JP6481203B2 - 情報処理システム、情報処理装置、サーバ、制御方法及びプログラム - Google Patents

Description

本発明は、テレワーク管理システムにおいて行う認証技術に関する発明であり、特に、当該認証技術で用いる認証情報の配信方法に関する。

近年、ブロードバンドや情報セキュリティ技術の発達の他、災害時における事業継続性や節電対策への注目などを背景に、各企業でテレワークに対する関心が強まっている。

テレワークを導入する上では、管理者から本人の様子が見えにくいため、家族をはじめとする第三者による情報処理端末へのアクセスにより機密情報が漏えいするリスクや、労働管理がしにくい問題がある。

機密情報の漏えい予防手段としては、ユーザが、情報処理端末を用いて操作を行うと、そのユーザの顔を撮影して、顔認識技術を用いて個人認証を行い、本人でない場合は情報処理端末をロックするといったシステムが導入されている。

しかしながら、このようなシステムでは、情報処理端末に表示された内容を第三者に見られたりすることで、情報漏洩に繋がるリスクが生じる。

そこで、情報処理端末の前方を撮影した結果、撮影して得られた画像に、顔の数が１つであれば、個人認証を行うが、２人以上の顔がある場合は、情報処理端末の使用を中止させる技術が開示されている（例えば、特許文献１参照）。

特開２００９−２１１３８１号公報

しかしながら、顔認識を用いたテレワーク管理システムでは、予防機能に重点を置いており、サテライトオフィス勤務といった場面に適用する場合、同一拠点で働く同僚の顔が映ってしまっても予防機能が働いてしまい、ユーザの利便性を損ねることになる。

この予防機能を監視者への通知機能に置き換えたとしても、今度は監視者が状況を確認することに手間を取られてしまう。

本発明の目的は、操作するユーザ以外の人物が撮影されたとき、操作される情報処理装置の不正な使用状態を適切に管理することによって、情報処理装置の監視に係る労力を軽減することが可能な情報処理システム、情報処理装置、サーバ、制御方法、及びプログラムを提供することを目的とする。

上記課題を解決するための第１の発明は、情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記情報処理装置の使用状態を管理する情報処理装置であって、自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、前記取得手段によって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断手段と、前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、を備えたことを特徴とする。

上記課題を解決するための第２の発明は、情報処理装置に対応する撮影装置によって撮影されて得られた画像を取得する情報処理装置と通信可能なように接続したサーバであって、第１の情報処理装置とは別の第２の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、前記取得手段によって取得したユーザを特定する情報に基づいて、前記第１の情報処理装置の撮影装置によって得られた画像から特定されるユーザが、第２の情報処理装置を操作するユーザであるか否かを判断する判断手段と、前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、を備えたことを特徴とする。

上記課題を解決するための第３の発明は、情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記情報処理装置の使用状態を管理する情報処理装置の制御方法であって、前記情報処理装置は、自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得ステップと、前記取得ステップによって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断ステップと、前記判断ステップによる判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定ステップと、を実行することを特徴とする。

上記課題を解決するための第４の発明は、情報処理装置に対応する撮影装置によって撮影されて得られた画像を取得する情報処理装置と通信可能なように接続したサーバの制御方法であって、前記サーバは、第１の情報処理装置とは別の第２の情報処理装置を操作するユーザを特定する情報を取得する取得ステップと、前記取得ステップによって取得したユーザを特定する情報に基づいて、前記第１の情報処理装置の撮影装置によって得られた画像から特定されるユーザが、第２の情報処理装置を操作するユーザであるか否かを判断する判断ステップと、前記判断ステップによる判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定ステップと、を実行することを特徴とする。

上記課題を解決するための第５の発明は、情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記情報処理装置の使用状態を管理する情報処理装置のコンピュータを、自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、前記取得手段によって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断手段と、前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、して機能させるためのプログラムである。

上記課題を解決するための第６の発明は、情報処理装置に対応する撮影装置によって撮影されて得られた画像を取得する情報処理装置と通信可能なように接続したサーバのコンピュータを、第１の情報処理装置とは別の第２の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、前記取得手段によって取得したユーザを特定する情報に基づいて、前記第１の情報処理装置の撮影装置によって得られた画像から特定されるユーザが、第２の情報処理装置を操作するユーザであるか否かを判断する判断手段と、前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、して機能させるためのプログラムである。

本発明によれば、操作するユーザ以外の人物が撮影されたとき、操作される情報処理装置の不正な使用状態を適切に管理することによって、情報処理装置の監視に係る労力を軽減することができる、という効果を奏する。

本発明の実施形態に係るテレワーク管理システムの構成の一例を示すシステム構成図である。 本発明の実施形態に係る証跡送信端末、証跡監査端末、及び証跡管理サーバに適用可能な情報処理装置のハードウェア構成を示すブロック図である。 本発明の実施形態に係るテレワーク監視システムの機能構成を示すブロック図である。 本発明の実施形態において、ログインからログアウトまでの一連の処理の流れを示すフローチャートである。 本発明の実施形態において、同一拠点のユーザに対して特徴量データを更新する処理の流れを示すフローチャートである。 本発明の実施形態において、不正アクセス通知に関する処理の流れを示すフローチャートである。 本発明の実施形態において、不正アクセスの状態を算出する処理の流れを示すフローチャートである。 本発明の実施形態において、拠点を選択するための画面の構成を示す構成図である。 本発明の実施形態において、動静の確認をするための画面の構成を示す構成図である。 本発明の実施形態において、動静の確認をするための画面の構成を示す構成図である。 本発明の実施形態において、ユーザ情報テーブルの構成を示す構成図である。 本発明の実施形態において、端末情報テーブルの構成を示す構成図である。 本発明の実施形態において、拠点情報テーブルの構成を示す構成図である。 本発明の実施形態において、チーム情報テーブルの構成を示す構成図である。 本発明の実施形態において、ログイン情報テーブルの構成を示す構成図である。 本発明の実施形態において、特徴量情報テーブルの構成を示す構成図である。 本発明の実施形態において、認証寄与度情報テーブルの構成を示す構成図である。 本発明の実施形態において、動静情報テーブルの構成を示す構成図である。 本発明の実施形態において、不正アクセス情報テーブルの構成を示す構成図である。 本発明の実施形態において、証跡情報テーブルの構成を示す構成図である。 本発明の実施形態において、顔認識結果テーブルの構成を示す構成図である。 本発明の実施形態に係るテレワーク監視システムの機能構成を示すブロック図である。 本発明の実施形態において、ログインからログアウトまでの一連の処理の流れを示すフローチャートである。 本発明の実施形態において、同一拠点のユーザに対して特徴量データを更新する処理の流れを示すフローチャートである。 本発明の実施形態において、不正アクセス通知に関する処理の流れを示すフローチャートである。 本発明の実施形態において、不正アクセスの状態を算出する処理の流れを示すフローチャートである。 本発明の実施形態において、上司情報テーブルの構成を示す構成図である。

以下、図面を参照して、本発明の実施形態を詳細に説明する。
[第１の実施形態]

図１は、本発明のテレワーク管理システムの構成の一例を示すシステム構成図である。

図１に示すテレワーク管理システムは、１又は複数の証跡送信端末１００、１又は複数の証跡監査端末１１０、１又は複数の証跡管理サーバ１２０が、ローカルエリアネットワーク（ＬＡＮ）１３０とルータ１４０、およびインターネット１５０を介して接続される構成となっている。

証跡送信端末１００は、使用するユーザ（テレワーカ）の動静および不正アクセスを検出し、その証跡情報を証跡管理サーバ１２０に送信する。また、動静等の検出に使用するユーザの特徴量データを証跡管理サーバ１２０に送信する。

証跡監査端末１１０は、管理者が証跡管理サーバ１２０に記録された特徴量データの承認操作と、証跡管理サーバ１２０に記録された証跡の監査操作を行う。

証跡監査端末１１０は、管理者の動静をテレワーカに通知するまたは自身がテレワークを行う際に自身の管理者に動静と不正アクセスを通知するために、証跡送信端末１００と同様の機能を備えることもある。

証跡管理サーバ１２０は、証跡送信端末１００から受信した特徴量データを記録し、その特徴量データに対する証跡監査端末１１０の承認操作を処理する。

そして、証跡送信端末１００から受信した証跡を記録し、その証跡に対する証跡監査端末１１０の監査操作を処理し、また、証跡送信端末１００の接続元拠点情報を元に、証跡送信端末１００で利用する特徴量データを決定する。

以下、図２を用いて、図１に示した証跡送信端末１００、証跡監査端末１１０、及び証跡管理サーバ１２０に適用可能な情報処理装置のハードウェア構成について説明する。

図２は、図１に示した証跡送信端末１００、証跡監査端末１１０、証跡管理サーバ１２０に適用可能な情報処理装置のハードウェア構成を示すブロック図である。

図２において、２０１はＣＰＵで、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。

また、ＲＯＭ２０３あるいは外部メモリ２１２には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ ／ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やオペレーティングシステムプログラム（以下、ＯＳ）や、各サーバ或いは各ＰＣの実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。２０３はＲＡＭで、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。

ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＯＭ２０３あるいは外部メモリ２１２からＲＡＭ２０２にロードして、該ロードしたプログラムを実行することで各種動作を実現するものである。

また、２０５は入力コントローラで、キーボード（ＫＢ）２０９や証跡送信端末１００の前方のユーザを撮影するウェブカメラ等のカメラデバイス２１０、不図示のマウス等のポインティングデバイス等からの入力を制御する。

２０６はビデオコントローラで、ＣＲＴディスプレイ（ＣＲＴ）２１１等の表示器への表示を制御する。なお、図２では、ＣＲＴ２１１と記載しているが、表示器はＣＲＴだけでなく、液晶ディスプレイ等の他の表示器であってもよい。これらは必要に応じて管理者が使用するものである。

２０７はメモリコントローラで、ブートプログラム、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶する外部記憶装置（ハードディスク（ＨＤ））や、フレキシブルディスク（ＦＤ）、或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等の外部メモリ２１２へのアクセスを制御する。

２０８は通信Ｉ／Ｆコントローラで、ネットワーク（例えば、図１に示したＬＡＮ１３０）を介して外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いた通信等が可能である。

