(57)【特許請求の範囲】
【請求項１】
上位装置と接続されてデータの授受を行なう制御手段、前記データの格納を行なう記憶手段、を有するプライマリディスクサブシステム群からなるメインセンターを備え、
前記プライマリディスクサブシステム群と離隔した場所に配置されて前記プライマリディスクサブシステム群から転送される暗号化されたデータを受け取る制御手段、前記転送されたデータの格納を行なう記憶手段、を有するセカンダリディスクサブシステム群からなるリモートセンターを備え、
前記プライマリディスクサブシステム群は、データの書込処理の実行中に暗号化したデータ転送の暗号鍵を更新するタイミングであるか否かを判断し、更新タイミングであれば、前記暗号鍵を更新するとともに前記更新した暗号鍵に順序番号を付加して前記セカンダリサブシステム群に転送し、順序番号の付加された転送データと対応付けする
ことを特徴とするリモートコピーのコンピュータシステム。
【請求項２】
請求項１に記載のリモートコピーのコンピュータシステムにおいて、
前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群に暗号化して転送されたデータを、復号することなく前記リモートセンターの記憶手段に保存し、災害回復のタイミングで復号する
ことを特徴とするリモートコピーのコンピュータシステム。
【請求項３】
請求項２に記載のリモートコピーのコンピュータシステムにおいて、
前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群にデータを暗号化して転送する際に、前記暗号鍵を前記リモートセンターとは別地に配置された他のリモートセンターにリモートコピーして保存し、災害回復のタイミングで前記他のリモートセンターに保存された暗号鍵を使用してデータ復号する
ことを特徴とするリモートコピーのコンピュータシステム。
【請求項４】
請求項２に記載のリモートコピーのコンピュータシステムにおいて、
前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群に暗号化して転送されたデータを復号する際に、前記データに関するレコードの特定部分を捜索した場合にのみ復号する
ことを特徴とするリモートコピーの暗号化システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コンピュータシステムのデータを格納する外部記憶装置及びこれらの統合システムに関し、特に、複数の外部記憶装置（サブシステム群）と遠隔地に存在する他の複数の外部記憶装置（サブシステム群）とを相互に接続し、遠隔地に存在する外部記憶装置（サブシステム群）の間でデータを二重化するリモートコピー技術において、データを暗号化して転送する技術に関する。
【０００２】
【従来の技術】
地震等の天災の際のデータのバックアップを考慮すれば、ホストコンピュータ（上位装置）とサブシステム等から構成されるセンターにおいて、メインセンターとリモートセンターは数１００ｋｍ程度、分離する必要がある。ここで、サブシステムとは、上位装置に対して情報の授受を行なう制御部と、情報の格納を行なうディスク装置等を内蔵する記憶装置を言う（記憶装置がディスク装置の場合はディスクサブシステムと称する）ものである。このため、メインセンターとリモートセンターにそれぞれ設置されているサブシステムの間で、データを二重化して保有する、いわゆる、リモートコピー機能を採用した外部記憶システムが、既にいくつか実用化されている。
【０００３】
リモートコピー機能は、同期形と非同期形の２種類に大別される。同期形とはメインセンター内のホストコンピュータ（上位装置）からメインセンター内のサブシステムに、データの更新(書き込み)指示が有った場合、その指示対象がリモートコピー機能の対象でもあるときは、そのリモートコピー機能の対象であるリモートセンターにおけるサブシステムに対して、指示された更新（書き込み）が終了してから、メインセンターの上位装置に更新処理の完了を報告する処理手順をいう。この場合、メインセンターとリモートセンターとの地理的距離に応じて、この間に介在するデータ伝送線路の能力の影響を受け、時間遅れ（伝送時間等）が発生する。
【０００４】
これに対して、非同期形とは、メインセンター内の上位装置からサブシステムにデータの更新(書き込み)指示が有った場合、その指示対象がリモートコピー機能の対象であっても、メインセンター内のサブシステムの更新処理が終わり次第、上位装置に対して更新処理の完了を報告し、リモートセンターのサブシステムにおけるデータの更新（反映）はメインセンターにおける処理とは非同期に実行する処理手順をいう。このためメインセンター内部で必要とされる処理時間でデータ更新が終了するので、リモートセンターへのデータの格納に起因する伝送時間等はかからない。
【０００５】
非同期形は、リモートセンターのサブシステムの内容が、メインセンター側のそれに対して、常に一致しているわけではない。このため、メインセンターが災害等により機能を失った場合は、リモートセンター側にデータの反映が完了していないデータが消失することとなる。しかし、メインセンター側のサブシステムのアクセス性能を、リモートコピー機能を実施しない場合と同等レベルとすることが出来る。
【０００６】
これらのリモートコピー機能を遠隔地間で高性能かつ廉価に実現するには、非同期形を使用することになる。この場合、メイン側からリモート側へデータを転送（コピー）する伝送路として公衆通信回線を使用することになるため、以下に記述するような、情報の漏洩防止が重要な課題となる。
【０００７】
「暗号化したデータ転送について」
公衆通信回線を経由したデータ転送を行なう場合、情報の漏洩防止のため、暗号化したデータ転送が行なわれており、これをリモートコピーに適用することが考えられる。この場合、メインセンターのプライマリディスクサブシステム群とリモートセンターのセカンダリディスクサブシステム群との間で暗号化したデータ転送を行なう事になる。リモートコピーにおいては、長期間にわたってデータ転送を行なう為、高いデータ転送性能と高い暗号強度を両立させなければならない。
