JP2015191601A - 通信端末、通信システム、通信方法および通信プログラム - Google Patents

Abstract

【課題】通信端末に入力された入力データの漏洩を確実に防止することができる通信端末、通信システム、通信方法および通信プログラムを実現する。
【解決手段】端末操作部と撮影部とを有する通信端末と、該通信端末と通信可能なセンタ装置と、を有する通信システムであって、センタ装置は、公開鍵を通信端末に送信するセンタ通信部と、秘密鍵を記憶するセンタ記憶部と、を有し、通信端末は、センタ装置から公開鍵を受信する端末通信部と、端末操作部から入力された入力データを第１の共通鍵を用いて暗号化する第１の暗号化部と、撮影部にて取得された画像データを第２の共通鍵を用いて暗号化して暗号化データとし、該第２の共通鍵を公開鍵を用いて暗号化して暗号化鍵とする第２の暗号化部と、第２の暗号化部によって暗号化された暗号化データと暗号化鍵とを対応付けて記憶する端末記憶部と、を有するように構成する。
【選択図】図３

Description

本発明は、通信端末と、当該通信端末と通信可能なセンタ装置とを有する通信システム、並びに、当該通信システムで実行される通信方法および通信プログラムに関する。

従来、オフィス、店舗、住宅などの施設において、各種センサや監視カメラを設置して建物の安全状況を監視する警備システムが利用されている。このような警備システムを利用した警備サービスにおいて、近年のスマートフォンやタブレット端末といった通信端末の普及に伴い、これらの通信端末が使用されるようになった。

図８は、従来の警備システム１００において、通信端末２００を使用して行われる警備業務の例を説明する図である。例えば、図８（ａ）に示すように、警備対象施設において予め決められた巡回エリアを巡回しながら点検する巡回警備業務や、図８（ｂ）に示すように、警備対象施設に設置された警備装置４００からの異常信号に基づき、急行して点検などの異常対処を行う異常対処警備業務に、スマートフォンなどの通信端末２００が使用される。通信端末２００は、主に、警備員の勤務および警備業務を管理支援する目的で使用され、通信ネットワーク５００を介して監視センタに設置されたセンタ装置３００と通信可能に構成される。

例えば、通信端末２００には、警備業務を支援するための警備に関連する警備関連情報が記憶され、警備員が、必要に応じてこの警備関連情報を通信端末の画面に表示して確認できる。警備関連情報は、警備員が実施する警備業務の種別、時間帯、場所などを示す警備スケジュール、警備対象施設の場所を示す地図、警備対象施設の見取り図、点検すべき箇所や項目などの情報を有し、センタ装置３００から通信ネットワーク５００を介して通信端末２００に提供される。

また、通信端末２００には、警備員の勤務状況、警備における点検記録および証拠画像などが入力され、入力された入力データは、センタ装置３００に送信される。例えば、勤務状況は、警備員の勤務の開始／終了、警備対象施設への急行／到着などを示す入力データである。また、点検記録は、警備員が、各点検項目について点検しながら通信端末に入力した、点検箇所の状態、異常の内容、備忘録などの入力データである。さらに、警備員は、証拠画像などが必要な場合には、通信端末２００のカメラによって撮影を行い、撮影によって取得された画像データも入力データとしてセンタ装置３００に送信される。

このように、警備などの業務に利用される通信端末には、勤務状況、点検記録および証拠画像などの業務上の機密事項や顧客の個人情報が含まれる秘匿性の高い情報が入力される。従って、通信端末に記憶された入力データの高い秘匿性を確保する必要がある。

特許文献１には、撮影により得られた撮影画像の画像データを、予め記憶された暗号鍵を用いて暗号化して、画像データの秘匿性を確保する技術が提案されている。この暗号化された画像データを復号するには、例えば、暗号鍵に対応する復号用の鍵暗号の入力などによって使用者の認証が行われる。したがって、第三者が暗号化されたデータを復号して閲覧したり複写するのを防止することができる。

特開２００４−１２０３０１号公報

しかしながら、通信端末を、当番業務等の勤務引継ぎに際して複数の警備員が交代で使用する場合、複数の担当者の間で同じ通信端末と同じ暗号鍵を使いまわすことがある。この場合、例えば、悪意の第三者が、復号用の暗号鍵を何らかの方法で手に入れると、通信端末を使用する全ての担当者が入力したデータが、たとえ暗号化されて通信端末内に記憶されていたとしても、１つの暗号鍵によりすべて復号されて漏洩してしまう虞があるという問題点があった。特に、通信端末を使用する担当者達は、暗号化された入力データの表示や変更を通信端末上で行えるよう復号用の鍵暗号を事前に知らされること場合が多い。したがって、万一、担当者の一人が悪意の第三者になった場合、復号用の鍵暗号が入力されて通信端末を使用する全ての警備員が入力した入力データが漏洩するリスクは高くなり、これらのデータの漏洩防止対策を講じる必要がある。

また、データの漏洩防止のため暗号化された入力データのすべてを通信端末上で復号できないようにすると、情報と業務の性質によって担当者が通信端末で利用しなければならないデータもあるので、業務の遂行に支障をきたすことになる。例えば、作業中の進捗状況や巡回中に行った点検の記録などの情報は、担当者が業務中に何度も見返して追加や修正を加えていくことによって精度を高めることができるので、通信端末上で復号禁止にすることは好ましくない。一方、通信端末で撮影した画像情報などのある種の証拠として記録するような情報は、記録できたことだけ分かれば何度も見返す必要はなく、そもそも撮影者は現地で視認できるので、通信端末における不用意な復号は禁止して流出リスクを低減することが好ましい。

本発明の目的は、上記の課題に鑑み、通信端末に入力された入力データの漏洩を確実に防止することができる通信端末、通信システム、通信方法および通信プログラムを提供することにある。

かかる課題を解決するための本発明の一つの態様によれば、端末操作部と撮影部とを有する通信端末と、該通信端末と通信可能なセンタ装置と、を有する通信システムが提供される。かかる通信システムは、センタ装置は、公開鍵暗号方式の一対の公開鍵および秘密鍵を生成するセンタ鍵生成部と、公開鍵を通信端末に送信するセンタ通信部と、秘密鍵を記憶するセンタ記憶部と、を有し、通信端末は、センタ装置から公開鍵を受信する端末通信部と、端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化する第１の暗号化部と、共通鍵暗号方式の第２の共通鍵を生成する端末鍵生成部と、撮影部にて取得された画像データを第２の共通鍵を用いて暗号化して暗号化データとし、該第２の共通鍵を公開鍵を用いて暗号化して暗号化鍵とする第２の暗号化部と、第１の暗号化部によって暗号化されたデータを記憶すると共に、第２の暗号化部によって暗号化された暗号化データと暗号化鍵とを対応付けて記憶する端末記憶部と、を有する。

かかる通信システムにおいて、センタ鍵生成部は、第１の共通鍵をさらに生成し、センタ通信部は、第１の共通鍵を通信端末にさらに送信し、端末通信部は、センタ装置から第１の共通鍵をさらに受信することが好ましい。

また、かかる通信システムにおいて、端末鍵生成部は、第１の共通鍵をさらに生成することが好ましい。

さらに、かかる通信システムにおいて、端末鍵生成部は、撮影部にて画像データが取得されると第２の共通鍵を生成することが好ましい。

また、かかる通信システムにおいて、端末鍵生成部は、第２の共通鍵を第１の所定数生成し、生成した第１の所定数の共通鍵のうち第２の暗号化部により使用されていない未使用の第２の共通鍵の数が、第１の所定数より小さい第２の所定数を下回ると、第２の共通鍵の数が第１の所定数に達するまで新たに第２の共通鍵を生成することが好ましい。

さらに、かかる通信システムにおいて、端末操作部は、使用者の使用者認証情報を入力し、センタ鍵生成部は、センタ通信部が通信端末から使用者認証情報を受信したときを、通信端末の使用が開始されるタイミングとして、一対の公開鍵および秘密鍵を生成することが好ましい。

また、かかる通信システムにおいて、通信端末は、公開鍵が端末記憶部に記憶されていない場合、撮影部による画像データの取得を禁止する端末制御部をさらに有することが好ましい。

さらに、かかる通信システムにおいて、端末通信部は、端末記憶部に記憶された暗号化データおよび暗号化鍵をセンタ装置に送信し、端末制御部は、該端末通信部が送信を完了した暗号化データおよび暗号化鍵を端末記憶部に消去させ、センタ通信部は、通信端末から暗号化データおよび暗号化鍵を受信し、センタ装置は、受信した暗号化鍵をセンタ記憶部に記憶した秘密鍵を用いて復号して第２の共通鍵とし、復号した第２の共通鍵を用いて受信した暗号化データを復号する復号部をさらに有することが好ましい。

