(57)【要約】      （修正有）【課題】データ破壊を伴うサイバー攻撃の被害を最小化しリストア作業を容易化可能なデータバックアップ技術を提供する。【解決手段】ホストに提供される第１のボリュームと、第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、コントローラは、第１のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、第１のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、取得した監視情報を用い第１のボリュームにおける通常使用における定常状態を設定し、設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、第１のボリュームのバックアップデータまたはスナップショットイメージを第２のボリュームに作成し、リストアポイントを設定して管理する。【選択図】図２
2020201703.tif 000002
【特許請求の範囲】
【請求項１】
コントローラを有し、ホストに提供される第１のボリュームと、前記第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、
前記コントローラは、
前記第１のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、
前記第１のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、取得した監視情報を用い前記第１のボリュームにおける通常使用における定常状態を設定し、
前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成し、リストアポイントを設定して管理することを特徴とするストレージ装置。
【請求項２】
請求項１に記載のストレージ装置において、
前記コントローラは、前記ストレージ装置に接続される管理システムに対し、前記設定したリストアポイントを通知することを特徴とするストレージ装置。
【請求項３】
請求項１に記載のストレージ装置において、
前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動の検知は、前記第１のボリュームに対する定常状態の学習データによって行われることを特徴とするストレージ装置。
【請求項４】
請求項１に記載のストレージ装置において、
前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動の検知は、前記第１のボリュームに対するライトＩ／Ｏ回数、リードＩ／Ｏ回数、リードデータ量、ライトデータ量、リードデータの圧縮率、ライトデータの圧縮率、または、前記第１のボリュームのデータ圧縮率、容量増加率の何れかの閾値によって行われることを特徴とするストレージ装置。
【請求項５】
請求項１に記載のストレージ装置において、
前記コントローラは、
前記第１のボリュームにおけるホストのアクセス情報及びボリューム使用容量を含む監視情報を取得する監視部と、
取得した情報を用い前記第１のボリュームにおける通常使用における定常状態を設定し、前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知する異常判定部と、
検知時点において、自律的に前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成するボリュームバックアップ部とを有することを特徴とするストレージ装置。
【請求項６】
請求項１に記載のストレージ装置において、
前記第１のボリュームと前記第２のボリュームとは、ネットワークを介して接続されている別々のストレージ装置に設けられていることを特徴とするストレージ装置。
【請求項７】
コントローラを有し、ホストに提供される第１のボリュームと、前記第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、
前記コントローラは、
前記第１のボリュームにおけるバックアップデータまたはスナップショットイメージをストレージ管理者により定義された間隔で定期的に取得し、
前記第１のボリュームの保護ポリシに応じて、前記第１のボリュームの監視情報を取得し、取得した情報を用い前記第１のボリュームにおける通常使用における定常状態を記憶し、
前記記憶した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成し、リストアポイントを設定して管理することを特徴とするストレージ装置。
【請求項８】
ホストに提供される第１のボリュームと、前記第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置のバックアップ方法において、
前記ストレージ装置のコントローラが、
前記第１のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、
前記第１のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、
前記取得した監視情報を用い前記第１のボリュームにおける通常使用における定常状態を設定し、
前記設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、
検知時点において、前記第１のボリュームのバックアップデータまたはスナップショットイメージを前記第２のボリュームに作成し、
リストアポイントを設定して管理することを特徴とするバックアップ方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は概して、ストレージシステムにより行われるデータ処理に関する。
【背景技術】
【０００２】
ストレージ装置においては、ＩＴシステムにおける事業継続計画（ＢＣＰ）の観点から、ストレージ装置に格納されるデータのバックアップを安全に格納し、また必要な時に迅速にデータを普及することが求められている。
【０００３】
特許文献１は、ボリュームスナップショット機能を提供するストレージシステムが開示される。特許文献１によれば、ホストに提供される第一の論理ボリュームと、第一の論理ボリュームに対応付けられた１以上のスナップショットイメージを保持するための副ボリュームを構成し、第一のボリュームに対するスナップショットの取得時点の時間的関係を示す時間関係情報を記憶し、第一のボリュームにホストがデータを書き込む場合において、ホストが書き込むべきデータ要素を格納するべき論理領域について、時間関係情報に基づき、データ要素がスナップショットイメージを構成するデータ要素であるか否かを判定することで、第一のボリュームのスナップショットイメージを取得するボリュームスナップショット技術について開示している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第５６５７８０１号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００５】
