ストレージ装置およびストレージシステム
【課題】仮想記憶領域に記録されたデータを短時間で無効化できるようにする。
【解決手段】アクセス処理部１１は、複数の記憶装置３１〜３４の記憶領域を分割した分割領域Ａ１〜Ａ４，Ａ１１〜Ａ１４ごとに、個別の暗号キーを用いてデータを暗号化して書き込む。データ無効化処理部１２は、分割領域に記録されたデータの無効化処理を実行する。また、仮想記憶領域４１は、物理記憶領域として分割領域Ａ１，Ａ２，Ａ１１，Ａ１２が割り当てられて構築されている。データ無効化制御部２１は、データ無効化処理部１２に対して、データの無効化対象とする仮想記憶領域４１に割り当てられている分割領域Ａ１，Ａ２，Ａ１１，Ａ１２のそれぞれについての暗号化に用いる暗号キーを無効化させる。
【解決手段】アクセス処理部１１は、複数の記憶装置３１〜３４の記憶領域を分割した分割領域Ａ１〜Ａ４，Ａ１１〜Ａ１４ごとに、個別の暗号キーを用いてデータを暗号化して書き込む。データ無効化処理部１２は、分割領域に記録されたデータの無効化処理を実行する。また、仮想記憶領域４１は、物理記憶領域として分割領域Ａ１，Ａ２，Ａ１１，Ａ１２が割り当てられて構築されている。データ無効化制御部２１は、データ無効化処理部１２に対して、データの無効化対象とする仮想記憶領域４１に割り当てられている分割領域Ａ１，Ａ２，Ａ１１，Ａ１２のそれぞれについての暗号化に用いる暗号キーを無効化させる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ストレージ装置およびストレージシステムに関する。
【背景技術】
【０００２】
ＨＤＤ（Hard Disk Drive）などの記憶装置に対してデータを暗号化して記録するストレージ装置が知られている。このようなストレージ装置では、暗号化されて記録されたデータの復号に用いる暗号キーを抹消することで、記録されていたデータを読み出すことが不可能になるので、記録されていたデータをごく短時間で実質的に消去することができる。
【０００３】
また、暗号キーの抹消によるデータ消去方法を用いたストレージ装置の例として、論理ボリュームごとに異なる暗号キーを用いてデータを暗号化して記録し、暗号キーを抹消することで、論理ボリューム単位でデータの消去を行うようにしたものがある。さらに、仮想化されたボリュームに対してデータを暗号化して記録するようにしたストレージ装置もある。
【０００４】
一方、近年、サーバコンピュータを仮想マシンと呼ばれる複数台の仮想的なコンピュータに分割して、各仮想マシンに別のＯＳ（Operating System）プログラムやアプリケーションプログラムを実行させるサーバ仮想化技術が注目されている。サーバ仮想化技術を利用することで、プロセッサやメモリ、通信回線などのコンピュータシステムのハードウェア資源を、需要に応じて柔軟に配分できるようになり、ハードウェア資源を効率よく運用できる。また、サーバ仮想化技術を用いて構築された仮想マシンに対しては、ディスクボリュームも仮想ディスクとして仮想的に構築されることが多い。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−２２５４３７号公報
【特許文献２】特開２００８−１０８０３９号公報
【特許文献３】特開２０１０―１１３５０９号公報
【特許文献４】特開２００９−１６３５４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
仮想マシンの運用を終了する際に、その仮想マシンに構築された仮想ディスクに記録されていたデータを、暗号キーの抹消によって短時間に消去したいという要求がある。しかしながら、仮想マシンを実現するシステムでは、仮想ディスクに対する物理記憶領域の割り当てが、物理記憶領域に対して記録するデータの暗号化および暗号キーの管理を行うストレージ制御装置とは別の装置によって行われる場合が多い。
【０００７】
このように、仮想ディスクに対する物理記憶領域の割り当てがストレージ制御装置とは別の装置によって行われるシステムでは、ストレージ制御装置は、仮想ディスクに対する物理記憶領域の割り当てを何ら意識せずに、記録するデータの暗号化や暗号キーの管理を行う。このため、仮想ディスク単位で暗号キーを抹消することが難しい。
【０００８】
１つの側面では、本発明は、仮想記憶領域に記録されたデータを短時間で無効化できるようにしたストレージ装置およびストレージシステムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するために、ストレージ装置が提供される。このストレージ装置は、暗号キー記憶部、アクセス処理部およびデータ無効化処理部を有する。暗号キー記憶部には、記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録される。アクセス処理部は、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データをデータ書き込み先の分割領域に書き込む。データ無効化処理部は、管理装置から、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域の指定を受けるとともに、指定された分割領域に記録されたデータの無効化指示を受けると、暗号キー記憶部に記録された暗号キーのうち、指定された分割領域に対応付けられた暗号キーを無効化する。
【００１０】
また、上記目的を達成するために、管理装置とストレージ装置とを有するストレージシステムが提供される。管理装置は、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた、記憶装置の記憶領域を分割して得られた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示する。ストレージ装置は、暗号キー記憶部、アクセス処理部およびデータ無効化処理部を備える。暗号キー記憶部には、複数の分割領域のそれぞれに対応付けられた暗号キーが記録される。アクセス処理部は、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データをデータ書き込み先の分割領域に書き込む。データ無効化処理部は、管理装置からデータの無効化指示を受けると、暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化する。
【発明の効果】
【００１１】
１態様によれば、仮想記憶領域に記録されたデータを短時間で無効化することができる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施の形態に係るストレージシステムの構成例を示す図である。
【図２】第２の実施の形態に係る情報処理システムのシステム構成例を示す図である。
【図３】ストレージ制御装置のハードウェア構成例を示す図である。
【図４】仮想ディスクに対する記憶領域の割り当てについて示す図である。
【図５】ホストサーバ、ストレージ制御装置およびインフラストラクチャ管理サーバの処理機能の構成例を示すブロック図である。
【図６】ＲＡＩＤ管理テーブルに登録される情報の例を示す図である。
【図７】暗号キー管理テーブルに登録される情報の例を示す図である。
【図８】データ消去管理テーブルに登録される情報の例を示す図である。
【図９】論理ボリューム管理テーブルに登録される情報の例を示す図である。
【図１０】ストレージプール管理テーブルに登録される情報の例を示す図である。
【図１１】仮想ディスク管理テーブルに登録される情報の例を示す図である。
【図１２】ストレージプールに登録される論理ボリュームと、論理ボリュームを構成する物理記憶領域のアクセス性能との関係の例を示す図である。
【図１３】サービス対応テーブルの例を示す図である。
【図１４】仮想マシンおよび仮想ディスクを構築するための前処理手順の例を示すフローチャート（その１）である。
【図１５】仮想マシンおよび仮想ディスクを構築するための前処理手順の例を示すフローチャート（その２）である。
【図１６】仮想マシン構築時の処理手順の例を示すフローチャートである。
【図１７】データ消去モードの推奨処理手順の例を示すフローチャートである。
【図１８】ホストサーバが仮想ディスクにアクセスする際の処理手順の例を示す図である。
【図１９】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その１）である。
【図２０】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その２）である。
【図２１】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その３）である。
【図２２】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その４）である。
【図２３】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その５）である。
【図２４】ストレージ制御部でのホストアクセス処理および第３の消去モードでの上書き処理の手順の例を示すフローチャート（その１）である。
【図２５】ストレージ制御部でのホストアクセス処理および第３の消去モードでの上書き処理の手順の例を示すフローチャート（その２）である。
【発明を実施するための形態】
【００１３】
以下、実施の形態について図面を参照して詳細に説明する。
〔第１の実施の形態〕
図１は、第１の実施の形態に係るストレージシステムの構成例を示す図である。
【００１４】
図１に示すストレージシステム１は、ストレージ装置１０と、管理装置２０とを備える。また、ストレージ装置１０には、複数の記憶装置が接続されている。図１では例として、ストレージ装置１０には、記憶装置３１〜３４が接続されている。記憶装置３１〜３４は、ＨＤＤ、ＳＳＤ（Solid State Drive）などの不揮発性記憶装置である。
【００１５】
ストレージ装置１０は、アクセス処理部１１、データ無効化処理部１２および暗号キー記憶部１３を備える。アクセス処理部１１およびデータ無効化処理部１２の処理は、例えば、ストレージ装置１０が備えるＣＰＵ（Central Processing Unit）が所定のプログラムを実行することで実現される。暗号キー記憶部１３は、例えば、ＨＤＤなどの不揮発性記憶装置によって実現される。
【００１６】
アクセス処理部１１は、複数の記憶装置３１〜３４の記憶領域を分割した分割領域ごとに、個別の暗号キーを用いてデータを暗号化して書き込む。暗号キー記憶部１３には、複数の記憶装置３１〜３４を分割して得られた分割領域ごとに、暗号キーが対応付けて記録されている。
【００１７】
アクセス処理部１１は、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部１３から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データをデータ書き込み先の分割領域に書き込む。
【００１８】
図１の例では、記憶装置３１，３２による物理記憶領域が、４つの分割領域Ａ１〜Ａ４に分割され、記憶装置３３，３４による物理記憶領域も、４つの分割領域Ａ１１〜Ａ１４に分割されている。ここで、記憶装置３１，３２は、例えば、所定のＲＡＩＤ（Redundant Arrays of Inexpensive Disks）レベルでデータ記録が制御されるＲＡＩＤグループに属する。また、記憶装置３３，３４も同様に、所定のＲＡＩＤレベルでデータ記録が制御されるＲＡＩＤグループに属する。
【００１９】
アクセス処理部１１は、分割領域Ａ１〜Ａ４，Ａ１１〜Ａ１４のそれぞれに対するデータの書き込み時に、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部１３から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化する。アクセス処理部１１は、暗号化して得られた暗号化データを、データ書き込み先の分割領域に書き込む。
【００２０】
データ無効化処理部１２は、管理装置２０からの指示に応じて、記憶装置３１〜３４の記憶領域に記録されたデータの無効化処理を実行する。データ無効化処理部１２は、データ無効化方法の１つとして、分割領域で暗号化に用いる暗号キーを無効化することで、その分割領域のデータを読み出し不可能にし、そのデータを実質的に消去する方法を用いることができる。ここで言う暗号キーの無効化とは、元の暗号キーをなくすことであり、元の暗号キーを新たな暗号キーに変更することを含む。
【００２１】
管理装置２０は、例えば、データ無効化制御部２１を備える。データ無効化制御部２１の処理は、例えば、管理装置２０が備えるＣＰＵが所定のプログラムを実行することで実現される。データ無効化制御部２１は、仮想記憶領域の運用を終了するなどのタイミングで、仮想記憶領域に記録されたデータを無効化するように、データ無効化処理部１２に指示する。また、データ無効化制御部２１は、データ無効化方法の一例として、無効化対象の仮想記憶領域に割り当てられている分割領域について、暗号化に用いる暗号キーを無効化させる。
【００２２】
ここで、上記のストレージシステム１では、物理記憶領域（すなわち、記憶装置３１〜３４による記憶領域）が仮想的に割り当てられた仮想記憶領域を構築可能になっている。仮想記憶領域には、物理記憶領域が分割領域を単位として割り当てられる。換言すると、ストレージシステム１では、仮想記憶領域に対する物理記憶領域の割り当て単位が、それぞれ個別の暗号キーが設定される記憶領域の単位（分割領域）と一致するように、仮想記憶領域が構築される。
【００２３】
これにより、データ無効化制御部２１は、無効化対象の仮想記憶領域に割り当てられている分割領域に対応付けられた暗号キーを無効化するように指示することで、仮想記憶領域を単位として、暗号キーの無効化によるデータ無効化処理をデータ無効化処理部１２に実行させることができるようになる。従って、仮想記憶領域に記録されていたデータを、暗号キーの無効化によって短時間に無効化することができる。
【００２４】
図１の例では、物理領域として分割領域Ａ１，Ａ２，Ａ１１，Ａ１２が割り当てられた仮想記憶領域４１と、物理領域として分割領域Ａ１３，Ａ１４，Ａ３，Ａ４が割り当てられた仮想記憶領域４２とが構築されている。この状態から、例えば、仮想記憶領域４１の運用が終了される場合、データ無効化制御部２１は、データ無効化処理部１２に対して、分割領域Ａ１３，Ａ１４，Ａ３，Ａ４のそれぞれに対応する暗号キーの無効化を指示する。
【００２５】
暗号キーの無効化指示を受けたデータ無効化処理部１２は、暗号キー記憶部１３において分割領域Ａ１３，Ａ１４，Ａ３，Ａ４のそれぞれに対応付けられた暗号キーを無効化する。これにより、仮想記憶領域４１に記録されていたデータは、暗号キーの無効化というごく短時間で実行可能な処理によって無効化される。
【００２６】
また、データが無効化された分割領域については、他の仮想記憶領域に割り当て可能な状態に遷移させることができる。この場合、仮想記憶領域の運用が終了されてからごく短時間で、その仮想記憶領域に割り当てられていた分割領域を、他の仮想記憶領域に割り当て可能になるので、物理記憶領域を効率よく利用できるようになる。
【００２７】
〔第２の実施の形態〕
図２は、第２の実施の形態に係る情報処理システムのシステム構成例を示す図である。図２に示す情報処理システム１００は、ホストサーバ２００、ストレージ装置３００、インフラストラクチャ管理サーバ４００および管理者端末５００を含む。
【００２８】
ホストサーバ２００とストレージ装置３００とは、ネットワーク１０１を介して接続されている。ネットワーク１０１は、例えば、ＦＣ（Fibre Channel）、ｉＳＣＳＩ（SCSI：Small Computer System Interface）などに従って通信が行われるＳＡＮ（Storage Area Network）である。ホストサーバ２００、インフラストラクチャ管理サーバ４００および管理者端末５００は、ネットワーク１０２を介して互いに接続され、ストレージ装置３００、インフラストラクチャ管理サーバ４００および管理者端末５００は、ネットワーク１０３を介して接続されている。ネットワーク１０２，１０３は、例えば、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）などに従って通信が行われるＬＡＮ（Local Area Network）である。
【００２９】
ホストサーバ２００は、サーバ装置を仮想化した仮想マシンを構築する。ホストサーバ２００は、ホストサーバ２００自身が持つハードウェア資源や、ストレージ装置３００内の記憶装置によるストレージ資源を、ソフトウェア制御によって配分することで、仮想マシンを構築する。
【００３０】
ストレージ装置３００は、１つまたは複数のディスクアレイ装置３０１と、ストレージ制御装置３０２とを備える。ディスクアレイ装置３０１は、それぞれ複数のＨＤＤを備える。ディスクアレイ装置３０１内のＨＤＤによって実現される物理記憶領域の少なくとも一部は、仮想マシンの記憶領域（仮想ディスク）として割り当てられる。なお、ディスクアレイ装置３０１に搭載される記憶装置は、例えばＳＳＤでもよい。
【００３１】
ストレージ制御装置３０２は、ホストサーバ２００などからのアクセス要求に応じて、ディスクアレイ装置３０１内のＨＤＤにアクセスする。また、ストレージ制御装置３０２は、ディスクアレイ装置３０１に対して記録するデータを暗号化する機能や、その暗号化や復号に用いる暗号キーを生成する機能を備える。さらに、ストレージ制御装置３０２は、インフラストラクチャ管理サーバ４００からの要求に応じて暗号キーを変更することもできる。
【００３２】
インフラストラクチャ管理サーバ４００は、ディスクアレイ装置３０１内のＨＤＤによる物理記憶領域のうち、仮想マシンの仮想ディスクに割り当て可能な記憶領域を、各種のテーブルを用いて管理する。仮想マシンの仮想ディスクに割り当て可能な記憶領域は「ストレージプール」と呼ばれ、インフラストラクチャ管理サーバ４００は、ホストサーバ２００からの要求に応じて、仮想ディスクに対してストレージプールから記憶領域を割り当てる。
【００３３】
また、インフラストラクチャ管理サーバ４００は、仮想ディスクの運用が終了して、その仮想ディスクに割り当てられていた記憶領域が解放されたとき、解放された記憶領域におけるデータ消去をストレージ制御装置３０２に実行させる。データ消去の基本的な方法としては、「０」などの所定の値を上書きする方法と、記憶領域へのデータ記録に使用されていた暗号キーを変更する方法とがある。
【００３４】
管理者端末５００は、情報処理システム１００を管理する管理者によって操作される端末装置である。管理者は、管理者端末５００を用いて、例えば、ストレージ装置３００における論理ボリュームの設定、ストレージプールの設定、仮想サーバや仮想ディスクの新規設定などを行うことができる。
【００３５】
図３は、ストレージ制御装置のハードウェア構成例を示す図である。
ストレージ制御装置３０２は、ＣＰＵ３１１によって装置全体が制御されている。ＣＰＵ３１１には、ＲＡＭ（Random Access Memory）３１２および複数の周辺機器が、バス３１８を介して接続されている。ＲＡＭ３１２は、ストレージ制御装置３０２の主記憶装置として使用され、ＣＰＵ３１１に実行させるプログラムの少なくとも一部や、このプログラムによる処理に必要な各種データを一時的に記憶する。
【００３６】
ＣＰＵ３１１には、周辺機器の例として、ＳＳＤ３１３、入力Ｉ／Ｆ（インタフェース）３１４、ネットワークＩ／Ｆ３１５，３１６およびディスクＩ／Ｆ３１７が接続されている。
【００３７】
ＳＳＤ３１３は、ストレージ制御装置３０２の二次記憶装置として使用され、ＣＰＵ３１１によって実行されるプログラムやその実行に必要な各種のデータなどを記憶する。なお、二次記憶装置としては、例えば、ＨＤＤなどの他の種類の不揮発性記憶装置が使用されてもよい。
【００３８】
入力Ｉ／Ｆ３１４には、操作キーなどを備える入力装置３１４ａが接続されている。入力Ｉ／Ｆ３１４は、入力装置３１４ａに対する操作入力に応じた信号をＣＰＵ３１１に出力する。
【００３９】
ネットワークＩ／Ｆ３１５は、ネットワーク１０１を通じて、ホストサーバ２００との間でデータを送受信する。ネットワークＩ／Ｆ３１６は、ネットワーク１０３を通じて、インフラストラクチャ管理サーバ４００や管理者端末５００との間でデータを送受信する。
【００４０】
ディスクＩ／Ｆ３１７は、ＣＰＵ３１１からの要求に応じて、ディスクアレイ装置３０１内のＨＤＤに対するデータの書き込みや、ＨＤＤからのデータの読み出しを行う。ディスクＩ／Ｆ３１７は、ディスクアレイ装置３０１内のＨＤＤと、例えばＳＡＳ（Serial Attached SCSI）に従って通信する。
【００４１】
なお、ホストサーバ２００、インフラストラクチャ管理サーバ４００および管理者端末５００についても、ストレージ制御装置３０２と同様のハードウェア構成を有するコンピュータとして実現可能である。
【００４２】
図４は、仮想ディスクに対する記憶領域の割り当てについて示す図である。
ホストサーバ２００は、仮想化制御部２１０を備え、仮想化制御部２１０の制御の下で仮想マシンを構築する。図４の例では、３つの仮想マシンＶＭ＃０１〜ＶＭ＃０３が構築されている。各仮想マシンでは、ＯＳプログラムや各種のアプリケーションプログラム（図４では「アプリ」と表記）が、仮想化制御部２１０の下で実行される。
【００４３】
また、各仮想マシンには、ストレージ資源として仮想ディスクが割り当てられる。図４の例では、仮想マシンＶＭ＃０１，ＶＭ＃０２，ＶＭ＃０３に対してそれぞれ仮想ディスクＶＤ＃０１，ＶＤ＃０２，ＶＤ＃０３が割り当てられている。仮想ディスクの記憶領域は、ストレージプール３０３から割り当てられる。
【００４４】
ストレージプール３０３には、ストレージ装置３００のディスクアレイ装置３０１内のＨＤＤによる物理記憶領域のうち、仮想ディスクに割り当て可能な領域が、論理記憶領域（以下、論理ボリュームと呼ぶ）を単位として登録されている。各論理ボリュームは、例えば、同一の記憶容量を有する。ストレージプール３０３に登録された論理ボリュームと、各論理ボリュームの使用状態とは、インフラストラクチャ管理サーバ４００が保持するストレージプール管理テーブル（後述）によって管理される。
【００４５】
仮想ディスクには、ストレージプール３０３に登録された、未使用状態の論理ボリュームが割り当てられる。図４の例では、仮想ディスクＶＤ＃０１に対して論理ボリュームＬＶ＃１１，ＬＶ＃２１，ＬＶ＃３１が割り当てられ、仮想ディスクＶＤ＃０２に対して論理ボリュームＬＶ＃１２，ＬＶ＃２２が割り当てられ、仮想ディスクＶＤ＃０３に対して論理ボリュームＬＶ＃３２，ＬＶ＃１３，ＬＶ＃２３，ＬＶ＃３３が割り当てられている。仮想ディスクの容量は、ストレージプール３０３の論理ボリュームの新規割り当ておよび解放を行うことで、適宜増減することができる。仮想ディスクに割り当てられた論理ボリュームは、ストレージプール３０３において使用中状態として管理され、仮想ディスクから解放された論理ボリュームは、ストレージプール３０３において未使用領域として管理される。
【００４６】
一方、ストレージ制御装置３０２は、ディスクアレイ装置３０１内のＨＤＤによる物理記憶領域を、ＲＡＩＤグループを単位として管理する。ＲＡＩＤグループは、複数のＨＤＤの物理記憶領域を組み合わせて構成される論理記憶領域である。各ＲＡＩＤグループには任意のＲＡＩＤレベルが設定され、ストレージ制御装置３０２は、各ＲＡＩＤグループに対するデータ記録を、設定されたＲＡＩＤレベルに応じた手順で、データが異なるＨＤＤに冗長化されるように制御する。
【００４７】
ストレージ制御装置３０２は、さらに、各ＲＡＩＤグループを分割した論理記憶領域（以下、論理ユニットと呼ぶ）ごとに管理する。各論理ユニットは、例えば、同一の記憶容量を有する。
【００４８】
図４の例では、３つのＲＡＩＤグループＲＧ＃０１〜＃０３が設定され、ＲＡＩＤグループＲＧ＃０１〜＃０３のそれぞれは、４つの論理ユニットＬＵＮ＃１〜ＬＵＮ＃４に分割されている。そして、ＲＡＩＤグループＲＧ＃０１〜＃０３のそれぞれの論理ユニットＬＵＮ＃１〜ＬＵＮ＃４が、ストレージプール３０３の記憶領域の少なくとも一部を構成する。
【００４９】
また、ストレージ制御装置３０２は、ＲＡＩＤグループを構成する記憶領域に対して記録するデータを暗号化する機能を備える。また、ストレージ制御装置３０２は、データの暗号化に使用する暗号キーを生成する機能も備える。そして、ストレージ制御装置３０２は、各ＲＡＩＤグループ内の論理ユニットごとに、異なる暗号キーを用いてデータの暗号化を行う。換言すると、論理ユニットは、互いに異なる暗号キーを用いてデータを暗号化することが可能な記憶領域である。また、ストレージ制御装置３０２は、論理ユニットへのデータ記録の際に用いる暗号キーを変更することで、暗号キーの変更前に論理ユニットに記録されていたデータを読み出し不能にし、それらのデータを実質的に消去することができる。
【００５０】
ところで、仮想マシンの運用が終了されると、その仮想マシンに割り当てられていた仮想ディスクの運用も終了される。運用が終了された仮想マシンを利用していた利用者は、その仮想マシンに割り当てられていた仮想ディスクに記録されているデータを完全に消去することを希望する場合が多い。
【００５１】
データを完全に消去する方法としては、別のデータ（例えば、すべて「０」のデータ）を上書きする方法がある。また、仮想ディスクに対してデータを暗号化して記録していた場合には、暗号キーを変更することで、その仮想ディスク内のデータを実質的に「完全消去」する、という方法も考えられる。この場合、暗号キーが変更されることで、ストレージ制御装置３０２の外部からは、変更前の暗号キーで暗号化されたデータを読み出すことができなくなる。前者の方法では、仮想ディスクの全領域に対してデータの上書きが行われるため、全データの消去までに長時間を要する。これに対して、後者の方法によれば、暗号キーの変更だけで、データをごく短時間で消去できる。
