JP5795526B2 - 情報管理システム - Google Patents

Description

本発明は、利用者が警備装置に入力したプライベートデータを遠隔の情報管理装置で集中的に管理するとともに、警備装置から参照可能とする情報管理システムに関し、特に、警備装置が災害等で損壊した場合に限り、センタのオペレータが利用者の代行としてプライベートデータを確認できる情報管理システムの提供を目的とする。

従来、個人的に記憶しておくべき備忘録情報をパソコンや携帯端末に入力して保存しておくというライフスタイルが定着しつつある。また、近年では、パソコンや携帯端末といった情報端末内部の記憶領域に情報を保存するのではなく、インターネットに接続された外部のサーバにネットワークを介して情報を保存するようなシステムも提案されている。

例えば、特許文献１には、病歴や検査結果といった情報を医療機関のサーバに記録しておき、携帯電話から参照可能とすることが開示されている。特許文献１のシステムは、医療機関のサーバに記憶されている自己（患者）や家族の診療履歴、投薬履歴、アレルギー、血液型などの診療情報を携帯電話にダウンロードして、いかなる場所、時間においても利用できるようにしている。

特開２００８−１５８２０号公報

特許文献１に開示があるように、インターネットに接続された外部のサーバにネットワークを介して情報を保存しておくようなシステムは、使用端末に依存せず、いつでもどこでも備忘録などの情報が参照可能となり、利用者に高い利便性を提供する。

しかしながら、このような、インターネット上に保存した情報を多様な端末からいつでもどこでも参照できるシステムは、重要な情報を保管するのには必ずしも好適とは言えない。例えば、病歴や薬歴といったプライバシーに関わる情報や、銀行口座のパスワードなど重要な情報を、利用者が公共の場にて書き込んで保存したり参照したりすることは、極めて個人的な情報が公衆の目に晒されるおそれがありセキュリティ上問題がある。また、ネットワークを介して多用な端末から情報の参照が可能であるため、万が一ＩＤやパスワードなどの認証情報が漏洩すると悪用されて重要な情報が全て流出する危険性もある。

したがって、このような極めて個人的な情報については、保存及び参照できる端末や場をセキュリティ性が担保された環境のみとするよう制限しておくことが好ましい。
しかし一方で、保存及び参照できる端末や場を制限してしまうと、地震災害などで当該端末や場としての住戸が損壊した場合に情報の閲覧が不可能となってしまうという問題がある。

本発明は、上記の課題に鑑みてなされたもので、利用者が備忘録のような情報を入力及び参照する場のセキュリティ性を担保するとともに、災害等が発生した場合には任意の場から情報参照が可能となるような情報管理システムの提供を目的とする。

上記の目的を達成するために本発明による情報管理システムは、監視対象となる施設に設けられ該監視対象の異常を外部に通報する警備装置と、利用者が前記警備装置に入力したプライベートデータを記憶する遠隔の情報管理装置と、を備えた情報管理システムであって、前記警備装置は、前記情報管理装置の暗号化を解除する復号化情報を記憶する記憶部と、利用者がプライベートデータを入力する入力部と、前記入力されたプライベートデータを前記情報管理装置に送信する情報登録部と、利用者の操作に基づき前記プライベートデータの参照要求信号とともに前記復号化情報を送信する参照処理部と、前記参照要求信号に応じて受信するプライベートデータを閲覧可能に表示する表示部とを備え、前記情報管理装置は、前記警備装置から受信したプライベートデータを各警備装置に対応する領域に記憶するデータ記憶部と、個々の警備装置ごとに前記復号化情報で復号可能にデータを暗号化するための暗号化情報を記憶する鍵管理部と、前記データ記憶部の各警備装置に対応する領域ごとに該警備装置に対応する前記暗号化情報を用いて暗号化する暗号処理部と、前記警備装置から前記参照要求信号及び前記復号化情報を受信すると該復号化情報を用いて前記データ記憶部の対応する領域を復号化する復号処理部と、前記参照要求信号に基づき前記データ記憶部に記憶されたプライベートデータを前記警備装置に送信する情報管理部と、前記警備装置の損壊を判定する損壊判定部と、前記暗号化されたデータ記憶部を復号可能な第２の復号化情報を記憶するとともに前記警備装置の損壊が判定されると前記第２の復号化情報を使用可能状態とする復号化情報保管部と、を備えることを特徴とした。

また、本発明による情報管理システムにおいて、前記情報管理装置は、更に、保守員が操作するオペレータ操作部と、接続判定部と、前記利用者が利用する警備装置の識別情報とパスワードを含む利用情報を予め記憶した利用情報記憶部とを備え、前記接続判定部は、前記オペレータ操作部から入力された情報と前記利用情報記憶部に記憶された前記利用情報とを照合し、照合ＯＫと判定されると、前記オペレータ操作部から前記データ記憶部における該当警備装置の領域へのアクセスを許容するようにしてもよい。

さらに、本発明による情報管理システムにおいて、前記警備装置は、前記監視対象の異常を検知しているときは、前記入力部による前記プライベートデータの入力及び前記参照処理部による前記参照要求信号の送信を禁止するようにしてもよい。

また、本発明による情報管理システムにおいて、前記データ記憶部は、更に、前記警備装置の設置された地域情報と外部から入力される災害発生地域の情報とを記憶し、前記損壊判定部は、前記警備装置が前記災害発生地域に設置されていることを条件に損壊を判定するようにしてもよい。

本発明によれば、通常は監視対象となる施設に設けられた警備装置のみによりプライベートデータの入力と閲覧を行うため、個人的な情報の入力及び閲覧を行う場のセキュリティ性を担保することができる。また、警備装置が損壊した場合には、救済措置としてセンタのオペレータが利用者の代行としてプライベートデータを確認できるので、被災した場合などであっても必要な情報を参照することが可能となる。

本発明の情報管理システムの全体構成を示す概略図である。 本発明の警備装置の構成を示すブロック図である。 本発明の情報管理装置の構成を示すブロック図である。 本発明の警備装置によるプライベートデータの入力／参照処理を示すフローチャートである。 本発明の情報管理装置によるプライベートデータの保存処理を示すフローチャートである。 本発明の情報管理装置によるプライベートデータの提供処理を示すフローチャートである。 本発明の情報管理装置による緊急復号処理を示すフローチャートである。

