(57)【要約】【課題】通信端末のＯＳ変更やプログラム削除、記憶媒体のフォーマットを行っても、通信端末の所属ネットワークや利用ネットワークを特定可能にする。【解決手段】本発明による通信端末は、通信端末のＣＰＵとは分離した通信制御装置として予め通信端末に備え付けられた制御回路であるＳｎｏｏｐ回路とＮＷ発信回路、およびその制御回路に搭載される記憶装置であるテーブルを備える。Ｓｎｏｏｐ回路は、アプリケーションプログラムにおいて生成された通信データをモニタし、その通信データに用いられているネットワーク情報（例えば、送信元ＩＰアドレス）を検出する。ＮＷ発信回路は、Ｓｎｏｏｐ回路が検出したネットワーク情報と通信端末の固有識別子とを含む端末通知情報をデータ部に含む端末管理監視サーバ宛の送信ＩＰパケットを作成し、送受信回路を介して通信ネットワーク上に送出する。【選択図】図１
2007193599.tif 000002
【特許請求の範囲】
【請求項１】
通信端末の所属ネットワークを監視する端末管理監視システムであって、
前記通信端末と通信ネットワークを介して接続される通信端末の所属ネットワークに関する情報を管理する管理装置を備え、
前記通信端末は、
該通信端末の全体の制御を行うＣＰＵとは独立して動作し、上位モジュールと送受信回路との間で通信データの転送を行うとともに、上位モジュールから転送される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出する制御回路であるスヌープ回路と、
該通信端末の全体の制御を行うＣＰＵとは独立して動作し、前記スヌープ回路によって検出された端末側ネットワーク情報に基づいて、前記端末側ネットワーク情報と該通信端末の固有の識別子を示す固有識別子情報とを含む端末通知情報をデータ部として有する前記管理装置宛の通信データを送信する制御回路であるネットワーク発信回路とを有する
ことを特徴とする端末管理監視システム。
【請求項２】
管理装置は、
通信端末のネットワークの所在を示すネットワーク情報を該通信端末の固有識別子と対応づけて記憶する端末情報記憶手段と、
前記通信端末から送信される通信データから端末通知情報を抽出し、抽出した端末通知情報および前記通信データに含まれる送信元情報に基づいて、ネットワーク情報を検出し、前記端末情報記憶手段に登録することによって通信端末の所属ネットワークに関する情報を管理する端末情報管理手段とを有する
請求項１記載の端末管理監視システム。
【請求項３】
管理装置は、
通信端末が所属するネットワークにおいて該通信端末の利用が可能か否かを示す端末事前登録情報を記憶する端末事前登録情報記憶手段を有し、
端末情報管理手段は、抽出した端末通知情報と前記端末事前登録情報記憶手段に記憶された端末事前登録情報とに基づいて、通信端末の利用の可否を判断し、利用不可である場合には、所定の動作指示を示す指示情報をデータ部として有する該通信端末の所定ポート宛の通信データを送信する
請求項２記載の端末管理監視システム。
【請求項４】
スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて通信データのデータ転送を制御し、
ネットワーク発信回路は、前記スヌープ回路から転送される通信データから指示情報を抽出し、前記指示情報に基づいて前記スヌープ回路に制御指示を出力する
請求項３記載の端末管理監視システム。
【請求項５】
第１のネットワークおよび第２のネットワークに接続される通信端末と、前記通信端末と第２の通信ネットワークを介して接続される管理装置とを備え、
前記通信端末は、
前記第１の通信ネットワークに対し通信データの送受信を行う第１の送受信回路と、
前記第２の通信ネットワークに対し通信データの送受信を行う第２の送受信回路とを備え、
スヌープ回路は、第１の送受信回路との間で通信データの転送を行い、
ネットワーク発信回路は、端末通知情報をデータ部として有する第２の通信ネットワークにおける前記管理装置宛の通信データを作成し、前記第２の送受信回路を用いて該通信データを送信し、
前記管理装置は、前記第２の通信ネットワークに対し通信データの送受信を行う第２の送受信回路とを備え、
端末通知情報管理手段は、前記第２の送受信回路が受信する前記通信端末からの通信データから端末通知情報を抽出し、端末通知情報記憶手段に登録する
請求項２から請求項４のうちのいずれか１項に記載の端末管理監視システム。
【請求項６】
通信ネットワークに接続され、前記通信ネットワークを利用したネットワーク通信を行う通信端末であって、
該通信端末の全体の制御を行うＣＰＵとは独立して動作し、上位モジュールと送受信回路との間で通信データの転送を行うとともに、上位モジュールから転送される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出する制御回路であるスヌープ回路と、
該通信端末の全体の制御を行うＣＰＵとは独立して動作し、前記スヌープ回路によって検出された端末側ネットワーク情報に基づいて、前記端末側ネットワーク情報と該通信端末の固有の識別子を示す固有識別子情報とを含む端末通知情報をデータ部として有する通信データを所定の宛先に送信する制御回路であるネットワーク発信回路とを備えた
ことを特徴とする通信端末。
【請求項７】
入力される通信データを所望の出力ポートに転送するとともに、アプリケーションプログラムと通信処理モジュールからなる通信プログラムによって生成される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出するスヌープ回路と、
前記スヌープ回路が検出した端末側ネットワーク情報と、該通信端末の固有識別子とを含む端末通知情報を生成し、前記端末通知情報をデータ部として含む通信データに変換し、前記スヌープ回路に転送するネットワーク発信回路と、
スヌープ回路から入力される通信データを通信ネットワークに転送する送受信回路とを備えた
ことを特徴とする通信端末。
【請求項８】
スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて通信データのデータ転送を制御し、
ネットワーク発信回路は、前記スヌープ回路から転送される通信データから指示情報を抽出し、前記指示情報に基づいて前記スヌープ回路に制御指示を出力する
請求項６または請求項７記載の通信端末。
【請求項９】
第１の通信ネットワークおよび第２の通信ネットワークに接続される通信端末であって、
前記第１の通信ネットワークに対し通信データの送受信を行う第１の送受信回路と、
前記第２の通信ネットワークに対し通信データの送受信を行う第２の送受信回路とを備え、
スヌープ回路は、第１の送受信回路との間で通信データの転送を行い、
ネットワーク発信回路は、端末通知情報をデータ部として有する第２の通信ネットワークにおける前記管理装置宛の通信データを作成し、前記第２の送受信回路を用いて該通信データを送信する
請求項６から請求項８のうちのいずれか１項に記載の通信端末。
【請求項１０】
スヌープ回路は、上位モジュールから転送される通信データに含まれる送信元を特定する情報を、端末側ネットワーク情報として検出する
請求項６から請求項９のうちのいずれか１項に記載の通信端末。
【請求項１１】
スヌープ回路は、上位モジュールから転送される通信データがＨＴＴＰプロトコルを用いた通信データか否かを判断し、ＨＴＴＰプロトコルを用いた通信データである場合に、通信データに含まれるプロキシ情報を、端末側ネットワーク情報として検出する
請求項６から請求項１０のうちのいずれか１項に記載の通信端末。
【請求項１２】
スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて上位モジュールから転送される通信データを破棄する
請求項８記載の通信端末。
【請求項１３】
スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて上位モジュールに対し、架空の受信データを転送しつづける
請求項８または請求項１２に記載の通信端末。
【請求項１４】
ＩＰネットワークに接続された通信端末であって、
スヌープ回路は、入力される通信データに含まれる送信元ＩＰアドレスを、該通信端末に付与された付与ＩＰアドレスとして検出し、
ネットワーク発信回路は、予め記憶された管理装置のＩＰアドレスを送信先ＩＰアドレス、スヌープ回路が検出した付与ＩＰアドレスを送信元ＩＰアドレス、端末通知情報をデータ部として有するＩＰパケットを構築し、前記ＩＰパケットを通信データとする
請求項６から請求項１３のうちのいずれか１項に記載の通信端末。
【請求項１５】
ネットワーク発信回路は、端末通知情報をＨＴＭＬ形式に変換し、変換したＨＴＭＬ形式の端末通知情報をデータ部、スヌープ回路が検出したプロキシ情報を送信先ＩＰアドレスとして有するＩＰパケットを構築し、前記ＩＰパケットを通信データとする
請求項１１記載の通信端末。
【請求項１６】
通信端末の所属ネットワークを監視する端末監視方法であって、
通信端末が備える該通信端末の全体の制御を行うＣＰＵとは独立して動作する制御回路が、上位モジュールと送受信回路との間で通信データの転送を行うとともに、上位モジュールから転送される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出し、
通信端末が備える該通信端末の全体の制御を行うＣＰＵとは独立して動作する制御回路が、検出した端末側ネットワーク情報に基づいて、前記端末側ネットワーク情報と該通信端末の固有の識別子を示す固有識別子情報とを含む端末通知情報をデータ部として有する通信データを所定の宛先に送信する
