データ制御装置及びプログラム
【課題】意図せぬ他人に秘密にされるべきデータの利用を、ユーザやクライアント端末の状態に応じた態様で制限する。
【解決手段】秘密データを記憶するクライアント端末２００は、サーバ装置１００と通信し、真正なユーザが操作していることの確認（ユーザ確認）を定期的に行う。サーバ装置１００は、ユーザ確認が正常に行われなかった場合に、クライアント端末２００に記憶された秘密データをサーバ装置１００に転送させるとともに、クライアント端末２００に記憶された秘密データを消去する。サーバ装置１００に記憶された秘密データは、所定の操作を行えば、クライアント端末２００に復元可能である。また、サーバ装置１００は、窓口端末４００から所定の通知があった場合には、秘密データを消去する。
【解決手段】秘密データを記憶するクライアント端末２００は、サーバ装置１００と通信し、真正なユーザが操作していることの確認（ユーザ確認）を定期的に行う。サーバ装置１００は、ユーザ確認が正常に行われなかった場合に、クライアント端末２００に記憶された秘密データをサーバ装置１００に転送させるとともに、クライアント端末２００に記憶された秘密データを消去する。サーバ装置１００に記憶された秘密データは、所定の操作を行えば、クライアント端末２００に復元可能である。また、サーバ装置１００は、窓口端末４００から所定の通知があった場合には、秘密データを消去する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント端末に記憶されたデータが意図せぬ他人に利用されないようにするための技術に関する。
【背景技術】
【０００２】
あるユーザが使用する端末には、他人に見られたりしたくないデータが記憶されていることがある。しかし、不測の事態が生じた場合には、このようなデータが他人に利用可能な状態になってしまうおそれがある。ここにおいて、不測の事態とは、例えば、ユーザが端末を紛失した場合や、ユーザが死亡した場合などである。特許文献１には、携帯通信端末を紛失した場合に、正当な所有者から通信事業者への連絡に基づき、遠隔制御によって通話の禁止や個人情報データの消去を行うことが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００３−３１９４５３号公報（段落００３８等）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、例えばユーザが死亡した場合、ユーザが実際に死亡したタイミングと、当該ユーザの死亡が通信事業者に通知されるタイミングとには、時間差が生じる。このような時間内には、故人であるユーザが秘密にしておきたかったデータが他人に暴露され、故人の尊厳やプライバシーが侵されるおそれがある。これは、ユーザの死亡を端末の紛失に置き換えたとしても、同様のことがいえる。
そこで、本発明は、意図せぬ他人に秘密にされるべきデータの利用を、ユーザやクライアント端末の状態に応じた態様で制限することを目的とする。
【課題を解決するための手段】
【０００５】
本発明の一態様に係るデータ制御装置は、クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定する判定部と、前記判定部が前記特定の状態であると判定すると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するデータ制御部とを備える構成を有する。
【０００６】
本発明の好ましい態様において、前記データ制御部は、前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを前記クライアント端末から消去するとともに、当該データを他の記憶装置に記憶し、前記判定部が前記第１の判定条件による判定の後に第２の判定条件により前記特定の状態を判定した場合に、前記記憶装置に記憶された前記データを利用不可能にする。
本発明の別の好ましい態様において、前記データ制御部は、前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを特定のユーザのみに利用可能にする処理を実行し、前記判定部が第２の判定条件により前記特定の状態を判定した場合に、前記データを利用不可能にする。
本発明のさらに別の好ましい態様において、前記クライアント端末は、複数の前記データを記憶し、前記データ制御部は、前記判定に用いられた判定条件に応じた前記データの取り扱いを制御する。
【０００７】
本発明の別の態様に係るプログラムは、コンピュータに、クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定するステップと、前記特定の状態であると判定されると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するステップとを実行させるためのものである。
【発明の効果】
【０００８】
本発明によれば、意図せぬ他人に秘密にされるべきデータの利用を、ユーザやクライアント端末の状態に応じた態様で制限することが可能である。
【図面の簡単な説明】
【０００９】
【図１】データ制御システムの構成を示すブロック図
【図２】クライアント端末の構成を示すブロック図
【図３】サーバ装置の構成を示すブロック図
【図４】サーバ装置の制御部の機能的構成を示す機能ブロック図
【図５】判定条件と秘密データの制限の態様との対応付けを例示する図
【図６】秘密データの転送に係る第１の動作例を示すシーケンスチャート
【図７】クライアント端末の表示部に表示される画面を例示する図
【図８】秘密データの転送に係る第２の動作例を示すシーケンスチャート
【図９】秘密データの消去に係る動作例を示すシーケンスチャート
【発明を実施するための形態】
【００１０】
［実施形態］
以下に記述される実施形態は、あるクライアント端末のユーザが死亡した場合に、当該ユーザが生前に行った設定に基づき、秘密にされるべきデータの利用を制限する例である。すなわち、本発明でいうところの「特定の状態」は、以下の実施形態においては、ユーザが死亡した状態のことである。
【００１１】
図１は、本発明の一実施形態であるデータ制御システムの構成を示すブロック図である。図１に示すように、本実施形態のデータ制御システム１０は、サーバ装置１００と、クライアント端末２００と、位置登録データベース３００とを備え、これらをネットワークＮＷ１によって通信可能に接続した構成である。また、データ制御システム１０は、サーバ装置１００に接続された窓口端末４００を含む。本実施形態において、クライアント端末２００は、所定の無線通信事業者により提供される無線通信サービスを用いて通信を行う無線通信端末であり、例えば、携帯電話機やスマートフォンである。また、サーバ装置１００は、この無線通信事業者が管理するものである。ネットワークＮＷ１は、無線通信網を少なくとも含み、別の通信網（インターネット、公衆交換電話網など）をさらに含んでもよいものである。ネットワークＮＷ１は、クライアント端末２００と無線通信を行う基地局を複数含む。
【００１２】
なお、本システムは、図１の記載とは異なり、管理の対象となるクライアント端末２００を複数有してもよいものである。この場合、本システムは、複数のクライアント端末２００を複数のサーバ装置１００によって分散的に管理するものであってもよい。ただし、このような構成であっても、それぞれのサーバ装置１００又はクライアント端末２００の構成は実質的に同一であるため、これらが複数ある構成の図示は省略する。
【００１３】
図２は、クライアント端末２００の構成を示すブロック図である。クライアント端末２００は、図２に示すように、制御部２１０と、記憶部２２０と、通信部２３０と、情報入力部２４０と、表示部２５０と、音声入出力部２６０とを備える。制御部２１０は、ＣＰＵ（Central Processing Unit）等の演算処理装置や主記憶装置に相当するメモリを備え、プログラムを実行することによってクライアント端末２００の各部の動作を制御する。記憶部２２０は、制御部２１０が備えるメモリと異なる記憶手段であり、例えば、補助記憶装置に相当するものである。記憶部２２０は、いわゆるメモリカードのような着脱可能な記憶手段（リムーバブルメディア）を含んでもよいし、ＵＩＭ（User Identity Module）カードを含んでもよい。記憶部２２０は、制御部２１０が処理を実行するために用いられるデータを記憶している。
【００１４】
