JP5203788B2 - 安全なデータ消去プロセス用のテープ・ドライブの割り振りを決定するための方法、コンピュータ・プログラム及びシステム - Google Patents

Description

本発明は、自動化データ記憶システムに係り、さらに詳細に説明すれば、選択的に安全なデータ消去（Secure Data Erase：ＳＤＥ）を実行するための方法に係る。

仮想テープ・システムとは、特別の記憶装置又は記憶装置グループ及びソフトウェアのようなテープ管理システムであって、データの一部が実際には比較的高速のハード・ディスク記憶装置内に置かれているような場合であっても、見かけ上、かかるデータがテープ・カートリッジ上に完全に格納されるように、データを管理するためのものである。仮想テープ・システム用のプログラミングは、仮想テープ・サーバ（ＶＴＳ）と呼ばれることもある。仮想テープ・システムを階層記憶マネージャ（ＨＳＭ）システムと共に使用すると、データが種々の使用しきい値を通り抜けてこれに落ちる場合に、当該データを比較的低速で且つ安価な記憶媒体に移動させることができる。また、仮想テープ・システムは、記憶エリア・ネットワーク（ＳＡＮ）の一部として使用することもでき、この場合には、多数のネットワーク化コンピュータ用の単一の仮想テープ・サーバによって、それほど頻繁に使用又はアーカイブされないデータを管理することができる。

「IBM Magstar Virtual Tape Server」のような従来の仮想テープ・システムでは、少なくとも１つの仮想テープ・サーバ（ＶＴＳ）が、多数のテープ・ドライブ及びテープ・カートリッジから成る、テープ・ライブラリに結合される。また、このＶＴＳは、多数の相互接続化ハード・ディスク・ドライブから成る、直接アクセス記憶装置（ＤＡＳＤ）に結合される。

ＤＡＳＤは、ＶＴＳのテープ・ボリューム・キャッシュ（ＴＶＣ）として機能する。ＶＴＳを使用する場合、ホスト・アプリケーションは、テープ・データを仮想ドライブに書き込む。ホスト・システムによって書き込まれたボリュームは、テープ・ボリューム・キャッシュ（例えば、ＲＡＩＤディスク・バッファ）内に物理的に格納され、仮想ボリュームと呼ばれる。ＶＴＳ内の記憶管理ソフトウェアは、ＴＶＣ内の仮想ボリュームを、ＶＴＳによって所有される物理カートリッジにコピーする。一旦仮想ボリュームがＴＶＣからテープにコピー又は移送されると、当該仮想ボリュームは論理ボリュームと呼ばれる。仮想ボリュームがＴＶＣから Magstar カートリッジ（テープ）にコピーされる場合、それらのボリュームは、カートリッジ上に端と端を合わせてコピーされるから、ホスト・アプリケーションによって書き込まれた空間だけを占有する。この構成は、カートリッジの記憶容量を最大限に利用する。

記憶管理ソフトウェアは、物理カートリッジ上の論理ボリュームの位置を管理するが、顧客は、データの位置に関する制御権を有していない。論理ボリュームが物理カートリッジからＴＶＣにコピーされる場合、このプロセスは再呼び出し（recall）と呼ばれ、当該ボリュームは再び仮想ボリュームになる。ホストは、物理ボリューム及び仮想ボリュームを区別することができないし、物理ドライブ及び仮想ドライブも区別することができない。従って、ホストは、仮想ボリューム及び仮想ドライブを実際のカートリッジ及びドライブとして扱い、ＶＴＳ内のテープ・データとのホストの全ての相互作用は、仮想ボリューム及び仮想テープ・ドライブを通して行われる。

ＶＴＳの１つの問題は、テープ内のデータの管理にある。ＶＴＳは、多数のデータの複製や、データの無効コピー、潜在的コピー又は不用コピーを有することがある。仮想テープ・ボリュームが作成又は修正され（１つ以上のレコードが当該ボリュームに書き込まれる）、そして閉じられた後、当該仮想テープ・ボリュームは、物理テープ（論理）ボリューム上にコピーされる。当該仮想ボリュームが閉じられた場合、物理ボリュームにコピーされる当該仮想ボリュームのイメージは、当該仮想ボリュームが閉じられた時点における当該仮想ボリュームの完全なバージョンである。もし、当該仮想ボリュームが閉じられている場合に、一の仮想ボリュームがその後に開かれ且つ修正されるならば、当該仮想ボリュームのそのイメージも物理テープ上にコピーされる。しかし、当該仮想ボリュームは、そのボリュームの以前のバージョンに上書きしない。というのは、当該仮想ボリュームは、以前のバージョンとは異なるサイズを有することがあるからである。従って、任意の時点では、同じボリューム通し番号の幾つかのバージョンが、１つ以上の物理テープ・ボリューム上に存在することがある。

さらに、ＶＴＳ内の各物理ボリュームは、１つ以上の論理ボリュームを含み、「プール」と呼ばれるグループに配列される。ＶＴＳによって管理される各物理ボリュームは、例えば、３２個のプールのうちの１つに割り当てられる。物理ボリュームの各プールは、それぞれ名前を割り当てられ、１つ以上の関連するパラメータを有することがある。例えば、一のプールに関連する代表的なパラメータは、媒体タイプ（例えば、１０ギガバイト又は２０ギガバイトのテープを有する物理ボリューム）及びプール内のボリュームを管理するための規則を含むが、これに限られない。１つの規則は、「再利用」（reclamation）の概念を含み、それによって、ＶＴＳは、特定の物理ボリュームにおいて関連するデータのどの程度のパーセントが依然として有効であるかをモニタする。すなわち、データがもはやホストによって使用されないか又は必要とされない場合、すなわち期限切れとなった場合、一の論理ボリュームによって占有されるデータ空間を、時間の経過とともに、一の物理ボリュームから取り戻す必要がある。このため、もし、当該プール内の任意のボリュームが再利用パーセントしきい値以下に落ちれば、再利用プロセスを実行することにより、当該物理ボリュームから有効な論理ボリュームを取り且つ当該論理ボリュームを他の物理ボリュームに置く（潜在的には、複数の部分的にフルの物理ボリュームを組み合わせ且つ他方を一杯に満たす）ことが行われるであろう。

もし、一の仮想ボリュームが物理ボリュームから除去され、他の物理ボリューム上に置かれるならば、最初の物理ボリューム上のデータは削除されるが、上書きされておらず、従ってそのデータを回復することができる。さらに、一の仮想ボリュームの最新バージョンに関連するデータが期限切れとなっている、すなわち潜在的又は顧客によって使用不能と見なされることがあるが、当該仮想ボリュームは、依然として物理テープ・ボリューム上に存在して、アクセス可能であることがある。

最近では、企業は、データを格納し、編成し、管理し、配信する能力により一層依存するようになってきた。従って、「情報ライフ・サイクル管理」、すなわち記憶域、アクセス及びコスト特性を最適化する態様で、着想から処分に至るまでビジネス・データを管理するプロセスが、ますます重要になってきた。特に、機密データがビジネス・トランザクションにおいてより重大な役割を果たし始めており、顧客のプライバシーを維持するためにより厳しい規制が課されるようになったので、データをどのように「削除」又は処分するかという問題の重要性が増加してきた。

