０（図７）が第１又は第２の暗号鍵交換処理を実行中に、指定パリティグループ２２に属するいずれかのハードディスク装置２０又は指定ハードディスク装置２０に生じた何らかの障害を検出すると、この暗号鍵交換プロセス制御処理を開始し、まず、暗号鍵交換制御プログラム６０に対して第１又は第２の暗号鍵交換処理を一時停止するよう指示を与える（ＳＰ４０）。

続いて暗号鍵交換プロセス制御プログラム６２は、かかる障害から回復するためには予備ハードディスク装置２０が必要であるか否かを判断する（ＳＰ４１）。

この場合、例えばかかる障害が、ハードディスク装置２０に許容範囲数の不良セクタが発生したなどの軽微なものである場合には、予備ハードディスク装置２０を用いるまでもなく、かかる障害からの復旧を行うことができる（ＳＰ４１：ＮＯ）。かくして、このとき暗号鍵交換プロセス制御プログラム６２は、暗号鍵交換制御プログラム６０に対して暗号鍵交換処理を再開するよう通知を与え（ＳＰ４２）、この後この暗号鍵交換プロセス制御処理を終了する。

これに対して、例えばかかる障害が、ハードディスク装置２０が閉塞したなどの重大な障害である場合には、当該障害から復旧するために予備ハードディスク装置２０を用いる必要がある（ＳＰ４１：ＹＥＳ）。かくして、このとき暗号鍵交換プロセス制御プログラム６２は、第１又は第２の暗号鍵交換処理で使用していた予備ハードディスク装置２０を解放する。そして暗号鍵交換プロセス制御プログラム６２は、この後、例えば障害が発生したハードディスク装置２０が交換されるなどしてかかる障害から復旧し、第１又は第２の暗号鍵交換処理のために予備ハードディスク装置２０を使用できる状態になるのを待ち受ける（ＳＰ４３）。

そして暗号鍵交換プロセス制御プログラム６２は、やがて第１又は第２の暗号鍵交換処理のために予備ハードディスク装置２０を使用できる状態になると、ステップＳＰ４０において暗号鍵交換処理を停止したときに、第１又は第２の暗号鍵交換処理が、既にディスク管理テーブル６４及びボリューム管理テーブル６５を更新する段階（図１２のステップＳＰ９又は図１４のステップＳＰ３８）にまで進んでいたか否かを判断する（ＳＰ４４）。

この判断において肯定結果を得ることは、ステップＳＰ４０において第１又は第２の暗号鍵交換処理を停止した段階で既に暗号鍵交換対象のハードディスク装置２０と、予備ハードディスク装置２０との入れ替えが行われており、その後に行われた障害からの復旧処理において当該予備ハードディス装置２０が使用されていないことを意味する。

かくして、このとき暗号鍵交換プロセス制御プログラム６２は、ステップＳＰ４０で停止した第１又は第２の暗号鍵交換処理をそのまま再開するよう暗号鍵交換制御プログラム６０に通知し（ＳＰ４６）、この後、この暗号鍵交換プロセス制御処理を終了する。このとき暗号鍵交換制御プログラム６０は、かかる通知に従って、第１又は第２の暗号鍵交換処理をステップＳＰ６０の通知を受けて停止した段階から再開する。

これに対してステップＳＰ４４の判断において否定結果を得ることは、ステップＳＰ４０において第１又は第２の暗号鍵交換処理を停止した後に、その後に行われた障害からの復旧処理において予備ハードディスク装置２０が使用され、当該予備ハードディスク装置２０に格納されているデータがコレクションコピーされたデータとは異なるおそれがあることを意味する。

かくして、このとき暗号鍵交換プロセス制御プログラム６２は、ステップＳＰ４０において第１又は第２の暗号鍵交換処理を停止した時点で暗号鍵交換対象であったハードディスク装置２０に対する暗号鍵の交換処理を、コレクションコピーの最初（図１２のステップＳＰ８又は図１４のステップＳＰ３６若しくはステップＳＰ３７）にまで戻って再開するよう暗号鍵交換制御プログラム６０に通知し（ＳＰ４６）、この後、この暗号鍵交換プロセス制御処理を終了する。このとき暗号鍵交換制御プログラム６０は、かかる通知に従って、そのハードディスク装置２０に対する第１又は第２の暗号鍵交換処理を、コレクションコピーの最初から再開する。

