JP6446795B2 - 制御プログラム、情報機器、制御方法および制御システム - Google Patents

Description

本発明は情報機器の制御技術に関する。

情報機器の普及により、出張等の外出時にノート型パソコン、パッド型情報機器またはスマートデバイス等の情報機器が持ち出される機会が増えている。

情報機器が例えば社内から社外へ持ち出されて利用される場合、社内で利用される場合に比べ、情報機器が紛失したり、情報機器が第三者に盗難されたり、情報機器の表示内容が第三者に盗み見されたりする等のリスクが大きくなる。

現在、一般には、情報機器に対して、何がしかの紛失対策が講じられることでリスクが許容され、社外へ情報機器が持ち出されて利用されているのが現状である。例えば、情報機器が社外に持ち出される際には、情報機器に記憶された情報の暗号化が義務化されたり、持出時に、持出日、持出者、持出先などの申請が必須化されたりしている。

しかし、たびたび情報漏えい事件が発生していることは周知の事実であり、より効果的な対策が望まれるところである。

一方、特許文献１には、情報機器の現在位置に基づいて情報機器の置忘れを判定し、置き忘れた情報機器に利用制限（セキュリティ対策）を施す技術が開示されている。

また、特許文献２には、目的地までの移動経路と現在位置とを比較し、現在位置が移動経路に合致しているか否かを判定する技術が開示されている。

特開２００７−２５７０６６号公報 特開平８−５００２７号公報

上述した特許文献１等に開示されるような、情報機器の位置情報のみに基づく利用制限は、情報機器を実際に本人が所持しているか否かを正確に判断することが困難であることから、有効な対策とならない場合がある。例えば、情報機器の現在位置が想定（予定）内の場所や経路上であったとしても、本人と異なる第三者が所持しているおそれがあり、その場合は情報漏えいのリスクが高いものとなる。しかし、位置情報が正常であれば何ら利用制限は行われないこととなり、有効な対策とならない。

また、本人が情報機器を所持している場合であっても、予定と異なる行動を行なっている場合には、情報漏えいのリスクは高くなる。しかし、行動が予定と異なっていても、経路自体が変更になるとは限らない。そのため、情報機器の位置情報のみ基づく利用制限では、予定と異なる行動をとっている場合に対応した適切な対策とはならない。

そこで、一側面では、想定される移動経路上であっても情報機器に対して状況に応じた利用制限を適用することのできる仕組の提供を目的とする。

一つの案では、コンピュータに、情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動先までのルート検索により選択された経由地を含む移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記順次取得した該情報機器の位置と前記移動経路とのずれと、前記通過タイミングのずれと、の発生の有無を用いて評価し、前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、処理を実行させる。

一態様によれば、想定される移動経路上であっても情報機器に対して状況に応じた利用制限を適用することができる。

想定行動と想定外行動の例を示す図である。 移動経路の適否と通過タイミングの適否の組み合わせによる想定されるケースの例を示す図である。 想定ケースとリスクのレベルとの関係の例を示す図である。 情報機器の状況とレベルに応じた情報区分毎のアクセス制限の例を示す図である。 情報機器の構成例を示す図である。 システムの構成例を示す図である。 処理に用いる情報の例を示す図である。 実施形態の処理例を示すフローチャート（その１）である。 実施形態の処理例を示すフローチャート（その２）である。

以下、本発明の好適な実施形態につき説明する。

＜概要＞
図１は想定行動と想定外行動の例を示す図である。

図１において、出発地から直線で示すような徒歩で駅Ａに行き、駅Ａから直線で示す電車（在来線）で駅Ｂに行き、駅Ｂから電車（超特急）で駅Ｃに行き、駅Ｃから徒歩で目的地に行くのが予定した経路であるとする。そして、その経路を予定した通過タイミング（出発時からの経過時間等）で移動する場合は想定行動（予定行動）である。

想定行動から外れるものは想定外行動であり、いくつものケースがある。例えば、駅Ａで駅の中にある店舗で買い物をしたり、駅のトイレを使用すると、予定した経路からは外れていないが、遅延が発生して通過タイミングが違ってくるため想定外行動となる。

また、駅Ａで安全確認や人身事故の発生により電車運行抑止があると、遅延が発生して通過タイミングが違ってくるため想定外行動となる。

また、駅Ｂで超特急と間違えて特急に乗車してしまった場合、遅延が発生して通過タイミングが違ってくるため想定外行動となる。

また、駅Ａで情報機器を置き忘れてしまうと、持出者は予定通りに電車に乗車したとしても、情報機器の移動はなく、遅延が発生して通過タイミングが違ってくるため想定外行動となる。

また、出発地から徒歩で別の経路を移動して駅Ａに行ったとすると、駅Ａの通過タイミングは同等であっても、移動した経路が違ってくるため想定外行動となる。

また、駅Ａにおいて電車事故発生等により迂回せざるを得なくなり、駅Ｅに移動して、飛行機を利用（空港Ｆ、Ｇ）し、バスを利用（バス停Ｈ、Ｉ）し、徒歩で目的地に行った場合、移動した経路も通過タイミングも違ってくるため想定外行動となる。

