CN1341240A - 分布式数据档案设备和系统 - Google Patents

Abstract

分布式数据档案设备(1)被放置在网络(3)中的任意位置上,这样可以存储或获取数据。在数据存储过程中,将被存储的数据文件(F1)交给档案设备(1),由划分/加密装置(13)执行划分/加密,通过网络通讯装置(16)将独立的分开文件分布并存储到数据服务器(2a,2b,2c)。数据管理装置(15)形成表示划分/加密方法和存放目的地数据服务器的管理数据,并在数据存储过程中将其记录到便携式记录媒体(10)上。在数据获取过程中,便携式记录媒体(10)与任意一个档案设备(1)相连,并读取管理数据。基于这个管理数据,从存放目的地中获取分开文件,并通过解密/集成装置(14)将其重建为原始数据文件(F1)。

Description

分布式数据档案设备和系统

本发明所属技术领域

本发明与用于使用网络于必要时在预置的位置中存储或获取数字数据的数据档案设备和数据档案系统相关。更明确地说，本发明与将有价值的数字数据的副本分布到网络中的多个位置，并保存备份的数据档案系统有关。

与本发明相关的背景技术

例如，将一台计算机中建立的数据备份从这台计算机传送到与网络相连的其它文件服务器或类似设备中，用来存储有价值的数据，这已经被广泛地应用。如果将这个网络扩展到诸如因特网之类的全球范围的网络，就可能在全球任何可以使用因特网的地方存储数据或获取已存储的数据。然而，虽然用户的便利度会随着网络规模的增长成比例地增长，但安全性却会相反地降低。被存储的数据通常会包括个人的私有信息，因此需要所述的那个存储数据的人员或是那人委托的代理人才能够获取该数据，这一点必须得到满意的保证。因此，利用网络的传统数据档案系统存在一个问题，即安全性随从任何地方存储数据和获取数据的便利度的增加而成反比例地降低。

本发明基于此问题而建立。因此，本发明的一个目的是提供一个数据档案系统，该系统只允许存储数据的人或经过允许可以访问数据的特定人员从任意的地方安全地访问被存储的数据，而不需要存储数据的服务器端准备任何设备和软件。

发明公布

为了解决上述问题，本发明准备了一个分布式数据档案设备，包括一个用于检查用户真实性的验证装置、一个用于把被存储的数据划分为多个部分的划分装置、一个用于将划分的存储文件重建为原始单一数据文件的集成/重建装置、一个用于按照保存有被存储数据的数据服务器间确定的通讯协议，传输划分的数据文件的网络通讯装置和一个用于记录数据存储信息的数据管理装置，数据存储信息指出被存储数据的存放处和划分方法及最近所执行的数据存储的时间，其中，当数据存储时，被存储的数据被划分为多个部分，而且每个分开的部分都被传输到网络上多台服务器中的一台并在那里被分布/存储，而且，当获取被存储数据时，分布并存储在网络的多台服务器中的被存储数据，按照存储时记录的数据存放处信息和数据存储过程信息被获取，分开的部分集成并重建为原始文件，提供给用户。当数据被划分并存储到多台服务器上，有价值的数据是难以被盗取的。

进一步，为了解决上述问题，本发明准备了一个分布式数据档案设备，包括一个用于从便携式记录媒体中读/写数字数据的读/写装置、一个用于检查用户真实性的验证装置、一个用于把被存储的数据划分为多个部分的划分装置、一个用于将划分的存储文件重建为原始单一数据文件的集成/重建装置、一个用于按照保存被存储数据的数据服务器间确定的通讯协议，传输划分的数据文件的网络通讯装置和一个用于记录数据存储信息的数据管理装置，数据存储信息指出被存储数据的存放处和划分方法及最近所执行的数据存储的时间。本发明形成的分布式数据档案系统是由此分布式数据档案设备、便携式记录媒体、网络和多台数据服务器组成的，其中，当数据存储时，被存储的数据按照便携式记录媒体中记录的数据存放处信息和数据存储过程信息被划分为多个部分，每个分开的部分被传送到网络上多台服务器中的一个并在那里被分布/存储。然而，当获取被存储数据时，分布并存储在多台服务器中的被存储数据按照便携式记录媒体中记录的数据存放处信息和数据存储过程信息被获取，分开的部分被集成并重建为原始文件，并提供给用户。按照此系统，只要用户携带便携式记录媒体，他就可以在与网络相连的任何分布式数据档案设备上访问被存储的数据。例如，如果用户携带记录有数据存放处信息和数据存储过程信息的记录媒体，诸如一张软盘，此用户就可以通过联接与网络相连的任何一台分布式数据档案设备用以在任何地点获取所需的档案数据。

进一步，如果增加一个对数据进行加密的装置，会得到一个显著的效果，多个被储存的划分数据可以在划分装置对其进行划分之前进行加密，或者在加密后进行划分，用于加密/解密的密钥信息和类似信息作为数据存储过程信息被数据管理装置记录下来，集成/重建装置可以在存储的单个划分文件解密之后将其重建为原始数据，或者在划分数据集成之后进行解密。对单个划分数据的加密使得分辨原始数据变得困难，因此，即使将数据保存在诸如因特网的开放式网络上也不必担心数据被偷窥。

进一步，如果存储数据时，按照给定规则在划分被存储数据时、划分后加密或加密后划分时的任何步骤中加入虚假数据，虚假数据的加入规则作为数据存储过程信息被数据管理装置记录下来，然而，当获取数据时，存储数据时如入的虚假数据按照预置的步骤被去除，在此步骤中按照数据存储过程信息将被存储的划分数据集成或解密，由于虚假数据的干扰，即使被存储的数据被偷窥并解密，也无法实现完整的重建，因此当被存储数据被盗取时，安全性进一步地提高了。

进一步，如果带有冗余地将分开的数据存储在多台数据服务器中，即使一台数据服务器停机时，可以仅从其它正常服务器上的数据中重建出原始的数据。考虑到数据服务器本身停机的实际情况，这种分布式数据档案系统更加安全。