企業では、自然災害やサイバー攻撃などの緊急事態が生じた場合に事業の継続や復旧を図るため、ＩＴシステムの事業継続計画（ＢＣＰ  ：  Ｂｕｓｉｎｅｓｓ  Ｃｏｎｔｉｎｕｉｔｙ  Ｐｌａｎ）対応を進めている。そこで、重要なデータを格納しうるストレージシステムにおいてもこれらのＢＣＰ対応が必要となる。また、近年ランサムウェアを筆頭に、サービス破壊  （ＤｅＯＳ  ：  Ｄｅｓｔｒｕｃｔｉｏｎ  Ｏｆ  Ｓｅｒｖｉｃｅ）  型のサイバー攻撃が急増している。
【０００６】
これらは運用中のＩＴシステムをサービス停止に追い込むだけでなく、それらデータやバックアップをも破壊することで、ＩＴシステムやビジネス自体に甚大な被害をもたらす。このような被害からデータを保護するため、ストレージ装置ではストレージ筐体内コピー機能によるデータバックアップや遠隔地に設置した他のストレージ装置へのリモートレプリケーション機能などを提供している。
【０００７】
しかしながら、実際のサービス破壊型の攻撃では、ＩＴシステムが攻撃を受けてから被害が顕在化し、そして対策が実際に行われるまでに時間がかかる場合が多い。そのため、従来のバックアップのようなスケジュール管理により定期的に取得されるバックアップの運用方法では、取得されたバックアップデータがサイバー攻撃による破壊後のものであったり、あるいは、サイバー攻撃を受ける前の状態のバックアップデータであっても、最新の状態からかなり時間経過することで価値の低いバックアップデータとなっている恐れがある。
【０００８】
また、バックアップされたデータのリカバリ手順を考えた場合、リストアするべきバックアップデータを特定するための情報はサイバー攻撃などによる被害が顕在化し、インシデントが発覚した時刻を元にデータのリストアポイントを特定するしかなく、このため、データ破壊を伴うサイバー攻撃では、データ破壊前のリストアポイントを特定するのが難しい。
【０００９】
そこで、本発明の目的は、上記のデータ破壊を伴うサイバー攻撃の被害を最小化しリストア作業を容易化可能なデータバックアップ技術を有するストレージ装置およびバックアップ方法を提供する。
【００１０】
特に、従来のスケジュール管理されたデータバックアップやリストアポイントの設定に加え、ストレージシステムにおける各種監視情報（例えば、バックアップ対象ボリュームへのＩ／Ｏ情報やデータ圧縮率の変化、データ容量の変化）などに基づいて、通常運用時の挙動から逸脱したイベントの発生を監視し、これらをトリガーとして、自動的にデータのバックアップの設定やリストアポイントの設定を行うストレージ装置およびバックアップ方法の提供を目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決する本発明のストレージ装置の一態様は、コントローラを有し、ホストに提供される第１のボリュームと、第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、コントローラを有し、ホストに提供される第１のボリュームと、前第１のボリュームのバックアップデータまたはスナップショットイメージを格納する第２のボリュームがあるストレージ装置において、コントローラは、第１のボリュームにおけるバックアップデータまたはスナップショットイメージを所定の間隔で定期的に取得し、第１のボリュームにおけるホストのアクセス情報とボリューム使用容量とを含む監視情報を取得し、取得した監視情報を用い第１のボリュームにおける通常使用における定常状態を設定し、設定した定常状態から逸脱したボリュームにおけるアクセス挙動を検知し、検知時点において、第１のボリュームのバックアップデータまたはスナップショットイメージを第２のボリュームに作成し、リストアポイントを設定して管理する。
【発明の効果】
【００１２】
本発明の代表的な実施例によれば、第１のボリュームにおいて、予め設定された時刻情報に基づくバックアップやスナップショットイメージの取得に加え、その監視情報に基づき、自律的にバックアップデータやスナップショットイメージが作成される。このため、データ破壊を目的したランサムウェアによるサイバー攻撃により、第１のボリュームにおけるデータ破壊が生じたとしても、ストレージ管理者はストレージ装置からの通知によりサイバー攻撃を早期に発見することができ、サイバー攻撃による被害を最小化できる。
前記した以外の課題、構成および効果は、以下の実施例の説明により明らかにされる。
【図面の簡単な説明】
【００１３】
【図１】ストレージ装置を説明する図である。
【図２】装置内バックアップを示した図である。
【図３】リモートレプリケーションを示した図である。
【図４】管理情報を示した図である。
【図５】ＬＤＥＶ管理テーブルを説明する図である。
【図６】プール管理テーブルを説明する図である。
【図７】プールＶＯＬテーブルを説明する図である。
【図８】ＬＤＥＶ監視情報テーブルを説明する図である。
【図９】ＬＤＥＶデータ保護ポリシ管理テーブルを説明する図である。
【図１０】ＬＤＥＶ自動データ保護ポリシ管理テーブルを説明する図である。
【図１１】ＬＤＥＶバックアップ管理テーブルを説明する図である。
【図１２】異常判定プログラムによるＬＤＥＶアクセス情報の学習フローを示した図である。
【図１３】ＬＤＥＶ監視プログラムによるＬＤＥＶアクセスの異常検知フローを示した図である。
【発明を実施するための形態】
【００１４】
本発明の実施例について、図面を参照して説明する。
【００１５】
なお、以下に説明する実施例は特許請求の範囲に係る発明を限定するものではなく、実施例の中で説明されている要素の組み合わせの全てが発明の解決手段に必須であるとは限らない。また、以下の説明では、「ｘｘｘテーブル」、「ｘｘｘ  リスト」、「ｘｘｘＤＢ」、「ｘｘｘキュー」等の表現で各種の情報を説明することがあるが、各種情報はテーブル、リスト、ＤＢ、キュー、等以外のデータ構造で表現されていてもよい。そのため、データ構造に依存しないことを示すため、「ｘｘｘのテーブル」、「ｘｘｘリスト」、「ｘｘｘＤ  Ｂ」、「ｘｘｘキュー」等を「ｘｘｘ情報」と称することがある。
【００１６】
