JP4028677B2

JP4028677B2 - Remote copy computer system

Info

Publication number: JP4028677B2
Application number: JP2000271865A
Authority: JP
Inventors: 久司高松; 正史野沢; 高大枝; 昇森下
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2000-09-07
Filing date: 2000-09-07
Publication date: 2007-12-26
Anticipated expiration: 2020-09-07
Also published as: JP2002084270A

Description

【０００１】
【発明の属する技術分野】
本発明は、コンピュータシステムのデータを格納する外部記憶装置及びこれらの統合システムに関し、特に、複数の外部記憶装置（サブシステム群）と遠隔地に存在する他の複数の外部記憶装置（サブシステム群）とを相互に接続し、遠隔地に存在する外部記憶装置（サブシステム群）の間でデータを二重化するリモートコピー技術において、データを暗号化して転送する技術に関する。
【０００２】
【従来の技術】
地震等の天災の際のデータのバックアップを考慮すれば、ホストコンピュータ（上位装置）とサブシステム等から構成されるセンターにおいて、メインセンターとリモートセンターは数１００ｋｍ程度、分離する必要がある。ここで、サブシステムとは、上位装置に対して情報の授受を行なう制御部と、情報の格納を行なうディスク装置等を内蔵する記憶装置を言う（記憶装置がディスク装置の場合はディスクサブシステムと称する）ものである。このため、メインセンターとリモートセンターにそれぞれ設置されているサブシステムの間で、データを二重化して保有する、いわゆる、リモートコピー機能を採用した外部記憶システムが、既にいくつか実用化されている。
【０００３】
リモートコピー機能は、同期形と非同期形の２種類に大別される。同期形とはメインセンター内のホストコンピュータ（上位装置）からメインセンター内のサブシステムに、データの更新(書き込み)指示が有った場合、その指示対象がリモートコピー機能の対象でもあるときは、そのリモートコピー機能の対象であるリモートセンターにおけるサブシステムに対して、指示された更新（書き込み）が終了してから、メインセンターの上位装置に更新処理の完了を報告する処理手順をいう。この場合、メインセンターとリモートセンターとの地理的距離に応じて、この間に介在するデータ伝送線路の能力の影響を受け、時間遅れ（伝送時間等）が発生する。
【０００４】
これに対して、非同期形とは、メインセンター内の上位装置からサブシステムにデータの更新(書き込み)指示が有った場合、その指示対象がリモートコピー機能の対象であっても、メインセンター内のサブシステムの更新処理が終わり次第、上位装置に対して更新処理の完了を報告し、リモートセンターのサブシステムにおけるデータの更新（反映）はメインセンターにおける処理とは非同期に実行する処理手順をいう。このためメインセンター内部で必要とされる処理時間でデータ更新が終了するので、リモートセンターへのデータの格納に起因する伝送時間等はかからない。
【０００５】
非同期形は、リモートセンターのサブシステムの内容が、メインセンター側のそれに対して、常に一致しているわけではない。このため、メインセンターが災害等により機能を失った場合は、リモートセンター側にデータの反映が完了していないデータが消失することとなる。しかし、メインセンター側のサブシステムのアクセス性能を、リモートコピー機能を実施しない場合と同等レベルとすることが出来る。
【０００６】
これらのリモートコピー機能を遠隔地間で高性能かつ廉価に実現するには、非同期形を使用することになる。この場合、メイン側からリモート側へデータを転送（コピー）する伝送路として公衆通信回線を使用することになるため、以下に記述するような、情報の漏洩防止が重要な課題となる。
【０００７】
「暗号化したデータ転送について」
公衆通信回線を経由したデータ転送を行なう場合、情報の漏洩防止のため、暗号化したデータ転送が行なわれており、これをリモートコピーに適用することが考えられる。この場合、メインセンターのプライマリディスクサブシステム群とリモートセンターのセカンダリディスクサブシステム群との間で暗号化したデータ転送を行なう事になる。リモートコピーにおいては、長期間にわたってデータ転送を行なう為、高いデータ転送性能と高い暗号強度を両立させなければならない。
【０００８】
「通信路における暗号化したデータ転送について」
ネットワーク経由でデ―タを通信する２台以上のコンピュータを備えたデ―タ通信システムにおいて、自己のコンピュータのアプリケーションプログラムが他方のコンピュータのアプリケーションプログラムに対して、データを暗号化して送信する方式がある。この方式の具体的開示は、例えば「暗号化デ―タ通信システム」として、特開平９−１３９７３５号公報に詳細になされている。前記「暗号化デ―タ通信システム」においては、２台のコンピュータ上で、それぞれ中継サービスプログラムを動作させておき、この中継サービスでデータを暗号化してネットワーク経由で送受信することにより通信路における暗号化したデータ転送を実現している。
【０００９】
【発明が解決しようとする課題】
従来技術（暗号化デ―タ通信システム）により、通信路における暗号化したデータ転送の機能が実現出来る。しかし従来技術では、長期間にわたってデータ転送を行なう場合、同一の暗号鍵を長時間更新することなく用いているので、暗号鍵が悪意に解読されデータが盗まれる虞があった。また、暗号鍵を更新するにしてもオフラインで通知していたので、データ転送性能が悪くなっていた。即ち、従来技術では、高いデータ転送性能と高い暗号強度との両立が考慮されていない。
【００１０】
本発明の目的は、リモートコピーにおいて、高いデータ転送性能と高い暗号強度とを両立させるために、転送するデータを暗号化する暗号鍵の更新のタイミングを規定するとともに、更新された暗号鍵と転送されるデータの対応付けを行うリモートコピーのコンピュータシステムを提供することにある。
【００１１】
【課題を解決するための手段】
前記課題を解決するために、本発明は主として次のような構成を採用する。
【００１２】
上位装置と接続されてデータの授受を行なう制御手段、前記データの格納を行なう記憶手段、を有するプライマリディスクサブシステム群からなるメインセンターを備え、
前記プライマリディスクサブシステム群と離隔した場所に配置されて前記プライマリディスクサブシステム群から転送される暗号化されたデータを受け取る制御手段、前記転送されたデータの格納を行なう記憶手段、を有するセカンダリディスクサブシステム群からなるリモートセンターを備え、
前記プライマリディスクサブシステム群は、データの書込処理の実行中に暗号化したデータ転送の暗号鍵を更新するタイミングであるか否かを判断し、更新タイミングであれば、前記暗号鍵を更新するとともに前記更新した暗号鍵に順序番号を付加して前記セカンダリサブシステム群に転送し、順序番号の付加された転送データと対応付けするリモートコピーのコンピュータシステム。
【００１３】
前記リモートコピーのコンピュータシステムにおいて、前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群に暗号化して転送されたデータを、復号することなく前記リモートセンターの記憶手段に保存し、災害回復のタイミングで復号するリモートコピーのコンピュータシステム。
【００１４】
前記リモートコピーのコンピュータシステムにおいて、前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群にデータを暗号化して転送する際に、前記暗号鍵を前記リモートセンターとは別地に配置された他のリモートセンターにリモートコピーして保存し、災害回復のタイミングで前記他のリモートセンターに保存された暗号鍵を使用してデータ復号するリモートコピーのコンピュータシステム。また、前記リモートコピーのコンピュータシステムにおいて、前記プライマリディスクサブシステム群から前記セカンダリディスクサブシステム群に暗号化して転送されたデータを復号する際に、前記データに関するレコードの特定部分を捜索した場合にのみ復号するリモートコピーの暗号化システム。
【００１５】
【発明の実施の形態】
本発明の実施形態に係るリモートコピーのコンピュータシステムについて図面を用いて以下説明する。図１は本発明の実施形態に係るリモートコピーのコンピュータシステムの全体構成を示す図であり、図３は本実施形態に関するメインセンターのプライマリディスクサブシステムの具体的構成を示す図である。
【００１６】
図１に、コンピュータシステムを装備した複数のデータセンターにおいて、任意の２つのセンター間で情報（データ）の二重化を行なうため、本発明の一実施形態を適用したときの構成例を示す。
【００１７】
メインセンター９側の一台又は複数台のディスクサブシステム３（３−１、３−２、…、３−ｎ）と、リモートセンター１０側の一台又は複数台のディスクサブシステム７（７−１、７−２、…、７−ｎ）は、上位装置（ホストコンピュータ）１、８を介さずに接続され、両センター間でデータの二重化を行なうリモートコピーシステムを実現している。上位装置を介さないディスクサブシステムの接続としては、例えば、ＳＡＮ（ＳｔｏｒａｇｅＡｒｅａＮｅｔｗｏｒｋ）が挙げられる。図３にメインセンター９のディスクサブシステム３の構成例を示す。
【００１８】
図１のメインセンター９において、データ処理を行なう中央処理装置（ＣＰＵ）を持つ上位装置１は、伝送経路であるインタフェースケーブル２を介して、プライマリディスクサブシステム３−１、３−２、………３−ｎに接続されている。
【００１９】
プライマリディスクサブシステム３−１、３−２、………３−ｎは、図３に示すように、上位装置１からのデータ（情報を含む）授受を行なうインタフェース制御部２１と、上位装置１から参照又は更新されるデータ及びリモートコピーが一次停止中の更新データの格納位置に関する情報を格納するデータバッファ２２と、このデータを記録する記録媒体としての磁気ディスクドライブ２３と、これらのデータのやり取りを制御するマイクロプロセッサ２４と、これらの各要素を制御するディスクアレイサブシステム制御部２５と、を備える。なお、インタフェース制御部２１はリモートセンター１０との間でデータ授受を行うインタフェースでもある。
【００２０】
また、プライマリディスクサブシステム３−１は、上述した構成要素群に加えて、リモートコピーをどのような設定にて行なうかをユーザが設定するコンソール２６と、コンソール２６により設定された制御情報により現在のリモートコピー状況を表わす制御ビットを格納するリモートコピー制御情報格納部２７と、を備える。
【００２１】
メインセンター９のプライマリディスクサブシステム３−１は、インタフェースケーブル４−１を介してリモートセンター１０のセカンダリディスクサブシステム７−１と接続される。同様に、プライマリディスクサブシステム３−２は、インタフェースケーブル４−２を介して、セカンダリディスクサブシステム７−２と接続され、プライマリディスクサブシステム３−ｎは、インタフェースケーブル４−ｎを介して、リモートセンタのセカンダリディスクサブシステム７−ｎと接続される構成をとる。
【００２２】
なお、インタフェースケーブル４−１、４−２、………４−ｎは、回線接続装置等を利用して一般の公衆通信回線と接続することも可能である。本構成例ではこの点も含めてインタフェースケーブル４−１〜４−ｎとして記述する。
【００２３】
また、ディスクサブシステム３が複数台有る場合には、ディスクサブシステム３−１は、メインセンター９内でリモートコピー対象のデータが格納されるディスクサブシステム３−１以外のディスクサブシステム３−２、………３−ｎとインタフェースケーブル５を介して接続されている。この様に、メインセンター９側ではリモートコピー対象のデータが格納されるディスクサブシステム３−１について、プライマリディスクサブシステム群３全体がインタフェースケーブル５で接続される構成をとる。
【００２４】
プライマリディスクサブシステム群３は、上位装置１がプライマリディスクサブシステム群３にデータの書込要求を発行すると、これに同期して当該データを自己のサブシステム内のデータバッファ２２に書き込み、更に自己のサブシステム内のデータバッファ２２にデータが書き込まれたこととは非同期に、遠隔地に存在するセカンダリディスクサブシステム群７に対して、データの書込指示を行なうディスクサブシステム群である。自己のサブシステム内のデータバッファ２２に書き込まれた当該データは、同期或いは非同期にて磁気ディスクドライブ２３に記録される。
【００２５】
遠隔地に非同期形でデータを書込むリモートコピーの方法として、メインセンター９のプライマリディスクサブシステム群３は、自己のサブシステム内のボリュームが更新された順番に従い、自サブシステムが接続されているリモートセンター１０のセカンダリディスクサブシステム群７に更新データを転送して、リモートセンター１０のセカンダリディスクサブシステム群７は受取った順番に従い、更新データを自己のサブシステム内のボリュームに反映するモードと、メインセンター９側が自己のサブシステム内のボリュームが更新された順番によらずにプライマリディスクサブシステム群３で最適にスケジューリングされた契機で転送対象のデータを纏めて転送して、リモートセンター１０のセカンダリディスクサブシステム群７は受取った順番に関係なく更新データを更新された順番で自己のサブシステム内のボリュームに反映するモードと、を保有する。
