WO2012147170A1

WO2012147170A1 - リモート起動装置、方法、およびプログラム

Info

Publication number: WO2012147170A1
Application number: PCT/JP2011/060192
Authority: WO
Inventors: 篤志和田
Original assignee: 富士通株式会社
Priority date: 2011-04-26
Filing date: 2011-04-26
Publication date: 2012-11-01

Abstract

　本装置、方法、およびプログラムは、コンピュータのセキュリティの確保や動作の安全を確保しつつ、サーバなど管理装置の管理負担を軽減させ、リモートからコンピュータを起動させるための技術を提供する。ネットワークから起動指令としてのＷａｋｅ　Ｏｎ　ＬＡＮ（ＷＯＬ）パケットを端末が受信する。端末の状態を収集し、このＷＯＬに応答して、収集された端末の状態と起動ポリシ記憶部に記憶された起動ポリシとを端末自身が照合して起動可否を判断する。この照合した結果が合致していれば、端末を起動する。

Description

リモート起動装置、方法、およびプログラム

　本発明は、遠隔の管理サーバなどからリモート起動が可能な装置、方法、およびプログラムに関する。

　コンピュータをリモート起動する技術としてＷａｋｅ　Ｏｎ　ＬＡＮ（以下「ＷＯＬ」と言う）が知られている。ＷＯＬは、ＬＡＮを用いて、リモートの管理サーバからクライアントを起動し、クライアントのメンテナンスを行う場合などに利用される。ＷＯＬは、ネットワーク上の対象機器のＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスを設定したＷａｋｅ　ｏｎ　Ｍａｇｉｃ　Ｐａｃｋｅｔ（以下「マジックパケット」と言う）をネットワーク上に送信する。起動対象機器はそのマジックパケットを検出して電源をオンし起動する。このようにして、ネットワーク上の複数台のコンピュータをリモートから起動させることができる。ＷＯＬを利用することにより、管理者が社内などに設置された各コンピュータを直接操作する手間を削減することができる。

　ここで問題となるのは、上述の利用者認証が機能しているコンピュータに対してＷＯＬによる起動をどのように行うかである。たとえば、サーバからクライアントのコンピュータをリモートから起動しようとしても、利用者認証の段階で、リモート起動が阻止されてしまうことがある。ＷＯＬでの起動を試みても、管理者がコンピュータを直接操作して、利用者認証を行うことが必要となる場合もある。

　このため、ＷＯＬによるコンピュータの起動の場合には、利用者認証を迂回（スキップ）する処理が知られている。しかしながら、ＷＯＬの際に利用者認証を迂回できるようにした場合には、セキュリティ上の問題が発生する。すなわち、悪意のある第三者がこの起動手順を利用することが予想される。この第三者は、ＷＯＬを利用することによって、利用者認証を経ずにコンピュータを起動することが可能となってしまう。

　この問題に対処するため、ＷＯＬでの起動中においても認証を行うために、サーバでクライアントのパスワードを管理する技術が知られている（特許文献１）。サーバからクライアントにパスワードを送信し、パスワードによる認証が成功した場合にはクライアントが起動する。しかしながら、この技術において、運用管理などで集中起動を実施する場合には、サーバが認証情報をクライアントの数だけ管理する必要がある。また、パスワードは随時変更される。このため、サーバ側の操作の負担や認証情報の管理負担が大きくなるという問題がある。また、生体認証などが用いられているクライアントの装置に対しては、この技術は適用できない。

　また、ウエイクアップ要求がクライアントで検出されると、クライアントのディスプレイモニタの表示画面をオフにした状態あるいはキーボードおよびマウスによる入力をロックした状態でクライアントの起動を行う技術が知られている（特許文献２）。しかしながら、この技術は、ディスプレイモニタのオフやキーボードおよびマウスのロックに止まるものであり、十分なセキュリティの確保がなされないという問題がある。第三者が故意に外部メモリ（例えばＵＳＢメモリ）を接続し、ＷＯＬでの起動時に外部メモリの自動実行プログラムを起動させることも可能である。この場合、ディスプレイ表示や入力機器の操作なしに、ハードディスク内のデータを外部メモリにコピーすることも可能となってしまう場合がある。

　また、ＷＯＬで起動されたラップトップコンピュータのシステム（ＯＳ）などの更新中に、バッテリが切れてしまい、ハードディスク内のデータの破損を招く場合もあり得る。これはフェールセーフの観点から問題がある。

