JP4575689B2 - 記憶システム及びコンピュータシステム - Google Patents

Description

本発明は、記憶システム及びコンピュータシステムに関する。

RAIDシステムにおける論理デバイスへのホストからのアクセス制御及び論理デバイスのセキュリティ機能に関する従来技術として、例えば特開２０００−１１２８２２号公報に記載されたディスク制御方式がある。この方式は、RAIDシステム内の論理デバイス毎に、リード／ライト共に可能、ライト不可、及びリード／ライト共に不可の３種類のアクセス属性モードのうちのいずれか一つを設定し、この設定に従って論理デバイス毎にホストからのコマンドに対する処理や応答を違える。

特開２０００−１１２８２２号公報

ところで、論理デバイスに格納されるデータには、それを保存しておく必要のある期間（以下、データ保存期間）が、法律で定められているものや、半永久的であるもの等がある。そして、そのデータ保存期間は、論理デバイスを有する物理デバイス（例えばハードディスクドライブ）の寿命（例えば、MTBF（Mean Time Between Failure））よりも長い場合がある。このような場合、データを一つの論理デバイス内に保存しつづけていると、物理デバイスの寿命に伴う故障によって、データ保存期間内であるにも関わらずにデータが破損してしまうことになる。

これを未然に防ぐための方法として、或る論理デバイス内のデータを、適宜、その論理デバイスを有する物理デバイスよりも故障発生時期が将来である別の物理デバイス上の別の論理デバイスにコピーする方法が考えられる。

この方法を採用する場合、別の論理デバイスにコピーされたコピーデータを元データと同等に保護する必要がある。コピーしたことが無駄にならないようにするためである。

また、上記方法を採用する場合、コピーデータの信頼性を高めることが望ましいと考えられる。より安心してデータを保存しておくことができるからである。

また、上記方法を採用する場合、データのコピーに伴う記憶容量の消費を抑えることが望ましいと考えられる。記憶容量を節約できればより多くのデータを保存することができるからである。

従って、本発明の目的は、コピーデータを元データと同等に保護することができる記憶システム及びコンピュータシステムを提供することにある。

本発明の更なる目的は、少なくとも以下の（１）及び（２）、
（１）コピーデータの信頼性を高める、
（２）記憶容量を節約する、
の少なくとも一方を達成することができる記憶システム及びコンピュータシステムを提供することにある。

本発明の他の目的は、後の記載から明らかになるであろう。

本発明の第１の観点に従う記憶システムは、ホスト入出力要求を発行する１以上のホスト装置と通信可能な記憶システムであって、２以上の物理デバイス（例えば、ハードディスク、ＤＶＤ−Ｒ又はＲ／Ｗ等の光ディスク、或いは磁気テープ）と、前記２以上の物理デバイス上に設けられた１以上の論理デバイスと、前記１以上の論理デバイスにそれぞれ対応した１以上のセキュリティ情報（に対するホスト入出力要求に基づくアクセスを制御するための情報）を記憶する１以上のメモリと、前記１以上のメモリに登録されているセキュリティ情報に基づいて、前記１以上の論理デバイスの中から選択された論理デバイスに対する前記ホスト装置からのアクセスを制御する制御装置とを備える。前記制御装置は、第１の論理デバイス内のデータが第２の論理デバイス内に書き込まれる場合、前記第１の論理デバイスに対応したセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込む処理を実行する。前記第１の論理デバイスと前記第２の論理デバイスのうちの少なくとも一方が、前記１以上の論理デバイスに含まれている。

本発明の第１の観点に従う記憶システムの第１の実施態様では、前記外部の記憶システムと前記記憶システムとの属性（例えば、ベンダ、メーカ、或いは機種）が同じ場合において、前記制御装置は、前記第１の論理デバイス内のデータが前記第２の論理デバイス内に書込まれる前に、前記第１の論理デバイスに対応したセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込み、且つ、
（１）前記第１の論理デバイスが前記記憶システム内に存在し、前記第２の論理デバイスが前記外部の記憶システムに存在する場合には、前記第１の論理デバイス内のデータと共に、前記データに関する情報を前記外部の記憶システムに送信し、
（２）前記第２の論理デバイスが前記記憶システム内に存在し、前記第１の論理デバイスが前記外部の記憶システムに存在する場合には、前記外部の記憶装システムから受信した入出力要求を、前記ホスト入出力要求とは別の入出力要求として認識し、前記外部の記憶システムからのデータを、前記第２の論理デバイスに対応付けられたセキュリティ情報の内容に関わらず、前記第２の論理デバイスに書込む。

本発明の第１の観点に従う記憶システムの第２の実施態様では、前記セキュリティ情報には、複数種類のアクセス属性モードが含まれている。前記複数種類のアクセス属性モードのうちの一つとして、そのアクセス属性モードに対応する論理デバイスを第２の論理デバイスとして前記第１の論理デバイスとの間でペアを形成するペア形成動作に制限を加えるためのペア形成制御用モードがある。前記制御装置は、前記ペア形成制御用モードを含んだセキュリティ情報を前記論理デバイスに対応付ける場合、前記ペア形成制御用モードを解除して前記論理デバイスを前記第２の論理デバイスとすることを許可するための許可条件も前記論理デバイスに対応付けて前記１以上のメモリに登録する。また、前記制御装置は、前記１以上の論理デバイスの中から選択された或る論理デバイスに対応するセキュリティ情報中に前記ペア形成制御用モードが含まれている場合、前記或る論理デバイスに前記許可条件が前記１以上のメモリ上に対応付けられていなければ、前記或る論理デバイスを前記第２の論理デバイスとすることを拒否し、一方、前記或る論理デバイスに前記許可条件が前記１以上のメモリ上に対応付けられており、且つ、前記許可条件を満たしたならば、前記或る論理デバイスを前記第２の論理デバイスとすることを許可する。

本発明の第１の観点に従う記憶システムの第３の実施態様では、前記第２の実施態様において、前記制御装置は、前記第１の論理デバイス内のデータが前記第２の論理デバイス内に書き込まれた場合、前記第２の論理デバイスに対応する前記許可条件を前記１以上のメモリから消去する。

本発明の第１の観点に従う記憶システムの第４の実施態様では、前記第１の論理デバイスが前記外部の記憶システム内に存在し、前記第２の論理デバイスが前記記憶システムに存在し、且つ、前記外部の記憶システムと前記記憶システムとの属性が異なる場合、前記制御装置は、前記第１の論理デバイス内のデータが前記第２の論理デバイス内に書込まれる前に、前記第１の論理デバイスに対応したセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込み、且つ、前記外部の記憶システムの前記第１の論理デバイスに対して送信した入出力要求に応答して前記第１の論理デバイスから受信したデータを、前記第２の論理デバイスに対応付けられたセキュリティ情報の内容に関わらずに前記第２の論理デバイスに書き込む。

本発明の第１の観点に従う記憶システムの第５の実施態様では、前記第２の論理デバイスが前記外部の記憶システム内に存在し、前記第１の論理デバイスが前記記憶システムに存在し、且つ、前記外部の記憶システムと前記記憶システムとの属性が異なる場合、前記制御装置は、前記第１の論理デバイス内のデータを有する入出力要求を前記外部の記憶システムの前記第２の論理デバイスに対して発行して、前記データが前記第２の論理デバイスに書込まれた後に、前記第１の論理デバイスに対応したセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込む。

本発明の第１の観点に従う記憶システムの第６の実施態様では、前記制御装置は、前記第１の論理デバイス内のデータと、前記第２の論理デバイスに書込まれたデータとを取得し、取得された双方のデータを比較照合する処理を実行する。

本発明の第１の観点に従う記憶システムの第７の実施態様では、前記制御装置は、前記第１の論理デバイス内のデータと、前記第２の論理デバイスに書込まれたデータとの比較照合が行われた場合、適合が得られなければ、前記第２の論理デバイス内のデータを消去する。

本発明の第１の観点に従う記憶システムの第８の実施態様では、前記制御装置は、前記第１の論理デバイス内のデータと、前記第２の論理デバイスに書込まれたデータとの比較照合が行われた場合、適合が得られたならば、前記第１の論理デバイス内のデータを消去する。

本発明の第２の観点に従うコンピュータシステムは、複数の記憶システムを備える。ホスト入出力要求を発行するホスト装置に接続可能な前記複数の記憶システムの各々が、２以上の物理デバイスと、前記２以上の物理デバイス上に設けられた１以上の論理デバイスと、前記１以上の論理デバイスの各々に対応した情報であって、その論理デバイスに対するホスト入出力要求に基づくアクセスを制御するためのセキュリティ情報を記憶する１以上のメモリと、前記１以上のメモリに登録されているセキュリティ情報に基づいて、前記１以上の論理デバイスの中から選択された論理デバイスに対する前記ホスト入出力要求に基づくアクセスを制御する制御装置とを備える。前記複数の記憶システムのうちの第１の記憶システムが、第１の論理デバイスを有する。前記複数の記憶システムのうち、前記第１の記憶システムとは別の記憶システムである第２の記憶システムが、第２の論理デバイスを有する。前記第１の記憶システムが備える第１の制御装置が、前記第１の記憶システムが有する前記１以上の論理デバイスの中から選択された前記第１の論理デバイスからデータが読み出される場合に、前記第１の論理デバイスに対応したセキュリティ情報を前記１以上のメモリから取得する処理を実行する。前記第２の記憶システムが備える第２の制御装置が、前記読み出されたデータが、前記第２の記憶システムが有する前記１以上の論理デバイスの中から選択された前記第２の論理デバイスに書込まれる場合に、前記取得されたセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書込む処理を実行する。

本発明の第３の観点に従うコンピュータシステムは、複数の記憶デバイスを備える１以上のコンピュータを備える。前記１以上のコンピュータが、前記複数の記憶デバイスの各々に対応付けられている情報であって、その記憶デバイスに対するホスト端末からのアクセスを制御するためのセキュリティ情報を記憶する記憶手段（例えば１以上のメモリ）と、複数の記憶デバイスの中から選択された第１の記憶デバイス内のデータを、前記複数の記憶デバイスの中から選択された第２の記憶デバイス内に書込む手段と、前記第１の記憶デバイスに対応するセキュリティ情報を前記記憶手段から取得し、取得されたセキュリティ情報と同一内容のセキュリティ情報を前記第２の記憶デバイスに対応付けて前記記憶手段に書込む手段とを備える。各手段は、ハードウェア、コンピュータプログラム又はそれらの組み合わせによって実現することができる。

本発明の第２及び第３の少なくとも一方のコンピュータシステムにおいて、前記複数の記憶システムの少なくとも１つに接続されるホスト、又は、少なくとも１つの記憶システムが、読出し元となった第１のデバイス内のデータと、書込み先となった第２のデバイス内のデータとを読み出して比較照合する手段を有する。また、ホスト又は少なくとも１つの記憶システムは、その比較照合の結果、適合が得られなければ、前記第２の論理デバイス内のデータを消去しても良いし、一方、その比較照合の結果、適合が得られたならば、前記第１の論理デバイス内のデータを消去しても良い。

本発明の第4の観点に従う方法は、第１〜第４のステップを有する。第１のステップでは、１以上の記憶システムが備える複数の記憶デバイス（例えば、論理的又は物理的な記憶デバイス）の中から選択された第１の記憶デバイスからデータが読み出される。第２のステップでは、前記複数の記憶デバイスの各々に対応した情報であって、その記憶デバイスに対するホスト装置（例えばホスト）からのアクセスを制御するためのセキュリティ情報を記憶する１以上のメモリから、前記第１の記憶デバイスに対応したセキュリティ情報が取得される。第３のステップでは、前記読み出されたデータが、前記複数の論理デバイスの中から選択された第２の論理デバイス内に書き込まれる。第４のステップでは、前記取得されたセキュリティ情報と同一内容のセキュリティ情報が前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込まれる。

本発明によれば、コピーデータを元データと同等に保護することができる。

以下、図面を参照しつつ本発明の実施形態を説明する。

まず、図１〜図１６を参照して、本実施形態の前提を説明し、その後、図１７以降を参照して、本実施形態の主要部分について説明する。

図１は、本発明の一実施形態にかかる記憶システムが適用されるコンピュータシステムのシステム構成例を示す。

図１に示すように、本発明の一実施形態であるハードディスク（HDD）サブシステム（RAIDシステム）１０は、種々のホストとの通信を制御するための複数のチャンネルコントローラ１１、１２を備える。そのうち、メインフレーム（M/F）チャンネルコントローラ１１は、プロプライエタリシステム用のチャンネルコントローラであって、特定のOSをもつ特定のベンダからの１台又はそれ以上のメインフレーム（M/F）ホスト２１、２２と、例えばESCON或いはFISCONなどのM/F向けインタフェースを介して接続される。また、オープンチャンネルコントローラ１２は、オープンシステム用のチャンネルコントローラであって、オープンシステムを構成するOS又はベンダなどの仕様の異なる種々のホスト（オープンホスト）３１、３２、３３と、FIBREのようなインタフェースを介し、専用線で又はSANなどのネットワーク６１、６２を通じて接続される。

このHDDサブシステム１０は、チャンネルコントローラ１１、１２に接続されたホスト２１、２２、３１〜３３に対して、１又は複数の論理デバイス（記憶装置の論理的な単位)を提供する。

このHDDサブシステム１０内には、上述したチャンネルコントローラ１１、１２の他に、制御メモリ１３、キャッシュメモリ１４、ディスクコントローラ１５、及び物理デバイスである複数のHDD装置１６−１〜１６−Nなどが備えられる。ディスクコントローラ１５は、HDD装置１６−１〜１６−Nに対するデータのリード／ライト操作を制御する。制御メモリ１３とキャッシュメモリ１４は、チャンネルコントローラ１１、１２及びディスクコントローラ１５の双方からアクセスされる。制御メモリ１３は、論理デバイス毎のアクセス制御やその他のオペレーションの制御に必要な各種の制御情報を記憶するために使用される。キャッシュメモリ１４は、リード／ライトの対象となるデータを一時的に保持するために使用される。