【００２６】
セカンダリディスクサブシステム群７は、インタフェースケーブル４により接続されたプライマリディスクサブシステム群３からインタフェース制御部２１経由で受取ったデータを自サブシステム内のデータバッファ２２に格納する。
【００２７】
つまり、上位装置１から一台または複数台のディスクサブシステム３−１、３−２、………３−ｎに対しデータの書き込み指示があった場合には、リモートセンター１０内の一台または複数台のディスクサブシステム７−１、７−２、………７−ｎにも同じデータが格納されるシステム構成を示している。図１の矢印は、上位装置１から書き込み指示のあったデータの流れを示している。
【００２８】
なお、プライマリディスクサブシステム群３は、リモートコピーにおける暗号化の状態を表わす制御ビットをリモートコピー制御情報格納部２７内に持っており、予めシステム運用者により設定された契機もしくは不定期間隔の契機もしくは任意の時点でのシステム運用者による指示に基づき、この制御ビットの情報を変更することによってリモートコピーを一時停止状態にすることができる。なお、本発明の一実施形態では、この一時停止状態に、更新した暗号鍵をプライマリ側からセカンダリ側へ通知することになる（詳細は後述）。リモートコピーが一時停止のときは、プライマリディスクサブシステム群３はセカンダリディスクサブシステム群７への更新データの書き込み指示の発行は行なわずに保留する。
【００２９】
ここで、プライマリディスクサブシステム３−１のリモートコピー制御情報格納部には、前記セカンダリディスクサブシステム群にデータをリモートコピーする際に暗号化してデータ転送するか否かを規定した制御情報を格納しても良い。前記制御情報が暗号化してデータ転送すると規定している場合にデータの暗号化を行なってデータ転送すると共に、一方、前記セカンダリディスクサブシステム群では、前記プライマリディスクサブシステム群の前記制御情報を確認し、前記制御情報が暗号化してデータ転送するとなっている場合に転送されたデータに対して暗号化に適応した処理を行なうことで（例えば、暗号鍵を用いて転送データを復号するように対処すること）、メインセンターからリモートセンターへコピーされたデータの整合性を取ることができる。
【００３０】
本発明では、このようにリモートコピーを一時停止させ、この間に更新した暗号鍵をリモートセンターへ通知することによりメインセンター９側のデータとリモートセンター１０側のデータとで使用される暗号鍵の整合性を取ることが出来るので、上位装置の介在無しでリモートコピーの暗号鍵の更新を実現することが出来る。このためメインフレームだけでなくオープン系のシステムであっても、同様の機能を実現することが出来る。
【００３１】
また、プライマリディスクサブシステム群３は、予めシステム運用者により設定された契機もしくは不定期間隔の契機もしくは任意の時点でのシステム運用者による指示に基づき、上記一時停止状態を解除することが出来る。
【００３２】
一時停止状態が解除されると、プライマリディスクサブシステム群３は、上位装置１からプライマリディスクサブシステム群３へデータの書込要求が発行された場合は、これに同期して当該データを自己のサブシステム内のデータバッファ２２に書き込み、更に、自己のサブシステム内のデータバッファ２２にデータが書き込まれたこととは非同期に、遠隔地に存在するセカンダリディスクサブシステム群７に対してデータの書込指示を行なう。そして、実際にリモートセンターへデータを転送する際に更新した暗号鍵を用いる。
【００３３】
このような構成とする事により、メインセンター９内のリモートコピー対象のプライマリディスクサブシステム群３のボリュームと、リモートセンター１０内のセカンダリディスクサブシステム群７のボリュームとにおいて、同一のタイミングで暗号鍵の更新が出来る。さらに、プライマリディスクサブシステム群３においてリモートコピーが一時停止状態となっている間は、プライマリディスクサブシステム群３が一時停止状態となった時点のメインセンタ９のプライマリディスクサブシステム群３のデータの状態と、リモートセンター１０のセカンダリディスクサブシステム群７でのデータの状態とが一致している。即ち当該時点で２センター間で一貫性が保証されたデータの状態が保証・維持される。
【００３４】
なお、リモートコピーの一時停止や一時停止の解除は、リモートコピーのボリュームペア単位に設定出来る。複数のボリュームペアを一つのボリュームグループに設定して、ボリュームグループ単位に状態を変化させることも可能である。そして、一時停止や一時停止解除を何れかのサブシステム３，７や上位装置１，８のコンソール、或いはこれらのシステムを管理する際に使用するモニターに表示することによって、ユーザはリモートコピーが現在行なわれているか否か、またどのような単位でリモートコピーが行われているかを認識する事が出来る。
【００３５】
このリモートコピーの一時停止及び一時停止解除の間隔はユーザの任意に設定する事が可能である。ここではリモートコピーの転送データの傍受による暗号解読の危険性の高まりに要する時間を周期として、メインセンター９からリモートセンター１０へのリモートコピーを行い、ここで一時停止して、更新された暗号鍵を送信して、その後に一時停止を解除して、再びリモートコピーを行なうというサイクルを挙げておく。勿論、この例に囚われずに一時停止及び一時停止解除の間隔を設定しても良い。
【００３６】
上位装置８は、リモートセンター１０においてセカンダリディスクサブシステム群７とインタフェースケーブル６によって接続され、セカンダリディスクサブシステム群７に対して、参照及び更新を行なう中央処理装置である。上位装置８は、メインセンター９の上位装置１が災害や故障等により本来の機能を果たせなくなった場合に、上位装置１の代替となって処理を行なうことが出来る。このほか、セカンダリディスクサブシステム群７に格納されているデータを使用して、メインセンター９の上位装置１とは異なる処理を、上位装置１とは別個独立に実行することが出来るものである。
【００３７】
但し、上位装置８がセカンダリディスクサブシステム群７に対して処理を行なわない場合や上位装置１の代替機能を備えない場合には、上位装置８は不要である。逆に、上位装置８を備え、ディスクサブシステム７−１を他のディスクサブシステム７−２〜７−ｎとインタフェースケーブル１１で接続し、メインセンター９のプライマリディスクサブシステム群３と同様の構成とすることで図１のメインセンター９をリモートセンターとして、リモートセンター１０をメインセンターとして機能させることも可能である。
【００３８】
本発明の実施形態として、データの二重化方法と運用を図２を用いて説明する。
【００３９】
二重化の対象となるデータが格納されたファイルやボリューム、ディスクサブシステム３は、事前に運用者が二重化つまりリモートコピーの必要に応じて選択する。そして、対象ファイルや対象ボリューム及びディスクサブシステム３と、選択したデータの複製を格納するファイルやボリューム及びディスクサブシステム７との関係や、二重化する際に更新順序の整合性を常時保持する必要が有るか否かを、予め運用者が上位装置１或いはコンソール２６等からプライマリディスクサブシステム３−１内のリモートコピー制御情報格納部２７に対し設定しておく。
【００４０】
また、プライマリディスクサブシステム３−１については、リモートコピーを一時停止させる契機並びに一時停止を解除する契機を設定する。契機の設定は、上位装置１から指示できるため、運用の自動化を支援する上位装置１のプログラムにより上位装置１からの指示契機を予めスケジューリングしておくことが可能である。
【００４１】
上記の選択、設定に際し、専用のコンソール２６を接続又は装備できるディスクサブシステム３の場合には、上位装置１を利用せず、そのコンソール２６を通じて設定できる。本例では、上位装置１を利用せず、プライマリディスクサブシステム群３内部で保有する時間値を利用して、予め運用者がプライマリディスクサブシステム３−１において、不定期間隔でリモートコピーの一時停止、並びに一時停止の解除が実施されるように設定しておく。
【００４２】
図２のフローは専用のコンソールから選択・設定を行なう場合を示している。リモートコピーのパスやボリュームペアの初期設定、即ちどのディスクサブシステムにリモートコピー要求を出すかの設定は、ユーザが予め上位装置１に対して設定しておく（ステップ１：図ではＳ１の様に示す。以下同じ）。また、リモートコピーの一時停止や一時停止解除の初期設定は、リモートコピー対象のボリュームペア単位に設定する（ステップ２）。通常は、リモートコピー対象のボリュームペアすべてを一つのボリュームグループとして定義し、ボリュームグループ内のボリュームはすべて同一のステータスとなるように設定する。
【００４３】
本例では、ディスクサブシステム３のボリューム全てをリモートコピー対象とする。従って、以下では、リモートコピーの状態を、ボリュームペアやボリュームグループ単位ではなく、ディスクサブシステム単位として記述する。
【００４４】
リモートコピー対象のファイルやボリュームの設定方法としては、ボリュームやディスクサブシステムを意味する具体的なアドレスを指定する方法や、ディスクサブシステム内の制御プログラムによって、アドレスの任意の範囲から選択する方法を取ることもできる。初期設定として、パスやボリュームペアの設定、並びに一時停止契機や一時停止解除契機の設定を行なう例を示してある。
【００４５】
上位装置１から、プライマリディスクサブシステム３−１、３−２、………、３−ｎに対し、ライトコマンドが発行されると（ステップ３）、プライマリディスクサブシステム３−１、３−２、………、３−ｎはライトコマンドに基づき自己のディスクサブシステム内のデータバッファ２２へのデータ格納処理を実行する（ステップ４）。ここで、ライトコマンドとは、データを書込むための指示と書込みデータそのものとを転送するコマンドである。
【００４６】
ライトコマンドを受領した際、プライマリディスクサブシステム３−１、３−２、………、３−ｎは、プライマリディスクサブシステム群３のリモートコピー制御情報格納部２７に格納されているリモートコピー状態を表す制御ビットを取得・参照することにより、プライマリディスクサブシステム群３がリモートコピー一時停止状態にあるか否かを確認する（ステップ５）。プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３がリモートコピー一時停止状態にある場合、データバッファ２２へのデータ書き込みが終了すれば上位装置１に対しライトコマンドに対する処理の完了を報告する（ステップ６）。この後、ライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行し、ライトコマンドに対する処理を完了させる。
【００４７】
なお、メインセンタにおいて以前に更新が行なわれたデータについて、リモートセンタに未転送のデータの格納位置情報を保持している場合は、当該位置の全てのデータもリモートセンタのセカンダリディスクサブシステム７−１、７−２、………７−ｎへの転送対象と判断し、当該データを書込む為のライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行し、ライトコマンドに対する処理を完了させる。この際、現在、設定されている暗号鍵を用いて、データを暗号化して、プライマリディスクサブシステムからセカンダリサブシステムへ転送する。即ち、当該書込みコマンドによるデータ及び未転送の全ての更新データ（書込みデータ）は、現在の暗号鍵により暗号化され、リモートセンターへ全て転送される（ステップ７）。その後、データ転送は一時停止状態になる。
【００４８】
次に、メインセンタ内の暗号鍵（暗号鍵はこれを用いてデータを暗号化／復号化するためのもの）を更新する（ステップ８）。この後、更新された暗号鍵をセカンダリディスクサブシステム７−１、７−２、………７−ｎに転送する（ステップ９）。暗号鍵を転送後、プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３のリモートコピー（データ転送）一時停止状態を解除する（ステップ１０）。従って、リモートコピー一時停止状態後は、更新された新しい暗号鍵が使用される。つまり、リモートへ転送されるデータは新しい暗号鍵（更新された暗号鍵）で暗号化され、この暗号化されたデータがリモートへ転送される。
【００４９】
なお、ステップ８及びステップ９においては、プライマリディスクサブシステム群３からセカンダリディスクサブシステム群７に一般的に転送しているデータと同様のデータ長／データパターンを持ったデータを作成し、その一部として更新した暗号鍵を埋込み、暗号鍵をリモートへ転送しても良い。こうすることによって、暗号鍵を転送する特別なパケットを使用する必要が無くなり、且つ、外部からは、一般データと思えるため、リモートコピーの一時停止のタイミングを外部から隠蔽することが可能となり、結果として暗号化議を送る際の安全性が高くなる。ここで暗号鍵を埋め込むべきデータは一般に転送しているデータに似せることが重要であり、必ずしも完全に一致させる必要はない。
