JP3936839B2 - データ保管システム - Google Patents
データ保管システム Download PDFInfo
- Publication number
- JP3936839B2 JP3936839B2 JP2000388997A JP2000388997A JP3936839B2 JP 3936839 B2 JP3936839 B2 JP 3936839B2 JP 2000388997 A JP2000388997 A JP 2000388997A JP 2000388997 A JP2000388997 A JP 2000388997A JP 3936839 B2 JP3936839 B2 JP 3936839B2
- Authority
- JP
- Japan
- Prior art keywords
- file
- access log
- storage medium
- data
- access
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、光ディスクやＤＶＤ，磁気ディスクなどの記憶媒体によるデータのライブラリを用いたデータ保管システムに係り、特に、データの改ざんがあったことを検知できるようにしたデータ保管システムに関する。
【０００２】
【従来の技術】
近年、メモリに格納されている電子情報を原本と見なすようになってきており、このため、かかる原本の改ざんということが大きな問題となってきている。かかる原本を管理し、要求に応じてクライアントにこの原本を発行するようにしたシステムでは、かかる発行済みの原本をクライアント端末に格納し、これをクライアントが何回も使用できるようにしているが、何回も使用されているうちに、この発行済み原本はその使用によって誤って改ざんされてしまうこともある。
【０００３】
このような改ざんを検証できるようにした従来の技術の一例が、例えば、特開平１１ー２３８０４９号公報に開示されている。これは、発行済みの原本が保管，管理されているもとの原本と同一か否かを確認することができるようにしたものであって、以下、この従来技術について説明する。
【０００４】
この従来技術は、サーバに原本が保存されており、ワークステーションやパーソナルコンピュータなどのクライアント端末からこれを参照（発行）することができるようにしたものであって、所定の要約関数を用いてクライアントへの発行済み原本ともとの原本との同一性を検証するものである。具体的には、原本発行元のサーバ側で、予めもとの原本の情報に所定の要約関数を適応して生成される第１の要約情報を用意しておき、一方、クライアント側では、検証が必要な場合、発行済み原本に上記所定の要約関数を適用して第２の要約情報を生成し、サーバ側で用意されている第１の要約情報を取り込んでこれと第２の要約情報とを照合する。この照合の結果、第１，第２の要約情報が一致するときには、発行済み原本は改ざんされていないことになり、一致しない場合には、発行済み原本は改ざんされていることになる。
【０００５】
しかし、かかる従来技術は、所詮ソフト的にネットワーク上でこれら原本の同一性を保証するものであって、要約関数を書き換えることも不可能ではない。このように要約関数の書き換えがあると、改ざんされていなくとも、発行済み原本が改ざんされたものとみなされてしまうことになるが、また、改ざんされたにもかかわらず、発行済み原本がもとの原本と同一とみなされてしまうもあり得る。このように、要約関数が書き換えられた場合には、かかる要約関数を用いて発行済み原本の要約情報を生成し、この要約情報を用いて発行済み原本のもとの原本の要約情報と照合すること自体意味のないものとなる。
【０００６】
【発明が解決しようとする課題】
一方、追記制御される記憶媒体（以下、追記形の記憶媒体という）からなるライブラリを用い、これで電子情報としての原本を保存，管理するデータ保管システムでは、かかる原本の改ざんを防止するために、原本としてのファイルの作成や更新，参照，削除などのためのライブラリへのアクセスの履歴（アクセスログ）を残すことが行なわれている。新たなファイルを作成してライブラリに格納するときも（これを作成（Create）という）、ライブラリに格納されているファイルの内容を変更するときも（これを更新（Update））、ライブラリに格納されているファイルを読み取るときも（これを参照（Reference）という）、また、ライブラリに格納されている不要なファイルを除くときも（これを削除（Delete）という）、ライブラリにアクセスする。アクセスログはライブラリへのこのようなアクセスの履歴を表わすものであって、アクセス毎にこの目的（作成，更新，参照及び削除）やファイル名，その作成日時などが記録される。
【０００７】
ここで、このライブラリは追記形の記憶媒体を用いるものであるから、作成されたファイルは、それが更新されて新たなファイルとなっても、そのままライブラリに残るし、また、ファイルが更新されても、更新前のファイルもそのままライブラリに残る。このファイルが不要となって削除の処理がなされても、このファイルは、作成時のものやその後更新されたときのものがそのまま残っている。このため、ライブラリでの作成されたときのファイルや更新されたファイルには、夫々に対応してアクセスログが設定されている。
【０００８】
ライブラリでのファイルとアクセスログとの間にこのような関係があることから、アクセスログによってライブラリのファイルの管理を行なうことができ、ライブラリ内のファイルを改ざんしたときには、その改ざんされたファイルがライブラリに格納されるとともに、これに対するアクセスログも設定されることになるので、このアクセスログからファイルの改ざんを検知することが可能となる。
【０００９】
しかしながら、アクセスログも改ざんされる可能性がある。このように改ざんされても、従来では、改ざんされたアクセスログも含めてライブラリのアクセス履歴を把握するものであるから、アクセスログの改ざんを検知することができなかった。
【００１０】
本発明の目的は、かかる問題点を解消し、ライブラリのデータの改ざんの検知のために設けられたアクセスログの改ざんを検知できるようにしたデータ保管システムを提供することにある。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明は、データが書き込まれる追記形の記憶媒体からなる記憶媒体ライブラリと、記憶媒体ライブラリに書き込まれるデータに対するアクセスログが追記されるアクセスログ保存用記憶媒体とを備えたデータ保管システムにおいて、記憶媒体ライブラリに記憶されたデータに対するアクセスログ保存用記憶媒体でのアクセスログの有無を判定することにより、アクセスログ保存用記憶媒体での改ざんの有無を検出するものである。
【００１２】
また、本発明は、上記アクセスログ保存用記憶媒体でのアクセスログに対する記憶媒体ライブラリでのデータの有無を判定することにより、アクセスログ保存用記憶媒体での改ざんの有無を検出するものである。
【００１３】
そして、アクセスログ保存用記憶媒体に記憶されるアクセスログ毎に検証フラグを設定し、アクセスログに対するデータが記憶媒体ライブラリに存在するか否かの検証をアクセスログに対して行なうことにより、アクセスログに対する前記データが記憶媒体ライブラリに存在するとき、検証フラグを検証済みとし、検証フラグが検証済みであるアクセスログに対しては、検証処理を省略するものである。
【００１４】
上記アクセスログ保存用記憶媒体は、書き換え可能な記憶媒体であっても、また、追記形の記憶媒体であってもよい。
【００１５】
【発明の実施の形態】
以下、本発明の実施形態を図面を用いて説明する。
図１は本発明によるデータ管理システムの一実施形態を示す概略構成図であって、１はサーバ、１ａは制御ソフト、１ｂは運用ＤＢ（データべース）、２はアレイディスク、２ａはハードディスク、３はディスクライブラリ、３1〜３nは光ディスク、４ａ，４ｂはインターフェースケーブルである。
【００１６】
同図において、このシステムでは、ＰＣ（パーソナルコンピュータ）もしくはワークステーションからなるサーバ１に、１または複数の高速アクセスが可能なハードディスクからなるアレイディスク２と複数の光ディスクからなるディスクライブラリ３とが夫々インターフェースケーブル４ａ，４ｂを介して接続されている。また、サーバ１内には、アレイディスク２とディスクライブラリ３とのアクセス制御を行なう制御ソフト１ａと、ディスクライブラリ３でのファイルのディレクトリ構造を管理するためのファイル管理情報を保持する運用ＤＢ１ｂが設けられている。
【００１７】
ここで、アレイディスク２とディスクライブラリ３とで階層記憶を構成している。
【００１８】
即ち、サーバ１で予めインストールされた制御ソフト１ａの制御により、ディスクライブラリ３の光ディスクを所定数ずつグループ化して夫々のグループをボリュームとしている。図１では、一例として、光ディスク３1〜３nのグループを１つのボリュームとしている。また、制御ソフト１ａは、アレイディスク２の夫々のハードディスクを、キャッシュメモリとして、ディスクライブラリ３内の夫々のボリュームに割り当てている。ここでは、アレイディスク２内のハードディスク２ａを光ディスク３1〜３nのボリュームに該当するキャシュメモリとする。
【００１９】
かかる構成により、夫々のボリュームでは、そこに格納されているファイルのうち、アクセス頻度が高いファイルは、光ディスクから読み出されてそのボリュームに該当するキャッシュメモリに格納しておき、このファイルの外部への読取りなどはこのキャッシュメモリで行なわれるようにし、アクセス頻度が低いファイルは直接光ディスクから読み取るようにする。このようにして、全体的なアクセス性能を向上させる階層記憶管理を実現している。
【００２０】
次に、図２により、光ディスク３1〜３nとキャッシュメモリとしてのハードディスク２ａとからなるボリューム５の動作について説明する。
【００２１】
同図において、ボリューム５に対してファイル８のwrite（書込み）処理６が発生した場合には、制御ソフト１ａ（図１）の制御により、まず、このファイル８がキャッシュメモリ２ａに書き込まれる（処理Ｓ１）。そして、このときの日時（更新日時）から予め設定されている一定時間経過すると、制御ソフト１ａは、このファイル８はデータが確定したものとし、運用ＤＢ１ｂ（図１）のファイル管理データを参照して、光ディスク３1〜３nのうちの該当する光ディスクにこのファイル８を格納する（処理Ｓ２）。以上の動作を、光ディスクのファイル更新という。
