JP6890153B2 - 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法 - Google Patents

特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法 Download PDF

Info

Publication number
JP6890153B2
JP6890153B2 JP2019107929A JP2019107929A JP6890153B2 JP 6890153 B2 JP6890153 B2 JP 6890153B2 JP 2019107929 A JP2019107929 A JP 2019107929A JP 2019107929 A JP2019107929 A JP 2019107929A JP 6890153 B2 JP6890153 B2 JP 6890153B2
Authority
JP
Japan
Prior art keywords
volume
data
storage device
ldev
backup
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019107929A
Other languages
English (en)
Other versions
JP2020201703A (ja
Inventor
和衛 弘中
和衛 弘中
貴記 松下
貴記 松下
智大 川口
智大 川口
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2019107929A priority Critical patent/JP6890153B2/ja
Priority to CN202010081474.9A priority patent/CN112068990A/zh
Priority to US16/796,869 priority patent/US20200387430A1/en
Publication of JP2020201703A publication Critical patent/JP2020201703A/ja
Application granted granted Critical
Publication of JP6890153B2 publication Critical patent/JP6890153B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/07Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14Error detection or correction of the data by redundancy in operation
    • G06F11/1402Saving, restoring, recovering or retrying
    • G06F11/1446Point-in-time backing up or restoration of persistent data
    • G06F11/1448Management of the data involved in backup or backup restore
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/07Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14Error detection or correction of the data by redundancy in operation
    • G06F11/1402Saving, restoring, recovering or retrying
    • G06F11/1446Point-in-time backing up or restoration of persistent data
    • G06F11/1458Management of the backup or restore process
    • G06F11/1464Management of the backup or restore process for networked environments
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601Interfaces specially adapted for storage systems
    • G06F3/0602Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/0614Improving the reliability of storage systems
    • G06F3/0619Improving the reliability of storage systems in relation to data integrity, e.g. data losses, bit errors
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/07Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14Error detection or correction of the data by redundancy in operation
    • G06F11/1402Saving, restoring, recovering or retrying
    • G06F11/1446Point-in-time backing up or restoration of persistent data
    • G06F11/1448Management of the data involved in backup or backup restore
    • G06F11/1451Management of the data involved in backup or backup restore by selection of backup contents
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/07Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14Error detection or correction of the data by redundancy in operation
    • G06F11/1402Saving, restoring, recovering or retrying
    • G06F11/1446Point-in-time backing up or restoration of persistent data
    • G06F11/1458Management of the backup or restore process
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/07Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14Error detection or correction of the data by redundancy in operation
    • G06F11/1402Saving, restoring, recovering or retrying
    • G06F11/1446Point-in-time backing up or restoration of persistent data
    • G06F11/1458Management of the backup or restore process
    • G06F11/1461Backup scheduling policy
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/62Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601Interfaces specially adapted for storage systems
    • G06F3/0628Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0646Horizontal data movement in storage systems, i.e. moving data in between storage devices or systems
    • G06F3/065Replication mechanisms
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601Interfaces specially adapted for storage systems
    • G06F3/0628Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0655Vertical data movement, i.e. input-output transfer; data movement between one or more hosts and one or more storage devices
    • G06F3/0658Controller construction arrangements
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601Interfaces specially adapted for storage systems
    • G06F3/0668Interfaces specially adapted for storage systems adopting a particular infrastructure
    • G06F3/067Distributed or networked storage systems, e.g. storage area networks [SAN], network attached storage [NAS]
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/07Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14Error detection or correction of the data by redundancy in operation
    • G06F11/1402Saving, restoring, recovering or retrying
    • G06F11/1446Point-in-time backing up or restoration of persistent data
    • G06F11/1458Management of the backup or restore process
    • G06F11/1469Backup restoration techniques
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/30Monitoring
    • G06F11/3003Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3034Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system component is a storage system, e.g. DASD based or network based
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/30Monitoring
    • G06F11/34Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3409Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment for performance assessment
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00Error detection; Error correction; Monitoring
    • G06F11/30Monitoring
    • G06F11/34Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466Performance evaluation by tracing or monitoring
    • G06F11/3485Performance evaluation by tracing or monitoring for I/O devices
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/835Timestamp
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/84Using snapshots, i.e. a logical point-in-time copy of the data
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601Interfaces specially adapted for storage systems
    • G06F3/0628Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0653Monitoring storage devices or systems

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Human Computer Interaction (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Retry When Errors Occur (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Description

