(57)【特許請求の範囲】
【請求項１】
ネットワークを介して、所定のサーバ装置にデータファイルを保管する機能と、保管されていたデータファイルを必要に応じて取り出す機能と、を有するデータ保管システムであって、
前記ネットワークに接続されたユーザ端末（Ａ）と、前記ネットワークに接続された複数の保管用サーバ（Ｂ）と、前記ネットワークに接続された運用サーバ（Ｃ）と、を備え、
（Ａ）前記ユーザ端末は、
保管対象ファイルについての管理情報を格納する管理情報格納ユニットと、
ユーザからの預入指示とともに保管対象ファイルを入力する預入指示入力部と、入力した保管対象ファイルを複数の分割ファイルに分割しそれぞれ所定のファイル名を付与するファイル分割部と、個々の分割ファイルについてそれぞれ異なる保管用サーバを保管場所として割り当て、かつ、冗長性をもたせるために同一の分割ファイルをそれぞれ複数の保管場所に重複して割り当てる保管場所割当部と、個々の分割ファイルをそれぞれ割り当てられた保管場所となる保管用サーバへ送信するファイル送信部と、「個々の分割ファイルに付与されたファイル名」および「個々の分割ファイルに割り当てられた保管場所」を前記保管対象ファイルについての管理情報として前記管理情報格納ユニットに書き込む管理情報書込部と、を有する預入処理ユニットと、
ユーザからの取出指示とともに取出対象ファイルを特定する情報を入力する取出指示入力部と、前記管理情報格納ユニットから前記取出対象ファイルについての管理情報を読み出す管理情報読出部と、読み出した管理情報に基づいて取出対象となる分割ファイルのファイル名および複数の保管場所を認識する保管場所認識部と、認識した複数の保管場所となる各保管用サーバのうち代表となる保管用サーバを選択し、選択した保管用サーバに対して認識したファイル名をもつ分割ファイルを要求するファイル要求部と、要求に応じて返信されてきた分割ファイルを合成してもとの保管対象ファイルを復元するファイル復元部と、を有する取出処理ユニットと、
を備え、
前記ファイル要求部は、特定の分割ファイルの取り出しに失敗した場合には、当該特定の分割ファイルの別な重複保管場所である保管用サーバに対して、当該特定の分割ファイルを要求する非常要求を行うとともに、「返信が得られなかった異常サーバを特定する異常サーバ特定情報」および「前記管理情報格納ユニット内に格納されている管理情報において前記異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての前記異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を前記運用サーバに対して送信する機能を有し、
（Ｂ）前記各保管用サーバは、
ネットワークに接続された外部装置から、分割ファイルの送信があった場合にはこれを保管し、分割ファイルの要求があった場合にはこれを返信する機能を有し、
（Ｃ）前記運用サーバは、
前記ユーザ端末からの異常報告を受理する異常報告受理部と、
前記異常報告に含まれている異常サーバ特定情報によって特定される保管用サーバが、まだ退役宣告がなされていないサーバであった場合に、当該保管用サーバに対して退役宣告を行う退役宣告部と、
個々の保管用サーバについて、少なくとも、現役状態か退役状態かを示す情報と、退役状態のサーバについては代替となる代替サーバを示す情報と、を収録したサーバ状態リストを格納するサーバ状態リスト格納部と、
前記退役宣告部により退役宣告がなされた場合に、当該退役宣告の対象となった退役サーバの代替となる代替サーバを、前記サーバ状態リストに収録されている現役サーバの中から選択する代替サーバ選択部と、
前記代替サーバ選択部により、前記退役サーバに対する代替サーバの選択がなされた場合に、前記サーバ状態リストに収録されている前記退役サーバについての情報を退役状態に変更するとともに、その代替となる代替サーバを示す情報を付加するリスト更新部と、
前記異常報告に含まれている復旧情報を参照することにより前記退役サーバ内に保管されていたと特定できるファイルを、当該復旧情報によって示されている重複保管場所である保管用サーバから転送することにより、前記代替サーバ内に復元する復旧処理を行う復旧処理部と、
ネットワークに接続された外部装置から、特定の保管用サーバについての照会を受けたときに、前記サーバ状態リスト格納部を参照して、前記特定の保管用サーバが現役状態か退役状態かを回答し、退役状態である旨の回答を行う際には、その代替となる代替サーバを報知する回答を行う照会受付部と、
を備え、
前記ファイル要求部は、前記照会受付部への照会に対して退役した旨の回答が得られた保管用サーバについては、報知された代替サーバに対して要求を行う代替要求を行うことを特徴とするデータ保管システム。
【請求項２】
請求項１に記載のデータ保管システムにおいて、
復旧処理部が、重複保管場所である保管用サーバ内の転送対象ファイルを、ネットワークを介して、運用サーバ内もしくはその他の場所に設けられた一時格納場所へ読み出し、これをネットワークを介して代替サーバ内へ送信することにより復旧処理を行うことを特徴とするデータ保管システム。
【請求項３】
請求項１に記載のデータ保管システムにおいて、
復旧処理部が、重複保管場所である保管用サーバに対して、転送対象ファイルを代替サーバ内へ送信するように指示を与えることにより復旧処理を行うことを特徴とするデータ保管システム。
【請求項４】
請求項１に記載のデータ保管システムにおいて、
ファイル復元部が、ファイル要求部の要求に応じた分割ファイルの返信が得られなかった場合に、ファイル要求部にその旨を知らせる未着報告を行い、
ファイル要求部が、前記未着報告があった場合に、当該未着報告に係る分割ファイルについての代替要求もしくは非常要求を行うことを特徴とするデータ保管システム。
【請求項５】
請求項４に記載のデータ保管システムにおいて、
ファイル要求部が、
保管場所となる特定の保管用サーバに対して分割ファイルを要求する際に、照会受付部に対して前記特定の保管用サーバについての照会を行うサーバ状態照会部と、
前記サーバ状態照会部による照会に応じて、照会受付部から現役である旨の回答が得られた場合には、前記特定の保管用サーバに対して要求を行い、照会受付部から退役した旨の回答が得られた場合には、前記特定の保管用サーバに代えて、前記照会受付部から報知された代替サーバに対して代替要求を行う要求送信部と、
ファイル復元部からの未着報告があった場合に、当該未着報告に係る分割ファイルについての非常取出指令を発するとともに、「返信が得られなかった異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において前記異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての前記異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信する異常報告部と、
を有し、
前記要求送信部は、前記異常報告部が非常取出指令を発した場合に、前記未着報告に係る分割ファイルについての非常要求を行うことを特徴とするデータ保管システム。
【請求項６】
請求項４に記載のデータ保管システムにおいて、
ファイル要求部が、
保管場所となる保管用サーバに対して分割ファイルを要求する要求送信部と、
ファイル復元部からの未着報告があった場合に、照会受付部に対して前記未着報告に係る特定の保管用サーバについての照会を行い、照会受付部から退役した旨の回答および代替サーバの報知が得られた場合には、前記代替サーバからの取り出しを行うための代替取出指令を発し、照会受付部から現役である旨の回答が得られた場合には、当該未着報告に係る分割ファイルについての非常取出指令を発するサーバ状態照会部と、
前記サーバ状態照会部が非常取出指令を発した場合に、「返信が得られなかった異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において前記異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての前記異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信する異常報告部と、
を有し、
前記要求送信部は、前記サーバ状態照会部が代替取出指令を発した場合には、前記特定の保管用サーバに代えて、前記照会受付部から報知された代替サーバに対して代替要求を行い、前記サーバ状態照会部が非常取出指令を発した場合には、前記未着報告に係る分割ファイルについての非常要求を行うことを特徴とするデータ保管システム。
【請求項７】
請求項１〜６のいずれかに記載のデータ保管システムにおいて、
ファイル要求部が、要求先を退役サーバから代替サーバに切り替える代替要求を行った場合に、管理情報格納ユニット内に格納されている管理情報について、前記退役サーバが前記代替サーバに変更されるように、前記管理情報に対する書き換えを行うことを特徴とするデータ保管システム。
【請求項８】
請求項１〜７のいずれかに記載のデータ保管システムにおいて、
ファイル送信部が特定の保管用サーバへの送信に失敗した場合に、保管場所割当部が、当該特定の保管用サーバの代わりに別な保管用サーバを充てる新たな割り当てを行い、ファイル送信部が新たに割り当てられた保管用サーバに対して送信をやり直す処理を行い、管理情報書込部が、送信に成功した保管場所を含む管理情報を管理情報格納ユニットに書き込むことを特徴とするデータ保管システム。
【請求項９】
請求項８に記載のデータ保管システムにおいて、
ファイル送信部が、特定の保管用サーバへの送信に失敗した場合に、「送信に失敗した異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において前記異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての前記異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信することを特徴とするデータ保管システム。
【請求項１０】
請求項１〜９のいずれかに記載のデータ保管システムにおいて、
照会受付部が、ネットワークに接続された外部装置から、現役サーバについての照会を受けたときに、サーバ状態リスト格納部を参照して、現役状態にある保管用サーバを収録した現役サーバリストを回答として返信する機能を有し、
保管場所割当部が、前記照会受付部に対して現役サーバについての照会を行い、回答として得られた現役サーバリストに収録されているサーバの中から保管場所となる保管用サーバを割り当てることを特徴とするデータ保管システム。
【請求項１１】
請求項１〜１０のいずれかに記載のデータ保管システムにおいて、
サーバ状態リスト格納部が、個々の保管用サーバについて、更に、仕様、コスト、もしくは設置環境に関する情報を収録したサーバ状態リストを格納しており、
代替サーバ選択部が、前記仕様、コスト、もしくは設置環境に関する情報を考慮して代替サーバの選択を行うことを特徴とするデータ保管システム。
【請求項１２】
請求項１１に記載のデータ保管システムにおいて、
サーバ状態リスト格納部が、仕様に関する情報として、製造会社、型式、製造時期、記憶容量、動作速度、二酸化炭素排出量、なる群の中から選ばれた１つもしくは複数の項目に関する情報を格納しており、コストに関する情報として、初期導入コストもしくは維持コストに関する情報を格納しており、設置環境に関する情報として、耐震性もしくは治安度に関する情報を格納していることを特徴とするデータ保管システム。
【請求項１３】
請求項１〜１２のいずれかに記載のデータ保管システムにおいて、
退役宣告部が、退役宣告を行う前に、異常サーバ特定情報によって特定される保管用サーバに異常が生じているか否かを所定の検査方法で検査し、異常が確認された場合にのみ退役宣告を行い、
復旧処理部が、前記退役宣告が行われた場合にのみ復旧処理を行うことを特徴とするデータ保管システム。
【請求項１４】
請求項１〜１３のいずれかに記載のデータ保管システムにおいて、
保管場所割当部が、同一の分割ファイルを複数の保管場所に重複して割り当てる際に、各保管場所に優先順位を設定し、
管理情報書込部が、前記優先順位を含む管理情報を管理情報格納ユニットに書き込み、
ファイル要求部が、前記優先順位に基づいて代表となる保管用サーバの選択を行うことを特徴とするデータ保管システム。
【請求項１５】
請求項１〜１３のいずれかに記載のデータ保管システムにおいて、
ファイル要求部が、所定のアルゴリズムに基づく交替制で、もしくは、ランダムに、代表となる保管用サーバの選択を行うことを特徴とするデータ保管システム。
【請求項１６】
請求項１〜１５のいずれかに記載のデータ保管システムにおいて、
退役宣告部が、退役宣告を行った保管用サーバに対して、ファイル保管機能およびファイル返信機能を停止する機能停止処理を行うことを特徴とするデータ保管システム。
【請求項１７】
請求項１〜１６のいずれかに記載のデータ保管システムにおいて、
ファイル要求部が、代替サーバに対して要求を行い、かつ、要求に係る特定の分割ファイルが当該代替サーバ内に存在しないために当該特定の分割ファイルの取り出しに失敗した場合には、当該特定の分割ファイルの別な重複保管場所となる保管用サーバに対して、当該特定の分割ファイルを要求する非常要求を行うとともに、「前記代替サーバによって代替された退役サーバを異常サーバとして特定する異常サーバ特定情報」および「前記管理情報格納ユニット内に格納されている管理情報において前記異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての前記異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を前記運用サーバに対して送信することを特徴とするデータ保管システム。
【請求項１８】
請求項１〜１７のいずれかに記載のデータ保管システムにおいて、
預入処理ユニットが、ユーザからの登録指示に基づき、複数の保管用サーバ内に当該ユーザ用のフォルダを作成するユーザ登録部を更に有し、
保管場所割当部が、当該ユーザからの預入指示があった場合には、当該ユーザ用のフォルダを保管場所として割り当てる処理を行い、
復旧処理部が、フォルダに収容された状態のままファイルを転送することにより復旧処理を行うことを特徴とするデータ保管システム。
【請求項１９】
請求項１〜１８のいずれかに記載のデータ保管システムにおいて、
復旧処理部が、退役サーバ内に、取り出し可能なファイルが存在していた場合に、当該ファイルを取り出して代替サーバへ転送する避難処理を行う機能を更に有することを特徴とするデータ保管システム。
【請求項２０】
請求項１〜１９のいずれかに記載のデータ保管システムにおいて、
ファイル分割部が、複数通りの分割方法の中から選択した特定の分割方法で保管対象ファイルを分割する処理を行い、
管理情報書込部が、前記特定の分割方法を示す情報を含んだ管理情報を管理情報格納ユニットに書き込む処理を行い、
ファイル復元部が、前記管理情報に含まれている前記特定の分割方法に応じた特定の方法で分割ファイルを合成してもとの保管対象ファイルを復元する処理を行うことを特徴とするデータ保管システム。
【請求項２１】
請求項１〜２０のいずれかに記載のデータ保管システムにおいて、
ファイル分割部が、分割前の保管対象ファイルに対して、もしくは、分割後の分割ファイルに対して、所定の暗号化処理を実行し、
管理情報書込部が、前記暗号化処理の内容を示す情報を含んだ管理情報を管理情報格納ユニットに書き込む処理を行い、
ファイル復元部が、前記管理情報に含まれている前記暗号化処理の内容に応じた特定の復号化処理を実行することにより、もとの保管対象ファイルを復元する処理を行うことを特徴とするデータ保管システム。
【請求項２２】
請求項１〜２１のいずれかに記載のデータ保管システムにおいて、
預入処理ユニットおよび取出処理ユニットによって、ユーザ端末本体部を構成し、管理情報格納ユニットとして、前記ユーザ端末本体部に対して着脱自在な携帯型情報記憶装置を用いることを特徴とするデータ保管システム。
【請求項２３】
請求項１〜２２のいずれかに記載のデータ保管システムにおいて、
管理情報書込部が、保管対象ファイルについての管理情報を管理情報格納ユニットに格納する代わりに、ネットワークを介してアクセス可能な特定の格納場所に格納し、当該格納場所の所在を示す所在情報を管理情報格納ユニットに格納する処理を行い、
管理情報読出部が、管理情報格納ユニットから管理情報を読み出す代わりに、管理情報格納ユニットから前記所在情報を読み出し、読み出した前記所在情報に基づいて前記特定の格納場所をアクセスして管理情報を読み出す処理を行うことを特徴とするデータ保管システム。
【請求項２４】
コンピュータを、請求項１〜２３のいずれかに記載のデータ保管システムにおけるユーザ端末もしくは運用サーバとして機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ保管システムに関し、特に、冗長性をもたせるために、ネットワークを介して同一のデータファイルを複数箇所のサーバ装置に重複して保管するシステムにおいて、データ保管用サーバを交換した場合にも、冗長性がそのまま維持されるようにする技術に関する。
【背景技術】
【０００２】
パソコンなどで作成されたデータを安全に保管するために、ネットワークを介して接続されたデータ保管装置が利用されている。このようなネットワーク接続型のデータ保管装置は、一般に、ＮＡＳ（Network Attached Storage）と呼ばれており、ネットワークに接続された任意のパソコンからアクセスすることができ、内蔵のディスクドライブ装置に対するデータ格納処理とほぼ同等の操作性をもった取り扱いが可能であるため、データのバックアップなどの用途に広く利用されている。
【０００３】
また、最近では、ネットワークとしてインターネットを利用し、世界中に分散配置された任意のデータ保管用サーバにデータファイルを保管する運用も行われている。更に、セキュリティや安全性をより高めるために、１つのデータファイルを複数の分割ファイルに分割して保管する技術も提案されている。たとえば、下記の特許文献１には、個々の分割ファイルをそれぞれ異なる格納場所に保管する分散型データアーカイブ装置が開示されている。更に、特許文献２には、データ保管装置にアップロードされたデータファイルを、更に別なデータ保管装置に移管する処理を行うことにより、記憶容量の限界を克服し、ウイルスの被害を抑える技術が開示されている。
【０００４】
このようなインターネットを介したデータ保管サービスを利用すれば、世界中のどこからでもデータファイルを預けることができ、また、世界中のどこからでもデータファイルを取り出すことができるので、ユーザにとっての利便性は極めて高くなる。ただ、保管対象ファイルは、デジタルデータの集合体であるため、どのようなハードウエア装置を用いて保管したとしても、データの滅失事故が生じる危険性は避けられない。このため、データファイルの保管時に冗長性をもたせておくことが重要である。
【０００５】
データファイルを冗長性をもたせて保管する方法として、現在最も普及している方法は、いわゆる「ミラーリング」と呼ばれている方法である。この方法では、全く同一の保管対象ファイルを複数作成し、それぞれ別個独立したハードウエア装置に重複して保管するという手法が採られる。この場合、もし、一方のハードウエア装置から保管対象ファイルを取り出すことに失敗したとしても、他方のハードウエア装置から同一の保管対象ファイルを取り出す試みが可能になり、保管対象ファイルが完全に滅失してしまう可能性は極めて少なくなる。たとえば、下記の特許文献３には、ネットワーク接続された複数のサーバ装置を用いて、ミラーリング方式でデータファイルを保管するためのシステムが開示されている。また、特許文献４には、ネットワークを介したデータ保管システムにおいて、冗長性を確保するために、同一のファイルを複数箇所のサーバ装置に重複して保管する技術が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】ＰＣＴ国際公開第ＷＯ０１／４６８０８号公報
【特許文献２】特開２００５−１８２６９１号公報
【特許文献３】特表２００４−５２３０１７号公報
【特許文献４】特開２０１０−２５０６５６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
データ保管システムには、その用途に応じて、比較的長期間にわたるデータ保管機能が要求される。特に、ビジネスに利用するデータを保管するシステムの場合、５年、１０年といった長期間にわたって、あるいは半永久的にデータを保管する必要が生じる。しかしながら、このようなデータ保管システムに利用されるデータ保管用サーバのハードウエア装置自体は、必ずしもそのような長期間の利用に適したものばかりではない。特に、ハードディスク装置は、現在のところ、利便性およびコストパフォーマンスの点から、あらゆる技術分野に広く普及しているデータ記憶装置であるが、信頼性を維持しつつ使用できる期間は、３〜５年程度である。