【００５０】
一方、ステップ５でプライマリディスクサブシステム群３がリモートコピー一時停止状態にない場合は、プライマリディスクサブシステム３−１、３−２、………、３−ｎは、データバッファ２２へのデータ書き込みが終了すれば上位装置１に対しライトコマンドに対する処理の完了を報告し（ステップ１１）、自己のサブシステムの処理能力に基づいて決定された契機で、ライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行する。この時メインセンタにおいて更新（書込み）が行なわれたデータについて、リモートセンタにライトコマンドが直ちに発行されない場合があるが、これはリモートセンタへ未転送のデータの格納位置情報として自サブシステム内に保持しておく。また、メインセンタにおいて以前に更新が行なわれたデータについて、リモートセンタに未転送のデータの格納位置情報を保持している場合は、当該位置のデータもリモートセンタのセカンダリディスクサブシステム７−１、７−２、………７−ｎへの転送対象と判断し、当該データを書込む為のライトコマンドを発行する。この際、現在用いている暗号鍵を用いて暗号化してセカンダリへ転送する（ステップ１２）。当該データの格納位置情報は、ライトコマンドに対するリモートへの転送処理が完了した後に、これを消去する。
【００５１】
即ち、プライマリディスクサブシステム群３がリモートコピー一時停止状態にあれば、メインセンタ９のプライマリディスクサブシステム群３は、暗号鍵を更新すると共に更新された暗号鍵をリモートセンタ１０のセカンダリディスクサブシステム群７に転送する。また、プライマリディスクサブシステム群３がリモートコピー一時停止状態になければ、メインセンタ９のプライマリディスクサブシステム群３は上位装置１からライトコマンドが発行される事に起因し現在の暗号鍵を用いてリモートコピーが実施される。
【００５２】
セカンダリディスクサブシステム７−１、７−２、………７−ｎは、プライマリディスクサブシステム３−１、３−２、………３−ｎから発行されたライトコマンドを受領していることを確認すると、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理を行なう（ステップ１３）。
【００５３】
セカンダリディスクサブシステム７−１、７−２、………、７−ｎは、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理が完了すると、プライマリディスクサブシステム３−１、３−２、………３−ｎに対し、ライトコマンドに対する処理完了報告を行なう（ステップ１４）。
【００５４】
本発明により、上位装置１から書込まれたデータは、プライマリディスクサブシステム３−１、３−２、………、３−ｎに格納されるだけでなく、セカンダリディスクサブシステム７−１、７−２、７−ｎにも複写され格納される。また、プライマリディスクサブシステム群３がリモートコピー一時停止状態となった時点のプライマリディスクサブシステム３−１、３−２、………３−ｎのデータの状態が、リモートセンタ１０側のセカンダリディスクサブシステム７−１、７−２、………７−ｎで生成される。この時、プライマリディスクサブシステム群３が更新された暗号鍵をセカンダリディスクサブシステム群７に転送する。
【００５５】
セカンダリディスクサブシステム群７は、プライマリディスクサブシステム群３によって更新された暗号鍵を受取った時点から、当該更新された暗号鍵を使用してデータを復号することが出来る。メインセンター９が被災した場合は、セカンダリディスクサブシステム７−１、７−２、………７−ｎのデータを利用して、ジョブを再実行する等の回復作業を行ない、業務を再開する。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００５６】
以上説明したように、本発明の第１の実施形態は、適宜の時間間隔毎に設定されたリモートコピーの一次停止（リモートコピーを一時停止する意味はこの一時停止を境に暗号鍵を変更することである）と一時停止解除との間で暗号鍵を更新し、更新後の暗号鍵をリモートセンターにも通知するシステムであるので、一時停止解除に再開されたリモートコピーのデータは更新後の暗号鍵を用いてデータ復号されることとなり、リモートセンターへ転送されるデータと暗号鍵との対応付けが明確となっているのである。
【００５７】
結局のところ、本発明の第１の実施形態は、次のような構成、機能乃至作用を奏するものである。相互に遠隔地に存在するメインセンターのプライマリディスクサブシステム群とリモートセンターのセカンダリディスクサブシステム群とを接続する。メインセンターのプライマリディスクサブシステム群は上位装置より更新データを受け取ると、自サブシステムへのデータの格納を開始する。
【００５８】
そして、プライマリディスクサブシステム群は自サブシステムが暗号鍵を変更するタイミングの状態になっているか否かを確認する。暗号鍵を変更するタイミングの状態になっていない場合は、プライマリディスクサブシステム群は当該データを現在の暗号鍵を用いたリモートセンターへの転送対象とする。暗号鍵を変更するタイミングの状態になっている場合は、今回受けたデータと、今まで受けたデータで未転送分をリモートセンターへ送った後、プライマリディスクサブシステム群はリモートセンターへのデータ転送を一時停止し、暗号鍵を更新し、且つ更新された暗号鍵をリモートセンターへ転送して、一時停止されたリモートセンターへのデータ転送を再開する。
【００５９】
前記一時停止の期間はリモートセンターへのデータ転送は行なわない。プライマリディスクサブシステム群においてリモートセンターへのデータ転送の一時停止状態が解除された後は、メインセンターのプライマリディスクサブシステム群はリモートセンターのセカンダリディスクサブシステム群へ更新された暗号鍵を用いてデータ転送を再開する。
【００６０】
このようにして、メインセンターとリモートセンターの間で、暗号鍵を更新しながら、リモートコピーによりデータの二重化を行なう。
【００６１】
次に、本発明の第２の実施形態として、データの二重化方法と運用の概略を図４を用いて説明する。
【００６２】
図４のフローにおいてステップ２１〜２４は、図２のフローのステップ１〜４と共通である。ここではステップ２５から説明する。
【００６３】
上位装置１からライトコマンドを受領した際、プライマリディスクサブシステム３−１、３−２、………３−ｎは、プライマリディスクサブシステム群３のリモートコピー制御情報格納部２７に格納されているリモートコピー状態を表す制御ビットを取得・参照することにより、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングにあるか否かを確認する（ステップ２５）。プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３が暗号鍵を更新するタイミングにある場合、暗号鍵を更新する（ステップ２６）。
【００６４】
この後、プライマリディスクサブシステム群３からセカンダリディスクサブシステム群７に一般的に転送しているデータと同様に、更新された暗号鍵に順序番号（データ順序番号に対応）を付与し（ステップ２７）、この暗号鍵をセカンダリディスクサブシステム７−１、７−２、………７−ｎに転送して（ステップ２８）、データの更新位置を示す情報（例えば、データバッファのアドレス）をサブシステム内に保存して（ステップ２９）、書き込みが終了すると上位装置１に対しライトコマンドに対する処理の完了を報告する（ステップ３０）。更に、プライマリディスクサブシステム３−１、３−２、………３−ｎはプライマリディスクサブシステム群３の暗号鍵を更新するタイミングを解除する（ステップ３１）。
【００６５】
以上のことがらを具体的に説明する。ホストから書込み要求（書込みデータ）が送られてくると、プライマリディスクサブシステムは、データが送られてきた順序で、データに順序番号を付与しつつバッファに格納する。これらのデータは適当な契機によって、現在の暗号鍵（旧暗号鍵）を用いて暗号化され、セカンダリディスクサブシステムへ順序番号と共に転送される。この際、セカンダリディスクサブシステムへ転送されるデータの順序は必ずしもホストから送られてきた順序で無くても良い。理由は、セカンダリディスクサブシステムでデータに付与された順序番号に基づいてデータを順番に並び替えることができるからである。
【００６６】
そのうち、暗号鍵の更新タイミングになると、プライマリディスクサブシステムは、自システムの暗号鍵を更新し（新暗号鍵）、且つ、ホストからの書込みデータに付与していた順序番号を採番して、この順序番号を共に更新した暗号鍵をセカンダリディスクサブシステムへ送信する。具体的には、今までデータに順序番号▲１▼、▲２▼、▲３▼が付与されていたとすると、暗号鍵の更新のタイミングで順序番号▲４▼を、更新した暗号鍵に与える。
【００６７】
そして、更新した暗号鍵（新暗号鍵）と順序番号▲４▼をペアにしてセカンダリディスクサブシステムへ転送する。これを受けたセカンダリディスクサブシステムは、その後、順序番号▲４▼を境に更新された暗号鍵を受信データに対して使用する。見方を変えれば、セカンダリディスクサブシステムは、▲３▼以下の順序番号を有するデータに対しては更新前の暗号鍵を用いてデータを復号し、▲５▼以上の順序番号に対しては更新後の暗号鍵を用いてデータを復号する。
【００６８】
その後、プライマリディスクサブシステムは、新たな書込み要求を受けると、順序番号▲４▼は既に暗号鍵を送るのに用いているので、この書込み要求のデータに対しては順序番号▲５▼を与え、バッファに格納する。その後、適当な契機で更新した暗号鍵によってデータを暗号化し、順序番号▲５▼とともにセカンダリディスクサブシステムへ転送する。
【００６９】
セカンダリディスクサブシステムは、実際のデータを受信すると、受信データを順序番号に従って整列する。そして、順序番号▲４▼のところで暗号鍵が更新されていることを知っているセカンダリディスクサブシステムは、順序番号▲１▼▲２▼▲３▼を有するデータに関しては旧暗号鍵を対応させ、順序番号▲５▼を有するデータに関しては新暗号鍵を対応させ、必要に応じて復号を行う。
【００７０】
また、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングにない場合は、プライマリディスクサブシステム３−１、３−２、………、３−ｎは、書き込みが終了すると上位装置１に対しライトコマンドに対する処理の完了を報告し(ステップ３２)、自己のサブシステムの処理能力に基づいて決定された契機で、ライトコマンドをセカンダリディスクサブシステム７−１、７−２、………７−ｎに対し発行する。そして、現在の暗号鍵でデータは暗号化され、リモートセンターへ転送される。
【００７１】
この時メインセンタにおいて更新が行なわれたデータについて、リモートセンタへライトコマンドを直ちに発行しない場合があるが、これはリモートセンタへ未転送のデータの格納位置情報と共に自サブシステム内に保持される。また、メインセンタにおいて以前に更新が行なわれたデータについて、リモートセンタに未転送のデータの格納位置情報を保持している場合は、当該位置のデータもリモートセンタのセカンダリディスクサブシステム７−１、７−２、………７−ｎへの転送対象と判断し、当該データを書込む為のライトコマンドを発行する（ステップ３３）。そして、現在の暗号鍵で当該データは暗号化され、リモートセンターへ転送される。当該データの格納位置情報は、ライトコマンドに対する処理が完了した後に、これを消去する。
【００７２】
即ち、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングにあれば、メインセンタ９のプライマリディスクサブシステム群３は更新された暗号鍵をリモートセンタ１０のセカンダリディスクサブシステム群７に転送する。また、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングになければ、メインセンタ９のプライマリディスクサブシステム群３は上位装置１からライトコマンドが発行される事に起因しリモートコピーが実施される。
【００７３】
セカンダリディスクサブシステム７−１、７−２、………７−ｎは、プライマリディスクサブシステム３−１、３−２、………３−ｎから発行されたライトコマンドを受領していることを確認すると、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理を行なう（ステップ３４）。
【００７４】
セカンダリディスクサブシステム７−１、７−２、………、７−ｎは、ライトコマンドに対する処理、即ち、自己のサブシステム内のデータバッファ２２へのデータ格納処理が完了すると、プライマリディスクサブシステム３−１、３−２、………３−ｎに対し、ライトコマンドに対する処理完了報告を行なう（ステップ３５）。
【００７５】
本発明により、上位装置１から書込まれたデータは、プライマリディスクサブシステム３−１、３−２、………、３−ｎに格納されるだけでなく、セカンダリディスクサブシステム７−１、７−２、７−ｎにも複写され格納される。また、プライマリディスクサブシステム群３が暗号鍵を更新するタイミングとなった時点で、プライマリディスクサブシステム群３が更新された暗号鍵に順序番号を付与して、セカンダリディスクサブシステム群７に転送する。
