JP5170982B2 - 入退室情報装置 - Google Patents

Description

本発明は、入退室情報装置に係り、特に、所定領域におけるユーザの入退室を管理する入退室管理装置から取得した入退室情報に基づいて、領域におけるユーザの在室状態を管理する入退室情報装置に関する。

機密情報を扱うことの多い企業や、企業内の特定の部署などでは、機密情報を扱う従事者の入退室を管理する入退室管理システムを適用することで、機密情報の漏洩を事前に防止するようにしている。

一般に入退室管理システムは、ユーザに与えられたＩＣ（Integrated Circuit）カードに組み込まれたユーザＩＤ（IDentification）や、生体情報（指紋、虹彩、声紋など）といった、ユーザを一意に特定する情報を用いて入退室管理用のホストコンピュータにより個人認証を行い、登録された正当なユーザであることが認証された場合に、施錠された入退室用のドアを解錠することで、機密情報を扱う高度セキュリティレベル領域内への入室を許可する、というような管理を行っている。

ところで、上述した機密情報は、入退室管理システムとは別のネットワークにて構築された機密情報管理システムによって管理がなされており、入退室管理がなされている領域内に設置された情報端末装置から機密情報管理用のホストコンピュータへのアクセスに応じて利用可能となる。この機密情報管理用のホストコンピュータへアクセスする場合には、上述した入退室管理システムにおける個人認証と同様の認証処理が要求されることになる。

そこで、このような入退室管理システムと、機密情報管理システムとの連携が求められており、機密情報を扱う領域内への入退室時の認証処理と、入室後の情報端末装置の使用開始時の認証処理とを関連付ける手法が考案されている（例えば、特許文献１、特許文献２参照。）。

また、最近では、個人情報保護法の法制度化等に代表されるように、セキュリティに対する関心がますます高まっている。このような背景を受けて、入退室管理システムは、上述した機密情報管理システムとの連携などを始め、その規模をより大きなものとしつつある。
特開２０００−２５９８７８号公報 特開２００２−４１４６９号公報

ところで、このような入退室管理システムと、機密情報管理システムとの連携を上位システムによって行う場合、入退室管理システムによって管理されるユーザの在室状態は、機密情報管理システムによるネットワーク認証を行う上でも重要なものとなる。すなわち、これらの各システムを連携する上位システムは、入退室管理システムが管理するユーザの在室状態、すなわち、現在の在室状態を確実に把握している必要があるが、従来の手法では、このような点を十分に考慮したシステムが構築されていなかったという問題がある。

本発明は、このような事情に鑑みてなされたものであり、その目的は、所定領域におけるユーザの入退室を管理する入退室管理装置から取得した入退室情報に基づいて、領域におけるユーザの在室状態を管理する入退室情報管理装置において、通信異常等により、入退室管理装置との間でリアルタイムに在室状態の状態を合わせることが不可能な事態が生じたとしても、入退室管理装置と、自己との在室情報の状態の整合性を図ることを可能とすることである。

かかる課題を解決するために、第１の発明は、ユーザを一意に特定する被認証情報に基づいた認証処理結果に応じて、所定領域におけるユーザの入退室を管理する入退室管理装置から、領域におけるユーザの入退室に関する情報を入退室情報として取得し、この取得した入退室情報に基づいて、領域におけるユーザの在室状態を管理する入退室情報装置を提供する。この入退室情報装置は、在室状態記憶部と、生存確認部と、通信制御部と、状態合わせ部とを有している。ここで、在室状態記憶部は、入退室管理装置から取得した入退室情報に応じた、領域におけるユーザの在室状態を記憶する。生存確認部は、入退室管理装置との通信が不可能なことを検出する。通信制御部は、入退室管理装置との間における通信接続を確立する。状態合わせ部は、生存確認部によって入退室管理装置との通信が不可能なことが検出された以降に、通信制御部によって入退室管理装置との間に通信可能な接続が確立された場合、入退室管理装置との通信が不可能となっていた期間に遡った入退室情報を、入退室管理装置に対して要求する。

また、第１の発明の入退室情報装置は、入退室管理装置から入退室情報を取得した時刻を取得時刻として記憶する取得ログ記憶部をさらに有していてもよい。この場合、状態合わせ部は、取得ログ記憶部を検索することにより、直近に取得した入退室情報の取得時刻を特定し、この特定された取得時刻を状態合わせ時刻として設定し、この設定された状態合わせ時刻以降に該当する入退室情報を、入退室管理装置に対して要求することが望ましい。

また、第1の発明において、状態合わせ部は、予め設定された基準期間まで遡った上限時刻と、状態合わせ時刻とを比較し、上限時刻よりも状態合わせ時刻の方が時間的に前に存在する場合には、上限時刻以降に該当する入退室情報を、入退室管理装置に対して要求してもよい。

また、第１の発明において、通信制御部は、生存確認部によって入退室管理装置との通信が不可能と検出された場合に、入退室管理装置との間に確立されていた通信接続を切断した後に、入退室管理装置に対して新たな通信接続の確立を要求することが好ましい。

さらに、第１の発明において、入退室管理装置は、それぞれが異なる領域におけるユーザの入退室を管理する複数の入退室管理装置で構成されていてもよい。この場合、通信制御部は、生存確認部によって、複数の入退室管理装置のうち少なくとも一つの入退室管理装置との通信が不可能なことが検出された場合、複数の入退室管理装置との間にそれぞれ確立されていた通信接続を切断した後に、複数の入退室管理のそれぞれに対して新たな通信接続の確立を要求する。そして、状態合わせ部は、通信制御部によって、複数の入退室管理装置のそれぞれとの間に通信可能な接続が確立された場合、複数の入退室管理装置のうち少なくとも一つの入退室管理装置との通信が不可能だった期間に遡った入退室情報を、複数の入退室管理装置のそれぞれに対して要求することが望ましい。

本発明によれば、通信が不可能な間に入退室管理装置において管理されている入退室情報を、入退室情報装置側で取得することが可能となる。そのため、領域におけるユーザの現在の在室状態と、入退室情報装置側で管理している在室状態との整合を図ることが可能となる。

また、本発明によれば、複数の入退室管理装置を入退室情報装置で管理する場合であっても、入退室情報を不足して取得するといった事態の発生を抑制することができる。これにおり、個々の領域におけるユーザの現在の在室状態と、入退室情報装置側で管理している在室状態との整合を図ることが可能となる。

図１は、本発明の第１の実施形態にかかるネットワーク管理システムの構成を示すブロック図である。ネットワーク管理システム１は、設備系システム１０と、ネットワーク認証システム２０とが連携制御装置３０によって相互に接続されて構成されている。

設備系システム１０は、セキュリティレベルの低い領域（低度セキュリティレベル領域）から、機密情報などを扱うセキュリティレベルの高い領域（高度セキュリティレベル領域）への入退室を管理する入退室管理装置である。

ネットワーク認証システム２０は、設備系システム１０で管理される高度セキュリティレベル領域内に構築されたネットワークである。ネットワーク認証システム２０では、例えば、機密情報などを管理しており、認証されたユーザに対してのみ、ネットワークに接続された情報端末装置からのログオンを認め、機密情報へのアクセスを許可する。

設備系システム１０としては、上述した低度セキュリティレベル領域から、高度セキュリティレベル領域への出入を管理する形態であればどのようなものであってもよいが、例えば、図１に示すように、高度セキュリティレベル領域と低度セキュリティレベル領域とを扉などで隔て、認証処理に応じて各領域への移動を認める設備系システムを適用することができる。

設備系システム１０は、高度セキュリティレベル領域への入室を希望するユーザ全てに対して認証処理を行い、あらかじめ登録された正当なユーザのみを認証して高度セキュリティレベル領域への入室を許可する。また、設備系システム１０は、高度セキュリティレベル領域から退室を希望するユーザに対して認証処理を行い、高度セキュリティレベル領域からの退室を許可する。低度セキュリティレベル領域と、高度セキュリティレベル領域とは、電気的な作用により施錠、解錠することができる電気錠を備える扉（ドア）によって隔てられている。

具体的には、設備系システム１０は、高度セキュリティレベル領域外に設けられた入室用カードリーダ１１により、ユーザが所有する、例えば非接触のＩＣカード（Integrated Circuit）２の半導体メモリ内に格納された情報を読み取る。この読み取った情報のうちの被認証情報であるカードＩＤに基づき正当なユーザであると認証された場合に、入退室コントロールユニット１３の制御により施錠されていた電気錠を解錠することで、高度セキュリティレベル領域への入室が許可される。

また、設備系システム１０は、高度セキュリティレベル領域からの退室時には、高度セキュリティレベル領域内に設けられた退室用カードリーダ１２により、ＩＣカード２の上述した情報を読み取る。この読み取った情報のうちの被認証情報であるカードＩＤに基づき正当なユーザであると認証された場合に、入退室コントロールユニット１３の制御により施錠されていた電気錠を解錠することで、高度セキュリティレベル領域からの退室が許可される。