【０００８】
このような事情から、データ保管システムを長期間にわたって運用すると、データ保管用サーバに故障が生じ、ファイルの取り出しに失敗する事態が生じることになる。もちろん、このような事態が生じても、上述したように冗長性が確保されたシステムを利用している限り、同一のデータファイルが別な保管用サーバにも重複して保存されているため、ファイルの滅失事故を防止することができる。ただ、常に冗長性を確保しておくためには、故障が生じたデータ保管用サーバを新しいサーバに交換する保守管理が必要になる。
【０００９】
ここで、比較的小規模なデータ保管システムを運用してゆく場合であれば、データ保管用サーバを交換する保守管理作業の負担は小さなものかもしれないが、データ保管システムの規模が大きくなればなるほど、作業負担は指数関数的に増加する。特に、インターネットに接続された多数の保管用サーバをファイルの保管場所として用いるシステムの場合、世界中に設置された保管用サーバについて、保守担当者が人手で保守管理を行うことは極めて困難である。
【００１０】
そこで本発明は、冗長性を確保するために、ネットワークを介して同一のデータファイルを複数箇所の保管用サーバに重複して保管する機能をもち、しかも、冗長性を維持したまま保管用サーバを自動的に交替させる自律的な保守管理機能を備えたデータ保管システムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
(1)   本発明の第１の態様は、ネットワークを介して、所定のサーバ装置にデータファイルを保管する機能と、保管されていたデータファイルを必要に応じて取り出す機能と、を有するデータ保管システムにおいて、
ネットワークに接続されたユーザ端末（Ａ）と、ネットワークに接続された複数の保管用サーバ（Ｂ）と、ネットワークに接続された運用サーバ（Ｃ）と、を設け、
（Ａ）ユーザ端末は、
保管対象ファイルについての管理情報を格納する管理情報格納ユニットと、
ユーザからの預入指示とともに保管対象ファイルを入力する預入指示入力部と、入力した保管対象ファイルを複数の分割ファイルに分割しそれぞれ所定のファイル名を付与するファイル分割部と、個々の分割ファイルについてそれぞれ異なる保管用サーバを保管場所として割り当て、かつ、冗長性をもたせるために同一の分割ファイルをそれぞれ複数の保管場所に重複して割り当てる保管場所割当部と、個々の分割ファイルをそれぞれ割り当てられた保管場所となる保管用サーバへ送信するファイル送信部と、「個々の分割ファイルに付与されたファイル名」および「個々の分割ファイルに割り当てられた保管場所」を保管対象ファイルについての管理情報として管理情報格納ユニットに書き込む管理情報書込部と、を有する預入処理ユニットと、
ユーザからの取出指示とともに取出対象ファイルを特定する情報を入力する取出指示入力部と、管理情報格納ユニットから取出対象ファイルについての管理情報を読み出す管理情報読出部と、読み出した管理情報に基づいて取出対象となる分割ファイルのファイル名および複数の保管場所を認識する保管場所認識部と、認識した複数の保管場所となる各保管用サーバのうち代表となる保管用サーバを選択し、選択した保管用サーバに対して認識したファイル名をもつ分割ファイルを要求するファイル要求部と、要求に応じて返信されてきた分割ファイルを合成してもとの保管対象ファイルを復元するファイル復元部と、を有する取出処理ユニットと、
を備え、
ファイル要求部は、特定の分割ファイルの取り出しに失敗した場合には、当該特定の分割ファイルの別な重複保管場所である保管用サーバに対して、当該特定の分割ファイルを要求する非常要求を行うとともに、「返信が得られなかった異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信する機能を有し、
（Ｂ）各保管用サーバは、
ネットワークに接続された外部装置から、分割ファイルの送信があった場合にはこれを保管し、分割ファイルの要求があった場合にはこれを返信する機能を有し、
（Ｃ）運用サーバは、
ユーザ端末からの異常報告を受理する異常報告受理部と、
異常報告に含まれている異常サーバ特定情報によって特定される保管用サーバが、まだ退役宣告がなされていないサーバであった場合に、当該保管用サーバに対して退役宣告を行う退役宣告部と、
個々の保管用サーバについて、少なくとも、現役状態か退役状態かを示す情報と、退役状態のサーバについては代替となる代替サーバを示す情報と、を収録したサーバ状態リストを格納するサーバ状態リスト格納部と、
退役宣告部により退役宣告がなされた場合に、当該退役宣告の対象となった退役サーバの代替となる代替サーバを、サーバ状態リストに収録されている現役サーバの中から選択する代替サーバ選択部と、
代替サーバ選択部により、退役サーバに対する代替サーバの選択がなされた場合に、サーバ状態リストに収録されている退役サーバについての情報を退役状態に変更するとともに、その代替となる代替サーバを示す情報を付加するリスト更新部と、
異常報告に含まれている復旧情報を参照することにより退役サーバ内に保管されていたと特定できるファイルを、当該復旧情報によって示されている重複保管場所である保管用サーバから転送することにより、代替サーバ内に復元する復旧処理を行う復旧処理部と、
ネットワークに接続された外部装置から、特定の保管用サーバについての照会を受けたときに、サーバ状態リスト格納部を参照して、特定の保管用サーバが現役状態か退役状態かを回答し、退役状態である旨の回答を行う際には、その代替となる代替サーバを報知する回答を行う照会受付部と、
を備え、
ファイル要求部は、照会受付部への照会に対して退役した旨の回答が得られた保管用サーバについては、報知された代替サーバに対して要求を行う代替要求を行うようにしたものである。
【００１６】
(2)   本発明の第２の態様は、上述した第１の態様に係るデータ保管システムにおいて、
復旧処理部が、重複保管場所である保管用サーバ内の転送対象ファイルを、ネットワークを介して、運用サーバ内もしくはその他の場所に設けられた一時格納場所へ読み出し、これをネットワークを介して代替サーバ内へ送信することにより復旧処理を行うようにしたものである。
【００１７】
(3)   本発明の第３の態様は、上述した第１の態様に係るデータ保管システムにおいて、
復旧処理部が、重複保管場所である保管用サーバに対して、転送対象ファイルを代替サーバ内へ送信するように指示を与えることにより復旧処理を行うようにしたものである。
【００１８】
(4)   本発明の第４の態様は、上述した第１の態様に係るデータ保管システムにおいて、
ファイル復元部が、ファイル要求部の要求に応じた分割ファイルの返信が得られなかった場合に、ファイル要求部にその旨を知らせる未着報告を行い、
ファイル要求部が、未着報告があった場合に、当該未着報告に係る分割ファイルについての代替要求もしくは非常要求を行うようにしたものである。
【００１９】
(5)   本発明の第５の態様は、上述した第４の態様に係るデータ保管システムにおいて、
ファイル要求部が、
保管場所となる特定の保管用サーバに対して分割ファイルを要求する際に、照会受付部に対して当該特定の保管用サーバについての照会を行うサーバ状態照会部と、
サーバ状態照会部による照会に応じて、照会受付部から現役である旨の回答が得られた場合には、当該特定の保管用サーバに対して要求を行い、照会受付部から退役した旨の回答が得られた場合には、当該特定の保管用サーバに代えて、照会受付部から報知された代替サーバに対して代替要求を行う要求送信部と、
ファイル復元部からの未着報告があった場合に、当該未着報告に係る分割ファイルについての非常取出指令を発するとともに、「返信が得られなかった異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信する異常報告部と、
を有し、
要求送信部は、異常報告部が非常取出指令を発した場合に、未着報告に係る分割ファイルについての非常要求を行うようにしたものである。
【００２０】
(6)   本発明の第６の態様は、上述した第４の態様に係るデータ保管システムにおいて、
ファイル要求部が、
保管場所となる保管用サーバに対して分割ファイルを要求する要求送信部と、
ファイル復元部からの未着報告があった場合に、照会受付部に対して未着報告に係る特定の保管用サーバについての照会を行い、照会受付部から退役した旨の回答および代替サーバの報知が得られた場合には、代替サーバからの取り出しを行うための代替取出指令を発し、照会受付部から現役である旨の回答が得られた場合には、当該未着報告に係る分割ファイルについての非常取出指令を発するサーバ状態照会部と、
サーバ状態照会部が非常取出指令を発した場合に、「返信が得られなかった異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信する異常報告部と、
を有し、
要求送信部は、サーバ状態照会部が代替取出指令を発した場合には、特定の保管用サーバに代えて、照会受付部から報知された代替サーバに対して代替要求を行い、サーバ状態照会部が非常取出指令を発した場合には、未着報告に係る分割ファイルについての非常要求を行うようにしたものである。
【００２１】
(7)   本発明の第７の態様は、上述した第１〜第６の態様に係るデータ保管システムにおいて、
ファイル要求部が、要求先を退役サーバから代替サーバに切り替える代替要求を行った場合に、管理情報格納ユニット内に格納されている管理情報について、退役サーバが代替サーバに変更されるように、管理情報に対する書き換えを行うようにしたものである。
【００２２】
(8)   本発明の第８の態様は、上述した第１〜第７の態様に係るデータ保管システムにおいて、
ファイル送信部が特定の保管用サーバへの送信に失敗した場合に、保管場所割当部が、当該特定の保管用サーバの代わりに別な保管用サーバを充てる新たな割り当てを行い、ファイル送信部が新たに割り当てられた保管用サーバに対して送信をやり直す処理を行い、管理情報書込部が、送信に成功した保管場所を含む管理情報を管理情報格納ユニットに書き込むようにしたものである。
【００２３】
(9)   本発明の第９の態様は、上述した第８の態様に係るデータ保管システムにおいて、
ファイル送信部が、特定の保管用サーバへの送信に失敗した場合に、「送信に失敗した異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信するようにしたものである。
【００２４】
(10)  本発明の第１０の態様は、上述した第１〜第９の態様に係るデータ保管システムにおいて、
照会受付部が、ネットワークに接続された外部装置から、現役サーバについての照会を受けたときに、サーバ状態リスト格納部を参照して、現役状態にある保管用サーバを収録した現役サーバリストを回答として返信する機能を有し、
保管場所割当部が、照会受付部に対して現役サーバについての照会を行い、回答として得られた現役サーバリストに収録されているサーバの中から保管場所となる保管用サーバを割り当てるようにしたものである。
【００２５】
(11)  本発明の第１１の態様は、上述した第１〜第１０の態様に係るデータ保管システムにおいて、
サーバ状態リスト格納部が、個々の保管用サーバについて、更に、仕様、コスト、もしくは設置環境に関する情報を収録したサーバ状態リストを格納しており、
代替サーバ選択部が、仕様、コスト、もしくは設置環境に関する情報を考慮して代替サーバの選択を行うようにしたものである。
【００２６】
(12)  本発明の第１２の態様は、上述した第１１の態様に係るデータ保管システムにおいて、
サーバ状態リスト格納部が、仕様に関する情報として、製造会社、型式、製造時期、記憶容量、動作速度、二酸化炭素排出量、なる群の中から選ばれた１つもしくは複数の項目に関する情報を格納しており、コストに関する情報として、初期導入コストもしくは維持コストに関する情報を格納しており、設置環境に関する情報として、耐震性もしくは治安度に関する情報を格納しているようにしたものである。
【００２７】
(13)  本発明の第１３の態様は、上述した第１〜第１２の態様に係るデータ保管システムにおいて、
退役宣告部が、退役宣告を行う前に、異常サーバ特定情報によって特定される保管用サーバに異常が生じているか否かを所定の検査方法で検査し、異常が確認された場合にのみ退役宣告を行い、
復旧処理部が、退役宣告が行われた場合にのみ復旧処理を行うようにしたものである。
【００２８】
(14)  本発明の第１４の態様は、上述した第１〜第１３の態様に係るデータ保管システムにおいて、
保管場所割当部が、同一の分割ファイルを複数の保管場所に重複して割り当てる際に、各保管場所に優先順位を設定し、
管理情報書込部が、この優先順位を含む管理情報を管理情報格納ユニットに書き込み、
ファイル要求部が、この優先順位に基づいて代表となる保管用サーバの選択を行うようにしたものである。
【００２９】
(15)  本発明の第１５の態様は、上述した第１〜第１３の態様に係るデータ保管システムにおいて、
ファイル要求部が、所定のアルゴリズムに基づく交替制で、もしくは、ランダムに、代表となる保管用サーバの選択を行うようにしたものである。
【００３０】
(16)  本発明の第１６の態様は、上述した第１〜第１５の態様に係るデータ保管システムにおいて、
退役宣告部が、退役宣告を行った保管用サーバに対して、ファイル保管機能およびファイル返信機能を停止する機能停止処理を行うようにしたものである。
【００３１】
(17)  本発明の第１７の態様は、上述した第１〜第１６の態様に係るデータ保管システムにおいて、
ファイル要求部が、代替サーバに対して要求を行い、かつ、要求に係る特定の分割ファイルが当該代替サーバ内に存在しないために当該特定の分割ファイルの取り出しに失敗した場合には、当該特定の分割ファイルの別な重複保管場所となる保管用サーバに対して、当該特定の分割ファイルを要求する非常要求を行うとともに、「代替サーバによって代替された退役サーバを異常サーバとして特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバに対して送信するようにしたものである。
【００３２】
(18)  本発明の第１８の態様は、上述した第１〜第１７の態様に係るデータ保管システムにおいて、
預入処理ユニットが、ユーザからの登録指示に基づき、複数の保管用サーバ内に当該ユーザ用のフォルダを作成するユーザ登録部を更に有し、
保管場所割当部が、当該ユーザからの預入指示があった場合には、当該ユーザ用のフォルダを保管場所として割り当てる処理を行い、
復旧処理部が、フォルダに収容された状態のままファイルを転送することにより復旧処理を行うようにしたものである。
【００３３】
(19)  本発明の第１９の態様は、上述した第１〜第１８の態様に係るデータ保管システムにおいて、
復旧処理部が、退役サーバ内に、取り出し可能なファイルが存在していた場合に、当該ファイルを取り出して代替サーバへ転送する避難処理を行う機能を更に有するようにしたものである。
【００３４】
(20)  本発明の第２０の態様は、上述した第１〜第１９の態様に係るデータ保管システムにおいて、
ファイル分割部が、複数通りの分割方法の中から選択した特定の分割方法で保管対象ファイルを分割する処理を行い、
管理情報書込部が、特定の分割方法を示す情報を含んだ管理情報を管理情報格納ユニットに書き込む処理を行い、
ファイル復元部が、管理情報に含まれている特定の分割方法に応じた特定の方法で分割ファイルを合成してもとの保管対象ファイルを復元する処理を行うようにしたものである。
【００３５】
(21)  本発明の第２１の態様は、上述した第１〜第２０の態様に係るデータ保管システムにおいて、
ファイル分割部が、分割前の保管対象ファイルに対して、もしくは、分割後の分割ファイルに対して、所定の暗号化処理を実行し、
管理情報書込部が、暗号化処理の内容を示す情報を含んだ管理情報を管理情報格納ユニットに書き込む処理を行い、
ファイル復元部が、管理情報に含まれている暗号化処理の内容に応じた特定の復号化処理を実行することにより、もとの保管対象ファイルを復元する処理を行うようにしたものである。
【００３６】
(22)  本発明の第２２の態様は、上述した第１〜第２１の態様に係るデータ保管システムにおいて、
預入処理ユニットおよび取出処理ユニットによって、ユーザ端末本体部を構成し、管理情報格納ユニットとして、ユーザ端末本体部に対して着脱自在な携帯型情報記憶装置を用いるようにしたものである。
【００３７】
(23)  本発明の第２３の態様は、上述した第１〜第２２の態様に係るデータ保管システムにおいて、
管理情報書込部が、保管対象ファイルについての管理情報を管理情報格納ユニットに格納する代わりに、ネットワークを介してアクセス可能な特定の格納場所に格納し、当該格納場所の所在を示す所在情報を管理情報格納ユニットに格納する処理を行い、
管理情報読出部が、管理情報格納ユニットから管理情報を読み出す代わりに、管理情報格納ユニットから所在情報を読み出し、読み出した所在情報に基づいて特定の格納場所をアクセスして管理情報を読み出す処理を行うようにしたものである。
【００３８】
(24)  本発明の第２４の態様は、上述した第１〜第２３の態様に係るデータ保管システムにおけるユーザ端末もしくは運用サーバを、コンピュータに専用のプログラムを組み込むことにより構成したものである。
【発明の効果】
【００４３】
本発明のデータ保管システムによれば、ユーザ端末がファイルの取り出しに失敗した場合、冗長性を利用した非常取出が行われるとともに、運用サーバに対して異常報告がなされる。そして、この異常報告を受けた運用サーバが、代替サーバにデータファイルを復元する復旧処理を行うことになる。したがって、冗長性を確保するために、ネットワークを介して同一のデータファイルを複数箇所の保管用サーバに重複して保管する機能をもったデータ保管システムにおいて、冗長性を維持したまま保管用サーバを自動的に交替させる自律的な保守管理機能を実現することが可能になる。
【００４４】
なお、ファイル転送処理は、運用サーバを仲介して行うこともできるが、運用サーバから退役サーバに指示を与えて、退役サーバから代替サーバへ直接ファイル転送を行う実施形態の場合は、運用サーバの作業負担を軽減させることができる。
【００４５】
本発明は、特に、保管対象ファイルを複数の分割ファイルに分け、それぞれ異なる保管用サーバに保管する分散型データアーカイブシステム（前掲の特許文献１，２に記載されているシステム）に適用すると効果的である。そのような実施形態では、保管した元のファイルを復元するためには、すべての分割ファイルを取り出す必要があるが、常に冗長性が維持される自律的な保守管理機能をもたせることにより、すべての分割ファイルを支障なく取り出すことができるようになり、保管対象ファイルの滅失を避けることができる。
【図面の簡単な説明】
【００４６】
【図１】従来の一般的なネットワークを利用したデータ保管システムの基本構成を示すブロック図である。
【図２】図１に示すシステムを分散型データアーカイブシステムとして稼働させる実施形態における、ユーザ端末１００の詳細構成を示すブロック図である。
【図３】分散型データアーカイブシステムにおけるファイル分割処理の基本概念を示すブロック図である。
【図４】図１に示すシステムにおいて利用される保管場所リストの一例を示す図である。
【図５】図３に示す分割ファイルの預入処理を行う際に、冗長性を付加したサーバ割当を行った例を示すブロック図である。
【図６】図５に示す冗長性を付加した例において作成される管理情報の具体例を示す図である。
【図７】図６に示す管理情報に基づいて、３台の保管用サーバから通常取出処理を行う例を示す図である。
【図８】図６に示す管理情報に基づいて、保管用サーバＳｉが故障した場合の非常取出処理を行う例を示す図である。
【図９】本発明の基本的な実施形態に係るデータ保管システムの基本構成を示すブロック図である。
【図１０】保管用サーバＳｉが故障した場合に、その代替となる代替サーバＳｑ内にファイルの復元を行う処理の概念図である。
【図１１】保管用サーバＳｉが故障した場合に、その代替となる代替サーバＳｑ内にファイルの復元を行う実際の復旧処理を示す図である。
【図１２】図９に示すデータ保管システムを分散型データアーカイブシステムとして稼働させる実施形態における、ユーザ端末１００＊の詳細構成を示すブロック図である。
【図１３】図９に示すデータ保管システムを分散型データアーカイブシステムとして稼働させる実施形態における、運用サーバ４００の詳細構成を示すブロック図である。
【図１４】図１２に示す実施形態におけるファイル要求部１２３＊の第１の具体的な構成例を示すブロック図である。
【図１５】図１２に示す実施形態におけるファイル要求部１２３＊の第２の具体的な構成例を示すブロック図である。
【図１６】図１３に示すサーバ状態リスト格納部４６０内に格納されるサーバ状態リストの変形例を示す図である。
【図１７】ＩＣカードによって管理情報格納ユニット１３０＊を構成し、複数のユーザ端末本体部を利用してファイルの預入処理／取出処理を実行可能にした実施形態を示すブロック図である。