機密又は重要データ（例えば、クレジット・カード情報、社会保障番号）を保護し且つ顧客のプライバシーを維持するためには、特定のデータが回復不能となるように、当該特定のデータについて安全なデータ消去を実行することが有利である。安全なデータ消去とは、データを任意の合理的手段によって永久的に読み取り不能にすることと定義される。安全に消去すべきデータを優先順位付ける従来技術の方法は、先入れ先出し式の優先順位に基づいて実行され、安全なデータ消去用のキューに最初に追加された物理ボリュームについて最初の安全なデータ消去を行うことを保証する。例えば、当該従来技術の方法では、どの物理ボリュームが安全に消去すべき次のデータであるかを決定するプロセスは、プール１で開始し且つ全てのプールを通して最後のプール（例えば、プール３２）に至るまで、物理ボリュームの各プールを通してループしていた。従って、安全なデータ消去を行うべきプール１内の全ての物理ボリュームを評価し且つリストし、次に安全なデータ消去を行うべきプール２内の全ての物理ボリュームを評価し且つリストし、最後のプール（例えば、プール３２）に至るまで同様の処理を継続することにより、安全なデータ消去を行うべき物理ボリュームのリスト又はキューが作成される。その結果、安全なデータ消去を必要とする全てのプール内の全ての物理ボリュームが評価され、当該キュー上にリストされることになる。次に、安全なデータ消去プロセスが開始される。すなわち、先入れ先出し式の優先順位を使用する当該従来技術のプロセスは、前記キュー内にリストされる順序で、各物理ボリュームの安全なデータ消去を開始する。従って、ＶＴＳは、プール１内の物理ボリュームについて最初の安全なデータ消去を行い、次にプール２内の物理ボリュームについて安全なデータ消去を行い、最後のプール（例えば、プール３２）に至るまで同様の処理を継続する。

もし、ＶＴＳが、安全なデータ消去を行うべき全ての物理ボリュームを安全なデータ消去デッドライン（以下「ＳＤＥデッドライン」又は「消去デッドライン」と表記）までの残存時間以内に管理できるか、又は安全なデータ消去を行うべき物理ボリュームのバックログが存在しなければ、前述の従来技術のプロセスでも十分である。実際には、ＶＴＳは、過負荷になることがある。例えば、プール２３内の一の物理ボリュームについて安全なデータ消去を行っている間に、プール３２内の一の物理ボリュームがそのＳＤＥデッドラインを通過することがある。従って、そのＳＤＥデッドラインに対する最短の残存時間を有する物理ボリュームは、見落とされるか又は延期されることがある。このことは、重要データ（例えば、クレジット・カード情報、社会保障番号）を保持することがある期限切れの物理ボリュームが、アクセスされ且つ保持される危険にさらされる可能性があることを意味する。

従って、ＳＤＥデッドラインに最も近い物理ボリュームに対し安全なデータ消去用の優先順位を与える、ＶＴＳを有することが有利であろう。従って、一定の時間間隔（猶予期間）の後に、仮想ボリュームの古いバージョン又は期限切れバージョンを、任意の合理的手段を通してアクセスできないことを保証する方法及びシステムが要請されている。
米国特許出願第１１／７３７７３９号（２００７年４月１９日出願）

機密データがビジネス・トランザクションにおいてより重大な役割を果たし始めており、顧客のプライバシーを維持するためにより厳しい規制が課されるようになったので、データをどのように「削除」又は処分するかという問題の重要性が増加してきた。機密又は重要データ（例えば、クレジット・カード情報、社会保障番号）を保護し且つ顧客のプライバシーを維持するためには、特定のデータが、一定の時間間隔（猶予期間）の後に、任意の合理的手段を通して回復不能となるように、当該特定のデータについて安全なデータ消去を実行することが有利である。

従って、本発明の１つの側面は、追加テープ・ドライブの割り振りが安全なデータ消去のパフォーマンスを改良するであろうと決定される場合、追加テープ・ドライブを安全なデータ消去プロセス用に割り振ることにより、適時の安全なデータ消去を保証する方法及びコンピュータ・プログラムを提供する。追加テープ・ドライブの割り振りが安全なデータ消去のパフォーマンスを改良するか否かを決定することは、安全なデータ消去を行うべき物理ボリュームの量、最大キューしきい値（maximum queued threshold）、消去デッドラインまでの平均時間及び最小有効期限しきい値（minimum expiration threshold）を評価することによって行われる。

具体的には、前記評価は、安全なデータ消去を行うべき物理ボリュームの前記量を前記最大キューしきい値と比較し、安全なデータ消去を行うべき物理ボリュームの前記量が前記最大キューしきい値より大きいことに応答して、前記消去デッドラインまでの前記平均時間を計算することを含む。さらに、前記評価は、前記消去デッドラインまでの前記平均時間を前記最小有効期限しきい値と比較し、前記消去デッドラインまでの前記平均時間が前記最小有効期限しきい値より小さいことに応答して、追加テープ・ドライブを前記安全なデータ消去プロセスに割り振ることを含む。改良された安全なデータ消去のパフォーマンスは、ＳＤＥデッドラインの前に安全なデータ消去を実行することを含む。

安全なデータ消去を行うべき物理ボリュームの前記量は、物理ボリューム消去カウントによって決定される。このカウントは、時間しきい値より小さな残存時間を有する各物理ボリュームごとのカウントをインクリメントすることにより決定される。また、当該残存時間は、当該物理ボリュームの消去デッドラインと当該物理ボリュームの現在の日付の間の差によって計算される。

前記安全なデータ消去は、論理１、論理ゼロ又はその組み合わせの１つを含むデータ・パターンを利用して、当該物理ボリュームのデータに１回以上上書き（overwrite）することにより、達成することができる。

安全なデータ消去を行うべき物理ボリュームの前記量、前記最大キューしきい値及び前記最小キューしきい値の他の評価に依存して、１つ以上の既存のテープ・ドライブ（前記安全なデータ消去プロセスに割り振られているテープ・ドライブ）を、再割り振りすることができる。すなわち、以前に割り振られた１つ以上の追加テープ・ドライブを除去したり、１つ以上の追加テープ・ドライブを追加したり、又はこれらのテープ・ドライブを最小の要件に戻すことができる。

最後に、安全なデータ消去を行うべき物理ボリュームの量、最大キューしきい値、消去デッドラインまでの平均時間及び最小有効期限しきい値を評価することにより、安全なデータ消去プロセス用の最適数のテープ・ドライブを決定することができる。この評価に応答して、当該最適数のテープ・ドライブが、安全なデータ消去プロセス用に割り振られる。

以下では、本発明の１例を詳述するが、この例は本発明を限定するものと解釈すべきでない。むしろ、どのような変形も、各請求項で定義される本発明の範囲内に含まれることが意図される。

本発明は、安全なデータ消去用の優先順位を、ＳＤＥデッドラインに最も近い物理ボリュームに与えることにより、適時の安全なデータ消去を保証するための方法を意図する。さらに、現在の割り振りが安全なデータ消去の要求を満たせないであろうと決定される場合は、安全なデータ消去プロセスを援助するためにより多くのテープ・ドライブを割り振ることにより、適時の安全なデータ消去を保証する。最後に、他の実施形態では、テープ・ドライブの最小の割り振りが安全なデータ消去の要求を満たせるであろうと決定される場合、当該テープ・ドライブの最小の割り振りに戻すためのプロセスが提供される。

