(57)【特許請求の範囲】
【請求項１】
データを保存するための複数のサーバとクライアント端末とに、ネットワークを介して接続されたデータ保存サービス装置において、
前記クライアント端末からデータの保存要求を受け付けた場合、当該保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、災害情報に基づいて罹災リスクの最も低いサーバを選択する選択手段と、
前記選択手段により選択されたサーバに対して、前記保存要求されたデータを格納する格納制御手段と、
を有することを特徴とするデータ保存サービス装置。
【請求項２】
前記選択手段は、前記保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられている複数のサーバの中で、罹災リスクの最も低い第１のサーバと、前記保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中で前記第１のサーバ以外で罹災リスクの最も低い第２のサーバとを選択することを特徴とする請求項１記載のデータ保存サービス装置。
【請求項３】
前記格納制御手段は、前記選択手段により選択されたサーバに対応する暗号化方式で前記保存要求されたデータを暗号化して当該選択されたサーバに格納することを特徴とする請求項１又は２記載のデータ保存サービス装置。
【請求項４】
前記サービス加入条件のレベルは、サービスに対する対価とサービスの享受期間との少なくとも何れかに基づいて決定されていることを特徴とする請求項１〜３の何れかに記載のデータ保存サービス装置。
【請求項５】
前記保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルが変更された場合、前記選択手段は、当該保存要求を行ったクライアント端末のユーザの変更後のサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、前記災害情報に基づいて罹災リスクの最も低いサーバを選択し直し、前記格納制御手段は、当該選択手段により選択し直されたサーバに対して、前記保存要求されたデータを格納し直すことを特徴とする請求項１〜４の何れかに記載のデータ保存サービス装置。
【請求項６】
前記災害情報が更新された場合、前記選択手段は、当該保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、前記更新後の災害情報に基づいて罹災リスクの最も低いサーバを選択し直し、前記格納制御手段は、当該選択手段により選択し直されたサーバに対して、前記保存要求されたデータを格納し直すことを特徴とする請求項１〜５の何れかに記載のデータ保存サービス装置。
【請求項７】
更に、前記格納制御手段により前記サーバに格納されたデータの正当性を定期的に調査する調査手段を含むことを特徴とする請求項１〜６の何れかに記載のデータ保存サービス装置。
【請求項８】
前記調査手段は、前記格納制御手段により複数のサーバに格納された保存要求に係る同一のデータ同士を比較することにより、正当性を調査することを特徴とする請求項７記載のデータ保存サービス装置。
【請求項９】
前記調査手段は、メモリ媒体に起因してデータが不当になったのか否かを判別することを特徴とする請求項７又は８記載のデータ保存サービス装置。
【請求項１０】
前記調査手段は、データの改竄によりデータが不当になったのか否かを判別することを請求項７〜９の何れかに記載のデータ保存サービス装置。
【請求項１１】
更に、前記保存要求を行ったユーザが当該サービスの会員であるか否かを認証する認証手段を含み、当該認証手段により認証されたユーザからの保存要求だけを受理することを特徴とする請求項１〜１０の何れかに記載のデータ保存サービス装置。
【請求項１２】
更に、前記選択手段により選択されたサーバの正当性を認証する認証手段を含み、前記格納制御手段は、当該認証手段により認証されたサーバに対してだけ、前記保存要求されたデータを格納することを特徴とする請求項１〜１１の何れかに記載のデータ保存サービス装置。
【請求項１３】
更に、少なくとも前記格納制御手段によるデータ格納処理に関する格納条件データを、当該保存要求を行ったクライアント端末に通知する通知手段を含むことを特徴とする請求項１〜１２の何れかに記載のデータ保存サービス装置。
【請求項１４】
前記通知手段は、前記格納条件データとして、保存要求に係るデータの格納位置データの他に、暗号化のアルゴリズム、暗号鍵のデータを通知することを特徴とする請求項１３記載のデータ保存サービス装置。
【請求項１５】
前記クライアント端末は、少なくとも前記通知手段により通知された格納条件データを記憶する記憶手段を有することを特徴とする請求項１３又は１４記載のデータ保存サービス装置。
【請求項１６】
データを保存するための複数のサーバとクライアント端末とに、ネットワークを介して接続されたデータ保存サービス装置の制御方法において、
前記データ保存サービス装置が、前記クライアント端末からデータの保存要求を受け付けた場合、当該保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、災害情報に基づいて罹災リスクの最も低いサーバを選択する選択工程と、
前記データ保存サービス装置が、前記選択工程で選択されたサーバに対して、前記保存要求されたデータを格納する格納制御工程と、
を有することを特徴とするデータ保存サービス装置の制御方法。
【請求項１７】
