JP6679303B2 - 電子機器、方法及びプログラム - Google Patents

Description

本発明の実施形態は、電子機器、方法及びプログラムに関する。

近年、パーソナルコンピュータ等の電子機器の盗難または紛失による情報漏洩が問題となっている。

このため、厳重な情報管理が必要とされる事業を行う企業等では、従業員が使用する電子機器（クライアント端末）を仮想デスクトップ環境で動作させるシンクライアント（ゼロクライアント）システムの導入が検討されている。

シンクライアントシステムにおいては、サーバ装置が集中的に各種ソフトウェア及びデータ等の資源を管理することにより、必要最低限の機能のみを有する電子機器がクライアント端末として使用される。このような電子機器であれば、盗難または紛失された場合であっても情報漏洩の危険性を低減することができる。

特開平１１−２４９９００号公報

ところで、上記した電子機器を仮想デスクトップ環境で動作させる場合には、仮想デスクトップ環境を提供するサーバ装置と通信するためのクライアントソフトウェア（及び必要最小限のオペレーティングシステム）を電子機器において起動する必要がある。

このクライアントソフトウェアは電子機器の内蔵ストレージに格納されているため、当該内蔵ストレージには、サーバ装置に接続するための設定情報またはその他の情報が保持される可能性がある。仮にこのような電子機器が盗難または紛失されると、情報漏洩を招く可能性がある。

これに対して、上記したサーバ装置と通信する度に電子機器にクライアントソフトウェアをダウンロードさせるようなシンクライアントシステムが開発されているが、当該クライアントソフトウェアのサイズ及び回線速度によってはダウンロードに必要な時間が長くなり、電子機器を効率的に使用することができない場合がある。

そこで、本発明が解決しようとする課題は、シンクライアントシステムにおいて情報漏洩の危険性を低減するとともに効率的に使用することが可能な電子機器、方法及びプログラムを提供することにある。

実施形態によれば、ハードディスクドライブまたはソリッドステートドライブのような内蔵ストレージを備えず、仮想デスクトップ環境で動作する電子機器が提供される。前記電子機器は、外部ストレージと、プロセッサと、を具備する。前記外部ストレージは、ユーザ操作によってアクセスができないように構成された不揮発性メモリである。前記プロセッサは、ファームウェアＲＯＭに格納される仮想デスクトップ環境を提供する第１のサーバ装置、及び前記第１のサーバ装置との接続を管理する第２のサーバ装置と通信するためのネットワーク通信機能を含むファームウェアを実行する。前記プロセッサは、前記第２のサーバ装置との間で前記電子機器の認証が成功したとき、前記第１のサーバ装置と接続するためのクライアント用の接続ソフトウェアを前記第２のサーバ装置からダウンロードし、前記接続ソフトウェアを前記電子機器に固有の情報に基づいて生成された機器依存鍵を用いて暗号化して前記外部ストレージにキャッシュするように格納し、前記外部ストレージに格納した前記接続ソフトウェアを前記機器依存鍵によって復号化して揮発性のＲＡＭに展開し、前記ＲＡＭの前記接続ソフトウェアを起動することで、前記第１のサーバ装置にログインして、前記第１のサーバ装置が提供する前記仮想デスクトップ環境で前記電子機器を動作させ、前記外部ストレージに前記接続ソフトウェアがキャッシュされた状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記外部ストレージの前記接続ソフトウェアを前記機器依存鍵によって復号化して前記ＲＡＭに展開して起動し、前記外部ストレージに前記接続ソフトウェアがキャッシュされていない状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記第２のサーバ装置からダウンロードして得た前記接続ソフトウェアを前記ＲＡＭに展開して起動する。

実施形態に係る電子機器の外観の一例を示す斜視図。 電子機器のシステム構成の一例を示す図。 電子機器を含むシンクライアントシステムの一例について説明するための図。 電子機器とＶＤＩサーバ装置とを接続するための処理の概要について説明するための図。 電子機器がネットワークから切断されたときに実行される処理の概要について説明するための図。 仮想デスクトップ環境の提供を受ける際に電子機器によって実行される処理の処理手順の一例を示すフローチャート。 ＶＤＩ接続用ＳＷ取得処理の処理手順の一例について説明するための図。 ＢＩＯＳ領域の拡張機能について説明するための図。

以下、図面を参照して、実施形態について説明する。

本実施形態に係る電子機器は、シンクライアントシステムにおいて使用されるクライアント端末（シンクライアント端末）であり、当該電子機器と通信可能に接続されるサーバ装置によって提供される仮想デスクトップ環境で動作する。

仮想デスクトップ環境は電子機器のデスクトップ環境をサーバ装置上で稼働させる仕組みであり、この場合における電子機器は、例えば仮想デスクトップイメージを当該サーバ装置から受信してディスプレイに表示する等の必要最低限の機能のみを有していればよい。

なお、本実施形態に係る電子機器は、ノートブック型パーソナルコンピュータ（ＰＣ）と同様のクラムシェル型の機器であってもよいし、タブレットコンピュータと同様のスレート型の端末であってもよい。以下の説明においては、電子機器がノートブック型ＰＣとして実現されているものとして説明する。

図１は、本実施形態に係る電子機器の外観を示す斜視図である。図１に示すように、電子機器１０は、電子機器本体（コンピュータ本体）１０ａとディスプレイユニット１０ｂとを備える。ディスプレイユニット１０ｂには、液晶表示装置（ＬＣＤ：Liquid Crystal Display）１０ｃのようなディスプレイが組み込まれている。

ディスプレイユニット１０ｂは、電子機器本体１０ａの上面が露出される開放位置と電子機器本体１０ａの上面がディスプレイユニット１０ｂで覆われる閉塞位置との間を回動可能なように電子機器本体１０ａに取り付けられている。

電子機器本体１０ａは薄い箱型の筐体を有しており、その上面にはキーボード１０ｄ、タッチパッド１０ｅ、電源スイッチ１０ｆ及びスピーカ１０ｇ等が配置されている。

また、電子機器１０は、例えば電子機器本体１０ａに内蔵されているバッテリ（図示せず）から電力を受けるように構成されている。

更に、電子機器本体１０ａには、電源コネクタ（ＤＣ電源入力端子）１０ｈが設けられている。電源コネクタ１０ｈは、電子機器本体１０ａの側面、例えば左側面に設けられている。この電源コネクタ１０ｈには、外部電源装置が取り外し自在に接続される。外部電源装置としては、ＡＣアダプタを用いることができる。ＡＣアダプタは商用電源（ＡＣ電力）をＤＣ電力に変換する電源装置である。

電子機器１０は、バッテリから供給される電力または外部電源装置から供給される電力によって駆動される。電子機器１０の電源コネクタ１０ｈに外部電源装置が接続されていない場合には、電子機器１０は、バッテリから供給される電力によって駆動される。一方、電子機器１０の電源コネクタ１０ｈに外部電源装置が接続されている場合には、電子機器１０は、外部電源装置から供給される電力によって駆動される。また、外部電源装置から供給される電力は、バッテリを充電するためにも用いられる。

また、電子機器本体１０ａの例えば右側面には、カードスロット１０ｉが設けられている。このカードスロット１０ｉには、例えばＳＤカード（メモリカード）のような不揮発性メモリを挿入することができる。このようにカードスロット１０ｉに挿入されたＳＤカードは電子機器１０の外部ストレージとして利用される。

更に、電子機器本体１０ａの左側面には、例えばＨＤＭＩ（登録商標）（High-definition multimedia interface）出力端子１０ｋが設けられている。なお、図１においては省略されているが、電子機器本体１０ａには、ＵＳＢポート及びＲＧＢポート等が設けられていても構わない。

図２は、図１に示す電子機器１０のシステム構成を示す。図２に示すように、電子機器１０は、ＣＰＵ１１、システムコントローラ１２、ＲＡＭ（主メモリ）１３、グラフィクスプロセシングユニット（ＧＰＵ）１４、サウンドコントローラ１５、ＢＩＯＳ−ＲＯＭ１６、無線ＬＡＮモジュール１７、カードコントローラ１８、エンベデッドコントローラ／キーボードコントローラＩＣ（ＥＣ／ＫＢＣ）１９等を備えている。

