JPH09160832A - データバックアップ／復元方法およびシステム - Google Patents

Abstract

(57)【要約】 【課題】 暗号鍵（復号鍵）の面倒な受渡しを行うこと
なく、バックアップ作業者自身が認めた正規の復号者の
みに可搬媒体のバックアップデータを復元させ、バック
アップデータの秘密性、安全性を保持すること。 【解決手段】 可搬媒体にデータをバックアップする際
に、バックアップ作業者が指定した暗号鍵で暗号化して
可搬媒体に格納すると共に、バックアップ作業者が「復
元処理の実行」を認めた複数の復元者のＩＤと、バック
アップデータを格納した可搬媒体のボリュームＩＤと、
暗号鍵とを復元者ＤＢに登録しておき、バックアップデ
ータを復元する際には、可搬媒体のボリュームＩＤと１
組になっている複数の復元者のＩＤを読出し、復元しよ
うとする者が入力したＩＤに一致する復元者ＩＤが存在
する場合のみ、その復元者が入力した復号鍵または第２
の計算機から送信されて来た復号鍵によって可搬媒体の
暗号化データを復号を許す。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データバックアッ
プ／復元方法およびシステムに係り、特に、可搬媒体に
記憶させたバックアップデータを不正な利用者には復元
できないようにするためのデータバックアップ／復元方
法およびシステムに関するものである。

【０００２】

【従来の技術】計算機技術におけるデータバックアップ
方法は、計算機のデータを定期的に磁気テープや磁気デ
ィスク等の可搬媒体（以下、テープと記す）に格納し、
障害発生等の要因で計算機上のデータが利用不可になっ
た際に、テープの内容をもとにデータを復元する業務で
ある。

【０００３】しかし、このバックアップ作業の問題点と
して、ＯＳ（オペレーティングシステム）が利用者を認
証する計算機上に比べて、不正な利用者がテープのデー
タをアクセスする可能性が高いことが挙げられる。

【０００４】そこで、バックアップの際に、利用者に暗
号鍵を入力させ、その暗号鍵によってテープに格納する
データを暗号化した後、その暗号化したデータをテープ
に格納する方法がある。

【０００５】この方法によれば、暗号鍵に対応する復号
用の鍵を入力しなければ、テープのデータを復号するこ
とができないため、テープに格納したデータの秘密性あ
るいは安全性を高めることができる。

【０００６】なお、復号用の鍵は、暗号鍵と同じものを
用いる秘密鍵方式と、別なものを用いる公開暗号可鍵方
式がある。

【０００７】このように、バックアップ対象のデータに
暗号化を施す公知技術の文献として、例えば、Simson G
arfinkel、 Gene Spafford著、山口英訳、「ＵＮＩＸセ
キュリティ」、（アスキー：１９９３）がある。

【０００８】近年、計算機の利用形態の変化に伴い、イ
ンターネット，ＷＷＷという用語で代表されるように、
ネットワーク内に配置された多数の計算機を使った分散
システムが増加している。このような分散システムにお
いても、上記のようにデータ暗号化手段を用いたデータ
バックアップが必要である。

【０００９】分散システムにおいてデータバックアップ
を実施する場合、次のようなことが問題となる。

【００１０】（１）分散システムでは、計算機が数千台
の規模になることがあり、このような場合には作業者と
復元者は複数名となる。従って、データをバックアップ
する利用者（以下、作業者と記す）とデータを復元する
利用者（以下、復元者と記す）とが同一人物でないこと
があるため、このような場合における復号用の鍵の保
管、受け渡しが面倒になる。また、作業者の責任で、暗
号鍵および復号鍵をオフラインで管理する運用形態で
は、復号鍵の管理が煩雑になる。さらに、暗号鍵および
復号鍵を盗まれた場合は、データの秘密性を保持できな
くなる。

【００１１】（２）バックアップを行った計算機と別の
計算機でテープ上のデータを復元する場合があるため、
その際の利用者の認証方法を定める必要がある。

【００１２】（３）暗号鍵や利用者情報および業務の機
密を含んだバックアップデータを、たとえ暗号化してい
てもネットワーク上で転送することは極力避ける。

【００１３】上記（２）の事項に関しては、システム管
理者が厳重に管理する計算機上の利用者ＤＢを参照し、
他の計算機の利用者を認証するＯＳやミドルウエアを導
入することで、解決できる。例えば、ＯＳＦ／ＤＣＥと
呼ばれる技術であり、Ward Rosenberry、David Kenney
& Gerry Fisher 著、Understanding DCE、O'Reilly &As
sociates、 Inc(1992)で開示されている。

【００１４】また、上記（３）の事項に関しては、ネッ
トワーク上での盗聴・改ざんを避けるために、専門業者
によるテープの送付などの運用方法によって解決でき
る。

【００１５】

【発明が解決しようとする課題】しかし、上述した
（１）の事項に関しては、これを解決する有効な公知技
術は見あたらない。

【００１６】本発明の目的は、復号用の鍵の面倒な受渡
し作業および保管作業を行うことなく、作業者が認めた
正規の復号者のみにバックアップデータの復号を許し、
バックアップデータの秘密性を保持することができるデ
ータバックアップ／復元方法およびシステムを提供する
ことにある。

【００１７】

【課題を解決するための手段】上記目的達成のため、本
発明のデータバックアップ方法は、前記第１の計算機で
可搬媒体にデータをバックアップする際に、バックアッ
プするデータの復元を許す少なくとも１人の復元者識別
情報を入力するステップと、バックアップするデータの
暗号鍵を入力するステップと、可搬媒体の識別子を検出
するステップと、前記可搬媒体の識別子，復元者識別情
報および暗号鍵とから成る１組の情報を第２の計算機に
送付し、第２の計算機が管理するデータベースに登録さ
せるステップと、バックアップ対象のデータを前記暗号
鍵によって暗号化して前記可搬媒体に格納するステップ
と、前記可搬媒体から暗号化したバックアップデータを
第１の計算機で復元する際に、復元者の識別情報を入力
するステップと、復元対象の可搬媒体の識別子を検出す
るステップと、可搬媒体の識別子と復元者の識別情報と
を第２の計算機に送信し、前記データベース中の情報と
照合することにより、復元者がデータベース中に予め登
録されている正規の復元者であるか否かの認証を受ける
ステップと、正規の復元者である旨の認証結果を受け、
可搬媒体のデータを復元するための復号鍵を入力するス
テップと、入力された復号鍵によって可搬媒体のデータ
を復号するステップとを備えることを特徴とする。

【００１８】この場合、正規の復元者である旨の認証結
果により、可搬媒体のデータを復元するための復号鍵を
第２の計算機から受信し、その受信された復号鍵によっ
て可搬媒体のデータを復号するように構成することがで
きる。