データを保存するための複数のサーバとクライアント端末とにネットワークを介して接続されたコンピュータを、
前記クライアント端末からデータの保存要求を受け付けた場合、当該保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、災害情報に基づいて罹災リスクの最も低いサーバを選択する選択手段、
前記選択手段で選択されたサーバに対して、前記保存要求されたデータを格納する格納制御手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ユーザのデータをインターネット等のネットワーク上のサーバにより保存するサービス技術に関する。
【０００２】
【従来の技術】
従来、電子写真やビデオストリーム等の情報は、広く公開することを目的としない限り、ユーザ側の機器（パソコン等の大容量ハードディスクやＤＶＤ、ＣＤ−Ｒ等）でローカルに保存していた。
【０００３】
【発明が解決しようとする課題】
しかし、従来のように、ローカルに保存した場合、ユーザ側の機器が設置されている場所が火災・地震・台風等の災害により罹災したときに、大事な電子写真やビデオストリーム等の電子情報が失われてしまう虞がある。
【０００４】
そこで、この対策として、本出願人は、ユーザのデータをネットワーク上のサーバに保存するサービスシステムを提案している。このサービスシステムでは、火災・地震・台風等の災害が発生した場合、その災害が発生した地域のユーザのデータを優先的に安全度（対災害）の高いサーバに保存するようにしている。
【０００５】
しかし、上記サービスシステムでは、災害が発生した地域のユーザのデータを優先的に安全度（対災害）の高いサーバに保存する場合、保存要求順に保存処理を行っていた。このため、サービス契約金額が高いユーザ、サービス契約年数が長いユーザ等のサービス加入条件の高いユーザが、時間的に遅れて保存要求を行った場合は、その要求時点では既に安全度の高いサーバが満杯になっており、サービス加入条件の高いユーザが、安全度の低いサーバにしか保存して貰えなくなる、或いはサービスを全く受けられなくなる等の不具合が発生する可能性があった。
【０００６】
この問題を解決するためには、サーバの数を増やすことが考えられるが、サーバの数を増やした場合には、サービス提供者の運用経費が増大し、利益効率が低下してしまう。
【０００７】
本発明は、このような従来技術の問題に鑑みてなされたもので、その課題は、利益効率を低下させることなく、公平なデータ保存サービスを提供できるようにすることにある。
【０００８】
【課題を解決するための手段】
上記課題を解決するため、本発明は、データを保存するための複数のサーバとクライアント端末とに、ネットワークを介して接続されたデータ保存サービス装置において、前記クライアント端末からデータの保存要求を受け付けた場合、当該保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、災害情報に基づいて罹災リスクの最も低いサーバを選択する選択手段と、前記選択手段により選択されたサーバに対して、前記保存要求されたデータを格納する格納制御手段とを有している。
【０００９】
また、本発明は、データを保存するための複数のサーバとクライアント端末とに、ネットワークを介して接続されたデータ保存サービス装置の制御方法において、前記データ保存サービス装置が、前記クライアント端末からデータの保存要求を受け付けた場合、当該保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、災害情報に基づいて罹災リスクの最も低いサーバを選択する選択工程と、前記データ保存サービス装置が、前記選択工程で選択されたサーバに対して、前記保存要求されたデータを格納する格納制御工程とを有している。
【００１０】
また、本発明に係るプログラムは、データを保存するための複数のサーバとクライアント端末とにネットワークを介して接続されたコンピュータを、前記クライアント端末からデータの保存要求を受け付けた場合、当該保存要求を行ったクライアント端末のユーザのサービス加入条件のレベルに対応付けられ且つ当該ユーザの居住地域以外の地域に存在している複数のサーバの中から、災害情報に基づいて罹災リスクの最も低いサーバを選択する選択手段、前記選択手段で選択されたサーバに対して、前記保存要求されたデータを格納する格納制御手段、として機能させるように構成されている。
【００１１】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。
【００１２】
図１は、本発明を適用したユーザデータ保存管理システムの概略構成を示すシステム構成図であり、本システムでは、ユーザのデータをネットワーク上のサーバに保存するサービスを行っている。
【００１３】
図１において、１１はユーザデータ保存管理サービスを提供するアプリケーションサーバ群、１２は上記サービスを享受するためのクライアント端末群、１３は地震・台風等の予報情報を提供する気象データベースであり、これらアプリケーションサーバ群１１、クライアント端末群１２、気象データベース１３は、インターネット等のネットワーク１０を介して接続されている。
【００１４】
アプリケーションサーバ群１１は、ユーザデータ保存管理処理を統括するアプリケーション統括サーバ１１１、ユーザデータを保存するデータサーバ１１２，１１３を有している。なお、図１では、データサーバは２つだけを図示しているが、実際には多数のデータサーバが存在している。
【００１５】
