JP2009181385A - ストレージシステム、その暗号鍵管理方法及び暗号鍵管理プログラム - Google Patents

Abstract

【解決課題】データを復元する際にユーザによる鍵情報リストアを行なう必要をなくす。
【解決手段】ストレージ装置と、このストレージ装置に記憶されたデータをバックアップするテープ装置と、ストレージ装置及びテープライブラリ装置を管理する管理端末を含むストレージシステムにおいて、前記管理端末は、前記テープライブラリ装置内のテープに記憶されたデータのリストアを行なうときに、前記テープ管理ファイル、前記テープグループ情報ファイルと、前記鍵情報ファイルとに基づいて、前記リストアを行なうテープの鍵を特定し前記管理情報ファイルをリストアし、リストアされた管理情報ファイルに基づいて前記テープのリストアを指示する。
【選択図】図７

Description

本発明は、ストレージシステム、その暗号鍵管理方法及び暗号鍵管理プログラムに関し、例えば、テープに記録されたデータをリストアするための暗号鍵を管理するストレージシステム、その暗号鍵管理方法及び暗号鍵管理プログラムに適用しても好適なものである。

記憶媒体に電子情報を格納する際、暗号鍵を用いてこの電子情報のリード／ライトを制御する技術が知られている（例えば、特許文献１及び２参照）。また、テープ装置では、装置側の暗号鍵を定期的に変更し、テープの紛失、漏洩又はユーザニーズの場合に、テープ内の暗号化されたデータの複合化を防止する施策がとられている。

ここで、テープからデータをリストアする場合、仮に、テープ機能つきストレージ装置の対応する鍵が変更されていたとすると、データ暗号鍵不一致のため、テープからデータがリストアできないこととなる。そこで、変更前の鍵に戻す必要があるが、この方法として「鍵情報バックアップ／リストア」がある。これは、ストレージ装置のシステムディスク内に鍵情報をバックアップしたり、バックアップした鍵情報から変更前の鍵にユーザがリストアしたりする方法である。
特開２００４−３４１７６８号公報 特開２００３−２４４１３１号公報

しかしながら、「鍵バックアップリストア」は、鍵変更前後のデータ（ファイル）を管理する必要があるとともに、ユーザの操作を必要とする煩雑さがある。更に、「鍵の変更〜テープへのバックアップを考えると、このような過渡状態の構成情報を復元する場合、構成情報復元後に行なう操作が、変更した鍵によるテープバックアップなのか、或いは、変更前の鍵によるテープリストアなのかが、ユーザにはわからないという問題がある。

本発明は、以上の点を考慮してなされたもので、データを復元する際にユーザによる鍵情報リストアを行なう必要のないストレージシステム、その暗号鍵管理方法発明及び暗号鍵管理プログラムを提案しようとするものである。

本発明は、ストレージ装置と、このストレージ装置に記憶されたデータをバックアップするテープライブラリ装置と、ストレージ装置及びテープライブラリ装置を管理する管理端末を含むストレージシステムであって、前記ストレージ装置は、前記テープにデータをバックアップする際にデータを暗号化する第１の鍵と、この第１の鍵の第１の鍵ＩＤと、前記第１の鍵によって暗号化されたデータを複合する第２の鍵と、この第２の鍵の第２の鍵ＩＤとを生成する鍵生成部と、前記ストレージ装置内のディスクに記憶されたデータを前記テープライブラリ装置内のテープにバックアップする際に、前記データに関する管理情報を前記生成した前記第１の鍵、前記第１の鍵ＩＤ、第２の鍵、第２の鍵ＩＤを関連づけて記憶する管理情報ファイルとを有し、前記テープライブラリ装置は、前記テープにデータを書き込む際に前記第１の鍵ＩＤを用いてデータを暗号化してテープにデータを書き込むデータ書き込み、前記テープからデータを読み出す際に前記第２の鍵ＩＤを用いて前記テープのデータを複合するデータ処理部を有し、前記テープは、前記管理情報のうち前記第１鍵ＩＤ及び前記第２の鍵ＩＤを少なくとも含むテープ管理ファイルを有し、前記管理端末は、前記管理情報ファイルに記憶された前記第１の鍵ＩＤ、前記第２の鍵ＩＤを含む情報をバックアップするテープグループ情報ファイルと、前記管理情報ファイルに記憶された前記第１の鍵、前記第１の鍵ＩＤ、前記第２の鍵及び前記第２の鍵ＩＤをバックアップする鍵情報ファイルと、前記テープライブラリ装置内のテープに記憶されたデータのリストアを行なうときに、前記テープ管理ファイル、前記テープグループ情報ファイルと、前記鍵情報ファイルとに基づいて、前記リストアを行なうテープの鍵を特定し前記管理情報ファイルをリストアする鍵情報処理部と、前記鍵情報処理部でリストアされた管理情報ファイルに基づいて前記テープのリストアを指示する指示部とを有するものである。

本発明によれば、データを復元する際にユーザによる鍵情報リストアを行なう必要のないストレージシステム、その暗号鍵管理方法及び暗号鍵管理プログラムを提案できる。

記憶媒体に電子情報を格納する際、暗号鍵を用いてこの電子情報のリード／ライトを制御する技術が知られ、また、テープ装置では、装置側の暗号鍵を定期的に変更し、テープの紛失、漏洩又はユーザニーズの場合に、テープ内の暗号化されたデータの複合化を防止する施策がとられている。

ここで、テープからデータをリストアする場合、仮に、テープ装置つきのストレージ装置の対応する鍵が変更されていたとすると、データ暗号鍵不一致のため、テープからリストアできないこととなる。そこで、変更前の鍵に戻す必要があるが、ストレージ装置のシステムディスク内に鍵情報をバックアップしたり、バックアップした鍵情報から変更前の鍵にリストアしたりする方法であるため、鍵変更前後のデータ（ファイル）を管理する必要があるとともに、ユーザの操作を必要とする煩雑さがある。更に、「鍵の変更〜テープへのバックアップを考えると、このような過渡状態の構成情報を復元する場合、構成情報復元後に行なう操作が、変更した鍵によるテープバックアップなのか、或いは、変更前の鍵によるテープリストアなのかが、ユーザにはわからないという状態となってしまう。

そこで、本発明は以下の実施形態で説明するＷｋｅｙと、Ｒｋｅｙという２種類のデータ暗号鍵を管理端末、テープ装置つきストレージ装置からなるストレージシステム内で保持することにより、ユーザによる鍵情報リストアを行なうことなく、鍵変更後のテープリストアを行なうことができるものである。

以下、本発明の実施の形態について図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、本発明のストレージシステム１の構成を示す図である。

ストレージシステム１は、ホスト端末１００、管理端末２００、ＶＤＬ装置３００、ＶＤｌ装置４００を含んでいる。ホスト端末１００とＶＤＬ装置３００とはＳＡＮ（Storage Area Network）２を介して接続されている。また、管理端末２００は、ＶＤＬ装置３００，４００とそれぞれＬＡＮ（Local Area Network）３を介して接続されている。なお、ＶＤＬ装置４００は、ＬＡＮ３とのみ接続されて図示されているが、ホスト端末１００と接続される構成でも良いし、他のホスト端末と接続されている構成でも良い。また、ホスト端末及びＶＤＬ装置の数は、図１に示す数に限られるものではなくホスト端末が２台以上、ＶＤＬ装置が３台以上を含んでストレージシステム１が構成されても良い。

ホスト端末１００は、ＣＰＵ１１０、メモリ１２０、ＨＤＤ（Hard Disk Drive）１３０、ＦＣ ＨＢＡ（Fiber Channel Host Bus Adapter）１４０を有している。また、ＣＰＵ１１０、メモリ１２０、ＨＤＤ１３０及びＦＣ ＨＢＡ１４０は互いに接続している。メモリ１２０には、業務プログラム１２１、ＶＤＬ装置管理プログラム１２２が記憶されている。業務プログラム１２１は、ＶＤＬ装置３００に対するデータの書き込み要求、及び読み出し要求を行なうためのプログラムである。ＶＤＬ装置管理プログラム１２２は、ＶＤＬ装置３００によるデータの二重化、バックアップ処理、リストア処理等を管理するためのプログラムである。

