JP2016009370A - 情報処理装置および動作制御方法 - Google Patents

Abstract

【課題】情報漏洩を防止することができる情報処理装置を実現する。【解決手段】実施形態によれば、ファームウェアは、情報処理装置をネットワークを介して第１のサーバに接続し、仮想デスクトップ環境を提供する第２のサーバと通信して前記第２のサーバから仮想デスクトップイメージを受信するためのクライアントプログラムを、前記第１のサーバから前記揮発性メモリにダウンロードする。前記ファームウェアは、前記ネットワークを介して前記情報処理装置と前記第２のサーバとを接続するために前記クライアントプログラムを起動し、前記情報処理装置と前記第２のサーバとの間の接続の確立後に前記情報処理装置が前記ネットワークから切断された場合、前記揮発性メモリの内容を消去するために前記情報処理装置をパワーオフする。【選択図】図１

Description

本発明の実施形態は、セキュリティ管理のための技術に関する。

近年、パーソナルコンピュータ（クライアント端末）の盗難や紛失による情報漏洩が頻発している。

このため、インフラ事業や医療事業など厳重な情報管理が必要とされる事業を行う企業では、シンクライアント端末の利用が増えてきている。

特開２０１１−２２３３５５号公報

しかし、従来のシンクライアント端末では、サーバと通信するためのクライアントソフトウェアおよび必要最小限のオペレーティングシステム等がクライアント内の内蔵ストレージから起動される。このため、サーバに接続するための設定情報やその他の情報が内蔵ストレージに保持される可能性があるので、もしシンクライアント端末が盗難または紛失されると、情報漏洩を招く可能性がある。

本発明の目的は、情報漏洩のリスクを低減することができる情報処理装置および動作制御方法を提供することを目的とする。

実施形態によれば、情報処理装置は、プロセッサと、揮発性メモリと、基本入出力プログラム（ＢＩＯＳ）を含むファームウェアを格納するファームウェアＲＯＭとを具備する。前記ファームウェアは、情報処理装置をネットワークを介して第１のサーバに接続し、仮想デスクトップ環境を提供する第２のサーバと通信して前記第２のサーバから仮想デスクトップイメージを受信するためのクライアントプログラムを、前記第１のサーバから前記揮発性メモリにダウンロードし、前記ネットワークを介して前記情報処理装置と前記第２のサーバとを接続するために前記クライアントプログラムを起動し、前記情報処理装置と前記第２のサーバとの間の接続の確立後に前記情報処理装置が前記ネットワークから切断された場合、前記揮発性メモリの内容を消去するために前記情報処理装置をパワーオフする機能を実行するように前記プロセッサを制御する。

実施形態に係る情報処理装置（クライアント端末）を含むシステムを示す例示的なブロック図。 同実施形態の情報処理装置とＶＤＩサーバとを接続するための処理を説明するための例示的なブロック図。 同実施形態の情報処理装置がネットワークから切断された時に実行されるパワーオフ処理を説明するための例示的なブロック図。 同実施形態の情報処理装置によって実行される接続処理の手順を示す例示的なフローチャート。 同実施形態の情報処理装置によって実行される認証処理の手順を示す例示的なフローチャート。 同実施形態の情報処理装置によって実行される認証処理の別の手順を示す例示的なフローチャート。 同実施形態の情報処理装置によって実行されるネットワーク監視処理の手順を示す例示的なフローチャート。 同実施形態の情報処理装置の構成例を示す例示的なブロック図。

以下、実施の形態について図面を参照して説明する。
まず、図１を参照して、一実施形態に係る情報処理装置を含むシステムを説明する。この情報処理装置は、仮想デスクトップ環境を提供するように構成されたサーバと通信するためのクライアント端末として機能する。このクライアント端末は、ノートブック型パーソナルコンピュータと同様のクラムシェル型の端末であってもよいし、タブレットコンピュータと同様のスレート型の端末であってもよい。以下では、このクライアント端末が、スレート型の端末、つまりタブレット端末１０として実現されている場合を想定する。

本実施形態では、タブレット端末１０は、例えば、厳重な情報管理が必要とされる施設内の中央制御室等において使用される。この施設の例としては、例えば、発電所等が挙げられる。

中央制御室内のサーバエリアには、管理サーバ２０を含む幾つかのサーバが設置されている。中央制御室内の作業員である各ユーザは、タブレット端末１０を使用して業務を実行する。タブレット端末１０は、無線ＬＡＮのような無線ネットワークを介して管理サーバ２０と通信することができる。この場合、タブレット端末１０は、無線ＬＡＮルータ４０を介して管理サーバ２０に接続されてもよい。また、タブレット端末１０は、タブレット端末１０を含む複数のクライアント端末に仮想デスクトップ環境を提供するように構成されたサーバ３０と無線ネットワーク経由で通信することもできる。

仮想デスクトップ環境を提供するためのデスクトップ仮想化を実現するための技術には複数の種類の技術がある。これら技術の１つとしては、仮想デスクトップ基盤（ＶＤＩ）が知られている。

