JP5535998B2 - データ管理システムおよびデータ管理方法 - Google Patents

Description

本発明は、データ管理システムおよびデータ管理方法に関し、特に、バックアップデータを管理するデータ管理システムおよびデータ管理方法に関する。

特許文献１には、データのバックアップおよびリカバリを行うシステムが記載されている。特許文献１に記載のシステムは、利用者がリカバリクライアントを操作してバックアップデータにアクセスしてバックアップデータを取得することを許容している。

特開２００５−１９６４９１号公報

特許文献１に記載のシステムのように、利用者が直接バックアップデータにアクセス可能であると、悪意のある第三者が、利用者になりすまして不正にバックアップデータにアクセスしバックアップデータを不正に取得される恐れがある。

このため、バックアップデータへの不正アクセスを低減可能な手法が求められているという課題があった。

本発明の目的は、上記課題を解決可能なデータ管理システムおよびデータ管理方法を提供することである。

本発明のデータ管理システムは、データを記憶するデータ記憶手段を含むデータベースサーバと、前記データのバックアップデータを記憶するバックアップデータ記憶手段を含むバックアップサーバと、利用者端末からの要求に応じて前記データベースサーバ内のデータを用いて返答を返すサービスサーバと、前記利用者端末とは異なる管理者端末と接続するコントロールサーバと、前記コントロールサーバと接続するリカバリサーバと、を含むデータ管理システムであって、
前記コントロールサーバは、前記管理者端末から前記バックアップサーバ内の前記バックアップデータをリカバリする旨のリカバリ命令を受信すると、前記バックアップデータのリカバリを要求するリカバリ要求を前記バックアップサーバに送信し、また、前記管理者端末から前記バックアップデータを閲覧する旨の閲覧命令を受信すると、前記バックアップデータの閲覧を要求する閲覧要求を前記リカバリサーバに送信する動作制御手段を含み、
前記バックアップサーバは、前記リカバリ要求を受信すると、前記バックアップデータ記憶手段内の前記バックアップデータを前記リカバリサーバに送信するバックアップ制御手段を含み、
前記リカバリサーバは、前記バックアップ制御手段から前記バックアップデータを受信し、前記動作制御手段から前記閲覧要求を受信すると、前記バックアップデータを前記コントロールサーバに送信するリカバリ制御手段を含み、
前記動作制御手段は、前記リカバリサーバから前記バックアップデータを受信すると、当該バックアップデータを前記管理者端末に送信し、その後、前記管理者端末から少なくとも前記バックアップデータの一部であるリカバリ用情報を含む修正命令を受信すると、前記リカバリ用情報を含む修正要求を前記データベースサーバに送信し、
前記データベースサーバは、前記動作制御手段から前記修正要求を受信すると、前記修正要求に含まれるリカバリ用情報を用いて前記データ記憶手段内の前記データを修正するデータ制御手段を含む。

本発明のデータ管理方法は、データを記憶するデータ記憶手段を含むデータベースサーバと、前記データのバックアップデータを記憶するバックアップデータ記憶手段を含むバックアップサーバと、利用者端末からの要求に応じて前記データベースサーバ内のデータを用いて返答を返すサービスサーバと、前記利用者端末とは異なる管理者端末と接続するコントロールサーバと、前記コントロールサーバと接続するリカバリサーバと、を含むデータ管理システムでのデータ管理方法であって、
前記コントロールサーバが、前記管理者端末から前記バックアップサーバ内の前記バックアップデータをリカバリする旨のリカバリ命令を受信すると、前記バックアップデータのリカバリを要求するリカバリ要求を前記バックアップサーバに送信するステップと、
前記コントロールサーバが、前記管理者端末から前記バックアップデータを閲覧する旨の閲覧命令を受信すると、前記バックアップデータの閲覧を要求する閲覧要求を前記リカバリサーバに送信するステップと、
前記バックアップサーバが、前記リカバリ要求を受信すると、前記バックアップデータ記憶手段内の前記バックアップデータを前記リカバリサーバに送信するステップと、
前記リカバリサーバが、前記バックアップサーバから前記バックアップデータを受信し、前記コントロールサーバから前記閲覧要求を受信すると、前記バックアップデータを前記コントロールサーバに送信するステップと、
前記コントロールサーバが、前記リカバリサーバから前記バックアップデータを受信すると、当該バックアップデータを前記管理者端末に送信し、その後、前記管理者端末から少なくとも前記バックアップデータの一部であるリカバリ用情報を含む修正命令を受信すると、前記リカバリ用情報を含む修正要求を前記データベースサーバに送信するステップと、
前記データベースサーバが、前記コントロールサーバから前記修正要求を受信すると、前記修正要求に含まれるリカバリ用情報を用いて前記データ記憶手段内の前記データを修正するステップと、を含む。

本発明によれば、バックアップデータのセキュリティを向上することが可能になり、バックアップデータに対する不正なアクセスを低減することが可能になる。

本発明の一実施形態のデータ管理システム１００を示す図である。 データベースサーバ内のデータへのアクセス動作を説明するためのシーケンス図である。 バックアップ動作を説明するためのシーケンス図である。 データベースサーバ５ａ用のリカバリリストの一例を示した図である。 リカバリ動作を説明するためのシーケンス図である。 管理者と、管理者がデータを操作できるデータベースサーバと、の関係を表す関係情報６００を示した図である。 バックアップデータへのアクセス動作を説明するためのシーケンスである。

以下、本発明の一実施形態について図面を参照して説明する。

図１は、本発明の一実施形態のデータ管理システム１００を示す図である。

図１において、データ管理システム１００は、インターネット等の通信回線１を介して利用者端末２ａ〜２ｃと接続し、また、インターネット、公衆回線または専用線などの通信回線３を介して管理者端末４と接続する。以下では、通信回線１としてインターネットが用いられるとする。

データ管理システム１００は、データ（例えば、テーブルまたはデータベース）を記憶するデータベースサーバ５ａおよび５ｂと、バックアップサーバ６と、ＷＥＢサーバ７ａおよび７ｂと、コントロールサーバ８と、リカバリサーバ９と、を含む。

データベースサーバ５ａおよび５ｂと、バックアップサーバ６と、ＷＥＢサーバ７ａおよび７ｂと、コントロールサーバ８と、リカバリサーバ９とは、ＬＡＮ（Local Area Network）等の通信回線１０を介して互いに通信可能である。以下では、通信回線１０としてＬＡＮが用いられるとする。

利用者端末２ａ〜２ｃは、例えば、ＰＣ（personal computer）でありデータベースサーバ５ａまたは５ｂの利用者にて使用される。管理者端末４は、例えば、ＰＣでありデータ管理システム１００の管理者にて使用される。

