JP7100085B2 - セキュリティシステム、上位システム及びバックアップ方法 - Google Patents

Description

本開示は、セキュリティシステム、上位システム及びバックアップ方法に関する。

ストレージシステムには、データの読み書きを制御するホストから独立してデータを所定の格納領域にバックアップするものがある。この種のストレージシステムは、最大保持世代数分の格納領域を予め確保し、バックアップデータを格納領域に順次格納することで、最大保持世代数分のバックアップデータを保持する。このとき、最大保持世代数分のバックアップデータよりも古いバックアップデータは削除される。

また、上記のストレージシステムは、データ汚染などを引き起こすインシデントが発生すると、汚染された可能性のあるバックアップデータをロックし、汚染される前の世代のバックアップデータに基づいて、データをリストア（復元）することがある。

上記のストレージシステムでは、ロックされたバックアップデータは、汚染されている可能性があるため、バックアップデータとしての機能を果たせず、バックアップの世代数にはカウントされない。また、ロックされたバックアップデータは、フォレンジック調査を行うために長期間（例えば、数カ月以上）保持されることがある。このため、予め確保された格納領域がバックアップデータとしての機能を果たせないデータに専有され、最大保持世代数分のバックアップデータを確保することができないという問題がある。

本開示の目的は、バックアップデータがロックされた場合でも、最大保持世代数分のバックアップデータを確保することが可能なセキュリティシステム、上位システム及びバックアップ方法を提供することにある。

本開示の一態様に従うセキュリティシステムは、複数の世代のバックアップデータを格納可能なストレージシステムと、前記ストレージシステムを制御する上位システムとを有するセキュリティシステムであって、前記上位システムは、前記ストレージシステムにおける前記バックアップデータを格納する格納領域を最大保持世代数分管理する管理情報を格納するメモリと、１以上の前記格納領域に対して上書きを禁止するロックが行われた場合、新しい前記管理情報を新管理情報として用意し、当該新管理情報と、前記メモリに格納されていた管理情報である旧管理情報とを用いて、前記最大保持世代数分のバックアップデータを前記ストレージシステムに格納する制御部と、を有する。

本発明によれば、バックアップデータがロックされた場合でも、最大保持世代数分のバックアップデータを確保することが可能になる。

本発明の第１の実施形態のセキュリティシステムの一状況を示す図である。 本発明の第１の実施形態のセキュリティシステムを他の状況示す図である。 本発明の第１の実施形態のセキュリティシステムを他の状況示す図である。 本発明の第１の実施形態のセキュリティシステムの構成例を示す図である。 確認結果テーブルの一例を示す図である。 統合管理設定ファイルの一例を示す図である アーカイブ管理テーブルの一例を示す図である。 バックアップ管理テーブルの一例を示す図である。 アーカイブ設定テーブルの一例を示す図である。 バックアップ設定テーブルの一例を示す図である。 バックアップサーバによる前処理の一例を説明するためのフローチャートである。 バックアップサーバによる前処理の一例を説明するためのフローチャートである。 バックアップサーバによるバックアップ処理の一例を説明するためのフローチャートである。 バックアップサーバによるバックアップ処理の一例を説明するためのフローチャートである。 バックアップサーバによるバックアップ処理の一例を説明するためのフローチャートである。 本発明の他の実施形態のセキュリティシステムの構成例を示す図である。

以下、本開示の実施形態について図面を参照して説明する。

なお、以下の説明では、「プログラム」を動作主体として処理を説明する場合があるが、プログラムは、プロセッサ（例えば、ＣＰＵ（Central Processing Unit））によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）及び／又は通信インターフェースデバイス（例えばポート）を用いながら行うため、処理の主語がプロセッサとされてもよい。プログラムを主語として説明された処理は、プロセッサ或いはそのプロセッサを有する計算機が行う処理としてもよい。

（第１の実施形態）
図１～図３は、本発明の第１の実施形態のセキュリティシステムを示す図である。図１～図３に示すセキュリティシステム１は、ストレージシステム１１と、業務用サーバ１２と、検証用サーバ１３と、バックアップサーバ１４とを有する。

ストレージシステム１１は、データを格納するシステムである。業務用サーバ１２、検証用サーバ１３及びバックアップサーバ１４は、ストレージシステム１１を制御する上位システムである。業務用サーバ１２は、ストレージシステム１１に対するデータの読み書きを制御する装置（ホスト）である。検証用サーバ１３は、データ汚染を引き起こすインシデントが発生した場合のような所定の契機で、ストレージシステム１１に格納されたデータを検証する装置である。バックアップサーバ１４は、ストレージシステム１１に格納されたデータのバックアップを制御する上位装置である。

ストレージシステム１１は、業務用ボリューム２１と、アクセス用ボリューム２２と、バックアップ環境２３とを有する。

業務用ボリューム２１は、業務用サーバ１２及びバックアップサーバ１４に提供する論理ボリュームである。アクセス用ボリューム２２は、検証用サーバ１３に提供する論理ボリュームである。

