特開 2017-118411 記憶装置の遠隔破壊システムおよび遠隔破壊方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】特開2017-118411(P2017-118411A)

(43)【公開日】2017年6月29日

(54)【発明の名称】記憶装置の遠隔破壊システムおよび遠隔破壊方法

(51)【国際特許分類】

   H04M 11/00 20060101AFI20170602BHJP

   H04M 1/67 20060101ALI20170602BHJP

【ＦＩ】

   H04M11/00 301

   H04M1/67

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

【全頁数】22

(21)【出願番号】特願2015-253757(P2015-253757)

(22)【出願日】2015年12月25日

(71)【出願人】

【識別番号】591275481

【氏名又は名称】株式会社アイ・オー・データ機器

(74)【代理人】

【識別番号】110001807

【氏名又は名称】特許業務法人磯野国際特許商標事務所

(72)【発明者】

【氏名】原 正明

(72)【発明者】

【氏名】川久保 優

(72)【発明者】

【氏名】浜本 信男

【テーマコード（参考）】

5K127

5K201

【Ｆターム（参考）】

5K127AA25

5K127BA03

5K127BB06

5K127CB16

5K127DA11

5K127GA29

5K127GD15

5K127GE02

5K127GE18

5K127HA10

5K127JA34

5K127JA42

5K127JA49

5K127KA07

5K127KA19

5K127KA20

5K201AA07

5K201BA01

5K201BC23

5K201BC28

5K201BD01

5K201CB01

5K201CB02

5K201CB07

5K201CB11

5K201CB13

5K201CB14

5K201DC02

5K201DC03

5K201EA07

5K201EC06

5K201ED05

5K201ED07

5K201EF10

(57)【要約】

【課題】情報処理装置が有する記憶装置の破壊を指示した後、正しく目的の記憶装置が破壊されたか否かを検知する。
【解決手段】遠隔破壊システムＳは、ネットワーク接続される管理サーバ１と、管理サーバ１に通信可能であり、フラッシュメモリおよびフラッシュメモリを管理サーバ１の指令により制御する遠隔制御ツールを備えるスマートフォン３と、ネットワークを介して管理サーバ１に通信可能であり、管理サーバ１に指令を行う指令手段を備える登録端末５とを備える。登録端末５の指令手段が、スマートフォン３が備える記憶装置の破壊を管理サーバ１に指令する。管理サーバ１は、スマートフォン３が備える記憶装置の破壊をスマートフォン３に指令する。スマートフォン３は遠隔制御ツールにより、スマートフォン３が備えるフラッシュメモリを破壊したのちに破壊結果を判断し、ネットワークを介して管理サーバ１にフラッシュメモリの破壊結果を送信する。
【選択図】図１

【特許請求の範囲】

【請求項1】

ネットワークと通信可能に接続される管理装置と、
前記ネットワークを介して前記管理装置に通信可能であり、記憶装置、および当該記憶装置を前記管理装置の指令により制御する遠隔制御手段を備える第１装置と、
前記ネットワークを介して前記管理装置に通信可能であり、前記管理装置に指令を行う指令手段を備える第２装置と、
を備える遠隔破壊システムであって、
前記第２装置の指令手段が、前記第１装置が備える記憶装置の破壊を前記管理装置に指令し、
前記管理装置は、前記第１装置が備える記憶装置の破壊を当該第１装置に指令し、
前記第１装置の遠隔制御手段は、当該第１装置が備える記憶装置を破壊したのちに破壊結果を判断し、前記ネットワークを介して前記管理装置に記憶装置の破壊結果を送信する、
ことを特徴とする記憶装置の遠隔破壊システム。

【請求項2】

前記管理装置は更に、前記第１装置が備える記憶装置の破壊結果を、前記第１装置の所有者のメールアドレスに送信する、
ことを特徴とする請求項１に記載の記憶装置の遠隔破壊システム。

【請求項3】

前記管理装置は、前記第２装置の指令手段に対してワンタイムパスワードを送信したのち、前記第２装置の指令手段から同一のワンタイムパスワードを受信したときに、前記第２装置の指令手段からの指令を受理して実行する、
ことを特徴とする請求項２に記載の記憶装置の遠隔破壊システム。

【請求項4】

前記第２装置は、マイナンバー制度のポータルサイトから前記第１装置の所有者の死亡情報を取得すると、前記第１装置が備える記憶装置の破壊を前記管理装置に指令する、
ことを特徴とする請求項１に記載の記憶装置の遠隔破壊システム。

【請求項5】

前記管理装置は更に、前記第１装置が備える記憶装置の破壊結果を、前記第１装置の所有者の遺族のメールアドレスに送信する、
ことを特徴とする請求項４に記載の記憶装置の遠隔破壊システム。

【請求項6】

前記第１装置の遠隔制御部は、当該第１装置が備える記憶装置の入れ替えの有無を監視しており、
当該第１装置が備える記憶装置を破壊したのち、前記管理装置に記憶装置の破壊結果と入れ替えの有無とを送信する、
ことを特徴とする請求項１に記載の記憶装置の遠隔破壊システム。

【請求項7】

前記第１装置の遠隔制御部は、当該第１装置が備える記憶装置の識別情報により、入れ替えの有無を監視する、
ことを特徴とする請求項６に記載の記憶装置の遠隔破壊システム。

【請求項8】

前記第１装置の遠隔制御部は、当該第１装置の起動回数情報と当該第１装置が備える記憶装置の起動回数情報により、当該第１装置が備える記憶装置の入れ替えの有無を監視する、
ことを特徴とする請求項６に記載の記憶装置の遠隔破壊システム。

【請求項9】

ネットワークと通信可能に接続される管理装置と、
前記ネットワークを介して前記管理装置に通信可能であり、記憶装置、および当該記憶装置を前記管理装置の指令により制御する遠隔制御手段を備える第１装置と、
前記ネットワークを介して前記管理装置に通信可能であり、前記管理装置に指令を行う指令手段を備える第２装置と、
を備える遠隔破壊システムが実行する遠隔破壊方法であって、
前記第２装置の指令手段が、前記第１装置が備える記憶装置の破壊を前記管理装置に指令するステップと、
前記管理装置は、前記第１装置が備える記憶装置の破壊を当該第１装置に指令するステップと、
前記第１装置の遠隔制御手段は、当該第１装置が備える記憶装置を破壊したのちに破壊結果を判断し、前記ネットワークを介して前記管理装置に記憶装置の破壊結果を送信するステップと、
を含むことを特徴とする記憶装置の遠隔破壊方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置が有する記憶装置の遠隔破壊システムに関する。

【背景技術】

【0002】

パソコンやタブレット、スマートフォン、モバイル機器などの情報処理装置は、今日の情報社会のインフラとして不可欠なものとなっている。インターネットのクラウド上に情報を格納して利用する技術も通信技術の発達で当たり前に利用可能となっているが、ＷｉＦｉ（登録商標）環境や中継局、その他のインフラが混雑したり、通信不能な環境での使用も必要となったりする。よって、情報処理装置が有する記憶装置に情報を格納していれば、使用環境に左右されずにいつでも安心して利用できる。

【0003】

そのような状況において、それらの情報処理装置が盗難や紛失した場合でも、情報処理装置を起動してもあらかじめ設定された所有者のＩＤやパスワードを正しく入力しないと、その情報機器の内部の情報にアクセスできないよう操作ロックや情報アクセスのロックがされているなどの情報セキュリティ対策が行われている。これは、ＮＴＴドコモが提供している遠隔ロックやおまかせロック（登録商標）というサービスに相当する。

