CN101223533A - 用于由存储设备进行数据保护的设备、系统和方法 - Google Patents

Abstract

公开了一种用于由存储设备使用数据保护最小化在存储介质上敏感数据丢失的设备、系统和方法。所述设备包括监视模块、验证模块和处理模块。监视模块识别来自与电子数据存储设备连接的主机的写类型命令。验证模块确定存在与写类型命令关联的总密钥。根据确定存在总密钥，处理模块处理所述写类型命令。所述设备、系统和方法提供在设备级上的敏感数据保护，以便保护在电子数据存储设备上的指定受保护区域免于意外数据覆盖。

Description

用于由存储设备进行数据保护的设备、系统和方法

技术领域

本发明涉及在存储设备上保护数据，更具体地，涉及在不涉及主机的情况下在存储设备上保护数据。

背景技术

在存储设备上存储数据块的存储环境中，可能存在存储数据的选定区域或者可能需要保护的存储索引。典型地，存储环境包括主机，例如操作系统，其在诸如硬盘等非易失存储设备上永久地存储数据。通过存储控制器实现在主机和设备之间的通信，所述存储控制器确定存储设备如何在存储介质上存储和访问数据。当今，除了管理数据存储和访问之外，存储控制器管理服务质量(QoS)、虚拟化、镜像和复制，并且多数提供用作缓冲器的存储器以增强存储设备的读写性能。

在继续发展的信息时代，有一件事情保护不变：需要保护任务关键数据。无论是股票市场、公司薪金、电子商务、企业数据库、医疗记录、因特网银行或者国家安全原因，数据保护需要因数据存储需要而继续增加。

降低所有者总成本的最大障碍之一是管理存储相关事务的相关劳动。利用系统资源自动地而非手动地管理存储资源和数据有助于缓解问题。然而，确保任务关键数据和诸如z/OS(z操作系统)的VTOC(内容量表)等存储介质的存储索引的系统级保护依然存在独特的管理挑战。任务关键商业系统通常跨越主机和分布式计算环境，管理组织成功必需的多个关键商业过程。与该环境内的其它策略系统和应用共享来自商业过程的数据需要全面的解决方案。然而，该解决方案应当足够简单以通过最低管理员失察和没有过度增加系统性能负担的情况下自治地执行。

用于这种需要管理大型数据库的任务关键应用的主服务器依旧是主机。设计主机，以实现高可靠性、性能、宽广基础连接性选项和全面企业存储解决方案。通常，在主机上运行的操作系统非常可靠，支持万维网和基于Java的应用，和主机任务关键应用。然而，企业类保护并非缺少存储设备数据保护的唯一领域。通常将个人数据保护视为非常有价值。

在消费者电子领域中，因为产品需要不断增加的容量以存储数字内容，保护个人数据的需要也随之增加。在下述产品中尤其如此，所述产品例如但是并不限制于个人计算机、笔记本计算机、数字照相机、摄像机、数字视频记录器(DVR)、便携式数字音频播放器、移动电话机、个人数字助理和个人多媒体播放器。

尽管存储管理中的诸多优点，在任务关键数据的可靠保护领域中依然存在改进空间。问题在于，卷上的敏感数据令人费解地被破坏，导致性能损失，在最差的情况下，丢失任务关键数据。在常规的系统内，主机可以提供其自己的此类存储区域保护，但是当前的安全措施并未提供足够的保护。例如，存储设备可以包括具有保护数据轨道的硬盘驱动器。应用可以向主机通知其试图写入未保护轨道区域。然而，在无意的数据覆盖和存储数据非故意覆盖的情况下，覆盖的存储介质区域可能是跟踪受保护和未保护区域的存储索引。突然地，不仅存储索引遭到破坏，而且对未保护区域的写类型命令现在可能重写数据的受保护轨道，潜在地，整个受保护区域变成易于遭到无意中的数据覆盖。本发明解决无意数据覆盖的问题。

采取常规机制保护这些区域，例如在z/OS主机环境中的串行化。然而，这种串行化不在多个平台上执行，因此，依然可能出现无意中的数据覆盖。其它的常规技术提供主机控制保护，其实际扫描从主机到存储设备的全部命令，并试图在软件内跟踪给定写类型命令是否正在试图写入该写类型未被授权访问的存储设备区域。不幸地是，这种基于软件的主机级的解决方案通常对系统性能产生不利影响，导致远远超过存储设备数据保护优点的成本。

此外，这些无意覆盖中的许多覆盖尚未找出原因，从而实际上不可能追溯到故障源。只要保护方法保留在主机级上，就可能欠缺对任务关键和重要个人数据的实际保护。

根据上述讨论，需要一种克服利用存储设备方法的常规主机级数据保护的限制的设备、系统和方法。实际上，这样一种设备、系统和方法将有利地独立于特定主机，从而提供设备级保护。通过确定谁正在试图更新存储数据，该设备、系统和方法还将有利地避免通常未确定原因的不可跟踪的数据覆盖。

发明内容

根据当前的现有技术状态，具体而言，根据当前可用的利用存储设备方法的数据保护尚未完全解决的现有技术中的问题和需要，已经研发出本发明的若干实施例。因此，已经研发出本发明以提供一种保护在电子数据存储设备上的数据的设备和系统，并克服现有技术中的多个或全部上述缺点。

保护在电子数据存储设备上的数据的设备包括包含多个模块的逻辑单元，被配置为在功能上执行保护在电子数据存储设备上的数据的必需操作。在所述实施例中的这些模块包括监视模块、验证模块和处理模块。其它模块包括通知模块、激活模块、定义模块、比较模块、索引模块、写模块和故障模块。