本実施形態では、デスクトップ仮想化を実現するための技術としてＶＤＩを用いても良い。この場合、サーバ３０は、ＶＤＩを使用して仮想デスクトップ環境を提供するように構成されたＶＤＩサーバとして機能する。また、タブレット端末１０は、ＶＤＩクライアント端末として機能する。

ＶＤＩサーバ３０の実現に使用可能なモデルとしては、ブレードＰＣ型、仮想マシン型、ターミナル型などがある。ＶＤＩサーバ３０が仮想マシン型によって実現されている場合には、ＶＤＩサーバ３０においては、複数の仮想マシン３１が実行される。これら複数の仮想マシン３１の一つがタブレット端末１０に割り当てられる。仮想マシン３１の各々は、仮想ＯＳ（クライアントデスクトップＯＳ）３２と、仮想ＯＳ３２上で実行されるアプリケーションプログラム３３とを含む。タブレット端末１０は、無線ＬＡＮルータ４０を介してＶＤＩサーバ３０上の一つの仮想マシン３１に接続されてもよい。

本実施形態では、タブレット端末１０の盗難による情報漏洩を防止できるようにするために、タブレット端末１０は、内蔵ストレージ（ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ））を備えておらず、基本入出力プログラム（ＢＩＯＳ）ベースの仮想デスクトップ基盤（ＶＤＩ）を利用して動作する。

このＢＩＯＳベースのＶＤＩを実現するために、ＢＩＯＳを含むファームウェアは、有線または無線のネットワークに接続するためのネットワーク通信機能を備えている。ＢＩＯＳを含むファームウェアは、タブレット端末１０内のＢＩＯＳ−ＲＯＭ（ファームウェアＲＯＭ）１１６に格納されている。このファームウェアは、ＢＩＯＳと、ネットワーク通信機能を有する組み込みＯＳとから構成されても良い。ＢＩＯＳは、ＢＩＯＳ−ＲＯＭ１１６内の組み込みＯＳをブートすることができる。このＢＩＯＳは、ＵＥＦＩ ＢＩＯＳであってもよい。ＢＩＯＳ−ＲＯＭ１１６は、このファームウェアのアップデートを可能にするためにフラッシュＥＥＰＲＯＭによって構成されていても良い。

タブレット端末１０は、ＢＩＯＳ−ＲＯＭ１１６内のファームウェアのみを使用することによって、無線ネットワークを介して管理サーバ２０と通信することができる。

管理サーバ２０は、中央制御室において不正な端末が使用されること、つまり不正な端末がＶＤＩサーバ３０にアクセスすることを防止するために、中央制御室において利用可能なクライアント端末を予め登録された端末群のみに制限する機能を有している。また、管理サーバ２０は、正当なクライアント端末であることが認証された各クライアント端末に、ＶＤＩサーバ３０との通信に必要なプログラムおよび情報を提供する機能を有している。

すなわち、管理サーバ２０は、ストレージ２０ａを備えている。このストレージ２０ａには、ＶＤＩ接続用ソフトウェア、追加ソフトウェア、ＶＤＩ接続先情報、等が格納されている。ＶＤＩ接続用ソフトウェアは、仮想デスクトップ環境を提供するサーバ（ここでは、ＶＤＩサーバ３０）と通信してこのサーバから仮想デスクトップイメージを受信するためのクライアントプログラム（ＶＤＩクライアントプログラム）である。

上述したようにタブレット端末１０は、内蔵ストレージを備えておらず、ＶＤＩ接続用ソフトウェア（クライアントプログラム）を、管理サーバ２０からタブレット端末１０内の揮発性メモリ（ＲＡＭ）１１３にダウンロードする。

ＶＤＩ接続用ソフトウェア（クライアントプログラム）をＢＩＯＳ−ＲＯＭ１１６内に予め格納しておくという方法を使用することも可能である。しかし、この場合には、ＢＩＯＳ−ＲＯＭ１１６として大容量のＲＯＭを用意することが必要となる。また、ＢＩＯＳ−ＲＯＭ１１６にクライアントプログラムを予め格納するという方法では、利用可能なクライアントプログラムの種類も制限されてしまう。

本実施形態では、上述したように、ＶＤＩ接続用ソフトウェア（クライアントプログラム）は、管理サーバ２０からタブレット端末１０内の揮発性メモリ（ＲＡＭ）１１３にダウンロードされる。したがって、管理サーバ２０のストレージ２０ａに格納しておくべきクライアントプログラムの種類を変更するだけで、任意の種類のクライアントプログラム
をタブレット端末１０上で実行することができる。

ＶＤＩ接続先情報は、ＶＤＩサーバ３０に接続するために必要な情報である。このＶＤＩ接続先情報には、ＶＤＩサーバ３０のネットワークアドレス（ＩＰアドレス）、およびＶＤＩサーバ３０にログインするための資格情報（ユーザＩＤ、パスワード）が含まれていてもよい。

