JP2007065824A - 制御方法、制御プログラム及び制御装置 - Google Patents

Abstract

【課題】異常状態に対して適切に対応可能な認証方法にする。
【解決手段】本認証制御方法は、予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、予め定められた認証強度レベル設定ルールに従って異常レベルを認証強度レベルに変換し、当該認証強度レベルに応じた認証処理を認証サーバに実行させる設定ステップとを含む。このようにすれば、異常状態に応じた認証強度レベルの認証を認証サーバに実行させることができるようになる。すなわち、異常状態に応じた動的な認証が可能となる。
【選択図】図２

Description

本発明は、認証又はアクセス制御技術に関する。

ネットワークを介した通信では、通信相手を直接確認できないため、通信相手が本人又は本物であるかを確認処理、すなわち認証処理が重要となる。従来では、認証強度を上げるべく、利用者の認証だけではなく、機器認証、環境認証（ここでは利用する機器のセキュリティ対策や性能が十分であるかの確認）をも加える３種統合認証が提案されている（例えば特開２００４−１５７７９０号公報参照のこと）。このような３種統合認証は、認証強度を高めるという点ではよいが、反面、緊急性を有する通信や様々な異常状態において、常に強力な認証を必要とすると、災害などの異常時に迅速性の高い要求や処理を即座に実施させることが困難になる。但し、災害に乗じた犯罪も多発しており、安易に認証を省略することもできない。

また、特開２００３−２４８６６１号公報には、ユーザに対する個別のサービスであるか、少額の決済を必要とするサービスであるか、所定の価格帯の決済を必要とするサービスか、所定の金額以上の決済を必要とするサービスか、入室や入門のための認証処理若しくは所定の情報にアクセスするための認証処理であるか、前回の認証が成功し且つ所定時間内に連続して認証処理が実行されているか、ユーザのサービス内容が所定の条件を満たすかといったユーザコンテキスト情報に従って、認証レベルなどを変更する処理が開示されている。但し、異常状態は全く検知されておらず、異常状態との関連性については考察されていない。
特開２００４−１５７７９０号公報 特開２００３−２４８６６１号公報

上でも述べたが、従来技術では様々な異常状態に応じて認証強度レベルや通信の優先度（アクセス権限などを含む）を動的に変更するという仕組みが無く、災害などの異常時に必要な接続及び処理が迅速に実行できないという問題があり、一方で認証強度レベルを一律に下げては犯罪者に対してつけいる隙を作ってしまうなどの問題がある。

従って、本発明の目的は、異常状態に対して適切に対応可能な認証技術又はアクセス制御技術を提供することである。

本発明の第１の態様に係る制御方法は、予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、予め定められた認証強度レベル設定ルールに従って異常レベルを認証強度レベルに変換し、当該認証強度レベルに応じた認証処理を認証サーバに実行させる設定ステップとを含む。このようにすれば、異常状態に応じた認証強度レベルの認証を認証サーバに実行させることができるようになる。すなわち、異常状態に応じた動的な認証が可能となる。

また、上記予め定められた認証強度レベル設定ルールが、接続元と接続先との組み合わせの事前登録の有無に基づくルールを含むようにしてもよい。このようにすることによって、安全な組み合わせであるか否かを判断できるため、認証強度レベルの設定又は調整を適切に行うことができるようになる。

本発明の第２の態様に係る制御方法は、予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、予め定められた接続制御ルールに従って異常レベルを、接続拒否を含む接続優先度に変換し、当該接続優先度を接続機器に設定する設定ステップとを含む。認証を行わない場合にも、異常状態に応じた接続の可否、優先度を設定することができる。

また、上記予め定められた接続制御ルールが、接続元と接続先との組み合わせの事前登録の有無に基づくルールを含むようにしてもよい。

本発明の第１又は第２の態様において、異常レベル特定ステップがポリシー管理サーバにより実行され、コンテキスト格納部がコンテキスト管理サーバに設けられるようにしてもよい。そして、コンテキスト管理サーバからコンテキスト格納部に格納された異常に係るコンテキストの変化を表すデータをポリシー管理サーバに通知するステップをさらに含むようにしてもよい。

また、ポリシー管理サーバからの要求に応じて、コンテキスト管理サーバからコンテキスト格納部に格納された異常に係るコンテキストのデータをポリシー管理サーバに送信するステップをさらに含むようにしてもよい。

さらに、本発明の第１又は第２の態様において、異常レベル特定ステップがコンテキスト管理サーバにより実行され、設定ステップがポリシー管理サーバにより実行されるようにしてもよい。そして、異常レベル特定ステップにおいて特定された異常レベルを、コンテキスト管理サーバからポリシー管理サーバに送信する送信ステップをさらに含むようにしてもよい。

また、上で述べた送信ステップを、ポリシー管理サーバからの要求に応じてコンテキスト管理サーバによって実行するようにしてもよい。

また、接続要求が緊急通報である場合、認証強度レベルを下げるステップを実行するようにしても良い。警察署への通報など明らかに緊急であるような接続要求については、認証を行わない等認証強度レベルを下げるようにしてもよい。同様に、接続要求が緊急通報である場合、接続要求による接続を強制的に許可するステップをさらに含むようにしてもよい。

さらに、接続元と接続先との組み合わせの事前登録の有無に基づくルールが、接続元と接続先との組み合わせが事前登録済みでない場合に比して事前登録済みである場合に認証強度レベルを低くするというルールを含むようにしてもよい。このように事前登録済みであれば異常時においても安全性が高く、異常状態に迅速に対応すべく認証強度レベルを低く設定するものである。反対に、接続元と接続先との組み合わせが事前登録されていない場合には、不正なアクセスを排除するために、認証強度レベルを高くするようにしてもよい。

同様に、接続元と接続先との組み合わせの事前登録の有無に基づくルールが、接続元と接続先との組み合わせが事前登録済みでない場合に比して事前登録済みである場合に接続優先度を高くするというルールを含むようにしてもよい。

さらに、上で述べた認証強度レベルが、利用者認証、機器認証及び環境認証のうち少なくとも１つを用いて規定されるようにしてもよい。環境認証は、例えば、オペレーティング・システムの種別、オペレーティング・システムの版数、ウィルス検出能力、フィッシング検出能力、及び機器の性能又は容量のうち少なくともいずれかについての認証である。

また、上記予め定められた認証強度レベル設定ルールが、デフォルト認証強度レベルの上下を規定するようにしてもよい。そして、認証強度レベルを下げる場合には、当該認証強度レベルにおける認証種別数を減じ、認証強度レベルを上げる場合には、当該認証強度レベルにおける認証種別数を増加させるようにしてもよい。