さらに、各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「名前」、「ＩＤ」という表現を用いるが、これらについてはお互いに置換が可能である。
【００１７】
さらに、後述する本発明の実施例は、汎用コンピュータ上で稼動するソフトウェアで実装してもよいし、専用ハードウェア又はソフトウェアとハードウェアの組み合わせで実装してもよい。
【００１８】
さらに、以下の説明では「プログラム」を主語として処理を説明することがあるが、プログラムはプロセッサ（例えば、ＣＰＵ：Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）によって実行されることによって、定められた処理を記憶資源（例えば、メモリ）、通信Ｉ／Ｆ、ポートを用いて処理を実行するため、プロセッサを主語として説明してもよい。
【００１９】
プログラムを主語として説明された処理は、プロセッサを有する計算機（例えば、計算ホスト、ストレージ装置）が行う処理としてもよい。また、以下の説明では、「コントローラ」の表現で、プロセッサ又はプロセッサが行う処理の一部又は全部を行うハードウェア回路を指してもよい。プログラムは、プログラムソース（例えば、プログラム配布サーバや、計算機が読み取り可能な記憶メディア）から各計算機にインストールされてもよい。この場合、プログラム配布サーバはＣＰＵと記憶資源を含み、記憶資源はさらに配布プログラムと配布対象であるプログラムを記憶している。そして、配布プログラムをＣＰＵが実行することで、プログラム配布サーバのＣＰＵは配布対象のプログラムを他の計算機に配布する。
【００２０】
また、以下の説明では、「ＰＤＥＶ」は、物理的な記憶デバイスを意味し、典型的には、不揮発性の記憶デバイス（例えば補助記憶デバイス）でよい。ＰＤＥＶは、例えば、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）又はＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）でよい。ストレージシステムに異なる種類のＰＤＥＶが混在していてもよい。
【００２１】
また、以下の説明では、「ＲＡＩＤ」は、Ｒｅｄｕｎｄａｎｔ  Ａｒｒａｙ  ｏｆ  Ｉｎｅｘｐｅｎｓｉｖｅ  Ｄｉｓｋｓの略である。ＲＡＩＤグループは、複数のＰＤＥＶ（典型的には同種のＰＤＥＶ）で構成され、そのＲＡＩＤグループに関連付けられたＲＡＩＤレベルに従いデータを記憶する。ＲＡＩＤグループは、パリティグループと呼ばれてもよい。パリティグループは、例えば、パリティを格納するＲＡＩＤグループのことでよい。
【００２２】
また、以下の説明では、「ＶＯＬ」はボリュームの略であり、物理的な記憶デバイスまたは、論理的な記憶デバイスでもよい。ＶＯＬは、実体的なＶＯＬ（ＲＶＯＬ）であってもよいし、仮想的なＶＯＬ（ＶＶＯＬ）であってもよい。「ＲＶＯＬ」は、そのＲＶＯＬを有するストレージシステムが有する物理的な記憶資源（例えば、１以上のＲＡＩＤグループ）に基づくＶＯＬでよい。「ＶＶＯＬ」は、外部接続ＶＯＬ（ＥＶＯＬ）と、容量拡張ＶＯＬ（ＴＰＶＯＬ）と、スナップショットＶＯＬとのうちのいずれでもよい。ＥＶＯＬは、外部のストレージシステムの記憶空間（例えばＶＯＬ）に基づいており、ストレージ仮想化技術に従うＶＯＬでよい。ＴＰＶＯＬは、複数の仮想領域（仮想的な記憶領域）で構成されており容量仮想化技術（典型的にはＴｈｉｎ  Ｐｒｏｖｉｓｉｏｎｉｎｇ）に従うＶＯＬでよい。
【００２３】
また以下の説明では、スナップショットは、オリジナルのＶＯＬのスナップショットとして提供されるＶＯＬまたは、論理的な記憶デバイスでもよい。
【００２４】
また、スナップショットの実現方式は、ある時点からある時点までにＶＯＬに対して行われたデータ更新差分を一括して記録する方式のスナップショットで実現されて良いし、ＶＯＬに行われた全てのデータ更新を時系列で記録するＣＤＰ（Ｃｏｎｔｉｎｉｏｕｓ  Ｄａｔａ  Ｐｒｏｔｅｃｔｉｏｎ）で実現されて良い。
【００２５】
「プール（ＰＯＯＬ）」は、論理的な記憶領域（例えば複数のプールＶＯＬの集合）であり、用途ごとに用意されてよい。例えば、プールとして、ＴＰプールと、スナップショットプールとのうちの少なくとも１種類があってよい。ＴＰプールは、複数のページ（実体的な記憶領域）で構成された記憶領域でよい。ストレージコントローラが、ホストシステム（以下、ホスト）から受信したライト要求が指定するアドレスが属する仮想領域（ＴＰＶＯＬの仮想領域）にページが割り当てられていない場合、その仮想領域（ライト先仮想領域）にＴＰプールからページを割り当てる（ライト先仮想領域にページが割り当て済であってもページが新たにライト先仮想領域に割り当てられてもよい）。
【００２６】
ストレージコントローラは、割り当てられたページに、そのライト要求に付随するライト対象データを書き込んでよい。スナップショットプールは、オリジナルのＶＯＬから退避されたデータが格納される記憶領域でよい。１つのプールが、ＴＰプールとしてもスナップショットプールとしても使用されてもよい。「プールＶＯＬ」は、プールの構成要素となるＶＯＬでよい。プールＶＯＬは、ＲＶＯＬであってもよいしＥＶＯＬであってもよい。
【００２７】
また、以下の説明では、ホストから認識されるＶＯＬ（ホストに提供されるＶＯＬ）を「ＬＤＥＶ」と言う。以下の説明では、ＬＤＥＶは、ＴＰＶＯＬ（又はＲＶＯＬ）であり、プールは、ＴＰプールである。しかし、本発明は、容量拡張技術（Ｔｈｉｎ  Ｐｒｏｖｉｓｉｏｎｉｎｇ）が採用されていないストレージ装置にも適用できる。
【００２８】
また、以下の説明では、「ＰＶＯＬ（Ｐｒｉｍａｒｙ  ＶＯＬ）」はバックアップ、レプリケーション、スナップショットの元ボリュームとなるＬＤＥＶのことであり、「ＳＶＯＬ（Ｓｅｃｏｎｄａｒｙ  ＶＯＬ）」はバックアップ、レプリケーション、スナップショット先となるＬＤＥＶのことで良い。
【００２９】
図１は、実施例１に係るストレージ装置の構成例を示す。
ストレージ装置２０００に、ネットワーク３００１を介して１以上のホスト１００１が接続されている。また、ストレージ装置２０００に管理システム１００２が接続されている。ネットワーク３００１は例えばＦＣ（Ｆｉｂｒｅ  Ｃｈａｎｎｅｌ）やｉＳＣＳＩ  （Ｉｎｔｅｒｎｅｔ  Ｓｍａｌｌ  Ｃｏｍｐｕｔｅｒ  Ｓｙｓｔｅｍ  Ｉｎｔｅｒｆａｃｅ）である。
【００３０】