また、クライアント端末群１２は、リモートプリンタ１２１、有線端末１２２、無線端末１２３、ユーザ識別モジュール１２４、デジタルカメラ１２５を含んでいる。リモートプリンタ１２１は、データサーバ１１２，１１３に保存されたユーザのデータをプリントアウトするのに利用される。また、有線端末１２２、及び無線端末１２３は、デジタルカメラ１２５により撮影された画像データをデータサーバ１１２，１１３に保存する際の通信端末として利用される。
【００１６】
なお、リモートプリンタ１２１とデジタルカメラ１２５には、ユーザ識別モジュール１２４を装着することができる。このユーザ識別モジュール１２４としては、本実施形態では、ＩＣカードを使用しており、具体的には、ＩＳＯ７８１６に準拠した端子付スマートカードを使用している。このユーザ識別モジュール１２４には、アプリケーション統括サーバ１１１により保存処理されたユーザデータの保存先を示すアドレス情報（データサーバ１１２，１１３のアドレス）、データサーバ１１２，１１３にユーザデータを暗号化して保存する際に利用された暗号鍵の情報等が、アプリケーション統括サーバ１１１から送信されて格納される。
【００１７】
図２は、上記デジタルカメラ１２５の機能ブロック図である。
【００１８】
図２において、１５０１は撮像部、１５０２は撮像部１５０１にて撮像された画像を電子データ化する画像処理部、１５０３は電子画像データを所望の暗号アルゴリズム・鍵により暗号化並びに復号化する暗号処理部、１５０４は電子画像データを可視画像データに変換する出力制御部である。
【００１９】
また、１５０５はデジタルカメラ１２５の制御を司る制御ＣＰＵ、１５０６は電子データ化された画像データを蓄積・保存する着脱メモリユニット、１５０７はネットワーク端末（１２２，１２３）とのローカルリンクの通信を司る通信インタフェース、１５０８は機器制御プログラムを格納するメモリ、１５０９はユーザ識別モジュール１２４として用いるＩＣカードとの間の通信を司るＩＣカードインタフェース、１５１０は出力制御部１５０４にて変換された可視画像データを表示するディスプレイである。
【００２０】
図３は、上記リモートプリンタ１２１の機能ブロック図である。
【００２１】
図３において、１６０１はスキャナやパーソナルコンピュータ等のローカル機器からの入力データを受付けるローカル入力インタフェース、１６０２は入力された電子画像データを処理に適したフォーマットに変換する画像処理部、１６０３は電子画像データを所望の暗号アルゴリズム・鍵により、暗号化並びに復号化する暗号処理部、１６０４は電子画像データを可視画像データに変換し、プリンタエンジン１６１０をコントロールする出力制御部である。
【００２２】
また、１６０５はリモートプリンタの制御を司る制御ＣＰＵ、１６０６は電子画像データを蓄積・保存する着脱メモリユニット、１６０７はネットワーク１０との通信を司る通信インタフェース、１６０８は機器制御プログラムを格納するメモリ、１６０９はユーザ識別モジュール１２４として用いるＩＣカードとの間の通信を司るＩＣカードインタフェース、１６１０は出力制御部１６０４のコントロールに従い印刷を行うプリンタエンジンである。
【００２３】
図４は、ユーザ識別モジュール１２４としてのＩＣカードの論理階層モデルである。
【００２４】
図４において、１７０１はＩＣカード論理ファイルの構造の最上位階層であるＭＦ（Ｍａｓｔｅｒ  Ｆｉｌｅ）、１７０２は最上位ＤＦ（Ｄｅｄｉｃａｔｅ  Ｆｉｌｅ）に関する情報を格納する要素ファイルとしての最上位ＥＦ（Ｅｌｅｍｅｎｔａｒｙ  Ｆｉｌｅ）である。
【００２５】
また、１７０３，１７０４は前記ＭＦ１７０１の直下に存在する最上位ＤＦであり、本実施形態では、これら最上位のＤＦ（サービス提供者用ＤＦ）１７０３，１７０４には、これらＤＦ１７０３，１７０４を識別するためのアプリケーションＩＤがサービス提供者毎に割当てられている。
【００２６】
上記ＤＦ１７０３，１７０４の下位には、ユーザデータ格納サービスに関わるＤＦ１７０５，１７０６が存在し、これらＤＦ１７０５，１７０６の下位には、本アプリケーションで利用される各種情報（ユーザ認証関連情報、データサーバ情報、アドレス情報、暗号鍵情報等）が格納される各種のファイル１７０７〜１７１２が存在している。なお、ＤＦ１７０５，１７０６以下の階層のファイルには、各サービス提供者が提供するサービスメニュー毎に、アプリケーションＩＤが割当てられている。
【００２７】
次に、サービス享受会員（単にユーザともいう）からユーザデータ保存要求を受付けた際のアプリケーション統括サーバ１１１の処理を、図５〜図６に基づいて説明する。なお、ここでは、サービス享受会員が通信端末１２２，又は１２３を介してデジタルカメラ１２５内の画像データをデータサーバ１１２，又は１１３に保存する例を想定している。
【００２８】
アプリケーション統括サーバ１１１は、まず、会員の要求に従い、通信端末１２２，又は１２３とアプリケーション統括サーバ１１１との間の通信回線を設定する（図５のステップＳ７０１、図６の４０１）。
【００２９】
次に、クライアント端末側（デジタルカメラ１２５）に装着されているユーザ識別モジュール１２４とアプリケーション統括サーバ１１１との間で、クライアント端末操作者が正規会員であるか否かを判定すべく、ユーザ認証処理を行う（図６の４０２，図５のステップＳ７０２）。
【００３０】
ユーザ認証に成功すれば、ユーザ識別モジュール１２４上で認識しているユーザレベル（ユーザのアプリケーションサービス加入条件）とアプリケーション統括サーバ１１１上で認識しているユーザレベルの一致を確認する（図５のステップＳ７０３、図６の４０３，４０４）。