さらに、上記予め定められた認証強度レベル設定ルールが、デフォルト認証強度レベルの上下を規定するようにしてもよい。そして、認証強度レベルを下げる場合には、予め規定された使用認証種別におけるレベルを下げ、認証強度レベルを上げる場合には、予め規定された使用認証種別におけるレベルを上げるようにしてもよい。

また、予め定められた認証強度レベル設定ルールが、異常レベルを含み且つ予め規定された場合分けに対応して登録された認証パターンを１つ選択させるように規定されるようにしてもよい。

さらに、認証サーバが、認証種別又はレベル毎に必要な認証処理を行う個別サーバを含むようにしてもよい。そして、上で述べた設定ステップが、当該設定ステップを実行するポリシー管理サーバにより、特定された認証強度レベルに対応する認証種別又はレベルのための個別サーバを選択するステップを含むようにしてもよい。

また、ポリシー管理サーバにより、特定された認証強度レベルにおいて必要となる認証情報の送信要求を接続要求元の端末に送信するステップと、ポリシー管理サーバにより、接続要求元の端末から受信した認証情報を、選択された前記個別サーバに送信するステップとをさらに含むようにしてもよい。

さらに、ポリシー管理サーバにより、選択された個別サーバに対して認証要求を送信するステップと、個別サーバから、接続要求元の端末に必要な認証情報の送信要求を送信するステップとをさらに含むようにしてもよい。

本発明に係る制御方法は、プログラムがコンピュータ・ハードウエアに実行させることにより実施され、このプログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等の記憶媒体又は記憶装置に格納される。また、ネットワークなどを介してデジタル信号として配信される場合もある。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

本発明によれば、異常状態に対して適切に対応可能な認証又はアクセス制御を行うことができるようになる。

図１に本発明の一実施の形態に係るシステム概要図を示す。本実施の形態に係るシステムでは、ユーザプレイン１００と認証制御プレイン２００とコンテキスト管理プレイン３００との３つのプレインで構成される。ユーザプレイン１００には、ネットワーク（ＬＡＮ（Local Area Network），ＨＮ（Home Network）、ＷＡＮ（Wide Area Network）など）に接続されている様々な機器が含まれる。図１の例では、ＬＡＮやＨＮにはネットワーク（ＮＷ）接続機器１０３とＣＥ（Customer Edge）／ＨＧＷ（Home Gateway）１０４とが接続されており、ＮＷ接続機器１０３には例えばパーソナルコンピュータである複数のユーザ端末１０１及び１０２などが接続されている。また、ＷＡＮにはエッジルータ１０５とコアスイッチ１０６とＧＷ（Gateway）１０７とが接続されており、ＣＥ／ＨＧＷ１０４はエッジルータ１０５と接続されており、ＧＷ１０７は特定のサービスを提供する複数のアプリケーションサーバ１０８と接続されている。ユーザプレイン１００に属する機器及びネットワークは図１には示されていなくとも多数存在している。また、ユーザプレイン１００に属する機器は、認証を必要とする場面及び接続を行う場面において必要があれば、後に述べる認証／アクセスポリシー管理サーバ２０１と連携可能となっている。

認証制御プレイン２００には、認証／アクセスポリシー管理サーバ２０１と、複数の認証サーバ（図１では認証サーバＡ乃至Ｃ）とを含む。認証／アクセスポリシー管理サーバ２０１は、複数の認証サーバと連携して認証強度レベルに応じた認証処理を実施する。なお、認証／アクセスポリシー管理サーバ２０１及び複数の認証サーバは、ユーザプレイン１００におけるネットワークに接続されており、認証／アクセスポリシー管理サーバ２０１は、ユーザプレイン１００に属する機器からの要求に応じて処理を行ったり、必要な指示及び設定をユーザプレイン１００に属する機器に対して行う。また、複数の認証サーバは、例えばユーザ端末１０１及び１０２と通信を行い、各種認証処理を実施する。なお、例えば、認証サーバＡは利用者認証を実施し、認証サーバＢは機器認証を実施し、認証サーバＣは環境認証を実施する。その他、認証サーバＡが、パスワード認証を実施し、認証サーバＢが、バイオメトリックス認証を実施するといったように、認証技術の種類毎に認証サーバを設けるようにしても良い。

コンテキスト管理プレイン３００には、コンテキスト管理サーバ３０１が含まれており、コンテキスト管理サーバ３０１は、ユーザプレイン１００、交通、社会、天候などにおいて生じた事象のデータ及び登録ユーザにおいて生じた事象のデータを収集するコンテキスト収集部４０１からコンテキストの収集データを受信する。コンテキスト管理サーバ３０１は認証／アクセスポリシー管理サーバ２０１と連携して異常レベルを特定するようにしてもよい。

コンテキスト収集部４０１は、様々なセンサであり、（１）ユーザプレイン１００におけるネットワークの障害状況、輻輳状態、ウィルス伝播状態などを収集する装置、（２）電車の運行管理システムから運行状況に関するデータを受信する装置、又は各電車、各路線バスなどに付されたＩＣタグと駅又は停留所等に設けられたＩＣタグ・リーダとタイムテーブルとを組み合わせて運行状況を収集する装置、（３）道路に設けられた速度センサなどから車両の移動状況を収集する装置、（４）他の交通情報を提供するシステムから事故情報を収集する装置、（５）インターネット等に設けられた信頼あるニュースサイトから特定の種類のニュース（戦争、戦乱、テロ、国会解散など）を収集する装置、（６）地震計、（７）雨量計、気圧計、温度計、湿度計、風力計、気象庁ホームページなどから提供される台風、降雪、地震その他の特定のデータを収集する装置、（８）火災報知器、煙探知機、においセンサなどから火災の発生状況のデータを収集する装置、（９）株式市場システムから株価の値動きに関するデータを収集する装置、（１０）ホームセキュリティ・システムから得られる登録ユーザ宅への侵入の有無を収集する装置、（１１）物品、登録ユーザ、登録ユーザに関連する人などに付されたＩＣタグと各所に配置されたＩＣタグ・リーダから物品又は人の移動に関する状況データを収集して、盗難又は誘拐の可能性を検出する装置、（１２）警報用の携帯端末から発せられた警報（犯罪（脅迫など）、病気（発作など）、負傷などの発生に関する警報）を収集する装置、（１３）体温、脈拍、血圧などを測定した結果を収集し、特定の病状を検出する装置など、様々な装置を含む。