バックアップ環境２３は、ストレージシステム１１に格納されているデータをバックアップするための環境である。バックアップ環境２３は、バックアップされたデータであるバックアップデータに対するロックが行われるたびに、新しい環境へと移行される。図１～図３の例では、バックアップ環境２３として、バックアップデータに対するロックが行われる前の旧環境３１と、バックアップデータに対するロックが行われた後の新環境３２とが示されている。バックアップデータに対するロックは、具体的には、バックアップデータを格納する格納領域５１（後述）に対して上書きを禁止する処理であり、本実施形態では、検証用サーバ１３による検証にてデータ汚染が検出された場合に行われる。

旧環境３１及び新環境３２は、それぞれ、バックアップイメージ用ボリューム４１と、一時利用ボリューム４２と、管理用ボリューム４３と、データ保護領域４４とを有する。

バックアップイメージ用ボリューム４１は、ストレージシステム１１に格納されたデータのバックアップイメージを格納する論理ボリュームである。バックアップイメージは、例えば、業務用サーバ１２側のバックアップ用ソフトウェアにより作成される。

一時利用ボリューム４２は、バックアップイメージ用ボリューム４１に格納されたバックアップイメージをデータ保護領域４４にバックアップするために一時的に利用される論理ボリュームである。

管理用ボリューム４３は、バックアップ管理テーブル５０４（後述）をデータ保護領域４４に格納するために一時的に利用される論理ボリュームである。

データ保護領域４４は、ストレージシステム１１に格納されているデータのバックアップデータを格納する論理的な領域である。本実施形態では、データ保護領域４４は、バックアップイメージ用ボリューム４１に格納されたバックアップイメージのコピー（複製）をバックアップデータとして格納する。また、データ保護領域４４は、作成された時間が異なる最大保持世代数分のバックアップデータを格納する。最大保持世代数は、例えば、予め定められていてもよいし、ストレージシステム１１を利用するユーザにて指定されてもよい。本実施形態では、最大保持世代数は６であるが、６に限定されない。

データ保護領域４４は、具体的には、複数の格納領域５１と、格納領域５２とを有する。格納領域５１は、バックアップデータを格納する領域であり、１つの格納領域５１に１つのバックアップデータが格納される。格納領域５１は、最大保持世代数と同じ数だけ用意される。したがって、本実施形態では、格納領域５１は、６個ある。各格納領域５１には、その格納領域を識別する識別情報であるコピー番号が割り当てられている。図１の例では、６個の格納領域５１のそれぞれに、＃３～＃８までのコピー番号が割り当てられている。格納領域５２は、バックアップ管理テーブル５０４を格納する領域である。

バックアップサーバ１４は、バックアップ管理テーブル５０４と、アーカイブ管理テーブル５０３と、バックアップデータ５０７とを有する。バックアップ管理テーブル５０４は、現在（最新）のバックアップ環境２３（図１の例では、新環境３２）を管理するための管理情報（新管理情報）である。アーカイブ管理テーブル５０３は、過去の（古い）バックアップ環境２３（図１の例では、旧環境３１）を管理するための管理情報（旧管理情報）である。バックアップデータ５０７は、ストレージシステム１１に格納するバックアップデータである。

以上説明したセキュリティシステム１では、検証用サーバ１３による検証にてデータ汚染の可能性が検出され、データがリストアされる前の状態では、旧環境３１によって最大保持世代数分のバックアップデータがストレージシステム１１に格納され、データがリストアされた後の状態では、旧環境３１及び新環境３２の両方を用いて、最大保持世代数分のバックアップデータがストレージシステム１１に格納される。

データ汚染の可能性が検出されたバックアップデータ以降の世代のバックアップデータは、汚染されている可能性があるため、ロックされる。ロックされたバックアップデータは、世代数にはカウントされない。このため、仮に従来のような単一のバックアップ環境の場合、リストアが発生すると、上書き可能な格納領域５１が最大保持世代数よりも少なくなるため、最大保持世代数分のバックアップデータを保持することができない。

これに対して本実施形態のセキュリティシステム１は、リストアが発生すると、使用するバックアップイメージ用ボリューム４１を旧環境３１から新環境３２に移行し、バックアップデータを新環境３２の格納領域５１に格納することで、最大保持世代数分のバックアップデータを保持する。なお、新環境３２は、リストアが発生したタイミングで構築されてもよいし、予め構築されていてもよい。

図１の例では、旧環境３１の第３世代のバックアップデータがリストアの対象となり、それ以降の第４世代～第６世代のバックアップデータを格納する格納領域５１がロックされている。この場合、最大保持世代数分のバックアップデータが格納されるように、ロックされた後に生成された第７世代～第９世代までのバックアップデータが新環境３２の格納領域５１に格納される。

