(57)【要約】  格納データ暗号化機能を有するストレージ装置において、ホットスワップ実施後に、障害HDDの起こったHDDを抜去する際に、当該HDDに割り当てられていた暗号鍵を滅却することで、当該HDD内のデータを自動的にクリプトシュレディングし、新たなHDDを設置後、当該新HDDへのコピーバックの完了したスペアディスク内のデータを自動でクリプトシュレッティングし、次のホットスワップに備え、スペアディスク用の鍵生成をセキュリティ管理者に求める。そして、格納データの暗号化/復号化に外部鍵管理サーバで生成した暗号鍵をインポートして使用するストレージ装置において、ホットスワップ時に外部鍵管理サーバとの通信障害により、暗号鍵がインポートできず、暗号鍵が不足することに備え、スペアディスク用の暗号鍵を事前に外部鍵管理サーバからインポートし、当該暗号鍵が他用されることをガードする。【選択図】図２
2015508578.tif 000002
【特許請求の範囲】
【請求項１】
計算機システムであって、
複数の記憶媒体と、ホスト計算機に対するインターフェースを構成する第１の回路と、
前記複数の記憶媒体に対するインターフェースを構成する第２の回路と、
コントローラと、
を備え、
前記コントローラは、
前記複数の記憶媒体夫々に鍵情報を割り当て、
前記ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、
当該パリティ及び前記複数の分割データを前記複数の記憶媒体に暗号化して分散格納し、
前記複数の記憶媒体の中から前記特定の記憶媒体を決定し、
当該特定の記憶媒体に格納されている前記パリティ又は分割データを前記予備の記憶媒体に格納し、
前記特定の記憶媒体に割り当てられている前記鍵情報を削除するタイミングを前記予備記憶媒体への前記パリティ又は分割データの格納の終了タイミングに基づいて制御し、前記制御されたタイミングにしたがって前記鍵情報を削除する、
計算機システム。
【請求項２】
前記コントローラは、前記複数の記憶媒体の収容領域から前記特定の記憶媒体を取り出す際に、前記特定の記憶媒体に割り当てられている鍵情報を削除する、請求項１記載の計算機システム。
【請求項３】
前記コントローラは、
前記予備の記憶媒体に鍵情報を割当て、
前記複数の記憶媒体以外の他の記憶媒体に鍵情報を割当て、前記予備の記憶媒体に復元されている前記パリティ又は分割データを、当該鍵情報が割当てられる他の記憶媒体に移行し、
前記パリティ又は分割データの移行が完了すると、前記予備の記憶媒体に割り当てられた前記鍵情報を削除する、請求項２記載の計算機システム。
【請求項４】
前記コントローラは、前記予備の記憶媒体に前記特定の記憶媒体の前記分割データ又はパリティが復元されようとする以前に、前記予備の記憶媒体に割当てられる鍵情報を形成する、請求項２記載の計算機システム。
【請求項５】
前記コントローラは、前記鍵情報を鍵管理サーバから予めインポートすることによって形成しておく、請求項４記載の計算機システム。
【請求項６】
前記コントローラは、
前記予備の記憶媒体に復元されている前記パリティ又は分割データを他の記憶媒体に移行する要求があるか否かを判定し、
この判定を肯定すると、前記前記予備の記憶媒体に暗号鍵が割り当てられているか否かを判定し、
この判定を肯定すると、前記複数の記憶媒体以外の他の記憶媒体に鍵情報を割当て、前記予備の記憶媒体に復元されている前記パリティ／又は分割データを、当該鍵情報が割当てられる他の記憶媒体に移行し、
前記パリティ又は分割データの移行が完了すると、前記予備の記憶媒体に割り当てられた前記鍵情報を削除する、請求項１記載の計算機システム。
【請求項７】
前記コントローラは、前記予備の記憶媒体への前記特定の記憶媒体の前記分割データまたは前記パリティの復元が完了するまで、前記特定の記憶媒体に割り当てられている暗号鍵を削除することなく保持する、請求項２のストレージシステム。
【請求項８】
前記コントローラは、
前記収容領域から取り出されようとしている記憶媒体にその取り出しの要求があるか否かを判定し、
この判定を否定すると、前記記憶媒体に前記鍵情報が割り当てられているか否かを判定し、
この判定を肯定すると、所定時間に前記収容領域から取り出された記憶媒体が前記収容領域に再設定されるか否かを判定し、
この判定を肯定判定すると記記憶媒体に割当てられている鍵情報を維持し、当該判定を否定判定すると前記所定時間経過後に前記収容領域から取り出された記憶媒体の前記鍵情報を削除する、請求項２記載の計算機システム。
【請求項９】
前記コントローラは、前記記憶媒体の前記鍵情報を削除する際、その削除前に、管理者に、前記鍵情報を削除することを報知する、請求項８記載の計算機システム。
【請求項１０】
前記コントローラは、
前記パリティグループに対する暗号化を設定する際、前記予備の記憶媒体に割り当てられる鍵情報を前記鍵管理サーバから取得し、
当該取得した鍵情報を前記予備の記憶媒体に割当てる、請求項５記載の計算機システム。
【請求項１１】
前記コントローラは、
管理者から暗号化の設定が要求された前記パリティグループを構成する前記記憶媒体の数を取得し、
前記暗号化の設定が要求された前記パリティグループに対する予備の記憶媒体の数を取得し、
前記パリティグループを構成する前記記憶媒体の数と前記予備の記憶媒体の数との合計数分の前記情報鍵を前記鍵管理サーバに要求し、
前記鍵管理サーバから取得した鍵情報を、前記パリティグループを構成する前記記憶媒体と前記予備の記憶媒体に割当てる、請求項１０記載の計算機システム。
【請求項１２】
前記特定の記憶媒体の分割データ又はパリティが復元されていない前記予備の記憶媒体を一つ以上有し、
前記コントローラは、
前記記憶媒体に割り当てられていない前記鍵情報を有し、
当該鍵情報の数と前記特定の記憶媒体の分割データ又はパリティが復元されていない前記予備の記憶媒体の数とを比較し、
後者が前者以下の場合、前記鍵管理サーバに鍵情報を要求する、請求項５記載の計算機システム。
【請求項１３】
前記コントローラは、前記鍵情報を管理するためのポリシーを設定し、設定されたポリシーにしたがって前記複数の記憶媒体及び前記予備の記憶媒体に前記鍵情報を割り当てる請求項１記載の計算機システム。
【請求項１４】
前記コントローラは、前記鍵情報を当該コントローラが生成するか、及び／又は、鍵管理サーバから取得するかの管理情報と、記予備の記憶媒体に割当てようとしている鍵情報が前記コントローラに存在しない場合、当該鍵情報を当該コントローラが生成することを許可するか否かの管理情報を前記ポリシーに含ませる、請求項１３記載の計算機システム。
【請求項１５】
前記コントローラは、前記特定の記憶媒体の分割データ又はパリティが前記予備の記憶媒体に再現される前に、当該予備の記憶媒体に割り当てられる前記鍵情報を形成するか否かを前記ポリシーに含ませる、請求項１３記載の計算機システム。
【請求項１６】
前記コントローラは、前記予備の記憶媒体に割り当てられる前記鍵情報を形成することを前記ポリシーに含ませると共に、当該鍵情報が前記コントローラに形成されていない場合、鍵管理サーバから当該鍵情報を取得する、請求項１５記載の計算機システム。
【請求項１７】
前記コントローラは、前記特定の記憶媒体及び／又は前記予備の記憶媒体に割り当てられた前記鍵情報の削除に関する情報を前記ポリシーに含ませる、請求項１３記載の計算機システム。
【請求項１８】
前記コントローラは、
前記特定の記憶媒体及び／又は前記予備の記憶媒体に割り当てられた前記鍵情報の自動削除の可否を前記ポリシーに含ませ、
前記鍵情報の自動削除が否の場合、管理者に当該鍵情報を手動での削除が必要である旨報知する、請求項１７記載の計算機システム。
【請求項１９】
ホスト計算機に対するインターフェースを構成する第１の回路と、
複数の記憶媒体に対するインターフェースを構成する第２の回路と、
コントローラと
を備える計算機システムであって、
前記コントローラは、
前記ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、
前記複数の記憶媒体夫々に鍵情報を割り当て、
前記パリティ及び複数の分割データを前記複数の記憶媒体に暗号化して分散格納し、
前記複数の記憶媒体に属する特定の記憶媒体に格納されている前記パリティ又は分割データを予備の記憶媒体に復元し、するためのコントローラと、
前記複数の記憶媒体の中から前記特定の記憶媒体を決定し、
前記予備の記憶媒体に鍵情報を割り当て、
前記特定の記憶媒体に格納されている前記パリティ又は分割データを前記予備の記憶媒体に暗号化して格納し、
前記複数の記憶媒体の収容領域から前記特定の記憶媒体を取り出す際、前記特定の記憶媒体に割り当てられている鍵情報を削除し、
前記予備の記憶媒体に復元されている前記パリティ／又は分割データを鍵情報が割り当てられた他の記憶媒体に移行し、
前記パリティ又は分割データの移行が完了すると、前記予備の記憶媒体に割り当てられた前記鍵情報を削除する、計算機システム。
【請求項２０】
計算機システムの制御方法であって、
計算機システムは、
ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、
前記複数の記憶媒体夫々に鍵情報を割り当て、
前記パリティ及び複数の分割データを前記複数の記憶媒体に暗号化して分散格納し、
前記複数の記憶媒体に属する特定の記憶媒体に格納されている前記パリティ又は分割データを予備の記憶媒体に復元する際、前記複数の記憶媒体の中から前記特定の記憶媒体を決定し、前記特定の記憶媒体以外の前記複数の記憶媒体に基づいて、前記特定の記憶媒体に格納されている前記パリティ又は分割データを前記予備の記憶媒体に格納し、前記特定の記憶媒体に割り当てられている前記鍵情報を削除するタイミングを前記予備記憶媒体への前記パリティ又は分割データの格納の終了タイミングに基づいて制御し、前記制御されたタイミングにしたがって前記鍵情報を削除する、
