JP7036881B2 - バックアップシステム - Google Patents

Description

本発明は、データのバックアップ技術に関する。

サイバー攻撃の多様化に伴い、Ａｎｔｉ Ｖｉｒｕｓソフト等が新種マルウェアを検知できる割合は年々低下している。さらに、サイバー攻撃は高度化しており、バックアップも破壊するＤｅＯＳ型攻撃(Ｄｅｓｔｒｕｃｔｉｏｎ ｏｆ ｓｅｒｖｉｃｅ)等が出現している。

そこで、マルウェアの侵入を防止はしつつも、侵入されることを前提にして、マルウェアの発動/発現を検知して対処する“Ｃｙｂｅｒ Ｒｅｓｉｌｉｅｎｃｅ”という考え方に移行しつつある。

従来のバックアップシステムでは、ＤｅＯＳ型攻撃等により、バックアップデータも全て感染してしまい、リストア不可な状況に陥る可能性がある。また、感染していないバックアップデータが存在する場合でも、手作業でバックアップを一つ一つ確認し、リストアポイントを決定する必要がある。Ｃｙｂｅｒ Ｒｅｓｉｌｉｅｎｃｅでは、バックアップデータを、今まで以上に大量に取得するようになるため、リストアポイントを決定し、リストアするための時間が飛躍的に増加すると考えられる。

データ保護技術として、複数世代のバックアップイメージをクラウドに格納する技術として特許文献１がある。

米国特許第９４０５７５６号明細書

上記特許文献１によれば、複数世代のバックアップイメージからオリジナルなデータをリストアすることができるが、バックアップソフトウェアが動作するために、バックアップイメージの格納先ストレージシステムにアクセスを許可したサーバ上で動作するプログラムがウィルス等により感染すると、全てのバックアップイメージが破壊されるため、正しいデータにリストアできないことが考えられる。

そこで、本発明の目的は、バックアップソフトがウィルスに感染しても、正しいデータにリストア可能なバックアップシステムを提供することにある。

上記目的を達成するため、本発明のバックアップシステムの一態様は、ストレージシステムと、バックアップデータを管理するバックアップサーバとを有するバックアップシステムにおいて、ストレージシステムは、業務用サーバによってアクセスされるデータを格納するデータボリュームと、データボリュームの異なる時点の複数のバックアップイメージを格納するバックアップイメージボリュームと、複数のバックアップイメージの内、最古のバックアップイメージを一時的に格納する一時利用ボリュームと、一時利用ボリュームに格納された最古のバックアップイメージのスナップショットを順次格納する少なくとも一つのボリュームを含むデータ保護領域と、データ保護領域からバックアップイメージを読み出す際に使用するアクセス用ボリューム（４０４）を有する。そして、ストレージシステムは、データ保護領域に格納されたバックアップイメージとアクセス用ボリュームを関連付けることで、データ保護領域内のバックアップイメージをバックアップサーバに提供する。

本発明によれば、ＤｅＯＳ型攻撃を含むバックアップデータの破壊・改竄を防止することができる。

実施例の情報処理システム構成図である。 実施例のバックアップサーバのハードウェアブロック図である。 実施例の管理台帳テーブルの一例を示した図である。 実施例の管理方法設定テーブルの一例を示した図である。 実施例の確認結果テーブルの一例を示した図である。 実施例のデータ保護領域管理プログラムがバックアップイメージをデータ保護領域に移動させる処理を示すフローチャートである。 実施例のデータ保護領域管理プログラムがバックアップイメージをデータ保護領域に移動させる処理を示すフローチャートである。 実施例のデータ保護領域管理プログラムがデータ保護領域内のデータを削除する処理を示すフローチャートである。 実施例のデータ保護領域管理プログラムがデータ保護領域内のデータに基づいて、バックアップサーバからアクセス可能にする処理を示すフローチャートである。 実施例のデータ保護領域管理プログラムがデータ保護領域内のデータに基づいて、バックアップサーバからアクセス可能にする処理を示すフローチャートである。 実施例のデータ保護領域管理プログラムがデータ保護領域内の台帳を回復させる処理を示すフローチャートである。 実施例のデータ保護領域管理プログラムがデータ保護領域内のバックアップデータを用いて元の運用を再開するためにバックアップサーバからアクセス可能にする処理を示すフローチャートである。

実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

以下の説明では、［ＡＡＡテーブル］の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、［ＡＡＡテーブル］を［ＡＡＡ情報］と記載することができる。

また、以下の説明では、プロセッサは、典型的には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。プロセッサは、処理の一部または全部を行うハードウェア回路を含んでもよい。

また、以下の説明では、［プログラム］を動作の主体として処理を説明する場合があるが、プログラムは、プロセッサによって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）等を用いながら行うため、実際の処理の主体はプロセッサである。従って、プログラムを動作の主体として説明された処理は、プロセッサを含む装置が行う処理としてもよい。また、プロセッサが行う処理の一部又は全部を行うハードウェア回路を含んでもよい。