【００１９】また、可搬媒体の識別子，復元者識別情報
および暗号鍵とから成る１組の情報は、データをバック
アップする可搬媒体とは異なる可搬媒体に記録して第２
の計算機の管理者に送付する方法、あるいはネットワー
ク経由で第２の計算機に送信し、第２の計算機の処理に
よって前記データベースに登録する方法を用いることが
できる。

【００２０】また、正規の復元者として認証されない場
合、可搬媒体の復元を停止すると共に、システムの管理
者に可搬媒体の不正使用を通知するように構成すること
ができる。

【００２１】また、可搬媒体にデータをバックアップす
る前に、可搬媒体の識別子を検出し、その識別子とバッ
クアップ作業者の識別子とを第２の計算機に送付し、他
者が暗号化した可搬媒体でないことを確認した後に、バ
ックアップを開始するように構成することができる。

【００２２】上記本発明のデータバックアップ／復元方
法を実現するシステムは、データを復元する第１の計算
機と、この第１の計算機にネットワーク経由で接続され
た第２の計算機を備え、前記第１の計算機は、バックア
ップするデータの復元を許す少なくとも１人の復元者識
別情報を入力する手段と、バックアップするデータの暗
号鍵を入力する手段と、可搬媒体の識別子を検出する手
段と、前記可搬媒体の識別子，復元者識別情報および暗
号鍵とから成る１組の情報を第２の計算機に送付し、第
２の計算機が管理するデータベースに登録させる手段
と、バックアップ対象のデータを前記暗号鍵によって暗
号化して前記可搬媒体に格納する手段と、前記可搬媒体
から暗号化したバックアップデータを復元する復元者の
識別情報を入力する入力手段と、可搬媒体の識別子と復
元者の識別情報とを第２の計算機に送信し、前記データ
ベース中の情報と照合することにより、復元者がデータ
ベース中に予め登録されている正規の復元者であるか否
かの認証を受ける手段と、正規の復元者である旨の認証
結果を受け、可搬媒体のデータを復元するための復号鍵
を入力する手段と、入力された復号鍵によって可搬媒体
のデータを復号する手段とを備え、前記第２の計算機
は、前記第１の計算機から送付された可搬媒体の識別
子，復元者識別情報および暗号鍵とから成る１組の情報
をデータベースに登録する手段と、第１の計算機から受
信した可搬媒体の識別子と復元者の識別情報と前記デー
タベース中の情報と照合することにより、復元者がデー
タベース中に予め登録されている正規の復元者であるか
否かを認証し、その認証結果をネットワーク経由で第１
の計算機に返信する手段とを備えることを特徴とする。

【００２３】

【発明の実施の形態】以下、本発明の実施の実施の形態
を図面を参照して詳細に説明する。

【００２４】図１は、本発明のデータバックアップ方法
を実施する分散システムの実施形態を示すシステム構成
図である。

【００２５】この実施形態の分散システムは、バックア
ップデータを格納するテープ１００または既に格納した
テープを装着可能な第１の計算機１０１と、この第１の
計算機１０１に接続された復元者端末１０２と、第１の
計算機１０１とネットワーク１０３経由で接続された第
２の計算機１０４と、この第２の計算機１０４に接続さ
れた管理者端末１０５とを備え、テープ１００に格納さ
れたバックアップデータを復元する際に、第２の計算機
１０４側に配置された利用者ＤＢ１０６および復元者Ｄ
Ｂ１０７を利用し、利用者認証と復元者認証とをオンラ
インで行い、正規の利用者または復元者として登録され
ている者のみに、テープ１００のデータの復号を許可す
るようにしたものである。

【００２６】ここで、バックアップデータを格納したテ
ープ２０２は、その内部に当該テープをユニークに識別
するボリュームＩＤ１００１とデータ領域１００２とを
有している。

【００２７】また、第１の計算機１０１は、バックアッ
ププログラム１０１１と通信機能を持ったＯＳ１０１２
とを有し、さらにデータ暗号化プログラム１０１３を有
している。

【００２８】ＯＳ１０１２には、利用者確認プログラム
１０１４、復元者確認プログラム１０１５、暗号鍵管理
プログラム１０１５、媒体制御機構１０１６および復元
プログラム１０１７が含まれている。

【００２９】利用者あるいは復元者は、復元者端末１０
２で起動コマンドを入力することにより、復元プログラ
ム１０１７あるいはデータ暗号化プログラム１０１３を
起動し、テープ１００に対するデータのバックアップ処
理あるいはバックアップデータの復元を行う。

【００３０】一方、第２の計算機１０４は、第１の計算
機１０１のＯＳ１０１２との間でネットワーク１０３を
介して接続されるＯＳ１０４１と、利用者認証を行う利
用者認証サーバプログラム１０４２、復元者認証を行う
復元者認証サーバプログラム１０４３とを備えている。

【００３１】利用者ＤＢ１０６には、利用者が予め登録
された正規の者であるか否かを識別するための利用者Ｉ
Ｄ１０８を格納している。

【００３２】一方、復元者ＤＢ２７０には、テープ１０
０を識別するためのボリュームＩＤ１０８１、当該テー
プの復元を許可された正規の復元者を示す復元者ＩＤ１
０８２、当該テープのバックアップデータを復元するた
めの暗号鍵１０８３とから成る１組の情報がテープ１０
０のボリュームＩＤ別に予め格納されている。

【００３３】ここで、復元者ＤＢ２７０における復元者
ＩＤ１０８２は、１つのテープ１００につき複数人分登
録することができる。

【００３４】以上のように構成されたシステムにおける
バックアップ処理およびデータ復元処理について図２の
フローチャートを用いて説明する。

【００３５】バックアップ処理 まず、利用者が復元者端末１０２を介してバックアップ
プログラム１０１１を起動する。バックアッププログラ
ム１０１１は、バックアップ処理を開始する前に利用者
が正規の者であるか否かを確認するために、利用者確認
プログラム２２０を呼び出す。

【００３６】利用者確認プログラム１０１４は、ＯＳ１
０１２の通信機能およびネットワーク１０３を通じて第
２の計算機１０４の利用者認証サーバ１０４２を呼び出
す。そして、復元者が復元者端末１０２から入力した利
用者ＩＤを送信する。

【００３７】利用者認証サーバ１０４２は、利用者ＤＢ
１０６から該ＤＢ１０６に予め登録されている複数の利
用者ＩＤ１０８を取得する。そして、その利用者ＩＤ１
０８の中に利用者が復元端末１０２から今回入力した利
用者ＩＤと一致するものがあるか否かを調べ、一致する
ものがあれば、当該利用者は正規の利用者であると認証
する（ステップ２００）。