【００５２】
本実施の形態では、後者の「暗号キー変更による仮想ディスク内のデータの完全消去」を実現するために、それぞれ個別の暗号キーが使用される論理ユニットを、仮想ディスクに対する記憶領域の割り当て単位にする。すなわち、ストレージ制御装置３０２が管理する論理ユニットと、ストレージプール３０３に登録される、仮想ディスクへの割り当て単位である論理ボリュームとを、１対１で対応付ける。これにより、運用を終了する仮想ディスクに割り当てられていたすべての論理ボリュームに対応する論理ユニットについて、暗号キーを変更するようにストレージ制御装置３０２に要求することで、その仮想ディスクに記録されていたデータを完全消去することができるようになる。
【００５３】
図４の例では、仮想ディスクＶＤ＃０３に対して、ストレージプール３０３内の論理ボリュームＬＶ＃３２，ＬＶ＃１３，ＬＶ＃２３，ＬＶ＃３３が割り当てられている。ここで、論理ボリュームＬＶ＃３２がＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃２に、論理ボリュームＬＶ＃１３がＲＡＩＤグループＲＧ＃０１の論理ユニットＬＵＮ＃３に、論理ボリュームＬＶ＃２３がＲＡＩＤグループＲＧ＃０２の論理ユニットＬＵＮ＃３に、論理ボリュームＬＶ＃３３がＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃３に、それぞれ対応付けられているものとする。
【００５４】
この場合、ＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃２、ＲＡＩＤグループＲＧ＃０１の論理ユニットＬＵＮ＃３、ＲＡＩＤグループＲＧ＃０２の論理ユニットＬＵＮ＃３、およびＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃３のそれぞれについての暗号キーを変更するように、ストレージ制御装置３０２に要求することで、仮想ディスクＶＤ＃０３に記録されていたデータを完全消去することができる。
【００５５】
仮に、論理ユニットと論理ボリュームとが１対１で対応付けられていない場合、暗号キー変更によって仮想ディスク単位でデータを完全消去することは困難である。例えば、ＲＡＩＤグループＲＧ＃０１の論理ユニットＬＵＮ＃１に対して、論理ボリュームＬＶ＃１１，ＬＶ＃１２が対応付けられているものとする。また、図４に示すように、仮想ディスクＶＤ＃０１に論理ボリュームＬＶ＃１１が割り当てられ、仮想ディスクＶＤ＃０２に論理ボリュームＬＶ＃１２が割り当てられたとする。このような場合には、例えば、仮想ディスクＶＤ＃０２に割り当てられている論理ボリュームＬＶ＃１２のデータを、暗号キー変更によって消去しようとすると、同じ論理ユニットＬＵＮ＃１に対応付けられた、仮想ディスクＶＤ＃０１の論理ボリュームＬＶ＃１１のデータも消去されてしまう。従って、仮想ディスクＶＤ＃０２内のすべてのデータを暗号キー変更によって消去することができない。
【００５６】
図５は、ホストサーバ、ストレージ制御装置およびインフラストラクチャ管理サーバの処理機能の構成例を示すブロック図である。
ホストサーバ２００は、前述した仮想化制御部２１０を備える。仮想化制御部２１０の処理は、ホストサーバ２００のＣＰＵが、ハイパーバイザなどと呼ばれる仮想化制御プログラムを実行することによって実現される。仮想化制御部２１０は、仮想マシンを構築し、構築した仮想マシンの動作を制御する。また、仮想化制御部２１０は、仮想マシンに割り当てられた仮想ディスクに対するアクセスを、ストレージ制御装置３０２に対して要求する。
【００５７】
ホストサーバ２００が備える不揮発性記憶装置（例えばＳＳＤやＨＤＤなど）には、仮想ディスク管理テーブル２２０が記録される。仮想ディスク管理テーブル２２０には、仮想マシンに割り当てた仮想ディスクの情報が登録される。仮想ディスクの情報としては、ストレージプール３０３から仮想ディスクに割り当てられた論理ボリュームの番号、割り当てられた論理ボリュームに対応する論理ユニットの情報などである。仮想化制御部２１０は、仮想ディスクに対してアクセスする際に、仮想ディスク管理テーブル２２０に登録された情報を基に、アクセス先の物理記憶領域のアドレス（ＲＡＩＤグループ内の論理ブロックアドレス）を特定することができる。
【００５８】
ストレージ制御装置３０２は、ストレージ制御部３２０を備える。ストレージ制御部３２０の処理は、例えば、ストレージ制御装置３０２のＣＰＵ３１１が所定のプログラムを実行することによって実現される。また、ストレージ制御装置３０２が備える不揮発性記憶装置（例えばＳＳＤ３１３）には、ＲＡＩＤ管理テーブル３３０、暗号キー管理テーブル３４０およびデータ消去管理テーブル３５０が記録される。
【００５９】
ＲＡＩＤ管理テーブル３３０には、ＲＡＩＤグループごとに、設定されたＲＡＩＤレベル、ＲＡＩＤグループを構成するＨＤＤの番号、ＲＡＩＤグループに属する論理ユニットの番号などの情報が登録される。暗号キー管理テーブル３４０には、論理ユニットごとに、データ記録の際に使用する暗号キーが登録される。
【００６０】
ストレージ制御部３２０は、ホストＩ／Ｏ（In/Out）処理部３２１を備える。ホストＩ／Ｏ処理部３２１は、ホストサーバ２００の仮想化制御部２１０からの要求に応じて、ディスクアレイ装置３０１内のＨＤＤにアクセスする。ホストＩ／Ｏ処理部３２１は、ディスクアレイ装置３０１内のＨＤＤにアクセスする際に、ＲＡＩＤ管理テーブル３３０を参照して、アクセス先のＲＡＩＤグループに設定されたＲＡＩＤレベルに応じた処理を行う。また、ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０において、アクセス先の論理ユニットに暗号キーが設定されている場合には、設定された暗号キーを用いて、記録するデータの暗号化、および、読み出したデータの復号を行う。
【００６１】
また、ストレージ制御部３２０は、データ消去処理部３２２を備える。データ消去処理部３２２は、仮想ディスクの運用が終了された場合に、インフラストラクチャ管理サーバ４００からの要求に応じて、運用が終了された仮想ディスクに対応する論理ユニットに記録されたデータの消去処理を行う。後述するように、本実施の形態では、仮想ディスクに記録されたデータの消去処理には３種類の処理モードがあるが、データ消去処理部３２２は、これらのうち「第３の消去モード」でデータ消去を実行する際に、データ消去管理テーブル３５０を参照する。
【００６２】
データ消去管理テーブル３５０には、運用が終了された仮想ディスクに対応する物理領域のうち、上書き処理が完了した領域と、上書き処理が完了していない領域とを示す情報が登録される。なお、このデータ消去管理テーブル３５０は、ホストＩ／Ｏ処理部３２１がディスクアレイ装置３０１内のＨＤＤに対してデータを書き込む際にも参照される。
【００６３】
インフラストラクチャ管理サーバ４００は、ストレージ管理部４１０とストレージプール管理部４２０とを備える。ストレージ管理部４１０およびストレージプール管理部４２０の各処理は、例えば、インフラストラクチャ管理サーバ４００が備えるＣＰＵが所定のプログラムを実行することによって実現される。また、インフラストラクチャ管理サーバ４００が備える不揮発性記憶装置（例えばＳＳＤやＨＤＤなど）には、論理ボリューム管理テーブル４３０、ストレージプール管理テーブル４４０および仮想ディスク管理テーブル４５０が登録される。
【００６４】
ストレージ管理部４１０は、管理者端末５００からの要求に応じて、論理ユニットの設定を行う。ストレージ管理部４１０は、設定した論理ユニットと、ストレージプール３０３における論理ボリュームとの対応関係を、論理ボリューム管理テーブル４３０に登録する。
【００６５】
また、ストレージ管理部４１０は、仮想ディスクの運用が終了された際に、運用が終了された仮想ディスクに記録されていたデータの消去処理を、ストレージ制御装置３０２に実行させる。
【００６６】
ストレージプール管理部４２０は、ストレージプール管理テーブル４４０を用いて、ストレージプール３０３の論理ボリュームの使用状況を管理する。ストレージプール管理テーブル４４０には、仮想ディスクに対して割り当て可能な論理ボリュームの一覧と、各論理ボリュームのステータスとが登録される。
【００６７】
また、ストレージプール管理部４２０は、ホストサーバ２００の仮想化制御部２１０からの要求に応じて、ストレージプール管理テーブル４４０に登録された論理ボリュームから、未使用状態の論理ボリュームを仮想ディスクに割り当てる。ストレージプール管理部４２０は、仮想ディスクに対して割り当てた論理ボリュームを、仮想ディスク管理テーブル４５０を用いて管理する。仮想ディスク管理テーブル４５０には、仮想サーバおよび仮想ディスクの一覧に対して、仮想ディスクに割り当てられた論理ボリュームの番号と、仮想ディスクごとのデータ消去ポリシーとが対応付けて登録される。ここで、データ消去ポリシーとは、対応する仮想ディスクの運用を終了する際に、３種類のデータ消去処理のうちのどの処理によって、仮想ディスクに記録されたデータを消去するかを示す情報である。
【００６８】
図６は、ＲＡＩＤ管理テーブルに登録される情報の例を示す図である。
ＲＡＩＤ管理テーブル３３０には、ＲＡＩＤグループごとにレコード３３１が登録される。各レコード３３１には、対応するＲＡＩＤグループの識別番号が付与されている。また、各レコード３３１には、「ＲＡＩＤレベル」、「ディスク数」、「ディスク番号」、「性能属性」、「論理ユニット」および「暗号化設定」が登録される。
【００６９】
「ＲＡＩＤレベル」は、対応するＲＡＩＤグループに対して設定されたＲＡＩＤレベルを示す。「ディスク数」は、対応するＲＡＩＤグループに属するＨＤＤの数を示す。「ディスク番号」は、対応するＲＡＩＤグループに属するＨＤＤの識別番号を示す。「ディスク番号」は、「ディスク数」に設定された数だけ、レコード３３１に登録される。
【００７０】
「性能属性」は、対応するＲＡＩＤグループに属する記憶装置のアクセス性能に応じた属性を示す。「性能属性」には、例えば、似たようなアクセス性能を有する種類の記憶装置が同じ属性に分類されるように、情報が登録される。例えば、「性能属性」には、「ＳＳＤ」、「ＳＡＳ／ＦＣドライブ」、「ＮＬ（Nearline）／ＳＡＴＡ（Serial ATA，ATA：AT Attachment）ドライブ」などが登録される。なお、１つのＲＡＩＤグループに属する記憶装置は、すべて同じ性能属性を持つものとする。
【００７１】
「論理ユニット」は、対応するＲＡＩＤグループに設定された論理ユニットの識別番号が登録される。また、「論理ユニット」のそれぞれには、対応するＲＡＩＤグループにおける論理ユニットのアドレス（ＬＢＡ：Logical Block Address）の範囲を示す「アドレス範囲」が登録される。
【００７２】
「暗号化設定」は、対応するＲＡＩＤグループに属するＨＤＤに対して記録するデータを暗号化するか否かを示す情報である。
図７は、暗号キー管理テーブルに登録される情報の例を示す図である。
【００７３】
暗号キー管理テーブル３４０には、ＲＡＩＤグループに設定された論理ボリュームごとに、データ記録時の暗号化およびデータ読み出し時の復号に用いられる暗号キーが登録される。なお、ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１は、ランダムな暗号キーを生成する機能を有し、暗号キー管理テーブル３４０には、論理ボリュームごとにユニークな暗号キーが登録される。
【００７４】
また、記録するデータを暗号化しないように設定されたＲＡＩＤグループの論理ボリュームについては、暗号キーが登録されず、その代わりに例えば「ＮＵＬＬ」が登録される。なお、暗号キー管理テーブル３４０には、記録するデータを暗号化するように設定されたＲＡＩＤグループのみが登録されてもよい。
【００７５】
図８は、データ消去管理テーブルに登録される情報の例を示す図である。
データ消去管理テーブル３５０には、運用が終了された仮想マシンおよび仮想ディスクの識別番号に対応付けて、仮想ディスクに対応するＲＡＩＤグループおよび論理ユニットの識別番号が登録される。データ消去管理テーブル３５０に登録される仮想マシンおよび仮想ディスクは、運用を終了する際のデータ消去処理を前述の「第３の消去モード」で行うように設定されたもののみである。
【００７６】
さらに、データ消去管理テーブル３５０には、消去対象領域として、各論理ユニットを分割した単位領域の先頭ＬＢＡ（図８中の「０ｘ００００００１０」，「０ｘ００００００１１」，・・・に対応）が登録される。この単位領域とは、データ消去のための上書き処理の実行単位である。そして、データ消去管理テーブル３５０では、論理ユニット内の分割領域ごとに、上書き処理の実行状態が登録される。上書き処理の実行状態としては、上書き処理が完了していることを示す「上書き済み」と、上書き処理が完了していないことを示す「未処理」のいずれかが登録される。
【００７７】
図９は、論理ボリューム管理テーブルに登録される情報の例を示す図である。
論理ボリューム管理テーブル４３０には、ＲＡＩＤグループおよび論理ユニットの識別番号に対して、対応する論理ボリュームの番号が登録される。この論理ボリューム管理テーブル４３０によって、ストレージ制御部３２０が管理する論理ユニットと、ストレージプール３０３を構成する論理ボリュームとが関連付けられる。
【００７８】
図１０は、ストレージプール管理テーブルに登録される情報の例を示す図である。
ストレージプール管理テーブル４４０には、ストレージプール３０３を構成する論理ボリュームごとに、使用状態を示すステータスが登録される。ステータスとしては、対応する論理ボリュームが仮想ディスクに割り当てられていることを示す「使用中」、対応する論理ボリュームが仮想ディスクに割り当て可能であることを示す「未使用」、対応する論理ボリュームに対する上書き処理中であることを示す「初期化中」のいずれかが登録される。
【００７９】
図１１は、仮想ディスク管理テーブルに登録される情報の例を示す図である。
仮想ディスク管理テーブル４５０には、仮想サーバおよび仮想ディスクの識別番号に対して、「データ消去モード」および「構成ＬＵＮ」が登録される。
【００８０】
「データ消去モード」は、対応する仮想ディスクの運用を終了する際に、３種類の処理モードのうちどの処理モードに従ってデータ消去処理を実行するかを示す情報が設定される。後述するように、「データ消去モード」には、第１〜第３の消去モードのうちのいずれかが設定される。これらのうち、第１の消去モードおよび第３の消去モードは、データの上書き処理を伴う処理であるのに対し、第２の消去モードは、データの上書き処理を伴わない処理である。
【００８１】
「構成ＬＵＮ」には、対応する仮想ディスクに割り当てられた、ストレージプール３０３内の論理ボリュームの識別番号が登録される。
なお、ホストサーバ２００内の仮想ディスク管理テーブル２２０には、仮想ディスク管理テーブル４５０と同様に、仮想サーバおよび仮想ディスクの識別番号に対して、仮想ディスクに割り当てられた論理ボリュームの識別番号が対応付けて登録される。さらに、仮想ディスク管理テーブル２２０には、割り当てられた論理ボリュームに対応する論理ユニットの情報も登録される。
【００８２】
次に、仮想ディスクの運用を終了する際のデータ消去処理について説明する。
本実施の形態の情報処理システム１００では、仮想マシンの運用が終了された場合に、その仮想マシンに割り当てられていた仮想ディスクに記録されていたデータを消去するサービスが提供される。このデータ消去サービスでは、例えば、ファイルシステムにおけるデータ記録領域に対応する設定を変更するといった、実体的なデータがＨＤＤに残るようなデータ消去ではなく、記録されたデータがストレージ装置３００の外部から完全に読み出すことができなくなるようなデータ消去が行われる。本実施の形態では、このようにデータが「完全に」消去されるようなデータ消去処理として、利用者による仮想ディスクごとの事前設定に応じて、第１〜第３の消去モードのいずれかに従って実行される。
【００８３】
（１）第１の消去モード
上記のようにデータを「完全に」消去する方法として、記録されたデータに任意のデータ（例えば、すべて「０」）を上書きする方法がある。以下、データ消去用に上書きするデータを「初期化データ」と呼ぶ。第１の消去モードでのデータ消去処理は、仮想ディスクの運用が終了された時点で、記録データに初期化データを上書きする処理を即座に開始するものである。
【００８４】
この第１の消去モードでのデータ消去処理では、運用が終了された仮想ディスクに割り当てられた論理ボリュームのそれぞれにおいて、全領域に対する初期化データの上書きが終了するまで、その論理ボリュームは他の仮想ディスクに割り当てることができない。具体的には、論理ボリュームに対する初期化データの上書きを開始してから、仮想ディスクに割り当てられていた全論理ボリューム内の全領域に対する上書きが終了するまでの間、ストレージプール管理テーブル４４０における上書き対象の論理ボリュームに対応するステータスは、「初期化中」に設定される。そして、その論理ボリューム内の全領域に対する上書き処理が終了すると、対応するステータスが「未使用」に変更される。
【００８５】
このように、第１の消去モードでのデータ消去処理は、記録されたデータを完全に消去できるという利用者側のメリットがある。その反面、運用が終了された仮想ディスクに割り当てられた論理ボリュームを再利用できるようになるまでの時間が長いという、サービス提供者側にとってのデメリットがある。また、データの上書き処理がストレージ制御装置３０２のＣＰＵ３１１によって実行されるため、上書き処理が完了するまでの間、他の運用中の仮想ディスクに対するアクセス性能が低下する可能性もある。
【００８６】
なお、第１の消去モードが設定された仮想ディスクについては、割り当てられた物理記憶領域に対して記録するデータは、必ずしも暗号化される必要はない。データの暗号化を行わないことで、仮想ディスクに対するアクセス性能を高めることができる。ただし、第１の消去モードが設定された場合でも、記録するデータを暗号化しておくことにより、例えば、仮想ディスクを構成するＨＤＤが取り外され、そのＨＤＤから記録データが不正に読み出されるといった事態を防止できる。
【００８７】
（２）第２の消去モード
第２の消去モードが選択されている場合、仮想ディスクに割り当てられた論理ボリュームに記録するデータが暗号化される。そして、仮想ディスクの運用が終了される際に、割り当てられた論理ボリュームの暗号化に用いる暗号キーが変更されることで、論理ボリュームに記録されたデータが実質的に完全消去される。なお、暗号キーは変更されるのではなく、単に抹消されるだけでもよい。
【００８８】
この第２の消去モードでのデータ消去処理では、暗号キー管理テーブル３４０において、仮想ディスクに割り当てられた論理ボリュームに対応付けられた暗号キーを変更または抹消するだけで、データが消去される。このため、仮想ディスクの運用を終了してからごく短時間で、データを完全に消去できるとともに、データが消去された論理ボリュームを再利用可能な状態に遷移させることができる。
【００８９】
（３）第３の消去モード
上記の第２の消去モードでのデータ消去処理によれば、仮想ディスクに割り当てられていた論理ボリュームを、ごく短時間で再利用可能になる。このため、仮想ディスクを提供するサービス提供者側にとっては、限られたストレージリソースを効率的に運用できるという極めて大きなメリットがある。一方で、第２の消去モードのように暗号キーの変更によってデータを消去する処理ではなく、第１の消去モードのように初期化データを上書きすることによるデータ消去を要求する利用者も多く、第２の消去モードでは必ずしも顧客要求を満足できないことがあった。
【００９０】
これに対して、第３の消去モードは、ストレージリソースを効率的に運用できるというサービス提供者側の要求を満たしつつ、初期化データの上書き処理も実行するようにして、利用者側の要求にも応えるようにする処理モードである。
【００９１】
この第３の消去モードでは、初期化データの上書きによるデータ消去と、暗号キー変更によるデータ消去とを併用する。具体的には、第３の消去モードでのデータ消去処理では、仮想ディスクの運用が終了されると、その仮想ディスクに割り当てられていた論理ボリュームに対するデータ記録に使用されていた暗号キーが変更される。これとともに、暗号キーが変更された論理ボリュームは、即座に再利用可能な状態にされる。また、初期化データの上書き処理は、仮想ディスクの運用が終了されたタイミングとは非同期に実行される。例えば、仮想ディスクの運用が終了された後、他の仮想ディスクに対するアクセスが要求されていない期間において、運用が終了された仮想ディスクに対する初期化データの上書き処理が実行される。
【００９２】
さらに、第３の消去モードでのデータ消去処理では、運用が終了された仮想ディスクに割り当てられていた論理ボリューム内の領域のうち、運用終了後に新たなデータが書き込まれていない領域に対してのみ、初期化データの上書きが行われる。例えば、再利用可能にした論理ボリュームは、初期化データが上書きされる前に、他の仮想ディスクに割り当てられる可能性がある。他の仮想ディスクに割り当てられた論理ボリュームには、ホストサーバ２００の仮想化制御部２１０からの要求に応じて、新たなデータが書き込まれる可能性が十分考えられる。
【００９３】
このようにホストサーバ２００からの要求に応じて新たなデータが書き込まれた領域には、初期化データを上書きしないようにする。これにより、仮想ディスクの運用終了時点でその仮想ディスクに割り当てられていた論理ボリュームを即座に再利用可能にしながらも、初期化データの上書き処理を実行できるようになる。従って、ストレージリソースを効率的に運用できるというサービス提供者側の要求と、初期化データの上書きによりデータを消去するという利用者側の要求の両方を満たすことができる。
【００９４】
また、仮想ディスクの運用が終了されたタイミングとは非同期に初期化データの上書きが行われることで、ストレージ制御装置３０２の処理負荷を分散させ、上書き処理が運用中の他の仮想ディスクに対するアクセス性能に与える影響を低減することができる。
【００９５】
さらに、運用が終了された仮想ディスクに割り当てられていた論理ボリュームの領域のうち、ホストサーバ２００からの要求に応じて新たなデータが書き込まれた領域には、初期化データの上書きを行わないようにすることで、初期化データを上書きする領域が小さくなる可能性が生じる。初期化データの上書き領域が小さくなった場合には、上書き処理に要する時間が短縮され、その結果、データ消去処理を実行するストレージ制御装置３０２の処理負荷を軽減することもできる。
【００９６】
なお、第３の消去モードでは、初期化データの上書き処理を、仮想ディスクの運用終了時点で即座に実行するようにしてもよい。
また、第３の消去モードでは、例えば、暗号キー変更によるデータ消去を行わないようにしてもよい。この場合でも、運用が終了された仮想ディスクに割り当てられていた論理ボリュームが即座に再利用可能になるので、サービス提供者側にとってのメリットは大きい。その反面、初期化データが上書きされておらず、元の仮想ディスクの記録データがそのまま残っている論理ボリュームが、即座に再利用可能な状態となるので、第１の消去モードや第２の消去モードと比較して、記録データの安全性は低下する。
【００９７】
しかしながら、論理ボリュームが他の仮想ディスクに割り当てられて、新たなデータが書き込まれた場合には、新たなデータが書き込まれた領域に残っていた元のデータが消去されることになる。従って、運用が終了された仮想ディスクに割り当てられていたすべての記憶領域に対する初期化データの上書きが終了するより前に、それらの記憶領域の一部にそのまま残っていたデータがすでに読み出し不能の状態になる場合も多くなる。
【００９８】
ところで、上記のデータ消去処理についての各処理モードは、例えば、仮想ディスクに割り当てられる物理記憶装置の性能に応じて設定されてもよい。ここで、図１２は、ストレージプールに登録される論理ボリュームと、論理ボリュームを構成する物理記憶領域のアクセス性能との関係の例を示す図である。
【００９９】
ストレージプール３０３に登録される論理ボリュームを実現する物理記憶装置（すなわち、ストレージ装置３００に搭載される記憶装置）としては、様々な種類の記憶装置を用いることができる。例えば、ＳＡＳに準拠したＨＤＤ（ＳＡＳドライブ）、ＦＣに準拠したＨＤＤ（ＦＣドライブ）、ニアライン向けのＨＤＤ（ＮＬドライブ）、ＳＡＴＡに準拠したＨＤＤ（ＳＡＴＡドライブ）、ＳＳＤなどがある。
【０１００】
情報処理システム１００では、例えば、仮想ディスクの記憶領域として割り当て可能な物理記憶装置として、上記のような様々な種類の記憶装置を、似たようなアクセス性能を有する組み合わせごとに異なる性能属性に分類して、利用者が選択できるようにする。例えば、ＳＳＤを最も高速な記憶装置に分類し、ＮＬドライブおよびＳＡＴＡドライブを最も低速な記憶装置に分類し、ＳＡＳドライブまたはＦＣドライブを中間的な速度の記憶装置に分類する。
【０１０１】
インフラストラクチャ管理サーバ４００は、図１２に示すように、ストレージプール３０３に登録される論理ボリュームを、論理ボリュームを実現する物理記憶装置の性能属性ごとに分類して管理する。例えば、インフラストラクチャ管理サーバ４００は、論理ボリュームを実現する物理記憶装置の性能属性ごとに個別のストレージプール管理テーブル４４０を保持する。論理ボリュームを実現する物理記憶装置の性能属性は、ＲＡＩＤ管理テーブル３３０から取得することができる。
【０１０２】
図１３は、サービス対応テーブルの例を示す図である。図１３に示すサービス対応テーブル４６１，４６２は、上記のデータ消去処理の処理モードと、性能属性および利用料金との組み合わせに応じたサービス体系について記載されたテーブルである。