データベースサーバ５ａは、記憶部５ａ１とデータ制御部５ａ２とを含む。

記憶部５ａ１は、データ記憶手段の一例である。

記憶部５ａ１は、利用者データや商品データなどのデータを記憶する。本実施形態では、記憶部５ａ１が記憶するデータは、利用者データや商品データ等のテーブルまたはデータベースである。なお、記憶部５ａ１内のテーブルまたはデータベースは、利用者データや商品データのテーブルまたはデータベースに限らず適宜変更可能である。

本実施形態では、記憶部５ａ１は、データ（テーブルまたはデータベース）と共に、そのデータの名称および更新日時を記憶する。データの名称は、データ識別子の一例である。また、記憶部５ａ１は、バックアップフォルダを有する。記憶部５ａ１内のデータは、ＷＥＢサーバ７ａからのアクセスを許可するが、バックアップフォルダは、ＷＥＢサーバ７ａからのアクセスは禁止されており、バックアップサーバ６からのアクセスは許可されている。

記憶部５ａ１のバックアップフォルダには、バックアップファイルが記憶される。

バックアップファイルには、記憶部５ａ１内のデータ（テーブルまたはデータベース）のバックアップデータと、属性情報とが含まれる。属性情報は、バックアップデータの元となったデータ（以下「バックアップ対象データ」と称する）の名称と、バックアップ対象データが記憶されているデータベースサーバの識別子（例えば、データベースサーバの名称）と、を表す。

データ制御部５ａ２は、データ制御手段の一例である。

データ制御部５ａ２は、データベースサーバ５ａの動作を制御する。

例えば、データ制御部５ａ２は、ＷＥＢサーバ７ａからの要求に応じて記憶部５ａ１にアクセスする。

また、データ制御部５ａ２は、記憶部５ａ１内のデータ（テーブルやデータベース）のバックアップを要求するバックアップ要求を受信した場合に、バックアップが要求されたデータであるバックアップ対象データをコピーしてバックアップデータを作成し、かつ、バックアップ対象データの名称（テーブル名やデータベース名）と、バックアップ対象データが存在するデータベースサーバの識別子（この場合、データベースサーバ５ａの識別子）と、を表す属性情報を作成する。

データ制御部５ａ２は、バックアップデータと属性情報とを含むバックアップファイルを作成し、そのバックアップファイルを、記憶部５ａ１内のバックアップフォルダに記憶する。本実施形態では、データ制御部５ａ２は、バックアップファイルの名称として、属性情報が表すバックアップ対象データの名称を用いる。

データ制御部５ａ２は、通信部５ａ２１と制御部５ａ２２とを含む。通信部５ａ２１は、ＷＥＢサーバ７ａおよびＬＡＮ１０と接続する。制御部５ａ２２は、データ制御部５ａ２の動作を制御する。

データベースサーバ５ｂは、記憶部５ｂ１とデータ制御部５ｂ２とを含む。

記憶部５ｂ１は、データ記憶手段の一例である。

なお、記憶部５ｂ１についての説明は、上述した記憶部５ａ１の説明において、「記憶部５ａ１」という記載を「記憶部５ｂ１」と読み替え、「利用者端末２ａにて使用され」という記載を「利用者端末２ｂおよび２ｃにて使用され」と読み替えることで済む。このため、記憶部５ｂ１についての詳細な説明は割愛する。

データ制御部５ｂ２は、データ制御手段の一例である。

なお、データ制御部５ｂ２についての説明は、上述したデータ制御部５ａ２の説明において、「データ制御部５ａ２」という記載を「データ制御部５ｂ２」と読み替え、「データベースサーバ５ａ」という記載を「データベースサーバ５ｂ」と読み替え、「ＷＥＢサーバ７ａ」という記載を「ＷＥＢサーバ７ｂ」と読み替え、「記憶部５ａ１」という記載を「記憶部５ｂ１」と読み替え、「通信部５ａ２１」という記載を「通信部５ｂ２１」と読み替え、「制御部５ａ２２」という記載を「制御部５ｂ２２」と読み替えることで済む。このため、データ制御部５ｂ２についての詳細な説明は割愛する。

バックアップサーバ６は、利用者端末２ａ〜２ｃと接続しておらず、また、記憶部６１とバックアップ制御部６２とを含む。

記憶部６１は、バックアップデータ記憶手段の一例である。

バックアップ制御部６２は、バックアップ制御手段の一例である。

バックアップ制御部６２は、バックアップサーバ６の動作を制御する。

例えば、バックアップ制御部６２は、データベースサーバ５ａおよび５ｂを定期的に監視し、データベースサーバ５ａにバックアップデータが存在するか、および、データベースサーバ５ｂにバックアップデータが存在するかを確認する。

本実施形態では、バックアップ制御部６２は、データベースサーバ５ａの記憶部５ａ１のバックアップフォルダにバックアップファイルが存在するか、および、データベースサーバ５ｂの記憶部５ｂ１のバックアップフォルダにバックアップファイルが存在するかを、定期的に確認する。

また、バックアップ制御部６２は、記憶部５ａ１のバックアップフォルダにバックアップファイルが存在する場合、記憶部５ａ１のバックアップフォルダ内のバックアップファイルを記憶部６１内に移動する。また、バックアップ制御部６２は、記憶部５ｂ１のバックアップフォルダにバックアップファイルが存在する場合、記憶部５ｂ１のバックアップフォルダ内のバックアップファイルを記憶部６１内に移動する。

なお、記憶部６１には、記憶部６１内のバックアップファイルを示すリカバリリストも記憶されており、バックアップ制御部６２は、記憶部６１内のバックアップファイルの名称を、そのバックアップファイルの作成元のデータベースサーバの識別子と共に、リカバリリストに記憶する。

バックアップ制御部６２は、通信部６２１と制御部６２２とを含む。通信部６２１は、ＬＡＮ１０と接続する。制御部６２２は、バックアップ制御部６２の動作を制御する。

ＷＥＢサーバ７ａは、サービスサーバの一例である。ＷＥＢサーバ７ａは、サービス制御部７ａ１を含む。

サービス制御部７ａ１は、複数の利用者端末のうち利用者端末２ａと接続し、ＷＥＢサーバ７ａの動作を制御する。

例えば、サービス制御部７ａ１は、利用者端末２ａからの要求に応じて、データベースサーバ５ａ内のデータを用いて返答を利用者端末２ａに返す。

一例としては、データベースサーバ５ａ内の記憶部５ａ１が、ユーザＩＤとパスワードとの組み合わせを示したテーブルを記憶している状況で、サービス制御部７ａ１は、利用者端末２ａからユーザＩＤとパスワードとを含む要求を受信すると、データベースサーバ５ａ内のユーザＩＤとパスワードとの組み合わせを示したテーブルを用いて、利用者端末２ａを認証し、ユーザＩＤとパスワードとの組み合わせが合致していれば、ユーザ用ホームページの情報を、利用者端末２ａからの要求に対する応答として利用者端末２ａに返す。