较好的情况下，使用具有高度安全性的IC卡作为上文所述的便携式记录媒体。这使得对记录在其上的数据存放处信息或数据存储过程信息的读取和拷贝变得更加困难，因此只有IC卡的所有者才可以访问被存储的数据。

可以通过在通用计算机中建立专用程序实现上述的分布式数据档案设备，通过将这样的专用程序记录到计算机可读的记录媒介上实现其散布。如果将专用程序建立在任何一台可通过网络与数据服务器相连接的通用计算机中，这台通用计算机就可以被用作本发明中的分布式数据档案设备，而且只要用户携带便携式记录媒体，就可以在任何地方访问被存储的数据。

附图简要描述

图1所示为本发明的一个实施例分布式数据档案系统的示意图。

图2所示为记录在便携式记录媒体10上的管理数据的示例。

图3所示为表示分布式数据档案设备1操作流程的流程图。

图4所示为在数据服务器上保存的每个分开文件中加入周期限制信息的示例。

图5所示为在数据服务器上保存的每个分开文件中加入存储目的地信息的示例。

图6所示为带有图5所示的存储目的地信息的管理数据的示例。

实施本发明的最佳模式§1.基本实施例

首先，描述本发明的一个基本实施例。图1所示为本发明的一个实施例分布式数据档案系统的示意图。分布式数据档案设备1是该档案系统中的主元件，并具有通过网络3在多台数据服务器2(图1中的2a，2b，2c)保存所需数据的功能。可将便携式记录媒体10插入分布式数据档案设备1中，并且，当执行上述功能时，分布式数据档案设备与便携式记录媒体10相互关联工作。如图1所示，分布式档案设备由读/写装置11，验证装置12、划分/加密装置13、解密/集成装置14、数据管理装置15和网络通讯装置16组成。将在下文中详述这些装置各自的功能。为了使用户使用图1中的数据档案系统存储数据，所必须做的仅仅是将被存储的数据按照每个文件的格式交给分布式数据档案设备1。图1所示为三个文件F1、F2、F3作为被存储数据文件交给分布式数据档案设备。具体地说，可通过在通用计算机上建立专用软件程序实现分布式数据档案设备1，其中通用计算机带有用于便携式记录媒体10的驱动元件，专用软件程序的功能将在后文中详述。另一方面，每台数据服务器2都是由一台主服务器20和一台外部存储器21组成的。被存储的数据通过网络3按照预置的数据存储过程，以每个独立文件的形式被保存在多台数据服务器2a、2b和2c中。

指出存储在数据服务器2a、2b和2c中的每个文件(图中示例为F1、F2、F3)的数据存放处和数据存储过程的管理数据被存储在便携式记录媒体10中。图2所示为记录在便携式记录媒体10上的管理数据的示例。输入在便携式记录媒体10中形成的预置的密码可以访问管理文件夹，并且在管理文件夹中进一步形成用于存储每个文件的管理数据的文件夹。例如，在图2的示例中，在管理文件夹中形成代表F1、F2和F3的三个文件夹，用于文件F1、F2和F3的管理数据被分别存储在这些文件夹中，图2所示为这些文件夹中用于文件F1的管理数据的内容。每个管理数据由表示形成每个文件数据存放处的数据存放处信息和表示数据存储过程的数据存储过程信息组成。在本发明中，被存储的数据文件被划分为多个部分，这些部分被分布并存储到多台数据服务器中。数据存放处信息表示多台数据服务器的位置，每一个位置都是将被存储的数据文件的存放目的地。更明确地说，数据存放处信息由身为存放目的地的多台数据服务器的地址列表组成(即，统一资源定位器，在下文中用URL表示)。

另一方面，在图中的示例中，数据存储过程信息由表示“划分方法”、“加密方法”、“划分/加密顺序”、“冗余存储方法”和“虚假数据加入方法”等项目的信息(例如，识别特征、数目、条件方程等)组成。在此，“划分方法”项目被进一步划分为“文件划分算法”、“分开文件的大小”和“分开文件的数目”等详细的项目。例如，当数据文件F1被存储时，数据文件F1被划分为多个文件。此时，关于如何划分的信息作为管理信息被存储在“划分方法”项目中。更详细地说，表示属于哪类“文件划分算法”的信息用于进行划分，表示“分开文件的大小”的信息被设置，表示“分开文件的数目”的信息被存储在各自详细的项目中。

当对被存储的数据文件F1进行加密时，表示按照何种方法将文件进行加密的信息作为管理数据被存储在“加密方法”项目中。关于是在原始数据文件F1划分之前对其进行加密还是在将原始数据文件划分之后对每个文件进行加密的信息作为管理数据被存储在“划分/加密顺序”项目中。

进一步，当将每个独立的分开文件带有冗余地保存并存储到每台数据服务器上时，表示所用的冗余存储方法的信息作为管理数据被存储到“冗余存储方法”项目中。两种方法，即镜像法和奇偶校验文件构成方法都被认为是通用的冗余存储方法。如果使用镜像方法，每个分开文件都被完全相同地存储到两台不同的数据服务器，即，主数据服务器和从数据服务器中。如果一个分开文件丢失了，只要另一个数据文件还在，就可以避免危险。另一方面，如果使用了奇偶校验文件构成方法，形成一个奇偶校验文件。例如，一对数据长度相同的分开文件的每一位都是异或关系，将这个奇偶校验文件和分开文件对存储在预置的数据服务器中(通常称为RAID3方法)。如果分开文件对中的一个丢失了，只要将文件对中的另一个分开文件和奇偶校验文件中的每一位取异或，就可以将丢失的分开文件重建。

如果在划分被存储数据文件F1的过程中加入与存储在文件F1中数据无关的虚假数据，表示如何加入虚假数据的信息作为管理数据被存储在“虚假数据加入方法”项目中。例如，可以使用任何随机生成的数据作为虚假数据，或者使用一些预先准备的数据作为虚假数据。即使分开文件被非法的手段读取，这些虚假数据的加入也会干扰读取的内容，因此提高了安全性。当然，可以在原始数据的任何部分中加入虚假数据。例如，可以在特定的位置加入几个字节的虚假数据，例如划分被存储数据文件F1得到的每个分开文件的头或尾，或者，可以按照在从头开始的第三个字节处插入一个字节的虚假数据的特定规则，在分开文件的某些位置插入虚假数据。作为管理数据存储在“虚假数据加入方法”项目中的信息表示如何加入虚假数据，这将用于晚些时候获取原始文件时去除虚假数据的过程。

