(57)【要約】【課題】故障ディスク装置が発生した場合、故障ディスク装置から意図に反して情報が読み取られてしまうことのないような構成を有するディスク制御装置を提供する。【解決手段】RAID装置９が各ディスク装置１９−１〜１９−８を検査して、切り離すべきディスク装置が見つかった場合、データ読み出し防止処理判断部１５が、データ領域の上書き処理制御部１６に、切り離すべきディスク装置のデータ領域のデータを「０」で上書きさせる。これが出来なかった場合には、SA領域の上書き処理部１７が、切り離すべきディスク装置のSAを「０」で上書きする命令を、当該ディスク装置に出す。これも出来なかった場合には、ヘッド吸着指示部１８が、切り離すべきディスク装置に対し、ヘッドとディスク媒体を物理的に吸着させる指示を出す。【選択図】図１
2008197778.tif 000002
【特許請求の範囲】
【請求項１】
複数のディスク装置が接続されたディスクシステムにおけるディスク制御装置であって、
ディスク装置の故障が検出された場合に、該ディスク装置の制御情報記憶領域を所定の値で上書きする命令を発行する制御情報記憶領域上書き手段
を備えることを特徴とするディスク制御装置。
【請求項２】
前記故障が検出されたディスク装置の制御情報記憶領域を上書きする前に、該ディスク装置のデータ領域を所定の値で上書きする命令を発行するデータ領域上書き手段を更に備え、
データ領域の上書きが不可能である場合に、制御情報記憶領域を上書きさせることを特徴とする請求項１に記載のディスク制御装置。
【請求項３】
前記故障が検出されたディスク装置について、該ディスク装置のヘッドとディスク媒体とを吸着させる命令を発行する吸着命令手段とを更に備え、
データ領域と制御情報記憶領域の上書きが共に不可能であった場合に、ヘッドとディスク媒体との吸着を行わせることを特徴とする請求項２に記載のディスク制御装置。
【請求項４】
前記ヘッドは、前記ディスク媒体のコンタクトスタートストップ領域以外の領域に吸着させられることを特徴とする請求項３に記載のディスク制御装置。
【請求項５】
請求項３に記載のディスク制御装置によって制御されるディスク装置であって、
ヘッドを駆動するモータに、ヘッドをディスク媒体の吸着位置まで移動させるための固定電圧を印加する固定電圧印加手段を備え、
前記吸着命令手段より、ヘッドとディスク媒体とを吸着させるべき命令を受け取った場合には、固定電圧手段が、ヘッドをディスク媒体の吸着位置まで移動させた後、ディスク媒体の回転を停止して、ヘッドとディスク媒体を吸着させることを特徴とするディスク装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ディスク制御装置に関する。
【背景技術】
【０００２】
近年、個人情報保護法等により、顧客データの漏洩対策が必須となっている。そのため故障ディスク装置でも、顧客データが格納されている状態で修理等の為に輸送等を行うと、紛失および盗難に遭った場合、安易にデータの読み込みが行える状態では、顧客データの漏洩につながり、物理的な損失とは比べられない被害となる場合がある。したがって、故障ディスク装置においては、確実にデータの読み込みが行えないようにする必要がある。
【０００３】
従来の技術では、RAID装置に搭載のディスク装置にてエラー等が発生した場合、RAID装置からは単純に切離し、当該ディスク装置はそのまま梱包、発送が行われる。しかしながら、ディスク装置の故障品の分析を行ったところ、約半数の障害が未再現であり、通常の操作にて、ディスク装置内の全データを読み出すことが出来る状態である。また、残り半数の故障も全データではないものの、大部分は通常操作にてデータを呼び出すことができてしまい、データが全く読み出せない状態となる故障は全故障中の数パーセントに過ぎない。
【０００４】
そこで、従来では、RAID装置から切離す際に、切離すディスク装置内のデータを読み出せないように、通常のライト機能によりディスク装置内のデータを消去するが、ディスク装置の全領域を消去するには多くの時間を要してしまう。また、当該ディスク装置は故障判定されており、正常に消去の為の通常ライトが行われることも保証できないため、盗難等に遭わないように厳重な輸送を行うか、物理破壊を行う必要がありコスト高となってしまう。
【０００５】
図６は、従来の故障ディスク装置の切り離し処理のフローである。
