(57)【要約】データを保護する方法は、１または複数のデータ源（２４）から記憶用のデータを受け入れるステップを含む。このデータは、１次記憶デバイス（２８）および２次記憶デバイス（３２）へ記憶されるように送られる。２次記憶デバイスにデータがうまく記憶されたことの指示標識を待つ間、このデータに関連するレコードが、１次記憶デバイスに隣接する耐災害記憶ユニット（４８）に一時的に記憶される。１次記憶デバイス内のデータの少なくとも一部に損傷を与えるイベントが起こったとき、このデータは、耐災害記憶ユニットに記憶されたレコードおよび２次記憶デバイスに記憶されたデータの少なくとも一部を使用して、再構築される。
2008538624.tif 000002
【特許請求の範囲】
【請求項１】
データを保護する方法であって、
１または複数のデータ源から記憶用のデータを受け入れるステップと、
前記データを記憶するために１次記憶デバイスおよび２次記憶デバイスへ送るステップと、
前記２次記憶デバイスに前記データがうまく記憶されたことの指示標識を待つ間、前記データに関連するレコードを、前記１次記憶デバイスに近接する耐災害記憶ユニットに一時的に記憶するステップと、
前記１次記憶デバイス内の前記データの少なくとも一部を損傷するイベントが起こったとき、前記耐災害記憶ユニットに記憶された前記レコードおよび前記２次記憶デバイスに記憶された前記データの少なくとも一部を使用して、前記データを再構築するステップと
を備える方法。
【請求項２】
請求項１に記載の方法であって、前記レコードを一時的に記憶する前記ステップは、前記２次記憶デバイスに前記データがうまく記憶されたことの指示標識の受領を待たずに、前記耐災害記憶ユニットに前記レコードがうまくキャッシュされたことに応答して、前記１または複数のデータ源へ確認応答を送り、それによって、前記データの記憶に関連するトランザクションの待ち時間を短縮するステップを備える、方法。
【請求項３】
請求項１に記載の方法であって、前記レコードを一時的に記憶する前記ステップは、前記２次記憶デバイスから、前記２次記憶デバイスに前記データがうまく記憶されたことの確認応答を受け取るステップと、前記確認応答に応答して、前記耐災害記憶ユニットから前記レコードを削除するステップとを備える、方法。
【請求項４】
請求項１に記載の方法であって、前記データを再構築する前記ステップは、前記イベントの後で前記耐災害記憶ユニットを回収するステップと、前記耐災害記憶ユニットから前記レコードを引き出すステップと、前記レコードに関連する前記データを前記２次記憶デバイスに書き込むステップとを備える、方法。
【請求項５】
請求項４に記載の方法であって、前記データを書き込む前記ステップは、前記耐災害記憶ユニットを前記２次記憶デバイスへ遠隔的に接続するステップを備える、方法。
【請求項６】
請求項１に記載の方法であって、前記耐災害記憶ユニットは、前記レコードを保持するリムーバブル・メモリ・デバイスを備え、前記データを再構築する前記ステップは、前記耐災害記憶ユニットが前記イベントによって損傷を受けた場合、前記耐災害記憶ユニットから前記メモリ・デバイスを取り外すステップと、前記レコードを読み出すために別のユニットへ前記メモリ・デバイスを取り付けるステップとを備える、方法。
【請求項７】
請求項１ないし６の何れかに記載の方法であって、前記耐災害記憶ユニット内の検出機構を使用して前記イベントを検出するステップと、前記イベントを検出するステップに応答して前記耐災害記憶ユニットの動作を変更するステップとを更に備える、方法。
【請求項８】
請求項７に記載の方法であって、前記イベントを検出する前記ステップは、前記耐災害記憶ユニットで通信障害が発生していることおよび外部電力の供給がなくなったことの少なくとも一方を検出するステップを備える、方法。
【請求項９】
請求項７に記載の方法であって、前記動作を変更する前記ステップは、前記レコードを無線通信リンクを介して前記耐災害記憶ユニットから送信するステップを備える、方法。
【請求項１０】
請求項７に記載の方法であって、前記レコードを一時的に記憶する前記ステップは、２以上の耐災害記憶ユニットに前記レコードを記憶するステップを備え、前記レコードを送信する前記ステップは、前記レコードの２以上の異なる部分を、それぞれ、前記２以上の耐災害記憶ユニットから、それぞれの無線リンクを介して送信し、それによって前記レコードの送信時間を短縮するステップを備える、方法。
【請求項１１】
請求項７に記載の方法であって、前記動作を変更する前記ステップは、前記耐災害記憶ユニットからホーミング信号を送信し、それによって、前記耐災害記憶ユニットの位置の割出し及び前記耐災害記憶ユニットの回収を可能にするステップを備える、方法。
【請求項１２】
請求項１から６の何れかに記載の方法であって、前記データを再構築する前記ステップは、
環境センサを使用して環境状態を感知するステップと、
前記感知された環境状態に応答して前記イベントを予測するステップと、
前記イベントを予測した後、有線接続および無線接続の少なくとも一つを使用して、前記耐災害記憶ユニットから前記レコードを送信するステップと
を備える、方法。
【請求項１３】
請求項１２に記載の方法であって、前記環境状態を感知する前記ステップは、使用者から、前記イベントを示す手作業による指示標識を受け入れるステップを備える、方法。
【請求項１４】
請求項１２に記載の方法であって、前記レコードを一時的に記憶する前記ステップは、前記耐災害記憶ユニットに前記レコードをうまく記憶したことに応答して確認応答メッセージを送るステップを備え、前記方法は、前記イベントを予測した後、後続の確認応答メッセージの送信を禁止し、それによって、前記１または複数のデータ源から追加のデータを受け入れないようにするステップを備える、方法。
【請求項１５】
請求項１２に記載の方法であって、前記イベントを予測した後、前記１次記憶デバイスへ記憶する後続のデータの送信を禁止するステップを備える、方法。
【請求項１６】
請求項１２に記載の方法であって、前記イベントを予測した後に、前記１または複数のデータ源の一部から発信されたデータに関連する後続のレコードのみを前記耐災害記憶ユニットに一時的に記憶するステップを備える方法。
【請求項１７】
請求項１ないし６の何れかに記載の方法であって、前記レコードを一時的に記憶する前記ステップは、前記耐災害記憶ユニットのメモリ容量を、前記２次記憶デバイスによる確認応答を待っているデータの最大許容サイズおよび前記２次記憶デバイスへの記憶を待っている書込みコマンドの最大数の少なくとも一方と一致させることによって、前記メモリ容量を上回らないようにするステップを更に備える、方法。
【請求項１８】
請求項１ないし６の何れかに記載の方法であって、前記レコードを一時的に記憶する前記ステップは、前記データに関係する追加の情報を前記レコードに含めるステップを含み、前記追加の情報は、発信元データ源のアドレス、前記１次記憶デバイスのアドレス、前記データの受付時間を示すタイム・スタンプ、および前記１次記憶デバイス内の前記データ用の記憶アドレスの少なくとも１つを備える、方法。
【請求項１９】
データを保護する方法であって、
１または複数のデータ源から記憶用のデータを受け入れるステップと、
記憶デバイスに記憶するために前記データを送るステップと、
耐災害記憶ユニットに、災害イベントの調査に関係のある前記データの少なくとも一部に関連するレコードを一時的に記憶するステップと、
前記記憶デバイス内の前記データの少なくとも一部を損傷するイベントが起こったとき、前記耐災害記憶ユニットに記憶された前記レコードを使用して前記イベントを調べるステップと
を備える方法。
【請求項２０】
請求項１９に記載の方法であって、災害イベントの調査に関係のある前記データの前記少なくとも一部は、監視画像、アクセス制御情報、および電話通信システムから発信されるデータの少なくとも１つを備える、方法。
【請求項２１】
請求項１９に記載の方法であって、災害イベントの調査に関係のある前記データの前記少なくとも一部は、前記イベントの発生の直前に受け入れられたデータを備える、方法。
【請求項２２】
データを保護する方法であって、
１次記憶デバイスに記憶するためのデータをデータ源から受け入れるステップと、
バックアップ動作のシーケンスによって、バックアップ用記憶デバイスにバックアップするために前記データを周期的に送るステップと、
前記シーケンスにおける連続するバックアップ動作とバックアップ動作の間の時間間隔中に受け入れられた前記データの少なくとも一部に関連するレコードを、耐災害記憶ユニットに一時的に記憶するステップと、
前記時間間隔中に前記１次記憶デバイス内の前記データの少なくとも一部を損傷するイベントが起こったとき、前記耐災害記憶ユニットに記憶された前記レコードを使用して前記データを再構築するステップと
を備える方法。
【請求項２３】
データを保護する方法であって、
データ源から記憶用のデータを受け入れるステップと、
１次記憶デバイスに記憶のために前記データを送出しながら、前記データを２次記憶デバイスにミラーリングするステップと、
前記１次記憶デバイスのサイトにある耐災害記憶ユニットに、前記データの少なくとも一部を一時的に記憶するステップと、
前記サイトにおいて前記１次記憶デバイス内の前記データの少なくとも一部を損傷するイベントが起こったとき、前記耐災害記憶ユニットに記憶された前記データの前記少なくとも一部を使用して前記データを再構築するステップと
を備える方法。
【請求項２４】
データを保護するシステムであって、