（１−５）本実施の形態の効果
以上のように本実施の形態による暗号鍵交換方式では、ストレージ装置３に搭載されたコレクションコピー機能を利用して暗号鍵の交換処理を行うため、暗号鍵交換方式として上述の上書き方式を採用したときのように、データに対してどの暗号鍵を適用すべきであるかが不明となるおそれがなく、また暗号鍵交換方式として上述のマイグレーション方式を採用したときのように、暗号化鍵を交換しようとするパリティグループを構成するハードディスク装置２０と同じ数のハードディスク装置２０を用意する必要もない。かくするにつき、本実施の形態の暗号鍵交換方式によれば、信頼性高くかつ安価に暗号鍵の交換処理を行うことができる。

（２）第２の実施の形態
図１において、１００は全体として第２の実施の形態による計算機システムを示す。この計算機システム１００は、ストレージ装置１０１に搭載されたハードディスク装置１０２（図３）に暗号化機能が搭載されている点が第１の実施の形態による計算機システム１と異なる。

すなわち第１の実施の形態においては、ストレージ装置３のコントロール部３０において暗号化／復号化したデータをハードディスク装置２０に読み書きしていたが、本実施の形態においては、ストレージ装置１０１のコントロール部１０３（図３）は暗号化されていないデータを暗号鍵と共にハードディスク装置１０２に与える。

そしてハードディスク装置１０２は、コントロール部１０３から与えられるデータを、当該データと共に与えられた暗号鍵に基づいて暗号化して当該ハードディスク装置１０２内の記憶媒体に記憶する。

またハードディスク装置１０２は、この後、コントロール部１０３からデータの読出し要求が与えられた場合には、対応するデータを記憶媒体から読み出し、そのデータを復号化してコントロール部１０３に送出する。

図１６は、このようなストレージ装置１０１において暗号鍵交換制御プログラム１０４（図７）により実行される第２の実施の形態によるコレクションコピー処理の処理手順を示す。

かかる暗号鍵交換制御プログラム１０４は、第１及び第２の暗号鍵交換処理については図１２又は図１４について上述した第１の実施の形態と同様の処理を行うが、コレクションコピー処理については、この図１６に示す第２のコレクションコピー処理を実行する。

すなわち暗号鍵交換制御プログラム１０４は、第１の暗号鍵交換処理のステップＳＰ８（図１２）又は第２の暗号鍵交換処理のステップＳＰ３６（図１４）に進むと、この第２のコレクションコピー処理を開始し、まず、上述したブロックカウンタのカウント値をリセットする（ＳＰ５０）。

続いて暗号鍵交換制御プログラム１０４は、暗号鍵交換対象のハードディスク装置１０２以外の指定パリティグループ２２に属する各ハードディスク装置１０２から、ブロックカウンタのカウント値と同じブロック番号が付与された論理ブロックに格納されているデータをそれぞれ読み出す（ＳＰ５１）。なお、このとき各ハードディスク装置１０２から読み出されるデータは、既にハードディスク装置１０２内部において復号化されている。

次いで暗号鍵交換制御プログラム１０４は、ステップＳＰ５２において取得した各データに基づいて、暗号鍵交換対象のハードディスク装置１０２内の、ブロックカウンタのカウント値と同じブロック番号が付与された論理ブロックに格納されているであろうデータをコレクションコピー機能を用いて生成する（ＳＰ２３）。

さらに暗号鍵交換制御プログラム１０４は、この後、生成したデータを、暗号鍵交換指示において指定された新たな暗号鍵と、予備ハードディスク装置１０２内のブロック番号が「Ｉ」の論理ブロックに書き込むべき書込み要求と共に予備ハードディスク装置１０２に与える（ＳＰ２５）。