本発明の他の態様によれば、端末操作部と撮影部とを有する通信端末と、該通信端末と通信可能なセンタ装置と、によって行われる通信方法が提供される。かかる通信方法は、センタ装置は、公開鍵暗号方式の一対の公開鍵および秘密鍵を生成するステップと、公開鍵を通信端末に送信するステップと、秘密鍵をセンタ記憶部に記憶させるステップと、を有し、通信端末は、センタ装置から公開鍵を受信するステップと、端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化するステップと、共通鍵暗号方式の第２の共通鍵を生成するステップと、撮影部にて取得された画像データを第２の共通鍵を用いて暗号化して暗号化データとし、該第２の共通鍵を公開鍵を用いて暗号化して暗号化鍵とするステップと、第１の暗号化部によって暗号化されたデータを端末記憶部に記憶させると共に、第２の暗号化部によって暗号化された暗号化データと暗号化鍵とを対応付けて該端末記憶部に記憶させるステップと、を有する。

本発明の他の態様によれば、端末操作部と撮影部とを有し、センタ装置と通信可能な通信端末によって実行される通信プログラムが提供される。かかる通信プログラムは、端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化する手順と、共通鍵暗号方式の第２の共通鍵を生成する手順と、撮影部にて取得された画像データを第２の共通鍵を用いて暗号化して暗号化データとし、センタ装置から受信した公開鍵暗号方式の公開鍵を用いて該第２の共通鍵を暗号化して暗号化鍵とする手順と、第１の暗号化部によって暗号化されたデータを端末記憶部に記憶させると共に、第２の暗号化部によって暗号化された暗号化データと暗号化鍵とを対応付けて該端末記憶部に記憶させる手順と、を通信端末の制御部に実行させる。

本発明の他の態様によれば、端末操作部と撮影部とを有し、センタ装置と通信可能な通信端末が提供される。かかる通信端末は、センタ装置から公開鍵暗号方式の公開鍵を受信する端末通信部と、端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化する第１の暗号化部と、共通鍵暗号方式の第２の共通鍵を生成する端末鍵生成部と、撮影部にて取得された画像データを第２の共通鍵を用いて暗号化して暗号化データとし、該第２の共通鍵を公開鍵を用いて暗号化して暗号化鍵とする第２の暗号化部と、第１の暗号化部によって暗号化されたデータを記憶すると共に、第２の暗号化部によって暗号化された暗号化データと暗号化鍵とを対応付けて記憶する端末記憶部と、を有する。

かかる通信端末において、端末鍵生成部は、撮影部にて画像データが取得されると第２の共通鍵を生成し、第２の暗号化部は、画像データを第２の共通鍵を用いて暗号化すると、該第２の共通鍵を消去することが好ましい。

本発明によれば、通信端末に入力された入力データの漏洩を確実に防止することができる通信端末、通信システム、通信方法および通信プログラムを提供することができる。

本発明の一実施形態に係る警備システムの一例を示す構成図である。 本発明の一実施形態に係る通信端末の構成図である。 本発明の一実施形態に係るセンタ装置の構成図である。 本発明の一実施形態に係る勤務管理情報の構成の一例を示す図である。 本発明の一実施形態に係る通信端末およびセンタ装置の動作シーケンス図である。 本発明の一実施形態に係る通信端末およびセンタ装置の動作シーケンス図である。 本発明の一実施形態に係る通信端末およびセンタ装置の動作シーケンス図である。 従来の警備システムにおいて、通信端末を使用して行われる警備業務の例を説明する図である。

以下、本発明の通信システムの一つの実施形態である警備システムについて図を参照しつつ説明する。

本発明が適用された警備システムにおいて、通信端末の入力データの暗号化に使用される暗号鍵は、通信端末の使用者が代わるごとに変更されるように、使用者が通信端末の使用を開始するタイミングで生成される。そして、通信端末に入力されたデータのうち、使用者が通信端末で利用する入力データは、通信端末上で復号可能な暗号方式で暗号化する。一方、使用者が通信端末で利用しない（あるいはその必要性が低い）入力データは、通信端末上で復号できない暗号方式で暗号化する。

また、本発明の発明者は、通信端末における画像などの大きな入力データの暗号化処理は、共通鍵暗号方式などの処理負荷の小さい暗号方式で行えば十分速いが、公開鍵暗号方式などの処理負荷の大きい暗号方式で行うと時間がかかるという知見を得た。この知見に基づいて、本発明に係るセンタ装置は、公開鍵暗号方式の公開鍵および秘密鍵の鍵ペアを生成し、鍵ペアのうちの公開鍵を通信端末に送り、秘密鍵を自装置に記憶する。そして、本発明に係る通信端末は、使用者が通信端末で利用する入力データを第１の共通鍵を用いて共通鍵暗号方式で暗号化して記憶し、この第１の共通鍵を記憶し、元の入力データを消去する。一方、通信端末は、使用者が通信端末で利用しない入力データを第２の共通鍵を用いて共通鍵暗号方式で暗号化して記憶し、この第２の共通鍵をセンタ装置から送られた公開鍵を用いて公開鍵暗号方式で暗号化して記憶し、元の入力データおよび第２の共通鍵を消去する。したがって、通信端末は、秘密鍵を有しないので公開鍵で暗号化された第２の共通鍵を復号できず、第２の共通鍵で暗号化された使用者が通信端末で利用しない入力データを復号することができないので、通信端末で利用しない入力データの漏洩を確実に防止することができる。

図１は、本発明の一実施形態に係る警備システム１の一例を示す構成図である。図１に示すように、かかる警備システム１は、警備業務に使用される通信端末２と、警備システム１を監視および管理するセンタ装置３と、警備対象施設における不審者の侵入や火災の発生などの異常を検出する各種センサ（図示せず）に接続された警備装置４と、これらを接続する通信ネットワーク５と、を有する。

通信端末２は、警備などの業務に使用されるスマートフォン、タブレットＰＣまたはノートＰＣなどの携帯可能な情報処理装置である。例えば、通信端末２は、警備員の勤務の開始および終了を示す勤務開始信号および勤務終了信号を通信ネットワーク５を介してセンタ装置３に送信する。また、通信端末２は、勤務開始信号を受信したセンタ装置３から通信ネットワーク５を介して、警備対象施設の地図や見取り図、警備スケジュール、点検箇所および点検項目などの警備関連情報と共に、入力データを暗号化する共通鍵の暗号化に用いる公開鍵を受信することができる。さらに、通信端末２は、通信端末２で撮影した証拠画像や入力された点検記録などの入力データを共通鍵で暗号化して、公開鍵で暗号化した共通鍵と共に、通信ネットワーク５を介してセンタ装置３に送信することができる。

センタ装置３は、警備対象施設に設置された警備装置４を監視する監視センタ、警備員を派遣する警備本部、警備員に遠隔から指示を出すための指令本部、大型ビル内の防災センタに設けられた防災本部など、警備の管理を行う施設に設置される。センタ装置３は、警備装置４から通信ネットワーク５を介して異常検出信号を受信すると、その異常検出信号を送信した警備装置４が設置された警備対象施設および検出された異常の内容を、報知部および表示装置を通じて監視員に通知する。異常を通知されたセンタ装置３の監視員は、警備員が携帯している通信端末２に連絡し、その警備員に、異常が発生している警備装置４が設置された物件に行って点検などの異常対処を行うよう指示する。また、センタ装置３は、通信端末２を使用する警備員の勤務管理、警備関連情報および公開鍵の通信端末２への提供、並びに、警備中に各通信端末２に入力された点検記録や証拠画像などの入力データの収集および集中管理を行う。

警備装置４は、家屋、マンションの住戸や事業所など、安全状況を監視する監視対象としての各警備対象施設に設置され、各施設の異常を検出するための１つまたは複数のセンサ（図示せず）が接続される。センサは、例えば、火災を検知するための熱感知センサもしくは煙感知センサ、窓、ドアなどの開閉部に取り付けられ、その開閉を検知するマグネットセンサ、または受光した赤外線の光量変化に基づいて探知範囲内への侵入者などの有無を検知する赤外線センサなどである。あるいは、センサは、撮像画像と予め記憶された正常時の画像との差分信号に基づいて撮像範囲内への侵入者などの有無を検知する画像センサでもよい。警備装置４は、センサにより異常が検出されると、異常が検出されたことを示す異常検出信号および警備装置４の識別番号を表す信号を通信ネットワーク５を介してセンタ装置３に送信する。