なお、ＣＰＵ２０１は、例えばＲＡＭ２０２内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ＣＲＴ２１１上での表示を可能としている。また、ＣＰＵ２０１は、ＣＲＴ２１１上の不図示のマウスカーソル等でのユーザ指示を可能とする。

本発明を実現するための後述する各種プログラムは、外部メモリ２１２に記録されており、必要に応じてＲＡＭ２０２にロードされることによりＣＰＵ２０１によって実行されるものである。

さらに、上記プログラムの実行時に用いられる定義ファイル及び各種情報テーブル等も、外部メモリ２１２に格納されており、これらについての詳細な説明も後述する。

次に、図３を用いて、本発明の証跡送信端末１００、証跡監査端末１１０および証跡管理サーバ１２０の機能ブロック図について説明する。尚、各機能ブロックが処理する詳細な制御については、後述するフローチャートにて説明する。

まず、証跡送信端末１００の機能構成について説明する。

認証情報入力部３０１は、ユーザによる認証情報の入力を受け付ける。認証情報送信部３０２は、認証情報入力部３０１で受け付けた認証情報を、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０の認証情報受信部５０１に送信し、システムへのログインを行う。ログインに成功したら、拠点選択部３０３において拠点の選択を依頼する。

拠点選択部３０３は、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０のユーザ情報管理部５０４からログインユーザが利用可能な拠点リストを取得し、その中から現在の拠点を選択する。

選択方法としては、拠点リストをＣＲＴ２１１に表示してユーザに選択させる方法や、近辺のＷｉｆｉ網から現在地の住所を推定し自動決定するなどの方法がある。

特徴量データ更新部３０４は、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０の特徴量データ取得部５０７から、ユーザおよびユーザと同じ拠点から接続するログインユーザの特徴量データを取得し、特徴量データ記憶部３０５のデータを更新する。特徴量データ記憶部３０５は、顔認識に使用する顔の特徴量データを記憶する。

ユーザ情報表示更新部３０６は、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０のユーザ情報管理部５０４からユーザの動静情報を取得し、ＣＲＴ２１１に表示する。

ユーザ情報表示更新部３０６は、同様にユーザ情報管理部５０４から取得した拠点リストおよびチームリストを表示し、ユーザに選択させて動静情報を表示するユーザを変える機能も備える。

また、ユーザ情報表示更新部３０６は、更新通知受信部３１５から更新通知を受けた際には、ユーザ情報管理部５０４からユーザの動静情報を取り直し、表示を更新する。

映像入力部３０７は、カメラデバイス２１０より映像を取得し、特徴量データ抽出部３０８および状態検出部３１１にその映像を送信する。

特徴量データ抽出部３０８は、特徴量データの登録がない場合や、ユーザの識別がうまくいかない際にユーザを識別するための特徴量データを抽出する。

特徴量データ抽出部３０８は、映像入力部３０７から受信した映像からユーザの顔を抽出し、その顔を使って識別するかどうかユーザに確認する。確認がとれたら、顔から特徴量データを抽出し、それを特徴量データ送信部３１０に送信する。顔の抽出および特徴料データの抽出は顔認識部３０９に依頼する。

顔認識部３０９は、特徴量データ抽出部３０８から受信した映像から顔を抽出し、さらにその顔から識別に利用可能な特徴量データを抽出する。また、状態検出部３１１から受信した映像から顔を抽出し、各顔から抽出した特徴量データと状態検出部３１１から受信した特徴量データとの類似度を算出する。

特徴量データ送信部３１０は、特徴量データ抽出部３０８から受信した特徴量データを証跡管理サーバ１２０の特徴量データ受信部５０９に送信する。また、ログアウト前に特徴量データ記憶部３０５に記憶された識別寄与度を特徴量データ受信部５０９に送信する。

状態検出部３１１は、映像入力部３０７から受信した映像と特徴量データ記憶部３０５に記憶された特徴量データから、正規のログインユーザによる動静「在席」、「離席」、同一拠点のログインユーザによる不正アクセス「なりすまし」、「覗き見」、拠点外の第三者による不正アクセス「なりすまし」、「覗き見」の状態を検出する。

映像と特徴量データを顔認識部３０９に送信し、得られた顔認識結果から現在の状態を算出する。検出した動静と不正アクセスおよび顔認識結果、その際のカメラ画像は証跡制御部３１２に送信する。

証跡制御部３１２は、状態検出部３１１から受信した動静または不正アクセスおよび顔認識結果、カメラ画像を証跡記憶部３１３に記憶する。その際、ビデオコントローラ２０６から取得したスクリーンショットも合わせて記憶する。

証跡制御部３１２は、証跡記憶部３１３に記憶された動静および不正アクセスを総合的に見て、動静および不正アクセスの状態がそれぞれ現在どの状態なのか、その状態に切り替わったのはいつか類推し、切り替わった際の証跡情報（動静または不正アクセス、顔認識結果、カメラ画像、スクリーンショット）を証跡送信部３１４に送信する。

同じ動静および不正アクセスが継続した際は、その終了日時を随時更新して証跡送信部３１４に送信する。また、その終了日時のカメラ画像とスクリーンショットを証跡送信部３１４に送信する。状態の判定に使われなくなった古い証跡情報は、証跡記憶部３１３から随時破棄する。

証跡記憶部３１３は、証跡情報（動静、不正アクセス、顔認識結果、カメラ画像、スクリーンショット）を記憶する。

証跡送信部３１４は、証跡制御部３１２から受信した証跡情報を、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０の証跡受信部５１３に送信する。

更新通知受信部３１５は、証跡管理サーバ１２０のユーザ情報更新通知部５０６からの更新通知を通信Ｉ／Ｆコントローラ２０８を介して受信する。

更新通知受信部３１５は、特徴量データ登録通知があったら、特徴量データ抽出部３０８に特徴量の抽出を依頼し、特徴量データ更新通知があったら、特徴量データ更新部３０４に特徴量データの更新を依頼する。また、動静更新通知があったら、ユーザ情報表示更新部３０６に表示の更新を依頼する。

次に、証跡監査端末１１０の機能構成について説明する。

ユーザ情報表示更新部４０１は、証跡送信端末１００のユーザ情報表示更新部３０６と同様に、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０のユーザ情報管理部５０４からユーザの情報を取得し、それをＣＲＴ２１１に表示する。

ユーザ情報表示更新部３０６と同様の動静情報の表示だけでなく、不正アクセスの発生件数や特徴量データの承認待ち件数などを確認可能な監査情報の表示を行うことができる。ユーザ情報表示更新部４０１は、更新通知受信部４０２からの更新通知を受けて、表示を更新する。

更新通知受信部４０２は、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０の監査情報更新通知部５１０から更新通知を受信する。

更新通知受信部４０２は、動静更新通知があったら、ユーザ情報表示更新部４０１に表示の更新を依頼し、特徴量データ更新通知および不正アクセス発生通知があったら、ユーザ情報表示更新部４０１に表示の更新を依頼し、情報通知部４０３に管理者への情報の通知を依頼する。

情報通知部４０３は、特徴量データの承認処理や不正アクセスの監査処理をすぐに実施してもらえるよう管理者に警告する。

特徴量データ承認操作部４０４は、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０の特徴量データ承認操作処理部５１２から取得した特徴量データをＣＲＴ２１１に表示し、管理者に未承認の特徴量データを承認または棄却させる。承認結果は、特徴量データ承認操作処理部５１２に送信する。

証跡監査操作部４０５は、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０の証跡監査操作処理部５１５から取得した不正アクセスの証跡をＣＲＴ２１１に表示し、管理者に未監査の不正アクセスが問題かどうか監査させる。監査結果は、証跡監査操作処理部５１５に送信する。

問題ないかどうかの判断材料として、その不正アクセス発生期間のカメラ画像およびスクリーンショットを表示する。また、ユーザの動静の履歴を取得して表示したり、統計情報を表示したりする機能も備える。なお、証跡監査端末１１０は、証跡送信端末１００の機能を同時に備えることもある。

最後に、証跡管理サーバ１２０の機能構成について説明する。

認証情報受信部５０１は、証跡送信端末１００の認証情報送信部３０２から受信した認証情報とユーザ記憶部５０２の情報を比較し、一致するユーザ情報があった場合にログイン情報記憶部５０３にログイン情報を記憶する。ユーザ記憶部５０２は、ユーザ情報を記憶し、ログイン情報記憶部５０３は、ユーザのログイン情報を記憶する。

ユーザ情報管理部５０４は、証跡送信端末１００の拠点選択部３０３からの現在拠点の選択を受け付け、ログイン情報記憶部５０３の該当ユーザのレコードの拠点情報を変更し、ユーザ情報更新通知部５０６にログイン情報記憶部５０３から検索した同一拠点のユーザへの特徴量データ更新通知の送信を依頼する。

また、ユーザ情報管理部５０４は、ユーザ情報更新通知部５０６に、ログイン情報記憶部５０３から検索した同一拠点のユーザと、チーム記憶部５１１から検索した同一チームのユーザへの動静更新通知の送信を依頼する。

また、ユーザ情報管理部５０４は、監査情報更新通知部５１０に、管理者への動静更新通知を依頼する。また、証跡送信端末１００のユーザ情報表示更新部３０６および証跡監査端末１１０のユーザ情報表示更新部４０１からの要求を受け、ユーザの利用可能な拠点リスト（拠点情報記憶部５０５の全情報と、ユーザの在宅権限がＴＲＵＥ（詳細後述）である場合はユーザの住所を含む）、ユーザの所属するチームリスト、拠点またはチームに所属するユーザの動静情報（ユーザ記憶部５０２とログイン情報記憶部５０３の動静情報をマージしたもの）を返却する。

また、証跡監査端末１１０のユーザ情報表示更新部４０１からの要求を受け、拠点に所属するユーザの監査情報（ユーザ記憶部５０２とログイン情報記憶部５０３の動静情報と証跡記憶部５１４の未監査不正アクセスのレコード数と特徴量データ記憶部５０８の未承認レコード数をマージしたもの）を返却する。拠点情報記憶部５０５は、拠点情報を記憶する。

ユーザ情報更新通知部５０６は、ユーザがログインおよびログアウトした際およびユーザの動静が変化した際に、そのユーザの接続元拠点に所属するログインユーザ全員の証跡送信端末１００の更新通知受信部３１５に動静更新通知を送信する。