さらに暗号鍵交換制御プログラム１０４は、この後、復元したデータを、書込み先としてブロック番号が「Ｉ」の論理ブロックを指定した書込み要求と、暗号鍵交換指示において指定された新たな暗号鍵と供に予備ハードディスク装置に与える（ＳＰ５３）。かくしてこのデータは、この後、予備ハードディスク装置２０において暗号化された後にブロック番号が「Ｉ」の論理ブロックに書き込まれる。

続いて暗号鍵交換制御プログラム１０４は、そのとき対象としているハードディスク装置１０２内のすべての論理ブロックについて同様の処理を終えたか否かを判断する（ＳＰ５４）。

そして暗号鍵交換制御プログラム１０４は、この判断において否定結果を得るとステップＳＰ５０に戻り、この後、同様の処理を繰り返す。

そして暗号鍵交換制御プログラム１０４は、やがて暗号鍵交換対象のハードディスク装置１０２内のすべての論理ブロックについて同様の処理を終えることによりステップＳＰ５４において肯定結果を得ると、このコレクションコピー処理を終了して上述の暗号鍵交換処理に戻る。

以上のように本実施の形態による計算機システム１００においても、ストレージ装置１０１のコレクションコピー機能を利用して暗号鍵の交換処理を行うため、第１の実施の形態と同様に信頼性高くかつ安価に暗号鍵の交換処理を行うことができる。

（３）第３の実施の形態
上述の第１及び第２の実施の形態においては、管理コンピュータ４に表示された暗号鍵交換設定画面７０（図１１）を用いて暗号鍵交換対象及び新たな暗号鍵を選択した後、当該暗号鍵交換設定画面７０の実行ボタン７４（図１１）をクリックすることによって第１又は第２の暗号鍵交換処理をストレージ装置３に実行させることができる場合について説明した。

これに対して本実施の形態による計算機システム１１０（図１）は、このような第１又は第２の暗号鍵交換処理をスケジュールして定期的に実行させ得る点が第１及び第２の計算機システム１，１００と相違する。

図１７は、ユーザ操作により本実施の形態の管理コンピュータ１１１（図４）の暗号化管理プログラム１１２を起動して所定の操作を行うことにより管理コンピュータ１１１に表示させることができるスケジュール管理画面１２０を示す。このスケジュール管理画面１２０は、上述のように所望の暗号鍵交換処理をスケジュールするための画面であり、タスク設定領域１２１、リソース選択領域１２２、交換鍵選択領域１２３及びスケジュール表示領域１２４から構成される。

このうちスケジュール表示領域１２４には、それまでに設定されたタスクのスケジュールが一覧形式で表示される。

タスク設定領域１２１は、新たに設定しようとするタスクの開始日及びそのタスクの実行周期を設定するためのＧＵＩ領域である。このタスク設定領域１２１では、タスクの開始日をタスク開始日指定欄１３０に入力することにより、当該タスクの開始日を指定することができる。またタスク設定領域１２１では、頻度表示欄１３１のプルダウンボタン１３２をクリックすることにより、予め設定された頻度（年１回、月１回、周１回又は毎日など）の一覧が掲載されたプルダウンメニューを表示させ、そのプルダウンメニューから所望の頻度を１つ選択することにより、その頻度を頻度表示欄１３１に表示させることができる。そしてそのとき頻度表示欄１３１に表示された頻度がそのタスクを実行する頻度として指定されたことになる。

またリソース選択領域１２２及び交換鍵選択領域１２３の構成及び機能は、図１１について上述した暗号鍵交換設定画面７０のリソース選択領域７２及び交換鍵選択領域７３と同様であり、ユーザは、これらリソース選択領域１２２及び交換鍵選択領域１２３において、暗号鍵交換対象及び新たな暗号鍵を選択することができる。

そしてスケジュール管理画面１２０では、タスク設定領域１２１、リソース選択領域１２２及び交換鍵選択領域１２３において必要な指定や選択を行った後に、画面右下の実行ボタン１３３をクリックすることによって、そのとき作成した新たなスケジュールを登録することができる。

