JP6008660B2 - 情報処理装置、情報処理方法 - Google Patents

Description

本発明は、アクセスポリシの制御技術に関するものである。

近年、スマートフォンやディジタルカメラのようなアプリケーション実行環境を搭載したユーザデバイスが広まっている。このようなユーザデバイスには、アドレス帳などの個人情報等の機密データが保存されるだけでなく、個人の写真データなどが保存される。通常、アプリケーションがアクセス可能な機密データや写真データは、ユーザデバイスを利用するユーザに応じたアクセスポリシが設定され、このポリシで許可されたデータにのみアクセスすることが可能である。

一方で、このようなアクセスポリシは、ユーザに対して固定のアクセスポリシが適用されるだけでなく、日時や利用場所などの動作条件に応じて適用される技術が知られている。このような技術として特許文献１がある。特許文献１では、ユーザデバイスの位置（場所）に応じてアクセスポリシが自動的に割り当てられ、該アクセスポリシに従って文書などのコンテンツへのアクセス制御が行われる。

特開2005-267353号公報

ディジタルカメラなどのユーザデバイスは他人と共有することも多く、利用ユーザがカメラに保存された画像を閲覧アプリケーションで表示し、それを友人に閲覧させるような用途がある。この場合、閲覧させる友人がカメラを不正操作し、利用ユーザが意図しないアドレス帳やアプリケーションにアクセスしてしまう可能性がある。このような場合、通常はユーザの認証情報等を入力してアクセスポリシの切り替えを行う。しかしながら、この方法では、カメラの受け渡しの度に認証情報を入力してアクセスポリシを切り替える煩雑な操作を利用ユーザに要求することになる。つまり、ユーザデバイスを友人と共有する場合においても、簡便にアクセスポリシを切り替えて不正利用を防止する機能が望まれる。

また、ディジタルカメラ等のユーザデバイスは、利用場所を予め特定することが難しく、特許文献１のように位置に応じてアクセス制御する場合、適切なアクセスポリシがユーザデバイスに設定できない場合がある。この場合、正当なユーザがデータにアクセスできない場合や、不正なユーザが機密データにアクセス出来てしまう可能性がある。

本発明は、このような問題に鑑みてなされたものであり、アプリケーションを実行する装置を複数のユーザで共有する場合であっても、アクセスポリシを適切に設定することができる技術を提供することを目的とする。

本発明の目的を達成するために、例えば、本発明の情報処理装置は、情報処理装置であって、前記情報処理装置が有するリソースのうち利用が許可されているリソースを用いて処理を実行する処理手段と、ユーザが保持する端末から発信されている信号の強度若しくは該強度に応じて求めた前記情報処理装置と前記端末との間の距離と、基準値と、の差が大きいほど、前記処理手段に利用を許可するリソースをより制限する制御手段とを備えることを特徴とする。

本発明の構成によれば、アプリケーションを実行する装置を複数のユーザで共有する場合であっても、アクセスポリシを適切に設定することができる。

システムの機能構成例を示すブロック図。 ディジタルカメラの外観例を示す図。 ユーザ権限記憶部３０１に登録されている情報の構成例を示す図。 インジケータ４０３の例を示す図。 アプリケーション実行端末１０２が行う処理のフローチャート。 距離情報１と距離情報２の組み合わせを示す図。 投稿アプリケーションのスクリプトの一例を示す図。 アプリケーション実行端末１０２が行う処理のフローチャート。 テーブルの構成例を示す図。 アプリケーション実行端末１９０１の機能構成例を示すブロック図。 アプリケーション実行端末１９０１が行う処理のフローチャート。

以下、添付図面を参照し、本発明の好適な実施形態について説明する。なお、以下説明する実施形態は、本発明を具体的に実施した場合の一例を示すもので、特許請求の範囲に記載の構成の具体的な実施例の１つである。

［第１の実施形態］
＜システムについて＞
先ず、本実施形態に係るシステムの機能構成例について、図１のブロック図を用いて説明する。図１に示す如く、本実施形態に係るシステムは、各ユーザが保持するユーザ保持端末１０１と、各ユーザで共有するアプリケーション実行端末１０２と、を有する。

本システムの目的は、アプリケーション実行端末１０２が有するリソースの利用制御に利用されるアクセスポリシを、ユーザ保持端末１０１との相対的な位置関係に応じて変更することである。これにより、アプリケーション実行端末１０２を操作するユーザが別のユーザに変わったのかを検出し、アプリケーション実行端末１０２におけるリソースの利用制御を適切に行う。

なお、図１ではシステムの構成を説明しやすくするために便宜上、１台のアプリケーション実行端末１０２と、１台のユーザ保持端末１０１と、から成るシステムを示している。しかし上記の通り、ユーザ保持端末１０１は各ユーザが保持しているものであるため、システムは、１台のアプリケーション実行端末１０２と、複数台のユーザ保持端末１０１と、を有しうる。

本実施形態では、アプリケーション実行端末１０２を操作するユーザは２人（以下では、それぞれユーザＡ（第１のユーザ）、ユーザＢ（第２のユーザ）と呼称する）とする。ユーザＡが保持するユーザ保持端末１０１（第１の端末）、ユーザＢが保持するユーザ保持端末１０１（第２の端末）、のそれぞれを区別する必要がある場合には、それぞれユーザ保持端末１０１Ａ、ユーザ保持端末１０１Ｂと呼称する。しかしユーザ保持端末１０１Ａ、ユーザ保持端末１０１Ｂに共通の説明を行う場合には、これらをまとめてユーザ保持端末１０１と呼称する。

また、以下の説明の本質はユーザの数が２であることに限るものではなく、Ｎ（Ｎは１以上の自然数）であっても構わないことは、当業者であれば、以下の説明から明らかとなるであろう。

