JP6890153B2 - 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法 - Google Patents

特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法 Download PDF

Info

Publication number
JP6890153B2
JP6890153B2 JP2019107929A JP2019107929A JP6890153B2 JP 6890153 B2 JP6890153 B2 JP 6890153B2 JP 2019107929 A JP2019107929 A JP 2019107929A JP 2019107929 A JP2019107929 A JP 2019107929A JP 6890153 B2 JP6890153 B2 JP 6890153B2
Authority
JP
Japan
Prior art keywords
volume
data
storage device
ldev
backup
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019107929A
Other languages
English (en)
Other versions
JP2020201703A (ja
Inventor
和衛 弘中
和衛 弘中
貴記 松下
貴記 松下
智大 川口
智大 川口
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2019107929A priority Critical patent/JP6890153B2/ja
Priority to CN202010081474.9A priority patent/CN112068990A/zh
Priority to US16/796,869 priority patent/US20200387430A1/en
Publication of JP2020201703A publication Critical patent/JP2020201703A/ja
Application granted granted Critical
Publication of JP6890153B2 publication Critical patent/JP6890153B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1448—Management of the data involved in backup or backup restore
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G06F11/1464—Management of the backup or restore process for networked environments
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/0614—Improving the reliability of storage systems
    • G06F3/0619—Improving the reliability of storage systems in relation to data integrity, e.g. data losses, bit errors
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1448—Management of the data involved in backup or backup restore
    • G06F11/1451—Management of the data involved in backup or backup restore by selection of backup contents
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G06F11/1461—Backup scheduling policy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0646—Horizontal data movement in storage systems, i.e. moving data in between storage devices or systems
    • G06F3/065—Replication mechanisms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0655—Vertical data movement, i.e. input-output transfer; data movement between one or more hosts and one or more storage devices
    • G06F3/0658—Controller construction arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
    • G06F3/067—Distributed or networked storage systems, e.g. storage area networks [SAN], network attached storage [NAS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G06F11/1469—Backup restoration techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3034—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system component is a storage system, e.g. DASD based or network based
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3409—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment for performance assessment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3485—Performance evaluation by tracing or monitoring for I/O devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/835—Timestamp
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/84—Using snapshots, i.e. a logical point-in-time copy of the data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0653—Monitoring storage devices or systems

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Human Computer Interaction (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Retry When Errors Occur (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Description