その後、図２で示すように、第１０世代～第１２世代のバックアップイメージが新環境３２の格納領域５１に順次バックアップされる。本実施形態では、最大保持世代数は６であるため、第１０世代～第１２世代のバックアップデータがバックアップされるたびに、最も古い世代である第１の世代から削除される。

そして、図３に示すように、第１３世代のバックアップデータは、新環境３２における最も古い第７世代のバックアップデータを格納した格納領域５１に上書きされる。したがって、これ以降、旧環境３１が使用されず、新環境３２のみでバックアップデータが最大保持世代数分格納される。

図４は、本発明の第１の実施形態のセキュリティシステム１の具体的な構成を示す図である。図４に示すようにセキュリティシステム１では、ストレージシステム１１、業務用サーバ１２、検証用サーバ１３及びバックアップサーバ１４がネットワーク１５を介して相互に接続される。

ストレージシステム１１は、記憶装置１１１と、コントローラ１１２とを有する。

記憶装置１１１は、データ、データに基づくバックアップイメージ及びバックアップイメージのコピーであるバックアップデータなどを格納する。記憶装置１１１は、複数あり、複数の記憶装置１１１は、１つの論理ボリューム１１３に対応する論理的グループ１１４を構成してもよい。また、論理的グループ１１４は、複数あってもよい。コントローラ１１２は、記憶装置１１１に対するデータの読み書きを制御する。

業務用サーバ１２は、仮想化制御部１２１と、複数の仮想マシン（ＶＭ：Virtual Machine）１２２とを有する。仮想化制御部１２１は、仮想マシン１２２を制御する。仮想マシン１２２は、ストレージシステム１１のコントローラ１１２を介して記憶装置１１１に対してデータの読み書きを行う。なお、業務用サーバ１２は、仮想マシン１２２を構築せずにストレージシステム１１に対してデータの読み書きを行うものでもよい。

バックアップサーバ１４は、ＣＰＵ１４１と、ＵＩ（User Interface）１４２と、ＩＦ（Interface）１４３と、メモリ１４４とを有する。

ＣＰＵ１４１は、メモリ１４４に記録されたプログラム４０１を読み取り、その読み取ったプログラム４０１を実行して種々の機能を実現する制御部である。ＵＩ１４２は、バックアップサーバ１４を利用するユーザとの間で情報の入出力を行う。ＩＦ４０３は、ネットワーク１５を介してストレージシステム１１との間の情報の入出力を行う。

メモリ１４４は、ＣＰＵ１４１の動作を規定するプログラム４０１と、ＣＰＵ１４１が行う処理にて使用する使用データ４０２とを記憶する記録媒体である。

プログラム４０１は、バックアップ取得プログラム４１１と、データ保護領域管理プログラム４１２とを含む。バックアップ取得プログラム４１１は、ストレージシステム１１に格納されているバックアップイメージのコピーであるバックアップデータを取得するためのプログラムである。データ保護領域管理プログラム４１２は、ストレージシステム１１のバックアップ環境２３、特にデータ保護領域４４を管理するためのプログラムである。

使用データ４０２は、確認結果テーブル５０１と、統合管理設定ファイル５０２と、アーカイブ管理テーブル５０３と、バックアップ管理テーブル５０４と、アーカイブ設定テーブル５０５と、バックアップ設定テーブル５０６と、バックアップデータ５０７とを含む。

図５は、確認結果テーブル５０１の一例を示す図である。確認結果テーブル５０１は、検証用サーバ１３によるバックアップデータに対するデータ汚染の検証の検証結果を示す情報であり、フィールド５１１～５１３を含む。

フィールド５１１は、バックアップデータを識別する識別情報であるバックアップイメージＩＤを格納する。フィールド５１２は、バックアップデータをバックアップした日時（保護領域４４に格納した日時）であるバックアップ日時を格納する。フィールド５１３は、検証結果を格納する。検証結果は、例えば、データ汚染の可能性が検出されたことを示す「感染」、及び、リストアの対象であることを示す「リストア候補」などを示す。また、検証結果は、データ汚染の可能性が検出されていないことを示す「非感染」などを示してもよい。

図６は、統合管理設定ファイル５０２の一例を示す図である。統合管理設定ファイル５０２は、バックアップデータを管理するための情報であり、項目５２１～５２５を含む。

項目５２１は、ストレージシステム１１を利用するユーザにて設定されるユーザポリシーを識別するポリシー名を示す。ユーザポリシーは、例えば、最大保持世代、及び、バックアップを行う間隔などを規定する。ユーザポリシーは図示していないが、例えば、メモリ１４４に記録される。

項目５２２は、現在（最新）のバックアップ環境を管理するバックアップ管理テーブル５０４を示す。項目５２３は、現在のバックアップ環境にて管理されているデータ保護領域４４を示す。項目５２４は、過去のバックアップ環境を管理するアーカイブ管理テーブル５０３を示す。項目５２５は、過去のバックアップ環境にて管理されているデータ保護領域４４を示す。