また、このHDDサブシステム１０には、サービスプロセッサ４１が、例えばLAN（HDDサブシステム１０のチャンネルコントローラ１１、１２やディスクコントローラ１５などと接続された、HDDサブシステム１０のオペレーション制御用の内部LAN）を介して接続されている。このサービスプロセッサ４１には、このHDDサブシステム１０に対する論理デバイス毎のアクセス属性モードの設定やその他の機能の設定などの管理用の制御を行う機能をもったコンソールソフトウェア７１が実装されている。このサービスプロセッサ４１には、更に、１台又はそれ以上のコンソール端末５１、５２が、例えばLAN又はその他のネットワーク６３を介して接続されている。そして、サービスプロセッサ４１のコンソールソフトウェア７１は、コンソール端末５１、５２に対してWEBサーバとして機能し、それにより、コンソール端末５１、５２の各々からの要求に応えて、HDDサブシステム１０に対して上述した管理用の制御を行うことができる。

さらに加えて、M/Fホスト２１、２２には、M/Fホスト２１、２２のOSに適合した常駐型のソフトウェアであるストレージ管理ソフトウェア８１、８２が実装されている。また、オープンホスト３１、３２、３３にも、オープンホスト３１、３２、３３のそれぞれの異なるOSに適合した常駐型のソフトウェアであるストレージ管理ソフトウェア９１、９２、９３が実装されている。これらのストレージ管理ソフトウェア８１、８２、９１、９２、９３はいずれも、それぞれのホストに実装されているHDDサブシステム１０を利用するためのアプリケーションプログラム（図示省略)からの指示に応答して、HDDサブシステム１０に対する論理デバイス毎のアクセス属性モードの設定やその他の機能及びオペレーションの設定や制御などのストレージ管理用の制御を行う機能をもっている。したがって、M/Fホスト２１、２２及びオープンホスト３１、３２、３３の各々は、そこに実装されているアプリケーションプログラム（図示省略)から、ストレージ管理ソフトウェア８１、８２、９１、９２、９３を介して、自動的にHDDサブシステム１０に対する各種の管理用制御を行うことができる。

図２は、HDDサブシステム１０における物理デバイス（HDD装置）１６−１〜１６−Nと論理デバイスとの間の一般的な関係を示す。

図２に示すように、一般に、複数の論理デバイス１０１−１〜１０１−Mの各々は複数の物理デバイス（PDEV）１６−１〜１６−Nに亘ってそれらの部分的な記憶領域を使用して作られる。制御メモリ１３には、論理デバイス（LDEV）１０１−１〜１０１−Mのアクセス属性モードやその他のLDEV制御用の各種情報の集まりである論理デバイス（LDEV）制御情報１０３が記憶されている。チャンネルコントローラ１１、１２に実装されたチャンネルインタフェース（チャンネルI／F）制御プログラム１０２は、ホストから与えられたLDEVアクセスのための情報から、アクセス対象の論理デバイス（LDEV）のアドレス（LDEVアドレス）を算出するとともに、制御メモリ１３のLDEV制御情報１０３を参照して、そのアクセス対象に関わる動作内容を決定する。ディスクコントローラ１５に実装された論理・物理アドレス変換プログラム１０４は、計算によりLDEVアドレスとPDEVアドレス（物理デバイスのアドレス）間のアドレス変換を行い、アクセス対象のLDEV及びPDEVアドレスを決定するとともに、制御メモリ１３のLDEV制御情報１０３を参照して、アクセス対象に関する動作内容を決定する。

図３は、HDDサブシステム１０において論理デバイス毎に設定されるアクセス属性モードの種類を説明している。論理デバイス毎に、以下の(1)〜(6)に示す６種類のアクセス属性モードを設定することができる。

(1) リード／ライト（Read/Write）可能
図３Aに示すように、ホストは、このアクセス属性モードが設定された論理デバイス１０１Aに対するデータのリードとライトの双方、及びこの論理デバイス１０１の認識を行うことが可能である。

(2) リードオンリ（Read Only）
図３Bに示すように、ホストは、このアクセス属性モードが設定された論理デバイス１０１Bに対するデータのリード、及びこの論理デバイス１０１を認識することが可能であるが、データのライトは禁止される。

(3) リード／ライト（Read/Write）不可
図３Cに示すように、ホストは、このアクセス属性モードが設定された論理デバイス１０１Cに対するデータのリードとライトの双方を禁止されるが、この論理デバイス１０１を認識することは可能である。

(4) リードキャパシティゼロ（Read Capacity 0）
図３Dに示すように、ホストは、このアクセス属性モードが設定された論理デバイス１０１Dを認識することは可能である。ただし、ホストからのリードキャパシティ（Read
Capacity）コマンド（この論理デバイスの記憶容量を尋ねるコマンド）に対しては、記憶容量が「０」という応答がホストへ返される。従って、この論理デバイス１０１Dに対するデータのリードとライトの双方が不可能である。

(5) インクエリ（Inquiry）抑止
図３Eに示すように、ホストは、このアクセス属性モードが設定された論理デバイス１０１Eを認識することができない。すなわち、ホストからの論理デバイス認識のための問い合わせに対して、この論理デバイス１０１Eが存在しない旨の応答がホストに返される。従って、ホストからのこの論理デバイス１０１Eに対するデータのリード、ライト、及びRead
Capacityなどのアクセスが不可能である。ただし、HDDサブシステム１０が内部機能として行われるコピーペアリング形成オペレーションにおいて、この論理デバイス１０１Eを他の論理デバイスに対するセコンダリボリュームとして指定すること（S-vol指定）は可能である。

(6) セコンダリボリュームディセーブル（S-vol disable）
図３Fに示すように、このアクセス属性モードが設定された論理デバイス１０１Fを、他の論理デバイス１０１Gを二重化するための他の論理デバイス１０１Gに対するセコンダリボリューム（他の論理デバイス１０１Gのデータのコピー先）として指定する動作（つまり、コピーペア形成オペレーションにおける論理デバイス１０１Fに対するセコンダリボリュームとして指定すること（S-vol指定））が禁止される。ただし、この論理デバイス１０１Eに対するデータのリード、ライト及び認識は可能である。

図４は、上述した６種類のアクセス属性モードがそれぞれ設定された論理デバイスに関してHDDサブシステム１０がどのようなアクセス制御を行なうかを一層具体的に示している。図４中で、丸印は、対応する動作を可能にするようアクセス制御が行われることを意味し、バツ印は、対応する動作を不可能にするようアクセス制御が行われることを意味する。また、Read
Capacityに関する「実容量」、「“０”」はそれぞれ、ホストからのRead Capacity コマンドに対するホストへの応答の内容が、その論理デバイスの実容量であるか容量「０」であるかを示している。

上述した６種類のアクセス属性モードのうち、Read/Write可能、Read
Only、Read/Write不可及びS-vol disableは、M／Fホストとオープンホストのいずれが使用する論理デバイスについても適用可能である。一方、Read
Capacity 0とInquiry抑止は、この実施形態では、オープンホストが使用する論理デバイスにのみ適用され、M／Fホストが使用する論理デバイスには適用されないようになっているが、必ずしもそうでなければならないわけではない。

上述した６種類のアクセス属性モードのうち、Read/Write可能、Read
Only、Read/Write不可、Read Capacity 0及びInquiry抑止は、これらの中から選択されたいずれか一つのモードが、一つの論理デバイスに対して設定することができる。一方、S-vol
disableは、他の５種類のアクセス属性モードとは独立して（つまり、それらと重複して）同じ論理デバイスに対して設定することができる。例えば、同じ一つの論理デバイスに対してRead/Write可能を設定すると共にS-vol
disableを設定するというようにである。

図５は、上述した論理デバイス（LDEV）毎のアクセス属性モードの設定を保持するためのアクセス属性制御テーブル２０１の例を示す。

図５に示すように、アクセス属性制御テーブル２０１は、制御メモリ１３に記憶されているLDEV制御情報１０３に含まれている。このアクセス属性制御テーブル２０１は、論理デバイス毎に設定されるアクセス属性モードの保持手段として機能するとともに、権限なき主体によるアクセス属性モードの設定変更を抑止する手段としても機能する。このアクセス属性制御テーブル２０１は、実装された論理デバイスの個数分だけ確保され、論理デバイス毎に以下のアクセス属性制御情報を有する。

このアクセス属性制御テーブル２０１は、論理デバイス（LDEV）の識別番号毎（LDEV番号：図示の例ではLDEV#0、LDEV#1、…、LDEV#(n-1)など）毎に、対応する論理デバイス（LDEV）が実質的に実装されているか否かを示すための情報として、LDEV実装ビットを有する。このLDEV実装ビットが「１」であれば、その論理デバイス（LDEV）が実質的に実装されていることを意味する。

また、アクセス属性制御テーブル２０１は、LDEV番号毎に、対応する論理デバイス（LDEV）に設定されているアクセス属性モードを保持するための情報（アクセス属性モード情報）として、Read抑止ビット、Write抑止ビット、Inquiry抑止ビット、Read
Capacity 0報告ビット、及びS-vol Disableビットを有する。Read抑止ビットは、これが「１」であれば対応する論理デバイスからのデータリードが禁止されることを、「０」であればデータリードが可能であることを意味する。Write抑止ビットは、これが「１」であれば対応する論理デバイスへのデータライトが禁止されることを、「０」であればデータライトが可能であることを意味する。Inquiry抑止ビットは、これが「１」であれば対応する論理デバイスの認識が禁止されることを、「０」であれば認識が可能であることを意味する。Read
Capacity 0報告ビットは、これが「１」であれば対応する論理デバイスについてのRead Capacityコマンドに対する応答において、容量がゼロであることが報告されることを、「０」であれば実容量が報告されることを意味する。S-vol
Disableビットは、これが「１」であれば対応する論理デバイスに対するS-vol指定が禁止されることを、「０」であればS-vol指定が可能であることを意味する。

さらに、アクセス属性制御テーブル２０１は、LDEV番号毎に、対応する論理デバイス（LDEV）のアクセス属性モードの設定変更を抑止するための情報として、属性変更許可パスワード及び属性変更抑止期限（年月日時分秒）を有する。属性変更許可パスワードは、対応する論理デバイスのアクセス属性モードの設定変更を行える権限を有する者を認証するために、LDEV番号毎に予め設定されたパスワードである。属性変更抑止期限は、この期限が到来するまでは対応する論理デバイスのアクセス属性モードの設定変更が禁止されることを意味し、これは、現在のアクセス属性モードが設定された際に一緒に設定されたものである。

図６は、図３及び４に示した６種類のアクセス属性モードと、図５に示したアクセス属性モード情報（Read抑止ビット、Write抑止ビット、Inquiry抑止ビット、Read Capacity 0報告ビット、及びS-vol
Disableビット）のビットパターンとの対応関係を示している。

図５に示したアクセス属性制御テーブル２０１において、図６に示すようなビットパターンでアクセス属性モード情報が設定されることにより、上述した６種類のアクセス属性モードがそれぞれ設定される（又は、そのモード設定が解除される）ことになる。

図７は、上述したアクセス属性モードの設定・変更・解除などの操作を行うときにHDDサブシステム１０で行われる処理の流れを示す。

HDDサブシステム１０に対するアクセス属性モードの操作（設定・変更・解除）の指示は、図１に示したコンソール端末５１、５２からサービスプロセッサ４１のコンソールソフトウェア７１を介してオペレーション制御用の内部LANを通じて行う（out-of-bandからの指示）ことができるし、或いは、ホスト２１、２２、３１〜３３のストレージ管理ソフトウェア８１、８２、９１〜９３からデータバンドを通じて行う（in-bandからの指示）こともできる。図７に示す処理は、in-bandから指示を受けた場合にはチャンネルコントローラ１１，１２によって行なわれ、また、in-bandから指示を受けた場合にはチャンネルコントローラ１１，１２とディスクコントローラ１５によって行われることになる。

サービスプロセッサ４１（コンソール端末５１、５２）又はホスト２１、２２、３１〜３３などの外部装置からHDDサブシステム１０に入力されるアクセス属性モードの操作指示には、次の情報(1)及び(2)が含まれる。

(1) 操作対象の論理デバイスの個数（操作対象LDEV数）
(2) 操作対象の論理デバイス毎の以下の事項「１」〜「４」
「１」 操作対象の論理デバイスの識別番号（操作対象LDEV番号）
「２」 操作したいアクセス属性モード情報（Read抑止ビット、Write抑止ビット、Inquiry抑止ビット、Read
Capacity 0報告ビット、又はS-vol Disableビット）
「３」 属性変更許可パスワード
「４」 属性変更抑止期限
ここで、操作したいアクセス属性モード情報と、設定したいアクセス属性モードとの関係は、図６に示したとおりである。また、属性変更許可パスワードは、アクセス属性モードが設定済の論理デバイスに対する操作の場合、設定済みのパスワードと一致してなければ操作はエラーとなる。

上記の操作指示が外部装置から入力されると、HDDサブシステム１０内では図７に示す処理が行われる。これを順次に説明すると以下のとおりである。

(1) ステップS1：判定1：属性変更操作全体のチェック
ここでは、
「１」 操作対象LDEV数は規定数以内か、
「２」 操作対象の論理デバイスが複数コントローラにより操作可能で排他制御が必要な場合には、その論理デバイスのロックが取得できたか、
「３」 属性変更にライセンスの取得が必要な場合には、指示を出したホスト（ホストのソフトウェア）に属性設定のライセンスがあるか、
などの条件がチェックされる。チェックの結果、問題があれば、エラーと判断され、問題が無ければ、制御はステップS2へ進む。

