JP6351426B2 - 作業支援システムおよび作業支援方法 - Google Patents

Description

この発明はデータ処理技術に関し、特に情報システムに対する作業を支援する技術に関する。

近年、情報セキュリティが重視されている。本出願人は、情報システムに対する作業において情報セキュリティの向上を実現する技術を提案している（例えば特許文献１参照）。

特開２００８−１１７３１６号公報

本発明者は、情報セキュリティの一層の向上のために、情報システムに対する作業者の作業内容を監視者がリアルタイムに監視できる仕組みが有効と考えた。しかし、情報システムに対する作業は緊急を要する場合があり、また、遠隔地から通信網を介して実施される場合もある。したがって作業者の側に監視者がいない状況も想定される。

本発明は本発明者の上記課題認識にもとづきなされたものであり、その主な目的は、情報システムに対する作業内容をリアルタイムで監視することを支援し、情報セキュリティを向上させる技術を提供することにある。

上記課題を解決するために、本発明のある態様の作業支援システムは、作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付ける要求受付部と、遠隔操作の要求を受け付けた場合に、遠隔操作を入力するための作業画面を作業者の端末と、遠隔操作を監視すべき監視者の端末の両方に表示させる作業画面提供部と、遠隔操作を許可する旨の情報を監視者の端末から受け付けた場合に、作業者の端末の作業画面に入力された遠隔操作の情報を作業対象システムへ伝送するよう通信状態を切り替える切替部と、を備える。

本発明の別の態様もまた、作業支援システムである。この作業支援システムは、作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付ける要求受付部と、遠隔操作の要求を受け付けた場合に、遠隔操作を入力するための作業画面を作業者の端末と、遠隔操作を監視すべき監視者の端末の両方に表示させる作業画面提供部と、作業画面が作業者の端末と監視者の端末の両方に表示された後、作業者の端末の作業画面に入力された遠隔操作の情報を作業対象システムへ伝送するよう通信状態を切り替える切替部と、を備える。

本発明のさらに別の態様は、作業支援方法である。この方法は、作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付けるステップと、遠隔操作の要求に応じて、遠隔操作を入力するための作業画面を作業者の端末と、遠隔操作を監視すべき監視者の端末の両方に表示させるステップと、遠隔操作を許可する旨の情報を監視者の端末から受け付けた場合に、作業者の端末の作業画面に入力された遠隔操作の情報を作業対象システムへ伝送するよう通信状態を切り替えるステップと、をコンピュータが実行する。

本発明のさらに別の態様もまた、作業支援方法である。この方法は、作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付けるステップと、遠隔操作の要求に応じて、遠隔操作を入力するための作業画面を作業者の端末と、遠隔操作を監視すべき監視者の端末の両方に表示させるステップと、作業画面が作業者の端末と監視者の端末の両方に表示された後、作業者の端末の作業画面に入力された遠隔操作の情報を作業対象システムへ伝送するよう通信状態を切り替えるステップと、をコンピュータが実行する。

なお、以上の構成要素の任意の組合せ、本発明の表現を装置、プログラム、プログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、情報システムに対する作業内容をリアルタイムで監視することを支援し、情報セキュリティを向上させることができる。

本番システムの作業に関する実施の形態の構成を示す図である。 図１のターミナルサーバの機能構成を示すブロック図である。 図１の各装置の動作を示すアクティビティ図である。 図３に続く動作を示すアクティビティ図である。 監視者ＶＤ画面を模式的に示す図である。 図４に続く動作を示すアクティビティ図である。

実施の形態では、法人や個人の利用者に対して種々の情報処理サービスを提供中のシステム（以下「本番システム」とも呼ぶ。）の情報セキュリティを向上させる技術を提案する。具体的には、本番システムに対するメンテナンス等の各種作業を遠隔地から可能にすることで利便性を向上させつつ、本番システムの情報セキュリティのリスクを格段に低減する情報処理システム（以下「作業支援システム」と呼ぶ。）を提案する。

本番システムは、企業の基幹系システムや、情報系システム、顧客向けのウェブシステムを含み、典型的には企業の機密情報や顧客の個人情報を保持する。例えば、銀行や証券会社等の本番システムにおいては、高度な情報セキュリティを実現することが、官公庁により求められる場合もある。

本番システムに対して作業を実施すべき作業者は、本番システムの開発担当者や保守運用担当者であってもよい。作業者は、本番システムの設定変更や、不具合改修、調査等のために、自身の端末から本番システムへアクセスして、本番システムに対する遠隔操作を実施する。また、本番システムに対する作業者の作業内容を監視すべき監視者は、作業者の上長でもよく、保守運用の担当者（例えば本番システムが設置されたデータセンターの要員）でもよい。監視者は、本番システムの情報セキュリティの維持に責任を負うユーザであってもよい。

作業支援システムは、作業者による本番システムに対する遠隔操作が入力される画面（以下「作業画面」とも呼ぶ。）を作業者端末と監視者端末の両方へ提供する。また作業支援システムは、作業者端末において作業画面へ入力された情報を、監視者端末の作業画面へ逐次表示させる。このように作業支援システムは、本番システムに対する作業者の操作内容を監視者がリアルタイムに監視できるよう支援する。

また作業支援システムは、監視者端末において作業許可が入力された場合に、作業者端末の作業画面に入力された遠隔操作の情報を本番システムへ伝送するよう通信状態を切り替える。その一方、監視者端末において作業禁止が入力された場合は、作業者端末の作業画面に入力された遠隔操作の情報を本番システムへ伝送することを禁止するよう通信状態を切り替える。このように作業支援システムは、監視者の判断にしたがって、本番システムに対するアクセスを許可し、または禁止する。これにより、本番システムに対する不正アクセスや不正操作を防止し、本番システムの情報セキュリティを向上させる。

図１は、本番システムの作業に関する実施の形態の構成を示す。同図では、３社の本番システム（Ａ社システム２０ａ、Ｂ社システム２０ｂ、Ｃ社システム２０ｃ、総称して「本番システム２０」）と、作業支援システム１０がデータセンタに構築されている。作業者および監視者は、ＬＡＮ・ＷＡＮ・インターネット等を介してデータセンターのネットワークへアクセスする。