ＣＰＵ１１は、電子機器１０の各コンポーネントの動作を制御するように構成されたプロセッサである。ＣＰＵ１１は、揮発性メモリであるＲＡＭ１３に展開される各種プログラムを実行する。ＣＰＵ１１によって実行されるプログラムには、例えば不揮発性メモリであるＢＩＯＳ−ＲＯＭ１６に格納されたＢＩＯＳ（Basic Input Output System）を含むファームウェア（Small Core）等が含まれる。

システムコントローラ１２は、ＣＰＵ１１と各コンポーネントとの間を接続するように構成されたブリッジデバイスである。システムコントローラ１２は、ＬＰＣ（Low PIN Count）バス上の各デバイスとの通信を実行する。

ＧＰＵ１４は、電子機器１０のディスプレイ（モニタ）として使用されるＬＣＤ１０ｃを制御するように構成された表示コントローラである。

サウンドコントローラ１５は、音源デバイスであり、再生対象のオーディオデータを例えばスピーカ１０ｇに出力する。

無線ＬＡＮモジュール１７は、例えばＩＥＥＥ８０２．１１規格の無線通信を実行するように構成されている。

カードコントローラ１８は、カードスロット１０ｉに挿入されるＳＤカード１０ｊに対するデータの書き込み及び読み出しを実行する。

ＥＣ／ＫＢＣ１９は、ＬＰＣバスに接続されている。ＥＣ／ＫＢＣ１９は、電子機器１０の電力管理を実行するように構成された電力管理コントローラであり、例えばキーボード１０ｄ及びタッチパッド１０ｅ等を制御するキーボードコントローラを内蔵したワンチップマイクロコンピュータとして実現されている。ＥＣ／ＫＢＣ１９は、ユーザによる電源スイッチ１０ｆの操作に応じて電子機器１０を電源オン及び電源オフする機能を有している。

なお、図２においては省略されているが、電子機器１０には、例えばＨＤＭＩビデオ信号及びデジタルオーディオ信号をＨＤＭＩ出力端子１０ｋを介して外部モニタに出力するように構成されたインタフェースであるＨＤＭＩ制御回路が設けられている。

本実施形態においては、電子機器１０の盗難及び紛失等による情報漏洩を防止するため、電子機器１０は、例えばハードディスクドライブ（ＨＤＤ）及びソリッドステートドライブ（ＳＳＤ）のような内蔵ストレージを備えない構成であるものとする。

更に、本実施形態に係る電子機器１０においては、上記した情報漏洩防止の観点から、外部ストレージの使用も制限される。本実施形態において、電子機器１０はカードスロット１０ｉに挿入されたＳＤカード１０ｊを外部ストレージとして利用するが、当該外部ストレージは、電子機器１０を使用するユーザがアクセスする（つまり、ユーザの操作に応じて当該外部ストレージからデータを読み込むまたは当該外部ストレージにデータを書き込む）ことができないように構成されている。

なお、上記したように電子機器本体１０ａにはＵＳＢポートが設けられていてもよいが、本実施形態において、例えば当該ＵＳＢポートに接続が可能なデバイスは、例えばマウス等の入力機器に限られるものとする。すなわち、本実施形態に係る電子機器１０においては例えばＵＳＢメモリ等を外部ストレージとして利用することはできないものとする。

図３を参照して、本実施形態に係る電子機器１０を含むシステム（シンクライアントシステム）について説明する。

本実施形態において、電子機器１０は、後述する管理サーバ装置（第２のサーバ装置）２０の管理区域（例えば、厳重な情報管理が必要とされる区域）内等において使用されるものとする。

図３に示すように、管理区域内のサーバエリアには、管理サーバ装置２０が設置されている。管理区域内のユーザ（例えば、企業の従業員等）は、電子機器１０を使用して業務を遂行する。電子機器１０は、無線ＬＡＮのような無線ネットワークを介して管理サーバ装置２０と通信することができる。この場合、電子機器１０は、無線ＬＡＮルータ３０を介して管理サーバ装置２０に接続されてもよい。また、電子機器１０は、電子機器１０を含む複数のクライアント端末に仮想デスクトップ環境を提供するように構成されたサーバ装置（第１のサーバ装置）４０と無線ネットワーク経由で通信することもできる。

仮想デスクトップ環境を提供するためのデスクトップ仮想化を実現するための技術には複数の種類の技術がある。これらの技術の１つとしては、仮想デスクトップ基板（ＶＤＩ：Virtual Desk top Infrastructure）が知られている。

本実施形態では、デスクトップ仮想化を実現するための技術としてＶＤＩが用いられるものとして説明する。この場合、サーバ装置４０は、ＶＤＩを使用して仮想デスクトップ環境を提供するように構成されたＶＤＩサーバ装置として機能する。また、電子機器１０は、ＶＤＩクライアント端末として機能する。以下の説明においては、仮想デスクトップ環境を提供するサーバ装置４０は、便宜的にＶＤＩサーバ装置４０と称する。

ＶＤＩサーバ装置４０の実現に使用可能なモデルとしては、ブレードＰＣ型、仮想マシン型、ターミナル型等がある。例えばＶＤＩサーバ装置４０が仮想マシン型によって実現されている場合、ＶＤＩサーバ装置４０においては、複数の仮想マシン４１が実行される。これら複数の仮想マシン４１の１つが電子機器１０に割り当てられる。仮想マシン４１の各々は、仮想ＯＳ（クライアントデスクトップＯＳ）４２と、仮想ＯＳ４２上で実行されるアプリケーションプログラム４３とを含む。電子機器１０は、無線ＬＡＮルータ３０を介してＶＤＩサーバ装置４０上の１つの仮想マシン４１に接続されてもよい。

本実施形態に係る電子機器１０は、上記したように内蔵ストレージを備えておらず、上記したＢＩＯＳベースの仮想デスクトップ基板（ＶＤＩ）を利用して動作する。

このＢＩＯＳベースのＶＤＩを実現するために、ＢＩＯＳを含むファームウェアは、有線または無線のネットワークに接続するためのネットワーク通信機能を備えている。ＢＩＯＳを含むファームウェアは、上記したように電子機器１０内のＢＩＯＳ−ＲＯＭ（ファームウェアＲＯＭ）１６に格納されている。このファームウェアは、例えば、ＢＩＯＳと、ネットワーク通信機能を有する組み込みＯＳとから構成されている。ＢＩＯＳは、ＢＩＯＳ−ＲＯＭ１６内の組み込みＯＳをブートすることができる。このＢＩＯＳは、ＵＥＦＩ ＢＩＯＳであってもよい。ＢＩＯＳ−ＲＯＭ１６は、このファームウェアのアップデートを可能にするためにフラッシュＥＥＰＲＯＭによって構成されていてもよい。

電子機器１０は、ＢＩＯＳ−ＲＯＭ１６内のファームウェアのみを使用することによって、無線ネットワークを介して管理サーバ装置２０と通信することができる。

管理サーバ装置２０は、管理区域内において不正な端末が使用されること、つまり、不正な端末がＶＤＩサーバ装置４０にアクセスすることを防止するために、当該管理区域内において利用可能なクライアント端末を予め登録された端末群のみに制限する機能を有している。また、管理サーバ装置２０は、正当なクライアント端末であることが認証された各クライアント端末に、ＶＤＩサーバ装置４０との通信に必要なプログラム及び情報を提供する機能を有している。

管理サーバ装置２０は、ストレージ２０ａを備えている。このストレージ２０ａには、ＶＤＩ接続用ソフトウェア（Big Core）及びＶＤＩ接続先情報等が格納されている。ＶＤＩ接続用ソフトウェアは、仮想デスクトップ環境を提供するサーバ装置（つまり、ＶＤＩサーバ装置４０）と接続し、当該ＶＤＩサーバ装置４０から仮想デスクトップイメージを受信するためのクライアントプログラムである。

ここで、電子機器１０は、ＶＤＩ接続用ソフトウェア（クライアントプログラム）を、管理サーバ装置２０からダウンロードすることができる。この場合、ダウンロードされたＶＤＩ接続用ソフトウェアをＲＡＭ１３に展開して起動することによって、電子機器１０は、ＶＤＩサーバ装置４０に接続され、ＶＤＩサーバ装置４０による仮想デスクトップ環境の提供を受ける（つまり、当該仮想デスクトップ環境で動作する）ことが可能となる。