本明細書では、テープ管理システムを仮想テープ・システム（ＶＴＳ）と称するが、ＶＴＳは、テープ管理システムの１例であるに過ぎない。当業者には明らかなように、本発明は、テープ・ライブラリ、仮想テープ・ソフトウェア等の、任意のテープ管理システムに適用することができる。

図１は、本発明を実施するのに適当な環境を提供する、代表的な仮想記憶システム１００のブロック図を示す。仮想記憶システム１００は、仮想テープ・サーバ１０１、テープ・ライブラリ１１２及びライブラリ・マネージャ１３０を含む。ホスト・システム１０２は、ネットワーク接続（例えば、ＴＣＰ／ＩＰ、ＬＡＮ、イーサネット（登録商標）、ＩＢＭエンタープライズ・システム接続（ＥＳＣＯＮ）（図示せず））を介して、仮想テープ・サーバ１０１にリンクされる。ホスト・システム１０２は、ＥＳＣＯＮチャンネルを介して仮想テープ・サーバ１０１にリンクされる、パーソナル・コンピュータ、ワークステーション又はメインフレームのようなコンピュータである。仮想テープ・サーバ１０１は、パーソナル・コンピュータ、ワークステーション又はメインフレームを含むコンピュータであって、直接アクセス記憶装置（ＤＡＳＤ）キャッシュ１０６に関連付けられる。好ましくは、ＤＡＳＤキャッシュ１０６は、１つ以上の論理ボリュームを含む。実施形態では、ＤＡＳＤキャッシュ１０６は、ＲＡＩＤアレイとして編成された複数のハード・ディスクを含む。

テープ・ライブラリ１１２は、複数のテープ・ドライブ１１０Ａ〜１１０Ｎを含む。かかるテープ・ドライブは、ＩＢＭ ＴＳ１１００、ジャガー３５９２テープ・ドライブ又は当分野で公知の他の任意のテープ・ドライブとすることができる。一般に、各テープ・ドライブには、取り外し可能記憶ボリューム（例えば、テープ・カートリッジ１１６Ａ〜１１６Ｎ）がロードされる。テープ・ドライブ１１０Ａ〜１１０Ｎにサービスを提供するアクセス機構（例えば、ロボット）１１４は、選択されたテープ・カートリッジ１１６Ａ〜１１６Ｎを、テープ・ドライブ１１０Ａ〜１１０Ｎとテープ・カートリッジ・リポジトリ内のそれらの対応する位置との間で転送する。

図１では、一連の関連する要素（例えば、テープ・ドライブ１１０Ａ〜１１０Ｎ及びテープ・カートリッジ１１６Ａ〜１１６Ｎ）を簡単に表すために、可変識別子「Ｎ」が使用されていることに留意されたい。かかる可変識別子の使用は、かかる一連の要素のサイズ相互間の相関性を意味するものではなく、かかる一連の要素が同じ可変識別子を有する他の一連の要素と同数の要素を有することを意味するものでもない。

一般に、テープ・ライブラリ１１２は、テープ・カートリッジ上のアクティブ空間をモニタし且つシステムがそれほどアクティブでない場合にテープ・カートリッジの再利用をスケジュールするために利用される、記憶管理ソフトウェアを含む。実施形態では、テープ・ライブラリ１１２は、「IBM Virtualization Engine」ＴＳ ７７４０及び「IBM Magstar」３４９４テープ・ライブラリのようなテープ・ライブラリ・システムである。ライブラリ・マネージャ１３０は、テープ・ライブラリ１１２のインストール、保守、構成及び動作を行うために、仮想記憶システム１００内で利用される。自動ライブラリ１１２内では、アクセス機構１１４は、記憶管理サーバ１０８又は自動化記憶管理アドミニストレータ１２８から受け取られた入力に基づいて、ライブラリ・マネージャ１３０を利用して制御することができる。

テープ・ボリューム・キャッシュを含むＤＡＳＤキャッシュ１０６は、テープ・ライブラリ１１２内に格納されるデータ用のキャッシュを提供する。ＤＡＳＤキャッシュ１０６は、論理ボリュームを論理ボリューム・ファイルとして維持し、当該論理ボリューム・ファイルは、テープ・ライブラリ１１２内のテープ・ドライブにロードされるテープ・カートリッジ内の物理ボリューム・ファイルへ連結される。ＤＡＳＤキャッシュ１０６内の一の論理ボリューム・ファイルがテープ・ライブラリ１１２内の一のテープ・ドライブに移動する場合、当該論理ボリューム・ファイルは、当該実テープ・ドライブ内の一のテープ・カートリッジ上にある一の物理ボリューム・ファイルに書き込まれる。一の物理ボリューム・ファイルが一のテープ・ドライブのために再呼び出しされ且つＤＡＳＤキャッシュ１０６に移動される場合、当該物理ボリューム・ファイルは、ＤＡＳＤキャッシュ１０６内の論理ボリューム・ファイルになる。このように、ＤＡＳＤキャッシュ１０６は、ホスト・システム１０２に対し、テープ・ライブラリ１１２内の全ての物理ボリューム・ファイルのウィンドウを提供する。

仮想テープ・システムは、ホスト・システム１０２に対し、仮想テープ装置を表し且つエミュレートするための複数の仮想テープ・デーモン１１８Ａ〜１１８Ｎを含む。これに対し、ホスト・システム１０２のオペレーティング・システムは、かかる仮想テープ装置をシステム・ユーザ（図示せず）に対し提示することを管理する。ホスト・システム１０２は、かかる仮想テープ装置を実際のドライブとして見なし、そしてホスト・システム１０２が選択された仮想テープ装置内の一の論理ボリュームにアクセスすることを試みる場合、ホスト・システム１０２によって要求された当該仮想テープ装置に関連するそれぞれの仮想テープ・デーモンは、当該ホスト・アクセス要求を処理するであろう。

図示の仮想テープ・システムにおけるホスト１０２からＤＡＳＤキャッシュ１０６へのデータ転送は、階層記憶マネージャ（ＨＳＭ）クライアント１２２のようなプロセスを介して、ＶＴＳコードによって制御することができる。例えば、仮想記憶システム１００内のＨＳＭクライアント１２２は、仮想テープ・デーモン１１８Ａ〜１１８Ｎからのアクセス要求を受け取り且つこれを処理する。その後、ＨＳＭクライアント１２２は、ホスト・システム１０２からの要求を処理して、ＤＡＳＤキャッシュ１０６上の論理ボリューム・ファイルにアクセスする。実施形態では、ホスト１０２からＤＡＳＤキャッシュ１０６へのデータ転送は、ＤＡＳＤの読み取りコマンド及び書き込みコマンドを処理する、ファイル・システム・マネージャ（ＦＳＭ）１２０Ａ〜１２０Ｎによって直接的に制御される。

