JP6492731B2 - ストレージシステム、ストレージ制御装置及びストレージ制御プログラム - Google Patents

Description

本発明は、ストレージシステム、ストレージ制御装置及びストレージ制御プログラムに関する。

近年、物理的なボリューム構成や容量に縛られることなく、自由な容量及び構成が実現可能なストレージ装置である仮想化ストレージ装置が急速に普及してきている。仮想化ストレージ装置は、例えば、実際のディスクを備えた実際のストレージ装置（以下、実ストレージ装置と呼ぶ。）及びストレージ装置を管理するプロセッサ装置を有する。そして、プロセッサ装置は、実ストレージ装置が有するディスクを用いて仮想ボリューム（ＶＤＩＳＫ：Virtual Disk）を生成する。

仮想ボリュームは、プロセッサ装置に概念的に存在するボリュームであり、その実態は対応付けられた実ストレージ装置上の物理的な領域にあたる。

さらに、プロセッサ装置は、実ストレージ装置の管理を実行する管理実行部（「エージェント」と呼ばれることがある。）を有する。プロセッサ装置が複数ある場合には、各プロセッサ装置のそれぞれが管理実行部を有する。管理実行部は、ドライバの制御、並びに、エラーなどのイベントの監視及び発生したイベントのストレージ管理部（「マネージャ」と呼ばれることがある。）への通知を行う。

ストレージ管理部は、例えば、仮想ストレージ装置内のいずれか１つのプロセッサ装置に存在する。そして、ストレージ管理部は、仮想ボリュームの構成情報や状態などの管理及び更新、並びに、エージェントの制御を行う。

このような仮想化ストレージ装置において、プロセッサ装置は、従来は製造元の独自のファームウェアを用いていたが、近年は汎用ＯＳ（Operating System）が動作し制御する製品が増加している。汎用ＯＳを使用することで、オープンソース（ＯＳＳ：Open Source Software）を組み込むことが可能となり、新機能の開発期間を短縮し、製品を早期に市場投入できるというメリットがある。これに対して、実ストレージ装置に関しては、性能の確保やセキュリティ上の観点から製造元の独自のＯＳで動作する仕組みとなっている場合が多い。

このような、仮想化ストレージ装置を使用するにあたり、近年、他の情報処理システムと同様に機密情報の漏えいが問題となってきている。情報漏えいの原因は、例えば、情報の入ったパソコンや記憶媒体の紛失や、情報を格納する装置へのクラッキングなどの不正なアクセスが考えられる。

ここで、仮想化ストレージ装置の情報漏えいの問題として以下のような問題がある。例えば、仮想化ストレージ装置では、運用中に、トラブルが発生した場合、装置内に保存されている情報を調査資料として採取し、専任の保守担当部門に送付し、調査担当者が調査資料から原因を調査するという一連の処理が行われる。装置内に保存されている情報としては、例えば、内部動作ログ、ストレージ構成情報及びシステムダンプなどがある。加えて、調査資料には、仮想化ストレージ装置が有する利用者情報も含まれる。

この点、情報処理システムを利用者自身が管理する設備内に導入し、設置して運用するオンプレミスの状態であれば、調査資料を採取し参照するのは使用者の関係者に限定される。そのため、オンプレミスの場合であれば、調査資料に利用者情報が含まれても大きな問題は発生しなかった。

これに対して、最近の情報処理システムの運用形態として、設備管理を他社に委託するクラウド環境での運用や、設備は利用者自身が管理するが、保守業務は外部に委託するデータのセンタ型の運用などが増加している。そのような運用形態の場合、採取した調査資料がどのようなルートで誰が参照するかが不明確となり、オンプレミスの場合に比べて調査資料に含まれる利用者情報の流出のリスクが高くなる。

そこで、調査資料が漏えいした場合でもセキュリティ問題が発生しないように、調査資料採取時にユーザ情報の抽象化を行うことが行われる。抽象化の手段としては、例えば、利用者情報と抽象化文字列とを一意に対応させる管理表である抽象化対応データを用いて、装置内に保存されている情報のうち非公開情報を抽象化文字列に置き換えて調査資料として出力する従来技術が提案されている。

特開２０１１−６５３６４号公報

しかしながら、調査資料出力時に情報を抽象化する従来技術では、プロセッサ装置が使用する汎用ＯＳやＯＳＳの脆弱性を悪用し、第三者がプロセッサ装置に乗り込むことで抽象化されていない情報を参照できてしまう危険がある。

開示の技術は、上記に鑑みてなされたものであって、セキュリティを向上させたストレージシステム、ストレージ制御装置及びストレージ制御プログラムを提供することを目的とする。

本願の開示するストレージシステム、ストレージ制御装置及びストレージ制御プログラムは、一つの態様において、ストレージ制御装置及びストレージ装置を有する。前記ストレージ制御装置は、秘匿情報の代替情報である代替情報を作成し、作成した前記代替情報と前記秘匿情報との対応を表す対応情報を前記ストレージ装置に記憶させる代替情報作成部を備える。また、前記ストレージ制御装置は、前記代替情報を用いて前記ストレージ制御装置の動作の履歴情報を作成する第１履歴情報作成部と、前記第１履歴情報作成部により収集された前記履歴情報を記憶する第１記憶部とを備える。さらに、前記ストレージ制御装置は、情報提供要求を受けて、前記情報提供要求に前記対応情報の送信要求が含まれているか否かを判定し、前記送信要求が含まれている場合、前記履歴情報を前記第１記憶部から取得し、前記ストレージ装置から前記対応情報を取得し、取得した前記対応情報及び前記履歴情報を出力し、前記送信要求が含まれていない場合、前記履歴情報を前記第１記憶部から取得し、取得した前記履歴情報を出力する情報提供部を備える。前記ストレージ装置は、前記代替情報作成部から送信された前記対応情報を格納する対応情報格納部を備える。

本願の開示するストレージシステム、ストレージ制御装置及びストレージ制御プログラムの一つの態様によれば、セキュリティを向上させることができるという効果を奏する。

図１は、実施例１に係る情報処理システムの全体構成図である。 図２は、実施例１に係るストレージシステムのブロック図である。 図３は、メッセージカタログの一例の図である。 図４は、対応情報の一例の図である。 図５は、構成ＤＢ格納部に格納されるテーブルの一例の図である。 図６は、実施例１に係るストレージシステムの動作全体の概要を表すフローチャートである。 図７は、実施例１に係るストレージシステムの起動処理のフローチャートである。 図８は、実施例１に係るストレージシステムの利用者情報登録処理のフローチャートである。 図９は、実施例１に係るストレージシステムにおけるトラブル対応の処理のフローチャートである。 図１０は、トラブルの調査を行う場合の調査担当端末の動作のフローチャートである。 図１１は、実施例１に係るストレージシステムの利用者情報削除処理のフローチャートである。 図１２は、ストレージシステムのハードウェア構成図である。 図１３は、実施例２に係るストレージシステムのブロック図である。

以下に、本願の開示するストレージシステム、ストレージ制御装置及びストレージ制御プログラムの実施例を図面に基づいて詳細に説明する。なお、以下の実施例により本願の開示するストレージシステム、ストレージ制御装置及びストレージ制御プログラムが限定されるものではない。

図１は、実施例１に係る情報処理システムの全体構成図である。本実施例に係るストレージシステム１００は、プロセッサ装置１Ａ及び１Ｂ、ストレージ装置２、並びに、業務サーバ３を有する。さらに、プロセッサ装置１Ａは、管理者端末４に接続される。また、管理者端末４は、調査用端末５及び利用者端末６と接続される。なお、プロセッサ装置１Ａ及び１Ｂと、スイッチと、ストレージ装置２により、ストレージシステムが構築される。

業務サーバ３は、利用者が業務に使用するサーバである。業務サーバ３は、例えば業務に使用するアプリケーションが動作しており、利用者に対してアプリケーションによる処理結果の提供を行う。