図６（ａ）は、リストアが行われる前の統合管理設定ファイル５０２の一例を示す。図６（ａ）の例では、過去のバックアップ環境がないため、項目５２４及び５２５は空となる。また、項目５２２は、バックアップ管理テーブル５０４として「管理テーブル（１）」を示し、項目５２３は、データ保護領域４４として「データ保護領域（１）」を示す。

図６（ｂ）は、リストアが１回行われた後の統合管理設定ファイル５０２の一例を示す。図６（ｂ）の例では、項目５２４は、リストアが行われる前の項目５２２（図６（ａ）の項目５２２）に示されていた「管理テーブル（１）」を示し、項目５２５は、リストアが行われる前の項目５２３（図６（ａ）の項目５２３）に示されていた「データ保護領域（１）」を示す。また、項目５２２には、バックアップ管理テーブル５０４として新たに「管理テーブル（２）」が示され、項目５２３には、データ保護領域４４として新たに「データ保護領域（２）」が示される。

図６（ｃ）は、リストアが２回行われた後の統合管理設定ファイル５０２の一例を示す。
図６（ｃ）の例では、項目５２４は、２回目のリストアが行われる前の項目５２２及び５２４（図６（ｂ）の項目５２２及び５２４）に示されていた「管理テーブル（１）」及び「管理テーブル（２）」を示し、項目５２５は、２回目のリストアが行われる前の項目５２３（図６（ｂ）の項目５２３及び５２４）に示されていた「データ保護領域（１）」及び「データ保護領域（２）」を示す。また、項目５２２には、バックアップ管理テーブル５０４として新たに「管理テーブル（３）」が示され、項目５２３には、データ保護領域４４として新たに「データ保護領域（３）」が示される。

図６に示したようにバックアップ管理テーブル５０４は、リストアの有無に関わらず、常に１つ存在し、アーカイブ管理テーブル５０３は、リストアが行われるたびに新しく追加される。

図７は、アーカイブ管理テーブル５０３の一例を示す図である。図７は、図１で示した状況におけるアーカイブ管理テーブル５０３を示している。アーカイブ管理テーブル５０３は、フィールド５３１～５３６を含む。

フィールド５３１は、バックアップデータのバックアップ世代であるバックアップイメージ世代を格納する。フィールド５３２は、バックアップイメージＩＤを格納する。フィールド５３３は、バックアップ日時を格納する。フィールド５３４は、バックアップデータを格納する格納領域５１のコピー番号を格納する。フィールド５３５は、格納領域５１のロック状態を格納する。ロック状態は、格納領域５１がロックされている場合、「Ｔｒｕｅ」を示し、ロックされていない場合、「Ｆａｌｓｅ」を示す。フィールド５３６は、リストアが行われたリストア日時を格納する。なお、本実施形態では、リストア日時は、リストアされた際に、そのリストア後のバックアップ環境を管理するバックアップ管理テーブル５０４に格納されるため、図７では、フィールド５３６は空となる。

図８は、バックアップ管理テーブル５０４の一例を示す図である。図８は、図１で示した状況におけるバックアップ管理テーブル５０４を示している。バックアップ管理テーブル５０４は、フィールド５４１～５４６を含む。

フィールド５４１は、バックアップイメージ世代を格納する。フィールド５４２は、バックアップイメージＩＤを格納する。フィールド５４３は、バックアップ日時を格納する。フィールド５４４は、コピー番号を格納する。フィールド５４５は、格納領域５１のロック状態を格納する。フィールド５４６は、リストアが行われたリストア日時を格納する。

なお、コピー番号、ロック状態及びリストア日時は、バックアップ管理テーブル５０４を用意する際に、全てのレコードに対して予め格納される。

図９は、アーカイブ設定テーブル５０５の一例を示す図である。アーカイブ設定テーブル５０５は、過去のバックアップ環境におけるバックアップに関する設定を示す情報であり、フィールド５５１～５５３を含む。

フィールド５５１は、バックアップに関する設定を識別する設定番号を格納する。フィールド５５２は、バックアップに関する設定として最大保持世代数を格納する。フィールド５５３は、バックアップに関する設定として、バックアップを行うバックアップポリシーを格納する。本実施形態では、バックアップポリシーは、「設定１」に対応する「ポリシーＡ」と、「設定２」に対応する「ポリシーＢ」とを含む。

「ポリシーＡ」は、下記の条件１及び２の両方を満たす場合に、現在のバックアップ環境のデータ保護領域４４にデータをバックアップする（バックアップデータを格納する）ことを示す。
条件１．バックアップイメージが新たに作成される（バックアップイメージ用ボリューム４１にバックアップイメージが新たに格納される）。
条件２．バックアップイメージ用ボリューム４１に格納されるバックアップイメージの世代数が規定数に達している。なお、規定数は、業務用サーバ１２側のバックアップ用ソフトウェアなどにより規定される。