ファームウェア内の組み込みＯＳは、タブレット端末１０をネットワークを介してＶＤＩサーバ３０に接続するために、ＶＤＩ接続用ソフトウェアを起動する。ＶＤＩ接続用ソフトウェア（クライアントプログラム）は、資格情報（ユーザＩＤ、パスワード）を使用して、ＶＤＩサーバ３０に自動的にログインすることができる。

ＶＤＩ接続用ソフトウェア（クライアントプログラム）がＶＤＩサーバ３０にログインした後は、このＶＤＩ接続用ソフトウェア（クライアントプログラム）は、ネットワーク（ここでは、無線ネットワーク）を介してＶＤＩサーバ３０から仮想デスクトップイメージを受信することができる。この仮想デスクトップイメージは、タブレット端末１０のディスプレイ（タッチスクリーンディスプレイ）上に表示される。さらに、ＶＤＩ接続用ソフトウェアは、ユーザによる入力デバイスの操作情報を、ネットワーク（ここでは、無線ネットワーク）を介してＶＤＩサーバ３０に送信することができる。入力デバイスの操作情報は、キーボード（または仮想キーボード）の操作情報、マウスの操作情報、タッチスクリーンディスプレイに対するタッチ操作情報等を含む。

このように、ＶＤＩ接続用ソフトウェア（クライアントプログラム）は、ファームウェアのみによって管理サーバ２０からタブレット端末１０内のＲＡＭ１１３にダウンロードされる。したがって、タブレット端末１０においては、内蔵ストレージが不要となり、データや独自プログラムが盗まれる危険性が著しく減少する。また、ファームウェアは、管理サーバ２０に接続するための接続情報（管理サーバ２０のネットワークアドレス、管理サーバ２０に接続するためのパスワード）だけは持っている。この接続情報のデータ量は小さいため、この情報は、秘匿性の高いトラステッド・プラットフォーム・モジュール（ＴＰＭ）や他の特殊チップに保存しておくことができ、安全性を高めることができる。さらに、この接続情報は、無線ＬＡＮルータ４０のサービスセットＩＤ（ＳＳＩＤ）を含んでいても良い。

さらに、上述したように、本実施形態では、任意の種類のクライアントプログラムをタブレット端末１０上で実行することができる。

追加ソフトウェアは、タブレット端末１０上で実行すべき追加のアプリケーションプログラムである。ファームウェアは、追加ソフトウェアを管理サーバ２０からＲＡＭ１１３にダウンロードする。これにより、必要に応じてタブレット端末１０に様々な機能を追加することができる。

さらに、ファームウェアは、タブレット端末１０とＶＤＩサーバ３０との間の接続が確立された後にタブレット端末１０がネットワーク（ここでは、無線ネットワーク）から切断された場合、タブレット端末１０を自動的にパワーオフするための機能も有している。タブレット端末１０の自動パワーオフにより、盗まれてはいけない全ての情報がタブレット端末１０のＲＡＭ１１３から自動的に消去される。すなわち、本実施形態では、全ての情報（管理サーバ２０からダウンロードされたプログラムやデータ）はタブレット端末１０のＲＡＭ１１３上のみに存在するため、パワーオフ時にＲＡＭ１１３への電源電圧の供給が停止されると同時にこれら全ての情報が消える。よって、たとえタブレット端末１０が施設外に持ち出されても、情報漏洩を防止することができる。

タブレット端末１０がネットワークから切断されたか否かを判定するための処理は、ファームウェア（例えば上述の組み込みＯＳ）によって実行しても良い。タブレット端末１０がネットワークから切断されたか否かを判定するための方法としては、例えば、タブレット端末１０とＶＤＩサーバ３０との間の接続（ＶＤＩ接続）が解除（切断）されたか否かを判定するという方法を使用してもよい。ＶＤＩ接続の解除（切断）の要因には、施設外（通信範囲外）へのタブレット端末１０の持ち出し、ＶＤＩサーバ３０からのログオフ等がある。

施設外（通信範囲外）にタブレット端末１０が持ち出された場合には、タブレット端末１０とＶＤＩサーバ３０との間の接続が解除されるだけで無く、タブレット端末１０と管理サーバ２０との間の接続も解除される。したがって、ファームウェア（例えば上述の組み込みＯＳ）は、管理サーバ２０と定期的に通信を行い、管理サーバ２０との通信が実行できない状態が一定時間以上続いたことを条件に、ＶＤＩ接続が解除されたと判定しても良い。施設外（通信範囲外）にタブレット端末１０が移動したか否かの判定には、タブレット端末１０に搭載されたＧＰＳセンサを使用することもできる。