また、サービス制御部７ａ１は、利用者端末２ａからバックアップデータへのアクセス要求を受信すると、そのバックアップデータへのアクセス要求を無効にする。例えば、サービス制御部７ａ１は、そのバックアップデータへのアクセス要求を消去することによって、そのバックアップデータへのアクセス要求を無効にする。

サービス制御部７ａ１は、通信部７ａ１１と制御部７ａ１２とを含む。通信部７ａ１１は、データベースサーバ５ａおよびインターネット１と接続する。制御部７ａ１２は、サービス制御部７ａ１の動作を制御する。

ＷＥＢサーバ７ｂは、サービスサーバの一例である。ＷＥＢサーバ７ｂは、サービス制御部７ｂ１を含む。

サービス制御部７ｂ１は、複数の利用者端末のうち利用者端末２ｂおよび２ｃと接続し、ＷＥＢサーバ７ｂの動作を制御する。

なお、サービス制御部７ｂ１についての説明は、上述したサービス制御部７ａ１の説明において、「サービス制御部７ａ１」という記載を「サービス制御部７ｂ１」と読み替え、「ＷＥＢサーバ７ａ」という記載を「ＷＥＢサーバ７ｂ」と読み替え、「利用者端末２ａ」という部分を「利用者端末２ｂまたは２ｃ」と読み替え、「記憶部５ａ１」という記載を「記憶部５ｂ１」と読み替え、「データベースサーバ５ａ」という記載を「データベースサーバ５ｂ」と読み替え、「データ制御部５ａ２」という記載を「データ制御部５ｂ２」と読み替え、「通信部７ａ１１」という記載を「通信部７ｂ１１」と読み替え、「制御部７ａ１２」という記載を「制御部７ｂ１２」と読み替えることで済む。このため、サービス制御部７ｂ１についての詳細な説明は割愛する。

コントロールサーバ８は、通信回線３を介して管理者端末４と接続する。コントロールサーバ８は、動作制御部８１を含む。

動作制御部８１は、動作制御手段の一例である。

動作制御部８１は、コントロールサーバ８の動作を制御する。

例えば、動作制御部８１は、管理者端末４から種々のコマンド（命令）を受信し、そのコマンドに応じた要求を、データベースサーバ５ａや５ｂ、バックアップサーバ６またはリカバリサーバ９に送信し、要求に対する応答を受け付けると、その応答を管理者端末４に送信する。

一例としては、動作制御部８１は、管理者端末４から、データベースサーバ５ａ内のデータのバックアップを要求するバックアップコマンドを受信すると、バックアップ要求をデータベースサーバ５ａに送信し、また、管理者端末４から、データベースサーバ５ｂ内のデータのバックアップを要求するバックアップコマンドを受信すると、バックアップ要求をデータベースサーバ５ｂに送信する。なお、バックアップコマンドは、バックアップ命令の一例である。

動作制御部８１は、通信部８１１と制御部８１２とを含む。通信部８１１は、管理者端末４およびＬＡＮ１０と接続する。制御部８１２は、動作制御部８１の動作を制御する。

リカバリサーバ９は、リカバリ制御部９１を含む。

リカバリ制御部９１は、リカバリ制御手段の一例である。

リカバリ制御部９１は、リカバリサーバ９の動作を制御する。

例えば、リカバリ制御部９１は、バックアップサーバ６からデータのリカバリに使用されるバックアップファイルを受信し、そのバックアップファイルを開いてバックアップデータ（テーブルまたはデータベース）と属性情報とを取り出す。リカバリ制御部９１は、コントロールサーバ８からの要求に応じて、バックアップデータと属性情報とをコントロールサーバ８に送信する。

なお、コントロールサーバ８に送信されたバックアップデータと属性情報は、データベースサーバ５ａまたは５ｂ内のデータのリカバリ（修正）を要求する修正要求を作成するために使用され、データベースサーバ５ａまたは５ｂ内のデータは、修正要求に従ってリカバリ（修正）される
リカバリ制御部９１は、通信部９１１と制御部９１２と記憶部９１３とを含む。通信部９１１は、ＬＡＮ１０と接続する。制御部９１２は、リカバリ制御部９１の動作を制御する。記憶部９１３は、リカバリに使用されるバックアップデータおよび属性情報を記憶する。

次に、動作を説明する。

まず、利用者端末からの要求に応じた動作を説明する。

図２は、利用者端末からの要求に応じた動作を説明するためのシーケンス図である。図２では、説明の簡略化のため、利用者端末２ａ〜２ｃのうち利用者端末２ａを示し、ＷＥＢサーバ７ａ〜７ｂのうちＷＥＢサーバ７ａを示し、データベースサーバ５ａ〜５ｂのうちデータベースサーバ５ａを示している。

利用者端末２ａが、ＷＥＢサーバ７ａと接続し、その後、データベースサーバ５ａの記憶部５ａ１内のデータへのアクセス要求（例えば、読み込み要求）をＷＥＢサーバ７ａに送信すると（ステップＡ１）、ＷＥＢサーバ７ａ内の制御部７ａ１２は、通信部７ａ１１を介して、そのアクセス要求を受信する。

制御部７ａ１２は、アクセス要求を受信すると、そのアクセス要求にてアクセスが要求されたデータにアクセスする（ステップＡ２）。

例えば、アクセス要求が読み込み要求である場合、制御部７ａ１２は、そのアクセス要求にてアクセスが要求されたデータ（記憶部５ａ１内のデータであるテーブルまたはデータベース）を読み込み（ステップＡ３）、そのデータを利用者端末２ａに出力する（ステップＡ４）。

次に、バックアップ動作を説明する。

図３は、バックアップ動作を説明するためのシーケンス図である。なお、図３では、説明の簡略化のため、データベースサーバ５ａおよび５ｂのうち、データベースサーバ５ａを示している。

管理者端末４が、コントロールサーバ８と接続し、その後、データベースサーバ５ａ内のデータのバックアップを要求するバックアップコマンドをコントロールサーバ８に送信すると（ステップＢ１）、コントロールサーバ８内の制御部８１２は、通信部８１１を介して、そのバックアップコマンドを受信する。

なお、バックアップコマンドには、データベースサーバを特定するためのデータベースサーバ識別子（例えば、データベースサーバの名称）、および、バックアップ対象データを特定するための対象データ特定情報が付加されてもよい。