【００２２】
ボリューム５に対してファイル８のread（読出し）処理７が発生した場合には、制御ソフト１ａの制御により、このファイル８がキャッシュメモリ２ａに存在するときには、このキャッシュメモリ２ａから読み出し（処理Ｓ３）、キャッシュメモリ２ａに存在しなければ、制御ソフト１ａは、運用ＤＢ１ｂのファイル管理情報を参照することにより、光ディスク３1〜３nのうちの該当する光ディスクを探索し、該当する光ディスクからファイル８を読み出してキャッシュメモリ２ａに格納する（処理Ｓ４）。そして、このキャッシュメモリ２ａからこのファイル８を外部に読み出す（処理Ｓ３）。このように光ディスクからファイル８がキャッシュメモリ２ａに格納されても、この光ディスクに格納されているこのファイル８は有効である。キャッシュメモリ２ａに格納されているファイル８が光ディスクに戻されると、上記該当する光ディスクに残っているファイル８が更新されたことになって無効となり、キャッシュメモリ２ａから戻されるファイル８は、更新されたファイルとして、上記該当する光ディスクの空き領域、もしくは同じボリューム５の他の光ディスクの空き領域に格納される。従って、次にこのファイル８が読み出されるときには、この更新されたファイル８が読み出されることになる。
【００２３】
図３は図１におけるディスクライブラリ３の概略構成図であって、９，１０はセル群、１１は光ディスク、１２，１２ａ，１２ｂ，１３，１３ａはセル、１４はアクセッサ、１５，１６はドライブである。
【００２４】
同図において、ここでは、ディスクライブラリ３の２つのセル群９，１０を示しているが、かかるセル群としては、１個でもよいし、３個以上でもよい。
【００２５】
セル群９は夫々が光ディスク１１を有する複数のセル１２からなり、同様に、セル群１０も夫々が光ディスク１１を有する複数のセル１３からなっている。また、セル群９には、そこでの光ディスク１１を駆動するためのドライブ１５が備え付けられており、同様に、セル群１０にも、そこでの光ディスク１１を駆動するためのドライブ１６が備え付けられている。また、アクセッサ１４は指定されたセル１２または１３とドライブ１５または１６との間で光ディスク１１を搬送するものであり、セル群９，１０で共通に使用される。
【００２６】
かかるディスクライブラリ３において、例えば、セル１２ａ，１３ａ，１２ｂの順にアクセスの要求があったとすると、制御ソフト１ａの制御のもとに、次のようにシーケンス処理が行なわれる。
【００２７】
（１）まず、アクセッサ１４がセル群９のセル１２ａまで移動し、このセル１２ａの光ディスク１１を取り込んでドライブ１５まで搬送し（処理Ｓ１０）、この光ディスク１１をドライブしてＩ／Ｏ処理を行なう。
【００２８】
（２）上記処理Ｓ１０が終わると、アクセッサ１４はセル群１０のセル１３ａまで移動し、このセル１３ａの光ディスク１１を取り込んでドライブ１６まで搬送する（処理Ｓ１１）。ドライブ１６は、ドライブ１５でのセル１２ａからの光ディスク１１のドライブの終了を待って、このセル１３ａからの光ディスク１１をドライブし、Ｉ／Ｏ処理を行なう。
【００２９】
（３）ドライブ１５が先のセル１２ａからの光ディスク１１のドライブを終了すると、アクセッサ１４がドライブ１５での光ディスク１１を取り込んでセル１２ａまで搬送し（処理Ｓ１２）、このセル１２ａに返す。
【００３０】
（４）次いで、アクセッサ１４はセル群９のセル１２ｂまで移動し、このセル１２ｂの光ディスク１１を取り込んでドライブ１５まで搬送する（処理Ｓ１３）。そして、ドライブ１５は、ドライブ１６でのセル１３ａからの光ディスク１１のドライブの終了を待ってこのセル１２ｂからの光ディスク１１をドライブし、Ｉ／Ｏ処理を行なう。
【００３１】
次に、ディスクライブラリ３でのボリュームの通常のデータアクセス制御について説明する。
【００３２】
図１において、ディスクライブラリ３でのファイルのディレクトリ構造は、ファイル管理情報として、運用ＤＢ１ｂに保持されており、ファイルは、通常、ディスクライブラリ３の光ディスクに保存されている。これら光ディスクは追記形の記憶媒体であるため、光ディスクに対してファイルの更新（即ち、アレイディスク２のキャッシュメモリから光ディスクへの更新済みファイルの書込み）があると、ディスクライブラリ３には、同じ内容のファイルが複数存在することになる。
【００３３】
そこで、この実施形態では、これら複数存在する同一ファイルのうちの有効なファイル（最終の更新によるファイル）のデータアドレスをファイル管理情報として運用ＤＢ１ｂに保持し、このデータアドレスを用いることにより、目的する有効なファイルをアクセスすることができるようにしている。この点について、以下、図４により説明する。
【００３４】
同図において、いま、ボリューム５の３個の光ディスク３1，３2，３3を対象とし、光ディスク３1，３2では、データ記憶可能領域の全体にデータ（ファイル）が記憶されており、光ディスク３3では、そのデータ記憶可能領域の一部にデータが記憶されていて記憶領域１７をなし、それ以外の領域は空き領域となっている。
【００３５】
そこで、いま、光ディスク３1に格納されているファイル１８の更新要求１０１があったとすると、制御ソフト１ａ（図１）の制御のもとに、このファイル１８を更新した新たなファイル（更新済みファイル）１８’を光ディスク３3の記憶領域１７に続く空き領域に書き込み（処理Ｓ２０）、運用ＤＢ１ｂに保持されているファイル管理情報としての光ディスク３1でのファイル１８の物理アドレス（以下、ＬＢＡという）を光ディスク３3でのファイル１８’のＬＢＡに変更する（処理Ｓ２１）。これにより、光ディスク３1でのファイル１８は無効となり、これに代わって、光ディスク３3でのファイル１８’が有効となる。しかし、このファイル１８は光ディスク３1に記憶されたままで残される。
【００３６】
また、光ディスク３1に保存されているファイル１９が長時間にわたる不使用のため、このファイルの削除要求１０２があると、制御ソフト１ａ（図１）の制御のもとに、運用ＤＢ１ｂでのファイル管理情報でのこのファイル１９に関する情報が抹消される（処理Ｓ２２）。これにより、ファイル１９は無効となり、光ディスク３1から削除されたことになる。この場合も、このファイル１９は光ディスク３1に記憶されたままで残される。
【００３７】
さらに、ユーザからボリューム５に新たなファイル２０を作成する要求１０３があった場合には、制御ソフト１ａ（図１）の制御のもとに、この新たなファイル２０が光ディスク３3の記憶領域１７に続く空き領域に書き込み（処理Ｓ２３）、運用ＤＢ１ｂに保持されているファイル管理情報に、光ディスク３3の空き領域に格納されたファイル１９に関するＬＢＡなどのファイル管理情報が追加される（処理Ｓ２４）。
【００３８】
なお、運用ＤＢ１ｂのファイル管理情報としては、ファイル更新，削除，作成などを行なったユーザのユーザ情報（アクセスユーザ情報）も記録されている。これにより、誰がファイルの作成，更新などを行なったかを検証することができる。
【００３９】
次に、図５により、この実施形態でのアクセスログの設定について説明する。
【００４０】
同図において、ここでは、ボリューム５の３個の光ディスク３1，３2，３3を対象とする。また、アクセスログ保存用記憶媒体２１も設けられている。かかる記憶媒体２１としては、追記形の記憶媒体であってよいが、好ましくは、磁気ディスクや磁気テープなどの書き換え可能な記憶媒体を用いる。これは、繰り返しアクセスログの書込みができるようにするためである。但し、書き換え可能な記憶媒体を用いる場合であっても、アクセスログの書込みは、これから説明するように、追記方式で行なう。
【００４１】
いま、光ディスク３1，３2，３3のデータ記憶可能領域が全て空き領域の状態にあり、この状態でファイル０の作成の要求２０２があると、制御ソフト１ａ（図１）の制御のもとに、先頭の光ディスク３1の空き領域の先頭にこのファイル０の書込みが行なわれ（処理Ｓ３０。なお、この場合、上記のように、キャッシュメモリ２ａ（図１）を介してこの書込みが行なわれる）、これとともに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、新規なファイル０の作成（ＣＲ）を示すアクセスログ２２ａが書き込まれる（処理Ｓ３１）。アクセスログ保存用記憶媒体２１に書き込まれるアクセスログは、後述するように、検証されるが、この場合、このアクセスログ２２ａには、これが未検証であることを示す検証フラグ（以下では、これを検証フラグ「未」として示すことにする）が設定される。
【００４２】
その後、同様にして、光ディスク３1にファイルの作成などが順次なされ(これに対するアクセスログは省略している）、光ディスク３1全体が塞がって、ファイル０の更新の要求２０３があると、制御ソフト１ａの制御のもとに、光ディスク３1からファイル０が読み出され（処理Ｓ３２）、その後、このファイル０がボリューム５の空き領域の先頭（この場合、光ディスク３2のデータ記憶可能領域の先頭）に書き込まれる（処理Ｓ３３）。そして、これとともに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、ファイル０の更新（ＵＰ）を示すアクセスログ２２ｂが書き込まれる（処理Ｓ３４）。この場合も、このアクセスログ２２ａには、これが未検証であることを示す検証フラグ「未」が設定される。
【００４３】
この更新とは、ボリューム５に既に格納されているファイルを別の場所（アドレス）に入れ換える（更新する）ことであり、これは、先に説明したように、アクセス頻度が高いファイルを光ディスクから読み出してアレイディスク２のキャッシュメモリ２ａに移し換え、このファイルを光ディスクから読み出す代わりにこのキャッシュメモリ２ａから読み出すようにする場合、その後、このキャッシュメモリ２ａから光ディスクに戻す場合に行なわれる。
【００４４】
外部からのファイルの要求に対して直接ボリュームをアクセスすることを参照というが、ファイル０の参照の要求２０４があると、制御ソフト１ａの制御のもとに、この場合、光ディスク３2に保存されている更新されたファイル０が読み出され（処理Ｓ３５）、これとともに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、ファイル０の参照（ＲＦ）を示すアクセスログ２２ｃが書き込まれる（処理Ｓ３６）。これに対しては、検証フラグは設定されない。