また、駅Ａで駅Ｂとは反対方向の電車に乗車してしまった場合、移動した経路も通過タイミングも違ってくるため想定外行動となる。

また、駅Ｃで降車するのを忘れた場合、移動した経路も通過タイミングも違ってくるため想定外行動となる。

また、出発地から駅Ａに向かう途中で情報機器が盗難に遭い、犯人が徒歩で駅Ｄに移動した場合、移動した経路も通過タイミングも違ってくるため想定外行動となる。

また、駅Ｅから電車により駅Ｊへ行った場合、移動した経路も通過タイミングも違ってくるため想定外行動となる。

その他にも、さぼり等により予定と違う経路を移動した場合、移動した経路も通過タイミングも違ってくるため想定外行動となる。

図２は移動経路の適否と通過タイミングの適否の組み合わせによる想定されるケースの例を示す図であり、代表的なケースがａ〜ｎとして示されている。

移動経路も通過タイミングも正常である場合には、ケースａが含まれる。

移動経路は正常であるが、通過タイミングが正常でない場合には、ケースｂ〜ｅが含まれる。ケースｂは駅の中の店舗での買い物や駅のトイレの利用等による想定外行動である。ケースｃは、安全確認や人身事故発生のために電車が停止する電車運行抑止の場合である。ケースｄは、同一経路上で異なる列車種別に乗車してしまう、同一方向の乗り間違いの場合である。ケースｅは、情報機器の置き忘れの場合である。

移動経路は正常でないが、通過タイミングが正常である場合には、ケースｆが含まれる。所用時間がほぼ同じである別経路を経由した場合である。

移動経路も通過タイミングも正常でない場合には、ケースｇ〜ｎが含まれる。ケースｇは、電車事故発生に伴う迂回乗車であるが、現時点で迂回乗車であると判断できない状態である。ケースｈは、適切な迂回乗車であることの判断がついた状態である。ケースｉは、別方向の電車への乗り間違いの場合である。ケースｊは、予定の駅で降車しなかった、乗り越しの場合である。ケースｋは、持出者の携帯電話等に自動的に連絡があったものの、是正がされず、盗難の可能性が大きい状態である。ケースｌは、情報機器の置き忘れ後に、善意の第三者によって安全な公的場所へ届けられた状態である。ケースｍは、盗難であることがほぼ間違いない状態である。ケースｎは、その他の想定外行動である。

図３は想定ケースとリスクのレベルとの関係の例を示す図である。図３における想定ケースａ〜ｎは図２の想定ケースａ〜ｎに対応している。

レベルは、リスクの増大に伴い、「通常レベル」→「注意レベル」→「警戒レベル」→「警告レベル」の順に上がるものとしている。なお、警戒レベルが所定時間継続した場合は警告レベルに上がり、警告レベルが所定時間継続した場合は情報機器のデータ消去を行うものとしている。

図４は情報機器の状況とレベルに応じた情報区分毎のアクセス制限（利用制限）の例を示す図である。

図４において、持出前の事務所における持出制御準備以前の段階では、持出情報区分によらず参照（Read）と書き込み（Write）が認められているが、持出制御準開始後の移動中には情報機器１のレベルにより持出情報区分により参照と書き込みに制限が加えられている。また、目的地である顧客先と社内出張先とでアクセス制限の内容が変えられている。

なお、移動手段（徒歩、電車、バス、飛行機等）の違いや時間帯により、アクセス制限の内容を変えてもよい。更に、特定の位置や時間帯を指定して、アクセス制限の内容を規定してもよい。徒歩の場合はひったくりにあう可能性があり、電車の中では盗み見される可能性がある。また、特定の場所では安全が確保されている場合もある。

また、情報機器内の情報についてのアクセス制限について例示したが、アプリ（アプリケーションプログラム）についてのアクセス制限を規定してもよい。更に、移動中のネットワーク速度に応じて、アクセスできるファイルサイズを制限するようにしてもよい。

＜機器構成・システム構成＞
図５は情報機器１の構成例を示す図であり、外部情報を取得するための外部環境の存在を前提に、情報機器１単独で制御を行うようにしたものである。

図５において、情報機器１は、一般機能部１１と持出制御部１２とを備えている。一般機能部１１は、情報機器としての情報の閲覧や更新を行う基本的な機能を提供する部分である。持出制御部１２は、出張等により情報機器１を外部に持ち出す場合の制御を行う部分である。

持出制御部１２は、持出設定部１２０と持出制御開始・終了制御部１２１と位置情報取得部１２２と外部情報取得部１２３と移動手段判定部１２４と想定外行動監視部１２５と携帯連絡部１２６とアクセス制御適用部１２７とデータ消去部１２８とログ取得・蓄積部１２９とを備えている。

持出設定部１２０は、持出制御を行うにあたって予定される移動経路情報（位置情報、通過タイミング情報）等を設定する機能を有している。

持出制御開始・終了制御部１２１は、所定の操作が所定の位置において行われたことに基づいて、情報機器１の持出の開始と終了を制御する機能を有している。

位置情報取得部１２２は、ＧＰＳ（Global Positioning System）等により情報機器１の現在位置（緯度・経度）情報を取得する機能を有している。

外部情報取得部１２３は、交通遅延情報や警察・駅の遺失物・忘れ物預かり所等の安全エリア情報を外部のネットワークサービスから取得する機能を有している。

移動手段判定部１２４は、現在の情報機器１の位置情報の変化速度や加速度センサの情報から、現在の移動が徒歩なのか、電車なのか（更には、各駅停車、特急、超特急等の区別）、バスなのか、飛行機なのか等の移動手段を判定する機能を有している。

想定外行動監視部１２５は、移動経路情報と、現時点までに取得した情報機器１の位置情報および通過タイミング情報とを比較し、位置情報および／または通過タイミング情報の合致を判定することで、想定外行動を監視し、情報機器１のレベルを変化させる機能を有している。レベルは、情報機器１内の情報へのアクセス制限を決定する要素となる。