対象データ特定情報は、バックアップ対象データの名称（例えば、テーブル名またはデータベース名）でもよい。また、バックアップ対象データが所定の期間内に更新されたデータであるという条件によってバックアップ対象データが特定される場合には、対象データ特定情報は、その所定の更新期間を表す情報でもよい。

以下の説明では、バックアップコマンドに、データベースサーバ識別子として、データベースサーバ５ａの名称（例えば、ＤＢ００１）が付加され、対象データ特定情報が付加されていないものとする。

制御部８１２は、バックアップコマンドを受信すると、データベースサーバ識別子にて特定されるデータベースサーバ５ａに、バックアップ要求を通信部８１１から送信する（ステップＢ２）。

この場合、バックアップコマンドに対象データ特定情報が付加されていないため、制御部８１２は、データベースサーバ５ａ内のすべてのデータをバックアップ対象データとする旨のバックアップ要求を生成し、そのバックアップ要求を、通信部８１１からデータベースサーバ５ａに送信する。

なお、バックアップコマンドに対象データ特定情報が付加されている場合には、制御部８１２は、その対象データ特定情報が付加されたバックアップ要求を生成し、そのバックアップ要求を、通信部８１１からデータベースサーバ５ａに送信する。

データベースサーバ５ａ内の制御部５ａ２２は、通信部５ａ２１を介してバックアップ要求を受信すると、記憶部５ａ１内のバックアップ対象データ（この場合、記憶部５ａ１内のすべてのデータ）をコピーしてバックアップ対象データのバックアップデータを作成し、かつ、バックアップデータごとに、バックアップデータの元になったバックアップ対象データの名称（テーブル名やデータベース名）と、バックアップ対象データが存在するデータベースサーバの識別子（この場合、データベースサーバ５ａの識別子）と、を表す属性情報を作成する。なお、属性情報に、バックアップデータを作成した日時であるバックアップ日時が含まれてもよい。

制御部５ａ２２は、対象データ特定情報が付加されたバックアップ要求を受信した場合には、対象データ特定情報にて特定されるバックアップ対象データをコピーしてバックアップ対象データのバックアップデータを作成し、かつ、バックアップデータごとに、バックアップデータの元になったバックアップ対象データの名称と、バックアップ対象データが存在するデータベースサーバの識別子と、を表す属性情報を作成する。この場合も、属性情報に、バックアップデータを作成した日時であるバックアップ日時が含まれてもよい。

なお、バックアップ要求に対象データ特定情報が付加されている場合には、属性情報に、対象データ特定情報を付加する。

続いて、制御部５ａ２２は、バックアップデータごとに、バックアップデータと属性情報とを含むバックアップファイルを作成し（ステップＢ３）、そのバックアップファイルを、記憶部５ａ１内のバックアップフォルダに記憶する（ステップＢ４）。本実施形態では、バックアップファイルの名称として、バックアップ対象データの名称を使用する。

一方、バックアップサーバ６内の制御部６２２は、通信部６２１を用いて、既定時間（例えば、１０分）ごとに、各データベースサーバ５ａおよび５ｂのバックアップフォルダに巡回的にアクセスし、バックアップファイルの有無を確認する（ステップＢ５）。なお、既定時間は１０分に限らず適宜変更可能である。

バックアップフォルダにバックアップファイルがあると、制御部６２２は、バックアップファイルを有するデータベースサーバ（ここでは、データベースサーバ５ａとする）に、バックアップファイルを取得する旨のバックアップファイル取得要求を、通信部６２１から送信する（ステップＢ６）。

データベースサーバ５ａ内の制御部５ａ２２は、通信部５ａ２１を介してバックアップファイル取得要求を受信すると、記憶部５ａ１のバックアップフォルダ内のバックアップファイルを読み取り、その読み取られたバックアップファイルを、通信部５ａ２１からバックアップサーバ６に送信し（ステップＢ７）、その後、記憶部５ａ１のバックアップフォルダ内のバックアップファイルを削除する。

バックアップサーバ６内の制御部６２２は、通信部６２１を介してバックアップファイルを受信すると、そのバックアップファイルを記憶部６１に記憶する（ステップＢ８）。

つまり、制御部６２２は、バックアップファイル取得要求を送信することによって、記憶部５ａ１のバックアップフォルダ内のバックアップファイルを、記憶部６１内に移動する。

続いて、制御部６２２は、記憶部６１内のリカバリリストに、そのバックアップファイルの名称と、データベースサーバ５ａの識別子と、を追記する（ステップＢ９）。

なお、属性情報にバックアップ日時が含まれている場合には、リカバリリストにバックアップ日時が記載されてもよい。また、属性情報に対象データ特定情報が含まれている場合には、リカバリリストに対象データ特定情報が記載されてもよい。

図４は、リカバリリストの一例を示した図である。

図４に示したリカバリリストは、データベースサーバ識別子とバックアップファイル名とバックアップ日時とを表す。なお、バックアップファイル名の拡張子は、「ｂａｋ」に限らず適宜変更可能である。また、リカバリリストに、属性情報が表すバックアップ対象データの名称が記載されてもよい。また、リカバリリストに、バックアップの管理上のユニークな番号などの識別子であるバックアップ識別子も付加してもよい。

次に、リカバリ動作を説明する。

図５は、リカバリ動作を説明するためのシーケンス図である。なお、図５では、説明の簡略化のため、データベースサーバ５ａおよび５ｂのうち、データベースサーバ５ａを示している。

管理者端末４が、コントロールサーバ８に接続し、その後、リカバリリストを要求するリスト要求コマンドをコントロールサーバ８に送信すると（ステップＣ１）、コントロールサーバ８内の制御部８１２は、通信部８１１を介して、そのリスト要求コマンドを受信する。リスト要求コマンドは、リスト要求命令の一例である。なお、リスト要求コマンドには、データベースサーバ識別子が含まれてもよい。

なお、本実施形態では、制御部８１２は、管理者端末４を認証した後に管理者端末４と接続する。制御部８１２は、管理者端末４を認証する際に、管理者端末４の使用者である管理者の識別子（以下「管理者識別子」と称する）を得る。

本実施形態では、管理者ごとに、その管理者がデータを操作できるデータベースサーバが特定されている。

図６は、管理者と、管理者がデータを操作できるデータベースサーバと、の関係を表す関係情報６００を示した図である。

関係情報６００では、管理者識別子６０１ごとに、管理者識別子６０１とデータベースサーバ識別子６０２とが互いに関連づけられている。データベースサーバ識別子６０２は、データベースサーバ識別子６０２に関連づけられた管理者識別子６０１にて特定される管理者がデータを操作できるデータベースサーバを示す。関係情報６００は、コントロールサーバ８内の記憶部（不図示）またはバックアップサーバ６内の記憶部６１に記憶されている。以下の説明では、関係情報６００は、バックアップサーバ６内の記憶部６１に記憶されているとする。