記憶用のデータを送るように構成された１または複数のデータ源と、
前記データを保持するように構成された１次および２次の記憶デバイスと、
前記１次記憶デバイスに近接する耐災害記憶ユニットとを備え、前記耐災害記憶ユニットは、前記データが前記２次記憶デバイスにうまく記憶されたことの指示標識を待つ間、前記データに関連するレコードを一時的に記憶するように構成され、前記１次記憶デバイス内の前記データの少なくとも一部を損傷するイベントが起こったとき、前記レコードを提供し、それによって、前記耐災害記憶ユニットに記憶された前記レコードおよび前記２次記憶デバイスに記憶された前記データの少なくとも一部を使用して前記データの再構築を可能にするように構成される、
システム。
【請求項２５】
請求項２４に記載のシステムであって、
前記１次記憶デバイス付近の環境状態を感知するように構成された環境センサと、
感知された前記環境状態に応答して前記イベントを予測するように構成されたプロセッサであって、前記イベントを予測した後に、有線接続および無線接続の少なくとも１つを使用して前記レコードを送信するように前記耐災害記憶ユニットに命令を出すように構成されたプロセッサと
を備えるシステム。
【請求項２６】
１次および２次の記憶デバイスに記憶するために送信されるデータを保護する装置であって、
耐災害記憶ユニットを備え、前記耐災害記憶ユニットは、
収容されたコンポーネントを災害イベントから保護するように構成された耐災害筐体と、
前記筐体に収容されるものであり、前記２次記憶デバイスに前記データがうまく記憶されたことの指示標識を待つ間、前記データに関連するレコードを一時的に保持するように構成されたメモリ・デバイスと、
前記１次記憶デバイス内の前記データの少なくとも一部を損傷するイベントが起こったとき、前記レコードを提供し、それによって、前記メモリ・デバイスに記憶された前記レコードおよび前記２次記憶デバイスに記憶された前記データの少なくとも一部を使用して前記データを再構築することを可能にするように構成された制御ユニットと
を備え、前記装置は更に、
前記１次記憶デバイス付近の環境状態を感知するように構成されたセンサと、
感知された前記環境状態に応答して前記イベントを予測するように構成されるものであり、前記イベントの予測に応答して、前記データを保護するように前記レコードを送信するように前記耐災害記憶ユニットへ命令を出す保護プロセッサと
を備える装置。
【請求項２７】
請求項２６に記載の装置であって、前記制御ユニットは、前記２次記憶デバイスからの、前記２次記憶デバイスに前記データがうまく記憶されたことの確認応答に応答して、前記メモリ・デバイスから前記レコードを削除するように構成される、装置。
【請求項２８】
請求項２６に記載の装置であって、前記制御ユニットは、前記データを再構築するように、前記レコードを提供するために前記２次記憶デバイスと通信するように構成される、装置。
【請求項２９】
請求項２６に記載の装置であって、前記メモリ・デバイスは、不揮発性メモリ・デバイスおよびリムーバブル・メモリ・デバイスの少なくとも一つを備える、装置。
【請求項３０】
請求項２６ないし２９の何れかに記載の装置であって、前記制御ユニットは、前記イベントを検出する検出機構を備え、前記制御ユニットは、前記イベントの検出に応答して前記耐災害記憶ユニットの動作を変更するように構成される、装置。
【請求項３１】
請求項３０に記載の装置であって、前記検出機構は、前記耐災害記憶ユニットで通信障害が発生していることおよび外部電力の供給がなくなったこととの少なくとも一つを検出するように構成される、装置。
【請求項３２】
請求項３０に記載の装置であって、前記耐災害記憶ユニットは更に、前記イベントの検出に応答して前記耐災害記憶ユニットから前記レコードを送信するように構成された無線送信機を備える、装置。
【請求項３３】
請求項３２に記載の装置であって、前記耐災害記憶ユニットは２以上の耐災害記憶ユニットの１つであり、前記２以上の耐災害記憶ユニットは、それぞれ、前記レコードの２以上の異なる部分を、それぞれの無線リンクを介してそれぞれ送信し、それによって、前記レコードの送信時間を短縮するように構成される、装置。
【請求項３４】
請求項３０に記載の装置であって、前記耐災害記憶ユニットは更にホーミング・デバイスを備え、前記ホーミング・デバイスは、前記イベントの検出に応答して、前記耐災害記憶ユニットからホーミング信号を送信し、それによって、前記耐災害記憶ユニットの位置を割り出し、前記耐災害記憶ユニットを回収し得るように構成される、装置。
【請求項３５】
請求項２６ないし２９の何れかに記載の装置であって、前記レコードは、前記データに関係する追加の情報を含み、前記追加の情報は、発信元データ源のアドレス、前記１次記憶デバイスのアドレス、前記データの受付時間を示すタイム・スタンプ、および前記１次記憶デバイス内の前記データ用の記憶アドレスの少なくとも１つを備える、装置。
【請求項３６】
請求項２６ないし２９の何れかに記載の装置であって、前記センサは、使用者から手作業による指示標識を受け入れて、前記イベントを予測するように構成される、装置。
【請求項３７】
請求項２６ないし２９の何れかに記載の装置であって、前記データは、１または複数のデータ源から受け入れられ、前記保護プロセッサは、前記耐災害記憶ユニットに前記レコードがうまく記憶されたことに応答して確認応答メッセージを送出し、前記イベントを予測した後に、後続の確認応答メッセージの送信を止め、それによって、前記１または複数のデータ源から追加のデータを受け入れないように構成される、装置。
【請求項３８】
請求項２６ないし２９の何れかに記載の装置であって、前記データは、１または複数のデータ源から受け入れられ、前記保護プロセッサは、前記イベントを予測した後、前記１または複数のデータ源から受け入れられる前記データのレートを制御するように構成される、装置。
【請求項３９】
請求項２６ないし２９の何れかに記載の装置であって、前記データは、１または複数のデータ源から受け入れられ、前記保護プロセッサは、前記イベントを予測した後、前記１または複数のデータ源の一部から発信されたデータに関連する後続のレコードのみを送信して前記耐災害記憶ユニットに一時的に記憶するように構成される、装置。
【請求項４０】
請求項２６ないし２９の何れかに記載の装置であって、前記メモリ・デバイスの容量は、前記２次記憶デバイスによる確認応答を待っているデータの最大許容サイズに一致させ、それによって、前記メモリ容量を超えないようにする、装置。
【請求項４１】
データを保護するコンピュータ・ソフトウエア製品であって、プログラム命令が記憶されたコンピュータ可読媒体を備え、前記命令がコンピュータによって読み込まれると、前記コンピュータは、１次および２次の記憶デバイスに記憶されるように１または複数のデータ源から送信されたデータを受け入れ、そして、前記２次記憶デバイスに前記データがうまく記憶されたことの指示標識を待つ間、前記１次記憶デバイスに記憶する耐災害記憶ユニットに、前記データに関連するレコードを一時的に記憶するようにされる、コンピュータ・ソフトウエア製品。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
本出願は、２００５年４月２０日出願の米国仮特許出願第６０／６７３６６４号および２００５年１０月２０日出願の米国仮特許出願第６０／７２９１１２号の利益を主張するものであり、これらの出願を参照によって本明細書に組み込む。
【０００２】
発明の分野
本発明は、一般にデータ保護システムに関し、特に、耐災害（disaster-proof）一時記憶デバイスを使用して、災害イベントから、ミラーリングしたデータを保護する方法およびシステムに関する。
【背景技術】
【０００３】
当技術分野では、地震、暴風雨、洪水、火災、およびテロリストの攻撃などの災害からコンピュータ・システム内のデータを保護する様々な方法およびシステムが知られている。このうち幾つかのソリューションは、１次および２次の記憶デバイスにデータを複製（ミラーリング）するというものである。
【０００４】
例えば、ＥＭＣ社（米国マサチューセッツ州ホプキントン）は、災害からの復旧およびビジネスの継続用のＳｙｍｍｅｔｒｉｘ  Ｒｅｍｏｔｅ  Ｄａｔａ  Ｆａｃｉｌｉｔｙ（ＳＲＤＦ）と呼ぶ一群のリモート記憶複製ソリューションを提供している。ＳＲＤＦ製品群は、同期型および非同期型のソリューションの両方を含む。ＳＲＤＦ製品に関するさらなる詳細は、ｗｗｗ．ｅｍｃ．ｃｏｍ／ｐｒｏｄｕｃｔｓ／ｎｅｔｗｏｒｋｉｎｇ／ｓｒｄｆ．ｊｓｐで入手可能である。
【０００５】
別の例として、ＩＢＭ社（米国ニューヨーク州アーモンク）は、ミラーリング製品を含めての幾つかのビジネス継続ソリューションを提供している。これらの製品に関するさらなる詳細は、ｗｗｗ−０３．ｉｂｍ．ｃｏｍ／ｓｅｒｖｅｒｓ／ｓｔｏｒａｇｅ／ｓｏｌｕｔｉｏｎｓ／ｂｕｓｉｎｅｓｓ＿ｃｏｎｔｉｎｕｉｔｙで入手可能である。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
幾つかの周知のデータ保護アプリケーションは、同期ミラーリング法を用いる。この方法では、トランザクションは、１次および２次の記憶デバイスがともにうまくデータを記憶した後にのみ、完了したとみなされる。この要件は、特に、２次サイトが１次サイトから遠く離れて配置されているときには、トランザクションに極めて長い待ち時間をもたらす。場合によっては、最大許容待ち時間により、１次サイトと２次サイトとの間の最大距離が制限される。