【図１８】ユーザごとの保管場所を示す個別保管場所リストの一例を示す図である。
【図１９】図１８に示す個別保管場所リストに対応して作成された各ユーザ用のフォルダを示すブロック図である。
【発明を実施するための形態】
【００４７】
以下、本発明を図示する実施形態に基づいて説明する。
【００４８】
＜＜＜  §１．従来のデータ保管システムの基本構成  ＞＞＞
はじめに、説明の便宜上、従来のデータ保管システムの基本構成を述べておく。図１は、従来の一般的なネットワークを利用したデータ保管システムの基本構成を示すブロック図である。図示のとおり、このシステムは、ユーザ端末１００と、このユーザ端末１００からインターネット２００を介してアクセス可能な複数の保管用サーバ３００と、によって構成される。
【００４９】
図１では、説明の便宜上、３台のユーザ端末１００Ａ，１００Ｂ，１００Ｃと、２６台の保管用サーバ３００Ａ〜３００Ｚと、によってシステムを構成した例が示されているが、原理的には、１台のユーザ端末１００と、複数台の保管用サーバ３００とがネットワーク（インターネットに限らず、ＬＡＮなどでもよい）を介して接続されていればよい。なお、各保管用サーバ３００Ａ〜３００Ｚには、それぞれＵＲＬによって表現されるアドレス情報Ｓａ〜Ｓｚが付与されており、各ユーザ端末は、このアドレス情報Ｓａ〜Ｓｚを用いて各保管用サーバにアクセスすることができる。
【００５０】
このデータ保管システムの基本機能は、ネットワークを介して、所定の保管用サーバにデータファイルを保管する預入処理の機能と、保管されていたデータファイルを必要に応じて取り出す取出処理の機能である。各ユーザ端末１００は、この預入処理および取出処理の窓口として機能する装置であり、ユーザが、ユーザ端末１００に対して預け入れたデータファイルは、インターネット２００を介して所定の保管用サーバ３００へと送られて保管され、ユーザが、ユーザ端末１００に対して所定のデータファイルに対する取出操作を行うと、インターネット２００を介して所定の保管用サーバ３００に対する取出要求が出され、要求したデータファイルが返信されてくる。
【００５１】
ネットワークとして、図示のようにインターネット２００を利用すれば、世界中の任意の場所に配置されたユーザ端末を利用して、世界中の任意の場所に配置されたデータ保管用サーバにデータファイルを保管することが可能である。ただ、個々の保管用サーバ３００は、ハードディスク等の物理的な情報記録装置によって構成されているため、長期間の運用により故障が生じる可能性を排除できない。また、ハードディスク等の情報記録装置自体に支障が生じていなくても、ネットワークに接続するための通信系に支障が生じた場合も同様である。このように、保管用サーバ３００に何らかの支障が生じると、保管中のデータファイルを取り出すことができなくなり、データファイルの滅失という事態が生じる。
【００５２】
そこで、保管用サーバ３００に何らかの支障が生じた場合にも、データファイルの滅失を避けることができるように、データファイルの保管時に冗長性をもたせておく方法が採られている。具体的には、ユーザ端末１００が、保管対象となるファイルを預け入れる際に、重複保管場所となる複数の保管用サーバ３００へそれぞれファイルを送信するようにすればよい。
【００５３】
たとえば、図１に示すシステムにおいて、ユーザ端末１００Ａから保管対象ファイルＦ（α）を預け入れる場合、重複保管場所として保管用サーバ３００Ｉと３００Ｊを選択し、これら２つの保管用サーバ３００Ｉ，３００Ｊの双方にファイルＦ（α）を送信して重複保管すればよい。この場合、通常は、保管用サーバ３００Ｉ，３００Ｊのうちのいずれか一方からデータファイルの取り出しを行えば十分であるが、万一、一方からの取り出しに失敗したとしても、他方からの取り出しを行うことにより、データファイルの滅失を避けることができる。
【００５４】
＜＜＜  §２．従来の分散型データアーカイブシステム  ＞＞＞
一方、セキュリティや安全性をより高めるために、前掲の特許文献１，２には、１つのデータファイルを複数の分割ファイルに分割して保管する機能をもった分散型データアーカイブシステムが開示されている。ここでは、この分散型データアーカイブシステムの構成例を説明する。
【００５５】
分散型データアーカイブシステムの特徴は、ユーザ端末１００から預け入れた保管対象ファイルが、そのままの形で保管用サーバ３００に保管されるわけではなく、ユーザ端末１００において、複数の分割ファイルに分割する処理が行われた後、個々の分割ファイルがそれぞれ異なる複数の保管用サーバ３００に別個に保管される点である。どの分割ファイルをどの保管用サーバ３００に保管したかを示す情報は、管理情報として格納される。預け入れた保管対象ファイルを取り出す際には、ユーザ端末１００において、管理情報を参照することにより、個々の分割ファイルを各保管用サーバ３００から取り出し、これらを合成して元の保管対象ファイルに復元する処理を行えばよい。
【００５６】
このように、１つのデータファイルを、分割ファイルの形式で部分ごとに分散させて保管しておけば、万一、１つの保管用サーバに対するハッキングにより、当該サーバ内のファイルが不正な方法で読み出されたとしても、元の完全なファイルの状態での不正利用を防止することができる。すなわち、元の完全なファイルを復元するためには、管理情報が必要になるので、ユーザが、この管理情報を十分なセキュリティの下に保管しておけば、たとえ個々の保管用サーバ３００がハッキングを受けたとしても、ハッカーは、どのサーバのどの分割ファイルを、どのサーバのどの分割ファイルと合成すれば元のファイルを復元できるかを認識することができないので、重大な被害が発生するリスクを最小限に抑えることができる。
【００５７】
ここでは、図１に示すデータ保管システムを、分散型データアーカイブシステムとして機能させる場合のユーザ端末１００の詳細構成を、図２のブロック図を参照しながら説明する。別言すれば、図１に示すデータ保管システムにおけるユーザ端末１００Ａ，１００Ｂ，１００Ｃを、それぞれ図２のブロック図に示す構成としておけば、このシステムを分散型データアーカイブシステムとして機能させることができる。なお、図２の最下部に描かれているインターネット２００は、図１に示されているインターネット２００に対応するものである。図２に示すとおり、このユーザ端末１００は、大きく分けて、預入処理ユニット１１０，取出処理ユニット１２０，管理情報格納ユニット１３０という３つの構成要素からなる。
【００５８】
ここで、預入処理ユニット１１０は、ユーザが保管対象ファイルをシステムに預け入れるための処理を行うユニットであり、図に一点鎖線で囲って示すとおり、預入指示入力部１１１，ファイル分割部１１２，ファイル送信部１１３，管理情報書込部１１４，保管場所割当部１１５によって構成されている。一方、取出処理ユニット１２０は、ユーザが過去に預け入れたファイルを必要に応じて取り出すための処理を行うユニットであり、図に一点鎖線で囲って示すとおり、管理情報読出部１２１，保管場所認識部１２２，ファイル要求部１２３，取出指示入力部１２４，ファイル復元部１２５によって構成されている。また、管理情報格納ユニット１３０は、保管対象ファイルについての管理情報を格納するためのユニットである。
【００５９】
このように、ユーザ端末１００は、機能ごとの各要素として把握すると、図２のブロック図に示すような構成要素の集合体として示されることになるが、実際には、預入処理ユニット１１０および取出処理ユニット１２０からなるユーザ端末本体部は、パソコンや携帯電話機などの電子機器に専用のエージェントプログラムを組み込むことによって構成することができる。また、管理情報格納ユニット１３０は、このユーザ端末本体部に対して着脱自在な携帯型情報記憶装置（たとえば、ＩＣカード）を用いるようにするのが好ましい。
【００６０】
＜＜＜  §３．預入処理ユニットの基本動作  ＞＞＞
図２に示すユーザ端末１００において、預入処理ユニット１１０の各構成要素の役割は次のとおりである。まず、預入指示入力部１１１は、ユーザからの預入指示とともに保管対象ファイルを入力する機能を果たす。ここでは、説明の便宜上、保管対象ファイルをＦ（α）とし、そのファイル名を”Ｆ（α）”で表すことにする。ユーザは、預入指示入力部１１１に対して、保管対象ファイルＦ（α）を指定して（たとえば、ファイル名”Ｆ（α）”を指定して）、預入指示を与える操作を行えばよい。入力された保管対象ファイルＦ（α）は、ファイル分割部１１２へ与えられる。
【００６１】
ファイル分割部１１２は、この入力した保管対象ファイルＦ（α）を複数の分割ファイルに分割しそれぞれ所定のファイル名を付与する処理を実行する。ここでは、ファイルＦ（α）が３つの分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３に分割され、それぞれ新たなファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”が付与されたものとする。
【００６２】
図３は、ファイル分割部１１２で行われるファイル分割処理の基本概念を示すブロック図である。図示のとおり、この例の場合、保管対象ファイルＦ（α）は３つに等分割され、先頭から順に分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３が作成される。個々の分割ファイルのファイル名は、何らかの単純なアルゴリズムで自動生成されるようにしておけばよい。ここに示す例の場合、保管対象ファイルＦ（α）のファイル名”Ｆ（α）”に、枝番１，２，３を付加して、分割ファイルのファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”を生成している。後述するように、これら３つの分割ファイルは、それぞれ保管用サーバ３００Ｉ，３００Ｊ，３００Ｋに保管されることになる。
【００６３】
なお、ファイル分割部１１２による分割方法は任意に設定することができる。たとえば、図３では３分割した例を示すが、分割数は任意の数に設定することができ、必ずしも３に限定されるものではない。また、図３では、保管対象ファイルＦ（α）を等分割しているが、どの位置に分割境界を設定するかも任意に定めることができる。更に、分割アルゴリズムも、たとえば、先頭から第１，４，７，...バイト目を分割ファイルＦ（α）１とし、先頭から第２，５，８，...バイト目を分割ファイルＦ（α）２とし、先頭から第３，６，９，...バイト目を分割ファイルＦ（α）３とする、というような方法を採ってもかまわない。
【００６４】
ここに示す例の場合、ファイル分割部１１２は、予め用意された複数通りの分割方法の中から任意に選択した特定の分割方法（たとえば、乱数に基づいてランダムに選択すればよい）を用いて保管対象ファイルＦ（α）を分割する機能を有している。ただ、「どのような分割アルゴリズムを用いて、合計いくつの分割ファイルを作成したか」という具体的な分割方法を示す情報Ｄ（α）は、ファイル取出時に元の保管対象ファイルＦ（α）を復元する際に必要となる情報であるので、管理情報書込部１１４に対して出力するようにしている。
【００６５】
また、ここに示す例の場合、ファイル分割部１１２には、分割前の保管対象ファイルＦ（α）に対して、もしくは、分割後の分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３に対して、所定の暗号化処理を実行する機能を付加してある。たとえば、分割前の保管対象ファイルＦ（α）に対して暗号化処理を実行する場合は、暗号化した後のファイルを分割して分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３を生成することになる。一方、分割後に暗号化処理を実行する場合は、分割後の３つのファイルのそれぞれに対して暗号化を行うことにより、最終的な分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３を生成することになる。
【００６６】
この場合も、「どのような暗号化処理を行ったか」という具体的な暗号化処理の内容（暗号キーを用いる暗号化アルゴリズムの場合は、当該キーも含めた内容）を示す情報Ｃ（α）が、ファイル取出時に元の保管対象ファイルＦ（α）を復元する際に必要となる情報になるので、管理情報書込部１１４に対して出力するようにしている。
【００６７】
結局、ファイル分割部１１２は、図２のブロック図に示されているとおり、ファイル送信部１１３に対して各分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３を出力するとともに、管理情報書込部１１４に対して、保管対象ファイルのファイル名”Ｆ（α）”，分割方法を示す情報Ｄ（α），暗号化処理の内容を示す情報Ｃ（α），各分割ファイルのファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”を出力する。また、保管場所割当部１１５にも、分割方法を示す情報Ｄ（α）を出力する（実際には、保管場所割当部１１５に対しては、分割アルゴリズムを知らせる必要はなく、分割数のみを知らせれば十分である）。
【００６８】
保管場所割当部１１５は、個々の分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３について、それぞれ異なる保管用サーバを保管場所として割り当てる処理を実行する。上述したとおり、ファイル分割部１１２から「分割数＝３」という情報が知らされるので、保管場所割当部１１５は、図１に示す２６台の保管用サーバ３００Ａ〜３００Ｚの中から３台のサーバを保管場所として選択し、それぞれ３つの分割ファイルに割り当てる処理を行い、その結果をファイル送信部１１３に報知する。
【００６９】
このような割当処理を実行するためには、予め、割り当てが可能な保管場所のリストを用意しておく必要がある。図４は、図１に示すシステムにおいて利用される保管場所リストの一例を示す図である。図１に示すシステムには、前述したとおり２６台の保管用サーバ３００Ａ〜３００Ｚが用意されている。図４に示す保管場所リストは、この２６台の保管用サーバのサーバ名とそのＵＲＬ（保管場所）との対応関係を示すリストである。実際には、保管場所を示すＵＲＬのリストだけ用意しておけば、保管場所割当部１１５は、このリストを利用して、割当処理を実行することができる。
【００７０】
どの分割ファイルをどの割当場所に割り当てるかは、任意のアルゴリズムによって決定することができる。たとえば、２６の保管場所候補Ｓａ〜Ｓｚの中から毎回ランダムに割り当てを行ってもよいし、順番に割り当てを行ってもかまわない。また、保管用サーバを追加新設した場合には、システムの管理者は、適宜、このリストに追加する更新作業を行えばよいし、使用中止となった保管用サーバが出た場合には、このリストから削除する更新作業を行えばよい。
【００７１】
この保管場所リストは、個々のユーザ端末１００内（たとえば、保管場所割当部１１５内）に格納しておくようにしてもよいが、更新作業を容易に行うためには、インターネットでアクセス可能な任意の場所に格納し、一元管理できるようにするのが好ましい。あるいは、このように一元管理された場所から、個々のユーザ端末１００が定期的にダウンロードするようにしてもよい。
【００７２】
さて、ここでは、説明の便宜上、図１に示す２６台の保管用サーバ３００Ａ〜３００Ｚの中から、サーバ３００Ｉ，３００Ｊ，３００Ｋの３台が、それぞれ分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３の保管場所として選択されたものとする。この場合、この選択された３台の保管用サーバを特定する情報が、保管場所割当部１１５からファイル送信部１１３および管理情報書込部１１４へ報知される。なお、保管用サーバ３００Ａ〜３００Ｚを特定する情報として、ここでは、図４に示す保管場所リストに掲載されているように、ＵＲＬで表現されたアドレス情報Ｓａ〜Ｓｚを用いた例を示すことにする。したがって、上例の場合、保管場所割当部１１５からファイル送信部１１３および管理情報書込部１１４に対して、Ｓｉ，Ｓｊ，Ｓｋなる保管場所を示すアドレス情報（ＵＲＬ）が報知される。
【００７３】
ファイル送信部１１３は、個々の分割ファイルをそれぞれ保管場所となる保管用サーバへ送信する処理を実行する。すなわち、ファイル分割部１１２から与えられた個々の分割ファイルを、それぞれ保管場所割当部１１５によって割り当てられた保管場所となる保管用サーバへ、インターネット２００を介して送信する。ここに示す例の場合、分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３には、保管場所として、それぞれ保管用サーバ３００Ｉ，３００Ｊ，３００Ｋ（ＵＲＬは、Ｓｉ，Ｓｊ，Ｓｋ）が割り当てられており、図示のとおり、分割ファイルＦ（α）１はアドレスＳｉへ、分割ファイルＦ（α）２はアドレスＳｊへ、分割ファイルＦ（α）３はアドレスＳｋへ、それぞれ送信されることになる。
【００７４】
なお、ここに示す実施形態の場合、送信した各分割ファイルが各保管用サーバへ支障なく到達し、保管が支障なく完了すると、当該保管用サーバからファイル送信部１１３に対して、分割ファイルを正常に受信し保管した旨を示すアクノレッジ信号が返信されてくる。ファイル送信部１１３は、送信したすべての分割ファイルについて、アクノレッジ信号が返信されてきたことを確認して、その送信処理を完了する。もし、特定の分割ファイルを特定の保管用サーバへ送信した後、所定時間が経過してもアクノレッジ信号が返信されてこなかった場合には、当該特定の保管用サーバへの送信もしくは当該特定の保管用サーバ内での保管に失敗したと認識し、別な保管用サーバへ送信をやり直す処理を実行する。
【００７５】
具体的には、ファイル送信部１１３は、特定の保管用サーバへ送信を行った後に、所定時間が経過してもアクノレッジ信号が返信されてこなかった場合には、その旨を保管場所割当部１１５に報告する。当該報告を受けた保管場所割当部１１５は、当該特定の保管用サーバの代わりに別な保管用サーバを充てる新たな割り当てを行う。そして、ファイル送信部１１３は、この新たに割り当てられた保管用サーバに対して、先ほど失敗した分割ファイルの送信をやり直す処理を行うことになる。このような送信のやり直し処理を実行するようにすれば、万一、送信先として割り当てられた保管用サーバが正常動作していない場合でも、正常に動作している別な保管用サーバに分割ファイルを保管することができる。
【００７６】
一方、管理情報書込部１１４は、ファイル分割部１１２から与えられた保管対象ファイルのファイル名”Ｆ（α）”，分割方法を示す情報Ｄ（α），暗号化処理の内容を示す情報Ｃ（α），各分割ファイルに付与されたファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”と、各分割ファイルに割り当てられた保管場所を示す情報（この例の場合、各保管用サーバのＵＲＬであるＳｉ，Ｓｊ，Ｓｋ）を、保管対象ファイルＦ（α）についての管理情報Ｍ（α）として、管理情報格納ユニット１３０に書き込む処理を行う。なお、ファイル送信部１１３が、分割ファイルの送信に失敗し、送信をやり直す処理を行った場合、管理情報書込部１１４は、送信に成功した保管場所を含む管理情報を管理情報格納ユニット１３０に書き込むことになる。
【００７７】
図２の管理情報格納ユニット１３０内に示されている管理情報Ｍ（α），Ｍ（β），Ｍ（γ）は、このようにして書き込まれた情報である。管理情報Ｍ（α）は保管対象ファイルＦ（α）についての情報であり、管理情報Ｍ（β）は保管対象ファイルＦ（β）についての情報であり、管理情報Ｍ（γ）は保管対象ファイルＦ（γ）についての情報である。
【００７８】
各管理情報には、各保管対象ファイルを取り出すために必要な情報がすべて含まれている。たとえば、管理情報Ｍ（α）には、ファイル名”Ｆ（α）”をもつファイルを取り出すためには、保管場所Ｓｉからファイル名”Ｆ（α）１”なる分割ファイルを取り出し、保管場所Ｓｊからファイル名”Ｆ（α）２”なる分割ファイルを取り出し、保管場所Ｓｋからファイル名”Ｆ（α）３”なる分割ファイルを取り出し、これら３つの分割ファイルを用いて、分割方法Ｄ（α）に対応した合成処理および暗号化処理Ｃ（α）に対応した復号化処理を実行することにより、もとのファイルＦ（α）を復元することができることが記されている。
【００７９】
上述したとおり、預入処理ユニット１１０および取出処理ユニット１２０の部分をユーザ端末本体部として、パソコンや携帯電話機などによって構成し、管理情報格納ユニット１３０の部分を、このユーザ端末本体部に対して着脱自在なＩＣカードなどの携帯型情報記憶装置を用いる構成しておけば、ユーザは、保管対象ファイルＦ（α）の預入処理が完了した後、管理情報格納ユニット１３０の部分をユーザ端末本体部から離脱させ、持ち運ぶことが可能である。このとき、預入処理ユニット１１０内には、管理情報Ｍ（α）が一切残らないように消去処理を行うようにすれば、管理情報格納ユニット１３０（すなわち、管理情報Ｍ（α））を所持しているユーザでなければ、保管対象ファイルＦ（α）を取り出すことができなくなり、十分なセキュリティの下にファイルの保管が可能になる。