【００７６】
セカンダリディスクサブシステム群７は、プライマリディスクサブシステム群３が一般的に転送しているデータ及び更新された暗号鍵に付与した順序番号を使用して、当該更新された暗号鍵を適用すべきデータを特定して復号することが出来る。メインセンター９が被災した場合は、セカンダリディスクサブシステム７−１、７−２、………７−ｎのデータを利用して、ジョブを再実行する等の回復作業を行い、業務を再開する。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００７７】
次に、本発明の第３の実施形態として、データの二重化方法と運用の概略を図５を用いて説明する。ここでは、セカンダリディスクサブシステムは、プライマリディスクサブシステムから受けた暗号化されたデータを、そのまま記憶しているものとする。
【００７８】
リモートコピー実行中にメインセンター９に災害が発生した（ステップ４１）場合の動作である。メインセンター９は災害が発生したことをリモートセンター１０に通知する（ステップ４２）。これに対して、リモートセンター１０は、システム立上げ等の災害回復を開始する（ステップ４３）。復号することなくリモートセンター１０のセカンダリディスクサブシステム群７に記憶されていたデータを利用に供するために、暗号の復号を開始する（ステップ４４）。この時、暗号鍵をセカンダリディスクサブシステム群７に記憶している場合は、その暗号鍵を使用して復号する。暗号鍵はリモートセンター１０以外の別の場所にある記憶装置に記憶することも出来る。この場合は、その暗号鍵をリモートセンター１０のセカンダリディスクサブシステム群７に転送して、これを使用して復号する。
【００７９】
リモートセンター１０の上位装置８からセカンダリディスクサブシステム群７のデータに対してアクセスがある（ステップ４５）と、セカンダリディスクサブシステム群７はアクセスされたデータが復号済か否かを調べる（ステップ４６）。アクセスされたデータが復号済でない場合、セカンダリディスクサブシステム群７はそのデータに関して暗号の復号を実行し（ステップ４７）、復号されたデータを使用してアクセスに応答する（ステップ４８）。アクセスされたデータが復号済である場合、セカンダリディスクサブシステム群７はそのデータを使用してアクセスに応答する（ステップ４８）。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００８０】
このように、メインセンターに災害が発生した場合には、リモートセンターにおけるコピーデータは、メインセンターに依拠せずに、リモートセンターのディスクサブシステムによって、メインセンターに代わって、利用に供されるようにコピーデータの全て又は適宜にアクセスされたコピーデータについてデータ復号されるのである。
【００８１】
次に、本発明の第４の実施形態として、データの二重化方法と運用の概略を図６を用いて説明する。
【００８２】
リモートコピーされて復号することなくリモートセンター１０のセカンダリディスクサブシステム群７に記憶されていたデータを利用に供するために、リモートセンター１０からセカンダリディスクサブシステム群７にアクセスする（ステップ５１）場合の動作である。一般にデータに対するアクセスはそのデータに関連するＩＤフィールドあるいはキーフィールドを捜索して捜索条件が成立した場合に以降のデータが読出し／書込みされる。
【００８３】
この時、特定のフィールド、例えばキーフィールドに対する捜索条件が成立するか否かを調べる（ステップ５２）。この条件が成立した場合は、以降のデータが復号されて（ステップ５３）、読出し／書込みされる（ステップ５４）。この条件が成立しない場合は、以降のデータが復号されることなく、エラー報告される（ステップ５５）。これらはすべてディスクサブシステムの機能のみで実現され、上位装置の処理能力に対し負担とならない。
【００８４】
【発明の効果】
上位装置への新規ソフトウェアの導入を必要とせずサブシステム側の機能変更のみで、ユーザが期待する範囲での更新データの一貫性を保証出来、かつ暗号鍵の更新により情報漏洩の危険性を低減出来る、リモートコピーの暗号化システムを実現出来る。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るリモートコピーのコンピュータシステムの全体構成を示す図である。
【図２】リモートコピーシステムの処理を示すフローチャートである。
【図３】本実施形態に関するメインセンターのプライマリディスクサブシステムの構成を示す図である。
【図４】リモートコピーシステムの処理を示すフローチャートである。
【図５】リモートコピーシステムの処理を示すフローチャートである。
【図６】リモートコピーシステムの処理を示すフローチャートである。
【符号の説明】
１上位装置
２インタフェースケーブル
３プライマリディスクサブシステム
４インタフェースケーブル
５インタフェースケーブル
６インタフェースケーブル
７セカンダリディスクサブシステム
８上位装置
９メインセンター
１０リモートセンター
１１インタフェースケーブル
２１インタフェース制御部
２２データバッファ
２３磁気ディスクドライブ
２４マイクロプロセッサ
２５ディスクアレイサブシステム制御部
２６コンソール
２７リモートコピー制御情報格納部[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an external storage device for storing data of a computer system and an integrated system thereof, and in particular, a plurality of external storage devices (subsystem groups) and a plurality of other external storage devices (subsystem groups) existing in a remote place. In a remote copy technology in which data is duplicated between external storage devices (subsystem groups) existing at remote locations.
[0002]
[Prior art]
In consideration of data backup in the event of a natural disaster such as an earthquake, in a center composed of a host computer (host device) and subsystems, the main center and the remote center need to be separated by about several hundred km. Here, the subsystem refers to a control unit that transmits / receives information to / from a host device, and a storage device that includes a disk device that stores information (in the case where the storage device is a disk device, a disk subsystem). Called). For this reason, several external storage systems that employ a so-called remote copy function, in which data is duplicated and held between subsystems installed in the main center and the remote center, have already been put into practical use.
[0003]
The remote copy function is roughly divided into two types, a synchronous type and an asynchronous type. What is synchronous? If there is a data update (write) instruction from the host computer (higher-level device) in the main center to the subsystem in the main center, and if the instruction target is also the target of the remote copy function, This is a processing procedure for reporting the completion of the update process to the host device of the main center after the instructed update (write) is completed for the subsystem in the remote center that is the target of the remote copy function. In this case, depending on the geographical distance between the main center and the remote center, a time delay (transmission time or the like) occurs due to the influence of the ability of the data transmission line interposed therebetween.
[0004]
On the other hand, the asynchronous type means that if there is a data update (write) instruction from the host device in the main center to the subsystem, even if the instruction target is the target of the remote copy function, As soon as the update processing of the subsystem is completed, the completion of the update processing is reported to the host device, and the update (reflection) of data in the subsystem of the remote center is a processing procedure executed asynchronously with the processing in the main center. . For this reason, since the data update is completed in the processing time required in the main center, there is no transmission time due to the storage of data in the remote center.
[0005]
In the asynchronous type, the contents of the remote center subsystem do not always match those of the main center side. For this reason, when the main center loses its function due to a disaster or the like, data that has not been reflected on the remote center side will be lost. However, the access performance of the subsystem on the main center side can be set to the same level as when the remote copy function is not implemented.
[0006]
In order to realize these remote copy functions with high performance and low cost between remote locations, the asynchronous type is used. In this case, since a public communication line is used as a transmission path for transferring (copying) data from the main side to the remote side, information leakage prevention as described below is an important issue.