ＣＰＵ１１０は、業務プログラム１２１及びＶＤＬ装置管理プログラム１２２を読み出して実行することにより、業務プログラム１２１及びＶＤＬ装置管理プログラム１２２の機能を実現する。

管理端末２００は、ＣＰＵ２１０、メモリ２２０、ＬＡＮ／ＩＦ２３０を有している。また、ＣＰＵ２１０、メモリ２２０、ＬＡＮ／ＩＦ２３０は互いに接続している。メモリ２２０には、ＶＤＬ装置３００を管理するための周知のプログラムに加え、鍵情報リストアプログラム２２１、ＴＧ情報リストアプログラム２２２が記憶されるとともに、鍵情報ファイル２２３、ＴＧ（テープグループ）情報ファイルが記憶される。

ＣＰＵ２１０は、鍵情報リストアプログラム２２１、ＴＧ情報リストアプログラム２２２を読み出して実行することにより、鍵情報リストアプログラム２２１、ＴＧ情報リストアプログラム２２２の機能を実現する。鍵情報リストアプログラム２２１はＣＰＵ２１０に鍵情報リストアを実行させるプログラムであり、ＴＧ情報リストアプログラム２２２はＣＰＵ２１０にＴＧ情報リストアを実行させるプログラムであるが、これらの具体的な内容については後述する。また、鍵情報ファイルに２２３、ＴＧ情報ファイル２２４に記憶される情報についても後述する。

ＶＤＬ装置３００は、テープリード／ライト機能を備えたストレージ装置であり、ストレージ装置３１０とテープライブラリ装置３５０とがＦＣ（Fiber Channel）スイッチ３０１とが接続して構成されている。

ストレージ装置３１０は、コントローラ部３２０とディスク部３４０とを有している。コントローラ部３２０は、ＣＰＵ３２１、メモリ３２２、データ転送コントローラ３２５、キャッシュメモリ３２６、複数のホストＩ／Ｆ３２７、ＬＡＮＩ／Ｆ３２８、複数のライブラリＩ／Ｆ３２９及び複数のディスクＩ／Ｆ３３０を有している。データ転送コントローラ３２５と、ＣＰＵ３２１、メモリ３２２キャッシュメモリ３２６、ホストＩ／Ｆ３２７、ＬＡＮＩ／Ｆ３２８及びディスクＩ／Ｆ３３０は互いに接続しており、キャシュメモリ３２６にライブラリＩ／Ｆ３３０が接続している。

ＣＰＵ３２１は、メモリ３２２に記憶されたプログラムを実行することにより、ＶＤＬ装置３００を制御する。メモリ３２２は、各種制御プログラム３２２及び各種テーブル３２４を記憶している。メモリ３２２に記憶される各種制御プログラム３２２及び各種テーブル３２４については図２を参照して後述する。ホストＩ／Ｆ３２７は、コントローラ部３２０とホスト端末１００とのデータのやり取りを制御する。ＬＡＮＩ／Ｆ３２８は、コントローラ部３２０と管理端末２００とのデータのやり取りを制御する。ライブラリＩ／Ｆ３２９は、コントローラ部３２０とテープライブラリ装置３５０とのデータのやり取りを制御する。データ転送コントローラ３２５は、ホスト端末１００、管理端末２００、ディスクドライブ３４１、テープライブラリ装置３５０、キャッシュメモリ３２６及びＣＰＵ３２１間のデータのやり取りを制御する。キャシュメモリ３２６は、ホスト端末１００、管理端末２００、ディスクドライブ３４１との間でやり取りするデータ等を一時的に記憶する。ディスクＩ／Ｆ３３０は、コントローラ部３２０とディスク部３４０とのデータやり取りを制御する。

ディスク部３４０は、複数のディスクドライブ３４１を有している。これらディスクドライブ３４１は、複数のディスクＩ／Ｆ３３０と接続している。また、複数のディスクドライブ３４１は、ＬＵ（Logical Unit）を単位とするボリュームが設定されている。そして所定のＬＵから構成されるプライマリボリューム３４３Ｐとセカンダリボリューム３４３Ｓとの間でデータの二重化が行なわれている。また、ディスクドライブ３４１のうちの１つは、構成情報３４２を記憶するシステムディスクを形成している。構成情報３４２については、図３を参照して後述する。なお、構成情報３４２を記憶するシステムディスクは、図１において１つの場合で説明したが複数のディスクドライブ３４１で構成して冗長性をもつようにしても良い。

テープライブラリ装置３００は、複数のテープドライブ３５４、搬送機構部３５５、テープ３５６、テープ格納部３５７を有している。複数のテープドライブ３５４及び搬送機構部３５５はＦＣスイッチ３０１と接続している。

テープドライブ３５４は、テープ３５６からデータを読取り、また、データを書きこむ。テープドライブ３５４について図１６を参照して詳細説明する。図１６に示すように、コントローラ３５１、メモリ３５２及びエンコード／デコード部３５３を有している。コントローラ３５１は、テープドライブ３５４を総括的に制御する。メモリ３５２は、データの暗号化、複合化を行なうための鍵情報等を一時的に記憶する。エンコード／デコード部３５３は、テープドライブ３５４に搬入されたテープ３５６にデータを書き込む際に、メモリ３５２に記憶された鍵情報を用いてデータのエンコードを行い、また、テープドライブ３５４に搬入されたテープ３５６からデータを読取る際にメモリ３５２に記憶された鍵情報を用いてデータのデコードを行なう。

搬送機構部３５５は、指定されたテープグループのテープ３５６をテープドライブ３５４に搬送し、また、テープドライブ３５４からテープ３５６をテープ格納部３５７へ搬送する。テープ格納部３５９は、複数のテープ３５６が格納される。テープ３５６には、テープグループを示す情報が含まれるＴＧ情報、データを複合するための鍵情報（後述するＲｋｅｙＩＤ）などの情報が記憶される。例えば、テープグループ３５９は、４つのテープ３５６から構成される。

なお、ＶＤＬ装置４００は、ＶＤＬ装置３００と同様な構成をしているため、ＶＤＬ装置４００内部の構成の図示及び詳細な説明は省略する。

次に、図２を参照してストレージ装置３１０のメモリ３２２に記憶される各種プログラム３２３、各種テーブル３２４について説明する。

図２に示すように、メモリ３２２には、各種プログラム３２３として、乱数発生プログラム３２３Ａ、データ転送処理プログラム３２３Ｂ、コマンド処理プログラム３２３Ｃ、キャッシュ制御プログラム３２３Ｄ、ディスク制御プログラム３２３Ｅ、ライブラリ制御プログラム３２３Ｆ及びテープドライブ制御プログラム３２３Ｇが記憶される。また、メモリ３２２には、各種テーブル３２３として、ＬＵ（Logical Unit）管理テーブル３２４Ａ、テープ管理テーブル３２４Ｂ、コマンド制御テーブル３２４Ｄ、装置固有情報テーブル３２４Ｆ及びデータ転送制御テーブル３２４Ｅが記憶されている。

乱数発生プログラム３２３Ａは、鍵情報を作成する際に利用する乱数の発生制御をＣＰＵ３２１に実行させるためのプログラムである。

コマンド処理プログラム３２３Ｃは、ホスト端末１００から受け取ったコマンド、管理端末２００から受け取ったコマンドを解釈して、対応する処理の制御をＣＰＵ３２１に実行させるためのプログラムである。

データ転送処理プログラム３２３Ｂは、データの転送の制御をＣＰＵ３２１に実行させるためのプログラムである。

キャッシュ制御プログラム３２３Ｄは、読み出し、書き込み対象のデータをキャッシュメモリ３２６に一時的にキャッシュさせ、当該データを読み出し、書き込みに利用させる制御をＣＰＵ３２１に実行させるためのプログラムである。

ディスク制御プログラム３２３Ｅは、ディスクドライブ３４１へのデータの書き込み及びディスクドライブ３４１からのデータの読み出しの制御をＣＰＵ３２１に実行させるためのプログラムである。

