JP7319326B2 - ストレージシステム及びストレージシステムのファイル配置方法 - Google Patents

Description

本発明は、ストレージシステム及びストレージシステムのファイル配置方法に関する。

現在、市場として複数のクラウドを統合的に管理するハイブリッドクラウドのニーズが生まれてきており、その課題としてはセキュリティの強化が課題として挙げられている。

それに伴い、セキュリティ分野ではマルウェアの発動／発現を検知して対処する"Cyber Resilience"という考え方が主流となっており、多世代のバックアップデータとセキュリティソフトを組み合わせることでマルウェアの長期潜伏からの早期のリストアを実現する方法などが検討されている。

そのため、ストレージには多世代のバックアップデータを格納する容量と、多世代のバックアップデータへのアクセス性能が求められる。

データ容量と性能を両立する技術として、階層化技術が知られている（例えば特許文献１、特許文献２参照）。特許文献１に開示された技術は、コストと性能特性の異なる複数のメディアを、データのアクセス頻度を基にしてデータを再配置し、適切に使い分けるものである。

米国特許第８８８０８３０号明細書 米国特許第８９１８６０９号明細書

一方、ストレージを取り巻く状況は、ＮＶＭｅ（NVM Express：Non-Volatile Memory Express）、ハイブリッドクラウド、外部ストレージの仮想化技術（例えばＵＶＭ；Universal Volume Manager）などが登場し、コストと性能特性だけでなく、信頼性やセキュリティ特性が異なるメディア(インフラ)が１つのシステム内に複数存在するようになりつつある。

しかし、特許文献１、２に記載された技術では、コストと性能特性以外は考慮されていない。そのため、信頼性やセキュリティ特性が異なるメディア、信頼性やセキュリティ要件が異なるデータを、１つのシステムで管理することが難しい。

より具体的に言えば、信頼性やセキュリティ特性が異なるメディアが存在する環境では、信頼性・セキュリティ特性が最も低いメディアに格納しても良いデータしか管理できない。また、信頼性やセキュリティ要件が異なるデータが存在する環境では、信頼性・セキュリティ要件がもっと高いデータを格納できるメディアのみでインフラを構成する必要がある。結果として、コストが高くなるという問題がある。

システムのコスト（管理コストやメディアのコスト）と性能（アクセス性能やリストア性能）を両立するためには、コスト・性能・信頼性・セキュリティ特性を適切に使い分ける階層化技術が必要となっている。

本発明は、上記事情に鑑みなされたものであり、その目的は、記憶デバイスのコスト・性能・信頼性・セキュリティ特性を適切に使い分けることが可能なストレージシステム及びストレージシステムのファイル配置方法を提供することにある。

上記課題を解決すべく、本発明の一つの観点に従うストレージシステムは、ホストに接続され、このホストからのファイル操作要求に基づいて、格納されたファイルの操作を行うストレージシステムであって、コントローラと、信頼性及びセキュリティレベルが異なる複数の記憶デバイスとを有し、コントローラは、ファイルの種別及び内容の少なくとも一方に基づいてこのファイルの信頼性要件及びセキュリティ要件を判定し、この判定結果に基づいてファイルを格納する記憶デバイスを決定し、決定した記憶デバイスにファイルを格納する。

本発明によれば、記憶デバイスのコスト・性能・信頼性・セキュリティ特性を適切に使い分けることが可能なストレージシステム及びストレージシステムのファイル配置方法を実現することができる。

実施形態に係るストレージシステムの概略構成の一例を示す図である。 実施形態に係るストレージシステムのハードウェア構成の一例を示す図である。 実施形態に係るストレージシステムの要件定義テーブルの一例を示す図である。 実施形態に係るストレージシステムの優先度定義テーブルの一例を示す図である。 実施形態に係るストレージシステムの階層管理テーブルの一例を示す図である。 実施形態に係るストレージシステムの感染情報テーブルの一例を示す図である。 実施形態に係るストレージシステムのアクセス履歴テーブルの一例を示す図である。 実施形態に係るストレージシステムの世代情報管理テーブルの一例を示す図である。 実施形態に係るストレージシステムのファイルサイズテーブルの一例を示す図である。 実施形態に係るストレージシステムにおける記憶階層の取扱の一例を示す図である。 一般的なストレージシステムにおけるファイルの格納状態の一例を示す図である。 一般的なストレージシステムにおけるファイルの格納状態の他の例を示す図である。 実施形態に係るストレージシステムの動作の概要を説明する図である。 実施形態に係るストレージシステムのアクセス履歴テーブル更新処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムの感染情報テーブル更新処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムの世代情報管理テーブル更新処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムのバックアップ取得処理動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムのデータ書込処理動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムの階層再配置決定処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムの降格データ特定処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムの非感染データ特定処理動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムの感染時階層再配置処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムの感染時降格データ特定処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムのバックアップ時階層再配置処理部の動作の一例を説明するためのフローチャートである。 実施形態に係るストレージシステムのバックアップ時降格データ特定処理部の動作の一例を説明するためのフローチャートである。 実施例１に係るストレージシステムの概略構成の一例を示す図である。 実施例２に係るストレージシステムの概略構成の一例を示す図である。 実施例３に係るストレージシステムの概略構成の一例を示す図である。 実施例４に係るストレージシステムの概略構成の一例を示す図である。 実施例５に係るストレージシステムの概略構成の一例を示す図である。 実施例６に係るストレージシステムの概略構成の一例を示す図である。 実施例７に係るストレージシステムの概略構成の一例を示す図である。 実施例８に係るストレージシステムの概略構成の一例を示す図である。

以下、本発明の実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

なお、以下の説明において、「メモリ」は、１以上のメモリであり、典型的には主記憶デバイスでよい。メモリ部における少なくとも１つのメモリは、揮発性メモリであってもよいし不揮発性メモリであってもよい。

また、以下の説明において、「プロセッサ」は、１以上のプロセッサである。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサであるが、ＧＰＵ（Graphics Processing Unit）のような他種のプロセッサでもよい。少なくとも１つのプロセッサは、シングルコアでもよいしマルチコアでもよい。

また、少なくとも１つのプロセッサは、処理の一部又は全部を行うハードウェア回路（例えばＦＰＧＡ（Field-Programmable Gate Array）又はＡＳＩＣ（Application Specific Integrated Circuit））といった広義のプロセッサでもよい。

本開示において、記憶装置（デバイス）は、１台のＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の１台のストレージドライブ、複数台のストレージドライブを含むＲＡＩＤ装置、及び複数のＲＡＩＤ装置を含む。また、ドライブがＨＤＤである場合には、例えば、ＳＡＳ（Serial Attached SCSI） ＨＤＤを含んでもよく、ＮＬ－ＳＡＳ（ニアラインＳＡＳ） ＨＤＤを含んでもよい。

また、以下の説明において、「ｘｘｘテーブル」といった表現により、入力に対して出力が得られる情報を説明することがあるが、この情報は、どのような構造のデータでもよいし、入力に対する出力を発生するニューラルネットワークのような学習モデルでもよい。従って、「ｘｘｘテーブル」を「ｘｘｘ情報」と言うことができる。