設備系システム１０は、このような認証処理により、施錠された電気錠を解錠する場合には、ユーザが所有するＩＣカード２に格納された情報のうち、ＩＣカード２を一意に特定するカードＩＤと、解錠した扉に固有の扉ＩＤと、入室か退室かを示す情報と、入退室操作が行われた時刻（すなわち、電気錠が解錠された時刻）を示す入退室時刻とを入退室情報として入退室コントロールユニット１３から後述する連携制御装置３０に送信する。また、入退室コントロールユニット１３が備える図示しない入退室ログ記憶部には、ユーザによって入退室操作が行われる度に、これらの入退室情報が順次記憶される。入室か退室かを示す情報は、例えば、入室用カードリーダ１１又は退室用カードリーダ１２をそれぞれ一意に特定する機器ＩＤで示すようにしてもよい。

ネットワーク認証システム２０は、高度セキュリティレベル領域内に構築され、端末装置２１ｎ（ｎは、自然数。）からのネットワークへの接続を、認証装置２２および認証サーバ２３による認証処理に応じて許可する。なお、以下の記載において、個別の端末装置２１ｎのみならず、複数の端末装置２１ｎを総称する場合も、端末装置２１ｎという。

具体的には、ネットワーク認証システム２０は、ＩＥＥＥ（米国電気電子技術者協会）８０２．１Ｘで策定されたＬＡＮ（Local Area Network）スイッチや無線ＬＡＮアクセス・ポイントに接続するユーザを認証する技術を用いて、端末装置２１ｎからのアクセス要求であるネットワーク接続要求に応じた認証処理を行う。ＩＥＥＥ８０２．１Ｘは、ＬＡＮの利用の可否を制御するＥｔｈｅｒｎｅｔ（登録商標）上のプロトコルである。また、ユーザの認証には、認証用プロトコルとしてＲＡＤＩＵＳ（Remote Authentication Dial-In-User-Service）を用いた通信により、認証すべきユーザを集中管理することができるＲＡＤＩＵＳサーバが用いられる。

端末装置２１ｎは、高度セキュリティレベル領域に入室したユーザによって使用可能な、いわゆるＰＣ（Personal Computer）であり、認証装置２２、認証サーバ２３と情報のやり取りをし、ネットワークへの接続を要求するためのサプリカントと呼ばれる認証クライアント・ソフトウェアを保持している。

認証装置２２は、複数の端末装置２１ｎに対して有線又は無線で接続され、認証サーバ２３と端末装置２１ｎとの認証処理を中継する中継装置として機能する。認証装置２２は、ＲＡＤＩＵＳサーバに対するＲＡＤＩＵＳクライアントとして機能し、ＲＡＤＩＵＳサーバとの通信には、認証用プロトコルとしてＲＡＤＩＵＳを用いた通信を行う。認証装置２２は、認証装置２２ａ、２２ｂのような、ＩＥＥＥ８０２．１Ｘ、ＲＡＤＩＵＳに対応したＬＡＮスイッチや無線ＬＡＮアクセス・ポイントなどであり、認証サーバ２３と連携してポート毎に端末装置２１ｎをネットワークへ接続する。

認証サーバ２３は、ＲＡＤＩＵＳ認証におけるＲＡＤＩＵＳサーバであり、端末装置２１ｎを介して、ネットワークへの接続を要求するユーザに関する情報を保持する図示しないユーザ情報記憶部を備え、ＲＡＤＩＵＳクライアントである認証装置２２を介して端末装置２１ｎの認証処理を行い、認証結果に応じてネットワークへの接続の可否を通知する。認証サーバ２３が備える図示しないユーザ情報記憶部は、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤとアカウントＩＤに対応するパスワードを保持している。

ネットワーク認証システム２０による実際の認証手順は、ＥＡＰ（Extensible Authentication Protocol）によって規定される。ネットワーク認証システム２０では、ＩＥＥＥ８０２．１Ｘで使用できる様々なＥＡＰ、例えば、ＥＡＰ−ＭＤ５（ＥＡＰ−Message Digest alogorithm5）、ＰＥＡＰ（Protected-ＥＡＰ）といった認証処理にユーザＩＤ（アカウントＩＤ）とパスワードとを入力することが要求されるＥＡＰや、デジタル電子証明書を使って認証するＥＡＰ−ＴＬＳ（EAP-Transport Layer Security）などを利用できる。

図２は、連携制御装置３０のシステム構成を示すブロック図である。連携制御装置３０は、外部システムＩ／Ｆ（インターフェース）３１と、情報変換部３２と、内部データベース３３と、ネットワークＩ／Ｆ（インターフェース）３４と、ＲＡＤＩＵＳ認証部３５と、認証処理部３６と、認証状態制御部３７と、情報管理部３８と、認証ログ記憶部３９と、取得ログ記憶部４０と、生存確認部４１と、状態合わせ部４３と、通信制御部４２とを備えている。

連携制御装置３０は、ネットワーク認証システム２０の認証装置２２と認証サーバ２３との間で、認証処理時にやり取りされる認証用のパケットを経由するように設けられ、設備系システム１０とネットワーク認証システム２０とを連携制御する。

連携制御装置３０は、設備系システム１０から送信される情報を用いて、低度セキュリティレベル領域から高度セキュリティレベル領域への移動などといった設備系システム１０におけるユーザの出入状態（在室状態）の変化を把握し、このユーザの出入状態の変化に応じて、端末装置２１ｎから認証装置２２を介して認証サーバ２３へとアクセス要求として送信される認証用のパケットであるネットワーク認証要求を通過させるのか、それとも通過させずに認証サーバ２３での認証の事前に拒否してしまうのかを判断することができる。

また、連携制御装置３０は、ユーザがネットワークへの接続が既に認証されている状態において、設備系システム１０から送信される情報を利用して、高度セキュリティレベル領域から低度セキュリティレベル領域への移動などといった設備系システム１０におけるユーザの出入状態の変化を把握し、このユーザの出入状態の変化に応じて、強制的に再認証要求を行い、認証結果に応じて認証拒否や接続されたネットワークを切断するよう制御することができる。

外部システムＩ／Ｆ３１は、設備系システム１０と当該連携制御装置３０とを接続するための通信インターフェースである。外部システムＩ／Ｆ３１を介した設備系システム１０と連携制御装置３０との通信は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）などの通信規格を利用することができる。また、外部システムＩ／Ｆ３１を介した設備系システム１０と連携制御装置３０との通信は、ＴＣＰ／ＩＰベースの通信に限らず、非ＩＰのフィールドバスなどを利用することもできる。

情報変換部３２は、外部システムＩ／Ｆ３１を介して、連携制御装置３０に入力された情報を所定のデータ形式に変換して内部データベース３３へ格納させる。

内部データベース３３は、連携制御装置３０で利用する各種情報を記憶するデータベースであり、ユーザ毎に定義された静的な情報を記憶するユーザ情報記憶部３３Ａと、ユーザの現在の状態を示す動的な情報を記憶する認証状態記憶部３３Ｂと、設備系システム１０やネットワーク認証システム２０に関連して定義された静的な情報を記憶するシステム情報記憶部３３Ｃとを備えている。

ユーザ情報記憶部３３Ａは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、あらかじめ登録されたユーザが保持しているＩＣカード２のカードＩＤと、このユーザがネットワーク認証された際に、認証を維持できる時間を示した滞在可能時間情報とを関係付けて記憶している。ユーザ情報記憶部３３Ａに記憶された情報は、静的情報であり、一旦設定されると新たなユーザ登録やシステム変更などがあるまで変更されず保持される。ユーザ情報記憶部３３Ａの情報の更新処理は、後述する情報管理部３８にて実行される。

図３は、ユーザ情報記憶部３３Ａで記憶保持している情報とその内容との一例を示す説明図である。カードＩＤは、設備系システム１０の出入時に使用されるＩＣカード２のカードＩＤである。情報変換部３２は、設備系システム１０からカードＩＤを通知された場合に、ユーザ情報記憶部３３Ａを参照することでアカウントＩＤを取得し、このアカウントＩＤに基づき認証状態記憶部３３Ｂの更新処理などを実行する。また、１人のユーザが、ＩＣカード２を複数枚所持している場合もあるため、このカードＩＤは、一つのアカウントＩＤに対して複数登録される場合もある。

滞在可能時間情報は、このアカウントＩＤで特定されるユーザに与えられた、ネットワーク認証を維持することが認められた時間を示す情報である。この滞在可能時間情報は、ネットワークの再認証時に、ユーザが現在までどれだけネットワークを使用したかを示す時間情報と比較され、ネットワーク使用時間が、滞在可能時間を超えた場合には、ネットワークへの再認証要求が無効とされる。ユーザが現在までどれだけネットワークを使用したかを示す時間情報は、認証状態記憶部３３Ｂに記憶されているネットワーク認証が許可された時刻を示す後述する認証時刻情報から認証処理部３６によって求められる。