【0004】

また、情報処理装置に事前にリモート制御により遠隔初期化など所定の機能を登録し、実行許可情報であるパスワードなどの設定をしておけば、所定の機能の実行を遠隔指令として情報処理装置に送り、情報処理装置のリセットや記憶されている情報の初期化やメモリカードの情報の初期化などの機能が提供され、いざという時のために利用者が安心できるサービスとして提供されている。これは、ＮＴＴドコモが提供している遠隔初期化というサービスに相当する。

【0005】

また、特許文献１の要約書の解決手段には、「携帯端末装置の情報保全システム１は、携帯端末装置７との間に電波通信手段を介して接続されている一つ以上の中継基地局６と、所有者であるか否かを識別するための個人認証処理を行う認証装置４と、携帯端末装置７を情報保全処理するための遠隔操作パケットを生成する管理装置５とを備え、携帯端末装置７に対する情報保全要求が行われたときに、認証装置４によって個人認証処理を行い、この個人認証が一致した場合に、管理装置５によって遠隔操作パケットを生成して中継基地局６から携帯端末装置７に送信し、遠隔操作パケットを携帯端末装置７で受信してこれに応じた所定の情報保全処理を行わせる。」と記載されている。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２００６−３０３８１７号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、情報処理装置に格納された情報を守るために遠隔操作により操作ロック機能の有効化や遠隔からの初期化機能の有効化を行うための事前設定がなされていない場合、それらの機能が実行できないことになり、例えば、実行するためのパスワードが未設定の場合は、それらの機能が使えないなどの問題がある。

【0008】

また、実行するためのパスワードの設定は、第三者により変更されてしまうとせっかくの機能を有効化していても、指定したパスワードと実際のものが異なるために実行できないおそれもある。そのような背景の中で、情報処理装置の盗難や紛失時に、この情報処理装置に格納された情報が不正な第三者からアクセスされることを未然に防ぎたいというニーズは、日増しに高くなっている。

【0009】

そこで、本発明は、情報処理装置が有する記憶装置の破壊を指示した後、正しく目的の記憶装置が破壊されたか否かを検知することを課題とする。

【課題を解決するための手段】

【0010】

前記した課題を解決するため、本発明の記憶装置の遠隔破壊システムは、ネットワークと通信可能に接続される管理装置と、前記ネットワークを介して前記管理装置に通信可能であり、記憶装置、および当該記憶装置を前記管理装置の指令により制御する遠隔制御手段を備える第１装置と、前記ネットワークを介して前記管理装置に通信可能であり、前記管理装置に指令を行う指令手段を備える第２装置とを備える。前記第２装置の指令手段が、前記第１装置が備える記憶装置の破壊を前記管理装置に指令し、前記管理装置は、前記第１装置が備える記憶装置の破壊を当該第１装置に指令し、前記第１装置の遠隔制御手段は、当該第１装置が備える記憶装置を破壊したのちに破壊結果を判断し、前記ネットワークを介して前記管理装置に記憶装置の破壊結果を送信する。
その他の手段については、発明を実施するための形態のなかで説明する。

【発明の効果】

【0011】

本発明によれば、情報処理装置が有する記憶装置の破壊を指示した後、正しく目的の記憶装置が破壊されたか否かを検知することが可能となる。

【図面の簡単な説明】

【0012】

【図1】第１の実施形態における遠隔破壊システムを示す概略の構成図である。

【図2】登録端末と管理サーバの構成図である。

【図3】スマートフォンと顧客端末の構成図である。

【図4】利用者データベースと破壊情報データベースの構成を示す図である。

【図5】初期登録ダイアログを示す図である。

【図6】初期登録の動作を示すシーケンス図である。

【図7】破壊指令ダイアログを示す図である。

【図8】破壊指令の動作を示すシーケンス図である。

【図9】破壊指令の実行結果例を示す図である。

【図10】スマートフォンによるＳＩＭ監視処理を示すフローチャートである。

【図11】ＳＩＭ付け替え時の記憶装置破壊動作を示すシーケンス図である。

【図12】第２の実施形態における遠隔破壊システムを示す概略の構成図である。

【図13】死亡管理サーバと死亡情報監視サーバの構成図である。

【図14】ＮＡＳの構成図である。

【図15】利用者データベースと破壊情報データベースの構成を示す図である。

【図16】死亡時の破壊動作を示すシーケンス図である。

【発明を実施するための形態】

【0013】

以降、本発明を実施するための形態を、各図を参照して詳細に説明する。
図１は、第１の実施形態における遠隔破壊システムＳを示す概略の構成図である。
第１の実施形態の遠隔破壊システムＳは、利用者が所有するスマートフォン３の盗難・紛失時に、このスマートフォン３が有するフラッシュメモリ（記憶装置）を遠隔制御により破壊するためのものである。

【0014】

遠隔破壊システムＳは、登録端末５と管理サーバ１とを含んで構成される。この管理サーバ１は、顧客端末４と通信可能であり、かつルータ２１や基地局２２を介してスマートフォン３と通信可能である。
スマートフォン３（第１装置）は、ネットワークを介して管理サーバ１に通信可能であり、記憶装置、およびこの記憶装置を管理サーバ１の指令により制御する遠隔制御手段を備える。
登録端末５（第２装置）は、例えばパソコンやタブレットなどで構成され、遠隔破壊システムＳのサービスを利用する際にサービスを利用する利用者の情報を入力し、管理サーバ１へ送信する機能を有する。登録端末５は、ネットワークを介して管理サーバ１に通信可能であり、管理サーバ１に指令を行う指令手段を備える。登録端末５の詳細は、後記する図２（ａ）で説明する。
顧客端末４は、例えばノートパソコンであり、利用者が所有するスマートフォン３以外に通知された情報を受領する機能を有する。顧客端末４の詳細は、後記する図３（ｂ）で説明する。
管理サーバ１（管理装置）は、ネットワークと通信可能に接続され、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）などのメモリ、通信機能、表示機能、ＨＤＤ（Hard Disk Drive）などの補助記憶装置を含む一般的な情報処理装置である。管理サーバ１の詳細は、後記する図２（ｂ）で説明する。

【0015】

基地局２２は、固定電話網のコアネットワーク（不図示）に接続された携帯電話用交換機（不図示）に有線または無線で接続されている。ルータ２１は、インターネットのいずれかの回線に有線または無線で接続されている。
管理サーバ１は、これらコアネットワークと携帯電話用交換機と基地局２２を介して、またはインターネットとルータ２１を介して、利用者のスマートフォン３と通信可能である。

