(57)【要約】【課題】データを記憶する記憶領域を効率よく利用すること。【解決手段】ＲＡＩＤ装置１００は、ライトバック実行部１６０ｃがライトバックを実行するタイミングにおいて、暗号化処理部１６０ｄがライトバック対象となるデータを暗号化して、暗号化したデータを暗号バッファ１２０ａに記憶する。そして、ライトバック実行部１６０ｃが、暗号バッファ１２０ａに記憶されたデータをディスク１４０〜１４７に記憶し、暗号バッファ１２０ａ上のライトバックを行ったデータを記憶していた領域を開放する。【選択図】        図２
2008052360.tif 000002
【特許請求の範囲】
【請求項１】
一次記憶装置と二次記憶装置とを備え、所定のタイミングで前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトするストレージ装置であって、
前記ストレージ装置にネットワーク接続された上位装置と前記一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、
前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトする場合に、前記一次記憶装置のライト対象となるデータの暗号化を行うデータ処理手段、
を備えたことを特徴とするストレージ装置。
【請求項２】
前記データ処理手段がデータの暗号化をおこなう場合に用いる暗号鍵を生成する暗号鍵生成手段を更に備え、当該暗号鍵生成手段は、暗号鍵の暗号化および暗号化した暗号鍵を復号化する際に利用するマスターキーによって前記暗号鍵を暗号化し、前記データ処理手段がデータの暗号化を行う場合に暗号化した暗号鍵を前記マスターキーによって復号化することを特徴とする請求項１に記載のストレージ装置。
【請求項３】
前記一次記憶装置に記憶されたライト対象となるデータは、当該データのエラー検出を行う場合に利用されるエラー検出データを含み、前記データ処理手段は、前記ライト対象となるデータのうち前記エラー検出データを除いた残りのデータに対して暗号化を行うことを特徴とする請求項１または２に記載のストレージ装置。
【請求項４】
前記一次記憶装置は、暗号化したデータを一時的に記憶する暗号データ記憶領域を備え、当該暗号データ記憶領域の使用率に基づいて前記暗号データ記憶領域を調整する調整手段を更に備えたことを特徴とする請求項１、２または３に記載のストレージ装置。
【請求項５】
一次記憶装置に記憶されたデータを二次記憶装置にライトするライト実行プログラムであって、
前記一次記憶装置と前記二次記憶装置とを備えたストレージ装置にネットワーク接続された上位装置と前記一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、
前記一次記憶装置に前記上位装置から取得したデータを記憶する記憶手順と、
前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトする場合に、前記一次記憶装置のライト対象となるデータの暗号化を行うデータ処理手順と、
をコンピュータに実行させることを特徴とするライト実行プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、一次記憶装置と二次記憶装置とを備え、状況に応じて一次記憶装置に記憶されたデータを二次記憶装置に書き戻すストレージ装置などに関し、特に、一次記憶装置の記憶領域を効率よく利用可能なストレージ装置およびライト実行プログラムに関するものである。
【背景技術】
【０００２】
近年、ストレージシステムでは、ハードディスク装置等のストレージデバイスに記憶されるデータに対して、機密データ保護等のセキュリティ確保が要求されているため、ストレージデバイスに記憶されるデータの暗号化を行うセキュリティ技術の重要度が増している。
【０００３】
そこで、特許文献１では、キャッシュメモリ等の第１の記憶手段に記憶されたデータを磁気ディスク等の第２の記憶手段に記憶する場合に、第１の記憶手段に記憶されたデータを暗号化して第２の記憶手段にデータを格納することで、第２の記憶手段に記憶されたデータのセキュリティを向上させ、悪意のある第三者にデータが漏洩することを防止している。