認証状態記憶部３３Ｂは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、滞在中領域番号情報と、入り時刻情報と、認証時刻情報と、認証装置ＩＤと、認証装置ポート番号情報とを関係付けて記憶している。認証状態記憶部３３Ｂに記憶される情報は、動的情報であり、設備系システム１０で管理されているユーザの出入状態、ネットワーク認証システム２０で管理されているユーザのネットワーク認証状態などに応じて情報変換部３２、認証処理部３６により随時更新されていく。

図４は、認証状態記憶部３３Ｂに記憶される情報とその内容との一例を示す説明図である。滞在中領域番号情報は、ユーザが、現在、滞在しているセキュリティレベル領域、例えば、高度セキュリティレベル領域、低度セキュリティレベル領域を特定する番号情報である。設備系システム１０の各セキュリティレベル領域は、それぞれを一意に特定する識別番号が付与されている。情報変換部３２は、設備系システム１０において状態変化、すなわち、入退室操作を伴うセキュリティレベル領域間のユーザの移動があった際に通知される情報から、ユーザが現在どのセキュリティレベル領域にいるのかを特定して、そのセキュリティレベル領域を示す領域番号情報を滞在中領域番号情報として、認証状態記憶部３３Ｂに記憶させる。換言すれば、この滞在中領域番号情報を参照することにより、セキュリティレベル領域におけるユーザの在室状態を把握することができる。

例えば、設備系システム１０では、状態変化があった場合に、入退室コントロールユニット１３から入室扉ＩＤ又は退室扉ＩＤが送信される。情報変換部３２は、この入室扉ＩＤ又は退室扉ＩＤを用いて、後述するシステム情報記憶部３３Ｃに入室扉ＩＤ、退室扉ＩＤと関係付けて記憶されているセキュリティレベル領域を特定する領域番号情報を取得し、この領域番号情報を滞在中領域番号情報として、認証状態記憶部３３Ｂに書き込む。ユーザ状態記憶部３３Ｂに滞在中領域番号情報は、これが記憶されることにより、この滞在中領域番号情報に対応する高度セキュリティレベル領域に対して、ユーザが在室状態であることを意味する。

入り時刻情報は、滞在中領域番号情報として示されるセキュリティレベル領域での滞在が開始された時刻を示している。例えば、設備系システム１０では、状態変化があった場合に、入退室コントロールユニット１３から入退室時刻を含む入退室情報が送信される。情報変換部３２は、この入退室時刻を入り時刻情報として、認証状態記憶部３３Ｂに書き込む。

認証時刻情報は、ユーザのネットワーク認証が許可された時刻を示している。認証処理部３６は、ネットワーク再認証時に、この認証時刻情報から、ユーザのネットワーク利用時間を求め、このネットワーク利用時間と、ユーザ毎に規定されている滞在可能時間情報又はセキュリティレベル領域毎に規定されている滞在可能時間情報との比較に使用する。

認証装置ＩＤは、ネットワーク認証要求を送信したユーザが端末装置２１ｎを介して接続している認証装置２２のＩＰアドレスを示している。この認証装置ＩＤは、ＳＮＭＰによる強制切断処理時に使用される。

認証装置ポート番号情報は、ネットワーク認証要求を送信したユーザが端末装置２１ｎを介して接続している認証装置２２のポート番号を示している。この認証装置ポート番号情報は、ＳＮＭＰによる強制切断処理時に使用される。

システム情報記憶部３３Ｃは、設備系システム１０の各セキュリティレベル領域をそれぞれ一意に特定するための識別番号である領域番号情報毎に、入室扉ＩＤと、退室扉ＩＤと、利用可能時刻情報と、滞在可能時間情報と、認証装置ＩＤとを関係付けて記憶している。システム情報記憶部３３Ｃに記憶された情報は、静的情報であり、一旦設定されるとシステム変更などがあるまで変更されずに保持される。システム情報記憶部３３Ｃの情報更新処理は、後述する情報管理部３８にて実行される。

図５は、システム情報記憶部３３Ｃで記憶保持している情報とその内容との一例を示す説明図である。入室扉ＩＤ、退室扉ＩＤは、設備系システム１０のように扉によってセキュリティレベル領域が隔てられている設備系システム１０に対応するために用意されている。

入室扉ＩＤは、設備系システム１０に設けられた入口扉のＩＤであり、入口扉と１対１で対応している設備系システム１０の入室用カードリーダ１１のＩＤを使用する。退室扉ＩＤは、設備系システム１０に設けられた出口扉のＩＤであり、出口扉と１対１で対応している設備系システム１０の退室用カードリーダ１２のＩＤを使用する。入室扉ＩＤ、退室扉ＩＤは、セキュリティレベル領域に設けられている扉の数に応じて、複数設定することができる。

利用可能時刻情報は、このセキュリティレベル領域にて、ネットワークの利用が許可されている時間帯を示す情報である。具体的には、利用可能時刻情報は、ネットワークの利用が許可されている開始時刻情報と、終了時刻情報とを対にした時刻情報である。この利用可能時刻情報は、ネットワークの認証時、再認証時にて使用される。

滞在可能時間情報は、このセキュリティレベル領域にて、ネットワークの認証が認められる時間を示した情報である。滞在可能時間情報は、ネットワークの再認証時に、ユーザが現在までどれだけネットワークを使用したかを示す時間情報と比較され、ネットワーク使用時間が、滞在可能時間を超えた場合には、ネットワークへの再認証要求が無効とされる。このとき、当該システム情報記憶部３３Ｃに記憶されている滞在可能時間情報、ユーザ情報記憶部３３Ａに記憶されている滞在可能時間情報のうち、いずれか時間の短い方が優先的に使用されることになる。

認証装置ＩＤは、このセキュリティレベル領域に設置されている認証装置２２のＩＰアドレスを示している。この認証装置ＩＤは、セキュリティレベル領域に設定された認証装置２２の数に応じて、複数設定することができる。

再び図２の参照するに、ネットワークＩ／Ｆ３４は、連携制御装置３０と、認証装置２２、認証サーバ２３との通信を行うための通信インターフェースである。ネットワークＩ／Ｆ３４は、Ｅｔｈｅｒｎｅｔ（登録商標）やＴＣＰ／ＩＰスタックに相当する。

ＲＡＤＩＵＳ認証部３５は、認証要求中継部３５Ａと、要求中継判断部３５Ｂと、機器設定記憶部３５Ｃとを備え、ＲＡＤＩＵＳ認証に関連する処理を実行する。

認証要求中継部３５Ａは、ＲＡＤＩＵＳ認証において認証装置２２、認証サーバ２３間で送受信されるＲＡＤＩＵＳパケットを中継する。このとき、認証要求中継部３５Ａは、ネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤなど認証処理部３６での認証処理に必要となる情報を取得する。またＲＡＤＩＵＳの規格で定義されている認証符号の再計算を行う機能も有している。

要求中継判断部３５Ｂは、認証処理部３６でなされた認証判断に基づき、認証サーバ２３に対してネットワーク認証要求を送信するか、ネットワーク認証要求を拒否するかの最終的な判断をする。要求中継判断部３５Ｂは、拒否応答する場合には、拒否応答パケットを生成し認証装置２２に送信する。

機器設定記憶部３５Ｃは、ＲＡＤＩＵＳ通信の正当性を確認するために必要となる認証装置２２、認証サーバ２３それぞれで保持される全ての秘密共有鍵を、通信相手のＩＰアドレスと対応付けて管理する。

認証処理部３６は、認証装置２２から送信されるネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤと、内部データベース３３のユーザ情報記憶部３３Ａに記憶されている情報とを用いて認証処理をし、ネットワーク認証要求を認証サーバ２３へと送信するのかどうかを判断する。

認証状態制御部３７は、認証装置２２が外部からの認証状態制御に対応している場合、ユーザの行動状態が変化したことに応じて、即座に認証状態をリセットするための要求を送信する。

この認証状態制御部３７は、認証装置２２が、ＭＩＢ（Management Information Base）と呼ばれる管理情報データベースを保持している場合に動作する機能部である。具体的には、ＩＥＴＦ（Internet Engineering Task Force ）で標準化されたＴＣＰ／ＩＰネットワーク環境での管理プロトコルであるＳＮＭＰ (Simple Network Management Protocol)にて、上述した管理情報であるＭＩＢを交換することで、当該認証状態制御部３７により認証装置２２を管理することができる。つまり、認証装置２２にＳＮＭＰエージェントが与えられた場合に、認証状態制御部３７は、ＳＮＭＰマネージャとして機能する。例えば、ＭＩＢとしては、ＩＥＥＥ８０２．１ｘで規定されたものを使用することができる。