テープドライブ制御プログラム３２３Ｆは、データドライブ３５４を制御してテープ３５６へのデータの書き込み、テープ３５６からのデータの読み込みの制御をＣＰＵ３２１に実行させるためのプログラムである。

ライブラリ制御プログラム３２３Ｇは、搬送機構部３５５を制御して、テープ格納部３５７に格納されたテープ３５６をテープドライブ３５４に搬送し、また、テープドライブ３５４からテープ３５６をテープ格納部３５７に搬送する制御をＣＰＵ３２１に実行させるためのプログラムである。

ＬＵ管理テーブル３２４Ａ及びテープ管理テーブル３２４Ｂは、データの記憶領域等を管理するためのテーブルであり、コマンド制御テーブル３２４Ｄ及びデータ転送制御テーブル３２４Ｅはデータの格納等を管理するためのテーブルである。これらＬＵ管理テーブル３２４Ａ、テープ管理テーブル３２４Ｂ、コマンド制御テーブル３２４Ｄ及びデータ転送制御テーブル３２４Ｅについては本発明と直接関係がないため詳細な説明は省略する。

装置固有情報テーブル３２４Ｆは、鍵情報を作成する際に用いる装置固有情報を記憶するためのテーブルである。例えば、ストレージ装置３１０の製造番号、所定の日時、シーケンス番号及びこれらの組み合わせ等である。なお、製造番号のように通常装置内に記憶される固有の情報を鍵情報の作成の際に用いる場合には、その情報を用いることとし、装置固有情報テーブル３２４Ｆを有しない構成としても良い。

図３は、構成情報３４３を格納した構成情報テーブルを示す図である。図３に示すように、構成情報テーブル５００は、ＴＧ番号欄５１０、ＴＧ閉塞状態欄５１１、ＴＧコピー状態欄５１２、ミラー状態欄５１３、使用テープ番号（正）欄５１４、使用テープ番号（副）欄５１５、格納ＬＵリスト欄５１６、書き込み日時欄５１７、キーワード欄５１８、暗号化状態欄５１９、ＷｋｅｙＩＤ欄５２０、ＲｋｅｙＩＤ欄５２１、Ｗｋｅｙ欄５２２及びＲｋｅｙ欄５２３を有している。

ＴＧ番号欄５１０には、データを格納する格納単位となるテープグループを一意に示すＴＧ番号が格納される。ＴＧ閉塞状態欄５１１には、対応するＴＧが閉塞しているか、正常か、又は未定義かを示す情報が格納される。ＴＧコピー状態欄５１２には、ＴＧのコピーに関する状態の情報が格納される。ミラー状態欄５１３には、対応するＴＧがミラー状態、すなわち、データを二重化して記憶しているか否かを示す情報が格納される。使用テープ番号（正）欄５１４には、ＴＧに属するテープ３５６のテープ番号が格納される。使用テープ番号（副）欄５１５には、ＴＧがミラー状態である場合に、副側のテープ３５６のテープ番号が格納される。格納ＬＵリスト欄５１６には、対応するＴＧにバックアップされているボリュームのＬＵ番号のリストが格納される。書き込み日時欄５１７には、ＴＧにデータを書き込んだ日時が格納される。キーワード欄５１８には、任意に設定されたキーワードが格納される。暗号化状態欄５１９には、データの暗号化がされているか否かの情報が格納される。

例えば、１番号目のレコードによると、ＴＧ番号が“０”状態であり、ＴＧ閉塞状態は“正常”状態であり、ＴＧコピー状態は“ＣＯＰＹ＿ＥＮＤ”状態であり、使用テープ番号（正）は“０，１”状態であり、使用テープ番号（副）は“２，３”状態であり、格納ＬＵリストは“２，４”状態であり、書き込み日時は“２００７／０７／２０ ０１：２３：４５”状態であり、キーワードは“ＤＢ１＿２００７０７２０”状態であり、暗号化状態は“ＯＮ”状態であり、ＷｋｅｙＩＤは“２００７０７１８０８３０１５＿０”状態であり、ＲｅｋｅｙＩＤは“２００７０７１８０８３０１５＿０”状態であり、Ｗｋｅｙは“＊＊＊＊”状態であり、Ｒｋｅｙは“＊＊＊＊”状態である。なお、“＊＊＊＊”は暗号化されている状態である。

なお、ＷｋｅｙＩＤ欄５２０、ＲｋｅｙＩＤ欄５２１、Ｗｋｅｙ欄５２２及びＲｋｅｙ欄５２３は、鍵情報を記憶する欄である。これらに記憶されるＷｋｅｙＩＤ、ＲｋｅｙＩＤ、Ｗｋｅｙ及びＲｋｅｙの詳細については後述する。

次に従来のＶＤＬ装置におけるデータのバックアップの流れについて説明する。ホスト端末１００の業務プログラム１２１が実行されたときのデータは、ＦＣ ＨＢＡ１４０、ＳＡＮ２、ホストＩ／Ｆ３２７、データ転送コントローラ３２５、ディスクＩ／Ｆ３３０を介してプライマリボリューム３４３Ｐに格納される。そして、ストレージ装置３１０において、プライマリボリューム３４３Ｐに書き込まれたデータが、所定のタイミングでセカンダリボリューム３２３Ｓに書き込まれ、データが二重化される。その後、そのデータは、ディスクＩ／Ｆ３３０、データ転送コントローラ３２５、ライブラリＩ／Ｆ３２９、ＦＣスイッチ３０１を介してテープライブラリ装置３５０のテープ３５６にバックアップされる。

続いて従来のＶＤＬ装置におけるデータのリストアの流れについて説明する。例えば、管理端末２００により読み出すデータが指定されると、当該データが書き込まれたテープ３５６が搬送機構部３５５によりテープドライブ３５４に搬送される。そして、テープ３５６からテープドライブ３５４で読み出されたデータは、ＦＣスイッチ３０１、ライブラリＩ／Ｆ３２９、データ転送コントローラ３２５、ディスクＩ／Ｆ３３０を介してセカンダリボリューム３４３Ｓに書き込まれる。そして、セカンダリボリューム３４３Ｓに書き込まれたデータは、プライマリボリューム３４３Ｐにリバースコピーされる。これにより、所定のデータをリストアすることができる。

以下では上記のようにＶＤＬ装置３００において、データのバックアップ及びリストアをする際、また、他のＶＤＬ装置４００にテープをインポートする場合などに暗号鍵を用いてデータのバックアップする際にデータの暗号化、複合化を行っている。以下では、ＶＤＬ装置３００における暗号鍵を用いたデータ処理について説明する。

先ず、データの暗号化を行なうための暗号鍵について説明する。暗号鍵は、上記乱数発生プログラム２２３Ａによって発生された乱数を用いてＷｋｅｙを生成し、装置固有情報２２４Ｆ内の装置固有情報を用いて暗号化された後構成情報テーブル５００に記憶する。したがって、構成情報テーブル５００からＷｋｅｙが読みだされるときは、その装置固有情報で複合されて読みだされる。このＷｋｅｙは、データをテープに書き込む（バックアップする）際に使用するものである。また、テープグループ作成時やバックアップ時にＷｋｅｙをＲｋｅｙにコピーする。Ｒｋｅｙは、データを読み取り（リストア）する際に複合鍵として使用する。このＲｋｅｙも装置固有情報で暗号化されて構成情報テーブル５００に記憶され、読み出されるときに装置固有情報で複合されて読み出される。

Ｗｋｅｙ生成時には、全てのＶＤＬ装置（この実施形態では、ＶＤＬ装置３００，４００）でユニークとなるＷｋｅｙＩＤを生成し、ＷｋｅｙをＲｋｅｙにコピーする際には、ＷｋｅｙＩＤもＲｋｅｙＩＤとしてコピーする。Ｗｋｅｙ及びＷｋｅｙＩＤの作成及びＲｋｅｙ、ＲｋｅｙＩＤへのコピーのタイミングについては、図４を参照して後述する。また、上記暗号鍵は、管理端末２００から暗号鍵の変更の指示があったときに上記暗号鍵を生成する処理が再びストレージ装置３１０内で実行され、新たなＷｋｅｙ、ＷｋｅｙＩＤが生成される。そして、データをバックアップする際にこの新たなＷｋｅｙ、ＷｋｅｙＩＤがＲｌｅｙ、ＲｋｅｙＩＤとしてコピーされる。