【０００８】
「通信路における暗号化したデータ転送について」
ネットワーク経由でデ―タを通信する２台以上のコンピュータを備えたデ―タ通信システムにおいて、自己のコンピュータのアプリケーションプログラムが他方のコンピュータのアプリケーションプログラムに対して、データを暗号化して送信する方式がある。この方式の具体的開示は、例えば「暗号化デ―タ通信システム」として、特開平９−１３９７３５号公報に詳細になされている。前記「暗号化デ―タ通信システム」においては、２台のコンピュータ上で、それぞれ中継サービスプログラムを動作させておき、この中継サービスでデータを暗号化してネットワーク経由で送受信することにより通信路における暗号化したデータ転送を実現している。
【０００９】
【発明が解決しようとする課題】
従来技術（暗号化デ―タ通信システム）により、通信路における暗号化したデータ転送の機能が実現出来る。しかし従来技術では、長期間にわたってデータ転送を行なう場合、同一の暗号鍵を長時間更新することなく用いているので、暗号鍵が悪意に解読されデータが盗まれる虞があった。また、暗号鍵を更新するにしてもオフラインで通知していたので、データ転送性能が悪くなっていた。即ち、従来技術では、高いデータ転送性能と高い暗号強度との両立が考慮されていない。
【００１０】
本発明の目的は、リモートコピーにおいて、高いデータ転送性能と高い暗号強度とを両立させるために、転送するデータを暗号化する暗号鍵の更新のタイミングを規定するとともに、更新された暗号鍵と転送されるデータの対応付けを行うリモートコピーのコンピュータシステムを提供することにある。
【００１１】
【課題を解決するための手段】
前記課題を解決するために、本発明は主として次のような構成を採用する。
【００１２】
上位装置と接続されてデータの授受を行なう制御手段、前記データの格納を行なう記憶手段、を有するプライマリディスクサブシステム群からなるメインセンターを備え、
前記プライマリディスクサブシステム群と離隔した場所に配置されて前記プライマリディスクサブシステム群から転送される暗号化されたデータを受け取る制御手段、前記転送されたデータの格納を行なう記憶手段、を有するセカンダリディスクサブシステム群からなるリモートセンターを備え、
前記プライマリディスクサブシステム群は、データの書込処理の実行中に暗号化したデータ転送の暗号鍵を更新するタイミングであるか否かを判断し、更新タイミングであれば、前記暗号鍵を更新するとともに前記更新した暗号鍵に順序番号を付加して前記セカンダリサブシステム群に転送し、順序番号の付加された転送データと対応付けするリモートコピーのコンピュータシステム。
【００１３】
前記リモートコピーのコンピュータシステムにおいて、前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群に暗号化して転送されたデータを、復号することなく前記リモートセンターの記憶手段に保存し、災害回復のタイミングで復号するリモートコピーのコンピュータシステム。
【００１４】
前記リモートコピーのコンピュータシステムにおいて、前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群にデータを暗号化して転送する際に、前記暗号鍵を前記リモートセンターとは別地に配置された他のリモートセンターにリモートコピーして保存し、災害回復のタイミングで前記他のリモートセンターに保存された暗号鍵を使用してデータ復号するリモートコピーのコンピュータシステム。また、前記リモートコピーのコンピュータシステムにおいて、前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群に暗号化して転送されたデータを復号する際に、前記データに関するレコードの特定部分を捜索した場合にのみ復号するリモートコピーの暗号化システム。
【００１５】
【発明の実施の形態】
本発明の実施形態に係るリモートコピーのコンピュータシステムについて図面を用いて以下説明する。図１は本発明の実施形態に係るリモートコピーのコンピュータシステムの全体構成を示す図であり、図３は本実施形態に関するメインセンターのプライマリディスクサブシステムの具体的構成を示す図である。
【００１６】
図１に、コンピュータシステムを装備した複数のデータセンターにおいて、任意の２つのセンター間で情報（データ）の二重化を行なうため、本発明の一実施形態を適用したときの構成例を示す。
【００１７】
メインセンター９側の一台又は複数台のディスクサブシステム３（３−１、３−２、…、３−ｎ）と、リモートセンター１０側の一台又は複数台のディスクサブシステム７（７−１、７−２、…、７−ｎ）は、上位装置（ホストコンピュータ）１、８を介さずに接続され、両センター間でデータの二重化を行なうリモートコピーシステムを実現している。上位装置を介さないディスクサブシステムの接続としては、例えば、ＳＡＮ（Ｓｔｏｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）が挙げられる。図３にメインセンター９のディスクサブシステム３の構成例を示す。
【００１８】
図１のメインセンター９において、データ処理を行なう中央処理装置（ＣＰＵ）を持つ上位装置１は、伝送経路であるインタフェースケーブル２を介して、プライマリディスクサブシステム３−１、３−２、………３−ｎに接続されている。
【００１９】
プライマリディスクサブシステム３−１、３−２、………３−ｎは、図３に示すように、上位装置１からのデータ（情報を含む）授受を行なうインタフェース制御部２１と、上位装置１から参照又は更新されるデータ及びリモートコピーが一次停止中の更新データの格納位置に関する情報を格納するデータバッファ２２と、このデータを記録する記録媒体としての磁気ディスクドライブ２３と、これらのデータのやり取りを制御するマイクロプロセッサ２４と、これらの各要素を制御するディスクアレイサブシステム制御部２５と、を備える。なお、インタフェース制御部２１はリモートセンター１０との間でデータ授受を行うインタフェースでもある。
