(57)【要約】【課題】本発明は、サーバから複数回発行される上書きデータをハードディスクドライブまで発行回数分反映させることで情報漏洩を確実に防止できる記憶システム及びデータ消去方法を提案する。【解決手段】上書きデータをサーバ内のディスクキャッシュに上書きする上書き最大回数及び上書き回数を管理するサーバ管理部と、サーバから送信される上書きデータをストレージサブシステム内のコントローラキャッシュに上書きするための上書き最大回数及び上書き回数を管理するストレージ管理部と、同一の消去対象ファイルを格納するディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブのそれぞれのアドレスを管理するアドレス管理部と、を記憶システムが有することで、ディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブのそれぞれに格納している消去対象ファイル内の消去対象データをファイル単位で消去するようにした。【選択図】図１
2009098887.tif 000002
【特許請求の範囲】
【請求項１】
サーバと、前記サーバに接続され、消去対象ファイルを格納するハードディスクドライブを有するストレージサブシステムと、を備える記憶システムにおいて、
前記消去対象ファイル内に保存される消去対象データを消去するための上書きデータを前記サーバ内に一時的に格納するディスクキャッシュと、
前記上書きデータを前記ディスクキャッシュに上書きする上書き最大回数及び上書き回数を前記サーバ内で管理するサーバ管理部と、
前記サーバから送信される上書きデータを前記ストレージサブシステム内に一時的格納するコントローラキャッシュと、
前記コントローラキャッシュから送信される上書きデータを前記ハードディスクドライブに上書き最大回数分上書きするように、前記サーバから送信される上書きデータを前記コントローラキャッシュに上書きするための上書き最大回数及び上書き回数を管理するストレージ管理部と、
同一の消去対象ファイルを格納する前記ディスクキャッシュ、前記コントローラキャッシュ及び前記ハードディスクドライブのそれぞれのアドレスを管理するアドレス管理部と、
前記ディスクキャッシュ、前記コントローラキャッシュ及び前記ハードディスクドライブのそれぞれに格納している消去対象ファイル内の消去対象データをファイル単位で消去する消去部と、
を有することを特徴とする記憶システム。
【請求項２】
前記消去部は、
前記ディスクキャッシュから送信される上書きデータを前記コントローラキャッシュの消去対象データに上書きするタイミングと、前記コントローラキャッシュから送信される上書きデータを前記ハードディスクドライブの消去対象データに上書きするタイミングとを同期又は非同期で行う
ことを特徴とする請求項１に記載の記憶システム。
【請求項３】
前記ストレージ管理部は、
前記上書きデータとして、前記上書き最大回数分のパターンデータを登録して管理し、前記ディスクキャッシュに格納される消去対象データに上書き回数に応じた前記パターンデータを上書きする
ことを特徴とする請求項１に記載の記憶システム。
【請求項４】
１又は複数のストレージサブシステムが前記サーバと接続され、
前記ストレージサブシステムは、前記消去対象ファイルを格納するハードディスクドライブを複数有し、
複数のハードディスクドライブは、ストレージサブシステム内又は複数のストレージサブシステム間でペア設定され、
前記コントローラキャッシュから送信される上書きデータを正側ハードディスクドライブに格納される消去対象データに上書きし、当該上書きするタイミングと同期又は非同期のタイミングで前記正側ハードディスクドライブから上書きデータが送信されペア設定される副側ハードディスクドライブに格納される消去対象データに上書きされる
ことを特徴とする請求項２に記載の記憶システム。
【請求項５】
サーバと、前記サーバに接続され、消去対象ファイルを格納するハードディスクドライブを有するストレージサブシステムと、を備える記憶システムのデータ消去方法において、
前記消去対象ファイル内に保存される消去対象データを消去するための上書きデータを前記サーバ内のディスクキャッシュに一時的に格納するステップと、
前記上書きデータを前記ディスクキャッシュに上書きする上書き最大回数及び上書き回数を前記サーバ内で管理するサーバ管理ステップと、
前記サーバから送信される上書きデータを前記ストレージサブシステム内のコントローラキャッシュに一時的格納するステップと、
前記コントローラキャッシュから送信される上書きデータを前記ハードディスクドライブに上書き最大回数分上書きするように、前記サーバから送信される上書きデータを前記コントローラキャッシュに上書きするための上書き最大回数及び上書き回数を管理するストレージ管理ステップと、
同一の消去対象ファイルを格納する前記ディスクキャッシュ、前記コントローラキャッシュ及び前記ハードディスクドライブのそれぞれのアドレスを管理するアドレス管理ステップと、
前記ディスクキャッシュ、前記コントローラキャッシュ及び前記ハードディスクドライブのそれぞれに格納している消去対象ファイル内の消去対象データをファイル単位で消去する消去ステップと、
を有することを特徴とするデータ消去方法。
【請求項６】
前記消去ステップでは、
前記ディスクキャッシュから送信される上書きデータを前記コントローラキャッシュの消去対象データに上書きするタイミングと、前記コントローラキャッシュから送信される上書きデータを前記ハードディスクドライブの消去対象データに上書きするタイミングとを同期又は非同期で行う
ことを特徴とする請求項５に記載のデータ消去方法。
【請求項７】
前記ストレージ管理ステップでは、
前記上書きデータとして、前記上書き最大回数分のパターンデータを登録して管理し、前記ディスクキャッシュに格納される消去対象データに上書き回数に応じた前記パターンデータを上書きする
ことを特徴とする請求項５に記載のデータ消去方法。
【請求項８】
１又は複数のストレージサブシステムが前記サーバと接続され、
前記ストレージサブシステムは、前記消去対象ファイルを格納するハードディスクドライブを複数有し、
複数のハードディスクドライブをストレージサブシステム内又は複数のストレージサブシステム間でペア設定するステップと、
前記コントローラキャッシュから送信される上書きデータを正側ハードディスクドライブに格納される消去対象データに上書きするタイミングと同期又は非同期のタイミングで前記正側ハードディスクドライブから上書きデータが送信されペア設定される副側ハードディスクドライブに格納される消去対象データに上書きするステップと、
を有することを特徴とする請求項６に記載のデータ消去方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記憶システム及びデータ消去方法に関する。特に、キャッシュメモリを搭載した記憶システムに適用するものである。
【背景技術】
【０００２】
サーバとストレージ装置とが接続されている記憶システムにおいて、サーバからストレージ装置内にある複数のハードディスクドライブにファイル単位でデータの書き込みが行われる場合には、データの消去もファイル単位で行う必要がある。
【０００３】
データを消去する場合、消去対象のデータが磁気情報としてハードディスクドライブに残らないために、消去対象のデータに任意のデータを上書きする必要がある。
【０００４】
例えば特許文献１には、ホストが、ストレージ装置のハードディスクドライブに保存されている消去対象データに対して、完全消去コマンドを発行すると、任意のデータが消去対象のデータに上書きされることで、データ単位で消去対象データを消去する方法が提案されている。
【特許文献１】特開２００７−１１５２２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、通常、消去対象のデータをハードディスクドライブから完全に消去するためには、任意のデータを複数回上書きしなければならない。
【０００６】
このとき、サーバ内に一時的にデータを保存するディスクキャッシュが搭載され、ストレージ装置内にコントローラキャッシュが搭載される構成の記憶システムにおいては、サーバ内のＣＰＵ（Central Processing Unit）から複数回上書き指示が発行されても、ディスクキャッシュとコントローラキャッシュ間に一次的に保存される消去対象のデータに関しては任意のデータが複数回上書きされるものの、上書き指示の発行されるタイミングによっては、コントローラキャッシュからハードディスクドライブに最後の上書き指示しか発行されず、ハードディスクドライブ内に複数回送信されている任意のデータが反映されない、という問題が生じる。
【０００７】
このようにハードディスクドライブには最後の上書き指示による任意のデータが上書きされるのみでは、データの残存磁気情報から消去したはずのデータが読み取られる可能性があるため、情報漏洩の原因となる。
【０００８】
そこで、本発明は、サーバから複数回発行される上書きデータをハードディスクドライブまで発行回数分反映させることで情報漏洩を確実に防止できる記憶システム及びデータ消去方法を提案しようとするものである。
【課題を解決するための手段】
【０００９】
かかる課題を解決するため本発明においては、サーバと、サーバに接続され、消去対象ファイルを格納するハードディスクドライブを有するストレージサブシステムと、を備える記憶システムにおいて、消去対象ファイル内に保存される消去対象データを消去するための上書きデータをサーバ内に一時的に格納するディスクキャッシュと、上書きデータをディスクキャッシュに上書きする上書き最大回数及び上書き回数をサーバ内で管理するサーバ管理部と、サーバから送信される上書きデータをストレージサブシステム内に一時的格納するコントローラキャッシュと、コントローラキャッシュから送信される上書きデータをハードディスクドライブに上書き最大回数分上書きするように、サーバから送信される上書きデータをコントローラキャッシュに上書きするための上書き最大回数及び上書き回数を管理するストレージ管理部と、同一の消去対象ファイルを格納するディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブのそれぞれのアドレスを管理するアドレス管理部と、ディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブのそれぞれに格納している消去対象ファイル内の消去対象データをファイル単位で消去する消去部と、を有することを特徴とする。
【００１０】
その結果、上書きデータの発行回数を管理し、かつ、ハードディスクドライブに格納される消去対象データをファイル単位で消去することができる。
【００１１】
