JP2007281729A - 情報端末装置、および文字データ表示方法 - Google Patents

Abstract

【課題】情報端末装置から機密データが漏洩することを確実に防止する。
【解決手段】サーバ装置から読み出した文字データを、情報端末装置の表示画面上で選択可能に表示し、文字データが選択されると、文字データの内容を画面に表示する。また、機密データに関しては、操作部（操作ボタンなど）を所定の一連の順序で操作した場合にだけ、機密データを選択可能な状態で画面上に表示する。このとき、操作に伴う画面が表示されることはない。こうすれば、操作部が所定の一連の順序で操作されない限り、表示画面上には機密データが表示されることはないので、第三者は機密データの存在に気が付くことはない。そのため、情報端末装置の内部が解析されて機密データが暴かれることを回避することが可能となり、情報端末装置から機密データが漏洩することなく、機密データを取り扱うことが可能となる。
【選択図】図１

Description

本発明は、通信回線上のサーバ装置との間でデータをやり取り可能な情報端末装置に関し、詳しくは、情報端末装置から機密データが漏洩することを回避する技術に関する。

通信技術やコンピュータ関連技術の進歩を受けて、携帯電話や、ＰＤＡ（Ｐersonal Ｄigital Ａssistance）、ノート型コンピュータなどの情報端末装置の性能向上は目覚ましいものがあり、今日では、一昔前の机上型コンピュータと比べても何ら遜色のない処理能力を有する様になっている。また、これに伴って、情報端末装置にメール機能や、ブラウザ機能、文書作成機能、表計算機能などの種々の機能を搭載するとともに、このような情報端末装置を携帯することで、例えば、出張中や移動中など、時間や場所を選ばずに、これらの機能を使用することが可能となっている。

もっとも情報端末装置は、このような使われ方をする関係上、紛失や盗難によって情報端末装置が第三者の手に渡り、その結果、情報端末装置に保存されていた他人には知られたくない情報が、外部に流出するおそれがある。そこで、機密を要するメールや、データ、文書などの機密データにパスワードを設定しておき、正しいパスワードを入力しなければメールやデータ、文書などを開くことが出来ないようにすることにより、情報端末装置でも機密データを安心して取り扱うことを可能とする技術が提案されている（特許文献１）。

特開２００３−２０９５４４号公報

しかし、提案されている技術では、正しいパスワードを入力しなければ機密データを開くことが出来ないものの、機密データを収納したフォルダやパスワードの入力画面などが表示されるため、機密データが存在していること自体は第三者にも分かってしまう。このため、パスワードが解読されるなどして、最終的には機密データの内容が漏れ出してしまう可能性があるという問題があった。

この発明は、従来の技術における上述した課題に対応してなされたものであり、第三者には機密データの存在自体が分からないようにすることで、情報端末装置でも機密データを安心して取り扱うことが可能な技術の提供を目的とする。

上述した課題の少なくとも一部を解決するために、本発明の情報端末装置は次の構成を採用した。すなわち、
少なくとも文字を含んだデータたる文字データを通信回線上のサーバ装置から読み出して、表示画面上に表示する情報端末装置であって、
前記文字データを前記表示画面上に選択可能に表示するとともに、該文字データが選択された場合には、該選択された文字データの内容を表示する文字データ表示手段と、
前記文字データを選択して前記表示画面上に表示させるために操作される操作部と、
前記操作部になされた操作を検出する操作検出手段と
を備え、
前記文字データ表示手段は、前記操作部が所定の一連の順序で操作された場合には、機密の前記文字データたる機密データを前記表示画面上に表示して選択可能な状態にするとともに、選択された該機密データの内容を該表示画面上に表示する手段であり、
前記操作検出手段は、前記操作部が前記所定の一連の順序で操作される場合には、該操作に伴う画面を前記表示画面上に表示させることなく、該操作部になされた操作を検出する手段であることを要旨とする。

かかる本発明の情報端末装置においては、サーバ装置から読み出した文字データを表示画面上に選択可能に表示しておき、操作部を用いて画面上の文字データを選択することにより、その文字データの内容を表示することが可能となっている。ここで操作部としては、代表的には複数の操作ボタンのようなものとすることができるが、文字データの内容を表示するために操作されるものであれば、これに限られるものではない。例えば、音声を認識して文字データを表示するようなものであっても良いし、画像を認識して文字データを表示するようなものであっても良い。また、操作ボタンとしては、物理的に設けられたボタンである必要もなく、例えば、画面上に仮想的に表示されたボタンであっても構わない。更には、声紋や顔面、指紋などを認識して、これらが登録されている内容に一致しなければ文字データが表示されない場合には、声紋や顔面、指紋などの検出部も、操作部の一態様と把握することが可能である。このように、機密データではない文字データに関しては、選択可能に表示された文字データを選択して表示することが可能であるが、機密データに関しては、操作部を所定の一連の順序で操作した場合にだけ、機密データが表示画面上に表示されて選択可能な状態となる。また、このとき、所定の一連の順序で行われる操作が開始されて、機密データが表示画面上に表示されるまでの間に、操作に伴うような画面が表示されることはない。そして、表示された機密データが選択された場合には、その機密データの内容が表示されるようになっている。

このように本発明の情報端末装置では、操作部が所定の一連の順序で操作されない限り、表示画面上には機密データが表示されることはなく、更に、一連の操作の途中で操作に伴うような画面が表示されることもないので、第三者は機密データの存在に気が付くことはない。一般に、情報端末装置内部のプログラムあるいはデータ構造を解析するためには多大な労力が必要となることから、機密データの存在に気付かない限り、内部が解析されて機密データが暴かれることは考え難い。このため、本発明の情報端末装置によれば、機密の情報が漏洩するおそれが無く、安心して機密データを取り扱うことが可能となる。

尚、サーバ装置から読み出された文字データは、表示画面に表示される前に、あるいは表示後に、情報端末装置内に保存することとしても良いが、情報端末装置内には保存せず、いわゆるＷｅｂメールや掲示板などのように、必要になる度にサーバ装置から読み出して表示するものであっても構わない。

また、従来の技術が有する上述した課題の少なくとも一部を解決するために、本発明の文字データ表示方法は次の構成を採用した。すなわち、
少なくとも文字を含んだデータたる文字データを、通信回線上のサーバ装置から読み出して表示する文字データ表示方法であって、
前記文字データを表示画面上に表示して選択可能な状態とする工程（Ａ）と、
前記文字データを選択して前記表示画面上に表示する際に用いられる操作部に対して行われた操作を検出する工程（Ｂ）と、
前記文字データが選択された場合には、該選択された文字データの内容を前記表示画面上に表示する工程（Ｃ）と
を備え、
前記工程（Ａ）は、前記操作部が所定の一連の順序で操作された場合には、機密の前記文字データたる機密データを、前記表示画面上に表示して選択可能な状態とする工程であり、
前記工程（Ｂ）は、前記操作部が前記所定の一連の順序で操作される場合には、該操作に伴う画面を前記表示画面上に表示させることなく、該操作部になされた操作を検出する工程であることを要旨とする。

かかる本発明の文字データ表示方法においても、上述した本発明の情報端末装置と同様に、機密データに関しては、操作部を所定の一連の順序で操作した場合にだけ、機密データが表示画面上に表示されて選択可能な状態となり、それ以外の場合には、機密データが表示されることはない。また、所定の一連の操作の途中で、操作に伴うような画面が表示されることもない。従って、機密データの存在が第三者に気付かれることが無いので、機密の情報が漏洩することを懸念することなく、安心して機密データを取り扱うことが可能となる。

かかる本発明の文字データ表示方法においては、文字を入力するために用いられる複数の操作ボタンから所定のパスワードが入力されると、表示画面上に機密データを選択可能に表示することとしても良い。そして、パスワードの入力時には、入力に伴う画面を表示画面上に表示することなく、入力されたパスワードを検出することとしてもよい。

パスワードの入力時に、入力に伴う画面が表示されたのでは、隠された機能が存在することが第三者に感づかれてしまい、内部のプログラムやデータ構造が解析されて、機密データの内容が知られてしまうことが起こり得る。これに対して、入力に伴う画面を表示しなければ、こうした危険を未然に回避することが可能となるので好ましい。

また、本発明の文字データ表示方法においては、機密データの内容を、次のようにして保存するようにしても良い。すなわち、予め所定のデータを選択しておき、そのデータに、機密データの内容を埋め込むことにより、選択しておいたデータを装った機密データ（偽装機密データ）を生成する。ここで、選択しておく所定のデータとしては、機密データが文字データであることに鑑みて、画像データや音データなど、文字データ以外の一般的なデータであることが望ましい。尚、「選択したデータを装った状態」とは、選択したデータと同じようにも使用可能であるため、別のデータが含まれていることが分からない状態を言う。例えば、画像データを装った状態とは、通常のアプリケーションプログラムを使用して、画像データと同じように画像を表示させることが可能でありながら、所定の操作によって、埋め込まれたデータを取り出すことが可能な状態を言う。こうして、選択しておいた所定のデータを装った機密データ（偽装機密データ）を生成したら、得られた偽装機密データを保存することとしてもよい。

機密データを、このように所定のデータを装った状態で保存しておけば、第三者には、画像データや音データなどの一般的なデータにしか見えないので、たとえそのデータを見つけられても、機密データの内容が漏洩することはない。

また、上述した本発明の文字データ表示方法においては、以下のようにして、所定のデータを装った状態で、機密データをサーバ装置に送信可能としても良い。すなわち、機密データの内容を所定のデータに埋め込んで、所定のデータを装った偽装機密データを生成した後、生成した偽装機密データを、通信回線を介してサーバ装置に送信するようにしてもよい。

あるいは、サーバ装置から機密データを受信する場合にも、機密データが所定のデータに埋め込まれた偽装機密データの状態で受信した後、埋め込まれた機密データを取り出すようにしても良い。

こうすれば、サーバ装置との間で機密データをやり取りする場合でも、他のデータを装った状態でやり取りすることができるので、たとえ、やり取りの途中で機密データが盗み見された場合でも、埋め込まれた機密データの内容が外部に漏洩するおそれを回避することが可能となる。

また、上述した本発明の文字データ表示方法においては、機密データあるいは機密データの内容を表示中に、操作部が操作されたことを検出した場合には、表示中の機密データあるいは機密データの内容を非表示としてもよい。

こうすれば、機密データあるいは機密データの内容を表示中に第三者に見られそうになった場合でも、操作部を操作することで、直ちに非表示とすることができるので、機密データの存在を感づかれることがない。尚、非表示にする態様としては、表示内容を閉じるのではなく、予め設定しておいた所定の内容に、表示内容を切り換える様にしても良い。こうすれば、予め設定しておく表示内容を適切な内容としておくことで、表示内容を切り換えたことが感づかれる事態を回避することができるので、機密データの存在に、より気付かれ難くすることが可能となる。

また、上述した本発明の文字データ表示方法においては、サーバ装置から読み出した機密データを保存しておき、保存されている機密データの内容を表示画面上に表示した回数が、所定回数に達した場合には、その機密データを消去することとしてもよい。

こうすれば、機密データの表示回数を予め適切な回数に設定しておくことで、いつまでも機密データが保存されている事態を回避することが可能となり、延いては、機密データの内容が漏洩することを、より確実に防止することが可能となる。

また、上述した本発明の文字データ表示方法においては、サーバ装置から読み出した機密データを保存しておくとともに、次のような場合には、保存しておいた機密データを消去することとしても良い。すなわち、先ず、所定条件が成立するとサーバ装置に接続して、保存した機密データの消去の要否を確認する。ここで、サーバ装置に接続するための所定条件としては、種々の条件を設定することが可能であり、例えば、文字データを表示させるために用いられる機器の電源を投入した時、あるいは文字データを表示するための一連の操作を開始するに先立って、サーバ装置に接続することとしても良い。そして、機密データの消去を要する旨の設定が確認された場合には、保存しておいた機密データを消去することとしても良い。

こうすれば、機密データを消去する旨をサーバ装置に設定しておくことで、保存されている機密データを確実に消去することができるので、機密データの内容が漏洩することを回避することが可能となる。

また、上述した本発明の文字データ表示方法は、コンピュータに所定のプログラムを読み込ませて、必要な機能を発揮させることによっても実現可能である。従って、この点に着目すれば、本発明は、コンピュータを用いて各種の機能を発揮させるためのプログラムとして把握することも可能である。すなわち、上述した本発明の文字データ表示方法に対応する本発明のプログラムは、
少なくとも文字を含んだデータたる文字データを、通信回線上のサーバ装置から読み出して表示する方法を、コンピュータを用いて実現するためのプログラムであって、
前記文字データを表示画面上に表示して選択可能な状態とする機能（Ａ）と、
前記文字データを選択して前記表示画面上に表示する際に用いられる操作部に対して行われた操作を検出する機能（Ｂ）と、
前記文字データが選択された場合には、該選択された文字データの内容を前記表示画面上に表示する機能（Ｃ）と
をコンピュータにより実現するとともに、
前記機能（Ａ）は、前記操作部が所定の一連の順序で操作された場合には、機密の前記文字データたる機密データを、前記表示画面上に表示して選択可能な状態とする機能であり、
前記機能（Ｂ）は、前記操作部が前記所定の一連の順序で操作される場合には、該操作に伴う画面を前記表示画面上に表示させることなく、該操作部になされた操作を検出する機能であることを要旨とする。

このようなプログラムをコンピュータに読み込ませて、上述した各種の機能を実現させれば、機密データが漏洩することを確実に防止することができる。その結果、情報端末装置でも、安心して機密データを取り扱うことが可能となる。

以下では、上述した本願発明の内容を明確にするために、次のような順序に従って実施例を説明する。
Ａ．実施例の概要：
Ｂ．情報端末装置の構成：
Ｃ．メール操作の概要：
Ｄ．機密メール受信機能：
Ｅ．機密メール送信機能：
Ｅ−１．一般のメールアドレスに送信する場合：
Ｅ−２．機密アドレスに送信する場合：
Ｆ．機密メール外部保存機能：
Ｇ．機密メール引越し機能：
Ｈ．変形例：
Ｈ−１．第１の変形例：
Ｈ−２．第２の変形例：
Ｈ−３．第３の変形例：
Ｈ−４．第４の変形例：

Ａ．実施例の概要 ：
実施例の詳細な説明に先立って、理解の便宜を図るために、実施例の概要について簡単に説明しておく。図１は、本実施例の情報端末装置を含んだ文字データ表示システムの構成を示した説明図である。図示されているように、本実施例の文字データ表示システムは、インターネット９０などの通信回線に接続されたサーバ装置５０と、インターネット９０に接続可能な各種の情報端末装置などから構成されている。ここで情報端末装置とは、インターネット９０に接続してサーバ装置５０に記憶されているデータを読み出すことが可能な機器であれば、どのような機器であっても良く、例えば、携帯電話１２や、いわゆるＰＤＡ（Ｐersonal Ｄigital Ａssistance）１０、ノート型コンピュータ２０などとすることができる。これら情報端末装置は、無線基地局１４やルータ２２を介してインターネット９０に接続し、サーバ装置５０に記憶されているデータを読み出して、そのデータが文字を含んだデータ（文字データ）であれば、その内容を表示画面上に表示することが可能である。また、文字データは複数存在することが通常であり、情報端末装置の表示画面上に、それら複数の文字データを選択可能な状態で表示して、その中から選択された文字データの内容を表示画面上に表示することが可能となっている。