あるいは、タブレット端末１０がネットワークから切断されたか否かを判定するための処理は、上述の追加ソフトウェアによって実行しても良い。この場合、追加ソフトウェアは、タブレット端末１０とＶＤＩサーバ３０との間のＶＤＩ接続が解除（切断）されたか否かを判定するために、ＶＤＩサーバ３０からの仮想デスクトップイメージの受信が閾時間以上途絶えたか否かを判定する処理を実行しても良い。例えば、追加ソフトウェアは、ＶＤＩ接続用ソフトウェア（クライアントプログラム）と通信することによって、ＶＤＩサーバ３０からの仮想デスクトップイメージの受信が途絶えたか否かを検出しても良い。

次に、図２を参照して、タブレット端末１０とＶＤＩサーバ３０とを接続するための処理を説明する。

（１）ユーザによる電源スイッチの操作により、タブレット端末１０（マシン）がパワーオンされる。

（２）タブレット端末１０のファームウェアが実行される。ファームウェアと管理サーバ２０との間の通信が開始され、そしてタブレット端末１０が管理サーバ２０にネットワークを介して接続することを許可するか否かを判定するためのネットワーク認証処理が実行される。タブレット端末１０のファームウェアが、管理サーバ２０に接続するための正しい接続情報（管理サーバ２０のネットワークアドレス、パスワード）を保持していれば、タブレット端末１０のファームウェアは管理サーバ２０にネットワークを介して接続することができる（ネットワーク認証処理の成功）。

（３）この後、不正端末の使用を防止するための機器認証処理が実行される。この場合、ファームウェア（例えば上述の組み込みＯＳ）は、タブレット端末１０を識別可能な機器情報、例えば、タブレット端末１０の機器ＩＤ（シリアル番号等）、またはタブレット端末１０が有する証明書を、管理サーバ２０に送信する。管理サーバ２０には、利用可能なクライアント端末それぞれに対応する機器情報が予め登録されている。管理サーバ２０は、タブレット端末１０からの機器情報が予め登録されている機器情報に一致するか否かを判定する（機器認証処理）。管理サーバ２０は、機器認証処理が成功したか否かを示すログ情報を、管理サーバ２０のストレージ２０ａ内に格納する。また、ファームウェア（例えば上述の組み込みＯＳ）も、機器認証処理が成功したか否かを示すログ情報を、タブレット端末１０のＲＡＭ１１３に格納してもよい。

（４）機器認証処理が成功したならば、ファームウェア（例えば上述の組み込みＯＳ）は、ＶＤＩ接続用ソフトウェア（クライアントプログラム）を管理サーバ２０からダウンロードする。

（５）ファームウェア（例えば上述の組み込みＯＳ）は、ＶＤＩ接続用ソフトウェア（クライアントプログラム）をＲＡＭ１１３上に展開する。

（６）ファームウェア（例えば上述の組み込みＯＳ）は、ＶＤＩ接続先情報を管理サーバ２０から取得する。この場合、タブレット端末１０の機器情報に一致する登録済み機器情報に関連付けられているＶＤＩ接続先情報が管理サーバ２０からタブレット端末１０に送信される。ＶＤＩ接続先情報は、上述したように、ＶＤＩサーバ３０のネットワークアドレス（ＩＰアドレス）を含む。さらに、ＶＤＩ接続先情報は、ＶＤＩサーバ３０にログインするための資格情報（ユーザＩＤ、パスワード）を含んでいても良い。

（７）ファームウェア（例えば上述の組み込みＯＳ）は、タブレット端末１０とＶＤＩサーバ３０とを接続するために、ＲＡＭ１１３上のＶＤＩ接続用ソフトウェア（クライアントプログラム）を実行する。ＶＤＩ接続用ソフトウェア（クライアントプログラム）は、ＶＤＩ接続先情報に含まれるネットワークアドレス（ＩＰアドレス）を使用して、ＶＤＩサーバ３０に接続要求（ログイン要求）を送信する。さらに、ＶＤＩ接続用ソフトウェア（クライアントプログラム）は、ＶＤＩ接続先情報に含まれるユーザＩＤ、パスワードを、ＶＤＩサーバ３０から提供されるＶＤＩログイン画面上のユーザＩＤ入力フィールドおよびパスワード入力フィールドに入力してもよい。これにより、ＶＤＩサーバ３０に自動ログインすることができる。これにより、タブレット端末１０とＶＤＩサーバ３０との間の接続（ＶＤＩ接続）が確立される。

（８）ファームウェア（例えば上述の組み込みＯＳ）は、追加ソフトウェアを管理サーバ２０からダウンロードする。

（９）ファームウェア（例えば上述の組み込みＯＳ）は、追加ソフトウェアをＲＡＭ１１３上に展開して実行する。

次に、図３を参照して、タブレット端末１０がネットワークから切断された時に実行されるパワーオフ処理を説明する。

（１）たとえば、タブレット端末１０が外部に持ち出されると、タブレット端末１０とＶＤＩサーバ３０との間の接続が解除される（ＶＤＩ切断）。また、タブレット端末１０は、ＶＤＩサーバ３０からの画面情報（仮想デスクトップイメージ）の受信が途絶えるログオフ状態となる。

