JP2007122446A - データ分散管理システム - Google Patents

Abstract

【課題】少ない投資コストで、秘密情報の紛失や破壊、秘密情報の漏洩という脅威に対する対策を行う為のデータ分散管理システムを提供する。
【解決手段】データ分散管理システムにおいて、分散ファイル管理者システム１１０は、クライアントシステム１２０が書き込み可能状態であるか否かを確認するクライアント検出プログラム３１１と、記録するデータを予め定めた個数ｎの分割データに分割する秘密分散プログラム３１３と、書き込み可能なＮ個（Ｎ≧ｎ）のクライアントシステム１２０から任意のｎ個を選択し、選択されたｎ個のクライアントシステム１２０の識別子をデータと関連付けて記録するクライアント決定プログラム３１２と、選択されたｎ個のクライアントシステム１２０に対して識別情報および分割データからなるコマンドを送付する更新プログラムとを有する。
【選択図】図３

Description

本発明は、データ分散管理システムに関し、特にサーバ集中型運用モデルにおける管理者システム（サーバ）のデータの分散管理、記録システム（クライアント）の記録領域へのアクセス制御、およびこれらを利用したデータ分散管理に適用して有効な技術に関するものである。

従来、サーバに秘密情報を保管する場合、秘密情報の紛失や破壊という脅威と、秘密情報の漏洩という脅威が考えられる。これらの問題に対応する手段として、秘密分散法がある。その１つが（ｋ，ｎ）閾値秘密分散法であり、任意のｋ（ｋ≦ｎ）個の分散された情報が揃えば、秘密情報Ａを復元できるが、任意のｋ−１個までの分散情報が揃っても秘密情報Ａは復元できないという性質を持つ［例えば、特開２０００−１７２５４８号公報（特許文献１）参照］。
特開２０００−１７２５４８号公報

上述した背景技術では、（ｋ，ｎ）閾値秘密分散法による分配数をｎとするとき、ｎ個の分配される情報を所持する記録システムは決まっている。すなわち、秘密情報Ａをｎ個に分配記録する管理者システムにおいて、記録システムは常に動作しているものと仮定している。

しかしながら、オフィス等で使用されているパソコンを記録システムとして利用する場合、就業時間帯に多くのパソコンは起動していると仮定することはできても、一部のパソコンが起動していないという状態があり得る。

そこで、本発明の目的は、高価なバックアップセンタ（暗号化した上で複数のセンタに多重にデータを保管する、あるいは、秘密分散法により分配したデータを複数のセンタに保管する等）を用意するのではなく、オフィス等で使用されているパソコンの余剰な記録領域を利用することによって、少ない投資コストで、秘密情報の紛失や破壊という脅威と、秘密情報の漏洩という脅威に対する対策を行うことのできるデータ分散管理システムを提供することにある。

また、上述した背景技術は、情報漏洩対策を目的としたデータ管理システムであり、災害等によって一部の記録システムが破壊されるという脅威に対する対策については、あまり考慮されていない。

そこで、本発明の他の目的は、パソコンをシンクライアント（Ｓｅｒｖｅｒ−ｂａｓｅｄ Ｃｏｍｐｕｔｉｎｇ：サーバ集中型運用モデル）とすることで、パソコンの盗難による情報漏洩を防止すると同時に、パソコンの記録装置をバックアップ領域として利用できるようにすることで、災害等によって一部の記録システムが破壊されるという脅威に対する対策を行うことのできるデータ分散管理システムを提供することにある。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

本発明によるデータ分散管理システムは、管理者システムと、管理者システムにネットワークを介して接続され、管理者システムからのコマンドに基づいて分割データの書き込みを行う複数の記録システムを有するデータ分散管理システムであって、管理者システムは、ネットワークに接続された記録システムが書き込み可能状態であるか否かを確認する記録システム検出手段と、記録するデータを予め定めた個数ｎの分割データに分割する分散手段と、書き込み可能なＮ個（Ｎ≧ｎ）の記録システムから任意のｎ個を選択し、選択されたｎ個の記録システムの識別子をデータと関連付けて記録する記録システム決定手段と、選択されたｎ個の記録システムに対して識別情報および分割データからなるコマンドを送付する更新手段とを有するものである。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