なお、図６では、管理者識別子６０１が「Ｕ００１」である管理者が、データベースサーバ識別子６０２が「ＤＢ００１」であるデータベースサーバ（データベースサーバ５ａ）と関連づけられ、管理者識別子６０１が「Ｕ００２」である管理者が、データベースサーバ識別子６０２が「ＤＢ００２」であるデータベースサーバ（データベースサーバ５ｂ）と関連づけられているが、１人の管理者が複数のデータベースサーバ内のデータを操作できる場合には、１つの管理者識別子に複数のデータベースサーバ識別子が関連づけられる。

また、関係情報６００において、管理者識別子６０１ごとに、管理者識別子６０１にて特定される管理者が操作できるデータ（テーブルまたはデータベース）の名称を追加してもよい。

制御部８１２は、リスト要求コマンドを受信すると、リカバリリストを要求するリスト要求を、通信部８１１からバックアップサーバ６に送信する（ステップＣ２）。

本実施形態では、リスト要求コマンドにデータベースサーバ識別子が含まれていない場合、制御部８１２は、制御部８１２が管理者端末４と接続する際に得た管理者識別子を含むリスト要求を生成し、そのリスト要求を、通信部８１１からバックアップサーバ６に送信する。

一方、リスト要求コマンドにデータベースサーバ識別子が含まれている場合、制御部８１２は、リスト要求コマンド内のデータベースサーバ識別子を含むリスト要求を生成し、そのリスト要求を、通信部８１１からバックアップサーバ６に送信する。

なお、リスト要求コマンドにデータベースサーバ識別子が含まれていた場合に、制御部８１２は、制御部８１２が管理者端末４と接続する際に得た管理者識別子と、リスト要求コマンド内のデータベースサーバ識別子と、を含むリスト要求を生成し、そのリスト要求を、通信部８１１からバックアップサーバ６に送信してもよい。

バックアップサーバ６内の制御部６２２は、通信部６２１を介してリスト要求を受信すると、リカバリリストに記載されたバックアップファイル名の中から、リスト要求内の管理者識別子にて関係情報６００から特定されるデータベースサーバ識別子、または、リスト要求内のデータベースサーバ識別子に関連づけられたバックアップファイル名を該当バックアップファイル名として特定する。

なお、制御部６２２は、リスト要求にデータベースサーバ識別子が含まれず管理者識別子が含まれる場合には、記憶部６１内の関係情報６００（図６参照）を参照して、リスト要求内の管理者識別子に関連づけられたデータベースサーバ識別子を特定する。

また、制御部６２２は、リスト要求に管理者識別子とデータベースサーバ識別子とが含まれる場合には、記憶部６１内の関係情報６００（図６参照）を参照して、リスト要求内の管理者識別子に関連づけられたデータベースサーバ識別子を特定し、その特定されたデータベースサーバ識別子と、リスト要求内のデータベースサーバ識別子とが一致した場合に、そのデータベースサーバ識別子に関連づけられたバックアップファイル名を該当バックアップファイル名として特定する。なお、特定されたデータベースサーバ識別子とリスト要求内のデータベースサーバ識別子とが一致しない場合には、制御部６２２は、エラーを示すエラー情報をコントロールサーバ８に送信する。

続いて、制御部６２２は、リカバリリストから、特定された該当データベースサーバ識別子に関連づけられた該当バックアップファイル名と、その該当データベースサーバ識別子およびバックアップ日時とを、該当バックアップファイル名ごとに示したリストを、リカバリリストとして、通信部６２１からコントロールサーバ８に送信する（ステップＣ３）。また、送信されるリカバリリストにバックアップ識別子も含めてもよく、バックアップがデータベースサーバ内のすべてのデータではなく、テーブル名またはデータベース名などの単位の場合は、バックアップ対象データの名称などの属性情報も、送信されるリカバリリストに含めて送信してもよい。また、バックアップ対象データの名称が、送信されるリカバリリストに含まれる場合は、バックアップファイル名を送信しなくてもよい。

コントロールサーバ８内の制御部８１２は、通信部８１１を介してエラー情報を受信すると、エラー情報を通信部８１１から管理者端末４に送信し、管理者端末４の表示部（不図示）にエラーが生じた旨を表示する。

一方、制御部８１２は、通信部８１１を介してリカバリリストを受信すると、リカバリリストを通信部８１１から管理者端末４に送信し（ステップＣ４）、管理者端末４の表示部（不図示）にリカバリリストを表示する（ステップＣ５）。

管理者端末４の使用者（管理者）は、管理者端末４を操作して、リカバリリストに示されたバックアップファイル名の中から、リカバリに用いるバックアップファイル名を、バックアップファイル識別情報として選択する。バックアップファイル識別情報は、リカバリに用いるバックアップファイル名に限らず、リカバリリスト上のバックアップファイルを識別するための情報（例えば、バックアップ日時やバックアップ識別子などの少なくとも１つ）でもよい。

管理者端末４は、バックアップファイル識別情報が選択されると、そのバックアップファイル識別情報を含むリカバリコマンドを、コントロールサーバ８に送信する（ステップＣ６）。なお、リカバリコマンドは、リカバリ命令の一例である。

コントロールサーバ８内の制御部８１２は、通信部８１１を介してリカバリコマンドを受信すると、リカバリコマンド内のバックアップファイル識別情報を含むリカバリ要求を、バックアップサーバ６に送信する（ステップＣ７）。

バックアップサーバ６内の制御部６２２は、通信部６２１を介してリカバリ要求を受信すると、必要によりリカバリリストを参照し、記憶部６１から、リカバリ要求に含まれるバックアップファイル識別情報にて識別されたバックアップファイルを読み出し、そのバックアップファイルを、通信部６２１からリカバリサーバ９に送信する（ステップＣ８）。

リカバリサーバ９内の制御部９１２は、通信部９１１を介してバックアップファイルを受信すると、そのバックアップファイルを開いてバックアップデータ（テーブルまたはデータベース）と属性情報とを取り出し、バックアップデータと属性情報とを記憶部９１３に記憶する（ステップＣ９）。

続いて、制御部９１２は、リカバリの準備ができた旨の準備完了通知を、通信部９１１からコントロールサーバ８へ送信する（ステップＣ１０）。

コントロールサーバ８内の制御部８１２は、通信部８１１を介して準備完了通知を受信すると、準備完了通知を通信部８１１から管理者端末４に送信し（ステップＣ１１）、管理者端末４の表示部（不図示）にリカバリの準備ができた旨を表示する（ステップＣ１２）。

