特許 7123887 データ転送制御装置、データ転送制御システム及びデータ転送制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-08-15

(45)【発行日】2022-08-23

(54)【発明の名称】データ転送制御装置、データ転送制御システム及びデータ転送制御方法

(51)【国際特許分類】

   H04L 9/08 20060101AFI20220816BHJP

   G06F 21/60 20130101ALI20220816BHJP

   G06F 11/07 20060101ALI20220816BHJP

【ＦＩ】

H04L9/08 C

H04L9/08 E

G06F21/60 320

G06F21/60 360

G06F11/07 140M

G06F11/07 175

【請求項の数】 6

(21)【出願番号】P 2019173569

(22)【出願日】2019-09-24

(65)【公開番号】P2021052292

(43)【公開日】2021-04-01

【審査請求日】2021-09-22

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(73)【特許権者】

【識別番号】317011920

【氏名又は名称】東芝デバイス＆ストレージ株式会社

(74)【代理人】

【識別番号】110002907

【氏名又は名称】特許業務法人イトーシン国際特許事務所

(72)【発明者】

【氏名】荒牧 康人

【審査官】青木 重徳

(56)【参考文献】

【文献】特開２０１６－４８５３０（ＪＰ，Ａ）

【文献】特開２００８－８３８４７（ＪＰ，Ａ）

【文献】国際公開第２０１４／０５００２７（ＷＯ，Ａ１）

【文献】米国特許第１００４９２２７（ＵＳ，Ｂ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／０８

Ｇ０６Ｆ ２１／６０

Ｇ０６Ｆ １１／０７

(57)【特許請求の範囲】

【請求項1】

データ転送要求に応じて記憶装置に記憶されているデータの転送を制御するデータ転送制御装置であって、
タグ生成要求を受信するとタグ情報を生成し、前記タグ情報を暗号化した暗号化タグ情報を、前記タグ生成要求を送信した装置へ送信するタグ情報送信部と、
前記データ転送要求に関わる前記データが格納されているアドレスが所定のアドレスを含むときは、前記データ転送要求に関わる前記データから、前記所定のアドレスに格納されたデータを加工して、送信用データを生成する送信用データ生成部と、
前記送信用データを、前記タグ情報を用いてスクランブルあるいは暗号化して、前記装置へ送信するデータ送信部と、
を有する、データ転送制御装置。

【請求項2】

前記タグ情報送信部は、非対称鍵暗号処理により前記暗号化タグ情報を生成する、請求項１に記載のデータ転送制御装置。

【請求項3】

揮発性メモリを有し、
前記タグ情報は、前記揮発性メモリに格納される、請求項１に記載のデータ転送制御装置。

【請求項4】

前記データ送信部は、前記タグ情報をハッシュ関数でハッシュ化して生成したマスクパターンを用いて前記送信用データをスクランブルする、請求項１に記載のデータ転送制御装置。

【請求項5】

データを記憶する記憶装置を有する第１装置と、前記第１装置と通信可能な第２装置と、を含むデータ転送制御システムであって、
前記第１装置は、
前記第２装置からタグ生成要求を受信するとタグ情報を生成し、前記タグ情報を暗号化した暗号化タグ情報を、前記第２装置へ送信するタグ情報送信部と、
前記第２装置からのデータ転送要求に関わる前記データが格納されているアドレスが所定のアドレスを含むときは、前記データ転送要求に関わる前記データから、前記所定のアドレスに格納されたデータを加工して、送信用データを生成する送信用データ生成部と、
前記送信用データを、前記タグ情報を用いてスクランブルあるいは暗号化して、前記第２装置へ送信するデータ送信部と、
を有し、
前記第２装置は、
前記タグ生成要求を前記第１装置へ送信した後に、前記データ転送要求を前記第１装置へ送信するデータ転送要求送信部と、
前記第１装置から送信された前記タグ情報を用いて、受信した前記送信用データを逆スクランブルあるいは復号化して、前記データを生成するデータ生成部と、
を有する、
データ転送制御システム。

【請求項6】

データを記憶する記憶装置を有する第１装置から、前記第１装置と通信可能な第２装置へ前記データを転送する、データ転送制御方法であって、
前記第２装置からタグ生成要求を受信するとタグ情報を生成し、前記タグ情報を暗号化した暗号化タグ情報を、前記第２装置へ送信し、
前記第２装置からのデータ転送要求に関わる前記データが格納されているアドレスが所定のアドレスを含むときは、前記データ転送要求に関わる前記データから、前記所定のアドレスに格納されたデータを加工して、送信用データを生成し、
前記送信用データを、前記タグ情報を用いてスクランブルあるいは暗号化して、前記第２装置へ送信し、
前記第２装置から、前記タグ生成要求を前記第１装置へ送信した後に、前記データ転送要求を前記第１装置へ送信し、
前記第１装置から送信された前記タグ情報を用いて、受信した前記送信用データを逆スクランブルあるいは復号化して、前記データを生成する、
データ転送制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、データ転送制御装置、データ転送制御システム及びデータ転送制御方法に関する。

【背景技術】

【0002】

ストレージ装置は、コンピュータに接続されて、各種データの記憶のために用いられる。ストレージ装置は、故障すると、ストレージ装置のメーカにより修理される。一般に、ストレージ装置のメーカにおいては、故障したストレージ装置のログデータなどを解析して、故障原因を調査する。

【0003】

例えば、故障原因を調査するためのログデータなどの調査情報はネットワークを経由して顧客のサーバからメーカのサーバへ送信される。調査情報は、ストレージ装置に関わる秘密情報などを含む場合もあるため、サーバ間での認証が行われた後、調査情報は暗号化されて送信される。

