JP6709057B2 - 遠隔操作システム及び遠隔操作プログラム - Google Patents

Description

本発明は、遠隔操作システム及び遠隔操作プログラムに関する。

特開２０１２−７９０８４号公報（特許文献１）には、サーバの表示装置に表示されているアプリケーションの出力画面をクライアントの表示装置に表示させ、サーバ上で稼働するアプリケーションをクライアントから遠隔操作することが可能な遠隔操作システムが開示されている。そして、特許文献１に記載の遠隔操作システムでは、クライアントの表示画面を第三者が視認することによる第三者への情報の漏洩を防ぐために、当該文献の図５に示されるように、電話番号や金額等の特定のデータ項目については、マスク処理を施すことでクライアントの表示画面には表示させないように構成されている。

ところで、遠隔操作システムにおいて、第三者への情報の漏洩ではなく、遠隔操作を行う側の第二端末の操作者が、遠隔操作される側の第一端末から情報を不正に或いは偶発的に取得することを防止する技術が必要となる場合がある。例えば、第一端末において、第一端末の操作者にのみ閲覧が許可される情報を取り扱うアプリケーションプログラム（以下、「特定アプリケーションプログラム」という。）が実行されている場合には、第二端末の操作者によって当該情報が取得される可能性を、可能な限り低く抑える必要がある。この点に関し、特許文献１に記載の遠隔操作システムでは、特定のデータ項目にマスク処理が施されるのみで、当該データを取り扱うアプリケーションプログラムのウィンドウの大部分は他の端末に表示される。そのため、仮に特許文献１に記載の技術を、第二端末の操作者が第一端末から情報を不正に或いは偶発的に取得することを防止するために用いたとしても、特定アプリケーションプログラムのウィンドウの大部分は第二端末に表示される。そのため、第二端末の操作者が、特定アプリケーションプログラムで取り扱う情報の取得につながるような遠隔操作を不正に或いは偶発的に行うことを抑制するには限界がある。

特開２０１２−７９０８４号公報（段落００４１、図５等）

そこで、特定アプリケーションプログラムで取り扱う情報が、第二端末の操作者に不正に或いは偶発的に取得されることを抑制できる技術の実現が望まれる。

上記に鑑みた、複数のアプリケーションプログラムを実行可能な第一端末と、前記第一端末を遠隔操作可能な第二端末と、前記第一端末及び前記第二端末の双方と通信可能な中継サーバと、を備えた遠隔操作システムの特徴構成は、前記第一端末は、第一表示装置と、第一操作装置と、第一遠隔操作制御部を含む第一処理装置と、を備え、前記第二端末は、第二表示装置と、第二操作装置と、第二遠隔操作制御部を含む第二処理装置と、を備え、前記中継サーバは、マスク処理部を含む中継処理装置を備え、前記第一遠隔操作制御部は、前記第一端末における前記アプリケーションプログラムの実行状態を表す第一実行情報と、前記第一表示装置に表示された画像の情報である表示画像情報と、を取得し、前記マスク処理部は、前記第一実行情報及び前記表示画像情報に基づいてマスク済表示画像情報を生成し、前記第二遠隔操作制御部は、前記マスク済表示画像情報を前記第二表示装置に表示すると共に、当該マスク済表示画像情報が前記第二表示装置に表示された状態での前記第二操作装置が操作された内容を表す第二操作ログ情報を取得し、前記第一遠隔操作制御部は、前記第二操作ログ情報に基づいて前記第一端末の処理を実行し、前記表示画像情報に係る表示画像に含まれる、予め定められた特定アプリケーションプログラムのウィンドウ画像を特定ウィンドウ画像として、前記マスク処理部は、前記第一実行情報に基づいて、前記表示画像中における前記特定ウィンドウ画像が占める領域である特定ウィンドウ領域の情報を取得し、前記特定ウィンドウ領域に元画像を隠すマスク処理を行って前記マスク済表示画像情報を生成し、前記第一遠隔操作制御部は、前記第二処理装置からの遠隔操作の開始要求を受信した際に前記第一端末において前記特定アプリケーションプログラムを実行中であった場合、少なくとも第一処理手順と第二処理手順とを選択可能とする選択ダイアログを前記第一表示装置に表示し、前記第一処理手順は、前記特定アプリケーションプログラムを終了した後に遠隔操作を許可する処理手順であり、前記第二処理手順は、前記特定アプリケーションプログラムの実行を継続すると共に、前記第二表示装置に前記マスク済表示画像情報を表示させた状態での遠隔操作を許可する処理手順である点にある。

上記の特徴構成によれば、第一端末の操作者にのみ閲覧が許可される情報を取り扱うアプリケーションプログラムを特定アプリケーションプログラムに設定することで、特定アプリケーションプログラムのウィンドウ画像である特定ウィンドウ画像を隠すためのマスク処理が施された後の画像（マスク済表示画像情報）が、第二端末の表示装置である第二表示装置に表示される。そして、このマスク処理は、表示画像中における特定ウィンドウ画像が占める領域である特定ウィンドウ領域に対して行われる。すなわち、特定ウィンドウ画像の大部分或いは全てが第二表示装置に表示されない構成とすることができる。この結果、特定ウィンドウ画像の大部分が第二表示装置に表示される場合に比べて、第二表示装置に表示される画像の内容に基づき特定アプリケーションプログラムの操作方法を知得することが困難となると共に、特定アプリケーションプログラムに対する操作が第二端末の操作者により偶発的に行われる可能性も低く抑えることができる。すなわち、上記の特徴構成によれば、特定アプリケーションプログラムで取り扱う情報が、第二端末の操作者に不正に或いは偶発的に取得されることを抑制できる。
更に、上記の特徴構成によれば、マスク済表示画像情報を生成する処理を行うマスク処理部が、第一端末でも第二端末でもない中継サーバに備えられる。よって、第一端末の処理負荷を低減することができると共に、特定アプリケーションプログラムで取り扱う情報が第二端末に送信されないことにより、当該情報が第二端末の操作者に不正に或いは偶発的に取得されることを更に抑制できる。
また、上記の特徴構成によれば、第二処理装置からの遠隔操作の開始要求があった場合に、第一端末の操作者に対して、特定アプリケーションプログラムの実行を継続すると共に、第二表示装置にマスク済表示画像情報を表示させた状態での遠隔操作を許可する第二処理手順に加えて、特定アプリケーションプログラムを終了した後に遠隔操作を許可する第一処理手順を選択肢として与えることができる。これにより、その時の状況に応じた適切な処理を第一端末の操作者に選択させることが可能となる。

ここで、前記中継処理装置又は前記第一処理装置は、操作制限処理部を含み、前記操作制限処理部は、前記第二操作ログ情報に基づいて処理済第二操作ログ情報を生成し、前記第一遠隔操作制御部は、前記処理済第二操作ログ情報に従って前記第一端末の処理を実行し、前記操作制限処理部は、前記第二操作ログ情報に、前記特定アプリケーションプログラムに対する操作を行う操作ログが含まれている場合には、当該操作ログを無効にし、又は当該操作ログを別の操作ログに変換して、前記処理済第二操作ログ情報を生成すると好適である。

この構成によれば、仮に第二端末の操作者により行われた遠隔操作に、特定アプリケーションプログラムに対する操作が含まれる場合であっても、特定アプリケーションプログラムに対する操作のみを無効或いは別の操作に変換することができる。よって、特定アプリケーションプログラムで取り扱う情報が第二端末の操作者に取得されるような遠隔操作を禁止しつつ、それ以外の遠隔操作についてはそのまま第一端末に実行させることができる。

以上の各構成を備えた遠隔操作システムの技術的特徴は遠隔操作プログラムにも適用可能であり、そのようなプログラム、更には、そのようなプログラムが記憶された記憶媒体（例えば、光ディスク、フラッシュメモリ等）も、本明細書によって開示される。

その場合における、第一表示装置及び第一操作装置を備え、複数のアプリケーションプログラムを実行可能な第一端末と、第二表示装置及び第二操作装置を備え、前記第一端末を遠隔操作可能な第二端末と、前記第一端末及び前記第二端末の双方と通信可能な中継サーバと、を備えたコンピュータシステムの遠隔操作プログラムプログラムの特徴構成は、前記第一端末における前記アプリケーションプログラムの実行状態を表す第一実行情報と、前記第一表示装置に表示された画像の情報である表示画像情報と、を取得する第一取得機能と、前記第一実行情報及び前記表示画像情報に基づいてマスク済表示画像情報を生成するマスク処理機能と、前記マスク済表示画像情報を前記第二表示装置に表示すると共に、当該マスク済表示画像情報が前記第二表示装置に表示された状態での前記第二操作装置が操作された内容を表す第二操作ログ情報を取得する第二取得機能と、前記第二操作ログ情報に基づいて前記第一端末の処理を実行する第一実行機能と、を前記コンピュータシステムに実現させ、前記表示画像情報に係る表示画像に含まれる、予め定められた特定アプリケーションプログラムのウィンドウ画像を特定ウィンドウ画像として、前記マスク処理機能では、前記第一実行情報に基づいて、前記表示画像中における前記特定ウィンドウ画像が占める領域である特定ウィンドウ領域の情報を取得し、前記特定ウィンドウ領域に元画像を隠すマスク処理を行って前記マスク済表示画像情報を生成し、前記第二端末からの遠隔操作の開始要求を受信した際に前記第一端末において前記特定アプリケーションプログラムを実行中であった場合、少なくとも第一処理手順と第二処理手順とを選択可能とする選択ダイアログを前記第一表示装置に表示する機能を、前記コンピュータシステムに更に実現させ、前記第一処理手順は、前記特定アプリケーションプログラムを終了した後に遠隔操作を許可する処理手順であり、前記第二処理手順は、前記特定アプリケーションプログラムの実行を継続すると共に、前記第二表示装置に前記マスク済表示画像情報を表示させた状態での遠隔操作を許可する処理手順である点にある。