情報管理部３８は、ユーザ情報記憶部３３Ａ、システム情報記憶部３３Ｃに記憶されている静的情報や、機器設定記憶部３５Ｃに記憶されている設定情報などを、ＨＴＴＰ（Ｓ）サーバやＴｅｌｎｅｔなどを利用して外部から管理することができる。

認証ログ記憶部３９は、認証処理部３６による認証処理結果や機器動作状態のログを記憶する。認証ログ記憶部３９は、Ｓｙｓｌｏｇ出力機能を有している。

取得ログ記憶部４０は、設備系システム１０から送信される入退室情報の取得のログを記憶する。この取得ログ記憶部４０を参照することにより、最も直近に入退室情報を取得した時刻を把握することができる。なお、取得ログ記憶部４０には、入退室情報を取得した一連の時刻が記憶されている必要はなく、最も直近に入退室情報を取得した時刻によって、従前に記憶されている時刻が更新されるような形態であってもよい。

生存確認部４１は、所定周期で生存確認を行うことにより、設備系システム１０に対する通信異常、すなわち、設備系システム１０との通信が不可能なことを検出する。生存確認部４１による生存確認の手法としては、例えば、設備系システム１０から周期的に送信される生存確認信号に基づいて判断する手法が挙げられる。具体的には、生存確認部４１は、生存の確認先である設備系システム１０から生存確認信号が所定の待ち時間内に送信されてくるか否かを判断する。生存確認部４１は、所定の待ち時間内に生存確認信号を取得した場合、設備系システム１０に対する通信が可能なことを検出する。一方、所定の待ち時間内に生存確認信号を取得しなかった場合、設備系システム１０に対する通信が不可能なことを検出する。

なお、生存確認の手法としては、生存確認部４１から設備系システム１０に対して生存確認信号を送信し、これに応答する生存確認応答を、所定の待ち時間の間に、設備系システム１０から取得できなかった場合に、設備系システム１０に対する通信が不可能なことを検出してもよい。

通信制御部４２は、設備系システム１０との間の通信接続の状態を制御する機能を担っている。この通信制御部４２は、設備系システム１０との間における通信接続を確立したり、また、その通信接続を切断したりすることができる。通信制御部４２によって確立・切断される通信接続は論理的なコネクションである。また、通信制御部４２は、設備系システム１０との間の通信接続を確立させて状態で、その接続を開放することにより、設備系システム１０から連携制御装置３０への通信を許容することができる。

状態合わせ部４３は、設備系システム１０において管理されている入退室情報、すなわち、現在のセキュリティレベル領域におけるユーザの在室状態と、連携制御装置３０側において管理されている入退室情報（具体的には、この入退室情報は内部データベース３３の認証状態記憶部３３Ｂに含まれている滞在中領域番号情報がこれに該当する）との状態が対応するように、状態合わせ処理を行う。具体的には、状態合わせ部４３は、生存確認部４１によって設備系システム１０との通信が不可能なことが検出された後に、通信制御部４２によって設備系システム１０との間に通信可能な接続が確立された場合に、設備系システム１０との通信が不可能だった期間に遡った入退室情報を設備系システム１０に対して要求する。

後述するように、ネットワーク管理システム１において、連携制御装置３０によって管理されるユーザの在室状態は、ネットワーク認証を行う上でも重要なものとなる。すなわち、連携制御装置３０が管理するユーザの在室状態は、設備系システム１０において管理されているセキュリティレベル領域におけるユーザの実際の在室状態との整合が図られている必要がある。そこで、以下、連携制御装置３０による状態合わせ処理の手順について説明する。

図６は、第１の実施形態にかかる連携制御装置３０によって実行される状態合わせ処理の動作を示すタイミングチャートである。まず、ユーザが、低度セキュリティレベル領域からネットワークが構築されている高度セキュリティレベル領域へと、設備系システム１０によって管理された扉から入室するとする（入退室操作ａ）。具体的には、ユーザは、入室用カードリーダ１１にＩＣカード２を翳す。これに応じて、入退室コントロールユニット１３は、ＩＣカード２の半導体メモリに格納されている情報を読み取り、カードＩＤを認証して施錠された扉の電気錠を解錠する。

入退室コントロールユニット１３は、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報と、現在の時刻である操作時刻とを互いに関連付けた上で、この関連付けられた情報を入退室情報として図示しない入退室ログ記録部に記憶する。また、入退室コントロールユニット１３は、連携制御装置３０との間の通信接続が確立・開放されていることを前提に、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報と、操作時刻とを入退室情報として、連携制御装置３０に対して送信する。

このような一連の動作を前提として、ステップ１（Ｓ１）において、連携制御装置３０は、外部システムＩ／Ｆ３１を介して設備系システム１０から入退室情報ａを取得すると、これを認証処理で使用できるように変換し、内部データベース３３の認証状態記憶部３３Ｂに記憶させ、設備系システム１０のセキュリティレベル領域におけるユーザの現在の在室状態を記憶する。

具体的には、情報変換部３２は、入退室コントロールユニット１３から送信されたＩＣカード２のカードＩＤを用いて、ユーザ情報記憶部３３Ａを参照し、このカードＩＤに対応付けて記憶されているアカウントＩＤを取得する。また、情報変換部３２は、入退室コントロールユニット１３から送信された入室扉ＩＤを用いて、システム情報記憶部３３Ｃを参照し、この入室扉ＩＤに対応付けて記憶されている高度セキュリティレベル領域を特定する領域番号情報を取得する。

そして、情報変換部３２は、システム情報記憶部３３Ｃから取得した領域番号情報を、ユーザが現在滞在している高度セキュリティレベル領域であることを示す滞在中領域番号情報として、ユーザ情報記憶部３３Ａから取得したアカウントＩＤと対応付けて、認証状態記憶部３３Ｂに記憶させる。また、情報変換部３２は、入退室コントロールユニット１３から送信された操作時刻を、ユーザが高度セキュリティレベル領域での在室（滞在）を開始した入り時刻情報として、認証状態記憶部３３Ｂに記憶させる。

また、連携制御装置３０は、入退室情報ａを取得した現在の時刻を、取得ログ記憶部４０に記憶する。

なお、入室を例に説明を行ったが、ユーザが高度セキュリティレベル領域から退室したとしても、設備系システム１０および連携制御装置３０の動作は同じである。

ステップ２（Ｓ２）において、連携制御装置３０の生存確認部４１は、所定の実行周期に応じて設備系システム１０から送信される生存確認を取得する。生存確認部４１は、前回生存確認を取得した時点からカウントされている経過時間を参照し、所定の待ち時間の間に生存確認を取得しているか否かを判断する。この待ち時間は、設備系システム１０から送信される生存確認の実行周期よりも大きな値に設定されている。

生存確認部４１は、設備系システム１０から取得した生存確認が、待ち時間の間に取得したことを判断すると、設備系システム１０に対する通信が可能であることを検出する。生存確認部４１によって通信が可能なことが検出された場合、連携制御装置３０は、設備系システム１０からの新たな入退室情報を取得すべく、待機する。

一方、ステップ３（Ｓ３）において、生存確認部４１は、前回生存確認を取得した時点からカウントされている経過時間を参照し、この経過時間が所定の待ち時間に到達した場合には、設備系システムに対する通信が不可能であることを検出する。設備系システム１０に対する通信が不可能なケースとしては、例えば、設備系システム１０の故障等に起因してこれが正常に動作していないこと、ケーブルの損傷・接続不良等による設備系システム１０と連携制御装置３０との間の接続が物理的に切断されていることが考えられる。

生存確認部４１によって通信が不可能なことが検出された場合、ステップ４（Ｓ４）において、通信制御部４２は、設備系システム１０との間に現在確立されている通信接続を切断した上で、設備系システム１０に対して新たな通信接続の確立を要求する。設備系システム１０と連携制御装置３０との間の接続が物理的に切断されているケースでは、通信制御部４２が、新たな接続の確立を設備系システム１０に対して要求したとしても、設備系システム１０がこれに応答しないため、設備系システム１０と連携制御装置３０との間の通信接続は確立されない。通信制御部４２は、接続確立の要求にも拘わらず、設備系システム１０がこれに応答しない場合には、所定の実行周期で、すなわち、所定の時間が経過した後に、通信接続の確立を再び要求する。

なお、設備系システム１０と連携制御装置３０との間の通信が不可能な期間であっても、設備系システム１０は、セキュリティレベル領域におけるユーザの入退室を管理する。例えば、ユーザが、低度セキュリティレベル領域からネットワークが構築されている高度セキュリティレベル領域へと、入退室コントロールユニット１３によって管理された扉から入室するとする（入退室操作ｂ，ｃ）。この場合、ステップ１と同様に、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報と、現在の時刻である操作時刻とを互いに関連付けた上で、この関連付けられた情報を入退室情報として図示しない入退室ログ記録部に記憶する。なお、設備系システム１０と連携制御装置３０との間の通信接続が確立されていないため、設備系システム１０による、連携制御装置３０に対する入退室情報の送信は行われない。