ことを特徴とする端末監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パーソナルコンピュータなどの通信端末が通信ネットワークに接続された場合の利用状況把握を行い、利用制限方式技術を用いた端末管理監視システム、通信端末、および端末監視方法に関する。
【背景技術】
【０００２】
業務に用いるパーソナルコンピュータ（以下、ＰＣという。）の小型化、軽量化に伴い、業務目的での社外への持ち出しだけでなく、社内の管理体制不備による無許可での社外への持ち出し、または社内での盗難などにより、社外への機密情報の流出の可能性が高まっている。
【０００３】
このような本来社内にあるべきＰＣの持ち出しを検出する方法として、例えば、特許文献１には、盗難されたＰＣを発見するための盗難コンピュータ情報通知システムが記載されている。特許文献１に記載されている盗難コンピュータ情報通知システムは、通信ネットワーク１と、これに接続される複数のユーザコンピュータ１０ｉ（ＰＣ１０ｉ，ｉ＝１，２，…）と、通信ネットワーク１におけるＰＣ１０ｉを管理する管理コンピュータ２０で構成されている。
【０００４】
ＰＣ１０ｉは、全体的な制御を行う中央処理装置（ＣＰＵ）１１を有し、ＣＰＵ１１にはバスライン１２を介して通信制御装置（ＣＣＵ）１３が接続されている。また、バスライン１２には、読み出し専用メモリ（ＲＯＭ）１４と、随時読み書き可能メモリ（ＲＡＭ）１５と、電気的に読み書き可能な不揮発性メモリ（ＥＥＰＲＯＭ）１６と、ハードディスク装置（ＨＤＤ）１７とが接続されている。
【０００５】
ＲＯＭ１４には、ＣＰＵ１１が最初に実行するプログラム等をＨＤＤ１７から読み出してＲＡＭ１５にロードするためのプログラムが格納されている。ＥＥＰＲＯＭ１６には、ＰＣ１０ｉ固有の識別符号ＩＤｉが格納されており、この内容はＰＣ１０ｉ自体のプログラムで変更することが出来ないようになっている。ＨＤＤ１７には、各種のプログラムやデータをファイル形式で記憶するものであり、管理コンピュータ２０に登録するためのネットワーク登録プログラム１７ａ、通信ネットワーク１を介して通信を行うためのネットワーク通信プログラム１７ｂ、及び通信ネットワーク１を介して登録コンピュータ２０に接続されたときに、ＥＥＰＲＯＭ１６から識別符号ＩＤｉを読み出して送信する識別符号送信プログラム１７ｃ等のプログラムファイルが登録されている。
【０００６】
一方、管理コンピュータ２０は、全体的な動作の制御を行うＣＰＵ２１を有し、ＣＰＵ２１にはバスライン２２を介してＣＣＵ２３が接続されている。このＣＣＵ２３が通信ネットワーク１に接続されている。バスライン２２には、ＲＯＭ２４およびＲＡＭ２５等の主記憶装置と、ＨＤＤ２６等の補助記憶装置が接続されている。ＨＤＤ２６には、ＰＣ１０ｉからの登録申込に対して登録を受け付けて登録番号ＲＮｉを付与する登録受け付けプログラム２６ａ、ユーザからの申告に基づいて盗難ＰＣ情報を登録する盗難情報登録プログラム２６ｂ、通信ネットワーク１を介して接続されたＰＣ１０ｉが盗難ＰＣである場合に対応する宛先に通知する盗難通知プログラム２６ｃ等のプログラムファイルが格納されている。また、ＨＤＤ２６には、ユーザ登録ファイル２６ｅや、盗難ＰＣファイル２６ｆ等のファイルが格納されている。
【０００７】
このようなシステムにおいて、ＰＣ１０ｉが通信ネットワーク１を介して管理コンピュータ２０に接続されると、ＥＥＰＲＯＭ１６に格納された装置固有の識別符号ＩＤｉが、識別符号送信プログラム１７ｃによって読み出されて送信される。管理コンピュータ２０側には、ユーザからの申告に基づいて盗まれたＰＣ１０の識別符号ＩＤと発見時の通知先等が登録される盗難ＰＣファイル２６ｆが設けられている。接続されたＰＣ１０ｉの識別符号ＩＤｉによって盗難ＰＣであるか否かが判定され、盗難品であれば盗難通知プログラム２６ｃによって、その通知先にそのＰＣ１０ｉのネットワーク参加者情報が通知される。
【０００８】
【特許文献１】特開２０００−１０５７４５号公報（段落０００９−００１４）
【発明の開示】
【発明が解決しようとする課題】
【０００９】
図７は、盗難ＰＣを発見するための盗難ＰＣ発見システムの構成例を示すブロック図である。図７に示す盗難ＰＣ発見システムは、ＰＣ９１０と盗難監視サーバ９２０とがインタネット９０１を介して接続されて構成される。ＰＣ９１０は、記憶媒体９１１と、発信プログラム９１２と、通信処理モジュール９１３と、送受信回路９１４とを備える情報処理装置である。記憶媒体９１１には、盗難監視サーバ９１０のアドレス情報を示すネットワーク登録情報９１５とＰＣ固有識別子９１６とが格納されている。盗難監視サーバ９２０は、記憶媒体９２１と、発信受付プログラム９２２と、通信処理モジュール９２３と、送受信回路９２４とを備えるサーバ装置である。記憶媒体９２１には、端末登録情報９２６と、盗難情報９２７とが記憶される。
【００１０】
ＰＣ９１０の発信プログラム９１２は、例えば、ＰＣ９１０が備えるＣＰＵによって定期的に起動され、ネットワーク登録情報９１５に記載された盗難監視サーバ９２０のアドレス情報に基づいて、自身の識別子であるＰＣ固有識別子９１６をデータとし、送信先を盗難監視サーバ９２０とする送信データを形成し、通信処理モジュール９１３に送信データを転送して送信を依頼する。通信処理モジュール９１３は、受け取った送信データをデータ部とし、送信元を自身のＩＰアドレスとするＩＰパケットを構築し、送受信回路９１４に転送する。送受信回路９１４は、受け取ったＩＰパケットをインタネット９０１に転送する。
【００１１】
インタネット９０１は、送信先情報に基づいてＩＰパケットを盗難監視サーバ９２０に転送する。盗難監視サーバ９２０の送受信回路９２４は、インタネット９０１からＩＰパケットを受信する。受信したＩＰパケットは、通信処理モジュール９２３においてＩＰ処理され、発信受付プログラム９２２に受信データとして転送される。発信受付プログラム９２２は、盗難監視サーバ９２０が備えるＣＰＵによって常時起動され、受け取った受信データに格納されたＰＣ固有識別子９１６と、受信データに付加される送信元情報（例えば、ＰＣ９１０のＩＰアドレス）とを端末登録情報９２６に登録する。
【００１２】
また、発信受付プログラム９２２は、盗難されたＰＣのＰＣ固有識別子が格納されている盗難情報９２７を参照し、端末登録情報９２６に登録したＰＣ固有識別子９１６が登録されているかを検索する。このようにして、盗難されたＰＣのＩＰアドレスを認識することができる。また、そのＩＰアドレスから使用場所の特定も可能となる。すなわち、ＰＣ固有の情報を送信元情報とともに発信することによって、盗難ＰＣの行方を知ることができる。
【００１３】
しかしながら、特許文献１に記載の方法では、盗難ＰＣを検知できない可能性がある。第１の問題点として、盗難されたＰＣの記憶媒体（例えば、ＨＤＤ１７）がフォーマットされたり、プログラムファイル（例えば、識別符号送信プログラム１７ｃ）が削除されてしまうと、特許文献１のメカニズム（ここでは、ＰＣ固有情報の発信機能）を保持することができない。また、盗難されたＰＣにパスワードがある場合や暗号化されている場合には、盗難者がこれらを解いて再利用する可能性は低く、オペレーティングシステム（以下、ＯＳという。）を再インストールされてしまうと、処理を実行するためのプログラムの起動設定が解除され、特許文献１のメカニズムが保持できない。
【００１４】
また、第２の問題として、盗難されたＰＣがフォーマットされずに、特許文献１のメカニズムが保持されたとしても、ＰＣと管理コンピュータが接続されている通信ネットワークとの間にネットワークアドレストランスファールータ（ＮＡＴ）やファイヤーウオール（ＦＷ）、プロキシ等が存在すると、これらにより管理コンピュータとの通信が許可されず、ＰＣから識別符号ＩＤｉを通知できない場合がある。企業で利用されているＮＡＴやＦＷでは、特定ポートを利用した通信は基本的に遮断されている場合が多い。そのため、盗難ＰＣを企業で利用した場合、そのＮＡＴやＦＷで管理コンピュータと盗難ＰＣとの間の通信が遮断され、識別符号ＩＤｉ等の端末情報を通知することができなくなる。
【００１５】
従って、本発明は、これらの問題を解決するために、例え通信端末の記憶媒体のフォーマットやプログラムの削除が行われても、通信端末から通信端末のネットワークの所在を示す通知情報を通信ネットワーク上に発信できるメカニズムを実現できるようにすることを目的とする。
【００１６】
また、通信端末と外部の通信ネットワークとの間にプロキシが存在した場合であっても、それを透過して、外部の通信ネットワーク上に発信できるようにすることを目的とする。
【００１７】
さらに、通信端末から発信された通知情報を取得し、管理することを目的とする。さらに、通信端末からの通知情報を管理する管理装置から、通信端末の通信機能を停止できるようにすることを目的とする。
【課題を解決するための手段】
【００１８】
本発明における端末管理監視システムは、通信端末の所属ネットワークを監視する端末管理監視システムであって、前記通信端末と通信ネットワークを介して接続される通信端末の所属ネットワークに関する情報を管理する管理装置を備え、前記通信端末は、該通信端末の全体の制御を行うＣＰＵとは独立して動作し、上位モジュールと送受信回路との間で通信データの転送を行うとともに、上位モジュールから転送される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出する制御回路であるスヌープ回路（例えば、Ｓｎｏｏｐ回路１０４）と、該通信端末の全体の制御を行うＣＰＵとは独立して動作し、前記スヌープ回路によって検出された端末側ネットワーク情報に基づいて、前記端末側ネットワーク情報と該通信端末の固有の識別子を示す固有識別子情報とを含む端末通知情報をデータ部として有する前記管理装置宛の通信データを送信する制御回路であるネットワーク発信回路（例えば、ＮＷ発信回路１０５）とを有することを特徴とする。