以下、本発明の実施形態について、図面を参照して具体的に説明する。
本実施形態では、警備装置による監視対象として住戸を監視する場合を例示するが、本発明の範囲はこれに限定されるものではなく、店舗や事業所などを種々の監視対象を監視するよう用いられてよい。

図１は、本発明に係る情報管理システムを示す構成図である。図１に示すように、本実施形態の情報管理システム１は、監視対象２となる住戸に設置された警備装置３と、遠隔の監視センタ４及び情報管理装置５が、通信回線網６を介して接続して構成されている。本実施形態において、通信回線網６はインターネットであり各装置はＶＰＮ（Virtual Private Network）による通信を行う。警備装置３の通信部３１とセンタ装置４１及び情報管理装置５にはＶＰＮ機能が実装され、各装置間にはＶＰＮトンネルが構築される。

警備装置３には、監視対象２となる住戸の屋内及び屋外に設置されて侵入者を検出する防犯センサ７が接続されている。警備装置３は、防犯センサ７から受信した信号に基づき、監視中の防犯センサ７が人を検知した場合に異常発生と判定して、遠隔の監視センタ４への通報処理を行う。

また、警備装置３は、利用者が操作部３４から入力する情報や撮像部３３で撮影した画像情報、メモリーカードなど可搬メディアを介して入力される情報を、利用者のプライベートデータとして情報管理装置５に送信する。さらに、警備装置３は、利用者が操作部３４から要求操作を行うことで、情報管理装置５にプライベートデータの参照を要求し、受信したプライベートデータを表示部３５に表示する。プライベートデータの例としては、例えば、病歴や薬歴、銀行口座などの暗証番号、運転免許証を撮影した画像情報、親族の電話番号などである。警備装置３は、これらプライベートデータの入力と参照を監視対象２の異常を判定していない場合（正常状態）に限り許容し、監視対象２の異常を判定しているときはプライベートデータの入力及び参照を禁止する。

監視センタ４は、警備会社などが運営するセンタ装置４１を備えた施設であり、管制員が監視対象２を常時監視している。センタ装置４１は、１又は複数のコンピュータで構成されている。監視センタ４では、センタ装置４１により各種機器が制御され、警備装置３から受信した異常信号に基づいて対処すべき監視対象２の情報が表示部４２に表示され、利用者に対する確認処理や、監視対象２への警備員の対処指示などの必要な措置をとる。

情報管理装置５は、警備会社など情報管理システムのサービス運営を行う事業者が運営するデータセンタに備えられ、１又は複数のコンピュータで構成されている。また、情報管理装置５は、オペレータ操作部５６を備えている。本実施形態では、説明のため情報管理装置５を監視センタ４と分けて構成しているが、これに限らず情報管理装置５を監視センタ４内に設けてもよく、監視センタ４のセンタ装置４１と一体に構成してもよい。また、情報管理装置５においてオペレータ操作部５６を遠隔に配置してネットワークを介して接続するようにしてもよく、この場合センタ装置４１をオペレータ操作部５６として用いてもよい。

情報管理装置５は、警備装置３からプライベートデータを受信すると警備装置３ごとに対応させた記憶領域に保存する。この記憶領域は、情報管理装置５が持つ暗号化情報としての暗号鍵で暗号化される。また、情報管理装置５は、警備装置３から要求を受けて当該警備装置３に対応して保存しているプライベートデータの読み出しを行い警備装置３に送信する。このとき、警備装置３から送信されてくる復号化情報としてのＰＩＮ（Personal Identification Number）により記憶領域の暗号化が解除されデータの追加や読み出しが行われ、その後に再度暗号化情報で暗号化される。暗号鍵とＰＩＮは事前に情報管理装置５にて異なる鍵情報を持つ鍵ペアとして生成されている。ＰＩＮは、警備装置３に送信され警備装置にて保管されるが、一方で情報管理装置５においてもＰＩＮと同一の復号鍵を災害時用の保管用復号鍵として暗号化して保管する。

また、情報管理装置５は、警備装置３の損壊有無を監視している。情報管理装置５は、警備装置３から送信される定期信号の消失やＶＰＮトンネルの切断等の通信異常の検出により仮損壊状態として判定し、この仮損壊状態の警備装置３の所在地域（監視対象２の所在地域）が災害発生地域と一致したときに警備装置３が損壊したと判定する。そして、警備装置３の損壊が判定されると、情報管理装置５は該当する警備装置３の保管用復号鍵を暗号解除し使用可能状態とする。この結果、損壊した警備装置３の利用者がデータセンタのオペレータに電話などで問合せをすることにより、情報管理装置５の記憶領域の暗号化を解除して、オペレータが利用者のプライベートデータを取り出して利用者に伝えることができる。

＜警備装置＞
次に、図２を用いて警備装置３の構成について説明する。図２は、警備装置３の構成を示すブロック図である。警備装置３は、監視センタ４及び情報管理装置５と通信可能に通信回線網６と接続されて、監視対象２の住戸内壁面に固定載置されている。

警備装置３は、通信回線網と接続される通信部３１と、防犯センサ７と接続されるセンサＩ／Ｆ３２と、機器前方を撮影する撮像部３３と、利用者により操作される操作部３４と、画像データを表示する表示部３５と、ＨＤＤやメモリなどで構成される記憶部３６と、ＭＰＵやマイコンなどで構成され各部の制御を行う制御部３７とを有して概略構成される。

通信部３１はＶＰＮ機能を搭載している。通信部３１は、センタ装置４１及び情報管理装置５との間の通信においてＶＰＮトンネルを構築し、このＶＰＮトンネルを介して暗号化通信を行う。通信部３１による監視センタ４及び情報管理装置５との通信には、警備装置３の識別情報として、予め警備装置３が設置された監視対象２に固有に設定された物件ＩＤが付加される。
通信部３１は、センタ装置４１と接続されて監視センタ４との間で警備情報の通信を行う。警備情報とは、現在の警備モードや監視対象２の異常有無など監視対象において異常監視を行うために収集生成される情報である。また、通信部３１は、情報管理装置５と接続されて情報管理装置５との間でプライベートデータの通信を行う。プライベートデータとは、利用者が警備装置３を操作して入力した個人的な備忘録情報である。さらに、通信部３１は、予め設定された所定間隔（例えば１分）ごとにセンタ装置４１及び情報管理装置５に定期信号を送信して疎通確認を行う。定期信号はいわゆるキープアライブパケットとして空パケットとなるデータであってよく、この定期信号によりＶＰＮトンネルは常時有効に維持される。