通信部２３０は、ネットワークＮＷ１と通信を行うためのインターフェースである。なお、クライアント端末２００の通信の相手は、サーバ装置１００や位置登録データベース３００だけでなく、図示しない他の端末を含み得る。情報入力部２４０は、ユーザによる入力を受け付ける手段であり、例えば、キーパッドやタッチスクリーンである。なお、ここでいう「入力」は、後述するユーザ確認のための入力を含む。よって、例えば、ユーザ確認を指紋認証によって行う場合であれば、情報入力部２４０は、指紋をスキャンする手段を含んで構成される。表示部２５０は、液晶ディスプレイ等の表示装置であり、文字や画像を表示する。音声入出力部２６０は、スピーカ及びマイクロホンを備え、収音及び放音を行う。なお、音声入出力部２６０は、スピーカ及びマイクロホンを接続するための端子を備えるだけの構成とし、スピーカ及びマイクロホンを外部装置として設けるものであってもよい。
【００１５】
クライアント端末２００は、以上の構成のもと、記憶部２２０に記憶されたデータを用いて種々の処理を実行する。クライアント端末２００は、例えば、電子メールの送受信（及び表示）や、画像（静止画又は動画）の再生などを行う。つまり、クライアント端末２００は、このような処理を実行するためのデータ（電子メールデータ、画像データなど）を記憶部２２０に記憶している。
【００１６】
記憶部２２０が記憶するデータには、所定の条件が満たされたときにサーバ装置１００によって利用が制限されるデータが含まれる。かかるデータのことを、以下においては「秘密データ」という。秘密データは、換言すれば、クライアント端末２００のユーザが意図せぬ他人による利用を望まないデータである。なお、秘密データの「利用」の態様は、通信部２３０を介した送信、表示部２５０による文字や画像としての表示、音声入出力部２６０による音声としての再生などを含み得る。秘密データは、例えば、秘密にすべき文書のデータや、特定の相手あての電子メールデータがこれに該当する。ユーザは、記憶部２２０に記憶されたデータから秘密データとすべきデータを選択し、あらかじめその旨の設定を行っておく。秘密データの設定の方法には、データを個別に選択する方法のほか、特定のフォルダ（ディレクトリ）にデータを移動させる方法や、所望の拡張子を選択することで、当該拡張子を有するデータ全部を秘密データに設定する方法などがある。
【００１７】
図３は、サーバ装置１００の構成を示すブロック図である。サーバ装置１００は、図３に示すように、制御部１１０と、記憶部１２０と、通信部１３０とを備える。制御部１１０は、ＣＰＵ等の演算処理装置や主記憶装置に相当するメモリを備え、プログラムを実行することによってサーバ装置１００の各部の動作を制御する。記憶部１２０は、補助記憶装置に相当する記憶手段を備え、制御部１１０が処理を実行するために用いられるデータを記憶している。また、記憶部１２０は、秘密データを一時的に記憶する記憶手段としても機能する。通信部１３０は、ネットワークＮＷ１又は窓口端末４００と通信を行うためのインターフェースである。
【００１８】
図４は、サーバ装置１００の制御部１１０の機能的構成を示す機能ブロック図である。制御部１１０は、プログラムを実行することにより、図４に示す判定部１１１及びデータ制御部１１２に相当する機能を実現する。判定部１１１は、クライアント端末２００のユーザが死亡した状態であることを、複数の判定条件を用いて判定する。本実施形態において用いられる判定条件は、クライアント端末２００を用いて繰り返し行われるユーザ確認の結果と、窓口端末４００から送信されるユーザの死亡通知の２種類である。データ制御部１１２は、ユーザが死亡した状態であると判定部１１１が判定した場合に、秘密データの利用が制限されるように当該データの取り扱いを制御する。データ制御部１１２は、ユーザの死亡の判定に用いられた判定条件に応じて、秘密データの利用を制限する態様を異ならせる。
【００１９】
位置登録データベース３００は、クライアント端末２００を識別する識別情報と当該端末の位置情報とを対応付けて記憶するデータベースである。また、位置登録データベース３００は、秘密データの制限の態様を決めるフラグを識別情報と対応付けて記憶している。本実施形態において、このフラグの値は、「０（制限なし）」、「１（一部利用不可能）」、「２（完全に利用不可能）」の３通りであり、サーバ装置１００によって書き換えられる。
なお、クライアント端末２００の識別情報は、クライアント端末２００（又はそのユーザ）を一意的に特定可能であれば、どのようなデータであってもよいが、例えば、電話番号などが用いられる。
【００２０】
窓口端末４００は、通信事業者の管理下にあり、クライアント端末２００の契約の変更を受け付け、これをサーバ装置１００に通知するための端末である。ここにおいて、契約の変更とは、契約者であるユーザの死亡を理由として、契約者の遺族などがクライアント端末２００を解約することである。この場合、クライアント端末２００は、無線通信サービスを利用することはできないが、既存のデータ（秘密データを除く。）の利用は妨げないものとする。なお、契約の変更は、クライアント端末２００を使用する権利を、契約者（故人）であるユーザから他のユーザに承継するものであってもよい。このような場合においても、故人である承継前のユーザが秘密にしておきたかったデータが暴露されるおそれがあるからである。
なお、窓口端末４００は、図１においては、ネットワークＮＷ１とは別の通信回線（例えば、専用線）によってサーバ装置１００に接続されていることを想定しているが、ネットワークＮＷ１によってサーバ装置１００に接続されていてもよいものである。
【００２１】
データ制御システム１０の構成は、以上のとおりである。この構成のもと、クライアント端末２００のユーザは、通信事業者によって提供される無線通信サービスを利用し、通話やデータ通信を行う。クライアント端末２００の利用に際し、ユーザは、定期的にユーザ確認を行う。ここにおいて、ユーザ確認とは、真正なユーザがクライアント端末２００を操作していることを確認するための処理をいう。ユーザ確認は、例えば、あらかじめ設定されたパスワードを入力することで行われ、より望ましくは、声紋認証、指紋認証等のバイオメトリクス認証によって行われる。また、ユーザ確認の実行間隔は任意であるが、秘密データの暴露を防ぐためには、より短いほど望ましい。ただし、実際の実行間隔は、ユーザの使い勝手も考慮し、適当に（例えば、１日に１回程度）設定される。なお、クライアント端末２００は、電源が長時間オフであった場合には、電源の投入直後にユーザ確認をユーザに要求してもよい。
【００２２】
本実施形態においては、このユーザ確認が繰り返し行われていることをもって、ユーザが生存しているとみなすことにしている。換言すれば、本実施形態においては、ユーザ確認が正常に行われない場合には、ユーザが死亡した可能性があると推定しているということである。本実施形態における第１の判定条件は、この推定に基づくものである。
また、これとは別に、本実施形態においては、窓口端末４００を介してクライアント端末２００の契約が変更された場合にも、ユーザが死亡した旨の判定が行われる。本実施形態における第２の判定条件は、この契約の変更に基づくものである。
【００２３】
クライアント端末２００は、電源が投入（オン）されると、ネットワークＮＷ１に含まれる近傍の基地局との通信を試みる。基地局は、それぞれの基地局に固有の信号を発信している。クライアント端末２００は、基地局からこの信号を受信すると、この信号に基づいて自機の位置（ロケーションエリア）を特定し、位置登録データベース３００に対して、特定した位置を表す位置情報を自機の識別情報とともに送信する。すると、位置登録データベース３００は、この位置情報を識別情報と対応付けて記憶する。また、クライアント端末２００は、移動によって自機の位置が変化したことを検知すると、変化後の位置情報を位置登録データベース３００に送信する。このような動作が電源の投入や自機の移動の度に繰り返されることにより、クライアント端末２００の位置がネットワークＮＷ１側（通信事業者側）で把握できるようになっている。以下においては、位置情報の記録に係るこれらの一連の動作のことを「位置登録」という。
また、クライアント端末２００は、位置登録データベース３００にデータを送信すると、フラグの値を受信するように構成されている。サーバ装置１００は、このフラグの値を、上述した判定条件を用いた判定に応じて書き換えるように構成されている。クライアント端末２００は、フラグの値を参照し、必要に応じて、秘密データの利用を制限する。
【００２４】
図５は、判定条件と秘密データの制限の態様との対応付けを例示する図である。本実施形態において、サーバ装置１００は、図５に例示した態様に従って秘密データの利用を制限するものとする。サーバ装置１００は、まず、クライアント端末２００のユーザが死亡していないと判定される場合（すなわち、ユーザ確認が正常に行われ、かつ、契約の変更も通知されていない場合）には、秘密データを制限なく利用可能にする。
【００２５】