[0007]
About encrypted data transfer
When performing data transfer via a public communication line, encrypted data transfer is performed to prevent information leakage, and this can be applied to remote copying. In this case, encrypted data transfer is performed between the primary disk subsystem group of the main center and the secondary disk subsystem group of the remote center. In remote copy, since data is transferred over a long period of time, both high data transfer performance and high encryption strength must be achieved.
[0008]
"Encrypted data transfer over communication channels"
In a data communication system comprising two or more computers that communicate data via a network, there is a method in which an application program of one computer encrypts and transmits data to an application program of the other computer. is there. The specific disclosure of this method is described in detail in Japanese Patent Laid-Open No. 9-139735, for example, as “encrypted data communication system”. In the above-mentioned “encrypted data communication system”, a relay service program is operated on each of two computers, data is encrypted by this relay service, and data is transmitted / received via a network. Realized data transfer.
[0009]
[Problems to be solved by the invention]
With the prior art (encrypted data communication system), an encrypted data transfer function in the communication path can be realized. However, in the prior art, when data is transferred over a long period of time, the same encryption key is used without being updated for a long time, so that the encryption key may be maliciously decrypted and data may be stolen. In addition, even if the encryption key is updated, since the notification is made offline, the data transfer performance is deteriorated. In other words, the conventional technology does not consider the compatibility between high data transfer performance and high encryption strength.
[0010]
  The purpose of the present invention is toIn remote copy, in order to achieve both high data transfer performance and high encryption strength, the update timing of the encryption key that encrypts the data to be transferred is specified, and the association between the updated encryption key and the transferred data The object is to provide a remote copy computer system.
[0011]
[Means for Solving the Problems]
In order to solve the above problems, the present invention mainly adopts the following configuration.
[0012]
  Comprising a main center comprising a primary disk subsystem group having a control means connected to a host device for sending and receiving data and a storage means for storing the data;
  A secondary disk having control means for receiving encrypted data transferred from the primary disk subsystem group and disposed at a location separated from the primary disk subsystem group; and storage means for storing the transferred data It has a remote center consisting of subsystems,
  The primary disk subsystem group determines whether it is time to update an encryption key for data transfer encrypted during execution of data write processing, and updates the encryption key if it is an update timing. And a remote copy computer system in which a sequence number is added to the updated encryption key, transferred to the secondary subsystem group, and associated with the transfer data to which the sequence number is added.
[0013]
  In the remote copy computer system, the encrypted data transferred from the primary disk subsystem group to the secondary disk subsystem group is stored in the storage means of the remote center without being decrypted, and at the timing of disaster recovery. Remote copy computer system to decrypt.
[0014]
  In the remote copy computer system, when the encrypted data is transferred from the primary disk subsystem group to the secondary disk subsystem group, the encryption key is transferred to another remote device arranged separately from the remote center. A remote copy computer system that performs remote copy and storage at a center and decrypts data using an encryption key stored at the other remote center at the time of disaster recovery. Also, in the remote copy computer system, when decrypting the data transferred encrypted from the primary disk subsystem group to the secondary disk subsystem group, only when searching for a specific part of the record related to the data Remote copy encryption system to decrypt.
[0015]
DETAILED DESCRIPTION OF THE INVENTION
A remote copy computer system according to an embodiment of the present invention will be described below with reference to the drawings. FIG. 1 is a diagram showing an overall configuration of a remote copy computer system according to an embodiment of the present invention, and FIG. 3 is a diagram showing a specific configuration of a primary disk subsystem of a main center relating to the present embodiment.
[0016]
FIG. 1 shows a configuration example when an embodiment of the present invention is applied in order to duplicate information (data) between two arbitrary centers in a plurality of data centers equipped with a computer system.
[0017]
One or more disk subsystems 3 (3-1, 3-2,..., 3-n) on the main center 9 side and one or more disk subsystems 7 (7-) on the remote center 10 side. 1, 7-2,..., 7-n) are connected without the host devices (host computers) 1, 8, and realize a remote copy system that duplicates data between the centers. As an example of the connection of the disk subsystem without passing through the host device, for example, SAN (Storage Area Network) can be cited. FIG. 3 shows a configuration example of the disk subsystem 3 of the main center 9.