（２）（３）（４）等に基づき、交通の全面マヒ、大事故発生、複数路線のストップ、予め定められた大渋滞、予め定められた渋滞、単発事故などを検出する。（５）（９）に基づき、戦争勃発、同時テロ発生、株の急激な暴落、国会解散などを検出する。（６）から、震度６以上の地震の発生、震度４乃至５の地震の発生、震度３以下の地震の発生などを検出する。（７）などに基づき予め定められたレベルの大型台風、予め定められたレベルの大雪、大雨、予め定められた基準を満たす猛暑などを検出する。（８）によって火災の規模を検出する。（１０）（１２）（１３）などに基づき、強盗の侵入、誘拐、脅迫、ストーカの出現、スリの発生、重体、重傷、持病の発作、負傷、花粉症の発生などを検出する。

次に、図２乃至図２０を用いて図１に示したシステムの処理内容を説明する。図２に認証処理を伴う処理の概要を示す。まず、コンテキスト収集部４０１は、予め規定されているコンテキストのデータを収集し、コンテキスト管理サーバ３０１に通知する（ステップＳ１）。コンテキスト管理サーバ３０１は、コンテキスト収集部４０１からコンテキストのデータを受信し、コンテキスト格納部に格納する。コンテキスト格納部は、例えば図３（ａ）及び（ｂ）に示すようなデータ・フォーマットでデータを管理する。図３（ａ）は、公共コンテキストを格納するためのデータ・フォーマットの一例を示す。図３（ａ）の例では、公共コンテキストとして、ネットワーク（ＮＷ）のコンテキスト、交通に関するコンテキスト、社会に関するコンテキスト、地震についてのコンテキスト、及び天候についてのコンテキストを保持するようになっている。また、図３（ｂ）は、個人のコンテキストを格納するためのデータ・フォーマットの一例を示す。図３（ｂ）の例では、各登録ユーザのユーザＩＤに対応して、犯罪についてのコンテキストと、健康についてのコンテキストとを保持するようになっている。コンテキスト格納部は、以下に述べるように認証／アクセスポリシー管理サーバ２０１においても保持される場合もある。すなわち、コンテキスト管理サーバ３０１から認証／アクセスポリシー管理サーバ２０１にコンテキスト・データを通知する場合もある。

次に、コンテキスト管理サーバ３０１は、コンテキスト格納部に格納されているコンテキスト・データ及び基準テーブルに基づき異常レベルを特定し、異常レベルデータ格納部に格納する（ステップＳ２）。例えば図４に示すような基準テーブルを用いる。図４の例では、公共コンテキスト（ＮＷ，交通，社会，地震，天候）のそれぞれにつき、個人のコンテキスト（犯罪，健康）のそれぞれにつき、異常レベルIII、異常レベルII、異常レベルＩの具体的状態が規定されている。図３（ａ）及び（ｂ）に示したコンテキスト・データが、図４に示した定義と一致する場合、一致する異常レベルを特定する。なお、基準テーブルについては、全てのユーザで統一せず、登録ユーザ毎に定義するようにしてもよい。

また、図５（ａ）及び（ｂ）に異常レベルデータ格納部に格納されるデータの一例を示す。図５（ａ）は、公共コンテキストに基づき特定された異常レベルについてのデータ・フォーマットの一例を示す。図５（ａ）の例では、ネットワーク（ＮＷ）、交通、社会、地震及び天候のそれぞれについて、異常レベルを格納するようになっている。図３（ａ）の例では、ネットワークにおいて輻輳が発生しているので、ネットワークについての異常レベルは異常レベルＩと特定される。また、天候については大雨というコンテキストが特定されているので、天候についての異常レベルは異常レベルIIと特定される。また、図５（ｂ）は、個人コンテキストに基づき特定された異常レベルについてのデータ・フォーマットの一例を示す。図５（ｂ）の例では、各登録ユーザのユーザＩＤに対応して、犯罪についての異常レベルと、健康についての異常レベルとを保持するようになっている。図３（ｂ）の例では、ユーザＡ０００１の健康についてのコンテキストは持病の発作であるから、健康についての異常レベルは異常レベルIIと判断される。また、ユーザＡ０００４の犯罪についてのコンテキストは侵入であるから、犯罪についての異常レベルは異常レベルIIIと判断される。

なお、基準テーブル及び異常レベルデータ格納部は、コンテキスト管理サーバ３０１に設けられる場合もあれば、認証／アクセスポリシー管理サーバ２０１に設けられる場合もある。

次に、認証／アクセスポリシー管理サーバ２０１は、ユーザ端末１０１等からの接続要求などに応答して、異常レベルデータ格納部に格納された異常レベルを予め定められたルールに従って認証強度レベルに変換し、当該認証強度レベルを特定する（ステップＳ３）。本処理については、後に詳しく述べる。なお、本実施の形態における認証種別には、利用者認証、機器認証、及び環境認証が含まれる。各認証種別における認証レベルは、例えば図６に示すように規定される。図６の例では、利用者認証、機器認証、及び環境認証のそれぞれにつき、レベル０からレベル４まで認証レベルの内容が示されている。利用者認証において、最弱の認証レベルであるレベル１ではＩＤ／パスワードの認証が行われ、レベル２ではバイオメトリクス認証の１種類の認証が行われ、レベル３ではレベル１及び２のうち２種類以上の認証が行われ、最強の認証レベルであるレベル４では予め定められた複数人（他のユーザ（上司など）を含む）の認証が行われるものと規定されている。また、機器認証において、最弱の認証レベルであるレベル１では製造者の確認が行われ、レベル２では製造者に加え製造年月の確認が行われ、レベル３では製造者及び製造年月に加え個品番号（シリアル番号）の確認が行われ、最強の認証レベルであるレベル４では公的機関による認定の確認が行われるものと規定されている。さらに、環境認証においては、最弱の認証レベルであるレベル１ではＯＳの版数の確認が行われ、レベル２では版数に加えウィルス検出能力が確認され、レベル３では版数及びウィルス検出能力に加えスパイウェア検出能力が確認され、最強の認証レベルであるレベル４ではＣＰＵ性能／ディスク容量について確認がなされる。

なお、図６を踏まえて、認証強度レベルには、最強レベル、強レベル、普通レベル及び最弱レベルが規定でき、例えば、利用者認証、機器認証及び環境認証のそれぞれ１つを行う場合が普通レベル（すなわち３通り）、利用者認証、機器認証及び環境認証のうちいずれか２つを行う場合が強レベル（すなわち３通り）、全てを実施する場合が最強レベル、何もしないのを最弱レベルとする。これで組み合わせによって８通り規定可能となる。さらに、認証強度レベルにつき、利用者認証のレベル、機器認証のレベル、環境認証のレベルを組み合わせれば、最強レベルが６４レベル（＝４³）、強レベルが各々１６レベル（＝４×４）及び４８パターン（＝１６×３）、普通レベルが各々４レベル及び１２パターン（＝４×３）と細分化することも可能である。細分化した結果は、全体で６４＋１６＋４＝８４レベル、６４＋４８＋１２＝１２４パターンが使用可能となる。なお、どのような認証強度レベルを採用するようにしても良い。