ステップＳ１０において、ディスク装置の故障などを検出するためのRAIDの通常処理を行う。ステップＳ１１において、故障ディスク装置が見つかり、この故障ディスク装置がRAID装置から切り離すための条件に一致するかを判断する。ステップＳ１１の切り離し条件に合致しない場合には、ステップＳ１０に戻って、他のディスク装置に対する処理を行う。ステップＳ１１で、故障ディスク装置が切り離し条件に合致した場合には、ステップＳ１２において、冗長化を復元するために、予備ディスク装置へ、故障ディスク装置のデータを移行する。ステップＳ１３においては、当該故障ディスク装置をRAID装置から切り離す処理を実施し、ステップＳ１０に戻って、他のディスク装置についても故障しているか否かの判断を行う。
【０００６】
特許文献１には、HDDの情報漏えい防止方法として、パスワード解除コマンドとロック用パスワードを用いた技術が開示されている。
【特許文献１】特開２００６−５９０２５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明の課題は、故障ディスク装置が発生した場合、故障ディスク装置から意図に反して情報が読み取られてしまうことのないような構成を有するディスク制御装置を提供することである。
【課題を解決するための手段】
【０００８】
本発明のディスク制御装置は、複数のディスク装置が接続されたディスクシステムにおけるディスク制御装置であって、ディスク装置の故障が検出された場合に、該ディスク装置の制御情報記憶領域を所定の値で上書きする命令を発行する制御情報記憶領域上書き手段を備えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、故障ディスク装置を修理などに出した場合に、故障が再現性のない故障であったために、ユーザの意図に反して、ディスク装置内のデータが読み取られてしまうことを防止することが出来る。
【発明を実施するための最良の形態】
【００１０】
ディスク装置は起動時、ディスク装置自身のシステム制御管理情報(SA: System Area)を読み込んだ後に、通常のユーザ領域のデータライト・リードが可能となる。SAが正常に読み込まれなかった場合には、ディスク装置は正常にリード・ライトを行うことができない。本発明の実施形態においては、故障検出時に、SA領域を不特定データにより、上書きすることによって、ユーザ領域のリードを抑止することを実現する。
【００１１】
また、ディスク装置の故障の態様によっては、ライトが出来ないような故障が存在する。その場合は、SA領域に不特定データを書き込むことは不可能である。この場合は、ヘッドをアウター位置（ディスク媒体の周辺部）に移動させ、その状態のまま、ディスク媒体の回転用とヘッドの駆動用モータを停止させる。そうすることによって、ヘッドはアウター位置で媒体表面に接地する。ディスク装置のヘッドと媒体は鏡面化された状態であるため、コンタクトスタートストップ(CSS)を行うためのディスク媒体の内側部の凹凸をつけた場所(CSSゾーン)以外（アウター位置）にヘッドが接地した場合は、ヘッドがディスク媒体に吸着してしまう。また、アウター位置で吸着すると、吸着自体の吸着力が同じでも、アウター側の方がモータの回転中心より、遠くなる為、回転モーメントとしては大きくなる為、アウター位置で接地させることにより、吸着したディスク媒体とヘッドが離れづらくなり、確実な吸着を行うことが出来る。もちろんサーボ制御部の故障も想定し、サーボ制御を前提にせず、VCM（Voice Coil Motor）に対し、ヘッドをアウターへ移動させる電圧を印加させるだけの単純な制御を行うようにする。これにより、様々な故障においても、ディスク装置からのデータの読み出しを防止することが出来る。VCMがヘッドを単にアウターに移動させることも出来ないような故障は、そのままでもデータの読み込みは出来ない為問題ない。
【００１２】
本発明の実施形態では、障害発生時SA領域を不特定データで上書きすることにより、短時間でディスク装置からの読み出しを抑止することが可能である。また、SA領域を上書きできないような故障態様でも、アウター位置でのヘッドと媒体の吸着を実現させることで、確実に短時間でディスク装置の動作を抑止することができる。但し、ヘッドと媒体を吸着させた場合には、修理時にヘッドと媒体は再利用できなくなってしまう為、コスト面で不利であるが、故障時は基本的にSAの上書きを行い、SAの上書きが出来ない場合に、ヘッドと媒体の吸着させることで、データ漏洩防止と短時間で安価な防止策の両立を実現できる。
【００１３】
図１は、本発明の実施形態が適用されるRAID装置のブロック構成図である。
ホスト１０とRAID装置９が接続され、RAID装置９にディスク装置１９−１〜１９−８が接続されている。ホスト１０は、RAID装置９を介して、ディスク装置１９−１〜１９−８にアクセスする。RAID装置９には、ホスト対応部１１が設けられ、RAID装置９とホスト１０の間のインターフェースとして動作する。また、ディスク制御部１２は、RAID装置９とディスク装置１９−１〜１９−８との間のインターフェースとして動作する。プロセッサ