【０００４】
【特許文献１】特開平９−２５９０４４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した従来の技術では、特許文献１では、上位装置から第２の記憶手段にデータを格納する際には、一旦第１の記憶手段に格納した後、暗号化手段で暗号化して第２の記憶手段に格納する。この場合、上位装置の第２の記憶装置へのデータの格納処理は、暗号化処理を実行する分だけ、処理完了までの時間が長くなるという問題があった。
【０００６】
すなわち、上位装置からＩ／Ｏ処理に対して、暗号化処理による完了応答の遅れを見せないようにデータの暗号化を実行することが重要な課題となっている。
【０００７】
この発明は、上述した従来技術による問題点を解消するためになされたものであり、上位装置に対して、暗号化処理によるＩ／Ｏ処理の完了応答の遅れを見せないようにデータの暗号化を行うことができるストレージ装置およびライト実行プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本発明は、一次記憶装置と二次記憶装置とを備え、所定のタイミングで前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトするストレージ装置であって、前記ストレージ装置にネットワーク接続された上位装置と前記一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトする場合に、前記一次記憶装置のライト対象となるデータの暗号化を行うデータ処理手段、を備えたことを特徴とする。
【０００９】
また、本発明は、上記発明において、前記データ処理手段がデータの暗号化をおこなう場合に用いる暗号鍵を生成する暗号鍵生成手段を更に備え、当該暗号鍵生成手段は、暗号鍵の暗号化および暗号化した暗号鍵を復号化する際に利用するマスターキーによって前記暗号鍵を暗号化し、前記データ処理手段がデータの暗号化を行う場合に暗号化した暗号鍵を前記マスターキーによって復号化することを特徴とする。
【００１０】
また、本発明は、上記発明において、前記一次記憶装置に記憶されたライト対象となるデータは、当該データのエラー検出を行う場合に利用されるエラー検出データを含み、前記データ処理手段は、前記ライト対象となるデータのうち前記エラー検出データを除いた残りのデータに対して暗号化を行うことを特徴とする。
【００１１】
また、本発明は、上記発明において、前記一次記憶装置は、暗号化したデータを一時的に記憶する暗号データ記憶領域を備え、当該暗号データ記憶領域の使用率に基づいて前記暗号データ記憶領域を調整する調整手段を更に備えたことを特徴とする。
【００１２】
また、本発明は、一次記憶装置に記憶されたデータを二次記憶装置にライトするライト実行プログラムであって、前記一次記憶装置と前記二次記憶装置とを備えたストレージ装置にネットワーク接続された上位装置と前記一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、前記一次記憶装置に前記上位装置から取得したデータを記憶する記憶手順と、前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトする場合に、前記一次記憶装置のライト対象となるデータの暗号化を行うデータ処理手順と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１３】
本発明によれば、一次記憶装置と二次記憶装置を有するストレージ装置にネットワーク接続された上位装置と一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、一次記憶装置に記憶されたデータを二次記憶装置にライトする場合に、一次記憶装置のライト対象となるデータの暗号化を行うので、上位装置からＩ／Ｏ処理に対して、暗号化処理による完了応答の遅れを見せないようにデータの暗号化を実行することができる。また、暗号化されたデータは直ちにライトバックされて暗号化されたデータの記憶領域を迅速に開放でき、記憶領域を効率よく利用することができる。