【0016】

図２（ａ）は、登録端末５の構成図である。
登録端末５は、ＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、ディスプレイ５４、通信部５５、リモート制御ソフト５６１を格納したＨＤＤ５６を含んで構成される。登録端末５には、マウス５７やキーボード５９などの入出力装置、指紋や虹彩や静脈などのバイオメトリクス情報などを読み取るための読取装置５８が接続される。
ＣＰＵ５１は、ＲＯＭ５３に格納されたＢＩＯＳ（Basic Input/Output System）やＨＤＤ５６に格納されたリモート制御ソフト５６１を読み込んで実行する。ＲＡＭ５２は、揮発性記憶装置であり、ＣＰＵ５１が各種プログラムやデータを一時的に格納するためのものである。ＨＤＤ５６は、不揮発性の補助記憶装置であり、プログラムや大容量のデータなどを好適に格納する。
通信部５５は、例えばＮＩＣ（Network Interface Controller）であり、ネットワークを介して管理サーバ１などと情報やコマンドを送受信する。
ディスプレイ５４は、例えば液晶パネルで構成され、この登録端末５を操作するユーザに対して、プログラムの操作画面や実行結果などを表示する表示装置である。
リモート制御ソフト５６１（指令手段）は、管理サーバ１に対して利用者のスマートフォン３を遠隔制御可能に設定し、管理サーバ１に指令を行うためのソフトウェアプログラムである。

【0017】

図２（ｂ）は、管理サーバ１の構成図である。
管理サーバ１は、ＣＰＵ１１、ＲＡＭ１２、ＲＯＭ１３、ディスプレイ１４、通信部１５、利用者データベース１６１と破壊情報データベース１６２とを格納したＨＤＤ１６を含んで構成される。なお、各図ではデータベースのことを“ＤＢ”と省略して記載している。ＣＰＵ１１、ＲＡＭ１２、ＲＯＭ１３、ディスプレイ１４、通信部１５は、登録端末５が備えるＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、ディスプレイ５４、通信部５５と同様な機能を有する。
利用者データベース１６１は、この遠隔破壊システムＳの利用者に係る情報が格納される。この利用者データベース１６１の詳細は、後記する図４（ａ）にて説明する。
破壊情報データベース１６２は、この遠隔破壊システムＳによって破壊される記憶装置の情報が格納される。この破壊情報データベース１６２の詳細は、後記する図４（ｂ）にて説明する。

【0018】

図３（ａ）は、スマートフォン３の構成図である。
スマートフォン３は、ＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３、タッチパネルディスプレイ３４、遠隔制御ツール３６１を格納したフラッシュメモリ３６（記憶装置）、ＷｉＦｉ通信部３５および３Ｇ通信部３７を含んで構成される。
スマートフォン３が備えるＣＰＵ３１、ＲＡＭ３２、ＲＯＭ３３は、登録端末５が備えるＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３と同様な機能を有する。タッチパネルディスプレイ３４は、各種情報を表示する表示機能を有すると共に、指やタッチペンが接触された位置を検知する入力機能を有する。
ＷｉＦｉ通信部３５はルータ２１を介して管理サーバ１との通信を行い、３Ｇ通信部３７は基地局２２とキャリア網を介して管理サーバ１との通信を行う。
遠隔制御ツール３６１（遠隔制御手段）は、ＣＰＵ３１によって実行されるソフトウェアプログラムであり、管理サーバ１の破壊指令を受けて、このフラッシュメモリ３６を破壊する機能を具現化する。

【0019】

図３（ｂ）は、顧客端末４の構成図である。
顧客端末４は、ＣＰＵ４１、ＲＡＭ４２、ＲＯＭ４３、ディスプレイ４４、通信部４５、電子メールプログラム４６１を格納したＨＤＤ４６を含んで構成される。ＣＰＵ４１、ＲＡＭ４２、ＲＯＭ４３、ディスプレイ４４、通信部４５は、登録端末５が備えるＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、ディスプレイ５４、通信部５５と同様な機能を有する。
電子メールプログラム４６１は、ＣＰＵ４１に、利用者のアカウントに関するメールの受信と送信とを行わせる。

【0020】

図４（ａ）は、利用者データベース１６１の構成を示す図である。
利用者データベース１６１は、利用者識別情報欄と、認証情報欄と、通知先欄とを含み、更に登録フラグと端末識別情報と記憶装置識別情報の組み合わせからなる情報欄を複数格納している。この利用者データベース１６１は、遠隔破壊システムＳの利用者に係る情報を格納するデータベースである。

【0021】

利用者識別情報は、遠隔破壊システムＳにおいてユニークな情報であり、管理サーバ１が生成する。利用者識別情報は、文字や数字を組み合わせて重複なく生成される情報である。なお、利用者識別情報は、追い番などのように重複なく生成される情報であればよく、例えば登録端末から入力されて、受け付けた管理サーバ１側で登録済みのものと重複しないように決定されるものであってもよい。
認証情報は、バイオメトリクス情報であり、遠隔破壊システムＳの利用者が希望するサービスの正規の利用者であるかを認証するために用いられる。この認証情報は、読取装置５８によって利用者の指紋や虹彩などから読み取られる。しかし、これに限られず、認証情報は、パスワードなどの利用者を特定できる情報であればよく、限定されない。

【0022】

通知先は、遠隔破壊システムＳの管理サーバ１が破壊結果を通知するメールアドレスである。利用者のスマートフォン３の記憶装置を破壊したか否かの情報が、この通知先のメールアドレスに送信される。
登録フラグは、登録された端末に対する遠隔制御の動作を規定するものである。登録フラグが“０”のとき、端末は未登録であるか、または端末に対する動作が無効である。登録フラグが“１”のとき、管理サーバ１は、端末の記憶装置を即時に破壊するように動作する。登録フラグが“２”のとき、管理サーバ１は、利用者の死亡後に端末の記憶装置を破壊するように動作する。
端末識別情報は、登録された端末を識別するための情報である。管理サーバ１は、この端末識別情報により、登録された端末を遠隔制御する。
記憶装置識別情報は、登録された端末が備える記憶装置を識別するための情報であり、例えば記憶装置のシリアル番号である。

【0023】

図４（ｂ）は、破壊情報データベース１６２の構成を示す図である。
破壊情報データベース１６２は、端末識別情報、遠隔制御情報、破壊指令発行日時、破壊指令受信日時、破壊指令実行日時、実行フェーズ、実行結果、記憶装置識別情報、記憶装置起動回数、端末起動回数などを格納している。この破壊情報データベース１６２は、記憶装置の破壊指令の結果を格納している。

【0024】

端末識別情報は、登録された端末を識別するための情報である。
遠隔制御情報は、破壊指令の種類を示す情報である。例えば遠隔制御情報が“９９９９”のとき、端末を即時に破壊する指令である。遠隔制御情報が“１１１１”のとき、利用者の死亡後に端末の記憶装置を破壊する指令である。
破壊指令発行日時は、利用者が管理サーバ１に対して破壊指令を発行した日時である。破壊指令受信日時は、登録された端末が破壊指令を受信した日時である。破壊指令実行日時は、登録された端末が破壊指令を実行した日時である。

【0025】

実行フェーズは、破壊指令の実行にかかるフェーズを示している。実行フェーズが“０”のとき、破壊指令の開始前である。“１”のときは端末への破壊指令の発行、“２”のときは登録された端末による破壊指令の受信、“３”のときは端末による破壊指令の実行である。“８”のときは端末による破壊の保留、“９”のときは破壊指令の中止である。
記憶装置識別情報は、破壊した記憶装置を一意に識別する情報であり、例えば記憶装置のシリアル番号である。この破壊情報データベース１６２の記憶装置識別情報と、利用者データベース１６１の記憶装置識別情報とを比較することで、目的とする記憶装置が破壊できたか否か、または端末が備える記憶装置が入れ替えられたか否かを判断可能である。
記憶装置起動回数は、破壊した記憶装置が工場出荷後に起動した総回数であり、例えばＳＳＤ（solid state drive）やＨＤＤ等では、セルフモニタリング・アナリシス・アンド・リポーティング・テクノロジ（Ｓ．Ｍ．Ａ．Ｒ．Ｔ）により、記憶装置から読み取り可能であるが、記憶装置の起動回数の取得は、Ｓ．Ｍ．Ａ．Ｒ．Ｔに限定されない。端末起動回数は、この端末が工場出荷後に起動した総回数であり、端末のファームウェアやＯＳが起動する度にカウントアップされて、端末内蔵のフラッシュメモリ等に記憶されるものとする。記憶装置起動回数と端末起動回数とを比較することで、記憶装置がこの端末以外の他の端末に接続されて起動したか否かを判断可能である。