一方、サーバ装置１００は、ユーザ確認が正常に行われなかった場合には、秘密データをクライアント端末２００からは消去し、他の記憶装置（本実施形態においては、サーバ装置１００の記憶部１２０）に記憶させるとともに、この秘密データをロックする。ここにおいて、データのロックとは、当該データを特定のユーザのみに利用可能にする処理をいうものである。例えば、特定の鍵を用いてデータを暗号化する方法は、データのロック方法の一例である。また、当該データにアクセスするためのＵＲＬ（Uniform Resource Locator）を推測が困難な文字列とし、正しいパスワードを入力した特定のユーザのみに当該ＵＲＬを通知する方法も、データのロック方法の一例であるといえる。データのロックを解除するためには、このような鍵やパスワードが必要であるが、これに代えて、上述したユーザ確認が行われればロックが解除されるようにしてもよい。なお、以下においては、秘密データをクライアント端末２００から他の記憶装置に移動させることを「転送」ともいう。
【００２６】
また、サーバ装置１００は、契約の変更が通知された場合には、秘密データを完全に利用不可能にする。このとき、サーバ装置１００は、典型的には、秘密データを消去する。ただし、サーバ装置１００は、秘密データを意図せぬ他人が利用できないようにすれば足りるので、秘密データを消去するのではなく、通信事業者のみが参照できるようなアクセス制限を秘密データに施してもよい。
【００２７】
なお、図５に示す対応付けは、サーバ装置１００の記憶部１２０に記憶され、必要に応じて制御部１１０が読み出すものであってもよいが、制御部１１０が実行するプログラム中に記述（いわゆるハードコーディング）されていてもよい。記憶部１２０に対応付けを記憶する場合には、これをプログラム中にハードコーディングする場合に比べ、対応付けの変更をより容易に行うことが可能である。
【００２８】
図６は、秘密データの転送に係る第１の動作例を示すシーケンスチャートである。クライアント端末２００は、図６に示すように、サーバ装置１００との間でユーザ確認を行い（ステップＳ１０１）、位置登録データベース３００との間で位置登録を行う（ステップＳ１０２）。クライアント端末２００は、位置登録に際して、位置登録データベース３００に記憶されたフラグの値を受信して参照する。なお、ステップＳ１０１及びＳ１０２の処理は、図６に図示されているものよりも前のタイミングにおいても、繰り返し実行されている。
【００２９】
サーバ装置１００は、ユーザ確認が行われると、あらかじめ決められた判定条件に従ってユーザの死亡を判定し（ステップＳ１０３）、判定結果をフラグとして記憶する（ステップＳ１０４）。また、サーバ装置１００は、このフラグを位置登録データベース３００に送信する（ステップＳ１０５）。なお、ステップＳ１０４及びＳ１０５の処理は、判定結果が前回と同じであれば、省略可能である。この説明においては、ステップＳ１０４において記憶されるフラグの値は「０」であるとする。
【００３０】
ここで、クライアント端末２００のユーザが、何らかの理由によって、期待されるタイミングでユーザ確認を行わなかったと仮定する（ステップＳ１０６）。つまり、ステップＳ１０６の処理は、ここでは実際には行われなかったものとする。そうすると、サーバ装置１００は、ユーザの死亡の判定（ステップＳ１０７）において、上述した第１の判定条件を満たすと判定する。その結果、サーバ装置１００は、フラグの値を「０」から「１」に書き換え（ステップＳ１０８）、これを位置登録データベース３００に送信する（ステップＳ１０９）。また、サーバ装置１００は、クライアント端末２００に対して、秘密データの転送を要求する（ステップＳ１１０）。
【００３１】
クライアント端末２００は、ステップＳ１１０の要求に応じて、記憶部２２０に記憶された秘密データをサーバ装置１００に送信し（ステップＳ１１１）、記憶部２２０からは消去する（ステップＳ１１２）。サーバ装置１００は、秘密データを受信すると、秘密データをロックして、記憶部１２０に記憶させる（ステップＳ１１３）。
【００３２】
図７は、クライアント端末２００の表示部２５０に表示される画面を例示する図である。クライアント端末２００は、このようにして、秘密データが利用不可能であることと、その復元方法とをユーザに報知する。このとき、クライアント端末２００は、表示部２５０による表示に代えて、音声入出力部２６０による音声の再生によって報知を行ってもよい。ユーザは、秘密データのロックを解除することができれば、これをクライアント端末２００にダウンロードすることで、秘密データを復元することが可能である。
【００３３】
なお、ステップＳ１１１及びＳ１１２の処理は、クライアント端末２００の電源がオンであれば実行可能であるが、クライアント端末２００の電源がオフであれば実行不可能である。そこで、クライアント端末２００の電源がオフであった場合には、クライアント端末２００の電源がオンになったタイミングで行われる位置登録を利用して、秘密データの利用が制限される。
【００３４】
図８は、秘密データの転送に係る第２の動作例を示すシーケンスチャートである。この第２の動作例は、クライアント端末２００の電源がオフの状態が続き、その間にユーザ確認を行うべきタイミングが到来していた場合のものである。第２の動作例は、ステップＳ１０１〜Ｓ１１０の処理については、第１の動作例と共通である。
【００３５】
この動作例において、クライアント端末２００は、ステップＳ１０６の処理が実行されるべきタイミング以前に、電源がオフになっている（ステップＳ１２１）。よって、サーバ装置１００は、ステップＳ１１０の要求に対する応答も得ることができない。
一方、クライアント端末２００は、やがて何者かによって電源が投入され、データの利用等が可能な状態になる（ステップＳ１２２）。クライアント端末２００の電源をオンにするのは、真正なユーザ（契約者本人）の場合もあれば、他人の場合もある。このとき、クライアント端末２００は、位置登録を行い（ステップＳ１２３）、フラグの値をあわせて受信する。位置登録データベース３００のフラグの値は、ステップＳ１０９の処理によって、「０」から「１」に書き換えられている。
【００３６】
クライアント端末２００は、受信したフラグの値に応じて、秘密データの利用を制限する。このとき、フラグの値は「１」であるから、クライアント端末２００は、真正なユーザが死亡した可能性があると判断し、ユーザにユーザ確認を要求する（ステップＳ１２４）。このとき、ユーザ確認が正常に行われれば、サーバ装置１００にその旨が通知され、フラグの値は「１」から「０」に書き換えられる。一方、ユーザ確認が行われなければ、クライアント端末２００は、記憶部２２０に記憶された秘密データをサーバ装置１００に送信し（ステップＳ１２５）、記憶部２２０からは消去する（ステップＳ１２６）。サーバ装置１００は、秘密データを受信すると、秘密データをロックして、記憶部１２０に記憶させる（ステップＳ１２７）。
【００３７】
図９は、秘密データの消去に係る動作例を示すシーケンスチャートである。クライアント端末２００について契約の変更があった場合には、図９に示すように、窓口端末４００からサーバ装置１００にその旨が通知される（ステップＳ２０１）。このとき、サーバ装置１００は、クライアント端末２００が第２の判定条件を満たすと判定する（ステップＳ２０２）。また、サーバ装置１００は、この判定結果に従い、フラグを更新するとともに、秘密データを消去する（ステップＳ２０３、Ｓ２０４）。サーバ装置１００は、その後にフラグを参照する可能性がない場合であれば、ステップＳ２０３の処理を省略してもよい。また、サーバ装置１００は、その後にフラグを参照する可能性がある場合には、位置登録データベース３００にフラグの値を送信する。
【００３８】
なお、第１の判定条件が満たされる前に第２の判定条件が満たされた場合、秘密データは、サーバ装置１００ではなくクライアント端末２００に記憶されている。よって、この場合には、サーバ装置１００は、クライアント端末２００に対して秘密データの消去を要求する。このときの動作は、第１の動作例のステップＳ１１０及びＳ１１２の処理と同様のものである。ただし、秘密データのサーバ装置１００への転送は行われない。
【００３９】
以上のとおり、本実施形態のデータ制御システム１０は、秘密データの利用を制限する態様として、クライアント端末２００とは別の記憶装置にこれを記憶させ、さらにロックを行う第１の態様と、秘密データを利用不可能にする第２の態様とを有する。よって、データ制御システム１０によれば、第１の態様の次に第２の態様で秘密データの利用が制限されることで、秘密データの利用の制限の態様を段階的に変化させることが可能となる。このようにすることで、ユーザが死亡している“かもしれない”という不確定な状態における秘密データの暴露を生じにくくすることが可能である。なお、この状態において、秘密データは、クライアント端末２００に復元可能な状態で他の記憶装置に記憶されている。よって、ユーザが死亡しておらず、単にユーザ確認を怠っただけの場合であっても、秘密データが復元不可能に失われ、ユーザに不利益を与えるおそれが少ない。
【００４０】
［変形例］