作業者端末２２は、作業者により操作される情報端末であり、例えば作業者のオフィスや自宅に設置されたＰＣである。監視者端末２４は、監視者により操作される情報端末であり、例えば監視者のオフィスや自宅に設置されたＰＣである。

図１には不図示だが、作業者端末２２と監視者端末２４のそれぞれには、作業者と監視者の現在の様子を撮像するウェブカメラ（言い換えればリアルタイムカメラ、ライブカメラ）がＵＳＢを介して接続されている。このウェブカメラは、第三者が画面を閲覧していないことが映像でわかるように、作業者および監視者の外観（顔）に加えて、作業者および監視者の背後・周辺まで確認可能な広範な映像が取得できるよう位置や撮像範囲が設定される。

実施の形態では、本番システム２０、作業者端末２２、監視者端末２４は遠隔地（例えば異なる建物や部屋）に設置される。作業者端末２２および監視者端末２４は、本番システム２０が設置されたデータセンタのネットワークに、ＶＰＮ（Virtual Private Network）接続し、ＶＰＮトンネルを生成する。そしてＶＰＮトンネルを介して、後述のターミナルサーバ１２とＲＤＰ（Remote Desktop Protocol）接続する。作業者は、ターミナルサーバ１２が提供する仮想デスクトップ画面に、本番システム２０に対する操作を入力する。また監視者は、ターミナルサーバ１２が提供する仮想デスクトップ画面を視聴し、作業者の現在の作業状況・作業内容を監視する。

作業支援システム１０は、本番システム２０へアクセスするためのインタフェース（言い換えれば踏み台）として機能し、作業者端末２２から本番システム２０へのアクセスを仲介する。図１は作業支援システム１０の詳細な構成も示している。作業支援システム１０は、ターミナルサーバ１２で総称するターミナルサーバ１２ａとターミナルサーバ１２ｂ、情報伝達基盤サーバ１４、動画保管サーバ１６、アクセス制御装置１８を備える。

ターミナルサーバ１２は、仮想デスクトップインフラストラクチャ（ＶＤＩ）として機能し、作業画面としての仮想デスクトップ画面を作業者端末２２および監視者端末２４へ提供する。実施の形態では、マイクロソフト社がＷｉｎｄｏｗｓ（登録商標）サーバの１機能として提供するＶＤＩを使用するが、変形例として他の仮想デスクトップ技術（Ｘ Ｗｉｎｄｏｗ Ｓｙｓｔｅｍ等）を使用してもよい。また実施の形態では、作業者端末２２はターミナルサーバ１２ａに接続し、監視者端末２４はターミナルサーバ１２ｂに接続するが、同一のターミナルサーバに接続してもよい。この場合、単一のターミナルサーバが、作業者と監視者それぞれに対するデータ処理を実行してもよい。

情報伝達基盤サーバ１４は、ターミナルサーバ１２ａとターミナルサーバ１２ｂ間における映像、音声、ＩＭ等のマルチメディアデータの伝送・共有サービスを提供する。実施の形態では、マイクロソフト社が提供するＬｙｎｃ（商標または登録商標）サーバの機能を提供する。ターミナルサーバ１２ａとターミナルサーバ１２ｂは、Ｌｙｎｃクライアント機能を備え、情報伝達基盤サーバ１４と通信する。またターミナルサーバ１２ａとターミナルサーバ１２ｂのＬｙｎｃクライアントはマルチメディアデータをＰ２Ｐで送受する。

アクセス制御装置１８は、ターミナルサーバ１２から本番システム２０へのアクセス可否、言い換えれば、ターミナルサーバ１２から本番システム２０へ送信されたパケットの通過・不通過（廃棄）を制御する。

アクセス制御装置１８は、本番システム２０に対する作業者の作業を許可する旨の情報をターミナルサーバ１２ｂ（監視者）から受け付けた場合、ターミナルサーバ１２ａから送信された作業者の遠隔操作情報を本番システム２０へ伝送するよう通信状態を切り替える。例えば、作業許可情報で指定された作業者ＩＤを含むパケットを宛先の本番システム２０へ伝送するようにスイッチ装置（ファイアウォール）のフィルタリング設定を変更してもよい。

動画保管サーバ１６は、作業者端末２２および監視者端末２４に提供された作業画面の映像、カメラにより撮像された作業者および監視者の映像について、これらの映像の録画データを監査証跡として永続的に保持する。なお、図１に示す作業支援システム１０のサーバ構成は一例であり、物理的に１つの情報処理装置が、図１の作業支援システム１０が含む複数のサーバの機能を一元的に提供する構成とすることもできる。

図２は、図１のターミナルサーバ１２の機能構成を示すブロック図である。ターミナルサーバ１２は、制御部３０と記憶部３２と通信部３４を備える。制御部３０は、本番システム２０の情報セキュリティを維持しつつ、本番システム２０に対する作業を支援するための各種データ処理を実行する。記憶部３２は、制御部３０により参照・更新されるデータを記憶する記憶領域である。通信部３４は、所定の通信プロトコルにしたがって外部装置と通信する。制御部３０は、通信部３４を介して外部装置とデータを送受する。

本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。

例えば、制御部３０内の各ブロックに対応するプログラムモジュールを含むアプリケーションソフトウェアが、所定の記録媒体に格納され、ターミナルサーバ１２のストレージへインストールされてもよい。そして、ターミナルサーバ１２のＣＰＵが、これらのプログラムモジュールをメインメモリへ読み出して実行することにより各ブロックの機能が発揮されてよい。また、記憶部３２内の各ブロックの機能は、ターミナルサーバ１２のメインメモリやストレージがデータを記憶することで実現されてもよい。