更に近年では、コンピュータ関連技術の進歩によって情報端末装置の性能も向上したため、情報端末装置にもメール機能や、ブラウザ機能、文書作成機能、表計算機能などの種々の機能が搭載されるようになっており、情報端末装置でも機密データ（第三者には知られたくないデータ）を取り扱う必要が生じている。もっとも、情報端末装置は紛失や盗難によって第三者の手に渡る危険があり、ひとたび第三者の手に渡ってしまうと、たとえパスワードなどを設定したり、暗号化によって機密データを保護していても、パスワードや暗号が解析されて機密データが外部に流出するおそれがある。

こうした点に鑑みて、本実施例の情報端末装置１００には、「文字データ表示モジュール」や、「操作検出モジュール」、「記憶モジュール」などが搭載されている。ここで「モジュール」とは、情報端末装置１００が内部で行う処理を、機能に着目して便宜的に分類したものである。従って「モジュール」は、プログラムの一部として実現することもできるし、あるいは、特定の機能を有する論理回路を用いて実現したり、更には、これらを組合せることによっても実現することが可能である。

情報端末装置１００内の「記憶モジュール」には、サーバ装置５０から読み込まれた複数の文字データが記憶されており、「操作検出モジュール」は、情報端末装置１００に設けられた各種の操作ボタンが操作されたことを検出する。また「文字データ表示モジュール」は、操作ボタンの操作に従って、「記憶モジュール」に記憶されている複数の文字データを読み出して、表示画面１０２上に表示する。

ここで、「記憶モジュール」には、機密に指定されていない標準的な文字データ（標準データ）と、機密に指定されている文字データ（機密データ）とを記憶することが可能となっている。通常の状態では、「文字データ表示モジュール」は、「記憶モジュール」に記憶されている複数の文字データの中から、標準データのみを読み出して表示画面１０２上に表示する。このとき、機密データについては表示されないので、通常の状態では、操作者が機密データの存在に気付くことはない。しかし、情報端末装置１００の操作ボタンが、例えばパスワードが入力される場合のように、所定の一連の順序で操作されると、「操作検出モジュール」がこれを検出して「文字データ表示モジュール」に伝達する。そして、これを受けて「文字データ表示モジュール」は、「記憶モジュール」に記憶されている機密データを読み出して表示画面１０２上に表示することにより、機密データを選択可能な状態とする。また、所定の一連の順序で操作ボタンが操作される間は、ボタン操作に伴う画面が表示画面１０２上に表示されることはない。そして、表示画面１０２上に表示された機密データの中から、何れかの機密データが選択された場合には、選択された機密データの内容を「記憶モジュール」から読み出して、表示画面１０２上に表示する。

尚、表示画面１０２上に機密データを表示するためには、所定の順序で行われる一連のボタン操作が検出されることが必要となる。例えば、表示画面１０２上に表示されたメニューに導かれて各種の機能を順番に選択する場合のように、全体としては一連の順序でボタンが操作されている場合でも、実質的には個々のボタン操作を検出しているのであって、ここで言う「一連のボタン操作」を検出しているわけではない。従って、このような場合は、所定の順序で一連のボタン操作が検出されることはなく、表示画面１０２上に機密データが表示されることはない。

このように本実施例の情報端末装置１００では、パスワードを入力するなど、操作ボタンを所定の一連の順序で操作しないかぎり、表示画面１０２上に機密データが表示されることはなく、また所定の一連の順序でボタンを操作する際にボタン操作に伴うような画面が表示されることもない。従って、情報端末装置１００を紛失あるいは盗難に遭うなどして、情報端末装置１００が第三者の手に渡った場合でも、第三者は機密データの存在に気が付かないので、情報端末装置１００の内部を解析されることがなく、機密データが漏洩することを確実に回避することが可能となる。

尚、図１では、図示の便宜上、標準データと機密データとは、それぞれに設けられた別個の領域に記憶されているものとして表示されているが、標準データと機密データとは、何れであるかが識別可能な状態で記憶されていれば十分であり、必ずしも別個の領域に記憶されていなくても良い。例えば、標準データまたは機密データの何れかの属性を示すデータを、文字データのヘッダ部に設定して識別することにより、標準データと機密データとを１つの領域に混在して記憶しておくことも可能である。

また、説明の便宜上の理由から、図１では、情報端末装置１００内に「記憶モジュール」が設けられており、「文字データ表示モジュール」は「記憶モジュール」に記憶されている文字データを読み出して、表示画面１０２上に表示するものとして説明した。しかし、情報端末装置１００内には「記憶モジュール」が設けられておらず、サーバ装置５０内から文字データを読み出して表示画面１０２上に表示することも可能である。更には、音声を認識するモジュールや、画像を認識するモジュールを搭載している場合には、操作ボタンに加えて、あるいはボタン操作に代えて、これらモジュールに対する操作を検出して、表示画面１０２上に文字データを表示することとしてもよい。以下では、携帯電話を情報端末装置１００として使用した場合を例にとって、本発明の実施例について詳しく説明する。

Ｂ．情報端末装置の構成 ：
図２は、携帯電話を例にとって本実施例の情報端末装置１００の大まかな構成を示したブロック図である。情報端末装置１００には、液晶画面によって構成される表示画面１０２と、電話をかける等の種々の操作を行うための操作ボタン１０４と、通話時に用いられる集音マイク１０６と、通話時あるいは音声データの再生時に用いられるスピーカ１０８と、無線基地局１４（あるいは無線ルータ２２など）と通信するためのアンテナ１１０と、着脱可能なメモリカード１１２など、情報端末装置１００を使用するための種々のディバイスが設けられている。

また、情報端末装置１００の内部には、これらディバイスを駆動するための駆動回路が設けられている。例えば、表示画面１０２はビデオドライバ１２０によって駆動されており、操作ボタン１０４はボタンキードライバ１２４によって駆動され、集音マイク１０６およびスピーカ１０８はサウンドプロセッサ１２６によって駆動されている。また、アンテナ１１０やメモリカード１１２は、それぞれアンテナドライバ１２８、カードドライバ１３０によって駆動されている。本実施例の情報端末装置１００では、これらの各種ドライバは、専用のＬＳＩチップによって構成されている。そして、これら各種ドライバは、論理演算および算術演算を行うＣＰＵ１５０とデータをやり取り可能に接続されている。また、ＣＰＵ１５０には、データを読み出すことはできるが書き込むことはできない不揮発メモリであるＲＯＭ１５２と、データの読み出しも書き込みも可能な不揮発メモリであるＲＡＭ１５４とが接続されており、これらの不揮発メモリには、各種の制御プログラムが記憶されている。ＣＰＵ１５０は、ＲＯＭ１５２あるいはＲＡＭ１５４から制御プログラムを読み出すと、プログラムの実行時に生成されるデータをＲＡＭ１５４に記憶しながら、上述した各種ディバイスの動作を制御することにより、情報端末装置１００全体の動作を制御している。

図３は、ＣＰＵ１５０からアクセスされるメモリ領域の使用状況を、概念的に表した説明図である。周知のようにＲＯＭ１５２およびＲＡＭ１５４にはバイト単位でデータが記憶されており、全てのデータには１バイト毎に「アドレス」と呼ばれる通し番号が付けられている。ＣＰＵ１５０は、アドレス番号を指定することで、ＲＯＭ１５２あるいはＲＡＭ１５４の何れからも自由にデータを読み出すことが可能であり、また、ＲＡＭ１５４に割り当てられているアドレス番号を指定することで、ＲＡＭ１５４にデータを書き込むことが可能となっている。このように、アドレス番号が割り振られたＲＯＭ１５２およびＲＡＭ１５４上の領域は「メモリ領域」と呼ばれており、メモリ領域は、大まかに区分されて使用されている。本実施例のメモリ領域は、「システム領域」、「アプリケーション領域」、「共用データ領域」の大きく３つに区分されている。

このうち、「システム領域」には、いわゆるオペレーティングシステム（ＯＳ）と呼ばれる基本的なプログラムが記憶されている。情報端末装置１００に搭載された各種ディバイスの駆動回路（例えば、ビデオドライバ１２０や、ボタンキードライバ１２４、カードドライバ１３０など）は、オペレーティングシステム（ＯＳ）によって、その動作が制御されている。

「アプリケーション領域」には、情報端末装置１００に組み込まれた各種機能（例えば、メール機能や、ブラウザ機能、文書作成機能、表計算機能など）を実現するための各種アプリケーションプログラムが記憶されている。図３に示した例では、アプリＡ、アプリＢ、アプリＣの３つのアプリケーションプログラムが記憶されている。アプリケーション領域には予め決められたバイト数が割り当てられているが、このバイト数に余裕があれば、新たに別のアプリケーションプログラムを記憶させることで、情報端末装置１００に新たな機能を追加することが可能となっている。尚、アプリケーション領域に割り当てられたバイト数（アプリケーション領域のメモリ容量と呼ばれることがある）は決まっているので、あまりに大きな（バイト数の多い）アプリケーションプログラムを記憶すると、他のアプリケーションプログラムを記憶することができなくなってしまう。そこで、多数のアプリケーションプログラムを組み込むことが可能なように、１つのアプリケーションプログラムが占有可能なメモリ容量に上限値を設けておくことが一般的となっている。

「共用データ領域」には、各種のアプリケーションプログラムで使用するデータが記憶されている。共用データ領域は、オペレーティングシステムや各種のアプリケーションプログラムからもアクセスすることが可能であり、従って、あるアプリケーションプログラムで作成したデータを共用データ領域に保存しておくことで、別のアプリケーションプログラムで利用することも可能となっている。

尚、アプリケーション領域に記憶されている各アプリケーションプログラムは、許容されたメモリ容量の範囲内であれば、専用のデータ領域を確保することも可能である。そして、専用データ領域に記憶されたデータは、そのアプリケーションプログラムのみからしか読み書きすることが出来ないようになっている。従って、各アプリケーションプログラムの専用データ領域に記憶しておけば、他のアプリケーションプログラムやオペレーティングシステムからデータを読み書きすることはおろか、データが存在することすら知られることはない。また、アプリケーションプログラムのプロダクト番号やシリアル番号などを記憶する必要がある場合には、これらのデータは、各アプリケーションプログラムの専用データ領域に記憶される。図３に示した例では、アプリＡというアプリケーションプログラムについては、「アプリＩＤ」というデータと、「機密アドレス」というデータとが専用データ領域に記憶されている。このアプリＩＤおよび機密アドレスというデータの内容については後述する。

図４は、情報端末装置１００に搭載されているアプリケーションプログラムとオペレーティングシステムとの関係を概念的に示した説明図である。前述したようにオペレーティングシステムは、情報端末装置１００に搭載された各種ディバイスを駆動する機能を有しており、アプリケーションプログラムは原則的にはオペレーティングシステムを介して、各種ディバイスを駆動するようになっている。例えば、あるアプリケーションプログラムが表示画面１０２上に図形を表示しようとする場合、その旨をオペレーティングシステムに対して依頼することとして、表示画面１０２を駆動するビデオドライバ１２０の制御は直接的にはオペレーティングシステムが実行するようになっている。このようにすれば、各アプリケーションプログラムは、表示画面１０２などの各種ディバイスを直接駆動する必要がなくなるので、プログラムを簡素なものとすることが可能となり、更に、詳細な仕様の違いを意識することなく各種ディバイスを用いることが可能となる。もっとも、ＲＯＭ１５２やＲＡＭ１５４などのメモリについては、オペレーティングシステムを介してアクセスすることも可能であるが、アプリケーションプログラムから直接アクセスすることも可能となっている。

Ｃ．メール操作の概要 ：
上述した構成を有する本実施例の情報端末装置１００には、携帯電話として通話を行う機能に加えて、メール機能や、ブラウザ機能などの各種機能が搭載されている。また、本実施例の情報端末装置１００では、メール機能の中に機密メール機能が組み込まれており、メールの操作画面から機密メール機能を呼び出すことで、機密データを安心して取り扱うことが可能となっている。以下、この点について詳しく説明する。

図５は、本実施例の情報端末装置１００に電源を投入すると、初めに表示画面１０２に表示される画面（初期画面）の様子を示した説明図である。かかる初期画面は、情報端末装置１００に電源を投入してオペレーティングシステムが起動すると、オペレーティングシステムによって表示される。図示した例では、初期画面には「メール」、「Ｗｅｂ」、「ゲーム」、「音楽」、「データ」、「アプリ」と表示された６つのボタンが表示されており、これらのボタンを選択することで、対応する機能を使用することが可能となっている。

図６は、本実施例の情報端末装置１００に搭載された各種の操作ボタン１０４を示した説明図である。図示されているように、情報端末装置１００の本体部には、上方のほぼ中央位置にカーソルボタン１０４ｄが設けられており、また、カーソルボタン１０４ｄの中央には選択ボタン１０４ｅが設けられている。カーソルボタン１０４ｄを操作することで、表示画面１０２上のカーソルを上下左右に移動させることができ、選択ボタン１０４ｅを押せば、カーソルがある位置の機能を選択することが可能となっている。例えば、図５に示した例では、カーソルが「メール」と表示されたボタン上に存在しているが、カーソルボタン１０４ｄを用いてカーソルを移動させることができる。更に、カーソルを合わせた状態で選択ボタン１０４ｅを押してやれば、カーソルを合わせた位置に表示されている機能を選択することが可能である。

また、カーソルボタン１０４ｄの上側には、３つの機能選択ボタン１０４ａ、１０４ｂ、１０４ｃが設けられている。これらのボタンは、表示画面１０２の下部に機能が表示されている場合に有効となり、対応する位置のボタンを押すことによって、表示されている機能を使用することが可能となる。例えば、図５に示した例では、表示画面１０２の下部には、「アドレス帳」および「各種設定」の２つの機能が表示されており、左側の「アドレス帳」という機能は、左側の機能選択ボタン１０４ａに対応し、右側の「各種設定」という機能は、右側の機能選択ボタン１０４ｃに対応している。従って、この状態で左側の機能選択ボタン１０４ａを押すと「アドレス帳」が選択されて、情報端末装置１００内に記憶されている電話番号やメールアドレスなどの各種情報を表示画面１０２上に表示させたり、表示画面１０２上から電話番号やメールアドレスを選択することが可能となる。また、右側の機能選択ボタン１０４ｃを押した場合には「各種設定」が選択されて、情報端末装置１００に関する各種の設定を行うことができる。尚、図５に示した初期画面では、表示画面１０２の下部の中央には機能が表示されていない。従って、中央の機能選択ボタン１０４ｂは有効になっておらず、この機能選択ボタンを押しても何の変化も生じることはない。