そして、認証／アクセスポリシー管理サーバ２０１は、認証強度レベルに対応して必要となる認証サーバを特定し、その認証サーバに必要な認証処理を実行させる（ステップＳ５）。認証処理の結果は、各認証サーバから認証／アクセスポリシー管理サーバ２０１に通知される。認証／アクセスポリシー管理サーバ２０１は、各認証サーバから認証結果を受信し、総合的に認証成功か判断する（ステップＳ７）。認証不成功であれば、処理を終了する。一方、認証成功であれば、ユーザプレイン１００に属する機器に対してサービス提供又はアクセスの許可を通知及び設定する（ステップＳ９）。ユーザプレイン１００に属する機器は、通知及び設定に従って、ユーザ端末１０１などの接続要求などに従った処理を実施する。その後処理を終了する。

このようにすれば、異常に係るコンテキストに応じて異常レベルが特定され、異常レベルが所定のルールに従って認証強度レベルに変換される。そして、当該認証強度レベルに従った認証を実施すれば、異常に係るコンテキストに応じた認証が実施されるようになる。

なお、図２では認証を実施する場合を示したが、認証を行わずアクセス制御を行う場合もある。その場合には、まず、コンテキスト収集部４０１は、予め規定されているコンテキストのデータを収集し、コンテキスト管理サーバ３０１に通知する（図７：ステップＳ１１）。コンテキスト管理サーバ３０１は、コンテキスト収集部４０１からコンテキストのデータを受信し、コンテキスト格納部に格納する。この処理はステップＳ１と同じである。

次に、コンテキスト管理サーバ３０１は、コンテキスト格納部に格納されているデータ及び基準テーブルに基づき異常レベルを特定し、異常レベルデータ格納部に格納する（ステップＳ１３）。この処理についてもステップＳ２と同じである。

そして、認証／アクセスポリシー管理サーバ２０１は、ユーザ端末１０１等からの接続要求などに応答して、異常レベルデータ格納部に格納された異常レベルを予め定められたルールに従って接続優先度に変換し、当該接続優先度を特定する（ステップＳ１５）。接続優先度は、接続を強制的に許可、強制的に拒否、優先的に接続、優先度を下げて接続などがある。本ステップの処理については、後に詳しく述べる。

その後、認証／アクセスポリシー管理サーバ２０１は、特定された接続優先度を、ユーザプレイン１００に属する必要な機器に設定して、当該接続優先度に従ったルーティング／アクセス制御を実行させる（ステップＳ１７）。なお、接続の強制的な拒否であれば、ルーティングは全く行われず、接続要求は破棄される。その後処理を終了する。

このようにすれば、異常に係るコンテキストに応じて異常レベルが特定され、異常レベルが所定のルールに従って接続優先度に変換される。そして、当該接続優先度に従ったルーティングを実施すれば、異常に係るコンテキストに応じたアクセス制御／接続制御が実施されるようになる。

次に、基本処理フローの詳細を図８乃至図２０を用いて説明する。コンテキスト管理サーバ３０１は、コンテキスト格納部に格納されているデータのうち変化のあったコンテキストのデータ、又は異常レベルデータ格納部に格納されているデータのうち変化のあった異常レベルのデータを認証／アクセスポリシー管理サーバ２０１に自動的に送信する（図８：ステップＳ２１）。なお、定期的に全てのコンテキストのデータ又は異常レベルのデータを認証／アクセスポリシー管理サーバ２０１に送信するようにしてもよい。認証／アクセスポリシー管理サーバ２０１は、コンテキスト管理サーバ３０１からコンテキストのデータ又は異常レベルのデータを受信し、認証／アクセスポリシー管理サーバ２０１におけるコンテキスト格納部又は異常レベルデータ格納部に格納する（ステップＳ２３）。

ユーザ端末１０１は、発信元ユーザＩＤ及び接続先アドレス等を含む接続要求（又は認証要求）をＮＷ接続機器１０３に送信する（ステップＳ２５）。ＮＷ接続機器１０３は、ユーザ端末１０１から接続要求を受信すると、当該接続要求を認証／アクセスポリシー管理サーバ２０１に転送する（ステップＳ２７）。

その後、認証／アクセスポリシー管理サーバ２０１は、ＮＷ接続機器１０３から接続要求を受信し（ステップＳ２９）、当該接続要求に係るサービス内容と、コンテキストのデータから特定される異常レベル又は既に特定されている異常レベル自体と予め定められたルールとから認証強度レベルを決定する（ステップＳ３１）。上でも述べたが、この処理については後に詳細に述べる。但し、認証不要と判断される場合もあるので、その場合には図１０のステップＳ６７に移行する。認証強度レベルが特定されると、認証／アクセスポリシー管理サーバ２０１は、認証強度レベルに対応する認証処理を特定すると共に、当該認証処理に必要となる認証情報（ＩＤ及びパスワードと指紋データなど）の要求をユーザ端末１０１に送信する（ステップＳ３３）。ＮＷ接続機器１０３は、認証／アクセスポリシー管理サーバ２０１から認証情報要求を受信し、ユーザ端末１０１に転送する（ステップＳ３５）。ユーザ端末１０１は、認証情報要求をＮＷ接続機器１０３から受信し、要求内容を表示装置に表示する（ステップＳ３７）。

ユーザは、表示装置に表示されている必要な認証情報を確認し、ユーザ端末１０１に入力する。ユーザ端末１０１は、ユーザから認証情報の入力を受け付け、認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ３９）。例えばユーザ端末１０１に設けられた特別の機器又は半導体チップなどが収集した認証情報を送信する場合もある。ＮＷ接続機器１０３は、ユーザ端末１０１から認証情報を受信し、認証／アクセスポリシー管理サーバ２０１に転送する（ステップＳ４１）。認証／アクセスポリシー管理サーバ２０１は、ＮＷ接続機器１０３を介してユーザ端末１０１から認証情報を受信する（ステップＳ４３）。その後端子Ａを介して図９の処理に移行する。