　また、セキュリティ保護対象の電子機器に対し利用の許可および制限を通知するセキュリティ保護装置を備え、セキュリティ保護装置から利用の許可が通知されていない場合にはＢＩＯＳの制御により当該電子機器を起動しない処理を実行する起動制御機能を電子機器に設ける技術が知られている。また、予め定められた時間帯に機器の利用を許可する技術が知られている（特許文献３）。しかしながら、起動が許可され、一旦起動してしまった機器に対しては、第三者による機器の操作が可能であり、不正な操作を防止できないという問題がある。

　また、クライアントが実行できるアプリケーションの時間帯を、アプリケーション起動サーバが管理し、クライアントに実行の許可を与える技術が知られている（特許文献４）。この技術は、クライアントの動作する時間帯を制限する技術に止まるものである。

特開２０００－２１５１６７号公報特開平１１－３４５２０５号公報特開２００３－０６７３３８号公報特開２００４－２３４０４３号公報

　本装置、方法、およびプログラムは、上記実情に鑑みなされたもので、装置のセキュリティの確保や動作の安全を確保しつつ、サーバなど管理装置の管理負担を軽減させ、リモートから装置を作動させるための技術を提供することを目的とする。

　本装置の一観点によれば、ネットワーク接続された装置であって、当該装置の起動ポリシを記憶する起動ポリシ記憶部と、前記ネットワークから当該装置を作動状態に移行させる指令を受信する受信部と、当該装置の状態を収集する状態収集部と、収集された前記状態と前記起動ポリシとを照合した結果を出力する照合部と、前記照合した結果が合致を示している場合、前記指令を受信した当該装置を起動する起動部と、を有することを特徴とする装置が提供される。

　なお、本発明の一実施形態の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。

　開示の装置、方法、およびプログラムは、装置のセキュリティの確保や動作の安全を確保しつつ、サーバなど管理装置の管理負担を軽減させ、リモートから装置を作動させることができるという効果を奏する。

本発明の一実施形態のシステム構成を示す図である。システムを起動するフローの例を示す図である。ＷＯＬでの起動後における起動ポリシのチェックのフローを示す図である。端末の機能的構成を示す図である。端末のハードウエア構成を示す図である。

　以下、図面を参照しながら、本発明の実施形態について説明する。

　なお、本発明が対象とする装置は、コンピュータに限られるものではない。例えば、携帯電話、固定電話、自動車等に搭載されるナビゲーションシステム、ゲーム機器、電子ブック、テレビ、ビデオレコーダ、各種制御機器等、通信ネットワークで接続された機器に適用できる点に留意すべきである。また、コンピュータシステムについても、パーソナルコンピュータ、タブレットコンピュータ等のクライアント用のコンピュータに限られるものではなく、サーバや、ゲートウエイ等を含むものである。

　また、ＷＯＬには、幾つかのモードが存在する。第１のモードは、機器の電源が完全にオフの状態から電源オンを行い作動状態に移行するモードである。第２のモードは、いわゆるスタンバイ状態（少なくとも揮発性メモリに電源が供給されている状態）、あるいは休止状態（揮発性メモリの内容を不揮発性メモリに待避して電源をオフする状態）から作動状態に移行するモードである。特に、第二のモードでは、作動状態に移行することを「復帰」または「起動」と呼ぶ場合がある。

　本発明の実施態様は、上記のいずれのモードも対象とする点に留意すべきである。したがって、以下の実施形態の記述においては、「起動」、「電源のオン」、「復帰」などの言葉を用いる場合があるが、これらは「作動」という概念に包含される。そして、「作動」状態以外の状態（例えば「シャットダウン」、「電源オフ」、「休止状態」、「スタンバイ状態」等）は、「作動」が「停止」した状態の概念に包含される。なお、本明細書では、装置が作動を始めることを「起動」の語で代表させて説明する。

　なお、実施形態の説明では、ＷＯＬを用いて説明するが、本発明はＷＯＬの技術に限定されるものではない。本発明は、機器をリモート（遠隔）から「作動」状態または「作動を停止」した状態に制御できるあらゆる技術を対象とする。例えば、インターネットを介したリモート起動等にも適用できることは言うまでもない。

　また、本明細書では、ハードディスクのクラッシュ防止や、システムの熱暴走防止など、フェールセーフに係る事項も「セキュリティ」の語で代表させて説明する場合がある。リモートでの端末起動においては、セキュリティに加えて安全対策としてのフェールセーフの観点からの十分な手当も必要である。