上記したようにＶＤＩ接続用ソフトウェアを管理サーバ装置２０からダウンロードするのではなく、当該ＶＤＩ接続用ソフトウェアをＢＩＯＳ−ＲＯＭ１６内に予め格納しておくことが考えられる。しかしながら、この場合には、ＢＩＯＳ−ＲＯＭ１６として大容量のＲＯＭを用意する必要がある。また、ＢＩＯＳ−ＲＯＭ１６にクライアントプログラムを予め格納しておく構成の場合、利用可能なクライアントプログラムの種類が制限されてしまう。

これに対して、上述したようにＶＤＩ接続用ソフトウェアが管理サーバ装置２０から電子機器１０にダウンロードされる構成であれば、管理サーバ装置２０のストレージ２０ａに格納しておくべきクライアントプログラムの種類を変更するだけで、任意の種類のクライアントプログラムを電子機器１０上で実行することができる。

ＶＤＩ接続先情報は、ＶＤＩサーバ装置４０に接続するために必要な情報である。このＶＤＩ接続先情報には、ＶＤＩサーバ装置４０のネットワークアドレス（ＩＰアドレス）及びＶＤＩサーバ装置４０にログインするための資格情報（ユーザＩＤ及びパスワード）が含まれていてもよい。

ファームウェア内の組み込みＯＳは、電子機器１０をネットワークを介してＶＤＩサーバ装置４０に接続するために、ＶＤＩ接続用ソフトウェアを起動する。この場合、ユーザは、電子機器１０のディスプレイ上に表示されるＶＤＩログイン画面で資格情報（ユーザＩＤ及びパスワード）を入力する。これにより、ＶＤＩ接続用ソフトウェア（クライアントプログラム）は、ＶＤＩサーバ装置４０にログインすることができる。

ＶＤＩ接続用ソフトウェアがＶＤＩサーバ装置４０にログインした後は、このＶＤＩ接続用ソフトウェアは、ネットワーク（ここでは、無線ネットワーク）を介してＶＤＩサーバ装置４０から仮想デスクトップの画面を受信することができる。この仮想デスクトップの画面は、電子機器１０のディスプレイ（ＬＣＤ１０ｃ）上に表示される。更に、ＶＤＩ接続用ソフトウェアは、ユーザによる入力デバイスの操作情報を、ネットワーク（ここでは、無線ネットワーク）を介してＶＤＩサーバ装置４０に送信することができる。入力デバイスの操作情報は、キーボード１０ｄに対する操作の情報及びタッチパッド１０ｅに対する操作の情報等を含む。

このように、ＶＤＩ接続用ソフトウェアは、ファームウェアのみによって管理サーバ装置２０から電子機器１０にダウンロードされる。したがって、電子機器１０においては、内蔵ストレージが不要となり、データ及び独自プログラムが不正に利用される危険性を低下させることができる。

なお、ファームウェアには管理サーバ装置２０に接続するための接続情報（管理サーバ装置２０のネットワークアドレス）は保持されているが、この接続情報のデータ量は小さいため、当該接続情報は、例えば秘匿性の高いトラステッド・プラットフォーム・モジュール（ＴＰＭ）または他の特殊チップ等に保存しておく構成としてもよい。このような構成によれば、安全性を向上させることができる。更に、この接続情報は、無線ＬＡＮルータ３０のサービスセットＩＤ（ＳＳＩＤ）を含んでいてもよい。

また、ファームウェアは、電子機器１０とＶＤＩサーバ装置４０との間の接続が確立された後に当該電子機器１０がネットワーク（ここでは、無線ネットワーク）から切断された場合、電子機器１０の電源を自動的にオフする機能（以下、電源自動オフ機能と表記）を有している。ここで、上記したように電子機器１０が仮想デスクトップ環境の提供を受ける場合には、ＶＤＩ接続用ソフトウェアをＲＡＭ１３に展開して起動する必要がある。この場合、ＲＡＭ１３には、漏洩すると不正に利用される可能性のある情報が保持されている場合がある。しかしながら、上記した電源自動オフ機能によって電子機器１０の電源がオフされた場合には、ＲＡＭ（つまり、揮発性メモリ）１３上の情報は全て自動的に消去される。これによれば、ＲＡＭ１３上の情報が漏洩することを防止することができる。

電子機器１０がネットワークから切断されたか否かを判定するための処理は、ファームウェア（例えば、組み込みＯＳ）によって実行されてもよい。電子機器１０がネットワークから切断されたか否かを判定するための方法としては、例えば、電子機器１０とＶＤＩサーバ装置４０との間の接続（ＶＤＩ接続）が解除（切断）されたか否かを判定するという方法を使用してもよい。ＶＤＩ接続の解除（切断）の要因には、管理区域外（通信範囲外）への電子機器１０の持ち出し、ＶＤＩサーバ装置４０からのログオフ等がある。

管理区域外に電子機器１０が持ち出された場合には、電子機器１０とＶＤＩサーバ装置４０との間の接続が解除されるだけでなく、電子機器１０と管理サーバ装置２０との接続も解除される。したがって、ファームウェアは、管理サーバ装置２０と定期的に通信を実行し、管理サーバ装置２０との通信が実行できない状態が一定時間以上継続されたことを条件に、ＶＤＩ接続が解除されたと判定してもよい。電子機器１０にＧＰＳセンサが備えられる構成の場合には、当該ＧＰＳセンサを使用して電子機器１０が管理区域外に移動したか否かを判定してもよい。

ここで、上記したように管理サーバ装置２０からダウンロードされたＶＤＩ接続用ソフトウェアをＲＡＭ１３に展開して起動し、電子機器１０が仮想デスクトップ環境で動作可能な状態になった後に、ユーザが当該電子機器１０の電源をオフして当該電子機器１０の使用を停止した場合を想定する。この場合、上記したようにＲＡＭ１３上に存在する情報は全て消去されるため、ユーザが電子機器１０を再度仮想デスクトップ環境で使用するためには、再び管理サーバ装置２０からＶＤＩ接続用ソフトウェアをダウンロードする必要がある。このような構成の場合、ＶＤＩ接続用ソフトウェアのサイズ及び回線速度によってはダウンロードに時間を要する場合があり、利便性が低下する可能性がある。

そこで、本実施形態においては、上述した外部ストレージ（ＳＤカード１０ｊ）を利用して、管理サーバ装置２０から一旦ダウンロードされたＶＤＩ接続用ソフトウェア（クライアントプログラム）をキャッシュしておく機能（以下、キャッシュ機能と表記）を有する。このキャッシュ機能の詳細については後述する。

次に、図４を参照して、電子機器１０とＶＤＩサーバ装置４０とを接続するための処理の概要について説明する。

（１）ユーザによる電源スイッチ１０ｆの操作により、電子機器１０（マシン）の電源がオンされる。

（２）電子機器１０のファームウェアが実行される。ファームウェアと管理サーバ装置２０との間の通信が開始され、そして電子機器１０が管理サーバ装置２０にネットワークを介して接続することを許可するか否かを判定するためのネットワーク認証処理が実行される。電子機器１０のファームウェアが、管理サーバ装置２０に接続するための正しい接続情報（管理サーバ装置２０のネットワークアドレス）を保持していれば、電子機器１０のファームウェアは、管理サーバ装置２０にネットワークを介して接続することができる（ネットワーク認証処理の成功）。

（３）この後、不正端末の使用を防止するための機器認証処理が実行される。この場合、ファームウェア（例えば、組み込みＯＳ）は、電子機器１０を識別可能な機器情報、例えば電子機器１０を識別するための機器ＩＤ（シリアル番号等）または電子機器１０が有する証明書を、管理サーバ装置２０に送信する。管理サーバ装置２０には、シンクライアントシステムにおいて利用可能なクライアント端末それぞれに対応する機器情報が予め登録されている。管理サーバ装置２０は、電子機器１０からの機器情報が予め登録されている機器情報に一致するか否かを判定する（機器認証処理）。管理サーバ装置２０は、機器認証処理が成功したか否かを示すログ情報を、管理サーバ装置２０のストレージ２０ａ内に格納する。また、ファームウェアも、機器認証処理が成功したか否かを示すログ情報を、電子機器１０のＲＡＭ１３に格納してもよい。