在一个实施例中，可以配置监视模块以识别从主计算机将数据写入存储介质的请求。在一个实施例中，配置监视模块以识别在写类型命令和到存储设备的所有其它请求之间的差别。在另一个实施例中，配置监视模块以识别在到受保护区域的写类型命令和到存储介质上未保护区域的写类型命令之间的差别。在另一个实施例中，可以配置监视模块以识别来自主计算机的包含总密钥(passkey)的写类型命令和来自主计算机的并未包含总密钥的写类型命令之间的差别。

此外，验证模块可以检测包含与来自主计算机的写类型命令相关的正确总密钥和设计以获取在存储设备上受保护区域的访问许可的总密钥。所述验证模块包含通知模块、激活模块、定义模块、比较模块和索引模块。在一个实施例中，验证模块可以验证根据由保护设备建立的协议和准则执行主计算机的写类型命令。在另一个实施例中，可以配置验证模块结合存储控制器以向系统管理员通知已经处理了预定数量的写入存储介质受保护区域的非法企图，由此可以避免出现无意覆盖的潜在原因。可以由系统管理员定义非法企图数量，或者由保护设备设置缺省数量。

可以配置处理模块以根据由保护设备处理的总密钥验证结果，通过验证模块，和更具体地，比较模块，处理来自主计算机的写类型命令。在一个实施例中，当验证模块确定来自主计算机的写类型命令遵循由保护设备建立的保护协议时，所述处理模块处理所述写类型命令。处理模块可以包括写模块和故障模块。

在一个实施例中，可以配置写模块以根据写类型命令和所述总密钥与基本密钥的成功比对将来自主计算机的数据写入存储介质的受保护区域。在另一个实施例中，可以配置写模块以根据写类型命令和确定数据并非预期送给受保护区域，将来自主计算机的写类型命令处理给存储介质的未保护区域。

可以配置故障模块以使从主计算机到存储设备的写类型命令故障。在一个实施例中，如果主计算机未能提供正确总密钥，则故障模块可以使到存储介质的受保护区域的写类型命令故障。在另一个实施例中，如果主计算机提供总密钥，因为总密钥仅将与受保护区域相关地使用，则故障模块可以使到未保护区域的写类型命令故障。

可以配置通信模块以便于存储设备和主计算机之间的通信。在一个实施例中，可以配置通信模块以确认由主计算机到受保护区域的写类型命令经处理模块成功地处理。在另一个实施例中，可以配置通信模块以传送存储介质受保护区域的状态。例如，通信模块可以传送是否启动数据保护性能以及受保护区域的大小和可用空间。

结合保护设备，可以配置跟踪模块以确定谁在试图更新存储设备。在一个实施例中，跟踪模块可以包括存储填充有执行到存储设备的写类型命令的系统标识和访问的时间戳记的跟踪表格。设计跟踪模块的I/O可跟踪功能以在存储介质上的未遂的无意数据覆盖的情况下解决在存储设备上的未确定原因的数据破坏。在一个实施例中，可以结合存储设备(storage device)，将跟踪表存储在存储器设备(memorydevice)内。在另一个实施例中，可以将跟踪表直接存储在存储设备的存储介质上。

在一个实施例中，可以实施通知模块以向主计算机通知保护设备使用基本密钥(base key)保护存储介质区域的性能。当主计算机授权存储设备以启动保护设备时，通信模块可以将许可传送给存储设备。

在一个实施例中，激活模块初始化组成保护设备的每个组件。一旦启动，可以实施激活模块以保证保护设备按照计划继续。例如，已经结合存储设备在存储器设备内保留所有当前的保护设备设置，在出现诸如强制系统重启或者意外掉电的情况下，可以执行激活模块以恢复和重建所有设置。

一旦主计算机授权保护设备启动数据保护性能，则可以将由定义模块定义的基本密钥值传送给主计算机。在某些实施例中，定义模块可以定义随机基本密钥或者静态基本密钥。在另一个实施例中，定义模块可以允许系统管理员定义基本密钥。在另一个实施例中，定义模块可以与存储设备的硬件序列号或者类似的硬件标识号相关地定义基本密钥。

比较模块结合验证模块比较总密钥与基本密钥，使比较模块验证总密钥的单个比特或者比特序列是否实际地匹配所定义基本密钥的值。响应于比较模块计算出在总密钥和基本密钥之间的匹配，保护设备随后可以授权主计算机访问存储介质的受保护区域以处理写类型命令。

可以配置索引模块以索引在存储介质上的受保护区域。索引模块可以将受保护区域的位置、大小和可用空间存储在索引内。在某些实施例中，索引模块在存储器设备、存储控制器的缓冲区或者存储介质内存储索引。

还提供本发明的系统以保护在电子数据存储设备上的数据。可以将所述系统实施为存储设备，所述存储设备被配置为与主机通信，以访问和存储数据。

具体而言，在一个实施例中，所述系统包括被配置为存储电子数据的存储介质。所述系统还包括被配置为规定存储设备如何在存储介质上存储和访问数据的存储控制器，和如上所述配置的保护存储介质指定区域的保护设备。在又一个实施例中，所述系统可以包括：被配置为在存储介质上存储受保护区域索引的存储器设备、被配置为确认从主机到电子数据存储设备的请求以使用基本密钥保护存储介质区域的通信模块和被配置为跟踪到电子数据存储设备的访问的跟踪模块。

本发明的系统还在电子数据存储设备的受保护区域上存储数据。可以将所述系统实施为意图访问和存储在存储介质上的数据的、访问存储设备的主计算机。

具体而言，在一个实施例中，所述系统包括识别模块，被配置为检测连接到主机的电子数据存储设备的存在。所述系统还包括确认模块，被配置为确认电子数据存储设备使用基本密钥保护电子数据存储设备区域的能力。在另一个实施例中，所述系统可以包括：授权模块，被配置为授权存储控制器启用电子数据存储设备的保护能力，从而使用基本密钥保护由主机指定的电子数据存储设备的区域；分配模块，被配置为将电子数据存储设备区域指定为受保护的；和实施模块，被配置为实施电子设备的保护能力，从而使用总密钥将写类型命令发送给电子数据存储设备的受保护区域。