　図１は、本発明の一実形態のシステム１００の構成を示している。図１のシステム１００は、ＬＡＮ１０１を介して、端末起動サーバ１１０、端末管理サーバ１２０、端末１３１、および端末１３２が接続されている。

　図１において、端末起動サーバ１１０が端末１３１を起動させる場合の処理の一例を説明する。端末起動サーバ１１０は、まず、端末１３１を起動させるためのマジックパケットを、ＬＡＮ１０１を介してブロードキャストする。ブロードキャストする理由は、端末１３１の電源がオンとなっていないために、端末１３１のＩＰアドレスが未知だからである。このため、端末１３１のネットワークアダプタの物理アドレスであるＭＡＣアドレスをＷＯＬパケットに含ませる。一般的なマジックパケットでは、ＩＰヘッダに続いて、０ｘｆｆｆｆｆｆｆｆｆｆｆｆ（６バイト）と、ＷＯＬの対象のコンピュータのネットワークアダプタのＭＡＣアドレス（６バイト）が１６回連続する１０２バイトのデータを持つ。このマジックパケットはＵＤＰブロードキャストされる。

　端末１３１のネットワークアダプタが、そのネットワークアダプタのＭＡＣアドレスを持つマジックパケットを受信すると、自己の端末宛のマジックパケットであることを認識する。その後、一定の条件の下で端末１３１が作動状態となる。

　なお、端末管理サーバ１２０は、例えば各端末の起動ポリシの配信を行う機能を含むサーバである。端末起動サーバ１１０および端末管理サーバ１２０は、必ずしも別のサーバとする必要はなく、１つのサーバに上述の二つの機能がインプリメントされてもよい。なお、起動ポリシの詳細に関しては後述する。

　図２は、システムを起動するフローの例を示している。この実施例では、電源オフの状態から電源をオンし、システムを起動する例を示している。

　まず、通常の電源ボタン押下を行った場合の処理を説明する。ステップ２１０で、オペレータが電源ボタンを押下する。ステップ２１３において電源がオンとなる。その後ステップ２１５でＢＩＯＳ（Ｂａｓｉｃ　Ｉｎｐｕｔ　Ｏｕｔｐｕｔ　Ｓｙｓｔｅｍ）が起動する。ステップ２１７において利用者の認証が行われる。典型的な認証の方式は、ユーザＩＤとパスワードによる認証である。この場合、ステップ２１９において、適切なユーザＩＤとパスワードが入力されたか否かがチェックされる。認証が失敗すれば（ＮＧ）のルートを通って利用者認証のステップ２１７に戻る。認証が成功すれば（ＯＫ）ステップ２５０で、システム（ＯＳ）が起動する。

　次に、本発明の一実施形態における処理を説明する。ステップ２３０において、端末起動サーバからマジックパケットを受信する。ステップ２３１において、このマジックパケットが自己のネットワークアダプタのＭＡＣアドレスである場合には、入出力装置（Ｉ／Ｏ）を無効化した状態で電源をオンする。例えば、キーボード、マウス等の入力機器、各種の入出力端子は無効となる。そして、ステップ２３３で、ディスプレイを非表示にして、ＢＩＯＳを起動する。ステップ２７０では、端末管理サーバから起動ポリシが受信された場合には、受信された起動ポリシを起動ポリシ記憶部に記憶（または記憶内容の更新を）してもよい。また、ステップ２８０では、端末の情報が収集される。ここで、記憶されている起動ポリシ２７０と端末の状態２８０が、ステップ２３５において照合される。この照合によって、端末の状態が起動する条件に合致しているか否かが判断される。ポリシに合致していると判断された場合（Ｙｅｓ）には、ステップ２５０に移行し、システム（ＯＳ）が起動する。これに対して、ポリシに合致していないと判断された場合（Ｎｏ）には、ステップ２６０において、電源はオフとされ、ＷＯＬによるシステムの起動が回避される。なお、ポリシとの合致の結果は、端末起動サーバ１１０に報告してもよい（２３６、２３７）。