（４）機器認証処理が成功した場合、ファームウェアは、ＶＤＩ接続用ソフトウェア（クライアントプログラム）を管理サーバ装置２０からダウンロードする。

（５）ここで、ファームウェアは、上記したキャッシュ機能により、管理サーバ装置２０からダウンロードされたＶＤＩ接続用ソフトウェアをキャッシュする処理を実行する。この場合、ＶＤＩ接続用ソフトウェアは、ユーザがアクセス不可能な不揮発性メモリであるＳＤカード１０ｊ（外部ストレージ）に格納（キャッシュ）される。

（６）ファームウェアは、ＶＤＩ接続用ソフトウェアをＲＡＭ１３上に展開する。

（７）ファームウェアは、ＶＤＩ接続先情報を管理サーバ装置２０から取得する。この場合、電子機器１０の機器情報に一致する登録済み機器情報に関連づけられているＶＤＩ接続先情報が管理サーバ装置２０から電子機器１０に送信される。ＶＤＩ接続先情報は、上述したように、ＶＤＩサーバ装置４０のネットワークアドレス（ＩＰアドレス）を含む。更に、ＶＤＩ接続先情報は、ＶＤＩサーバ装置４０にログインするための資格情報（ユーザＩＤ及びパスワード）を含んでいてもよい。なお、ＶＤＩ接続情報は、電子機器１０の初回起動時に管理サーバ装置２０から取得される。その後は、ＶＤＩ接続先情報の有無を上記した機器認証処理時にチェック（判定）し、当該ＶＤＩ接続先情報が更新されたときに再度取得される。

（８）ファームウェアは、電子機器１０とＶＤＩサーバ装置４０とを接続するために、ＲＡＭ１３上のＶＤＩ接続用ソフトウェアを起動（実行）する。ＶＤＩ接続用ソフトウェアは、ＶＤＩ接続先情報に含まれるネットワークアドレス（ＩＰアドレス）を使用して、ＶＤＩサーバ装置４０に接続要求（ログイン要求）を送信する。この場合、ユーザは、ＶＤＩ接続先情報に含まれるユーザＩＤ及びパスワードを、ＶＤＩサーバ装置４０から提供されるＶＤＩログイン画面上のユーザＩＤ入力フィールド及びパスワード入力フィールドに入力する。これにより、ＶＤＩ接続ソフトウェアは、ＶＤＩサーバ装置４０にログインすることができる。ＶＤＩ接続ソフトウェアがＶＤＩサーバ装置４０にログインすると、電子機器１０とＶＤＩサーバ装置４０との間の接続（ＶＤＩ接続）が確立され、電子機器１０はＶＤＩサーバ装置４０によって提供される仮想デスクトップ環境で動作することが可能となる。

次に、図５を参照して、電子機器１０がネットワークから切断されたときに実行される処理の概要について説明する。

（１）例えば電子機器１０が外部に持ち出されると、電子機器１０とＶＤＩサーバ装置４０との間の接続が解除される（ＶＤＩ切断）。この場合、電子機器１０は、ＶＤＩサーバ装置４０からの画面情報（仮想デスクトップイメージ）の受信が途絶えるログオフ状態となる。

（２）ファームフェア（例えば、組み込みＯＳ）は、電子機器１０がネットワークから切断されたことを検知する。

（３）組み込みＯＳによって電子機器１０がネットワークから切断されたことが検知された場合、ファームウェア（例えば、ＢＩＯＳ）は、上記した電源自動オフ機能により、電子機器１０内の電源コントローラにＯＦＦ信号（パワーオフコマンド）を送信して当該電子機器１０の電源をオフする。これにより、ＲＡＭ１３上の情報は自動的に消去される。

なお、電子機器１０のユーザによるログオフ操作によって電子機器１０がログオフ状態になった場合にも、電子機器１０の電源が自動的にオフされてもよい。

以下、図６のフローチャートを参照して、仮想デスクトップ環境の提供を受ける（つまり、ＶＤＩサーバ装置４０と接続する）際に電子機器１０によって実行される処理の処理手順について説明する。なお、図６に示す処理は、電子機器１０の電源がオンされる度に実行される。

まず、例えばユーザによって電子機器本体１０ａの上面に配置されている電源スイッチ１０ｆが押下された場合、電子機器１０内の電源コントローラにＯＮ信号（パワーオンコマンド）が送信され、電子機器１０の電源がオンされる（ブロックＢ１）。

電子機器１０の電源がオンされると、ＢＩＯＳ−ＲＯＭ１６内のファームウェア（に含まれる組み込みＯＳ）が電子機器１０上で起動される（ブロックＢ２）。

組み込みＯＳと管理サーバ装置２０との間で認証処理が実行される（ブロックＢ３）。ブロックＢ３において実行される認証処理には、例えば、上述したネットワーク認証処理及び機器認証処理が含まれる。

組み込みＯＳは、認証処理の結果を確認し、電子機器１０の認証が成功したか否かを判定する（ブロックＢ４）。

電子機器１０の認証が成功していない（つまり、失敗した）と判定された場合、組み込みＯＳはＢＩＯＳに電子機器１０の電源をオフする要求を送信する。これにより、ＢＩＯＳは、電子機器１０内の電源コントローラにＯＦＦ信号を送信する。この場合、電子機器１０の電源はオフされて処理は終了される。

一方、電子機器１０の認証が成功したと判定された場合（ブロックＢ４のＹＥＳ）、組み込みＯＳは、ＶＤＩ接続用ソフトウェアを取得する処理（以下、ＶＤＩ接続用ＳＷ取得処理と表記）を実行する（ブロックＢ５）。

ＶＤＩ接続用ソフトウェアが上記したキャッシュ機能によりＳＤカード１０ｊにキャッシュされている場合には、ＶＤＩ接続用ＳＷ取得処理において、ＶＤＩ接続用ソフトウェアは当該ＳＤカード１０ｊから取得される。一方、ＶＤＩ接続用ソフトウェアがＳＤカード１０ｊにキャッシュされていない場合には、ＶＤＩ接続用ＳＷ取得処理において、ＶＤＩ接続用ソフトウェアは管理サーバ装置２０からダウンロードされることによって取得される。なお、ＶＤＩ接続用ＳＷ取得処理の詳細については後述する。

なお、上記したように電子機器１０の認証が成功した場合、組み込みＯＳは、管理サーバ装置２０の管理者等によって作成された各種規定が定義されたポリシ（設定ファイル）を管理サーバ装置２０から取得（受信）するものとする。このポリシには、例えば上記したキャッシュ機能に関する設定情報（キャッシュ機能の有効または無効）、及び管理サーバ装置２０からダウンロードされるＶＤＩ接続用ソフトウェア（例えば、最新のＶＤＩ接続用ソフトウェア）のファイル名等が含まれている。管理サーバ装置２０から取得されたポリシは、電子機器１０（例えば、ファームウェア）内で保持される。これにより、図６に示す処理が実行される度にポリシを取得する必要はないが、当該ポリシが管理サーバ装置２０側で更新された場合には、当該ポリシは電子機器１０によって再度取得される（つまり、電子機器１０内のポリシが更新される）ものとする。

ブロックＢ５におけるＶＤＩ接続用ＳＷ取得処理において取得されたＶＤＩ接続用ソフトウェアは、ＲＡＭ１３に展開される（ブロックＢ６）。

また、組み込みＯＳは、管理サーバ装置２０との通信を実行して、ＶＤＩサーバ装置４０に接続するための資格情報を含むＶＤＩ接続先情報を管理サーバ装置２０から取得する（ブロックＢ７）。

組み込みＯＳは、電子機器１０とＶＤＩサーバ装置４０（ＶＤＩサーバ装置４０上の仮想マシン４１）とを接続するために、ＲＡＭ１３上のＶＤＩ接続用ソフトウェアを起動する（ブロックＢ８）。

ブロックＢ８において起動されたＶＤＩ接続用ソフトウェアは、ＶＤＩ接続先情報に含まれる資格情報をＶＤＩログイン画面上に入力して、ＶＤＩサーバ装置４０に自動的にログインする。