在数据文件F2和F3中，图2中未示，管理数据同样地形成并存储在便携式记录媒体10的管理文件夹中。这样，当通过本发明的数据档案系统保存这三个数据文件F1、F2和F3时，每个数据文件被划分为多个分开的数据文件，每个分开的数据文件被存储在任何一台数据服务器上。例如，如果数据文件F1被分为四个分开文件F11到F14，这些文件F11到F14分布并存储到图中三台数据服务器2a到2c中的任何一台上。这种情况下，关于原始数据文件如何被划分、关于每个分开文件的字节数大小和关于总共有多少个分开文件的信息作为文件F1的管理数据(数据存储过程信息)被存储到图2的管理文件夹中。如果此时使用加密方法、冗余存储方法、虚假数据加入方法等，关于这三种方法的信息也作为管理数据被存储起来。表示四个分开文件F11到F14中的每一个所在的数据服务器的信息(即，数据服务器的URL列表)作为文件F1的管理数据(数据存放处信息)被存储在图2的管理文件夹中。

按照预置的规则，为在被存储数据文件基础上形成的每个分开文件分配一个唯一的文件名。设计这些分开文件和原始文件的相关性使其可被澄清。例如，在上述情况下，如果被存储文件的文件名是“F1”，按照在“F1”末尾加上数字1到4的原则将由F1形成的每一个分开文件分别命名为“F11”到“F14”。在此，例如，图2所示的“用于F1的文件夹”的文件夹名被指定为与数据文件F1相同的“F1”，而且，在一个列表中作为存放目的地的数据服务器的URL与名为“F11”到“F14”的每一个分开文件的文件名相对应(具体地说，诸如F11→URL(2a)，F12→URL(2b))，这个列表被记录在数据存放处信息中，使得文件“F1”的管理数据被记录在文件夹“F1”中。如果这样的话，就可以用图2的文件结构清楚地描述被存储数据文件的文件名“F1”与分开文件的文件名“F11”到“F14”之间的对应关系。通常，因特网中使用的URL使用http：∥www.(服务器识别码)/(文件识别码)的形式。因此，实际上，如果URL列表以http：∥www.(数据服务器2a)/(分开文件F11)、http：∥www.(数据服务器2b)/(分开文件F12)……的形式作为数据存放处信息准备，以代替表示诸如F11→URL(2a)，F12→URL(2b)……的对应关系的列表的话，可以得到便利。

因此，如果准备好存储在管理文件夹中的文件F1的管理数据(即，数据存储过程信息和数据存放处信息)，使得允许访问数据档案系统的话，就可以在任何时间任何地点按照上述过程获取存储的数据文件F1。换句话说，一旦参考文件F1的管理数据中的数据存放处信息(即，数据服务器的URL列表)识别出存储有所必需的分开文件的数据服务器，就可以读取重建所需的所有分开文件。而且，参考文件F1的管理数据中的数据存储过程信息，就可以知道关于如何将分开文件解密、关于将分开文件的哪一部分作为虚假数据删除和关于如何将分开文件进行集成的重建过程，用以得到原始数据文件F1。因此，遵循这种重建过程就可以重建出原始数据文件F1。也就是说，可以获取被存储的数据。

如上所述，图1所示分布式数据档案设备1中装置11到16中的每一个都具有存储数据文件和获取所存储的数据文件的功能。也就是说，读/写装置11是一种在便携式记录媒体10中处理管理文件夹的装置，用于读写每个独立文件的管理数据。验证装置12用于检查便携式记录媒体10本身的真实性，并用于通过对处理管理文件夹所必须输入的密码进行确认来鉴别用户。划分/加密装置13用于当给出存储指令时，在预置的规则下按照预置的划分方法对被存储的特定数据文件进行划分，必要的话还用于执行加密处理、加入虚假数据和冗余存储，已确定每个分开文件将被存储到哪台服务器上。

另一方面，解密/集成装置14用于当给出获取所存储的特定数据文件的指令时，执行分开文件的集成处理、解密和在管理数据的基础上进行虚假数据的删除，管理数据表示了特定数据文件存储时的处理过程。当给出存储指令时，数据管理装置15用于形成管理数据(即，数据存储过程信息和数据存放处信息)，该信息表示了划分/加密装置13执行的处理过程和每个分开文件的存放目的地，并用于通过读/写装置11将管理数据写到便携式记录媒体10的管理文件夹中。另一方面，当给出执行获取的指令时，数据管理装置15通过读/写装置11从便携式记录媒体10的管理文件夹中读取必要的管理数据，并将其传输到解密/集成装置14和网络通讯装置16中。数据管理装置15还用于处理便携式记录媒体10的管理文件夹并通过读/写装置11将其内容展现给用户。图底端所示的网络通讯装置16用于通过网络3将每个分开文件传输到预置的数据服务器上并使用因特网上的标准技术的文件传输协议(下文中称为FTP)，或者，相反地，用于从预置的数据服务器上读取分开文件。

如果在网络3的各个位置上安置由这些装置11到16组成的分布式数据档案设备，携带有便携式记录媒体10的用户，就可以在任何时间任何地点存储任意数据文件，并可以获取任意被存储的数据文件，只要这个位置上安置有数据档案设备1。如果将因特网作为网络3，用户就可以在全球的任何地方存储数据并获取被存储的数据，只要这个位置上安置有数据档案设备1的话。这样，本发明对应的数据档案系统的主要的优点就是只要携带便携式记录媒体，就可以在任何时间任何地点存储和获取数据文件。这个主要的优点将使被存储数据抵御自然灾害、事故等的安全性提高。例如，要求保险公司或金融机构为安全存储有价值的商业数据采取对策。使用根据本发明的系统，可以将被存储的数据分布到全球的各个角落并将其存储，而且实现一种具有抵御局部灾害或事故的高耐久性的数据档案系统。