管理者端末４の使用者（管理者）は、リカバリの準備ができた旨の表示を確認し、その後、管理者端末４を操作して、バックアップデータを閲覧する旨の閲覧コマンドを入力する。なお、閲覧コマンドは、閲覧命令の一例である。管理者端末４は、閲覧コマンドを受け付けると、閲覧コマンドをコントロールサーバ８へ送信する（ステップＣ１３）。

コントロールサーバ８内の制御部８１２は、通信部８１１を介して閲覧コマンドを受信すると、リカバリサーバ９用の専用閲覧ブラウザ（以下「専用閲覧ブラウザ」と称する）を立ち上げて実行し（ステップＣ１４）、専用閲覧ブラウザを用いて、バックアップデータの閲覧を要求する閲覧要求を、通信部８１１からリカバリサーバ９に送信する（ステップＣ１５）。なお、制御部８１２は、閲覧要求にテーブル名またはデータベース名などを指定する属性情報を付加してもよい。

リカバリサーバ９内の制御部９１２は、通信部９１１を介して閲覧要求を受信すると、記憶部９１３内のバックアップデータ（テーブル名またはデータベース名が指定された場合はそのテーブルやデータベースのデータ）を、通信部９１１からコントロールサーバ８に送信する（ステップＣ１６）。なお、制御部９１２は、バックアップデータに属性情報を含めてもよい。

コントロールサーバ８内の制御部８１２は、通信部８１１を介してバックアップデータ（テーブルまたはデータベース）を受信すると、専用閲覧ブラウザを用いて、バックアップデータを通信部８１１から管理者端末４に表示するデータとして送信して（ステップＣ１７）管理者端末４の表示部（不図示）にバックアップデータを表示する（ステップＣ１８）。

管理者端末４の使用者（管理者）は、表示したバックアップデータを確認し、その後、専用閲覧ブラウザにて表示されたバックアップデータすべて、もしくは少なくとも一部のデータベースやテーブルを特定する属性情報（例えば、バックアップデータすべての場合は省略してもよく、データベースやテーブルならデータベース名やテーブル名）、リカバリを行うデータベースサーバの識別子（この場合、「データベースサーバ５ａ」の名称）と、を含む修正コマンドを、管理者端末４を操作して入力する。なお、修正コマンドは、修正命令の一例である。管理者端末４は、修正コマンドを受け付けると、その修正コマンドをコントロールサーバ８に送信する（ステップＣ１９）。

コントロールサーバ８内の制御部８１２は、通信部８１１を介して修正コマンドを受信すると、修正コマンド内の属性情報とデータベースサーバの識別子とを含む修正依頼コマンドを、通信部８１１から、リカバリサーバ９に送信する（ステップＣ２０）。

リカバリサーバ９内の制御部９１２は、通信部９１１を介して修正依頼コマンドを受信すると、修正依頼コマンド内の属性情報によって特定されるバックアップデータの少なくとも一部（以下「リカバリ情報」と呼ぶ）を記憶部９１３内から読み出し、リカバリ情報およびその属性情報と修正依頼コマンド内のデータベースサーバの識別子とを、返信修正コマンドとして、通信部９１１からコントロールサーバ８に送信する（ステップＣ２１）。ここで、制御部９１２は、修正依頼コマンド内のデータベースサーバの識別子が記憶部９１３内の属性情報のデータベースサーバの識別子と合致するか照合し、合致していなければエラーを返してもよい。

コントロールサーバ８内の制御部８１２は、通信部８１１を介して返信修正コマンドを受信すると、返信修正コマンド内のリカバリ情報およびその属性情報を含む修正要求を、通信部８１１から、返信修正コマンド内のデータベースサーバの識別子にて特定されるデータベースサーバ（この例では、データベースサーバ５ａ）に送信する（ステップＣ２２）。

データベースサーバ５ａ内の制御部５ａ２２は、通信部５ａ２１を介して修正要求を受信すると、修正要求内の属性情報に表されたバックアップデータ名と同一の名称を有するデータ（テーブルまたはデータベース）を、リカバリ情報に一致するように書き換えて修正（リカバリ）する（ステップＣ２３）。

制御部５ａ２２は、リカバリが終了すると、リカバリが終了した旨のリカバリ終了通知を、通信部５ａ２１からコントロールサーバ８に送信する（ステップＣ２４）。

コントロールサーバ８内の制御部８１２が、通信部８１１を介してリカバリ終了通知を受信すると、制御部８１２内の専用閲覧ブラウザが、データを削除する旨のデータ削除要求を、通信部８１１からリカバリサーバ９に送信する（ステップＣ２５）。

リカバリサーバ９内の制御部９１２は、通信部９１１を介してデータ削除要求を受信すると、記憶部９１３内のバックアップデータおよび属性情報を削除する（ステップＣ２６）。

なお、制御部８１２もしくは制御部９１２は、記憶部９１３内のバックアップデータおよび属性情報の削除が完了するまで、次のバックアップファイル（他のバックアップファイル）の受付を禁止する。

また、制御部９１２は、データ削除要求を受信しなくとも、バックアップファイルを受信してから既定時間経過後に、記憶部９１３内のデータ、つまり、受信されたバックアップファイルから展開されたバックアップデータおよび属性情報を削除してもよい。

次に、バックアップデータへのアクセス要求についての動作を説明する。

図７は、バックアップデータへのアクセス動作を説明するためのシーケンスである。図７では、説明の簡略化のため、利用者端末２ａ〜２ｃのうち利用者端末２ａを示し、ＷＥＢサーバ７ａ〜７ｂのうちＷＥＢサーバ７ａを示している。

利用者端末２ａが、ＷＥＢサーバ７ａと接続し、その後、データベースサーバ５ａの記憶部５ａ１内のデータのバックアップデータへのアクセス要求をＷＥＢサーバ７ａに送信すると（ステップＤ１）、ＷＥＢサーバ７ａ内の制御部７ａ１２は、そのアクセス要求を受信した後、そのアクセス要求を削除してそのアクセス要求を無効にする（ステップＤ２）。

次に、本実施形態の効果を説明する。

本実施形態によれば、データベースサーバ５ａ内のデータ制御部５ａ２は、記憶部５ａ１内のデータのバックアップを要求するバックアップ要求を受信すると、そのデータのバックアップデータ（バックアップファイル）を作成する。また、データベースサーバ５ｂ内のデータ制御部５ｂ２は、記憶部５ｂ１内のデータのバックアップを要求するバックアップ要求を受信すると、そのデータのバックアップデータ（バックアップファイル）を作成する。

バックアップサーバ６内のバックアップ制御部６２は、バックアップデータがデータベースサーバ５ａに存在する場合に、データベースサーバ５ａ内のバックアップデータを記憶部６１内に移動する。また、バックアップ制御部６２は、バックアップデータがデータベースサーバ５ｂに存在する場合に、データベースサーバ５ｂ内のバックアップデータを記憶部６１内に移動する。