　次に、起動ポリシ２７０について説明する。各端末が保持する起動ポリシとは、端末が起動するための端末の状態に係る条件であって、端末起動サーバからの端末に対する起動指令に対して、端末自身が起動の適否を判断するための条件である。起動ポリシは、１つ以上の要素を含んでおり、端末の使用目的、動作環境、セキュリティレベル、フェールセーフ要求等に基づき、端末に適した要素が決定される。以下、起動ポリシの要素を列挙する。なお、以下の列挙はイグゾースティブな列挙ではない。
（１）外部記憶装置が装着されていないこと
　外部記憶装置（例えばＵＳＢメモリ、外付けハードディスク等）が接続されている場合に、端末は、本来の起動ハードディスクからではなく、外部記憶装置に記憶されたシステム（ＯＳ）により起動してしまう場合がある。この場合には、端末は第三者の希望する状態で起動してしまう可能性がある。このような状態を避けるため、外部記憶装置が装着されていないことを起動の条件としてもよい。
（２）入力デバイスが操作されていないこと
　入力デバイス（例えば、キーボード、マウス等）は、第三者に端末を操作されないようロックすることが望ましい。そのようなロック状態を設定してもなお、第三者がワイヤレスマウスを接続している等の場合には、第三者に端末を操作されてしまう場合がある。この条件は、確実に入力デバイスが操作されていないことをチェックするものである。第三者の端末操作を防止するため、入力デバイスが操作されていないことを起動の条件としてもよい。
（３）起動ディスクが予め定められたものであること
　起動ディスクが、本来のものから別のものに差し替えられている場合、本来起動すべきシステム（ＯＳ）とは異なるシステム（ＯＳ）が起動してしまう場合がある。したがって、例えば、本来のハードディスクと異なるシリアル番号のハードディスクが装着されているか否かをチェックすることは重要である。チェックする対象としては、シリアル番号があるが、ハードディスクを特定する情報であれば他の情報でもよい。したがって、起動ディスクが予め定められたものであることを起動の条件としてもよい。
（４）外部電源が接続されていること
　例えば、一定時間を要するシステムプログラムをアップデートする場合などでは、そのアップデート途中でバッテリ切れなどの電源断によるシステムの異常終了を避けることが必要である。このような異常終了が発生すると、重要なシステムプログラムが正常に動作しなくなったり、記憶装置自体がクラッシュしてしまったりすることもあり得る。このような事態が生じることは、端末システムの安定稼働に支障を来してしまう。したがって、特にラップトップＰＣなどのバッテリ駆動型の端末に対しては、外部電源が接続されていることを起動の条件として採用してもよい。
（５）表示装置が作動していないこと
　図２の実施形態においては、ステップ２３３で表示装置を非表示でＢＩＯＳを起動している。しかしながら、第三者が外部ディスプレイを装着することも想定される。したがって、標準装備の表示装置や外部ディスプレイが機能していないことを、起動の条件としてもよい。
（６）無線機能が作動していないこと
　ＷＯＬは、通常有線ＬＡＮの使用を前提としている。したがって、無線ＬＡＮの機能を無効化しておくことが、セキュリティ上望ましい。また、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＷｉＦｉ（登録商標）、ＷｉＭＡＸ（登録商標）への接続機能を標準で装備しているＰＣも存在する。この場合も、Ｂｌｕｅｔｏｏｔｈ対応のキーボードやマウスが接続されてしまうことが想定される。また、ＷｉＦｉ、ＷｉＭＡＸ等を介して、第三者が端末と接続を行うことも想定される。したがって、無線機能が作動していないことを起動の条件としてもよい。
（７）端末が静止していること
　特にラップトップにおいては、位置を移動させることが可能である。ラップトップの移動において、ハードディスクへの過度な衝撃が加わった場合には、ハードディスクのクラッシュや、ソフトウエアのアップデートの失敗やプログラムの破損等を招く場合が想定される。このため、端末が静止していることを条件としてもよい。なお、端末が静止しているか否かは、加速度センサ等を搭載したラップトップにおいて検出することが可能である。
（８）前回の起動指令（ウエイクアップ信号）の受信から予め定められた期間が経過していること
　ＷＯＬによって端末をメンテナンスする場合には、休日などの特定の時期に行われることが多い。たとえば、週１回ＷＯＬによる起動を行って、メンテナンスを実施するシステムにおいては、ＷＯＬによるウエイクアップ信号がその間隔よりも頻繁に受信されている端末は、第三者の不正アクセスがなされた可能性がある。したがって、前回のウエイクアップ信号の受信から予め定められた期間が経過していることを起動の条件としてもよい。
（９）表示画面が閉じられていること
　ラップトップＰＣでは、表示画面が閉じられていることにより、画面を見ることができなくなると共に、キーボードの操作やパッドへの操作を行うことができない。したがって、画面が開閉するラップトップに対しては、表示画面が閉じられていることを起動の条件としてもよい。なお、表示画面が閉じられていることは、例えばＬＣＤパネルの開閉機構のスイッチで検出することができる。
（１０）端末の所在地が予め定められたエリア内であること
　ＷＯＬについては、上述のように有線ＬＡＮでの起動が前提である。しかしながら、無線回線を通じて端末の起動を指示するシステムを構築することも可能である。このような場合には、端末が盗難にあった場合等を考慮して、端末の所在地が予め定められたエリア内であることを起動の条件としてもよい。端末の所在地は、ＧＰＳシステムを用いることにより知ることができる。
（１１）端末の前に人が存在しないこと
　通常、ＷＯＬによる端末のメンテナンスは、就業時間外に行われることが多い。その場合に、端末の前に人が存在することは、作動中に端末を操作される可能性が高い。したがって、端末の前に人が存在しないことを起動の条件としてもよい。端末の前に人が存在しているか否かを検知するためには、例えば搭載されたカメラを用いることができる。あるいは、人間感知センサを用いることもできる。
（１２）端末のワイヤロックが接続されていること
　端末は、セキュリティ上ワイヤロックにより持ち出せないようにすることがある。ワイヤロックが外れている場合には、第三者による端末の不正操作が行われた可能性が高い。したがって、端末のワイヤロックが接続されていることを起動の条件としてもよい。なお、ワイヤロックが外れているか否かは、ロック穴スイッチで検出することができる。
（１３）キーボードのパームレストに手が置かれていないこと
　特に、ラップトップにおいては、パームレストがキーボードの前部に設けられているものがある。このパームレストに手が置かれている場合には、そのラップトップを操作される可能性が高い。したがって、キーボードのパームレストに手が置かれていないことを起動の条件としてもよい。なお、パームレストの上に手が置かれているか否かを検知するには、例えば重量センサを設けることで対応できる。
（１４）端末の筐体が開放された痕跡がないこと
　端末の筐体が開放されている場合には、第三者が端末内部のハードウエアを変更した可能性が高い、例えばハードディスクの追加や差し替えなどが想定される。また、筐体が開放されている場合には、第三者が不用意に内部機器にさわることにより、内部機器の損傷をもたらすこともある。したがって、端末の筐体が開放されているか、またはその痕跡がないことを起動の条件としてもよい。筐体があけられたか否かは、筐体のカバーのスイッチにより検出することができる。
（１５）端末の内部または外部の温度が予め定められた温度の範囲内にあること
　例えば、システムソフトのバージョンアップなどにおいては、バージョンアップが確実にされる必要がある。端末の内外の温度が非常に高い場合や非常に低い場合には、端末自体の動作が不安定になる場合がある。特に端末の内部の温度が高い場合には、ＣＰＵの熱暴走が懸念される。したがって、端末の内部または外部の温度が予め定められた温度の範囲内にあることを起動の条件としてもよい。