コンピュータプログラムは、プログラムソースから装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバ、又は、計算機が読み取り可能な記憶メディアであってもよい。

＜１．システム構成＞
図１は、本実施例による情報処理システムの一例を示す構成図である。

この情報処理システム１は、バックアップサーバ１０、バックアップサーバ１０にＬＡＮ１１を介して接続される１又は複数の業務サーバ２０、３０と、業務サーバ２０、３０からのＩＯ（Ｉｎｐｕｔ Ｏｕｔｐｕｔ）要求を、ＳＡＮ（Ｓｔｏｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介して受信する１又は複数のストレージシステム４０とを有する。
ストレージシステム４０は、ＬＡＮ１１を介してバックアップサーバ１０に接続されている。業務用サーバ２０は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｏｆｔｗａｒｅ）上でＡＰＰ（Ａｐｐｌｉｃａｔｉｏｎ）が動作する、業務用サーバ３０は、ハイパーバイザ上に複数の仮想マシンが動作するサーバである。

ストレージシステム４０は、業務用サーバに記憶領域を提供するデータストア４０３やＮＴＦＳ４０２を有する。ここでは、説明を簡素化するため、バックアップサーバ１０によってバックアップされるデータは、データストア４０３に含まれるボリューム（データ用ボリューム）を例に説明する。ストレージシステム４０は、データストア４０３やＮＴＦＳ４０２のバックアップイメージを生成する機能として、例えば、データ用ボリュームのスナップショットを取得する機能を有する。但し、バックアップされる対象は、データストア４０３やＮＴＦＳ４０２に格納されるファイルやファイルシステムであっても良い。

また、ストレージシステム４０には、バックアップサーバ１０、業務サーバ２０、３０等の外部から直接アクセスできない領域のデータ保護領域４０６と、その機能に応じた複数のボリュームが構成される。

複数のボリュームは、バックアップされるボリュームのバックアップイメージを複数格納するバックアップイメージ用ボリューム４０１、バックアップイメージをデータ保護領域４０６から読み出す際に使用するアクセス用ボリューム４０４、バックアップイメージ用ボリューム４０１に格納されるバックアップイメージをデータ保護領域４０６に格納するために一時的に使用する一時利用ボリューム４０５、バックアップサーバ１０で管理される台帳を、データ保護領域４０６に格納する際に一時的に利用される台帳用ボリューム４０７を有する。
バックアップイメージとは、例えば、データストア４０３のボリュームのバックアップデータ或いは、スナップショットデータであり、バックアップ対象となるボリュームの異なる時点（複数世代）におけるデータである。尚、バックアップ対象は、ボリューム以外にファイルやファイルシステムであってもよい。

各ボリュームの機能を説明するため、データの流れの一例を簡単に説明する。
バックアップサーバ１０は、バックアッププログラム１０９が動作し、データストア４０３のボリュームのバックアップを取得し、バックアップイメージ用ボリューム４０１に格納する。バックアップ対象である一つのボリュームに対する異なる時点のバックアップイメージを複数世代、例えば、世代Ｎ－１、世代Ｎがバックアップイメージ用ボリューム４０１に格納される。

バックアップイメージ用ボリューム４０１に格納されるバックアップイメージをデータ保護領域４０６に格納する際に、一時利用ボリューム４０５が用いられる。一時利用ボリューム４０５のバックアップイメージと、バックアップイメージを管理する台帳を、データ保護領域４０６にコピーする。このコピー動作には、データ保護領域４０６内のボリュームを特定する内部ボリュームＩＤを用いて行う。内部ボリュームＩＤはストレージシステム４０の内部で管理される情報であって、バックアップサーバ１０、業務サーバ２０、３０のような外部デバイスには提供されることはなく、これを用いて、外部デバイスはデータ保護領域内のボリュームにアクセスすることはできない。外部デバイスからストレージシステム４０内のボリュームに対してアクセスを行う場合には、ボリュームに割り付けられたボリュームＩＤを用いる。

データ保護領域４０６に格納されたバックアップイメージを、ボリュームＩＤを有するアクセス用ボリューム４０４に関連付けて、バックアップサーバ１０が利用することができるようにする。

つまり、データ保護領域４０６内のボリュームには、外部からアクセスするためのボリュームＩＤを付与することなく、ストレージシステム４０内でボリューム管理のために用いる内部ボリュームＩＤを付すことで、外部デバイスから直接アクセスすることができないデータ保護領域４０６を構成する。

本実施例ではストレージシステム４０がこれらの機能を持つものとして説明する。即ちストレージシステム４０の動作を制御するマイクロプログラムがこれらの機能を外部からの指示に基づいて実行する。しかし、これらの機能をストレージ機能を持つプログラムが実現してもよい。