計算機システムの制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はストレージ装置を備える計算機システム及びその制御方法に係り、特に、データが暗号化されて保存される記憶媒体のホットスワップ時における暗号鍵の管理機能を備える計算機システムに関するものである。
【背景技術】
【０００２】
ストレージ装置に接続する記憶媒体の盗難等によるデータ漏洩を防ぐため、ストレージ装置は、ホスト計算機から書込み要求と共に与えられたデータを暗号化して記憶媒体に格納し、当該データの読出し要求がホスト計算機から与えられたときには、暗号化されたデータを復号化しながら記憶媒体から読み出してホスト計算機に送信するように構成されている。
【０００３】
この種のストレージ装置は、格納データの暗号化処理及び復号化処理を、記憶媒体単位に設定された暗号鍵を用いて行う。HDD等の記憶媒体に障害が起こり、障害を受けたHDDをホットスワップする際に、コレクションコピー機能によって障害を受けたHDDからスペアディスクに暗号鍵を交換するようにして、スペアディスクに暗号鍵を割り当てるようにしたストレージ装置が提案されている（国際公開第2010/137177号)。
【０００４】
また、ストレージ装置の内蔵記憶媒体の全てが常時暗号化され、暗号化された記憶媒体と暗号化されていない記憶媒体との混在を不可とする方法も提供されている（EMC Symmetrix Data at Rest Encryption （EMC Corporation、white paper、 Nov. 2010)）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第2010/137177号
【非特許文献】
【０００６】
【非特許文献１】EMC Symmetrix Data at Rest Encryption (EMC Corporation、white paper、 Nov. 2010)
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ストレージ装置において、暗号鍵の紛失により暗号化されたデータを復号化できないことによるデータロストや、暗号鍵の紛失や暗号鍵の漏洩による情報漏洩防止のため、鍵情報の管理が重要となる。特許文献１では、HDD障害時での暗号化されたデータを保護する方法は開示されているが、暗号鍵の管理に関しては何ら配慮されていない。また、非特許文献１では、全ての内蔵記憶媒体が暗号化されているため、ホスト計算機ベース暗号化方式を採用するＩＴシステムにおいては、二重に暗号化が実施されることとなり、Ｉ／Ｏ性能が劣化し、さらに、暗号鍵の管理方法についても配慮されていない。
【０００８】
記憶媒体をホットスワップしなければならない状況下において、暗号鍵の管理が十分でないと、データの漏洩やデータのロストを防ぐことができない。例えば、障害を受けた記憶媒体の暗号鍵が漏洩すると、ストレージ装置外に取出された障害記憶媒体からデータが漏洩するおそれがある。また、ホットスワップ時に暗号鍵が不足してスペア記憶媒体を暗号化できないと、スペアドライブのデータの秘匿性が低下したり、或いは、ホットスワップそのものが行えないこともあり、その際、多重に記憶媒体に障害が発生することによってデータのロストに至ってしまうおそれがある。
【０００９】
そこで、本発明は、暗号化された記憶媒体に障害が発生した場合等記憶媒体をシステムから取り出さなければならない状況下でも、データ漏洩及びデータロストを確実に抑止できる計算機システム、並びに、その制御方法を提供することを目的とするものである。
【課題を解決するための手段】
【００１０】
前記目的を達成するために、第１の発明は、計算機システムであって、複数の記憶媒体と、ホスト計算機に対するインターフェースを構成する第１の回路と、前記複数の記憶媒体に対するインターフェースを構成する第２の回路と、コントローラと、を備え、前記コントローラは、前記複数の記憶媒体夫々に鍵情報を割り当て前記ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、当該パリティ及び前記複数の分割データを前記複数の記憶媒体に暗号化して分散格納し、前記複数の記憶媒体の中から前記特定の記憶媒体を決定し、当該特定の記憶媒体に格納されている前記パリティ又は分割データを前記予備の記憶媒体に格納し、前記特定の記憶媒体に割り当てられている前記鍵情報を削除するタイミングを前記予備記憶媒体への前記パリティ又は分割データの格納の終了タイミングに基づいて制御し、前記制御されたタイミングにしたがって前記鍵情報を削除する、ことを特徴とするものである。
【００１１】
本発明は、システムから取り出される記憶媒体から鍵情報を削除するタイミングの制御機能を備えることによって、鍵情報を削除するタイミングが早すぎて、記憶媒体の多重障害等によるデータのロストに至らないよう、また、鍵情報の削除のタイミングが遅すぎることによってシステムから取り出された記憶媒体からデータが漏洩しないようにする等、本発明によれば、記憶媒体から鍵を削除するタイミングを最適化することができる。
【００１２】
さらに、第２の発明は、ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、前記複数の記憶媒体夫々に鍵情報を割り当て、前記パリティ及び複数の分割データを前記複数の記憶媒体に暗号化して分散格納する計算機システムであって、前記ホスト計算機に対するインターフェースを構成する第１の回路と、前記複数の記憶媒体に対するインターフェースを構成する第２の回路と、前記複数の記憶媒体に属する特定の記憶媒体に格納されている前記パリティ又は分割データを予備の記憶媒体に復元するためのコントローラと、を備え、前記コントローラは、前記複数の記憶媒体の中から前記特定の記憶媒体を決定し、前記予備の記憶媒体に鍵情報を割り当て、前記特定の記憶媒体以外の前記複数の記憶媒体に基づいて、前記特定の記憶媒体に格納されている前記パリティ又は分割データを前記予備の記憶媒体に暗号化して格納し、前記複数の記憶媒体の収容領域から前記特定の記憶媒体を取り出す際、前記特定の記憶媒体に割り当てられている鍵情報を削除し、前記予備の記憶媒体に復元されている前記パリティ／又は分割データを鍵情報が割り当てられた他の記憶媒体に移行し、前記パリティ又は分割データの移行が完了すると、前記予備の記憶媒体に割り当てられた前記鍵情報を削除する、ことを特徴とする。
【００１３】
さらに、第３の発明は、ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、前記複数の記憶媒体夫々に鍵情報を割り当て、前記パリティ及び複数の分割データを前記複数の記憶媒体に暗号化して分散格納する計算機システムの制御方法であって、前記計算機システムは、前記複数の記憶媒体に属する特定の記憶媒体に格納されている前記パリティ又は分割データを予備の記憶媒体に復元する際、前記複数の記憶媒体の中から前記特定の記憶媒体を決定し、前記特定の記憶媒体以外の前記複数の記憶媒体に基づいて、前記特定の記憶媒体に格納されている前記パリティ又は分割データを前記予備の記憶媒体に格納し、前記特定の記憶媒体に割り当てられている前記鍵情報を削除するタイミングを前記予備記憶媒体への前記パリティ又は分割データの格納の終了タイミングに基づいて制御し、前記制御されたタイミングにしたがって前記鍵情報を削除する、ことを特徴とする。
【発明の効果】
【００１４】
本発明によれば、暗号化された記憶媒体に障害が発生した場合等記憶媒体をシステムから取り出さなければならない状況下でも、データ漏洩及びデータロストを確実に抑止できる計算機システム、並びに、その制御方法を提供することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は本発明に属する計算機システムの実施形態の構成を示すブロック図である。
【図２】図２は前記計算機システムに属するストレージ装置の実施形態の構成を示すハードウェアブロック図である。
【図３】図３は前記ストレージ装置のマイクロプロセッサパッケージのローカルメモリの論理構成のブロック図である。
【図４】図４はストレージ装置の暗号化機能の管理等を実行する、ストレージ装置の管理計算機のハードウェア構成を示すブロック図である。
【図５】図５は、当該管理計算機のメモリの論理構成を示すブロック図である。
【図６】図６は、図３のHDD管理機能が参照するパリティグループ管理テーブルの構成例である。
【図７】図７は、図３のHDD管理機能が参照するHDD管理テーブルの構成例である。
【図８】図８は、図３のHDD管理機能が参照するホットスワップ管理テーブルの構成例である。
【図９】図９は、図３のHDD管理機能が参照するホットスワップ管理テーブルの構成例である。
【図１０】図１０は、ストレージ装置からHDDの抜去と、当該HDDの暗号鍵の滅却の処理を表すフローチャートである。
【図１１】図１１は図１０に続くフローチャートである。
【図１２】図１２は、スペアディスクへのコレクションコピーと抜去対象のHDDに割当てられていた暗号鍵の滅却との実行タイミングを制御するフローチャートである。
【図１３】図１３は、ストレージ装置に新たに追加されたHDDへの暗号鍵の割り当て処理を説明するフローチャートである。
【図１４】図１４は、一定時間HDDに割り当てられていた暗号鍵を保持し、一定時間内に当該HDDが再設置されなければ当該鍵を滅却する処理を説明するフローチャートである。
【図１５】図１５は、スペアディスクに割り当てるべき暗号鍵を事前に外部鍵管理サーバからインポートする処理を説明するフローチャートである。