プロセッサ装置１Ａ及び１Ｂはともに、ストレージ装置２を管理する装置である。以下では、プロセッサ装置１Ａ及び１Ｂを区別しない場合、単に「プロセッサ装置１」という。本実施例ではプロセッサ装置１Ａ及び１Ｂという２台がストレージ装置２を管理する構成で説明するが、プロセッサ装置１は、何台あってもよい。

プロセッサ装置１Ａは、マネージャ１１及びエージェント１２Ａが動作する。また、プロセッサ装置１Ｂは、エージェント１２Ｂが動作する。このプロセッサ装置１Ａが、「ストレージ制御装置」の一例にあたる。また、プロセッサ装置１Ｂが、「副ストレージ制御装置」の一例にあたる。

エージェント１２Ａは、プロセッサ装置１Ａの動作を制御し管理する。また、エージェント１２Ｂは、プロセッサ装置１Ｂの動作を制御し管理する。エージェント１２Ａ及び１２Ｂは、例えば、仮想ボリューム（VDISK: Virtual Disk）の生成や内部ログの生成を行う。また、エージェント１２Ａ及び１２Ｂは、ドライバの制御、並びに、エラーなどのイベントの監視及びマネージャ１１への通知を行う。エージェント１２Ａ及び１２Ｂは、図１に示すように、各プロセッサ装置１それぞれに存在する。以下では、エージェント１２Ａ及び１２Ｂを区別しない場合、単に「エージェント１２」と呼ぶ場合がある。

例えば、仮想ボリュームは、２ＧＢの容量を有するセグメントセットの集合体として生成される。セグメントセットは、２５６ＭＢの容量を有するセグメントを８つ集めて生成される。各セグメントは、ストレージ装置が有する個々にＬＵＮ（Logical Unit Number）が割り当てられた論理ボリュームの何れかに割り当てられる。

マネージャ１１は、ストレージシステム１００内の１つのプロセッサ装置１に存在する。そして、マネージャ１１は、各プロセッサ装置１のエージェント１２を統括管理する。また、マネージャ１１は、各プロセッサ装置１に対する全体的な動作を制御し管理する。例えば、マネージャ１１は、仮想ボリュームの構成情報や状態などの管理を行う。

ストレージ装置２は、複数のハードディスクを搭載する。そして、ストレージ装置２に搭載されたハードディスクは、論理番号が割り当てられた論理ディスク２０を構成する。図１では、論理ディスク２０を「ＬＵＮ」と表す。

また、ストレージ装置２は、対応情報格納部２１及び構成ＤＢ（Database）格納部２２を有する。構成ＤＢ格納部２２は、例えば、仮想ボリュームの構成情報を格納する。また、対応情報格納部２１は、利用者の公開に適さない情報（以下では、「秘匿情報」という。）と秘匿情報を抽象化した抽象化データとの対応を示す対応情報を格納する。プロセッサ装置１及びストレージ装置２については、後でさらに詳細に説明する。

プロセッサ装置１Ａ及び１Ｂは、それぞれストレージ装置２とスイッチ７を介して通信する。ただし以下の説明では、都合上プロセッサ装置１Ａ及び１Ｂとストレージ装置２との間の通信において、スイッチ７による中継を省略して説明する場合がある。

また、ストレージシステム１００は、拡張することができる。例えば、ストレージ装置２及びそのストレージ装置２を管理するプロセッサ装置１を１セットとしてストレージシステム１００に追加し組み込むことができる。これにより、ストレージシステム１００の全体性能及び容量を拡張できる。

管理者端末４は、ストレージシステム１００を管理する管理者が使用する端末装置である。管理者端末４は、例えば、管理者から入力された情報をマネージャ１１へ送信する。また、管理者端末４は、マネージャ１１からストレージシステム１００の動作情報を受信し、管理者に提供する。

利用者端末６は、業務サーバ３を使用してストレージシステム１００の資源を利用する利用者が使用する端末装置である。利用者端末６は、例えば、利用者から入力された情報を管理者端末４へ送信する。

調査用端末５は、ストレージシステムで発生したトラブルの原因調査を行う調査者が使用する端末装置である。調査用端末５は、例えば、トラブルについての情報を管理者端末４から受信し、調査者に提供する。また、調査用端末５は、調査者が行った調査の調査結果を管理者端末４へ送信する。

次に、図２を参照して、ストレージシステムの構成及び動作についてさらに詳細に説明する。図２は、実施例１に係るストレージシステムのブロック図である。

図２に示すように、プロセッサ装置１Ａは、マネージャ１１、エージェント１２Ａ及び情報格納部１３Ａを有する。エージェント１２Ａは、プロセッサ装置１Ｂで動作するエージェント１２Ｂと同様の動作を行う。そこで、エージェント１２Ａの詳細は、エージェント１２Ｂについての説明により後でまとめて説明する。

マネージャ１１は、制御部１１１及び抽象化部１１２を有する。プロセッサ装置１Ａの電源が投入されると、制御部１１１は、プロセッサ装置１Ａの起動処理を行う。そして、制御部１１１は、起動完了通知をエージェント１２Ａの内部ログ生成部１２２Ａへ送信する。その後、制御部１１１は、プロセッサ装置１Ｂのエージェント１２Ｂから起動完了通知を受信する。

次に、制御部１１１は、管理者に通知する起動完了の通知のメッセージを生成する。この時点では、制御部１１１は、抽象化データ及び管理者に通知するメッセージテキストが抽象化された抽象化メッセージを用いてメッセージを生成する。

そして、制御部１１１は、起動完了の通知のメッセージに組み込む秘匿情報があるか否かを判定する。例えば、既に仮想ボリュームが作成されている場合には、仮想ボリュームのボリューム名といった秘匿情報をメッセージに組み込む場合がある。そのような場合、制御部１１１は、生成したメッセージに抽象化データが入っているか否かにより、秘匿情報があるか否かの判定を行うことができる。

メッセージに組み込む秘匿情報がある場合、制御部１１１は、メッセージに組み込む情報として自己が有する抽象化データに対応する秘匿情報を対応情報格納部２１から取得する。メッセージに組み込む秘匿情報がない場合、制御部１１１は、秘匿情報の取得を行わない。

また、制御部１１１は、生成したメッセージに含まれる抽象化メッセージに対応するメッセージテキストをメッセージカタログ１３２Ａから取得する。ここでは、起動完了の通知のメッセージであるので、制御部１１１は、起動完了のメッセージテキストを取得する。

そして、制御部１１１は、起動完了の通知のメッセージの抽象化データ及び抽象化メッセージを秘匿情報及び起動完了のメッセージテキストに置き換え、管理者が理解できる情報に変換する。そして、制御部１１１は、管理者が理解可能な情報に変換された起動完了のメッセージを管理者端末４へ送信し、起動完了を通知する。

その後、制御部１１１は、取得した秘匿情報を破棄する。これにより、プロセッサ装置１Ａの中には秘匿情報が存在しない状態に戻る。

また、制御部１１１は、利用者情報の登録の際には、ユーザ情報の入力を利用者情報の登録指示とともに管理者端末４から受ける。利用者情報の登録とは、利用者がストレージシステム１００において生成された仮想化ボリュームを利用できるようにする登録処理である。ユーザ情報には、例えば、ユーザ名、ディスクサイズ、ボリューム名、ディスク構成、パスワードなどが含まれる。

制御部１１１は、入力されたユーザ情報の内いずれの情報を秘匿情報として抽象化するかの情報を予め有する。例えば、制御部１１１は、管理者端末４から入力された情報の入力欄に対応させて、各入力欄の情報について秘匿情報か否かの情報を有する。そして、制御部１１１は、ユーザ情報の中の秘匿情報を抽象化部１１２へ送信する。

その後、制御部１１１は、抽象化データを抽象化部１１２から取得する。そして、制御部１１１は、抽象化データを含むユーザ情報をストレージ装置２の構成ＤＢ格納部２２に格納する。

さらに、制御部１１１は、ボリューム作成依頼をユーザ情報で指定されたディスクを管理するプロセッサ装置１に通知する。ここでは、プロセッサ装置１Ｂが管理するディスクが指定された場合で説明する。すなわち、制御部１１１は、ボリューム作成依頼をプロセッサ装置１Ｂのエージェント１２Ｂへ通知する。

