特許 6782331 バックアップシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】6782331

(24)【登録日】2020年10月21日

(45)【発行日】2020年11月11日

(54)【発明の名称】バックアップシステム

(51)【国際特許分類】

   G06F 16/11 20190101AFI20201102BHJP

   G06F 3/06 20060101ALI20201102BHJP

   G06F 11/14 20060101ALI20201102BHJP

【ＦＩ】

   G06F16/11

   G06F3/06 304F

   G06F11/14 646

【請求項の数】6

【全頁数】18

(21)【出願番号】特願2019-92938(P2019-92938)

(22)【出願日】2019年5月16日

【審査請求日】2019年7月25日

(73)【特許権者】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110001689

【氏名又は名称】青稜特許業務法人

(72)【発明者】

【氏名】田中 直樹

(72)【発明者】

【氏名】風間 悟朗

(72)【発明者】

【氏名】増田 直之

(72)【発明者】

【氏名】山田 智也

(72)【発明者】

【氏名】平岩 友理

【審査官】 甲斐 哲雄

(56)【参考文献】

【文献】 特開２０１９−０８２９７０（ＪＰ，Ａ）

【文献】 特開２００４−１６４２２６（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ １６／１０−１６／１８８

Ｇ０６Ｆ ３／０６

Ｇ０６Ｆ １１／１４

(57)【特許請求の範囲】

【請求項1】

ストレージシステムとバックアップサーバとを有するバックアップシステムにおいて、
前記バックアップサーバは、
バックアップイメージ毎にコピー番号と、バックアップ取得日時を管理する台帳を有し、
前記ストレージシステムに、
業務用サーバによってアクセスされるデータを格納するデータ用ボリュームと、
前記データ用ボリュームの異なる時点の複数のバックアップイメージを格納するバックアップイメージ用ボリュームと、
前記複数のバックアップイメージの内、最古のバックアップイメージを格納する一次利用ボリュームと、
前記バックアップサーバの台帳のコピーを格納する台帳用ボリュームと、
前記バックアップサーバに対しバックアップイメージをアクセスするためボリュームＩＤを有するアクセス用ボリュームと、
前記バックアップサーバからアクセスするためのボリュームＩＤに代えて、内部ボリュームＩＤを有する少なくとも一つのボリュームを含むデータ保護領域とを構成し、
前記データ保護領域のボリュームの内部ボリュームＩＤを用いて、前記一次利用ボリュームに格納された最古のバックアップイメージと、前記台帳用ボリュームに格納された台帳の内、前記一次利用ボリュームに格納された最古のバックアップイメージに対応するバックアップ取得日時を含むエントリーとを、前記データ保護領域のボリュームに順次格納させ、
前記データ保護領域に格納されたバックアップイメージと前記アクセス用ボリュームを関連付けることで、前記データ保護領域内のバックアップイメージを前記バックアップサーバに提供することを特徴とするバックアップシステム。

【請求項2】

請求項１に記載のバックアップシステムにおいて、
前記バックアップサーバは、前記アクセス用ボリュームを介して取得する前記最古のバックアップイメージに対応するバックアップ取得日時と、前記バックアップサーバによって管理される台帳の前記最古のバックアップイメージに対応するバックアップ取得日時とを比較して前記バックアップサーバによって管理される台帳が改ざんされているかを確認することを特徴とするバックアップシステム。

【請求項3】

請求項２記載のバックアップシステムにおいて、
前記バックアップサーバは、前記アクセス用ボリュームを介して取得する前記最古のバックアップイメージに対応するバックアップ取得日時と、前記バックアップサーバによって管理される台帳の前記最古のバックアップイメージに対応するバックアップ取得日時とを比較して、一致する場合には、前記最古のバックアップイメージを前記データ保護領域から削除することを特徴とするバックアップシステム。

【請求項4】

請求項２記載のバックアップシステムにおいて、
前記バックアップサーバによって管理される台帳の各エントリーは、前記ストレージシステムの前記データ保護領域のボリュームの前記内部ボリュームＩＤと対応づけて管理されていることを特徴とするバックアップシステム。

【請求項5】

請求項４記載のバックアップシステムにおいて、
前記バックアップサーバは、前記データ保護領域に格納される各バックアップイメージに対し、ウィルス検査の結果を格納する確認結果テーブルを格納するメモリを有することを特徴とするバックアップシステム。

【請求項6】

請求項２に記載のバックアップシステムにおいて、
前記バックアップサーバは、前記データ保護領域に格納されたバックアップイメージと前記アクセス用ボリュームの関連付けを、前記コピー番号を用いて行うことを特徴とするバックアップシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データのバックアップ技術に関する。

【背景技術】

【0002】

サイバー攻撃の多様化に伴い、Ａｎｔｉ Ｖｉｒｕｓソフト等が新種マルウェアを検知できる割合は年々低下している。さらに、サイバー攻撃は高度化しており、バックアップも破壊するＤｅＯＳ型攻撃(Ｄｅｓｔｒｕｃｔｉｏｎ ｏｆ ｓｅｒｖｉｃｅ)等が出現している。