上述した遠隔操作システムの種々の技術的特徴は、遠隔操作プログラムにも適用可能である。

遠隔操作システム及び遠隔操作プログラムのさらなる特徴と利点は、図面を参照して記述する以下の実施形態の説明によってより明確となる。

遠隔操作システムの概略図 第一の実施形態に係る第一端末のブロック図 第一の実施形態に係る第二端末のブロック図 第一の実施形態に係る中継サーバのブロック図 第二表示装置に表示される画像の一例を示す図 第一表示装置に表示される選択ダイアログの一例を示す図 第一表示装置に表示される情報提示画像の一例を示す図 第一表示装置に表示される警告画像の一例を示す図 第一の実施形態に係る遠隔操作開始判定処理の制御フロー図 第一の実施形態に係る遠隔操作用画像表示処理の制御フロー図 第一の実施形態に係る遠隔操作反映処理の制御フロー図 第二の実施形態に係る中継サーバのブロック図 第二の実施形態に係る遠隔操作反映処理の制御フロー図

１．第一の実施形態
１−１．遠隔操作システムのハードウェア構成
遠隔操作システムの第一の実施形態について、図面（図１〜図１１）を参照して説明する。なお、本明細書において、「装置」は、一体化された１つのハードウェアに限定されるものではなく、１つの「装置」が、互いに通信可能であって互いに分離した複数のハードウェアにより構成されても良い。例えば、後述するように、中継記憶装置８３は、複数の記憶部を備えるが（図４参照）、これら複数の記憶部が、複数のハードウェアに分かれて備えられても良い。また、後述するように、第一端末１、第二端末２、及び中継サーバ９のそれぞれは、複数の装置を備えるが（図２〜図４参照）、１つの端末或いは１つのサーバを構成する複数の装置は、共通のハードウェアに備えられても、互いに通信可能な複数のハードウェアに分かれて備えられても良い。後者の場合、当該複数のハードウェアが互いに離れた場所に設置される構成や、当該複数のハードウェアが使用時にのみ互いに通信可能に接続される構成等とすることもできる。例えば、第一記憶装置８１が、第一記憶装置８１の使用時にのみ第一処理装置１０と通信可能に接続される構成とすることができる。

図１に示すように、遠隔操作システム１００は、第一端末１と、第二端末２と、中継サーバ９と、を備えたシステム（コンピュータシステム）である。なお、第一端末１は、複数のアプリケーションプログラム（後述する特定アプリケーションプログラムを含む。）を実行可能な端末装置である。そして、遠隔操作システム１００は、第二端末２による第一端末１の遠隔操作（リモート制御）が可能に構成されている。すなわち、第二端末２は、第一端末１を遠隔操作可能な端末装置である。この遠隔操作の際には、第一端末１の画面（表示装置に表示される画像）が第二端末２に表示される。すなわち、第一端末１の画面がキャプチャされ、その情報が第二端末２に送信されて表示される。そして、第二端末２の操作者（遠隔操作システム１００の管理者等）は、第二端末２に表示された第一端末１の画面を確認することで第一端末１の操作状況を監視し、また、当該画面を見ながら第一端末１の遠隔操作を行う。すなわち、第一端末１は、第二端末２（管理端末）に管理される端末という点でクライアントとして機能する一方、第二端末２に対して画面情報を提供するという点でサーバとして機能する。なお、図１に示すように、第二端末２による第一端末１の遠隔操作の際に、予め定められた特定アプリケーションプログラムのウィンドウ画像９０である特定ウィンドウ画像９０ａが第一端末１の画面に含まれる場合には、当該特定ウィンドウ画像９０ａの内容が第二端末２に表示されない環境が、遠隔操作システム１００により実現されている。このような環境を実現するための遠隔操作システム１００の構成については、後の「１−２．遠隔操作システムの機能構成」の項で説明する。

本実施形態では、図１に示すように、遠隔操作システム１００は、第二端末２により遠隔操作可能な端末装置として、第一端末１以外に第三端末３を備えている。第三端末３は、第二端末２による遠隔操作の対象端末である点で第一端末１と共通するが、後述する特定アプリケーションプログラムが実行可能ではない点で、第一端末１とは異なる。なお、遠隔操作システム１００が第三端末３を備えない構成とすることもできる。

中継サーバ９は、第一端末１及び第二端末２の双方と通信可能なサーバ装置である。本実施形態では、中継サーバ９は、第三端末３とも通信可能である。具体的には、図１に示すように、第一端末１、第二端末２、第三端末３、及び中継サーバ９は、通信ネットワークＮを介して互いに接続されており、これら４つの装置は、直接或いは他の装置を介して互いに通信を行う。なお、通信ネットワークＮは、インターネット、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）等の通信技術を用いて構築される。例えば、通信ネットワークＮは、企業内や学校内等の限られた施設内で通信を行うためのネットワークとして構築される。この場合、通信ネットワークＮの一部を、インターネット等の外部ネットワークを用いて構築することもできる。なお、通信ネットワークＮの少なくとも一部が無線通信技術を用いて構築されても良い。また、図１では、１つの第一端末１、１つの第二端末２、３つの第三端末３、及び１つの中継サーバ９が通信ネットワークＮに接続された構成例を示しているが、これら４種類の装置の夫々の個数は、単数であっても複数であっても良く、適宜変更可能である。

第一端末１は、図２に示すように、第一表示装置４１と、第一操作装置５１と、第一遠隔操作制御部１１を含む第一処理装置１０と、を備えている。第一処理装置１０は、ＣＰＵ（Central Processing Unit）等の演算処理装置を中核部材として備えると共に、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等の当該演算処理装置が直接参照可能な記憶装置（以下、「主記憶装置」という。）を備えている。本実施形態では、第一端末１は、更に、第一通信装置６１、第一インターフェース７１、及び第一記憶装置８１を備えている。なお、図１では、第一端末１が、第一表示装置４１、第一操作装置５１、及び第一処理装置１０が一体化されたノート型パーソナルコンピュータである場合を例示している。第一処理装置１０は、第一インターフェース７１を介して、第一表示装置４１、第一操作装置５１、及び第一通信装置６１のそれぞれに接続されており、第一インターフェース７１を介して、第一処理装置１０と、第一表示装置４１、第一操作装置５１、及び第一通信装置６１との間で、情報のやりとりが行われる。また、第一処理装置１０は、第一記憶装置８１にバス等を介して接続されており、第一処理装置１０によって、第一記憶装置８１に対する情報の読み書きが行われる。なお、以下の説明において第一記憶装置８１に記憶されるとしている情報の少なくとも一部が、第一処理装置１０の主記憶装置に記憶される構成とすることもでき、この場合、第一端末１が第一記憶装置８１を備えない構成とすることもできる。

第二端末２は、図３に示すように、第二表示装置４２と、第二操作装置５２と、第二遠隔操作制御部２１を含む第二処理装置２０と、を備えている。第二処理装置２０は、ＣＰＵ等の演算処理装置を中核部材として備えると共に、ＲＡＭやＲＯＭ等の当該演算処理装置が直接参照可能な記憶装置（主記憶装置）を備えている。本実施形態では、第二端末２は、更に、第二通信装置６２、第二インターフェース７２、及び第二記憶装置８２を備えている。第二処理装置２０は、第二インターフェース７２を介して、第二表示装置４２、第二操作装置５２、及び第二通信装置６２のそれぞれに接続されており、第二インターフェース７２を介して、第二処理装置２０と、第二表示装置４２、第二操作装置５２、及び第二通信装置６２との間で、情報のやりとりが行われる。また、第二処理装置２０は、第二記憶装置８２にバス等を介して接続されており、第二処理装置２０によって、第二記憶装置８２に対する情報の読み書きが行われる。なお、以下の説明において第二記憶装置８２に記憶されるとしている情報の少なくとも一部が、第二処理装置２０の主記憶装置に記憶される構成とすることもでき、この場合、第二端末２が第二記憶装置８２を備えない構成とすることもできる。

中継サーバ９は、図４に示すように、マスク処理部３４を含む中継処理装置３０を備えている。中継処理装置３０は、ＣＰＵ等の演算処理装置を中核部材として備えると共に、ＲＡＭやＲＯＭ等の当該演算処理装置が直接参照可能な記憶装置（主記憶装置）を備えている。本実施形態では、中継サーバ９は、更に、中継通信装置６３、中継インターフェース７３、及び中継記憶装置８３を備えている。中継処理装置３０は、中継インターフェース７３を介して中継通信装置６３に接続されており、中継インターフェース７３を介して、中継処理装置３０と中継通信装置６３との間で情報のやりとりが行われる。また、中継処理装置３０は、中継記憶装置８３にバス等を介して接続されており、中継処理装置３０によって、中継記憶装置８３に対する情報の読み書きが行われる。なお、以下の説明において中継記憶装置８３に記憶されるとしている情報の少なくとも一部が、中継処理装置３０の主記憶装置に記憶される構成とすることもできる。