携帯連絡部１２６は、情報機器１が置き忘れや盗難のおそれがある場合に、持出者の携帯電話等にその旨の通知および対処の指示を行う機能を有している。

アクセス制御適用部１２７は、想定外行動監視部１２５により現時点で判断された情報機器１のレベルや、情報機器１の現在位置等に応じ、情報区分に応じてアクセス制御を行う機能を有している。

データ消去部１２８は、情報機器１から情報漏洩の可能性が高い場合に、情報機器１内の所定の情報のデータを消去する機能を有している。例えば、情報機器１内のデータ消去は、漏洩リスクが増大して情報機器１の状態が「警告レベル」に達した場合に実施する。ただし、この実施は直ぐにではなく、所定時間経過してもいまなお「警告レベル」であった場合とする。また、「警戒レベル」が所定時間経過した場合は「警告レベル」に自動的に遷移させる。

ログ取得・蓄積部１２９は、後の検証や、判定の精度向上等のために、持出制御部１２の処理内容のログを取得し蓄積する機能を有している。

図６はシステムの構成例を示す図であり、管理装置（サーバ）３の下で制御を行うようにしたものである。なお、管理装置３との通信が行えないような場合に備え、情報機器１は図５に示した機能を併せて持つようにすることができる。

図６において、インターネット等のネットワーク２には情報機器１と管理装置３と情報機器４とが接続されている。

情報機器１は、図５に示した構成と比較して、持出制御部１２のいくつかの機能部が省略ないし変更されている。すなわち、持出設定部１２０（図５）の機能は設定用の情報機器４からの操作により管理装置３の持出設定部３０が果たす。また、外部情報取得部１２３、移動手段判定部１２４、想定外行動監視部１２５、携帯連絡部１２６およびログ取得・蓄積部１２９（図５）に対応する機能は管理装置３に移され、外部情報取得部３３、移動手段判定部３４、想定外行動監視部３５、携帯連絡部３６およびログ取得・蓄積部３９となっている。また、持出制御開始・終了制御部１２１は、持出の開始・終了を管理装置３に通知する機能が付加される。位置情報取得部１２２は、取得した情報機器１の現在位置を管理装置３に通知する機能が付加される。

管理装置３の位置情報受信部３２は、情報機器１の位置情報取得部１２２から現在位置を受信する機能を有している。

アクセス制御指示部３７は、想定外行動監視部３５により現時点で判断された情報機器１のレベルや、情報機器１の現在位置等に応じ、情報区分に応じて、情報機器１に対してアクセス制御を行う指示を行う機能を有している。

データ消去指示部３８は、情報機器１から情報漏洩の可能性が高い場合に、情報機器１内の所定の情報のデータを消去する指示を行う機能を有している。

図７は処理に用いる情報の例を示す図であり、図５の構成では情報機器１側で用いられ、図６の構成では主に管理装置３側で用いられるものである。

図７において、持出設定情報は、持出設定部１２０（図５）または持出設定部３０（図６）により、持出前に設定される情報である。持出設定情報には、「機器ＩＤ」「持出者ＩＤ」「持出日時」「持出先（目的地）」「利用時間」「利用情報」「持出情報区分」「予定移動経路情報（移動手段と代表地点の位置情報と通過タイミング情報（起点からの経過時間等）を含む）」が含まれている。

運用情報は、持出制御の管理者が運用のために予め設定する情報であり、「アクセス制御情報」を含む。「アクセス制御情報」は、図４に示したような、レベル等の状況に応じたアクセス可否の条件を定めた情報である。

現在情報は、現時点で取得されている最新の情報であり、「実績移動経路情報（移動手段と代表地点の位置情報と通過タイミング情報（起点からの経過時間等）を含む）」「交通遅延情報」「迂回経路情報」「安全エリア情報」「現在レベル」が含まれている。

ログ情報は、ログ取得・蓄積部１２９（図５）またはログ取得・蓄積部３９が蓄積する情報である。

＜動作＞
図８は上記の実施形態の処理例を示すフローチャートである。

図８において、先ず、持出設定部１２０（図５）または持出設定部３０（図６）による設定処理として、出発地の設定（ステップＳ１０１）および目的地の設定（ステップＳ１０２）を行う。なお、恣意的な設定が行われないよう、予め用意した候補の中から選択させるようにすることが望ましい。

これにより、持出設定部１２０または持出設定部３０は経路検索アプリ等により、推奨ルート（複数の候補を含む）を表示し（ステップＳ１０３）、設定者の選択により予定ルートの設定（ステップＳ１０４）を行う。予定ルートの設定により、その予定ルートに対応する予定移動経路情報（図７）が記憶される。

また、機器ＩＤ、持出者ＩＤや、利用情報と情報区分、利用時間等の情報機器１の設定を行う（ステップＳ１０５）。

その後、持出制御開始・終了制御部１２１（図５、図６）は、情報機器１に対して所定の操作（例えば、所定の承認コードの入力等）が行われ、かつ、位置情報取得部１２２により取得される現在位置が出発地と一致する場合に持出開始と判断する（ステップＳ２０１のＹ）。管理装置３が制御を行う場合（図６）、持出制御開始・終了制御部１２１は管理装置３に持出制御の開始を通知する。

持出開始により、持出制御部１２（図５）または管理装置３（図６）における持出制御の準備を行う（ステップＳ２０２）。

次いで、持出制御部１２（図５）または管理装置３（図６）は、位置情報取得部１２２、外部情報取得部１２３、移動手段判定部１２４（図５）または位置情報受信部３２、外部情報取得部３３、移動手段判定部３４（図６）により、現状で必要とされる最新情報を取得する（ステップＳ２０３）。

