JP7428025B2 - 管理装置、プログラム - Google Patents

Description

本発明は、通信技術に関し、特に端末装置に対する通信を制御する管理装置、プログラムに関する。

端末装置の他人による不正使用に対して、面倒な操作を必要とせずコストアップのないセキュリティシステムを有する端末装置を提供することが求められる。例えば、端末装置に予め充電可能な位置範囲を設定し、端末装置の現在位置が設定された位置範囲内にある場合に充電が許可され、それ以外の位置では充電が許可されない。

特開２００６－１３６８５号公報

特許文献１に開示された技術によれば、自宅等の予め設定された位置以外における充電を禁止することができため、盗難された場合であっても一定時間後には使用不能となる。しかしながら、バッテリ残量がある状態において、通信アプリ等で受信した通話音声が出力される可能性がある。つまり、情報漏洩を十分に防止することができない。

本発明はこうした状況に鑑みてなされたものであり、その目的は、携帯端末が不正使用された場合においても情報漏洩を防止する技術を提供することである。

上記課題を解決するために、本発明のある態様の管理装置は、端末装置を管理する管理装置であって、充電中の端末装置からの位置情報を受信する通信部と、通信部において受信した位置情報が過去の充電エリアに含まれる場合、端末装置を第１状態であると判定し、通信部において受信した位置情報が過去の充電エリアに含まれない場合、端末装置を第２状態であると判定する制御部とを備える。通信部は、端末装置を宛先とする信号を受信した場合、端末装置が第１状態であれば端末装置に信号を送信し、端末装置が第２状態であれば端末装置への信号の送信を停止する。

本発明の別の態様もまた、管理装置である。この装置は、端末装置を管理する管理装置であって、充電中の端末装置からの位置情報を受信する通信部と、通信部において受信した位置情報が過去の充電エリアに含まれる場合、端末装置を第１状態であると判定し、通信部において受信した位置情報が過去の充電エリアに含まれない場合、端末装置を第２状態であると判定する制御部とを備える。通信部は、端末装置を宛先とする信号を受信した場合、端末装置が第１状態であれば端末装置に信号を送信するとともに、端末装置が第２状態であれば端末装置に本人確認を要求するための信号を送信し、端末装置から受信した本人確認の結果に応じて、端末装置に対する通信を制御する。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、携帯端末が不正使用された場合においても情報漏洩を防止できる。

実施例１に係る通信システムの構成を示す図である。 端末装置のハードウエア構成および機能ブロックを示す図である。 端末装置の詳細な機能ブロックを示す図である。 管理装置のハードウエア構成および機能ブロックを示す図である。 管理装置の詳細な機能ブロックを示す図である。 通信システムによるＳＩＰシーケンスを示すシーケンス図である。 図７（ａ）－（ｆ）は、充電位置テーブルのデータ構造を示す図である。 発信確認テーブルのデータ構造を示す図である。 端末装置の表示部に表示される画面を示す図である。 端末装置および管理装置における処理とデータの流れを示すシーケンス図である。 端末装置の表示部に表示される画面を示す図である。 管理装置における処理手順を示すフローチャートである。 図１３（ａ）－（ｂ）は、実施例２に係る通信システムにおける通常発信の概要を示す図である。 図１４（ａ）－（ｄ）は、通信システムにおけるＲＢＴ発信の概要を示す図である。 図１５（ａ）－（ｂ）は、端末装置の表示部に表示される画面を示す図である。 図１６（ａ）－（ｂ）は、通信システムにおける発信の概要を示すシーケンス図である。 図１７（ａ）－（ｂ）は、通信システムによるＳＩＰシーケンスを示すシーケンス図である。 端末装置の表示部に表示される画面を示す図である。 端末装置の表示部に表示される画面を示す図である。

（実施例１）
図１は、通信システム１００の構成を示す図である。通信システム１００は、ネットワーク１０、管理装置１２、基地局装置１４と総称される第１基地局装置１４ａ、第２基地局装置１４ｂ、第３基地局装置１４ｃ、端末装置１６と総称される第１端末装置１６ａ、・・・、第８端末装置１６ｈを含む。ここで、通信システム１００に含まれる基地局装置１４の数は「３」に限定されず、端末装置１６の数は「８」に限定されず、それらより多くてもよく、それらよりも少なくてもよい。

端末装置１６は、ＩＰトランシーバ、ＰｏＣ（Ｐｕｓｈ－ｔｏ－Ｔａｌｋ ｏｖｅｒ Ｃｅｌｌｕｌａｒ）トランシーバとも呼ばれ、音声通信を実行する。音声通信はプッシュ・ツー・トーク方式であり、個別呼出、グループ呼出、一斉呼出、近隣呼出も可能である。ある端末装置１６からグループ呼出を行った場合、発信元の端末装置１６と同一のグループに所属しているすべての端末装置１６へ通話が発信される。また、一斉呼出を行った場合、無線通信システムで利用されているすべての端末装置１６へ通話が発信される。このような音声通信を実行するために、端末装置１６は基地局装置１４に接続される。ここで、基地局装置１４と端末装置１６との間における通信方式には、半二重または全二重通信が使用される。なお、本実施例では、端末装置１６がＩＰトランシーバである例を説明するが、これに限定されるものもではない。例えば、端末装置１６は携帯電話であってもよい。また、音声通信はプッシュ・ツー・トーク方式に限定されず、携帯電話等による全二重の音声通信であってもよい。また、音声通話に限らず、テキストデータ等を交換するデータ通信を行ってもよい。

複数の基地局装置１４は、ネットワーク１０により互いに接続される。ネットワーク１０は、例えばＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークである。ネットワーク１０には管理装置１２が接続される。管理装置１２は、例えばＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ等により構成され、端末装置１６間で通話する際のＳＩＰシーケンス処理を実行する。

このような構成において、端末装置１６の使用者（ユーザ）は、端末装置１６の通話ボタンを押下することによって、他の端末装置１６を使用する他の使用者との音声通話を実行する。通信方式が半二重通信である場合、ある音声通話に係る複数の端末装置１６において、いずれかの使用者が通話ボタンを押下し発話している間にわたって、他の使用者は通話ボタンを押しても発話できない。また、ＩＰ無線通信システムにおいては、スマートフォン等の携帯電話端末へＩＰ無線通信用アプリケーションのインストールを行い、端末装置１６として使用することも可能となっている。携帯電話端末はＩＰ無線通信用アプリケーションをインストールすることにより、他の端末装置１６や他のＩＰ無線通信用アプリケーションがインストールされた携帯電話端末とプッシュ・ツー・トーク方式での通話が可能となる。

スマートフォンは発売されて間もない機種や、人気の高い機種の場合、転売などの目的で盗難される場合がある。また、使用者の不注意によりスマートフォンを外出先で紛失してしまう場合もある。また、スマートフォンは一般的に汎用のケーブル等でバッテリ充電可能であり、正規の持ち主でなくても充電を行うことによりスマートフォンを起動し、使用し続けることができる。ＩＰ無線通信システムにて、スマートフォンへＩＰ無線通信用アプリケーション（通信アプリ）をインストールして使用している場合、盗難者により盗難されたスマートフォンや、紛失した後に拾得者により拾得されたスマートフォンに対しても通話情報が発信される。ＩＰ無線通信用アプリケーションによっては、通話の即時性を確保するために、スマートフォンの画面がロック状態であっても、受信した通話音声を出力する設定になっている場合がある。このとき、上記のスマートフォンへ機密性の高い通話情報を発信した場合、盗難者、あるいは拾得者へ当該の通話情報を聞かれてしまう可能性があった。

図２は、端末装置１６のハードウエア構成および機能ブロックを示す。端末装置１６は、ＣＰＵ２１０、ユーザＩＦ（Ｉｎｔｅｒｆａｃｅ）２２０、通信ＩＦ２３０、記憶部４０を含む。ＣＰＵ２１０、ユーザＩＦ２２０、通信ＩＦ２３０、記憶部４０は、バス２５０によって接続される。