本発明は概して、ストレージシステムにより行われるデータ処理に関する。
ストレージ装置においては、ＩＴシステムにおける事業継続計画（ＢＣＰ）の観点から、ストレージ装置に格納されるデータのバックアップを安全に格納し、また必要な時に迅速にデータを普及することが求められている。
特許文献１は、ボリュームスナップショット機能を提供するストレージシステムが開示される。特許文献１によれば、ホストに提供される第一の論理ボリュームと、第一の論理ボリュームに対応付けられた１以上のスナップショットイメージを保持するための副ボリュームを構成し、第一のボリュームに対するスナップショットの取得時点の時間的関係を示す時間関係情報を記憶し、第一のボリュームにホストがデータを書き込む場合において、ホストが書き込むべきデータ要素を格納するべき論理領域について、時間関係情報に基づき、データ要素がスナップショットイメージを構成するデータ要素であるか否かを判定することで、第一のボリュームのスナップショットイメージを取得するボリュームスナップショット技術について開示している。
特許第５６５７８０１号明細書
企業では、自然災害やサイバー攻撃などの緊急事態が生じた場合に事業の継続や復旧を図るため、ＩＴシステムの事業継続計画（ＢＣＰ ： Ｂｕｓｉｎｅｓｓ Ｃｏｎｔｉｎｕｉｔｙ Ｐｌａｎ）対応を進めている。そこで、重要なデータを格納しうるストレージシステムにおいてもこれらのＢＣＰ対応が必要となる。また、近年ランサムウェアを筆頭に、サービス破壊 （ＤｅＯＳ ： Ｄｅｓｔｒｕｃｔｉｏｎ Ｏｆ Ｓｅｒｖｉｃｅ） 型のサイバー攻撃が急増している。
これらは運用中のＩＴシステムをサービス停止に追い込むだけでなく、それらデータやバックアップをも破壊することで、ＩＴシステムやビジネス自体に甚大な被害をもたらす。このような被害からデータを保護するため、ストレージ装置ではストレージ筐体内コピー機能によるデータバックアップや遠隔地に設置した他のストレージ装置へのリモートレプリケーション機能などを提供している。
しかしながら、実際のサービス破壊型の攻撃では、ＩＴシステムが攻撃を受けてから被害が顕在化し、そして対策が実際に行われるまでに時間がかかる場合が多い。そのため、従来のバックアップのようなスケジュール管理により定期的に取得されるバックアップの運用方法では、取得されたバックアップデータがサイバー攻撃による破壊後のものであったり、あるいは、サイバー攻撃を受ける前の状態のバックアップデータであっても、最新の状態からかなり時間経過することで価値の低いバックアップデータとなっている恐れがある。
また、バックアップされたデータのリカバリ手順を考えた場合、リストアするべきバックアップデータを特定するための情報はサイバー攻撃などによる被害が顕在化し、インシデントが発覚した時刻を元にデータのリストアポイントを特定するしかなく、このため、データ破壊を伴うサイバー攻撃では、データ破壊前のリストアポイントを特定するのが難しい。
そこで、本発明の目的は、上記のデータ破壊を伴うサイバー攻撃の被害を最小化しリストア作業を容易化可能なデータバックアップ技術を有するストレージ装置およびバックアップ方法を提供する。
特に、従来のスケジュール管理されたデータバックアップやリストアポイントの設定に加え、ストレージシステムにおける各種監視情報（例えば、バックアップ対象ボリュームへのＩ／Ｏ情報やデータ圧縮率の変化、データ容量の変化）などに基づいて、通常運用時の挙動から逸脱したイベントの発生を監視し、これらをトリガーとして、自動的にデータのバックアップの設定やリストアポイントの設定を行うストレージ装置およびバックアップ方法の提供を目的とする。
上記課題を解決する本発明のストレージ装置の一態様は、コントローラを有し、ホストに提供される第１のボリュームと、第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、コントローラを有し、ホストに提供される第１のボリュームと、前第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、コントローラは、第１のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、第１のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、取得した監視情報を用い第１のボリュームにおける通常使用における定常状態を設定し、設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、第１のボリュームのバックアップデータまたはスナップショットイメージを第２のボリュームに作成し、リストアポイントを設定して管理する。
本発明の代表的な実施例によれば、第１のボリュームにおいて、予め設定された時刻情報に基づくバックアップやスナップショットイメージの取得に加え、その監視情報に基づき、自律的にバックアップデータやスナップショットイメージが作成される。このため、データ破壊を目的したランサムウェアによるサイバー攻撃により、第１のボリュームにおけるデータ破壊が生じたとしても、ストレージ管理者はストレージ装置からの通知によりサイバー攻撃を早期に発見することができ、サイバー攻撃による被害を最小化できる。
前記した以外の課題、構成および効果は、以下の実施例の説明により明らかにされる。
ストレージ装置を説明する図である。 装置内バックアップを示した図である。 リモートレプリケーションを示した図である。 管理情報を示した図である。 ＬＤＥＶ管理テーブルを説明する図である。 プール管理テーブルを説明する図である。 プールＶＯＬテーブルを説明する図である。 ＬＤＥＶ監視情報テーブルを説明する図である。 ＬＤＥＶデータ保護ポリシ管理テーブルを説明する図である。 ＬＤＥＶ自動データ保護ポリシ管理テーブルを説明する図である。 ＬＤＥＶバックアップ管理テーブルを説明する図である。 異常判定プログラムによるＬＤＥＶアクセス情報の学習フローを示した図である。 ＬＤＥＶ監視プログラムによるＬＤＥＶアクセスの異常検知フローを示した図である。
本発明の実施例について、図面を参照して説明する。
なお、以下に説明する実施例は特許請求の範囲に係る発明を限定するものではなく、実施例の中で説明されている要素の組み合わせの全てが発明の解決手段に必須であるとは限らない。また、以下の説明では、「ｘｘｘテーブル」、「ｘｘｘ リスト」、「ｘｘｘＤＢ」、「ｘｘｘキュー」等の表現で各種の情報を説明することがあるが、各種情報はテーブル、リスト、ＤＢ、キュー、等以外のデータ構造で表現されていてもよい。そのため、データ構造に依存しないことを示すため、「ｘｘｘのテーブル」、「ｘｘｘリスト」、「ｘｘｘＤ Ｂ」、「ｘｘｘキュー」等を「ｘｘｘ情報」と称することがある。
さらに、各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「名前」、「ＩＤ」という表現を用いるが、これらについてはお互いに置換が可能である。
さらに、後述する本発明の実施例は、汎用コンピュータ上で稼動するソフトウェアで実装してもよいし、専用ハードウェア又はソフトウェアとハードウェアの組み合わせで実装してもよい。
さらに、以下の説明では「プログラム」を主語として処理を説明することがあるが、プログラムはプロセッサ（例えば、ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって実行されることによって、定められた処理を記憶資源（例えば、メモリ）、通信Ｉ／Ｆ、ポートを用いて処理を実行するため、プロセッサを主語として説明してもよい。
プログラムを主語として説明された処理は、プロセッサを有する計算機（例えば、計算ホスト、ストレージ装置）が行う処理としてもよい。また、以下の説明では、「コントローラ」の表現で、プロセッサ又はプロセッサが行う処理の一部又は全部を行うハードウェア回路を指してもよい。プログラムは、プログラムソース（例えば、プログラム配布サーバや、計算機が読み取り可能な記憶メディア）から各計算機にインストールされてもよい。この場合、プログラム配布サーバはＣＰＵと記憶資源を含み、記憶資源はさらに配布プログラムと配布対象であるプログラムを記憶している。そして、配布プログラムをＣＰＵが実行することで、プログラム配布サーバのＣＰＵは配布対象のプログラムを他の計算機に配布する。
また、以下の説明では、「ＰＤＥＶ」は、物理的な記憶デバイスを意味し、典型的には、不揮発性の記憶デバイス（例えば補助記憶デバイス）でよい。ＰＤＥＶは、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）又はＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）でよい。ストレージシステムに異なる種類のＰＤＥＶが混在していてもよい。