なお、ブロックＢ３において実行される認証処理としてはネットワーク認証処理及び機器認証処理が含まれるものとして説明したが、その他の処理として、例えば電子機器１０を使用するユーザが当該電子機器１０に予め登録された正しいユーザであるか否かを判定するための認証処理（以下、個人認証処理と表記）が更に実行されても構わない。個人認証処理は、例えば入力された指紋が電子機器１０に予め登録された指紋に一致するか否かを判定するような処理であってもよいし、ＮＦＣカードから読み取られた個人情報が電子機器１０に予め登録された個人情報に一致するか否かを判定するような処理であってもよい。

次に、図７のフローチャートを参照して、上記したＶＤＩ接続用ＳＷ取得処理の処理手順について説明する。

なお、ＶＤＩ接続用ＳＷ取得処理が実行される場合には、上述した電子機器１０の認証が成功した際に管理サーバ装置２０から取得されているポリシが電子機器１０内に保持されているものとする。

ＶＤＩ接続用ＳＷ取得処理においては、まず、キャッシュ機能が有効であるか否かが判定される（ブロックＢ１１）。ブロックＢ１１の判定処理は、上記した電子機器１０内に保持されているポリシに含まれるキャッシュ機能の設定情報に基づいて実行される。

キャッシュ機能が有効であると判定された場合（ブロックＢ１１のＹＥＳ）、ＳＤカード１０ｊのマウント処理が実行される。マウント処理は、電子機器１０がＳＤカード１０ｊを認識できる状態（マウント状態）にするための処理である。このマウント処理の結果、ＳＤカード１０ｊのマウントが成功した（つまり、ＳＤカード１０ｊがマウント状態にある）か否かが判定される（ブロックＢ１２）。

ＳＤカード１０ｊのマウントが成功したと判定された場合（ブロックＢ１２のＹＥＳ）、当該ＳＤカード１０ｊにＶＤＩ接続用ソフトウェアが格納（キャッシュ）されている（つまり、ＳＤカード１０ｊ内にＶＤＩ接続用ソフトウェアがある）か否かが判定される（ブロックＢ１３）。

ＳＤカード１０ｊ内にＶＤＩ接続用ソフトウェアがないと判定された場合（ブロックＢ１３のＮＯ）、ファームウェア（例えば、組み込みＯＳ）は、管理サーバ装置２０との通信を実行することによって、ＶＤＩ接続用ソフトウェア（ダウンロードパッケージ）を管理サーバ装置２０からダウンロードする（ブロックＢ１４）。

ここで、本実施形態において管理サーバ装置２０からダウンロードされるＶＤＩ接続用ソフトウェアは、共通鍵暗号方式（例えば、ＡＥＳ２５６）における共通鍵で暗号化されているものとする。なお、このような共通鍵暗号方式で暗号化されたＶＤＩ接続用ソフトウェアを復号化するための共通鍵は、シンクライアントシステムにおいて利用可能なクライアント端末（電子機器１０）に対して予め配布されているものとする。暗号化されたＶＤＩ接続用ソフトウェアは、例えばパスワード（１２０ビット）付きのｚｉｐ等で更に保護されていてもよい。なお、このパスワードは、共通鍵と同様に電子機器１０に対して予め配布されていてもよいし、電子機器１０を使用するユーザに予め通知していてもよい。

したがって、ファームウェアは、予め電子機器１０に対して配布されている鍵を用いて、管理サーバ装置２０からダウンロードされたＶＤＩ接続用ソフトウェア（暗号化されたＶＤＩ接続用ソフトウェア）を復号化する処理を実行する。なお、ブロックＢ１４におけるダウンロード処理及びＶＤＩ接続用ソフトウェアの復号化処理中の電子機器１０のディスプレイには、例えばＶＤＩ接続用ソフトウェアのダウンロード中であることを示す画面（スプラッシュ画面）が表示される。

次に、ＶＤＩ接続用ソフトウェアの復号化処理の結果、ＶＤＩ接続用ソフトウェアの復号化が成功した（つまり、ＶＤＩ接続用ソフトウェアが復号化された）か否かが判定される（ブロックＢ１５）。

ＶＤＩ接続用ソフトウェアの復号化が成功したと判定された場合（ブロックＢ１５のＹＥＳ）、当該ＶＤＩ接続用ソフトウェアは電子機器１０に対してマウント状態にあるＳＤカード１０ｊにキャッシュされるが、当該ＶＤＩ接続用ソフトウェアをそのままキャッシュした場合、電子機器１０が盗難または紛失された際にＳＤカード１０ｊ内のＶＤＩ接続用ソフトウェアが不正に利用される可能性がある。

そこで、本実施形態において、ファームウェアは、復号化されたＶＤＩ接続用ソフトウェアを再度暗号化してＳＤカード１０ｊにキャッシュするものとする。この場合、ＶＤＩ接続用ソフトウェアは、電子機器１０に固有の情報（機器情報）に基づいて生成された鍵（以下、機器依存鍵と表記）を用いて暗号化されるものとする。なお、機器依存鍵は、例えば共通鍵暗号方式における共通鍵であり、例えば電子機器１０がシンクライアントシステムにおいて利用可能なクライアント端末として登録される際等に予め生成されて電子機器１０内に保持されているものとする。すなわち、シンクライアントシステムにおいて利用可能なクライアント端末の各々には、それぞれ異なる機器依存鍵が保持されている。

この場合、機器依存鍵を用いたＶＤＩ接続用ソフトウェアの暗号化が成功した（ＶＤＩ接続用ソフトウェアが暗号化された）か否かが判定される（ブロックＢ１６）。

ＶＤＩ接続用ソフトウェアの暗号化が成功したと判定された場合（ブロックＢ１６のＹＥＳ）、ファームウェアは、当該暗号化されたＶＤＩ接続用ソフトウェアをキャッシュする（つまり、ＳＤカード１０ｊに格納する）処理を実行する。この処理の結果、ＶＤＩ接続用ソフトウェアのキャッシュが成功したか否かが判定される（ブロックＢ１７）。

ＶＤＩ接続用ソフトウェアのキャッシュが成功したと判定された場合（ブロックＢ１７のＹＥＳ）、ファームウェアは、ＳＤカード１０ｊに対するＶＤＩ接続用ソフトウェアの読み込み処理を実行する。これにより、ＶＤＩ接続用ソフトウェアの読み込みが成功した（つまり、ＶＤＩ接続用ソフトウェアがＳＤカード１０ｊから読み込まれた）か否かが判定される（ブロックＢ１８）。

ここで、ＶＤＩ接続用ソフトウェアの読み込みが成功したと判定された場合を想定する（ブロックＢ１８のＹＥＳ）。この場合、ＳＤカード１０ｊから読み込まれたＶＤＩ接続用ソフトウェアは、上記したように機器依存鍵を用いて暗号化されている。したがって、ファームウェアは、電子機器１０内に保持されている機器依存鍵を用いて、ＶＤＩ接続用ソフトウェアを復号化する処理を実行する。

この場合、ＶＤＩ接続用ソフトウェアの復号化が成功した（つまり、ＶＤＩ接続用ソフトウェアが復号化された）か否かが判定される（ブロックＢ１９）。

ＶＤＩ接続用ソフトウェアの復号化が成功したと判定された場合（ブロックＢ１９のＹＥＳ）、ＳＤカード１０ｊのアンマウント処理が実行される。アンマウント処理は、ＳＤカード１０ｊのマウント状態を解除するための処理である。ＳＤカード１０ｊがアンマウントされた（ＳＤカード１０ｊのマウント状態が解除された）場合、電子機器１０はＳＤカード１０ｊを認識しないため、当該電子機器１０においてＳＤカード１０ｊに対するデータの書き込み及び読み込みを行うことはできない。すなわち、本実施形態に係る電子機器１０においては、ＶＤＩ接続用ＳＷ取得処理中の限られた期間にのみＳＤカード１０ｊ（つまり、外部ストレージ）が有効化される。

このアンマウント処理の結果、ＳＤカード１０ｊのアンマウントが成功したか否かが判定される（ブロックＢ２０）。

ＳＤカード１０ｊのアンマウントが成功したと判定された場合（ブロックＢ２０のＹＥＳ）、ファームウェアは、上記したように機器依存鍵を用いて復号化されたＶＤＩ接続用ソフトウェアを取得する（ブロックＢ２１）。ブロックＢ２１において取得されたＶＤＩ接続用ソフトウェアは、前述した図６に示すブロックＢ６においてＲＡＭ１３に展開されて起動されることになる。