【図１６】図１６は、暗号化設定オンの要求のあったパリティグループを構成するHDDに暗号鍵を割り当てる処理を説明するフローチャートである。
【図１７】図１７は、未割り当て状態にある暗号鍵の数が未使用状態にあるスペアディスク数より少ない場合に、外部鍵管理サーバに暗号鍵のインポートを要求する処理を説明するフローチャートである。
【図１８】図１８は暗号鍵生成ポリシー設定GUIの一例である。
【図１９】図１９は暗号鍵管理ポリシーテーブルの一例である。
【図２０】図２０は、ユーザによって指定された暗号鍵管理ポリシーに従い、暗号鍵を生成する処理を説明するフローチャートである。
【図２１】図２１は、ユーザが指定した暗号鍵管理ポリシーに従い、暗号鍵を削除する処理を説明するフローチャートである。
【図２２】図２２は、鍵管理機能から管理ユーザの管理端末に告知される警告の一例の形態である。
【発明を実施するための形態】
【００１６】
実施形態１
次に、本発明の実施形態について説明する。先ず、第１の実施形態について説明する。実施形態１は、ストレージ装置のコントローラベースでの記憶媒体の暗号化を可能とする計算機システムに係るものである。計算機システムは、パリティグループに暗号化を設定し、パリティグループを構成するHDDに障害が生じると、HDDのホットスワップを実現する。そして、計算機システムは障害が発生したHDDがシステムから取り出され、新たなHDDが追加される際に、取り出されるHDDに割り当てられていた暗号鍵を滅却することで、HDDに格納されていたデータを自動でクリプトシュレディングする。
【００１７】
そして、計算機システムは、障害が発生した特定のHDDのデータ或いはパリティを、障害が発生したHDDと同一のパリティグループを構成する他のHDDからコレクションコピーして復元し、他のHDDにスペアディスクの復元データをコピーバックした後、当該スペアディスクに割り当てられていた暗号鍵をも滅却することで、当該スペアディスクに格納されていたデータを自動でクリプトシュレッティングする。
【００１８】
さらに、ストレージ装置は、次のホットスワップに備え、スペアディスク用の暗号鍵の生成をセキュリティ管理者に求める。
【００１９】
図１は計算機システムの構成を示すブロック図である。この計算機システム10000は、ホスト計算機40000、ストレージ装置20000、管理計算機30000、鍵管理サーバ80000を備えて構成される。ホスト計算機40000とストレージ装置20000はSAN(Storage Area Network)等の第一のネットワーク50000を介して接続される。管理計算機30000とストレージ装置20000及び管理計算機30000と鍵管理サーバ80000間とが各々第一、第二の管理ネットワーク60000、90000を介して接続されている。第一のネットワーク50000と第一、第二の管理ネットワーク60000、90000とは、同じネットワークであっても構わない。
【００２０】
ストレージ装置20000は、図２に示す通り、ホスト計算機I/F部(FEPK：FrontEnd PacKage)21000とメディアI/F部(BEPK：BackEnd PacKage)22000と制御部(MPPK：Micro Processor PacKage)23000と共有メモリ部(CMPK：Cache Memory PacKage)24000とを備え、これらは内部ネットワーク25000で互いに接続され、相互に通信が可能である。
【００２１】
FEPK21000は、複数のホスト計算機I/F21100を有し、第一のネットワーク50000でホスト計算機40000と接続されるとともに内部ネットワーク25000と接続されており、ホスト計算機40000とボリュームとの間におけるリードまたはライト処理対象のデータの受け渡しを仲介する。
【００２２】
BEPK22000は複数のメディアI/F22100を有し、ケーブルを介して物理記憶デバイス（HDD、フラッシュメモリ等の半導体メモリ等）22200と接続されると共に、内部ネットワーク25000と接続されており、内部ネットワーク側と物理記憶デバイス22200との間における読み出しまたは書き込み処理対象のデータの受け渡しを仲介する。
【００２３】
CMPK24000は、制御情報用メモリ(MEMORY FOR CONTROL)24100とデータキャッシュ用メモリ(CACHE MEMORY)24200を有し、情報制御用メモリ24100は処理に必要な情報、例えば制御情報や構成情報を格納し、そして、データキャッシュ用メモリ24200は、物理記憶デバイス22200に書き込むデータ、または、物理記憶デバイス22200から読み出したデータを一時的に格納(キャッシュ)する。制御情報用メモリ24100とデータキャッシュ用メモリ24200は揮発メモリ、例えば、DRAM(Dynamic Random Access Memory)であってもよい。
【００２４】
MPPK23000は複数のMicro Processor (MP)23100とLocal Memory(LM)23200とがバス23300で接続された構成を有しており、LM23200は制御情報用メモリ24100に格納されている制御情報の一部を格納している。MP23100は複数の同種の物理記憶デバイスの組で構成された論理記憶領域22210(以降、パリティグループと呼ぶ)を設定し、パリティグループ22210内の一部をボリューム22220として切り出し、ホスト計算機40000に提供する。
【００２５】
図３にMPPK23000内のLM23200の論理構成例を示す。鍵管理機能23210は鍵管理テーブル23250と鍵管理ポリシーテーブル23260を利用して、暗号鍵に関する種々の制御処理を実現する。すなわち、鍵管理機能23210はHDD管理機能23220から暗号鍵のHDDへの割り当て要求があると、鍵管理テーブル23250を参照し、HDDへ割り当ていない暗号鍵のIDをHDD管理機能に返す。そして、未割り当ての鍵がない場合は、鍵生成ポリシーテーブル23260を参照し、鍵生成ポリシーが内部生成であれば暗号鍵を生成して鍵管理テーブル23250に格納する。
【００２６】
HDD管理機能23220は、パリティグループ管理テーブル23230とHDD管理テーブル23240を参照して、HDD抜去時に当該HDDに暗号鍵が割り当てられている場合、鍵管理機能23210に当該暗号鍵の滅却を要求し、そして、ストレージ装置に新たに設置するHDDに新たに暗号鍵を割り当てることを要求する。
【００２７】
ストレージ制御機能23270は、HDDの設置スロットを監視し、HDDのストレージ装置に対する設置／抜去があると、HDD管理機能23220に通知する。
【００２８】
鍵管理機能23210、HDD管理機能23220、そして、ストレージ制御機能23270は、それぞれ、プログラムによって達成される。なお、これら機能が専用の集積回路によって達成されるようにしてもよい。
【００２９】
管理計算機30000は、図４に示す通り、管理I/F31000、メモリ32000、ディスク33000、そして、プロセッサ34000、さらに、図示しないが、入力装置、及び、出力装置を具備し、これらが内部ネットワーク35000で接続され、相互に通信が可能である。管理I/F31000は管理計算機30000を第一の管理ネットワーク60000、及び、第二の管理ネットワーク90000に接続するためのI/Fである。この管理I/F31000には、ＷＷＮ（World Wide Name）やＩＰ（Internet Protocol）アドレスなどの固有のネットワークアドレスが付与される。入力装置は、キーボード及びマウスなどから構成され、ユーザが各種操作を入力するために用いられる。また、出力装置はディスプレイやスピーカなどから構成され、プロセッサの制御の元にGUI(Graphical User Interface)や各種情報を表示する。
【００３０】
図５に管理計算機30000内のメモリ32000の論理構成例を示す。暗号化管理機能32100はユーザに鍵生成ポリシー設定用のGUI、パリティグループの暗号化設定用のGUI、そして、鍵インポート要求用のGUIを提供し、鍵管理サーバ80000から暗号鍵のインポートを実施する。
【００３１】
図６にHDD管理機能23220が参照するパリティグループ管理テーブル23230の構成例を示す。パリティグループ管理テーブル23230はストレージ装置20000内でパリティグループを一意に特定可能なIDとなるPG ID欄23231と、当該パリティグループを構成するHDDをグローバルに一意に特定可能なIDとなるHDD ID欄23233と、当該パリティグループのRAIDレベルを表すRAIDレベル欄23235と、当該パリティグループの暗号化設定の有無等の属性を表す暗号化設定欄23237とから構成されている。
【００３２】
図７にHDD管理機能23220が参照するHDD管理テーブル23240の構成例を示す。HDD管理テーブル23240はストレージ装置20000に設置されているHDDをグローバルに一意に特定可能なIDとなるHDD ID欄23241と、当該HDDのストレージ装置の筺体における設置場所を示す設置場所ID欄23245と、当該HDDの使用目的を表す使用目的欄23245と、当該HDDの稼働状況を示す稼働状況欄23247と、当該HDDに割り当てられている暗号鍵を装置内で一意に特定可能なIDとなるKEY ID欄23249とから構成されている。
【００３３】
図８にHDD管理機能23220が参照するホットスワップ管理テーブル23270の構成例を示す。ホットスワップ管理テーブル23270はパリティグループを構成するHDDに障害が起こりホットスワップを実施する際に、ホットスワップ元である前記障害の発生したHDDのHDD IDを格納するホットスワップ元HDD ID欄23271と、前記障害の発生したHDDに対してホットスワップを実施するスペアディスクのHDD IDを格納するホットスワップ先HDD ID欄23273と、前記障害が発生したHDDのスペアディスクへのリプレース処理を実施していることを示すリプレース処理中フラグ欄23275とから構成されている。
