CN100492273C - 用于粉碎数据的方法和存储控制器 - Google Patents

Abstract

提供了要在存储控制器中执行的基于策略的数据粉碎。存储在诸如磁盘驱动器的介质上的逻辑卷可以被分配一个或多个可能的粉碎策略。在控制器中存储并执行策略比执行基于主机的粉碎更有效，并且需要使用更少的主机和控制器之间的宝贵带宽。另外，控制器知道阵列中的每个驱动器的故障、降级和离线状态，从而能够在必要时终止或修改粉碎操作。每一种策略包括要在存储卷的介质位置上执行的写入遍数和要在介质位置上写入的模式。策略还可以表明是在多遍写入的每一遍的期间还是仅仅在第一遍更新奇偶校验区域。

Description

用于粉碎数据的方法和存储控制器

技术领域

本发明一般涉及数据毁灭(粉碎(shredding))，特别涉及提供灵活的、基于存储控制器的粉碎策略。

背景技术

由于商业、安全、规章或政府的要求，被存储但是过时或不再需要的客户数据可能需要以不可恢复的方式安全地被擦除或删除(被称为数据粉碎)。粉碎涉及覆写存储了客户数据的物理介质的区域。覆写典型地用诸如全部0、全部1的各种位模式之一替换数据。然而，因为在覆写操作期间可能发生错误，所以某些安全协议要求多遍覆写，以便确保没有遗留原始数据的残余。这样，一种政府的粉碎策略要求写入指定模式七次。另一种更严格的策略要求用数据的补码对其进行覆写，然后用全部1覆写，然后用全部0覆写，最后用指定模式覆写七次。其它粉碎策略也在使用中，并且可以根据应用和主管机构(regulating authority)而变化。

过去，磁带驱动器和光驱动器实现了以固定模式对整个卷执行覆写或擦除的固定命令。诸如Data Retention 450的较新数据保持产品基于磁盘驱动器，并且包括服务器(或主机)和外部盘控制器。图1是示例性数据保持设备100的方框图，其包括主机110、存储控制器120和附连的盘驱动器(其可以包括RAID阵列)130。主机120内的软件122跟踪要粉碎逻辑卷的哪些扇区，并且引导执行粉碎操作。

过去用来从磁带和光驱动器破坏数据的固定擦除命令不够灵活以满足较新且变化的规章粉碎要求。此外，为了覆写数据扇区，主机必须将覆写模式如同实际数据一样发送到存储控制器。在网络环境中，该数据的传送使用了昂贵的带宽。

另外，在存储阵列130中，逻辑卷的扇区典型地分散在阵列130的多个物理驱动器上。这些驱动器中的一个可能离线或处于降级状态，该情形已为控制器120所知，但主机110不知。在这样的情况下，虽然主机110认为粉碎操作成功，但是离线或降级的驱动器上的数据仍未被粉碎。

因此，需要一种灵活的粉碎系统，其适应各种粉碎要求，降低带宽要求，并且考虑到离线或降级的驱动器。

发明内容

本发明提供了用于在存储控制器中执行基于策略的数据粉碎的方法、系统、计算机程序产品以及用于部署计算基础结构的方法。针对存储在存储设备的存储介质上的位置中的卷，创建粉碎策略。将策略存储到控制器中，当接收到粉碎卷的命令时，控制器根据策略执行命令。策略包括要在介质位置上执行的写入遍数和要在介质位置上写入的模式。策略还可以表明是在多遍写入的每一遍的期间还是仅仅在第一遍更新奇偶校验区域。卷可以与任何数目的可能粉碎策略相关联；来自主机的粉碎命令表明要执行哪一种策略。

在一个实施例中，例如通过使用write_verify(写入核实)命令的控制字节内的厂商专用位，将粉碎命令嵌入到SCSI write_verify命令中。所使用的位数代表卷可用的可能策略的数目。

在控制器中存储并执行策略比执行基于主机的粉碎更有效，并且需要使用更少的主机和控制器之间的宝贵带宽。另外，控制器知道存储阵列中的每个驱动器的故障、降级和离线状态，从而能够在必要时终止或修改粉碎操作。

附图说明

图1是示例性数据保持设备的方框图；

图2是可以实现本发明的粉碎管理的存储控制器的方框图；

图3是示例性逻辑卷的图示；

图4示出了可以用作粉碎命令的SCSI write_verify命令的位；

图5是基于粉碎命令的位值而选择的可能粉碎策略的表；

图6是基于粉碎命令的位值而选择的可能粉碎策略的可替换表。

具体实施方式

图2是可以实现本发明的粉碎管理的存储控制器200的方框图。控制器200直接地或通过网络260，经由主机接口202附连到主机250。控制器还通过一个或多个设备接口204附连到盘驱动器或RAID阵列270。数据可以被存储在单个驱动器内的代表逻辑卷的物理扇区中。在阵列270中，逻辑卷300的数据被存储在分散于各个驱动器上的扇区中。在两种配置中，都由控制器200维护物理存储到逻辑卷的映射。图3是示例性逻辑卷300的图示，其具有数据区域302和奇偶校验区域304。控制器200还包括存储了软件指令的存储器210、以及可操作以执行指令的处理器206。在存储器210中所存储的软件指令当中有粉碎管理模块212。