また、以下の説明では、「ＲＡＩＤ」は、Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙ ｏｆ Ｉｎｅｘｐｅｎｓｉｖｅ Ｄｉｓｋｓの略である。ＲＡＩＤグループは、複数のＰＤＥＶ（典型的には同種のＰＤＥＶ）で構成され、そのＲＡＩＤグループに関連付けられたＲＡＩＤレベルに従いデータを記憶する。ＲＡＩＤグループは、パリティグループと呼ばれてもよい。パリティグループは、例えば、パリティを格納するＲＡＩＤグループのことでよい。
また、以下の説明では、「ＶＯＬ」はボリュームの略であり、物理的な記憶デバイスまたは、論理的な記憶デバイスでもよい。ＶＯＬは、実体的なＶＯＬ（ＲＶＯＬ）であってもよいし、仮想的なＶＯＬ（ＶＶＯＬ）であってもよい。「ＲＶＯＬ」は、そのＲＶＯＬを有するストレージシステムが有する物理的な記憶資源（例えば、１以上のＲＡＩＤグループ）に基づくＶＯＬでよい。「ＶＶＯＬ」は、外部接続ＶＯＬ（ＥＶＯＬ）と、容量拡張ＶＯＬ（ＴＰＶＯＬ）と、スナップショットＶＯＬとのうちのいずれでもよい。ＥＶＯＬは、外部のストレージシステムの記憶空間（例えばＶＯＬ）に基づいており、ストレージ仮想化技術に従うＶＯＬでよい。ＴＰＶＯＬは、複数の仮想領域（仮想的な記憶領域）で構成されており容量仮想化技術（典型的にはＴｈｉｎ Ｐｒｏｖｉｓｉｏｎｉｎｇ）に従うＶＯＬでよい。
また以下の説明では、スナップショットは、オリジナルのＶＯＬのスナップショットとして提供されるＶＯＬまたは、論理的な記憶デバイスでもよい。
また、スナップショットの実現方式は、ある時点からある時点までにＶＯＬに対して行われたデータ更新差分を一括して記録する方式のスナップショットで実現されて良いし、ＶＯＬに行われた全てのデータ更新を時系列で記録するＣＤＰ（Ｃｏｎｔｉｎｉｏｕｓ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ）で実現されて良い。
「プール（ＰＯＯＬ）」は、論理的な記憶領域（例えば複数のプールＶＯＬの集合）であり、用途ごとに用意されてよい。例えば、プールとして、ＴＰプールと、スナップショットプールとのうちの少なくとも１種類があってよい。ＴＰプールは、複数のページ（実体的な記憶領域）で構成された記憶領域でよい。ストレージコントローラが、ホストシステム（以下、ホスト）から受信したライト要求が指定するアドレスが属する仮想領域（ＴＰＶＯＬの仮想領域）にページが割り当てられていない場合、その仮想領域（ライト先仮想領域）にＴＰプールからページを割り当てる（ライト先仮想領域にページが割り当て済であってもページが新たにライト先仮想領域に割り当てられてもよい）。
ストレージコントローラは、割り当てられたページに、そのライト要求に付随するライト対象データを書き込んでよい。スナップショットプールは、オリジナルのＶＯＬから退避されたデータが格納される記憶領域でよい。１つのプールが、ＴＰプールとしてもスナップショットプールとしても使用されてもよい。「プールＶＯＬ」は、プールの構成要素となるＶＯＬでよい。プールＶＯＬは、ＲＶＯＬであってもよいしＥＶＯＬであってもよい。
また、以下の説明では、ホストから認識されるＶＯＬ（ホストに提供されるＶＯＬ）を「ＬＤＥＶ」と言う。以下の説明では、ＬＤＥＶは、ＴＰＶＯＬ（又はＲＶＯＬ）であり、プールは、ＴＰプールである。しかし、本発明は、容量拡張技術（Ｔｈｉｎ Ｐｒｏｖｉｓｉｏｎｉｎｇ）が採用されていないストレージ装置にも適用できる。
また、以下の説明では、「ＰＶＯＬ（Ｐｒｉｍａｒｙ ＶＯＬ）」はバックアップ、レプリケーション、スナップショットの元ボリュームとなるＬＤＥＶのことであり、「ＳＶＯＬ（Ｓｅｃｏｎｄａｒｙ ＶＯＬ）」はバックアップ、レプリケーション、スナップショット先となるＬＤＥＶのことで良い。
図１は、実施例１に係るストレージ装置の構成例を示す。
ストレージ装置２０００に、ネットワーク３００１を介して１以上のホスト１００１が接続されている。また、ストレージ装置２０００に管理システム１００２が接続されている。ネットワーク３００１は例えばＦＣ（Ｆｉｂｒｅ Ｃｈａｎｎｅｌ）やｉＳＣＳＩ （Ｉｎｔｅｒｎｅｔ Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）である。
ホスト１００１は、ホストシステムの略であり、１以上のホストである。ホスト１００１は、Ｈ−Ｉ／Ｆ（ホストインタフェースデバイス）２００３を有しており、Ｈ−Ｉ／Ｆ２００３経由で、アクセス要求（ライト要求又はリード要求）をストレージ装置２０００に送信したり、アクセス要求の応答（例えば、ライト完了を含んだライト応答、又は、リード対象チャンクを含んだリード応答）を受信したりする。Ｈ−Ｉ／Ｆ２００３は、例えば、ＨＢＡ（Ｈｏｓｔ Ｂｕｓ Ａｄａｐｔｅｒ）又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
管理システム１００２は、ストレージ装置２０００の構成及び状態を管理する。管理システム１００２、Ｍ−Ｉ／Ｆ（管理インタフェースデバイス）２００４を有しており、Ｍ−Ｉ／Ｆ経由で、ストレージ装置２０００に命令を送信したりその命令の応答を受信したりする。Ｍ−Ｉ／Ｆ２００４は、例えばＮＩＣである。
また、管理システム１００２はストレージ装置２０００を管理するサーバやＰＣ上で実行されるソフトウェアで良いし、ストレージ装置２０００に接続されるホスト１００１の管理を行うセキュリティアプライアンスやソフトウェアの機能として実装されても良い。
ストレージ装置２０００は、複数のドライブ２０１３と、複数のドライブ２０１３に接続されたストレージコントローラ２００１とを有する。複数のドライブ２０１３を含んだ１以上のＲＡＩＤグループが構成されていてよい。
ストレージコントローラ２００１は、Ｆ−Ｉ／Ｆ（フロントエンドインタフェースデバイス）２００５と、Ｂ−Ｉ／Ｆ（バックエンドインタフェースデバイス）２０１２と、ＣＭ（キャッシュメモリ）２００６と、ＮＶＲＡＭ（Ｎｏｎ−Ｖｏｌａｔｉｌｅ ＲＡＭ）２００７と、ＭＰＰＫ２００９Ａ及びＭＰＰＫ２００９Ｂと、それらの要素間の通信を中継する中継機２００８とを有する。中継器は、例えばバス又はスイッチである。
Ｆ−Ｉ／Ｆフロントエンドインタフェース２００５は、ホスト１００１又は管理サーバと通信するＩ／Ｆである。Ｂ−Ｉ／Ｆバックエンドインタフェース２０１２は、ドライブドライブ２０１３と通信するＩ／Ｆである。Ｂ−Ｉ／Ｆバックエンドインタフェース２０１２は、Ｅ／Ｄ回路（暗号化及び復号化のためのハードウェア回路）を含んでいてよい。具体的には、例えば、Ｂ−Ｉ／Ｆバックエンドインタフェース２０１２は、ＳＡＳ（Ｓｅｒｉａｌ Ａｔｔａｃｈｅｄ ＳＣＳＩ）コントローラを含んでいてよく、ＳＡＳコントローラが、Ｅ／Ｄ回路を含んでいてよい。
ＣＭ２００６（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）には、ドライブ２０１３に書き込まれるデータ又はドライブ２０１３から読み出されたデータがＭＰＰＫ２００９により一時格納される。ＮＶＲＡＭ２００７には、電断時にバッテリ（図示せず）から電力を受けたＭＰＰＫ２００９によりＣＭ２００６内のデータ（例えばダーティデータ（ドライブ２０１３に書き込まれていないデータ））が退避される。
ＭＰＰＫ２００９Ａ及びＭＰＰＫ２００９Ｂによりクラスタが構成されている。ＭＰＰＫ２００９Ａ（ＭＰＰＫ２００９Ｂ）は、ＤＲＡＭ２０１１Ａ（２０１１Ｂ）と、ＣＰＵ２０１０Ａ（ＣＰＵ２０１０Ｂ）とを有する。ＤＲＡＭ２０１１Ａ（ＤＲＡＭ２０１１Ｂ）には、ＣＰＵ２０１０Ａ（ＣＰＵ２０１０Ｂ）に実行される制御プログラム３０００Ａ（制御プログラム３０００Ｂ）と、ＣＰＵ２０１０Ａ（ＣＰＵ２０１０）Ｂにより参照又は更新される管理情報４０００Ａ（管理情報４０００Ｂ）とが格納される。ＣＰＵ２０１０Ａ（ＣＰＵ２０１０Ｂ）は制御プログラム３０００Ａ（制御プログラム３０００Ｂ）を実行することにより、例えば、ストレージ装置２０００のＩ／Ｏ処理、アドレスの変換処理が実行される。制御プログラム３０００Ａ（制御プログラム３０００Ｂ）及び管理情報４０００（管理情報４０００Ｂ）のうちの少なくとも一方が、複数のＭＰＰＫ２００９Ａ及びＭＰＰＫ２００９Ｂに共有の記憶領域（例えばＣＭ２００６）に格納されてもよい。
＜ＬＤＥＶのデータ保護方法＞
図２は、実施例１に係るストレージ装置内バックアップの一構成例を示す。
図２は、ホスト１００１が接続するプライマリボリュームであるＰＶＯＬ５００２Ａをストレージ装置２０００内にバックアップする例を示す。
ＰＶＯＬ５００２Ａは予めストレージ装置管理者が設定したデータ保護ポリシに従って、ボリュームバックアッププログラム３００３により、ＰＶＯＬ５００２Ａのデータを複製したセカンダリボリュームであるＳＶＯＬ５００１Ａ、ＳＶＯＬ５００１Ｂ、または、スナップショット５００３Ａ、スナップショット５００３Ｂ、スナップショット５００３Ｃにデータをバックアップする。ボリュームバックアッププログラム３００３、ＬＤＥＶ監視プログラム３００４、異常判定プログラム３００５は、制御プログラム３０００の一部を構成するプログラムである。また、ボリュームバックアッププログラム３００３、ＬＤＥＶ監視プログラム３００４、異常判定プログラム３００５は、ストレージコントローラ２００１のＣＰＵ２０１０によって実行されることで、ボリュームバックアップ部、ＬＤＥＶ監視部、異常判定部の各機能を実現する。