ユーザＩＦ２２０は、ユーザである使用者に対するインターフェースである。ユーザＩＦ２２０は、使用者からの情報を受けつけたり、使用者に情報を提示したりする。通信ＩＦ２３０は、無線通信を用いて基地局装置１４と通信する。さらに、基地局装置１４経由で管理装置１２と通信する。記憶部４０は、情報を記憶する媒体であり、例えば、不揮発性の半導体メモリで構成される。

ＣＰＵ２１０は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、あるいはＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であり、各種の演算機能を持ち、内部に演算用のメモリを備えていてもよい。ＣＰＵ２１０は制御部３８、充電管理部４２、位置測定部４８を含み、ユーザＩＦ２２０は入力部３０、表示部３６を含み、通信ＩＦ２３０は通信部３４を含む。

図３は、端末装置１６の詳細な機能ブロックを示す。端末装置１６は、入力部３０、通信部３４、表示部３６、制御部３８、記憶部４０、充電管理部４２、位置測定部４８を含む。端末装置１６の一例は、ＩＰ無線通信用アプリケーションがインストールされた携帯電話端末（スマートフォン等）である。

入力部３０は、端末装置１６の使用者が操作するための各種ボタン、タッチパネル等の入力デバイス、入力デバイスの状態を制御部３８に通知するためのインターフェースを含む。タッチパネルを用いて、入力部３０と後述の表示部３６を一体的に構成してもよい。発信を行う際に押下される通話ボタンも入力部３０に配置される。また、周辺機器の操作を行う際に押下される操作ボタンも入力部３０に配置される。通話ボタン、操作ボタンの押下状態は入力部３０にて検出され、制御部３８へ入力される。

記憶部４０は、端末装置１６の設定情報等を記録する。表示部３６は、端末装置１６の設定、通話状態を表示するインターフェースであり、例えばディスプレイである。通信部３４は、移動体通信事業者が提供する通信システム１００を利用し、基地局装置１４経由して管理装置１２および他の端末装置１６と通信する。位置測定部４８は端末装置１６が現在存在している位置を測定する。具体的に説明すると、位置測定部４８は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）装置から、現在地の緯度、経度を取得する。充電管理部４２は端末装置１６に内蔵されたバッテリへの充電処理を管理する。具体的には端末装置１６への充電が開始された場合や、充電が終了した場合に制御部３８に充電の開始、終了を通知する。また、充電管理部４２は充電中についても充電中である旨や、バッテリの充電量等を制御部３８へ通知する。

図４は、管理装置１２のハードウエア構成および機能ブロックを示す。管理装置１２は、クロック発振器４００、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）４１０、通信ＩＦ４３０、ユーザＩＦ４４０、記憶部３４０を含む。クロック発振器４００、ＣＰＵ４１０、通信ＩＦ４３０、記憶部３４０、ユーザＩＦ４４０は、バス４５０によって接続される。

クロック発振器４００は、例えば、水晶発振器であり、一定の周波数の信号を生成する。ＣＰＵ４１０は、管理装置１２における処理を実行する。通信ＩＦ４３０は、ネットワーク１０と接続され、基地局装置１４と通信する。さらに、通信ＩＦ４３０は、基地局装置１４経由で端末装置１６と通信する。ユーザＩＦ４４０は、使用者に対するインターフェースである。ユーザＩＦ４４０は、使用者からの情報を受けつけたり、使用者に情報を提示したりする。記憶部３４０は、情報を記憶する媒体であり、例えば、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）である。

クロック発振器４００は計時部３３２を含み、ＣＰＵ４１０は制御部３３８を含み、通信ＩＦ４３０は通信部３３４を含み、ユーザＩＦ４４０は入力部３５０、表示部３５２を含む。記憶部３４０は、充電位置テーブル３６０、発信確認テーブル３６２を含む。

図５は、管理装置１２の詳細な機能ブロックを示す。管理装置１２は、計時部３３２、通信部３３４、制御部３３８、記憶部３４０、入力部３５０、表示部３５２を含む。記憶部３４０は、充電位置テーブル３６０、発信確認テーブル３６２を含む。表示部３５２は、管理装置１２の設定を表示するためのインターフェースである。入力部３５０は、管理装置１２の設定を行うための各種ボタン、タッチパネル等のインターフェースである。タッチパネルを用いて、表示部３５２と入力部３５０を一体的に構成してもよい。通信部３３４は、移動体通信事業者が提供する通信システム１００を利用して、端末装置１６と通信する。計時部３３２は、現在の時刻を取得する。記憶部３４０には充電位置テーブル３６０および発信確認テーブル３６２が記録される。充電位置テーブル３６０および発信確認テーブル３６２の詳細については後述する。

次に、本実施例で端末装置１６と管理装置１２の間で行われる通信プロトコル（ＳＩＰ通信）の処理を説明する。図６は、通信システム１００によるＳＩＰシーケンスを示すシーケンス図である。第１端末装置１６ａから第２端末装置１６ｂへ通話する場合、第１端末装置１６ａにて通話ボタンが押下された（Ｓ３００）後、第１端末装置１６ａは第２端末装置１６ｂ宛てにＩＮＶＩＴＥを送信する（Ｓ３０２）。送信されたＩＮＶＩＴＥは管理装置１２を経由し、第２端末装置１６ｂに送信される（Ｓ３０４）。第２端末装置１６ｂはＩＮＶＩＴＥ受信後、第１端末装置１６ａ宛てにステータスコード２００ ＯＫを送信する（Ｓ３０６）。送信されたステータスコード２００ ＯＫは管理装置１２を経由し、第１端末装置１６ａに送信される（Ｓ３０８）。第１端末装置１６ａはステータスコード２００ ＯＫ受信後、ＡＣＫ（Ａｃｋｎｏｗｌｅｄｇｅ）を送信する（Ｓ３１０）。送信されたＡＣＫは管理装置１２経由で、第２端末装置１６ｂに送信される（Ｓ３１２）。第１端末装置１６ａはＡＣＫ送信後、ＲＴＰを使って通話データの送信を開始する（Ｓ３１４、Ｓ３１６、Ｓ３１８）。

次に、本実施例の管理装置１２及び端末装置１６の充電時の処理の詳細を説明する。端末装置１６の制御部３８は、端末装置１６の充電が開始された際、位置測定部４８から端末装置１６が現在存在している位置情報（緯度、経度）を取得し、通信部３４を経由して管理装置１２へ送信する。端末装置１６が充電を行っている位置情報（緯度、経度）は、端末装置充電位置情報あるいは充電位置情報とも呼ばれる。なお、端末装置１６の制御部３８は端末装置１６が充電を行っている期間中、所定の周期（例えば１０分）毎に管理装置１２へ位置情報を送信してもよい。また、制御部３８は、充電開始時の時刻および位置情報と、充電終了時の時刻および位置情報とを管理装置１２に送信してもよい。端末装置１６は、位置情報を測定した日時（測定日時）を管理装置１２に送信してもよい。端末装置１６から送信された位置情報は、管理装置１２の通信部３３４を経由して制御部３３８に入力される。管理装置１２の制御部３３８は、位置情報を受信した際、後に説明する充電位置情報判定処理を実行し、記憶部３４０の充電位置テーブル３６０及び発信確認テーブル３６２を更新する。

図７（ａ）－（ｆ）は、充電位置テーブル３６０のデータ構造を示す。充電位置テーブル３６０には、各端末装置１６の使用者が過去に充電を行った時刻と、充電を行った位置情報（緯度、経度）が記録される。各端末装置１６の充電位置テーブル３６０は端末装置１６毎に独立して記録される。ここでは図７（ａ）が第１端末装置１６ａの充電位置テーブル３６０ａを示し、図７（ｂ）が第２端末装置１６ｂの充電位置テーブル３６０ｂを示し、図７（ｃ）が第３端末装置１６ｃの充電位置テーブル３６０ｃを示す。また、図７（ｄ）が第４端末装置１６ｄの充電位置テーブル３６０ｄを示し、図７（ｅ）が第５端末装置１６ｅの充電位置テーブル３６０ｅを示し、図７（ｆ）が第６端末装置１６ｆの充電位置テーブル３６０ｆを示す。受信日時には、管理装置１２が各端末装置１６から位置情報を受信した日時が記載される。なお、受信日時の記載例である「２０１８／６／１ ２２：２６：２４」は「２０１８年６月１日 ２２時２６分２４秒」であることを表す。なお、端末装置１６が位置情報の測定日時を管理装置１２に送信した場合、受信日時に代わりに測定日時を充電位置テーブル３６０に記録してもよい。あるいは、受信日時と測定日時を両方とも充電位置テーブル３６０に記録してもよい。充電位置には、端末装置１６から受信した位置情報に記録されている位置情報（緯度、経度）が記載される。

