JPH07210336A - データ格納装置 - Google Patents

Abstract

(57)【要約】 【目的】記憶装置サブシステム内の取外し可能な記憶装
置のデータ機密保護、データ破壊防止を図る。 【構成】 複数の記憶装置１１と、これらの記憶装置を
着脱可能に保持し、データの格納制御を行なう制御装置
２〜６とを備えたデータ格納装置において、前記制御装
置と各記憶装置とに、両者の接続関係を示す接続関係情
報を格納する記憶領域を有し、前記各記憶装置の立ち上
げ装着時に、前記制御装置および当該記憶装置の一方か
ら他方へ前記接続関係情報を転送し、該転送先において
その接続関係情報と照合することにより、当該記憶装置
の接続の適否を判定する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、コンピュータシステム
の外部記憶装置において、多数の記憶装置を持ち、その
記憶装置が容易に取り外しが可能で記憶装置のみが運び
出される恐れのある記憶装置サブシステムの機密保護技
術に関する。更に本発明は、データ及びデータとその冗
長データ等を多数の記憶装置に分割して格納する記憶装
置サブシステムの機密保護技術に関する。

【０００２】

【従来の技術】近年、コンピュータシステムの急速な高
性能化、大容量化、高信頼性化に伴い、コンピュータシ
ステムの中のディスクサブシステムにおいても高性能
化、大容量化、高信頼性化が望まれている。また、小形
ディスク装置の大容量化、高性能化に伴い、小径円板を
使用している小形ディスク装置を多数筐体に内蔵し、１
台の制御装置で制御するディスクサブシステムが一般化
した。このディスクサブシステムにおいては、高信頼性
を実現する手段としてＵＣバークレイ校により提案され
たＲＡＩＤ（ディスクアレイ）技術が注目されている。
このディスクアレイ技術は、ディスク装置を多数使い、
データ及びそれに対する冗長データを各ディスク装置に
分割して使用することにより、データアクセス性能とデ
ータ信頼性を向上させる技術である。

【０００３】例えば、特開昭６２−２４４８１号公報に
記載の技術は、データを複数の記録媒体に分割し、冗長
データを付加して記録し、読み出し時に冗長データによ
り読み出しエラーを検査、修正するものである。このデ
ィスクサブシステムでは、内蔵している多数の小形ディ
スク装置の信頼性が低い為、サブシステム内の故障した
ディスク装置を取り外し、故障したディスク装置と新デ
ィスク装置の交換をユーザ、保守員が容易に実現できる
ようになされている。更に、デイスクサブシステムの動
作中にその動作を止めることなく内蔵ディスク装置の取
り外しが行える活線挿抜技術を用いて故障ディスク装置
及び新ディスク装置の着脱が行えるようなユーザ可用性
を向上させている。

【０００４】

【発明が解決しようとする課題】上記従来技術では、故
障したディスク装置を容易に交換可能であることやディ
スク装置の増設が容易に行えることを特長としている
が、第三者がディスク装置を自由に取り外せるため、不
当にディスク装置を取り出し、別のディスク制御装置又
は別のシステムでそのディスク装置のデータを読み取っ
たり、書き込んだりすることができ、機密データ等の管
理が十分に行えないという問題があった。

【０００５】本発明は、このような従来の問題に鑑み、
記憶装置サブシステム内の取外し可能な記憶装置のデー
タ機密保護、データ破壊防止を目的とする。

【０００６】

【課題を解決するための手段】上記問題を解決するため
に、本発明によるデータ格納装置は、複数の記憶装置
と、これらの記憶装置を着脱可能に保持し、データの格
納制御を行なう制御装置とを備えたデータ格納装置にお
いて、前記制御装置と各記憶装置とに、両者の接続関係
を示す接続関係情報を格納する記憶領域を有し、前記各
記憶装置の立ち上げ装着時に、前記制御装置および当該
記憶装置の一方から他方へ前記接続関係情報を転送し、
該転送先においてその接続関係情報と照合することによ
り、当該記憶装置の接続の適否を判定するようにしたも
のである。