ここで、制御部１１１は、エージェント１２Ｂへのボリューム作成依頼には、抽象化データを用いる。すなわち、エージェント１２Ｂは、秘匿情報は取得することなく仮想ボリュームの作成を行う。このように、秘匿情報はマネージャ１１のみが把握し、エージェント１２は抽象化データのみを扱うため、秘匿情報の漏えいのリスクを軽減することができる。

その後、制御部１１１は、仮想ボリュームの作成完了通知をエージェント１２Ｂから受信する。そして、制御部１１１は、ボリューム作成の情報を構成ＤＢ格納部２２に保存する。次に、制御部１１１は、利用者情報の登録完了通知をエージェント１２Ａに送信する。

次に、制御部１１１は、利用者情報の登録完了を通知するための登録完了の通知のメッセージを生成する。この時点では、制御部１１１は、抽象化データ及び管理者に通知するメッセージテキストが抽象化された抽象化メッセージを用いてメッセージを生成する。

次に、制御部１１１は、登録完了のメッセージに組み込む情報として自己が有する抽象化データに対応する秘匿情報を対応情報格納部２１から取得する。また、制御部１１１は、生成したメッセージに含まれる抽象化メッセージに対応する登録完了のメッセージテキストを取得する。

そして、制御部１１１は、登録完了の通知のメッセージの抽象化データ及び抽象化メッセージを秘匿情報及び起動完了のメッセージテキストに置き換え、管理者が理解できる情報に変換する。そして、制御部１１１は、管理者が理解可能な情報に変換された登録完了のメッセージを管理者端末４へ送信し、登録完了を通知する。

その後、制御部１１１は、取得した秘匿情報を破棄する。これにより、プロセッサ装置１Ａの中には秘匿情報が存在しない状態に戻る。

また、制御部１１１は、調査資料採取要求の入力を管理者端末４から受ける。調査資料採取要求とは、ストレージシステム１００においてトラブルが発生した場合に、原因究明やトラブル対応に用いる情報の収集を行わせるための命令である。調査資料取得要求では、調査対象とする利用者の情報や仮想化ボリュームの識別情報などが含まれる。調査資料採取要求には、収集する調査資料に秘匿情報を含めるか否かの指示が含まる。

制御部１１１は、受信した調査資料取得要求で調査資料に秘匿情報を含めることが指示されているか否かを判定する。秘匿情報を含める場合、制御部１１１は、調査資料取得要求で指定された利用者に関連する対応情報をストレージ装置２の対応情報格納部２１から取得する。これに対して、秘匿情報を含めない場合、制御部１１１は、対応情報の取得は行わない。

次に、制御部１１１は、構成ＤＢ情報をストレージ装置２が有する構成ＤＢ格納部２２から取得する。さらに、制御部１１１は、全てのプロセッサ装置１に内部ログの収集を指示する。より詳しくは、本実施例では、制御部１１１は、プロセッサ装置１Ａの内部ログ取得部１２３Ａ及びプロセッサ装置１Ｂの内部ログ取得部１２３Ｂに内部ログ１３１Ａ及び１３１Ｂの収集を指示する。その後、制御部１１１は、抽象化イベントを含む状態の内部ログ１３１Ａ及び１３１Ｂをそれぞれ内部ログ取得部１２３Ａ及び１２３Ｂから取得する。

そして、制御部１１１は、取得した内部ログ１３１Ａ及び１３１Ｂ、並びに、秘匿情報を調査資料に含める場合には調査資料取得要求で指定された利用者に関連する対応情報をまとめて調査資料として管理者端末４へ送信する。

また、制御部１１１は、利用者情報の削除命令の入力を管理者端末４から受ける。利用者情報の削除とは、利用者によるストレージシステム１００が有する仮想化ボリュームの利用を解消する処理である。制御部１１１は、利用者情報の削除命令で指定された利用者の抽象化データをストレージ装置２の対応情報格納部２１から取得する。そして、制御部１１１は、削除命令で指定された利用者に割り当てられたボリュームの抽象化データを用いて、プロセッサ装置１Ｂの制御部１２１Ｂにボリュームの削除を指示する。その後、制御部１１１は、ボリュームの削除完了の通知を制御部１２１Ｂから受ける。

次に、制御部１１１は、削除命令で指定された利用者に割り当てられたボリュームを削除したことを示す情報をストレージ装置２の構成ＤＢ格納部２２に登録する。さらに、制御部１１１は、アカウント情報やボリューム情報を含むユーザ情報を構成ＤＢ格納部２２から削除する。その後、制御部１１１は、ユーザ情報の削除完了を内部ログ生成部１２２Ａに通知する。

次に、制御部１１１は、ユーザ情報の削除完了のメッセージを生成する。この時点では、制御部１１１は、抽象化データ及び管理者に通知するメッセージテキストが抽象化された抽象化メッセージを用いてメッセージを生成する。

次に、制御部１１１は、ユーザ情報の削除完了のメッセージに組み込む情報として自己が有する抽象化データに対応する秘匿情報を対応情報格納部２１から取得する。また、制御部１１１は、生成したメッセージに含まれる抽象化メッセージに対応するユーザ情報の削除完了のメッセージテキストを取得する。

そして、制御部１１１は、ユーザ情報の削除完了のメッセージに含まれる抽象化データ及び抽象化メッセージを秘匿情報及び起動完了のメッセージテキストに置き換え、管理者が理解できる情報に変換する。そして、制御部１１１は、管理者が理解可能な情報に変換されたユーザ情報の削除完了のメッセージを管理者端末４へ送信し、利用者情報の削除完了を通知する。

その後、制御部１１１は、取得した秘匿情報を破棄する。これにより、プロセッサ装置１Ａの中には秘匿情報が存在しない状態に戻る。

ここで、制御部１１１は、ユーザ情報を削除する場合、削除するユーザ情報に対応する抽象化データを対応情報格納部２１から削除せずに保持する。これにより、抽象化データの一意性を確保し、使用済みの抽象化データを他のユーザ情報に対応付けることを回避することができ、障害の発生を軽減することができる。この制御部１１１が、「情報提供部」の一例にあたる。

抽象化部１１２は、仮想化ボリューム作成時に、ユーザ情報の中の秘匿情報の入力を制御部１１１から受ける。そして、抽象化部１１２は、受信した秘匿情報に対応する抽象化データを生成する。ここで、抽象化部１１２による抽象化データの生成の方法は、生成した抽象化情報から抽象化前の秘匿情報が容易に想到できるものでなければよい。例えば、利用者の識別情報であれば「ｃｕｓｔｏｍｅｒ」など秘匿情報の種類によって接頭語を決め、その後に連番で番号を割り当ててもよい。また、抽象化部１１２、このような単なる文字列の置き換えではなく、秘匿情報を暗号化することで抽象化データを作成してもよい。

次に、抽象化部１１２は、抽象化データと秘匿情報とを対応付けてストレージ装置２の対応情報格納部２１に格納する。また、抽象化部１１２は、秘匿情報に対応する抽象化データを制御部１１１へ送信する。この抽象化部１１２が、「代替情報作成部」の一例にあたる。

情報格納部１３Ａは、内部ログ１３１Ａ及びメッセージカタログ１３２Ａを有する。この情報格納部１３Ａが、「第１記憶部」の一例にあたる。

内部ログ１３１Ａは、プロセッサ装置１Ａで発生したイベントなどを含む動作情報の履歴を格納する。内部ログ１３１Ａに格納される情報は、本実施例では、イベント情報を抽象化した抽象化イベントの状態で格納される。ただし、内部ログ１３１Ａに格納される情報は、抽象化されていなくてもよい。この内部ログ１３１Ａが、「ストレージ制御装置の動作の履歴情報」の一例にあたる。