本発明は概して、ストレージシステムにより行われるデータ処理に関する。
ストレージ装置においては、ITシステムにおける事業継続計画(BCP)の観点から、ストレージ装置に格納されるデータのバックアップを安全に格納し、また必要な時に迅速にデータを普及することが求められている。
特許文献1は、ボリュームスナップショット機能を提供するストレージシステムが開示される。特許文献1によれば、ホストに提供される第一の論理ボリュームと、第一の論理ボリュームに対応付けられた1以上のスナップショットイメージを保持するための副ボリュームを構成し、第一のボリュームに対するスナップショットの取得時点の時間的関係を示す時間関係情報を記憶し、第一のボリュームにホストがデータを書き込む場合において、ホストが書き込むべきデータ要素を格納するべき論理領域について、時間関係情報に基づき、データ要素がスナップショットイメージを構成するデータ要素であるか否かを判定することで、第一のボリュームのスナップショットイメージを取得するボリュームスナップショット技術について開示している。
特許第5657801号明細書
企業では、自然災害やサイバー攻撃などの緊急事態が生じた場合に事業の継続や復旧を図るため、ITシステムの事業継続計画(BCP : Business Continuity Plan)対応を進めている。そこで、重要なデータを格納しうるストレージシステムにおいてもこれらのBCP対応が必要となる。また、近年ランサムウェアを筆頭に、サービス破壊 (DeOS : Destruction Of Service) 型のサイバー攻撃が急増している。
これらは運用中のITシステムをサービス停止に追い込むだけでなく、それらデータやバックアップをも破壊することで、ITシステムやビジネス自体に甚大な被害をもたらす。このような被害からデータを保護するため、ストレージ装置ではストレージ筐体内コピー機能によるデータバックアップや遠隔地に設置した他のストレージ装置へのリモートレプリケーション機能などを提供している。
しかしながら、実際のサービス破壊型の攻撃では、ITシステムが攻撃を受けてから被害が顕在化し、そして対策が実際に行われるまでに時間がかかる場合が多い。そのため、従来のバックアップのようなスケジュール管理により定期的に取得されるバックアップの運用方法では、取得されたバックアップデータがサイバー攻撃による破壊後のものであったり、あるいは、サイバー攻撃を受ける前の状態のバックアップデータであっても、最新の状態からかなり時間経過することで価値の低いバックアップデータとなっている恐れがある。
また、バックアップされたデータのリカバリ手順を考えた場合、リストアするべきバックアップデータを特定するための情報はサイバー攻撃などによる被害が顕在化し、インシデントが発覚した時刻を元にデータのリストアポイントを特定するしかなく、このため、データ破壊を伴うサイバー攻撃では、データ破壊前のリストアポイントを特定するのが難しい。
そこで、本発明の目的は、上記のデータ破壊を伴うサイバー攻撃の被害を最小化しリストア作業を容易化可能なデータバックアップ技術を有するストレージ装置およびバックアップ方法を提供する。
特に、従来のスケジュール管理されたデータバックアップやリストアポイントの設定に加え、ストレージシステムにおける各種監視情報(例えば、バックアップ対象ボリュームへのI/O情報やデータ圧縮率の変化、データ容量の変化)などに基づいて、通常運用時の挙動から逸脱したイベントの発生を監視し、これらをトリガーとして、自動的にデータのバックアップの設定やリストアポイントの設定を行うストレージ装置およびバックアップ方法の提供を目的とする。
上記課題を解決する本発明のストレージ装置の一態様は、コントローラを有し、ホストに提供される第1のボリュームと、第1のボリュームのバックアップデータまたはスナップショットイメージを格納する第2のボリュームがあるストレージ装置において、コントローラを有し、ホストに提供される第1のボリュームと、前第1のボリュームのバックアップデータまたはスナップショットイメージを格納する第2のボリュームがあるストレージ装置において、コントローラは、第1のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、第1のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、取得した監視情報を用い第1のボリュームにおける通常使用における定常状態を設定し、設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、第1のボリュームのバックアップデータまたはスナップショットイメージを第2のボリュームに作成し、リストアポイントを設定して管理する。
本発明の代表的な実施例によれば、第1のボリュームにおいて、予め設定された時刻情報に基づくバックアップやスナップショットイメージの取得に加え、その監視情報に基づき、自律的にバックアップデータやスナップショットイメージが作成される。このため、データ破壊を目的したランサムウェアによるサイバー攻撃により、第1のボリュームにおけるデータ破壊が生じたとしても、ストレージ管理者はストレージ装置からの通知によりサイバー攻撃を早期に発見することができ、サイバー攻撃による被害を最小化できる。
前記した以外の課題、構成および効果は、以下の実施例の説明により明らかにされる。
ストレージ装置を説明する図である。 装置内バックアップを示した図である。 リモートレプリケーションを示した図である。 管理情報を示した図である。 LDEV管理テーブルを説明する図である。 プール管理テーブルを説明する図である。 プールVOLテーブルを説明する図である。 LDEV監視情報テーブルを説明する図である。 LDEVデータ保護ポリシ管理テーブルを説明する図である。 LDEV自動データ保護ポリシ管理テーブルを説明する図である。 LDEVバックアップ管理テーブルを説明する図である。 異常判定プログラムによるLDEVアクセス情報の学習フローを示した図である。 LDEV監視プログラムによるLDEVアクセスの異常検知フローを示した図である。
本発明の実施例について、図面を参照して説明する。
なお、以下に説明する実施例は特許請求の範囲に係る発明を限定するものではなく、実施例の中で説明されている要素の組み合わせの全てが発明の解決手段に必須であるとは限らない。また、以下の説明では、「xxxテーブル」、「xxx リスト」、「xxxDB」、「xxxキュー」等の表現で各種の情報を説明することがあるが、各種情報はテーブル、リスト、DB、キュー、等以外のデータ構造で表現されていてもよい。そのため、データ構造に依存しないことを示すため、「xxxのテーブル」、「xxxリスト」、「xxxD B」、「xxxキュー」等を「xxx情報」と称することがある。
さらに、各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「名前」、「ID」という表現を用いるが、これらについてはお互いに置換が可能である。
さらに、後述する本発明の実施例は、汎用コンピュータ上で稼動するソフトウェアで実装してもよいし、専用ハードウェア又はソフトウェアとハードウェアの組み合わせで実装してもよい。
さらに、以下の説明では「プログラム」を主語として処理を説明することがあるが、プログラムはプロセッサ(例えば、CPU:Central Processing Unit)によって実行されることによって、定められた処理を記憶資源(例えば、メモリ)、通信I/F、ポートを用いて処理を実行するため、プロセッサを主語として説明してもよい。
プログラムを主語として説明された処理は、プロセッサを有する計算機(例えば、計算ホスト、ストレージ装置)が行う処理としてもよい。また、以下の説明では、「コントローラ」の表現で、プロセッサ又はプロセッサが行う処理の一部又は全部を行うハードウェア回路を指してもよい。プログラムは、プログラムソース(例えば、プログラム配布サーバや、計算機が読み取り可能な記憶メディア)から各計算機にインストールされてもよい。この場合、プログラム配布サーバはCPUと記憶資源を含み、記憶資源はさらに配布プログラムと配布対象であるプログラムを記憶している。そして、配布プログラムをCPUが実行することで、プログラム配布サーバのCPUは配布対象のプログラムを他の計算機に配布する。
また、以下の説明では、「PDEV」は、物理的な記憶デバイスを意味し、典型的には、不揮発性の記憶デバイス(例えば補助記憶デバイス)でよい。PDEVは、例えば、HDD(Hard Disk Drive)又はSSD(Solid State Drive)でよい。ストレージシステムに異なる種類のPDEVが混在していてもよい。