次に、テープグループ作成時、テープバックアップ時、鍵変更時、リストア時の構成情報テーブル５００に記憶されるＷｋｅｙ、ＷｋｅｙＩＤ、Ｒｋｅｙ及びＲｋｅｙＩＤの変化について説明する。図４は、これらの状態の変化を示す遷移図である。

図４に示すように、遷移図６００は、構成情報内の鍵と鍵ＩＤを示す欄６１０、暗号化に使用した鍵を示す欄６２０、処理／説明の欄６３０を有しており、上側１段目から５段目まで順に、テープグループ作成時、テープバックアップ時、鍵変更時（鍵の過渡状態）、鍵変更後のテープバックアップ時、鍵変更後のテープリストア時の鍵（Ｗｋｅｙ，Ｒｋｅｙ）及び鍵ＩＤ（ＷｋｅｙＩＤ，ＲｋｅｙＩＤ）の状態を示している。

なお、図４において、Ｗｋｅｙ１とＲｋｅｙ１、ＷｋｅｙＩＤ１とＲｋｅｙＩＤ１、Ｗｋｅｙ２とＲｋｅｙ２、ＷｋｅｙＩＤ２とＲｋｅｙＩＤ２は、それぞれ同値であり、Ｋ１からＫ３は、鍵情報の状態を示しており、Ｔ１，Ｔ２は、テープ内の鍵ＩＤの状態を示している。

遷移図６００の１段目のテープグループ作成時について説明する。欄６３０には、「テープグループ作成時に、バックアップ時に暗号化に使用するＷｋｅｙとＷｋｅｙＩＤ（暗号鍵１）を生成し、それぞれＲＫｅｙ、ＲｋｅｙＩＤにコピーする。」処理が行われることが記載されている。欄６２０は、テープグループ作成時には暗号鍵がコピーされていないため空欄となっている。また、欄６１０には、鍵の状態Ｋ１として、Ｗｋｅｙ１，ＷｋｅｙＩＤ１が生成され、これらがＲｋｅｙ１，ＲｋｅｙＩＤ１としてコピーされている状態となっている。

次に遷移図６００の２段目のテープバックアップ時について説明する。欄６３０には、「テープバックアップ時は、Ｗｋｅｙを用いて暗号化を行い、Ｗｋｅｙ、ＷｋｅｙＩＤをＲｋｅｙ、ＲｋｅｙＩＤにコピーする。」処理が行われることが記載されている。欄６２０には、テープ内の鍵の状態Ｔ１として、ＷｋｅｙＩＤ１が記憶された状態となっている。また、欄６１０には、鍵の状態Ｋ１のままであり、Ｗｋｅｙ１がテープへのデータ記録時に使用されるとともに、Ｗｋｅｙ１，ＷｋｅｙＩＤ１がＲｋｅｙ１，ＲｋｅｙＩＤ１としてコピーされている状態が示されている。

次に遷移図６００の３段目の鍵変更時について説明する。欄６３０には、「鍵変更時は、ＷｋｅｙとＷｋｅｙＩＤ（暗号鍵２）を生成し、更新する。このとき、Ｒｋｅｙ，ＲｋｅｙＩＤへは、コピーしない。」処理が行われることが記載されている。欄６２０は、データのバックアップ等の処理を行わないため空欄となっている。欄６１０には、鍵の状態Ｋ２として、Ｗｋｅｙ２、ＷｋｅｙＩＤ２が生成され、Ｗｋｅｙ１，ＷｋｅｙＩＤ１から変更されている状態となっている。なお、Ｒｋｅｙ１，ＲｋｅｙＩＤ１は状態Ｋ１からそのままとなっている。

次に遷移図６００の４段目の鍵変更後のデータバックアップ時について説明する。欄６３０には、「鍵変更後テープバックアップ時は、Ｗｋｅｙを用いて暗号化を行い、Ｗｋｅｙ，ＷｋｅｙＩＤをＲＫｅｙ，ＲｋｅｙＩＤにコピーする。テープの暗号鍵とＲｋｅｙはこのとき、２に更新される。」処理が行われることが記載されている。欄６２０には、テープ内の鍵の状態Ｔ２として、ＷｋｅｙＩＤ１からＷｋｅｙＩＤ２に変更された状態となっている。欄６１０には、鍵の状態Ｋ３として、Ｗｋｅｙ２，ＷｋｅｙＩＤ２がＲｋｅｙ２，ＲｋｅｙＩＤ２としてコピーされた状態が示されている。

次に遷移図６００の５段目の鍵変更後のテープリストア時について説明する。欄６３０には、「鍵変更後テープリストア時は、変更されていないＲｋｅｙを用いてリストアを行なう。」処理が行われることが記載されている。欄６２０は、テープ内の鍵の状態Ｔ１として、ＷｋｅｙＩＤ１が記憶されている。欄６１０には、鍵情報の状態Ｋ２として、Ｗｋｅｙ２，ＷｋｅｙＩＤ２、Ｒｋｅｙ１，ＲｋｅｙＩＤ１となっている。このＲｋｅｙＩＤ１を用いてテープのデータのリストアが行なわれる。

図５は、テープグループ作成時の処理を示すフローチャートである。

ステップＳ１０１において、ＶＤＬ装置３００は、テープグループ作成の指示を取得する。この指示は、管理端末２００において所定の操作が行なわれ、その指示が管理端末２００からＶＤＬ装置３００に送信されることによりＶＤＬ装置３００で取得される。

ステップＳ１０２において、ＣＰＵ３２１は、乱数発生プログラム３２３Ａを実行させて乱数を発生させ暗号鍵は、Ｗｋｅｙを生成する。そして、ＣＰＵ３２１は、Ｗｋｅｙを装置固有情報テーブル３２４Ｆに記憶された装置固有情報を用いて暗号化する。

ステップＳ１０３において、ＣＰＵ３２１は、ステップＳ１０２において作成したＷｋｅｙをＷｌｅｙＩＤとし、ＷｋｅｙＩＤを生成する。

ステップＳ１０４において、ＣＰＵ３２１は、ステップＳ１０２において作成したＷｋｅｙ、ステップＳ１０３において作成したＷｋｅｙＩＤを、それぞれＲｋｅｙ、ＲｋｅｙＩＤとし、Ｒｋｅｙ、ＲｋｅｙＩＤを生成する。なお、ＣＰＵ３２１は、Ｒｋｅｙを装置固有情報テーブル３２４Ｆに記憶された装置固有情報を用いて暗号化する。

ステップＳ１０５において、ＣＰＵ３２１は、上記で作成したＷｋｅｙ、ＷｋｅｙＩＤ、Ｒｋｅｙ、ＲｋｅｙＩＤを含めた他の情報を取得し、構成情報テーブル５００に取得した情報を格納する。

ステップＳ１０６において、ＣＰＵ３２１は、テープグループ及びＲｋｅｙの情報をテープライブラリ装置に送信し、テープグループとなるテープにＴＧ番号、ＲｋｅｙＩＤ等の情報を格納させる。

図６は、テープバック時の処理を示すフローチャートである。

ステップＳ２０１において、ＣＰＵ３２１は、テープライブラリ装置３５０へデータとともにＷｋｅｙを送信する。このとき、ＣＰＵ３１２は、構成情報テーブル５００のＷｋｅｙＩＤ及びＷｋｅｙＩＤを、Ｒｋｅｙ、ＲｋｅｙＩＤとしてコピーする。

ステップＳ２０２において、メモリ３５２に記憶されたＷｋｅｙを用いてコントローラ３５１は、エンコード／デコード部３５３を制御して、データを暗号化する。

ステップＳ２０３において、ＣＰＵ３２１の指示の下搬送機構部３５５は、前記データを格納するテープ３５６をテープドライブ３５４に搬送する。なお、このステップＳ２０３の処理は、上記ステップＳ２０２の処理と同時に行なってもよいし、処理の順序を入れ替えても良い。