次いで、想定外行動監視部１２５（図５）または想定外行動監視部３５（図６）は、予定移動経路情報と実績移動経路情報とその他の情報に基づく想定外行動の監視を行い、その時点で判断される想定外行動の想定ケースに応じて情報機器１のレベルの維持・変更を行う（ステップＳ２０４）。想定ケースとレベルの関係は、例えば、図２および図３に示したものに従う。

次いで、図８に戻り、持出制御開始・終了制御部１２１（図５、図６）は、情報機器１に対して所定の操作（例えば、所定の承認コードの入力等）が行われ、かつ、位置情報取得部１２２により取得される現在位置が出発地と一致するか否かにより持出終了を判断する（ステップＳ２０５）。

持出終了でない場合（ステップＳ２０５のＮ）、最新情報の取得（ステップＳ２０３）から処理を繰り返す。

持出終了の場合（ステップＳ２０５のＹ）、持出制御部１２（図５）または管理装置３（図６）における持出制御の準備解除を行う（ステップＳ２０６）。管理装置３が制御を行う場合（図６）、持出制御開始・終了制御部１２１は管理装置３に持出制御の終了を通知することで持出制御の準備解除を行う。

図９は図８における想定外行動の監視（ステップＳ２０４）の処理例を示すフローチャートである。

図９において、先ず、予定移動経路情報と実績移動経路情報の比較を行う（ステップＳ３０１）。

予定移動経路情報と実績移動経路情報において、直近の移動経路が合致し通過タイミングも合致すると判断された場合（ステップＳ３０１の移動経路：○ タイミング：○）、レベルを通常レベルに設定（既に通常レベルであれば重ねて設定は不要）する（ステップＳ３０２）（図２、図３の想定ケースａに対応）。

直近の移動経路が合致し通過タイミングが合致しないと判断された場合（ステップＳ３０１の移動経路：○ タイミング：×）、外部から取得した交通遅延情報に基づいて電車運行抑止であるか否か判断する（ステップＳ３０３）。

電車運行抑止であると判断された場合（ステップＳ３０３のＹ）、レベルを通常レベルに設定し（ステップＳ３０４）、予定移動経路情報の通過タイミング情報を遅延時間だけ修正するか、その後の比較において遅延時間を考慮するようにする（ステップＳ３０５）（図２、図３の想定ケースｃに対応）。

電車運行抑止でないと判断された場合（ステップＳ３０３のＮ）、現時点での一所での滞留時間が所定値を超えているか否かを実績移動経路情報から判断する（ステップＳ３０６）。なお、電車運行抑止でないと判断される場合には、実際には電車運行抑止であっても、外部から取得する交通遅延情報の更新が行われていないために、現時点では電車運行抑止でないと判断される場合を含む。

滞留時間が所定値を超えていないと判断された場合（ステップＳ３０６のＮ）、レベルを注意レベルに設定する（ステップＳ３０７）（図２、図３の想定ケースｂ、ｄに対応）。

滞留時間が所定値を超えていると判断された場合（ステップＳ３０６のＹ）、レベルを警戒レベルに設定する（ステップＳ３０８）（図２、図３の想定ケースｅに対応）。

直近の移動経路が合致せず通過タイミングが合致すると判断された場合（ステップＳ３０１の移動経路：× タイミング：○）、レベルを注意レベルに設定する（ステップＳ３０９）（図２、図３の想定ケースｆに対応）。

直近の移動経路が合致せず通過タイミングが合致しないと判断された場合（ステップＳ３０１の移動経路：× タイミング：×）、警戒レベルであるか否か判断する（ステップＳ３１０）。

警戒レベルでないと判断された場合（ステップＳ３１０のＮ）、迂回乗車か誤乗車・乗り越し解消であるか否か判断する（ステップＳ３１１）。迂回乗車は迂回経路情報に基づいて判断する。誤乗車・乗り越し解消は、移動経路の逆方向への折り返しから判断する。

迂回乗車であると判断された場合（ステップＳ３１１の迂回乗車）、迂回ルートに対応して予定移動経路情報を再設定し（ステップＳ３１２）、レベルを通常レベルに設定する（ステップＳ３１３）（図２、図３の想定ケースｈに対応）。

誤乗車・乗り越し解消であると判断された場合（ステップＳ３１１の誤乗車・乗り越し解消）、移動経路および通過タイミングに修正を行い（ステップＳ３１４）、レベルを通常レベルに設定する（ステップＳ３１５）。

迂回乗車や誤乗車・乗り越し解消でないと判断された場合（ステップＳ３１１のＮ）、現時点での一所での滞留時間が所定値を超えているか否かを実績移動経路情報から判断する（ステップＳ３１６）。

滞留時間が所定値を超えていないと判断された場合（ステップＳ３１６のＮ）、レベルを注意レベルに設定する（ステップＳ３１７）（図２、図３の想定ケースｇ、ｉ、ｊに対応）。

滞留時間が所定値を超えていると判断された場合（ステップＳ３１６のＹ）、または警戒レベルであると判断された場合（ステップＳ３１０のＹ）、安全エリア情報に基づいて情報機器１が安全エリアに存在するか否か判断する（ステップＳ３１８）。

安全エリアに存在すると判断された場合（ステップＳ３１８のＹ）、レベルを警戒レベルに設定する（ステップＳ３１９）（図２、図３の想定ケースｌに対応）。

安全エリアに存在しないと判断された場合（ステップＳ３１８のＮ）、持出者の携帯電話等に連絡を行った後に是正がされていないか否か判断する（ステップＳ３２０）。

是正がされていると判断される場合（ステップＳ３２０のＮ）、レベルを注意レベルに設定する（ステップＳ３２１）。

是正がされていないと判断される場合（ステップＳ３２０のＹ）、レベルを警戒レベルに設定する（ステップＳ３２２）（図２、図３の想定ケースｋに対応）。

なお、フローには示していないが、上記の処理により設定されたレベルに従い、アクセス制御適用部１２７は、図５の場合は自ら、図６の場合はアクセス制御指示部３７の指示を待って、情報区分に応じてアクセス制御を行う。