また、以下の説明では、「RAID」は、Redundant Array of Inexpensive Disksの略である。RAIDグループは、複数のPDEV(典型的には同種のPDEV)で構成され、そのRAIDグループに関連付けられたRAIDレベルに従いデータを記憶する。RAIDグループは、パリティグループと呼ばれてもよい。パリティグループは、例えば、パリティを格納するRAIDグループのことでよい。
また、以下の説明では、「VOL」はボリュームの略であり、物理的な記憶デバイスまたは、論理的な記憶デバイスでもよい。VOLは、実体的なVOL(RVOL)であってもよいし、仮想的なVOL(VVOL)であってもよい。「RVOL」は、そのRVOLを有するストレージシステムが有する物理的な記憶資源(例えば、1以上のRAIDグループ)に基づくVOLでよい。「VVOL」は、外部接続VOL(EVOL)と、容量拡張VOL(TPVOL)と、スナップショットVOLとのうちのいずれでもよい。EVOLは、外部のストレージシステムの記憶空間(例えばVOL)に基づいており、ストレージ仮想化技術に従うVOLでよい。TPVOLは、複数の仮想領域(仮想的な記憶領域)で構成されており容量仮想化技術(典型的にはThin Provisioning)に従うVOLでよい。
また以下の説明では、スナップショットは、オリジナルのVOLのスナップショットとして提供されるVOLまたは、論理的な記憶デバイスでもよい。
また、スナップショットの実現方式は、ある時点からある時点までにVOLに対して行われたデータ更新差分を一括して記録する方式のスナップショットで実現されて良いし、VOLに行われた全てのデータ更新を時系列で記録するCDP(Continious Data Protection)で実現されて良い。
「プール(POOL)」は、論理的な記憶領域(例えば複数のプールVOLの集合)であり、用途ごとに用意されてよい。例えば、プールとして、TPプールと、スナップショットプールとのうちの少なくとも1種類があってよい。TPプールは、複数のページ(実体的な記憶領域)で構成された記憶領域でよい。ストレージコントローラが、ホストシステム(以下、ホスト)から受信したライト要求が指定するアドレスが属する仮想領域(TPVOLの仮想領域)にページが割り当てられていない場合、その仮想領域(ライト先仮想領域)にTPプールからページを割り当てる(ライト先仮想領域にページが割り当て済であってもページが新たにライト先仮想領域に割り当てられてもよい)。
ストレージコントローラは、割り当てられたページに、そのライト要求に付随するライト対象データを書き込んでよい。スナップショットプールは、オリジナルのVOLから退避されたデータが格納される記憶領域でよい。1つのプールが、TPプールとしてもスナップショットプールとしても使用されてもよい。「プールVOL」は、プールの構成要素となるVOLでよい。プールVOLは、RVOLであってもよいしEVOLであってもよい。
また、以下の説明では、ホストから認識されるVOL(ホストに提供されるVOL)を「LDEV」と言う。以下の説明では、LDEVは、TPVOL(又はRVOL)であり、プールは、TPプールである。しかし、本発明は、容量拡張技術(Thin Provisioning)が採用されていないストレージ装置にも適用できる。
また、以下の説明では、「PVOL(Primary VOL)」はバックアップ、レプリケーション、スナップショットの元ボリュームとなるLDEVのことであり、「SVOL(Secondary VOL)」はバックアップ、レプリケーション、スナップショット先となるLDEVのことで良い。
図1は、実施例1に係るストレージ装置の構成例を示す。
ストレージ装置2000に、ネットワーク3001を介して1以上のホスト1001が接続されている。また、ストレージ装置2000に管理システム1002が接続されている。ネットワーク3001は例えばFC(Fibre Channel)やiSCSI (Internet Small Computer System Interface)である。
ホスト1001は、ホストシステムの略であり、1以上のホストである。ホスト1001は、H−I/F(ホストインタフェースデバイス)2003を有しており、H−I/F2003経由で、アクセス要求(ライト要求又はリード要求)をストレージ装置2000に送信したり、アクセス要求の応答(例えば、ライト完了を含んだライト応答、又は、リード対象チャンクを含んだリード応答)を受信したりする。H−I/F2003は、例えば、HBA(Host Bus Adapter)又はNIC(Network Interface Card)である。
管理システム1002は、ストレージ装置2000の構成及び状態を管理する。管理システム1002、M−I/F(管理インタフェースデバイス)2004を有しており、M−I/F経由で、ストレージ装置2000に命令を送信したりその命令の応答を受信したりする。M−I/F2004は、例えばNICである。
また、管理システム1002はストレージ装置2000を管理するサーバやPC上で実行されるソフトウェアで良いし、ストレージ装置2000に接続されるホスト1001の管理を行うセキュリティアプライアンスやソフトウェアの機能として実装されても良い。
ストレージ装置2000は、複数のドライブ2013と、複数のドライブ2013に接続されたストレージコントローラ2001とを有する。複数のドライブ2013を含んだ1以上のRAIDグループが構成されていてよい。
ストレージコントローラ2001は、F−I/F(フロントエンドインタフェースデバイス)2005と、B−I/F(バックエンドインタフェースデバイス)2012と、CM(キャッシュメモリ)2006と、NVRAM(Non−Volatile RAM)2007と、MPPK2009A及びMPPK2009Bと、それらの要素間の通信を中継する中継機2008とを有する。中継器は、例えばバス又はスイッチである。
F−I/Fフロントエンドインタフェース2005は、ホスト1001又は管理サーバと通信するI/Fである。B−I/Fバックエンドインタフェース2012は、ドライブドライブ2013と通信するI/Fである。B−I/Fバックエンドインタフェース2012は、E/D回路(暗号化及び復号化のためのハードウェア回路)を含んでいてよい。具体的には、例えば、B−I/Fバックエンドインタフェース2012は、SAS(Serial Attached SCSI)コントローラを含んでいてよく、SASコントローラが、E/D回路を含んでいてよい。
CM2006(例えばDRAM(Dynamic Random Access Memory)には、ドライブ2013に書き込まれるデータ又はドライブ2013から読み出されたデータがMPPK2009により一時格納される。NVRAM2007には、電断時にバッテリ(図示せず)から電力を受けたMPPK2009によりCM2006内のデータ(例えばダーティデータ(ドライブ2013に書き込まれていないデータ))が退避される。
MPPK2009A及びMPPK2009Bによりクラスタが構成されている。MPPK2009A(MPPK2009B)は、DRAM2011A(2011B)と、CPU2010A(CPU2010B)とを有する。DRAM2011A(DRAM2011B)には、CPU2010A(CPU2010B)に実行される制御プログラム3000A(制御プログラム3000B)と、CPU2010A(CPU2010)Bにより参照又は更新される管理情報4000A(管理情報4000B)とが格納される。CPU2010A(CPU2010B)は制御プログラム3000A(制御プログラム3000B)を実行することにより、例えば、ストレージ装置2000のI/O処理、アドレスの変換処理が実行される。制御プログラム3000A(制御プログラム3000B)及び管理情報4000(管理情報4000B)のうちの少なくとも一方が、複数のMPPK2009A及びMPPK2009Bに共有の記憶領域(例えばCM2006)に格納されてもよい。
<LDEVのデータ保護方法>
図2は、実施例1に係るストレージ装置内バックアップの一構成例を示す。
図2は、ホスト1001が接続するプライマリボリュームであるPVOL5002Aをストレージ装置2000内にバックアップする例を示す。
PVOL5002Aは予めストレージ装置管理者が設定したデータ保護ポリシに従って、ボリュームバックアッププログラム3003により、PVOL5002Aのデータを複製したセカンダリボリュームであるSVOL5001A、SVOL5001B、または、スナップショット5003A、スナップショット5003B、スナップショット5003Cにデータをバックアップする。ボリュームバックアッププログラム3003、LDEV監視プログラム3004、異常判定プログラム3005は、制御プログラム3000の一部を構成するプログラムである。また、ボリュームバックアッププログラム3003、LDEV監視プログラム3004、異常判定プログラム3005は、ストレージコントローラ2001のCPU2010によって実行されることで、ボリュームバックアップ部、LDEV監視部、異常判定部の各機能を実現する。