上記の如く、ユーザ保持端末１０１は、ユーザＡやユーザＢが保持するものであり、例えば、スマートフォンや携帯電話等の通信機器や、無線LAN、Bluetooth（登録商標）、近距離無線（NFC）などの通信機能を搭載したデバイスである。ユーザ保持端末１０１は、これらのうち１つの通信機能を搭載してもよいし、複数の通信機能を搭載してもよい。また、１人のユーザが１台のユーザ保持端末１０１を保持していても構わないし、複数保持することも可能である。

アプリケーション実行端末１０２は、本装置のユーザからの操作入力に応じて自身が有するリソースを利用して処理を実行するのであるが、リソースの利用は、アクセスポリシに従って制御する。例えば、アプリケーション実行端末１０２は、ディジタルカメラなどのユーザデバイスであり、ユーザが指定した画像閲覧アプリケーションや、写真撮影アプリケーションを実行する。また、アクセスポリシはユーザごとに設定されたアクセス権やペアレンタルモードなどの動作モードに従って設定され、アプリケーション実行端末１０２のリソースへのアクセスを制御する。ここで、リソースとは、アプリケーションのAPI呼出しによってアクセスされるデータやデバイス機能であり、写真などの画像データ、アドレス帳データ、アプリケーションデータ（EXEデータ）、GPS機能や通信機能などが挙げられる。さらに、アプリケーション実行端末１０２は、本装置のユーザが他のユーザ変更されたことを検知した場合には、それに応じてアクセスポリシを変更する。

＜ユーザ保持端末１０１について＞
端末識別子記憶部２０１には、ユーザ保持端末１０１に固有の情報としての識別子が格納されている。識別子には様々な情報を用いることができ、ユーザ保持端末１０１のＩＤやユーザ保持端末１０１のユーザに係る情報（名前など）などを用いることができる。然るに、ユーザ保持端末１０１Ａの端末識別子記憶部２０１には、ユーザ保持端末１０１Ａに固有の情報としての識別子が格納されている。また、ユーザ保持端末１０１Ｂの端末識別子記憶部２０１には、ユーザ保持端末１０１Ｂに固有の情報としての識別子が格納されている。

信号送出部２０２は、端末識別子記憶部２０１に格納されている識別子を無線信号として発信する。例えば、信号送出部２０２は、携帯電話の無線通信信号や無線LAN、Bluetooth（登録商標）、近距離無線（NFC）などの規格に準拠した無線信号を発信する。或いは、信号送出部２０２は、音波を信号として発信してもよい。

＜アプリケーション実行端末１０２について＞
アプリケーション実行端末１０２がディジタルカメラである場合に、該ディジタルカメラの外観例を図２に示す。図２において本体４０１の背面（レンズなどの光学系が設けられている面とは逆の面）には、以下に説明する各部が設けられている。

表示画面４０２は、ＣＣＤを介して取得した外界の画像や撮像した画像、各種の設定を行うためのＧＵＩ等、を表示するためのものである。また、この表示画面４０２には、インジケータ４０３が表示され、このインジケータ４０３の表示制御は、後述する距離表示部３０７によって行われる。

撮像レンズ４０４は、ディジタルカメラの操作者を撮像する背面カメラなどの撮像レンズである。ボタン４０５は、本装置のユーザが各種の指示を入力するために操作するボタンである。ボタンは機能ごとに設けても良い。

図２に示したディジタルカメラの背面構成はあくまでも一例であり、後述する各処理を達成するための構成であれば、如何なる構成を採用しても良い。また、アプリケーション実行端末１０２はディジタルカメラに限るものではなく、以下に説明する各処理を実現できるのであれば、他の機器であっても良い。

次に、アプリケーション実行端末１０２の機能構成例について、図１のブロック図を用いて説明する。ユーザ距離取得部３０３は、ユーザ保持端末１０１の信号送出部２０２が発信している信号を受信する。そしてユーザ距離取得部３０３は、受信した信号の強度（電波強度）を求める、若しくは該強度からアプリケーション実行端末１０２とユーザ保持端末１０１との間の距離（相手がユーザ保持端末１０１であることは該信号中の識別子から分かる）を求める。求めたものが信号の強度であっても、アプリケーション実行端末１０２とユーザ保持端末１０１との間の距離であっても、これらの情報はアプリケーション実行端末１０２とユーザ保持端末１０１との間の距離に関連したものである。然るに、以下では、ユーザ距離取得部３０３が何れの情報を求めたとしても、求めた情報を距離情報と呼称する。そしてユーザ距離取得部３０３は、求めた距離情報を距離記憶部３０４に送出する。

ユーザ保持端末１０１が複数の通信方式に対応している場合には、接続可能な通信方式から距離を計測することも可能である。例えば、NFCで通信が可能な場合には１ｍ、無線LANで通信可能である場合には１０ｍの距離にあると推定し、推定された距離情報を距離記憶部３０４に送出する。

距離記憶部３０４は、ユーザ距離取得部３０３から送出された距離情報を少なくとも２つ記憶する。例えば、アプリケーション実行端末１０２を使用中のユーザが、該アプリケーション実行端末１０２を他のユーザに渡す等の目的で、アプリケーション実行端末１０２が有する操作部（例えば図２のボタン４０５等）を操作して距離記憶指示を入力したとする。このとき、距離記憶部３０４はこの入力を検知し、この時点でユーザ距離取得部３０３から入力された距離情報を距離情報１として記憶する。そして距離記憶部３０４は、距離情報１の記憶後、一定期間後にユーザ距離取得部３０３から取得した距離情報を距離情報２として記憶する。これで、距離記憶部３０４には、２つの距離情報が記憶されたことになる。そして距離記憶部３０４は、このようにして２つの距離情報がそろうと、適当なタイミングで該２つの距離情報を操作ユーザ判定部３０５に対して送出する。