また、警戒レベルが所定時間持続した場合は警告レベルに自動的に遷移させ、警告レベルが所定時間持続した場合はデータ消去部１２８によりデータ消去を行う。

また、情報機器１の持出者が所定の操作を行った場合や、管理装置３の管理者が所定の操作を行った場合には、情報機器１のレベルを通常レベルに戻したり、現状の持出制御をリセットして新たに持出制御を開始させたりすることができる。

また、ログ情報（図７）を用い、過去の実績移動経路情報を参照することで、現在の移動が適正に行われているか否か判断することができる。例えば、電車事故等が無いにも関わらず、同一出張先へ行く場合に経路や所要時間が大幅に異なる場合は、その途中で寄り道をしている可能性がある。持ち出しする情報資産のセキュリティレベルによっては、寄り道の段階で情報機器１のレベルを変更することが必要となる場合がある。

その他、管理装置３により持出制御を行う場合（図６）、持出者から盗難の連絡があったり、持出者のさぼり等が判明したりした場合、強制的に警告レベルに移行させることができる。

＜具体例１＞
情報機器１の持出者が、出張中に途中で駅に設置されているトイレに寄ったとする。予定の経路上（駅の構内）であるものの、想定よりも通過タイミングの遅延が発生し、一所での滞留時間も発生するため、図９のステップＳ３０１の「移動経路：○ タイミング：×」と判断される。

次いで、ステップＳ３０３で電車運行抑止であるか否かが判断されるが、トイレの立ち寄りであるため、電車運行抑止ではないと判断される。

次いで、ステップＳ３０６で一所での滞留時間が所定値を超えているか否か判断されるが、トイレの立ち寄りであり、所定値は超えていないと判断される。

この場合、単なるトイレの立ち寄りであり、長時間の滞留ではないとしても、予定から外れており、セキュリティリスクが増加するため、ステップＳ３０７で情報機器１を「注意レベル」に遷移させる（図２、図３の想定ケースｂに対応）。これにより、情報機器１内の一般情報以外へのアクセスが禁止される（図４における移動中の注意レベル）。

次いで、持出者はトイレに寄った後、予定の経路上の電車に乗車するため、ホームへ移動する。しかし、持出者は情報機器１をトイレに置き忘れたままであるとすると、セキュリティリスクが増加する。この場合、一所での滞留時間が所定値を超えることとなり、ステップＳ３０１→ステップＳ３０３→ステップＳ３０６を経て、ステップＳ３０８で「警戒レベル」に遷移させる（図２、図３の想定ケースｅに対応）。これにより、情報機器１内の一般情報の書込以外が禁止される（図４における移動中の警戒レベル）。

その後、善意の第三者または清掃員などが情報機器１を発見し、確保したとする。この場合、忘れものとして、安全な然るべき場所（駅の忘れもの預かり所、警察署など）へ運搬するのが一般的である。

この場合、予定の経路から外れ、かつ、通過タイミングも遅延が発生しているため、ステップＳ３０１の「移動経路：× タイミング：×」と判断される。

次いで、ステップＳ３１０で警戒レベルであるか否か判断され、警戒レベルであると判断され、ステップＳ３１８で安全エリアに情報機器１が存在するか否か判断される。

この時点ではまだ安全エリアに情報機器１が持ち込まれていないとすると、ステップＳ３２０で持出者の携帯電話等に連絡を行った後に是正がされているか否か判断され、是正されていないとすると、持出者以外の者による情報機器１の移動が疑われ、セキュリティリスクは増加するため、ステップＳ３２２で「警告レベル」に遷移させる（図２、図３の想定ケースｋに対応）。これにより、情報機器１内の全ての情報へのアクセスが禁止される（図４における移動中の警告レベル）。

更に、この状態で公的で安全な場所へ運搬されずに所定時間が経過すると、情報機器１のデータ消去を実行する。すなわち、公的な場所以外で移動がなくなった場合には、盗難者の逃亡のための移動がなくなり、情報機器１に対して不正アクセスを試み、情報機器１からデータを不正に取得するなどの不正行為を試みている可能性が高いと判断して、所定時間の経過を待って情報機器１のデータ消去を行う。

また、善意の第三者による情報機器１の運搬が終わり、係員へ引き継がれ、係員により適切に公的で安全な場所に保管されると、セキュリティリスクが低下し、ステップＳ３１９で「警戒レベル」に遷移する。警戒レベルとなることで、データ消去の実施が回避される（図２、図３の想定ケースｌに対応）。この場合、情報機器１からデータを消去してしまって、その後復旧作業に掛かる手間と、情報漏洩のリスクとのバランスを鑑み、「警戒レベル」ではデータ消去を行わず、「警告レベル」にある時に所定時間経過した後にデータ消去することとしている。