記憶部３２は、ユーザ情報保持部４０と監査証跡保持部４２を含む。ユーザ情報保持部４０は、作業権限を有する予め定められた正規の作業者に関する情報と、作業内容を監視する責務を負う正規の監視者に関する情報を保持する。実施の形態では、作業者と監視者のそれぞれについて予め登録された正規のＩＤとパスワードの組み合わせを保持する。監査証跡保持部４２は、監査証跡として記録された録画データを一時的に保持する。

制御部３０は、ログイン要求受付部５０、認証部５２、仮想マシン部５４、カメラ接続部５８、カメラ映像取得部６０、データ共有部６２、録画部６４、監査証跡記録部６６、アクセス制御切替部６８、監視状態検出部７０を含む。

ログイン要求受付部５０は、本番システム２０に対する遠隔操作を要求する情報を受け付ける。実施の形態では、遠隔操作を要求する情報として、ターミナルサーバ１２へのログインを要求するデータを受け付ける。具体的には、ターミナルサーバ１２ａのログイン要求受付部５０は、作業者端末２２から送信された、作業者が作業者端末２２に入力した作業者のＩＤ・パスワードを含むログイン要求を受信する。また、ターミナルサーバ１２ｂのログイン要求受付部５０は、監視者端末２４から送信された、監視者が監視者端末２４に入力した監視者のＩＤ・パスワードを含むログイン要求を受信する。

認証部５２は、ログイン要求元のユーザが、正規の作業者または正規の監視者であることを認証する。例えば、ログイン要求で指定されたＩＤ・パスワードが、ユーザ情報保持部４０に保持された作業者のＩＤ・パスワードに合致する場合に、作業者の認証に成功したと判定する。同様に、ログイン要求で指定されたＩＤ・パスワードが、ユーザ情報保持部４０に保持された監視者のＩＤ・パスワードに合致する場合に、監視者の認証に成功したと判定する。

仮想マシン部５４は、ＶＤＩのサーバ機能を提供し、認証部５２が認証に成功したクライアントに対して仮想マシンを割当て、その仮想マシンを操作するためのデスクトップ環境をクライアント端末へ提供する。仮想マシン部５４は作業画面提供部５６を含む。

作業画面提供部５６は、認証部５２が、正規の作業者からのログイン要求であると判定した場合、すなわち作業者の認証に成功した場合に、作業者用の仮想デスクトップ画面（以下「作業者ＶＤ画面」と呼ぶ。）のデータを作業者端末２２へ送信する。また、認証部５２が、正規の監視者からのログイン要求であると判定した場合、すなわち監視者の認証に成功した場合に、監視者用の仮想デスクトップ画面（以下「監視者ＶＤ画面」と呼ぶ。）のデータを監視者端末２４へ送信する。以下では、ターミナルサーバ１２ａと作業者端末２２間の仮想デスクトップセッションを「作業者ＶＤセッション」と呼ぶ。また、ターミナルサーバ１２ｂと監視者端末２４間の仮想デスクトップセッションを「監視者ＶＤセッション」と呼ぶ。

カメラ接続部５８は、ＶＤＩのサーバ機能として、仮想デスクトップクライアント端末に接続されたウェブカメラに対してＵＳＢリダイレクト接続を実行する。ターミナルサーバ１２ａのカメラ接続部５８は、作業者端末２２のウェブカメラにリダイレクト接続し、そのウェブカメラを作業者ＶＤセッションにおいて操作可能にする。またターミナルサーバ１２ｂのカメラ接続部５８は、監視者端末２４のウェブカメラにリダイレクト接続し、そのウェブカメラを監視者ＶＤセッションにおいて操作可能にする。

カメラ映像取得部６０は、カメラ接続部５８によりリダイレクト接続されたウェブカメラに対して撮像の開始を指示する。そして、ウェブカメラにより撮像された作業者または監視者の現在の様子（外観）を示す映像をＶＤセッションを介して取得する。以下、作業者の顔や作業者端末２２の周辺の様子を撮像した映像を「作業者映像」と呼び、監視者の顔や監視者端末２４の周辺の様子を撮像した映像を「監視者映像」と呼ぶ。

データ共有部６２は、Ｌｙｎｃクライアントモジュールにより実現され、Ｌｙｎｃクライアントとして機能する。具体的には、ターミナルサーバ１２ａのデータ共有部６２は、操作者から画面共有指示を受け付けると、共有先であるターミナルサーバ１２ｂのアドレスを情報伝達基盤サーバ１４に問い合わせる。そして、情報伝達基盤サーバ１４から取得したターミナルサーバ１２ｂのアドレスを指定して、作業者ＶＤ画面のデータと、作業者映像のデータを送信する。このように、ターミナルサーバ１２ａ〜ターミナルサーバ１２ｂ間における画像データの送受はＰ２Ｐ通信で実行する。

ターミナルサーバ１２ｂのデータ共有部６２は、ターミナルサーバ１２ａから送信された作業者ＶＤ画面のデータと、作業者映像のデータを受信し、仮想マシン部５４に渡す。ターミナルサーバ１２ｂの仮想マシン部５４は、監視者の仮想マシンにおいて作業者ＶＤ画面と作業者映像の表示処理を実行し、ターミナルサーバ１２ｂの作業画面提供部５６は、監視者ＶＤ画面に作業者ＶＤ画面と作業者映像を表示させる。監視者ＶＤ画面の具体例は後述する。

なお図２には不図示だが、作業者端末２２および監視者端末２４にはマイクも接続される。ターミナルサーバ１２は、作業者端末２２および監視者端末２４のマイクにリダイレクト接続するマイク接続部と、各端末のマイクが取得した音声データをＶＤセッションを介して取得する音声取得部も備える。

ターミナルサーバ１２ａのデータ共有部６２は、音声取得部が取得した作業者の音声データをターミナルサーバ１２ｂへ送信する。作業者の音声データは、監視者ＶＤセッションを介してターミナルサーバ１２ｂから監視者端末２４へ送信されて監視者端末２４で出力される。またターミナルサーバ１２ｂのデータ共有部６２は、音声取得部が取得した監視者の音声データをターミナルサーバ１２ａへ送信する。監視者の音声データは、作業者ＶＤセッションを介してターミナルサーバ１２ａから作業者端末２２へ送信されて作業者端末２２で出力される。このように作業支援システム１０は、作業者と監視者に、画像とともに音声も共有させる。