メッセージカタログ１３２Ａは、図３に示すように、抽象化イベントとその抽象化イベントが示すイベントの抽象化前の情報を表すメッセージテキストとを対応付ける情報を格納している。図３は、メッセージカタログの一例の図である。図３におけるメッセージテキストの内、例えば、メッセージテキスト３０１は、ユーザログインが成功したことを表すメッセージテキストである。さらに、メッセージテキスト３０１は、「ユーザ名」を表すメッセージを有している。このユーザ名には、秘匿情報であるユーザ名が登録される。すなわち、ユーザログインが成功したことを通知するメッセージにおいては、秘匿情報を登録することになる。制御部１１１は、メッセージを作成する際に、そのメッセージ作成に用いるメッセージテキストで秘匿情報を用いるか否かを予め記憶している。これにより、制御部１１１は、メッセージ作成の際に、秘匿情報を取得するか否かを判定することができる。

次に、プロセッサ装置１Ｂについて説明する。図２に示すように、プロセッサ装置１Ｂは、エージェント１２Ｂ及び情報格納部１３Ｂを有する。

エージェント１２Ｂは、制御部１２１Ｂ、内部ログ生成部１２２Ｂ及び内部ログ取得部１２３Ｂを有する。

制御部１２１Ｂは、ストレージシステム１００の起動に際して、マネージャ１１から起動命令を受ける。そして、制御部１２１Ｂは、プロセッサ装置１Ｂを起動する起動処理を行う。その後、プロセッサ装置１Ｂの起動が完了すると、制御部１２１Ｂは、起動完了通知を内部ログ生成部１２２Ｂへ送信する。また、制御部１２１Ｂは、起動完了通知をマネージャ１１の制御部１１１へ送信する。

また、仮想化ボリューム作成時に、制御部１２１Ｂは、ボリューム作成依頼をマネージャ１１の制御部１１１から受ける。そして、制御部１２１Ｂは、仮想化ボリュームを作成する。その後、仮想化ボリュームの作成が完了すると、制御部１１１は、仮想化ボリュームの作成完了通知を内部ログ生成部１２２Ｂへ送信する。また、制御部１１１は、仮想化ボリュームの作成完了通知をマネージャ１１の制御部１１１へ送信する。

また、ユーザ情報削除時には、制御部１２１Ｂは、ボリューム削除の依頼をマネージャ１１の制御部１１１から受ける。そして、制御部１２１Ｂは、指定された仮想化ボリュームを削除する。その後、制御部１２１Ｂは、仮想化ボリュームの削除を内部ログ生成部１２２Ｂに通知する。また、制御部１２１Ｂは、仮想化ボリュームの削除完了の通知をマネージャ１１の制御部１１１へ送信する。

エージェント１２Ａも制御部１２１Ｂと同様の機能部を有し、同様の動作を行う。

内部ログ生成部１２２Ｂは、起動の完了、並びに、仮想化ボリュームの作成及び削除といったイベントが発生した場合、イベント発生の通知を制御部１２１Ｂから受ける。ただし、イベントの情報は、プロセッサ装置１内では全て抽象化イベントが用いられており、内部ログ生成部１２２Ｂも、抽象化イベントの情報を用いたイベント発生の通知を制御部１２１Ｂから受ける。

そして、内部ログ生成部１２２Ｂは、通知されたイベントを内部ログ１３１Ｂに登録する。内部ログ生成部１２２Ｂは、抽象化イベントを用いてイベントの登録を行う。

エージェント１２Ａも内部ログ生成部１２２Ｂと同様の機能部を有し、同様の動作を内部ログ１３１Ａに対して行う。エージェント１２Ａの内部ログ生成部１２２Ａが、「第１履歴情報作成部」の一例にあたる。また、内部ログ生成部１２２Ｂが、「第２履歴情報作成部」の一例にあたる。

内部ログ取得部１２３Ｂは、調査資料採取の際に、内部ログ収集の依頼をマネージャ１１の制御部１１１から受ける。そして、内部ログ取得部１２３Ｂは、指定された仮想化ボリュームに対応する内部ログを内部ログ１３１Ｂから取得する。その後、内部ログ取得部１２３Ｂは、指定された仮想化ボリュームに対応する内部ログを制御部１１１へ送信する。

エージェント１２Ａも内部ログ取得部１２３Ｂと同様の機能部を有し、同様の動作を内部ログ１３１Ａに対して行う。

情報格納部１３Ｂは、内部ログ１３１Ｂ及びメッセージカタログ１３２Ｂを有する。内部ログ１３１Ｂは、プロセッサ装置１Ｂで発生したイベントなどを含む動作情報の履歴を格納する。内部ログ１３１Ｂに格納される情報は、本実施例では、イベント情報を抽象化した抽象化イベントの状態で格納される。ただし、内部ログ１３１Ｂに格納される情報は、抽象化されていなくてもよい。この情報格納部１３Ｂが、「第２記憶部」の一例にあたる。また、内部ログ１３１Ｂが、「副ストレージ制御装置の動作の履歴情報」の一例にあたる。

メッセージカタログ１３２Ｂは、抽象化イベントとその抽象化イベントが示すイベントの抽象化前の情報を表すメッセージテキストとを対応付ける情報を格納している。

ストレージ装置２は、上述したように対応情報格納部２１及び構成ＤＢ格納部２２を有する。図４は、対応情報の一例の図である。図４に示すように、対応情報２１２は、抽象化データと秘匿情報とを対応付ける情報が登録されている。すなわち、対応情報２１２を用いることで、制御部１１１は、抽象化データに対応する秘匿情報を取得することができる。

また、図５は、構成ＤＢ格納部に格納されるテーブルの一例の図である。図５に示すように、本実施例に係る構成ＤＢ格納部２２は、ユーザ管理テーブル２２１、ボリューム管理テーブル２２２、サーバ管理テーブル２２３及び関係管理テーブル２２４を有する。

ユーザ管理テーブル２２１には、ユーザ名、アカウント、パスワード、最終ログイン日時、仮想化ボリューム名及びサーバ名がそれぞれ対応付けられて登録される。また、ボリューム管理テーブル２２２には、仮想化ボリュームの名前、動作状態、サイズ及びその仮想化ボリュームを構成するディスクの情報（図５では、「構成物理ディスク情報」と表示。）がそれぞれ対応付けられて登録される。また、サーバ管理テーブル２２３には、サーバ名及びそのサーバのＩＰ（Internet Protocol）アドレスがそれぞれ対応付けられて登録される。また、関係管理テーブル２２４には、仮想化ボリューム名、サーバ名、仮想化ボリュームの障害状態及びその仮想化ボリュームを構成するディスクを搭載するプロセッサ装置１の識別情報（図５では、「担当装置」と表示。）がそれぞれ対応付けられて登録される。

構成ＤＢ格納部２２に格納される情報の内、例えば、ユーザ名、アカウント、パスワード、仮想化ボリューム名、サーバ名及びサーバのＩＰアドレスなどが秘匿情報にあたる。すなわち、本実施例では、構成ＤＢ格納部２２は、それらの情報を抽象化された抽象化データとして保持する。

次に、図６を参照して、本実施例に係るストレージシステム１００の動作の全体の流れについて説明する。図６は、実施例１に係るストレージシステムの動作全体の概要を表すフローチャートである。ここでは、処理の全体的な概要の説明であるので、ストレージシステム１００や調査用端末５を動作主体として説明し、各装置が有する各部の詳細な動作の流れについては後で、他のフローを用いて説明する。

ストレージシステム１００は、管理者から電源の投入を受ける。そして、ストレージシステム１００は、起動処理を実行する（ステップＳ１）。起動が完了すると、ストレージシステム１００は、サービスを開始する（ステップＳ２）。本実施例では、ストレージシステム１００は、仮想化ボリュームを提供するサービスを開始する。

利用者端末６は、利用者からの指示を受けて、ストレージシステム１００が提供するサービスの利用申請を管理者端末４に送信する（ステップＳ３）。

管理者端末４は、ストレージシステム１００が提供するサービスの利用申請を利用者端末６から受信する。管理者端末４は、管理者に受信したストレージシステム１００が提供するサービスの利用申請を管理者に提示する。その後、管理者端末４は、管理者からの指示を受けて、ユーザ名やボリューム名の情報を含む利用者登録要求をストレージシステム１００へ送信する（ステップＳ４）。