図２は、バックアップサーバ１０のハードウェアブロック図である。
ＣＰＵ１０３は、バックアップサーバ１０全体の動作制御を司るハードウェアである。またメモリ１０４は、例えば、Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（ＳＤＲＡＭ）等の半導体メモリから構成され、必要なプログラム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ（ＯＳ）を含む）やデータを記憶保持するために利用される。メモリ１０３は、ＣＰＵ１０３の主記憶であり、ＣＰＵ１０３が実行するプログラム（データ保護領域管理プログラム等）や、ＣＰＵ１０３が参照する各種テーブル等が格納される他、バックアップサーバ１０のディスクキャッシュ（キャッシュメモリ）としても使用される。

ＣＰＵ１０３によって処理される一部または全部は、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ(ＡＳＩＣ)やＦｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ(ＦＰＧＡ)のような専用ハードウェアで実現することもできる。

図示しないが、バックアップサーバ１０には、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＳＡＴＡ（Ｓｅｒｉａｌ ＡＴＡ）、ＦＣ（Ｆｉｂｒｅ Ｃｈａｎｎｅｌ）等の各種ドライブから構成される記憶装置が含まれる。

入出力受付部１０１は、管理者からのデータを入力するキーボードやマウス、タッチパネル等の入力装置と、管理者に対してデータのバックアップ状況等の各種データを出力する表示装置のような出力装置である。管理者からは、例えば、データ保護領域４０６の容量や、バックアップ対象のボリュームＩＤ等が入力される。

ネットワークＩ／Ｆ１０２は、ストレージシステム４０に対して、ボリューム作成等の各種操作を行うためのインタフェースであり、例えばＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等である。ネットワークＩ／Ｆ１０２は、ネットワークを介してアプリケーションサーバ２０、３０と接続される。

メモリ１０４には、データ保護領域管理プログラム１０５の他、各種テーブルとして、管理台帳テーブル（台帳Ａ）１０６、管理方法設定テーブル１０７、各インシデントに対する確認結果テーブル１０８を格納する。また、実行されるプログラムがロードされて展開される。実行するプログラムとしては、アプリケーションサーバと通信しアプリケーションを静止化する等して整合性のとれたバックアップイメージを取得するバックアッププログラム１０９や、本実施例のバックアップイメージを保護するために保管を管理するためのデータ保護領域管理プログラム１０５等がある。

ＣＰＵ１０３は、メモリ１０４に格納される、テーブル等の各種管理情報を参照しながら、データ保護領域管理プログラム１０５を実行することで、各種機能を実現する。

＜２．各種管理情報＞
次に、各種管理情報を説明する。

図３は、実施例の管理台帳テーブルの一例を示した図である。

バックアップサーバ１０上のバックアッププログラム１０９がデータストア４０３内のボリュームのバックアップを取得すると、バックアップ取得時のバックアップイメージがバックアップイメージ用ボリューム４０１に格納される。バックアップイメージは、取得されるタイミングにより、世代Ｎ－１、世代Ｎと複数の世代のバックイメージが取得される。世代Ｎ－１は世代Ｎの一世代古いバックアップイメージとする。管理台帳テーブルＴ１には、バックアップイメージの名称Ｔ１１に対し、データ保護領域４０６にコピーする際にデータ保護領域管理プログラム１０５によって採番されるコピー番号Ｔ１２、バックアップサーバ１０がバックアップを取った際に付与されるバックアップイメージＩＤ Ｔ１３、バックアップ取得のタイミングを示すバックアップ日時Ｔ１４、一時利用ボリューム４０５からデータ保護領域４０６にコピーしたタイミングを示すコピー取得日時Ａ Ｔ１５とが対応して管理される。

図３の管理台帳テーブル１０６の各エントリーは、データ保護領域４０６の各ボリュームに格納される。そのため、データ保護領域４０６の各ボリュームの内部ボリュームＩＤと、コピー番号等は対応する情報として管理可能である。この管理台帳テーブルＴ１は、バックアップサーバ１０の台帳Ａとして格納される。

図４は、バックアップサーバ１０のメモリ１０４に格納される管理方法設定テーブルＴ２を示した図である。設定情報の名称Ｔ２１に対し、バックアップイメージの最大保持世代を示すデータ最大保持世代数Ｔ２２、バックアップポリシーＴ２３が対応して管理される。バックアップポリシーＴ２３は、例えば、図４に記載の内容が規定されている。

図５は、バックアップサーバ１０のメモリ１０４に格納される確認結果テーブルＴ３を示した図である。

バックアップイメージＩＤ Ｔ３１に対し、当該バックアップイメージのウィルス検査を行った時間であるデータチェック日時Ｔ３２、そのチェック結果Ｔ３３を対応して管理している。バックアップイメージＩＤ Ｔ３１は、図３のバックアップイメージＩＤ Ｔ１３と対応する情報である。

＜３．運用準備＞
図１を参照しながら、運用準備について説明する。以下の（Ａ－１）から（Ａ－９）の処理は、データ保護領域プログラム１０５をＣＰＵ１０３が実行することにより処理される。