録画部６４は、仮想デスクトップにおける表示内容と、作業者および監視者の画像を録画する。具体的には、ターミナルサーバ１２ｂの録画部６４は、ターミナルサーバ１２ａから送信された作業者ＶＤ画面を含む監視者ＶＤ画面の映像を録画する。さらに、ターミナルサーバ１２ａから送信された作業者映像と、ターミナルサーバ１２ｂのカメラ映像取得部６０が取得した監視者映像を録画する。

監査証跡記録部６６は、録画部６４による録画データを監査証跡として監査証跡保持部４２へ逐次格納する。監査証跡記録部６６は、ＶＤ画面の共有が終了し、録画部６４による録画処理が終了した場合、監査証跡記録部６６に格納した録画データ、すなわち作業者ＶＤ画面を含む監視者ＶＤ画面の映像、作業者映像、監視者映像を動画保管サーバ１６へ送信して記憶させる。動画保管サーバ１６は、これらの映像データを、日時情報や作業者名、監視者名を関連づけた上で、監査証跡として保存する。

アクセス制御切替部６８は、監視者端末２４からの指示に応じて、（１）作業者ＶＤ画面に入力された遠隔操作の情報を本番システム２０へ伝送するようアクセス制御装置１８によるアクセス制御態様を切り替える。またアクセス制御切替部６８は、監視者端末２４からの指示に応じて、（２）作業者ＶＤ画面に入力された遠隔操作の情報を本番システム２０へ伝送することを禁止するようアクセス制御装置１８によるアクセス制御を切り替える。またアクセス制御切替部６８は、後述の監視状態検出部７０が検出した監視状態にも基づいて（２）を実行する。以下、作業者による作業対象の本番システム２０を「作業対象システム」と呼ぶ。

上記（１）について、アクセス制御切替部６８は、送信元として作業者のＩＤを指定し、送信先として作業対象システムのＩＤ（ＩＰアドレス等）を指定した通信許可情報をアクセス制御装置１８へ送信してもよい。アクセス制御装置１８は、送信元情報に上記作業者のＩＤを含み、送信先情報に上記作業対象システムのＩＤを含むパケットを廃棄せず通過させて、作業対象システムへ伝送してもよい。

また上記（２）について、アクセス制御切替部６８は、送信元として作業者のＩＤを指定し、送信先として作業対象システムのＩＤを指定した通信禁止情報をアクセス制御装置１８へ送信してもよい。アクセス制御装置１８は、送信元情報に上記作業者のＩＤを含み、送信先情報に上記作業対象システムのＩＤを含むパケットを廃棄することにより、当該パケットを作業対象システムへ伝送することを禁止してもよい。なおアクセス制御装置１８は、アクセス制御を実行する公知の製品を使用して実現されてもよく、アクセス制御切替部６８は、その製品の仕様にしたがって、アクセス制御装置１８によるアクセス制御態様を切り替えてもよい。

監視状態検出部７０は、監視者端末２４における監視者ＶＤ画面の表示状態を検出し、表示状態が異常であればその事実を検出する。実施の形態では、監視者ＶＤセッションの状態を監視し、監視者ＶＤセッションのセッション断を検出した場合、例えば仮想マシン部５４から監視者ＶＤセッションの切断が通知された場合に、監視者端末２４において監視者ＶＤ画面が非表示であると判定する。そして、その旨の情報をアクセス制御切替部６８へ通知することにより、上記（２）の処理をアクセス制御切替部６８に実行させる。

以上の構成による動作を以下説明する。
図３は図１の各装置の動作を示すアクティビティ図である。ここでは、本番システム２０のメンテナンスのために、作業者が自宅から本番システム２０の遠隔操作を実施する状況とする。作業者端末２２は、データセンタへＶＰＮ接続し、遠隔操作のためのログイン要求をターミナルサーバ１２ａへ送信する（Ｓ２）。ターミナルサーバ１２ａの認証部５２は、ログイン要求で指定されたＩＤとパスワードが、正規の作業者のアカウント情報と一致するか否かを判定する（Ｓ４）。不一致であればログインを拒否して処理を終了する。一致する場合、仮想マシン部５４は作業者に仮想マシンを割当て、作業者端末２２との作業者ＶＤセッションを生成する。作業画面提供部５６は、作業者ＶＤ画面のデータを作業者端末２２へ送信し（Ｓ６）、作業者端末２２は、作業者ＶＤ画面をディスプレイに表示させる（Ｓ８）。また作業画面提供部５６は、作業者ＶＤ画面を監視者に監視させるために、作業者ＶＤ画面のデータをデータ共有部６２に渡す。

ターミナルサーバ１２ａのカメラ接続部５８は、作業者ＶＤセッションを介して、作業者端末２２のカメラにリダイレクト接続する（Ｓ１０）。カメラ映像取得部６０は、作業者端末２２のカメラへ撮像開始を指示し、作業者端末２２のカメラは、作業者の撮像を開始する。そしてターミナルサーバ１２ａへの作業者映像の送信を開始する（Ｓ１２）。カメラ映像取得部６０は、作業者映像を取得し、作業者映像を作業画面提供部５６に渡して作業者ＶＤ画面に表示させる。またカメラ映像取得部６０は、作業者映像を監視者に監視させるために、作業者映像をデータ共有部６２に渡す（Ｓ１４）。

作業者は、監視者へ電話し、ターミナルサーバへのログインを依頼する。監視者端末２４は、データセンタへＶＰＮ接続し、遠隔操作のためのログイン要求をターミナルサーバ１２ｂへ送信する（Ｓ１６）。ターミナルサーバ１２ｂの認証部５２は、ログイン要求で指定されたＩＤとパスワードが、正規の監視者のアカウント情報と一致するか否かを判定する（Ｓ１８）。不一致であればログインを拒否して処理を終了する。一致する場合、仮想マシン部５４は、監視者に仮想マシンを割当て、監視者端末２４との監視者ＶＤセッションを生成する。作業画面提供部５６は、監視者ＶＤ画面のデータを監視者端末２４へ送信し（Ｓ２０）、監視者端末２４は、監視者ＶＤ画面をディスプレイに表示させる（Ｓ２２）。