なお、距離情報１は、一定期間前にユーザ距離取得部３０３から取得した距離情報であっても良いし、予め定められた距離情報であっても良い。いずれにせよ、距離情報１は、以下の処理において基準として用いられることになる。

ユーザ権限記憶部３０１には、アプリケーション実行端末１０２を利用するユーザごとのアクセスポリシが登録されている。ユーザ権限記憶部３０１に登録されている情報の構成例を図３を用いて説明する。図３では、ユーザＡ、ユーザＢ、特定のユーザではない一般ユーザ（Ｇｕｅｓｔ）、のそれぞれに対するアクセスポリシを含む各種の情報が登録されている。

行５０１，５０２，５０３のそれぞれには、ユーザＡ、ユーザＢ、一般ユーザに対する情報が登録されている。列５０４には、各ユーザの識別情報（図３では各ユーザ名）が登録されており、列５０５には、認証時に各ユーザがアプリケーション実行端末１０２に入力すべきパスワードが登録されている。また、列５０６には、各ユーザが保持するユーザ保持端末１０１の識別子が登録されており、列５０７には、各ユーザの顔画像が登録されておいる。また、列５０８には、各ユーザのアドレス帳の識別子（パス名やファイル名など）が登録されており、列５０９には、各ユーザの写真帳の識別子（パス名やファイル名など）が登録されている。

列５１０には、各ユーザに対して、ペアレンタルモードを設定させる（Ｏｎ）か否か（Ｏｆｆ）の設定対象・非対象が登録されている。ペアレンタルモードとは、保護者が青少年に端末を使用させるときのモードである。通常よりもアクセス制限がかかったモードになっている。図３では、ユーザＡがアプリケーション実行端末１０２を操作する場合には、ペアレンタルモードは設定せず、ユーザＢがアプリケーション実行端末１０２を操作する場合には、ペアレンタルモードを設定する。また、一般ユーザがアプリケーション実行端末１０２を操作する場合にも、ペアレンタルモードを設定する。

列５１１には、各ユーザに対する、アプリケーション実行端末１０２が有するＧＰＳ機能の利用を許可（Ｏｎ）するか否か（Ｏｆｆ）が登録されている。図３では、ユーザＡがアプリケーション実行端末１０２を操作する場合であっても、ユーザＢがアプリケーション実行端末１０２を操作する場合であっても、ＧＰＳ機能の利用は許可している。また、一般ユーザがアプリケーション実行端末１０２を操作する場合には、ＧＰＳ機能の利用は禁止している。

列５１２には、各ユーザに対する、アプリケーション実行端末１０２が有する通信機能の利用を許可（Ｏｎ）するか否か（Ｏｆｆ）が登録されている。図３では、ユーザＡがアプリケーション実行端末１０２を操作する場合であっても、ユーザＢがアプリケーション実行端末１０２を操作する場合であっても、通信機能の利用は許可している。また、一般ユーザがアプリケーション実行端末１０２を操作する場合には、通信機能の利用は禁止している。

このように、図３では、ペアレンタルモード、ＧＰＳ機能、通信機能、の３つのリソースについて利用の可否がユーザごとに登録されている。もちろん、利用可否の制御対象（アクセスポリシの設定項目）となるリソースはこの３つに限るものではない。

操作ユーザ判定部３０５は、距離記憶部３０４から距離情報１と距離情報２とが送出された場合には、距離情報１と距離情報２との差分を求め、求めた差分が規定量以上であるか否か、即ち、距離情報２が距離情報１から大きく変化しているか否かを判断する。

求めた差分が規定量以上の場合（距離情報２が距離情報１から大きく変化している場合）、距離情報１を取得した時点のアプリケーション実行端末１０２のユーザが遠くに移動し、他のユーザがアプリケーション実行端末１０２のユーザになった可能性がある。そのような場合は、操作ユーザ判定部３０５は、アプリケーション実行端末１０２のユーザが切り替わったと判断し、その旨をポリシ制御部３０２に通知する。

一方、求めた差分が規定量未満の場合（距離情報２が距離情報１から大きく変化していない場合）、操作ユーザ判定部３０５は、アプリケーション実行端末１０２のユーザは切り替わっていないと判断し、その旨をポリシ制御部３０２に通知する。また、操作ユーザ判定部３０５は、求めた差分（距離情報１と距離情報２との差分）を、距離表示部３０７に対して送出する。

ポリシ制御部３０２は、操作ユーザ判定部３０５からの通知内容に応じて、アプリケーション実行部３０６に提供するアクセスポリシを切り替える。例えば、現在アプリケーション実行端末１０２を使用中のユーザがユーザＡあるとする。このとき、操作ユーザ判定部３０５からの通知内容がユーザは切り替わっていないことを示す場合には、ポリシ制御部３０２は、ユーザ権限記憶部３０１からユーザＡのアクセスポリシを取得し、これをアプリケーション実行部３０６に供給する。ユーザＡのアクセスポリシの代わりに、デフォルトのアクセスポリシを供給するようにしても良い。そして、操作ユーザ判定部３０５からユーザが切り替わった旨の通知を受けると、ポリシ制御部３０２は、ユーザＡのアクセスポリシよりもリソースの利用を制限するアクセスポリシをアプリケーション実行部３０６に供給する。「ユーザＡのアクセスポリシ」が図３に例示するようなものである場合、「ユーザＡのアクセスポリシよりもリソースの利用を制限するアクセスポリシ」とは、例えば、ＧＰＳ機能や通信機能の利用を禁止したアクセスポリシである。また、アドレス帳や写真帳へのアクセスを禁止するアクセスポリシである。また、「ユーザＡのアクセスポリシよりもリソースの利用を制限するアクセスポリシ」として、一般ユーザのアクセスポリシ（全ユーザに共通のアクセスポリシ）を用いても良い。