データ保護ポリシとは、具体的には、ＰＶＯＬ５００２のデータを複製しバックアップとして作成するＳＶＯＬ５００１を作成するスケジュールや保管期限、リードライトの可否などのアクセスコントロールである。
また、このとき、データを複製するＳＶＯＬ５００１Ｂ、ＳＶＯＬ５００１Ｃは、ＰＶＯＬ５００２Ａから完全にデータを複製して作成しても良いし、以前のバックアップ時点から更新された差分データのみを複製して作成しても良い。
また、スナップショット５００３Ａ、スナップショット５００３Ｂ、スナップショット５００３Ｃは、ＰＶＯＬ５００２Ａのある時点のデータ状態を再現するデータセットである。以前にスナップショットを作成した時点から更新されたデータ差分のみを次時点のスナップショットで記録することで、データ保存に必要なデータ量を削減することが可能となる。また、スナップショットはＬＤＥＶに適宜マウントすることができ、スナップショット５００３ＣはＰＶＯＬ５００１Ｃにマウントすることで、ホスト１００１がスナップショットのデータにアクセス可能になる。
ＬＤＥＶ監視プログラム３００４は、ホスト１００１がアクセスするＬＤＥＶへのアクセス情報（例えば、リードやライトのＩＯ回数や、データの圧縮率など）や、ＬＤＥＶの情報（例えば、ＬＤＥＶの消費容量、データ圧縮率など）を監視するプログラムであり、管理システム１００２がＬＤＥＶ監視プログラム３００４にアクセスすることで、ストレージ管理者は管理システム１００２からＬＤＥＶの状態を把握することができる。
＜ＬＤＥＶデータの自動保護＞
ここで、ＬＤＥＶへのアクセス情報に基づいた自動的なデータ保護方法について説明する。
近年、ランサムウェアを始めとするデータ破壊型の攻撃を行うサイバー攻撃の被害が増加している。これらのランサムウェアは、感染するとＩＴシステム内に格納されたデータを暗号化し、データを復号化のための鍵を渡す代わりに金銭を要求するという形で企業や個人に対して脅迫を行う。このため、ＩＴシステムから接続され、そのデータを格納するストレージ装置においても、ランサムウェアからデータを保護する方法が考えられる。
暗号化を伴うランサムウェアからデータを保護するためには、バックアップを利用したデータのリストアが考えられる。しかし、ランサムウェアによるサイバー攻撃では、最初にランサムウェアの感染を発生してから被害が顕在化し、対策を講じるまでにある程度時間差があることから、データをバックアップからリストアしようとした場合においても、どの時点のデータに復元すべきかという見極めが難しいという問題もある。
そこで、本願で開示される技術では、主にデータを暗号化するランサムウェアに着目し、ランサムウェアのデータ暗号化に伴う、ＬＤＥＶへのアクセス情報に基づいて、自動的にデータのバックアップやリストアポイントを設定する。
ランサムウェアによりデータが暗号化され破壊されてしまった場合においては、これら自動的に設定されたデータのバックアップやリストアポイントに基づいて、迅速にランサムウェアが破壊を行う前の状態にデータを復元することを可能とする。
具体的には、ＬＤＥＶ監視プログラム３００４が各ＰＶＯＬ５００２のアクセス情報を監視し、異常判定プログラム３００５により、ホスト１００１がＰＶＯＬ５００２にアクセスすることで生じる通常のＰＶＯＬ５００２のアクセス情報を学習する。ランサムウェアによりデータの暗号化を伴うデータ破壊などが生じた場合、ＰＶＯＬ５００２へのアクセス情報が学習済みの通常運用とは異なるため、異常判定プログラム３００５が管理システム１００２を通じてストレージ管理者に異常検知を通知し、ボリュームバックアッププログラム３００３を起動し、ＰＶＯＬ５００２ごとにデータ保護ポリシで定められた方法でバックアップのＳＶＯＬ５００１またはスナップショット５００３を作成する。
このようにすることで、ＰＶＯＬ５００２のデータ保護ポリシで予め定義されるスケジュールされたバックアップデータの作成の他に、異常判定プログラム３００５により、ＰＶＯＬ５００２へのアクセス情報が通常時とは異なると検知した時点をバックアップデータ作成の時点とすることができる。このため、ランサムウェアによるデータ破壊活動が開始される直後または直前の時点にＰＶＯＬ５００２のデータを復元することが可能になるため、データ破壊前の多くのデータをバックアップから復元することが可能となる。
また、異常判定プログラム３００５の具体的な実装方式は、アクセス情報を学習することの他、ＬＤＥＶ監視プログラム３００４が取得する各種の監視値のうち、１種類または複数種類の値が予め規定された閾値をある一定期間超過することをトリガーとする統計的手法によるものでも良いし、同様の監視値を利用した機械学習アルゴリズムによるものでもよいし、または、深層学習アルゴリズムによる学習を利用する実装方式でも良い。
なお、異常判定プログラム３００５はストレージ装置２０００内で可動するものとしても良いし、管理システム１００２またはホスト１００１で可動するものとして実装されても良い。
図３は、実施例１におけるストレージ装置間リモートレプリケーションを利用したデータバックアップの例を示す。
図３では、ＢＣＰ対応やＤＲを目的として、遠隔地に設置されたストレージ装置２０００間でリモートレプリケーションを構成しながらバックアップやスナップショットを利用したデータ保護を行う実施例を示す。
図３の実施例では、ストレージ装置２０００Ａと、異なる遠隔のデータセンタ等に設置されたストレージ装置２０００Ｂが、ネットワーク３００１を介して接続されており、ストレージ装置２０００ＡのＰＶＯＬ５００２Ａと、ストレージ装置２０００ＢのＳＶＯＬ５００１Ａがペアの関係となるような構成を示す。
ストレージ装置２０００ＡのＰＶＯＬ５００２Ａと、ストレージ装置２０００ＢのＳＶＯＬ５００１Ａは、リモートレプリケーションのペア関係として、互いのデータが同期される。この際の同期方式はＰＶＯＬ５００２Ａへのデータ更新と同期する方式でも良いし、非同期でＰＶＯＬ５００２Ａへの更新差分データをＳＶＯＬ５００１Ａに反映する方式でも良い。
なお、ストレージ装置２０００Ｂにおいては、ＳＶＯＬ５００１Ａの予め設定されたデータ保護ポリシに基づき、ボリュームバックアッププログラム３００３により、定期的にＳＶＯＬ５００１Ａのスナップショット５００３またはボリュームバックアップが取得される。
ストレージ装置２０００Ａでは、ＬＤＥＶ監視プログラム３００４がホスト１００１からアクセスされるＰＶＯＬ５００２Ａのアクセス情報を監視し、異常判定プログラムが通常ホスト１００１がＰＶＯＬ５００２Ａにアクセスするアクセス情報を学習する。異常判定プログラム３００５の具体的な実装方式は、アクセス情報を学習することの他、ＬＤＥＶ監視プログラム３００４が取得する各種の監視値のうち、１種類または複数種類の値が予め規定された閾値をある一定期間超過することをトリガーとする統計的手法によるものでも良いし、同様の監視値を利用した機械学習アルゴリズムによるものでもよいし、または、深層学習アルゴリズムによる学習を利用する実装方式でも良い。
ランサムウェアなどによりＰＶＯＬ５００２Ａのデータ破壊が行われた場合、異常判定プログラム３００５がＰＶＯＬ５００２Ａのアクセス異常を検知し、管理システム１００２を通じてストレージ管理者に異常検知を通知し、ストレージ装置２０００Ｂのボリュームバックアッププログラム３００３に対し、ＳＶＯＬ５００１Ａのバックアップデータを作成指示する。
ボリュームバックアッププログラム３００３は、ＳＶＯＬ５００１Ａのスナップショット５００３Ａを作成することで、ＰＶＯＬ５００２Ａのデータがそのレプリケーション先のＳＶＯＬ５００１Ａによるバックアップデータ（スナップショット５００３Ａ）として保護される。
なお、ここでは、ＬＤＥＶ監視プログラム３００４はストレージ装置２０００Ｂで動作するものとしても良いし、異常判定プログラム３００５はストレージ装置２０００Ｂまたは管理システム１００２で動作するものとしても良い。
以上のようにして、複数台のストレージ装置２０００間で構築されるリモートレプリケーション構成において、データ保護ポリシに基づいて予めスケジュールされたバックアップまたはスナップショットを利用したデータバックアップの他に、アクセス情報の異常に基づく自動的なデータ保護が実現されることで、ＰＶＯＬ５００２Ａのリモートレプリケーションを構築するのみの場合と比較してデータの安全性が向上する。
図４は、実施例のストレージ装置における管理情報の構成例を示す。