（２）ファームウェア（例えば上述の組み込みＯＳ）または追加ソフトウェアは、タブレット端末１０がネットワークから切断されたことを検知する。

（３）組み込みＯＳまたは追加ソフトウェアによってネットワーク切断が検出された場合、ファームウェア（例えばＢＩＯＳ）は、タブレット端末１０内の電源コントローラにパワーオフコマンドを送信してクライアント端末をパワーオフする。これにより、ＲＡＭ１１３上の情報は自動的に消去される。

クライアント端末１０のユーザによるログオフ操作によってタブレット端末１０がログオフ状態になった場合にも、タブレット端末１０を自動的にパワーオフしても良い。

次に、図４のフローチャートを参照して、タブレット端末１０によって実行される接続処理の手順を説明する。

タブレット端末１０がパワーオンされると、ＢＩＯＳは、ＢＩＯＳ−ＲＯＭ１１６内の組み込みＯＳをブートする。そして、組み込みＯＳと管理サーバ２０との間で認証処理が実行される（ステップＳ１１）。ステップＳ１１では、上述のネットワーク認証処理および機器認証処理が実行されてもよい。

組み込みＯＳは、認証処理の結果を確認する（ステップＳ１２）。認証処理が失敗した場合には、組み込みＯＳはＢＩＯＳにパワーオフ要求を送信し、そしてＢＩＯＳはタブレット端末１０をパワーオフする（シャットダウン）（ステップＳ１３）。

認証処理が成功した場合には、組み込みＯＳは、管理サーバ２０との通信を実行して、ＶＤＩ接続用ソフトウェアを管理サーバ２０からＲＡＭ１１３にダウンロードする（ステップ１４）。ＶＤＩ接続用ソフトウェアはＲＡＭ１１３に展開される（ステップＳ１５）。組み込みＯＳは、管理サーバ２０との通信を実行して、ＶＤＩサーバ３０に接続するための資格情報を含むＶＤＩ接続先情報を管理サーバ２０から取得する（ステップ１６）。

そして、組み込みＯＳは、タブレット端末１０とＶＤＩサーバ３０（ＶＤＩサーバ３０上の仮想マシン３１）とを接続するために、ＲＡＭ１１３上のＶＤＩ接続用ソフトウェアを起動する（ステップＳ１７）。ステップＳ１７では、起動されたＶＤＩ接続用ソフトウェアは、ＶＤＩ接続先情報に含まれるネットワークアドレス（ＩＰアドレス）を使用してＶＤＩサーバ３０に接続要求（ログイン要求）を送信する。さらに、ＶＤＩ接続用ソフトウェアは、ＶＤＩ接続先情報に含まれる資格情報をＶＤＩログイン画面上に入力して、ＶＤＩサーバ３０に自動的にログインする。

ＶＤＩサーバ３０にログインするための処理と並行して、組み込みＯＳは、管理サーバ２０との通信を実行して、追加ソフトウェアを管理サーバ２０からＲＡＭ１１３にダウンロードする（ステップ１９）。追加ソフトウェアはＲＡＭ１１３に展開される（ステップＳ２０）。追加ソフトウェアは組み込みＯＳによって起動される。

図５のフローチャートは、図４のステップＳ１１で実行される認証処理の手順の例を示す。

組み込みＯＳは、管理サーバ２０に接続するための接続情報を使用して、無線ネットワークを介してタブレット端末１０と管理サーバ２０とを接続するための処理を開始する（ステップＳ３１）。そして、組み込みＯＳは、ネットワーク認証処理が成功したか否か、つまりタブレット端末１０が管理サーバ２０に接続することができたか否かを確認する（ステップＳ３２）。

タブレット端末１０が管理サーバ２０に接続することができなかったならば、組み込みＯＳは、認証エラーメッセージをタブレット端末１０の画面に表示する（ステップＳ２３）。そして、組み込みＯＳは認証エラーが発生したことをＢＩＯＳに通知する。ＢＩＯＳは、タブレット端末１０をパワーオフする（シャットダウン）（ステップＳ３４）。

タブレット端末１０が管理サーバ２０に接続できたならば、組み込みＯＳは、タブレット端末１０が管理サーバ２０に登録された端末であるか否かを判定するための機器認証処理を管理サーバ２０に実行させるために、タブレット端末１０の機器情報、例えばタブレット端末１０の機器ＩＤ（シリアル番号）、タブレット端末１０が有する証明書を管理サーバ２０に送信する（ステップＳ３５）。そして、組み込みＯＳは、機器認証処理が成功したか否かを確認する（ステップＳ３６）。

機器認証処理が成功しなかったならば、組み込みＯＳは、認証エラーメッセージをタブレット端末１０の画面に表示する（ステップＳ２３）。そして、組み込みＯＳは認証エラーが発生したことをＢＩＯＳに通知する。ＢＩＯＳは、タブレット端末１０をパワーオフする（シャットダウン）（ステップＳ３４）。