図８は、発信確認テーブル３６２のデータ構造を示す。発信確認テーブル３６２には、各端末装置１６へ通話を発信する場合においての発信確認についての設定が記録され、通信システム１００で使用されるすべての端末装置１６についてのレコードが記録される。各レコードは、「端末ＩＤ」フィールドと「発信確認」フィールドとを関連付けて記憶する。端末ＩＤには、端末装置１６のＩＤがＴ１からＴ６のように示され、これらは第１端末装置１６ａから第６端末装置１６ｆにそれぞれ対応する。発信確認は、通信を制御するための情報であり、後に説明する充電位置情報判定処理にて「０」、または「１」が設定される。発信確認の詳細については後述する。

次に、充電位置情報判定処理の詳細を説明する。管理装置１２の通信部３３４は、充電中の端末装置１６からの位置情報を受信する。制御部３３８は、位置情報を受信した際、位置情報を送信した端末装置１６（以下、端末装置１６Ｔとも呼ぶ）に対応する充電位置テーブル３６０Ｔを特定する。例えば、第２端末装置１６ｂから位置情報を受信した場合、充電位置テーブル３６０Ｔとして図７（ｂ）に示す第２端末装置１６ｂの充電位置テーブル３６０ｂが特定される。以下、位置情報を第２端末装置１６ｂから受信したものとして説明する。管理装置１２の制御部３３８は、第２端末装置１６ｂから受信した位置情報Ｐ（緯度、経度）を取得する。次に管理装置１２の制御部３３８は、上記で特定された第２端末装置１６ｂの充電位置テーブル３６０ｂ内に、位置情報Ｐと同一地点と判定することができる位置情報Ｑ（緯度、経度）を持つレコードＲが存在するか否かを判定する。なお、上記の同一地点と判定することができる位置情報Ｑとは、位置情報Ｐと一致している位置情報、あるいは位置情報Ｐとの距離が所定のしきい値（例えば１０メートル）以下である位置情報である。位置情報Ｐの緯度、経度を（Ｎｐ、Ｅｐ）、位置情報Ｑの緯度、経度を（Ｎｑ、Ｅｑ）とした場合、（Ｎｐ、Ｅｐ）、（Ｎｑ、Ｅｑ）間の距離ｄ[ｋｍ]は以下の式により計算することができる。

ここで、αは緯度１度あたりの平均的な距離であり、例えばα＝１１１ｋｍとする。また、βは経度１度あたりの平均的な距離であり、例えばβ＝９１ｋｍとする。代表的な緯度、経度に対応させて（例えば、緯度１度毎、経度１度毎に）、αおよびβを記憶しておき、それらの値を用いてもよい。位置情報Ｐと位置情報Ｑが同一地点と判定される場合、地点Ｐと地点Ｑは同一エリアにあるともいえる。

レコードＲが存在する場合、すなわち第２端末装置１６ｂが位置情報Ｐと同じエリアにおいて過去に充電を行ったことがあると判定された場合、管理装置１２の制御部３３８は計時部３３２から現在の時刻ＣＴを取得し、レコードＲの受信時刻を時刻ＣＴに、また、レコードＲの受信位置（緯度、経度）を位置情報Ｐで更新（上書き）する。また、制御部３３８は、発信確認テーブル３６２の第２端末装置１６ｂのレコードの発信確認を「０」に設定する。レコードＲが存在しない場合、すなわち第２端末装置１６ｂが位置情報Ｐで過去に充電を行ったことがないと判定された場合、管理装置１２の制御部３３８は通信部３３４を経由して第２端末装置１６ｂへ本人確認通知を送信する。

第２端末装置１６ｂの制御部３８は通信部３４を経由して管理装置１２から本人確認通知を受信した場合、第２端末装置１６ｂが正規の使用者により充電されているか否かを判定する。本実施例における第２端末装置１６ｂの正規の使用者とは、第２端末装置１６ｂに登録されている顔情報や指紋情報等が一致する使用者を指す。前記判定処理において、第２端末装置１６ｂの制御部３８は表示部３６に本人確認を行うための画面を表示する。図９は、端末装置１６の表示部３６に表示される画面であり、本人確認を行うための画面である。本図では例として本人確認を行う手段として顔認証、指紋認証、パターン描画としているが、その他の認証方式でもよい。例えば、パスワード（パスコード）による認証や声紋認証であってもよい。また、使用者へ本画面を表示したことを通知するため、端末装置１６の筐体をバイブレーションさせてもよく、また通知のための報知音やアナウンスを出力してもよい。

第２端末装置１６ｂの使用者がいずれかの方法で本人確認を行った場合、すなわち第２端末装置１６ｂが正規の使用者により充電されていると判定された場合、第２端末装置１６ｂの制御部３８は通信部３４を経由して管理装置１２へ本人確認応答として「ＯＫ」を送信する。第２端末装置１６ｂの使用者がいずれかの方法で本人確認を行えなかった場合、あるいは所定の時間（例えば３分）経過によりタイムアウトとなった場合、すなわち第２端末装置１６ｂが正規の使用者により充電されていない判定された場合、第２端末装置１６ｂの制御部３８は通信部３４を経由して管理装置１２へ本人確認応答として「ＮＧ」を送信する。

管理装置１２の制御部３３８は通信部３３４を経由して第２端末装置１６ｂから本人確認応答を受信した場合、本人確認応答の内容を確認する。本人確認応答が「ＯＫ」であった場合、すなわち第２端末装置１６ｂが正規の使用者により充電されていると確認された場合、管理装置１２の制御部３３８は計時部３３２から現在の時刻ＣＴを取得し、第２端末装置１６ｂから送信された位置情報Ｐと共に第２端末装置１６ｂの充電位置テーブル３６０ｂを更新（追記）する。また、制御部３３８は、発信確認テーブル３６２の第２端末装置１６ｂのレコードの発信確認を「０」に設定する。本人確認応答が「ＮＧ」であった場合、すなわち第２端末装置１６ｂが正規の使用者により充電されていないと確認された場合、管理装置１２の制御部３３８は発信確認テーブル３６２の第２端末装置１６ｂのレコードの発信確認を「１」に設定する。

上記で説明した様に、充電位置情報判定処理により管理装置１２の記憶部３４０の充電位置テーブル３６０および発信確認テーブル３６２が更新される。充電位置テーブル３６０は、各端末装置１６が充電を開始した際に本人確認が行われた場合のみ充電を行っている位置情報が記録され、本人確認が行われなかった場合は充電を行っている位置情報は記録されない。これにより、充電位置テーブル３６０には、過去に本人が使用した充電エリアが記憶される。また、本人確認が行われなかった場合、発信確認テーブル３６２の当該端末装置１６のレコードの発信確認は「１」に設定される。

一般的にスマートフォン等の端末装置１６の充電を行う場合、充電する場所は使用者の自宅や職場等、使用者が普段居る場所（使用者の生活圏）で行われることが多い。使用者の自宅や職場等で端末装置１６の充電を行う際、充電位置情報判定処理により一度本人確認を行うことにより使用者の自宅や職場等の位置情報が充電位置テーブル３６０へ記録される。つまり充電位置テーブル３６０には、端末装置１６の使用者が日常的に端末装置１６を充電している位置情報が記録される。