また、以下の説明において、各テーブルの構成は一例であり、１つのテーブルは、２以上のテーブルに分割されてもよいし、２以上のテーブルの全部又は一部が１つのテーブルであってもよい。

また、以下の説明において、「プログラム」を主語として処理を説明する場合があるが、プログラムは、プロセッサによって実行されることで、定められた処理を、適宜に記憶資源（例えば、メモリ）及び／又は通信インターフェースデバイス（例えば、ポート）を用いながら行うため、処理の主語がプログラムとされてもよい。プログラムを主語として説明された処理は、プロセッサまたはそのプロセッサを有する計算機が行う処理としてもよい。

なお、以降の説明において、"○○部は"と動作主体を記した場合、それは、ストレージシステムを構成する情報処理装置のプロセッサがメモリに格納されたプログラムである○○部の処理内容を読み出してロードしたうえで○○部の機能（詳細後記）を実現することを意味する。

プログラムは、計算機のような装置にインストールされてもよいし、例えば、プログラム配布サーバ又は計算機が読み取り可能な（例えば非一時的な）記録媒体にあってもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。

なお、実施例を説明する図において、同一の機能を有する箇所には同一の符号を付し、その繰り返しの説明は省略する。

また、以下の説明において、同種の要素を区別しないで説明する場合には、参照符号（又は、参照符号のうちの共通符号）を使用し、同種の要素を区別して説明する場合は、要素の識別番号（又は参照符号）を使用することがある。

図面において示す各構成要素の位置、大きさ、形状、範囲などは、発明の理解を容易にするため、実際の位置、大きさ、形状、範囲などを表していない場合がある。このため、本発明は、必ずしも、図面に開示された位置、大きさ、形状、範囲などに限定されない。

図１は、実施形態に係るストレージシステムの概略構成を示す図である。

本実施形態のストレージシステム１は、複数のストレージ装置１００ａ～１００ｃを有する。本実施形態では３台のストレージ装置１００ａ～１００ｃを用いた例を示しているが、複数台であればその台数に制限はない。ストレージ装置１００ａは、ネットワーク３００を介してホストであるサーバＡ ４００及びセキュリティ監視サーバ５００と相互に通信可能に構成されている。また、ストレージ装置１００ａとストレージ装置１００ｂ、１００ｃとは、通信線を介して相互に情報の送受信が可能に構成されている。

ストレージ装置１００は、各種情報処理が可能な装置、一例としてコンピュータ等の情報処理装置から構成される。ストレージ装置１００のハードウェア構成については後述する。

サーバＡ ４００は、ストレージ装置１００ａ～１００ｃに格納されているファイルに対して各種操作（リード、ライト、消去、更新など）指示を行い、ストレージ装置１００ａ～１００ｃは、サーバＡ ４００からの操作指示に基づいて格納されたファイルの操作を実行する。図１ではサーバＡ ４００のみ図示しているが、サーバ４００の個数に制限はない。

セキュリティ監視サーバ５００は感染検知部５０１を有する。感染検知部５０１は、既知のセキュリティソフト等が実行されることにより構成される。感染検知部５０１は、サーバＡ ４００を常時（含む間欠的）に監視し、このサーバＡ ４００がマルウェア（含むコンピュータウイルス）に感染した場合、この感染の事象（インシデント）を検出し、感染時刻及び感染端末（サーバＡ ４００）を特定する情報を取得する。本実施形態のセキュリティ監視サーバ５００は、感染端末を特定する情報としてサーバＡ ４００のＩＰアドレスを取得する。セキュリティ監視サーバ５００が取得した感染時刻及び感染端末を特定する情報は、図１で図略の感染情報テーブル１１７（図６参照）に格納される。

ストレージ装置１００ａは、データ書込処理部１０１、バックアップ取得処理部１０２、アクセス履歴テーブル更新処理部１０３、感染情報テーブル更新処理部１０４、世代情報管理テーブル更新処理部１０５及び記憶装置を有する。
データ書込処理部１０１は、サーバＡ ４００からのデータ（ファイル）書込指示に基づいて、書込対象となるファイルをストレージ装置１００ａ～１００ｃの記憶装置に書き込む。この際、データ書込処理部１０１は、ストレージ装置１００の記憶装置を複数の論理ボリュームとして管理する。本実施例のストレージ装置１００ａでは、データ書込処理部１０１は、サーバＡ ４００からの操作指示に基づいてファイル操作が行われるボリュームＡ １２０と、このボリュームＡ １２０に格納されているファイルを定期的にバックアップして格納するデータ保護領域１３０内のボリューム Ｂ～Ｄ １２１～１２３として管理する。

また、ストレージ装置１００の記憶装置のうち、ボリュームＢ～Ｄ １２１～１２３に対応する記憶装置は性能の異なる複数の物理記憶デバイスで構成されている。図１に示す本実施形態のストレージ装置１００では、ＳＳＤ及びＳＡＳ（Serial Attached SCSI HDD）及びにより構成されている。そして、データ書込処理部１０１は、ボリュームＢ～Ｄ １２１～１２３を、物理記憶デバイスの性能に応じて複数の記憶階層に分類して管理する。本実施例のストレージ装置１００では、ＳＳＤを第１階層（Ｔｉｅｒ１）、ＳＡＳを第２階層（Ｔｉｅｒ２）に分類したプール１４０として管理する。

本実施形態のストレージシステム１において、プール１４０は仮想的な記憶領域であり、プール１４０内の記憶領域は、ストレージ装置１００ａ内に設けられた物理記憶デバイスに対応するＳｐｅｃ１ １４０ａ、ストレージ装置１００ｂ内に設けられた物理記憶デバイスに対応するＳｐｅｃ２ １４０ｂ、及びストレージ装置１００ｃ内に設けられた物理記憶デバイスに対応するＳｐｅｃ３ １４０ｃを有する。

なお、階層の数、及び、どの階層にどの物理記憶デバイスを割り当てるかは任意であり、図示の例に限定されない。

データ書込処理部１０１は階層再配置決定処理部１０６を有する。階層再配置決定処理部１０６は、プール１４０に格納されているファイルについて、ファイルの信頼性要件及びセキュリティ要件、及びストレージ装置１００ａ～１００ｃに設けられた物理記憶デバイスの信頼性及びセキュリティレベルを考慮したファイルの階層再配置動作を行う。詳細は後述するが、本実施形態のストレージシステム１において、ストレージ装置１００ａ～１００ｃは、これらストレージ装置１００ａ～１００ｃが設置された場所、拠点やストレージ装置１００ａとストレージ装置１００ｂ、１００ｃとの間の通信線のスペック等により、それぞれ異なる信頼性及びセキュリティレベルを有する。

階層再配置決定処理部１０６は降格データ特定処理部１０７を有する。階層再配置決定処理部１０６及び降格データ特定処理部１０７によるファイルの階層再配置動作の詳細については、フローチャートを参照して後述する。