【0003】

そこで、マルウェアの侵入を防止はしつつも、侵入されることを前提にして、マルウェアの発動/発現を検知して対処する“Ｃｙｂｅｒ Ｒｅｓｉｌｉｅｎｃｅ”という考え方に移行しつつある。

【0004】

従来のバックアップシステムでは、ＤｅＯＳ型攻撃等により、バックアップデータも全て感染してしまい、リストア不可な状況に陥る可能性がある。また、感染していないバックアップデータが存在する場合でも、手作業でバックアップを一つ一つ確認し、リストアポイントを決定する必要がある。Ｃｙｂｅｒ Ｒｅｓｉｌｉｅｎｃｅでは、バックアップデータを、今まで以上に大量に取得するようになるため、リストアポイントを決定し、リストアするための時間が飛躍的に増加すると考えられる。

【0005】

データ保護技術として、複数世代のバックアップイメージをクラウドに格納する技術として特許文献１がある。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】米国特許第９４０５７５６号明細書

【発明の概要】

【発明が解決しようとする課題】

【0007】

上記特許文献１によれば、複数世代のバックアップイメージからオリジナルなデータをリストアすることができるが、バックアップソフトを含めてバックアップソフトウェアが動作するためにバックアップイメージの格納先ストレージシステムにアクセスを許可したサーバ上で動作するプログラムがウィルス等により感染すると、全てのバックアップイメージが破壊されるため、正しいデータにリストアできないことが考えられる。

【0008】

そこで、本発明の目的は、バックアップソフトがウィルスに感染しても、正しいデータにリストア可能なバックアップシステムを提供することにある。

【課題を解決するための手段】

【0009】

上記目的を達成するため、本発明のバックアップシステムの一態様は、ストレージシステムとバックアップサーバとを有するバックアップシステムにおいて、バックアップサーバは、バックアップイメージ毎にコピー番号と、バックアップ取得日時を管理する台帳を有し、ストレージシステムに、業務用サーバによってアクセスされるデータを格納するデータ用ボリュームと、データ用ボリュームの異なる時点の複数のバックアップイメージを格納するバックアップイメージ用ボリュームと、複数のバックアップイメージの内、最古のバックアップイメージを格納する一次利用ボリュームと、バックアップサーバの台帳のコピーを格納する台帳用ボリュームと、バックアップサーバに対しバックアップイメージをアクセスするためボリュームＩＤを有するアクセス用ボリュームと、バックアップサーバからアクセスするためのボリュームＩＤに代えて、内部ボリュームＩＤを有する少なくとも一つのボリュームを含むデータ保護領域とを構成し、データ保護領域のボリュームの内部ボリュームＩＤを用いて、一次利用ボリュームに格納された最古のバックアップイメージと、台帳用ボリュームに格納された台帳の内、一次利用ボリュームに格納された最古のバックアップイメージに対応するバックアップ取得日時を含むエントリーとを、データ保護領域のボリュームに順次格納させ、データ保護領域に格納されたバックアップイメージとアクセス用ボリュームを関連付けることで、データ保護領域内のバックアップイメージをバックアップサーバに提供する。

【発明の効果】

【0010】

本発明によれば、ＤｅＯＳ型攻撃を含むバックアップデータの破壊・改竄を防止することができる。

【図面の簡単な説明】

【0011】

【図1】実施例の情報処理システム構成図である。

【図2】実施例のバックアップサーバのハードウェアブロック図である。

【図3】実施例の管理台帳テーブルの一例を示した図である。

【図4】実施例の管理方法設定テーブルの一例を示した図である。

【図5】実施例の確認結果テーブルの一例を示した図である。

【図6】実施例のデータ保護領域管理プログラムがバックアップイメージをデータ保護領域に移動させる処理を示すフローチャートである。

【図7】実施例のデータ保護領域管理プログラムがバックアップイメージをデータ保護領域に移動させる処理を示すフローチャートである。

【図8】実施例のデータ保護領域管理プログラムがデータ保護領域内のデータを削除する処理を示すフローチャートである。

【図9】実施例のデータ保護領域管理プログラムがデータ保護領域内のデータに基づいて、バックアップサーバからアクセス可能にする処理を示すフローチャートである。

【図10】実施例のデータ保護領域管理プログラムがデータ保護領域内のデータに基づいて、バックアップサーバからアクセス可能にする処理を示すフローチャートである。

【図11】実施例のデータ保護領域管理プログラムがデータ保護領域内の台帳を回復させる処理を示すフローチャートである。

【図12】実施例のデータ保護領域管理プログラムがデータ保護領域内のバックアップデータを用いて元の運用を再開するためにバックアップサーバからアクセス可能にする処理を示すフローチャートである。

【発明を実施するための形態】

【0012】

実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

【0013】

以下の説明では、［ＡＡＡテーブル］の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、［ＡＡＡテーブル］を［ＡＡＡ情報］と記載することができる。

【0014】

また、以下の説明では、プロセッサは、典型的には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。プロセッサは、処理の一部または全部を行うハードウェア回路を含んでもよい。