【００１４】
また、本発明によれば、マスターキーを利用して暗号鍵の暗号化・復号化を実行するので、生成した暗号鍵が悪意のある第三者によって不正に使用されることを防止することができる。
【００１５】
また、本発明によれば、ライト対象となるデータに含まれるエラーを検出する場合に利用されるデータ（エラー検出コードなど）の暗号化を行わないので、暗号化処理にかかる負担を軽減させることができる。
【００１６】
また、本発明によれば、暗号化したデータを記憶する記憶領域の使用率に基づいて、かかる記憶領域を調整するので、記憶領域不足による処理遅延などの問題を解消することができる。
【発明を実施するための最良の形態】
【００１７】
以下に添付図面を参照して、この発明に係るストレージ装置およびライト実行プログラムの好適な実施の形態を詳細に説明する。
【実施例】
【００１８】
まず、本実施例にかかるＲＡＩＤ（Redundant  Array  of  Inexpensive  Disk）装置の概要および特徴について説明する。図１は、本実施例にかかるＲＡＩＤ装置の概要および特徴を説明するための図である。同図に示すように、本実施例にかかるＲＡＩＤ装置は、ホストコンピュータからデータ（ディスクに書き込むデータ）を取得した場合に、一旦キャッシュメモリにデータを記憶する。そして、ＲＡＩＤ装置は、キャッシュメモリに記憶されたデータをディスクに書き戻す（ライトバックを実行する）場合に、ライトバックを実行するタイミングで、データ（キャッシュメモリ上のライトバック対象となるデータ）を暗号化してキャッシュメモリ上に設けられたバッファに記憶し、直ちにバッファ上の暗号化したデータをディスクにライトバックする。
【００１９】
このように、本実施例にかかるＲＡＩＤ装置は、上位装置からのＩ／Ｏ処理とは無関係にバックグラウンドで、すなわち当該Ｉ／Ｏ（Input/Output）処理とは非同期に、ライトバックを実行する時にデータを暗号化し、暗号化したデータを直ちにディスクにライトバックするので、上位装置には暗号化処理を意識させずに実行することができる（上位装置からＩ／Ｏ処理に対して、暗号化処理による完了応答の遅れを見せないようにデータの暗号化を実行することができる）。
【００２０】
また、キャッシュメモリ上に設けられたバッファを迅速に開放することができ、キャッシュメモリの限られた記憶領域を効率よく利用することができる。
【００２１】
次に、本実施例にかかるＲＡＩＤ装置１００の構成について説明する。図２は、本実施例にかかるＲＡＩＤ装置１００の構成を示す機能ブロック図である。同図に示すように、このＲＡＩＤ装置１００は、ＣＡ（Channel  Adaptor）１１０〜１１３と、キャッシュメモリ１２０と、ＤＩ（Disk  Interface）１３０〜１３３と、ディスク１４０〜１４７と、フラッシュメモリ１５０と、制御部１６０とを備えて構成される。
【００２２】
ＣＡ１１０〜１１３はそれぞれ、ホストコンピュータ１０〜１３との間におけるデータの送受信を制御する装置である。キャッシュメモリ１２０は、ホストコンピュータ１０〜１３から取得したデータや、ディスク１４０〜１４７から読み出したデータを一時的に記憶する記憶装置である。また、このキャッシュメモリ１２０には、暗号化されたデータを記憶する暗号バッファ１２０ａが設定されている。
【００２３】
ＤＩ１３０〜ＤＩ１３３は、ディスク１４０〜１４７との間におけるデータ（主に暗号化されたデータ）の送受信を制御する装置である。また、ＤＩ１３０〜ＤＩ１３３は、データに含まれるＣＲＣ（Cyclic  Redundancy  Check）に基づいてエラーチェックを実行する。ディスク１４０〜１４７は、ＤＩ１３０〜ＤＩ１３３から出力されるデータを記憶する記憶装置である。
【００２４】
フラッシュメモリ１５０は、制御部１６０によって利用される種々のデータを記憶する記憶装置であり、特に、本発明に密接に関連するものとしては、図２に示すように、マスターキー１５０ａと、暗号鍵１５０ｂと、パスワード１５０ｃを備える。
【００２５】