【００１９】
また、管理装置は、通信端末のネットワークの所在を示すネットワーク情報を該通信端末の固有識別子と対応づけて記憶する端末情報記憶手段（例えば、端末登録情報部４０２）と、前記通信端末から送信される通信データから端末通知情報を抽出し、抽出した端末通知情報および前記通信データに含まれる送信元情報に基づいて、ネットワーク情報を検出し、前記端末情報記憶手段に登録することによって通信端末の所属ネットワークに関する情報を管理する端末情報管理手段（例えば、端末管理監視モジュール３０１）とを有していてもよい。
【００２０】
また、管理装置は、通信端末が所属するネットワークにおいて該通信端末の利用が可能か否かを示す端末事前登録情報を記憶する端末事前登録情報記憶手段（例えば、端末事前登録情報部４１３）を有し、端末情報管理手段は、抽出した端末通知情報と前記端末事前登録情報記憶手段に記憶された端末事前登録情報とに基づいて、通信端末の利用の可否を判断し、利用不可である場合には、所定の動作指示を示す指示情報をデータ部として有する該通信端末の所定ポート宛の通信データを送信してもよい。
【００２１】
また、スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて通信データのデータ転送を制御し、ネットワーク発信回路は、前記スヌープ回路から転送される通信データから指示情報を抽出し、前記指示情報に基づいて前記スヌープ回路に制御指示を出力してもよい。
【００２２】
また、本発明による端末管理監視システムは、第１のネットワークおよび第２のネットワークに接続される通信端末と、前記通信端末と第２の通信ネットワークを介して接続される管理装置とを備え、前記通信端末は、前記第１の通信ネットワークに対し通信データの送受信を行う第１の送受信回路（例えば、送受信回路１０３）と、前記第２の通信ネットワークに対し通信データの送受信を行う第２の送受信回路（例えば、第２の送受信回路１３６）とを備え、スヌープ回路は、第１の送受信回路との間で通信データの転送を行い、ネットワーク発信回路は、端末通知情報をデータ部として有する第２の通信ネットワークにおける前記管理装置宛の通信データを作成し、前記第２の送受信回路を用いて該通信データを送信し、前記管理装置は、前記第２の通信ネットワークに対し通信データの送受信を行う第２の送受信回路（例えば、送受信回路３３３）とを備え、端末通知情報管理手段は、前記第２の送受信回路が受信する前記通信端末からの通信データから端末通知情報を抽出し、端末通知情報記憶手段に登録してもよい。
【００２３】
また、本発明による通信端末は、通信ネットワークに接続され、前記通信ネットワークを利用したネットワーク通信を行う通信端末であって、該通信端末の全体の制御を行うＣＰＵとは独立して動作し、上位モジュールと送受信回路との間で通信データの転送を行うとともに、上位モジュールから転送される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出する制御回路であるスヌープ回路と、該通信端末の全体の制御を行うＣＰＵとは独立して動作し、前記スヌープ回路によって検出された端末側ネットワーク情報に基づいて、前記端末側ネットワーク情報と該通信端末の固有の識別子を示す固有識別子情報とを含む端末通知情報をデータ部として有する通信データを所定の宛先に送信する制御回路であるネットワーク発信回路とを備えたことを特徴とする。
【００２４】
また、本発明による通信端末は、入力される通信データを所望の出力ポートに転送するとともに、アプリケーションプログラムと通信処理モジュールからなる通信プログラムによって生成される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出するスヌープ回路と、前記スヌープ回路が検出した端末側ネットワーク情報と、該通信端末の固有識別子とを含む端末通知情報を生成し、前記端末通知情報をデータ部として含む通信データに変換し、前記スヌープ回路に転送するネットワーク発信回路と、スヌープ回路から入力される通信データを通信ネットワークに転送する送受信回路とを備えたことを特徴とする。
【００２５】
また、スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて通信データのデータ転送を制御し、ネットワーク発信回路は、前記スヌープ回路から転送される通信データから指示情報を抽出し、前記指示情報に基づいて前記スヌープ回路に制御指示を出力してもよい。
【００２６】
また、本発明による通信端末は、第１の通信ネットワークおよび第２の通信ネットワークに接続される通信端末であって、前記第１の通信ネットワークに対し通信データの送受信を行う第１の送受信回路と、前記第２の通信ネットワークに対し通信データの送受信を行う第２の送受信回路とを備え、スヌープ回路は、第１の送受信回路との間で通信データの転送を行い、ネットワーク発信回路は、端末通知情報をデータ部として有する第２の通信ネットワークにおける前記管理装置宛の通信データを作成し、前記第２の送受信回路を用いて該通信データを送信してもよい。
【００２７】
また、スヌープ回路は、上位モジュールから転送される通信データに含まれる送信元を特定する情報を、端末側ネットワーク情報として検出してもよい。
【００２８】
また、スヌープ回路は、上位モジュールから転送される通信データがＨＴＴＰプロトコルを用いた通信データか否かを判断し、ＨＴＴＰプロトコルを用いた通信データである場合に、通信データに含まれるプロキシ情報を、端末側ネットワーク情報として検出してもよい。
【００２９】
また、スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて上位モジュールから転送される通信データを破棄してもよい。
【００３０】
また、スヌープ回路は、ネットワーク発信回路からの制御指示に基づいて上位モジュールに対し、架空の受信データを転送しつづけてもよい。
【００３１】
また、本発明による通信端末は、ＩＰネットワークに接続された通信端末であって、スヌープ回路は、入力される通信データに含まれる送信元ＩＰアドレスを、該通信端末に付与された付与ＩＰアドレスとして検出し、ネットワーク発信回路は、予め記憶された管理装置のＩＰアドレスを送信先ＩＰアドレス、スヌープ回路が検出した付与ＩＰアドレスを送信元ＩＰアドレス、端末通知情報をデータ部として有するＩＰパケットを構築し、前記ＩＰパケットを通信データとしてもよい。
【００３２】
また、ネットワーク発信回路は、端末通知情報をＨＴＭＬ形式に変換し、変換したＨＴＭＬ形式の端末通知情報をデータ部、スヌープ回路が検出したプロキシ情報を送信先ＩＰアドレスとして有するＩＰパケットを構築し、前記ＩＰパケットを通信データとしてもよい。
【００３３】
また、本発明による端末監視方法は、通信端末の所属ネットワークを監視する端末監視方法であって、通信端末が備える該通信端末の全体の制御を行うＣＰＵとは独立して動作する制御回路が、上位モジュールと送受信回路との間で通信データの転送を行うとともに、上位モジュールから転送される通信データから、該通信端末が検出可能な該通信端末のネットワークの所在を示す端末側ネットワーク情報を検出し、通信端末が備える該通信端末の全体の制御を行うＣＰＵとは独立して動作する制御回路が、検出した端末側ネットワーク情報に基づいて、前記端末側ネットワーク情報と該通信端末の固有の識別子を示す固有識別子情報とを含む端末通知情報をデータ部として有する通信データを所定の宛先に送信することを特徴とする。
【発明の効果】
【００３４】
本発明の第一の効果は、通信端末のＯＳ変更やプログラムの削除、記憶媒体のフォーマットを行っても、通信端末の所属ネットワークや、利用ネットワークを特定できることにある。これは、通信端末から端末管理監視装置への端末情報通知をＯＳやアプリケーションプログラムとは分離した制御回路が行うためである。
【００３５】
本発明第二の効果は、盗難された通信端末のＩＰアドレスの特定と追跡ができることである。これは、盗難者の意思に関わらず、ネットワークに接続すると管理装置に端末通知情報が通知されるためである。
【００３６】
本発明の第三の効果は、プロトコルを新たに通知することなく、自装置に割り当てられたネットワークの所在を示す情報を取得できることにある。これは、ＯＳ上で起動するアプリケーションプログラムが付与する情報を参照しているためである。
【００３７】
本発明の第四の効果は、通信端末が利用禁止のネットワークで利用した場合、そのネットワークでの利用を禁止することができることである。これは、登録されたネットワーク以外での利用を検知すると、スヌープ回路が通信路を遮断するためである。
【００３８】
本発明の第五の効果は、通信ネットワークからプロキシを介して分離されたネットワークに通信端末が配置され、例えばプライベートＩＰアドレスを付与されていても、通信端末が所属するネットワークを確定することができることである。これは、端末通知情報を転送するＩＰパケットがプロキシを通過する際付与されたグローバルＩＰアドレスも送信元情報として管理装置に転送され、端末通知情報の送信元情報も管理装置が記憶するからである。
【発明を実施するための最良の形態】
【００３９】
実施の形態１．
以下、本発明の実施の形態を図面を参照して説明する。図１は、第１の実施の形態による端末管理監視システムの構成例を示すブロック図である。図１に示す端末管理監視システムは、通信端末１００と、端末管理監視サーバ３００とを備える。通信端末１００と端末管理監視サーバ３００とは、通信ネットワーク５００を介して接続される。なお、本実施の形態において、通信ネットワーク５００はＩＰ通信を行うＩＰネットワーク（例えば、インタネット）である。また、図１では、１つの通信端末１００を示しているが、通信端末１００は複数であってもよい。