また、ユーザ情報更新通知部５０６は、ユーザがログインおよびログアウトした際および特徴量データが承認された際に、そのユーザの接続元拠点に所属するログインユーザ全員の証跡送信端末１００の更新通知受信部３１５に特徴量データ更新通知を送信する。

特徴量データ取得部５０７は、ユーザの特徴量データと、同一拠点のログインユーザの特徴量データを返却する。

特徴量データ記憶部５０８は、顔認識に利用する特徴量データを記憶する。また、各特徴量データのユーザ本人であるか否かを識別するための度合いを示す識別寄与度を記憶する。

特徴量データ受信部５０９は、証跡送信端末１００の特徴量データ送信部３１０から特徴量データを受信し、特徴量データ記憶部５０８に記憶する。その際、監査情報更新通知部５１０に、特徴量データの登録通知を要求する。また、証跡送信端末１００の特徴量データ送信部３１０から識別寄与度を受信し、特徴量データ記憶部５０８に記憶する。

監査情報更新通知部５１０は、特徴量データおよび不正アクセス発生通知要求を受信した際、その送信ユーザの管理者の証跡監査端末１１０の更新通知受信部４０２に更新通知を送信する。チーム記憶部５１１は、ユーザの監査関係を定義するチーム情報を記憶する。

特徴量データ承認操作処理部５１２は、証跡監査端末１１０の特徴量データ承認操作部４０４による特徴量データの更新情報を受信し、特徴量データ記憶部５０８の特徴量データを更新する。

証跡受信部５１３は、証跡送信端末１００の証跡送信部３１４から送信された証跡情報を受信し、証跡記憶部５１４に記憶する。また、新規の不正アクセスを受信した際、監査情報更新通知部５１０に不正アクセス発生通知を要求する。

証跡記憶部５１４は、証跡情報として、動静情報、不正アクセス情報、カメラ画像、スクリーンショットを記憶する。

証跡監査操作処理部５１５は、証跡監査端末１１０の特徴量データ承認操作部４０４による特徴量データの更新情報を受信し、特徴量データ記憶部５０８の特徴量データを更新する。

なお、管理者がシステムを利用する際に必要なログイン認証を行う機能については本発明の趣旨から外れるため省略する。

以下、図４を参照して、本実施形態のテレワーク管理システムにおいて、テレワークを実施するユーザが証跡送信端末１００にログインし、ログアウトするまでの一連の流れを説明する。

証跡送信端末１００の処理は、そのＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。また、証跡管理サーバ１２０の処理は、そのＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。

ステップＳ１０１では、ユーザが証跡送信端末１００にログインすることにより、証跡送信端末１００が常駐アプリケーションを起動し、バックグラウンドで証跡管理サーバ１２０にアカウントＩＤとパスワードを送信する。

証跡管理サーバ１２０は、ユーザ記憶部５０２に記憶されたユーザ情報（図１１参照）と比較し、一致すればログインを許可する。アカウントＩＤとパスワードは、常駐アプリケーションの初回起動時にユーザが設定し、以降は設定された値を使用するものとする。

図１１に示すユーザ情報テーブルは、ユーザを一意に識別するユーザＩＤ、ユーザのアカウント名、ユーザの名称、ユーザの名称に対する読み仮名、対象ユーザが個人かグループかを表すユーザ種別、ユーザが所在する住所、本人の顔画像等の本人を特定するための画像を示すプロフィール画像、動静の監視対象とする居所を示す動静閲覧対象、監査を行う範囲（グループ）を示す監査対象、ユーザに監視権限があるか否かを示す監視権限（ＴＲＵＥである場合、監視権限あり）、及びユーザが在宅勤務可能であるか否かを示す在宅権限（ＴＲＵＥである場合、可能）を備えている。

ステップＳ１０２では、ログインユーザの承認済の特徴量データ（図１６）が特徴量データ記憶部５０８に記憶されているか確認する。初回利用時など登録がない場合や、登録はあるが承認されていないまたは棄却されているものだけの場合は証跡送信端末１００に特徴量データの登録通知を送信する（ステップＳ１０３へ）。承認済の特徴量データの登録がある場合にはステップＳ１０５に処理を進める。

図１６に示す特徴量データテーブルは、特徴量データを一意に識別するためのＩＤ、ユーザＩＤ、ユーザと特定するために用いる特徴量データを含んで構成されている。

ステップＳ１０３では、証跡送信端末１００にて、ログインユーザの特徴量データを登録する。

本ステップでは、カメラ画像から顔認識により顔画像を抽出し、ログインユーザに登録確認したのち、その顔画像から特徴量データを抽出し、証跡管理サーバ１２０に送信する。

証跡管理サーバ１２０では、受信した特徴量データを特徴量データ記憶部５０８に記憶し、チーム記憶部５１１の監視情報（図１４）から検索したユーザの監視を行う管理者の利用する証跡監査端末１１０に特徴量データ登録通知を送信する。

図１４には、監視情報テーブルが示されており、監視情報テーブルは、監査対象を一意に識別するためのＩＤ、監査対象を識別するための名称、監査対象を識別するための名称の仮名を示すフリガナ、監査対象を監視する管理者を特定するためのＩＤを示す監視者ＩＤリスト、監視対象となるユーザＩＤを示す被監視者ＩＤリストを含む構成を備える。

ステップＳ１０４では、証跡監査端末１１０は、特徴量データ登録通知を受信し、管理者に対して特徴量データを承認してもらえるようアラート通知する。

そして、管理者が証跡監査端末１１０で特徴量データを承認または棄却すると、証跡管理サーバ１２０は、承認された場合は、ステップＳ１０５へ処理を進め、棄却された場合は、ステップＳ１０３へ処理を進める。

ステップＳ１０５では、証跡送信端末１００が証跡管理サーバ１２０からユーザの特徴量データを取得し、特徴量データ記憶部３０５に記憶する。

証跡管理サーバ１２０は、すべての特徴量データを返すのではなく、特徴量データ記憶部３０５に記憶された、各特徴量データの識別寄与度（図１７）からユーザの識別に有効な特徴量データを選択して返却する（図５の説明で詳細を記述する）。

ステップＳ１０６では、証跡送信端末１００にて、取得した特徴量データを用いてカメラ画像に対して顔認識を行い、ユーザの監視を開始する（図６の説明で詳細を記述する）。ユーザ監視はバックグラウンドで処理し、終了を待たずにステップＳ１０７に進む。

ステップＳ１０７における拠点選択よりも先にユーザ監視を開始するのは、第三者が証跡送信端末１００にログインし、拠点選択せずに端末を利用した場合にも、なりすましを検出して証跡管理サーバ１２０に記憶するためである。

ステップＳ１０７では、証跡送信端末１００が接続している拠点を、証跡管理サーバ１２０から取得した拠点の中から選択する。

証跡管理サーバ１２０は、ユーザの利用可能な拠点として、拠点情報記憶部５０５に記憶された拠点情報（図１３）を全て返す。

図１３には、拠点情報テーブルが示されており、拠点情報テーブルは、拠点を一意に識別するためのＩＤ、拠点の名称を示す名前、拠点の名称の仮名、拠点の住所などを含んで構成されている。

また、ユーザ記憶部５０２のユーザ情報の在宅権限がＴＲＵＥである場合は、ユーザの住所から名前が自宅の拠点情報を生成して返却する。

返却する拠点情報には、ログイン情報記憶部５０３に記憶されたログイン情報（図１５）から、各拠点での最終ログイン日時を取得しマージする。

図１５には、ログイン情報テーブルが示されており、ログイン情報テーブルは、ログイン自身を一意に識別するためのＩＤ、ユーザＩＤ、ログインされた証跡送信端末１００を一意に識別するための端末ＩＤ、ログインした拠点のＩＤを示す拠点ＩＤ、ログインした拠点がユーザの自宅であるか否かを示す在宅（ＴＲＵＥの場合、自宅）、ユーザの動静、ログインした日時、及びログアウトした日時を含んで構成されている。

このような拠点情報は、例えば、図８に示すような、ユーザに拠点を選択させる画面に表示させ、この表示された拠点情報から、ユーザが所望する拠点情報を選択させる。

証跡送信端末１００では、Ｗｉｆｉ網等から近辺住所を取得でき、取得した拠点リストから接続元拠点を特定できる場合、自動で接続元拠点を決定してユーザに確認する。

その例を、図８に示す拠点確認画面６０１を表示し、特定できた接続元拠点に関する情報を表示する。

間違っていた場合、拠点リストを近辺住所から近い順に表示し、ユーザに選択させる（最終ログイン日時が新しいものを先に表示する）。

その例として、拠点確認画面６０１に対して、ユーザが、Ｃａｎｃｅｌボタン６０２を押下すると、図８の上段に示すように、作業拠点の選択画面６０４が表示され、近辺住所から近い順に拠点情報を表示して、ユーザに選択させる。

近辺住所を取得できたが特定には至らない場合、拠点リストを近辺住所から近い順に表示し、ユーザに選択させる。

同様に、拠点確認画面６０１に対して、ユーザが、Ｃａｎｃｅｌボタン６０２を押下すると、図８の上段に示すように、作業拠点の選択画面６０４が表示され、近辺住所から近い順に拠点情報を表示して、ユーザに選択させる。

近辺住所を取得できない場合、拠点リストを最終ログイン日時の新しい順に表示し、ユーザに選択させる（同じ住所の拠点がある場合はまとめて表示する）。

その例として、拠点確認画面６０１に対して、ユーザが、Ｃａｎｃｅｌボタン６０２を押下すると、図８の下段に示すように、作業拠点の選択画面６０４が表示され、最終ログイン日時の新しい順に拠点情報を表示して（同じ住所の拠点がある場合はまとめて表示する）、ユーザに選択させる。

作業拠点の選択画面６０４において、拠点が選択された状態で、ＯＫボタン６０５が押下されると、選択した拠点情報が証跡管理サーバ１２０に送信され、ログイン情報記憶部５０３に登録されたユーザのログイン情報の拠点に登録される。

ステップＳ１０８では、ログイン情報記憶部５０３から検索した、同一拠点のユーザの証跡送信端末に特徴量データ更新通知を送信する。

ステップＳ１０９では、特徴量データ更新通知を受信した証跡送信端末１００は、証跡管理サーバ１２０から利用すべき特徴量データを取得し、特徴量データ記憶部３０５のデータを置換する。