データ保護ポリシとは、具体的には、PVOL5002のデータを複製しバックアップとして作成するSVOL5001を作成するスケジュールや保管期限、リードライトの可否などのアクセスコントロールである。
また、このとき、データを複製するSVOL5001B、SVOL5001Cは、PVOL5002Aから完全にデータを複製して作成しても良いし、以前のバックアップ時点から更新された差分データのみを複製して作成しても良い。
また、スナップショット5003A、スナップショット5003B、スナップショット5003Cは、PVOL5002Aのある時点のデータ状態を再現するデータセットである。以前にスナップショットを作成した時点から更新されたデータ差分のみを次時点のスナップショットで記録することで、データ保存に必要なデータ量を削減することが可能となる。また、スナップショットはLDEVに適宜マウントすることができ、スナップショット5003CはPVOL5001Cにマウントすることで、ホスト1001がスナップショットのデータにアクセス可能になる。
LDEV監視プログラム3004は、ホスト1001がアクセスするLDEVへのアクセス情報(例えば、リードやライトのIO回数や、データの圧縮率など)や、LDEVの情報(例えば、LDEVの消費容量、データ圧縮率など)を監視するプログラムであり、管理システム1002がLDEV監視プログラム3004にアクセスすることで、ストレージ管理者は管理システム1002からLDEVの状態を把握することができる。
<LDEVデータの自動保護>
ここで、LDEVへのアクセス情報に基づいた自動的なデータ保護方法について説明する。
近年、ランサムウェアを始めとするデータ破壊型の攻撃を行うサイバー攻撃の被害が増加している。これらのランサムウェアは、感染するとITシステム内に格納されたデータを暗号化し、データを復号化のための鍵を渡す代わりに金銭を要求するという形で企業や個人に対して脅迫を行う。このため、ITシステムから接続され、そのデータを格納するストレージ装置においても、ランサムウェアからデータを保護する方法が考えられる。
暗号化を伴うランサムウェアからデータを保護するためには、バックアップを利用したデータのリストアが考えられる。しかし、ランサムウェアによるサイバー攻撃では、最初にランサムウェアの感染を発生してから被害が顕在化し、対策を講じるまでにある程度時間差があることから、データをバックアップからリストアしようとした場合においても、どの時点のデータに復元すべきかという見極めが難しいという問題もある。
そこで、本願で開示される技術では、主にデータを暗号化するランサムウェアに着目し、ランサムウェアのデータ暗号化に伴う、LDEVへのアクセス情報に基づいて、自動的にデータのバックアップやリストアポイントを設定する。
ランサムウェアによりデータが暗号化され破壊されてしまった場合においては、これら自動的に設定されたデータのバックアップやリストアポイントに基づいて、迅速にランサムウェアが破壊を行う前の状態にデータを復元することを可能とする。
具体的には、LDEV監視プログラム3004が各PVOL5002のアクセス情報を監視し、異常判定プログラム3005により、ホスト1001がPVOL5002にアクセスすることで生じる通常のPVOL5002のアクセス情報を学習する。ランサムウェアによりデータの暗号化を伴うデータ破壊などが生じた場合、PVOL5002へのアクセス情報が学習済みの通常運用とは異なるため、異常判定プログラム3005が管理システム1002を通じてストレージ管理者に異常検知を通知し、ボリュームバックアッププログラム3003を起動し、PVOL5002ごとにデータ保護ポリシで定められた方法でバックアップのSVOL5001またはスナップショット5003を作成する。
このようにすることで、PVOL5002のデータ保護ポリシで予め定義されるスケジュールされたバックアップデータの作成の他に、異常判定プログラム3005により、PVOL5002へのアクセス情報が通常時とは異なると検知した時点をバックアップデータ作成の時点とすることができる。このため、ランサムウェアによるデータ破壊活動が開始される直後または直前の時点にPVOL5002のデータを復元することが可能になるため、データ破壊前の多くのデータをバックアップから復元することが可能となる。
また、異常判定プログラム3005の具体的な実装方式は、アクセス情報を学習することの他、LDEV監視プログラム3004が取得する各種の監視値のうち、1種類または複数種類の値が予め規定された閾値をある一定期間超過することをトリガーとする統計的手法によるものでも良いし、同様の監視値を利用した機械学習アルゴリズムによるものでもよいし、または、深層学習アルゴリズムによる学習を利用する実装方式でも良い。
なお、異常判定プログラム3005はストレージ装置2000内で可動するものとしても良いし、管理システム1002またはホスト1001で可動するものとして実装されても良い。
図3は、実施例1におけるストレージ装置間リモートレプリケーションを利用したデータバックアップの例を示す。
図3では、BCP対応やDRを目的として、遠隔地に設置されたストレージ装置2000間でリモートレプリケーションを構成しながらバックアップやスナップショットを利用したデータ保護を行う実施例を示す。
図3の実施例では、ストレージ装置2000Aと、異なる遠隔のデータセンタ等に設置されたストレージ装置2000Bが、ネットワーク3001を介して接続されており、ストレージ装置2000AのPVOL5002Aと、ストレージ装置2000BのSVOL5001Aがペアの関係となるような構成を示す。
ストレージ装置2000AのPVOL5002Aと、ストレージ装置2000BのSVOL5001Aは、リモートレプリケーションのペア関係として、互いのデータが同期される。この際の同期方式はPVOL5002Aへのデータ更新と同期する方式でも良いし、非同期でPVOL5002Aへの更新差分データをSVOL5001Aに反映する方式でも良い。
なお、ストレージ装置2000Bにおいては、SVOL5001Aの予め設定されたデータ保護ポリシに基づき、ボリュームバックアッププログラム3003により、定期的にSVOL5001Aのスナップショット5003またはボリュームバックアップが取得される。
ストレージ装置2000Aでは、LDEV監視プログラム3004がホスト1001からアクセスされるPVOL5002Aのアクセス情報を監視し、異常判定プログラムが通常ホスト1001がPVOL5002Aにアクセスするアクセス情報を学習する。異常判定プログラム3005の具体的な実装方式は、アクセス情報を学習することの他、LDEV監視プログラム3004が取得する各種の監視値のうち、1種類または複数種類の値が予め規定された閾値をある一定期間超過することをトリガーとする統計的手法によるものでも良いし、同様の監視値を利用した機械学習アルゴリズムによるものでもよいし、または、深層学習アルゴリズムによる学習を利用する実装方式でも良い。
ランサムウェアなどによりPVOL5002Aのデータ破壊が行われた場合、異常判定プログラム3005がPVOL5002Aのアクセス異常を検知し、管理システム1002を通じてストレージ管理者に異常検知を通知し、ストレージ装置2000Bのボリュームバックアッププログラム3003に対し、SVOL5001Aのバックアップデータを作成指示する。
ボリュームバックアッププログラム3003は、SVOL5001Aのスナップショット5003Aを作成することで、PVOL5002Aのデータがそのレプリケーション先のSVOL5001Aによるバックアップデータ(スナップショット5003A)として保護される。
なお、ここでは、LDEV監視プログラム3004はストレージ装置2000Bで動作するものとしても良いし、異常判定プログラム3005はストレージ装置2000Bまたは管理システム1002で動作するものとしても良い。
以上のようにして、複数台のストレージ装置2000間で構築されるリモートレプリケーション構成において、データ保護ポリシに基づいて予めスケジュールされたバックアップまたはスナップショットを利用したデータバックアップの他に、アクセス情報の異常に基づく自動的なデータ保護が実現されることで、PVOL5002Aのリモートレプリケーションを構築するのみの場合と比較してデータの安全性が向上する。