【００４０】
通信端末１００は、通信ネットワーク５００に用いられる通信プロトコルによる通信が可能な情報処理装置（例えば、パーソナルコンピュータ）であって、記録媒体２０１と、アプリケーションプログラム１０１と、通信処理モジュール１０２と、送受信回路１０３と、Ｓｎｏｏｐ回路１０４と、ネットワーク発信回路（以下、ＮＷ発信回路という。）１０５と、テーブル２０２とを備える。以下、通信ネットワーク５００に用いられる通信プロトコルによる通信を単にネットワーク通信と表現する。
【００４１】
記録媒体２０１は、通信端末１００が備えるＨＤＤ（ハードディスク装置）等の記憶装置であって、通信端末１００が読み込むアプリケーションデータ、プログラム、ＯＳなどの情報を格納する。アプリケーションプログラム１０１は、ＯＳから起動されるプログラムであって、ここでは、通信ネットワーク５００を介して接続される他の装置との間で情報を送受信する機能を有するプログラムを指す。アプリケーションプログラム１０１の例としては、ＩＰの上位プロトコルであるＰｉｎｇ、ＩＣＭＰ、ＴＣＰ、ＵＤＰ、ＦＴＰ、ＨＴＴＰ／ＨＴＴＰｓ、ＰＯＰ等のプロトコルを用いて情報交換を行うプログラムがある。なお、アプリケーションプログラム１０１は、通信処理モジュール１０２を介してネットワーク通信を行う。アプリケーションプログラム１０１の機能は、プログラムに従って動作するＣＰＵ（図示せず。）によって実現される。なお、アプリケーションプログラム１０１は、通信端末１００が備える記憶装置（ここでは、記録媒体２０１）に記憶される。
【００４２】
通信処理モジュール１０２は、ネットワーク通信を行うためのプロトコル制御を行うプログラムである。通信処理モジュール１０２は、例えば、上位アプリケーション（ここでは、アプリケーションプログラム１０１）から入力される送信データと送信先情報とから、ＩＰパケットを構築し、送信回路に出力する。また、例えば、受信回路から入力されるＩＰパケットのＩＰ部を処理してデータ部に格納された受信データを抽出し、上位アプリケーションに出力する。なお、本実施の形態において、通信処理モジュール１０２は、送受信回路１０３と直接データの受け渡しをせず、Ｓｎｏｏｐ回路１０４を介して行う。
【００４３】
また、通信処理モジュール１０２とアプリケーションプログラム１０１との間で、ＵＤＰやＴＣＰ等のＩＰより上位のプロトコル制御が必要な場合には、別途上位プロトコル用の通信処理モジュールを間に設けてもよいし、通信処理モジュール１０２が上位プロトコルの制御機能を含めて備えていてもよい。通信処理モジュール１０２の機能は、プログラムに従って動作するＣＰＵ（図示せず。）によって実現される。なお、通信処理モジュール１０２は、通信端末１００が備える記憶装置（ここでは、記録媒体２０１）に記憶される。
【００４４】
送受信回路１０３は、ネットワーク通信を行う通信制御装置（ＣＣＵ）として予め通信端末１００に備え付けられた制御回路であって、通信ネットワーク５００に対して物理的にデータの送受信を行う。送受信回路１０３は、例えば、送信ＩＰパケットとして上位モジュール（ここでは、通信処理モジュール１０２）から入力されるＩＰパケットのデータ内容を電気信号に変換してネットワーク回線（例えば、イーサネットケーブル：イーサネットは登録商標）に出力する。また、例えば、ネットワーク回線から入力される電気信号を変換してＩＰパケットを形成し、受信ＩＰパケットとして上位モジュールに出力する。なお、既に説明したように本実施の形態において、送受信回路１０３は、Ｓｎｏｏｐ回路１０４を介して上位モジュールとデータの受け渡しを行う。送受信回路１０３は、通信端末１００が備えるハードウェアの通信装置によって実現される。
【００４５】
テーブル２０２は、通信端末１００を識別するための固有の情報（以下、固有識別子情報という。）と、端末管理監視サーバ３００のアドレス情報（例えば、ＩＰアドレス）とを予め記憶する。また、テーブル２０２は、Ｓｎｏｏｐ回路１０４によって検出された通信端末１００のネットワーク情報を記憶する。ここで、ネットワーク情報とは、通信端末１００が検出可能な通信端末１００のネットワークの所在を示す情報であって、本実施の形態では、通信端末１００の付与ＩＰアドレスをいう。なお、本実施の形態において、テーブル２０２は、ネットワーク通信を行う通信制御装置（ＣＣＵ）として予め通信端末１００に備え付けられた、通信端末１００の全体的な制御を行うＣＰＵとは独立して動作する制御回路に搭載されるＲＡＭやＦＲＯＭ、ＥＥＰＲＯＭに記憶される。つまり、テーブル２０２は、通信端末１００のＣＰＵから直接アクセスできないようＣＰＵの入出力信号とは分離して配置される。
【００４６】
Ｓｎｏｏｐ回路１０４は、例えばネットワーク通信を行う通信制御装置（ＣＣＵ）の一部として通信端末１００に備え付けられた、通信端末１００の全体的な制御を行うＣＰＵとは独立して動作する制御回路であって、通信処理モジュール１０２と送受信回路１０３との間で、ＩＰパケットを中継する制御回路である。Ｓｎｏｏｐ回路１０４は、ＩＰパケットを中継する際に、中継するＩＰパケットを解析して、通信端末１００に付与されたＩＰアドレスを検出し、テーブル２０２に記憶する。Ｓｎｏｏｐ回路１０４は、通信処理モジュール１０２から入力される送信ＩＰパケットの送信元ＩＰアドレスを参照することによって、通信端末１００に付与されたＩＰアドレスを検出する。また、Ｓｎｏｏｐ回路１０４は、ＮＷ発信回路１０５から送信ＩＰパケットが入力された場合には、必要に応じて通信処理モジュール１０２から入力された送信ＩＰパケットとＮＷ発信回路１０５から入力された送信ＩＰパケットとを多重化し、送受信回路１０３に出力する。なお、Ｓｎｏｏｐ回路１０４は、予め記憶された命令に従って動作するプロセッサ（マイクロコンピュータ，ＣＰＵ，ＭＰＵとも呼ばれる）によって実現される。
【００４７】
ＮＷ発信回路１０５は、例えばネットワーク通信を行う通信制御装置（ＣＣＵ）の一部として通信端末１００に備え付けられた、通信端末１００の全体的な制御を行うＣＰＵとは独立して動作する制御回路であって、Ｓｎｏｏｐ回路１０４の検出結果に応じて通信端末１００のネットワーク情報を端末管理監視サーバ３００に送信する制御回路である。ＮＷ発信回路１０５は、テーブル２０２を参照し、付与ＩＰアドレスの新規登録または付与ＩＰアドレスの変更を認識した場合に、通信端末１００の固有識別情報と、Ｓｎｏｏｐ回路１０４が検出した付与ＩＰアドレスとを含む端末通知情報をデータ部、端末管理監視サーバ３００のＩＰアドレスを送信先ＩＰアドレス、通信端末１００の付与ＩＰアドレスを送信元ＩＰアドレスとして有するＵＤＰ／ＩＰパケットを構築し、Ｓｎｏｏｐ回路１０４に送信ＩＰパケットとして出力する。なお、ＮＷ発信回路１０５は、予め記憶された命令に従って動作するプロセッサ（マイクロコンピュータ，ＣＰＵ，ＭＰＵとも呼ばれる）によって実現される。
【００４８】
また、Ｓｎｏｏｐ回路１０４とＮＷ発信回路１０５とは、同一のプロセッサによって実現される場合もある。そのような場合には、Ｓｎｏｏｐ回路１０４とＮＷ発信回路１０５とは、プロセッサに記憶されているプログラムの機能によって区別される。
【００４９】
端末管理監視サーバ３００は、ネットワーク通信が可能な情報処理装置（例えば、パーソナルコンピュータ）であって、記憶媒体４０１と、端末管理監視モジュール３０１と、通信処理モジュール３０２と、送受信回路３０３とを備える。記録媒体４０１は、端末管理監視サーバ３００が備えるＨＤＤ等の記憶装置であって、端末管理監視サーバ３００が読み込むアプリケーションデータ、プログラム、ＯＳなどの情報を格納する。なお、記憶媒体４０１は、少なくとも端末登録情報を格納するための記憶領域である端末登録情報部４０２を含む。ここで、端末登録情報とは、端末管理監視サーバ３００が検出可能な通信端末１００のネットワークの所在を示すサーバ側ネットワーク情報と通信端末１００の固有識別子情報とを対応づけた情報であって、通信端末１１０の固有識別子情報と、付与ＩＰアドレスと、端末通知情報を受信した際の受信ＩＰパケットの送信元ＩＰアドレスとを含む情報である。
【００５０】
端末管理監視モジュール３０１は、通信端末１００のＮＷ発信回路１０５からの端末通知情報を終端処理するアプリケーションプログラムである。端末管理監視モジュール３０１は、端末通知情報を含む受信データを終端し、受信データから通信端末１００の固有識別子情報と付与ＩＰアドレスとを抽出し、受信データの送信元ＩＰアドレスと合わせて端末登録情報部４０２に記憶する。また、端末管理監視モジュール３０１は、ＮＷ発信回路１０５から端末通知情報を受け取るために、予め所定のポート（ここでは、ＵＤＰポート）をオープンさせておく。端末管理監視モジュール３０１の機能は、プログラムに従って動作するＣＰＵ（図示せず。）によって実現される。なお、端末管理監視モジュール３０１は、端末管理監視サーバ３００が備える記憶装置（例えば、記憶媒体４０１）に記憶される。
【００５１】
通信処理モジュール３０２は、ネットワーク通信を行うためのプロトコル制御を行うプログラムである。通信処理モジュール３０２は、例えば、上位アプリケーション（ここでは、端末管理監視モジュール３０１）から入力される送信データと送信先情報とから、ＩＰパケットを構築し、送信回路に出力する。また、例えば、受信回路から入力されるＩＰパケットのＩＰ部を処理してデータ部に格納された受信データを抽出し、上位アプリケーションに出力する。
【００５２】