第一表示装置４１及び第二表示装置４２のそれぞれは、画像を表示する出力装置であり、液晶ディスプレイを例示することができる。第一操作装置５１及び第二操作装置５２のそれぞれは、端末の操作者（ユーザ）からの入力を受け付ける入力装置であり、キーボードやポインティングデバイス（マウス、タッチパッド等）を例示することができる。なお、表示装置と操作装置とが一体となった装置（例えば、表示画面がタッチパネルとして機能する液晶ディスプレイ等）を、第一表示装置４１及び第一操作装置５１として用い、或いは、第二表示装置４２及び第二操作装置５２として用いることもできる。第一記憶装置８１、第二記憶装置８２、及び中継記憶装置８３のそれぞれは、情報を記憶及び書き換え可能な記憶装置であり、ハードディスクを記憶媒体として備えた記憶装置や、フラッシュメモリを記憶媒体として備えた記憶装置を例示することができる。第一通信装置６１、第二通信装置６２、及び中継通信装置６３のそれぞれは、通信ネットワークＮを介して通信を行う通信装置であり、ＬＡＮ（Local Area Network）ケーブルを用いて通信ネットワークＮに接続される有線通信装置や、無線ＬＡＮを利用して通信ネットワークＮに接続される無線通信装置を例示することができる。

図２〜図４に示すように、第一処理装置１０、第二処理装置２０、及び中継処理装置３０のそれぞれは、複数の機能部を備えている。これら複数の機能部は、少なくとも論理的に区別されているものであり、物理的には必ずしも区別される必要はない。そして、第一処理装置１０の演算処理装置が、第一端末１の記憶装置（第一処理装置１０の主記憶装置又は第一記憶装置８１、以下同様。）に記憶された各プログラムを実行することで、第一処理装置１０が備える各機能部（図２参照）の機能が実現される。同様に、第二処理装置２０の演算処理装置が、第二端末２の記憶装置（第二処理装置２０の主記憶装置又は第二記憶装置８２、以下同様。）に記憶された各プログラムを実行することで、第二処理装置２０が備える各機能部（図３参照）の機能が実現される。また、中継処理装置３０の演算処理装置が、中継サーバ９の記憶装置（中継処理装置３０の主記憶装置又は中継記憶装置８３、以下同様。）に記憶された各プログラムを実行することで、中継処理装置３０が備える各機能部（図４参照）の機能が実現される。なお、第一処理装置１０の各機能部、第二処理装置２０の各機能部、及び中継処理装置３０の各機能部は、記憶装置に記憶されたソフトウェア（プログラム）又は別途設けられた演算回路等のハードウェア、或いはそれらの両方により構成される。すなわち、各機能部の機能を演算処理装置（コンピュータ）に実現させるためのプログラムは、当該演算処理装置が参照可能な記憶装置に記憶される。また、第一処理装置１０の各機能部、第二処理装置２０の各機能部、及び中継処理装置３０の各機能部は、互いに情報の受け渡しを行うことができるように構成されていると共に、第一端末１の記憶装置、第二端末２の記憶装置、又は中継サーバ９の記憶装置からデータを抽出可能に構成されている。

なお、図２〜図４には、第一処理装置１０、第二処理装置２０、及び中継処理装置３０に備えられる複数の機能部のうち、本実施形態に係る遠隔操作システム１００に特徴的な機能部のみを示している。例えば、第一処理装置１０は、特定アプリケーションプログラム等のアプリケーションプログラムを実行するアプリケーション実行部や、実行中のアプリケーションプログラムに応じたグラフィカルユーザインターフェース（ＧＵＩ：Graphical User Interface）を第一表示装置４１に表示させる表示制御部等を備えるが、煩雑になることを避けるため、図２ではこれらの機能部の図示を省略している。また、図２〜図４に示す、遠隔操作システム１００が備える各機能部の第一端末１（第一処理装置１０）、第二端末２（第二処理装置２０）、及び中継サーバ９（中継処理装置３０）への割り当ては、単なる一例であり、各機能部の割り当ては適宜変更可能である。例えば、後述する第二の実施形態のように、本実施形態では第一処理装置１０に備えられる一部の機能部（具体的には操作制限処理部１５）が、中継処理装置３０に備えられる構成（図１２参照）とすることができる。

１−２．遠隔操作システムの機能構成
上述したように、遠隔操作システム１００は、第二端末２による第一端末１の遠隔操作（以下、単に「遠隔操作」という。）の際に、予め定められた特定アプリケーションプログラムのウィンドウ画像９０である特定ウィンドウ画像９０ａが第一端末１の画面に含まれる場合には、当該特定ウィンドウ画像９０ａの内容が第二端末２に表示されない環境を実現している。なお、第一端末１は、複数のアプリケーションプログラムを実行可能であり、これら複数のアプリケーションプログラムに含まれる１つ以上のアプリケーションプログラムが、特定アプリケーションプログラムに設定される。

本実施形態では、特定アプリケーションプログラムは、システム管理者等の第二端末２の操作権限を持つ者（すなわち、第一端末１を遠隔操作する権限を持つ者）であっても、特定ウィンドウ画像９０ａの内容を知ることが、規定上或いは社会通念上、禁止されるアプリケーションプログラムに設定される。この規定は、例えば、法律による規定、社内規定、契約による規定等とされる。特定アプリケーションプログラムとして、マイナンバー（登録商標）等の個人毎に割り当てられる番号（個人番号）を取り扱うアプリケーションプログラム、個人情報やパスワード情報等、プライバシの保護或いはセキュリティの確保の観点から第三者に対する漏洩を保護すべき情報を取り扱うアプリケーションプログラムを例示することができる。本実施形態では、第一端末１、第二端末２、及び第三端末３（図１参照）のうちの第一端末１のみが、特定アプリケーションプログラムを実行可能な端末装置に設定されている。例えば、特定アプリケーションプログラムが個人番号を取り扱うアプリケーションプログラムに設定される場合、会社内の予め定められた取扱担当者のみに第一端末１の操作権限（言い換えれば、特定アプリケーションプログラムの実行権限）が付与される。

本実施形態では、図４に示すように、中継サーバ９に備えられる中継記憶装置８３は、特定アプリケーションプログラムの情報を記憶する特定アプリケーション情報記憶部８４と、通信ネットワークＮに接続されている端末装置の情報を記憶する端末情報記憶部８５と、ログ修正方針情報を記憶するログ修正方針情報記憶部８６とを備えている。これらの記憶部は、中継記憶装置８３が備える記憶媒体を用いて実現される。特定アプリケーション情報記憶部８４に記憶される特定アプリケーションプログラムの情報は、第一端末１で実行されているアプリケーションプログラムが特定アプリケーションプログラムであるか否かを判別するための情報である。例えば、特定アプリケーションプログラムのアプリケーション名、実行ファイル名、及びハッシュ値のうちの一部又は全ての情報が、特定アプリケーション情報記憶部８４に記憶される。

端末情報記憶部８５に記憶される端末装置の情報は、通信ネットワークＮに接続されている複数の端末装置を識別する（一意に特定する）ための端末識別情報である。図１に示すように、本実施形態では、第一端末１、第二端末２、及び第三端末３が、通信ネットワークＮに接続されている。例えば、端末識別情報として、端末ＩＤ、ＩＰアドレス、ＭＡＣアドレスのうちの一部又は全ての情報が、端末情報記憶部８５に記憶される。なお、端末情報記憶部８５に、端末識別情報に加えて、第一端末１であるか否か（すなわち、特定アプリケーションプログラムが実行可能な端末装置であるか否か）を示す情報や、第二端末２（管理端末）であるか否か（すなわち、第一端末１や第三端末３を遠隔操作可能な端末装置であるか否か）を示す情報が、各端末装置に関連付けて記憶される構成とすることもできる。

ログ修正方針情報記憶部８６に記憶されるログ修正方針情報は、特定アプリケーションプログラムに対する操作を行う操作ログ（以下、「特定操作ログ」という。）を修正する方針を規定する情報である。ここで、「特定アプリケーションプログラムに対する操作」とは、特定アプリケーションプログラムの実行権限を持つ者以外への特定アプリケーションプログラムが扱う情報の漏洩を防止するために、第一端末１において実行されることを禁止すべき第二端末２による遠隔操作である。例えば、特定アプリケーションプログラムのウィンドウを第二操作装置５２により選択する操作、第一表示装置４１の画面を保存する操作（スクリーンショットを取得する操作）のように特定ウィンドウ画像９０ａの内容を含むデータを生成する操作、第一表示装置４１の画面を印刷する操作のように特定ウィンドウ画像９０ａの内容を含む情報を印刷する操作、特定ウィンドウ画像９０ａに表示された情報をコピーする操作、特定アプリケーションプログラムを起動させる操作等が、特定アプリケーションプログラムに対する操作とされる。そして、ログ修正方針情報は、例えば、特定操作ログを無効にするという方針を規定する情報とされ、或いは、特定操作ログを別の操作ログに変換するという方針を規定する情報とされる。「別の操作ログ」は、特定アプリケーションプログラムに対する操作以外の操作である。例えば、予め定められた特定の操作、特定アプリケーションプログラム以外のアプリケーションプログラムに対する操作、特定アプリケーションプログラムのウィンドウの外部における操作、特定アプリケーションプログラムに対する操作がなされたことを第一端末１の操作者に通知するための画像や文字等を、第一表示装置４１に表示させる操作等、を行う操作ログを、上記別の操作ログとすることができる。別の操作ログを、上記の最後に例示したような操作ログとした場合、第二端末２の操作者の意図的或いは偶発的な不正行為に対する、第一端末１の操作者の気付きを促すことができるという効果が期待できる。なお、ログ修正方針情報として、特定操作ログの内容（言い換えれば、特定アプリケーションプログラムに対する操作の内容）に対応付けて修正方針が個別に規定された情報がログ修正方針情報記憶部８６に記憶される構成とすることもできる。この場合、特定操作ログの内容に応じて異なる修正方針を規定することができる。