ホスト１００１は、ホストシステムの略であり、１以上のホストである。ホスト１００１は、Ｈ−Ｉ／Ｆ（ホストインタフェースデバイス）２００３を有しており、Ｈ−Ｉ／Ｆ２００３経由で、アクセス要求（ライト要求又はリード要求）をストレージ装置２０００に送信したり、アクセス要求の応答（例えば、ライト完了を含んだライト応答、又は、リード対象チャンクを含んだリード応答）を受信したりする。Ｈ−Ｉ／Ｆ２００３は、例えば、ＨＢＡ（Ｈｏｓｔ  Ｂｕｓ  Ａｄａｐｔｅｒ）又はＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）である。
【００３１】
管理システム１００２は、ストレージ装置２０００の構成及び状態を管理する。管理システム１００２、Ｍ−Ｉ／Ｆ（管理インタフェースデバイス）２００４を有しており、Ｍ−Ｉ／Ｆ経由で、ストレージ装置２０００に命令を送信したりその命令の応答を受信したりする。Ｍ−Ｉ／Ｆ２００４は、例えばＮＩＣである。
【００３２】
また、管理システム１００２はストレージ装置２０００を管理するサーバやＰＣ上で実行されるソフトウェアで良いし、ストレージ装置２０００に接続されるホスト１００１の管理を行うセキュリティアプライアンスやソフトウェアの機能として実装されても良い。
【００３３】
ストレージ装置２０００は、複数のドライブ２０１３と、複数のドライブ２０１３に接続されたストレージコントローラ２００１とを有する。複数のドライブ２０１３を含んだ１以上のＲＡＩＤグループが構成されていてよい。
【００３４】
ストレージコントローラ２００１は、Ｆ−Ｉ／Ｆ（フロントエンドインタフェースデバイス）２００５と、Ｂ−Ｉ／Ｆ（バックエンドインタフェースデバイス）２０１２と、ＣＭ（キャッシュメモリ）２００６と、ＮＶＲＡＭ（Ｎｏｎ−Ｖｏｌａｔｉｌｅ  ＲＡＭ）２００７と、ＭＰＰＫ２００９Ａ及びＭＰＰＫ２００９Ｂと、それらの要素間の通信を中継する中継機２００８とを有する。中継器は、例えばバス又はスイッチである。
【００３５】
Ｆ−Ｉ／Ｆフロントエンドインタフェース２００５は、ホスト１００１又は管理サーバと通信するＩ／Ｆである。Ｂ−Ｉ／Ｆバックエンドインタフェース２０１２は、ドライブドライブ２０１３と通信するＩ／Ｆである。Ｂ−Ｉ／Ｆバックエンドインタフェース２０１２は、Ｅ／Ｄ回路（暗号化及び復号化のためのハードウェア回路）を含んでいてよい。具体的には、例えば、Ｂ−Ｉ／Ｆバックエンドインタフェース２０１２は、ＳＡＳ（Ｓｅｒｉａｌ  Ａｔｔａｃｈｅｄ  ＳＣＳＩ）コントローラを含んでいてよく、ＳＡＳコントローラが、Ｅ／Ｄ回路を含んでいてよい。
【００３６】
ＣＭ２００６（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）には、ドライブ２０１３に書き込まれるデータ又はドライブ２０１３から読み出されたデータがＭＰＰＫ２００９により一時格納される。ＮＶＲＡＭ２００７には、電断時にバッテリ（図示せず）から電力を受けたＭＰＰＫ２００９によりＣＭ２００６内のデータ（例えばダーティデータ（ドライブ２０１３に書き込まれていないデータ））が退避される。
【００３７】
ＭＰＰＫ２００９Ａ及びＭＰＰＫ２００９Ｂによりクラスタが構成されている。ＭＰＰＫ２００９Ａ（ＭＰＰＫ２００９Ｂ）は、ＤＲＡＭ２０１１Ａ（２０１１Ｂ）と、ＣＰＵ２０１０Ａ（ＣＰＵ２０１０Ｂ）とを有する。ＤＲＡＭ２０１１Ａ（ＤＲＡＭ２０１１Ｂ）には、ＣＰＵ２０１０Ａ（ＣＰＵ２０１０Ｂ）に実行される制御プログラム３０００Ａ（制御プログラム３０００Ｂ）と、ＣＰＵ２０１０Ａ（ＣＰＵ２０１０）Ｂにより参照又は更新される管理情報４０００Ａ（管理情報４０００Ｂ）とが格納される。ＣＰＵ２０１０Ａ（ＣＰＵ２０１０Ｂ）は制御プログラム３０００Ａ（制御プログラム３０００Ｂ）を実行することにより、例えば、ストレージ装置２０００のＩ／Ｏ処理、アドレスの変換処理が実行される。制御プログラム３０００Ａ（制御プログラム３０００Ｂ）及び管理情報４０００（管理情報４０００Ｂ）のうちの少なくとも一方が、複数のＭＰＰＫ２００９Ａ及びＭＰＰＫ２００９Ｂに共有の記憶領域（例えばＣＭ２００６）に格納されてもよい。
【００３８】
＜ＬＤＥＶのデータ保護方法＞
図２は、実施例１に係るストレージ装置内バックアップの一構成例を示す。
図２は、ホスト１００１が接続するプライマリボリュームであるＰＶＯＬ５００２Ａをストレージ装置２０００内にバックアップする例を示す。
【００３９】
ＰＶＯＬ５００２Ａは予めストレージ装置管理者が設定したデータ保護ポリシに従って、ボリュームバックアッププログラム３００３により、ＰＶＯＬ５００２Ａのデータを複製したセカンダリボリュームであるＳＶＯＬ５００１Ａ、ＳＶＯＬ５００１Ｂ、または、スナップショット５００３Ａ、スナップショット５００３Ｂ、スナップショット５００３Ｃにデータをバックアップする。ボリュームバックアッププログラム３００３、ＬＤＥＶ監視プログラム３００４、異常判定プログラム３００５は、制御プログラム３０００の一部を構成するプログラムである。また、ボリュームバックアッププログラム３００３、ＬＤＥＶ監視プログラム３００４、異常判定プログラム３００５は、ストレージコントローラ２００１のＣＰＵ２０１０によって実行されることで、ボリュームバックアップ部、ＬＤＥＶ監視部、異常判定部の各機能を実現する。
【００４０】
データ保護ポリシとは、具体的には、ＰＶＯＬ５００２のデータを複製しバックアップとして作成するＳＶＯＬ５００１を作成するスケジュールや保管期限、リードライトの可否などのアクセスコントロールである。
【００４１】
また、このとき、データを複製するＳＶＯＬ５００１Ｂ、ＳＶＯＬ５００１Ｃは、ＰＶＯＬ５００２Ａから完全にデータを複製して作成しても良いし、以前のバックアップ時点から更新された差分データのみを複製して作成しても良い。
【００４２】
また、スナップショット５００３Ａ、スナップショット５００３Ｂ、スナップショット５００３Ｃは、ＰＶＯＬ５００２Ａのある時点のデータ状態を再現するデータセットである。以前にスナップショットを作成した時点から更新されたデータ差分のみを次時点のスナップショットで記録することで、データ保存に必要なデータ量を削減することが可能となる。また、スナップショットはＬＤＥＶに適宜マウントすることができ、スナップショット５００３ＣはＰＶＯＬ５００１Ｃにマウントすることで、ホスト１００１がスナップショットのデータにアクセス可能になる。
【００４３】
ＬＤＥＶ監視プログラム３００４は、ホスト１００１がアクセスするＬＤＥＶへのアクセス情報（例えば、リードやライトのＩＯ回数や、データの圧縮率など）や、ＬＤＥＶの情報（例えば、ＬＤＥＶの消費容量、データ圧縮率など）を監視するプログラムであり、管理システム１００２がＬＤＥＶ監視プログラム３００４にアクセスすることで、ストレージ管理者は管理システム１００２からＬＤＥＶの状態を把握することができる。
【００４４】
＜ＬＤＥＶデータの自動保護＞