その際、証跡管理サーバ１２０は、当該ユーザだけでなく、同一拠点のユーザの特徴量データも返却する。この際、ステップＳ１０５と同様に、すべての特徴量データを返すのではなく、特徴量データ記憶部３０５に記憶された、各特徴量データの識別寄与度からユーザの識別に有効な特徴量データを選択して返却する（図５の説明で詳細を記述する）。

ステップＳ１１０では、ログイン情報記憶部５０３から検索した同一拠点のユーザおよび、チーム記憶部５１１から検索したユーザの所属するチームのメンバー（被監視者ＩＤリスト）に対して、動静更新通知を送信する。

ステップＳ１１１では、動静更新通知を受信した証跡送信端末１００は、現在表示しているチームまたは拠点のユーザの動静情報を、証跡管理サーバ１２０から取得して表示する。

同様に、チーム記憶部５１１から検索したユーザの管理者の証跡監査端末１１０に対して動静更新通知を送信する。動静更新通知を受信した証跡監査端末１１０は、現在表示しているチームに所属するユーザの動静を取得して表示する。

この動静更新通知を受けた際に証跡送信端末１００でユーザの動静情報を表示する画面の例を図９に示す。

動静確認画面７０１は、現在、選択した拠点におけるユーザの動静情報を表示する画面であり、図９の上段の左に示すように、田中花子及び鈴木一郎の２名が在席状態となり、動静確認画面７０１に表示されているが、佐藤元子が、当該拠点に出社し、鈴木一郎が退社すると、図９の上段の右に示すように、田中花子及び佐藤元子の２名が在席状態として表示され、鈴木一郎が他社したことを示すオフラインの状態として表示している。

ステップＳ１１２では、ユーザが証跡送信端末１００からログアウトすることをトリガーとして、ステップＳ１０６のユーザ監視を終了し、証跡管理サーバ１２０からログアウトする。

ステップＳ１１３では、ユーザ監視を終了する際、特徴量データ記憶部３０５に記憶された識別寄与度を証跡管理サーバ１２０に送信し、証跡管理サーバ１２０は、受信した識別寄与度を特徴量データ記憶部５０８に記憶する。

ログアウトの際、証跡管理サーバ１２０は、ログイン情報記憶部５０３のユーザの最新のログイン情報のログアウト日時を登録し、状態をオフラインにする。そして、ステップＳ１１４では、各証跡監査端末１１０に対して動静更新通知を行う。

以下、図５を参照して、図４のＳ１０４およびＳ１０８の更新通知をトリガーとして特徴量データの更新が行われ、証跡送信端末１００にてユーザおよび同一拠点のユーザを識別可能になるまでの流れを説明する。

証跡送信端末１００の処理は、そのＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。また、証跡管理サーバ１２０の処理は、そのＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。

ステップＳ２０１では、証跡送信端末１００が、証跡管理サーバ１２０に対して、顔認識のための特徴量データの取得を要求する。

要求のタイミングとしては、ユーザが証跡送信端末１００を通して証跡管理サーバ１２０へのログインに成功したとき、または証跡送信端末１００が証跡管理サーバ１２０から特徴量データの更新通知を受けたときである。

ステップＳ２０２では、ユーザと同一拠点から接続しているユーザをログイン情報記憶部５０３から検索する。

ステップＳ２０４の時点では、自身の最新のログイン情報に拠点は設定されていないはずなので、自身のみを同一拠点のログインユーザとして取得する。

ステップＳ２０７の時点では、自身の最新のログイン情報の拠点と同じ値を持つ（ログアウトしていない）ログイン情報のユーザを取得する。

ステップＳ２０３からステップＳ２０８では、ステップＳ２０２で取得した同一拠点のユーザ全員を識別するのに有効な特徴量データを抽出する。

ステップＳ２０４では、特徴量データ記憶部５０８（図１７）に記憶された、該当ユーザの識別寄与度情報を登録の新しいものからＸ件取得し、その中で、識別必須回数（この特徴量データがなければ識別に失敗していた回数）が１以上のものを取得する。

図１７には、識別寄与度情報テーブルが示されており、識別寄与度情報テーブルは、識別寄与度情報を一意に識別するためのＩＤ、特徴量を一意に識別するための特徴量データＩＤ、識別寄与度情報を登録したときの日時、認証を行った回数を示す認識回数、認証を行った結果得られた類似度の平均値を示す平均類似度、及び認証必須回数を含んで構成されている（詳細後述）。

ステップＳ２０５では、ステップＳ２０４で取得した件数が、最大値Ｎ件を超える場合は、ステップＳ２０６へ処理を進め、超えない場合は、ステップＳ２０７へ処理を進める。

ここで最大値を設けているのは、あまり多くの特徴量データを使っても、他人許容率（第三者をユーザ本人と認識してしまう確率）が上がる可能性があるからである。

また、主に識別する対象がユーザ本人であるため、それ以外の同一拠点のユーザの場合はＮ’（＜Ｎ）件を最大値にしてもよい。

顔認識技術は、撮影した人などの顔を検出し、その属性情報を読み取る技術であり、顔認識技術を用いた個人識別は、顔画像から算出した特徴量を学習した識別器によって他の顔画像から算出した特徴量との類似性を算出し、その顔の人物を識別する技術である。

この学習の際、同一人物を同じ識別子に関連付けて学習させるが、あまり多くの人物の特徴量を学習しすぎると、識別器の性能にもよるが、本人拒否（登録者を登録者として識別できない）率または他人許容（登録されていない人物を登録者として識別してしまう）率がそれぞれ悪くなってしまう可能性がある。

ステップＳ２０６では、ステップＳ２０４で取得したものの中から識別必須回数が多いもの上位Ｍ（＜Ｎ）件を取得する。さらに、平均類似度が高いもの上位（Ｎ−Ｍ）件を取得し、合計Ｎ件の特徴量データを取得する。

ステップＳ２０７では、得られた特徴量データを証跡送信端末１００に返却するリストに追加する。

ステップＳ２０９では、証跡管理サーバ１２０が取得した特徴量データを証跡送信端末１００に返却し、証跡送信端末１００は、取得した特徴量データを特徴量データ記憶部３０５に記憶する。

以上により、証跡送信端末１００では、ユーザおよび同一拠点のログインユーザを識別できるようになる。

ちなみに、ステップＳ２０４からステップＳ２０７の識別に有効な特徴量データの検索方法は一例であり、各パラメータから総合的なスコアを算出して上位のものを選択したり、前述のスコアに対して新しいデータほど上方補正をかけて選択されやすくしたり、いろいろな選択方法が考えられる。

以下、図６を参照して、図４のステップＳ１０６のユーザ監視において、ユーザの動静および不正アクセスの検出と、不正アクセス発生時に監視者へ不正アクセス登録通知を行う流れについて説明する。

この処理は、証跡送信端末１００のＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。

ステップＳ３０１では、現在の動静および不正アクセスを初期化する。動静は最初何もない状態であり、不正アクセスは正常な状態である。

ステップＳ３０２では、カメラ画像に対して顔認識を適用し、顔認識結果（図２１）、顔認識結果から求まる動静（図１８）および不正アクセス（図１９）、およびその際のカメラ画像あるいはスクリーンショット（図２０）を、証跡記憶部３１３に記憶する。カメラ画像からその動静および不正アクセスの状態を検出する（詳細は図７の説明にて記述する）。

図２１には、顔認識結果テーブルが示されており、顔認識結果テーブルは、顔認識の結果を一意に識別するためのＩＤ、顔認識を行ったカメラ画像の画像を一意に識別するための画像ＩＤ、顔検出が行われたカメラ画像における顔の位置を示す座標、顔検出を行った結果としての類似度、顔認識を行った結果、特定されたユーザのユーザＩＤを含む構成を備えている。

図１８には、動静情報テーブルが示され、動静情報テーブルは、動静情報を一意に識別するためのＩＤ、ユーザＩＤ、端末ＩＤ、ユーザの動静を示す状態（在席、離席）、監視を開始した日時、及び監視を終了した日時を含んで構成されている。

図１９には、不正アクセステーブルが示されており、不正アクセステーブルは、不正アクセスを一意に識別するためのＩＤ、ユーザＩＤ、端末ＩＤ、監視されたユーザの不正アクセスの判定結果を示す状態、この状態が開始された日時、この状態が終了した日時、この不正アクセスに対して、管理者が監査を行ったか否かを示す監査状態、及び監査を行った管理者を示す監査者を含んで構成されている。

図２０には、証跡画像テーブルが示されており、証跡画像テーブルは、証跡対象となる画像を一意に識別するためのＩＤ、当該画像が、カメラ画像であるかスクリーンショットであるかの種別、画像を取得した端末ＩＤ、取得した画像データ、及び取得した日時を示す撮影日時を含んで構成されている。

ステップＳ３０３では、証跡記憶部３１３に記憶された動静情報を元に、最新の動静（新動静）を算出する。

最も単純な算出方法としては、過去数件分の動静情報の中で、最も多い状態を新動静の状態とし、最も古い動静情報を動静の状態とする。

同様に、証跡記憶部３１３に記憶された不正アクセス情報を元に、最新の不正アクセス（新不正アクセス）を算出する。

ステップＳ３０４では、動静の状態と新動静の状態が異なるか（つまり状態が変化したか）確認し、異なるならステップＳ３０５へ処理を進め、同じであればステップＳ３０７に進む。

ステップＳ３０５では、動静を新動静で置き換え、その動静情報を証跡管理サーバ１２０に送信し、ステップＳ３０６では、証跡管理サーバ１２０が、受信した動静情報を証跡記憶部５１４に記憶する。

また、ログイン情報記憶部５０３に記憶されたユーザの最新のログイン情報の動静を更新する。

さらに、同一拠点のユーザをログイン情報記憶部５０３から検索し、ユーザの動静参照者として同一のチームに所属するユーザ（監視者、被監視者）をチーム記憶部５１１から検索し、各ユーザの証跡送信端末１００および証跡監査端末１１０に動静更新通知を送信する。