このように、ポリシ制御部３０２は、操作ユーザ判定部３０５からの通知内容に従って、アプリケーション実行部３０６に提供するアクセスポリシを切り替えることで、アプリケーション実行部３０６におけるリソースの利用制限を制御することができる。

アプリケーション実行部３０６は、上記操作部を介してユーザから実行指示（アプリケーション実行指示）があったアプリケーションを、アプリケーション実行端末１０２が有するリソースを用いて実行する。その際、アプリケーション実行部３０６は、ポリシ制御部３０２から提供されるアクセスポリシにより利用が許可されているリソースを用いた処理については実行するが、利用が禁止されているリソースを用いた処理は実行しない。例えば、該アプリケーションの実行を中断しても良いし、該実行指示を無視しても良い。

距離表示部３０７は、操作ユーザ判定部３０５から受けた差分の大きさを表す上記インジケータ４０３を表示画面４０２上に表示する。インジケータ４０３に適用可能なアイコンには様々なものが考え得る。

例えば、図４の６０１に示す如く、差分が閾値θ１以上であれば、アイコン６０５をインジケータ４０３として表示し、差分が閾値θ１未満且つ閾値θ２以上（θ１＞θ２）であれば、アイコン６０４をインジケータ４０３として表示する。また、差分がθ２未満であれば、アイコン６０３をインジケータ４０３として表示する。

また例えば、図４の６０２に示す如く、差分が閾値θ１以上であれば、アイコン６０８をインジケータ４０３として表示し、差分が閾値θ１未満且つ閾値θ２以上であれば、アイコン６０７をインジケータ４０３として表示する。また、差分がθ２未満であれば、アイコン６０６をインジケータ４０３として表示する。

このように、インジケータ４０３の表示方法は、特定の表示方法に限るものではなく、距離情報１と距離情報２との差分が視覚的にユーザに報知できるのであれば、如何なる方法を採用しても良い。

次に、アプリケーション実行端末１０２がアクセスポリシを制御する為に行う処理について、同処理のフローチャートを示す図５を用いて説明する。アプリケーション実行端末１０２を操作するためには、ユーザは先ず、自身の識別情報とパスワードとをアプリケーション実行端末１０２に入力する必要がある。そこでユーザはアプリケーション実行端末１０２が有する不図示の操作部を用いて、自身の識別情報とパスワードとを入力する。

ステップＳ７０１では、ユーザ権限記憶部３０１は、このようにしてユーザから入力された識別情報とパスワードとをユーザ認証情報として受け取ると、図３に例示するテーブルから、該入力された識別情報とパスワードの組み合わせを検索する。この検索により該組み合わせが見つかった場合には、該ユーザの認証は成功したと判断し、見つからなかった場合には該ユーザの認証は失敗したと判断する。なお、アプリケーション実行端末１０２を操作するために行う認証処理には様々なものが考えられるが、これについてはここでの本質ではないため、これ以上の説明は省略する。以下の説明では、アプリケーション実行端末１０２の操作ユーザとしてユーザＡが認証されたものとする。

ステップＳ７０２では、ポリシ制御部３０２は、ユーザＡのアクセスポリシをユーザ権限記憶部３０１から読み出し、該読み出したアクセスポリシを初期値として保持する。

ステップＳ７０３では、アプリケーション実行部３０６は、ユーザＡから不図示の操作部を用いて指定されたアプリケーションを起動して実行を開始する。ここで、アプリケーションとは、例えば、画像閲覧、写真撮影、通信処理をアプリケーション実行部３０６に実行させるためのコンピュータプログラムであり、該アプリケーションの実行は、ポリシ制御部３０２が保持しているアクセスポリシに従って制御される。

そして、ユーザＡ以外の他人に画像閲覧させる場合やアプリケーション実行端末１０２を用いた画像撮影を依頼する場合等、ユーザＡが第三者にアプリケーション実行端末１０２を渡す場合、ユーザＡはボタン４０５を押下することでレンタルモードを指示する。然るにステップＳ７０４では、距離記憶部３０４は、この指示を距離記憶指示として検知する。

ステップＳ７０５では、距離記憶部３０４は、この時点でユーザ距離取得部３０３から入力された距離情報を距離情報１として記憶する。そして距離記憶部３０４は、距離情報１を記憶してから一定期間後のステップＳ７０６において、ユーザ距離取得部３０３から取得した距離情報を距離情報２として記憶する。そして距離記憶部３０４は、適当なタイミングで該２つの距離情報を操作ユーザ判定部３０５に対して送出する。

ステップＳ７０７では、操作ユーザ判定部３０５は、距離情報１と距離情報２との差分を求め、求めた差分が規定量以上であるか否かを判断する。そして、この判断の結果、求めた差分が規定量以上の場合には、アプリケーション実行端末１０２のユーザがユーザＡから他のユーザに切り替わったと判断し、処理はステップＳ７０９に進む。一方、求めた差分が規定量未満の場合には、アプリケーション実行端末１０２のユーザはユーザＡから変わっていないと判断し、処理はステップＳ７０８に進む。この「規定量」は、固定値としてもよいし、距離情報１に対する相対的な割合としてもよい。

ステップＳ７０８では、ポリシ制御部３０２は、ユーザＡのアクセスポリシをアプリケーション実行部３０６に供給する。

ステップＳ７０９では、ポリシ制御部３０２は、ユーザＡのアクセスポリシよりもリソースの利用を制限するアクセスポリシをアプリケーション実行部３０６に供給する。「ユーザＡのアクセスポリシ」が図３に例示するようなものである場合、「ユーザＡのアクセスポリシよりもリソースの利用を制限するアクセスポリシ」には、次のようなものが挙げられる。即ち、ユーザＡのアドレス帳等の個人情報データへのアクセスを禁止する、新しいアプリケーションの起動禁止などが挙げられる。この結果、画像閲覧を意図してアプリケーション実行端末１０２を渡された第三者（例えばユーザＢ）による不正なユーザデータへのアクセスが防止される。