カーソルボタン１０４ｄの左下方および右下方には、それぞれ受話器の図形が表示された通話開始ボタン１０４ｆおよび通話終了ボタン１０４ｇが設けられている。電話の着信中に左側の通話開始ボタン１０４ｆを押せば携帯電話として通話することが可能となり、右側の通話終了ボタン１０４ｇを押せば通話を終了することができる。また、こちらから電話をかける場合には、「１」〜「０」までの入力ボタン１０４ｈを用いて相手の電話番号を入力した後、入力ボタン１０４ｈの上方に設けられた通話開始ボタン１０４ｆを押すことで、相手を呼び出して通話することが可能となる。尚、電話の通話中は、入力ボタン１０４ｈの下方に設けられた集音マイク１０６が有効となり、こちらの話し声を拾って電気信号に変換した後、電波に載せて送信することができる。また、相手の話し声は表示画面１０２の上方に設けられた図示しないスピーカ１０８から音声として再生されるようになっている。

本実施例の情報端末装置１００でメール機能を使用する場合には、図５に示した初期画面の状態で、カーソルボタン１０４ｄを操作して「メール」と表示されたボタンにカーソルを合わせた後、選択ボタン１０４ｅを押してメール機能を選択する。すると、このボタン操作がオペレーティングシステムによって検出されて、アプリケーション領域の中から対応するアプリケーションプログラムが読み出されて実行され、その結果、メールに関連した一連の機能を使用することが可能となる。ここでは、メール機能を実現するために読み出されるアプリケーションプログラムは、図３に示したアプリケーション領域の中のアプリＡであるものとする。尚、本実施例の情報端末装置１００では、メールに関連する一連の機能は、アプリケーション領域に記憶されたアプリケーションプログラムによって実現されるものとして説明するが、メールに関連する機能は標準的に使用される機能であることから、アプリケーションプログラムをシステム領域に記憶しておくことも可能である。

図７は、オペレーティングシステムによってメール機能が呼び出されると実行されるメール関連処理の流れを示したフローチャートである。メール関連処理が開始されると、先ず初めに、メールに関連する各種の機能を選択するためのメニューが表示画面１０２上に表示される（ステップＳ１００）。尚、後述するように、本実施例の情報端末装置１００では、漏洩のおそれの無い状態で機密データを取り扱うことが可能なように、メール機能の中に機密メール機能が組み込まれており、この機密メール機能も表示画面１０２上にメニューを表示するようになっている。そこで、機密メール機能の使用時に表示されるメニューと区別するために、初期画面から「メール」を選択すると初めに表示されるメニュー画面を「標準メール関連メニュー」と呼び、また、機密メール機能の使用時に表示されるメニュー画面を「機密メール関連メニュー」と呼んで区別することにする。

図８は、表示画面１０２上に表示された標準メール関連メニューを例示した説明図である。図８に例示した標準メール関連メニューには、「１」〜「４」までの４つのボタンが表示されており、「１」ボタンには、新たにメールを作成して送信する機能が割り当てられている。また、「２」ボタンには、受信したメールを閲覧する機能が割り当てられており、「３」ボタンには、送信済みのメールを閲覧する機能が、更に「４」ボタンには、メールに関する各種の設定を行う機能が割り当てられている。また、未読のメールが存在する場合には、「２」ボタンの「受信ボックス」という表示の隣に、未読のメール数が表示されるようになっている。図８に示した例では、２通の未読メールが存在する旨が表示されている。そこで、図６を用いて前述したカーソルボタン１０４ｄおよび選択ボタン１０４ｅを操作して、「２」ボタン、すなわち受信ボックスを選択する。すると、表示画面１０２には、受信ボックスに保存されている受信済みのメールの一覧が表示される。

このような一連の動作は、次のようにして実現されている。先ず、ボタン操作がボタンキードライバ１２４およびオペレーティングシステムを介して、実行中のアプリケーションプログラム（ここではメール関連機能を実行するためのアプリＡ）に伝達される。すると、アプリＡは、自らの専用データ領域の中から受信済みのメールデータを検索して、各メールデータのヘッダに記憶されている情報を表示画面１０２に表示する。ヘッダには、メールが既読か否かを示す情報や、メールの送信者、タイトルなどが記憶されている。また、詳細には後述するように、本実施例の情報端末装置１００では、機密メールについては標準のメールとは分けて取り扱うことが可能となっており、メールが機密メールか否かを示す属性も、ヘッダに設定されている。そして、図８に示す「２」ボタン（受信ボックス）が押された場合には、標準メールに関する情報のみを読み出して、表示画面１０２上に表示する。

尚、ここでは、標準メールまたは機密メールの何れであるかは、メールのヘッダに設定された属性によって判断するものとして説明したが、専用データ領域を、標準メールが記憶される領域と、機密メールが記憶される領域とに分離しておき、標準メールの領域に記憶されているデータのみを、表示画面１０２上に表示することとしても良い。こうすれば、メールのヘッダには、そのメールが標準メールまたは機密メールの何れであるかを示す属性を設ける必要がないので、たとえ標準メールのヘッダを解析されたとしても、属性から機密メールの存在に感づかれることを未然に回避することができる。

図９は、受信ボックスに保存されているメールの一覧が、表示画面１０２上に表示された様子を例示した説明図である。図示した例では、表示画面１０２上には６件の受信メールが表示されている。また、表示画面１０２上に表示しきれない受信メールが存在する場合には、カーソルボタン１０４ｄを上方あるいは下方に操作することで、これらのメールを表示させることも可能である。各メールの先頭には、そのメールが既読か未読かを表す封書の図形が表示されている。開封済みの封書の図形は、その受信メールが既読であることを表しており、未開封の封書の図形は、そのメールが未読であることを表している。図８に示した標準メール関連メニューによれば、受信ボックスに２通の未読メールが存在する旨が表示されていることと対応して、図９では、受信ボックス内の２通のメールが未読の状態で表示されている。

また、受信ボックス内を示す表示画面１０２の表示には、既読か未読かを表す封書の図形に続いて、メールの送信者と、メールのタイトルの一部も表示されており、これらの表示内容を確認することで、誰からどのようなメールが届いたかを直ちに知ることができる。そして、図６に示したカーソルボタン１０４ｄを操作して、内容を表示させたいメールにカーソルを合わせた後、選択ボタン１０４ｅを押してメールを選択すると、選択されたメールの内容が専用データ領域内から読み出されて、表示画面１０２上に表示される。このとき、そのメールが未読であれば、既読である旨、ヘッダの内容が書き換えられる。

ここで、図９に示した例では、上から２件目のメールおよび一番下に表示されているメールは、それぞれＡＢ商会およびＢＣ商店から送信されてきた広告のメールとなっている。実際に、これらメールを選択して表示画面１０２にメールの内容を表示させても、一般的な広告の内容が表示される。しかし、このうちのＡＢ商会からのメールは、本当の広告のメールではなく、機密メールが存在することを知らせる連絡用のメール（以下、このようなメールを「連絡メール」と呼ぶ）となっている。情報端末装置１００の正規の操作者は、ＡＢ商会からの広告メールが連絡メールであることを知っているので、機密メールが存在することを直ちに了解することができる。一方、第三者にとっては、ＡＢ商会からの広告メールも、ＢＣ商店からの広告メールも何ら違うところはない。従って、広告メールの中に連絡メールが混じっていることに気付くことはなく、機密メールの存在が第三者に感づかれるおそれはない。

尚、連絡メールの送信者は１つだけに限る必要はなく、予め複数の送信者を決めておき、それら何れかの送信者から広告メールが送られてきた場合には、そのメールは連絡メールであると判断しても良い。こうすれば、特定の送信者からの広告メールが突出して多く表示されて不自然な印象を与えることがないので、機密メールの存在をより確実に隠匿しておくことが可能となる。

図７に示したメール関連処理では、表示画面１０２に標準メール関連メニューを表示した後（ステップＳ１００）、以上のように操作ボタン１０４の操作に従って、表示画面１０２の表示を切り換える処理が行われる。また、このような処理と合わせて、復帰ボタンが押されたか否かが判断される（ステップＳ１０２）。ここで復帰ボタンとは、表示画面１０２の表示を１つ前の状態に復帰させるためのボタンであり、カーソルボタン１０４ｄの左側が復帰ボタンに設定されている。そして、情報端末装置１００の操作者によって復帰ボタンが押されたと判断された場合には（ステップＳ１０２：ｙｅｓ）、表示画面１０２の表示を、１つ前の状態に復帰させる処理が行われる（ステップＳ１０４）。例えば、図９に示したように受信ボックス内のメール一覧が選択可能に表示されている場合であれば、この画面は、前述したように図８に示した標準メール関連メニューで「２」ボタンの受信ボックスを選択することによって表示されるから、復帰ボタンを押すことで、１つ前の状態、すなわち、図８に示した標準メール関連メニューが表示される。同様に、表示画面１０２上に受信メールの内容が表示されているのであれば、復帰ボタンを押すことで、図９に示したように、受信ボックス内の受信メールを選択可能に表示した画面が表示される。

一方、復帰ボタンが押されていないと判断された場合は（ステップＳ１０２：ｎｏ）、予め設定しておいた一連の順序で操作ボタン１０４が操作されたか否かを判断する（ステップＳ１０６）。そして、操作ボタン１０４が、予め設定しておいた一連の順序で操作されたことを検出した場合には（ステップＳ１０６：ｙｅｓ）、後述する機密メール関連メニューを表示画面１０２上に表示する（ステップＳ１０８）。ここで、一連の順序のボタン操作とは、例えば、図６に示した複数の操作ボタン１０４の中で、初めに「＊」ボタンを押し、次いで「５」ボタン、「＃」ボタンを押して、最後に「０」ボタンを押すといったように、予め設定しておいたボタン操作である。そして、この一連の順序でボタンが操作されたことが検出されると、この情報が、ボタンキードライバ１２４およびオペレーティングシステムを介して、実行中のアプリケーションプログラム（ここではメール関連機能を実行するためのアプリＡ）に伝達されて、表示画面１０２上に機密メール関連メニューが表示される。これに対して、予め設定しておいた一連のボタン操作が検出されなかった場合は（ステップＳ１０６：ｎｏ）、図８および図９を用いて前述したように、ボタン操作に従って画面の表示を切り換えながら、これと合わせて、復帰ボタンの操作有無を判断した後（ステップＳ１０２）、再び所定の順序でボタンが操作されたか否かを判断する処理（ステップＳ１０６）を繰り返す。

尚、機密メール関連メニューを表示するための一連のボタン操作は、上述した例のように、「＊５＃０」のようなパスワードを入力するようなボタン操作に限らず、情報端末装置１００に設けられた複数の操作ボタン１０４を一連の順序で操作するのであれば、どのようなものとすることも可能である。例えば、３つの機能選択ボタン１０４ａ、１０４ｂ、１０４ｃの中の無効なボタン操作を含めたり、あるいは、通話開始ボタン１０４ｆと、通話終了ボタン１０４ｇとを同時に押す操作等のように、通常の使用状態では起こり得ないボタン操作を含めて設定することが可能である。

また、一般的には、パスワードなどを入力する場合には画面上にパスワード入力用の画面が表示されるが、本実施例の情報端末装置１００では、予め設定しておいた一連の順序でボタンを操作している間は、表示画面１０２の画面上には何の変化も生じず、一連のボタン操作が正しく行われた場合にだけ、後述する機密メール関連メニューが突然、表示されるようになっている。このようにしておけば、たとえ、第三者が偶然に一連のボタン操作を途中まで行っても、表示画面１０２には何の変化も生じないので、無効なボタン操作と勘違いして、それ以上のボタン操作を継続することはなく、従って、機密メール関連メニューが表示されてしまうことはない。これに対して、一連のボタン操作が開始されると入力用の特別な画面を表示した場合には、偶然に、第三者が一連のボタン操作を開始した結果、特別な画面が表示されてしまうことが起こり得る。その結果、隠された機能の存在に気付かれて内部が解析され、最終的には機密メールの内容が外部に流出する可能性も生じる。本実施例の情報端末装置１００では、予め定めておいた一連の順序でボタンが操作されても、ボタンの操作中は表示画面１０２上に何の変化も生じさせず、一連のボタン操作が正しく行われたことが確認された後に、突然、表示画面１０２の表示を切り換えているために、このようなおそれを未然に回避することが可能となっている。

図１０は、予め設定しておいた一連の順序でボタンが操作された場合にだけ、表示画面１０２に表示される機密メール関連メニューを例示した説明図である。図示した機密メール関連メニューには、「１」〜「６」までの６つのボタンが表示されている。このうち、「１」ボタンには、新たな機密メールを作成して送信する機能が割り当てられている。また、「２」ボタンには、受信済みの機密メールを閲覧する機能が割り当てられており、「３」ボタンには、送信済みの機密メールを閲覧する機能が割り当てられている。これら、「１」から「３」のボタンに割り当てられた各機能は、機密メールを対象としている点を除いては、図８を用いて前述した標準メール関連メニューの「１」から「３」のボタンに割り当てられた機能と同様である。例えば、図１０に示した機密メール関連メニューで、「機密受信ボックス」と表示された「２」ボタンを選択すると、受信済みの機密メールの一覧が、選択可能な状態で表示画面１０２上に表示される。かかる動作は、「２」ボタンが押されたことがボタンキードライバ１２４によって検出され、この情報がオペレーティングシステムを介してアプリケーションプログラム（ここでは、図３に示したアプリＡ）に伝達され、アプリＡが自らの専用データ領域の中に保存されている機密メールを読み出すことによって実現されている。

図１１は、機密受信ボックスに保存されている機密メールの一覧が、表示画面１０２上に表示された様子を例示した説明図である。図９を用いて前述した、標準メール関連メニューの受信ボックスと同様に、各メールの先頭には、その機密メールが既読か未読かを示す封書の図形が表示されており、続いて、機密メールの送信者および機密メールのタイトルが表示されている。

尚、図９では、ＡＢ商会から受け取った広告メールは、機密メールが届いていることを連絡する連絡メールである旨を説明した。そして、情報端末装置１００の正規の操作者は、この連絡メールに基づいて機密メールが届いていることを知ると、予め設定しておいた一連の順序でボタンを操作することにより、図１０に示した機密メール関連メニューを表示させる旨を説明した。しかし、図１１に示すように、機密受信ボックスに記憶されている機密メールは全て既読となっており、新たな機密メールは届いていない。これは、本実施例の情報端末装置１００では、機密メールを受信するためには、標準のメールとは異なり、特別に機密メールを受信するための操作が必要となっているためである。このことと対応して、図１０に示した機密メール関連メニューには、機密メールを受信するための機能が「４」ボタンに割り当てられている。本実施例の情報端末装置１００が、機密メールを受信するための動作については後ほど詳しく説明する。