このときも前述と同様に図９に示す動静確認画面７０１を証跡送信端末１００に表示するが、証跡監査端末１１０には、図９の下段に示す動静全体確認画面７０２が表示される。

動静確認画面７０１については、同一拠点内のユーザの動静を確認することが可能であるが、動静全体確認画面７０２については、全ての拠点内のユーザの動静を確認することが可能である点が主に異なる。動静全体確認画面７０２では、不正アクセスの有無についても確認することが可能である。

動静確認画面７０１及び動静全体確認画面７０２について言えば、証跡監査端末１１０を一意に識別するための端末ＩＤに対応する名称を表示する態様を取ることも可能である。

この場合、図１２に示す端末情報テーブルを用いて、当該名称の表示を行う。この端末情報テーブルは、証跡監査端末１１０を一意に識別するためのＩＤと、証跡監査端末１１０の名称を示す説明を含む構成を備えている。

つまり、ログイン情報記憶部５０３の端末ＩＤに該当する端末情報テーブルのＩＤに対応する説明を動静確認画面７０１あるいは動静全体確認画面７０２に表示する。

ステップＳ３０７では、動静の終了日時を現在時刻で更新し、証跡管理サーバ１２０に送信する。登録から一定時間経過しているのであれば、最新のカメラ画像およびスクリーンショットも同様に送信する。証跡管理サーバ１２０は、受信した証跡情報を証跡記憶部５１４の情報に登録または更新する。

ステップＳ３０８では、動静が在席である場合、ステップＳ３０９へ処理を進め、それ以外（離席）の場合は、ステップＳ３１０へ処理を進める。

ステップＳ３０９では、証跡記憶部３１３に記憶された最新の動静情報を算出した際の、カメラ画像に対する顔認識結果の類似度から、監視対象の各特徴量データの顔認識における識別寄与度を算出し、特徴量データ記憶部３０５に記憶する。最新の動静情報の状態が在席である場合のみ行う。

識別寄与度における平均類似度は、在席と判定された際に特徴量データの記録した全ての類似度の平均である。識別寄与度における識別必須回数は、在席と判定された際にその特徴量データがなければなりすましと判定されていた、つまり、その特徴量データでなければ本人として識別できなかった回数である。

単純に類似度が閾値（０．７）を超えるか否かで識別している場合、特徴量データ１が０．７８、特徴量データ２が０．６５のとき、特徴量データ１の識別寄与度の識別必須回数を１増やす。

ステップＳ３１０では、不正アクセスの状態と新不正アクセスの状態が異なるか（つまり状態が変化したか）否かを判定し、異なると判定したなら、ステップＳ３１１へ処理を進め、同じであると判定した場合、ステップＳ３１６へ処理を進める。

ステップＳ３１１では、不正アクセスを新不正アクセスで置き換え、その新たな不正アクセス情報を証跡管理サーバ１２０に送信する。ステップＳ３１２では、証跡管理サーバ１２０が、受信した不正アクセス情報を証跡記憶部５１４に記憶する。

ステップＳ３１３では、不正アクセスの状態が正常であるか確認し、正常でなければ、その新たな不正アクセス情報を証跡管理サーバ１２０に送信し、ステップＳ３１４に処理を進め、正常であればステップＳ３１８に処理を進める。

ステップＳ３１４では、証跡管理サーバ１２０が、受信した不正アクセス情報を証跡記憶部５１４に記憶する。

ステップＳ３１５では、受信した不正アクセスの状態が「覗き見（同僚）」であれば、ステップＳ３１８に処理を進め、そうでなければ、管理者への通知が必要と判断してステップＳ３１６に処理を進める。

ステップＳ３１６では、証跡管理サーバ１２０が、ユーザの所属チームの監視者をチーム記憶部５１１から検索し、各監視者の証跡監査端末１１０に不正アクセス登録通知を送信する。

不正アクセス登録通知を受信した証跡監査端末１１０は、不正アクセスの監査を監視者に促し、ユーザ情報の表示を更新する。

ここでも、前述したように、証跡監査端末１１０において、図９の下段に示す動静全体確認画面７０２が表示され、不正アクセスの有無を動静全体確認画面７０２で確認することが可能となる。

さらに、この例に関して、図１０を用いて説明する。図１０の上段の左に示される動静確認画面７０１では、田中花子及び鈴木一郎の２名が在席状態となり、動静確認画面７０１に表示されているが、図１０の下段の最も左に示される７０３では、在席状態である田中花子の証跡送信端末１００に田中花子以外の人物が撮影されているが、この人物が、同一拠点で在席状態である鈴木一郎以外の人物が撮影されているため、不正アクセス登録通知を行う。

一方、図１０の下段の左から２番目に示される７０４では、在席状態である田中花子の証跡送信端末１００に田中花子以外の人物が撮影されているが、この人物が、同一拠点で在席状態である鈴木一郎が撮影されているため、不正アクセス登録通知を行わず、処理を終了する。

また、図１０の上段の左に示すように、田中花子及び鈴木一郎の２名が在席状態である状態から、佐藤元子が、当該拠点に出社し、鈴木一郎が退社すると、図１０の上段の右に示すように、田中花子及び佐藤元子の２名が在席状態として表示され、鈴木一郎が退社したことを示すオフラインの状態として表示している。

この状態で、図１０の下段の左から３番目に示される７０５では、在席状態である田中花子の証跡送信端末１００に田中花子以外の人物が撮影されているが、この人物が、出社した、同一拠点で在席状態である佐藤元子が撮影されているため、不正アクセス登録通知を行わず、処理を終了する。

一方、図１０の下段の最も右に示される７０６では、在席状態である田中花子の証跡送信端末１００に田中花子以外の人物が撮影されているが、この人物が、退社した鈴木一郎が撮影されているため、不正アクセス登録通知を行う。

ステップＳ３１７では、不正アクセスの終了日時を現在時刻で更新し、証跡管理サーバ１２０に送信する。登録から一定時間経過しているのであれば、最新のカメラ画像およびスクリーンショットも同様に送信する。証跡管理サーバ１２０は、受信した証跡情報を証跡記憶部５１４の情報に登録または更新する。

ステップＳ３１８では、ログアウト等の命令を受けていればフローを終了し、そうでなければステップＳ３０２に処理を戻し、ステップＳ３０２からステップＳ３１７の処理を繰り返す。

以下、図７を参照して、図６のステップＳ３０２における、カメラ画像に対して顔認識を行い、その結果からユーザの動静および不正アクセスの状態を算出する流れについて説明する。この処理は、証跡送信端末１００のＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムをＲＡＭ２０２に記憶することで実行される。

ステップＳ４０１では、カメラデバイス２１０からカメラ画像の入力を受け付ける。ステップＳ４０２では、カメラ画像に対して顔検出と顔識別を行い、複数の顔認識結果（図２１）を得る。

顔検出は、カメラ画像内に存在する顔の領域を検出する処理であり、顔識別は、検出した顔から特徴量データを抽出し、特徴量データ記憶部１０５に記憶された特徴量データとのマッチングを行い、各特徴量データとの類似度を算出する処理であり、さらに算出した類似度を元に、その顔が誰の顔であるか識別する。

最も簡単な識別方法は、一定の閾値を超えた最も高い類似度を記録した特徴量データのユーザに識別することである。識別方法は他にも既存技術が多数あり、何れの技術を適用しても良い。

ステップＳ４０３では、ステップＳ４０２で顔を検出できなかった場合は、ステップＳ４０４に処理を進め、顔をひとつだけ検出できた場合は、ステップＳ４０５に処理を進め、顔を複数検出できた場合は、ステップＳ４０８に処理を進める。

ステップＳ４０４では、カメラデバイス２１０に誰も映っていないので、「離席」の動静と「正常」の不正アクセスを証跡記憶部３１３に記憶する。また、カメラ画像とスクリーンショット、顔認識結果も記憶する。

ステップＳ４０５では、検出できた顔がユーザとして識別されたか否かを判定し、識別されたと判定すれば、ステップＳ４０６に処理を進め、識別されていないと判定すれば、ステップＳ４０７に処理を進める。

ステップＳ４０６では、カメラデバイス２１０にユーザが一人だけ映っているので、「在席」の動静と「正常」の不正アクセスを証跡記憶部３１３に記憶する。また、カメラ画像とスクリーンショット、顔認識結果も記憶する。

ステップＳ４０７では、カメラデバイス２１０にユーザ以外の人物が一人だけ映っているので、「離席」の動静と「なりすまし」の不正アクセスを証跡記憶部３１３に記憶する。また、カメラ画像とスクリーンショット、顔認識結果も記憶する。

ステップＳ４０８では、検出できた顔の中にユーザとして識別された顔があるか否かを判定し、識別されたと判定すれば、ステップＳ４０９に処理を進め、識別されていないと判定すれば、ステップＳ４１０に処理を進める。

ステップＳ４０９では、カメラデバイス２１０にユーザが映っているので、「在席」の動静を証跡記憶部３１３に記憶する。また、カメラ画像とスクリーンショット、顔認識結果も記憶する。

ステップＳ４１０では、カメラデバイス２１０にユーザが映っていないので、「離席」の動静を証跡記憶部３１３に記憶する。また、カメラ画像とスクリーンショット、顔認識結果も記憶する。

ステップＳ４１１では、すべての顔が同一拠点のユーザの顔として識別されているか確認し、識別されていれば、ステップＳＳ４１２に処理を進め、識別されていなければ、ステップＳ４１３に処理を進める。同一拠点のユーザ判定は、ログイン情報記憶部５０３から検索したユーザに関する情報を用いて判定することが可能である。

ステップＳ４１２では、カメラデバイス２１０に映っているのはユーザ本人とその同一拠点のユーザであるので、「覗き見（同僚）」の不正アクセスを証跡記憶部３１３に記憶する。

ステップＳ４１３では、カメラデバイス２１０に同一拠点のユーザ以外の第三者が映っているので、「覗き見」の不正アクセスを証跡記憶部３１３に記憶する。
[第２の実施形態]

次に第２の実施形態について説明するが、第１の実施形態では、主に証跡送信端末１００において、ユーザの監視に関する処理を行ったが、第２の実施形態では、ユーザの監視に関する主な処理を証跡管理サーバ１２０で行う構成を備える。