【0026】

《初期設定フェーズ》
初期設定フェーズにおいて、利用者は、遠隔制御実行サービスを利用したい利用者の情報の登録や遠隔制御したいと思う情報処理装置を、管理サーバ１と通信可能となるように登録する。更に利用者は、管理サーバ１から受信する指令を実行するための遠隔制御ツール３６１の設定を行う。初期設定フェーズは、登録端末５のＣＰＵ５１がリモート制御ソフト５６１を実行することにより実行される。

【0027】

図５（ａ）は、初期登録ダイアログ６１を示す図である。この初期登録ダイアログ６１は、登録端末５のＣＰＵ５１がリモート制御ソフト５６１を実行することにより、ディスプレイ５４上に表示される。
初期登録ダイアログ６１には、利用者識別情報テキストボックス６１１、通知用アドレステキストボックス６１２、端末識別情報テキストボックス６１３、端末識別情報テキストボックス６１４がそれぞれ表示され、更にＯＫボタン６１５およびキャンセルボタン６１６が表示される。

【0028】

利用者識別情報テキストボックス６１１は、利用者識別情報が表示されるテキストボックスである。通知用アドレステキストボックス６１２は、破壊結果の通知用メールアドレスを入力するためのテキストボックスである。端末識別情報テキストボックス６１３，６１４は、端末識別情報を入力するためのテキストボックスである。
利用者は、利用者識別情報と破壊結果の通知用メールアドレスと端末識別情報とを適宜入力したのち、ＯＫボタン６１５をクリックする。これにより、読取装置５８によってバイオメトリクス情報が読み取られ、後記する初期登録ダイアログ６２に遷移する。利用者がキャンセルボタン６１６をクリックすると、一連の端末登録動作をキャンセルして終了する。

【0029】

図５（ｂ）は、初期登録ダイアログ６２を示す図である。この初期登録ダイアログ６２は、登録端末５のＣＰＵ５１がリモート制御ソフト５６１を実行することにより、ディスプレイ５４上に表示される。
初期登録ダイアログ６２には、「認証装置による指紋の読み取りが完了しました」が表示され、更に初期登録ボタン６２１およびキャンセルボタン６２２が表示される。利用者が初期登録ボタン６２１をクリックすると、端末が登録される。利用者がキャンセルボタン６２２をクリックすると、一連の端末登録動作をキャンセルして終了する。

【0030】

図６は、初期登録の動作を示すシーケンス図である。
まず、登録端末５は、利用者が遠隔制御実行サービスを申し込むために、遠隔実行制御サービスのメニュー（不図示）を表示する（シーケンスＱ１０）。
利用者がメニューから「初期登録」を選択すると、登録端末５は、初期登録リクエストを管理サーバ１へ送信する（シーケンスＱ１１）。
管理サーバ１が初期登録リクエストを受信すると、利用者識別情報を生成して利用者データベース１６１に記憶するとともに、この利用者識別情報を登録端末５に送信する（シーケンスＱ１２）。なお、利用者識別情報は、登録端末から入力されたのち、管理サーバ１側で登録済みのものと重複しないように決定されてもよい。

【0031】

登録端末５は、初期登録ダイアログ６１（図５（ａ）参照）により受信した利用者識別情報を表示し、端末識別情報と利用者情報の入力待ちとなる。担当者は、登録端末５に、通知を受け取るためのメールアドレスなどの利用者情報とスマートフォン３を指定する端末識別情報を入力する。なお、初期登録ダイアログ６１は、利用者の氏名、住所、電話番号を入力可能に構成されていてもよい。
そののち、利用者が希望するサービスの正規の利用者であるかを識別するための認証情報を読取装置５８によって入力する（シーケンスＱ１３）。認証情報が登録端末５に入力されると、図５（ｂ）に示した初期登録ダイアログ６２が、登録端末５のディスプレイ５４上に表示される。

【0032】

端末識別情報は、複数の端末を利用者が識別できるよう端末毎に異なるものであり、例えば、端末の機種名や型番などでもよく、遠隔実行制御の対象の情報処理装置が複数登録する場合に利用者自身が区別可能であれば、上記に限定されない。

【0033】

登録端末５は、入力された情報（認証情報、端末識別情報）と、管理サーバ１より受信した利用者識別情報とを管理サーバ１に送信する（シーケンスＱ１４）。管理サーバ１は、受信した利用者識別情報に紐づけて、認証情報と端末識別情報を利用者データベース１６１に記憶し（シーケンスＱ１５）、遠隔制御ツール３６１と、この遠隔制御ツール３６１が起動時に参照する利用者識別情報と端末識別情報とを含んだ起動情報ファイルを生成する（シーケンスＱ１６）。

【0034】

管理サーバ１は、新たに端末として登録されたスマートフォン３に、生成した起動情報ファイルのＵＲＬ（Uniform Resource Locator）を通知する（シーケンスＱ１７）。以降、利用者は、スマートフォン３に初期登録を行う。
利用者は、スマートフォン３に通知されたＵＲＬに基づき、遠隔制御ツール３６１と起動情報ファイルを管理サーバ１からダウンロードする（シーケンスＱ１８）。利用者は、遠隔実行制御したい対象のスマートフォン３に遠隔制御ツール３６１をインストールする（シーケンスＱ１９）。インストール完了と共に遠隔制御ツール３６１が起動する。ＣＰＵ３１は、遠隔制御ツール３６１により、利用者識別情報と端末識別情報を起動情報ファイルから読み込んで、フラッシュメモリ３６に記憶する処理を実行する。

【0035】

ＣＰＵ３１は、遠隔制御ツール３６１により、ＳＩＭ（Subscriber Identity Module Card）３７１のＩＤをフラッシュメモリ３６に記憶する処理を実行する（シーケンスＱ２０）。ＣＰＵ３１は更に、記憶装置からシリアル番号を取得する処理と（シーケンスＱ２１）、管理サーバ１へ登録完了信号を送信する処理とを実行する（シーケンスＱ２２）。この登録完了信号を送信と共に、記憶装置のシリアル番号も管理サーバ１に送信される。

【0036】

管理サーバ１は、登録完了信号を受信した場合は、利用者データベース１６１内の利用者識別情報に紐づけられた端末識別情報に対応する登録フラグを“１”とし、即時破壊処理を有効化する。なお、登録フラグが“０”であり、未登録または無効となっている場合、管理サーバ１は破壊指令を受け付けない。管理サーバ１は更に、記憶装置のシリアル番号を利用者データベース１６１に登録する。