还提供一种存储程序的信号承载介质，当执行时，执行操作以保护在电子数据存储设备上的数据。在一个实施例中，所述操作包括：识别来自与电子数据存储设备连接的主机的写类型命令；确定与写类型命令相关的总密钥的存在；和根据确定存在总密钥而处理写类型命令。

在另一个实施例中，所述操作可以包括：定义基本密钥，所述基本密钥与电子数据存储设备上的受保护区域关联，比较总密钥与基本密钥以能够访问在存储介质上的受保护区域；和根据在总密钥和基本密钥之间的兼容性，将来自主计算机的数据写入电子数据存储设备的受保护区域。

还提供一种存储程序的信号承载介质，当执行时，执行操作以保护在电子数据存储设备上的数据。在一个实施例中，所述操作包括：检测电子数据存储设备的存在；主持(host)电子数据存储设备；和确认电子数据存储设备的保护能力以使用基本密钥保护电子数据存储设备区域。

在另一个实施例中，所述操作可以包括授权保护设备以启用电子数据存储设备的数据保护能力，从而保护由主机指定的电子数据存储设备的区域；将电子数据存储设备的区域指定为受保护的；和将写类型命令和相关总密钥发送给电子数据存储设备。

本说明书提到的特征、优点或者类似语言并不暗示可以使用本发明实现的所有特征和优点应当在本发明的任一实施例内。而且，理解所提到的特征和优点是指结合一个实施例描述的具体特征、优点或者特征包括在本发明的至少一个实施例内。因而，在本说明书内讨论的特征和优点以及类似语言可能但是并不是必需地是指相同的实施例。

而且，可以在一种或多种实施例中以任意适当的方式组合本发明的上述特征、优点和特征。本领域的技术人员将认识到可以在没有特定实施例的一个或多个具体特征或优点的情况下实施本发明。在其它例子中，可以在某些实施例中实现在本发明的全部实施例中可能不存在的附加特征和优点。

根据下述描述和权利要求书，本发明的这些特征和优点将变得更加显而易见，或者可以通过实施下文阐述的本发明来理解。

附图说明

现在将参考附图，仅通过例子描述本发明的实施例，在附图中：

图1是图示存储系统的一个实施例的示意方框图；

图2是图示电子数据存储设备的一个实施例的示意方框图；

图3是图示保护设备的一个实施例的示意方框图；

图4是图示写请求数据结构的一个实施例的示意方框图；

图5A和图5B是图示初始化方法的一个实施例的示意流程图；和

图6是图示写方法的一个实施例的示意流程图。

具体实施方式

将在该说明书内描述的多个功能单元标记为模块，从而更加具体地强调其实施独立性。例如，可以将模块实施为包括定制VLSI电路或门阵列、诸如逻辑芯片、晶体管或其它离散组件等的现成半导体的硬件电路。也可以将模块实施为可编程硬件设备，例如场可编程门阵列、可编程阵列逻辑或可编程逻辑设备等。

也可以将模块实施为通过各种处理器执行的软件。可执行代码的被标识模块例如可以包括计算机指令的一个或多个物理或逻辑块，例如可以将其组织为对象、程序或功能。然而，被标识模块的可执行代码在物理上不需要在一起，但是可以包括存储在不同位置内的不同指令，当在逻辑上结合在一起时，包括该模块，并实现所描述的该模块的目的。

实际上，可执行代码模块可以是单个指令或者多个指令，甚至可以分布在若干不同的代码段上、不同程序之中和在若干存储器设备上。类似地，在此可以将操作数据标识和图示在模块内，并可以以任意适当的形式实施和组织成任意适当类型的数据结构。可以将操作数据收集为单个数据集合，或者可以分布在包括不同存储设备的不同位置上，并可以至少部分地仅仅以系统或网络上的电子信号的形式存在。

图1图示存储系统100的一个实施例的示意方框图。所图示的存储系统100包括至少一个主计算机(host computer)102。每个主计算机102可以是主机计算机。可替代地，主计算机102可以是使用多种操作系统之一的服务器、个人计算机、笔记本计算机、数字照相机、摄像机、数字视频记录器/个人视频记录器(DVR/PVR)、便携式数字音频播放器、移动电话机、个人数字助理或者个人多媒体播放器。主计算机102经存储区域网络(SAN)或类似的通信信道106连接到存储设备104。参考图2，更深入地描述存储设备104。

通信信道106可以在存储区域网络(SAN)上通信。可替代地，主计算机102可以直接连接到存储设备104。在另一个实施例中，主计算机102可以直接连接到闪存设备或类似的非易失性固态存储器设备。

在一个实施例中，可以使用小型计算机系统接口(SCSI)、内部小型计算机系统接口(iSCSI)、序列先进技术附件(SATA)、集成驱动电子/先进技术附件(IDE/ATA)、电气和电子工程师协会标准1394(IEEE 1394)、通用串行总线(USB)、常规因特网文件系统(CIFS)、网络文件系统(NFS/NetWFS)、超文本传输协议(HTTP)、文件传输协议(FTP)、传输控制协议/网际协议(TCP/IP)、光纤连接(FICON)、企业系统连接(ESCON)、固态存储器总线或任意类似接口等实现通信信道106。

主计算机102还包括主通信接口108。在一个实施例中，主通信接口108包括识别模块110、确认模块112、授权模块114、分配模块116和实施模块118。在另一个实施例中，可以在主计算机102内部直接实现识别模块110、确认模块112、授权模块114、分配模块116和实施模块118。