【００２０】
また、プライマリディスクサブシステム３−１は、上述した構成要素群に加えて、リモートコピーをどのような設定にて行なうかをユーザが設定するコンソール２６と、コンソール２６により設定された制御情報により現在のリモートコピー状況を表わす制御ビットを格納するリモートコピー制御情報格納部２７と、を備える。
【００２１】
メインセンター９のプライマリディスクサブシステム３−１は、インタフェースケーブル４−１を介してリモートセンター１０のセカンダリディスクサブシステム７−１と接続される。同様に、プライマリディスクサブシステム３−２は、インタフェースケーブル４−２を介して、セカンダリディスクサブシステム７−２と接続され、プライマリディスクサブシステム３−ｎは、インタフェースケーブル４−ｎを介して、リモートセンタのセカンダリディスクサブシステム７−ｎと接続される構成をとる。
【００２２】
なお、インタフェースケーブル４−１、４−２、………４−ｎは、回線接続装置等を利用して一般の公衆通信回線と接続することも可能である。本構成例ではこの点も含めてインタフェースケーブル４−１〜４−ｎとして記述する。
【００２３】
また、ディスクサブシステム３が複数台有る場合には、ディスクサブシステム３−１は、メインセンター９内でリモートコピー対象のデータが格納されるディスクサブシステム３−１以外のディスクサブシステム３−２、………３−ｎとインタフェースケーブル５を介して接続されている。この様に、メインセンター９側ではリモートコピー対象のデータが格納されるディスクサブシステム３−１について、プライマリディスクサブシステム群３全体がインタフェースケーブル５で接続される構成をとる。
【００２４】
プライマリディスクサブシステム群３は、上位装置１がプライマリディスクサブシステム群３にデータの書込要求を発行すると、これに同期して当該データを自己のサブシステム内のデータバッファ２２に書き込み、更に自己のサブシステム内のデータバッファ２２にデータが書き込まれたこととは非同期に、遠隔地に存在するセカンダリディスクサブシステム群７に対して、データの書込指示を行なうディスクサブシステム群である。自己のサブシステム内のデータバッファ２２に書き込まれた当該データは、同期或いは非同期にて磁気ディスクドライブ２３に記録される。
【００２５】
遠隔地に非同期形でデータを書込むリモートコピーの方法として、メインセンター９のプライマリディスクサブシステム群３は、自己のサブシステム内のボリュームが更新された順番に従い、自サブシステムが接続されているリモートセンター１０のセカンダリディスクサブシステム群７に更新データを転送して、リモートセンター１０のセカンダリディスクサブシステム群７は受取った順番に従い、更新データを自己のサブシステム内のボリュームに反映するモードと、メインセンター９側が自己のサブシステム内のボリュームが更新された順番によらずにプライマリディスクサブシステム群３で最適にスケジューリングされた契機で転送対象のデータを纏めて転送して、リモートセンター１０のセカンダリディスクサブシステム群７は受取った順番に関係なく更新データを更新された順番で自己のサブシステム内のボリュームに反映するモードと、を保有する。
【００２６】
セカンダリディスクサブシステム群７は、インタフェースケーブル４により接続されたプライマリディスクサブシステム群３からインタフェース制御部２１経由で受取ったデータを自サブシステム内のデータバッファ２２に格納する。
【００２７】
つまり、上位装置１から一台または複数台のディスクサブシステム３−１、３−２、………３−ｎに対しデータの書き込み指示があった場合には、リモートセンター１０内の一台または複数台のディスクサブシステム７−１、７−２、………７−ｎにも同じデータが格納されるシステム構成を示している。図１の矢印は、上位装置１から書き込み指示のあったデータの流れを示している。
【００２８】
なお、プライマリディスクサブシステム群３は、リモートコピーにおける暗号化の状態を表わす制御ビットをリモートコピー制御情報格納部２７内に持っており、予めシステム運用者により設定された契機もしくは不定期間隔の契機もしくは任意の時点でのシステム運用者による指示に基づき、この制御ビットの情報を変更することによってリモートコピーを一時停止状態にすることができる。なお、本発明の一実施形態では、この一時停止状態に、更新した暗号鍵をプライマリ側からセカンダリ側へ通知することになる（詳細は後述）。リモートコピーが一時停止のときは、プライマリディスクサブシステム群３はセカンダリディスクサブシステム群７への更新データの書き込み指示の発行は行なわずに保留する。
【００２９】
ここで、プライマリディスクサブシステム３−１のリモートコピー制御情報格納部には、前記セカンダリディスクサブシステム群にデータをリモートコピーする際に暗号化してデータ転送するか否かを規定した制御情報を格納しても良い。前記制御情報が暗号化してデータ転送すると規定している場合にデータの暗号化を行なってデータ転送すると共に、一方、前記セカンダリディスクサブシステム群では、前記プライマリディスクサブシステム群の前記制御情報を確認し、前記制御情報が暗号化してデータ転送するとなっている場合に転送されたデータに対して暗号化に適応した処理を行なうことで（例えば、暗号鍵を用いて転送データを復号するように対処すること）、メインセンターからリモートセンターへコピーされたデータの整合性を取ることができる。
【００３０】
本発明では、このようにリモートコピーを一時停止させ、この間に更新した暗号鍵をリモートセンターへ通知することによりメインセンター９側のデータとリモートセンター１０側のデータとで使用される暗号鍵の整合性を取ることが出来るので、上位装置の介在無しでリモートコピーの暗号鍵の更新を実現することが出来る。このためメインフレームだけでなくオープン系のシステムであっても、同様の機能を実現することが出来る。