【００４５】
ファイル０の削除の要求２０５があると、制御ソフト１ａの制御のもとに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、ファイル０の削除（ＤＬ）を示すアクセスログ２２ｄが書き込まれる（処理Ｓ３７）。これに対しても、検証フラグは設定されない。
【００４６】
このように、アクセスログは順次追記されるものであって、ボリューム５の光ディスクにファイルの書込みが行なわれる作成や更新の場合には、これに対してアクセスログ保存用記憶媒体２１に書き込まれるアクセスログには、検証フラグも設定されるが、書込みが行なわれない参照や削除の場合には、かかる検証フラグは設定されない。この検証フラグは、ファイルが正しく書き込まれたことを検証し、ファイルの改ざんを検出することができるようにするためのものであり、ファイルの書込みが行なわれない参照や削除では、不要のものである。
【００４７】
図６は上記ボリューム５のデータ構成を示す図である。
【００４８】
ボリューム５は、図２で説明したように、複数の光ディスクのデータ記憶可能領域の全体からなるものであって、図６（ａ）に示すように、かかる一連のデータ記憶可能領域の先頭部にそれを示すヘッダ部が設けられ、それ以外の領域は、図６（ｂ）に示すように、ファイルが記憶されるデータ部をなしている。かかるデータ部のうちのファイルがいまだ記憶されない領域が空き領域である。このデータ部では、上記のように、上記の作成や更新による新たなファイルは空き領域の先頭部に格納されることになる。各ファイルは、図６（ｃ）に示すように、管理情報とファイルの情報内容を示すデータとからなっている。そして、この管理情報は、図６（ｄ）に示すように、このファイルのファイル名やファイルサイズ，このファイルの作成日時，このファイルの属性やアクセス情報などからなっている。
【００４９】
図７は図５に示すアクセスログ保存用記憶媒体２１でのデータ構成を示す図である。
【００５０】
アクセスログ保存用記憶媒体２１では、図７（ａ）に示すように、そのデータ記憶可能領域の先頭にヘッダ部が設けられ、これに続いて、図７（ｂ）に示すように、アクセスログが記憶されるデータ部となっている。新たなアクセスログは、このデータ部の先頭に記憶される。そして、各アクセスログは、図７（ｃ）に示すように、作成や更新，参照，削除といったアクセスの種別を示す「アクセス種別」欄と、更新前のファイルに関する情報を記録する「更新前」欄と、更新後のファイルに関する情報を記録する「更新後」欄と、検証フラグを記録する「検証フラグ」欄とからなっており、「更新前」欄には更新前の、「更新後」欄には更新後の夫々、該当するファイルのファイル名やファイルサイズ、このファイルの作成日時、媒体ＩＤ（Identification)、ＬＢＡが記録される。
【００５１】
ここで、アクセスログでの「更新前」欄と「更新後」欄とでのファイル名とファイルサイズとは必ずしも同一ではなく、また、「更新前」欄と「更新後」欄との作成日時は異なっているが、この「更新後」欄とのファイル名やファイルサイズ，作成日時は、このアクセスログに該当した光ディスクに格納されているファイルの管理情報（図６（ｃ））でのファイル名，ファイルサイズ，作成日時と同一である。
【００５２】
また、ファイルの作成の場合には、ボリューム５に新規にファイルが書き込まれることになるので、更新前のデータはなく、これに対するアクセスログの「更新前」欄には、何も記録されない。
【００５３】
なお、参照「ＲＦ」や削除「ＤＬ」のアクセスログにも、検証フラグが「未」として設定されてもよいが、この場合には、アクセスログのアクセス種別が参照「ＲＦ」，削除「ＤＬ」であることにより、後述するアクセスログの検証の際、このアクセスログの検証フラグを無視するようにする。
【００５４】
次に、図８により、この実施形態でのアクセスログの検証方法について説明する。
【００５５】
図８（ａ）に示すように、ここでは、ボリューム５の３個の光ディスク３1，３2，３3について説明するものとし、ファイル０が光ディスク３1で作成されて、その後、光ディスク３2で更新，参照，削除されているものとする。また、光ディスク３1では、ファイル０の作成後、ファイル１が作成され、光ディスク３2では、ファイル０の更新，参照，削除後、ファイル２が作成されているものとする。従って、アクセスログ保存用記憶媒体２１では、図示する順で、アクセス種別が「ＣＲ（作成）」のファイル０のアクセスログ２２ａ，アクセス種別が「ＣＲ」のファイル１のアクセスログ２２ｂ，アクセス種別が「ＵＰ（更新）」のファイル０のアクセスログ２２ｃ，アクセス種別が「ＲＦ（参照）」のファイル０のアクセスログ２２ｄ，アクセス種別が「ＤＬ（削除）」のファイル０のアクセスログ２２ｅ及びアクセス種別が「ＣＲ」のファイル２のアクセスログ２２ｆが記憶され、アクセスログ２２ａ，２２ｂ，２２ｃ及び２２ｆに検証フラグ「未」が設定される。
【００５６】
ここで、アクセスログ２２ａには、図８（ｂ）に示すように、アクセス種別として、「ＣＲ」が設定され、また、「更新後」欄に図７（ｂ）に示すようなデータが記憶されている。アクセスログ２２ｂ，２２ｆも同様であるが、アクセスログ２２ｃ，２２ｄでは、「更新前」欄と「更新後」欄にデータが記憶されている。アクセスログ２２ｃでは、図８(ｂ）に示す「更新後」欄のデータが「更新前」欄に記憶され、光ディスク３2上のファイル０に関するデータが「更新後」欄に記憶される。また、アクセスログ２２ｄでは、「更新前」，「更新後」欄に記憶されるデータは同じである。アクセスログ２２ｅでは、「更新前」欄に光ディスク３2上のファイル０に関するデータが記憶され、「更新後」欄には、データは記憶されない。
【００５７】
かかる状態でアクセスログを検証する場合には、アクセスログ保存用記憶媒体２１に記憶された順に先頭からアクセスログの検証を行なう。
【００５８】
即ち、図８（ａ）においては、まず、アクセスログ２２ａの検証を行なうのであるが、このために、アクセスログ保存用記憶媒体２１からアクセスログ２２ａを読み出し、その媒体ＩＤ２２ａ1が「光ディスク３1」を表わしていることから、このアクセスログ２２ａに対するファイル０の作成（ＣＲ）が光ディスク３1で行なわれたものと判定し、また、アクセスログ２２ａのＬＢＡ２２ａ2がアドレス「０」を示していることから、この光ディスク３1のアドレス０からアクセスログ２２ａに記載のファイルサイズ分のデータを読み出す。そして、このように読み出したファイル０の管理情報（図６）での「ファイル名」，「ファイルサイズ」，「作成日時」とアクセスログ２２ａの「更新後」欄に記載の「ファイル名」，「ファイルサイズ」，「作成日時」とを照合することにより、アクセスログ２２ａを検証し、これらデータが全て等しいとき、アクセスログ２２ａが光ディスク３1上の実際のデータとの照合がとれたものとして検証が終了し、このアクセスログ２２ａの検証フラグを「未」から検証済みを示す内容（ここでは、「済」と表わすことにする）に書き換える（以上、処理Ｓ４０）。
【００５９】
次に、アクセスログ２２ｂの検証を行なう。この場合も、このアクセスログ２２ｂをアクセスログ保存用記憶媒体２１から読み出し、この読み出したアクセスログ２２ｂの「更新後」欄のデータに基づいて光ディスク３1からファイル１を読み出し、このファイル１の管理情報の「ファイル名」，「ファイルサイズ」，「作成日時」とアクセスログ２２ｂの「更新後」欄に記載の「ファイル名」，「ファイルサイズ」，「作成日時」とを照合することにより、アクセスログ２２ｂを検証する。これらが一致する場合には、検証済みとして、アクセスログ２２ｂの検証フラグを「未」から「済」に書き換える（以上、処理Ｓ４１）。
【００６０】
次に、アクセスログ２２ｃの検証を行なう。この場合も、このアクセスログ２２ｃをアクセスログ保存用記憶媒体２１から読み出し、この読み出したアクセスログ２２ｃの「更新後」欄のデータに基づいて光ディスク３2からファイル０を読み出し、このファイル０の管理情報の「ファイル名」，「ファイルサイズ」，「作成日時」とアクセスログ２２ｃの「更新後」欄に記載の「ファイル名」，「ファイルサイズ」，「作成日時」とを照合することにより、アクセスログ２２ｃを検証する。これらが一致する場合には、検証済みとして、アクセスログ２２ｃの検証フラグを「未」から「済」に書き換える（以上、処理Ｓ４２）。
【００６１】
アクセスログ２２ｄ，２２ｅについては、検証を行なわず、次に、アクセスログ２２ｆについて、上記と同様の検証を行なう（処理Ｓ４３）。
【００６２】
図９はアクセスログ保存用記憶媒体２１でアクセスログの改ざんが行なわれた状態を示す図である。
【００６３】
同図において、ボリューム５の光ディスク３1〜３3でファイル０の作成（ＣＲ），ファイル１の作成（ＣＲ），ファイル０の更新（ＵＰ），ファイル０の参照（ＲＦ），ファイル０の削除（ＤＬ），ファイル２の作成（ＣＲ），ファイル３の作成（ＣＲ）がこの順で行なわれ、それらのアクセスログで検証が行なわれ、作成（ＣＲ）や更新（ＵＰ）のアクセスログ２２ａ，２２ｂ，２２ｃ，２２ｆ，２２ｇについて、これらの検証フラグが「済」に設定されているものとする。ボリューム５の網掛け部分がアクセスログの検証済みである。
【００６４】
ここで、このように検証済みのファイルは正しいので、再度検証する必要はなく、このため、アクセスログ保存用記憶媒体２１のアクセスログを新ためて検証する場合には、検証済みのアクセスログを飛ばしてかかるアクセスログの検証を繰り返さないようにする。このために、検証済みの最後のアクセスログのアクセスログ保存用記憶媒体２１でのアドレスを確保しておき、次にアクセスログの新たな検証を行なうときには、この確保したアドレスを参照して、未検証の最初のアクセスログから検証を行なうようにする。
【００６５】
かかる状態において、ファイル２を、ファイル３に続けて、光ディスク３3に更新したとすると、このファイル３の更新に対するアクセスログ２２ｈが、検証フラグ「未」の更新「ＵＰ」のアクセスログとして、アクセスログ保存用記憶媒体２１にアクセスログ２２ｇに続けて書き込まれる。
【００６６】