【００３１】
ユーザ認証、ユーザレベル確認の双方に成功した場合には、保存要求に係るユーザデータの転送を受付ける（図５のステップＳ７０４、図６の４０５）。一方、前記の何れかに失敗した場合は、ユーザ識別モジュール１２４に対して失敗原因を通知すると共に、クライアント端末との間の回線を切断した後（図５のステップＳ７１０）、１処理単位を終了する。
【００３２】
保存要求に係るユーザデータの転送を受付けたアプリケーション統括サーバ１１１は、受信したユーザデータを受信バッファ２０（図７参照）に一旦格納し、この受信に係るユーザデータについてチェックサム等により転送エラーの有無を判定する（図５のステップＳ７０５）。その結果、転送エラーが有った場合には、クライアント端末側に保存要求に係るユーザデータの再送を要求し（図５のステップＳ７０７）、ステップＳ７０４に戻って、当該データの再送を待ち受ける。
【００３３】
一方、転送エラーが無かった場合は、データが正常に転送された旨を通知すると共に、通信端末１２２，又は１２３との間の回線を切断した後（図５のステップＳ７０６、図６の４０７）、格納先データサーバの選定処理を行う（図５のステップＳ７０８）。そして、選定したデータサーバ１１２，又は１１３に対するユーザデータの格納処理を行い（図５のステップＳ７０９）、そのデータ格納条件をユーザ識別モジュール１２４に通知して（図５のステップＳ７１１、図６の４０８）、１処理単位を終了する。
【００３４】
図５のステップＳ７１１（図６の４０８）におけるデータ格納条件の通知処理では、選定したデータサーバ１１２，又は１１３（後述の第１、又は第２のデータサーバ）へのユーザデータ格納の結果（成功、失敗）及び、第１、第２のデータサーバの識別情報（ＩＰアドレス等）、ユーザデータ格納時に用いた暗号化アルゴリズム、及び暗号化鍵の情報等のデータ格納条件に関わる各種の情報が、非リアルタイムの通信手段（電子メールへの添付等）を用いて通信端末１２２，１２３経由でユーザ識別モジュール１２４に通知されて格納される。
【００３５】
なお、本実施形態では、アプリケーション統括サーバ１１１と通信端末１２２，又は１２３との間の通信に用いられる通信回線として、接続時間課金方式の通信回線を利用することを想定しているため、データ格納条件に関わる情報を非リアルタイムの通信手段を用いてユーザ識別モジュール１２４に通知すべく、一旦通信回線を切断した後にデータ格納条件を通知するようにしている。
【００３６】
しかし、アプリケーション統括サーバ１１１と通信端末１２２，又は１２３との間の通信回線の切断処理を、データ格納条件の通知処理の後に行ってもよい。この場合には、ユーザ識別モジュール１２４上でのデータ格納条件の変更を、アプリケーション統括サーバ１１１側で迅速に確認できるようになる。特に、通信回線が通信データ量による課金方式である場合は、後述の方式の方が前述の方式よりも利便性が高くなる。
【００３７】
次に、図５のステップＳ７０８における格納先データサーバの選定処理を、図８のフローチャートに基づいて詳細に説明する。
【００３８】
本選定処理では、アプリケーション統括サーバ１１１は、まず、今回アクセスしてきたユーザ（会員）のユーザプロファイルを参照して、当該ユーザの居住地情報等を認識すると共に（図８のステップＳ８０１）。当該ユーザのユーザレベル（契約料金プランや契約継続年数等）を認識する（図８のステップＳ８０２）。
【００３９】
次に、ユーザレベル毎の罹災リスクテーブル（図１１の処理にて、ユーザレベル情報・罹災リスク情報に変更が生じる度に更新される）を参照し（図８のステップＳ８０３）、当該ユーザレベルにおける罹災リスクテーブル上で最も罹災リスクの低いデータサーバを第１のデータ格納サーバとして選定し、当該ユーザレベルにおける罹災リスクテーブル上で、当該ユーザの居住地以外（居住地から十分な物理的な距離が確保される場所）に存在するものの中で、最も罹災リスクの低いデータサーバ（ただし、第１のデータ格納サーバの選定結果と同一になってしまった際には、２番目に罹災リスクの低いデータサーバ）を第２のデータ格納サーバとして選定する（図８のステップＳ８０４）。
【００４０】
そして、選定した各データサーバにデータを格納する際に用いる暗号方式と、暗号鍵を選定する（図８のステップＳ８０５）。
【００４１】
次に、図５のステップＳ７０９におけるデータサーバへのデータ格納処理を、図７、図９、及び図１０に基づいて詳細に説明する。
【００４２】
本格納処理では、アプリケーション統括サーバ１１１は、まず、選定した第１のデータ格納サーバを指定し（図１０の５０１）、この第１のデータ格納サーバの認証を行い（図１０の５０２）、成りすまし等の不正サーバでないことを確認する（図９のステップＳ１００１）。
【００４３】
そして、第１のデータ格納サーバが正当なデータサーバであると確認された場合は、保存要求に係るユーザデータを先のサーバ選定時に選択した当該第１のデータサーバ用の暗号鍵Ａと暗号アルゴリズム（図７の２２）を用いて暗号化した後、当該第１のデータ格納サーバに暗号化済みのデータを転送する（図１０の５０３、図９のステップＳ１００２）。そして、第１のデータ格納サーバからデータ転送確認応答が得られたか否かを判別する（図９のステップＳ１００３、図１０の５０４）。その結果、データ転送確認応答が得られなかった場合は、データ転送に失敗したものとして、ステップＳ１００２に戻り、データを再送する。
【００４４】