【０００７】前記接続関係情報は、例えば、前記制御装
置の識別情報と前記各記憶装置の識別情報とを対応付け
たものである。

【０００８】より具体的には、前記制御装置は、前記記
憶装置の立ち上げ時に当該記憶装置に対して前記接続関
係情報をパラメータとして持つ接続関係確認命令を発行
する手段を有し、前記各記憶装置は、前記接続関係確認
命令に応答して当該命令とともに受領した接続関係情報
を自己内の接続関係情報と照合し、その照合結果が「不
一致」の場合には以降の前記制御装置からのアクセスま
たは動作要求を拒絶する処理手段を有する。

【０００９】

【作用】本発明のデータ格納装置によれば、記憶装置サ
ブシステム立ち上げ時にサブシステム内の制御装置と記
憶装置との接続確認を行う作業により、制御装置が保持
している接続関係を示すパラメータを各記憶装置に転送
し、その接続関係確認結果によって各記憶装置を確認す
ることができるので、記憶装置単位でのデータの機密保
護、データの破壊防止の効果がある。

【００１０】また、記憶装置において、制御装置から転
送されてきた接続関係情報をもとに上位の制御装置を確
認することが可能となり、更にこの接続確認結果により
上位の制御装置からのアクセス可否を判定することがで
きるので、記憶装置におけるデータの機密保護、データ
破壊の防止の効果がある。

【００１１】例えば、ディスクサブシステム内のディス
ク装置が正当な手続きが行われずに取り外され、別ディ
スクサブシステムの別ディスク制御装置でアクセスされ
ようとした場合に、上記接続関係の確認結果により、そ
の接続関係が正当でなければ制御装置からのアクセスを
許可しないようにすることができる。

【００１２】また、本発明の接続関係確認は、記憶装置
の論理的な施錠ともいうべきものであり、記憶装置の小
型化の支障とはならない。例えば、１．３インチ、１．
８インチ、２．５インチ、３．５インチ、５インチ等の
ディスク円板径による記憶装置のフォームファクタ内で
記憶装置を実現することができる。

【００１３】

【実施例】以下、本発明を磁気ディスクサブシステムに
適用した場合の一実施例について図面を参照しながら詳
細に説明する。

【００１４】図１は、本実施例におけるデータ格納方式
を用いたディスクサブシステムの構成の一例を示すブロ
ック図である。

【００１５】まず、図１を参照しながら、本実施例のデ
ータ格納方式を用いたディスクサブシステムの構成を説
明する。

【００１６】図１において、１はコンピュータシステム
の中央処理装置を上位装置として示し、１２はコンピュ
ータシステムでデータ格納等に用いる外部記憶装置とし
てのディスクサブシステムを示す。ディスクサブシステ
ム１２は、データを格納する記憶媒体であるフォームフ
ァクタサイズのディスク装置１１ａ，１１ｂ，…（総称
するときには単にディスク装置１１という）と、サブシ
ステム全体の制御を行うマイクロプロセッサ４、そして
マイクロプロセッサ４の配下で上位装置１との間で情報
の転送を行うホストインタフェース制御部２、及び磁気
ディスク装置１１ａ，１１ｂとの間で情報の転送を行う
デバイスインタフェース６、及びマイクロプロセッサ４
の指示に基づきディスク装置１１に対しコマンドを発行
したり、ステータス、メッセージ等の情報を送信受領す
るディスクサブシステム制御部３を備えている。ホスト
インタフェース制御部２、ディスクサブシステム制御部
３及び後に説明するディスク制御部８は一般にＳＣＳＩ
(Small Computer System Interface)等の汎用インタフ
ェースチップにより構成される。更に、このディスクサ
ブシステム制御部３はデータを一時保管するバッファ５
との間でデータ転送が可能であり、このバッファ５は高
速動作可能な上位装置１と比較的動作の遅いディスク装
置１１との間に介在し、両者の間で転送されるデータを
一時的に記憶することにより、上位装置１と磁気ディス
ク装置１１との間の動作速度の違いを吸収しデータ転送
の効率化を図る働きをしている。マイクロプロセッサ４
は、ディスク制御部８との接続関係を確認するコマンド
を作成し、これをディスク装置１１に送信等を行う機能
を有すが、その際に使用する制御情報を格納する制御メ
モリ１７を有する。制御メモリ１７の一部はフラッシュ
メモリ等の不揮発な領域で構成されるものとする。