また、データ書込処理部１０１には、要件定義テーブル１０８、優先度定義テーブル１０９、及び階層管理テーブル１１０が格納される。これら要件定義テーブル１０８、優先度定義テーブル１０９、及び階層管理テーブル１１０の詳細については後述する。

データ書込処理部１０１は感染時階層再配置決定処理部１１１を有する。感染時階層再配置決定処理部１１１は、プール１４０に格納されているファイルについて、セキュリティ監視サーバ５００によるサーバＡ ４００のマルウェア感染検知をトリガーとして、マルウェアの感染時刻、マルウェアに感染した端末（サーバＡ ４００）を特定する情報及びファイルの更新履歴を考慮したファイルの階層再配置動作を行う。

感染時階層再配置決定処理部１１１は感染時降格データ特定処理部１１２を有する。感染時階層再配置決定処理部１１１及び感染時降格データ特定処理部１１２によるファイルの階層再配置動作の詳細については、フローチャートを参照して後述する。

バックアップ取得処理部１０２は、サーバＡ ４００のユーザからの指示に基づいて、ファイル操作が行われるボリュームＡ １２０に格納されているファイルを定期的にバックアップして、データ保護領域１３０内のボリューム Ｂ～Ｄ １２１～１２３に格納する。この際、バックアップ取得処理部１０２は、ボリュームＡ １２０内に格納されているファイルを、バックアップ処理の時点でのスナップショット（図１においてＳＳと表記、以下、ＳＳと称する）として格納する。つまり、バックアップ取得処理部１０２は、ファイルをバックアップ世代毎のＳＳとして管理する。

バックアップ取得処理部１０２はバックアップ時階層再配置決定処理部１１３を有し、バックアップ時階層再配置決定処理部１１３はバックアップ時降格データ特定処理部１１４を有する。バックアップ時階層再配置決定処理部１１３及びバックアップ時降格データ特定処理部１１４によるファイルの階層再配置動作の詳細については、フローチャートを参照して後述する。

アクセス履歴テーブル更新処理部１０３は、サーバＡ ４００のユーザからのストレージシステム１へのファイルのアクセスに基づき、アクセス履歴テーブル１１５（図７）及びファイルサイズテーブル１１６（図９）を更新する。アクセス履歴テーブル更新処理部１０３にはアクセス履歴テーブル１１５及びファイルサイズテーブル１１６が格納される。

感染情報テーブル更新処理部１０４は、セキュリティ監視サーバ５００の感染検知部５０１がサーバＡ ４００のマルウェア感染を検知したら、感染情報テーブル１１７（図６）を更新する。感染情報テーブル更新処理部１０４には感染情報テーブル１１７が格納される。

世代情報管理テーブル更新処理部１０５は、データ保護領域１３０内のボリューム Ｂ～Ｄ １２１～１２３に格納されているファイルのＳＳが取得される毎に、このＳＳの世代等に関する情報を取得して管理する。世代情報管理テーブル更新処理部１０５には、世代情報管理テーブル１１８（図８）が格納される。

図２は、実施形態に係るストレージシステム１のハードウェア構成の一例を示す図である。

ストレージ装置１００は、各種情報処理が可能な装置から構成される。ストレージ装置１００は、プロセッサ１５０、メモリ１６０及び図略の通信インタフェースを有し、さらに、必要に応じてマウス、キーボード等の入力装置、ディスプレイ等の表示装置を有する。

プロセッサ１５０は、例えばＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphic Processing Unit）、ＦＰＧＡ（Field-Programmable Gate Array）等である。メモリ１６０は、例えばＨＤＤ（Hard Disk Drive）などの磁気記憶媒体、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＳＳＤ（Solid State Drive）などの半導体記憶媒体等を有する。また、ＤＶＤ（Digital Versatile Disk）等の光ディスク及び光ディスクドライブの組み合わせも記憶媒体として用いられる。その他、磁気テープメディアなどの公知の記憶媒体も記憶媒体として用いられる。

メモリ１６０には、ファームウェアなどのプログラムが格納されている。ストレージ装置１００の動作開始時（例えば電源投入時）にファームウェア等のプログラムをこのメモリ１６０から読み出して実行し、ストレージ装置１００を含むストレージシステム１の全体制御を行う。また、メモリ１６０には、プログラム以外にもストレージ装置１００の各処理に必要なデータ等が格納されている。

さらに、ストレージ装置１００は複数の物理記憶デバイス１７０を備えている。複数の物理記憶デバイス１７０は、既に説明したＳＳＤ及びＳＡＳを有する。当然、これ以外の物理記憶デバイス、例えば、ハードディスクデバイス、半導体メモリデバイス、光ディスクデバイス、光磁気ディスクデバイス等のデータを読み書き可能な種々のドライブを有していても良い。さらには、フラッシュメモリ、ＦｅＲＡＭ（Ferroelectric Random Access Memory）、ＭＲＡＭ（Magnetoresistive Random Access Memory）、相変化メモリ（Phase-change memory）等の種々の記憶装置も用いることもできる。さらに、例えば、種類の異なる記憶装置を混在させる構成でもよい。

複数の物理記憶デバイス１７０がそれぞれ有する記憶領域は論理的なグループ１７１を形成しており、その論理的グループ１７１の記憶領域に論理ボリューム１７２（例えばボリュームＡ～Ｄ １２０～１２３）が設定される。図２では、一つの論理ボリューム１７２を示すが、実際には複数の（多数の）論理ボリューム１７２が生成される。

図３は、実施形態に係るストレージシステム１の要件定義テーブル１０８の一例を示す図である。

要件定義テーブル１０８は、エントリとして、ストレージシステム１のストレージ装置１００に格納されるファイルのファイル名、セキュリティ要件及び信頼性要件を有する。セキュリティ要件及び信頼性要件の詳細については後述するが、本実施例のストレージシステム１では、それぞれのファイルについてセキュリティ要件及び信頼性要件のそれぞれが「高（high）」「低（low）」のいずれかに設定されている。

図４は、実施形態に係るストレージシステム１の優先度定義テーブル１０９の一例を示す図である。

優先度定義テーブル１０９は、エントリとして、それぞれのストレージ装置１００の物理記憶デバイスにファイルを格納する優先度を有する。後述するように、それぞれのストレージ装置１００の物理記憶デバイスは、その信頼性及びセキュリティレベルに基づいてＩ、II，III、IVのいずれかに分類されており、優先度定義テーブル１０９は、この分類の優先度を定義しているものである。

図５は、実施形態に係るストレージシステム１の階層管理テーブル１１０の一例を示す図である。

階層管理テーブル１１０は、エントリとして、ストレージシステム１のストレージ装置１００に設定された分類Ｉ～IV及び階層（Ｔｉｅｒ１またはＴｉｅｒ２、以下、それぞれＴ１、Ｔ２と省略する）、この分類Ｉ～IV及び階層Ｔ１、Ｔ２毎のセキュリティ、信頼性、コスト、容量及び優先度を有する。