ステップ５（Ｓ５）において、通信制御部４２は、所定の実行周期の到来に応じて、接続確立の要求を行う。ケーブルの交換・再接続といったように、あるタイミングにおいて、設備系システム１０と連携制御装置３０との間の物理的な切断状態が復旧した場合には、設備系システム１０がこれに応答するため、通信制御部４２は、設備系システム１０との間に新たな通信接続を確立する。そして、通信制御部４２は、設備系システム１０との間に通信可能な接続が確立したことを判断した上で、この通信接続を開放する。なお、通信制御部４２は、設備系システム１０に対して行った通信接続の確立要求の回数が、判定回数に到達した場合には、設備系システム１０そのものに異常があるとの判断を行ってもよい。

ステップ６（Ｓ６）において、状態合わせ部４３は、設備系システム１０に対して状態あわせを要求する。この要求の前提として、状態合わせ部４３は、取得ログ記憶部４０を検索し、設備系システム１０から入退室情報を取得した直近の取得時刻を特定する。状態合わせ部４３は、この特定された取得時刻を状態合わせ時刻として設定すると、この状態合わせ時刻以降に該当する入退室情報を、設備系システム１０に対して要求する。具体的には、状態合わせ部４３は、入退室情報の送信要求とともに、状態合わせ時刻を設備系システム１０に対して送信する。

設備系システム１０において、入退室コントロールユニット１３は、連携制御装置３０から入退室情報の送信要求と、状態合わせ時刻を取得すると、状態合わせ時刻をキーとして、入退室ログ記憶部を参照し、この状態合わせ時刻よりも時間的に後の入退室操作ｂ，ｃに応じて記憶された入退室情報ｂ，ｃを検索する。入退室コントロールユニット１３は、入退室ログ記憶部から入退室情報ｂ，ｃをそれぞれ読み出すと、これを連携制御装置３０に対してそれぞれ出力する。

ステップ７（Ｓ７）において、連携制御装置３０は、外部システムＩ／Ｆ３１を介して設備系システム１０から入退室情報ｂを取得すると、これを認証処理で使用できるように変換し、内部データベース３３の認証状態記憶部３３Ｂに記憶させ、設備系システム１０のセキュリティレベル領域におけるユーザの現在の在室状態を記憶する。また、ステップ８（Ｓ８）において、連携制御装置３０は、外部システムＩ／Ｆ３１を介して設備系システム１０から入退室情報ｃを取得すると、これを認証処理で使用できるように変換し、内部データベース３３の認証状態記憶部３３Ｂに記憶させ、設備系システム１０のセキュリティレベル領域におけるユーザの現在の在室状態を記憶する。

連携制御装置３０は、このような状態合わせ処理によって、連携制御装置３０が管理するセキュリティレベル領域におけるユーザの在室状態と、実際のセキュリティレベル領域におけるユーザの在室状態との整合を図ることを前提に、設備系システム１０と、ネットワーク認証システム２０との連携を以下に示すような動作によって行う。

図７は、連携制御装置３０を用いたネットワーク管理システム１の基本処理動作を示すタイミングチャートである。高度セキュリティレベル領域に入室したユーザは、端末装置２１ｎから認証装置２２を介して、ＩＥＥＥ８０２．１Ｘの手順に従い、アクセス要求としてネットワーク認証要求を送信することでネットワークへの接続を試みる。初期状態では、端末装置２１ｎとネットワーク間の回線は、認証装置２２によって切断されているため、端末装置２１ｎは、認証装置２２との通信しか行うことができない。

まず、ステップ１０（Ｓ１０）において、ユーザは、ネットワークに接続するために、端末装置２１ｎからアカウントＩＤ及びパスワードを入力し認証装置２２へ認証用のパケットであるネットワーク認証要求を送信する。端末装置２１ｎは、ネットワーク認証要求をＥＡＰメッセージの入ったＭＡＣ（Media Access Control）フレームとして認証装置２２へ送信する。このとき、アカウントＩＤは平文で、パスワードはハッシュ化された状態で送信される。

認証装置２２は、ＭＡＣフレームからＥＡＰメッセージを取り出し、ＩＰパケットに乗せ換え、連携制御装置３０へと送信をする。具体的には、認証装置２２は、ＩＰの上位層のＵＤＰを利用して、認証装置２２から取り出したＥＡＰメッセージをＲＡＤＩＵＳパケットのデータ部分に格納して連携制御装置３０へと送信する。

認証装置２２と認証サーバ２３とのＲＡＤＩＵＳ認証処理における認証シーケンスにおいて、認証装置２２からネットワーク認証要求として送信される最初のＲＡＤＩＵＳパケットのＥＡＰメッセージにのみ、平文のアカウントＩＤであるＥＡＰ−Ｔｙｐｅ＝Ｉｄｅｎｔｉｔｙデータが存在する。ＲＡＤＩＵＳパケットには、このアカウントＩＤの他に、認証装置２２の情報として認証装置２２のＩＰアドレス、端末装置２１ｎが接続された認証装置２２のポート番号などがＲＡＤＩＵＳ属性情報として記述されている。

ステップ１１（Ｓ１１）において、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、ネットワークＩ／Ｆ３４を介して受信したネットワーク認証要求のＲＡＤＩＵＳパケットのＥＡＰメッセージに添付されたＩｄｅｎｔｉｔｙデータを取得して認証処理部３６に出力する。また、認証要求中継部３５Ａは、受信したネットワーク認証要求のＲＡＤＩＵＳパケットより認証装置２２のＩＰアドレスを取得して認証処理部３６に出力する。

ステップ１２（Ｓ１２）において、認証処理部３６は、取得したＩｄｅｎｔｉｙデータのアカウントＩＤをキーとして、内部データベース３３の認証状態記憶部３３Ｂに格納されているユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報と、入り時刻情報とを要求する。また、認証処理部３６は、取得した認証装置２２のＩＰアドレスをキーとして、内部データベース３３のシステム情報記憶部３３Ｃに格納されている認証装置２２の設置されている高度セキュリティレベル領域を特定する領域番号情報と、利用可能時刻情報とを要求する。この領域番号情報は、ネットワーク認証要求を送信した認証装置２２が設置されている高度セキュリティレベル領域を示すことになる。

ステップ１３（Ｓ１３）において、認証処理部３６は、認証状態記憶部３３Ｂから取得したユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報、入り時刻情報、システム情報記憶部３３Ｃから取得した領域番号情報、利用可能時刻情報より、認証装置２２から送信されたネットワーク認証要求を認証サーバ２３へと転送してよいかどうかを判断する。

また、認証状態記憶部３３Ｂから取得した情報より、該当するユーザが高度セキュリティレベル領域に存在し、既にネットワーク上での認証がなされていることが示されている場合には、ネットワーク認証要求をしてきたユーザは、不当なユーザであることが分かるため認証状態記憶部３３Ｂの認証状態を認証中から切断中に書き換えるようにしてもよい。

ステップ１４（Ｓ１４）において、認証処理部３６は、ユーザ情報記憶部３３Ａから取得したユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報とシステム情報記憶部３３Ｃから取得した領域番号情報とを比較して、高度セキュリティレベルにユーザが存在し、この高度セキュリティレベル領域からネットワーク認証要求がさなれたと確認でき、さらに、システム情報記憶部３３Ｃから取得した利用可能時刻情報と現在の時刻とを比較して、この高度セキュリティレベル領域のネットワークを利用することが許可された時刻であることが確認できたことに応じて認証判断をＲＡＤＩＵＳ認証部３５の要求中継判断部３５Ｂに通知する。

ステップ１５（Ｓ１５）において、要求中継判断部３５Ｂは、認証処理部３６からの認証判断に応じて、認証サーバ２３へネットワーク認証要求を送信する最終的な判断をし、ネットワークＩ／Ｆ３４を介して、ネットワーク認証要求を認証サーバ２３へ送信する。

ステップ１６（Ｓ１６）において、認証処理部３６は、認証状態記憶部３３Ｂから取得したユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報とシステム情報記憶部３３Ｃから取得した領域番号情報とを比較して、高度セキュリティレベル領域にユーザが存在することが確認できなかったり、ユーザが存在している高度セキュリティレベル領域からネットワーク認証要求が送信されていないことに応じて、又は、システム情報記憶部３３Ｃから取得した利用可能時刻情報と現在の時刻とを比較して、この高度セキュリティレベル領域のネットワークを利用することが許可されていない時刻であることが確認できたことに応じて拒否判断をＲＡＤＩＵＳ認証部３５の要求中継判断部３５Ｂに通知する。