【０１０３】
サービス対応テーブル４６１は、第３の消去モードでのデータ消去処理において暗号キー変更を併用する場合を示す。第２の消去モードは、初期化データの上書き処理が実行されないため、記憶装置に対しては高いアクセス性能が要求されないと考えられる。逆に、第１の消去モードでは、初期化データの上書き処理を高速に実行するために、高いアクセス性能を持つ記憶装置が使用されることが望ましい。このため、サービス対応テーブル４６１において、サービスＣ１では、アクセス速度が最も低い記憶装置が用いられ、かつ、第２の消去モードが選択される。一方、サービスＣ２では、第１の消去モードが選択されるとともに、サービスＣ１の場合よりアクセス速度が高い記憶装置が用いられる。また、第２の消去モードでは、使用が終了された論理ボリュームが即座に再利用可能になり、サービス提供者に対するメリットが大きいことから、サービスＢ１よびサービスＣ１の利用料金の方が低く設定される。
【０１０４】
第３の消去モードでは、暗号キー変更および初期化データの上書きという二重のデータ消去が行われるため、利用者側にとってのメリットが大きいと考えられる。この観点から、サービス対応テーブル４６１では、第３の消去モードが設定されるサービスＡ１の利用料金は、第１，第２の消去モードのいずれかが設定されるサービスＢ１，Ｃ１より高く設定される。また、サービスＡ１では、初期化データの上書きが行われることから、少なくとも初期化データの上書きが行われないサービスＣ１よりも、アクセス性能の高い記憶装置が用いられることが望ましい。そこで、サービスＡ１では、最もアクセス速度の高い記憶装置が使用されるようにする。
【０１０５】
なお、第１の消去モードでは、仮想ディスクの運用が終了されると即座に初期化データの上書きが実行されることから、ホストサーバ２００からの要求に応じたＩ／Ｏ処理負荷に与える影響が大きく、サービス提供者側のデメリットが大きい。このような観点から、第３の消去モードが選択されるサービスよりも、第１の消去モードが選択されるサービスの利用料金が高くされてもよい。また、使用する記憶装置のアクセス性能を高めることで、初期化データの上書き処理がＩ／Ｏ処理負荷に与える影響を少なくすることもできる。このような観点から、第１の消去モードが選択されるサービスでは、第３の消去モードが選択されるサービスよりも、よりアクセス速度の高い記憶装置が使用されるようにしてもよい。
【０１０６】
一方、サービス対応テーブル４６２は、第３の消去モードでのデータ消去処理において暗号キー変更を併用しない場合を示す。第３の消去モードでは暗号キー変更のみによってデータが消去されることから、サービス対応テーブル４６２では、顧客満足度に鑑みて、第３の消去モードが設定されたサービスＣ２よりも第１の消去モードが設定されたサービスＡ２の利用料金が高く設定される。また、第３の消去モードでは、データの上書き処理が完了するまでは、元のデータが消去されない可能性がある。このような観点から、第２の消去モードが設定されたサービスＢ２よりも第３の消去モードが設定されたサービスＣ２の利用料金が低く設定される。
【０１０７】
また、第１の消去モードでは、仮想ディスクの運用が終了されると即座に初期化データの上書きが実行される。初期化データの上書き処理を短時間で終了させるためには、アクセス性能が高い記憶装置が使用されることが望ましい。このような観点から、サービス対応テーブル４６２では、第３の消去モードが設定されるサービスＣ１より、第１の消去モードが設定されるサービスＡ２において、よりアクセス速度が高い記憶装置が使用される。
【０１０８】
以上のサービス対応テーブル４６１，４６２の例のように、データ消去モードは、使用される記憶装置のアクセス性能や、利用者およびサービス提供者側のメリット／デメリットのバランスなどに応じて選択されることが望ましい。
【０１０９】
また、上記のサービス対応テーブル４６１，４６２のいずれかは、例えば、インフラストラクチャ管理サーバ４００の不揮発性記憶装置に保持されてもよい。この場合、インフラストラクチャ管理サーバ４００は、管理者端末５００を通じて仮想マシンの構築のための設定が行われる際に、サービス対応テーブルのいずれかを参照して、管理者端末５００に対して、提供可能なサービスを管理者端末５００に提示することができる。図１３のように、使用される記憶装置の性能属性と、データ消去モードとの好ましい組み合わせをあらかじめ用意しておくことで、性能属性やデータ消去モードの選択操作を支援し、サービスの利用を容易にすることができる。また、サービス対応テーブルに記載されたサービス体系を、利用者に直接提示できるようにしてもよい。
【０１１０】
さらに、例えば、インフラストラクチャ管理サーバ４００は、管理者端末５００から仮想ディスクに使用する記憶装置の性能属性の指定を受けたとき、サービス対応テーブルを参照して、指定された性能属性に対応する適切なデータ消去モードを抽出して、推奨するデータ消去モードとして管理者端末５００に出力してもよい。あるいは、インフラストラクチャ管理サーバ４００は、管理者端末５００から指定された性能属性に対応する適切なデータ消去モードを、自動的に設定してもよい。
【０１１１】
次に、情報処理システム１００において実行される処理について、フローチャートを用いて説明する。
まず、図１４，図１５は、仮想マシンおよび仮想ディスクを構築するための前処理手順の例を示すフローチャートである。
【０１１２】
［ステップＳ１１］管理者は、管理者端末５００を通じて、仮想ディスク生成のために必要な論理ユニット（ＬＵ）の生成・設定を行う。管理者は、管理者端末５００に対して、設定すべき論理ユニットの情報を入力する。管理者端末５００は、ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１に対して、入力された設定情報を送信し、論理ユニットの生成を要求する。
【０１１３】
［ステップＳ１２］ホストＩ／Ｏ処理部３２１は、管理者端末５００から受信した設定情報に基づき、論理ユニットを構築する。具体的には、ホストＩ／Ｏ処理部３２１は、ＲＡＩＤ管理テーブル３３０のレコード３３１のうち、管理者端末５００から指定されたＲＡＩＤグループのレコード３３１を抽出する。ホストＩ／Ｏ処理部３２１は、抽出したレコード３３１に対して論理ユニットの情報を設定することにより、論理ユニットを構築する。また、ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０に、構築した論理ユニットに対応するレコードを生成する。
【０１１４】
［ステップＳ１３］ホストＩ／Ｏ処理部３２１は、管理者端末５００から受信した設定情報に基づき、ステップＳ１２で構築した論理ユニットに対して記録するデータを暗号化するかを判定する。ホストＩ／Ｏ処理部３２１は、暗号化する場合には（Ｓ１３：Ｙｅｓ）、ステップＳ１４の処理を実行する一方、暗号化しない場合には（Ｓ１３：Ｎｏ）、ステップＳ１５の処理を実行する。
【０１１５】
［ステップＳ１４］ホストＩ／Ｏ処理部３２１は、ステップＳ１２で暗号キー管理テーブル３４０に生成したレコードに対して、暗号キーを登録する。ホストＩ／Ｏ処理部３２１は、論理ユニットごとにそれぞれ異なる暗号キーを生成して登録する。
【０１１６】
［ステップＳ１５］ホストＩ／Ｏ処理部３２１は、構築した論理ユニットについての情報を、インフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知する。論理ユニットについての情報としては、例えば、ＲＡＩＤグループおよび論理ユニットの識別番号、論理ユニットの領域を示すアドレス情報、論理ユニットを構成する記憶装置の性能属性、論理ユニットに対してデータが暗号化されるように設定されているかを示す情報などが通知される。
【０１１７】
［ステップＳ１６］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ホストＩ／Ｏ処理部３２１から通知された、ＲＡＩＤグループおよび論理ユニットの識別番号を、論理ボリューム管理テーブル４３０に登録する。この登録処理により、ストレージプール３０３に登録される論理ボリュームと、ストレージ制御装置３０２が管理する論理ユニットとが対応付けられる。
【０１１８】
［ステップＳ１７］ストレージ管理部４１０は、新規に登録された論理ユニットに対応付けられた論理ボリュームの識別番号を、ストレージプール管理部４２０に通知する。このとき、ストレージ管理部４１０は、例えば、論理ボリュームに対応する論理ユニットを構成する記憶装置の性能属性、論理ユニットに対してデータが暗号化されるように設定されているかを示す情報なども、ストレージプール管理部４２０に通知する。
【０１１９】
［ステップＳ１８］ストレージプール管理部４２０は、ストレージ管理部４１０から通知された論理ボリュームの識別番号を、ストレージプール管理テーブル４４０に登録する。このとき、ストレージプール管理部４２０は、例えば、論理ボリュームに対応する論理ユニットを構成する記憶装置の性能属性や、論理ユニットに対してデータが暗号化されるか否かに応じて、それぞれ個別のストレージプール管理テーブル４４０にデータを登録してもよい。
【０１２０】
［ステップＳ１９］ストレージプール管理部４２０は、ステップＳ１８でストレージプール管理テーブル４４０に新規登録したレコードのすべてにおいて、ステータスを「未使用」に設定する。これにより、ストレージプール３０３に対する論理ボリュームの登録が完了する。
【０１２１】
次に、図１６は、仮想マシン構築時の処理手順の例を示すフローチャートである。
［ステップＳ３１］管理者は、管理者端末５００を通じて、仮想マシン（ＶＭ）を構築するための設定を行う。管理者は、管理者端末５００に対して、仮想マシンにおけるＣＰＵの性能、メモリ容量、仮想ディスクに関する設定情報などを入力する。仮想ディスクに関する設定情報としては、仮想ディスクの容量、仮想ディスクの性能属性、仮想ディスクに記録するデータを暗号化するかを示す情報などがある。管理者端末５００は、入力された情報をホストサーバ２００の仮想化制御部２１０に送信して、仮想マシンの構築を要求する。
【０１２２】
［ステップＳ３２］ホストサーバ２００の仮想化制御部２１０は、管理者端末５００から受信した情報を基に、仮想マシンを構築する。また、仮想化制御部２１０は、管理者端末５００から受信した、仮想ディスク（ＶＤ）についての設定情報と、仮想マシンおよび仮想ディスクの識別情報を、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に送信し、仮想ディスクに対する論理ボリュームの割り当てを要求する。
【０１２３】
［ステップＳ３３］インフラストラクチャ管理サーバ４００のストレージプール管理部４２０は、仮想化制御部２１０から通知された情報に基づいて、ストレージプール管理部４２０から未使用状態の論理ボリュームを切り出し、仮想ディスクに割り当てる。
【０１２４】
具体的には、ストレージプール管理部４２０は、通知された性能属性や暗号化の有無に合致するストレージプール管理テーブル４４０を参照する。ストレージプール管理部４２０は、参照したストレージプール管理テーブル４４０においてステータスが「未使用」とされた論理ボリュームを、仮想ディスクの容量分だけ選択し、選択した全論理ボリュームについてのステータスを「使用中」に更新する。さらに、ストレージプール管理部４２０は、仮想ディスク管理テーブル４５０における、構築処理中の仮想マシンのレコードに対して、仮想ディスクに割り当てた論理ボリュームの識別番号を登録する。
【０１２５】
以上の処理が終了すると、ストレージプール管理部４２０は、仮想ディスクに割り当てた論理ボリュームの識別番号を、ホストサーバ２００の仮想化制御部２１０に送信する。
［ステップＳ３４］ホストサーバ２００の仮想化制御部２１０は、ストレージプール管理部４２０から通知された論理ボリュームの識別番号を、仮想ディスク管理テーブル２２０に登録して、論理ボリュームの設定を行う。なお、仮想化制御部２１０は、仮想ディスクに割り当てられた論理ボリュームに対応する論理ユニットの情報も、仮想ディスク管理テーブル２２０に登録する。論理ユニットの情報は、例えば、インフラストラクチャ管理サーバ４００のストレージ管理部４１０あるいはストレージ制御装置３０２に問い合わせることによって取得されてもよいし、あるいは、ステップＳ３３の段階でストレージ管理部４１０からストレージプール管理部４２０を介して通知されてもよい。
【０１２６】
仮想化制御部２１０は、仮想ディスクの設定が終了すると、その旨を管理者端末５００に通知する。
なお、上記処理では、仮想ディスクに対する論理ボリュームの割り当てを、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０が実行するものとした。しかしながら、仮想ディスクに対する論理ボリュームの割り当ては、ホストサーバ２００の仮想化制御部２１０によって実行されてもよい。この場合、ホストサーバ２００も、ストレージプール管理テーブル４４０や論理ボリューム管理テーブル４３０に相当する情報を保持する。そして、ホストサーバ２００の仮想化制御部２１０は、自身が仮想ディスクに割り当てた論理ボリュームの識別番号を、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に送信する。ストレージプール管理部４２０は、受信した論理ボリュームの識別番号を、ストレージプール管理テーブル４４０および論理ボリューム管理テーブル４３０に登録する。
【０１２７】
［ステップＳ３５］管理者端末５００は、管理者の操作に応じたデータ消去モードの選択入力を受け付ける。管理者端末５００は、選択されたデータ消去モードを、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に通知する。
【０１２８】
［ステップＳ３６］インフラストラクチャ管理サーバ４００のストレージプール管理部４２０は、通知されたデータ消去モードを、仮想ディスク管理テーブル４５０における、構築処理中の仮想マシンのレコードに対して登録する。登録が終了すると、ストレージプール管理部４２０は、ホストサーバ２００の仮想化制御部２１０に対して、仮想ディスクの設定が完了したことを通知する。
【０１２９】
［ステップＳ３７］ホストサーバ２００の仮想化制御部２１０は、構築した仮想マシンを起動する。これにより、仮想マシンの運用が開始される。
なお、データ消去モードが指定される際には、例えば、前述のサービス対応テーブル４６１，４６２に基づいて、推奨されるデータ消去モードが管理者端末５００に通知されてもよい。この場合、例えば、図１６の処理手順が次の図１７のように変更されればよい。
【０１３０】
図１７は、データ消去モードの推奨処理手順の例を示すフローチャートである。この図１７では、図１６と同じ処理には同じステップ番号を付して示している。
［ステップＳ４１］管理者端末５００は、前述のステップＳ３４において、ホストサーバ２００の仮想化制御部２１０から、仮想ディスクに割り当てられた記憶装置の性能属性と、仮想ディスクへのデータ記録の際に暗号化が行われるか否かを示す情報とを受信する。管理者端末５００は、これらの受信情報を、インフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知して、推奨されるデータ消去モードを問い合わせる。
【０１３１】
［ステップＳ４２］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、サービス対応テーブル４６１，４６２のいずれかに基づいて、通知された情報に適合するデータ消去モードを判別する。ストレージ管理部４１０は、判別したデータ消去モードおよび利用料金を、管理者端末５００に送信する。
【０１３２】
［ステップＳ４３］管理者端末５００は、ストレージ管理部４１０から受信した、データ消去モードおよび利用料金を、推奨案としてディスプレイに表示させる。
管理者は、ディスプレイに表示された情報を参考にして、データ消去モードの選択操作を行うことができる（ステップＳ３５）。
【０１３３】
以上の処理により、データ消去モードの選択操作を支援することができる。なお、例えば、ストレージ管理部４１０は、ステップＳ４２の時点で、管理者端末５００から通知された情報に適合するデータ消去モードをストレージプール管理部４２０に通知することにより、データ消去モードを自動的に設定してもよい。
【０１３４】
次に、図１８は、ホストサーバが仮想ディスクにアクセスする際の処理手順の例を示す図である。
［ステップＳ５１］仮想マシンの運用開始後、ホストサーバ２００の仮想化制御部２１０は、利用者が操作する端末装置（図示せず）から仮想ディスクに対するアクセス要求を受け付ける。仮想化制御部２１０は、仮想ディスク管理テーブル２２０を参照して、利用者端末から受信したアクセス先のアドレスを、論理ユニットにおけるアドレス（ＲＡＩＤグループおよび論理ユニットの識別番号、ＬＢＡ）に変換し、変換後のアドレスをアクセス先として指定して、ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１に対して、アクセス要求を発行する。
【０１３５】
［ステップＳ５２］ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１は、アクセス要求を受け付けると、アクセス先の論理ユニットへのデータ記録時にデータを暗号化するように設定されているかを判定する。ホストＩ／Ｏ処理部３２１は、例えば、暗号キー管理テーブル３４０を参照し、アクセス先の論理ユニットに暗号キーが設定されている場合に、データを暗号化するように設定されていると判定する。あるいは、ホストＩ／Ｏ処理部３２１は、ＲＡＩＤ管理テーブル３３０のレコード３３１のうちアクセス先のＲＡＩＤグループに対応するレコード３３１を参照し、「暗号化設定」の欄に設定された情報から、データを暗号化するように設定されているかを判定してもよい。
【０１３６】
ホストＩ／Ｏ処理部３２１は、データを暗号化するように設定されている場合（Ｓ５２：Ｙｅｓ）には、ステップＳ５３の処理を実行する一方、データを暗号化するように設定されていない場合（Ｓ５２：Ｎｏ）には、ステップＳ５５の処理を実行する。
【０１３７】
［ステップＳ５３］ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０から、アクセス先の論理ユニットに設定されている暗号キーを読み込む。
［ステップＳ５４］ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０から読み込んだ暗号キーを用いて、要求されたアクセス処理を実行する。例えば、ホストＩ／Ｏ処理部３２１は、データの読み出しを要求された場合、アクセス先からデータを読み出し、読み出したデータを暗号キーを用いて復号する。一方、ホストＩ／Ｏ処理部３２１は、データの書き込みを要求された場合、仮想化制御部２１０から受信した書き込みデータを暗号キーを用いて暗号化し、暗号化後の書き込みデータをアクセス先に書き込む。
【０１３８】
［ステップＳ５５］ホストＩ／Ｏ処理部３２１は、暗号化処理および復号処理を行わずに、要求されたアクセス処理を実行する。
［ステップＳ５６］ホストＩ／Ｏ処理部３２１は、ホストサーバ２００の仮想化制御部２１０に対して、要求されたアクセスを完了したことを示す応答を返す。なお、ホストＩ／Ｏ処理部３２１は、データの読み出しを要求されていた場合には、読み出したデータを仮想化制御部２１０に送信する。
【０１３９】
［ステップＳ５７］ホストサーバ２００の仮想化制御部２１０は、ホストＩ／Ｏ処理部３２１からの応答を受信して、利用者端末に応答を返す。
次に、図１９〜図２３は、仮想マシンの運用が終了される際の処理手順を示すフローチャートである。
【０１４０】
［ステップＳ７１］管理者端末５００は、管理者による入力操作に応じて、ホストサーバ２００の仮想化制御部２１０に対して、仮想マシンの識別番号が通知するとともに、通知した仮想マシンの運用終了を要求する。
【０１４１】
［ステップＳ７２］ホストサーバ２００の仮想化制御部２１０は、仮想マシンの運用終了要求を受信すると、対象の仮想マシンの運用を中止する。このとき、仮想化制御部２１０は、仮想ディスク管理テーブル２２０から、対象の仮想マシンに対応する仮想ディスクの情報を削除する。また、仮想化制御部２１０は、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に対して、運用を終了した仮想マシンの識別番号を通知する。
【０１４２】
［ステップＳ７３］インフラストラクチャ管理サーバ４００のストレージプール管理部４２０は、仮想ディスク管理テーブル４５０から、運用が終了された仮想マシンに対応する仮想ディスク（以下、「運用を終了する仮想ディスク」と呼ぶ）を特定し、特定した仮想ディスクに割り当てられている論理ボリュームを抽出する。
【０１４３】
［ステップＳ７４］ストレージプール管理部４２０は、仮想ディスク管理テーブル４５０から、運用を終了する仮想ディスクに設定されているデータ消去モードを抽出する。
なお、ステップＳ７３，Ｓ７４の処理順は逆であってもよい。
【０１４４】
［ステップＳ７５］ストレージプール管理部４２０は、ステップＳ７３，Ｓ７４で参照した仮想ディスク管理テーブル４５０のレコード（すなわち、運用が終了された仮想マシンのレコード）を削除する。
【０１４５】
［ステップＳ７６］ストレージプール管理部４２０は、運用を終了する仮想ディスクの識別情報と、ステップＳ７３，Ｓ７４で抽出した情報とをストレージ管理部４１０に通知する。
【０１４６】
なお、ステップＳ７５，Ｓ７６の処理順は逆であってもよい。
［ステップＳ７７］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０から通知されたデータ消去モードに基づき、初期化データの上書き処理を実行するかを判定する。ストレージ管理部４１０は、上書き処理を実行する場合、すなわち、データ消去モードが第１の消去モードまたは第３の消去モードである場合（Ｓ７７：Ｙｅｓ）には、ステップＳ７８の処理を実行する。一方、ストレージ管理部４１０は、上書き処理を実行しない場合、すなわち、データ消去モードが第２の消去モードである場合（Ｓ７７：Ｎｏ）には、図２１のステップＳ８６の処理を実行する。
【０１４７】
［ステップＳ７８］ストレージ管理部４１０は、初期化データの上書き処理を即時実行する場合、すなわち、データ消去モードが第１の消去モードである場合（Ｓ７８：Ｙｅｓ）には、図２０のステップＳ７９の処理を実行する。一方、ストレージ管理部４１０は、初期化データの上書き処理を即時実行しない場合、すなわち、データ消去モードが第３の消去モードである場合（Ｓ７８：Ｎｏ）には、図２２のステップＳ９１の処理を実行する。
【０１４８】
［ステップＳ７９］データ消去モードが第１の消去モードである場合（Ｓ７８：Ｙｅｓ）、ストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームの識別番号を通知して、通知した論理ボリュームについてのステータスを「初期化中」に変更するように要求する。
【０１４９】
［ステップＳ８０］ステータスの変更要求を受けたストレージプール管理部４２０は、ストレージプール管理テーブル４４０における該当論理ボリュームのステータスを、「使用中」から「初期化中」に変更する。ステータスの変更処理が完了すると、ストレージプール管理部４２０は、ストレージ管理部４１０に対して変更完了を通知する。
【０１５０】
［ステップＳ８１］ストレージ管理部４１０は、論理ボリューム管理テーブル４３０を参照して、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットを特定する。ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、特定した論理ユニットの識別番号を通知して、通知した論理ユニットに対する、第１の消去モードでの上書き処理を開始するように要求する。
【０１５１】
［ステップＳ８２］ストレージ制御装置３０２のデータ消去処理部３２２は、通知された論理ユニットに対する初期化データの上書き処理の実行を開始する。
ここで、他の運用中の仮想マシンが存在する場合、運用中の仮想マシンの仮想ディスクに対するホストサーバ２００からの要求に応じた、ホストＩ／Ｏ処理部３２１によるアクセス処理（ホストアクセス処理）と、データ消去処理部３２２による、ストレージ管理部４１０から通知された論理ユニットに対する初期化データの上書き処理とが、並列に実行される。
【０１５２】
［ステップＳ８３］データ消去処理部３２２は、ストレージ管理部４１０から通知されたすべての論理ユニットに対する初期化データの上書き処理が完了すると、その旨をインフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知する。
【０１５３】
［ステップＳ８４］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを「未使用」に変更するように要求する。
【０１５４】
［ステップＳ８５］ストレージプール管理部４２０は、ストレージプール管理テーブル４４０における、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを、「初期化中」から「未使用」に変更する。これにより、仮想ディスクの運用が終了され、その仮想ディスクに割り当てられていた論理ボリュームが、他の仮想ボリューム用に再利用可能な状態になる。
【０１５５】
なお、仮想ディスクに対する論理ボリュームの割り当てをホストサーバ２００の仮想化制御部２１０が行う構成の場合には、例えば、ストレージプール管理部４２０は、ステップＳ８５でのステータス変更後、仮想化制御部２１０に対して、ステータスを変更した論理ボリュームの識別番号を通知する。仮想化制御部２１０は、通知された論理ボリュームを仮想化ディスクから解放して、その仮想化ディスクの運用を終了する。