ここで、アクセスログ保存用記憶媒体２１として書き換え可能な記録媒体が用いられるものとすると、アクセスログ２２ｈが検証される前に、外部から通常の手段によらずに不当にアクセスログ保存用記憶媒体２１のデータが改ざんされることも考えられる。この実施形態は、かかる改ざんを検知することができるようにしている。
【００６７】
いま、図９に示す検証済み後にファイル２の更新が行なわれ、これとともに、これに対するアクセスログ２２ｈがアクセスログ保存用記憶媒体２１に追記された状態で、アクセスログ保存用記憶媒体２１でデータの改ざんがあり、アクセスログ２２ｈが削除されてしまったものとする。その後、アクセスログの検証が実行されると、検証済みのアクセスログ２２ｇの次に未検証のアクセスログがないため、この実施形態では、検証済みの最後のアクセスログ２２ｇからボリューム５でのファイル３の最終アドレスを検出し、この最終アドレスに続いてファイルがあるか否かを確認する。この場合、更新されたファイル２があるので、これを読み出し、このファイル２の管理情報（図６（ｃ），（ｄ））をもとに、このファイル２のみ検証のアクセスログをアクセスログ保存用記憶媒体２１で探索する。この探索は、アクセスログ保存用記憶媒体２１での削除されたアクセスログ２２ｈの後にも、アクセスログが存在することもあり得るので（この場合には、これらアクセスログに対するファイルがボリューム５に格納されている）、行なうものである。この場合には、この更新されたファイル２に対するアクセスログ２２ｈが削除されているので、このファイル２に対するアクセスログを見つけることができない。
【００６８】
従って、この場合には、アクセスログ保存用記憶媒体２１でデータが改ざんされたものと判定する。かかる判定があると、アクセスログ保存用記憶媒体２１の全体が信用できないものとなり、ひいては、ボリューム５に格納されているファイルは使用できないものとする。
【００６９】
また、アクセスログ２２ｈは消されていないが、その情報内容が変更される場合もありえる。このような場合には、上記のようにしてこのアクセスログ２２ｈの検証を行なうが、このアクセスログ２２ｈの内容に一致した管理情報のファイルをボリューム５から見つけ出すことができず、この場合も、アクセスログ保存用記憶媒体２１でデータが改ざんされたものと判定する。
【００７０】
このようにして、アクセスログの改ざんを検出することができるものであるが、アクセスログの改ざんとして、検証済みのアクセスログの書換えや削除が行なわれた場合には、そのアクセスログの検証は終了しており、これに該当するファイルは正しく格納されていて、これに対しては再度の検証を行なうこともないので、問題とはしないものとする。
【００７１】
以上は、アクセスログ保存用記憶媒体２１として書き換え可能な記憶媒体を用いた場合であるが、追記形の記憶媒体を用いた場合も、同様にして、アクセスログ保存用記憶媒体２１の改ざんを検出することができる。例えば、ファイルを作成，更新，参照あるいは削除する場合に、特殊な手法でもってアクセスログ保存用記憶媒体２１にアクセスログの書込みができないようになされることも考えられる。このような場合でも、ボリュームにファイルが存在しながら、アクセスログ保存用記憶媒体２１にこれに対するアクセスログが存在しないことになるので、上記のようにして改ざんを検知することができる。
【００７２】
図１０は以上のアクセスログの改ざん検出の一連の動作を示すフローチャートである。
【００７３】
同図において、改ざん検出のスケジュールに入ると（ステップ３００）、アクセスログ保存用記憶媒体２１での未検証の先頭のアクセスログを検索し（ステップ３０１）、未検証の先頭のアクセスログが見つかると（ステップ３０２）、このアクセスログに対するファイルをボリューム５から読み取り（ステップ３０３）、このファイルの管理情報とアクセスログの情報とを照合する（ステップ３０４）。これらが一致した場合には、このアクセスログの検証フラグを「未」から「済」に書き換えてステップ３００に戻り、次の未検証アクセスログの検証に移るが、ステップ３０４の照合の結果、ファイルの管理情報とアクセスログの情報とが一致しない場合には、アクセスログ保存用記憶媒体２１でのデータの改ざんがあったとして（ステップ３０５）、動作を終了する。
【００７４】
また、ステップ３０２の処理で未検証の先頭のアクセスログが見つからない場合には、アクセスログが未検証のファイルがあるか否か探索し（ステップ３０６）、ファイルがなければ、アクセスログ保存用記憶媒体２１でのデータの改ざんはないとして（ステップ３０７）、動作を終了するが、ファイルがある場合には、アクセスログ保存用記憶媒体２１でのデータの改ざんがあったとして（ステップ３０５）、動作を終了する。
【００７５】
以上のように、この実施形態では、アクセスログの検証という通常の運用内で、アクセスログの改ざんの有無を検出することができる。
【００７６】
なお、上記実施形態では、ディスクライブラリ３を形成する記憶媒体を光ディスクとしたが、ＤＶＤなどの他の追記形の記憶媒体であってもよいし、また、磁気ディスクのような書き換え可能な記憶媒体であっても、追記形として使用可能な記憶媒体であってもよい。
【００７７】
【発明の効果】
以上説明したように、本発明によれば、ファイルの改ざんを検知するために設けられたアクセスログの改ざんを検知することができ、保管したデータの信頼性がより向上する。
【００７８】
また、スケジューリングにより、アクセスログの改ざんの検知処理を通常の運用内で自動的に行なうことができ、管理者やオペレータの介入も不要として、管理面，経済面で有利となる。
【図面の簡単な説明】
【図１】本発明による改ざん検知機能を有するデータ保管システムの一実施形態を示す構成図である。
【図２】図１におけるディスクライブラリのボリュームでのファイル書込み，読出し動作を説明するための図である。
【図３】図１におけるディスクライブラリのボリュームの概略構成とその動作を示す図である。
【図４】図１におけるディスクライブラリでのボリュームのファイル更新，ファイル削除，ファイル作成の各動作を示す図である。
【図５】図１に示す実施形態でのファイル作成，ファイル更新，ファイル参照，ファイル削除に対するアクセスログの設定を説明するための図である。
【図６】図１におけるディスクライブラリでのボリュームでの記憶フォーマットの１具体例を示す図である。
【図７】図５におけるアクセスログ保存用記憶媒体での記憶フォーマットの１具体例を示す図である。
【図８】図１に示した実施形態でのアクセスログの検証方法を示す図である。
【図９】図１に示した実施形態でのアクセスログの改ざんの検出方法を示す図である。
【図１０】図１に示した実施形態でのアクセスログの検証とアクセスログの改ざん検出との動作を示すフローチャートである。
【符号の説明】
１ サーバ
１ａ 制御ソフト
１ｂ 運用データベース
２ アレイディスク
２ａ ハードディスク（キャッシュメモリ）
３ ディスクライブラリ
３1〜３n 光ディスク
４ａ，４ｂ インターフェースケーブル
５ ボリューム
９，１０ セル群
１１ 光ディスク
１２，１２ａ，１２ｂ，１３，１３ａ セル
１４ アクセッサ
１５，１６ ドライブ
２１ アクセスログ保存用記憶媒体
２２ａ〜２２ｈ アクセスログ
【発明の属する技術分野】
本発明は、光ディスクやＤＶＤ，磁気ディスクなどの記憶媒体によるデータのライブラリを用いたデータ保管システムに係り、特に、データの改ざんがあったことを検知できるようにしたデータ保管システムに関する。
【０００２】
【従来の技術】
近年、メモリに格納されている電子情報を原本と見なすようになってきており、このため、かかる原本の改ざんということが大きな問題となってきている。かかる原本を管理し、要求に応じてクライアントにこの原本を発行するようにしたシステムでは、かかる発行済みの原本をクライアント端末に格納し、これをクライアントが何回も使用できるようにしているが、何回も使用されているうちに、この発行済み原本はその使用によって誤って改ざんされてしまうこともある。
【０００３】
このような改ざんを検証できるようにした従来の技術の一例が、例えば、特開平１１ー２３８０４９号公報に開示されている。これは、発行済みの原本が保管，管理されているもとの原本と同一か否かを確認することができるようにしたものであって、以下、この従来技術について説明する。
【０００４】
この従来技術は、サーバに原本が保存されており、ワークステーションやパーソナルコンピュータなどのクライアント端末からこれを参照（発行）することができるようにしたものであって、所定の要約関数を用いてクライアントへの発行済み原本ともとの原本との同一性を検証するものである。具体的には、原本発行元のサーバ側で、予めもとの原本の情報に所定の要約関数を適応して生成される第１の要約情報を用意しておき、一方、クライアント側では、検証が必要な場合、発行済み原本に上記所定の要約関数を適用して第２の要約情報を生成し、サーバ側で用意されている第１の要約情報を取り込んでこれと第２の要約情報とを照合する。この照合の結果、第１，第２の要約情報が一致するときには、発行済み原本は改ざんされていないことになり、一致しない場合には、発行済み原本は改ざんされていることになる。
【０００５】
しかし、かかる従来技術は、所詮ソフト的にネットワーク上でこれら原本の同一性を保証するものであって、要約関数を書き換えることも不可能ではない。このように要約関数の書き換えがあると、改ざんされていなくとも、発行済み原本が改ざんされたものとみなされてしまうことになるが、また、改ざんされたにもかかわらず、発行済み原本がもとの原本と同一とみなされてしまうもあり得る。このように、要約関数が書き換えられた場合には、かかる要約関数を用いて発行済み原本の要約情報を生成し、この要約情報を用いて発行済み原本のもとの原本の要約情報と照合すること自体意味のないものとなる。
【０００６】
【発明が解決しようとする課題】