本発明によれば、オフィス等で使用されているパソコンの余剰な記録領域を利用することによって、少ない投資コストで、秘密情報の紛失や破壊および秘密情報の漏洩等の脅威の対策を行うことが可能となる。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

＜データ分散管理システムの構成＞
図１〜図７により、本発明の一実施の形態に係るデータ分散管理システムの構成について説明する。図１は本発明の一実施の形態に係るデータ分散管理システムの構成を示す構成図、図２〜図４は本発明の一実施の形態に係るデータ分散管理システムを構成する各部の詳細構成を示す構成図であり、図２は主ファイルシステムの構成を示す構成図、図３は分散ファイル管理者システムの構成を示す構成図、図４はクライアントシステムの構成を示す構成図である。図５〜図７は本発明の一実施の形態に係るデータ分散管理システムで使用される管理ファイルの一例を示す図であり、図５は格納場所管理ファイル、図６は削除対象データ管理ファイル、図７はクライアント管理ファイルを示している。

図１において、データ分散管理システムは、秘密情報のデータＡを保存する主ファイルシステム１００、データＡをｎ個に分割してｎ個の記録システムに分配する分散ファイル管理者システム（管理者システム）１１０、分割した分割データを記録するためのＮ個（Ｎ≧ｎ）のクライアントシステム（記録システム）１２０から構成され、それぞれの装置が、インターネット、公衆網、専用網等のネットワーク１４０を介して接続されている。

各々のシステム間の接続手法は様々であるが、例えば、主ファイルシステム１００と分散ファイル管理者システム１１０との間に、別個の専用網を設けることによりセキュリティーの向上が図ることができる。尚、主ファイルシステム１００と分散ファイル管理者システム１１０は物理的に離れている必要はなく、同一の装置内に共存させても良い。

主ファイルシステム１００は、図２に示すように、バックアッププログラム等が動作する制御部１０２と、Ｎ個のクライアントシステムのデータを保管するための記録部１０３と、ネットワークを介して情報を交換するための通信部１０１とを有している。

制御部１０２において、バックアッププログラム２１１やサーバベースコンピュータ用のサーバプログラム２１２が動作する。また、記録部１０３には、Ｎ個のクライアントシステム用のデータ（２０１，２０２，‥，２０５）が記録されている。

分散ファイル管理者システム１１０は、図３に示すように、秘密情報のデータＡをｎ個に分割してクライアントシステムに送付する為のプログラムが動作する制御部１１２と、分割データの送付先であるｎ個のクライアントシステムの格納場所についての格納場所管理ファイル３０１、ｎ個のクライアントシステムに格納した分割データの削除対象を管理する削除対象データ管理ファイル３０２、複数のクライアントシステムを管理するためのクライアント管理ファイル３０３を保存する記録部１１３と、ネットワークを介して情報を交換するための通信部１１１とを有している。

制御部１１２において、データ格納可能な（クライアントに対してネットワークを介したアクセスが可能であり、分割データを記録できるだけの容量的な空き領域がある）クライアント検出プログラム（記録システム検出手段）３１１と、空き容量の多いクライアントを選択するなどデータ格納対象のクライアント決定プログラム（クライアント決定手段）３１２と、秘密情報のデータＡをｎ個に分割する秘密分散プログラム（分散手段）３１３と、秘密情報のデータＡが更新された場合に過去に記録したデータを更新する為の格納データの更新プログラム（更新手段）３１４とを有している。

また、記録部１１３には、分割データの格納場所を管理する為の格納場所管理ファイル３０１、更新時に削除すべき対象データを管理する為の削除対象データ管理ファイル３０２、クライアントのＰＣを管理する為のクライアント管理ファイル３０３が記録されている。

クライアントシステム１２０は、図４に示すように、分割データを保存する記録部１２３と、記録部１２３に対するアクセス制御プログラム等が動作する制御部１２２と、ネットワークを介して情報を交換するための通信部１２１と、キーボード等の入力部１２４とを有している。