ターミナルサーバ１２ｂのカメラ接続部５８は、監視者ＶＤセッションを介して、監視者端末２４のカメラにリダイレクト接続する（Ｓ２４）。カメラ映像取得部６０は、監視者端末２４のカメラに撮像開始を指示し、監視者端末２４のカメラは、監視者の撮像を開始する。そしてターミナルサーバ１２ｂへの監視者映像の送信を開始する（Ｓ２６）。カメラ映像取得部６０は、監視者映像を取得し、監視者映像を作業画面提供部５６に渡して監視者ＶＤ画面に表示させ、また、監視者画像をデータ共有部６２に渡す（Ｓ２８）。

図４は、図３に続く動作を示すアクティビティ図である。作業者は、監視者がログインしたことを電話で確認すると、作業者ＶＤ画面に対して画面共有を指示する所定の操作を入力する（Ｓ３０）。ターミナルサーバ１２ａのデータ共有部６２は、画面共有指示に応じて、作業者ＶＤ画面と作業者映像をターミナルサーバ１２ｂへ転送する（Ｓ３２）。ターミナルサーバ１２ｂのデータ共有部６２は、作業者ＶＤ画面と作業者映像を受信し、作業画面提供部５６に渡す。ターミナルサーバ１２ｂの作業画面提供部５６は、データ共有部６２が取得した作業者ＶＤ画面を監視者ＶＤ画面に表示させる。なお、上記Ｓ３０で作業者は、自身に割り当てられた監視者ＩＤを入力してもよい。作業画面提供部５６は、その監視者ＩＤで特定される監視者ＶＤセッションの監視者ＶＤ画面に、当該作業者の作業者ＶＤ画面を表示させてもよい。

さらにターミナルサーバ１２の作業画面提供部５６は、データ共有部６２が取得した作業者映像と、カメラ映像取得部６０が取得した監視者映像を監視者ＶＤ画面に表示させる（Ｓ３４）。監視者端末２４は、作業者ＶＤ画面、作業者映像、監視者映像を含む監視者ＶＤ画面をディスプレイに表示させる（Ｓ３６）。

ターミナルサーバ１２の録画部６４は、作業者ＶＤ画面、作業者映像、監視者映像を含む監視者ＶＤ画面を録画する。監査証跡記録部６６は、その録画映像のデータを監査証跡として監査証跡保持部４２に格納する（Ｓ３８）。図４には不図示だが、ターミナルサーバ１２ｂが取得した監視者映像は、ターミナルサーバ１２ｂからターミナルサーバ１２ａに送信されて作業者ＶＤ画面に表示される。また、作業者の音声と監視者の音声もターミナルサーバ１２ａ〜ターミナルサーバ１２ｂ間で共有され、作業者端末２２は監視者の音声を出力し、監視者端末２４は作業者の音声を出力する。

ここで、作業支援システム１０が提供するユーザインタフェースである監視者ＶＤ画面を説明する。図５は監視者ＶＤ画面を模式的に示す。既述したように、監視者ＶＤ画面８０には、作業者ＶＤ画面８２が表示される。作業者ＶＤ画面８２には、作業対象システムに対する遠隔操作を入力するための本番システム操作ウィンドウ８４が表示される。作業者は、本番システム操作ウィンドウ８４のＧＵＩを操作し、また、本番システム操作ウィンドウ８４のＣＬＩにコマンドを入力する。

ターミナルサーバ１２ａのデータ共有部６２は、最新の作業者ＶＤ画面８２の内容を定期的に（例えば１秒に１回）ターミナルサーバ１２ｂのデータ共有部６２へ送信する。ターミナルサーバ１２ｂの作業画面提供部５６は、監視者ＶＤ画面８０に表示させた作業者ＶＤ画面８２の内容を定期的に（例えば１秒に１回）最新状態へ更新する。これにより、作業者端末２２において作業者が作業者ＶＤ画面（本番システム操作ウィンドウ８４）に入力した遠隔操作の情報が、監視者端末２４における監視者ＶＤ画面８０にリアルタイムに逐次表示される。

監視者ＶＤ画面８０には、作業者映像８６と監視者映像８８がさらに表示される。監視者は、作業者映像８６を確認して、正当な作業者か否かを判断する。監視者は、作業者映像８６と、事前の作業申請書類に記載された作業者の写真とを比較して、正当な作業者か否かを判断してもよい。また監視者は、作業者端末２２を第三者が覗き込んでいないかも確認する。なお、作業者端末２２のデスクトップには、図５の作業者ＶＤ画面８２（本番システム操作ウィンドウ８４）、作業者映像８６、監視者映像８８が表示される。

ターミナルサーバ１２ｂの作業画面提供部５６は、本番システム２０に対する作業者のアクセス可否を設定し、言い換えれば、アクセス制御装置１８による通信制御態様の切替操作を入力するためのアクセス制御設定ウィンドウ９０を監視者ＶＤ画面８０に表示させる。アクセス制御設定ウィンドウ９０は、通信許可ボタン９２、通信禁止ボタン９４、共有終了ボタン９６を含む。

図４に戻り、監視者は作業者映像８６を目視確認する（Ｓ４２）。正規の作業者でなく、または、作業者以外の第三者が写っている場合、監視者は作業を許可せず、以降の処理を終了する。正規の作業者であり、かつ、作業者以外の第三者がいないと判断すると、監視者は、作業許可を示す所定の操作を監視者端末２４に入力する（Ｓ４４）。具体的には、図５の通信許可ボタン９２に対する選択操作を入力する。ターミナルサーバ１２ｂのアクセス制御切替部６８は、ターミナルサーバ１２ａから送信される作業対象システム宛のパケットであり、特定の作業者ＩＤ（例えば図５の「ＴＡＲＯ」）を含むパケットを通過させるよう指示するコマンドをアクセス制御装置１８へ送信する（Ｓ４６）。アクセス制御装置１８は、上記パケットを通過させるようパケットフィルタリング規則を変更する（Ｓ４８）。