また、通信処理モジュール３０２と端末管理監視モジュール３０１との間で、ＩＰより上位のプロトコル制御が必要な場合には、別途上位プロトコル用の通信処理モジュールを間に設けてもよいし、通信処理モジュール３０２が上位プロトコルの制御機能を含めて備えていてもよい。例えば、通信端末１００のＮＷ発信回路１０５がＵＤＰプロトコルを用いて端末通知情報を送信する場合には、通信処理モジュール３０２は、ＵＤＰ／ＩＰ通信を行うためのプロトコル制御を行うプログラムであってもよい。通信処理モジュール３０２の機能は、プログラムに従って動作するＣＰＵ（図示せず。）によって実現される。なお、通信処理モジュール３０２は、開札装置４００が備える記憶装置（例えば、記憶媒体４０１）に記憶される。
【００５３】
送受信回路３０３は、ネットワーク通信を行う通信制御装置（ＣＣＵ）として予め端末管理監視サーバ３００に備え付けられた制御回路であって、通信ネットワーク５００に対して物理的にデータの送受信を行う。送受信回路３０３は、例えば、送信ＩＰパケットとして上位モジュール（ここでは、通信処理モジュール３０２）から入力されるＩＰパケットのデータ内容を電気信号に変換してネットワーク回線（例えば、イーサネットケーブル）に出力する。また、例えば、ネットワーク回線から入力される電気信号を変換してＩＰパケットを形成し、受信ＩＰパケットとして上位モジュールに出力する。なお、送受信回路３０３は、端末管理監視サーバ３００が備えるハードウェアの通信装置によって実現される。
【００５４】
次に、本実施の形態の動作について説明する。図２は、本実施の形態による端末管理監視システムにおける通信端末の動作例を示す流れ図である。ここでは、通信端末１００において、インターネットを利用してＴＣＰ／ＩＰ通信もしくはＵＤＰ／ＩＰ通信を行うアプリケーションプログラム１０１が動作しているものとする。アプリケーションプログラム１０１は、例えば、Ｗｅｂブラウザや、電子メールの送受信を行うプログラムである。また、テーブル２０２には、予め通信端末１００の固有識別子情報および端末管理監視サーバ３００のＩＰアドレスが記憶されている。
【００５５】
通信端末１００の利用者が、アプリケーションプログラム１０１を操作すると、アプリケーションプログラム１０１は、利用者の操作に従ってインタネットへの送信データを生成する。アプリケーションプログラム１０１で生成された送信データは、通信処理モジュール１０２に出力される。この際、通信処理モジュール１０２には、送信先情報（例えば、送信先ＩＰアドレスとポート番号、ＵＲＬ情報、ＰＯＰサーバのニックネーム）も合わせて出力される。
【００５６】
通信処理モジュール１０２は、入力された送信先情報から送信先ＩＰアドレスを割り出す。次に、割り出した送信先ＩＰアドレスを送信先ＩＰアドレス、自通信端末１００に割り当てられたＩＰアドレスを送信元ＩＰアドレスとするＩＰパケットを構築し、入力された送信データをデータ部に格納して、送信ＩＰパケットとしてＳｎｏｏｐ回路１０４に出力する（ステップＳ１０１）。
【００５７】
Ｓｎｏｏｐ回路１０４は、通信処理モジュール１０２から入力される送信ＩＰパケットを参照し、自通信端末１００に付与されたＩＰアドレスを検出する。Ｓｎｏｏｐ回路１０４は、送信ＩＰパケットから送信元ＩＰアドレスを付与ＩＰアドレスとして抽出し、テーブル２０２に登録する（ステップＳ１０２）。また、Ｓｎｏｏｐ回路１０４は、入力された送信ＩＰパケットを送受信回路１０３に出力する（ステップＳ１０３）。
【００５８】
ＮＷ発信回路１０５は、例えば、定期的にテーブル２０２を参照し、付与ＩＰアドレスの新規登録または付与ＩＰアドレスの変更を認識すると、端末管理監視サーバ３００への端末通知情報を作成する（ステップＳ１０４，Ｓ１０５）。この端末通知情報には、テーブル２０２に登録されている通信端末１００の固有識別子情報と、付与ＩＰアドレスアドレスとが含まれている。ＮＷ発信回路１０５は、定期的ではなく、Ｓｎｏｏｐ回路１０４から登録した旨の通知を受けて、テーブル２０２を参照することも可能である。また、ＮＷ発信回路１０５は、付与ＩＰアドレスの変更ではなく、付与ＩＰアドレスのネットワークアドレスの変更を認識して、端末通知情報を作成してもよい。
【００５９】
次に、ＮＷ発信回路１０５は、端末管理監視サーバ３００のＩＰアドレスを送信先ＩＰアドレス、通信端末１００の付与ＩＰアドレスを送信元ＩＰアドレスとして有するＵＤＰ／ＩＰパケットを構築し、端末通知情報をデータ部に格納して、送信ＩＰパケットとしてＳｎｏｏｐ回路１０４に出力する（ステップＳ１０６）。
【００６０】
Ｓｎｏｏｐ回路１０４は、ＮＷ発信回路１０５から送信ＩＰパケットが入力されると、必要に応じて通信処理モジュール１０２から入力された送信ＩＰパケットとＮＷ発信回路１０５から入力された送信ＩＰパケットとを多重化し、送受信回路１０３に出力する（ステップＳ１０７）。なお、ここでいう多重化とは、異なる入力ポートから入力されたＩＰパケットを１つの出力ポートに出力することをいう。例えば、２つの入力ポートからＩＰパケットＡ１，Ａ２，Ａ３とＩＰパケットＢ１，Ｂ２，Ｂ３とが入力された場合には、それらＩＰパケットを入力順（例えば、Ａ１，Ｂ１，Ａ２，Ｂ２，Ａ３，Ｂ３の順）に送受信回路１０３宛の出力ポートに出力する。送受信回路１０３は、Ｓｎｏｏｐ回路１０４から入力されるＩＰパケットをインタネット５００上に送出する。
【００６１】
端末通知情報を含んだＩＰパケットは、インタネット５００でルーティングされ、端末管理監視サーバ３００に到達する。端末管理監視サーバ３００の送受信回路３０３は、自装置宛のＩＰパケットをインタネット５００から受信し、受信ＩＰパケットとして通信処理モジュール３０２に出力する。通信処理モジュール３０２は、受信ＩＰパケットのＩＰ部を処理した後、データ部に格納された受信データ（ここでは、端末通知情報）を抽出し、ポート番号によって指定される上位モジュールである端末管理監視モジュール３０１に送信元ＩＰアドレスとともに出力する。
【００６２】
端末管理監視モジュール３０１は、受信データとして端末通知情報を受け取ると、端末通知情報に含まれる通信端末１００の固有識別子情報、付与ＩＰアドレス、および端末通知情報の送信元ＩＰアドレスを一組にして、端末登録情報部４０２に登録する。端末登録情報部４０２に登録する際には、例えば、同一の固有識別子情報を有する情報組に上書きしてもよいし、時系列に情報を追加してもよい。端末管理監視サーバ３００が常時通信端末１００からの端末通知情報を受信し管理することによって、インターネット接続を行った通信端末１００の付与ＩＰアドレスおよび端末通知情報を転送するＩＰパケットの送信元ＩＰアドレスを把握することができる。
【００６３】
以上のように、本実施の形態によれば、付与ＩＰアドレスの検出および通知を、ＯＳやアプリケーションプログラムとは分離して行うので、通信端末１００のＯＳ変更やプログラムの削除、記憶媒体のフォーマットを行っても、通信端末１００の付与ＩＰアドレスを端末管理監視サーバ３００に通知することができる。
【００６４】
また、通信端末１００が盗難された場合であっても、ネットワークに接続すると、盗難者の意思に関わらず端末管理監視サーバ３００に付与ＩＰアドレスを通知するので、盗難通信端末１００のＩＰアドレスの特定と追跡が可能である。
【００６５】
また、通信端末１００が通知する付与ＩＰアドレスは、通信端末１００のＯＳ上で動作するアプリケーションプログラムが発信するＩＰパケットの送信元ＩＰアドレスを参照することによって検出するので、新たなプロトコルを追加することなく、自通信端末に割り当てられたＩＰアドレスを取得することができる。
【００６６】
さらに、図３に示すように、例えば、ＮＡＴやＦＷ（以下、ＮＡＴ／ＦＷ５０１という。）によってインタネットから分離されたネットワークに通信端末１００が配置され、プライベートＩＰアドレスが付与される場合であっても、通信端末１００の所属するネットワークを確定することができる。これは、端末通知情報の送信元ＩＰアドレスも含めて端末登録情報部４０２に登録するからである。つまり、ＮＡＴ／ＦＷ５０１を通過する際付与される送信元ＩＰアドレスも送信元情報として端末登録情報部４０２に登録するからである。
【００６７】
実施の形態２．
次に、本発明の第２の実施の形態について図面を参照して説明する。図４は、第２の実施の形態による端末管理監視システムの構成例を示すブロック図である。図４に示す端末管理監視システムは、通信端末１１０と、端末管理監視サーバ３１０とを備える。通信端末１１０と端末管理監視サーバ３１０とは、通信ネットワーク５００を介して接続される。なお、本実施の形態においても、通信ネットワーク５００は、ＩＰ通信を行うＩＰネットワーク（例えば、インタネット）である。また、図４では、１つの通信端末１１０を示しているが、通信端末１１０は複数であってもよい。
【００６８】
通信端末１１０は、記録媒体２０１と、アプリケーションプログラム１０１と、通信処理モジュール１０２と、送受信回路１０３と、Ｓｎｏｏｐ回路１１４と、ＮＷ発信回路１１５と、テーブル２０２とを備える。図１に示す第１の実施の形態による端末管理監視システムの通信端末１００と比べて、Ｓｎｏｏｐ回路およびＮＷ発信回路の処理が異なる。
【００６９】
端末管理監視サーバ３１０は、記憶媒体４０１と、端末管理監視モジュール３１１と、通信処理モジュール３０２と、送受信回路３０３とを備える。また、端末管理監視サーバ３１０の記憶媒体４０１は、少なくとも端末登録情報を格納するための記憶領域である端末登録情報部４０２、および端末事前登録情報を格納するための記憶領域である端末事前登録情報部４１３を有している。図１に示す第１の実施の形態による端末管理監視システムの端末管理監視サーバ３００と比べて、端末事前登録情報部４１３が追加となっている点、および端末管理監視モジュールの動作が異なる。
【００７０】