（Ａ－１）ストレージシステム内にデータ保護領域を作成する。データ保護領域４０６は、ストレージコントローラからはアクセスできるが、ストレージシステム４０の外部装置、例えば、バックアップサーバ１０、業務サーバ２０、３０からは直接アクセスすることができない領域である。つまり、データ保護領域４０６を構成するボリュームにはアクセスのために必要となるボリュームＩＤを付与せず、ストレージシステム４０内でボリューム管理のために用いる内部ボリュームＩＤによって管理される。

（Ａ－２）バックアップイメージ用ボリューム４０１に格納されるバックアップイメージをデータ保護領域４０６に移動させる際に一時的に使用する一時利用ボリューム４０５を作成する。
（Ａ－３）作成した一時利用ボリューム４０５とバックアップサーバ１０のホストパスを設定する。
（Ａ－４）一時利用ボリューム４０５をバックアップサーバにマウントする。
（Ａ－５）バックアップサーバ１０がボリューム一時利用ボリューム４０５の操作を行うため、一時利用ボリューム４０５をバックアップサーバ１０の管理コンソール上で登録する。

（Ａ－６）バックアップイメージをデータ保護領域４０６から読み出す際に使用するアクセス用ボリューム４０４を作成する。
（Ａ－７）バックアップサーバ１０が格納する台帳Ａのバックアップを格納する台帳用ボリューム４０７を作成する。台帳用ボリュームに格納される台帳Ａのバックアップを台帳Ｂと称することとする。
（Ａ－８）作成した台帳用ボリューム４０７とバックアップサーバ１０のホストパスを設定する。
（Ａ－９）台帳用ボリューム４０７をバックアップサーバ１０にマウントする。

以上の処理により、ストレージシステム上にデータ保護領域と、複数の役割の異なるボリュームとを作成し、バックアップサーバ１０がボリューム４０４等を認識して操作できる状態とすることができる。

＜４．運用開始＞
図１を参照しながら、運用開始について説明する。以下の（Ｂ－１）から（Ｂ－３）の処理は、データ保護領域プログラム１０５をＣＰＵ１０３が実行することにより処理される。

（Ｂ－１）データ保護領域４０６内にコピーグループを作成する。コピーグループはバックアップされる対象である世代を管理するため、内部ボリュームＩＤを用いて形成する。バックアップされる対象とは、データストア４０３のボリュームやＮＴＦＳ４０２のファイルシステム等であり、ここでは、データストア４０３のボリュームを例に説明を続ける。データ保護領域４０６は、複数のボリュームを有し、複数のボリュームの内コピーグループを形成する各ボリュームにバックアップ対象のボリュームの各世代のデータが格納される。

（Ｂ－２）一時利用ボリューム４０５のボリュームＩＤと、データ保護領域４０６のコピーグループの各ボリュームの内部ＩＤを用いてコピーペアを生成する。

（Ｂ－３）台帳用ボリューム４０７のボリュームＩＤとボリュームの内部ＩＤを用いてコピーペア生成する。台帳用ボリューム４０７からデータ保護領域４０６にコピーされた台帳を台帳Ｃと称する。

＜５．バックアップイメージをデータ保護領域に格納＞
図６は、実施例のデータ保護領域管理プログラムがバックアップイメージをデータ保護領域に移動させる処理を示すフローチャートである。図６の処理は、データ保護領域プログラム１０５をＣＰＵ１０３が実行することにより処理される。

処理が開始されると、ステップＳ６１で、バックアップサーバ１０がバックアップイメージを作成するボリュームを確認する。バックアップ対象がファイルの場合、ディレクトリ内のファイルを確認する。

次に、ステップＳ６２で、バックアップサーバ１０のバックアッププログラム１０９で設定されている世代数分バックアップイメージがあるかを判定する。判定結果がＮＯの場合にはステップＳ６３に進み、一定時間待つ。判定結果がＹＥＳの場合にはステップＳ６４に進み、新たにバックアップイメージが作成されたか判定する。判定結果がＮＯの場合には、ステップＳ６３に進み、一定時間待つ。判定結果がＹＥＳの場合には、ステップＳ６５に進む。

ステップＳ６５では、バックアップイメージ用ボリューム上の最古のバックアップイメージを一時利用ボリューム４０５にコピーする。コピー処理は、バックアップイメージ用ボリューム４０１と一時利用ボリューム４０５のボリュームＩＤを用いてペア操作を行う。図１の例では、世代Ｎと世代Ｎ－１が格納されており、世代Ｎ－１が最古のバックアップイメージに該当する。

ステップＳ６６で、データ管理プログラムは台帳Ａから空きコピー番号を採番し、台帳Ａにコピー番号Ｔ１２、バックアップイメージＩＤ Ｔ１３、バックアップ日時Ｔ１４をセットで記載する。コピー番号Ｔ１２は、一時利用ボリューム４０５からデータ保護領域４０６へのコピーする際に付与され、一時利用ボリュームに格納されたバックアップイメージとこのコピー番号でデータ保護領域４０６内のバックアップイメージを特定することができる。

次に、ステップＳ６７で、データ管理プログラム１０５が今回台帳Ａに記載した部分のみ（管理台帳テーブルの１エントリー）を、管理台帳テーブル（台帳Ａ）１０６から一時利用ボリューム４０５にコピーする。