通信ネットワーク５は、通信端末２とセンタ装置３との間およびセンタ装置３と警備装置４との間を通信可能に接続する。通信ネットワーク５は、これらの間で通信可能であれば如何なる形態でもよく、単一の通信方式のネットワークでもよいし、ゲートウェイサーバ（図示せず）を介して接続された複数の通信方式のネットワークで構成されてもよい。また、通信端末２とセンタ装置３との間およびセンタ装置３と警備装置４との間は、同時に複数の形態の通信ネットワークで接続されてもよい。

図１に示した例では、通信ネットワーク５は、インターネットなどのＩＰネットワーク５１と、このＩＰネットワーク５１にゲートウェイサーバ（図示せず）を介して接続されたＷ−ＣＤＭＡ、ＣＤＭＡ２０００、ＬＴＥ（Long Term Evolution）、ＷｉＭＡＸまたはＰＨＳなどの通信方式に従った携帯電話ネットワーク５４とを有する。ＩＰネットワーク５１および携帯電話ネットワーク５４は、アクセスポイント（ＡＰ）５３および基地局（ＢＳ）５５〜５７を有し、これらのアクセスポイント５３および基地局５５〜５７の少なくとも１つを介して、通信端末２と無線通信で接続される。以下では、通信端末２が、基地局５５を介して携帯電話ネットワーク５４に接続され、携帯電話ネットワーク５４からゲートウェイサーバに（図示せず）よって接続されたＩＰネットワーク５１を介して、センタ装置３と通信を行う場合について述べる。

図２は、本発明の一実施形態に係る通信端末２の構成図である。図２に示すように、通信端末２は、端末操作部２１と、撮影部２２と、端末表示部２３と、端末通信部２４と、端末記憶部２５と、端末制御部２６と、を有する。

端末操作部２１は、通信端末２の使用者が、通信端末２に情報を入力するための操作インターフェースであり、ボタン、テンキーおよび／またはタッチパネルなどの入力装置で構成される。また、端末操作部２１は、音声入力を行うマイクなどを有してもよい。端末操作部２１は、使用者から入力操作が有れば、この入力操作に対応する信号を端末制御部２６へ出力する。使用者は、端末操作部２１への入力操作によって、通信端末２に行わせる処理の指示、勤務の開始および終了、点検記録などの情報を入力することができる。

撮影部２２は、ＣＣＤ素子またはＣ−ＭＯＳ素子などの撮像素子、光学系部品、Ａ／Ｄ変換器、エンコーダなどを含んで構成される公知の内蔵カメラまたは外部カメラを用いることができる。撮影部２２で取得する画像データは、静止画あるいは動画の何れでもよく、このため、撮影部２２は、例えば、ＪＰＥＧまたはＭＰＥＧなどの通信端末２およびセンタ装置３の両方で処理可能な形式で画像データを取得できることが好ましい。

本実施形態では、端末のデータ入力部は、端末操作部２１および撮影部２２を有する。また、入力データは、端末操作部２１から入力された各点検箇所の各点検項目について点検結果を記録した点検記録情報などの入力データと撮影部２２から入力された証拠画像などの画像データとを有する。以下では、端末操作部２１から入力される点検記録情報を使用者が通信端末２で利用する入力データの一例とし、撮影部２２から入力される画像データを使用者が通信端末２で利用しない（あるいはその必要性が低い）入力データの一例として説明する。

端末表示部２３は、液晶ディスプレイ、タッチパネルディスプレイなどの表示デバイスで構成される。端末表示部２３には、警備スケジュールや警備対象施設の地図、見取り図などの警備関連情報や、点検すべき点検箇所および点検項目を確認しながら入力できる点検記録の入力フォームなどが表示される。なお、端末表示部２３は、タッチパネルディスプレイで構成することで端末操作部２１の一部と統合されてもよい。

端末通信部２４は、通信端末２がアンテナを通じて基地局５５と、Ｗ−ＣＤＭＡ、ＣＤＭＡ２０００またはＬＴＥなどの通信方式に従った携帯電話の無線通信を行うための通信インターフェース回路を有する。端末通信部２４は、基地局５５を介してセンタ装置３から受信した情報を端末制御部２６に送る。また、端末通信部２４は、端末制御部２６から受け取った情報を、基地局５５を介してセンタ装置３に送信する。なお、端末通信部２４は、無線ＬＡＮ、ＷｉＭＡＸ、ＰＨＳなどの他の通信方式に従った通信インターフェース回路を有してもよいし、複数の通信方式に対応するよう複数の通信インターフェース回路を有してもよい。

端末通信部２４は、使用者の勤務の開始および終了を示す勤務開始信号および勤務終了信号を、通信ネットワーク５を介してセンタ装置３に送る。また、端末通信部２４は、勤務開始信号に応答してセンタ装置３から送られた警備関連情報および公開鍵を受け取る。このとき、端末通信部２４は、センタ装置３から、点検記録情報を共通鍵暗号方式で暗号化するための記録用共通鍵を受信してもよい。また、端末通信部２４は、端末記憶部２５に記憶されている点検記録情報および画像データなどの入力データを暗号化した暗号化データと、これらの暗号化に用いた記録用共通鍵および画像用共通鍵を暗号化した暗号化鍵とを対応付けて、通信ネットワーク５を介してセンタ装置３に送る。

端末記憶部２５は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）および／またはＥＰＲＯＭ（Erasable Programmable Read Only Memory）などの半導体メモリを有する。端末記憶部２５は、通信端末２を制御するためのコンピュータプログラムおよび各種データを記憶し、端末制御部２６との間でこれらの情報をやりとりする。端末記憶部２５は、必要に応じて、マイクロＳＤカードなどの補助メモリを有してもよい。コンピュータプログラムおよび／またはデータは、端末通信部２４を介して通信ネットワーク５などから提供されて端末記憶部２５に記憶されてもよく、ファームウェアとしてＲＯＭまたはＥＰＲＯＭなどの半導体メモリに記憶されて提供されてもよい。

図２に示すように、端末記憶部２５は、警備関連情報と、公開鍵と、記録用共通鍵と、画像用共通鍵と、暗号化データおよび暗号化鍵と、を記憶する。

警備関連情報は、例えば、通信端末２の使用者が実施する警備業務の種別、時間帯、場所などを示す警備スケジュール、警備対象施設の場所を示す地図、金庫などの監視対象物の配置などを記した見取り図、点検すべき点検箇所や点検項目を有する点検結果を記録するための点検記録の入力フォームなどの警備を支援する情報を有する。端末記憶部２５に記憶されている警備関連情報は、使用者の勤務開始を示す勤務開始信号が端末通信部２４からセンタ装置３に送られたとき、これに応答してセンタ装置３から送られる、勤務開始信号が有する使用者の個人識別情報に対応する警備関連情報である。センタ装置３から送られた警備関連情報は、端末通信部２４によって受け取られて端末記憶部２５に記憶される。

公開鍵は、画像暗号化部２６３が、端末記憶部２５に記憶されている画像用共通鍵を、公開鍵暗号方式で暗号化するのに用いる暗号鍵である。また、この公開鍵は、記録暗号化部２６２が、記録用共通鍵を公開鍵暗号方式で暗号化するのに用いてもよい。この公開鍵は、通信端末２から使用者の勤務開始を示す勤務開始信号を受け取ったセンタ装置３によって生成され、通信端末２に送られる。こうしてセンタ装置３から送られた公開鍵は、端末通信部２４によって受け取られ端末記憶部２５に記憶される。なお、通信端末２に送られる公開鍵は、センタ装置３で生成されたものであること、すなわち悪意の第三者によって送りつけられたものではないことを証明する必要がある。従って、公開鍵の送信は、セキュリティが守られている社内ＬＡＮなどの安全なネットワーク経由で行ったり、認証局による公開鍵証明書などを用いて安全を確保して行うことが好ましい。

記録用共通鍵は、記録暗号化部２６２が、使用者が通信端末２で利用する入力データの一例である端末操作部２１から入力された点検記録情報を、共通鍵暗号方式で暗号化するのに用いる第１の共通鍵である。この記録用共通鍵は、公開鍵と同様に、通信端末２から勤務開始信号を受け取ったセンタ装置３によって生成され、通信端末２に送られてもよい。この場合、センタ装置３から送られた記録用共通鍵は、端末通信部２４によって受け取られて端末記憶部２５に記憶される。また、記録用共通鍵は、センタ装置３が生成して通信端末２に送るのではなく、通信端末２が端末鍵生成部２６１によって生成して端末記憶部２５に記憶させてもよい。