上述した実施形態は、本発明の実施の一例にすぎない。本発明は、上述した実施形態に対して、以下の変形を適用することが可能である。なお、以下に示す変形例は、必要に応じて、各々を適当に組み合わせて実施されてもよいものである。
【００４１】
（変形例１）
本発明は、ユーザの状態に限らず、クライアント端末の状態に応じてデータの利用を制限するものであってもよい。ここにおいて、クライアント端末の状態とは、例えば、クライアント端末を紛失した状態をいう。本発明は、このような場合においても、ユーザがクライアント端末を紛失してから紛失に気付くまでの間にデータが暴露されることの防止を期待することができる。
なお、クライアント端末の紛失に伴うデータ制御の場合、サーバ装置は、クライアント端末から転送したデータを消去することに代えて、ユーザが新たに使用する別のクライアント端末にデータを移動させてもよい。
【００４２】
（変形例２）
本発明において、特定の状態において制御対象となるデータは、クライアント端末に記憶されたデータの一部ではなく、全部であってもよい。
また、本発明において、データの利用の制限は、複数の態様が考えられる。本発明に係るデータ制御装置は、例えば、第１の判定条件が満たされたときにデータを（転送せずに）ロックし、第２の判定条件が満たされたときにクライアント端末からデータを消去する制御を行うものであってもよい。あるいは、本発明に係るデータ制御装置は、第１の判定条件が満たされたときにデータを転送し、第２の判定条件が満たされたときに当該データをロックする制御を行うものであってもよい。要するに、本発明に係るデータ制御装置の一つの態様は、第２の判定条件が満たされたときに、第１の判定条件が満たされたときよりもデータの利用がより制限されるようにその取り扱いを制御するものであれば、データの具体的な制限の態様は特に限定されないものである。
【００４３】
また、本発明に係るデータ制御装置は、３以上の判定条件を用いてデータの利用を制限するものであってもよい。例えば、上述した実施形態を例に説明すると、ユーザ確認が第１の期間（例えば、１２時間）に行われなかったときに第１の判定条件が満たされ、ユーザ確認が第１の期間よりも長い第２の期間（例えば、２４時間）に行われなかったときに第２の判定条件が満たされ、契約の変更が通知されたときに第３の判定条件が満たされる、といった判定条件を用いることも可能である。この３種類の判定条件を用いた場合には、データ制御装置は、第１の判定条件が満たされたときにデータを転送し、第２の判定条件が満たされたときに当該データをロックし、第３の判定条件が満たされたときに当該データを消去するように制御してもよい。あるいは、データ制御装置は、第１の判定条件が満たされたときにデータを所定の暗号強度で暗号化し、第２の判定条件が満たされたときに当該データをより高い暗号強度で暗号化し、第３の判定条件が満たされたときに当該データを消去するように制御してもよい。
【００４４】
さらに、本発明に係るデータ制御装置は、複数の判定条件のそれぞれにデータを対応付け、判定部による判定に用いられた判定条件に応じたデータの取り扱いを制御するものであってもよい。例えば、本発明に係るクライアント端末には、第１の判定条件が満たされたときに消去される第１のデータと、第２の判定条件が満たされたときに消去される第２のデータとが記憶されていてもよい。この例において、第１のデータを上述した秘密データとし、第２のデータを秘密データ以外のデータとすると、本発明は、第１の判定条件が満たされたときにクライアント端末から秘密データが消去され、第２の判定条件が満たされたときにクライアント端末から全部のデータが消去される、といったものになる。
【００４５】
（変形例３）
本発明において、データの利用を制限することは、当該データを特定のユーザのみに限定的に利用可能にするものであるともいえる。ここにおいて、特定のユーザは、クライアント端末を使用するユーザ自身に限定されるものではなく、当該ユーザの親族や友人といった他のユーザであってもよい。そうすると、本発明は、あるクライアント端末のユーザが死亡した場合に、当該クライアント端末に記憶されていたデータを特定の他人のみが利用可能なように転送等するものであるとすることも可能である。このような態様によれば、本発明は、ユーザが死亡したときに、クライアント端末に記憶されたデータを当該ユーザからの遺言や形見のようにすることができる。なお、ここでいう他人によるデータの利用の方法には、当該データを当該他人のみが参照可能なように他の記憶装置に転送する方法と、当該データをクライアント端末に残しておきながら、当該他人のみが参照可能なようにロックする方法とが考えられる。
【００４６】
（変形例４）
本発明に係るデータ制御装置は、上述した実施形態においては、サーバ装置１００の制御部１１０がこれに相当する。しかし、本発明に係るデータ制御装置は、クライアント端末によって実現することも可能である。この場合、クライアント端末は、第２の判定条件による判定を行うためのデータ（すなわち、契約の変更を通知するデータ）をサーバ装置（又は窓口端末）から受信するように構成されていればよい。
【００４７】
また、クライアント端末が無線通信端末である場合、当該端末がネットワークの圏外にある場合には、ネットワーク側からの制御が不可能である。そうすると、ユーザが死亡し、又はクライアント端末を紛失した後に、他人によってクライアント端末が圏外に持ち出されると、当該他人がデータを自由に利用できるようになる可能性がある。このような事態に備え、クライアント端末は、電源のオフが連続している時間や自機が圏外である時間を計測する手段を備え、ネットワークとの通信を行っていない時間が所定の時間を超えるか否かを判定条件として用いるようにしてもよい。
【００４８】
（変形例５）
クライアント端末に記憶されていたデータの転送先は、上述した実施形態においては、サーバ装置１００の記憶部１２０である。しかし、本発明において、クライアント端末に記憶されていたデータの転送先は、本発明に係るサーバ装置とは別体に構成された記憶装置であってもよい。例えば、上述した変形例３の態様においては、親族や友人が使用する端末もデータの転送先となり得る。
【００４９】
（変形例６）
本発明に係るクライアント端末は、携帯電話等の無線通信端末に限らず、例えば、有線接続されたパーソナルコンピュータであってもよい。なお、有線接続された通信端末を用いる場合には、位置登録に係る構成や処理が省略可能である。
また、本発明は、データ制御装置やこれを含むデータ制御システムのみならず、これらを実現するための方法や、コンピュータに図４に示した機能を実現させるためのプログラムとしても把握されるものである。かかるプログラムは、これを記憶させた光ディスク等の記録媒体の形態で提供されたり、インターネット等のネットワークを介して、コンピュータにダウンロードさせ、これをインストールして利用可能にするなどの形態でも提供されたりすることができるものである。
【符号の説明】
【００５０】
１０…データ制御システム、１００…サーバ装置、１１０…制御部、１１１…判定部、１１２…データ制御部、１２０…記憶部、１３０…通信部、２００…クライアント端末、２１０…制御部、２２０…記憶部、２３０…通信部、２４０…情報入力部、２５０…表示部、２６０…音声入出力部、３００…位置登録データベース、４００…窓口端末
【技術分野】
【０００１】
本発明は、クライアント端末に記憶されたデータが意図せぬ他人に利用されないようにするための技術に関する。
【背景技術】
【０００２】
あるユーザが使用する端末には、他人に見られたりしたくないデータが記憶されていることがある。しかし、不測の事態が生じた場合には、このようなデータが他人に利用可能な状態になってしまうおそれがある。ここにおいて、不測の事態とは、例えば、ユーザが端末を紛失した場合や、ユーザが死亡した場合などである。特許文献１には、携帯通信端末を紛失した場合に、正当な所有者から通信事業者への連絡に基づき、遠隔制御によって通話の禁止や個人情報データの消去を行うことが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００３−３１９４５３号公報（段落００３８等）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、例えばユーザが死亡した場合、ユーザが実際に死亡したタイミングと、当該ユーザの死亡が通信事業者に通知されるタイミングとには、時間差が生じる。このような時間内には、故人であるユーザが秘密にしておきたかったデータが他人に暴露され、故人の尊厳やプライバシーが侵されるおそれがある。これは、ユーザの死亡を端末の紛失に置き換えたとしても、同様のことがいえる。
そこで、本発明は、意図せぬ他人に秘密にされるべきデータの利用を、ユーザやクライアント端末の状態に応じた態様で制限することを目的とする。
【課題を解決するための手段】
【０００５】