【００８０】
また、ユーザは、管理情報格納ユニット１３０さえ所持していれば、いずれのユーザ端末からでも、保管対象ファイルＦ（α）を取り出すことができる。たとえば、図１に示す構成において、ユーザがユーザ端末１００Ａを利用して保管対象ファイルＦ（α）の預け入れを行った後、ユーザ端末１００Ａを構成していた管理情報格納ユニット１３０を抜き取って携帯し、今度は、これをユーザ端末１００Ｂ用の管理情報格納ユニット１３０として利用すれば、ユーザ端末１００Ｂを利用して保管対象ファイルＦ（α）の取り出しが可能になる。次の§４では、このようなファイルの取出処理を説明する。
【００８１】
＜＜＜  §４．取出処理ユニットの基本動作  ＞＞＞
図２に示すユーザ端末１００において、取出処理ユニット１２０の各構成要素の役割は次のとおりである。まず、取出指示入力部１２４は、ユーザからの取出指示とともに「取出対象ファイルを特定する情報」を入力する機能を果たす。ここに示す例の場合、「取出対象ファイルを特定する情報」としてファイル名を用いており、図２には、取出指示入力部１２４に対して、取出指示とともにファイル名”Ｆ（α）”が入力された例が示されている。
【００８２】
管理情報読出部１２１は、管理情報格納ユニット１３０から取出対象ファイルについての管理情報を読み出す機能を果たす。図示の例の場合、管理情報読出部１２１は、管理情報格納ユニット１３０内に格納されている複数の管理情報の中から、ファイル名”Ｆ（α）”を含む管理情報Ｍ（α）を検索し、これを読み出す処理を行う。読み出された管理情報Ｍ（α）は、保管場所認識部１２２およびファイル復元部１２５へ与えられる。
【００８３】
保管場所認識部１２２は、読み出した管理情報に基づいて取出対象となる分割ファイルのファイル名および保管場所を認識する。図示の例の場合、管理情報Ｍ（α）に基づいて、３つの分割ファイルのファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”と、その保管場所Ｓｉ，Ｓｊ，Ｓｋ（各保管用サーバのＵＲＬ）が認識され、これらの情報がファイル要求部１２３へ伝達される。
【００８４】
ファイル要求部１２３は、保管場所認識部１２２が認識した保管場所となる保管用サーバに対して認識したファイル名をもつ分割ファイルを要求する処理を行う。図示の例の場合、保管場所Ｓｉで示される保管用サーバに対してファイル名”Ｆ（α）１”をもつ分割ファイルの要求が行われ、保管場所Ｓｊで示される保管用サーバに対してファイル名”Ｆ（α）２”をもつ分割ファイルの要求が行われ、保管場所Ｓｋで示される保管用サーバに対してファイル名”Ｆ（α）３”をもつ分割ファイルの要求が行われる。
【００８５】
このようなファイル要求を受け、各保管用サーバ３００は、要求された分割ファイルをハードディスク装置などの記憶媒体から読み出し、要求を出したユーザ端末１００へと返信する。ファイル復元部１２５は、このようにして要求に応じて返信されてきた分割ファイルを合成してもとの保管対象ファイルを復元する処理を行う。すなわち、ここに示す例の場合、ファイル要求部１２３によって行われた要求に応じて、ユーザ端末１００には、３つの分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３が返信されてくる。そこで、ファイル復元部１２５は、管理情報読出部１２１から与えられた管理情報Ｍ（α）内の分割方法Ｄ（α）および暗号化処理の内容Ｃ（α）を参照して、当該分割方法Ｄ（α）に応じた特定の方法で分割ファイルを合成し、当該暗号化処理の内容Ｃ（α）に応じた特定の復号化処理を実行し、元の保管対象ファイルＦ（α）を復元して、これをユーザに提供する。
【００８６】
以上、§２〜§４において、本発明の適用対象となる分散型データアーカイブシステムの基本構成およびその動作を説明したが、このような分散型データアーカイブシステムの基本概念となる技術は、前掲の各特許文献などに既に開示されているものである。
【００８７】
＜＜＜  §５．冗長性を付加した保管システム  ＞＞＞
上述した分散型データアーカイブシステムを利用すれば、１つのデータファイルが複数に分割され、それぞれ異なる保管用サーバに分散して保管されるので、万一、１つの保管用サーバに対するハッキングにより、当該サーバ内のファイルが不正な方法で読み出されたとしても、元の完全なファイルの状態での不正利用を防止することができ、十分なセキュリティを確保することができる。
【００８８】
このように、分散型データアーカイブシステムは、セキュリティを向上させるという特有のメリットが得られるシステムであるが、逆に、データファイルが滅失する危険性が増加するというデメリットも生じる点は留意すべきである。たとえば、図３に示す例のように、ファイルＦ（α）を３つに分割して、３つの保管用サーバ３００Ｉ，３００Ｊ，３００Ｋに分散して保管した場合、いずれか１つの保管用サーバが故障しても、もはやファイルＦ（α）を取り出すことはできなくなってしまう。これは、ファイルが滅失する危険性が３倍に増加することを意味する。
【００８９】
このため、この分散型データアーカイブシステムを実社会で利用する場合、個々の分割ファイルに冗長性をもたせて保管する運用を採るのが好ましい。具体的には、たとえば、ユーザ端末１００Ａが、保管対象となるファイルＦ（α）を預け入れる際に、個々の分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３について、それぞれ重複保管場所となる複数の保管用サーバ３００を割り当てて保管するようにすればよい。図５は、このような冗長性を付加したサーバ割当を行った例を示すブロック図である。
【００９０】
図３に示す例では、１つの分割ファイルに対して１つの保管用サーバのみが割り当てられていたのに対して、図５に示す例では、１つの分割ファイルに対して異なる２つの保管用サーバが割り当てられている。すなわち、図５に示す例の場合、分割ファイルＦ（α）１は保管用サーバ３００Ｉと３００Ｊの双方に保管され、分割ファイルＦ（α）２は保管用サーバ３００Ｊと３００Ｋの双方に保管され、分割ファイルＦ（α）３は保管用サーバ３００Ｋと３００Ｉの双方に保管される。図では、各保管用サーバの下に、それぞれ保管対象となる分割ファイルを示してある。図５に示す冗長性を確保した保管方法を採れば、図３に示す保管方法と同じ３台の保管用サーバしか利用していないにもかかわらず、各分割ファイルをそれぞれ２カ所の異なる保管用サーバに重複して保管することができる。
【００９１】
図６は、図５に示す冗長性を付加した例において作成される管理情報Ｍ（α）＊の具体例を示す図である。図２の管理情報格納ユニット１３０内に格納されている管理情報Ｍ（α）と同様に、図６に示す管理情報Ｍ（α）＊も、保管対象ファイルＦ（α）についてのファイル名”Ｆ（α）”，分割方法を示す情報Ｄ（α），暗号化処理の内容を示す情報Ｃ（α），各分割ファイルに付与されたファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”と、各分割ファイルに割り当てられた保管場所を示す情報によって構成されている。ただ、保管場所を示す情報として、それぞれ２つの保管用サーバのＵＲＬが示されている。すなわち、分割ファイルＦ（α）１については、「Ｓｉ＆Ｓｊ」，分割ファイルＦ（α）２については、「Ｓｊ＆Ｓｋ」，分割ファイルＦ（α）３については、「Ｓｋ＆Ｓｉ」なる情報が示されている。
【００９２】
このように預入処理時に冗長性を付加して複数の保管用サーバに重複して保管した場合でも、通常の取出処理時には、重複した保管用サーバのうちのいずれか１カ所から分割ファイルを取り出せば十分である。図７は、図６に示す管理情報Ｍ（α）＊に基づいて、３台の保管用サーバから通常の取出処理を行う例を示す図である。この例の場合、図６に示す管理情報Ｍ（α）＊において、先頭に記載されたＵＲＬからの取り出しのみを行っている。すなわち、分割ファイルＦ（α）１についてはＳｉなるＵＲＬをもった保管用サーバ３００Ｉからの通常取出を行い、分割ファイルＦ（α）２についてはＳｊなるＵＲＬをもった保管用サーバ３００Ｊからの通常取出を行い、分割ファイルＦ（α）３についてはＳｋなるＵＲＬをもった保管用サーバ３００Ｋからの通常取出を行っている。図では、各保管用サーバの下に、それぞれ取出対象となった分割ファイルを○印で囲って示してある。
【００９３】
一方、上述した通常の取出処理を行った結果、いずれかの保管用サーバからのファイルの取り出しに失敗した場合には、当該ファイルの重複保管場所となる別な保管用サーバからファイルを取り出す非常取出処理を行えばよい。たとえば、図７に示す通常の取出処理を行った結果、保管用サーバ３００Ｉ（ＵＲＬ：Ｓｉ）から取り出すべき分割ファイルＦ（α）１の取り出しに失敗した場合を考えてみよう。この場合、図６に示す管理情報Ｍ（α）＊を参照すれば、分割ファイルＦ（α）１の保管場所が「Ｓｉ＆Ｓｊ」であることが認識できるので、重複保管場所となる別な保管用サーバ３００Ｊ（ＵＲＬ：Ｓｊ）から分割ファイルＦ（α）１を取り出す非常取出が行われる。
【００９４】
図８は、保管用サーバ３００Ｉが故障した場合に、図６に示す管理情報に基づいて非常取出処理を行う例を示す図である。分割ファイルＦ（α）２，Ｆ（α）３については、図７に示す例と同様に通常取出（この例の場合、管理情報Ｍ（α）＊の先頭に記載されたＵＲＬ「Ｓｊ」，「Ｓｋ」からの取出）に成功しているが、分割ファイルＦ（α）１については、保管用サーバ３００Ｉの故障により通常取出に失敗するので、保管用サーバ３００Ｊからの非常取出（管理情報Ｍ（α）＊に記載されていたもう１つのＵＲＬ「Ｓｊ」からの取り出し：図では破線の矢印で示す）が行われる。
【００９５】
この図８でも、各保管用サーバの下に、それぞれ取出対象となった分割ファイルを○印で囲って示してある。図示のとおり、分割ファイルＦ（α）１，Ｆ（α）２は、ともに保管用サーバ３００Ｊから取り出され、分割ファイルＦ（α）３は、保管用サーバ３００Ｋから取り出されることになる。このように、図８に示す非常取出処理を行った場合でも、図７に示す通常取出処理を行った場合と同様に、３つの分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３が揃うので、保管対象ファイルＦ（α）を支障なく復元することが可能である。したがって、保管用サーバ３００Ｉが故障したとしても、保管対象ファイルＦ（α）は滅失を免れる。
【００９６】
ただ、図８に示す非常取出処理は、あくまでも非常事態への対処として行うべき処理であり、保管対象ファイルＦ（α）の取り出しに支障が生じないからといって、このままの状態にしておくことは好ましくない。図８に示すように、保管用サーバ３００Ｉが故障し、ファイルの取り出しができない状態では、分割ファイルＦ（α）１，Ｆ（α）３の冗長性は既に失われており、安全な保管状態は確保されていない。このままの状態を放置すると、将来、もし保管用サーバ３００Ｊもしくは３００Ｋのいずれかが故障すると、保管対象ファイルＦ（α）の滅失は避けられない。
【００９７】
＜＜＜  §６．本発明に係るデータ保管システム  ＞＞＞
本発明は、§５で述べた例のように、冗長性を確保するために、ネットワークを介して同一のデータファイルを複数箇所の保管用サーバに重複して保管する運用形態をとるデータ保管システムにおいて、冗長性を維持したまま保管用サーバを自動的に交替させる自律的な保守管理機能を実現する技術に関するものである。以下、本発明の基本概念を図示する基本的な実施形態に基づいて説明する。
【００９８】
図９は、本発明の基本的な実施形態に係るデータ保管システムの基本構成を示すブロック図である。このシステムは、図１に示す従来のシステムと同様に、ネットワークを介して、所定のサーバ装置にデータファイルを保管する機能と、保管されていたデータファイルを必要に応じて取り出す機能と、を有するデータ保管システムであり、ネットワーク（この例の場合はインターネット２００）に接続されたユーザ端末１００＊（図には、３台のユーザ端末１００Ａ＊，１００Ｂ＊，１００Ｃ＊が例示されている）と、ネットワークに接続された複数の保管用サーバ３００（図には、２６台の保管用サーバ３００Ａ〜３００Ｚが例示されている）と、更に、ネットワークに接続された運用サーバ４００と、を備えている。
【００９９】
ここで、各ユーザ端末１００Ａ＊，１００Ｂ＊，１００Ｃ＊は、図１に示す各ユーザ端末１００Ａ，１００Ｂ，１００Ｃにいくつかの付加機能を設けたものであり、符号「＊」は、このような付加機能が設けられた構成要素であることを示すためのものである。すなわち、図９に示す各ユーザ端末１００Ａ＊，１００Ｂ＊，１００Ｃ＊は、パソコンや携帯電話機などの電子機器に専用のエージェントプログラムを組み込むことによって構成することができ、保管対象となるファイルを重複保管場所となる複数の保管用サーバへそれぞれ送信するとともに当該重複保管場所を示す情報を所定の格納場所（たとえば、ＩＣカードなどの携帯型情報記憶装置）に記録する預入処理ユニットと、この重複保管場所を示す情報に基づいて重複保管場所となるいずれかの保管用サーバをアクセスして取出要求を行い、保管されていたファイルを取り出す取出処理ユニットと、を有している。
【０１００】
また、各保管用サーバ３００Ａ〜３００Ｚは、図１に示す各保管用サーバ３００Ａ〜３００Ｚと同様に、ネットワークに接続された外部装置から、ファイルの送信があった場合にはこれを保管し、ファイルの要求があった場合にはこれを返信する機能を有する装置であり、一般的なサーバコンピュータによって構成される。
【０１０１】
一方、運用サーバ４００は、本発明を実現するために新たに設けられた構成要素であり、ネットワークに接続されたサーバコンピュータであることに変わりはないが、その役割は、データファイルを保管することではなく、保管用サーバの自律的な保守管理を行うことである。具体的には、図８に示す例のように、ある保管用サーバ３００Ｉに支障が生じた場合、当該サーバを退役サーバと認定し、その代替となる代替サーバを定め、退役サーバ内のファイルを代替サーバ内に復元する復旧処理を行う機能を果たす。
【０１０２】
図１０は、図８に示す例のように、保管用サーバ３００Ｉに支障が生じた場合に、その代替となる代替サーバ３００Ｑを定め、ファイルの復元を行う処理の概念を示す図である。以下、説明の便宜上、各保管用サーバ３００Ａ〜３００Ｚを、それぞれＵＲＬを用いて、単にサーバＳａ〜Ｓｚと呼ぶことにする。図１０に示す例の場合、サーバＳｉが故障したため、運用サーバ４００は、サーバＳｉに対して「退役宣告」を行い、以後、これを退役サーバと認定する。そして、退役サーバＳｉの代替となる別なサーバを代替サーバとして定める。図示の例の場合、これまで使用していなかった新たな保管用サーバ３００Ｑが、退役サーバＳｉの代わりを務める代替サーバＳｑに任命されている。
【０１０３】
なお、本願では、「退役サーバ」に対する概念として「現役サーバ」という文言を用いることにする。ここで「現役サーバ」とは、このデータ保管システムに「保管用サーバ３００」として導入されたサーバであって、運用サーバ４００による「退役宣告」を受けていない状態のサーバを指し、「退役サーバ」は運用サーバ４００による「退役宣告」を受けた「かつての現役サーバ」ということになる。図１０に示す例の場合、サーバＳｉは退役サーバ、サーバＳｊ，Ｓｋ，Ｓｑは現役サーバということになる。代替サーバＳｑの「代替」とは、退役サーバＳｉとの関係において、その後任となるサーバであることを意味している。
【０１０４】
代替サーバＳｑが、退役サーバＳｉの後任としての役割を果たすためには、退役サーバＳｉ内のファイル（この例の場合、分割ファイルＦ（α）１，Ｆ（α）３）の保管をそのまま引き継ぐ必要がある。すなわち、図１０に示す例の場合、矢印で示すとおり、退役サーバＳｉ内の分割ファイルＦ（α）１，Ｆ（α）３をそのまま代替サーバＳｑ内へ移動させる必要がある。しかしながら、退役サーバＳｉに支障が生じてダウンしてしまっていた場合、もはや退役サーバＳｉから分割ファイルＦ（α）１，Ｆ（α）３を取り出すことはできない。
【０１０５】
そこで、運用サーバ４００は、退役サーバＳｉ内のデータファイルから復元を行う代わりに、退役サーバＳｉ内に保管されていたと推定されるファイル（この例の場合、分割ファイルＦ（α）１，Ｆ（α）３）を、重複保管場所となる別な保管用サーバＳｊ，Ｓｋから転送することにより、代替サーバＳｑ内に復元する復旧処理を行う。図１１は、このようなファイルの復元を行う実際の復旧処理を示す図である。図１０に示す概念図と同様に、代替サーバＳｑ内には、退役サーバＳｉ内に保管されていた分割ファイルＦ（α）１，Ｆ（α）３が復元されているが、その復元ルートは、退役サーバＳｉからではなく、現役サーバＳｊ，Ｓｋからになっている。したがって、退役サーバＳｉが完全にダウンしてしまっていた場合でも、復元には何ら支障はない。
【０１０６】
こうして、運用サーバ４００により、サーバＳｉに対する退役宣告処理および代替サーバＳｑにデータファイルを復元する復旧処理が行われた後は、各ユーザ端末は、退役サーバＳｉに対するアクセスの代わりに代替サーバＳｑへのアクセスを行うことにより、通常取出処理が可能になる。たとえば、図１１に示すような復旧処理が完了した状態になれば、ユーザ端末１００Ａ＊は、サーバＳｑから分割ファイルＦ（α）１を、サーバＳｊから分割ファイルＦ（α）２を、サーバＳｋから分割ファイルＦ（α）３を、それぞれ通常に取出して、これらを合成することにより、保管対象ファイルＦ（α）を支障なく得ることができる。しかも、この図１１に示す状態であれば、冗長性はそのまま維持されており、いずれか１台の現役サーバＳｊ，Ｓｋ，Ｓｑが故障したとしても、保管対象ファイルＦ（α）は滅失を免れる。もちろん、この場合、故障したサーバに対して退役宣告がなされ、新たな代替サーバが定められることになる。
【０１０７】
このように、冗長性を維持したまま、自律的な保守管理機能を実現するために、図５に示すユーザ端末１００Ａ＊，１００Ｂ＊，１００Ｃ＊には、図１に示すユーザ端末１００Ａ，１００Ｂ，１００Ｃに比べて、次のような付加機能が備わっている。
【０１０８】
第１の付加機能は、ユーザ端末内の取出処理ユニットが、保管用サーバからのファイルの取り出しに失敗した場合に、当該ファイルの重複保管場所となる別な保管用サーバからファイルを取り出す非常取出処理を行う機能である。たとえば、図８に例示したように、ユーザ端末は、サーバＳｉからのファイルＦ（α）１の取り出しに失敗した場合、ファイルＦ（α）１は、重複保管場所であるサーバＳｊからの非常取出によって調達される。
【０１０９】
第２の付加機能は、ユーザ端末内の取出処理ユニットが、保管用サーバからのファイルの取り出しに失敗した場合に、運用サーバ４００に対して、取り出しに失敗した保管用サーバについての異常報告を行う機能である。たとえば、図８に示す例の場合、ユーザ端末は、サーバＳｉからのファイルＦ（α）１の取り出しに失敗した場合、サーバＳｉに何らかの異常が生じていることを示す異常報告を運用サーバ４００に対して行うことになる。
【０１１０】
一方、運用サーバ４００は、ユーザ端末の上記第２の付加機能により異常報告があった場合に、異常報告に係る保管用サーバを退役サーバと認定し、当該退役サーバについて代替となる代替サーバを定め、退役サーバ内に保管されていたと推定されるファイルを、重複保管場所となる別な保管用サーバから転送することにより、代替サーバ内に復元する復旧処理を行う。具体的には、図８に示す例のように、サーバＳｉについての異常報告があった場合、運用サーバ４００は、図１１で説明したように、サーバＳｉを退役サーバと認定し、ネットワークに接続されている現役サーバのうちの１台であるサーバＳｑを、退役サーバＳｉの代替となる代替サーバに指定する。そして、退役サーバＳｉ内に保管されていたファイルを代替サーバＳｑ内に復元する復旧処理を行う。
【０１１１】
もっとも、退役サーバＳｉがダウンしている場合、退役サーバＳｉ内に保管されていたファイルを退役サーバＳｉ自身から認識することはできない。そこで、運用サーバ４００は、ユーザ端末の預入処理ユニットが、保管対象ファイルの預入時に所定の格納場所に記録した「個々のファイルについての重複保管場所を示す情報」を参照して、退役サーバＳｉ内に保管されていたであろうファイルを推定する。そして、保管されていたであろうファイルと推定されるファイルと同一のファイルを、重複保管場所となる別な保管用サーバから転送することにより、復旧処理を行うことになる。すなわち、図１１に示す例の場合、退役サーバＳｉ内に保管されていたと推定されるファイルＦ（α）１，Ｆ（α）３を、その重複保管場所となる別な保管用サーバＳｊ，Ｓｋから転送することにより、代替サーバＳｑ内に復元する復旧処理が行われる。
【０１１２】