図９の説明に移行して、認証／アクセスポリシー管理サーバ２０１は、ユーザ端末１０１から受信した認証情報のうち認証サーバＡ用の認証情報を含む認証要求を、認証サーバＡに送信する（ステップＳ４５）。認証サーバＡは、認証／アクセスポリシー管理サーバ２０１から、認証サーバＡ用の認証情報を含む認証要求を受信する（ステップＳ４７）。そして、認証サーバＡは、認証サーバＡ用の認証情報を用いて認証処理を実施する（ステップＳ４９）。認証処理の具体的内容についてはここでは主旨ではないので、説明を省略する。認証サーバＡは、認証結果を認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ５１）。認証／アクセスポリシー管理サーバ２０１は、認証サーバＡから認証結果を受信し、データ格納部に格納する（ステップＳ５３）。

また、認証／アクセスポリシー管理サーバ２０１は、ユーザ端末１０１から受信した認証情報のうち認証サーバＢ用の認証情報を含む認証要求を、認証サーバＢに送信する（ステップＳ５５）。認証サーバＢは、認証／アクセスポリシー管理サーバ２０１から、認証サーバＢ用の認証情報を含む認証要求を受信する（ステップＳ５７）。そして、認証サーバＢは、認証サーバＢ用の認証情報を用いて認証処理を実施する（ステップＳ５９）。認証サーバＢは、認証結果を認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ６１）。認証／アクセスポリシー管理サーバ２０１は、認証サーバＢから認証結果を受信し、データ格納部に格納する（ステップＳ６３）。そして処理は端子Ｂを介して図１０の処理に移行する。

このような処理を認証強度レベルから特定される認証処理を実施する認証サーバ毎に実行する。また図９ではシリアルに実行する例を示しているが、複数の認証サーバに並行して認証要求を送信するようにしてもよい。

認証／アクセスポリシー管理サーバ２０１は、受信した認証結果に基づき接続可否を判断する（ステップＳ６５）。具体的には全ての認証結果が成功を表しているか判断する。全ての認証結果が成功である場合には接続可と判断し、１つでも認証失敗となっていれば接続不可と判断する。そして、認証／アクセスポリシー管理サーバ２０１は、接続可否の指示をＮＷ機器１０３に送信し、さらに関係する他の接続機器にも送信する（ステップＳ６７）。

ＮＷ接続機器１０３は、認証／アクセスポリシー管理サーバ２０１から接続可否指示を受信し、指示に従って設定を行う（ステップＳ７１）。同様に、関係する他の接続機器は、接続可否指示を受信し、指示に従って設定を行う（ステップＳ６９）。接続可についての指示であれば、ユーザ端末１０１と接続要求に係る接続先との接続を可能とするための設定を行い、接続不可についての指示であれば、ユーザ端末１０１と接続要求に係る接続先との接続を遮断とするための設定を行う。

また、ＮＷ接続機器１０３は、接続可否をユーザ端末１０１に通知する（ステップＳ７３）。ユーザ端末１０１は、ＮＷ接続機器１０３から接続可否通知を受信し、表示装置に表示する（ステップＳ７５）。また、ユーザ端末１０１は、接続可であれば、接続要求に対応するアクセス・パケットを例えばアプリケーションサーバ１０８に送信する（ステップＳ７６）。ＮＷ接続機器１０３は、ユーザ端末１０１からのアクセス・パケットを受信し、接続可の設定に係るパケットであることを確認して転送する（ステップＳ７７）。同様に、経路上の他の接続機器も、ユーザ端末１０１からのアクセス・パケットを受信し、接続可の設定に係るパケットであることを確認して転送する（ステップＳ７９）。アプリケーションサーバ１０８は、ユーザ端末１０１からのアクセス・パケットを受信し、対応する処理を実施する（ステップＳ８１）。これ以降の処理は通常の処理と変わりないので、ここでは説明を省略する。

このような処理によって、異常に係るコンテキストに応じた認証強度レベルが特定され、それに応じた認証が行われるようになる。その結果として接続可否が決定され、接続可であれば通信が行われるようになる。

図８に示した処理フローでは、コンテキスト管理サーバ３０１が自動的にコンテキストのデータ又は異常レベルを認証／アクセスポリシー管理サーバ２０１に送信する例を示したが、これに対して図１１のような処理を実施するようにしてもよい。

すなわち、ユーザ端末１０１は、発信元ユーザＩＤ及び接続先アドレス等を含む接続要求（又は認証要求）をＮＷ接続機器１０３に送信する（ステップＳ９１）。ＮＷ接続機器１０３は、ユーザ端末１０１から接続要求を受信し、当該接続要求を認証／アクセスポリシー管理サーバ２０１に転送する（ステップＳ９３）。認証／アクセスポリシー管理サーバ２０１は、ＮＷ接続機器１０３から接続要求を受信し（ステップＳ９５）、接続要求に含まれるユーザＩＤを含むコンテキスト／異常レベル要求をコンテキスト管理サーバ３０１に送信する（ステップＳ９７）。コンテキスト管理サーバ３０１は、コンテキスト／異常レベル要求を認証／アクセスポリシー管理サーバ２０１から受信すると（ステップＳ９９）、コンテキスト／異常レベル要求に含まれるユーザＩＤに係るコンテキストのデータをコンテキスト格納部から抽出し、又は抽出されたコンテキストのデータから特定された異常レベルを異常レベルデータ格納部から抽出し、認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ１０１）。なお、コンテキストのデータ又は異常レベルについては、登録ユーザ毎に異なる部分についてはユーザＩＤに対応するコンテキストのデータ又は異常レベルを抽出し、さらに共通のコンテキストのデータ又は異常レベルをもさらに抽出する。そして、認証／アクセスポリシー管理サーバ２０１は、コンテキスト管理サーバ３０１からコンテキストのデータ又は異常レベルのデータを受信する（ステップＳ１０３）。

その後、認証／アクセスポリシー管理サーバ２０１は、ステップＳ９５において受信した接続要求に係るサービス内容と、コンテキストのデータから特定される異常レベル又は既に特定されている異常レベル自体と予め定められたルールとから認証強度レベルを決定する（ステップＳ１０５）。上でも述べたが、この処理については後に詳細に述べる。但し、認証不要と判断される場合もあるので、その場合には図１０のステップＳ６７に移行する。認証強度レベルが特定されると、認証／アクセスポリシー管理サーバ２０１は、認証強度レベルに対応する認証処理を特定すると共に、当該認証処理に必要となる認証情報（ＩＤ及びパスワードと指紋データなど）の要求をユーザ端末１０１に送信する（ステップＳ１０７）。ＮＷ接続機器１０３は、認証／アクセスポリシー管理サーバ２０１から認証情報要求を受信し、ユーザ端末１０１に転送する（ステップＳ１０９）。ユーザ端末１０１は、認証情報要求をＮＷ接続機器１０３から受信し、要求内容を表示装置に表示する（ステップＳ１１１）。