ステップ１７（Ｓ１７）において、要求中継判断部３５Ｂは、認証処理部３６からの拒否判断に応じて、認証サーバ２３へのネットワーク認証要求の送信を拒否し、拒否応答パケットを生成して、ネットワークＩ／Ｆ３４を介して認証装置２２へ送信する。認証装置２２は、送信された拒否応答パケットに基づき、端末装置２１ｎにネットワーク認証要求を拒否したことを示す拒否応答を通知する。

ステップ１８（Ｓ１８）において、認証サーバ２３へネットワーク認証要求が送信されたことに応じて、ＥＡＰメッセージが添付された認証サーバ２３から送信される応答パケット、端末装置２１ｎから送信される要求パケットをやり取りすることで、ユーザのネットワーク上での認証処理が実行される。

具体的には、認証サーバ２３は、ネットワーク認証要求に添付されたアカウントＩＤをキーとして、図示しないユーザ情報記憶部に格納されている情報との照合処理を行う。認証サーバ２３は、送信されたアカウントＩＤに関連付けられてユーザ情報記憶部に格納されている対象となるユーザのパスワードを所定のハッシュ関数でハッシュ化し、ネットワーク認証要求に添付されたハッシュ化されているパスワードと比較をし、ハッシュ化されたパスワード同士が一致するかどうか確認をする。

このとき、連携制御装置３０の認証要求中継部３５Ａは、端末装置２１ｎと認証サーバ２３との要求パケット、応答パケットに対して何も施さずにスルーする。認証装置２２は、上述したようなＥＡＰメッセージの乗せ換えだけを行う中継装置として機能する。

ステップ１９（Ｓ１９）において、認証サーバ２３は、当該認証サーバ２３による認証がなされたことを示す認証許可通知、認証されなかったことを示す認証不許可通知のいずれかを、連携制御装置３０のＲＡＤＩＵＳ認証部３５を介して認証装置２２に送信する。

認証装置２２は、認証サーバ２３から認証許可通知を受け取った場合には、端末装置２１ｎとネットワークとの回線を開放する。これにより、ユーザは、端末装置２１ｎを介してネットワークへアクセスすることができネットワーク上の他の端末装置との通信が可能となる。

認証装置２２は、認証サーバ２３から認証不許可通知を受け取った場合には、端末装置２１ｎとネットワークとの回線を開放せずに、認証不許可である旨を通知するメッセージを端末装置２１ｎに送信する。

ステップ２０（Ｓ２０）において、認証サーバ２３から認証許可通知を受け取った場合、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、ネットワークの認証結果を内部データベース３３の認証状態記憶部３３Ｂに記憶させる。認証状態記憶部３３Ｂに記憶させる情報としては、例えば、アカウントＩＤ、端末装置２１ｎが接続されている認証装置２２を一意に特定する機器ＩＤ、ネットワークへの接続が開放されているポート番号、認証が許可された認証時刻などである。

このようにして、連携制御装置３０によって設備系システム１０と、ネットワーク認証システム２０とが相互に接続され連携されたネットワーク管理システム１では、検出される設備系システム１０におけるユーザの高度セキュリティレベル領域における現在の出入状態に基づき、連携制御装置３０が、端末装置２１ｎからなされるネットワーク認証要求の正当性を認証サーバ２３へ通知する前段で判断する。

これにより、既存のシステムに連携制御装置３０を追加（アドオン）するだけで、設備系システム１０と、ネットワーク認証システム２０との連携を容易に図ることができるため、ネットワーク構築に労力をかけずに、高度セキュリティレベルへ不正に侵入したユーザのネットワークへの接続を排除することができるネットワーク管理システムを低コストで構築することができる。

また、連携制御装置３０を設けることで、認証サーバ２３において、端末装置２１ｎから要求される疑わしいネットワーク認証要求に対する無駄な認証処理を実行する必要がないため、認証サーバ２３の処理負荷、及びネットワークの負荷を大幅に低減することができる。

このように本実施形態によれば、設備系システム１０との間に通信可能な接続が新たに確立されたことを条件として、連携制御装置３０によって、その通信が不可能となっていた期間に遡った入退室情報が設備系システム１０に対して要求される。これにより、通信が不可能な間に設備系システム１０において管理されている入退室情報を、連携制御装置３０側で取得することが可能となる。そのため、セキュリティレベル領域におけるユーザの現在の在室状態と、連携制御装置３０側で管理している在室状態との整合を図ることが可能となる。

また、本実施形態によれば、入退室情報を設備系システム１０から取得した時刻を記憶する取得ログ記憶部４０を参照し、状態合わせ時刻が設定される。これにより、設備系システム１０と連携制御装置３０との間で通信が不可能だった期間に該当する入退室情報を取得することが可能となる。そのため、余分な情報を取得することなく、連携制御装置３０において反映することができなかった情報のみを取得することができる。

なお、本実施形態では、入退室情報を設備系システム１０から取得した時刻を記憶する取得ログ記憶部４０を参照し、状態合わせ時刻を設定しているが本発明はこれに限定されない。例えば、連携制御装置３０は、内部データベース３３の在室状態、すなわち、認証状態記憶部３３Ｂの滞在中状態領域番号情報または入り時刻情報が記憶（更新）された最後の時刻を、状態合わせ時刻として設定してもよい。

なお、設備系システム１０との通信が不可能となってからの長時間が経過したといったケースでは、その間に設備系システム１０において多くの入退室操作が行われている可能性がある。そのため、状態合わせ時刻まで遡って入退室情報を要求した場合に、膨大な量の入退室情報を処理しなければならず、連携制御装置３０の処理負荷が増大してしまうことが考えられる。そこで、状態合わせ部４３は、例えば、２４時間といったように、予め基準期間を設定しておき、通信可能な接続が確立されたタイミングからこの基準期間まで遡った時刻（上限時刻）と、状態合わせ時刻とを比較する。そして、状態合わせ時刻が上限時刻よりも古い、すなわち、状態合わせ時刻が上限時刻よりも時間的に前に存在している場合には、上限時刻以降に該当する入退室情報を、設備系システム１０に対して要求してもよい。これにより、連携制御装置３０における状態合わせにともなって処理する入退室情報の量を制限することができるので、連携制御装置３０の処理負荷を軽減することできる。

また、システム構成を簡素化するといった観点では、入退室情報を取得した時刻を記憶させなくてもよい。この場合、通信可能な接続が確立されてから、所定の期間遡った時刻（基準時刻）を状態合わせ時刻として設定してもよい。ただし、このケースでは、基準時刻以前に該当する入退室情報を連携制御装置３０側に反映することはできないが、在室状態は最終的な状態が連携制御装置３０側に反映されていればよいので、基準時刻以降にユーザが入退室操作を行っていれば、その状態を連携制御装置３０側に反映することは可能である。

（第２の実施形態）
図８は、本発明の第２の実施形態にかかるネットワーク管理システムの構成を示すブロック図である。第２の実施形態にかかるネットワーク管理システム１が、第１の実施形態のそれと相違する点は、設備系システム１０が、第１の高度セキュリティレベル領域の入退室を管理する第１の設備系システム１０ａと、この第１の高度セキュリティレベル領域とは異なる第２の高度セキュリティレベル領域の入退室を管理する第２の設備系システム１０ｂとで構成されている。この第１および第２の設備系システム１０ａ，１０ｂは、個々の高度セキュリティレベル領域への入室を希望するユーザ全てに対して認証処理を行い、あらかじめ登録された正当なユーザのみを認証して高度セキュリティレベル領域への入室を許可する。また、第１および第２の設備系システム１０ａ，１０ｂは、個々の高度セキュリティレベル領域から退室を希望するユーザに対して認証処理を行い、高度セキュリティレベル領域からの退室を許可する。低度セキュリティレベル領域と、高度セキュリティレベル領域とは、電気的な作用により施錠、解錠することができる電気錠を備える扉（ドア）によって隔てられている。なお、個々の設備系システム１０ａ，１０ｂ、ネットワーク認証システム２０および連携制御装置３０の構成については、第１の実施形態で詳述した通りであり、同一の符号を付することによってその詳細な説明は省略する。以下、本実施形態の特徴の一つである、第１および第２の設備系システム１０ａ，１０ｂに対する連携制御装置３０による状態合わせ処理について説明する。

図９は、第２の実施形態にかかる連携制御装置３０によって実行される状態合わせ処理の動作を示すタイミングチャートである。まず、ユーザが、低度セキュリティレベル領域からネットワークが構築されている第１の高度セキュリティレベル領域へと、第１の設備系システム１０ａによって管理された扉から入室するとする（入退室操作ａ）。具体的には、ユーザは、入室用カードリーダ１１にＩＣカード２を翳す。これに応じて、入退室コントロールユニット１３は、ＩＣカード２の半導体メモリに格納されている情報を読み取り、カードＩＤを認証して施錠された扉の電気錠を解錠する。