そして、かかるスケジュールの登録が行われた場合、そのときスケジュール管理画面１２０を用いてユーザにより設定されたスケジュールの内容がその後管理コンピュータ１１１により管理され、そのスケジュールに合わせて管理コンピュータ１１１からストレージ装置３に対して暗号鍵交換指示が与えられることにより、登録されたスケジュールがストレージ装置３において実行されることになる。

なお、スケジュール管理画面１２０において、キャンセルボタン１３４がクリックされた場合、そのときユーザが行った操作がすべてキャンセルされる。

またスケジュール管理画面１２０において、スケジュール表示領域１２４のテーブルはクリックによる行選択機能を具備し、選択されたタスクは、ＤＥＬＥＴＥボタンをクリックすることにより削除される。

以上のように本実施の形態によれば、第１又は第２の実施の形態による暗号鍵交換処理の設定を１度設定しておけば、その設定に従って第１又は第２の実施の形態による暗号鍵交換処理が定期的に行われるため、２度目以降のかかる設定作業を省略させることができる。

また第１又は第２の実施の形態による暗号鍵交換処理が定期的に行われるため、第１又は第２の実施の形態に比べてセキュリティを高めることができ、かくしてより一層とストレージ装置３，１０１の信頼性を向上させることができる。

（４）他の実施の形態
なお上述の第１〜第３の実施の形態においては、本発明を図１〜図４のように構成された計算機システム１，１００，１１０に適用するようにした場合について述べたが、本発明はこれに限らず、この他種々の構成を有する計算機システムに広く適用することができる。

また上述の第１〜第３の実施の形態においては、ストレージ装置３，１０１においてデータを記憶する記憶媒体としてハードディスク装置２０，１０２が採用されている場合について述べたが、本発明はこれに限らず、かかる記憶媒体として例えば半導体メモリや光ディスクなどを採用した場合にも本発明を適用することができる。

さらに上述の第１〜第３の実施の形態においては、複数の記憶媒体（ハードディスク装置２０，１０２）のうち、暗号鍵の交換対象の記憶媒体以外の各記憶媒体にそれぞれ格納された分割データ又はパリティの復号化データに基づいて、暗号鍵の交換対象の記憶媒体に格納されている分割データ又はパリティを復元する復元部としての機能と、復元された分割データ又はパリティを新たな暗号鍵で暗号化しながら予備の記憶媒体に格納する格納部としての機能と、予備の記憶媒体を暗号鍵の交換対象の記憶媒体が属するパリティグループ２２を構成する記憶媒体とし、暗号鍵の交換対象の記憶媒体を予備の記憶媒体とするように、予備の記憶媒体と暗号鍵の交換対象の記憶媒体とを入れ替える記憶媒体入替え部としての機能とを同じ１つのマイクロプロセッサ４１に搭載するようにした場合について述べたが、本発明はこれに限らず、例えばこれらの機能の一部をハードウェア化するなどしてかかる機能を分散させるようにしてもよい。

本発明は、データを暗号化して記憶媒体に保存するストレージ装置に適用することができる。

Claims (14)