管理装置１２が充電位置テーブル３６０に記録されていない位置情報を受信した場合、充電位置情報判定処理により本人確認が行われる。本人確認が行われていた場合は、端末装置１６の使用者が新たに充電する場所を追加したと判定することができる。一方、本人確認が行われなかった場合は、端末装置１６の盗難、あるいは紛失等の原因により、正規の使用者ではない第三者が端末装置１６の充電を開始した可能性があると判断することができる。このとき、発信確認テーブル３６２の当該端末装置１６のレコードの発信確認は「１」に設定される。すなわち、発信確認テーブル３６２の発信確認が「１」である端末装置１６は、正規の使用者ではない第三者が使用している可能性が高く、当該端末装置１６へ通話を行った場合に通話情報が第三者へ漏洩する可能性が高い端末装置１６であると判定することができる。

なお、何らかの原因で正規の使用者であっても充電位置情報判定処理による本人確認が行われずに発信確認テーブル３６２の発信確認が「１」に設定された端末装置１６においても、その後充電位置情報判定処理による本人確認を再度行った場合、あるいは充電位置テーブル３６０に記録されている位置情報（緯度、経度）で充電を行った場合は、発信確認テーブル３６２の発信確認は「０」に設定される。

つまり、制御部３３８は、通信部３３４において受信した位置情報が充電位置テーブル３６０に記憶された過去の充電エリアに含まれるかを判断し、過去の充電エリアに含まれる場合、発信確認「０」、つまり端末装置１６を第１状態であると判定し、記憶部３４０に記憶する。一方、制御部３３８は、通信部３３４において受信した位置情報が充電位置テーブル３６０に含まれない場合、発信確認「１」、つまり端末装置１６を第２状態であると判定し、記憶部３４０に記憶する。ここで、通信部３３４は、制御部３３８において端末装置１６が第２状態であると判定された場合、端末装置１６に本人確認を要求するための信号を送信する。制御部３３８は、通信部３３４において受信した本人確認の結果が本人を示す場合、記憶された端末装置１６の状態を第１状態に変更する。さらに、記憶部３４０は、過去の充電エリアが示された充電位置テーブル３６０を記憶する。制御部３３８は、通信部３３４において受信した本人確認の結果が本人を示す場合、通信部３３４において受信した位置情報を充電位置テーブル３６０に追加する。

本実施例において、管理装置１２の制御部３３８はある端末装置１６から通話開始要求を受信した場合、具体的には図６のＳＩＰシーケンスにおいて第１端末装置１６ａからＩＮＶＩＴＥを受信した際、発信確認テーブル３６２を参照し、発信先端末装置１６である第２端末装置１６ｂの発信確認の値を確認する。第２端末装置１６ｂの発信確認が「０」である場合、管理装置１２の制御部３３８は第２端末装置１６ｂへＩＮＶＩＴＥを送信し、通常のＳＩＰシーケンスを実行する。第２端末装置１６ｂの発信確認が「１」である場合、管理装置１２の制御部３３８は先第２端末装置１６ｂへＩＮＶＩＴＥを送信せず、発信元端末装置１６である第１端末装置１６ａへステータスコード４１０等を送信し、通話処理を終了する。

つまり、制御部３３８は、通信部３３４を介して端末装置１６を宛先とする信号を受信した場合、端末装置１６が第１状態であれば端末装置１６に信号を送信する。一方、制御部３３８は、通信部３３４を介して端末装置１６を宛先とする信号を受信した場合、端末装置１６が第２状態であれば端末装置１６への信号の送信を停止する。

図１０は、端末装置１６および管理装置１２における処理とデータの流れを示すシーケンス図である。本図は、第２端末装置１６ｂが充電位置情報判定処理により正規の使用者ではない第三者により使用されていると判定され、その後第２端末装置１６ｂへの通話が中止される場合の処理とデータの流れを示す。第２端末装置１６ｂの制御部３８は充電が開始された（Ｓ３５０）後、管理装置１２へ位置情報を送信する（Ｓ３５２）。管理装置１２の制御部３３８は位置情報を受信後、第２端末装置１６ｂの充電位置テーブル３６０ｂを参照し、第２端末装置１６ｂから受信した位置情報（緯度、経度）に該当する位置情報が記録されているか否かを判定する（Ｓ３５４）。該当する位置情報が記録されていないため、管理装置１２の制御部３３８は第２端末装置１６ｂへ本人確認通知を送信する（Ｓ３５６）。第２端末装置１６ｂの制御部３８は本人確認通知を受信後、表示部３６に本人確認を行う画面を表示する（Ｓ３５８）。その後本人確認が行われなかったため、管理装置１２へ本人確認応答（ＮＧ）を送信する（Ｓ３６０）。管理装置１２の制御部３３８は第２端末装置１６ｂから本人確認応答（ＮＧ）を受信後、発信確認テーブル３６２内の第２端末装置１６ｂのレコードの発信確認を「１」に設定する（Ｓ３６２）。

その後第１端末装置１６ａにおいて通話ボタンが押し下げられ（Ｓ３６４）、第１端末装置１６ａから第２端末装置１６ｂへの通話が発生した（Ｓ３６６）場合、管理装置１２の制御部３３８は発信確認テーブル３６２の第２端末装置１６ｂの発信確認を確認し（Ｓ３６８）、第２端末装置１６ｂの発信確認が「１」であることから第２端末装置１６ｂへの通話を中止と判定し（Ｓ３７０）、発信元である第１端末装置１６ａへステータスコード４１０を送信する（Ｓ３７２）。第１端末装置１６ａの制御部は管理装置１２からステータスコード４１０を受信した場合、ＡＣＫを管理装置１２に送信し（Ｓ３７４）、表示部３６に通話を中止した旨のメッセージを表示する（Ｓ３７６）。図１１は、端末装置１６の表示部３６に表示される画面の例を示す。例えば、「第２端末装置は盗難、紛失した可能性があります。通話の機密保持のため、第２端末装置への通話を中止しました」とのメッセージが表示される。

実施例１によれば、ＩＰ無線通信システムで使用される端末装置１６について、端末装置１６が充電を行う際に使用者による本人確認を行うことにより、端末装置１６の使用者が日常的に充電を行っている場所の位置情報（緯度、経度）を特定し、当該の位置情報を管理装置１２で記録する。上記の位置情報を使用して端末装置１６の使用者が正規の使用者であるか否かを判定し、正規の使用者でない場合に通話の送信を中止することにより、端末装置１６が盗難された場合、あるいは紛失した場合に機密性の高い通話情報が第三者へ漏洩する事態を防ぐことが可能となる。

図１２は、管理装置１２の制御部３３８で実行される充電位置情報判定処理を示すフローチャートである。Ｓ１００において、管理装置１２の制御部３３８は端末装置１６から位置情報を受信したか否かを判定する。位置情報を受信した場合（Ｓ１００：Ｙｅｓ）は、Ｓ１１０に進む。位置情報を受信していない場合（Ｓ１００：Ｎｏ）は、Ｓ１００に戻って処理を繰り返す。Ｓ１１０において、管理装置１２の制御部３３８は、Ｓ１００で受信した位置情報の送信元の端末装置１６（端末装置１６Ｔ）に対応する充電位置テーブル３６０Ｔを特定する。その後Ｓ１２０に進む。Ｓ１２０において、管理装置１２の制御部３３８はＳ１００で受信した位置情報Ｐを取得する。その後Ｓ１３０に進む。

Ｓ１３０において、管理装置１２の制御部３３８は、端末装置１６Ｔの充電位置テーブル３６０Ｔ内に、位置情報Ｐと同一地点と判定することができる位置情報Ｑを持つレコードＲが存在するか否かを判定する。レコードＲが存在する場合（Ｓ１３０：Ｙｅｓ）は、Ｓ２１０に進む。レコードＲが存在しない場合（Ｓ１３０：Ｎｏ）は、Ｓ１４０に進む。Ｓ１４０において、管理装置１２の制御部３３８は通信部３３４を経由して端末装置１６Ｔへ本人確認通知を送信する。その後Ｓ１５０に進む。Ｓ１５０において、管理装置１２の制御部３３８は端末装置１６Ｔから本人確認応答を受信したか否かを判定する。本人確認応答を受信した場合（Ｓ１５０：Ｙｅｓ）は、Ｓ１６０に進む。本人確認応答を受信していない場合（Ｓ１５０：Ｎｏ）は、Ｓ１５０に戻って処理を繰り返す。また、Ｓ１５０において所定の時間（例えば、１分間）以上待機しても本人確認応答を受信できない場合は、Ｓ１６０に進む。