管理情報４０００は、複数の管理テーブルを含む。管理テーブルとして、例えば、ＰＶＯＬ５００２やＳＶＯＬ５００１などのＬＤＥＶに関する情報を保持するＬＤＥＶ管理テーブル４００２、ＬＤＥＶに論理容量を提供するプールに関する情報を保持するプール管理テーブル４００１、プールに容量を提供するプールＶＯＬに関する情報を保持するプールＶＯＬテーブル４００３、ＬＤＥＶの監視情報を管理するＬＤＥＶ監視情報テーブル４００４、ＬＤＥＶのデータ保護ポリシを管理するテーブルＬＤＥＶデータ保護ポリシテーブル４００５、ＬＤＥＶのデータの自動保護ポリシを管理するＬＤＥＶ自動データ保護ポリシテーブル４００７、ＰＶＯＬ５００２のバックアップデータを管理するＬＤＥＶバックアップ管理テーブル４００６で、管理情報４０００Ａ及び管理情報４０００Ｂ間で、少なくとも一部の情報が同期してもよい。
図５は、実施例のストレージ装置の管理情報におけるＬＤＥＶ管理テーブルの構成例を示す。
ＬＤＥＶ管理テーブル４００２は、ＰＶＯＬ５００２やＳＶＯＬ５００１などのＬＤＥＶ毎にエントリ（レコード）を有する。各エントリが格納する情報は、ＬＤＥＶ番号４０１、ＬＤＥＶ容量４０２、ＶＯＬ種別４０３およびプール番号４０４である。
ＬＤＥＶ番号４０１は、ＬＤＥＶの識別番号を表す。ＬＤＥＶ容量４０２はＬＤＥＶの容量を表す。ＶＯＬ種別４０３はＬＤＥＶの種別を表し、例えば、ストレージ装置２０００の外部装置から提供される外部ボリューム「ＥＶＯＬ」、リモートボリューム「ＲＶＯＬ」またはシンプロビジョニングボリューム「ＴＰＶＯＬ」を表す。プール番号４０４は、ＬＤＥＶが関連付けられているプールの識別番号を表し、プール番号４０４が関連付けられているプール内の領域からデータ格納領域が割り当てられる。
図６は、実施例のストレージ装置の管理情報におけるプール管理テーブルの構成例を示す。
プール管理テーブル４００１は、プール毎にエントリを有する。各エントリが格納する情報は、プール番号４０４、プール容量４０５、プール割当容量４０６およびプール使用容量４０７である。
プール番号４０４は、プールの識別番号を表す。プール容量４０５は、プールの定義された容量、具体的には、プールを構成する１以上のプールＶＯＬにそれぞれ対応した１以上のＶＯＬ容量の合計を表す。プール割当容量４０６は、１以上のＬＤＥＶに割り当てられた実容量、具体的には、１以上のＬＤＥＶに割り当てられているページ群全体の容量を表す。プール使用容量４０７は、プールに格納されているデータの総量を表す。データについてデータ削減（圧縮及び重複排除のうちの少なくとも１つ）が行われた場合、データ削減後のデータ量を基にプール使用容量４０７がＭＰＰＫ２００９により算出されてよい。なお、データ圧縮をドライブ２０１３が行う場合、ＭＰＰＫ２００９Ａは、圧縮前のデータ量を基にプール使用容量４０７を算出してもよいし、圧縮後のデータ量の通知をドライブ２０１３から受けてその圧縮後データ量を基にプール使用容量４０７を算出してもよい。
図７は、実施例のストレージ装置の管理情報におけるプールＶＯＬテーブルの構成例を示す。
プールＶＯＬテーブル４００３は、プール番号４０４に属するプールＶＯＬの対応を管理するテーブルであり、プール番号４０４と、プール番号４０４毎のプールＶＯＬサブテーブル４００８とを有する。プールＶＯＬサブテーブル４００８は、プールＶＯＬ毎にエントリを有する。各エントリが格納する情報は、プールＶＯＬ番号４０９、ＰＤＥＶ種別４１０およびプールＶＯＬ容量４１１である。
プールＶＯＬ番号４０９は、プールを構成するＶＯＬの識別番号を表す。ＰＤＥＶ種別４１０は、プールＶＯＬの基になっているＰＤＥＶの種別を表す。プールＶＯＬ容量４１１は、プールＶＯＬの容量を表す。
図８は、実施例のストレージ装置の管理情報におけるＬＤＥＶ監視情報テーブルの構成例を示す。
ＬＤＥＶ監視情報テーブル４００４は、ＬＤＥＶ毎の監視情報を管理するためのテーブルであり、ＬＤＥＶ番号４０１と、ＬＤＥＶ番号４０１毎のＬＤＥＶ監視情報サブテーブル４００９とを有する。
ＬＤＥＶ監視情報サブテーブル４００９は、タイムスタンプ４１２毎にエントリを有し、対応するＬＤＥＶの監視した統計情報を各エントリに格納する。各エントリが格納する情報は、タイムスタンプ４１２、リードＩ／Ｏ回数４１３、ライトＩ／Ｏ回数４１４、データ圧縮率４１５、リードデータ量４１６、ライトデータ量４１７および容量増加率４１８である。
タイムスタンプ４１２はＬＤＥＶの監視情報を取得した時刻（タイムスタンプ）を表す。リードＩ／Ｏ回数４１３は直前（一定の監視期間内）のタイムスタンプ４１２間に生じたＬＤＥＶへのリードＩ／Ｏの回数を表す。ライトＩ／Ｏ回数４１４は直前のタイムスタンプ４１２間に生じたＬＤＥＶへのライトＩ／Ｏの回数を表す。データ圧縮率４１５は直前のタイムスタンプ４１２間のライトデータの圧縮率を表す。リードデータ量４１６は直前のタイムスタンプ４１２間に生じたＬＤＥＶからのリードデータ量を示す。ライトデータ量４１７は直前のタイムスタンプ４１２間に生じたＬＤＥＶへのライトデータ量を示す。容量増加率４１８は直前のタイムスタンプ４１２間に変化したＬＤＥＶの容量変化率を示す。
図９は、実施例のストレージ装置の管理情報におけるＬＤＥＶデータ保護ポリシ管理テーブルの構成例を示す。
ＬＤＥＶデータ保護ポリシ管理テーブル４０１０は、ＬＤＥＶ毎のデータ保護のポリシを設定するための情報を格納するテーブルであり、ＬＤＥＶのボリュームバックアップやスナップショットの取得間隔や保持期間などの情報を管理する。
ＬＤＥＶデータ保護ポリシ管理テーブル４０１０は、ＬＤＥＶ毎にエントリを有し、各エントリが格納する情報は、ＬＤＥＶ番号４０１、保護モード４２０、リテンション期間４２１、取得間隔４２２、自動保護４２３、およびアクセスモード４２４である。
ＬＤＥＶ番号４０１はエントリが対応するＬＤＥＶの番号を表す。保護モード４２０はエントリが対応するＬＤＥＶの保護モードを表し、例えば、ＰＶＯＬ５００２のデータを他のＳＶＯＬ５００１にコピーすることでデータ保護を行う「フルコピー」や、ＰＶＯＬ５００２のデータのスナップショットを取得することでデータ保護を行う「スナップショット」などがある。
リテンション期間４２１は、保護モード４２０で指定されたデータ保護モードにおいて、それらのデータバックアップを保持する期間を表す。取得間隔４２２は、保護モード４２０で指定されたデータ保護モードにおいて、それらのデータ取得を行う間隔を表す。
自動保護４２３は、保護モード４２０で指定されたデータ保護モードにおいて、取得間隔４２２で指定された間隔以外の時点において、異常判定プログラム３００５により異常と判断された時点においてもデータ保護を行うかどうかを決定するフラグを表す。
アクセスモード４２４は、取得されたＬＤＥＶのバックアップやスナップショットに対してホスト１００１がアクセスできる許可モードを表す。例えば、「Ｒ／Ｗ」であれば、取得したＳＶＯＬ５００１に対してホスト１００１がリードおよびライトアクセスを許可することを表し、一方「Ｒ」であれば、取得したＳＶＯＬ５００１に対してホスト１００１はリードアクセスのみを許可するということを表す。
図１０は、実施例のストレージ装置の管理情報におけるＬＤＥＶ自動データ保護ポリシ管理テーブルの構成例を示す。
ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１は、ＬＤＥＶデータ保護ポリシ管理テーブル４０１０で、自動保護４２３を有効に設定したＬＤＥＶに対応する、自動データ保護のポリシを設定するための情報を格納するテーブルであり、異常判定プログラム３００５で利用するＬＤＥＶのアクセス情報の学習期間や異常検知の感度などを設定する。
ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１は、ＬＤＥＶ毎にエントリを有し、各エントリが格納する情報は、ＬＤＥＶ番号４０１、監視期間４２５、感度４２６および最新学習データ４２７である。
ＬＤＥＶ番号４０１はエントリが対応するＬＤＥＶの番号を表す。監視期間４２５は異常判定プログラム３００５が対応するＬＤＥＶを監視または学習する期間を表し、この期間を対象に異常判定プログラム３００５はＬＤＥＶの通常運用によるアクセス情報を学習する。感度４２６は異常判定プログラム３００５がアクセス情報からアクセス異常を検知する感度を設定する。最新学習データ４２７は異常判定プログラム３００５が学習した最新のＬＤＥＶ監視情報テーブル４００４におけるタイムスタンプ４１２期間を表す。感度４２６は、異常判定プログラム３００５が異常と判定する閾値を表し、例えば、学習時の入力値に対して現在の入力値の差分が１０パーセント以上の差分で異常と判定する場合、感度「高」、２０パーセントの場合、感度「中」、３０パーセントの場合、感度「低」と設定することができる。この入力値とは、例えば、ＬＤＥＶ監視情報サブテーブル４００９における各種監視データであり、例えば、ライトＩ／Ｏ回数４１４の閾値より、１０パーセント高い場合、感度「高」、２０パーセント高い場合、感度「中」、３０パーセント高い場合、感度「低」等とすることができる。ライトＩ／Ｏ回数４１４の他、リードＩ／Ｏ回数４１３、データ圧縮率４１５、リードデータ量４１６、ライトデータ量、容量増加率４１８についても同様に閾値を設定することができる。