【０００７】
トランザクションの待ち時間を短くし、且つ１次サイトと２次サイトとの間の距離を長くすることができるように、幾つかの周知のデータ保護アプリケーションは非同期ミラーリング法を用いる。この方法では、データが１次記憶デバイスにうまく記憶されるとすぐに、トランザクションの確認応答（アクノレッジ）が行われる。２次記憶デバイスとのやりとりは並列に継続し得る。しかし、非同期ミラーリングでは、２次記憶デバイスでのデータの記憶は保証されず、場合によっては、災害時にデータが失われることがある。
【０００８】
同期および非同期のミラーリング法のこうした欠点に鑑み、本発明の実施形態は、データを保護するための改善された方法およびシステムを提供する。以下で説明する方法、システム、およびデバイスは、待ち時間および／または記憶デバイス間の距離にかかわらず、１次および２次の記憶デバイスの双方において待ち時間の短いデータ・ミラーリングを保証することができる。保護すべきデータは、情報技術（ＩＴ）システム、電話通信システム、セキュリティ・システム、および監視システムなどのような１または複数のデータ源から受け取ることができる。
【０００９】
ある種の実施形態では、１次および２次の記憶デバイスへ記憶するために、データが送られる。２次記憶デバイスへデータがうまく記憶されるまで、このデータに関連するレコードが安全な記憶デバイス（セキュア記憶デバイス）に一時的にキャッシュされる。ある種の実施形態では、このセキュア記憶デバイスは、災害イベントに耐えるように構築され、キャッシュされたデータを保護する。本特許出願の内容および特許請求の範囲では、記憶デバイスは、それが記憶するデータが、上記で列挙されたイベントならびに類似のイベントなどの災害イベントにおける典型的な状況下でも、高い確率で無傷で残り、完全に復旧可能であるように設計されている場合には、「耐災害」仕様であるとみなされる。このような状態では、上記の記憶デバイスの近くにあるコンピュータ機器や、そのような機器に記憶されたデータは破壊されることがある。
【００１０】
このデータの少なくとも一部に影響を及ぼすイベントが起こった場合、セキュア記憶デバイスが回復され、その中にキャッシュされたレコードが、２次記憶デバイス内のデータを再構築するために用いられる。
【００１１】
ある種の実施形態では、データ保護システムは、１または複数の環境センサを使用して、進行しつつある、または近づきつつある災害イベントを早期に検出する。早期災害検出を利用してデータの保護を更に改善する方法を以下に説明する。
【課題を解決するための手段】
【００１２】
本発明の実施形態によれば、データを保護する方法が提供される。この方法は、
１または複数のデータ源から記憶用のデータを受け入れるステップと、
記憶用のデータを１次記憶デバイスおよび２次記憶デバイスへ送るステップと、
２次記憶デバイスへデータがうまく記憶されたことの指示標識を待つ間、データに関連するレコードを、１次記憶デバイスに隣接する耐災害記憶ユニットへ一時的に記憶するステップと、
１次記憶デバイス内のデータの少なくとも一部を損傷するイベントが起こったとき、耐災害記憶ユニットに記憶されたレコードと、２次記憶デバイスに記憶されたデータの少なくとも一部とを使用して、データを再構築するステップとを含む。
【００１３】
ある実施形態では、レコードを一時的に記憶するステップは、耐災害記憶ユニットにレコードがうまくキャッシュされたことに応答して、２次記憶デバイスへデータがうまく記憶されたことの指示標識の受領を待たずに、１または複数のデータ源へ確認応答を送り、こうすることによりデータの記憶に関連するトランザクションの待ち時間を短縮するステップを含む。
【００１４】
更に又は代替例として、レコードを一時的に記憶するステップは、２次記憶デバイスから、２次記憶デバイスにデータがうまく記憶されたことの確認応答を受け取るステップと、この確認応答に応答して、耐災害記憶ユニットからレコードを削除するステップとを含む。
【００１５】
別の実施形態では、データを再構築するステップは、イベントの後で耐災害記憶ユニットを回収するステップと、耐災害記憶ユニットからレコードを引き出すステップと、レコードに関連するデータを２次記憶デバイスへ書き込むステップとを含む。データを書き込むステップは、耐災害記憶ユニットを２次記憶デバイスへ遠隔で接続するステップを含み得る。
【００１６】
別の実施形態では、耐災害記憶ユニットは、レコードを保持するリムーバブル・メモリ・デバイスを備え、データを再構築するステップは、耐災害記憶ユニットがイベントによって損傷を受けた場合に、耐災害記憶ユニットからメモリ・デバイスを取り外すステップと、レコードを読み出すために別のユニットへメモリ・デバイスを取り付けるステップとを含む。
【００１７】
別の実施形態では、この方法は、耐災害記憶ユニット内の検出機構を使用してイベントを検出するステップと、イベントの検出に応答して耐災害記憶ユニットの動作を変更するステップとを含む。イベントを検出するステップは、外部電力の供給がなくなったこと、および耐災害記憶ユニットで通信障害が発生していることの少なくとも一方を検出するステップを含み得る。ある実施形態では、動作を変更するステップは、無線通信リンクを介して耐災害記憶ユニットからレコードを送信するステップを含む。
【００１８】
別の実施形態では、レコードを一時的に記憶するステップは、２つ以上の耐災害記憶ユニットへレコードを記憶するステップを含み、レコードを送信するステップは、２つ以上の耐災害記憶ユニットからそれぞれの無線リンクを介してレコードの２つ以上の異なる部分をそれぞれ送信し、そうすることによりレコードの送信時間を短縮するステップを含む。
【００１９】
別の実施形態では、動作を変更するステップは、耐災害記憶ユニットからホーミング信号を送信し、それによって、耐災害記憶ユニットの位置の割出し、および耐災害記憶ユニットの回収を可能にするステップを含む。
【００２０】
ある実施形態では、データを再構築するステップは、
環境センサを使用して環境状態を感知するステップと、
感知された環境状態に応答してイベントを予測するステップと、
イベントを予測した後に、有線接続および無線接続の少なくとも一方を使用して、レコードを耐災害記憶ユニットから送信するステップと
を含む。
【００２１】
環境状態を感知するステップは、使用者からの手作業でのイベントを示す指示標識を受け入れるステップを含み得る。
【００２２】
ある実施形態では、レコードを一時的に記憶するステップは、耐災害記憶ユニットへレコードをうまく記憶したことに応答して確認応答メッセージを送るステップと、イベントを予測した後に、後続の確認応答メッセージの送出を禁止し、それによって、１または複数のデータ源から追加のデータを受け入れないようにするステップとを含む。
【００２３】
別の実施形態では、この方法は、イベントを予測した後に、１次記憶デバイスへ記憶する後続のデータの送出を禁止するステップを含む。更に又は代替例として、この方法は、イベントを予測した後で、１または複数のデータ源の一部から発信されたデータに関連する後続のレコードのみを耐災害記憶ユニットに一時的に記憶するステップを含む。
【００２４】
別の実施形態では、レコードを一時的に記憶するステップは、耐災害記憶ユニットのメモリ容量を、２次記憶デバイスによる確認応答を待っているデータの最大許容サイズおよび２次記憶デバイスへの記憶を待っている書込みコマンドの最大数の少なくとも一方に一致させることによって、耐災害記憶ユニットのメモリ容量を上回らないようにするステップを含む。
【００２５】
更に又は代替例では、レコードを一時的に記憶するステップは、データに関係する追加の情報をレコードに含めるステップを含み、この追加の情報は、発信元データ源のアドレス、１次記憶デバイスのアドレス、データの受付時間を示すタイム・スタンプ、および１次記憶デバイス内のデータ用の記憶アドレスの少なくとも１つを含む。
【００２６】
本発明の実施形態によれば、データを保護する方法が更に提供される。この方法は、
１または複数のデータ源から記憶用のデータを受け入れるステップと、
記憶用のデータを記憶デバイスへ送るステップと、
耐災害記憶ユニットに、災害イベントの調査に関係のあるデータの少なくとも一部に関連するレコードを、一時的に記憶するステップと、
記憶デバイス内のデータの少なくとも一部を損傷するイベントが起こったとき、耐災害記憶ユニットに記憶されたレコードを使用してそのイベントを調べるステップとを含む。
【００２７】
ある実施形態では、災害イベントの調査に関係のあるデータの少なくとも一部は、監視画像、アクセス制御情報、および電話通信システムから発信されたデータの少なくとも１つを含む。それに加えて、またはその代わりに、災害イベントの調査に関係のあるデータの少なくとも一部は、イベント発生の直前に受け入れられたデータを含む。
【００２８】
本発明の実施形態によれば、データを保護する方法が提供される。この方法は、
１次記憶デバイスに記憶するためのデータをデータ源から受け入れるステップと、
一連のバックアップ動作によってバックアップ用記憶デバイスへバックアップのためのデータを周期的に送るステップと、
このシーケンスにおける連続するバックアップ動作の間の時間間隔中に受け入れられたデータの少なくとも一部に関連するレコードを、耐災害記憶ユニットに一時的に記憶するステップと、
この時間間隔中に１次記憶デバイス内のデータの少なくとも一部を損傷するイベントが起こったとき、耐災害記憶ユニットに記憶されたレコードを使用してデータを再構築するステップと