在操作中，识别模块110检测何时诸如由系统用户将新存储设备104添加给存储系统100。此外，识别模块110可以检测何时不存在连接到存储系统100的存储设备104。识别模块110还可以检测何时从存储系统100拆除存储设备104。在另一个实施例中，识别模块110可以区分何时将具有数据保护能力的存储设备104添加给存储系统100和何时将没有数据保护能力的存储设备104添加给存储系统100。

在一个实施例中，识别模块110可以包括硬件机制，例如电机械开关，以表示何时将具有数据保护能力的存储设备104添加给存储系统100或者何时将没有数据保护能力的存储设备104添加给存储系统100。例如，具有数据保护能力的存储设备104可能包括销针，其启动电机械开关以通知主机102该设备104具有数据保护能力。相反地，没有数据保护能力的存储设备104可能拆除该销针，从而不启动该电机械开关。

当识别出存储设备104具有数据保护能力时，确认模块112可以通知存储设备104由主计算机102识别出数据保护能力和主计算机102遵从借助存储设备方案的数据保护协议。在一个实施例中，数据保护能力可以使用密钥以获取对指定为受保护的区域的访问，从而解除锁定受保护/锁定区域并将访问授予预期的写类型命令操作。写类型命令包括但是并不限制于擦除先前写入的数据、更新先前写入的数据和写入新格式化的区域或者之前从未写入的区域或者新保护的区域。在此提及的写请求是任意写类型命令的示例，并可以指任一写类型命令。

一旦主计算机102向存储设备104确认与数据保护能力交互的能力，则存储设备104可以接收来自主计算机102的许可以启动数据保护能力。在一个实施例中，授权模块114可以将授权发送给存储设备104以启动数据保护能力。

如果存储设备104能够进行数据保护，则分配模块116可以将存储设备104上的一个或多个区域指定为受保护的。在一个实施例中，分配模块116可以允许用户确定此指定。在另一个实施例中，分配模块116可以允许存储设备104控制该指定。在另一个实施例中，分配模块116可以具有实时地改变受保护区域和相反地未保护区域的分配大小的能力。

分配模块116可以指定存储设备104上的物理或逻辑区域。物理区域可以是连续的数据存储空间块，其中例如存在受保护数据的单个连续区域。逻辑区域可以是各个访问区域的随机集合，例如指定用于数据保护的区域。因而，可以在存储设备104的逻辑数据块中分散受保护和未保护数据。

在一个实施例中，实施模块118执行到指定为存储设备104的受保护区域的写指令，该写指令包括相关的总密钥120。在一个实施例中，总密钥120可以是指定以允许临时访问指定为存储设备104的受保护区域的比特或者比特序列。实施模块118可以接收命令以将数据写入指定为受保护的区域，并根据可以为操作存储设备104的数据保护能力建立的规则和协议使用相关总密钥120执行写指令。

图2图示可以结合图1的主计算机102实现的存储设备200的一个实施例。存储设备200基本上类似于图1的存储设备104。所图示的存储设备200包括存储控制器202、存储介质204和存储器设备206。存储设备200可以根据存储控制器202的I/O操作存储和访问在存储介质204上的数据。在某些实施例中，存储设备200可以包括单个存储介质204或者多个存储介质204。

可以配置存储控制器202以用作在主计算机102和存储设备200的组件之间的通信接口。存储控制器202通过通信信道106与主计算机102通信。当主机102发送命令以写入或访问在存储介质204上的数据时，存储控制器202可以接收该命令，并确定将如何写入或者访问在存储介质204上的数据。在一个实施例中，存储控制器202是包含集成电路和一个或多个存储器设备206的小型电路板。存储控制器202可以物理地连接到存储介质204，例如硬盘驱动器。在另一个实施例中，存储控制器202可以与存储介质204分离。

存储控制器202包括可以存储在非易失性半导体或其它存储器设备上的固件208。通过执行固件208确定存储控制器202的多个操作。所图示的固件208包括保护设备210。通常，保护设备210可以通过在存储介质204上的存储设备方案执行数据保护。参考图3，更详细地图示和描述保护设备210的一个示例。

所图示的存储介质204包括未保护区域212和受保护区域214。存储介质204可以是磁性硬盘驱动器、固态快闪存储器、磁带驱动器或其它类似介质。存储介质204的未保护区域212是主计算机102可以向其发送数据的、可能不需要避免无意数据重写保护的存储介质204上的位置。相反地，保护在受保护区域214内存储的数据以避免无意数据重写。例如，可以将诸如存储介质204内容表等任务关键数据(mission-critical data)写入到存储介质204的保护区域内。如上所述，可以将存储介质204的受保护区域214指定为存储设备104上的物理或逻辑区域。

所图示的存储器设备206包括索引216、基本密钥218和跟踪表220。存储器设备206可以用作缓冲区(未图示)以提高存储设备200的I/O性能，并存储设计用于存储设备200的操作的微代码。使用缓冲器或高速缓存保存当前从存储介质204读取的结果，和预提取随后很可能被请求的数据。存储器设备206可以包括一个或多个非易失性半导体设备，例如闪存、静态随机访问存储器(SRAM)、非易失性随机访问存储器(NVRAM)、电可擦除可编程只读存储器(EEPROM)、可擦除可编程只读存储器(EPROM)、NAND/AND、NOR、分割比特线NOR(DINOR)或者任何其它的类似存储器设备。

当主计算机102分配在存储介质204上的受保护区域214时，存储控制器202经保护设备210可以将受保护区域214的位置、大小和可用空间存储在索引216内。在一个实施例中，将索引216存储在与存储控制器缓冲器相同的存储器设备206内。在另一个实施例中，将索引216存储在实际存储介质204或分离存储器设备上。