Ｓ１６０において、管理装置１２の制御部３３８はＳ１５０で受信した本人確認応答が「ＯＫ」であるか否かを判定する。本人確認応答が「ＯＫ」の場合（Ｓ１６０：Ｙｅｓ）は、Ｓ１８０に進む。本人確認応答が「ＯＫ」でない場合（Ｓ１６０：Ｎｏ）は、Ｓ１７０に進む。また、本人確認応答を受信していない場合にも、Ｓ１７０に進む。Ｓ１７０において、管理装置１２の制御部３３８は発信確認テーブル３６２の端末装置１６Ｔのレコードの発信確認を「１」に設定する。その後処理を終了する。

Ｓ１８０において、管理装置１２の制御部３３８は計時部３３２から現時刻ＣＴを取得する。その後Ｓ１９０に進む。Ｓ１９０において、管理装置１２の制御部３３８は現時刻ＣＴおよび位置情報Ｐを、端末装置１６Ｔの充電位置テーブル３６０Ｔへ追記する。その後Ｓ２００に進む。Ｓ２００において、管理装置１２の制御部３３８は発信確認テーブル３６２の端末装置１６Ｔのレコードの発信確認を「０」に設定する。その後処理を終了する。Ｓ２１０において、管理装置１２の制御部３３８は計時部３３２から現時刻ＣＴを取得する。その後Ｓ２２０に進む。Ｓ２２０において、管理装置１２の制御部３３８は現時刻ＣＴおよび位置情報Ｐを、端末装置１６Ｔの充電位置テーブル３６０ＴのレコードＲへ上書きする。その後処理を終了する。

なお本実施例では、充電位置情報判定処理において過去に充電を行った際に本人確認を行った位置情報については充電位置テーブル３６０に保持し続ける処理となっているが、受信日時と現時刻を比較して再度本人確認を行ってもよい。例えば図１２のフローチャートにおいてＳ１３０でＹｅｓと判定された後、Ｓ２１０で現時刻ＣＴを取得した後のＳ２１５（不図示）において、現時刻ＣＴがレコードＲの受信日時から所定の期間（例えば１か月）以上経過しているか否かを判定し、所定の期間（例えば１か月）以上経過している場合はＳ１４０に進んで本人確認通知を送信する。その後のＳ１６０において本人確認応答が「ＯＫ」と判定された場合は、Ｓ２２０に進み、本人確認応答が「ＯＫ」と判定されなかった場合はＳ１７０に進む。これにより、端末装置１６の使用者が過去に臨時の共用充電スペース等で充電を行った後、端末装置１６を盗難、紛失した場合においてもより高い精度で通話情報の漏洩を防ぐことが可能となる。

なお、位置情報Ｐと位置情報Ｑとの距離に関するしきい値、つまり位置情報Ｐが過去の充電エリアに含まれるか否かを判定するためのしきい値を端末装置１６の使用者（ユーザ）が設定できるようにしてもよい。例えば、本人確認が成功した後の適当なタイミングで、端末装置１６においてユーザがしきい値を入力するための画面を表示部３６に表示する。ユーザが入力部３０を介してしきい値を設定した後、制御部３８は通信部３４を介して、しきい値を管理装置１２に送信する。管理装置１２の制御部３３８は、通信部３３４を介してしきい値を受信し、記憶部３４０に記憶する。ユーザ毎にしきい値を設定できるようにするために、記憶部３４０は、端末ＩＤ（もしくはユーザＩＤ）としきい値とを関連付けて記憶する。制御部３３８は、Ｓ１３０において記憶部３４０から処理対象の端末装置１６に対応するしきい値を読み出し、上記の判定処理に用いればよい。つまり、位置情報Ｐとの距離がしきい値以下である位置情報Ｑを持つレコードＲが存在する場合に、位置情報Ｐが過去の充電エリアに含まれると判定すればよい。

また、１人のユーザが複数のしきい値を設定できるようにしてもよい。例えば、充電位置毎にしきい値を設定できるようにしてもよい。その場合、充電位置テーブル３６０において、充電位置（緯度、経度）に対応させてしきい値を記憶してもよい。このような処理を行うことにより、ユーザの利便性が向上する。例えば、充電位置がユーザの自宅である場合、自宅内の各部屋は比較的距離が近く、充電位置は比較的狭い範囲に収まるため、しきい値を比較的小さな値に設定するとよい。このように設定することで、近隣の家で充電された場合の異常を検出し易くなる。一方、充電位置が職場である場合、自席の他に会議室等で充電する可能性があり、自宅に比べて充電位置が広く分布する可能性があるため、しきい値を比較的大きな値に設定するとよい。このように設定することで、職場内で充電可能な場所が広がり、ユーザの利便性が向上する。

本実施例によれば、端末装置の位置情報が充電位置テーブルに含まれる場合に端末装置への発信を続行し、端末装置の位置情報が充電位置テーブルに含まれない場合に端末装置への発信を停止するので、端末装置が不正使用された場合においても情報漏洩を防止できる。また、端末装置が不正使用されていない場合には、通常通りに通話できる。

また、端末装置が正規の使用者ではない第三者に使用されている場合において、機密性の高い通話情報が第三者に漏洩することを防止できる。また、通信システムにおいて、ＩＰ無線通信用アプリケーションがインストールされた端末装置が盗難された場合、あるいは紛失した場合に機密性の高い通話情報が第三者へ漏洩することを防止できる。また、端末装置の位置情報が充電位置テーブルに含まれない場合に本人確認を実行するので、端末装置の状態を正確に取得できる。また、端末装置が日常的に充電される位置情報を管理装置で記憶し、新規の充電場所にて本人確認を行うので、端末装置が盗難、紛失した可能性を推測できる。また、本人確認がなされたときの位置情報を充電位置テーブルに追加するので、端末装置の多様な使用形態に柔軟に対応できる。端末装置の使用者（ユーザ）は、あらかじめ端末装置を使用する位置を登録しておく必要がないため、使用者の利便性を向上することができる。

（実施例２）
次に、実施例２を説明する。実施例１では、充電位置情報判定処理で設定された発信確認テーブル３６２において発信確認が「１」に設定された端末装置１６へ通話を送信する際に、管理装置１２の制御部３３８により通話を中止する処理を説明した。実施例２では発信確認が「１」に設定された端末装置１６へ通話を送信する際に、発信方法を自動で切り替える処理について説明する。実施例２に係る通信システム１００、端末装置１６、管理装置１２は、図１から図５と同様のタイプである。ここでは、これまでとの差異を中心に説明する。

ＩＰ無線通信システムにおいて、端末装置１６が発信する際に、「通常発信」及びＲｉｎｇ Ｂａｃｋ Ｔｏｎｅ（以下、「ＲＢＴ」という）発信のいずれかを選択できる場合がある。本実施例における通信システム１００では、端末装置１６が「通常発信」と「ＲＢＴ発信」のいずれかを選択して通信を行う。図１３（ａ）－（ｂ）は、通信システム１００における通常発信の概要を示す。ここでは、第１端末装置１６ａと第２端末装置１６ｂという２つの端末装置１６間の通信を前提とするが、３つ以上の端末装置１６間の通信であってもよく、１対多のグループ通信であってもよい。第１端末装置１６ａは第１使用者１８ａに使用され、第２端末装置１６ｂは第２使用者１８ｂに使用される。また、半二重通信を使用する場合を想定する。