ストレージシステム１００は、利用者登録要求の入力を管理者端末４から受ける。そして、ストレージシステム１００は、ユーザ情報をストレージ装置２の構成ＤＢに登録する（ステップＳ５）。そして、ストレージシステム１００は、ユーザ情報の登録完了を管理者端末４へ通知する（ステップＳ６）。

管理者端末４は、ユーザ情報の登録完了通知をストレージシステム１００から受信する。そして、管理者端末４は、登録情報完了通知を確認した管理者の指示を受けて、ストレージシステム１００の仮想化ボリュームの利用が可能である旨を利用者端末６に通知する（ステップＳ７）。

利用者端末６は、管理者端末４からの通知を受けて、操作者にストレージシステム１００が提供する仮想化ボリュームのサービスが利用可能であることを利用者に通知する（ステップＳ８）。利用者は、サービスの利用可能通知を受けて、業務サーバ３などを用いてストレージシステム１００の仮想化ボリュームを使用する。その後、ストレージシステム１００は、サービスの提供を続ける。

次に、例えばサービス提供中にトラブルが発生したものとして説明する。ストレージシステム１００においてトラブルが発生する（ステップＳ９）。そして、ストレージシステム１００は、異常発生を管理者端末４に通報する（ステップＳ１０）。この場合、ストレージシステム１００は、例えば、仮想化ボリュームの識別情報や利用者名などのユーザ情報を用いて、異常発生を管理者端末４へ送信する。

管理者端末４は、異常発生を確認した管理者からの指示を受けて、調査資料の採取の要求をストレージシステム１００に送信する（ステップＳ１１）。この場合、調査資料を調査担当者に渡して調査を依頼するため、管理者は、調査資料の採取要求に秘匿情報を含ませないようにストレージシステム１００に指示する。

ストレージシステム１００は、調査資料の採取要求を管理者端末４から受ける。そして、ストレージシステム１００は、調査資料を収集する（ステップＳ１２）。その後、ストレージシステム１００は、対応情報を含ませずに調査資料を収集し、収集した調査資料を管理者端末４へ送信する（ステップＳ１３）。

管理者端末４は、対応情報を含まない調査資料をストレージシステム１００から受信する。そして、管理者端末４は、管理者からの指示を受けて、対応情報を含まない調査資料を調査依頼とともに調査用端末５へ送信する（ステップＳ１４）。

調査用端末５は、調査資料とともに調査依頼を管理者端末４から受信する。そして、調査担当者からの指示を受けて、調査用端末５は、調査資料を調査担当者が確認できる状態に展開する（ステップＳ１５）。ここで、調査資料には対応情報が含まれていない。そのため、調査担当者は、調査資料中の抽象化データの抽象化前の秘匿情報を取得しない。これにより、利用者と無関係の調査担当者の目に秘匿情報が触れることを避けることができ、情報の流出を軽減することができる。また、トラブルの原因究明などには、利用者の個人情報などは不要であるため、調査担当者は、秘匿情報を取得しなくてもトラブルの調査を行うことができる。

調査担当者は、調査資料を用いた調査を実行する。その後、調査用端末５は、調査担当者の指示を受けて、調査結果を管理者端末４へ送信する（ステップＳ１６）。

管理者端末４は、調査結果を調査用端末５から受信する。管理者は、管理者端末４を用いて調査結果を確認し、復旧のための処理を考案する。管理者端末４は、管理者が考えた復旧のための処理の入力を受けて、復旧処理をストレージシステム１００に指示する（ステップＳ１７）。

ストレージシステム１００は、管理者端末４から指示された復旧処理を実行する。その後復旧が完了すると、ストレージシステム１００は、復旧完了を管理者端末４へ通知する（ステップＳ１８）。これにより、ストレージシステム１００において障害が発生した場合のトラブル対応の処理が完了する。

利用者がサービスを解約する場合、利用者端末６は、利用者からの指示を受けて、サービス解約申請を管理者端末４へ送信する（ステップＳ１９）。

管理者端末４は、サービス解約申請を利用者端末６から受信する。そして、管理者端末４は、サービス解約申請を確認した管理者からの指示を受けて、ユーザ情報の削除要求をストレージシステム１００へ送信する（ステップＳ２０）。

ストレージシステム１００は、ユーザ情報の削除要求を管理者端末４から受信する。そして、ストレージシステム１００は、構成ＤＢ格納部２２内のユーザ情報を削除する。ユーザ情報の削除が完了すると、ストレージシステム１００は、削除完了を管理者端末４に通知する（ステップＳ２１）。

管理者端末４は、ユーザ情報の削除完了通知をストレージシステム１００から受信する。そして、管理者端末４は、削除完了通知を確認した管理者からの指示を受けて、解約完了通知を利用者端末６へ送信する（ステップＳ２２）。

利用者端末６は、削除完了通知を管理者端末４から受信する。そして、利用者端末６は、サービスの利用終了を利用者に通知する（ステップＳ２３）。

次に、図７を参照して、本実施例に係るストレージシステムの起動処理の流れについて説明する。図７は、実施例１に係るストレージシステムの起動処理のフローチャートである。

制御部１１１は、管理者からの電源投入を受けて、起動処理を実行し、プロセッサ装置１Ａとともにストレージ装置２を起動する（ステップＳ１０１）。制御部１２１Ｂは、制御部１１１からの指示を受けて、プロセッサ装置１Ｂの起動処理を実行し、プロセッサ装置１Ｂを起動する（ステップＳ１０２）。

制御部１１１は、起動完了通知を内部ログ生成部１２２Ａへ送信する（ステップＳ１０３）。また、制御部１２１Ｂは、起動完了通知を内部ログ生成部１２２Ｂへ送信する（ステップＳ１０４）。

内部ログ生成部１２２Ａは、起動処理完了を内部ログ１３１Ａに書き込む（ステップＳ１０５）。また、内部ログ生成部１２２Ｂは、起動処理完了を内部ログ１３１Ｂに書き込む（ステップＳ１０６）。

次に、制御部１２１Ｂは、制御部１１１に起動完了通知を送信する（ステップＳ１０７）。

制御部１１１は、起動完了通知を制御部１２１Ｂから受信する。次に、制御部１１１は、管理者に通知する起動完了の通知のメッセージを生成する。そして、制御部１１１は、メッセージに組み込む秘匿情報があるか否かを判定する（ステップＳ１０８）。

メッセージに組み込む秘匿情報がある場合（ステップＳ１０８：肯定）、制御部１１１は、メッセージに組み込む秘匿情報を対応情報格納部２１から取得する（ステップＳ１０９）。これに対して、メッセージに組み込む秘匿情報が無い場合（ステップＳ１０８：否定）、制御部１１１は、ステップＳ１１０へ進む。

次に、制御部１１１は、起動完了のメッセージテキストをメッセージカタログ１３２Ａから取得する（ステップＳ１１０）。そして、制御部１１１は、起動完了の通知を管理者端末４へ送信する（ステップＳ１１１）。

次に、制御部１１１は、取得した秘匿情報を破棄する（ステップＳ１１２）。

次に、図８を参照して、本実施例に係るストレージシステムの利用者情報登録処理の流れについて説明する。図８は、実施例１に係るストレージシステムの利用者情報登録処理のフローチャートである。

制御部１１１は、ユーザ情報を含む利用者情報登録依頼を管理者端末４から受ける。そして、制御部１１１は、受信したユーザ情報の内の秘匿情報を抽象化部１１２へ送信する（ステップＳ２０１）。

抽象化部１１２は、秘匿情報の入力を制御部１１１から受ける。そして、抽象化部１１２は、受信した秘匿情報に対応する抽象化データを生成する。さらに、抽象化部１１２は、秘匿情報とそれに対応する抽象化データとを対応させて対応情報格納部２１に格納する（ステップＳ２０２）。

抽象化部１１２は、秘匿情報に対応する抽象化データを制御部１１１に送信する（ステップＳ２０３）。

制御部１１１は、送信した秘匿情報に対応する抽象化データを抽象化部１１２から受信する（ステップＳ２０４）。そして、制御部１１１は、秘匿情報を抽象化データに置き換えたユーザ情報を構成ＤＢ格納部２２に格納する（ステップＳ２０４）。