保护设备210可以使用基本密钥218保证存储介质204的受保护区域214免于未授权写类型命令。在一个实施例中，可以将基本密钥218定义为单个比特或比特序列。在一个实施例中，来自主机102的总密钥120必需匹配基本密钥218以访问存储介质204的受保护区域214。可替代地，可以比较基本密钥218和总密钥120的多个部分是否匹配。在一个实施例中，可以将基本密钥218存储在存储器设备206或存储介质204上。在另一个实施例中，基本密钥218可以是软件变量。

可以将基本密钥218编码为二进制值、八进制值、十六进制值、ASCII(美国信息交换标准码)值或者任何其它类似编码。可以赋予基本密钥218由主计算机102定义的值。在一个实施例中，可以将基本密钥218配置为通过随机处理定义的随机值。在另一个实施例中，可以由系统管理员定义基本密钥218。在又一个实施例中，可以通过诸如存储设备104的硬件序列号等硬件标识号定义基本密钥218。

在一个实施例中，可以将基本密钥218实施为寄存器以及存储设备200内的比特或者比特序列的逻辑值。当主计算机102发送写请求以将数据存储在存储介质204的受保护区域214内时，来自主计算机102的写请求可以包括将基本密钥218的逻辑值锁定成寄存器内的比特或比特序列的命令。

跟踪表220可以提供I/O可跟踪性，设计用于在存储介质204的受保护区域214上有未遂(attempted)无意数据覆盖的情况下解决在存储设备200上的未确定原因的数据破坏。跟踪表格220可以存储请求到存储设备200受保护区域214的写类型命令的主机102的标识符以及该请求的时间戳记。该时间戳记可以包括接收该请求的日期或时间或者两者。

图3图示可结合图2的存储设备200实施的保护设备300的一个实施例的示意方框图。一旦主计算机102向存储设备200通知主计算机102识别出数据保护能力，如上文参考图1描述的，可以启动所图示的保护设备300。

在一个实施例中，将保护设备300实施为存储控制器202内的微代码。在另一个实施例中，可以将保护设备300实施为在存储介质204上直接存储的程序。所图示的保护设备300包括监视模块302、验证模块304、处理模块306、通信模块308和跟踪模块310。

保护设备300保护在存储介质204上的分配区域的数据，和防止到存储介质204的受保护区域214的未授权写类型命令。为了实现这一目的，保护设备300可以执行保护协议以管理主机102如何指定受保护区域214和访问或修改在受保护区域214内的数据。

在一个实施例中，保护设备300可以定义用于限制访问受保护区域214的基本密钥218。为了主计算机102获取对受保护区域214的访问，保护设备300的保护协议可以比较来自主计算机102的总密钥120与基本密钥218。

当保护设备300通过验证模块304验证主机102提供了正确的总密钥120时，授权主计算机102访问存储介质204的受保护区域214。在一个实施例中，一旦已经处理写请求和将数据存储在受保护区域214上，则可以重置代表基本密钥218的寄存器上的比特或比特序列，禁止访问存储介质204的受保护区域214，直到对受保护区域214的下一个写请求包括正确的总密钥。

监视模块302识别来自主计算机102的请求以将数据写入存储介质204。在一个实施例中，配置监视模块302以区分写请求和对存储设备200的任何其它请求。在另一个实施例中，配置监视模块302以识别在对受保护区域214的写请求和对未保护区域的写请求之间的差别。在另一个实施例中，可以配置监视模块302以识别在来自主计算机102的包含总密钥120的写请求和来自主计算机102的未包含总密钥120的写请求之间的差别。

验证模块304检测总密钥120是否与来自主计算机102的写请求关联。如上文所述，设计总密钥120以访问存储设备200上的受保护区域214。换句话说，总密钥120可以针对写类型命令解锁存储介质204的受保护区域214。在一个实施例中，可以配置验证模块304以验证根据保护协议执行来自主计算机102的写请求。

在另一个实施例中，可以配置验证模块304结合存储控制器202以向系统管理员通知已经接收到预定数量的写入存储介质204的受保护区域214的非法企图。这样，可以检测到重复无意覆盖的潜在原因。在又一个实施例中，一旦接收到将数据写入受保护区域214的命令，则验证模块304可以验证是否已经分配受保护区域214，如果是，则将保护数据写入受保护区域214。验证模块304包括通知模块312、激活模块314、定义模块316、比较模块318和索引模块320。

在一个实施例中，通知模块312可以向主计算机102通知存储设备200保护在存储介质204的区域上所存储数据的能力。在一个实施例中，激活模块314初始化保护设备300和保证保护设备300的连续操作。例如，已经在存储器设备206内保留所有的当前保护设备300的设置的情况下，响应于意外事件影响存储设备200，例如存储系统100的强制重置或者意外掉电，可以执行激活模块314以恢复和重建保护协议的操作。

在一个实施例中，定义模块316可以定义基本密钥218。在某些实施例中，定义模块316可以定义随机生成的基本密钥218或静态基本密钥218。在另一个实施例中，定义模块316可以允许系统管理员定义基本密钥218。在另一个实施例中，定义模块316可以与存储设备200的硬件序列号或者类似的硬件标识号相关地定义基本密钥218。

在一个实施例中，比较模块318结合验证模块304比较总密钥120与基本密钥218。响应于此比较，保护设备300随后可以授权主计算机102访问受保护区域214以处理写类型命令。比较模块318可以结合来自主计算机102的写请求接收总密钥120。在某些实施例中，可以将总密钥120嵌入在写请求的数据结构内。可替代地，可以与写请求分离地发送总密钥120。在另一个实施例中，比较模块318可以执行布尔操作以比较基本密钥218和总密钥120并确定是否匹配。

索引模块320可以索引在存储介质204上的受保护区域214。例如，索引模块320可以将受保护区域214的位置、大小和可用空间存储在索引216内，如上文所述。在某些实施例中，索引模块320将索引216存储在存储器设备206、存储控制器202的缓冲区或者存储介质204上。