　図３を用いて、一実施形態としてのＷＯＬでの起動後における起動ポリシのチェックを説明する。図３の処理は、図２において、ＷＯＬにより起動された端末の起動後のチェックを示す。この動作は、マルチタスクシステムにより、常に動作を続けるが、プロセスの優先度を適切に設定することにより、または、割込をかけて適切なインターバルで、ステップ３０１が実行されるようにすることにより、ＣＰＵの占有率を圧迫しないように設定される。ステップ３０１において、現在の端末状態が収集される。ステップ３０２で、端末状態と起動ポリシとを照合する。その結果がＹｅｓであれば、ステップ３０１に戻る。その結果がＮｏであれば、ステップ３０３において、その旨を端末起動サーバに報告してもよい。これと同時に、ステップ３０４において端末の作動を停止させてもよい。そして、端末の停止の結果をステップ３０５において、端末起動サーバに報告してもよい。

　端末が作動中においても、このように端末状態と起動ポリシとが一致しない場合は、もはや起動ポリシが満足されなくなったことを意味する。この場合、そのまま作動を継続することは、危険である可能性が高いことを意味する。したがって、この場合には、端末の作動を停止させてもよい。

　なお、作動の停止の方法としては、システムの終了手順を踏んで電源をオフにする、休止状態とする、およびスタンバイ状態とすることが含まれる。なお、例えば、システムを更新中の場合には、作動を停止するまでに時間がかかることも想定される。したがって、ステップ３０３において、速やかに端末起動サーバに報告をすることにより、報告を受けたオペレータが適切な対応を取ることもできる。