また、本発明においては、サーバと、サーバに接続され、消去対象ファイルを格納するハードディスクドライブを有するストレージサブシステムと、を備える記憶システムのデータ消去方法において、消去対象ファイル内に保存される消去対象データを消去するための上書きデータをサーバ内のディスクキャッシュに一時的に格納するステップと、上書きデータをディスクキャッシュに上書きする上書き最大回数及び上書き回数をサーバ内で管理するサーバ管理ステップと、サーバから送信される上書きデータをストレージサブシステム内のコントローラキャッシュに一時的格納するステップと、コントローラキャッシュから送信される上書きデータをハードディスクドライブに上書き最大回数分上書きするように、サーバから送信される上書きデータをコントローラキャッシュに上書きするための上書き最大回数及び上書き回数を管理するストレージ管理ステップと、同一の消去対象ファイルを格納するディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブのそれぞれのアドレスを管理するアドレス管理ステップと、ディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブのそれぞれに格納している消去対象ファイル内の消去対象データをファイル単位で消去する消去ステップと、を有することを特徴とする。
【００１２】
その結果、上書きデータの発行回数を管理し、かつ、ハードディスクドライブに格納される消去対象データをファイル単位で消去することができる。
【発明の効果】
【００１３】
本発明によれば、サーバから複数回発行される上書きデータを、ハードディスクドライブまで発行回数分反映できるので、情報漏洩を確実に防止できる。
【発明を実施するための最良の形態】
【００１４】
以下図面について、本発明の一実施の形態を詳述する。
【００１５】
（１）第１の実施の形態
（１−１）記憶システムの構成
図１において、１は全体として本実施の形態による記憶システムを示す。この記憶システム１は、サーバ２がＳＡＮ（Storage Area Network）３を介してストレージサブシステム４と接続されることにより構成されている。
【００１６】
サーバ２は、図２に示すように、ＣＰＵ２０、メモリ２１、ディスクキャッシュ２２、インタフェース部２３、ローカルディスク２４等の情報処理資源を備えたコンピュータ装置であり、インタフェース部２３から他のサーバ２又はストレージサブシステム４と接続される構成である。またサーバ２は、キーボード、スイッチやポインティングデバイス、マイクロフォン等の入力デバイス２５と、モニタディスプレイやスピーカ等の出力デバイス２６とを備える。
【００１７】
サーバ２のメモリは、後述するファイル名管理テーブル２１０、サーバ側ファイル格納場所管理テーブル２１１、ディスクマックス管理テーブル２１２、ディスクフラッシュ管理テーブル２１３、ディスクカウント管理テーブル２１４、同期フラッシュプログラム２１５、非同期フラッシュプログラム２１６及びパターン認識プログラム２１７を格納する。
【００１８】
ＳＡＮ（Storage Area Network）３を介したインタフェース部２３とストレージシステムとの通信は、ファイバーチャネルプロトコルに従って行われる。
【００１９】
ストレージサブシステム４は、複数のハードディスクドライブＨＤＤからなるディスクドライブ部５と、ファイバーチャネル６を介して複数のハードディスクドライブＨＤＤをＲＡＩＤ（Redundant Array of Independent/Inexpensive Disks）方式で管理するコントローラ７を備えて構成される。
【００２０】
ハードディスクドライブＨＤＤは、例えばＳＣＳＩ（Small Computer System Interface）ディスク等の高価なディスクドライブ、又はＳＡＴＡ（Serial AT Attachment）ディスクや光ディスクドライブ等の安価なディスクドライブから構成される。そして、複数のハードディスクドライブＨＤＤが提供する記憶領域上に１又は複数の論理ボリューム（図示せず）が定義される。
【００２１】
論理ボリュームには、それぞれ固有の識別子（ＬＵＮ：Logical Unit Number）が割り当てられる。本実施の形態の場合、データの入出力は、この識別子と、各ブロックにそれぞれ割り当てられるそのブロックに固有の番号（ＬＢＡ：Logical Block Address）と、の組み合わせたものをアドレスとして、当該アドレスを指定して行われる。
【００２２】
コントローラ７は、複数のチャネルアダプタ８、クロスバースイッチ９、共有メモリ１０、コントローラキャッシュ１１、複数のディスクアダプタ１２及び保守端末１３を備えて構成される。
【００２３】
チャネルアダプタ８は、図３に示すように、ＣＰＵ８０、メモリ８１及びメモリコントローラ８２、ホストインタフェース８３及びＤＭＡ（Direct Memory Access）８４を備えたマイクロコンピュータシステムとして構成されており、ホストインタフェース８３にはＳＡＮ３に接続するためのポート（図示せず）を備える。各チャネルアダプタ８は、サーバ２から送信される各種コマンドを解釈して、必要な処理を実行する。チャネルアダプタ８のポートには、それぞれを識別するためのネットワークアドレス（例えば、ＩＰアドレスやＷＷＮ）が割り当てられている。ＣＰＵ８０は、メモリコントローラ８２を介してホストインタフェース８３やＤＭＡ８４に指示を行う。ＤＭＡ８４はサーバ２とコントローラキャッシュ１１間のコマンド又はデータの転送を、クロスバースイッチ９を介して行う。
【００２４】
クロスバースイッチ９は、上述したチャネルアダプタ８の他、コントローラキャッシュ１１及びディスクアダプタ１２と接続されている。チャネルアダプタ８、コントローラキャッシュ１１、共有メモリ１０及びディスクアダプタ１２間のデータやコマンドの授受は、このクロスバースイッチ９や共有バスを介して行われる。クロスバースイッチ９は、例えば高速スイッチングによりデータ伝送を行う超高速クロスバススイッチなどのスイッチ又はバス等で構成される。
【００２５】
共有メモリ１０は、図４に示すように、チャネルアダプタ８及びディスクアダプタ１２により共有される記憶メモリである。共有メモリ１０は、主にストレージサブシステム４の電源投入時にシステムボリュームから読み出されたシステム構成情報及び各種制御プログラムや、サーバ２からのコマンドなどを記憶するために利用される。共有メモリ１０は、後述で説明するシュレッティング数管理テーブル１００、シュレッティングパターン管理テーブル１０１、サブシステム側ファイル格納場所管理テーブル１０２、ファイル格納場所キャッシュ管理テーブル１０３、コントローラマックス管理テーブル１０４、コントローラフラッシュ管理テーブル１０５、コントローラカウント管理テーブル１０６、同期フラッシュプログラム１０７、非同期フラッシュプログラム１０８及びパターン認識プログラム１０９を格納する。
【００２６】
コントローラキャッシュ１１も、チャネルアダプタ８及びディスクアダプタ１２により共有される記憶メモリである。このコントローラキャッシュ１１は、主にストレージサブシステム４に入出力するサーバデータを一時的に記憶するために利用される。
【００２７】
ディスクアダプタ１２は、図５に示すように、ＣＰＵ１２０、メモリ１２１、メモリコントローラ１２２、ＤＭＡ１２３、ディスクインタフェース１２４を備えたマイクロコンピュータシステムとして構成され、ディスクドライブ部５との通信時におけるプロトコル制御を行うインタフェースとして機能する。これらディスクアダプタ１２は、例えばファイバーチャネルを介して対応するディスクドライブ部５と接続されており、ファイバーチャネルプロトコルに従ってこれらディスクドライブ部５との間のデータの授受を行う。ＣＰＵ１２０は、メモリコントローラ１２２を介してＤＭＡ１２３やディスクインタフェース１２４に指示を行う。ＤＭＡ１２３はディスクインタフェース１２４とコントローラキャッシュ１１間のコマンド又はデータの転送を、クロスバースイッチ９を介して行う。
【００２８】
保守端末１３は、ブリッジ１４を介してコントローラ７と接続されている。保守端末１３は、ストレージサブシステム４の保守又は管理のために操作されるコンピュータ装置であり、図６に示すように、ＣＰＵ１３０、メモリ１３１、インタフェース部１３２、ローカルディスク１３３、入力デバイス１３４及び出力デバイス１３５を備える。管理者は、入力デバイス１３４からインタフェース部１３２を介して、管理コマンドを発行する。また、保守端末１３は、インタフェース部１３２に接続される内部ＬＡＮ（Local Area Network）を通じて、共有メモリ１０にアクセスすることができる。保守端末１３は、ストレージサブシステム４内の管理を出力デバイス１３５であるディスプレイ画面に表示することができる。なお、ネットワークがＬＡＮである場合には、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）プロトコルに従って行われる。
【００２９】
（１−２）各種テーブルの構成
この記憶システム１は、図７の概略構成に示すように、サーバ２にディスクキャッシュ２２を搭載し、ストレージサブシステム４にコントローラキャッシュ１１を搭載する構成である。本実施の形態では、ハードディスクドライブＨＤＤに格納する消去対象データを消去するために、サーバ２のＣＰＵ２０から複数回発行する上書き指示に基づいて、ディスクキャッシュ２２、コントローラキャッシュ１１に保存される消去対象データに対してファイル単位で複数回上書き（消去）するとともに、ハードディスクドライブＨＤＤに保存される消去対象データに対してもファイル単位で複数回上書き（消去）できる構成であることを特徴としている。
【００３０】
本実施の形態における上書きとは、任意のデータに対して上書きを行うことをいい、結果として任意のデータを消去することをいう。
【００３１】
本実施の形態の特徴を実現するために、まずはサーバ２とストレージサブシステム４のメモリ内に各種テーブルが格納されている。以下では各種テーブルの構成について説明する。
【００３２】
（１−２−１）ファイル名管理テーブル
図８に示すファイル名管理テーブル２１０は、サーバ２が保持するテーブルであって、ファイル単位で消去対象データを管理するためのテーブルである。ファイル名管理テーブル２１０は、サーバ２上にあるファイルの属性情報を格納する「ｉノード番号」欄２１０Ａ及び「ファイル名」欄２１０Ｂとから構成される。ｉノード番号から、ファイルのサイズ及びファイル内のデータを保存するハードディスクドライブ上のブロック数情報等がわかる。
【００３３】
（１−２−２）サーバ側ファイル格納場所管理テーブル
