JP2008250478A - 情報端末の起動制御方法及び情報端末 - Google Patents

Abstract

【課題】ユーザに起動キー、パスワード等の管理のための負担をかけることなく、運用性を損なわずに高いセキュリティレベルを実現できる情報端末、その起動方法を得る。
【解決手段】ユーザが情報端末101を使用する際、情報端末101上で、ユーザが操作不能なOSを起動し、その後、携帯通信端末102から管理サーバ103に対して情報端末101の起動要求信号を送信する。管理サーバ103は、携帯通信端末102から送信されてきた起動要求信号に対して、情報端末の起動の許可／不許可を決定し、許可であれば情報端末101の起動信号、または、起動キーを返信する。情報端末101は、ユーザが操作不能なOSが、この起動信号を受け取った際、仮想マシン及び仮想マシン上でユーザが操作可能なOSを起動する。以後、ユーザは、仮想マシン上で動作するOSの使用を強制されて、通常の情報端末と同様の操作を行うことができる。
【選択図】図１

Description

本発明は、情報端末の起動制御方法及び情報端末に係り、特に、情報端末上で動作するオペレーティング・システム（以下、ＯＳという）の起動方法及び情報端末に関する。

近年、家庭、企業を問わずパーソナル・コンピュータ（以下、ＰＣという）が大きく普及し、その普及率は増加の一途をたどっている。特に、企業では、１人が１台以上のＰＣを使用し、また、社外へ出る場合にはノートＰＣ等のモバイル型の情報端末（以下、情報端末という）を携帯するのが普通となってきている。一方で、携帯通信端末やＰＨＳ等（以下、携帯通信端末という）に関しても、ＰＣと同様に１人１台持つことが普通となり、ビジネスの現場では、各人が情報端末と携帯通信端末との両方を携帯している状況はめずらしくない。

このような状況の中で行われている情報端末のセキュリティ対策としては、パスワード認証による保護が一般的である。また、多くの場合、パスワードによる保護に加えて、暗号化等を組み合わせることによりにより、セキュリティを保持している。

一般に、情報端末におけるパスワードは、ＢＩＯＳ(Basic Input Output System）パスワードやハードディスクパスワード及びＯＳのログオン時のパスワードやアプリケーションレベルのパスワード等、様々なレイヤーで利用されている。

ＢＩＯＳパスワードは、ＢＩＯＳセットアップ画面でパスワード文字列を指定すると、電源投入時にパスワード入力の要求メッセージが表示されて、そこで正しいパスワードを入力しなければシステムを起動できないというものである。ＢＩＯＳパスワードによる情報端末の保護は、情報端末のハードウェアが備えている機能を使用するため、インストールされているＯＳに依存することなく使用できるという利点がある。反面、ＢＩＯＳパスワードは、ハードウェアに完全に依存するため、ＢＩＯＳパスワードを備えていないＰＣやパスワードが変更不能なＰＣでは有効に機能しない。この問題を解決する従来技術として、例えば、特許文献１等には、ＢＩＯＳによるセキュリティチェック機能とは異なるセキュリティチェックシステムを追加することができるようにした方法が提案されている。

また、ＢＩＯＳパスワードによるＰＣの保護は、ハードディスクを取り外し、他の情報端末に接続して使用されると意味をなさないため、ハードディスクの起動にパスワードを設定する方法が、例えば、特許文献２等に記載されて知られている。

一般に、個人が設定するパスワードには、セキュリティ上、適切でない強度のパスワードが用いられていることが多い。そして、強度が一定レベルに達していないパスワードを設定している情報端末を紛失した場合、第三者のパスワードクラックにより、情報端末内のデータが漏洩する可能性がある。このようなパスワードクラックによるデータの漏洩を防止することを可能とするシステムとして、情報端末とＵＳＢメモリとを使用したシステムが存在している。このシステムは、ＵＳＢメモリ内に、例えば、暗号化されたハードディスク内のデータに対する復号キーを格納しておき、ＵＳＢメモリを起動キーとして、情報端末の起動を制御するというものである。このシステムは、ＵＳＢメモリと情報端末との両者がそろわなければ情報端末を起動することができない。
特開２００６−２３６１９３号公報 特開２００３−１５０４５５号公報

特許文献１や特許文献２に記載の従来技術は、情報端末の起動時点でパスワードの入力を行わなければならず、例えば、複数人で情報端末を共有する場合、全員が同じパスワードを知らなければならないため、セキュリティ上の問題が生じる。また、パスワードの定期的な更新を行った場合に全員にパスワードを通知しなければならない等、運用上の問題もある。