或いは、ステップＳ７０１で認証されたユーザＡについて図３に例示するテーブルの列５０６に登録されている識別子に対応するユーザ保持端末１０１に対する距離情報１と距離情報２との差分に基づいてユーザの切り替えを判断しても良い。

また、別の判定方法では、複数のユーザ保持端末との間の距離情報の変化によって判定を行う。例えば、ステップＳ７０５においてユーザ保持端末１０１Ａ及びユーザ保持端末１０１Ｂのそれぞれについて距離情報１を取得し、ステップＳ７０６においてユーザ保持端末１０１Ａ及びユーザ保持端末１０１Ｂのそれぞれについて距離情報２を取得する。

そして、ステップＳ７０５で取得した距離情報１のうちより小さい距離に対応する距離情報１を取得したユーザ保持端末が、ステップＳ７０６で取得した距離情報２のうちより大きい距離に対応する距離情報２を取得したユーザ保持端末であるとする。この場合、ステップＳ７０７では、ユーザの切り替えがあったと判断する。つまり、ユーザ保持端末とその距離の順序の変化に基づいてユーザの切り替わりを検出する。

ステップＳ７０７において操作ユーザ判定部３０５がユーザの切り替えがあったと判断する距離情報１と距離情報２の組み合わせを図６に示す。図６（Ａ）には、距離情報１，２が何れも、ユーザ保持端末１０１Ａ（識別子は端末ＩＤ１）からの信号の強度に基づいて計算される距離であり、この距離変化に応じてユーザの切り替えを判断するケースを示している。図６（Ａ）では、距離記憶指示を受けた時点（時刻１）でユーザ距離取得部３０３から得られる信号に基づいて得られる距離情報１が「１メートル」を示している。また、時刻１から一定期間後の時刻ｔ２でユーザ距離取得部３０３から得られる信号に基づいて得られる距離情報２が「５メートル」を示している。ここで「規定量」が「３メートル」である場合、距離情報１と距離情報２との差分（４メートル）は規定量である「３メートル」以上であるため、ユーザの切り替えがあったと判断される。

図６（Ｂ）には、距離情報１，２が何れも、ユーザ保持端末１０１Ａ（識別子は端末ＩＤ１）からの信号の強度（電波強度）であり、この強度変化に応じてユーザの切り替えを判断するケースを示している。図６（Ｂ）では、距離記憶指示を受けた時点（時刻１）でユーザ距離取得部３０３から得られる信号に基づいて得られる距離情報１が「２０ｄｂ」を示している。また、時刻１から一定期間後の時刻ｔ２でユーザ距離取得部３０３から得られる信号に基づいて得られる距離情報２が「１０ｄｂ」を示している。このケースでは、電波強度の変化に応じてユーザの切り替えを判断する。

図６（Ｃ）には、距離情報１，２が何れも、アプリケーション実行端末１０２に最も近いユーザ保持端末１０１（識別子は端末ＩＤ１）からの信号の強度に基づいて計算される距離であり、この距離変化に応じてユーザの切り替えを判断するケースを示している。図６（Ｃ）では、距離情報１を測定した時に一番近い位置にいるユーザ保持端末１０１が１メートルの距離から、距離情報２の測定時には５メートルの距離に移動している。このため、ユーザ保持端末１０１が規定量よりも遠くなった場合にはユーザの切り替えを判断する。

図６（Ｄ）には、距離情報１，２が何れも、ユーザ保持端末１０１（識別子は端末ＩＤ１、端末ＩＤ２）からの信号の強度に基づいて計算される距離であり、この距離変化に応じてユーザの切り替えを判断するケースを示している。距離情報１の測定時にはユーザ保持端末１０１Ａが１メートルの位置にあり、ユーザ保持端末１０１Ｂが５メートルの位置にある。距離情報２の測定時において、ユーザ保持端末１０１Ａ、ユーザ保持端末１０１Ｂの距離はそれぞれ５メートル、１メートルと計測され、近距離にいるユーザ保持端末が変化している。このため、ユーザの切り替えがあったと判断する。

ステップＳ７１０では、アプリケーション実行部３０６は、実行を開始したアプリケーションを、アプリケーション実行端末１０２が有するリソースを用いて実行する。その際、ポリシ制御部３０２から提供されるアクセスポリシにより利用が許可されているリソースを用いた処理については実行するが、利用が禁止されているリソースを用いた処理は実行しない。

アプリケーションの実行が終了した場合には、処理はステップＳ７１１を介して完了し、終了していない場合には、処理はステップＳ７１１を介してステップＳ７０６に戻る。そして以降は定期的に距離情報２を取得し、ステップＳ７０４で取得している距離情報１との差分に応じてユーザの切り替えを判断する。

以上説明した処理により、操作ユーザ（ユーザＡ）がアプリケーション実行端末102を第三者（ユーザＢ）に操作させる場合に、アプリケーション実行端末102は適切にアプリケーションのアクセス権を制限することが可能となる。なお、本実施形態では、アプリケーション実行端末102におけるアクセス制御のレベルを、初期値と制限されたアクセスポリシの２つのレベルで制御する場合を用いて説明したが、複数のレベルとすることも可能である。この場合、アプリケーション実行端末102とユーザ保持端末101との間の距離に応じて段階的にアクセス制御のレベルを変化させる。これにより、より柔軟なポリシ制御を実行することが可能である。