センサＩ／Ｆ３２は、防犯センサ７が有線または無線で接続されるＩ／Ｆ（インタフェース）であって、防犯センサ７からの検知信号を受信する受信手段として機能する。センサＩ／Ｆ３２は、防犯センサ７から受信した検知信号に基づき、各防犯センサ７毎の検知状態を記憶部３６に記憶する。なお、本実施形態において特に示していないが、監視対象２には、防犯センサ７のほかに火災検出用のセンサや非常ボタンなど複数のセンサが設置されておりセンサＩ／Ｆ３２に接続されている。

撮像部３３は、警備装置３の前方を撮像して画像データを生成する。撮像部３３は、撮像素子から入力される画像信号をデジタル信号に変換し、圧縮符号化処理を行い所定の規格（例えばＪＰＥＧ規格）に準拠した画像データを生成する。撮像部３３により生成された画像データは表示部３５に出力され、操作部３３からのシャッター操作によりその時点で撮像されている画像データがプライベートデータとして入力される。利用者は、例えば操作部３４を操作して撮像部３３を起動して、撮像部３３に投薬中薬剤の処方箋や薬剤情報提供書をかざしてシャッター操作することで画像データを取り込み、薬歴となるプライベートデータの入力を行う。

操作部３４は、警備装置３の警備モードの設定、及びプライベートデータの入力などに際し利用者により操作される。本実施形態において操作部３４は、表示部３５と一体構成された液晶タッチパネルディスプレイ及びＩＣカードリーダにより構成される。ＩＣカードリーダにより利用者のＩＣカードが読み込まれると予め記憶した照合情報と照合され、認証ＯＫであれば液晶タッチパネルディスプレイの操作が許容される。液晶タッチパネルディスプレイには、各種の入力を行う操作シンボルが表示され、利用者がシンボルを選択することで制御部３７に信号入力が行われる。利用者は、例えば液晶タッチパネルディスプレイを操作して画像の撮影や文字入力などを行い、プライベートデータを入力する。操作部３４の操作により入力されたプライベートデータは、入力結果として表示される画面イメージをスクリーンキャプチャした所定の規格の画像データ、もしくは文字情報が入力された場合はテキストデータとして、制御部３７に入力される。なお、液晶タッチパネルディスプレイは操作部３４の一実施形態であり、これに限定されず、物理的な操作ボタンやマイクなど警備装置３の操作に際し利用者が適宜情報入力できる操作インタフェースであればよい。マイクを用いる場合、プライベートデータは所定の規格（例えばＭＰＥＧ−Ａｕｄｉｏ規格）に準拠した音声データとして入力されてよい。
このプライベートデータの入力を行う操作部３４と撮像部３３とが本発明の入力部として機能する。なお、これに限らず可搬メディアを読み込んで可搬メディア内に記録された画像データをプライベートデータとして取り込むようにしてもよい。

表示部３５は、液晶ディスプレイにて構成される表示デバイスである。本実施形態では、操作部３４としての入力インタフェースと一体構成された液晶タッチパネルディスプレイにより構成されている。表示部３５には、撮像部３３にて撮像される画像データや、情報管理装置５から受信したプライベートデータ、警備装置３の操作画面などが表示される。

記憶部３６は、ＲＯＭやＲＡＭ、又はＨＤＤにて構成され自己の設置された監視対象２を特定するための物件ＩＤと各種プログラムなどを記憶しており、更に警備装置３を動作させるための各種情報を記憶する。具体的に、記憶部３６は、警備装置３を利用可能な利用者のＩＣカード情報とユーザＩＤとを対応付けた照合情報と、現在設定されている警備モードを示すモード情報と、監視対象２に発生した異常有無を示す現状態情報と、予め設定されたＰＩＮとを記憶している。ＰＩＮは、警備装置３の初期設定を行う際に情報管理装置５から送信されて記憶部３６に記憶される。また、撮像部３３及び操作部３４から入力されるプライベートデータは、後述の情報登録部３７３により遠隔の情報管理装置５に送信されて保存されるが、記憶部３６には、直近に入力された所定数だけ記憶保持されていてよい（不図示）。

制御部３７は、ＣＰＵ、ＲＯＭ、ＲＡＭ等からなるマイクロコンピュータ及びその周辺回路で構成され、上述した各部を制御する。そのために、制御部３７は、このマイクロコンピュータ及びマイクロコンピュータ上で実行されるコンピュータプログラムによって実現される機能モジュールとして、モード設定部３７１と、異常判定部３７２と、情報登録部３７３と、参照処理部３７４と、認可判定部３７５と、を備えている。

モード設定部３７１は、操作部３４からの操作入力に基づいて、住戸が有人のときに用いられ防犯センサ７による監視を行わない警備解除モードと、住戸が無人のときに用いられ防犯センサ７による監視行う外出警備モードと、住戸が有人のときに用いられ窓や扉など住戸の外周部分の防犯センサ７のみ監視を行う在宅警備モードとの何れかに警備装置３の警備モードを設定する。利用者は、住戸から外出するときに外出警備モードを設定し、日中など頻繁に出入りがあるときに警備解除モードを設定し、夜間など在宅中に住戸の外周部分を警備する場合に在宅警備モードを設定する。モード設定部３７１は、設定された警備モードを示す情報を記憶部３６に記憶するとともに、通信部３１から監視センタ４にモード信号として送信する。

異常判定部３７２は、防犯センサ７から検知信号を受信した場合に監視対象２の異常判定処理を行う。異常判定部３７２は、センサＩ／Ｆ３２を介して、防犯センサ７からの検知信号を受信すると、記憶部３６に記憶された現在の警備モードを参照して異常事態の発生有無を判定する。即ち、警備解除モードに設定されているときは防犯センサ７から検知信号を受信しても異常と判定せず、外出警備モードに設定されているときに防犯センサ７から検知信号を受信すると監視対象２が異常と判定する。また、在宅警備モードに設定されているときは、予め設定された監視対象２の外周部分の防犯センサ７から検知信号を受信した場合に限り異常と判定する。異常判定部３７２は、監視対象２の異常を判定すると、記憶部３６の現状態情報に異常の内容を記憶し、通信部３１から監視センタ４に異常信号を送信する。また、異常判定部３７２は、利用者による警備解除モードの設定操作などにより監視対象２の異常が正常化したことを判定すると記憶部３６の現状態情報を正常とし、通信部３１から監視センタ４に復旧信号を送信する。