一方、データ転送確認応答が得られた場合は、ステップＳ１００４に進む。また、ステップＳ１００１にて、正当なデータサーバと確認出来なかった場合は、不正データサーバ検出処理を行って（ステップＳ１００７）、ステップＳ１００４に進む。なお、この不正データサーバ検出処理については、後で図１７のフローチャートに基づいて詳細に説明する。
【００４５】
ステップＳ１００４では、選定した第２のデータ格納サーバを指定し（図１０の５０５）、この第２のデータ格納サーバの認証を行い（図１０の５０６）、成りすまし等の不正サーバでないことを確認する。
【００４６】
そして、第２のデータ格納サーバが正当なデータサーバであると確認された場合は、保存要求に係るユーザデータを先のサーバ選定時に選択した当該第２のデータサーバ用の暗号鍵Ｂと暗号アルゴリズム（図７の２３）を用いて暗号化した後、当該第２のデータ格納サーバに暗号化済みのデータを転送する（図１０の５０７、図９のステップＳ１００５）。そして、第２のデータ格納サーバからデータ転送確認応答が得られたか否かを判別する（図９のステップＳ１００６、図１０の５０８）。その結果、データ転送確認応答が得られなかった場合は、データ転送に失敗したものとして、ステップＳ１００５に戻り、データを再送する。
【００４７】
一方、データ転送確認応答が得られた場合は、１処理単位を終了する。また、ステップＳ１００４にて、正当なデータサーバと確認出来なかった場合は、不正データサーバ検出処理を行って（ステップＳ１００８）、１処理単位を終了する。なお、この不正データサーバ検出処理については、後で図１７のフローチャートに基づいて詳細に説明する。
【００４８】
以上のような処理により、アプリケーション享受会員にとっては、データ格納場所を指定するための特段の操作を行わなくても、会員の居住地以外の場所、地震・台風等の災害による罹災の可能性が低い場所にあるデータサーバに、所望のユーザデータを保存することができるため、会員宅の罹災や会員の居住地域で発生した災害による物理的ダメージから、大事なユーザデータを保護することが可能となる。
【００４９】
また、ユーザデータ格納アプリケーション提供者にとっては、会員のレベル（加入料金プランや継続契約年数等）をデータサーバ選択の際のパラメータとして加味することにより、ユーザレベルに応じた公平なデータ保存サービスをユーザに提供することが可能となると共に、データサーバの数を増やさなくても、データサーバが満杯になるのを可及的に回避することができ、利益効率の高いデータ保存サービスを提供することが可能となる。
【００５０】
次に、ユーザレベル毎の罹災リスクテーブルの更新処理を、図１１のフローチャートに基づいて説明する。なお、この罹災リスクテーブルの更新処理は、アプリケーション統括サーバ１１１により、定期的に自動的に実行されるものである。
【００５１】
本更新処理では、アプリケーション統括サーバ１１１は、まず、各ユーザについて、ユーザプロファイルを参照してユーザレベル情報の変化の有無を判別すると共に（ステップＳ９０１）、気象データベース１３を参照して罹災リスク情報の変化の有無を判別する（ステップＳ９０２）。その結果、ユーザレベル情報、罹災リスク情報の何れも変化していない場合は、そのまま、１処理単位を終了する。
【００５２】
ユーザレベル情報、罹災リスク情報の少なくとも一方が変化している場合は、その変化した情報に基づいて、ユーザレベル毎の罹災リスクテーブルの情報を更新する（ステップＳ９０３）。そして、そのテーブル更新に応じて格納データサーバを変更する必要があるか否かを判別し（ステップＳ９０４）、格納データサーバを変更する必要がなければ、１処理単位を終了する。
【００５３】
一方、格納データサーバを変更する必要があれば、前述の図８のフローチャートに基づいて、格納データサーバを選定し直す（ステップＳ９０５）。そして、前述の図９のフローチャートに基づいて、選定し直した格納データサーバに対してユーザデータを格納し直す（ステップＳ９０６）。
【００５４】
次に、格納し直しに伴って変化したデータ格納条件を、非リアルタイムの通信手段（電子メールへの添付等）を用いて、通信端末１２２，１２３経由でユーザ識別モジュール１２４に通知することにより格納させて（ステップＳ９０７）、１処理単位を終了する。
【００５５】
このように、データサーバに一旦保存したユーザデータについては、その後、ユーザレベルや罹災リスクが変化したとしても、その変化に応じて自動的に格納データサーバの再選定・再格納処理が行われるので、質の高いサービスを提供することが可能となる。
【００５６】
次に、データサーバ１１２，１１３に保存中のユーザデータ（電子写真情報等）を読み出し、リモートプリンタ１２１で出力する際の通信処理を、図１２のフローチャート、及び図１３のシーケンス図に基づいて説明する。
【００５７】
リモートプリンタ１２１は、本リモートプリンタ１２１に装着されているユーザ識別モジュール１２４から、ユーザデータが格納されているデータサーバに関する各種の情報（アクセスのためのアドレス、利用暗号化鍵、利用暗号化アルゴリズム等）を読み出す（図１３の６０１）。なお、ユーザは、リモートプリンタ１２１を操作することにより、出力したいユーザデータを予め選択しておく（図１２、図１３には記述なし）。
【００５８】
リモートプリンタ１２１は、選択されたユーザデータが格納されているデータサーバ｛ここではデータサーバ１（１１２）｝との間の通信回線を設定する（図１２のステップＳ１４０１、図１３の６０２）。次に、回線接続したデータサーバ１１２とユーザ識別モジュール１２４との間でユーザ認証処理を行う（図１２のステップＳ１４０２、図１３の６０３）。ユーザ認証に失敗した場合は、このまま回線を切断して（図１２のステップＳ１４０６）、ユーザデータ読み出し処理を終了する。