なお、遠隔操作のための各機能を、第一端末１、第二端末２、及び中継サーバ９を備えるコンピュータシステムに実現させるための遠隔操作プログラムは、記憶媒体により提供され、或いは、通信ネットワークＮ等のネットワークを介して提供される。そして、提供された遠隔操作プログラムは、コンピュータシステムに備えられる記憶装置に格納される。なお、この遠隔操作プログラムは、第一端末１のコンピュータ（演算処理装置）に第一処理装置１０の各機能を実現させるための第一端末用プログラム、第二端末２のコンピュータ（演算処理装置）に第二処理装置２０の各機能を実現させるための第二端末用プログラム、及び、中継サーバ９のコンピュータ（演算処理装置）に中継処理装置３０の各機能を実現させるための中継サーバ用プログラムの集合である。そして、第一端末１の記憶装置に第一端末用プログラムが格納され、第二端末２の記憶装置に第二端末用プログラムが格納され、中継サーバ９の記憶装置に中継サーバ用プログラムが格納される。なお、各プログラムは、少なくとも遠隔操作の実行時に上記のように各記憶装置に記憶されていれば良い。例えば、第一端末用プログラムが、遠隔操作を実行する際に中継サーバ９から第一端末１に供給されて第一端末１の記憶装置に一時的に記憶される構成とすることができる。

遠隔操作システム１００は、遠隔操作開始判定処理、遠隔操作用画像表示処理、及び遠隔操作反映処理を実行する。ここで、遠隔操作開始判定処理は、遠隔操作を開始するか否かを判定する処理である。遠隔操作システム１００は、遠隔操作を開始すると判定すると、遠隔操作を終了すると判定するまでの間、第一表示装置４１に表示された画像に基づき生成された遠隔操作用の画像を第二表示装置４２に表示させる遠隔操作用画像表示処理を実行する。そして、遠隔操作システム１００は、遠隔操作を開始してから終了するまでの間に第二端末２において遠隔操作のための操作入力があった場合に、当該操作入力に応じた処理を第一端末１に実行させる遠隔操作反映処理を実行する。以下、遠隔操作システム１００の機能構成（ソフトウェア構成）について、これらの遠隔操作開始判定処理、遠隔操作用画像表示処理、及び遠隔操作反映処理の手順と共に説明する。

１−２−１．遠隔操作開始判定処理
本実施形態では、遠隔操作システム１００は、図９に示す手順に沿って、遠隔操作開始判定処理を実行する。なお、本実施形態では、図９における各判定ステップは、第一処理装置１０の第一遠隔操作制御部１１により実行される。第一遠隔操作制御部１１は、第二端末２（第二処理装置２０）からの遠隔操作の開始要求を直接或いは中継サーバ９を介して受信すると（ステップ＃０１：Ｙｅｓ）、第一端末１（第一処理装置１０）が特定アプリケーションプログラムを実行中であるか否かの判定を行う（ステップ＃０２）。遠隔操作の開始要求は、第二端末２において遠隔操作を開始するための操作（例えば、第二表示装置４２の画面における遠隔操作を開始するためのアイコンのクリックやコマンド入力等）がなされた場合に、第二処理装置２０から送信される。なお、本実施形態では、中継記憶装置８３の特定アプリケーション情報記憶部８４で管理されている特定アプリケーションプログラムの情報が、予め中継サーバ９から第一端末１に配信されて第一記憶装置８１に記憶されている。第一遠隔操作制御部１１は、第一端末１において現在実行しているアプリケーションプログラムの情報と、第一記憶装置８１に記憶されている特定アプリケーションプログラムの情報とに基づき、第一端末１が特定アプリケーションプログラムを実行中であるか否かを判定する。

そして、第一遠隔操作制御部１１は、第一端末１が特定アプリケーションプログラムの実行中ではない場合には（ステップ＃０２：Ｎｏ）、遠隔操作を開始することを決定し（ステップ＃０６）、遠隔操作開始判定処理が終了される。その後、遠隔操作の終了が決定されるまでの間、遠隔操作用画像表示処理（図１０）及び遠隔操作反映処理（図１１）が繰り返し実行される。例えば、第二端末２において遠隔操作を終了するための操作がなされた場合、第二端末２において遠隔操作のための操作入力がなされない状態が予め定められた期間以上継続した場合、第一端末１において遠隔操作を終了するための操作がなされた場合等に、遠隔操作の終了が決定される。

一方、第一遠隔操作制御部１１は、第一端末１が特定アプリケーションプログラムの実行中である場合には（ステップ＃０２：Ｙｅｓ）、選択ダイアログ９４を第一表示装置４１に表示させる（ステップ＃０３）。選択ダイアログ９４は、第一端末１の操作者に、第二処理装置２０からの遠隔操作の開始要求に対する応答の選択肢を提示するためのものである。本実施形態では、図６に例示するように、３つの選択肢を第一端末１の操作者に提示する選択ダイアログ９４が第一表示装置４１に表示される。具体的には、第二処理手順を選択する選択肢（図６に示す例では、「許可（実行を継続）」のスイッチ（ボタン）で示される選択肢）、第一処理手順を選択する選択肢（図６に示す例では、「許可」のスイッチで示される選択肢）、及び遠隔操作の拒否を選択する選択肢（図６に示す例では、「拒否」のスイッチで示される選択肢）の３つの選択肢が、選択ダイアログ９４によって表示される。そして、第一遠隔操作制御部１１は、第一端末１の操作者によって遠隔操作の拒否が選択された場合には（ステップ＃０４：Ｙｅｓ）、遠隔操作を開始することなく遠隔操作開始判定処理を終了させる。一方、第一遠隔操作制御部１１は、第一端末１の操作者によって第二処理手順が選択された場合には（ステップ＃０４：Ｎｏ、ステップ＃０５：Ｙｅｓ）、遠隔操作を開始することを決定し（ステップ＃０６）、遠隔操作開始判定処理が終了される。なお、第二処理手順は、第一端末１における特定アプリケーションプログラムの実行を継続すると共に、第二表示装置４２にマスク済表示画像情報（図１に示すような画像、詳細は後述する。）を表示させた状態での第二端末２による遠隔操作を許可する処理手順である。本実施形態では、第一遠隔操作制御部１１は、第二処理手順による遠隔操作を開始する時点や、第二処理手順による遠隔操作の実行中等に、図７に例示するような情報提示画像９５を第一表示装置４１に表示させる。情報提示画像９５の内容は、特定ウィンドウ画像９０ａの内容が第二表示装置４２に表示されていないことを第一端末１の操作者に認識させる内容とされる。

また、第一遠隔操作制御部１１は、第一端末１の操作者によって第一処理手順が選択された場合には（ステップ＃０４：Ｎｏ、ステップ＃０５：Ｎｏ、ステップ＃０７：Ｙｅｓ）、第一端末１において実行されていた全ての特定アプリケーションプログラムが終了しているか否かの判定を行う（ステップ＃０８）。なお、第一処理手順は、特定アプリケーションプログラムを終了した後に遠隔操作を許可する処理手順である。そのため、第一端末１の操作者によって第一処理手順が選択された場合には、全ての特定アプリケーションプログラムが終了しているか否かの判定が行われる。そして、第一遠隔操作制御部１１は、全ての特定アプリケーションプログラムが終了している場合には（ステップ＃０８：Ｙｅｓ）、遠隔操作を開始することを決定し（ステップ＃０６）、遠隔操作開始判定処理が終了される。一方、第一遠隔操作制御部１１は、実行中の特定アプリケーションプログラムが存在する場合には（ステップ＃０８：Ｎｏ）、警告情報を第一表示装置４１に表示し（ステップ＃０９）、その後、選択ダイアログ９４に対する再度の選択操作を待つ。警告情報の表示（ステップ＃０９）は、例えば図８に示すように、全ての特定アプリケーションプログラムの終了を第一端末１の操作者に促す内容の画像を、第一表示装置４１に表示させる処理とされる。なお、第一遠隔操作制御部１１が、警告情報を表示した後（ステップ＃０９）、選択ダイアログ９４に対する再度の選択操作を待つのではなく、全ての特定アプリケーションが終了されるまで待機し（ステップ＃０８）、全ての特定アプリケーションプログラムが終了した時点で（ステップ＃０８：Ｙｅｓ）、遠隔操作を開始することを決定する（ステップ＃０６）構成とすることもできる。或いは、第一端末１の操作者によって第一処理手順が選択された場合であって実行中の特定アプリケーションプログラムが存在する場合には（ステップ＃０８：Ｎｏ）、全ての特定アプリケーションプログラムを強制的に終了して、終了後に遠隔操作を開始する構成とすることもできる。