図4は、実施例のストレージ装置における管理情報の構成例を示す。
管理情報4000は、複数の管理テーブルを含む。管理テーブルとして、例えば、PVOL5002やSVOL5001などのLDEVに関する情報を保持するLDEV管理テーブル4002、LDEVに論理容量を提供するプールに関する情報を保持するプール管理テーブル4001、プールに容量を提供するプールVOLに関する情報を保持するプールVOLテーブル4003、LDEVの監視情報を管理するLDEV監視情報テーブル4004、LDEVのデータ保護ポリシを管理するテーブルLDEVデータ保護ポリシテーブル4005、LDEVのデータの自動保護ポリシを管理するLDEV自動データ保護ポリシテーブル4007、PVOL5002のバックアップデータを管理するLDEVバックアップ管理テーブル4006で、管理情報4000A及び管理情報4000B間で、少なくとも一部の情報が同期してもよい。
図5は、実施例のストレージ装置の管理情報におけるLDEV管理テーブルの構成例を示す。
LDEV管理テーブル4002は、PVOL5002やSVOL5001などのLDEV毎にエントリ(レコード)を有する。各エントリが格納する情報は、LDEV番号401、LDEV容量402、VOL種別403およびプール番号404である。
LDEV番号401は、LDEVの識別番号を表す。LDEV容量402はLDEVの容量を表す。VOL種別403はLDEVの種別を表し、例えば、ストレージ装置2000の外部装置から提供される外部ボリューム「EVOL」、リモートボリューム「RVOL」またはシンプロビジョニングボリューム「TPVOL」を表す。プール番号404は、LDEVが関連付けられているプールの識別番号を表し、プール番号404が関連付けられているプール内の領域からデータ格納領域が割り当てられる。
図6は、実施例のストレージ装置の管理情報におけるプール管理テーブルの構成例を示す。
プール管理テーブル4001は、プール毎にエントリを有する。各エントリが格納する情報は、プール番号404、プール容量405、プール割当容量406およびプール使用容量407である。
プール番号404は、プールの識別番号を表す。プール容量405は、プールの定義された容量、具体的には、プールを構成する1以上のプールVOLにそれぞれ対応した1以上のVOL容量の合計を表す。プール割当容量406は、1以上のLDEVに割り当てられた実容量、具体的には、1以上のLDEVに割り当てられているページ群全体の容量を表す。プール使用容量407は、プールに格納されているデータの総量を表す。データについてデータ削減(圧縮及び重複排除のうちの少なくとも1つ)が行われた場合、データ削減後のデータ量を基にプール使用容量407がMPPK2009により算出されてよい。なお、データ圧縮をドライブ2013が行う場合、MPPK2009Aは、圧縮前のデータ量を基にプール使用容量407を算出してもよいし、圧縮後のデータ量の通知をドライブ2013から受けてその圧縮後データ量を基にプール使用容量407を算出してもよい。
図7は、実施例のストレージ装置の管理情報におけるプールVOLテーブルの構成例を示す。
プールVOLテーブル4003は、プール番号404に属するプールVOLの対応を管理するテーブルであり、プール番号404と、プール番号404毎のプールVOLサブテーブル4008とを有する。プールVOLサブテーブル4008は、プールVOL毎にエントリを有する。各エントリが格納する情報は、プールVOL番号409、PDEV種別410およびプールVOL容量411である。
プールVOL番号409は、プールを構成するVOLの識別番号を表す。PDEV種別410は、プールVOLの基になっているPDEVの種別を表す。プールVOL容量411は、プールVOLの容量を表す。
図8は、実施例のストレージ装置の管理情報におけるLDEV監視情報テーブルの構成例を示す。
LDEV監視情報テーブル4004は、LDEV毎の監視情報を管理するためのテーブルであり、LDEV番号401と、LDEV番号401毎のLDEV監視情報サブテーブル4009とを有する。
LDEV監視情報サブテーブル4009は、タイムスタンプ412毎にエントリを有し、対応するLDEVの監視した統計情報を各エントリに格納する。各エントリが格納する情報は、タイムスタンプ412、リードI/O回数413、ライトI/O回数414、データ圧縮率415、リードデータ量416、ライトデータ量417および容量増加率418である。
タイムスタンプ412はLDEVの監視情報を取得した時刻(タイムスタンプ)を表す。リードI/O回数413は直前(一定の監視期間内)のタイムスタンプ412間に生じたLDEVへのリードI/Oの回数を表す。ライトI/O回数414は直前のタイムスタンプ412間に生じたLDEVへのライトI/Oの回数を表す。データ圧縮率415は直前のタイムスタンプ412間のライトデータの圧縮率を表す。リードデータ量416は直前のタイムスタンプ412間に生じたLDEVからのリードデータ量を示す。ライトデータ量417は直前のタイムスタンプ412間に生じたLDEVへのライトデータ量を示す。容量増加率418は直前のタイムスタンプ412間に変化したLDEVの容量変化率を示す。
図9は、実施例のストレージ装置の管理情報におけるLDEVデータ保護ポリシ管理テーブルの構成例を示す。
LDEVデータ保護ポリシ管理テーブル4010は、LDEV毎のデータ保護のポリシを設定するための情報を格納するテーブルであり、LDEVのボリュームバックアップやスナップショットの取得間隔や保持期間などの情報を管理する。
LDEVデータ保護ポリシ管理テーブル4010は、LDEV毎にエントリを有し、各エントリが格納する情報は、LDEV番号401、保護モード420、リテンション期間421、取得間隔422、自動保護423、およびアクセスモード424である。
LDEV番号401はエントリが対応するLDEVの番号を表す。保護モード420はエントリが対応するLDEVの保護モードを表し、例えば、PVOL5002のデータを他のSVOL5001にコピーすることでデータ保護を行う「フルコピー」や、PVOL5002のデータのスナップショットを取得することでデータ保護を行う「スナップショット」などがある。
リテンション期間421は、保護モード420で指定されたデータ保護モードにおいて、それらのデータバックアップを保持する期間を表す。取得間隔422は、保護モード420で指定されたデータ保護モードにおいて、それらのデータ取得を行う間隔を表す。
自動保護423は、保護モード420で指定されたデータ保護モードにおいて、取得間隔422で指定された間隔以外の時点において、異常判定プログラム3005により異常と判断された時点においてもデータ保護を行うかどうかを決定するフラグを表す。
アクセスモード424は、取得されたLDEVのバックアップやスナップショットに対してホスト1001がアクセスできる許可モードを表す。例えば、「R/W」であれば、取得したSVOL5001に対してホスト1001がリードおよびライトアクセスを許可することを表し、一方「R」であれば、取得したSVOL5001に対してホスト1001はリードアクセスのみを許可するということを表す。
図10は、実施例のストレージ装置の管理情報におけるLDEV自動データ保護ポリシ管理テーブルの構成例を示す。
LDEV自動データ保護ポリシ管理テーブル4011は、LDEVデータ保護ポリシ管理テーブル4010で、自動保護423を有効に設定したLDEVに対応する、自動データ保護のポリシを設定するための情報を格納するテーブルであり、異常判定プログラム3005で利用するLDEVのアクセス情報の学習期間や異常検知の感度などを設定する。
LDEV自動データ保護ポリシ管理テーブル4011は、LDEV毎にエントリを有し、各エントリが格納する情報は、LDEV番号401、監視期間425、感度426および最新学習データ427である。
LDEV番号401はエントリが対応するLDEVの番号を表す。監視期間425は異常判定プログラム3005が対応するLDEVを監視または学習する期間を表し、この期間を対象に異常判定プログラム3005はLDEVの通常運用によるアクセス情報を学習する。感度426は異常判定プログラム3005がアクセス情報からアクセス異常を検知する感度を設定する。最新学習データ427は異常判定プログラム3005が学習した最新のLDEV監視情報テーブル4004におけるタイムスタンプ412期間を表す。感度426は、異常判定プログラム3005が異常と判定する閾値を表し、例えば、学習時の入力値に対して現在の入力値の差分が10パーセント以上の差分で異常と判定する場合、感度「高」、20パーセントの場合、感度「中」、30パーセントの場合、感度「低」と設定することができる。この入力値とは、例えば、LDEV監視情報サブテーブル4009における各種監視データであり、例えば、ライトI/O回数414の閾値より、10パーセント高い場合、感度「高」、20パーセント高い場合、感度「中」、30パーセント高い場合、感度「低」等とすることができる。ライトI/O回数414の他、リードI/O回数413、データ圧縮率415、リードデータ量416、ライトデータ量、容量増加率418についても同様に閾値を設定することができる。