を含む。
【００２９】
本発明の実施形態によれば、データを保護する方法が更に提供される。この方法は、
データ源から記憶用のデータを受け入れるステップと、
１次記憶デバイスへ記憶用のデータを送り、また、そのデータを２次記憶デバイスにミラーリングするステップと、
１次記憶デバイスの位置（サイト）にある耐災害記憶ユニットに、データの少なくとも一部を一時的に記憶するステップと、
このサイトにおいて１次記憶デバイス内のデータの少なくとも一部を損傷するイベントが起こったとき、耐災害記憶ユニットに記憶されたデータの少なくとも一部を使用してデータを再構築するステップと
を含む。
【００３０】
本発明の実施形態によれば、データを保護するシステムも提供される。このシステムは、
記憶用のデータを送るように構成された１または複数のデータ源と、
このデータを保持するように構成された１次および２次の記憶デバイスと、
１次記憶デバイスに隣接する耐災害記憶ユニットとを備え、この耐災害記憶ユニットは、データが２次記憶デバイスにうまく記憶されたことの指示標識を待つ間、このデータに関連するレコードを一時的に記憶するように構成され、１次記憶デバイス内のデータの少なくとも一部を損傷するイベントが起こったとき、このレコードを提供し、それによって、耐災害記憶ユニットに記憶されたレコードおよび２次記憶デバイスに記憶されたデータの少なくとも一部を使用してデータの再構築を可能にするように構成される。
【００３１】
ある実施形態では、このシステムは、
１次記憶デバイス付近の環境状態を感知するように構成された環境センサと、
感知された環境状態に応答してイベントを予測するように構成され、イベントを予測した後で、有線接続および無線接続の少なくとも一方を使用してレコードを送信するように耐災害記憶ユニットへ命令を出すように構成されたプロセッサと
を備える。
【００３２】
本発明の実施形態によれば、１次および２次の記憶デバイスへ記憶するために送られるデータを保護する装置が更に提供される。この装置は、
耐災害記憶ユニットを備え、この耐災害記憶ユニットは、
耐災害筐体であって、その中に収容されたコンポーネントを災害イベントから保護するように構成された耐災害筐体と、
この筐体に収容されたメモリ・デバイスであって、２次記憶デバイスにデータがうまく記憶されたことの指示標識を待つ間、このデータに関連するレコードを一時的に保持するように構成されたメモリ・デバイスと、
１次記憶デバイス内のデータの少なくとも一部を損傷するイベントが起こったとき、このレコードを提供し、それによって、メモリ・デバイスに記憶されたレコードおよび２次記憶デバイスに記憶されたデータの少なくとも一部を使用してデータの再構築を可能にするように構成された制御ユニットと
を備え、この装置は更に、
１次記憶デバイス付近の環境状態を感知するように構成されたセンサと、
感知された環境状態に応答してイベントを予測するように構成された保護プロセッサであって、イベントを予測したことに応答して、データを保護するようにレコードを送信することを耐災害記憶ユニットに命令を出す保護プロセッサと
を備える。
【００３３】
本発明の実施形態によれば、データを保護するコンピュータ・ソフトウエア製品も提供される。この製品は、プログラム命令が記憶されたコンピュータ可読媒体を備え、この命令がコンピュータによって読み込まれると、コンピュータは、１次および２次の記憶デバイスに記憶されるように１または複数のデータ源から送出されたデータを受け入れ、２次記憶デバイスにデータがうまく記憶されたことの指示標識を待つ間、１次記憶デバイスに隣接する耐災害記憶ユニットにこのデータに関連するレコードを一時的に記憶する。
【００３４】
本発明は、本発明の実施形態の以下の詳細な説明を図面と併せ読めばより完全に理解されよう。
【発明を実施するための最良の形態】
【００３５】
典型的な同期ミラーリング・トランザクションでは、ミラーリング・アプリケーションは、要求側アプリケーションから書込みコマンドを受け入れる。このコマンドは、典型的には、記憶すべきデータおよびこのデータを記憶するメモリの場所を示す記憶命令を含む。これに応答して、ミラーリング・アプリケーションは、１次および２次の記憶デバイスの両方へ書込みコマンドを発行する。ミラーリング・アプリケーションは、両方の記憶デバイスがデータを記憶するまで待機する。両方の記憶デバイスから確認応答（アクノレッジメント）を受け取ったときのみ、ミラーリング・アプリケーションは、要求側アプリケーションに対して書込みコマンドの確認応答を行い、このとき初めてこのコマンドが成功したとみなされる。
【００３６】
一方で、同期ミラーリング法は、ハイレベルの信頼性を提供する。というのは、同期ミラーリング法は、書込みコマンドが完了したとみなされる前に、両方の記憶デバイスにデータがうまく記憶されたことを保証するからである。他方、同期書込み動作に関連する待ち時間が問題になることが多い。特に、２次記憶デバイスがミラーリング・アプリケーションから離れたところに配置されるときには、待ち時間が問題になることが多い。（以下の説明では、１次記憶デバイスおよびミラーリング・アプリケーションがともに、要求側アプリケーションに隣接する１次サイト（第１位置）に配置されると仮定する。２次記憶デバイスは、遠く離れた２次サイト（第２位置）に配置されると仮定する。多くの実際のシステムではこの構成が一般的であるが、以下で説明する実施形態は、他の任意の地理的なシステム配置での使用についても適合し得る。）
【００３７】
同期トランザクションでは、要求側アプリケーションは、２次記憶デバイスから確認応答を受け取るまで書込みコマンドの確認応答を受け取らないので、少なくともミラーリング・アプリケーションと２次サイトとの往復分の伝播遅延だけ全体のトランザクションが遅れる。
【００３８】
多くの実際上のケースでは、２次記憶デバイスは、１次サイトから何百マイルも離れて配置される。更に、ミラーリング・アプリケーションを２次記憶デバイスに接続する通信経路は、追加の遅延をもたらす様々なネットワーク要素、リンク、および他の通信媒体を含み得る。用いられる通信プロトコルにおける確認応答の仕組みにより、遅延が更に大きくなる。場合によっては、往復することによる全体の遅延は、１分以上に達することがある。このような待ち時間は、システム性能をしばしば低下させ、また、ある種のアプリケーションでは許容されないことがある。場合によっては、許容し得る最大待ち時間により、１次サイトと２次サイトとの距離が制限され、それによって、システムの災害復旧力が悪くなる。
【００３９】
同期ミラーリングに関連する待ち時間および距離の制限を克服するために、幾つかの周知の保護方法は非同期ミラーリング法を用いる。典型的な非同期ミラーリング・トランザクションでは、要求側アプリケーションは、ミラーリング・アプリケーションへ書込みコマンドを発行する。ミラーリング・アプリケーションは、１次記憶デバイスへ書込みコマンドを送り、更に、このコマンドをミラーリング・アプリケーションのローカル・メモリにキャッシュする。ミラーリング・アプリケーションは、１次記憶デバイスから確認応答を受け取るとすぐに、要求側アプリケーションに対して、動作がうまく完了したことの確認応答を行い、このコマンドは、成功したとみなされる。このプロセスの何らかの段階で、ミラーリング・アプリケーションは、２次記憶デバイスへ書込みコマンドを送る。２次記憶デバイスがこのコマンドを実行し確認応答を行うと、ミラーリング・アプリケーションは、そのローカル・メモリからキャッシュしたコマンドを削除する。
【００４０】
非同期トランザクションでは、１次記憶デバイスに関連する待ち時間のみが要求側アプリケーションによって感じられる。ミラーリング・アプリケーションと２次記憶デバイスとのやりとりは、要求側アプリケーションが、すでに確認応答を受け取り、書込み動作がうまく完了したとみなした後で、行われることが多い。
【００４１】
このように、非同期ミラーリングを使用すると、トランザクションの待ち時間は、２次記憶デバイスまでの距離の影響を受けず、そのため、任意の距離としてもよくなる。一方、非同期ミラーリングは、両方の記憶デバイスでの記憶を保証しない。２次記憶デバイスとのやりとりが完了する前に災害イベントが起こると、２次記憶デバイスへの最後の書込みコマンドが失われることがある。言い換えると、１次記憶デバイスからは確認応答が得られたが２次記憶デバイスからは得られなかったすべてのデータは、失われると考えられる。
【００４２】
上述のように、同期および非同期のミラーリング法の欠点に鑑み、本発明の実施形態は、データを保護するための改善された方法およびシステムを提供する。以下で説明する方法、システム、およびデバイスは、２次記憶デバイスとの距離および／または２次記憶デバイスにおける記憶処理に関連する待ち時間にかかわらず、これらの記憶デバイスの何れにおいても、待ち時間の短いデータ・ミラーリングを保証することができる。
【００４３】
システムの説明
図１Ａは、本発明の実施形態による、ある組織のデータを災害イベントから保護するシステム２０を概略的に示すブロック図である。災害イベントは、この組織に、特に、この組織のデータ記憶に影響を及ぼす任意のイベントを含み得る。災害イベントは、例えば、地震、暴風雨、火災、洪水、テロリストの攻撃を含み得る。場合によっては、この組織のデータ記憶に影響を及ぼすコンピュータ・システム障害や停電などのシステム障害も災害イベントとみなし得る。
【００４４】