図６のフローチャートは、図４のステップＳ１１で実行される認証処理の手順の別の例を示す。

図６の認証処理においては、上述のネットワーク認証処理および機器認証処理だけでなく、個人認証処理（ステップＳ４１、Ｓ４２）も実行される。個人認証処理は、タブレット端末１０を使用するユーザがタブレット端末１０に予め登録された正しいユーザであるか否かを判定するための認証処理である。個人認証処理は、ファームウェア（ＢＩＯＳまたは組み込みＯＳ）によって実行される。

ネットワーク認証処理および機器認証処理が成功すると、ファームウェアは、個人認証処理を実行する（ステップＳ４１）。個人認証処理は、入力された指紋がタブレット端末１０に予め登録された指紋に一致するか否かを判定するための指紋認証処理であってもよい。あるいは、個人認証処理は、ＮＦＣカードから読み取った個人情報がタブレット端末１０に予め登録された個人情報に一致するか否かを判定するためのＮＦＣ認証処理であってもよい。

そして、ファームウェアは、個人認証処理が成功したか否かを確認する（ステップＳ４２）。個人認証処理が成功しなかったならば、ファームウェアは、認証エラーメッセージをタブレット端末１０の画面に表示する（ステップＳ２３）。そして、ファームウェアは、タブレット端末１０をパワーオフする（シャットダウン）（ステップＳ３４）。

図７のフローチャートは、ＶＤＩ接続が確立された後にタブレット端末１０によってネットワーク監視処理の手順を示す。

ネットワーク監視処理では、例えば、組み込みＯＳが、管理サーバ２０との通信を繰り返し実行することによって、管理サーバ２０とタブレット端末１０との間の接続状態を監視してもよい。あるいは、ネットワーク監視処理では、例えば、追加ソフトウェアが、ＶＤＩサーバ３０との通信を繰り返し実行することによって、ＶＤＩサーバ３０とタブレット端末１０との間の接続状態を監視してもよい。

以下では、組み込みＯＳが管理サーバ２０とタブレット端末１０との間の接続状態を監視する場合を想定する。

例えば、組み込みＯＳは、管理サーバ２０のネットワークアドレス（ＩＰアドレス）を取得し、そして管理サーバ２０とタブレット端末１０が接続されているか否かをチェックするためのコマンドを管理サーバ２０に繰り返し送信してもよい。このコマンドはＰｉｎｇコマンドであってもよい。

組み込みＯＳは、管理サーバ２０のＩＰアドレスが取得できているか否かを判定する（ステップＳ５１）。管理サーバ２０のＩＰアドレスが取得できている場合には（ステップＳ５１のＹＥＳ）、組み込みＯＳは、コマンドに対する管理サーバ２０からの応答があるか否かを判定する（ステップＳ５２）。

管理サーバ２０のＩＰアドレスが取得できていないか（ステップＳ５１のＮＯ）、あるいは管理サーバ２０から応答を受信できなかったならば（ステップＳ５２のＮＯ）、組み込みＯＳは、カウンタがスタート済みであるか否かを判定する（ステップＳ５３）。このカウンタは、管理サーバ２０とタブレット端末１０との間の通信が途絶えている時間を測定するためのカウンタである。

カウンタがスタートされていない場合には（ステップＳ５３のＮＯ）、組み込みＯＳは、カウンタをスタートさせる（ステップＳ５４）。そして、処理はステップＳ５１に戻る。

一方、カウンタがスタート済みならぱ（ステップＳ５３のＹＥＳ）、組み込みＯＳは、カウンタのカウント値に基づいて、カウンタがスタートされてからの経過時間が閾時間（例えば３０秒）に達したか否かを判定する（ステップＳ５５）。カウンタがスタートされてからの経過時間が閾時間（例えば３０秒）に達していないならば（ステップＳ５５のＮＯ）、処理はステップＳ５１に戻る。カウンタがスタートされてからの経過時間が閾時間（例えば３０秒）に達しているならば（ステップＳ５５のＹＥＳ）、組み込みＯＳは、タブレット端末１０と管理サーバ２０との間の接続が解除されたと判定し、タブレット端末１０のパワーオフをＢＩＯＳに指示する（ステップＳ５６）。ＢＩＯＳはタブレット端末１０をパワーオフする（ステップＳ５７）。

管理サーバ２０のＩＰアドレスが取得できており（ステップＳ５１のＹＥＳ）、且つ管理サーバ２０からの応答を受信できたならば（ステップＳ５２のＹＥＳ）、組み込みＯＳは、カウンタがスタート済みであるか否かを判定する（ステップＳ５８）。カウンタがスタート済みであるならば（ステップＳ５８のＹＥＳ）、組み込みＯＳは、カウンタのカウント値をゼロに戻すために、カウンタをリセットする（ステップＳ５９）。そして、処理はステップＳ５１に戻る。