情報登録部３７３は、操作部３４または撮像部３３より入力されたプライベートデータを情報管理装置５に送信して警備装置３の物件ＩＤと対応付けて登録を行う。情報登録部３７３は、操作部３４が操作されてプライベートデータが制御部３７に入力されると、通信部３１を介して情報管理装置５に登録要求信号を送信する。そして、情報管理装置５にプライベートデータ（本実施形態では画像データ又はテキストデータ）を送信する。このとき、情報管理装置５には警備装置３が記憶する物件ＩＤとＰＩＮも合わせて送信される。情報管理装置５では、プライベートデータが警備装置３の物件ＩＤと対応付けて保存される。

参照処理部３７４は、操作部３４からプライベートデータの参照要求が入力されると、情報管理装置５から自己に対応したプライベートデータを受信して表示部３５に表示する。参照処理部３７４は、操作部３４よりプライベートデータの参照要求の操作入力を受けると、通信部３１を介して情報管理装置５に参照要求信号を送信する。このとき、情報管理装置５には警備装置３が記憶する物件ＩＤとＰＩＮも合わせて送信される。そして、これに応答して情報管理装置５から送信されるプライベートデータ（本実施形態では画像データ又はテキストデータ）の縮小情報を受信する。縮小情報とは利用者がプライベートデータを識別可能な情報であって、本実施形態ではサムネイル（縮小画像）として説明する。縮小情報は、サムネイルに限定されずプライベートデータのインデックスとなる情報であればよく、名称や保存日時などメタデータやメタデータのリストであってよい。参照処理部３７４は、情報管理装置５からプライベートデータの縮小情報を受信するとこれを表示部３５に表示出力する。このとき、操作部３４から何れかの縮小情報が選択操作されると、参照処理部３７４はこの縮小情報に対応したプライベートデータを指定する参照指定信号を情報管理装置５に送信する。そして、参照指定信号に応答して情報管理装置５から送信されるプライベートデータを表示部３５に表示出力する。なお、このとき、操作部３４から選択操作された縮小情報に対応するプライベートデータが現在記憶部３６に保持されていれば記憶部３６より当該プライベートデータを読み出して表示出力してよい。参照処理部３７４は、操作部３４からの入力に基づきプライベートデータの参照が終了するときに情報管理装置５との通信を終了する。

認可判定部３７５は、監視対象２の状況に応じて操作部３４からの操作入力を許容又は禁止する。認可判定部３７５は、記憶部３６の現状態に「異常」が記憶されているとき、即ち監視対象２に何らかの異常事態が発生している場合には、操作部３４によるプライベートデータの入力操作及びプライベートデータの参照要求操作を禁止する。この場合、液晶タッチパネルディスプレイに表示される該当機能の操作シンボルが非活性となる。また、認可判定部３７５は、記憶部３６の現状態に「正常」が記憶されていれば操作部３４によるプライベートデータの入力操作及びプライベートデータの参照要求操作を許容する。この場合、液晶タッチパネルディスプレイに表示される該当機能の操作シンボルが活性状態となる。

＜情報管理装置＞
次に、図３を用いて情報管理装置５の構成について説明する。図３は、情報管理装置５の構成を示すブロック図である。
情報管理装置５は、ＨＤＤやメモリなどで構成される記憶部５１と、ＨＤＤを備えたファイルサーバなどで構成されるデータ記憶部５２と、データ記憶部５２を暗号化するための鍵情報を管理する鍵管理部５３と、災害など特定条件下において機能する復号化情報保管部５４と、通信回線網６と接続される通信部５５と、オペレータが操作を行うオペレータ操作部５６と、ＭＰＵやマイコンなどで構成され各部の制御を行う制御部５７とを有して概略構成される。

記憶部５１は、ＲＯＭやＲＡＭ、又はＨＤＤにて構成され各種プログラムなどを記憶しており、更に情報管理装置５を動作させるための各種情報を記憶する。具体的に、記憶部５１は、警備装置情報と災害地域情報を記憶している。

警備装置情報は、利用情報として警備装置３ごとに対応して警備装置３及びその利用者の情報が記憶されている。警備装置情報には、警備装置３が設置された監視対象２を識別する物件ＩＤと警備装置３が設置された地域情報（監視対象の住所）、損壊有無の情報、監視センタ４から受信した現状態、監視センタ４から受信する現在の警備モード、データ記憶部５２におけるプライベートデータの記憶領域アドレス、最新の定期信号受信時刻、利用者のユーザＩＤ及びパスワードが各々対応付けられて記憶されている。物件ＩＤは、警備装置３が設置された監視対象２を識別する情報であるが警備装置３そのものを識別する情報として用いられてよい。警備装置３の物件ＩＤや地域情報、記憶アドレス、利用者のＩＤ、パスワードは、利用者又は警備装置３の管理者により警備装置３に登録されたときに警備装置３から送信されて記憶部５１に記憶されてよく、又は予め設定されていてもよい。現状態や警備モードは所定間隔おきに監視センタ４に問合せた結果として受信し記憶更新してよい。

災害地域情報は、制御部５７にて取得された災害発生地域の情報を日時情報と対応付けて過去所定期間（例えば２週間）に渡り蓄積記憶している。災害発生地域の情報とは、例えば所定震度以上の地震が発生した地域の情報や洪水警報が発せられた地域の情報である。

データ記憶部５２は、ＨＤＤにて構成される記憶領域及び情報管理装置５のＣＰＵやＭＰＵに読み込まれて実行されるファイルサーバプログラムにより実現される。データ記憶部５２は、警備装置３ごとに専用の記憶領域が確保されている。データ記憶部５２は、警備装置３から登録要求信号を受信したときに後述する情報管理部５５１により制御されて、警備装置３の物件ＩＤに対応した記憶領域のアドレスに警備装置３から受信したプライベートデータを記憶する。このとき、データ記憶部５２は、記憶するプライベートデータに対応した縮小情報（本実施形態ではサムネイル）を生成して記憶する。縮小情報とプライベートデータは固有情報により紐付けられる。また、データ記憶部５２は、警備装置３から参照要求信号を受信したときに後述する情報管理部５５１により制御されて、警備装置３の物件ＩＤに対応したプライベートデータのサムネイルが読み出され、警備装置３に送信される。そして、警備装置３より何れかのサムネイルを指定する参照指定信号を受信したときに対応するプライベートデータが読み出され、警備装置３に送信される。