組織が異なると、災害が起こったときに保護すべきデータのタイプが異なる。例えば、情報技術（ＩＴ）システムは、組織にとって貴重なデータを使用および／または生成することがある。それに加えて、あるいは代替例として、組織内の様々なシステムによって生成されたデータは、災害イベントを調べるのに貴重なことがある。例えば、災害の直前またはその最中に行われた電話による会話の発信元、応答先、および／または内容は、貴重なものとなり得る。別の例として、テロリストの攻撃の前やその最中のセキュリティ・システムおよび監視システムから収集された情報、例えば、ビデオ画像や、アクセス制御システムから得られたデータも、貴重なものとみなされることがある。
【００４５】
システム２０は、１または複数のデータ源２４によって生成および／または使用されるデータを記憶する。ある種の実施形態では、データ源２４は、例えば、組織の情報技術（ＩＴ）システムのアプリケーション・サーバ、私設自動構内交換機（ＰＡＢＸ）や電話交換などの電話通信システム、閉回路テレビ（ＣＣＴＶ）システムなどの組織の監視システム、アクセス制御システム、および／またはデータを生成する他の任意のシステムを含み得る。
【００４６】
データを保護するために、システム２０は、データをミラーリング（即ち、複製）し、それを２以上の記憶デバイスに記憶する。ある種の実施形態では、システム２０は、１次記憶デバイス２８および２次記憶デバイス３２を備える。これら２つの記憶デバイスは、ミラーリング構成として一般に知られている構成において、この組織のデータの複製を保持する。記憶デバイス２８および３２は、ディスク、磁気テープ、コンピュータ・メモリ・デバイス、および／または他の任意の適切な記憶技術に基づくデバイスを含み得る。ある種の実施形態では、これらの記憶デバイスは内部プロセッサを備え、この内部プロセッサがローカルにデータを記憶させる機能や回収関連の機能を実施する。以下の説明では２つの記憶デバイスを参照するが、システム２０の他の実装形態は、より多くの記憶デバイスを備えることがある。システム２０は、例えば、テロリストの攻撃の直前にセキュリティ・システムから取得されたデータを保護するための記憶デバイスを１つだけ使用して実施されることもある。
【００４７】
典型的には、１次および２次の記憶デバイスは、２つの離れたサイト（位置）に物理的に配置される。これらのサイトは、互いに十分に離されるように選択され、そのため、これらのサイトの一方での災害イベントが他方に影響を及ぼす可能性は低くなる。ある種の実施形態では、規制上の制約により、３２１．９ｋｍ（２００マイル）よりも離すことが推奨されるが、他の任意の適切な距離とすることもできる。図１Ａの例では、１次記憶デバイスは、ローカル・サイトにデータ源と一所に配置され、２次記憶デバイスは、離れたサイトに配置される。
【００４８】
ミラーリング・アプリケーション３６は、データのミラーリングを実施する。即ち、データ源２４によって生成されたデータの複製を１次および２次の記憶デバイスに記憶する。典型的には、ミラーリング・アプリケーションは、データ源２４から書込みコマンドを受け入れる。これらのコマンドは、記憶すべきデータを含むか、あるいは、それを指し示すものである。ミラーリング・アプリケーションは、以下で説明する方法を用いて１次および２次の記憶デバイスにデータを記憶する。図１Ａの実施形態の例では、ミラーリング・アプリケーションは、１次記憶デバイスのＣＰＵで動作する。あるいは、アプリケーション３６は別のプロセッサで動作してもよい。
【００４９】
ある種の実施形態では、ミラーリング・アプリケーションは、１次記憶デバイスから確認応答を受け取ると、２次記憶デバイスからの同様の確認応答を待たずに、発信元のデータ源２４に対して書込みコマンドの確認応答を行う。周知の非同期ミラーリング法と異なり、データが２次記憶デバイスにも安全に記憶されるまで失われないようにするために、ミラーリング・アプリケーションは、１または複数の安全な記憶ユニット（セキュア記憶ユニット）４８へ一時記憶用のデータを送る。
【００５０】
ある種の実施形態では、保護プロセッサ４４がミラーリング・アプリケーション３６に接続される。（以下の説明では、「ミラーリング・アプリケーションと接続」という用語は、ミラーリング・アプリケーションを動作させているプロセッサまたはコンピューティング・プラットフォーム（それが１次記憶デバイスのプロセッサと同じであるか別であるかにかかわらず）とデータおよび制御情報を交換するための接続を言うのに用いられる。）図１Ａのシステム構成の例では、プロセッサ４４は、ミラーリング・アプリケーション３６のポートに接続された追加の記憶デバイスをエミュレートする。代替のシステム構成が図１Ｂおよび図１Ｃに示されている。
【００５１】
プロセッサ４４は、光ファイバ・リンク、インターネット・プロトコル（ＩＰ）リンクなどの適切な通信リンク、あるいは周辺装置相互接続（ＰＣＩ）バスなどのバスを使用してアプリケーション３６と通信する。トランザクションの待ち時間を短くし得るように、プロセッサ４４は、典型的には、ミラーリング・アプリケーションに隣接して配置される。典型的には、ミラーリング・アプリケーションは、それが受け取るあらゆる書込みコマンド、ならびに、それが受け取るいかなる確認応答をも、プロセッサ４４へ転送するように構成される。プロセッサ４４は、サーバと記憶デバイスとの通信に一般に使用される小型コンピュータ・システム・インターフェース（ＳＣＳＩ）プロトコル、ネットワーク・ファイル・システム（ＮＦＳ）プロトコル、および共通インターネット・ファイル・システム（ＣＩＦＳ）プロトコルなどの任意の適切なプロトコルを用いてアプリケーション３６と通信し得る。
【００５２】
典型的には、プロセッサ４４は汎用コンピュータを含み、このコンピュータは、本明細書で説明する機能を実行するようにソフトウエアでプログラムされる。このソフトウエアは、例えば、ネットワークを介してコンピュータに電子形式でダウンロードされるこや、ＣＤ−ＲＯＭなどの有形媒体でコンピュータに供給されることもある。ある種の実施形態では、プロセッサ４４は、１次記憶デバイスの内部に実装されることもある。
【００５３】
プロセッサ４４は、１または複数のセキュア記憶ユニット４８に接続される。ある種の実施形態では、１次サイトの場所、あるいは１次サイトの周辺の異なる場所に２つ以上のユニット４８が配置され、それによって、これらのユニットの少なくとも１つが災害イベントを切り抜ける確率が増える。典型的には、２次記憶デバイス３２へ送出された、あるいはこれから送出されるあらゆる書込動作について、それぞれのレコードをプロセッサ４４は各ユニット４８に記憶する。このレコードは、記憶処理が成功したことを示す確認応答がデバイス３２から得られるまでユニット４８にキャッシュされる。２次記憶デバイスから特定の書込みコマンドの確認応答を受け取った後、プロセッサ４４は、それに対応するレコードをユニット４８から削除する。プロセッサ４４は、ユニバーサル・シリアル・バス（ＵＳＢ）インターフェースなどの任意の適切なインターフェースを使用してユニット４８と通信し得る。ある種の実施形態では、ユニット４８は、プロセッサ４４の仮想記憶デバイスとしてマッピングされる。ある種の実施形態では、通信インターフェースは、これらセキュア記憶ユニットに電力も提供する。
【００５４】
ある種の実施形態では、ユニット４８は耐久性を有するように構築され、それによって、ユニット４８は、キャッシュされたデータを保護しながら災害イベントに耐えることができる。セキュア記憶ユニットの機械的な構造の例が図３に示されている。
【００５５】
１次サイトが災害イベントに襲われた後、これらセキュア記憶ユニットの少なくとも１つが回収される。この回収されたユニットに記憶されたレコードは、２次記憶デバイス内のデータを再構築するのに使用される。ある種の実施形態では、２次記憶デバイスへ復旧用プロセッサ５６が接続される。この復旧用プロセッサに、回収されたセキュア記憶ユニットが接続される。復旧用プロセッサは、このユニットに記憶されたレコードを引き出し、これらのレコードを使用して２次記憶デバイスのデータを再構築する。１次サイトに置かれたデータはすべて災害イベントによって破壊されると仮定する周知のミラーリング法と異なり、１次サイトのところのにある、あるいは１次サイトに隣接したユニット４８に記憶されたレコードは生きており、このイベントの後にデータを再構築するのに使用される。
【００５６】
理解し得るように、セキュア記憶ユニット４８を使用することにより、２次記憶デバイスまでの距離にかかわらず、システム２０は、待ち時間が短い書込みコマンドを提供し得る。同時に、このシステムは、両方の記憶デバイスにおいてデータがミラーリングされることを保証する。典型的には、少なくとも１つの動作するユニット４８の回収後、比較的短い時間でデータを復旧して再構築し得る。
【００５７】
場合によっては、回収されたユニット４８に記憶されたレコードの一部は、失われたとしかみなされないデータに対応するが、実際には、２次記憶デバイスにうまく書き込まれている。しかし、ほとんどの実際的なケースでは、記憶デバイスにすでに存在するデータを上書きしてもデータの一貫性に影響を及ぼさないので、さらなる措置は不要である。
【００５８】
ある種の実施形態では、保護プロセッサおよびセキュア記憶ユニットの動作は、ミラーリング・アプリケーションおよびデータ源には透明である。そのため、プロセッサ４４およびユニット４８は、周知のミラーリング・アプリケーションまたは他のデータ保護システムに増設装置（アッドオン、add-on）として取り付けることができる。
【００５９】