その他にも、特許文献１に記載の従来技術は、ＢＩＯＳのセキュリティチェックとは異なるセキュリティチェックを実行するためのデバイスを新たに導入しなければならないため、導入コストの増大という問題点を生じさせてしまう。

また、特許文献２に記載の従来技術は、ハードディスクの暗号化により、起動を制御しているので、高いセキュリティレベルを実現することが可能であるが、一度パスワードを忘れてしまうと復旧させるのは困難であるという問題点を有している。

さらに、ＵＳＢメモリを使用した起動制御システムは、悪意の第三者がＵＳＢメモリと情報端末との両者を同時に取得した場合、通常の情報端末の起動と変わらないため、セキュリティレベルが維持することができず、また、ＵＳＢメモリを紛失した場合、情報端末を起動することができなくなってしまうという問題点を有している。

本発明の目的は、ユーザに起動キー、パスワード等の管理のための負担をかけることなく、既存の機器を使用して低コストに、かつ、運用性を損なわずに高いセキュリティレベルを実現することのできる情報端末の起動制御方法及び情報端末を提供することにある。

本発明によれば前記目的は、情報端末と、携帯通信端末と、管理サーバとがネットワークを介して接続されて構成されるシステムでの情報端末の起動制御方法であって、前記情報端末は、仮想マシンと、該仮想マシンを動作させるためのホストＯＳと、前記仮想マシン上で動作するゲストＯＳとを備え、前記ホストＯＳは、前記情報端末の利用者によりその操作が禁止されており、前記ゲストＯＳは、前記情報端末の利用者に対してその利用が強制されており、前記情報端末の起動を行う場合、前記携帯通信端末は、前記管理サーバに対して前記情報端末の起動信号の送信要求を行い、該起動信号の送信要求を受信した前記管理サーバは、前記携帯通信端末を介して、あるいは、直接前記情報端末に対して前記情報端末を起動するための起動信号を送信し、前記情報端末は、受信した起動信号に基づいてゲストＯＳを起動することにより達成される。

また、前記目的は、外部からの起動信号により、その起動が制御される情報端末において、前記情報端末は、仮想マシンと、該仮想マシンを動作させるためのホストＯＳと、前記仮想マシン上で動作するゲストＯＳと、前記情報端末の利用者により前記ホストＯＳの操作が禁止する手段と、前記情報端末の利用者に対して、前記ゲストＯＳの利用を強制する手段とを備えたことにより達成される。

本発明によれば、ユーザに起動キー、パスワード等の管理のための負担をかけることなく、既存の機器を使用して低コストに、かつ、運用性を損なわずに高いセキュリティレベルを実現することができる。

以下、本発明による情報端末の起動制御方法及び情報端末の実施形態を図面により詳細に説明する。

図１は本発明が適用されるネットワーク環境を示す図であり、まず、図１を参照して本発明の考え方の概要を説明する。

図１に示すように、本発明は、ネットワーク１０４に情報端末１０１、形態通信端末１０２、管理サーバ１０３が接続された環境で利用される。図１には、情報端末１０１、形態通信端末１０２をそれぞれ１台だけ示しているが、情報端末１０１と携帯通信端末１０２とは、相互に接続されて対として１人のユーザに利用され、多数の対がネットワーク１０４に接続されていてよい。

前述したような環境において、ユーザが情報端末１０１を使用する際、ユーザは、情報端末１０１上で、ユーザが操作不能なＯＳを起動し、その後、携帯通信端末１０２から管理サーバ１０３に対して情報端末１０１の起動要求信号を送信する。管理サーバ１０３は、携帯通信端末１０２から送信されてきた起動要求信号に対して、情報端末１０１の起動の許可／不許可を決定し、許可であれば情報端末１０１に対する起動信号または起動キーを携帯通信端末１０２に返信する。携帯通信端末１０２は、管理サーバ１０３から受け取った起動信号または起動キーを情報端末１０１に中継する。情報端末１０１は、前述のユーザが操作不能なＯＳが、この起動信号を受け取ると、仮想マシン及び仮想マシン上でユーザが操作可能なＯＳを起動する。その後、情報端末１０１は、ユーザに対して、仮想マシン上で動作するＯＳの使用を強制することにより、情報端末１０１を通常の情報端末と同様の操作が可能にしてユーザに利用させる。