本実施の形態による端末管理監視システムは、第１の実施の形態による端末管理監視システムの機能に加えて、端末管理監視サーバが通知される端末情報に基づいて通信端末に動作指示を行い、通信端末がその動作指示に基づく制御を実現する機能を有する。ここでは、動作指示として、以下の２つを例にとって説明する。
１．通信機能の停止指示
２．通信端末の動作停止指示
【００７１】
端末管理監視サーバ３１０の端末事前登録情報部４１３は、各通信端末１００に対して、利用可能なネットワークを示す情報（ＩＰアドレスやサブネットアドレスなど）や盗難情報など、通信端末１００が現在所属するネットワークにおいて通信端末１００の利用が正当か否かが判断できる情報を事前登録情報として記憶する。事前登録情報は、予め端末管理監視サーバ３１０の端末事前登録情報部４１３に記憶しておいてもよいし、利用者からの申請に応じて随時更新してもよい。
【００７２】
端末管理監視モジュール３１１は、通信端末１１０から受信した端末通知情報および端末事前登録情報部４１３に登録されている受信した通信端末１１０の事前登録情報に基づいて、通信端末１１０が現在所属するネットワークにおいて正当に利用されているか否かを判断する。端末管理監視モジュール３１１は、例えば、端末通知情報と事前登録情報とを比較し、以下に示す条件に合致するか否かを判断する。
１．事前登録されていないＩＰアドレス（またはネットワークアドレス）を付加ＩＰアドレスとして使用している、または事前登録されていないＩＰアドレス（またはネットワークアドレス）が送信元ＩＰアドレスに付加されている
２．利用不可通信端末として登録されている
【００７３】
端末管理監視モジュール３１１は、このような条件に合致した場合、通信端末１１０に所定の動作指示を示す指示情報を送信する。端末管理監視モジュール３１１は、例えば、通信端末１１０の通信機能の停止指示を示す動作指示情報を生成し、送信データとして送信先情報とともに通信処理モジュール３０２に出力する。また、例えば、通信端末１１０の動作停止指示を示す動作指示情報を生成してもよい。なお、通信処理モジュール３０２は、入力された送信データをデータ部に格納して、送信先情報に基づいて送信先ＩＰアドレスを格納したＵＤＰ／ＩＰパケットまたはＴＣＰ／ＩＰパケットを構築し、構築したＩＰパケットを送信ＩＰパケットとして送受信回路３０３に出力する。
【００７４】
また、通信端末１１０のＮＷ発信回路１１５は、第１の実施の形態によるＮＷ発信回路１０５の機能の他に、ＵＤＰまたはＴＣＰプロトコルの受信制御機能を有し、Ｓｎｏｏｐ回路１１４を介して端末管理監視サーバ３１０から受信する動作指示情報を解読し、指定された動作指示をＳｎｏｏｐ回路１１４に対して行う。また、ＮＷ発信回路１１５は、端末管理監視サーバ３１０から動作指示情報を受信するために、受信用のＵＤＰまたはＴＣＰポートのポート番号をＳｎｏｏｐ回路１１４に指定する。ポート番号の指定は、例えば、テーブル２０２に登録することによって行ってもよいし、ＮＷ発信回路１１５がＳｎｏｏｐ回路１１４に出力するＵＤＰ／ＩＰパケットの送信元ポート番号に格納することによって行ってもよい。
【００７５】
Ｓｎｏｏｐ回路１１４は、第１の実施の形態によるＳｎｏｏｐ回路１０４の機能の他に、ＮＷ発信回路１１５宛の受信パケットを検出する機能、およびＮＷ発信回路１１５からの動作指示に従って各種制御を行う機能を有する。Ｓｎｏｏｐ回路１１４は、送受信回路１０３から入力される受信パケットのうち、宛先ポート番号がＮＷ発信回路１１５から指定されたポート番号と同一ポートを送信先ポート番号に指定しているＩＰパケットをＮＷ発信回路１１５に、それ以外を通信処理モジュール１０２に出力する。
【００７６】
また、Ｓｎｏｏｐ回路１１４は、ＮＷ発信回路１１５からの動作指示に基づき、例えば、通信処理モジュール１０２との間で受け渡すＩＰパケットの選択的フィルタリングや、通信処理モジュール１０２への連続的ジャム信号送出などを行う。なお、通信処理モジュール１０２への連続的ジャム信号送出の制御は、あたかも大量のパケットが到着しているかのように見せかけ、通信処理モジュール１０２が断続的に動作することによって通信端末１００のＣＰＵパワーを奪い、通信端末１００の動作を停止させることを目的とする制御手段の一例である。
【００７７】
次に、本実施の形態の動作について説明する。ここでは、通信端末１１０において、インタネットを利用してＴＣＰ／ＩＰ通信もしくはＵＤＰ／ＩＰ通信を行うアプリケーションプログラム１０１が動作しているものとする。アプリケーションプログラム１０１は、例えば、Ｗｅｂブラウザや、電子メールの送受信を行うプログラムである。また、テーブル２０２には、予め通信端末１１０の固有識別子情報および端末管理監視サーバ３１０のＩＰアドレスが記憶されている。
【００７８】
通信端末１１０の利用者が、アプリケーションプログラム１０１を操作すると、アプリケーションプログラム１０１は、利用者の操作に従ってインターネットへの送信データを生成する。アプリケーションプログラム１０１で生成された送信データは、通信処理モジュール１０２に出力される。この際、通信処理モジュール１０２には、送信先情報も合わせて出力される。
【００７９】
通信処理モジュール１０２は、入力された送信先情報から送信先ＩＰアドレスを割り出す。次に、入力された送信データをデータ部に格納して、割り出した送信先ＩＰアドレスを送信先ＩＰアドレス、自通信端末に割り当てられたＩＰアドレスを送信元ＩＰアドレスとするＩＰパケットを構築し、構築したＩＰパケットを送信ＩＰパケットとしてＳｎｏｏｐ回路１１４に出力する。
【００８０】
Ｓｎｏｏｐ回路１１４は、通信処理モジュール１０２から入力される送信ＩＰパケットを参照し、自通信端末に付与されたＩＰアドレスを検出する。Ｓｎｏｏｐ回路１１４は、送信ＩＰパケットから送信元ＩＰアドレスを抽出して、テーブル２０２に付与ＩＰアドレスとして登録する。
【００８１】
ＮＷ発信回路１１５は、例えば、定期的にテーブル２０２を参照し、付与ＩＰアドレスの新規登録または付与ＩＰアドレスの変更を認識すると、端末管理監視サーバ３１０への端末通知情報を作成する。ＮＷ発信回路１１５は、データ部に作成した端末通知情報を、送信先ＩＰアドレスに端末管理監視サーバ３００のＩＰアドレスを、送信元ＩＰアドレスに自通信端末１００の付与ＩＰアドレスを格納したＵＤＰ／ＩＰパケットを構築し、送信ＩＰパケットとしてＳｎｏｏｐ回路１１４に出力する。
【００８２】
なお、ＮＷ発信回路１１５は、送信ＩＰパケットを出力する時までに、端末管理監視サーバ３１０から動作指示情報を受信するためのポート番号をＳｎｏｏｐ回路１１４に指定しておく。ポート番号の指定は、予め定められたポート番号をテーブル２０２に記憶しておいてもよい。また、最初の送信ＩＰパケットの出力の際に、通信端末１１０のポートの使用状況に応じて決定し、テーブル２０２に記憶してもよいし、その都度送信ＩＰパケットの送信元ポート番号に格納してもよい。
【００８３】
Ｓｎｏｏｐ回路１１４は、ＮＷ発信回路１１５から送信ＩＰパケットが入力されると、必要に応じて通信処理モジュール１０２から入力された送信ＩＰパケットとＮＷ発信回路１１５から入力された送信ＩＰパケットとを多重化し、送受信回路１０３に出力する。また、ＮＷ発信回路１１５からポート番号を指定された場合には、指定されたポート番号を記憶する。送受信回路１０３は、Ｓｎｏｏｐ回路１１４から入力されるＩＰパケットをインタネット５００上に送出する。
【００８４】
端末通知情報を含んだＩＰパケットは、インタネット５００でルーティングされ、端末管理監視サーバ３１０に到達する。端末管理監視サーバ３１０の送受信回路３０３は、自装置宛のＩＰパケットをインタネット５００から受信し、受信ＩＰパケットとして通信処理モジュール３０２に出力する。通信処理モジュール３０２は、受信ＩＰパケットのＩＰ部を処理した後、データ部に格納された端末通知情報を抽出し、受信データとして端末管理監視モジュール３１１に送信元ＩＰアドレスとともに出力する。
【００８５】
端末管理監視モジュール３１１は、受信データとして端末通知情報を受け取ると、端末通知情報に含まれる通信端末１１０の固有識別子情報、ネットワーク情報（付与ＩＰアドレス）、および端末通知情報の送信元ＩＰアドレスを一組にして、端末登録情報部４０２に登録する。次に、端末管理監視モジュール３１１は、固有識別子を検索キーとして端末事前登録情報部４０３を参照し、端末情報を受信した通信端末１１０の利用が正当か否かを判断する。
【００８６】
端末管理監視モジュール３１１は、例えば、利用可能なＩＰアドレスを参照し、端末情報を受信した通信端末１１０の付与ＩＰアドレスまたは送信元ＩＰアドレスが登録されているかを確認する。また、例えば、盗難情報を参照し、利用不可能端末として登録されているかを確認する。端末管理監視モジュール３０１は、通信端末１１０が現在所属するネットワークにおいて利用が正当でないと判断した場合には、通信端末１１０の通信機能の停止指示を示す動作指示情報を作成し、送信データとして送信先情報とともに通信処理モジュール３０２に出力する。また、例えば、通信端末１１０の動作停止指示を示す動作指示情報を生成してもよい。なお、送信先情報には、通信端末１１０の付与ＩＰアドレスまたは通信端末１１０に到達可能なＩＰアドレス（端末通知情報の送信元ＩＰアドレス）、およびＮＷ発信回路１１５が指定するポート番号を含ませる。ＮＷ発信回路１１５が指定するポート番号は、予め定めておいてもよいし、端末通知情報の送信元情報から取得することもできる。
【００８７】
通信処理モジュール３０２は、入力された送信データをデータ部に格納して、送信先情報に基づいて送信先ＩＰアドレスを格納したＵＤＰ／ＩＰパケットまたはＴＣＰ／ＩＰパケットを構築し、構築したＩＰパケットを送信ＩＰパケットとして送受信回路３０３に出力する。送受信回路３０３は、通信処理モジュール３０２から入力されるＩＰパケットをインタネット５００上に送出する。