図11は、実施例のストレージ装置の管理情報におけるLDEVバックアップ管理テーブルの構成例を示す。
LDEVバックアップ管理テーブル4006は、ボリュームバックアッププログラム3003がLDEVのデータ保護を行う場合において、対象のLDEVのバックアップデータを管理するための情報を格納するテーブルである。
LDEVバックアップ管理テーブル4006は、LDEV番号401と、LDEV番号401毎のバックアップデータを管理するLDEVバックアップサブテーブル4012とを有する。
LDEVバックアップサブ管理テーブル4012は、バックアップ時刻428ごとにエントリを有し、各エントリが格納する情報は、バックアップ時刻428、バックアップ種別429、取得モード430、装置ID431およびLDEV番号401あるいはSS番号432である。
バックアップ時刻428はバックアップデータを作成した時刻を表す。バックアップ種別429はバックアップデータの作成モードを表し、例えばPVOL5002のフルバックアップをSVOL5001に取得する場合は「フル」、PVOL5002の更新差分のバックアップをSVOL5001に取得する場合は「差分」、PVOL5002のスナップショットを取得する場合は「スナップショット」となる。
取得モード430はバックアップデータが作成されたモードを表し、例えばボリュームバックアッププログラム3003がLDEVデータ保護ポリシ管理テーブル4010の取得間隔422に基づいて作成されたバックアップデータの場合は「定期」となり、異常判定プログラム3005による指示でボリュームバックアッププログラム3003が作成したバックアップデータの場合は「自動」となる。装置ID431はバックアップを作成先装置のIDであり、例えばローカルサイトに設置したストレージ装置2000Aとリモートサイトに設置したストレージ装置2000Bにおいて、リモートレプリケーションを構築している場合において、どちらの装置にバックアップデータを作成したかを示す識別IDである。LDEV番号401はバックアップデータを作成したSVOL5001のLDEV番号401である。SS番号432はバックアップデータとして作成したスナップショット5003の識別番号である。
図12は、実施例のストレージ装置の異常判定プログラムにおけるLDEVアクセス情報の学習処理例を示す。
ステップS1001で異常判定プログラムは対象のLDEVを選択する。
ステップS1002で異常判定プログラムは対象のLDEVについて、LDEVデータ保護ポリシ管理テーブル4010を参照する。ステップS1003で判定プログラムは対象のLDEVについて、自動保護423が有効化されているかを判断し、有効化されていない場合は当該のLDEVは自動保護の対象外として終了する。
ステップS1004で異常判定プログラムは対象のLDEVについて、LDEV自動データ保護ポリシ管理テーブル4011を参照し、最新学習データ427を参照する。
ステップS1005で異常判定プログラムは対象のLDEVLDEVについて、現在時刻と最新学習データ427の期間が監視期間425以上経過していないかを判断し、経過していない場合は新たな学習を不要と判断して終了する。
ステップS1006で異常判定プログラムは対象のLDEVについて、LDEV監視情報テーブル4004を参照し、ステップS1007で異常判定プログラムは対象のLDEVについて、LDEV監視情報テーブル4004の最新学習データ427の最終時刻から監視期間425経過後までのタイムスタンプ412のエントリ情報を学習データとする。
ステップS1008で異常判定プログラムは対象のLDEVについて、ステップS1007で参照したLDEV監視情報サブテーブル4009におけるリードI/O回数413、ライトI/O回数414、データ圧縮率415、リードデータ量416、ライトデータ量417、容量増加率418について学習を行う。ステップS1009で異常判定プログラムは対象のLDEVについて、LDEV自動データ保護ポリシ管理テーブル4011における最新学習データ427を更新する。
図13は、実施例のストレージ装置のLDEV監視プログラムにおけるLDEVアクセスの異常検知処理フローの例を示す。
図13は、LDEV監視プログラム3004により、ストレージ装置2000のLDEVのアクセスを監視し、異常判定プログラム3005によりLDEVへのアクセス異常を検知する処理フローを示す。
ステップS2001でLDEV監視プログラム3004は対象のLDEVを選択する。
ステップS2002でLDEV監視プログラム3004は対象のLDEVについて、LDEVデータ保護ポリシ管理テーブル4010を参照する。
ステップS2003でLDEV監視プログラム3004は対象のLDEVについて、自動保護423が有効化されているかを判断し、有効化されていない場合は当該のLDEVは自動保護の対象外として終了する。
ステップS2004でLDEV監視プログラム3004は対象のLDEVについて、LDEV監視情報テーブル4004を参照する。
ステップS2005でLDEV監視プログラム3004はステップS2004で取得したLDEV監視情報を異常判定プログラム3005に送信する。ステップS2006で異常判定プログラム3005がステップS2004で受領したLDEV監視情報に基づいて、学習済みのLDEV監視情報と比較して、異常値を算出する。この異常値の算出方法は、統計的な手法に基づくものでも良いし、機械学習アルゴリズムに基づく手法でも良いし、深層学習を始めとするパターン認識による手法でも良いし、DEV監視情報サブテーブル4009における各種監視データ、例えば、ライトI/O回数の閾値と比較することにより判定しても良い。
つまり、PVOLについて、記憶した定常状態から逸脱したボリュームにおけるアクセス挙動を検知する。
ステップS2007ではステップS2006で算出した異常値が予め設定される閾値を超過しているかどうかを判断する。閾値が超過していない場合は、LDEVのアクセスが正常であるとみなし終了する。なお、この閾値はLDEV自動データ保護ポリシ管理テーブル4011における感度426に基づくものでも良いし、異常判定プログラム3005が学習時に利用した統計的手法に基づく算出値によるもので良い。
ステップS2008でシステム管理者に対象のLDEVについてアクセス異常が生じたことを通知する。
ステップS2009でボリュームバックアッププログラム3003に対象のLDEVについてデータ保護を実施指示する。これにより、コントローラは検知時点において、PVOLのバックアップデータまたはスナップショットイメージをSVOLに作成し、リストアポイントを設定して管理することができる。
以上の通り、本実施例によれば、プライマリボリュームについて、予め設定された時刻情報に基づくバックアップやスナップショットイメージの取得に加え、その監視情報に基づき、自律的にバックアップデータやスナップショットイメージを作成することができる。
また、データ破壊を目的したランサムウェアによるサイバー攻撃により、プライマリボリュームにおけるデータ破壊が生じたとしても、ストレージ管理者はストレージ装置からの通知によりサイバー攻撃を早期に発見することができ、サイバー攻撃による被害を最小化できる。
また、自律的に作成されるデータバックアップを利用することで、データのリカバリ作業に要する時間や労力を大幅に軽減することができる。
以上、一実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施形態のみに限定する趣旨ではない。本発明は他の形態でも実施することが可能である。
2000:ストレージ装置、
3000:制御プログラム、
4000:管理情報、
2001:ストレージコントローラ、
1001:ホスト、
1002:管理システム、
2003:ホストインタフェース、
2004:管理インタフェースデバイス、
3001:ネットワーク、
3002:管理ネットワーク、
2005:フロントエンドインタフェース、
2006:キャッシュメモリ、
2007:NVRAM、
2008:中継機、
2009:MPPK、
2010:CPU、
2011:DRAM、
2012:バックエンドインタフェース、
2013:ドライブ。