ユーザ端末の第３の付加機能は、ユーザ端末内の取出処理ユニットが、取出要求を行う対象となる保管用サーバが退役サーバであった場合に、代わりに代替サーバへの取出要求を行う機能である。上述した第２の付加機能により、サーバＳｉについての異常報告がなされると、運用サーバ４００は、図１１に示すように、代替サーバＳｑへの復旧処理を行う。このような復旧処理が完了した後、ユーザ端末は、退役サーバＳｉへのアクセスを行う代わりに、代替サーバＳｑへのアクセスを行う必要がある。たとえば、ユーザ端末の取出処理ユニットが、図６に示すような管理情報Ｍ（α）＊に基づいて通常取出処理を行う場合、分割ファイルＦ（α）１の要求先は、本来であれば、サーバＳｉということになるが、サーバＳｉが退役サーバであった場合には、代わりにその代替サーバＳｑに対して取出要求がなされることになる。
【０１１３】
このように、ファイルの要求先を退役サーバから代替サーバへ切り換えるためには、運用サーバ４００が、退役サーバと認定した保管用サーバについて、その代替サーバを示す情報を収録したリストを保持しておくようにし、ユーザ端末の取出処理ユニットが、保管場所となる特定の保管用サーバに対して取出要求を行う際に、事前に当該リストへの照会を行い、当該特定の保管用サーバが退役サーバであった場合には、当該特定の保管用サーバに代えて、その代替サーバに対して取出要求を行うようにしておけばよい。たとえば、図１１に示す例の場合、サーバＳｉへの取出要求を行う際の事前照会により、サーバＳｉが退役サーバであり、その代替として代替サーバＳｑが用意されていることが認識できるので、ユーザ端末は、サーバＳｉの代わりにサーバＳｑに対して、分割ファイルＦ（α）１の取出要求を行うことになる。
【０１１４】
もっとも、上述した方法では、すべての取出要求について事前照会を行う作業が必要になる。たとえば、図１１に示す例の場合、サーバＳｊ，Ｓｋに取出要求を行う場合にも、事前照会を行い、現役サーバであることを確認した上で取出要求を行う必要がある。このような事前照会が煩わしい場合には、次のような事後照会の方法を採用することも可能である。すなわち、取出処理ユニットが、事前照会なしに保管場所となる特定の保管用サーバに対して取出要求を行うことにし、取出要求を行ったにもかかわらず、当該要求に応じたファイルの返信がなされなかった場合に、運用サーバ４００内のリストへの事後照会を行い、当該特定の保管用サーバが退役サーバであった場合には、当該特定の保管用サーバに代えて、改めて、その代替サーバに対して取出要求を行うようにしてもよい。
【０１１５】
図１１に示す例において事後照会の方法を採った場合、ユーザ端末は、まず、図６に示す管理情報Ｍ（α）＊に基づいて、サーバＳｉ，Ｓｊ，Ｓｋに対してそれぞれファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３についての取出要求を行うことになる。その結果、サーバＳｉに対する取出要求に応じたファイルＦ（α）１の返信がなされないので、ユーザ端末は、サーバＳｉについて運用サーバ４００内のリストへの事後照会を行う。その結果、サーバＳｉが退役サーバであり、その代替として代替サーバＳｑが用意されていることが認識できるので、ユーザ端末は、改めて、代替サーバＳｑに対してファイルＦ（α）１の取出要求を行うことになる。
【０１１６】
なお、このような代替サーバＳｑに対する取出要求を行ったのに、やはりファイルＦ（α）１の取り出しに失敗した場合は、何らかの異常が生じていることになるので、前述した非常取出処理（図１１に示す例の場合、ファイルＦ（α）１をサーバＳｊから取り出す処理）が実行され、代替サーバＳｑについての異常報告がなされることになる。
【０１１７】
以上、図１１に示す例について、サーバＳｉが完全にダウンしている場合の取り扱いを述べたが、サーバＳｉから一部のファイルだけが取り出せない一部ダウンの場合も、基本的には同様の取り扱いを行えばよい。たとえば、サーバＳｉについて、分割ファイルＦ（α）１は取り出せないが、分割ファイルＦ（α）３は取り出せる、という場合であっても、分割ファイルＦ（α）１の取り出しに失敗した時点で、運用サーバ４００に対して異常報告がなされ、サーバＳｉについて退役宣告がなされる。そして、図１１に示すとおり、退役サーバＳｉ内のファイルファイルＦ（α）１，Ｆ（α）３は、いずれも代替サーバＳｑ内に復元されることになる。
【０１１８】
このように、保管用サーバの一部に支障が生じた場合であっても、サーバ全体を退役させるのは、一部にでも支障が生じているサーバは、いずれは支障が全体に及ぶ可能性が高いと推定されるためである。たとえば、上例の場合、サーバＳｉについて、分割ファイルＦ（α）１は取り出せないが、分割ファイルＦ（α）３は取り出せる、という現象が起こっている場合、いずれ分割ファイルＦ（α）３についても取り出せなくなる可能性が高いと推定される。そこで、一部でも支障が生じた保管用サーバについては、その時点で退役させて代替サーバに任を委ねる運用を採用すれば、将来、支障が生じる可能性の高いサーバの利用を避けることができる。
【０１１９】
もっとも、上例のように、分割ファイルＦ（α）１は取り出せないが、分割ファイルＦ（α）３は取り出せる、という状況下において、実際にサーバＳｉに支障が生じていることが認識できるのは、分割ファイルＦ（α）１についての取出要求を行った場合だけである。分割ファイルＦ（α）３についての取出要求を行った場合は、取り出しに成功するため、ユーザ端末は、サーバＳｉの一部に支障が生じていることを認識することはできず、異常報告はなされない。このようなケースでは、サーバＳｉの退役は、分割ファイルＦ（α）１の取出失敗まで待つ必要がある。
【０１２０】
なお、§７−４の実施例でも述べるとおり、実際には、１台の保管用サーバを複数のユーザで共用する利用形態も少なくない。このような場合、当該共用サーバを利用しているいずれかのユーザがファイルの取り出しに失敗した時点で、当該共用サーバを退役させ、代替サーバを用意する自律的な保守管理が行われる。この場合、§２で述べた分散型データアーカイブシステムのように、重複保管場所を示す管理情報を個々のユーザがそれぞれ管理する方式を採るシステムでは、代替サーバへの復旧処理は、個々のユーザごとに行うことになる。
【０１２１】
たとえば、ユーザ甲がファイルの取り出しに失敗したために、当該サーバが退役サーバとなり、代替サーバが用意されたとしても、この代替サーバへのファイルの復元には、重複保管場所を示す管理情報が必要になる。したがって、その時点では、ユーザ甲の管理情報を利用して、ユーザ甲のファイルについては復元が可能であるが、当該退役サーバを利用していた別なユーザ乙，丙のファイルについての復元は、ユーザ乙，丙からのアクセスを待って、ユーザ乙，丙の管理情報を利用して行う必要がある。
【０１２２】
以上、本発明に係るデータ保管システムを、基本的な実施形態について説明したが、結局、本発明の特徴は、ネットワークに接続されたユーザ端末と、ネットワークに接続された複数の保管用サーバと、を備え、ユーザ端末からの預入要求に基づいて、保管対象ファイルをユーザ端末から所定の保管用サーバに送信して保管するとともに、ユーザ端末からの取出要求に基づいて、保管用サーバに保管されていた保管対象ファイルをユーザ端末に送信する機能を有するデータ保管システムにおいて、次のような方法でデータ保管を行う点にある。
【０１２３】
まず、各保管用サーバに何ら支障が生じていない通常運用時には、ユーザ端末が、保管対象となるファイルを重複保管場所となる複数の保管用サーバへそれぞれ送信するとともに当該重複保管場所を示す情報を所定の格納場所に記録する預入処理段階と、ユーザ端末からファイルの送信を受けた保管用サーバが、当該ファイルを格納するファイル格納段階と、によって、ファイルの預け入れが行われる。同様に、ユーザ端末が、重複保管場所を示す情報に基づいて重複保管場所となるいずれかの保管用サーバをアクセスして取出要求を行う取出処理段階と、ユーザ端末からファイルの取出要求を受けた保管用サーバが、当該ファイルをユーザ端末へ返信するファイル返信段階と、によって、ファイルの取り出しが行われる。
【０１２４】
一方、上記取出処理段階において、ユーザ端末が、保管用サーバからのファイルの取り出しに失敗した場合には、当該ファイルの重複保管場所となる別な保管用サーバからファイルを取り出す非常取出処理を行うとともに、運用サーバに対して、取り出しに失敗した保管用サーバについての異常報告を行う異常報告段階と、この異常報告段階が実行された場合に、運用サーバが、異常報告があった保管用サーバを退役サーバと認定し、当該退役サーバについて代替となる代替サーバを定め、退役サーバ内に保管されていたと推定されるファイルを、重複保管場所となる別な保管用サーバから転送することにより、代替サーバ内に復元する復旧処理段階と、が行われる。
【０１２５】
ここで、復旧処理段階では、運用サーバが、所定の格納場所に記録されている「個々のファイルについての重複保管場所を示す情報」を参照して、退役サーバ内に保管されていたと推定されるファイルと同一のファイルを、重複保管場所となる別な保管用サーバから転送することにより、ファイルの復元が行われる。
【０１２６】
また、ユーザ端末は、取出処理段階において、取出要求を行う対象となる保管用サーバが退役サーバであった場合には、代わりに代替サーバへの取出要求を行うことになる。そのためには、復旧処理段階で、運用サーバが、退役サーバと認定した保管用サーバについて、その代替サーバを示す情報をリストに収録する処理を行い、取出処理段階で、ユーザ端末が、保管場所となる特定の保管用サーバに対して取出要求を行う際に、事前に上記リストへの照会を行い、特定の保管用サーバが退役サーバであった場合には、当該特定の保管用サーバに代えて、その代替サーバに対して取出要求を行うようにすればよい。
【０１２７】
あるいは、復旧処理段階で、運用サーバが、退役サーバと認定した保管用サーバについて、その代替サーバを示す情報をリストに収録する処理を行い、取出処理段階で、ユーザ端末が、保管場所となる特定の保管用サーバに対して取出要求を行ったにもかかわらず、当該要求に応じたファイルの返信がなされなかった場合に、上記リストへの照会を行い、特定の保管用サーバが退役サーバであった場合には、当該特定の保管用サーバに代えて、その代替サーバに対して取出要求を行うようにしてもよい。
【０１２８】
＜＜＜  §７．本発明に係る分散型データアーカイブシステム  ＞＞＞
続いて、図９に示すデータ保管システムを、分散型データアーカイブシステムとして機能させる場合について、本発明の具体的な実施形態を述べる。図１２は、この実施形態におけるユーザ端末１００＊の詳細構成を示すブロック図であり、図１３は、この実施形態における運用サーバ４００の詳細構成を示すブロック図である。図９に示すデータ保管システムにおいて、ユーザ端末１００Ａ＊，１００Ｂ＊，１００Ｃ＊をそれぞれ図１２のブロック図に示す構成とし、運用サーバ４００を図１３のブロック図に示す構成としておけば、このシステムを分散型データアーカイブシステムとして機能させることができる。
【０１２９】
すなわち、この§７で述べる分散型データアーカイブシステムは、ネットワークを介して、所定のサーバ装置にデータファイルを保管する機能と、保管されていたデータファイルを必要に応じて取り出す機能と、を有するデータ保管システムであり、図９に示すとおり、ネットワーク２００（この例の場合はインターネットであるが、ＬＡＮなどでもかまわない）に接続されたユーザ端末１００＊と、ネットワーク２００に接続された複数の保管用サーバ３００Ａ〜３００Ｚと、ネットワーク２００に接続された運用サーバ４００と、を備えている。ここで、保管用サーバ３００Ａ〜３００Ｚは、いずれもネットワーク２００に接続された外部装置から、分割ファイルの送信があった場合にはこれを保管し、分割ファイルの要求があった場合にはこれを返信する機能を有する一般的なサーバ装置である。
【０１３０】
＜７−１．ユーザ端末１００＊＞
はじめに、図１２に示すユーザ端末１００＊の構成について説明する。図示のとおり、このユーザ端末１００＊は、大きく分けて、預入処理ユニット１１０＊，取出処理ユニット１２０＊，管理情報格納ユニット１３０＊という３つの構成要素からなり、その基本構成は、図２に示す従来のユーザ端末１００の基本構成とほぼ同じである。ただ、符号に「＊」が付加された構成要素には、付加機能が設けられている。その余の各構成要素の機能は、図２に示す対応する構成要素の機能と同じである。
【０１３１】
預入処理ユニット１１０＊は、図示のとおり、ユーザからの預入指示とともに保管対象ファイルを入力する預入指示入力部１１１と、入力した保管対象ファイルを複数の分割ファイルに分割しそれぞれ所定のファイル名を付与するファイル分割部１１２と、個々の分割ファイルについてそれぞれ異なる保管用サーバを保管場所として割り当てる保管場所割当部１１５＊と、個々の分割ファイルをそれぞれ割り当てられた保管場所となる保管用サーバへ送信するファイル送信部１１３＊と、「個々の分割ファイルに付与されたファイル名」および「個々の分割ファイルに割り当てられた保管場所」を保管対象ファイルについての管理情報として管理情報格納ユニット１３０＊に書き込む管理情報書込部１１４と、を有している。
【０１３２】
図２に示す保管場所割当部１１５は、１つの分割ファイルに対して１つの保管場所を割り当てるだけであったが、図１２に示す保管場所割当部１１５＊は、冗長性をもたせるために同一の分割ファイルをそれぞれ複数の保管場所に重複して割り当てる付加機能を有している。また、後述するように、図１２に示す保管場所割当部１１５＊は、運用サーバ４００に対して、現役サーバリストを照会する付加機能も備わっている。一方、図２に示すファイル送信部１１３は、１つの分割ファイルを１つの保管場所へ送信するだけであったが、図１２に示すファイル送信部１１３＊は、冗長性をもたせるために、同一の分割ファイルを保管場所割当部１１５＊が割り当てた複数の保管場所にそれぞれ送信して保管する付加機能を有している。
【０１３３】
このように、図１２に示す預入処理ユニット１１０＊の基本機能は、図２に示す預入処理ユニット１１０と共通するが、冗長性を確保するために、同一の分割ファイルを複数の保管場所となる異なる保管用サーバに送信する点が異なっている。なお、管理情報書込部１１４は、管理情報格納ユニット１３０＊に対して管理情報を書き込む構成要素に変わりはないが、当該管理情報には、１つの分割ファイルについて、それぞれ複数の保管場所を示す情報が含まれていることになる。
【０１３４】
図１２には、預入処理ユニット１１０＊が、保管対象ファイルＦ（α）を預け入れる処理を行う例が示されている。すなわち、預入指示入力部１１１に対して、ユーザからの預入指示とともに保管対象ファイルＦ（α）が与えられると、ファイル分割部１１２によって、この保管対象ファイルＦ（α）は３つの分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３に分割され、それぞれ所定のファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”が付与される。
【０１３５】
ここに示す例の場合も、ファイル分割部１１２には、分割前の保管対象ファイルＦ（α）に対して、もしくは、分割後の分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３に対して、所定の暗号化処理を実行する機能が設けられており、分割方法を示す情報Ｄ（α）とともに、暗号化処理の内容を示す情報Ｃ（α）が管理情報として出力される。結局、ファイル分割部１１２は、ファイル送信部１１３＊に対して各分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３を出力するとともに、管理情報書込部１１４に対して、保管対象ファイルのファイル名”Ｆ（α）”，分割方法を示す情報Ｄ（α），暗号化処理の内容を示す情報Ｃ（α），各分割ファイルのファイル名”Ｆ（α）１”，”Ｆ（α）２”，”Ｆ（α）３”を出力する。また、保管場所割当部１１５＊にも、分割方法を示す情報Ｄ（α）を出力する（実際には、分割数のみを知らせれば十分である）。
【０１３６】
保管場所割当部１１５＊は、個々の分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３について、それぞれ異なる保管用サーバを保管場所として割り当てる処理を実行する。しかも、冗長性をもたせるために同一の分割ファイルをそれぞれ複数の保管場所に重複して割り当てる処理が行われる。ここに示す例は、同一の分割ファイルをそれぞれ２つの保管場所に割り当てた例である。すなわち、保管場所割当部１１５＊は、ファイル分割部１１２から「分割数＝３」という情報が知らされるので、３つの分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３について、それぞれ２つの保管場所を割り当てる処理を行い、合計６カ所の保管場所の割り当てを行う。
【０１３７】
ただ、同一の分割ファイルが異なる保管場所に割り当てられればよく、異なる分割ファイルであれば、同一の保管場所に割り当てることができる。そこで、ここに示す例では、図５に示すような割り当てを行うことにより、２６台の保管用サーバ３００Ａ〜３００Ｚの中から３台のサーバ３００Ｉ，３００Ｊ，３００Ｋを保管場所として選択する割り当てを行っている（もちろん、６台のサーバ３００Ｉ，３００Ｊ，３００Ｋ，３００Ｌ，３００Ｍ，３００Ｎを保管場所として選択する割り当てを行ってもかまわない）。
【０１３８】
ここに示す実施例の場合、割り当てられた保管場所は、保管用サーバのＵＲＬによって指定される。すなわち、分割ファイルＦ（α）１については、Ｓｉ＆Ｓｊなる保管場所が割り当てられ、分割ファイルＦ（α）２については、Ｓｊ＆Ｓｋなる保管場所が割り当てられ、分割ファイルＦ（α）３については、Ｓｋ＆Ｓｉなる保管場所が割り当てられることになり、図５に示すように、各分割ファイルが３台の保管用サーバＳｉ，Ｓｊ，Ｓｋに重複保管される。
【０１３９】
これらの割当結果は、保管場所割当部１１５＊から管理情報書込部１１４にも伝達される。かくして、管理情報書込部１１４によって、管理情報格納ユニット１３０＊内に図示のような管理情報Ｍ（α）＊が書き込まれることになる。管理情報格納ユニット１３０＊は、既に述べたとおり、保管対象ファイルについての管理情報を格納するユニットである。ここで、管理情報Ｍ（α）＊は、図２に示す管理情報Ｍ（α）と同様に、３つの分割ファイルＦ（α）１，Ｆ（α）２，Ｆ（α）３の保管場所を示す情報であるが、「Ｓｉ＆Ｓｊ」，「Ｓｊ＆Ｓｋ」，「Ｓｋ＆Ｓｉ」のように、それぞれ２つの異なる保管場所が含まれていることになる。
【０１４０】
一方、取出処理ユニット１２０＊は、図示のとおり、ユーザからの取出指示とともに取出対象ファイルを特定する情報を入力する取出指示入力部１２４と、管理情報格納ユニット１３０＊から取出対象ファイルについての管理情報を読み出す管理情報読出部１２１と、読み出した管理情報に基づいて取出対象となる分割ファイルのファイル名および複数の保管場所を認識する保管場所認識部１２２と、認識した保管場所となる保管用サーバに対して認識したファイル名をもつ分割ファイルを要求するファイル要求部１２３＊と、要求に応じて返信されてきた分割ファイルを合成してもとの保管対象ファイルを復元するファイル復元部１２５＊と、を有している。
【０１４１】
ここで、管理情報読出部１２１、保管場所認識部１２２、取出指示入力部１２４の機能は、図２に示す同符号の構成要素の機能と実質的に同じであるが、ファイル要求部１２３＊とファイル復元部１２５＊とについては、本発明に特有の付加機能が備わっている。
【０１４２】
上述したとおり、管理情報Ｍ（α）＊には、同一の分割ファイルについて、複数の異なる保管場所が示されているため、保管場所認識部１２２は１つの分割ファイルについて、複数の保管場所を認識する。そこで、ファイル要求部１２３＊は、認識した複数の保管場所となる各保管用サーバのうち代表となる保管用サーバを選択し、選択した保管用サーバに対して認識したファイル名をもつ分割ファイルを要求する処理を行うことになる。
【０１４３】
ファイル要求部１２３＊が、代表となる保管用サーバを選択する方法のひとつは、予め選択の優先順位を決めておく方法である。具体的には、保管場所割当部１１５＊が、同一の分割ファイルを複数の保管場所に重複して割り当てる際に、各保管場所に優先順位を設定するようにし、管理情報書込部１１４が、この優先順位を含む管理情報を管理情報格納ユニット１３０＊に書き込むようにしておけばよい。そうすれば、ファイル要求部１２３＊は、当該優先順位に基づいて代表となる保管用サーバの選択を行うことができる。
【０１４４】
図７には、３台の保管用サーバから通常取出処理を行う一例を示した。この例は、図６に示す管理情報Ｍ（α）＊において、先頭に記載されたＵＲＬからの取り出しのみを行った例であり、優先順位に基づいて代表となる保管用サーバを選択した一例である。すなわち、管理情報Ｍ（α）＊に記載されているＵＲＬに、先頭から順に優先順位を設定し、分割ファイルＦ（α）１については、２つのＵＲＬ「Ｓｉ，Ｓｊ」のうちの先頭「Ｓｉ」を代表として選択し、分割ファイルＦ（α）２については、２つのＵＲＬ「Ｓｊ，Ｓｋ」のうちの先頭「Ｓｊ」を代表として選択し、分割ファイルＦ（α）３については、２つのＵＲＬ「Ｓｋ，Ｓｉ」のうちの先頭「Ｓｋ」を代表として選択したことになる。