同様に、ＤＡＳＤキャッシュ１０６とテープ・ドライブ１１０の間のインタフェースは、記憶管理サーバ１０８によって制御することができる。例えば、もし、ＨＳＭクライアント１２２がＤＡＳＤキャッシュ１０６内に存在しない一の論理ボリューム・ファイルをマウントすることを試みるならば、ＨＳＭクライアント１２２は、そのアクセス要求を記憶管理サーバ１０８に通信するであろう。もし、当該アクセス要求内のテープが、テープ・ライブラリ１１２の一のテープ・ドライブ内に既にマウントされていれば、記憶管理サーバ１０８は、当該マウントされたテープから前記要求された論理ボリューム・ファイルに対応する物理ボリュームにアクセスするであろう。しかし、もし、前記要求されたファイルが現に一のテープ・ドライブ内にマウントされていなければ、記憶管理サーバ１０８は、前記要求された論理ボリューム・ファイルに対応する物理ボリュームを保持するテープをマウントするように、ライブラリ・マネージャ１３０への要求を開始するであろう。

記憶管理サーバ１０８及びＨＳＭクライアント１２２として使用することができる記憶管理処理モジュールの例は、ＩＢＭ社によって提供される、「Tivoli Storage Manager（ＴＳＭ）」アプリケーション及び「IBM ADSTAR Distributed Storage Manager（ＡＳＤＭ）」製品である。記憶管理サーバ１０８は、コマンド・インタフェース１２４及びコンソール出力１２６を含む。

実施形態では、記憶管理サーバ１０８は、論理ボリューム・ファイル全体を、ＤＡＳＤキャッシュ１０６からテープ・ライブラリ１１２へ移送させる。ＤＡＳＤキャッシュ１０６内の使用可能な空間が予め定義されたレベルに到達するか又は予め定義された期間の後に、自動化記憶管理アドミニストレータ１２８は、記憶管理サーバ１０８に対し、ＤＡＳＤキャッシュ１０６からの論理ボリューム・ファイルをテープ・ライブラリ１１２へ移行しそこに保存するように指示する。一般に、自動化記憶管理アドミニストレータ１２８は、物理ボリュームに関連する情報を、関連するボリューム・ステータス・テーブル（図示せず）内に格納する。実施形態によれば、自動化記憶管理アドミニストレータ１２８は、本発明の安全なデータ消去プロセスを達成するために必要とされる機能を提供し、さらに記憶管理サーバ１０８を利用して多くのＶＴＳ特有の管理機能を実行する。例えば、自動化記憶管理アドミニストレータ１２８は、安全なデータ消去処理モジュールを含むことができる。

ＶＴＳボリュームの古いバージョンを回復できないことを保証するように当該古いバージョンを処理するという要件は、顧客によって指定された一定の時間間隔（猶予期間）内に無効化された仮想ボリューム・データを保持する、一の物理ボリュームに上書きを行うことにより満足される。従って、一の仮想又は論理ボリュームに関連するデータが無効化されることを可能にするための機能が導入され、ＶＴＳによって、一層具体的には、ＶＴＳの自動化記憶管理アドミニストレータ１２８のコンポーネントによって実装される。一の物理ボリューム及びその関連するデータの安全なデータ消去を実行する（すなわち、任意の合理的手段によって永久的に読み取り不能にする）ためには、予め定義されたファイル又はデータ・パターン（例えば、論理１、論理ゼロ又はその組み合わせ）を利用して、当該物理ボリュームの全てのデータに１回以上上書きする動作を実行することができる。安全なデータ消去プロセス用の技術は、（例えば、所望の安全レベルに基づいて）ユーザ又はホストによって選択可能であるか、或いは自動的に決定することができる。かかる上書きは、テープ・ドライブ１１０Ａ〜１１０Ｎのうちの１つによって実行することができる。

有効期限（expiration time）が提供され、その有効期限が切れると、一の物理ボリューム上のデータは、無効、潜在的又は不用となる。例えば、当該データは、前述の再利用（reclamation）、移行(migration)又は修正（modification）によって、無効（invalid）、潜在的（latent）又は不用（unused）となる。有効期限は、日付でもよいし、日付及び時刻でもよいが、有効期限が切れると、データは、もはや有効又は有用ではなくなる。以下では、有効期限を期限日付と称することもある。ＳＤＥデッドラインは、期限日付後の一定の時間間隔（猶予期間）の後に、複数の物理ボリュームのうちの各物理ボリュームごとに設定され、顧客によって設定することができる（例えば、顧客のＳＤＥデッドライン）。ＳＤＥデッドラインとは、望まれないデータの保持を回避するために、安全なデータ消去を実行しなければならない日付である。安全なデータ消去は、有効期限から一定の時間間隔（猶予期間）内に実行するのが有利である。というのは、そうすると、機密データ及び顧客情報を必要な期間にわたって維持することができるだけでなく、当該必要な期間の後は、かかる機密データ及び顧客情報を任意の合理的手段によって回復できないことが保証されるからである。例えば、銀行のレコード及びクレジット・カード情報は、法律によって、一定の時間間隔（猶予期間）にわたって保持することが必要とされている。しかし、この必要とされる時間間隔（猶予期間）が経過した後であっても、かかる情報をもはや回復できないように、かかる情報について安全なデータ消去を行うことが企業にとって有利である。従って、所与のプールについて、一定の時間間隔（猶予期間）の後に、一の物理ボリューム上の期限切れデータに上書きを行うことによって、当該期限切れデータを任意の合理的手段を通してもはやアクセスできないことを保証することが望ましい。

図２は、ＶＴＳによって管理される複数の物理ボリュームのうち、安全にデータを消去すべき次の物理ボリュームを周期的に決定するプロセスを示す。説明の便宜上、当該プロセスは、（毎日、２４時間ごと、１２時間ごと又は他の適当な粒度ごとに）ＶＴＳによって実行されるコンピュータ実行命令であるものと仮定する。図２に示すように、当該プロセスは、ステップ２０２で開始し、そこでＶＴＳは、安全なデータ消去用の要件を評価すべき一の物理ボリューム（又は次の物理ボリューム）を選択する。

ＶＴＳは、図２及び図３に示すプロセス中に、種々の機能を実行するが、かかる機能を実行するアプリケーションは、記憶管理サーバ１０８（例えば、ＴＳＭサーバ）、ＨＳＭクライアント１２２（例えば、ＴＳＭ ＨＳＭクライアント）又は自動化記憶管理アドミニストレータ１２８（例えば、ＴＳＭ自動化アドミニストレータ）のようなＶＴＳのプロセッサ上で稼働することができる。

ステップ２０４で、ＶＴＳは、現在の日付が選択された物理ボリュームの期限日付より遅いか否かを決定する。一の物理ボリュームの期限日付は、それが切れるか又は満了する際に、当該物理ボリューム内に保持されるデータが無効、潜在的又はもはや有用ではないと見なされる、時間及び日付の一方又は両方であると定義される。

もし、現在の日付が期限日付より遅くないと決定すれば、当該プロセスはステップ２１４に進み、そこでＶＴＳは、現に評価中の物理ボリュームが最後の物理ボリュームであるか否かを決定する。そうであれば、当該プロセスはステップ２１６に進む。さもなければ、当該プロセスはステップ２０２に戻り、そこでＶＴＳは、評価すべき次の物理ボリュームを選択する。