(2) ステップS2：対象LDEV通番号の初期値設定
ここでは、操作対象の論理デバイスの通番号（対象LDEV通番号）に初期値「０」が設定され、そして、制御はステップS3へ進む。

(3) ステップS3：判定2：対象LDEV単位のチェック
ここでは、操作対象の論理デバイスについて、
「１」 操作対象LDEV番号は妥当か、
「２」 操作後のアクセス属性モード情報のビットパターンは妥当か（例えば、オープンホストが使用する論理デバイスについては、図６に示した(1)〜(7)のいずれかの属性モードに対応したビットパターンであれば妥当であり、一方、M/Fホストが使用する論理デバイスについては、図６に示した(1)〜(3)及び(6)〜(7)のいずれかの属性モードに対応したビットパターンであれば妥当である）、
「３」 その論理デバイスは実装され且つ正常であるか、
「４」 その論理デバイスの属性を操作してもよいか（例えば、HDDサブシステム１０が行う他の機能又はオペレーションとの関係から、属性操作が禁止される場合があり得る）、
などの条件がチェックされる。チェックの結果、問題があれば、エラーと判断され、制御はステップS8へ進み、問題が無ければ、制御はステップS4へ進む。

(4) ステップS4：判定3：属性設定抑止のチェック
ここでは、操作対象の論理デバイスについて、
「１」 属性変更許可パスワードが既に登録されている場合、入力された属性変更許可パスワードと一致しているか、
「２」 属性変更抑止期限が既に登録されている場合、その期限が過ぎているか、
などの条件がチェックされる。チェックの結果、問題があれば、制御はステップS8へ進み、問題が無ければ、制御はステップS5〜S7へ進む。

(5) ステップS5〜S7：アクセス属性制御テーブル２０１への設定の登録
ここでは、図５に示したアクセス属性制御テーブル２０１に、操作対象論理デバイスについてのアクセス属性モード情報（Read抑止ビット、Write抑止ビット、Inquiry抑止ビット、Read Capacity 0報告ビット、及びS-vol
Disableビット）、属性変更許可パスワード及び属性変更抑止期限が、入力された操作指示に従った設定で登録される。ただし、属性変更許可パスワードの設定登録は、属性変更許可パスワードが未登録であって、かつ、入力操作指示に属性変更許可パスワードが含まれているときにのみ行われる。また、属性変更抑止期限の設定登録は、入力された操作指示に属性変更抑止期限が含まれているとのみ行われる。その後、制御はステップS8へ進む。

(6) ステップS8：操作対象LDEV通番号のインクレメント
対象LDEV通番号が１つ増加され、制御はステップS9へ進む。

(7) ステップS9：判定4：終了判定
ここでは、対象LDEV番号が操作対象LDEV数に到達したかチェックされる。その結果、達してなければ制御はステップS3に進んで、次の操作対象の論理デバイスについてのアクセス属性モードの操作が行なわれ、達していれば、アクセス属性モードの操作は完了する。操作対象の論理デバイスのいずれかについてアクセス属性モードの操作にエラーが生じた場合には、外部装置（サービスプロセッサ(コンソール端末）又はホスト）に返される応答には、エラーが生じた論理デバイス毎の属性モード操作のエラー要因などの情報が含まれる。

図８〜図１０は、HDDサブシステム１０において、ホストのベンダ、OS又はバージョン等によって、ホストからのコマンドに対するオペレーション又は応答を変える方法を説明している。この方法は、特に、ベンダ、OS又はバージョン等が異なり得るオープンホストに関して適用されるが、オープンホストだけでなくM／Fホストも含めて全てのホストに関して適用してもよい。

図８〜図１０は、「ホストグループ」と「ホストモード」について説明している。

図８に示すように、HDDサブシステム１０のチャンネルコントローラ(特に、図１に示したオープンチャンネルコントローラ１２）がもつホストインタフェースの複数のチャネルポート２３１、２３２毎に、１又は複数のホストグループ３０１、３０２、３０３が定義可能になっている。ホストグループ３０１、３０２、３０３の各々には、その配下に１又は複数の論理デバイス２５１〜２５４、２６１〜２６４、２７１〜２７４を定義することができる。ホストグループ３０１、３０２、３０３の識別番号（ホストグループ番号）は、ポート番号とホストコマンドの中のイニシエータＩＤ（ホストの識別番号)から算出することができる。例えば、図９に例示するようなホストグループ番号算出テーブルが予めHDDサブシステム１０内（例えば、制御メモリ１３内）に記憶されており、例えばチャンネルコントローラが、このホストグループ番号算出テーブルに基づいて、ポート番号とイニシエータＩＤからホストグループ番号を決定する。図８及び図９に示した例では、例えば、ポート番号が「０」でイニシエータＩＤが「０」に対応するホストグループ番号は「００」であり、そして、この番号「００」のホストグループ３０１の配下に論理デバイス２５１〜２５４が割り当てられている。つまり、図８に示される番号「０」のホスト２１１は、番号「００」のホストグループ３０１に所属し、論理デバイス２５１〜２５４を割り当てられている。同様に、番号「１」のホスト２１２は、番号「０１」のホストグループ３０２に所属し、論理デバイス２６１〜２６４を割り当てられており、また、番号「２」のホスト２１３は、番号「０２」のホストグループ３０３に所属し、論理デバイス２７１〜２７４を割り当てられている。

ホストグループ毎に設定される情報の一つに「ホストモード」がある。ホストモードとは、ホストのベンダ、OS又はバージョン等に応じたホストの種類であり、ホストからのコマンドに対するHDDサブシステム１０のオペレーション又は応答は、そのホストがもつホストモードに応じて変わることになる。ホストモードは例えば次のように設定される。すなわち、図１０に例示するようなホストグループ毎の設定情報を登録するためのホストグループ情報テーブルがHDDサブシステム１０内（例えば、制御メモリ１３内）に記憶されており、そして、例えばチャンネルコントローラによって、各ホストグループのホストモードがホストグループ情報テーブルに設定登録される。図１０に示された例では、番号「００」のホストグループには番号「０３」のホストモードが設定されており、番号「０１」のホストグループには番号「０７」のホストモードが設定されており、また、番号「０２」のホストグループには番号「０４」のホストモードが設定されている。このように、ホストグループによってホストモード番号が異なることにより、ホストからのコマンドに対するHDDサブシステム１０のオペレーション又は応答が、そのホストが属するホストグループによって変わることになる。

なお、図１０に例示されたホストグループ情報テーブルに設定登録されるその他の情報には、例えば、ホストグループ番号、割り当てられた論理デバイスの識別番号などがある。

図１１は、HDDサブシステム１０のチャンネルコントローラが行なう、ホストからのコマンドのメイン処理の流れを示す。

ホストからコマンドを受けると、チャネルコントローラは、図１１に示す流れでコマンド種別に応じた処理を行い、ホストに応答する。これを順次に説明すると以下のとおりである。

(1) ステップS11：共通処理
ここでは、コマンド種別に依存しない共通の処理が実行される。この共通処理には、ホストからのコマンドに含まれるイニシエータID、ターゲットID、LUN（ロジカルユニット）番号からアクセス対象の論理デバイスの識別番号（LDEV番号）を算出することや、アクセス対象の論理デバイスの構成・使用状態・障害状態・アクセス属性モード情報等の制御情報を制御メモリ１３内のLDEV制御情報１０３から取得することなどが含まれる。

(2) ステップS12：判定１
ここでは、制御メモリ１３内のLDEV制御情報１０３から取得した制御情報に基づいて、アクセス対象の論理デバイスについて、
「１」 この論理デバイスは実装され且つ正常であるか、
「２」 この論理デバイスは使用中でないか、
「３」 この論理デバイスに障害報告がないか、
「４」 ホストからのコマンドのコマンドコード（コマンド種別）が、この論理デバイスのアクセス属性モード情報によって禁止されているアクセス動作を要求するものでないか、
などの条件がチェックされる。このチェックの結果、問題があれば、コマンドの処理は拒否され、一方、問題が無ければ、制御はステップS13へ進む。

(3) ステップS13：処理リストの取得
ここでは、図１２に例示されているような、コマンドコード（コマンド種別）毎に実行すべき処理をリストアップしたコマンド処理リスト（例えば、制御メモリ１３に予め記憶されている）が参照される。そして、このコマンド処理リストから、ホストからのコマンドのコマンドコード（コマンド種別）に対応した処理が抽出される。図１３に示された例によれば、例えばコマンドコードが「００」である場合、「処理A」、「処理C」及び「処理E」が抽出される。そして、制御はステップS14へ進む。

(4) ステップS14：抽出処理の実行
ここでは、コマンド処理リストから抽出された処理がそれぞれ実行される。例えばコマンドコードが「００」である場合、「処理A」、「処理C」及び「処理E」がそれぞれ実行される。ここで必要に応じてホストモードによる分岐が行われる。なお、ホストモードによる分岐を行うコマンドは、例えばホストインタフェースがSCSIプロトコルの規格に従う場合control/sense/diag系のものが多い。セキュリティ機能においても、control/sense/diag系のコマンドへの応答を変えることにより、ホストの属性認識を実現することができる。

このステップS14のより詳細な流れは、後に図１３を参照して説明する。ステップS14の後、制御はステップS15へ進む。

(5) ステップS15：リターン
コマンド処理の結果がホストに返される。

図１３は、上述した図１１のメイン処理の中のステップS14（抽出処理の実行）における、個々の処理（例えばコマンドコードが「００」である場合、「処理A」、「処理C」及び「処理E」の各々）を実行するときのより詳細な流れを示す。これを順次に説明すると以下のとおりである。

(1) ステップS21：共通処理
実行すべき処理（例えば、上述した「処理A」）は、それを構成する複数のサブ処理に分けられる。このステップS21では、それらサブ処理のうち、ホストモードに依存しない（つまり、全てのホストモードに共通な）もの（共通処理）であって、ホストモードに依存する（つまり、ホストモードに応じて異なる）サブ処理より先に実行すべきものがあれば、それが実行される。この後、制御はステップS22へ進む。

(2) ステップS22：モード依存処理
ここでは、上述した複数のサブ処理のうち、ホストモードに依存するもの(モード依存処理）があれば、それが実行される。その具体的方法例としては、まず、コマンドのイニシエータID、ポート番号又はアクセス対象のLDEV番号等に基づいて図９、１０に例示されたテーブルが参照されて、コマンドを発行したホストのホストモードが決定される。そして、図１４に例示するような、モード依存処理毎にそれに対応するホストモード別のサブ処理をリストアップしたモード依存処理リスト（例えば、制御メモリ１３に予め記憶されている）が参照され、そのモード依存処理リストから、当該ホストのホストモードに応じた当該モード依存処理に対応するサブ処理が抽出される。例えば、当該モード依存処理が「サブ処理１」であり、ホストモードが番号「０２」である場合、「サブ処理ｂ」が抽出される。そして、抽出されたホストモードに応じたサブ処理が実行される。

なお、ホスト依存処理が複数ある場合、それら複数のホスト依存処理について、上記の方法でホストモードに応じたサブ処理が選択されて、選択されたサブ処理がそれぞれ実行される。

この後、制御はステップS23へ進む。

(3) ステップS23：共通処理
ここでは、上述した複数のサブ処理のうち、ホストモードに依存しない共通処理であって、モード依存理の後に実行すべきものがあれば、それが実行される。この後、制御はステップS24へ進む。

(4) ステップS24〜S25：エラー応答
上述したステップS21〜S23が正常に実行完了すれば、ホストにその旨の応答を返す。他方、ステップS21〜S23中でエラーが発生した場合には、そのエラーがホストモード依存する（つまり、ホストモードに応じて応答内容（エラー情報）を違える必要がある）もの（モード依存エラー）である場合には、ホストモードに応じたエラー情報を作成してホストに返す。その具体的方法例としては、図１５に例示するような、モード依存エラーのエラーコード（エラー種別）毎にそれに対応するホストモード別のエラー情報をリストアップしたモード依存エラーリスト（例えば、制御メモリ１３に予め記憶されている）が参照され、そのモード依存エラーリストから、当該ホストのホストモードに応じた当該モード依存エラーに対応するエラー情報が抽出され、抽出されたエラー情報がホストへの応答内容に設定されてホストへ返される。例えば、当該モード依存エラーが「エラー１」であり、ホストモードが番号「０１」である場合、エラー情報「０５」が抽出されて応答内容に設定されてホストへ送られる。

図１６は、HDDサブシステム１０において、論理デバイスの二重化のためのコピーペア形成オペレーションを行なう場合の処理の流れを示す。

HDDサブシステム１０に対するコピーペア形成の指示は、図１に示したコンソール端末５１、５２からサービスプロセッサ４１のコンソールソフトウェア７１を介してオペレーション制御用の内部LANを通じて行う（out-of-bandからの指示）ことができるし、或いは、ホスト２１、２２、３１〜３３のストレージ管理ソフトウェア８１、８２、９１〜９３からデータバンドを通じて行う（in-bandからの指示）こともできる。図１６に示す処理は、in-bandから指示を受けた場合にはチャンネルコントローラ１１、１２によって行なわれ、また、in-bandから指示を受けた場合にはチャンネルコントローラ１１、１２とディスクコントローラ１５によって行われることになる。

サービスプロセッサ４１（コンソール端末５１、５２）又はホスト２１、２２、３１〜３３などの外部装置からHDDサブシステム１０に入力されるコピーペア形成の指示には、次の情報(1)及び(2)が含まれる。

(1) 形成対象のコピーペア数
(2) コピーペア毎に以下の事項「１」及び「２」
「１」 P-vol（プライマリボリューム：コピー元）となる論理デバイスのLDEV番号
「２」 S-vol（セコンダリボリューム：コピー先）となる論理デバイスのLDEV番号
外部装置から上記の操作指示が入力されると、HDDサブシステム１０内では図１６に示す処理が行われる。これを順次に説明すると以下のとおりである。