図６は、実施形態に係るストレージシステム１の感染情報テーブル１１７の一例を示す図である。

感染情報テーブル１１７は、エントリとして、マルウェアへの感染の事象（インシデント）を特定するＩＤ、感染した時刻、感染した端末のＩＰアドレスを有する。

図７は、実施形態に係るストレージシステム１のアクセス履歴テーブル１１５の一例を示す図である。

アクセス履歴テーブル１１５は、エントリとして、ファイル名、ファイルにアクセスした端末のＩＰアドレス及びアクセス時刻を有する。

図８は、実施形態に係るストレージシステム１の世代情報管理テーブル１１８の一例を示す図である。

世代情報管理テーブル１１８は、エントリとして、ファイル名、ファイルを取得した時刻、取得したファイルが格納されていた階層（含む分類）及びファイルサイズを有する。

図９は、実施形態に係るストレージシステム１のファイルサイズテーブル１１６の一例を示す図である。

ファイルサイズテーブル１１６は、エントリとして、ファイル名及びファイルのサイズを有する。

次に、図１０～図１３を参照して、本実施例のストレージシステム１の動作の概要について説明する。

図１０は、本実施例のストレージシステム１におけるファイルの記憶階層の取扱を説明するための図である。本実施例のストレージシステム１におけるファイルの記憶階層の取扱の特徴の一つは、「信頼性及びセキュリティレベルを考慮した記憶階層及び階層再配置」にある。

一般的なファイル階層化技術では、コストと性能特性とが異なる物理記憶デバイスを階層化している。本実施形態のストレージシステム１を例に取れば、Ｔ１はコストが高いがアクセス速度が速いＳＳＤで構成され、Ｔ２はＳＳＤに比較してコストが安いがＳＳＤに比較してアクセス速度は遅いＳＡＳで構成されている。

しかし、ＮＶＭｅのようにコストが高いがアクセスが早い物理記憶デバイスがＯｖｅｒ Ｆａｂｒｉｃで（NVMe over Fabrics）他のストレージ装置１００に接続されている場合、サーバＡ ４００に直結されているストレージ装置１００（例えばストレージ装置１００ａ）と比較して信頼性が低いといえる。また、ＳＡＳのようにコストは安いがアクセスが遅い物理記憶デバイスがクラウドなどの外部組織に管理／運用を委ねている拠点に配置されている場合、サーバＡ ４００のユーザが自社で管理／運用しているストレージ装置１００と比較してセキュリティレベルが異なる可能性がある。

そこで、本実施形態のストレージシステム１では、コストと性能特性とに応じて設けた階層（Ｔ１、Ｔ２）に加えて、物理記憶デバイスの信頼性及びセキュリティレベルの「高」「低」に応じて計８階層を設け、この８階層でファイルの配置／再配置を行う。

すなわち、図１０の左図に示すように、高信頼性で高セキュリティレベルである物理記憶デバイスを分類Ｉ、低信頼性で高セキュリティレベルである物理記憶デバイスを分類II、高信頼性で低セキュリティレベルである物理記憶デバイスを分類III、低信頼性で低セキュリティレベルである物理記憶デバイスを分類IVとし、それぞれの分類にＴ１、Ｔ２階層を設けた構成にした。

ここで、本実施形態における「信頼性」は、故障率、可用性、稼働率等の指標で表される。例えば、稼働率で信頼性を評価するのであれば、一例として、分類Ｉ、IIの稼働率は９９．９９９９９％、分類III、IVの稼働率は９９．９％である。

また、本実施形態における「セキュリティ」は、ストレージシステム１を災害、誤用及び不正アクセスから守ることである。また、ハードウェア、ソフトウェア、データ、ネットワークのいずれについてもその機密性、完全性、可用性を維持することである。セキュリティは何かしらの指標で評価することも可能であるが、相対的評価であっても構わない。

分類Ｉ～IVについて、図１０の右図を参照してより詳細に説明する。

分類Ｉに分類されるストレージ装置１００は、一例として自社（サーバＡ ４００のユーザ等の会社）で管理しているストレージ装置１００である。従って、高信頼性で高セキュリティレベルであると考えることができる。また、分類IIに分類されるストレージ装置１００は、一例として他社で管理しているストレージ装置１００である。従って、高信頼性ではあるが低セキュリティレベルであると考えることができる。さらに、分類IIIに分類されるストレージ装置１００は、一例として自社で管理しているストレージ装置１００であるが、ＵＶＭやＯｖｅｒ Ｆａｂｒｉｃで分類Ｉのストレージ装置１００に接続されている。従って、分類Ｉのストレージ装置１００と比較して低信頼性ではあるが高セキュリティレベルであると考えることができる。そして、分類IVに分類されるストレージ装置１００は、一例としていわゆるクラウドのストレージ装置１００である。従って、低信頼性で低セキュリティレベルであると考えることができる。

このように、ストレージ装置１００の設置拠点、接続形態等を考慮して、ストレージ装置１００（及びこのストレージ装置１００が有する物理記憶デバイス）を分類Ｉ～IVに分類、階層化することができる。

図１１及び図１２は、一般的なストレージシステムにおけるファイルの格納状態の一例を示す図である。

（一例として図１１の右上図に示すように）信頼性要件及びセキュリティ要件が異なるデータ（ファイル）を、信頼性及びセキュリティレベルが異なる物理記憶デバイスに格納するとき、ファイルの信頼性要件及びセキュリティ要件を考慮せずに物理記憶デバイスに格納すると、図１１の上図に示すように、信頼性要件及びセキュリティ要件が高いファイルＡが低信頼性で低セキュリティの物理記憶デバイスに格納される可能性がある。

これを回避するためには、図１１の下図に示すように、全ての物理記憶デバイスが分類Ｉに分類される（高）信頼性及び（高）セキュリティレベルを有していればよい。しかしながら、全ての物理記憶デバイスに高信頼性及び高セキュリティレベルを求めると、ストレージシステムのインフラコストが嵩む結果になる。

一方、図１２に示すように、分類Ｉ～IVに分類される物理記憶デバイスがそれぞれ存在する場合、ストレージシステム全体として、分類IVに分類される、（低）信頼性及び（低）セキュリティレベルの物理記憶デバイスに格納しても問題ないデータだけを格納するのであれば問題は生じなくなる。しかし、このようなストレージシステムには信頼性要件及びセキュリティ要件が低いデータしか格納できないことになる。

以上より、本実施形態のストレージシステム１では、コストと性能特性とに応じて設けた階層（Ｔ１、Ｔ２）に加えて、物理記憶デバイスの信頼性及びセキュリティレベルの「高」「低」に応じて計８階層を設け、この８階層でファイルの配置／再配置を行う。これにより、物理記憶デバイスのコスト・性能・信頼性・セキュリティ特性を適切に使い分けることが可能なストレージシステム１を実現している。