1. １以上の外部装置と接続されるストレージ装置であって、
   予備記憶媒体を含む複数の記憶媒体と、
   前記１以上の外部装置の何れかから与えられたデータを第１の暗号鍵を用いて暗号化し、前記記憶媒体に格納するコントロールユニットと
   を有し、
   前記コントロールユニットは、
   前記１以上の外部装置の何れかからの暗号鍵交換指示に応じて、前記予備記憶媒体が使用可能か否かを判定する判定部と、
   前記予備記憶媒体以外の前記複数の記憶媒体の中から、暗号鍵の交換対象となる第１の記憶媒体を選択する選択部と、
   前記第１の記憶媒体に格納されているデータを前記第１の暗号鍵を用いて復号化し、前記復号化したデータを、前記暗号鍵交換指示において指定された第２の暗号鍵で暗号化して前記予備記憶媒体に格納する格納部と、
   前記第１の記憶媒体を新たな予備記憶媒体とし、前記予備記憶媒体を前記第１の記憶媒体とするように、前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える記憶媒体入替え部と
   を備え、
   前記判定部は、
   前記予備記憶媒体が使用できないと判定した場合、前記判定を繰り返し、前記予備記憶媒体が使用可能と判定できなかったときには、前記暗号鍵交換指示を指示した外部装置に対してエラーを通知する
   ことを特徴とするストレージ装置。
2. 前記記憶媒体入替え部により前記第１の記憶媒体及び前記予備記憶媒体の設定が入れ替えられた後に、当該第１の記憶媒体に格納されているデータを完全消去するデータ消去部を備える
   ことを特徴とする請求項１に記載のストレージ装置。
3. 前記格納部が処理を実行中に前記第１の記憶媒体に障害が発生した場合に、前記格納部に当該処理を一時停止させる一時停止指示部と、
   前記障害が回復可能な障害である場合には、前記格納部に前記処理を再開させる第１の処理再開指示部と
   を備えることを特徴とする請求項２に記載のストレージ装置。
4. 前記格納部が処理を実行中に前記第１の記憶媒体に障害が発生した場合に、前記格納部に当該処理を一時停止させる一時停止指示部と、
   前記障害が回復不可能な障害である場合には、当該障害からの復旧を待ち、当該障害から復旧した後に前記格納部に前記処理を開始させる第２の処理開始指示部と
   を備えることを特徴とする請求項２に記載のストレージ装置。
5. 前記処理開始指示部は、
   前記格納部が前記処理を一時停止したときに、既に、前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える段階まで当該処理が進んでいたか否かを、前記障害から復旧後に判定し、
   前記第１の記憶媒体と前記予備記憶媒体との設定を入れ替える段階まで当該処理が進んでいた場合には、前記格納部に、一時停止していた前記処理をそのまま再開させる
   ことを特徴とする請求項４に記載のストレージ装置。
6. 前記処理開始指示部は、
   前記格納部が前記処理を一時停止したときに、既に、前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える段階まで当該処理が進んでいたか否かを、前記障害から復旧後に判定し、
   前記第１の記憶媒体と前記第１の予備記憶媒体との設定を入れ替える段階まで前記処理が進んでいない場合には、前記格納部に、前記処理を最初にまで戻って再開させる
   ことを特徴とする請求項４に記載のストレージ装置。
7. 前記コントロールユニットは、
   前記１以上の外部装置の何れかから与えられた前記データを複数の分割データに分割すると共に、当該複数の分割データに基づいてパリティを生成し、生成した前記パリティ及び前記複数の分割データを、同じパリティグループを構成する複数の前記記憶媒体に分散して、かつ前記第１の暗号鍵を用いて格納し、
   前記暗号鍵交換指示では、暗号鍵の交換対象となる前記パリティグループが指定され、
   前記選択部は、前記暗号鍵交換指示において指定された前記パリティグループを構成する前記第１の記憶媒体を選択し、
   前記格納部は、前記第１の記憶媒体以外の前記パリティグループを構成する各前記記憶媒体にそれぞれ格納された前記分割データ又は前記パリティを前記第１の暗号鍵を用いて復号化し、復号化した前記分割データ及び又は前記パリティをそれぞれ利用して前記第１の記憶媒体に格納されているデータを生成し、生成した前記データを前記第２の暗号鍵で暗号化して前記予備記憶媒体に格納する
   ことを特徴とする請求項２に記載のストレージ装置。
8. １以上の外部装置と接続されるストレージ装置の制御方法であって、
   前記ストレージ装置は、
   予備記憶媒体を含む複数の記憶媒体と、