本发明的数据档案系统的第二个优点是可以保障满意的安全性而不需要客户端有特殊的对策。如果将因特网用作图1系统中的网络3，用户便利度便会更好。但是，考虑到存储在每台数据服务器上的数据会由于非法的途径而被读取，所以不能想当然地认为数据服务器2a到2c的安全性是谨慎的。然而，根据本发明的数据档案系统，存储使将被存储的数据文件划分为多个文件，分开文件被分布并存储到多台数据服务器上。因此，每个独立的分开文件自身不能构成原始信息。由于这个原因，即使存储在每台数据服务器上的独立的分开文件被非法的手段读取了，也不会出现安全性问题。通常，当备份商业数据时，作为备份目的地的数据服务器需要有一个满意的安全性对策。然而，根据本发明的系统，由于在数据服务器端不用采取特殊的安全对策，可以减少备份的费用。

由于单独的分开文件具有一定的数据长度，即使是不完整的，我们也会担心由于非法手段可能会造成重要信息的泄漏。因此，实际上，较好的情况下，应阻止获取当仅有一个分开文件被读取时的原始文件的内容。防止原始内容的获取是通过设计这样一种划分方法实现的，例如，如果划分为三个文件，每个文件由原始文件中每隔三个字节取出一个字节组成。进一步，为了提高安全性，较好的情况下应如上所述在划分之前或划分之后基于预置的算法进行加密或加入虚假数据。

存储在便携式记录媒体10上的每个文件的管理数据是用于获取每个文件的信息，如果管理数据被盗取，就可以通过非法的手段获取所存储的数据文件。因此，实际上，较好的情况下应使用所记录内容不能被轻易地非法访问的媒体作为便携式记录媒体10。更明确地说，例如，如果将具有内置CPU的IC卡(下文中用档案卡表示)用作便携式记录媒体10，就可以保证满意的安全性。为了进一步提高安全性，较好的情况下，应如上面实施例中所述为便携式记录媒体10的管理文件夹设置密码。§2.具体操作过程

下一步，将给出根据本发明的分布式数据档案设备操作过程的一个示例的描述。图3所示为表示分布式数据档案设备1操作流程的流程图。下面将按照这个流程图描述此分布式数据档案设备的操作，在下面的描述中，便携式记录媒体10使用具有满意安全性的IC卡(档案卡)。

首先，用户启动分布式数据档案设备1。如上所述，实际上，通过在通用计算机中建立一个专用数据软件实现分布式数据档案设备1，所述的通用计算机带有用于IC卡的驱动单元。因此，分布式数据档案设备1的启动过程就是启动通用计算机上专用数据档案软件的操作。当分布式数据档案设备1启动时，显示屏上显示催促插入档案卡10的信息，等待状态继续直到插入档案卡10。当用户插入档案卡10，读/写装置11开始处理，用以交换验证真实性所需的数据。在档案卡10端检查分布式数据档案设备1的真实性(即读/写装置11的真实性)而档案卡10的真实性由验证装置12检查。这是图3流程图中步骤S1的过程。由于真实性检查技术为精通本技术领域中的人员所熟知，此处省略了详细的描述。

随后，在步骤S2，如果得到一个否定的真实性结果，即，如果判断所插入的档案卡10不能作为真实的档案卡被接受，或相对地，如果档案卡10端判断读/写装置11是非法的，进入步骤S3，所插入的档案卡10被弹出。返回步骤S1，继续等待状态直到插入一张新的档案卡10。另一方面，在步骤S2，如果得到肯定的真实性结果，进入步骤S5，要求用户输入密码。在此条件下，实施对询问中的用户的真实性验证，档案卡10中的管理文件夹显示在显示屏上。更详细地，当确认用户输入的密码与图2所示的管理文件夹所设置的密码一致之后，读取管理文件夹中的内容，并显示使用档案卡10获取的文件名(图2示例中为三个数据文件F1、F2、F3)。同时显示操作菜单，接受来自用户的操作输入，并到达步骤S7，即，等待来自用户的交互式操作输入(即，事件发生)的状态。

本实施例中，用户可以从显示的操作菜单中选择四种操作输入。按照操作输入的结果执行步骤S7的分支。详细地说，用户可以执行四种操作输入，即将被存储的数据进行再次存储的存储处理、获取已被存储数据的获取处理、弹出插入的档案卡10的媒体弹出处理和结束分布式数据档案设备1操作的结束处理(具体地说，是结束目前执行的专用数据档案软件的处理)。当以上四种中的任何一种给出时，步骤S7可以识别出有事件发生，并跳到预置的分支目的地处。

在此，假设用户首先选择了存储处理。在这种情况下，首先，在步骤S11执行用于指定的被存储文件的处理。也就是说，将一个用于指定被存储文件的窗口显示在显示屏上，用户可以从这个窗口中指定被存储的文件。如上所述，本实施例中使用一台通用计算机实现分布式数据档案设备1，因此可以将被存储文件记录在此计算机可存取的磁盘、光盘或光磁盘中。当然，可以通过网络3将分布式数据档案设备1中的被存储文件从外部读入。在此，假定存储在组成分布式数据档案设备1的计算机的硬盘驱动器上的数据文件F1被指定为被存储的文件，(这种情况下，图2所示的“文件F1的管理数据”还未形成)。

接着，在步骤S13确定“文件划分方法”。更详细地说，划分被存储文件F1的原则(即，算法)、将被存储文件F1划分的文件长度(即，文件大小)和将被存储文件划分为多少个文件(即文件数目)等条件被建立。这些条件可以由用户指定。然而，实际上，较好的情况下，这些条件基于分布式数据档案设备1上的给定程序自动确定。最好这些条件依据每个被存储的文件，用以提高安全性。如果使用通用的划分算法，“分开文件的大小”和“分开文件的数目”是关联参数，因此确定两者之一必然会造成另一个参数的确定。例如，如果被存储的文件F1的长度为100兆字节，将“分开文件的大小”确定为20兆字节，“分开文件的数目”必然确定为5。同样，将“分开文件的大小”确定为10兆字节，“分开文件的数目”必然确定为10。