図９に示すサーバ側ファイル格納場所管理テーブル２１１は、サーバ２が保持するテーブルであって、ストレージサブシステム４内でファイルを保存しているハードディスクドライブＨＤＤの保存先を管理するテーブルである。ファイル格納場所管理テーブル２１１を参照することで、どのハードディスクＨＤＤのどのブロックにデータが書き込まれているかがわかる。ファイル格納場所管理テーブル２１１は、サーバ２上にあるファイルの属性情報を格納する「ｉノード番号」欄２１１Ａ及び「ディスクブロック番号」欄２１１Ｂとから構成される。
【００３４】
「ディスクブロック番号」欄２１１Ｂは、ファイルを保存しているハードディスクドライブの保存先を示すブロック番号を格納する。
【００３５】
なお、「ｉノード番号」欄２１１Ａは、上述した「ｉノード番号」欄２１０Ａの説明と同様なので省略する。
【００３６】
（１−２−３）ディスクマックス管理テーブル
図１０に示すディスクマックス管理テーブル２１２は、サーバ２が保持するテーブルであって、消去を実行するときにディスクキャッシュ２２にデータを上書きする最大回数（図中、Disk maxと表記）を管理するテーブルである。
【００３７】
本実施の形態では、サーバ２が、ファイル単位の上書きデータを消去対象データに向けて同期又は非同期のタイミングで送信する場合と、ファイル単位のある決まったパターンの上書きデータを消去対象データに向けて送信する場合と、がある。
【００３８】
ディスクマックス管理テーブル２１２の管理方法は、同期又は非同期で送信される上書き回数を管理するシュレッディング数管理テーブル１００に格納される数値、又は、パターンの認識を管理するシュレッディングパターン管理テーブル１０１に格納される数値によって、異なる。
【００３９】
同期又は非同期の場合には、上書きデータを上書きするごとに、シュレッディング数管理テーブル１００に管理される上書き最大回数が、ディスクマックス管理テーブル２１２内に格納される。
【００４０】
一方、パターンの認識の場合には、シュレッディングパターン管理テーブル１０１の番号列を零スタートで管理する都合上、上書きデータを上書きするごとに、シュレッディングパターン管理テーブル１０１の「上書き回数番号」１０１Ａ欄の番号列に１を加算した数値（上書き最大回数）が、ディスクマックステーブル２１２内に格納される。
【００４１】
（１−２−４）ディスクフラッシュ管理テーブル
図１１に示すディスクフラッシュ管理テーブル２１３は、サーバ２が保持するテーブルであって、ディスクキャッシュ２２からコントローラキャッシュ１１に任意のデータである上書きデータが上書きされたか否かを管理するためのテーブルである。
【００４２】
ここで、フラッシュとは、任意の場所から任意の場所に任意のデータを送信し、任意の場所に任意のデータを上書きすること、をいう。
【００４３】
ディスクフラッシュ管理テーブル２１３内（図中、Disk flushと表記）には、ディスクキャッシュ２２からコントローラキャッシュ１１に上書きデータを送信し、かつ、コントローラキャッシュ１１の消去対象データに上書きデータが上書きされている場合（以下、フラッシュされている、という）には「０」、上書きされていない場合（以下、フラッシュされていない、という）には「１」が格納される。
【００４４】
（１−２−５）ディスクカウント管理テーブル
図１２に示すディスクカウント管理テーブル２１４は、サーバ２が保持するテーブルであって、消去を実行するときにディスクキャッシュ２２にデータを上書きする回数を管理するテーブルである。したがって、ディスクキャッシュ２２内の消去対象データに対して上書きが実行されるたびに、テーブル内の数値（図中、Disk countと表記）がカウントアップされる。
【００４５】
（１−２−６）シュレッディング数管理テーブル
図１３に示すシュレッディング数管理テーブル１００は、ストレージサブシステム４が保持するテーブルであって、サーバ２からファイル単位で上書きデータが送信される上書き回数を管理するテーブルである。
【００４６】
シュレッディング数管理テーブル１００は「同期／非同期」欄１００Ａ及び「上書き回数」欄１００Ｂから構成される。
【００４７】
「同期／非同期」欄１００Ａには、サーバ２から同期のタイミングで送信された上書きデータを同期のタイミングでハードディスクドライブＨＤＤの消去対象データに上書きする場合には「０」が格納され、サーバ２から非同期のタイミングで送信された上書きデータを非同期のタイミングでハードディスクドライブＨＤＤの消去対象データに上書きする場合には「１」が格納される。
【００４８】
「上書き回数」欄１００Ｂには、サーバ２から発行される上書き最大回数が格納される。
【００４９】
（１−２−７）シュレッディングパターン管理テーブル
図１４に示すシュレッディングパターン管理テーブル１０１は、ストレージサブシステム４が保持するテーブルであって、サーバ２から任意の上書き回数時に送信される、ある決まったパターンの上書きデータを管理するテーブルである。
【００５０】
シュレッディングパターン管理テーブル１０１は、「上書き回数番号」欄１０１Ａ及び「上書きパターン」欄１０１Ｂから構成される。「上書き回数番号」欄１０１Ａには、上書きする回数が格納される。ただし、番号列は零からスタートするように管理されているので、例えば上書き回数が３回の場合には「上書き回数番号」欄１０１Ａには「０」から「２」までが格納されることになる。「上書きパターン」欄１０１Ｂには、上書きデータのパターン情報が格納される。
【００５１】
（１−２−８）サブシステム側ファイル格納場所管理テーブル
図１５に示すサブシステム側ファイル格納場所管理テーブル１０２は、ストレージサブシステム４が保持するテーブルであって、ストレージサブシステム４内でファイルを保存しているハードディスクドライブＨＤＤの保存先を管理するテーブルである。このテーブルの項目欄１０２Ａ、１０２Ｂは、上述したサーバ側ファイル格納場所管理テーブル２１１と同様の構成及び内容のため、説明は省略する。
【００５２】
（１−２−９）ファイル格納場所キャッシュ管理テーブル
図１６に示すファイル格納場所キャッシュ管理テーブル１０３は、ストレージサブシステム４が保持するテーブルであって、同じ消去対象データが書き込まれているディスクキャッシュ２２内の保存先と、コントローラキャッシュ１１内の保存先と、の関連を管理するテーブルである。
【００５３】
ファイル格納場所キャッシュ管理テーブル１０３は、「ディスクキャッシュアドレス」欄１０３Ａ及び「コントローラキャッシュアドレス」欄１０３Ｂから構成される。
【００５４】
「ディスクキャッシュアドレス」欄１０３Ａには、消去対象データが書き込まれているディスクキャッシュ２２内の保存先が格納される。
【００５５】
「コントローラキャッシュアドレス」欄１０３Ｂには、消去対象データが書き込まれているコントローラキャッシュ１１内の保存先が格納される。
【００５６】
（１−２−１０）コントローラマックス管理テーブル
図１７に示すコントローラマックス管理テーブル１０４は、ストレージサブシステム４が保持するテーブルであって、消去を実行するときにコントローラキャッシュ１１にデータを上書きする最大回数（図中、CTL maxと表記）を管理するテーブルである。したがって、このテーブル内には、ディスクマックス管理テーブル２１２内で管理する上書き最大回数と同一回数が格納される。
【００５７】
（１−２−１１）コントローラフラッシュ管理テーブル
図１８に示すコントローラフラッシュ管理テーブル１０５は、ストレージサブシステム４が保持するテーブルであって、コントローラキャッシュ１１からハードディスクドライブＨＤＤに上書きデータが上書きされたか否かを管理するためのテーブルである。
【００５８】
コントローラフラッシュ管理テーブル１０５内（図中、CTL flushと表記）には、コントローラキャッシュ１１からハードディスクドライブＨＤＤに対してフラッシュされている場合には「０」、フラッシュされていない場合には「１」が格納される。
【００５９】
（１−２−１２）コントローラカウント管理テーブル
図１９に示すコントローラカウント管理テーブル１０６は、ストレージサブシステム４が保持するテーブルであって、消去を実行するときにコントローラキャッシュ１１にデータを上書きする回数（図中、CTL countと表記）を管理するテーブルである。したがって、コントローラキャッシュ１１１内の消去対象データに対して上書きが実行されるたびに、テーブル内の数値がカウントアップされる。
【００６０】
（１−３）ファイル消去処理
では次に、本実施の形態の特徴を実現するための、ファイル消去処理について説明をする。
【００６１】
（１−３−１）全体的なファイル消去処理の流れ
まず、サーバ２とストレージサブシステム４との間で行われるファイル消去処理の概略を説明する。
【００６２】
具体的には、図２０及び図２１に示すように、サーバ２がストレージサブシステム４内の保守端末に対してシュレッディング専用ＧＵＩ（Graphical User Interface）を開くように指示をする（Ｓ１）。そうすると、ストレージサブシステム４内の保守端末１３は、出力デバイス１３５を用いてシュレッディング専用ＧＵＩを開く。
【００６３】
シュレッディング専用ＧＵＩを開くと、図２２に示す画面Ｓ１が出力される。画面Ｓ１内にあるボックスには、サーバ２から指示を出した操作者が、遠隔操作によって消去を希望するファイル名を手動で入力して、登録する（Ｓ２）。なお、ボックスＢ１にはプルダウン機能を設け、操作者がプルダウン機能をクリックすると、ファイルを参照できるようにしてもよい。この場合には、操作者が、参照したファイルから消去対象のファイルを選択することができる。
【００６４】
操作者は、ボックスＢ１内にファイル名を登録すると、このファイルの消去方法を選択するために、複数のチェックボックスＣ１からＣ３のうち１つを選択して消去方法を決定する。選択するファイルの消去方法は、サーバ２とストレージサブシステム４とを同期してファイルを消去する方法、サーバ２とストレージサブシステム４とを非同期でファイルを消去する方法、又は、あるパターンデータを認識させてファイルを消去する方法、とがある。
【００６５】
操作者が、消去方法として、サーバ２とストレージサブシステム４とを同期又は非同期でファイルを消去するチェックボックスＣ１、Ｃ２を選択し、ＯＫボタンＢ２をクリックすると、サーバ２がシュレッディング専用同期／非同期回数ＧＵＩを開くように指示する（図２０のＳ３Ａ）。そうするとストレージサブシステム４は、図２３に示す画面Ｓ２を出力する。
【００６６】
操作者がファイル名を選択したことにより、ファイル名管理テーブル２１０、サーバ側ファイル格納場所管理テーブル２１１、サブシステム側ファイル格納場所管理テーブル１０２、及び、ファイル格納場所キャッシュ管理テーブル１０３に基づいて、消去対象ファイルに対して、ディスクキャッシュ２２、コントローラキャッシュ１１及びハードディスクドライブＨＤＤ内の相関関係がわかる。