【0004】

しかし、情報セキュリティの観点から、顧客がメーカへの送信を望まない場合がある。そのような場合、メーカのサービスエンジニアが顧客のところへ出向いて調査情報の取得及び解析を行わなければならず、さらに、サービスエンジニアは、秘密情報へのアクセスに注意しながら、調査情報を取得しなければならないため、迅速な故障原因の調査をすることができない。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２００２－２９７５４０号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

そこで、実施形態は、記憶装置に記憶されたデータの中から取得する調査情報の範囲を限定してかつセキュアに転送することができるデータ転送制御装置、データ転送制御システム及びその方法を提供することを目的とする。

【課題を解決するための手段】

【0007】

実施形態のデータ転送制御装置は、データ転送要求に応じて記憶装置に記憶されているデータの転送を制御するデータ転送制御装置であって、タグ生成要求を受信するとタグ情報を生成し、前記タグ情報を暗号化した暗号化タグ情報を、前記タグ生成要求を送信した装置へ送信するタグ情報送信部と、前記データ転送要求に関わる前記データが格納されているアドレスが所定のアドレスを含むときは、前記データ転送要求に関わる前記データから、前記所定のアドレスに格納されたデータを加工して、送信用データを生成する送信用データ生成部と、前記送信用データを、前記タグ情報を用いてスクランブルあるいは暗号化して、前記装置へ送信するデータ送信部と、を有する。

【図面の簡単な説明】

【0008】

【図1】実施形態に係わるデータ転送制御システムの構成図である。

【図2】実施形態に係わるストレージ装置の構成を示すブロック図である。

【図3】実施形態に係わる、メーカのサーバのプロセッサの有する機能を示すブロック図である。

【図4】実施形態に係わる、ストレージ装置のコントローラの有する機能を示すブロック図である。

【図5】実施形態に係わる、タグ情報の要求から送信までの流れを示すシーケンス図である。

【図6】実施形態に係わる、調査情報転送要求から調査情報送信までの流れを示すシーケンス図である。

【図7】実施形態に係わる調査アドレス情報の構成例を示す図である。

【図8】実施形態に係わる、平文データをスクランブルしてスクランブルデータを生成する処理例を説明するための図である。

【図9】実施形態に係わる、スクランブルデータを逆スクランブルして平文データを生成する処理例を説明するための図である。

【図10】実施形態に係わるマスク領域情報の構成例を示す図である。

【図11】実施形態に係わる、ストレージ装置内のデータの関連及び流れを説明するための図である。

【発明を実施するための形態】

【0009】

以下、図面を参照して実施形態を説明する。
（構成）
図１は、本実施形態に係わるデータ転送制御システムの構成図である。データ転送制御システム１は、サーバ装置（以下、サーバという）１１と、サーバ１２とを含む。サーバ１１は、メーカＡによって管理されている。

【0010】

サーバ１２は、例えばデータセンタを有する顧客Ｂにより管理されている。サーバ１２には、複数のストレージ装置１４が接続されている。顧客Ｂの管理するデータセンタは、サーバ１２と、複数のストレージ装置１４を含んで構成されている。

【0011】

サーバ１１と１２は、インターネットなどのネットワーク１３により通信可能に接続されている。図１では、サーバ１１は、１つのサーバ１２と通信可能に接続されているが、他の１以上の顧客のサーバ（図示せず）とも通信可能に接続されている。

【0012】

サーバ１１は、プロセッサ１１ａとメモリ１１ｂを有している。メモリ１１ｂには、各ストレージ装置１４の動作ログデータなどの調査情報を取得するための取得プログラム、取得した調査情報を解析する解析プログラム、等が記憶されている。

【0013】

ストレージ装置１４は、コントローラ１４ａと、記憶装置１４ｂを含む。記憶装置１４ｂは、ＮＡＮＤ型フラッシュメモリ、ハードディスクドライブなどである。コントローラ１４ａは、データ転送要求に応じて記憶装置１４ｂに記憶されているデータの転送を制御するデータ転送制御装置である。

【0014】

また、メーカＡのサービスエンジニアの所有するパーソナルコンピュータ（以下、ＰＣという）１５も、ネットワーク１３を介して、サーバ１１と１２と通信可能となっている。例えば、ストレージ装置１４が故障すると、その故障発生は顧客ＢからメーカＡへ連絡される。メーカＡは、故障したストレージ装置１４への故障原因を調査するための動作ログデータなどの調査情報の転送要求などは、メーカＡのサービスエンジニアへ電子メールなどにより行う。

【0015】

動作ログデータは、記憶装置１４ｂの動作履歴などであり、記憶装置１４ｂの所定の記憶領域に自動的に格納され、所定期間の最新の動作ログデータが格納される。すなわち、記憶装置１４ｂは、ストレージ装置１４が動作するためのシステムデータ及び動作ログデータなどを格納する領域と、データを格納する領域を有する。

【0016】

なお、メーカＡから顧客Ｂのストレージ装置１４への調査情報の送信要求、ストレージ装置１４からメーカＡへの調査情報の送信などは、図１の点線で示すように、サーバ１１とサーバ１２間で直接行ってもよい。従って、データ転送制御システム１は、記憶装置１４ｂを有するストレージ装置１４と、ストレージ装置１４と通信可能なサーバ１１又はＰＣ１５と、を含む。

【0017】

図２は、ストレージ装置１４の構成を示すブロック図である。ストレージ装置１４は、中央処理装置（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：以下、ＣＰＵという）２１と、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）回路（以下、ＡＥＳと略す）２２と、ＲＳＡ（Ｒｉｖｅｓｔ－Ｓｈａｍｉｒ－Ａｄｅｌｍａｎ ｃｒｙｐｔｏｓｙｓｔｅｍ）回路（以下、ＲＳＡと略す）２３と、ＳＨＡ（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ）回路（以下、ＳＨＡと略す）２４と、インターフェース（以下、Ｉ／Ｆと略す）２５～２８と、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２９と、ＵＡＲＴ（Ｕｎｉｖｅｒｓａｌ Ａｓｙｎｃｈｒｏｎｏｕｓ Ｒｅｃｉｅｖｅｒ／Ｔｒａｎｓｍｉｔｔｅｒ）回路（以下、ＵＡＲＴと略す）３０、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３１と、記憶装置１４ｂを有する。ＣＰＵ２１、ＡＥＳ２２、ＲＳＡ２３、ＳＨＡ２４及びＩ／Ｆ２５～２８は、内部バス３２を介して互いに接続されている。