【０１５６】
［ステップＳ８６］データ消去モードが第２の消去モードである場合（Ｓ７７：Ｎｏ）、ストレージ管理部４１０は、論理ボリューム管理テーブル４３０を参照して、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットを特定する。ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、特定した論理ユニットの識別番号を通知して、通知した論理ユニットへのアクセスで使用されている暗号キーの変更を要求する。
【０１５７】
［ステップＳ８７］ストレージ制御装置３０２のデータ消去処理部３２２は、ホストＩ／Ｏ処理部３２１に、通知された論理ユニットごとにユニークな暗号キーを新たに生成させ、暗号キー管理テーブル３４０において各論理ユニットに設定された暗号キーを、新たな暗号キーに変更する。
【０１５８】
［ステップＳ８８］データ消去処理部３２２は、ストレージ管理部４１０から通知されたすべての論理ユニットについての暗号キー変更処理を完了すると、その旨をストレージ管理部４１０に通知する。
【０１５９】
［ステップＳ８９］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを「未使用」に変更するように要求する。
【０１６０】
［ステップＳ９０］ストレージプール管理部４２０は、ストレージプール管理テーブル４４０における、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを、「使用中」から「未使用」に変更する。これにより、仮想ディスクの運用が終了され、その仮想ディスクに割り当てられていた論理ボリュームが、他の仮想ボリューム用に再利用可能な状態になる。
【０１６１】
なお、仮想ディスクに対する論理ボリュームの割り当てをホストサーバ２００の仮想化制御部２１０が行う構成の場合には、例えば、ストレージプール管理部４２０は、ステップＳ９０でのステータス変更後、仮想化制御部２１０に対して、ステータスを変更した論理ボリュームの識別番号を通知する。仮想化制御部２１０は、通知された論理ボリュームを仮想化ディスクから解放して、その仮想化ディスクの運用を終了する。
【０１６２】
上記のステップＳ８６〜Ｓ９０における、第２の消去モードでのデータ消去処理では、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットの暗号キーを変更するだけで、それらの論理ボリュームが仮想ディスクから解放されて、他の仮想ディスク用に再利用可能な状態になる。このため、第１の消去モードでのデータ消去処理と比較して、ごく短時間に、使用されていた論理ボリュームを再利用可能な状態に遷移させることができ、ストレージリソースを効率よく運用できる。
【０１６３】
［ステップＳ９１］データ消去モードが第３の消去モードである場合（Ｓ７８：Ｎｏ）、ストレージ管理部４１０は、運用を終了する仮想マシンおよび仮想ディスクの各識別番号を通知して、データ消去管理テーブル３５０への新規レコードの生成を要求する。
【０１６４】
［ステップＳ９２］ストレージ制御装置３０２のデータ消去処理部３２２は、データ消去管理テーブル３５０に対して、ストレージ管理部４１０から通知された仮想マシンおよび仮想ディスクについてのレコードを生成する。データ消去処理部３２２は、レコード生成が完了すると、その旨をインフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知する。
【０１６５】
［ステップＳ９３］ストレージ管理部４１０は、論理ボリューム管理テーブル４３０を参照して、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットを特定する。ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、特定した論理ユニットの識別番号を通知して、通知した論理ユニットへのアクセスで使用されている暗号キーの変更を要求する。
【０１６６】
［ステップＳ９４］ストレージ制御装置３０２のストレージ制御部３２０は、ホストＩ／Ｏ処理部３２１に、通知された論理ユニットごとにユニークな暗号キーを新たに生成させ、暗号キー管理テーブル３４０において各論理ユニットに設定された暗号キーを、新たな暗号キーに変更する。
【０１６７】
［ステップＳ９５］データ消去処理部３２２は、ストレージ管理部４１０から通知されたすべての論理ユニットについての暗号キー変更処理を完了すると、その旨をストレージ管理部４１０に通知する。
【０１６８】
［ステップＳ９６］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを「未使用」に変更するように要求する。
【０１６９】
［ステップＳ９７］ストレージプール管理部４２０は、ストレージプール管理テーブル４４０における、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを、「使用中」から「未使用」に変更する。これにより、仮想ディスクの運用が終了され、その仮想ディスクに割り当てられていた論理ボリュームが、他の仮想ボリューム用に再利用可能な状態になる。ステータスの変更処理が完了すると、ストレージプール管理部４２０は、ストレージ管理部４１０に対して変更完了を通知する。
【０１７０】
なお、仮想ディスクに対する論理ボリュームの割り当てをホストサーバ２００の仮想化制御部２１０が行う構成の場合には、例えば、ストレージプール管理部４２０は、ステップＳ９７でのステータス変更後、仮想化制御部２１０に対して、ステータスを変更した論理ボリュームの識別番号を通知する。仮想化制御部２１０は、通知された論理ボリュームを仮想化ディスクから解放して、その仮想化ディスクの運用を終了する。
【０１７１】
［ステップＳ９８］ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、ステップＳ９３で特定した論理ユニットの識別番号を通知して、通知した論理ユニットに対する第３の消去モードでの上書き処理を開始するように要求する。
【０１７２】
［ステップＳ９９］ストレージ制御装置３０２のデータ消去処理部３２２は、ステップＳ９２でデータ消去管理テーブル３５０に生成したレコードに、ストレージ管理部４１０から通知された論理ユニットを登録し、各論理ユニットについての単位領域の先頭ＬＢＡを展開する。これにより、データ消去管理テーブル３５０に対して、第３の消去モードでのデータ消去対象領域全体のアドレスが登録される。なお、データ消去管理テーブル３５０に展開されたＬＢＡに対応する実行状態は、すべて「未処理」に設定される。
【０１７３】
［ステップＳ１００］データ消去処理部３２２は、データ消去管理テーブル３５０において実行状態として「未処理」が設定された、論理ユニット内の領域に対して、初期化データの上書き処理を実行する。
【０１７４】
ここで、運用終了対象の仮想ディスクに割り当てられていた論理ボリュームは、ステップＳ９７の時点で他の仮想ディスクに割当可能な状態とされる。このため、ステップＳ９９でデータ消去処理部３２２に通知された消去対象領域の中には、初期化データが上書きされるより前に、他の仮想ディスクに割り当てられてホストサーバ２００からのデータ書き込みが行われる領域が発生し得る。このように、ホストサーバ２００からデータ書き込みが行われた領域については、データ消去管理テーブル３５０の実行状態が「上書き済み」に更新される。
【０１７５】
なお、次の図２４，図２５に示すように、第３の消去モードでの上書き処理は、ホストアクセス処理を実行していない時間帯に実行される。
上記のステップＳ９１〜Ｓ１００における、第３の消去モードが設定されている場合の処理では、第２の消去モードと同様に、暗号キーが変更されるとすぐに、仮想ディスクに割り当てられていた論理ボリュームが解放されて、別の仮想ディスク用に再利用可能な状態になる。さらにその後、ホストアクセス処理が実行されていない時間帯において、上書き処理の実行状態が「未処理」の領域に対してのみ、初期化データの上書き処理が実行される。
【０１７６】
次に、図２４，図２５は、ストレージ制御部でのホストアクセス処理および第３の消去モードでの上書き処理の手順の例を示すフローチャートである。
［ステップＳ１１１］ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１は、ホストサーバ２００の仮想化制御部２１０から受領済みのアクセス要求があるかを判定する。例えば、ホストＩ／Ｏ処理部３２１は、仕掛かり中の制御コマンドを保持するキューに、仮想化制御部２１０からのアクセス要求コマンドがあるかを判定する。ホストＩ／Ｏ処理部３２１は、受領済みのアクセス要求がある場合（Ｓ１１１：Ｙｅｓ）、ステップＳ１１２の処理を実行する一方、受領済みのアクセス要求がない場合（Ｓ１１１：Ｎｏ）、図２５のステップＳ１１９の処理を実行する。
【０１７７】
［ステップＳ１１２］ホストＩ／Ｏ処理部３２１は、仮想化制御部２１０から受領済みのアクセス要求のうち最も先に受領したアクセス要求が、読み出し処理であるか、書き込み処理であるかを判定する。ホストＩ／Ｏ処理部３２１は、要求された処理が読み出し処理である場合（Ｓ１１２：Ｙｅｓ）、ステップＳ１１３の処理を実行する一方、要求された処理が書き込み処理である場合（Ｓ１１２：Ｎｏ）、ステップＳ１１４の処理を実行する。
【０１７８】
［ステップＳ１１３］ホストＩ／Ｏ処理部３２１は、最も先に受領したアクセス要求に応じて、仮想ディスクに割り当てられた物理記憶領域からの読み出し処理を実行する。この後、ステップＳ１１１の処理に戻り、仮想化制御部２１０から受領済みのアクセス要求があるかが再度判定される。
【０１７９】
［ステップＳ１１４］ホストＩ／Ｏ処理部３２１は、最も先に受領したアクセス要求に応じて、仮想ディスクに割り当てられた物理記憶領域に対する書き込み処理を実行する。
［ステップＳ１１５］ホストＩ／Ｏ処理部３２１は、書き込みに成功した場合（Ｓ１１５：Ｙｅｓ）には、仮想化制御部２１０に対して書き込み完了の応答を行い、ステップＳ１１６の処理を実行する。一方、ホストＩ／Ｏ処理部３２１は、書き込みに失敗した場合（Ｓ１１５：Ｎｏ）には、仮想化制御部２１０に対して書き込み失敗の応答を行い、ステップＳ１１１に戻り、仮想化制御部２１０から受領済みのアクセス要求があるかを再度判定する。
【０１８０】
［ステップＳ１１６］ホストＩ／Ｏ処理部３２１は、データ消去管理テーブル３５０から、ステップＳ１１４での書き込み先領域に対応するＬＢＡを検索する。
［ステップＳ１１７］ホストＩ／Ｏ処理部３２１は、データ消去管理テーブル３５０に、書き込み先領域に対応するＬＢＡが登録されている場合（Ｓ１１７：Ｙｅｓ）、ステップＳ１１８の処理を実行する。一方、ホストＩ／Ｏ処理部３２１は、書き込み先領域に対応するＬＢＡが登録されていない場合（Ｓ１１７：Ｎｏ）、ステップＳ１１１に戻り、仮想化制御部２１０から受領済みのアクセス要求があるかを再度判定する。
【０１８１】
［ステップＳ１１８］ホストＩ／Ｏ処理部３２１は、データ消去管理テーブル３５０における、書き込み先領域に対応するＬＢＡの実行状態を、「未処理」から「上書き済み」に変更する。これにより、実行状態が変更された領域は、初期化データの上書き処理対象から除外される。この後、図２５のステップＳ１２４の処理が実行される。
【０１８２】
［ステップＳ１１９］データ消去処理部３２２は、データ消去管理テーブル３５０から、実行状態が「未処理」であるＬＢＡを選択する。なお、この処理では、連続する複数のＬＢＡ（例えば、所定数以下のＬＢＡ）の実行状態が「未処理」である場合には、それらのＬＢＡが上書き対象領域として選択されてもよい。
【０１８３】
［ステップＳ１２０］データ消去処理部３２２は、ステップＳ１１９でＬＢＡを選択できた場合（Ｓ１２０：Ｙｅｓ）、ステップＳ１２１の処理を実行する。一方、ステップＳ１１９で「未処理」のＬＢＡが存在しなかった場合（Ｓ１２０：Ｎｏ）、図２４のステップＳ１１１が実行される。
【０１８４】
［ステップＳ１２１］データ消去処理部３２２は、ステップＳ１１９で選択したＬＢＡに対応する物理記憶領域に対して、初期化データを上書きする。
［ステップＳ１２２］データ消去処理部３２２は、初期化データの上書きに成功した場合（Ｓ１２２：Ｙｅｓ）、ステップＳ１２３の処理を実行する。一方、初期化データの上書きに失敗した場合（Ｓ１２２：Ｎｏ）、図２４のステップＳ１１１の処理が実行される。
【０１８５】
［ステップＳ１２３］データ消去処理部３２２は、データ消去管理テーブル３５０における、ステップＳ１２１での上書き対象ＬＢＡに対応する「実行状態」を、「未処理」から「上書き済み」に変更する。
【０１８６】
［ステップＳ１２４］データ消去処理部３２２は、データ消去管理テーブル３５０を参照し、ステップＳ１２３で「実行状態」を変更したＬＢＡが属する仮想ディスクのレコードにおいて、すべてのＬＢＡに対応する「実行状態」が「上書き済み」であるかを判定する。データ消去処理部３２２は、レコード内のすべてのＬＢＡに対応する「実行状態」が「上書き済み」である場合（Ｓ１２４：Ｙｅｓ）、ステップＳ１２５の処理を実行する。一方、レコード内に「実行状態」が「未処理」であるＬＢＡが１つでもある場合（Ｓ１２４：Ｎｏ）、図２４のステップＳ１１１の処理が実行される。
【０１８７】
［ステップＳ１２５］データ消去処理部３２２は、データ消去管理テーブル３５０から、ステップＳ１２３で「実行状態」を変更したＬＢＡが属する仮想ディスクおよび仮想マシンのレコードを削除する。これにより、運用が終了済みである１つの仮想ディスクについての第３の消去モードでのデータ消去処理が完了する。この後、図２４のステップＳ１１１の処理が実行される。
【０１８８】
以上の図２４，図２５の処理によれば、運用が終了済みである１つの仮想ディスクに割り当てられていた全論理ユニット（全論理ボリューム）の記憶領域において、ステップＳ１１４でのホストサーバ２００からの要求に応じたデータ書き込みが行われていた領域を除く領域に対してのみ、ステップＳ１２１での初期化データの上書きが実行される。これにより、運用が終了された仮想ディスクに割り当てられていた論理ボリュームが即座に再利用可能に遷移させることが可能になる。なぜなら、論理ボリュームが他の仮想ディスク用として再利用され、再利用された領域に新たなデータが書き込まれた場合に、その領域に対して初期化データが上書きされる事態を防止できるからである。
【０１８９】
また、再利用された領域に新たなデータが書き込まれた場合には、その領域に対する初期化データの上書きがスキップされることから、初期化データの上書き対象領域が小さくなり、初期化データの上書き処理全体に要する時間が短縮される。また、初期化データの上書き処理がホストＩ／Ｏ処理に与える影響を小さくすることもできる。
【０１９０】
また、第１のデータ消去モードでの上書き処理は、ホストサーバ２００の仮想化制御部２１０からのアクセス要求を受領していた場合でも、それらのアクセス要求に応じたアクセス処理と並列に実行される。このため、上書き処理の実行によって、ホストＩ／Ｏ処理の性能（速度）が低下する可能性がある。これに対して、ステップＳ１２１での初期化データの上書き処理は、ホストサーバ２００の仮想化制御部２１０からのアクセス要求を受領していない期間にのみ実行される。このため、第３のデータ消去モードでの上書き処理（Ｓ１２１）は、ホストＩ／Ｏ処理の性能に影響を与えない。
【０１９１】
なお、上記のインフラストラクチャ管理サーバ４００が備えるストレージ管理部４１０およびストレージプール管理部４２０の各機能のうちの少なくとも一部は、ホストサーバ２００が備えていてもよい。また、例えば、ホストサーバ２００がストレージプール管理部４２０を備える場合には、ストレージプール管理テーブル４４０および仮想ディスク管理テーブル４５０も、ホストサーバ２００内の記憶装置に保持されてもよい。
【０１９２】
以上の各実施の形態に関し、さらに以下の付記を開示する。
（付記１） 記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部と、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部と、
管理装置から、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域の指定を受けるとともに、指定された分割領域に記録されたデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、前記指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部と、
を有することを特徴とするストレージ装置。
【０１９３】
（付記２） 前記データ無効化処理部は、前記指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする付記１記載のストレージ装置。
【０１９４】
（付記３） 前記データ無効化処理部は、前記指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする付記２記載のストレージ装置。
【０１９５】
（付記４） 前記データ無効化処理部は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする付記２または３記載のストレージ装置。
【０１９６】
（付記５） 前記データ無効化処理部は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする付記４記載のストレージ装置。
【０１９７】
（付記６） 前記データ無効化処理部は、前記指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする付記２〜５のいずれか１つに記載のストレージ装置。
【０１９８】
（付記７） 無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた、記憶装置の記憶領域を分割して得られた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示する管理装置と、
複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部、および、
前記管理装置からデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部、
を備えるストレージ装置と、
を有することを特徴とするストレージシステム。
【０１９９】
（付記８） 前記データ無効化処理部は、前記無効化対象として指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする付記７記載のストレージシステム。
【０２００】
（付記９） 前記データ無効化処理部は、前記無効化対象として指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする付記８記載のストレージシステム。
【０２０１】
（付記１０） 前記管理装置は、前記無効化対象の仮想記憶領域に割り当てられていた分割領域に記録されたデータの無効化を前記ストレージ装置に指示すると、当該分割領域を、他の仮想記憶領域に割り当て可能な状態に遷移させることを特徴とする付記９記載のストレージシステム。
【０２０２】
（付記１１） 前記データ無効化処理部は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする付記８〜１０のいずれか１つに記載のストレージシステム。
【０２０３】
（付記１２） 前記データ無効化処理部は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする付記１１記載のストレージシステム。
【０２０４】
（付記１３） 前記データ無効化処理部は、前記無効化対象として指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする付記８〜１２のいずれか１つに記載のストレージシステム。
【０２０５】
（付記１４） ストレージ装置が、記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部を参照し、データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込み、
管理装置が、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示し、
前記ストレージ装置が、前記管理装置からのデータの無効化指示に応じて、前記暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化する、
ことを特徴とするストレージ制御方法。
【０２０６】
（付記１５） 前記ストレージ装置は、前記無効化対象として指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする付記１４記載のストレージ制御方法。
【０２０７】
（付記１６） 前記ストレージ装置は、前記無効化対象として指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする付記１５記載のストレージ制御方法。
【０２０８】
（付記１７） 前記管理装置は、前記無効化対象の仮想記憶領域に割り当てられていた分割領域に記録されたデータの無効化を前記ストレージ装置に指示すると、当該分割領域を、他の仮想記憶領域に割り当て可能な状態に遷移させることを特徴とする付記１６記載のストレージ制御方法。
【０２０９】
（付記１８） 前記ストレージ装置は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする付記１５〜１７のいずれか１つに記載のストレージ制御方法。
【０２１０】
（付記１９） 前記ストレージ装置は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする付記１８記載のストレージ制御方法。
【０２１１】
（付記２０） 前記ストレージ装置は、前記無効化対象として指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする付記１５〜１９のいずれか１つに記載のストレージ制御方法。
【符号の説明】
【０２１２】
１ ストレージシステム
１０ ストレージ制御装置
１１ アクセス処理部
１２ データ無効化処理部
１３ 暗号キー記憶部
２０ 管理装置
２１ データ無効化制御部
３１〜３４ 記憶装置
４１，４２ 仮想記憶領域
Ａ１〜Ａ４，Ａ１１〜Ａ１４ 分割領域
【技術分野】
【０００１】
本発明は、ストレージ装置およびストレージシステムに関する。
【背景技術】
【０００２】
ＨＤＤ（Hard Disk Drive）などの記憶装置に対してデータを暗号化して記録するストレージ装置が知られている。このようなストレージ装置では、暗号化されて記録されたデータの復号に用いる暗号キーを抹消することで、記録されていたデータを読み出すことが不可能になるので、記録されていたデータをごく短時間で実質的に消去することができる。
【０００３】
また、暗号キーの抹消によるデータ消去方法を用いたストレージ装置の例として、論理ボリュームごとに異なる暗号キーを用いてデータを暗号化して記録し、暗号キーを抹消することで、論理ボリューム単位でデータの消去を行うようにしたものがある。さらに、仮想化されたボリュームに対してデータを暗号化して記録するようにしたストレージ装置もある。
【０００４】
一方、近年、サーバコンピュータを仮想マシンと呼ばれる複数台の仮想的なコンピュータに分割して、各仮想マシンに別のＯＳ（Operating System）プログラムやアプリケーションプログラムを実行させるサーバ仮想化技術が注目されている。サーバ仮想化技術を利用することで、プロセッサやメモリ、通信回線などのコンピュータシステムのハードウェア資源を、需要に応じて柔軟に配分できるようになり、ハードウェア資源を効率よく運用できる。また、サーバ仮想化技術を用いて構築された仮想マシンに対しては、ディスクボリュームも仮想ディスクとして仮想的に構築されることが多い。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−２２５４３７号公報
【特許文献２】特開２００８−１０８０３９号公報
【特許文献３】特開２０１０―１１３５０９号公報
【特許文献４】特開２００９−１６３５４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
仮想マシンの運用を終了する際に、その仮想マシンに構築された仮想ディスクに記録されていたデータを、暗号キーの抹消によって短時間に消去したいという要求がある。しかしながら、仮想マシンを実現するシステムでは、仮想ディスクに対する物理記憶領域の割り当てが、物理記憶領域に対して記録するデータの暗号化および暗号キーの管理を行うストレージ制御装置とは別の装置によって行われる場合が多い。
【０００７】
このように、仮想ディスクに対する物理記憶領域の割り当てがストレージ制御装置とは別の装置によって行われるシステムでは、ストレージ制御装置は、仮想ディスクに対する物理記憶領域の割り当てを何ら意識せずに、記録するデータの暗号化や暗号キーの管理を行う。このため、仮想ディスク単位で暗号キーを抹消することが難しい。
【０００８】