【００３１】
また、プライマリディスクサブシステム群３は、予めシステム運用者により設定された契機もしくは不定期間隔の契機もしくは任意の時点でのシステム運用者による指示に基づき、上記一時停止状態を解除することが出来る。
【００３２】
一時停止状態が解除されると、プライマリディスクサブシステム群３は、上位装置１からプライマリディスクサブシステム群３へデータの書込要求が発行された場合は、これに同期して当該データを自己のサブシステム内のデータバッファ２２に書き込み、更に、自己のサブシステム内のデータバッファ２２にデータが書き込まれたこととは非同期に、遠隔地に存在するセカンダリディスクサブシステム群７に対してデータの書込指示を行なう。そして、実際にリモートセンターへデータを転送する際に更新した暗号鍵を用いる。
【００３３】
このような構成とする事により、メインセンター９内のリモートコピー対象のプライマリディスクサブシステム群３のボリュームと、リモートセンター１０内のセカンダリディスクサブシステム群７のボリュームとにおいて、同一のタイミングで暗号鍵の更新が出来る。さらに、プライマリディスクサブシステム群３においてリモートコピーが一時停止状態となっている間は、プライマリディスクサブシステム群３が一時停止状態となった時点のメインセンタ９のプライマリディスクサブシステム群３のデータの状態と、リモートセンター１０のセカンダリディスクサブシステム群７でのデータの状態とが一致している。即ち当該時点で２センター間で一貫性が保証されたデータの状態が保証・維持される。
【００３４】
なお、リモートコピーの一時停止や一時停止の解除は、リモートコピーのボリュームペア単位に設定出来る。複数のボリュームペアを一つのボリュームグループに設定して、ボリュームグループ単位に状態を変化させることも可能である。そして、一時停止や一時停止解除を何れかのサブシステム３，７や上位装置１，８のコンソール、或いはこれらのシステムを管理する際に使用するモニターに表示することによって、ユーザはリモートコピーが現在行なわれているか否か、またどのような単位でリモートコピーが行われているかを認識する事が出来る。
【００３５】
このリモートコピーの一時停止及び一時停止解除の間隔はユーザの任意に設定する事が可能である。ここではリモートコピーの転送データの傍受による暗号解読の危険性の高まりに要する時間を周期として、メインセンター９からリモートセンター１０へのリモートコピーを行い、ここで一時停止して、更新された暗号鍵を送信して、その後に一時停止を解除して、再びリモートコピーを行なうというサイクルを挙げておく。勿論、この例に囚われずに一時停止及び一時停止解除の間隔を設定しても良い。
【００３６】
上位装置８は、リモートセンター１０においてセカンダリディスクサブシステム群７とインタフェースケーブル６によって接続され、セカンダリディスクサブシステム群７に対して、参照及び更新を行なう中央処理装置である。上位装置８は、メインセンター９の上位装置１が災害や故障等により本来の機能を果たせなくなった場合に、上位装置１の代替となって処理を行なうことが出来る。このほか、セカンダリディスクサブシステム群７に格納されているデータを使用して、メインセンター９の上位装置１とは異なる処理を、上位装置１とは別個独立に実行することが出来るものである。
【００３７】
但し、上位装置８がセカンダリディスクサブシステム群７に対して処理を行なわない場合や上位装置１の代替機能を備えない場合には、上位装置８は不要である。逆に、上位装置８を備え、ディスクサブシステム７−１を他のディスクサブシステム７−２〜７−ｎとインタフェースケーブル１１で接続し、メインセンター９のプライマリディスクサブシステム群３と同様の構成とすることで図１のメインセンター９をリモートセンターとして、リモートセンター１０をメインセンターとして機能させることも可能である。
【００３８】
本発明の実施形態として、データの二重化方法と運用を図２を用いて説明する。
【００３９】
二重化の対象となるデータが格納されたファイルやボリューム、ディスクサブシステム３は、事前に運用者が二重化つまりリモートコピーの必要に応じて選択する。そして、対象ファイルや対象ボリューム及びディスクサブシステム３と、選択したデータの複製を格納するファイルやボリューム及びディスクサブシステム７との関係や、二重化する際に更新順序の整合性を常時保持する必要が有るか否かを、予め運用者が上位装置１或いはコンソール２６等からプライマリディスクサブシステム３−１内のリモートコピー制御情報格納部２７に対し設定しておく。
【００４０】
また、プライマリディスクサブシステム３−１については、リモートコピーを一時停止させる契機並びに一時停止を解除する契機を設定する。契機の設定は、上位装置１から指示できるため、運用の自動化を支援する上位装置１のプログラムにより上位装置１からの指示契機を予めスケジューリングしておくことが可能である。
【００４１】
上記の選択、設定に際し、専用のコンソール２６を接続又は装備できるディスクサブシステム３の場合には、上位装置１を利用せず、そのコンソール２６を通じて設定できる。本例では、上位装置１を利用せず、プライマリディスクサブシステム群３内部で保有する時間値を利用して、予め運用者がプライマリディスクサブシステム３−１において、不定期間隔でリモートコピーの一時停止、並びに一時停止の解除が実施されるように設定しておく。
【００４２】
図２のフローは専用のコンソールから選択・設定を行なう場合を示している。リモートコピーのパスやボリュームペアの初期設定、即ちどのディスクサブシステムにリモートコピー要求を出すかの設定は、ユーザが予め上位装置１に対して設定しておく（ステップ１：図ではＳ１の様に示す。以下同じ）。また、リモートコピーの一時停止や一時停止解除の初期設定は、リモートコピー対象のボリュームペア単位に設定する（ステップ２）。通常は、リモートコピー対象のボリュームペアすべてを一つのボリュームグループとして定義し、ボリュームグループ内のボリュームはすべて同一のステータスとなるように設定する。