ここで、マスターキー１５０ａは、本実施例にかかるＲＡＩＤ装置１００およびその他の装置（その他のＲＡＩＤ装置など）の間で共通に使用される鍵であり、制御部１６０によって生成される暗号鍵を暗号化／復号化する場合に使用される。暗号鍵１５０ｂは、制御部１６０によって生成される暗号鍵である。なお、暗号鍵１５０ｂがフラッシュメモリ１５０に記憶される場合には、この暗号鍵１５０ｂは暗号化された状態でフラッシュメモリ１５０に記憶される。
【００２６】
パスワード１５０ｃは、制御部１６０が暗号鍵１５０ｂの取得要求を受け付けた場合に、要求元に暗号鍵１５０ｂを送信するか否かを判定する際に利用するパスワードである。
【００２７】
制御部１６０は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する制御部（制御手段）であり、特に本発明に密接に関連するものとしては、図２に示すように、送受信処理部１６０ａと、暗号鍵管理部１６０ｂと、ライトバック実行部１６０ｃと、暗号化処理部１６０ｄと、暗号バッファ領域調整部１６０ｅと、復号化処理部１６０ｆとを備える。
【００２８】
このうち、送受信処理部１６０ａは、ホストコンピュータ１０〜１３から出力されるデータを受信し、受信したデータをキャッシュメモリ１２０に記憶するとともに、ホストコンピュータ１０〜１３からのデータ要求に応答してキャッシュメモリ１２０上のデータをデータ要求元のホストコンピュータに送信する処理部である。
【００２９】
暗号鍵管理部１６０ｂは、暗号鍵を生成するとともに、生成した暗号鍵を管理する処理部である。具体的に、暗号鍵管理部１６０ｂが暗号鍵を生成する手順を説明すると、ＲＡＩＤ装置１００の管理者が、ホストコンピュータ１０〜１３のいずれかを介して暗号化方式（ＡＥＳ（Advanced  Encryption  Standard）等）を設定したときに、暗号鍵管理部１６０ｂは、その暗号化方式に対応する暗号鍵を生成し、生成した暗号鍵をマスターキー１５０ａで暗号化してフラッシュメモリ１５０に記憶する。
【００３０】
また、暗号鍵管理部１６０ｂは、ホストコンピュータ１０〜１３のいずれかから暗号鍵１５０ｂの取り出し要求を受け付けた場合には、要求元に対してパスワードを要求する。そして、暗号鍵管理部１６０ｂは、要求元から受信したパスワードとフラッシュメモリ１５０に記憶されたパスワード１５０ｃとを比較し、受信したパスワードが適切である場合には、フラッシュメモリ１５０に記憶された暗号鍵１５０ｂを要求元に送信する。
【００３１】
なお、暗号鍵１５０ｂを要求元に送信するか否かの判定基準となるパスワード１５０ｃは、暗号鍵管理部１６０ｂが暗号鍵を生成した時点で、管理者が予め暗号鍵管理部１６０ｂに登録しておくものとする。
【００３２】
ライトバック実行部１６０ｃは、キャッシュメモリ１２０に記憶されたデータをライトバックするか否かを判定し、ライトバックを実行すると判定した場合には、ライトバック対象となるデータを暗号化処理部１６０ｄに通知する。そして、ライトバック実行部１６０ｃは、暗号化処理部１６０ｄによって暗号化され、暗号バッファ１２０ａに記憶されたデータをディスク１４０〜１４７にライトバックする。なお、暗号バッファ１２０ａ上のライトバック対象となったデータ（暗号化されたデータ）が記憶されていた領域は、ライトバック実行後に開放される。
【００３３】
ライトバックを実行するか否かの判定は、どのような判定基準に基づいて行ってもよいが、例えば、キャッシュメモリ１２０にデータが記憶されてから規定時間以上経過した場合や、利用頻度の低いデータがキャッシュメモリ１２０上に存在する場合に、ライトバック実行部１６０ｃは、かかるデータに対してライトバックを実行すると判定する。
【００３４】
暗号化処理部１６０ｄは、ライトバック実行部１６０ｃがライトバックを行うと判定した場合に、ライトバック実行部１６０ｃがライトバックを行うタイミングで、ライトバック対象となるキャッシュメモリ１２０上のデータを暗号化する処理部である。なお、暗号化処理部１６０ｄは、暗号化したデータを暗号バッファ１２０ａに記憶する。
【００３５】