【００３８】一致する利用者ＩＤが登録されていなけれ
ば、不正使用者であるので、その旨をバックアッププロ
グラム１００１に通知すると共に、復元者端末１０２の
画面に不正使用者であることを表示し、バックアッププ
ログラム１００１に対して以降の処理を中止させる。

【００３９】正規の利用者であることが確認された場
合、バックアッププログラム１００１は、テープ１００
を所定の装着口に装着するように復元者端末１０２を通
じて利用者に通知する。

【００４０】そこで、認証された利用者がバックアップ
プログラム１００１の操作指示に従い、テープ１００を
所定の装着口へ装着すると、バックアップ本処理を開始
する。

【００４１】このバックアップ本処理では、まず、媒体
制御機構１０１６を介してテープ１００のボリュームＩ
Ｄ１００１を読み取る（ステップ２１１）。

【００４２】次に、バックアッププログラム１０１１は
利用者の暗号鍵を入力するように復元者端末１０２の画
面で指示する（ステップ２１２）。

【００４３】暗号鍵が入力されたならば、バックアップ
プログラム１０１１はその入力された暗号鍵をデータ暗
号化プログラム１０１３に伝達し、該暗号化プログラム
１０１３にバックアップすべきデータを暗号化させ（ス
テップ２１２）、テープ１００に格納させる（ステップ
２１４）。この場合、暗号化すべきバックアップデータ
は図示しないメモリに格納されたものである。

【００４４】データ暗号化プログラム１０１３では、バ
ックアップ本処理の終了後、復元者の登録を行う。この
際に、バックアップ処理を実施した利用者以外に復元者
が存在するか否かの回答を利用者に求める。そこで、例
えばバックアップ作業者が部長で、その部下の課長およ
び係長にも復元を認めるような場合は、復元者端末１０
２より利用者自身が認める他の復元者ＩＤ（あるいは復
元者氏名）を復元者端末１０２から入力する（ステップ
２２０，２２１）。

【００４５】バックアッププログラム１０１１は、以上
のステップで得られたテープ１１００のボリュームＩ
Ｄ、復元者ＩＤ、暗号鍵の情報を復元者ＤＢ１０７に登
録するための処理を行う。

【００４６】復元者ＤＢ１０７への登録方法としては、
管理者端末１０５より手入力で行う方法と、情報を簡単
に輸送するカード（例えばフロッピディスク＝ＦＤ）に
情報を格納し、そのカードを第２の計算機の管理者に送
付し、管理者の操作によってカード内の情報を復元者Ｄ
Ｂ１０７へ登録する２つの方法がある。

【００４７】そこで、例えばカード（例えばフロッピデ
ィスク＝ＦＤ）にボリュームＩＤ、復元者ＩＤ、暗号鍵
の情報を格納して復元者ＤＢ１０７へ格納する方法が利
用者によって選択された場合、バックアッププログラム
１０１１はカードが復元者端末１０２の所定の装着口に
装着されたことを検出し、そのカードにボリュームＩ
Ｄ、復元者ＩＤ、暗号鍵の情報を格納する（ステップ２
３１，２３２）。

【００４８】利用者は、そのカードを管理者宛に送付す
る（ステップ２３３）。

【００４９】カードを受け取った管理者は、そのカード
を管理者端末の所定の装着口に装着し（あるいは挿入
し）、カード内の情報を読み取らせ、第２の計算機１０
４の復元者認証サーバ１０４３を通じて復元者ＤＢ１０
７へ登録させる（ステップ２３４，２３５）。

【００５０】ボリュームＩＤ、復元者ＩＤ、暗号鍵の情
報を手入力で登録する方法が利用者によって選択された
場合、ボリュームＩＤ、復元者ＩＤ、暗号鍵の情報を表
示または印刷するなどの方法によって利用者に通知す
る。利用者は、この通知されたボリュームＩＤ、復元者
ＩＤ、暗号鍵の情報を管理者端末１０５の設置場所に赴
き、管理者端末１０５から手入力する。あるいは、管理
者に連絡して管理者に手入力してもらう（ステップ２３
６）。

【００５１】これによって、復元者ＤＢ１０７には、テ
ープ１００に今回バックアップしたボリュームＩＤ１０
８１、復元者ＩＤ１０８２、暗号鍵１０８３から成る１
組の情報がボリュームＩＤ別に格納される。

【００５２】バックアップデータの復元処理 次に、テープ１００に格納されたバックアップデータの
復元処理について説明する。

【００５３】まず、復元者が復元者端末１０２を介して
復元プログラム１０１７を起動する。復元プログラム１
０１７は、復元処理を開始する前に復元者が正規の利用
者であるか否かを確認するために、利用者確認プログラ
ム１０１４を呼び出す。

【００５４】利用者確認プログラム１０１４は、ＯＳ１
０１２の通信機能およびネットワーク１０３を通じて第
２の計算機１０４の利用者認証サーバ１０４２を呼び出
す。そして、復元者が復元者端末１０２から入力した復
元者ＩＤを送信する。

【００５５】復元者ＩＤを受信した利用者認証サーバ１
０４２は、利用者ＤＢ１０６から該ＤＢ１０６に予め登
録されている複数の利用者ＩＤ１０８を取得する。そし
て、その利用者ＩＤ１０８の中に第１の計算機１０１か
ら受信した復元者ＩＤと一致するものがあるか否かを調
べ、一致するものがあれば、当該復元者は正規の利用者
であると認証する（ステップ２５０）。

【００５６】一致する利用者ＩＤが登録されていなけれ
ば、不正使用者であるので、その旨をＯＳ１０４１２の
通信機能およびネットワーク１０３を通じて第１の計算
機１０１の利用者確認プログラム１０１４、復元プログ
ラム１０１７に通知し、復元者端末１０２の画面に不正
使用者であることを表示し、復元プログラム１０１７に
対して以降の復元処理を中止させる（ステップ２７
１）。さらに、管理者端末１０５に対し、不正使用者で
旨のメール１０４４を送信し、管理者端末１０５の画面
に不正使用者で旨のメッセージを表示させ、管理者に通
知する（ステップ２７２）。

【００５７】正規の利用者であることが確認された場合
（ステップ２６０）、復元プログラム１０１７は、テー
プ１００を所定の装着口に装着するように復元者端末１
０２を通じて復元者に通知する。

【００５８】そこで、認証された復元者が復元プログラ
ム１０１７の操作指示に従い、テープ１００を所定の装
着口へ装着すると、復元本処理（ステップ２８０）を開
始する。