【００１７】ディスク装置１１は、このディスク装置を
制御するディスク制御部８とディスク制御部８の制御を
司るマイクロプロセッサ７、記録媒体である磁気ディス
ク１０、上位のディスクサブシステム制御部３からのデ
ータを一時格納しておく小容量のバッファ９を備えてい
る。ディスク制御部８は、ホストインタフェース制御部
２、ディスクサブシステム制御部３と同様に、汎用チッ
プにより構成され、マイクロプロセッサ７と共に本発明
を実現する。

【００１８】また、ディスクサブシステム１２内の保守
用インタフェースパネル１４は特権を有するユーザ及び
保守員がディスク装置１１の交換、増設を行う際に利用
するものであり、これを用いてディスクサブシステム制
御部３内のパラメータとディスク装置１１内のディスク
制御部８のパラメータを参照、更新することを可能にし
ている。

【００１９】図１に示したデバイスインタフェース６
は、実際には図６に示したように、複数（６ａ，６ｂ，
６ｃ）存在し、それぞれに複数の直列接続されたディス
ク装置（１１ａ，１１ｂ，…），（１１ｄ，１１ｅ，
…），（１１ｇ，１１ｈ，…）がつながり、ディスクア
レイを構成している。

【００２０】以下、図２及び図３などを参照しながら、
本実施例によるディスクサブシステムのデータ格納方式
の一例を説明する。

【００２１】まず、ディスクサブシステム１２を立ち上
げるために電源スイッチ１３を投入する。電源スイッチ
１３が投入されると同時にディスクサブシステム１２に
内蔵されているディスク装置１１の電源も投入される。
ディスク装置１１では、各装置内のマイクロプロセッサ
７が自己診断テストを行い、その結果をディスク制御部
８がデバイスインタフェース６を介してディスクサブシ
ステム制御部３に対しディスク装置１１のＩＭＰＬ(Ini
tial Micro Program Loading)が完了し、装置がＲＥＡ
ＤＹ状態であることを報告する。これを受けてマイクプ
ロセッサ４は、図４に示すようにコマンド及び制御パラ
メータを作成し、ディスクサブシステム制御部３に対
し、お互いの接続関係を確認する命令を発行するように
指示する。図４はコマンドコントロールブロック４０を
示しており、オペレーションコード４１は本発明のコマ
ンドコードを示す。ディスクサブシステム制御部パラメ
ータ４２は、ディスクサブシステム１２の制御装置のＩ
Ｄ（識別情報）を示し、ディスク制御部パラメータ４３
はディスク装置１１のＩＤ（例えば、装置製造番号）を
示す。両ＩＤは１バイト程度のビット列で一意に認識で
きるものとする。但し将来的に、より複雑化したＩＤを
設定することも可能である。ディスク装置１１にも、こ
れらのＩＤは装置インストール時に格納されており、マ
イクロプロセッサ４，７が両ＩＤを保持し参照できる。
ただし、各ディスク装置１１に記憶されるＩＤは、制御
装置のＩＤと自己のディスク装置のＩＤのみでよい。デ
ィスクサブシステム１２に格納されるＩＤ情報は制御メ
モリ１７内の不揮発な領域に格納され、電源断時も保持
される。また、ディスク装置１１に格納されるＩＤ情報
は、同様に不揮発な領域に格納されても良いし、本例の
様に磁気ディスク１０の空きエリアに格納しても良い。
いずれの場合もＩＤ情報は電源断の際も消失しない様配
慮されているものとする。

【００２２】マイクロプロセッサ４及びマイクロプロセ
ッサ７が保持する本ＩＤ情報は装置インストール及び保
守時に保守用インターフェースパネル１４によりユーザ
又は保守員が設定できる。通常保守用インターフェース
パネル１４は公開されていないため、両ＩＤの機密保護
性は保証される。