図１３は、実施形態に係るストレージシステム１の動作の概要を説明する図である。

図１３の（１）に示すように、サーバＡ ４００からデータＡ、Ｂ、Ｃがストレージシステム１（ストレージ装置１００ａ）に書き込まれると、これらデータの信頼性要件及びセキュリティ要件に基づいて、分類Ｉ～IVのいずれかに分類されるストレージ装置１００ａ～１００ｃにデータＡ、Ｂ、Ｃが格納される。この際、ストレージ装置１００ａ～１００ｃの容量に空きがあるので、原則としてデータＡ、Ｂ、Ｃは階層Ｔ１に格納される。

次いで、図１３の（２）に示すように、サーバＡ ４００のユーザからの指示、あるいは定期的にデータＡ、Ｂ、Ｃのバックアップを取得する。このバックアップデータも、データの信頼性要件及びセキュリティ要件に基づいて、分類Ｉ～IVのいずれかに分類されるストレージ装置１００ａ～１００ｃに格納される。

このようにしてデータを適切な分類Ｉ～IVのストレージ装置１００ａ～１００ｃに（及び上述したように階層Ｔ１に優先的に）格納しているうちに、図１３の（３）に示すように、階層Ｔ１の空き容量が枯渇する。本実施形態のストレージシステム１では、分類Ｉ（及び階層Ｔ１）に最新のデータをできるだけ配置することを目的とするので、ストレージシステム１は、アクセス履歴テーブル１１５を参照して、アクセス日時が古いデータを下位の階層（本実施例では階層Ｔ２）に再配置する。

ここで、図１３の（４）に示すように、サーバＡ ４００がある日時（図１３では５／３であるとする）にマルウェアに感染していたことが判明する。ストレージ装置１００ａは、感染情報テーブル１１７を参照して、感染時刻と感染端末とを特定する。

そこで、図１３の（５）に示すように、ストレージ装置１００ａは既に感染している（マルウェアに汚染されている）データを特定し、感染しているデータを空いている別階層に再配置する。

さらに、図１３の（６）に示すように、ストレージ装置１００ａは、リストアポイント（マルウェアに感染していないデータで最もアクセス日時が古いデータ）を高信頼性、高セキュリティレベルな分類Ｉ及び高性能な階層Ｔ１に移動させる。

次に、図１４～図２５のフローチャートを参照して、本実施例のストレージシステム１の動作について説明する。

図１４は、実施形態に係るストレージシステム１のアクセス履歴テーブル更新処理部１０３の動作の一例を説明するためのフローチャートである。

アクセス履歴テーブル更新処理部１０３は、サーバＡ ４００からストレージ装置１００ａ～１００ｃへのアクセスがあるのを待ち（１４０１）、アクセスがあると（１４０１においてＹＥＳ）、アクセス履歴テーブル１１５にアクセス履歴を１行追加し（１４０２）、さらに、ファイルサイズテーブル１１６のファイルサイズを更新する（１４０３）。

次に、図１５は、実施形態に係るストレージシステム１の感染情報テーブル更新処理部１０４の動作の一例を説明するためのフローチャートである。

感染情報テーブル更新処理部１０４は、セキュリティ監視サーバ５００の感染検知部５０１からマルウェアの感染の検知の報告を待ち（１５０１）、マルウェアの感染の検知の報告を受けると（１５０１においてＹＥＳ）、この報告に基づいて、感染情報テーブル１１７に感染端末と感染端末情報を１行追加する（１５０２）。

図１６は、実施形態に係るストレージシステム１の世代情報管理テーブル更新処理部１０５の動作の一例を説明するためのフローチャートである。

世代情報管理テーブル更新処理部１０５は、バックアップ取得処理部１０２によるバックアップ取得動作を待ち（１６０１）、バックアップ取得処理部１０２によるバックアップ取得動作があると（１６０１においてＹＥＳ）、世代情報管理テーブル１１８に世代情報を１行追加する（１６０２）。

図１７は、実施形態に係るストレージシステム１のバックアップ取得処理部１０２の動作の一例を説明するためのフローチャートである。

バックアップ取得処理部１０２は、サーバＡ ４００のユーザからのバックアップの取得指示を待ち（１７０１）、バックアップの取得指示があると（１７０１においてＹＥＳ）、バックアップ時階層再配置決定処理部１１３による階層再配置動作を行わせる（１７０２）。バックアップ時階層再配置決定処理部１１３の動作の詳細については図２４を参照して後述する。

図１８は、実施形態に係るストレージシステム１のデータ書込処理部１０１の動作の一例を説明するためのフローチャートである。

データ書込処理部１０１は、ストレージ装置１００ａの図略のメモリにサーバＡ ４００のユーザからファイルが書き込まれるのを待ち（１８０１）、メモリにファイルが書き込まれると（１８０１においてＹＥＳ）、書き込まれたファイルが階層再配置決定処理部１０６により適切な物理記憶デバイスに書き込む処理を行わせる。階層再配置決定処理部１０６の動作の詳細については、図１９を参照して後述する。

図１９は、実施形態に係るストレージシステム１の階層再配置決定処理部１０６の動作の一例を説明するためのフローチャートである。

まず、階層再配置決定処理部１０６は、ファイルサイズテーブル１１６及び要件定義テーブル１０８を読み込む（１９０１）。次いで、階層再配置決定処理部１０６は、ストレージ装置１００ａのメモリに書き込まれたファイルのセキュリティ要件と信頼性要件とを要件定義テーブル１０８から特定する（１９０２）。さらに、階層再配置決定処理部１０６は、階層管理テーブル１１０の中から、１９０２で特定したファイルのセキュリティ要件と信頼性要件とに合致する分類（これをＸとする）を特定する（１９０３）。

そして、階層再配置決定処理部１０６は、ファイル名をキーにファイルサイズテーブル１１６を参照して、メモリに書き込まれたファイルのファイルサイズを特定し、このファイルサイズが、分類Ｘの階層Ｔ１（以下、分類Ｘの階層Ｔ１をＸ（Ｔ１）と表現する）の空き容量以下であるかを判定する（１９０４）。その結果、ファイルサイズがＸ（Ｔ１）の空き容量以下であると判定したら（１９０４においてＹＥＳ）１９０６に進み、ファイルサイズがＸ（Ｔ１）の空き容量を超えると判定したら（１９０４においてＮＯ）、降格データ特定処理部１０７により適切な分類及び階層へのファイルの書き込み処理を行わせる。降格データ特定処理部１０７の動作の詳細については図２０を参照して後述する。

図２０は、実施形態に係るストレージシステム１の降格データ特定処理部１０７の動作の一例を説明するためのフローチャートである。

降格データ特定処理部１０７は、まず、対象の分類／階層（Ｘ（Ｔ１））をキーにして世代情報管理テーブル１１８を参照し、対象の分類／階層（Ｘ（Ｔ１））にバックアップデータがあるか否かを判定する（２００１）。

その結果、対象の分類／階層にバックアップデータがあると判定したら（２００１においてＹＥＳ）、降格データ特定処理部１０７は、世代情報管理テーブル１１８を参照し、一番古いバックアップデータを特定し、特定したバックアップデータを降格候補（Ｘ（Ｔ２））にする（２００２）。