【００８８】
動作指示情報を含んだＩＰパケットは、インタネット５００でルーティングされ、通信端末１１０に到達する。通信端末１１０の送受信回路１０３は、自装置宛のＩＰパケットをインタネット５００から受信し、受信ＩＰパケットとしてＳｎｏｏｐ回路１１４に出力する。Ｓｎｏｏｐ回路１１４は、受信ＩＰパケットのプロトコル番号および送信先ポート番号を確認し、受信ＩＰパケットの振り分け先を判断する。Ｓｎｏｏｐ回路１１４は、受信ＩＰパケットがＵＤＰまたはＴＣＰプロトコルであって、送信先ポート番号がＮＷ発信回路１１５が指定したポート番号と一致した場合には、受信ＩＰパケットをＮＷ発信回路１１５に、それ以外の場合には通信処理モジュール１０２に出力する。ここでは、Ｓｎｏｏｐ回路１１４は、動作指示情報を含んだ受信ＩＰパケットをＮＷ発信回路１１５に出力する。
【００８９】
ＮＷ発信回路１１５は、Ｓｎｏｏｐ回路１１４から入力される受信ＩＰパケットのＩＰ処理をした後、データ部に格納されている動作指示情報を抽出する。ＮＷ発信回路１１５は、動作指示情報に基づき、Ｓｎｏｏｐ回路１１４に対し、例えば通信機能の停止指示、通信端末の動作停止指示を出す。Ｓｎｏｏｐ回路１１４への指示は、例えば、Ｓｎｏｏｐ回路１１４に接続される制御信号線に所定の信号を出力することによって行ってもよい。
【００９０】
Ｓｎｏｏｐ回路１１４は、ＮＷ発信回路１１５からの指示に従い、例えば、送受信回路１０３と通信処理モジュール１０２との間のＩＰパケットを遮断したり、または所定のポート（例えば、ＮＷ発信回路１１５が指定するポート）以外をフィルタリングしたり、通信処理モジュール１０２にジャム信号を送出したりする。このようにして、通信端末１１０の付与ＩＰアドレスおよび端末通知情報を転送するＩＰパケットの送信元ＩＰアドレスの把握と、通信端末１１０に対し通信機能の利用停止等の遠隔制御を実現することができる。
【００９１】
以上のように、本実施の形態によれば、通信端末が利用禁止のネットワークで利用された場合、または盗難登録された場合、通信機能の利用停止や通信端末の動作停止等の遠隔制御を実現することができる。つまり、通信端末を追跡できるとともに、機密事項の流出を最小限に抑えることができる。他の点に関しては、第１の実施の形態と同様である。
【００９２】
実施の形態３．
次に、本発明の第３の実施の形態について図面を参照して説明する。図５は、第３の実施の形態による端末管理監視システムの構成例を示すブロック図である。図５に示す端末管理監視システムは、通信端末１２０と、端末管理監視サーバ３２０とを備える。通信端末１２０と端末管理監視サーバ３２０とは、通信ネットワーク５００を介して接続される。本実施の形態においては、通信ネットワーク５００と通信端末１２０が属するネットワークとの境界に、プロキシ５０２が設置されているものとする。なお、本実施の形態においても、通信ネットワーク５００は、ＩＰ通信を行うＩＰネットワーク（例えば、インタネット）である。また、図５では、１つの通信端末１２０を示しているが、通信端末１２０は複数であってもよい。
【００９３】
通信端末１２０は、記録媒体２０１と、アプリケーションプログラム１０１と、通信処理モジュール１０２と、送受信回路１０３と、Ｓｎｏｏｐ回路１２４と、ＮＷ発信回路１２５と、テーブル２２２とを備える。図４に示す第２の実施の形態による端末管理監視システムの通信端末１１０と比べて、Ｓｎｏｏｐ回路およびＮＷ発信回路の処理が異なる。
【００９４】
端末管理監視サーバ３２０は、記憶媒体４０１と、端末管理監視モジュール３２１と、ＨＴＴＰ処理モジュール３２４と、通信処理モジュール３０２と、送受信回路３０３と、端末登録情報部４０２と、端末事前登録情報部４０３とを備える。図４に示す第２の実施の形態による端末管理監視サーバ３１０と比べて、ＨＴＴＰ処理モジュール３２４が追加となっている点および端末管理監視モジュールの処理が異なる。
【００９５】
本実施の形態による端末管理監視システムは、通信ネットワーク５００からプロキシ５０２を介して分離されたネットワークに通信端末１２０が接続されている場合であっても、そのプロキシを超えて端末管理監視サーバ３２０と情報交換ができるよう、端末管理監視サーバがＨＴＴＰプロトコル制御機能を有し、通信端末が、ＯＳやアプリケーションプログラムとは分離した通信制御装置において、プロキシサーバアドレスの検出機能と、ＨＴＴＰプロトコル制御機能とを有する。本実施の形態において、端末通知情報は、ＨＴＴＰプロトコルを用いて送信されるため、端末管理監視サーバは、予め端末情報を受信するためのＵＲＬ（以下、端末情報受付ＵＲＬという。）を公開しておく。端末情報受付ＵＲＬは、例えば、端末情報を受信解析するＣＧＩのＵＲＬである。
【００９６】
通信端末１２０のＳｎｏｏｐ回路１２４は、Ｓｎｏｏｐ回路１１４の機能に加えて、ＨＴＴＰプロトコルのＩＰパケットを検出する機能を有する。Ｓｎｏｏｐ回路１２４は、上位モジュールから転送される送信ＩＰパケットを解析して、通信端末１２０に付与されたＩＰアドレスを検出するとともに、その送信ＩＰパケットがＨＴＴＰプロトコルを用いたＩＰパケットである場合には、そのＩＰパケットの送信先ＩＰアドレスをプロキシサーバアドレスとして検出する。Ｓｎｏｏｐ回路１２４は、検出した付与ＩＰアドレスおよびプロキシサーバアドレスを、通信端末１２０のネットワーク情報として、テーブル２０２に記憶する。
【００９７】
ＮＷ発信回路１２５は、ＮＷ発信回路１１５の機能に加えて、ＨＴＴＰ終端機能を有する。ＮＷ発信回路１２５は、通信端末１２０の固有識別情報と、Ｓｎｏｏｐ回路１２４が検出したネットワーク情報（ここでは、付与ＩＰアドレスとプロキシサーバアドレス）とを含む端末通知情報をＨＴＴＰ終端する。ここで、ＨＴＴＰ終端（送信時）とは、送信したデータを通知可能なＨＴＴＰ形式データに変換することをいう。ＮＷ発信回路１２５は、例えば、ＰＯＳＴコマンドを用い手端末通知情報を通知するようなＨＴＴＰ形式の送信データを構築する。このＨＴＴＰ形式データのＵＲＬには、端末管理監視サーバ３２０が提供する端末情報受付ＵＲＬを指定する。ＮＷ発信回路１２５は、ＨＴＴＰ終端したデータをデータ部、送信先ＩＰアドレスをプロキシサーバアドレスとするＩＰパケットを構築し、Ｓｎｏｏｐ回路１２４に出力する。
【００９８】
また、ＮＷ発信回路１２５は、Ｓｎｏｏｐ回路１１４を介して端末管理監視サーバ３１０から受信するＩＰパケットに対し、ＨＴＴＰ終端処理を行った後、ＨＴＴＰデータとして格納されている通知情報を解読する。ここでいうＨＴＴＰ終端（受信）とは、ＴＣＰ／ＩＰプロトコルおよびＨＴＴＰプロトコルの受信制御を行い、受信したＩＰパケットからＨＴＴＰデータ（ＨＴＴＰフォーマットにおけるデータ部に格納されている情報）を抽出することをいう。
【００９９】
端末管理監視サーバ３２０の端末管理監視モジュール３２１は、通信端末１２０からの端末通知情報を、ＨＴＴＰ処理モジュール３２４を介して受信する。端末通知情報を受け取ると、端末通知情報に含まれる通信端末１１０の固有識別子情報、ネットワーク情報（付与ＩＰアドレスとプロキシサーバアドレス）、および端末通知情報の送信元ＩＰアドレスを一組にして、端末登録情報部４０２に登録する。
【０１００】
また、端末管理監視モジュール３２１は、通信端末１２０が現在所属するネットワークにおいて通信端末１２０の利用が正当でないと判断した場合には、所定の動作指示情報を生成し、送信データとして送信先情報とともにＨＴＴＰ処理モジュール３２４に出力する。
【０１０１】
ＨＴＴＰ処理モジュール３２４は、ＨＴＴＰ通信を行うためのプロトコル制御を行うプログラムである。ＨＴＴＰ処理モジュール３２４は、例えば、上位アプリケーション（ここでは、端末管理監視モジュール３２１）から入力される送信データをＨＴＴＰ形式の送信データに変換し、通信処理モジュール３０２に出力する。また、通信処理モジュール３０２から入力されるＨＴＴＰ形式の受信データを終端し、例えば、ＵＲＬによって指定される所定の動作を行う。ＨＴＴＰ処理モジュール３２４は、端末情報受付ＵＲＬを宛先とする受信データを入力された場合には、例えばＵＲＬが指定するＣＧＩの処理において、受信した端末通知情報を端末管理監視モジュール３２１に出力する。
【０１０２】
次に、本実施の形態の動作について説明する。ここでは、通信端末１２０において、インターネットを利用してＨＴＴＰ通信を行うアプリケーションプログラム１０１が動作しているものとする。アプリケーションプログラム１０１は、例えば、Ｗｅｂブラウザのプログラムである。また、テーブル２０２には、予め通信端末１２０の固有識別子情報および端末管理監視サーバ３２０が提供する端末情報受付ＵＲＬが記憶されている。
【０１０３】
通信端末１２０の利用者が、アプリケーションプログラム１０１を操作すると、アプリケーションプログラム１０１は、利用者の操作に従ってインターネットへの送信データを生成する。アプリケーションプログラム１０１で生成された送信データは、アプリケーションプログラム１０１が備えるＨＴＴＰ処理モジュールにて、ＨＴＴＰ形式に変換され、通信処理モジュール１０２に出力される。この際、通信処理モジュール１０２には、送信先情報も合わせて出力される。
【０１０４】
通信処理モジュール１０２は、入力された送信先情報から送信先ＩＰアドレスを割り出す。次に、入力されたＨＴＴＰ形式データをデータ部に格納して、割り出した送信先ＩＰアドレスを送信先ＩＰアドレス、自通信端末に割り当てられたＩＰアドレスを送信元ＩＰアドレスとするＩＰパケットを構築し、構築したＩＰパケットを送信ＩＰパケットとしてＳｎｏｏｐ回路１２４に出力する。
【０１０５】