具体的に、暗号化処理部１６０ｄが暗号化を実行する場合には、フラッシュメモリ１５０に記憶された暗号鍵１５０ｂをマスターキー１５０ａによって復号化し、復号化した暗号鍵を使用してデータ（ライトバック対象となるデータ）の暗号化を行う。暗号化処理部１６０ｄが行う暗号化方式は、あらかじめ管理者が設定した方式に基づいて実行する。
【００３６】
なお、暗号化対象となるデータは、データのエラーを検出するためのコードデータ（例えば、ＢＣＣ（Block  Check  Code））が含まれているが、暗号化処理部１６０ｄは、ライトバック対象となるデータのうち、ＢＣＣ以外のデータに対して暗号化を実行する。このように、暗号化処理部１６０ｄは、必要最低限のデータに対して暗号化を実行することによって、暗号化処理部１６０ｄにかかる負担を軽減させることができる。
【００３７】
また、暗号化処理部１６０ｄは、データの暗号化を実行する場合に、暗号化対象となるデータに含まれるＣＲＣ（上述したＢＣＣには、ＢＩＤ（Block  ID）とＣＲＣが含まれている；ＢＩＤはデータの記憶対象となるディスク上のブロックを識別するデータである）の再計算およびチェックを実行する必要がある。しかし、ＣＲＣの再計算・チェックを実行しないことによって、暗号化処理部１６０ｄにかかる負担を更に軽減させることができる。
【００３８】
ＣＲＣの再計算・チェックを実行するか否かは、予め、管理者が設定しておいてもよいし、暗号化処理部１６０ｄが、暗号化処理部１６０ｄの処理負荷に基づいて、ＣＲＣの再計算・チェックを実行するか否かを判定してもよい。
【００３９】
更に、暗号化処理部１６０ｄは、暗号鍵のほかに、暗号化対象となるデータのＢＣＣに含まれるＢＩＤを利用して、暗号化を実行してもよい。このように、各ＢＣＣ固有のＢＩＤを利用することによって、暗号化処理部１６０ｄは、同じ暗号データが生成されないように制御することができる。
【００４０】
暗号バッファ領域調整部１６０ｅは、暗号バッファ１２０ａの記憶領域を調整する処理部である。具体的に、暗号バッファ領域調整部１６０ｅは、ライトバック実行部１６０ｃによるライトバックが実行されるタイミングで、予め設定された暗号バッファ１２０ａの記憶領域の使用率を取得（あるいは算出）し、この使用率が閾値以上である場合に、暗号バッファ１２０ａの記憶領域を所定領域だけ増加させる処理を実行する。なお、判定基準となる閾値の値および増加させる所定領域の値は、予め管理者が設定しておくものとする。
【００４１】
復号化処理部１６０ｆは、ディスク１４０〜１４７に記憶された暗号化されたデータが暗号バッファ１２０ａに読み出された場合に、暗号化されたデータを復号化して、キャッシュメモリ１２０に記憶する処理部である。復号化処理部１６０ｆは、暗号化されたデータを復号化する場合には、フラッシュメモリ１５０に記憶された暗号鍵１５０ｂをマスターキー１５０ａによって復号化し、復号化した暗号鍵を使用してデータの復号化を行う。
【００４２】
次に、本実施例にかかるＲＡＩＤ装置１００の制御部１６０が行う暗号化処理の処理手順について説明する。図３は、暗号化処理の処理手順を示すフローチャートである。同図に示すように、ライトバック実行部１６０ｃは、キャッシュメモリ１２０上のデータに対してライトバックを実行するか否かを判定する（ステップＳ１０１）。
【００４３】
そして、ライトバック実行部１６０ｃがライトバックを実行しないと判定した場合には（ステップＳ１０２，Ｎｏ）、ステップＳ１０１に移行し、ライトバックを実行すると判定した場合には（ステップＳ１０２，Ｙｅｓ）、暗号バッファ領域調整部１６０ｅが暗号バッファ１２０ａに対する調整を行う（ステップＳ１０３）。
【００４４】
続いて、暗号化処理部１６０ｄが暗号化を行って、暗号化したデータを暗号バッファ１２０ａに記憶し（ステップＳ１０４）、ライトバック実行部１６０ｃが暗号バッファ１２０ａ上の暗号化されたデータをディスク１４０〜１４７にライトバックし（ステップＳ１０５）、ステップＳ１０１に移行する。
【００４５】
次に、図３のステップＳ１０３に示した暗号バッファ領域調整処理について説明する。図４は、暗号バッファ領域調整処理の処理手順を示すフローチャートである。同図に示すように、暗号バッファ領域調整部１６０ｅは、暗号バッファ１２０ａの使用率を取得し（ステップＳ２０１）、取得した使用率が閾値以上か否かを判定する（ステップＳ２０２）。