１３は、たとえば、ディスク装置１９−１〜１９−８の故障診断処理を行ったり、故障診断結果をホスト１０に通知するなどの処理を行うため、ホスト対応部１１とディスク制御部１２に命令を発行する。プロセッサ１３が、ディスク装置１９−１〜１９−８の故障診断を行い、その結果を受信すると、故障診断結果は、ディスク切り離し判断部１４に送られ、ディスク切り離し判断部１４は、どのディスク装置が故障しているかを判断した上で、プロセッサ１３に、切り離しを行うべきディスク装置を通知する。
【００１４】
ここで、本発明の実施形態では、更に、データ読み出し防止処理判断部１５、データ領域の上書き処理制御部１６、SA領域の上書き処理部１７、ヘッド吸着指示部１８を設けている。データ読み出し防止処理判断部１５は、ディスク切り離し判断部１４から、どのディスク装置を切り離すかの情報を得て、ディスク装置を切り離す前に、故障したディスク装置内のデータが後に読み出されないように処理を施す。処理を施す場合には、データ読み出し防止処理判断部１５は、行う処理によって、それぞれ、データ領域の上書き処理制御部１６、SA領域の上書き処理部１７、ヘッド吸着指示部１８に処理を指示する。データ領域の上書き処理制御部１６は、切り離しが決定したディスク装置のデータ領域に、たとえば、「０」を上書きすることにより、ディスク装置のデータ領域に格納されているデータを消去する。また、SA領域上書き処理部１７は、ディスク装置のSAに無意味なデータ、あるいは、「０」を上書きすることにより、ディスク装置の制御情報を無効化し、ディスク装置にアクセスできないようにする。ヘッド吸着指示部１８は、データ領域の上書きやSA領域の上書きが出来ないと判断された場合に、故障ディスク装置のヘッドをディスク媒体のアウター領域に吸着させる処理を行う。
【００１５】
図２は、本発明の実施形態に従ったディスク装置１９のブロック構成図である。
ディスク装置１９には、ディスクプロセッサ２５が設けられており、RAID装置９からの指示を解釈し、各制御回路に所定の処理を行うように指示を出す。VCM通常制御回路２６は、ディスクプロセッサ２５からの指示を受けて、VCM２９の制御電圧を生成する。通常動作時のヘッドの動きは、このVCM２９への制御によって制御される。また、SPM制御回路３１は、SPM（Spindle Motor）３２の動作を制御する制御電圧を生成する。SPM３２は、ディスク媒体の回転を制御する。RAID装置９からデータ領域の上書き、あるいは、SA領域の上書き指示が来た場合には、SPM制御回路３１がSPM３２を回転させると共に、VCM通常制御回路２６が、VCM２９を制御して、ヘッドを移動し、上書きを実行させる。ところが、VCM通常制御回路２６が故障しているなどにより、所定の上書き動作が行えない場合には、その旨がRAID装置９に通知される。すると、RAID装置９は、ディスクプロセッサ２５にヘッドの吸着を行うよう指示する。この命令は、吸着制御部３０に通知され、スイッチ２８を切り替えて、VCM２９に、アウターへの移動回路２７からの固定電圧を印加させる。アウターへの移動回路２７の固定電圧は、ヘッドをディスク媒体の周辺部であるアウター領域に移動させるために必要な電圧となっている。また、吸着制御部３０は、SPM制御回路３１に、SPM３２を停止するように指示する。これにより、ヘッドのディスク媒体への吸着がなされ、データの読み出しが不可能となる。
【００１６】
図３は、本発明の実施形態に従ったRAID装置の処理フローである。
ステップＳ１５において、ディスク装置の故障検査等のRAIDの通常処理を行う。ステップＳ１６において、処理中のディスク装置が切り離し条件（書き込み、読み出しが出来ない等）に合致するか否かを判断する。ステップＳ１６において、当該ディスク装置が切り離し条件を満たさない場合には、ステップＳ１５に戻って、他のディスク装置について処理を行う。ステップＳ１６において、切り離し条件を満たすと判断された場合には、ステップＳ１７において、冗長化を復元するために、切り離し条件を満たすディスク装置のデータと同じデータを予備のディスク装置に移行する。ここの処理は、たとえば、冗長化構成として、ミラー冗長化を行っていた場合を考えると、通常、ディスク装置は、２つのディスク装置で組になっており、２つのディスク装置は、同じデータを格納する。また、RA