   前記１以上の外部装置の何れかから与えられたデータを第１の暗号鍵を用いて暗号化し、前記記憶媒体に格納するコントロールユニットと
   を有し、
   前記コントロールユニットが、前記１以上の外部装置の何れかからの暗号鍵交換指示に応じて、前記予備記憶媒体が使用可能か否かを判定する第１のステップと、
   前記コントロールユニットが、前記予備記憶媒体以外の前記複数の記憶媒体の中から、暗号鍵の交換対象となる第１の記憶媒体を選択する第２のステップと、
   前記コントロールユニットが、前記第１の記憶媒体に格納されているデータを前記第１の暗号鍵を用いて復号化し、前記復号化したデータを、前記暗号鍵交換指示において指定された第２の暗号鍵で暗号化して前記予備記憶媒体に格納する処理を実行し、当該処理の終了後に、前記第１の記憶媒体を新たな予備記憶媒体とし、前記予備記憶媒体を前記第１の記憶媒体とするように、前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える第３のステップと
   を備え、
   前記第１のステップにおいて、前記コントロールユニットは、
   前記予備記憶媒体が使用できないと判定した場合、前記判定を繰り返し、前記予備記憶媒体が使用可能と判定できなかったときには、前記暗号鍵交換指示を指示した外部装置に対してエラーを通知する
   ことを特徴とするストレージ装置の制御方法。
9. 前記第１の記憶媒体及び前記予備記憶媒体の設定が入れ替えられた後に、当該第１の記憶媒体に格納されているデータを完全消去する第４のステップを備える
   ことを特徴とする請求項８に記載のストレージ装置の制御方法。
10. 前記第３のステップにおいて、前記コントロールユニットは、
    前記第１の記憶媒体に障害が発生した場合には、前記処理を一時停止し、
    前記障害が回復可能な障害である場合には、前記処理を再開する
    ことを特徴とする請求項９に記載のストレージ装置の制御方法。
11. 前記第３のステップにおいて、前記コントロールユニットは、
    前記第１の記憶媒体に障害が発生した場合には、前記処理を一時停止し、
    前記障害が回復不可能な障害である場合には、当該障害からの復旧を待ち、当該障害から復旧した後に前記処理を開始する
    ことを特徴とする請求項９に記載のストレージ装置の制御方法。
12. 前記第３のステップにおいて、前記コントロールユニットは、
    前記処理を一時停止したときに、既に、前記コントロールユニットにより選択された前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える段階まで当該処理が進んでいたか否かを、前記障害から復旧後に判定し、
    前記第１の記憶媒体と前記予備記憶媒体との設定を入れ替える段階まで当該処理が進んでいた場合には、一時停止していた前記処理をそのまま再開する
    ことを特徴とする請求項１１に記載のストレージ装置の制御方法。
13. 前記第３のステップにおいて、前記コントロールユニットは、
    前記格納部が前記処理を一時停止したときに、既に、前記第１の記憶媒体と、前記予備記憶媒体との設定を入れ替える段階まで当該処理が進んでいたか否かを、前記障害から復旧後に判定し、
    前記第１の記憶媒体と前記第１の予備記憶媒体との設定を入れ替える段階まで前記処理が進んでいない場合には、前記処理を最初にまで戻って再開する
    ことを特徴とする請求項１１に記載のストレージ装置。
14. 前記コントロールユニットは、
    前記１以上の外部装置の何れかから与えられた前記データを複数の分割データに分割すると共に、当該複数の分割データに基づいてパリティを生成し、生成した前記パリティ及び前記複数の分割データを、同じパリティグループを構成する複数の前記記憶媒体に分散して、かつ前記第１の暗号鍵を用いて格納し、
    前記暗号鍵交換指示では、暗号鍵の交換対象となる前記パリティグループが指定され、
    前記第２のステップにおいて、前記コントロールユニットは、
    前記暗号鍵交換指示において指定された前記パリティグループを構成する前記第１の記憶媒体を選択し、
    前記第３のステップにおいて、前記コントロールユニットは、
    前記第１の記憶媒体以外の前記パリティグループを構成する各前記記憶媒体にそれぞれ格納された前記分割データ又は前記パリティを前記第１の暗号鍵を用いて復号化し、復号化した前記分割データ及び又は前記パリティをそれぞれ利用して前記第１の記憶媒体に格納されているデータを生成し、生成した前記データを前記第２の暗号鍵で暗号化して前記予備記憶媒体に格納する
    ことを特徴とする請求項９に記載のストレージ装置の制御方法。

Images