(1) ステップS31：判定1：ペア形成操作全体のチェック
ここでは、
「１」 形成対象のコピーペア数は規定内か、
「２」 複数のコントローラでコピーペア形成操作が可能で排他制御が必要な場合、形成対象のコピーペアについてロックが取得できたか、
「３」 コピーペア形成操作にライセンスの取得が必要な場合、指示を出したホスト（ホストのソフトウェア）にコピーペア形成操作のライセンスがあるか、
などの条件がチェックされる。このチェックの結果、問題があれば、エラーと判断され、一方、問題が無ければ、制御はステップS13へ進む。
制御はステップS32へ進む。

(2) ステップS32：形成対象コピーペア通番号の初期値設定
ここでは、形成対象のコピーペアの通番号（形成ペア通番号）に初期値「０」が設定され、そして、制御はステップS33へ進む。

(3) ステップS33：判定2：P-volのチェック
ここでは、P-volにする操作対象の論理デバイスについて
「１」 この論理デバイスのLDEV番号は妥当か、
「２」 この論理デバイスは実装され且つ正常であるか、
「３」 この論理デバイスはP-volにしてもよいか（例えば、HDDサブシステム１０が行う他の機能又はオペレーションとの関係からP-volにする操作が禁止される場合があり得る）、
などの条件がチェックされる。このチェックの結果、問題があれば、エラーと判断され、制御はステップS36へ進み、一方、問題が無ければ、制御はステップS34へ進む。

(4) ステップS34：判定3：S-volのチェック
ここでは、S-volにする操作対象の論理デバイスについて
「１」 その論理デバイスのLDEV番号は妥当か、
「２」 その論理デバイスが実装され且つ正常であるか、
「３」 この論理デバイスはS-volにしてもよいか（特に、図５に示したS-vol
disable bitが「１」であればS-volにすることはできず、また、そうでなくても、例えば、HDDサブシステム１０が行う他の機能又はオペレーションとの関係からS-volにするこの操作が禁止される場合もあり得る）、
などの条件がチェックされる。このチェックの結果、問題があれば、エラーと判断され、制御はステップS36へ進み、一方、問題が無ければ、制御はステップS35へ進む。

(5) ステップS35：コピーペア形成
ここでは、上述した２つの操作対象の論理デバイスがそれぞれP-vol及びS-volに指定されて、P-volからS-volへデータがコピーされ両者のコピーペアが形成される。そして、制御はステップS36へ進む。

(6) ステップS36：形成コピーペア通番号のインクレメント
形成コピーペア通番号が１つ増加され、制御はステップS37へ進む。

(7) ステップS37：判定4：終了判定
ここでは、形成コピーペア通番号が形成対象コピーペア数に到達したかチェックされる。その結果、達してなければ制御はステップS33に進んで、次の形成対象のコピーペアについての同様な処理が行なわれ、達していれば、コピーペア形成操作は完了する。形成対象のコピーペアのいずれかについてコピーペア形成操作にエラーが生じた場合には、外部装置（サービスプロセッサ（コンソール端末）又はホスト）に返される応答には、エラーが生じたコピーペア毎のエラー要因などの情報が含まれる。

以上が、この実施形態に係るHDDサブシステム１０の構成及び機能の説明である。以下では、HDDサブシステム１０がもつセキュリティ機能の使用方法と使用例を説明する。

まず、セキュリティ機能の使用方法について述べる。すなわち、既に説明した６種類のアクセス属性モードのうちRead Only及びRead/Write不可に関しては、これを或る論理デバイスに設定した上でその論理デバイスをホストに使用させるためには、
(1) 対象の論理デバイスに当該アクセス属性モードを設定し、その後に、
(2) 対象の論理デバイスへの接続（マウント：mount）をホストが実行し、その後に、
(3) 対象の論理デバイスの使用をホストが開始する、
という操作が順次に行なわれることになる。他方、上記以外のアクセス属性モード、つまり、Read/Write可能、Read
Capacity 0、Inquiry抑止及びS-vol disableに関しては、上記のような格別の手順を行なう必要がない。

次に、セキュリティ機能の使用例について簡単に説明する。すなわち、上述した６種類のアクセス属性モードは、例えば以下の用途に使用できる。

(1) Read Onlyの使用例
データのアーカイブ化（官公庁文書、医療カルテ、決済文書、メール履歴等）、Webサイトでのデータ公開など。

(2) Read/Write不可の使用例
一時的なデータ非公開（Webサイト等）、ホスト動作暴走時のデータ破壊防止など。

(3) Read Capacity 0/Inquiry抑止の使用例
長期的なデータ非公開、データの存在そのものの隠蔽化など。

(4) S-vol Disableの使用例
コピーペア自動形成環境下でのデータ保護など。

本実施形態におけるこれまでの説明を、例えば以下のように抽象的に表現することができる。

（１）表現１
１以上の外部装置と通信可能な記憶システムにおいて、
複数の論理デバイスと、
所定の複数のアクセス属性モードから選択された１以上のアクセス属性モードを各論理デバイスに対して設定するアクセス属性モード設定手段と、
前記外部装置から指定された論理デバイスに関するアクセス動作を要求するコマンドを入力した場合、前記指定された論理デバイスに設定されているアクセス属性モードに応じて、前記要求されたアクセス動作を制御し、そして、制御されたアクセス動作の結果の情報をもつ応答を前記外部装置に出力するアクセス制御手段と
を備え、
前記所定のアクセス属性モードに、外部装置が論理デバイスそれ自体又はその容量を認識するためのデバイス認識型動作に対して所定の制限を加えるための１以上のデバイス認識制御用モードが含まれており、
前記アクセス制御手段が、
前記指定された論理デバイスに設定されているアクセス属性モードが前記デバイス認識制御用モードである場合において、前記外部装置から要求されたアクセス動作が前記指定された論理デバイスに対する前記デバイス認識型動作である場合、前記設定されているデバイス認識制御用モードに基づく前記所定の制限を前記要求されたデバイス認識型動作に加えた結果の情報をもつ応答を前記外部装置に出力するためのデバイス認識制御手段を有する、
ことを特徴とする記憶システム。

（２）表現２
表現１記載のものにおいて、
前記デバイス認識制限用モードの一つがリードキャパシティゼロであり、
前記指定された論理デバイスに設定されているアクセス属性モードが前記リードキャパシティゼロである場合において、前記外部装置から要求されたアクセス動作が前記指定された論理デバイスの容量を認識することである場合、
前記アクセス制御手段の前記デバイス認識制御手段が、前記指定された論理デバイスの容量がゼロであることを示す情報をもつ応答を前記外部装置に出力する、
ことを特徴とする記憶システム。

（３）表現３
表現１記載のものにおいて、
前記デバイス認識制限用モードの一つがインクエリ抑止であり、
前記指定された論理デバイスに設定されているアクセス属性モードが前記インクエリ抑止である場合において、前記外部装置から要求されたアクセス動作が前記指定された論理デバイスそれ自体を認識することである場合、
前記アクセス制御手段の前記デバイス認識制御手段が、前記指定された論理デバイスの認識を抑止した結果を示す情報をもつ応答を前記外部装置に出力する、
ことを特徴とする記憶システム。

（４）表現４
表現１記載のものにおいて、
前記指定された論理デバイスに設定されているアクセス属性モードが前記デバイス認識制御用モードである場合において、前記外部装置から要求されたアクセス動作が前記指定された論理デバイスに対するデータのリード又はライトである場合、
前記アクセス制御手段の前記デバイス認識制御手段が、前記指定された論理デバイスに対するデータのリード又はライトが抑止された結果を示す情報をもつ応答を前記外部装置に出力する、
ことを特徴とする記憶システム。

（５）表現５
１以上の外部装置と通信可能な記憶システムにおいて、
複数の論理デバイスと、
所定の複数のアクセス属性モードから選択された１以上のアクセス属性モードを各論理デバイスに対して設定するアクセス属性モード設定手段と、
前記外部装置から指定された論理デバイスに対するアクセス動作を要求するコマンドを入力した場合、前記指定された論理デバイスに設定されているアクセス属性モードに応じて、前記要求されたアクセス動作を制御し、そして、制御されたアクセス動作の結果の情報をもつ応答を前記外部装置に出力するアクセス制御手段と
を備え、
前記所定のアクセス属性モードに、前記指定された論理デバイスをセコンダリボリュームとして他の論理デバイスとのコピーペアを形成するためのコピーペア形成動作に所定の制限を加えるための１以上のコピーペア形成制御用モードが含まれており、
前記アクセス制御手段が、
前記指定された論理デバイスに設定されているアクセス属性モードが前記コピーペア形成制御用モードである場合において、前記外部装置から要求されたアクセス動作が前記指定された論理デバイスに関する前記コピーペア形成動作である場合、前記設定されているコピーペア形成制御用モードに基づく前記所定の制限を前記要求されたコピーペア形成動作に加えた結果の情報をもつ応答を前記外部装置に出力するためのコピーペア形成制御手段を有する、
ことを特徴とする記憶システム。

（６）表現６
表現６記載のものにおいて、
前記所定のアクセス属性モードに、更に、前記指定された論理デバイスに対してデータのリード又はライトを行なうためのデータ操作型動作を制御するための１以上のデータ操作制御用モード、及び／又は、前記指定され論理デバイスそれ自体又はその容量を認識ためのデバイス認識型動作を制御するための１以上のデバイス認識制御用モードが含まれており、
前記アクセス属性モード設定手段は、同じ論理デバイスに対して、前記データ操作制御用モードと前記コピーペア形成制御用モードの双方を重複して、又は、前記デバイス認識制御用モードと前記コピーペア形成制御用モードの双方を重複して設定することができる、
ことを特徴とする記憶システム。

（７）表現７
装置種類の異なる複数の外部装置と通信可能な記憶システムにおいて、
所定の複数の装置モードの中から、前記外部装置の各々の装置種類に応じた一つの装置モードを選び、選ばれた装置モードを前記外部装置の各々に設定する装置モード設定手段と、
所定種類のコマンドを処理する場合に実行されるべき動作の種類を装置モード毎に記憶したモード依存動作記憶手段と、
コマンドを処理した結果が所定種類の結果である場合に前記処理されたコマンドに対する応答に含まれるべき情報の種類を装置モード毎に記憶したモード依存応答記憶手段と、
いずれかの外部装置から入力されたコマンドを処理するものであって、前記入力されたコマンドが前記所定種類のコマンドである場合、前記入力されたコマンドを処理する過程で、前記モード依存動作記憶手段に記憶されている装置モード毎の動作種類の中から、前記コマンドを発した外部装置に設定されている装置モードに応じた動作種類を選び、選ばれた動作種類に対応する動作を実行するコマンド処理手段と、
前記コマンド処理手段による処理の結果に応じた応答情報を含んだ応答を、前記コマンドを発した外部装置に出力するものであって、前記処理の結果が前記所定種類の結果である場合、前記モード依存応答記憶手段に記憶されている装置モード毎の情報種類の中から、前記コマンドを発した外部装置に設定されている装置モードに応じた情報種類を選び、選ばれた情報種類に対応する情報を含んだ応答を前記コマンドを発した外部装置に出力するコマンド応答手段と
を備えたことを特徴とする記憶システム。

（８）表現８
装置種類の異なる複数の外部装置と、前記外部装置と通信可能な記憶システムとを備えたコンピュータシステムにおいて、
前記複数の外部装置はそれぞれ、前記記憶システムを利用するアプリケーションプログラムと、アプリケーションプログラムからの指示に応じて前記記憶システムの論理デバイスのセキュリティ機能の設定又制御に関わる管理用制御を行なうためのストレージ管理プログラムを搭載しており、
前記複数の外部装置はそれぞれ、前記アプリケーションプログラムから前記ストレージ管理プログラムグラムを介して、前記記憶システムに対する前記管理用制御を自動的に行なうことを特徴とするコンピュータシステム。

上述した表現１〜表現７における各手段は、ハードウェア、コンピュータプログラム又はそれらの組み合わせによって実現することができる。

さて、以下、本実施形態の主要部分について説明する。なお、以下の説明では、上述した説明と重複する部分については説明を省略又は簡略する。また、以下の説明では、HDDサブシステム１０を「第１の記憶システム１０」と称する。

図１７は、本実施形態の主要部分に関するコンピュータシステムの構成例である。

コンピュータシステム１において、第１の記憶システム１０に、外部の記憶システムとして、１又は複数台（例えば２台）の第２の記憶システム１０Ａ、１０Ｂが備えられる。図示の例では、第２の記憶システム１０Ａは、ＳＡＮ等のネットワーク６１に接続されており、第２の記憶システム１０Ｂは、インターネット等のネットワーク６２に接続されている。この構成により、第１の記憶システム１０、第２の記憶システム１０Ａ及び１０Ｂは、ネットワーク６１及び６２の少なくとも一方を介して互いに通信することができる。

第２の記憶システム１０Ａは、例えば、第１の記憶システム１０と実質的に同様の構成にすることができる。すなわち、例えば図示のように、第２の記憶システム１０Ａには、１以上のオープンチャネルコントローラ１２Ａ、制御メモリ１３Ａ、キャッシュメモリ１４Ａ、ディスクコントローラ１５Ａ、及び物理デバイス（例えば、HDD装置、磁気テープ記録装置、或いはＤＶＤ−Ｒドライブ装置等、第１の記憶システム１０についても同様）１６Ａ−１〜１６Ａ−Ｎが備えられる。物理デバイス１６Ａ−１〜１６Ａ−Ｎには、１以上の論理デバイス（ＬＤＥＶ或いは論理ボリュームとも言う）５０１が備えられる。