本発明の一態様に係るデータ制御装置は、クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定する判定部と、前記判定部が前記特定の状態であると判定すると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するデータ制御部とを備える構成を有する。
【０００６】
本発明の好ましい態様において、前記データ制御部は、前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを前記クライアント端末から消去するとともに、当該データを他の記憶装置に記憶し、前記判定部が前記第１の判定条件による判定の後に第２の判定条件により前記特定の状態を判定した場合に、前記記憶装置に記憶された前記データを利用不可能にする。
本発明の別の好ましい態様において、前記データ制御部は、前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを特定のユーザのみに利用可能にする処理を実行し、前記判定部が第２の判定条件により前記特定の状態を判定した場合に、前記データを利用不可能にする。
本発明のさらに別の好ましい態様において、前記クライアント端末は、複数の前記データを記憶し、前記データ制御部は、前記判定に用いられた判定条件に応じた前記データの取り扱いを制御する。
【０００７】
本発明の別の態様に係るプログラムは、コンピュータに、クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定するステップと、前記特定の状態であると判定されると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するステップとを実行させるためのものである。
【発明の効果】
【０００８】
本発明によれば、意図せぬ他人に秘密にされるべきデータの利用を、ユーザやクライアント端末の状態に応じた態様で制限することが可能である。
【図面の簡単な説明】
【０００９】
【図１】データ制御システムの構成を示すブロック図
【図２】クライアント端末の構成を示すブロック図
【図３】サーバ装置の構成を示すブロック図
【図４】サーバ装置の制御部の機能的構成を示す機能ブロック図
【図５】判定条件と秘密データの制限の態様との対応付けを例示する図
【図６】秘密データの転送に係る第１の動作例を示すシーケンスチャート
【図７】クライアント端末の表示部に表示される画面を例示する図
【図８】秘密データの転送に係る第２の動作例を示すシーケンスチャート
【図９】秘密データの消去に係る動作例を示すシーケンスチャート
【発明を実施するための形態】
【００１０】
［実施形態］
以下に記述される実施形態は、あるクライアント端末のユーザが死亡した場合に、当該ユーザが生前に行った設定に基づき、秘密にされるべきデータの利用を制限する例である。すなわち、本発明でいうところの「特定の状態」は、以下の実施形態においては、ユーザが死亡した状態のことである。
【００１１】
図１は、本発明の一実施形態であるデータ制御システムの構成を示すブロック図である。図１に示すように、本実施形態のデータ制御システム１０は、サーバ装置１００と、クライアント端末２００と、位置登録データベース３００とを備え、これらをネットワークＮＷ１によって通信可能に接続した構成である。また、データ制御システム１０は、サーバ装置１００に接続された窓口端末４００を含む。本実施形態において、クライアント端末２００は、所定の無線通信事業者により提供される無線通信サービスを用いて通信を行う無線通信端末であり、例えば、携帯電話機やスマートフォンである。また、サーバ装置１００は、この無線通信事業者が管理するものである。ネットワークＮＷ１は、無線通信網を少なくとも含み、別の通信網（インターネット、公衆交換電話網など）をさらに含んでもよいものである。ネットワークＮＷ１は、クライアント端末２００と無線通信を行う基地局を複数含む。
【００１２】
なお、本システムは、図１の記載とは異なり、管理の対象となるクライアント端末２００を複数有してもよいものである。この場合、本システムは、複数のクライアント端末２００を複数のサーバ装置１００によって分散的に管理するものであってもよい。ただし、このような構成であっても、それぞれのサーバ装置１００又はクライアント端末２００の構成は実質的に同一であるため、これらが複数ある構成の図示は省略する。
【００１３】
図２は、クライアント端末２００の構成を示すブロック図である。クライアント端末２００は、図２に示すように、制御部２１０と、記憶部２２０と、通信部２３０と、情報入力部２４０と、表示部２５０と、音声入出力部２６０とを備える。制御部２１０は、ＣＰＵ（Central Processing Unit）等の演算処理装置や主記憶装置に相当するメモリを備え、プログラムを実行することによってクライアント端末２００の各部の動作を制御する。記憶部２２０は、制御部２１０が備えるメモリと異なる記憶手段であり、例えば、補助記憶装置に相当するものである。記憶部２２０は、いわゆるメモリカードのような着脱可能な記憶手段（リムーバブルメディア）を含んでもよいし、ＵＩＭ（User Identity Module）カードを含んでもよい。記憶部２２０は、制御部２１０が処理を実行するために用いられるデータを記憶している。
【００１４】
通信部２３０は、ネットワークＮＷ１と通信を行うためのインターフェースである。なお、クライアント端末２００の通信の相手は、サーバ装置１００や位置登録データベース３００だけでなく、図示しない他の端末を含み得る。情報入力部２４０は、ユーザによる入力を受け付ける手段であり、例えば、キーパッドやタッチスクリーンである。なお、ここでいう「入力」は、後述するユーザ確認のための入力を含む。よって、例えば、ユーザ確認を指紋認証によって行う場合であれば、情報入力部２４０は、指紋をスキャンする手段を含んで構成される。表示部２５０は、液晶ディスプレイ等の表示装置であり、文字や画像を表示する。音声入出力部２６０は、スピーカ及びマイクロホンを備え、収音及び放音を行う。なお、音声入出力部２６０は、スピーカ及びマイクロホンを接続するための端子を備えるだけの構成とし、スピーカ及びマイクロホンを外部装置として設けるものであってもよい。
【００１５】
クライアント端末２００は、以上の構成のもと、記憶部２２０に記憶されたデータを用いて種々の処理を実行する。クライアント端末２００は、例えば、電子メールの送受信（及び表示）や、画像（静止画又は動画）の再生などを行う。つまり、クライアント端末２００は、このような処理を実行するためのデータ（電子メールデータ、画像データなど）を記憶部２２０に記憶している。
【００１６】
記憶部２２０が記憶するデータには、所定の条件が満たされたときにサーバ装置１００によって利用が制限されるデータが含まれる。かかるデータのことを、以下においては「秘密データ」という。秘密データは、換言すれば、クライアント端末２００のユーザが意図せぬ他人による利用を望まないデータである。なお、秘密データの「利用」の態様は、通信部２３０を介した送信、表示部２５０による文字や画像としての表示、音声入出力部２６０による音声としての再生などを含み得る。秘密データは、例えば、秘密にすべき文書のデータや、特定の相手あての電子メールデータがこれに該当する。ユーザは、記憶部２２０に記憶されたデータから秘密データとすべきデータを選択し、あらかじめその旨の設定を行っておく。秘密データの設定の方法には、データを個別に選択する方法のほか、特定のフォルダ（ディレクトリ）にデータを移動させる方法や、所望の拡張子を選択することで、当該拡張子を有するデータ全部を秘密データに設定する方法などがある。
【００１７】
図３は、サーバ装置１００の構成を示すブロック図である。サーバ装置１００は、図３に示すように、制御部１１０と、記憶部１２０と、通信部１３０とを備える。制御部１１０は、ＣＰＵ等の演算処理装置や主記憶装置に相当するメモリを備え、プログラムを実行することによってサーバ装置１００の各部の動作を制御する。記憶部１２０は、補助記憶装置に相当する記憶手段を備え、制御部１１０が処理を実行するために用いられるデータを記憶している。また、記憶部１２０は、秘密データを一時的に記憶する記憶手段としても機能する。通信部１３０は、ネットワークＮＷ１又は窓口端末４００と通信を行うためのインターフェースである。
【００１８】
図４は、サーバ装置１００の制御部１１０の機能的構成を示す機能ブロック図である。制御部１１０は、プログラムを実行することにより、図４に示す判定部１１１及びデータ制御部１１２に相当する機能を実現する。判定部１１１は、クライアント端末２００のユーザが死亡した状態であることを、複数の判定条件を用いて判定する。本実施形態において用いられる判定条件は、クライアント端末２００を用いて繰り返し行われるユーザ確認の結果と、窓口端末４００から送信されるユーザの死亡通知の２種類である。データ制御部１１２は、ユーザが死亡した状態であると判定部１１１が判定した場合に、秘密データの利用が制限されるように当該データの取り扱いを制御する。データ制御部１１２は、ユーザの死亡の判定に用いられた判定条件に応じて、秘密データの利用を制限する態様を異ならせる。