【００３４】
図９に鍵管理機能23210が参照する鍵管理テーブル23250の構成例を示す。鍵管理テーブル23250はストレージ装置内の暗号鍵を一意に識別可能なIDとなるKEY ID欄23251と、当該暗号鍵本体を表すKEY欄23253と、当該暗号鍵のステータスを表すステータス欄23255とから構成されている。ステータス欄23255の「Active Key」とは、暗号鍵が暗号化に使用されていることを意味し、「Reserved Key」とは、暗号鍵が未だ暗号化に使用されておらず、保存されている状態にあることを意味している。
【００３５】
次に、実施形態１における、ストレージ装置の暗号鍵の管理方法について説明する。最初に、それを概説すると次のとおりである。ストレージ装置の管理者が障害の起こった特定のHDDをストレージ装置から抜去する際、当該HDDに暗号鍵が割り当てられていると、ストレージ装置は、当該暗号鍵を滅却して、当該HDDに格納されているデータをクリプトシュレディング処理する。そして、新たにストレージ装置に設置したHDDにスペアディスクからデータのコピーバックを行う際に、当該スペアディスクに暗号鍵が割り当てられていた場合、コピーバック完了後に当該暗号鍵を滅却することで、当該スペアディスクに格納されているデータをクリプトシュレディングする。図１０乃至図１３に示すフローチャートに基づいて、暗号鍵の制御方法を詳しく説明する。
【００３６】
図１０において、HDD管理機能23220は、管理計算機30000の暗号化管理機能32100が提供するGUIを介してユーザからのHDDの設置場所IDを指定したHDD抜去要求を受け取ると、フローを開始する(F10000)。
【００３７】
前記HDD管理機能23220は、HDD抜去要求を解析して、HDD管理テーブル23240の設置場所ID欄を参照し、ユーザからのHDD抜去要求に含まれる設置場所IDと一致するHDDを特定する(F10010)。次いで、前記HDD管理機能23220は、当該HDDに障害が発生し、閉塞しているか否かを確認する(F10020：No)。
【００３８】
ステップF10020において、当該HDDが正常稼働していれば（F10020：Yes）、つまり、HDD管理テーブル23240の稼働状況欄23247に当該HDDが正常稼働していることを示す情報(図７では文字列“正常”)、 または、データ移行中スペアディスクであることを示す情報(図７では文字列“準備中”)が格納されていれば、前記HDD管理機能23220は、前記暗号化管理機能32100が提供するGUIを介してユーザに当該HDDの抜去不可を通知し(F10022)、フローチャートを終了する(F10050)。
【００３９】
一方、ステップF10020において、当該HDDが正常稼働していなければ、つまりHDD管理テーブル23240の稼働状況欄23247に当該HDDが正常に稼働しているものではないことを示す情報(図７では文字列“障害閉塞”、“未稼働”、“閉塞”)が格納されていれば、前記暗号化管理機能32100が提供するGUIを介して、当該HDDの設置場所IDと、抜去後に抜去確認入力要求を含む抜去許可をユーザに通知する(F10024)。
【００４０】
次に、HDD管理機能23220は、HDD管理テーブル23240を参照し、当該HDDに暗号鍵が割り当てられているか否かを判別する(F10030)。この判別は、HDD管理テーブル23240において、抜去対象HDDのIDに暗号鍵のIDが設定されているか否かによって可能になる。ステップF10030において、当該HDDに暗号鍵が割り当てられている場合（F10030:Yes）、鍵管理機能23210に当該鍵の滅却を要求し、鍵管理機能23210は、当該暗号鍵の滅却処理を実施する(F10040)。抜去対象HDDの暗号鍵の滅却処理については後述する。当該HDDに暗号鍵が割り当てられていない場合は、HDD管理機能23220はステップF10040を経ることなく、次のステップであるF10060に進む。なお、障害HDDの抜去許可通知前に当該HDDの暗号鍵がシュレッディングされてもよい。
【００４１】
ユーザがステップF10024において抜去許可された設置場所IDのHDDの抜去し、HDD管理機能23220が管理計算機30000の暗号化管理機能32100が提供するGUIを介して、ユーザから抜去確認通知を取得すると（F10060）、HDD管理機能23220はHDD管理テーブル23240の前記抜去対象HDDのKEY IDをKEY ID欄23249から取得し(HDDに暗号鍵が設定されている場合)、ホットスワップ管理テーブル23270の当該ホットスワップ元HDDのリプレース中フラグ欄23275に当該ホットスワップ元HDDがリプレース処理中であることを示す情報(図８では文字列“True”)を格納する(F10060)。
【００４２】
次に、図１０のフローチャートに続く図１１のフローチャートに示すように、前記HDD管理機能23220は前記暗号化管理機能32100が提供するGUIを介して、抜去されたHDDの設置場所IDを指定し、ここに新たなHDDの設置をする旨をユーザに要求し、ユーザが指定された設置場所に新たなHDDを設置したとの入力を行うと、この入力を確認する(F11010)。
【００４３】
次いで、HDD管理機能23220は、前記暗号化管理機能32100が提供するGUIを介して、前記抜去したHDDのデータやパリティを復元したスペアディスクから前記新HDDへのコピーバックの実施の要否の入力要求をユーザに通知し、ユーザからのコピーバックの実施の要求の有無をチェックする(F11020)。
【００４４】
HDD管理機能23220がステップF11020において、前記スペアディスクから前記新HDDへのコピーバックを実施しないこととした場合は（F11020：No）、当該新HDDを新たなスペアディスクとして(F11030)、HDD管理テーブル23240の使用目的欄23245に当該新HDDがスペアディスクであることを示す情報(図7では“Spare”)を格納し、抜去対象のHDDのデータが復元されたスペアディスクを通常のHDDとし、HDD管理テーブル23240の使用目的欄23245に当該スペアディスクが通常HDDであることを示す情報(図７では“Normal”)を格納する。
【００４５】
ステップF11020において、前記抜去したHDDのデータを復元したスペアディスクから前記新HDDへのコピーバックを実施することとした場合は（F11020：Yes）、HDD管理機能23220は、ホットスワップ管理テーブル23270を参照し、前記抜去したHDDのID(図８では文字列“True”が設定されている)に対応するホットスワップ先HDD ID欄23273に格納されているホットスワップ先HDD IDを取得する。
【００４６】
そして、HDD管理機能23220は、前記HDD管理テーブル23240のHDD ID欄23241が前記ホットスワップ先HDD IDと一致するHDDのKEY ID欄23249を参照し、前記スペアディスクに暗号鍵が割り当てられているか否かを判別する(F11040)。
【００４７】
ステップF11040において、スペアディスクに暗号鍵が割り当てられている場合（F11040:Yes）、つまり、HDD管理テーブル23240のKEY ID欄23249にKEY IDが格納されている場合は、前記新HDDへ暗号鍵割り当て処理を実施し(F11050)、前記スペアディスクから前記新HDDへのコピーバックを実施する(F11060)。
【００４８】
ステップF11040において、スペアディスクに暗号鍵が割り当てられていない場合（F11040:No）、つまりHDD管理テーブル23240のKEY ID欄23249にKEY IDが格納されていない場合は、HDD管理機能23220は、ステップF11050を経ることなく、スペアディスクから前記新HDDへのコピーバックを実施する(F11060)。なお、パリティグループに暗号化が設定されている場合、当該パリティグループに属するHDD用のスペアディスクには通常暗号鍵が割り当てられなければならない。
【００４９】
コピーバックが正常に完了すると、HDD管理機能23220は、当該スペアディスクに暗号鍵が割り当てられているか否かを再度判別し(F11070)、当該スペアディスクに暗号鍵が割り当てられていない場合は(F11070:No)、パリティグループ管理テーブル23230のHDD ID欄23233を新HDDのIDに更新し、そして、HDD管理テーブル23240の稼働状況欄23247に当該スペアディスクが未使用であることを示す情報(図７では文字列“未稼働”)を格納して(F11090)。フローチャートを終了する(F11110)。
【００５０】
ステップF11070において、当該スペアディスクに暗号鍵が割り当てられている場合は(F11070:Yes)、HDD管理機能23220がHDD管理テーブル23240のKEY ID欄23249から当該スペアディスクに割り当てられている鍵のKEY IDを特定し、鍵管理機能23210に前記KEY IDを指定し、当該暗号鍵の滅却を要求する。鍵管理機能23210は、コピーバックが完了すると、（スペア）ディスクの属性が変化したとして、（スペア）ディスクに暗号鍵が割り当てられている場合F11080のステップを開始して滅却要求を受けたKEY IDの暗号鍵を鍵管理テーブル23250から削除し、次いで、ステップF11090へ進む。
【００５１】
HDD管理機能23220は、スペアディスク用の暗号鍵の生成を必要とする場合には、後述のフローチャートで説明するように、管理計算機30000の暗号化管理機能32100が提供するGUIを介して鍵管理機能23210にこれを要求する。
【００５２】