また、保管されている情報機器１を持出者本人が回収すると、セキュリティリスクは低下するため、所定の操作を行うことで「注意レベル」に遷移させる。

更に、公的で安全な場所で、置き忘れた情報機器１にセキュリティ上の問題（情報漏洩や改竄などの問題）が無いことを持出者が確認し、持出手続きに準ずる手続を行うことで、セキュリティリスクは低減し、「通常レベル」に遷移させる。置き忘れに伴い発生していたリスクを初期化し、情報機器１を回収した地点から出張先へ新たに持出申請を実施する。不安要素がある場合はいったん事務所へ戻らせてもよい。この際、公的で安全な場所から事務所へ戻る状況がシステムコントール配下にある。ただし、当該事情を複数回発生させた利用者はしばらく事務所外では「注意レベル」で推移するなどのペナルティがセキュリティ運用上必要であろう。

なお、公的で安全な場所でも所定期間忘れものとして、預けられたままの場合、セキュリティリスクが高くなるため、「警戒レベル」から「警告レベル」へ自動的に遷移させ、その後に何も対策がとられずに所定時間経過した時点でデータ消去を実行する。

＜具体例２＞
情報機器１の持出者が、駅から電車に乗車する場合に、下り電車に乗車する予定であったところ、誤って上り電車に乗車した場合、予定の経路ではなく、通過タイミングも異なるため、図９のステップＳ３０１の「移動経路：× タイミング：×」と判断される。

次いで、ステップＳ３１１で迂回乗車であるか否かが判断されるが、当所は迂回乗車であるのか乗り間違いであるか判断できないため、続いてステップＳ３１６で滞留時間が所定値を超えるか否か判断される。

この場合、移動しているため滞留時間は所定値を超えることはないが、経路を誤っており、セキュリティリスクが増加するため、ステップＳ３１７で「注意レベル」に遷移させる（図２、図３の想定ケースｇ、ｉに対応）。なお、迂回乗車開始か誤乗車であるかの判断が付かない点については、セキュリティコントロールの観点から、セキュリティリスクは同じと判断でき、情報機器１の状態も同じ「注意レベル」であるため、情報セキュリティ上で差異はないと考える。

また、移動経路から見て目的地に向かう迂回乗車であるとステップＳ３１１で判断された場合、迂回ルートに対応してステップＳ３１２で予定移動経路情報を再設定し、ステップＳ３１３でレベルを「通常レベル」に遷移させる（図２、図３の想定ケースｈに対応）。

また、持出者が自ら誤乗車と気づき、途中で引き返した場合は、当初設定した予定の経路に戻った時点で、ステップＳ３１１で誤乗車の解消と判断されると、セキュリティリスクは低減し、ステップＳ３１４で移動の誤り分をリセットし、ステップＳ３１５で「通常レベル」に遷移する。乗り越し（図２、図３の想定ケースｊに対応）が解消された場合も同様である。

＜具体例３＞
情報機器１の持出者が、予定の経路に従い予定の電車に乗車している最中に電車事故発生に伴い、電車が途中で停止した場合、経路は正常であるが、時間だけが経過していくため、図９のステップＳ３０１の「移動経路：○ タイミング：×」と判断される。

次いで、ステップＳ３０３で電車運行抑止であるか否かが判断されるが、交通遅延情報により電車運行抑止であると判断されると、セキュリティレベルは変化しないため、ステップＳ３０４で「通常レベル」のままとされる（図２、図３の想定ケースｃに対応）。

運転再開後、時間だけは遅れるが、通常の表定速度での運転開始後には、通常状態に戻ったと考え、ステップＳ３０５で予定移動経路情報の通過タイミングに修正等を加え、時間経過の遅れを判断の基準としては考慮しないようにする。

＜具体例４＞
情報機器１の持出者が、予定の経路ではあるが、予定される電車ではなく、異なる種別の電車に乗車した場合（例えば、各駅停車に乗車する予定であったが、目的地に停車しない急行電車に乗車した場合）は、経路は正常であるが、通過タイミングが異なるため、図９のステップＳ３０１の「移動経路：○ タイミング：×」と判断される。

この場合、同一経路上で異なる列車種別に乗車したことにより、乗り越しする可能性が高いため、リスクは増加し、ステップＳ３０７で「注意レベル」に遷移させる（図２、図３の想定ケースｄに対応）。

持出者が途中で気づき、予定している下車駅を通過する前の急行停車駅で下車し、後続の予定してた各駅停車に乗り換えた場合、図９のステップＳ３０１の「移動経路：○ タイミング：○」と判断され、ステップＳ３０２で「通常レベル」に戻る。

なお、乗り越しや誤乗車の場合には、持出者の携帯電話などに誤りの可能性を自動的に通知するようにしてもよい。この場合、連絡通知があっても、持出者が通知に気付かずに放置していた場合などには、その後想定されるセキュリティリスクが上がるため、情報漏洩危機回避の観点から、情報機器１のレベルを上げることも必要となる。

＜具体例５＞
情報機器１の持出者が、所要時間がほぼ同じである別経路を経由して移動した場合、経路は正常でないが、通過タイミングが正常であるため、図９のステップＳ３０１の「移動経路：× タイミング：○」と判断される。この場合、予定の経路を外れたことから、ステップＳ３０９で「注意レベル」に遷移させる（図２、図３の想定ケースｆに対応）。

＜総括＞
以上説明したように、本実施形態によれば、種々のケースの想定外行動に対して、情報機器のリスクを適切にコントロールすることができる。特に、想定される移動経路上であっても情報機器に対して適切な利用制限を適用することができる。

なお、想定外行動監視部１２５は、評価手段の一例である。アクセス制御適用部１２７は、利用制限適用手段の一例である。

以上、好適な実施の形態により説明した。ここでは特定の具体例を示して説明したが、特許請求の範囲に定義された広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により限定されるものと解釈してはならない。