前述において、ネットワーク１０４は、図１に示す情報端末１０１、携帯通信端末１０２、管理サーバ１０３が相互間でデータ通信可能であればその種類は限定されない。例えば、携帯通信端末１０２と管理サーバ１０３との間の通信に、特定の移動体通信網（携帯通信端末用の電話網等）を使用してもよい。

図２は情報端末１０１の構成を示すブロック図である。図示情報端末１０１は、ＣＰＵ２０１、主記憶装置２０２、入出力装置２０３、ネットワークデバイス２０４、二次記憶装置２０５をハードウェアとして備える情報処理装置である。

情報端末１０１の二次記憶装置２０５には、予め、ホストＯＳ２０６、仮想マシン２０７、ゲストＯＳ２０８がインストールされていて、これらは、主記憶装置２０２にロードされ、ＣＰＵにより実行されることにより、それぞれの機能を構築する。また、二次記憶装置２０５には、ユーザが使用する任意のアプリケーションソフト２０９がインストールされていて、これらも、主メモリ２０２にロードされた後、ゲストＯＳ２０８上でＣＰＵ２０１により実行される。

なお、以下に説明する本発明の実施形態は、情報端末１０１が、主にノートＰＣ等のモバイルＰＣを想定しているが、情報端末１０１は、デスクトップ型ＰＣのような非可搬性のＰＣであってもよい。

前述において、仮想マシン２０７は、ある特定のハードウェアをエミュレーションする環境、あるいは、それによって実現された仮想的なマシン環境のことであり、１台の物理ＰＣ上で複数のＯＳを動作させることが可能である。この場合に、仮想マシン２０７そのものを実現するために使用されるＯＳをホストＯＳ２０６といい、仮想マシンの上で実行されるＯＳのをゲストＯＳ２０８という。

仮想マシン環境を実現する方法としてはいくつかの方法が存在する。１つ目は、ホストＯＳ上にハードウェアをエミュレートする環境を載せ、その仮想環境上でゲストＯＳを動作させる方法である。２つ目は、ハードウェア上に直接ハードウェアをエミュレートする専用環境を構成する方法である。後者の方法は、一般的に仮想マシンモニタと呼ばれるものである。本発明のシステムは、後述するホストＯＳ制御モジュール２１０、ゲストＯＳ制御モジュール２１１、自動ログオンモジュール２１２、仮想マシン制御モジュール２１３の各モジュールを実装することが可能であれば、どちらの仮想マシン方式の場合にも適用することができる。

なお、前者の仮想マシン方式に適用する場合、ホストＯＳ上に、後者の仮想マシン方式に適用する場合、仮想マシンモニタ上に前述の各モジュールを実装する必要がある。以下では、前者の方法による実施形態を制御する。

ホストＯＳ２０６上には、ホストＯＳ制御モジュール２１０、ゲストＯＳ制御モジュール２１１、自動ログインモジュール２１２、仮想マシン制御モジュール２１３がインストールされている。ホストＯＳ２０６は、ユーザが情報端末１０１の起動ボタンを押した後に起動される。一般的な仮想マシン環境では、ホストＯＳ起動後、ユーザはホストＯＳ上で任意のプログラムの実行、インストール、アンインストール等、様々な操作を行うことが可能である。しかし、本発明の情報処理端末１０１では、ホストＯＳ制御モジュール２１０の制御により、ユーザがホストＯＳ上でこれらの操作を行うことができないようにされている。また、ホストＯＳ起動後のユーザログインに関しても、自動ログインモジュール２１２により、ユーザによるホストＯＳへの手動でのログインが不可能にされている。

ホストＯＳ制御モジュール２１０は、ユーザがホストＯＳ２０６上の操作を制御、禁止することができるモジュールである。ホストＯＳ制御モジュール２１０の実現方法として、例えば、ホストＯＳ上のGraphical User Interface（以下、ＧＵＩという）や、Character-based User Interface（以下、ＣＵＩという）の表示、または、それらのプロセスの起動を制限し、ユーザがホストＯＳの機能を選択し、あるいは、使用することができなくする等が挙げられる。実際に、Windows(登録商標）では、エクスプローラ（登録商標）と呼ばれるシェルの動作を禁止することにより、アプリケーションが容易に起動されないように制限することが可能である。その他にも、ホストＯＳ制御モジュール２１０は、ユーザの操作を禁止するために、ホストＯＳの種類や設定環境毎に対応した実装がなされているものとする。