【0018】

例えば、ＣＰＵ２１、ＡＥＳ２２、ＲＳＡ２３、ＳＨＡ２４及びＩ／Ｆ２５～２８、ＳＲＡＭ２９及び内部バス３２が、ＳｏＣ（Ｓｙｓｔｅｍ－ｏｎ－ａ－ｃｈｉｐ）として形成される。

【0019】

ストレージ装置１４には、平文データを、暗号化するタイプの暗号装置と、暗号化しないタイプの非暗号装置がある。ＡＥＳ２２は、共通鍵を用いて平文データを暗号化する、ＡＥＳ方式に準拠したＡＥＳ暗号装置である。ストレージ装置１４は、暗号装置である場合、ＡＥＳ２２を有する。ＡＥＳ２２は、記憶装置１４ｂに記憶されるデータの暗号化のために用いられる。ストレージ装置１４は、非暗号装置である場合、ＡＥＳ２２を有さない。

【0020】

ストレージ装置１４が暗号装置である場合、ストレージ装置１４内には、暗号化のためのパラメータデータとしての暗号鍵が含まれる。このパラメータデータは、秘密情報である。

【0021】

ＲＳＡ２３は、非対称鍵暗号処理の公開鍵を用いて、平文データのタグ情報ＴＡＧを暗号化するＲＳＡ暗号装置である。ＳＨＡ２４は、与えられたデータに対してハッシュ値を算出する演算装置である。例えば、ＳＨＡ２４は、ＳＨＡ－２５６のハッシュ関数を用いている。なお、ＲＳＡ２３及びＳＨＡ２４は、コントローラ１４ａのファームウエア（ＦＷ）の更新時の認証にも用いられる。

【0022】

Ｉ／Ｆ２５は、記憶装置１４ｂ用のインターフェースである。Ｉ／Ｆ２６は、ＵＡＲＴ３０用のインターフェースである。Ｉ／Ｆ２７は、ＤＲＡＭ３１用のインターフェースである。Ｉ／Ｆ２８は、ホストであるサーバ１２用のＳＡＳあるいはＳＡＴＡ規格のインターフェースである。

【0023】

ＳＲＡＭ２９は、揮発性メモリであり、ＣＰＵ２１の主メモリとして、ストレージ装置１４の動作に必要な制御プログラム及び各種情報が格納される。ストレージ装置１４が起動されると、記憶装置１４ｂに格納されている制御プログラム等は、Ｉ／Ｆ２５を介してＳＲＡＭ２９に格納される。なお、ＳＲＡＭ２９には、ストレージ装置１４のファームウエア情報（ＦＷ）も格納され、サーバ１１から更新可能になっている。

【0024】

ＵＡＲＴ３０は、内部バス３２に接続するための外部端子（図示せず）に接続されている。ＵＡＲＴ３０は、ＰＣ１５がＣＰＵ２１と直接通信するための回路である。ＵＡＲＴ３０は、例えばＩ／Ｆ２８等の不調によりストレージ装置１４がＰＣ１５と通信できないときに、外部端子にＲＳ２３２ＣケーブルなどによりＰＣ１５を接続して使用する。すなわち、ＵＡＲＴ３０は、ＰＣ１５とストレージ装置１４とを直接接続するための回路である。

【0025】

ＤＲＡＭ３１は、バッファメモリとして使用される。ＣＰＵ２１は、ＰＣ１５から、調査情報の転送を要求する調査情報要求コマンドＬＲＣを受信すると、要求された調査情報を記憶装置１４ｂ及びＳＲＡＭ２９からから読み出してＤＲＡＭ３１に一旦格納する。ＣＰＵ２１は、調査情報から送信用データを生成して、ＤＲＡＭ３１に格納する。

【0026】

調査情報要求コマンドＬＲＣは、転送要求対象の調査情報のアドレス情報を含む。アドレス情報は、記憶装置１４ｂ及びＳＲＡＭ２９の少なくとも一方のアドレスを含む。アドレス情報は、例えば、ストレージ装置１４において実行されたコマンドのログデータが格納される記憶領域の範囲を示す複数のアドレス、ＳＲＡＭ２９で実行されたプログラム中の特定の状態あるいは値が格納された記憶領域の１以上のアドレスを含んでもよい。

【0027】

ＳＲＡＭ２９には、ストレージ装置１４の起動時に記憶装置１４ｂから読み出されたマスク領域情報ＭＡＩが記憶されている。マスク領域情報ＭＡＩは、例えば、データを暗号化するときの暗号鍵、ＰＩＮ情報などが格納される記憶領域のアドレス情報である。ＣＰＵ２１は、要求された調査情報中に、マスク領域情報ＭＡＩで特定される記憶領域のデータを含まないように、調査情報ＩＳを生成する。

【0028】

ＣＰＵ２１は、調査情報ＩＳをスクランブル化した調査情報（以下、スクランブル化調査情報という）ＩＳｓを送信データとしてＩ／Ｆ２８へ出力する。スクランブル化調査情報ＩＳｓは、ＰＣ１５へ送信される。なお、調査情報要求コマンドＬＲＣが、ＵＡＲＴ３０を介して受信されたときは、ＣＰＵ２１は、スクランブル化調査情報ＩＳｓをＵＡＲＴ３０へ出力する。