一方、追記制御される記憶媒体（以下、追記形の記憶媒体という）からなるライブラリを用い、これで電子情報としての原本を保存，管理するデータ保管システムでは、かかる原本の改ざんを防止するために、原本としてのファイルの作成や更新，参照，削除などのためのライブラリへのアクセスの履歴（アクセスログ）を残すことが行なわれている。新たなファイルを作成してライブラリに格納するときも（これを作成（Create）という）、ライブラリに格納されているファイルの内容を変更するときも（これを更新（Update））、ライブラリに格納されているファイルを読み取るときも（これを参照（Reference）という）、また、ライブラリに格納されている不要なファイルを除くときも（これを削除（Delete）という）、ライブラリにアクセスする。アクセスログはライブラリへのこのようなアクセスの履歴を表わすものであって、アクセス毎にこの目的（作成，更新，参照及び削除）やファイル名，その作成日時などが記録される。
【０００７】
ここで、このライブラリは追記形の記憶媒体を用いるものであるから、作成されたファイルは、それが更新されて新たなファイルとなっても、そのままライブラリに残るし、また、ファイルが更新されても、更新前のファイルもそのままライブラリに残る。このファイルが不要となって削除の処理がなされても、このファイルは、作成時のものやその後更新されたときのものがそのまま残っている。このため、ライブラリでの作成されたときのファイルや更新されたファイルには、夫々に対応してアクセスログが設定されている。
【０００８】
ライブラリでのファイルとアクセスログとの間にこのような関係があることから、アクセスログによってライブラリのファイルの管理を行なうことができ、ライブラリ内のファイルを改ざんしたときには、その改ざんされたファイルがライブラリに格納されるとともに、これに対するアクセスログも設定されることになるので、このアクセスログからファイルの改ざんを検知することが可能となる。
【０００９】
しかしながら、アクセスログも改ざんされる可能性がある。このように改ざんされても、従来では、改ざんされたアクセスログも含めてライブラリのアクセス履歴を把握するものであるから、アクセスログの改ざんを検知することができなかった。
【００１０】
本発明の目的は、かかる問題点を解消し、ライブラリのデータの改ざんの検知のために設けられたアクセスログの改ざんを検知できるようにしたデータ保管システムを提供することにある。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明は、データが書き込まれる追記形の記憶媒体からなる記憶媒体ライブラリと、記憶媒体ライブラリに書き込まれるデータに対するアクセスログが追記されるアクセスログ保存用記憶媒体とを備えたデータ保管システムにおいて、記憶媒体ライブラリに記憶されたデータに対するアクセスログ保存用記憶媒体でのアクセスログの有無を判定することにより、アクセスログ保存用記憶媒体での改ざんの有無を検出するものである。
【００１２】
また、本発明は、上記アクセスログ保存用記憶媒体でのアクセスログに対する記憶媒体ライブラリでのデータの有無を判定することにより、アクセスログ保存用記憶媒体での改ざんの有無を検出するものである。
【００１３】
そして、アクセスログ保存用記憶媒体に記憶されるアクセスログ毎に検証フラグを設定し、アクセスログに対するデータが記憶媒体ライブラリに存在するか否かの検証をアクセスログに対して行なうことにより、アクセスログに対する前記データが記憶媒体ライブラリに存在するとき、検証フラグを検証済みとし、検証フラグが検証済みであるアクセスログに対しては、検証処理を省略するものである。
【００１４】
上記アクセスログ保存用記憶媒体は、書き換え可能な記憶媒体であっても、また、追記形の記憶媒体であってもよい。
【００１５】
【発明の実施の形態】
以下、本発明の実施形態を図面を用いて説明する。
図１は本発明によるデータ管理システムの一実施形態を示す概略構成図であって、１はサーバ、１ａは制御ソフト、１ｂは運用ＤＢ（データべース）、２はアレイディスク、２ａはハードディスク、３はディスクライブラリ、３1〜３nは光ディスク、４ａ，４ｂはインターフェースケーブルである。
【００１６】
同図において、このシステムでは、ＰＣ（パーソナルコンピュータ）もしくはワークステーションからなるサーバ１に、１または複数の高速アクセスが可能なハードディスクからなるアレイディスク２と複数の光ディスクからなるディスクライブラリ３とが夫々インターフェースケーブル４ａ，４ｂを介して接続されている。また、サーバ１内には、アレイディスク２とディスクライブラリ３とのアクセス制御を行なう制御ソフト１ａと、ディスクライブラリ３でのファイルのディレクトリ構造を管理するためのファイル管理情報を保持する運用ＤＢ１ｂが設けられている。
【００１７】
ここで、アレイディスク２とディスクライブラリ３とで階層記憶を構成している。
【００１８】
即ち、サーバ１で予めインストールされた制御ソフト１ａの制御により、ディスクライブラリ３の光ディスクを所定数ずつグループ化して夫々のグループをボリュームとしている。図１では、一例として、光ディスク３1〜３nのグループを１つのボリュームとしている。また、制御ソフト１ａは、アレイディスク２の夫々のハードディスクを、キャッシュメモリとして、ディスクライブラリ３内の夫々のボリュームに割り当てている。ここでは、アレイディスク２内のハードディスク２ａを光ディスク３1〜３nのボリュームに該当するキャシュメモリとする。
【００１９】
かかる構成により、夫々のボリュームでは、そこに格納されているファイルのうち、アクセス頻度が高いファイルは、光ディスクから読み出されてそのボリュームに該当するキャッシュメモリに格納しておき、このファイルの外部への読取りなどはこのキャッシュメモリで行なわれるようにし、アクセス頻度が低いファイルは直接光ディスクから読み取るようにする。このようにして、全体的なアクセス性能を向上させる階層記憶管理を実現している。
【００２０】
次に、図２により、光ディスク３1〜３nとキャッシュメモリとしてのハードディスク２ａとからなるボリューム５の動作について説明する。
【００２１】
同図において、ボリューム５に対してファイル８のwrite（書込み）処理６が発生した場合には、制御ソフト１ａ（図１）の制御により、まず、このファイル８がキャッシュメモリ２ａに書き込まれる（処理Ｓ１）。そして、このときの日時（更新日時）から予め設定されている一定時間経過すると、制御ソフト１ａは、このファイル８はデータが確定したものとし、運用ＤＢ１ｂ（図１）のファイル管理データを参照して、光ディスク３1〜３nのうちの該当する光ディスクにこのファイル８を格納する（処理Ｓ２）。以上の動作を、光ディスクのファイル更新という。
【００２２】
ボリューム５に対してファイル８のread（読出し）処理７が発生した場合には、制御ソフト１ａの制御により、このファイル８がキャッシュメモリ２ａに存在するときには、このキャッシュメモリ２ａから読み出し（処理Ｓ３）、キャッシュメモリ２ａに存在しなければ、制御ソフト１ａは、運用ＤＢ１ｂのファイル管理情報を参照することにより、光ディスク３1〜３nのうちの該当する光ディスクを探索し、該当する光ディスクからファイル８を読み出してキャッシュメモリ２ａに格納する（処理Ｓ４）。そして、このキャッシュメモリ２ａからこのファイル８を外部に読み出す（処理Ｓ３）。このように光ディスクからファイル８がキャッシュメモリ２ａに格納されても、この光ディスクに格納されているこのファイル８は有効である。キャッシュメモリ２ａに格納されているファイル８が光ディスクに戻されると、上記該当する光ディスクに残っているファイル８が更新されたことになって無効となり、キャッシュメモリ２ａから戻されるファイル８は、更新されたファイルとして、上記該当する光ディスクの空き領域、もしくは同じボリューム５の他の光ディスクの空き領域に格納される。従って、次にこのファイル８が読み出されるときには、この更新されたファイル８が読み出されることになる。
【００２３】
図３は図１におけるディスクライブラリ３の概略構成図であって、９，１０はセル群、１１は光ディスク、１２，１２ａ，１２ｂ，１３，１３ａはセル、１４はアクセッサ、１５，１６はドライブである。
【００２４】
同図において、ここでは、ディスクライブラリ３の２つのセル群９，１０を示しているが、かかるセル群としては、１個でもよいし、３個以上でもよい。
【００２５】
セル群９は夫々が光ディスク１１を有する複数のセル１２からなり、同様に、セル群１０も夫々が光ディスク１１を有する複数のセル１３からなっている。また、セル群９には、そこでの光ディスク１１を駆動するためのドライブ１５が備え付けられており、同様に、セル群１０にも、そこでの光ディスク１１を駆動するためのドライブ１６が備え付けられている。また、アクセッサ１４は指定されたセル１２または１３とドライブ１５または１６との間で光ディスク１１を搬送するものであり、セル群９，１０で共通に使用される。
【００２６】
かかるディスクライブラリ３において、例えば、セル１２ａ，１３ａ，１２ｂの順にアクセスの要求があったとすると、制御ソフト１ａの制御のもとに、次のようにシーケンス処理が行なわれる。
【００２７】
（１）まず、アクセッサ１４がセル群９のセル１２ａまで移動し、このセル１２ａの光ディスク１１を取り込んでドライブ１５まで搬送し（処理Ｓ１０）、この光ディスク１１をドライブしてＩ／Ｏ処理を行なう。
【００２８】
（２）上記処理Ｓ１０が終わると、アクセッサ１４はセル群１０のセル１３ａまで移動し、このセル１３ａの光ディスク１１を取り込んでドライブ１６まで搬送する（処理Ｓ１１）。ドライブ１６は、ドライブ１５でのセル１２ａからの光ディスク１１のドライブの終了を待って、このセル１３ａからの光ディスク１１をドライブし、Ｉ／Ｏ処理を行なう。
【００２９】
（３）ドライブ１５が先のセル１２ａからの光ディスク１１のドライブを終了すると、アクセッサ１４がドライブ１５での光ディスク１１を取り込んでセル１２ａまで搬送し（処理Ｓ１２）、このセル１２ａに返す。
【００３０】
（４）次いで、アクセッサ１４はセル群９のセル１２ｂまで移動し、このセル１２ｂの光ディスク１１を取り込んでドライブ１５まで搬送する（処理Ｓ１３）。そして、ドライブ１５は、ドライブ１６でのセル１３ａからの光ディスク１１のドライブの終了を待ってこのセル１２ｂからの光ディスク１１をドライブし、Ｉ／Ｏ処理を行なう。
【００３１】
次に、ディスクライブラリ３でのボリュームの通常のデータアクセス制御について説明する。
【００３２】