また、ホストＯＳ制御モジュール２１０は、情報端末１０１が接続されているネットワーク上に存在する他のＰＣからホストＯＳ２０６を操作できないように、ネットワーク接続を監視している。実際には、ファイアーウォール等の設定により実施する手法が挙げられる。さらに、ユーザによりホストＯＳの機能を使用させないために、ホストＯＳ上には、仮想マシン２０７、及び、予めインストールされている前述の各モジュール２１０〜２１２の動作に不要なプログラムやサービスは存在しないものとする。

ゲストＯＳ制御モジュール２１１は、ゲストＯＳ２０８の起動、シャットダウンを管理するモジュールであり、ゲストＯＳ２０８を起動することが可能な唯一のモジュールである。また、ゲストＯＳ制御モジュール２１１は、管理サーバ１０３から携帯通信端末１０２を経由して送られてくるゲストＯＳ２０８に対する起動信号、または、起動キーをトリガーにして、ゲストＯＳ２０８を起動する。

なお、ゲストＯＳ制御モジュール２１１は、ホストＯＳ２０６が起動した後、自動的に動作を開始し、情報端末１０１のユーザが任意に起動、停止することはできない。また、ゲストＯＳ２０８がシャットダウンされた場合、ホストＯＳ制御モジュール２１０に対して、ホストＯＳ２０６のシャットダウンを要求し、ゲストＯＳ２０８のシャットダウンに連動して、ホストＯＳ２０６もシャットダウンされるように処理を行う。

ゲストＯＳ２０８は、管理サーバ１０３から送られてくる起動信号をトリガーにして、ゲストＯＳ制御モジュール２１１により、仮想マシン２０７上で起動される。ゲストＯＳ２０８上では、ユーザによるプログラムの起動、インストール、アンインストール等の一般的なＯＳ上の操作が可能である。ユーザは、ゲストＯＳ２０８の使用が強制されており、情報端末１０１上でのユーザによる操作は、ゲストＯＳ２０８により処理される。すなわち、ユーザは、情報端末を使用する場合、常にゲストＯＳ２０８上で操作を行うことになる。

仮想マシン制御モジュール２１３は、ホストＯＳ２０６とゲストＯＳ２０８との間のデータの通信、画面の切り替え等の仮想マシンの操作を監視、制御するモジュールである。現在の仮想マシンの多くは、ゲストＯＳとホストＯＳとの切り替えを行うための特定のキー配列が存在する。仮想マシン制御モジュール２１３は、これらの特定のキーを監視し、画面の切り替えやホストＯＳとゲストＯＳとの間でのデータの通信等を禁止することが可能である。この仮想マシン制御モジュール２１３により、ユーザがゲストＯＳ２０８上からホストＯＳ２０６に処理を移行させることが不可能となり、ユーザにゲストＯＳ環境を強制することが可能となる。

図３は携帯通信端末１０２の機能構成を示すブロック図である。図示携帯通信端末１０２は、ユーザが情報端末１０１を起動する際に、管理サーバ１０３に対して起動要求信号を送信する機能と、管理サーバ１０３から返信されてきたゲストＯＳ２０８の起動信号、または、起動キーや、情報端末のシャットダウン信号を情報端末１０１へ中継する機能と、それらを行うために、情報端末１０１及び管理サーバ１０３との間で通信を行うことができる任意の通信機能を備えて構成される。

なお、通信に関しては、データ転送が可能であれば、通信方式は任意である。本発明の実施形態は、ユーザが、情報端末１０１と携帯通信端末１０２との両方を所持することを前提としているため、有線による接続等も可能である。また、携帯通信端末１０２は、ユーザが起動信号を送信するときの操作に必要となる、キーボードまたはボタン、及び、画面等の入出力装置も備えて構成されている。携帯情報端末１０２は、これらの機器を備えるものであれば、特に限定されない。例えば、携帯通信端末の他にＰＤＡ等を利用可能な機器として挙げることができる。

携帯通信端末１０２は、前述以外に、情報端末１０１の場合と同様に、ＣＰＵ、主記憶装置等のハードウェアを備えて構成され、携帯通信端末１０２内には、前述した機能装置以外に、通信を管理する送受信モジュールＡ３０１と、情報端末の起動信号を送信するための起動管理モジュールＡ３０２と、認証モジュールＡ３０３とがインストールされている。