鍵管理部５３は、データ記憶部５２における警備装置３ごとの専用領域を暗号化する暗号鍵と、この暗号を復号する復号鍵とのペアを生成する。暗号鍵と復号鍵は異なる符号を有した鍵であり（共通鍵暗号化方式でない）、例えば暗号鍵を公開鍵として復号鍵を秘密鍵とした公開鍵暗号化方式を採用することができる。鍵管理部は、警備装置３の初期設定時にこの鍵ペアを生成して、復号化情報となる復号鍵を警備装置３に送信してＰＩＮとして記憶させ、暗号化情報となる暗号鍵を警備装置３の物件ＩＤに対応させて自身で記憶保管する。また、このとき生成した復号鍵は暗号化され警備装置３の物件ＩＤに対応させて復号化情報保管部５４にて第２の復号化情報として記憶保管される。

復号化情報保管部５４は、データ記憶部５２の暗号化を解除するための第２の復号化情報となる保管復号鍵を警備装置３ごとに暗号化して記憶している。復号化情報保管部５４は、鍵管理部５３にて鍵ペアが生成されたときに警備装置３の物件ＩＤに対応させて復号鍵の入力を受け、この復号鍵を保管復号鍵として警備装置３ごとに所定の暗号化情報により暗号化して保管する。また、復号化情報保管部５４は、災害など特定条件下において、制御部５７からの緊急解除信号により保管復号鍵の暗号化を解除する。

通信部５５はＶＰＮ機能を搭載している。通信部５５は、警備装置３及びセンタ装置４１との間の通信においてＶＰＮトンネルを構築し、このＶＰＮトンネルを介して暗号化通信を行う。
通信部５５は、警備装置３と接続されてプライベートデータの通信を行う。また、通信部５５は、センタ装置４１と接続されて監視センタ４との間で警備装置３の警備情報の通信を行う。例えば、通信部５５は、監視センタ４から警備装置３の現状態や警備モードに変更があったことを受信する。

オペレータ操作部５６は、情報管理システム１においてサービス運営を担うオペレータが情報管理装置５に情報入出力を行うための操作手段であり、キーボード等の入力手段とモニタなどの表示部を備えて構成される。本実施形態においてオペレータ操作部５６は、情報管理装置５の一部として機能するＰＣなどオペレータ用端末として説明する。

制御部５７は、ＣＰＵ、ＲＯＭ、ＲＡＭ等からなるマイクロコンピュータ及びその周辺回路で構成され、上述した各部を制御する。そのために、制御部５７は、このマイクロコンピュータ及びマイクロコンピュータ上で実行されるコンピュータプログラムによって実現される機能モジュールとして、暗号処理部５７１と、復号処理部５７２と、情報管理部５７３と、災害地域情報取得部５７４と、損壊判定部５７５と、接続判定部５７６とを備えている。

暗号処理部５７１は、鍵管理部５３が保管する警備装置３ごとの暗号鍵を用いて、データ記憶部５２の記憶領域を暗号化する。上述したように、データ記憶部５２の記憶領域は警備装置３の物件ＩＤごとに専用の記憶領域が確保されており、暗号処理部５７１は、鍵管理部５３が保管する暗号鍵に対応した警備装置（物件ＩＤ）の記憶領域を当該暗号鍵を用いて暗号化する。

復号処理部５７２は、警備装置３からプライベートデータの登録要求信号又は参照要求信号とともに受信するＰＩＮを用いてデータ記憶部５２の記憶領域の暗号化を解除し領域を復号化する。復号処理部５７２は、登録要求信号又は参照要求信号として受信した物件ＩＤに対応する記憶領域について当該ＰＩＮを用いて復号化する。また復号処理部５７２は、災害など特定条件下において、制御部５７からの制御により復号化情報保管部５４にて保管された保管復号鍵を用いて該当する記憶領域を復号化する。

情報管理部５７３は、警備装置３との間の通信部５５を介したプライベートデータの通信を制御する。情報管理部５７３は、警備装置３から登録要求信号を受信すると警備装置３の物件ＩＤに基づいて記憶部５１の警備装置情報を参照し、対応する記憶領域を読み出す。このとき、復号処理部５７２は、登録要求信号とともに警備装置３から受信するＰＩＮを用いて該当記憶領域の暗号化を解除する。そして、情報管理部５７３は、警備装置３から受信するプライベートデータを該当の記憶アドレスに記憶する。このとき、データ記憶部５２によりサムネイルが生成されてプライベートデータと合わせて記憶される。情報管理部５７３は、記憶処理が終了すると、暗号処理部５７１により鍵管理部５３が保管する該当警備装置３の暗号鍵を用いて記憶領域を暗号化する。

また、情報管理部５７３は、警備装置３から参照要求信号を受信すると警備装置３の物件ＩＤに基づいて記憶部５１の警備装置情報を参照し、対応する記憶領域を読み出す。このとき、復号処理部５７２は、参照要求信号とともに警備装置３から受信するＰＩＮを用いて該当記憶領域の暗号化を解除する。そして、該当するプライベートデータのサムネイルが読み出され、警備装置３に送信される。情報管理部５７３は、警備装置３より何れかのサムネイルを指定する参照指定信号を受信すると、データ記憶部５２よりこのサムネイルの固有情報に紐付いたプライベートデータを読み出して警備装置３に送信する。情報管理部５７３は、警備装置３との通信が終了すると、暗号処理部５７１により鍵管理部５３が保管する該当警備装置３の暗号鍵を用いて記憶領域を暗号化する。

また、情報管理部５７３は、警備装置情報に損壊状態と判定された警備装置３が存在する場合、該当警備装置３の物件ＩＤを含む緊急解除信号を復号化情報保管部５４に出力する。復号化情報保管部５４は、緊急解除信号を受信すると暗号化保管している該当警備装置３の物件ＩＤに対応した復号鍵について暗号化を解除する。情報管理部５７３は、緊急解除信号により読み出し可能となった保管復号鍵を復号処理部５７２に出力するとともに、損壊状態と判定された警備装置３の物件ＩＤに基づいて記憶部５１の警備装置情報を参照し、対応する記憶領域を読み出す。そして、復号処理部５７２は、保管復号鍵を用いて該当記憶領域の暗号化を解除する。