HDDの抜去が要求されるのは、HDDを障害閉塞して当該HDDをホットスワップする際が主であるが、HDDのメンテナンスの場合でもHDDはストレージ装置から抜去されることがある。HDDのメンテナンス等非障害HDDに対する抜去をサポートしようとする場合でも、F10020、F10022のステップを経てHDDへのI/Oが停止される。
【００５３】
図１２は、スペアディスクへのコレクションコピーと抜去対象のHDDに割り当てられていた暗号鍵の滅却との実行タイミングを制御するフローチャートである。このフローチャートから分かるように、コレクションコピーが完了されるまで、抜去対象のHDDの暗号鍵を滅却することなく保持することを示している。
【００５４】
HDD管理機能23220は、ステップF10024で抜去許可されたHDDに暗号鍵が割り当てられていることを判定すると（F10030）、図１２のフローチャートを開始する(F10041)。なお、抜去対象HDDに暗号鍵が割り当てられていない場合には、前記HDD管理機能23220は、暗号鍵の滅却のタイミングとコレクションコピーとの進行をリンクさせる必要がないために、従前のコレクションコピーを実行する。
【００５５】
前記HDD管理機能23220はステップF10042からF10045で示されるLoop1において、コレクションコピーが完了するまで、F10046への進行を待機する。具体的には、前記HDD管理機能23220はコレクションコピー完了フラグをFalseとしてLoop1を開始し(F10042)、HDD管理テーブル23240の前記スペアディスクの稼働状況欄23247を参照し、コレクションコピーの完了を確認する(F10043)。ステップF10043において、コレクションコピーが未完了、つまりHDD管理テーブル23240の前記スペアディスクの稼働状況欄23247にコレクション中であることを示す情報(図７では文字列”準備中”)が格納されている場合は、ステップF10045に進み、Loop1を継続する。
【００５６】
ステップF10043において、コレクションコピーが完了、つまりHDD管理テーブル23240の前記スペアディスクの稼働状況欄23247に通常運用中であることを示す情報(図7では”正常”)が格納されている場合は、コレクションコピー完了フラグをTrueに変更する(F10044)。コレクションコピー完了フラグはLM23200に設定される。
【００５７】
HDD管理機能23220は、Loop1から抜けると、コレクションコピー完了フラグの成立（true）を確認した後、HDD管理テーブル23240の前記抜去許可したHDDのKEY ID欄23249からKEY IDを削除し、当該HDDへの暗号鍵の割り当てを解除し、当該KEY IDの暗号鍵の削除を鍵管理機能23210に要求する(F10046)。前記鍵管理機能23210は、鍵管理テーブル23250から前記KEY IDの鍵を削除し(F10047)、フローチャートを終了する(F10049)。
【００５８】
抜去されるHDDからの情報漏洩を防ぐためには，暗号鍵が直ちに滅却されて、クリプトシュレディングすることが最もセキュアではあるが、パリティグループのリビルド(コレクションコピー)が完了するまでにHDDの多重障害等が起こり，抜去するHDDからどうしてもデータを復元する必要がある際、暗号鍵が滅却されていると、抜去対象HDDからデータを読み出せてもそれを復号化できず、データロストにつながるおそれがある。そこで、図１２のフローチャートのように、障害が発生したHDDの抜去の許可後、コレクションコピーが完了するまでは当該HDDに割り当てられていた暗号鍵が保持されるようにした。
【００５９】
一方、ストレージ装置20000は、抜去されるHDDの暗号鍵をコレクションコピーの進行とは拘わりなく、自動的に滅却するようにもできるが、この場合でも、抜去対象のHDDの決定後、或いは、その抜去後一定時間は当該HDDの暗号鍵を滅却せず、その後暗号鍵を滅却する。保守員が誤って抜去すべきでないHDDを抜去してしまった際に、当該HDDの暗号鍵を即座に滅却してしまうと、当該HDDに格納されているデータをロストしてしまう。
【００６０】
図１３は、前記ステップF11050においてストレージ装置20000に新たに追加されたHDDへの暗号鍵の割り当て処理（F11050：図１１）の詳細を説明するフローチャートである。HDD管理機能23220は、F11020（図１１）が肯定判定され、そして、新たに設置したHDDに対するコピーバック元であるスペアディスクに暗号鍵が割り当てられていることを判定すると、フローチャートを開始する(F11051)。
【００６１】
HDD管理機能23220は、鍵管理機能23210に、新HDDに割り当てる暗号鍵を要求する(F11052)。鍵管理機能23210は、前記暗号鍵管理テーブル23250のステータス欄23255に当該暗号鍵がHDDへ未割り当て、換言すれば、未使用であることを示す情報(図９では文字列”Reserved Key”)が格納されている暗号鍵のKEY IDを当該暗号鍵のKEY ID欄23251から前記HDD管理機能23220から要求された数分を選択して、前記HDD管理機能23220に送付する(F11057)。なお、鍵管理機能23210は、暗号鍵のKEY IＤが不足する場合には、新たな暗号鍵を生成する。前記HDD管理機能23220は、前記鍵管理機能23210から受け取ったKEY IDを新たに設置したHDDのHDD管理テーブル23240の当該HDDのKEY ID欄23249に格納し(F11058)、フローチャートを終了する(F11059)。
【００６２】
なお、新HDDに対する暗号鍵の割り当ては、コピーバックの必要性が判断された場合に限らず、障害HDDが検出された際等で直ちに行われるようにしてもよい。
【００６３】
図１４は、暗号化管理機能からの抜去要求（障害HDDの抜去要求）によらずに、あるHDDをメンテナンス等でストレージ装置20000から抜去する際に、一定時間当該HDDに割り当てられていた暗号鍵を保持し、一定時間内に当該HDDが再設置されなければ当該鍵を滅却する処理を説明するフローチャートである。なお、障害HDDの抜去要求とは区別して、メンテナンス等のために、正常HDDに対する専用の抜去要求があってもよい。
【００６４】
HDD管理機能23220は、ストレージ制御機能23270から、HDDが抜去されたことを、或いは,HDDが抜去されることを通知されると、フローチャートを開始する(F12000)。前記HDD管理機能23220は、抜去されるHDDのHDD IDをHDD管理テーブル23240のHDD ID欄23241から取得し、図１０のステップF10024で抜去が許可されたHDDのHDD IDと比較する(F12010)。ステップF12010において、当該HDDのHDD IDが抜去許可したHDDのHDD IDと一致する場合は(F12010:Yes)、フローチャートを終了する(F12070)。
【００６５】
一方、ステップF12010において、HDD管理機能23220は、当該HDDのHDD IDが抜去許可したHDDのHDD IDと一致しないと判断すると(F12010:No)、HDD管理テーブル23240のKEY ID欄23249を参照し、当該HDDに暗号鍵が割り当てられているか否かを確認する(F12020)。
【００６６】
ステップF12020において、HDD管理機能23220は、当該HDDに暗号鍵が割り当てられていない、つまり、HDD管理テーブル23240のKEY ID欄23249にKEY IDが格納されていないと判断すると(F12020:No)、フローチャートを終了する(F12070)。
【００６７】
ステップF12020において、当該HDDに暗号鍵が割り当てられていると判断(F12020:Yes)、つまりHDD管理テーブル23240のKEY ID欄23249にKEY IDが格納されている場合は、ステップF12030へ進む。
【００６８】
ステップF12030からF12050までのLoop2において、HDD管理機能23220は、当該HDDがメンテナンス等によってその抜去から一定時間内にストレージ装置200020に再設置されるか否かを判別する(F12040)。HDD管理機能23220は、一定時間内に抜去されたHDDがストレージ装置20000に戻されると、設置されたHDDのHDD IDを前記抜去されたHDDのHDD IDと比較する。ストレージ装置に戻されたHDDのHDD IDが前記抜去されたHDDのHDD IDと一致する場合は(F12040:Yes)、HDD管理機能23220は、フローチャートを終了する(F12070)。
【００６９】
ステップF12040において、ストレージ装置に戻されたHDDのHDD IDと前記抜去されたHDDのHDD IDとが一致しない場合は、HDD管理機能23220は、HDD抜去から一定時間経過後、Loop2を終了し、HDD管理機能23220がHDD管理テーブル23240のKEY ID欄23249から当該新HDDに割り当てられている鍵のKEY IDを特定し、鍵管理機能23210に前記KEY IDを指定し、抜去されたHDDの暗号鍵の滅却を要求する(F12050)。
【００７０】
鍵管理機能23210は、滅却要求を受けたKEY IDの暗号鍵を鍵管理テーブル23250から削除し(F12060)、HDD管理機能23220がそれを確認すると、鍵管理機能23210は、フローチャートを終了する(F12070)。その際、 HDD管理機能23220は、抜去されたHDDに割り当てられていた暗号鍵を滅却することを、ストレージ装置20000の背面に設置したLED等により、ユーザに報知、警告する。暗号鍵の滅却までのカウントダウンをユーザに報知してもよい。暗号鍵の滅却を緊急停止するための、ユーザ入力手段を設けてもよい。
【００７１】