なお、ここでは、組み込みＯＳが、タブレット端末１０と管理サーバ２０との間の接続が解除されたか否かを判定する場合について説明したが、追加ソフトウェアが、図７と同じ手順によって、タブレット端末１０とＶＤＩサーバ３０との間の接続が解除されたか否かを判定してもよい。

あるいるは、追加ソフトウェアは、上述のカウンタを使用して、ＶＤＩサーバ３０からの仮想デスクトップイメージの受信が途絶えている時間が閾時間に達したか否かを判定しても良い。ＶＤＩサーバ３０からの仮想デスクトップイメージの受信が途絶えている時間が閾時間に達したことが追加ソフトウェアによって検出されたならば、組み込みＯＳはタブレット端末１０のパワーオフをＢＩＯＳに指示する。ＢＩＯＳはタブレット端末１０をパワーオフする。

図８は、タブレット端末１０の構成例を示す。

タブレット端末１０は、上述のＲＡＭ（主メモリ）１１３およびＢＩＯＳ−ＲＯＭ１１６に加え、ＣＰＵ１１１、システムコントローラ１１２、グラフィクスプロセッシングユニット（ＧＰＵ）１１４、タッチスクリーンディスプレイ１１５、無線ＬＡＮモジュール１１７、トラステッド・プラットフォーム・モジュール（ＴＰＭ）１１８、エンベデッドコントローラ（ＥＣ）１１９、およびＧＰＳセンサ１２０を備える。さらに、タブレット端末１０は、ユーザの指紋を検出するように構成された指紋センサ１２１と、ＮＦＣカードのような外部デバイスとの通信を実行するように構成されたＮＦＣコントローラ１２２とを備えていても良い。

ＣＰＵ１１１は、ＢＩＯＳ−ＲＯＭ１１６に格納された上述のファームウェアおよびＲＡＭ（主メモリ）１１３にダウンロードされる各種プログラムを実行するように構成されたプロセッサである。

システムコントローラ１１２は、ＣＰＵ１１１と各コンポーネントとの間を接続するブリッジデバイスである。ＧＰＵ１１４は、タブレット端末１０のディスプレイモニタとして使用されるタッチスクリーンディスプレイ１１５を制御するように構成された表示コントローラである。ＧＰＵ１１４は、ビデオメモリ（ＶＲＡＭ）に格納された表示データからタッチスクリーンディスプレイ１１５に供給すべき表示信号を生成する。ＧＰＵ１１４はＣＰＵ１１１に内蔵されていても良い。

無線ＬＡＮモジュール１１７は、ＩＥＥＥ８０２．１１規格の無線通信を実行するように構成されている。エンベデッドコントローラ（ＥＣ）１１９は、タブレット端末１０をパワーオンまたはパワーオフするための電力管理を実行するように構成された電源コントローラとして機能する。

なお、タブレット端末１０は、ＢＩＯＳベースのＶＤＩを使用してシンクライアント（またはゼロクライアント）として機能するクライアントモードと、通常のタブレットコンピュータ（または通常のノートブック型パーソナルコンピュータ）として機能するＰＣモードとを有していても良い。この場合、ユーザは、タブレット端末１０に設けられたモード切換スイッチを操作することにより、タブレット端末１０をクライアントモードまたはＰＣモードのいずれかのモードで動作させることができる。

タブレット端末１０は、ＨＤＤ、ＳＳＤのような内蔵ストレージを備えていても良い。この内蔵ストレージには、汎用のオペレーティングシステムと、幾つかのアプリケーションプログラムとがインストールされている。タブレット端末１０がパーオンされた時、ＢＩＯＳは、タブレット端末１０がＰＣモードまたはクライアントモードのいずれに設定されているかを判定する。

タブレット端末１０がＰＣモードに設定されている場合、ＢＩＯＳは、組み込みＯＳではなく、内蔵ストレージから汎用のオペレーティングシステムをブートする。

一方、タブレット端末１０がクライアントモードに設定されている場合、ＢＩＯＳは、組み込みＯＳをブートする。汎用のオペレーティングシステムは使用されない。また、内蔵ストレージを備えている場合に、クライアントモードに設定されている場合は、情報を内蔵ストレージに保存されることを防ぐために、ＢＩＯＳレベルで内蔵ストレージの使用を禁止しても良い。

以上説明したように、本実施形態によれば、タブレット端末１０上で実行可能なＶＤＩ接続用ソフトウェア（クライアントプログラム）の種類を限定すること無く、情報漏洩を防止することができる。

また、ＶＤＩ接続用ソフトウェア（クライアントプログラム）だけでなく、タブレット端末１０がネットワークから切断されたか否かを判定するように構成された追加のプログラムも管理サーバ２０からタブレット端末１０のＲＡＭ１１３にダウンロードすることができる。これにより、ネットワーク切断を検出するための専用のプログラムをＢＩＯＳ−ＲＯＭ１１６に予め格納しておくことなく、タブレット端末１０がネットワークから切断されたことを容易に検出することができる。