处理模块306根据总密钥验证处理结果来处理写请求。在一个实施例中，验证模块304确定写请求是否符合保护协议的约束，如果是，则处理模块306处理该写请求。所图示的处理模块306包括写模块322和故障模块324。

在一个实施例中，可以配置写模块322以响应于写请求以及总密钥120与基本密钥218的成功比较将来自主计算机102的数据写入受保护区域214。在另一个实施例中，可以配置写模块322以响应于写请求和确定在相关写请求内未包含总密钥120，处理自主计算机102到未保护区域212的写请求。

相反地，如果主计算机102未提供正确的总密钥120，则故障模块324可以使到受保护区域214的写请求失败。类似地，如果主计算机102提供总密钥120，因为总密钥120将仅与受保护区域214关联地使用，则故障模块324可以使到未保护区域212的写请求失败。

通信模块308可以管理在存储设备200和主计算机102之间的通信。在一个实施例中，响应于来自主计算机102的系统查询，通信模块308传送在存储介质204上的受保护区域214和未保护区域212的地方。在另一个实施例中，可以配置通信模块308以确认是否成功地处理到受保护区域214的写请求。

在另一个实施例中，通信模块308可以接收来自主计算机102的与存储设备200的数据保护能力和它们是否被激活的相关查询。在又一个实施例中，通信模块308可以向主计算机102中继存储介质204的受保护区域214和未保护区域212的当前状态，例如区域的当前大小和可用的存储空间。

在一个实施例中，跟踪模块310可以监视主计算机102。当主计算机102请求执行到存储设备200的受保护区域214的写类型命令时，跟踪模块310可以在跟踪表220上存储包含主计算机102的标识和该请求的时间戳记的记录。在一个实施例中，跟踪模块310可以仅当验证模块304确定写类型命令并未包含与写请求相关的正确总密钥120时存储写类型命令请求的日志。

图4图示与写类型命令相关的数据结构400的一个实施例。该写请求数据结构400可以包括框架类型写请求，其沿各个字段封装将写入存储介质204的数据块，每个字段包含单比特或比特序列。在一个实施例中，主计算机102使用与请求关联的数据结构400以将数据存储在存储介质204上。

所图示的数据结构400包括多个部分，并且在长度上可以是固定或可变的。数据结构400包括开始定界符SOF字段402(帧开始)、操作码字段404、报头字段406、总密钥字段408、数据块字段410、CRC字段412(循环冗余校验)和结束定界符EOF字段414(帧结束)。

开始定界符SOF字段402向存储设备200表示写类型命令新帧的开始。操作码字段404包括主计算机102所发送命令的类型，其包括诸如但是并不限制于写、读、擦除、格式化、验证或者保护等命令。报头字段406可以存储命令源，例如主计算机102的识别信息和其它控制信息。当由主计算机102发送到受保护区域214的写请求时，总密钥字段408存储总密钥120的值。当主计算机102发送到未保护区域212的写请求时，总密钥字段408可以包含诸如全零的空值。数据块字段410包含主计算机102请求存储在存储介质204上的数据块。CRC字段412存储可以合并以验证数据结构400完整性的所计算的冗余校验。结束定界符EOF字段414向存储设备200表示帧结束。

当主计算机102对写请求成帧并将其发送给存储设备200时，可以配置保护设备300以从总密钥字段408提取总密钥120，和比较总密钥120与基本密钥218。在另一个实施例中，主计算机102可以与和总密钥120所关联的写请求分离地发送总密钥120。

图5A和图5B图示可以由图3的保护设备300执行的初始化方法500的一个实施例。为了简便，在第一部分500A和第二部分500B中图示初始化方法500，但是将其通称为初始化方法500。在此参考图1和图2的存储系统100描述初始化方法500。

初始化方法500包括下述操作：将存储设备200插入502存储系统100；检测504所插入的存储设备200；和向主计算机102通知以及确认508、授权510和启动512数据保护能力。初始化方法500包括下述附加操作：定义514基本密钥218；分配516受保护区域214；确定518分配成功；使未成功分配失败520；确定522是否重新发送未成功分配；向主计算机102通知524数据保护能力在运行；存储526受保护区域214的索引216；和启动528跟踪监视器。

初始化方法500启动与存储设备200相关的保护设备300的保护能力。尽管以某一顺序图示初始化方法500，但是为了简化，存储系统100可以并行和/或不必以规定顺序执行该操作。

当用户或系统管理员将存储设备200插入存储系统100时，所图示的初始化方法500启动。在某些实施例中，用户可以在存储系统100断电时将存储设备200插入502存储系统100，或者将热可交换存储设备200插入502已经加电的存储系统100。

在系统用户将存储设备200插入存储系统100之后，主计算机102检测504所连接的存储设备200。在一个实施例中，识别模块110检测504系统用户何时将存储设备200插入502存储系统100。

响应于主机102检测到新添加的存储设备200，存储设备200向主计算机102通知506其使用基本密钥218保护存储介质204的受保护区域214的能力。主计算机102向存储设备200确认508在存储设备200内包含的保护设备300的数据保护能力。在一个实施例中，确认模块112可以确认508主机102遵从经主通信接口108的保护协议。

在确认508保护设备300的数据保护能力之后，主计算机102可以授权510存储设备200初始化数据保护能力。在一个实施例中，授权模块114授权510存储设备200初始化数据保护能力。存储设备200可以通过通信信道106从主计算机102接收授权。

一旦存储设备200接收初始化数据保护能力的许可，则存储设备200启动512保护设备300。在一个实施例中，激活模块314可以启动512保护设备300。如果可以，则激活模块314可响应于存储系统100的强制重置、意外掉电或者其它不利事件而恢复和重建保护设备300的操作。