なお、アプリケーション実行端末１０２の構成として説明した上記の構成はあくまでも一例であり、以下に示す構成の一例に過ぎない。即ち、アプリケーション実行端末１０２は情報処理装置の一例であり、この情報処理装置は、該情報処理装置が有するリソースのうち利用が許可されているリソースを用いて処理を実行する処理部を有する。そして更に、この情報処理装置は、ユーザが保持する端末から発信されている信号の強度若しくは該強度に応じて求めた情報処理装置と端末との間の距離と、基準値と、の差が大きいほど、処理部に利用を許可するリソースをより制限する制御部を有する。

より具体的には、制御部は、端末から発信されている信号の第１のタイミングにおける強度と、該第１のタイミングよりも過去の第２のタイミングにおける強度と、の差が規定量以上であることを検知すると、処理部に利用を許可するリソースを制限する。

リソースの制限について詳しくは次の通りである。すなわち、上記差が規定量未満であることを検知すると、情報処理装置が有するリソースのうち利用を許可するリソースを規定するアクセスポリシとして第１のアクセスポリシを設定する。また、上記差が規定量以上であることを検知すると、第１のアクセスポリシよりも処理部に利用を許可するリソースを制限する第２のアクセスポリシを設定する。そして処理部は、設定部が設定したアクセスポリシによって利用が許可されているリソースを用いて処理を実行する。

＜変形例１＞
第１の実施形態では、アプリケーションごとにアクセス制御を行っていたが、本変形例１では、アプリケーションを構成するＡＰＩごとにアクセス制御を行う。例えば、スクリプト言語で記述された写真投稿サイトへの投稿アプリケーションであり、写真撮影、投稿メッセージ作成、写真サイトログイン、写真投稿、のステップから構成されるアプリケーションを例に取る。この投稿アプリケーションを実行して写真撮影のみを第三者に依頼したい場合、第三者がその後の投稿メッセージ作成やログイン処理は行えないようにすることが望ましい。そこで、本変形例１ではAPIの実行ステップごとにアクセスポリシの制御を行う。

上記の投稿アプリケーションのスクリプトの一例を図７（Ａ）に示す。ＡＰＩ呼出し８０１〜８０４は、それぞれ前述の写真撮影、投稿メッセージ作成、写真サイトログイン、写真投稿のAPI呼出しである。

CaptureImage() API ８０１は、アプリケーション実行端末のカメラ機能を起動し、操作ユーザによるシャッター指示に応じて写真画像を撮影する。CreateMessage() API ８０２は、不図示のテキスト入力部によってユーザからのテキスト入力を受け付け、写真投稿サイトへの投稿メッセージを作成する。LogInService() API ８０３は写真投稿サイトのアカウント（ID）とパスワード(password)を使って写真投稿サイトにログインする。最後に、PostMessage() API ８０４はCaptureImage() API８０１及びCreateMessage() API８０２で取得された写真画像と投稿メッセージを、写真投稿サイトにアップロードする。

本変形例１の目的は、写真撮影のみ（ＡＰＩ８０１）を第三者に依頼し、その後の処理（ＡＰＩ８０２〜８０４）を第三者によって実行されないようにすることである。なお、本変形例１で用いるシステムの構成は、第１の実施形態と同様であるため、以下ではその差分のみについて説明する。

本変形例１におけるアプリケーション実行端末１０２の動作について、図８のフローチャートを用いて説明する。なお、図８において、ステップＳ１００１〜Ｓ１００９はそれぞれ、図５のステップＳ７０１〜７０９のそれぞれと同様であるが、ステップＳ１００３では、以下で用いる変数Ｎを１に初期化するのみがステップＳ７０３と異なる。

ステップＳ１０１０では、アプリケーション実行部３０６は、Ｎ番目のＡＰＩの実行の可否を、ポリシ制御部３０２から供給されたアクセスポリシを用いて判断する。ここで、APIの実行の可否は図７（Ｂ）に示すような、実行権限を確認するAPI呼出し８０５によって規定する。この場合、写真撮影するCaptureImage()の処理後に、処理の継続ができるかをCheckUSer() API８０５が検証する。検証に失敗した場合には、一定時間後に再度ステップＳ１００６〜Ｓ１００９の処理を繰り返す。或いは、APIの実行可否は、図９のようなAPIごとの実行可否を定義したテーブルを用いて判断してもよい。

図９において、行９０１〜９０３のそれぞれには、ユーザＡ、ユーザＢ、一般ユーザのそれぞれに係る情報が登録されている。列９０４には、各ユーザの識別情報が登録されている。列９０５には、ＡＰＩ８０１の実行可否（「○」は実行許可、「×」は実行禁止）が、ユーザごとに登録されている。列９０６には、ＡＰＩ８０２の実行可否が、ユーザごとに登録されている。列９０７には、ＡＰＩ８０３の実行可否が、ユーザごとに登録されている。列９０８には、ＡＰＩ８０４の実行可否が、ユーザごとに登録されている。

つまり、図９によれば、第三者（Guestユーザ）にアプリケーション実行端末１０２が渡っている間には、ＡＰＩ８０５で定義されているように、CaptureImage() API８０１の実行は可能である。しかし、その他のCreateMessage()等のAPIは実行できない。

ステップＳ１０１０における判断の結果、Ｎ番目のＡＰＩの実行が可能であれば、処理はステップＳ１０１１に進み、アプリケーション実行部３０６は、Ｎ番目のＡＰＩを実行すると共に、変数Ｎの値を１つインクリメントする。

そして全てのＡＰＩを実行したのであれば、処理はステップＳ１０１２を介して終了し、まだ実行していないＡＰＩ（（Ｎ＋１）番目のＡＰＩ）が残っていれば、処理はステップＳ１００６に戻る。

このように、本変形例１によれば、アプリケーション実行端末１０２の不正な利用を防止した上で、アプリケーションのうちの特定の処理部分のみの処理を依頼することが可能である。