【０１４５】
もちろん、ファイル要求部１２３＊が、代表となる保管用サーバを選択する方法は、このような優先順位を設定する方法に限定されるわけではない。実際、複数の保管場所に重複保管されている分割ファイルは、取り出し時に、どの保管場所から取り出しても問題はない。したがって、ファイル要求部１２３＊は、所定のアルゴリズムに基づく交替制で（たとえば、奇数日は先頭に記載された保管場所、偶数日は末尾に記載された保管場所のようにして）、代表となる保管用サーバの選択を行うこともできるし、毎回、ランダムに、代表となる保管用サーバの選択を行うこともできる。もちろん、冗長ではあるが、２つの保管場所の双方から分割ファイルを取り出し、ファイル復元部１２５＊において、両者が同一であることを確認した上で、ファイルの復元処理を行うようにしてもよい（この場合、もし両者が同一である確認がとれなければ、エラーが発生したことをユーザに伝えるとともに、２通りの復元結果を提示するような措置をとることになる）。
【０１４６】
ファイル要求部１２３＊の別な付加機能は、運用サーバ４００に対する照会機能である。これは、管理情報Ｍ（α）＊に記載されている保管場所のサーバが退役サーバであった場合に、退役サーバの代わりにその代替サーバに対して取出要求を行うために必要な機能であり、詳細については後述する。
【０１４７】
そして、ファイル要求部１２３＊の更に別な付加機能は、特定の分割ファイルの取り出しに失敗した場合に、当該特定の分割ファイルの別な重複保管場所となる保管用サーバに対して、当該特定の分割ファイルを要求する非常要求を行うとともに、運用サーバ４００に対して、当該取り出しに失敗した保管用サーバについての異常報告を行う機能である。なお、本願において「ファイルの取り出しに失敗」するとは、代替サーバからもファイルの取り出しを行うことができなかった状態を意味するものである。別言すれば、退役サーバに対して取出要求を行ったために、当該退役サーバからファイルを取り出すことができなかったとしても、それだけでは「ファイルの取り出しに失敗」したことにはならない（当該退役サーバの代わりに代替サーバから取り出しができれば、失敗ではない）。
【０１４８】
一方、ファイル復元部１２５＊は、図２に示すファイル復元部１２５と同様に、ファイル要求部１２３＊の要求に応じて各保管用サーバから返信されてきた分割ファイルを、管理情報Ｍ（α）＊を参照しながら合成し、もとの保管対象ファイルを復元する機能を有する構成要素であるが、更に、ファイル要求部１２３＊の要求に応じた分割ファイルが返信されてきたか否かを確認し、その結果をファイル要求部１２３＊に報告する付加機能を有している。より具体的には、ファイル要求部１２３＊からの所定の保管用サーバに対する取出要求は、ファイル復元部１２５＊にも伝達され、ファイル復元部１２５＊は、当該取出要求が出されてから所定限界時間（保管用サーバに支障がなければ、要求に応じて分割ファイルの返信が得られるのに十分な時間）が経過しているにもかかわらず、要求に応じて分割ファイルの返信が得られなかった場合、ファイル要求部１２３＊に対して、当該分割ファイルについての未着報告を行うことになる。
【０１４９】
ファイル要求部１２３＊は、この未着報告に基づいて、特定の分割ファイルについて「取り出しに失敗」したとの判定を行うことができる。もっとも、上述したように、退役サーバに対して取出要求を行ったために未着報告がなされた場合は、それだけでは「ファイルの取り出しに失敗」したことにはならない。その場合は、運用サーバ４００に対する照会により、当該退役サーバについての代替サーバを認識することができるので、改めて代替サーバに対する取出要求を行うことになり、この代替サーバに対する取出要求についても未着報告がなされた場合に、「ファイルの取り出しに失敗」との判断がなされることになる。
【０１５０】
もちろん、「取り出しに失敗」した場合、ファイル要求部１２３＊は、重複保管場所に対する非常要求（代表以外への要求）を行うため、ファイル復元部１２５には、この非常要求に応じた分割ファイルの返信が得られる。したがって、ファイル復元部１２５は、保管対象ファイルを支障なく復元することができ、保管対象ファイルの滅失は避けられる。
【０１５１】
なお、ユーザ端末１００＊は、機能ごとの各要素として把握すると、図１２のブロック図に示すような構成要素の集合体として示されることになるが、実際には、預入処理ユニット１１０＊および取出処理ユニット１２０＊からなるユーザ端末本体部は、パソコンや携帯電話機などの電子機器に専用のエージェントプログラムを組み込むことによって構成することができる。また、管理情報格納ユニット１３０＊は、このユーザ端末本体部に対して着脱自在な携帯型情報記憶装置（たとえば、ＩＣカード）を用いて構成することができる。
【０１５２】
＜７−２．運用サーバ４００＞
続いて、図１３に示す運用サーバ４００の構成について説明する。図示のとおり、この運用サーバ４００は、異常報告受理部４１０，退役宣告部４２０，代替サーバ選択部４３０，復旧処理部４４０，リスト更新部４５０，サーバ状態リスト格納部４６０，照会受付部４７０によって構成されている。もっとも、この運用サーバ４００も、機能ごとの各要素として把握すると、図１３のブロック図に示すような構成要素の集合体として示されることになるが、実際には、汎用のサーバコンピュータに専用のプログラムを組み込むことによって構成することができる。
【０１５３】
異常報告受理部４１０は、ユーザ端末１００＊からの異常報告を受理する構成要素である。上述したとおり、異常報告は、特定の保管用サーバについて「ファイルの取り出しに失敗」した事実を報告するものであり、当該保管用サーバに何らかの支障が生じていることを運用サーバ４００に知らしめるものである。図には、異常報告受理部４１０に対して、サーバＳｉについての異常報告Ｅ（Ｓｉ）がなされた例が示されている。この異常報告には、「返信が得られなかった異常サーバを特定する異常サーバ特定情報」だけでなく、「管理情報格納ユニット１３０＊内に格納されている管理情報において異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバとは別な重複保管場所と、の対応を示す復旧情報」が含まれている。
【０１５４】
ここでは、図８に示すように、これまで現役サーバとして運用されていたサーバＳｉに何らかの支障が生じた場合を例にとって、異常報告Ｅ（Ｓｉ）の内容を、もう少し具体的に説明してみよう。図１２に示すユーザ端末１００＊に対して、ファイルＦ（α）の取出指示が与えられると、ファイル要求部１２３＊は、図６に示す管理情報Ｍ（α）＊に基づいて、サーバＳｉに対してファイルＦ（α）１の取出要求を行い、サーバＳｊに対してファイルＦ（α）２の取出要求を行い、サーバＳｋに対してファイルＦ（α）３の取出要求を行うことは既に述べたとおりである。このとき、現役サーバとして運用中のサーバＳｉがダウンすると、ファイル要求部１２３＊は、ファイル復元部１２５＊からの未着報告を受けて、サーバＳｉからのファイルＦ（α）１の取り出しに失敗したとの判断を行う。
【０１５５】
この場合、ファイル要求部１２３＊は、図８に示すように、ファイルＦ（α）１について、重複保管場所であるサーバＳｊからの非常取出を実行するとともに、運用サーバ４００に対して、サーバＳｉについての異常報告Ｅ（Ｓｉ）を行うことになる。この異常報告Ｅ（Ｓｉ）には、異常が生じているサーバＳｉを特定する「異常サーバ特定情報」（たとえば、サーバＳｉのＵＲＬ）と、代替サーバへの復旧処理を行うために必要な復旧情報とが含まれている。ここで、復旧情報は、管理情報格納ユニット１３０＊内に格納されている管理情報Ｍ（α）＊，Ｍ（β）＊，Ｍ（γ）＊に基づいて、ファイル要求部１２３＊によって作成される。図１２において、管理情報格納ユニット１３０＊からファイル要求部１２３＊へ向かう矢印は、管理情報Ｍ（α）＊，Ｍ（β）＊，Ｍ（γ）＊から抽出された復旧情報の流れを示している。
【０１５６】
この具体的な事例の場合、復旧情報は、図１１に示すような復旧処理を行うために必要な情報である。たとえば、図６に示す管理情報Ｍ（α）＊から抽出される復旧情報は、異常サーバＳｉが保管場所とされている分割ファイルのファイル名”Ｆ（α）１”，”Ｆ（α）３”と、これら各分割ファイルについての異常サーバＳｉとは別な重複保管場所「Ｓｊ」，「Ｓｋ」と、の対応を示す情報ということになる。図１３の異常報告受理部４１０内に例示されている復旧情報「”Ｆ（α）１”：Ｓｊ」および「”Ｆ（α）３”：Ｓｋ」は、正に、このような対応関係を示す情報である。実際には、別な保管対象ファイルＦ（β），Ｆ（γ）についてのＭ（β）＊，Ｍ（γ）＊にも、異常サーバＳｉを保管場所とする情報が含まれている可能性がある。したがって、実際の復旧情報は、Ｍ（β）＊，Ｍ（γ）＊からも抽出されることになるが、以下の説明では、便宜上、異常サーバＳｉに係る情報が、管理情報Ｍ（α）＊にのみ含まれていた場合の例を述べることにする。
【０１５７】
こうして、異常報告受理部４１０が受理した異常報告Ｅ（Ｓｉ）に含まれている異常サーバ特定情報「Ｓｉ」は退役宣告部４２０に与えられ、復旧情報「”Ｆ（α）１”：Ｓｊ」および「”Ｆ（α）３”：Ｓｋ」は復旧処理部４４０に与えられる。
【０１５８】
退役宣告部４２０は、異常報告に含まれている異常サーバ特定情報によって特定される保管用サーバが、まだ退役宣告がなされていないサーバであった場合に、当該保管用サーバに対して退役宣告を行う処理を行う。一方、サーバ状態リスト格納部４６０は、個々の保管用サーバについて、少なくとも、現役状態か退役状態かを示す情報と、退役状態のサーバについては代替となる代替サーバを示す情報と、を収録したサーバ状態リストを格納する構成要素であり、退役宣告部４２０は、このサーバ状態リストを参照することにより、異常サーバについての退役宣告が既になされているか否かを認識することができる。
【０１５９】
図示の例の場合、サーバ状態リスト格納部４６０には、個々の保管用サーバ３００Ａ〜３００Ｚについて、現役状態か退役状態かを示す情報と、退役状態のサーバについては代替となる代替サーバを示す情報と、を収録したサーバ状態リストが格納されている。すなわち、図示のサーバ状態リストには、「サーバ名」，「現役／退役」，「代替サーバ」という３つの欄が設けられており、「サーバ名」欄には、個々の保管用サーバ３００Ａ〜３００Ｚを特定する情報として、そのＵＲＬを示す情報Ｓａ〜Ｓｚが格納されており、「現役／退役」欄には、当該サーバが現役状態にあるのか、退役状態にあるのかの別を示す情報（図示の例では、現役もしくは退役の文字が記載されているが、実際には、０／１のフラグを用いればよい）が格納されており、「代替サーバ」欄には、後述するように、代替サーバ選択部４３０で選択された代替サーバのＵＲＬを示す情報が格納されている。なお、代替サーバは、退役状態にあるサーバについてのみ決定されるので、実際には、「代替サーバ」欄が空欄であれば「現役状態」、そうでなければ「退役状態」であることが認識できるので、「現役／退役」欄の情報は省略してかまわない。図示の例の場合、「Ｓｃ」なるサーバのみが「退役」となり、代替サーバとして「Ｓｐ」なるサーバが割り当てられている。
【０１６０】
退役宣告部４２０は、異常サーバ特定情報「Ｓｉ」を受け取ると、このサーバ状態リストを参照する。その結果、異常サーバＳｉは、まだ退役宣告がなされていないサーバであることが認識できるので、当該サーバＳｉに対して退役宣告を行う処理を行う。このような退役宣告は、宣告を受けたサーバを特定する情報とともに、代替サーバ選択部４３０およびリスト更新部４５０に伝達される。ここでは、説明の便宜上、退役宣告がなされた退役サーバを特定する情報（たとえば、そのＵＲＬ）を「Ｓold」と記すことにする。
【０１６１】
代替サーバ選択部４３０は、退役宣告部４２０により退役宣告がなされた場合に、当該退役宣告の対象となった退役サーバの代替となる代替サーバを、サーバ状態リストに収録されている現役サーバの中から選択する処理を行う。ここでは、退役宣告がなされた退役サーバを特定する情報「Ｓold」に対して、その代替サーバを特定する情報（たとえば、そのＵＲＬ）を「Ｓnew」と記すことにする。代替サーバ選択部４３０は、退役宣告部４２０から退役サーバを特定する情報「Ｓold」が与えられた場合に、その代替となる代替サーバを、サーバ状態リスト格納部４６０内のサーバ状態リストを参照して決定することになる。すなわち、リストに収録されている現役サーバのうちの１つを代替サーバとして選択する処理を行う。図示の例の場合、サーバ「Ｓｃ」は退役状態にあるので、それ以外のサーバから代替サーバが選択される。
【０１６２】
代替サーバの選択方法は任意のアルゴリズムに基づく方法でかまわないが、後述するように、退役サーバＳold内のファイルはすべて代替サーバＳnew内に復元されることになるので、少なくとも、そのような復元が可能な格納容量をもったサーバを代替サーバとして選択するようにする。具体的には、「現役サーバのうち、退役サーバ内の全ファイルを転送するのに必要な空き容量をもったサーバ」という条件を満たすサーバをランダムに選択してもよいし、ランダムではなく、所定の順番で選択する方法を採ってもかまわない。こうして、代替サーバ選択部４３０によって、代替サーバの選択が行われたら、当該代替サーバを特定する情報「Ｓnew」が、復旧処理部４４０およびリスト更新部４５０に報知される。
【０１６３】
復旧処理部４４０は、退役サーバＳold内に保管されていたと推定されるファイルを、異常報告に含まれている復旧情報によって示されている重複保管場所となる保管用サーバから転送することにより、代替サーバＳnew内に復元する復旧処理を行う。すなわち、上述した具体的な事例の場合、復旧処理部４４０は、概念としては、図１０に示すように、退役サーバＳｉ内の分割ファイルＦ（α）１，Ｆ（α）３を、代替サーバＳｑ内に復元する処理を行うことになるが、実際には、退役サーバＳｉからファイルの転送を行うわけではなく、図１１に示すように、重複保管場所からのファイル転送が行われる。
【０１６４】
このようなファイル転送は、異常報告Ｅ（Ｓｉ）に含まれていた復旧情報を利用して行うことができる。すなわち、図示の例の場合、復旧処理部４４０には、代替サーバ選択部４３０から代替サーバＳnewを特定する「Ｓｑ」なる情報が与えられ、異常報告受理部４１０からは、復旧情報として「”Ｆ（α）１”：Ｓｊ」および「”Ｆ（α）３”：Ｓｋ」なる情報が与えられる。したがって、復旧処理部４４０は、これらの情報に基づいて、サーバＳｊからサーバＳｑに対してファイルＦ（α）１を転送する処理を行うとともに、サーバＳｋからサーバＳｑに対してファイルＦ（α）３を転送する処理を行うことができる。当該処理は、図１１に示す復旧処理に他ならない。かくして、これまで退役サーバＳoldが担っていた役割は、そのまま代替サーバＳnewに引き継がれることになる。
【０１６５】
退役サーバＳold内のファイルを代替サーバＳnew内に復元するためのファイル転送処理（復旧処理）の第１の形態は、復旧処理部４４０が、重複保管場所となる保管用サーバ内の転送対象ファイルを、ネットワーク２００を介して、運用サーバ４００内もしくはその他の場所に設けられた一時格納場所へ読み出し、これをネットワーク２００を介して代替サーバＳnew内へ送信する形態である。図１１に示す具体例の場合、重複保管場所となるサーバＳｊ内の転送対象ファイルＦ（α）１およびサーバＳｋ内の転送対象ファイルＦ（α）３は、運用サーバ４００内もしくはその他の場所に設けられた一時格納場所へと一旦読み出され、そこから更に代替サーバＳｑへ送信されることになる。
【０１６６】
一方、退役サーバＳold内のファイルを代替サーバＳnew内に復元するためのファイル転送処理（復旧処理）の第２の形態は、復旧処理部４４０が、重複保管場所となる保管用サーバに対して、転送対象ファイルを代替サーバ内へ送信するように指示を与える形態である。図１１に示す具体例の場合、復旧処理部４４０からサーバＳｊに対して、転送対象ファイルＦ（α）１を代替サーバＳｑへ送信するよう指示が与えられ、復旧処理部４４０からサーバＳｋに対して、転送対象ファイルＦ（α）３を代替サーバＳｑへ送信するよう指示が与えられる。サーバＳｊ，Ｓｋは、これらの指示に基づいて、各ファイルを代替サーバＳｑへ直接送信する処理を行うことになる。この第２の形態では、代替サーバＳnewに対して直接ファイルが送信されるので、より効率的なファイル転送が可能になるが、各保管用サーバ３００Ａ〜３００Ｚには、運用サーバ４００からの指示に基づいて、指定されたファイルを指定されたサーバに送信する処理機能を設けておく必要がある。
【０１６７】
リスト更新部４５０は、代替サーバ選択部４３０により、退役サーバＳoldに対する代替サーバＳnewの選択がなされた場合に、サーバ状態リストに収録されている退役サーバＳoldについての情報を退役状態に変更するとともに、その代替となる代替サーバＳnewを示す情報を付加する処理を行う。図１３に示す例において、サーバ「Ｓｃ」についての「現役／退役」欄が「退役」に書き換えられ、「代替サーバ」欄に「Ｓｐ」が書き込まれているのは、リスト更新部４５０による更新処理が行われたためであり、サーバ「Ｓｃ」は退役し、その役割は、代替サーバ「Ｓｐ」によって引き継がれたことが示されている。上述した具体的な事例の場合、退役宣告されたサーバ「Ｓｉ」についての「現役／退役」欄が「退役」に書き換えられ、「代替サーバ」欄に「Ｓｑ」が書き込まれることになる。
【０１６８】
照会受付部４７０は、ネットワーク２００に接続された外部装置から、特定の保管用サーバについての照会を受けたときに、サーバ状態リスト格納部４６０を参照して、当該特定の保管用サーバが現役状態か退役状態かを回答し、退役状態である旨の回答を行う際には、その代替となる代替サーバＳnewを報知する回答を行う機能を有する。たとえば、図示の例の場合、外部装置から、サーバ「Ｓａ」についての照会を受けた場合、照会受付部４７０は、サーバ状態リストを参照することにより、「現役」である旨の回答を行う。一方、サーバ「Ｓｃ」についての照会を受けた場合は、照会受付部４７０は、サーバ状態リストを参照することにより、「退役」である旨の回答を行うとともに、代替サーバ「Ｓｐ」を報知する回答を行うことになる。この機能は、ユーザ端末１００＊内のファイル要求部１２３＊からの照会に応えるためのものである。ファイル要求部１２３＊は、照会受付部４７０への照会に対して退役した旨の回答が得られた保管用サーバについては、報知された代替サーバに対して要求を行う代替要求を行うことになる。
【０１６９】
なお、代替サーバもいずれは退役することになり、その場合は、その次の世代の代替サーバが選択されることになる。したがって、照会受付部４７０が代替サーバを報知する場合、常に、最新世代の代替サーバ（別言すれば、その時点で現役状態のサーバ）を報知するようにする。たとえば、図１３に示す例の場合、退役サーバＳｃについての代替サーバはＳｐになっているが、やがて、このサーバＳｐが退役し、その代替サーバとしてサーバＳｘが選択された場合は、このサーバ状態リストを辿ることにより、サーバＳｃ→Ｓｐ→Ｓｘという変遷を認識することができる。したがって、この場合、サーバＳｃについての照会があった場合、代替サーバとして報知されるサーバは、サーバＳｐではなく、サーバＳｘということになる。
【０１７０】
また、ここに示す実施形態の場合、照会受付部４７０は、ネットワークに接続された外部装置から、現役サーバについての照会（現在、現役状態にあるサーバがどのサーバであるかを確認するための照会）を受けたときに、サーバ状態リスト格納部４６０を参照して、現役状態にある保管用サーバを収録した現役サーバリストを回答として返信する機能も有している。図示の例の場合、「Ｓａ，Ｓｂ，Ｓｄ，... Ｓｚ」という現役サーバリストが回答されることになる。この機能は、ユーザ端末１００＊内の保管場所割当部１１５＊からの照会に応えるためのものである。
【０１７１】
すなわち、図１２に示す保管場所割当部１１５＊は、既に述べたとおり、個々の分割ファイルについてそれぞれ複数の保管場所を重複して割り当てる処理を行う構成要素であるが、このとき、運用サーバ４００内の照会受付部４７０に対して現役サーバについての照会を行い、回答として得られた現役サーバリストに収録されているサーバの中から保管場所となる保管用サーバを割り当てる機能が備わっている。
【０１７２】
ファイル送信部１１３＊は、特定の保管用サーバへ送信を行った後に、所定時間が経過してもアクノレッジ信号が返信されてこなかった場合には、その旨を保管場所割当部１１５＊に報告する機能を有し、当該報告を受けた保管場所割当部１１５＊は、当該特定の保管用サーバの代わりに別な保管用サーバを充てる新たな割り当てを行い、ファイル送信部１１３＊が、この新たに割り当てられた保管用サーバに対して、先ほど失敗した分割ファイルの送信をやり直す処理を行うことになる。したがって、保管場所割当部１１５＊が、退役サーバを割り当ててしまい、ファイル送信に失敗した場合でも、別な保管用サーバへの送信がやり直されるので支障は生じない。