[0018]
In the main center 9 of FIG. 1, a host device 1 having a central processing unit (CPU) that performs data processing is connected to primary disk subsystems 3-1, 3-2,... ... connected to 3-n.
[0019]
As shown in FIG. 3, the primary disk subsystem 3-1, 3-2,..., 3-n includes an interface control unit 21 that transmits and receives data (including information) from the host device 1 and the host device 1. The data buffer 22 for storing data to be referred to or updated from and the storage location of update data for which remote copy is temporarily stopped, the magnetic disk drive 23 as a recording medium for recording this data, and exchange of these data And a disk array subsystem control unit 25 for controlling each of these elements. The interface control unit 21 is also an interface for exchanging data with the remote center 10.
[0020]
Further, in addition to the above-described component group, the primary disk subsystem 3-1 has a console 26 for setting the remote copy to be set by the user and control information set by the console 26. A remote copy control information storage unit 27 for storing control bits representing the remote copy status of the remote control.
[0021]
The primary disk subsystem 3-1 of the main center 9 is connected to the secondary disk subsystem 7-1 of the remote center 10 via the interface cable 4-1. Similarly, the primary disk subsystem 3-2 is connected to the secondary disk subsystem 7-2 via the interface cable 4-2, and the primary disk subsystem 3-n is connected via the interface cable 4-n. The remote center secondary disk subsystem 7-n is connected.
[0022]
The interface cables 4-1, 4-2,..., 4-n can be connected to a general public communication line using a line connection device or the like. In this configuration example, it is described as interface cables 4-1 to 4-n including this point.
[0023]
When there are a plurality of disk subsystems 3, the disk subsystem 3-1 is a disk subsystem 3-2 other than the disk subsystem 3-1 in which data to be remotely copied is stored in the main center 9. ,..., 3-n and the interface cable 5 are connected. In this way, the main center 9 side has a configuration in which the entire primary disk subsystem group 3 is connected by the interface cable 5 with respect to the disk subsystem 3-1 storing the data to be remotely copied.
[0024]
When the higher-level device 1 issues a data write request to the primary disk subsystem group 3, the primary disk subsystem group 3 writes the data in the data buffer 22 in its own subsystem in synchronization with this, This is a disk subsystem group for instructing data writing to the secondary disk subsystem group 7 located at a remote location asynchronously with the data being written to the data buffer 22 in the subsystem. The data written in the data buffer 22 in its own subsystem is recorded in the magnetic disk drive 23 synchronously or asynchronously.
[0025]
As a remote copy method for asynchronously writing data to a remote location, the primary disk subsystem group 3 of the main center 9 is connected to its own subsystem according to the order in which the volumes in its own subsystem are updated. A mode in which update data is transferred to the secondary disk subsystem group 7 of the remote center 10, and the secondary disk subsystem group 7 of the remote center 10 reflects the update data in the volume in its own subsystem according to the received order; The main center 9 side transfers the data to be transferred collectively at the timing optimally scheduled in the primary disk subsystem group 3 regardless of the order in which the volumes in its own subsystem are updated, and the secondary of the remote center 10 Disk subsystem group 7 The order in which they are updating the update data regardless of the order in which they were Tsu held and the mode to reflect the volume of the self of the sub-system, with.
[0026]
The secondary disk subsystem group 7 stores the data received from the primary disk subsystem group 3 connected by the interface cable 4 via the interface control unit 21 in the data buffer 22 in its own subsystem.
[0027]
In other words, when there is an instruction to write data to one or a plurality of disk subsystems 3-1, 3-2,... A system configuration in which the same data is stored in a plurality of disk subsystems 7-1, 7-2,... 7 -n is shown. The arrows in FIG. 1 indicate the flow of data that has been instructed to be written from the host device 1.
[0028]
Note that the primary disk subsystem group 3 has a control bit representing the encryption status in remote copy in the remote copy control information storage unit 27, which is set in advance by the system operator or at an irregular interval. Alternatively, the remote copy can be suspended by changing the information of this control bit based on an instruction from the system operator at an arbitrary time. In one embodiment of the present invention, the updated encryption key is notified from the primary side to the secondary side in this temporarily stopped state (details will be described later). When the remote copy is suspended, the primary disk subsystem group 3 does not issue an instruction to write update data to the secondary disk subsystem group 7 and holds it.
[0029]
Here, the remote copy control information storage section of the primary disk subsystem 3-1 stores control information that specifies whether or not to encrypt and transfer data when remote copying data to the secondary disk subsystem group. You may do it. When the control information stipulates that the data is transferred after being encrypted, the data is encrypted and transferred, and the secondary disk subsystem group confirms the control information of the primary disk subsystem group. If the control information is encrypted and data is transferred, the transferred data is subjected to processing adapted to encryption (for example, the transfer data is decrypted using an encryption key). To ensure consistency of data copied from the main center to the remote center.
[0030]
In the present invention, the remote copy is temporarily stopped in this manner, and the encryption key updated during this time is notified to the remote center, thereby matching the encryption keys used in the data on the main center 9 side and the data on the remote center 10 side. Therefore, it is possible to update the remote copy encryption key without the intervention of the host device. Therefore, the same function can be realized not only in the mainframe but also in an open system.
[0031]
Further, the primary disk subsystem group 3 can release the pause state based on an opportunity set in advance by the system operator, an occasion of an irregular interval, or an instruction from the system operator at an arbitrary time.
[0032]
When the temporary stop state is released, the primary disk subsystem group 3 receives the data write request from the higher-level device 1 to the primary disk subsystem group 3 in synchronization with the data write request. Data is written to the data disk 22 in the subsystem, and further, the data is written to the secondary disk subsystem group 7 existing in the remote place asynchronously with the data written in the data buffer 22 in the own subsystem. Instruct to insert. Then, the encryption key updated when the data is actually transferred to the remote center is used.
[0033]
With this configuration, the encryption key is encrypted at the same timing in the volume of the primary disk subsystem group 3 to be remotely copied in the main center 9 and the volume of the secondary disk subsystem group 7 in the remote center 10. Can be updated. Further, while the remote copy is temporarily suspended in the primary disk subsystem group 3, the data of the primary disk subsystem group 3 of the main center 9 at the time when the primary disk subsystem group 3 is suspended is stored. The state matches the state of the data in the secondary disk subsystem group 7 of the remote center 10. In other words, the state of data whose consistency is guaranteed between the two centers at that time is guaranteed and maintained.
[0034]
Remote copy suspension and cancellation can be set for each remote copy volume pair. It is also possible to set a plurality of volume pairs in one volume group and change the state in units of volume groups. Then, by displaying the suspension or suspension release on the console of any of the subsystems 3 and 7 and the host devices 1 and 8, or on the monitor used when managing these systems, the user can perform remote copy at present. It is possible to recognize whether or not remote copying is being performed and in what unit.
[0035]
The interval between this remote copy pause and pause release can be arbitrarily set by the user. Here, the remote copy from the main center 9 to the remote center 10 is performed with the period of time required to increase the risk of decryption due to interception of the remote copy transfer data as the period. Is sent, then the suspension is canceled and remote copy is performed again. Of course, you may set the space | interval of a temporary stop and a temporary stop cancellation, without being seized with this example.
[0036]
The host device 8 is a central processing unit that is connected to the secondary disk subsystem group 7 by the interface cable 6 in the remote center 10 and refers to and updates the secondary disk subsystem group 7. The host device 8 can perform processing in place of the host device 1 when the host device 1 of the main center 9 cannot perform its original function due to a disaster or failure. In addition, by using data stored in the secondary disk subsystem group 7, processing different from that of the upper apparatus 1 of the main center 9 can be executed independently of the upper apparatus 1.
[0037]
However, the host device 8 is not necessary when the host device 8 does not perform processing on the secondary disk subsystem group 7 or when it does not have an alternative function of the host device 1. Conversely, the host device 8 is provided, the disk subsystem 7-1 is connected to the other disk subsystems 7-2 to 7-n via the interface cable 11, and the same configuration as the primary disk subsystem group 3 of the main center 9 is provided. Thus, the main center 9 in FIG. 1 can function as a remote center and the remote center 10 can function as a main center.
[0038]
As an embodiment of the present invention, a data duplication method and operation will be described with reference to FIG.
[0039]
The file, volume, and disk subsystem 3 storing the data to be duplexed are selected in advance by the operator according to the necessity of duplexing, that is, remote copy. The relationship between the target file, target volume, and disk subsystem 3 and the file, volume, and disk subsystem 7 that stores a copy of the selected data, and the consistency of the update order must be maintained at the time of duplication. The operator sets whether or not there is in advance to the remote copy control information storage unit 27 in the primary disk subsystem 3-1 from the host device 1 or the console 26.
[0040]
For the primary disk subsystem 3-1, an opportunity to suspend remote copying and an opportunity to release the suspension are set. Since the setting of the trigger can be instructed from the host apparatus 1, it is possible to schedule the instruction trigger from the host apparatus 1 in advance by a program of the host apparatus 1 that supports the automation of operation.
[0041]
In the case of the above-described selection and setting, in the case of the disk subsystem 3 to which the dedicated console 26 can be connected or equipped, the setting can be made through the console 26 without using the host device 1. In this example, by using the time value held in the primary disk subsystem group 3 without using the host device 1, the operator uses the primary disk subsystem 3-1 in advance to perform remote copy temporary at irregular intervals. It is set so that the stop and the release of the pause are performed.