【0015】

また、以下の説明では、［プログラム］を動作の主体として処理を説明する場合があるが、プログラムは、プロセッサによって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）等を用いながら行うため、実際の処理の主体はプロセッサである。従って、プログラムを動作の主体として説明された処理は、プロセッサを含む装置が行う処理としてもよい。また、プロセッサが行う処理の一部又は全部を行うハードウェア回路を含んでもよい。

【0016】

コンピュータプログラムは、プログラムソースから装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバ、又は、計算機が読み取り可能な記憶メディアであってもよい。

【実施例】

【0017】

＜１．システム構成＞
図１は、本実施例による情報処理システムの一例を示す構成図である。

【0018】

この情報処理システム１は、バックアップサーバ１０、バックアップサーバ１０にＬＡＮ１１を介して接続される１又は複数の業務サーバ２０、３０と、業務サーバ２０、３０からのＩＯ（Ｉｎｐｕｔ Ｏｕｔｐｕｔ）要求を、ＳＡＮ（Ｓｔｏｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介して受信する１又は複数のストレージシステム４０とを有する。
ストレージシステム４０は、ＬＡＮ１１を介してバックアップサーバ１０に接続されている。業務用サーバ２０は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｏｆｔｗａｒｅ）上でＡＰＰ（Ａｐｐｌｉｃａｔｉｏｎ）が動作し、業務用サーバ３０は、ハイパーバイザ上に複数の仮想マシンが動作するサーバである。

【0019】

ストレージシステム４０は、業務用サーバに記憶領域を提供するデータストア４０３やＮＴＦＳ４０２を有する。ここでは、説明を簡素化するため、バックアップサーバ１０によってバックアップされるデータは、データストア４０３に含まれるボリューム（データ用ボリューム）を例に説明する。ストレージシステム４０は、データストア４０３やＮＴＦＳ４０２のバックアップイメージを生成する機能として、例えば、データ用ボリュームのスナップショットを取得する機能を有する。但し、バックアップされる対象は、データストア４０３やＮＴＦＳ４０２に格納されるファイルやファイルシステムであっても良い。

【0020】

また、ストレージシステム４０には、バックアップサーバ１０、業務サーバ２０、３０等の外部から直接アクセスできない領域のデータ保護領域４０６と、その機能に応じた複数のボリュームが構成される。

【0021】

複数のボリュームは、バックアップされるボリュームのバックアップイメージを複数格納するバックアップイメージ用ボリューム４０１、バックアップイメージをデータ保護領域４０６から読み出す際に使用するアクセス用ボリューム４０４、バックアップイメージ用ボリューム４０１に格納されるバックアップイメージをデータ保護領域４０６に格納するために一時的に使用する一次利用ボリューム４０５、バックアップサーバ１０で管理される台帳を、データ保護領域４０６に格納する際に一時的に利用される台帳用ボリューム４０７を有する。
バックアップイメージとは、例えば、データストア４０３のボリュームのバックアップデータ或いは、スナップショットデータであり、バックアップ対象となるボリュームの異なる時点（複数世代）におけるデータである。尚、バックアップ対象は、ボリューム以外にファイルやファイルシステムであってもよい。

【0022】

各ボリュームの機能を説明するため、データの流れの一例を簡単に説明する。
バックアップサーバ１０は、バックアッププログラム１０９が動作し、データストア４０３のボリュームのバックアップを取得し、バックアップイメージ用ボリューム４０１に格納する。バックアップ対象である一つのボリュームに対する異なる時点のバックアップイメージを複数世代、例えば、世代Ｎ−１、世代Ｎがバックアップイメージ用ボリューム４０１に格納される。

【0023】

バックアップイメージ用ボリューム４０１に格納されるバックアップイメージをデータ保護領域４０６に格納する際に、一次利用ボリューム４０５が用いられる。一次利用ボリューム４０５のバックアップイメージと、バックアップイメージを管理する台帳を、データ保護領域４０６にコピーする。このコピー動作には、データ保護領域４０６内のボリュームを特定する内部ボリュームＩＤを用いて行う。内部ボリュームＩＤはストレージシステム４０の内部で管理される情報であって、バックアップサーバ１０、業務サーバ２０、３０のような外部デバイスには提供されることはなく、これを用いて、外部デバイスはデータ保護領域内のボリュームにアクセスすることはできない。外部デバイスからストレージシステム４０内のボリュームに対してアクセスを行う場合には、ボリュームに割り付けられたボリュームＩＤを用いる。

【0024】

データ保護領域４０６に格納されたバックアップイメージを、ボリュームＩＤを有するアクセス用ボリューム４０４に関連付けて、バックアップサーバ１０が利用することができるようにする。

【0025】

つまり、データ保護領域４０６内のボリュームには、外部からアクセスするためのボリュームＩＤを付与することなく、ストレージシステム４０内でボリューム管理のために用いる内部ボリュームＩＤを付すことで、外部デバイスから直接アクセスすることができないデータ保護領域４０６を構成する。