【００６７】
そうすると操作者は、消去したいファイル内のデータに対して、何回上書きデータを上書きするか、の回数を画面Ｓ２内にあるボックスＢ３に入力する。なお、このボックスＢ３にプルダウン機能を設けて操作者が上書き回数を選択できるようにしても良い。
【００６８】
操作者は、ボックスＢ３に上書き回数を入力後、ＯＫボタンＢ４をクリックすると、同期又は非同期によって実行される上書き回数が登録される（図２０のＳ４Ａ）。そして初期設定は完了することになる。この登録により、シュレティング数管理テーブル１００、ディスクマックス管理テーブル２１２、コントローラマックス管理テーブル１０４に情報が登録される。
【００６９】
一方、操作者が、消去方法として、あるパターンデータを認識させてファイルを消去するチェックボックスＣ３を選択し、ＯＫボタンＢ２をクリックすると、サーバ２がシュレッディングパターン専用ＧＵＩを開くように指示する（図２１のＳ３Ｂ）。そうするとストレージサブシステム４は、図２４に示す画面Ｓ３を出力する。
【００７０】
画面Ｓ３が開くと、操作者は画面Ｓ３内のボックスＢ５に上書きデータのパターンを入力する。例えば、操作者が、上書き回数を３回として上書きデータのパターンを入力する場合、上書き１回目に「００」の上書きデータ、２回目に「ＦＦ」の上書きデータ、３回目に「００」の上書きデータを上書きするように、設定する。
【００７１】
操作者は、ボックスＢ５に上書きデータのパターンを入力後、ＯＫボタンＢ６をクリックすると、上書きデータのパターンが登録される（図２１のＳ４Ｂ）。そして初期設定は完了することになる。
【００７２】
初期設定終了後は、サーバ２とストレージサブシステム４が連携して、ファイル消去実行処理を実行する（図２０のＳ５Ａ、図２１のＳ５Ｂ）。その後、ストレージサブシステム４がファイル消去実行処理を終了した旨をサーバ２に通知して、ファイル消去処理を終了する（Ｓ６）。
【００７３】
（１−３−２）同期又は非同期によるファイル消去実行処理
本実施の形態では、サーバ２が、上書きデータを消去対象データに向けて同期又は非同期のタイミングにファイル単位で送信し上書きする場合（以下、同期又は非同期ケース）によるファイル消去実行処理と、ある決まったパターンの上書きデータを消去対象データに向けてファイル単位で送信し上書きする場合（以下、パターン認識ケース）によるファイル消去実行処理と、があるため、管理者の設定によっては上述のステップＳ５Ａ、Ｓ５Ｂで実行される処理が異なる。
【００７４】
ここでは、同期又は非同期によるファイル消去実行処理について説明する。ファイル消去実行処理は、サーバ２のＣＰＵ２０及びストレージサブシステム４のコントローラ７が、同期フラッシュプログラム２１５又は非同期フラッシュプログラム２１６に基づいて実行する。
【００７５】
図２５に示すように、まず初期設定の登録が完了すると、サーバ２のＣＰＵ２０が登録内容のデータをストレージサブストレージシステム４に送信することで、ファイル消去実行処理が開始する（Ｓ１０）。
【００７６】
次に、ストレージサブシステム４のコントローラ７は、受信した登録内容のデータから、上書きデータを消去対象データに向けて同期のタイミングで行うか否かを判断し（Ｓ１１）、同期のタイミングで登録していると判断した場合には（Ｓ１１：ＹＥＳ）、サーバ２とストレージサブシステム４とが連携して、同期処理を実行する（Ｓ１２）。なお、同期処理の詳細は後述する。そうして、サーバ２とストレージサブシステム４とが同期処理を実行し終えると、ファイル消去実行処理を終了する。
【００７７】
一方、ストレージサブシステム４のコントローラ７は、受信した登録内容のデータから、上書きデータを消去対象データに向けて同期のタイミングで登録していないと判断した場合には（Ｓ１１：ＹＥＳ）、非同期のタイミングで登録しているか否かを判断する（Ｓ１３）。そして、ストレージサブシステム４のコントローラ７は、上書きデータを消去対象データに向けて非同期のタイミングで登録していると判断すると（Ｓ１３：ＹＥＳ）、サーバ２とストレージサブシステム４とが連携して非同期処理を実行する（Ｓ１４）。なお、非同期処理の詳細は後述する。そうして、サーバ２とストレージサブシステム４とが非同期処理を実行し終えると、ファイル消去実行処理を終了する（Ｓ１５）。
【００７８】
なお、ストレージサブシステム４は、上書きデータを消去対象データに向けて非同期のタイミングで登録していないと判断すると（Ｓ１３：ＮＯ）、ファイル消去実行処理をそのまま終了する（Ｓ１５）。
【００７９】
（１−３−２−１）同期処理
それでは、ステップＳ１２の同期処理について詳細に説明する。同期処理は、サーバ２のＣＰＵ２０が同期フラッシュプログラム２１５に基づいて実行し、及び、ストレージサブシステム４のコントローラ７が同期フラッシュプログラム１０７に基づいて実行する。
【００８０】
図２６から図２８に示すように、ストレージサブシステム４のコントローラ７が、受信した登録内容のデータから、上書きデータを消去対象データに向けて同期のタイミングで行うと判断した場合に、サーバ２とストレージサブシステム４とが連携して、同期処理を開始する（Ｓ２０）。
【００８１】
まず、サーバ２のＣＰＵ２０は、ディスクマックス管理テーブル２１２とディスクカウント管理テーブル２１４とを参照して、現時点での上書き回数（図中、Disk countと表記）と上書き最大回数（図中、Disk maxと表記）とを比較し（Ｓ２１）、現時点での上書き回数が上書き最大回数を下回っている場合には（Ｓ２１：ＹＥＳ）、ディスクキャッシュ２２の消去対象ファイル内にある消去対象データに、任意の上書きデータを上書きする（Ｓ２２）。任意の上書きデータとは、消去対象データを消去するためのデータをいう。
【００８２】
サーバ２のＣＰＵ２０は、上書きが完了したか否かを判断し（Ｓ２３）、完了したと判断すると（Ｓ２３：ＹＥＳ）、ディスクカウント管理テーブル２１４内の数値を１つカウントアップする（Ｓ２４）。
【００８３】
その後、サーバ２のＣＰＵ２０は、ストレージサブシステム４内のコントローラキャッシュ１１に対して確認コマンドを発行し、コントローラフラッシュ管理テーブル１０５内の数値が零（フラッシュされている）か否かを判断する（Ｓ２５）。すなわち、コントローラキャッシュ１１上にある上書きデータがフラッシュされて、ハードディスクドライブＨＤＤ上の消去対象データに上書きされているか否かを確認するためにコマンドを発行する。この処理は、２回目以上の上書き処理の際に実行する必要がある。
【００８４】
サーバ２のＣＰＵ２０は、コントローラフラッシュ管理テーブル１０５内の数値が零（フラッシュされている）であると判断した場合には（Ｓ２５：ＹＥＳ）、ディスクキャッシュ２２上にある上書きデータをストレージサブシステム４側にフラッシュする（Ｓ２６）。
【００８５】
ストレージサブシステム４のコントローラ７は、受信した上書きデータをコントローラキャッシュ１１上の消去対象データに上書きする（Ｓ２７）。上書き回数が２回目以上は、消去対象データに１回目の上書きデータが上書きされた仮消去データに２回目の上書きデータが上書きされる。このとき、ディスクフラッシュ管理テーブル２１３内の数値を零（フラッシュされている）に更新する。
【００８６】
ストレージサブシステム４のコントローラ７は、コントローラキャッシュ１１上にある消去対象データを保存している領域にフラッシュ及び上書きが完了したか否かを判断し（Ｓ２８）、完了したと判断した場合には（Ｓ２８：ＹＥＳ）、コントローラキャッシュ１１上にある上書きデータをフラッシュし（Ｓ２９）、ハードディスクドライブＨＤＤ上の消去対象データに上書きデータを上書きする（Ｓ３０）。
【００８７】
ストレージサブシステム４のコントローラ７は、ハードディスクドライブＨＤＤ上にある消去対象データを保存している領域に上書きが完了したか否かを判断し（Ｓ３１）、完了したと判断した場合には（Ｓ３１：ＹＥＳ）、コントローラカウント管理テーブル１０６内の数値を１つカウントアップする（Ｓ３２）。
【００８８】
ストレージサブシステム４のコントローラ７は、コントローラマックス管理テーブル１０４とコントローラカウント管理テーブル１０６とを参照して、現時点での上書き回数（図中、CTL countと表記）と上書き最大回数（図中、CTL maxと表記）とを比較する（Ｓ３３）。
【００８９】
ストレージサブシステム４のコントローラ７は、現時点での上書き回数が上書き最大回数を下回っている場合には（Ｓ３３：ＹＥＳ）、コントローラ７がコントローラフラッシュ管理テーブル１０５内の数値を零（フラッシュされている）にし、サーバ２のＣＰＵ２０がディスクフラッシュ管理テーブル２１３内の数値を１（フラッシュされていない）に戻すと（Ｓ３４）、再びステップＳ２１に戻り、次の上書き同期処理を実行することとなる。
【００９０】
一方、ストレージサブシステム４のコントローラ７は、現時点での上書き回数が上書き最大回数を下回っていない場合には（Ｓ３３：ＮＯ）、設定した上書き回数を実行したことになるので、同期処理を終了する（Ｓ３５）。
【００９１】
なお、ステップＳ２１、ステップＳ２３又はステップＳ２５において、サーバ２のＣＰＵ２０は、現時点での上書き回数が上書き最大回数を下回っていないと判断した場合（Ｓ２１：ＮＯ）、又は上書きが完了していないと判断した場合（Ｓ２３：ＮＯ）、又は、コントローラフラッシュ管理テーブル１０５内の数値が零（フラッシュされている）ではなく１である（フラッシュされていない）と判断した場合（Ｓ２５：ＮＯ）、には、異常であるとして同期処理を終了する（Ｓ３５）。
【００９２】
また、ステップＳ２８又はステップＳ３１において、ストレージサブシステム４のコントローラ７は、上書きが完了していないと判断した場合には（Ｓ２８：ＮＯ，Ｓ３１：ＮＯ）、異常であるとして同期処理を終了する（Ｓ３５）。
【００９３】
（１−３−２−２）非同期処理
それでは、ステップＳ１４の非同期処理について詳細に説明する。非同期処理は、サーバ２のＣＰＵ２０が非同期フラッシュプログラム２１６に基づいて実行し、及び、ストレージサブシステム４のコントローラ７が、非同期フラッシュプログラム１０８に基づいて実行する。
【００９４】
図２９から図３１に示すように、ストレージサブシステム４のコントローラ７が、受信した登録内容のデータから、上書きデータを消去対象データに向けて非同期のタイミングで行うと判断した場合に、サーバ２とストレージサブシステム４とが連携して、非同期処理を開始する（Ｓ４０）。
【００９５】