また、管理サーバ２０によって機器認証処理が実行されるので、管理サーバ２０に登録されていない端末（不正端末）はネットワーク接続を実行することができない。よって、不正端末が使用されることを防止することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０…タブレット端末（情報処理装置）、２０…管理サーバ（第１のサーバ）、３０…ＶＤＩサーバ（第２のサーバ）、１１３…ＲＡＭ（揮発性メモリ）、１１６…ＢＩＯＳ−ＲＯＭ（ファームウェアＲＯＭ）。

Claims (12)

1. プロセッサと、
   揮発性メモリと、
   基本入出力プログラム（ＢＩＯＳ）を含むファームウェアを格納するファームウェアＲＯＭとを具備し、
   前記ファームウェアは、
   情報処理装置をネットワークを介して第１のサーバに接続し、
   仮想デスクトップ環境を提供する第２のサーバと通信して前記第２のサーバから仮想デスクトップイメージを受信するためのクライアントプログラムを、前記第１のサーバから前記揮発性メモリにダウンロードし、
   前記ネットワークを介して前記情報処理装置と前記第２のサーバとを接続するために前記クライアントプログラムを起動し、
   前記情報処理装置と前記第２のサーバとの間の接続の確立後に前記情報処理装置が前記ネットワークから切断された場合、前記揮発性メモリの内容を消去するために前記情報処理装置をパワーオフする
   機能を実行するように前記プロセッサを制御する、情報処理装置。
2. 前記ファームウェアは、前記情報処理装置が前記ネットワークから切断されたか否かを判定するように構成された追加のプログラムを、前記第１のサーバから前記揮発性メモリにダウンロードするように前記プロセッサをさらに制御する請求項１記載の情報処理装置。
3. 前記追加のプログラムは、前記情報処理装置が前記ネットワークから切断されたか否かを判定するために、前記情報処理装置と前記第２のサーバとの間の接続が解除されたか否かを判定するように構成されている請求項２記載の情報処理装置。
4. 前記追加のプログラムは、前記情報処理装置が前記ネットワークから切断されたか否かを判定するために、前記第２のサーバからの仮想デスクトップイメージの受信が閾時間以上途絶えたか否かを判定するように構成されている請求項２記載の情報処理装置。
5. 前記情報処理装置が前記ネットワークから切断されたか否かの判定は、前記ファームウェアによって実行される請求項１記載の情報処理装置。
6. 前記ファームウェアは、
   前記情報処理装置が前記第１のサーバに登録された装置であるか否かを判定するための認証処理を前記第１のサーバに実行させるために、前記情報処理装置を識別可能な機器情報を前記第１のサーバに送信する機能を実行するように前記プロセッサをさらに制御する請求項１記載の情報処理装置。
7. 前記ファームウェアは、前記第２のサーバにログインするための資格情報を前記第１のサーバから取得する機能を実行するように前記プロセッサをさらに制御し、
   前記クライアントプログラムは、前記資格情報を使用して前記第２のサーバにログインする請求項１記載の情報処理装置。
8. 前記ファームウェアは、前記ファームウェアＲＯＭにそれぞれ格納された前記ＢＩＯＳおよび組み込みオペレーティングシステムを含む請求項１記載の情報処理装置。
9. 情報処理装置のファームウェアＲＯＭに格納された、基本入出力プログラム（ＢＩＯＳ）を含むファームウェアによって、前記情報処理装置の動作を制御する動作制御方法であって、
   前記情報処理装置をネットワークを介して第１のサーバに接続することと、
   仮想デスクトップ環境を提供する第２のサーバと通信して前記第２のサーバから仮想デスクトップイメージを受信するためのクライアントプログラムを、前記第１のサーバから前記情報処理装置内の揮発性メモリにダウンロードすることと、
   前記ネットワークを介して前記情報処理装置と前記第２のサーバとを接続するために前記クライアントプログラムを起動することと、
   前記情報処理装置と前記第２のサーバとの間の接続の確立後に前記情報処理装置が前記ネットワークから切断された場合、前記揮発性メモリの内容を消去するために前記情報処理装置をパワーオフすることとを具備する動作制御方法。
10. 前記情報処理装置が前記ネットワークから切断されたか否かを判定するように構成された追加のプログラムを、前記第１のサーバから前記揮発性メモリにダウンロードすることとをさらに具備する請求項９記載の動作制御方法。
11. 前記追加のプログラムは、前記情報処理装置が前記ネットワークから切断されたか否かを判定するために、前記情報処理装置と前記第２のサーバとの間の接続が解除されたか否かを判定するように構成されている請求項１０記載の動作制御方法。
12. 前記追加のプログラムは、前記情報処理装置が前記ネットワークから切断されたか否かを判定するために、前記情報処理装置と前記第２のサーバとの間の接続が解除されたか否かを判定するように構成されている請求項１０記載の動作制御方法。

Images