在上面的示例中，按照等分设置划分算法，每个分开文件的大小都相同，但文件划分算法不仅限于等分。例如，可以按照“位于偶数位置的文件长度是位于奇数位置的文件长度的两倍”的划分方法设置任意的划分算法。进一步，当划分文件时，分开文件也不一定按照原始文件中的顺序划分，例如，当将被存储文件划分为两个分开文件时，不仅可以按照第一个分开文件是原始文件的前半部分，第二个分开文件式原始文件的后半部分进行划分，也可以按照第一个分开文件由原始文件中的奇数字节组成，第二个分开文件有原始文件中的偶数字节组成的算法进行划分，这两种方法都是有效的。实际上，较好的情况下，应使用后一种划分算法以保证安全性。通常，仅由奇数字节组成的分开文件或仅由偶数字节组成的分开文件本身并没有什么意义，因此即使其被非法访问，也可以保证有价值的信息不被泄漏。

当然，当将原始文件分为三个或更多的文件时，也可以应用这样的划分算法。总的来说，如果将一个被存储文件划分为n个文件，执行分配使得第一个字节分配给第一个分开文件，第二个字节分配给第二个分开文件，......，第n个字节分配给第n个分开文件，第n＋1个字节分配给第一个分开文件，第n＋2个字节分配给第二个分开文件，按照顺序从头组成被存储文件。当然，可以进行任意多个字节的顺序分配以代替一个字节的顺序分配。实际上，当划分文件时有无限多的方法，可以采用其中任何一种。

此后，在步骤S17，确定加密方法，并且，在随后的步骤S19中，确定虚假数据的加入方法，并且，在步骤S21，确定冗余存储方法。实际上，虽然用户可以指定这些方法，较好的情况下，这些方法可以按照分布式数据档案设备1中准备的预置算法自动确定。进一步，较好的情况下，依据每个独立被存储文件改变加密方法或虚假数据的加入方法，用以提高安全性，较好的情况下，可进一步依据每个独立的分开文件改变此方法。

步骤S17不仅确定执行加密的算法或用于加密过程的密钥数据。这个步骤还可以确定划分/加密顺序，也就是说，是否对每个分开文件进行加密，是否在完成划分后对每个分开文件进行加密，或否在将原始文件加密后再将其划分为多个文件。

在步骤S19，确定在划分被存储数据时，或划分后进行数据加密时，或加密后进行数据划分时的任何阶段，按照给定的规则加入与被存储数据无关的虚假数据的方法。如果按照如上所述在存储时执行这些虚假数据的加入处理，即使被存储数据被偷窥或解密，由于虚假数据的干扰也不可能完全重建原始数据，因此进一步提高了安全性。

另一方面，步骤S21确定的是，是否采用如上所述的用作冗余存储方法的镜像方法或奇偶校验文件构成方法。

在确定执行数据存储过程所需之后，在步骤S23调用划分/加密装置13，并按照每个步骤确定的方法，对被存储的数据文件F1进行划分处理、加密处理和加入虚假数据处理以建立多个分开文件。当选择奇偶校验文件构成方法作为冗余存储方法时，在这个阶段形成一个必要的奇偶校验文件。随后，确定作为每个独立分开文件存放目的地的数据服务器(这种描述中，将奇偶校验文件视为分开文件之一)，并写下来。更详细地说，首先在步骤S29确定作为一个分开文件存放目的地的数据服务器，并在步骤S31，通过操作网络通讯装置16将这个分开文件传输到存放目的地的数据服务器上，并写入数据服务器。重复执行这个处理，直到通过步骤S35完成所有分开文件的应用。如果此时使用镜像方法作为冗余存储方法，将分开文件传输并存储到两台不同的服务器，即，一台主服务器和一台从服务器上。如果此时使用奇偶文件构成方法，将奇偶文件与每个分开文件一起传输到预置的数据服务器上，并存储在其上。

按照如上所述的FTP通过网络通讯装置16执行文件传输处理。更详细地说，例如，准备一个配置文件，其上记录了作为存放目的地的数据服务器的URL列表，适当地选择这个配置文件的URL列表中的一台数据服务器，并向其传输一个分开文件。如果其被满意地传输，可以将下一个文件传输到URL列表中下一台数据服务器中。如果传输由于某些原因失败，将目的地改变为URL列表中的下一台数据服务器，再次传输此分开文件。

最后，在步骤S37可以通过数据管理装置15的功能形成关于被存储文件F1的管理数据，并将其记录到档案卡10上。详细地说，“文件F1的管理数据”包括由图2所示项目组成的数据存储过程信息，和由作为分开文件存放目的地的数据服务器的URL列表组成的数据存放处信息，被记录到用于文件F1的文件夹中。通过上述过程完成被指定为被存储文件的文件F1的存储处理，返回步骤S5，继续等待下一个事件。

下一步，假定用户已经指定了一个给定文件并在步骤S7选择了获取处理。在这种情况下，首先在步骤S41通过数据管理装置15的功能将被获取文件从档案卡10中读出。例如，如果选择获取处理，用户指定已被存储的文件F1，从档案卡10中读出如图2所示的“文件F1的管理数据”。参考管理数据所包括的数据存放处信息，可以知道存储有组成被获取文件的单独分开文件的数据服务器的URL，并且，参考数据存储过程信息，可以知道存储时所执行的划分处理、加密处理、冗余存储处理和虚假数据加入处理的方式。

因此，在步骤S43，执行组成被获取文件的独立分开文件的读取处理，就可以基于数据存放处信息，通过网络通讯装置16的功能，将存储在预置数据服务器上的独立分开文件(如果必要的话还有奇偶校验文件)读入分布式数据档案设备1中。进一步，在步骤S47，给出数据存储过程信息，通过解密/集成装置14的功能应用解密/集成处理用以读取单独的分开文件，并重建原始文件F1。如果存储时执行冗余存储处理，即使给定的数据服务器不按顺序，也可以通过预置的重建过程将文件重建。如果在存储原始数据时加入虚假数据，在执行步骤S47的处理时就可以将虚假数据去除。