【0026】

本実施例ではストレージシステム４０がこれらの機能を持つものとして説明する。即ちストレージシステム４０の動作を制御するマイクロプログラムがこれらの機能を外部からの指示に基づいて実行する。しかし、これらの機能をストレージ機能を持つプログラムが実現してもよい。

【0027】

図２は、バックアップサーバ１０のハードウェアブロック図である。
ＣＰＵ１０３は、バックアップサーバ１０全体の動作制御を司るハードウェアである。またメモリ１０４は、例えば、Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（ＳＤＲＡＭ）等の半導体メモリから構成され、必要なプログラム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ（ＯＳ）を含む）やデータを記憶保持するために利用される。メモリ１０３は、ＣＰＵ１０３の主記憶であり、ＣＰＵ１０３が実行するプログラム（データ保護領域管理プログラム等）や、ＣＰＵ１０３が参照する各種テーブル等が格納される他、バックアップサーバ１０のディスクキャッシュ（キャッシュメモリ）としても使用される。

【0028】

ＣＰＵ１０３によって処理される一部または全部は、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ(ＡＳＩＣ)やＦｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ(ＦＰＧＡ)のような専用ハードウェアで実現することもできる。

【0029】

図示しないが、バックアップサーバ１０には、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＳＡＴＡ（Ｓｅｒｉａｌ ＡＴＡ）、ＦＣ（Ｆｉｂｒｅ Ｃｈａｎｎｅｌ）等の各種ドライブから構成される記憶装置が含まれる。

【0030】

入出力受付部１０１は、管理者からのデータを入力するキーボードやマウス、タッチパネル等の入力装置と、管理者に対してデータのバックアップ状況等の各種データを出力する表示装置のような出力装置である。管理者からは、例えば、データ保護領域４０６の容量や、バックアップ対象のボリュームＩＤ等が入力される。

【0031】

ネットワークＩ／Ｆ１０２は、ストレージシステム４０に対して、ボリューム作成等の各種操作を行うためのインタフェースであり、例えばＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等である。ネットワークＩ／Ｆ１０２は、ネットワークを介してアプリケーションサーバ２０、３０と接続される。

【0032】

メモリ１０４には、データ保護領域管理プログラム１０５の他、各種テーブルとして、管理台帳テーブル（台帳Ａ）１０６、管理方法設定テーブル１０７、各インシデントに対する確認結果テーブル１０８を格納する。また、実行されるプログラムがロードされて展開される。実行するプログラムとしては、アプリケーションサーバと通信しアプリケーションを静止化する等して整合性のとれたバックアップイメージを取得するバックアッププログラム１０９や、本実施例のバックアップイメージを保護するために保管を管理するためのデータ保護領域管理プログラム１０５等がある。

【0033】

ＣＰＵ１０３は、メモリ１０４に格納される、テーブル等の各種管理情報を参照しながら、データ保護領域管理プログラム１０５を実行することで、各種機能を実現する。

【0034】

＜２．各種管理情報＞
次に、各種管理情報を説明する。

【0035】

図３は、実施例の管理台帳テーブルの一例を示した図である。

【0036】

バックアップサーバ１０上のバックアッププログラム１０９がデータストア４０３内のボリュームのバックアップを取得すると、バックアップ取得時のバックアップイメージがバックアップイメージ用ボリューム４０１に格納される。バックアップイメージは、取得されるタイミングにより、世代Ｎ−１、世代Ｎと複数の世代のバックイメージが取得される。世代Ｎ−１は世代Ｎの一世代古いバックアップイメージとする。管理台帳テーブルＴ１には、バックアップイメージの名称Ｔ１１に対し、データ保護領域４０６にコピーする際にデータ保護領域管理プログラム１０５によって採番されるコピー番号Ｔ１２、バックアップサーバ１０がバックアップを取った際に付与されるバックアップイメージＩＤ Ｔ１３、バックアップ取得のタイミングを示すバックアップ日時Ｔ１４、一次利用ボリューム４０５からデータ保護領域４０６にコピーしたタイミングを示すコピー取得日時Ａ Ｔ１５とが対応して管理される。

【0037】

図３の管理台帳テーブル１０６の各エントリーは、データ保護領域４０６の各ボリュームに格納される。そのため、データ保護領域４０６の各ボリュームの内部ボリュームＩＤと、コピー番号等は対応する情報として管理可能である。この管理台帳テーブルＴ１は、バックアップサーバ１０の台帳Ａとして格納される。

【0038】

図４は、バックアップサーバ１０のメモリ１０４に格納される管理方法設定テーブルＴ２を示した図である。設定情報の名称Ｔ２１に対し、バックアップイメージの最大保持世代を示すデータ最大保持世代数Ｔ２２、バックアップポリシーＴ２３が対応して管理される。バックアップポリシーＴ２３は、例えば、図４に記載の内容が規定されている。

【0039】

図５は、バックアップサーバ１０のメモリ１０４に格納される確認結果テーブルＴ３を示した図である。

【0040】

バックアップイメージＩＤ Ｔ３１に対し、当該バックアップイメージのウィルス検査を行った時間であるデータチェック日時Ｔ３２、そのチェック結果Ｔ３３を対応して管理している。バックアップイメージＩＤ Ｔ３１は、図３のバックアップイメージＩＤ Ｔ１３と対応する情報である。