Loop２によって設定された時間の幅は、長すぎるとセキュア性が損なわれ、短すぎると、メンテナンス等の作業性が損なわれる。両者はトレードオフの関係にあるので、適宜最適な時間幅が予め決定される。ストレージ装置20000の管理者によって、時間幅が変更されるようにしてもよい。
【００７２】
実施形態２
実施形態２は、格納データの暗号化／復号化に外部鍵管理サーバで生成した暗号鍵をインポートして使用するストレージ装置に係り、特に、障害HDDのホットスワップが必要な際、ストレージ装置20000が外部鍵管理サーバとの通信障害により、暗号鍵をインポートできず、暗号鍵が不足することに備え、スペアディスク用の暗号鍵を事前に外部鍵管理サーバからストレージ装置にインポートしておき、当該暗号鍵が他用されることをガードする計算機システムに関するものである。以下、実施形態２を図１５乃至図１７に基づいて詳細に説明する。
【００７３】
図１５は、暗号化管理機能32000がパリティグループの暗号化設定を最初にオンにした際、同機能は、それと同時に、当該パリティグループを構成するHDDが故障されることに備えて、スペアディスクに割り当てるべき暗号鍵を事前に外部鍵管理サーバ80000からインポートする処理を説明するフローチャートである。なお、ストレージ装置に新たに追加されるHDDのために、暗号鍵が事前に準備されていてもよい。
【００７４】
管理計算機30000の暗号化管理機能32100は、GUIを介して、ユーザからパリティグループの暗号化設定をオンする要求を受け取ると、フローチャートを開始する(F20000)。前記暗号化管理機能32100は、鍵管理機能23210から、パリティグループ管理テーブル23230の暗号化設定要求に係るパリティグループのHDD ID欄23233に格納されているHDD ID数(xとする)を取得し(F20020)、HDD管理機能23220からHDD管理テーブル23240の使用目的欄23245にスペアディスクを表す情報(図７では文字列“Spare”)が格納されているHDD数(yとする)を取得すると(F20030)、鍵管理サーバ80000に、x+y個の暗号鍵の生成及び取得要求を送付する(F20040)。
【００７５】
前記暗号化管理機能32100は、鍵管理サーバからx+y個の暗号鍵の取得に失敗したことを判定すると (F20050:No)、GUIを介してユーザに当該パリティグループの暗号化設定のオンが不可である旨を通知し(F20060)、フローチャートを終了する(F20100) 。
【００７６】
ステップF20050を、x+y個の暗号鍵の取得に成功したと判定すると、前記鍵管理機能23210機能に当該暗号鍵を送付し(F20070)、前記鍵管理機能23210は受け取った暗号鍵を暗号鍵管理テーブル23250に格納し、ステータス欄23255に当該暗号鍵がHDDへ未割り当てであることを示す情報(図９では文字列“Reserved Key”)を格納する(F20080)。次いで、前記暗号化管理機能32100はHDD管理機能23220に前記ユーザ入力であるパリティグループの暗号化設定オン要求を送付し(F20090)、フローチャートを終了する(F20100)。
【００７７】
図１６は、ユーザから暗号化設定オンの要求のあったパリティグループを構成するHDDに暗号鍵を割り当てる処理を説明するフローチャートである。HDD管理機能23220は、暗号化管理機能32100からユーザ入力であるパリティグループの暗号化設定オン要求を受け取ると、フローチャートを開始する(F21000)。
【００７８】
前記HDD管理機能23220は、鍵管理機能23210から暗号鍵生成場所(図１９の暗号鍵生成ポリシーテーブル23260を参照)を取得する(F21010)。この時、鍵管理機能23210は、暗号鍵生成ポリシーテーブルの暗号鍵生成場所欄23261を参照し、暗号鍵生成場所を示す情報を暗号化管理機能32100に返す。
【００７９】
前記HDD管理機能23220が暗号鍵生成場所をストレージ装置内部であると判定すると(F21020:ストレージ装置内)、ステップF21060の下流へ進む。暗号鍵生成場所が鍵管理サーバであると判定すると(F21020:鍵管理サーバ)、前記ユーザ入力によって暗号化設定オン要求のあったパリティグループを構成するHDDをパリティグループ管理テーブル23230のHDD ID欄23233から特定し(F21030)、鍵管理機能23210に前記パリティグループを構成するHDD数の暗号鍵を要求する(F21040)。
【００８０】
なお、暗号鍵の生成場所がストレージ装置内である場合には、鍵管理機能23210が外部鍵管理サーバ80000にアクセスしないだけが相違するだけで、HDD管理機能23220がF21030〜F21060までのステップを実行することは、暗号鍵の生成場所が鍵管理サーバ80000である場合のフローと同じである。後述の図１７のフローチャートでも同様である。
【００８１】
鍵管理機能23210は、前記鍵管理テーブル23250のステータス欄23255にHDDへ未割り当てであることを示す情報(図９では文字列“Reserved Key”)が格納されている鍵のKEY IDを、前記HDD管理機能23220から要求された数分KEY ID欄23251に基づいて特定し、前記HDD管理機能23220に送付する(F21050)。
【００８２】
前記HDD管理機能23220は、前記鍵管理機能23210から受け取ったKEY IDを暗号化設定オン要求のあったパリティグループを構成するHDDに割り当て、即ち、当該HDDのKEY ID欄23249（HDD管理テーブル23240）に格納し(F21060)、フローチャートを終了する(F21070)。
【００８３】
図１７は、ストレージ装置20000が暗号鍵生成場所を鍵管理サーバとして運用中に、ユーザが暗号化管理機能32100にログインした際に、当該ストレージ装置に暗号化設定オンのパリティグループが存在し、そして、未割り当て状態にある暗号鍵の数が未使用状態にあるスペアディスク数より少ない場合に、暗号化管理機能32100が外部鍵管理サーバに暗号鍵のインポートを要求する処理を説明するフローチャートである。
【００８４】
暗号化管理機能32100は、ユーザのログインに基づいてフローチャートを開始する(F22000)。前記暗号化管理機能32100は、ストレージ装置20000のHDD管理機能23220から暗号化設定オンのパリティグループの有無を取得する(F22010)。この時、HDD管理機能23220は、パリティグループ管理テーブル23230の暗号化設定欄23237を参照し、暗号化設定オンであることを示す情報(図6では文字列“オン”)の有無を確認する。
【００８５】
ステップF22010において、暗号化設定オンのパリティグループが存在しない場合は、暗号化管理機能32100はフローチャートを終了する(F22080)。ステップF22010において、暗号化設定オンのパリティグループが存在する場合は、鍵管理機能23210は暗号鍵生成場所を取得する(F22020)。この時、鍵管理機能23210は、鍵生成ポリシーテーブル23260の暗号鍵生成場所欄23261を参照し、暗号鍵生成場所を示す情報を暗号化管理機能32100に返す。
【００８６】
ステップF22020において、暗号鍵生成場所がストレージ装置内部であった場合は、暗号化管理機能32100はフローチャートを終了する(F22080)。ステップF22020において、暗号鍵生成場所が鍵管理サーバであった場合は、前記暗号化管理機能32100はHDD管理機能23220から未使用スペアディスク数を取得する(F22030)。この時、HDD管理機能23220はHDD管理テーブル23240の使用目的欄23245に当該HDDがスペアディスクであることを示す情報(図７では文字列“Spare”)が格納されており、かつ稼働状況欄23247に当該HDDが未使用であることを示す情報(図７では文字列“未稼働”)が格納されているHDD数を算出し、暗号化管理機能32100に送付する。
【００８７】
次に前記暗号化管理機能32100は鍵管理機能23210から未割り当て鍵数を取得する(F22040)。この時、鍵管理機能23210は鍵管理テーブル23250のステータス欄23255に当該鍵がHDDへ未割り当てであることを示す情報(図９では文字列“Reserved Key”)が格納されている鍵数を算出し、暗号化管理機能32100に送付する。
【００８８】
前記暗号化管理機能32100は前記HDD管理機能23220から取得した未使用スペアディスク数と前記鍵管理機能23210から取得した未割り当て鍵数を比較する(F22050)。ステップF22050において、未使用スペアディスク数が未割り当て鍵数よりも少ない場合は、暗号化管理機能32100はフローチャートを終了する(F22080)。
【００８９】
ステップF22050において、未使用スペアディスク数が未割り当て鍵数よりも多い場合は、前記暗号化管理機能32100は、GUIを介し、未使用スペアディスク数から未割り当て鍵数を減算した数の暗号鍵のインポートを鍵管理サーバ80000に要求する(F22060)。ユーザが暗号鍵インポートを実施して、インポートした暗号鍵を鍵管理機能23210に送付し(F22070)、鍵管理機能23210が当該暗号鍵を鍵管理テーブル23250に格納すると、前記暗号化管理機能32100はフローチャートを終了する(F22080)。
【００９０】
実施形態３
実施形態３では、ユーザが暗号鍵管理ポリシーとして設定した格納データの暗号化／復号化に使用する暗号鍵の生成場所、スペアディスク用暗号鍵の事前生成要否、暗号鍵自動削除可否を設定し、その結果、暗号鍵管理機能23210が当該ポリシーに従い鍵の生成、削除を実施する。
【００９１】