【００５９】この復元本処理では、まず、媒体制御機構
１０１６を介してテープ１００のボリュームＩＤ１００
１を読み取る（ステップ２８１）。

【００６０】次に、復元プログラム１０１７は復元者確
認プログラム１０１５を呼び出す。

【００６１】復元者確認プログラム１０１７は、テープ
１００のボリュームＩＤ１００１に対応した復元者ＩＤ
を取得するために、ＯＳ１０１２の通信機能およびネッ
トワーク１０３を通じて第２の計算機１０４の復元者認
証サーバ１０４３を呼び出し、ステップ２８１で取得し
たテープ１００のボリュームＩＤ１００１と、ステップ
２５０で認証して復元者の利用者ＩＤを送信する。

【００６２】復元者認証サーバ１０４３は、この復元者
認証サーバ１０４３を通じて、復元者ＤＢ１０７からボ
リュームＩＤ１００１に対応する複数の復元者ＩＤ１０
８２を取得する。すなわち、バックアップ作業者が予め
認めている複数の復元者ＩＤ１０８２を取得する。

【００６３】そして、その復元者ＩＤ１０８２の中に、
ステップ２５０で認証した利用者ＩＤと一致するものが
あるか否かを調べ、一致するものがあれば、当該復元者
はバックアップ作業者が予め認めている正規の復元者で
あると認証する（ステップ２８２，２８３）。この場
合、ステップ２５０で認証した利用者ＩＤは、利用者認
証サーバ１０４２から取得するようにしてもよい。

【００６４】一致する復元者ＩＤ１０８２が登録されて
いなければ、不正復元者であるので、その旨をデータ暗
号化プログラム１０１３および復元プログラム１０１７
に通知し、復元プログラム１０１７によって復元者端末
１０２の画面に不正使用者であることを表示させ、さら
にデータ暗号化プログラム１０１３に対して以降の復元
処理を中止させる（ステップ２９１）。また、管理者端
末１０５に対しても不正使用者で旨のメール１０４４を
送信し、管理者端末１０５の画面に不正使用者で旨のメ
ッセージ表示させ、管理者に通知する（ステップ２９
２）。

【００６５】正規の復元者であることが確認された場合
（ステップ２８３）、復号プログラム１０１７は復号鍵
（暗号鍵と同じ鍵）を入力するように復元者端末１０２
の画面で指示する（ステップ２８４）。

【００６６】復号鍵が入力されたならば、その復号鍵を
データ暗号化プログラム１０１３に伝達する。データ暗
号化プログラム１０１３は、媒体制御機構１０１６を通
じてテープ１００に格納されたデータを読出し、その読
出しデータを復号鍵で復号し（ステップ２８５）、復元
プログラム１０１７に渡す。

【００６７】これにより、テープ１００のデータ領域１
００２に暗号化されて格納されたデータが復元される
（ステップ２８６）。

【００６８】図３は、図２におけるステップ２５０、２
６０、２７０の処理の際のプログラムの関係を示したも
のである。特に、ステップ２７０の停止処理内部では、
利用者認証サーバ１０４２が復元処理の停止指示を復元
プログラム１０１７に伝達し、さらに管理者端末１０５
へメール１０４４によって不正使用者で旨のメールを伝
達していることを示している。

【００６９】図４は、図２におけるステップ２８２、２
８３、２９０の処理の際のプログラムの関係を示したも
のである。特に、ステップ２９０の停止処理の内部で
は、復元者認証サーバ１０４３が復元処理の停止指示を
データ暗号化プログラム１０１３に伝達し、さらに管理
者端末１０５へメール１０４４によって不正使用者で旨
のメールを伝達していることを示している。

【００７０】以上のように、本実施形態においては、デ
ータをテープ１００にバックアップする際に、バックア
ップ対象のデータをバックアップ作業者が指定した暗号
鍵で暗号化してテープ１００に格納すると共に、バック
アップ作業者が「復元処理の実行」を認めた複数の復元
者のＩＤと、バックアップデータを格納したテープ１０
０のボリュームＩＤと、暗号鍵とをシステム管理者が管
理している復元者ＤＢに登録しておき、テープ１００の
データを復元する際には、テープ１００のボリュームＩ
Ｄと１組になっている複数の復元者のＩＤを読出し、復
元しようとする者が入力したＩＤに一致する復元者ＩＤ
が存在するか否かを調べ、一致する復元者ＩＤが存在す
る場合は、復元しようとする者はバックアップ作業者に
「復元処理の実行」を認められた正規の復元者であると
認証し、その復元者が入力した復号鍵によってテープ１
００の暗号化データを復号を許すようにしている。

【００７１】従って、バックアップ作業者は「復元処理
の実行」を認める者に対して暗号鍵（復号鍵）を予め教
えておいた上で、その「復元処理の実行」を認める者の
ＩＤを復元者ＤＢ１０７に登録しておけば、暗号鍵（復
号鍵）の面倒な受渡しを行うことなく、バックアップ作
業者自身が認めた正規の復号者のみにテープ１００のバ
ックアップデータを復元させることができ、バックアッ
プ作業者が認めていない部外者にバックアップデータが
漏れてしまうことを防止し、バックアップデータの秘密
性を保持することが可能になる。

【００７２】なお、復元処理を行う際に、復元しようと
する者に復号鍵を入力させているが、復元者ＤＢ１０７
には復元者ＩＤと共に暗号鍵１０８３が登録されている
ので、この暗号鍵１０８３によって暗号化データを暗号
するようにしてもよい。この場合には、バックアップ作
業者は「復元処理の実行」を認める者に対して暗号鍵
（復号鍵）を予め教えておく必要はなくなる。

【００７３】本発明の第２の実施形態 上述の実施形態では、暗号鍵をバックアップ作業者が入
力し、カード（例えばフロッピディスク）に格納して分
散システムの管理者が管理している復元者ＤＢ（データ
ベース）に登録しておくものであるが、送信データの暗
号化して送るメールやＲＰＣ（リモートプロセジャコー
ル）を使うことにより、ネットワーク１０３を介して暗
号鍵や復元者ＩＤを登録することもできる。

【００７４】図５は、暗号鍵や復元者ＩＤをネットワー
ク１０３経由で第２の計算機１０４の復元者ＤＢ１０７
に登録する手順を示すフローチャートである。

【００７５】まず、利用者（バックアップ作業者）が復
元者端末１０２を介してバックアッププログラム１０１
１を起動する。バックアッププログラム１０１１は、バ
ックアップ処理を開始する前に利用者が正規の利用者で
あるか否かを確認するために、利用者確認プログラム１
０１４を呼び出す。

【００７６】利用者確認プログラム１０１４は、ＯＳ１
０１２の通信機能およびネットワーク１０３を通じて第
２の計算機１０４の利用者認証サーバ１０４２を呼び出
す。そして、利用者が復元者端末１０２から入力した利
用者ＩＤを送信する。