次に、制御部１１１は、ユーザ情報において指定されているプロセッサ装置１に対して、秘匿情報が抽象化データに変換されたユーザ情報を用いて、仮想化ボリュームの作成を依頼する。ここでは、作成する仮想化ボリュームをプロセッサ装置１Ｂが担当する場合で説明する。すなわち、より具体的には、制御部１１１は、プロセッサ装置１Ｂの制御部１２１Ｂに対して、仮想化ボリュームの作成を依頼する（ステップＳ２０５）。

制御部１２１Ｂは、仮想化ボリュームの作成依頼を制御部１１１から受ける。そして、制御部１２１Ｂは、仮想化ボリュームの作成依頼で指定された仮想化ボリュームを作成する（ステップＳ２０６）。

次に、制御部１２１Ｂは、仮想化ボリュームの作成完了を内部ログ生成部１２２Ｂに通知する（ステップＳ２０７）。

内部ログ生成部１２２Ｂは、仮想化ボリュームの作成完了通知を制御部１２１Ｂから受信する。そして、内部ログ生成部１２２Ｂは、仮想化ボリュームの作成完了を内部ログ１３１Ｂに登録する（ステップＳ２０８）。

また、制御部１２１Ｂは、仮想化ボリュームの作成完了を制御部１１１に通知する（ステップＳ２０９）。

制御部１１１は、仮想化ボリュームの作成完了通知を制御部１２１Ｂから受信する。そして、制御部１１１は、仮想化ボリュームの作成の情報を構成ＤＢ格納部２２に保存する（ステップＳ２１０）。

次に、制御部１１１は、利用者情報の登録完了を内部ログ生成部１２２Ａに通知する（ステップＳ２１１）。

内部ログ生成部１２２Ａは、利用者情報の登録完了通知を制御部１１１から受信する。そして、内部ログ生成部１２２Ａは、利用者情報の登録完了の情報を内部ログ１３１Ａに登録する（ステップＳ２１２）。

次に、制御部１１１は、利用者情報の登録完了を通知するための登録完了の通知のメッセージを生成する。次に、制御部１１１は、登録完了のメッセージに組み込む情報として自己が有する抽象化データに対応する秘匿情報を対応情報格納部２１から取得する（ステップＳ２１３）。

また、制御部１１１は、生成したメッセージに含まれる抽象化メッセージに対応する登録完了のメッセージテキストをメッセージカタログ１３２Ａから取得する（ステップＳ２１４）。

そして、制御部１１１は、登録完了の通知のメッセージの抽象化データ及び抽象化メッセージを秘匿情報及び起動完了のメッセージテキストに置き換え、管理者が理解できる情報に変換する。そして、制御部１１１は、管理者が理解可能な情報に変換された登録完了のメッセージを管理者端末４へ送信し、登録完了を通知する（ステップＳ２１５）。

その後、制御部１１１は、取得した秘匿情報を破棄する（ステップＳ２１６）。

次に、図９を参照して、本実施例に係るストレージシステムにおけるトラブル対応の処理の流れについて説明する。図９は、実施例１に係るストレージシステムにおけるトラブル対応の処理のフローチャートである。

制御部１１１は、調査資料採取要求を受信する（ステップＳ３０１）。そして、制御部１１１は、調査資料採取要求を参照して秘匿情報を調査資料に含めるか否かを判定する（ステップＳ３０２）。

秘匿情報を調査資料に含める場合（ステップＳ３０２：肯定）、制御部１１１は、調査資料に含める秘匿情報に関する抽象化データと秘匿情報との対応を表す対応情報を対応情報格納部２１から取得する（ステップＳ３０３）。これに対して、秘匿情報を対応情報に含めない場合（ステップＳ３０２：否定）、制御部１１１は、秘匿情報に関する対応情報を取得せずに、ステップＳ３０４へ進む。

制御部１１１は、調査資料採取要求で指定されている仮想化ボリュームに関する構成ＤＢ情報を構成ＤＢ格納部２２から取得する（ステップＳ３０４）。

また、制御部１１１は、内部ログ収集を内部ログ取得部１２３Ｂに依頼する（ステップＳ３０５）。内部ログ取得部１２３Ｂは、内部ログ収集の依頼を受けて、内部ログ１３１Ｂを取得する（ステップＳ３０６）。そして、内部ログ取得部１２３Ｂは、取得した内部ログ１３１Ｂを制御部１１１へ送信する（ステップＳ３０７）。

また、制御部１１１は、内部ログ収集を内部ログ取得部１２３Ａに依頼する（ステップＳ３０８）。内部ログ取得部１２３Ａは、内部ログ収集の依頼を受けて、内部ログ１３１Ａを取得する（ステップＳ３０９）。そして、内部ログ取得部１２３Ａは、取得した内部ログ１３１Ａを制御部１１１へ送信する（ステップＳ３１０）。

制御部１１１は、構成ＤＢ情報、内部ログ１３１Ａ及び１３１Ｂ、並びに、秘匿情報を調査資料に含める場合には取得した対応情報をまとめて調査資料として管理者端末４へ送信する（ステップＳ３１１）。

次に、図１０を参照して、トラブルの調査を行う場合の調査用端末５の動作を説明する。図１０は、トラブルの調査を行う場合の調査担当端末の動作のフローチャートである。

調査用端末５は、調査資料を受信する。そして、対応情報５２１、構成ＤＢ情報５２３及び内部ログ５２２が展開される（ステップＳ４０１）。

そして、表示制御部５１は、内部ログの表示命令を受信する（ステップＳ４０２）。

次に、表示制御部５１は、対応情報５２１を記憶部５２から取得する（ステップＳ４０３）。この時、展開した調査資料の中に対応情報５２１が含まれていない場合、表示制御部５１は、エラー応答を受ける。また、表示制御部５１は、内部ログ５２２を記憶部５２から取得する（ステップＳ４０４）。

次に、表示制御部５１は、メッセージカタログ５２４を用いて調査資料に含まれる抽象化イベントをメッセージテキストに変換する（ステップＳ４０５）。さらに、表示制御部５１は、展開した調査資料の中に対応情報５２１が含まれている場合、対応情報５２１を用いて調査資料に含まれる抽象化データを秘匿情報に変換する（ステップＳ４０６）。

そして、表示制御部５１は、抽象化イベントがメッセージテキストに変換され、調査資料の中に対応情報が含まれている場合には、抽象化データが秘匿情報に変換された調査資料の内容をモニタに表示させる（ステップＳ４０７）。調査担当者は、提供された調査資料を用いてトラブルの調査を行う。

次に、図１１を参照して、本実施例に係るストレージシステム１００の利用者情報削除処理を説明する。図１１は、実施例１に係るストレージシステムの利用者情報削除処理のフローチャートである。

制御部１１１は、ユーザ情報の削除命令を管理者端末４から受信する（ステップＳ５０１）。

次に、制御部１１１は、ユーザ情報で指定されている利用者に関する抽象化データを対応情報格納部２１から取得する（ステップＳ５０２）。

次に、制御部１１１は、取得した抽象化データから仮想化ボリュームの情報を取得する。そして、制御部１１１は、取得した仮想化ボリュームの削除を、その仮想化ボリュームの管理を担当するプロセッサ装置１に依頼する。ここでは、削除する仮想化ボリュームの管理をプロセッサ装置１Ｂが担当する場合で説明する。すなわち、本実施例では具体的には、制御部１１１は、仮想化ボリュームの削除を制御部１２１Ｂに依頼する（ステップＳ５０３）。

制御部１２１Ｂは、仮想化ボリュームの削除依頼を制御部１１１から受信する。そして、制御部１２１Ｂは、仮想化ボリュームの削除依頼で指定された仮想化ボリュームの削除を実行する（ステップＳ５０４）。