粉碎管理模块212包括针对存储在驱动器270中的每个逻辑卷的策略。策略包括代表在粉碎卷时要被执行的覆写遍数的参数、以及代表用来覆写原始客户数据的模式的参数。一些模式例子包括(但不限于)：用于政府应用的安全标准指定模式；全部0；全部1；原始客户数据的补码，随后是另一模式；原始客户数据的逻辑或或者异或，随后是另一模式；或某种其它任意模式。

策略还可以包括表明要对奇偶校验区域304做什么的参数。例如，如果要在每一遍覆写期间更新奇偶校验区域，则可以将标志或其它指示符设成第一状态，而如果仅仅在第一遍覆写期间更新奇偶校验区域，则可以将标志或其它指示符设成第二状态。

可以为策略分配允许高效标识多个策略的号码或描述名(以下被称为“策略句柄”)。在一个实施例中，每个逻辑卷可以具有由它们各自的句柄标识的几种可能粉碎策略。在操作中，从主机250到控制器200的用于粉碎卷的命令可以因此而包括要由控制器200执行的粉碎策略的句柄。两位粉碎命令将标识四种可能粉碎策略中的一种。在一个实施例中，例如其中主机250通过SCSI命令接口附连到控制器200，可以将粉碎命令嵌入到现有的write_verify命令400的两个厂商专用位(如位6和7)402和404。如图5的表所示，两个位的不同组合代表可供在卷上使用的四种可能粉碎策略。可以使用不同的表来指定每个逻辑卷可用的可能粉碎策略。表可以引用预定义的策略(图5)或者可以通过条目定义策略(图6)，其中条目设定了要被执行的写入遍数、要覆写原始数据的模式、以及(如果需要的话)是执行奇偶校验的一次覆写还是执行多次覆写。应当理解，可以使用不同的位数来提供更多或更少的可能粉碎策略，并且write_verify的其它位和其它命令可以用来从主机250向控制器200传达策略选择。此外，粉碎管理模块212可以提供接口，以允许系统管理员定义和存储附加的粉碎策略。

在现有技术中，粉碎卷要求主机110(图1)将用来覆写原始客户数据的模式传送到控制器120。事实上，模式采取实际数据的形式，并具有与实际数据相同的尺寸，因此需要相同的传送带宽。此外，如果要多次写入该模式，则可能必须使用更多的带宽将其传送多次。然而，相反地，在本发明中，因为策略被存储在控制器200中，并且由控制器200执行，所以除了传送单个粉碎命令本身之外，不需要使用主机250和控制器200之间的宝贵带宽。

有时，盘驱动器或阵列270的驱动器中的一个可能出故障、可能处于降级状态、或者离线，这是主机250不知而为控制器200所知的情形。如果从主机250执行粉碎管理，则在事实上粉碎操作完全或部分地失败时，可能认为它成功。在控制器200中实现的本发明的粉碎管理给控制器200提供了确认这种情形的能力。例如，如果要被粉碎的数据所在的驱动器或多个驱动器之一270被降级或离线，则缺省地，控制器200可以终止粉碎操作，并且向主机250通知失败。可替换地，控制器200缺省地可以粉碎任何可得数据，并且通知主机250。作为另一可替换方案，粉碎命令可以表明如果驱动器或多个驱动器之一270被降级或离线，则要执行两个(或其它)操作中的哪一个。

值得注意的是，虽然本发明是在全功能数据处理系统的上下文中描述的，但是本领域的普通技术人员应当理解，本发明的处理能够以包含指令的计算机可读介质的形式和各种形式发行，并且本发明都同样适用，而与实际用来执行发行的信号承载介质的特定类型无关。计算机可读介质的例子包括诸如软盘、硬盘驱动器、RAM和CD-ROM的可记录型介质，以及诸如数字和模拟通信链路的传输型介质。

对本发明的描述是为了示例说明的目的而提供的，而不旨在是彻底无遗漏的，或者局限于所公开的形式。很多修改和变更对于本领域的普通技术人员将是明显的。选择和描述该实施例是为了最佳地说明本发明的原理及其实际应用，并且使得本领域的其他普通技术人员能够理解本发明，以便实现具有适于特定预期用途的各种修改的各种实施例。此外，虽然上面是关于设备来描述的，但是通过管理粉碎操作的方法、包含用于管理粉碎操作的指令的计算机程序产品、或者包括将计算机可读代码集成到用于管理粉碎操作的计算系统中以部署计算基础结构的方法，也可以满足本技术领域内的需要。