上記のように、本実施形態では、第一遠隔操作制御部１１が、第二処理装置２０からの遠隔操作の開始要求を受信した際に第一端末１において特定アプリケーションプログラムを実行中であった場合、少なくとも第一処理手順と第二処理手順とを選択可能とする選択ダイアログ９４を第一表示装置４１に表示するように構成されている（ステップ＃０３）。また、本実施形態では、第一処理手順では、第一操作装置５１からの操作入力により特定アプリケーションプログラムが終了していることが、遠隔操作を許可する条件とされる（ステップ＃０８）。そして、第一遠隔操作制御部１１は、遠隔操作を許可する操作入力を第一操作装置５１から受け付けた際に特定アプリケーションプログラムが終了していなかった場合には、特定アプリケーションプログラムを終了させることを促す警告表示を、第一表示装置４１に表示させるように構成されている（ステップ＃０９）。これにより、第一端末１の操作者に対して遠隔操作が開始されることを知らせ、その時の状況に応じた適切な処理を第一端末１の操作者に選択させることができる。

なお、本実施形態では、選択ダイアログ９４の表示処理、情報提示画像９５の表示処理、及び警告画像９６の表示処理は、第一遠隔操作制御部１１が備える情報表示部１７（図２参照）によって実行される。また、ここでは、図９における各判定ステップが第一処理装置１０（第一遠隔操作制御部１１）により実行される場合を例として説明したが、図９における一部又は全ての判定ステップが、中継処理装置３０により実行される構成とすることもできる。

１−２−２．遠隔操作用画像表示処理
本実施形態では、遠隔操作システム１００は、図１０に示す手順に沿って、遠隔操作用画像表示処理を実行する。なお、本実施形態では、この遠隔操作用画像表示処理は、主に、第一処理装置１０（第一遠隔操作制御部１１）が備える第一実行情報取得部１２及び表示画像情報取得部１３（図２参照）と、第二処理装置２０（第二遠隔操作制御部２１）が備える遠隔操作用画像情報取得部２２及び遠隔操作用画像表示部２３（図３参照）と、中継処理装置３０が備える第一実行情報取得部３１、表示画像情報取得部３２、遠隔操作用画像生成部３３、及び遠隔操作用画像情報送信部３５（図４参照）とによって実行される。

図１０に示すように、遠隔操作用画像表示処理は、第一端末１において実行される処理（ステップ＃１０，＃１１）と、中継サーバ９において実行される処理（ステップ＃１２〜＃１６）と、第二端末２において実行される処理（ステップ＃１７，＃１８）とが、記載の順に実行される処理である。まず、第一遠隔操作制御部１１は、第一実行情報及び表示画像情報を取得したか否かの判定を行う（ステップ＃１０）。そして、第一遠隔操作制御部１１は、第一実行情報及び表示画像情報を取得した場合には（ステップ＃１０：Ｙｅｓ）、第一実行情報及び表示画像情報を中継サーバ９（中継処理装置３０）に送信する（ステップ＃１１）。ここで、第一実行情報は、第一端末１におけるアプリケーションプログラムの実行状態を表す情報であり、表示画像情報は、第一表示装置４１に表示された画像の情報である。なお、第一実行情報の取得及び表示画像情報の取得は、定期的に或いは不定期的に設定されるタイミング毎に、繰り返し実行される。そして、同時に或いは同時期に取得された第一実行情報と表示画像情報とが互いに関連付けられて、中継サーバ９に送信される。本実施形態では、第一実行情報及び表示画像情報は、第一端末１の端末識別情報と関連付けられて中継サーバ９に送信される。

本実施形態では、図２に示すように、第一遠隔操作制御部１１は、第一実行情報を取得する機能部である第一実行情報取得部１２と、表示画像情報を取得する機能部である表示画像情報取得部１３とを備えている。表示画像情報取得部１３は、例えばＶＲＡＭ（Video RAM）等の、第一表示装置４１に表示される画像情報を記憶する記憶装置から、第一表示装置４１に表示されている画像の情報（表示画像情報）を読み取る（言い換えれば、キャプチャする）。本実施形態では、第一遠隔操作制御部１１（第一実行情報取得部１２及び表示画像情報取得部１３）により「第一取得機能」が実現される。

本実施形態では、第一実行情報取得部１２により取得される第一実行情報は、特定ウィンドウ画像９０ａの座標情報（表示画像情報に係る表示画像上の座標情報）を含む情報である。なお、特定ウィンドウ画像９０ａは、表示画像情報に係る表示画像（第一表示装置４１に表示されている画像）に含まれる、特定アプリケーションプログラムのウィンドウ画像９０である。上述したように、本実施形態では、特定アプリケーションプログラムの情報が第一記憶装置８１に記憶されている。そして、第一実行情報取得部１２は、第一記憶装置８１に記憶されている特定アプリケーションプログラムの情報を参照し、第一端末１において特定アプリケーションプログラムが実行中である場合には、特定ウィンドウ画像９０ａの第一表示装置４１の画面上での座標情報をアプリケーション実行部等から取得する。なお、座標情報は、例えば、第一表示装置４１の画面における左上隅を原点とした場合の、特定ウィンドウ画像９０ａの対角（或いは４隅）の座標を直接的に或いは間接的に表す情報とされる。

中継処理装置３０は、第一遠隔操作制御部１１から送信された第一実行情報及び表示画像情報を取得する（ステップ＃１２）。本実施形態では、図４に示すように、中継処理装置３０は、第一実行情報を取得する機能部である第一実行情報取得部３１と、表示画像情報を取得する機能部である表示画像情報取得部３２とを備えている。そして、第一実行情報取得部３１が取得した第一実行情報と、表示画像情報取得部３２が取得した表示画像情報は、遠隔操作用画像生成部３３に出力される。そして、遠隔操作用画像生成部３３は、表示画像情報取得部３２が取得した表示画像情報に係る表示画像に対して、マスク処理が必要か否かの判定を行う（ステップ＃１３）。遠隔操作用画像生成部３３は、第一実行情報取得部３１が取得した第一実行情報に特定ウィンドウ画像９０ａの座標情報が含まれている場合にはマスク処理が必要と判定し、第一実行情報取得部３１が取得した第一実行情報に特定ウィンドウ画像９０ａの座標情報が含まれていない場合にはマスク処理が不要と判定する。そして、遠隔操作用画像生成部３３は、マスク処理が必要と判定した場合には（ステップ＃１３：Ｙｅｓ）、マスク済表示画像を遠隔操作用画像として生成し（ステップ＃１４）、マスク処理が不要と判定した場合には（ステップ＃１３：Ｎｏ）、非マスク表示画像を遠隔操作用画像として生成する（ステップ＃１５）。なお、非マスク表示画像の内容は、表示画像情報に係る表示画像の内容と基本的に同一とされるが、表示画像情報に係る表示画像に対して解像度、データ圧縮量、画像領域等を変更したものを遠隔操作用画像として生成しても良い。マスク済表示画像を生成する場合も同様に、解像度、データ圧縮量、画像領域等を変更しても良い。そして、遠隔操作用画像情報送信部３５が遠隔操作用画像生成部３３により生成された遠隔操作用画像の情報である遠隔操作用画像情報を、第二端末２（第二処理装置２０）に送信する。マスク済表示画像が遠隔操作用画像として生成された場合の遠隔操作用画像情報が、マスク済表示画像情報となる。本実施形態では、遠隔操作用画像情報は、第一実行情報及び表示画像情報の送信元の第一端末１の端末識別情報に関連付けられて、第二端末２に送信される。この際、端末情報記憶部８５に記憶された端末識別情報が遠隔操作用画像情報送信部３５により適宜参照される。

マスク済表示画像は、遠隔操作用画像生成部３３が備えるマスク処理部３４によって生成される。具体的には、マスク処理部３４は、第一実行情報に基づいて、表示画像情報に係る表示画像中における特定ウィンドウ画像９０ａが占める領域である特定ウィンドウ領域の情報を取得し、特定ウィンドウ領域に元画像を隠すマスク処理を行ってマスク済表示画像情報を生成する。本実施形態では、図１に示すように、マスク処理部３４は、特定ウィンドウ領域内の元画像を、別の画像である代替画像９１に置き換えることによりマスク処理を行う。図１に示す例では、代替画像９１は、全画素が黒である画像である。すなわち、図１に示す例では、代替画像９１として、第二端末２の操作者にマスク処理が行われていることを積極的に認識させる画像を用いている。また、図１に示す例では、マスク処理部３４は、特定ウィンドウ領域内の全域において元画像を隠すマスク処理を行っている。すなわち、代替画像９１として、特定ウィンドウ領域と同じ大きさ（画面上の寸法）の画像を用いている。これにより、特定ウィンドウ画像９０ａにおけるクライアント領域だけでなく、特定ウィンドウ画像９０ａにおけるタイトルバー等の非クライアント領域にも、マスク処理が行われる。なお、代替画像９１として、第二端末２の操作者にマスク処理が行われていることを認識させ難い画像を用いることも可能である。例えば、マスク処理部３４が、特定ウィンドウ画像９０ａの下に隠れている画像（背景画像等）の情報を、過去の表示画像情報に基づき或いは第一端末１から送信される情報に基づき取得し、代替画像９１として、特定ウィンドウ画像９０ａの下に隠れている画像を用いる構成とすることもできる。