画像用共通鍵は、画像暗号化部２６３が、撮影部２２から入力された画像データを、共通鍵暗号方式で暗号化するのに用いる第２の共通鍵である。画像用共通鍵は、撮影部２２から入力される画像データごとに、端末鍵生成部２６１によって生成され端末記憶部２５に記憶される。

暗号化データは、記録暗号化部２６２が、端末操作部２１から入力された点検記録情報を端末記憶部２５に記憶された記録用共通鍵を用いて共通鍵暗号方式で暗号化したデータと、画像暗号化部２６３が、撮影部２２から入力された画像データを端末記憶部２５に記憶された画像用共通鍵を用いて共通鍵暗号方式で暗号化したデータとを有する。

暗号化鍵は、画像暗号化部２６３が、端末記憶部２５に記憶された画像用共通鍵を、端末記憶部２５に記憶された公開鍵を用いて公開鍵暗号方式で暗号化したものである。それぞれの暗号化データと該暗号化データの暗号化に用いられた画像用共通鍵の暗号化鍵とは、互いに対応付けられて端末記憶部２５に記憶される。また、記録暗号化部２６２により点検記録情報の暗号化に用いた記録用共通鍵を公開鍵を用いて公開鍵暗号方式で暗号化して、暗号化鍵として記憶してもよい。

端末制御部２６は、１つまたは複数のプロセッサおよびその周辺回路を含んで構成され、プロセッサが端末記憶部２５の半導体メモリに記憶されたプログラムを実行することによって、通信端末２の動作を制御する。プロセッサおよび半導体メモリは、独立した集積回路、マイクロプロセッサもしくはＡＳＩＣなどを含んで構成されてもよい。

図２に示すように、端末制御部２６は、端末鍵生成部２６１と、記録暗号化部２６２と、画像暗号化部２６３と、端末復号部２６４とを有する。これらの端末制御部２６の各部は、プロセッサが端末記憶部２５に記憶された各部の処理手順を記述したプログラムを読み出して実行することにより実現される機能モジュールである。

端末鍵生成部２６１は、撮影部２２から画像データが入力されたとき、画像データを共通鍵暗号方式で暗号化するための画像用共通鍵を生成して端末記憶部２５に記憶させる。また、端末鍵生成部２６１は、端末操作部２１から入力された点検記録情報を共通鍵暗号方式で暗号化するための記録用共通鍵を生成して端末記憶部２５に記憶させてもよい。なお、端末鍵生成部２６１は、最初に、例えば３０本などの複数の画像用共通鍵を生成し、画像暗号化部２６３により使用されていない未使用の画像用共通鍵の数が、例えば１５本などの所定数を下回ると、新たに複数の画像用共通鍵を生成して、最初に生成した画像用共通鍵と同数になるようにしてもよい。端末鍵生成部２６１は、複数の暗号鍵を同時に生成することによって効率よく暗号鍵を生成することができ、暗号鍵の生成による処理負荷を低減することができる。

記録暗号化部２６２は、端末操作部２１から入力された点検記録情報を、端末記憶部２５に記憶された記録用共通鍵を用いて共通鍵暗号方式で暗号化して端末記憶部２５に記憶させる第１の暗号化部である。記録暗号化部２６２は、点検記録情報を暗号化した後、記録用共通鍵を端末記憶部２５に記憶させておくので、点検記録情報は、通信端末２上で復号可能である。また、記録暗号化部２６２は、端末通信部２４によって暗号化された点検記録情報をセンタ装置３に転送する際に、この点検記録情報を暗号化するのに用いた記録用共通鍵を、端末記憶部２５に記憶された公開鍵を用いて公開鍵暗号方式で暗号化して転送してもよい。センタ装置３に転送することで、点検記録情報は、通信端末２で復号して利用する必要がなくなるため、記録用共通鍵も暗号化できる。この場合、記録暗号化部２６２は、暗号化した記録用共通鍵を暗号化鍵として端末記憶部２５に記憶されている点検記録情報の暗号化データと対応付けて端末記憶部２５に記憶させる。記録暗号化部２６２は、点検記録情報または記録用共通鍵を暗号化して端末記憶部２５に記憶させると、元の点検記録情報または記録用共通鍵を消去する。なお、記録用共通鍵がセンタ装置３で生成されたときにセンタ記憶部３４においても記憶、保管されている場合には、暗号化された点検記録情報だけをセンタ装置３に転送すればよく、記録用共通鍵は転送しなくてもよいので暗号化もしないようにしてもよい。

画像暗号化部２６３は、撮影部２２から入力された画像データを、端末記憶部２５に記憶された画像用共通鍵を用いて共通鍵暗号方式で暗号化して暗号化データとする第２の暗号化部である。また、画像暗号化部２６３は、この画像データを暗号化するのに用いた画像用共通鍵を、端末記憶部２５に記憶された公開鍵を用いて公開鍵暗号方式で暗号化して暗号化鍵とする。そして、画像暗号化部２６３は、画像データを暗号化した暗号化データと、この暗号化データの暗号化に用いた画像用共通鍵の暗号化鍵とを対応付けて端末記憶部２５に記憶させる。画像暗号化部２６３は、画像データおよび画像用共通鍵を暗号化して端末記憶部２５に記憶させると、暗号化する前の元の画像データおよび画像用共通鍵を消去する。したがって、公開鍵暗号方式で暗号化された画像用共通鍵は、秘密鍵を有しない通信端末２上で復号できないので、この画像用共通鍵を用いて暗号化された画像データも通信端末２上で復号できない。

本実施形態において、記録暗号化部２６２および画像暗号化部２６３は、点検記録情報や画像データなどの相対的に大きなデータを有する入力データは、例えばＡＥＳなどの置換や転置などの簡単な処理によって行われ処理負荷の小さい共通鍵暗号方式で暗号化する。一方、相対的に小さなデータである記録用共通鍵および画像用共通鍵は、複雑な計算を伴うので処理負荷が大きいが、秘密鍵を持たない通信端末２上では復号できないので安全性が高い、例えばＲＳＡ（登録商標）などの公開鍵暗号方式によって暗号化する。

端末復号部２６４は、端末記憶部２５に記憶されている暗号化済みの点検記録情報を読み出す際に、端末記憶部２５に記憶されている記録用共通鍵を用いて共通鍵暗号方式で復号する。復号された点検記録情報は、端末表示部２３に表示したり更新したりできる。

図３は、本発明の一実施形態に係るセンタ装置３の構成図である。図３に示すように、センタ装置３は、センタ操作部３１と、センタ表示部３２と、センタ通信部３３と、センタ記憶部３４と、センタ制御部３５とを有する。

センタ操作部３１は、ボタン、キーボードやマウスなどの操作デバイスで構成され、監視員がセンタ装置３に情報を入力するための入力装置として機能する。

センタ表示部３２は、液晶ディスプレイ、タッチパネルディスプレイなどの表示デバイスで構成され、異常検出信号を送信した警備装置４が設置された物件や検出された異常の内容などを監視員に報知する報知部として機能する。また、センタ表示部３２は、通信端末２からセンタ通信部３３を介して受信された点検記録および画像データなどの通信端末２への入力データを表示する。なお、センタ表示部３２は、タッチパネルディスプレイで構成することで、センタ操作部３１の一部と統合されてもよい。

センタ通信部３３は、センタ装置３をＩＰネットワーク５１に接続するための通信インターフェース回路、および／または、通信端末２の端末通信部２４と同様の携帯電話ネットワーク５４の基地局５７と無線通信を行うための通信インターフェース回路を有する。センタ通信部３３は、ＩＰネットワーク５１および／または携帯電話ネットワーク５４を介して通信端末２から受信した情報を、センタ制御部３５に送る。また、センタ通信部３３は、センタ制御部３５から受け取った情報を、ＩＰネットワーク５１および／または携帯電話ネットワーク５４を介して通信端末２に送信する。本実施形態では、センタ装置３が、ＩＰネットワーク５１から携帯電話ネットワーク５４を介して通信端末２と通信する例について説明する。

センタ記憶部３４は、ＲＯＭ、ＲＡＭなどの半導体メモリを有する。また、センタ記憶部３４は、ハードディスクなどの磁気記憶媒体、ならびに／あるいは、ＣＤ−ＲＯＭおよび／もしくはＤＶＤなどの光記憶媒体と、そのアクセス装置とを含んでもよい。また、センタ記憶部３４は、センタ通信部３３から通信ネットワーク５を介して接続された記憶装置を有してもよい。センタ記憶部３４は、センタ装置３を制御するためのコンピュータプログラムおよび各種データを記憶し、センタ制御部３５との間でこれらの情報をやりとりする。プログラムは、通信ネットワーク５からセンタ通信部３３を介して提供されてセンタ記憶部３４に記憶されてもよく、ＣＤ−ＲＯＭおよび／もしくはＤＶＤなどのコンピュータ読み取り可能な記憶媒体またはファームウェアなどによって提供されてもよい。