次に、制御部１２１Ｂは、仮想化ボリュームの削除を内部ログ生成部１２２Ｂへ通知する（ステップＳ５０５）。内部ログ生成部１２２Ｂは、仮想化ボリューム削除の通知を受けて、仮想化ボリュームの削除を内部ログ１３１Ｂに登録する（ステップＳ５０６）。

また、制御部１２１Ｂは、仮想化ボリュームの削除完了を制御部１１１へ通知する（ステップＳ５０７）。

制御部１１１は、仮想化ボリュームの削除完了通知を制御部１２１Ｂから受ける。そして、制御部１１１は、仮想化ボリュームの削除の情報を構成ＤＢ格納部２２に保存する（ステップＳ５０８）。

次に、制御部１１１は、ユーザ情報削除依頼で指定された利用者のユーザ情報を構成ＤＢ格納部２２から削除する（ステップＳ５０９）。

次に、制御部１１１は、ユーザ情報の削除完了を内部ログ生成部１２２Ａに通知する（ステップＳ５１０）。内部ログ生成部１２２Ａは、ユーザ情報の削除完了の通知を受けて、ユーザ情報の削除を内部ログ１３１Ａに登録する（ステップＳ５１１）。

次に、制御部１１１は、ユーザ情報の削除完了を通知するためのメッセージを生成する。次に、制御部１１１は、ユーザ情報の削除完了のメッセージに組み込む情報として自己が有する抽象化データに対応する秘匿情報を対応情報格納部２１から取得する（ステップＳ５１２）。

また、制御部１１１は、生成したメッセージに含まれる抽象化メッセージに対応するユーザ情報の削除完了のメッセージテキストをメッセージカタログ１３２Ａから取得する（ステップＳ５１３）。

そして、制御部１１１は、ユーザ情報の削除完了のメッセージの抽象化データ及び抽象化メッセージを秘匿情報及び起動完了のメッセージテキストに置き換え、管理者が理解できる情報に変換する。そして、制御部１１１は、管理者が理解可能な情報に変換されたユーザ情報の削除完了のメッセージを管理者端末４へ送信し、利用者情報の削除完了を通知する（ステップＳ５１４）。

その後、制御部１１１は、取得した秘匿情報を破棄する（ステップＳ５１５）。

以上に説明したように本実施例に係るストレージシステムでは、プロセッサ装置は秘匿情報を抽象化した抽象化データを用いて処理を行い、抽象化データと秘匿情報との対応を示す対応除法はストレージ装置内に格納される。すなわち、汎用ＯＳを用いるプロセッサ装置は秘匿情報を有しておらず、その中に侵入されたとしても秘匿情報が漏えいするおそれは少ない。また、秘匿情報を有するストレージ装置は、独自ＯＳを用いることが多いため、外部からの侵入が困難であり、秘匿情報の漏えいの危険を軽減することができる。

また、本実施例に係るストレージシステムでは、トラブルの調査を行う場合に、秘匿情報を含まない調査資料を調査担当者に提供することができ、利用者と関係が薄い調査担当者に対して秘匿情報を公開することを回避でき、情報漏えいの危険を低減することができる。

ここで、本実施例では、プロセッサ装置１Ａでマネージャが動作し、プロセッサ装置１Ｂでエージェントが動作する構成で説明したが、マネージャが動作するプロセッサ装置１は、いずれでもよい。また、３つ以上のプロセッサ装置１が存在する場合であっても、いずれのプロセッサ装置１がマネージャの機能を有してもよい。さらに、マネージャ機能を有するプロセッサ装置１は冗長化構成にすることができる。例えば、マネージャ機能が動作しているプロセッサ装置１に障害が発生した場合、他のプロセッサ装置１においてマネージャ機能を起動させ、そのプロセッサ装置１がマネージャ機能を担当する構成にしてもよい。

〔ハードウェア構成〕
ここで、図１２を参照して、本実施例に係るストレージシステムのハードウェア構成について説明する。図１２は、ストレージシステムのハードウェア構成図である。

プロセッサ装置１Ａは、ＣＰＵ（Central Processing Unit）９１１Ａ、メモリ９１２Ａ、ハードディスク９１３Ａ及び通信インタフェース９１４Ａを有する。メモリ９１２Ａ、ハードディスク９１３Ａ及び通信インタフェース９１４Ａは、バスを介してＣＵＰ９１１Ａと接続されている。

通信インタフェース９１４Ａは、スイッチ７を介してストレージ装置２と通信を行うためのインタフェースである。

ハードディスク９１３Ａは、情報格納部１３Ａの機能を実現し、内部ログ１３１Ａ及びメッセージカタログ１３２Ａを格納する。また、ハードディスク９１３Ａは、マネージャ１１、エージェント１２Ａの機能を実現するためのプログラムを含む各種プログラムを記憶する。

ＣＰＵ９１１Ａ及びメモリ９１２Ａは、マネージャ１１、エージェント１２Ａの機能を実現する。具体的には、ＣＰＵ９１１Ａは、ハードディスク９１３Ａからマネージャ１１、エージェント１２Ａの機能を実現するためのプログラムを含む各種プログラムを読み出し、メモリ９１２Ａ上に展開する。そして、ＣＰＵ９１１Ａは、メモリ９１２Ａ上に展開した各種プログラムを実行することで、例えば、マネージャ１１及びエージェント１２Ａの機能を実現する。

プロセッサ装置１Ｂは、ＣＰＵ９１１Ｂ、メモリ９１２Ｂ、ハードディスク９１３Ｂ及び通信インタフェース９１４Ｂを有する。メモリ９１２Ｂ、ハードディスク９１３Ｂ及び通信インタフェース９１４Ｂは、バスを介してＣＵＰ９１１Ｂと接続されている。

通信インタフェース９１４Ｂは、スイッチ７を介してストレージ装置２と通信を行うためのインタフェースである。

ハードディスク９１３Ｂは、情報格納部１３Ｂの機能を実現し、内部ログ１３１Ｂ及びメッセージカタログ１３２Ｂを格納する。また、ハードディスク９１３Ｂは、エージェント１２Ｂの機能を実現するためのプログラムを含む各種プログラムを記憶する。

ここで、マネージャ１１、エージェント１２Ｂの処理内容を記述したプログラムは、ハードディスク９１３Ｂの他にも、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記憶装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記憶装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disk）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ（Compact Disk）−ＲＯＭ（Read Only Memory）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical Disk）などがある。

プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

ＣＰＵ９１１Ｂ及びメモリ９１２Ｂは、マネージャ１１、エージェント１２Ｂの機能を実現する。具体的には、ＣＰＵ９１１Ｂは、ハードディスク９１３Ｂからエージェント１２Ｂの機能を実現するためのプログラムを含む各種プログラムを読み出し、メモリ９１２Ｂ上に展開する。そして、ＣＰＵ９１１Ｂは、メモリ９１２Ｂ上に展開した各種プログラムを実行することで、例えば、エージェント１２Ｂの機能を実現する。

ストレージ装置２は、ＣＰＵ９２１、メモリ９２２、ハードディスク９２３及び通信インタフェース９２４を有する。メモリ９２２、ハードディスク９２３及び通信インタフェース９２４は、バスを介してＣＵＰ９２１と接続されている。

通信インタフェース９２４は、スイッチ７を介してプロセッサ装置１Ａ及び１Ｂと通信を行うためのインタフェースである。

ハードディスク９２３は、対応情報格納部２１及び構成ＤＢ格納部２２の機能を有し、対応情報及び構成ＤＢを記憶する。また、ハードディスク９２３は、論理ディスク２０を形成し、業務サーバ３による処理に用いられるデータを格納する。

ＣＰＵ９２１Ｂ及びメモリ９２２Ｂは、プロセッサ装置１Ａからハードディスク９２３への構成ＤＢの登録及び対応情報の格納の指示を受けて、指定された情報をハードディスク９２３に記憶させる。

図１３は、実施例２に係るストレージシステムのブロック図である。本実施例に係るストレージシステム１００は、ストレージ装置が２つあり、データがミラーリングされ冗長化されていることが実施例１と異なる。以下の説明では、データのミラーリングについて主に説明する。また、実施例１と同様の各部の機能については説明を省略する。また、以下では、ストレージ装置２からストレージ装置２Ａへデータをコピーする場合を例に説明するが、ストレージ装置２Ａからストレージ装置２へのミラーリングも同様である。