【０１７３】
しかしながら、退役サーバへの割り当ては、本来、無駄な処理であるので、実用上は避けた方が好ましい。そこで、上述したように、保管場所割当部１１５＊が照会受付部４７０に対して現役サーバについての照会を行い、回答として得られた現役サーバリストに収録されているサーバの中から保管場所となる保管用サーバを割り当てるようにすれば、そのような無駄な割当処理が行われることを防ぐことができる。
【０１７４】
なお、運用サーバ４００自身も、当然ながら寿命をもっているので、いずれは交換する必要がある。この運用サーバ４００自身の交換作業は、システムの保守管理者の手作業に委ねても、全システムの保守作業に比べれば負担はそれほど重くない。
【０１７５】
＜７−３．ファイル要求部１２３＊＞
ここでは、図１２に示すファイル要求部１２３＊のより詳細な構成例を述べる。既に§７−１で述べたとおり、ファイル要求部１２３＊は、次のような複数の処理を行う機能を有している。
(1) 保管場所認識部１２２が認識した複数の保管場所となる各保管用サーバのうち代表となる保管用サーバを選択し、選択した保管用サーバに対して認識したファイル名をもつ分割ファイルを要求する通常要求処理。
(2) 運用サーバ４００に対する照会を行い、退役した旨の回答が得られた保管用サーバについては、報知された代替サーバに対して要求を行う代替要求処理。
(3) 特定の分割ファイルの取り出しに失敗した場合に、当該特定の分割ファイルの別な重複保管場所となる保管用サーバに対して、当該特定の分割ファイルを要求する非常要求処理。
(4) 特定の分割ファイルの取り出しに失敗した場合に、取り出しに失敗したサーバについての異常報告を運用サーバ４００に対して行う異常報告処理。
【０１７６】
既に述べたとおり、ファイル復元部１２５＊は、ファイル要求部１２３＊の要求（上述した通常要求／代替要求／非常要求のいずれか）に応じた分割ファイルの返信が得られなかった場合に、ファイル要求部１２３＊にその旨を知らせる未着報告を行う。ファイル要求部１２３＊は、この未着報告があると、当該未着報告に係る分割ファイルについての代替要求もしくは非常要求を行うことになる。すなわち、運用サーバ４００に対する照会の結果、退役サーバであったために未着報告がなされた場合には、その代替サーバに対する代替要求がなされる（上記(2) ）。これに対して、運用サーバ４００に対する照会の結果、現役サーバであるにもかかわらず未着報告がなされた場合には（すなわち、「ファイルの取り出しに失敗」した場合には）、重複保管場所となるサーバに対する非常要求がなされる（上記(3) ）。ここでは、このような処理機能をもつファイル要求部１２３＊の具体的な構成例を２つ挙げておく。
【０１７７】
図１４は、ファイル要求部１２３＊の第１の具体的な構成例を示すブロック図である。この例は、§６で述べた事前照会を行う機能を有し、保管場所となる特定の保管用サーバに対して取出要求を行う際に、毎回、事前に運用サーバ４００への照会を行い、当該特定の保管用サーバが現役サーバであった場合は、当該サーバに対して通常要求を行い、退役サーバであった場合は、その代替サーバに対して代替要求を行うことになる。
【０１７８】
この第１の構成例に係るファイル要求部１２３＊−１は、図示のとおり、サーバ状態照会部１１、要求送信部１２、異常報告部１３によって構成されている。図示の例は、図６に示す管理情報Ｍ（α）＊に基づいて、”Ｆ（α）１”なる分割ファイルについての保管場所「Ｓｉ＆Ｓｊ」、”Ｆ（α）２”なる分割ファイルについての保管場所「Ｓｊ＆Ｓｋ」、”Ｆ（α）３”なる分割ファイルについての保管場所「Ｓｋ＆Ｓｉ」がファイル要求部１２３＊−１に与えられた場合の例である。
【０１７９】
要求送信部１２は、これら保管場所に関する情報に基づいて、各分割ファイルについての代表となる保管用サーバを選択する。たとえば、先頭に記載されたサーバを代表として選択する運用を採る場合は、分割ファイルＦ（α）１についてサーバＳｉ、分割ファイルＦ（α）２についてサーバＳｊ、分割ファイルＦ（α）３についてサーバＳｋが、それぞれ代表として選択される。要求送信部１２は、これら各代表サーバに対して通常要求を行うが、その前に、サーバ状態照会部１１に対して、これら各代表サーバについての事前照会を行うよう指示を与える。
【０１８０】
サーバ状態照会部１１は、要求送信部１２が、保管場所となる特定の保管用サーバに対して分割ファイルを要求する際に、事前に、照会受付部４７０に対して当該特定の保管用サーバについての照会を行う機能を有する。上例の場合、要求送信部１２から、サーバＳｉ，Ｓｊ，Ｓｋについての事前照会指示を受け、運用サーバ４００に対してネットワークを介した照会を行うことになる。運用サーバ４００内の照会受付部４７０は、このような照会に対して、サーバ状態リストを参照することにより、各サーバが現役状態か退役状態かを確認して回答を行う。退役状態であった場合には、更に、対応する代替サーバについての報知も行う。
【０１８１】
照会受付部４７０からの回答を受けたサーバ状態照会部１１は、当該回答を要求送信部１２に報告する。要求送信部１２は、このような事前照会の結果を踏まえて、適切なサーバに対して分割ファイルの要求を行う。すなわち、サーバ状態照会部１１による照会に応じて、照会受付部４７０から現役である旨の回答が得られた場合には、予定通り、代表として選択された特定の保管用サーバに対して通常要求を行う。一方、照会受付部４７０から退役した旨の回答が得られた場合には、代表として選択された特定の保管用サーバに代えて、照会受付部４７０から報知された代替サーバに対して代替要求を行う。
【０１８２】
こうして、ファイル要求部１２３＊−１から分割ファイルの取出要求があると、やがて、要求に応じた分割ファイルがファイル復元部１２５＊宛に返信されてくる。要求したすべての分割ファイルが支障なく返信されてきた場合は、既に述べたとおり、ファイル復元部１２５＊によって、もとの保管対象ファイルＦ（α）が復元される。ところが、取出要求が出されてから所定限界時間が経過しても分割ファイルの返信がなされなかった場合には、ファイル復元部１２５＊からファイル要求部１２３＊に対して未着報告がなされる。この未着報告は、異常報告部１３に通知される。
【０１８３】
ここに示す事前照会を行う例の場合、ファイル要求部１２３＊が取出要求を送信する相手は常に「現役サーバ」であるから（当初の予定が「退役サーバ」であっても、照会によって現役の「代替サーバ」へ導かれることになる）、未着報告があった場合、ファイルの取り出しに失敗したことを意味する。そこで、異常報告部１３は、ファイル復元部１２５＊からの未着報告があった場合に、次の２つの処理を実行する。
【０１８４】
未着報告があった場合に、異常報告部１３が実行する第１の処理は、当該未着報告に係る分割ファイルについての非常取出指令を発する処理である。この非常取出指令は、要求送信部１２へと伝えられる。要求送信部１２は、異常報告部１３が非常取出指令を発した場合に、当該未着報告に係る分割ファイルについての非常要求を行う。たとえば、異常報告部１３に、分割ファイルＦ（α）１についての未着報告が与えられると、異常報告部１３から要求送信部１２に対して、分割ファイルＦ（α）１についての非常取出指令が与えられる。要求送信部１２は、この非常取出指令を受けて、分割ファイルＦ（α）１について、代表ではない別な保管用サーバＳｊに対して非常要求を行うことになる。この非常要求に応じて、サーバＳｊから分割ファイルＦ（α）１が返信されてくれば、もとの保管対象ファイルＦ（α）は支障なく復元される。もし、この非常要求に対する返信も得られなかった場合には、残念ながら、本システムでは、ファイルＦ（α）は滅失してしまう。
【０１８５】
未着報告があった場合に、異常報告部１３が実行する第２の処理は、運用サーバ４００に対する異常報告処理である。この処理は、既に述べたとおり、異常サーバ特定情報と復旧情報とを含む異常報告を、運用サーバ４００に対して送信する処理である。たとえば、異常報告部１３に、分割ファイルＦ（α）１についての未着報告が与えられると、異常報告部１３は、要求送信部１２が行った取出要求の内容に基づき、サーバＳｉが異常サーバであることを認識することができるので、「Ｓｉ」なる「異常サーバ特定情報」を生成することができる。また、管理情報格納ユニット１３０＊内に格納されている管理情報を参照することにより、「異常サーバＳｉが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバＳｉとは別な重複保管場所と、の対応を示す復旧情報」を生成することもできる。かくして、異常報告部１３から運用サーバ４００に対して、図１３の異常報告受理部４１０に例示されているような異常報告Ｅ（Ｓｉ）が送信される。
【０１８６】
一方、図１５は、ファイル要求部１２３＊の第２の具体的な構成例を示すブロック図である。この例は、§６で述べた事後照会を行う機能を有し、事前照会なしに保管場所となる特定の保管用サーバに対して取出要求を行い、ファイル復元部１２５＊から未着報告があった場合に、運用サーバ４００への事後照会を行い、当該特定の保管用サーバが退役サーバであった場合には、当該特定の保管用サーバに代えて、改めて、その代替サーバに対して代替要求を行うことになる。
【０１８７】
この第２の構成例に係るファイル要求部１２３＊−２は、図示のとおり、要求送信部２１、サーバ状態照会部２２、異常報告部２３によって構成されている。この例も、図６に示す管理情報Ｍ（α）＊に基づいて、”Ｆ（α）１”なる分割ファイルについての保管場所「Ｓｉ＆Ｓｊ」、”Ｆ（α）２”なる分割ファイルについての保管場所「Ｓｊ＆Ｓｋ」、”Ｆ（α）３”なる分割ファイルについての保管場所「Ｓｋ＆Ｓｉ」がファイル要求部１２３＊−２に与えられた場合の例である。
【０１８８】
要求送信部２１は、これら保管場所に関する情報に基づいて、各分割ファイルについての代表となる保管用サーバを選択する。たとえば、先頭に記載されたサーバを代表として選択する運用を採る場合は、分割ファイルＦ（α）１についてサーバＳｉ、分割ファイルＦ（α）２についてサーバＳｊ、分割ファイルＦ（α）３についてサーバＳｋが、それぞれ代表として選択される。要求送信部２１は、事前照会なしに、これら各代表サーバに対して通常要求を行う。したがって、要求先が退役サーバである可能性もある。
【０１８９】
サーバ状態照会部２２は、ファイル復元部１２５＊から未着報告があった場合に、適切な処理を行う構成要素である。すなわち、サーバ状態照会部２２は、未着報告があった場合に、運用サーバ４００内の照会受付部４７０に対して、当該未着報告に係る特定の保管用サーバについての事後照会を行う。そして、照会受付部４７０から退役した旨の回答および代替サーバの報知が得られた場合には、当該代替サーバからの取り出しを行うための代替取出指令を発する。
【０１９０】
たとえば、サーバ状態照会部２２に、分割ファイルＦ（α）１についての未着報告が与えられると、サーバ状態照会部２２は、要求送信部２１が行った取出要求の内容に基づき、サーバＳｉが当該未着報告に係るサーバであることを認識することができるので、運用サーバ４００内の照会受付部４７０に対して、当該未着報告に係るサーバＳｉについての事後照会を行う。もし、照会受付部４７０から、サーバＳｉが退役した旨の回答および代替サーバがＳｑである旨の報知が得られた場合には、サーバ状態照会部２２は、報知された代替サーバＳｑからの取り出しを行うための代替取出指令を発する処理を行う。
【０１９１】
要求送信部２１は、サーバ状態照会部２２が代替取出指令を発した場合には、未着報告の原因となったサーバＳｉ（退役していたサーバ）に代えて、照会受付部４７０から報知された代替サーバＳｑに対して代替要求を行う。当該代替要求に応じて、代替サーバＳｑから分割ファイルＦ（α）１が返信されてくれば、もとの保管対象ファイルＦ（α）は支障なく復元される。もし、この代替要求に対する返信が得られなかった場合には、サーバ状態照会部２２に、再び未着報告がなされることになる。この場合、代替サーバＳｑについての照会は既に完了し、現役サーバである旨の回答が得られているので、サーバ状態照会部２２は再度の照会を省略し、以下に述べる処理を実行することができる（もちろん、再度の照会を行ってもかまわない）。
【０１９２】
さて、事後照会の結果、照会したサーバＳｉが現役である旨の回答が得られた場合には、サーバＳｉに何らかの異常が生じており、ファイルの取り出しに失敗したことになる。その場合、サーバ状態照会部２２は、当該未着報告に係る分割ファイルについての非常取出指令を発する。要求送信部２１は、サーバ状態照会部２２が非常取出指令を発した場合、当該未着報告に係る分割ファイルについての非常要求を行う。たとえば、分割ファイルＦ（α）１についての未着報告に基づく非常取出指令が与えられた場合、要求送信部２１は、分割ファイルＦ（α）１について、代表ではない別な保管用サーバＳｊに対して非常要求を行うことになる。この非常要求に応じて、サーバＳｊから分割ファイルＦ（α）１が返信されてくれば、もとの保管対象ファイルＦ（α）は支障なく復元される。もし、この非常要求に対する返信も得られなかった場合には、残念ながら、本システムでは、ファイルＦ（α）は滅失してしまう。
【０１９３】
一方、サーバ状態照会部２２が発した非常取出指令は、異常報告部２３にも与えられる。異常報告部２３は、この非常取出指令を受け、サーバＳｉに何らかの異常が生じていることを認識し、運用サーバ４００に対する異常報告処理を実行する。この処理は、既に述べたとおり、異常サーバ特定情報と復旧情報とを含む異常報告を、運用サーバ４００に対して送信する処理である。たとえば、サーバ状態照会部２２が、分割ファイルＦ（α）１についての未着報告に基づく事後照会により、サーバＳｉが異常サーバであることを認識した場合、異常サーバＳｉに関する非常取出指令を異常報告部２３に伝えることができる。異常報告部２３は、管理情報格納ユニット１３０＊内に格納されている管理情報を参照することにより、「異常サーバＳｉが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバＳｉとは別な重複保管場所と、の対応を示す復旧情報」を生成する。かくして、異常報告部２３から運用サーバ４００に対して、図１３の異常報告受理部４１０に例示されているような異常報告Ｅ（Ｓｉ）が送信される。
【０１９４】
＜７−４．複数ユーザによる共用が行われる場合の工夫＞
これまで、図９に示すデータ保管システムを、分散型データアーカイブシステムとして利用する実施形態を述べた。具体的には、ユーザ端末１００＊を利用した１人のユーザが保管対象ファイルＦ（α）を預け入れる処理、これを取り出す処理、そして、途中で保管用サーバＳｉに支障が生じたときに代替サーバＳｑを用意する処理について、具体的な処理内容を説明した。ただ、実用上、このシステムは多数のユーザによって利用されることになり、そのような利用形態では、１台の保管用サーバが複数のユーザによって共用されるケースもあり得る。ここでは、そのように、複数ユーザによる共用が行われる運用を行った場合にも、本発明のシステムが支障なく動作するようにする工夫を述べておく。
【０１９５】
いま、図１１に示すように、保管用サーバＳｉに何らかの支障が生じ、ファイルの取り出しができない状態に陥ったものとしよう。ここで、サーバＳｉには、３人のユーザ甲，乙，丙のデータファイルが保管されていたとする。この場合、サーバＳｉに異常が生じていることは、ユーザ甲乙丙のいずれかが、ファイルの取り出しに失敗した時点（あるいは、後述する変形例の場合は、ファイルの預け入れに失敗した時点）で判明する。そこで、ここでは、これまで述べてきた例と同様に、ユーザ甲がファイルＦ（α）の取り出しを行う際に、分割ファイルＦ（α）１の取り出しに失敗したものとしよう。
【０１９６】
ファイル要求部１２３＊は、サーバＳｉからの分割ファイルＦ（α）１の取り出しに失敗すると、重複保管場所であるサーバＳｊから分割ファイルＦ（α）１を取り出す非常取出処理を行う。サーバＳｊが正常に機能していれば、取り出しに成功し、もとの保管対象ファイルＦ（α）は支障なく復元されるので、ユーザ甲からみれば、通常どおりファイルＦ（α）が取り出されたことになる。しかしながら、その裏方では、運用サーバ４００に対して、サーバＳｉについての異常報告がなされ、図１１に示すように、サーバＳｉに対して退役宣告を行う処理および代替サーバＳｑを用意する処理が自動的に行われることになる。
【０１９７】
この裏方の処理によって、運用サーバ４００内のサーバ状態リストには、サーバＳｉが退役サーバとなり、その代替サーバとしてサーバＳｑが用意された事実が記録される。そして、退役サーバＳｉ内の分割ファイルは、代替サーバＳｑ内に復元されることになる。したがって、ユーザ甲が、その後、再びファイルＦ（α）を取り出す処理を行った場合、ファイル要求部１２３＊は、分割ファイルＦ（α）１の取出要求を、退役サーバＳｉに対して行う代わりに、代替サーバＳｑに対して行うことにより、分割ファイルＦ（α）１を支障なく取り出すことができる。
【０１９８】
ところが、上述した裏方の処理によって、代替サーバＳｑに復元されたファイルは、ユーザ甲に関するファイルのみであり、ユーザ乙および丙のファイルの復元は、この時点ではまだ行われていない。別言すれば、ユーザ乙および丙のファイルは、依然として退役サーバＳｉに残ったままである。
【０１９９】
このような問題に対処するための１つの解決法は、管理情報格納ユニット１３０＊をユーザ甲乙丙で共通にする方法である。同一の管理情報格納ユニット１３０＊内に、ユーザ甲乙丙についての管理情報がすべて格納されるようにしておけば、当該管理情報格納ユニット１３０＊から、ユーザ甲乙丙すべての復旧情報を抽出することができるので、ユーザ甲に関するファイルの復元処理時に、ユーザ乙および丙に関するファイルの復元処理も併せて行うことができる。
【０２００】
別な解決方法は、ユーザ乙もしくは丙が、退役サーバＳｉ内に保管されている分割ファイルを必要とする取出処理を実行した時点で、ユーザ乙もしくは丙のファイルの復元が自動的に行われるような運用を採る方法である。たとえば、ユーザ甲に関して上述した裏方の処理が実行された後に、ユーザ乙がサーバＳｉ内に保管されている分割ファイルを必要とする取出処理を実行した場合を考えてみよう。
【０２０１】
この場合、ファイル要求部１２３＊は、運用サーバ４００への照会により、サーバＳｉは既に退役サーバとなっており、代替として代替サーバＳｑが用意されていることが認識できるので、代替サーバＳｑに対する代替要求を行う。ところが、代替サーバＳｑ内には、まだユーザ乙のファイルの復元は行われていないので、代替要求によるファイルの取り出しは失敗する。結局、退役サーバＳｉからも、代替サーバＳｑからも、目的の分割ファイルを取り出すことができないことになり、やむを得ず、非常取出によって、目的の分割ファイルを重複保管場所から取り出す処理を行うとともに、運用サーバ４００に対して、異常報告を行うことになる。
【０２０２】
もっとも、上例の場合、代替サーバＳｑの動作が異常であるわけではなく、代替サーバＳｑには目的の分割ファイルが保管されていない、というだけである。実際、このようなケースでは、代替サーバＳｑからは、「要求したファイルは存在しない」というようなエラーメッセージが返信されてくる。そこで、ファイル要求部１２３＊が、代替サーバＳｑに対して要求を行い、かつ、要求に係る特定の分割ファイルが当該代替サーバ内に存在しないために当該特定の分割ファイルの取り出しに失敗した場合には、当該特定の分割ファイルの別な重複保管場所となる保管用サーバに対して、当該特定の分割ファイルを要求する非常要求を行うとともに、「当該代替サーバＳｑによって代替された退役サーバＳｉを異常サーバとして特定する異常サーバ特定情報」および「管理情報格納ユニット１３０＊内に格納されている管理情報において前記異常サーバＳｉが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての前記異常サーバＳｉとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバ４００に対して送信するようにすればよい。
【０２０３】
別言すれば、代替サーバＳｑからのファイル取り出しに失敗した場合であっても、「要求したファイルは存在しない」という理由により失敗した場合には、代替サーバＳｑを異常サーバとする異常報告を行う代わりに、代替された元の退役サーバＳｉを異常サーバとする異常報告を行うようにすればよい。図１３に示す運用サーバ４００が、このような異常報告を受けた場合、異常サーバＳｉについては既に退役宣告がなされているので、退役宣告部４２０による再度の退役宣告は行われず、代替サーバ選択部４３０による代替サーバの選択や、リスト更新部４５０によるリストの更新も行われない。ただ、復旧処理部４４０による復旧処理のみが行われることになる。もちろん、このときに行われる復旧処理は、ユーザ乙の復旧情報に基づいて、サーバＳｉ内に保管されていたと推定されるユーザ乙のファイルを代替サーバＳｑ内に復元する処理ということになる。