【００４６】
使用率が閾値未満である場合には（ステップＳ２０３，Ｎｏ）、そのまま暗号バッファ領域調整処理を終了し、使用率が閾値以上である場合には（ステップＳ２０３，Ｙｅｓ）、暗号バッファ１２０ａの記憶領域を所定領域増加させ（調整し）（ステップＳ２０４）、暗号バッファ領域調整処理を終了する。
【００４７】
このように、暗号化処理部１６０ｄは、上位装置からのＩ／Ｏ処理とは無関係なバックグラウンド処理となるライトバック時にデータを暗号化するので、暗号化処理を上位装置に意識させずに暗号化を実行することができる。
【００４８】
上述してきたように、本実施例にかかるＲＡＩＤ装置１００は、ライトバック実行部１６０ｃがライトバックを実行するタイミングにおいて、暗号化処理部１６０ｄがライトバック対象となるデータを暗号化して、暗号化したデータを暗号バッファ１２０ａに記憶する。そして、ライトバック実行部１６０ｃが、暗号バッファ１２０ａに記憶されたデータをディスク１４０〜１４７に記憶し、暗号バッファ１２０ａ上のライトバックを行ったデータを記憶していた領域を開放するので、暗号化処理を上位装置に対して意識させずに暗号化を実行することができるとともに、キャッシュメモリ１２０の限りある記憶領域を効率よく使用することができる。
【００４９】
なお、本実施例では省略したが、ＲＡＩＤ装置１００は、非暗号化データを記憶したディスク（ボリューム）を他のディスクに暗号化しながらコピーすることができる。この処理は、例えば、暗号化処理部１６０ｄが、ディスクから非暗号化データを一旦、キャッシュメモリ１２０に読み出して暗号化を実施し、暗号化したデータを他のディスクに出力することで、実現することができる。
【００５０】
このように、暗号化しながらデータを他のディスクにコピーすることによって、より安全に、ＲＡＩＤ装置１００の既存ディスクに記憶されたデータを暗号化することができる。なお、コピー後に、コピー元のディスクに記憶されたデータは削除する。
【００５１】
また、本実施例にかかるＲＡＩＤ装置１００は、各ディスク１４０〜１４７単位あるいはＬＵＮ（Logical  Unit  Number）単位で、暗号化を実行するか否かを指定することができる。例えば、管理者が予め、暗号化を行うか否かを各ディスク１４０〜１４７単位あるいはＬＵＮ単位で設定しておき、暗号化処理部１６０ｄが暗号化を行う場合に、暗号化対象となるデータのＢＩＤと管理者に設定された情報とを比較して、暗号化の有無を判定し、暗号化を実行することができる。
【００５２】
このように、データごとに暗号化の有無を判定して暗号化を実行することで、暗号化を実行する必要の無いデータにまで暗号化を実行する必要がなくなるため、暗号化処理部１６０ｄにかかる負担を軽減することができる。
【００５３】
ところで、上記実施例で説明した各種の処理は、あらかじめ用意されたプログラムをコンピュータで実行することによって実現することができる。そこで、以下では、図５を用いて、上記各種処理を実現するプログラムを実行するコンピュータの一例について説明する。
【００５４】
図５は、図２に示したＲＡＩＤ装置１００を構成するコンピュータのハードウェア構成を示す図である。このコンピュータ３０は、ユーザからのデータを受け付ける入力装置３１、モニタ３２、キャッシュメモリ３３、ＲＯＭ（Read  Only  Memory）３４、各種プログラムを記憶した記憶媒体からプログラムを読み取る媒体読取装置３５、ホストコンピュータとの間で行われるデータの送受信を制御するＣＡ３６、ディスクとの間で行われるデータの送受信を制御するＤＩ３７、フラッシュメモリ３８、ＣＰＵ（Central  Processing  Unit）３９をバス４０で接続して構成される。
【００５５】
そして、ＲＯＭ３４には、上述したＲＡＩＤ装置１００の機能と同様の機能を発揮する各種プログラム３４ａが記憶されている。そして、ＣＰＵ３９が、各種プログラム３４ａをＲＯＭ３４から読み出して実行することにより、上述したＲＡＩＤ装置の機能部の機能を実現する各種プロセス３９ａが起動される。この各種プロセス３９ａは、図２に示した、送受信処理部１６０ａ、暗号鍵管理部１６０ｂ、ライバック実行部１６０ｃ、暗号化処理部１６０ｄ、暗号バッファ領域調整部１６０ｅ、復号化処理部１６０ｆに対応する。