なお、本実施形態では、表示画像情報に、第一端末１で実行中の複数のアプリケーションプログラムのそれぞれのプレビューウィンドウ９３を規則的に配列して表示するプレビュー画像９２が含まれる場合、マスク処理部３４は、表示画像情報に係る表示画像中におけるプレビュー画像９２が占める領域又は特定アプリケーションプログラムのプレビューウィンドウ９３の画像が占める領域に、当該領域内の元画像を隠すマスク処理を行ってマスク済表示画像情報を生成するように構成されている。図５は、マスク処理部３４が、表示画像情報に係る表示画像中における特定アプリケーションプログラムのプレビューウィンドウ９３である特定プレビューウィンドウ９３ａの画像が占める領域にマスク処理を行い、当該領域内の画像を代替画像９１に置き換える場合の例を示している。このような構成とすることで、第二端末２の操作者が特定プレビューウィンドウ９３ａの内容を知得することを防止して、特定アプリケーションプログラムで取り扱う情報が第二端末２の操作者に取得されることをより確実に防止することができる。以上のように、マスク処理部３４は、第一実行情報及び表示画像情報に基づいてマスク済表示画像情報を生成する機能部である。そして、本実施形態では、マスク処理部３４により「マスク処理機能」が実現される。

第二遠隔操作制御部２１は、中継処理装置３０（遠隔操作用画像情報送信部３５）から送信された遠隔操作用画像情報を取得する（ステップ＃１７）。上述したように、マスク済表示画像が遠隔操作用画像として生成された場合には、遠隔操作用画像情報はマスク済表示画像情報である。そして、第二遠隔操作制御部２１は、取得した遠隔操作用画像情報を第二表示装置４２に表示させる。なお、本実施形態では、図３に示すように、第二遠隔操作制御部２１は、遠隔操作用画像情報を取得する機能部である遠隔操作用画像情報取得部２２と、遠隔操作用画像情報取得部２２から出力された遠隔操作用画像情報を第二表示装置４２に表示させる遠隔操作用画像表示部２３とを備えている。以上のように遠隔操作用画像表示処理を実行することで、第一遠隔操作制御部１１が第一実行情報及び表示画像情報を取得する度に、これらの第一実行情報及び表示画像情報に基づき生成された遠隔操作用画像情報が第二表示装置４２に表示される。なお、図１では、遠隔操作用画像を第二表示装置４２の表示画面の全域に表示させる場合を例示しているが、遠隔操作用画像を第二表示装置４２の表示画面の一部の領域に表示させても良い。

１−２−３．遠隔操作反映処理
本実施形態では、遠隔操作システム１００は、図１１に示す手順に沿って、遠隔操作反映処理を実行する。なお、本実施形態では、この遠隔操作反映処理は、主に、第一処理装置１０（第一遠隔操作制御部１１）が備える遠隔操作情報取得部１４、操作制限処理部１５、及び遠隔操作実行部１６と、第二処理装置２０（第二遠隔操作制御部２１）が備える第二操作情報取得部２４、第二操作ログ情報生成部２５、及び第二操作ログ情報送信部２６と、中継処理装置３０が備える第二操作ログ情報取得部３６及び遠隔操作情報送信部３７とによって実行される。

図１１に示すように、遠隔操作反映処理は、第二端末２において実行される処理（ステップ＃２０〜＃２２）と、中継サーバ９において実行される処理（ステップ＃２３〜＃２５）と、第一端末１において実行される処理（ステップ＃２６〜＃２８）とが、記載の順に実行される処理である。まず、第二遠隔操作制御部２１は、遠隔操作用画像情報が第二表示装置４２に表示された状態（マスク済表示画像情報が第二表示装置に表示された状態を含む。）での第二操作装置５２が操作された内容を表す第二操作ログ情報を取得する。本実施形態では、図３に示すように、第二遠隔操作制御部２１は、第二操作情報を取得する機能部である第二操作情報取得部２４、第二操作ログ情報を生成する機能部である第二操作ログ情報生成部２５、及び第二操作ログ情報を中継サーバ９に送信する機能部である第二操作ログ情報送信部２６を備えている。第二操作情報取得部２４は、第二端末２の操作者が第二操作装置５２に対する遠隔操作のための操作入力を行った場合に（ステップ＃２０：Ｙｅｓ）、その操作内容を第二操作情報として取得して第二操作ログ情報生成部２５に出力する。なお、第二操作情報は、例えば、ファイルのコピー操作、ファイルの選択操作、ウィンドウのサイズ変更操作、ウィンドウのスクロール操作、アプリケーションプログラムの起動操作、アプリケーションプログラムの終了操作等の情報である。そして、第二操作ログ情報生成部２５は、第二操作情報取得部２４から取得した第二操作情報に基づき第二操作ログ情報を生成する（ステップ＃２１）。第二操作ログ情報生成部２５は、例えば、第二操作情報を、日時、遠隔操作の対象となる第一端末１の端末識別情報、遠隔操作の対象となるアプリケーションプログラム名等に関連付けて、第二操作ログ情報を生成する。なお、この際に必要となる端末識別情報等が第二記憶装置８２に記憶され、第二操作ログ情報生成部２５が第二記憶装置８２を参照して第二操作ログ情報を生成する構成とすることができる。第二操作情報に関連付けられて第二操作ログ情報に含められる情報として、遠隔操作のための操作入力が行われた時点で第二表示装置４２に表示されていた遠隔操作用画像情報を特定する情報を含めても良い。そして、第二操作ログ情報送信部２６は、第二操作ログ情報生成部２５が生成した第二操作ログ情報を、中継サーバ９（中継処理装置３０）に送信する（ステップ＃２２）。なお、第二操作装置５２に対する遠隔操作のための操作入力がなされる度に第二操作ログ情報を生成して中継サーバ９に送信する構成とし、或いは、第二操作装置５２に対する遠隔操作のための一連の操作入力（予め定められた期間内になされた操作入力）の情報を含む第二操作ログ情報を生成して中継サーバ９に送信する構成とすることができる。本実施形態では、第二遠隔操作制御部２１により「第二取得機能」が実現される。

中継処理装置３０は、第二処理装置２０（第二操作ログ情報送信部２６）から送信された第二操作ログ情報を取得すると（ステップ＃２３）、ログ修正方針情報記憶部８６に記憶されたログ修正方針情報（例えば、最新のログ修正方針情報）を取得する（ステップ＃２４）。そして、中継処理装置３０は、遠隔操作情報としての第二操作ログ情報及びログ修正方針情報を、第一端末１（第一処理装置１０）に送信する。本実施形態では、図４に示すように、中継処理装置３０は、第二端末２から送信された第二操作ログ情報を取得する機能部である第二操作ログ情報取得部３６と、第二操作ログ情報取得部３６が取得した第二操作ログ情報とログ修正方針情報記憶部８６に記憶されたログ修正方針情報とを第一処理装置１０に送信する機能部である遠隔操作情報送信部３７とを備えている。なお、ログ修正方針が端末装置毎に規定され、ログ修正方針情報が端末識別情報に関連付けられてログ修正方針情報記憶部８６に記憶されている場合、ステップ＃２４の処理では、遠隔操作の対象となる第一端末１に対応するログ修正方針情報が取得される。

第一遠隔操作制御部１１は、中継処理装置３０（遠隔操作情報送信部３７）から送信された遠隔操作情報（本実施形態では、第二操作ログ情報及びログ修正方針情報）を取得する（ステップ＃２６）。そして、第一遠隔操作制御部１１は、第二操作ログ情報及びログ修正方針情報に基づき処理済第二操作ログ情報を生成し（ステップ＃２７）、生成した処理済第二操作ログ情報に基づき第一端末１の処理を実行する（ステップ＃２８）。本実施形態では、図２に示すように、第一遠隔操作制御部１１は、遠隔操作情報を取得する機能部である遠隔操作情報取得部１４と、第二操作ログ情報に基づいて処理済第二操作ログ情報を生成する機能部である操作制限処理部１５と、第二操作ログ情報に基づいて（本実施形態では、処理済第二操作ログ情報に従って）第一端末１の処理を実行する遠隔操作実行部１６とを備えている。上述したように、ログ修正方針情報は、特定アプリケーションプログラムに対する操作を行う操作ログ（特定操作ログ）を修正する方針を規定する情報である。操作ログが特定操作ログであるか否かの判定は、例えば、当該操作ログに係る操作が実行された座標の情報と、特定ウィンドウ画像９０ａの表示範囲（座標範囲）とに基づき判定することができる。すなわち、操作が実行された座標が特定ウィンドウ画像９０ａの表示範囲に含まれている場合に、当該操作に係る操作ログが特定操作ログであると判定することができる。遠隔操作情報取得部１４が取得した第二操作ログ情報に、特定操作ログが含まれていない場合には、操作制限処理部１５は、遠隔操作情報取得部１４が取得した第二操作ログ情報をそのまま処理済第二操作ログ情報として遠隔操作実行部１６に出力する。一方、遠隔操作情報取得部１４が取得した第二操作ログ情報に、特定操作ログが含まれている場合には、操作制限処理部１５は、遠隔操作情報取得部１４が取得したログ修正方針情報に基づき、当該特定操作ログを無効にし、又は当該特定操作ログを別の操作ログに変換して、処理済第二操作ログ情報を生成する。この場合、遠隔操作情報取得部１４が取得した第二操作ログ情報に含まれる特定操作ログ以外の操作ログは、そのまま処理済第二操作ログ情報に含められる。なお、特定操作ログを無効にした場合、又は特定操作ログを別の操作ログに変換した場合、例えば、無効に或いは別の操作に変換されるような操作を行ったことを第二端末２の操作者に通知するための画像を、第二表示装置４２に表示させても良い。