「ポリシーＢ」は、下記の条件３を満たす場合に、過去のバックアップ環境のデータ保護領域４４に格納され、かつ、ロックされていないバックアップデータである無ロックデータを削除する。
条件３．過去のバックアップ環境のデータ保護領域４４に格納されている無ロックデータの世代数と、現在のバックアップ環境のデータ保護領域４４に格納されているバックアップデータの世代数との総和が最大保持世代数を超えている。

図１０は、バックアップ設定テーブル５０６の一例を示す図である。バックアップ設定テーブル５０６は、アーカイブ設定テーブル５０５と同じ内容の情報である。

図１１～図１５は、バックアップサーバ１４による処理の一例を説明するためのフローチャートである。具体的には、図１１及び図１２は、バックアップ処理を行う（再開する）ための前処理を説明するためのフローチャートであり、図１３～図１５は、バックアップ処理の一例を説明するためのフローチャートである。バックアップ処理は、例えば、ストレージシステム１１の運用中に行われる。

前処理では、先ず、データ保護領域管理プログラム４１２は、統合管理設定ファイル５０２から、アーカイブ管理テーブル５０３のそれぞれを示す情報を構成情報として取得し、その構成情報をメモリ１４４の所定のメモリ領域（Archive_Tables_Config）に格納する（ステップＳ１０１）。

データ保護領域管理プログラム４１２は、確認結果テーブル５０１からリストア候補のバックアップデータのバックアップイメージＩＤ及びバックアップ日時を取得する（ステップＳ１０２）。

データ保護領域管理プログラム４１２は、メモリ領域（Archive_Tables_Config）が空か否かを判断する（ステップＳ１０３）。

メモリ領域（Archive_Tables_Config）が空でない場合、データ保護領域管理プログラム４１２は、メモリ領域（Archive_Tables_Config）に格納された構成情報のいずれかを対象構成情報として取得し、その対象構成情報が示すアーカイブ管理テーブル５０３を対象のアーカイブ管理テーブル５０３として特定する（ステップＳ１０４）。例えば、データ保護領域管理プログラム４１２は、構成情報を識別する不図示のインデックスが最も小さい構成情報を取得する。

データ保護領域管理プログラム４１２は、対象のアーカイブ管理テーブル５０３内の各バックアップイメージ世代のバックアップ日時を確認して、リストア候補のバックアップ日時よりも新しいバックアップ日時のバックアップイメージ世代を、汚染後世代として特定する（ステップＳ１０５）。

データ保護領域管理プログラム４１２は、汚染後世代が１つ以上存在するか否かを判断する（ステップＳ１０６）。

汚染後世代が存在する場合、データ保護領域管理プログラム４１２は、アーカイブ管理テーブル５０３の更新が必要と判断して、対象のアーカイブ管理テーブル５０３における、汚染後世代のバックアップデータのロック状態を「Ｔｒｕｅ」に設定し、他のバックアップデータ世代のロック状態を「Ｆａｌｓｅ」に設定する（ステップＳ１０７）。

データ保護領域管理プログラム４１２は、対象のアーカイブ管理テーブル５０３におけるリストア日時を全て空にする（ステップＳ１０８）。

データ保護領域管理プログラム４１２は、メモリ領域（Archive_Tables_Config）から対象構成情報を削除し（ステップＳ１０９）、ステップＳ１０３の処理に戻る。

上記処理においてステップＳ１０６において汚染後世代が存在しない場合、データ保護領域管理プログラム４１２は、ステップＳ１０７及びＳ１０８の処理をスキップする。

また、ステップＳ１０３において、メモリ領域（Archive_Tables_Config）が空の場合、データ保護領域管理プログラム４１２は、リストア候補のバックアップデータに基づくリストアが必要か否かを判断する（図１２のステップＳ１１０）。

例えば、検証用サーバ１３にて検証が行われ、データ汚染の可能性が発生した場合に、データ保護領域管理プログラム４１２は、リストア候補のバックアップデータに基づくリストアが必要と判断する。なお、当初はデータ汚染の可能性がないと検出されていた場合でも、その後、詳細に検証した結果、データ汚染の可能性が検出される場合がある。この場合でも、リストアが行われる。また、詳細に検証した結果、リストア対象がより新しい世代のバックアップイメージに代わる場合もある。この場合でも、新しいリストア対象に基づいてリストが行われる。

リストアが必要でない場合、データ保護領域管理プログラム４１２は、処理を終了する。一方、リストアが必要な場合、データ保護領域管理プログラム４１２は、リストア候補のバックアップデータに基づいてリストアを実施し、リストアを実施したリストア日時を実施済みリストア日時として取得する（ステップＳ１１１）。

データ保護領域管理プログラム４１２は、統合管理設定ファイル５０２から
バックアップ管理テーブル５０４を示す情報を現構成情報として取得し、その現構成情報をメモリ１４４の所定のメモリ領域（Backup_Tables_Config）に格納する（ステップＳ１１２）。