【0029】

サーバ１１は、ストレージ装置１４からのスクランブル化調査情報ＩＳｓを逆スクランブル化して、調査情報ＩＳを得ることができる。サーバ１１は、得られた調査情報ＩＳを解析して故障原因を調査するための各種機能を有している。ストレージ装置１４も、サーバ１１へ調査情報を送信するための各種機能を有している。

【0030】

図３は、プロセッサ１１ａの有する機能を示すブロック図である。プロセッサ１１ａは、タグ情報を要求し取得するタグ情報要求／取得部４１と、調査情報を要求し取得するための調査情報要求／取得部４２と、データに対してスクランブル／逆スクランブルを行うためのスクランブル／逆スクランブル部４３を有する。

【0031】

プロセッサ１１ａは、ＣＰＵ、ＲＯＭ、ＲＡＭなどを含む。プロセッサ１１ａのＣＰＵがメモリ１１ｂ及びＲＯＭから必要なプログラムを読み出してＲＡＭに展開して実行することにより、タグ情報要求／取得部４１、調査情報要求／取得部４２及びスクランブル／逆スクランブル部４３の各部の機能が実現される。

【0032】

タグ情報要求／取得部４１は、ＰＣ１５へのタグ情報要求依頼の電子メールなどの送信と、ＰＣ１５からのタグ情報に関するデータを取得する電子メールなどの処理を行う。その場合、ＰＣ１５は、タグ情報要求コマンドＴＲＣをサーバ１２へ送信し、サーバ１２からタグ情報に関するデータを取得する。

【0033】

なお、サーバ１１がタグ情報要求コマンドＴＲＣをサーバ１２へ直接送信する場合は、タグ情報要求／取得部４１は、タグ情報要求コマンドＴＲＣをサーバ１２へ送信し、サーバ１２からタグ情報に関するデータを取得する処理も含む。

【0034】

さらに、調査情報要求／取得部４２は、ＰＣ１５への調査情報要求依頼の電子メールなどの送信と、ＰＣ１５からの調査情報に関するデータを取得する電子メールなどの処理を行う。その場合、ＰＣ１５が、調査情報要求コマンドＬＲＣをサーバ１２へ送信し、サーバ１２から調査情報に関するデータを取得する。

【0035】

なお、サーバ１１が調査情報要求コマンドＬＲＣをサーバ１２へ直接送信する場合は、調査情報要求／取得部４２は、調査情報要求コマンドＬＲＣをサーバ１２へ送信し、サーバ１２から調査情報に関するデータを取得する処理も含む。

【0036】

なお、タグ情報要求／取得部４１、調査情報要求／取得部４２及びスクランブル／逆スクランブル部４３の各機能は、プロセッサ１１ａのＣＰＵによるソフトウエアにより実現されているが、プロセッサ１１ａは、各機能の全部又は一部をＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの電子回路により実現するようにしてもよい。

【0037】

図４は、コントローラ１４ａの有する機能を示すブロック図である。コントローラ１４ａは、タグ情報ＴＡＧを生成し送信するためのタグ情報生成／送信部５１と、調査情報ＩＳを生成し送信するための調査情報生成／送信部５２と、スクランブル／逆スクランブルを行うためのスクランブル／逆スクランブル部５３と、送信データを加工するためのデータ加工部５４を有する。ＣＰＵ２１が記憶装置１４ｂから必要なプログラムを読み出してＳＲＡＭ２９に展開して実行することにより、タグ情報生成／送信部５１、調査情報生成／送信部５２、スクランブル／逆スクランブル部５３及びデータ加工部５４の各機能が実現される。

【0038】

なお、タグ情報生成／送信部５１、調査情報生成／送信部５２、スクランブル／逆スクランブル部５３及びデータ加工部５４の機能の一部は、ＣＰＵ２１によるソフトウエアにより実現されているが、コントローラ１４ａは、各機能の全部又は一部を、ＦＰＧＡなどの電子回路により実現するようにしてもよい。

【0039】

（作用）
次に、複数のストレージ装置１４のうちの１つが故障したときに、データ転送制御システム１における調査情報の送信処理について説明する。ストレージ装置１４の故障には、ストレージ装置１４が起動しない、データが読めない、等々の種々の故障がある。

【0040】

［タグデータの送受信］
図５は、タグ情報ＴＡＧの要求から送信までの流れを示すシーケンス図である。図５の処理は、サーバ１１のタグ情報要求／取得部４１とスクランブル／逆スクランブル部４３、及びストレージ装置１４のタグ情報生成／送信部５１とスクランブル／逆スクランブル部５３により実行される。複数のストレージ装置１４のうちの１つ、例えば図１のストレージ装置１４ｘ、が故障すると、顧客Ｂは、メーカＡに対して修理の依頼をする。

【0041】

メーカＡは、タグ情報ＴＡＧを要求するタグ要求依頼を、サービスエンジニアへ伝える。タグ要求依頼は、例えばメーカＡからサービスエンジニアに、電子メール等により通知される。図５において、一点鎖線は、電子メール、サーバメールなどによるデータの送受信を示し、二点鎖線は、Ｉ／Ｆ２８あるいはＵＡＲＴ３０によるコマンド等の送受信を示す。

【0042】

サービスエンジニアは、タグ要求依頼に基づいてタグ要求コマンドＴＲＣを、サーバ１２を経由してＰＣ１５から、故障したストレージ装置１４ｘに送信する。なお、タグ要求コマンドＴＲＣは、ＰＣ１５からストレージ装置１４ｘのコントローラ１４ａに送信されているが、サーバ１１から直接送信してもよい。

【0043】

ストレージ装置１４ｘのＣＰＵ２１は、タグ要求コマンドＴＲＣを受信すると、タグ情報生成／送信部５１のプログラムを実行し、タグ情報ＴＡＧを生成する。タグ情報ＴＡＧは、ＳＲＡＭ２９に格納される。タグ情報生成／送信部５１は、乱数生成プログラムにより生成した乱数値をタグ情報ＴＡＧとする。