【００７７】利用者ＩＤを受信した利用者認証サーバ１
０４２は、利用者ＤＢ１０６から該ＤＢ１０６に予め登
録されている複数の利用者ＩＤ１０８を取得する。そし
て、その利用者ＩＤ１０８の中に第１の計算機１０１か
ら受信した利用者ＩＤと一致するものがあるか否かを調
べ、一致するものがあれば、当該利用者は正規の利用者
であると認証する（ステップ５０１）。

【００７８】一致する利用者ＩＤが登録されていなけれ
ば、不正使用者であるので、その旨をＯＳ１０４２の通
信機能およびネットワーク１０３を通じて第１の計算機
１０１の利用者確認プログラム１０１４、バックアップ
プログラム１０１１に通知し、復元者端末１０２の画面
に不正使用者であることを表示し、バックアッププログ
ラム１０１１に対して以降のバックアップ処理を中止さ
せる。さらに、管理者端末１０５に対し、不正使用者で
旨のメール１０４４を送信し、管理者端末１０５の画面
に不正使用者で旨のメッセージを表示させ、管理者に通
知する。

【００７９】正規の利用者であることが確認された場合
（ステップ２６０）、バックアッププログラム１０１１
は、テープ１００を所定の装着口に装着するように復元
者端末１０２を通じて利用者に通知する。

【００８０】そこで、認証された利用者がバックアップ
プログラム１０１１の操作指示に従い、テープ１００を
所定の装着口へ装着すると、バックアップ本処理（ステ
ップ５１０）を開始する。

【００８１】このバックアップ本処理では、まず、媒体
制御機構１０１６を介してテープ１００のボリュームＩ
Ｄ１００１を読み取る（ステップ５１１）。

【００８２】次に、バックアッププログラム１０１１は
利用者の暗号鍵を入力するように復元者端末１０２の画
面で指示する（ステップ５１２）。

【００８３】暗号鍵が入力されたならば、さらに、バッ
クアップ処理を実施した利用者以外の複数の復元者ＩＤ
を入力するように復元者端末１０２の画面で指示する
（ステップ５１３）。

【００８４】バックアッププログラム１０１１はその入
力された暗号鍵をデータ暗号化プログラム１０１３に伝
達し、該暗号化プログラム１０１３にバックアップすべ
きデータを暗号化させ（ステップ５１４）、テープ１０
０に格納させる（ステップ５１５）。この場合、暗号化
すべきバックアップデータは図示しないメモリに格納さ
れたものである。

【００８５】次に、データ暗号化プログラム１０１３
は、バックアップ本処理の終了後、復元者登録処理を行
う。

【００８６】以降は、データ暗号化プログラム１０１３
の処理と復元者認証サーバ１０４３の応答で手順が進行
する。

【００８７】復元者登録処理（ステップ５２０）では、
データ暗号化プログラム１０１３は、利用者ＩＤ、ボリ
ュームＩＤおよび復号者ＩＤを復元者端末１０２から入
力させる。

【００８８】そして、利用者ＩＤを引数にし、ＯＳ１０
１２，ＯＳ１０４１を介して復元者認証サーバ１０４３
に接続要求を送信する（ステップ５２１）。この際、復
元者認証サーバ１０４３は復元者ＤＢ１０７が利用可能
ならば接続を許可する（ステップ５５１）。

【００８９】なお、復元者認証サーバ１０４３が起動さ
れていない場合、再試行で接続できるまで待つか、タイ
ムアウトでバックアップ処理全体を終了する。また、復
元者認証サーバ２６１が必要に応じて送信者の利用者Ｉ
Ｄをもとに、利用者認証サーバ２６０に問い合わせる処
理を行い（ステップ５５２）、再認証する。

【００９０】次に、ボリュームＩＤと利用者ＩＤを引数
とし、復号鍵および復元者の情報を送信する（ステップ
５２２）。

【００９１】復元者認証サーバ１０４３は、復号鍵およ
び復元者の情報を受信したならば（ステップ５５３）、
復元者ＤＢ１０７を参照し、問い合わせのボリュームＩ
Ｄ、利用者ＩＤに対応する復号鍵および復元者ＩＤを復
元者ＤＢ１０７に登録する（ステップ５５４）。

【００９２】データ暗号化プログラム１０１３は、復号
鍵および復元者ＩＤが登録されたことを確認し、復元者
認証サーバ１０４３とのセッションを切断した後（ステ
ップ５２３）、送信データを破棄する（ステップ５２
４）。

【００９３】本実施形態によれば、ボリュームＩＤに対
応する復号鍵および復元者ＩＤをオンラインで復元者Ｄ
Ｂ１０７に登録するようにしているため、カード記録媒
体に格納して登録する方法に比べて、登録作業が楽にな
るうえ、カード記録媒体を紛失した場合にバックアップ
作業者が認めた他の復元者が復元不可能に陥ってしまう
ことを防止することができる。

【００９４】なお、ステップ５２２，５５３において、
データの暗号化手順と別なデータ暗号化手順を用いて送
信データを暗号化すれば、暗号鍵の盗用を防止すること
ができる。

【００９５】図６は、可搬媒体であるテープ１００の暗
号鍵をオンラインで授受して復元者を認証する手順を示
すフローチャートである。

【００９６】まず、復元者が復元者端末１０２を介して
復元プログラム１０１７を起動する。復元プログラム１
０１７は、復元処理を開始する前に利用者が正規の復元
者であるか否かを確認するために、利用者確認プログラ
ム１０１４を呼び出す。

【００９７】利用者確認プログラム１０１４は、ＯＳ１
０１２の通信機能およびネットワーク１０３を通じて第
２の計算機１０４の利用者認証サーバ１０４２を呼び出
す。そして、利用者が復元者端末１０２から入力した利
用者ＩＤを送信する。

【００９８】利用者ＩＤを受信した利用者認証サーバ１
０４２は、利用者ＤＢ１０６から該ＤＢ１０６に予め登
録されている複数の利用者ＩＤ１０８を取得する。そし
て、その利用者ＩＤ１０８の中に第１の計算機１０１か
ら受信した利用者ＩＤと一致するものがあるか否かを調
べ、一致するものがあれば、当該利用者は正規の利用者
であると認証する（ステップ６０１）。

【００９９】一致する利用者ＩＤが登録されていなけれ
ば、不正使用者であるので、その旨をＯＳ１０４２の通
信機能およびネットワーク１０３を通じて第１の計算機
１０１の利用者確認プログラム１０１４、復元プログラ
ム１０１７に通知し、復元者端末１０２の画面に不正使
用者であることを表示し、復元プログラム１０１７に対
して以降の復元処理を中止させる。さらに、管理者端末
１０５に対し、不正使用者で旨のメール１０４４を送信
し、管理者端末１０５の画面に不正使用者で旨のメッセ
ージを表示させ、管理者に通知する。

【０１００】正規の利用者であることが確認された場
合、復元プログラム１０１７は、テープ１００を所定の
装着口に装着するように復元者端末１０２を通じて利用
者に通知する。