【００５６】
また、フラッシュメモリ３８には、上述したＲＡＩＤ装置１００のフラッシュメモリ１５０に記憶されるデータに対応する各種データ３８ａが記憶される。ＣＰＵ３９は、フラッシュメモリ３８に記憶されたデータを使用して、上記実施例で示したようなライトバック処理を実行する。
【００５７】
なお、これらの各種プログラムは、必ずしも最初からＲＯＭ１９０に記憶させておく必要はない。例えば、ホストコンピュータに挿入されるフレキシブルディスク（ＦＤ）や、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、または、ホストコンピュータの内外に備えられるハードディスクドライブ（ＨＤＤ）などの「固定用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータに接続される「他のコンピュータ（またはサーバ）」などに各種プログラムを記憶しておき、コンピュータがこれらから各種プログラムを読み出して実行するようにしてもよい。
【００５８】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、特許請求の範囲に記載した技術的思想の範囲内において種々の異なる実施例にて実施されてもよいものである。
【００５９】
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。
【００６０】
この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００６１】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００６２】
さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００６３】
（付記１）一次記憶装置と二次記憶装置とを備え、所定のタイミングで前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトするストレージ装置であって、
前記ストレージ装置にネットワーク接続された上位装置と前記一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、
前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトする場合に、前記一次記憶装置のライト対象となるデータの暗号化を行うデータ処理手段、
を備えたことを特徴とするストレージ装置。
【００６４】
（付記２）前記データ処理手段がデータの暗号化をおこなう場合に用いる暗号鍵を生成する暗号鍵生成手段を更に備え、当該暗号鍵生成手段は、暗号鍵の暗号化および暗号化した暗号鍵を復号化する際に利用するマスターキーによって前記暗号鍵を暗号化し、前記データ処理手段がデータの暗号化を行う場合に暗号化した暗号鍵を前記マスターキーによって復号化することを特徴とする付記１に記載のストレージ装置。
【００６５】
（付記３）前記一次記憶装置に記憶されたライト対象となるデータは、当該データのエラー検出を行う場合に利用されるエラー検出データを含み、前記データ処理手段は、前記ライト対象となるデータのうち前記エラー検出データを除いた残りのデータに対して暗号化を行うことを特徴とする付記１または２に記載のストレージ装置。
【００６６】
（付記４）前記一次記憶装置は、暗号化したデータを一時的に記憶する暗号データ記憶領域を備え、当該暗号データ記憶領域の使用率に基づいて前記暗号データ記憶領域を調整する調整手段を更に備えたことを特徴とする付記１、２または３に記載のストレージ装置。
【００６７】
（付記５）一次記憶装置に記憶されたデータを二次記憶装置にライトするライト実行プログラムであって、
前記一次記憶装置と前記二次記憶装置とを備えたストレージ装置にネットワーク接続された上位装置と前記一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、