【0044】

ここで、タグ情報ＴＡＧを、ＳＲＡＭ２９に格納するのは、ストレージ装置１４ｘが盗難された場合に、タグ情報ＴＡＧが消去されるようにするためである。ストレージ装置１４の電源がオフになると、ＳＲＡＭ２９からタグ情報ＴＡＧが消えるため、第三者は、暗号化された調査情報などを復号することが出来ない。さらに、サービスエンジニアが所定のコマンドを用いて遠隔でストレージ装置１４の電源をオフしたり、リセットしたりすることで、サービスエンジニアは意図的にタグ情報ＴＡＧを消去することもできる。また、顧客Ｂも、ストレージ装置１４の電源をオフしたり、リセットしたりすることで、意図的にかつ素早くタグ情報ＴＡＧを消去することができる。

【0045】

ストレージ装置１４の電源オフ後あるいはリセット後、メーカＡが調査情報などの取得を再度行うときは、新しい値のタグ情報ＴＡＧが生成される。サーバ１１は、新しいタグ情報ＴＡＧを用いて、調査情報ＩＳを取得することができる。

【0046】

また、コントローラ１４ａは、ＲＳＡ２３の非対称暗号の公開鍵ＰＫを予め有している。ＣＰＵ２１は、生成したタグ情報ＴＡＧを公開鍵ＰＫにより秘匿化したタグデータＣ_ＰＫ（ＴＡＧ）をＰＣ１５へ送信する。すなわち、非対称鍵暗号処理により、タグ情報ＴＡＧを暗号化して、暗号化タグ情報であるタグデータＣ_ＰＫ（ＴＡＧ）が生成される。乱数値であるタグ情報ＴＡＧは、公開鍵により秘匿化することによって、暗号化される。

【0047】

タグ情報ＴＡＧの生成、及びタグデータＣ_ＰＫ（ＴＡＧ）の送信は、タグ情報生成／送信部５１により行われる。よって、タグ情報生成／送信部５１は、タグ生成要求を受信すると、タグ情報ＴＡＧを生成し、そのタグ情報ＴＡＧを暗号化した暗号化タグ情報（タグデータＣ_ＰＫ（ＴＡＧ））を、タグ生成要求を送信した装置（ここではＰＣ１５）へ送信するタグ情報送信部を構成する。

【0048】

タグデータＣ_ＰＫ（ＴＡＧ）をＰＣ１５へ送信した後、ストレージ装置１４では、そのタグ情報ＴＡＧは有効となる。タグ情報ＴＡＧを公開鍵ＰＫによりタグデータＣ_ＰＫ（ＴＡＧ）を生成する暗号化処理は、ＲＳＡ２３を利用して行われる。

【0049】

サービスエンジニアは、受信したタグデータＣ_ＰＫ（ＴＡＧ）をサーバ１１へ送信する。メーカＡは、公開鍵ＰＫに対応する非対称暗号の秘密鍵ＳＫを予め有している。よって、サーバ１１では、受信したタグデータＣ_ＰＫ（ＴＡＧ）を、秘密鍵ＳＫにより復号して平文のタグ情報ＴＡＧを得ることができる。タグ情報要求／取得部４１は、秘密鍵ＳＫにより復号化して平文のタグ情報ＴＡＧを取得する処理を行う。

【0050】

よって、タグデータＣ_ＰＫ（ＴＡＧ）が第三者に取得されても、非対称暗号の公開鍵ＰＫによって暗号化されているので、その第三者は、秘密鍵ＳＫを有していなければ、タグ情報ＴＡＧを取得することはできない。その結果、他の顧客のデータも含めて、ストレージ装置１４のデータの危殆化を防ぐことができる。取得されたタグ情報ＴＡＧは、スクランブル処理において用いられる。

【0051】

［調査情報の送受信］
次に、メーカＡが調査情報ＩＳを要求して取得する処理シーケンスについて説明する。図６は、調査情報の転送要求から送信までの流れを示すシーケンス図である。図６の処理は、サーバ１１の調査情報要求／取得部４２とスクランブル／逆スクランブル部４３、及びストレージ装置１４の調査情報生成／送信部５２とスクランブル／逆スクランブル部５３とデータ加工部５４により実行される。

【0052】

メーカＡは、タグ情報ＴＡＧを取得すると、調査情報を要求する調査情報要求依頼を、サービスエンジニアへ伝える。調査情報要求依頼は、例えばメーカＡからサービスエンジニアに、電子メール等により通知される。図６において、一点鎖線は、電子メール、サーバメールなどによる送受信を示し、二点鎖線は、Ｉ／Ｆ２８あるいはＵＡＲＴ３０による送受信を示す。

【0053】

さらに、メーカＡは、故障したストレージ装置１４ｘの故障原因を調査するために有効な情報が格納されている調査アドレス情報ＳＡＩも、サービスエンジニアに伝える。調査アドレス情報ＳＡＩは、記憶装置１４ｂ及びＳＲＡＭ２９の少なくとも１つのアドレス情報を含む。調査アドレス情報ＳＡＩは、故障原因を調査するために有効なデータが格納されているメモリ領域のアドレスの情報であり、特定のアドレス、特定の範囲を示すアドレス、等である。
例えば、調査アドレス情報ＳＡＩは、故障直前の所定数のあるいは所定期間内の動作ログデータが格納されている記憶装置１４ｂ中のアドレスの範囲情報、実行されているプログラム中に含まれる値が格納されているＳＲＡＭ２９中のアドレス、等々である。

【0054】

図７は、調査アドレス情報ＳＡＩの構成例を示す図である。図７の調査アドレス情報ＳＡＩは、記憶装置１４ｂ中の調査情報が格納された記憶領域の先頭アドレスと、その先頭アドレスからの連続するデータバイト数とを一対のデータとする、リストデータである。調査アドレス情報ＳＡＩは、リスト数、１又は２以上の先頭アドレス、１又は２以上のデータバイト数のデータを含む。なお、調査アドレス情報ＳＡＩは、図７以外の構成でもよい。