データ保護領域管理プログラム４１２は、メモリ領域（Backup_Tables_Config）に格納された現構成情報を取得し、その現構成情報が示すバックアップ管理テーブル５０４を特定する（ステップＳ１１３）。

データ保護領域管理プログラム４１２は、特定したバックアップ管理テーブル５０４の各リストア日時に実施済みリストア日時を設定して（ステップＳ１１４）、前処理を終了する。

次に図１３～図１５を用いてバックアップ処理の一例を説明する。

先ず、バックアップ取得プログラム４１１は、バックアップ管理テーブル５０４から、バックアップ日時がリストア日時よりも古い世代の情報（レコード）を旧世代情報として取得して、メモリ１４４の所定のメモリ領域（New_Fort_Invalid）に一時保存する（図１３のステップＳ２０１）。

バックアップ取得プログラム４１１は、バックアップ管理テーブル５０４から、バックアップ日時がリストア日時以降の世代の情報を新世代情報として取得して、メモリ１４４の所定のメモリ領域（New_Fort_Valid）に一時保存する（ステップＳ２０２）。

バックアップ取得プログラム４１１は、旧世代情報に含まれるバックアップデータの世代数と、新世代情報に含まれるバックアップデータの世代数との総和を現世代数として算出する（ステップＳ２０３）。

バックアップ取得プログラム４１１は、現世代数と最大保持世代数とを比較して、現世代数が最大保持世代数未満か否かを判断する（ステップＳ２０４）。

現世代数が最大保持世代数未満の場合、バックアップ取得プログラム４１１は、バックアップ管理テーブル５０４内の未使用の格納領域のコピー番号のうち最も小さいコピー番号を選択し、選択したコピー番号に対応する格納領域を次のバックアップデータを格納する次格納領域として指定する（ステップＳ２０５）。

現世代数が最大保持世代数以上場合、バックアップ取得プログラム４１１は、バックアップ管理テーブル５０４内のバックアップ日時が最も古いコピー番号を選択し、選択したコピー番号に対応する格納領域を次格納領域として指定する（ステップＳ２０６）。

その後、バックアップ取得プログラム４１１は、現在のバックアップ環境におけるバックアップイメージ用ボリューム４１を確認し（ステップＳ２０７）、バックアップイメージが規定数以上存在するか否かを判断する（ステップＳ２０８）。

バックアップイメージが規定数以上存在していない場合、バックアップ取得プログラム４１１は、一定時間待機して（ステップＳ２０９）、ステップＳ２０７の処理に戻る。

一方、バックアップイメージが規定数以上存在する場合、バックアップ取得プログラム４１１は、新たにバックアップイメージが作成されてバックアップイメージ用ボリューム４１に格納されたか否かを判断する（ステップＳ２１０）。

新たにバックアップイメージが作成されていない場合、バックアップ取得プログラム４１１は、一定時間待機して（ステップＳ２０９）、ステップＳ２０７の処理に戻る。

一方、新たにバックアップイメージが作成された場合、バックアップ取得プログラム４１１は、現在のバックアップ環境におけるバックアップイメージ用ボリューム４１に格納されているバックアップイメージのうち最も古いバックアップイメージを、現在のバックアップ環境における一時利用ボリューム４２にバックアップデータとしてコピーする。そして、バックアップ取得プログラム４１１は、コピーしたバックアップデータのバックアップイメージＩＤ及びバックアップ日時を取得する（ステップＳ２１１）。

バックアップ取得プログラム４１１は、バックアップ管理テーブル５０４における、ステップＳ２０５又はＳ２０６で選択したコピー番号に対応するフィールド５４２及び５４３のそれぞれに、ステップＳ２１１で取得したバックアップイメージＩＤ及びバックアップ日時を格納する（ステップＳ２１２）。なお、選択されたコピー番号の格納領域に既にバックアップデータが格納されている場合、つまりフィールド５４２及び５４３にバックアップイメージＩＤ及びバックアップ日時が既に格納されている場合、バックアップ取得プログラム４１１は、そのバックアップイメージＩＤ及びバックアップ日時に対して、ステップＳ２１１で取得したバックアップイメージＩＤ及びバックアップ日時を上書きする。

バックアップ取得プログラム４１１は、バックアップ管理テーブル５０４を現在のバックアップ環境における管理用ボリューム４３にコピーする（ステップＳ２１３）。なお、バックアップ取得プログラム４１１は、バックアップ管理テーブル５０４のうちステップＳ２１２で更新された部分をコピーしてもよい。

バックアップ取得プログラム４１１は、一時利用ボリューム４２にコピーしたイメージデータを次格納領域として指定された格納領域５１に格納するとともに、管理用ボリューム４３にコピーしたバックアップ管理テーブル５０４を格納領域５２に格納する（ステップＳ２１４）。