【００１９】
位置登録データベース３００は、クライアント端末２００を識別する識別情報と当該端末の位置情報とを対応付けて記憶するデータベースである。また、位置登録データベース３００は、秘密データの制限の態様を決めるフラグを識別情報と対応付けて記憶している。本実施形態において、このフラグの値は、「０（制限なし）」、「１（一部利用不可能）」、「２（完全に利用不可能）」の３通りであり、サーバ装置１００によって書き換えられる。
なお、クライアント端末２００の識別情報は、クライアント端末２００（又はそのユーザ）を一意的に特定可能であれば、どのようなデータであってもよいが、例えば、電話番号などが用いられる。
【００２０】
窓口端末４００は、通信事業者の管理下にあり、クライアント端末２００の契約の変更を受け付け、これをサーバ装置１００に通知するための端末である。ここにおいて、契約の変更とは、契約者であるユーザの死亡を理由として、契約者の遺族などがクライアント端末２００を解約することである。この場合、クライアント端末２００は、無線通信サービスを利用することはできないが、既存のデータ（秘密データを除く。）の利用は妨げないものとする。なお、契約の変更は、クライアント端末２００を使用する権利を、契約者（故人）であるユーザから他のユーザに承継するものであってもよい。このような場合においても、故人である承継前のユーザが秘密にしておきたかったデータが暴露されるおそれがあるからである。
なお、窓口端末４００は、図１においては、ネットワークＮＷ１とは別の通信回線（例えば、専用線）によってサーバ装置１００に接続されていることを想定しているが、ネットワークＮＷ１によってサーバ装置１００に接続されていてもよいものである。
【００２１】
データ制御システム１０の構成は、以上のとおりである。この構成のもと、クライアント端末２００のユーザは、通信事業者によって提供される無線通信サービスを利用し、通話やデータ通信を行う。クライアント端末２００の利用に際し、ユーザは、定期的にユーザ確認を行う。ここにおいて、ユーザ確認とは、真正なユーザがクライアント端末２００を操作していることを確認するための処理をいう。ユーザ確認は、例えば、あらかじめ設定されたパスワードを入力することで行われ、より望ましくは、声紋認証、指紋認証等のバイオメトリクス認証によって行われる。また、ユーザ確認の実行間隔は任意であるが、秘密データの暴露を防ぐためには、より短いほど望ましい。ただし、実際の実行間隔は、ユーザの使い勝手も考慮し、適当に（例えば、１日に１回程度）設定される。なお、クライアント端末２００は、電源が長時間オフであった場合には、電源の投入直後にユーザ確認をユーザに要求してもよい。
【００２２】
本実施形態においては、このユーザ確認が繰り返し行われていることをもって、ユーザが生存しているとみなすことにしている。換言すれば、本実施形態においては、ユーザ確認が正常に行われない場合には、ユーザが死亡した可能性があると推定しているということである。本実施形態における第１の判定条件は、この推定に基づくものである。
また、これとは別に、本実施形態においては、窓口端末４００を介してクライアント端末２００の契約が変更された場合にも、ユーザが死亡した旨の判定が行われる。本実施形態における第２の判定条件は、この契約の変更に基づくものである。
【００２３】
クライアント端末２００は、電源が投入（オン）されると、ネットワークＮＷ１に含まれる近傍の基地局との通信を試みる。基地局は、それぞれの基地局に固有の信号を発信している。クライアント端末２００は、基地局からこの信号を受信すると、この信号に基づいて自機の位置（ロケーションエリア）を特定し、位置登録データベース３００に対して、特定した位置を表す位置情報を自機の識別情報とともに送信する。すると、位置登録データベース３００は、この位置情報を識別情報と対応付けて記憶する。また、クライアント端末２００は、移動によって自機の位置が変化したことを検知すると、変化後の位置情報を位置登録データベース３００に送信する。このような動作が電源の投入や自機の移動の度に繰り返されることにより、クライアント端末２００の位置がネットワークＮＷ１側（通信事業者側）で把握できるようになっている。以下においては、位置情報の記録に係るこれらの一連の動作のことを「位置登録」という。
また、クライアント端末２００は、位置登録データベース３００にデータを送信すると、フラグの値を受信するように構成されている。サーバ装置１００は、このフラグの値を、上述した判定条件を用いた判定に応じて書き換えるように構成されている。クライアント端末２００は、フラグの値を参照し、必要に応じて、秘密データの利用を制限する。
【００２４】
図５は、判定条件と秘密データの制限の態様との対応付けを例示する図である。本実施形態において、サーバ装置１００は、図５に例示した態様に従って秘密データの利用を制限するものとする。サーバ装置１００は、まず、クライアント端末２００のユーザが死亡していないと判定される場合（すなわち、ユーザ確認が正常に行われ、かつ、契約の変更も通知されていない場合）には、秘密データを制限なく利用可能にする。
【００２５】
一方、サーバ装置１００は、ユーザ確認が正常に行われなかった場合には、秘密データをクライアント端末２００からは消去し、他の記憶装置（本実施形態においては、サーバ装置１００の記憶部１２０）に記憶させるとともに、この秘密データをロックする。ここにおいて、データのロックとは、当該データを特定のユーザのみに利用可能にする処理をいうものである。例えば、特定の鍵を用いてデータを暗号化する方法は、データのロック方法の一例である。また、当該データにアクセスするためのＵＲＬ（Uniform Resource Locator）を推測が困難な文字列とし、正しいパスワードを入力した特定のユーザのみに当該ＵＲＬを通知する方法も、データのロック方法の一例であるといえる。データのロックを解除するためには、このような鍵やパスワードが必要であるが、これに代えて、上述したユーザ確認が行われればロックが解除されるようにしてもよい。なお、以下においては、秘密データをクライアント端末２００から他の記憶装置に移動させることを「転送」ともいう。
【００２６】
また、サーバ装置１００は、契約の変更が通知された場合には、秘密データを完全に利用不可能にする。このとき、サーバ装置１００は、典型的には、秘密データを消去する。ただし、サーバ装置１００は、秘密データを意図せぬ他人が利用できないようにすれば足りるので、秘密データを消去するのではなく、通信事業者のみが参照できるようなアクセス制限を秘密データに施してもよい。
【００２７】
なお、図５に示す対応付けは、サーバ装置１００の記憶部１２０に記憶され、必要に応じて制御部１１０が読み出すものであってもよいが、制御部１１０が実行するプログラム中に記述（いわゆるハードコーディング）されていてもよい。記憶部１２０に対応付けを記憶する場合には、これをプログラム中にハードコーディングする場合に比べ、対応付けの変更をより容易に行うことが可能である。
【００２８】
図６は、秘密データの転送に係る第１の動作例を示すシーケンスチャートである。クライアント端末２００は、図６に示すように、サーバ装置１００との間でユーザ確認を行い（ステップＳ１０１）、位置登録データベース３００との間で位置登録を行う（ステップＳ１０２）。クライアント端末２００は、位置登録に際して、位置登録データベース３００に記憶されたフラグの値を受信して参照する。なお、ステップＳ１０１及びＳ１０２の処理は、図６に図示されているものよりも前のタイミングにおいても、繰り返し実行されている。
【００２９】
サーバ装置１００は、ユーザ確認が行われると、あらかじめ決められた判定条件に従ってユーザの死亡を判定し（ステップＳ１０３）、判定結果をフラグとして記憶する（ステップＳ１０４）。また、サーバ装置１００は、このフラグを位置登録データベース３００に送信する（ステップＳ１０５）。なお、ステップＳ１０４及びＳ１０５の処理は、判定結果が前回と同じであれば、省略可能である。この説明においては、ステップＳ１０４において記憶されるフラグの値は「０」であるとする。
【００３０】
ここで、クライアント端末２００のユーザが、何らかの理由によって、期待されるタイミングでユーザ確認を行わなかったと仮定する（ステップＳ１０６）。つまり、ステップＳ１０６の処理は、ここでは実際には行われなかったものとする。そうすると、サーバ装置１００は、ユーザの死亡の判定（ステップＳ１０７）において、上述した第１の判定条件を満たすと判定する。その結果、サーバ装置１００は、フラグの値を「０」から「１」に書き換え（ステップＳ１０８）、これを位置登録データベース３００に送信する（ステップＳ１０９）。また、サーバ装置１００は、クライアント端末２００に対して、秘密データの転送を要求する（ステップＳ１１０）。