制御部１２２において、記録部１２３へのアクセス制御プログラム４１１とサーバベースコンピュータ用のクライアントプログラム４１２が動作する。

また、記録部１２３には、分割データ（４０１，４０２，‥）が記録されている。この分割データ（４０１，４０２，‥）は、分割データ（４０１，４０２，‥）が記録されているクライアントシステム１２０のクライアント番号を（ｋ）とした場合、分割データが作成されたクライアントシステム１２０のクライアント番号が（ｉ）のデータは、分割データ（ｉ−ｋ）、分割データが作成されたクライアントシステム１２０のクライアント番号が（ｊ）のデータは、分割データ（ｊ−ｋ）として表している。

また、クライアントシステム１２０の記録部１２３に記録されている分割データは、例えば、図５に示すような分散ファイル管理者システム１１０の記録部１１３に記録された格納場所管理ファイル３０１により管理され、また、削除対象となった分割ファイルは、例えば、図６に示すような削除対象データ管理ファイル３０２により管理され、クライアントシステム１２０が起動した際に指定された分割ファイルが削除されるようになっている。

また、クライアントシステム１２０は、例えば、図７に示すような分散ファイル管理者システム１１０の記録部１１３に記録されたクライアント管理ファイル３０３により管理されており、設置場所、空き容量、稼動時刻の統計値などの情報を分散ファイル管理者システム１１０側で把握することができるようになっている。

＜データ分散管理システムの動作＞
次に、図８〜図１３により本発明の一実施の形態に係るデータ分散管理システムの動作について説明する。図８および図１０〜図１３は本発明の一実施の形態に係るデータ分散管理システムの動作を示すフローチャートであり、図８は分散ファイル管理者システムが、主ファイルシステムからバックアップの申込みを受け付けた際の処理を示すフローチャート、図１０はクライアントシステムにおけるデータの更新処理を示すフローチャート、図１１は分散ファイル管理者システムにおいて、データの復元処理を示すフローチャート、図１２および図１３は分割データを格納する為のクライアント選定アルゴリズムを示すフローチャートである。図９は本発明の一実施の形態に係るデータ分散管理システムで使用されるコマンドのデータ構造図である。

まず、図８により、分散ファイル管理者システムが、主ファイルシステムからバックアップの申込みを受け付けた際の処理について説明する。

まず、主ファイルシステム１００のバックアッププログラム２１１は、例えば定時刻にバックアップ機能を起動させるプログラムであり、分散ファイル管理者システム１１０に対してバックアップ処理を依頼する。

そして、分散ファイル管理者システム１１０は、ステップＳ６０１において、主ファイルシステム１００からのバックアップ処理の要求を受け付ける。この際、主ファイルシステム１００は、記録部１０３のクライアントシステム用データ（２０１，２０２，‥，２０５）の何れのデータのバックアップを行うかを指定する。

そして、分散ファイル管理者システム１１０は、ステップＳ６０３において、データ格納可能なクライアント検出プログラム３１１を動作させ、データの保管可能なクライアントリストを入手する。

例えば、分散ファイル管理者システム１１０の管理下にあるクライアントのＩＰアドレスと各クライアントの記録容量を管理しておき、クライアントのＩＰアドレスに対してＰＩＮＧコマンドを送り、そのレスポンスからアクセス可能なクライアントのリストを生成する。

さらに、分散ファイル管理者システム１１０は、ステップＳ６０４においてデータ格納対象のクライアント決定プログラム３１２を動作させ、Ｓ６０３で入手したクライアントリストの中から空き容量の多いものを上位からｎ個だけ選択することによって、ｎ個に分割したデータの保管場所を決定する。

このとき、ステップＳ６０４において決定された保管場所の情報は、記録部１１３の格納場所管理ファイル５０１に記録される。図５に示すように、格納場所管理ファイル５０１のクライアント番号５１１は、主ファイルシステムの記録部１０３に記録されたクライアントシステム用データ（２０１，２０２，‥，２０５）であり、格納場所識別番号５１２は、前記データの分割データ（図５の例では４つに分割）を記録したクライアントのファイルの識別子である。

すなわち、格納場所管理ファイルの１行目は、クライアントシステム１用のデータは、クライアント２，４，６，８の４つに分割して記録されていることを示している。尚、前述の保管場所の決定方法は一例であり、災害等を考慮した決定方法、および、常時稼動が保証されていないクライアントＰＣを保管場所とする場合の保管場所決定方法については後述する。