＜変形例２＞
本変形例２で用いるアプリケーション実行端末１９０１の機能構成例について、図１０のブロック図を用いて説明する。図１０に示した機能部のうち図３に示した機能部と同じ機能部については同じ参照番号を付しており、その説明は省略する。

操作者画像取得部１９０２は、上記の背面カメラなどの撮像レンズ４０４により撮像された画像を取得する。この画像には上記の如く、現在アプリケーション実行端末１９０１を操作しているユーザの顔が写っていることになる。

操作者画像記憶部１９０３は、操作者画像取得部１９０２から送出された画像を少なくとも２つ記憶する。操作者画像記憶部１９０３は、２つのタイミングのそれぞれで操作者画像取得部１９０２から送出された画像をそれぞれユーザ画像１，ユーザ画像２として記憶する。例えば、ユーザから指示（操作者画像記憶指示）が入力されたことを検知した時点で操作者画像取得部１９０２から送出された画像をユーザ画像１、その一定期間後に操作者画像取得部１９０２から送出された画像をユーザ画像２、として記憶しても良い。ユーザ画像１は、一定期間前に操作者画像取得部１９０２から取得した画像であっても良いし、現在アプリケーション実行端末１９０１において認証が成功しているユーザについて図３の列５０７に登録されている顔画像をユーザ画像１としても良い。そして操作者画像記憶部１９０３は、このようにして２つの画像がそろうと、適当なタイミングで該２つの画像を操作ユーザ判定部１９０４に対して送出する。

操作ユーザ判定部１９０４は、操作者画像記憶部１９０３から受けた２つの画像（ユーザ画像１、ユーザ画像２）間の類似度を求める。類似度は、例えばそれぞれの画像から顔領域の抽出処理を行い、抽出した顔領域間でパターンマッチングを行うことで求めても良いし、それぞれの画像から抽出した顔領域から抽出した顔特徴量を用いた認識処理結果の比較を行うことで求めても良い。

そして操作ユーザ判定部１９０４は、求めた類似度が規定量未満であれば、ユーザが切り替わったと判断し、その旨をポリシ制御部３０２に対して送出する。一方、操作ユーザ判定部１９０４は、求めた類似度が規定量以上であれば、ユーザは切り替わっていないと判断し、その旨をポリシ制御部３０２に対して送出する。また、操作ユーザ判定部１９０４は、求めた類似度を類似度表示部１９０５に対して送出する。

類似度表示部１９０５は、類似度の大きさを表すインジケータ４０３を表示画面４０２上に表示する。第１の実施形態で説明したように、インジケータ４０３に適用可能なアイコンには様々なものが考え得る。

例えば、図４の６０１に示す如く、類似度が閾値θ１以上であれば、アイコン６０３をインジケータ４０３として表示し、類似度が閾値θ１未満且つ閾値θ２以上（θ１＞θ２）であれば、アイコン６０４をインジケータ４０３として表示する。また、類似度がθ２未満であれば、アイコン６０５をインジケータ４０３として表示する。

また例えば、図４の６０２に示す如く、類似度が閾値θ１以上であれば、アイコン６０６をインジケータ４０３として表示し、類似度が閾値θ１未満且つ閾値θ２以上であれば、アイコン６０７をインジケータ４０３として表示する。また、類似度がθ２未満であれば、アイコン６０８をインジケータ４０３として表示する。

このように、インジケータ４０３の表示方法は、特定の表示方法に限るものではなく、ユーザ画像１とユーザ画像２との類似度が視覚的にユーザに報知できるのであれば、如何なる方法を採用しても良い。

次に、アプリケーション実行端末１９０１がアクセスポリシを制御する為に行う処理について、同処理のフローチャートを示す図１１を用いて説明する。なお、図１１において、図５と同じ処理ステップには同じステップ番号を付しており、これらのステップに係る説明は省略する。また、以下の説明では、アプリケーション実行端末１９０１の操作ユーザがユーザＡであると認証されたものとする。

ユーザＡ以外の他人に画像閲覧させる場合やアプリケーション実行端末１９０１を用いた画像撮影を依頼する場合等、ユーザＡが第三者にアプリケーション実行端末１９０１を渡す場合、ユーザＡはボタン４０５を押下することでレンタルモードを指示する。然るにステップＳ７０４では、操作者画像記憶部１９０３は、この指示を操作者画像記憶指示として検知する。

ステップＳ１１０１では、操作者画像記憶部１９０３は、この時点で操作者画像取得部１９０２から入力された画像をユーザ画像１として記憶する。そして操作者画像記憶部１９０３は、ユーザ画像１を記憶してから一定期間後のステップＳ１１０２において、操作者画像取得部１９０２から取得した画像をユーザ画像２として記憶する。そして操作者画像記憶部１９０３は、適当なタイミングで該２つの画像を操作ユーザ判定部１９０４に対して送出する。

ステップＳ１１０３では、操作ユーザ判定部１９０４は、操作者画像記憶部１９０３から受けた２つの画像（ユーザ画像１、ユーザ画像２）間の類似度を求める。そして、求めた類似度が規定量未満であれば、ユーザが切り替わったと判断し、処理はステップＳ７０９に進む。一方、求めた類似度が規定量以上であれば、ユーザは切り替わっていないと判断し、処理はステップＳ７０８に進む。

このように、本変形例２によれば、アプリケーション実行端末１９０１は、ユーザ保持端末１０１のような外部デバイスと通信することなく操作ユーザの変化を検出し、適切にアクセスポリシの制限を実行することが可能となる。