第２の記憶システム１０Ｂは、例えば、第１の記憶システム１０よりも簡易な構成にすることができる。例えば、第２の記憶システム１０Ｂには、ネットワーク６２を介して通信を行うためのオープンチャネルインターフェース（Ｉ／Ｆ）２と、制御メモリ１３Ａと、キャッシュメモリ（以下、「ＣＭ」と略記）１４Ａと、プロセッサ６０１と、物理デバイス１６Ａ−１〜１６Ａ−Ｎと、ディスクコントローラ１５Ｂとが備えられる。それらの構成要素の各々は他の構成要素と内部バスを介して接続されている。プロセッサ６０１は、他の構成要素２、１３Ａ、１４Ａ及び１５Ａを制御することにより、第２の記憶システム１０Ｂの動作全体を制御する。物理デバイス１６Ａ−１〜１６Ａ−Ｎには、１以上の論理デバイス５０１が備えられる（以下、第１の記憶システム１０内の論理デバイスを「内部ＬＤＥＶ」と言い、第２の記憶システム１０Ａ、１０Ｂ内の論理デバイスを「外部ＬＤＥＶ」と言い、どちらのＬＤＥＶであっても良い場合は単に「ＬＤＥＶ」と言う）。

第１の記憶システム１０のオープンチャネルコントローラ１２及びディスクコントローラ１５の少なくとも一方には、プロセッサ６０１が備えられている。同様に、第２の記憶システム１０Ａのオープンチャネルコントローラ１２Ａ及びディスクコントローラ１５Ａの少なくとも一方にも、プロセッサ６０１が備えられている。第１の記憶システム１０、第２の記憶システム１０Ａ及び１０Ｂに備えられるプロセッサ６０１は、例えばＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）である。プロセッサ６０１は、例えば、アクセス属性制御テーブルから第１のＬＤＥＶについてセキュリティ情報を取得したり、取得したセキュリティ情報を第２のＬＤＥＶに対して設定したり、或るＬＤＥＶに対するホスト２１、２２、３１〜３３のアクセスを、セキュリティ情報に含まれるアクセス属性モードに応じて制御したり等を行うことができる。なお、セキュリティ情報とは、それに対応するＬＤＥＶのセキュリティに関する属性の情報のことであり、例えば、アクセス属性モード、属性変更許可パスワード及び保存期限（対応するＬＤＥＶ内のデータをいつ（例えば何年何月何日）まで保存するか）を含んだ情報である。アクセス属性モードは、例えば、前述したように、（１）リード／ライト可能（Ｒ／Ｗ可能）、（２）リードオンリ（Read
Only）、（３）リード／ライト不可（Ｒ／Ｗ不可）、（４）リードキャパシティゼロ（Read Capacity 0）、（５）インクエリ（Inquiry）抑止、（６）セコンダリボリュームディセーブル（S-vol
disable）の６種類である。

本実施形態では、第１の記憶システム１０又は第２の記憶システム１０Ａ、１０Ｂの古い物理デバイス上に存在する第１のＬＤＥＶ内のデータが、その記憶システムと同一の又は別の記憶システム内に存在する新しい物理デバイス（古い物理デバイスよりも故障し得る時期が先である物理デバイス）上に存在する第２のＬＤＥＶにコピーされるコピー処理が行われる。以下、幾つかのコピー処理を例に採り説明する。

図１８は、本実施形態で行われる第１のコピー処理の第１の例を示す。

第１のコピー処理では、コピー元となる第１のＬＤＥＶ５０１Ａと、コピー先となる第２のＬＤＥＶ５０１Ｂは、第１の記憶システム、第２の記憶システム１０Ａ及び１０Ｂのうちのどの記憶システムに存在していても良い。別の言い方をすれば、第１のＬＤＥＶ５０１Ａ内から第２のＬＤＥＶ５０１Ｂ内へのデータコピーは、同一の記憶システム内で行われても良いし、別々の記憶システム間で行われても良い。

また、この第１のコピー処理では、第１のプロセッサ６０１Ａは、第１のＬＤＥＶ５０１Ａを有する記憶システム内に存在するプロセッサであり、第２のプロセッサ６０１Ｂは、第２のＬＤＥＶ５０１Ｂを有する記憶システム内に存在するプロセッサである。別の言い方をすれば、第１のプロセッサ６０１Ａと第２のプロセッサ６０１Ｂとは、同一プロセッサであっても良いし別々のプロセッサであっても良い。

また、この第１のコピー処理では、第１のＬＤＥＶ５０１Ａからのデータの読出しは、ホストＩ／Ｏを受けたか否かに関係なく行われるものである。同様に、読み出されたデータを第２のＬＤＥＶ５０１Ｂに書込むことも、ホストＩ／Ｏを受けたか否かに関係なく行われるものである。

また、この第１のコピー処理の第１の例では、第１のＬＤＥＶ５０１Ａのアクセス属性モードは、リードオンリである。更に、第１のコピー処理実行前の第２のＬＤＥＶ５０１Ｂのアクセス属性モードはＲ／Ｗ可能である。

第１のコピー処理の第１の例は、例えば以下の流れである。

図１８（Ａ）に示すように、第１のプロセッサ６０１Ａ（又は第２のプロセッサ６０１Ｂ）が、第１のＬＤＥＶ５０１Ａに対応するセキュリティ情報をアクセス属性制御テーブル２０１（又は２０１Ａ）から取得する。

次に、図１８（Ｂ）に示すように、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、取得されたセキュリティ情報を、アクセス属性制御テーブル２０１（又は２０１Ａ）上の第２のＬＤＥＶ５０１Ｂに対応する欄に書込む。

そして、図１８（Ｃ）に示すように、第１のプロセッサ６０１Ａ、第２のプロセッサ６０１Ｂ又はそれらが協働して、第１のＬＤＥＶ５０１ＡをＰ−ｖｏｌとし、第２のＬＤＥＶ５０１ＢをＳ−ｖｏｌとし、それにより、Ｐ−ｖｏｌとＳ−ｖｏｌとのペアを形成して、ホスト２１〜２２及び３１〜３３を介在させることなく、第１のＬＤＥＶ５０１Ａ内のデータを第２のＬＤＥＶ５０１Ｂ内にコピーする。

上述した実施形態によれば、データコピー先となる第２のＬＤＥＶ５０１Ｂに、データコピー元である第１のＬＤＥＶ５０１Ａに設定されていたセキュリティ情報と同一内容のセキュリティ情報が設定される。これにより、コピー先に対してコピー元と同様のセキュリティをかけることができる。

また、上述した実施形態によれば、そのセキュリティ情報の設定は、第１のＬＤＥＶ５０１Ａ内のデータが第２のＬＤＥＶ５０１Ｂ内にコピーされる場合に行われる。このため、コピー先に対して効率良くセキュリティ情報が設定される。これにより、例えば、第２のＬＤＥＶ５０１Ｂのアクセス属性モードが、Ｒ／Ｗ可能から、コピー元である第１のＬＤＥＶ５０１Ａのアクセス属性モードと同じリードオンリに変わる。

図１９は、本実施形態で行われる第１のコピー処理の第２の例を示す。

第２の例では、第１のＬＤＥＶ５０１Ａのアクセス属性モードがＲ／Ｗ不可であることを除いて、上述した第１の例と同様の条件の下で同様の処理流れが行われる。

図２０は、本実施形態で行われる第２のコピー処理の例を示す。

第２のコピー処理では、コピー元となる第１のＬＤＥＶ５０１Ａと、コピー先となる第２のＬＤＥＶ５０１Ｂは、第１の記憶システム、第２の記憶システム１０Ａ及び１０Ｂのうちのどの記憶システムに存在していても良い。別の言い方をすれば、第１のＬＤＥＶ５０１Ａ内から第２のＬＤＥＶ５０１Ｂ内へのデータコピーは、同一の記憶システム内で行われても良いし、別々の記憶システム間で行われても良い。

また、この第２のコピー処理では、第１のプロセッサ６０１Ａは、第１のＬＤＥＶ５０１Ａを有する記憶システム内に存在するプロセッサであり、第２のプロセッサ６０１Ｂは、第２のＬＤＥＶ５０１Ｂを有する記憶システム内に存在するプロセッサである。別の言い方をすれば、第１のプロセッサ６０１Ａと第２のプロセッサ６０１Ｂとは、同一プロセッサであっても良いし別々のプロセッサであっても良い。

また、この第２のコピー処理では、第１のＬＤＥＶ５０１Ａからのデータの読出しは、ホストＩ／Ｏを受けたか否かに関係なく行われるものである。同様に、読み出されたデータを第２のＬＤＥＶ５０１Ｂに書込むことも、ホストＩ／Ｏを受けたか否かに関係なく行われるものである。

また、この第２のコピー処理では、第１のＬＤＥＶ５０１Ａのアクセス属性モードは、リードオンリ且つS-vol disableである。更に、第２のコピー処理実行前の第２のＬＤＥＶ５０１Ｂのアクセス属性モードはＲ／Ｗ可能である。

更に、アクセス属性制御テーブル２０１（及び／又は２０１Ａ）には、各ＬＤＥＶ毎に、Ｓ−ｖｏｌ許可パスワードの記憶領域が設けられる。アクセス属性モードとしてS-vol disableが設定されていると、それに対応するＬＤＥＶはＳ−ｖｏｌとすることはできないが、Ｓ−ｖｏｌ許可パスワードが対応付けられている場合には、そのＳ−ｖｏｌ許可パスワードが入力された場合に限り、そのＬＤＥＶをＳ−ｖｏｌとすることができるようになっている。

第２のコピー処理は、例えば以下の流れである。

図２０（Ａ）に示すように、第１のプロセッサ６０１Ａ（又は第２のプロセッサ６０１Ｂ）が、第１のＬＤＥＶ５０１Ａに対応するセキュリティ情報をアクセス属性制御テーブル２０１（又は２０１Ａ）から取得する。

次に、図２０（Ｂ）に示すように、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、取得されたセキュリティ情報を、アクセス属性制御テーブル２０１（又は２０１Ａ）上の第２のＬＤＥＶ５０１Ｂに対応する欄に書込む。

また、図２０（Ｃ）に示すように、図２０（Ｂ）に示した処理を実行する際に、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、アクセス属性制御テーブル２０１（又は２０１Ａ）上の第２のＬＤＥＶ５０１Ｂに対応するＳ−ｖｏｌ許可パスワード記憶領域に、その第２のＬＤＥＶ５０１Ｂに対応するＳ−ｖｏｌ許可パスワードを書込む。このＳ−ｖｏｌ許可パスワードは、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）によって自動的に決められたものであっても良いし、ホスト２１〜２２及び３１〜３３の少なくとも１つから入力されたものであっても良いし、コンソール端末５１、５２又はサービスプロセッサ４１から入力されたものであっても良い。

図２０（Ａ）〜図２０（Ｃ）に示す流れで、第２のＬＤＥＶ５０１Ｂにセキュリティ情報及びＳ−ｖｏｌ許可パスワードが設定された場合、以後、例えば以下のような処理が行われる。

図２１は、第２のコピー処理において、第２のＬＤＥＶ５０１Ｂにセキュリティ情報及びＳ−ｖｏｌ許可パスワードが設定された場合に行われる処理流れを示す。

第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、Ｐ−ｖｏｌと、リードオンリのＳ−ｖｏｌとの指定と共にペア形成要求を受けた場合、アクセス属性制御テーブル２０１にアクセスして、指定されたＳ−ｖｏｌ（例えばＬＤＥＶ＃）に対応したアクセス属性モード欄を参照し、Ｓ−ｖｏｌのアクセス属性モードとしてS-vol disableが設定されていないことが判別されたならば（Ｓ５１でＮ）、第１のプロセッサ６０１Ａ、第２のプロセッサ６０１Ｂ又はそれらが協働して、指定されたＰ−ｖｏｌとＳ−ｖｏｌとのペアを形成し、Ｐ−ｖｏｌ（第１のＬＤＥＶ５０１Ａ）内のデータをＳ−ｖｏｌ（第２のＬＤＥＶ５０１Ｂ）内にコピーする（Ｓ５６）。

一方、Ｓ５１において、Ｓ−ｖｏｌのアクセス属性モードとしてS-vol disableが設定されていることが判別されたならば（Ｓ５１でＹ）、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、アクセス属性制御テーブル２０１にアクセスして、指定されたＳ−ｖｏｌに対応したＳ−ｖｏｌ許可パスワード記憶領域を参照し、Ｓ−ｖｏｌ許可パスワードが設定されているか否かを判別する（Ｓ５２）。

Ｓ５２において、Ｓ−ｖｏｌ許可パスワードが設定されていないことが判別された場合、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、第１のＬＤＥＶ５０１Ａ内のデータを第２のＬＤＥＶ５０１Ｂ内にコピーすることを拒否する（Ｓ５３）。具体的には、例えば、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、指定されたＰ−ｖｏｌとＳ−ｖｏｌとのペアを形成しないようにする。

一方、Ｓ５２において、Ｓ−ｖｏｌ許可パスワードが設定されていないことが判別された場合、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、Ｓ−ｖｏｌ許可パスワードの入力を求め（Ｓ５４）、それに応答して正しいＳ−ｖｏｌ許可パスワードが入力されたことは判別されたならば（Ｓ５５でＹ）、上述したＳ５６のコピーが実行される。なお、Ｓ５４において、Ｓ−ｖｏｌ許可パスワードの入力の要求先は、例えば、ホスト２１〜２２、３１〜３３、コンソール端末５１、５２及びサービスプロセッサ４１の中から選択された一つの端末である。

Ｓ５６のコピーが完了した後、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、第２のＬＤＥＶ５０１Ｂに対応付けられていたＳ−ｖｏｌ許可パスワードを、アクセス属性制御テーブル２０１（又は２０１Ａ）から消去する（Ｓ５７）。これにより、例えば、第２のＬＤＥＶ５０１Ｂのアクセス属性モードが、当初のＲ／Ｗ可能から、コピー元である第１のＬＤＥＶ５０１Ａのアクセス属性モードと同じリードオンリ且つS-vol disableに変更される。