最后，已通过这种途径被重建的被获取文件F1被存储到用户指定的预置记录位置(即，作为分布式数据档案设备的软件所不能控制的特定位置)。结果，被存储的数据以重建的形式再次反馈给用户。如上所述的数据重建操作序列所必需的信息以管理数据的形式记录在档案卡10上。因此，由于分布式数据档案设备1基于管理数据自动进行数据重建操作，用户甚至不用去管被存储文件是以多个分开文件的形式被存储这样一个事实。

如果用户在步骤S7中选择了“结束”，跳到步骤S53，并且，如果组成目前剩余文件的文件被保存在分布式数据档案设备1中(即，用作分布式数据档案设备1的软件所控制的位置)，将它们删除，并结束分布式数据档案设备1的操作(即，结束用作分布式数据档案设备1的软件的执行)。如果在步骤S7用户给出从读/写装置11中弹出档案卡10的指令，卡在步骤S3中被弹出，并返回步骤S1，并继续等待直到插入下一张卡。

如上所述，根据本发明，将有价值的数字数据进行划分，并将结果数据存储到多台数据服务器中。这样，即使一台服务器中的被存储数据被盗取，由于被盗取的数据不能重建为原始数据，所以可以保证其安全性。由于IC卡对非法数据篡改具有非常高的安全性，在数据存储和数据获取时，可以将其用作所需的档案卡10，所以只要IC卡不被盗取的话，不用担心所存储的数据被盗取。进一步，由于如果必要的话，可以将被存储数据进行加密并存储，所以即使当数据从因特网上被获取时数据服务器上的数据被偷窥，也不会造成很大的不利。而且，由于数据服务器存储数据时所有需要做的仅仅是通过因特网的标准协议FTP装置进行连接，所以无需特定设备，而且存放目的地的选择也相当的自由。如果使用档案卡10，从与网络相连的分布式数据服务器上访问被存储数据可以变得非常方便。当然，通过网络在数据服务器间传输文件的协议不仅限于FTP，可以使用其它的各种协议。§3.各种更改和应用示例

然后，将描述本发明的更改和应用示例。在图1所示的实施例中，分布式数据档案设备1和数据服务器2(2a，2b，2c)彼此具有完全不同的功能，但两者都是“内置预置软件的计算机”。实际上，一个可能使用的形式是使用一台具有完全相同硬件设置的计算机作为分布式数据档案设备1和数据服务器2。依据其内置的软件，使用具有相同硬件的计算机作为分布式数据档案设备1和数据服务器2，当然，在用作分布式数据档案设备1的场合和用作数据服务器2的场合中，该计算机可被区别地使用。

以下是用户形式的另一个示例。假定将计算机分别放置在三个部门办公室X、Y、Z中，并通过网络将计算机互联。在每台计算机中建立用作分布式数据档案设备1和用作数据服务器2的软件，将部门办公室的数据划分为两个部分(例如，第一个分开文件由奇数位置的字节组成，第二个分开文件由偶数位置的字节组成)，将它们存储并备份到另外两个部门办公室的计算机上。更详细地说，当将部门办公室X的数据备份存储到部门办公室Y和Z的计算机中，部门办公室X中的计算机被用作数据档案设备1，部门办公室Y和Z的计算机被用作数据服务器2。同样地，但将部门办公室Y的数据备份存储到部门办公室X和Z的计算机中，部门办公室Y的计算机被用作数据档案设备1，部门办公室X和Z的计算机被用作数据服务器2。当将部门办公室Z的数据备份存储到部门办公室X和Y的计算机中，部门办公室Z的计算机被用作数据档案设备1，部门办公室X和Y的计算机被用作数据服务器2。因此，当存储或获取一个文件时，本发明中的组成元素“数据档案设备1”和“数据服务器2”的名称仅仅表示执行任务的角色。实际上，网络上连接的单独计算机可用作“数据档案设备1”和“数据服务器2”。

虽然，在上述实施例中，图2所示的管理数据被直接记录到档案卡10(便携式记录媒体)中，管理数据不是必须被直接记录到上面的。例如，可以将图2所示的全部管理文件夹放入图1方框图中的数据服务器2a中，并将访问此管理文件夹(例如，表示数据服务器2a的URL的信息、表示存储管理数据地址的信息、或用于访问管理文件夹所需的密码)所需的信息记录到档案卡10上。如果使用这种方法，当执行数据的存储处理时，数据管理装置15可以将所形成的管理数据写到数据服务器2a中预置的地址位置中，并可将“写在数据服务器2a上的访问管理数据所需的信息”记录到档案卡10上，而不是将所形成的管理数据直接记录到档案卡10上。另一方面，当执行数据获取处理时，数据管理装置15首先读取记录在档案卡10上的“写在数据服务器2a上的访问管理数据所需的信息”，并使用该信息，从数据服务器2a中读出管理数据，而不是从档案卡10中读出必要的管理数据。实际上，这种方法可称为将管理数据间接地记录到档案卡10上的间接记录方法。

使用这种将管理数据间接地记录到档案卡10上的方法可得到以下两个优点。第一个优点是可以减少档案卡10(便携式记录媒体)的记录能力的限制。如图2中的示例，每个文件的管理数据由数据存储过程信息和数据存放处信息组成，并且总体上具有一个特定的数据数量。另一方面，由于档案卡10是卡状电子信息记录媒体，它的记录能力相对要小。因此，由于会浪费有限的记录资源，不能将大量文件的管理数据直接记录到档案卡10上。事实上，这种将管理数据间接地记录到档案卡10上的方法可以将管理数据存储到档案卡10以外的记录位置上，所有需要做的是将访问此管理数据所需的信息记录到档案卡10上。因此，可以有效地使用有限的记录能力。