【００３１】
クライアント端末２００は、ステップＳ１１０の要求に応じて、記憶部２２０に記憶された秘密データをサーバ装置１００に送信し（ステップＳ１１１）、記憶部２２０からは消去する（ステップＳ１１２）。サーバ装置１００は、秘密データを受信すると、秘密データをロックして、記憶部１２０に記憶させる（ステップＳ１１３）。
【００３２】
図７は、クライアント端末２００の表示部２５０に表示される画面を例示する図である。クライアント端末２００は、このようにして、秘密データが利用不可能であることと、その復元方法とをユーザに報知する。このとき、クライアント端末２００は、表示部２５０による表示に代えて、音声入出力部２６０による音声の再生によって報知を行ってもよい。ユーザは、秘密データのロックを解除することができれば、これをクライアント端末２００にダウンロードすることで、秘密データを復元することが可能である。
【００３３】
なお、ステップＳ１１１及びＳ１１２の処理は、クライアント端末２００の電源がオンであれば実行可能であるが、クライアント端末２００の電源がオフであれば実行不可能である。そこで、クライアント端末２００の電源がオフであった場合には、クライアント端末２００の電源がオンになったタイミングで行われる位置登録を利用して、秘密データの利用が制限される。
【００３４】
図８は、秘密データの転送に係る第２の動作例を示すシーケンスチャートである。この第２の動作例は、クライアント端末２００の電源がオフの状態が続き、その間にユーザ確認を行うべきタイミングが到来していた場合のものである。第２の動作例は、ステップＳ１０１〜Ｓ１１０の処理については、第１の動作例と共通である。
【００３５】
この動作例において、クライアント端末２００は、ステップＳ１０６の処理が実行されるべきタイミング以前に、電源がオフになっている（ステップＳ１２１）。よって、サーバ装置１００は、ステップＳ１１０の要求に対する応答も得ることができない。
一方、クライアント端末２００は、やがて何者かによって電源が投入され、データの利用等が可能な状態になる（ステップＳ１２２）。クライアント端末２００の電源をオンにするのは、真正なユーザ（契約者本人）の場合もあれば、他人の場合もある。このとき、クライアント端末２００は、位置登録を行い（ステップＳ１２３）、フラグの値をあわせて受信する。位置登録データベース３００のフラグの値は、ステップＳ１０９の処理によって、「０」から「１」に書き換えられている。
【００３６】
クライアント端末２００は、受信したフラグの値に応じて、秘密データの利用を制限する。このとき、フラグの値は「１」であるから、クライアント端末２００は、真正なユーザが死亡した可能性があると判断し、ユーザにユーザ確認を要求する（ステップＳ１２４）。このとき、ユーザ確認が正常に行われれば、サーバ装置１００にその旨が通知され、フラグの値は「１」から「０」に書き換えられる。一方、ユーザ確認が行われなければ、クライアント端末２００は、記憶部２２０に記憶された秘密データをサーバ装置１００に送信し（ステップＳ１２５）、記憶部２２０からは消去する（ステップＳ１２６）。サーバ装置１００は、秘密データを受信すると、秘密データをロックして、記憶部１２０に記憶させる（ステップＳ１２７）。
【００３７】
図９は、秘密データの消去に係る動作例を示すシーケンスチャートである。クライアント端末２００について契約の変更があった場合には、図９に示すように、窓口端末４００からサーバ装置１００にその旨が通知される（ステップＳ２０１）。このとき、サーバ装置１００は、クライアント端末２００が第２の判定条件を満たすと判定する（ステップＳ２０２）。また、サーバ装置１００は、この判定結果に従い、フラグを更新するとともに、秘密データを消去する（ステップＳ２０３、Ｓ２０４）。サーバ装置１００は、その後にフラグを参照する可能性がない場合であれば、ステップＳ２０３の処理を省略してもよい。また、サーバ装置１００は、その後にフラグを参照する可能性がある場合には、位置登録データベース３００にフラグの値を送信する。
【００３８】
なお、第１の判定条件が満たされる前に第２の判定条件が満たされた場合、秘密データは、サーバ装置１００ではなくクライアント端末２００に記憶されている。よって、この場合には、サーバ装置１００は、クライアント端末２００に対して秘密データの消去を要求する。このときの動作は、第１の動作例のステップＳ１１０及びＳ１１２の処理と同様のものである。ただし、秘密データのサーバ装置１００への転送は行われない。
【００３９】
以上のとおり、本実施形態のデータ制御システム１０は、秘密データの利用を制限する態様として、クライアント端末２００とは別の記憶装置にこれを記憶させ、さらにロックを行う第１の態様と、秘密データを利用不可能にする第２の態様とを有する。よって、データ制御システム１０によれば、第１の態様の次に第２の態様で秘密データの利用が制限されることで、秘密データの利用の制限の態様を段階的に変化させることが可能となる。このようにすることで、ユーザが死亡している“かもしれない”という不確定な状態における秘密データの暴露を生じにくくすることが可能である。なお、この状態において、秘密データは、クライアント端末２００に復元可能な状態で他の記憶装置に記憶されている。よって、ユーザが死亡しておらず、単にユーザ確認を怠っただけの場合であっても、秘密データが復元不可能に失われ、ユーザに不利益を与えるおそれが少ない。
【００４０】
［変形例］
上述した実施形態は、本発明の実施の一例にすぎない。本発明は、上述した実施形態に対して、以下の変形を適用することが可能である。なお、以下に示す変形例は、必要に応じて、各々を適当に組み合わせて実施されてもよいものである。
【００４１】
（変形例１）
本発明は、ユーザの状態に限らず、クライアント端末の状態に応じてデータの利用を制限するものであってもよい。ここにおいて、クライアント端末の状態とは、例えば、クライアント端末を紛失した状態をいう。本発明は、このような場合においても、ユーザがクライアント端末を紛失してから紛失に気付くまでの間にデータが暴露されることの防止を期待することができる。
なお、クライアント端末の紛失に伴うデータ制御の場合、サーバ装置は、クライアント端末から転送したデータを消去することに代えて、ユーザが新たに使用する別のクライアント端末にデータを移動させてもよい。
【００４２】
（変形例２）
本発明において、特定の状態において制御対象となるデータは、クライアント端末に記憶されたデータの一部ではなく、全部であってもよい。
また、本発明において、データの利用の制限は、複数の態様が考えられる。本発明に係るデータ制御装置は、例えば、第１の判定条件が満たされたときにデータを（転送せずに）ロックし、第２の判定条件が満たされたときにクライアント端末からデータを消去する制御を行うものであってもよい。あるいは、本発明に係るデータ制御装置は、第１の判定条件が満たされたときにデータを転送し、第２の判定条件が満たされたときに当該データをロックする制御を行うものであってもよい。要するに、本発明に係るデータ制御装置の一つの態様は、第２の判定条件が満たされたときに、第１の判定条件が満たされたときよりもデータの利用がより制限されるようにその取り扱いを制御するものであれば、データの具体的な制限の態様は特に限定されないものである。
【００４３】
また、本発明に係るデータ制御装置は、３以上の判定条件を用いてデータの利用を制限するものであってもよい。例えば、上述した実施形態を例に説明すると、ユーザ確認が第１の期間（例えば、１２時間）に行われなかったときに第１の判定条件が満たされ、ユーザ確認が第１の期間よりも長い第２の期間（例えば、２４時間）に行われなかったときに第２の判定条件が満たされ、契約の変更が通知されたときに第３の判定条件が満たされる、といった判定条件を用いることも可能である。この３種類の判定条件を用いた場合には、データ制御装置は、第１の判定条件が満たされたときにデータを転送し、第２の判定条件が満たされたときに当該データをロックし、第３の判定条件が満たされたときに当該データを消去するように制御してもよい。あるいは、データ制御装置は、第１の判定条件が満たされたときにデータを所定の暗号強度で暗号化し、第２の判定条件が満たされたときに当該データをより高い暗号強度で暗号化し、第３の判定条件が満たされたときに当該データを消去するように制御してもよい。
【００４４】