ここで、ＬＤＥＶへのアクセス情報に基づいた自動的なデータ保護方法について説明する。
【００４５】
近年、ランサムウェアを始めとするデータ破壊型の攻撃を行うサイバー攻撃の被害が増加している。これらのランサムウェアは、感染するとＩＴシステム内に格納されたデータを暗号化し、データを復号化のための鍵を渡す代わりに金銭を要求するという形で企業や個人に対して脅迫を行う。このため、ＩＴシステムから接続され、そのデータを格納するストレージ装置においても、ランサムウェアからデータを保護する方法が考えられる。
【００４６】
暗号化を伴うランサムウェアからデータを保護するためには、バックアップを利用したデータのリストアが考えられる。しかし、ランサムウェアによるサイバー攻撃では、最初にランサムウェアの感染を発生してから被害が顕在化し、対策を講じるまでにある程度時間差があることから、データをバックアップからリストアしようとした場合においても、どの時点のデータに復元すべきかという見極めが難しいという問題もある。
【００４７】
そこで、本願で開示される技術では、主にデータを暗号化するランサムウェアに着目し、ランサムウェアのデータ暗号化に伴う、ＬＤＥＶへのアクセス情報に基づいて、自動的にデータのバックアップやリストアポイントを設定する。
【００４８】
ランサムウェアによりデータが暗号化され破壊されてしまった場合においては、これら自動的に設定されたデータのバックアップやリストアポイントに基づいて、迅速にランサムウェアが破壊を行う前の状態にデータを復元することを可能とする。
【００４９】
具体的には、ＬＤＥＶ監視プログラム３００４が各ＰＶＯＬ５００２のアクセス情報を監視し、異常判定プログラム３００５により、ホスト１００１がＰＶＯＬ５００２にアクセスすることで生じる通常のＰＶＯＬ５００２のアクセス情報を学習する。ランサムウェアによりデータの暗号化を伴うデータ破壊などが生じた場合、ＰＶＯＬ５００２へのアクセス情報が学習済みの通常運用とは異なるため、異常判定プログラム３００５が管理システム１００２を通じてストレージ管理者に異常検知を通知し、ボリュームバックアッププログラム３００３を起動し、ＰＶＯＬ５００２ごとにデータ保護ポリシで定められた方法でバックアップのＳＶＯＬ５００１またはスナップショット５００３を作成する。
【００５０】
このようにすることで、ＰＶＯＬ５００２のデータ保護ポリシで予め定義されるスケジュールされたバックアップデータの作成の他に、異常判定プログラム３００５により、ＰＶＯＬ５００２へのアクセス情報が通常時とは異なると検知した時点をバックアップデータ作成の時点とすることができる。このため、ランサムウェアによるデータ破壊活動が開始される直後または直前の時点にＰＶＯＬ５００２のデータを復元することが可能になるため、データ破壊前の多くのデータをバックアップから復元することが可能となる。
【００５１】
また、異常判定プログラム３００５の具体的な実装方式は、アクセス情報を学習することの他、ＬＤＥＶ監視プログラム３００４が取得する各種の監視値のうち、１種類または複数種類の値が予め規定された閾値をある一定期間超過することをトリガーとする統計的手法によるものでも良いし、同様の監視値を利用した機械学習アルゴリズムによるものでもよいし、または、深層学習アルゴリズムによる学習を利用する実装方式でも良い。
【００５２】
なお、異常判定プログラム３００５はストレージ装置２０００内で可動するものとしても良いし、管理システム１００２またはホスト１００１で可動するものとして実装されても良い。
【００５３】
図３は、実施例１におけるストレージ装置間リモートレプリケーションを利用したデータバックアップの例を示す。
図３では、ＢＣＰ対応やＤＲを目的として、遠隔地に設置されたストレージ装置２０００間でリモートレプリケーションを構成しながらバックアップやスナップショットを利用したデータ保護を行う実施例を示す。
【００５４】
図３の実施例では、ストレージ装置２０００Ａと、異なる遠隔のデータセンタ等に設置されたストレージ装置２０００Ｂが、ネットワーク３００１を介して接続されており、ストレージ装置２０００ＡのＰＶＯＬ５００２Ａと、ストレージ装置２０００ＢのＳＶＯＬ５００１Ａがペアの関係となるような構成を示す。
【００５５】
ストレージ装置２０００ＡのＰＶＯＬ５００２Ａと、ストレージ装置２０００ＢのＳＶＯＬ５００１Ａは、リモートレプリケーションのペア関係として、互いのデータが同期される。この際の同期方式はＰＶＯＬ５００２Ａへのデータ更新と同期する方式でも良いし、非同期でＰＶＯＬ５００２Ａへの更新差分データをＳＶＯＬ５００１Ａに反映する方式でも良い。
【００５６】
なお、ストレージ装置２０００Ｂにおいては、ＳＶＯＬ５００１Ａの予め設定されたデータ保護ポリシに基づき、ボリュームバックアッププログラム３００３により、定期的にＳＶＯＬ５００１Ａのスナップショット５００３またはボリュームバックアップが取得される。
【００５７】
ストレージ装置２０００Ａでは、ＬＤＥＶ監視プログラム３００４がホスト１００１からアクセスされるＰＶＯＬ５００２Ａのアクセス情報を監視し、異常判定プログラムが通常ホスト１００１がＰＶＯＬ５００２Ａにアクセスするアクセス情報を学習する。異常判定プログラム３００５の具体的な実装方式は、アクセス情報を学習することの他、ＬＤＥＶ監視プログラム３００４が取得する各種の監視値のうち、１種類または複数種類の値が予め規定された閾値をある一定期間超過することをトリガーとする統計的手法によるものでも良いし、同様の監視値を利用した機械学習アルゴリズムによるものでもよいし、または、深層学習アルゴリズムによる学習を利用する実装方式でも良い。
【００５８】
ランサムウェアなどによりＰＶＯＬ５００２Ａのデータ破壊が行われた場合、異常判定プログラム３００５がＰＶＯＬ５００２Ａのアクセス異常を検知し、管理システム１００２を通じてストレージ管理者に異常検知を通知し、ストレージ装置２０００Ｂのボリュームバックアッププログラム３００３に対し、ＳＶＯＬ５００１Ａのバックアップデータを作成指示する。
【００５９】
ボリュームバックアッププログラム３００３は、ＳＶＯＬ５００１Ａのスナップショット５００３Ａを作成することで、ＰＶＯＬ５００２Ａのデータがそのレプリケーション先のＳＶＯＬ５００１Ａによるバックアップデータ（スナップショット５００３Ａ）として保護される。
【００６０】
なお、ここでは、ＬＤＥＶ監視プログラム３００４はストレージ装置２０００Ｂで動作するものとしても良いし、異常判定プログラム３００５はストレージ装置２０００Ｂまたは管理システム１００２で動作するものとしても良い。
【００６１】