まず、サーバ２のＣＰＵ２０は、ディスクマックス管理テーブル２１２とディスクカウント管理テーブル２１４とを参照して、現時点での上書き回数（図中、Disk countと表記）と上書き最大回数（図中、Disk maxと表記）とを比較し（Ｓ４１）、現時点での上書き回数が上書き最大回数を下回っている場合には（Ｓ４１：ＹＥＳ）、ディスクキャッシュの消去対象ファイル内にある消去対象データに、任意の上書きデータを上書きする（Ｓ４２）。
【００９６】
サーバ２のＣＰＵ２０は、上書きが完了したか否かを判断し（Ｓ４３）、完了したと判断すると（Ｓ４３：ＹＥＳ）、ディスクカウント管理テーブル２１４内の数値を１つカウントアップする（Ｓ４４）。
【００９７】
サーバ２のＣＰＵ２０は、現時点での上書き回数が上書き最大回数を下回っていないと判断した場合（Ｓ４１：ＮＯ）、又は上述のようにディスクカウントをカウントアップした場合には（Ｓ４４）、サーバ２のＣＰＵ２０は、ストレージサブシステム４内のコントローラキャッシュ１１に対して確認コマンドを発行し、コントローラフラッシュ管理テーブル１０５内の数値が零（フラッシュされている）か否かを判断する（Ｓ４５）。この処理は、２回目以上の上書き処理の際に実行する必要がある。
【００９８】
サーバ２のＣＰＵ２０は、コントローラフラッシュ管理テーブル１０５内の数値が零（フラッシュされている）であると判断した場合には（Ｓ４５：ＹＥＳ）、コントローラキャッシュ１１上にある消去対象データを保存している領域に、ディスクキャッシュ２２上にある上書きデータをフラッシュする（Ｓ４６）。
【００９９】
ここで、本処理は非同期処理のため、フラッシュのタイミングは、サーバ２がサーバ２内の負荷状態等を考慮した任意のタイミングで行われる。
【０１００】
ストレージサブシステム４のコントローラ７は、サーバ２から送信された上書きデータを、コントローラキャッシュ１１上の消去対象データに上書きする（Ｓ４７）。上書き回数が２回目以上は、消去対象データに１回目の上書きデータが上書きされた仮消去データに２回目の上書きデータが上書きされる。
【０１０１】
ストレージサブシステム４のコントローラ７は、コントローラキャッシュ１１上にある消去対象データを保存している領域にフラッシュされて上書きが完了したか否かを判断し（Ｓ４８）、完了したと判断した場合には（Ｓ４８：ＹＥＳ）、ディスクフラッシュ管理テーブル２１３内の数値を１（フラッシュされていない）に戻し（Ｓ５４）、再びステップＳ４１に戻り、次の上書き同期処理を実行することとなる。
【０１０２】
次に、ステップＳ４５において、サーバ２のＣＰＵ２０は、コントローラフラッシュ管理テーブル１０５内の数値がフラッシュされていないと判断した場合には（Ｓ４５：ＮＯ）、ディスクキャッシュ２２上の上書きデータをストレージサブシステム４側に送信することはできないので、まず、現在残っているコントローラキャッシュ１１上の上書きデータをフラッシュするように指示をする。
【０１０３】
そうすると、ストレージサブシステム４のコントローラ７は、コントローラキャッシュ１１上にある上書きデータをフラッシュし（Ｓ４９）、ハードディスクドライブＨＤＤ上の消去対象データに上書きデータを上書きする（Ｓ５０）。
【０１０４】
ここで、本処理は非同期処理のため、フラッシュのタイミングは、ストレージサブシステム４のコントローラ７がサブシステム４内の負荷状態等を考慮した任意のタイミングで行われる。
【０１０５】
ストレージサブシステム４のコントローラ７は、ハードディスクドライブＨＤＤ上にある消去対象データを保存している領域に上書きが完了したか否かを判断し（Ｓ５１）、完了したと判断した場合には（Ｓ５１：ＹＥＳ）、コントローラカウント管理テーブル１０６内の数値を１つカウントアップする（Ｓ５２）。
【０１０６】
ストレージサブシステム４のコントローラ７は、コントローラマックス管理テーブル１０４とコントローラカウント管理テーブル１０６とを参照して、現時点での上書き回数（図中、CTL countと表記）と上書き最大回数（図中、CTL maxと表記）とを比較し（Ｓ５３）、現時点での上書き回数が上書き最大回数を下回っている場合には（Ｓ５３：ＹＥＳ）、コントローラフラッシュ管理テーブル１０５内の数値を零（フラッシュされている）にして（Ｓ５５）、ステップＳ４５に戻り、ディスクキャッシュ２２内の上書きデータをストレージサブシステム４側へ送信する処理を実行することとなる。
【０１０７】
一方、ストレージサブシステム４のコントローラ７は、現時点での上書き回数が上書き最大回数を下回っていない場合には（Ｓ５３：ＮＯ）、設定した上書き回数を実行したことになるので、非同期処理を終了する（Ｓ５８）。
【０１０８】
なお、ステップＳ４３又はステップＳ４８において、サーバ２のＣＰＵ２０は、上書きが完了していないと判断した場合には（Ｓ４３：ＮＯ、Ｓ４８：ＮＯ）、異常であるとして非同期処理を終了する（Ｓ５６、Ｓ５７）。
【０１０９】
（１−３−３）パターン認識によるファイル消去実行処理
それでは、ステップＳ５Ｂにおいて、ある決まったパターンの上書きデータを消去対象データに向けてファイル単位で送信する場合（以下、パターン認識ケース）による、ファイル消去実行処理について説明する。パターン認識によるファイル消去実行処理は、サーバ２のＣＰＵ２０がパターン認識プログラム２１７に基づいて実行し、及び、ストレージサブシステム４のコントローラ７がパターン認識プログラム１０９に基づいて実行する。
【０１１０】
図３２から図３４に示すように、ストレージサブシステム４のコントローラ７が、受信した登録内容のデータから、登録したパターンデータを上書きデータとして消去対象データに上書きを行うと判断した場合に、サーバ２とストレージサブシステム４とが連携して、パターン認識処理を開始する（Ｓ６０）。
【０１１１】
まず、サーバ２のＣＰＵ２０は、ディスクマックス管理テーブル２１２とディスクカウント管理テーブル２１４とを参照して、現時点での上書き回数（図中、Disk countと表記）と上書き最大回数（図中、Disk maxと表記）とを比較し（Ｓ６１）、現時点での上書き回数が上書き最大回数を下回っている場合には（Ｓ６１：ＹＥＳ）、ＣＰＵ２０は任意の上書き回数時に実行される上書きしようとするデータがシュレッディングパターン管理テーブル１０１に登録されていると同じパターンデータか否かを判断する（Ｓ６２）。
【０１１２】
サーバ２のＣＰＵ２０は、上書きしようとするデータがシュレッディングパターン管理テーブル１０１に登録されていると同じパターンデータであると判断すると（Ｓ６２：ＹＥＳ）、ディスクキャッシュの消去対象ファイル内にある消去対象データに特定パターンの上書きデータを上書きする（Ｓ６３）。
【０１１３】
その後、サーバ２のＣＰＵ２０又はストレージサブシステム４のコントローラ７は、ステップＳ６４からステップＳ７６までの処理を、同期処理で説明したステップＳ２３からステップＳ３５までの処理（図２６から図２８）と、同様の手順で実行する。
【０１１４】
（１−３）第１の実施の形態の効果
本実施の形態によれば、記憶システム内のデータをファイル単位で管理している。それゆえ、同期処理、非同期処理、パターン認識処理のいずれの場合においても、サーバ２から複数回発行される上書き指示が、ディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブまで確実に反映し、それぞれの領域で保存される消去対象データに対して確実に上書きできるとともに、ファイル単位で消去対象データを消去することができる。本実施の形態によれば、情報漏洩を確実に防止できる。
【０１１５】
（２）第２の実施の形態
（２−１）記憶システムの構成
図３５において、２００は全体として本実施の形態による記憶システムを示す。
【０１１６】
本形態による記憶システム２００は、図１との対応部分に同一符号を付した図３５に示すように、第１の実施の形態で説明をしたストレージサブシステム４’内の複数のハードディスクドライブＨＤＤをペア設定させた構成である。すなわち、記憶システム２００は、サーバ２’からの上書きデータを直接受信して消去対象データに上書きするハードディスクドライブＨＤＤを正側のハードディスクドライブ（以下、これを正側物理ディスクという）Ｐ−ＨＤＤと設定する。また、記憶システム２００は、この正側物理ディスクＰ−ＨＤＤをコピー元に設定して、ペア設定された副側のハードディスクドライブ（以下、副側物理ディスクという）Ｓ−ＨＤＤをコピー先に設定する。さらに、記憶システム２００は、この副側物理ディスクＳ−ＨＤＤをコピー元と設定して、ペア設定された更なる副側のハードディスクドライブ（以下、更なる副側物理ディスクという）ＳＳ−ＨＤＤをコピー先に設定する。
【０１１７】
なお、その他の構成は、第１の実施の形態による記憶システム１の構成と同様なので、説明を省略する。また、第１の実施の形態と同様の構成には、同じ符号を付す。
【０１１８】
（２−２）サブシステム内ファイル格納場所複製管理テーブル１５０
図３６に示すように、ストレージサブシステム４’の共有メモリ１０’内には、第１の実施の形態で説明をした各種テーブル１００から１０６、後述する同期フラッシュ複製プログラム１５１及び非同期フラッシュ複製プログラム１５２に加えて、サブシステム内ファイル格納場所複製管理テーブル１５０が格納されている。
【０１１９】
なお、サーバ２’のメモリ２１’内にも、第１の実施の形態で説明をした各種テーブル２１０から２１４に加えて、同期フラッシュ複製プログラム（図示せず）及び非同期フラッシュ複製プログラム（図示せず）が格納されている。
【０１２０】
図３７に示すように、サブシステム内ファイル格納場所複製管理テーブル１５０は、サブシステム４内の複数のハードディスクドライブＨＤＤのうち、同じファイルを記録する正側物理ディスクＰ−ＨＤＤと副側物理ディスクＳ−ＨＤＤとの関係を管理するテーブルである。サブシステム内ファイル格納場所複製管理テーブル１５０は、正側物理ディスクＰ−ＨＤＤの番号情報を示す「正側物理ディスク番号」欄１５０Ａ、ファイルを記録している正側物理ディスクＰ−ＨＤＤ内のブロック番号情報を示す「正側物理ディスクブロック番号」欄１５０Ｂ、「副側物理ディスク番号」欄１５０Ｃ、及び、「副側物理ディスクブロック番号」欄１５０Ｄから構成される。
【０１２１】
「副側物理ディスク番号」欄１５０Ｃは、正側物理ディスク番号Ｐ−ＨＤＤとペア設定されている副側物理ディスクＳ−ＨＤＤの番号情報を示している。また、「副側物理ディスクブロック番号」欄１５０Ｄは、正側物理ディスクブロックと同じファイルを記録している副側物理ディスクＳ−ＨＤＤ内のブロック番号情報を示している。
【０１２２】
（２−３）全体的なファイル消去処理の流れ
それでは、サーバ２’と、ペア設定されたハードディスクドライブＨＤＤを有するストレージサブシステム４’と、の間で行われるファイル消去処理の概略を説明する。
【０１２３】