図１１は、実施例のストレージ装置の管理情報におけるＬＤＥＶバックアップ管理テーブルの構成例を示す。
ＬＤＥＶバックアップ管理テーブル４００６は、ボリュームバックアッププログラム３００３がＬＤＥＶのデータ保護を行う場合において、対象のＬＤＥＶのバックアップデータを管理するための情報を格納するテーブルである。
ＬＤＥＶバックアップ管理テーブル４００６は、ＬＤＥＶ番号４０１と、ＬＤＥＶ番号４０１毎のバックアップデータを管理するＬＤＥＶバックアップサブテーブル４０１２とを有する。
ＬＤＥＶバックアップサブ管理テーブル４０１２は、バックアップ時刻４２８ごとにエントリを有し、各エントリが格納する情報は、バックアップ時刻４２８、バックアップ種別４２９、取得モード４３０、装置ＩＤ４３１およびＬＤＥＶ番号４０１あるいはＳＳ番号４３２である。
バックアップ時刻４２８はバックアップデータを作成した時刻を表す。バックアップ種別４２９はバックアップデータの作成モードを表し、例えばＰＶＯＬ５００２のフルバックアップをＳＶＯＬ５００１に取得する場合は「フル」、ＰＶＯＬ５００２の更新差分のバックアップをＳＶＯＬ５００１に取得する場合は「差分」、ＰＶＯＬ５００２のスナップショットを取得する場合は「スナップショット」となる。
取得モード４３０はバックアップデータが作成されたモードを表し、例えばボリュームバックアッププログラム３００３がＬＤＥＶデータ保護ポリシ管理テーブル４０１０の取得間隔４２２に基づいて作成されたバックアップデータの場合は「定期」となり、異常判定プログラム３００５による指示でボリュームバックアッププログラム３００３が作成したバックアップデータの場合は「自動」となる。装置ＩＤ４３１はバックアップを作成先装置のＩＤであり、例えばローカルサイトに設置したストレージ装置２０００Ａとリモートサイトに設置したストレージ装置２０００Ｂにおいて、リモートレプリケーションを構築している場合において、どちらの装置にバックアップデータを作成したかを示す識別ＩＤである。ＬＤＥＶ番号４０１はバックアップデータを作成したＳＶＯＬ５００１のＬＤＥＶ番号４０１である。ＳＳ番号４３２はバックアップデータとして作成したスナップショット５００３の識別番号である。
図１２は、実施例のストレージ装置の異常判定プログラムにおけるＬＤＥＶアクセス情報の学習処理例を示す。
ステップＳ１００１で異常判定プログラムは対象のＬＤＥＶを選択する。
ステップＳ１００２で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶデータ保護ポリシ管理テーブル４０１０を参照する。ステップＳ１００３で判定プログラムは対象のＬＤＥＶについて、自動保護４２３が有効化されているかを判断し、有効化されていない場合は当該のＬＤＥＶは自動保護の対象外として終了する。
ステップＳ１００４で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１を参照し、最新学習データ４２７を参照する。
ステップＳ１００５で異常判定プログラムは対象のＬＤＥＶＬＤＥＶについて、現在時刻と最新学習データ４２７の期間が監視期間４２５以上経過していないかを判断し、経過していない場合は新たな学習を不要と判断して終了する。
ステップＳ１００６で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ監視情報テーブル４００４を参照し、ステップＳ１００７で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ監視情報テーブル４００４の最新学習データ４２７の最終時刻から監視期間４２５経過後までのタイムスタンプ４１２のエントリ情報を学習データとする。
ステップＳ１００８で異常判定プログラムは対象のＬＤＥＶについて、ステップＳ１００７で参照したＬＤＥＶ監視情報サブテーブル４００９におけるリードＩ／Ｏ回数４１３、ライトＩ／Ｏ回数４１４、データ圧縮率４１５、リードデータ量４１６、ライトデータ量４１７、容量増加率４１８について学習を行う。ステップＳ１００９で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１における最新学習データ４２７を更新する。
図１３は、実施例のストレージ装置のＬＤＥＶ監視プログラムにおけるＬＤＥＶアクセスの異常検知処理フローの例を示す。
図１３は、ＬＤＥＶ監視プログラム３００４により、ストレージ装置２０００のＬＤＥＶのアクセスを監視し、異常判定プログラム３００５によりＬＤＥＶへのアクセス異常を検知する処理フローを示す。
ステップＳ２００１でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶを選択する。
ステップＳ２００２でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶについて、ＬＤＥＶデータ保護ポリシ管理テーブル４０１０を参照する。
ステップＳ２００３でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶについて、自動保護４２３が有効化されているかを判断し、有効化されていない場合は当該のＬＤＥＶは自動保護の対象外として終了する。
ステップＳ２００４でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶについて、ＬＤＥＶ監視情報テーブル４００４を参照する。
ステップＳ２００５でＬＤＥＶ監視プログラム３００４はステップＳ２００４で取得したＬＤＥＶ監視情報を異常判定プログラム３００５に送信する。ステップＳ２００６で異常判定プログラム３００５がステップＳ２００４で受領したＬＤＥＶ監視情報に基づいて、学習済みのＬＤＥＶ監視情報と比較して、異常値を算出する。この異常値の算出方法は、統計的な手法に基づくものでも良いし、機械学習アルゴリズムに基づく手法でも良いし、深層学習を始めとするパターン認識による手法でも良いし、ＤＥＶ監視情報サブテーブル４００９における各種監視データ、例えば、ライトＩ／Ｏ回数の閾値と比較することにより判定しても良い。
つまり、ＰＶＯＬについて、記憶した定常状態から逸脱したボリュームにおけるアクセス挙動を検知する。
ステップＳ２００７ではステップＳ２００６で算出した異常値が予め設定される閾値を超過しているかどうかを判断する。閾値が超過していない場合は、ＬＤＥＶのアクセスが正常であるとみなし終了する。なお、この閾値はＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１における感度４２６に基づくものでも良いし、異常判定プログラム３００５が学習時に利用した統計的手法に基づく算出値によるもので良い。
ステップＳ２００８でシステム管理者に対象のＬＤＥＶについてアクセス異常が生じたことを通知する。
ステップＳ２００９でボリュームバックアッププログラム３００３に対象のＬＤＥＶについてデータ保護を実施指示する。これにより、コントローラは検知時点において、ＰＶＯＬのバックアップデータまたはスナップショットイメージをＳＶＯＬに作成し、リストアポイントを設定して管理することができる。
以上の通り、本実施例によれば、プライマリボリュームについて、予め設定された時刻情報に基づくバックアップやスナップショットイメージの取得に加え、その監視情報に基づき、自律的にバックアップデータやスナップショットイメージを作成することができる。
また、データ破壊を目的したランサムウェアによるサイバー攻撃により、プライマリボリュームにおけるデータ破壊が生じたとしても、ストレージ管理者はストレージ装置からの通知によりサイバー攻撃を早期に発見することができ、サイバー攻撃による被害を最小化できる。
また、自律的に作成されるデータバックアップを利用することで、データのリカバリ作業に要する時間や労力を大幅に軽減することができる。
以上、一実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施形態のみに限定する趣旨ではない。本発明は他の形態でも実施することが可能である。
２０００：ストレージ装置、
３０００：制御プログラム、
４０００：管理情報、
２００１：ストレージコントローラ、
１００１：ホスト、
１００２：管理システム、
２００３：ホストインタフェース、
２００４：管理インタフェースデバイス、
３００１：ネットワーク、
３００２：管理ネットワーク、
２００５：フロントエンドインタフェース、
２００６：キャッシュメモリ、
２００７：ＮＶＲＡＭ、
２００８：中継機、
２００９：ＭＰＰＫ、
２０１０：ＣＰＵ、
２０１１：ＤＲＡＭ、
２０１２：バックエンドインタフェース、
２０１３：ドライブ。