次に、ステップＳ６８で、データ保護領域のボリュームの内部ボリュームＩＤを用いて現時点の一時利用ボリューム４０５のバックアップイメージと今回台帳Ａに記載した部分をセットにして、データ保護領域にそのコピーを格納する。

引き継き、図７に記載される処理を、データ保護領域管理プログラム１０５が実行する。

ステップＳ７１で、ステップＳ６８で実行したコピー作成の成功を確認し、ステップＳ７２で、バックアップサーバ１０の台帳Ａにコピー取得日時Ａ Ｔ１５を記載する。これで、図３に示した管理台帳テーブルＴ１の全てのエントリーが格納されることになる。

次に、ステップＳ７３で、台帳Ａを台帳用ボリューム４０７にコピーする。つまり、台帳Ｂを台帳用ボリューム４０７に格納する。ステップＳ７４では、現時点の台帳用ボリューム４０７のコピーをデータ保護領域４０６内に作成する。つまり、データ保護領域４０６に台帳Ｃを格納する。

ステップＳ７５で、ステップ７４で実行される台帳Ａのコピーがデータ保護領域４０６内に格納されたか確認する。台帳Ａのコピーがデータ保護領域４０６内に格納されたことを確認、即ち、台帳Ｃがデータ保護領域４０６に格納されたことを確認すると、ステップＳ７６で、一時利用ボリューム４０５に格納されているバックアップイメージを削除する。ステップＳ７７で、一時利用ボリューム４０５に格納した台帳Ｂの１エントリー分を削除する。ここで、削除される台帳のエントリーは、削除されたバックアップイメージに対応するものである。

ステップＳ７８で、台帳用ボリュームにコピーした台帳のコピー（台帳Ｂ）を削除する。

以上、図６と図７に示す処理を実行することで、バックアップイメージ用ボリューム４０１に格納されたバックアップイメージとこれを管理する台帳のエントリーを順次格納すると共に、台帳Ａのコピーである台帳Ｃをデータ保護領域４０６に格納することができる。

＜６．データ保護領域内のデータを削除＞
データ保護領域４０６の容量は、管理者により入出力受付部１０１を経由して入力されるデータによって決定される。例えば、バックアップ対象のボリューム等の容量、その世代数により決まる。また、ストレージシステム４０がウィルス攻撃を受けている頻度を管理しておき、頻度が高くなると、データ保護領域４０６の容量を増やすように、バックアップ対象のボリューム等の容量、その世代数によって決まる容量に、Ｎ倍（Ｎは１以上の数）しても良い。

いずれにしても、データ保護領域４０６の容量には上限値があるため、不要となったデータを削除する必要がある。図８は、データ保護領域管理プログラムがデータ保護領域内のデータを削除する処理を示すフローチャートである。

ステップＳ８１で、データ保護領域内のコピー数を確認する。コピー数とは、バックアップ対象が１つのボリュームの場合、バックアップされる世代数が該当し、複数のボリュームの場合、ボリュームの数、或いはボリュームの数と各ボリュームの世代数によって決まる。

ステップＳ８２で、予め設定された、データ保護領域４０６で保持する数以上のコピーが作成されたか判定する。この判定は、管理方法設定テーブルＴ２のデータ最大保持世代数Ｔ２２の値を参照して行う。ステップＳ８２の判定結果が、ＮＯの場合にはステップＳ８３にすすみ、一定時間待つ。判定結果がＹＥＳの場合、ステップＳ８４に進む。

ステップＳ８４では、台帳Ａからデータ保護領域内の最古のコピー取得日時Ａを取得する。次に、ステップＳ８５で、ストレージの機能として保持しているデータ保護領域４０６にコピーしたコピー取得日時Ｂを取得する。

ステップＳ８６で、ステップＳ８４、ステップＳ８５で取得したコピー取得日時Ａ、Ｂが一致するか判定する。セキュリティの観点からデータ管理プログラム上の台帳Ａへの情報記載後に改ざんが無いか確認するためである。二つのコピー取得日時が不一致の場合、処理を終了する。一致する場合、ステップＳ８７に進む。

ステップＳ８７では、データ保護領域４０６内の最古のコピー取得日時Ａ、Ｂに対応する最古のコピーを削除し、ステップＳ８８でデータ管理プログラム上の台帳Ａから削除したコピー部分の記載をデータ保護領域４０６から削除する。これにより、データ改竄が行われていない場合には、最古の世代のデータをデータ保護領域４０６から削除することができ、二つのコピー取得日時が不一致でデータ改竄されている可能性がある場合には、データ保護領域４０６に格納されているバックアップイメージを削除しないようにすることができる。

＜７．データリストア＞
次に、データ保護領域４０６に格納されたデータを利用したデータのリストアについて説明する。図９は、データ保護領域管理プログラムがデータ保護領域内のデータに基づいて、バックアップサーバからアクセス可能にする処理を示すフローチャートである。