以上のようにして、複数台のストレージ装置２０００間で構築されるリモートレプリケーション構成において、データ保護ポリシに基づいて予めスケジュールされたバックアップまたはスナップショットを利用したデータバックアップの他に、アクセス情報の異常に基づく自動的なデータ保護が実現されることで、ＰＶＯＬ５００２Ａのリモートレプリケーションを構築するのみの場合と比較してデータの安全性が向上する。
【００６２】
図４は、実施例のストレージ装置における管理情報の構成例を示す。
管理情報４０００は、複数の管理テーブルを含む。管理テーブルとして、例えば、ＰＶＯＬ５００２やＳＶＯＬ５００１などのＬＤＥＶに関する情報を保持するＬＤＥＶ管理テーブル４００２、ＬＤＥＶに論理容量を提供するプールに関する情報を保持するプール管理テーブル４００１、プールに容量を提供するプールＶＯＬに関する情報を保持するプールＶＯＬテーブル４００３、ＬＤＥＶの監視情報を管理するＬＤＥＶ監視情報テーブル４００４、ＬＤＥＶのデータ保護ポリシを管理するテーブルＬＤＥＶデータ保護ポリシテーブル４００５、ＬＤＥＶのデータの自動保護ポリシを管理するＬＤＥＶ自動データ保護ポリシテーブル４００７、ＰＶＯＬ５００２のバックアップデータを管理するＬＤＥＶバックアップ管理テーブル４００６で、管理情報４０００Ａ及び管理情報４０００Ｂ間で、少なくとも一部の情報が同期してもよい。
【００６３】
図５は、実施例のストレージ装置の管理情報におけるＬＤＥＶ管理テーブルの構成例を示す。
【００６４】
ＬＤＥＶ管理テーブル４００２は、ＰＶＯＬ５００２やＳＶＯＬ５００１などのＬＤＥＶ毎にエントリ（レコード）を有する。各エントリが格納する情報は、ＬＤＥＶ番号４０１、ＬＤＥＶ容量４０２、ＶＯＬ種別４０３およびプール番号４０４である。
【００６５】
ＬＤＥＶ番号４０１は、ＬＤＥＶの識別番号を表す。ＬＤＥＶ容量４０２はＬＤＥＶの容量を表す。ＶＯＬ種別４０３はＬＤＥＶの種別を表し、例えば、ストレージ装置２０００の外部装置から提供される外部ボリューム「ＥＶＯＬ」、リモートボリューム「ＲＶＯＬ」またはシンプロビジョニングボリューム「ＴＰＶＯＬ」を表す。プール番号４０４は、ＬＤＥＶが関連付けられているプールの識別番号を表し、プール番号４０４が関連付けられているプール内の領域からデータ格納領域が割り当てられる。
【００６６】
図６は、実施例のストレージ装置の管理情報におけるプール管理テーブルの構成例を示す。
【００６７】
プール管理テーブル４００１は、プール毎にエントリを有する。各エントリが格納する情報は、プール番号４０４、プール容量４０５、プール割当容量４０６およびプール使用容量４０７である。
【００６８】
プール番号４０４は、プールの識別番号を表す。プール容量４０５は、プールの定義された容量、具体的には、プールを構成する１以上のプールＶＯＬにそれぞれ対応した１以上のＶＯＬ容量の合計を表す。プール割当容量４０６は、１以上のＬＤＥＶに割り当てられた実容量、具体的には、１以上のＬＤＥＶに割り当てられているページ群全体の容量を表す。プール使用容量４０７は、プールに格納されているデータの総量を表す。データについてデータ削減（圧縮及び重複排除のうちの少なくとも１つ）が行われた場合、データ削減後のデータ量を基にプール使用容量４０７がＭＰＰＫ２００９により算出されてよい。なお、データ圧縮をドライブ２０１３が行う場合、ＭＰＰＫ２００９Ａは、圧縮前のデータ量を基にプール使用容量４０７を算出してもよいし、圧縮後のデータ量の通知をドライブ２０１３から受けてその圧縮後データ量を基にプール使用容量４０７を算出してもよい。
【００６９】
図７は、実施例のストレージ装置の管理情報におけるプールＶＯＬテーブルの構成例を示す。
【００７０】
プールＶＯＬテーブル４００３は、プール番号４０４に属するプールＶＯＬの対応を管理するテーブルであり、プール番号４０４と、プール番号４０４毎のプールＶＯＬサブテーブル４００８とを有する。プールＶＯＬサブテーブル４００８は、プールＶＯＬ毎にエントリを有する。各エントリが格納する情報は、プールＶＯＬ番号４０９、ＰＤＥＶ種別４１０およびプールＶＯＬ容量４１１である。
【００７１】
プールＶＯＬ番号４０９は、プールを構成するＶＯＬの識別番号を表す。ＰＤＥＶ種別４１０は、プールＶＯＬの基になっているＰＤＥＶの種別を表す。プールＶＯＬ容量４１１は、プールＶＯＬの容量を表す。
【００７２】
図８は、実施例のストレージ装置の管理情報におけるＬＤＥＶ監視情報テーブルの構成例を示す。
【００７３】
ＬＤＥＶ監視情報テーブル４００４は、ＬＤＥＶ毎の監視情報を管理するためのテーブルであり、ＬＤＥＶ番号４０１と、ＬＤＥＶ番号４０１毎のＬＤＥＶ監視情報サブテーブル４００９とを有する。
【００７４】
ＬＤＥＶ監視情報サブテーブル４００９は、タイムスタンプ４１２毎にエントリを有し、対応するＬＤＥＶの監視した統計情報を各エントリに格納する。各エントリが格納する情報は、タイムスタンプ４１２、リードＩ／Ｏ回数４１３、ライトＩ／Ｏ回数４１４、データ圧縮率４１５、リードデータ量４１６、ライトデータ量４１７および容量増加率４１８である。
【００７５】
タイムスタンプ４１２はＬＤＥＶの監視情報を取得した時刻（タイムスタンプ）を表す。リードＩ／Ｏ回数４１３は直前（一定の監視期間内）のタイムスタンプ４１２間に生じたＬＤＥＶへのリードＩ／Ｏの回数を表す。ライトＩ／Ｏ回数４１４は直前のタイムスタンプ４１２間に生じたＬＤＥＶへのライトＩ／Ｏの回数を表す。データ圧縮率４１５は直前のタイムスタンプ４１２間のライトデータの圧縮率を表す。リードデータ量４１６は直前のタイムスタンプ４１２間に生じたＬＤＥＶからのリードデータ量を示す。ライトデータ量４１７は直前のタイムスタンプ４１２間に生じたＬＤＥＶへのライトデータ量を示す。容量増加率４１８は直前のタイムスタンプ４１２間に変化したＬＤＥＶの容量変化率を示す。
【００７６】
図９は、実施例のストレージ装置の管理情報におけるＬＤＥＶデータ保護ポリシ管理テーブルの構成例を示す。
【００７７】
ＬＤＥＶデータ保護ポリシ管理テーブル４０１０は、ＬＤＥＶ毎のデータ保護のポリシを設定するための情報を格納するテーブルであり、ＬＤＥＶのボリュームバックアップやスナップショットの取得間隔や保持期間などの情報を管理する。
【００７８】
ＬＤＥＶデータ保護ポリシ管理テーブル４０１０は、ＬＤＥＶ毎にエントリを有し、各エントリが格納する情報は、ＬＤＥＶ番号４０１、保護モード４２０、リテンション期間４２１、取得間隔４２２、自動保護４２３、およびアクセスモード４２４である。
【００７９】
ＬＤＥＶ番号４０１はエントリが対応するＬＤＥＶの番号を表す。保護モード４２０はエントリが対応するＬＤＥＶの保護モードを表し、例えば、ＰＶＯＬ５００２のデータを他のＳＶＯＬ５００１にコピーすることでデータ保護を行う「フルコピー」や、ＰＶＯＬ５００２のデータのスナップショットを取得することでデータ保護を行う「スナップショット」などがある。