【0037】

以後、遠隔制御ツール３６１は、スマートフォン３が電源投入される度にＣＰＵ３１によって実行される。なお、第１の実施形態にて遠隔制御ツール３６１は、スマートフォン３にインストールされることとしたが、あらかじめスマートフォン３のファームウェアに組み込まれた構成でもよい。また、同様の機能を実現できれば、ソフトウェアによる実現手段に限定されず、ハードウェアとソフトウェアとを組み合わせて実現してもよい。

【0038】

《破壊指令フェーズ》
破壊指令フェーズは、スマートフォン３が盗難された場合や、このスマートフォン３を紛失した場合に、利用者が遠隔実行制御によりスマートフォン３（情報処理装置）の記憶装置を破壊する指令を発行する動作のことをいう。破壊指令フェーズは、登録端末５のＣＰＵ５１がリモート制御ソフト５６１を実行することにより実行される。スマートフォン３の記憶装置の破壊により、この記憶装置に格納された個人情報や営業秘密などは読み取れなくなるため、個人情報や営業秘密などの漏洩を抑止することができる。
利用者は、スマートフォン３の盗難・紛失時に、このスマートフォン３を警察に届けるとともに発見・回収に努める。しかし警察からの発見連絡が無く、見つからないと判断し捜索を断念した場合、そのスマートフォン３に記憶した情報の漏えいを防ぐため、スマートフォン３に対して破壊指令を送信する。

【0039】

図７（ａ）は、破壊指令ダイアログ６３を示す図である。この破壊指令ダイアログ６３は、登録端末５のＣＰＵ５１がリモート制御ソフト５６１を実行することにより、ディスプレイ５４上に表示される。
破壊指令ダイアログ６３には、利用者識別情報テキストボックス６３１と端末識別情報テキストボックス６３２とがそれぞれ表示され、更にＯＫボタン６３３およびキャンセルボタン６３４が表示される。
利用者識別情報テキストボックス６３１は、利用者識別情報を入力するテキストボックスである。端末識別情報テキストボックス６３２は、端末識別情報を入力するためのテキストボックスである。
利用者は、利用者識別情報と端末識別情報とを適宜入力したのち、ＯＫボタン６３３をクリックする。これにより、読取装置５８によってバイオメトリクス情報が読み取られ、後記する破壊指令ダイアログ６４に遷移する。利用者がキャンセルボタン６３４をクリックすると、一連の破壊指令動作をキャンセルして終了する。

【0040】

図７（ｂ）は、破壊指令ダイアログ６４を示す図である。この破壊指令ダイアログ６４は、登録端末５のＣＰＵ５１がリモート制御ソフト５６１を実行することにより、ディスプレイ５４上に表示される。
破壊指令ダイアログ６４には、「認証装置による指紋の読み取りが完了しました」が表示され、更にＯＫボタン６４１およびキャンセルボタン６４２が表示される。利用者がＯＫボタン６４１をクリックすると、破壊指令ダイアログ６５に遷移する。利用者がキャンセルボタン６４２をクリックすると、一連の破壊指令動作をキャンセルして終了する。

【0041】

図７（ｃ）は、破壊指令ダイアログ６５を示す図である。この破壊指令ダイアログ６５は、登録端末５のＣＰＵ５１がリモート制御ソフト５６１を実行することにより、ディスプレイ５４上に表示される。
破壊指令ダイアログ６５には、ワンタイムパスワードテキストボックス６５１と再入力テキストボックス６５２とがそれぞれ表示され、更に破壊指令ボタン６５３およびキャンセルボタン６５４が表示される。
ワンタイムパスワードテキストボックス６５１は、ワンタイムパスワードを表示するテキストボックスである。再入力テキストボックス６５２は、ワンタイムパスワードを再入力するためのテキストボックスである。
利用者は、ワンタイムパスワードを再入力テキストボックス６５２に再び入力したのち、破壊指令ボタン６５３をクリックする。これにより、指定した端末の記憶装置に係る破壊指令を実行する。利用者がキャンセルボタン６５４をクリックすると、一連の破壊指令動作をキャンセルして終了する。

【0042】

図８は、破壊指令の動作を示すシーケンス図である。
まず、登録端末５は、利用者が遠隔制御実行サービスを申し込むために、遠隔実行制御サービスのメニュー（不図示）を表示する（シーケンスＱ３０）。
利用者がメニューから「破壊指令」を選択すると、登録端末５は、破壊指令ダイアログ６３により利用者識別情報を取得したのち、読取装置５８から認証情報を取得して破壊指令ダイアログ６４を表示したのち、破壊指令と利用者識別情報と認証情報とを管理サーバ１に送信する（シーケンスＱ３１）。認証情報は、指紋認証に限られず、虹彩認証や指静脈認証などのバイオメトリクス認証によって取得するようにすれば、正規の利用者であることを確実に確認でき、パスワード等を利用者が記憶しておく必要も無くなりすましの防止効果も高い。

【0043】

管理サーバ１は、受信した利用者識別情報と認証情報とを、利用者データベース１６１を検索して登録済みかどうかを確認する（シーケンスＱ３２）。ここで利用者識別情報と認証情報とは利用者データベース１６１に登録済みなので、管理サーバ１は、利用者データベース１６１から端末識別情報を取得して、所定の時間だけ有効なワンタイムパスワードを生成し、このワンタイムパスワードと端末識別情報とを登録端末５に送信する（シーケンスＱ３３）。

【0044】

ここで、利用者識別情報と認証情報とが利用者データベース１６１に登録されていない場合や利用者識別情報と認証情報とが登録されていても一致しない場合（不図示）には、ワンタイムパスワードは生成されず、管理サーバ１は、登録端末５にエラー情報を送信する。登録端末５は、このエラー情報をディスプレイ５４に表示する。所定の回数の連続したエラーが発生した場合、管理サーバ１は、所定の期間に亘り、エラーが発生した利用者識別情報に関する処理を受付不可とする。これにより、正規の権限を有さないユーザが、不正に破壊指令を行うことを抑止可能である。

【0045】

シーケンスＱ３３の後、登録端末５は、破壊指令ダイアログ６５によりワンタイムパスワードを表示し、入力待ちとなる（シーケンスＱ３４）。利用者は、表示されたワンタイムパスワードと同じパスワードを再入力テキストボックス６５２に再入力する（シーケンスＱ３５）。登録端末５は、入力されたパスワードと端末識別情報を管理サーバ１に送信する（シーケンスＱ３６）。

【0046】

管理サーバ１は、登録端末５から受信したワンタイムパスワードが所定の時間内に生成したワンタイムパスワードと一致する場合は、現在日時を破壊指令発行日時として破壊情報データベース１６２に記録し、破壊を待機する（シーケンスＱ３７）。なお、管理サーバ１は、ワンタイムパスワードを生成したのちに所定の時間が経過したならば、登録端末５からワンタイムパスワードを受信しても破壊を待機するフェーズには移行しない。これにより、ワンタイムパスワードの漏洩による不正な破壊指令を抑止することができる。

【0047】

なお、誤った端末識別情報の選択による破壊指令実行を回避するために、メニューから破壊指令を選択する前に、破壊指令から除外したい端末で遠隔制御ツール３６１を実行し、管理サーバ１に対し、破壊対象外の端末識別情報と登録端末５に表示されたワンタイムパスワードを送信することにより、一時的に破壊対象から除外される構成としてもよい。この場合、登録端末５が破壊選択した端末の端末識別情報を受信した管理サーバ１は、除外指定された端末識別情報であると確認することにより、登録端末５に対し、除外済みであるとのエラー情報を返す。