ユーザは、表示装置に表示されている必要な認証情報を確認し、ユーザ端末１０１に入力する。ユーザ端末１０１は、ユーザから認証情報の入力を受け付け、認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ１１３）。ＮＷ接続機器１０３は、ユーザ端末１０１から認証情報を受信し、認証／アクセスポリシー管理サーバ２０１に転送する（ステップＳ１１５）。認証／アクセスポリシー管理サーバ２０１は、ＮＷ接続機器１０３を介してユーザ端末１０１から認証情報を受信する（ステップＳ１１７）。その後端子Ａを介して図９の処理に移行する。以下の処理は同様である。

このように認証／アクセスポリシー管理サーバ２０１からのリクエストベースでコンテキストのデータ又は異常レベルのデータを送信するようにしても同様の効果を得ることができる。

また、上でも述べたように異常レベルの特定処理については、コンテキスト管理サーバ３０１において実行してもよいし、認証／アクセスポリシー管理サーバ２０１において実行してもよい。

図１２にコンテキスト管理サーバ３０１において異常レベルを特定するための処理を実行する場合の処理内容を示す。この場合、コンテキスト管理サーバ３０１は、コンテキスト格納部に格納されているコンテキストのデータを基準テーブルに基づき解析し（ステップＳ１２１）、公共コンテキスト及び個人コンテキストのそれぞれにつき異常レベルを特定する（ステップＳ１２３）。ステップＳ１２１及びＳ１２３は、定期的に又はコンテキストが変更／更新されたときに実行する。もし、自動通知モードがＯＮに設定されていれば（ステップＳ１２５：Ｙｅｓルート）、ステップＳ１２３において特定された異常レベルのデータを自動的に認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ１２７）。認証／アクセスポリシー管理サーバ２０１は、コンテキスト管理サーバ３０１から異常レベルのデータを受信し、認証／アクセスポリシー管理サーバ２０１の異常レベルデータ格納部に格納する（ステップＳ１２９）。なお、送信する異常レベルについては、更新されたものだけであってもよい。

一方、自動通知モードがＯＦＦに設定されていれば（ステップＳ１２５：Ｎｏルート）、コンテキスト管理サーバ３０１は、要求を受信するまでステップＳ１２１及びＳ１２３を繰り返す。認証／アクセスポリシー管理サーバ２０１は、ユーザ端末１０１から接続要求などを受信した場合に、接続要求などに係るユーザＩＤを含む異常レベル・データ要求をコンテキスト管理サーバ３０１に送信する（ステップＳ１３１）。コンテキスト管理サーバ３０１は、認証／アクセスポリシー管理サーバ２０１からユーザＩＤを含む異常レベル・データ要求を受信すると（ステップＳ１３３）、要求に係る異常レベルのデータ（ユーザＩＤに対応する個人コンテキストから特定された異常レベルと公共コンテキストから特定された異常レベル）を抽出し、認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ１３５）。認証／アクセスポリシー管理サーバ２０１は、コンテキスト管理サーバ３０１から異常レベルのデータを受信し、認証／アクセスポリシー管理サーバ２０１の異常レベルデータ格納部に格納する（ステップＳ１３７）。そして認証強度レベルを特定するための処理などを実施する。

例えば、公共コンテキストに係る異常レベルについては自動通知モードでコンテキスト管理サーバ３０１から認証／アクセスポリシー管理サーバ２０１に送信するようにし、個人コンテキストに係る異常レベルについてはリクエストベースでコンテキスト管理サーバ３０１から認証／アクセスポリシー管理サーバ２０１に送信するようにしてもよい。異常レベル・データ要求に、公共コンテキストに係る異常レベルのデータを要求しているのか、個人コンテキストに係る異常レベルのデータを要求しているのかを指定してもよい。

次に、コンテキスト管理サーバ３０１ではなく認証／アクセスポリシー管理サーバ２０１において異常レベルを特定する場合の処理内容を図１３を用いて説明する。この場合、コンテキスト管理サーバ３０１においては前提処理としてコンテキストの収集が行われており、コンテキストのデータはコンテキスト格納部に格納されている。もし、自動通知モードがＯＮであれば（ステップＳ１４１：Ｙｅｓルート）、定期的に又はコンテキストに変化が生じた場合に、コンテキスト管理サーバ３０１は、コンテキスト格納部からコンテキストのデータを読み出し、認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ１４９）。送信するコンテキスト・データは、変更されたコンテキストのデータのみを送信する場合もあれば、例えば定期的に全てのコンテキスト・データを送信するようにしてもよい。認証／アクセスポリシー管理サーバ２０１は、コンテキスト管理サーバ３０１からコンテキスト・データを受信し（ステップＳ１５１）、認証／アクセスポリシー管理サーバ２０１のコンテキスト格納部に格納する。

認証／アクセスポリシー管理サーバ２０１は、コンテキスト格納部に格納されているコンテキストのデータを基準テーブルに基づき解析し（ステップＳ１５３）、公共コンテキスト及び個人コンテキストのそれぞれにつき異常レベルを特定する（ステップＳ１５５）。そして認証強度レベルを特定するための処理などを実施する。

一方、自動通知モードがＯＦＦであれば（ステップＳ１４１：Ｎｏルート）、コンテキスト管理サーバ３０１は、認証／アクセスポリシー管理サーバ２０１からコンテキスト・データ要求を受信するまで、収集したコンテキストのデータをコンテキスト格納部に格納する。そして、認証／アクセスポリシー管理サーバ２０１は、ユーザ端末１０１などから接続要求等を受信すると、接続要求に係るユーザＩＤを含むコンテキスト・データ要求をコンテキスト管理サーバ３０１に送信する（ステップＳ１４３）。コンテキスト管理サーバ３０１は、認証／アクセスポリシー管理サーバ２０１からコンテキスト・データ要求を受信し（ステップＳ１４５）、要求に係るコンテキストをコンテキスト管理サーバ３０１のコンテキスト格納部から抽出する（ステップＳ１４７）。コンテキスト・データ要求に含まれるユーザＩＤに対応する個人コンテキストを抽出し、さらに公共のコンテキストを抽出する。そして、ステップＳ１４９に移行して、抽出したコンテキストのデータを認証／アクセスポリシー管理サーバ２０１に送信する。

例えば、公共コンテキストについては自動通知モードでコンテキスト管理サーバ３０１から認証／アクセスポリシー管理サーバ２０１に送信するようにし、個人のコンテキストについてはリクエストベースでコンテキスト管理サーバ３０１から認証／アクセスポリシー管理サーバ２０１に送信するようにしてもよい。コンテキスト・データ要求に、公共コンテキストを要求しているのか、個人コンテキストを要求しているのかを指定してもよい。