【0041】

＜３．運用準備＞
図１を参照しながら、運用準備について説明する。以下の（Ａ−１）から（Ａ−９）の処理は、データ保護領域プログラム１０５をＣＰＵ１０３が実行することにより処理される。

【0042】

（Ａ−１）ストレージシステム内にデータ保護領域を作成する。データ保護領域４０６は、ストレージコントローラからはアクセスできるが、ストレージシステム４０の外部装置、例えば、バックアップサーバ１０、業務サーバ２０、３０からは直接アクセスすることができない領域である。つまり、データ保護領域４０６を構成するボリュームにはアクセスのために必要となるボリュームＩＤを付与せず、ストレージシステム４０内でボリューム管理のために用いる内部ボリュームＩＤによって管理される。

【0043】

（Ａ−２）バックアップイメージ用ボリューム４０１に格納されるバックアップイメージをデータ保護領域４０６に移動させる際に一時的に使用する一次利用ボリューム４０５を作成する。
（Ａ−３）作成した一次利用ボリューム４０５とバックアップサーバ１０のホストパスを設定する。
（Ａ−４）一次利用ボリューム４０５をバックアップサーバにマウントする。
（Ａ−５）バックアップサーバ１０がボリューム一次利用ボリューム４０５の操作を行うため、一次利用ボリューム４０５をバックアップサーバ１０の管理コンソール上で登録する。

【0044】

（Ａ−６）バックアップイメージをデータ保護領域４０６から読み出す際に使用するアクセス用ボリューム４０４を作成する。
（Ａ−７）バックアップサーバ１０が格納する台帳Ａのバックアップを格納する台帳用ボリューム４０７を作成する。台帳用ボリュームに格納される台帳Ａのバックアップを台帳Ｂと称することとする。
（Ａ−８）作成した台帳用ボリューム４０７とバックアップサーバ１０のホストパスを設定する。
（Ａ−９）台帳用ボリューム４０７をバックアップサーバ１０にマウントする。

【0045】

以上の処理により、ストレージシステム上にデータ保護領域と、複数の役割の異なるボリュームとを作成し、バックアップサーバ１０がボリューム４０４等を認識して操作できる状態とすることができる。

【0046】

＜４．運用開始＞
図１を参照しながら、運用開始について説明する。以下の（Ｂ−１）から（Ｂ−３）の処理は、データ保護領域プログラム１０５をＣＰＵ１０３が実行することにより処理される。

【0047】

（Ｂ−１）データ保護領域４０６内にコピーグループを作成する。コピーグループはバックアップされる対象である世代を管理するため、内部ボリュームＩＤを用いて形成する。バックアップされる対象とは、データストア４０３のボリュームやＮＴＦＳ４０２のファイルシステム等であり、ここでは、データストア４０３のボリュームを例に説明を続ける。データ保護領域４０６は、複数のボリュームを有し、複数のボリュームの内コピーグループを形成する各ボリュームにバックアップ対象のボリュームの各世代のデータが格納される。

【0048】

（Ｂ−２）一次利用ボリューム４０５のボリュームＩＤと、データ保護領域４０６のコピーグループの各ボリュームの内部ＩＤを用いてコピーペアを生成する。

【0049】

（Ｂ−３）台帳用ボリューム４０７のボリュームＩＤとボリュームの内部ＩＤを用いてコピーペア生成する。台帳用ボリューム４０７からデータ保護領域４０６にコピーされた台帳を台帳Ｃと称する。

【0050】

＜５．バックアップイメージをデータ保護領域に格納＞
図６は、実施例のデータ保護領域管理プログラムがバックアップイメージをデータ保護領域に移動させる処理を示すフローチャートである。図６の処理は、データ保護領域プログラム１０５をＣＰＵ１０３が実行することにより処理される。

【0051】

処理が開始されると、ステップＳ６１で、バックアップサーバ１０がバックアップイメージを作成するボリュームを確認する。バックアップ対象がファイルの場合、ディレクトリ内のファイルを確認する。

【0052】

次に、ステップＳ６２で、バックアップサーバ１０のバックアッププログラム１０９で設定されている世代数分バックアップイメージがあるかを判定する。判定結果がＮＯの場合にはステップＳ６３に進み、一定時間待つ。判定結果がＹＥＳの場合にはステップＳ６４に進み、新たにバックアップイメージが作成されたか判定する。判定結果がＮＯの場合には、ステップＳ６３に進み、一定時間待つ。判定結果がＹＥＳの場合には、ステップＳ６５に進む。

【0053】

ステップＳ６５では、バックアップイメージ用ボリューム上の最古のバックアップイメージを一次利用ボリューム４０５にコピーする。コピー処理は、バックアップイメージ用ボリューム４０１と一次利用ボリューム４０５のボリュームＩＤを用いてペア操作を行う。図１の例では、世代Ｎと世代Ｎ−１が格納されており、世代Ｎ−１が最古のバックアップイメージに該当する。