　図４は、一実施形態の端末の機能的構成を示している。端末４００は、ネットワーク４０１を介して端末起動サーバ１１０および端末管理サーバ１２０に接続されている。

　端末４００は、受信部４１０、起動ポリシ記憶部４１２、状態収集部４１４、検証部４１６、公開キー記憶部４１８、送信部４２０、照合部４２２、作動停止部４２４、起動部４２６を有してもよい。

　まず、受信部４１０は、端末起動サーバ１１０からＷＯＬパケットを受信する。受信部４１０は、受信したＷＯＬパケットが、端末４００のネットワークアダプタのＭＡＣアドレスを示しているかをチェックする。このチェックが肯定的であれば、端末起動サーバ１１０は、端末４００を起動する指令を送っていることが認識される。この認識によって端末の起動のための処理が開始される。

　起動ポリシ記憶部４１２には、上述した起動ポリシの要素の一つ以上が記憶されている。この起動ポリシは、端末の工場出荷時に記憶されてもよい。あるいは、受信部４１０によって、ネットワーク４０１を介して端末管理サーバ１２０に保存されている起動ポリシ４５０の配信を受けてもよい。端末管理サーバ１２０は、端末４００に適合した起動ポリシを選択し、秘密キーを用いて署名を付して、端末４００に配信してもよい。端末４００は、配信された起動ポリシを起動ポリシ記憶部４１２に記憶する。なお、起動ポリシに署名が付されている場合には、検証部４１６が、対応する公開キーを用いて、起動ポリシ記憶部に記憶された起動ポリシが改ざんされていないかを検証してもよい。検証結果は、起動部４２６に送られ、検証が確認されなかった場合には、起動部４２６を不活性化し、端末が起動されないようにしてもよい。なお、図４では、検証部の情報は起動部４２６に提供されているが、作動停止部４２４に提供してもよい。作動停止部は、検証部４１６からの情報に基づいて、端末の作動を停止させてもよい。

　状態収集部４１４は、端末の状態を収集する。具体的には、周辺デバイスをチェックして、外部記憶装置が装着されていないか、入力デバイス操作されていないか、起動ディスクが予め定められたものであるか、外部電源が接続されているか、表示装置が作動していないか、無線機能が作動していないか、端末が静止しているか、前回の起動指令の受信が何時であるか、表示画面が閉じられているか、端末の設置場所がどこか、端末の前に人が存在するか、端末のワイヤロックが接続されているか、キーボードのパームレストに手が置かれているか、端末の筐体が開放された痕跡があるか、端末の内部または外部の温度が何度か、などの情報を収集してもよい。

　起動ポリシ記憶部４１２に記憶された起動ポリシと、状態収集部４１４の情報とが、照合部に入力される。照合部４２２は、起動ポリシと、状態収集部４１４の情報とが合致しているか否かを照合する。照合した結果は、送信部４２０によってネットワーク４０１を端末起動サーバに送信してもよい。

　そして、照合部の照合した結果は、起動部４２６および作動停止部４２４に送られてもよい。照合した結果が合致を示している場合には、起動部４２６が活性化され、端末の起動が開始される。具体的には、システム（ＯＳ）の起動が開始される。

　なお、起動後、端末４００が作動中においても、照合部は継続して照合の処理を継続して実行してもよい。この場合、例えば、ＡＣ電源が抜かれる等の事象が発生し、起動ポリシを満たさなくなる場合が想定される。その場合には、照合した結果が合致していないことを示す。この場合には、作動停止部４２４によって、端末の作動を停止させてもよい。停止をする場合には、端末に障害を与えないよう適切な順序でシステムの作動を停止することが必要である。

　また、状態収集部４１４には、ロック穴スイッチ、温度センサ、筐体カバースイッチ、加速度センサなど、図４に示す種々のセンサからの情報が入力され、端末４００の状態が常に収集されてもよい。

　図５は、端末のハードウエア構成を示している。端末は、通信装置５００、ＢＩＯＳ起動部５０１、ＣＰＵ５０２、インターフェース装置５０３、表示装置５０４、入出力装置５０５、記録媒体５０７を読み書きするドライブ５０６、動的記憶装置５０８、メモリ装置５０９を有し、バス５１０で接続されている。

　一実施例においては、通信装置５００がＷＯＬパケットを受信し、通信装置５００がＢＩＯＳ起動部と連携しながら端末装置を起動させてもよい。すなわち、図４に示した各種機能部は、ＢＩＯＳの拡張機能としてインプリメントされてもよい。あるいは、ＯＳの起動の前後において起動するプログラムとしてインプリメントされてもよい。これらのプログラムがＣＰＵにおいて実行されることにより、仮想的に図４に示した各種機能部が実現されてもよい。