ID装置においては、このようなミラーディスク装置のほかに、通常何もデータが入っていない予備ディスク装置が用意されている。今、１つのディスク装置が故障した場合、ミラー冗長化を行っているので、故障したディスク装置のデータは、対になっているもう一方のディスク装置にも入っているので、データが失われることはない。しかし、一方のディスク装置が故障してしまったために、そのディスク装置に格納されていたデータについては、ミラー冗長化がなされなくなってしまう。そこで、故障してしまったディスク装置と対になっている他方の正常なディスク装置から、RAID装置に設けられている予備のディスク装置にデータをコピーし、他方の正常なディスク装置と、予備のディスク装置で対を作り、ミラー冗長化が当該データについて維持されるようにするものである。
【００１７】
ステップＳ１８では、切り離しディスク装置のデータの読み出し防止処理を行い、ステップＳ１９で、切り離し条件を満たしたディスク装置の切り離し処理を実施して、ステップＳ１５に戻る。
【００１８】
図４は、図３のステップＳ１８の処理の詳細を示すフローである。
ステップＳ２０において、当該ディスク装置の全データ領域を「０」で上書きする。ステップＳ２１において、全データ領域の上書きが成功したか否かを判断する。ステップＳ２１の判断がＹｅｓの場合には、処理を終了する。ステップＳ２１の判断がＮｏの場合には、ステップＳ２２において、SA領域のライト許可フラグをオンにし、ステップＳ２３において、当該ディスク装置のSAの全領域を「０」で上書きする。ステップＳ２４においてSA全領域について上書きが成功したか否かを判断する。ステップＳ２４の判断がＹｅｓの場合には、処理を終了する。ステップＳ２４の判断がＮｏの場合には、ステップＳ２５において、当該ディスク装置に吸着指示を発行する。ステップＳ２６において、当該ディスク装置より吸着処理が正常に実行された旨の応答があったか否かについて判断する。ステップＳ２６において、正常に実行された旨も応答があった場合には、処理を終了する。ステップＳ２６において、正常に実行された旨の応答がなかった場合には、ステップＳ２７において、切り離しディスク装置のデータ読み出し防止処理が失敗したことをホストに報告して処理を終了する。
【００１９】
図５は、ヘッドの吸着指示を受けたディスク装置の処理を示すフローである。
ステップＳ３０において、SPMが回転しているか否かを判断する。ステップＳ３０の判断がＹｅｓの場合には、ステップＳ３３に進む。ステップＳ３０の判断がＮｏの場合には、ステップＳ３１において、SPMを回転させ、ステップＳ３２において、SPMの起動に失敗したか否かを判断する。ステップＳ３２の判断がＹｅｓの場合には、ステップＳ３４において、RAID装置にエラー報告をして処理を終了する。ステップＳ３２の判断がＮｏの場合には、ステップＳ３３において、スイッチを切り替えて、VCMをアウターへの移動回路で駆動する。ステップＳ３５において、ヘッドがアウター領域に移動するまで待つ（当業者によって適切に一定時間の待ち時間が設定されるべきである）。ステップＳ３６において、SPMを停止させ、ステップＳ３７において、SPMの停止を待つ。ステップＳ３８において、スイッチを切り替えて、VCMを通常制御回路へ戻し、ステップＳ３９において、吸着が正常に行われた旨の応答をRAID装置に対して行って、処理を終了する。
【図面の簡単な説明】
【００２０】
【図１】本発明の実施形態が適用されるRAID装置のブロック構成図である。
【図２】本発明の実施形態に従ったディスク装置１９のブロック構成図である。
【図３】本発明の実施形態に従ったRAID装置の処理フローである。
【図４】図３のステップＳ１８の処理の詳細を示すフローである。
【図５】ヘッドの吸着指示を受けたディスク装置の処理を示すフローである。
【図６】従来の故障ディスク装置の切り離し処理のフローである。
【符号の説明】
【００２１】
９      RAID装置
１０      ホスト
１１      ホスト対応部
１２      ディスク制御部
１３      プロセッサ
１４      ディスク切り離し判断部
１５      データ読み出し防止処理判断部
１６      データ領域の上書き処理制御部
１７      SA領域の上書き処理部
１８      ヘッド吸着指示部
１９、１９−１〜１９−８      ディスク装置
２５      ディスクプロセッサ
２６      VCM通常制御回路
２７      アウターへの移動回路
２８      スイッチ
２９      VCM（ボイスコイルモータ）
３０      吸着制御部
３１      SPM制御回路
３２      SPM（スピンドルモータ）
【図１】
2008197778.tif 000003
【図２】
2008197778.tif 000004
【図３】
2008197778.tif 000005
【図４】
2008197778.tif 000006
【図５】
2008197778.tif 000007
【図６】
2008197778.tif 000008