図３に示すように、センタ記憶部３４は、使用者情報、警備関連情報、勤務管理情報および秘密鍵を記憶する。

使用者情報は、通信端末２を使用することができる正規の使用者の社員番号などの個人識別情報を有する。この個人識別情報は、通信端末２の使用者の認証を行うための使用者認証情報として使用されてもよい。また、使用者情報は、使用者認証情報として、各正規の使用者の個人識別情報に対応して、パスワードや使用者の指紋、顔もしくは声紋などの情報を有してもよい。

警備関連情報は、通信端末２の端末記憶部２５に記憶されるものと同様の情報であり、正規の使用者のそれぞれの個人識別情報に対応付けられてセンタ記憶部３４に記憶される。

勤務管理情報は、各使用者の出勤および退勤などの勤務を管理する情報である。
図４は、本実施形態における勤務管理情報の構成の一例を示す図である。勤務管理情報は、使用者の勤務ごとに、勤務する使用者の個人識別情報（ＩＤ）および勤務に使用する通信端末２の端末識別情報（ＩＤ）と、これに対応して出勤／退勤したか否かを示す出勤フラグ／退勤フラグなどの勤務に関する情報とを有する。また、勤務管理情報は、勤務地、出勤時刻、退勤時刻などの他の勤務に関する情報を有してもよく、出勤フラグ／退勤フラグの代わりに、有効な出勤時刻／退勤時刻が設定されたか否かによって出勤／退勤したか否かを示してもよい。図４に示すように、勤務管理情報は、勤務ごとに生成される秘密鍵を有してもよい。

秘密鍵は、センタ復号部３５２が、通信端末２から送られた暗号化鍵を公開鍵暗号方式で復号するのに用いる復号鍵である。本実施形態では、秘密鍵は、通信端末の使用が開始されるタイミングとして、センタ装置３が通信端末２から使用者の勤務開始を示す勤務開始信号をセンタ通信部３３によって受け取ったとき、センタ鍵生成部３５１によって生成される。秘密鍵は、通信端末２の使用者の個人識別情報および端末識別情報の少なくとも１つに対応付けて、使用者の勤務ごとに記憶される。例えば、秘密鍵は、図４に示すように、勤務管理情報として記憶されてもよい。また、センタ鍵生成部３５１によって記録用共通鍵を生成した場合には、この記録用共通鍵をセンタ記憶部３４に記憶しておいてもよい。この記録用共通鍵も勤務管理情報として記憶されてもよい。

センタ制御部３５は、１つまたは複数のプロセッサおよびその周辺回路を含んで構成され、プロセッサがセンタ記憶部３４の半導体メモリに記憶されたプログラムを実行することによって、センタ装置３の動作を制御する。

図３に示すように、センタ制御部３５は、センタ鍵生成部３５１と、センタ復号部３５２と、を有する。これらの各部は、プロセッサがセンタ記憶部３４に記憶された各部の処理手順を記述したプログラムを読み出して実行することにより実現される機能モジュールである。

センタ鍵生成部３５１は、センタ通信部３３が通信端末２から使用者の勤務開始を示す勤務開始信号を受け取ったとき、公開鍵暗号方式による暗号処理で用いる公開鍵および秘密鍵の鍵ペアを生成する。センタ鍵生成部３５１によって生成された鍵ペアのうち、秘密鍵はセンタ記憶部３４に記憶され、公開鍵はセンタ通信部３３によって通信端末２に送られる。また、センタ鍵生成部３５１は、公開鍵方式の鍵ペアと共に、通信端末２の記録暗号化部２６２が端末操作部２１から入力された点検記録情報を暗号化するのに用いる記録用共通鍵を生成してもよい。この場合、記録用共通鍵は、公開鍵と共にセンタ通信部３３によって通信端末２に送られる。このとき、記録用共通鍵の複製をセンタ記憶部３４に記憶してもよい。

センタ復号部３５２は、センタ通信部３３が通信端末２から受け取った暗号化鍵を、センタ記憶部３４に記憶されている秘密鍵を用いて公開鍵暗号方式で復号して元の記録用共通鍵および画像用共通鍵にする。また、センタ復号部３５２は、この復号した記録用共通鍵および画像用共通鍵を用いて、センタ通信部３３が通信端末２から受け取ったそれぞれの暗号化鍵に対応付けられた暗号化データを復号し、点検記録情報および画像データを復元する。なお、記録用共通鍵をセンタ記憶部３４に記憶している場合には、センタ復号部３５２は、これを用いて点検記録情報を復元してもよく、復元した後、記録用共通鍵をセンタ記憶部３４から消去してもよい。

図５〜図７は、本発明の一実施形態に係る通信端末２およびセンタ装置３の動作シーケンス図である。図５〜図７を参照しながら、本実施形態における通信端末２およびセンタ装置３の動作の一例について、警備員の勤務の流れに沿って説明する。

警備員は、通信端末２を用いて勤務を開始するとき、通信端末２を使用開始するために端末操作部２１から自身を特定する社員番号などの個人ＩＤを入力して勤務開始の入力を行う。個人ＩＤは、通信端末２を使用する正規の使用者としての使用者認証情報となりうる。

図５を参照すると、通信端末２の端末制御部２６は、端末操作部２１から受け取った信号に基づいて、端末操作部２１に勤務開始の入力が行われたか否かを判定し（ステップＡ１０１）、勤務開始の入力がなければ（ステップＡ１０１のＮｏ）、勤務開始の入力が行われるまで待機する。そして、端末制御部２６は、端末操作部２１から勤務開始の入力が行われると（ステップＡ１０１のＹｅｓ）、勤務開始の入力によって端末操作部２１から入力された個人ＩＤと、端末記憶部２５の特定の領域から読み取った自体の識別情報である端末ＩＤとを有する勤務開始信号を生成し、生成した勤務開始信号を端末通信部２４によってセンタ装置３に送信する（ステップＡ１０２）。なお、端末ＩＤは、使用者によって端末操作部２１から入力されてもよい。

センタ装置３のセンタ制御部３５は、センタ通信部３３が通信端末２から使用者の勤務の開始を示す勤務開始信号を受信したか否かを判定して、使用者が通信端末２の使用を開始したか否かを判定する（ステップＢ１０１）。センタ通信部３３が通信端末２から勤務開始信号を受信すると（ステップＢ１０１のＹｅｓ）、センタ制御部３５は、センタ通信部３３が受信した勤務開始信号が有する個人ＩＤを使用者認証情報として、センタ記憶部に記憶されている使用者情報の個人ＩＤと照合して使用者認証を行う（ステップＢ１０２）。使用者情報にこの個人ＩＤが存在すれば、センタ制御部３５は、通信端末２で勤務開始の入力を行った使用者を通信端末２の正規の使用者であると認証し、センタ記憶部３４に記憶されている勤務管理情報に、勤務開始信号が有する個人ＩＤおよび端末ＩＤを登録し、対応する出勤フラグをＯＮに設定することによって使用者の出勤を登録する（ステップＢ１０３）。このとき、センタ制御部３５は、勤務地、出勤時刻などの情報を勤務管理情報に登録してもよい。なお、通信端末２の端末操作部２１による勤務開始の入力で個人ＩＤと共にパスワードなどの使用者認証情報が入力される場合、ステップＢ１０１において、センタ通信部３３は、個人ＩＤと共に使用者認証情報を有する勤務開始信号を受け取り、ステップＢ１０２において、センタ制御部３５は、センタ通信部３３が受け取った使用者認証情報を、センタ記憶部３４に記憶されている使用者情報の使用者認証情報と照合して使用者の認証を行うことができる。

センタ制御部３５が使用者の出勤を勤務管理情報に登録すると、センタ鍵生成部３５１は、公開鍵暗号方式による暗号化処理に用いる公開鍵および秘密鍵の鍵ペアと共通鍵暗号方式で点検記録情報を暗号化するための記録用共通鍵とを生成する（ステップＢ１０４）。そして、センタ制御部３５は、センタ鍵生成部３５１が生成した鍵ペアのうちの公開鍵と記録用共通鍵とを、センタ記憶部３４から読み取った個人ＩＤに対応する警備関連情報と共に、センタ通信部３３によって通信端末２に送信する（ステップＢ１０５）。また、センタ制御部３５は、センタ鍵生成部３５１が生成した鍵ペアのうちの秘密鍵を、個人ＩＤおよび端末ＩＤの少なくとも１つに対応付けてセンタ記憶部３４に記憶させる（ステップＢ１０６）。このとき、センタ制御部３５は、秘密鍵をセンタ記憶部３４の勤務管理情報に登録してもよい。あるいはこれに限らず、センタ制御部３５は、記録用共通鍵もセンタ記憶部３４に記憶させてよい。

通信端末２の端末制御部２６は、端末通信部２４がセンタ装置３から警備関連情報、公開鍵および記録用共通鍵を受信したか否かを判定し（ステップＡ１０３）、端末通信部２４が警備関連情報、公開鍵および記録用共通鍵を受信していなければ（ステップＡ１０３のＮｏ）、端末通信部２４が警備関連情報、公開鍵および記録用共通鍵を受信するまで待機する。端末通信部２４が警備関連情報、公開鍵および記録用共通鍵を受信すると（ステップＡ１０３のＹｅｓ）、端末制御部２６は、端末通信部２４がセンタ装置３から受信した警備関連情報、公開鍵および記録用共通鍵を端末記憶部２５に記憶させる（ステップＡ１０４）。このように、通信端末２では、公開鍵を受信するまでは秘匿性が求められる警備業務の入力データを入力することができない。これにより、入力データの秘匿性を担保してデータ漏洩を防止している。

警備員は、勤務開始を入力すると、センタ装置３から通信端末２に送られた警備関連情報を必要に応じて端末表示部２３に表示させながら、警備業務を遂行する。警備員は、警備業務の遂行に際し、端末操作部２１および撮影部２２などの端末入力部を用いて各種データを入力する。例えば、警備員は、通信端末２の端末表示部２３に端末記憶部２５に記憶されている警備関連情報の点検記録の入力フォームを表示して、端末操作部２１によって各点検箇所の各点検項目について点検結果や備忘録を入力する。

図５を参照すると、通信端末２の端末制御部２６は、端末操作部２１から受け取った信号に基づいて、端末操作部２１に点検記録の入力が行われたか否かを判定する（ステップＡ１０５）。端末操作部２１から点検記録の入力が行われたと判定すると（ステップＡ１０５のＹｅｓ）、端末制御部２６は、端末操作部２１から受け取った信号に基づいて点検記録情報を生成する（ステップＡ１０６）。この生成された点検記録情報を、記録暗号化部２６２は、端末記憶部２５に記憶されている記録用共通鍵によって共通鍵暗号方式で暗号化し、端末記憶部２５に記憶する（ステップＡ１０７）。なお、点検記録情報の暗号化で用いる記録用共通鍵は、ステップＢ１０４においてセンタ鍵生成部３５１が生成した記録用共通鍵を、ステップＡ１０３で端末通信部２４がセンタ装置３から受信して、ステップＡ１０４で端末制御部２６が端末記憶部２５に記憶させるのに限定されず、ステップＡ１０７において記録暗号化部２６２が点検記録情報を暗号化する前に、端末鍵生成部２６１が記録用共通鍵を生成して端末記憶部２５に記憶させてもよい。

警備員は、点検する場所を移動しながら、端末操作部２１を操作することによって、通信端末２に入力された点検記録情報を読み出して端末表示部２３に表示したり、点検記録の追加／修正を行い点検記録情報を更新することができる。

図６を参照すると、通信端末２の端末制御部２６は、端末操作部２１から受け取った信号に基づいて、端末操作部２１に点検記録の読み出しの入力が行われたか否かを判定する（ステップＡ１０８）。端末制御部２６が、端末操作部２１に点検記録の読み出しの入力が行われたと判定すると（ステップＡ１０８のＹｅｓ）、端末復号部２６４は、端末記憶部２５に記憶されている記録用共通鍵を用いて共通鍵暗号方式で端末記憶部２５に記憶されている暗号化された点検記録情報を復号する（ステップＡ１０９）。そして、端末制御部２６は、復号した点検記録情報を端末表示部２３に表示し、使用者が端末操作部２１によって点検記録情報を更新できるようにする（ステップＡ１１０）。端末制御部２６は、端末操作部２１から受け取った信号に基づいて点検記録情報を更新する。端末制御部２６は、更新した点検記録情報を端末記憶部２５に記憶されている記録用共通鍵を用いて共通鍵暗号方式で暗号化して端末記憶部２５に記憶し、元の更新済み点検記録情報を消去する（ステップＡ１１１）。なお、ステップＡ１０８における点検記録の読み出しの入力のとき、端末制御部２６は、使用者による端末操作部２１への点検記録情報の復号のための鍵暗号などの認証情報の入力によって、使用者の認証を行ってもよい。

警備員は、警備中に、通信端末２の端末操作部２１を操作して、撮影部２２から証拠画像などの画像データを入力する。

図６を参照すると、端末制御部２６は、端末操作部２１から画像の撮影の指示が入力されたか否かを判定する（ステップＡ１１２）。端末操作部２１から画像の撮影の指示が入力されると（ステップＡ１１２のＹｅｓ）、端末制御部２６は、撮影部２２によって画像を撮影して画像データを取得する（ステップＡ１１３）。端末鍵生成部２６１は、画像データを共通鍵暗号方式で暗号化するための画像用共通鍵を生成して端末記憶部２５に記憶させる（ステップＡ１１４）。画像暗号化部２６３は、端末記憶部２５に記憶されている画像用共通鍵を用いて共通鍵暗号方式で画像データを暗号化して暗号化データとし、元の画像データを消去する（ステップＡ１１５）。そして、画像暗号化部２６３は、画像データの暗号化に用いた画像用共通鍵を、端末記憶部２５に記憶されている公開鍵を用いて公開鍵暗号方式で暗号化して暗号化鍵とし、元の画像用共通鍵を消去する（ステップＡ１１６）。画像暗号化部２６３は、画像データを暗号化した暗号化データと、該暗号化データの暗号化に用いた画像用共通鍵を暗号化した暗号化鍵とを対応付けて端末記憶部２５に記憶させる（ステップＡ１１７）。撮影部２２が複数の画像データを取得する場合、端末制御部２６は、ステップＡ１１２〜ステップＡ１１７を繰り返し実行することができ、画像用共通鍵は取得した画像データごとに生成される。なお、ステップＡ１１２において、端末制御部２６は、公開鍵が端末記憶部２５に記憶されているか否かを判定し、端末記憶部２５に公開鍵が記憶されていなければ、撮影の指示が入力されていないと判定し（ステップＡ１１２のＮｏ）、画像の撮影を禁止することができる。

警備員は、端末操作部２１による点検記録の入力および追加／修正を行ったり、撮影部２２によって証拠画像を撮影して入力データの入力を終えると、通信端末２の端末操作部２１に入力データの転送の指示を入力することによって、端末操作部２１より入力した点検記録情報や撮影部２２によって撮影した画像データなどの入力データをセンタ装置３に転送することができる。

図７を参照すると、通信端末２の端末制御部２６は、端末操作部２１から点検記録情報および／または画像データの転送指示が入力されたか否かを判定する（ステップＡ１１８）。端末操作部２１から点検記録情報および／または画像データの転送指示が入力されると（ステップＡ１１８のＹｅｓ）、点検記録情報を転送する場合（ステップＡ１１９のＹｅｓ）、記録暗号化部２６２は、端末記憶部２５に記憶されている記録用共通鍵を、端末記憶部２５に記憶されている公開鍵を用いて公開鍵暗号方式で暗号化する。そして、記録暗号化部２６２は、記録用共通鍵を暗号化した暗号化鍵を、暗号化済みの点検記録情報の暗号化データと対応付けて端末記憶部２５に記憶させ、元の記録用共通鍵を消去する（ステップＡ１２０）。端末通信部２４は、端末記憶部２５に対応付けて記憶されている暗号化データ（点検記録情報と画像データ）および暗号化鍵を、通信端末２の使用者の個人ＩＤおよび端末ＩＤの少なくとも１つと共に、センタ装置３に送信する（ステップＡ１２１）。なお、ステップＡ１２１において、記録用共通鍵がセンタ鍵生成部３５１によって生成されてセンタ記憶部３４に記憶されている場合、端末通信部２４は、記録用共通鍵をセンタ装置３に転送しなくてもよい。したがって、ステップＡ１２０において、記録暗号化部２６２は、記録用共通鍵を暗号化しなくてもよく、端末記憶部２５から消去するだけでもよい。点検記録情報を転送しない場合（ステップＡ１１９のＮｏ）、対応付けて記憶されている画像データの暗号化データおよび暗号化鍵がセンタ装置３に送信される。

センタ装置３のセンタ制御部３５は、センタ通信部３３が通信端末２からの暗号化データおよび暗号化鍵の受信を完了したか否かを判定し（ステップＢ１０７）、センタ通信部３３が通信端末２からの暗号化データおよび暗号化鍵の受信を完了すると（ステップＢ１０７のＹｅｓ）、センタ制御部３５は、受信完了信号をセンタ通信部３３によって通信端末２に送信する（ステップＢ１０８）。そして、センタ復号部３５２は、暗号化データおよび暗号化鍵と共に受信した通信端末２の端末ＩＤまたは使用者の個人ＩＤに対応する秘密鍵をセンタ記憶部３４から読み取る。センタ復号部３５２は、センタ通信部３３が受信した暗号化鍵を、センタ記憶部３４から読み取った秘密鍵を用いて、公開鍵暗号方式で元の記録用共通鍵および画像用共通鍵に復号する（ステップＢ１０９）。また、センタ復号部３５２は、復号した記録用共通鍵および画像用共通鍵を用いて共通鍵暗号方式で暗号化データを元の点検記録情報および画像データに復号する（ステップＢ１１０）。センタ制御部３５は、復号された点検記録情報および画像データをセンタ記憶部３４に記憶させる（ステップＢ１１１）。以降、センタ記憶部３４に記憶された点検記録情報および画像データは、必要に応じてセンタ表示部３２に表示されたり、警備記録としてデータベースに保存されてもよい。

通信端末２の端末制御部２６は、端末通信部２４がセンタ装置３から受信完了信号を受信したか否かによって、センタ装置３への暗号化データおよび暗号化鍵の送信が完了したか否かを判定する（ステップＡ１２２）。暗号化データおよび暗号化鍵の送信が完了しなければ（ステップＡ１２２のＮｏ）、端末制御部２６は、送信が完了するまで待機する。暗号化データおよび暗号化鍵の送信が完了すると（ステップＡ１２２のＹｅｓ）、端末制御部２６は、端末記憶部２５に記憶されている送信済みの暗号化データおよび暗号化鍵を消去することができる（ステップＡ１２３）。

警備員は、警備中、必要に応じて、通信端末２の端末操作部２１による点検記録の入力および追加／修正や撮影部２２による証拠画像の撮影など入力データの入力と、入力し終わった入力データのセンタ装置３への転送とを繰り返すことができる。警備スケジュールに示されたすべての警備業務が終わって勤務を終了するとき、警備員は、通信端末２の端末操作部２１に勤務終了の入力を行う。

図７を参照すると、通信端末２の端末制御部２６は、端末操作部２１に勤務終了の入力が行われたか否かを判定する（ステップＡ１２４）。端末操作部２１に勤務終了が入力されると（ステップＡ１２４のＹｅｓ）、端末制御部２６は、端末通信部２４によって、通信端末２の使用者の個人ＩＤおよび端末ＩＤのうち少なくとも１つを有する勤務終了信号をセンタ装置３に送信する（ステップＡ１２５）。このとき、端末記憶部２５にセンタ装置３に転送していない暗号化データおよび暗号化鍵が無いことを条件に勤務終了の入力を受け付けるようにしてもよい。また、端末制御部２６は、端末記憶部２５に記憶されている公開鍵を消去する（ステップＡ１２６）。

センタ装置３のセンタ制御部３５は、センタ通信部３３が通信端末２から使用者の勤務の終了を示す勤務終了信号を受信したか否かを判定して、使用者が通信端末２の使用を終了したか否かを判定する（ステップＢ１１２）。センタ通信部３３が勤務終了信号を受信すると（ステップＢ１１２のＹｅｓ）、センタ制御部３５は、センタ記憶部３４に記憶されている、勤務終了信号が有する個人ＩＤまたは端末ＩＤに対応する勤務管理情報の退勤フラグをＯＮに設定して、通信端末２の使用者の退勤を登録する（ステップＢ１１３）。このとき、センタ制御部３５は、退勤時刻などの情報を勤務管理情報に登録してもよい。また、センタ制御部３５は、受信した個人ＩＤまたは端末ＩＤに対応する秘密鍵をセンタ記憶部３４から消去する（ステップＢ１１４）。ここで、センタ記憶部３４が記録用共通鍵を記憶している場合、センタ制御部３５は、受信した個人ＩＤまたは端末ＩＤに対応付けてセンタ記憶部３４に記憶されている記録用共通鍵を消去してもよい。

以上説明してきたように、本発明に係る通信端末は、通信端末に入力されたデータのうち、使用者が通信端末で利用するデータは、通信端末上で復号可能な暗号方式で暗号化する。一方、使用者が通信端末で利用しないデータは、通信端末上で復号できない暗号方式で暗号化する。特に、本発明に係るセンタ装置は、生成した公開鍵および秘密鍵の鍵ペアのうち公開鍵を通信端末に送り、秘密鍵をセンタ装置に記憶する。また、本発明に係る通信端末は、使用者が通信端末上で利用しない画像データおよびその暗号化に用いた画像用共通鍵を暗号化し終わると、元の画像データおよび画像用共通鍵を消去する。これにより、公開鍵暗号方式で公開鍵を用いて暗号化した、画像データの暗号化に用いた画像用共通鍵は、使用者自身でさえ秘密鍵を有しない通信端末上で復号することはできないので、画像データの復号もできない。したがって、通信端末に入力された画像データなどの使用者が通信端末上で利用しない入力データが、使用者の手によって漏洩することを確実に防止することができる。

また、本発明に係るセンタ装置は、使用者によって通信端末の使用が開始されるタイミングで、公開鍵暗号方式の暗号処理で用いられる一対の公開鍵および秘密鍵を新たに生成する。また、センタ装置は、使用者によって通信端末の使用が終了するタイミングで、センタ記憶部から秘密鍵を消去するよう構成されている。したがって、仮に、悪意の第三者が秘密鍵を手に入れてしまった場合でも、通信端末の使用者が代わるごとに異なる公開鍵および秘密鍵が、通信端末の入力データを暗号化した記録用共通鍵および画像用共通鍵の暗号化および復号に用いられるので、通信端末に入力された入力データの漏洩を一人の使用者が入力した入力データの範囲に留めることができる。また、万一、通信端末の使用者が悪意の第三者になった場合でも、他の使用者が通信端末に入力した入力データの流出を確実に防止することができるので、入力データの流出を最小限にすることができる。

さらに、本発明に係る通信端末は、例えば端末操作部から入力された点検記録情報および撮影部から入力された画像データなどの相対的に大きな入力データを、処理負荷の小さい共通鍵暗号方式で共通鍵を用いて暗号化し、これらの入力データの暗号化に用いた相対的に小さなデータである共通鍵を、処理負荷は大きいがより安全な公開鍵暗号方式で、公開鍵を用いて暗号化する。したがって、通信端末の負荷を抑えつつ、入力データの高い秘匿性を確保することができる。

さらに、本発明によれば、撮影部による画像データなどの入力データの入力は、端末記憶部に公開鍵が記憶されていない場合は禁止することができる。したがって、撮影部から入力される画像データなどの秘匿性の高い入力データが、暗号化されずに端末記憶部に記憶されることを防止することができ、画像データなどの入力データの高い秘匿性を確保できる。

また、本発明に係る通信端末は、端末記憶部に記憶された暗号化データおよび暗号化鍵をセンタ装置に転送し終わると、送信済みの暗号化データおよび暗号化鍵を端末記憶部から消去する。したがって、暗号化データが端末記憶部に記憶されている期間が限られるため、悪意の第三者が極めて短い時間で秘密鍵を手に入れない限り、画像データなどの入力データが漏洩することがなく、入力データの秘匿性をさらに向上することができる。

以上、本発明の好適な実施形態について説明してきたが、本発明はこれらの実施形態に限定されるものではない。例えば、通信端末は、電源が投入されると電源が投入されたことを示す電源投入通知信号をセンタ装置に送信するように構成されてもよい。この場合、センタ装置は、通信端末からの電源投入通知信号の受信を通信端末の使用が開始されるタイミングとして、公開鍵および秘密鍵の鍵ペアを生成するよう構成されてもよい。また、通信端末は、電源切断時に端末記憶部に記憶された公開鍵を消去してもよい。そして、通信端末は、電源切断時に電源が切断されたことを示す電源切断通知信号をセンタ装置に送信するよう構成されてもよい。この場合、センタ装置は、電源切断通知信号の受信を通信端末の使用が終了したタイミングとして、センタ記憶部に記憶された秘密鍵を消去してもよい。

また、上述した実施形態において、使用者の勤務ごとに入力データの暗号処理に用いる暗号鍵を変更したが、例えば、センタ装置は、使用者が勤務中に行う業務ごとに新たに暗号鍵を生成してもよい。この場合、例えば、通信端末は、警備員が端末操作部により実施する警備業務を選択すると、業務の開始を示す業務開始信号をセンタ装置に送信するよう構成されてもよい。また、通信端末は、現在時刻が、警備スケジュールで示される各警備業務の開始時刻になったとき、業務開始信号をセンタ装置に送信してもよい。センタ装置は、この警備業務開始信号の受信を、通信端末の使用が開始されるタイミングとして、公開鍵および秘密鍵の鍵ペアを生成することができる。

また、上述した実施形態では、警備員が通信端末に勤務開始の入力を行い、通信端末からセンタ装置に勤務開始信号を送信する例について説明したが、センタ装置への勤務開始の通知はこの手順に限定されない。例えば、警備員が、勤務する事業所に設置されているパソコンなどの通信端末とは異なる通信装置に対して勤務開始の入力を行い、この勤務開始の入力において個人ＩＤと共に当該勤務で使用する通信端末の端末ＩＤを入力して、この通信装置からセンタ装置に勤務開始信号を送信するようにしてもよい。

さらに、上記の実施形態では、警備システムにおいて警備員が警備業務に使用する通信端末について述べたが、本発明に係る通信端末は、ビルの清掃およびメンテナンス、各種機器の点検、保守および修理など他の業務で使用されてもよい。この場合、通信端末には、業務の実施記録や作業の進捗状況などに関する情報が、端末操作部から入力データとして入力されてもよい。

１ 警備システム
２ 通信端末
２１ 端末操作部
２２ 撮影部
２３ 端末表示部
２４ 端末通信部
２５ 端末記憶部
２６ 端末制御部
２６１ 端末鍵生成部
２６２ 記録暗号化部
２６３ 画像暗号化部
２６４ 端末復号部
３ センタ装置
３１ センタ操作部
３２ センタ表示部
３３ センタ通信部
３４ センタ記憶部
３５ センタ制御部
３５１ センタ鍵生成部
３５２ センタ復号部
４ 警備装置
５ 通信ネットワーク
５１ ネットワーク
５２ ルータ
５３ アクセスポイント
５４ 携帯電話ネットワーク
５５〜５７ 基地局

Claims (12)

1. 端末操作部と撮影部とを有する通信端末と、該通信端末と通信可能なセンタ装置と、を有する通信システムであって、
   前記センタ装置は、
   公開鍵暗号方式の一対の公開鍵および秘密鍵を生成するセンタ鍵生成部と、
   前記公開鍵を前記通信端末に送信するセンタ通信部と、
   前記秘密鍵を記憶するセンタ記憶部と、を有し、
   前記通信端末は、
   前記センタ装置から前記公開鍵を受信する端末通信部と、
   前記端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化する第１の暗号化部と、
   共通鍵暗号方式の第２の共通鍵を生成する端末鍵生成部と、
   前記撮影部にて取得された画像データを前記第２の共通鍵を用いて暗号化して暗号化データとし、該第２の共通鍵を前記公開鍵を用いて暗号化して暗号化鍵とする第２の暗号化部と、
   前記第１の暗号化部によって暗号化されたデータを記憶すると共に、前記第２の暗号化部によって暗号化された前記暗号化データと前記暗号化鍵とを対応付けて記憶する端末記憶部と、を有することを特徴とする通信システム。
2. 前記センタ鍵生成部は、前記第１の共通鍵をさらに生成し、
   前記センタ通信部は、前記第１の共通鍵を前記通信端末にさらに送信し、
   前記端末通信部は、前記センタ装置から前記第１の共通鍵をさらに受信する、請求項１に記載の通信システム。
3. 前記端末鍵生成部は、前記第１の共通鍵をさらに生成する、請求項１に記載の通信システム。
4. 前記端末鍵生成部は、前記撮影部にて画像データが取得されると前記第２の共通鍵を生成する、請求項１〜３のいずれか一項に記載の通信システム。
5. 前記端末鍵生成部は、前記第２の共通鍵を第１の所定数生成し、前記生成した第１の所定数の共通鍵のうち前記第２の暗号化部により使用されていない未使用の第２の共通鍵の数が、前記第１の所定数より小さい第２の所定数を下回ると、前記第２の共通鍵の数が前記第１の所定数に達するまで新たに前記第２の共通鍵を生成する、請求項１〜４のいずれか一項に記載の通信システム。
6. 前記端末操作部は、使用者の使用者認証情報を入力し、
   前記センタ鍵生成部は、前記センタ通信部が前記通信端末から前記使用者認証情報を受信したときを、前記通信端末の使用が開始されるタイミングとして、前記一対の公開鍵および秘密鍵を生成する、請求項１〜５のいずれか一項に記載の通信システム。
7. 前記通信端末は、前記公開鍵が前記端末記憶部に記憶されていない場合、前記撮影部による前記画像データの取得を禁止する端末制御部をさらに有する、請求項１〜６のいずれか一項に記載の通信システム。
8. 前記端末通信部は、前記端末記憶部に記憶された前記暗号化データおよび前記暗号化鍵を前記センタ装置に送信し、
   前記端末制御部は、該端末通信部が送信を完了した前記暗号化データおよび前記暗号化鍵を前記端末記憶部に消去させ、
   前記センタ通信部は、前記通信端末から前記暗号化データおよび前記暗号化鍵を受信し、
   前記センタ装置は、前記受信した暗号化鍵を前記センタ記憶部に記憶した前記秘密鍵を用いて復号して前記第２の共通鍵とし、前記復号した第２の共通鍵を用いて前記受信した暗号化データを復号する復号部をさらに有する、請求項７に記載の通信システム。
9. 端末操作部と撮影部とを有する通信端末と、該通信端末と通信可能なセンタ装置と、によって行われる通信方法であって、
   前記センタ装置は、
   公開鍵暗号方式の一対の公開鍵および秘密鍵を生成するステップと、
   前記公開鍵を前記通信端末に送信するステップと、
   前記秘密鍵をセンタ記憶部に記憶させるステップと、を有し、
   前記通信端末は、
   前記センタ装置から前記公開鍵を受信するステップと、
   前記端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化するステップと、
   共通鍵暗号方式の第２の共通鍵を生成するステップと、
   前記撮影部にて取得された画像データを前記第２の共通鍵を用いて暗号化して暗号化データとし、該第２の共通鍵を前記公開鍵を用いて暗号化して暗号化鍵とするステップと、
   前記第１の暗号化部によって暗号化されたデータを端末記憶部に記憶させると共に、前記第２の暗号化部によって暗号化された前記暗号化データと前記暗号化鍵とを対応付けて該端末記憶部に記憶させるステップと、を有することを特徴とする通信方法。
10. 端末操作部と撮影部とを有し、センタ装置と通信可能な通信端末によって実行される通信プログラムであって、
    前記端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化する手順と、
    共通鍵暗号方式の第２の共通鍵を生成する手順と、
    前記撮影部にて取得された画像データを前記第２の共通鍵を用いて暗号化して暗号化データとし、前記センタ装置から受信した公開鍵暗号方式の公開鍵を用いて該第２の共通鍵を暗号化して暗号化鍵とする手順と、
    前記第１の暗号化部によって暗号化されたデータを端末記憶部に記憶させると共に、前記第２の暗号化部によって暗号化された前記暗号化データと前記暗号化鍵とを対応付けて該端末記憶部に記憶させる手順と、を前記通信端末の制御部に実行させることを特徴とする通信プログラム。
11. 端末操作部と撮影部とを有し、センタ装置と通信可能な通信端末であって、
    前記センタ装置から公開鍵暗号方式の公開鍵を受信する端末通信部と、
    前記端末操作部から入力された入力データを共通鍵暗号方式の第１の共通鍵を用いて暗号化する第１の暗号化部と、
    共通鍵暗号方式の第２の共通鍵を生成する端末鍵生成部と、
    前記撮影部にて取得された画像データを前記第２の共通鍵を用いて暗号化して暗号化データとし、該第２の共通鍵を前記公開鍵を用いて暗号化して暗号化鍵とする第２の暗号化部と、
    前記第１の暗号化部によって暗号化されたデータを記憶すると共に、前記第２の暗号化部によって暗号化された前記暗号化データと前記暗号化鍵とを対応付けて記憶する端末記憶部と、を有することを特徴とする通信端末。
12. 前記端末鍵生成部は、前記撮影部にて画像データが取得されると前記第２の共通鍵を生成し、
    前記第２の暗号化部は、前記画像データを前記第２の共通鍵を用いて暗号化すると、該第２の共通鍵を消去する、請求項１１に記載の通信端末。

Images