また、図１１に示したように、機密受信ボックス内の機密メールを一覧的に表示した画面の下方には、「外部保存」と表示されている。これは、図６を用いて前述したように、情報端末装置１００の本体部に設けられた機能選択ボタン１０４ｂを押すことによって、「外部保存」と呼ばれる機能を使用可能なことを示している。この外部保存機能は、機密受信ボックス内の機密メールを、メモリカード１１２などの外部の記憶媒体に保存するために設けられた機能である。メモリカード１１２などの汎用的な記憶媒体に記憶された機密メールは、たとえパスワードなどで保護しておいたとしても、機密メールが存在していることが第三者に容易に分かってしまうので、最終的にはパスワードが解読されて、機密の情報が漏洩するおそれがある。本実施例の情報端末装置１００では、こうした点を考慮して、外部保存機能が設けられており、この機能を用いて保存することにより、機密の情報が漏洩することなく安全に機密メールを保存しておくことが可能となっている。この外部保存機能についても後述する。

更に、機密メール関連メニューからは、「５」ボタンに割り当てられた機密データを引越すための機能など、種々の機能を使用することが可能となっている。これらの機密メール関連の機能は、互いに関連しあっているため、後ほどまとめて説明する。

以上に説明したように、図７に示したメール関連処理では、予め設定しておいた一連の順序でボタンが操作されたことを検出すると（図７のステップＳ１０６：ｙｅｓ）、図１０に示した機密メール関連メニューを表示画面１０２に表示した後（ステップＳ１０８）、前述した標準メールの場合と同様に、操作ボタン１０４の操作に従って画面の表示を切り換えながら、ボタンに割り当てられた機能に従って種々の処理が行われる。また、機密メールの場合でも、前述した標準メールの場合と同様に、このような処理に並行して、復帰ボタンが押されたか否かが判断される（ステップＳ１１０）。そして、復帰ボタンが押されたと判断された場合には（ステップＳ１１０：ｙｅｓ）、表示画面１０２の表示を、１つ前の状態に復帰させる処理が行われる（ステップＳ１１２）。例えば、図１１に示したように機密受信ボックス内の機密メールの一覧が表示されている場合は、図１０に示した機密メール関連メニューが表示される。また、機密メールの内容が表示されているのであれば、図１１に示したように機密受信ボックス内の機密メールを一覧的に示した画面が表示される。

一方、復帰ボタンが押されていないと判断された場合は（ステップＳ１１０：ｎｏ）、パニック操作が行われたか否かを判断する（ステップＳ１１４）。ここで、パニック操作とは、所定の操作ボタン１０４を所定の態様で操作する動作であり、本実施例では、「＊」ボタンを長押し（連続して２秒以上押し続ける動作）する操作が、パニック操作に設定されている。そして、パニック操作が行われていないと判断された場合は（ステップＳ１１４：ｎｏ）、図１０あるいは図１１を用いて前述したように、ボタン操作に従って画面の表示を切り換えながら、これと合わせて、復帰ボタンの操作有無を判断した後（ステップＳ１１０）、再びパニック操作が行われたか否かを判断する処理（ステップＳ１１４）を繰り返す。

これに対して、パニック操作が行われたと判断された場合には（ステップＳ１１４：ｙｅｓ）、直ちにステップＳ１００に戻って、標準メール関連メニューを表示する。すなわち、所定のパニック操作（ここでは、「＊」ボタンの長押し）を行えば、機密メールに関連する操作を行っている最中でも直ちに操作を終了して、表示画面１０２に標準メール関連メニューを表示させることができる。機密メールに関連する画面が表示されていることが第三者に見られると、機密メールの存在に気付かれてしまい、その結果、内部のデータを解析されて機密の情報が外部に漏れてしまうおそれがある。しかし、第三者に見られそうになった場合には、パニック操作を行って直ちに表示画面１０２の表示を切り換えてやれば、機密メールの存在を第三者に気付かれることを回避することが可能となる。

尚、本実施例では、パニック操作が行われた場合には、処理中の操作を終了するものとしているが、表示画面１０２の表示だけを切り換えることとしてもよい。更に、表示する内容も、標準メール関連メニューの代わりに、標準メールの作成中の画面を登録しておき、パニック操作が行われた場合には、この画面を表示することとしても良い。また、表示画面１０２の表示だけを切り換えた場合には、何らかのボタンを操作することで直ちに元の画面に復帰させても良いが、前述した所定の一連の順序でボタンが操作されなければ、元の画面に復帰しないようにしても良い。

更には、パニック操作が行われた場合に限らず、所定時間以上の長い間、何の操作も行われなかった場合にも、表示画面１０２の表示を切り換えるようにしても良い。そして、このような場合には、所定の一連の順序でボタンが操作されなければ、元も画面に復帰しないようにすることが望ましい。機密メールに関する画面が表示された状態で、長い時間、何の操作も行われない事態は、常識的には考え難く、何らかの異常事態が発生していることが疑われる。そこで、このような場合は、所定の一連の順序でボタンが操作されない限り、元の機密メールに関する画面が表示されないようにしておくことで、機密の情報が漏洩することを防止することが可能となる。

以上に説明したように、本実施例の情報端末装置１００では、図５に示した初期画面上で「メール」と表示されたボタンを選択すると、アプリケーション領域から対応するアプリケーションプログラム（ここでは、図３のアプリＡ）が読み出されて、メール機能を使用することが可能となっている。そして、アプリＡが起動すると、図７に示したメール関連処理が開始されて、図８の標準メール関連メニューを表示画面１０２に表示した後、操作ボタン１０４に割り当てられた機能に従って、それぞれの処理が実行される。また、このようにして、標準メールに関連した操作を行っている限りは、機密メールに関連する表示は全く現れず、従って、第三者がメール機能を使用したとしても、機密メールの存在が疑われることはない。もちろん、機密メールが届いた場合には、これを知らせるための連絡メールを受信するが、第三者にとっては、連絡メールは単なる広告メールにしか見えないので、連絡メールが届いても機密メールの存在が疑われることはない。そして、予め定めておいた一連の順序でボタンが操作された場合にだけ、図１０に示した機密メール関連メニューが表示画面１０２上に表示されて、機密メールに関する各種の機能を使用することが可能となっている。以下、機密メールに関する各種の機能について詳しく説明する。

Ｄ．機密メール受信機能 ：
図１２は、機密メールを受信するために行われる機密メール受信処理の流れを示したフローチャートである。かかる処理は、図１０に示した機密メール関連メニュー上で、「機密メール受信」と表示された「４」ボタンを選択すると、アプリＡによって実行される処理である。

情報端末装置１００は、機密メール受信処理を開始すると先ず初めに、アプリＩＤを送信して、インターネット９０上に設けられたサーバ装置５０の機密アドレスに接続する処理を行う（ステップＳ２００）。ここで、アプリＩＤとは、個々のアプリケーションを識別するために用いられる番号（あるいは記号）である。本実施例のメール機能は、アプリＡというアプリケーションプログラムによって実現されているが、同じアプリＡというプログラムは、異なる情報端末装置１００に組み込むことも可能であることから、同じアプリＡであっても、異なる情報端末装置１００に組み込まれた場合には、それぞれ固有のアプリＩＤが設定されている。

このようなアプリＩＤは、情報端末装置１００にアプリケーションプログラムを組み込む際に、情報端末装置１００のユーザによって設定される。もちろん、異なるアプリケーションプログラム間でアプリＩＤが重複しては困るので、情報端末装置１００にアプリケーションプログラムを組み込む際には、インターネット９０上に設けられた管理用のサーバ装置５０に接続してアプリＩＤを登録し、重複の有無が確認されて登録が受け付けられなければ、アプリケーションプログラムを起動できないようになっている。そして、アプリＩＤがサーバ装置５０に登録されると、アプリＡは、自身が管理する専用データ領域にも、登録したアプリＩＤを記憶している（図３を参照のこと）。

また、管理用のサーバ装置５０は、アプリＩＤの登録を受け付けると、サーバ装置５０上に専用のメモリ領域を確保するとともに、アプリＩＤ毎に固有の機密アドレスを発行する。サーバ装置５０によって発行された機密アドレスは、インターネット９０を介して情報端末装置１００に送信され、アプリＡが管理する専用データ領域内に記憶されている（図３を参照のこと）。図１２に示した機密メール受信処理のステップＳ２００では、アプリＡの専用データ領域に記憶されているアプリＩＤおよび機密アドレスを読み出して、インターネット９０上に設けられたサーバ装置５０の機密アドレスに接続する処理を行う。

上述したように、機密アドレスはアプリＩＤ毎に固有のアドレスが発行されているから、正しいアプリＩＤで正しい機密アドレスに接続しない限り、サーバ装置５０側で接続を拒否されてしまう。そこで、情報端末装置１００側では、機密アドレスに接続できたか否かを判断し（ステップＳ２０２）、サーバ装置５０に接続を拒否された場合は（ステップＳ２０２：ｎｏ）、その旨を表示画面１０２に表示した後（ステップＳ２０６）、図１０に示した機密メール関連メニューを表示して（ステップＳ２１２）、機密メール受信処理を一旦終了する。このような場合、情報端末装置１００の操作者は、サーバ装置５０に接続を拒否された理由（例えばアプリＩＤや機密アドレスが変更されていないか否かなど）を確認した後、再び、機密メール関連メニューから「４」ボタンを選択すればよい。

一方、正しいアプリＩＤを用いて正しい機密アドレスに接続していれば、サーバ装置５０から接続された旨のデータが送信されて来た後（ステップＳ２０２：ｙｅｓ）。続いて、送信されてくる機密メールを受信する（ステップＳ２０４）。このとき、サーバ装置５０は、機密アドレス内に保存されている機密メールの中から未送信の機密メールを検索して、機密メールを画像データに偽装した後、インターネット９０を介して情報端末装置１００に機密メールを出力する処理を行う。尚、機密メールを画像データに偽装する処理とは、画像の中に機密メールを分からないように埋め込む処理である。画像データに偽装された機密メールは、ブラウザなどを用いて開いても画像として表示されるだけなので、機密メールが埋め込まれていることに気付かれることはない。サーバ装置５０側で行われる処理については後述する。

尚、以上の説明では、サーバ装置５０内では、アプリＩＤと機密アドレスとが対応付けて記憶されており、正しいアプリＩＤを用いて機密アドレスに接続しなければ、接続が拒否されてしまうものとして説明した。しかし、アプリケーションプログラムが組み込まれている情報端末装置１００を識別するための番号あるいは記号（以下では、装置ＩＤと呼ぶことがあるものとする）と、機密アドレスとを対応付けてサーバ装置５０内に記憶しておき、情報端末装置１００から機密アドレスに接続する際には、アプリＩＤの代わりに装置ＩＤを送信して接続するようにしても良い。

図１３は、情報端末装置１００がサーバ装置５０から機密メールを受け取る様子を概念的に示した説明図である。図中に破線で示した矢印は、情報端末装置１００からアプリＩＤを出力して、インターネット９０上のサーバ装置５０に設けられた機密アドレスに接続している様子を表している。そして、正しく機密アドレスに接続されて、且つ、その機密アドレス上に未送信の機密メールが存在している場合には、機密メールが偽装された状態で、情報端末装置１００に送信される。図中に一点鎖線で示した矢印は、画像に偽装された状態の機密メールが、サーバ装置５０から情報端末装置１００に向かって送信される様子を表している。尚、機密アドレスには、後述する機密メール送信機能を使用することで、ノート型コンピュータ２０や携帯電話などの別の情報端末装置から、予め機密メールを保存しておくことができる。

図１２に示した機密メール受信処理では、偽装された状態の機密メールを受け取ると（ステップＳ２０４）、続いて、この偽装機密メールから機密メールを取り出す処理を行う（ステップＳ２０８）。すなわち、ここでは、機密メールは画像データに偽装されているものとしているから、画像の中から、機密メールとして埋め込まれた文字データを取り出す処理を行う。尚、偽装機密メールから機密メールを取り出す処理は、機密メールを画像データなどに埋め込んで偽装機密メールを生成する処理と裏返しの関係にあることから、偽装機密メールから機密メールを取り出す処理の内容については、機密メールから偽装機密メールを生成する処理と併せて、後ほどまとめて説明する。

偽装機密メールから機密メールを取り出したら、得られた機密メールのヘッダに機密の属性を書き込んだ後、アプリＡが直接管理する専用データ領域に保存する（ステップＳ２１０）。尚、ここでは、ヘッダの書き込まれた属性によって、メールが機密メールか標準メールかを区別するものとしているが、機密メールと標準メールとを区別可能な状態で保存することができるのであれば、ヘッダに属性を書き込む方法に限らず、どのような方法を用いても良い。例えば、専用データ領域を、機密メール用の領域と、標準メール用の領域との分離しておき、何れの領域に保存するかによって、機密メールと標準メールとを区別して保存することとしても良い。

こうしてサーバ装置５０から受け取った機密メールを保存したら（ステップＳ２１０）、表示画面１０２上に、機密メール関連メニューを表示した後（ステップＳ２１２）、図１２に示した機密メール受信処理を終了する。このとき、未読の機密メールが存在している場合は、表示画面１０２上の「機密受信ボックス」という表示の隣の位置に、未読のメール数が表示される。

図１４は、機密メール受信処理から復帰した時点での表示画面１０２の表示を例示した説明図である。機密メール受信処理を行う前の表示画面１０２（図１０を参照）と比較すれば明らかなように、機密メール受信処理を行うことで、機密受信ボックスに１通の未読メールが追加されている。すなわち、図８を用いて前述した標準メール関連メニューでは、特にメールの受信操作を行わなくても勝手にメールが送信されて、その結果が受信ボックスに反映されていたのに対して、図１０の機密メール関連メニューでは、「４」ボタンを押して機密メール受信機能を起動して初めて、サーバ装置５０から機密メールが受信されるようになっている。従って、情報端末装置１００の正規の操作者は、標準メール関連メニューの受信ボックスを開いて連絡メールが届いていることを確認すると、所定の一連の順序でボタンを操作して、図１０に示した機密メール関連メニューを表示させ、表示画面１０２上から機密メール受信機能を起動させることで、サーバ装置５０から機密メールを受信する操作を行う。そして、機密メールの受信後は、機密メール関連メニューから「２」ボタンを選択すると、機密受信ボックス内の機密メールの一覧が表示される。

尚、以上では、機密メールを受信するためには、図１０に示した機密メール関連メニューから「４」ボタンを押す必要があるものとして説明した。しかし、所定の順序でボタンが操作されて、図１０の機密メール関連メニューが表示されると、「４」ボタンが押されなくても自動的にサーバ装置５０に接続して機密メールの有無を確認し、未読の機密メールが存在している場合は、その機密メールを受信するようにしても良い。