１つの側面では、本発明は、仮想記憶領域に記録されたデータを短時間で無効化できるようにしたストレージ装置およびストレージシステムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するために、ストレージ装置が提供される。このストレージ装置は、暗号キー記憶部、アクセス処理部およびデータ無効化処理部を有する。暗号キー記憶部には、記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録される。アクセス処理部は、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データをデータ書き込み先の分割領域に書き込む。データ無効化処理部は、管理装置から、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域の指定を受けるとともに、指定された分割領域に記録されたデータの無効化指示を受けると、暗号キー記憶部に記録された暗号キーのうち、指定された分割領域に対応付けられた暗号キーを無効化する。
【００１０】
また、上記目的を達成するために、管理装置とストレージ装置とを有するストレージシステムが提供される。管理装置は、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた、記憶装置の記憶領域を分割して得られた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示する。ストレージ装置は、暗号キー記憶部、アクセス処理部およびデータ無効化処理部を備える。暗号キー記憶部には、複数の分割領域のそれぞれに対応付けられた暗号キーが記録される。アクセス処理部は、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データをデータ書き込み先の分割領域に書き込む。データ無効化処理部は、管理装置からデータの無効化指示を受けると、暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化する。
【発明の効果】
【００１１】
１態様によれば、仮想記憶領域に記録されたデータを短時間で無効化することができる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施の形態に係るストレージシステムの構成例を示す図である。
【図２】第２の実施の形態に係る情報処理システムのシステム構成例を示す図である。
【図３】ストレージ制御装置のハードウェア構成例を示す図である。
【図４】仮想ディスクに対する記憶領域の割り当てについて示す図である。
【図５】ホストサーバ、ストレージ制御装置およびインフラストラクチャ管理サーバの処理機能の構成例を示すブロック図である。
【図６】ＲＡＩＤ管理テーブルに登録される情報の例を示す図である。
【図７】暗号キー管理テーブルに登録される情報の例を示す図である。
【図８】データ消去管理テーブルに登録される情報の例を示す図である。
【図９】論理ボリューム管理テーブルに登録される情報の例を示す図である。
【図１０】ストレージプール管理テーブルに登録される情報の例を示す図である。
【図１１】仮想ディスク管理テーブルに登録される情報の例を示す図である。
【図１２】ストレージプールに登録される論理ボリュームと、論理ボリュームを構成する物理記憶領域のアクセス性能との関係の例を示す図である。
【図１３】サービス対応テーブルの例を示す図である。
【図１４】仮想マシンおよび仮想ディスクを構築するための前処理手順の例を示すフローチャート（その１）である。
【図１５】仮想マシンおよび仮想ディスクを構築するための前処理手順の例を示すフローチャート（その２）である。
【図１６】仮想マシン構築時の処理手順の例を示すフローチャートである。
【図１７】データ消去モードの推奨処理手順の例を示すフローチャートである。
【図１８】ホストサーバが仮想ディスクにアクセスする際の処理手順の例を示す図である。
【図１９】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その１）である。
【図２０】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その２）である。
【図２１】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その３）である。
【図２２】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その４）である。
【図２３】仮想マシンの運用が終了される際の処理手順を示すフローチャート（その５）である。
【図２４】ストレージ制御部でのホストアクセス処理および第３の消去モードでの上書き処理の手順の例を示すフローチャート（その１）である。
【図２５】ストレージ制御部でのホストアクセス処理および第３の消去モードでの上書き処理の手順の例を示すフローチャート（その２）である。
【発明を実施するための形態】
【００１３】
以下、実施の形態について図面を参照して詳細に説明する。
〔第１の実施の形態〕
図１は、第１の実施の形態に係るストレージシステムの構成例を示す図である。
【００１４】
図１に示すストレージシステム１は、ストレージ装置１０と、管理装置２０とを備える。また、ストレージ装置１０には、複数の記憶装置が接続されている。図１では例として、ストレージ装置１０には、記憶装置３１〜３４が接続されている。記憶装置３１〜３４は、ＨＤＤ、ＳＳＤ（Solid State Drive）などの不揮発性記憶装置である。
【００１５】
ストレージ装置１０は、アクセス処理部１１、データ無効化処理部１２および暗号キー記憶部１３を備える。アクセス処理部１１およびデータ無効化処理部１２の処理は、例えば、ストレージ装置１０が備えるＣＰＵ（Central Processing Unit）が所定のプログラムを実行することで実現される。暗号キー記憶部１３は、例えば、ＨＤＤなどの不揮発性記憶装置によって実現される。
【００１６】
アクセス処理部１１は、複数の記憶装置３１〜３４の記憶領域を分割した分割領域ごとに、個別の暗号キーを用いてデータを暗号化して書き込む。暗号キー記憶部１３には、複数の記憶装置３１〜３４を分割して得られた分割領域ごとに、暗号キーが対応付けて記録されている。
【００１７】
アクセス処理部１１は、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部１３から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データをデータ書き込み先の分割領域に書き込む。
【００１８】
図１の例では、記憶装置３１，３２による物理記憶領域が、４つの分割領域Ａ１〜Ａ４に分割され、記憶装置３３，３４による物理記憶領域も、４つの分割領域Ａ１１〜Ａ１４に分割されている。ここで、記憶装置３１，３２は、例えば、所定のＲＡＩＤ（Redundant Arrays of Inexpensive Disks）レベルでデータ記録が制御されるＲＡＩＤグループに属する。また、記憶装置３３，３４も同様に、所定のＲＡＩＤレベルでデータ記録が制御されるＲＡＩＤグループに属する。
【００１９】
アクセス処理部１１は、分割領域Ａ１〜Ａ４，Ａ１１〜Ａ１４のそれぞれに対するデータの書き込み時に、データ書き込み先の分割領域に対応する暗号キーを暗号キー記憶部１３から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化する。アクセス処理部１１は、暗号化して得られた暗号化データを、データ書き込み先の分割領域に書き込む。
【００２０】
データ無効化処理部１２は、管理装置２０からの指示に応じて、記憶装置３１〜３４の記憶領域に記録されたデータの無効化処理を実行する。データ無効化処理部１２は、データ無効化方法の１つとして、分割領域で暗号化に用いる暗号キーを無効化することで、その分割領域のデータを読み出し不可能にし、そのデータを実質的に消去する方法を用いることができる。ここで言う暗号キーの無効化とは、元の暗号キーをなくすことであり、元の暗号キーを新たな暗号キーに変更することを含む。
【００２１】
管理装置２０は、例えば、データ無効化制御部２１を備える。データ無効化制御部２１の処理は、例えば、管理装置２０が備えるＣＰＵが所定のプログラムを実行することで実現される。データ無効化制御部２１は、仮想記憶領域の運用を終了するなどのタイミングで、仮想記憶領域に記録されたデータを無効化するように、データ無効化処理部１２に指示する。また、データ無効化制御部２１は、データ無効化方法の一例として、無効化対象の仮想記憶領域に割り当てられている分割領域について、暗号化に用いる暗号キーを無効化させる。
【００２２】
ここで、上記のストレージシステム１では、物理記憶領域（すなわち、記憶装置３１〜３４による記憶領域）が仮想的に割り当てられた仮想記憶領域を構築可能になっている。仮想記憶領域には、物理記憶領域が分割領域を単位として割り当てられる。換言すると、ストレージシステム１では、仮想記憶領域に対する物理記憶領域の割り当て単位が、それぞれ個別の暗号キーが設定される記憶領域の単位（分割領域）と一致するように、仮想記憶領域が構築される。
【００２３】
これにより、データ無効化制御部２１は、無効化対象の仮想記憶領域に割り当てられている分割領域に対応付けられた暗号キーを無効化するように指示することで、仮想記憶領域を単位として、暗号キーの無効化によるデータ無効化処理をデータ無効化処理部１２に実行させることができるようになる。従って、仮想記憶領域に記録されていたデータを、暗号キーの無効化によって短時間に無効化することができる。
【００２４】
図１の例では、物理領域として分割領域Ａ１，Ａ２，Ａ１１，Ａ１２が割り当てられた仮想記憶領域４１と、物理領域として分割領域Ａ１３，Ａ１４，Ａ３，Ａ４が割り当てられた仮想記憶領域４２とが構築されている。この状態から、例えば、仮想記憶領域４１の運用が終了される場合、データ無効化制御部２１は、データ無効化処理部１２に対して、分割領域Ａ１３，Ａ１４，Ａ３，Ａ４のそれぞれに対応する暗号キーの無効化を指示する。
【００２５】
暗号キーの無効化指示を受けたデータ無効化処理部１２は、暗号キー記憶部１３において分割領域Ａ１３，Ａ１４，Ａ３，Ａ４のそれぞれに対応付けられた暗号キーを無効化する。これにより、仮想記憶領域４１に記録されていたデータは、暗号キーの無効化というごく短時間で実行可能な処理によって無効化される。
【００２６】
また、データが無効化された分割領域については、他の仮想記憶領域に割り当て可能な状態に遷移させることができる。この場合、仮想記憶領域の運用が終了されてからごく短時間で、その仮想記憶領域に割り当てられていた分割領域を、他の仮想記憶領域に割り当て可能になるので、物理記憶領域を効率よく利用できるようになる。
【００２７】
〔第２の実施の形態〕
図２は、第２の実施の形態に係る情報処理システムのシステム構成例を示す図である。図２に示す情報処理システム１００は、ホストサーバ２００、ストレージ装置３００、インフラストラクチャ管理サーバ４００および管理者端末５００を含む。
【００２８】
ホストサーバ２００とストレージ装置３００とは、ネットワーク１０１を介して接続されている。ネットワーク１０１は、例えば、ＦＣ（Fibre Channel）、ｉＳＣＳＩ（SCSI：Small Computer System Interface）などに従って通信が行われるＳＡＮ（Storage Area Network）である。ホストサーバ２００、インフラストラクチャ管理サーバ４００および管理者端末５００は、ネットワーク１０２を介して互いに接続され、ストレージ装置３００、インフラストラクチャ管理サーバ４００および管理者端末５００は、ネットワーク１０３を介して接続されている。ネットワーク１０２，１０３は、例えば、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）などに従って通信が行われるＬＡＮ（Local Area Network）である。
【００２９】
ホストサーバ２００は、サーバ装置を仮想化した仮想マシンを構築する。ホストサーバ２００は、ホストサーバ２００自身が持つハードウェア資源や、ストレージ装置３００内の記憶装置によるストレージ資源を、ソフトウェア制御によって配分することで、仮想マシンを構築する。
【００３０】
ストレージ装置３００は、１つまたは複数のディスクアレイ装置３０１と、ストレージ制御装置３０２とを備える。ディスクアレイ装置３０１は、それぞれ複数のＨＤＤを備える。ディスクアレイ装置３０１内のＨＤＤによって実現される物理記憶領域の少なくとも一部は、仮想マシンの記憶領域（仮想ディスク）として割り当てられる。なお、ディスクアレイ装置３０１に搭載される記憶装置は、例えばＳＳＤでもよい。
【００３１】
ストレージ制御装置３０２は、ホストサーバ２００などからのアクセス要求に応じて、ディスクアレイ装置３０１内のＨＤＤにアクセスする。また、ストレージ制御装置３０２は、ディスクアレイ装置３０１に対して記録するデータを暗号化する機能や、その暗号化や復号に用いる暗号キーを生成する機能を備える。さらに、ストレージ制御装置３０２は、インフラストラクチャ管理サーバ４００からの要求に応じて暗号キーを変更することもできる。
【００３２】
インフラストラクチャ管理サーバ４００は、ディスクアレイ装置３０１内のＨＤＤによる物理記憶領域のうち、仮想マシンの仮想ディスクに割り当て可能な記憶領域を、各種のテーブルを用いて管理する。仮想マシンの仮想ディスクに割り当て可能な記憶領域は「ストレージプール」と呼ばれ、インフラストラクチャ管理サーバ４００は、ホストサーバ２００からの要求に応じて、仮想ディスクに対してストレージプールから記憶領域を割り当てる。
【００３３】
また、インフラストラクチャ管理サーバ４００は、仮想ディスクの運用が終了して、その仮想ディスクに割り当てられていた記憶領域が解放されたとき、解放された記憶領域におけるデータ消去をストレージ制御装置３０２に実行させる。データ消去の基本的な方法としては、「０」などの所定の値を上書きする方法と、記憶領域へのデータ記録に使用されていた暗号キーを変更する方法とがある。
【００３４】
管理者端末５００は、情報処理システム１００を管理する管理者によって操作される端末装置である。管理者は、管理者端末５００を用いて、例えば、ストレージ装置３００における論理ボリュームの設定、ストレージプールの設定、仮想サーバや仮想ディスクの新規設定などを行うことができる。
【００３５】
図３は、ストレージ制御装置のハードウェア構成例を示す図である。
ストレージ制御装置３０２は、ＣＰＵ３１１によって装置全体が制御されている。ＣＰＵ３１１には、ＲＡＭ（Random Access Memory）３１２および複数の周辺機器が、バス３１８を介して接続されている。ＲＡＭ３１２は、ストレージ制御装置３０２の主記憶装置として使用され、ＣＰＵ３１１に実行させるプログラムの少なくとも一部や、このプログラムによる処理に必要な各種データを一時的に記憶する。
【００３６】
ＣＰＵ３１１には、周辺機器の例として、ＳＳＤ３１３、入力Ｉ／Ｆ（インタフェース）３１４、ネットワークＩ／Ｆ３１５，３１６およびディスクＩ／Ｆ３１７が接続されている。
【００３７】
ＳＳＤ３１３は、ストレージ制御装置３０２の二次記憶装置として使用され、ＣＰＵ３１１によって実行されるプログラムやその実行に必要な各種のデータなどを記憶する。なお、二次記憶装置としては、例えば、ＨＤＤなどの他の種類の不揮発性記憶装置が使用されてもよい。
【００３８】
入力Ｉ／Ｆ３１４には、操作キーなどを備える入力装置３１４ａが接続されている。入力Ｉ／Ｆ３１４は、入力装置３１４ａに対する操作入力に応じた信号をＣＰＵ３１１に出力する。
【００３９】
ネットワークＩ／Ｆ３１５は、ネットワーク１０１を通じて、ホストサーバ２００との間でデータを送受信する。ネットワークＩ／Ｆ３１６は、ネットワーク１０３を通じて、インフラストラクチャ管理サーバ４００や管理者端末５００との間でデータを送受信する。
【００４０】
ディスクＩ／Ｆ３１７は、ＣＰＵ３１１からの要求に応じて、ディスクアレイ装置３０１内のＨＤＤに対するデータの書き込みや、ＨＤＤからのデータの読み出しを行う。ディスクＩ／Ｆ３１７は、ディスクアレイ装置３０１内のＨＤＤと、例えばＳＡＳ（Serial Attached SCSI）に従って通信する。
【００４１】
なお、ホストサーバ２００、インフラストラクチャ管理サーバ４００および管理者端末５００についても、ストレージ制御装置３０２と同様のハードウェア構成を有するコンピュータとして実現可能である。
【００４２】
図４は、仮想ディスクに対する記憶領域の割り当てについて示す図である。
ホストサーバ２００は、仮想化制御部２１０を備え、仮想化制御部２１０の制御の下で仮想マシンを構築する。図４の例では、３つの仮想マシンＶＭ＃０１〜ＶＭ＃０３が構築されている。各仮想マシンでは、ＯＳプログラムや各種のアプリケーションプログラム（図４では「アプリ」と表記）が、仮想化制御部２１０の下で実行される。
【００４３】
また、各仮想マシンには、ストレージ資源として仮想ディスクが割り当てられる。図４の例では、仮想マシンＶＭ＃０１，ＶＭ＃０２，ＶＭ＃０３に対してそれぞれ仮想ディスクＶＤ＃０１，ＶＤ＃０２，ＶＤ＃０３が割り当てられている。仮想ディスクの記憶領域は、ストレージプール３０３から割り当てられる。
【００４４】
ストレージプール３０３には、ストレージ装置３００のディスクアレイ装置３０１内のＨＤＤによる物理記憶領域のうち、仮想ディスクに割り当て可能な領域が、論理記憶領域（以下、論理ボリュームと呼ぶ）を単位として登録されている。各論理ボリュームは、例えば、同一の記憶容量を有する。ストレージプール３０３に登録された論理ボリュームと、各論理ボリュームの使用状態とは、インフラストラクチャ管理サーバ４００が保持するストレージプール管理テーブル（後述）によって管理される。
【００４５】
仮想ディスクには、ストレージプール３０３に登録された、未使用状態の論理ボリュームが割り当てられる。図４の例では、仮想ディスクＶＤ＃０１に対して論理ボリュームＬＶ＃１１，ＬＶ＃２１，ＬＶ＃３１が割り当てられ、仮想ディスクＶＤ＃０２に対して論理ボリュームＬＶ＃１２，ＬＶ＃２２が割り当てられ、仮想ディスクＶＤ＃０３に対して論理ボリュームＬＶ＃３２，ＬＶ＃１３，ＬＶ＃２３，ＬＶ＃３３が割り当てられている。仮想ディスクの容量は、ストレージプール３０３の論理ボリュームの新規割り当ておよび解放を行うことで、適宜増減することができる。仮想ディスクに割り当てられた論理ボリュームは、ストレージプール３０３において使用中状態として管理され、仮想ディスクから解放された論理ボリュームは、ストレージプール３０３において未使用領域として管理される。
【００４６】
一方、ストレージ制御装置３０２は、ディスクアレイ装置３０１内のＨＤＤによる物理記憶領域を、ＲＡＩＤグループを単位として管理する。ＲＡＩＤグループは、複数のＨＤＤの物理記憶領域を組み合わせて構成される論理記憶領域である。各ＲＡＩＤグループには任意のＲＡＩＤレベルが設定され、ストレージ制御装置３０２は、各ＲＡＩＤグループに対するデータ記録を、設定されたＲＡＩＤレベルに応じた手順で、データが異なるＨＤＤに冗長化されるように制御する。
【００４７】
ストレージ制御装置３０２は、さらに、各ＲＡＩＤグループを分割した論理記憶領域（以下、論理ユニットと呼ぶ）ごとに管理する。各論理ユニットは、例えば、同一の記憶容量を有する。
【００４８】
図４の例では、３つのＲＡＩＤグループＲＧ＃０１〜＃０３が設定され、ＲＡＩＤグループＲＧ＃０１〜＃０３のそれぞれは、４つの論理ユニットＬＵＮ＃１〜ＬＵＮ＃４に分割されている。そして、ＲＡＩＤグループＲＧ＃０１〜＃０３のそれぞれの論理ユニットＬＵＮ＃１〜ＬＵＮ＃４が、ストレージプール３０３の記憶領域の少なくとも一部を構成する。
【００４９】
また、ストレージ制御装置３０２は、ＲＡＩＤグループを構成する記憶領域に対して記録するデータを暗号化する機能を備える。また、ストレージ制御装置３０２は、データの暗号化に使用する暗号キーを生成する機能も備える。そして、ストレージ制御装置３０２は、各ＲＡＩＤグループ内の論理ユニットごとに、異なる暗号キーを用いてデータの暗号化を行う。換言すると、論理ユニットは、互いに異なる暗号キーを用いてデータを暗号化することが可能な記憶領域である。また、ストレージ制御装置３０２は、論理ユニットへのデータ記録の際に用いる暗号キーを変更することで、暗号キーの変更前に論理ユニットに記録されていたデータを読み出し不能にし、それらのデータを実質的に消去することができる。
【００５０】
ところで、仮想マシンの運用が終了されると、その仮想マシンに割り当てられていた仮想ディスクの運用も終了される。運用が終了された仮想マシンを利用していた利用者は、その仮想マシンに割り当てられていた仮想ディスクに記録されているデータを完全に消去することを希望する場合が多い。
【００５１】
データを完全に消去する方法としては、別のデータ（例えば、すべて「０」のデータ）を上書きする方法がある。また、仮想ディスクに対してデータを暗号化して記録していた場合には、暗号キーを変更することで、その仮想ディスク内のデータを実質的に「完全消去」する、という方法も考えられる。この場合、暗号キーが変更されることで、ストレージ制御装置３０２の外部からは、変更前の暗号キーで暗号化されたデータを読み出すことができなくなる。前者の方法では、仮想ディスクの全領域に対してデータの上書きが行われるため、全データの消去までに長時間を要する。これに対して、後者の方法によれば、暗号キーの変更だけで、データをごく短時間で消去できる。
【００５２】
本実施の形態では、後者の「暗号キー変更による仮想ディスク内のデータの完全消去」を実現するために、それぞれ個別の暗号キーが使用される論理ユニットを、仮想ディスクに対する記憶領域の割り当て単位にする。すなわち、ストレージ制御装置３０２が管理する論理ユニットと、ストレージプール３０３に登録される、仮想ディスクへの割り当て単位である論理ボリュームとを、１対１で対応付ける。これにより、運用を終了する仮想ディスクに割り当てられていたすべての論理ボリュームに対応する論理ユニットについて、暗号キーを変更するようにストレージ制御装置３０２に要求することで、その仮想ディスクに記録されていたデータを完全消去することができるようになる。
【００５３】
図４の例では、仮想ディスクＶＤ＃０３に対して、ストレージプール３０３内の論理ボリュームＬＶ＃３２，ＬＶ＃１３，ＬＶ＃２３，ＬＶ＃３３が割り当てられている。ここで、論理ボリュームＬＶ＃３２がＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃２に、論理ボリュームＬＶ＃１３がＲＡＩＤグループＲＧ＃０１の論理ユニットＬＵＮ＃３に、論理ボリュームＬＶ＃２３がＲＡＩＤグループＲＧ＃０２の論理ユニットＬＵＮ＃３に、論理ボリュームＬＶ＃３３がＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃３に、それぞれ対応付けられているものとする。
【００５４】
この場合、ＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃２、ＲＡＩＤグループＲＧ＃０１の論理ユニットＬＵＮ＃３、ＲＡＩＤグループＲＧ＃０２の論理ユニットＬＵＮ＃３、およびＲＡＩＤグループＲＧ＃０３の論理ユニットＬＵＮ＃３のそれぞれについての暗号キーを変更するように、ストレージ制御装置３０２に要求することで、仮想ディスクＶＤ＃０３に記録されていたデータを完全消去することができる。
【００５５】
仮に、論理ユニットと論理ボリュームとが１対１で対応付けられていない場合、暗号キー変更によって仮想ディスク単位でデータを完全消去することは困難である。例えば、ＲＡＩＤグループＲＧ＃０１の論理ユニットＬＵＮ＃１に対して、論理ボリュームＬＶ＃１１，ＬＶ＃１２が対応付けられているものとする。また、図４に示すように、仮想ディスクＶＤ＃０１に論理ボリュームＬＶ＃１１が割り当てられ、仮想ディスクＶＤ＃０２に論理ボリュームＬＶ＃１２が割り当てられたとする。このような場合には、例えば、仮想ディスクＶＤ＃０２に割り当てられている論理ボリュームＬＶ＃１２のデータを、暗号キー変更によって消去しようとすると、同じ論理ユニットＬＵＮ＃１に対応付けられた、仮想ディスクＶＤ＃０１の論理ボリュームＬＶ＃１１のデータも消去されてしまう。従って、仮想ディスクＶＤ＃０２内のすべてのデータを暗号キー変更によって消去することができない。
【００５６】
図５は、ホストサーバ、ストレージ制御装置およびインフラストラクチャ管理サーバの処理機能の構成例を示すブロック図である。
ホストサーバ２００は、前述した仮想化制御部２１０を備える。仮想化制御部２１０の処理は、ホストサーバ２００のＣＰＵが、ハイパーバイザなどと呼ばれる仮想化制御プログラムを実行することによって実現される。仮想化制御部２１０は、仮想マシンを構築し、構築した仮想マシンの動作を制御する。また、仮想化制御部２１０は、仮想マシンに割り当てられた仮想ディスクに対するアクセスを、ストレージ制御装置３０２に対して要求する。
【００５７】
ホストサーバ２００が備える不揮発性記憶装置（例えばＳＳＤやＨＤＤなど）には、仮想ディスク管理テーブル２２０が記録される。仮想ディスク管理テーブル２２０には、仮想マシンに割り当てた仮想ディスクの情報が登録される。仮想ディスクの情報としては、ストレージプール３０３から仮想ディスクに割り当てられた論理ボリュームの番号、割り当てられた論理ボリュームに対応する論理ユニットの情報などである。仮想化制御部２１０は、仮想ディスクに対してアクセスする際に、仮想ディスク管理テーブル２２０に登録された情報を基に、アクセス先の物理記憶領域のアドレス（ＲＡＩＤグループ内の論理ブロックアドレス）を特定することができる。
【００５８】