如果已经启动512保护设备300，则存储设备200可以接收来自主计算机102的请求以将数据存储在受保护区域214内或者将存储介质204上的区域分配为受保护区域214。然而，在将数据存储到受保护区域214或者分配受保护区域214之前，存储设备200定义514基本密钥218。在一个实施例中，可以由定义模块316定义514基本密钥218。定义模块316可以确定定义基本密钥218的各个方面，例如其长度、数值、编码和其存储位置。

在定义514基本密钥的数值之后，不再限制主计算机102将存储介质204的区域指定为受保护区域214，并可以发送分配516存储介质204的区域作为受保护区域214的请求。在一个实施例中，分配模块116可以将存储设备104上的一个或多个区域分配516为受保护的。如上文所述，分配模块116可以允许用户或存储设备200确定此指定，并可以在存储设备104上的物理或逻辑区域中指定此分配。

一旦接收到分配516存储介质204的受保护区域214的请求，初始化方法500确定518是否在没有任何冲突的情况下执行此分配。例如，存储设备200可能没有所请求的分配大小的足够空间，或者所要求的区域可能被写保护，或者可能因正在进行大量数据传输而导致该请求超时。

如果保护设备300不能成功地将存储介质204的区域分配为受保护区域214，则初始化方法500使该分配请求失败520。故障模块306可以根据故障原因启动故障程序。因而，存储设备200可以向主计算机102通知受保护区域214的分配516请求已经失败520。一旦分配请求失败520，则初始化方法500确定522主计算机102是否将重新发送分配516受保护区域214的请求。在一个实施例中，该系统用户可以设置一旦其失败520可以重新发送分配请求的尝试次数。

然而，如果主计算机102成功地将存储介质204的区域分配518为受保护区域214，则存储设备200向主计算机102通知分配请求成功，并启动数据保护能力。

一旦分配516受保护区域214，则存储设备200在存储器设备206上存储526索引216。在一个实施例中，该索引216包括受保护区域214的位置、大小和可用空间。在另一个实施例中，将索引216直接存储在存储介质204上。

在主计算机102在存储介质204上成功地分配518受保护区域214之后，存储设备200启动528跟踪监视器以提供I/O可跟踪性。在一个实施例中，跟踪模块310主动地跟踪对存储介质204有写类型命令访问的每个主计算机102。因而，在存储介质204的受保护区域214上有未遂无意数据覆盖的情况下，系统用户可以解决在存储设备200上的未确定原因数据破坏。如上文所述，跟踪模块310可以在跟踪表220上存储日志，其可以包括请求到受保护区域214的写类型命令的每个主计算机102的标识以及该请求的时间戳记。一旦存储设备200启动528跟踪监视器，则可以结束初始化方法500。

图6图示写方法600的一个实施例。可以使用图1和图2的存储系统100执行该写方法600。写方法600包括下述操作：监视602在主计算机102和存储设备200之间的通信；确定604来自主计算机102的命令是否是写请求；和确定606是否启用数据保护能力。所图示的写方法600还包括下述附加操作：确定608该命令是否请求将数据存储到受保护区域214；确定610在到受保护区域214的写请求内是否包含总密钥120；确定612该总密钥120是否正确；处理614写请求；确定616在到未保护区域212内的写请求内是否包含总密钥120；和使有缺陷的写请求失败618。

该写方法600处理自主计算机102到存储设备200的写请求，主动地保护存储介质204的受保护区域214免于无意数据覆盖。尽管为了清楚，以某一顺序图示写方法600的操作，可以并行执行实际系统内的执行，而不必以图示的顺序。

写方法600开始，保护设备300监视602在主计算机102和存储设备200之间的通信。在一个实施例中，监视模块302监视602在主计算机102和存储设备200之间的通信。例如，监视模块302可以通过从数据结构400的操作码字段404提取命令类型来监视602由主计算机102发送给存储设备200的命令类型。

当监视模块302接收到来自主计算机102的命令时，监视模块302检查该命令以确定发送给存储设备200的命令是否是写请求(即写类型命令)。如果写方法600确定604该命令是写请求，则写方法600继续确定606存储设备200是否启用了数据保护能力。如果该命令不是写请求，则写方法600返回监视602在主计算机102和存储设备200之间的通信。

如果已经接收到写请求，则写方法600确定606是否激活存储设备200的保护能力。如果写方法600确定606保护设备300活动，则写方法600继续确定608写类型命令的目的地是否是受保护区域214。如果写方法600确定606保护设备300不活动，则写方法600继续处理614写请求。在启用保护设备300的数据保护能力的情况下，写方法600确定608主计算机102请求写入数据的目的地是否是存储介质204的受保护区域214。

如果已经从主计算机102接收到将数据存储到存储介质204的受保护区域214的请求，则写方法600可以确定该写请求是否包括总密钥120。如果写方法600确定610写请求包括总密钥120，则该写方法600继续确定612所包括的总密钥120是否正确。如果写方法600确定610到受保护区域214的写请求并未包括总密钥120，则该写方法600接着使该写请求失败618。如果包括总密钥120且是正确的，则写方法600处理614该写请求。

然而，如果写方法600确定608主计算机102将写请求发送给存储介质204的未保护区域212，则写方法600可以确定616到未保护区域212的写请求是否包括总密钥120。如果写方法600确定616该写请求包括总密钥120，则该写方法600继续使该写请求失败618。如果到未保护区域212的写请求未包含总密钥120，则该写方法600继续处理614该写请求。

由本发明的实施例提供的数据保护可以在整体系统性能上产生实际和正面的影响。在某些实施例中，本发明提高了正常运行时间、可用性和实时商业性能，所有这样都将促使降低所有者的总成本。除了保护数据之后，本发明的实施例给系统管理员提供了跟踪到存储设备200的写类型命令和跟踪任意未遂无意数据覆盖的可能来源的能力。