また、操作ログに含まれるアプリケーションプログラムの情報（すなわち、どのアプリケーションプログラムに対する操作であるかを示す情報）に基づき、特定アプリケーションプログラムに対する操作であることを示す情報が操作ログに含まれる場合に、当該操作ログが特定操作ログであると判定する構成とすることもできる。例えば、操作ログに含まれるアプリケーション名（実行ファイル名或いはハッシュ値等でも良い。）が、特定アプリケーションプログラムのアプリケーション名と一致する場合に、当該操作ログが特定操作ログであると判定する構成とすることができる。また、操作ログに係る操作内容に基づき、特定の操作を実行する内容が操作ログに含まれる場合に、当該操作ログが特定操作ログであると判定する構成とすることもできる。例えば、操作ログに係る操作内容が、スクリーンショットを取得する操作や第一表示装置４１の画面を印刷する操作等である場合に、当該操作ログが特定操作ログであると判定する構成とすることができる。

以上のように遠隔操作反映処理を実行することで、第二操作ログ情報が生成される度に、当該第二操作ログ情報に基づく処理が第一端末１において実行される。そして、この処理の結果が反映された第一表示装置４１の表示画像情報に応じた遠隔操作用画像情報が、次に実行される遠隔操作用画像表示処理によって第二表示装置４２に表示される。以上のように、本実施形態では、操作制限処理部１５は第一処理装置１０に含まれる。また、本実施形態では、第一遠隔操作制御部１１（操作制限処理部１５）により、第二操作ログ情報に基づいて処理済第二操作ログ情報を生成する「操作制限処理機能」が実現され、第一遠隔操作制御部１１（遠隔操作実行部１６）により「第一実行機能」が実現される。

２．第二の実施形態
遠隔操作システムの第二の実施形態について、図１２及び図１３を参照して説明する。本実施形態では、第一遠隔操作制御部１１（第一実行情報取得部１２）から中継処理装置３０に送信される第一実行情報が、特定アプリケーションプログラム以外のアプリケーションプログラムのウィンドウ画像９０の座標情報も含み得る点と、操作制限処理部１５が第一処理装置１０ではなく中継処理装置３０に含まれる点で、上記第一の実施形態とは異なる。以下では、本実施形態に係る遠隔操作システムについて、第一の実施形態との相違点を中心に説明する。特に明記しない点に関しては、第一の実施形態と同様であり、同一の符号を付して詳細な説明は省略する。

本実施形態では、上記第一の実施形態とは異なり、遠隔操作システム１００が遠隔操作用画像表示処理を実行する際に、第一表示装置４１に表示されている画像に特定ウィンドウ画像９０ａが含まれているか否かを第一端末１側では判定しない。よって、本実施形態では、遠隔操作用画像表示処理（図１０のステップ＃１１）において第一遠隔操作制御部１１（第一実行情報取得部１２）から中継処理装置３０に送信される第一実行情報には、第一端末１においてその時点で実行されている全てのアプリケーションプログラムのウィンドウ画像９０の座標情報が含まれる。そして、中継サーバ９において、表示画像情報取得部３２が取得した表示画像情報に係る表示画像（第一表示装置４１に表示されている画像）に、特定ウィンドウ画像９０ａが含まれているか否かの判定がなされる。具体的には、図１２に示すように、中継処理装置３０（遠隔操作用画像生成部３３）に、表示画像情報取得部３２が取得した表示画像情報に係る表示画像に特定ウィンドウ画像９０ａが含まれているか否かを判定する機能部である特定ウィンドウ画像有無判定部３８が備えられている。そして、特定ウィンドウ画像有無判定部３８は、特定アプリケーション情報記憶部８４に記憶されている特定アプリケーションプログラムの情報を参照して、第一実行情報に特定アプリケーションプログラムを示す情報が含まれるか否かの判定を行い、当該表示画像に特定ウィンドウ画像９０ａが含まれている場合には、第一実行情報に含まれる当該特定ウィンドウ画像９０ａの座標情報を取得する。この点以外は、基本的に上記第一の実施形態と同様に、遠隔操作用画像表示処理が実行される。

また、本実施形態では、上記第一の実施形態とは異なり、操作制限処理部１５が、第一処理装置１０ではなく中継処理装置３０に備えられている。具体的には、図１２、及び本実施形態に係る遠隔操作反映処理の手順を示す図１３に示すように、第二操作ログ情報取得部３６が取得した第二操作ログ情報は、操作制限処理部１５に出力される。そして、操作制限処理部１５は、第二操作ログ情報取得部３６から入力された第二操作ログ情報と、中継記憶装置８３のログ修正方針情報記憶部８６を参照して取得したログ修正方針情報（ステップ＃３４）とに基づき、処理済第二操作ログ情報を生成する（ステップ＃３５）。すなわち、中継サーバ９において、特定操作ログを無効にし或いは別の操作ログに変換する処理が行われる。そして、遠隔操作情報送信部３７は、操作制限処理部１５が生成した処理済第二操作ログ情報を、第一端末１（第一処理装置１０）に送信する（ステップ＃３６）。すなわち、本実施形態では、中継処理装置３０は、遠隔操作情報として処理済第二操作ログ情報を第一端末１に送信する。よって、本実施形態では、第一遠隔操作制御部１１（遠隔操作情報取得部１４）は、中継処理装置３０（遠隔操作情報送信部３７）から送信された遠隔操作情報（処理済み二操作ログ情報）を取得する（ステップ＃３７）。そして、第一遠隔操作制御部１１（遠隔操作実行部１６）が、遠隔操作情報取得部１４が取得した処理済第二操作ログ情報に従って第一端末１の処理を行う。

３．その他の実施形態
遠隔操作システムのその他の実施形態について説明する。なお、以下のそれぞれの実施形態で開示される構成は、矛盾が生じない限り、他の実施形態で開示される構成と組み合わせて適用することも可能である。

（１）上記の第一及び第二の実施形態では、特定アプリケーションプログラムが、第二端末２の操作権限を持つ者であっても、特定ウィンドウ画像９０ａの内容を知ることが、規定上或いは社会通念上、禁止されるアプリケーションプログラムに設定される構成を例として説明した。そして、上述したように、このような特定アプリケーションプログラムとして、マイナンバーを取り扱うアプリケーションプログラムを例示することができる。以下、遠隔操作システム１００が、特定アプリケーションプログラムがマイナンバーを取り扱うアプリケーションプログラムである場合に特に有効であることを説明する。

マイナンバーは、法律上、個人番号関係事務実施者のような特定の者のみに取り扱いが許され、システム管理者であってもこの特定の者でなければ、マイナンバーを閲覧したり取り扱うことが禁止されている。そして、マイナンバーは、個人情報と密接に関わるため、その漏えいに対しては罰則も適用され得る。そのため、特定アプリケーションプログラムがマイナンバーを取り扱うアプリケーションプログラムである場合には、特に、システムの誤検知や誤処理のようなミスは許されない。

この点に関し、従来の遠隔操作システムでは、システム管理者には特に権限に制約がないのが一般的である。そのため、特定アプリケーションプログラムを実行可能な第一端末１のメンテナンス等を目的として、システム管理者が第二端末２から第一端末１を遠隔操作した場合に、マイナンバーを偶発的に閲覧してしまうおそれがある。また、悪意のある者が第二端末２から第一端末１を遠隔操作して、不正にマイナンバーを取得するおそれもある。これらのことを防ぐために、上記特許文献１に記載の技術を用いることも考えられるが、特許文献１に記載の技術では特定のデータ項目についてマスク処理が施されるのみである。そのため、第一端末１において特定アプリケーションプログラムが実行中である場合には、特定ウィンドウ画像９０ａの大部分が第二端末２に表示される。すなわち、特定ウィンドウ画像９０ａにおけるタイトルバーやツールバー等がそのまま第二端末２に表示されるため、第二端末２の操作者による特定アプリケーションプログラムに対する遠隔操作が意図的或いは偶発的に行われやすくなる。また、マイナンバーが画面上のどの位置にどのタイミングで表示されるかを検知したり予測することは容易ではないため、誤検知した場合にはマイナンバーがそのまま第二端末２に表示されるという問題もある。

これに対し、本明細書で開示する遠隔操作システム１００では、マスク処理が、表示画像中における特定ウィンドウ画像９０ａが占める領域である特定ウィンドウ領域に対して行われる。すなわち、特定ウィンドウ画像９０ａの大部分或いは全てが第二端末２の第二表示装置４２に表示されない構成とすることができる。これにより、特定ウィンドウ画像９０ａにおけるタイトルバーやツールバー等も第二表示装置４２に表示されない構成とすることができると共に、特定ウィンドウ画像９０ａにおけるマイナンバーの表示位置や表示タイミングによらず、マイナンバーが第二表示装置４２に表示されない構成とすることが可能となる。

（２）上記の第一及び第二の実施形態では、遠隔操作システム１００が操作制限処理部１５を備える構成を例として説明した。しかし、そのような構成に限定されることなく、遠隔操作システム１００が操作制限処理部１５を備えず、第一遠隔操作制御部１１（遠隔操作実行部１６）が、第二遠隔操作制御部２１（第二操作ログ情報生成部２５）により生成された第二操作ログ情報に従って第一端末１の処理を実行する構成とすることもできる。このような構成では、第二操作ログ情報に特定アプリケーションプログラムに対する操作を行う操作ログが含まれている場合に、特定アプリケーションプログラムに関する処理が第二端末２による遠隔操作によって第一端末１において実行されるが、マスク処理部３４のマスク処理によって、特定ウィンドウ画像９０ａの内容が第二表示装置４２に表示されることは回避される。