ストレージ制御装置３０２は、ストレージ制御部３２０を備える。ストレージ制御部３２０の処理は、例えば、ストレージ制御装置３０２のＣＰＵ３１１が所定のプログラムを実行することによって実現される。また、ストレージ制御装置３０２が備える不揮発性記憶装置（例えばＳＳＤ３１３）には、ＲＡＩＤ管理テーブル３３０、暗号キー管理テーブル３４０およびデータ消去管理テーブル３５０が記録される。
【００５９】
ＲＡＩＤ管理テーブル３３０には、ＲＡＩＤグループごとに、設定されたＲＡＩＤレベル、ＲＡＩＤグループを構成するＨＤＤの番号、ＲＡＩＤグループに属する論理ユニットの番号などの情報が登録される。暗号キー管理テーブル３４０には、論理ユニットごとに、データ記録の際に使用する暗号キーが登録される。
【００６０】
ストレージ制御部３２０は、ホストＩ／Ｏ（In/Out）処理部３２１を備える。ホストＩ／Ｏ処理部３２１は、ホストサーバ２００の仮想化制御部２１０からの要求に応じて、ディスクアレイ装置３０１内のＨＤＤにアクセスする。ホストＩ／Ｏ処理部３２１は、ディスクアレイ装置３０１内のＨＤＤにアクセスする際に、ＲＡＩＤ管理テーブル３３０を参照して、アクセス先のＲＡＩＤグループに設定されたＲＡＩＤレベルに応じた処理を行う。また、ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０において、アクセス先の論理ユニットに暗号キーが設定されている場合には、設定された暗号キーを用いて、記録するデータの暗号化、および、読み出したデータの復号を行う。
【００６１】
また、ストレージ制御部３２０は、データ消去処理部３２２を備える。データ消去処理部３２２は、仮想ディスクの運用が終了された場合に、インフラストラクチャ管理サーバ４００からの要求に応じて、運用が終了された仮想ディスクに対応する論理ユニットに記録されたデータの消去処理を行う。後述するように、本実施の形態では、仮想ディスクに記録されたデータの消去処理には３種類の処理モードがあるが、データ消去処理部３２２は、これらのうち「第３の消去モード」でデータ消去を実行する際に、データ消去管理テーブル３５０を参照する。
【００６２】
データ消去管理テーブル３５０には、運用が終了された仮想ディスクに対応する物理領域のうち、上書き処理が完了した領域と、上書き処理が完了していない領域とを示す情報が登録される。なお、このデータ消去管理テーブル３５０は、ホストＩ／Ｏ処理部３２１がディスクアレイ装置３０１内のＨＤＤに対してデータを書き込む際にも参照される。
【００６３】
インフラストラクチャ管理サーバ４００は、ストレージ管理部４１０とストレージプール管理部４２０とを備える。ストレージ管理部４１０およびストレージプール管理部４２０の各処理は、例えば、インフラストラクチャ管理サーバ４００が備えるＣＰＵが所定のプログラムを実行することによって実現される。また、インフラストラクチャ管理サーバ４００が備える不揮発性記憶装置（例えばＳＳＤやＨＤＤなど）には、論理ボリューム管理テーブル４３０、ストレージプール管理テーブル４４０および仮想ディスク管理テーブル４５０が登録される。
【００６４】
ストレージ管理部４１０は、管理者端末５００からの要求に応じて、論理ユニットの設定を行う。ストレージ管理部４１０は、設定した論理ユニットと、ストレージプール３０３における論理ボリュームとの対応関係を、論理ボリューム管理テーブル４３０に登録する。
【００６５】
また、ストレージ管理部４１０は、仮想ディスクの運用が終了された際に、運用が終了された仮想ディスクに記録されていたデータの消去処理を、ストレージ制御装置３０２に実行させる。
【００６６】
ストレージプール管理部４２０は、ストレージプール管理テーブル４４０を用いて、ストレージプール３０３の論理ボリュームの使用状況を管理する。ストレージプール管理テーブル４４０には、仮想ディスクに対して割り当て可能な論理ボリュームの一覧と、各論理ボリュームのステータスとが登録される。
【００６７】
また、ストレージプール管理部４２０は、ホストサーバ２００の仮想化制御部２１０からの要求に応じて、ストレージプール管理テーブル４４０に登録された論理ボリュームから、未使用状態の論理ボリュームを仮想ディスクに割り当てる。ストレージプール管理部４２０は、仮想ディスクに対して割り当てた論理ボリュームを、仮想ディスク管理テーブル４５０を用いて管理する。仮想ディスク管理テーブル４５０には、仮想サーバおよび仮想ディスクの一覧に対して、仮想ディスクに割り当てられた論理ボリュームの番号と、仮想ディスクごとのデータ消去ポリシーとが対応付けて登録される。ここで、データ消去ポリシーとは、対応する仮想ディスクの運用を終了する際に、３種類のデータ消去処理のうちのどの処理によって、仮想ディスクに記録されたデータを消去するかを示す情報である。
【００６８】
図６は、ＲＡＩＤ管理テーブルに登録される情報の例を示す図である。
ＲＡＩＤ管理テーブル３３０には、ＲＡＩＤグループごとにレコード３３１が登録される。各レコード３３１には、対応するＲＡＩＤグループの識別番号が付与されている。また、各レコード３３１には、「ＲＡＩＤレベル」、「ディスク数」、「ディスク番号」、「性能属性」、「論理ユニット」および「暗号化設定」が登録される。
【００６９】
「ＲＡＩＤレベル」は、対応するＲＡＩＤグループに対して設定されたＲＡＩＤレベルを示す。「ディスク数」は、対応するＲＡＩＤグループに属するＨＤＤの数を示す。「ディスク番号」は、対応するＲＡＩＤグループに属するＨＤＤの識別番号を示す。「ディスク番号」は、「ディスク数」に設定された数だけ、レコード３３１に登録される。
【００７０】
「性能属性」は、対応するＲＡＩＤグループに属する記憶装置のアクセス性能に応じた属性を示す。「性能属性」には、例えば、似たようなアクセス性能を有する種類の記憶装置が同じ属性に分類されるように、情報が登録される。例えば、「性能属性」には、「ＳＳＤ」、「ＳＡＳ／ＦＣドライブ」、「ＮＬ（Nearline）／ＳＡＴＡ（Serial ATA，ATA：AT Attachment）ドライブ」などが登録される。なお、１つのＲＡＩＤグループに属する記憶装置は、すべて同じ性能属性を持つものとする。
【００７１】
「論理ユニット」は、対応するＲＡＩＤグループに設定された論理ユニットの識別番号が登録される。また、「論理ユニット」のそれぞれには、対応するＲＡＩＤグループにおける論理ユニットのアドレス（ＬＢＡ：Logical Block Address）の範囲を示す「アドレス範囲」が登録される。
【００７２】
「暗号化設定」は、対応するＲＡＩＤグループに属するＨＤＤに対して記録するデータを暗号化するか否かを示す情報である。
図７は、暗号キー管理テーブルに登録される情報の例を示す図である。
【００７３】
暗号キー管理テーブル３４０には、ＲＡＩＤグループに設定された論理ボリュームごとに、データ記録時の暗号化およびデータ読み出し時の復号に用いられる暗号キーが登録される。なお、ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１は、ランダムな暗号キーを生成する機能を有し、暗号キー管理テーブル３４０には、論理ボリュームごとにユニークな暗号キーが登録される。
【００７４】
また、記録するデータを暗号化しないように設定されたＲＡＩＤグループの論理ボリュームについては、暗号キーが登録されず、その代わりに例えば「ＮＵＬＬ」が登録される。なお、暗号キー管理テーブル３４０には、記録するデータを暗号化するように設定されたＲＡＩＤグループのみが登録されてもよい。
【００７５】
図８は、データ消去管理テーブルに登録される情報の例を示す図である。
データ消去管理テーブル３５０には、運用が終了された仮想マシンおよび仮想ディスクの識別番号に対応付けて、仮想ディスクに対応するＲＡＩＤグループおよび論理ユニットの識別番号が登録される。データ消去管理テーブル３５０に登録される仮想マシンおよび仮想ディスクは、運用を終了する際のデータ消去処理を前述の「第３の消去モード」で行うように設定されたもののみである。
【００７６】
さらに、データ消去管理テーブル３５０には、消去対象領域として、各論理ユニットを分割した単位領域の先頭ＬＢＡ（図８中の「０ｘ００００００１０」，「０ｘ００００００１１」，・・・に対応）が登録される。この単位領域とは、データ消去のための上書き処理の実行単位である。そして、データ消去管理テーブル３５０では、論理ユニット内の分割領域ごとに、上書き処理の実行状態が登録される。上書き処理の実行状態としては、上書き処理が完了していることを示す「上書き済み」と、上書き処理が完了していないことを示す「未処理」のいずれかが登録される。
【００７７】
図９は、論理ボリューム管理テーブルに登録される情報の例を示す図である。
論理ボリューム管理テーブル４３０には、ＲＡＩＤグループおよび論理ユニットの識別番号に対して、対応する論理ボリュームの番号が登録される。この論理ボリューム管理テーブル４３０によって、ストレージ制御部３２０が管理する論理ユニットと、ストレージプール３０３を構成する論理ボリュームとが関連付けられる。
【００７８】
図１０は、ストレージプール管理テーブルに登録される情報の例を示す図である。
ストレージプール管理テーブル４４０には、ストレージプール３０３を構成する論理ボリュームごとに、使用状態を示すステータスが登録される。ステータスとしては、対応する論理ボリュームが仮想ディスクに割り当てられていることを示す「使用中」、対応する論理ボリュームが仮想ディスクに割り当て可能であることを示す「未使用」、対応する論理ボリュームに対する上書き処理中であることを示す「初期化中」のいずれかが登録される。
【００７９】
図１１は、仮想ディスク管理テーブルに登録される情報の例を示す図である。
仮想ディスク管理テーブル４５０には、仮想サーバおよび仮想ディスクの識別番号に対して、「データ消去モード」および「構成ＬＵＮ」が登録される。
【００８０】
「データ消去モード」は、対応する仮想ディスクの運用を終了する際に、３種類の処理モードのうちどの処理モードに従ってデータ消去処理を実行するかを示す情報が設定される。後述するように、「データ消去モード」には、第１〜第３の消去モードのうちのいずれかが設定される。これらのうち、第１の消去モードおよび第３の消去モードは、データの上書き処理を伴う処理であるのに対し、第２の消去モードは、データの上書き処理を伴わない処理である。
【００８１】
「構成ＬＵＮ」には、対応する仮想ディスクに割り当てられた、ストレージプール３０３内の論理ボリュームの識別番号が登録される。
なお、ホストサーバ２００内の仮想ディスク管理テーブル２２０には、仮想ディスク管理テーブル４５０と同様に、仮想サーバおよび仮想ディスクの識別番号に対して、仮想ディスクに割り当てられた論理ボリュームの識別番号が対応付けて登録される。さらに、仮想ディスク管理テーブル２２０には、割り当てられた論理ボリュームに対応する論理ユニットの情報も登録される。
【００８２】
次に、仮想ディスクの運用を終了する際のデータ消去処理について説明する。
本実施の形態の情報処理システム１００では、仮想マシンの運用が終了された場合に、その仮想マシンに割り当てられていた仮想ディスクに記録されていたデータを消去するサービスが提供される。このデータ消去サービスでは、例えば、ファイルシステムにおけるデータ記録領域に対応する設定を変更するといった、実体的なデータがＨＤＤに残るようなデータ消去ではなく、記録されたデータがストレージ装置３００の外部から完全に読み出すことができなくなるようなデータ消去が行われる。本実施の形態では、このようにデータが「完全に」消去されるようなデータ消去処理として、利用者による仮想ディスクごとの事前設定に応じて、第１〜第３の消去モードのいずれかに従って実行される。
【００８３】
（１）第１の消去モード
上記のようにデータを「完全に」消去する方法として、記録されたデータに任意のデータ（例えば、すべて「０」）を上書きする方法がある。以下、データ消去用に上書きするデータを「初期化データ」と呼ぶ。第１の消去モードでのデータ消去処理は、仮想ディスクの運用が終了された時点で、記録データに初期化データを上書きする処理を即座に開始するものである。
【００８４】
この第１の消去モードでのデータ消去処理では、運用が終了された仮想ディスクに割り当てられた論理ボリュームのそれぞれにおいて、全領域に対する初期化データの上書きが終了するまで、その論理ボリュームは他の仮想ディスクに割り当てることができない。具体的には、論理ボリュームに対する初期化データの上書きを開始してから、仮想ディスクに割り当てられていた全論理ボリューム内の全領域に対する上書きが終了するまでの間、ストレージプール管理テーブル４４０における上書き対象の論理ボリュームに対応するステータスは、「初期化中」に設定される。そして、その論理ボリューム内の全領域に対する上書き処理が終了すると、対応するステータスが「未使用」に変更される。
【００８５】
このように、第１の消去モードでのデータ消去処理は、記録されたデータを完全に消去できるという利用者側のメリットがある。その反面、運用が終了された仮想ディスクに割り当てられた論理ボリュームを再利用できるようになるまでの時間が長いという、サービス提供者側にとってのデメリットがある。また、データの上書き処理がストレージ制御装置３０２のＣＰＵ３１１によって実行されるため、上書き処理が完了するまでの間、他の運用中の仮想ディスクに対するアクセス性能が低下する可能性もある。
【００８６】
なお、第１の消去モードが設定された仮想ディスクについては、割り当てられた物理記憶領域に対して記録するデータは、必ずしも暗号化される必要はない。データの暗号化を行わないことで、仮想ディスクに対するアクセス性能を高めることができる。ただし、第１の消去モードが設定された場合でも、記録するデータを暗号化しておくことにより、例えば、仮想ディスクを構成するＨＤＤが取り外され、そのＨＤＤから記録データが不正に読み出されるといった事態を防止できる。
【００８７】
（２）第２の消去モード
第２の消去モードが選択されている場合、仮想ディスクに割り当てられた論理ボリュームに記録するデータが暗号化される。そして、仮想ディスクの運用が終了される際に、割り当てられた論理ボリュームの暗号化に用いる暗号キーが変更されることで、論理ボリュームに記録されたデータが実質的に完全消去される。なお、暗号キーは変更されるのではなく、単に抹消されるだけでもよい。
【００８８】
この第２の消去モードでのデータ消去処理では、暗号キー管理テーブル３４０において、仮想ディスクに割り当てられた論理ボリュームに対応付けられた暗号キーを変更または抹消するだけで、データが消去される。このため、仮想ディスクの運用を終了してからごく短時間で、データを完全に消去できるとともに、データが消去された論理ボリュームを再利用可能な状態に遷移させることができる。
【００８９】
（３）第３の消去モード
上記の第２の消去モードでのデータ消去処理によれば、仮想ディスクに割り当てられていた論理ボリュームを、ごく短時間で再利用可能になる。このため、仮想ディスクを提供するサービス提供者側にとっては、限られたストレージリソースを効率的に運用できるという極めて大きなメリットがある。一方で、第２の消去モードのように暗号キーの変更によってデータを消去する処理ではなく、第１の消去モードのように初期化データを上書きすることによるデータ消去を要求する利用者も多く、第２の消去モードでは必ずしも顧客要求を満足できないことがあった。
【００９０】
これに対して、第３の消去モードは、ストレージリソースを効率的に運用できるというサービス提供者側の要求を満たしつつ、初期化データの上書き処理も実行するようにして、利用者側の要求にも応えるようにする処理モードである。
【００９１】
この第３の消去モードでは、初期化データの上書きによるデータ消去と、暗号キー変更によるデータ消去とを併用する。具体的には、第３の消去モードでのデータ消去処理では、仮想ディスクの運用が終了されると、その仮想ディスクに割り当てられていた論理ボリュームに対するデータ記録に使用されていた暗号キーが変更される。これとともに、暗号キーが変更された論理ボリュームは、即座に再利用可能な状態にされる。また、初期化データの上書き処理は、仮想ディスクの運用が終了されたタイミングとは非同期に実行される。例えば、仮想ディスクの運用が終了された後、他の仮想ディスクに対するアクセスが要求されていない期間において、運用が終了された仮想ディスクに対する初期化データの上書き処理が実行される。
【００９２】
さらに、第３の消去モードでのデータ消去処理では、運用が終了された仮想ディスクに割り当てられていた論理ボリューム内の領域のうち、運用終了後に新たなデータが書き込まれていない領域に対してのみ、初期化データの上書きが行われる。例えば、再利用可能にした論理ボリュームは、初期化データが上書きされる前に、他の仮想ディスクに割り当てられる可能性がある。他の仮想ディスクに割り当てられた論理ボリュームには、ホストサーバ２００の仮想化制御部２１０からの要求に応じて、新たなデータが書き込まれる可能性が十分考えられる。
【００９３】
このようにホストサーバ２００からの要求に応じて新たなデータが書き込まれた領域には、初期化データを上書きしないようにする。これにより、仮想ディスクの運用終了時点でその仮想ディスクに割り当てられていた論理ボリュームを即座に再利用可能にしながらも、初期化データの上書き処理を実行できるようになる。従って、ストレージリソースを効率的に運用できるというサービス提供者側の要求と、初期化データの上書きによりデータを消去するという利用者側の要求の両方を満たすことができる。
【００９４】
また、仮想ディスクの運用が終了されたタイミングとは非同期に初期化データの上書きが行われることで、ストレージ制御装置３０２の処理負荷を分散させ、上書き処理が運用中の他の仮想ディスクに対するアクセス性能に与える影響を低減することができる。
【００９５】
さらに、運用が終了された仮想ディスクに割り当てられていた論理ボリュームの領域のうち、ホストサーバ２００からの要求に応じて新たなデータが書き込まれた領域には、初期化データの上書きを行わないようにすることで、初期化データを上書きする領域が小さくなる可能性が生じる。初期化データの上書き領域が小さくなった場合には、上書き処理に要する時間が短縮され、その結果、データ消去処理を実行するストレージ制御装置３０２の処理負荷を軽減することもできる。
【００９６】
なお、第３の消去モードでは、初期化データの上書き処理を、仮想ディスクの運用終了時点で即座に実行するようにしてもよい。
また、第３の消去モードでは、例えば、暗号キー変更によるデータ消去を行わないようにしてもよい。この場合でも、運用が終了された仮想ディスクに割り当てられていた論理ボリュームが即座に再利用可能になるので、サービス提供者側にとってのメリットは大きい。その反面、初期化データが上書きされておらず、元の仮想ディスクの記録データがそのまま残っている論理ボリュームが、即座に再利用可能な状態となるので、第１の消去モードや第２の消去モードと比較して、記録データの安全性は低下する。
【００９７】
しかしながら、論理ボリュームが他の仮想ディスクに割り当てられて、新たなデータが書き込まれた場合には、新たなデータが書き込まれた領域に残っていた元のデータが消去されることになる。従って、運用が終了された仮想ディスクに割り当てられていたすべての記憶領域に対する初期化データの上書きが終了するより前に、それらの記憶領域の一部にそのまま残っていたデータがすでに読み出し不能の状態になる場合も多くなる。
【００９８】
ところで、上記のデータ消去処理についての各処理モードは、例えば、仮想ディスクに割り当てられる物理記憶装置の性能に応じて設定されてもよい。ここで、図１２は、ストレージプールに登録される論理ボリュームと、論理ボリュームを構成する物理記憶領域のアクセス性能との関係の例を示す図である。
【００９９】
ストレージプール３０３に登録される論理ボリュームを実現する物理記憶装置（すなわち、ストレージ装置３００に搭載される記憶装置）としては、様々な種類の記憶装置を用いることができる。例えば、ＳＡＳに準拠したＨＤＤ（ＳＡＳドライブ）、ＦＣに準拠したＨＤＤ（ＦＣドライブ）、ニアライン向けのＨＤＤ（ＮＬドライブ）、ＳＡＴＡに準拠したＨＤＤ（ＳＡＴＡドライブ）、ＳＳＤなどがある。
【０１００】
情報処理システム１００では、例えば、仮想ディスクの記憶領域として割り当て可能な物理記憶装置として、上記のような様々な種類の記憶装置を、似たようなアクセス性能を有する組み合わせごとに異なる性能属性に分類して、利用者が選択できるようにする。例えば、ＳＳＤを最も高速な記憶装置に分類し、ＮＬドライブおよびＳＡＴＡドライブを最も低速な記憶装置に分類し、ＳＡＳドライブまたはＦＣドライブを中間的な速度の記憶装置に分類する。
【０１０１】
インフラストラクチャ管理サーバ４００は、図１２に示すように、ストレージプール３０３に登録される論理ボリュームを、論理ボリュームを実現する物理記憶装置の性能属性ごとに分類して管理する。例えば、インフラストラクチャ管理サーバ４００は、論理ボリュームを実現する物理記憶装置の性能属性ごとに個別のストレージプール管理テーブル４４０を保持する。論理ボリュームを実現する物理記憶装置の性能属性は、ＲＡＩＤ管理テーブル３３０から取得することができる。
【０１０２】
図１３は、サービス対応テーブルの例を示す図である。図１３に示すサービス対応テーブル４６１，４６２は、上記のデータ消去処理の処理モードと、性能属性および利用料金との組み合わせに応じたサービス体系について記載されたテーブルである。
【０１０３】
サービス対応テーブル４６１は、第３の消去モードでのデータ消去処理において暗号キー変更を併用する場合を示す。第２の消去モードは、初期化データの上書き処理が実行されないため、記憶装置に対しては高いアクセス性能が要求されないと考えられる。逆に、第１の消去モードでは、初期化データの上書き処理を高速に実行するために、高いアクセス性能を持つ記憶装置が使用されることが望ましい。このため、サービス対応テーブル４６１において、サービスＣ１では、アクセス速度が最も低い記憶装置が用いられ、かつ、第２の消去モードが選択される。一方、サービスＣ２では、第１の消去モードが選択されるとともに、サービスＣ１の場合よりアクセス速度が高い記憶装置が用いられる。また、第２の消去モードでは、使用が終了された論理ボリュームが即座に再利用可能になり、サービス提供者に対するメリットが大きいことから、サービスＢ１よびサービスＣ１の利用料金の方が低く設定される。
【０１０４】
第３の消去モードでは、暗号キー変更および初期化データの上書きという二重のデータ消去が行われるため、利用者側にとってのメリットが大きいと考えられる。この観点から、サービス対応テーブル４６１では、第３の消去モードが設定されるサービスＡ１の利用料金は、第１，第２の消去モードのいずれかが設定されるサービスＢ１，Ｃ１より高く設定される。また、サービスＡ１では、初期化データの上書きが行われることから、少なくとも初期化データの上書きが行われないサービスＣ１よりも、アクセス性能の高い記憶装置が用いられることが望ましい。そこで、サービスＡ１では、最もアクセス速度の高い記憶装置が使用されるようにする。
【０１０５】
なお、第１の消去モードでは、仮想ディスクの運用が終了されると即座に初期化データの上書きが実行されることから、ホストサーバ２００からの要求に応じたＩ／Ｏ処理負荷に与える影響が大きく、サービス提供者側のデメリットが大きい。このような観点から、第３の消去モードが選択されるサービスよりも、第１の消去モードが選択されるサービスの利用料金が高くされてもよい。また、使用する記憶装置のアクセス性能を高めることで、初期化データの上書き処理がＩ／Ｏ処理負荷に与える影響を少なくすることもできる。このような観点から、第１の消去モードが選択されるサービスでは、第３の消去モードが選択されるサービスよりも、よりアクセス速度の高い記憶装置が使用されるようにしてもよい。
【０１０６】
一方、サービス対応テーブル４６２は、第３の消去モードでのデータ消去処理において暗号キー変更を併用しない場合を示す。第３の消去モードでは暗号キー変更のみによってデータが消去されることから、サービス対応テーブル４６２では、顧客満足度に鑑みて、第３の消去モードが設定されたサービスＣ２よりも第１の消去モードが設定されたサービスＡ２の利用料金が高く設定される。また、第３の消去モードでは、データの上書き処理が完了するまでは、元のデータが消去されない可能性がある。このような観点から、第２の消去モードが設定されたサービスＢ２よりも第３の消去モードが設定されたサービスＣ２の利用料金が低く設定される。
【０１０７】
また、第１の消去モードでは、仮想ディスクの運用が終了されると即座に初期化データの上書きが実行される。初期化データの上書き処理を短時間で終了させるためには、アクセス性能が高い記憶装置が使用されることが望ましい。このような観点から、サービス対応テーブル４６２では、第３の消去モードが設定されるサービスＣ１より、第１の消去モードが設定されるサービスＡ２において、よりアクセス速度が高い記憶装置が使用される。
【０１０８】
以上のサービス対応テーブル４６１，４６２の例のように、データ消去モードは、使用される記憶装置のアクセス性能や、利用者およびサービス提供者側のメリット／デメリットのバランスなどに応じて選択されることが望ましい。
【０１０９】
また、上記のサービス対応テーブル４６１，４６２のいずれかは、例えば、インフラストラクチャ管理サーバ４００の不揮発性記憶装置に保持されてもよい。この場合、インフラストラクチャ管理サーバ４００は、管理者端末５００を通じて仮想マシンの構築のための設定が行われる際に、サービス対応テーブルのいずれかを参照して、管理者端末５００に対して、提供可能なサービスを管理者端末５００に提示することができる。図１３のように、使用される記憶装置の性能属性と、データ消去モードとの好ましい組み合わせをあらかじめ用意しておくことで、性能属性やデータ消去モードの選択操作を支援し、サービスの利用を容易にすることができる。また、サービス対応テーブルに記載されたサービス体系を、利用者に直接提示できるようにしてもよい。