図１５は、機密メールの受信後に機密受信ボックス内の機密メールを表示画面１０２上に表示した様子を示している。上述した機密メールの受信操作を行った結果、機密受信ボックス内には、大山部長から送信された未読の機密メールが記憶されている。そこで、カーソルボタン１０４ｄおよび選択ボタン１０４ｅを操作して、この未読の機密メールを選択すると、専用データ領域から機密メールの内容が読み出されて、表示画面１０２上で、その内容を確認することが可能となる。

ここで、サーバ装置５０から情報端末装置１００に向かって、機密メールを偽装した状態で送信する処理について説明しておく。

図１６は、サーバ装置５０が機密アドレス内に記憶されている機密メールを偽装した後、情報端末装置１００に送信する処理の流れを示したフローチャートである。かかる処理は、情報端末装置１００で前述した機密メール受信処理が実行されて、機密アドレスに接続されたことを確認すると、サーバ装置５０によって実行される処理である。

サーバ装置５０は、機密メール偽装送信処理を開始すると、先ず初めに、情報端末装置１００から接続された機密アドレス内に、未送信の機密メールが存在するか否かを判断する（ステップＳ２５０）。ここで、サーバ装置５０の設定が、送信済みの機密メールは機密アドレス内から消去する設定となっている場合であれば、機密アドレス内に記憶されている機密メールは全て未送信であると判断することができる。これに対して、送信済みの機密メールも機密アドレス内に残しておく設定となっている場合は、送信済みか否かをヘッダ部に書き込んだり、あるいは送信済みの機密メールと未送信の機密メールとを別々の領域に記憶するなど、送信済みの機密メールと未送信の機密メールとが、何らかの方法で区別可能な状態で記憶されていればよい。そして、未送信の機密メールが残っていないと判断した場合は（ステップＳ２５０：ｎｏ）、そのまま、機密メール偽装送信処理を終了する。

これに対して、機密アドレス内に未送信の機密メールが存在すると判断した場合は（ステップＳ２５０：ｙｅｓ）、サーバ装置５０は、機密アドレスに対応するアプリＩＤを取得する（ステップＳ２５２）。すなわち、前述したように、メール機能を実現するためのアプリケーションプログラム（アプリＡ）を情報端末装置１００に組み込む際には、アプリケーションプログラム毎に固有のアプリＩＤがサーバ装置５０に登録され、更に、アプリＩＤ毎に専用の機密アドレスが発行される。そして、サーバ装置５０内には、このアプリＩＤと機密アドレスとの対応関係が記憶されている。図１６に示した機密メール偽装送信処理のステップＳ２５２では、情報端末装置１００から接続された機密アドレスに対応付けて記憶されているアプリＩＤを読み出す処理を行う。

次いで、機密アドレスに記憶されていた未送信の機密メールと、取得したアプリＩＤとを、画像データに埋め込む処理を行う（ステップＳ２５４）。図１７は、機密メールとアプリＩＤとを画像データに埋め込むことで、画像に偽装した機密メールを生成する様子を概念的に示した説明図である。サーバ装置５０には、画像データに別のデータを埋め込む処理を行う特別なプログラムが記憶されている。そして、埋め込みに用いる画像データを指定して、機密メールおよびアプリＩＤを埋め込みプログラムに供給すると、機密メールおよびアプリＩＤが画像に埋め込まれて、偽装機密メールが生成されるようになっている。このようにして生成された偽装機密メールは、外見上は画像データとなっており、ブラウザなどの一般的なアプリケーションプログラムを用いてデータを開いてみても、普通の画像が表示されるだけとなっている。

機密メールやアプリＩＤを画像に埋め込む方法としては、種々の方法を適用することができる。例えば、画像データや音データなど、一定のデータ構造を有するデータでは、画像あるいは音として読み出されるデータが記述される領域は予め定められている。そこで、このような領域は元の画像データまたは音データのままとして、他の領域に機密メールやアプリＩＤを書き込むようにしてもよい。こうすれば、ブラウザなどの一般的なアプリケーションからデータを開いても、元のデータの内容が再現されるだけなので、機密メールやアプリＩＤを偽装しておくことが可能である。あるいは、画像データや音データの下位ビットを機密メールのための領域として、この領域に機密メールを保存しても良い。例えば、ＲＧＢ画像データであれば、ＲＧＢの色成分毎に１バイトずつのデータを用いて色を表現しているが、例えば下位側の２ビットに機密メールを保存する。そして、機密メールを取り出す場合には、下位側の２ビットのデータを集めることによって機密メールを復元することができる。このようにして機密メールが埋め込まれた画像データは、下位の２ビットにノイズが混入した画像データのようにしか見えず、データ構造やデータ量からも、元の画像データと何ら変わるところがない。従って、このような方法によれば、機密メールやアプリＩＤを、より気付かれ難い状態で偽装しておくことが可能である。

尚、機密アドレス上に複数の未送信機密メールが存在する場合には、１つの画像データ（あるいは音データ）に１つずつ機密メールを埋め込むこととしても良いが、複数の機密メールをまとめて１つの画像データ（あるいは音データなど）に埋め込むことも可能である。もっとも、あまりに多くの機密メールを埋め込んだのでは、元の画像データ（あるいは音データ）に対してデータ量が大きくなり過ぎて、何か別のデータが埋め込まれていることに気付かれてしまうので、元の画像データ（あるいは音データ）のデータ量に応じて定まる一定のデータ量の範囲内で、機密メールを埋め込むことが望ましい。

こうして画像データに偽装した機密メールを生成したら、得られた偽造機密メールを、インターネット９０を介して情報端末装置１００に送信した後（ステップＳ２５６）、図１６に示した機密メール偽装送信処理を終了する。

サーバ装置５０がこのような処理を行っている間、情報端末装置１００では、図１２に示した機密メール受信処理が行われており、サーバ装置５０から送信されてきた偽装機密メールを受け取ると（図１２のステップＳ２０４）、偽装された機密メールの中から機密メールを取り出す処理が行われる（図１２のステップＳ２０８）。

かかる処理（偽装された機密メールの中から機密メールを取り出す処理）では、機密メールを画像データなどの中に埋め込んで偽装する処理（図１７を参照）と、ちょうど反対の処理が行われる。すなわち、専用のプログラムを使用して、本来のデータが記憶されている領域以外の領域から、機密メールのデータが読み出される。また、このとき、初めにアプリＩＤを読み出して、アプリＩＤが一致している場合にだけ、機密メールを読み出すことができるようになっている。従って、偽装された機密メールが、仮に第三者の手に渡った場合でも、第三者に機密メールが読み出される危険を回避することが可能である。

尚、サーバ装置５０の機密アドレスに複数の未送信機密メールが存在している場合は、サーバ装置５０から情報端末装置１００に向かって、これらの機密メールを一度に送信することができる。従って、サーバ装置５０は、機密メールが届くたびに連絡メールを送信するのではなく、複数の連絡メールを１つの連絡メールにまとめてしまうことも可能である。すなわち、ある機密アドレスに機密メールが届いたので連絡メールを送信した後、その機密メールが読み出される前に、別の機密メールが同じ機密アドレスに届いたものとする。このような場合は、新たに届いた機密メールに対する連絡メールは送信せずに、既に送った連絡メールで代用することも可能である。連絡メールは広告のメールの体裁をとっているため、連絡メールが届いても第三者に機密メールの存在が疑われることはないが、あまりに頻繁に広告のメールが届いたのでは、疑われる可能性も無いではない。従って、複数の連絡メールを１つの連絡メールで代用することができれば、このようなおそれも未然に回避することが可能である。

Ｅ．機密メール作成・送信機能 ：
次に、機密メール関連メニューから、新たな機密メールを作成して送信する機能について説明する。図１４に示されているように、かかる機能は、機密メール関連メニューの画面上で「１」ボタンに割り当てられており、カーソルボタン１０４ｄおよび選択ボタン１０４ｅを操作して、「１」ボタンを選択すると、表示画面１０２の表示は、機密メール作成・送信用の画面に切り換わる。

図１８は、新たな機密メールを作成して送信する際に、表示画面１０２上に表示される画面を例示した説明図である。図示されているように、機密メールの作成・送信画面には、機密メールを送信する宛先を設定する欄と、機密メールの件名を記入する欄と、画像や表計算データなど、機密メールに添付するデータを設定する欄と、機密メールの本文を記入する欄が設けられている。機密メールの作成時には、カーソルボタン１０４ｄを用いて、表示画面１０２上の所望の欄にカーソルを移動させた後、入力ボタン１０４ｈ（図６参照のこと）を操作して文字を入力する。このとき、表示画面１０２の左下隅に設けられた切換ボタンを選択することにより、入力ボタン１０４ｈによる入力形態を「漢字かな」、「アルファベット」、「数字」の順番で、何れかの形態に切り換えることが可能である。また、入力形態を切り換えると、これに応じて表示画面１０２の切換ボタンの表示も、「漢かな」、「ＡＢＣ」、「１２３」という表示に切り換わるようになっている。尚、入力形態を切り換えるための切換ボタンは、表示画面１０２の左下隅に表示されていることから、情報端末装置１００の本体部に設けられた左側の機能選択ボタン１０４ａ（図６を参照のこと）を押すと、切換ボタンが選択されて入力形態が切り換わる。

また、表示画面１０２の下部中央には、「機密アドレス帳」と表示されたボタンが設けられている。表示画面１０２上の宛先の欄にカーソルを移動させた状態で、このボタンを選択すると、機密メールをやり取りするための専用のアドレス帳が読み出されて、表示画面１０２に表示され、その中から登録されている宛先を選択することで、機密メールの宛先を設定可能となっている。この機密メール専用のアドレス帳（機密アドレス帳）は、アプリＡが管理する専用データ領域に記憶されており、他のアプリケーションプログラムやオペレーティングシステムからは、機密アドレス帳の存在自体が分からないようになっている。

以上のようにして機密メールを作成したら、表示画面１０２の右下隅に表示されている送信ボタンを選択する。この送信ボタンは、情報端末装置１００の本体部に設けられた左側の機能選択ボタン１０４ｃを押すことで選択することができる。すると、作成した機密メールが送信された後、送信済みの機密メールは、アプリＡ（メール機能を実現するためのアプリケーションプログラム）が管理している専用データ領域内に保存される。また、このようにして送信された機密メールは、図１０に示した機密メール関連メニューから「３」ボタンを選択して、機密送信ボックスを開くことで表示画面１０２上に表示させることが可能である。

尚、以上の説明では、機密メールを送信するためには、図１０の機密メール関連メニューから「１」ボタンを押して、機密メール作成・送信機能を起動させることにより、初めから機密メールとして作成するものとした。しかし、図８に示した標準メール関連メニューから標準メールとして作成した後、送信時の選択により（あるいは作成前に予め選択しておくことにより）、機密メールに変更して送信する様にしても良い。

図１９は、情報端末装置１００から機密メールを送信する際に実行される機密メール送信処理の流れを示したフローチャートである。かかる処理は、図１８に示した機密メール作成・送信用の画面で機密メールを作成した後、表示画面１０２の右下隅に表示された送信ボタンを選択すると開始される処理である。

情報端末装置１００のアプリＡは、機密メール送信処理を開始すると先ず初めに、作成した機密メールを画像に埋め込んで偽装機密メールを生成する処理を行う（ステップＳ３００）。画像に機密メールを埋め込んで偽装機密メールを生成する処理は、図１７を用いて前述した処理と同様にして行うことができる。尚、画像に機密メールを埋め込むに際しては、アプリＡの専用データ領域に記憶されているアプリＩＤも読み出されて、機密メールとともに埋め込まれる。また、機密メールを埋め込む画像は、予め選択しておくことができる。もちろん、複数の画像を設定しておき、これらの中からランダムに選択した画像に埋め込むようにしてもよい。

次いで、アプリＩＤを送信して、サーバ装置５０上の機密アドレスに接続する（ステップＳ３０２）。このとき接続する機密アドレスは、情報端末装置１００にアプリＡを組み込む際に、サーバ装置５０からアプリＡに対して発行された機密アドレスである。すなわち、機密メール送信処理では、送信しようとする宛先に拘わらず、全ての機密メールが一旦は、アプリＡ自身の機密アドレスに送信されることになる。

続いて、機密アドレスに接続できたか否かを判断し（ステップＳ３０４）、サーバ装置５０に接続を拒否された場合は（ステップＳ３０４：ｎｏ）、その旨を表示画面１０２に表示する（ステップＳ３１０）。そして、作成した機密メールを、未送信の機密メールとして専用データ領域内に保存した後（ステップＳ３１２）、機密メール送信処理を終了する。このようにして保存された未送信の機密メールが存在する場合は、再び図１０の機密メール関連メニューを表示させると、「１」ボタンの「機密メール作成・送信」という表示の隣に、未送信メール数が表示される。

一方、機密アドレスに接続できた場合は（ステップＳ３０４）、偽装した機密メールを、アプリＡ自身の機密アドレスに送信する（ステップＳ３０６）。このとき、宛先のアドレスを、偽装機密メールに付加しておく。そして、偽装メールの送信を完了したら、送信した機密メールを送信済みの機密メールとして専用データ領域に保存した後（ステップＳ３０８）、図１９に示した機密メール送信処理を終了する。このようにして送信された機密データは、図１０の機密メール関連メニューから「３」ボタンを選択して、「機密送信ボックス」を開くことによって、送信済みの機密メールの一覧を表示画面１０２上に表示させることが可能となる。

以上に説明したように、情報端末装置１００から機密メールを作成して送信すると、機密メールの宛先に拘わらず、全ての偽装機密メールは、サーバ装置５０上に設けられたアプリＡ自身の機密アドレスに一旦送信される。サーバ装置５０は、このようにして送信されてきた偽装機密メールを受け取ると、付加されている宛先に応じて機密メールを転送する処理を行う。

図２０は、情報端末装置１００から機密アドレスに送信された偽装機密メールを、付加されている宛先に応じて、サーバ装置５０が転送する処理の流れを示したフローチャートである。機密メール転送処理では、先ず初めに、宛先が付加された偽装機密メールを受信して、機密アドレスに記憶する（ステップＳ３５０）。

次いで、受信した偽装機密メールに付加されている宛先が、機密アドレスか否かを判断する（ステップＳ３５２）。かかる判断は、次のようにして行うことができる。前述したように、情報端末装置１００にアプリＡを組み込む際には、それぞれのアプリケーションプログラム毎に固有のアプリＩＤがサーバ装置５０内に登録されるとともに、アプリＩＤ毎に固有の機密アドレスが発行される。そして、サーバ装置５０内には、アプリＩＤ毎に発行した機密アドレスが記憶されている。従って、偽装機密メールに付加されている宛先が、記憶されている機密アドレスと一致するか否かを調べることによって、その偽装機密メールの宛先が機密アドレスか否かを容易に判断することができる。