【００４３】
本例では、ディスクサブシステム３のボリューム全てをリモートコピー対象とする。従って、以下では、リモートコピーの状態を、ボリュームペアやボリュームグループ単位ではなく、ディスクサブシステム単位として記述する。
【００４４】
リモートコピー対象のファイルやボリュームの設定方法としては、ボリュームやディスクサブシステムを意味する具体的なアドレスを指定する方法や、ディスクサブシステム内の制御プログラムによって、アドレスの任意の範囲から選択する方法を取ることもできる。初期設定として、パスやボリュームペアの設定、並びに一時停止契機や一時停止解除契機の設定を行なう例を示してある。
【００４５】
上位装置１から、プライマリディスクサブシステム３−１、３−２、………、３−ｎに対し、ライトコマンドが発行されると（ステップ３）、プライマリディスクサブシステム３−１、３−２、………、３−ｎはライトコマンドに基づき自己のディスクサブシステム内のデータバッファ２２へのデータ格納処理を実行する（ステップ４）。ここで、ライトコマンドとは、データを書込むための指示と書込みデータそのものとを転送するコマンドである。
【００４６】
ライトコマンドを受領した際、プライマリディスクサブシステム３−１、３−２、………、３−ｎは、プライマリディスクサブシステム群３のリモートコピー制御情報格納部２７に格納されているリモートコピー状態を表す制御ビットを取得・参照することにより、プライマリディスクサブシステム群３がリモートコピー一時停止状態にあるか否かを確認する（ステップ５）。プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３がリモートコピー一時停止状態にある場合、データバッファ２２へのデータ書き込みが終了すれば上位装置１に対しライトコマンドに対する処理の完了を報告する（ステップ６）。この後、ライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行し、ライトコマンドに対する処理を完了させる。
【００４７】
なお、メインセンタにおいて以前に更新が行なわれたデータについて、リモートセンタに未転送のデータの格納位置情報を保持している場合は、当該位置の全てのデータもリモートセンタのセカンダリディスクサブシステム７−１、７−２、………７−ｎへの転送対象と判断し、当該データを書込む為のライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行し、ライトコマンドに対する処理を完了させる。この際、現在、設定されている暗号鍵を用いて、データを暗号化して、プライマリディスクサブシステムからセカンダリサブシステムへ転送する。即ち、当該書込みコマンドによるデータ及び未転送の全ての更新データ（書込みデータ）は、現在の暗号鍵により暗号化され、リモートセンターへ全て転送される（ステップ７）。その後、データ転送は一時停止状態になる。
【００４８】
次に、メインセンタ内の暗号鍵（暗号鍵はこれを用いてデータを暗号化／復号化するためのもの）を更新する（ステップ８）。この後、更新された暗号鍵をセカンダリディスクサブシステム７−１、７−２、………７−ｎに転送する（ステップ９）。暗号鍵を転送後、プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３のリモートコピー（データ転送）一時停止状態を解除する（ステップ１０）。従って、リモートコピー一時停止状態後は、更新された新しい暗号鍵が使用される。つまり、リモートへ転送されるデータは新しい暗号鍵（更新された暗号鍵）で暗号化され、この暗号化されたデータがリモートへ転送される。
【００４９】
なお、ステップ８及びステップ９においては、プライマリディスクサブシステム群３からセカンダリディスクサブシステム群７に一般的に転送しているデータと同様のデータ長／データパターンを持ったデータを作成し、その一部として更新した暗号鍵を埋込み、暗号鍵をリモートへ転送しても良い。こうすることによって、暗号鍵を転送する特別なパケットを使用する必要が無くなり、且つ、外部からは、一般データと思えるため、リモートコピーの一時停止のタイミングを外部から隠蔽することが可能となり、結果として暗号化議を送る際の安全性が高くなる。ここで暗号鍵を埋め込むべきデータは一般に転送しているデータに似せることが重要であり、必ずしも完全に一致させる必要はない。
【００５０】
一方、ステップ５でプライマリディスクサブシステム群３がリモートコピー一時停止状態にない場合は、プライマリディスクサブシステム３−１、３−２、………、３−ｎは、データバッファ２２へのデータ書き込みが終了すれば上位装置１に対しライトコマンドに対する処理の完了を報告し（ステップ１１）、自己のサブシステムの処理能力に基づいて決定された契機で、ライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行する。この時メインセンタにおいて更新（書込み）が行なわれたデータについて、リモートセンタにライトコマンドが直ちに発行されない場合があるが、これはリモートセンタへ未転送のデータの格納位置情報として自サブシステム内に保持しておく。また、メインセンタにおいて以前に更新が行なわれたデータについて、リモートセンタに未転送のデータの格納位置情報を保持している場合は、当該位置のデータもリモートセンタのセカンダリディスクサブシステム７−１、７−２、………７−ｎへの転送対象と判断し、当該データを書込む為のライトコマンドを発行する。この際、現在用いている暗号鍵を用いて暗号化してセカンダリへ転送する（ステップ１２）。当該データの格納位置情報は、ライトコマンドに対するリモートへの転送処理が完了した後に、これを消去する。
【００５１】