【0054】

ステップＳ６６で、データ管理プログラムは台帳Ａから空きコピー番号を採番し、台帳Ａにコピー番号Ｔ１２、バックアップイメージＩＤ Ｔ１３、バックアップ日時Ｔ１４をセットで記載する。コピー番号Ｔ１２は、一次利用ボリューム４０５からデータ保護領域４０６へのコピーする際に付与され、一次利用ボリュームに格納されたバックアップイメージとこのコピー番号でデータ保護領域４０６内のバックアップイメージを特定することができる。

【0055】

次に、ステップＳ６７で、データ管理プログラム１０５が今回台帳Ａに記載した部分のみ（管理台帳テーブルの１エントリー）を、管理台帳テーブル（台帳Ａ）１０６から一次利用ボリューム４０５にコピーする。

【0056】

次に、ステップＳ６８で、データ保護領域のボリュームの内部ボリュームＩＤを用いて現時点の一次利用ボリューム４０５のバックアップイメージと今回台帳Ａに記載した部分をセットにして、データ保護領域にそのコピーを格納する。

【0057】

引き継き、図７に記載される処理を、データ保護領域管理プログラム１０５が実行する。

【0058】

ステップＳ７１で、ステップＳ６８で実行したコピー作成の成功を確認し、ステップＳ７２で、バックアップサーバ１０の台帳Ａにコピー取得日時Ａ Ｔ１５を記載する。これで、図３に示した管理台帳テーブルＴ１の全てのエントリーが格納されることになる。

【0059】

次に、ステップＳ７３で、台帳Ａを台帳用ボリューム４０７にコピーする。つまり、台帳Ｂを台帳用ボリューム４０７に格納する。ステップＳ７４では、現時点の台帳用ボリューム４０７のコピーをデータ保護領域４０６内に作成する。つまり、データ保護領域４０６に台帳Ｃを格納する。

【0060】

ステップＳ７５で、ステップ７４で実行される台帳Ａのコピーがデータ保護領域４０６内に格納されたか確認する。台帳Ａのコピーがデータ保護領域４０６内に格納されたことを確認、即ち、台帳Ｃがデータ保護領域４０６に格納されたことを確認すると、ステップＳ７６で、一次利用ボリューム４０５に格納されているバックアップイメージを削除する。ステップＳ７７で、一次利用ボリューム４０５に格納した台帳Ｂの１エントリー分を削除する。ここで、削除される台帳のエントリーは、削除されたバックアップイメージに対応するものである。

【0061】

ステップＳ７８で、台帳用ボリュームにコピーした台帳のコピー（台帳Ｂ）を削除する。

【0062】

以上、図６と図７に示す処理を実行することで、バックアップイメージ用ボリューム４０１に格納されたバックアップイメージとこれを管理する台帳のエントリーを順次格納すると共に、台帳Ａのコピーである台帳Ｃをデータ保護領域４０６に格納することができる。

【0063】

＜６．データ保護領域内のデータを削除＞
データ保護領域４０６の容量は、管理者により入出力受付部１０１を経由して入力されるデータによって決定される。例えば、バックアップ対象のボリューム等の容量、その世代数により決まる。また、ストレージシステム４０がウィルス攻撃を受けている頻度を管理しておき、頻度が高くなると、データ保護領域４０６の容量を増やすように、バックアップ対象のボリューム等の容量、その世代数によって決まる容量に、Ｎ倍（Ｎは１以上の数）しても良い。

【0064】

いずれにしても、データ保護領域４０６の容量には上限値があるため、不要となったデータを削除する必要がある。図８は、データ保護領域管理プログラムがデータ保護領域内のデータを削除する処理を示すフローチャートである。

【0065】

ステップＳ８１で、データ保護領域内のコピー数を確認する。コピー数とは、バックアップ対象が１つのボリュームの場合、バックアップされる世代数が該当し、複数のボリュームの場合、ボリュームの数、或いはボリュームの数と各ボリュームの世代数によって決まる。

【0066】

ステップＳ８２で、予め設定された、データ保護領域４０６で保持する数以上のコピーが作成されたか判定する。この判定は、管理方法設定テーブルＴ２のデータ最大保持世代数Ｔ２２の値を参照して行う。ステップＳ８２の判定結果が、ＮＯの場合にはステップＳ８３にすすみ、一定時間待つ。判定結果がＹＥＳの場合、ステップＳ８４に進む。

【0067】

ステップＳ８４では、台帳Ａからデータ保護領域内の最古のコピー取得日時Ａを取得する。次に、ステップＳ８５で、ストレージの機能として保持しているデータ保護領域４０６にコピーしたコピー取得日時Ｂを取得する。

【0068】

ステップＳ８６で、ステップＳ８４、ステップＳ８５で取得したコピー取得日時Ａ、Ｂが一致するか判定する。セキュリティの観点からデータ管理プログラム上の台帳Ａへの情報記載後に改ざんが無いか確認するためである。二つのコピー取得日時が不一致の場合、処理を終了する。一致する場合、ステップＳ８７に進む。