図１８は、暗号化管理機能32100が提供する、暗号鍵生成ポリシー設定GUIの一例である。ユーザは、暗号鍵の生成場所をストレージ装置内部または外部鍵管理サーバから選択し、外部鍵管理サーバを選択した場合は、緊急に暗号鍵が必要となる事象、例えば、ホットスワップ時及びコピーバック時にストレージ装置内に未割り当ての暗号鍵が存在しなければ、暗号鍵の内部生成を許可するか否かを設定する。暗号鍵生成場所を外部鍵管理サーバとした場合は、当該外部鍵管理サーバのIPアドレスを設定し、また、スペアディスク用の暗号鍵を事前に生成するか否かを設定する。抜去したHDDに割り当てられていた暗号鍵およびコピーバック済みスペアディスクに割り当てられている暗号鍵の削除方法を自動削除またはユーザによる手動削除から選択する。
【００９２】
図１９は、鍵管理機能23210が参照する暗号鍵管理ポリシーテーブル23260の構成例である。暗号鍵管理ポリシーテーブル23260は暗号鍵の生成場所を示す情報を格納する暗号鍵生成場所欄23261とホットスワップ時及びコピーバック時にストレージ装置内部でHDDに割り当てられていない暗号鍵が存在しない場合の内部生成可否を示す情報を格納する鍵不足時暗号鍵内部生成可否欄23262と、暗号鍵の生成場所が鍵管理サーバであった場合、当該鍵管理サーバの接続情報を示すIP：Port欄23263と、スペアディスク用暗号鍵の事前生成要否を示す情報を格納するスペアディスク用暗号鍵事前生成要否欄23264と、抜去したHDDに割り当てられていた暗号鍵の自動削除可否を示す情報を格納する抜去HDD割り当て暗号鍵自動削除可否欄23265と、コピーバック済みスペアディスクに割り当てられている暗号鍵の自動削除可否を示す情報を格納するスペアディスク割り当て暗号鍵自動削除可否欄23266とから構成されている。
【００９３】
図２０は、鍵管理機能23210、がユーザによって指定された暗号鍵管理ポリシーに従い、HDD管理機能23220から暗号鍵設定要求があった際に暗号鍵を生成する処理を説明するフローチャートである。鍵管理機能23210は、HDD管理機能23220から、暗号鍵割り当て対象HDDの情報を含む暗号鍵生成要求を受け取ると、フローチャートを開始する(F30000)。ここで、暗号鍵割り当て対象HDDの情報は、暗号鍵を割り当てる対象のHDDがユーザから暗号化設定オン要求のあったパリティグループを構成するHDDであるか、暗号化設定オンのパリティグループを構成するHDDに障害が起こったためホットスワップを実施するスペアディスクであるか、又は、障害が発生したHDDのリプレースにより新たにストレージ装置2000に設置されたHDDであるかを判別する等の情報である。
【００９４】
前記鍵管理機能23210は、前記暗号鍵に関する要求を解析し、要求された暗号鍵数を取得する(F30010)。次に、鍵生成ポリシーテーブル23260のスペアディスク用暗号鍵事前生成要否欄23264を参照し、スペアディスク用暗号鍵の事前生成要否を判別する(F30020)。
【００９５】
ステップF30020において、鍵生成ポリシーテーブル23260のスペアディスク用暗号鍵事前生成要否欄23264にスペアディスク用暗号鍵の事前生成が否であることを示す情報(図１９では文字列“不要”)が格納されていた場合は(F30020:No)、前記鍵管理機能23210は、ステップF30010で判明した数の暗号鍵を生成するため、ステップF30050へ進む。
【００９６】
ステップF30020において、鍵生成ポリシーテーブル23260のスペアディスク用暗号鍵事前生成要否欄23264にスペアディスク用暗号鍵の事前生成が要であることを示す情報(図１９では文字列“要”)が格納されていた場合、前記鍵管理機能23210は前記HDD管理機能23220から未使用スペアディスク数を取得する(F30030)。
【００９７】
この時、前記HDD管理機能23220は、HDD管理テーブル23240の使用目的欄23245に当該HDDがスペアディスクであることを示す情報(図７では文字列“Spare”)が格納されており、かつ稼働状況欄23247に当該HDDが未使用であることを示す情報(図7では文字列“未稼働”)が格納されているHDD数(未使用スペアディスク数)を算出し、鍵管理機能23210に送付する。
【００９８】
前記鍵管理機能23210は、鍵管理テーブル23250のステータス欄23255に当該鍵がHDDへ未割り当てであることを示す情報(図９では文字列“Reserved Key”)が格納されている暗号鍵数から前記HDD管理機能23220から要求された暗号鍵数を減算した数(不使用未割り当て鍵数)と前記HDD管理機能23220から受け取った未使用スペアディスク数を比較する(F30040)。
【００９９】
ステップF30040において、未使用スペアディスク数が不使用未割り当て鍵数より少ない場合は(F30040:No)、鍵管理機能23210は、ステップF30080へ進む。ステップF30040において、未使用スペアディスク数が不使用未割り当て鍵数より多い場合(F30040:Yes)、鍵管理機能23210は、未使用スペアディスク数から不使用未割り当て鍵数を減算した数の暗号鍵を生成するため、鍵生成ポリシーテーブル23260の暗号鍵生成場所欄23261及び暗号鍵不足時暗号鍵内部生成可否欄23263を参照し、暗号鍵の生成場所を特定する(F30050)。
【０１００】
ステップF30050において、暗号鍵の生成場所が暗号鍵管理サーバ80000であり、かつ、鍵不足時内部生成不可、または、暗号鍵の生成場所が暗号鍵管理サーバ80000であり、かつ、当該暗号鍵を割り当てるHDDがユーザから暗号化設定オン要求のあったパリティグループを構成するHDDであった場合は（F30050:No）、鍵管理機能23210は、管理計算機30000の暗号化管理機能32100が提供するGUIを介して暗号鍵管理サーバ80000に暗号鍵のインポート要求を発行し(F30060)、ステップF30080に移行する。
【０１０１】
ステップF30050において、暗号鍵の生成場所がストレージ装置内部、または、暗号鍵を割り当てるHDDが暗号化設定オンのパリティグループを構成するHDDに障害が起こったためホットスワップを実施するスペアディスクであるか、障害が発生したHDDのリプレースにより新たに設置されたHDDであり、暗号鍵の生成場所が鍵管理サーバかつ鍵不足時内部生成可であった場合は(F30050:Yes)、暗号鍵管理機能23210は、ストレージ装置20000内で暗号鍵を生成し、当該暗号鍵を鍵管理テーブル23250のKEY欄23253に格納し、当該鍵のステータス欄23255にHDDへ未割り当てであることを示す情報(図９では文字列“Reserved Key”)を格納し(F30080)、処理を終了する(F30090)。
【０１０２】
図２１は、鍵管理機能23210が、ユーザが指定した暗号鍵管理ポリシーに従い、HDD管理機能23220から暗号鍵削除要求があった際に暗号鍵を削除する処理を説明するフローチャートである。
【０１０３】
鍵管理機能23210は、HDD管理機能23220から、KEY IDと当該鍵が割り当てられていたHDDが抜去されたHDDであるか、使用済みスペアディスクであるかを含む暗号鍵削除要求を受け取ると、フローチャートを開始する(F31000)。
【０１０４】
前記鍵管理機能23210は、当該暗号鍵が割り当てられていたHDD が抜去されたHDDである場合は、暗号鍵生成ポリシーテーブル23260の抜去HDD割り当て暗号鍵自動削除可否欄23265、当該鍵が割り当てられていたHDD が使用済みスペアディスクである場合は、暗号鍵生成ポリシーテーブル23260のスペアディスク割り当て暗号鍵自動削除可否欄23266を参照し、当該暗号鍵の自動削除可否を判別する(F31010)。
【０１０５】
ステップF31010において、暗号鍵自動削除可、つまり暗号鍵生成ポリシーテーブル23260の抜去HDD割り当て暗号鍵自動削除可否欄23265、及び／又は、スペアディスク割り当て暗号鍵自動削除可否欄23266に暗号鍵を自動で削除してよいことを示す情報(図２１では文字列“許可”)が格納されている場合は(F31010:Yes)、前記鍵管理機能23210は、当該暗号鍵を鍵管理テーブル23240から削除する(F31020)。
【０１０６】
ステップF31010において、暗号鍵自動削除不可、つまり暗号鍵生成ポリシーテーブル23260の抜去HDD割り当て暗号鍵自動削除可否欄23265、及び／又は、スペアディスク割り当て暗号鍵自動削除可否欄23266に暗号鍵を自動で削除してはいけないことを示す情報(図２１では文字列“不許可”)が格納されている場合は、前記鍵管理機能23210は、管理計算機30000の暗号化管理機能32100が提供するGUIを介してユーザに当該暗号鍵の削除要求を通知する(F31030)。ユーザが当該暗号鍵の削除を指示すると、前記鍵管理機能23210は、当該暗号鍵を鍵管理テーブル23240から削除する(F31020)。前記鍵管理機能23210は、暗号鍵を削除するとフローチャートを終了する。なお、暗号鍵の自動削除が好まれない場合とは、鍵のライフサイクルと手動で管理することを望むユーザがいる可能性がある場合である。また、抜去したHDDを再度設置して使用されようとしている場合である。
【０１０７】
図２２は、鍵管理機能23210から管理ユーザの管理端末に電子メール等によって告知される警告の一例の形態である。鍵管理機能23210がコレクションコピーの実施によって、既述のフローチャートの処理に基づいて、未使用スペアディスク用の未割当鍵が不足することを判定すると、この警告を管理ユーザに告知して管理ユーザに鍵管理サーバから暗号鍵のインポートを促し、データの秘密性の保護、データが喪失されることの回避を達成する。
【０１０８】