具体的には、図３８に示すように、サーバ２’とストレージサブシステム４’内の保守端末１３とが、ステップＳ８１からステップＳ８５までの処理を、図２０で説明をしたステップＳ１からステップＳ５Ａまでの処理と同様に実行する。
【０１２４】
なお、ステップＳ８５の消去処理は、図３９に示すように、ステップＳ９０からステップＳ９５までの処理を、図２５で説明をしたステップＳ１２及びステップＳ１４で説明をしたサブルーチン処理の内容を除き、ステップＳ１０からステップＳ１５までの処理と同様の手順で実行される。
【０１２５】
その後、サーバ２’とストレージサブシステム４’が連携して、サブシステム内での複製処理を実行すると（Ｓ８６）、その後、ストレージサブシステム４’がファイル消去実行処理を終了した旨をサーバ２’に通知して、ファイル消去処理を終了する（Ｓ８７）。
【０１２６】
（２−３−１）同期複製処理
それでは、ステップＳ９２の同期複製処理について詳細に説明する。同期複製処理は、サーバ２’のＣＰＵ２０が同期フラッシュ複製プログラムに基づいて実行し、及び、ストレージサブシステム４’のコントローラ７’が同期フラッシュ複製プログラム１５１に基づいて実行する。
【０１２７】
図４０及び図４１に示すように、ストレージサブシステム４’のコントローラ７’が、受信した登録内容のデータから、上書きデータを正側物理ディスクＰ−ＨＤＤ内に格納されている消去対象データに向けて同期のタイミングで行うと判断した場合に、サーバ２’とストレージサブシステム４’とが連携して、同期複製処理を開始する（Ｓ１００）。
【０１２８】
サーバ２’のＣＰＵ２０及びストレージサブシステム４’のコントローラ７’は、正側物理ディスクＰ−ＨＤＤに対して同期処理を実行する（Ｓ１０１）。具体的には、サーバ２’のＣＰＵ２０及びストレージサブシステム４のコントローラ７は、図２６及び図２７で説明をしたステップＳ２１からステップＳ３０までの処理を実行することで、正側物理ディスクＰ−ＨＤＤの消去対象データに向けて上書きデータを上書きし、ファイル単位で消去対象データを消去する（Ｓ１０１）。
【０１２９】
その後、ストレージサブシステム４’のコントローラ７’は、サブシステム４内ファイル格納場所複製管理テーブル１５０を参照して、正側物理ディスクＰ−ＨＤＤとペア設定された副側物理ディスクＳ−ＨＤＤがあるか否かを判断する（Ｓ１０２）。
【０１３０】
ストレージサブシステム４’のコントローラ７’は、正側物理ディスクＰ−ＨＤＤとペア設定された副側物理ディスクＳ−ＨＤＤがあると判断すると（Ｓ１０２：ＹＥＳ）、サブシステム内ファイル格納場所複製管理テーブル１５０を参照して、消去対象データとなった全ての正側物理ディスクブロックとペア設定される全ての副側物理ディスクブロックを検出する。そして、ストレージサブシステム４’のコントローラ７’は、正側物理ディスクＰ−ＨＤＤから上書きデータを送信して、全ての副側物理ディスクブロック内にある消去対象データに上書きする（Ｓ１０３）。
【０１３１】
この処理は同期のタイミングで実行する処理なので、ストレージサブシステム４’のコントローラ７’は上書きを即時に実行する。
【０１３２】
このときのイメージ図を図４２に示す。正側物理ディスクＰ−ＨＤＤにＨＤＤ１、副側物理ディスクＳ−ＨＤＤにＨＤＤ２及びＨＤＤ３が設定され、ＨＤＤ１及びＨＤＤ２、ＨＤＤ１及びＨＤＤ３のそれぞれがペア設定されているとする。コントローラキャッシュ１１からＨＤＤＤ１の消去対象データに上書きデータが上書きされると、そのままＨＤＤ２及びＨＤＤ３の消去対象データに上書きデータが上書きされる。２回目以降に副側物理ディスクＳ−ＨＤＤに上書きする場合には、コントローラ７’が副側物理ディスクＳ−ＨＤＤから上書き完了通知を受け取るまで、正側物理ディスクＰ−ＨＤＤから副側物理ディスクＳ−ＨＤＤに上書きはしない。
【０１３３】
次に、図４０に戻り、ストレージサブシステム４’のコントローラ７’は、副側物理ディスクＳ−ＨＤＤとペア設定された更なる副側物理ディスクＳＳ−ＨＤＤがあるか否かを判断する（Ｓ１０４）。
【０１３４】
ストレージサブシステム４’のコントローラ７’は、サブシステム内ファイル格納場所複製管理テーブル１５０を参照して、副側物理ディスクＳ−ＨＤＤとペア設定された更なる副側物理ディスクＳＳ−ＨＤＤがあると判断した場合には（Ｓ１０４：ＹＥＳ）、副側物理ディスクＳ−ＨＤＤから上書きデータを送信して、全ての更なる副側物理ディスクブロック内にある消去対象データに上書きする（Ｓ１０５）。
【０１３５】
この処理は同期のタイミングで実行する処理なので、ストレージサブシステム４’のコントローラ７’は上書きを即時に実行する。
【０１３６】
ここで、図４２に示すように、更なる副側物理ディスクＳＳ−ＨＤＤとは、副側物理ディスクＨＤＤ２を正側物理ディスクとした場合に、このＨＤＤ２とペア設定される副側物理ディスクＨＤＤ４及びＨＤＤ５のことを指す。
【０１３７】
そうして、ストレージサブシステム４’のコントローラ７’は、再びステップＳ１０４の処理に戻り、更なる副側物理ディスクＳＳ−ＨＤＤがないと判断すると（Ｓ１０４：ＮＯ）、正側物理ディスクＰ−ＨＤＤと関連する全ての副側ディスクＳ−ＨＤＤに対して上書きが完了したか否かを判断する（Ｓ１０６）。
【０１３８】
ストレージサブシステム４’のコントローラ７’は、正側物理ディスＰ−ＨＤＤと関連する全ての副側ディスクＳ−ＨＤＤに対して上書きが完了したと判断すると（Ｓ１０６：ＹＥＳ）、コントローラカウント管理テーブル１０６内の数値を１つカウントアップする（Ｓ１０７）。
【０１３９】
ストレージサブシステム４’のコントローラ７’は、コントローラマックス管理テーブル１０４とコントローラカウント管理テーブル１０６とを参照して、現時点での上書き回数（図中、CTL countと表記）と上書き最大回数（図中、CTL maxと表記）とを比較する（Ｓ１０８）。
【０１４０】
ストレージサブシステム４’のコントローラ７’は、現時点での上書き回数が上書き最大回数を下回っている場合には（Ｓ１０８：ＹＥＳ）、コントローラフラッシュ管理テーブル１０５内の数値を零（フラッシュされている）にし、サーバ２’のＣＰＵ２０がディスクフラッシュ管理テーブル２１３内の数値を１（フラッシュされていない）に戻して（Ｓ１０９）、再びステップＳ１０１に戻り、次の上書き同期処理を実行することとなる。一方、ストレージサブシステム４’のコントローラ７’は、現時点での上書き回数が上書き最大回数を下回っていない場合には（Ｓ１０８：ＮＯ）、同期複製処理を終了する（Ｓ１１０）。
【０１４１】
なお、ステップＳ１０２において、正側物理ディスクＰ−ＨＤＤとペア設定された副側物理ディスクＳ−ＨＤＤがないと判断すると（Ｓ１０２：ＹＥＳ）、そのままステップＳ１０６の処理を行う。この処理手順は、第１の実施の形態で説明をした同期処理と同様の処理手順である。
【０１４２】
（２−３−２）非同期複製処理
それでは、ステップＳ９４の非同期複製処理について詳細に説明する。非同期複製処理は、サーバ２’のＣＰＵ２０が非同期フラッシュ複製プログラム１５２に基づいて実行し、及び、ストレージサブシステム４’のコントローラ７’が非同期フラッシュ複製プログラム１５２に基づいて実行する。
【０１４３】
図４３及び図４４に示すように、ストレージサブシステム４’のコントローラ７’が、受信した登録内容のデータから、上書きデータを正側物理ディスクＰ−ＨＤＤ内に格納されている消去対象データに向けて非同期のタイミングで行うと判断した場合に、サーバ２’とストレージサブシステム４’とが連携して、非同期複製処理を開始する（Ｓ１２０）。
【０１４４】
サーバ２’のＣＰＵ２０及びストレージサブシステム４’のコントローラ７’は、正側物理ディスクＰ−ＨＤＤに対して非同期処理を実行する（Ｓ１２１）。具体的には、サーバ２’のＣＰＵ２０及びストレージサブシステム４’のコントローラ７’は、図２９及び図３０で説明をしたステップＳ４１からステップＳ５０及びステップＳ５４の処理を実行することで、正側物理ディスクＰ−ＨＤＤの消去対象データに向けて上書きデータを上書きし、ファイル単位で消去対象データを消去する（Ｓ１２１）。
【０１４５】
その後、ストレージサブシステム４’のコントローラ７’は、ステップＳ１２２からステップＳ１３０までの処理を、図４０及び図４１で説明をしたステップＳ１０２からステップＳ１１０までと同様の手順で行う。
【０１４６】
ただし、ステップＳ１２３及びステップＳ１２５の上書き処理のタイミングは、ストレージサブシステム４’のコントローラ７’がサブシステム４’内の負荷状況等を考慮して任意の非同期タイミングで行われる。
【０１４７】
また、正側物理ディスクＰ−ＨＤＤと副側物理ディスクＳ−ＨＤＤとを即時に同期させたい場合には、コントローラ７’は副側物理ディスクＳ−ＨＤＤに対して分割コマンドを発行し、その後再同期コマンドを発行すればよい。
【０１４８】
（２−４）第２の実施の形態の効果
本実施の形態によれば、記憶システム内のデータをファイル単位で管理している。それゆえ、同期処理及び非同期処理のいずれの場合においても、サーバ２から複数回発行される上書き指示が、ディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブまで確実に反映し、それぞれの領域で保存される消去対象データに対して確実に上書きできるとともに、ファイル単位で消去対象データを消去することができる。本実施の形態によれば、情報漏洩を確実に防止できる。
【０１４９】
また、本実施の形態によれば、ストレージサブシステム４内でペア設定される全てのハードディスクドライブまで上書き指示が反映し、副側物理ディスク内の消去対象データに対しても確実に消去することができる。
【０１５０】
（３）第３の実施の形態
（３−１）記憶システムの構成
図４５において、３００は全体として本実施の形態による記憶システムを示す。
【０１５１】
本形態による記憶システム３００は、第１の実施の形態で説明をしたストレージサブシステム４（第３の実施の形態では、ストレージサブシステム４”Ａと表記）内の複数のハードディスクドライブＨＤＤ内でペア設定させるだけでなく、他のストレージサブシステム４”Ｎ内にある複数のハードディスクドライブＨＤＤとペア設定させた構成である。
【０１５２】
記憶システム３００は、サーバ２”からの上書きデータを直接受信して消去対象データに上書きするハードディスクドライブＨＤＤを正側物理ディスクＰ−ＨＤＤと設定する。また、記憶システム３００は、正側物理ディスクＰ−ＨＤＤをコピー元と設定し、ストレージサブシステム４”Ａ内又は他のストレージサブシステム４”Ｎにペア設定された副側物理ディスクＳ−ＨＤＤをコピー先と設定する。
【０１５３】
なお、その他の構成は、第１の実施の形態による記憶システム１の構成と同様なので、説明を省略する。また、第１の実施の形態と同様の構成には、同じ符号を付す。
【０１５４】
（３−２）サブシステム間ファイル格納場所複製管理テーブル