尚、第１の実施形態と第２の実施形態において、同様な構成を備える場合、あるいは同様な処理を行う場合は、詳細な説明を省略して、同一の符号を用いて説明を行い、相違する場合にのみ詳細な説明を行う。

次に、図２２を用いて、本発明の証跡送信端末１００、証跡監査端末１１０および証跡管理サーバ１２０の機能ブロック図について説明する。尚、各機能ブロックが処理する詳細な制御については、後述するフローチャートにて説明する。

まず、証跡送信端末１００の機能構成について説明する。

特徴量データ更新部３０４は、通信Ｉ／Ｆコントローラ２０８を介して証跡管理サーバ１２０の特徴量データ取得部５０７から、ユーザおよびユーザと同じ拠点から接続するログインユーザの特徴量データを取得し、特徴量データ記憶部３０５のデータを更新する。特徴量データ記憶部３０５は、顔認識に使用する顔の特徴量データを記憶する。

映像入力部３０７は、カメラデバイス２１０より映像を取得し、映像送信部８０２へ出力し、映像送信部８０２は、映像入力部３０７から出力された映像を証跡管理サーバ１２０の映像受信部９０１へ送信する。

最後に、証跡管理サーバ１２０の機能構成について説明する。

映像受信部９０１は、映像送信部８０２から送信された映像を受信して、特徴量データ抽出部９０３および状態検出部９０５にその映像を送信する。

特徴量データ更新部９０２は、特徴量データ取得部５０７から、ユーザおよびユーザと同じ拠点から接続するログインユーザの特徴量データを取得し、特徴量データ記憶部９０７のデータを更新する。特徴量データ記憶部９０７は、顔認識に使用する顔の特徴量データを記憶する。

特徴量データ抽出部９０３は、特徴量データの登録がない場合や、ユーザの識別がうまくいかない際にユーザを識別するための特徴量データを抽出する。

特徴量データ抽出部９０３は、映像受信部９０１から受信した映像からユーザの顔を抽出し、その顔を使って識別するかどうかユーザに確認する。確認がとれたら、顔から特徴量データを抽出し、それを特徴量データ記憶部５０８に記憶する。その際、監査情報更新通知部５１０に、特徴量データの登録通知を要求する。顔の抽出および特徴料データの抽出は顔認識部９０４に依頼する。

顔認識部９０４は、特徴量データ抽出部９０３から受信した映像から顔を抽出し、さらにその顔から識別に利用可能な特徴量データを抽出する。また、状態検出部９０５から受信した映像から顔を抽出し、各顔から抽出した特徴量データと状態検出部９０５から受信した特徴量データとの類似度を算出する。

識別寄与度取得部９０６は、ログアウト前に特徴量データ記憶部３０５に記憶された識別寄与度を特徴量データ記憶部５０８に記憶する。

状態検出部９０５は、映像受信部９０１から受信した映像と特徴量データ記憶部９０７に記憶された特徴量データから、正規のログインユーザによる動静「在席」、「離席」、同一拠点のログインユーザによる不正アクセス「なりすまし」、「覗き見」、拠点外の第三者による不正アクセス「なりすまし」、「覗き見」の状態を検出する。

映像と特徴量データを顔認識部９０４に送信し、得られた顔認識結果から現在の状態を算出する。検出した動静と不正アクセスおよび顔認識結果、その際のカメラ画像は証跡制御部９０８に送信する。

証跡制御部９０８は、状態検出部９０５から受信した動静または不正アクセスおよび顔認識結果、カメラ画像を証跡記憶部９０９に記憶する。その際、ビデオコントローラ２０６から取得したスクリーンショットも合わせて記憶する。

証跡制御部９０８は、証跡記憶部９０９に記憶された動静および不正アクセスを総合的に見て、動静および不正アクセスの状態がそれぞれ現在どの状態なのか、その状態に切り替わったのはいつか類推し、切り替わった際の証跡情報（動静または不正アクセス、顔認識結果、カメラ画像を証跡取得部９１０に送信する。

同じ動静および不正アクセスが継続した際は、その終了日時を随時更新して証跡取得部９１０に送信する。また、その終了日時のカメラ画像を証跡取得部９１０に送信する。状態の判定に使われなくなった古い証跡情報は、証跡記憶部９０９から随時破棄する。

証跡記憶部９０９は、証跡情報（動静、不正アクセス、顔認識結果、カメラ画像）を記憶する。

ユーザ情報更新通知部９１１は、ユーザがログインおよびログアウトした際およびユーザの動静が変化した際に、そのユーザの接続元拠点に所属するログインユーザ全員の証跡送信端末１００の更新通知受信部３１５に動静更新通知を送信する。

また、ユーザ情報更新通知部９１１は、ユーザがログインおよびログアウトした際および特徴量データが承認された際に、そのユーザの接続元拠点に所属するログインユーザ全員の証跡送信端末１００の更新通知受信部３１５に特徴量データ更新通知を送信する。

特徴量データ取得部５０７は、ユーザの特徴量データと、同一拠点のログインユーザの特徴量データを特徴量データ更新部９０２へ返却する。

証跡取得部９１０は、証跡制御部９０８から送信された証跡情報を受信し、証跡記憶部９１２に記憶する。また、新規の不正アクセスを受信した際、監査情報更新通知部５１０に不正アクセス発生通知を要求する。

証跡記憶部９１２は、証跡情報として、動静情報、不正アクセス情報、カメラ画像を記憶する。

証跡監査操作処理部５１５は、証跡監査端末１１０の特徴量データ承認操作部４０４による特徴量データの更新情報を受信し、特徴量データ記憶部５０８の特徴量データを更新する。

以下、図２３を参照して、本実施形態のテレワーク管理システムにおいて、テレワークを実施するユーザが証跡送信端末１００にログインし、ログアウトするまでの一連の流れを説明する。基本的には、図４に示すフローチャートと同様な処理を行うため、異なる処理についてのみ説明を行う。

証跡管理サーバ１２０が証跡送信端末１００から監視対象となったことを受けて、証跡送信端末１００にかかる特徴量データを特徴量データ記憶部５０８から取得して、特徴量データ記憶部９０７に記憶する。

証跡管理サーバ１２０は、すべての特徴量データを登録するのではなく、特徴量データ記憶部５０８に記憶された、各特徴量データの識別寄与度（図１７）からユーザの識別に有効な特徴量データを選択して登録する（図２４の説明で詳細を記述する）。尚、特徴量データ記憶部９０７には、図１７に示すテーブルに対して、監視対象となる証跡送信端末１００が属する拠点ＩＤに対応して各情報を記憶しているものとする。

ステップＳ５０２では、証跡管理サーバ１２０にて、取得した特徴量データを用いてカメラ画像に対して顔認識を行い、ユーザの監視を開始する（図２５の説明で詳細を記述する）。ユーザ監視はバックグラウンドで処理し、終了を待たずにステップＳ１０７に進む。

ステップＳ１０８では、ログイン情報記憶部５０３から検索した、同一拠点のユーザの証跡送信端末１００において特徴量データが更新されたことを検出する。

ステップＳ１０９では、特徴量データが更新されたことを検出した証跡送信端末１００に関して、証跡管理サーバ１２０は、利用すべき特徴量データを取得し、特徴量データ記憶部９０７のデータを置換する。

その際、証跡管理サーバ１２０は、当該ユーザだけでなく、同一拠点のユーザの特徴量データも登録する。この際、ステップＳ５０１と同様に、すべての特徴量データを登録するのではなく、特徴量データ記憶部５０８に記憶された、各特徴量データの識別寄与度からユーザの識別に有効な特徴量データを選択して登録する（図２４の説明で詳細を記述す
る）。

ステップＳ１１２では、ユーザが証跡送信端末１００からログアウトすることをトリガーとして、ステップＳ１０６のユーザ監視を終了し、証跡管理サーバ１２０からログアウトする。

ステップＳ１１３では、ユーザ監視を終了する際、証跡管理サーバ１２０は、特徴量データ記憶部９０７に記憶された識別寄与度を特徴量データ記憶部５０８に記憶する。

以下、図２４を参照して、図２３のＳ１０４およびＳ１０８の更新通知をトリガーとして特徴量データの更新が行われ、証跡送信端末１００にてユーザおよび同一拠点のユーザを識別可能になるまでの流れを説明する。基本的には、図５に示すフローチャートと同様な処理を行うため、異なる処理についてのみ説明を行う。

証跡送信端末１００の処理は、そのＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。また、証跡管理サーバ１２０の処理は、そのＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。

ステップＳ６０１では、証跡管理サーバ１２０は、ログインされた証跡管理サーバ１２０にかかる特徴量データの登録の指示を受付ける。

登録の指示としては、ユーザが証跡送信端末１００を通して証跡管理サーバ１２０へのログインに成功したとき、または証跡管理サーバ１２０が証跡送信端末１００にかかる特徴量データの更新されたことを検出したときである。

ステップＳ２０７では、得られた特徴量データを特徴量データ記憶部９０７に登録するリストに追加する。

ステップＳ６０２では、証跡管理サーバ１２０は、リストに追加した特徴量データを特徴量データ記憶部９０７に記憶する。

以上により、証跡送信端末１００では、ユーザおよび同一拠点のログインユーザを識別できるようになる。

以下、図２５を参照して、図２３のステップＳ５０２のユーザ監視において、ユーザの動静および不正アクセスの検出と、不正アクセス発生時に監視者へ不正アクセス登録通知を行う流れについて説明する。基本的には、図６に示すフローチャートと同様な処理を行うため、異なる処理についてのみ説明を行う。

この処理は、証跡管理サーバ１２０のＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムおよびデータをＲＡＭ２０２に記憶することで実行される。

ステップＳ７０１では、現在の動静および不正アクセスを初期化する。動静は最初何もない状態であり、不正アクセスは正常な状態である。

ステップＳ７０２では、カメラ画像に対して顔認識を適用し、顔認識結果（図２１）、顔認識結果から求まる動静（図１８）および不正アクセス（図１９）、およびその際のカメラ画像（図２０）を、証跡記憶部９０９に記憶する。カメラ画像からその動静および不正アクセスの状態を検出する（詳細は図２６の説明にて記述する）。尚、図１８から図２１の各テーブルには、監視対象となる証跡送信端末１００が属する拠点ＩＤに対応して各情報を記憶しているものとする。