ハイレベルの保護および信頼性を提供するためには、ユニット４８のメモリ６０でのオーバーフローを避けることが望ましく、それによって、レコードが失われずにすむ。一般に、レコードは、対応する書込みコマンドが２次記憶デバイスによってうまく実行されたときに、ユニット４８から安全に削除され得る。場合によってはミラーリング・アプリケーションの機能に応じてであるが、ユニット４８からレコードを削除することが許されるときにそれを保護プロセッサ４４に示す代替の方法が幾つかある。
【００６０】
ある種の実施形態では、保護プロセッサ４４は、２次記憶デバイスから届く確認応答メッセージを監視することがある。プロセッサ４４は、特定の書込みコマンドの確認応答を受け取ると、対応するレコードをユニット４８から削除する。しかし、ある種のシステム構成では、プロセッサ４４により確認応答メッセージを傍受することは、複雑であるか、または他の点で望ましくない。
【００６１】
あるいは、ミラーリング・アプリケーションのオーバーフロー回避ポリシーを複製することによって、２次記憶デバイスから送出される確認応答メッセージをはっきりと監視することなく、ユニット４８におけるオーバーフローを防ぎ得ることがある。例えば、ある種のミラーリング・アプリケーションは、待ち状態の書込みコマンド、即ち、２次記憶デバイスへ送られたがまだ確認応答が行われていない書込みコマンド用の有限サイズのバッファを管理する。このバッファが一杯のとき、ミラーリング・アプリケーションは、データ源からの追加の書込みコマンドの受付けを拒否する。これらの実施形態では、ユニット４８のメモリ６０は、ミラーリング・アプリケーションのバッファ内の書込みコマンドの最大数と少なくとも同じ数のレコードを保持するようにサイズ設定され得る。同様に、あるメモリ・サイズを有する特定のユニット４８が与えられた場合、ミラーリング・アプリケーションは、そのバッファ・サイズがメモリ６０のサイズに一致するように構成され得る。メモリ６０のサイズとミラーリング・アプリケーションのバッファのサイズは一致しているので、新たな書込みコマンドがプロセッサ４４へ送られたときに、ユニット４８内の最も古いレコードは安全に削除され得る。
【００６２】
他のミラーリング・アプリケーションは、必ずしもバッファを保持せずに、最大数の待ち状態の書込みコマンドを許容するように構成される。言い換えると、ミラーリング・アプリケーションは、２次記憶デバイスへ送られた書込みコマンドの数および受け取った確認応答の数を追跡し、確認応答が行われていない（即ち、待ち状態の）コマンドの現在の数を維持する。待ち状態の書込みコマンドの数が所定の制限に達すると、データ源からの追加の書込みコマンドは受け入れられない。これらの実施形態では、メモリ６０のサイズは、待ち状態の書込みコマンドの最大数と一致するようにサイズ設定され得る。あるいは、ミラーリング・アプリケーションは、待ち状態の書込みコマンドの許容最大数がメモリ６０のサイズに一致するように構成され得る。
【００６３】
それに加えて、あるいは代替例として、２次記憶デバイスによって確認応答が行われるのを待っているデータの最大数にメモリ６０のサイズを一致させることによって、メモリ６０のオーバーフローを避けるための、他の任意の適切な仕組みが用いられ得る。
【００６４】
ある種の実施形態では、回収されたユニット４８を、物理的に直接に２次記憶サイトの復旧用プロセッサに接続せずに、データが迅速に再構築され得る。このような実施形態は、例えば、２次サイトが１次サイト（そこからユニット４８が回収される）から遠く離れている状況で有用なことがある。これらの実施形態では、回収されたユニット４８は、リモート・コンピュータ（図示せず）に接続され、このリモート・コンピュータは、任意の適切な通信リンクを使用して、例えばインターネットを介して復旧用プロセッサ５６に遠隔的に接続される。次いで、回収されたユニットに記憶されたレコードは、このリモート・コンピュータを介して復旧用プロセッサに送信される。
【００６５】
ある種の実施形態では、リモート・コンピュータと復旧用プロセッサとの間で送信されるレコードは暗号化され、それによって、無線チャネルを介してや、インターネットなどの公共の媒体を介して通信する際のデータのセキュリティを維持する。典型的には、これらのレコードは、ユニット４８に記憶される前に、保護プロセッサ４４によってすでに暗号化されている。これらのレコードを抽出および／または送信するのに必要なソフトウエアは、レコードとともにユニット４８のメモリに記憶することができ、そのため、インターネットへのアクセス（または他のアクセス手段）およびユニット４８に接続するための適切なインターフェースを有する任意のコンピュータをリモート・コンピュータとして使用できる。
【００６６】
ある種の実施形態では、１次記憶デバイスのところあるいはその近くに１または複数の環境センサ５２が設置され、保護プロセッサ４４に接続される。これらのセンサは、進行しつつある災害イベントの環境状態を感知するために使用され、それによって、早期の検出または予測を行い得る。例えば、センサ５２は、１次記憶デバイスのところあるいはその近くでの上昇中の温度を感知する温度センサを含み得る。それに加えて、あるいは代替例として、センサ５２は、進行しつつある地震に関連する振動を感知する地震センサを含み得る。ある種の実施形態では、センサ５２の１つは、使用者が接近しつつある災害を保護プロセッサに手作業で示すことができる手動式スイッチまたは他の入力デバイスを含み得る。こうした入力デバイスは、１次サイト、２次サイト、または他の任意の適切な場所に配置し得る。更に、それに加えて、あるいは代替例として、センサ５２は、進行しつつある災害状態を早期に予測し得る他の任意の適切なタイプのセンサを含み得る。ある種の実施形態では、システム２０は、このような早期災害検出を使用して、データの保護を更に向上させる。早期災害検出を利用するデータ保護方法の例が図５に示されている。
【００６７】
図１Ｂおよび図１Ｃは、本発明の実施形態による、システム２０の代替の構成を概略的に示すブロック図である。図１Ｂの構成では、保護プロセッサ４４は、データ源２４をミラーリング・アプリケーション３６に接続する通信リンクの帯域内に導入される。この実施形態では、データ源からの書込みコマンドはすべてプロセッサ４４を通過する。図１Ｃの構成では、保護プロセッサは、ミラーリング・アプリケーションを２次記憶デバイスに接続する通信リンク４０内に挿入される。この構成では、ミラーリング・アプリケーション３６は、保護プロセッサ４４に対して同期ミラーリングを実施し、プロセッサ４４は、２次記憶デバイス３２に対して非同期ミラーリングを実施する。図１Ｂおよび図１Ｃには１つのみのセキュア記憶ユニット４８を示していること、およびセンサ５２および復旧用プロセッサ５６はこれらの図から割愛されていることに、留意されたい。これらは、単に簡単にすることを意図して割愛したものであり、これらの要素の何れかまたは全部は、適宜、これらのシステム構成の何れかに含まれ得る。
【００６８】
図１Ａ〜図１Ｃのシステム構成は構成例であり、当業者には他の構成が明らかであろう。例えば、ミラーリング・アプリケーション３６は、単一のコンピューティング・プラットフォーム上で保護プロセッサ４４と統合し得る。ある種の実施形態では、ミラーリング・アプリケーションなしで、１つの記憶デバイスのデータを保護するために、１または複数のセキュア記憶ユニット４８が使用されることがある。別の例として、保護プロセッサ４４およびセキュア記憶ユニット４８の機能は、単一の耐災害ユニットによって実施し得る。この災害ユニットは、ミラーリング・アプリケーション３６の機能も実施し得る。こうした組合せユニットは、例えば、１次サイトにおける耐災害用のドロアまたはラックとして、あるいは、図３の構成に類似の耐久性のある筐体として、構築でき得る。
【００６９】
図１Ａ〜図１Ｃの構成は、同期および非同期のミラーリング・プロトコルの幾つかの代替形態も示している。例えば、図１Ａでは、ミラーリング・アプリケーション３６は、保護プロセッサ４４に対して同期ミラーリングを実施し、２次記憶デバイス３２に対して非同期ミラーリングを実施し得る。しかし、図１Ｃでは、ミラーリング・アプリケーションが保護プロセッサ４４に対して同期ミラーリングを実施し、プロセッサ４４は２次記憶デバイスに対して非同期ミラーリングを実施する。
【００７０】
図２は、本発明の実施形態によるセキュア記憶ユニット４８を概略的に示すブロック図である。ユニット４８は、上述のように、書込みコマンドに対応するレコードを保持するメモリ６０を備える。メモリ６０は、例えば、フラッシュ・デバイスなどの不揮発性メモリ・デバイスや、電気的に消去可能かつプログラム可能な読出し専用メモリ（ＥＥＰＲＯＭ）デバイスを含み得る。あるいは、メモリ６０は、他の任意の適切な不揮発性または電池でバックアップされたメモリ・デバイスを含み得る。メモリ６０は、１または複数のメモリ・デバイスを含み得る。
【００７１】
ユニット４８は、セキュア記憶ユニット４８の様々なデータ記憶および管理の機能を実施する制御ユニット６４を備える。制御ユニット６４は、適切なソフトウエアを動作させるマイクロプロセッサを含み得る。あるいは、制御ユニット６４は、ハードウエアの形で実施してもよいし、また、ハードウエア要素とソフトウエア要素との組合せを使用して実施してもよい。ＵＳＢインターフェース回路などのインターフェース回路６８は、ユニット４８とアプリケーション３６との間の物理的なインターフェースを扱う。供給電圧が保護プロセッサ４４からユニット４８へ提供される実施形態では、回路６８は、この電圧をユニット４８の様々な要素へ提供する。