【００８０】
リテンション期間４２１は、保護モード４２０で指定されたデータ保護モードにおいて、それらのデータバックアップを保持する期間を表す。取得間隔４２２は、保護モード４２０で指定されたデータ保護モードにおいて、それらのデータ取得を行う間隔を表す。
【００８１】
自動保護４２３は、保護モード４２０で指定されたデータ保護モードにおいて、取得間隔４２２で指定された間隔以外の時点において、異常判定プログラム３００５により異常と判断された時点においてもデータ保護を行うかどうかを決定するフラグを表す。
【００８２】
アクセスモード４２４は、取得されたＬＤＥＶのバックアップやスナップショットに対してホスト１００１がアクセスできる許可モードを表す。例えば、「Ｒ／Ｗ」であれば、取得したＳＶＯＬ５００１に対してホスト１００１がリードおよびライトアクセスを許可することを表し、一方「Ｒ」であれば、取得したＳＶＯＬ５００１に対してホスト１００１はリードアクセスのみを許可するということを表す。
【００８３】
図１０は、実施例のストレージ装置の管理情報におけるＬＤＥＶ自動データ保護ポリシ管理テーブルの構成例を示す。
【００８４】
ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１は、ＬＤＥＶデータ保護ポリシ管理テーブル４０１０で、自動保護４２３を有効に設定したＬＤＥＶに対応する、自動データ保護のポリシを設定するための情報を格納するテーブルであり、異常判定プログラム３００５で利用するＬＤＥＶのアクセス情報の学習期間や異常検知の感度などを設定する。
【００８５】
ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１は、ＬＤＥＶ毎にエントリを有し、各エントリが格納する情報は、ＬＤＥＶ番号４０１、監視期間４２５、感度４２６および最新学習データ４２７である。
【００８６】
ＬＤＥＶ番号４０１はエントリが対応するＬＤＥＶの番号を表す。監視期間４２５は異常判定プログラム３００５が対応するＬＤＥＶを監視または学習する期間を表し、この期間を対象に異常判定プログラム３００５はＬＤＥＶの通常運用によるアクセス情報を学習する。感度４２６は異常判定プログラム３００５がアクセス情報からアクセス異常を検知する感度を設定する。最新学習データ４２７は異常判定プログラム３００５が学習した最新のＬＤＥＶ監視情報テーブル４００４におけるタイムスタンプ４１２期間を表す。感度４２６は、異常判定プログラム３００５が異常と判定する閾値を表し、例えば、学習時の入力値に対して現在の入力値の差分が１０パーセント以上の差分で異常と判定する場合、感度「高」、２０パーセントの場合、感度「中」、３０パーセントの場合、感度「低」と設定することができる。この入力値とは、例えば、ＬＤＥＶ監視情報サブテーブル４００９における各種監視データであり、例えば、ライトＩ／Ｏ回数４１４の閾値より、１０パーセント高い場合、感度「高」、２０パーセント高い場合、感度「中」、３０パーセント高い場合、感度「低」等とすることができる。ライトＩ／Ｏ回数４１４の他、リードＩ／Ｏ回数４１３、データ圧縮率４１５、リードデータ量４１６、ライトデータ量、容量増加率４１８についても同様に閾値を設定することができる。
【００８７】
図１１は、実施例のストレージ装置の管理情報におけるＬＤＥＶバックアップ管理テーブルの構成例を示す。
【００８８】
ＬＤＥＶバックアップ管理テーブル４００６は、ボリュームバックアッププログラム３００３がＬＤＥＶのデータ保護を行う場合において、対象のＬＤＥＶのバックアップデータを管理するための情報を格納するテーブルである。
【００８９】
ＬＤＥＶバックアップ管理テーブル４００６は、ＬＤＥＶ番号４０１と、ＬＤＥＶ番号４０１毎のバックアップデータを管理するＬＤＥＶバックアップサブテーブル４０１２とを有する。
【００９０】
ＬＤＥＶバックアップサブ管理テーブル４０１２は、バックアップ時刻４２８ごとにエントリを有し、各エントリが格納する情報は、バックアップ時刻４２８、バックアップ種別４２９、取得モード４３０、装置ＩＤ４３１およびＬＤＥＶ番号４０１あるいはＳＳ番号４３２である。
【００９１】
バックアップ時刻４２８はバックアップデータを作成した時刻を表す。バックアップ種別４２９はバックアップデータの作成モードを表し、例えばＰＶＯＬ５００２のフルバックアップをＳＶＯＬ５００１に取得する場合は「フル」、ＰＶＯＬ５００２の更新差分のバックアップをＳＶＯＬ５００１に取得する場合は「差分」、ＰＶＯＬ５００２のスナップショットを取得する場合は「スナップショット」となる。
【００９２】
取得モード４３０はバックアップデータが作成されたモードを表し、例えばボリュームバックアッププログラム３００３がＬＤＥＶデータ保護ポリシ管理テーブル４０１０の取得間隔４２２に基づいて作成されたバックアップデータの場合は「定期」となり、異常判定プログラム３００５による指示でボリュームバックアッププログラム３００３が作成したバックアップデータの場合は「自動」となる。装置ＩＤ４３１はバックアップを作成先装置のＩＤであり、例えばローカルサイトに設置したストレージ装置２０００Ａとリモートサイトに設置したストレージ装置２０００Ｂにおいて、リモートレプリケーションを構築している場合において、どちらの装置にバックアップデータを作成したかを示す識別ＩＤである。ＬＤＥＶ番号４０１はバックアップデータを作成したＳＶＯＬ５００１のＬＤＥＶ番号４０１である。ＳＳ番号４３２はバックアップデータとして作成したスナップショット５００３の識別番号である。
【００９３】
図１２は、実施例のストレージ装置の異常判定プログラムにおけるＬＤＥＶアクセス情報の学習処理例を示す。
【００９４】
ステップＳ１００１で異常判定プログラムは対象のＬＤＥＶを選択する。
ステップＳ１００２で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶデータ保護ポリシ管理テーブル４０１０を参照する。ステップＳ１００３で判定プログラムは対象のＬＤＥＶについて、自動保護４２３が有効化されているかを判断し、有効化されていない場合は当該のＬＤＥＶは自動保護の対象外として終了する。
【００９５】
ステップＳ１００４で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１を参照し、最新学習データ４２７を参照する。
【００９６】