ステップＳ７０３では、証跡記憶部９０９に記憶された動静情報を元に、最新の動静（新動静）を算出する。

最も単純な算出方法としては、過去数件分の動静情報の中で、最も多い状態を新動静の状態とし、最も古い動静情報を動静の状態とする。

同様に、証跡記憶部９０９に記憶された不正アクセス情報を元に、最新の不正アクセス（新不正アクセス）を算出する。

ステップＳ７０４では、動静の状態と新動静の状態が異なるか（つまり状態が変化したか）確認し、異なるならステップＳ７０５へ処理を進め、同じであればステップＳ７０７に進む。

ステップＳ７０５では、動静を新動静で置き換え、ステップＳ７０６では、動静情報を証跡記憶部９１２に記憶する。

また、ログイン情報記憶部５０３に記憶されたユーザの最新のログイン情報の動静を更新する。

さらに、同一拠点のユーザをログイン情報記憶部５０３から検索し、ユーザの動静参照者として同一のチームに所属するユーザ（監視者、被監視者）をチーム記憶部５１１から検索し、各ユーザの証跡送信端末１００および証跡監査端末１１０に動静更新通知を送信する。

このときも前述と同様に図９に示す動静確認画面７０１を証跡送信端末１００に表示するが、証跡監査端末１１０には、図９の下段に示す動静全体確認画面７０２が表示される。

ステップＳ７０７では、動静の終了日時を現在時刻で更新する。登録から一定時間経過しているのであれば、最新のカメラ画像も同様に登録する。証跡管理サーバ１２０は、これらの証跡情報を証跡記憶部９１２の情報に登録または更新する。

ステップＳ７０８では、動静が在席である場合、ステップＳ７０９へ処理を進め、それ以外（離席）の場合は、ステップＳ７１０へ処理を進める。

ステップＳ７０９では、証跡記憶部９１２に記憶された最新の動静情報を算出した際の、カメラ画像に対する顔認識結果の類似度から、監視対象の各特徴量データの顔認識における識別寄与度を算出し、特徴量データ記憶部９０７に記憶する。最新の動静情報の状態が在席である場合のみ行う。

ステップＳ７１０では、不正アクセスの状態と新不正アクセスの状態が異なるか（つまり状態が変化したか）否かを判定し、異なると判定したなら、ステップＳ７１１へ処理を進め、同じであると判定した場合、ステップＳ７１６へ処理を進める。

ステップＳ７１１では、不正アクセスを新不正アクセスで置き換え、ステップＳ７１２では、不正アクセス情報を証跡記憶部９１２に記憶する。

ステップＳ７１３では、不正アクセスの状態が正常であるか確認し、正常でなければ、ステップＳ７１４に処理を進め、正常であればステップＳ７１８に処理を進める。

ステップＳ７１４では、不正アクセス情報を証跡記憶部９１２に記憶し、ステップＳ７１５では、受信した不正アクセスの状態が「覗き見（同僚）」であれば、ステップＳ７１８に処理を進め、そうでなければ、管理者への通知が必要と判断してステップＳ７１６に処理を進める。

ステップＳ７１６では、ユーザの所属チームの監視者をチーム記憶部５１１から検索し、各監視者の証跡監査端末１１０に不正アクセス登録通知を送信する。

不正アクセス登録通知を受信した証跡監査端末１１０は、不正アクセスの監査を監視者に促し、ユーザ情報の表示を更新する。

ここでも、前述したように、証跡監査端末１１０において、図９の下段に示す動静全体確認画面７０２が表示され、不正アクセスの有無を動静全体確認画面７０２で確認することが可能となる。

ステップＳ７１７では、不正アクセスの終了日時を現在時刻で更新する。登録から一定時間経過しているのであれば、最新のカメラ画像も同様に登録する。証跡管理サーバ１２０は、証跡情報を証跡記憶部９１２の情報に登録または更新する。

ステップＳ７１８では、ログアウト等の命令を受けていればフローを終了し、そうでなければステップＳ７０２に処理を戻し、ステップＳ７０２からステップＳ７１７の処理を繰り返す。

以下、図２６を参照して、図２５のステップＳ７０２における、カメラ画像に対して顔認識を行い、その結果からユーザの動静および不正アクセスの状態を算出する流れについて説明する。この処理は、証跡送信端末１００のＣＰＵ２０１により、ＲＯＭ２０３から取得したプログラムをＲＡＭ２０２に記憶することで実行される。基本的には、図７に示すフローチャートと同様な処理を行うため、異なる処理についてのみ説明を行う。

ステップＳ８０１では、証跡送信端末１００においてカメラデバイス２１０で撮影して得られたカメラ画像を取得する。ステップＳ８０２では、カメラ画像に対して顔検出と顔識別を行い、複数の顔認識結果（図２１）を得る。

顔検出は、カメラ画像内に存在する顔の領域を検出する処理であり、顔識別は、検出した顔から特徴量データを抽出し、特徴量データ記憶部９０７に記憶された特徴量データとのマッチングを行い、各特徴量データとの類似度を算出する処理であり、さらに算出した類似度を元に、その顔が誰の顔であるか識別する。

最も簡単な識別方法は、一定の閾値を超えた最も高い類似度を記録した特徴量データのユーザに識別することである。識別方法は他にも既存技術が多数あり、何れの技術を適用しても良い。

ステップＳ８０３では、ステップＳ８０２で顔を検出できなかった場合は、ステップＳ８０４に処理を進め、顔をひとつだけ検出できた場合は、ステップＳ８０５に処理を進め、顔を複数検出できた場合は、ステップＳ８０８に処理を進める。

ステップＳ８０４では、カメラデバイス２１０に誰も映っていないので、「離席」の動静と「正常」の不正アクセスを証跡記憶部９０９に記憶する。また、カメラ画像と顔認識結果も記憶する。

ステップＳ８０５では、検出できた顔がユーザとして識別されたか否かを判定し、識別されたと判定すれば、ステップＳ８０６に処理を進め、識別されていないと判定すれば、ステップＳ８０７に処理を進める。

ステップＳ８０６では、カメラデバイス２１０にユーザが一人だけ映っているので、「在席」の動静と「正常」の不正アクセスを証跡記憶部９０９に記憶する。また、カメラ画像と顔認識結果も記憶する。

ステップＳ８０７では、カメラデバイス２１０にユーザ以外の人物が一人だけ映っているので、「離席」の動静と「なりすまし」の不正アクセスを証跡記憶部９０９に記憶する。また、カメラ画像と顔認識結果も記憶する。

ステップＳ８０８では、検出できた顔の中にユーザとして識別された顔があるか否かを判定し、識別されたと判定すれば、ステップＳ８０９に処理を進め、識別されていないと判定すれば、ステップＳ８１０に処理を進める。

ステップＳ８０９では、カメラデバイス２１０にユーザが映っているので、「在席」の動静を証跡記憶部９０９に記憶する。また、カメラ画像と顔認識結果も記憶する。

ステップＳ８１０では、カメラデバイス２１０にユーザが映っていないので、「離席」の動静を証跡記憶部９０９に記憶する。また、カメラ画像と顔認識結果も記憶する。

ステップＳ８１１では、すべての顔が同一拠点のユーザの顔として識別されているか確認し、識別されていれば、ステップＳ８１２に処理を進め、識別されていなければ、ステップＳ８１３に処理を進める。同一拠点のユーザ判定は、ログイン情報記憶部５０３から検索したユーザに関する情報を用いて判定することが可能である。

ステップＳ８１２では、カメラデバイス２１０に映っているのはユーザ本人とその同一拠点のユーザであるので、「覗き見（同僚）」の不正アクセスを証跡記憶部９０９に記憶する。

ステップＳ８１３では、カメラデバイス２１０に同一拠点のユーザ以外の第三者が映っているので、「覗き見」の不正アクセスを証跡記憶部９０９に記憶する。

尚、各ステップにおいて、証跡制御部９０８は、不正アクセスが発生したと判定したタイミングで、証跡送信端末１００に対して、スクリーンショットを取得する要求を行い、証跡送信端末１００は、スクリーンショットを取得する要求を受付けると、現在、ＣＲＴ２１１に表示されている情報に関してスクリーンショットを取得して証跡管理サーバ１２０へ送信する。

証跡制御部９０８は、このスクリーンショットを受信すると、証跡記憶部９０９に記憶した動静、カメラ画像、顔認識結果に対応して記憶する。
[第３の実施形態]

次に第３の実施形態について説明するが、第１の実施形態及び第２の実施形態では、不正アクセスの状態が覗き見である場合、ステップＳ４１１及びステップＳ８１１において、全員が同一拠点のログインユーザが映されているか否かによって判定を行った。

この判定によって、全員が同一拠点のログインユーザであれば、覗き見（同僚）として、全員が同一拠点のログインユーザでなければ、覗き見としているが、このような状態にかかわらず、本実施形態では、映されているユーザが、本人と同僚を示す「覗き見（本人＋同僚）」であるのか、あるいは、同僚のみを示す「覗き見（同僚のみ）」であるのか、上司を示す「覗き見（上司）」によって、登録すべく状態を変える態様を備える。

このような態様を備える理由として、本人が離席中に同僚が覗き込んだ場合、本人が意図しない情報が漏洩するリスクが顕在し、上司が覗き込んだ場合、不正アクセスとみなさなくてもセキュリティを確保できることを想定しており、監視者の監視負荷を低減すること等が可能である。

本判定は、何れもステップＳ４１１及びステップＳ８１１において行われるものであり、「覗き見（本人＋同僚）」の判定については、ステップＳ８０８において映された顔にユーザが存在し、かつ全員が同一拠点のログインユーザであると判定した場合である。

一方、「覗き見（同僚のみ）」の判定については、ステップＳ８０８において映された顔にユーザが存在し、かつ全員が同一拠点のログインユーザであると判定した場合である。

さらに、「覗き見（上司）」の判定については、ステップＳ８０８において映された顔にユーザが存在するかいないにかかわらず、かつユーザの上司であると判定した場合であるが、この判定は、図２７に示す上司情報テーブルを用いて、ユーザの上司が写りこんでいるか否かを判定する。

上司情報テーブルは、ユーザの上司に関する情報を記憶しており、上司を一意に示すためのＩＤ（ユーザＩＤに該当）に対応して、上司の配下に所属するユーザを一意に示すためのユーザＩＤを含めて記憶している。