送受信モジュールＡ３０１は、ユーザが携帯通信端末１０２から管理サーバ１０３へ起動要求信号を送信する機能と、その起動要求信号が管理サーバ１０３により受理された場合に返信されてくる起動信号、または、起動キーを情報端末１０１へ転送する機能を備える。

起動管理モジュールＡ３０２は、ユーザからの起動要求を監視する機能と、情報端末１０１への起動信号送信に関連する動作を制御する機能を備えるモジュールである。

認証モジュールＡ３０３は、起動管理モジュールＡ３０２から呼び出されるモジュールであり、管理サーバ１０３上の後述する認証モジュールＢ４０３と任意の認証方法を使用して相互認証を行い、携帯通信端末１０２の真正性（悪意の第三者が偽造した携帯通信端末ではないか）の検証を行う機能を備える。

本発明の実施形態は、起動管理モジュールＡ３０２が、起動要求信号を管理サーバ１０３へ送信する前に、認証モジュールＡ３０３と認証モジュールＢ４０３とにより相互認証が行われるため、不正な携帯通信端末から情報端末を起動される危険性を軽減することができる。

図４は管理サーバ１０３の機能構成を示すブロック図である。図示管理サーバ１０３は、図示しないＣＰＵ、主記憶装置、入出力装置、ネットワークデバイス、及び、二次記憶装置４０４等のハードウェアを備えた情報処理装置の中に構成されたサーバマシンであり、送受信モジュールＢ４０１、起動管理モジュールＢ４０２、認証モジュールＢ４０３を備えている。前述で説明した情報端末の場合と同様に、送受信モジュールＢ４０１、起動管理モジュールＢ４０２、認証モジュールＢ４０３は、二次記憶装置４０４内に格納されていて、主メモリにロードされ、ＣＰＵにより実行されることにより、それらの機能が構築される。また、二次記憶装置４０４内には、情報端末管理テーブル４０５を備えている。

送受信モジュールＢ４０１は、携帯通信端末１０２から管理サーバ１０３へ送られた起動要求信号を受信する機能と、その起動要求信号が起動管理モジュールＢ４０２により許可された場合に、携帯通信端末１０２に対して起動信号、または、起動キーを送信する機能とを備える。

起動管理モジュールＢ４０２は、携帯通信端末１０２から転送されてきた後述する携帯通信端末ＩＤ５０１と起動要求信号とに基づいて、情報端末管理テーブル４０５（詳細は図５により後述する）を参照して情報端末１０１の起動の許可／不許可の判定を行う機能と、情報端末管理テーブル４０５の認証フラグ５０３及び盗難フラグ５０４を更新、変更する機能とを備えるモジュールである。なお、詳細な動作に関しては、後述する。

認証モジュールＢ４０３は、携帯通信端末１０２の認証モジュールＡ３０３との間で相互認証を行い、携帯通信端末１０２が不正な携帯通信端末であるか否かの判定を行うモジュールである。

図５は情報端末管理テーブルの構成を示す図である。図示情報端末管理テーブル４０５は、管理サーバ１０３の二次記憶装置４０４内に保存されており、携帯通信端末ＩＤ５０１、情報端末ＩＤ５０２、起動キー５０３、認証フラグ５０４、盗難フラグ５０５の対応を示す複数のレコードを有して構成される。このテーブル４０２内のデータは、起動管理モジュールＢ４０２により、情報端末１０３の状態に合わせて更新される。

携帯通信端末ＩＤ５０１は、複数の携帯通信端末が存在した場合に、それぞれの携帯通信端末に一意に割り振られた番号である。情報端末ＩＤ５０２は、複数の情報端末が存在した場合に、それぞれの情報端末に一意に割り振られた番号である。

起動キー５０３は、情報端末を起動するための起動キーとなる値であり、前述の起動信号に相当するものである。起動キー５０２として、例えば、ゲストＯＳイメージファイルを暗号した暗号鍵を使用することが可能である。また、複製が困難な値であれば、任意の値に設定することができる。

認証フラグ５０４は、携帯通信端末１０２の真正性を表すフラグであり、認証モジュールＡと認証モジュールＢとにより携帯通信端末１０２が不正な端末であると判定された場合、“０”、正当な携帯通信端末であると判定された場合、“１”が設定される。なお、認証フラグ５０４は、ユーザによりゲストＯＳ２０８がシャットダウンされた場合、ホストＯＳ制御モジュール２１０から携帯通信端末１０２を経由して情報端末１０２のシャットダウン通知が転送されることにより、“０”に初期化される。