ステップＳ９０で、バックアップサーバ１０のメモリ１０４に確認結果テーブルを新規作成し、現時点でデータ保護領域４０６内に存在する全バックアップイメージＩＤを管理台帳テーブル（台帳Ａ）から読み出し、作成した確認結果テーブルに格納する。

次に、ステップＳ９１で、管理者からリストアしたいバックアップイメージ指定があるか否か判定する。管理者からバックアップイメージの指定がある場合、ステップＳ９２に進み、なければステップＳ９３に進む。管理者からのバックアップイメージの指定は、バックアップイメージ名称Ｔ１１あるいは、バックアップイメージＩＤ Ｔ１３によって行われる。

ステップＳ９２では、データ管理プログラム上の台帳Ａから、ユーザが指定したバックアップイメージ名称Ｔ１１のバックアップイメージに対応するコピー番号Ｔ１２を取得する。

次に、ステップＳ９４で、コピー番号Ｔ１２により、データ保護領域４０６に格納されているコピーを指定し、アクセス用ボリューム４０４と紐付ける。この紐付けは、バックアップイメージを格納するデータ保護領域のボリュームの内部ボリュームＩＤを用いて行うこともできる。ステップＳ９５で、アクセス用ボリューム４０４とバックアップサーバのホストパスを設定し、ステップＳ９６で、アクセス用ボリュームをバックアップサーバにマウントする。これにより、バックアップサーバ１０は、データ保護領域４０６に格納されたバックアップイメージを、アクセス用ボリューム４０４にアクセスすることで読み出し、確認することができる。

次に、ステップＳ９７で、データ保護領域４０６内のバックアップイメージと台帳(1エントリ分)のセットを取得する。

ステップＳ９８で、ステップＳ９７で取得した台帳(1エントリ分)の記載とデータ管理プログラム上の台帳Ａの記載（台帳の各エントリーの値）が一致するか判定する。データ保護領域内４０６のバックアップイメージと台帳(1エントリ分)は、データ保護領域４０６に格納された時点から更新されることはないため、バックアップサーバ１０の台帳Ａが改変されていないかを確認できる。一致しない場合、ステップＳ９９に進み、台帳回復のフロー（図１１参照）に進む。一致する場合、ステップＣに進む。

尚、ステップＳ９３では、データ管理プログラム上の台帳Ａから、まだ確認していないデータのコピー番号を取得し、ステップＳ９４に進む。データ保護領域内の全コピー番号について確認するためである。

図１０は、図９から続く処理で、データ保護領域管理プログラム１０５がデータ保護領域４０６内のデータに基づいて、データ回復する処理を示すフローチャートである。

ステップＳ１００は、アクセス用ボリューム４０４のバックアップイメージを、バックアップサーバ１０にインポートする。インポートとは、バックアッププログラム１０９でバックアップイメージの内容にアクセスできる状態にすることを指す。

ステップＳ１０１で、データ保護領域４０６から読み出したバックアップイメージＩＤとバックアップ日時について、バックアップサーバ上の情報（台帳Ａ）の情報が一致することを確認する。データ保護領域の情報は更新されることがないため、バックアップサーバ１０の台帳Ａが改変されたことを確認できる。

ステップＳ１０２で、インポートしたバックアップデータに対してウィルスチェックを行い、感染を確認する。

ステップＳ１０３でバックアップイメージが感染されているか判定し、感染されていなければステップＳ１０４に進み、確認結果テーブルＴ３のチェック結果Ｔ３３に、インポートしたバックアップイメージをリストア候補として登録する。

感染していると判定された場合、或いは、ステップＳ１０４の処理が行うと、ステップＳ１０５に進み、バックアップサーバ１０にインポートしたバックアップデータを削除する。

次に、ステップＳ１０６で、アクセス用ボリュームをアンマウントし、アクセス用ボリュームのパス設定削除（ステップＳ１０７）し、アクセス用ボリュームとデータ保護領域４０６のバックアップイメージのコピーとの紐付けを解除する。

次に、データ保護領域内のデータ全てについて確認済か判定し、確認済みの場合は処理を終了し、未確認の場合にはステップＳ１１０に進み、図９のステップＳ９３に戻る。尚、管理者からバックアップイメージの指定がある場合には、指定されたバックアップイメージについて、確認したこととなるため、ステップＳ１０９の判定がＹＥＳとなり、処理は終了する。

＜８．台帳のデータリストア＞
図１１は、データ保護領域管理プログラムがデータ保護領域内の台帳を回復させる処理を示すフローチャートである。ステップＳ１１１では、データ保護領域４０６内の台帳Ａのバックアップが入ったコピー（台帳Ｃ）から台帳用ボリューム４０７にリストアする。

次に、ステップＳ１１２で、リストアした台帳用ボリューム４０７上の台帳Ｂのバックアップから、データ管理プログラム上の台帳Ａをコピーバックする。

これにより、データ保護領域４０６内の台帳Ｃを用いて、バックアップサーバ１０の台帳Ａをリストアすることができる。

＜９．データ保護領域内のデータリストア＞
図１２は、実施例のデータ保護領域管理プログラム１０５がデータ保護領域４０６内のバックアップデータを用いて元の運用を再開するためにバックアップサーバ１０からアクセス可能にする処理を示すフローチャートである。