このため、バックアップデータが、利用者端末と直接的に通信しないバックアップサーバ６内に記憶される。よって、利用者端末と通信するＷＥＢサーバに接続されているデータベースサーバ内に、バックアップデータが保持され続ける場合に比べて、バックアップデータのセキュリティを保つことが可能になる。したがって、バックアップデータへの不正なアクセスを低減することが可能になる。よって、セキュリティが保たれた状態で、バックアップ処理を実行することが可能になる。

また、複数のデータベースサーバに対してバックアップ要求がほぼ同時に行われても、バックアップサーバ６内のバックアップ制御部６２が主導的にバックアップデータ（バックアップファイル）の取得を行うため、バックアップ制御部６２がバックアップデータの取得ついてのスケジュールを管理することができる。よって、バックアップデータの取得するために使用する通信回線（ネットワーク）１０の高負荷を防ぐことが可能になる。

また、本実施形態では、コントロールサーバ８内の動作制御部８１は、管理者端末４からデータベースサーバ５ａ内のデータのバックアップを要求するバックアップコマンドを受信すると、バックアップ要求をデータベースサーバ５ａに送信し、また、管理者端末４からデータベースサーバ５ｂ内のデータのバックアップを要求するバックアップコマンドを受信すると、バックアップ要求をデータベースサーバ５ｂに送信する。

このため、管理者端末４からのバックアップコマンドによって、バックアップデータを作成することが可能になる。よって、管理者端末４の使用者である管理者（例えば、システムエンジニア）が、自由にいつでもバックアップの指示を実行することが可能になる。

また、本実施形態では、コントロールサーバ８内の動作制御部８１は、管理者端末４からリカバリコマンドを受信すると、リカバリ要求をバックアップサーバ６に送信し、また、管理者端末４から閲覧コマンドを受信すると、閲覧要求をリカバリサーバ９に送信する。

バックアップサーバ６内のバックアップ制御部６２は、リカバリ要求を受信すると、記憶部６１内のバックアップデータ（バックアップファイル）をリカバリサーバ９に送信する。

リカバリサーバ９内のリカバリ制御部９１は、バックアップ制御部６２からバックアップデータを受信しコントロールサーバ８内の動作制御部８１から閲覧要求を受信すると、バックアップデータをコントロールサーバ８に送信する。

コントロールサーバ８内の動作制御部８１は、リカバリサーバ９からバックアップデータを受信すると、そのバックアップデータを管理者端末４に送信し、その後、管理者端末４から少なくともバックアップデータの一部であるリカバリ用情報を含む修正コマンドを受信すると、リカバリ用情報を含む修正要求をデータベースサーバ５ａまたは５ｂ内のデータ制御部５ａ２または５ｂ２に送信する。

データベースサーバ５ａまたは５ｂ内のデータ制御部５ａ２または５ｂ２は、コントロールサーバ８内の動作制御部８１から修正要求を受信すると、修正要求に含まれるリカバリ用情報を用いて記憶部５ａ１または５ｂ１内のデータを修正する。

このため、管理者端末４からの各種コマンドによって、データのリカバリを行うことが可能になる。よって、管理者端末４の使用者である管理者が、自由にいつでもリカバリの指示を実行することが可能になる。

また、バックアップサーバ６内のバックアップデータ（バックアップファイル）を直接用いてデータベースサーバ５ａおよび５ｂ内のデータをリカバリしないので、バックアップデータの損傷等に起因するリカバリ時におけるデータベースサーバ５ａまたは５ｂの停止や想定していないデータの書き換えなどのデータ破壊を防ぐことが可能になる。

また、本実施形態では、リカバリ制御部９１は、バックアップ制御部６１から受信したバックアップデータ（バックアップファイル）を、削除要求に応じて、または、バックアップデータ（バックアップファイル）を受信してから所定時間後に削除するものであり、バックアップデータ（バックアップファイル）の削除が完了するまで、他のバックアップデータ（バックアップファイル）の受付を禁止する。

このため、バックアップデータの閲覧時には、他のバックアップデータは、リカバリサーバ９に存在しないため、他のバックアップデータが不正に閲覧されることを防止可能となる。

なお、上記実施形態において、データベースサーバ５ａ内の制御部５ａ２２およびデータベースサーバ５ｂ内の制御部５ｂ２２は、バックアップファイルを圧縮または暗号化してもよい。

バックアップファイルが圧縮されている場合、バックアップサーバ６内の制御部６２２が、バックアップファイルを展開してからリカバリサーバ９に送信してもよいし、リカバリサーバ９内の制御部９１２が、バックアップサーバ６から受信した圧縮済みのバックアップファイルを展開してもよい。

また、バックアップファイルが暗号化されている場合、バックアップサーバ６内の制御部６２２が、バックアップファイルを復号してからリカバリサーバ９に送信してもよいし、リカバリサーバ９内の制御部９１２が、バックアップサーバ６から受信した暗号化されたバックアップファイルを復号してもよい。

また、上記実施形態では、バックアップサーバ６が、関係情報６００（図６参照）を記憶したが、関係情報６００が管理サーバ（不図示）に記憶され、バックアップサーバ６内の制御部６２２が、関係情報６００を管理サーバから取得してもよい。

また、上記実施形態では、データベースサーバとＷＥＢサーバとの組（具体的には、データベースサーバ５ａとＷＥＢサーバ７ａとの組と、データベースサーバ５ｂとＷＥＢサーバ７ｂとの組）を２つ用いたが、この組の数は１以上であればよい。

また、上記実施形態では、データベースサーバとＷＥＢサーバとの組を使用できる利用者端末の数を１または２としたが、この数も１以上であればよい。

また、図４に示したリカバリリストにおいて、データベースサーバ識別子の代わりに、管理者識別子が記載されてもよい。この場合、バックアップサーバ６内の制御部６２２は、リスト要求内にデータベースサーバ識別子が含まれると、関係情報６００（図６参照）を参照して、データベースサーバ識別子に関連づけられた管理者識別子を特定し、リカバリリストから、その管理者識別子に関連づけられたバックアップファイル名を該当バックアップファイル名として特定する。また、バックアップサーバ６内の制御部６２２は、リスト要求内に管理者識別子が含まれると、リカバリリストから、その管理者識別子に関連づけられたバックアップファイル名を該当バックアップファイル名として特定する。

また、上記実施形態では、関係情報６００は、バックアップサーバ６内の記憶部６１に記憶されているとしたが、関係情報６００がバックアップサーバ６内ではなくコントロールサーバ８内に記憶されている場合、制御部８１２は、以下のように動作する。