しかし、現在の日付が期限日付より遅いと決定すれば、当該プロセスはステップ２０６に進み、そこでＶＴＳは、当該物理ボリュームが安全なデータ消去用に利用可能か否かを決定する。ＶＴＳは、多くの要因に基づいて、かかる決定を行うことができる。例えば、もし、一の物理ボリュームが現に追加のデータで充填中であるか又は当該物理ボリューム若しくはその一部が現に読み取り中であれば、当該物理ボリュームは、安全なデータ消去用に利用可能にならないであろう。

もし、当該物理ボリュームが安全なデータ消去用に利用可能ではないと決定すれば、当該プロセスはステップ２１４に進み、そこでＶＴＳは、現に評価中の物理ボリュームが最後の物理ボリュームであるか否かを決定する。そうであれば、当該プロセスはステップ２１６に進む。さもなければ、当該プロセスはステップ２０２に戻り、そこでＶＴＳは、評価すべき次の物理ボリュームを選択する。

もし、ステップ２０６で、当該物理ボリュームが安全なデータ消去用に利用可能であると決定すれば、当該プロセスはステップ２０８に進み、そこでＶＴＳは、残存時間を計算する。この残存時間は、現在の日付（例えば、今日の日付及び時間の一方又は両方）からＳＤＥデッドラインまでの間に存在する時間として、定義することができる。残存時間は、ＳＤＥデッドラインと現在の日付の間の差によって計算される。例えば、もし、ＳＤＥデッドラインが２００６年７月２６日であり且つ現在の日付が２００６年７月１１日であれば、計算済みの残存時間は１５日になるであろう。残存時間は、必要に応じて、日、時間、分又は秒で表現することができる。

ステップ２１０で、ＶＴＳは、残存時間を一の時間しきい値と比較する。この時間しきい値は、顧客によって定義することができる期間である。実施形態では、この時間しきい値は、顧客によって決定される期間であって、当該物理ボリュームの安全なデータ消去が保証される、ＳＤＥデッドラインに十分に接近している期間とすることができる。例えば、１人の顧客は、ＳＤＥデッドラインから１０日の時間しきい値を定義することができるのに対し、他の顧客は、ＳＤＥデッドラインから５日の時間しきい値を定義することができる。

もし、残存時間が時間しきい値より大きいことをＶＴＳが決定すれば、当該プロセスはステップ２１４に進み、そこでＶＴＳは、現に評価中の物理ボリュームが最後の物理ボリュームであるか否かを決定する。そうであれば、当該プロセスはステップ２１６に進む。さもなければ、当該プロセスはステップ２０２に戻り、そこでＶＴＳは、評価すべき次の物理ボリュームを選択する。

もし、残存時間が時間しきい値より小さいことを決定すれば、当該プロセスはステップ２１２に進み、そこでＶＴＳは、カウントをインクリメントする。このカウントのインクリメントは、安全なデータ消去を行うべき物理ボリューム（安全なデータ消去用のキュー、すなわちＳＤＥキューに入れられる物理ボリューム）の量に関するレコードを準備する。かかる物理ボリュームは、顧客が定義した時間しきい値より小さい残存時間を有し、現に期限切れとなっているために、安全なデータ消去用に利用可能である。安全なデータ消去を行うべき物理ボリュームの量に関するレコード（例えば、物理ボリューム消去カウント）は、本発明の他の実施形態に関して後述するように、安全なデータ消去プロセス用の追加テープ・ドライブの割り振りを決定するのに有用である。

ステップ２１２の後、当該プロセスはステップ２１４に進み、そこでＶＴＳは、現に評価中の物理ボリュームが最後の物理ボリュームであるか否かを決定する。もしそうであれば、当該プロセスはステップ２１６に進む。さもなければ、当該プロセスはステップ２０２に戻り、そこでＶＴＳは、評価すべき次の物理ボリュームを選択する。

図２のプロセスは、全てのプール内の全ての物理ボリュームが評価されるまで、前述のように継続する。一旦全てのプール内の全ての物理ボリュームが評価されたならば、当該プロセスはステップ２１６に進み、これらの物理ボリュームを残存時間に基づいてソートする。

ステップ２１８では、残存時間に基づく物理ボリュームのソートに応答して、ＶＴＳ（又はＶＴＳ内のプロセッサ（図示せず））は、ドライブに対し、最小又は最短の量の残存時間を有する物理ボリュームの安全なデータ消去を実行するように一のコマンドを送る。ここで、最短の量の残存時間とは、現在の日付（例えば、今日の日付及び時間の一方又は両方）とＳＤＥデッドラインの間の最小の差に相当する計算済みの残存時間である。当該ドライブは、予め定義されたファイル又はデータ・パターン（例えば、論理１、論理ゼロ又はその組み合わせ）を利用して、当該物理ボリュームの全てのデータに１回以上上書きすることにより、安全なデータ消去を実行する。一旦、安全なデータ消去が実行されると、当該ドライブは、ＶＴＳ（例えば、記憶管理サーバを介してＨＳＭクライアント）に対し、一の応答を送ることにより、安全なデータ消去が実行されたことを指示する。しかし、もし、当該ドライブがかかる応答を送らなければ、当該物理ボリュームは、安全なデータ消去を行うべき物理ボリュームのＳＤＥキュー内に留まるであろう。安全なデータ消去用に利用可能な他の物理ボリュームが存在する場合、すなわち当該他の物理ボリュームが顧客が定義した時間しきい値より小さい残存時間を有し、現に期限切れとなっているために、安全なデータ消去用に利用可能である場合、ＶＴＳは、当該他の物理ボリュームの全ての安全なデータ消去が実行されるまで、最小又は最短の量の残存時間を有する次の物理ボリュームの安全なデータ消去を実行することを継続する。

前述のように、自動化記憶管理アドミニストレータ１２８は、これらの物理ボリュームに関連する情報を、関連するボリューム・ステータス・テーブル（図示せず）内に格納する。ボリューム・ステータス・テーブルは、システム内の各物理ボリュームをリストし、当該各物理ボリュームに関連する１つ以上のパラメータを保持する。実施形態では、ボリューム・ステータス・テーブルは、次の１つ以上を保持することができる。
各物理ボリューム用の期限日付
各物理ボリューム用の時間間隔（猶予期間）
各物理ボリューム用のＳＤＥデッドライン
残存時間（ステップ２０８で計算される）
ＳＤＥキューに入れられる安全なデータ消去動作の数又は量（ステップ２１２でカウント及び決定される）
ボリューム・ステータス・テーブルは、各物理ボリュームに関連する現在のパラメータを維持するために、周期的に（例えば、図２のプロセスが開始される度に）更新することができる。また、ボリューム・ステータス・テーブルは、安全なデータ消去プロセスに有用な追加の情報を有することができる。