【0048】

《破壊指令実行フェーズ》
破壊指令実行フェーズにおいて管理サーバ１は、破壊指令を実行する端末を示す端末識別情報を、破壊情報データベース１６２にアクセスする際のパスワードとして登録し、破壊指令コードを関連付けて登録する。破壊指令コードは、破壊を実行するタイミングを示すものであり、利用者が即時に破壊したいか、利用者の死亡後に破壊するかを示している。
スマートフォン３がネットワークに接続すると、管理サーバ１との間のデータリンクが確立する（シーケンスＱ４０）。スマートフォン３のＣＰＵ３１は、遠隔制御ツール３６１により、電源投入時を含め所定の時間経過毎に管理サーバ１の破壊情報データベース１６２にアクセスする。スマートフォン３のＣＰＵ３１は、遠隔制御ツール３６１を実行することにより、端末識別情報を管理サーバ１へ送信する。管理サーバ１は、受信した端末識別情報が破壊情報データベース１６２に記憶されているかを検索する。ここでスマートフォン３の端末識別情報は破壊情報データベース１６２に登録されているので、破壊指令コードと端末識別情報とをスマートフォン３に送信し（シーケンスＱ４１）、破壊指令コードを受信した日時を破壊情報データベース１６２に記録する。

【0049】

スマートフォン３のＣＰＵ３１は、遠隔制御ツール３６１の実行により、破壊指令コードを受信した場合、登録完了信号を受信済かを確認する。登録完了信号を受信済の場合は、破壊指令コードを確認する。ここで破壊指令コードは即時破壊なので、スマートフォン３のＣＰＵ３１は、記憶装置（フラッシュメモリ３６）の識別情報と起動回数情報とを取得し（シーケンスＱ４２）、記憶装置（フラッシュメモリ３６）の破壊を実行する（シーケンスＱ４３）。これにより、フラッシュメモリ３６が格納する情報へのアクセスを不可能とすることができる。
スマートフォン３のＣＰＵ３１は、この破壊処理の実行結果と記憶装置の情報とを管理サーバ１に送信し（シーケンスＱ４４）、管理サーバ１は破壊処理の実行結果を、本人宛にメールで通知する（シーケンスＱ４５）。これにより、顧客端末４のＣＰＵ４１が、電子メールプログラム４６１の実行により、破壊処理の結果を確認することができる。

【0050】

記憶装置の破壊処理は、例えば、ハードウェア的に読取不可能な状態に破壊するものであったり、ソフトウェアによりデータ消去する方法であったり、いろいろな方法が考えられるので、破壊処理の内容はいっさい限定されないものとする。フラッシュメモリでは、昇圧回路を付加してメモリチップに高電圧を印加することにより、短時間に破壊することができる。またＨＤＤでは、キュリー温度以上に熱して磁気情報を消去することや、ヘッドを浮上させないようにプラッタの回転数制御を行いヘッドをプラッタに接触するようしたうえでシークさせてプラッタを物理的に破壊することにより、短時間に破壊することができる。このような端末の記憶装置を瞬時に破壊する方法によれば、情報漏えいの安全性はソフトウェア等によるデータ消去等に比べて更に高まる。

【0051】

なお、破壊情報データベース１６２の実行フェーズに記録された状態が“１”の「指令発行」を示しているにも関わらず、スマートフォン３の電源が所定の期間内に管理サーバ１とスマートフォン３とのデータリンクを確立できない場合が考えられる。
例えば、破壊対象となるスマートフォン３が電源オフ状態ならば、破壊指令を管理サーバ１から取得したり、基地局２２を経由して破壊指令を受信することができない。このスマートフォン３は電源が入っていないか電波が届かない状況である。基地局２２は、この情報を管理サーバ１に通知する。管理サーバ１は、この情報を破壊情報データベース１６２にログ情報として記録する。

【0052】

その後、スマートフォン３が電源投入された場合、遠隔制御ツール３６１が自動起動される。スマートフォン３は、管理サーバ１の破壊情報データベース１６２へアクセスするタイミングか、または基地局２２を介した交信タイミングで破壊指令を受け取り、その実行結果を管理サーバ１に送信する。
この場合は、実行完了の日時情報を管理サーバ１は、破壊情報データベース１６２に記憶するとともに破壊要請された登録端末５および実行完了時に利用者に通知する通知先に登録済の顧客端末４の宛先へメール等で通知する。
なお、スマートフォン３が破壊指令を取得できない場合（指令受信に移行していない場合）には、所定期間内の遠隔制御サービスの実行が出来ないとして破壊指令を中止してもよい。これにより所定期間を超えたときの破壊指令途中であることについてサービス中断を行い、破壊サービス提供が困難であることを利用者に正しく伝えることができる。

【0053】

図９（ａ），（ｂ）は、破壊指令の実行結果例を示す図である。
図９（ａ）に示す受信メールウインドウ６６には、登録した記憶装置を破壊した結果が記載されている。この受信メールウインドウ６６は、顧客端末４のディスプレイ４４上に表示される。
この受信メールウインドウ６６には、登録時の記憶装置の識別情報と、破壊時の記憶装置の識別情報とが対比可能に記載されている。ここでは登録時の記憶装置の識別情報と、破壊時の記憶装置の識別情報とは同一であり、利用者が意図した記憶装置が破壊できている。
受信メールウインドウ６６には更に、記憶装置の起動回数と、スマートフォン３の起動回数とが対比可能に記載されている。ここでは記憶装置の起動回数と、スマートフォン３の起動回数とは同一であり、記憶装置（フラッシュメモリ３６）が、このスマートフォン３以外に接続されていないことが確認できる。

【0054】

図９（ｂ）に示す受信メールウインドウ６７には、記憶装置が入れ替えられて、登録時とは異なる記憶装置を破壊した結果が記載されている。
この受信メールウインドウ６６には、登録時の記憶装置の識別情報と、破壊時の記憶装置の識別情報とが対比可能に記載されている。ここでは登録時の記憶装置の識別情報と、破壊時の記憶装置の識別情報とが異なっており、利用者が意図したものとは違う記憶装置が破壊されたことを示している。
受信メールウインドウ６６には更に、記憶装置の起動回数と、スマートフォン３の起動回数とが対比可能に記載されている。ここでは記憶装置は入れ替えられているので、記憶装置の起動回数と、スマートフォン３の起動回数とが異なっている。

【0055】

なお、端末の記憶装置が外されたのち、他の端末に接続されて記憶装置がコピーされ、再び元の端末に接続される場合がある。この場合も、記憶装置に格納された情報が漏洩する。第１の実施形態の受信メールウインドウ６６には、記憶装置の起動回数とスマートフォン３の起動回数とが対比可能に記載されている。これにより、記憶装置が他の端末に接続されて起動したことが検知可能となる。

【0056】

《ＳＩＭの取り外しまたは変更が行われた場合》
スマートフォン３が窃取され、窃取者がスマートフォン３のＳＩＭの取り外しまたは変更を行うことが考えられる。この際には、キャリア網との通信が行えなくなり、よって管理サーバ１の破壊指令を受信できなくなるおそれがある。この場合、スマートフォン３は、ＳＩＭの取り外しまたは変更をトリガとして、自ら記憶装置を破壊するとよい。