図１３（ａ）において、第１使用者１８ａが第１端末装置１６ａの通話ボタンを押し下げている間、第２使用者１８ｂが第２端末装置１６ｂを操作しなくても、第１使用者１８ａと第２使用者１８ｂとの音声通話が開始される。具体的に説明すると、第１使用者１８ａが第１端末装置１６ａの通話ボタンを押し下げている間、第１使用者１８ａによって発話された音声が音声信号として、第１端末装置１６ａから第２端末装置１６ｂに発信される。第２端末装置１６ｂは、受信した音声信号を再生し、音声を出力する。図１３（ｂ）は、図１３（ａ）に続く処理であり、第２使用者１８ｂが第２端末装置１６ｂの通話ボタンを押し下げている間、第２使用者１８ｂによって発話された音声が音声信号として、第２端末装置１６ｂから第１端末装置１６ａに発信される。第１端末装置１６ａは、受信した音声信号を再生し、音声を出力する。このように、第１使用者１８ａと第２使用者１８ｂとの間で交互に通話ボタンが押し下げられ、通話がなされる。

図１４（ａ）－（ｄ）は、通信システム１００におけるＲＢＴ発信の概要を示す。図１４（ａ）－（ｄ）は図１３（ａ）－（ｂ）と同様に示される。第１使用者１８ａが第１端末装置１６ａの通話ボタンを押し下げている間、第１端末装置１６ａは呼び出し音を出力する。第２端末装置１６ｂは、音声通話を開始せず、着信音を出力する。図１４（ｂ）は、図１４（ａ）に続く処理であり、着信音を聞いた第２使用者１８ｂが第２端末装置１６ｂの通話ボタンを押下する等の所定の操作を行うと、図１４（ｃ）の通話開始への遷移がなされる。第１使用者１８ａが第１端末装置１６ａの通話ボタン押下を止める（通話ボタンを離す）と、図１４（ｃ）の通話が終了する。通話終了時点から所定時間以内に、第２使用者１８ｂが第２端末装置１６ｂの通話ボタンの押下を持続すると、第２端末装置１６ｂから第１端末装置１６ａへの折り返し通話（コールバック）が開始される。この状態を図１４（ｄ）に示す。なお、ＲＢＴ発信に対する折り返し通話において通常は、第２端末装置１６ｂの呼び出し音や、第１端末装置１６ａの着信音は出力されず、すぐに通話状態となる。

図１４（ｃ）の通話が通話終了してから所定時間が経過した以降に、第２使用者１８ｂが第２端末装置１６ｂの通話ボタンを押下すると、折り返し通話ではなく、新規のＲＢＴ発信となる。この場合は、第２端末装置１６ｂの呼び出し音と、第１端末装置１６ａの着信音が出力される。このようにＲＢＴ発信では、音声通話を開始するために、受信側（着信側）の端末装置１６での操作が必要となる。そのため、ＲＢＴ発信は、発信相手に確実に情報を伝える必要がある場合に利用される。なお、上述の説明では、通話ボタンを押し下げ続ける操作により、ＲＢＴ発信を実行するとしたが、他の操作によってＲＢＴ発信を実行してもよい。例えば、通話ボタンを１回（短時間）押下することにより、ＲＢＴ発信を実行してもよい。すなわち、通常発信では、受信側（着信側）の端末装置１６で所定の操作が行われなくても通話状態となり、受信側の端末装置１６から音声が出力されるのに対し、ＲＢＴ発信では、受信側の端末装置１６で所定の操作が行われないと通話状態とならず、受信側の端末装置１６から音声が出力されない。

通常発信とＲＢＴ発信の切替は、一般的に、発信側の端末装置１６における設定をもとになされる。端末装置１６において、「通常発信」が設定された場合、あるいは「発信時に通常発信あるいはＲＢＴ発信」が設定され、発信時に「通常発信」が選択された場合、通常発信がなされる。図１５（ａ）－（ｂ）は、端末装置１６の表示部３６に表示される画面を示す。これは、端末装置１６において通常発信、ＲＢＴ発信に関する設定を行うための画面例である。図１５（ａ）のＲＢＴ利用設定画面を用いて、発信時の動作が設定される。「利用しない」を設定した場合、通話ボタンを押下した後、通常発信がなされる。「常時利用」を設定した場合、通話ボタンを押下した後、ＲＢＴ発信がなされる。「発信時選択」を設定した場合、通話ボタンを押下した後、図１５（ｂ）の発信時選択画面が表示される。つまり、使用者１８は通話を開始する毎に（発呼毎に）、通常発信またはＲＢＴ発信を選択する。図１５（ｂ）の発信時選択画面において、「ＲＢＴ発信」を選択した場合、ＲＢＴ発信がなされる。「通常発信」を選択した場合、通常発信がなされる。なお、「通常発信」を「第１通信モード」、「ＲＢＴ発信」を「第２通信モード」と呼ぶ場合もある。

図１６（ａ）－（ｂ）は、通信システム１００における２つの発信方式の概要を示すシーケンス図である。図１６（ａ）は、ＳＩＰ通信において、第１端末装置１６ａから第２端末装置１６ｂへの通常発信がなされる場合の手順を示す。第１端末装置１６ａにおいて通常発信が選択された後（Ｓ１０）、第１端末装置１６ａは第２端末装置１６ｂ宛てにＩＮＶＩＴＥ（自動応答）を送信する（Ｓ１２）。送信されたＩＮＶＩＴＥ（自動応答）は管理装置１２を経由し、第２端末装置１６ｂに送信される（Ｓ１４）。第２端末装置１６ｂはＩＮＶＩＴＥ（自動応答）を受信した後、第１端末装置１６ａ宛てにステータスコード２００ ＯＫを送信する（Ｓ１６）。送信されたステータスコード２００ ＯＫは管理装置１２を経由し、第１端末装置１６ａに送信される（Ｓ１８）。第１端末装置１６ａはステータスコード２００ ＯＫを受信した後、ＡＣＫ（Ａｃｋｎｏｗｌｅｄｇｅ）を送信する（Ｓ２０）。送信されたＡＣＫは管理装置１２経由で、第２端末装置１６ｂに送信される（Ｓ２２）。第１端末装置１６ａはＡＣＫを送信した後、ＲＴＰを使って通話データの送信を開始する（Ｓ２４、Ｓ２６、Ｓ２８）。なお、第１端末装置１６ａおよび第２端末装置１６ｂと管理装置１２との間の通信は、基地局装置１４を経由して行われるが、説明を簡潔にするため、図１６（ａ）においては基地局装置１４を省略している。

図１６（ｂ）は、ＳＩＰ通信において、第１端末装置１６ａから第２端末装置１６ｂへのＲＢＴ発信がなれる場合の手順を示す。第１端末装置１６ａでＲＢＴ発信が選択された後（Ｓ５０）、第１端末装置１６ａは第２端末装置１６ｂ宛てにＩＮＶＩＴＥ（手動応答）を送信する（Ｓ５２）。送信されたＩＮＶＩＴＥ（手動応答）は管理装置１２を経由し、第２端末装置１６ｂに送信される（Ｓ５４）。第２端末装置１６ｂはＩＮＶＩＴＥ（手動応答）を受信した後、第１端末装置１６ａ宛てにステータスコード１００ Ｔｒｙｉｎｇを送信する（Ｓ５６）。送信されたステータスコード１００ Ｔｒｙｉｎｇは管理装置１２を経由し、第１端末装置１６ａに送信される（Ｓ５８）。第２端末装置１６ｂはステータスコード１００ Ｔｒｙｉｎｇを送信した後、第１端末装置１６ａ宛てにステータスコード１８０ Ｒｉｎｇｉｎｇを送信する（Ｓ６０）。送信されたステータスコード１８０ Ｒｉｎｇｉｎｇは管理装置１２を経由し、第１端末装置１６ａに送信される（Ｓ６２）。第１端末装置１６ａは、ＡＣＫを受信するまで通話を開始せずに待機する。