ステップＳ１００５で異常判定プログラムは対象のＬＤＥＶＬＤＥＶについて、現在時刻と最新学習データ４２７の期間が監視期間４２５以上経過していないかを判断し、経過していない場合は新たな学習を不要と判断して終了する。
【００９７】
ステップＳ１００６で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ監視情報テーブル４００４を参照し、ステップＳ１００７で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ監視情報テーブル４００４の最新学習データ４２７の最終時刻から監視期間４２５経過後までのタイムスタンプ４１２のエントリ情報を学習データとする。
【００９８】
ステップＳ１００８で異常判定プログラムは対象のＬＤＥＶについて、ステップＳ１００７で参照したＬＤＥＶ監視情報サブテーブル４００９におけるリードＩ／Ｏ回数４１３、ライトＩ／Ｏ回数４１４、データ圧縮率４１５、リードデータ量４１６、ライトデータ量４１７、容量増加率４１８について学習を行う。ステップＳ１００９で異常判定プログラムは対象のＬＤＥＶについて、ＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１における最新学習データ４２７を更新する。
【００９９】
図１３は、実施例のストレージ装置のＬＤＥＶ監視プログラムにおけるＬＤＥＶアクセスの異常検知処理フローの例を示す。
【０１００】
図１３は、ＬＤＥＶ監視プログラム３００４により、ストレージ装置２０００のＬＤＥＶのアクセスを監視し、異常判定プログラム３００５によりＬＤＥＶへのアクセス異常を検知する処理フローを示す。
【０１０１】
ステップＳ２００１でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶを選択する。
ステップＳ２００２でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶについて、ＬＤＥＶデータ保護ポリシ管理テーブル４０１０を参照する。
【０１０２】
ステップＳ２００３でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶについて、自動保護４２３が有効化されているかを判断し、有効化されていない場合は当該のＬＤＥＶは自動保護の対象外として終了する。
【０１０３】
ステップＳ２００４でＬＤＥＶ監視プログラム３００４は対象のＬＤＥＶについて、ＬＤＥＶ監視情報テーブル４００４を参照する。
【０１０４】
ステップＳ２００５でＬＤＥＶ監視プログラム３００４はステップＳ２００４で取得したＬＤＥＶ監視情報を異常判定プログラム３００５に送信する。ステップＳ２００６で異常判定プログラム３００５がステップＳ２００４で受領したＬＤＥＶ監視情報に基づいて、学習済みのＬＤＥＶ監視情報と比較して、異常値を算出する。この異常値の算出方法は、統計的な手法に基づくものでも良いし、機械学習アルゴリズムに基づく手法でも良いし、深層学習を始めとするパターン認識による手法でも良いし、ＤＥＶ監視情報サブテーブル４００９における各種監視データ、例えば、ライトＩ／Ｏ回数の閾値と比較することにより判定しても良い。
【０１０５】
つまり、ＰＶＯＬについて、記憶した定常状態から逸脱したボリュームにおけるアクセス挙動を検知する。
【０１０６】
ステップＳ２００７ではステップＳ２００６で算出した異常値が予め設定される閾値を超過しているかどうかを判断する。閾値が超過していない場合は、ＬＤＥＶのアクセスが正常であるとみなし終了する。なお、この閾値はＬＤＥＶ自動データ保護ポリシ管理テーブル４０１１における感度４２６に基づくものでも良いし、異常判定プログラム３００５が学習時に利用した統計的手法に基づく算出値によるもので良い。
【０１０７】
ステップＳ２００８でシステム管理者に対象のＬＤＥＶについてアクセス異常が生じたことを通知する。
【０１０８】
ステップＳ２００９でボリュームバックアッププログラム３００３に対象のＬＤＥＶについてデータ保護を実施指示する。これにより、コントローラは検知時点において、ＰＶＯＬのバックアップデータまたはスナップショットイメージをＳＶＯＬに作成し、リストアポイントを設定して管理することができる。
【０１０９】
以上の通り、本実施例によれば、プライマリボリュームについて、予め設定された時刻情報に基づくバックアップやスナップショットイメージの取得に加え、その監視情報に基づき、自律的にバックアップデータやスナップショットイメージを作成することができる。
【０１１０】
また、データ破壊を目的したランサムウェアによるサイバー攻撃により、プライマリボリュームにおけるデータ破壊が生じたとしても、ストレージ管理者はストレージ装置からの通知によりサイバー攻撃を早期に発見することができ、サイバー攻撃による被害を最小化できる。
【０１１１】
また、自律的に作成されるデータバックアップを利用することで、データのリカバリ作業に要する時間や労力を大幅に軽減することができる。
【０１１２】
以上、一実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施形態のみに限定する趣旨ではない。本発明は他の形態でも実施することが可能である。
【符号の説明】
【０１１３】
２０００：ストレージ装置、
３０００：制御プログラム、
４０００：管理情報、
２００１：ストレージコントローラ、
１００１：ホスト、
１００２：管理システム、
２００３：ホストインタフェース、
２００４：管理インタフェースデバイス、
３００１：ネットワーク、
３００２：管理ネットワーク、
２００５：フロントエンドインタフェース、
２００６：キャッシュメモリ、
２００７：ＮＶＲＡＭ、
２００８：中継機、
２００９：ＭＰＰＫ、
２０１０：ＣＰＵ、
２０１１：ＤＲＡＭ、
２０１２：バックエンドインタフェース、
２０１３：ドライブ。
【図１】
2020201703.tif 000003
【図２】
2020201703.tif 000004
【図３】
2020201703.tif 000005
【図４】
2020201703.tif 000006
【図５】
2020201703.tif 000007
【図６】
2020201703.tif 000008
【図７】
2020201703.tif 000009
【図８】
2020201703.tif 000010
【図９】
2020201703.tif 000011
【図１０】
2020201703.tif 000012
【図１１】
2020201703.tif 000013
【図１２】
2020201703.tif 000014
【図１３】
2020201703.tif 000015