这种将管理数据间接地记录到档案卡10上的方法的另一个优点是带来了一种允许多个用户共享所存储数据的使用形式。例如，将同一类的档案卡10交给同一组的不同用户，并将访问相同管理数据所需的信息存储到相同的档案卡10上。在这种情况下，拥有相同档案卡10的每个用户都可以访问享用的管理数据，并可以在同样的管理数据的基础上获取同样的所存储数据。

进一步，根据本发明的数据档案系统的另一方面所述，将表示周期限制的周期限制信息加入被存储数据中，并将被存储数据分布和存储到数据服务器上，可将基于此周期限制信息的限制强加到数据获取处理中。特别地，如图4中的示例，例如，可以将周期限制加入预置格式的每个分开文件F11、F12和F13中，以便将其存储到数据服务器上。可将限制强加入数据服务器，这样就可以禁止如果加入周期限制信息(声明为“数据获取直到2001年6月末被禁止”)的分开文件的数据获取，虽然用户的获取指令是在获取禁止期内给出的。可以在每台数据服务器2端或分布式数据服务器1端进行关于这种周期限制的检查，可以放置表示“数据获取在2001年7月之后被禁止”或“数据获取从2001年7月到九月被禁止”的限制。还可以设置表示“在2001年7月1日删除此数据”的有效指令，用以在到达时间限制时在数据服务器端自动删除数据。

进一步，根据本发明数据档案系统的另一个方面所述，在作为原始存放目的地的数据服务器发生了一些困难的情况下，将声明与原始存放目的地不同的庇护目的地的庇护目的地信息，加入到分布并存储到每台数据服务器上的单独分开文件中，并将此庇护目的地信息作为管理信息的一部分记录下来。这样的话，所存储的数据可以在被指定为庇护目的地的数据服务器中得到庇护。

例如，假定将被存储的文件F1划分为三个文件F11、F12和F13，并将这三个分开文件分别存储到数据服务器2a、2b和2c上。在这种情况下，分开文件F11、F12和F13的原始存放目的地分别变为数据服务器2a、2b和2c。实际上，通过FTP将分开文件F11、F12和F13分别传输到数据服务器2a、2b和2c上，并写下来。当传输分开文件时，将庇护目的地信息加入到每个分开文件F11、F12和F13中。例如，假定分开文件F11和F12的庇护目的地为第四台数据服务器2d，分开文件F13的庇护目的地为第五台数据服务器2e。如果是这样的话，将URL(2d)的庇护目的地信息、URL(2d)的庇护目的地信息和URL(2e)的庇护目的地信息分别加入到分开文件F11、F12和F13中，如图5中的示例。(在此，URL(xx)代表表示数据服务器xx的URL信息)

另一方面，将加入到每个分开文件中的庇护目的地信息加入到被存储文件F1的管理数据中。更详细地说，形成诸如图6中的数据存放处信息(数据服务器的URL列表)并将其作为管理数据记录到诸如档案卡10上。在图6的示例中，表示分开文件F11、F12和F13原始存放目的地的信息分别为URL(2a)、URL(2b)和URL(2c)，并且，按照正常的处理过程，将分开文件F11、F12和F13分别存储到数据服务器2a、2b和2c上。在此，将URL(2d)的信息、URL(2d)的信息和URL(2e)的信息分别记录为分开文件F11、F12和F13的庇护目的地，并指定作为庇护目的地的数据服务器为数据服务器2d、2d和2e。

在此，会发生经常操作的第一台数据服务器2a出现一些困难的情况。例如，假定出现数据服务器的2a的信息空间几乎满了的情况，因此将目前存储的一部分数据移到其他数据服务器上以避免严重的问题或用于对构成数据服务器2a的硬盘进行维护，需要暂时将目前存储的一部分数据移到其他数据服务器上。在这种情况下，由于已将庇护目的地信息URL(2d)加入到存储在图5所示的第一台数据服务器2a上的分开文件F11中，按照庇护目的地信息，第一台数据服务器2a可以执行将分开文件F11传输到作为庇护目的地的第四台数据服务器2d上的处理。

当在分开文件传输用于庇护之后，执行文件F1的获取处理时，分布式数据档案设备1，试图从图6所示数据存放处信息的存放目的地栏中提及的原始数据服务器中读取必要的分开文件F11、F12和F13。因此，从数据服务器2b中读入分开文件F12，从数据服务器2c中读入分开文件F13。但是，从数据服务器2a中读入分开文件F11的试图以失败告终。当从原始存放目的地读取文件时出现这样的失败时，则试图从庇护目的地读取。在这种情况下，考虑分开文件F11，试图从图6所示数据存放处信息的存放目的地栏中提及的原始数据服务器2d中读取必要的分开文件F11。结果，虽然庇护点并不是原始存放目的地，仍可以毫无困难地读取分开文件F11。

当使用庇护的原因被去除后，当然可以允许分开文件F11返回以前作为原始存放目的地的数据服务器2a。如果以这种方法加入庇护存放目的地信息，即使在数据必须到另一台数据服务器寻求庇护的情况下，也可以毫无困难地进行数据获取处理。

当存储数据文件时，用户可以指定一台数据服务器作为庇护目的地。但是，实际上，较好的情况下，允许分布式数据档案设备1进行处理用于自动确定庇护目的地。另一种替代的方案是，从这台数据服务器向分布式数据档案设备1发出消息指定另一台数据服务器用作庇护目的地。工业适用性

根据本发明的数据档案设备和数据档案系统可以广泛用于保存任何数字数据，而且，特别地，当利用诸如因特网的广域网时，它们最好被用于备份有价值的数字数据。

虽然上面描述了本发明各种各样的实施例，但应当认为这些例子仅仅是代表性的，而非限定性的。因此，本发明的宽度和范围并不局限于上述描述的任何一个实施例，而应当由后面所附 来给出限定。

Claims (16)