次に、認証強度レベルを特定するための処理について図１４乃至図１８を用いて説明する。本処理は、認証／アクセスポリシー管理サーバ２０１が実行する。まず、受信した接続要求の接続先アドレス等を用いて、要求サービスを特定する（ステップＳ１６１）。接続先アドレス（ＵＲＬ（Uniform Resource Locator）を含む）とサービス内容との対応テーブルを用意しておき、当該対応テーブルを用いて要求サービスを特定するようにしても良い。一部に要求サービスのコードを含むようにＵＲＬを設定することも可能である。また、認証／アクセスポリシー管理サーバ２０１が、接続要求に係る接続先に対して、どのようなサービスを行うか問い合わせるようにしてもよい。

そして、要求サービスが緊急通報であるか確認する（ステップＳ１６３）。例えば警察署や消防署など予め定められた緊急通報先への接続要求（通話要求など）であるかを確認する。もし、緊急通報であれば、当該接続要求について認証なしに変更する（ステップＳ１８７）。緊急通報でなければ何らかの認証が必要ということであれば、認証レベルが下げられたことになる。その後元の処理に戻る。

一方、要求サービスが緊急通報ではない場合には、要求サービスに対応するデフォルトの認証強度レベルを特定する（ステップＳ１６５）。ステップＳ１６５のために、認証／アクセスポリシー管理サーバ２０１は、図１５のようなデフォルト認証強度レベル・テーブルを保持している。図１５の例では、要求サービスの大分類と、当該大分類に属する要求サービスと、対応するデフォルトの認証強度レベルとが登録されるようになっている。例えば、医療分野のサービスであれば、電子カルテ（個人履歴）へのアクセスの場合、デフォルトの認証強度レベルは、利用者認証についてはレベル２（Ｌ２：Ｌはレベルを表す）で、機器認証についてはレベル３と設定されている。

そして、異常レベルデータ格納部に格納されたデータに基づき、適用すべき異常レベル及びその場合のコンテキスト種別を特定する（ステップＳ１６７）。１つの異常レベルのみが適用される場合にはその異常レベルを適用し、複数の異常レベルが適用される場合には、例えばそのうち最も高い異常レベルを適用するものとする。

その後、適用すべき異常レベルが、レベルIII（すなわち緊急事態のレベル）であるか確認する（ステップＳ１６９）。レベルIIIであれば、認証／アクセスポリシー管理サーバ２０１の発着信登録テーブルに、接続要求に係る発信元ユーザＩＤ又はアドレスと送信先ユーザＩＤ又はアドレスとの組が登録済みであるか判断する（ステップＳ１７１）。図１６の例では、発信元ユーザＩＤ（又はアドレス）と接続先ユーザＩＤ（又はアドレス）とが対応付けられて格納されている。登録ユーザ毎に、接続先ユーザＩＤ又はアドレスのリストを用意するようにしてもよい。

登録済みであれば、認証強度レベルの第１低下処理を実行する（ステップＳ１７３）。登録済みであれば、予め想定している接続であり、緊急時において可能な限り迅速な接続が好ましいためである。

認証強度レベルの第１低下処理の一例を、図１７を用いて説明する。図１７は、認証強度レベル変更テーブルの一例を示しており、図１７の例では、公共コンテキスト（ＮＷ，交通，社会，地震，天候）と個人コンテキスト（犯罪，健康）毎、そして異常レベル毎に、認証強度レベルの変更方法が規定されている。なお、異常レベルだけではなく、発着信登録テーブルへの登録の有無によっても認証強度レベルの変更方法を変える。また、具体的な変更方法には、適用種別数を増減する方法、例えば利用者認証及び機器認証が必要な場合、利用者認証だけを実行するように変更する方法と、個別の認証方法におけるレベルを上下する方法とが存在する。なお、図１７における例では、個人コンテキストに基づく異常レベルが採用される場合には、実質的に認証を行わないようにしている。これは個人の異常については、迅速に通信を行った方がよいという考えに基づくものであるが、必ずしもこのような設定を採用しなければならないものではない。また、テーブル形式で変更方法を提示しているが、これは変更方法の対比を行いやすくするためであって、必ずしもテーブル形式を採用しなければならないわけではない。

従って、接続要求に係る発信元ユーザＩＤ又はアドレスと接続先ユーザＩＤ又はアドレスとの組が、発着信登録テーブルに登録済みであり、適用すべき異常レベル及びそのコンテキスト種別が、天候コンテキストの異常レベルIIIであれば、適用認証種別を１つ減らすことになる。

例えば、接続要求に係る要求サービスが金融の１０万円以上の高額取引である場合、デフォルトの認証強度レベルは、利用者認証におけるレベル３及び機器認証におけるレベル３と特定される。上で述べたような適用すべき異常レベル及びそのコンテキスト種別が、天候コンテキストの異常レベルIIIであれば、適用認証種別を１つ減らすことになって、環境認証、機器認証、利用者認証の順番に認証種別を減らして、結果的に利用者認証を残す。

また、認証強度レベルの第１低下処理の第２の例を、図１８を用いて説明する。図１８は、認証強度レベル設定テーブルの一例を示している。図１８の例では、公共コンテキスト（ＮＷ，交通，社会，地震，天候）と個人コンテキスト（犯罪，健康）毎、そして異常レベル（レベルＩを除く）毎に、採用すべき認証強度レベルが規定されている。このように、認証強度レベルの第１低下処理の第２の例では、予め定められた認証強度レベルを設定してしまうものである。この場合レベルＩを除き、デフォルトの認証強度レベルを特定する必要はない。なお、図１８の例からしても、発信元ユーザＩＤ及び接続先ユーザＩＤの組み合わせが登録済みの方が、未登録より認証強度レベルが下げられている。具体的には、ＮＷコンテキストの異常レベルIIIで発信元ユーザＩＤ及び接続先ユーザＩＤの組み合わせが登録済みであれば、利用者認証におけるレベル１のみであるが、未登録であれば利用者認証におけるレベル３、機器認証におけるレベル３、及び環境認証におけるレベル３が必要となる。これは、災害発生時において、発信元及び接続先の組み合わせが登録されている場合には想定された通信であり、例えば家族間又は同一企業内の通信など可能な限り迅速な通信を可能とする必要があるが、例えば接続先が未登録である場合には、災害に乗じて他人が勝手に接続要求を行って不正を働く可能性があるため認証強度レベルを上げて不正を未然に防止するものである。なお、図１８の例でも、個人的な異常については、迅速に通信を行うべきという考え方から、認証不要が設定されるようにしているが、必ずしもこのような考え方でなくとも良い。また、テーブル形式で変更方法を提示しているが、これは変更方法の対比を行いやすくするためであって、必ずしもテーブル形式を採用しなければならないわけではない。