【００５９】
一方、ユーザ認証に成功した場合は、データサーバ１１２からのユーザデータを受け取り（図１２のステップＳ１４０３、図１３の６０４）、チェックサム等により転送エラーの有無を判定する（図１２のステップＳ１４０４、図１３の６０５）。転送エラーが発生していた場合は、当該ユーザデータの再送を要求して（図１２のステップＳ１４０７）、ステップＳ１４０３に戻る。
【００６０】
一方、転送エラーが発生していなかった場合は、利用暗号化鍵、利用暗号化アルゴリズムを用いて転送データを復号する（図１２のステップＳ１４０５）。そして、回線を切断して（図１２のステップＳ１４０６、図１３の６０６，６０７）、ユーザデータの読出し処理を終了する。
【００６１】
次に、保存データの正当性の確認処理を、図１４〜図１７に基づいて説明する。なお、この保存データの正当性の確認処理は、アプリケーション統括サーバ１１１により定期的に実行されるものである。
【００６２】
まず、アプリケーション統括サーバ１１１は、当該アプリケーション統括サーバ１１１内のアプリケーション享受会員情報記憶エリア（図１５の３１）より、今回、データの正当性確認を行う会員のユーザデータ（電子写真情報）が格納されているデータサーバ（第１，第２の格納データサーバ）に関する情報（格納データサーバのアドレス、利用暗号鍵情報等）を読出し、その情報に基づいて、第１の格納データサーバ、第２の格納データサーバについて、サーバ認証処理を行う（図１４のステップＳ１１０１，Ｓ１０３）。
【００６３】
第１の格納データサーバ、第２の格納データサーバの少なくとも一方について、サーバ認証に失敗した場合は、不正データサーバ検出処理を行い（図１４のステップＳ１１０７）、１処理単位を終了する。なお、不正データサーバ検出処理については、図１７に基づいて、後で詳細に説明する。
【００６４】
一方、第１の格納データサーバ、第２の格納データサーバの双方ともサーバ認証に成功した場合は、そのサーバ認証に成功した第１の格納データサーバ、及び第２の格納データサーバ内の暗号化に係るユーザデータを、アプリケーション統括サーバ１１１に取り込む（図１４のステップＳ１１０２，Ｓ１１０４）。
【００６５】
そして、取り込んだ暗号化に係るユーザデータを、対応する暗号鍵、アルゴリズムを用いて復号して（図１４のステップＳ１１０５、図１５の３２，３３）、両方のユーザデータが一致しているか否かを判別する（図１４のステップＳ１１０６）。その結果、両方のユーザデータが一致している場合は、そのまま１処理単位を終了する。一方、一致していない場合は、ユーザデータ改竄検出処理を行って（図１４のステップＳ１１０８）、１処理単位を終了する。
【００６６】
次に、図１４のステップＳ１１０８におけるユーザデータ改竄検出処理を、図１６のフローチャートに基づいて詳細に説明する。
【００６７】
本ユーザデータ改竄検出処理では、アプリケーション統括サーバ１１１は、比較対象のデータサーバ１１２，１１３の双方に対して、当該ユーザ（同一のユーザ）に係るユーザデータ記憶エリアのディスク（メモリ）スキャン（ローカルチェック）を指示する（ステップＳ１２０１）。この指示を受けた各データサーバ１１２，１１３では、ユーザデータ記憶エリアのエラー検出処理を行うと共に、エラー箇所の補正が可能であれば訂正処理を行い、各処理結果をアプリケーション統括サーバ１１１に通知する。
【００６８】
そこで、アプリケーション統括サーバ１１１は、データサーバ１１２，１１３によるエラー補正の有無を判別し（ステップＳ１２０２）、エラー補正がなされていた場合には、再度、図１４の格納データの正当性確認処理を行う（ステップＳ１２０３）。
【００６９】
一方、エラー補正がなされていなかった場合には、ユーザデータの改竄が第３者によりなされたものと判断し、双方のユーザデータの相違箇所情報を、参照可能情報格納エリア３０（図１５の３２）に格納した後、通信端末経由でユーザに通知する（ステップＳ１２０４）。
【００７０】
次に、図１４のステップＳ１１０７における不正データサーバ検出処理を、図１７のフローチャートに基づいて詳細に説明する。
【００７１】
不正データサーバを検出した時点において、データサーバへのユーザデータの書込み処理中であった場合は、クライアントユーザ（会員）との通信回線の設定処理をアプリケーション統括サーバ１１１側が起動する（ステップＳ１３０１，Ｓ１３０２）。そして、アプリケーション統括サーバ１１１は、ユーザ識別モジュール１２４との間でユーザ認証を行い（ステップＳ１３０３）、ユーザ認証に失敗した場合は、クライアントユーザ（会員）との通信回線を切断して（ステップＳ１３０９）、１処理単位を終了する。
【００７２】
一方、ユーザ認証に成功した場合は、図８のフローチャートに基づいて格納データサーバを選定し直す（ステップＳ１３０４）。ただし、ここでの選定処理においては、不正サーバとして検出されたデータサーバの格納データサーバとしての選択優先順位は、下げた状態で選定処理を行う。次に、アプリケーション統括サーバ１１１は、クライアントユーザ（会員）との通信回線を切断し（ステップＳ１３０５）、選定し直したデータサーバへのデータ格納処理を図９のフローチャートに基づいて行い（ステップＳ１３０６）、１処理単位を終了する。
【００７３】