次に、ステップＳ６０５において、バックアップの対象となるクライアント用のデータが格納されている格納場所の情報を、記録部１１３の削除対象データ管理ファイル５０２に移動する。例えば、図６に示すように、格納場所管理ファイル５０１においてクライアント番号２のデータのバックアップを取る場合、削除対象データ管理ファイル５０２のデータ数５２１の欄には４が加算され、識別番号５２２の欄には“２−１”，“２−５”，“２−７”，“２−ｋ”が追記される。

これは、以降の処理（ステップＳ６０７、ステップＳ６０８）において不必要となった過去に記録したデータを削除するが、削除するタイミングに削除対象ファイルが記録されているクライアントシステムが起動していないことも想定されるため、削除対象データ管理ファイル５０２に不要となったファイルの数とファイルの識別番号を登録しておき、該当のクライアントシステムにアクセスが可能になったタイミングで不要ファイルを削除する為である。

これにより、バックアップ時に過去のバックアップデータを格納したクライアントシステムが動作していない場合であっても、新たなバックアップ処理を行うことが可能である。

次に、分散ファイル管理者システム１１０は、ステップＳ６０６において、秘密分散プログラム３１３を動作させ、バックアップ対象のクライアントシステムのデータＡを決められたｎ個に分割し、ｎ個の分割データを作成する。分割データの作成方法の１つが（ｋ，ｎ）閾値秘密分散法であり、（ｋ，ｎ）閾値秘密分散法を用いると、任意のｋ（ｋ≦ｎ）個の分散された情報が揃えば、元のデータ（秘密情報）Ａを復元できるが、任意のｋ−１個までの分散情報が揃っても元のデータＡは復元できないという性質を持たせることができる。

尚、分割数ｎは固定値でも構わないし、分割対象となるデータ量や記録可能なクライアントの数によって動的に設定しても構わない。また、分割方法については秘密分散法に限定されたものではなく、適切な冗長性を持たせた分割方法であれば、異なるアルゴリズムであっても相応の効果が得られる。

次に、ステップＳ６０７において削除対象データ管理ファイル５０２を読み出し、ステップＳ６０８において削除対象ファイルの削除コマンドを作成し、クライアントシステム１２０に送信する。

次に、分散ファイル管理者システム１１０は、ステップＳ６０９において、秘密分散による格納データの更新プログラム３１４を動作させ、書き込み用コマンドを作成する。書き込み用コマンドは、少なくとも認証用情報および分割データで構成されており、クライアントシステムにおいて認証用情報の真正性（書き込み用コマンドの正当性）を確認し、コマンドの正当性が認められた場合は当該クライアントシステムへの書き込みが許可される。尚、コマンドのデータ構造については後述する。

ステップＳ６０９において作成された書き込みコマンドは、クライアントシステム１２０に送付され、クライアントシステム１２０は、このコマンドを受け付けるかどうかを判断する。そして、クライアントシステム１２０は、判断の結果データを分散ファイル管理者システム１１０に返送する。

分散ファイル管理者システム１１０は、ステップＳ６１０において、クライアントシステム１２０の結果データを受け取り、書き込みが失敗した場合（コマンドが受け付けられなかった場合）はステップＳ６０３に遷移し、分割データの保管場所を決める処理を再度行う。

なお、ステップＳ６０８において書き込みに失敗することも可能性としては考えられるが、原因としての記録装置の障害やネットワークの障害は、コンピュータシステム一般の障害であり、本発明とは別に対策されるものであるため省略する。

ここで、ステップＳ６０４においてデータの保管場所を決めるためのクライアント管理ファイル３０３の情報およびコマンドのデータ構造について説明する。

クライアント管理ファイル３０３は、図７に示すように、クライアント番号７０２と、設置場所の識別子７０３と、空き容量７０４と、稼動時刻の統計値７０５とから構成されている。先に、データの設置場所を決める基準として、書き込み時にアクセス可能であり、空き容量が大きいものから選択する例を述べた。この選択方法は合理的であるが、地震や火災等の災害からデータを守るという観点では、設置場所が例えば東京にある記録装置と、大阪にある記録装置等にデータを分散して保存することが望ましい。

そこで、設置場所に識別子を付けておき、選択される記録装置が多数の場所に分散されるようにする。

すなわち、第ｋ番目に選択された記録装置がエリアＡに設置されている場合、ｋ＋１番目に選択する記録装置はエリアＡを除くエリアの中で、最も空き容量７０４が多いものを選択する。（ｋ，ｎ）閾値秘密分散法を用いると、任意のｋ（ｋ≦ｎ）個の分散された情報が揃えば、元のデータ（秘密情報）Ａを復元できるので、エリアＡに設置された記録装置が災害で破壊されたとしても、それ以外のエリアに設置された記録装置にｋ個の分割データが残されていれば、元のデータＡを復元することができる。

なお、設置場所は一般的には、地理的な位置を示すが、災害に対する耐性によってさらに細分化しても良い。

なお、稼動時刻の統計値７０５は、例えば実際に稼動していた時間を測定し、稼動開始時刻と稼動終了時刻について平均値を求めたものである。

また、コマンドのデータ構造は、図９に示すように、署名データ８０１と、コマンド種別８０２と、記録装置識別番号８０３と、ファイル名８０４と、データ長８０５と、データ部８０６で構成されている。署名データ８０１は、クライアントシステム１２０のアクセス制御プログラム４１１が、コマンドを受け付けるかどうかの判断をするための認証用情報であり、分散ファイル管理者システム１１０のみが知る秘密情報が記載されている。

なお、署名データ８０１は、秘密情報を分散ファイル管理者システム１１０の秘密鍵で暗号化した（公開鍵暗号方式による電子署名を付与した）ものでも良い。さらに、当該コマンドが改ざんされてないことを保障するため、コマンドのハッシュ値を含んでも良い。

コマンド種別８０２は、記録領域に対する動作を記載したものであり、書き込み（ＷＲ）、削除（ＤＬ）、読み出し（ＲＤ）の３種類がある。記録装置識別番号８０３は、データの書き込み等を行うクライアントシステムの番号である。ファイル名８０４は、分散ファイルに付けられた識別子であり、格納場所管理ファイル５０１の格納場所識別番号５１２が相当する。また、データ長８０５は、データ部８０６のデータサイズを示している。

次に、図１０により、クライアントシステム１２０におけるデータの更新処理について説明する。

まず、ステップＳ９０１において、クライアントシステム１２０は分散ファイル管理者システム１１０のコマンドを受け付け、ステップＳ９０２においてコマンドの正当性を検証する。コマンドの正当性とは、図９に示す署名データ８０１が分散ファイル管理者システム１１０で発行されたものであることを検証することであり、例えば、署名データが分散ファイル管理者システム１１０の秘密鍵で電子署名が付与（暗号化）されているのであれば、分散ファイル管理者システム１１０の公開鍵を入手し、署名データの真正性を確認する。

また、ステップＳ９０２において、コマンドの正当性が確認できなかった場合は、ステップＳ９１０において、コマンドを無効として「失敗」を返信する。ステップＳ９０２において、正当性が確認できた場合は、ステップＳ９０３においてコマンド部を要素に分離する。

次に、ステップＳ９０４において、コマンドが「読み出し（ＲＤ）」であるかを確認し、ステップＳ９０４において、コマンドが「読み出し（ＲＤ）」である場合、ステップＳ９０５において、ファイル名８０４とデータ長８０５を用いて分割データの読み込みを行い、分散ファイル管理者システム１１０に返信する。

また、ステップＳ９０４において、コマンドが「読み出し（ＲＤ）」でない場合、ステップＳ９０６において、コマンドが「書き込み（ＷＲ）」であるかを確認し、ステップＳ９０６において、コマンドが「書き込み（ＷＲ）」である場合、ステップＳ９０８に遷移し、ファイル名８０４とデータ長８０５とデータ部８０６を用いて、分割データを記録部１２３に記録する。

また、ステップ９０６において、コマンドが「書き込み（ＷＲ）」でない場合、コマンドは「削除（ＤＬ）」であるから、ステップＳ９０７において、ファイル名８０４とデータ長８０５を用いて、不要になった分割データを削除する。

ステップＳ９０５、ステップＳ９０８、ステップＳ９０７での処理終了後、ステップＳ９１１において、結果データとして「成功」を分散ファイル管理者システムに返信する。

次に、図１１により、分散ファイル管理者システム１１０において、データの復元処理について説明する。

まず、ステップＳ１００１において、復元するクライアントシステム１２０のデータが格納されている場所データを読み込む。すなわち、格納場所管理ファイル５０１を用いて、クライアント番号５１１に対応した格納場所識別番号５１２を読み込む。また、このときカウンタ（ｘ）を零に設定する。

次に、ステップＳ１００２において読み込みコマンドを作成する。すなわち、図９に示すコマンドのフォーマットに従い、コマンド種別８０２に「読み出し（ＲＤ）」を設定し、記録装置番号８０３に格納場所識別番号５１２の記録装置番号を設定し、ファイル名８０４に格納場所識別番号５１２を設定する。読み出しコマンドの場合は、データ長８０５やデータ部８０６は不要である。

また、以上のデータに対する電子署名データを署名データ８０１に付与する。例えば、図５に示す格納場所管理ファイルにおいて、クライアント番号５１１が「２」のクライアントシステム１２０のデータを復元する場合、最初にクライアントシステム１（１２０）に記録されているファイル２−１に対する読み込みコマンドを作成することになる。

ステップＳ１００３において、読み出しコマンドをクライアントシステム１（１２０）に送信すると、クライアントシステム１（１２０）からファイル２−１が返信されてくる。このとき、カウンタ（ｘ）を１つ加算する。

次に、ステップＳ１００４において、クライアントシステム２（１２０）のデータを復元するための全ての分割データを読み込んだかを確認し、ステップＳ１００４で全ての分割データを読み込んでいない場合は、ステップＳ１００２，ステップＳ１００３の処理を繰り返し、ファイル２−１，ファイル２−５，ファイル２−７，ファイル２−ｋについての読み込み処理を繰り返す。

また、ステップＳ１００４で全ての分割データを読み込んだ場合は、ステップＳ１００５において、復元に必要なｋ個の分割データが読み込めたかどうかをチェックし、ステップＳ１００５において、ｋ個以上の分割データが揃った場合は、図８のステップＳ６０６に対応した分割データの復元を行うことで、クライアントシステム２（１２０）のデータを復元する。

逆に、ステップＳ１００５において、カウンタｘ＜ｋの場合は、クライアントシステム２（１２０）のデータを復元することができないので、ステップＳ１００７において、エラーメッセージを表示する。

なお、分割データが（ｋ，ｎ）閾値秘密分散法で作成されている場合、任意のｋ（ｋ≦ｎ）個の分散された情報が揃えば、元のデータ（秘密情報）Ａを復元できるので、格納場所管理ファイル５０１に記載された全ての分割データを読み出す必要はなく、アクセス可能な任意のｋ個を選択して読み出せば良い。

次に、図１１および図１２により、分割データを格納する為のクライアント選定アルゴリズムについて説明する。

まず、前提条件として、クライアントの総数をＮ個、これらのクライアントが設置されているエリアがＭ箇所（例えば、札幌、仙台、東京、名古屋、大阪、岡山、福岡、鹿児島の８個所の場合はＭ＝８）に分かれているとする。また、ステップＳ１１０５において、カウンタａ＝１，ｆ＝１とする。

次に、ステップＳ１１１０において、バックアップの対象であるクライアントシステム１２０の識別番号（全てのクライアントシステム１２０にはユニークな識別番号が１から順番に付与されているものとする）を変数ｂに設定する。

また、Ｆ（１）に当該クライアントシステム１２０を識別する為の名称を記録する（バックアップ対象のクライアントシステム１２０には必ず分割データの１つが記録されるものとした場合）。

また、変数ｃに当該クライアントシステム１２０が設置されているエリアの番号（Ｍ個のエリアには連続した識別番号が付けられている）を設定する。

次に、ステップＳ１１１５において変数ｂの値に１を加算する。また、この加算によって、変数ｂがクライアントシステム総数Ｎを超えた場合（すなわち、ｂ＝Ｎ＋１の場合）、この識別番号に対応するクライアントシステム１２０は存在しないので、ステップＳ１１２０において変数ｂを１に設定する。

ステップＳ１１２５において、識別番号がｂであるクライアントシステム１２０が設置されたエリアの番号を変数ｄに設定する。また、変数ｃがＭであった場合、変数ｃを零に設定する。

ステップＳ１１３０において、変数ｄ＝ｃ＋１であった場合、図１３に示すサブルーチンＡＡに処理を移し、ｄ≠ｃ＋１の場合は、ステップＳ１１１５に処理を戻す。ステップＳ１１１５からステップＳ１１３０のループにより、異なるエリアに設置されたクライアントシステム１２０を選択することができる。

次に、図１２に示すステップＳ１２０５において、クライアントを選択するサブルーチン処理を開始する。

まず、ステップＳ１２１０において、識別番号がｂのクライアントシステム１２０（以降ではクライアントｂと略す）の稼動開始時刻を変数ｅ１に設定し、稼動終了時刻を変数ｅ２に設定する。

ここで、稼動開始時刻および稼動終了時刻は、各クライアントの起動時刻および終了時刻の最近（例えば、過去１０日間）の平均値とする。また、定数ｔ１は始業時刻、定数ｔ２は終業時刻とし、バックアップ処理やバックアップからの復元処理は、ｔ１からｔ２の間（すなわち、定時就業時間帯）で行われるものとする。

次に、ステップＳ１２１５において、クライアントｂの稼動時間と定数ｔ１，ｔ２を比較し、定時就業時間帯の全ての時刻においてクライアントｂは稼動している（ｅ１≦ｔ１、且つ、ｔ２≦ｅ２）場合は、ステップＳ１２４５に遷移し、定時就業時間帯の全ての時刻においてクライアントｂは稼動していない場合は、ステップＳ１２２０に遷移する。

また、ステップＳ１２２０において、クライアントｂが始業時刻より前から稼動しているが終業時刻前に終了している場合を識別し、この場合はステップＳ１２３５において終了時刻ｅ２をｔ２に設定し、ステップＳ１２４５に遷移する。

さらに、ステップＳ１２２５において、クライアントｂが終業時刻後も稼動しているが始業時刻より後に稼動している場合を識別し、この場合はステップＳ１２４０において始業時刻ｅ１をｔ１に設定し、ステップＳ１２４５に遷移する。

いずれでもない場合、すなわちｔ１≦ｅ１、且つ、ｅ２≦ｔ２場合は、ステップＳ１２３０においてサブルーチンを終了し、図１２に示すステップＳ１１３０に処理を戻す。

また、ステップＳ１２４５では、Ｆ（ｆ）にクライアントｂを識別する為の名称を記録する。

さらに、ステップＳ１２５０において、カウンタａが分割数ｎに等しいなら、ステップＳ１２５５において処理を終了し、そうでないなら変数ａに１を加算して、ステップＳ１２６５においてサブルーチンを終了し、図１２に示すステップＳ１１３０に処理を戻す。

図１３に示すサブルーチン処理によって、定時就業時間帯の全ての時刻においていずれかのクライアントシステム１２０が稼動しているという組み合わせを選択することができる。

なお、以上に述べた処理では、クライアントシステム１２０の記録部１２３には、分割データのみが記録されている場合を述べたが、クライアント自身の入力部から書き込みができる領域が記録部に存在していても、勝手に削除できないアクセス制御された領域が設定されていれば構わない。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

本発明は、データの分散管理システムに関し、特にサーバ集中型運用モデルにおける管理者システム（サーバ）のデータの分散管理、記録システム（クライアント）の記録領域へのアクセス制御、およびこれらを利用したデータ分散管理に適用可能である。