そして、宛先が機密アドレスではなかった場合は（ステップＳ３５２：ｎｏ）、アプリＡが搭載されていない別の情報端末装置１００に向かって機密メールを送信しているものと考えられる。何故なら、仮に宛先の情報端末装置１００にアプリＡが組み込まれているのであれば、アプリＡの組み込み時に機密アドレスが発行されて、サーバ装置５０内に記憶されている筈であり、機密アドレスが記憶されていないということは、宛先の情報端末装置１００にはアプリＡが組み込まれていないことを示していると考えられるからである。従って、この場合は、偽装した状態で機密メールを転送しても、受け手側では機密メールを取り出すことができないので、偽装していない状態で機密メールを転送する必要がある。これに対して宛先が機密アドレスであった場合は（ステップＳ３５２：ｙｅｓ）、アプリＡを搭載した別の情報端末装置１００に向かって、機密メールを送信しているものと考えられる。従って、この場合は、偽装した状態のまま機密メールを転送しても、受け手側の情報端末装置１００で機密メールを取り出することが可能である。

サーバ装置５０は、以上のような理由から、宛先が機密アドレスか否かに応じて、機密メールを異なる形態で転送する処理を行っている。以下では、宛先が機密アドレスではない場合（すなわち、一般のメールアドレスに転送する場合）と、宛先が機密アドレスであった場合とに分けて、それぞれの場合について詳しく説明する。

Ｅ−１．一般のメールアドレスに送信する場合 ：
図２１は、情報端末装置１００から一般のメールアドレスに宛てて送信された機密メールを、サーバ装置５０が転送する様子を概念的に示した説明図である。これは、図２０に示した機密メール転送処理のステップＳ３５２において、宛先が機密アドレスではないと判断された場合に行われるステップＳ３５８およびステップＳ３６０の処理を概念的に示したものである。以下では、図２０のフローチャートおよび図２１の概念図を参照しながら説明する。

先ず、情報端末装置１００からサーバ装置５０の機密アドレスに向かって、偽装された状態で機密メールが送信される。図２１に示した破線の矢印は、機密メールが画像に偽装されて送信される様子を表している。サーバ装置５０では、偽装された状態のまま機密メールを機密アドレスに記憶すると、機密メールに付加されている宛先が機密アドレスか否かを判断する（図２０のステップＳ３５２）。ここでは、機密アドレスではない場合（ステップＳ３５２：ｎｏ）を想定しているから、画像に偽装された機密メールの中から機密メールを取り出す処理を行う（図２０のステップＳ３５８）。

前述したように、偽装機密メールの中から機密メールを取り出すためには、機密メールとともに埋め込まれたアプリＩＤが必要となる。しかし、サーバ装置５０は、機密アドレスを発行する際に機密アドレスとアプリＩＤとの対応関係を記憶しているので、この対応関係を参照して対応するアプリＩＤを取得することで、機密メールを取り出すことが可能となる。図２１中のサーバ装置５０内に示された白抜きの矢印は、機密アドレス内の偽装機密メールから機密メールが取り出される様子を表したものである。

次いで、サーバ装置５０では、こうして取り出した機密メールを、宛先のアドレスに向かって標準メールとして転送する（図２０のステップＳ３６０）。すなわち、送信先の情報端末装置１００には、アプリＡは組み込まれていないと考えられるので、一般的なメールと同じ様に受信可能な標準メールとして転送するのである。図２１では、取り出された機密メールが、サーバ装置５０から送信先のノート型コンピュータ２０に向けて標準メールとして転送される様子が、一点鎖線の矢印によって表されている。これに対して、宛先が機密アドレスであった場合は、サーバ装置５０では、次のような処理が行われる。

Ｅ−２．機密アドレスに送信する場合 ：
図２２は、情報端末装置１００から機密アドレスに宛てて送信された機密メールを、サーバ装置５０が転送する様子を概念的に示した説明図である。図示されているように、この場合も、先ず初めに情報端末装置１００からサーバ装置５０に向かって、偽装された状態で機密メールが送信される。送信された偽装機密メールは、送信元のアプリＡに割り当てられた機密アドレスに一旦保存される。図２２に示した破線の矢印は、偽装機密メールが送信元の機密アドレスに送信される様子を表している。

次いで、サーバ装置５０は、偽装機密メールに付加されている宛先が、機密アドレスか否かを判断する（図２０のステップＳ３５２）。ここでは、機密アドレスである場合（ステップＳ３５２：ｙｅｓ）を想定しているから、送信元の機密アドレスに記憶されている偽装機密メールを、偽装された状態のままで、送信先の機密アドレスに転送する処理を行う（図２０のステップＳ３５４）。送信元の機密アドレスも、送信先の機密アドレスも、何れも同じサーバ装置５０に設けられているから、この処理は、サーバ装置５０の内部で偽装機密メールが記憶されている場所を変更するだけの処理となる。

また、偽装機密メールを移し替えることに併せて、送信元のアプリＩＤを偽装機密メールに付加しておく。これは次のような理由によるものである。先ず、本実施例では、偽装機密メールに埋め込まれた機密メールを取り出すためには、機密メールとともに埋め込まれたアプリＩＤが必要であることとしている。また、アプリＩＤは、情報端末装置１００に組み込まれたアプリケーションプログラム毎に異なっている。従って、ある情報端末装置１００で偽装した機密メールを、他の情報端末装置１００で受け取っても、アプリＩＤが異なっているために、埋め込まれた機密メールを取り出すことはできない。そこで、偽装機密メールを生成したアプリＡのアプリＩＤを、その偽装機密メールとともに記憶しておき、サーバ装置５０から偽装機密メールが読み出される際には、アプリＩＤも同時に読み出されるようにしておくのである。こうすれば、情報端末装置１００では、偽装機密メールとともに読み出されたアプリＩＤを使用して、偽装機密メールから機密メールを取り出すことが可能となる。また、機密メールを取り出すために用いた他人のアプリＩＤは、機密メールを取り出すと自動的に削除されるようにしておけばよい。

尚、偽装機密メールにアプリＩＤを付加して記憶しておく代わりに、次のようにしても良い。先ず、送信側の情報端末装置１００で偽装機密メールを生成する際に、機密メールおよびアプリＩＤに加えて、宛先の機密アドレスも埋め込んでおく。そして、偽装機密メールから機密メールを取り出す際には、アプリＩＤまたは機密アドレスが一致していれば、機密メールを取り出せるようにしても良い。

このようにサーバ装置５０は、機密アドレスが宛先に設定されている偽装機密メールを受け取った場合には、機密メールを偽装された状態のままで、宛先の機密アドレスに移し替える処理を行う（図２０のステップＳ３５４）。続いて、宛先の標準アドレスに向けて、連絡メールを送信する（ステップＳ３５６）。ここで連絡メールとは、前述したように、機密メールが届いていることを連絡するメールである。連絡メールは、機密メールとは異なって、情報端末装置１００側で受信操作を行わなくても、情報端末装置１００の標準のメールアドレスに勝手に送信されてくる。連絡メールを送信する標準アドレスは、サーバ装置５０にアプリＩＤを登録する際に、同時に登録するようになっており、サーバ装置５０は、この標準アドレスに連絡メールを送信するのである。図２２では、サーバ装置５０から宛先の標準アドレスに向かって、連絡メールが送信される様子が、二点鎖線の矢印によって表されている。そして、連絡メールを受け取った宛先の情報端末装置１００（図２２中のノート型コンピュータ２０）では、図１０ないし図１３を用いて前述した機密メールの受信操作を行って機密メールを読み込むことにより、機密受信ボックスから機密メールを開いて、その内容を表示画面１０２上に表示させることが可能となる。

以上に説明したように、情報端末装置１００から機密メールを送信する場合には、機密メール関連メニューから「１」ボタンを選択して（図１０参照）、機密メールを作成し、表示画面１０２の右下隅に表示された送信ボタンを選択する（図１８参照）。すると、機密メールは、情報端末装置１００内で偽装機密メールに変換された後、サーバ装置５０に設けられた自分の機密アドレスに送信される。そして、サーバ装置５０側では、宛先が機密アドレスか否かが判断されて、宛先が標準のメールアドレスであれば標準メールとして転送され、宛先が機密アドレスであれば、機密メールの代わりに連絡メールが送信されるようになっている。

Ｆ．機密メール外部保存機能 ：
また、図１１あるいは図１５に示したように、機密受信ボックスを開くと、受信済みの機密メールの一覧が表示画面１０２上に表示され、その下方には、「外部保存」と記されたボタンが表示される。このボタンは「機密メール外部保存機能」を使用するためのボタンであり、情報端末装置１００の本体部に設けられた中央の機能選択ボタン１０４ｂ（図６を参照のこと）を押すことによって選択することができる。また、機密メール外部保存機能とは、次のような機能である。

前述したように、情報端末装置１００に読み込まれた機密メールは、共用データ領域ではなく、アプリケーションが直接管理する専用データ領域に保存される（図３を参照のこと）。前述したように専用データ領域に記憶されているデータは、特別な方法を用いない限り、その専用データ領域を管理しているアプリケーションプログラムからでなければ読み書きすることができず、他のアプリケーションプログラムやオペレーティングシステムからは、読み書きはおろか、データが存在することすら分からないようになっている。

しかし、図３を用いて前述したように、アプリケーション領域内で個々のアプリケーションプログラムが占有し得る最大のメモリ容量には上限値が設けられており、自ずから、専用データ領域に記憶可能な機密メールの数にも限界がある。従って、専用データ領域が一杯になった場合には、保存されているデータを消去するか、若しくは、共用データ領域やメモリカードなどの外部記憶媒体に、データを移し替える必要がある。もっとも、専用データ領域から移し替えたデータは、他のアプリケーションプログラムやオペレーティングシステムからもアクセスすることができるので、そのまま機密メールを移し替えたのでは、機密の情報が漏洩するおそれがある。もちろん、機密メールを移し替える際に、パスワードなどで保護したり、暗号化した状態で保存することも可能であるが、この場合でも、専用データ領域に記憶されている場合とは異なり、機密のデータが存在することは分かってしまう。従って、情報端末装置１００や外部記憶媒体が第三者の手に渡ると、パスワードや暗号が解読されて、機密の情報が漏洩してしまうおそれがある。このような点に鑑みて、本実施例の情報端末装置１００では、機密の情報が漏洩するおそれを生じさせることなく専用データ領域の機密メールを移し替えることを可能とするために、「機密メール外部保存機能」と呼ばれる機能が設けられている。

図２３は、機密メール外部保存機能を使用するときの表示画面１０２を例示した説明図である。機密メール外部保存機能を使用するためには、機密受信ボックスを開いて表示される機密メールの一覧の中から、外部保存しようとする機密メールを選択する。機密メールの選択は、情報端末装置１００の本体部に設けられたカーソルボタン１０４ｄを操作しながら、選択ボタン１０４ｅを押すことによって行うことができる。図２３では、選択された機密メールには、斜線が付されて表示されている。こうして機密メールを選択した後、情報端末装置１００の本体部に設けられた中央の機能選択ボタン１０４ｂを押すと、選択した機密メールを外部保存する処理（機密メール外部保存処理）が開始される。

図２４は、機密メール外部保存処理の流れを示すフローチャートである。かかる処理は、情報端末装置１００上でアプリＡによって実行される処理である。図示されているように、処理を開始すると、先ず初めに、選択されている機密メールを専用データ領域から読み込む処理を行う（ステップＳ４００）。また、このとき複数の機密メールが選択されている場合には、それら全ての機密メールを読み込んでやればよい。次いで、アプリＡは、自分のアプリＩＤを取得する（ステップＳ４０２）。図３を用いて前述したように、自分のアプリＩＤも機密メールと同様に、専用データ領域に記憶されている。

そして、読み込んだ機密メールとアプリＩＤとを、偽装用の画像データに埋め込むことにより、偽装機密メールを生成する（ステップＳ４０４）。偽装機密メールを生成する処理は、図１７を用いて前述した方法と同様であるため、ここでは説明を省略する。

次いで、得られた偽装機密メールを、共用データ領域に保存する（ステップＳ４０６）。偽装機密メールを保存する際には、保存先を変更することで、メモリカード１１２などの外部記憶媒体に保存することも可能である。こうして、偽装した機密メールを保存したら、図２４に示した機密メール外部保存処理を終了する。

以上のような機密メール外部保存機能を用いて、専用データ領域の機密メールを移し替えておけば、機密メールは画像データ（あるいは音データなど）に偽装された状態で保存されているので、他のアプリケーションプログラムやオペレーティングシステムから参照されても、機密メールが埋め込まれていることに気付かれることはない。このため、中身が解析されて機密の情報が漏れてしまうおそれがなく、安心して機密メールを保存しておくことが可能となる。

尚、図２４に示した機密メール外部保存処理では、もっぱら機密メールを画像に埋め込んで外部保存するものとして説明した。しかし、機密メールに限らず、機密アドレス帳などの機密データも外部保存可能としても良い。図２５には、アプリＩＤと、機密メール、機密アドレス帳などの機密データが画像に埋め込まれて、偽装機密データとして外部保存される様子が概念的に表されている。また、複数の機密データ（機密メールや機密アドレス帳など）を埋め込む際には、これら機密データを階層構造に分類したり、あるいは幾つかのグループにまとめ直した後、その階層構造あるいはグループの情報を持たせた状態で、画像に埋め込むようにしても良い。更に、埋め込もうとする機密データのデータ量が、埋め込まれる画像データ（または音データなど）のデータ量に対して多すぎる場合には、自動的に複数の画像データに分割して埋め込んだり、あるいは複数回に分けて外部保存するよう、表示画面１０２上に警告を表示ようにしても良い。

Ｇ．機密データ引越し機能 ：
また、図１０に示したように、機密メール関連メニューの「５」ボタンには、「機密データ引越し機能」が割り当てられている。この機能を使用すれば、ユーザが使用する情報端末装置１００を、新しい情報端末装置１００に変更する際に、古い情報端末装置１００に記憶されている機密データ（機密メールや機密アドレス帳など）を、サーバ装置５０を経由して、そのまま新しい情報端末装置１００に移し替えることが可能となる。以下では、機密データ引越し機能を用いて、情報端末装置１００内の機密データを他の情報端末装置１００に移し替える方法について説明する。

図２６は、情報端末装置１００内の機密データを、他の情報端末装置１００に移し替える際に行われる処理の流れを示すフローチャートである。かかる処理は、図１０に示した機密メール関連メニューから「５」ボタンを選択すると、情報端末装置１００に組み込まれたアプリＡによって実行される処理である。

アプリＡは、機密データ引越し処理を開始すると、専用データ領域に保存されている全ての機密メールおよび機密アドレス帳を読み出す処理を行う（ステップＳ５００）。このとき、機密メールが幾つかのフォルダに分類されて、階層構造を有している場合には、その階層構造の情報も同時に読み出しておく。また、ここでは、専用データ領域の機密データのみを読み出すものとして説明するが、もちろん、共用データ領域に保存されている偽装機密メールも読み出すようにしても良い。