以上説明した実施形態によれば、格納データ暗号化機能を有するストレージ装置において、ホットスワップ実施後に、障害HDDの起こったHDDを抜去する際に、当該HDDに割り当てられていた暗号鍵を滅却することで、当該HDD内のデータを自動的にクリプトシュレディングし、新たなHDDを設置後、当該新HDDへのコピーバックの完了したスペアディスク内のデータを自動でクリプトシュレッティングし、次のホットスワップに備え、スペアディスク用の鍵生成をセキュリティ管理者に求める。そして、格納データの暗号化/復号化に外部鍵管理サーバで生成した暗号鍵をインポートして使用するストレージ装置において、ホットスワップ時に外部鍵管理サーバとの通信障害により、暗号鍵がインポートできず、暗号鍵が不足することに備え、スペアディスク用の暗号鍵を事前に外部鍵管理サーバからインポートし、当該暗号鍵が他用されることをガードする。
【０１０９】
既述の実施形態では、ストレージ装置のコントローラが暗号鍵をHDDに割り当てることとしたが、HDDが自己暗号化機能付きHDDである場合は、暗号鍵を認証鍵と読み替えることによって、既述の実施形態を自己暗号化機能付きHDDに適応することができる。
【符号の説明】
【０１１０】
10000：計算機システム
20000：ストレージ装置
30000：管理計算機
40000：ホスト計算機
80000：鍵管理サーバ
【図１】
2015508578.tif 000003
【図２】
2015508578.tif 000004
【図３】
2015508578.tif 000005
【図４】
2015508578.tif 000006
【図５】
2015508578.tif 000007
【図６】
2015508578.tif 000008
【図７】
2015508578.tif 000009
【図８】
2015508578.tif 000010
【図９】
2015508578.tif 000011
【図１０】
2015508578.tif 000012
【図１１】
2015508578.tif 000013
【図１２】
2015508578.tif 000014
【図１３】
2015508578.tif 000015
【図１４】
2015508578.tif 000016
【図１５】
2015508578.tif 000017
【図１６】
2015508578.tif 000018
【図１７】
2015508578.tif 000019
【図１８】
2015508578.tif 000020
【図１９】
2015508578.tif 000021
【図２０】
2015508578.tif 000022
【図２１】
2015508578.tif 000023
【図２２】
2015508578.tif 000024
【手続補正書】
【提出日】平成26年7月1日(2014.7.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
計算機システムであって、
複数の記憶媒体と、
ホスト計算機に対するインターフェースを構成する第１の回路と、
前記複数の記憶媒体に対するインターフェースを構成する第２の回路と、
コントローラと、
を備え、
前記コントローラは、
前記複数の記憶媒体夫々に鍵情報を割り当て、
前記ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、
当該パリティ及び前記複数の分割データを前記複数の記憶媒体に暗号化して分散格納し、
前記複数の記憶媒体の中から取り除く対象として特定の記憶媒体を決定し、
当該特定の記憶媒体に格納されている前記パリティ又は分割データを予備の記憶媒体に格納し、
前記特定の記憶媒体の取り除きを許可した後、かつ前記計算機システムから前記特定の記憶媒体を取り除く前に、取り除くと決定された前記特定の記憶媒体に割り当てられている前記鍵情報を削除する、
計算機システム。
【請求項２】
前記コントローラは、
前記予備の記憶媒体に鍵情報を割当て、
前記複数の記憶媒体以外の他の記憶媒体に鍵情報を割当て、前記予備の記憶媒体に復元されている前記パリティ又は分割データを、当該鍵情報が割当てられる他の記憶媒体に移行し、
前記パリティ又は分割データの移行が完了すると、前記予備の記憶媒体に割り当てられた前記鍵情報を削除する、請求項１記載の計算機システム。
【請求項３】
前記コントローラは、前記予備の記憶媒体に前記特定の記憶媒体の前記分割データ又はパリティが復元されようとする以前に、前記予備の記憶媒体に割当てられる鍵情報を形成する、請求項１記載の計算機システム。
【請求項４】
前記コントローラは、前記鍵情報を鍵管理サーバから予めインポートすることによって形成しておく、請求項１記載の計算機システム。
【請求項５】
計算機システムであって、
複数の記憶媒体と、
ホスト計算機に対するインターフェースを構成する第１の回路と、
前記複数の記憶媒体に対するインターフェースを構成する第２の回路と、
コントローラと、
を備え、
前記コントローラは、
前記複数の記憶媒体夫々に鍵情報を割り当て、
前記ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、
当該パリティ及び前記複数の分割データを前記複数の記憶媒体に暗号化して分散格納し、
前記複数の記憶媒体の中から特定の記憶媒体を決定し、
前記計算機システムから前記特定の記憶媒体を移動することを許可し、
前記取り除かれた特定の記憶媒体が、取り除かれた後の所定期間中に前記計算機システムに再インストールされない場合、前記コントローラは、前記所定期間後に記憶領域から取り除かれた前記記憶媒体の前記鍵情報を削除し、
前記取り除かれた特定の記憶媒体が、取り除かれた後の前記所定期間中に前記計算機システムに再インストールされた場合、前記コントローラは、前記記憶媒体に割り当てられた前記鍵情報を維持する、計算機システム。
【請求項６】
前記コントローラは、前記記憶媒体の前記鍵情報を削除する際、その削除前に、管理者に、前記鍵情報を削除することを報知する、請求項５記載の計算機システム。
【請求項７】
前記コントローラは、
パリティグループに対する暗号化を設定する際、前記予備の記憶媒体に割り当てられる鍵情報を前記鍵管理サーバから取得し、
当該取得した鍵情報を前記予備の記憶媒体に割当てる、請求項５記載の計算機システム。
【請求項８】
前記コントローラは、
管理者から暗号化の設定が要求された前記パリティグループを構成する前記記憶媒体の数を取得し、
前記暗号化の設定が要求された前記パリティグループに対する予備の記憶媒体の数を取得し、
前記パリティグループを構成する前記記憶媒体の数と前記予備の記憶媒体の数との合計数分の前記情報鍵を前記鍵管理サーバに要求し、
前記鍵管理サーバから取得した鍵情報を、前記パリティグループを構成する前記記憶媒体と前記予備の記憶媒体に割当てる、請求項７記載の計算機システム。
【請求項９】
前記特定の記憶媒体の分割データ又はパリティが復元されていない前記予備の記憶媒体を一つ以上有し、
前記コントローラは、
前記記憶媒体に割り当てられていない前記鍵情報を有し、
当該鍵情報の数と前記特定の記憶媒体の分割データ又はパリティが復元されていない前記予備の記憶媒体の数とを比較し、
後者が前者以下の場合、前記鍵管理サーバに鍵情報を要求する、請求項４記載の計算機システム。
【請求項１０】
前記コントローラは、前記鍵情報を管理するためのポリシーを設定し、設定されたポリシーにしたがって前記複数の記憶媒体及び前記予備の記憶媒体に前記鍵情報を割り当てる請求項１記載の計算機システム。
【請求項１１】
前記コントローラは、前記鍵情報を当該コントローラが生成するかどうか、及び／又は、鍵管理サーバから取得されたかどうかの管理情報と、記予備の記憶媒体に割当てようとしている鍵情報が前記コントローラに存在しないという条件で、当該鍵情報を当該コントローラが生成することを許可するか否かの管理情報を前記ポリシーに含ませる、請求項１０記載の計算機システム。
【請求項１２】
前記コントローラは、前記特定の記憶媒体の分割データ又はパリティが前記予備の記憶媒体に再現される前に、当該予備の記憶媒体に割り当てられる前記鍵情報を形成するか否かを前記ポリシーに含ませる、請求項１０記載の計算機システム。
【請求項１３】
前記コントローラは、前記予備の記憶媒体に割り当てられる前記鍵情報を形成することを前記ポリシーに含ませると共に、当該鍵情報が前記コントローラに形成されていない場合、鍵管理サーバから当該鍵情報を取得する、請求項１２記載の計算機システム。
【請求項１４】
前記コントローラは、前記特定の記憶媒体及び／又は前記予備の記憶媒体に割り当てられた前記鍵情報の削除に関する情報を前記ポリシーに含ませる、請求項１０記載の計算機システム。
【請求項１５】
前記コントローラは、
前記特定の記憶媒体及び／又は前記予備の記憶媒体に割り当てられた前記鍵情報の自動削除の可否を前記ポリシーに含ませ、
前記鍵情報の自動削除が否の場合、管理者に当該鍵情報を手動での削除が必要である旨報知する、請求項１４記載の計算機システム。
【請求項１６】
計算機システムの制御方法であって、
計算機システムは、
ホスト計算機からのデータを複数の分割データに分割すると共に当該複数の分割データに基づいてパリティを生成し、
複数の記憶媒体夫々に鍵情報を割り当て、
前記パリティ及び複数の分割データを前記複数の記憶媒体に暗号化して分散格納し、
前記複数の記憶媒体に属する特定の記憶媒体に格納されている前記パリティ又は分割データを予備の記憶媒体に復元する際、前記複数の記憶媒体の中から取り除く対象として前記特定の記憶媒体を決定し、前記特定の記憶媒体以外の前記複数の記憶媒体に基づいて、前記特定の記憶媒体に格納されている前記パリティ又は分割データを前記予備の記憶媒体に格納し、前記特定の記憶媒体の取り除きを許可した後、かつ前記計算システムから前記特定の記憶媒体を取り除く前に、取り除くと決定された前記特定の記憶媒体に割り当てられている前記鍵情報を削除する、
計算機システムの制御方法。
【国際調査報告】
2015508578.tif 000025
2015508578.tif 000026
2015508578.tif 000027