【００７２】
ある種の実施形態では、ユニット４８は、ホーミング・アンテナ７４に結合されたホーミング・デバイス７２を備える。ホーミング・デバイス７２は、災害イベントの後でユニット４８の位置が割り出されて回収され得るように、無線周波数（ＲＦ）のホーミング信号を送信する送信機またはトランスポンダを備える。典型的には、ホーミング・デバイス７２は、災害イベントが発生したことをユニット４８が検出したときに動作を開始する。
【００７３】
ある種の実施形態では、ユニット４８の制御ユニット６４は、災害イベントを検出する検出機構を備える。例えば、この検出機構は、電力がきていないことおよび／またはプロセッサ４４との通信がなされていないことを検出することができ、それにより災害イベントが発生したと判断し、その結果としてホーミング・デバイス７２を活動状態にする。デバイス７２は、能動型、受動型、または半能動型のホーミング・デバイスを含み得る。
【００７４】
ある種の実施形態では、ホーミング・デバイス７２は、電源８２によって電力が与えられる。電源８２は再充電可能な電池を含み得る。この電池は、正常なシステム動作中にインターフェース６８を介して提供される電力によって充電される。あるいは、電源８２は、他の任意の適切な電池を含み得る。ある種の実施形態では、電源８２は、制御ユニット６４および／またはメモリ６０に電力を供給するために使用される。
【００７５】
ある種の実施形態では、ユニット４８は、通信アンテナ７８に結合した無線送信機７６を備える。送信機７６は、典型的には、電源８２によって電力が与えられる。送信機７６は、災害イベントのためにユニット４８とプロセッサ４４との間の通信が切断されたときに、メモリ６０に記憶されたレコードを無線受信機８４へ送信するのに用いられる。このように、送信機７６およびアンテナ７８は、ユニット４８から情報を送信するための代替の通信手段として働く。この無線チャネルを使用して、セキュア記憶ユニットに記憶されたデータが回収されて数分のうちに再構築され得る。他の回収方法は、セキュア記憶ユニットの位置を物理的に割り出してそのユニットを回収することを伴い、また、そのユニットからメモリ６０を切り離すことを伴うことがあり、そのような方法では、時には数時間や数日かかることさえある。
【００７６】
送信機７６は、例えば、セルラー型送信機、ＷｉＭａｘ送信機、または他の任意の適切なタイプのデータ送信機を含み得る。無線受信機８４は、受信アンテナ８５に結合される。受信機８４およびアンテナ８５は、２次記憶デバイス３２へ、または復旧用プロセッサ５６へ接続され得る。代替の通信リンクを使用するデータ保護方法の例が図５に示されている。
【００７７】
上記の図１Ａの構成と同様に、２以上のセキュア記憶ユニットが冗長構成で使用されるある種の実施形態では、各ユニット４８の無線送信機には、典型的には、異なる通信チャネルが割り当てられ、それによって、隣接する無線送信機間の送信の衝突を避ける。それに加えて、あるいは代替例として、隣接するユニット４８の複数のホーミング・デバイス７２についても類似のチャネル協調が実施され得る。
【００７８】
無線チャネルを介してデータを伝達するのに必要とされる時間を短くするために、受信機８４は、２以上の無線チャネルを並列に受信するように構成され得る。２以上のセキュア記憶ユニットが送信を開始すると、この受信機は、これらの送信を同時に受信することを選択することができ、それによって、各セキュア記憶ユニットからのデータの異なる部分を受信する。
【００７９】
２以上のセキュア記憶ユニット４８が使用される場合、異なるユニット４８内で異なる送信機７６が、異なるネットワーク（例えば、異なるサービス・プロバイダのセルラー・ネットワーク）で送信を行うように、構成され得る。このように多様なネットワークを使用すると、災害の間に特定の無線ネットワークが働かなくなったときでさえ、データ伝達の成功の確度が上がる。
【００８０】
ある種の実施形態では、ホーミング・デバイス７２、送信機７６、ならびにアンテナ７４および７８の機能は、単一の送信機および単一のアンテナによって実施し得る。例えば、当技術分野では、セルラー型送信機の位置を求める幾つかの方法が知られている。このような方法は、無線送信機７６がユニット４８からデータを送信するとき、無線送信機７６の位置を割り出すのに用いられるので、それにより、別個のホーミング・デバイスは不要となる。
【００８１】
図３は、本発明の実施形態によるセキュア記憶ユニット４８の絵画的な概略図である。図３の機械構成の例では、ユニット４８は、強化された耐災害筐体８６にパッケージされる。ある種の実施形態では、筐体８６は、気密、耐火、耐振動／衝撃、避雷、耐放射線、耐略奪、および／または防水の筐体を含み得る。上述のように、ある種の実施形態では、システム２０は、２以上のこのようなユニット４８を備え、それによって、少なくとも１つのユニットが災害イベントを切り抜ける確率が増す。
【００８２】
ＵＳＢコネクタを備えるこの実施形態では、ユニットの前面パネルにインターフェース回路６８が示されている。制御ユニット６４、ホーミング・デバイス７２、および送信機７６は３枚のプリント回路基板（ＰＣＢ）に組み立てられ、マザーボード９０に取り付けられる。この例では、メモリ６０は、制御ユニット６４のＰＣＢに取り付けらる。この例では電池を含む電源８２は、ＰＣＢに隣接してマザーボード９０に取り付けられる。アンテナ７４および７８は、最上部パネルに取り付けられているように示されている。図３の機械的な外形は、単なる構成例として示されている。他の任意の適切な機械的および／または電気的な構成も用いられ得る。
【００８３】
ある種の状況では、災害イベントにより、ユニット４８に損傷が与えられ、メモリ６０に記憶されたデータが無事であっても、復旧用の機械と接続できないことがある。例えば、ＵＳＢコネクタが損傷を受けることがある。データにアクセスできるように、ある種の実施形態では、メモリ６０（ならびに、おそらくはユニット４８の他のエレメント）は、筐体８６から簡単に取り外しできるようになっている。これらの実施形態では、メモリ６０は、簡単に取り外され、別のユニット４８に取り付けらられ得る。次いで、このユニットは復旧用プロセッサに接続され、このユニットのデータが回収される。例えば、メモリ６０は、ユニット４８内の適切なソケットに挿入されるリムーバブル・メモリ・カードを含み得る。これは、例えば、デジタル・カメラで使用されているものである。
【００８４】
それに加えて、あるいは代替例として、ホーミング・デバイス７２および／または送信機７６は、取り外し可能なユニットとして組み立てることができ、それによって、これらのユニットは、異なる通信規格、ローカル周波数割当て、および／または他の規制上の制限に適合するように、置き換え可能である。
【００８５】
ある種の実施形態では、アンテナ７４および／またはアンテナ７８は、通常、折り畳まれるか又は筐体８６内に収納され、それによって、災害イベントにさらされる程度が少なくなる。これらの実施形態では、災害イベントが検出されて初めて、送信を可能にするために筐体８６からアンテナが展開されるか又は伸ばされる。更に、それに加えて、あるいは代替例として、ユニット４８は、他の任意の適切な構成とすることができる。上述のように、通信がなされていないこと、および／または電力がきていないことを制御ユニット６４で検出することによって、災害イベントを検出することができる。
【００８６】
保護方法の説明
図４は、本発明の実施形態によるデータを保護する方法を概略的に示すフローチャートである。以下の説明は、データが複製され、それらが１次および２次の記憶デバイスに記憶される典型的なトランザクションの概要を示す。２次記憶デバイスに確実に記憶することを保証するために、データはセキュア記憶デバイス４８に一時的にキャッシュされる。
【００８７】
この方法は、コマンド受付ステップ１００で、ミラーリング・アプリケーション３６がデータ源２４の１つ、この例ではサーバ・ベースのＩＴアプリケーションから書込みコマンドを受け入れることから、始まる。この書込みコマンドは、記憶すべきデータを含む。ミラーリング・アプリケーションは、１次送信ステップ１０２で、１次記憶デバイス２８へデータを送る。１次記憶デバイスは、データをうまく記憶した後で、ミラーリング・アプリケーションへ確認応答を送り返す。ミラーリング・アプリケーションは、１次確認応答受領ステップ１０４で、この確認応答を受け入れる。
【００８８】
保護プロセッサ４４は、安全キャッシング・ステップ１０６で、書込みコマンドを受け入れ、それをセキュア記憶デバイス４８の１または複数に記憶する。用いられるシステム構成に応じて、プロセッサ４４は、通信リンク４０を介して送出される書込みコマンドを傍受するか、ミラーリング・アプリケーションとデータ源との通信を監視するか、あるいは、すべての書込みコマンドを、ミラーリング・アプリケーションから転送することによって受け取る。プロセッサ４４は、書込みコマンドを受け取った後で、それぞれのレコードを生成し、このレコードをセキュア記憶デバイスに記憶する。セキュア記憶デバイスは、典型的には、記憶動作がうまく完了したことの確認応答を行う。
【００８９】
ある種の実施形態では、記憶すべきデータに加えて、レコードは、追加の情報を含む。このような追加の情報は、例えば、書込みコマンドを発信したデータ源の通信アドレス、１次記憶デバイスの通信アドレス、書込みコマンドが受け入れられた時刻を示すタイム・スタンプ、１次記憶デバイス内のデータ用の記憶アドレス、および／または書込みコマンドに関連する任意の追加のパラメータを含み得る。