Ｓｎｏｏｐ回路１２４は、通信処理モジュール１０２から入力される送信ＩＰパケットを参照し、自通信端末に付与されたＩＰアドレスを検出する。Ｓｎｏｏｐ回路１１４は、送信ＩＰパケットから送信元ＩＰアドレスを抽出して、テーブル２０２に付与ＩＰアドレスとして登録する。また、送信ＩＰパケットがＨＴＴＰ形式か否かを判断し、ＨＴＴＰ形式である場合には、その送信先ＩＰアドレスをプロキシサーバアドレスとしてテーブル２０２に登録する。Ｓｎｏｏｐ回路１２４は、例えば、送信ＩＰパケットのデータ部に、”ＨＴＴＰ””http”の文字列が含まれているか否かによって判断する。
【０１０６】
この際、ＨＴＴＰ形式データを有する送信ＩＰパケットの送信先ＩＰアドレスが固定的ではない場合には、Ｓｎｏｏｐ回路１２４はプロキシが存在しないと判断し、テーブル２０２にノープロキシの旨を登録する。なお、Ｓｎｏｏｐ回路１２４が参照した送信ＩＰパケットは、ＮＷ発信回路１０５に出力され、インタネット５００上に送出される。
【０１０７】
ＮＷ発信回路１２５は、例えば、定期的にテーブル２０２を参照し、ネットワーク情報の新規登録またはネットワーク情報の変更を認識すると、端末管理監視サーバ３２０への端末通知情報を作成する。既に説明したように、端末通知情報には、通信端末１２０の固有識別子情報と付与ＩＰアドレスとプロキシサーバアドレスとが含まれる。ＮＷ発信回路１２５は、ＵＲＬを端末管理監視サーバ３２０が提供する端末情報受付ＵＲＬとするＨＴＴＰ形式の端末通知情報に変換し、変換したＨＴＴＰ形式の端末通知情報をデータ部に有するＩＰパケットを構築する。この際、送信元ＩＰアドレスには自通信端末のＩＰアドレス、送信先ＩＰアドレスにはプロキシサーバアドレスを登録する。なお、ノープロキシの旨が登録されていた場合には、送信先ＩＰアドレスは端末管理監視サーバ３２０のＩＰアドレスと一致させる。ＮＷ発信回路１２５は、作成したＩＰパケットを送信ＩＰパケットとしてＳｎｏｏｐ回路１２４に出力する。
【０１０８】
なお、ＮＷ発信回路１２５から出力された送信ＩＰパケットは、Ｓｎｏｏｐ回路１２４において通信処理モジュール１０２から出力される送信ＩＰパケットと多重化され、ＮＷ発信回路１０５に転送され、インタネット５００上に送出される。
【０１０９】
端末通知情報を含んだＩＰパケットは、インタネット５００でルーティングされ、端末管理監視サーバ３２０に到達する。端末管理監視サーバ３２０の送受信回路３０３は、自装置宛のＩＰパケットをインタネット５００から受信し、受信ＩＰパケットとして通信処理モジュール３０２に出力する。
【０１１０】
通信処理モジュール３０２は、受信ＩＰパケットのＴＣＰ／ＩＰ終端処理を行い、データ部に格納されたＨＴＴＰ形式の端末通知情報を、送信元情報とともにＨＴＴＰ処理モジュール３２４に出力する。ＨＴＴＰ処理モジュール３２４は、ＨＴＴＰ終端処理を行い、端末通知情報を抽出し、送信元情報とともに端末管理監視モジュール３２１に出力する。
【０１１１】
端末管理監視モジュール３２１は、端末通知情報に含まれる通信端末１２０の固有識別子情報、ネットワーク情報（付与ＩＰアドレス、プロキシサーバアドレス）、および端末通知情報の送信元ＩＰアドレスを一組にして、端末登録情報部４０２に登録する。
【０１１２】
次に、端末管理監視モジュール３２１は、受信した端末通知情報および送信元ＩＰアドレスに基づいて、通信端末１２０が現在所属するネットワークにおいて正当利用されているか否かを判断する。通信端末１２０が現在所属するネットワークにおいて通信端末１２０の利用が正当でないと判断した場合には、所定の動作指示情報を生成し、送信データとして送信先情報とともにＨＴＴＰ処理モジュール３２４に出力する。
【０１１３】
ＨＴＴＰ処理モジュール３２４は、送信データとして受け取った動作指示情報に対して、ＨＴＴｐ終端処理を行い、通信処理モジュール３０２に出力する。通信処理モジュール３０２は、データ部にＨＴＴＰ処理モジュール３２４から入力される送信データを、送信先ＩＰアドレスに通信端末１２０のＩＰアドレスまたは通信端末１２０に到達可能なＩＰアドレスを、送信元ＩＰアドレスに端末管理監視サーバ３２０のＩＰアドレスを格納したＩＰパケットを構築し、送受信回路３０３に出力する。送受信回路３０３は、通信処理モジュール３０２から入力されるＩＰパケットをインタネット５００上に送出する。
【０１１４】
動作指示情報を含んだＩＰパケットは、インタネット５００でルーティングされ、通信端末１２０に到達する。通信端末１１０の送受信回路１０３は、自装置宛のＩＰパケットをインタネット５００から受信し、受信ＩＰパケットとしてＳｎｏｏｐ回路１２４に出力する。Ｓｎｏｏｐ回路１２４は、受信ＩＰパケットの振り分け先を判断し、ここでは、動作指示情報を含んだ受信ＩＰパケットをＮＷ発信回路１２５に出力する。
【０１１５】
ＮＷ発信回路１２５は、受信ＩＰパケットのＴＣＰ／ＩＰを終端し、さらにＨＴＴＰ終端処理を行い、ＨＴＴＰ形式のデータから動作指示情報を取得する。ＮＷ発信回路１２５は、動作指示情報に基づき、Ｓｎｏｏｐ回路１２４に対し、例えば通信機能の停止指示、通信端末の動作停止指示を出す。Ｓｎｏｏｐ回路１２４は、ＮＷ発信回路１２５からの指示に従い、各種制御を実行する。
【０１１６】
以上のように、本実施の形態によれば、端末管理監視サーバが接続されている通信ネットワークからプロキシを介して分離されたネットワークに通信端末が接続され、プライベートＩＰアドレスを付与されていても、通信端末の所属するネットワークを確定することができる。これは、ＮＷ発信回路１２５から発信されるＩＰパケットがプロキシ５０２を通過する際付与されたグローバルＩＰアドレスも送信元情報として、端末管理監視モジュール３２１に通知され、端末登録情報部４０２に登録されるからである。他の点に関しては、第２の実施の形態と同様である。
【０１１７】
実施の形態４．
次に、本発明の第４の実施の形態について図面を参照して説明する。図６は、第４の実施の形態による端末管理監視システムの構成例を示すブロック図である。図６に示す端末管理監視システムは、通信端末１３０と、端末管理監視サーバ３３０とを備える。通信端末１３０は、例えば、インタネットなどのＩＰ通信を行う第１の通信ネットワーク５００に接続されている。また、通信端末１３０と端末管理監視サーバ３３０とは、第１の通信ネットワーク５００以外のネットワーク（以下、第２の通信ネットワーク６００）を介して接続されていてもよい。第２の通信ネットワーク６００とは、例えば、ＰＨＳネットワークや携帯ネットワークである。
【０１１８】
本実施の形態において、通信端末１３０は、第２の通信ネットワーク６００に対してＩＰパケットの送受信を行う第２の送受信回路１３６を備える。従って、第１の実施の形態では、ＮＷ発信回路１０５が送信ＩＰパケットをＳｎｏｏｐ回路１０４に出力していたが、本実施の形態では、第２の送受信回路１３６に出力する。第２の送受信回路１３６は、ＮＷ発信回路１０５から入力される送信ＩＰパケットを、第２の通信ネットワーク６００に送出する。
【０１１９】
また、端末管理監視サーバ３３０の送受信回路３３３は、第２の通信ネットワーク６００を介してＩＰパケットを送受信する。
【０１２０】
また、第１の実施の形態では、Ｓｎｏｏｐ回路１０４がＮＷ発信回路１０５からの送信ＩＰパケットを多重化して送受信回路１０３に出力していたが、本実施の形態では、その機能は不要である。
【０１２１】
以上のように、本実施の形態によれば、アプリケーションプログラム１０１が利用する通信路とは異なる通信路で、端末通知情報を送信することができるので、端末通知情報の送信を検出される可能性が低くなる。
【０１２２】
なお、第２の通信ネットワーク６００を介して通信端末と端末管理監視サーバ間の情報伝達を行う仕組みは、第１の実施の形態による端末管理監視システムだけでなく、第２，３の実施の形態による端末管理監視システムにおいても実施可能である。
【産業上の利用可能性】
【０１２３】
本発明は、通信端末が通信ネットワークに接続された場合の利用状況の把握を行うシステムや、その利用状況に応じて利用を制限するシステムに好適に適用できる。
【図面の簡単な説明】
【０１２４】
【図１】第１の実施の形態による端末管理監視システムの構成例を示すブロック図である。
【図２】第１の実施の形態による端末管理監視システムにおける通信端末の動作例を示す流れ図である。
【図３】第１の実施の形態による端末管理監視システムの他の構成例を示すブロック図である。
【図４】第２の実施の形態による端末管理監視システムの構成例を示すブロック図である。
【図５】第３の実施の形態による端末管理監視システムの構成例を示すブロック図である。
【図６】第４の実施の形態による端末管理監視システムの構成例を示すブロック図である。
【図７】盗難ＰＣ監視システムの構成例を示すブロック図である。
【符号の説明】
【０１２５】
１００  通信端末
１０１  アプリケーションプログラム
１０２  通信処理モジュール
１０３  送受信回路
１０４  Ｓｎｏｏｐ回路
１０５  ＮＷ発信回路
２０１  記録媒体
２０２  テーブル
３００  端末管理監視サーバ
３０１  端末管理監視モジュール
３０２  通信処理モジュール
３０３  送受信回路
４０１  記憶媒体
４０２  端末登録情報部
５００  通信ネットワーク
５０１  ＮＡＴ／ＦＷ
３２４  ＨＴＴＰ処理モジュール
４２３  端末事前登録情報部
５０２  プロキシ
６００  第２の通信ネットワーク
１３６  第２の送受信回路
【図１】
2007193599.tif 000003
【図２】
2007193599.tif 000004
【図３】
2007193599.tif 000005
【図４】
2007193599.tif 000006
【図５】
2007193599.tif 000007
【図６】
2007193599.tif 000008
【図７】
2007193599.tif 000009