盗難フラグ５０５は、情報端末１０１の紛失、盗難の状態を表す値である。情報端末１０１が、盗難、紛失の状態となった場合“１”、盗難、紛失の状態ではない場合“０”に設定される。盗難フラグ５０４が“１”、または、認証フラグ５０３が“０”の状態である場合、仮に悪意の第三者が携帯通信端末１０２や情報端末１０１を手に入れ、ユーザになりすまして起動要求信号を送信しても、管理サーバ１０３から起動キー５０２が送信されることはない。盗難フラグ５０５は、ユーザが情報端末１０１及び携帯通信端末１０２の紛失に気づいた場合に、管理サーバ１０３に盗難信号を送信するか、管理サーバ１０３の管理者に盗難を届け出た後に管理者が直接管理サーバ１０３上で更新される。

ここで、図５に示す情報端末管理テーブルの内容について詳細に説明すると、この管理テーブルの４０５例では、３台の携帯通信端末と２台の情報端末とが存在すること表している。

すなわち、情報端末ＩＤ＝xxx1の情報端末を起動するためには、携帯通信端末ＩＤ＝0001及び携帯通信端末ＩＤ＝0003の携帯通信端末のどちらかから起動要求を送信する必要がある（レコード５０６の行とレコード５０８の行）。このことは、情報端末ＩＤ＝xxx1の情報端末は、携帯通信端末ＩＤ＝0001の携帯通信端末を所持するユーザと、携帯通信端末ＩＤ＝0003の携帯通信端末を所持するユーザとの２人で共有されていることを意味している。また、情報端末ＩＤ＝xxx1の情報端末の起動キーは“xxxxxxx” である。

情報端末ＩＤ＝xxx2の情報端末を起動するには、携帯通信端末ＩＤ＝0002の携帯通信端末を使用する必要があり、その起動キーは“yyyyyyy” である（レコード５０７の行）。なお、認証フラグと盗難フラグとに関しては、ゲストＯＳ起動のフローにより詳細に説明する。

図６は本発明の実施形態におけるホストＯＳを起動する処理動作を説明するフローチャートであり、次に、これについて説明する。この図６に示すフローは、情報端末１０１と携帯通信端末１０２とが相互にデータ転送が能であることを前提とする。その際、情報端末１０１は、ネットワーク１０４により管理サーバ１０３に接続されていてもいなくても構わない。

（１）ユーザは、情報端末１０１を起動したい場合、まず、情報端末１０１の電源ボタンを押し、ホストＯＳ２０６を起動する（ｓ６０１、ｓ６０２）。

（２）ホストＯＳ２０６の起動後、自動ログオンモジュール２１２が起動され、ホストＯＳ２０６へログオンが行われる。この時点でのログオンアカウント及びパスワードは、自動ログオンモジュール２１２をインストールした場合に設定した任意のものとする（ステップｓ６０３）。

（３）ホストＯＳ２０６への自動ログオン後、ホストＯＳ制御モジュール２１０が起動される。ホストＯＳ制御モジュール２１０は、ユーザによるＧＵＩ及びＣＵＩの表示、動作を禁止し、ネットワーク接続の監視を開始する。このとき、ＵＳＢポート等の外部機器の接続も監視、制限される（ステップｓ６０４）。

（４）次に、ゲストＯＳ制御モジュール２１１が起動される。この時点で、ゲストＯＳ制御モジュール２１１以外は、外部との通信が不能である。以上の処理を経て、ゲストＯＳ制御モジュール２１１は外部からの起動信号の待ち受け状態になる（ステップｓ６０５、ｓ６０６）。

前述した処理の終了時点で、ユーザは、外部からホストＯＳを操作することはできないため、情報端末を操作することはできない。

図７は本発明の実施形態におけるゲストＯＳを起動する処理動作を説明するフローチャートであり、次に、これについて説明する。この図７に示すフローは、情報端末１０１がゲストＯＳ２０８が起動待ち受け状態（図６に示すフローのステップｓ６０６）になった後に実行されるフローである。

（１）まず、ユーザは、情報端末１０１のゲストＯＳ２０８を起動したい場合、携帯通信端末１０２上で、管理サーバ１０３に起動要求信号を送るために予め決められた番号を押し、管理サーバ１０３との間に通信路を確保して通信を開始する（ステップｓ７０１）。