　また、プログラムに係る本発明は、機械読み取り可能な記録媒体に格納されてもよい。機械読み取り可能な記録媒体には、磁気記録媒体、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録媒体には、ＨＤＤ、フレキシブルディスク（ＦＤ）、磁気テープ（ＭＴ）などがある。光ディスクには、ＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｃ）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ　－　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＣＤ－Ｒ（Ｒｅｃｏｒｄａｂｌｅ）／ＲＷ（ＲｅＷｒｉｔａｂｌｅ）などがある。また、光磁気記録媒体には、ＭＯ（Ｍａｇｎｅｔｏ　－　Ｏｐｔｉｃａｌ　ｄｉｓｋ）などがある。

　上述の実施形態は、ＷＯＬにおいて、サーバと端末が役割を分担することによって、サーバの管理負担を軽減すると共に、セキュリティを確保し、またフェールセーフを担保することができる。

　なお、起動ポリシは、各端末で異なってもよい。また、たとえば会社内の部署毎に起動ポリシを決定してもよい。あるいは、利用される環境によって起動ポリシを異ならせてもよい。端末管理サーバから起動ポリシを配信することによって、容易に起動ポリシを変更することができる。また、起動ポリシに署名を施すことによって、端末に記憶された起動ポリシが改ざんされた場合にも、十分なセキュリティを確保することが可能である。

　以上、本発明に係る各種の実施形態を説明したが、上述の実施形態の説明は、添付の特許請求の範囲を限定的に解釈するためのものではない点に留意すべきである。また、請求項に係る方法の発明における各ステップは、矛盾のない限り順番を入れ替えてもよい。そして、ステップの順番を入れ替えた場合においても、当然のごとく請求項の技術的範囲に含まれる。

４００　端末
４０１　ネットワーク
４１０　受信部
４１２　起動ポリシ記憶部
４１４　状態収集部
４１６　検証部
４２０　送信部
４２２　照合部
４２４　作動停止部
４２６　起動部