ステップＳ２０４において、テープドライブ３４１によりテープ３５６に暗号化されたデータを書き込む。

以下では、ストレージシステム１において、ＴＧ情報リストア処理と鍵情報リストア処理を用いてデータ復元するリストア、テープインポートを行った後、鍵情報リストア処理を用いてデータを復元するリストアについてそれぞれ説明する。

ここで、管理端末２００の鍵情報ファイル２２３、ＴＧ情報ファイル２２４に記憶される内容について説明する。図１７は、鍵情報ファイル２２３に記憶される情報を示す図である。図１７に示すように、鍵情報ファイルには、ＷｋｅｙＩＤ、ＷｋｅｙＩＤ、Ｒｋｅｙ及びＲｋｅｙＩＤが記憶される。また、図１８は、ＴＧ情報ファイル２２４に記憶される内容を示す図である。図１８に示すように、構成情報テーブル５００に保存された内容のうち、ＴＧ属性（ＴＧ番号欄５１０から暗号化状態欄５１９のうちの任意の情報）情報、ＷｋｅｙＩＤ、ＲｋｅｙＩＤが記憶される。すなわち、ＴＧ情報ファイルには、Ｗｋｅｙ、Ｒｋｅｙは記憶されない。これら鍵情報ファイル２２３，構成情報ファイル２２４は、構成情報テーブル５００のバックアップファイルとなっている。

先ず、ＴＧ情報リストア処理と鍵情報リストア処理を用いてデータ復元するリストアについて説明する。

図７は、ＴＧ情報リストア処理と鍵情報リストア処理を用いてデータ復元するリストアを簡単に説明する模式図である。また、図１０は、このリストア処理を示すフローチャートである。

図７及び図１０に示すように、管理端末２００は、例えばユーザからリストアの指示を受けると（Ｓ４０１）、その指示からリストアするテープ３５６のＴＧ情報リストア（Ｓ４０２）及び鍵情報リストア（Ｓ４０３）を行なう。この際、構成情報テーブル５００の鍵情報の書換え等が行なわれる。また、リストアができない場合は、リストアできない旨が例えば、管理端末２００の図示しない表示装置等に表示され、ユーザに報知される。

そして、ストレージ装置３１０は、テープライブラリ装置３５０へＴＧ情報、鍵情報を送信する（Ｓ４０４）。

テープライブラリ装置３５０は、ＴＧで特定されるテープ３５６をテープドライブ３５４に搬送し（Ｓ４０５）、そのテープ３５６からデータを読み出す（Ｓ４０６）。そして、コントローラ３５１は、鍵情報を用いてエンコード／デコード部３５３を制御して、暗号化されたデータを複合する（Ｓ４０７）。そして、テープライブラリ装置３５０からストレージ装置３１０にデコードされたデータが送信される（Ｓ４０８）。

ストレージ装置３１０は、デコードされたデータをＴＧと対応するＬＵに記憶する（Ｓ４０９）。そして、ストレージ装置３１０は、データのリストアの完了を管理端末２００に報告する（Ｓ４１０）。

以下では、ＴＧ情報リストア処理と鍵情報リストア処理を用いてデータ復元するリストアにおけるＴＧ情報リストア及び鍵情報リストアについて説明する。

既述の遷移図６００より、ＴＧ作成時、鍵変更後、鍵変更バックアップ後それぞれの鍵及び鍵ＩＤの状態は、ＴＧ作成時（ＷｋｅｙＩＤ１、Ｗｋｅｙ１、ＲｋｅｙＩＤ１、Ｒｋｅｙ１）、鍵変更後（ＷｋｅｙＩＤ２、Ｗｋｅｙ２、ＲｋｅｙＩＤ１、Ｒｋｅｙ１）、鍵変更バックアップ後（ＷｋｅｙＩＤ２、Ｗｋｅｙ２、ＲｋｅｙＩＤ２、Ｒｋｅｙ２）となる。

また、ＴＧ情報ファイル２２４に格納されている鍵ＩＤが取り得る状態は、鍵状態がＫ１の状態で取得した（ＷｋｅｙＩＤ１、ＲｋｅｙＩＤ１）、鍵状態がＫ２の状態で取得した（ＷｋｅｙＩＤ２、ＲｋｅｙＩＤ１）、鍵状態がＫ３の状態で取得した（ＷｋｅｙＩＤ２、ＲｋｅｙＩＤ２）である。

図８は、遷移図６００に基づく前提条件の下でのＴＧ情報リストアによるＴＧ情報復元後の鍵及び鍵ＩＤの状態を示す状態図である。

図８に示すように、状態図７００は、番号欄７１０、ＴＧ情報ファイルの内容欄７２０、ＴＧ情報リストア後の構成情報欄７３０を有している。番号欄７１０は番号が示されている。ＴＧ情報ファイルの内容欄７２０は、ＴＧ情報ファイルの具体的な内容が示されている。ＴＧ情報リストア後の構成情報欄７３０には、ＴＧ情報リストアを行なったあとの構成情報の内容が示されている。

番号“１”には、ＴＧ作成時に取得したＴＧ情報ファイルを使用するＴＧ情報リストア処理が示されている。ＴＧ情報ファイルの内容は、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷＫｅｙＩＤは“ＷｋｅｙＩＤ１”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ１”であることが示されている。これらの情報が、ＴＧ情報リストアが行なわれることにより、構成情報は、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷＫｅｙＩＤは“ＷｋｅｙＩＤ１”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ１”、Ｗｋｅｙは“無効”、Ｒｋｅｙは“無効”となることが示されている。

番号“２”には、鍵変更時に取得したＴＧ情報ファイルを使用するＴＧ情報リストア処理が示されている。ＴＧ情報ファイルの内容は、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷＫｅｙＩＤは“ＷｋｅｙＩＤ２”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ１”であることが示されている。これらの情報が、ＴＧ情報リストアが行なわれることにより、構成情報は、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷＫｅｙＩＤは“ＷｋｅｙＩＤ２”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ”、Ｗｋｅｙは“無効”、Ｒｋｅｙは“無効”となることが示されている。

番号“３”には、鍵変更後テープバックアップ時に取得したＴＧ情報ファイルを使用するＴＧ情報リストア処理が示されている。ＴＧ情報ファイルの内容は、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷＫｅｙＩＤは“ＷｋｅｙＩＤ２”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ２”であることが示されている。これらの情報が、ＴＧ情報リストアが行なわれることにより、構成情報は、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷＫｅｙＩＤは“ＷｋｅｙＩＤ２”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ２”、Ｗｋｅｙは“無効”、Ｒｋｅｙは“無効”となることが示されている。

図９は、ＴＧ情報リストア後に鍵情報リストアにて復元した鍵及び鍵ＩＤの状態を示す状態図である。ＴＧ情報リストアによってリストアされた鍵及び鍵ＩＤの状態は、鍵情報リストアによりさらに３つの状態を取り得る。以下では、その９つの状態についてそれぞれ説明する。なお、鍵変更リストア処理の具体的な処理内容については、図１１を参照して後述する。

図９に示すように、状態図８００は、番号欄８１０、ＴＧ情報リストア後の構成情報欄８２０、鍵情報ファイルの内容欄８３０、鍵情報リストア後の構成情報欄８４０を有している。番号欄８１０は番号が示されている。ＴＧ情報リストア後の構成情報欄８２０は、図８の状態図のＴＧ情報リストア後の構成情報欄７３０と同じ内容が示されている。鍵情報ファイルの内容欄８３０は、鍵情報リストア後の鍵情報ファイルの内容が示されている。鍵情報リストア後の構成情報欄８４０は、鍵情報リストア後の構成情報が示されている。

番号“１”から“３”には、図８における番号“１”のＴＧ情報リストア後の構成情報が示されている。以下番号“１”から“３”それぞれの内容について説明する。なお、以下において、ＷｋｅｙＩＤ３と、Ｗｋｅｙ３は、鍵情報リストア時に新規作成した鍵ＩＤ及び鍵である。