次いで、専用データ領域に記憶されているアプリＩＤを読み出した後（ステップＳ５０２）、先に読み出しておいた機密データをアプリＩＤとともに、自分の機密アドレスに送信する（ステップＳ５０４）。このとき、機密データを偽装した状態で送信することもできるが、機密データ引越し処理では、専用データ領域に記憶されている全機密データが対象であり、データ量が大きくなるので、ここでは、偽装することなく、そのまま送信することとしている。もちろん、偽装した後に送信しても良いし、あるいは圧縮して送信してもよい。

そして、情報端末装置１００内の全ての機密データを送信したか否かを判断する（ステップＳ５０６）。このとき、全機密データを正常に送信できていなかった場合は（ステップＳ５０６：ｎｏ）、再度、送信を試みる（ステップＳ５０４）。一方、全機密データを正常に送信できたことが確認できたら（ステップＳ５０６：ｙｅｓ）、情報端末装置１００内に保存されている全ての機密データを消去した後（ステップＳ５０８）、図２６に示す機密データ引越し処理を終了する。

図２７は、機密データ引越し機能を用いて、古い情報端末装置１００内の機密データを、新しい情報端末装置１００に移し替えている様子を概念的に示した説明図である。前述したように、機密メール関連メニューから「機密データ引越し機能」を選択すると、古い情報端末装置１００内に記憶されているアプリＩＤと、全ての機密データとが、サーバ装置５０の機密アドレスに送信される。図２７に破線で示した矢印は、アプリＩＤおよび全機密データがサーバ装置５０に送信されて、機密アドレス内に保存される様子を表している。次いで、古い情報端末装置１００に記憶されていたアプリＡのアプリＩＤおよび機密アドレスを読み出して、新しい情報端末装置１００に設定する。かかる操作は、ユーザが表示画面１０２上から行うこともできるし、若しくは、古い情報端末装置１００と新しい情報端末装置１００との間で通信を行って、アプリＩＤおよび機密アドレスを移し替える様にしても良い。

こうしてアプリＡのアプリＩＤおよび機密アドレスを設定したら、新しい情報端末装置１００からアプリＩＤを送信して、サーバ装置５０の機密アドレスに接続する。図２７に一点鎖線で示した矢印は、新しい情報端末装置１００からアプリＩＤを送信して、サーバ装置５０の機密アドレスに接続する様子を概念的に表している。こうして送信されるアプリＩＤは、古い情報端末装置１００で用いられていたアプリＩＤであるから、当然、サーバ装置５０の機密アドレスに接続することができる。そして、接続が完了すると、機密アドレス内に保存されている全ての機密データを、新しい情報端末装置１００にダウンロードする。図２７に二点鎖線で示した矢印は、サーバ装置５０の機密アドレスから、全ての機密データがダウンロードされる様子を概念的に表している。

このように、機密メール引越し機能を用いれば、古い情報端末装置１００に記憶されている機密データを、そのまま新しい情報端末装置１００に移し替えることが可能となる。もちろん、古い情報端末装置１００で機密メールをフォルダ等によって分類している場合でも、これらの情報をそのまま、新しい情報端末装置１００に引き継ぐことが可能である。更に、機密メール引越し機能を用いて機密データを移し替える場合は、全ての機密データが機密アドレスに送信されると、古い情報端末装置１００内の機密データは自動に消去されてしまうので、古い情報端末装置１００から機密の情報が漏れ出すおそれもない。

Ｈ．変形例 ：
以上に説明した本実施例の情報端末装置１００には、種々の変形例が存在している。以下では、これら変形例について簡単に説明する。

Ｈ−１．第１の変形例 ：
上述した実施例の情報端末装置１００では、予め定められた一連の順序でボタンを操作しない限り、機密メール関連メニューが表示画面１０２上に表示されることはなく、また、他のアプリケーションプログラムやブラウザからは、機密メールが存在することは分からないようになっている。このため、たとえ情報端末装置１００が第三者の手に渡ってしまった場合でも、記憶されている機密の情報が外部に漏れることがない。しかし、例えば情報端末装置１００を紛失したり盗難にあった場合には、保存されている情報が漏れ出すことは考え難いとは言え、その可能性が全く皆無ではない以上、やはり不安に感じるものである。そこで、情報端末装置１００の起動時には必ずサーバ装置５０に接続し、サーバ装置５０の設定内容を確認してから起動するようにしても良い。こうすれば、情報端末装置１００を紛失または盗難された場合でも、その旨をサーバ装置５０に予め設定しておくことで、保存されている機密の情報が漏れ出すことを確実に回避することが可能である。以下では、このような第１の変形例について説明する。

図２８は、第１の変形例の情報端末装置１００がメール機能を起動する際に実行する処理の流れを示すフローチャートである。かかる処理は、図５に示した初期画面から「メール」を選択すると、アプリケーション領域に記憶されているアプリＡがオペレーティングシステムから読み出されて実行される処理である。

第１の変形例のアプリＡは、メール機能起動処理を開始すると、先ず初めに、専用データ領域に記憶されているアプリＩＤおよび機密アドレスを読み出して、アプリＩＤを送信することにより、サーバ装置５０上の機密アドレスに接続する（ステップＳ６００）。次いで、機密アドレスに接続できたか否かを判断し（ステップＳ６０２）、接続できなかった場合には（ステップＳ６０２：ｎｏ）、メールに関する機能を起動することなく、そのまま図２８のメール機能起動処理を終了する。

一方、機密アドレスに接続できた場合は（ステップＳ６０２：ｙｅｓ）、サーバ装置５０側の設定内容を取得する（ステップＳ６０４）。これは、次のような処理である。先ず、第１の変形例では、メール機能に関する各種の設定を、サーバ装置５０内に予め登録しておくことが可能となっている。こうした各種の設定内容は、情報端末装置１００の標準メール関連メニューあるいは機密メール関連メニューから設定することも可能であるが、アプリＩＤや機密アドレスなどの必要なデータが分かっていれば、異なる情報端末装置１００からも設定することが可能となっている。第１の変形例では、このように機密アドレス毎に登録されている設定内容の中に、機密メール関連機能を強制的に消去する旨の設定が含まれている。図２８のステップＳ６０４では、メールの機能を起動するに先立って、先ずサーバ装置５０の機密アドレスに接続して、これらの設定内容を読み出す処理を行うのである。

そして、読み出した各種設定の中に、機密メール関連機能を消去する旨の命令（消去命令）が含まれているか否かを判断し（ステップＳ６０６）、消去命令が含まれていない場合は（ステップＳ６０６：ｎｏ）、メール関連機能を起動する（ステップＳ６１０）。

ここで、第１の変形例のアプリＡは、次のように大きく３つのモジュールから構成されている。尚、ここで言うモジュールとは、プログラムの中身を機能に着目して便宜的に分類したものである。図２９は、第１の変形例におけるアプリＡの大まかなモジュール構成を示した説明図である。図示されているように、第１の変形例のアプリＡは、「起動関連モジュール」、「標準メール関連モジュール」、「機密メール関連モジュール」の大きく３つのモジュールから構成されている。このうちの起動関連モジュールは、初期画面上で「メール」機能が選択されると初めに読み込まれて実行されるモジュールであり、図２８に示したメール機能起動処理も、起動関連モジュール内のプログラムによって実行されている。

「標準メール関連モジュール」は、図７ないし図９を用いて前述したような、標準メールを使用するための各種機能を実現するモジュールである。また、「機密メール関連モジュール」は、図１０以降に説明した機密メールに関する各種機能を実現するためのモジュールである。尚、標準メールおよび機密メールの何れにおいても使用される共通的な機能のプログラムは、標準メール関連モジュールに含まれており、機密メール関連モジュールには、機密メールを使用するための専用プログラムだけが含まれている。

また、図２９には、各モジュールからアクセス可能な専用データ領域の範囲も示されている。図示されているように、標準メールや標準アドレス帳などのデータには、標準メール関連モジュールからのみアクセス可能となっており、機密メールや機密アドレス帳などの機密データには、機密メール関連モジュールからのみアクセス可能となっている。尚、アプリＩＤや機密アドレスについては、起動関連モジュールおよび機密メール関連モジュールからのみアクセスすることが可能となっている。

第１の変形例の情報端末装置１００では、メール機能の起動時に、サーバ装置５０から読み出した各種設定の中に消去命令が含まれていなかった場合は（ステップＳ６０６：ｎｏ）、図２８のステップＳ６１０において、「標準メール関連モジュール」および「機密メール関連モジュール」の何れのモジュールも読み出して、メール関連機能を起動させる処理を行う。

一方、サーバ装置５０から読み込んだ設定の中に消去命令が含まれていると判断された場合は（ステップＳ６０６：ｙｅｓ）、アプリケーション領域から「機密メール関連モジュール」を消去してしまう（ステップＳ６０８）。このとき、機密メール関連モジュールのみを消去しても良いが、機密データも同時に消去することとしても良い。

次いで、メール関連機能を起動する（ステップＳ６１０）。既に、機密メール関連モジュールは消去されているため、標準メール関連モジュールのみが読み出されて、メール関連機能が起動する。尚、前述したように、機密メール関連モジュールには、機密メールを取り扱うためだけに使用するプログラムだけが含まれており、標準メールおよび機密メールの何れにおいても使用されるプログラムは、標準メール関連モジュールに含まれているので、標準メール関連モジュールを読み込んでおけば、標準メールに関する機能は全機能を正常に起動させることが可能となっている。

こうしてメール関連機能を起動させたら（ステップＳ６１０）、表示画面１０２上に標準メール関連メニュー（図８参照）を表示した後（ステップＳ６１２）、図２８のメール機能起動処理を終了する。

以上に説明した第１の変形例では、たとえ情報端末装置１００を紛失したり、あるいは情報端末装置１００が盗難に遭った場合でも、別の情報端末装置１００からサーバ装置５０の機密アドレスに接続して、消去命令を設定しておくことで、情報端末装置１００内の機密の情報が漏洩することを確実に防ぐことが可能となる。

図３０は、第１の変形例によれば機密の情報が漏洩することを確実に回避可能な理由を示した説明図である。情報端末装置１００を紛失あるいは盗まれた場合、別の情報端末装置１００（図ではノート型コンピュータ２０）からサーバ装置５０の機密アドレスに接続して、消去命令を設定しておく。前述したように、アプリＩＤや機密アドレスが分かっていれば、別の情報端末装置１００からもサーバ装置５０に接続して、機密アドレスに消去命令を設定しておくことが可能である。図３０では、このようにして消去命令を設定する様子が、破線の矢印で表されている。

その後、情報端末装置１００を拾った（あるいは盗んだ）第三者が、初期画面からメール機能を起動させようとすると、自動的にサーバ装置５０に接続されて機密アドレス内の設定内容が読み込まれる。図３０中に示した一点鎖線の矢印は、情報端末装置１００がサーバ装置５０に接続する様子を表しており、二点鎖線の矢印は、サーバ装置５０内の設定内容を読み込む様子を表している。こうして読み込まれた設定内容には消去命令が含まれているので、情報端末装置１００内のアプリＡから機密メール関連モジュールが消去されてしまう。従って、それ以降は、メール機能を起動させても機密メールに関する機能は全く使用できなくなってしまうので、機密の情報が漏洩することを確実に回避することができる。もちろん、機密メール関連モジュールと同時に機密データも消去しておけば、機密の情報が漏洩する可能性を皆無にすることができる。これに対して、機密データは残しておけば、万が一、情報端末装置１００が戻ってきた場合には、機密メール関連モジュールを組み込むことで、内部に記憶されている機密データを再び読み出すことが可能となる。

尚、上述した第１の変形例では、サーバ装置５０に消去命令が設定された場合には、情報端末装置１００内の機密メール関連モジュールを消去するものとして説明した。しかし、消去命令の代わりに、メール機能を標準メール関連機能に制限する旨を、サーバ装置５０に設定しておき、かかる設定がされていた場合には、機密メール関連モジュールは読み込まないようにしても良い。このような場合でも、機密メール関連の機能は全く起動しなくなるので、情報端末装置１００内から機密の情報が漏洩することを確実に回避することが可能となる。

また、上述した第１の変形例では、情報端末装置１００からサーバ装置５０に接続して設定内容を確認するのは、初期画面からメール機能を起動させる時であるものとして説明した。しかし、これに限らず、情報端末装置１００に電源が投入された場合には、サーバ装置５０の設定内容を確認するようにしても良い。

Ｈ−２．第２の変形例 ：
以上に説明した実施例では、受信した機密メールは専用データ領域内に記憶されており、機密受信ボックスを開いて機密メールを選択することで、何度でも機密メールの内容を表示画面１０２上で確認可能であるものとして説明した。しかし、機密メールの作成時に、読み出して表示可能な回数に関する属性を付しておき、受信後、表示画面１０２に内容を表示した回数が、表示可能な回数に達した場合には、機密メールを消去するようにしても良い。

図３１は、第２の変形例の情報端末装置１００が、選択された機密メールを読み出して画面上に表示した後、保存する処理（機密メール読出・保存処理）の流れを示したフローチャートである。かかる処理は、図１０に示した機密メール関連メニューから機密受信ボックスを開いて機密メールを選択すると、アプリＡによって開始される処理である。

機密メール読出・保存処理では、先ず初めに、機密受信ボックス内で選択された機密メールを検出して、選択された機密メールの内容を表示画面１０２上に表示する（ステップＳ７００）。次いで、復帰ボタンが押されたか否かを判断する（ステップＳ７０２）。前述したように、復帰ボタンとは表示画面１０２の表示を１つ前の状態に復帰させるためのボタンであり、カーソルボタン１０４ｄの左側が復帰ボタンに割り当てられている。機密メールの内容を表示する画面は、機密受信ボックスの内容を一覧的に表示する画面から、機密メールを選択することによって表示されているから、機密メールの内容が表示されている状態で復帰ボタンが押されたのであれば（ステップＳ７０２：ｙｅｓ）、機密メールの表示を閉じる旨が指示されたものと考えることができる。これに対して、復帰ボタンが押されていなければ（ステップＳ７０２：ｎｏ）、そのまま、機密メールの表示を続けておけばよい。

そして、復帰ボタンが押されたことが確認されたら（ステップＳ７０２：ｙｅｓ）、直ちに画面の表示を切り換えることはせずに、表示されている機密メールの属性を取得する（ステップＳ７０４）。第２の変形例では、機密メールを作成する際に、機密メールの属性として、内容の表示回数を制限するか否か、および制限する場合には表示可能な回数を、ヘッダ部に書き込むようになっている。ステップＳ７０４では、表示画面１０２に表示された機密メールのヘッダ部から、機密メールの属性を読み出す処理を行う。

次いで、その機密メールに、表示回数の制限が設定されているか否かを判断する（ステップＳ７０６）。既に、機密メールの属性は読み出してあるので、回数制限が設定されているか否かは直ちに判断することができる。そして、回数制限が設定されていない場合は（ステップＳ７０６：ｎｏ）、表示画面１０２の表示を、機密受信ボックス内に記憶されている機密メールの一覧画面に切り換えて（ステップＳ７１４）、図３１の機密メール読出・保存処理を終了する。