本実施例に係るストレージシステム１００は、実施例１の構成にストレージ装置２Ａが加えられている。ストレージ装置２は、スイッチ７Ａを介してプロセッサ装置１Ａ及び１Ｂと接続している。

ストレージ装置２Ａは、対応情報格納部２１Ａ、構成ＤＢ格納部２２Ａ及び論理ディスク２０Ａを有している。プロセッサ装置１Ａ及びプロセッサ装置１Ｂは、ストレージ装置２と同様に、ストレージ装置２Ａを使用する。

さらに、プロセッサ装置１Ａは、ミラー制御部１４を有する。ミラー制御部１４は、論理ディスク２０にデータが格納された場合に、論理ディスク２０Ａへのデータのコピーをストレージ装置２に指示する。

利用者情報登録の場合、ミラー制御部１４は、構成ＤＢ格納部２２に抽象化データを含むユーザ情報が登録された場合、登録されたユーザデータの構成ＤＢ格納部２２Ａへのコピーをストレージ装置２に指示する。さらに、仮想化ボリューム作成の情報が構成ＤＢ格納部２２に保存されると、ミラー制御部１４は、保存された仮想化ボリューム作成の情報の構成ＤＢ格納部２２Ａへのコピーをストレージ装置２に指示する。

利用者情報削除の場合、仮想化ボリューム削除の情報が構成ＤＢ格納部２２に保存されると、ミラー制御部１４は、保存された仮想化ボリューム削除の情報の構成ＤＢ格納部２２Ａへのコピーをストレージ装置２に指示する。さらに、構成ＤＢ格納部２２からユーザ情報が削除されると、ミラー制御部１４は、ユーザ情報の削除を構成ＤＢ格納部２２Ａへ反映させるように、ストレージ装置２に指示する。

ストレージ装置２は、データのコピーの指示をミラー制御部１４から受けると、指示されたデータをストレージ装置２Ａにデータを送信する。そして、ストレージ装置２Ａは受信したデータを論理ディスク２０Ａに格納する。

また、ストレージ装置２は、ユーザ情報の削除の反映の通知をミラー制御部１４から受信すると、指定されたユーザ情報の削除をストレージ装置２Ａに指示する。ストレージ装置２Ａは、指示されたユーザ情報を論理ディスク２０Ａから削除する。

以上に説明したように、本実施例に係るストレージシステムは、ストレージ装置の冗長化構成において、構成ＤＢや抽象化対応データも同期をとり冗長化する。これにより、例えストレージ装置に障害が発生し他のストレージ装置への切り替えが発生した場合にも、実施例１と同様のセキュリティ性の高いサービスを提供することができる。

１Ａ，１Ｂ プロセッサ装置
２，２Ａ ストレージ装置
３ 業務サーバ
４ 管理者端末
５ 調査用端末
６ 利用者端末
７ スイッチ
１１ マネージャ
１２Ａ，１２Ｂ エージェント
１３Ａ，１３Ｂ 情報格納部
１４ ミラー制御部
２０ 論理ディスク
２１ 対応情報格納部
２２ 構成ＤＢ格納部
５１ 表示制御部
１１１ 制御部
１１２ 抽象化部
１２１Ｂ 制御部
１２２Ａ，１２２Ｂ 内部ログ生成部
１２３Ａ，１２３Ｂ 内部ログ取得部
１３１Ａ，１３１Ｂ 内部ログ
１３２Ａ，１３２Ｂ メッセージカタログ
５２１ 対応情報
５２２ 内部ログ
５２３ 構成ＤＢ情報
５２４ メッセージカタログ

Claims (7)

1. ストレージ制御装置及びストレージ装置を有するストレージシステムであって、
   前記ストレージ制御装置は、
   秘匿情報の代替情報である代替情報を作成し、作成した前記代替情報と前記秘匿情報との対応を表す対応情報を前記ストレージ装置に記憶させる代替情報作成部と、
   前記代替情報を用いて前記ストレージ制御装置の動作の履歴情報を作成する第１履歴情報作成部と、
   前記第１履歴情報作成部により作成された前記履歴情報を記憶する第１記憶部と、
   情報提供要求を受けて、前記情報提供要求に前記対応情報の送信要求が含まれているか否かを判定し、前記送信要求が含まれている場合、前記履歴情報を前記第１記憶部から取得し、前記ストレージ装置から前記対応情報を取得し、取得した前記対応情報及び前記履歴情報を出力し、前記送信要求が含まれていない場合、前記履歴情報を前記第１記憶部から取得し、取得した前記履歴情報を出力する情報提供部とを備え、
   前記ストレージ装置は、
   前記代替情報作成部から送信された前記対応情報を格納する対応情報格納部を備えた
   ことを特徴とするストレージシステム。
2. 前記代替情報作成部は、前記ストレージ装置に記憶させた前記対応情報により対応する前記代替情報が表される前記秘匿情報を破棄することを特徴とする請求項１に記載のストレージシステム。
3. 前記第１履歴情報作成部は、前記ストレージ制御装置の動作を表す動作情報に対応する予め決められた代替動作情報を用いて、前記履歴情報を作成することを特徴とする請求項１又は２に記載のストレージシステム。
4. 前記ストレージシステムは、副ストレージ制御装置をさらに備え、
   前記副ストレージ制御装置は、
   前記代替情報作成部から前記代替情報を取得し、前記代替情報を用いて前記副ストレージ制御装置の動作の履歴情報を作成する第２履歴情報作成部と、
   前記第２履歴情報作成部により作成された前記副ストレージ制御装置の動作の履歴情報を記憶する第２記憶部を有し、
   前記情報提供部は、前記ストレージ制御装置の動作の履歴情報に加えて前記副ストレージ制御装置の動作の履歴情報を収集し、前記ストレージ制御装置及び前記副ストレージ制御装置の動作の履歴情報を出力する
   ことを特徴とする請求項１〜３のいずれか一つに記載のストレージシステム。
5. 前記ストレージ制御装置と前記副ストレージ制御装置とは交換可能であり、
   前記対応情報格納部は、前記ストレージ装置及び前記副ストレージ制御装置のいずれからも取得可能に前記対応情報を保持する
   ことを特徴とする請求項４に記載のストレージシステム。
6. 秘匿情報の代替情報である代替情報を作成し、作成した前記代替情報と前記秘匿情報との対応を表す対応情報をストレージ装置に記憶させる代替情報作成部と、
   前記代替情報を用いてストレージ制御装置の動作の履歴情報を作成する第１履歴情報作成部と、
   前記第１履歴情報作成部により作成された前記履歴情報を記憶する第１記憶部と、
   情報提供要求を受けて、前記情報提供要求に前記対応情報の送信要求が含まれているか否かを判定し、前記送信要求が含まれている場合、前記履歴情報を前記第１記憶部から取得し、前記ストレージ装置から前記対応情報を取得し、取得した前記対応情報及び前記履歴情報を出力し、前記送信要求が含まれていない場合、前記履歴情報を前記第１記憶部から取得し、取得した前記履歴情報を出力する情報提供部と
   を備えたことを特徴とするストレージ制御装置。
7. 秘匿情報の代替情報である代替情報を作成し、
   作成した前記代替情報と前記秘匿情報との対応を表す対応情報をストレージ装置に記憶させ、
   前記代替情報を用いてストレージ制御装置の動作の履歴情報を作成し、
   作成した前記履歴情報をメモリに格納し、
   情報提供要求を受けて、前記情報提供要求に前記対応情報の送信要求が含まれているか否かを判定し、
   前記送信要求が含まれている場合、前記履歴情報を前記メモリから取得し、前記ストレージ装置から前記対応情報を取得し、取得した前記対応情報及び前記履歴情報を出力し、
   前記送信要求が含まれていない場合、前記履歴情報を前記メモリから取得し、取得した前記履歴情報を出力する、
   処理をコンピュータに実行させることを特徴とするストレージ制御プログラム。

Images