災害地域情報取得部５７４は、通信部５５又はＷＥＢサーバ部５４を介して外部の情報提供者（例えば気象庁）から入力される災害情報から災害発生地域の情報を取得して日時情報とともに記憶部５１に記憶する。災害情報は例えば地震情報や洪水、噴火などの各種警報である。

損壊判定部５７５は、通信部５５を介して警備装置３から定期的（例えば１分ごと）に送信される定期信号を監視する。損壊判定部５７５は、記憶部５１から全ての警備装置情報を読み出して定期信号受信時刻が古い順に並び変えてソートし、何れかの警備装置３から定期信号を受信する毎に、該当する警備装置情報の定期信号受信時刻を上書き記憶する。そして、定期信号を受信しないまま所定期間（例えば５分）経過した警備装置３があると、この警備装置３を仮損壊状態と判定し、警備装置情報に損壊有無として仮損壊状態であること及び判定時刻を記憶する。

損壊判定部５７５は、仮損壊状態として記憶された警備装置３の地域情報と記憶部５１の災害地域情報とを比較し、警備装置３の地域情報に合致する災害地域情報があれば、当該警備装置３を損壊状態と判定する。損壊判定部５７５は、損壊状態を判定すると、該当する警備装置情報に損壊有無として損壊状態であること及び判定時刻を記憶する。なお、これに限らず、仮損壊状態を以って損壊状態として判定してもよい。また、損壊判定部５７５は、仮損壊状態または損壊状態と判定した警備装置３から定期信号の受信があると定期信号受信時刻を上書き記憶するとともに損壊有無として正常であることを記憶する。

接続判定部５７６は、オペレータ操作部５６によるデータ記憶部５２の各警備装置３ごとの記憶領域への接続可否について判定する。オペレータ操作部５６から、データ記憶部５２における警備装置３の記憶領域アドレスにアクセスがあり接続要求がなされると、接続判定部は、このアクセスされた記憶領域に対応する警備装置３の利用者が設定したパスワードについて入力を求める。このとき、他の利用者情報についても入力を求めてより厳格にアクセス者（オペレータ又はオペレータへの依頼者）の正当性や本人確認をしてよい。オペレータ操作部５６から入力があると、これを記憶部５１に記憶した警備装置情報と照合し、照合一致であればオペレータ操作部５６から該当の警備装置３の記憶領域への接続を許容する。通常、データ記憶部５２の記憶領域は暗号化されているが、該当の警備装置３が損壊状態と判定されていれば情報管理部５７３による緊急解除信号により復号化されており、これによりプライベートデータへのアクセスが可能となる。

＜動作の説明＞
以上のように構成された情報管理システムについて、図面を参照してその動作を説明する。まず、図４を用いて警備装置３の処理概要について説明する。図４は警備装置３によるプライベートデータの入力／参照処理プログラムの動作を示すフローチャートである。

警備装置３は、利用者により警備モードが設定されて、監視対象２の異常が検知されると記憶部３６の現状態情報に異常の内容を記憶して監視センタ４に異常信号を送信する。また、警備装置３は、所定間隔（例えば１分）ごとに監視センタ４及び情報管理装置５に定期信号を送信している。ここで、利用者が警備装置３の操作部３４を操作して、警備装置３をプライベートデータの入力または参照を行う状態に移行させると、制御部３７は図４に示すプライベートデータの入力／参照処理を起動する。

プライベートデータの入力／参照処理において、まず認可判定部３７５が、記憶部３６を参照して現状態を判定する（ステップＳＴ１１）。そして、現状態情報が正常、即ち監視対象２で異常が検知されていなければ（ステップＳＴ１２−Ｙｅｓ）、利用者が操作部３４よりプライベートデータの入力を示す操作シンボルを選択すると（ステップＳＴ１３−Ｙｅｓ）、操作部３４または撮像部３３によりプライベートデータの入力が可能となる。操作部３４からの情報入力または撮像部３３による書面の撮影などによりプライベートデータの入力が行われる（ステップＳＴ１４）。プライベートデータの入力が終了すると、情報登録部３７３により情報管理装置５への登録が行われる。情報登録部３７３は、情報管理装置５にＰＩＮとともに登録要求信号を送信し（ステップＳＴ１５）、続いて入力されたプライベートデータが送信される（ステップＳＴ１６）。

また、利用者が操作部３４よりプライベートデータの参照を示す操作シンボルを選択すると（ステップＳＴ１７−Ｙｅｓ）、参照処理部３７４により情報管理装置５からの受信が行われる。参照処理部３７４は、情報管理装置５にＰＩＮとともに参照要求信号を送信し（ステップＳＴ１８）、これに応答して情報管理装置５から受信されるプライベートデータのサムネイルを表示部３５に表示出力する（ステップＳＴ１９）。ここで、何れかのサムネイルが選択操作されると（ステップＳＴ２０−Ｙｅｓ）、参照処理部３７４は選択されたサムネイルの固有情報を指定した参照指定信号を情報管理装置５に送信する（ステップＳＴ２１）。そして、これに応答して情報管理装置５から受信されるプライベートデータを表示部３５に表示出力する（ステップＳＴ２２）。操作部３４にて異なるサムネイルが選択されると（ステップＳＴ２３−Ｎｏ、ＳＴ２０−Ｙｅｓ）、再度ステップＳＴ２１の処理を実行し、プライベートデータの参照終了を示す操作シンボルが選択されるか又はサムネイルの表示から所定時間が経過すると（ステップＳＴ２３−Ｙｅｓ）、制御部３７は一連の処理を終了する。

次に、情報管理装置５の処理概要について説明する。情報管理装置５は、警備装置３から定期的（例えば１分ごと）に定期信号を受信し、これが所定時間（例えば５分）途絶えると、この警備装置３を仮損壊状態として登録する。また、情報管理装置５は、外部の情報提供者（例えば気象庁）から災害発生地域の情報を取得して記憶する。そして、仮損壊状態の警備装置３が設置されている地域情報と災害発生地域とが一致すると、情報管理装置５は当該警備装置３を損壊状態として登録する。