これに対して、機密メールに表示回数の制限が設定されている場合は（ステップＳ７０６：ｙｅｓ）、その機密メールのヘッダ部に設定されている表示可能回数を１つ少ない回数に更新した後（ステップＳ７０８）、表示可能回数が残っているか否か、すなわち、表示可能回数が０になったか否かを判断する（ステップＳ７１０）。そして、表示可能回数が残っている場合は（ステップＳ７１０：ｙｅｓ）、表示画面１０２の表示を、機密受信ボックス内に記憶されている機密メールの一覧画面に切り換える（ステップＳ７１４）。

一方、表示可能回数が残っていないと判断された場合は（ステップＳ７１０：ｎｏ）、表示画面１０２上に表示されていた機密メールを、専用データ領域から消去した後（ステップＳ７１２）、画面の表示を、機密受信ボックス内に記憶されている機密メールの一覧画面に切り換える（ステップＳ７１４）。この段階では、画面に表示されていた機密メールは既に専用データ領域から消去されているので、機密受信ボックス内の機密メールの一覧を表示しても、消去された機密メールが表示されることはない。

以上に説明した第２の変形例では、機密メールに含まれる機密の程度に応じて表示可能回数を設定しておくことで、機密の情報が漏洩することを確実に回避することが可能となる。例えば、極めて機密度の高い内容を含んだ機密メールであっても、表示可能回数を１回に設定しておけば、機密メールの内容を表示画面１０２に表示して１回確認しただけで、その機密メールは消去されてしまうので、機密の情報が漏洩するおそれはない。もちろん、機密の程度が低いほど多めの表示可能回数を設定しておくことで、適切に機密の情報を保護することができる。

尚、上述した第２の変形例では、機密メールの属性として、表示回数の制限の有無および表示可能回数を設定されており、この属性に応じて、機密メールの表示および保存を行うものとして説明した。しかし、機密メールの属性は、このようなものに限らず、例えば、機密メールの転送の可否や、前述した外部保存の可否などに関する属性を設定しておくこととしてもよい。そして、機密の程度の高い内容を含んだ機密メールについては、転送や外部保存を不可に設定しておけば、機密の情報が漏洩することを、より確実に回避することが可能となる。また、表示可能回数による制限の代わりに、表示可能な時間（例えば、機密メール送信より２４時間以内）や表示可能な時期（例えば、現在の決算期の期間内）などを予め設定しておき、これらによって制限することも可能である。

更には、連絡メールの送信に関する属性を設定可能としてもよい。例えば、緊急性を要しないが機密性の高い機密メールについては、連絡メールを送信しない旨の属性を設定しておくことで、機密メールへの足掛かりを完全に無くすことができるので、機密メールの存在が第三者には全く分からないようにすることが可能となる。あるいは連絡メールを送信する時間帯を設定しておけば、不用意に連絡メールが送信されたために、第三者に機密メールの存在を気付かれる可能性も排除することが可能となる。

Ｈ−３．第３の変形例 ：
また、上述した各種実施例では、機密メールは標準メールとは異なり、情報端末装置１００側で受信動作を行わなければ、サーバ装置５０から送信されてくることはないものとして説明した。しかし、機密メールについても標準メールと同様に、受信動作を行わなくても、サーバ装置５０から自動的に送信されるものとすることも可能である。すなわち、標準メールが送信されてきた場合は、情報端末装置１００では、標準メール関連メニューの受信ボックスに反映させ、機密メールが送信されてきた場合には、機密メール関連メニューの機密受信ボックスに反映させる。もっとも、機密メール関連メニューは、予め設定しておいた一連の順序でボタンが操作されなければ表示されないので、機密受信ボックスに未読の機密メールが届いても、直ちに気が付くことは出来ない。そこで、第３の変形例においては、サーバ装置５０から情報端末装置１００に向けて機密メールを送信する際に、連絡メールも同時に送信しておく。前述したように連絡メールは標準メール関連メニューの受信ボックスに反映されるので、届いた連絡メールを直ぐに確認して、機密メールが届いたことを知ることができる。

Ｈ−４．第４の変形例 ：
また、上述した各種の実施例では、何れの情報端末装置１００でも、サーバ装置５０から読み込まれた機密メールは情報端末装置１００内に保存され、機密メールの内容を１０２に表示する際には、情報端末装置１００内に保存されている機密メールを読み出して表示するものとして説明した。しかし、いわゆるＷｅｂメールのように、必要になる度にサーバ装置５０に接続して機密メールを読み出すことにより、表示画面１０２に表示するようにしても良い。すなわち、機密受信ボックスを開いて、機密メールの一覧を表示する場合には、サーバ装置５０の機密アドレスに接続して、保存されている機密メールの情報を取得した後、表示画面１０２上に表示することとしても良い。そして、表示画面１０２で機密メールが選択された場合には、再びサーバ装置５０に接続して、保存されている機密メールを読み出すことにより、その内容を表示画面１０２に表示することとしても良い。こうすれば、情報端末装置１００には機密メールは保存されないので、たとえ情報端末装置１００を紛失したり、盗難にあった場合でも、情報端末装置１００から機密の情報が漏洩するおそれを回避することが可能となる。

以上、本発明について各種の実施の形態を説明したが、本発明はこれに限定されるものではなく、各請求項に記載した範囲を逸脱しない限り、各請求項の記載文言に限定されず、当業者がそれらから容易に置き換えられる範囲にも及び、かつ、当業者が通常有する知識に基づく改良を適宜付加することができる。

本実施例の情報端末装置を含んだ文字データ表示システムの構成を示した説明図である。 携帯電話を例にとって本実施例の情報端末装置の大まかな構成を示したブロック図である。 ＣＰＵからアクセスされるメモリ領域の使用状況を概念的に表した説明図である。 情報端末装置に搭載されているアプリケーションプログラムとオペレーティングシステムとの関係を概念的に示した説明図である。 本実施例の情報端末装置に電源を投入すると初めに表示画面に表示される初期画面を例示した説明図である。 本実施例の情報端末装置に搭載された各種の操作ボタンを示した説明図である。 オペレーティングシステムによってメール機能が呼び出されると実行されるメール関連処理の流れを示したフローチャートである。 表示画面上に表示された標準メール関連メニューを例示した説明図である。 受信ボックスに保存されているメールの一覧が表示画面上に表示された様子を例示した説明図である。 予め設定しておいた一連の順序でボタンが操作された場合にだけ表示画面に表示される機密メール関連メニューを例示した説明図である。 機密受信ボックスに保存されている機密メールの一覧が、表示画面上に表示された様子を例示した説明図である。 機密メールを受信するために行われる機密メール受信処理の流れを示したフローチャートである。 情報端末装置がサーバ装置から機密メールを受け取る様子を概念的に示した説明図である。 機密メール受信処理から復帰した時点での表示画面の表示を例示した説明図である。 機密メールの受信後に、機密受信ボックス内の機密メールを表示画面上に表示した様子を示す説明図である。 サーバ装置が機密アドレス内に記憶されている機密メールを偽装した後、情報端末装置に送信する処理の流れを示したフローチャートである。 機密メールとアプリＩＤとを画像データに埋め込むことで、画像に偽装した機密メールを生成する様子を概念的に示した説明図である。 新たな機密メールを作成して送信する際に表示画面上に表示される画面を例示した説明図である。 情報端末装置から機密メールを送信する際に実行される機密メール送信処理の流れを示したフローチャートである。 情報端末装置から機密アドレスに送信された偽装機密メールを、付加されている宛先に応じてサーバ装置が転送する処理の流れを示したフローチャートである。 情報端末装置から一般のメールアドレスに宛てて送信された機密メールを、サーバ装置が転送する様子を概念的に示した説明図である。 情報端末装置から機密アドレスに宛てて送信された機密メールを、サーバ装置が転送する様子を概念的に示した説明図である。 機密メール外部保存機能を使用するときの表示画面を例示した説明図である。 機密メール外部保存処理の流れを示すフローチャートである。 アプリＩＤ、機密メール、機密アドレス帳などの機密データが画像に埋め込まれて、偽装機密データとして外部保存される様子を概念的に示した説明図である。 情報端末装置内の機密データを他の情報端末装置に移し替える際に行われる処理の流れを示すフローチャートである。 機密データ引越し機能を用いて、古い情報端末装置内の機密データを新しい情報端末装置に移し替える様子を概念的に示した説明図である。 第１の変形例の情報端末装置がメール機能を起動する際に実行する処理の流れを示すフローチャートである。 第１の変形例のアプリケーションプログラムが複数のモジュールによって構成されている様子を示した説明図である。 第１の変形例によって機密の情報が漏洩することを回避可能な理由を示した説明図である。 第２の変形例の情報端末装置で行われる機密メール読出・保存処理の流れを示したフローチャートである。

符号の説明

１２…携帯電話、 １４…無線基地局、 ２０…ノート型コンピュータ、
２２…ルータ、 ５０…サーバ装置、 ９０…インターネット、
１００…情報端末装置、 １０２…表示画面、 １０４…操作ボタン、
１０４ａ…機能選択ボタン、 １０４ｂ…機能選択ボタン、
１０４ｃ…機能選択ボタン、 １０４ｄ…カーソルボタン
１０４ｅ…選択ボタン、 １０４ｆ…通話開始ボタン、
１０４ｇ…通話終了ボタン、 １０４ｈ…入力ボタン、 １０６…集音マイク、
１０８…スピーカ １１０…アンテナ、 １１２…メモリカード、
１２０…ビデオドライバ、 １２４…ボタンキードライバ、
１２６…サウンドプロセッサ、 １２８…アンテナドライバ、
１３０…カードドライバ、 １５０…ＣＰＵ、 １５２…ＲＯＭ、
１５４…ＲＡＭ

Claims (10)

1. 少なくとも文字を含んだデータたる文字データを通信回線上のサーバ装置から読み出して、表示画面上に表示する情報端末装置であって、
   前記文字データを前記表示画面上に選択可能に表示するとともに、該文字データが選択された場合には、該選択された文字データの内容を表示する文字データ表示手段と、
   前記文字データを選択して前記表示画面上に表示させるために操作される操作部と、
   前記操作部になされた操作を検出する操作検出手段と
   を備え、
   前記文字データ表示手段は、前記操作部が所定の一連の順序で操作された場合には、機密の前記文字データたる機密データを前記表示画面上に表示して選択可能な状態にするとともに、選択された該機密データの内容を該表示画面上に表示する手段であり、
   前記操作検出手段は、前記操作部が前記所定の一連の順序で操作される場合には、該操作に伴う画面を前記表示画面上に表示させることなく、該操作部になされた操作を検出する手段である情報端末装置。
2. 少なくとも文字を含んだデータたる文字データを、通信回線上のサーバ装置から読み出して表示する文字データ表示方法であって、
   前記文字データを表示画面上に表示して選択可能な状態とする工程（Ａ）と、
   前記文字データを選択して前記表示画面上に表示する際に用いられる操作部に対して行われた操作を検出する工程（Ｂ）と、
   前記文字データが選択された場合には、該選択された文字データの内容を前記表示画面上に表示する工程（Ｃ）と
   を備え、
   前記工程（Ａ）は、前記操作部が所定の一連の順序で操作された場合には、機密の前記文字データたる機密データを、前記表示画面上に表示して選択可能な状態とする工程であり、
   前記工程（Ｂ）は、前記操作部が前記所定の一連の順序で操作される場合には、該操作に伴う画面を前記表示画面上に表示させることなく、該操作部になされた操作を検出する工程である文字データ表示方法。
3. 請求項２に記載の文字データ表示方法であって、
   前記工程（Ａ）は、文字を入力するために用いられる複数の操作ボタンから所定のパスワードが入力されると、前記表示画面上に前記機密データを表示して選択可能な状態とする工程であり、
   前記工程（Ｂ）は、前記パスワードの入力に伴う画面を前記表示画面上に表示することなく、該パスワードの入力を検出する工程である文字データ表示方法。
4. 請求項２に記載の文字データ表示方法であって、
   前記機密データの内容を所定のデータに埋め込むことにより、該所定のデータを装った機密データたる偽装機密データを生成する工程（Ｄ）と、
   前記偽装機密データを、読み出し可能な状態で保存する工程（Ｅ）と
   を備える文字データ表示方法。
5. 請求項２に記載の文字データ表示方法であって、
   前記機密データの内容を所定のデータに埋め込むことにより、該所定のデータを装った機密データたる偽装機密データを生成する工程（Ｄ）と、
   前記偽装機密データを、前記通信回線を介して前記サーバ装置に送信する工程（Ｆ）と
   を備える文字データ表示方法。
6. 請求項２に記載の文字データ表示方法であって、
   前記機密データの内容が所定のデータに埋め込まれた偽装機密データを、前記サーバ装置から受信する工程（Ｇ）と、
   前記受信した偽装機密データから、前記埋め込まれた機密データを取り出す工程（Ｈ）と
   を備える文字データ表示方法。
7. 請求項２に記載の文字データ表示方法であって、
   前記機密データあるいは前記機密データの内容を表示中に、所定の前記操作部が操作されたことを検出すると、該表示中の機密データあるいは該機密データの内容を非表示状態とする工程（Ｉ）を備える文字データ表示方法。
8. 請求項２に記載の文字データ表示方法であって、
   前記サーバ装置から読み出した前記機密データを、該機密データの内容とともに保存する工程（Ｊ）と、
   前記機密データの内容が前記表示画面上に表示された表示回数を、該機密データ毎に計数する工程（Ｋ）と、
   前記保存されている機密データの中から、前記表示回数が所定回数に達した該機密データを消去する工程（Ｌ）と
   を備える文字データ表示方法。
9. 請求項２に記載の文字データ表示方法であって、
   前記サーバ装置から読み出した前記機密データを、該機密データの内容とともに保存する工程（Ｊ）と、
   所定条件が成立すると前記サーバ装置に接続して、前記保存した機密データについての消去の要否を確認する工程（Ｍ）と、
   前記機密データの消去を要する旨が確認された場合には、前記保存した機密データを消去する工程（Ｎ）と
   を備える文字データ表示方法。
10. 少なくとも文字を含んだデータたる文字データを、通信回線上のサーバ装置から読み出して表示する方法を、コンピュータを用いて実現するためのプログラムであって、
    前記文字データを表示画面上に表示して選択可能な状態とする機能（Ａ）と、
    前記文字データを選択して前記表示画面上に表示する際に用いられる操作部に対して行われた操作を検出する機能（Ｂ）と、
    前記文字データが選択された場合には、該選択された文字データの内容を前記表示画面上に表示する機能（Ｃ）と
    をコンピュータにより実現するとともに、
    前記機能（Ａ）は、前記操作部が所定の一連の順序で操作された場合には、機密の前記文字データたる機密データを、前記表示画面上に表示して選択可能な状態とする機能であり、
    前記機能（Ｂ）は、前記操作部が前記所定の一連の順序で操作される場合には、該操作に伴う画面を前記表示画面上に表示させることなく、該操作部になされた操作を検出する機能であるプログラム。
    

Images