前記一次記憶装置に前記上位装置から取得したデータを記憶する記憶手順と、
前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトする場合に、前記一次記憶装置のライト対象となるデータの暗号化を行うデータ処理手順と、
をコンピュータに実行させることを特徴とするライト実行プログラム。
【００６８】
（付記６）前記データ処理手順がデータの暗号化をおこなう場合に用いる暗号鍵を生成する暗号鍵生成手順を更にコンピュータに実行させ、当該暗号鍵生成手順は、暗号鍵の暗号化および暗号化した暗号鍵を復号化する際に利用するマスターキーによって前記暗号鍵を暗号化し、前記データ処理手順がデータの暗号化を行う場合に暗号化した暗号鍵を前記マスターキーによって復号化することを特徴とする付記５に記載のライト実行プログラム。
【００６９】
（付記７）前記一次記憶装置に記憶されたライト対象となるデータは、当該データのエラー検出を行う場合に利用されるエラー検出データを含み、前記データ処理手順は、前記ライト対象となるデータのうち前記エラー検出データを除いた残りのデータに対して暗号化を行うことを特徴とする付記５または６に記載のライト実行プログラム。
【００７０】
（付記８）前記一次記憶装置は、暗号化したデータを一時的に記憶する暗号データ記憶領域を備え、当該暗号データ記憶領域の使用率に基づいて前記暗号データ記憶領域を調整する調整手順を更にコンピュータに実行させることを特徴とする付記５、６または７に記載のライト実行プログラム。
【００７１】
（付記９）一次記憶装置に記憶されたデータを二次記憶装置にライトするライト実行方法であって、
前記一次記憶装置と前記二次記憶装置とを備えたストレージ装置にネットワーク接続された上位装置と前記一次記憶装置との間のＩ／Ｏアクセスは非暗号化データによって行い、
前記一次記憶装置に前記上位装置から取得したデータを記憶する記憶工程と、
前記一次記憶装置に記憶されたデータを前記二次記憶装置にライトする場合に、前記一次記憶装置のライト対象となるデータの暗号化を行うデータ処理工程と、
を含んだことを特徴とするライト実行方法。
【産業上の利用可能性】
【００７２】
以上のように、本発明にかかるストレージ装置およびライト実行プログラムは、セキュリティを向上させる必要のあるストレージシステムなどに対して有用であり、特に、限られたキャッシュメモリ等の記憶領域を有効に利用する場合に適している。
【図面の簡単な説明】
【００７３】
【図１】本実施例にかかるＲＡＩＤ装置の概要および特徴を説明するための図である。
【図２】本実施例にかかるＲＡＩＤ装置の構成を示す機能ブロック図である。
【図３】暗号化処理の処理手順を示すフローチャートである。
【図４】暗号バッファ領域調整処理の処理手順を示すフローチャートである。
【図５】図２に示したＲＡＩＤ装置を構成するコンピュータのハードウェア構成を示す図である。
【符号の説明】
【００７４】
１０，１１，１２，１３    ホストコンピュータ
３０    コンピュータ
３１    入力装置
３２    モニタ
３４    ＲＯＭ
３４ａ  各種プログラム
３５    媒体読取装置
３８ａ  各種データ
３９    ＣＰＵ
３９ａ  各種プロセス
１００    ＲＡＩＤ装置
３６，１１０，１１１，１１２，１１３    ＣＡ
３３，１２０    キャッシュメモリ
１２０ａ  暗号バッファ
３７，１３０，１３１，１３２，１３３    ＤＩ
１４０，１４１，１４２，１４３，１４４，１４５，１４６，１４７    ディスク
３８，１５０    フラッシュメモリ
１５０ａ  マスターキー
１５０ｂ  暗号鍵
１６０    制御部
１６０ａ  送受信処理部
１６０ｂ  暗号鍵管理部
１６０ｃ  ライトバック実行部
１６０ｄ  暗号化処理部
１６０ｅ  暗号バッファ領域調整部
１６０ｆ  復号化処理部
【図１】
2008052360.tif 000003
【図２】
2008052360.tif 000004
【図３】
2008052360.tif 000005
【図４】
2008052360.tif 000006
【図５】
2008052360.tif 000007