Claims (8)

  1. コントローラを有し、ホストに提供される第1のボリュームと、前記第1のボリュームのバックアップデータまたはスナップショットイメージを格納する第2のボリュームがあるストレージ装置において、
    前記コントローラは、
    前記第1のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、
    前記第1のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、取得した監視情報を用い前記第1のボリュームにおける通常使用における定常状態を設定し、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、前記第1のボリュームのバックアップデータまたはスナップショットイメージを前記第2のボリュームに作成し、リストアポイントを設定して管理することを特徴とするストレージ装置。
  2. 請求項1に記載のストレージ装置において、
    前記コントローラは、前記ストレージ装置に接続される管理システムに対し、前記設定したリストアポイントを通知することを特徴とするストレージ装置。
  3. 請求項1に記載のストレージ装置において、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動の検知は、前記第1のボリュームに対する定常状態の学習データによって行われることを特徴とするストレージ装置。
  4. 請求項1に記載のストレージ装置において、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動の検知は、前記第1のボリュームに対するライトI/O回数、リードI/O回数、リードデータ量、ライトデータ量、リードデータの圧縮率、ライトデータの圧縮率、または、前記第1のボリュームのデータ圧縮率、容量増加率の何れかの閾値によって行われることを特徴とするストレージ装置。
  5. 請求項1に記載のストレージ装置において、
    前記コントローラは、
    前記第1のボリュームにおけるホストのアクセス情報及びボリューム使用容量を含む監視情報を取得する監視部と、
    取得した情報を用い前記第1のボリュームにおける通常使用における定常状態を設定し、前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知する異常判定部と、
    検知時点において、自律的に前記第1のボリュームのバックアップデータまたはスナップショットイメージを前記第2のボリュームに作成するボリュームバックアップ部とを有することを特徴とするストレージ装置。
  6. 請求項1に記載のストレージ装置において、
    前記第1のボリュームと前記第2のボリュームとは、ネットワークを介して接続されている別々のストレージ装置に設けられていることを特徴とするストレージ装置。
  7. コントローラを有し、ホストに提供される第1のボリュームと、前記第1のボリュームのバックアップデータまたはスナップショットイメージを格納する第2のボリュームがあるストレージ装置において、
    前記コントローラは、
    前記第1のボリュームにおけるバックアップデータまたはスナップショットイメージをストレージ管理者により定義された間隔で定期的に取得し、
    前記第1のボリュームの保護ポリシに応じて、前記第1のボリュームの監視情報を取得し、取得した情報を用い前記第1のボリュームにおける通常使用における定常状態を記憶し、
    前記記憶した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、前記第1のボリュームのバックアップデータまたはスナップショットイメージを前記第2のボリュームに作成し、リストアポイントを設定して管理することを特徴とするストレージ装置。
  8. ホストに提供される第1のボリュームと、前記第1のボリュームのバックアップデータまたはスナップショットイメージを格納する第2のボリュームがあるストレージ装置のバックアップ方法において、
    前記ストレージ装置のコントローラが、
    前記第1のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、
    前記第1のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、
    前記取得した監視情報を用い前記第1のボリュームにおける通常使用における定常状態を設定し、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、
    検知時点において、前記第1のボリュームのバックアップデータまたはスナップショットイメージを前記第2のボリュームに作成し、
    リストアポイントを設定して管理することを特徴とするバックアップ方法。
JP2019107929A 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法 Active JP6890153B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019107929A JP6890153B2 (ja) 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法
CN202010081474.9A CN112068990A (zh) 2019-06-10 2020-02-06 将特别事件设定为还原点的存储装置和备份方法
US16/796,869 US20200387430A1 (en) 2019-06-10 2020-02-20 Storage apparatus and backup method for setting peculiar event as restore point