【0057】

図１０は、スマートフォン３によるＳＩＭ監視処理を示すフローチャートである。
スマートフォン３の電源が投入されたとき、遠隔制御ツール３６１が起動してＳＩＭ監視処理が開始する。
スマートフォン３のＣＰＵ３１は、ＳＩＭ３７１のＩＤが記憶済みでないと判定したならば（ステップＳ１０→Ｎｏ）、このＩＤをフラッシュメモリ３６に記憶する（ステップＳ１１）。ここで記憶されたＳＩＭ３７１を、正規のＳＩＭ３７１と呼ぶ。
ＣＰＵ３１は、記憶されている正規のＳＩＭ３７１のＩＤと、現在のＳＩＭ３７１のＩＤとを比較して、ＳＩＭの変更を判断する（ステップＳ１２）。

【0058】

ＣＰＵ３１は、ＳＩＭが取り外しまたは変更されていたならば、元々装着されていたＳＩＭ３７１を装着するように画面に促す表示を行うとともに、監視タイマーをスタートして所定時間のカウントダウンを行う（ステップＳ１３）。正規のＳＩＭ３７１の装着の為に電源を途中で切られたのちに電源を再投入しても、監視タイマーは継続カウントされる。正規のＳＩＭ３７１を装着した場合に限り、監視タイマーの初期化を行う。これにより、情報処理装置の電源のオンとオフとを繰り返すことによる正規のＳＩＭ３７１の監視の時間リセットによる回避操作状態は、発生しない。
所定の時間が経過したならば（ステップＳ１４→Ｙｅｓ）、ＣＰＵ３１は、記憶装置であるフラッシュメモリ３６のシリアル番号や起動回数などの情報を取得し（ステップＳ１５）、このフラッシュメモリ３６を破壊する（ステップＳ１６）。ＣＰＵ３１は更に、ＷｉＦｉ通信部３５を介して管理サーバ１に実行結果を送信し（ステップＳ１７）、図１０の処理を終了する。

【0059】

図１１は、ＳＩＭ３７１の付け替え時の記憶装置破壊動作を示すシーケンス図である。
スマートフォン３は、不正なユーザによって窃取されたのち、ＳＩＭ３７１が付け替えられる（シーケンスＱ５０）。スマートフォン３の電源が投入されたとき、遠隔制御ツール３６１が起動してＳＩＭ３７１の変更を検知し（シーケンスＱ５１）、所定時間のカウントダウンを実行する（シーケンスＱ５２）。
正規のＳＩＭ３７１が未装着のまま所定時間が経過すると（シーケンスＱ６１）、スマートフォン３は、記憶装置であるフラッシュメモリ３６の情報を取得したのち（シーケンスＱ６２）、このフラッシュメモリ３６の破壊を実行する（シーケンスＱ６３）。
以降、スマートフォン３はフラッシュメモリ３６の破壊の実行結果を管理サーバ１に送信する（シーケンスＱ６４）。管理サーバ１は、通知先メールアドレスに実行結果を送信することにより、この実行結果を顧客端末４に送信する（シーケンスＱ６５）。利用者が顧客端末４の電子メールプログラム４６１を起動して、実行結果の電子メールを受信することにより、利用者に実行結果が通知される（シーケンスＱ６６）。

【0060】

なお、利用者が正規のＳＩＭ３７１として別のＳＩＭに登録変更する場合は、登録情報変更のメニューによりスマートフォン３に破壊保留指令を送信し、新たなＳＩＭのＩＤをスマートフォン３が読み取って更新した後に、更新完了を管理サーバ１へ送信するとよい。このとき管理サーバ１は、更新完了の受信により破壊情報データベース１６２の実行フェーズを破壊保留前の状態に戻す。

【0061】

《第２の実施形態》
第１の実施形態では、利用者が遠隔実行制御サービスの利用者登録を行い、破壊実行したい場合に対象とする情報処理装置を指定して破壊指令を実行していた。第２の実施形態では、利用者が事前設定した所定の条件で、記憶装置の破壊を実行することができる。具体的には、利用者が死亡した際に、登録した情報処理装置の遠隔実行制御サービスにより情報処理装置が有する記憶装置を全て破壊したいという場合である。
ここでは、利用者の死亡後に、ＮＡＳ（Network Attached Storage）と呼ばれるネットワーク接続型の記憶装置を破壊する形態について説明する。

【0062】

図１２は、第２の実施形態における遠隔破壊システムＳを示す概略の構成図である。図１に示した遠隔破壊システムＳと同一の要素には同一の符号を付与している。
第２の実施形態の遠隔破壊システムＳは、第１の実施形態のスマートフォン３の代わりにＮＡＳ９を備えており、更に死亡管理サーバ７と死亡情報監視サーバ８とを備えている。
死亡管理サーバ７は、例えば行政機関の民間連動型サービスであり、マイナンバー制度のマイポータル／マイガバメントに相当し、利用者の生死情報を管理するサーバである。
死亡情報監視サーバ８（第２装置）は、死亡管理サーバ７に利用者の死亡情報が登録されたか否かを監視するサーバである。死亡情報監視サーバ８は、マイナンバー制度のポータルサイトからＮＡＳ９の所有者の死亡情報を取得すると、ＮＡＳ９が備える記憶装置の破壊を管理サーバ１に指令する。
ＮＡＳ９（第１装置）は、ネットワークに直接接続して、コンピュータやスマートフォンなどからネットワークを介してアクセス可能な外部記憶装置である。

【0063】

図１３（ａ）は、死亡管理サーバ７の構成図である。
死亡管理サーバ７は、ＣＰＵ７１、ＲＡＭ７２、ＲＯＭ７３、ディスプレイ７４、通信部７５、生死データベース７７を格納したＨＤＤ７６を含んで構成される。ＣＰＵ７１、ＲＡＭ７２、ＲＯＭ７３、ディスプレイ７４、通信部７５は、登録端末５が備えるＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、ディスプレイ５４、通信部５５と同様な機能を有する。
生死データベース７７は、各利用者の生死情報を格納するデータベースである。利用者の死亡届に基づき、生死データベース７７には利用者の生死情報が登録される。

【0064】

図１３（ｂ）は、死亡情報監視サーバ８の構成図である。
死亡情報監視サーバ８は、ＣＰＵ８１、ＲＡＭ８２、ＲＯＭ８３、ディスプレイ８４、通信部８５、登録監視プログラム８７と監視対象者データベース８８とを格納したＨＤＤ８６を含んで構成される。ＣＰＵ８１、ＲＡＭ８２、ＲＯＭ８３、ディスプレイ８４、通信部８５は、登録端末５が備えるＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、ディスプレイ５４、通信部５５と同様な機能を有する。
ＣＰＵ８１は、登録監視プログラム８７を実行することにより死亡管理サーバ７にアクセスして、利用者の死亡情報の有無を監視する。
監視対象者データベース８８は、死亡情報の有無を監視する対象者を格納するデータベースである。

【0065】

図１４は、ＮＡＳ９の構成図である。
ＮＡＳ９は、ＣＰＵ９１、ＲＡＭ９２、ＲＯＭ９３、通信部９５、ＨＤＤ９６、ＨＤＤ管理プログラム９７１と遠隔制御プログラム９７２とを格納したフラッシュメモリ９７を含んで構成される。ＣＰＵ９１、ＲＡＭ９２、ＲＯＭ９３、通信部９５は、登録端末５が備えるＣＰＵ５１、ＲＡＭ５２、ＲＯＭ５３、通信部５５と同様な機能を有する。
ＨＤＤ９６は、データやプログラムを格納する不揮発性の記憶装置である。
ＨＤＤ管理プログラム９７１は、ＣＰＵ９１によって実行されて、外部装置からネットワークを介してＨＤＤ９６をアクセス可能とする機能を具現化する。
遠隔制御プログラム９７２は、ＣＰＵ９１によって実行され、管理サーバ１の破壊指令を受けて、このフラッシュメモリ３６を破壊する機能を具現化する。