（２）その後、携帯通信端末１０２内の認証モジュールＡ３０３が管理サーバ１０３の認証モジュールＢ４０３と通信を行って認証を開始する（ステップｓ７０２）。

（３）その際、携帯通信端末１０２内の送受信モジュールＡ３０１は、管理サーバ１０３内の送受信モジュールＢ４０１へ携帯通信端末ＩＤ５０１を送信する（ステップｓ７０３）。

（４）その後、携帯通信端末１０２内の認証モジュールＡ３０３と管理サーバ１０３内の認証モジュールＢ４０３とは、任意の認証方法で相互認証を行い、管理サーバ１０３内の認証モジュールＢ４０３は、認証に成功したか否かを判定する（ステップｓ７０４）。

（５）ステップｓ７０４の判定で、認証に成功した場合、管理サーバ１０３内の認証モジュールＢ４０３は、携帯通信端末ＩＤ５０１をもとに、携帯通信端末管理テーブル４０５の対応するレコードの認証フラグを“１”（認証成功）に更新する（ステップｓ７０５）。

（６）続いて、管理サーバ内の認証モジュールＢ４０３は、携帯通信端末ＩＤに対応する盗難フラグ５０５をチェックし、情報端末１０１または携帯通信端末１０２の盗難の有無を判定する（ステップｓ７０６）。

（７）ステップｓ７０６の判定で、盗難フラグが“０”（盗難なし）であった場合、認証成功の通知を携帯通信端末１０２に返信する。例えば、図５に示す携帯通信端末ＩＤ＝0001に対応する携帯通信端末から起動要求信号が送られてきた場合、盗難なしの状態（盗難フラグ＝０）であることから、管理サーバ１０３から携帯通信端末１０２へ認証成功通知が送信される（ステップｓ７０７）。

（８）携帯通信端末１０２は、ステップｓ７０７の処理で管理サーバ１０３から送信されてきた認証成功通知を受信した場合、起動管理モジュールＡ３０２から管理サーバ１０３へ起動要求信号を送信する（ステップｓ７０８）。

（９）管理サーバ１０３は、ステップｓ７０８の処理で携帯通信端末から送信されてきた起動要求信号を受信した後、携帯通信端末ＩＤをもとに情報端末管理テーブル４０５から起動キー５０３を取得し、携帯通信端末１０２へ取得した起動キー５０３を送信する（ステップｓ７０９）。

（10）携帯通信端末１０２の送受信モジュールＡ３０２は、管理サーバ１０３からの起動キーを受信した後、情報端末１０１へ起動キーを転送する（ｓ７１０）。

（11）情報端末１０１内のゲストＯＳ制御モジュール２１１は、この起動キーを受けて、仮想マシン２０７及びゲストＯＳ２０８を起動する。以降、ユーザは、ゲストＯＳ２０８上で、アプリケーションの起動や削除、インストール、アンインストール等、通常のＯＳ環境が可能使用可能となる（ｓ７１１）。

（12）ステップｓ７０４の判定で、相互認証に失敗した場合、管理サーバ１０３の認証モジュール４０３は、情報端末管理テーブル４０５の認証フラグを“０”に更新する（ステップｓ７１２）。

（13）ステップｓ７１２の処理の後、あるいは、ステップｓ７０６の判定で、盗難フラグが“１”（盗難あり）であった場合（例えば、図５の携帯通信端末ＩＤ＝0002を持つレコード）、起動管理モジュール４０２は、携帯通信端末１０２に対して、情報端末１０１内のホストＯＳ２０６のシャットダウン信号を送信する（ステップｓ７１３）。

（14）ステップｓ７１３の処理で、管理サーバ１０３からシャットダウン信号を受信した携帯通信端末１０２は、情報端末１０１へシャットダウン信号を転送する。これにより、情報端末１０１上のホストＯＳ２０８は、シャットダウンされる（ステップｓ７１４、ｓ７１５）。

前述した本発明の実施形態での各処理は、すでに説明したように、プログラムにより構成し、本発明が備えるＣＰＵに実行させることができ、また、それらのプログラムは、ＦＤ、ＣＤＲＯＭ、ＤＶＤ等の記録媒体に格納して提供することができ、また、ネットワークを介してディジタル情報により提供することができる。

前述で説明した本発明の実施形態は、情報端末１０１が、携帯通信端末１０２を介して管理サーバ１０３からの起動信号または起動キーを受け取るとして説明したが、本発明は、管理サーバ１０３からの起動信号または起動キーを、携帯通信端末１０２を介することなく直接管理サーバ１０３から受け取るようにすることもできる。