さらに、本発明に係るデータ制御装置は、複数の判定条件のそれぞれにデータを対応付け、判定部による判定に用いられた判定条件に応じたデータの取り扱いを制御するものであってもよい。例えば、本発明に係るクライアント端末には、第１の判定条件が満たされたときに消去される第１のデータと、第２の判定条件が満たされたときに消去される第２のデータとが記憶されていてもよい。この例において、第１のデータを上述した秘密データとし、第２のデータを秘密データ以外のデータとすると、本発明は、第１の判定条件が満たされたときにクライアント端末から秘密データが消去され、第２の判定条件が満たされたときにクライアント端末から全部のデータが消去される、といったものになる。
【００４５】
（変形例３）
本発明において、データの利用を制限することは、当該データを特定のユーザのみに限定的に利用可能にするものであるともいえる。ここにおいて、特定のユーザは、クライアント端末を使用するユーザ自身に限定されるものではなく、当該ユーザの親族や友人といった他のユーザであってもよい。そうすると、本発明は、あるクライアント端末のユーザが死亡した場合に、当該クライアント端末に記憶されていたデータを特定の他人のみが利用可能なように転送等するものであるとすることも可能である。このような態様によれば、本発明は、ユーザが死亡したときに、クライアント端末に記憶されたデータを当該ユーザからの遺言や形見のようにすることができる。なお、ここでいう他人によるデータの利用の方法には、当該データを当該他人のみが参照可能なように他の記憶装置に転送する方法と、当該データをクライアント端末に残しておきながら、当該他人のみが参照可能なようにロックする方法とが考えられる。
【００４６】
（変形例４）
本発明に係るデータ制御装置は、上述した実施形態においては、サーバ装置１００の制御部１１０がこれに相当する。しかし、本発明に係るデータ制御装置は、クライアント端末によって実現することも可能である。この場合、クライアント端末は、第２の判定条件による判定を行うためのデータ（すなわち、契約の変更を通知するデータ）をサーバ装置（又は窓口端末）から受信するように構成されていればよい。
【００４７】
また、クライアント端末が無線通信端末である場合、当該端末がネットワークの圏外にある場合には、ネットワーク側からの制御が不可能である。そうすると、ユーザが死亡し、又はクライアント端末を紛失した後に、他人によってクライアント端末が圏外に持ち出されると、当該他人がデータを自由に利用できるようになる可能性がある。このような事態に備え、クライアント端末は、電源のオフが連続している時間や自機が圏外である時間を計測する手段を備え、ネットワークとの通信を行っていない時間が所定の時間を超えるか否かを判定条件として用いるようにしてもよい。
【００４８】
（変形例５）
クライアント端末に記憶されていたデータの転送先は、上述した実施形態においては、サーバ装置１００の記憶部１２０である。しかし、本発明において、クライアント端末に記憶されていたデータの転送先は、本発明に係るサーバ装置とは別体に構成された記憶装置であってもよい。例えば、上述した変形例３の態様においては、親族や友人が使用する端末もデータの転送先となり得る。
【００４９】
（変形例６）
本発明に係るクライアント端末は、携帯電話等の無線通信端末に限らず、例えば、有線接続されたパーソナルコンピュータであってもよい。なお、有線接続された通信端末を用いる場合には、位置登録に係る構成や処理が省略可能である。
また、本発明は、データ制御装置やこれを含むデータ制御システムのみならず、これらを実現するための方法や、コンピュータに図４に示した機能を実現させるためのプログラムとしても把握されるものである。かかるプログラムは、これを記憶させた光ディスク等の記録媒体の形態で提供されたり、インターネット等のネットワークを介して、コンピュータにダウンロードさせ、これをインストールして利用可能にするなどの形態でも提供されたりすることができるものである。
【符号の説明】
【００５０】
１０…データ制御システム、１００…サーバ装置、１１０…制御部、１１１…判定部、１１２…データ制御部、１２０…記憶部、１３０…通信部、２００…クライアント端末、２１０…制御部、２２０…記憶部、２３０…通信部、２４０…情報入力部、２５０…表示部、２６０…音声入出力部、３００…位置登録データベース、４００…窓口端末
【特許請求の範囲】
【請求項１】
クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定する判定部と、
前記判定部が前記特定の状態であると判定すると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するデータ制御部と
を備えることを特徴とするデータ制御装置。
【請求項２】
前記データ制御部は、
前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを前記クライアント端末から消去するとともに、当該データを他の記憶装置に記憶し、
前記判定部が前記第１の判定条件による判定の後に第２の判定条件により前記特定の状態を判定した場合に、前記記憶装置に記憶された前記データを利用不可能にする
ことを特徴とする請求項１に記載のデータ制御装置。
【請求項３】
前記データ制御部は、
前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを特定のユーザのみに利用可能にする処理を実行し、
前記判定部が第２の判定条件により前記特定の状態を判定した場合に、前記データを利用不可能にする
ことを特徴とする請求項１又は２に記載のデータ制御装置。
【請求項４】
前記クライアント端末は、複数の前記データを記憶し、
前記データ制御部は、前記判定に用いられた判定条件に応じた前記データの取り扱いを制御する
ことを特徴とする請求項１ないし３のいずれかに記載のデータ制御装置。
【請求項５】
コンピュータに、
クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定するステップと、
前記特定の状態であると判定されると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するステップと
を実行させるためのプログラム。
【請求項１】
クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定する判定部と、
前記判定部が前記特定の状態であると判定すると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するデータ制御部と
を備えることを特徴とするデータ制御装置。
【請求項２】
前記データ制御部は、
前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを前記クライアント端末から消去するとともに、当該データを他の記憶装置に記憶し、
前記判定部が前記第１の判定条件による判定の後に第２の判定条件により前記特定の状態を判定した場合に、前記記憶装置に記憶された前記データを利用不可能にする
ことを特徴とする請求項１に記載のデータ制御装置。
【請求項３】
前記データ制御部は、
前記判定部が第１の判定条件により前記特定の状態を判定した場合に、前記データを特定のユーザのみに利用可能にする処理を実行し、
前記判定部が第２の判定条件により前記特定の状態を判定した場合に、前記データを利用不可能にする
ことを特徴とする請求項１又は２に記載のデータ制御装置。
【請求項４】
前記クライアント端末は、複数の前記データを記憶し、
前記データ制御部は、前記判定に用いられた判定条件に応じた前記データの取り扱いを制御する
ことを特徴とする請求項１ないし３のいずれかに記載のデータ制御装置。
【請求項５】
コンピュータに、
クライアント端末又はそのユーザが特定の状態であることを複数の判定条件を用いて判定するステップと、
前記特定の状態であると判定されると、前記複数の判定条件のそれぞれに応じてあらかじめ決められた態様のうち、当該判定に用いられた判定条件に応じた態様に従って前記クライアント端末に記憶されたデータの利用が制限されるように、当該データの取り扱いを制御するステップと
を実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１１−１７６７３５（Ｐ２０１１−１７６７３５Ａ）
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願番号】特願２０１０−４０５６３（Ｐ２０１０−４０５６３）
【出願日】平成２２年２月２５日（２０１０．２．２５）
【出願人】（５０３２２０７５０）ドコモ・テクノロジ株式会社 (58)
【Ｆターム（参考）】
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願日】平成２２年２月２５日（２０１０．２．２５）
【出願人】（５０３２２０７５０）ドコモ・テクノロジ株式会社 (58)
【Ｆターム（参考）】
[ Back to top ]