【0066】

利用者は、第１の実施形態と同様に初期設定フェーズで初期設定を行い、管理サーバ１に利用者識別情報、認証情報、端末識別情報などを登録し、情報処理端末には、端末識別情報が記憶される。

【0067】

図１５（ａ）は、利用者データベース１６１Ａの構成を示す図である。
利用者データベース１６１Ａは、第１の実施形態の利用者データベース１６１（図４（ａ）参照）と同様の構成に加えて更に、遺族通知先欄を有している。この遺族通知先には、利用者の遺族のメールアドレスが格納される。初期設定フェーズにて利用者は、本人のメールアドレスに加えて遺族のメールアドレスを入力し、遺族のメールアドレスは遺族通知先欄に格納される。

【0068】

初期設定後、破壊指令フェーズにて利用者は、登録端末５を操作して破壊指令実行の条件である登録フラグを「死亡後破壊」に設定する。死亡後破壊に設定された場合は、利用者の死亡情報により指定された情報処理装置に対し実行されることになる。

【0069】

図１５（ｂ）は、破壊情報データベース１６２Ａの構成を示す図である。
破壊情報データベース１６２Ａは、第１の実施形態の破壊情報データベース１６２（図４（ｂ）参照）と同様に構成されている。
ここではＮＡＳ９のＨＤＤ９６に対する破壊指令なので、端末識別情報には、“太郎ＮＡＳ＿５４３２１”が格納される。このＨＤＤ９６は利用者の死亡時に破壊されるので、遠隔制御情報には、“９９９９”が格納される。

【0070】

《利用者情報の収集、監視》
図１６は、死亡時の破壊動作を示すシーケンス図である。
ここで利用者データベース１６１Ａに登録された端末識別情報に紐づけられた登録フラグが死亡後破壊を示す“９９９９”に設定されている。
遺族がマイポータル／マイガバメントに対して利用者の死亡届を提出すると（シーケンスＱ７０）、マイポータル／マイガバメントに係る死亡管理サーバ７の生死データベース７７には、利用者の生死情報が登録される（シーケンスＱ７０）。
死亡管理サーバ７から死亡情報監視サーバ８に対して利用者の死亡の事実が連絡される（シーケンスＱ７１）。この死亡情報監視サーバ８は、所定の周期（例えば、毎日）でマイポータル／マイガバメントにアクセスして利用者の死亡情報を監視している。

【0071】

死亡情報監視サーバ８は、管理サーバ１に対して利用者の死亡を通知する（シーケンスＱ７２）。死亡情報監視サーバ８は、管理サーバ１のアドレス情報と管理サーバ１へのログイン情報とが登録されている。
管理サーバ１は、利用者の死亡時に破壊すべき端末（記憶装置）を特定し（シーケンスＱ７３）、以降は破壊指令実行フェーズに移行する。

【0072】

《破壊指令実行フェーズ》
管理サーバ１は、破壊指令と端末識別情報とをＮＡＳ９に送信する（シーケンスＱ７４）。ＮＡＳ９のＣＰＵ９１は、遠隔制御プログラム９７２の実行により、破壊指令コードを受信した場合、登録完了信号を受信済かを確認する。登録完了信号を受信済の場合は、破壊指令コードを確認する。ここで破壊指令コードは死亡時破壊なので、ＮＡＳ９のＣＰＵ９１は、記憶装置（ＨＤＤ９６）の識別情報と起動回数情報とを取得し（シーケンスＱ７５）、記憶装置（ＨＤＤ９６）の破壊を実行する（シーケンスＱ７６）。これにより、ＨＤＤ９６が格納する情報へのアクセスを不可能とすることができる。

【0073】

ＮＡＳ９のＣＰＵ９１は、この破壊処理の実行結果と記憶装置の情報とを管理サーバ１に送信し（シーケンスＱ７７）、管理サーバ１は破壊処理の実行結果を、遺族宛にメールで通知する（シーケンスＱ７８）。これにより遺族は、破壊処理の結果を確認することができる。
（変形例）
本発明は、上記実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲で、変更実施が可能であり、例えば、次の（ａ）〜（ｄ）のようなものがある。
（ａ） 本発明は、スマートフォンやＮＡＳに限定されず、デスクトップパソコンなどの据え置き型やノートブックパソコンなどの可搬型のパソコンなども対象としている。また、パソコンより小型のタブレットや携帯電話などのモバイル機器などであってもよい。

【0074】

（ｂ） スマートフォン３は、破壊処理後に届け先の情報を表示する機能があってもよい。これにより、スマートフォン３の破壊処理に、このスマートフォン３の届け先がわかり、紛失の場合などには、利用者が破壊済みの端末を回収して安心できる。スマートフォン３の届け先は、例えば遠隔制御実行サービス事業者が窓口になるとよい。

【0075】

（ｃ） 第１の実施形態では、スマートフォン３が管理サーバ１にある破壊指令の情報の有無を取得し、確認することとした。しかし、これに限られず有線通信や無線通信により管理サーバ１が破壊指令を送信し、中継局や基地局２２を介してスマートフォン３が受信してもよい。スマートフォン３が端末識別情報と破壊指令とを受信すると、破壊指令を受信した日時情報を管理サーバ１に送信して、スマートフォン３が有するフラッシュメモリ３６を破壊処理する。フラッシュメモリ３６が読取不能となった場合、スマートフォン３は、その実行結果を管理サーバ１へ送信し、管理サーバ１は実行結果を本人のメールアドレスに通知する。利用者は、管理サーバ１からの通知メールにより、スマートフォン３が指令を受領した時間、実行時間、実行結果を知ることができ、指定したスマートフォン３のフラッシュメモリ３６が確実に破壊されたか否かを知ることができる。

【0076】

（ｄ） ＮＡＳがミラーリング等で複数のＨＤＤで構成されているときに、ＨＤＤの取り外しの監視を行ってもよい。これにより、ＨＤＤを取り外して情報を他のＨＤＤにコピーした後、再びＨＤＤをＮＡＳに戻した場合には、ＮＡＳを構成するＨＤＤの全てを破壊実行した際に、ＮＡＳの情報が他にコピーされている可能性を通知メールにより知ることができる。

【符号の説明】

【0077】

Ｓ 遠隔破壊システム
１ 管理サーバ
１６１ 利用者データベース
１６２ 破壊情報データベース
２１ ルータ
２２ 基地局
３ スマートフォン
３５ ＷｉＦｉ通信部
３６ フラッシュメモリ
３６１ 遠隔制御ツール
３７ ３Ｇ通信部
３７１ ＳＩＭ
４ 顧客端末
４６１ 電子メールプログラム
５ 登録端末
５６１ リモート制御ソフト
７ 死亡管理サーバ
７７ 生死データベース
８ 死亡情報監視サーバ
８７ 登録監視プログラム
８８ 監視対象者データベース
９ ＮＡＳ
９６ ＨＤＤ
９７２ 遠隔制御プログラム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】