図２２は、本実施形態で行われる第３のコピー処理の例を示す。

第３のコピー処理では、コピー元となる第１のＬＤＥＶ５０１Ａ内から、コピー先となる第２のＬＤＥＶ５０１Ｂ内へのデータコピーは、別々の記憶システム間で行われる。この第３のコピー処理では、第２のＬＤＥＶ５０１Ｂが、第１の記憶システム１０内に存在し、第１のＬＤＥＶ５０１Ａは、第２の記憶システム１０Ａ又は１０Ｂに存在する。以下、この第３処理の説明において、便宜上、第２のＬＤＥＶ５０１Ｂを「内部ＬＤＥＶ５０１Ｂ」と称し、第１のＬＤＥＶ５０１Ａを「外部ＬＤＥＶ５０１Ａ」と称する。

また、この第３のコピー処理では、第１のプロセッサ６０１Ａは、外部ＬＤＥＶ５０１Ａを有する第２の記憶システム１０Ａ又は１０Ｂ内に存在するプロセッサであり、第２のプロセッサ６０１Ｂは、内部ＬＤＥＶ５０１Ｂを有する第１の記憶システム１０内に存在するプロセッサである。

また、この第３のコピー処理では、外部ＬＤＥＶ５０１Ａからのデータの読出しは、ホストＩ／Ｏ要求（例えばリードコマンド）を受けた場合に行われるものである。しかし、読み出されたデータを内部ＬＤＥＶ５０１Ｂに書込むことは、ホストＩ／Ｏを受けたか否かに関係なく行われる。

また、この第３のコピー処理の例では、外部ＬＤＥＶ５０１Ａのアクセス属性モードは、リードオンリである。更に、第３のコピー処理実行前の内部ＬＤＥＶ５０１Ｂのアクセス属性モードはＲ／Ｗ可能である。

第３のコピー処理の例では、例えば以下の流れである。

図２２（Ａ）に示すように、第２の記憶システム１０Ａ又は１０Ｂが有する第１のプロセッサ６０１Ａが、外部ＬＤＥＶ５０１Ａに対応するセキュリティ情報をアクセス属性制御テーブル２０１Ａから取得する。第１のプロセッサ６０１Ａは、取得したセキュリティ情報を、第２のプロセッサ６０１Ｂを有する第１の記憶システム１０に送信する。

次に、図２２（Ｂ）に示すように、第２のプロセッサ６０１Ｂは、第２の記憶システム１０Ａ又は１０Ｂから受信したセキュリティ情報を、アクセス属性制御テーブル２０１上の内部ＬＤＥＶ５０１Ｂに対応する欄に書込む。

そして、図２２（Ｃ）に示すように、第１のプロセッサ６０１Ａ、第２のプロセッサ６０１Ｂ又はそれらが協働して、外部ＬＤＥＶ５０１ＡをＰ−ｖｏｌとし、内部ＬＤＥＶ５０１ＢをＳ−ｖｏｌとし、それにより、Ｐ−ｖｏｌとＳ−ｖｏｌとのペアを形成して、ホスト２１〜２２及び３１〜３３のいずれかによって外部ＬＤＥＶ５０１Ａから読み出されたデータを、ホスト２１〜２２及び３１〜３３を介在させることなく、内部ＬＤＥＶ５０１Ｂ内にコピーする。

上述した図２２（Ｂ）の処理の際、受信したセキュリティ情報が、第１の記憶システム１０と第２の記憶システム１０Ａ又は１０Ｂとの属性（例えば、ベンダ、メーカ、機種、又はプロセッサ６０１のＯＳ（Operating System））の違いから、第１の記憶システム１０内におけるセキュリティ情報とフォーマットが異なる場合には、例えば図２３に例示する方法で、上記受信したセキュリティ情報を、第１の記憶システム１０に適合するセキュリティ情報に変換することができる。

図２３は、第２の記憶システム１０Ａ又は１０Ｂから受信したセキュリティ情報を基に第１の記憶システムに適合するセキュリティ情報を得る方法を説明するための図である。

アクセス属性制御テーブル２０１及び２０１Ａの少なくとも一方には、自分を有する記憶システム内のＬＤＥＶだけでなく、他の全ての記憶システムが有するＬＤＥＶに関する情報も登録される。例えば、第１の記憶システム１０のアクセス属性制御テーブル２０１には、第１の記憶システム１０が有するＬＤＥＶだけでなく、他の全ての記憶システム（例えば第２の記憶システム１０Ａ及び１０Ｂ）が有するＬＤＥＶに関する情報も登録される。その場合、例えば、アクセス属性制御テーブル２０１には、本実施形態に係るコンピュータシステム１に備えられる複数の記憶システムが有する複数のＬＤＥＶの各々について、セキュリティ情報と存在場所とが登録される。存在場所情報とは、例えば、それに対応するＬＤＥＶが、第１の記憶システム１０と第２の記憶システム１０Ａ又は１０Ｂとのうちのどこに存在するかを示す情報である。

また、第１の記憶システム１０の制御メモリ１３（及び／又は、第２の記憶システム１０Ａの制御メモリ１３Ａ）には、コマンド規則テーブル８が格納される。コマンド規則テーブル８には、記憶システムに関する属性（例えば、ベンダ、メーカ、機種、及びプロセッサのＯＳの少なくとも１つ）に応じたコマンドフォーマット（例えば、セキュリティ情報中のどこにどんな情報要素（例えばアクセス属性モード）が存在するかを示す情報）が登録されている。外部の記憶システムからセキュリティ情報を受信した場合、そのセキュリティ情報の送信元（外部の記憶システム）に関する属性を用いてコマンド規則テーブル８を参照することにより、受信したセキュリティ情報中のどこにどんな情報要素が存在するかを把握することができる。

例えば、図２２（Ａ）及び（Ｂ）において、第２のプロセッサ６０１Ｂは、アクセス属性制御テーブル２０１を参照し、Ｐ−ｖｏｌとして指定されたＬＤＥＶが内部ＬＤＥＶか外部ＬＤＥＶかを判断する（Ｓ４１）。

Ｓ４１において、指定されたＰ−ｖｏｌは内部ＬＤＥＶであると判断された場合（Ｓ４１でＹ）、第２のプロセッサ６０１Ｂは、その内部ＬＤＥＶに対応するセキュリティ情報をアクセス制御テーブル２０１から取得し（Ｓ４２）、取得したセキュリティ情報を、Ｓ−ｖｏｌとして指定された内部ＬＤＥＶに対応付けてアクセス制御テーブル２０１に書込む。

一方、Ｓ４１において、指定されたＳ−ｖｏｌは外部ＬＤＥＶであると判断された場合（Ｓ４１でＮ）、第２のプロセッサ６０１Ｂは、その外部ＬＤＥＶを有する第２の記憶システム１０Ａ又は１０Ｂに対し、セキュリティ情報を要求する（例えば、ＳＣＳＩプロトコルに従うinquiryコマンドを送信する）（Ｓ４３）。

第１のプロセッサ６０１Ａは、第１の記憶システム１０からの要求に応答して、その外部ＬＤＥＶに関するセキュリティ情報を、アクセス属性制御テーブル２０１Ａから取得し、取得したセキュリティ情報を第１の記憶システム１０に送信する（Ｓ４４）。

第２のプロセッサ６０１Ｂは、セキュリティ情報の送信元である第２の記憶システム１０Ａ又は１０Ｂに関する属性と、コマンド規則テーブル８とに基づいて、第２の記憶システム１０Ａ又は１０Ｂから受信したセキュリティ情報を解析して、そのセキュリティ情報中のどこにどんな情報要素が存在するかを把握する。そして、第２のプロセッサ６０１Ｂは、把握された情報要素のうち必要な情報要素（例えば、アクセス属性モード、属性変更許可パスワード及び保存期限）を抽出することにより、第１の記憶システム１０に応じたセキュリティ情報を得る（Ｓ４５）。第２のプロセッサ６０１Ｂは、そのセキュリティ情報をアクセス属性制御テーブル２０１上の内部ＬＤＥＶ５０１Ｂに対応する欄に書込む。

図２４は、本実施形態で行われる第４のコピー処理の例を示す。

第４のコピー処理では、外部ＬＤＥＶ５０１Ａのアクセス属性モードがリードオンリ且つS-vol disableであること以外は、第３のコピー処理と諸条件は同様である。

図２４（Ａ）に示すように、第１のプロセッサ６０１Ａが、外部ＬＤＥＶ５０１Ａに対応するセキュリティ情報をアクセス属性制御テーブル２０１Ａから取得する。

次に、図２４（Ｂ）に示すように、第２のプロセッサ６０１Ｂが、第２の記憶システム１０Ａ又は１０Ｂからのセキュリティ情報を、アクセス属性制御テーブル２０１上の内部ＬＤＥＶ５０１Ｂに対応する欄に書込む。

また、図２４（Ｃ）に示すように、図２４（Ｂ）に示した処理を実行する際に、第２のプロセッサ６０１Ｂが、アクセス属性制御テーブル２０１上の内部ＬＤＥＶ５０１Ｂに対応するＳ−ｖｏｌ許可パスワード記憶領域に、その内部ＬＤＥＶ５０１Ｂに対応するＳ−ｖｏｌ許可パスワードを書込む。このＳ−ｖｏｌ許可パスワードは、第２のプロセッサ６０１Ｂによって自動的に決められたものであっても良いし、ホスト２１〜２２及び３１〜３３の少なくとも１つから入力されたものであっても良いし、コンソール端末５１、５２又はサービスプロセッサ４１から入力されたものであっても良い。

図２４（Ａ）〜図２４（Ｃ）に示す流れで、内部ＬＤＥＶ５０１Ｂにセキュリティ情報及びＳ−ｖｏｌ許可パスワードが設定された場合、以後、例えば以下のような処理が行われる。

図２５は、第４のコピー処理において、内部ＬＤＥＶ５０１Ｂにセキュリティ情報及びＳ−ｖｏｌ許可パスワードが設定された場合に行われる処理流れを示す。

第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、Ｐ−ｖｏｌと、リードオンリのＳ−ｖｏｌとの指定と共にペア形成要求を受けた場合、アクセス属性制御テーブル２０１にアクセスして、指定されたＳ−ｖｏｌに対応したアクセス属性モード欄を参照し、Ｓ−ｖｏｌのアクセス属性モードとしてS-vol disableが設定されていないことが判別されたならば（Ｓ６１でＮ）、第１のプロセッサ６０１Ａ、第２のプロセッサ６０１Ｂ又はそれらが協働して、指定されたＰ−ｖｏｌとＳ−ｖｏｌとのペアを形成し、Ｐ−ｖｏｌ（外部ＬＤＥＶ５０１Ａ）内のデータをＳ−ｖｏｌ（内部ＬＤＥＶ５０１Ｂ）内にコピーする（Ｓ６６）。その際、Ｐ−ｖｏｌからは、ホスト２１〜２２及び３１〜３３のいずれかによってデータが読み出され、Ｓ−ｖｏｌには、その読み出されたデータがホスト２１〜２２及び３１〜３３を介さずに書込まれる。

一方、Ｓ６１において、Ｓ−ｖｏｌのアクセス属性モードとしてS-vol disableが設定されていることが判別されたならば（Ｓ６１でＹ）、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、アクセス属性制御テーブル２０１にアクセスして、指定されたＳ−ｖｏｌに対応したＳ−ｖｏｌ許可パスワード記憶領域を参照し、Ｓ−ｖｏｌ許可パスワードが設定されているか否かを判別する（Ｓ６２）。

Ｓ６２において、Ｓ−ｖｏｌ許可パスワードが設定されていないことが判別された場合、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、外部ＬＤＥＶ５０１Ａ内のデータを内部ＬＤＥＶ５０１Ｂ内にコピーすることを拒否する（Ｓ６３）。具体的には、例えば、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、指定されたＰ−ｖｏｌとＳ−ｖｏｌとのペアを形成しないようにする。

一方、Ｓ６２において、Ｓ−ｖｏｌ許可パスワードが設定されていないことが判別された場合、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、Ｓ−ｖｏｌ許可パスワードの入力を求め（Ｓ６４）、それに応答して正しいＳ−ｖｏｌ許可パスワードが入力されたことは判別されたならば（Ｓ６５でＹ）、上述したＳ５６のコピーが実行される。

Ｓ６６のコピーが完了した後、第２のプロセッサ６０１Ｂ（又は第１のプロセッサ６０１Ａ）が、内部ＬＤＥＶ５０１Ｂに対応付けられていたＳ−ｖｏｌ許可パスワードを、アクセス属性制御テーブル２０１から消去する（Ｓ６７）。

図２６は、本実施形態で行われる第５のコピー処理の例を示す。

第５のコピー処理では、コピー元となる第１のＬＤＥＶ５０１Ａ内から、コピー先となる第２のＬＤＥＶ５０１Ｂ内へのデータコピーは、別々の記憶システム間で行われる。この第５のコピー処理では、第１のＬＤＥＶ５０１Ａが、第１の記憶システム１０内に存在し、第２のＬＤＥＶ５０１Ｂは、第２の記憶システム１０Ａ又は１０Ｂに存在する。以下、この第３処理の説明において、便宜上、第１のＬＤＥＶ５０１Ａを「内部ＬＤＥＶ５０１Ａ」と称し、第２のＬＤＥＶ５０１Ｂを「外部ＬＤＥＶ５０１Ｂ」と称する。

また、この第５のコピー処理では、第１のプロセッサ６０１Ａは、内部ＬＤＥＶ５０１Ａを有する第１の記憶システム１０内に存在するプロセッサであり、第２のプロセッサ６０１Ｂは、外部ＬＤＥＶ５０１Ｂを有する第２の記憶システム１０Ａ又は１０Ｂに存在するプロセッサである。

また、この第５のコピー処理では、内部ＬＤＥＶ５０１Ａからのデータの読出しは、ホストＩ／Ｏ（例えばＳＣＳＩプロトコルに基づくリードコマンド）を受けたか否かに関係なく行われるものである。しかし、読み出されたデータを外部ＬＤＥＶ５０１Ｂに書込むことは、ホストＩ／Ｏ（例えばＳＣＳＩプロトコルに基づくライトコマンド）を受けた場合に行われる。