その後、第２端末装置１６ｂの通話ボタンが押下された場合（Ｓ６４）、第２端末装置１６ｂは第１端末装置１６ａ宛てにステータスコード２００ ＯＫを送信する（Ｓ６６）。送信されたステータスコード２００ ＯＫは管理装置１２を経由し、第１端末装置１６ａに送信される（Ｓ６８）。第１端末装置１６ａはステータスコード２００ ＯＫを受信した後、ＡＣＫを送信する（Ｓ７０）。送信されたＡＣＫは管理装置１２経由で、第２端末装置１６ｂに送信される（Ｓ７２）。第１端末装置１６ａはＡＣＫを送信した後、ＲＴＰを使って通話データの送信を開始する（Ｓ７４、Ｓ７６、Ｓ７８）。

本実施例において、管理装置１２の制御部３３８は第１端末装置１６ａから通常発信、またはＲＢＴ発信による通話開始要求を受信した場合、具体的には図１６（ａ）－（ｂ）のＳＩＰシーケンスにおいて第１端末装置１６ａからＩＮＶＩＴＥ（自動応答）、またはＩＮＶＩＴＥ（手動応答）を受信した際、発信確認テーブル３６２を参照し、発信先端末装置１６である第２端末装置１６ｂの発信確認の値を確認する。第２端末装置１６ｂの発信確認が「０」である場合、管理装置１２の制御部３３８は第２端末装置１６ｂへＩＮＶＩＴＥ（自動応答）、またはＩＮＶＩＴＥ（手動応答）を送信し、通常のＳＩＰシーケンスを実行する。第２端末装置１６ｂの発信確認が「１」である場合、管理装置１２の制御部３３８は第２端末装置１６ｂへＩＮＶＩＴＥ（自動応答）、またはＩＮＶＩＴＥ（手動応答）を送信せず、ＩＮＶＩＴＥ（本人確認）を送信する。

図１７（ａ）－（ｂ）は、通信システム１００による本人確認を伴うＳＩＰシーケンスを示すシーケンス図である。これらは、本実施例で第１端末装置１６ａが第２端末装置１６ｂへ通常発信、またはＲＢＴ発信を行った場合に、第２端末装置１６ｂへＩＮＶＩＴＥ（本人確認）を送信するときのＳＩＰシーケンスの例となる。特に、図１７（ａ）は、本人確認画面において本人確認が行われた場合（本人確認が成功した場合）のシーケンスを示し、図１７（ｂ）は、本人確認画面において本人確認が行われなかった場合（本人確認が失敗した場合）のシーケンスとなる。

図１７（ａ）において、第１端末装置１６ａにおいて通常発信あるいはＲＢＴ発信がなされ（Ｓ４００）、第１端末装置１６ａはＩＮＶＩＴＥ（自動応答）またはＩＮＶＩＴＥ（手動応答）を送信する（Ｓ４０２）。管理装置１２は、発信確認テーブル３６２において第２端末装置１６ｂの発信確認「１」を確認する（Ｓ４０４）。管理装置１２は、ＩＮＶＩＴＥ（本人確認）を送信する（Ｓ４０６）。ＩＮＶＩＴＥ（本人確認）を受信した第２端末装置１６ｂは、第１端末装置１６ａ宛てにステータスコード１００ Ｔｒｙｉｎｇ及びステータスコード１８０ Ｒｉｎｇｉｎｇを送信する（Ｓ４０８、Ｓ４１２）。送信されたステータスコード１００ Ｔｒｙｉｎｇ及びステータスコード１８０ Ｒｉｎｇｉｎｇは管理装置１２を経由し、第１端末装置１６ａに送信される（Ｓ４１０、Ｓ４１４）。第１端末装置１６ａは呼出音を出力し、通話を開始せずに待機する。

次に第２端末装置１６ｂの制御部３８は表示部３６に本人確認画面を表示する（Ｓ４１６）。図１８は、端末装置１６の表示部３６に表示される画面を示す。なお、本図では例として本人確認を行う手段として顔認証、指紋認証、パターン描画としているが、その他の認証方式でもよい。また、本画面表示時、第２端末装置１６ｂの制御部３８は着信音や報知音を出力してもよい。また端末装置１６の筐体を振動（バイブレーション）させてもよい。図１７（ａ）に戻る。

第２端末装置１６ｂの使用者が本人確認に成功した場合、第２端末装置１６ｂの制御部３８は、第１端末装置１６ａ宛てにステータスコード２００ ＯＫを送信する（Ｓ４１８）。管理装置１２の制御部３３８は第２端末装置１６ｂからステータスコード２００ ＯＫを受信した後、発信確認テーブル３６２の第２端末装置１６ｂの発信確認を「０」に設定する（Ｓ４２０）。管理装置１２は、ステータスコード２００ ＯＫを第１端末装置１６ａに送信する（Ｓ４２２）。第１端末装置１６ａはステータスコード２００ ＯＫ受信後、ＡＣＫを送信する（Ｓ４２４）。送信されたＡＣＫは管理装置１２経由で、第２端末装置１６ｂに送信される（Ｓ４２６）。第１端末装置１６ａはＡＣＫ送信後、ＲＴＰを使って通話データの送信を開始する（Ｓ４２８、Ｓ４３０、Ｓ４３２）。つまり、Ｓ４２８以降に、第１端末装置１６ａと第２端末装置１６ｂは通話状態となる。

図１７（ｂ）におけるステップＳ４５０からステップＳ４６６は、図１７（ａ）におけるステップＳ４００からステップＳ４１６と同一であるので、ここでは説明を省略する。第２端末装置１６ｂの本人確認が失敗した場合、例えば、第２端末装置１６ｂの使用者が正当な使用者であることを示す情報を入力できなかった場合や何も入力されずに所定時間が経過した場合、第２端末装置１６ｂの制御部３８は第１端末装置１６ａ宛てにステータスコード４１０等を送信する（Ｓ４６８）。送信されたステータスコード４１０は管理装置１２を経由し、第１端末装置１６ａに送信される（Ｓ４７０）。第１端末装置１６ａはステータスコード４１０受信後、ＡＣＫを送信する（Ｓ４７２）。送信されたＡＣＫは管理装置１２経由で、第２端末装置１６ｂに送信される（Ｓ４７４）。第１端末装置１６ａの制御部３８は管理装置１２からステータスコード４１０を受信した場合、表示部３６に通話を中止した旨のメッセージを表示する（Ｓ４７６）。その画面は例えば図１１のように示される。

また、第２端末装置１６ｂでの本人確認失敗時、管理装置１２の制御部３３８は第２端末装置１６ｂの現在の位置情報を取得し、第１端末装置１６ａへ通知してもよい。第１端末装置１６ａの制御部３８は第２端末装置１６ｂの位置情報を受信した場合、表示部３６に第２端末装置１６ｂの現在存在している位置の地図情報を表示する。図１９は、端末装置１６の表示部３６に表示される画面を示す。図示のごとく、地図情報が表示される。なお、実施例１の図１０のＳＩＰシーケンスにおいて、第１端末装置１６ａがＳ４７６において表示部３６に通話を中止した旨のメッセージを表示する際、図１９に示すような地図情報を表示してもよい。このような地図情報を表示することにより、第１端末装置１６ａの第１使用者１８ａは第２端末装置１６ｂの位置を容易に把握することができる。例えば、第２端末装置１６ｂを使用する第２使用者１８ｂが第２端末装置１６ｂの紛失や盗難に気付いた場合、他の第１端末装置１６ａ（例えば、友人が使用する第１端末装置１６ａ）を用いて、第２端末装置１６ｂに対して通話を発信するだけで、第２端末装置１６ｂの位置を容易に把握することができる。また、第１端末装置１６ａおよび第２端末装置１６ｂにおいて、地図情報（紛失情報）を表示するための事前の設定（例えば、地図表示を許可する端末装置の登録等）をしておく必要がないため、第１使用者１８ａおよび第２使用者１８ｂの負担、つまりユーザの負担が少ない。