図２の各ステップ及び図３の各ステップは、モジュール（例えば、ソフトウェア・モジュール）、モジュールの一部又はコンピュータ・システムによって実行することができる。従って、本明細書に開示する方法、その動作及び本方法を実行するためのモジュールは、本方法の動作を実行するように構成されたコンピュータ・システム上で、又は機械可読媒体から実行することができる。本方法は、これを実行するようにコンピュータ・システムを構成するための、機械可読媒体内に具体化することができる。ソフトウェア・モジュールは、当該モジュールの機能を実行するようにコンピュータ・システムを構成するために、当該コンピュータ・システムのメモリ内に格納されるか、又はそのメモリに伝送することができる。代替的に、かかるアクションは、これらの機能を実装する回路の構造内に具体化することができる。かかる回路の例には、複合命令セット・コンピュータ（ＣＩＳＣ）又は縮小命令セット・コンピュータ（ＲＩＳＣ）のマイクロコード、プログラマブル又は消去可能プログラマブル装置内へプログラムされたファームウェア、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）の構成、ゲート・アレイ又は特定用途向け集積回路（ＡＳＩＣ）の設計等がある。

モジュールと本明細書に開示する動作の間の境界は、単なる例であるに過ぎず、代替実施形態では、かかるモジュール又は動作を合併するか、又は前述の機能を別の態様で分解した上でそれぞれのモジュール上に課すことができる。例えば、本明細書に開示するアクションは、複数のコンピュータ・プロセスとして実行すべき部分動作へ分解することができる。さらに、代替実施形態では、特定の動作又は部分動作の複数のインスタンスを組み合わせることができる。さらに、本明細書に開示する代表的実施形態の動作は、例示の目的のためにのみ提示されたものであるに過ぎない。本明細書の開示に従って、かかる動作を組み合わせたり、かかる動作の機能を追加の動作内に分配することができる。

図３は、本発明の実施形態に従った、安全なデータ消去用のテープ・ドライブの割り振りを評価する方法のフローチャートを示す。このプロセスでは、安全なデータ消去を実行するために追加テープ・ドライブを割り振ること、以前に割り振られた１つ以上の追加テープ・ドライブを除去することができるように、１つ以上の既存のテープ・ドライブ（安全なデータ消去プロセスに割り振られたテープ・ドライブ）を再割り振りすること、１つ以上の追加テープ・ドライブを追加すること、又はこれらのテープ・ドライブを最小の要件に戻すことができる。テープ・ドライブの追加に係る決定は、当該テープ・ドライブを割り振ることが安全なデータ消去のパフォーマンスを改良するか否か、という評価に基づいて行われる。改良とは、後述するように、ＳＤＥデッドラインの前に安全なデータ消去を実行するというテープ管理システム（例えば、ＶＴＳ）の能力とすることができる。テープ・ドライブの除去に係る決定は、より少数のテープ・ドライブ又は最小の動作要件用に割り振られた数のテープ・ドライブを使用する場合、安全なデータ消去プロセスを実行可能であり且つＳＤＥデッドラインを満足することができるか否か、という評価に基づいて行われる。

ステップ２１２に関連して説明したように、インクリメンタル・カウントは、顧客が定義した時間しきい値より小さい残存時間を有し、現に期限切れとなっているために、安全なデータ消去用に利用可能な物理ボリュームの数又は量を表すものとして、これを維持することができる。他の実施形態では、安全なデータ消去を行うべき物理ボリュームのカウントは、他の方法によって得ることができる。この物理ボリュームのカウントは、ＳＤＥキューに入れられる安全なデータ消去動作の数又は量を定義する。

図３のプロセスを説明する便宜上、当該プロセスは、安全なデータ消去用の要求又は顧客の要求に応じて、或いは周期的に（例えば、２４時間ごと、１２時間ごと又は他の適当な粒度ごとに）、ＶＴＳによって実行されるコードであるものと仮定する。当該プロセスは、ステップ３０１で開始した後、ステップ３０２に進み、そこでＶＴＳは、ＳＤＥキュー内の安全なデータ消去動作の数又は量を、最大キューしきい値と比較する。この最大キューしきい値は、顧客によって定義することができる。例えば、顧客は、ＳＤＥデッドラインを超えることなく、ＶＴＳが安全なデータ消去を成功裏に実行することができる物理ボリュームの量として、最大キューしきい値を決定することができる。例えば、顧客は、最大キューしきい値を１５個の物理ボリュームであると定義することができる。

もし、ＳＤＥキュー内の安全なデータ消去動作の量（例えば、１６）が最大キューしきい値より大きければ、当該プロセスはステップ３０６に進み、そこで、ＳＤＥデッドラインまでの平均時間が計算され、これが最小有効期限しきい値と比較される。このＳＤＥデッドラインまでの平均時間は、ＳＤＥキュー内にある各物理ボリュームごとのＳＤＥデッドラインまでの残存時間を加算し且つその和をＳＤＥキュー内にある物理ボリュームの数で割ることによって決定される。最小有効期限しきい値は、顧客によって定義することができる。例えば、顧客は、ドライブの現在の割り振りを以て、ＳＤＥキュー内の物理ボリュームを対象とする安全なデータ消去を、それらのＳＤＥデッドラインに到達する前に、実行可能であると顧客が合理的に予測することができる時間（例えば、日又は時間の数）を考慮することにより、最小有効期限しきい値を決定し且つ定義することができる。もし、ＳＤＥデッドラインまでの平均時間が最小有効期限しきい値より大きければ、当該プロセスは、安全なデータ消去用のテープ・ドライブの割り振り又は除去を行うことなく、ステップ３１２で終了する。例えば、もし、ＳＤＥデッドラインまでの平均時間が１５日であり且つ最小有効期限しきい値が顧客によって３日と設定されたのであれば、安全なデータ消去用に割り振られた現在のテープ・ドライブは、ＳＤＥキュー内の物理ボリュームを対象とする安全なデータ消去を、それらのＳＤＥデッドラインに到達する前に、完了するのに十分であると予測されるであろう。

もし、ＳＤＥデッドラインまでの平均時間が最小有効期限しきい値より小さければ、当該プロセスはステップ３１０に進み、そこでＶＴＳは、ＳＤＥキュー内の安全なデータ消去動作を完了するためにより多くのテープテープ・ドライブを割り振る。例えば、もし、ＳＤＥデッドラインまでの平均時間が１日であり且つ最小有効期限しきい値が顧客によって３日に設定されたのであれば、安全なデータ消去用に割り振られた現在のテープ・ドライブは、ＳＤＥキュー内の全ての物理ボリュームを対象とする安全なデータ消去を、それらのＳＤＥデッドラインに到達する前に、完了することができないと予測されるであろう。このような例の場合、当該プロセスはステップ３１０に進み、そこで追加テープ・ドライブが安全なデータ消去用に割り振られるであろう。ステップ３１０の後、当該プロセスはステップ３１２に進み、そこで当該プロセスが終了する。

実施形態では、ＶＴＳは、安全なデータの上書きプロセスを実行するために、テープ・ドライブ１１０Ａ〜１１０Ｎのうちの１つを補充することにより、追加テープ・ドライブを割り振ることができる。当該補充テープ・ドライブ（１１０Ａ〜１１０Ｎのうちの１つ）は、読み取り及び書き込みプロセスを実行するためにＶＴＳ内で以前に使用されていたものであってもよい。当該補充テープ・ドライブ（１１０Ａ〜１１０Ｎのうちの１つ）がもはやそれらの機能を実行することができないので、ＶＴＳは、読み取り及び書き込み動作を実行するために、１つ少ないドライブで機能している。従って、追加テープ・ドライブが必要とされる場合には、当該追加テープ・ドライブだけを割り振り、そして当該追加テープ・ドライブがもはや必要とされなくなる場合には、当該追加テープ・ドライブをその元の機能に戻すことが望ましい。