【0069】

ステップＳ８７では、データ保護領域４０６内の最古のコピー取得日時Ａ、Ｂに対応する最古のコピーを削除し、ステップＳ８８でデータ管理プログラム上の台帳Ａから削除したコピー部分の記載をデータ保護領域４０６から削除する。これにより、データ改竄が行われていない場合には、最古の世代のデータをデータ保護領域４０６から削除することができ、二つのコピー取得日時が不一致でデータ改竄されている可能性がある場合には、データ保護領域４０６に格納されているバックアップイメージを削除しないようにすることができる。

【0070】

＜７．データリストア＞
次に、データ保護領域４０６に格納されたデータを利用したデータのリストアについて説明する。図９は、データ保護領域管理プログラムがデータ保護領域内のデータに基づいて、バックアップサーバからアクセス可能にする処理を示すフローチャートである。

【0071】

ステップＳ９０で、バックアップサーバ１０のメモリ１０４に確認結果テーブルを新規作成し、現時点でデータ保護領域４０６内に存在する全バックアップイメージＩＤを管理台帳テーブル（台帳Ａ）から読み出し、作成した確認結果テーブルに格納する。

【0072】

次に、ステップＳ９１で、管理者からリストアしたいバックアップイメージ指定があるか否か判定する。管理者からバックアップイメージの指定がある場合、ステップＳ９２に進み、なければステップＳ９３に進む。管理者からのバックアップイメージの指定は、バックアップイメージ名称Ｔ１１あるいは、バックアップイメージＩＤ Ｔ１３によって行われる。

【0073】

ステップＳ９２では、データ管理プログラム上の台帳Ａから、ユーザが指定したバックアップイメージ名称Ｔ１１のバックアップイメージに対応するコピー番号Ｔ１２を取得する。

【0074】

次に、ステップＳ９４で、コピー番号Ｔ１２により、データ保護領域４０６に格納されているコピーを指定し、アクセス用ボリューム４０４と紐付ける。この紐付けは、バックアップイメージを格納するデータ保護領域のボリュームの内部ボリュームＩＤを用いて行うこともできる。ステップＳ９５で、アクセス用ボリューム４０４とバックアップサーバのホストパスを設定し、ステップＳ９６で、アクセス用ボリュームをバックアップサーバにマウントする。これにより、バックアップサーバ１０は、データ保護領域４０６に格納されたバックアップイメージを、アクセス用ボリューム４０４にアクセスすることで読み出し、確認することができる。

【0075】

次に、ステップＳ９７で、データ保護領域４０６内のバックアップイメージと台帳(1エントリ分)のセットを取得する。

【0076】

ステップＳ９８で、ステップＳ９７で取得した台帳(1エントリ分)の記載とデータ管理プログラム上の台帳Ａの記載（台帳の各エントリーの値）が一致するか判定する。データ保護領域内４０６のバックアップイメージと台帳(1エントリ分)は、データ保護領域４０６に格納された時点から更新されることはないため、バックアップサーバ１０の台帳Ａが改変されていないかを確認できる。一致しない場合、ステップＳ９９に進み、台帳回復のフロー（図１１参照）に進む。一致する場合、ステップＣに進む。

【0077】

尚、ステップＳ９３では、データ管理プログラム上の台帳Ａから、まだ確認していないデータのコピー番号を取得し、ステップＳ９４に進む。データ保護領域内の全コピー番号について確認するためである。

【0078】

図１０は、図９から続く処理で、データ保護領域管理プログラム１０５がデータ保護領域４０６内のデータに基づいて、データ回復する処理を示すフローチャートである。

【0079】

ステップＳ１００は、アクセス用ボリューム４０４のバックアップイメージを、バックアップサーバ１０にインポートする。インポートとは、バックアッププログラム１０９でバックアップイメージの内容にアクセスできる状態にすることを指す。

【0080】

ステップＳ１０１で、データ保護領域４０６から読み出したバックアップイメージＩＤとバックアップ日時について、バックアップサーバ上の情報（台帳Ａ）の情報が一致することを確認する。データ保護領域の情報は更新されることがないため、バックアップサーバ１０の台帳Ａが改変されたことを確認できる。

【0081】

ステップＳ１０２で、インポートしたバックアップデータに対してウィルスチェックを行い、感染を確認する。

【0082】

ステップＳ１０３でバックアップイメージが感染されているか判定し、感染されていなければステップＳ１０４に進み、確認結果テーブルＴ３のチェック結果Ｔ３３に、インポートしたバックアップイメージをリストア候補として登録する。

【0083】

感染していると判定された場合、或いは、ステップＳ１０４の処理が行うと、ステップＳ１０５に進み、バックアップサーバ１０にインポートしたバックアップデータを削除する。

【0084】

次に、ステップＳ１０６で、アクセス用ボリュームをアンマウントし、アクセス用ボリュームのパス設定削除（ステップＳ１０７）し、アクセス用ボリュームとデータ保護領域４０６のバックアップイメージのコピーとの紐付けを解除する。