まず、ステップＳ１２１で、アクセス用ボリュームとバックアップサーバ１０のホストパスを設定する。ステップＳ１２２で、確認結果テーブルＴ３にチェック結果Ｔ３３からリストア候補を特定し、対応するバックアップイメージＩＤ Ｔ３１から、管理台帳テーブルＴ１のバックアップイメージＩＤ Ｔ１３に対応するコピー番号Ｔ１２を取得する。次に、コピー番号によりリストアするコピーを指定し、アクセス用ボリュームと紐付ける（ステップＳ１２３）。 アクセス用ボリューム４０４とバックアップサーバ１０のホストパス設定し（ステップＳ１２４）、アクセス用ボリューム４０４をバックアップサーバ１０にマウントし（ステップＳ１２５）、アクセス用ボリュームのバックアップイメージを、バックアップサーバ１０にインポートする（ステップＳ１２６）。

これにより、データ保護領域内のデータを用いて、バックアップサーバ１０にリストアされたイメージを提供し、確認することができる。

確認されたバックアップイメージを格納するアクセス用ボリュームと業務用サーバのホストパスを設定し、アクセス用ボリュームを業務用サーバにマウントすることで、業務用サーバによってリストアされたイメージで業務を行うことができる。

以上の通り、本実施例では、データ保護領域のボリュームに格納されるバックアップイメージを、ボリュームＩＤが付されるアクセス用ボリュームを介して、データ保護領域内のデータにアクセスできるため、データ保護領域内のデータ改竄を防止することができる。

また、データ保護領域のボリュームには、ボリュームＩＤを付さないため、データ保護領域内のデータの改竄を防止することができる。

また、アクセス用ボリュームに対応付けられるデータ保護領域内のバックアップイメージ（世代）を指定できるので、管理者はどの世代のバックアップイメージをバックアップサーバにリストアするか選択することができる。
なお、上記実施例は、バックアップサーバ１０上のバックアッププログラム１０９がバックアップイメージを生成する実施形態を説明したが、ストレージシステム４０自身が有するコピー機能を用いてバックアップイメージを生成するようにしても良い。

１０：バックアップサーバ、
１０３：ＣＰＵ、
１０４：メモリ、
１０５：データ保護領域管理プログラム、
１０６：管理台帳テーブル（台帳Ａ）
１０７：管理方法設定テーブル、
１０８：確認結果テーブル、
２０：業務サーバ、
３０：業務サーバ、
４０：ストレージシステム、
４０１：バックアップイメージ用ボリューム、
４０２：ＮＴＦＳ用ボリューム、
４０３：データストア、
４０４：アクセス用ボリューム、
４０５：一時利用ボリューム、
４０６：データ保護領域、
４０７：台帳用ボリューム。

Claims (12)

1. ストレージシステムと、バックアップデータを管理するバックアップサーバとを有するバックアップシステムにおいて、
   前記ストレージシステムは、
   業務用サーバによってアクセスされるデータを格納するデータボリュームと、
   前記データボリュームの異なる時点の複数のバックアップイメージを格納するバックアップイメージボリュームと、
   前記複数のバックアップイメージの内、最古のバックアップイメージを一時的に格納する一時利用ボリュームと、
   前記一時利用ボリュームに格納された最古のバックアップイメージのスナップショットを順次格納する少なくとも一つのボリュームを含むデータ保護領域と、
   前記データ保護領域からバックアップイメージを読み出す際に使用するアクセス用ボリュームを有し、
   前記データ保護領域に格納されたバックアップイメージと前記アクセス用ボリュームを関連付けることで、前記データ保護領域内のバックアップイメージを前記バックアップサーバに提供することを特徴とするバックアップシステム。
2. 請求項１に記載のバックアップシステムにおいて、
   前記バックアップサーバは、更に、前記バックアップイメージ毎にコピー番号と、バックアップ取得日時を管理するバックアップイメージ管理データを有し、
   前記一時利用ボリュームは、前記複数のバックアップイメージの内、最古のバックアップイメージと該最古のバックアップイメージに対応するバックアップイメージ管理データを一時的に格納し、
   前記データ保護領域は、前記一時利用ボリュームに格納された最古のバックアップイメージのコピーと該最古のバックアップイメージに対応するバックアップイメージ管理データのコピーを順次格納する少なくとも一つのボリュームを含み、
   前記アクセス用ボリュームは、前記データ保護領域からバックアップイメージを読み出すためボリュームＩＤを有し、
   前記ストレージシステムは、前記データ保護領域に格納されたバックアップイメージのコピー番号と、前記アクセス用ボリュームのボリュームＩＤを関連付けることで、前記データ保護領域内のバックアップイメージを前記バックアップサーバに提供することを特徴とするバックアップシステム。
3. 請求項２に記載のバックアップシステムにおいて、
   前記ストレージシステムは、
   更に、前記バックアップサーバが有するバックアップイメージ管理データのコピーを格納するバックアップイメージ管理ボリュームを有し、前記バックアップイメージ管理ボリュームに格納された前記バックアップイメージ管理データのコピーを前記データ保護領域内に格納することを特徴とするバックアップシステム。
4. 請求項３に記載のバックアップシステムにおいて、
   前記バックアップサーバは、
   前記データ保護領域内のバックアップイメージのコピー数が、前記データ保護領域内で保持できる上限値を超えた場合、前記バックアップサーバのバックアップイメージ管理データの最古のコピー取得日時と、前記データ保護領域内のバックアップイメージ管理データの最古のコピー取得日時とを比較し、
   前記バックアップサーバのバックアップイメージ管理データの最古のコピー取得日時と、前記データ保護領域内のバックアップイメージ管理データの最古のコピー取得日時が一致していれば、前記データ保護領域に格納されている最古のバックアップイメージと、該バックアップイメージに対応するバックアップイメージ管理データを削除し、
   前記バックアップサーバのバックアップイメージ管理データから、前記削除したバックアップイメージに対応するバックアップ管理データを削除することを特徴とするバックアップシステム。
5. 請求項１に記載のバックアップシステムにおいて、
   前記データ保護領域に格納されたバックアップイメージと前記アクセス用ボリュームの関連付けは、前記一時利用ボリュームに格納されたバックアップイメージを前記データ保護領域にコピーする際に採番されたコピー番号を用いて行われることを特徴とするバックアップシステム。
   