他の実施形態では、ＶＴＳは、追加テープ・ドライブがテープ・ライブラリ１１２に追加されることを要求することにより、当該追加テープ・ドライブを安全なデータ消去プロセスに割り振ることができる。この要求は、ディスプレイ又はグラフィカル・ユーザ・インタフェース（ＧＵＩ）のようなインタフェースを通して、通信することができる。他の実施形態では、安全なデータ消去を実行するために、１つ以上の追加テープ・ドライブを割り振ることができる。

図３のステップ３０２に戻って、説明を続ける。もし、ＳＤＥキュー内の安全なデータ消去動作の量が最大キューしきい値より小さいことを決定すれば、当該プロセスはステップ３０４に進み、そこで安全なデータ消去動作の量が最小キューしきい値と比較される。この最小キューしきい値は、顧客によって定義することができる。顧客は、最小の動作要件を以て、ＳＤＥデッドラインに到達する前に、安全なデータ消去を完了することができそうな安全なデータ消去動作の量として、最小キューしきい値を決定し且つ定義することができる。もし、安全なデータ消去動作の量が最小キューしきい値より小さければ、安全なデータ消去プロセス用のテープ・ドライブの割り振りは、最小の動作要件に設定される（ステップ３０８）。他の実施形態では、以前に割り振られた１つ以上の追加テープ・ドライブを除去することができるように、１つ以上の既存のテープ・ドライブ（安全なデータ消去プロセスに割り振られたテープ・ドライブ）を再割り振りすることができる。ステップ３０８の後、当該プロセスはステップ３１２で終了する。

もし、ＶＴＳが、安全なデータ消去動作の量が最小キューしきい値より大きいことを決定すれば、テープ・ドライブの現在の割り振りが維持され、そして当該プロセスはステップ３１２で終了する。

他の実施形態では、安全なデータ消去プロセス用のテープ・ドライブの割り振りは、断片的な態様ではなく、これを一挙に行うことができる。すなわち、ＶＴＳは、前述のステップ３０２〜３１０を実行することにより、一の安全なデータ消去プロセス用の最適数のテープ・ドライブを決定することができる。一旦かかる最適数のドライブが決定されると、ＶＴＳは、当該最適数のドライブを前述の安全なデータ消去プロセス用に割り振る。前記最適数のテープ・ドライブとは、ＳＤＥデッドラインの前に、安全なデータ消去を実行するために必要とされる、最少数のテープ・ドライブである。前記最適数は、周期的に（毎日、１２時間ごと又は他の適当な粒度ごとに）再評価することができる。

図２及び図３は、本発明の実施形態に従った、安全なデータ消去プロセスのフローチャートを示す。図２及び図３のフローチャートは、諸プロセス動作の特定の順序及び諸プロセス動作の特定の粒度を示しているが、他の実施形態では、この順序を変更することができる（例えば、諸プロセス動作を他の順序で又は実質的に並列に実行したり、１つ以上のプロセス動作を結合又は分割することができる）。同様に、本発明の代替実施形態では、必要に応じて、追加のプロセス動作を追加することができる。

前述のように、自動化記憶管理アドミニストレータ１２８は、物理ボリュームに関連する情報を、関連するボリューム・ステータス・テーブル（図示せず）内に格納する。ボリューム・ステータス・テーブルは、システム内の各物理ボリュームをリストし、当該各物理ボリュームに関連する１つ以上のパラメータを保持する。実施形態では、ボリューム・ステータス・テーブルは、次の１つ以上を保持することができる。
ＳＤＥキューに入れられる安全なデータ消去動作の数（ステップ２１２で決定される）
ＳＤＥデッドラインまでの平均時間
このボリューム・ステータス・テーブルは、図２に関連して説明したボリューム・ステータス・テーブルと組み合わせることができ、又はこのボリューム・ステータス・テーブルを個別のテーブルとして作成することもできる。このボリューム・ステータス・テーブルは、周期的に、例えば、各物理ボリュームに関連する現在のパラメータを維持するために、図２又は図３のプロセスが開始される度に、更新することができる。また、このボリューム・ステータス・テーブルは、安全なデータ消去プロセスに有用な追加情報も有することができる。

図４は、本発明の１つ以上の実施形態で使用可能なデータ処理システムを示す。図４のデータ処理システム４００については、特定数の要素及びその配置が示されているが、本発明の実施形態は、任意の特定数、タイプ又は配置のコンポーネントを有するデータ処理システムに限定されないのであって、データ処理システムの種々のタイプ、アーキテクチャ及びフォーム・ファクタ（例えば、ネットワーク要素又はノード、パーソナル・コンピュータ、ワークステーション、サーバ等）を包含することに留意されたい。図示のデータ処理システム４００は、バス４０６を介してメモリ４０４に結合されたプロセッサ４０２を含む。メモリ４０４は、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、フラッシュ・メモリ及びキャッシュのような多数のシステム・メモリ・タイプの記憶要素のうち任意のものとすることができる。

また、図示のデータ処理システム４００は、１つ以上のＩ／Ｏ装置（図示せず）とデータ処理システム４００の間の通信を確立するために、バス４０６に結合された入出力（Ｉ／Ｏ）インタフェース４０８を含む。代表的なＩ／Ｏ装置は、キーボード、ディスプレイ、プリンタ、カーソル制御装置（トラックボール、マウス、タブレット等）、スピーカ及びマイクロホンのような通常のＩ／Ｏ装置と、固定式磁気媒体記憶装置、光学的記憶装置（例えば、ＣＤ又はＤＶＤ ＲＯＭ）、固体記憶装置（ＵＳＢメモリ、Secure Digital SD（商標）、Compact Flash（商標）、ＭＭＣ等）、フレキシブル・ディスク及びテープを含む取り外し可能な磁気媒体記憶装置のような記憶装置と、有線又は無線通信装置（例えば、モデム又は直接ネットワーク・インタフェースを介してアクセスされる通信ネットワーク）を含むことができる。

本発明の実施形態は、ソフトウェア、情報処理ハードウェア及び本明細書に開示した種々のプロセス動作を含む。本発明の特徴及びプロセス動作は、メモリ４０４、記憶装置、通信装置、媒体等の機械可読媒体内に記録された実行可能命令で具体化することができる。機械可読媒体は、機械（例えば、データ処理システム４００）によって読み取り可能な形式でデータを提供（格納又は送信）する、任意の機構を含む。例えば、機械可読媒体は、ランダム・アクセス・メモリ（ＲＡＭ）、 読み取り専用メモリ（ＲＯＭ）、磁気記憶装置媒体、光学的記憶媒体、フラッシュ・メモリ装置、電気的、光学的又は音響的に伝搬される信号（例えば、搬送波、赤外線信号、デジタル信号等）を含むが、これらに限定されない。前述の実行可能命令は、命令でプログラムされたプロセッサ４０２のような汎用又は専用プロセッサに、本発明の動作、方法又はプロセスを実行させるために使用することができる。代替的に、本発明の特徴又は動作は、当該動作を実行するためのハードワイヤード論理を含む特定のハードウェア・コンポーネントによって、又はプログラムされたデータ処理コンポーネント及びカスタム・ハードウェア・コンポーネントの任意の組み合わせによって、これを実行することができる。