一方、対象の分類／階層にバックアップデータがないと判定したら（２００２においてＮＯ）、降格データ特定処理部１０７は、世代情報管理テーブル１１８及びアクセス履歴テーブル１１５を参照して、対象の分類／階層（Ｘ（Ｔ１））に格納されているデータの中でアクセスされた日時が最も古いデータを降格候補（Ｘ（Ｔ２））にする（２００３）。

次いで、降格データ特定処理部１０７は、降格候補（Ｘ（Ｔ２））の空き容量が書き込もうとするファイルのファイルサイズを超えているか否かを判定する（２００４）。その結果、降格候補（Ｘ（Ｔ２））の空き容量が書き込もうとするファイルのファイルサイズを超えていると判定したら（２００４においてＹＥＳ）、降格データ特定処理部１０７は、降格候補のデータを分類／階層（Ｘ（Ｔ２））に書き込む（２００５）。一方、降格候補（Ｘ（Ｔ２））の空き容量が書き込もうとするファイルのファイルサイズ以下であると判定したら（２００４においてＮＯ）、降格データ特定処理部１０７は、ストレージ装置１００ａの管理者端末（図略）に対して、物理記憶デバイスの増設を促すメッセージを出力する（２００６）。

図２１は、実施形態に係るストレージシステム１の非感染データ特定処理動作の一例を説明するためのフローチャートである。

まず、セキュリティ監視サーバ５００の感染検知部５０１がマルウェアの感染を検知したら（２１０１）、データ書込処理部１０１は感染情報テーブル１１７を読み込み、感染時刻と感染端末とを特定する（２１０２）。

次いで、データ書込処理部１０１はアクセス履歴テーブル１１５を読み込み、最新の非感染ファイル（つまり、感染時刻以前のアクセス日時を有するファイルであり、マルウェアに感染していないと判断できるファイル）を特定する（２１０３）。さらに、データ書込処理部１０１は、優先度定義テーブル１０９を読み込む（２１０４）。

さらに、データ書込処理部１０１は、世代情報管理テーブル１１８を読み込み、最新の非感染データが対象の分類／階層であるＰ（Ｔ１）にあるかどうかを判定する（２１０５）。ここで、図４の優先度定義テーブル１０９に示すように、本実施例では対象の分類／階層Ｐ（Ｔ１）はＩ（Ｔ１）である。

その結果、最新の非感染データが対象の分類／階層であるＩ（Ｔ１）にあると判定したら（２１０５においてＹＥＳ）、図２１に示すプログラムを終了する。つまり、最新の非感染データが格納されている分類／階層を移動させる必要はないと判断する。一方、最新の非感染データが対象の分類／階層であるＩ（Ｔ１）にないと判定したら（２１０５においてＮＯ）、感染時階層再配置決定処理部１１１によりファイルの分類／階層の移動処理を行う（２１０６）。感染時階層再配置決定処理部１１１の動作の詳細については図２２を参照して後述する。

図２２は、実施形態に係るストレージシステム１の感染時階層再配置決定処理部１１１の動作の一例を説明するためのフローチャートである。

感染時階層再配置決定処理部１１１は、対象となるファイルのファル名をキーにしてファイルサイズテーブル１１６を参照し、対象となるファイルのファイルサイズが分類／階層Ｉ（Ｐ１）の空き容量以下であるか否かを判定する（２２０１）。その結果、ファイルサイズが分類／階層Ｉ（Ｐ１）の空き容量以下であると判定したら（２２０１においてＹＥＳ）、このファイルを分類／階層Ｉ（Ｐ１）に書き込み（２２０３）、ファイルサイズが分類／階層Ｉ（Ｐ１）の空き容量を超えると判定したら（２２０１においてＮＯ）、感染時降格データ特定処理部１１２によりファイルの分類／階層の移動処理を行う（２００６）。感染時降格データ特定処理部１１２の動作の詳細については図２３を参照して後述する。

図２３は、実施形態に係るストレージシステム１の感染時降格データ特定処理部１１２の動作の一例を説明するためのフローチャートである。

まず、感染時降格データ特定処理部１１２は優先度定義テーブル１０９を参照し、この優先度定義テーブル１０９に記載されている分類Ｐ（図４の優先度定義テーブル１０９にあるように、ここでの分類Ｐは分類Ｉである）の階層Ｔ１に感染ファイルがあるか否かを判定する（２３０１）。

その結果、分類Ｉである階層Ｔ１に感染ファイルがあると判定したら（２３０１においてＹＥＳ）、感染時降格データ特定処理部１１２は、階層管理テーブル１１０を参照し、優先度が高い（１以上で最も小さい整数値の優先度を持つ階層を優先度が高いとする）階層Ｑを特定する（２３０２）。

一方、分類Ｉである階層Ｔ１に感染ファイルがないと判定したら（２３０１においてＮＯ）、感染時降格データ特定処理部１１２は、アクセス履歴テーブル１１５と世代情報管理テーブル１１８を参照し、アクセスの最も古いデータについて階層再配置先を特定する（２３０３）。２３０３における階層再配置先は、階層管理テーブル１１０において優先度の高い階層Ｑとする。

次いで、感染時降格データ特定処理部１１２は、ファイル名をキーにファイルサイズテーブル１１６を参照し、対象となるファイルのファイルサイズが階層Ｑの空き容量未満であるか否かを判定する（２３０４）。その結果、ファイルのファイルサイズが階層Ｑの空き容量未満であると判定したら（２３０４においてＹＥＳ）、感染時降格データ特定処理部１１２は、対象となる（つまり降格候補である）ファイルを階層Ｑに書き込む（２３０５）。

一方、ファイルのファイルサイズが階層Ｑの空き容量以上であると判定したら（２３０４においてＮＯ）、感染時降格データ特定処理部１１２はさらに、階層Ｑより優先度が低い階層があるか否かを判定する（２３０６）。その結果、階層Ｑより優先度が低い階層があると判定したら（２３０６においてＹＥＳ）、感染時降格データ特定処理部１１２は、階層Ｑより優先度が低い階層（つまり階層Ｑの優先度＋１の階層）を特定し、この階層を階層Ｑに設定する（２３０７）。この後、プログラムは２３０４に戻る。

一方、階層Ｑより優先度が低い階層がないと判定したら（２３０６においてＮＯ）、感染時降格データ特定処理部１１２は、ストレージ装置１００ａの管理者端末（図略）に対して、物理記憶デバイスの増設を促すメッセージを出力する（２３０８）。

図２４は、実施形態に係るストレージシステム１のバックアップ時階層再配置決定処理部１１３の動作の一例を説明するためのフローチャートである。

バックアップ時階層再配置決定処理部１１３は、バックアップの対象となるファイルのファイル名をキーにファイルサイズテーブル１１６を参照し、バックアップの対象となるファイルのファイルサイズが、このバックアップの対象となるファイルが現在格納されている階層の空き容量以下であるか否かを判定する（２４０１）。

その結果、ファイルのファイルサイズがこのバックアップの対象となるファイルが現在格納されている階層の空き容量以下であると判定したら（２３０１においてＹＥＳ）、バックアップ時階層再配置決定処理部１１３は、バックアップ対象のファイルのコピーを現在の階層に書き込む（２４０３）。