以降、監視者によるリアルタイム監視の下、作業者は作業対象の本番システム２０に対する遠隔操作を実施する。遠隔操作の一連の過程において、ターミナルサーバ１２ａの仮想マシン部５４は、作業対象システムへ送信するパケットに作業者ＩＤ（例えば図５の「ＴＡＲＯ」）を設定する。

作業者は、本番システム操作ウィンドウ８４に、作業対象システムへの接続要求を入力する（Ｓ５０）。ターミナルサーバ１２ａの仮想マシン部５４は、作業対象システムへ接続要求を送信し（Ｓ５２）、アクセス制御装置１８は、作業対象システムへ接続要求を転送する（Ｓ５４）。作業対象システムは、作業者の接続を許可し、その旨をターミナルサーバ１２ａへ返信する（Ｓ５６）。ターミナルサーバ１２ａの作業画面提供部５６は、接続対象システムへの接続成功を示す情報を作業者ＶＤ画面８２に表示させ（Ｓ５８）、この作業者ＶＤ画面８２が作業者端末２２に表示される（Ｓ６０）。また、この作業者ＶＤ画面８２は、ターミナルサーバ１２ａからターミナルサーバ１２ｂへ送信され、監視者端末２４の監視者ＶＤ画面８０にも表示される。

続いて作業者は、本番システム操作ウィンドウ８４に、作業対象システムへの操作情報（ここではコマンドとする）を入力する（Ｓ６２）。ターミナルサーバ１２ａの仮想マシン部５４は、作業対象システムへコマンドを送信し（Ｓ６４）、アクセス制御装置１８は、作業対象システムへコマンドを転送する（Ｓ６６）。作業対象システムは、受信したコマンドに応じたデータ処理を実行する（Ｓ６８）。作業者が入力したコマンドおよび作業対象システムによるコマンド実行結果は、作業者ＶＤ画面８２（本番システム操作ウィンドウ８４）に表示される。この作業者ＶＤ画面８２は、ターミナルサーバ１２ａからターミナルサーバ１２ｂへ送信され、監視者端末２４の監視者ＶＤ画面８０にも表示される。

図６は、図４に続く動作を示すアクティビティ図である。作業対象システムに対する一連の遠隔操作（ここではメンテナンス作業）が終了すると、作業者は、作業対象システムからのログアウト操作を本番システム操作ウィンドウ８４に入力する（Ｓ７０）。ターミナルサーバ１２ａは、ログアウト要求を作業対象システムへ送信し（Ｓ７２）、アクセス制御装置１８は、ログアウト要求を作業対象システムへ転送する（Ｓ７４）。作業対象システムは、作業者のログアウト処理を実行する（Ｓ７６）。

監視者は、作業者ＶＤ画面８２の表示内容や、作業者の音声等によりログアウトを認識すると、作業禁止を示す所定の操作を監視者端末２４に入力する（Ｓ７８）。具体的には、図５の通信禁止ボタン９４に対する選択操作を入力する。ターミナルサーバ１２ｂのアクセス制御切替部６８は、ターミナルサーバ１２ａから送信される作業対象システム宛のパケットであり、特定の作業者ＩＤ（例えば図５の「ＴＡＲＯ」）を含むパケットの通過を禁止するよう指示するコマンドをアクセス制御装置１８へ送信する（Ｓ８０）。アクセス制御装置１８は、上記パケットの通過を禁止するよう、例えば廃棄するようパケットフィルタリング規則を変更する（Ｓ８２）。以降、上記パケットの伝送はアクセス制御装置１８において遮断される。

監視者は、作業者ＶＤ画面の共有終了を示す操作を監視者端末２４に入力する（Ｓ８４）。具体的には、図５の共有終了ボタン９６に対する選択操作を入力する。ターミナルサーバ１２ｂのデータ共有部６２は、ターミナルサーバ１２ａから送信される作業者ＶＤ画面の受信処理を終了し、作業画面提供部５６は、監視者ＶＤ画面８０における作業者ＶＤ画面８２の表示を終了する（Ｓ８６）。この結果、監視者端末２４における作業者ＶＤ画面８２の表示も終了する（Ｓ８８）。ターミナルサーバ１２ｂの録画部６４は、監視者ＶＤ画面８０（作業者ＶＤ画面８２を含む監視者ＶＤ画面８０）の録画を終了する（Ｓ９０）。監査証跡記録部６６は、監査証跡保持部４２にそれまで格納した監視者ＶＤ画面８０（作業者ＶＤ画面８２を含む監視者ＶＤ画面８０）の映像、作業者映像、監視者映像の録画データを動画保管サーバ１６へ送信し、保存する（Ｓ９２）。

作業者端末２２はターミナルサーバ１２ａからログアウトし（Ｓ９４）、ターミナルサーバ１２ａは作業者のログアウト処理を実行する（Ｓ９６）。また、監視者端末２４はターミナルサーバ１２ｂからログアウトし（Ｓ９８）、ターミナルサーバ１２ｂは監視者のログアウト処理を実行する（Ｓ１００）。

上記のアクティビティ図には不図示だが、監視者は、監視者ＶＤ画面８０の作業者ＶＤ画面８２に表示された作業対象システムへの操作内容が不正と判断すると、監視者ＶＤ画面８０の通信禁止ボタン９４に対する選択操作を直ちに入力する。この場合、上記のＳ８０とＳ８２の処理が実行され、作業対象システムに対する作業者パケットの伝送が禁止される。