Claims (8)

  1. コントローラを有し、ホストに提供される第１のボリュームと、前記第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、
    前記コントローラは、
    前記第１のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、
    前記第１のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、取得した監視情報を用い前記第１のボリュームにおける通常使用における定常状態を設定し、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成し、リストアポイントを設定して管理することを特徴とするストレージ装置。
  2. 請求項１に記載のストレージ装置において、
    前記コントローラは、前記ストレージ装置に接続される管理システムに対し、前記設定したリストアポイントを通知することを特徴とするストレージ装置。
  3. 請求項１に記載のストレージ装置において、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動の検知は、前記第１のボリュームに対する定常状態の学習データによって行われることを特徴とするストレージ装置。
  4. 請求項１に記載のストレージ装置において、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動の検知は、前記第１のボリュームに対するライトＩ／Ｏ回数、リードＩ／Ｏ回数、リードデータ量、ライトデータ量、リードデータの圧縮率、ライトデータの圧縮率、または、前記第１のボリュームのデータ圧縮率、容量増加率の何れかの閾値によって行われることを特徴とするストレージ装置。
  5. 請求項１に記載のストレージ装置において、
    前記コントローラは、
    前記第１のボリュームにおけるホストのアクセス情報及びボリューム使用容量を含む監視情報を取得する監視部と、
    取得した情報を用い前記第１のボリュームにおける通常使用における定常状態を設定し、前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知する異常判定部と、
    検知時点において、自律的に前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成するボリュームバックアップ部とを有することを特徴とするストレージ装置。
  6. 請求項１に記載のストレージ装置において、
    前記第１のボリュームと前記第２のボリュームとは、ネットワークを介して接続されている別々のストレージ装置に設けられていることを特徴とするストレージ装置。
  7. コントローラを有し、ホストに提供される第１のボリュームと、前記第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、
    前記コントローラは、
    前記第１のボリュームにおけるバックアップデータまたはスナップショットイメージをストレージ管理者により定義された間隔で定期的に取得し、
    前記第１のボリュームの保護ポリシに応じて、前記第１のボリュームの監視情報を取得し、取得した情報を用い前記第１のボリュームにおける通常使用における定常状態を記憶し、
    前記記憶した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成し、リストアポイントを設定して管理することを特徴とするストレージ装置。
  8. ホストに提供される第１のボリュームと、前記第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置のバックアップ方法において、
    前記ストレージ装置のコントローラが、
    前記第１のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、
    前記第１のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、
    前記取得した監視情報を用い前記第１のボリュームにおける通常使用における定常状態を設定し、
    前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、
    検知時点において、前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成し、
    リストアポイントを設定して管理することを特徴とするバックアップ方法。
JP2019107929A 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法 Active JP6890153B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019107929A JP6890153B2 (ja) 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法
CN202010081474.9A CN112068990A (zh) 2019-06-10 2020-02-06 将特别事件设定为还原点的存储装置和备份方法
US16/796,869 US20200387430A1 (en) 2019-06-10 2020-02-20 Storage apparatus and backup method for setting peculiar event as restore point