図４６に示すように、各ストレージサブシステム４”の共有メモリ１０”内には、第１の実施の形態で説明をした各種テーブル１００から１０６及びサブシステム内ファイル格納場所複製管理テーブル１５０、後述するサブシステム間同期フラッシュ複製プログラム１５４及びサブシステム間非同期フラッシュ複製プログラム１５５に加えて、サブシステム間ファイル格納場所複製管理テーブル１５３が格納されている。
【０１５５】
なお、サーバ２”のメモリ（図示せず）内にも、第１の実施の形態で説明をした各種テーブル２１０から２１４に加えて、サブシステム間同期フラッシュ複製プログラム（図示せず）及びサブシステム間非同期フラッシュ複製プログラム（図示せず）が格納されている。
【０１５６】
図４７に示すように、サブシステム間ファイル格納場所複製管理テーブル１５３は、サブシステム４”内の複数のハードディスクドライブＨＤＤのうち、同じファイルを記録する正側物理ディスクＰ−ＨＤＤと副側物理ディスクＳ−ＨＤＤとの関係を管理するテーブルである。サブシステム間ファイル格納場所複製管理テーブル１５３は、サーバ２”からの上書きデータを直接受信する正側ストレージサブシステム４”Ａの装置番号を示す「正側ストレージサブシステム装置番号」欄１５３Ａ、「正側物理ディスク番号」欄１５３Ｂ、「正側物理ディスクブロック番号」欄１５３Ｃ、「副側ストレージサブシステム装置番号」欄１５３Ｄ、「副側物理ディスク番号」欄１５３Ｅ、及び、「副側物理ディスクブロック番号」欄１５３Ｆ、から構成される。
【０１５７】
「副側ストレージサブシステム装置番号」欄１５３Ｄは、正側ストレージサブシステム４”Ａから送信される上書きデータを受信する副側ストレージサブシステム４”Ｎの装置番号を示す。
【０１５８】
なお、「正側物理ディスク番号」欄１５３Ｂ、「正側物理ディスクブロック番号」欄１５３Ｃ、「副側物理ディスク番号」欄１５３Ｅ、及び、「副側物理ディスクブロック番号」欄１５３Ｆは、第２の実施の形態で説明をしたサブシステム内ファイル格納場所複製管理テーブル１５０と同様の項目なので、説明を省略する。
【０１５９】
（３−３）全体的なファイル消去処理の流れ
それでは、サーバ２”と、ペア設定されたハードディスクドライブを有するストレージサブシステム４”と、の間で行われるファイル消去処理の概略を説明する。
【０１６０】
具体的には、図４８に示すように、サーバ２”と正側・副側ストレージサブシステム４”内の保守端末との間で、ステップＳ１４１からステップＳ１４５までの処理を、図２０で説明をしたステップＳ１からステップＳ５Ａまでの処理と同様に実行する。
【０１６１】
ステップＳ１４５の消去処理では、正側ストレージサブシステム４”Ａが同期複製処理と非同期複製処理のいずれか一方の処理を実行することになる。
【０１６２】
その後、サーバ２”と正側・副側ストレージサブシステム４”が連携して、同期又は非同期による複製処理を実行すると（Ｓ１４６）、その後、正側ストレージサブシステム４”Ａがファイル消去実行処理を終了した旨をサーバ２”に通知して、ファイル消去処理を終了する（Ｓ１４７）。
【０１６３】
（３−３−１）同期複製処理
それでは、ステップＳ１４５の同期複製処理について詳細に説明する。同期複製処理は、サーバ２”のＣＰＵ（図示せず）がサブシステム間同期フラッシュ複製プログラムに基づいて実行し、及び、正側・副側ストレージサブシステム４”のコントローラ７”がサブシステム間同期フラッシュ複製プログラム１５４に基づいて実行する。
【０１６４】
図４９及び図５０に示すように、正側ストレージサブシステム４”Ａのコントローラ７”が、受信した登録内容のデータから、上書きデータを正側物理ディスクＰ−ＨＤＤ内に格納されている消去対象データに向けて同期のタイミングで行うと判断した場合に、サーバ２”と正側ストレージサブシステム４”Ａとが連携して、同期複製処理を開始する（Ｓ１５０）。
【０１６５】
サーバ２”のＣＰＵ及び正側ストレージサブシステム４”Ａのコントローラ７”は、正側物理ディスクＰ−ＨＤＤに対して同期処理を実行し、正側ストレージサブシステム４”Ａ内での複製処理を実行する（Ｓ１５１）。具体的には、サーバ２”のＣＰＵ２０及びストレージサブシステム４”のコントローラ７”は、図４０で説明をしたステップＳ１０１からステップＳ１０５までの処理を実行することで、正側物理ディスクＰ−ＨＤＤの消去対象データに向けて上書きデータを上書きし、ファイル単位で消去対象データを消去する。その後、側ストレージサブシステム４”Ａのコントローラ７”は、サブシステム内ファイル格納場所複製管理テーブル１５０を参照して、正側ストレージサブシステム４”Ａ内でペア設定されている副側物理ディスクＳ−ＨＤＤを有する場合には、副側物理ディスクＳ−ＨＤＤ内の消去対象データに対して上書きデータを上書きする。
【０１６６】
正側ストレージサブシステム４”Ａのコントローラ７”は、サブシステム間ファイル格納場所複製管理テーブル１５３を参照して、ペア設定された副側ストレージサブシステム４”Ｎがあるか否かを判断する（Ｓ１５２）。
【０１６７】
そして、正側ストレージサブシステム４”Ａのコントローラ７”は、は、ペア設定された副側ストレージサブシステム４”Ｎがあると判断すると（Ｓ１５２：ＹＥＳ）、正側物理ディスクＰ−ＨＤＤに上書きをした上書きデータを副側ストレージサブシステム４”Ｎに送信する。
【０１６８】
副側ストレージサブシステム４”Ｎのコントローラ７”は、上書きデータを受信すると、サブシステム間ファイル格納場所複製管理テーブル１５３を参照して、正側物理ディスクＰ−ＨＤＤとペア設定された副側物理ディスクＳ−ＨＤＤのすべてのブロックに上書きデータを上書きする（Ｓ１５３）。このステップは同期のタイミングで実行する処理なので、コントローラは上書きを即時に実行する。
【０１６９】
次に、副側ストレージサブシステム４”Ｎのコントローラ７”は、副側ストレージサブシステム４”Ｎが有するサブシステム内ファイル格納場所複製管理テーブル１５０を参照して、副側ストレージサブシステム４”Ｎ内でペア設定されている更なる副側物理ディスクＳＳ−ＨＤＤがあるか否かを判断する（Ｓ１５４）。
【０１７０】
副側ストレージサブシステム４”Ｎのコントローラ７”は、更なる副側物理ディスクＳＳ−ＨＤＤがあると判断した場合には（Ｓ１５４：ＹＥＳ）、副側物理ディスクＳ−ＨＤＤと同じファイルが記録される更なる副側物理ディスクＳＳ−ＨＤＤのすべてのブロックに上書きデータを上書きする（Ｓ１５５）。このステップは同期のタイミングで実行する処理なので、コントローラは上書きを即時に実行する。
【０１７１】
そうして、副側ストレージサブシステム４”Ｎのコントローラ７”は、上書き完了したか否かを判断する（Ｓ１５６）。上書きが完了後（Ｓ１５６：ＹＥＳ）、正側・副側ストレージシステム４”のコントローラ７”は、それぞれが有するコントローラカウント管理テーブル１０６内の数値をカウントアップする（Ｓ１５７）。
【０１７２】
正側ストレージシステム４”Ａのコントローラ７”は、ステップＳ１５８からステップＳ１６０までの処理を、ステップＳ３３からステップＳ３５までの処理（図２７及び図２８）と同様の手順で実行し、同期複製処理を終了する。
【０１７３】
なお、副側ストレージサブシステム４”Ｎのコントローラ７”は、ステップＳ１５２及びＳ１５４において、ペア設定された副側ストレージサブシステム４”Ｎがない場合（Ｓ１５２：ＮＯ）又は更なる副側物理ディスクＳＳ−ＨＤＤがない場合には（Ｓ１５４：ＮＯ）、ステップＳ１５６の処理判断を実行することとなる。
【０１７４】
この同期複製処理のイメージ図を図５１に示す。正側物理ディスクＰ−ＨＤＤにＨＤＤ１１、正側物理ディスクＰ−ＨＤＤとストレージサブシステム４”Ａ内でペア設定された副側物理ディスクＳ−ＨＤＤにＨＤＤ１２、正側物理ディスクＰ−ＨＤＤとペア設定された他のストレージサブシステム４”Ｎ内の副側物理ディスクＳ−ＨＤＤにＨＤＤ１３、及び、副側物理ディスクＳ−ＨＤＤにＨＤＤ１３と他のストレージサブシステム４”Ｎ内でペア設定された更なる副側物理ディスクＳＳ−ＨＤＤにＨＤＤ１４が設定されているとする。
【０１７５】
正側ストレージサブシステム４”Ａのコントローラ７”は、コントローラキャッシュ１１からＨＤＤ１１の消去対象データに上書きデータが上書きされるとストレージサブシステム４”Ａにあるサブシステム内ファイル格納場所複製管理テーブル１５０を参照し、ＨＤＤ１２の消去対象データに上書きデータを上書きする。正側ストレージサブシステム４”Ａのコントローラ７”は、サブシステム間ファイル格納場所複製管理テーブル１５３を参照し、ＨＤＤ１２からＨＤＤ１３に上書きデータを送信する。そうすると他のストレージサブシステム４”Ｎのコントローラ７”がＨＤＤ１３に上書きデータを上書きする。その後、他のストレージサブシステム４”Ｎのコントローラ７”は、他のストレージサブシステム４”Ｎにあるサブシステム内ファイル格納場所複製管理テーブル１５０を参照し、ＨＤＤ１３からの上書きデータをＨＤＤ１４に上書きする。
【０１７６】
なお、それぞれのストレージサブシステム４”内にペア設定されたハードディスクドライブＨＤＤがなく、ストレージサブシステム４”間のみにペア設定されたハードディスクドライブ（ＨＤＤ１１とＨＤＤ１３のみ）がある場合には、正側ストレージサブシステム４”Ａ内の正側物理ディスクＰ−ＨＤＤからの上書きデータが、副側ストレージサブシステム４”Ｎの副側物理ディスクＳ−ＨＤＤに上書きされる。
【０１７７】
このように、ペア設定される全ての物理ディスク内に上書きデータが上書きされる。
【０１７８】
（３−３−２）非同期複製処理
それでは、ステップＳ１４５の非同期複製処理について詳細に説明する。非同期複製処理は、サーバ２”のＣＰＵ（図示せず）がサブシステム間非同期フラッシュ複製プログラムに基づいて実行し、及び、正側・副側ストレージサブシステム４”のコントローラ７”がサブシステム間非同期フラッシュ複製プログラム１５５に基づいて実行する。
【０１７９】
図５２及び図５３に示すように、正側ストレージサブシステム４”Ａのコントローラ７”が、受信した登録内容のデータから、上書きデータを正側物理ディスクＰ−ＨＤＤ内に格納されている消去対象データに向けて非同期のタイミングで行うと判断した場合に、サーバ２”と正側ストレージサブシステム４”Ａとが連携して、非同期複製処理を開始する（Ｓ１７０）。
【０１８０】
サーバ２”のＣＰＵ２０及び正側ストレージサブシステム４”Ａのコントローラ７”は、正側物理ディスクＰ−ＨＤＤに対して非同期処理及び正側ストレージサブシステム４”Ａ内での複製処理を実行する（Ｓ１７１）。具体的には、サーバ２”のＣＰＵ２０及びストレージサブシステム４”のコントローラ７”は、図４３で説明をしたステップＳ１２１からステップＳ１２５までの処理を実行する
【０１８１】