本発明は、完全に機能的なデータ処理システムの文脈で説明されている。しかし、本発明は、種々の形式を有するプログラム製品として配布することができる。従って、本発明は、かかる配布を行うために使用される信号担持媒体の特定のタイプに拘わらず、同等に適用されるものである。かかる信号担持媒体の例は、フレキシブル・ディスク及びＣＤ-ＲＯＭのような記録可能な媒体、デジタル及びアナログ通信リンクのような伝送媒体、さらに将来に開発される媒体記憶装置及び配信システムを含む。同様に、本発明の実施形態は、特定の動作又はタスクを実行するために使用されるソフトウェア・モジュールを利用して、実装することができる。かかるソフトウェア・モジュールは、スクリプト、バッチ又は他の実行可能ファイルを含み、機械可読媒体又はコンピュータ可読媒体上に格納することができる。従って、これらのモジュールは、ソフトウェア・モジュールの１つ以上の機能を実行するためにデータ処理又はコンピュータ・システムを構成するように、コンピュータ・システムのメモリ内に格納することができる。これらのモジュールを格納するためには、他の種々のタイプの機械可読媒体又はコンピュータ可読媒体を使用することができる。

以上、本発明の特定の実施形態を説明したが、本明細書に開示した教示に基づいて、本発明及びその広い側面から逸脱することなく、種々の変更及び修正を施しうることは明らかである。従って、本願の各請求項は、かかる変更及び修正の全てが本発明の真の精神及び範囲に属するものとして、これを包含することを意図している。本発明は、各請求項の記載によってのみ定義されるものである。

本発明の実施形態に従った、データ記憶サブシステムを含むデータ記憶ネットワークを示す詳細ブロック図である。 本発明の実施形態に従った、安全なデータ消去を選択的に実行する方法のフローチャートである。 本発明の他の実施形態に従った、安全なデータ消去用のテープ・ドライブの割り振りを評価する方法のフローチャートである。 本発明の１つ以上の実施形態で使用することができる、データ処理システムを示す図である。

符号の説明

１００ 仮想記憶システム
１０１ 仮想テープ・サーバ（ＶＴＳ）
１０２ ホスト・システム
１０６ 直接アクセス記憶装置（ＤＡＳＤ）キャッシュ
１０８ 記憶管理サーバ
１１０Ａ〜１１０Ｎ テープ・ドライブ
１１２ テープ・ライブラリ
１１４ アクセス機構
１１６Ａ〜１１６Ｎ テープ・カートリッジ
１１８Ａ〜１１８Ｎ 仮想テープ・デーモン（ＴＤ）
１２０Ａ〜１２０Ｎ ファイル・システム・マネージャ（ＦＳＭ）
１２２ 階層記憶マネージャ（ＨＳＭ）クライアント
１２４ コマンド・インタフェース
１２６ コンソール出力
１２８ 自動化記憶管理アドミニストレータ
１３０ ライブラリ・マネージャ

Claims (9)

1. 複数のテープ・ドライブを有するテープ管理システムにおいて、安全なデータ消去（以下、「ＳＤＥ」と呼ぶ）プロセス用のテープ・ドライブの割り振りを決定するための方法であって、
   前記テープ管理システムにおいてＳＤＥプロセスを実行するための要求を受け取るステップと、
   前記要求に応答して、
   ＳＤＥデッドラインまでの平均時間を計算するステップと、
   ＳＤＥデッドラインまでの平均時間と最小有効期限しきい値とを比較するステップと、
   ＳＤＥデッドラインまでの平均時間が前記最小有効期限しきい値よりも小さいことに応答して、ＳＤＥプロセスを完了するために、追加テープ・ドライブをＳＤＥプロセス用に割り振るステップと、を含み、
   前記ＳＤＥデッドラインまでの平均時間を計算するステップは、ＳＤＥキュー内にあるＳＤＥを行うべき物理ボリュームごとのＳＤＥデッドラインまでの残存時間を加算すること、および当該加算結果をＳＤＥキュー内にある物理ボリュームの数で除算することを含み、
   前記最小有効期限しきい値は、ＳＤＥをＳＤＥデッドラインに到達する前に、実行可能であると合理的に予測することができる時間として決定される、方法。
2. 前記ＳＤＥを行うべき物理ボリュームの量が、物理ボリューム消去カウントによって決定され、当該物理ボリューム消去カウントが、時間しきい値より小さな残存時間を有する物理ボリュームごとのカウントをインクリメントすることにより決定される、請求項１記載の方法。
3. 前記残存時間が、前記物理ボリュームの前記ＳＤＥデッドラインと前記物理ボリュームの現在の日付の間の差によって計算される、請求項２記載の方法。
4. 前記ＳＤＥプロセスが、前記物理ボリュームのデータに上書きを行うことを含む、請求項１〜３のいずれか１項に記載の方法。
5. 前記上書きが、論理１、論理ゼロ又はその組み合わせの１つを含むデータ・パターンを利用して、前記物理ボリュームの前記データに１回以上上書きすることを含む、請求項４に記載の方法。
6. 前記ＳＤＥプロセスが、前記ＳＤＥデッドラインの前に前記ＳＤＥを完了することを含む、請求項１記載の方法。
7. 前記追加テープ・ドライブをＳＤＥプロセス用に割り振るステップは、前記ＳＤＥを実行するために必要とされる最少数のテープ・ドライブを決定することを含む、請求項１記載の方法。
8. 請求項１ないし請求項７の何れか１項に記載の方法の各ステップをコンピュータに実行させるためのコンピュータ・プログラム。
9. テープ管理システムであって、
   複数のテープ・ドライブと、
   前記複数のテープ・ドライブに結合されたプロセッサとを備え、
   前記プロセッサが、
   安全なデータ消去（以下、「ＳＤＥ」と呼ぶ）プロセスを実行するための要求を前記テープ管理システムが受け取ることに応答して、
   ＳＤＥデッドラインまでの平均時間を計算することと、
   ＳＤＥデッドラインまでの平均時間と最小有効期限しきい値とを比較することと、
   ＳＤＥデッドラインまでの平均時間が前記最小有効期限しきい値よりも小さいことに応答して、ＳＤＥプロセスを完了するために、追加テープ・ドライブをＳＤＥプロセス用に割り振ることと、を実行し、
   前記ＳＤＥデッドラインまでの平均時間を計算することは、ＳＤＥキュー内にあるＳＤＥを行うべき物理ボリュームごとのＳＤＥデッドラインまでの残存時間を加算すること、および当該加算結果をＳＤＥキュー内にある物理ボリュームの数で除算することを含み、
   前記最小有効期限しきい値は、ＳＤＥをＳＤＥデッドラインに到達する前に、実行可能であると合理的に予測することができる時間として決定されるように構成される、テープ管理システム。

Images