また、情報管理装置５は、警備装置３と通信してプライベートデータの保存及び提供を行う。図５から図７は、情報管理装置５によるプライベートデータの管理処理プログラムの動作を示すフローチャートである。まず、図５を用いてプライベートデータの保存処理について説明する。
プライベートデータの保存処理において、情報管理部５７３は、まず警備装置３から登録要求信号の受信を判別し（ステップＳＴ５１）、受信していれば（ステップＳＴ５１−Ｙｅｓ）、このとき受信した物件ＩＤと記憶部５１の警備装置情報とを照合して警備装置３を特定し、データ記憶部５２における記憶領域を判別する。そして、復号処理部５７２は、警備装置３から登録要求信号とともに受信するＰＩＮによりデータ記憶部５２の記憶領域の暗号化を解除する（ステップＳＴ５２）。情報管理装置５は、続けて警備装置３からプライベートデータを受信して（ステップＳＴ５３）、このプライベートデータのサムネイルを生成し（ステップＳＴ５４）、対応する記憶領域に、受信したプライベートデータとサムネイルとを保存する（ステップＳＴ５４）。保存が終了すると、暗号処理部５７１は、この警備装置３に対応して鍵管理部５３が保管する暗号鍵を用いて、データ記憶部５２の記憶領域を暗号化する（ステップＳＴ５６）。

次に、図６を用いて情報管理装置５によるプライベートデータの提供処理について説明する。情報管理部５７３は、警備装置３から参照要求信号を受信すると（ステップＳＴ６１−Ｙｅｓ）、このとき受信した物件ＩＤと記憶部５１の警備装置情報とを照合して警備装置３を特定し、データ記憶部５２における記憶領域を判別する。そして、復号処理部５７２は、警備装置３から参照要求信号とともに受信するＰＩＮによりデータ記憶部５２の記憶領域の暗号化を解除する（ステップＳＴ６２）。そして、情報管理部５７３は、この記憶領域からプライベートデータのサムネイルを読み出してこのサムネイルを要求元の警備装置３に送信する（ステップＳＴ６３）。
警備装置３から何れかのサムネイルの固有情報を指定した参照指定信号を受信すると（ステップＳＴ６４−Ｙｅｓ）、データ記憶部５２より受信した固有情報に紐付いたプライベートデータを読み出して（ステップＳＴ６５）、警備装置３に送信する（ステップＳＴ６６）。そして、処理をステップＳＴ６４へと戻して、警備装置３から異なるサムネイルを指定した参照指定信号を受信するか待ち受ける。ここで、参照指定信号を受信することなく（ステップＳＴ６４−Ｎｏ）、所定時間の経過または警備装置３から通信終了信号を受信すると（ステップＳＴ６７−Ｙｅｓ）、暗号処理部５７１がこの警備装置３について鍵管理部５３が保管する暗号鍵を用いてデータ記憶部５２の記憶領域を暗号化して（ステップＳＴ６８）、プライベートデータの提供処理が終了する。

次に、図７を用いて情報管理装置５による損壊した警備装置３に対応するデータ記憶部５２の緊急復号処理について説明する。情報管理部５７３は、警備装置情報を参照して損壊状態と登録された警備装置３が存在するか判定する（ステップＳＴ７１）。損壊状態の警備装置３があれば（ステップＳＴ７１−Ｙｅｓ）、復号化情報保管部５４に損壊状態の警備装置３に対応した保管復号鍵を有効化するよう緊急解除信号を出力する（ステップＳＴ７２）。復号化情報保管部５４は、該当する保管復号鍵の暗号化を解除して使用可能状態とする（ステップＳＴ７３）。そして、損壊状態と判定された警備装置３の物件ＩＤよりデータ記憶部５２における記憶領域を判別し、復号処理部５７２が保管復号鍵を用いて記憶領域の暗号化を解除する（ステップＳＴ７４）。

その後、情報管理装置５のオペレータは、損壊した警備装置３の利用者から電話や電子メールにより要請を受けて、オペレータ操作部５６からデータ記憶部５２の該当記憶領域にアクセスしてプライベートデータを読み出すことができる。このとき、接続判定部５７６によりパスワードなど警備装置３の利用者の本人確認情報を求められるので、オペレータは利用者に問合せて、これら本人確認及びアクセスの正当性を証明する情報を接続判定部５７６に入力する。この結果照合ＯＫと判定されると、オペレータ操作部５６による該当記憶領域への接続が許容され、オペレータはプライベートデータを読み出して、損壊した警備装置３の利用者にデータの内容を伝達する。また、オペレータがプライベートデータを直接視認するのではなく、データそのものを利用者に送信したりＤＶＤなどメディアや紙に出力して郵送してもよい。

このように、以上説明した本実施形態の情報管理システムによれば、通常は、情報管理システム１のサービス事業者であってもデータ記憶部５２の暗号化の解除を禁止して、監視対象に設けられて警備をコントロールするセキュリティ性の高い端末としての警備装置３からのみプライベートデータを参照可能として情報の秘匿性を向上させることができる。一方、警備装置３が損壊して利用者によるデータの確認が困難となった場合には、特別な救済として、サービス事業者が保管した復号化情報を有効化させてサービス事業者が利用者に代行してプライベートデータを確認することが可能となる。

以上、本発明の実施の形態を例示により説明したが、本発明の範囲はこれらに限定されるものではなく、請求項に記載された範囲内において目的に応じて変更・変形することが可能である。

すなわち、本実施形態では、データ記憶部５２において暗号化された記憶領域を解除するための鍵管理の方式として、鍵管理部５３にて鍵ペアを生成して第１の復号鍵を警備装置に管理させるとともに、第２の復号鍵を復号化情報保管部５４にて暗号化保管する例について説明したがこれに限定されない。つまり、データ記憶部５２において暗号化された記憶領域が通常は警備装置３の復号化情報のみで復号化され、警備装置３が正常状態でない場合に限り情報管理装置５の保管する第２の復号化情報が有効となってデータ記憶部５２の暗号化を解除できる鍵管理の方式であればよい。

例えば、鍵管理部５３にて各警備装置３に対応した暗号鍵のみでなく復号鍵も管理し、この復号鍵を使用可能とする条件を警備装置３から各種要求信号とともに送信される固有の所定情報（本発明の複合化情報に相当）としてもよく、この場合にも復号化情報保管部５４にて復号鍵の複製を保管復号鍵（本発明の第２の複合化情報に相当）として暗号化保管し、情報管理部５７３から損壊状態の警備装置３に対応した保管復号鍵を有効化するよう緊急解除信号が出されたときに対応する保管復号鍵を暗号解除して使用可能状態とするようにしてよい。