【0055】

サービスエンジニアは、調査情報要求コマンドＬＲＣを、ストレージ装置１４ｘにＰＣ１５から送信する。なお、調査情報要求コマンドＬＲＣは、サービスエンジニアのＰＣ１５からストレージ装置１４ｘのコントローラ１４ａに送信されているが、サーバ１１からストレージ装置１４ｘに直接送信してもよい。

【0056】

以上のように、ＰＣ１５（あるいはサーバ１１）は、タグ生成要求をストレージ装置１４へ送信した後に、データ転送要求をストレージ装置１４へ送信する。サーバ１１の場合、データ転送要求は、データ転送要求送信部４２により実行される。

【0057】

［サーバ１１における調査アドレス情報のスクランブル化］
調査アドレス情報ＳＡＩは、ある意味において秘密情報でもあるため、スクランブルされてストレージ装置１４へ送信される。調査アドレス情報ＳＡＩは、サーバ１１で、タグ情報ＴＡＧを用いてスクランブル／逆スクランブル部４３によりクランブル化（暗号化）される。スクランブル化された調査アドレス情報（以下、スクランブル化調査アドレス情報という）ＳＡＩｓは、サーバ１１からＰＣ１５へ送信される。

【0058】

これらの処理は、調査情報要求／取得部４２とスクランブル／逆スクランブル部４３により実行される。よって、調査情報要求／取得部４２とスクランブル／逆スクランブル部４３は、復号化したタグ情報ＴＡＧを用いてスクランブル化したアドレスを暗号化アドレス情報としてＰＣ１５へ送信する暗号化アドレス情報送信部を構成する。

【0059】

サービスエンジニアは、調査情報要求コマンドＬＲＣと、スクランブル化調査アドレス情報ＳＡＩｓとを、ＰＣ１５からストレージ装置１４ｘへ送信する。このとき、調査アドレス情報ＳＡＩは、スクランブル化されているので、サービスエンジニア及び顧客Ｂは、調査アドレス情報ＳＡＩを知ることはできない。

【0060】

図８は、平文データをスクランブルしてスクランブルデータを生成する処理例を説明するための図である。スクランブル化されるデータは、データ部、ＣＲＣ部及びＰａｄ部を含む平文である。データ部には、調査アドレス情報ＳＡＩが格納される。ＣＲＣ部には、データ部について生成された巡回冗長検査（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）用のＣＲＣ値が格納される。Ｐａｄ部は、データ長の調整用データが格納される。なお、ＣＲＣ値に代えて、ハッシュ値を誤り検査用に用いてもよい。

【0061】

スクランブル化される平文は、複数の平文データＰ（０）、Ｐ（１）、Ｐ（２）、・・・、Ｐ（ｎ）に分割される。例えば３２バイト長で分割すると、ｎは（（Ｌ／３２）－１）である。Ｌは、スクランブルをかけるデータの総データ長である。

【0062】

図８に示すように、各平文データと、３２バイトのマスクパターンＭとの排他的論理和を取ることにより、複数のスクランブルされたデータが生成される。具体的には、マスクパターンＭの初期値を「０」として、マスクパターンＭとタグ情報ＴＡＧとの排他的論理和のデータをハッシュ化して生成された新たなマスクパターンＭを用いて、各平文データのスクランブル化されたデータが生成される。すなわち、送信用データは、タグ情報ＴＡＧをハッシュ関数でハッシュ化して生成したマスクパターンＭを用いてスクランブルされる。マスクパターンＭは、ＳＨＡ２４と同じハッシュ関数により生成される。

【0063】

例えば、次の式（プログラム）を用いて、各スクランブルデータが算出される。
Ｍ＝０
ｆｏｒ ｉ＝０ ｔｏ ｎ
Ｍ＝Ｈａｓｈ（Ｍ ｘｏｒ ＴＡＧ）
Ｓ（ｉ）＝Ｐ（ｉ） ｘｏｒ Ｍ
ｉは、カウンタであり、０からｎまで変化する。Ｓ（ｉ）は、各平文データＰ（ｉ）に対応したスクランブルデータである。

【0064】

［ストレージ装置１４における調査アドレス情報の逆スクランブル化］
ストレージ装置１４は、ＰＣ１５からスクランブル化調査アドレス情報ＳＡＩｓを受信すると、コントローラ１４ａにおいてタグ情報ＴＡＧを用いて逆スクランブルを行って調査アドレス情報ＳＡＩを生成する。タグ情報ＴＡＧを用いた逆スクランブルは、スクランブル／逆スクランブル部５３により実行される。

【0065】

図９は、スクランブルデータを逆スクランブルして平文データを生成する処理例を説明するための図である。分割されたスクランブルデータ毎に、マスクパターンＭとの排他的論理和を取ることにより、逆スクランブル化された平文が生成される。具体的には、マスクパターンＭの初期値を「０」として、マスクパターンＭとタグ情報ＴＡＧとの排他的論理和のデータをハッシュ化して生成された新たなマスクパターンＭを用いて、スクランブルデータの平文データを生成する。分割されたスクランブルデータ毎に新たに生成されたマスクパターンを用いることにより、スクランブルデータの各平文データが生成される。マスクパターンＭは、ＳＨＡ２４によりハッシュ化される。

【0066】

例えば、次の式（プログラム）を用いて、各平文データが算出される。
Ｍ＝０
ｆｏｒ ｉ＝０ ｔｏ ｎ
Ｍ＝Ｈａｓｈ（Ｍ ｘｏｒ ＴＡＧ）
Ｐ（ｉ）＝Ｓ（ｉ） ｘｏｒ Ｍ
スクランブル化調査アドレス情報ＳＡＩｓは、ＳＨＡ２４を用いて逆スクランブルされるので、ストレージ装置１４は、平文の調査アドレス情報ＳＡＩを取得することができる。コントローラ１４ａは、調査アドレス情報ＳＡＩをＳＲＡＭ２９に格納する。