図１において、ディスクライブラリ３でのファイルのディレクトリ構造は、ファイル管理情報として、運用ＤＢ１ｂに保持されており、ファイルは、通常、ディスクライブラリ３の光ディスクに保存されている。これら光ディスクは追記形の記憶媒体であるため、光ディスクに対してファイルの更新（即ち、アレイディスク２のキャッシュメモリから光ディスクへの更新済みファイルの書込み）があると、ディスクライブラリ３には、同じ内容のファイルが複数存在することになる。
【００３３】
そこで、この実施形態では、これら複数存在する同一ファイルのうちの有効なファイル（最終の更新によるファイル）のデータアドレスをファイル管理情報として運用ＤＢ１ｂに保持し、このデータアドレスを用いることにより、目的する有効なファイルをアクセスすることができるようにしている。この点について、以下、図４により説明する。
【００３４】
同図において、いま、ボリューム５の３個の光ディスク３1，３2，３3を対象とし、光ディスク３1，３2では、データ記憶可能領域の全体にデータ（ファイル）が記憶されており、光ディスク３3では、そのデータ記憶可能領域の一部にデータが記憶されていて記憶領域１７をなし、それ以外の領域は空き領域となっている。
【００３５】
そこで、いま、光ディスク３1に格納されているファイル１８の更新要求１０１があったとすると、制御ソフト１ａ（図１）の制御のもとに、このファイル１８を更新した新たなファイル（更新済みファイル）１８’を光ディスク３3の記憶領域１７に続く空き領域に書き込み（処理Ｓ２０）、運用ＤＢ１ｂに保持されているファイル管理情報としての光ディスク３1でのファイル１８の物理アドレス（以下、ＬＢＡという）を光ディスク３3でのファイル１８’のＬＢＡに変更する（処理Ｓ２１）。これにより、光ディスク３1でのファイル１８は無効となり、これに代わって、光ディスク３3でのファイル１８’が有効となる。しかし、このファイル１８は光ディスク３1に記憶されたままで残される。
【００３６】
また、光ディスク３1に保存されているファイル１９が長時間にわたる不使用のため、このファイルの削除要求１０２があると、制御ソフト１ａ（図１）の制御のもとに、運用ＤＢ１ｂでのファイル管理情報でのこのファイル１９に関する情報が抹消される（処理Ｓ２２）。これにより、ファイル１９は無効となり、光ディスク３1から削除されたことになる。この場合も、このファイル１９は光ディスク３1に記憶されたままで残される。
【００３７】
さらに、ユーザからボリューム５に新たなファイル２０を作成する要求１０３があった場合には、制御ソフト１ａ（図１）の制御のもとに、この新たなファイル２０が光ディスク３3の記憶領域１７に続く空き領域に書き込み（処理Ｓ２３）、運用ＤＢ１ｂに保持されているファイル管理情報に、光ディスク３3の空き領域に格納されたファイル１９に関するＬＢＡなどのファイル管理情報が追加される（処理Ｓ２４）。
【００３８】
なお、運用ＤＢ１ｂのファイル管理情報としては、ファイル更新，削除，作成などを行なったユーザのユーザ情報（アクセスユーザ情報）も記録されている。これにより、誰がファイルの作成，更新などを行なったかを検証することができる。
【００３９】
次に、図５により、この実施形態でのアクセスログの設定について説明する。
【００４０】
同図において、ここでは、ボリューム５の３個の光ディスク３1，３2，３3を対象とする。また、アクセスログ保存用記憶媒体２１も設けられている。かかる記憶媒体２１としては、追記形の記憶媒体であってよいが、好ましくは、磁気ディスクや磁気テープなどの書き換え可能な記憶媒体を用いる。これは、繰り返しアクセスログの書込みができるようにするためである。但し、書き換え可能な記憶媒体を用いる場合であっても、アクセスログの書込みは、これから説明するように、追記方式で行なう。
【００４１】
いま、光ディスク３1，３2，３3のデータ記憶可能領域が全て空き領域の状態にあり、この状態でファイル０の作成の要求２０２があると、制御ソフト１ａ（図１）の制御のもとに、先頭の光ディスク３1の空き領域の先頭にこのファイル０の書込みが行なわれ（処理Ｓ３０。なお、この場合、上記のように、キャッシュメモリ２ａ（図１）を介してこの書込みが行なわれる）、これとともに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、新規なファイル０の作成（ＣＲ）を示すアクセスログ２２ａが書き込まれる（処理Ｓ３１）。アクセスログ保存用記憶媒体２１に書き込まれるアクセスログは、後述するように、検証されるが、この場合、このアクセスログ２２ａには、これが未検証であることを示す検証フラグ（以下では、これを検証フラグ「未」として示すことにする）が設定される。
【００４２】
その後、同様にして、光ディスク３1にファイルの作成などが順次なされ(これに対するアクセスログは省略している）、光ディスク３1全体が塞がって、ファイル０の更新の要求２０３があると、制御ソフト１ａの制御のもとに、光ディスク３1からファイル０が読み出され（処理Ｓ３２）、その後、このファイル０がボリューム５の空き領域の先頭（この場合、光ディスク３2のデータ記憶可能領域の先頭）に書き込まれる（処理Ｓ３３）。そして、これとともに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、ファイル０の更新（ＵＰ）を示すアクセスログ２２ｂが書き込まれる（処理Ｓ３４）。この場合も、このアクセスログ２２ａには、これが未検証であることを示す検証フラグ「未」が設定される。
【００４３】
この更新とは、ボリューム５に既に格納されているファイルを別の場所（アドレス）に入れ換える（更新する）ことであり、これは、先に説明したように、アクセス頻度が高いファイルを光ディスクから読み出してアレイディスク２のキャッシュメモリ２ａに移し換え、このファイルを光ディスクから読み出す代わりにこのキャッシュメモリ２ａから読み出すようにする場合、その後、このキャッシュメモリ２ａから光ディスクに戻す場合に行なわれる。
【００４４】
外部からのファイルの要求に対して直接ボリュームをアクセスすることを参照というが、ファイル０の参照の要求２０４があると、制御ソフト１ａの制御のもとに、この場合、光ディスク３2に保存されている更新されたファイル０が読み出され（処理Ｓ３５）、これとともに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、ファイル０の参照（ＲＦ）を示すアクセスログ２２ｃが書き込まれる（処理Ｓ３６）。これに対しては、検証フラグは設定されない。
【００４５】
ファイル０の削除の要求２０５があると、制御ソフト１ａの制御のもとに、アクセスログ保存用記憶媒体２１の空き領域の先頭に、ファイル０の削除（ＤＬ）を示すアクセスログ２２ｄが書き込まれる（処理Ｓ３７）。これに対しても、検証フラグは設定されない。
【００４６】
このように、アクセスログは順次追記されるものであって、ボリューム５の光ディスクにファイルの書込みが行なわれる作成や更新の場合には、これに対してアクセスログ保存用記憶媒体２１に書き込まれるアクセスログには、検証フラグも設定されるが、書込みが行なわれない参照や削除の場合には、かかる検証フラグは設定されない。この検証フラグは、ファイルが正しく書き込まれたことを検証し、ファイルの改ざんを検出することができるようにするためのものであり、ファイルの書込みが行なわれない参照や削除では、不要のものである。
【００４７】
図６は上記ボリューム５のデータ構成を示す図である。
【００４８】
ボリューム５は、図２で説明したように、複数の光ディスクのデータ記憶可能領域の全体からなるものであって、図６（ａ）に示すように、かかる一連のデータ記憶可能領域の先頭部にそれを示すヘッダ部が設けられ、それ以外の領域は、図６（ｂ）に示すように、ファイルが記憶されるデータ部をなしている。かかるデータ部のうちのファイルがいまだ記憶されない領域が空き領域である。このデータ部では、上記のように、上記の作成や更新による新たなファイルは空き領域の先頭部に格納されることになる。各ファイルは、図６（ｃ）に示すように、管理情報とファイルの情報内容を示すデータとからなっている。そして、この管理情報は、図６（ｄ）に示すように、このファイルのファイル名やファイルサイズ，このファイルの作成日時，このファイルの属性やアクセス情報などからなっている。
【００４９】
図７は図５に示すアクセスログ保存用記憶媒体２１でのデータ構成を示す図である。
【００５０】
アクセスログ保存用記憶媒体２１では、図７（ａ）に示すように、そのデータ記憶可能領域の先頭にヘッダ部が設けられ、これに続いて、図７（ｂ）に示すように、アクセスログが記憶されるデータ部となっている。新たなアクセスログは、このデータ部の先頭に記憶される。そして、各アクセスログは、図７（ｃ）に示すように、作成や更新，参照，削除といったアクセスの種別を示す「アクセス種別」欄と、更新前のファイルに関する情報を記録する「更新前」欄と、更新後のファイルに関する情報を記録する「更新後」欄と、検証フラグを記録する「検証フラグ」欄とからなっており、「更新前」欄には更新前の、「更新後」欄には更新後の夫々、該当するファイルのファイル名やファイルサイズ、このファイルの作成日時、媒体ＩＤ（Identification)、ＬＢＡが記録される。
【００５１】
ここで、アクセスログでの「更新前」欄と「更新後」欄とでのファイル名とファイルサイズとは必ずしも同一ではなく、また、「更新前」欄と「更新後」欄との作成日時は異なっているが、この「更新後」欄とのファイル名やファイルサイズ，作成日時は、このアクセスログに該当した光ディスクに格納されているファイルの管理情報（図６（ｃ））でのファイル名，ファイルサイズ，作成日時と同一である。
【００５２】
また、ファイルの作成の場合には、ボリューム５に新規にファイルが書き込まれることになるので、更新前のデータはなく、これに対するアクセスログの「更新前」欄には、何も記録されない。
【００５３】
なお、参照「ＲＦ」や削除「ＤＬ」のアクセスログにも、検証フラグが「未」として設定されてもよいが、この場合には、アクセスログのアクセス種別が参照「ＲＦ」，削除「ＤＬ」であることにより、後述するアクセスログの検証の際、このアクセスログの検証フラグを無視するようにする。
【００５４】
次に、図８により、この実施形態でのアクセスログの検証方法について説明する。
【００５５】