[0042]
The flow of FIG. 2 shows a case where selection / setting is performed from a dedicated console. The initial setting of the remote copy path and volume pair, that is, to which disk subsystem the remote copy request is issued is set in advance by the user to the host apparatus 1 (step 1: S1 in the figure). The same shall apply hereinafter. In addition, the initial setting for remote copy suspension or suspension cancellation is set for each volume pair of the remote copy target (step 2). Normally, all remote copy target volume pairs are defined as one volume group, and all volumes in the volume group are set to have the same status.
[0043]
In this example, all the volumes of the disk subsystem 3 are set as remote copy targets. Therefore, in the following description, the status of remote copy is described not in volume pairs or volume group units but in disk subsystem units.
[0044]
The file and volume for remote copy can be set by specifying a specific address that means the volume or disk subsystem, or by selecting from an arbitrary range of addresses using the control program in the disk subsystem. It can also be taken. As an initial setting, an example is shown in which a path and volume pair are set, and a temporary stop trigger and a temporary stop release trigger are set.
[0045]
When the host device 1 issues a write command to the primary disk subsystems 3-1, 3-2,..., 3-n (step 3), the primary disk subsystems 3-1, 3-2. ,..., 3-n execute data storage processing in the data buffer 22 in its own disk subsystem based on the write command (step 4). Here, the write command is a command for transferring an instruction for writing data and the write data itself.
[0046]
When the write command is received, the primary disk subsystems 3-1, 3-2,..., 3 -n are remote copy statuses stored in the remote copy control information storage unit 27 of the primary disk subsystem group 3. Is obtained and referred to, it is confirmed whether or not the primary disk subsystem group 3 is in the remote copy suspended state (step 5). Primary disk subsystems 3-1, 3-2,..., 3-n are assigned to the host device 1 when data writing to the data buffer 22 is completed when the primary disk subsystem group 3 is in the remote copy suspended state. On the other hand, the completion of processing for the write command is reported (step 6). Thereafter, a write command is issued to the secondary disk subsystems 7-1, 7-2,... 7 -n, and the processing for the write command is completed.
[0047]
Note that if the data previously updated in the main center holds storage location information for data not yet transferred to the remote center, all data at that location is also stored in the secondary disk subsystem 7-of the remote center. 1, 7-2,..., 7 -n is determined as a transfer target, and a write command for writing the data is given to the secondary disk subsystems 7-1, 7-2,. Issue and complete the process for the write command. At this time, the data is encrypted using the currently set encryption key and transferred from the primary disk subsystem to the secondary subsystem. That is, the data by the write command and all untransferred update data (write data) are encrypted with the current encryption key and transferred to the remote center (step 7). Thereafter, the data transfer is suspended.
[0048]
Next, the encryption key in the main center (the encryption key is used to encrypt / decrypt data using this) is updated (step 8). Thereafter, the updated encryption key is transferred to the secondary disk subsystems 7-1, 7-2,... 7 -n (step 9). After transferring the encryption key, the primary disk subsystem 3-1, 3-2,..., 3-n releases the remote copy (data transfer) temporary suspension state of the primary disk subsystem group 3 (step 10). Therefore, the updated new encryption key is used after the remote copy suspension state. That is, the data transferred to the remote is encrypted with a new encryption key (updated encryption key), and the encrypted data is transferred to the remote.
[0049]
In steps 8 and 9, data having the same data length / data pattern as the data generally transferred from the primary disk subsystem group 3 to the secondary disk subsystem group 7 is created. The updated encryption key may be embedded as a part, and the encryption key may be transferred to the remote. By doing this, it is not necessary to use a special packet for transferring the encryption key, and since it seems to be general data from the outside, it is possible to conceal the timing of remote copy suspension from the outside, and as a result As a result, the security at the time of sending the encryption meeting becomes higher. Here, it is important that the data to be embedded with the encryption key is generally similar to the data being transferred, and does not necessarily need to be completely matched.
[0050]
On the other hand, if the primary disk subsystem group 3 is not in the remote copy suspended state in step 5, the primary disk subsystems 3-1, 3-2, ..., 3-n write data to the data buffer 22. Is completed, the completion of processing for the write command is reported to the host device 1 (step 11), and the write command is sent to the secondary disk subsystem 7-1 when triggered based on the processing capacity of its own subsystem. 7-2, ... Issued to 7-n. At this time, for data updated (written) in the main center, a write command may not be issued immediately to the remote center, but this is stored in the own subsystem as storage location information of data not yet transferred to the remote center. Keep it. In addition, for data that has been previously updated in the main center, if the storage location information of untransferred data is held in the remote center, the data at that location is also stored in the secondary disk subsystem 7-1 of the remote center. 7-2... 7-n is determined as a transfer target, and a write command for writing the data is issued. At this time, the data is encrypted using the currently used encryption key and transferred to the secondary (step 12). The storage location information of the data is deleted after the transfer process to the remote for the write command is completed.
[0051]
In other words, if the primary disk subsystem group 3 is in the remote copy suspended state, the primary disk subsystem group 3 of the main center 9 updates the encryption key and sends the updated encryption key to the secondary disk subsystem of the remote center 10. Transfer to group 7. If the primary disk subsystem group 3 is not in the remote copy suspended state, the primary disk subsystem group 3 of the main center 9 uses the current encryption key due to a write command being issued from the host device 1. Remote copy is performed.
[0052]
The secondary disk subsystems 7-1, 7-2,... 7 -n have received the write command issued from the primary disk subsystem 3-1, 3-2,. Is confirmed, processing for the write command, that is, data storage processing in the data buffer 22 in its own subsystem is performed (step 13).
[0053]
When the secondary disk subsystem 7-1, 7-2,..., 7 -n completes the processing for the write command, that is, the data storage processing in the data buffer 22 in its own subsystem, A process completion report for the write command is sent to 3-1, 3-2,..., 3-n (step 14).
[0054]
According to the present invention, data written from the host device 1 is not only stored in the primary disk subsystem 3-1, 3-2,..., 3-n, but also the secondary disk subsystem 7-1, 7-2 and 7-n are also copied and stored. The primary disk subsystem 3-1, 3-2,..., 3-n at the time when the primary disk subsystem group 3 is in the remote copy suspended state is the secondary disk on the remote center 10 side. Generated by subsystems 7-1, 7-2,... 7 -n. At this time, the updated encryption key of the primary disk subsystem group 3 is transferred to the secondary disk subsystem group 7.
[0055]
The secondary disk subsystem group 7 can decrypt the data using the updated encryption key from the time when the encryption key updated by the primary disk subsystem group 3 is received. When the main center 9 is damaged, the data of the secondary disk subsystems 7-1, 7-2,... . These are all realized only by the functions of the disk subsystem, and do not burden the processing capability of the host device.
[0056]
As described above, according to the first embodiment of the present invention, the primary stop of remote copy set at appropriate time intervals (the meaning of temporarily stopping remote copy is that the encryption key is changed on the basis of this temporary stop). Because the system updates the encryption key between the temporary release and the suspension cancellation, and notifies the remote encryption center of the updated encryption key, the remote copy data resumed to release the suspension Data is decrypted using the encryption key, and the correspondence between the data transferred to the remote center and the encryption key is clear.
[0057]
After all, the first embodiment of the present invention has the following configuration, function or action. The primary disk subsystem group of the main center and the secondary disk subsystem group of the remote center that are remote from each other are connected. When the primary disk subsystem group of the main center receives the update data from the host device, it starts storing data in its own subsystem.
[0058]
Then, the primary disk subsystem group confirms whether or not its own subsystem is in a state of timing for changing the encryption key. If it is not time to change the encryption key, the primary disk subsystem group makes the data to be transferred to the remote center using the current encryption key. If it is time to change the encryption key, after sending the data received this time and the data received so far to the remote center, the primary disk subsystem group transfers the data to the remote center. Is suspended, the encryption key is updated, the updated encryption key is transferred to the remote center, and the data transfer to the suspended remote center is resumed.
[0059]
Data transfer to the remote center is not performed during the suspension period. After the temporary suspension of data transfer to the remote center is released in the primary disk subsystem group, the primary disk subsystem group in the main center uses the updated encryption key to the secondary disk subsystem group in the remote center. Resume transfer.
[0060]
In this way, data duplication is performed by remote copy while updating the encryption key between the main center and the remote center.
[0061]
Next, as a second embodiment of the present invention, an outline of a data duplication method and operation will be described with reference to FIG.
[0062]
In the flow of FIG. 4, steps 21 to 24 are common to steps 1 to 4 of the flow of FIG. Here, step 25 will be described.
[0063]
When the write command is received from the host apparatus 1, the primary disk subsystems 3-1, 3-2,..., 3-n are stored in the remote copy control information storage unit 27 of the primary disk subsystem group 3. By acquiring and referring to the control bit indicating the remote copy status, it is confirmed whether or not the primary disk subsystem group 3 is at the timing to update the encryption key (step 25). The primary disk subsystems 3-1, 3-2,..., 3-n update the encryption key when the primary disk subsystem group 3 is at the timing to update the encryption key (step 26).
[0064]
Thereafter, the sequence number (corresponding to the data sequence number) is assigned to the updated encryption key in the same manner as the data generally transferred from the primary disk subsystem group 3 to the secondary disk subsystem group 7 (step 27). ), This encryption key is transferred to the secondary disk subsystems 7-1, 7-2,... 7 -n (step 28), and the information indicating the data update position (for example, the address of the data buffer) is The data is stored in the system (step 29), and when the writing is completed, the completion of the processing for the write command is reported to the host device 1 (step 30). Further, the primary disk subsystems 3-1, 3-2,..., 3-n cancel the timing for updating the encryption key of the primary disk subsystem group 3 (step 31).