その後、正側ストレージサブシステム４”Ａのコントローラ７”と副側ストレージサブシステム４”Ｎのコントローラ７”とが連携して、ステップＳ１７２からステップＳ１８０までの処理を、図４９及び図５０で説明をしたステップＳ１５２からステップＳ１６０までの処理と同様の手順で実行して、非同期複製処理を終了する。
【０１８２】
ただし、ステップＳ１７３及びステップＳ１７５の上書き処理のタイミングは、副側ストレージサブシステム４”Ｎのコントローラ７”が副側ストレージサブシステム４”Ｎ内の負荷状況等を考慮して任意の非同期タイミングで行われる。
【０１８３】
（３−４）第３の実施の形態の効果
本実施の形態によれば、記憶システム内のデータをファイル単位で管理している。それゆえ、同期処理及び非同期処理のいずれの場合においても、サーバ２から複数回発行される上書き指示が、ディスクキャッシュ、コントローラキャッシュ及びハードディスクドライブまで確実に反映し、それぞれの領域で保存される消去対象データに対して確実に上書きできるとともに、ファイル単位で消去対象データを消去することができる。本実施の形態によれば、情報漏洩を確実に防止できる。
【０１８４】
また、本実施の形態によれば、ストレージサブシステム４間でペア設定される全てのハードディスクドライブまで上書き指示が反映し、他のストレージサブシステム４にある副側物理ディスク内の消去対象データに対しても確実に消去することができる。
【０１８５】
（４）他の実施の形態
ハードディスクドライブ内に保存しているデータがある一定期間を過ぎた場合にのみ第１から第３の実施の形態で説明をしたファイル消去処理を実行するように、ストレージサブシステムでデータの保存期間を管理してもよい。
【０１８６】
第１から第３の実施の形態では、サーバとストレージサブシステムが連携して対象データをファイル単位で削除したが、サーバが有する機能をストレージサブシステムがもち、ストレージサブシステムのみが、ディスクキャッシュ、コントローラキャッシュ、ハードディスクドライブの上書きの状態を管理してもよい。
【産業上の利用可能性】
【０１８７】
本発明は、１又は複数のストレージ装置を有する記憶システムや、その他の形態の記憶システムに広く適用することができる。
【図面の簡単な説明】
【０１８８】
【図１】第１の実施の形態における記憶システムの全体構成を示すブロック図である。
【図２】第１の実施の形態におけるサーバの構成を示すブロック図である。
【図３】第１の実施の形態におけるチャネルアダプタの構成を示すブロック図である。
【図４】第１の実施の形態における共有メモリの構成を示すブロック図である。
【図５】第１の実施の形態におけるディスクアダプタの構成を示すブロック図である。
【図６】第１の実施の形態における保守端末の構成を示すブロック図である。
【図７】第１の実施の形態における記憶システムを示す概念図である。
【図８】第１の実施の形態におけるファイル名管理テーブルを示す図表である。
【図９】第１の実施の形態におけるサーバ側ファイル格納場所管理テーブルを示す図表である。
【図１０】第１の実施の形態におけるディスクマックス管理テーブルを示す図表である。
【図１１】第１の実施の形態におけるディスクフラッシュ管理テーブルを示す図表である。
【図１２】第１の実施の形態におけるディスクカウント管理テーブルを示す図表である。
【図１３】第１の実施の形態におけるシュレッディング数管理テーブルを示す図表である。
【図１４】第１の実施の形態におけるシュレッディングパターン管理テーブルを示す図表である。
【図１５】第１の実施の形態におけるサブシステム側ファイル格納場所管理テーブルを示す図表である。
【図１６】第１の実施の形態におけるファイル格納場所キャッシュ管理テーブルを示す図表である。
【図１７】第１の実施の形態におけるコントローラマックス管理テーブルを示す図表である。
【図１８】第１の実施の形態におけるコントローラフラッシュ管理テーブルを示す図表である。
【図１９】第１の実施の形態におけるコントローラカウント管理テーブルを示す図表である。
【図２０】第１の実施の形態においてファイル消去処理を行うシーケンス図である。
【図２１】第１の実施の形態においてファイル消去処理を行うシーケンス図である。
【図２２】第１の実施の形態におけるシュレッディング専用ＧＵＩの画面図である。
【図２３】第１の実施の形態におけるシュレッディング同期／非同期回数専用ＧＵＩの画面図である。
【図２４】第１の実施の形態におけるシュレッディングパターン専用ＧＵＩの画面図である。
【図２５】第１の実施の形態におけるファイル消去実行処理のフローチャートである。
【図２６】第１の実施の形態における同期処理のフローチャートである。
【図２７】第１の実施の形態における同期処理のフローチャートである。
【図２８】第１の実施の形態における同期処理のフローチャートである。
【図２９】第１の実施の形態における非同期処理のフローチャートである。
【図３０】第１の実施の形態における非同期処理のフローチャートである。
【図３１】第１の実施の形態における非同期処理のフローチャートである。
【図３２】第１の実施の形態におけるパターン認識処理のフローチャートである。
【図３３】第１の実施の形態におけるパターン認識処理のフローチャートである。
【図３４】第１の実施の形態におけるパターン認識処理のフローチャートである。
【図３５】第２の実施の形態における記憶システムの全体構成を示すブロック図である。
【図３６】第２の実施の形態における共有メモリの構成を示すブロック図である。
【図３７】第２の実施の形態におけるサブシステム内ファイル格納場所複製管理テーブルを示す図表である。
【図３８】第２の実施の形態においてファイル消去処理を行うシーケンス図である。
【図３９】第２の実施の形態においてファイル消去実行処理のフローチャートである。
【図４０】第２の実施の形態において同期複製処理を行うフローチャートである。
【図４１】第２の実施の形態において同期複製処理を行うフローチャートである。
【図４２】第２の実施の形態において同期複製処理を行うストレージサブシステム内の概念図である。
【図４３】第２の実施の形態において非同期複製処理を行うフローチャートである。
【図４４】第２の実施の形態において非同期複製処理を行うフローチャートである。
【図４５】第３の実施の形態における記憶システムの全体構成を示すブロック図である。
【図４６】第３の実施の形態における共有メモリの構成を示すブロック図である。
【図４７】第３の実施の形態におけるサブシステム間ファイル格納場所複製管理テーブルを示す図表である。
【図４８】第３の実施の形態においてファイル消去処理を行うシーケンス図である。
【図４９】第３の実施の形態において同期複製処理を行うフローチャートである。
【図５０】第３の実施の形態において同期複製処理を行うフローチャートである。
【図５１】第３の実施の形態において同期複製処理を行うストレージサブシステム内の概念図である。
【図５２】第３の実施の形態において非同期複製処理を行うフローチャートである。
【図５３】第３の実施の形態において非同期複製処理を行うフローチャートである。
【符号の説明】
【０１８９】
１……記憶システム、２……サーバ、２２……ディスクキャッシュ、４……ストレージサブシステム、ＨＤＤ……ハードディスクドライブ、７……コントローラ、１１……コントローラキャッシュ、Ｐ−ＨＤＤ……正側物理ディスク、Ｓ−ＨＤＤ……副側物理ディスク、ＳＳ−ＨＤＤ……更なる副側物理ディスク。
【図１】
2009098887.tif 000003
【図２】
2009098887.tif 000004
【図３】
2009098887.tif 000005
【図４】
2009098887.tif 000006
【図５】
2009098887.tif 000007
【図６】
2009098887.tif 000008
【図７】
2009098887.tif 000009
【図８】
2009098887.tif 000010
【図９】
2009098887.tif 000011
【図１０】
2009098887.tif 000012
【図１１】
2009098887.tif 000013
【図１２】
2009098887.tif 000014
【図１３】
2009098887.tif 000015
【図１４】
2009098887.tif 000016
【図１５】
2009098887.tif 000017
【図１６】
2009098887.tif 000018
【図１７】
2009098887.tif 000019
【図１８】
2009098887.tif 000020
【図１９】
2009098887.tif 000021
【図２０】
2009098887.tif 000022
【図２１】
2009098887.tif 000023
【図２２】
2009098887.tif 000024
【図２３】
2009098887.tif 000025
【図２４】
2009098887.tif 000026
【図２５】
2009098887.tif 000027
【図２６】
2009098887.tif 000028
【図２７】
2009098887.tif 000029
【図２８】
2009098887.tif 000030
【図２９】
2009098887.tif 000031
【図３０】
2009098887.tif 000032
【図３１】
2009098887.tif 000033
【図３２】
2009098887.tif 000034
【図３３】
2009098887.tif 000035
【図３４】
2009098887.tif 000036
【図３５】
2009098887.tif 000037
【図３６】
2009098887.tif 000038
【図３７】
2009098887.tif 000039
【図３８】
2009098887.tif 000040
【図３９】
2009098887.tif 000041
【図４０】
2009098887.tif 000042
【図４１】
2009098887.tif 000043
【図４２】
2009098887.tif 000044
【図４３】
2009098887.tif 000045
【図４４】
2009098887.tif 000046
【図４５】
2009098887.tif 000047
【図４６】
2009098887.tif 000048
【図４７】
2009098887.tif 000049
【図４８】
2009098887.tif 000050
【図４９】
2009098887.tif 000051
【図５０】
2009098887.tif 000052
【図５１】
2009098887.tif 000053
【図５２】
2009098887.tif 000054
【図５３】
2009098887.tif 000055