【０１０１】そこで、認証された利用者が復元プログラ
ム１０１７の操作指示に従い、テープ１００を所定の装
着口へ装着すると、復元プログラム１０１７は媒体制御
機構１０１６を通じてテープ１００のボリュームＩＤ１
００１を検出する（ステップ６０２）。

【０１０２】以降、復元プログラム１０１７の処理と復
元者認証サーバ１０４３の応答で手順が進行する。

【０１０３】復元プログラム１０１７は、ステップ６０
１で認証した利用者ＩＤおよびステップ６０２で検出し
たボリュームＩＤ１００１を基に、復号鍵入手処理を実
行する（ステップ６１０）。

【０１０４】この復号鍵入手処理では、まず、利用者Ｉ
Ｄを引数にし、ＯＳ１０１２、ＯＳ１０４１を介して復
元者認証サーバ１０４３に接続要求を送信する（ステッ
プ６１１）。この際、復元者認証サーバ１０４３は、復
元者ＤＢ１０７が利用可能ならば接続を許可する（ステ
ップ６５１）。復元者認証サーバ１０４３が起動されて
いない場合、再試行で接続できるまで待つか、タイムア
ウトでバックアップ処理全体を終了する。また、復元者
認証サーバ１０４３は、必要に応じて、送信者の利用者
ＩＤをもとに利用者認証サーバ２６０に問い合わせ（ス
テップ６５２）、再認証する。

【０１０５】次に、ボリュームＩＤ１００１と利用者Ｉ
Ｄとを引数とし、復号鍵を問い合わせる（ステップ６１
２）。

【０１０６】復元者認証サーバ１０４３は、復元者ＤＢ
１０７を参照し、問い合わせのボリュームＩＤ、利用者
ＩＤに対応する復号鍵を検索する（ステップ６５３）。

【０１０７】復元者認証サーバ１０４３は、検索結果の
復号鍵を送信する（ステップ６５４）。この場合、該当
する復号鍵が登録されていなければ、その旨の情報を送
信する。

【０１０８】復元プログラム１０１７は、復号鍵を受け
取ったことを確認した後（ステップ６１３）、復元者認
証サーバとのセッションを切断する（ステップ６１
４）。

【０１０９】復元者認証サーバ１０４３は、復号鍵の情
報を送信した後に、復元者ＤＢ１０７から該当する媒体
に関するレコードを削除する等の方法で、以後同一媒体
の復号鍵を入手できないようにする（ステップ６５
５）。

【０１１０】復号鍵を入手できないときには、既に復号
化された、あるいは改ざんされた恐れがある媒体と判断
し（ステップ６１５）、その旨を復元者端末１０２の画
面に出力する等の方法で、作業者に警告し（ステップ６
３０）、復元処理を終了する。

【０１１１】復号鍵を入手できた場合は、復元本処理
（ステップ６２０）に進む。

【０１１２】復元本処理では、復号鍵を引数として、デ
ータ暗号化プログラム２１２を起動し、テープ１００の
データを読み取り、復号化し（ステップ６２１）、計算
機への復元を行う（ステップ６２２）。

【０１１３】この復元処理手順では、ステップ６５５を
設けることにより、複数人の作業者のうち、誰かが復元
すれば２度と同じ暗号鍵を利用できないようにすること
ができる。

【０１１４】上述の実施例では、復元者の登録と認証の
方法について述べたが、本発明は、これに限定されるも
のではなく、たとえば、他者が暗号化した媒体に上書き
を防止する手順に適用できるのはいうでもない。

【０１１５】本発明の第３の実施形態 図７は、バックアップ処理を行う際に、他者が暗号化し
た可搬媒体であることをオンラインで自動確認する手順
を示すフローチャートである。

【０１１６】まず、利用者（バックアップ作業者）が復
元者端末１０２を介してバックアッププログラム１０１
１を起動する。バックアッププログラム１０１１は、バ
ックアップ処理を開始する前に利用者が正規の利用者で
あるか否かを確認するために、利用者確認プログラム１
０１４を呼び出す。

【０１１７】利用者確認プログラム１０１４は、ＯＳ１
０１２の通信機能およびネットワーク１０３を通じて第
２の計算機１０４の利用者認証サーバ１０４２を呼び出
す。そして、利用者が復元者端末１０２から入力した利
用者ＩＤを送信する。

【０１１８】利用者ＩＤを受信した利用者認証サーバ１
０４２は、利用者ＤＢ１０６から該ＤＢ１０６に予め登
録されている複数の利用者ＩＤ１０８を取得する。そし
て、その利用者ＩＤ１０８の中に第１の計算機１０１か
ら受信した利用者ＩＤと一致するものがあるか否かを調
べ、一致するものがあれば、当該利用者は正規の利用者
であると認証する（ステップ７０１）。

【０１１９】一致する利用者ＩＤが登録されていなけれ
ば、不正使用者であるので、その旨をＯＳ１０４２の通
信機能およびネットワーク１０３を通じて第１の計算機
１０１の利用者確認プログラム１０１４、バックアップ
プログラム１０１１に通知し、復元者端末１０２の画面
に不正使用者であることを表示し、バックアッププログ
ラム１０１１に対して以降のバックアップ処理を中止さ
せる。さらに、管理者端末１０５に対し、不正使用者で
旨のメール１０４４を送信し、管理者端末１０５の画面
に不正使用者で旨のメッセージを表示させ、管理者に通
知する。

【０１２０】正規の利用者であることが確認された場
合、バックアッププログラム１０１１は、テープ１００
を所定の装着口に装着するように復元者端末１０２を通
じて利用者に通知する。

【０１２１】そこで、認証された利用者がバックアップ
プログラム１０１１の操作指示に従い、テープ１００を
所定の装着口へ装着すると、媒体制御機構１０１６を介
してテープ１００のボリュームＩＤ１００１を読み取
る。

【０１２２】以降、バックアッププログラム１０１１の
処理と復元者認証サーバ１０４３の応答で手順が進行す
る。

【０１２３】次に、バックアッププログラム１０１１
は、ステップ７０１で認証した利用者ＩＤおよびステッ
プ７０２で検出したボリュームＩＤ１００１を基に、媒
体確認処理を実行する（ステップ７１０）。

【０１２４】この媒体確認処理では、まず、利用者ＩＤ
を引数にし、ＯＳ１０１２，ＯＳ１０４１を介して復元
者認証サーバ１０４３に接続要求を送信する（ステップ
７１１）。この際、復元者認証サーバ１０４３は復元者
ＤＢ１０７が利用可能ならば接続を許可する（ステップ
７５１）。しかし、復元者認証サーバ１０４３が起動さ
れていない場合は、再試行で接続できるまで待つか、タ
イムアウトでバックアップ処理全体を終了する。また、
復元者認証サーバ１０４３は、必要に応じて、送信者の
利用者ＩＤを基に、利用者認証サーバ２６０に問い合わ
せ（ステップ７５２）、再認証する。