なお、ブロックＢ１６〜Ｂ２０の処理中の電子機器１０のディスプレイには、例えばＶＤＩ接続用ソフトウェアをキャッシュ中であることを示す画面（スプラッシュ画面）が表示される。

上記したようにＳＤカード１０ｊにＶＤＩ接続用ソフトウェアがキャッシュされていない場合には、管理サーバ装置２０からダウンロードされたＶＤＩ接続用ソフトウェアが暗号化されてＳＤカード１０ｊにキャッシュされる。換言すれば、本実施形態に係る電子機器１０は、ＳＤカード１０ｊの領域をＢＩＯＳ拡張領域として利用する機能（以下、ＢＩＯＳ領域の拡張機能と表記）を有する。

ここで、図８を参照して、ＢＩＯＳ領域の拡張機能について簡単に説明する。本実施形態においては、図８に示すように、例えばＡＥＳ２５６等の暗号方式（及びパスワード付きのｚｉｐ）で保護されたＶＤＩ接続用ソフトウェア（ダウンロードパッケージ）を復号化し、当該復号化されたＶＤＩ接続用ソフトウェアを機器依存鍵で暗号化することによってキャッシュパッケージを生成する。

一般的なシンクライアントシステムにおいてはセキュリティ上の観点からＳＤカード１０ｊのような外部ストレージを利用することはできないが、本実施形態においては、上記したキャッシュパッケージ（機器依存鍵で暗号化されたＶＤＩ接続用ソフトウェア）を生成することによって、ＳＤカード１０ｊをＢＩＯＳ拡張領域（キャッシュ領域）として利用し、当該キャッシュパッケージをＳＤカード１０ｊにキャッシュ（格納）しておくことが可能となる。

ここで、上記したようにＳＤカード１０ｊにキャッシュパッケージがキャッシュされた状態の電子機器１０が例えば盗難等によって管理区域外に持ち出された場合を想定する。この場合において、電子機器１０を使用しようとすると、上記した図５において説明したように電子機器１０の電源は自動的にオフされるため、電子機器１０のＲＡＭ１３上の情報は全て消去される。これによれば、ＲＡＭ１３上の情報が漏洩することを防止することができる。

また、例えば管理区域外に持ち出された電子機器１０（のカードスロット１０ｉ）からＳＤカード１０ｊが取り外され、他の機器１００において、不正の目的で当該ＳＤカード１０ｊ（内の情報）にアクセスすることが考えられる。しかしながら、ＳＤカード１０ｊに格納されている情報は上記したキャッシュパッケージであり、当該キャッシュパッケージは、電子機器１０内に保持されている機器依存鍵でのみ復号化可能である。すなわち、電子機器１０においてＳＤカード１０ｊにキャッシュされたＶＤＩ接続用ソフトウェアは、当該電子機器１０においてのみ利用可能であるため、仮にＳＤカード１０ｊが他の機器１００に挿入されたとしても、当該ＶＤＩ接続用ソフトウェアの情報（ＶＤＩサーバ装置４０に接続するための情報等）が漏洩する危険性も少ない。

これにより、本実施形態においては、情報漏洩の危険性を少なくした状態（つまり、セキュアな状態）でＳＤカード１０ｊのような外部ストレージをＢＩＯＳ拡張領域として利用することできる。

ここでは、ＶＤＩ接続用ソフトウェアがＳＤカード１０ｊにキャッシュされていない場合について説明したが、ＶＤＩ接続用ソフトウェア（キャッシュパッケージ）がＳＤカード１０ｊにキャッシュされている場合には、ブロックＢ１３においてＳＤカード１０ｊ内にＶＤＩ接続用ソフトウェアがあると判定される（ブロックＢ１３のＹＥＳ）。この場合には、ブロックＢ１８以降の処理が実行される。

すなわち、ＳＤカード１０ｊにＶＤＩ接続用ソフトウェアがキャッシュされている場合には、ＳＤカード１０ｊに格納（キャッシュ）されているキャッシュパッケージ（機器依存鍵で暗号化されたＶＤＩ接続用ソフトウェア）からＶＤＩ接続用ソフトウェアが取得される。これによれば、例えば電子機器１０の電源がオンされる（つまり、仮想デスクトップ環境の提供を受ける）度にＶＤＩ接続用ソフトウェアを管理サーバ装置２０からダウンロードすることなく、効率的にＶＤＩ接続用ソフトウェアを取得して起動することが可能となる。

なお、図７に示すブロックＢ１１においてキャッシュ機能が有効でないと判定された場合（ブロックＢ１１のＮＯ）、及びブロックＢ１２においてＳＤカード１０ｊのマウントが成功していないと判定された場合（ブロックＢ１２のＮＯ）、ブロックＢ１４及びブロックＢ１５の処理と同様のブロックＢ２２及びＢ２３の処理が実行される。このブロックＢ２３の処理においてＶＤＩ接続用ソフトウェアの復号化が成功したと判定された場合（ブロックＢ２３のＹＥＳ）、ブロックＢ２１の処理が実行される。

これによれば、キャッシュ機能が有効でない（つまり、無効に設定されている）場合、または例えばＨＷの故障等に起因してＳＤカード１０ｊがマウントできないような場合であっても、管理サーバ装置２０からダウンロードされるダウンロードパッケージからＶＤＩ接続用ソフトウェアを取得することができる。

また、ブロックＢ１５においてＶＤＩ接続用ソフトウェアの復号化が成功していないと判定された場合（ブロックＢ１５のＮＯ）を想定する。この場合、電子機器１０内に共通鍵を有していない（つまり、電子機器１０がシンクライアントシステムにおいて利用可能なクライアント端末として登録されていない）可能性があるため、ＶＤＩ接続用ＳＷ取得処理は終了される。この場合、例えば電子機器１０の電源はオフされる（つまり、システムが終了される）。

同様に、ブロックＢ１６においてＶＤＩ接続用ソフトウェアの暗号化が成功していないと判定された場合（ブロックＢ１６のＮＯ）、電子機器１０内に機器依存鍵を有していない可能性があるため、ＶＤＩ接続用ＳＷ取得処理は終了されて、電子機器１０の電源がオフされる。

また、ブロックＢ１９においてＶＤＩ接続用ソフトウェアの復号化が成功していないと判定された場合（ブロックＢ１９のＮＯ）、例えば電子機器１０内の機器依存鍵がＳＤカード１０ｊにＶＤＩ接続用ソフトウェアをキャッシュした際に用いられた鍵と異なっている（つまり、ＳＤカード１０ｊが他の機器で使用されている）可能性があるため、ＶＤＩ接続用ＳＷ取得処理は終了されて、電子機器１０の電源がオフされる。

更に、ブロックＢ２０においてＳＤカード１０ｊのアンマウントが成功していないと判定された場合（ブロックＢ２０のＮＯ）、ＳＤカード１０ｊのマウント状態（つまり、当該ＳＤカード１０ｊに対するデータの書き込み及び読み出しが可能な状態）が維持されることになる。これは情報漏洩の原因となる可能性があるため、この場合にはＶＤＩ接続用ＳＷ取得処理が終了されて、電子機器１０の電源がオフされる。

また、例えばブロックＢ１６においてＶＤＩ接続用ソフトウェアの暗号化が成功したと判定された場合であっても、ＳＤカード１０ｊに対する書き込みが禁止されている場合、及び当該ＳＤカード１０ｊの容量不足で当該ＶＤＩ接続用ソフトウェア（キャッシュパッケージ）をＳＤカード１０ｊに格納（キャッシュ）することができない場合には、ブロックＢ１７においてＶＤＩ接続用ソフトウェアのキャッシュが成功していないと判定される（ブロックＢ１７のＮＯ）。この場合には、ブロックＢ２２以降の処理が実行される。これによれば、ＳＤカード１０ｊにＶＤＩ接続用ソフトウェアをキャッシュすることはできないが、管理サーバ装置２０からダウンロードされるダウンロードパッケージからＶＤＩ接続用ソフトウェアを取得することができる。なお、例えばＳＤカード１０ｊの破損等によってブロックＢ１８においてＶＤＩ接続用ソフトウェアの読み込みが成功していないと判定された場合についても同様である。