ステップＳ１３０１にて、不正データサーバを検出した時点では、データサーバへの書込処理を行っていなかったと判別された場合は、当該検出されたデータサーバについて、不正サーバとしての検出回数が規定回数以上（１回以上で任意の値に設定可能）であるか否かを判別する（ステップＳ１３０７）。その結果、不正サーバとしての検出回数が規定回数以上でなければ、そのまま１処理単位を終了し、規定回数以上であれば、クライアント端末経由で会員に通知して（ステップＳ１３０８）、１処理単位を終了する。なお、この通知は、本実施形態では、電子メール等の非リアルタイム通信を想定している。
【００７４】
このように、アプリケーション統括サーバ１１１が自律的、定期的にデータサーバ上のユーザデータの正当性をチェックすることにより、アプリケーション享受会員が、データサーバ上に保存している電子写真情報等のユーザデータの正当性（改竄がない等）を確認するための手間を大幅に軽減することが可能となる。
【００７５】
図１８は、本ユーザデータ保存管理システムにおける会員への課金（アプリケーションサービス享受対価の支払）処理を説明するための模式図である。
【００７６】
図１８において、１１１は図１等に示したアプリケーション統括サーバ、１１２．１１３は図１に示したデータサーバである。また、１８０３は本アプリケーションサービスを提供している事業者（以下、サービス提供者という）の取引金融機関の情報サーバ、１８０４は会員（本アプリケーションサービス享受者：以下、ユーザという）の取引金融機関の情報サーバ、１０は図１に示したネットワーク、１８１は金融機関専用ネットワーク（クローズネットワーク）である。
【００７７】
次に、図１９のフローチャートに基づいて、図１８を適宜参照しながら、アプリケーション統括サーバ１１１の会員に対する課金処理を説明する。
【００７８】
会員への課金の決算日（図１８の１８１０）が到来すると、アプリケーション統括サーバ１１１は、課金決算対象のユーザ毎に格納に係るユーザデータの妥当性を、図１４のフローチャートに基づいて確認する（図１８の１８１１、図１９のステップＳ１９０１）。その結果、ユーザデータの妥当性が確認された場合は、課金決算対象のユーザ毎に、今期のデータ保存に対する対価をユーザレベル、データ改竄の有無等の各種条件に基づいて算出する（ステップＳ１９０２）。
【００７９】
一方、ユーザデータの妥当性が確認できなかつた場合は、図８のフローチャートに基づいて格納対象データサーバの再選定処理を行い（ステップＳ１９０３）、図９のフローチャートに基づいて再選定に係るデータサーバへのユーザデータの格納処理を行った後に（ステップＳ１９０４）、課金決算対象のユーザ毎に、今期のデータ保存に対する対価をユーザレベル、データ改竄の有無等の各種条件に基づいて算出する（ステップＳ１９０２）。
【００８０】
次に、前記ユーザ毎に、今期のデータ保存に対する対価と最新のデータ格納サーバの情報（ＩＰアドレス、暗号アルゴリズム、暗号鍵、障害履歴、不服申し立て期限日・方法、等）を、ネットワーク１０を介して、非リアルタイム通信手段（電子メールの添付ファイル等）を用いて通知する（図１８の１８１３、図９のステップＳ１９０５）。なお、前記通知（メール）は、ネットワーク１０に接続された通信端末１２２，１２３にて受信して確認することができる。また、通信端末１２２，１２３にユーザ識別モジュール１２４を装着して、受信に係るメールをユーザ識別モジュール１２４に格納することもできる。
【００８１】
ユーザは、万一、内容（課金額や障害履歴等）に不服がある場合は、通知に係る不服申し立て方法に従って、期限日までにサービス提供者に対して不服を申し立てることができる。そこで、アプリケーション統括サーバ１１１は、不服申し立て期限日が経過する迄に、ユーザからの不服申し立てが有ったか否かを判別する（ステップＳ１９０６）。
【００８２】
その結果、不服申し立てが無ければ、サービス提供者の取引金融機関情報サーバ１８０３に対して、当該ユーザの金融機関の口座より、決済日に指定の金額を引き落とすべき旨を通知して（図１８の１８１２，図１９のステップＳ１９０７）、１処理単位を終了する。一方、不服申し立てがあった場合は、当該ユーザのユーザプロファイル等の再確認処理を行い（ステップＳ１９０８）、ステップＳ１９０６に戻り、再度、ユーザからの不服申し立ての有無を確認する。
【００８３】
課金の決済日には、サービス提供者の取引金融機関情報サーバ１８０３から当該ユーザの取引金融機関情報サーバ１８０４に対して支払金額と支払先口座の指定を行う（図１８の１８２１）。この指定を受付けた当該ユーザの取引金融機関情報サーバ１８０４は、指定の支払額を指定の支払口座に支払うと共に（図１８の１８２２）、当該ユーザに対して、非リアルタイム通信手段（電子メールの添付ファイル等）を用いてサービスの享受対価の支払を終えた旨、及び支払履歴を通知することにより（図１８の１８２３）、支払履歴をユーザ識別モジュール１２４に格納させる。
【００８４】
以上の処理によって、ユーザデータ保存管理システム上で、サービス提供者とユーザとの間での合意が取れた課金処理を実現することが可能となる。また、課金情報、格納データサーバ等の各種情報、取引金融機関からの支払い情報等のユーザ毎の情報をアプリケーション統括サーバ１１１、ユーザ識別モジュール１２４の双方で管理しているので、上記の各種情報をユーザ側からも確認することが可能となり、保存データ等の改竄を確実に検知することが可能となる。
【００８５】