第１の設備系システム１０ａにおいて、入退室コントロールユニット１３は、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報と、現在の時刻である操作時刻とを互いに関連付けた上で、この関連付けられた情報を入退室情報として図示しない入退室ログ記録部に記憶する。また、入退室コントロールユニット１３は、連携制御装置３０との通信接続が確立・開放されていることを前提に、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報と、操作時刻とを入退室情報として、連携制御装置３０に対して送信する。

このような一連の動作を前提として、ステップ３０（Ｓ３０）において、連携制御装置３０は、外部システムＩ／Ｆ３１を介して第１の設備系システム１０ａから入退室情報ａを取得すると、これを認証処理で使用できるように変換し、内部データベース３３の認証状態記憶部３３Ｂに記憶させ、設備系システム１０の高度セキュリティレベル領域におけるユーザの現在の在室状態を記憶する。連携制御装置３０は、入退室情報ａを取得した現在の時刻を、取得ログ記憶部４０に記憶する。なお、取得ログ記憶部４０では、処理負荷の軽減の観点から、どちらの設備系システム１０ａ，１０ｂから入退室情報を取得したかまでは記憶されない。すなわち、入退室情報を単に取得した時刻のみが記憶されている。

ステップ３１（Ｓ３１）において、連携制御装置３０の生存確認部４１は、所定の実行周期に応じて第１の設備系システム１０ａおよび第２の設備系システム１０ｂから送信される生存確認を取得する。生存確認部４１は、第１の設備系システム１０ａからの生存確認と、第２の設備系システム１０ｂの生存確認とのそれぞれを処理対象として、前回生存確認を取得した時点からカウントされている経過時間を参照し、所定の待ち時間の間に生存確認を取得しているか否かを判断する。この待ち時間は、第１および第２の設備系システム１０ａ，１０ｂから送信される生存確認の実行周期よりも大きな値に設定されている。なお、第１の設備系システム１０ａと、第２の設備系システム１０ｂとから送信される生存確認は同期して行われる必要なく、連携制御装置３０は、個々の設備系システム１０ａ，１０ｂに対して独立して生存確認を行うことができる。

生存確認部４１は、第１の設備系システム１０ａおよび第２の設備系システム１０ｂから取得した生存確認が、それぞれ待ち時間の間に取得したことを判断すると、第１の設備系システム１０ａおよび第２の設備系システム１０ｂに対する通信が可能であることを検出する。生存確認部４１によって通信が可能なことが検出された場合、連携制御装置３０は、第１および第２の設備系システム１０ａ，１０ｂからの新たな入退室情報を取得すべく、待機する。

一方、ステップ３２（Ｓ３２）において、生存確認部４１は、第１および第２の設備系システム１０ａ，１０ｂから送信される生存確認の一方または両方において、経過時間が待ち時間に到達した場合には、設備系システム１０ａ，１０ｂに対する通信が不可能であることを検出する。本実施形態では、例示的に、第２の設備系システム１０ｂに対する通信が不可能であるとする。

生存確認部４１によって通信が不可能なことが検出された場合、ステップ３３（Ｓ３３）において、通信制御部４２は、第１の設備系システム１０ａおよび第２の設備系システム１０ｂとの間に現在確立されている通信接続をそれぞれ切断する。そして、通信制御部４２は、第１の設備系システム１０ａおよび第２の設備系システム１０ｂのそれぞれに対して新たな通信接続の確立を要求する。例えば、接続が物理的に切断されているケースでは、通信制御部４２が、新たな通信接続の確立を第２の設備系システム１０ｂに対して要求したとしても、第２の設備系システム１０ｂがこれに応答しないため、第２の設備系システム１０ｂと連携制御装置３０との間の接続は確立されない。一方、通信制御部４２が、新たな通信接続の確立を第１の設備系システム１０ａに対して要求した場合、第１の設備系システム１０ａと連携制御装置３０との間は物理的に接続しているため、第１の設備系システム１０ａがこれに応答し、通信制御部４２は、第１の設備系システム１０ａとの間で接続を確立する。ただし、通信制御部４２は、全ての設備系システムとの間で接続が確立されない限り、すなわち、第２の設備システム１０ａとの間で接続が確立されない限り、第１の設備系システム１０ａとの間で接続を確立したとしても、その接続は開放しない。通信制御部４２は、接続確立の要求にも拘わらず、第２の設備系システム１０ｂがこれに応答しない場合には、所定の実行周期で、すなわち、所定の時間が経過した後に、通信接続の確立要求を新たに実行する。

なお、このような状況であっても、第１の設備系システム１０ａおよび第２の設備系システム１０ｂは、個々の高度セキュリティレベル領域へのユーザの入退室を管理する。例えば、ユーザが、低度セキュリティレベル領域からネットワークが構築されている第１の高度セキュリティレベル領域へと、第１の設備系システム１０ａの入退室コントロールユニット１３によって管理された扉から入室するとする（入退室操作ｂ）。この場合、ステップ１と同様に、第１の設備系システム１０ａでは、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報と、現在の時刻である操作時刻とを互いに関連付けた上で、この関連付けられた情報を入退室情報ｂとして図示しない入退室ログ記録部に記憶する。

また、ユーザが、低度セキュリティレベル領域からネットワークが構築されている第２の高度セキュリティレベル領域へと、第２の設備系システム１０ｂの入退室コントロールユニット１３によって管理された扉から入室するとする（入退室操作ｂ）。この場合、ステップ１と同様に、第２の設備系システム１０ｂでは、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報と、現在の時刻である操作時刻とを互いに関連付けた上で、この関連付けられた情報を入退室情報として図示しない入退室ログ記録部に記憶する。

なお、第２の設備系システム１０ｂと連携制御装置３０との間の接続が確立していないため、または、第１の設備系システム１０ａと連携制御装置３０との間の接続が開放されていないため、連携制御装置３０は、第１の設備系システム１０ａおよび第２の設備系システム１０ｂから入退室情報ｂ，ｃをそれぞれ取得することはない。

ステップ３４（Ｓ３４）において、通信制御部４２は、所定の実行周期の到来に応じて、第２の設備系システム１０ｂに対して接続確立の要求を行う。ケーブルの交換・再接続といったように、あるタイミングにおいて、第２の設備系システム１０ｂと連携制御装置３０との間の物理的な切断状態が復旧した場合には、第２の設備系システム１０ｂがこれに応答するため、通信制御部４２は、第２の設備系システム１０ｂとの間で通信接続を確立する。そして、通信制御部４２は、すべての設備系システム１０ａ，１０ｂとの間に通信可能な接続が確立したことを判断した上で、個々の接続を同期して開放する。

ステップ３５（Ｓ３５）において、状態合わせ部４３は、第１および第２の設備系システム１０ａ，ｂに対して状態あわせを要求する。この要求の前提として、状態合わせ部４３は、取得ログ記憶部４０を検索し、第１の設備系システム１０ａまたは第２の設備系システム１０ｂから入退室情報を取得した直近の取得時刻を特定する。状態合わせ部４３は、この特定された取得時刻を状態合わせ時刻として設定すると、この状態合わせ時刻以降に該当する入退室情報を、第１の設備系システム１０ａおよび第２の設備系システム１０ｂに対してそれぞれ要求する。具体的には、状態合わせ部４３は、入退室情報の送信要求とともに、状態合わせ時刻を第１の設備系システム１０ａおよび第２の設備系システム１０ｂに対してそれぞれ送信する。

第１の設備系システム１０ａにおいて、入退室コントロールユニット１３は、連携制御装置３０から入退室情報の送信要求と、状態合わせ時刻を取得すると、状態合わせ時刻をキーとして、入退室ログ記憶部を参照し、この状態合わせ時刻よりも時間的に後の入退室操作ｂに応じて記憶された入退室情報ｂを検索する。入退室コントロールユニット１３は、入退室ログ記憶部から入退室情報ｂを読み出すと、これを連携制御装置３０に対して出力する。また、第２の設備系システム１０ｂにおいて、入退室コントロールユニット１３は、連携制御装置３０から入退室情報の送信要求と、状態合わせ時刻を取得すると、状態合わせ時刻をキーとして、入退室ログ記憶部を参照し、この状態合わせ時刻よりも時間的に後の入退室操作ｃに応じて記憶された入退室情報ｃを検索する。入退室コントロールユニット１３は、入退室ログ記憶部から入退室情報ｃを読み出すと、これを連携制御装置３０に対して出力する。

ステップ３６（Ｓ３６）において、連携制御装置３０は、外部システムＩ／Ｆ３１を介して第１の設備系システム１０ａから入退室情報ｂを取得すると、これを認証処理で使用できるように変換し、内部データベース３３の認証状態記憶部３３Ｂに記憶させ、設備系システム１０の高度セキュリティレベル領域におけるユーザの現在の在室状態を記憶する。また、ステップ３７（Ｓ３７）において、連携制御装置３０は、外部システムＩ／Ｆ３１を介して第２の設備系システム１０ｂから入退室情報ｃを取得すると、これを認証処理で使用できるように変換し、内部データベース３３の認証状態記憶部３３Ｂに記憶させ、設備系システム１０の高度セキュリティレベル領域におけるユーザの現在の在室状態を記憶する。