番号“１”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ１、Ｗｋｅｙ：Ｗｋｅｙ１、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ１、Ｗｋｅｙ：Ｗｋｅｙ１、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。

番号“２”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ３、Ｗｋｅｙ：Ｗｋｅｙ３、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。

番号“３”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。この場合は、鍵情報リストア後の構成情報として鍵情報リストアが不可能であることが示されている。

番号“４”から“６”には、図８における番号“２”のＴＧ情報リストア後の構成情報が示されている。以下番号“４”から“６”それぞれの内容について説明する。

番号“４”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ１、Ｗｋｅｙ：Ｗｋｅｙ１、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ３、Ｗｋｅｙ：Ｗｋｅｙ３、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。

番号“５”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。

番号“６”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。この場合は、鍵情報リストア後の構成情報として鍵情報リストアが不可能であることが示されている。

番号“７”から“９”には、図８における番号“３”のＴＧ情報リストア後の構成情報が示されている。以下番号“７”から“９”それぞれの内容について説明する。

番号“７”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ１、Ｗｋｅｙ：Ｗｋｅｙ１、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。この場合は、鍵情報リストア後の構成情報として鍵情報リストアが不可能であることが示されている。

番号“８”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。

番号“９”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。

次に、鍵情報リストア処理について説明する。図１１は鍵情報リストア処理を示すフローチャートである。

ステップＳ３０１において、ＣＰＵ２１０は、構成情報のＲｋｅｙＩＤと、鍵情報ファイル２２３のＷｋｅｙＩＤ、ＲｋｅｙＩＤを比較する。一致しない場合は、ステップＳ３０２において、ＣＰＵ２１０は、そのＴＧは鍵リストアを失敗する。

一方、ステップＳ３０２で一致する場合は、ＣＰＵ２１０は、構成情報ＷｋｅｙＩＤと、鍵情報ファイルのＷｋｅｙＩＤを比較する。一致する場合は、ステップＳ３０４において、ＣＰＵ２１０は、鍵情報ファイル２２３のＷｋｅｙを構成情報テーブル５００のＷｋｅｙにコピーする。一致しない場合は、ステップＳ３０５において、ＣＰＵ２１０は、Ｗｋｅｙを新規生成し、ＷｋｅｙＩＤ，Ｗｋｅｙを構成情報テーブル５００に格納する。

そして、ステップＳ３０６において、ＣＰＵ２１０は、鍵情報ファイル２２３のＷｋｅｙＩＤかＲｋｅｙＩＤで、構成情報のＲｋｅｙＩＤと一致した方のＫｅｙを構成情報のＲｋｅｙにコピーする。これにより、鍵情報リストア処理が終了し、構成情報テーブル５００のＷｋｅｙＩＤ、Ｗｋｅｙ、ＲｋｅｙＩＤ、Ｒｋｅｙがリストアされる。

次に、テープインポートを行った後、鍵情報リストア処理を用いてデータを復元するリストアについて説明する。

図１２は、テープインポートを行った後、鍵情報リストア処理を用いてデータを復元するリストアを簡単に説明する模式図である。また、図１５は、このリストア処理を示すフローチャートである。

図１２及び図１５に示すように、例えばユーザがＶＤＬ装置４００からテープ３５６をＶＤＬ装置３００のテープドライブ３５４に挿入することにより、テープ３５６のインポートを行なう。そして、ユーザは、管理端末２００を操作して、テープドライブ３５４に挿入されたテープ３５６のＴＧ情報を読取るための操作を行なう。管理端末２００は、ユーザの操作により、ＴＧ情報を読取るため指示を取得すると（Ｓ５０１）、ＴＧ情報の読み取りをストレージ装置３１０に指示する（Ｓ５０２）。

ストレージ装置３１０は、管理端末２００から読み取り指示を受け取ると当該指示に基づいてテープライブラリ装置３５０にテープ３５６からＴＧ情報を読取らせる（Ｓ５０４）。

テープライブラリ装置３５０は、テープ３５６からＴＧ情報を読取ると、そのＴＧ情報をストレージ装置３１０に送信する（Ｓ５０５）。ストレージ装置３１０は、そのＴＧ情報を管理端末２００に送信する（Ｓ５０６）。

管理端末２００は、ストレージ装置３１０から送信されたＴＧ情報に基づいて、鍵情報リストアを行なう（Ｓ５０７）。このときの鍵情報リストア処理は、図１１で説明した処理と同様である。

そして、ストレージ装置３１０は、テープライブラリ装置３５０へＴＧ情報、鍵情報を送信する（Ｓ５０８）。

テープライブラリ装置３５０は、テープ３５６からデータを読み出す（Ｓ５０９）。そして、コントローラ３５１は、鍵情報を用いてエンコード／デコード部３５３を制御して、暗号化されたデータを複合する（Ｓ５１０）。そして、テープライブラリ装置３５０からストレージ装置３１０にデコードされたデータが送信される（Ｓ５１１）。

ストレージ装置３１０は、デコードされたデータをＴＧと対応するＬＵに記憶する（Ｓ５１２）。そして、ストレージ装置３１０は、データのリストアの完了を管理端末２００に報告する（Ｓ５１３）。

以下では、テープインポートを行った後、鍵情報リストア処理を用いてデータを復元するリストアにおける鍵情報リストアについて説明する。

既述の遷移図６００より、ＴＧ作成時、鍵変更後、鍵変更バックアップ後それぞれの鍵及び鍵ＩＤの状態は、ＴＧ作成時（ＷｋｅｙＩＤ１、Ｗｋｅｙ１、ＲｋｅｙＩＤ１、Ｒｋｅｙ１）、鍵変更後（ＷｋｅｙＩＤ２、Ｗｋｅｙ２、ＲｋｅｙＩＤ１、Ｒｋｅｙ１）、鍵変更バックアップ後（ＷｋｅｙＩＤ２、Ｗｋｅｙ２、ＲｋｅｙＩＤ２、Ｒｋｅｙ２）となる。

また、ＴＧ情報ファイル２２４に格納されている鍵ＩＤが取り得る状態は、鍵ＩＤがＴ１の状態で取得した（ＷｋｅｙＩＤ１、ＲｋｅｙＩＤ１）、鍵ＩＤがＴ２の状態で取得した（ＷｋｅｙＩＤ２、ＲｋｅｙＩＤ２）である。

図１３は、遷移図６００に基づく前提条件の下でのテープインポートによるＴＧ情報復元後の鍵及び鍵ＩＤの状態を示す状態図である。

図１３に示すように、状態図９００は、番号欄９１０、テープ内容管理情報の内容欄９２０、テープインポート後の構成情報欄９３０を有している。番号欄９１０は番号が示されている。テープ内容管理情報の内容欄９２０は、テープ内で管理されている管理情報が示されている。テープインポート後の構成情報欄９３０は、テープインポート後の構成情報が示されている。

番号“１”には、鍵変更前にテープバックアップを行なったテープをインポートした場合の処理が示されている。テープ内管理情報の内容としては、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷｋｅｙＩＤは“ＷｋｅｙＩＤ１”であることが示されている。また、テープインポート後の構成情報として、ＴＧ番号：ｎ、バック日時、ＴＧ属性等が示されており、ＷｋｅｙＩＤは“ＷｋｅｙＩＤ１”、Ｗｋｅｙは“無効”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ１”、Ｒｋｅｙは“無効”であることが示されている。

番号“２”には、鍵変更後にテープバックアップを行なったテープをインポートした場合の処理が示されている。テープ内管理情報の内容としては、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等が示されており、ＷｋｅｙＩＤは“ＷｋｅｙＩＤ２”であることが示されている。また、テープインポート後の構成情報として、ＴＧ番号：ｎ、バック日時、ＴＧ属性等が示されており、ＷｋｅｙＩＤは“ＷｋｅｙＩＤ２”、Ｗｋｅｙは“無効”、ＲｋｅｙＩＤは“ＲｋｅｙＩＤ２”、Ｒｋｅｙは“無効”であることが示されている。