Claims

　ネットワーク接続された装置であって、
　当該装置の起動ポリシを記憶する起動ポリシ記憶部と、
　前記ネットワークから当該装置を作動状態に移行させる指令を受信する受信部と、
　当該装置の状態を収集する状態収集部と、
　収集された前記状態と前記起動ポリシとを照合した結果を出力する照合部と、
　前記照合した結果が合致を示している場合、前記指令を受信した当該装置を起動する起動部と、
　を有することを特徴とする装置。
　前記受信部は、さらに、前記ネットワークから前記起動ポリシを受信し前記起動ポリシ記憶部に記憶することを特徴とする請求項１に記載の装置。
　前記照合部は、当該装置が作動している間、前記照合を実行し、
　前記照合した結果が合致を示していないことに応答して、当該装置の作動を停止させる、作動停止部を更に有することを特徴とする請求項１または２に記載の装置。
　前記照合した結果を、前記指令の発信元に送信する送信部、を更に有することを特徴とする請求項１乃至３のうちいずれか１項に記載の装置。
　前記起動ポリシは、前記指令の発信元によって署名されており、
　前記起動ポリシ記憶に記憶された起動ポリシを、前記署名を用いて検証する検証部を更に有し、
　前記起動部は、前記検証部によって起動ポリシが検証されない場合、当該装置を起動させないことを特徴とする請求項１乃至４のうちいずれか１項に記載の装置。
　前記起動ポリシは、
（１）外部記憶装置が装着されていないこと
（２）入力デバイスが操作されていないこと
（３）起動ディスクが予め定められたものであること
（４）外部電源が接続されていること
（５）表示装置が作動していないこと
（６）無線機能が作動していないこと
（７）当該装置が静止していること
（８）前回の前記指令の受信から予め定められた期間が経過していること
（９）表示画面が閉じられていること
（１０）当該装置の所在地が予め定められたエリア内であること
（１１）当該装置の前に人が存在しないこと
（１２）当該装置のワイヤロックが接続されていること
（１３）キーボードのパームレストに手が置かれていないこと
（１４）当該装置の筐体が開放された痕跡がないこと
（１５）当該装置の内部または外部の温度が予め定められた温度の範囲内にあること
　のうち少なくともいずれか一つを含むことを特徴とする請求項１乃至６のうちいずれか１項に記載の装置。
　ネットワークから、ネットワーク接続された装置を作動状態に移行させる指令を受信し、
　前記装置の状態を収集し、
　収集された前記状態と起動ポリシ記憶部に記憶された起動ポリシとを照合した結果を出力し、
　前記照合した結果が合致を示している場合、前記指令を受信した前記装置を起動することを特徴とする方法。
　前記受信する処理は、さらに、前記ネットワークから前記起動ポリシを受信し前記起動ポリシ記憶部に記憶することを特徴とする請求項７に記載の方法。
　前記照合した結果を出力する処理は、当該装置が作動している間、前記照合を実行し、
　前記照合した結果が合致を示していないことに応答して、当該装置の作動を停止させることを特徴とする請求項７または８に記載の方法。
　前記照合した結果を、前記指令の発信元に送信することを特徴とする請求項７乃至９のうちいずれか１項に記載の方法。
　前記起動ポリシは、前記指令の発信元によって署名されており、
　前記起動ポリシ記憶に記憶された起動ポリシを、前記署名を用いて検証し、
　前記起動する処理は、前記検証する処理によって起動ポリシが検証されない場合、前記装置を起動させないことを特徴とする請求項７乃至１０のうちいずれか１項に記載の方法。
　前記起動ポリシは、
（１）外部記憶装置が装着されていないこと
（２）入力デバイスが操作されていないこと
（３）起動ディスクが予め定められたものであること
（４）外部電源が接続されていること
（５）表示装置が作動していないこと
（６）無線機能が作動していないこと
（７）前記装置が静止していること
（８）前回の前記指令の受信から予め定められた期間が経過していること
（９）表示画面が閉じられていること
（１０）前記装置の所在地が予め定められたエリア内であること
（１１）前記装置の前に人が存在しないこと
（１２）前記装置のワイヤロックが接続されていること
（１３）キーボードのパームレストに手が置かれていないこと
（１４）前記装置の筐体が開放された痕跡がないこと
（１５）前記装置の内部または外部の温度が予め定められた温度の範囲内にあること
　のうち少なくともいずれか一つを含むことを特徴とする請求項７乃至１１のうちいずれか１項に記載の方法。
　ネットワークから、ネットワーク接続された装置を作動状態に移行させる指令を受信し、
　前記装置の状態を収集し、
　収集された前記状態と起動ポリシ記憶部に記憶された起動ポリシとを照合した結果を出力し、
　前記照合した結果が合致を示している場合、前記指令を受信した前記装置を起動する、
　処理をコンピュータに実行させることを特徴とするプログラム。
　前記受信する処理は、さらに、前記ネットワークから前記起動ポリシを受信し前記起動ポリシ記憶部に記憶することを特徴とする請求項１３に記載のプログラム。
　前記照合した結果を出力する処理は、当該装置が作動している間、前記照合を実行し、
　前記照合した結果が合致を示していないことに応答して、当該装置の作動を停止させることを特徴とする請求項１３または１４に記載のプログラム。
　前記照合した結果を、前記指令の発信元に送信することを特徴とする請求項１３乃至１５のうちいずれか１項に記載のプログラム。
　前記起動ポリシは、前記指令の発信元によって署名されており、
　前記起動ポリシ記憶に記憶された起動ポリシを、前記署名を用いて検証し、
　前記起動する処理は、前記検証する処理によって起動ポリシが検証されない場合、前記装置を起動させないことを特徴とする請求項１３乃至１６のうちいずれか１項に記載のプログラム。
　前記起動ポリシは、
（１）外部記憶装置が装着されていないこと
（２）入力デバイスが操作されていないこと
（３）起動ディスクが予め定められたものであること
（４）外部電源が接続されていること
（５）表示装置が作動していないこと
（６）無線機能が作動していないこと
（７）前記装置が静止していること
（８）前回の前記指令の受信から予め定められた期間が経過していること
（９）表示画面が閉じられていること
（１０）前記装置の所在地が予め定められたエリア内であること
（１１）前記装置の前に人が存在しないこと
（１２）前記装置のワイヤロックが接続されていること
（１３）キーボードのパームレストに手が置かれていないこと
（１４）前記装置の筐体が開放された痕跡がないこと
（１５）前記装置の内部または外部の温度が予め定められた温度の範囲内にあること
　のうち少なくともいずれか一つを含むことを特徴とする請求項１３乃至１７のうちいずれか１項に記載のプログラム。