その後、データ保護領域管理プログラム４１２は、全てのアーカイブ管理テーブル５０３からロック状態が「Ｆａｌｓｅ」の世代のバックアップデータのコピー番号、バックアップイメージＩＤ及びバックアップ日時の組を旧セット情報として全て取得し、それらの旧セット情報をメモリ１４４の所定のメモリ領域（Old_Fort_Valid）に一時保存する（図１５のステップＳ２１５）。

データ保護領域管理プログラム４１２は、メモリ領域（Old_Fort_Valid）にセット情報が存在するか否かを判断する（ステップＳ２１６）。

旧セット情報が存在しない場合、データ保護領域管理プログラム４１２は、バックアップ処理を終了する。一方、旧セット情報が存在する場合、データ保護領域管理プログラム４１２は、バックアップ管理テーブル５０４からバックアップ日時がリストア日時以降のバックアップデータのコピー番号、バックアップイメージＩＤ及びバックアップ日時の組を新セット情報として全て取得し、それらの新セット情報をメモリ１４４の所定の領域（New_Fort_Valid）に一時保存する（ステップＳ２１７）。

データ保護領域管理プログラム４１２は、メモリ領域（Old_Fort_Valid）に保存された旧セット情報の世代数と、メモリ領域（New_Fort_Valid）に保存された新セット情報の世代数との総和を算出する（ステップＳ２１８）。

データ保護領域管理プログラム４１２は、世代数の総和と最大保持世代数とを比較して、世代数の総和から最大保持世代数を減算した減算結果が０よりも大きいか否かを判断する（ステップＳ２１９）。

減算結果が０以下の場合、データ保護領域管理プログラム４１２は、バックアップ処理を終了する。一方、減算結果が０よりも大きい場合、データ保護領域管理プログラム４１２は、全てのアーカイブ管理テーブル５０３の中から最も古いバックアップイメージ世代を有するアーカイブ管理テーブル５０３を特定する（ステップＳ２２０）。

データ保護領域管理プログラム４１２は、特定したアーカイブ管理テーブル５０３から最も古いバックアップイメージ世代のバックアップデータのコピー番号、バックアップイメージＩＤ及びバックアップ日時の組を最古セット情報として取得する（ステップＳ２２１）。

データ保護領域管理プログラム４１２は、過去のバックアップ環境から最古セット情報に対応するバックアップデータを削除し、さらに、メモリ領域（Old_Fort_Valid）の旧セット情報から最古セット情報を削除する（ステップS２２２）。

データ保護領域管理プログラム４１２は、特定したアーカイブ管理テーブル５０３において、最古セット情報に対応するバックアップイメージ世代、バックアップイメージID及びバックアップ日時を削除し（ステップS２２３）、ステップS２１６の処理に戻る。

以上説明したように本実施形態によれば、バックアップサーバ１４は、１以上の格納領域５１に対して上書きを禁止するロックが行われた場合、新しいバックアップ管理テーブル５０４を用意し、バックアップ管理テーブル５０４と、過去のバックアップ管理テーブル５０４であるアーカイブ管理テーブル５０３とを用いて、最大保持世代数分のバックアップデータをストレージシステム１１に格納する。このため、バックアップデータがロックされた場合でも、最大保持世代数分のバックアップデータを確保することが可能になる。

また、本実施形態によれば、バックアップサーバ１４は、新しいバックアップデータが作成されるたびに、バックアップ管理テーブル５０４が管理している格納領域５１に新しいバックアップデータを格納していく。このため、新しく生成されたバックアップデータは新しいバックアップ環境でバックアップすることが可能になるため、管理が容易となる。

また、本実施形態では、格納されているバックアップデータの世代数が最大保持世代数を超えると、最も古い世代のバックアップデータが削除又は上書きされる。このため、格納領域５１を適切に開放することが可能になる。

また、本実施形態では、バックアップサーバ１４は、業務用サーバ１２がストレージシステム１１に作成するバックアップイメージのコピーをバックアップデータとして生成する。このため、業務用サーバ１２とは独立してバックアップデータを生成することが可能になるため、セキュリティを向上させることが可能になる。

（他の実施形態）
セキュリティシステム１は、他のストレージシステム又はストレージ装置を経由して、ストレージシステム１１に対する処理（前処理及びバックアップ処理）を行ってもよい。

図１６は、セキュリティシステム１は、他のストレージシステムを経由して、ストレージシステム１１に対する処理を行う形態を示す図である。図１６に示すセキュリティシステム１は、図４に示した第１の実施形態のセキュリティシステム１と比べて、ストレージシステム１１Ｂを新たに有する点で異なる。また、セキュリティシステム１は、ストレージシステム１１Ｂを経由して、ストレージシステム１１に対する処理を行う。なお、ストレージシステム１１Ｂは、ストレージシステム１１と同様な機能を有していてもよい。

上述した本開示の実施形態は、本開示の説明のための例示であり、本開示の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本開示の範囲を逸脱することなしに、他の様々な態様で本開示を実施することができる。