前述した本発明の実施形態によれば、情報端末を起動するための起動キーが管理サーバ１０３で管理されているため、複数人で情報端末を使用する場合にも、全員がパスワードを共有する必要がなく、ＢＩＯＳパスワードやハードディスクパスワードにおけるセキュリティ上及び運用上の問題を軽減することができる。

また、本発明の実施形態によれば、第三者が仮に携帯通信端末と情報端末との両方を取得し、不正に情報端末を起動しようと試みても、情報端末の起動を禁止（起動キーの転送を禁止）することができるので、情報の漏洩を防止することができる。

さらに、本発明の実施形態によれば、携帯通信端末だけを紛失した場合、情報端末の実質的な起動キーが管理サーバ上にあるため、情報端末の起動が可能である。これにより、ユーザに対する起動キー及びパスワードの管理のための労力を軽減することができる。

また、本発明の実施形態によれば、既存のハードウェアを効率的に使用することができ、導入にかかるコストの負担を抑えてシステムを構築することが可能である。

本発明が適用されるネットワーク環境を示す図である。 情報端末１０１の構成を示すブロック図である。 携帯通信端末１０２の機能構成を示すブロック図である。 管理サーバ１０３の機能構成を示すブロック図である。 情報端末管理テーブルの構成を示す図である。 本発明の実施形態におけるホストＯＳを起動する処理動作を説明するフローチャートである。 本発明の実施形態におけるゲストＯＳを起動する処理動作を説明するフローチャートである。

符号の説明

１０１ 情報端末
１０２ 携帯通信端末
１０３ 管理サーバ
１０４ ネットワーク
２０１ ＣＰＵ
２０２ 主記憶装置
２０３ 入出力装置
２０４ ネットワークデバイス
２０５、４０４ 二次記憶装置
２０６ ホストＯＳ
２０７ 仮想マシン
２０８ ゲストＯＳ
２０９ 任意のアプリケーション
２１０ ホストＯＳ制御モジュール
２１１ ゲストＯＳ制御モジュール
２１２ 自動ログオンモジュール
２１３ 仮想マシン制御モジュール
３０１ 送受信モジュールＡ
３０２ 起動管理モジュールＡ
３０３ 認証モジュールＡ
４０１ 送受信モジュールＢ
４０２ 起動管理モジュールＢ
４０３ 認証モジュールＢ
４０５ 情報端末管理テーブル

Claims (5)

1. 情報端末と、携帯通信端末と、管理サーバとがネットワークを介して接続されて構成されるシステムでの情報端末の起動制御方法であって、
   前記情報端末は、仮想マシンと、該仮想マシンを動作させるためのホストＯＳと、前記仮想マシン上で動作するゲストＯＳとを備え、前記ホストＯＳは、前記情報端末の利用者によりその操作が禁止されており、前記ゲストＯＳは、前記情報端末の利用者に対してその利用が強制されており、
   前記情報端末の起動を行う場合、前記携帯通信端末は、前記管理サーバに対して前記情報端末の起動信号の送信要求を行い、該起動信号の送信要求を受信した前記管理サーバは、前記携帯通信端末を介して、あるいは、直接前記情報端末に対して前記情報端末を起動するための起動信号を送信し、前記情報端末は、受信した起動信号に基づいてゲストＯＳを起動することを特徴とする情報端末の起動制御方法。
2. 前記管理サーバが送信する起動信号は、前記携帯通信端末と対応付けられて前記管理サーバにより管理されているものであることを特徴とする請求項１記載の情報端末の起動制御方法。
3. 前記情報端末は、前記携帯通信端末が、前記管理サーバに対して前記情報端末の起動信号の送信要求を行う時点で、前記ホストＯＳが起動されていることを特徴とする請求項１または２記載の情報端末の起動制御方法。
4. 外部からの起動信号により、その起動が制御される情報端末において、
   前記情報端末は、仮想マシンと、該仮想マシンを動作させるためのホストＯＳと、前記仮想マシン上で動作するゲストＯＳと、前記情報端末の利用者により前記ホストＯＳの操作が禁止する手段と、前記情報端末の利用者に対して、前記ゲストＯＳの利用を強制する手段とを備えたことを特徴とする情報端末。
5. 前記ゲストＯＳは、外部からの起動信号により起動されることを特徴とする請求項４記載の情報端末。

Images