即ち、プライマリディスクサブシステム群３がリモートコピー一時停止状態にあれば、メインセンタ９のプライマリディスクサブシステム群３は、暗号鍵を更新すると共に更新された暗号鍵をリモートセンタ１０のセカンダリディスクサブシステム群７に転送する。また、プライマリディスクサブシステム群３がリモートコピー一時停止状態になければ、メインセンタ９のプライマリディスクサブシステム群３は上位装置１からライトコマンドが発行される事に起因し現在の暗号鍵を用いてリモートコピーが実施される。
【００５２】
セカンダリディスクサブシステム７−１、７−２、………７−ｎは、プライマリディスクサブシステム３−１、３−２、………３−ｎから発行されたライトコマンドを受領していることを確認すると、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理を行なう（ステップ１３）。
【００５３】
セカンダリディスクサブシステム７−１、７−２、………、７−ｎは、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理が完了すると、プライマリディスクサブシステム３−１、３−２、………３−ｎに対し、ライトコマンドに対する処理完了報告を行なう（ステップ１４）。
【００５４】
本発明により、上位装置１から書込まれたデータは、プライマリディスクサブシステム３−１、３−２、………、３−ｎに格納されるだけでなく、セカンダリディスクサブシステム７−１、７−２、７−ｎにも複写され格納される。また、プライマリディスクサブシステム群３がリモートコピー一時停止状態となった時点のプライマリディスクサブシステム３−１、３−２、………３−ｎのデータの状態が、リモートセンタ１０側のセカンダリディスクサブシステム７−１、７−２、………７−ｎで生成される。この時、プライマリディスクサブシステム群３が更新された暗号鍵をセカンダリディスクサブシステム群７に転送する。
【００５５】
セカンダリディスクサブシステム群７は、プライマリディスクサブシステム群３によって更新された暗号鍵を受取った時点から、当該更新された暗号鍵を使用してデータを復号することが出来る。メインセンター９が被災した場合は、セカンダリディスクサブシステム７−１、７−２、………７−ｎのデータを利用して、ジョブを再実行する等の回復作業を行ない、業務を再開する。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００５６】
以上説明したように、本発明の第１の実施形態は、適宜の時間間隔毎に設定されたリモートコピーの一次停止（リモートコピーを一時停止する意味はこの一時停止を境に暗号鍵を変更することである）と一時停止解除との間で暗号鍵を更新し、更新後の暗号鍵をリモートセンターにも通知するシステムであるので、一時停止解除に再開されたリモートコピーのデータは更新後の暗号鍵を用いてデータ復号されることとなり、リモートセンターへ転送されるデータと暗号鍵との対応付けが明確となっているのである。
【００５７】
結局のところ、本発明の第１の実施形態は、次のような構成、機能乃至作用を奏するものである。相互に遠隔地に存在するメインセンターのプライマリディスクサブシステム群とリモートセンターのセカンダリディスクサブシステム群とを接続する。メインセンターのプライマリディスクサブシステム群は上位装置より更新データを受け取ると、自サブシステムへのデータの格納を開始する。
【００５８】
そして、プライマリディスクサブシステム群は自サブシステムが暗号鍵を変更するタイミングの状態になっているか否かを確認する。暗号鍵を変更するタイミングの状態になっていない場合は、プライマリディスクサブシステム群は当該データを現在の暗号鍵を用いたリモートセンターへの転送対象とする。暗号鍵を変更するタイミングの状態になっている場合は、今回受けたデータと、今まで受けたデータで未転送分をリモートセンターへ送った後、プライマリディスクサブシステム群はリモートセンターへのデータ転送を一時停止し、暗号鍵を更新し、且つ更新された暗号鍵をリモートセンターへ転送して、一時停止されたリモートセンターへのデータ転送を再開する。
【００５９】
前記一時停止の期間はリモートセンターへのデータ転送は行なわない。プライマリディスクサブシステム群においてリモートセンターへのデータ転送の一時停止状態が解除された後は、メインセンターのプライマリディスクサブシステム群はリモートセンターのセカンダリディスクサブシステム群へ更新された暗号鍵を用いてデータ転送を再開する。
【００６０】
このようにして、メインセンターとリモートセンターの間で、暗号鍵を更新しながら、リモートコピーによりデータの二重化を行なう。
【００６１】
次に、本発明の第２の実施形態として、データの二重化方法と運用の概略を図４を用いて説明する。
【００６２】
図４のフローにおいてステップ２１〜２４は、図２のフローのステップ１〜４と共通である。ここではステップ２５から説明する。
【００６３】
上位装置１からライトコマンドを受領した際、プライマリディスクサブシステム３−１、３−２、………３−ｎは、プライマリディスクサブシステム群３のリモートコピー制御情報格納部２７に格納されているリモートコピー状態を表す制御ビットを取得・参照することにより、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングにあるか否かを確認する（ステップ２５）。プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３が暗号鍵を更新するタイミングにある場合、暗号鍵を更新する（ステップ２６）。
【００６４】