１：セキュリティシステム、１１～１１Ｂ：ストレージシステム、１２：業務用サーバ、１３：検証用サーバ、１４：バックアップサーバ、１５：ネットワーク、２１ 業務用ボリューム、２２：アクセス用ボリューム、３１：旧環境、３２：新環境、４１：バックアップイメージ用ボリューム、４２：一時利用ボリューム、４３：バックアップ管理テーブル用ボリューム、４４：データ保護領域、５１～５２：格納領域、１１１：記憶装置、１１２：コントローラ、１１３：論理ボリューム、１１４：論理的グループ、１４１：ＣＰＵ、１４４：メモリ

Claims (7)

1. 複数の世代のバックアップデータを格納可能なストレージシステムと、前記ストレージシステムを制御する上位システムとを有するセキュリティシステムであって、
   前記上位システムは、
   前記ストレージシステムにおける前記バックアップデータを格納する格納領域を最大保持世代数分管理する管理情報を格納するメモリと、
   １以上の前記格納領域に対して上書きを禁止するロックが行われた場合、新しい前記管理情報を新管理情報として用意し、新しい前記バックアップデータが作成されるたびに、前記新管理情報が管理している格納領域に当該新しいバックアップデータを格納していき、前記メモリに格納されていた管理情報である旧管理情報にて管理され、かつ、前記ロックされていない格納領域である無ロック格納領域に格納されているバックアップデータの数と、前記新管理情報にて管理されている格納領域に格納されているバックアップデータの数との和である格納世代数が前記最大保持世代数を超えると、前記無ロック格納領域に格納されているバックアップデータのうち最も古い世代のバックアップデータを削除する制御部と、を有するセキュリティシステム。
2. 前記制御部は、前記無ロック格納領域に格納されているバックアップデータが全て削除されている場合、前記新しいバックアップデータを、前記新管理情報にて管理されている格納領域に格納されているバックアップデータのうち最も古い世代のバックアップデータに上書きする、請求項１に記載のセキュリティシステム。
3. 前記上位システムは、前記バックアップデータの検証を行う上位装置を備え、
   前記制御部は、前記上位装置の検証にてデータ汚染の可能性が検出されたバックアップデータ以降の世代のバックアップデータを格納している格納領域をロックし、当該バックアップデータよりも古い世代のバックアップデータに基づいて、データのリストアを行う、請求項１に記載のセキュリティシステム。
4. 前記上位システムは、前記ストレージシステムに対してデータの読み書きを制御する上位装置を備え、
   前記上位装置は、前記データのバックアップイメージを作成して前記ストレージシステムに格納し、
   前記制御部は、前記バックアップイメージのコピーを前記バックアップデータとして生成する、請求項１に記載のセキュリティシステム。
5. 前記上位システムは、他のストレージシステムを経由して前記ストレージシステムを制御する、請求項１に記載のセキュリティシステム。
6. 複数の世代のバックアップデータを格納可能なストレージシステムを制御する上位システムであって、
   前記ストレージシステムにおける前記バックアップデータを格納する格納領域を最大保持世代数分管理する管理情報を格納するメモリと、
   １以上の前記格納領域に対して上書きを禁止するロックが行われた場合、新しい前記管理情報を新管理情報として用意し、新しい前記バックアップデータが作成されるたびに、前記新管理情報が管理している格納領域に当該新しいバックアップデータを格納していき、前記メモリに格納されていた管理情報である旧管理情報にて管理され、かつ、前記ロックされていない格納領域である無ロック格納領域に格納されているバックアップデータの数と、前記新管理情報にて管理されている格納領域に格納されているバックアップデータの数との和である格納世代数が前記最大保持世代数を超えると、前記無ロック格納領域に格納されているバックアップデータのうち最も古い世代のバックアップデータを削除する制御部と、を有する上位システム。
7. 複数の世代のバックアップデータを格納可能なストレージシステムと、前記ストレージシステムを制御する上位システムとを有するセキュリティシステムによるバックアップ方法であって、
   前記上位システムが、前記ストレージシステムにおける前記バックアップデータを格納する格納領域を最大保持世代数分管理する管理情報をメモリに格納し、
   前記上位システムが、１以上の前記格納領域に対して上書きを禁止するロックが行われた場合、新しい前記管理情報を新管理情報として用意し、
   前記上位システムが、新しい前記バックアップデータが作成されるたびに、前記新管理情報が管理している格納領域に当該新しいバックアップデータを格納していき、前記メモリに格納されていた管理情報である旧管理情報にて管理され、かつ、前記ロックされていない格納領域である無ロック格納領域に格納されているバックアップデータの数と、前記新管理情報にて管理されている格納領域に格納されているバックアップデータの数との和である格納世代数が前記最大保持世代数を超えると、前記無ロック格納領域に格納されているバックアップデータのうち最も古い世代のバックアップデータを削除する、バックアップ方法。

Images