【０１２５】次に、ボリュームＩＤを引数とし、当該ボ
リュームＩＤに対応する利用者ＩＤを問い合わせる（ス
テップ７１２）。

【０１２６】復元者認証サーバ１０４３は、復元者ＤＢ
１０７を参照し、問い合わせのボリュームＩＤに対応す
る利用者ＩＤを検索する（ステップ７５３）。

【０１２７】復元者認証サーバ１０４３は、検索結果の
利用者ＩＤをバックアッププログラム１０１１に送信す
る（ステップ７５４）。

【０１２８】問い合わせのボリュームＩＤに対応する利
用者ＩＤが登録されていなければ、疎の旨を送信する
（ステップ７５４）。

【０１２９】バックアッププログラム１０１１は、問い
合わせ結果を受け取ったことを確認し（ステップ７１
３）、復元者認証サーバ１０４３とのセッションを切断
する（ステップ７１４）。

【０１３０】次に、バックアッププログラム１０１１
は、受信した利用者ＩＤと先に認証した利用者ＩＤとを
比較し、一致しない場合は、テープ１００は他者が暗号
化した媒体であると判断し（ステップ７１５）、その旨
を復元者端末１０２の画面に出力する等の方法で、作業
者に警告し（ステップ７３０）、バックアップ処理を終
了する。

【０１３１】復元者ＤＢ１０７に未登録、あるいは受信
した利用者ＩＤと先に認証した利用者ＩＤとが一致した
場合は、他者が暗号化していない媒体であると判定し、
バックアップの本処理（ステップ７２０）に進む。

【０１３２】この例の手順によれば、テープ１００が利
用者以外の者によって暗号化されたものであることをオ
ンラインで確認することができる。そして、バックアッ
プ以前に確認することで、他者が暗号化したテープへの
上書きや改ざんを防止することができる。また、利用者
ＩＤのみを送受信しているので、従来の利用者認証と同
一のプロトコルで実現できる利点がある。

【０１３３】なお、上記各実施例において用いる暗号化
の方法は、秘密鍵方式、公開暗号鍵方式のいずれでもよ
い。特に、秘密鍵方式の場合、鍵の受け渡し方法が簡便
になるので、より効果的である。

【０１３４】

【発明の効果】以上説明したように、本発明によれば、
データをテープ等の可搬媒体にバックアップする際に、
バックアップ対象のデータをバックアップ作業者が指定
した暗号鍵で暗号化して可搬媒体に格納すると共に、バ
ックアップ作業者が「復元処理の実行」を認めた複数の
復元者のＩＤと、バックアップデータを格納した可搬媒
体のボリュームＩＤと、暗号鍵とを復元者ＤＢに登録し
ておき、バックアップデータを復元する際には、可搬媒
体のボリュームＩＤと１組になっている複数の復元者の
ＩＤを読出し、復元しようとする者が入力したＩＤに一
致する復元者ＩＤが存在するか否かを調べ、一致する復
元者ＩＤが存在する場合は、復元しようとする者はバッ
クアップ作業者に「復元処理の実行」を認められた正規
の復元者であると認証し、その復元者が入力した復号鍵
または第２の計算機から送信されて来た復号鍵によって
可搬媒体の暗号化データを復号を許すようにしている。

【０１３５】このため、バックアップ作業者は「復元処
理の実行」を認める者のＩＤを復元者ＤＢに登録してお
けば、暗号鍵（復号鍵）の面倒な受渡しを行うことな
く、バックアップ作業者自身が認めた正規の復号者のみ
に可搬媒体のバックアップデータを復元させることがで
き、バックアップ作業者が認めていない部外者にバック
アップデータが漏れてしまったり、改ざんされてしまう
ことを防止し、バックアップデータの秘密性、安全性を
保持することが可能になる。

【０１３６】また、可搬媒体のボリュームＩＤ、復元者
ＩＤ、暗号鍵を復元者ＤＢで一括登録し、かつ一元管理
しているため、システム管理者の手間を省くことができ
る。

【０１３７】また、可搬媒体のデータを復号化する際
に、可搬媒体の識別子と利用者の識別子とを復元者ＤＢ
に問い合わせ、正規の復元者として認証された場合に１
度だけ復号鍵を送付するようにしているため、復元者が
バックアップ作業者から暗号鍵を授受する手間を省くこ
とができる。

【図面の簡単な説明】

【図１】本発明のデータバックアップ方法を実施する分
散システムの実施形態を示すシステム構成図である。

【図２】バックアップ処理と復元処理の手順を示すフロ
ーチャートである。

【図３】図１の復元処理における利用者認証手順を説明
するための図である。

【図４】図１の復元処理における復元者認証手順を説明
するための図である。

【図５】復元者情報をオンラインで自動登録する手順を
示すフローチャートである。

【図６】可搬媒体の暗号鍵をオンライン上で授受し、復
元者を認証する手順を示す図である。

【図７】他者が暗号化した可搬媒体をオンラインで自動
確認する手順を示すフローチャートである。

【符号の説明】

１００…テープ、１０１…第１の計算機、１０２…復元
者端末、１０３…ネットワーク、１０４…第２の計算
機、１０５…管理者端末、１０６…利用者ＤＢ、１０７
…復元者ＤＢ、１０８…利用者ＩＤ、１００１…ボリュ
ームＩＤ、１０１１…バックアッププログラム、１０１
３…データ暗号化プログラム、１０１４…利用者確認プ
ログラム、１０１５…復元者確認プログラム、１０１７
…復元プログラム、１０４２…利用者認証サーバ、１０
４３…復元者認証サーバ、１０８２…復元者ＩＤ、１０
８３…暗号鍵。

Claims (6)