なお、図７に示すＢ１３においてはＳＤカード１０ｊにＶＤＩ接続用ソフトウェアがあるか否かが判定されるものとして説明したが、例えばＳＤカード１０ｊにＶＤＩ接続用ソフトウェアがある（つまり、キャッシュされている）場合であっても、当該ＶＤＩ接続用ソフトウェアが管理サーバ装置２０において更新されている場合（つまり、ＳＤカード１０ｊ内にあるＶＤＩ接続用ソフトウェアと管理サーバ装置２０内のＶＤＩ接続用ソフトウェアとが一致しない場合）、当該ＳＤカード１０ｊにＶＤＩ接続用ソフトウェアがないと判定されるものとする。ＳＤカード１０ｊ内にあるＶＤＩ接続用ソフトウェアと管理サーバ装置２０内のＶＤＩ接続用ソフトウェアとが一致するか否かは、ＳＤカード１０ｊ内にあるＶＤＩ接続用ソフトウェアのファイル名と上述したポリシに含まれるファイル名（最新のＶＤＩ接続用ソフトウェアのファイル名）とを比較することによって判定されるものとする。

ＳＤカード１０ｊ内にあるＶＤＩ接続用ソフトウェアと管理サーバ装置２０内のＶＤＩ接続用ソフトウェアとが一致しない場合には、管理サーバ装置２０内の最新のＶＤＩ接続用ソフトウェア（つまり、更新されたＶＤＩ接続用ソフトウェア）が電子機器１０にダウンロードされ、ＳＤカード１０ｊに格納（キャッシュ）されているＶＤＩ接続用ソフトウェアが当該更新されたＶＤＩ接続用ソフトウェアで上書きされる。

また、図７に示す処理においては、ＶＤＩ接続用ソフトウェアの暗号化及び復号化に共通鍵暗号方式が採用された場合について説明したが、当該暗号化及び復号化に他の暗号化方式が採用されても構わない。

上記したように本実施形態においては、仮想デスクトップ環境を提供するＶＤＩサーバ装置（第１のサーバ装置）４０と接続するためのＶＤＩ接続用ソフトウェア（クライアントプログラム）が管理サーバ装置（第２のサーバ装置）２０からダウンロードされ、当該ダウンロードされたＶＤＩ接続用ソフトウェアは、ユーザがアクセス不可能な外部ストレージ（例えば、ＳＤカード１０ｊ）に格納される。また、仮想デスクトップ環境の提供を受ける場合、ＳＤカード１０ｊに格納されたＶＤＩ接続用ソフトウェアが起動される。なお、この場合におけるＶＤＩ接続用ソフトウェアは、暗号化されてＳＤカード１０ｊに格納される。また、ＶＤＩ接続用ソフトウェアを管理サーバ装置２０からダウンロードする（つまり、管理サーバ装置２０に接続する）ためのファームウェアは、ＢＩＯＳ−ＲＯＭ１６に予め格納されている。

本実施形態においては、このような構成により、ユーザがアクセス不可能なＳＤカード１０ｊ（の領域）をＢＩＯＳ拡張領域として利用し、当該ＳＤカード１０ｊに暗号化されたＶＤＩ接続用ソフトウェアをキャッシュしておくことが可能である。これによれば、ＳＤカード１０ｊには暗号化されたＶＤＩ接続用ソフトウェア以外に情報漏洩に繋がるような情報は格納されないため、シンクライアントシステムにおいてＳＤカード１０ｊ（外部ストレージ）をセキュアな状態で利用することができ、電子機器１０から情報が漏洩する危険性を低減することができる。更に、電子機器１０の電源がオンされたときに、ＳＤカード１０ｊにＶＤＩ接続用ソフトウェアが格納（キャッシュ）されている場合には当該ＶＤＩ接続用ソフトウェアのダウンロードを実行する必要がないため、ＶＤＩ接続用ソフトウェアをＶＤＩサーバ装置４０に接続しようとする（つまり、仮想デスクトップ環境の提供を受ける）度にＶＤＩ接続用ソフトウェアをダウンロードする構成と比較して、当該電子機器１０の起動を高速化する（つまり、電子機器１０を効率的に使用する）ことが可能となる。

また、本実施形態においては、ＶＤＩ接続用ソフトウェアが電子機器１０に固有の情報（機器情報）に基づいて生成された鍵（機器依存鍵）を用いて暗号化される。これによれば、本実施形態においては、例えば電子機器１０のカードスロット１０ｉに挿入されていたＳＤカード１０ｊが他の機器に挿入された場合であっても、当該ＳＤカード１０ｊに格納されているＶＤＩ接続用ソフトウェアは当該他の機器では利用することができない（復号化されない）ため、当該ＶＤＩ接続用ソフトウェア（内の情報）が不正に利用されることを防止することが可能となる。

更に、本実施形態においては、電子機器１０の電源がオンされた場合にＳＤカード１０ｊをマウント状態にし、ＶＤＩ接続用ソフトウェアを起動するためにＳＤカード１０ｊに格納されたＶＤＩ接続用ソフトウェアを復号化し、当該ＶＤＩ接続用ソフトウェアが復号化された場合、ＳＤカード１０ｊのマウント状態を解除する。本実施形態においては、このような構成により、ＳＤカード１０ｊに格納（キャッシュ）されたＶＤＩ接続用ソフトウェアを利用する限られた期間にのみＳＤカード１０ｊが有効化され、かつ、当該ＳＤカード１０ｊはシンクライアントシステムでのみ利用されるため、例えばユーザによってＳＤカード１０ｊに情報漏洩に繋がる情報が格納され、当該情報が漏洩するといった事態を回避することが可能となる。

また、本実施形態では、管理サーバ装置２０においてＶＤＩ接続用ソフトウェアが更新されている場合に、当該更新されたＶＤＩ接続用ソフトウェアをダウンロードして、ＳＤカード１０ｊに格納（キャッシュ）されているＶＤＩ接続用ソフトウェアに上書きすることが可能である。本実施形態においては、このような構成により、管理サーバ装置２０においてＶＤＩ接続用ソフトウェアが更新されたような場合であっても、当該更新されたＶＤＩ接続用ソフトウェアを用いてＶＤＩサーバ装置４０に接続することが可能となる。

また、本実施形態において、ＳＤカード１０ｊに格納（キャッシュ）されたＶＤＩ接続用ソフトウェアはＲＡＭ１３上に展開されて起動され、電子機器１０とＶＤＩサーバ装置４０との接続が切断された場合、当該電子機器１０の電源はオフされる。ここで、ＲＡＭ１３は揮発性メモリであるため、電子機器１０の電源がオフされた場合には、ＲＡＭ１３上の情報は自動的に消去される。このような構成によれば、例えばＶＤＩサーバ装置４０との通信が可能な範囲（管理区域）外に電子機器１０が持ち出されたような場合に当該電子機器１０のＲＡＭ１３上の情報が漏洩することを防止することが可能となる。

なお、本実施形態においては、ＢＩＯＳ拡張領域として利用される外部ストレージとしてＳＤカード１０ｊ（の領域）が利用されるものとして説明したが、ＳＤカード１０ｊに代えて例えば他の外部ストレージ（例えば、ｅＭＭＣまたはＵＳＢメモリ等）がＢＩＯＳ拡張領域として用いられてもよい。

更に、ユーザがアクセス不可能な不揮発性メモリであれば、例えば外部ストレージではなく内蔵ストレージ（の領域）がＢＩＯＳ拡張領域として利用されても構わない。このようにユーザがアクセス不可能な内蔵ストレージがＢＩＯＳ拡張領域として利用される場合、当該内蔵ストレージ内の情報が漏洩する可能性は低い。このため、内蔵ストレージに格納（キャッシュ）されるＶＤＩ接続用ソフトウェアは暗号化されない構成であっても構わない。