上記のアクティビティ図には不図示だが、ターミナルサーバ１２ｂの監視状態検出部７０は、監視者端末２４における監視者ＶＤ画面８０の表示状態を常時監視する。そして監視者ＶＤ画面８０が非表示である場合に、その事実を検出する。実施の形態では、監視者ＶＤ画面８０の表示状態の監視を、監視者ＶＤセッションの状態を監視することで実現する。監視者ＶＤセッションの切断を監視状態検出部７０が検出すると、ターミナルサーバ１２ｂのアクセス制御切替部６８は、通信禁止ボタン９４が選択された場合と同様にＳ７８の処理を実行する。この場合、上記のＳ８０とＳ８２の処理が実行され、作業対象システムに対する作業者パケットの伝送が禁止される。

実施の形態の作業支援システム１０によると、作業者と監視者が離れた位置にいる場合も、本番システムに対する作業者の操作内容を監視者がリアルタイムに監視し、また、監視者による許可を条件として本番システムに対する作業を可能にする。これにより、作業効率を損なうことなく、また、緊急の作業も実施可能としつつも、本番システムに対する不正アクセスや不正操作を効果的に防止することができる。

また、ＩＤ・パスワード認証に加えて、作業者映像に基づく本人確認を監視者が実施するという二要素認証によって本番システムに対する不正アクセスを一層確実に防止することができる。また監視者は、ターミナルサーバ１２にログインしたメンバー以外が画面を閲覧していないことも確認できる。また、作業画面と作業者映像に加えて監視者映像も記録する。これにより、監視者が作業者の作業内容を見てどのような操作をしたかを監査証跡として残すことができる。また、監視者の行動が適切であったか、例えば監視者が作業画面や作業者映像を適切に確認していたかを監査証跡として残すことができる。

また、意図したか否かにかかわらず作業者が不正な操作を入力する場合に、監視者の判断により直ちに本番システムへのアクセスを禁止することができる。また、監視者による作業内容の監視ができない状況をターミナルサーバ１２側で自律的に検出し、直ちに本番システムへのアクセスを禁止することができる。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

第１の変形例を説明する。上記実施の形態の作業支援システム１０は、監視者の許可を条件として、作業者が入力した遠隔操作の情報（接続要求や各種のコマンド等）を作業対象システムへ伝送するよう通信状態を切り替えた。変形例として、監視者によるリアルタイム監視がなされている状況を作業支援システム１０が自律的に検出し、その検出を条件として、作業者が作業対象システムへアクセスすることを自動的に可能にしてもよい。なお、第１の変形例における他の構成は、実施の形態と同じ構成を適用できる。

具体的な構成として、ターミナルサーバ１２ｂの仮想マシン部５４（作業画面提供部５６）は、監視者ＶＤ画面８０に作業者ＶＤ画面８２を表示させた場合に、作業者ＶＤ画面８２の共有完了情報をアクセス制御切替部６８へ通知する。共有完了情報は、作業者ＶＤ画面８２が監視者の監視下に置かれた事実を示す情報と言える。アクセス制御切替部６８は、作業者ＶＤ画面８２の共有完了情報を受け付けると、上記実施の形態において監視者が通信許可ボタン９２を選択した場合と同様に、作業者ＶＤ画面に入力された遠隔操作の情報を本番システム２０へ伝送するようアクセス制御装置１８によるアクセス制御態様を切り替える。

この変形例によると、監視者の許可操作を不要にし、監視者の負担を軽減できる。その一方、監視者ＶＤ画面８０に作業者ＶＤ画面８２が表示されたことを条件として作業者が作業支援システム１０へアクセスすることを可能にするため、本番システム２０の情報セキュリティの毀損を防止できる。

第２の変形例を説明する。第２の変形例は、第１の変形例の構成に、作業者画像に基づいて作業者を認証する構成を付加したものである。これにより、作業者による本番システム２０へのアクセスを自律的に許可する構成においても、ＩＤ・パスワード認証に加えて作業者画像による認証を実行することで二要素認証を実現し、本番システム２０の情報セキュリティを一層向上させることができる。

具体的な構成として、作業者端末２２のカメラは、少なくとも作業者の顔を撮像できるよう位置や撮像範囲が設定される。ターミナルサーバ１２ｂの記憶部３２には、正規の作業者の顔画像が予め格納される。ターミナルサーバ１２ｂは、ターミナルサーバ１２ａから受信した作業者映像（現実の作業者の顔画像を含む）と、記憶部３２に格納された正規の作業者の顔画像とを比較し、異同を判定する画像比較部をさらに備える。これらの画像の比較・異同判定処理には、公知の画像マッチング技術（テンプレートマッチング等）や、公知の顔認識・比較技術を使用してよい。

現実の作業者の顔画像と、正規の作業者の顔画像とが不整合であれば、ターミナルサーバ１２ｂは処理を終了する。したがって、作業者が作業支援システム１０へアクセスできない状態が維持される。現実の作業者の顔画像と、正規の作業者の顔画像とが整合する場合、画像比較部はその事実をアクセス制御切替部６８へ通知する。アクセス制御切替部６８は、この通知を受け付け、かつ、作業者ＶＤ画面８２の共有完了情報を受け付けた場合に、作業者ＶＤ画面に入力された遠隔操作の情報を本番システム２０へ伝送するようアクセス制御装置１８によるアクセス制御態様を切り替える。

第３の変形例を説明する。第３の変形例は、第１の変形例の構成に、監視者画像に基づいて本番システム２０へのアクセス可否を設定する構成を付加したものである。具体的には、ターミナルサーバ１２ｂの記憶部３２には、正規の監視者の顔画像（正面に相対した状態の顔画像）が予め格納される。ターミナルサーバ１２ｂは、カメラ映像取得部６０が取得した監視者画像（現実の監視者の顔画像を含む）と、記憶部３２に格納された正規の監視者の顔画像とを比較し、異同を判定する画像比較部をさらに備える。これらの画像の比較・異同判定処理には、公知の画像マッチング技術（テンプレートマッチング等）や、公知の顔認識・比較技術を使用してよい。