【００２３】ディスク装置１１では、転送されてきたデ
ィスクサブシステム制御部３からのパラメータとディス
ク装置１１内のマイクロプロセッサ７が保持するパラメ
ータとを照合してその接続関係を確認する。接続関係の
確認はマイクロプロセッサ７が実行する。この接続関係
の確認結果により、ディスク制御部８はディスク装置１
１に対するディスクサブシステム制御部３からのアクセ
ス可否を決定する。更に、ディスク装置１１とディスク
サブシステム制御部３の接続関係が正常と確認された場
合は正常に動作可能となるが、ディスク装置１１とディ
スクサブシステム制御部３との接続関係の異常（ＩＤの
不一致）を検出した場合は、そのディスク装置１１のデ
ィスク制御部８はそれ以降のディスクサブシステム制御
部３からのアクセスまたは動作要求を一切受け付けず、
ディスクサブシステム制御部３に対し実行不能の情報を
デバイスインタフェース６を介して報告する。実行不能
の情報とは、例えばＳＣＳＩインタフェースの場合“Ｎ
ＯＴ ＲＥＡＤＹ”状態を意味する。これを受けて、デ
ィスクサブシステム制御部３は、ディスクサブシステム
１２の異常状態及び異常情報をホストインタフェース制
御部２を介して上位装置１に転送し、そのオペレーティ
ングシステム（ＯＳ）に認識せしめる。ＯＳは、その旨
ユーザに対して通知する。この異常情報報告は、記憶装
置につき不当な使用等があったことを意味するものであ
り、機密データの保護をディスク装置１１単位で行うこ
とが可能となる。ディスクサブシステム１２は、上記接
続関係確認命令の実行自体がなされなかった記憶装置に
ついても、その記憶装置を割り出し、その記憶装置の初
期設定不良を上位装置に認識させ、ユーザに通知させる
ことができる。

【００２４】次に、ディスクサブシステム１２内のディ
スク装置１１が不当に取り外され、別のディスクサブシ
ステム内の別ディスク制御装置に接続された時に、本発
明のデータ格納方式を用いたディスク装置１１の動作の
一例を、図２および図３を参照しながら説明する。

【００２５】図２は、ディスク装置１１が正当なディス
クサブシステム１２に接続された状態を示している。こ
のディスクサブシステム１２から不正に持ち出されたデ
ィスク装置１１が、図３のように別ディスクサブシステ
ム１５の別ディスク制御装置１６に接続され、ディスク
装置１１のデータに対しアクセスを実行しようとした場
合、ディスク装置１１を立ち上げる時に、一定時間、別
ディスク制御装置１６から上記した接続確認命令が発行
されない場合には、ディスク装置１１内のディスク制御
部８は別ディスクサブシステム制御部１６に対して実行
不能の情報を転送し、ディスク装置１１に対するアクセ
スを不可能にする。また、上記した接続確認命令が発行
されても、転送されてきた別ディスクサブシステム制御
部１６のパラメータとディスク装置１１が保持するパラ
メータを用いた接続関係の一致が見られない異常状態を
検出した場合には、それ以降の別ディスクサブシステム
制御部１６からのアクセスをディスク装置１１は受け付
けず、別ディスクサブシステム制御部１６に対して実行
不能の情報（ＮＯＴ ＲＥＡＤＹ状態等）を転送する。
以上の制御遷移をディスク装置１１側のマイクロプロセ
ッサ７の動作をフローとして示したのが図５である。

【００２６】このようなディスク装置の接続確認機能に
より、機密データの保護、データ破壊の防止を実現する
ことが可能となる。

【００２７】次に保守用インタフェースパネル１４を使
ったパラメータの初期設定、更新の方法について説明す
る。

【００２８】まず、パラメータの初期設定時について
は、ディスクサブシステム１２に各ディスク装置１１を
インストールする際に行う。このとき、ユーザ、保守員
は保守用インタフェースパネル１４からパスワード等を
用いて、内部情報の設定、変更を行う権限を取得する。
これを受けてインストールしたディスク装置１１のディ
スク制御部８にあるパラメータの初期設定を行い、同時
にディスクサブシステム制御部３にあるパラメータの更
新も行う。ディスク装置１１の交換、増設時にも同様に
保守用インタフェースパネル１４からのパスワード等を
用いて上記権限を取得し、交換及び増設したディスク装
置１１内のディスク制御部８のパラメータの初期設定を
行い、同時にディスクサブシステム制御装置３のパラメ
ータの更新も行う。これにより、上記権限を取得できる
ユーザ、保守員以外ではパラメータの参照、更新等は出
来ない為、両パラメータの機密保護性が保証される。