このように本実施形態によれば、第１の設備系システム１０ａおよび第２の設備系システム１０ｂのすくなくとも一方との通信が不可能になった場合には、通信が可能な設備系システムを含む全ての設備系システム１０ａ，１０ｂとの通信接続が遮断される。そして、両者の設備系システム１０ａ，１０ｂとの間のそれぞれに通信可能な接続が確立したことを条件に、個々の設備系システム１０ａ，１０ｂに対して状態合わせ処理を行われる。

例えば、上述した実施形態のように、第１の設備系システム１０ａのみが異常となり、第１の設備系システム１０ａから入退室情報が取得できなくなっている状態において、第２の設備系システム１０ｂから入退室情報を取得してしまうと、状態合わせ時刻は、この第２の設備系システム１０ｂから取得した直近の取得時刻がこれに設定されてしまう。そのため、この状態合わせ時刻に基づいて状態合わせ処理を行った場合には、第１の設備系システム１０ａから取得する入退室情報に不備が生じてしまう可能性がある。

この点、本実施形態によれば、それぞれの設備系システム１０ａ，１０ｂの通信接続を遮断し、それぞれに通信可能な接続が確立した後に、状態合わせ処理を行うことにより、このような不都合を解消することができる。これにより、セキュリティレベル領域におけるユーザの現在の在室状態と、連携制御装置３０側で管理している在室状態との整合を図ることが可能となる。

ところで、第１および第２の設備系システム１０ａ，１０ｂに対する入退室情報を取得した時刻をそれぞれ記憶しておき、通信が不可能となった第１の設備系システム１０ａに対して、対応する時刻を参照した上で、状態合わせ処理を行うことも考えられる。しかしながら、かかる手法によれば、入退室情報の送信元の設備系システム１０ａを特定する必要があり、処理が煩雑となるおそれがあるが、本実施形態によればこのような不都合を解消することができる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

例えば、上述した第１または第２の実施形態では、高度セキュリティレベル領域と低度セキュリティレベル領域とを扉などで隔て、認証処理に応じて各領域への移動を認める設備系システムであるが、本発明はこれに限定されない。設備系システム１０は、扉などを隔てた閉塞した領域のみならず、空間的に連通する高度セキュリティレベル領域と低度セキュリティレベル領域とにいるユーザを認識する設備系システムであってもよい。この設備系システムでは、低度セキュリティレベル領域である共用ゾーンや、高度セキュリティレベル領域である特定ゾーンに設置されたゾーン監視センサと、ユーザが所有する非接触のＩＣカード２との無線通信により、ユーザが所有するＩＣカード２からカードＩＤを取得し、認証用コントロールユニットで認証処理することで、各ゾーンに存在するユーザを認識する。なお、この設備系システムにおいて用いられるＩＣカード２は、例えば、アクティブ対応のＲＦＩＤ（Radio Frequency IDentification）タグと同等の機能を有している。このような設備系システムでは、ユーザが所有するＩＣカード２に格納された情報のうち、ＩＣカード２を一意に特定する被認証情報であるカードＩＤと、カードＩＤを取得したゾーン監視センサを一意に特定する機器ＩＤとを認証用コントロールユニットから後述する連携制御装置３０に送信する。このような構成により、閉塞した領域への入退室のみならず、ある特定の領域への入退（入退室）を管理するシステムであってもよい。

第１の実施形態にかかるネットワーク管理システムの構成を示すブロック図 連携制御装置３０のシステム構成を示すブロック図 ユーザ情報記憶部３３Ａで記憶保持している情報とその内容との一例を示す説明図 認証状態記憶部３３Ｂに記憶される情報とその内容との一例を示す説明図 システム情報記憶部３３Ｃで記憶保持している情報とその内容との一例を示す説明図 第１の実施形態にかかる連携制御装置３０によって実行される状態合わせ処理の動作を示すタイミングチャート 連携制御装置３０を用いたネットワーク管理システム１の基本処理動作を示すタイミングチャート 第２の実施形態にかかるネットワーク管理システムの構成を示すブロック図 第２の実施形態にかかる連携制御装置３０によって実行される状態合わせ処理の動作を示すタイミングチャート

符号の説明

１ ネットワーク管理システム
２ ＩＣカード
１０ 設備系システム
１０ａ 第１の設備系システム
１０ｂ 第２の設備系システム
１１ 入室用カードリーダ
１２ 退室用カードリーダ
１３ 入退室コントロールユニット
２０ ネットワーク認証システム
２１ｎ 端末装置
２２ 認証装置
２３ 認証サーバ
３０ 連携制御装置
３１ 外部システムＩ／Ｆ
３２ 情報変換部
３３ 内部データベース
３３Ａ ユーザ情報記憶部
３３Ｂ 認証状態記憶部
３３Ｃ システム情報記憶部
３４ ネットワークＩ／Ｆ
３５ ＲＡＤＩＵＳ認証部
３５Ａ 認証要求中継部
３５Ｂ 要求中継判断部
３５Ｃ 機器設定記憶部
３６ 認証処理部
３７ 認証状態制御部
３８ 情報管理部
３９ 認証ログ記憶部
４０ 取得ログ記憶部
４１ 生存確認部
４２ 通信制御部
４３ 状態合わせ部

Claims (5)

1. ユーザを一意に特定する被認証情報に基づいた認証処理結果に応じて、所定領域におけるユーザの入退室を管理する入退室管理装置と前記入退室管理装置で管理される領域に構築されたネットワーク認証システムとを相互に接続し、前記入退室管理装置から、前記領域におけるユーザの入退室に関する情報を入退室情報として取得し、当該取得した入退室情報に基づいて、前記領域におけるユーザの在室状態を管理する入退室情報装置において、
   前記入退室管理装置から取得した前記入退室情報に応じた、前記領域におけるユーザの在室状態を記憶する在室状態記憶部と、
   前記入退室管理装置との通信が不可能なことを検出する生存確認部と、
   前記入退室管理装置との間における通信接続を確立する通信制御部と、
   前記生存確認部によって前記入退室管理装置との通信が不可能なことが検出された以降に、前記通信制御部によって前記入退室管理装置との間に通信可能な接続が確立された場合、前記入退室管理装置との通信が不可能となっていた期間に遡った前記入退室情報を、前記入退室管理装置に対して要求する状態合わせ部と、
   前記在室状態記憶部に記憶されたユーザの在室状態と前記ネットワーク認証システムからのネットワーク認証要求とに基づいて、前記ネットワーク認証システムの認証処理を行う認証処理部と
   を有することを特徴とする入退室情報装置。
2. 前記入退室管理装置から前記入退室情報を取得した時刻を取得時刻として記憶する取得ログ記憶部をさらに有し、
   前記状態合わせ部は、前記取得ログ記憶部を検索することにより、直近に取得した前記入退室情報の取得時刻を特定し、当該特定された取得時刻を状態合わせ時刻として設定し、当該設定された状態合わせ時刻以降に該当する前記入退室情報を、前記入退室管理装置に対して要求することを特徴とする請求項１に記載された入退室情報装置。
3. 前記状態合わせ部は、予め設定された基準期間まで遡った上限時刻と、前記状態合わせ時刻とを比較し、前記上限時刻よりも前記状態合わせ時刻の方が時間的に前に存在している場合には、前記上限時刻以降に該当する前記入退室情報を、前記入退室管理装置に対して要求することを特徴とする請求項２に記載された入退室情報装置。
4. 前記通信制御部は、前記生存確認部によって前記入退室管理装置との通信が不可能と検出された場合に、前記入退室管理装置との間に確立されていた通信接続を切断した後に、前記入退室管理装置に対して新たな通信接続の確立を要求することを特徴とする請求項１から３のいずれか一項に記載された入退室情報装置。
5. 前記入退室管理装置は、それぞれが異なる領域におけるユーザの入退室を管理する複数の入退室管理装置で構成されており、
   前記通信制御部は、前記生存確認部によって、前記複数の入退室管理装置のうち少なくとも一つの入退室管理装置との通信が不可能なことが検出された場合、前記複数の入退室管理装置との間にそれぞれ確立されていた通信接続を切断した後に、前記複数の入退室管理のそれぞれに対して新たな通信接続の確立を要求し、
   前記状態合わせ部は、前記通信制御部によって、前記複数の入退室管理装置のそれぞれとの間に通信可能な接続が確立された場合、前記複数の入退室管理装置のうち少なくとも一つの入退室管理装置との通信が不可能だった期間に遡った前記入退室情報を、前記複数の入退室管理装置のそれぞれに対して要求することを特徴とする請求項４に記載された入退室情報装置。

Images