【0067】

ストレージ装置１４の調査情報生成／送信部５２とスクランブル／逆スクランブル部５３が、タグ情報ＴＡＧを用いてスクランブル化調査アドレス情報ＳＡＩｓを復号化することにより、調査アドレス情報ＳＡＩを取得するアドレス取得部を構成する。

【0068】

調査アドレス情報ＳＡＩは、ＣＲＣによって誤り検出が行われる。誤りが検出されると、コントローラ１４ａは、逆スクランブルに失敗したこと示す報告データを、ＰＣ１５へ通知する。その結果、サーバ１１あるいはＰＣ１５は、スクランブル化調査アドレス情報ＳＡＩｓを再送することができる。

【0069】

［ストレージ装置１４における調査情報の生成］
以上のように、コントローラ１４ａは、調査アドレス情報ＳＡＩで指定されたアドレスのデータを取得する。そして、ＣＰＵ２１は、その調査アドレス情報ＳＡＩに基づいて、記憶装置１４ｂ及びＳＲＡＭ２９から調査情報ＩＳを読み出して、ＤＲＡＭ３１に一時的に格納する。

【0070】

このとき、ＣＰＵ２１は、ＳＲＡＭ２９に格納されているマスク領域情報ＭＡＩを参照して、マスク領域情報ＭＡＩで指定された記憶領域のデータを調査情報ＩＳに含めない加工処理を実行する。

【0071】

図１０は、マスク領域情報ＭＡＩの構成例を示す図である。マスク領域情報ＭＡＩは、記憶装置１４ｂ中の、ユーザデータ用の暗号鍵、ＰＩＮ情報などの情報が格納された記憶領域の先頭アドレスと、その先頭アドレスからの連続するデータバイト数とを一対のデータとする、リストデータである。図１０のマスク領域情報ＭＡＩは、１又は２以上の先頭アドレス、１又は２以上のデータバイト数のデータを含む。なお、マスク領域情報ＭＡＩの構成は、図１０に示す構成以外の構成でもよい。

【0072】

ＣＰＵ２１は、調査アドレス情報ＳＡＩ中にマスク領域情報ＭＡＩのアドレスが含まれるときは、記憶装置１４ｂ及びＳＲＡＭ２９から調査情報を読み出す。ＣＰＵ２１は、その読み出した調査情報からマスク領域情報ＭＡＩのデータを削除して、ＤＲＡＭ３１に格納する。あるいは、ＣＰＵ２１は、マスク領域情報ＭＡＩのデータを除いた調査情報を読み出し、ＤＲＡＭ３１に格納する。調査情報ＩＳは、ストレージ装置１４の動作ログデータなどを含む。

【0073】

すなわち、ＣＰＵ２１は、調査アドレス情報ＳＡＩにより指定された記憶領域のデータであるとき、調査情報ＩＳにマスク領域情報ＭＡＩで指定された記憶領域のデータが含まれないように加工して調査情報ＩＳを生成する。言い換えれば、マスク領域情報ＭＡＩにより指定されたデータは、調査アドレス情報ＳＡＩで指定されても、ストレージ装置１４からＰＣ１５へ送信されない。よって、ユーザデータ用の暗号鍵、ＰＩＮ情報などのデータが、調査情報ＩＳに含まれて出力されることが抑止される。マスク領域情報ＭＡＩで指定された記憶領域のデータの削除は、データ加工部５４により実行される。

【0074】

なお、ＣＰＵ２１は、マスク領域情報ＭＡＩで指定された記憶領域のデータが調査情報ＩＳに含まれないようにしているが、ユーザのデータを暗号化するための暗号鍵、ＰＩＮ情報などのデータの出力の抑止は、他の方法を用いてもよい。

【0075】

例えば、第１の変形例として、調査アドレス情報ＳＡＩがマスク領域情報ＭＡＩのアドレスを含むときは、そのマスク領域情報ＭＡＩのアドレスのデータを特定の値、例えば「０ｘ００００」、「０ｘＦＦＦＦ」に変更するようにしてもよい。

【0076】

あるいは、第２の変形例として、調査アドレス情報ＳＡＩがマスク領域情報ＭＡＩのアドレスを含むときは、調査情報要求コマンドＬＲＣを無効として、コマンドのステータスをエラーにして、ＰＣ１５へエラーコードで返信するようにしてもよい。

【0077】

また、第３の変形例として、調査アドレス情報ＳＡＩがマスク領域情報ＭＡＩのアドレスを含むときは、ユーザデータ用の暗号鍵、ＰＩＮ情報などのデータの出力の抑止を行うと共に、ユーザデータ用の暗号鍵、ＰＩＮ情報などのデータを消去し、その後変更するようにしてもよい。

【0078】

［ストレージ装置１４における調査情報のスクランブル化と送信］
ＤＲＡＭ３１に格納された調査情報ＩＳは、タグ情報ＴＡＧを用いてスクランブル処理されて、送信用のスクランブル化調査情報ＩＳｓとしてＤＲＡＭ３１に格納される。調査情報ＩＳのスクランブル化は、スクランブル／逆スクランブル部５３により、図８に示す方法と同じ方法で行われる。

【0079】

ストレージ装置１４は、調査情報をスクランブル化してＰＣ１５へ送信する。調査情報生成／送信部５２及びデータ加工部５４が、調査情報要求コマンドＬＲＣに関わるデータが格納されているアドレスが所定のアドレスを含むときは、調査情報要求コマンドＬＲＣに関わるデータから、所定のアドレスに格納されたデータを加工（変更あるいは削除）して、送信用データを生成する送信用データ生成部を構成する。そして、調査情報生成／送信部５２及びスクランブル／逆スクランブル部５３が、送信用データを、タグ情報ＴＡＧを用いてスクランブル化して、ＰＣ１５へ送信するデータ送信部を構成する。スクランブル／逆スクランブル部５３は、送信用データをスクランブルするとき、タグ情報ＴＡＧをハッシュ関数でハッシュ化して生成したマスクパターンＭを用いて送信用データをスクランブルする。