一方、ファイルのファイルサイズがこのバックアップの対象となるファイルが現在格納されている階層の空き容量を超えると判定したら（２４０１においてＮＯ）、バックアップ時降格データ特定処理部１１４によりファイルの分類／階層の移動処理を行う（２４０２）。バックアップ時降格データ特定処理部１１４の動作の詳細については図２５を参照して後述する。

図２５は、実施形態に係るストレージシステムのバックアップ時降格データ特定処理部の動作の一例を説明するためのフローチャートである。

バックアップ時降格データ特定処理部１１４は、バックアップの対象となるファイルのファイル名をキーに世代情報管理テーブル１１８を参照し、バックアップの対象となるファイルが現在格納されている階層がＴ１であるか否かを判定する（２５０１）。その結果、バックアップの対象となるファイルが現在格納されている階層がＴ１であると判定したら（２５０１においてＹＥＳ）プログラムは２５０２に進み、バックアップの対象となるファイルが現在格納されている階層がＴ１でないと判定したら（２５０１においてＮＯ）、バックアップ時降格データ特定処理部１１４は、ストレージ装置１００ａの管理者端末（図略）に対して、物理記憶デバイスの増設を促すメッセージを出力する（２５０５）。

２５０２では、バックアップ時降格データ特定処理部１１４は、階層Ｔ１に格納されているファイルのうち、アクセス日時が最も古いファイルを特定する。次いで、バックアップ時降格データ特定処理部１１４は、２５０２で特定されたファイルのファイル名をキーにファイルサイズテーブル１１６を参照し、特定されたファイルのファイルサイズが階層Ｔ２の空き容量未満であるか否かを判定する（２５０３）。

その結果、ファイルのファイルサイズが階層Ｔ２の空き容量未満であると判定したら（２５０３においてＹＥＳ）、バックアップ時降格データ特定処理部１１４は、特定されたファイル、すなわち降格候補のファイルを階層Ｔ２以外の階層に書き込む（２５０４）。一方、ファイルのファイルサイズが階層Ｔ２の空き容量以上であると判定したら（２５０３においてＮＯ）、プログラムは２５０５に進む。

本実施例のストレージシステム１において、ストレージ装置１００の個数及び各々のストレージ装置１００の接続形態には特段の制限はない。以下、図２６～図３３を参照して、ストレージ装置１００の個数及び各々のストレージ装置１００の接続形態に関する実施例を説明する。

図２６に示すストレージシステム１（実施例１）では、４台のストレージ装置１００ａ～１００ｄが設けられている。ここで、階層制御部１１９は、図１に示すデータ書込処理部１０１、バックアップ取得処理部１０２、アクセス履歴テーブル更新処理部１０３、感染情報テーブル更新処理部１０４、及び世代情報管理テーブル更新処理部１０５をまとめたものである。ストレージ装置１００ｂ、１００ｃはストレージ装置１００ａと同一拠点または同一管理者により管理され、通信線により接続されている。但し、ストレージ装置１００ａとストレージ装置１００ｃとを結ぶ通信線は、ストレージ装置１００ａとストレージ装置１００ｂとを結ぶ通信線より信頼性に劣るものであるので、ストレージ装置１００ａの分類はＩ、ストレージ装置１００ｂの分類はII、ストレージ装置１００ｃの分類はIIIに設定されている。また、ストレージ装置１００ｄはネットワーク３００を介してストレージ装置１００ａに接続されている。このため、ストレージ装置１００ｄの分類はIVに設定されている。

図２７に示すストレージシステム１（実施例２）では、２台のストレージ装置１００ａ、１００ｂが設けられている。ストレージ装置１００ｂはストレージ装置１００ａと同一拠点または同一管理者により管理され、通信線により接続されている。従って、ストレージ装置１００ａの分類はＩ、ストレージ装置１００ｂの分類はIIに設定されている。

図２８に示すストレージシステム１（実施例３）では、２台のストレージ装置１００ａ、１００ｃが設けられている。ストレージ装置１００ｃはストレージ装置１００ａと同一拠点または同一管理者により管理され、通信線により接続されている。ストレージ装置１００ａとストレージ装置１００ｃとを結ぶ通信線は、図２７に示すストレージ装置１００ａとストレージ装置１００ｂとを結ぶ通信線より信頼性に劣るものであるので、ストレージ装置１００ａの分類はＩ、ストレージ装置１００ｃの分類はIIIに設定されている。

図２９に示すストレージシステム１（実施例４）では、２台のストレージ装置１００ａ、１００ｄが設けられている。ストレージ装置１００ｄはネットワーク３００を介してストレージ装置１００ａに接続されている。このため、ストレージ装置１００ａの分類はＩ、ストレージ装置１００ｄの分類はIVに設定されている。

図３０に示すストレージシステム１（実施例５）では、３台のストレージ装置１００ａ～１００ｃが設けられている。ストレージ装置１００ｂ、１００ｃはストレージ装置１００ａと同一拠点または同一管理者により管理され、通信線により接続されている。但し、ストレージ装置１００ａとストレージ装置１００ｃとを結ぶ通信線は、ストレージ装置１００ａとストレージ装置１００ｂとを結ぶ通信線より信頼性に劣るものであるので、ストレージ装置１００ａの分類はＩ、ストレージ装置１００ｂの分類はII、ストレージ装置１００ｃの分類はIIIに設定されている。

図３１に示すストレージシステム１（実施例６）では、３台のストレージ装置１００ａ、１００ｂ、１００ｄが設けられている。ストレージ装置１００ｂはストレージ装置１００ａと同一拠点または同一管理者により管理され、通信線により接続されている。また、ストレージ装置１００ｄはネットワーク３００を介してストレージ装置１００ａに接続されている。従って、ストレージ装置１００ａの分類はＩ、ストレージ装置１００ｂの分類はII、ストレージ装置１００ｄの分類はIVに設定されている。

図３２に示すストレージシステム１（実施例７）では、３台のストレージ装置１００ａ、１００ｃ、１００ｄが設けられている。ストレージ装置１００ｃはストレージ装置１００ａと同一拠点または同一管理者により管理され、通信線により接続されている。但し、ストレージ装置１００ａとストレージ装置１００ｃとを結ぶ通信線は、図３１に示すストレージ装置１００ａとストレージ装置１００ｂとを結ぶ通信線より信頼性に劣るものであるので、ストレージ装置１００ａの分類はＩ、ストレージ装置１００ｃの分類はIIIに設定されている。また、ストレージ装置１００ｄはネットワーク３００を介してストレージ装置１００ａに接続されている。このため、ストレージ装置１００ｄの分類はIVに設定されている。

図３３に示すストレージシステム１（実施例８）は図１に示すストレージシステム１とほぼ同じ構成を有している。但し、図１に示すストレージシステム１では階層制御部１１９がストレージ装置１００ａに設けられているのに対して、図３３に示すストレージシステム１では階層制御部１１９がサーバＡ ４００内に設けられている。このため、ストレージ装置１００ｄはネットワーク３００を介してサーバＡ ４００に接続されている。