なお、本発明は、上記実施形態に限定されることなく、例えば、電子写真情報以外のテキスト情報、ビデオストリーミング情報（電子動画情報）、音声情報等を保存管理することも可能である。また、ユーザ識別モジュールとしては、ＩＣカード（ＩＳＯ７８１６規定の端子付ＩＣカード）を用いることなく、非接触式のＩＣカードを用いることも可能である。さらに、携帯電話機・携帯情報端末等に、ユーザ識別モジュール自体を一体に組み込み、或いはユーザ識別モジュールと同等の機能を搭載することにより、ユーザ識別モジュールを端末に装着する手間を省くことも可能である。
【００８６】
また、罹災リスクの判定処理については、気象データサーバ１３の地震予知情報、台風情報等を利用して行うだけでなく、損害保険会社等で管理している損害保険（火災保険・地震保険等）の地域毎の料率情報を利用して行うことも可能である。また、銀行間の専用ネットワークシステム（クローズネットワーク）を利用した口座振替処理による課金・決済方式ではなく、汎用ネットワーク（オープンネットワーク）上の暗号通信を通信媒体として用いるデビットカード・クレジットカードシステムによる課金・決済方式を用いることも可能である。
【００８７】
さらに、ユーザ識別モジュール１２４上に、電子現金（金融機関統括サーバの承認無しで価値の移動が可能な電子マネー）アプリケーションが実装されていれば、支払額の通知を受取ったユーザが、アプリケーション統括サーバ１１１に電子現金を汎用ネットワーク（オープンネットワーク）上の暗号通信を通信媒体として用いて送付することにより、前記金融機関サーバを介さずに、直接決済を行うことも可能である。
【００８８】
【発明の効果】
以上説明したように、本発明によれば、少なくともユーザのサービス加入条件のレベルに応じて選択したサーバに対して保存要求に係るデータを格納するようにしているので、利益効率を低下させることなく、公平なデータ保存サービスを提供することが可能となる。
【図面の簡単な説明】
【図１】本発明を適用したユーザデータ保存管理システムの概略構成を示すシステム構成図である。
【図２】クライアント端末としてのデジタルカメラの機能ブロック図である。
【図３】クライアント端末としてのリモートプリンタの機能ブロック図である。
【図４】ユーザ識別モジュールの論理情報の記憶階層モデルを示す概念図である。
【図５】クライアント端末から接続要求（ユーザデータ保存要求）を受けた場合のアプリケーション統括サーバの処理を示すフローチャートである。
【図６】クライアント端末から接続要求（ユーザデータ保存要求）がなされた場合の通信処理を示すシーケンス図である。
【図７】クライアント端末から接続要求（ユーザデータ保存要求）を受けた場合のアプリケーション統括サーバの処理を説明するための概念図である。
【図８】アプリケーション統括サーバによるユーザデータ格納用のデータサーバの選定処理を示すフローチャートである。
【図９】選定に係るデータサーバへのアプリケーション統括サーバによるユーザデータの格納処理を示すフローチャートである。
【図１０】選定に係るデータサーバへのユーザデータの格納処理時の通信処理を示すシーケンス図である。
【図１１】アプリケーション統括サーバによるユーザレベル毎の罹災リスクテーブルの更新処理を示すフローチャートである。
【図１２】リモートプリンタによるデータサーバからのユーザデータのダウンロード処理を示すフローチャートである。
【図１３】データサーバからのユーザデータのダウンロード処理を行う場合の通信処理を示すシーケンス図である。
【図１４】アプリケーション統括サーバによるデータサーバ内のユーザデータの正当性の確認処理を示すフローチャートである。
【図１５】アプリケーション統括サーバによるデータサーバ内のユーザデータの正当性の確認処理を説明するための概念図である。
【図１６】アプリケーション統括サーバによるユーザデータの改竄検出処理を示すフローチャートである。
【図１７】アプリケーション統括サーバによる不正データサーバ検出処理を示すフローチャートである。
【図１８】クローズネットワーク（専用網）を併用した課金処理を説明するための模式図である。
【図１９】アプリケーション統括サーバによる上記課金処理を示すフローチャートである。
【符号の説明】
１０：ネットワーク
１１：アプリケーションサーバ群
１２：クライアント端末群
１３：気象データベースサーバ
１１１：アプリケーション統括サーバ
１１２：第１のデータサーバ
１１３：第２のデータサーバ
１２１：リモートプリンタ
１２２：有線通信端末
１２３：無線通信端末
１２４：ユーザ識別モジュール
１２５：デジタルカメラ
【図１】
0004481529.tif 000002
【図２】
0004481529.tif 000003
【図３】
0004481529.tif 000004
【図４】
0004481529.tif 000005
【図５】
0004481529.tif 000006
【図６】
0004481529.tif 000007
【図７】
0004481529.tif 000008
【図８】
0004481529.tif 000009
【図９】
0004481529.tif 000010
【図１０】
0004481529.tif 000011
【図１１】
0004481529.tif 000012
【図１２】
0004481529.tif 000013
【図１３】
0004481529.tif 000014
【図１４】
0004481529.tif 000015
【図１５】
0004481529.tif 000016
【図１６】
0004481529.tif 000017
【図１７】
0004481529.tif 000018
【図１８】
0004481529.tif 000019
【図１９】
0004481529.tif 000020