【００９０】
レコードがユニット４８に一時的に記憶される前、その最中、またはその後で、ミラーリング・アプリケーションは、２次送信ステップ１０８で、２次記憶デバイス３２に記憶するデータを送る。これらのレコードがユニット４８にうまく記憶されると、ミラーリング・アプリケーションは、非同期確認応答ステップ１１０で、発信元のデータ源２４へ確認応答を送る。
【００９１】
プロセッサ４４は、２次確認応答検査ステップ１１２で、２次記憶デバイスからの確認応答が受け取られたかどうか検査する。プロセッサ４４は、この確認応答を受け取るまで、セキュア記憶ユニット４８にキャッシュされたそれぞれのレコードを維持し、その間、おそらくは、他の書込みコマンドを処理する。プロセッサ４４は、２次記憶デバイス３２から確認応答を受け取ると、レコード削除ステップ１１４で、それぞれのレコードをユニット４８から削除する。
【００９２】
上記の一連のステップ１００〜１１４は、単一の書込みコマンドの処理を説明するものである。典型的には、ミラーリング・アプリケーション３６および保護プロセッサ４４は、複数の書込みコマンドに対応する複数のこのようなシーケンスを同時に処理する。ある種の実施形態では、上記のステップのシーケンスは、様々な順序で実行することができる。例えば、ミラーリング・アプリケーションが書込みコマンドを受け取ると、１次および２次の記憶デバイスへデータを送ることができ、それからのみ、ユニット４８にレコードを記憶できるようにすることもできる。これらのステップの一部は並列に実行できる。例えば、セキュア記憶ユニットへの書込みコマンドの記憶は、１次および／または２次の記憶デバイスへのコマンドの送信と並列に実施することができる。
【００９３】
ある種の実施形態では、プロセッサ４４によって実行されるデータ保護方法は、以下の擬似コードによって記述される。
【００９４】
データ源から受け取るすべての書込み操作について、以下のことを行う
｛ユニット４８のメモリ６０内にバッファ・フレームを割り振り、ＢｕｆｆｅｒＦｒａｍｅで示されるこのバッファへのポインタを戻す。
対応するレコードをＢｕｆｆｅｒＦｒａｍｅが指し示すバッファに書き込む。｝
【００９５】
当然のことながら、ユニット４８のメモリ６０のサイズは有限であり、メモリ６０は有限個のレコードしか収容し得ない。ある種の実施形態では、プロセッサ４４は、新たに生成されたレコードを記憶する前に、メモリ６０に新しいレコードを保持するための十分な記憶空間があるかどうかを検査する。利用可能なメモリが不十分な場合、プロセッサ４４は、メモリ６０から１または複数の以前のレコードを削除して、新しいレコード用に記憶空間を解放する。ある種の実施形態では、プロセッサは、メモリ６０内の最も古いレコードを削除する。ある種の実施形態では、プロセッサ４４によって実行されるメモリ管理プロセスは、以下の擬似コードによって記述できる。
【００９６】
メモリ６０内に空きバッファ・エントリが存在する場合、下記のことを行う
｛新しいレコードへ空きエントリ・バッファを割り当てる。
この空きバッファを指し示すＢｕｆｆｅｒＦｒａｍｅポインタを戻す。｝
それ以外の場合
｛メモリ６０に存在する期間が最も長いデータを有するレコードＸの位置を割り出す。
メモリ６０からレコードＸを破棄する。
空きバッファ・エントリを新しいレコードに割り当てる。
空きバッファ・エントリを指し示すＢｕｆｆｅｒＦｒａｍｅを戻す。｝
【００９７】
ユニット６０に記憶されたレコードを使用してデータを復旧するとき、データ復旧プロセスは、以下の擬似コードによって記述することができる。
【００９８】
メモリ６０に記憶された各レコード内のデータについて、下記のことを行う
｛各レコードのデータを、そのレコードが最初に記憶された順に読み取る。
このレコード内の記憶アドレスに基づいて、そのデータを２次記憶デバイス内の適切なアドレスに書き込む。｝
【００９９】
図５は、本発明の別の実施形態による、早期災害検出を利用するデータ保護方法を概略的に示すフローチャートである。この方法は、早期検出ステップ１２０で、保護プロセッサ４４が、進行しつつある又は近づきつつある災害イベントを予測する（あるいは、使用者が手動で活動状態にする）ことから始まる。ある種の実施形態では、プロセッサ４４は、上述のように、センサ５２によって感知された環境状態を解析し、感知された状態に応答して、進行しつつある災害イベントを検出する。
【０１００】
進行しつつある災害イベントが検出されると、プロセッサ４４は、書込拒否ステップ１２２で、１次記憶デバイスへの書込みコマンドの送信を停止するようにミラーリング・アプリケーションへ命令を出す。書込動作を停止させることは、地震の状況では重要である。なぜなら、機械的な衝撃や振動の存在下で書込動作を実施することは、記憶デバイスに有害なことがあるからである。
【０１０１】
プロセッサ４４は、１次サイトが災害イベントにいまにも襲われるであろうことを予測しているので、データ源２４からの書込みコマンドの受付けを停止するようにミラーリング・アプリケーションへ命令を出す。ある種の実施形態では、保護プロセッサは、ミラーリング・アプリケーションへの確認応答の送出を停止する。その結果、ミラーリング・アプリケーションは、データ源２４からの新たな書込みコマンドの受付けを停止する。保護プロセッサは、災害イベントを予測した後で、この確認応答の仕組みを利用して、データ源から書込みコマンドが受け入れられるレートを制御することもできる。
【０１０２】
ある種の実施形態では、特に、データ源２４から送出されるデータの一部が、災害イベントを調べるのに重要であるとみなされるときには、データ源の一部（例えば、セキュリティ・カメラ）は、依然としてデータの記憶を許可され、他のデータ源（例えば、ＩＴシステム）は許可されないようにすることがある。これらの実施形態では、記憶処理の継続が許可されるデータは、メモリ６０が一杯になるまで、セキュア記憶ユニット４８へ書き込まれる。
【０１０３】
近づきつつある災害イベントが検出されると、プロセッサ４４は、残りの時間を使って、災害イベントが１次サイトを襲う前に、ユニット４８へキャッシュされたデータを送信しようと試みる。プロセッサ４４は、レコード回収ステップ１２４で、ユニット４８に記憶されたレコードを回収する。次いで、プロセッサ４４は、１次通信検査ステップ１２６で、２次サイトとの１次通信接続（即ち、通信リンク４０）がなおも動作可能かどうかを検査する。リンク４０が依然として動作可能である限り、プロセッサ４４は、１次送信ステップ１２８で、このリンクを使用して２次サイトへレコードを送信する。
【０１０４】
そうではなくて、１次リンクがすでに動作していない場合、プロセッサ４４は、代替送信ステップ１３０で、代替の通信リンクを使用して、即ち、無線送信機７６を使用してレコードを送信するようにユニット４８へ命令を出す。それに加えて、あるいは代替例として、上述のように、特定のユニット４８が、通信がなされていないこと及び／又は電力がないことを感知した場合、このユニット４８は、送信機７６を使用して、メモリ６０に記憶されたレコードの送信を開始する。
【０１０５】
本明細書で説明した実施形態は、主に、データのミラーリングを保証するためにセキュア記憶ユニットを使用することを扱うものであるが、本明細書で説明した方法、システム、およびデバイスは別の応用例でも利用することができる。例えば、ある種のシステムでは、データは周期的に記憶デバイスにバックアップされる。セキュア記憶ユニットは、周期的なバックアップの動作と動作の間にシステム内で生成されたデータを一時的かつ安全に記憶するために使用できる。この自動化された仕組みは、耐災害金庫においてや離れた場所で、手動でバックアップ用のテープやディスクを入れるといった周知の実務慣行と置き換えることができる。
【０１０６】
上述の実施形態は例として述べたものであり、本発明は、本明細書で具体的に示し説明したことに限定されないことが理解されよう。むしろ、本発明の範囲は、上述した様々な特徴の組合せおよび組合せの一部、ならびに、上記の説明を読んだ後で当業者が想起し、従来技術において開示されていない本発明の変形形態および改変形態をともに包含する。
【図面の簡単な説明】
【０１０７】
【図１Ａ】図１Ａは、本発明の実施形態によるデータ保護システムを概略的に示すブロック図である。
【図１Ｂ】図１Ｂは、本発明の実施形態によるデータ保護システムを概略的に示すブロック図である。
【図１Ｃ】図１Ｃは、本発明の実施形態によるデータ保護システムを概略的に示すブロック図である。
【図２】図２は、本発明の実施形態によるセキュア記憶ユニットを概略的に示すブロック図である。
【図３】図３は、本発明の実施形態によるセキュア記憶ユニットの絵画的な概略図である。
【図４】図４は、本発明の実施形態によるデータ保護方法を概略的に示すフローチャートである。
【図５】図５は、本発明の実施形態によるデータ保護方法を概略的に示すフローチャートである。
【図１Ａ】
2008538624.tif 000003
【図１Ｂ】
2008538624.tif 000004
【図１Ｃ】
2008538624.tif 000005
【図２】
2008538624.tif 000006
【図３】
2008538624.tif 000007
【図４】
2008538624.tif 000008
【図５】
2008538624.tif 000009
【国際調査報告】
2008538624.tif 000010