この後、プライマリディスクサブシステム群３からセカンダリディスクサブシステム群７に一般的に転送しているデータと同様に、更新された暗号鍵に順序番号（データ順序番号に対応）を付与し（ステップ２７）、この暗号鍵をセカンダリディスクサブシステム７−１、７−２、………７−ｎに転送して（ステップ２８）、データの更新位置を示す情報（例えば、データバッファのアドレス）をサブシステム内に保存して（ステップ２９）、書き込みが終了すると上位装置１に対しライトコマンドに対する処理の完了を報告する（ステップ３０）。更に、プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３の暗号鍵を更新するタイミングを解除する（ステップ３１）。
【００６５】
以上のことがらを具体的に説明する。ホストから書込み要求（書込みデータ）が送られてくると、プライマリディスクサブシステムは、データが送られてきた順序で、データに順序番号を付与しつつバッファに格納する。これらのデータは適当な契機によって、現在の暗号鍵（旧暗号鍵）を用いて暗号化され、セカンダリディスクサブシステムへ順序番号と共に転送される。この際、セカンダリディスクサブシステムへ転送されるデータの順序は必ずしもホストから送られてきた順序で無くても良い。理由は、セカンダリディスクサブシステムでデータに付与された順序番号に基づいてデータを順番に並び替えることができるからである。
【００６６】
そのうち、暗号鍵の更新タイミングになると、プライマリディスクサブシステムは、自システムの暗号鍵を更新し（新暗号鍵）、且つ、ホストからの書込みデータに付与していた順序番号を採番して、この順序番号を共に更新した暗号鍵をセカンダリディスクサブシステムへ送信する。具体的には、今までデータに順序番号▲１▼、▲２▼、▲３▼が付与されていたとすると、暗号鍵の更新のタイミングで順序番号▲４▼を、更新した暗号鍵に与える。
【００６７】
そして、更新した暗号鍵（新暗号鍵）と順序番号▲４▼をペアにしてセカンダリディスクサブシステムへ転送する。これを受けたセカンダリディスクサブシステムは、その後、順序番号▲４▼を境に更新された暗号鍵を受信データに対して使用する。見方を変えれば、セカンダリディスクサブシステムは、▲３▼以下の順序番号を有するデータに対しては更新前の暗号鍵を用いてデータを復号し、▲５▼以上の順序番号に対しては更新後の暗号鍵を用いてデータを復号する。
【００６８】
その後、プライマリディスクサブシステムは、新たな書込み要求を受けると、順序番号▲４▼は既に暗号鍵を送るのに用いているので、この書込み要求のデータに対しては順序番号▲５▼を与え、バッファに格納する。その後、適当な契機で更新した暗号鍵によってデータを暗号化し、順序番号▲５▼とともにセカンダリディスクサブシステムへ転送する。
【００６９】
セカンダリディスクサブシステムは、実際のデータを受信すると、受信データを順序番号に従って整列する。そして、順序番号▲４▼のところで暗号鍵が更新されていることを知っているセカンダリディスクサブシステムは、順序番号▲１▼▲２▼▲３▼を有するデータに関しては旧暗号鍵を対応させ、順序番号▲５▼を有するデータに関しては新暗号鍵を対応させ、必要に応じて復号を行う。
【００７０】
また、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングにない場合は、プライマリディスクサブシステム３−１、３−２、………、３−ｎは、書き込みが終了すると上位装置１に対しライトコマンドに対する処理の完了を報告し(ステップ３２)、自己のサブシステムの処理能力に基づいて決定された契機で、ライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行する。そして、現在の暗号鍵でデータは暗号化され、リモートセンターへ転送される。
【００７１】
この時メインセンタにおいて更新が行なわれたデータについて、リモートセンタへライトコマンドを直ちに発行しない場合があるが、これはリモートセンタへ未転送のデータの格納位置情報と共に自サブシステム内に保持される。また、メインセンタにおいて以前に更新が行なわれたデータについて、リモートセンタに未転送のデータの格納位置情報を保持している場合は、当該位置のデータもリモートセンタのセカンダリディスクサブシステム７−１、７−２、………７−ｎへの転送対象と判断し、当該データを書込む為のライトコマンドを発行する（ステップ３３）。そして、現在の暗号鍵で当該データは暗号化され、リモートセンターへ転送される。当該データの格納位置情報は、ライトコマンドに対する処理が完了した後に、これを消去する。
【００７２】
即ち、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングにあれば、メインセンタ９のプライマリディスクサブシステム群３は更新された暗号鍵をリモートセンタ１０のセカンダリディスクサブシステム群７に転送する。また、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングになければ、メインセンタ９のプライマリディスクサブシステム群３は上位装置１からライトコマンドが発行される事に起因しリモートコピーが実施される。
【００７３】
セカンダリディスクサブシステム７−１、７−２、………７−ｎは、プライマリディスクサブシステム３−１、３−２、………３−ｎから発行されたライトコマンドを受領していることを確認すると、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理を行なう（ステップ３４）。
【００７４】
セカンダリディスクサブシステム７−１、７−２、………、７−ｎは、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理が完了すると、プライマリディスクサブシステム３−１、３−２、………３−ｎに対し、ライトコマンドに対する処理完了報告を行なう（ステップ３５）。
【００７５】
本発明により、上位装置１から書込まれたデータは、プライマリディスクサブシステム３−１、３−２、………、３−ｎに格納されるだけでなく、セカンダリディスクサブシステム７−１、７−２、７−ｎにも複写され格納される。また、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングとなった時点で、プライマリディスクサブシステム群３が更新された暗号鍵に順序番号を付与して、セカンダリディスクサブシステム群７に転送する。