以上の説明に関し、更に以下の項を開示する。
（付記１） コンピュータに、
情報機器から順次取得した該情報機器の位置と、該情報機器に対応づけて記憶された該情報機器の移動経路を含む移動スケジュールとの乖離度を評価し、
前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、
処理を実行させることを特徴とする制御プログラム。
（付記２） 付記１に記載の制御プログラムにおいて、
前記評価する処理は、前記情報機器から順次取得した該情報機器の位置および時間経過から一所での滞留時間を算出し、滞留時間の長短に応じて評価の細分化を行う、
ことを特徴とする制御プログラム。
（付記３） 付記１または２のいずれか一項に記載の制御プログラムにおいて、
前記評価する処理は、交通遅延情報を参照し、移動手段に遅延が発生している場合には前記移動スケジュールの遅れを修正して評価する、
ことを特徴とする制御プログラム。
（付記４） 付記１乃至３のいずれか一項に記載の制御プログラムにおいて、
前記評価する処理は、前記情報機器から順次取得した該情報機器の位置および時間経過から迂回乗車と判断される場合は、前記移動スケジュールに迂回後の移動経路を再設定する、
ことを特徴とする制御プログラム。
（付記５） 付記１乃至４のいずれか一項に記載の制御プログラムにおいて、
前記評価する処理は、前記情報機器から順次取得した該情報機器の位置から前記情報機器が安全の確保されたエリアに存在すると判断される場合は、前記レベルを低下させる、
ことを特徴とする制御プログラム。
（付記６） 付記１乃至５のいずれか一項に記載の制御プログラムにおいて、
コンピュータに、
前記情報機器が盗難にあった可能性がある場合、前記情報機器の持出者に対して是正のための連絡を行う、
処理を実行させることを特徴とする制御プログラム。
（付記７） 情報機器から順次取得した該情報機器の位置と、該情報機器に対応づけて記憶された該情報機器の移動経路を含む移動スケジュールとの乖離度を評価する評価手段と、
前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、
を備えることを特徴とする情報機器。
（付記８） 付記７に記載の情報機器において、
前記評価手段は、前記情報機器から順次取得した該情報機器の位置および時間経過から一所での滞留時間を算出し、滞留時間の長短に応じて評価の細分化を行う、
ことを特徴とする情報機器。
（付記９） 付記７または８のいずれか一項に記載の情報機器において、
前記評価手段は、交通遅延情報を参照し、移動手段に遅延が発生している場合には前記移動スケジュールの遅れを修正して評価する、
ことを特徴とする情報機器。
（付記１０） 付記７乃至９のいずれか一項に記載の情報機器において、
前記評価手段は、前記情報機器から順次取得した該情報機器の位置および時間経過から迂回乗車と判断される場合は、前記移動スケジュールに迂回後の移動経路を再設定する、
ことを特徴とする情報機器。
（付記１１） 付記７乃至１０のいずれか一項に記載の情報機器において、
前記評価手段は、前記情報機器から順次取得した該情報機器の位置から前記情報機器が安全の確保されたエリアに存在すると判断される場合は、前記レベルを低下させる、
ことを特徴とする情報機器。
（付記１２） 付記７乃至１１のいずれか一項に記載の情報機器において、
前記情報機器が盗難にあった可能性がある場合、前記情報機器の持出者に対して是正のための連絡を行う連絡手段、
を備えることを特徴とする情報機器。
（付記１３） 情報機器の制御部が、
情報機器から順次取得した該情報機器の位置と、該情報機器に対応づけて記憶された該情報機器の移動経路を含む移動スケジュールとの乖離度を評価し、
前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、
ことを特徴とする制御方法。
（付記１４） 付記１３に記載の制御方法において、
前記評価する処理は、前記情報機器から順次取得した該情報機器の位置および時間経過から一所での滞留時間を算出し、滞留時間の長短に応じて評価の細分化を行う、
ことを特徴とする制御方法。
（付記１５） 付記１３または１４のいずれか一項に記載の制御方法において、
前記評価する処理は、交通遅延情報を参照し、移動手段に遅延が発生している場合には前記移動スケジュールの遅れを修正して評価する、
ことを特徴とする制御方法。
（付記１６） 付記１３乃至１５のいずれか一項に記載の制御方法において、
前記評価する処理は、前記情報機器から順次取得した該情報機器の位置および時間経過から迂回乗車と判断される場合は、前記移動スケジュールに迂回後の移動経路を再設定する、
ことを特徴とする制御方法。
（付記１７） 付記１３乃至１６のいずれか一項に記載の制御方法において、
前記評価する処理は、前記情報機器から順次取得した該情報機器の位置から前記情報機器が安全の確保されたエリアに存在すると判断される場合は、前記レベルを低下させる、
ことを特徴とする制御方法。
（付記１８） 付記１３乃至１７のいずれか一項に記載の制御方法において、
前記情報機器が盗難にあった可能性がある場合、前記情報機器の持出者に対して是正のための連絡を行う、
ことを特徴とする制御方法。
（付記１９） 情報機器から順次取得した該情報機器の位置と、該情報機器に対応づけて記憶された該情報機器の移動経路を含む移動スケジュールとの乖離度を評価する評価手段と、
前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、
を備えることを特徴とする制御システム。
（付記２０） 付記１９に記載の制御システムにおいて、
前記評価手段は、前記情報機器から順次取得した該情報機器の位置および時間経過から一所での滞留時間を算出し、滞留時間の長短に応じて評価の細分化を行う、
ことを特徴とする制御システム。
（付記２１） 付記１９または２０のいずれか一項に記載の制御システムにおいて、
前記評価手段は、交通遅延情報を参照し、移動手段に遅延が発生している場合には前記移動スケジュールの遅れを修正して評価する、
ことを特徴とする制御システム。
（付記２２） 付記１９乃至２１のいずれか一項に記載の制御システムにおいて、
前記評価手段は、前記情報機器から順次取得した該情報機器の位置および時間経過から迂回乗車と判断される場合は、前記移動スケジュールに迂回後の移動経路を再設定する、
ことを特徴とする制御システム。
（付記２３） 付記１９乃至２２のいずれか一項に記載の制御システムにおいて、
前記評価手段は、前記情報機器から順次取得した該情報機器の位置から前記情報機器が安全の確保されたエリアに存在すると判断される場合は、前記レベルを低下させる、
ことを特徴とする制御システム。
（付記２４） 付記１９乃至２３のいずれか一項に記載の制御システムにおいて、
前記情報機器が盗難にあった可能性がある場合、前記情報機器の持出者に対して是正のための連絡を行う連絡手段、
を備えることを特徴とする制御システム。