また、この第５のコピー処理の例では、内部ＬＤＥＶ５０１Ａのアクセス属性モードは、リードオンリである。更に、第５のコピー処理実行前の外部ＬＤＥＶ５０１Ｂのアクセス属性モードはＲ／Ｗ可能である。

第５のコピー処理の例では、例えば以下の流れである。

図２６（Ａ）に示すように、第１のプロセッサ６０１Ａ、第２のプロセッサ６０１Ｂ又はそれらが協働して、内部ＬＤＥＶ５０１ＡをＰ−ｖｏｌとし、外部ＬＤＥＶ５０１ＢをＳ−ｖｏｌとし、それにより、Ｐ−ｖｏｌとＳ−ｖｏｌとのペアを形成して、ホスト２１〜２２及び３１〜３３を介在させることなく内部ＬＤＥＶ５０１Ａから読み出されたデータを、ホスト２１〜２２及び３１〜３３のいずれかによって、外部ＬＤＥＶ５０１Ｂ内に書込む。

次に、図２６（Ｂ）に示すように、第１のプロセッサ６０１Ａが、内部ＬＤＥＶ５０１Ａに対応するセキュリティ情報をアクセス属性制御テーブル２０１から取得する。第１のプロセッサ６０１Ａは、取得したセキュリティ情報を、第２のプロセッサ６０１Ｂを有する第２の記憶システム１０Ａ又は１０Ｂに送信する。

そして、図２６（Ｃ）に示すように、第２のプロセッサ６０１Ｂは、第１の記憶システム１０から受信したセキュリティ情報を、アクセス属性制御テーブル２０１Ａ上の外部ＬＤＥＶ５０１Ｂに対応する欄に書込む。これにより、例えば、外部ＬＤＥＶ５０１Ｂのアクセス属性モードが、Ｒ／Ｗ可能から、コピー元のアクセス属性モードと同じリードオンリに変更される。

以上が、幾つかのコピー処理の例である。なお、各コピー処理が行われる場合、第２のＬＤＥＶ５０１Ｂにコピーされたデータが破損しているか否かをチェックすることが望ましいと考えられる。

図２７は、第２のＬＤＥＶ５０１Ｂにコピーされたデータが破損しているか否かをチェックするための処理（以下、データ保証チェック処理）の流れの一例を示す。

ホスト２１〜２２及び３１〜３３のどのホストも、図２７に示す処理を実行することができる。以下、ホスト３２がその処理を実行するものとする。

また、Ｐ−ｖｏｌ（第１のＬＤＥＶ）５０１Ａからのデータの読出しも、Ｓ−ｖｏｌ（第２のＬＤＥＶ）５０１Ｂからのデータの読出しも、ホスト３２からのリードコマンドに応答して行われる。

また、Ｐ−ｖｏｌ５０１Ａのアクセス属性モードはリードオンリであるとする。

ホスト３２は、Ｐ−ｖｏｌ５０１Ａとの間に予め定義されている論理パスに従って、Ｐ−ｖｏｌ５０１Ａに接続する（Ｓ７０）。また、ホスト３２は、Ｓ−ｖｏｌ５０１Ａとの間に定義された新たな論理パスに従って、Ｓ−ｖｏｌ５０１Ａに接続する（Ｓ７１）。なお、ＬＤＥＶへの論理パスは、例えば、アクセス属性制御テーブル２０１（及び２０１Ａ）において、各ＬＤＥＶ毎に登録されており、記憶システムが、ホスト３２から所定のコマンドを受けた場合に、そのコマンドに応答して、自分が有するアクセス属性制御テーブル２０１（又は２０１Ａ）に記録されている論理パスをホスト３２へ通知することができる。それにより、ホスト３２は、通知された論理パスに従って、複数のＬＤＥＶ５０１の中から選択した所望のＬＤＥＶ５０１に接続することができる。

上述した第１〜第５のコピー処理のいずれかが行われた場合、すなわち、Ｐ−ｖｏｌ５０１Ａ内のデータがＳ−ｖｏｌ５０１Ｂにコピーされ、且つ、Ｐ−ｖｏｌ５０１Ａに設定されていたセキュリティ情報と同一内容のセキュリティ情報がＳ−ｖｏｌ５０１Ｂに設定された場合（Ｓ７２）、ホスト３２は、Ｐ−ｖｏｌ５０１Ａ及びＳ−ｖｏｌ５０１Ｂの双方に対してリードコマンドを発行することにより、Ｐ−ｖｏｌ５０１Ａ及びＳ−ｖｏｌ５０１Ｂからそれぞれデータを読み出す（Ｓ７３）。

ホスト３２は、Ｐ−ｖｏｌ５０１Ａ及びＳ−ｖｏｌ５０１Ｂからそれぞれ読み出したデータを比較照合する（Ｓ７４）。

Ｓ７４の結果、一致が得られなければ（Ｓ７５でＮ）、ホスト３２は、所定のエラー処理を行い（Ｓ７６）、一致が得られれば（Ｓ７５でＹ）、Ｓ−ｖｏｌ５０１Ｂとの接続を維持し、Ｐ−ｖｏｌ５０１Ａとの接続を切断する（Ｓ７７）。

ホスト３２は、データ保証チェック処理の結果に基づいて、コピー元である第１のＬＤＥＶ５０１Ａとコピー先である第２のＬＤＥＶ５０１Ｂとのうちのいずれかに存在するデータを消去することができる。

図２８は、データ保証チェック処理の結果に基づくデータ消去処理の流れの例を示す。

図２８（Ａ−１）に示すように、データ保証チェック処理のＳ７５において一致が得られなかった場合（つまりＳ−ｖｏｌ５０１Ｂ内のデータが破損していた場合）、図２８（Ａ−２）に示すように、第１の記憶システム１０又は第２の記憶システム１０Ａ、１０Ｂ内のプロセッサ６０１が、Ｓ−ｖｏｌ５０１Ｂに対応するアクセス属性モードをＲ／Ｗ可能に変更し、その旨をホスト３２に通知する。そして、図２８（Ａ−３）に示すように、ホスト３２からの命令に応答して、Ｓ−ｖｏｌ５０１Ｂ内の不完全データ（破損したデータ）が消去される。具体的には、例えば、第１の記憶システム１０又は第２の記憶システム１０Ａ、１０Ｂ内のプロセッサ６０１が、フォーマット命令又は所定コードから構成されるライト対象データをホスト３２から受け、それに従って、所定コード（例えば０）から構成されるデータをＳ−ｖｏｌ５０１Ｂに書くことにより、Ｓ−ｖｏｌ５０１Ｂから不完全データを消去する。

一方、図２８（Ｂ−１）に示すように、データ保証チェック処理のＳ７５において一致が得られた場合（つまりＳ−ｖｏｌ５０１Ｂ内のデータが破損していない場合）、図２８（Ｂ−２）に示すように、第１の記憶システム１０又は第２の記憶システム１０Ａ、１０Ｂ内のプロセッサ６０１が、Ｐ−ｖｏｌ５０１Ａに対応するアクセス属性モードをＲ／Ｗ可能に変更し、その旨をホスト３２に通知する。そして、図２８（Ｂ−３）に示すように、ホスト３２からの命令に応答して、Ｐ−ｖｏｌ５０１Ａ内の元データ（コピー元データ）が消去される。具体的には、例えば、第１の記憶システム１０又は第２の記憶システム１０Ａ、１０Ｂ内のプロセッサ６０１が、フォーマット命令又は所定コードから構成されるライト対象データをホスト３２から受け、それに従って、所定コード（例えば０）から構成されるデータをＰ−ｖｏｌ５０１Ａに書くことにより、Ｐ−ｖｏｌ５０１Ａから元データを消去する。

以上が、データ保証チェック処理及びその結果に基づくデータ消去処理の一例である。なお、図示の処理流れはほんの一例であり、データ保証チェック処理は、別の流れで行うこともできる。例えば、（１）Ｐ−ｖｏｌ及びＳ−ｖｏｌからのデータの取得、（２）取得された双方のデータの比較照合、（３）比較照合の結果に基づいて第１のＬＤＥＶ５０１Ａ又は第２のＬＤＥＶ５０１Ｂ内のデータを消去することの（１）〜（３）の少なくとも一つを、ホストを介さずに、記憶システム内のプロセッサ６０１が行っても良い。また、このデータ保証チェック処理は、ホスト或いは記憶システムの任意のタイミング或いは定期的に行われても良い。また、データ消去処理において、データ消去対象のＬＤＥＶに、パスワードが設定されている場合には、そのパスワードが入力された場合に、そのＬＤＥＶの属性が「Ｒ／Ｗ可能」に変更されるようにしても良い。また、データ消去処理において、データ消去対象のＬＤＥＶに、属性変更抑止期限が設定されている場合には、その属性変更抑止期限が過ぎるまでは、そのＬＤＥＶの属性は「Ｒ／Ｗ可能」に変更されないようにしても良い。

上述した実施形態によれば、データコピー先となる第２のＬＤＥＶ５０１Ｂに、データコピー元である第１のＬＤＥＶ５０１Ａに設定されていたセキュリティ情報と同一内容のセキュリティ情報が設定される。これにより、コピー先に対してコピー元と同様のセキュリティをかけることができる。

また、上述した実施形態によれば、そのセキュリティ情報の設定は、第１のＬＤＥＶ５０１Ａ内のデータが第２のＬＤＥＶ５０１Ｂ内にコピーされる場合に行われる。このため、コピー先に対して効率良くセキュリティ情報が設定される。

また、上述した実施形態によれば、第２のＬＤＥＶ５０１Ｂにコピーされたデータが破損してしまったか否かをチェックするためのデータ保証チェック処理が行われる。これにより、第２のＬＤＥＶ５０１Ｂのデータの信頼性を高めることができる。

また、上述した実施形態によれば、データ保証チェック処理の結果に基づいて、コピー元である第１のＬＤＥＶ５０１Ａとコピー先である第２のＬＤＥＶ５０１Ｂとのうちのいずれかに存在するデータが消去される。これにより、１以上の記憶システムによって提供される記憶容量を節約することができる。

ところで、上述した実施形態では、例えば以下のような変形例が考えられる。

図２９は、本実施形態の第１の変形例において行われる処理流れを示す。

例えば、第１の記憶システム１０の制御メモリ１３には、データ保存テーブル９が記憶されている。データ保存テーブル９には、複数のデータ属性にそれぞれ対応した複数の保存期間が記録されている。データ属性としては、例えば、そのデータの種別（例えば、医療カルテ或いは決算文書等）を採用することができる。

第１の記憶システム１０が有するプロセッサ６０１は、データ属性を有するデータが或るＬＤＥＶ５０１に格納される場合（Ｓ８０）、データ保存テーブル９を参照して、そのデータ属性に対応する保存期間を把握する（Ｓ８１）。そして、そのプロセッサ６０１は、把握された保存期間を、データが格納される日時に加えて保存期限を算出し、算出された保存期限を、上記或るＬＤＥＶに対応付けてアクセス属性制御テーブル２０１に登録する（Ｓ８２）。

図２９は、本実施形態の第１の変形例において行われる処理流れを示す。

例えば、第１の記憶システム１０の制御メモリ１３には、データ保存テーブル９が記憶されている。データ保存テーブル９には、複数のデータ属性にそれぞれ対応した複数の保存期間が記録されている。データ属性としては、例えば、そのデータの種別（例えば、医療カルテ或いは決算文書等）を採用することができる。

第１の記憶システム１０が有するプロセッサ６０１は、データ属性を有するデータが或るＬＤＥＶ５０１に格納される場合（Ｓ８０）、データ保存テーブル９を参照して、そのデータ属性に対応する保存期間を把握する（Ｓ８１）。そして、そのプロセッサ６０１は、把握された保存期間を、データが格納される日時に加えて保存期限を算出し、算出された保存期限を、上記或るＬＤＥＶに対応付けてアクセス属性制御テーブル２０１に登録する（Ｓ８２）。

図３０は、本実施形態の第２の変形例において行われる処理流れを示す。

アクセス属性制御テーブル２０１には、各ＬＤＥＶ毎に、故障発生予測日時が更に登録されている。故障発生予測日時は、対応するＬＤＥＶ５０１を有する物理デバイス１６の寿命（例えば、MTBF（Mean Time Between Failure））に基づいて設定されたものである。故障発生予測日時は、例えば、複数の物理デバイス属性（例えば、ベンダ或いは機種）にそれぞれ対応した複数の物理デバイス寿命を予め制御メモリ１３に登録しておき、新しくＬＤＥＶ５０１が実装された場合には、そのＬＤＥＶ５０１を載せた物理デバイス１６の属性に対応する物理デバイス寿命と実装日時とに基づいて、自動的に設定されるようにしても良い。

図３０に示す処理流れは、ホスト、記憶システムのプロセッサ６０１、又はそれらが協働して行うことができる。また、この処理流れは、定期的に実行することができる。

例えば、プロセッサ６０１は、複数の記憶システム１０、１０Ａ及び１０Ｂが有する複数のＬＤＥＶ（例えば、アクセス属性制御テーブル２０１に登録されている複数のＬＤＥＶ）５０１の中から、保存しているデータの保存期限よりも故障発生予測日時が先に到来し、且つ、故障発生予測日時が所定期間経過後（例えば１週間後）である第１のＬＤＥＶ５０１Ａを探す（Ｓ９０）。

第１のＬＤＥＶ５０１Ａが探し出された場合、プロセッサ６０１は、上記複数のＬＤＥＶ５０１の中から、第１のＬＤＥＶ５０１Ａよりも故障発生予測日時がより将来である第２のＬＤＥＶ５０１Ｂを選択する（Ｓ９１）。