【0080】

スクランブル化調査情報ＩＳｓは、ＰＣ１５に送信され、ＰＣ１５からサーバ１１へ送信される。スクランブル化調査情報ＩＳｓは、ユーザデータ用の暗号鍵、ＰＩＮ情報などのデータを含まない。

【0081】

［サーバ１１における調査情報の逆スクランブル化］
サーバ１１は、スクランブル化調査情報ＩＳｓを受信すると、タグ情報ＴＡＧを用いて逆スクランブルを行って平文の調査情報ＩＳを生成する。スクランブル化調査情報ＩＳｓの逆スクランブル化は、図９に示す方法と同じ方法で行われる。

【0082】

これらの処理は、調査情報要求／取得部４２とスクランブル／逆スクランブル部４３により行われる。調査情報要求／取得部４２とスクランブル／逆スクランブル部４３は、受信したタグ情報ＴＡＧを用いて、受信したデータを逆スクランブルあるいは復号化して、平文の調査情報ＩＳを生成するデータ生成部を構成する。平文の調査情報ＩＳは、ストレージ装置１４の故障原因を調査するための解析に用いられる。

【0083】

なお、ＰＣ１５は、ストレージ装置１４に対してリセットあるいは電源オフの制御信号を送ることができるようになっている。コントローラ１４ａは、リセット指示あるいは電源オフ指示のコマンドを受信すると、ストレージ装置１４のリセットあるいは電源オフを行う。タグ情報ＴＡＧは、ＳＲＡＭ２９に格納されているので、サービスエンジニアは、調査情報ＩＳの取得後、ストレージ装置１４のリセットあるいは電源オフを行うことにより、タグ情報ＴＡＧを消去することができる。その後、生成されたタグ情報ＴＡＧは、そのストレージ装置１４では有効ではなくなる。

【0084】

図１１は、ストレージ装置１４内のデータの関連及び流れを説明するための図である。図１１において、太い実線は、スクランブル化情報の流れを示す。細い実線は、コマンドの流れを示す。点線は、タグデータの流れを示す。太い一点鎖線は、記憶装置１４ｂからの平文の調査情報の流れを示す。細い一点鎖線は、ＳＲＡＭ２９からの平文の調査情報の流れを示す。二点鎖線は、マスクパターンの流れを示す。

【0085】

以上のように、本実施形態によれば、故障したストレージ装置１４をメーカＡに送付して修理したり、あるいはサービスエンジニアが顧客Ｂの所へ出向いたりしなくても、セキュアに調査情報をメーカＡへ送信して解析を迅速に行うことができる。

【0086】

また、デジタル署名機能に用いられる秘密鍵と公開鍵を利用して、タグ情報をストレージ装置１４からサーバ１１へセキュアに送信し、そのタグ情報を利用したマスクパターンで調査情報のアドレス情報を暗号化している。これにより、調査情報のアドレス情報もセキュアにサーバ１１からストレージ装置１４に送信することができる。調査情報の送受信の前に認証などの処理を行わないので、ストレージ装置１４の調査情報を簡単にかつ迅速にメーカＡへ送信して、故障原因の調査、故障対応を迅速にすることができる。

【0087】

また、タグ情報ＴＡＧは、秘密鍵を有するメーカＡしか知らないので、秘密鍵を有するメーカＡ以外の者は、スクランブル化調査情報ＩＳｓを復号化することはできない。

【0088】

さらに、タグ情報ＴＡＧは、ストレージ装置１４においてタグ生成要求の度に生成される。タグ情報ＴＡＧは、ストレージ装置１４の揮発性メモリに格納されるので、ストレージ装置１４の電源がオフあるいはストレージ装置１４がリセットされると、完全に消去される。したがって、送信された調査情報は、セキュアな状態を保つことができる。

【0089】

また、ハッシュ関数を用いたスクランブル化データの送受信を利用している。そのため、ストレージ装置１４が、ＡＥＳ等の暗号回路を有していない非暗号装置でも、調査情報ＩＳを暗号化して送信することができる。

【0090】

調査情報ＩＳは、ストレージ装置１４が暗号装置である場合は、ＡＥＳ２２を用いて暗号化してストレージ装置１４からサーバ１１へ送信するようにしてもよい。

【0091】

また、メーカＡは不必要な情報を取得しないように、範囲を特定して調査情報ＩＳを取得することができる。さらに、ストレージ装置１４は、特定された範囲に送信すべきでない情報、例えば暗号装置の暗号化パラメータデータなどの情報が含まれているときは、その情報の送信を阻止することもできる。

【0092】

上述した実施形態は、顧客はデータセンタを運用する企業の例であるが、顧客は、個人顧客でもよい。

【0093】

以上のように、本実施形態によれば、記憶されたデータの中から取得する調査情報の範囲を限定してかつセキュアに転送することができるデータ転送制御装置、データ転送制御システム及びその方法を提供することができる。

【0094】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として例示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0095】

１ データ転送制御システム、１１ サーバ、１１ａ プロセッサ、１１ｂ メモリ、１２ サーバ、１３ ネットワーク、１４ ストレージ装置、１４ａ コントローラ、１４ｂ 記憶装置、１４ｘ ストレージ装置、３２ 内部バス、４１ タグ情報要求／取得部、４２ 調査情報要求／取得部、４３ スクランブル／逆スクランブル部、５１ タグ情報生成／送信部、５２ 調査情報生成／送信部、５３ スクランブル／逆スクランブル部、５４ データ加工部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】