【０１１０】
さらに、例えば、インフラストラクチャ管理サーバ４００は、管理者端末５００から仮想ディスクに使用する記憶装置の性能属性の指定を受けたとき、サービス対応テーブルを参照して、指定された性能属性に対応する適切なデータ消去モードを抽出して、推奨するデータ消去モードとして管理者端末５００に出力してもよい。あるいは、インフラストラクチャ管理サーバ４００は、管理者端末５００から指定された性能属性に対応する適切なデータ消去モードを、自動的に設定してもよい。
【０１１１】
次に、情報処理システム１００において実行される処理について、フローチャートを用いて説明する。
まず、図１４，図１５は、仮想マシンおよび仮想ディスクを構築するための前処理手順の例を示すフローチャートである。
【０１１２】
［ステップＳ１１］管理者は、管理者端末５００を通じて、仮想ディスク生成のために必要な論理ユニット（ＬＵ）の生成・設定を行う。管理者は、管理者端末５００に対して、設定すべき論理ユニットの情報を入力する。管理者端末５００は、ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１に対して、入力された設定情報を送信し、論理ユニットの生成を要求する。
【０１１３】
［ステップＳ１２］ホストＩ／Ｏ処理部３２１は、管理者端末５００から受信した設定情報に基づき、論理ユニットを構築する。具体的には、ホストＩ／Ｏ処理部３２１は、ＲＡＩＤ管理テーブル３３０のレコード３３１のうち、管理者端末５００から指定されたＲＡＩＤグループのレコード３３１を抽出する。ホストＩ／Ｏ処理部３２１は、抽出したレコード３３１に対して論理ユニットの情報を設定することにより、論理ユニットを構築する。また、ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０に、構築した論理ユニットに対応するレコードを生成する。
【０１１４】
［ステップＳ１３］ホストＩ／Ｏ処理部３２１は、管理者端末５００から受信した設定情報に基づき、ステップＳ１２で構築した論理ユニットに対して記録するデータを暗号化するかを判定する。ホストＩ／Ｏ処理部３２１は、暗号化する場合には（Ｓ１３：Ｙｅｓ）、ステップＳ１４の処理を実行する一方、暗号化しない場合には（Ｓ１３：Ｎｏ）、ステップＳ１５の処理を実行する。
【０１１５】
［ステップＳ１４］ホストＩ／Ｏ処理部３２１は、ステップＳ１２で暗号キー管理テーブル３４０に生成したレコードに対して、暗号キーを登録する。ホストＩ／Ｏ処理部３２１は、論理ユニットごとにそれぞれ異なる暗号キーを生成して登録する。
【０１１６】
［ステップＳ１５］ホストＩ／Ｏ処理部３２１は、構築した論理ユニットについての情報を、インフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知する。論理ユニットについての情報としては、例えば、ＲＡＩＤグループおよび論理ユニットの識別番号、論理ユニットの領域を示すアドレス情報、論理ユニットを構成する記憶装置の性能属性、論理ユニットに対してデータが暗号化されるように設定されているかを示す情報などが通知される。
【０１１７】
［ステップＳ１６］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ホストＩ／Ｏ処理部３２１から通知された、ＲＡＩＤグループおよび論理ユニットの識別番号を、論理ボリューム管理テーブル４３０に登録する。この登録処理により、ストレージプール３０３に登録される論理ボリュームと、ストレージ制御装置３０２が管理する論理ユニットとが対応付けられる。
【０１１８】
［ステップＳ１７］ストレージ管理部４１０は、新規に登録された論理ユニットに対応付けられた論理ボリュームの識別番号を、ストレージプール管理部４２０に通知する。このとき、ストレージ管理部４１０は、例えば、論理ボリュームに対応する論理ユニットを構成する記憶装置の性能属性、論理ユニットに対してデータが暗号化されるように設定されているかを示す情報なども、ストレージプール管理部４２０に通知する。
【０１１９】
［ステップＳ１８］ストレージプール管理部４２０は、ストレージ管理部４１０から通知された論理ボリュームの識別番号を、ストレージプール管理テーブル４４０に登録する。このとき、ストレージプール管理部４２０は、例えば、論理ボリュームに対応する論理ユニットを構成する記憶装置の性能属性や、論理ユニットに対してデータが暗号化されるか否かに応じて、それぞれ個別のストレージプール管理テーブル４４０にデータを登録してもよい。
【０１２０】
［ステップＳ１９］ストレージプール管理部４２０は、ステップＳ１８でストレージプール管理テーブル４４０に新規登録したレコードのすべてにおいて、ステータスを「未使用」に設定する。これにより、ストレージプール３０３に対する論理ボリュームの登録が完了する。
【０１２１】
次に、図１６は、仮想マシン構築時の処理手順の例を示すフローチャートである。
［ステップＳ３１］管理者は、管理者端末５００を通じて、仮想マシン（ＶＭ）を構築するための設定を行う。管理者は、管理者端末５００に対して、仮想マシンにおけるＣＰＵの性能、メモリ容量、仮想ディスクに関する設定情報などを入力する。仮想ディスクに関する設定情報としては、仮想ディスクの容量、仮想ディスクの性能属性、仮想ディスクに記録するデータを暗号化するかを示す情報などがある。管理者端末５００は、入力された情報をホストサーバ２００の仮想化制御部２１０に送信して、仮想マシンの構築を要求する。
【０１２２】
［ステップＳ３２］ホストサーバ２００の仮想化制御部２１０は、管理者端末５００から受信した情報を基に、仮想マシンを構築する。また、仮想化制御部２１０は、管理者端末５００から受信した、仮想ディスク（ＶＤ）についての設定情報と、仮想マシンおよび仮想ディスクの識別情報を、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に送信し、仮想ディスクに対する論理ボリュームの割り当てを要求する。
【０１２３】
［ステップＳ３３］インフラストラクチャ管理サーバ４００のストレージプール管理部４２０は、仮想化制御部２１０から通知された情報に基づいて、ストレージプール管理部４２０から未使用状態の論理ボリュームを切り出し、仮想ディスクに割り当てる。
【０１２４】
具体的には、ストレージプール管理部４２０は、通知された性能属性や暗号化の有無に合致するストレージプール管理テーブル４４０を参照する。ストレージプール管理部４２０は、参照したストレージプール管理テーブル４４０においてステータスが「未使用」とされた論理ボリュームを、仮想ディスクの容量分だけ選択し、選択した全論理ボリュームについてのステータスを「使用中」に更新する。さらに、ストレージプール管理部４２０は、仮想ディスク管理テーブル４５０における、構築処理中の仮想マシンのレコードに対して、仮想ディスクに割り当てた論理ボリュームの識別番号を登録する。
【０１２５】
以上の処理が終了すると、ストレージプール管理部４２０は、仮想ディスクに割り当てた論理ボリュームの識別番号を、ホストサーバ２００の仮想化制御部２１０に送信する。
［ステップＳ３４］ホストサーバ２００の仮想化制御部２１０は、ストレージプール管理部４２０から通知された論理ボリュームの識別番号を、仮想ディスク管理テーブル２２０に登録して、論理ボリュームの設定を行う。なお、仮想化制御部２１０は、仮想ディスクに割り当てられた論理ボリュームに対応する論理ユニットの情報も、仮想ディスク管理テーブル２２０に登録する。論理ユニットの情報は、例えば、インフラストラクチャ管理サーバ４００のストレージ管理部４１０あるいはストレージ制御装置３０２に問い合わせることによって取得されてもよいし、あるいは、ステップＳ３３の段階でストレージ管理部４１０からストレージプール管理部４２０を介して通知されてもよい。
【０１２６】
仮想化制御部２１０は、仮想ディスクの設定が終了すると、その旨を管理者端末５００に通知する。
なお、上記処理では、仮想ディスクに対する論理ボリュームの割り当てを、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０が実行するものとした。しかしながら、仮想ディスクに対する論理ボリュームの割り当ては、ホストサーバ２００の仮想化制御部２１０によって実行されてもよい。この場合、ホストサーバ２００も、ストレージプール管理テーブル４４０や論理ボリューム管理テーブル４３０に相当する情報を保持する。そして、ホストサーバ２００の仮想化制御部２１０は、自身が仮想ディスクに割り当てた論理ボリュームの識別番号を、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に送信する。ストレージプール管理部４２０は、受信した論理ボリュームの識別番号を、ストレージプール管理テーブル４４０および論理ボリューム管理テーブル４３０に登録する。
【０１２７】
［ステップＳ３５］管理者端末５００は、管理者の操作に応じたデータ消去モードの選択入力を受け付ける。管理者端末５００は、選択されたデータ消去モードを、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に通知する。
【０１２８】
［ステップＳ３６］インフラストラクチャ管理サーバ４００のストレージプール管理部４２０は、通知されたデータ消去モードを、仮想ディスク管理テーブル４５０における、構築処理中の仮想マシンのレコードに対して登録する。登録が終了すると、ストレージプール管理部４２０は、ホストサーバ２００の仮想化制御部２１０に対して、仮想ディスクの設定が完了したことを通知する。
【０１２９】
［ステップＳ３７］ホストサーバ２００の仮想化制御部２１０は、構築した仮想マシンを起動する。これにより、仮想マシンの運用が開始される。
なお、データ消去モードが指定される際には、例えば、前述のサービス対応テーブル４６１，４６２に基づいて、推奨されるデータ消去モードが管理者端末５００に通知されてもよい。この場合、例えば、図１６の処理手順が次の図１７のように変更されればよい。
【０１３０】
図１７は、データ消去モードの推奨処理手順の例を示すフローチャートである。この図１７では、図１６と同じ処理には同じステップ番号を付して示している。
［ステップＳ４１］管理者端末５００は、前述のステップＳ３４において、ホストサーバ２００の仮想化制御部２１０から、仮想ディスクに割り当てられた記憶装置の性能属性と、仮想ディスクへのデータ記録の際に暗号化が行われるか否かを示す情報とを受信する。管理者端末５００は、これらの受信情報を、インフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知して、推奨されるデータ消去モードを問い合わせる。
【０１３１】
［ステップＳ４２］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、サービス対応テーブル４６１，４６２のいずれかに基づいて、通知された情報に適合するデータ消去モードを判別する。ストレージ管理部４１０は、判別したデータ消去モードおよび利用料金を、管理者端末５００に送信する。
【０１３２】
［ステップＳ４３］管理者端末５００は、ストレージ管理部４１０から受信した、データ消去モードおよび利用料金を、推奨案としてディスプレイに表示させる。
管理者は、ディスプレイに表示された情報を参考にして、データ消去モードの選択操作を行うことができる（ステップＳ３５）。
【０１３３】
以上の処理により、データ消去モードの選択操作を支援することができる。なお、例えば、ストレージ管理部４１０は、ステップＳ４２の時点で、管理者端末５００から通知された情報に適合するデータ消去モードをストレージプール管理部４２０に通知することにより、データ消去モードを自動的に設定してもよい。
【０１３４】
次に、図１８は、ホストサーバが仮想ディスクにアクセスする際の処理手順の例を示す図である。
［ステップＳ５１］仮想マシンの運用開始後、ホストサーバ２００の仮想化制御部２１０は、利用者が操作する端末装置（図示せず）から仮想ディスクに対するアクセス要求を受け付ける。仮想化制御部２１０は、仮想ディスク管理テーブル２２０を参照して、利用者端末から受信したアクセス先のアドレスを、論理ユニットにおけるアドレス（ＲＡＩＤグループおよび論理ユニットの識別番号、ＬＢＡ）に変換し、変換後のアドレスをアクセス先として指定して、ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１に対して、アクセス要求を発行する。
【０１３５】
［ステップＳ５２］ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１は、アクセス要求を受け付けると、アクセス先の論理ユニットへのデータ記録時にデータを暗号化するように設定されているかを判定する。ホストＩ／Ｏ処理部３２１は、例えば、暗号キー管理テーブル３４０を参照し、アクセス先の論理ユニットに暗号キーが設定されている場合に、データを暗号化するように設定されていると判定する。あるいは、ホストＩ／Ｏ処理部３２１は、ＲＡＩＤ管理テーブル３３０のレコード３３１のうちアクセス先のＲＡＩＤグループに対応するレコード３３１を参照し、「暗号化設定」の欄に設定された情報から、データを暗号化するように設定されているかを判定してもよい。
【０１３６】
ホストＩ／Ｏ処理部３２１は、データを暗号化するように設定されている場合（Ｓ５２：Ｙｅｓ）には、ステップＳ５３の処理を実行する一方、データを暗号化するように設定されていない場合（Ｓ５２：Ｎｏ）には、ステップＳ５５の処理を実行する。
【０１３７】
［ステップＳ５３］ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０から、アクセス先の論理ユニットに設定されている暗号キーを読み込む。
［ステップＳ５４］ホストＩ／Ｏ処理部３２１は、暗号キー管理テーブル３４０から読み込んだ暗号キーを用いて、要求されたアクセス処理を実行する。例えば、ホストＩ／Ｏ処理部３２１は、データの読み出しを要求された場合、アクセス先からデータを読み出し、読み出したデータを暗号キーを用いて復号する。一方、ホストＩ／Ｏ処理部３２１は、データの書き込みを要求された場合、仮想化制御部２１０から受信した書き込みデータを暗号キーを用いて暗号化し、暗号化後の書き込みデータをアクセス先に書き込む。
【０１３８】
［ステップＳ５５］ホストＩ／Ｏ処理部３２１は、暗号化処理および復号処理を行わずに、要求されたアクセス処理を実行する。
［ステップＳ５６］ホストＩ／Ｏ処理部３２１は、ホストサーバ２００の仮想化制御部２１０に対して、要求されたアクセスを完了したことを示す応答を返す。なお、ホストＩ／Ｏ処理部３２１は、データの読み出しを要求されていた場合には、読み出したデータを仮想化制御部２１０に送信する。
【０１３９】
［ステップＳ５７］ホストサーバ２００の仮想化制御部２１０は、ホストＩ／Ｏ処理部３２１からの応答を受信して、利用者端末に応答を返す。
次に、図１９〜図２３は、仮想マシンの運用が終了される際の処理手順を示すフローチャートである。
【０１４０】
［ステップＳ７１］管理者端末５００は、管理者による入力操作に応じて、ホストサーバ２００の仮想化制御部２１０に対して、仮想マシンの識別番号が通知するとともに、通知した仮想マシンの運用終了を要求する。
【０１４１】
［ステップＳ７２］ホストサーバ２００の仮想化制御部２１０は、仮想マシンの運用終了要求を受信すると、対象の仮想マシンの運用を中止する。このとき、仮想化制御部２１０は、仮想ディスク管理テーブル２２０から、対象の仮想マシンに対応する仮想ディスクの情報を削除する。また、仮想化制御部２１０は、インフラストラクチャ管理サーバ４００のストレージプール管理部４２０に対して、運用を終了した仮想マシンの識別番号を通知する。
【０１４２】
［ステップＳ７３］インフラストラクチャ管理サーバ４００のストレージプール管理部４２０は、仮想ディスク管理テーブル４５０から、運用が終了された仮想マシンに対応する仮想ディスク（以下、「運用を終了する仮想ディスク」と呼ぶ）を特定し、特定した仮想ディスクに割り当てられている論理ボリュームを抽出する。
【０１４３】
［ステップＳ７４］ストレージプール管理部４２０は、仮想ディスク管理テーブル４５０から、運用を終了する仮想ディスクに設定されているデータ消去モードを抽出する。
なお、ステップＳ７３，Ｓ７４の処理順は逆であってもよい。
【０１４４】
［ステップＳ７５］ストレージプール管理部４２０は、ステップＳ７３，Ｓ７４で参照した仮想ディスク管理テーブル４５０のレコード（すなわち、運用が終了された仮想マシンのレコード）を削除する。
【０１４５】
［ステップＳ７６］ストレージプール管理部４２０は、運用を終了する仮想ディスクの識別情報と、ステップＳ７３，Ｓ７４で抽出した情報とをストレージ管理部４１０に通知する。
【０１４６】
なお、ステップＳ７５，Ｓ７６の処理順は逆であってもよい。
［ステップＳ７７］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０から通知されたデータ消去モードに基づき、初期化データの上書き処理を実行するかを判定する。ストレージ管理部４１０は、上書き処理を実行する場合、すなわち、データ消去モードが第１の消去モードまたは第３の消去モードである場合（Ｓ７７：Ｙｅｓ）には、ステップＳ７８の処理を実行する。一方、ストレージ管理部４１０は、上書き処理を実行しない場合、すなわち、データ消去モードが第２の消去モードである場合（Ｓ７７：Ｎｏ）には、図２１のステップＳ８６の処理を実行する。
【０１４７】
［ステップＳ７８］ストレージ管理部４１０は、初期化データの上書き処理を即時実行する場合、すなわち、データ消去モードが第１の消去モードである場合（Ｓ７８：Ｙｅｓ）には、図２０のステップＳ７９の処理を実行する。一方、ストレージ管理部４１０は、初期化データの上書き処理を即時実行しない場合、すなわち、データ消去モードが第３の消去モードである場合（Ｓ７８：Ｎｏ）には、図２２のステップＳ９１の処理を実行する。
【０１４８】
［ステップＳ７９］データ消去モードが第１の消去モードである場合（Ｓ７８：Ｙｅｓ）、ストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームの識別番号を通知して、通知した論理ボリュームについてのステータスを「初期化中」に変更するように要求する。
【０１４９】
［ステップＳ８０］ステータスの変更要求を受けたストレージプール管理部４２０は、ストレージプール管理テーブル４４０における該当論理ボリュームのステータスを、「使用中」から「初期化中」に変更する。ステータスの変更処理が完了すると、ストレージプール管理部４２０は、ストレージ管理部４１０に対して変更完了を通知する。
【０１５０】
［ステップＳ８１］ストレージ管理部４１０は、論理ボリューム管理テーブル４３０を参照して、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットを特定する。ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、特定した論理ユニットの識別番号を通知して、通知した論理ユニットに対する、第１の消去モードでの上書き処理を開始するように要求する。
【０１５１】
［ステップＳ８２］ストレージ制御装置３０２のデータ消去処理部３２２は、通知された論理ユニットに対する初期化データの上書き処理の実行を開始する。
ここで、他の運用中の仮想マシンが存在する場合、運用中の仮想マシンの仮想ディスクに対するホストサーバ２００からの要求に応じた、ホストＩ／Ｏ処理部３２１によるアクセス処理（ホストアクセス処理）と、データ消去処理部３２２による、ストレージ管理部４１０から通知された論理ユニットに対する初期化データの上書き処理とが、並列に実行される。
【０１５２】
［ステップＳ８３］データ消去処理部３２２は、ストレージ管理部４１０から通知されたすべての論理ユニットに対する初期化データの上書き処理が完了すると、その旨をインフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知する。
【０１５３】
［ステップＳ８４］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを「未使用」に変更するように要求する。
【０１５４】
［ステップＳ８５］ストレージプール管理部４２０は、ストレージプール管理テーブル４４０における、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを、「初期化中」から「未使用」に変更する。これにより、仮想ディスクの運用が終了され、その仮想ディスクに割り当てられていた論理ボリュームが、他の仮想ボリューム用に再利用可能な状態になる。
【０１５５】
なお、仮想ディスクに対する論理ボリュームの割り当てをホストサーバ２００の仮想化制御部２１０が行う構成の場合には、例えば、ストレージプール管理部４２０は、ステップＳ８５でのステータス変更後、仮想化制御部２１０に対して、ステータスを変更した論理ボリュームの識別番号を通知する。仮想化制御部２１０は、通知された論理ボリュームを仮想化ディスクから解放して、その仮想化ディスクの運用を終了する。
【０１５６】
［ステップＳ８６］データ消去モードが第２の消去モードである場合（Ｓ７７：Ｎｏ）、ストレージ管理部４１０は、論理ボリューム管理テーブル４３０を参照して、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットを特定する。ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、特定した論理ユニットの識別番号を通知して、通知した論理ユニットへのアクセスで使用されている暗号キーの変更を要求する。
【０１５７】
［ステップＳ８７］ストレージ制御装置３０２のデータ消去処理部３２２は、ホストＩ／Ｏ処理部３２１に、通知された論理ユニットごとにユニークな暗号キーを新たに生成させ、暗号キー管理テーブル３４０において各論理ユニットに設定された暗号キーを、新たな暗号キーに変更する。
【０１５８】
［ステップＳ８８］データ消去処理部３２２は、ストレージ管理部４１０から通知されたすべての論理ユニットについての暗号キー変更処理を完了すると、その旨をストレージ管理部４１０に通知する。
【０１５９】
［ステップＳ８９］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを「未使用」に変更するように要求する。
【０１６０】
［ステップＳ９０］ストレージプール管理部４２０は、ストレージプール管理テーブル４４０における、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを、「使用中」から「未使用」に変更する。これにより、仮想ディスクの運用が終了され、その仮想ディスクに割り当てられていた論理ボリュームが、他の仮想ボリューム用に再利用可能な状態になる。
【０１６１】
なお、仮想ディスクに対する論理ボリュームの割り当てをホストサーバ２００の仮想化制御部２１０が行う構成の場合には、例えば、ストレージプール管理部４２０は、ステップＳ９０でのステータス変更後、仮想化制御部２１０に対して、ステータスを変更した論理ボリュームの識別番号を通知する。仮想化制御部２１０は、通知された論理ボリュームを仮想化ディスクから解放して、その仮想化ディスクの運用を終了する。
【０１６２】
上記のステップＳ８６〜Ｓ９０における、第２の消去モードでのデータ消去処理では、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットの暗号キーを変更するだけで、それらの論理ボリュームが仮想ディスクから解放されて、他の仮想ディスク用に再利用可能な状態になる。このため、第１の消去モードでのデータ消去処理と比較して、ごく短時間に、使用されていた論理ボリュームを再利用可能な状態に遷移させることができ、ストレージリソースを効率よく運用できる。
【０１６３】
［ステップＳ９１］データ消去モードが第３の消去モードである場合（Ｓ７８：Ｎｏ）、ストレージ管理部４１０は、運用を終了する仮想マシンおよび仮想ディスクの各識別番号を通知して、データ消去管理テーブル３５０への新規レコードの生成を要求する。
【０１６４】
［ステップＳ９２］ストレージ制御装置３０２のデータ消去処理部３２２は、データ消去管理テーブル３５０に対して、ストレージ管理部４１０から通知された仮想マシンおよび仮想ディスクについてのレコードを生成する。データ消去処理部３２２は、レコード生成が完了すると、その旨をインフラストラクチャ管理サーバ４００のストレージ管理部４１０に通知する。
【０１６５】
［ステップＳ９３］ストレージ管理部４１０は、論理ボリューム管理テーブル４３０を参照して、運用を終了する仮想ディスクに割り当てられている論理ボリュームに対応する論理ユニットを特定する。ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、特定した論理ユニットの識別番号を通知して、通知した論理ユニットへのアクセスで使用されている暗号キーの変更を要求する。
【０１６６】
［ステップＳ９４］ストレージ制御装置３０２のストレージ制御部３２０は、ホストＩ／Ｏ処理部３２１に、通知された論理ユニットごとにユニークな暗号キーを新たに生成させ、暗号キー管理テーブル３４０において各論理ユニットに設定された暗号キーを、新たな暗号キーに変更する。
【０１６７】
［ステップＳ９５］データ消去処理部３２２は、ストレージ管理部４１０から通知されたすべての論理ユニットについての暗号キー変更処理を完了すると、その旨をストレージ管理部４１０に通知する。
【０１６８】