なお、上記したようにＳＤカード１０ｊ以外の不揮発性メモリがＢＩＯＳ拡張領域として利用される場合であっても、当該不揮発性メモリは、当該ＳＤカード１０ｊと同様に、限られた期間にのみ利用されるものとする。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０…電子機器、１０ａ…電子機器本体、１０ｂ…ディスプレイユニット、１０ｃ…ＬＣＤ、１０ｄ…キーボード、１０ｅ…タッチパッド、１０ｆ…電源スイッチ、１０ｇ…スピーカ、１０ｈ…電源コネクタ、１０ｉ…カードスロット、１０ｊ…ＳＤカード（不揮発性メモリ）、１０ｋ…ＨＤＭＩ出力端子、１３…ＲＡＭ（揮発性メモリ）、１６…ＢＩＯＳ−ＲＯＭ（ファームウェアＲＯＭ）、２０…管理サーバ装置（第２のサーバ装置）、４０…ＶＤＩサーバ装置（第１のサーバ装置）。

Claims (7)

1. ハードディスクドライブまたはソリッドステートドライブのような内蔵ストレージを備えず、仮想デスクトップ環境で動作する電子機器において、
   ユーザ操作によってアクセスができないように構成された不揮発性メモリの外部ストレージと、
   ファームウェアＲＯＭに格納される仮想デスクトップ環境を提供する第１のサーバ装置、及び前記第１のサーバ装置との接続を管理する第２のサーバ装置と通信するためのネットワーク通信機能を含むファームウェアを実行するプロセッサと、
   を有し、
   前記プロセッサは、
   前記第２のサーバ装置との間で前記電子機器の認証が成功したとき、前記第１のサーバ装置と接続するためのクライアント用の接続ソフトウェアを前記第２のサーバ装置からダウンロードし、
   前記接続ソフトウェアを前記電子機器の固有情報に基づいて生成された機器依存鍵を用いて暗号化して前記外部ストレージにキャッシュするように格納し、
   前記外部ストレージに格納した前記接続ソフトウェアを前記機器依存鍵によって復号化して揮発性のＲＡＭに展開し、
   前記ＲＡＭの前記接続ソフトウェアを起動することで、前記第１のサーバ装置にログインして、前記第１のサーバ装置が提供する前記仮想デスクトップ環境で前記電子機器を動作させ、
   前記外部ストレージに前記接続ソフトウェアがキャッシュされていた状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記外部ストレージの前記接続ソフトウェアを前記機器依存鍵によって復号化して前記ＲＡＭに展開して起動し、
   前記外部ストレージに前記接続ソフトウェアがキャッシュされていない状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記第２のサーバ装置からダウンロードして得た前記接続ソフトウェアを前記ＲＡＭに展開して起動する
   電子機器。
2. 前記第２のサーバ装置から前記ダウンロードして得た前記接続ソフトウェアは、共通鍵で暗号化されている場合、
   前記プロセッサは、
   前記暗号化された前記接続ソフトウェアを当該電子機器に配布された共通鍵によって復号化し、
   前記復号化された前記接続ソフトウェアを前記機器依存鍵を用いて再度暗号化して前記外部ストレージにキャッシュするよう格納し、
   前記外部ストレージにキャッシュされた前記接続ソフトウェアを前記機器依存鍵によって復号化して前記ＲＡＭに展開して起動する
   請求項１記載の電子機器。
3. 前記外部ストレージは前記電子機器のカードスロットに挿入されるＳＤカードで構成され、
   前記プロセッサは、
   前記電子機器の電源がオンされた場合に、前記ＳＤカードを認識できるマウント状態にするための処理を実行し、
   前記ＳＤカードのマウントが成功したと判定し、且つ前記接続ソフトウェアが前記ＳＤカードにキャッシュされていると判定した場合、前記接続ソフトウェアを起動するために、前記機器依存鍵を用いて前記接続ソフトウェアを復号化し、
   前記接続ソフトウェアの復号化が成功した場合、前記ＳＤカードが認識できないようにマウント状態を解除する
   請求項１記載の電子機器。
4. 前記プロセッサは、
   前記外部ストレージに前記接続ソフトウェアがキャッシュされている場合であって、当該接続ソフトウェアが前記第２のサーバ装置において更新されている場合、当該更新された前記接続ソフトウェアを前記第２のサーバ装置からダウンロードし、
   前記更新された接続ソフトウェアを前記外部ストレージにキャッシュされている前記接続ソフトウェアに上書きする
   請求項１記載の電子機器。
5. 前記プロセッサは、前記外部ストレージにキャッシュした前記接続ソフトウェアを前記機器依存鍵によって復号化し、前記ＲＡＭ上に展開して起動した後、前記第２のサーバ装置との間の接続が切断された場合、前記ＲＡＭの内容を消去する請求項１記載の電子機器。
6. ハードディスクドライブまたはソリッドステートドライブのような内蔵ストレージを備えず、ユーザ操作によってアクセスができないように構成された不揮発性メモリの外部ストレージと、ファームウェアＲＯＭに格納される仮想デスクトップ環境を提供する第１のサーバ装置、及び前記第１のサーバ装置との接続を管理する第２のサーバ装置と通信するためのネットワーク通信機能を含むファームウェアを実行するプロセッサと、を有する仮想デスクトップ環境で動作する電子機器が実行する方法であって、
   前記第２のサーバ装置との間で前記電子機器の認証が成功したとき、前記第１のサーバ装置と接続するためのクライアント用の接続ソフトウェアを前記第２のサーバ装置からダウンロードすることと、
   前記接続ソフトウェアを前記電子機器に固有の情報に基づいて生成された機器依存鍵を用いて暗号化して前記外部ストレージにキャッシュするように格納することと、
   前記外部ストレージに格納した前記接続ソフトウェアを前記機器依存鍵によって復号化して揮発性のＲＡＭに展開することと、
   前記ＲＡＭの前記接続ソフトウェアを起動することで、前記第１のサーバ装置にログインして、前記第１のサーバ装置が提供する前記仮想デスクトップ環境で前記電子機器を動作させることと、
   前記外部ストレージに前記接続ソフトウェアがキャッシュされた状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記外部ストレージの前記接続ソフトウェアを前記機器依存鍵によって復号化して前記ＲＡＭに展開して起動することと、
   前記外部ストレージに前記接続ソフトウェアがキャッシュされていない状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記第２のサーバ装置からダウンロードして得た前記接続ソフトウェアを前記ＲＡＭに展開して起動することと
   を具備する方法。
7. ハードディスクドライブまたはソリッドステートドライブのような内蔵ストレージを備えず、ユーザ操作によってアクセスができないように構成された不揮発性メモリの外部ストレージと、ファームウェアＲＯＭに格納される仮想デスクトップ環境を提供する第１のサーバ装置、及び前記第１のサーバ装置との接続を管理する第２のサーバ装置と通信するためのネットワーク通信機能を含むファームウェアを実行するプロセッサと、を有する仮想デスクトップ環境で動作する電子機器の前記プロセッサによって実行される前記ファームウェアのプログラムであって、
   前記第２のサーバ装置との間で前記電子機器の認証が成功したとき、前記第１のサーバ装置と接続するためのクライアント用の接続ソフトウェアを前記第２のサーバ装置からダウンロードする手順と、
   前記接続ソフトウェアを前記電子機器に固有の情報に基づいて生成された機器依存鍵を用いて暗号化して前記外部ストレージにキャッシュするように格納する手順と、
   前記外部ストレージに格納した前記接続ソフトウェアを前記機器依存鍵によって復号化して揮発性のＲＡＭに展開する手順と、
   前記ＲＡＭの前記接続ソフトウェアを起動することで、前記第１のサーバ装置にログインして、前記第１のサーバ装置が提供する前記仮想デスクトップ環境で前記電子機器を動作させる手順と、
   前記外部ストレージに前記接続ソフトウェアがキャッシュされた状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記外部ストレージの前記接続ソフトウェアを前記機器依存鍵によって復号化して前記ＲＡＭに展開して起動する手順と、
   前記外部ストレージに前記接続ソフトウェアがキャッシュされていない状態で、前記電子機器の電源がオンされ、前記第２のサーバ装置との間で前記電子機器の認証が成功した場合、前記第２のサーバ装置からダウンロードして得た前記接続ソフトウェアを前記ＲＡＭに展開して起動する手順と
   を前記プロセッサに実行させるためのプログラム。

Images