その後、Ｓ９０で探し出された第１のＬＤＥＶ５０１Ａと、Ｓ９１で選択された第２のＬＤＥＶ５０１Ｂとの間で、上述した第１〜第５のコピー処理のいずれかを実行することができる。

ところで、第１〜第５のコピー処理は、例えば、以下のようにして行われる。以下、図３１を参照して順に説明する。なお、図３１では、ネットワーク６１を介する実線は、Ｉ／Ｏ要求の流れを示し、ネットワーク６１を介する点線は、Ｉ／Ｏ要求に基づくデータの流れを示す。

図３１（Ａ）は、第１のコピー処理及び第２のコピー処理の一例を示す。

図３１（Ａ）の例では、Ｐ−ｖｏｌ５０１Ａは、第１の記憶システム１０内に存在し、Ｓ−ｖｏｌ５０１Ｂは、第２の記憶システム１０Ａ（又は１０Ｂ）内に存在する。そして、第１の記憶システム１０と第２の記憶システム１０Ａ（又は１０Ｂ）の属性（例えば、ベンダ、メーカ或いは機種）は同じである。

この場合、第１の記憶システム１０内の第１のプロセッサ６０１Ａは、Ｐ−ｖｏｌ５０１Ａ内のデータ及びそれに関する情報を書込むことを意味するＩ／Ｏ要求を、第２の記憶システム１０Ａに送信する。この場合、第２の記憶システム１０Ａの第２のプロセッサ６０１Ｂは、受信したＩ／Ｏ要求を、ホスト（例えばホスト３２）からのＩ／Ｏ要求とは別種類のＩ／Ｏ要求（例えばリモートコピー要求）として認識し、受信したＩ／Ｏ要求に対応したデータを、Ｓ−ｖｏｌ５０１Ｂに書込む。ここでは、Ｓ−ｖｏｌ５０１Ｂに、例えばＲ／Ｗ不可或いはリードオンリが対応付けられていたとしても、ホストからのＩ／Ｏ要求に基づいてデータを書込むわけではないので、Ｓ−ｖｏｌ５０１Ｂに対応付けられているアクセス属性モードに関わらずに書込むことができる。また、第２の記憶システム１０Ａは、例えば、自分が有する複数の通信ポートのうち、Ｉ／Ｏ要求を受信したポートがどこの通信ポートであるか、或いは、受信したＩ／Ｏ要求の送信元が、自分と同じ属性を有する記憶システムからのものであるか等を検出した場合に、受信したＩ／Ｏ要求を上記別種類のＩ／Ｏ要求として認識することができる。

図３１（Ｂ）は、第３のコピー処理及び第４のコピー処理の一例を示す。

図３１（Ｂ）の例では、Ｐ−ｖｏｌ５０１Ａは、第２の記憶システム１０Ａ（又は１０Ｂ）内に存在し、Ｓ−ｖｏｌ５０１Ｂは、第１の記憶システム１０に存在する。そして、第１の記憶システム１０と第２の記憶システム１０Ａ（又は１０Ｂ）の属性は異なる。

この場合、第１の記憶システム１０内の第２のプロセッサ６０１Ｂは、Ｐ−ｖｏｌ５０１Ａ内のデータを読み出すことの要求を意味するＩ／Ｏ要求を、例えばネットワーク６１を介して、第２の記憶システム１０Ａに送信する。この場合、第２の記憶システム１０Ａの第１のプロセッサ６０１Ａは、受信したＩ／Ｏ要求を、ホストからのＩ／Ｏ要求として認識し、それに応答して、Ｐ−ｖｏｌ５０１Ａ内のデータを読み出し、そのデータを例えばネットワーク６１を介して第１の記憶システム１０に送信する。この場合、第１の記憶システム１０の第２のプロセッサ６０１Ｂは、自分が発行したＩ／Ｏ要求に応答してデータを受信するので、Ｓ−ｖｏｌ５０１Ｂに対応付けられているアクセス属性モードに関わらずに、受信したデータをＳ−ｖｏｌ５０１Ｂに書込むことができる。また、第１の記憶システム１０は、ホストＩ／Ｏとして、上記Ｉ／Ｏ要求を発行しても良い。

図３１（Ｃ）は、第５のコピー処理の一例を示す。

図３１（Ｃ）の例では、Ｐ−ｖｏｌ５０１Ａは、第１の記憶システム１０内に存在し、Ｓ−ｖｏｌ５０１Ｂは、第２の記憶システム１０Ａ（又は１０Ｂ）に存在する。そして、第１の記憶システム１０と第２の記憶システム１０Ａ（又は１０Ｂ）の属性は異なる。

この場合、第１の記憶システム１０内の第１のプロセッサ６０１Ａは、Ｐ−ｖｏｌ５０１Ａ内のデータを読み出し、そのデータと共に、そのデータを書込むことの要求を意味するＩ／Ｏ要求を、例えばネットワーク６１を介して、第２の記憶システム１０Ａに送信する。この場合、第２の記憶システム１０Ａの第２のプロセッサ６０１Ｂは、受信したＩ／Ｏ要求を、ホストからのＩ／Ｏ要求として認識し、それに応答して、受信したデータをＳ−ｖｏｌ５０１Ｂに書込む。第５のコピー処理では、Ｓ−ｖｏｌ５０１Ｂにデータを書込む前には、Ｓ−ｖｏｌ５０１Ｂのアクセス属性モードはＲ／Ｗ可になっているので、Ｓ−ｖｏｌ５０１Ｂにデータを書込むことができる。

以上、本発明の実施形態及び幾つかの変形例を説明したが、それらの実施形態及び変形例は本発明の説明のための例示にすぎず、本発明の範囲を実施形態に限定する趣旨ではない。従って、本発明は、その要旨を逸脱することなしに、上記実施形態及び変形例とは異なる様々な態様で実施することができる。

本発明の一実施形態にかかる記憶システムが適用されるコンピュータシステムのシステム構成例を示すブロック図。 HDDサブシステム１０における物理デバイス（HDD装置）１６−１〜１６−Nと論理デバイスとの間の一般的な関係を示すブロック図。 HDDサブシステム１０において論理デバイス毎に設定されるアクセス属性モードの種類を説明した図。 ６種類のアクセス属性モードがそれぞれ設定された論理デバイスに関してどのような動作制御が行なわれるかを示した図。 論理デバイス毎のアクセス属性モードの設定を保持するためのアクセス属性制御テーブル２０１の例を示す図。 図３及び図４に示した６種類のアクセス属性モードと、図５に示したアクセス属性モード情報のビットパターンとの対応関係を示す図。 アクセス属性モードの設定・変更・解除などの操作を行うときにHDDサブシステム１０で行われる処理の流れを示す図。 「ホストグループ」を説明したブロック図。 ホストグループ番号算出テーブルの例を示した図。 ホストグループ情報テーブルの例を示した図。 HDDサブシステム１０のチャンネルコントローラが行なう、ホストから入力されるコマンドのメイン処理の流れを示す図。 コマンド処理リストの例を示す図。 図１１のメイン処理の中のステップS14（抽出処理の実行）において個々の処理を実行するときのより詳細な流れを示す図。 モード依存処理リストの例を示す図。 モード依存エラーリストの例を示す図。 HDDサブシステム１０において、論理デバイスの二重化のためのコピーペア形成オペレーションを行なう場合の処理の流れを示す図。 本実施形態の主要部分に関するコンピュータシステムの構成例である。 本実施形態で行われる第１のコピー処理の第１の例を示す。 本実施形態で行われる第１のコピー処理の第２の例を示す。 ホストグループ情報テーブルの例を示した図。 第２のコピー処理において、第２のＬＤＥＶ５０１Ｂにセキュリティ情報及びＳ−ｖｏｌ許可パスワードが設定された場合に行われる処理流れを示す。 本実施形態で行われる第３のコピー処理の例を示す。 第２の記憶システム１０Ａ又は１０Ｂから受信したセキュリティ情報を基に第１の記憶システムに適合するセキュリティ情報を得る方法を説明するための図である。 本実施形態で行われる第４のコピー処理の例を示す。 第４のコピー処理において、内部ＬＤＥＶ５０１Ｂにセキュリティ情報及びＳ−ｖｏｌ許可パスワードが設定された場合に行われる処理流れを示す。 本実施形態で行われる第５のコピー処理の例を示す。 第２のＬＤＥＶ５０１Ｂにコピーされたデータが破損しているか否かをチェックするための処理の流れの一例を示す。 データ保証チェック処理の結果に基づくデータ消去処理の流れの例を示す。 本実施形態の第１の変形例において行われる処理流れを示す。 本実施形態の第２の変形例において行われる処理流れを示す。 第１〜第５のコピー処理の概要を示す。

符号の説明

１…コンピュータシステム ３…ＣＰＵ １０…ハードディスク（HDD）サブシステム（第１の記憶システム） １０Ａ、１０Ｂ…第２の記憶システム １１…M／Fチャンネルコントローラ １２…オープンチャンネルコントローラ １３、１３Ａ…制御メモリ １４、１４Ａ…キャッシュメモリ １５、１５Ａ、１５Ｂ…ディスクコントローラ １６、１６Ａ、１６Ｂ…物理デバイス ２１，２２…メインフレーム（M／F)ホスト ３１、３２、３３…オープンホスト ４１…サービスプロセッサ ５１、５２…コンソール端末 ７１…コンソールソフトウェア ８１、８２、９１、９２、９３…常駐型のストレージ管理ソフトウェア １０１…論理デバイス １０３…論理デバイス（LDEV）制御情報

Claims (3)

1. ホスト入出力要求を発行する１以上のホスト装置と通信可能な記憶システムにおいて、
   ２以上の物理デバイスと、
   前記２以上の物理デバイス上に設けられた１以上の論理デバイスと、
   前記１以上の論理デバイスの各々に対応した情報であって、その論理デバイスに対するホスト入出力要求に基づくアクセスを制御するためのセキュリティ情報を記憶する１以上のメモリと、
   前記１以上のメモリに登録されているセキュリティ情報に基づいて、前記１以上の論理デバイスの中から選択された論理デバイスに対するホスト入出力に基づくアクセスを制御する制御装置と
   を備え、
   前記制御装置は、第１の論理デバイス内のデータが第２の論理デバイス内にコピーされるとき、前記第１の論理デバイスに対応したセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込む処理を実行し、
   前記第１の論理デバイスと前記第２の論理デバイスが、前記１以上の論理デバイスに含まれており、
   前記記憶システムの外部の記憶システムと前記記憶システムとの属性が同じ場合において、
   前記制御装置は、
   前記第１の論理デバイス内のデータが前記第２の論理デバイス内に書込まれる前に、前記第１の論理デバイスに対応したセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込み、且つ、
   （１）前記第１の論理デバイスが前記記憶システム内に存在し、前記第２の論理デバイスが前記外部の記憶システムに存在する場合には、前記第１の論理デバイス内のデータと共に、前記データに関する情報を前記外部の記憶システムに送信し、
   （２）前記第２の論理デバイスが前記記憶システム内に存在し、前記第１の論理デバイスが前記外部の記憶システムに存在する場合には、前記外部の記憶システムから受信した入出力要求を、前記ホスト入出力要求とは別の入出力要求として認識し、前記外部の記憶システムからのデータを、前記第２の論理デバイスに対応付けられたセキュリティ情報の内容に関わらず、前記第２の論理デバイスに書込む、
   記憶システム。
2. ホスト入出力要求を発行する１以上のホスト装置と通信可能な記憶システムにおいて、
   ２以上の物理デバイスと、
   前記２以上の物理デバイス上に設けられた１以上の論理デバイスと、
   前記１以上の論理デバイスの各々に対応した情報であって、その論理デバイスに対するホスト入出力要求に基づくアクセスを制御するためのセキュリティ情報を記憶する１以上のメモリと、
   前記１以上のメモリに登録されているセキュリティ情報に基づいて、前記１以上の論理デバイスの中から選択された論理デバイスに対するホスト入出力に基づくアクセスを制御する制御装置と
   を備え、
   前記制御装置は、第１の論理デバイス内のデータが第２の論理デバイス内にコピーされるとき、前記第１の論理デバイスに対応したセキュリティ情報と同一内容のセキュリティ情報を前記第２の論理デバイスに対応付けて前記１以上のメモリに書き込む処理を実行し、
   前記第１の論理デバイスと前記第２の論理デバイスが、前記１以上の論理デバイスに含まれており、
   前記セキュリティ情報には、複数種類のアクセス属性モードが含まれており、
   前記複数種類のアクセス属性モードのうちの一つとして、そのアクセス属性モードに対応する論理デバイスを第２の論理デバイスとして前記第１の論理デバイスとの間でペアを形成するペア形成動作に制限を加えるためのペア形成制御用モードがあり、
   前記制御装置は、
   前記ペア形成制御用モードを含んだセキュリティ情報を前記論理デバイスに対応付ける場合、前記ペア形成制御用モードを解除して前記論理デバイスを前記第２の論理デバイスとすることを許可するための許可条件も前記論理デバイスに対応付けて前記１以上のメモリに登録し、
   前記１以上の論理デバイスの中から選択された或る論理デバイスに対応するセキュリティ情報中に前記ペア形成制御用モードが含まれている場合、前記或る論理デバイスに前記許可条件が前記１以上のメモリ上に対応付けられていなければ、前記或る論理デバイスを前記第２の論理デバイスとすることを拒否し、一方、前記或る論理デバイスに前記許可条件が前記１以上のメモリ上に対応付けられており、且つ、前記許可条件を満たしたならば、前記或る論理デバイスを前記第２の論理デバイスとすることを許可する、
   記憶システム。
3. 前記制御装置は、前記第１の論理デバイス内のデータが前記第２の論理デバイス内に書き込まれた場合、前記第２の論理デバイスに対応する前記許可条件を前記１以上のメモリから消去する、
   請求項２記載の記憶システム。