[0065]
The above will be described specifically. When a write request (write data) is sent from the host, the primary disk subsystem stores the data in the buffer while giving a sequence number to the data in the order in which the data is sent. These data are encrypted using a current encryption key (old encryption key) at an appropriate timing, and transferred to the secondary disk subsystem together with a sequence number. At this time, the order of data transferred to the secondary disk subsystem is not necessarily the order sent from the host. The reason is that the data can be rearranged in order based on the sequence number assigned to the data in the secondary disk subsystem.
[0066]
Among them, when the encryption key update timing comes, the primary disk subsystem updates its own encryption key (new encryption key), and assigns the sequence number assigned to the write data from the host, The encryption key with the updated sequence number is transmitted to the secondary disk subsystem. Specifically, if the sequence numbers {circle over (1)}, {circle over (2)}, {circle over (3)} have been given to the data up to now, the order number {circle over (4)} is given to the updated encryption key at the update timing of the encryption key.
[0067]
Then, the updated encryption key (new encryption key) and sequence number (4) are paired and transferred to the secondary disk subsystem. The secondary disk subsystem that has received this uses the encryption key updated with the sequence number {circle over (4)} for the received data. In other words, the secondary disk subsystem decrypts the data using the encryption key before the update for the data having the order number of (3) or less, and updates the data for the order number of (5) or more. The data is decrypted using the later encryption key.
[0068]
After that, when the primary disk subsystem receives a new write request, the sequence number {circle over (4)} is already used to send the encryption key, so the sequence number {circle over (5)} is given to the data of this write request. Store it in the buffer. Thereafter, the data is encrypted with the encryption key updated at an appropriate timing, and transferred to the secondary disk subsystem together with the sequence number (5).
[0069]
When the secondary disk subsystem receives the actual data, it sorts the received data according to the sequence number. Then, the secondary disk subsystem that knows that the encryption key has been updated at sequence number {circle over (4)} associates the old encryption key with respect to data having sequence number {circle over (1)} {2} {3}, The data having the sequence number {circle over (5)} is associated with the new encryption key and decrypted as necessary.
[0070]
If the primary disk subsystem group 3 is not at the timing to update the encryption key, the primary disk subsystems 3-1, 3-2,... The completion of the processing for the write command is reported (step 32), and the write command is sent to the secondary disk subsystems 7-1, 7-2,... issued to n. Then, the data is encrypted with the current encryption key and transferred to the remote center.
[0071]
At this time, for data updated in the main center, a write command may not be issued immediately to the remote center, but this is held in its own subsystem together with storage location information of data not yet transferred to the remote center. In addition, for data that has been previously updated in the main center, if the storage location information of untransferred data is held in the remote center, the data at that location is also stored in the secondary disk subsystem 7-1 of the remote center. 7-2,... 7-n is determined as a transfer target, and a write command for writing the data is issued (step 33). Then, the data is encrypted with the current encryption key and transferred to the remote center. The storage position information of the data is deleted after the processing for the write command is completed.
[0072]
That is, if the primary disk subsystem group 3 is at the timing to update the encryption key, the primary disk subsystem group 3 of the main center 9 transfers the updated encryption key to the secondary disk subsystem group 7 of the remote center 10. If the primary disk subsystem group 3 is not at the timing for updating the encryption key, the primary disk subsystem group 3 of the main center 9 performs remote copy due to a write command being issued from the host device 1. .
[0073]
The secondary disk subsystems 7-1, 7-2,... 7 -n have received the write command issued from the primary disk subsystem 3-1, 3-2,. Is confirmed, processing for the write command, that is, processing for storing data in the data buffer 22 in its own subsystem is performed (step 34).
[0074]
When the secondary disk subsystem 7-1, 7-2,..., 7 -n completes the processing for the write command, that is, the data storage processing in the data buffer 22 in its own subsystem, A process completion report for the write command is sent to 3-1, 3-2,..., 3-n (step 35).
[0075]
According to the present invention, data written from the host device 1 is not only stored in the primary disk subsystem 3-1, 3-2,..., 3-n, but also the secondary disk subsystem 7-1, 7-2 and 7-n are also copied and stored. When the primary disk subsystem group 3 reaches the timing for updating the encryption key, the primary disk subsystem group 3 assigns a sequence number to the updated encryption key and transfers it to the secondary disk subsystem group 7. .
[0076]
The secondary disk subsystem group 7 uses the data generally transferred by the primary disk subsystem group 3 and the sequence number assigned to the updated encryption key to apply the updated encryption key. Can be identified and decrypted. When the main center 9 is damaged, the recovery operation such as re-execution of the job is performed by using the data of the secondary disk subsystems 7-1, 7-2,. . These are all realized only by the functions of the disk subsystem, and do not burden the processing capability of the host device.
[0077]
Next, as a third embodiment of the present invention, an outline of a data duplication method and operation will be described with reference to FIG. Here, it is assumed that the secondary disk subsystem stores the encrypted data received from the primary disk subsystem as it is.
[0078]
This is an operation when a disaster occurs in the main center 9 during execution of remote copy (step 41). The main center 9 notifies the remote center 10 that a disaster has occurred (step 42). On the other hand, the remote center 10 starts disaster recovery such as system startup (step 43). In order to use the data stored in the secondary disk subsystem group 7 of the remote center 10 without decryption, decryption of the encryption is started (step 44). At this time, if the encryption key is stored in the secondary disk subsystem group 7, the encryption key is used for decryption. The encryption key can also be stored in a storage device in another location other than the remote center 10. In this case, the encryption key is transferred to the secondary disk subsystem group 7 of the remote center 10 and decrypted using this.
[0079]
When the host device 8 of the remote center 10 accesses the data in the secondary disk subsystem group 7 (step 45), the secondary disk subsystem group 7 checks whether the accessed data has been decrypted (step 46). ). If the accessed data is not decrypted, the secondary disk subsystem group 7 performs decryption on the data (step 47) and responds to the access using the decrypted data (step 48). If the accessed data has been decrypted, the secondary disk subsystem group 7 responds to the access using the data (step 48). These are all realized only by the functions of the disk subsystem, and do not burden the processing capability of the host device.
[0080]
In this way, when a disaster occurs in the main center, the copy data in the remote center will be used for the main center by the disk subsystem in the remote center without relying on the main center. Thus, all of the copy data or copy data accessed as appropriate is decoded.
[0081]
Next, as a fourth embodiment of the present invention, an outline of a data duplication method and operation will be described with reference to FIG.
[0082]
In the case of accessing the secondary disk subsystem group 7 from the remote center 10 in order to use the data stored in the secondary disk subsystem group 7 of the remote center 10 without being decrypted and decrypted (step 51) Is the action. In general, access to data is performed by searching for an ID field or a key field related to the data and reading / writing subsequent data when a search condition is satisfied.
[0083]
At this time, it is checked whether or not a search condition for a specific field, for example, a key field is satisfied (step 52). If this condition is satisfied, the subsequent data is decoded (step 53) and read / written (step 54). If this condition is not satisfied, the subsequent data is not decoded and an error is reported (step 55). These are all realized only by the functions of the disk subsystem, and do not burden the processing capability of the host device.
[0084]
【The invention's effect】
It is possible to guarantee the consistency of the update data within the range expected by the user by changing the function of the subsystem without requiring the introduction of new software in the host device, and the risk of information leakage is reduced by updating the encryption key. A remote copy encryption system can be realized.
[Brief description of the drawings]
FIG. 1 is a diagram showing an overall configuration of a remote copy computer system according to an embodiment of the present invention.
FIG. 2 is a flowchart showing processing of a remote copy system.
FIG. 3 is a diagram showing a configuration of a primary disk subsystem of a main center relating to the present embodiment.
FIG. 4 is a flowchart showing processing of a remote copy system.
FIG. 5 is a flowchart showing processing of a remote copy system.
FIG. 6 is a flowchart showing processing of a remote copy system.
[Explanation of symbols]
1 Host device
2 Interface cable
3 Primary disk subsystem
4 Interface cable
5 Interface cable
6 Interface cable
7 Secondary disk subsystem
8 Host device
9 Main Center
10 Remote Center
11 Interface cable
21 Interface controller
22 Data buffer
23 Magnetic disk drive
24 Microprocessor
25 Disk array subsystem controller
26 Console
27 Remote copy control information storage

Claims

Comprising a main center comprising a primary disk subsystem group having a control means connected to a host device for sending and receiving data and a storage means for storing the data;
A secondary disk having control means for receiving encrypted data transferred from the primary disk subsystem group and disposed at a location separated from the primary disk subsystem group; and storage means for storing the transferred data It has a remote center consisting of subsystems,
The primary disk subsystem group determines whether it is time to update an encryption key for data transfer encrypted during execution of data write processing, and updates the encryption key if it is an update timing. A remote copy computer system comprising: adding a sequence number to the updated encryption key, transferring the sequence to the secondary subsystem group, and associating it with the transfer data to which the sequence number is added.

The remote copy computer system according to claim 1, wherein:
Remotely storing data encrypted and transferred from the primary disk subsystem group to the secondary disk subsystem group in the storage means of the remote center without being decrypted, and decrypting at a disaster recovery timing Copy computer system.

The remote copy computer system according to claim 2,
When encrypting and transferring data from the primary disk subsystem group to the secondary disk subsystem group, the encryption key is remotely copied and stored in another remote center located separately from the remote center. A computer system for remote copy, wherein data decryption is performed using an encryption key stored in the other remote center at the time of disaster recovery.

The remote copy computer system according to claim 2,
When decrypting encrypted data transferred from the primary disk subsystem group to the secondary disk subsystem group, the decryption is performed only when a specific part of the record related to the data is searched. Encryption system.