図１４は、ＴＧ情報リストア後に鍵情報リストアにて復元した鍵および鍵ＩＤの状態を示す状態図である。ＴＧ情報リストアによってリストアされた鍵及び鍵ＩＤの状態は、鍵情報リストアによりさらに３つの状態を取り得る。以下では、その６つの状態についてそれぞれ説明する。なお、鍵変更リストア処理の具体的内容については図１１と同様であるため、説明を省略する。

図１４に示すように、状態図１０００は、番号欄１０１０、テープインポート後の構成情報欄１０３０、鍵情報ファイルの内容欄１０２０、鍵情報リストア後の構成情報欄１０４０を有している。番号欄１０１０は番号が示されている。テープインポート後の構成情報欄１０２０は、図１３の状態図９００のＴＧ情報リストア後の構成情報欄９３０と同じ内容が示されている。鍵情報ファイルの内容欄１０３０は、鍵情報リストア後の鍵情報ファイルの内容が示されている。鍵情報リストア後の構成情報欄１０４０は、鍵情報リストア後の構成情報が示されている。

番号“１”から“３”には、図１３における番号“１”のテープインポート後の構成情報が示されている。以下番号“１”から“３”それぞれの内容について説明する。なお、以下において、ＷｋｅｙＩＤ３と、Ｗｋｅｙ３は、鍵情報リストア時に新規作成した鍵ＩＤ及び鍵である。

番号“１”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ１、Ｗｋｅｙ：Ｗｋｅｙ１、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、テープインポート後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ１、Ｗｋｅｙ：Ｗｋｅｙ１、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。

番号“２”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ３、Ｗｋｅｙ：Ｗｋｅｙ３、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。

番号“３”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。この場合は、鍵情報リストア後の構成情報として鍵情報リストアが不可能であることが示されている。

番号“４”から“６”には、図１３における番号“２”のテープインポート後の構成情報が示されている。以下番号“１”から“３”それぞれの内容について説明する。

番号“４”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ１、Ｗｋｅｙ：Ｗｋｅｙ１、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。この場合は、鍵情報リストア後の構成情報として鍵情報リストアが不可能であることが示されている。

番号“５”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ１、Ｒｋｅｙ：Ｒｋｅｙ１が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。

番号“６”の鍵情報ファイルとして、ＴＧ番号：ｎ、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。また、鍵情報リストア後の構成情報として、ＴＧ番号：ｎ、バックアップ日時、ＴＧ属性等、ＷｋｅｙＩＤ：ＷｋｅｙＩＤ２、Ｗｋｅｙ：Ｗｋｅｙ２、ＲｋｅｙＩＤ：ＲｋｅｙＩＤ２、Ｒｋｅｙ：Ｒｋｅｙ２が示されている。

この実施の形態によると、ストレージシステム１は、データを暗号化する鍵が変更になっている場合に、ＶＤＬ装置３００内でテープに記憶されたデータをリストアする場合、他のＶＤＬ装置４００からＶＤＬ装置３００にテープをインポートする場合のいずれの場合でも、Ｗｋｅｙ、Ｒｋｅｙという２種類の鍵を用い、これらが新たに生成されたとき等のタイミングで鍵情報ファイル２２３、ＴＧ情報ファイル２２４にバックアップをしておくことで、Ｗｋｅｙ、Ｒｋｅｙに変更があった場合でも、Ｒｋｅｙを復元することができ、テープからデータをリストアする際にユーザが鍵情報リストアの操作を行なわなくても、テープからのリストアを行なうことができ、ユーザの手間を省くことができる。

本発明は、ストレージシステム、その暗号鍵管理方法及び暗号鍵管理プログラムに広く適用することができる。

本発明に係わるストレージシステムの構成を示す図である。 本発明に係わるメモリに記憶される内容を示す図である。 本発明に係わるテープグループ情報テーブルに記憶される内容を示す図である。 本発明に係わる鍵及び鍵ＩＤの状態変化の遷移を示す遷移図である。 本発明に係わるテープグループ作成処理を示すフローチャートである。 本発明に係わるテープバックアップ時の処理を示すフローチャートである。 本発明に係わるＴＧ情報リストア処理と鍵情報リストア処理を用いてデータ復元するリストアを簡単に説明する模式図である。 本発明に係わる遷移図に基づく前提条件の下でのＴＧ情報リストアによるＴＧ情報復元後の鍵及び鍵ＩＤの状態を示す状態図である。 本発明に係わるＴＧ情報リストア後に鍵情報リストアにて復元した鍵及び鍵ＩＤの状態を示す状態図である。 本発明に係わるＴＧ情報リストア処理と鍵情報リストア処理を用いてデータ復元するリストア処理を示すフローチャートである。 本発明に係わる鍵情報リストア処理を示すフローチャートである。 本発明に係わるテープインポートを行った後、鍵情報リストア処理を用いてデータを復元するリストアを簡単に説明する模式図である。 本発明に係わる遷移図に基づく前提条件の下でのテープインポートによるＴＧ情報復元後の鍵及び鍵ＩＤの状態を示す状態図である 本発明に係わるＴＧ情報リストア後に鍵情報リストアにて復元した鍵および鍵ＩＤの状態を示す状態図である。 本発明に係わるテープインポートを行った後、鍵情報リストア処理を用いてデータを復元するリストア処理を示すフローチャートである。 本発明に係わるテープドライブ内の構成を示す図である。 本発明に係わる鍵情報ファイルに記憶される内容を示す図である。 本発明に係わるテープ部ループ情報ファイルに記憶される内容を示す図である。

符号の説明

１…ストレージシステム、１００…ホスト端末、２００…管理端末、２１０…ＣＰＵ、２２３…鍵情報ファイル、２２４…ＴＧ情報ファイル、３００，４００…ＶＤＬ装置、３２０…ストレージ装置、３２１…ＣＰＵ、３２２…メモリ、３５０…テープライブラリ装置、３５１…コントローラ、３５３…エンコーダ／デコーダ部、３５４…テープドライブ、３５６…テープ、５００…テープグループ（ＴＧ）構成情報テーブル、６００…遷移図、７００，８００，９００，１０００…状態図

Claims (14)