【００７６】
セカンダリディスクサブシステム群７は、プライマリディスクサブシステム群３が一般的に転送しているデータ及び更新された暗号鍵に付与した順序番号を使用して、当該更新された暗号鍵を適用すべきデータを特定して復号することが出来る。メインセンター９が被災した場合は、セカンダリディスクサブシステム７−１、７−２、………７−ｎのデータを利用して、ジョブを再実行する等の回復作業を行い、業務を再開する。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００７７】
次に、本発明の第３の実施形態として、データの二重化方法と運用の概略を図５を用いて説明する。ここでは、セカンダリディスクサブシステムは、プライマリディスクサブシステムから受けた暗号化されたデータを、そのまま記憶しているものとする。
【００７８】
リモートコピー実行中にメインセンター９に災害が発生した（ステップ４１）場合の動作である。メインセンター９は災害が発生したことをリモートセンター１０に通知する（ステップ４２）。これに対して、リモートセンター１０は、システム立上げ等の災害回復を開始する（ステップ４３）。復号することなくリモートセンター１０のセカンダリディスクサブシステム群７に記憶されていたデータを利用に供するために、暗号の復号を開始する（ステップ４４）。この時、暗号鍵をセカンダリディスクサブシステム群７に記憶している場合は、その暗号鍵を使用して復号する。暗号鍵はリモートセンター１０以外の別の場所にある記憶装置に記憶することも出来る。この場合は、その暗号鍵をリモートセンター１０のセカンダリディスクサブシステム群７に転送して、これを使用して復号する。
【００７９】
リモートセンター１０の上位装置８からセカンダリディスクサブシステム群７のデータに対してアクセスがある（ステップ４５）と、セカンダリディスクサブシステム群７はアクセスされたデータが復号済か否かを調べる（ステップ４６）。アクセスされたデータが復号済でない場合、セカンダリディスクサブシステム群７はそのデータに関して暗号の復号を実行し（ステップ４７）、復号されたデータを使用してアクセスに応答する（ステップ４８）。アクセスされたデータが復号済である場合、セカンダリディスクサブシステム群７はそのデータを使用してアクセスに応答する（ステップ４８）。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００８０】
このように、メインセンターに災害が発生した場合には、リモートセンターにおけるコピーデータは、メインセンターに依拠せずに、リモートセンターのディスクサブシステムによって、メインセンターに代わって、利用に供されるようにコピーデータの全て又は適宜にアクセスされたコピーデータについてデータ復号されるのである。
【００８１】
次に、本発明の第４の実施形態として、データの二重化方法と運用の概略を図６を用いて説明する。
【００８２】
リモートコピーされて復号することなくリモートセンター１０のセカンダリディスクサブシステム群７に記憶されていたデータを利用に供するために、リモートセンター１０からセカンダリディスクサブシステム群７にアクセスする（ステップ５１）場合の動作である。一般にデータに対するアクセスはそのデータに関連するＩＤフィールドあるいはキーフィールドを捜索して捜索条件が成立した場合に以降のデータが読出し／書込みされる。
【００８３】
この時、特定のフィールド、例えばキーフィールドに対する捜索条件が成立するか否かを調べる（ステップ５２）。この条件が成立した場合は、以降のデータが復号されて（ステップ５３）、読出し／書込みされる（ステップ５４）。この条件が成立しない場合は、以降のデータが復号されることなく、エラー報告される（ステップ５５）。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００８４】
【発明の効果】
上位装置への新規ソフトウェアの導入を必要とせずサブシステム側の機能変更のみで、ユーザが期待する範囲での更新データの一貫性を保証出来、かつ暗号鍵の更新により情報漏洩の危険性を低減出来る、リモートコピーの暗号化システムを実現出来る。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るリモートコピーのコンピュータシステムの全体構成を示す図である。
【図２】リモートコピーシステムの処理を示すフローチャートである。
【図３】本実施形態に関するメインセンターのプライマリディスクサブシステムの構成を示す図である。
【図４】リモートコピーシステムの処理を示すフローチャートである。
【図５】リモートコピーシステムの処理を示すフローチャートである。
【図６】リモートコピーシステムの処理を示すフローチャートである。
【符号の説明】
１  上位装置
２  インタフェースケーブル
３  プライマリディスクサブシステム
４  インタフェースケーブル
５  インタフェースケーブル
６  インタフェースケーブル
７  セカンダリディスクサブシステム
８  上位装置
９  メインセンター
１０  リモートセンター
１１  インタフェースケーブル
２１  インタフェース制御部
２２  データバッファ
２３  磁気ディスクドライブ
２４  マイクロプロセッサ
２５  ディスクアレイサブシステム制御部
２６  コンソール
２７  リモートコピー制御情報格納部
【図１】
0004028677.tif 000002
【図２】
0004028677.tif 000003
【図３】
0004028677.tif 000004
【図４】
0004028677.tif 000005
【図５】
0004028677.tif 000006
【図６】
0004028677.tif 000007