このように構成される本実施形態によれば、記憶デバイスのコスト・性能・信頼性・セキュリティ特性を適切に使い分けることが可能なストレージシステム及びストレージシステムのファイル配置方法を実現することができる。

すなわち、本実施例によれば、データのセキュリティ要件・信頼性要件を考慮した階層再配置が可能になる。言い換えれば、本実施例によれば、セキュリティレベルや信頼性が異なる物理記憶デバイスが存在する構成において、セキュリティ要件や信頼性要件が異なるデータで、階層再配置のメリットを享受できるようになる。また、本実施例によれば、感染後の高速な復旧(リストア)が可能になる。階層再配置の本来のメリットは、「コストの最適化」、「アクセス/リストア性能の適正化」にある。

なお、上記した実施例は本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、各実施例の構成の一部について、他の構成に追加、削除、置換することが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をコンピュータに提供し、そのコンピュータが備えるプロセッサが記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、ハードディスク、ＳＳＤ（Solid State Drive）、光ディスク、光磁気ディスク、ＣＤ－Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｊａｖａ（登録商標）、Ｐｙｔｈｏｎ等の広範囲のプログラム又はスクリプト言語で実装できる。

上述の実施例において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。

１…ストレージシステム １００、１００ａ、１００ｂ、１００ｃ、１００ｄ…ストレージ装置 １０１…データ書込処理部 １０２…バックアップ取得処理部 １０３…アクセス履歴テーブル更新処理部 １０４…感染情報テーブル更新処理部 １０５…世代情報管理テーブル更新処理部 １０６…階層再配置決定処理部 １０７…降格データ特定処理部 １０８…要件定義テーブル １０９…優先度定義テーブル １１０…階層管理テーブル １１１…感染時階層再配置決定処理部 １１２…感染時降格データ特定処理部 １１３…バックアップ時階層再配置決定処理部 １１４…バックアップ時降格データ特定処理部 １１５…アクセス履歴テーブル １１６…ファイルサイズテーブル １１７…感染情報テーブル １１８…世代管理情報テーブル １３０…データ保護領域 １４０…プール １５０…プロセッサ １６０…メモリ １７０…物理記憶デバイス １７１…グループ １７２…論理ボリューム ３００…ネットワーク ４００…サーバ ５００…セキュリティ監視サーバ ５０１…感染検知部

Claims (8)

1. ホストに接続され、このホストからのファイル操作要求に基づいて、格納された前記ファイルの操作を行うストレージシステムであって、
   信頼性及びセキュリティレベルが異なる複数の記憶デバイスと、
   前記ファイルの信頼性要件及びセキュリティ要件を考慮して前記ファイルを格納する前記記憶デバイスを決定し、決定した前記記憶デバイスに前記ファイルを格納するコントローラと、を有し、
   前記コントローラは、前記記憶デバイスを、前記ファイルが格納される第１のボリュームと、前記ファイルのバックアップが格納される第２のボリュームとして管理し、
   前記第２のボリュームは性能の異なる複数の物理記憶デバイスで構成され、前記コントローラは、前記物理記憶デバイスの性能に応じて複数の記憶階層に分類して前記第２のボリュームを管理し、
   前記コントローラは、前記ファイルの前記信頼性要件及び前記セキュリティ要件に基づいて、前記ファイルのバックアップであるバックアップファイルを格納する前記記憶階層を決定し、決定した前記記憶階層に前記バックアップファイルを格納し、
   前記コントローラは、前記ホストのマルウェア感染の検知をトリガーとする前記ホストの感染時刻を考慮して、前記バックアップファイルが格納されている前記記憶階層の再配置を行う、
   ストレージシステム。
2. 前記ストレージシステムは複数の前記ホストに接続され、
   前記コントローラは、前記マルウェアに感染した前記ホストを特定する情報及び前記マルウェアに感染した前記ホストの前記感染時刻に基づいて、前記バックアップファイルが格納されている前記記憶階層の再配置を行うことを特徴とする請求項１記載のストレージシステム。
3. 前記ストレージシステムはメモリを有し、
   前記メモリには、前記ファイルを特定する情報、前記ファイルに対して前記ファイル操作要求を行った前記ホストを特定する情報、及び前記ファイルの更新処理が行われた時刻を有するアクセス履歴テーブルが格納され、
   前記コントローラは、前記アクセス履歴テーブルを参照して、前記マルウェアに感染していないと推測される前記ファイルを特定し、特定された前記ファイルに対して前記記憶階層の再配置を行う
   ことを特徴とする請求項２に記載のストレージシステム。
4. 前記コントローラは、特定された前記ファイルを現在配置されている前記記憶階層より上位の前記記憶階層へ再配置することを特徴とする請求項３に記載のストレージシステム。
5. 前記コントローラは、特定された前記ファイルを最上位の前記記憶階層へ再配置することを特徴とする請求項４に記載のストレージシステム。
6. 前記コントローラは、特定された前記ファイルを現在配置されている前記記憶デバイスより信頼性及びセキュリティレベルが高い前記記憶デバイスの前記記憶階層へ再配置することを特徴とする請求項３に記載のストレージシステム。
7. 前記メモリには、前記ファイルを特定する情報、前記ファイルの更新処理が行われた時刻、及び前記ファイルのファイルサイズを有する世代情報管理テーブルが格納され、
   前記コントローラは、前記世代情報管理テーブルも参照して、前記マルウェアに感染していないと推測される前記ファイルを特定し、特定された前記ファイルに対して前記記憶階層の再配置を行う
   ことを特徴とする請求項３に記載のストレージシステム。
8. ホストに接続され、このホストからのファイル操作要求に基づいて、格納された前記ファイルの操作を行うストレージシステムにおけるファイル配置方法であって、
   前記ストレージシステムは、信頼性及びセキュリティレベルが異なる複数の記憶デバイスと、前記ファイルの信頼性要件及びセキュリティ要件を考慮して前記ファイルを格納する前記記憶デバイスを決定し、決定した前記記憶デバイスに前記ファイルを格納するコントローラと、を有し、
   前記コントローラは、前記記憶デバイスを、前記ファイルが格納される第１のボリュームと、前記ファイルのバックアップが格納される第２のボリュームとして管理し、
   前記第２のボリュームは性能の異なる複数の物理記憶デバイスで構成され、前記コントローラは、前記物理記憶デバイスの性能に応じて複数の記憶階層に分類して前記第２のボリュームを管理し、
   前記コントローラは、前記ファイルの前記信頼性要件及び前記セキュリティ要件に基づいて、前記ファイルのバックアップであるバックアップファイルを格納する前記記憶階層を決定し、決定した前記記憶階層に前記バックアップファイルを格納し、
   前記コントローラは、前記ホストのマルウェア感染の検知をトリガーとする前記ホストの感染時刻を考慮して、前記バックアップファイルが格納されている前記記憶階層の再配置を行う、
   ストレージシステムにおけるファイル配置方法。

Images