【００２９】なお、以上の説明では、接続関係情報（パ
ラメータ）を各記憶装置へ転送してその照合を各記憶装
置側で行なうようにしたが、ディスクサブシステム制御
部へ転送してディスクサブシステム制御部側で行なうよ
うにすることも可能である。

【００３０】

【発明の効果】本発明によれば、ディスクサブシステム
内の記憶装置である多数のディスク装置の確認をディス
ク制御部からの接続確認命令で行うことができるので、
ディスクサブシステムにあるデータの保護、防止などの
管理がディスク装置単位で行えるという効果がある。更
に、ディスクサブシステム内のディスク装置が不当に取
り外され、別ディスク制御部等に接続され、ディスク装
置にアクセスを実行しようとしても、ディスク装置に付
加されている接続確認機能により、ディスク制御装置か
らの接続確認命令が転送されない場合若しくはその命令
が成功しない場合には、上位装置の異常が確認できるの
で、データの漏洩防止、破壊防止の効果がある。

【図面の簡単な説明】

【図１】本発明の一実施例に係るディスクサブシステム
の構成の一例を示すブロック図。

【図２】図１のシステムの動作を説明するための説明
図。

【図３】図１のディスクサブシステムの動作を説明する
ための他の説明図。

【図４】本発明のデータ格納方式を実現するためのコマ
ンドコントールブロックの一例を示す説明図。

【図５】図１のディスクサブシステムの作用を示フロー
チャート。

【図６】図１のシステムにおいけるディスクアレイ構成
を示す説明図。

【符号の説明】

１ 上位装置 ２ ホストインタフェース制御部 ３ ディスクサブシステム制御部 ４ マイクロプロセッサ ５ バッファ ６ デバイスインタフェース ７ マイクロプロセッサ ８ ディスク制御部 ９ バッファ １０ 磁気ディスク １１ ディスク装置 １２ ディスクサブシステム １３ 電源スイッチ １４ 保守用インタフェースパネル １５ 別のディスクサブシステム １６ 別ディスクサブシステム制御部 １７ 制御メモリ

Claims (5)

【特許請求の範囲】
1. 【請求項１】複数の記憶装置と、これらの記憶装置を着
   脱可能に保持し、データの格納制御を行なう制御装置と
   を備えたデータ格納装置において、 前記制御装置と各記憶装置とに、両者の接続関係を示す
   接続関係情報を格納する記憶領域を有し、前記各記憶装
   置の立ち上げ装着時に、前記制御装置および当該記憶装
   置の一方から他方へ前記接続関係情報を転送し、該転送
   先においてその接続関係情報と照合することにより、当
   該記憶装置の接続の適否を判定することを特徴とするデ
   ータ格納装置。
2. 【請求項２】前記接続関係情報は、前記制御装置の識別
   情報と前記各記憶装置の識別情報とを対応付けたもので
   あることを特徴とする請求項１記載のデータ格納装置。
3. 【請求項３】前記制御装置は、前記記憶装置の立ち上げ
   時に当該記憶装置に対して前記接続関係情報をパラメー
   タとして持つ接続関係確認命令を発行する手段を有し、
   前記各記憶装置は、前記接続関係確認命令に応答して当
   該命令とともに受領した接続関係情報を自己内の接続関
   係情報と照合し、その照合結果が「不一致」の場合には
   以降の前記制御装置からのアクセスまたは動作要求を拒
   絶する処理手段を有することを特徴とする請求項１また
   は２記載のデータ格納装置。
4. 【請求項４】前記接続関係情報の初期設定および更新を
   特定のユーザまたは保守員に対して許可する保守インタ
   フェース手段を備えることを特徴とする請求項１、２ま
   たは３記載のデータ格納装置。
5. 【請求項５】前記制御装置は、前記接続関係確認命令に
   対して応答しない記憶装置または「不一致」の旨の応答
   をした記憶装置を割り出して、前記制御装置の上位の装
   置へ通知する手段を有することを特徴とする請求項１〜
   ４のいずれかに記載のデータ格納装置。