［ステップＳ９６］インフラストラクチャ管理サーバ４００のストレージ管理部４１０は、ストレージプール管理部４２０に対して、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを「未使用」に変更するように要求する。
【０１６９】
［ステップＳ９７］ストレージプール管理部４２０は、ストレージプール管理テーブル４４０における、運用を終了する仮想ディスクに割り当てられている論理ボリュームのステータスを、「使用中」から「未使用」に変更する。これにより、仮想ディスクの運用が終了され、その仮想ディスクに割り当てられていた論理ボリュームが、他の仮想ボリューム用に再利用可能な状態になる。ステータスの変更処理が完了すると、ストレージプール管理部４２０は、ストレージ管理部４１０に対して変更完了を通知する。
【０１７０】
なお、仮想ディスクに対する論理ボリュームの割り当てをホストサーバ２００の仮想化制御部２１０が行う構成の場合には、例えば、ストレージプール管理部４２０は、ステップＳ９７でのステータス変更後、仮想化制御部２１０に対して、ステータスを変更した論理ボリュームの識別番号を通知する。仮想化制御部２１０は、通知された論理ボリュームを仮想化ディスクから解放して、その仮想化ディスクの運用を終了する。
【０１７１】
［ステップＳ９８］ストレージ管理部４１０は、ストレージ制御装置３０２のデータ消去処理部３２２に対して、ステップＳ９３で特定した論理ユニットの識別番号を通知して、通知した論理ユニットに対する第３の消去モードでの上書き処理を開始するように要求する。
【０１７２】
［ステップＳ９９］ストレージ制御装置３０２のデータ消去処理部３２２は、ステップＳ９２でデータ消去管理テーブル３５０に生成したレコードに、ストレージ管理部４１０から通知された論理ユニットを登録し、各論理ユニットについての単位領域の先頭ＬＢＡを展開する。これにより、データ消去管理テーブル３５０に対して、第３の消去モードでのデータ消去対象領域全体のアドレスが登録される。なお、データ消去管理テーブル３５０に展開されたＬＢＡに対応する実行状態は、すべて「未処理」に設定される。
【０１７３】
［ステップＳ１００］データ消去処理部３２２は、データ消去管理テーブル３５０において実行状態として「未処理」が設定された、論理ユニット内の領域に対して、初期化データの上書き処理を実行する。
【０１７４】
ここで、運用終了対象の仮想ディスクに割り当てられていた論理ボリュームは、ステップＳ９７の時点で他の仮想ディスクに割当可能な状態とされる。このため、ステップＳ９９でデータ消去処理部３２２に通知された消去対象領域の中には、初期化データが上書きされるより前に、他の仮想ディスクに割り当てられてホストサーバ２００からのデータ書き込みが行われる領域が発生し得る。このように、ホストサーバ２００からデータ書き込みが行われた領域については、データ消去管理テーブル３５０の実行状態が「上書き済み」に更新される。
【０１７５】
なお、次の図２４，図２５に示すように、第３の消去モードでの上書き処理は、ホストアクセス処理を実行していない時間帯に実行される。
上記のステップＳ９１〜Ｓ１００における、第３の消去モードが設定されている場合の処理では、第２の消去モードと同様に、暗号キーが変更されるとすぐに、仮想ディスクに割り当てられていた論理ボリュームが解放されて、別の仮想ディスク用に再利用可能な状態になる。さらにその後、ホストアクセス処理が実行されていない時間帯において、上書き処理の実行状態が「未処理」の領域に対してのみ、初期化データの上書き処理が実行される。
【０１７６】
次に、図２４，図２５は、ストレージ制御部でのホストアクセス処理および第３の消去モードでの上書き処理の手順の例を示すフローチャートである。
［ステップＳ１１１］ストレージ制御装置３０２のホストＩ／Ｏ処理部３２１は、ホストサーバ２００の仮想化制御部２１０から受領済みのアクセス要求があるかを判定する。例えば、ホストＩ／Ｏ処理部３２１は、仕掛かり中の制御コマンドを保持するキューに、仮想化制御部２１０からのアクセス要求コマンドがあるかを判定する。ホストＩ／Ｏ処理部３２１は、受領済みのアクセス要求がある場合（Ｓ１１１：Ｙｅｓ）、ステップＳ１１２の処理を実行する一方、受領済みのアクセス要求がない場合（Ｓ１１１：Ｎｏ）、図２５のステップＳ１１９の処理を実行する。
【０１７７】
［ステップＳ１１２］ホストＩ／Ｏ処理部３２１は、仮想化制御部２１０から受領済みのアクセス要求のうち最も先に受領したアクセス要求が、読み出し処理であるか、書き込み処理であるかを判定する。ホストＩ／Ｏ処理部３２１は、要求された処理が読み出し処理である場合（Ｓ１１２：Ｙｅｓ）、ステップＳ１１３の処理を実行する一方、要求された処理が書き込み処理である場合（Ｓ１１２：Ｎｏ）、ステップＳ１１４の処理を実行する。
【０１７８】
［ステップＳ１１３］ホストＩ／Ｏ処理部３２１は、最も先に受領したアクセス要求に応じて、仮想ディスクに割り当てられた物理記憶領域からの読み出し処理を実行する。この後、ステップＳ１１１の処理に戻り、仮想化制御部２１０から受領済みのアクセス要求があるかが再度判定される。
【０１７９】
［ステップＳ１１４］ホストＩ／Ｏ処理部３２１は、最も先に受領したアクセス要求に応じて、仮想ディスクに割り当てられた物理記憶領域に対する書き込み処理を実行する。
［ステップＳ１１５］ホストＩ／Ｏ処理部３２１は、書き込みに成功した場合（Ｓ１１５：Ｙｅｓ）には、仮想化制御部２１０に対して書き込み完了の応答を行い、ステップＳ１１６の処理を実行する。一方、ホストＩ／Ｏ処理部３２１は、書き込みに失敗した場合（Ｓ１１５：Ｎｏ）には、仮想化制御部２１０に対して書き込み失敗の応答を行い、ステップＳ１１１に戻り、仮想化制御部２１０から受領済みのアクセス要求があるかを再度判定する。
【０１８０】
［ステップＳ１１６］ホストＩ／Ｏ処理部３２１は、データ消去管理テーブル３５０から、ステップＳ１１４での書き込み先領域に対応するＬＢＡを検索する。
［ステップＳ１１７］ホストＩ／Ｏ処理部３２１は、データ消去管理テーブル３５０に、書き込み先領域に対応するＬＢＡが登録されている場合（Ｓ１１７：Ｙｅｓ）、ステップＳ１１８の処理を実行する。一方、ホストＩ／Ｏ処理部３２１は、書き込み先領域に対応するＬＢＡが登録されていない場合（Ｓ１１７：Ｎｏ）、ステップＳ１１１に戻り、仮想化制御部２１０から受領済みのアクセス要求があるかを再度判定する。
【０１８１】
［ステップＳ１１８］ホストＩ／Ｏ処理部３２１は、データ消去管理テーブル３５０における、書き込み先領域に対応するＬＢＡの実行状態を、「未処理」から「上書き済み」に変更する。これにより、実行状態が変更された領域は、初期化データの上書き処理対象から除外される。この後、図２５のステップＳ１２４の処理が実行される。
【０１８２】
［ステップＳ１１９］データ消去処理部３２２は、データ消去管理テーブル３５０から、実行状態が「未処理」であるＬＢＡを選択する。なお、この処理では、連続する複数のＬＢＡ（例えば、所定数以下のＬＢＡ）の実行状態が「未処理」である場合には、それらのＬＢＡが上書き対象領域として選択されてもよい。
【０１８３】
［ステップＳ１２０］データ消去処理部３２２は、ステップＳ１１９でＬＢＡを選択できた場合（Ｓ１２０：Ｙｅｓ）、ステップＳ１２１の処理を実行する。一方、ステップＳ１１９で「未処理」のＬＢＡが存在しなかった場合（Ｓ１２０：Ｎｏ）、図２４のステップＳ１１１が実行される。
【０１８４】
［ステップＳ１２１］データ消去処理部３２２は、ステップＳ１１９で選択したＬＢＡに対応する物理記憶領域に対して、初期化データを上書きする。
［ステップＳ１２２］データ消去処理部３２２は、初期化データの上書きに成功した場合（Ｓ１２２：Ｙｅｓ）、ステップＳ１２３の処理を実行する。一方、初期化データの上書きに失敗した場合（Ｓ１２２：Ｎｏ）、図２４のステップＳ１１１の処理が実行される。
【０１８５】
［ステップＳ１２３］データ消去処理部３２２は、データ消去管理テーブル３５０における、ステップＳ１２１での上書き対象ＬＢＡに対応する「実行状態」を、「未処理」から「上書き済み」に変更する。
【０１８６】
［ステップＳ１２４］データ消去処理部３２２は、データ消去管理テーブル３５０を参照し、ステップＳ１２３で「実行状態」を変更したＬＢＡが属する仮想ディスクのレコードにおいて、すべてのＬＢＡに対応する「実行状態」が「上書き済み」であるかを判定する。データ消去処理部３２２は、レコード内のすべてのＬＢＡに対応する「実行状態」が「上書き済み」である場合（Ｓ１２４：Ｙｅｓ）、ステップＳ１２５の処理を実行する。一方、レコード内に「実行状態」が「未処理」であるＬＢＡが１つでもある場合（Ｓ１２４：Ｎｏ）、図２４のステップＳ１１１の処理が実行される。
【０１８７】
［ステップＳ１２５］データ消去処理部３２２は、データ消去管理テーブル３５０から、ステップＳ１２３で「実行状態」を変更したＬＢＡが属する仮想ディスクおよび仮想マシンのレコードを削除する。これにより、運用が終了済みである１つの仮想ディスクについての第３の消去モードでのデータ消去処理が完了する。この後、図２４のステップＳ１１１の処理が実行される。
【０１８８】
以上の図２４，図２５の処理によれば、運用が終了済みである１つの仮想ディスクに割り当てられていた全論理ユニット（全論理ボリューム）の記憶領域において、ステップＳ１１４でのホストサーバ２００からの要求に応じたデータ書き込みが行われていた領域を除く領域に対してのみ、ステップＳ１２１での初期化データの上書きが実行される。これにより、運用が終了された仮想ディスクに割り当てられていた論理ボリュームが即座に再利用可能に遷移させることが可能になる。なぜなら、論理ボリュームが他の仮想ディスク用として再利用され、再利用された領域に新たなデータが書き込まれた場合に、その領域に対して初期化データが上書きされる事態を防止できるからである。
【０１８９】
また、再利用された領域に新たなデータが書き込まれた場合には、その領域に対する初期化データの上書きがスキップされることから、初期化データの上書き対象領域が小さくなり、初期化データの上書き処理全体に要する時間が短縮される。また、初期化データの上書き処理がホストＩ／Ｏ処理に与える影響を小さくすることもできる。
【０１９０】
また、第１のデータ消去モードでの上書き処理は、ホストサーバ２００の仮想化制御部２１０からのアクセス要求を受領していた場合でも、それらのアクセス要求に応じたアクセス処理と並列に実行される。このため、上書き処理の実行によって、ホストＩ／Ｏ処理の性能（速度）が低下する可能性がある。これに対して、ステップＳ１２１での初期化データの上書き処理は、ホストサーバ２００の仮想化制御部２１０からのアクセス要求を受領していない期間にのみ実行される。このため、第３のデータ消去モードでの上書き処理（Ｓ１２１）は、ホストＩ／Ｏ処理の性能に影響を与えない。
【０１９１】
なお、上記のインフラストラクチャ管理サーバ４００が備えるストレージ管理部４１０およびストレージプール管理部４２０の各機能のうちの少なくとも一部は、ホストサーバ２００が備えていてもよい。また、例えば、ホストサーバ２００がストレージプール管理部４２０を備える場合には、ストレージプール管理テーブル４４０および仮想ディスク管理テーブル４５０も、ホストサーバ２００内の記憶装置に保持されてもよい。
【０１９２】
以上の各実施の形態に関し、さらに以下の付記を開示する。
（付記１） 記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部と、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部と、
管理装置から、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域の指定を受けるとともに、指定された分割領域に記録されたデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、前記指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部と、
を有することを特徴とするストレージ装置。
【０１９３】
（付記２） 前記データ無効化処理部は、前記指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする付記１記載のストレージ装置。
【０１９４】
（付記３） 前記データ無効化処理部は、前記指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする付記２記載のストレージ装置。
【０１９５】
（付記４） 前記データ無効化処理部は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする付記２または３記載のストレージ装置。
【０１９６】
（付記５） 前記データ無効化処理部は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする付記４記載のストレージ装置。
【０１９７】
（付記６） 前記データ無効化処理部は、前記指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする付記２〜５のいずれか１つに記載のストレージ装置。
【０１９８】
（付記７） 無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた、記憶装置の記憶領域を分割して得られた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示する管理装置と、
複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部、および、
前記管理装置からデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部、
を備えるストレージ装置と、
を有することを特徴とするストレージシステム。
【０１９９】
（付記８） 前記データ無効化処理部は、前記無効化対象として指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする付記７記載のストレージシステム。
【０２００】
（付記９） 前記データ無効化処理部は、前記無効化対象として指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする付記８記載のストレージシステム。
【０２０１】
（付記１０） 前記管理装置は、前記無効化対象の仮想記憶領域に割り当てられていた分割領域に記録されたデータの無効化を前記ストレージ装置に指示すると、当該分割領域を、他の仮想記憶領域に割り当て可能な状態に遷移させることを特徴とする付記９記載のストレージシステム。
【０２０２】
（付記１１） 前記データ無効化処理部は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする付記８〜１０のいずれか１つに記載のストレージシステム。
【０２０３】
（付記１２） 前記データ無効化処理部は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする付記１１記載のストレージシステム。
【０２０４】
（付記１３） 前記データ無効化処理部は、前記無効化対象として指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする付記８〜１２のいずれか１つに記載のストレージシステム。
【０２０５】
（付記１４） ストレージ装置が、記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部を参照し、データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込み、
管理装置が、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示し、
前記ストレージ装置が、前記管理装置からのデータの無効化指示に応じて、前記暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化する、
ことを特徴とするストレージ制御方法。
【０２０６】
（付記１５） 前記ストレージ装置は、前記無効化対象として指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする付記１４記載のストレージ制御方法。
【０２０７】
（付記１６） 前記ストレージ装置は、前記無効化対象として指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする付記１５記載のストレージ制御方法。
【０２０８】
（付記１７） 前記管理装置は、前記無効化対象の仮想記憶領域に割り当てられていた分割領域に記録されたデータの無効化を前記ストレージ装置に指示すると、当該分割領域を、他の仮想記憶領域に割り当て可能な状態に遷移させることを特徴とする付記１６記載のストレージ制御方法。
【０２０９】
（付記１８） 前記ストレージ装置は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする付記１５〜１７のいずれか１つに記載のストレージ制御方法。
【０２１０】
（付記１９） 前記ストレージ装置は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする付記１８記載のストレージ制御方法。
【０２１１】
（付記２０） 前記ストレージ装置は、前記無効化対象として指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする付記１５〜１９のいずれか１つに記載のストレージ制御方法。
【符号の説明】
【０２１２】
１ ストレージシステム
１０ ストレージ制御装置
１１ アクセス処理部
１２ データ無効化処理部
１３ 暗号キー記憶部
２０ 管理装置
２１ データ無効化制御部
３１〜３４ 記憶装置
４１，４２ 仮想記憶領域
Ａ１〜Ａ４，Ａ１１〜Ａ１４ 分割領域
【特許請求の範囲】
【請求項１】
記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部と、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部と、
管理装置から、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域の指定を受けるとともに、指定された分割領域に記録されたデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、前記指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部と、
を有することを特徴とするストレージ装置。
【請求項２】
前記データ無効化処理部は、前記指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする請求項１記載のストレージ装置。
【請求項３】
前記データ無効化処理部は、前記指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする請求項２記載のストレージ装置。
【請求項４】
前記データ無効化処理部は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする請求項２または３記載のストレージ装置。
【請求項５】
前記データ無効化処理部は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする請求項４記載のストレージ装置。
【請求項６】
前記データ無効化処理部は、前記指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする請求項２〜５のいずれか１項に記載のストレージ装置。
【請求項７】
無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた、記憶装置の記憶領域を分割して得られた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示する管理装置と、
複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部、および、
前記管理装置からデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部、
を備えるストレージ装置と、
を有することを特徴とするストレージシステム。
【請求項８】
前記データ無効化処理部は、前記無効化対象として指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする請求項７記載のストレージシステム。
【請求項９】
前記データ無効化処理部は、前記無効化対象として指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする請求項８記載のストレージシステム。
【請求項１０】
前記管理装置は、前記無効化対象の仮想記憶領域に割り当てられていた分割領域に記録されたデータの無効化を前記ストレージ装置に指示すると、当該分割領域を、他の仮想記憶領域に割り当て可能な状態に遷移させることを特徴とする請求項９記載のストレージシステム。
【請求項１】
記憶装置の記憶領域を分割して得られた複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部と、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部と、
管理装置から、無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた分割領域の指定を受けるとともに、指定された分割領域に記録されたデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、前記指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部と、
を有することを特徴とするストレージ装置。
【請求項２】
前記データ無効化処理部は、前記指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする請求項１記載のストレージ装置。
【請求項３】
前記データ無効化処理部は、前記指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする請求項２記載のストレージ装置。
【請求項４】
前記データ無効化処理部は、前記無効化指示を受けた後の任意のタイミングで、前記初期化データの上書き処理を実行することを特徴とする請求項２または３記載のストレージ装置。
【請求項５】
前記データ無効化処理部は、前記無効化指示を受けた後に、ホスト装置から前記記憶装置に対するアクセス要求を受信していない期間に、前記初期化データの上書き処理を実行することを特徴とする請求項４記載のストレージ装置。
【請求項６】
前記データ無効化処理部は、前記指定された分割領域に対応付けられた暗号キーの無効化処理を実行した後に、前記指定された分割領域に対する前記初期化データの上書き処理を実行することを特徴とする請求項２〜５のいずれか１項に記載のストレージ装置。
【請求項７】
無効化対象の仮想記憶領域に対して物理記憶領域として割り当てられた、記憶装置の記憶領域を分割して得られた分割領域を指定するとともに、指定した分割領域に記録されたデータの無効化を指示する管理装置と、
複数の分割領域のそれぞれに対応付けられた暗号キーが記録された暗号キー記憶部、
データ書き込み先の分割領域に対応する暗号キーを前記暗号キー記憶部から取得し、取得した暗号キーを用いて書き込み対象のデータを暗号化し、暗号化して得られた暗号化データを前記データ書き込み先の分割領域に書き込むアクセス処理部、および、
前記管理装置からデータの無効化指示を受けると、前記暗号キー記憶部に記録された暗号キーのうち、無効化対象として指定された分割領域に対応付けられた暗号キーを無効化するデータ無効化処理部、
を備えるストレージ装置と、
を有することを特徴とするストレージシステム。
【請求項８】
前記データ無効化処理部は、前記無効化対象として指定された分割領域の少なくとも一部に、データ消去用の初期化データを上書きすることを特徴とする請求項７記載のストレージシステム。
【請求項９】
前記データ無効化処理部は、前記無効化対象として指定された分割領域のうち、前記無効化指示を受けた後に新たなデータが書き込まれた領域を除く残りの領域に、前記初期化データを上書きすることを特徴とする請求項８記載のストレージシステム。
【請求項１０】
前記管理装置は、前記無効化対象の仮想記憶領域に割り当てられていた分割領域に記録されたデータの無効化を前記ストレージ装置に指示すると、当該分割領域を、他の仮想記憶領域に割り当て可能な状態に遷移させることを特徴とする請求項９記載のストレージシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【公開番号】特開２０１３−７７１０６（Ｐ２０１３−７７１０６Ａ）
【公開日】平成２５年４月２５日（２０１３．４．２５）
【国際特許分類】
【出願番号】特願２０１１−２１５９５３（Ｐ２０１１−２１５９５３）
【出願日】平成２３年９月３０日（２０１１．９．３０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２５年４月２５日（２０１３．４．２５）
【国際特許分類】
【出願日】平成２３年９月３０日（２０１１．９．３０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]