【特許請求の範囲】
1. 【請求項１】 可搬媒体に対してデータをバックアップ
   すると共に、そのバックアップしたデータを復元する第
   １の計算機と、この第１の計算機にネットワーク経由で
   接続された第２の計算機を備えた分散システムにおける
   データバックアップ／復元方法であって、 前記第１の計算機で可搬媒体にデータをバックアップす
   る際に、 バックアップするデータの復元を許す少なくとも１人の
   復元者識別情報を入力するステップと、 バックアップするデータの暗号鍵を入力するステップ
   と、 可搬媒体の識別子を検出するステップと、 前記可搬媒体の識別子，復元者識別情報および暗号鍵と
   から成る１組の情報を第２の計算機に送付し、第２の計
   算機が管理するデータベースに登録させるステップと、 バックアップ対象のデータを前記暗号鍵によって暗号化
   して前記可搬媒体に格納するステップと、 前記可搬媒体から暗号化したバックアップデータを第１
   の計算機で復元する際に、 復元者の識別情報を入力するステップと、 復元対象の可搬媒体の識別子を検出するステップと、 可搬媒体の識別子と復元者の識別情報とを第２の計算機
   に送信し、前記データベース中の情報と照合することに
   より、復元者がデータベース中に予め登録されている正
   規の復元者であるか否かの認証を受けるステップと、 正規の復元者である旨の認証結果を受け、可搬媒体のデ
   ータを復元するための復号鍵を入力するステップと、 入力された復号鍵によって可搬媒体のデータを復号する
   ステップとを備えることを特徴とするデータバックアッ
   プ／復元方法。
2. 【請求項２】 可搬媒体に対してデータをバックアップ
   すると共に、そのバックアップしたデータを復元する第
   １の計算機と、この第１の計算機にネットワーク経由で
   接続された第２の計算機を備えた分散システムにおける
   データバックアップ／復元方法であって、 前記第１の計算機で可搬媒体にデータをバックアップす
   る際に、 バックアップするデータの復元を許す少なくとも１人の
   復元者識別情報を入力するステップと、 バックアップするデータの暗号鍵を入力するステップ
   と、 可搬媒体の識別子を検出するステップと、 前記可搬媒体の識別子，復元者識別情報および暗号鍵と
   から成る１組の情報を第２の計算機に送付し、第２の計
   算機が管理するデータベースに登録させるステップと、 バックアップ対象のデータを前記暗号鍵によって暗号化
   して前記可搬媒体に格納するステップと、 前記可搬媒体から暗号化したバックアップデータを第１
   の計算機で復元する際に、 復元者の識別情報を入力するステップと、 復元対象の可搬媒体の識別子を検出するステップと、 可搬媒体の識別子と復元者の識別情報とを第２の計算機
   に送信し、前記データベース中の情報と照合することに
   より、復元者がデータベース中に予め登録されている正
   規の復元者であるか否かの認証を受けるステップと、 正規の復元者である旨の認証結果により、可搬媒体のデ
   ータを復元するための復号鍵を第２の計算機から受信す
   るステップと、 受信された復号鍵によって可搬媒体のデータを復号する
   ステップとを備えることを特徴とするデータバックアッ
   プ／復元方法。
3. 【請求項３】 前記可搬媒体の識別子，復元者識別情報
   および暗号鍵とから成る１組の情報は、データをバック
   アップする可搬媒体とは異なる可搬媒体に記録して第２
   の計算機の管理者に送付することを特徴とする請求項１
   または２記載のデータバックアップ／復元方法。
4. 【請求項４】 前記可搬媒体の識別子，復元者識別情報
   および暗号鍵とから成る１組の情報は、前記ネットワー
   ク経由で第２の計算機に送信し、第２の計算機の処理に
   よって前記データベースに登録することを特徴とする請
   求項１または２記載のデータバックアップ／復元方法。
5. 【請求項５】 可搬媒体に対してデータをバックアップ
   すると共に、そのバックアップしたデータを復元する第
   １の計算機と、この第１の計算機にネットワーク経由で
   接続された第２の計算機を備えた分散システムにおい
   て、 前記第１の計算機は、 バックアップするデータの復元を許す少なくとも１人の
   復元者識別情報を入力する手段と、 バックアップするデータの暗号鍵を入力する手段と、可
   搬媒体の識別子を検出する手段と、 前記可搬媒体の識別子，復元者識別情報および暗号鍵と
   から成る１組の情報を第２の計算機に送付し、第２の計
   算機が管理するデータベースに登録させる手段と、 バックアップ対象のデータを前記暗号鍵によって暗号化
   して前記可搬媒体に格納する手段と、 前記可搬媒体から暗号化したバックアップデータを復元
   する復元者の識別情報を入力する入力手段と、 可搬媒体の識別子と復元者の識別情報とを第２の計算機
   に送信し、前記データベース中の情報と照合することに
   より、復元者がデータベース中に予め登録されている正
   規の復元者であるか否かの認証を受ける手段と、 正規の復元者である旨の認証結果を受け、可搬媒体のデ
   ータを復元するための復号鍵を入力する手段と、 入力された復号鍵によって可搬媒体のデータを復号する
   手段とを備え、 前記第２の計算機は、 前記第１の計算機から送付された可搬媒体の識別子，復
   元者識別情報および暗号鍵とから成る１組の情報をデー
   タベースに登録する手段と、 第１の計算機から受信した可搬媒体の識別子と復元者の
   識別情報と前記データベース中の情報と照合することに
   より、復元者がデータベース中に予め登録されている正
   規の復元者であるか否かを認証し、その認証結果をネッ
   トワーク経由で第１の計算機に返信する手段とを備える
   ことを特徴とする分散システム。
6. 【請求項６】 可搬媒体に対してデータをバックアップ
   すると共に、そのバックアップしたデータを復元する第
   １の計算機と、この第１の計算機にネットワーク経由で
   接続された第２の計算機を備えた分散システムにおい
   て、 前記第１の計算機は、 可搬媒体にバックアップするデータの復元を許す少なく
   とも１人の復元者識別情報を入力する手段と、 バックアップするデータの暗号鍵を入力する手段と、 可搬媒体の識別子を検出する手段と、 前記可搬媒体の識別子，復元者識別情報および暗号鍵と
   から成る１組の情報を第２の計算機に送付し、第２の計
   算機が管理するデータベースに登録させる手段と、 バックアップ対象のデータを前記暗号鍵によって暗号化
   して前記可搬媒体に格納する手段と、 前記可搬媒体から暗号化したバックアップデータを復元
   する復元者の識別情報を入力する手段と、 可搬媒体の識別子と復元者の識別情報とを第２の計算機
   に送信し、前記データベース中の情報と照合することに
   より、復元者がデータベース中に予め登録されている正
   規の復元者であるか否かの認証を受ける手段と、 正規の復元者である旨の認証結果により、可搬媒体のデ
   ータを復元するための復号鍵を第２の計算機から受信す
   る手段と、 受信された復号鍵によって可搬媒体のデータを復号する
   手段とを備え、前記第２の計算機は、 前記第１の計算機から送付された可搬媒体の識別子，復
   元者識別情報および暗号鍵とから成る１組の情報をデー
   タベースに登録する手段と、 第１の計算機から受信した可搬媒体の識別子と復元者の
   識別情報と前記データベース中の情報と照合することに
   より、復元者がデータベース中に予め登録されている正
   規の復元者であるか否かを認証し、正規の復元者である
   時のみ復元用の復号鍵をネットワーク経由で第１の計算
   機に返信する手段とを備えることを特徴とする分散シス
   テム。