なお、図１７（ａ）－（ｂ）のシーケンスの例において、第１端末装置１６ａから第２端末装置１６ｂへＩＮＶＩＴＥ（自動応答または手動応答）が発信された後、第２端末装置１６ｂの発信確認が「０」である場合、管理装置１２は第２端末装置１６ｂへ直ちにＩＮＶＩＴＥ（自動応答）を送信してもよい。

このように、管理装置１２の通信部３３４は、端末装置１６を宛先とする信号を受信した場合、端末装置１６が第１状態であれば端末装置１６に信号を送信する。一方、通信部３３４は、端末装置１６を宛先とする信号を受信した場合、端末装置１６が第２状態であれば端末装置１６に本人確認を要求するための信号を送信し、端末装置１６から受信した本人確認の結果に応じて、端末装置１６に対する通信を制御する。特に、通信部３３４は、端末装置１６を宛先とする第１通信モードの信号を受信した場合、端末装置１６が第１状態であれば端末装置１６に第１通信モードの信号を送信する。通信部３３４は、端末装置１６を宛先とする第１通信モードの信号を受信した場合、端末装置１６が第２状態であれば端末装置１６に本人確認を要求するための信号として第２通信モードの信号を送信する。ここで、第１通信モードは、端末装置１６において操作（所定の操作）が行われなくても通信が開始される通信モード（通常発信）である。また、第２通信モードは、端末装置１６において本人確認を行うための操作（所定の操作）が行われ、かつ本人確認が成功した（ユーザが認証された）後に通信が開始される通信モードである。このため、本実施例における第２通信モードを「認証付きＲＢＴ発信」と呼ぶこともある。

本実施例によれば、管理装置の正規の使用者ではない第三者が使用している可能性が高いと判定された端末装置に対して、通話方式を自動で切り替えて本人確認を行うので、正規の使用者による本人確認が行われない限り通話は開始されない。これにより、機密性の高い通話情報が第三者へ漏洩することを防止できる。また、正規の使用者が使用している可能性が高い場合に、通常発信によって即時に通話が開始されるので、情報を素早く伝達できる。また、情報の素早い伝達と、情報の漏洩防止とを両立できる。

なお、上述の各実施例では、端末装置が音声通話を行う例を用いて説明したが、これに限定されるものではない。例えば、端末装置が映像通話（映像通信）行ってもよい。映像通話を行う端末装置に本発明を適用した場合、発信元の端末装置のユーザの顔画像等が第三者に漏洩するリスクを低減することができる。また、端末装置同士がテキストデータや画像データなどによるメッセージを交換するチャットシステムに本発明を適用してもよい。例えば、メッセージを送信する先（送信対象）の端末装置が第２状態である場合、認証処理が完了しない限り、送信元の端末装置においてメッセージ入力ができないように制御することにより、情報が第三者に漏洩するリスクを低減することができる。

以上、本発明を実施例をもとに説明した。この実施例は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

１０ ネットワーク、 １２ 管理装置、 １４ 基地局装置、 １６ 端末装置、 １８ 使用者、 ３０ 入力部、 ３４ 通信部、 ３６ 表示部、 ３８ 制御部、 ４０ 記憶部、 ４２ 充電管理部、 ４８ 位置測定部、 １００ 通信システム、 ２１０ ＣＰＵ、 ２２０ ユーザＩＦ、 ２３０ 通信ＩＦ、 ２５０ バス、 ３３２ 計時部、 ３３４ 通信部、 ３３８ 制御部、 ３４０ 記憶部、 ３５０ 入力部、 ３５２ 表示部、 ３６０ 充電位置テーブル、 ３６２ 発信確認テーブル、 ４００ クロック発振器、 ４１０ ＣＰＵ、 ４３０ 通信ＩＦ、 ４４０ ユーザＩＦ、 ４５０ バス。

Claims (8)

1. 端末装置を管理する管理装置であって、
   充電中の端末装置からの位置情報を受信する通信部と、
   前記通信部において受信した前記位置情報が過去の充電エリアに含まれる場合、前記端末装置を第１状態であると判定し、前記通信部において受信した前記位置情報が過去の充電エリアに含まれない場合、前記端末装置を第２状態であると判定する制御部とを備え、
   前記通信部は、前記端末装置を宛先とする信号を受信した場合、前記端末装置が前記第１状態であれば前記端末装置に信号を送信し、前記端末装置が前記第２状態であれば前記端末装置への信号の送信を停止することを特徴とする管理装置。
2. 端末装置を管理する管理装置であって、
   充電中の端末装置からの位置情報を受信する通信部と、
   前記通信部において受信した前記位置情報が過去の充電エリアに含まれる場合、前記端末装置を第１状態であると判定し、前記通信部において受信した前記位置情報が過去の充電エリアに含まれない場合、前記端末装置を第２状態であると判定する制御部とを備え、
   前記通信部は、前記端末装置を宛先とする信号を受信した場合、前記端末装置が前記第１状態であれば前記端末装置に信号を送信するとともに、前記端末装置が前記第２状態であれば前記端末装置に本人確認を要求するための信号を送信し、前記端末装置から受信した本人確認の結果に応じて、前記端末装置に対する通信を制御することを特徴とする管理装置。
3. 前記通信部は、前記制御部において前記端末装置が前記第２状態であると判定された場合、前記端末装置に本人確認を要求するための信号を送信し、
   前記制御部は、前記通信部において受信した本人確認の結果が本人を示す場合、前記端末装置を前記第１状態に変更することを特徴とする請求項１または２に記載の管理装置。
4. 前記過去の充電エリアが示された充電位置テーブルを記憶する記憶部をさらに備え、
   前記制御部は、前記通信部において受信した本人確認の結果が本人を示す場合、前記通信部において受信した位置情報を前記充電位置テーブルに追加することを特徴とする請求項３に記載の管理装置。
5. 前記通信部は、前記端末装置を宛先とする第１通信モードの信号を受信した場合、前記端末装置が前記第１状態であれば前記端末装置に第１通信モードの信号を送信し、前記端末装置が前記第２状態であれば前記端末装置に本人確認を要求するための信号として第２通信モードの信号を送信し、
   前記第１通信モードは、前記端末装置において操作が行われなくても通信が開始される通信モードであり、前記第２通信モードは、前記端末装置において本人確認のための操作が行われ、かつ本人確認が成功した後に通信が開始される通信モードであることを特徴とする請求項２に記載の管理装置。
6. 前記通信部は、充電エリアの範囲を規定するしきい値をさらに受信し、
   前記制御部は、前記位置情報と過去の充電エリアとの距離が前記しきい値以下である場合に、前記位置情報が過去の充電エリアに含まれると判定することを特徴とする請求項１から５のいずれか１項に記載の管理装置。
7. 端末装置を管理するコンピュータに、
   充電中の端末装置からの位置情報を受信するステップと、
   受信した前記位置情報が過去の充電エリアに含まれる場合、前記端末装置を第１状態であると判定し、受信した前記位置情報が過去の充電エリアに含まれない場合、前記端末装置を第２状態であると判定するステップと、
   前記端末装置を宛先とする信号を受信した場合、前記端末装置が前記第１状態であれば前記端末装置に信号を送信するステップと、
   前記端末装置を宛先とする信号を受信した場合、前記端末装置が前記第２状態であれば前記端末装置への信号の送信を停止するステップと、
   を実行させるプログラム。
8. 端末装置を管理するコンピュータに、
   充電中の端末装置からの位置情報を受信するステップと、
   受信した前記位置情報が過去の充電エリアに含まれる場合、前記端末装置を第１状態であると判定し、受信した前記位置情報が過去の充電エリアに含まれない場合、前記端末装置を第２状態であると判定するステップと、
   前記端末装置を宛先とする信号を受信した場合、前記端末装置が前記第１状態であれば前記端末装置に信号を送信するステップと、
   前記端末装置を宛先とする信号を受信した場合、前記端末装置が前記第２状態であれば前記端末装置に本人確認を要求するための信号を送信し、前記端末装置から受信した本人確認の結果に応じて、前記端末装置に対する通信を制御するステップと、
   を実行させるプログラム。

Images