（３）上記第一の実施形態では、特定アプリケーションプログラムの情報が第一記憶装置８１に記憶されている構成を例として説明した。しかし、そのような構成に限定されることなく、遠隔操作開始判定処理や遠隔操作用画像表示処理を実行する際に、中継サーバ９から第一端末１に、中継記憶装置８３に記憶されている特定アプリケーションプログラムの情報が送信される構成とすることもできる。

（４）上記第一の実施形態では、中継処理装置３０から第一端末１に送信される遠隔操作情報に、第二操作ログ情報に加えて、中継記憶装置８３に記憶されているログ修正方針情報が含まれる構成を例として説明した。しかし、そのような構成に限定されることなく、ログ修正方針情報が第一記憶装置８１に記憶される構成とし、中継処理装置３０から第一端末１に送信される遠隔操作情報にログ修正方針情報が含まれない構成（例えば、第二操作ログ情報のみが含まれる構成）とすることもできる。

（５）上記第一の実施形態では、第一表示装置４１に表示されている画像に特定ウィンドウ画像９０ａが含まれているか否かの判定を第一端末１で行う構成を例として説明したが、上記第一の実施形態の構成において、上記第二の実施形態のように上記判定を中継サーバ９で行う構成とすることもできる。また、上記第二の実施形態では、第一表示装置４１に表示されている画像に特定ウィンドウ画像９０ａが含まれているか否かの判定を中継サーバ９で行う構成を例として説明したが、上記第二の実施形態の構成において、上記第一の実施形態のように上記判定を第一端末１で行う構成とすることもできる。

（６）上記第一及び第二の実施形態では、遠隔操作システム１００が、第一処理手順により遠隔操作が開始された場合と、第二処理手順により遠隔操作が開始された場合とを区別することなく、遠隔操作用画像表示処理及び遠隔操作反映処理として同様の処理を実行する構成を例として説明した。しかし、そのような構成に限定されることなく、第一処理手順により遠隔操作が開始された場合と、第二処理手順により遠隔操作が開始された場合とを区別して、その後実行される遠隔操作用画像表示処理及び遠隔操作反映処理の内容を互いに異ならせることも可能である。例えば、第二処理手順により遠隔操作が開始された場合には、上記第一或いは第二の実施形態と同様の遠隔操作用画像表示処理及び遠隔操作反映処理を実行し、第一処理手順により遠隔操作が開始された場合と、遠隔操作の開始要求があった時点で第一端末１において特定アプリケーションプログラムが実行されていなかった場合は、その後遠隔操作が終了されるまで第一端末１における特定アプリケーションの実行を禁止する構成とすることもできる。この場合、第一処理手順により遠隔操作が開始された場合や、遠隔操作の開始要求があった時点で第一端末１において特定アプリケーションプログラムが実行されていなかった場合には、マスク処理部３４によるマスク処理、操作制限処理部１５による操作制限処理、並びにこれらの処理に関係する各判定処理が実行されない、通常の遠隔操作用画像表示処理及び遠隔操作反映処理が実行される構成とすることができる。

（７）上記の第一及び第二の実施形態で示した第一端末１の各機能部の割り当て、第二端末２の各機能部の割り当て、及び中継サーバ９の各機能部の割り当ては単なる一例であり、複数の機能部を組み合わせたり、１つの機能部を更に区分けしたりすることも可能である。

（８）その他の構成に関しても、本明細書において開示された実施形態は全ての点で単なる例示に過ぎないと理解されるべきである。従って、当業者は、本開示の趣旨を逸脱しない範囲で、適宜、種々の改変を行うことが可能である。

１：第一端末
２：第二端末
９：中継サーバ
１０：第一処理装置
１１：第一遠隔操作制御部
１５：操作制限処理部
２０：第二処理装置
２１：第二遠隔操作制御部
３０：中継処理装置
３４：マスク処理部
４１：第一表示装置
４２：第二表示装置
５１：第一操作装置
５２：第二操作装置
９０ａ：特定ウィンドウ画像
９４：選択ダイアログ
１００：遠隔操作システム（コンピュータシステム）

Claims (3)

1. 複数のアプリケーションプログラムを実行可能な第一端末と、前記第一端末を遠隔操作可能な第二端末と、前記第一端末及び前記第二端末の双方と通信可能な中継サーバと、を備えた遠隔操作システムであって、
   前記第一端末は、第一表示装置と、第一操作装置と、第一遠隔操作制御部を含む第一処理装置と、を備え、
   前記第二端末は、第二表示装置と、第二操作装置と、第二遠隔操作制御部を含む第二処理装置と、を備え、
   前記中継サーバは、マスク処理部を含む中継処理装置を備え、
   前記第一遠隔操作制御部は、前記第一端末における前記アプリケーションプログラムの実行状態を表す第一実行情報と、前記第一表示装置に表示された画像の情報である表示画像情報と、を取得し、
   前記マスク処理部は、前記第一実行情報及び前記表示画像情報に基づいてマスク済表示画像情報を生成し、
   前記第二遠隔操作制御部は、前記マスク済表示画像情報を前記第二表示装置に表示すると共に、当該マスク済表示画像情報が前記第二表示装置に表示された状態での前記第二操作装置が操作された内容を表す第二操作ログ情報を取得し、
   前記第一遠隔操作制御部は、前記第二操作ログ情報に基づいて前記第一端末の処理を実行し、
   前記表示画像情報に係る表示画像に含まれる、予め定められた特定アプリケーションプログラムのウィンドウ画像を特定ウィンドウ画像として、
   前記マスク処理部は、前記第一実行情報に基づいて、前記表示画像中における前記特定ウィンドウ画像が占める領域である特定ウィンドウ領域の情報を取得し、前記特定ウィンドウ領域に元画像を隠すマスク処理を行って前記マスク済表示画像情報を生成し、
   前記第一遠隔操作制御部は、前記第二処理装置からの遠隔操作の開始要求を受信した際に前記第一端末において前記特定アプリケーションプログラムを実行中であった場合、少なくとも第一処理手順と第二処理手順とを選択可能とする選択ダイアログを前記第一表示装置に表示し、
   前記第一処理手順は、前記特定アプリケーションプログラムを終了した後に遠隔操作を許可する処理手順であり、
   前記第二処理手順は、前記特定アプリケーションプログラムの実行を継続すると共に、前記第二表示装置に前記マスク済表示画像情報を表示させた状態での遠隔操作を許可する処理手順である、遠隔操作システム。
2. 前記中継処理装置又は前記第一処理装置は、操作制限処理部を含み、
   前記操作制限処理部は、前記第二操作ログ情報に基づいて処理済第二操作ログ情報を生成し、
   前記第一遠隔操作制御部は、前記処理済第二操作ログ情報に従って前記第一端末の処理を実行し、
   前記操作制限処理部は、前記第二操作ログ情報に、前記特定アプリケーションプログラムに対する操作を行う操作ログが含まれている場合には、当該操作ログを無効にし、又は当該操作ログを別の操作ログに変換して、前記処理済第二操作ログ情報を生成する、請求項１に記載の遠隔操作システム。
3. 第一表示装置及び第一操作装置を備え、複数のアプリケーションプログラムを実行可能な第一端末と、第二表示装置及び第二操作装置を備え、前記第一端末を遠隔操作可能な第二端末と、前記第一端末及び前記第二端末の双方と通信可能な中継サーバと、を備えたコンピュータシステムの遠隔操作プログラムであって、
   前記第一端末における前記アプリケーションプログラムの実行状態を表す第一実行情報と、前記第一表示装置に表示された画像の情報である表示画像情報と、を取得する第一取得機能と、
   前記第一実行情報及び前記表示画像情報に基づいてマスク済表示画像情報を生成するマスク処理機能と、
   前記マスク済表示画像情報を前記第二表示装置に表示すると共に、当該マスク済表示画像情報が前記第二表示装置に表示された状態での前記第二操作装置が操作された内容を表す第二操作ログ情報を取得する第二取得機能と、
   前記第二操作ログ情報に基づいて前記第一端末の処理を実行する第一実行機能と、を前記コンピュータシステムに実現させ、
   前記表示画像情報に係る表示画像に含まれる、予め定められた特定アプリケーションプログラムのウィンドウ画像を特定ウィンドウ画像として、
   前記マスク処理機能では、前記第一実行情報に基づいて、前記表示画像中における前記特定ウィンドウ画像が占める領域である特定ウィンドウ領域の情報を取得し、前記特定ウィンドウ領域に元画像を隠すマスク処理を行って前記マスク済表示画像情報を生成し、
   前記第二端末からの遠隔操作の開始要求を受信した際に前記第一端末において前記特定アプリケーションプログラムを実行中であった場合、少なくとも第一処理手順と第二処理手順とを選択可能とする選択ダイアログを前記第一表示装置に表示する機能を、前記コンピュータシステムに更に実現させ、
   前記第一処理手順は、前記特定アプリケーションプログラムを終了した後に遠隔操作を許可する処理手順であり、
   前記第二処理手順は、前記特定アプリケーションプログラムの実行を継続すると共に、前記第二表示装置に前記マスク済表示画像情報を表示させた状態での遠隔操作を許可する処理手順である、遠隔操作プログラム。

Images