1.  分布式数据档案设备(1)具有用于将被存储数据(F1)通过

网络(3)，分布并存储到可存取的多个数据服务器(2a，2b，

2c)上的功能，并具有用于在必要时获取所存储的数据的功

能，所述设备(1)包括：

用于在存储数据时按照预置的划分方法将被存储数据

(F1)划分为多个分开文件(F11，F12，F13)的划分装置

(13)；

用于在获取数据时考虑划分方法将多个分开文件集成并

重建为原始被存储数据的集成装置(14)；

用于在数据存储时通过网络，将多个分开文件分别传输

并存储到预置数据服务器上，并在获取数据时通过网络，获

取存储在单独数据服务器上的多个分开文件的网络通讯装置

(16)；以及

用于形成管理数据的数据管理装置(15)，管理数据由数

据存储过程信息和数据存放处信息组成，数据存储过程信息

表示在存储数据时所述划分装置使用的划分方法所遵循的过

程，数据存放处信息指定了一台数据服务器，它被用作通过

所述网络通讯设备传输的多个分开文件的存放目的地，其后

将管理数据记录在预置的位置上，并在获取数据时读取管理

文件，将管理数据所包括的数据存储过程信息交给所述集成

装置，将管理数据所包括的数据存放处信息交给所述的网络

通讯装置。

2.  根据权利要求1所述的分布式数据档案设备，还包括用于从

便携式记录媒体(10)上读/写数据的读/写装置(11)，其中，

数据管理装置(15)通过所述读/写装置将管理数据记录到便

携式记录媒体上。

3.  根据权利要求1所述的分布式数据档案设备，还包括用于从

便携式记录媒体(10)上读/写数据的读/写装置(11)，便携

式记录媒体(10)上存储有用于访问位于预置位置上的管理

数据所需的访问信息，数据管理装置(15)通过所述读/写装

置读取便携式记录媒体的访问信息，并基于此访问信息访问

管理数据。

4.  根据权利要求1至3中的任何一项所述的分布式数据档案设

备，还包括用于检查用户真实性的验证装置(12)，其中，仅

当得到正确的真实性结果时，才执行数据存储处理或数据获

取处理。

5.  根据权利要求1至4中的任何一项所述的分布式数据档案设

备，其中：

划分装置作为用于在划分被存储数据过程中对数据执行

加密处理的划分/加密装置(13)；

数据管理装置(15)用于形成包括表示加密处理方法信

息的数据存储过程信息，并将所述数据存储过程信息作为管

理数据记录下来；以及

集成装置用于在将分开文件集成并重建为原始被存储数

据时，在数据存储过程信息所包括的加密处理方法信息的基

础上，对已加密部分进行解密的解密/集成装置(14)。

6.  根据权利要求5所述的分布式数据档案设备，其中，数据管

理装置(15)将表示划分处理和加密处理执行顺序的信息用

作表示加密处理方法信息的一部分。

7.  根据权利要求1至6中的任何一项所述的分布式数据档案设

备，其中：

划分装置(13)在划分被存储数据的过程中，加入与被

存储数据无关的虚假数据；

数据管理装置(15)形成包括关于虚假数据加入处理信

息的数据存储过程信息，并将数据存储过程信息作为管理数

据记录下来；以及

在将分开文件集成并重建为原始被存储数据时，集成装

置(14)基于数据存储过程信息所包括的虚假数据加入处理

信息，将所加入的虚假数据去除。

8.  根据权利要求1至7中的任何一项所述的分布式数据档案设

备，其中：

划分装置(13)执行冗余存储处理，用以在将被存储数

据划分为多个分开文件的过程中向被存储数据中加入冗余；

数据管理装置(15)用于形成包括冗余存储处理信息的

数据存储过程管理信息，并将数据存储过程信息作为管理数

据记录下来；以及

集成装置(14)基于包括在数据存储过程信息中的冗余

存储处理信息，执行重建原始被存储数据的处理。

9.  根据权利要求1至8中的任何一项所述的分布式数据档案设

备，所述的档案设备进一步用作：

在数据存储过程中，加入表示被存储数据周期限制的周

期限制信息，随后将所述数据分布并存储到数据服务器上；

以及

在数据获取过程中，按照基于周期限制信息的限制，执

行获取处理。

10. 根据权利要求1至9中的任何一项所述的分布式数据档案设

备，所述的档案设备进一步用作：

在数据存储过程中，将表示与原始存放处信息不同的庇

护目的地的庇护目的地信息加入到分布并存储在数据服务器

上的单独分开文件中，并将庇护目的地信息作为管理数据的

一部分记录下来；以及

在数据获取过程中，如果所需的分开文件不能从作为原

始存放目的地的数据服务器上获取时，从庇护目的地信息所

示的作为庇护目的地的数据服务器上获取所需的分开文件。

11.  一分布式数据档案系统包括：根据权利要求1至10中的任何

一项所述的分布式数据档案设备(1)；与所述分布式数据档

案设备相连接的网络(3)；用于通过所述网络(3)接受来自

所述分布式数据档案设备的访问的多个数据服务器(2a，2b，

2c)；以及用作“所述分布式数据档案设备中形成的管理数据”

或“用于访问所述管理数据所需的信息”的记录位置的便携

式记录媒体(10)。

12. 根据权利要求11所述的分布式数据档案系统，其中，与网络

连接的终端设备既被用作分布式数据档案设备(1)，又被用

作数据服务器(2a，2b，2c)，可以根据使用选择这两种功能

之一。

13. 根据权利要求11或权利要求12所述的分布式数据档案系统，

其中，使用IC卡作为便携式记录媒体(10)，当分布式数据

档案设备(1)访问便携式记录媒体时，检查便携式记录媒体

自身的真实性。

14. 根据权利要求11至13中的任何一项所述的分布式数据档案

设备，其中，将用于访问相同管理数据的信息存储到多个便

携式记录媒体(10)上。

15. 根据权利要求11至14中的任何一项所述的分布式数据档案

设备，其中，分布式数据档案设备(1)用作在存储数据时，

将庇护目的地信息从原始存放目的地加入到分布并存储在原

始数据服务器(2a，2b，2c)上的单独的分开文件中，并在

原始数据服务器(2a，2b，2c)连续存储分开文件出现困难

时，将分开文件存储到另一个数据服务器上寻求庇护。

16. 一计算机可读记录媒体，其上记录有用于实现根据

1至10中的任何一项所述的分布式数据档案设备的程序。

Images