在此包括的示意流程图通常表述为逻辑流程图。同样地，所图示的顺序和标记的操作表示本方法的一个实施例。可以构思与所图示方法的一个或多个操作或其部分在功能、逻辑或者效果上等同的其它操作和方法。此外，提供所使用的格式和符号以解释本方法的逻辑操作，而不将其理解为限制本方法的范围。尽管在流程图中可以使用各种箭头类型和直线类型，将理解其并不限制相应方法的范围。实际上，可以使用一些箭头或其它连接符仅表示该方法的逻辑流程。例如，箭头可以表示在所图示方法的举例操作之间的未规定持续时间的等待或监视周期。此外，特定方法出现的顺序可以严格地限制，也可以不严格地限制所图示的相应操作的顺序。

在本说明书中提到的“一个实施例”、“实施例”或者类似语言是指结合在本发明的至少一个实施例内包括的实施例描述的具体特征、结构或特性。因而，在本说明书内出现的短语“在一个实施例中”、“在实施例中”和类似语言可以但是并不必需全部指同一实施例。

提及的信号承载介质可以采取能够生成信号、导致信号生成或者致使执行在数字处理设备上的机器可读指令程序的任何形式。信号承载介质可以通过传输线路、压缩光盘、数字视频盘、磁带、柏努利驱动器、磁盘、穿孔卡、闪存、集成电路或者其它数字处理设备存储器设备来实现。

此外，可以在一种或多种实施例中以任意适当的方式组合本发明的上述特征、结构或特征。在下述描述中，提供诸多细节，例如编程、软件模块、用户选择、网络交易、数据库查询、数据库结构、硬件模块、硬件电路、硬件芯片等例子，以提供对本发明实施例的完整理解。然而，本领域的技术人员将认识到在没有一个或多个细节或使用其它方法、组件、材料等的情况下，也可以实现本发明。在其它例子中，未图示或详细描述公知的结构、材料或操作以避免影响对本发明各个方面的理解。

Claims (17)

1.一种保护在电子数据存储设备上的数据的设备，所述设备包括：

监视模块，被配置为识别来自与电子数据存储设备连接的主机的写类型命令；

耦接到监视模块的验证模块，所述验证模块被配置为确定与写类型命令关联的总密钥的存在；和

耦接到验证模块的处理模块，所述处理模块被配置为根据总密钥存在的确定而处理写类型命令。

2.如权利要求1所述的设备，还包括耦接到验证模块的通知模块，所述通知模块被配置为向主机通知所述电子数据存储设备使用基本密钥保护电子数据存储设备的区域的保护能力。

3.如权利要求1所述的设备，还包括耦接到验证模块的激活模块，所述激活模块被配置为用基本密钥保护由主机指定的电子数据存储设备的区域。

4.如权利要求1所述的设备，还包括耦接到验证模块的定义模块，所述定义模块被配置为定义基本密钥，所述基本密钥与电子数据存储设备上的受保护区域相关联。

5.如权利要求4所述的设备，还包括耦接到验证模块的比较模块，所述比较模块被配置为比较总密钥和基本密钥。

6.如权利要求5所述的设备，还包括耦接到处理模块的写模块，所述写模块被配置为响应于写类型命令以及在总密钥和基本密钥之间的兼容性，将数据从主机写入电子数据存储设备的受保护区域。

7.如权利要求1所述的设备，还包括耦接到处理模块的写模块，所述写模块被配置为响应于写类型命令和不存在总密钥，将数据从主机写入电子数据存储设备的未保护区域。

8.如权利要求1所述的设备，还包括耦接到处理模块的故障模块，所述故障模块被配置为响应于主机未能提供正确的总密钥，使从主机到电子数据存储设备的受保护区域的写类型命令失败。

9.如权利要求1所述的设备，还包括耦接到处理模块的故障模块，所述故障模块被配置为响应于存在总密钥，使从主机到电子数据存储设备的未保护区域的写类型命令失败。

10.如权利要求1所述的设备，还包括耦接到验证模块的索引模块，所述索引模块被配置为存储与电子数据存储设备上的受保护区域关联的索引。

11.一种保护在电子数据存储设备上的数据的系统，所述系统包括：

耦接到主机的电子数据存储设备；

耦接到电子数据存储设备的存储介质，所述存储介质被配置为存储数据；

耦接到存储设备的存储控制器，所述存储控制器被配置为管理在存储介质上数据的存储和访问；

耦接到存储控制器的保护设备，所述保护设备被配置为保护存储介质的受保护区域。

12.如权利要求11所述的系统，其中电子数据存储设备包括耦接到存储控制器的通信模块，所述通信模块被配置为便于在电子数据存储设备和主机之间进行的数据通信。

13.如权利要求11所述的系统，其中电子数据存储设备包括耦接到存储控制器的跟踪模块，所述跟踪模块被配置为跟踪主机对电子数据存储设备的访问。

14.如权利要求11所述的系统，还包括：

耦接到主机的识别模块，所述识别模块被配置为识别电子数据存储设备；和

确认模块，被配置为确认电子数据存储设备使用基本密钥保护电子数据存储设备的区域的保护能力。

15.如权利要求14所述的系统，还包括耦接到主机的分配模块，所述分配模块被配置为指定电子数据存储设备的受保护区域。

16.如权利要求14所述的系统，还包括耦接到主机的实施模块，所述实施模块被配置为将写类型命令和相关总密钥发送给电子数据存储设备。

17.一种可装载到数字计算机内部存储器中的计算机程序产品，包括软件代码部分，用于当在计算机上运行所述产品时执行，以执行如权利要求1至10中任一项所述的本发明。

Images