1. ストレージ装置と、このストレージ装置に記憶されたデータをバックアップするテープライブラリ装置と、前記ストレージ装置及び前記テープライブラリ装置を管理する管理端末を含むストレージシステムであって、
   前記ストレージ装置は、
   前記テープにデータをバックアップする際にデータを暗号化する第１の鍵と、この第１の鍵の第１の鍵ＩＤと、前記第１の鍵によって暗号化されたデータを複合する第２の鍵と、この第２の鍵の第２の鍵ＩＤとを生成する鍵生成部と、
   前記ストレージ装置内のディスクに記憶されたデータを前記テープライブラリ装置内のテープにバックアップする際に、前記データに関する管理情報を前記生成した前記第１の鍵、前記第１の鍵ＩＤ、第２の鍵、第２の鍵ＩＤを関連づけて記憶する管理情報ファイルとを有し、
   前記テープライブラリ装置は、
   前記テープにデータを書き込む際に前記第１の鍵ＩＤを用いてデータを暗号化してテープにデータを書き込むデータ書き込み、前記テープからデータを読み出す際に前記第２の鍵ＩＤを用いて前記テープのデータを複合するデータ処理部を有し、
   前記テープは、
   前記管理情報のうち前記第１鍵ＩＤ及び前記第２の鍵ＩＤを少なくとも含むテープ管理ファイルを有し、
   前記管理端末は、
   前記管理情報ファイルに記憶された前記第１の鍵ＩＤ、前記第２の鍵ＩＤを含む情報をバックアップするテープグループ情報ファイルと、
   前記管理情報ファイルに記憶された前記第１の鍵、前記第１の鍵ＩＤ、前記第２の鍵及び前記第２の鍵ＩＤをバックアップする鍵情報ファイルと、
   前記テープライブラリ装置内のテープに記憶されたデータのリストアを行なうときに、前記テープ管理ファイル、前記テープグループ情報ファイルと、前記鍵情報ファイルとに基づいて、前記リストアを行なうテープの鍵を特定し前記管理情報ファイルをリストアする鍵情報処理部と、
   前記鍵情報処理部でリストアされた管理情報ファイルに基づいて前記テープのリストアを指示する指示部とを有することを特徴とするストレージシステム。
2. 前記鍵生成部は、前記管理端末からの前記テープでデータをバックアップするための設定指示を受けて新たな第１の鍵、第１の鍵ＩＤ、第２の鍵及び第２の鍵ＩＤを生成し、
   前記管理端末は、前記鍵情報ファイルのバックアップを、前記設定指示を受けたとき、前記新たな第１の鍵、第１の鍵ＩＤ、第２の鍵及び第２の鍵ＩＤに鍵を変更するとき、前記鍵を変更した後前記テープにデータをバックアップするときに行なうことを特徴とする請求項１記載のストレージシステム。
3. 前記リストアを行なうテープライブラリ装置内のテープの指定は、前記管理端末によって指示されることを特徴とする請求項２記載のストレージシステム。
4. 前記ストレージシステムは、前記テープライブリ装置と異なるテープライブラリ装置を含み、
   前記管理端末は、前記テープライブラリ装置内のテープを前記異なるテープライブラリ装置にインポートしたときに、そのインポートしたテープに記憶されたデータのリストアを行なうことを特徴とする請求項２記載のストレージシステム。
5. 前記ストレージ装置は、乱数発生部を有し、
   前記鍵生成部は、前記乱数発生部で発生した乱数を用いて前記第１の鍵を生成することを特徴とする請求項１記載のストレージシステム。
6. ストレージ装置に固有の情報である装置固有情報を記憶する装置固有情報記憶部を有し、
   前記第１の鍵及び前記第２の鍵を前記管理情報ファイルに記憶する際に、前記装置固有情報で暗号化して記憶し、前記管理情報ファイルから前記第１の鍵及び前記第２の鍵を読み出すときに前記装置固有情報を用いて複合することを特徴とする請求項５記載のストレージシステム。
7. 前記固有の装置情報は、製造番号であることを特徴とする請求項６記載のストレージシステム。
8. 前記第１の鍵と前記第２の鍵、前記第１の鍵ＩＤと前記第２の鍵ＩＤは、それぞれ同値であることを特徴とする請求項２記載のストレージシステム。
9. 前記第１の鍵ＩＤは、前記ストレージシステムにおいてユニークなＩＤであることを特徴とする請求項２記載のストレージシステム。
10. 前記データに関する管理情報は、前記ストレージ装置内のデータをバックアップする倫理的な単位と対応するテープグループ情報を含むことを特徴とする請求項１記載のストレージシステム。
11. ストレージ装置と、このストレージ装置に記憶されたデータをバックアップするテープライブラリ装置と、前記ストレージ装置及び前記テープライブラリ装置を管理する管理端末を含むストレージシステムの暗号鍵管理方法であって、
    前記ストレージ装置は、前記テープにデータをバックアップする際にデータを暗号化する第１の鍵と、この第１の鍵の第１の鍵ＩＤと、前記第１の鍵によって暗号化されたデータを複合する第２の鍵と、この第２の鍵の第２の鍵ＩＤとを生成する鍵生成部と、
    前記ストレージ装置内のディスクに記憶されたデータを前記テープライブラリ装置内のテープにバックアップする際に、前記データに関する管理情報を前記生成した前記第１の鍵、前記第１の鍵ＩＤ、第２の鍵、第２の鍵ＩＤを関連づけて記憶する管理情報ファイルとを有し、
    前記テープライブラリ装置は、前記テープにデータを書き込む際に前記第１の鍵ＩＤを用いてデータを暗号化してテープにデータを書き込むデータ書き込み、前記テープからデータを読み出す際に前記第２の鍵ＩＤを用いて前記テープのデータを複合するデータ処理部を有し、
    前記テープは、前記管理情報のうち前記第１鍵ＩＤ及び前記第２の鍵ＩＤを少なくとも含むテープ管理ファイルを有し、
    前記管理端末は、前記管理情報ファイルに記憶された前記第１の鍵ＩＤ、前記第２の鍵ＩＤを含む情報をバックアップするテープグループ情報ファイルと、
    前記管理情報ファイルに記憶された前記第１の鍵、前記第１の鍵ＩＤ、前記第２の鍵及び前記第２の鍵ＩＤをバックアップする鍵情報ファイルとを有するものであり、
    前記管理端末は、
    前記テープライブラリ装置内のテープに記憶されたデータのリストアを行なうときに、前記テープ管理ファイル、前記テープグループ情報ファイルと、前記鍵情報ファイルとに基づいて、前記リストアを行なうテープの鍵を特定し前記管理情報ファイルをリストアするステップと、
    前記リストアされた管理情報ファイルに基づいて前記テープのリストアを行なうデータを指示するステップとを有することを特徴とするストレージシステムの暗号鍵管理方法。
12. 前記鍵生成部は、前記管理端末からの前記テープでデータをバックアップするための設定指示を受けて新たな第１の鍵、第１の鍵ＩＤ、第２の鍵及び第２の鍵ＩＤを生成し、
    前記管理端末は、
    前記鍵情報ファイルのバックアップを、前記設定指示を受けたとき、前記新たな第１の鍵、第１の鍵ＩＤ、第２の鍵及び第２の鍵ＩＤに鍵を変更するとき、前記鍵を変更した後前記テープにデータをバックアップするときに行なうステップを有することを特徴とする請求項１１記載のストレージシステムの暗号鍵管理方法。
13. ストレージ装置と、このストレージ装置に記憶されたデータをバックアップするテープライブラリ装置と、前記ストレージ装置及び前記テープライブラリ装置を管理する管理端末を含むストレージシステムにおいて、
    前記ストレージ装置は、前記テープにデータをバックアップする際にデータを暗号化する第１の鍵と、この第１の鍵の第１の鍵ＩＤと、前記第１の鍵によって暗号化されたデータを複合する第２の鍵と、この第２の鍵の第２の鍵ＩＤとを生成する鍵生成部と、
    前記ストレージ装置内のディスクに記憶されたデータを前記テープライブラリ装置内のテープにバックアップする際に、前記データに関する管理情報を前記生成した前記第１の鍵、前記第１の鍵ＩＤ、第２の鍵、第２の鍵ＩＤを関連づけて記憶する管理情報ファイルとを有し、
    前記テープライブラリ装置は、前記テープにデータを書き込む際に前記第１の鍵ＩＤを用いてデータを暗号化してテープにデータを書き込むデータ書き込み、前記テープからデータを読み出す際に前記第２の鍵ＩＤを用いて前記テープのデータを複合するデータ処理部を有し、
    前記テープは、前記管理情報のうち前記第１鍵ＩＤ及び前記第２の鍵ＩＤを少なくとも含むテープ管理ファイルを有し、
    前記管理端末は、前記管理情報ファイルに記憶された前記第１の鍵ＩＤ、前記第２の鍵ＩＤを含む情報をバックアップするテープグループ情報ファイルと、
    前記管理情報ファイルに記憶された前記第１の鍵、前記第１の鍵ＩＤ、前記第２の鍵及び前記第２の鍵ＩＤをバックアップする鍵情報ファイルとを有するものであり、
    前記管理端末に、
    前記テープライブラリ装置内のテープに記憶されたデータのリストアを行なうときに、前記テープ管理ファイル、前記テープグループ情報ファイルと、前記鍵情報ファイルとに基づいて、前記リストアを行なうテープの鍵を特定し前記管理情報ファイルをリストアする手段として機能させ、
    前記リストアされた管理情報ファイルに基づいて前記テープのリストアを指示する手段として機能させるストレージシステムの暗号鍵管理プログラム。
14. 前記鍵生成部は、前記管理端末からの前記テープでデータをバックアップするための設定指示を受けて新たな第１の鍵、第１の鍵ＩＤ、第２の鍵及び第２の鍵ＩＤを生成し、
    前記管理端末に、
    前記鍵情報ファイルのバックアップを、前記設定指示を受けたとき、前記新たな第１の鍵、第１の鍵ＩＤ、第２の鍵及び第２の鍵ＩＤに鍵を変更するとき、前記鍵を変更した後前記テープにデータをバックアップするときに行なう手段として機能させる請求項１３記載のストレージシステムの暗号鍵管理プログラム。

Images