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019107929A JP6890153B2 (ja) 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法

Publications (2)

Publication Number Publication Date
JP2020201703A JP2020201703A (ja) 2020-12-17
JP6890153B2 true JP6890153B2 (ja) 2021-06-18

Family

ID=73650580

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019107929A Active JP6890153B2 (ja) 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法

Country Status (3)

Country Link
US (1) US20200387430A1 (ja)
JP (1) JP6890153B2 (ja)
CN (1) CN112068990A (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230026712A1 (en) * 2021-07-22 2023-01-26 Micron Technology, Inc. Generating system memory snapshot on memory sub-system with hardware accelerated input/output path
US11977636B2 (en) 2021-09-14 2024-05-07 Hitachi, Ltd. Storage transaction log
JP7436567B2 (ja) * 2022-06-16 2024-02-21 株式会社日立製作所 ストレージシステム及び不正アクセス検知方法
CN117951688A (zh) * 2022-10-31 2024-04-30 华为技术有限公司 勒索软件的检测方法及装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8191070B2 (en) * 2008-07-10 2012-05-29 Juniper Networks, Inc. Dynamic resource allocation
JP5234348B2 (ja) * 2008-11-21 2013-07-10 株式会社日立製作所 オンラインボリュームと性能/障害独立かつ容量効率の高いスナップショットを実現するストレージシステム及び方法
WO2010088550A2 (en) * 2009-01-29 2010-08-05 Breach Security, Inc. A method and apparatus for excessive access rate detection
CN103646208B (zh) * 2013-12-04 2017-05-10 华为终端有限公司 一种eMMC的监控方法及装置
CN105528300B (zh) * 2014-09-29 2019-01-08 炬芯(珠海)科技有限公司 一种ddr内存控制器及其访问监控方法
JP2016091191A (ja) * 2014-10-31 2016-05-23 キヤノンマーケティングジャパン株式会社 バックアップシステム、その制御方法、及びプログラム
US20160241576A1 (en) * 2015-02-13 2016-08-18 Canon Kabushiki Kaisha Detection of anomalous network activity
KR102378367B1 (ko) * 2015-03-20 2022-03-24 한국전자통신연구원 분산 파일 시스템
US9928003B2 (en) * 2015-05-01 2018-03-27 Hewlett Packard Enterprise Development Lp Management of writable snapshots in a network storage device
KR101940864B1 (ko) * 2016-11-14 2019-01-21 숭실대학교산학협력단 클라우드 기반의 클라이언트 장치 및 백업 방법, 이를 수행하기 위한 기록매체
CN107832189B (zh) * 2017-10-31 2020-09-01 维沃移动通信有限公司 一种i/o系统的监控方法及移动终端
US10762203B2 (en) * 2018-08-27 2020-09-01 International Business Machines Corporation Reducing impact of malware/ransomware in caching environment

Also Published As

Publication number Publication date
JP2020201703A (ja) 2020-12-17
CN112068990A (zh) 2020-12-11
US20200387430A1 (en) 2020-12-10

Similar Documents

Publication Publication Date Title
JP6890153B2 (ja) 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法
US9626115B2 (en) Threshold based incremental flashcopy backup of a raid protected array
US7490103B2 (en) Method and system for backing up data
US9600375B2 (en) Synchronized flashcopy backup restore of a RAID protected array
US7076606B2 (en) Accelerated RAID with rewind capability
US9495382B2 (en) Systems and methods for performing discrete data replication
US8396835B2 (en) Computer system and its data control method
EP2407884A2 (en) Data duplication operations in storage networks
US8214685B2 (en) Recovering from a backup copy of data in a multi-site storage system
EP1653358A2 (en) Incremental backup operations in storage networks
US20040153481A1 (en) Method and system for effective utilization of data storage capacity
CN108351821B (zh) 数据恢复方法及存储设备
JP2006059347A (ja) ジャーナリングを使用した記憶システム
US11379289B2 (en) Encryption detection
JP6494787B2 (ja) 分散ストレージシステム
US8745343B2 (en) Data duplication resynchronization with reduced time and processing requirements
US20200242265A1 (en) Detecting abnormal data access patterns
US20240126880A1 (en) Storage device with ransomware attack detection function and management system
US10776258B2 (en) Avoiding out-of-space conditions in asynchronous data replication environments
US9880765B2 (en) Copy processing management system and copy processing management method
Larson et al. Improving Availability in {VERITAS} Environments
JP2020201702A (ja) ストレージシステム及びスナップショット管理方法
JP2010282373A (ja) 災害対策システムおよび災害対策方法
Lin Remote Data Backup System For Disaster Recovery

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200316

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210311

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210427

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210524

R150 Certificate of patent or registration of utility model

Ref document number: 6890153

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150