現実の監視者の顔画像と、正規の監視者の顔画像とが不整合であれば、ターミナルサーバ１２ｂは処理を終了する。したがって、作業者が作業支援システム１０へアクセスできない状態が維持される。現実の監視者の顔画像と、正規の監視者の顔画像とが整合する場合、画像比較部はその事実をアクセス制御切替部６８へ通知する。アクセス制御切替部６８は、この通知を受け付け、かつ、作業者ＶＤ画面８２の共有完了情報を受け付けた場合に、作業者ＶＤ画面に入力された遠隔操作の情報を本番システム２０へ伝送するようアクセス制御装置１８によるアクセス制御態様を切り替える。

この態様によると、作業者による本番システム２０へのアクセスを自律的に許可する構成においても、ＩＤ・パスワード認証に加えて監視者画像による認証を実行する。これにより、監視者の本人確認を実施できるとともに、監視者が監視者端末２４に正対していること、すなわち監視者ＶＤ画面８０を確認可能な状態であることを条件として、作業者による本番システム２０へのアクセスを許可する。したがって、本番システム２０に対する作業が監視者の監視下で行われることを担保できる。

なお、第２の変形例の構成と第３の変形例の構成を組み合わせてもよく、本番システム２０の情報セキュリティを一層向上することができる。例えば作業支援システム１０は、現実の作業者画像が正規の作業者画像に整合し、かつ、現実の監視者画像が正規の監視者画像に整合することを条件として、作業者による本番システム２０へのアクセスを許可してもよい。

請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

１０ 作業支援システム、 ５０ ログイン要求受付部、 ５２ 認証部、 ５４ 仮想マシン部、 ５６ 作業画面提供部、 ６０ カメラ映像取得部、 ６２ データ共有部、 ６４ 録画部、 ６６ 監査証跡記録部、 ６８ アクセス制御切替部、 ７０ 監視状態検出部。

Claims (8)

1. 作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付ける要求受付部と、
   前記遠隔操作の要求を受け付けた場合に、前記遠隔操作を入力するための作業画面を前記作業者の端末と、前記遠隔操作を監視すべき監視者の端末の両方に表示させる作業画面提供部と、
   前記遠隔操作を許可する旨の情報を前記監視者の端末から受け付けた場合に、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送するよう通信状態を切り替える切替部と、
   前記監視者の端末における前記作業画面の表示状態を検出する検出部とを備え、
   前記切替部は、前記監視者の端末で前記作業画面が非表示であることが検出された場合に、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送することを禁止するよう通信状態を切り替えることを特徴とする作業支援システム。
2. 前記遠隔操作の要求で指定された作業者のＩＤが正当か否かを判定し、正当である場合に、前記作業者の端末への作業画面の提供を許可する認証部と、
   前記作業者の端末のカメラにより撮像された、作業者の現在の様子を示す作業者画像を取得する作業者画像取得部と、をさらに備え、
   前記作業画面提供部は、前記作業者画像取得部により取得された作業者画像を前記監視者の端末にさらに表示させることを特徴とする請求項１に記載の作業支援システム。
3. 前記監視者の端末のカメラにより撮像された、監視者の現在の様子を示す監視者画像を取得する監視者画像取得部と、
   前記作業画面の映像と前記監視者画像の両方を監査証跡として所定の記憶領域へ格納する監査証跡記録部と、
   をさらに備えることを特徴とする請求項１または２に記載の作業支援システム。
4. 前記作業画面提供部は、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を、前記監視者の端末の前記作業画面に表示させ、
   前記切替部は、前記遠隔操作を禁止する旨の情報を前記監視者の端末から受け付けた場合に、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送することを禁止するよう通信状態を切り替えることを特徴とする請求項１から３のいずれかに記載の作業支援システム。
5. 作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付ける要求受付部と、
   前記遠隔操作の要求を受け付けた場合に、前記遠隔操作を入力するための作業画面を前記作業者の端末と、前記遠隔操作を監視すべき監視者の端末の両方に表示させる作業画面提供部と、
   前記作業画面が前記作業者の端末と前記監視者の端末の両方に表示された後、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送するよう通信状態を切り替える切替部と、
   前記監視者の端末における前記作業画面の表示状態を検出する検出部とを備え、
   前記切替部は、前記監視者の端末で前記作業画面が非表示であることが検出された場合に、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送することを禁止するよう通信状態を切り替える
   を備えることを特徴とする作業支援システム。
6. 前記作業者の端末のカメラにより撮像された作業者の顔画像を取得する作業者画像取得部をさらに備え、
   前記切替部は、前記作業者画像取得部により取得された作業者の顔画像と、所定の記憶領域に予め保持された作業者の顔画像との比較結果に応じて、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送するよう通信状態を切り替えることを特徴とする請求項５に記載の作業支援システム。
7. 作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付けるステップと、
   前記遠隔操作の要求に応じて、前記遠隔操作を入力するための作業画面を前記作業者の端末と、前記遠隔操作を監視すべき監視者の端末の両方に表示させるステップと、
   前記遠隔操作を許可する旨の情報を前記監視者の端末から受け付けた場合に、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送するよう通信状態を切り替えるステップと、
   前記監視者の端末における前記作業画面の表示状態を検出するステップとをコンピュータが実行し、
   前記切り替えるステップは、前記監視者の端末で前記作業画面が非表示であることが検出された場合に、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送することを禁止するよう通信状態を切り替えることを特徴とする作業支援方法。
8. 作業者の端末から、作業対象システムに対する遠隔操作の要求を受け付けるステップと、
   前記遠隔操作の要求に応じて、前記遠隔操作を入力するための作業画面を前記作業者の端末と、前記遠隔操作を監視すべき監視者の端末の両方に表示させるステップと、
   前記作業画面が前記作業者の端末と前記監視者の端末の両方に表示された後、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送するよう通信状態を切り替えるステップと、
   前記監視者の端末における前記作業画面の表示状態を検出するステップとをコンピュータが実行し、
   前記切り替えるステップは、前記監視者の端末で前記作業画面が非表示であることが検出された場合に、前記作業者の端末の前記作業画面に入力された遠隔操作の情報を前記作業対象システムへ伝送することを禁止するよう通信状態を切り替えることを特徴とする作業支援方法。
   

Images