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019107929A JP6890153B2 (ja) 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法

Publications (2)

Publication Number Publication Date
JP2020201703A JP2020201703A (ja) 2020-12-17
JP6890153B2 true JP6890153B2 (ja) 2021-06-18

Family

ID=73650580

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019107929A Active JP6890153B2 (ja) 2019-06-10 2019-06-10 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法

Country Status (3)

Country Link
US (1) US20200387430A1 (ja)
JP (1) JP6890153B2 (ja)
CN (1) CN112068990A (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230026712A1 (en) * 2021-07-22 2023-01-26 Micron Technology, Inc. Generating system memory snapshot on memory sub-system with hardware accelerated input/output path
US11977636B2 (en) 2021-09-14 2024-05-07 Hitachi, Ltd. Storage transaction log
JP7436567B2 (ja) * 2022-06-16 2024-02-21 株式会社日立製作所 ストレージシステム及び不正アクセス検知方法
CN117951688A (zh) * 2022-10-31 2024-04-30 华为技术有限公司 勒索软件的检测方法及装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8191070B2 (en) * 2008-07-10 2012-05-29 Juniper Networks, Inc. Dynamic resource allocation
JP5234348B2 (ja) * 2008-11-21 2013-07-10 株式会社日立製作所 オンラインボリュームと性能／障害独立かつ容量効率の高いスナップショットを実現するストレージシステム及び方法
WO2010088550A2 (en) * 2009-01-29 2010-08-05 Breach Security, Inc. A method and apparatus for excessive access rate detection
CN103646208B (zh) * 2013-12-04 2017-05-10 华为终端有限公司 一种eMMC的监控方法及装置
CN105528300B (zh) * 2014-09-29 2019-01-08 炬芯（珠海）科技有限公司 一种ddr内存控制器及其访问监控方法
JP2016091191A (ja) * 2014-10-31 2016-05-23 キヤノンマーケティングジャパン株式会社 バックアップシステム、その制御方法、及びプログラム
US20160241576A1 (en) * 2015-02-13 2016-08-18 Canon Kabushiki Kaisha Detection of anomalous network activity
KR102378367B1 (ko) * 2015-03-20 2022-03-24 한국전자통신연구원 분산 파일 시스템
US9928003B2 (en) * 2015-05-01 2018-03-27 Hewlett Packard Enterprise Development Lp Management of writable snapshots in a network storage device
KR101940864B1 (ko) * 2016-11-14 2019-01-21 숭실대학교산학협력단 클라우드 기반의 클라이언트 장치 및 백업 방법, 이를 수행하기 위한 기록매체
CN107832189B (zh) * 2017-10-31 2020-09-01 维沃移动通信有限公司 一种i/o系统的监控方法及移动终端
US10762203B2 (en) * 2018-08-27 2020-09-01 International Business Machines Corporation Reducing impact of malware/ransomware in caching environment

Also Published As

Publication number Publication date
JP2020201703A (ja) 2020-12-17
US20200387430A1 (en) 2020-12-10
CN112068990A (zh) 2020-12-11

Similar Documents

Publication Publication Date Title
JP6890153B2 (ja) 特異なイベントをリストアポイントとして設定するストレージ装置およびバックアップ方法
US11500751B2 (en) Log monitoring
US9626115B2 (en) Threshold based incremental flashcopy backup of a raid protected array
US7490103B2 (en) Method and system for backing up data
US9600375B2 (en) Synchronized flashcopy backup restore of a RAID protected array
US7076606B2 (en) Accelerated RAID with rewind capability
US9495382B2 (en) Systems and methods for performing discrete data replication
US8396835B2 (en) Computer system and its data control method
EP2407884A2 (en) Data duplication operations in storage networks
US8214685B2 (en) Recovering from a backup copy of data in a multi-site storage system
EP1653358A2 (en) Incremental backup operations in storage networks
US20040153481A1 (en) Method and system for effective utilization of data storage capacity
CN108351821B (zh) 数据恢复方法及存储设备
JP2006059347A (ja) ジャーナリングを使用した記憶システム
US11379289B2 (en) Encryption detection
JP6494787B2 (ja) 分散ストレージシステム
US8745343B2 (en) Data duplication resynchronization with reduced time and processing requirements
US20200242265A1 (en) Detecting abnormal data access patterns
US20240126880A1 (en) Storage device with ransomware attack detection function and management system
US10776258B2 (en) Avoiding out-of-space conditions in asynchronous data replication environments
US9880765B2 (en) Copy processing management system and copy processing management method
Larson et al. Improving Availability in {VERITAS} Environments
JP2020201702A (ja) ストレージシステム及びスナップショット管理方法
JP2010282373A (ja) 災害対策システムおよび災害対策方法
Lin Remote Data Backup System For Disaster Recovery

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200316

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210311

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210427

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210524

R150 Certificate of patent or registration of utility model

Ref document number: 6890153

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150