【０２０４】
結局、ユーザ甲がファイルの取り出しに失敗したために、サーバＳｉが退役サーバとなり、代替サーバＳｑが用意された時点では、ユーザ甲の管理情報を利用して、ユーザ甲のファイルについての復元だけが行われるが、その後、当該退役サーバＳｉを利用していた別なユーザ乙，丙がアクセスを行った時点で、ユーザ乙，丙の管理情報を利用して、ユーザ乙，丙のファイルについての復元も行われることになる。
【０２０５】
＜＜＜  §８．本発明の変形例  ＞＞＞
最後に、本発明のいくつかの変形例を述べておく。
【０２０６】
＜８−１．代替サーバの選択基準＞
図１３に示す代替サーバ選択部４３０は、退役宣告部４２０により退役宣告がなされた場合に、当該退役宣告の対象となった退役サーバの代替となる代替サーバを、サーバ状態リストに収録されている現役サーバの中から選択する処理を行う。この選択は任意のアルゴリズムに基づく方法でかまわないが、実用上は、サーバ状態リスト格納部４６０内に、個々の保管用サーバＳａ〜Ｓｚについて、仕様、コスト、もしくは設置環境に関する情報を収録したサーバ状態リストを格納しておくようにし、代替サーバ選択部４３０が、この仕様、コスト、もしくは設置環境に関する情報を考慮して代替サーバの選択を行うようにするのが好ましい。
【０２０７】
図１６は、サーバ状態リスト格納部４６０内に格納されるサーバ状態リストの変形例を示す図である。このリストの上段の「基本」欄に記載された情報は、図１３のサーバ状態リスト格納部４６０内に記載された基本的な情報である。これに対して、「仕様」欄には、仕様に関する情報として、製造会社、型式、製造時期、記憶容量、動作速度、二酸化炭素排出量、という項目に関する情報が格納されており、「コスト」欄には、コストに関する情報として、初期導入コストおよび維持コストに関する情報が格納されており、「設置環境」欄には、設置環境に関する情報として、耐震性および治安度に関する情報が格納されている。
【０２０８】
サーバ状態リストとして、このように、仕様、コスト、設置環境に関する情報を収録しておけば、代替サーバ選択部４３０は、これらの情報も考慮して、代替サーバの選択を行うことができるようになるので、たとえば、退役サーバの仕様、コスト、設置環境と類似した特徴をもつ現役サーバを代替サーバとして優先的に選択する、などの選択方法を採用することができ、より適切な選択が可能になる。
【０２０９】
＜８−２．管理情報格納ユニットの構成＞
これまで述べた実施形態では、図１２に示すように、保管対象ファイルＦ（α）の預入処理が行われる際に、管理情報書込部１１４によって、当該ファイルＦ（α）についての管理情報Ｍ（α）＊が、管理情報格納ユニット１３０＊内に格納されることになる。管理情報格納ユニット１３０＊をＩＣカードなどの携帯可能情報記録媒体によって構成しておけば、ユーザは、当該媒体のみを単体として携帯することができるため、任意の場所からファイルＦ（α）の取出処理を行うことができるメリットが得られる点は、既に述べたとおりである。
【０２１０】
図１７は、ＩＣカードによって管理情報格納ユニット１３０＊を構成し、複数のユーザ端末本体部を利用してファイルの預入処理／取出処理を実行可能にした実施形態を示すブロック図である。この例の場合、３人のユーザ甲，乙，丙に、それぞれＩＣカードからなる管理情報格納ユニット１３０＊が配布される。一方、３台のユーザ端末本体部１００ＡＡ，１００ＢＢ，１００ＣＣが用意されている。これらユーザ端末本体部は、それぞれが、図１２に示す構成における預入処理ユニット１１０＊および取出処理ユニット１２０＊に対応するものであり、携帯電話機やパソコンなどの電子機器に専用のエージェントプログラムを組み込むことにより実現される。
【０２１１】
ユーザ甲は、管理情報格納ユニット１３０＊（甲）を携帯していれば、いずれのユーザ端末本体部を用いても、データファイルの預け入れおよび取り出しを行うことが可能である。たとえば、管理情報格納ユニット１３０＊（甲）をユーザ端末本体部１００ＡＡに接続すれば（有線でも無線でも、光を利用した接続でもかまわない）、図１２に示すユーザ端末１００＊を構成することができ、データファイルの預け入れおよび取り出しが可能になる。要するに、図１２に示す預入処理ユニット１１０＊および取出処理ユニット１２０＊によって、ユーザ端末本体部１００ＡＡを構成し、管理情報格納ユニット１３０＊として、このユーザ端末本体部１００ＡＡに対して着脱自在な携帯型情報記憶装置１３０＊（甲）を用いたことになる。
【０２１２】
３人のユーザ甲，乙，丙は、それぞれ別個の管理情報格納ユニット１３０＊（甲），１３０＊（乙），１３０＊（丙）を携帯しており、各自の管理情報は、それぞれ別個独立して管理されることになる。ファイルの取り出しには、管理情報が不可欠であるから、各ユーザが管理情報格納ユニット１３０＊をしっかりと管理していれば、ファイルの取り出しに関して十分なセキュリティを確保することができる。
【０２１３】
なお、これまで述べた実施形態では、ファイルＦ（α）の取り出しに必要な管理情報Ｍ（α）＊を、管理情報格納ユニット１３０＊内に格納する例を述べたが、管理情報Ｍ（α）＊は、必ずしも管理情報格納ユニット１３０内に格納する必要はなく、ネットワークを介してアクセス可能な任意の格納場所（たとえば、いずれかの保管用サーバ３００や運用サーバ４００内であってもよいし、それ以外のコンピュータ内であってもよい）に格納することが可能である。すなわち、管理情報書込部１１４が、保管対象ファイルＦ（α）についての管理情報Ｍ（α）＊を管理情報格納ユニット１３０＊に格納する代わりに、ネットワークを介してアクセス可能な特定の格納場所に格納し、当該格納場所の所在を示す所在情報（たとえば、ＵＲＬ）を管理情報格納ユニット１３０＊に格納する処理を行うことも可能である。
【０２１４】
この場合、ファイルＦ（α）についての取出処理を行う際には、管理情報読出部１２１は、管理情報格納ユニット１３０＊から管理情報Ｍ（α）＊を直接読み出す代わりに、管理情報格納ユニット１３０＊から上記所在情報（たとえば、ＵＲＬ）を読み出し、読み出した所在情報に基づいて上記特定の格納場所をアクセスして管理情報Ｍ（α）＊を読み出す処理を行うことができるので、何ら支障なく管理情報Ｍ（α）＊を入手することが可能である。
【０２１５】
このように、管理情報格納ユニット１３０内に管理情報Ｍ（α）＊そのものを格納する代わりに、その所在情報（たとえば、ＵＲＬ）のみを格納する運用を採れば、管理情報格納ユニット１３０＊内の格納スペースを節約することができ、ＩＣカードなどの比較的記憶容量の小さな媒体を管理情報格納ユニット１３０＊として用いる場合に便利である。
【０２１６】
＜８−３．事前にユーザ登録を行う運用＞
これまでに述べた分散型データアーカイブシステムは、理論的には、１人のユーザのみが利用することも可能であるが、商用設備として運用する実用的なケースでは、多数のユーザが共用することが前提となる。このようなケースでは、運用サーバ４００内にユーザ登録部を更に設け、このユーザ登録部の機能によって、事前にユーザ登録を行い、たとえば、図１８に示すような個別保管場所リストを作成しておけばよい。すなわち、ユーザ登録部は、ユーザからの登録指示に基づき、それぞれ固有のユーザＩＤを発行するとともに、当該ユーザのために個別保管場所を用意する処理を行う。
【０２１７】
この図１８に示す個別保管場所リストは、個々のユーザごとに付与されたユーザＩＤと、個別保管場所（ＵＲＬ）との対応関係を示すリストである。各個別保管場所を示すＵＲＬは、特定の保管用サーバ内に作成されたフォルダのアドレスを示している。たとえば、ユーザＩＤ「Ｕ０００１」が付与されたユーザについて設定された個別保管場所は、「ＳｉＦ１」，「ＳｊＦ１」，「ＳｋＦ１」の３箇所になっているが、「ＳｉＦ１」なるＵＲＬは、保管用サーバＳｉ内のフォルダ「Ｆ１」を示しており、「ＳｊＦ１」なるＵＲＬは、保管用サーバＳｊ内のフォルダ「Ｆ１」を示しており、「ＳｋＦ１」なるＵＲＬは、保管用サーバＳｋ内のフォルダ「Ｆ１」を示している。
【０２１８】
結局、ユーザ登録部は、ユーザからの登録指示に基づき、図１８に示すような個別保管場所リストを作成するとともに、このリストに応じて、複数の保管用サーバ内に当該ユーザ用のフォルダを作成する処理を行うことになる。図１９は、図１８に示す個別保管場所リストに対応して作成された各ユーザ用のフォルダを示すブロック図である。この例では、各保管用サーバＳｉ，Ｓｊ，Ｓｋ内に、各ユーザ用のフォルダが作成された状態が示されている。たとえば、３人のユーザ甲，乙，丙が事前登録を行うと、それぞれにユーザＩＤ「Ｕ０００１」，「Ｕ０００２」，「Ｕ０００３」が付与され、図１８に示すような個別保管場所リストが作成され、更に、各保管用サーバ内には、図１９に例示するように、各ユーザ用のフォルダが作成されることになる。
【０２１９】
このように、事前にユーザ登録を行い、個々のユーザごとに予め個別保管場所をフォルダとして用意する運用を行う際には、保管場所割当部１１５＊は、ある登録ユーザからの預入指示があった場合に、図１８に示す個別保管場所リストを参照して、当該登録ユーザ用のフォルダ（個別保管場所）を保管場所として割り当てる処理を行えばよい。また、特定の保管用サーバに対して退役宣告がなされた場合、復旧処理部４４０は、フォルダに収容された状態のままファイルを転送することにより復旧処理を行うようにすればよい。
【０２２０】
＜８−４．退役宣告時の検査＞
これまで述べた実施形態では、運用サーバ４００が異常報告を受けた場合、報告に係る異常サーバが、まだ退役宣告がなされていないサーバであった場合には、無条件で退役宣告を行う処理を行うことになるが、必要に応じて、退役宣告部４２０が、退役宣告を行う前に、異常サーバ特定情報によって特定される保管用サーバに異常が生じているか否かを所定の検査方法で検査し、異常が確認された場合にのみ退役宣告を行うようにしてもよい。この場合、復旧処理部４４０は、退役宣告が行われた場合にのみ復旧処理を行うようにする。
【０２２１】
このように、退役宣告を行う前に、退役宣告部４２０による事前検査を行うようにすれば、ユーザ端末側の支障によって誤った異常報告がなされた場合や、ハッカーが意図的に異常報告を送信してきた場合にも、適切な対応を採ることが可能になる。
【０２２２】
＜８−５．管理情報の書き換え＞
これまで述べたとおり、退役サーバから代替サーバへの役割交替が行われていた場合でも、ファイル要求部１２３＊の照会機能により、ユーザ端末１００＊は、支障なく保管対象ファイルＦ（α）の取り出しを行うことが可能になる。別言すれば、管理情報格納ユニット１３０＊内に格納されている管理情報Ｍ（α）＊によって示される保管場所が、実際の保管場所と齟齬を生じていたとしても、ファイル要求部１２３＊の照会機能により、要求先を退役サーバから代替サーバに切り替える処理が行われるため、支障なくファイルの取り出しが可能になる。
【０２２３】
ただ、より効率的なファイル取り出しを行うためには、ファイル要求部１２３＊に、更に、管理情報格納ユニット１３０＊内に格納されている管理情報を書き換える機能をもたせておくとよい。たとえば、ファイル要求部１２３＊が、要求先を退役サーバＳｊから代替サーバＳｑに切り替える代替要求を行った場合に、管理情報格納ユニット１３０＊内に格納されている管理情報Ｍ（α）＊について、退役サーバＳｊが代替サーバＳｑに変更されるように、管理情報Ｍ（α）＊に対する書き換えを行うようにすればよい。図１２において、ファイル要求部１２３＊から管理情報格納ユニット１３０＊へ向かう矢印は、このような書換処理を示すものである。
【０２２４】
このような書き換えを行っておけば、次回、保管対象ファイルＦ（α）の取り出しを行う際には、管理情報Ｍ（α）＊によって示される分割ファイルＦ（α）１についての要求先は、サーバＳｑということになるので、退役サーバＳｉから代替サーバＳｑへの照会を経ることなく、分割ファイルＦ（α）１を効率的に取り出すことが可能になる。
【０２２５】
＜８−６．預け入れ時の失敗に基づく異常報告＞
既に述べたとおり、保管対象ファイルの預け入れ時に、ファイル送信部１１３＊が特定の保管用サーバへの送信に失敗した場合、保管場所割当部１１５＊は、当該特定の保管用サーバの代わりに別な保管用サーバを充てる新たな割り当てを行う。そして、ファイル送信部１１３＊は、新たに割り当てられた保管用サーバに対して送信をやり直す処理を行い、管理情報書込部１１４は、送信に成功した保管場所を含む管理情報を管理情報格納ユニット１３０＊に書き込むことになる。
【０２２６】
このように、ファイル送信部１１３＊が、特定の保管用サーバへの送信に失敗した場合、当該サーバには何らかの支障が生じている可能性が高く、できるだけ早めに退役させた方が好ましい。そこで、預け入れ時に失敗が生じた場合にも、運用サーバ４００に対する異常報告を行い、失敗したサーバを退役させるようにするのが好ましい。
【０２２７】
そのような運用を行う場合は、ファイル送信部１１３＊が、特定の保管用サーバへの送信に失敗した場合に、「送信に失敗した異常サーバを特定する異常サーバ特定情報」および「管理情報格納ユニット内に格納されている管理情報において当該異常サーバが保管場所とされている分割ファイルのファイル名と、当該分割ファイルについての異常サーバとは別な重複保管場所と、の対応を示す復旧情報」を含む異常報告を運用サーバ４００に対して送信するようにすればよい。運用サーバ４００は、このような異常報告を、ファイル要求部１２３＊から送信される異常報告と同様に取り扱うことができ、異常サーバを退役させ、代替サーバを用意する処理を行うことができる。
【０２２８】
＜８−７．退役サーバの機能停止＞
これまでの実施形態では、特定の保管用サーバが完全にダウンし、もはやファイルの取り出しが全くできない状態になった場合を想定して、当該サーバを退役サーバとし、代わりとなる代替サーバを用意する例を述べた。しかしながら、実際には、ある特定のファイルの取り出しはできないが、別なファイルは支障なく取り出せる、という状態が生じることも少なくない。
【０２２９】
特に、§７−４で述べたように、複数のユーザによって、１台の保管用サーバを共用する形態を採る場合、ユーザ甲のファイルは読み出せないが、ユーザ乙のファイルは読み出せる、という状況が起こり得る。この場合、ユーザ甲のファイル取り出し失敗により、当該サーバには退役宣告がなされ、ユーザ甲のファイルについて代替サーバへの復元が行われる（もちろん、ユーザ甲のファイルは非常取出によって得ることができる）。ところが、その後、ユーザ乙が退役サーバからのファイルの取り出しを試みると、事後照会の運用を行うケースでは、ユーザ乙のファイルは支障なく読み出せることになるので、ユーザ乙のファイルについての代替サーバへの復元は行われないことになる。もちろん、退役サーバであっても、ユーザ乙のファイルが支障なく取り出せるのであれば、そのままの状態を放置しておいてもよいが、実際には、ユーザ甲のファイルが取り出せない状態になっていれば、やがてユーザ乙のファイルも取り出せなくなる可能性が高い。
【０２３０】
このような場合に、ユーザ乙のファイルについての代替サーバへの復元を促進させるには、退役宣告部４２０が、退役宣告を行った保管用サーバに対して、ファイル保管機能およびファイル返信機能を停止する機能停止処理を行うようにすればよい。具体的には、予め各保管用サーバに、運用サーバ４００からの機能停止コマンドが与えられたら、機能を停止するような仕組（たとえば、外部からのアクセスを受け付けないようにしたり、電源供給を切断したりすればよい）を組み込んでおけば、機能停止コマンドの送信を受けた保管用サーバは、自分自身を機能停止状態にすることができる。
【０２３１】
上例のように、ユーザ甲のファイルは読み出せないが、ユーザ乙のファイルは読み出せる、という状況が起こった場合、ユーザ甲のファイル取り出し失敗により、当該サーバには退役宣告がなされ、ユーザ甲のファイルについて代替サーバへの復元が行われる。このとき、退役宣告を行った保管用サーバに対して、ファイル保管機能およびファイル返信機能を停止する機能停止処理を行うようにすれば、その後、ユーザ乙が退役サーバからのファイルの取り出しを試みたとしても失敗することになるので、ユーザ乙は、非常取出によってファイルを得ることになり、この時点で、ユーザ乙のファイルについての代替サーバへの復元が行われることになる。
【０２３２】
＜８−８．退役サーバからの避難処理＞
本発明において、復旧処理部４４０によって行われる復旧処理の基本原理は、退役サーバＳｉ内のファイルを代替サーバＳｑへ復元する際に、図１０に示すように、退役サーバＳｉ内のファイルを代替サーバＳｑへ転送するのではなく、図１１に示すように、退役サーバＳｉ内に保管されていたと推定されるファイルを、重複保管場所となる別な保管用サーバＳｊ，Ｓｋから転送することにより、代替サーバＳｑ内に復元する点にある。
【０２３３】
しかしながら、復旧処理部４４０が、退役サーバＳｉ内に、取り出し可能なファイルが存在していた場合には、当該ファイルを取り出して代替サーバＳｑへ転送する避難処理を行うようにすれば、万一の場合にファイルが滅失する危険性を低減することができる。
【０２３４】
たとえば、図１１に示す例において、もし、退役サーバＳｉ内の分割ファイルＦ（α）３だけが取り出し可能であった場合には、復旧処理部４４０により、この分割ファイルＦ（α）３を取り出し、代替サーバＳｑに転送する避難処理を行っておくのが好ましい。復旧処理部４４０による本来の復旧処理では、分割ファイルＦ（α）３は、重複保管場所となるサーバＳｋから代替サーバＳｑへ転送することにより復元することになるが、万一、サーバＳｋから分割ファイルＦ（α）３を取り出すことができなかった場合でも、上記避難処理を行っておけば、分割ファイルＦ（α）３の滅失を回避することができる。
【符号の説明】
【０２３５】
１１：サーバ状態照会部
１２：要求送信部
１３：異常報告部
２１：要求送信部
２２：サーバ状態照会部
２３：異常報告部
１００，１００Ａ〜１００Ｃ：ユーザ端末（従来システム）
１００＊，１００Ａ＊〜１００Ｃ＊：ユーザ端末（本発明に係るシステム）
１００ＡＡ〜１００ＣＣ：ユーザ端末本体部
１１０，１１０＊：預入処理ユニット
１１１：預入指示入力部
１１２：ファイル分割部
１１３，１１３＊：ファイル送信部
１１４：管理情報書込部
１１５，１１５＊：保管場所割当部
１２０，１２０＊：取出処理ユニット
１２１：管理情報読出部
１２２：保管場所認識部
１２３，１２３＊，１２３＊−１，１２３＊−２：ファイル要求部
１２４：取出指示入力部
１２５，１２５＊：ファイル復元部
１３０，１３０＊：管理情報格納ユニット
２００：インターネット
３００，３００Ａ〜３００Ｚ：保管用サーバ
４００：運用サーバ
４１０：異常報告受理部
４２０：退役宣告部
４３０：代替サーバ選択部
４４０：復旧処理部
４５０：リスト更新部
４６０：サーバ状態リスト格納部
４７０：照会受付部
Ｃ（α）：暗号化処理の内容を示す情報
Ｄ（α）：分割方法を示す情報
Ｅ（Ｓｉ）：サーバＳｉについての異常報告
Ｆ１〜Ｆ３：各ユーザ用のフォルダ
Ｆ（α）：保管対象ファイル
”Ｆ（α）”：保管対象ファイルＦ（α）のファイル名
Ｆ（α）１〜Ｆ（α）３：分割ファイル
”Ｆ（α）１”〜”Ｆ（α）３”：分割ファイルＦ（α）１〜Ｆ（α）３のファイル名
Ｍ（α），Ｍ（α）＊：保管対象ファイルＦ（α）についての管理情報
Ｍ（β），Ｍ（β）＊：保管対象ファイルＦ（β）についての管理情報
Ｍ（γ），Ｍ（γ）＊：保管対象ファイルＦ（γ）についての管理情報
Ｓａ〜Ｓｚ：各サーバのＵＲＬ（保管場所を示すアドレス情報）
ＳｉＦ１，ＳｊＦ１，ＳｋＦ１：第１のユーザ用フォルダのＵＲＬ
ＳｅＦ２，ＳｆＦ２，ＳｋＦ２：第２のユーザ用フォルダのＵＲＬ
ＳｉＦ３，ＳｊＦ３，ＳｇＦ３：第３のユーザ用フォルダのＵＲＬ
Ｓnew：代替サーバのＵＲＬ
Ｓold：退役サーバのＵＲＬ
Ｕ０００１〜Ｕ０００３：ユーザＩＤ
【図１】
0005925433.tif 000002
【図２】
0005925433.tif 000003
【図３】
0005925433.tif 000004
【図４】
0005925433.tif 000005
【図５】
0005925433.tif 000006
【図６】
0005925433.tif 000007
【図７】
0005925433.tif 000008
【図８】
0005925433.tif 000009
【図９】
0005925433.tif 000010
【図１０】
0005925433.tif 000011
【図１１】
0005925433.tif 000012
【図１２】
0005925433.tif 000013
【図１３】
0005925433.tif 000014
【図１４】
0005925433.tif 000015
【図１５】
0005925433.tif 000016
【図１６】
0005925433.tif 000017
【図１７】
0005925433.tif 000018
【図１８】
0005925433.tif 000019
【図１９】
0005925433.tif 000020