また、覗き見である状態として、上司が覗き込んだ場合を示したが、上司にかかるものとして、同僚が映されている場合、その同僚の上司が同じか否かによって状態を分けても良い。

本人も含め同僚の上司を上司情報テーブルに記憶された情報から特定して、全て同じ上司であるか否かによって、「覗き見（本人＋同僚）」及び「覗き見（同僚のみ）」であって上司が同じあるいは上司が異なるといった状態を判定しても良い。

以上、本発明によれば、ユーザの監視環境下に応じて、本人以外の人物が撮影されたことによって不正利用と見做さない場合において、ユーザが使用している情報処理装置利用を制御することなく、また、管理者などへの通知を抑止することで、ユーザまたは管理者の監視に係る労力を軽減することで、効率的な監視方法を実現することができる。

以上、実施形態例を詳述したが、本発明は、例えば、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

また、本発明におけるプログラムは、各処理方法をコンピュータが実行可能（読み取り可能）なプログラムであり、本発明の記憶媒体は、各処理方法をコンピュータが実行可能なプログラムが記憶されている。

なお、本発明におけるプログラムは、各装置の処理方法ごとのプログラムであってもよい。

以上のように、前述した実施形態の機能を実現するプログラムを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムを読取り実行することによっても、本発明の目的が達成されることは言うまでもない。

この場合、記録媒体から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記憶した記録媒体は本発明を構成することになる。

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＥＥＰＲＯＭ、シリコンディスク等を用いることができる。

また、コンピュータが読み出したプログラムを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムの指示に基づき、コンピュータで稼働しているＯＳ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。

また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

さらに、本発明を達成するためのプログラムをネットワーク上のサーバ，データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステム、あるいは装置が、本発明の効果を享受することが可能となる。なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。

１００ 証跡送信端末
１１０ 証跡監査端末
１２０ 証跡管理サーバ
１３０ ＬＡＮ
１４０ ルータ
１５０ インターネット
２０１ ＣＰＵ
２０２ ＲＯＭ
２０３ ＲＡＭ
２０４ システムバス
２０５ 入力コントローラ
２０６ ビデオコントローラ
２０７ メモリコントローラ
２０８ 通信Ｉ／Ｆコントローラ
２０９ ＫＢ
２１０ カメラデバイス
２１１ ＣＲＴ
２１２ 外部メモリ

Claims (20)

1. 情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記情報処理装置の使用状態を管理する情報処理装置であって、
   自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、
   前記取得手段によって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断手段と、
   前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、
   を備えたことを特徴とする情報処理装置。
2. 前記決定手段は、前記判断手段によって特定されるユーザが別の情報処理装置を操作するユーザではないと判断される場合に、前記自身の情報処理装置の使用状態を不正として決定することを特徴とする請求項１に記載の情報処理装置。
3. 前記取得手段は、同じ拠点の他の情報処理装置を操作するユーザを特定する情報を取得することを特徴とする請求項１または２に記載の情報処理装置。
4. 前記自身の情報処理装置は、自身が所在する拠点に関する拠点情報を選定する選定手段を備え、
   前記取得手段は、前記選定手段によって選定された拠点が、同じ拠点の別の情報処理装置を操作するユーザを特定する情報を取得する請求項３に記載の情報処理装置。
5. 前記取得手段は、自身の情報処理装置を操作するユーザを特定する情報を取得し、
   前記決定手段は、前記撮影装置によって得られた画像から特定されるユーザが、前記取得手段によって取得した別の情報処理装置を操作するユーザである場合、前記自身の情報処理装置の使用状態を正当として決定し、
   一方、前記撮影装置によって得られた画像から特定されるユーザが、前記自身の情報処理装置を操作するユーザでなく、前記別の情報処理装置を操作するユーザでない場合、前記自身の情報処理装置の使用状態を不正として決定することを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
6. 前記決定手段は、前記撮影装置によって得られた画像から特定されるユーザが、自身の情報処理装置を操作するユーザである場合と、別の情報処理装置を操作するユーザである場合と、を区別して前記自身の情報処理装置の使用状態を正当として決定することを特徴とする請求項１乃至５の何れか１項に記載の情報処理装置。
7. 前記決定手段は、前記撮影装置によって得られた画像から特定されるユーザが、自身の情報処理装置を操作するユーザ及び別の情報処理装置を操作するユーザである場合、前記自身の情報処理装置の使用状態を正当として決定し、
   一方、撮影装置によって得られた画像から特定されるユーザが、自身の情報処理装置を操作するユーザでなく、別の情報処理装置を操作するユーザである場合、前記自身の情報処理装置の使用状態を不正として決定することを特徴とする請求項１乃至６の何れか１項に記載の情報処理装置。
8. 前記決定手段は、前記撮影装置によって得られた画像から特定されるユーザが、自身の情報処理装置を操作するユーザの管理者である場合、前記自身の情報処理装置の使用状態を正当として決定することを特徴とする請求項１乃至７の何れか１項に記載の情報処理装置。
9. 前記決定手段は、前記撮影装置によって得られた画像から特定されるユーザが、自身の情報処理装置を操作するユーザでなく、当該ユーザの管理者である場合は、前記自身の情報処理装置の使用状態を正当として決定する請求項１乃至８の何れか１項に記載の情報処理装置。
10. 前記決定手段は、前記撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであって、当該ユーザの管理者と自身の情報処理装置を操作するユーザの管理者が同じである場合、前記自身の情報処理装置の使用状態を正当として決定する請求項１乃至９の何れか１項に記載の情報処理装置。
11. 情報処理装置を操作するユーザは、当該情報処理装置に対してログインされるユーザであることを示す請求項１乃至１０の何れか１項に記載の情報処理装置。
12. 情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記情報処理装置の使用状態を管理する情報処理装置であって、
    自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、
    前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、前記取得手段によって取得した別の情報処理装置を操作するユーザではないと判断される場合に、前記自身の情報処理装置の使用状態が不正であることを通知する通知手段と、
    を備えたことを特徴とする情報処理装置。
13. 情報処理装置に対応する撮影装置によって撮影されて得られた画像を取得する情報処理装置と通信可能なように接続したサーバであって、
    第１の情報処理装置とは別の第２の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、
    前記取得手段によって取得したユーザを特定する情報に基づいて、前記第１の情報処理装置の撮影装置によって得られた画像から特定されるユーザが、第２の情報処理装置を操作するユーザであるか否かを判断する判断手段と、
    前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、
    を備えたことを特徴とするサーバ。
14. 情報処理装置とサーバとが通信可能なように接続された情報処理システムであって、
    前記情報処理装置は、
    自身の情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記自身の情報処理装置の使用状態を管理する管理手段と、
    前記サーバの送信手段によって送信された別の情報処理装置を操作するユーザを特定する情報を受信する受信手段と、
    前記受信手段によって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断手段と、
    前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、
    を備え、
    前記サーバは、
    前記自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、
    前記取得手段によって取得した別の情報処理装置を操作するユーザを特定する情報を前記自身の情報処理装置へ送信する送信手段と、
    を備えたことを特徴とする情報処理システム。
15. 情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記情報処理装置の使用状態を管理する情報処理装置の制御方法であって、
    前記情報処理装置は、
    自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得ステップと、
    前記取得ステップによって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断ステップと、
    前記判断ステップによる判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定ステップと、
    を実行することを特徴とする情報処理装置の制御方法。
16. 情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記情報処理装置の使用状態を管理する情報処理装置のコンピュータを、
    自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、
    前記取得手段によって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断手段と、
    前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、
    して機能させるためのプログラム。
17. 情報処理装置に対応する撮影装置によって撮影されて得られた画像を取得する情報処理装置と通信可能なように接続したサーバの制御方法であって、
    前記サーバは、
    第１の情報処理装置とは別の第２の情報処理装置を操作するユーザを特定する情報を取得する取得ステップと、
    前記取得ステップによって取得したユーザを特定する情報に基づいて、前記第１の情報処理装置の撮影装置によって得られた画像から特定されるユーザが、第２の情報処理装置を操作するユーザであるか否かを判断する判断ステップと、
    前記判断ステップによる判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定ステップと、
    を実行することを特徴とするサーバの制御方法。
18. 情報処理装置に対応する撮影装置によって撮影されて得られた画像を取得する情報処理装置と通信可能なように接続したサーバのコンピュータを、
    第１の情報処理装置とは別の第２の情報処理装置を操作するユーザを特定する情報を取得する取得手段と、
    前記取得手段によって取得したユーザを特定する情報に基づいて、前記第１の情報処理装置の撮影装置によって得られた画像から特定されるユーザが、第２の情報処理装置を操作するユーザであるか否かを判断する判断手段と、
    前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、
    して機能させるためのプログラム。
19. 情報処理装置とサーバとが通信可能なように接続された情報処理システムの制御方法であって、
    前記情報処理装置は、
    自身の情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記自身の情報処理装置の使用状態を管理する管理ステップと、
    前記サーバの送信ステップによって送信された別の情報処理装置を操作するユーザを特定する情報を受信する受信ステップと、
    前記受信ステップによって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断ステップと
    前記判断ステップによる判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定ステップと、
    を実行し、
    前記サーバは、
    前記自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を取得する取得ステップと、
    前記取得ステップによって取得した別の情報処理装置を操作するユーザを特定する情報を前記自身の情報処理装置へ送信する送信ステップと、
    を実行することを特徴とする情報処理システムの制御方法。
20. 情報処理装置のコンピュータを、
    自身の情報処理装置に対応する撮影装置で撮影することにより得られた画像を用いて、前記自身の情報処理装置の使用状態を管理する管理手段と、
    情報処理装置と通信可能なように接続されたサーバによって送信された前記自身の情報処理装置とは別の情報処理装置を操作するユーザを特定する情報を受信する受信手段と、
    前記受信手段によって取得したユーザを特定する情報に基づいて、前記自身の情報処理装置に対応する撮影装置によって得られた画像から特定されるユーザが、別の情報処理装置を操作するユーザであるか否かを判断する判断手段と、
    前記判断手段による判断結果に基づいて、前記自身の情報処理装置の使用状態を不正として決定する決定手段と、
    して機能させるためのプログラム。

Images