【0085】

次に、データ保護領域内のデータ全てについて確認済か判定し、確認済みの場合は処理を終了し、未確認の場合にはステップＳ１１０に進み、図９のステップＳ９３に戻る。尚、管理者からバックアップイメージの指定がある場合には、指定されたバックアップイメージについて、確認したこととなるため、ステップＳ１０９の判定がＹＥＳとなり、処理は終了する。

【0086】

＜８．台帳のデータリストア＞
図１１は、データ保護領域管理プログラムがデータ保護領域内の台帳を回復させる処理を示すフローチャートである。ステップＳ１１１では、データ保護領域４０６内の台帳Ａのバックアップが入ったコピー（台帳Ｃ）から台帳用ボリューム４０７にリストアする。

【0087】

次に、ステップＳ１１２で、リストアした台帳用ボリューム４０７上の台帳Ｂのバックアップから、データ管理プログラム上の台帳Ａをコピーバックする。

【0088】

これにより、データ保護領域４０６内の台帳Ｃを用いて、バックアップサーバ１０の台帳Ａをリストアすることができる。

【0089】

＜９．データ保護領域内のデータリストア＞
図１２は、実施例のデータ保護領域管理プログラム１０５がデータ保護領域４０６内のバックアップデータを用いて元の運用を再開するためにバックアップサーバ１０からアクセス可能にする処理を示すフローチャートである。

【0090】

まず、ステップＳ１２１で、アクセス用ボリュームとバックアップサーバ１０のホストパスを設定する。ステップＳ１２２で、確認結果テーブルＴ３にチェック結果Ｔ３３からリストア候補を特定し、対応するバックアップイメージＩＤ Ｔ３１から、管理台帳テーブルＴ１のバックアップイメージＩＤ Ｔ１３に対応するコピー番号Ｔ１２を取得する。次に、コピー番号によりリストアするコピーを指定し、アクセス用ボリュームと紐付ける（ステップＳ１２３）。 アクセス用ボリューム４０４とバックアップサーバ１０のホストパス設定し（ステップＳ１２４）、アクセス用ボリューム４０４をバックアップサーバ１０にマウントし（ステップＳ１２５）、アクセス用ボリュームのバックアップイメージを、バックアップサーバ１０にインポートする（ステップＳ１２６）。

【0091】

これにより、データ保護領域内のデータを用いて、バックアップサーバ１０にリストアされたイメージを提供し、確認することができる。

【0092】

確認されたバックアップイメージを格納するアクセス用ボリュームと業務用サーバのホストパスを設定し、アクセス用ボリュームを業務用サーバにマウントすることで、業務用サーバによってリストアされたイメージで業務を行うことができる。

【0093】

以上の通り、本実施例では、データ保護領域のボリュームに格納されるバックアップイメージを、ボリュームＩＤが付されるアクセス用ボリュームを介して、データ保護領域内のデータにアクセスできるため、データ保護領域内のデータ改竄を防止することができる。

【0094】

また、データ保護領域のボリュームには、ボリュームＩＤを付さないため、データ保護領域内のデータの改竄を防止することができる。

【0095】

また、アクセス用ボリュームに対応付けられるデータ保護領域内のバックアップイメージ（世代）を指定できるので、管理者はどの世代のバックアップイメージをバックアップサーバにリストアするか選択することができる。

【0096】

なお、上記実施例は、バックアップサーバ１０上のバックアッププログラム１０９がバックアップイメージを生成する実施形態を説明したが、ストレージシステム４０自身が有するコピー機能を用いてバックアップイメージを生成するようにしても良い。

【符号の説明】

【0097】

１０：バックアップサーバ、
１０３：ＣＰＵ、
１０４：メモリ、
１０５：データ保護領域管理プログラム、
１０６：管理台帳テーブル（台帳Ａ）
１０７：管理方法設定テーブル、
１０８：確認結果テーブル、
２０：業務サーバ、
３０：業務サーバ、
４０：ストレージシステム、
４０１：バックアップイメージ用ボリューム、
４０２：ＮＴＦＳ用ボリューム、
４０３：データストア、
４０４：アクセス用ボリューム、
４０５：一次利用ボリューム、
４０６：データ保護領域、
４０７：台帳用ボリューム。

【要約】      （修正有）

【課題】ＤｅＯＳ型攻撃を含むバックアップデータの破壊・改竄を防止する。
【解決手段】情報処理システム１は、バックアップイメージ毎にコピー番号と、バックアップ取得日時を管理する台帳を有し、ストレージシステムに、業務用サーバによってアクセスされるデータを格納するデータ用ボリュームと、データ用ボリュームの異なる時点の複数のバックアップイメージを格納するバックアップイメージ用ボリュームと、バックアップサーバに対しバックアップイメージをアクセスするためボリュームＩＤを有するアクセス用ボリュームと、バックアップサーバからアクセスするためのボリュームＩＤに代えて、内部ボリュームＩＤを有する少なくとも一つのボリュームを含むデータ保護領域とを構成し、データ保護領域に格納されたバックアップイメージとアクセス用ボリュームを関連付けることで、データ保護領域内のバックアップイメージをバックアップサーバに提供する。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】