Claims (20)

1.一种用于粉碎存储在存储介质上的数据的方法，包括：

针对存储在存储设备的存储介质的位置中的卷，创建粉碎策略；

将粉碎策略存储到存储控制器中；

在存储控制器中从主机设备接收粉碎卷的命令；

在存储控制器中根据针对卷的粉碎策略执行粉碎卷的命令；以及

如果存储设备处于降级状态，则存储控制器终止粉碎卷的命令的执行，或者粉碎卷的任何部分。

2.如权利要求1所述的方法，其中创建粉碎策略包括：

设定要在所述存储卷的存储介质的位置上执行的写入遍数；以及设定要在所述存储介质的位置上写入的模式。

3.如权利要求2所述的方法，其中创建粉碎策略还包括：

如果要在多遍写入的每一遍期间更新卷的奇偶校验区域，则将标志设成第一状态；以及

如果仅仅要在多遍写入的第一遍期间更新卷的奇偶校验区域，则将标志设成第二状态。

4.如权利要求1所述的方法，其中：

创建卷的粉碎策略包括为卷设定多种可能的粉碎策略；

接收粉碎卷的命令包括接收要执行该多种粉碎策略中的哪一种的指示；以及

执行粉碎卷的命令包括根据在粉碎命令中表明的策略来粉碎卷。

5.如权利要求4所述的方法，其中接收粉碎命令包括通过SCSI命令接口接收粉碎卷命令。

6.如权利要求5所述的方法，其中粉碎卷的命令包括write_verify命令的N个位。

7.如权利要求6所述的方法，其中N等于二，从而多种可能的粉碎策略为四种。

8.如权利要求6所述的方法，其中N个位包括write_verify命令的控制字节内的N个厂商专用位。

9.如权利要求4所述的方法，其中：

设定多种可能的粉碎策略包括针对卷创建表；并且

创建表包括，针对每种可能的粉碎策略：

设定表明要在存储卷的存储介质的位置上执行的写入遍数的第一条目；以及

设定表明要在存储介质的位置上写入的模式的第二条目。

10.如权利要求9所述的方法，其中创建表还包括，针对每种可能的粉碎策略，设定第三条目：

如果要在多遍写入的每一遍期间更新卷的奇偶校验区域，则设成第一状态；以及

如果仅仅要在多遍写入的第一遍期间更新卷的奇偶校验区域，则设成第二状态。

11.一种存储控制器，包括：

主机接口，通过其附连主机设备；

存储接口，通过其附连存储设备；

存储器，存储有针对存储在存储设备的存储介质的位置中的卷创建的粉碎策略；以及

处理器，通过所述主机接口从所述主机设备接收粉碎卷的命令，根据所述存储器所存储的粉碎策略来引导执行粉碎卷；以及如果存储设备处于降级状态，则终止粉碎卷的命令的执行或者粉碎卷的任何部分。

12.如权利要求11所述的存储控制器，其中粉碎策略包括：

要在所述存储卷的存储介质的位置上执行的写入遍数；以及

要在所述存储介质的位置上写入的模式的标识。

13.如权利要求12所述的存储控制器，其中粉碎策略还包括标志：

如果要在多遍写入的每一遍期间更新卷的奇偶校验区域，则设成第一状态；以及

如果仅仅要在多遍写入的第一遍期间更新卷的奇偶校验区域，则设成第二状态。

14.如权利要求11所述的存储控制器，其中粉碎策略包括针对卷的多种可能粉碎策略，从而所接收命令包括要执行多种可能粉碎策略中的哪一种的标识。

15.如权利要求14所述的存储控制器，其中主机接口包括SCSI命令接口。

16.如权利要求15所述的存储控制器，其中粉碎命令包括write_verify命令的N个位。

17.如权利要求16所述的存储控制器，其中N等于二，从而多种可能的粉碎策略是四种。

18.如权利要求16所述的存储控制器，其中N个位包括write_verify命令的控制字节内的N个厂商专用位。

19.如权利要求14所述的存储控制器，还包括用于存储多种粉碎策略的表，针对每一种可能的粉碎策略，其包括：

表明要在所述存储卷的存储介质的位置上执行的写入遍数的第一条目；以及

表明要在所述存储介质的位置上写入的模式的第二条目。

20.如权利要求19所述的存储控制器，其中针对每一种可能的粉碎策略，该表还包括第三条目：

如果要在多遍写入的每一遍期间更新卷的奇偶校验区域，则设成第一状态；以及

如果仅仅要在多遍写入的第一遍期间更新卷的奇偶校验区域，则设成第二状态。

Images