［第２の実施形態］
図１に示したアプリケーション実行端末１０２を構成する各部、図１０に示したアプリケーション実行端末１９０１を構成する各部は何れも、ハードウェアで構成しても良い。しかし、記憶部として動作するもの（距離記憶部３０４、ユーザ権限記憶部３０１、操作者画像記憶部１９０３）はメモリで構成し、それ以外の各部をコンピュータプログラムで構成しても良い。この場合、一般のＰＣ等、ＣＰＵやメモリを有する機器であれば、ハードディスクを距離記憶部３０４、ユーザ権限記憶部３０１、操作者画像記憶部１９０３として用い、コンピュータプログラムはＣＰＵによって実行することができる。そのため、このような機器は、アプリケーション実行端末１０２（９０１）に適用することができる。

なお、アプリケーション実行端末１９０１の構成として説明した上記の構成はあくまでも一例であり、以下に示す構成の一例に過ぎない。即ち、アプリケーション実行端末１９０１は情報処理装置の一例であり、この情報処理装置は、情報処理装置のユーザを撮像可能な撮像部を有する該情報処理装置である。この情報処理装置は、該情報処理装置が有するリソースのうち利用が許可されているリソースを用いて処理を実行する処理部を有する。更に情報処理装置は、撮像部が撮像した画像と、該画像との比較基準として用意された画像との類似度が規定量未満であれば、処理部に利用を許可するリソースを制限する制御部を有する。

この制御部は、撮像部が２つのタイミングのそれぞれで撮像した画像間の類似度が規定量未満であれば、処理部に利用を許可するリソースを制限する。若しくは、情報処理装置にログインしたユーザの顔画像として予め登録されている画像と、該ログイン後に撮像部が撮像した画像と、の類似度が規定量未満であれば、処理部に利用を許可するリソースを制限する。

（その他の実施例）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

Claims (11)

1. 情報処理装置であって、
   前記情報処理装置が有するリソースのうち利用が許可されているリソースを用いて処理を実行する処理手段と、
   ユーザが保持する端末から発信されている信号の強度若しくは該強度に応じて求めた前記情報処理装置と前記端末との間の距離と、基準値と、の差が大きいほど、前記処理手段に利用を許可するリソースをより制限する制御手段と
   を備えることを特徴とする情報処理装置。
2. 前記制御手段は、
   前記差が規定量未満であることを検知すると、前記情報処理装置が有するリソースのうち利用を許可するリソースを規定するアクセスポリシとして第１のアクセスポリシを設定し、前記差が規定量以上であることを検知すると、前記第１のアクセスポリシよりも前記処理手段に利用を許可するリソースを制限する第２のアクセスポリシを設定する設定手段を備え、
   前記処理手段は、前記設定手段が設定したアクセスポリシによって利用が許可されているリソースを用いて処理を実行する
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記設定手段は、
   前記第１のアクセスポリシとして、前記ユーザに固有のアクセスポリシを設定し、
   前記第２のアクセスポリシとして、前記第１のアクセスポリシが利用を許可するものとして規定しているリソースを利用禁止に変更したアクセスポリシを設定する
   ことを特徴とする請求項２に記載の情報処理装置。
4. 前記設定手段は、
   前記第１のアクセスポリシとして、前記ユーザに固有のアクセスポリシを設定し、
   前記第２のアクセスポリシとして、全ユーザに共通のアクセスポリシを設定する
   ことを特徴とする請求項２に記載の情報処理装置。
5. 前記制御手段は、前記端末から発信されている信号の第１のタイミングにおける強度と、該第１のタイミングよりも過去の第２のタイミングにおける強度と、の差が規定量以上であることを検知すると、前記処理手段に利用を許可するリソースを制限することを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
6. 前記制御手段は、前記端末から発信されている信号の第１のタイミングにおける強度に応じて求めた前記情報処理装置と前記端末との間の距離と、該第１のタイミングよりも過去の第２のタイミングにおける強度に応じて求めた前記情報処理装置と前記端末との間の距離と、の差が規定量以上であることを検知すると、前記処理手段に利用を許可するリソースを制限することを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
7. 前記第２のタイミングは、前記情報処理装置に対して指示が入力されたことを検知したタイミングであり、前記第１のタイミングは、前記第２のタイミングから一定期間後のタイミングであることを特徴とする請求項５又は６に記載の情報処理装置。
8. 前記制御手段は、
   第１のユーザが保持する第１の端末から発信されている信号の第２のタイミングにおける強度に応じて求めた前記情報処理装置と前記第１の端末との間の距離、第２のユーザが保持する第２の端末から発信されている信号の該第２のタイミングにおける強度に応じて求めた前記情報処理装置と前記第２の端末との間の距離、のうち前記情報処理装置との間の距離がより小さい方の端末が、
   前記第１の端末から発信されている信号の第１のタイミングにおける強度に応じて求めた前記情報処理装置と前記第１の端末との間の距離、前記第２の端末から発信されている信号の該第１のタイミングにおける強度に応じて求めた前記情報処理装置と前記第２の端末との間の距離、のうち前記情報処理装置との間の距離がより大きい方の端末、
   と同じ場合には、前記処理手段に利用を許可するリソースをより制限する
   ことを特徴とする請求項１に記載の情報処理装置。
9. 更に、
   前記差の大きさを表すインジケータを表示する手段を備えることを特徴とする請求項１乃至８の何れか１項に記載の情報処理装置。
10. 情報処理装置が行う情報処理方法であって、
    前記情報処理装置の処理手段が、前記情報処理装置が有するリソースのうち利用が許可されているリソースを用いて処理を実行する処理工程と、
    前記情報処理装置の制御手段が、ユーザが保持する端末から発信されている信号の強度若しくは該強度に応じて求めた前記情報処理装置と前記端末との間の距離と、基準値と、の差が大きいほど、前記処理工程に利用を許可するリソースをより制限する制御工程と
    を備えることを特徴とする情報処理方法。
11. コンピュータを、請求項１乃至９の何れか１項に記載の情報処理装置の各手段として機能させるためのコンピュータプログラム。

Images