図８（ａ）に示すように、ここでは、ボリューム５の３個の光ディスク３1，３2，３3について説明するものとし、ファイル０が光ディスク３1で作成されて、その後、光ディスク３2で更新，参照，削除されているものとする。また、光ディスク３1では、ファイル０の作成後、ファイル１が作成され、光ディスク３2では、ファイル０の更新，参照，削除後、ファイル２が作成されているものとする。従って、アクセスログ保存用記憶媒体２１では、図示する順で、アクセス種別が「ＣＲ（作成）」のファイル０のアクセスログ２２ａ，アクセス種別が「ＣＲ」のファイル１のアクセスログ２２ｂ，アクセス種別が「ＵＰ（更新）」のファイル０のアクセスログ２２ｃ，アクセス種別が「ＲＦ（参照）」のファイル０のアクセスログ２２ｄ，アクセス種別が「ＤＬ（削除）」のファイル０のアクセスログ２２ｅ及びアクセス種別が「ＣＲ」のファイル２のアクセスログ２２ｆが記憶され、アクセスログ２２ａ，２２ｂ，２２ｃ及び２２ｆに検証フラグ「未」が設定される。
【００５６】
ここで、アクセスログ２２ａには、図８（ｂ）に示すように、アクセス種別として、「ＣＲ」が設定され、また、「更新後」欄に図７（ｂ）に示すようなデータが記憶されている。アクセスログ２２ｂ，２２ｆも同様であるが、アクセスログ２２ｃ，２２ｄでは、「更新前」欄と「更新後」欄にデータが記憶されている。アクセスログ２２ｃでは、図８(ｂ）に示す「更新後」欄のデータが「更新前」欄に記憶され、光ディスク３2上のファイル０に関するデータが「更新後」欄に記憶される。また、アクセスログ２２ｄでは、「更新前」，「更新後」欄に記憶されるデータは同じである。アクセスログ２２ｅでは、「更新前」欄に光ディスク３2上のファイル０に関するデータが記憶され、「更新後」欄には、データは記憶されない。
【００５７】
かかる状態でアクセスログを検証する場合には、アクセスログ保存用記憶媒体２１に記憶された順に先頭からアクセスログの検証を行なう。
【００５８】
即ち、図８（ａ）においては、まず、アクセスログ２２ａの検証を行なうのであるが、このために、アクセスログ保存用記憶媒体２１からアクセスログ２２ａを読み出し、その媒体ＩＤ２２ａ1が「光ディスク３1」を表わしていることから、このアクセスログ２２ａに対するファイル０の作成（ＣＲ）が光ディスク３1で行なわれたものと判定し、また、アクセスログ２２ａのＬＢＡ２２ａ2がアドレス「０」を示していることから、この光ディスク３1のアドレス０からアクセスログ２２ａに記載のファイルサイズ分のデータを読み出す。そして、このように読み出したファイル０の管理情報（図６）での「ファイル名」，「ファイルサイズ」，「作成日時」とアクセスログ２２ａの「更新後」欄に記載の「ファイル名」，「ファイルサイズ」，「作成日時」とを照合することにより、アクセスログ２２ａを検証し、これらデータが全て等しいとき、アクセスログ２２ａが光ディスク３1上の実際のデータとの照合がとれたものとして検証が終了し、このアクセスログ２２ａの検証フラグを「未」から検証済みを示す内容（ここでは、「済」と表わすことにする）に書き換える（以上、処理Ｓ４０）。
【００５９】
次に、アクセスログ２２ｂの検証を行なう。この場合も、このアクセスログ２２ｂをアクセスログ保存用記憶媒体２１から読み出し、この読み出したアクセスログ２２ｂの「更新後」欄のデータに基づいて光ディスク３1からファイル１を読み出し、このファイル１の管理情報の「ファイル名」，「ファイルサイズ」，「作成日時」とアクセスログ２２ｂの「更新後」欄に記載の「ファイル名」，「ファイルサイズ」，「作成日時」とを照合することにより、アクセスログ２２ｂを検証する。これらが一致する場合には、検証済みとして、アクセスログ２２ｂの検証フラグを「未」から「済」に書き換える（以上、処理Ｓ４１）。
【００６０】
次に、アクセスログ２２ｃの検証を行なう。この場合も、このアクセスログ２２ｃをアクセスログ保存用記憶媒体２１から読み出し、この読み出したアクセスログ２２ｃの「更新後」欄のデータに基づいて光ディスク３2からファイル０を読み出し、このファイル０の管理情報の「ファイル名」，「ファイルサイズ」，「作成日時」とアクセスログ２２ｃの「更新後」欄に記載の「ファイル名」，「ファイルサイズ」，「作成日時」とを照合することにより、アクセスログ２２ｃを検証する。これらが一致する場合には、検証済みとして、アクセスログ２２ｃの検証フラグを「未」から「済」に書き換える（以上、処理Ｓ４２）。
【００６１】
アクセスログ２２ｄ，２２ｅについては、検証を行なわず、次に、アクセスログ２２ｆについて、上記と同様の検証を行なう（処理Ｓ４３）。
【００６２】
図９はアクセスログ保存用記憶媒体２１でアクセスログの改ざんが行なわれた状態を示す図である。
【００６３】
同図において、ボリューム５の光ディスク３1〜３3でファイル０の作成（ＣＲ），ファイル１の作成（ＣＲ），ファイル０の更新（ＵＰ），ファイル０の参照（ＲＦ），ファイル０の削除（ＤＬ），ファイル２の作成（ＣＲ），ファイル３の作成（ＣＲ）がこの順で行なわれ、それらのアクセスログで検証が行なわれ、作成（ＣＲ）や更新（ＵＰ）のアクセスログ２２ａ，２２ｂ，２２ｃ，２２ｆ，２２ｇについて、これらの検証フラグが「済」に設定されているものとする。ボリューム５の網掛け部分がアクセスログの検証済みである。
【００６４】
ここで、このように検証済みのファイルは正しいので、再度検証する必要はなく、このため、アクセスログ保存用記憶媒体２１のアクセスログを新ためて検証する場合には、検証済みのアクセスログを飛ばしてかかるアクセスログの検証を繰り返さないようにする。このために、検証済みの最後のアクセスログのアクセスログ保存用記憶媒体２１でのアドレスを確保しておき、次にアクセスログの新たな検証を行なうときには、この確保したアドレスを参照して、未検証の最初のアクセスログから検証を行なうようにする。
【００６５】
かかる状態において、ファイル２を、ファイル３に続けて、光ディスク３3に更新したとすると、このファイル３の更新に対するアクセスログ２２ｈが、検証フラグ「未」の更新「ＵＰ」のアクセスログとして、アクセスログ保存用記憶媒体２１にアクセスログ２２ｇに続けて書き込まれる。
【００６６】
ここで、アクセスログ保存用記憶媒体２１として書き換え可能な記録媒体が用いられるものとすると、アクセスログ２２ｈが検証される前に、外部から通常の手段によらずに不当にアクセスログ保存用記憶媒体２１のデータが改ざんされることも考えられる。この実施形態は、かかる改ざんを検知することができるようにしている。
【００６７】
いま、図９に示す検証済み後にファイル２の更新が行なわれ、これとともに、これに対するアクセスログ２２ｈがアクセスログ保存用記憶媒体２１に追記された状態で、アクセスログ保存用記憶媒体２１でデータの改ざんがあり、アクセスログ２２ｈが削除されてしまったものとする。その後、アクセスログの検証が実行されると、検証済みのアクセスログ２２ｇの次に未検証のアクセスログがないため、この実施形態では、検証済みの最後のアクセスログ２２ｇからボリューム５でのファイル３の最終アドレスを検出し、この最終アドレスに続いてファイルがあるか否かを確認する。この場合、更新されたファイル２があるので、これを読み出し、このファイル２の管理情報（図６（ｃ），（ｄ））をもとに、このファイル２のみ検証のアクセスログをアクセスログ保存用記憶媒体２１で探索する。この探索は、アクセスログ保存用記憶媒体２１での削除されたアクセスログ２２ｈの後にも、アクセスログが存在することもあり得るので（この場合には、これらアクセスログに対するファイルがボリューム５に格納されている）、行なうものである。この場合には、この更新されたファイル２に対するアクセスログ２２ｈが削除されているので、このファイル２に対するアクセスログを見つけることができない。
【００６８】
従って、この場合には、アクセスログ保存用記憶媒体２１でデータが改ざんされたものと判定する。かかる判定があると、アクセスログ保存用記憶媒体２１の全体が信用できないものとなり、ひいては、ボリューム５に格納されているファイルは使用できないものとする。
【００６９】
また、アクセスログ２２ｈは消されていないが、その情報内容が変更される場合もありえる。このような場合には、上記のようにしてこのアクセスログ２２ｈの検証を行なうが、このアクセスログ２２ｈの内容に一致した管理情報のファイルをボリューム５から見つけ出すことができず、この場合も、アクセスログ保存用記憶媒体２１でデータが改ざんされたものと判定する。
【００７０】
このようにして、アクセスログの改ざんを検出することができるものであるが、アクセスログの改ざんとして、検証済みのアクセスログの書換えや削除が行なわれた場合には、そのアクセスログの検証は終了しており、これに該当するファイルは正しく格納されていて、これに対しては再度の検証を行なうこともないので、問題とはしないものとする。
【００７１】
以上は、アクセスログ保存用記憶媒体２１として書き換え可能な記憶媒体を用いた場合であるが、追記形の記憶媒体を用いた場合も、同様にして、アクセスログ保存用記憶媒体２１の改ざんを検出することができる。例えば、ファイルを作成，更新，参照あるいは削除する場合に、特殊な手法でもってアクセスログ保存用記憶媒体２１にアクセスログの書込みができないようになされることも考えられる。このような場合でも、ボリュームにファイルが存在しながら、アクセスログ保存用記憶媒体２１にこれに対するアクセスログが存在しないことになるので、上記のようにして改ざんを検知することができる。
【００７２】
図１０は以上のアクセスログの改ざん検出の一連の動作を示すフローチャートである。
【００７３】
同図において、改ざん検出のスケジュールに入ると（ステップ３００）、アクセスログ保存用記憶媒体２１での未検証の先頭のアクセスログを検索し（ステップ３０１）、未検証の先頭のアクセスログが見つかると（ステップ３０２）、このアクセスログに対するファイルをボリューム５から読み取り（ステップ３０３）、このファイルの管理情報とアクセスログの情報とを照合する（ステップ３０４）。これらが一致した場合には、このアクセスログの検証フラグを「未」から「済」に書き換えてステップ３００に戻り、次の未検証アクセスログの検証に移るが、ステップ３０４の照合の結果、ファイルの管理情報とアクセスログの情報とが一致しない場合には、アクセスログ保存用記憶媒体２１でのデータの改ざんがあったとして（ステップ３０５）、動作を終了する。
【００７４】