本発明の一実施の形態に係るデータ分散管理システムの構成を示す構成図である。 本発明の一実施の形態に係るデータ分散管理システムを構成する主ファイルシステムの構成を示す構成図である。 本発明の一実施の形態に係るデータ分散管理システムを構成する分散ファイル管理者システムの構成を示す構成図である。 本発明の一実施の形態に係るデータ分散管理システムを構成するクライアントシステムの構成を示す構成図である。 本発明の一実施の形態に係るデータ分散管理システムで使用される格納場所管理ファイルの一例を示す図である。 本発明の一実施の形態に係るデータ分散管理システムで使用される削除対象データ管理ファイルの一例を示す図である。 本発明の一実施の形態に係るデータ分散管理システムで使用されるクライアント管理ファイルの一例を示す図である。 本発明の一実施の形態に係るデータ分散管理システムが、主ファイルシステムからバックアップの申込みを受け付けた際の処理を示すフローチャートである。 本発明の一実施の形態に係るデータ分散管理システムで使用されるコマンドのデータ構造図である。 本発明の一実施の形態に係るデータ分散管理システムのクライアントシステムにおけるデータの更新処理を示すフローチャートである。 本発明の一実施の形態に係る分散ファイル管理者システムにおいて、データの復元処理を示すフローチャートである。 本発明の一実施の形態に係るデータ分散管理システムの分割データを格納する為のクライアント選定アルゴリズムを示すフローチャートである。 本発明の一実施の形態に係るデータ分散管理システムの分割データを格納する為のクライアント選定アルゴリズムを示すフローチャートである。

符号の説明

１００…主ファイルシステム、１０１…通信部、１０２…制御部、１０３…記録部、１１０…分散ファイル管理者システム、１１１…通信部、１１２…制御部、１１３…記録部、１２０…クライアントシステム、１２１…通信部、１２２…制御部、１２３…記録部、１２４…入力部、１４０…ネットワーク、２１１…バックアッププログラム、２１２…サーバプログラム、３０１…格納場所管理ファイル、３０２…削除対象データ管理ファイル、３０３…クライアント管理ファイル、３１１…データ格納可能なクライアント検出プログラム（記録システム検出手段）、３１２…データ格納対象のクライアント決定プログラム（記録システム決定手段）、３１３…秘密分散プログラム（分散手段）、３１４…秘密分散による格納データの更新プログラム（更新手段）、４１１…アクセス制御プログラム、４１２…クライアントプログラム、５０１…格納場所管理ファイル、５０２…削除対象データ管理ファイル、５１１…クライアント番号、５１２…格納場所識別番号。

Claims (5)

1. 管理者システムと、前記管理者システムにネットワークを介して接続され、前記管理者システムからのコマンドに基づいて分割データの書き込みを行う複数の記録システムを有するデータ分散管理システムであって、
   前記管理者システムは、前記ネットワークに接続された前記記録システムが書き込み可能状態であるか否かを確認する記録システム検出手段と、記録するデータを予め定めた個数ｎの前記分割データに分割する分散手段と、書き込み可能なＮ個（Ｎ≧ｎ）の記録システムから任意のｎ個を選択し、選択されたｎ個の前記記録システムの識別子を前記データと関連付けて記録する記録システム決定手段と、選択されたｎ個の前記記録システムに対して識別情報および前記分割データからなるコマンドを送付する更新手段とを有することを特徴とするデータ分散管理システム。
2. 請求項１記載のデータ分散管理システムにおいて、
   前記記録システム検出手段は、前記記録システムが書き込み可能状態であるか否かを確認する第１の情報を生成し、前記管理者システムが管理する全ての前記記録システムへ第１の情報を送付し、前記記録システムからの前記第１の情報に対応する第２の情報を受け、前記第２の情報に基づいて、前記記録システムが書き込み可能状態であるか否かを確認することを特徴とするデータ分散システム。
3. 請求項１記載のデータ分散管理システムにおいて、
   前記記録システム決定手段は、前記ｎ個を選択する場合に、前記記録システムの稼動時間の統計値の情報に基づいて選択することを特徴とするデータ分散システム。
4. 請求項１記載のデータ分散管理システムにおいて、
   前記記録システム決定手段は、前記ｎ個を選択する場合に、前記記録システムの設置場所の情報に基づいて選択することを特徴とするデータ分散システム。
5. 請求項１記載のデータ分散管理システムにおいて、
   前記分散手段は、秘密分散法を用いて、記録するデータを分割することを特徴とするデータ分散システム。
   

Images