また例えば、鍵管理部５３が管理する暗号鍵で暗号化されたデータ記憶部５２を警備装置３の持つ復号鍵で復号して新たなプライベートデータが記録される度に、送信元の警備装置３と関連付けてプライベートデータの複製をデータ記憶部５２の別領域に記録し、この別領域を復号化情報保管部５４にて管理される別の保管復号鍵で復号可能に暗号化しておくようにしてもよく、この場合にも、通常は保管復号鍵を暗号化しておき、情報管理部５７３から損壊状態の警備装置３に対応した保管復号鍵を有効化するよう緊急解除信号が出されたときに限り対応する保管復号鍵を暗号解除して使用可能状態とするようにしてよい。

また、本実施形態では、鍵管理部５３が生成した鍵ペアを用いてデータ記憶部５２において警備装置３に対応する記憶領域を暗号化する例について説明したが、これに限らず、警備装置３に対応する記憶領域に記憶されるプライペートデータそのものを暗号化するようにしてもよい。即ち、ファイル単位で記録時に暗号化し、読み出し時に復号化するようにしてもよい。

さらに、本実施形態では、情報管理部５７３から緊急解除信号が出力されたときに損壊状態の警備装置３に対応して復号化情報保管部５４に暗号化保管された保管復号鍵を有効化する例（図７のステップＳＴ７３）について説明したが、これに限定されず、緊急解除信号が出力され、且つ、オペレータ操作部５６からデータ記憶部５２における該当の記憶領域への接続が接続判定部５７６に許容されたこと、を条件として復号化情報保管部５４に暗号化保管された保管復号鍵を有効化する（ステップＳＴ７３）とともに復号処理部５７２が記憶領域の暗号化を解除する（ステップＳＴ７４）ようにしてもよい。

また、本実施形態では、警備装置３の認可判定部３７５により警備装置３が監視対象２の異常を検知しているときは操作部３４によるプライベートデータの入力操作及びプライベートデータの参照要求操作を禁止する例について説明したが、これに限らず、情報管理装置５において異常を検知している警備装置３へのプライベートデータの送信を禁止するよう構成してもよい。この場合、情報管理装置５は、警備装置３から参照要求信号を受信したときに警備装置情報に基づき警備装置３が監視対象２の異常を検知しているか否かを判定する状態判定部を備えて構成される。状態判定部は、警備装置３が異常を検知していない正常状態であれば参照要求信号に基づく情報管理部５７３の処理を許容し、警備装置３が異常を検知していれば参照要求信号に基づく情報管理部５７３の処理を禁止する。

１ 情報管理システム
２ 監視対象
３ 警備装置
３１ 通信部
３２ センサＩ／Ｆ
３３ 撮像部
３４ 操作部
３５ 表示部
３６ 記憶部
３７ 制御部
３７１モード設定部
３７２異常判定部
３７３情報登録部
３７４参照処理部
３７５認可判定部
４ 監視センタ
４１ センタ装置
４２ 表示部
５ 情報管理装置
５１ 記憶部
５２ データ記憶部
５３ 鍵管理部
５４ 復号化情報保管部
５５ 通信部
５６ オペレータ操作部
５７ 制御部
５７１暗号処理部
５７２復号処理部
５７３情報管理部
５７４災害地域情報取得部
５７５損壊判定部
５７６接続判定部
６ 通信回線網
７ 防犯センサ

Claims (4)

1. 監視対象となる施設に設けられ該監視対象の異常を外部に通報する警備装置と、利用者が前記警備装置に入力したプライベートデータを記憶する遠隔の情報管理装置と、を備えた情報管理システムであって、
   前記警備装置は、
   前記情報管理装置の暗号化を解除する復号化情報を記憶する記憶部と、利用者がプライベートデータを入力する入力部と、前記入力されたプライベートデータを前記情報管理装置に送信する情報登録部と、利用者の操作に基づき前記プライベートデータの参照要求信号とともに前記復号化情報を送信する参照処理部と、前記参照要求信号に応じて受信するプライベートデータを閲覧可能に表示する表示部とを備え、
   前記情報管理装置は、
   前記警備装置から受信したプライベートデータを各警備装置に対応する領域に記憶するデータ記憶部と、
   個々の警備装置ごとに前記復号化情報で復号可能にデータを暗号化するための暗号化情報を記憶する鍵管理部と、
   前記データ記憶部の各警備装置に対応する領域ごとに該警備装置に対応する前記暗号化情報を用いて暗号化する暗号処理部と、
   前記警備装置から前記参照要求信号及び前記復号化情報を受信すると該復号化情報を用いて前記データ記憶部の対応する領域を復号化する復号処理部と、
   前記参照要求信号に基づき前記データ記憶部に記憶されたプライベートデータを前記警備装置に送信する情報管理部と、
   前記警備装置の損壊を判定する損壊判定部と、
   前記暗号化されたデータ記憶部を復号可能な第２の復号化情報を記憶するとともに前記警備装置の損壊が判定されると前記第２の復号化情報を使用可能状態とする復号化情報保管部と、
   を備えることを特徴とした情報管理システム。
   
2. 前記情報管理装置は、更に、保守員が操作するオペレータ操作部と、接続判定部と、前記利用者が利用する警備装置の識別情報とパスワードを含む利用情報を予め記憶した利用情報記憶部とを備え、
   前記接続判定部は、前記オペレータ操作部から入力された情報と前記利用情報記憶部に記憶された前記利用情報とを照合し、照合ＯＫと判定されると、前記オペレータ操作部から前記データ記憶部における該当警備装置の領域へのアクセスを許容する、請求項１に記載の情報管理システム。
   
3. 前記警備装置は、
   前記監視対象の異常を検知しているときは、前記入力部による前記プライベートデータの入力及び前記参照処理部による前記参照要求信号の送信を禁止する請求項１または２に記載の情報管理システム。
   
   
4. 前記データ記憶部は、更に、前記警備装置の設置された地域情報と外部から入力される災害発生地域の情報とを記憶し、
   前記損壊判定部は、前記警備装置が前記災害発生地域に設置されていることを条件に損壊を判定する請求項１から３の何れかに記載の情報管理システム。
   

Images