リスト要求コマンドにデータベースサーバ識別子が含まれていない場合、制御部８１２は、関係情報６００を参照して、制御部８１２が管理者端末４と接続する際に得た管理者識別子に関連づけられたデータベース識別子を特定し、そのデータベース識別子を含むリスト要求を生成し、そのリスト要求を、通信部８１１からバックアップサーバ６に送信する。

また、データベースサーバ５ａおよび５ｂと、バックアップサーバ６と、ＷＥＢサーバ７ａおよび７ｂと、コントロールサーバ８と、リカバリサーバ９とは、それぞれ、コンピュータにて実現されてもよい。この場合、各コンピュータは、ＣＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することによって、データベースサーバ５ａまたは５ｂ、バックアップサーバ６、ＷＥＢサーバ７ａまたは７ｂ、コントロールサーバ８、または、リカバリサーバ９として機能する。

以上説明した実施形態において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。

１００ データ管理システム
１ インターネット
２ａ〜２ｃ 利用者端末
３ 通信回線
４ 管理者端末
５ａ〜５ｂ データベースサーバ
５ａ１、５ｂ１ 記憶部
５ａ２、５ｂ２ データ制御部
５ａ２１、５ｂ２１ 通信部
５ａ２２、５ｂ２２ 制御部
６ バックアップサーバ
６１ 記憶部
６２ バックアップ制御部
６２１ 通信部
６２２ 制御部
７ａ〜７ｂ ＷＥＢサーバ
７ａ１、７ｂ１ サービス制御部
７ａ１１、７ｂ１１ 通信部
７ａ１２、７ｂ１２ 制御部
８ コントロールサーバ
８１ 動作制御部
８１１ 通信部
８１２ 制御部
９ リカバリサーバ
９１ リカバリ制御部
９１１ 通信部
９１２ 制御部
９１３ 記憶部
１０ ＬＡＮ

Claims (5)

1. データを記憶するデータ記憶手段を含むデータベースサーバと、前記データのバックアップデータを記憶するバックアップデータ記憶手段を含むバックアップサーバと、利用者端末からの要求に応じて前記データベースサーバ内のデータを用いて返答を返すサービスサーバと、前記利用者端末とは異なる管理者端末と接続するコントロールサーバと、前記コントロールサーバと接続するリカバリサーバと、を含むデータ管理システムであって、
   前記コントロールサーバは、前記管理者端末から前記バックアップサーバ内の前記バックアップデータをリカバリする旨のリカバリ命令を受信すると、前記バックアップデータのリカバリを要求するリカバリ要求を前記バックアップサーバに送信し、また、前記管理者端末から前記バックアップデータを閲覧する旨の閲覧命令を受信すると、前記バックアップデータの閲覧を要求する閲覧要求を前記リカバリサーバに送信する動作制御手段を含み、
   前記バックアップサーバは、前記リカバリ要求を受信すると、前記バックアップデータ記憶手段内の前記バックアップデータを前記リカバリサーバに送信するバックアップ制御手段を含み、
   前記リカバリサーバは、前記バックアップ制御手段から前記バックアップデータを受信し、前記動作制御手段から前記閲覧要求を受信すると、前記バックアップデータを前記コントロールサーバに送信するリカバリ制御手段を含み、
   前記動作制御手段は、前記リカバリサーバから前記バックアップデータを受信すると、当該バックアップデータを前記管理者端末に送信し、その後、前記管理者端末から少なくとも前記バックアップデータの一部であるリカバリ用情報を含む修正命令を受信すると、前記リカバリ用情報を含む修正要求を前記データベースサーバに送信し、
   前記データベースサーバは、前記動作制御手段から前記修正要求を受信すると、前記修正要求に含まれるリカバリ用情報を用いて前記データ記憶手段内の前記データを修正するデータ制御手段を含む、データ管理システム。
2. 請求項１に記載のデータ管理システムにおいて、
   前記リカバリ制御手段は、前記バックアップ制御手段から受信した前記バックアップデータを、削除要求に応じて削除、または、前記バックアップデータを受信してから所定時間後に削除するものであり、前記バックアップデータの削除が完了するまで、他のバックアップデータの受付を禁止する、データ管理システム。
3. 請求項１または２に記載のデータ管理システムであって、
   前記データ制御手段は、前記データ記憶手段内の前記データのバックアップを要求するバックアップ要求を受信すると、当該データのバックアップデータを作成し、
   前記バックアップ制御手段は、前記バックアップデータが前記データベースサーバに存在する場合に、前記データベースサーバ内の前記バックアップデータを前記バックアップデータ記憶手段内に移動する、データ管理システム。
4. 請求項３に記載のデータ管理システムにおいて、
   前記動作制御手段は、前記管理者端末から前記データのバックアップを要求するバックアップ命令を受信すると、前記バックアップ要求を前記データベースサーバに送信する、データ管理システム。
5. データを記憶するデータ記憶手段を含むデータベースサーバと、前記データのバックアップデータを記憶するバックアップデータ記憶手段を含むバックアップサーバと、利用者端末からの要求に応じて前記データベースサーバ内のデータを用いて返答を返すサービスサーバと、前記利用者端末とは異なる管理者端末と接続するコントロールサーバと、前記コントロールサーバと接続するリカバリサーバと、を含むデータ管理システムでのデータ管理方法であって、
   前記コントロールサーバが、前記管理者端末から前記バックアップサーバ内の前記バックアップデータをリカバリする旨のリカバリ命令を受信すると、前記バックアップデータのリカバリを要求するリカバリ要求を前記バックアップサーバに送信するステップと、
   前記コントロールサーバが、前記管理者端末から前記バックアップデータを閲覧する旨の閲覧命令を受信すると、前記バックアップデータの閲覧を要求する閲覧要求を前記リカバリサーバに送信するステップと、
   前記バックアップサーバが、前記リカバリ要求を受信すると、前記バックアップデータ記憶手段内の前記バックアップデータを前記リカバリサーバに送信するステップと、
   前記リカバリサーバが、前記バックアップサーバから前記バックアップデータを受信し、前記コントロールサーバから前記閲覧要求を受信すると、前記バックアップデータを前記コントロールサーバに送信するステップと、
   前記コントロールサーバが、前記リカバリサーバから前記バックアップデータを受信すると、当該バックアップデータを前記管理者端末に送信し、その後、前記管理者端末から少なくとも前記バックアップデータの一部であるリカバリ用情報を含む修正命令を受信すると、前記リカバリ用情報を含む修正要求を前記データベースサーバに送信するステップと、
   前記データベースサーバが、前記コントロールサーバから前記修正要求を受信すると、前記修正要求に含まれるリカバリ用情報を用いて前記データ記憶手段内の前記データを修正するステップと、を含む、データ管理方法。

Images