また、ステップ３０２の処理で未検証の先頭のアクセスログが見つからない場合には、アクセスログが未検証のファイルがあるか否か探索し（ステップ３０６）、ファイルがなければ、アクセスログ保存用記憶媒体２１でのデータの改ざんはないとして（ステップ３０７）、動作を終了するが、ファイルがある場合には、アクセスログ保存用記憶媒体２１でのデータの改ざんがあったとして（ステップ３０５）、動作を終了する。
【００７５】
以上のように、この実施形態では、アクセスログの検証という通常の運用内で、アクセスログの改ざんの有無を検出することができる。
【００７６】
なお、上記実施形態では、ディスクライブラリ３を形成する記憶媒体を光ディスクとしたが、ＤＶＤなどの他の追記形の記憶媒体であってもよいし、また、磁気ディスクのような書き換え可能な記憶媒体であっても、追記形として使用可能な記憶媒体であってもよい。
【００７７】
【発明の効果】
以上説明したように、本発明によれば、ファイルの改ざんを検知するために設けられたアクセスログの改ざんを検知することができ、保管したデータの信頼性がより向上する。
【００７８】
また、スケジューリングにより、アクセスログの改ざんの検知処理を通常の運用内で自動的に行なうことができ、管理者やオペレータの介入も不要として、管理面，経済面で有利となる。
【図面の簡単な説明】
【図１】本発明による改ざん検知機能を有するデータ保管システムの一実施形態を示す構成図である。
【図２】図１におけるディスクライブラリのボリュームでのファイル書込み，読出し動作を説明するための図である。
【図３】図１におけるディスクライブラリのボリュームの概略構成とその動作を示す図である。
【図４】図１におけるディスクライブラリでのボリュームのファイル更新，ファイル削除，ファイル作成の各動作を示す図である。
【図５】図１に示す実施形態でのファイル作成，ファイル更新，ファイル参照，ファイル削除に対するアクセスログの設定を説明するための図である。
【図６】図１におけるディスクライブラリでのボリュームでの記憶フォーマットの１具体例を示す図である。
【図７】図５におけるアクセスログ保存用記憶媒体での記憶フォーマットの１具体例を示す図である。
【図８】図１に示した実施形態でのアクセスログの検証方法を示す図である。
【図９】図１に示した実施形態でのアクセスログの改ざんの検出方法を示す図である。
【図１０】図１に示した実施形態でのアクセスログの検証とアクセスログの改ざん検出との動作を示すフローチャートである。
【符号の説明】
１ サーバ
１ａ 制御ソフト
１ｂ 運用データベース
２ アレイディスク
２ａ ハードディスク（キャッシュメモリ）
３ ディスクライブラリ
３1〜３n 光ディスク
４ａ，４ｂ インターフェースケーブル
５ ボリューム
９，１０ セル群
１１ 光ディスク
１２，１２ａ，１２ｂ，１３，１３ａ セル
１４ アクセッサ
１５，１６ ドライブ
２１ アクセスログ保存用記憶媒体
２２ａ〜２２ｈ アクセスログ
Claims (5)
- データが書き込まれて記憶されたまま残される追記形の記憶媒体からなる記憶媒体ライブラリと、該記憶媒体ライブラリイに書き込まれるデータに対するアクセスログが追記されるアクセスログ保存用記憶媒体とを備えたデータ保管システムにおいて、
該記憶媒体ライブラリに記憶された該データに対する該アクセスログ保存用記憶媒体での該アクセスログの有無を判定することにより、該アクセスログ保存用記憶媒体での改ざんの有無を検出することを特徴とするデータ保管システム。 - データが書き込まれて記憶されたまま残される追記形の記憶媒体からなる記憶媒体ライブラリと、該記憶媒体ライブラリイに書き込まれるデータに対するアクセスログが追記されるアクセスログ保存用記憶媒体とを備えたデータ保管システムにおいて、
該アクセスログ保存用記憶媒体での該アクセスログに対する該記憶媒体ライブラリでの該データの有無を判定することにより、該アクセスログ保存用記憶媒体での改ざんの有無を検出することを特徴とするデータ保管システム。 - 請求項１または２において、
前記アクセスログ保存用記憶媒体に記憶される前記アクセスログ毎に検証フラグを設定し、
前記アクセスログに対する前記データが前記記憶媒体ライブラリに存在するか否かの検証を前記アクセスログに対して行なうことにより、前記アクセスログに対する前記データが前記記憶媒体ライブラリに存在するとき、前記検証フラグを検証済みとし、
前記検証フラグが検証済みである前記アクセスログに対しては、検証処理を省略することを特徴とするデータ保管システム。 - 請求項１，２または３において、
前記アクセスログ保存用記憶媒体は、書き換え可能な記憶媒体であることを特徴とするデータ保管システム。 - 請求項１，２または３において、
前記アクセスログ保存用記憶媒体は、追記形の記憶媒体であることを特徴とするデータ保管システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000388997A JP3936839B2 (ja) | 2000-12-21 | 2000-12-21 | データ保管システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000388997A JP3936839B2 (ja) | 2000-12-21 | 2000-12-21 | データ保管システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002189634A JP2002189634A (ja) | 2002-07-05 |
| JP3936839B2 true JP3936839B2 (ja) | 2007-06-27 |
Family
ID=18855639
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000388997A Expired - Fee Related JP3936839B2 (ja) | 2000-12-21 | 2000-12-21 | データ保管システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3936839B2 (ja) |
-
2000
- 2000-12-21 JP JP2000388997A patent/JP3936839B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2002189634A (ja) | 2002-07-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP0479535B1 (en) | File managing method | |
| CN100470548C (zh) | 管理隐藏区域的装置和方法 | |
| US7904426B2 (en) | System and method for identifying a removable storage device | |
| US7624275B2 (en) | Disk drive, control method thereof and disk-falsification detection method | |
| CN1957414B (zh) | 一次写入盘的数据记录/再现 | |
| US7864478B2 (en) | Verification of a tape data storage cartridge | |
| JPH05313980A (ja) | 情報記録方法 | |
| US7502284B2 (en) | Methods for optical disc sector verification | |
| JPH1139801A (ja) | 情報記録方法 | |
| JP2002074832A (ja) | データ改竄チェック装置および方法、ならびに、記録媒体 | |
| JP3936839B2 (ja) | データ保管システム | |
| JP2891877B2 (ja) | 記録媒体及び電子出版物利用システム及び処理方法 | |
| JPH0876935A (ja) | バックアップデータ作成再生システム | |
| JPH03192436A (ja) | 情報記録再生方式 | |
| JPH03217972A (ja) | ファイル検索装置 | |
| CN100562937C (zh) | 一次写入型光盘的数据记录方法和装置 | |
| JPH11175380A (ja) | 情報再生方法 | |
| JP2002297431A (ja) | 追記型記憶媒体ボリュームの再編成処理方法 | |
| JPH0357037A (ja) | フアイル管理装置 | |
| JPH1186512A (ja) | 光ディスクのデータ書換方法 | |
| US7634172B1 (en) | Methods for recording multiple sessions on a rewritable DVD disc | |
| JPH08212121A (ja) | 情報記録方法 | |
| JP2004021632A (ja) | 記録媒体の未使用領域を有する記録単位に対して特定の情報を記録再生する方法 | |
| JPH0325636A (ja) | データレコードの管理方法 | |
| JP2982923B2 (ja) | ファイル管理方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060317 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060627 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060825 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070313 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070326 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130330 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |