JP5475526B2

JP5475526B2 - 保守用端末およびその保守用端末を使用する保守用端末システム

Info

Publication number: JP5475526B2
Application number: JP2010085749A
Authority: JP
Inventors: 典宏長徳; 明彦渡邊; 淳井上; 篤志扇谷; 武植田
Original assignee: Mitsubishi Electric Corp; Mitsubishi Electric Building Techno-Service Co Ltd
Current assignee: Mitsubishi Electric Corp; Mitsubishi Electric Building Techno-Service Co Ltd
Priority date: 2010-04-02
Filing date: 2010-04-02
Publication date: 2014-04-16
Anticipated expiration: 2030-04-02
Also published as: JP2011216041A

Description

この発明は、社内ネットワークと保守現場ネットワークの両方に接続可能な保守用端末およびその保守用端末を使用する保守用端末システムに関するものである。

社内にある社内ネットワークと社外にある保守現場ネットワークで使用する保守用端末及び保守用端末を含む保守用端末システムでは、社内ネットワークで使用する社内アプリケーションや社内データと保守現場ネットワークで使用する保守現場アプリケーションと保守現場データを同一の端末で使用するため、保守現場で作業する際にも、保守現場で使用しない社内アプリケーションや社内データを持ち出すことになる（例えば、特許文献１参照）。

また、保守用端末及び保守用端末システムを、キーボードやマウス等での操作を保守用端末からサーバに送信し、サーバでその操作に応じた処理を実施し、画面データのみを保守用端末に転送するいわゆるシンクライアントで実現すると、保守現場ネットワークで使用するために社外に持ち出す場合でも、保守用端末のハードディスクにアプリケーションやデータを保存する必要がなくなる（例えば、特許文献２参照）。

特開２００８−０７７６００号公報特開２００８−０７７４１３号公報

しかし、保守用端末のハードディスク全体や社内データを暗号化しても、保守用端末を紛失したり、盗難に会ったりしたときには、暗号化したデータが漏えいする可能性が残るため、セキュリティリスクがある。

また、シンクライアントで実現する保守用端末では、保守現場ネットワークで、ブロードバンド、モバイルブロードバンドなどの広帯域のネットワークが使用できる常時接続環境を提供する必要があり、全ての保守現場に適用するのは困難である。

この発明は、前記のような課題を解決するためになされたものであり、社内ネットワークで使用する社内アプリケーションや社内データと保守現場ネットワークで使用する保守現場アプリケーションと保守現場データを同一の端末で使用する場合に、社内データの持ち出しを防いでセキュリティリスクを低減し、保守現場アプリケーションと保守現場データを使用できる保守用端末およびその保守用端末を使用する保守用端末システムを得ることを目的とする。

この発明に係る保守用端末は、社内ネットワークと保守現場ネットワークに排他的に接続して社内データと保守データにアクセスする保守用端末であって、上記社内ネットワークに接続されていることを検出したときには社内端末仮想マシンまたは保守用端末仮想マシンのいずれかの起動を許可し、また、上記保守現場ネットワークに接続されていることを検出したときには上記保守用端末仮想マシンの起動を許可するとともに上記社内端末仮想マシンの起動を禁止する保守用端末管理部を備えた。

この発明に係る保守用端末システムでは、社内データと保守データにアクセスする保守用端末において、社内データのファイル保存先を信頼できる社内ネットワークのファイルサーバとして社内データを社外に持ち出すことを抑止して情報漏えいリスクを低減するという効果を奏する。
また、社内データと保守データにアクセスする保守用端末において、保守アプリケーションを含む保守用端末仮想マシンの実行を社内ネットワークと保守現場ネットワークのネットワーク接続ができる場所に限って許可すること、保守現場ネットワークでの保守データのファイル保存先を暗号化領域のみとすることで、情報漏えいリスクを低減しながら保守用端末としての可用性を確保するという効果を奏する。

この発明に係る保守用端末システムの構成図である。ファイルサーバのデータ領域構成図である。端末モード判定・切替情報テーブルの構成図である。ファイルサーバ領域切替テーブルの構成図である。ファイル監視制御情報テーブルの構成図である。社内ネットワークに接続して保守用端末を起動する手順を示すフローチャートである。保守用端末をネットワーク接続するための認証情報の入力画面である。社内ネットワークに接続した保守用端末で社内端末仮想マシンまたは保守用端末仮想マシンを選択する選択画面である。社内で社内ネットワークに接続した保守用端末の社内端末仮想マシンを使用する手順を示すフローチャートである。社内で社内ネットワークに接続した保守用端末の保守用端末仮想マシンを使用する手順を示すフローチャートである。保守現場へ持ち出すファイルを指定する画面である。社内で社内ネットワークに接続した保守用端末がファイルサーバを監視する手順を示すフローチャートである。保守用端末が社内ネットワークに接続されていないときファイルを削除する手順を示すフローチャートである。保守現場ネットワークに接続して保守用端末を起動する手順を示すフローチャートである。保守現場で保守現場ネットワークに接続した保守用端末の保守用端末仮想マシンを使用する手順を示すフローチャートである。社内データを保守用端末に格納して持ち出すときの手順を示すフローチャートである。保守現場へ持ち出す社内データ領域のファイルを指定する画面である。保守現場へ持ち出す社内データ領域のファイルの持出しに承認を与える画面である。承認用端末に記録されるファイル履歴の内容である。

以下、本発明の保守用端末の好適な実施の形態につき図面を用いて説明する。
図１は、この発明に係る保守用端末システムの構成図である。
この発明に係る保守用端末１は、社内にある社内ネットワーク２と社外にある保守現場ネットワーク３と排他的に接続されて使用される。社内では社内ネットワーク２に接続して社内アプリケーション４と保守アプリケーション５を実行し、社外では保守現場ネットワーク３に接続して保守アプリケーション５を実行する。

現場システム１１には、保守用端末１が保守現場ネットワーク３に接続する際に認証を行うネットワーク認証装置１２と、エレベータ装置１３を監視するエレベータ監視装置１４と、エレベータ装置１３の周辺の映像監視を行う監視レコーダ１５等の付加機器と、を備える。

社内システム２１には、保守用端末１が社内ネットワーク２に接続する際に認証を行うネットワーク認証装置２２と、保守用端末１のアプリケーションのファイルを保存するファイルサーバ２３と、エレベータ監視装置１４からのエレベータ監視状況を受信する遠隔監視サーバ２４と、ファイルサーバ２３のファイルの移動に関する承認と履歴記録を行う承認用端末２５と、を備える。

エレベータ監視装置１４と遠隔監視サーバ２４とは遠隔監視回線６を通じて接続して、エレベータ監視装置１４からエレベータを含む現場システム１１の異常を通知する。

保守用端末１は、保守用端末管理部３１と、社内端末仮想マシン３２と、保守用端末仮想マシン３３とからなる。
社内端末仮想マシン３２は、社内アプリケーション４と、ＯＳ３４と、仮想ネットワーク部３５と、仮想ファイルシステム部３６と、を含み、社内で使用する社内アプリケーション４を実行する環境である。
保守用端末仮想マシン３３は、保守アプリケーション５と、ＯＳ３７と、仮想ネットワーク部３８と、仮想ファイルシステム部３９と、を含み、保守現場で使用する保守アプリケーション５を実行する環境である。

保守用端末管理部３１は、社内システム２１または現場システム１１と例えばＬＡＮ接続するネットワークインタフェース４８と、ネットワーク認証装置１２、２２とネットワーク接続の際の認証を行うネットワーク認証部４１と、認証結果に従って社内ネットワーク２に接続しているとき社内で、保守現場ネットワーク３に接続しているとき保守現場で動作するように判別する端末モード切替部４２と、社内で動作するように判別されたとき社内端末仮想マシン３２または保守用端末仮想マシン３３の何れかを、保守現場で動作するように判別されたとき保守用端末仮想マシン３３を起動する仮想マシン起動部４９、端末モード切替部４２の判別結果に応じて社内端末仮想マシン３２と保守用端末仮想マシン３３からのネットワークアクセスを社内ネットワーク２、保守現場ネットワーク３または禁止に振り分けるネットワークアクセス制御部４３と、端末モード切替部４２の判別結果に応じてファイルアクセスをファイルサーバ２３、暗号化領域４５または禁止に振り分けるファイルアクセス制御部４４と、を含む。

また、保守用端末管理部３１は、社内ネットワーク２との接続を検出しない時間が予め定めた第１の時間を超えた場合に暗号化領域４５のファイルを削除し、更に第１の時間を超える予め定めた第２の時間を超えた場合に社内端末仮想マシン３２と保守用端末仮想マシン３３のファイルを削除するファイル監視制御部４６と、暗号化領域４５のファイルを削除した場合に真となり、保守現場ネットワーク３に接続しているときエレベータ監視装置１４が不審端末フラグ４７が真であることを検出した場合に、遠隔監視サーバ２４に異常発報させる不審端末フラグ４７と、を含む。

なお、社内ネットワーク２上にシンクライアントサーバを設置し、社内端末仮想マシンをシンクライアントとしてもよい。
暗号化領域４５には、保守用端末１で持ち出すデータファイルが暗号化されて保存される。また、保守作業のためのツール実行ファイルやドキュメントファイルが保存される。

ネットワークインタフェース４８は、有線ＬＡＮや無線ＬＡＮとすることができる。有線ＬＡＮにした場合には、ネットワーク認証装置１２、２２はＬＡＮスイッチやＶＬＡＮによりネットワークを接続／遮断する。無線ＬＡＮの場合は無線ＬＡＮ認証によってネットワークを接続／遮断する。

図２は、ファイルサーバ２３のデータ領域構成図である。
ファイルサーバ２３は、社内で利用するデータファイル・ＯＡ用ツール実行ファイル・ドキュメントファイルを記録する社内データ領域５１、社内で利用するデータファイル・保守用ツール実行ファイル・ドキュメントファイルを記録する保守データ領域５２、保守用端末１に持ち出すデータファイル・保守用ツール実行ファイル・ドキュメントファイルを記録する保守用データダウンロード領域５４、保守用端末１から読み込んだデータファイル・保守用ツール実行ファイル・ドキュメントファイルを記録する保守用データアップロード領域５３を有する。
社内データ領域５１は、社内端末仮想マシン３２の社内アプリケーション４からアクセス可能、保守データ領域５２は、保守用端末仮想マシン３３の保守アプリケーション５からアクセス可能、保守データアップロード領域５３と保守データダウンロード領域５４は保守用端末管理部３１のファイルアクセス制御部４４からアクセス可能である。そして、社内ネットワーク２に接続していることを検出した場合にファイルアクセス制御部４４は暗号化領域４５のファイルを保守データアップロード領域５３に移動（アップロードと呼ぶ）し、社内ネットワーク２に接続していることを検出した場合にファイルアクセス制御部４４は保守データダウンロード領域５４にファイルがある場合暗号化領域４５に移動（ダウンロードと呼ぶ）する。

図３は、端末モード判定・切替情報テーブルの構成図である。
端末モード切替部４２は、端末モード判定・切替情報テーブルが備えられている。識別したネットワークと端末モード、同モードで実行を許可する端末仮想マシンと、許可するファイルアクセスの対応を示す。
端末モード判定・切り替え情報テーブルの記載に従って、ネットワーク認証部４１が認証したネットワークが社内ネットワーク２であれば、端末モード切替部４２はファイルアクセス制御部４４のファイルアクセス先をファイルサーバ２３とし、仮想マシン起動部４９に社内端末仮想マシン３２または保守用端末仮想マシン３３のいずれかを起動することを設定する。端末モードは、仮想マシン起動部４９が起動した仮想マシンと一致する。また、ネットワーク認証部４１が認証したネットワークが保守現場ネットワーク３であれば、端末モード切替部４２はファイルファイルアクセス制御部４４のファイルアクセス先を暗号化領域４５とし、仮想マシン起動部４９に保守用端末仮想マシン３３を起動することを設定する。
さらに、ネットワーク認証部４１が社内ネットワーク２および保守現場ネットワーク３のいずれも認証できなかった場合は、ファイルアクセス制御部４４にファイルアクセスを禁止する設定を行い、仮想マシン起動部４９にもいずれの仮想マシンの起動を許可しない。

図４は、ファイルサーバ領域切替テーブルの構成図である。
ファイルアクセス制御部４４は、ファイルサーバ領域切替情報テーブルが備えられている。ファイルアクセス制御部４４は、社内ネットワーク２に接続しているときの端末モードによって、ファイルサーバ２３におけるファイルアクセス先のパス設定を示す。
ファイルサーバ領域切替テーブルに従って、端末モードが社内端末の場合、社内端末仮想マシン３２からのファイルアクセスは、ファイルアクセス制御部４４によってファイルサーバ２３の社内データ領域５１となる。また、端末モードが保守端末の場合、保守端末仮想マシン３３からのファイルアクセスは保守データ領域５２となり、ファイルアクセス制御部４４によるアップロードは保守データアップロード領域５３、ファイルアクセス制御部４４によるダウンロードは保守データダウンロード領域５４の、それぞれの領域に対して行う。

図５は、ファイル監視制御情報テーブルの構成図である。
ファイル監視制御部４６は、ファイル監視制御情報テーブルが備えられている。ファイル監視制御情報テーブルには、暗号化領域４５のファイルを削除するまでの第１の時刻を示す不審化タイマーと、社内端末仮想マシン３２および保守用端末仮想マシン３３のファイルを削除するまでの第２の時刻を示す端末仮想マシン削除タイマーと、が設定されている。

図６は、社内ネットワーク２に接続して保守用端末１を起動する手順を示すフローチャートである。
保守員が保守用端末１を社内システム２１に接続して保守用端末１を起動すると、保守用端末１の保守用端末管理部３１が起動され、ファイル監視を開始するとともに社内端末仮想マシン３２を起動するか保守用端末仮想マシン３３を起動するかを判断するためにネットワークの接続状況の監視を開始する。保守用端末１には、図７に示すように、認証情報の入力を促す画面が表示される。
保守員がネットワーク認証情報としてのユーザ名とパスワードを入力すると、ネットワーク認証を開始し、社内システム２１のネットワーク認証装置２２によりネットワーク認証される。なお、保守用端末１のキーボードからユーザ名とパスワードを入力しているが、認証情報をＩＣカードに格納し、そのＩＣカードをＩＣカードリーダで読み取らせても良い。

そして、端末モード切替部４２は、保守用端末１が社内ネットワーク２に接続されたので、ネットワークアクセス制御部４３に社内ネットワーク２との接続を許可する。社内ネットワーク２と接続されたので、ファイル監視制御部４６は不審端末フラグ４７をクリアして、ファイル監視制御情報テーブルの不審化タイマーの時刻と端末仮想マシン削除タイマーの時刻をそれぞれ所定時間延長して再設定する。端末モード切替部４２は、ファイルアクセス制御部４４にファイルサーバ２３にファイルアクセスするように設定する。ファイルアクセス制御部４４は、暗号化領域４５のファイルを保守データアップロード領域５３にアップロードを行うと、ファイルサーバ２３は保守データアップロード領域５３のファイルを保守データ領域５２に移動する。

ファイルアクセス制御部４４は、暗号化領域４５のファイルをファイルサーバ２３にアップロードしたことを承認用端末２５に通知する。承認用端末２５は、アップロードした通知を受け取ると履歴を記録する。ファイルアクセス制御部４４は、保守データダウンロード領域５４にファイルがある場合に暗号化領域にダウンロードを行うためのファイルサーバ２３の監視を開始する。
次に、端末モード切替部４２が社内ネットワーク２への接続を認識していると、保守用端末１には、図８に示すように、起動する端末環境を選択する画面が表示される。保守員は社内端末環境または保守端末環境の何れかを選択する。なお、社内ネットワーク２に接続しているときには社内端末仮想マシン３２で作業する可能性が高い場合には、例えば１５秒を経過すると自動的に社内端末環境が選択されるようにしてある。
選択された社内端末環境または保守端末環境に従って、仮想マシン起動部４９は社内端末仮想マシン３２または保守用端末仮想マシン３を起動する。

図９は、社内で社内ネットワーク２に接続した保守用端末１の社内端末仮想マシン３２を使用する手順を示すフローチャートである。
社内端末仮想マシン３２が起動されると、社内アプリケーション４が起動される。そして、保守員が社内アプリケーション４を操作して所望のジョブを実行するが、社内アプリケーション４でファイルアクセスの処理が必要になったら、ファイルアクセス制御部４４のファイルアクセスのアクセス先を、端末モード判定・切替情報テーブルに従って端末モード切替部４２がファイルサーバ２３に指定してファイルアクセスを処理する。
保守員が所望のジョブが完了したので保守用端末１の使用を終了すると、社内端末仮想マシン３２にシャットダウン指示が行われ、その指示に従ってＯＳ（オペレーティングシステム）３４がシャットダウンする。

図１０は、社内で社内ネットワーク２に接続した保守用端末１の保守用端末仮想マシン３３を使用する手順を示すフローチャートである。
保守用端末仮想マシン３３が起動されると、保守アプリケーション５が起動される。そして、保守員が保守アプリケーション５を操作して所望のジョブを実行するが、保守アプリケーション５でファイルアクセスの処理が必要になったら、ファイルアクセス制御部４４のファイルアクセスのアクセス先を、端末モード判定・切替情報テーブルに従って端末モード切替部４２がファイルサーバ２３に指定してファイルアクセスを処理する。

保守員が保守アプリケーション５を操作して、ファイルサーバ２３の保守データ領域５２に格納されているファイルを保守現場に持ち出すとき、保守用端末１に図１１に示すように、保守現場へ持ち出すファイルを指定する画面が表示されるので、保守員により指定される。
保守アプリケーション５は、ファイルアクセス制御部４４に指定されたファイルをファイルサーバ２３に移動するように指示し、ファイルサーバ２３は指定されたファイルを保守データ領域５２から保守データダウンロード領域５４に移動させる。ファイルアクセス制御部４４は、図１２に示す、社内で社内ネットワーク２に接続した保守用端末１がファイルサーバ２３を監視する手順を示すフローチャートのとおり、保守データダウンロード領域５４に格納されたファイルを暗号化領域４５に移動させる。

保守員が所望のジョブが完了したので保守用端末１の使用を終了すると、保守用端末仮想マシン３３にシャットダウン指示が行われ、その指示に従ってＯＳ３７がシャットダウンする。

図１２は、社内で社内ネットワーク２に接続した保守用端末１がファイルサーバ２３を監視する手順を示すフローチャートである。
ファイルアクセス制御部４４は、ファイルアクセスのアクセス先がファイルサーバ２３と指定されると、ファイルサーバ２３に対する監視を開始し、その中にはファイルサーバ２３の保守データダウンロード領域５４の監視も含まれる。保守データダウンロード領域５４の監視では、ファイルサーバ２３に保守データダウンロード領域５４にファイルが有るか無いかのチェックを依頼し、ファイルがあるときそのファイルを暗号化領域４５にダウンロードする。ファイルサーバ２３は保守データダウンロード領域５４から保守用端末１にファイルを移動した後でそのファイルを保守データダウンロード領域５４から削除する。

ファイルアクセス制御部４４は、ファイルサーバ２３の保守データダウンロード領域５４から暗号化領域４５にファイルをダウンロードしたときには承認用端末２５にダウンロードしたファイルの識別記号を送信する。承認用端末２５は、社内システム２１からダウンロードされたファイルの履歴を記録する。

図１３は、保守用端末１が社内ネットワーク２に接続されていないときファイルを削除する手順を示すフローチャートである。
ファイル監視制御部４６は、保守用端末１が社内ネットワーク２に接続しなくなった時点から計時を開始する。そして、暗号化領域４５にファイルが有るか無いかを判断し、暗号化領域４５にファイルが有る場合、不審化タイマーをオーバーしたか否かを判断する。不審化タイマーをオーバーした場合は不審端末フラグ４７をセットし、不審化タイマーをオーバーしていない場合計時を継続する。

不審端末フラグ４７がセットされた場合または暗号化領域４５にファイルが無い場合、社内端末仮想マシン３２または保守用端末仮想マシン３３にファイルが有るか無いかを判断し、社内端末仮想マシン３２または保守用端末仮想マシン３３にファイルが有る場合、計時している時間が端末仮想マシン削除タイマーをオーバーしたか否かを判断する。端末仮想マシン削除タイマーをオーバーした場合、社内端末仮想マシン３２および保守用端末仮想マシン３３のファイルを削除する。

図１４は、保守現場ネットワーク３に接続して保守用端末１を起動する手順を示すフローチャートである。
保守員が保守用端末１を現場システム１１に接続して保守用端末１を起動すると、保守用端末１の保守用端末管理部３１が起動され、ファイル監視を開始するとともにネットワーク監視を開始する。保守用端末１には、図７に示すように、認証情報の入力を促す画面が表示される。
保守員がネットワーク認証情報として、ユーザ名とパスワードを入力すると、ネットワーク認証を開始し、現場システム１１のネットワーク認証装置１２によりネットワーク認証される。

そして、端末モード切替部４２は、保守用端末１が保守現場ネットワーク３に接続されたので、ネットワークアクセス制御部４３に保守現場ネットワーク３との接続を許可する。端末モード切替部４２は、保守現場ネットワーク３と接続されたので、ファイルアクセス制御部４４にローカルアクセスを設定する。ファイル監視制御部４６は不審端末フラグ４７の値を端末モード切替部４２とエレベータ監視装置１４に送信する。端末モード切替部４２は、不審端末フラグ４７が真のとき保守用端末１を停止する。不審端末フラグ４７が偽のとき仮想マシン起動部４９に起動を指示する。仮想マシン起動部４９は保守用端末仮想マシン３３を起動する。保守用端末仮想マシン３３が起動する。
エレベータ監視装置１４は、不審端末フラグ４７が真であるとの情報を受け取ったとき不審端末を発見したとする異常を遠隔監視サーバ２４に発報する。

図１５は、保守現場で保守現場ネットワーク３に接続した保守用端末１の保守用端末仮想マシン３３を使用する手順を示すフローチャートである。
保守用端末仮想マシン３３が起動されると、保守アプリケーション５が起動される。そして、保守員が保守アプリケーション５を操作して所望のジョブを実行するが、保守アプリケーション５でファイルアクセスの処理が必要になったら、ファイルアクセス制御部４４のファイルアクセスのアクセス先を、端末モード判定・切替情報テーブルに従って端末モード切替部４２が暗号化領域４５に指定してファイルアクセスを処理する。

また、保守アプリケーション５でエレベータ監視装置アクセスの処理が必要になったらネットワークアクセス制御部４３は接続を許可された保守現場ネットワーク３のエレベータ監視装置１４へのアクセスを中継してエレベータ監視装置アクセスを処理する。
保守員が所望のジョブが完了したので保守用端末１の使用を終了すると、保守用端末仮想マシン３３にシャットダウン指示が行われ、その指示に従ってＯＳ３７がシャットダウンする。

図１６は、社内データファイルを保守用端末１に格納して持ち出すときの手順を示すフローチャートである。
保守用端末１を社内ネットワーク２に接続して社内端末仮想マシン３２を起動し、次に社内アプリケーション４を起動する。
次に、保守員はファイルサーバ２３の社内データ領域５１に格納されている社内データのファイルを保守現場に持出し指示を行う。このとき保守用端末１には図１７に示すような画面が表示されるので、保守員は持出し希望のファイルにチェックを入れて指定する。
すると、承認用端末２５には図１８に示すような画面が表示され、管理者は承認するか拒否するか入力する。管理者がファイルの持出しを承認したとき承認用端末２５に承認したファイルを記録する。

管理者の承認が有ればファイルアクセス制御部４４は、ファイルサーバ２３にファイル移動指示を行い、ファイルサーバ２３は社内データ領域５１の該当するファイルを保守データダウンロード領域５４に移動する。そして、ファイルアクセス制御部４４は図１２に示す、社内で社内ネットワーク２に接続した保守用端末１がファイルサーバ２３を監視する手順を示すフローチャートのとおり、ファイルサーバ２３の保守データダウンロード領域５４からファイルを暗号化領域４５に移動する。
保守員が所望のジョブが完了したので保守用端末１の使用を終了すると、社内端末仮想マシン３２にシャットダウン指示が行われ、その指示に従ってＯＳ３４がシャットダウンする。

図１９は、承認用端末２５に記録されるファイル履歴の内容である。
この履歴は、保守用端末管理部３１から承認用端末２５への通知によって追加する。日時はファイルに対する処理が発生した日時、ユーザ名は保守用端末１を使用してネットワーク認証したユーザ名、保守用端末名は保守用端末１の名称、処理内容はファイルに対して行った処理（社内データ領域５１からの保守データダウンロード領域５４への承認・移動、保守データダウンロード領域５４から保守用端末管理部３１の暗号化領域４５への移動、保守用端末管理部３１の暗号化領域４５から保守データアップロード領域５３への移動のいずれか）、ファイル名は処理対象のファイルの名前である。

この発明に係る保守用端末システムでは、社内データと保守データにアクセスする保守用端末１において、社内データのファイル保存先を信頼できる社内ネットワーク２のファイルサーバ２３として社内データを誤って社外に持ち出すことや不正に持ち出すことを抑止して情報漏えいリスクを低減する。
また、社内データと保守データにアクセスする保守用端末１において、保守アプリケーション５を含む保守用端末仮想マシン３３の実行を社内ネットワーク２と保守現場ネットワーク３のネットワーク接続ができる場所に限って許可すること、保守現場ネットワーク３での保守データのファイル保存先を暗号化領域４５のみとすることで、情報漏えいリスクを低減しながら保守用端末１としての可用性を確保する。

また、保守用端末１で社内端末仮想マシン３２と保守用端末仮想マシン３３とそれぞれを実行し、社内データと保守データへのアクセスをそれぞれの仮想マシンに限定して行うようにし、さらに保守現場へのデータ持ち出しをユーザが明示的に行うようにしたことで、誤操作による社内データの現場持ち出しを起こりにくくする。

また、承認用端末２５はファイルサーバ２３の保守用ダウンロード領域５４内のファイルを監視し、ファイル情報などの変更を検知し、そのファイルの中身に所定のキーワードを含まないかをチェックする。また、長時間持ち出されているファイルがないかを定期的にチェックすることにより、不正な持出しや好ましくない持出しや長時間の持出しなど見つけ出される。

また、承認用端末２５のファイル履歴に処理が行われたファイルが記録されているので、検索するファイルが限定され、かつファイルの変更をトリガとしてファイル内容を検査するために検査の高速化が図られるとともに、定期的にチェックする項目はファイルの更新日時チェックのみであり高速実行できる。

また、ファイル監視制御部４６は、前回の保守用端末１の社内ネットワーク２への接続から第１の時間が経過した場合には、暗号化領域４５のファイルを削除し、第１の時間より長い第２の時間が経過した場合には、社内端末仮想マシン３２と保守用端末仮想マシン３３のファイルを削除するので、長時間会社に持ち帰っていない端末での保守アプリケーション５の実行や企業機密の参照等を制限することができる。これにより、盗難、紛失時の漏洩防止や保守用端末１の横流しなどを防止できる。

１保守用端末、２社内ネットワーク、３保守現場ネットワーク、４社内アプリケーション、５保守アプリケーション、６遠隔監視回線、１１現場システム、１２ネットワーク認証装置、１３エレベータ装置、１４エレベータ監視装置、１５監視レコーダ、２１社内システム、２２ネットワーク認証装置、２３ファイルサーバ、２４遠隔監視サーバ、２５承認用端末、３１保守用端末管理部、３２社内端末仮想マシン、３３保守用端末仮想マシン、３４ＯＳ、３５仮想ネットワーク部、３６仮想ファイルシステム部、３７ＯＳ、３８仮想ネットワーク部、３９仮想ファイルシステム部、４１ネットワーク認証部、４２端末モード切替部、４３ネットワークアクセス制御部、４４ファイルアクセス制御部、４５暗号化領域、４６ファイル監視制御部、４７不審端末フラグ、４８ネットワークインタフェース、４９仮想マシン起動部、５１社内データ領域、５２保守データ領域、５３保守データアップロード領域、５４保守データダウンロード領域。

Claims

社内ネットワークと保守現場ネットワークに排他的に接続して社内データと保守データにアクセスする保守用端末であって、
上記社内ネットワークに接続されていることを検出したときには社内端末仮想マシンまたは保守用端末仮想マシンのいずれかの起動を許可し、また、上記保守現場ネットワークに接続されていることを検出したときには上記保守用端末仮想マシンの起動を許可するとともに上記社内端末仮想マシンの起動を禁止する保守用端末管理部を備えたことを特徴とする保守用端末。
上記保守用端末管理部は、上記社内ネットワークに接続されていることを検出した場合の上記保守用端末仮想マシンの実行においてはファイルのアクセス先を上記社内ネットワークに接続されるファイルサーバとし、上記保守現場ネットワークに接続されていることを検出した場合の上記保守用端末仮想マシンの実行においてはファイルのアクセス先を暗号化領域とすることを特徴とする請求項１に記載の保守用端末。
上記保守用端末管理部は、上記社内ネットワークに接続されていることを検出しない時間が予め定めた第１の時間を超えた場合に上記暗号化領域のファイルを削除し、また上記第１の時間を超える予め定めた第２の時間を上記社内ネットワークに接続されていることを検出しない時間が超えた場合に上記社内端末仮想マシンおよび上記保守用端末仮想マシンのファイルを削除することを特徴とする請求項２に記載の保守用端末。
社内ネットワークに接続されたファイルサーバは請求項１乃至３のいずれかに記載の保守用端末の保守端末仮想マシンからアクセス可能な第１の領域と第２の領域を有し、
上記保守用端末は、自身が上記社内ネットワークに接続されていることを検出した場合には、暗号化領域のファイルを上記第１の領域に移動し、上記第２の領域のファイルを上記暗号化領域に移動する保守用端末管理部を備えたことを特徴とする保守用端末システム。
上記保守用端末管理部に上記暗号化領域のファイルを削除したことを示す不審端末フラグを備え、
上記保守用端末が接続されている保守現場ネットワークに接続されているエレベータ監視装置は、上記不審端末フラグが真であることを検出したときに遠隔監視サーバに異常発報することを特徴とする請求項４に記載の保守用端末システム。
上記保守用端末の暗号化領域に上記ファイルサーバに格納されているファイルを移動するとき上記移動を承認するとともに上記移動を承認したとき移動したファイルの履歴を記録する承認用端末を備えたことを特徴とする請求項４または５に記載の保守用端末システム。