6. 請求項４に記載のバックアップシステムにおいて、
   前記バックアップサーバは、
   バックアップイメージの指定を受け付け、受け付けたバックアップイメージに対応するコピー番号を前記バックアップイメージ管理データから取得し、
   前記取得したコピー番号により、前記データ保護領域に格納されたデータを前記アクセス用ボリュームと関連付けることを特徴とするバックアップシステム。
7. 請求項６に記載のバックアップシステムにおいて、
   前記バックアップサーバは、前記アクセス用ボリュームを介して取得する前記最古のバックアップイメージに対応するバックアップ取得日時と、前記バックアップサーバによって管理されるバックアップイメージ管理データの前記最古のバックアップイメージに対応するバックアップ取得日時とを比較して前記バックアップサーバによって管理されるバックアップイメージ管理データが改変されているかを確認することを特徴とするバックアップシステム。
8. 請求項７に記載のバックアップシステムにおいて、
   前記バックアップサーバは、
   前記バックアップサーバによって管理されるバックアップイメージ管理データが改変されている場合、前記データ保護領域に格納されているバックアップイメージ管理データを前記バックアップイメージ管理ボリュームにリストアし、
   前記バックアップイメージ管理ボリュームにリストアしたバックアップイメージ管理データに基づき、前記バックアップサーバによって管理されるバックアップイメージ管理データをコピーバックすることを特徴とするバックアップシステム。
9. 請求項８に記載のバックアップシステムにおいて、
   前記バックアップサーバは、前記バックアップサーバによって管理されるバックアップイメージ管理データが改変されていない場合、前記アクセス用ボリュームを介して取得する前記データ保護領域内の各バックアップイメージのウィルス検査を行い、その結果を格納することを特徴とするバックアップシステム。
10. 請求項９に記載のバックアップシステムにおいて、
    前記バックアップサーバは、ウィルス検査の結果が感染無しの場合、リストア候補として登録することを特徴とするバックアップシステム。
11. 請求項１０に記載のバックアップシステムにおいて、
    前記バックアップサーバは、
    前記リストア候補のバックアップイメージの指定を受け付け、
    受け付けたバックアップイメージに対応するコピー番号を前記バックアップイメージ管理データから取得し、
    前記取得したコピー番号により、前記データ保護領域に格納されたバックアップイメージを前記アクセス用ボリュームと関連付けることで、前記データ保護領域内のバックアップイメージをリストアすることを特徴とするバックアップシステム。
12. ストレージシステムと、バックアップデータを管理するバックアップサーバとを有するバックアップシステムにおいて、
    前記ストレージシステムは、
    業務用サーバによってアクセスされるデータを格納するデータボリュームと、
    前記データボリュームの異なる時点の複数のバックアップイメージを格納するバックアップイメージボリュームと、
    前記複数のバックアップイメージの内、最古のバックアップイメージを一時的に格納する一時利用ボリュームと、
    前記一時利用ボリュームに格納された最古のバックアップイメージのコピーを順次格納する少なくとも一つのボリュームを含むデータ保護領域と、
    前記データ保護領域からバックアップイメージを読み出す際に使用するアクセス用ボリュームを有し、
    前記データ保護領域に格納されたバックアップイメージと前記アクセス用ボリュームを関連付けることで、前記データ保護領域内のバックアップイメージを前記バックアップサーバに提供することを特徴とするバックアップシステム。

Images