１ 情報機器
１１ 一般機能部
１２ 持出制御部
１２０ 持出設定部
１２１ 持出制御開始・終了制御部
１２２ 位置情報取得部
１２３ 外部情報取得部
１２４ 移動手段判定部
１２５ 想定外行動監視部
１２６ 携帯連絡部
１２７ アクセス制御適用部
１２８ データ消去部
１２９ ログ取得・蓄積部
２ ネットワーク
３ 管理装置
３０ 持出設定部
３２ 位置情報受信部
３３ 外部情報取得部
３４ 移動手段判定部
３５ 想定外行動監視部
３６ 携帯連絡部
３７ アクセス制御指示部
３８ データ消去指示部
３９ ログ取得・蓄積部
４ 情報機器

Claims (13)

1. コンピュータに、
   情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動先までのルート検索により選択された経由地を含む移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記順次取得した該情報機器の位置と前記移動経路とのずれと、前記通過タイミングのずれと、の発生の有無を用いて評価し、
   前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、
   処理を実行させることを特徴とする制御プログラム。
2. コンピュータに、
   情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記情報機器の実績移動経路と前記移動経路とのずれの発生と、前記通過タイミングに合わないことの発生とのうち、いずれが発生しているか、双方が発生しているかに応じたレベルで評価し、
   前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、
   処理を実行させることを特徴とする制御プログラム。
3. 前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、
   処理を実行させ、
   前記移動スケジュールは、前記情報機器の移動中に再設定可能であり、該再設定後は、該再設定後の移動スケジュールとの乖離度を評価する、
   ることを特徴とする請求項１又は２記載の制御プログラム。
4. 請求項１乃至３の何れか一項に記載の制御プログラムにおいて、
   前記評価する処理は、前記情報機器から順次取得した該情報機器の位置および時間経過から一所での滞留時間を算出し、滞留時間の長短に応じて評価の細分化を行う、
   ことを特徴とする制御プログラム。
5. 情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動先までのルート検索により選択された経由地を含む移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記順次取得した該情報機器の位置と前記移動経路とのずれと、前記通過タイミングのずれと、の発生の有無を用いて評価する評価手段と、
   前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、
   を備えることを特徴とする情報機器。
6. 情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記情報機器の実績移動経路と前記移動経路とのずれの発生と、前記通過タイミングに合わないことの発生とのうち、いずれが発生しているか、双方が発生しているかに応じたレベルで評価する評価手段と、
   前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、
   を備えることを特徴とする情報機器。
7. 前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、を備え、
   前記移動スケジュールは、前記情報機器の移動中に再設定可能であり、前記評価手段は、該再設定後は、該再設定後の移動スケジュールとの乖離度を評価する、
   ことを特徴とする請求項５又は６記載の情報機器。
8. 情報機器の制御部が、
   情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動先までのルート検索により選択された経由地を含む移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記順次取得した該情報機器の位置と前記移動経路とのずれと、前記通過タイミングのずれと、の発生の有無を用いて評価し、
   前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、
   ことを特徴とする制御方法。
9. 情報機器の制御部が、
   情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記情報機器の実績移動経路と前記移動経路とのずれの発生と、前記通過タイミングに合わないことの発生とのうち、いずれが発生しているか、双方が発生しているかに応じたレベルで評価し、
   前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する、
   ことを特徴とする制御方法。
10. 前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用し、
    前記移動スケジュールは、前記情報機器の移動中に再設定可能であり、該再設定後は、該再設定後の移動スケジュールとの乖離度を評価する、
    ことを特徴とする請求項８又は９記載の制御方法。
11. 情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動先までのルート検索により選択された経由地を含む移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記順次取得した該情報機器の位置と前記移動経路とのずれと、前記通過タイミングのずれと、の発生の有無を用いて評価する評価手段と、
    前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、
    を備えることを特徴とする制御システム。
12. 情報機器から順次取得した該情報機器の位置に基づいて、該情報機器に対応づけて記憶された該情報機器の移動経路と前記移動経路上における通過タイミングとを含む移動スケジュールとの乖離度を、前記情報機器の実績移動経路と前記移動経路とのずれの発生と、前記通過タイミングに合わないことの発生とのうち、いずれが発生しているか、双方が発生しているかに応じたレベルで評価する評価手段と、
    前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、
    を備えることを特徴とする制御システム。
13. 前記情報機器に対して、前記乖離度に応じたレベルの利用制限を適用する利用制限適用手段と、を備え、
    前記移動スケジュールは、前記情報機器の移動中に再設定可能であり、前記評価手段は、該再設定後は、該再設定後の移動スケジュールとの乖離度を評価する、
    ことを特徴とする請求項１１又は１２記載の制御システム。

Images