一方、登録済みでなければ、認証強度レベルの第１強化処理を実施する（ステップＳ１７５）。図１７又は図１８に示したテーブルに従って、適用すべき異常レベル及びそのコンテキスト種別並びに発信元ユーザＩＤ及び接続先ユーザＩＤが登録済みか否かにより認証強度レベルを特定する。図１７の例では、個人コンテキストによる異常レベルが採用される場合を除き、認証強度レベルを上げるように設定する。図１８の例では、個人コンテキストの場合を除き、相対的に高い認証強度レベルが設定されるようになる。その後元の処理に戻る。

さらに、適用すべき異常レベルが、レベルIIIではない場合には、レベルII（すなわち異常事態のレベル）であるか判断する（ステップＳ１７７）。異常レベルがレベルIIである場合、認証／アクセスポリシー管理サーバ２０１の発着信登録テーブルに、接続要求に係る発信元ユーザＩＤ又はアドレス接続先ユーザＩＤ又はアドレスとの組が登録済みであるか判断する（ステップＳ１７９）。

登録済みであれば、認証強度レベルの第２低下処理を実行する（ステップＳ１８３）。登録済みであれば予め想定している接続であり、緊急時において可能な限り迅速な接続が好ましいためである。図１７又は図１８に示したテーブルに従って、適用すべき異常レベル及びそのコンテキスト種別並びに発信元ユーザＩＤ及び接続先ユーザＩＤの組み合わせが登録済みであることにより認証強度レベルを特定する。図１７の例では、個人コンテキストによる異常レベルが採用される場合を除き、認証強度レベルを下げるように設定する。図１８の例では、個人コンテキストによる異常レベルが採用される場合を除き相対的に低い認証強度レベルが設定されるようになる。

一方、登録済みでなければ、認証強度レベルの第２強化処理を実施する（ステップＳ１８１）。図１７又は図１８に示したテーブルに従って、適用すべき異常レベル及びそのコンテキスト種別並びに発信元ユーザＩＤ及び接続先ユーザＩＤの組み合わせが登録済みではないということにより認証強度レベルを特定する。図１７の例では、個人コンテキストによる異常レベルが採用される場合を除き、認証強度レベルを上げるように設定する。図１８の例では、個人コンテキストによる異常レベルが採用される場合を除き、相対的に高い認証強度レベルが設定されるようになる。その後元の処理に戻る。

また、レベルIIではないと判断された場合にはレベルＩであるから、ステップＳ１６５で特定されたデフォルトの認証強度レベルを適用すべく、何らの処理を行わずに元の処理に戻る。但し、認証強度レベルに対して何らかの調整を行うようにしても良い。

次に、図１９を用いて認証処理を実施しない場合における処理、すなわち接続優先度を決定するための処理を説明する。本処理は、認証／アクセスポリシー管理サーバ２０１が実行する。まず、受信した接続要求の接続先アドレス等を用いて、要求サービスを特定する（ステップＳ１９１）。この処理は、ステップＳ１６１と同じである。

そして、要求サービスが緊急通報であるか確認する（ステップＳ１９３）。本ステップもステップＳ１６３と同じである。もし、緊急通報であれば、強制的に接続を許可するような接続優先度を決定する（ステップＳ２０３）。緊急通報でなければ通常の優先度が設定されるということであれば、接続優先度が上げられたことになる。その後元の処理に戻る。

一方、要求サービスが緊急通報ではない場合には、要求サービスに対応するデフォルトの接続優先度を特定する（ステップＳ１９５）。デフォルト認証強度レベル・テーブルに対応するような、要求サービスに対応して接続優先度が規定されているデフォルト接続優先度テーブルを用いて、接続要求に係る要求サービスに対応するデフォルトの接続優先度を特定する。

そして、異常レベルデータ格納部に格納されたデータに基づき、適用すべき異常レベル及びその場合のコンテキスト種別を特定する（ステップＳ１９７）。１つの異常レベルのみが適用される場合にはその異常レベルを適用し、複数の異常レベルが適用される場合には、例えばそのうち最も高い異常レベルを適用するものとする。

その後、適用すべき異常レベルが、レベルIII（すなわち緊急事態のレベル）であるか確認する（ステップＳ１９９）。レベルIIIであれば、認証／アクセスポリシー管理サーバ２０１の発着信登録テーブルに、接続要求に係る発信元ユーザＩＤ又はアドレスと接続先ユーザＩＤ又はアドレスとの組が登録済みであるか判断する（ステップＳ２０１）。

登録済みであれば、強制的に接続を許可するような接続優先度を決定する（ステップＳ２０３）。登録済みであれば、予め想定している接続であり、緊急時において可能な限り迅速な接続が好ましいためである。

一方、登録済みでなければ、強制的に接続を拒否するような接続優先度を決定する（ステップＳ２０５）。災害に乗じた不正接続を防止するためである。

さらに、適用すべき異常レベルが、レベルIIIではない場合には、レベルII（すなわち異常事態のレベル）であるか判断する（ステップＳ２０７）。異常レベルがレベルIIである場合、認証／アクセスポリシー管理サーバ２０１の発着信登録テーブルに、接続要求に係る発信元ユーザＩＤ又はアドレスと接続先ユーザＩＤ又はアドレスとの組が登録済みであるか判断する（ステップＳ２０９）。

登録済みであれば、ネットワークにおいて優先的な接続を行うための接続優先度を決定する（ステップＳ２１１）。通常の優先度より高く設定することによって、ネットワークにおいて接続処理が優先的に実行されるようにする。

一方、登録済みでなければ、ネットワークにおいてあまり優先されないような通常より低い接続優先度を決定する（ステップＳ２１３）。これによって、ネットワークにおける輻輳などによって接続処理が後回しにされたり、強制的に遮断される場合も発生する。

また、レベルIIではないと判断された場合にはレベルＩであるから、ステップＳ１９５で特定されたデフォルトの接続優先度を適用すべく、何らの処理を行わずに元の処理に戻る。但し、接続優先度に対して何らかの調整を行うようにしても良い。

このような処理を行うことによって、異常レベルに応じた接続優先度の設定が可能となる。

なお、送信元ユーザＩＤ及び接続先ユーザＩＤが登録済みか否かに応じて、認証強度レベル又は接続優先度に高低をつけているが、さらに他の要件を課しても良い。例えば、接続先ユーザによって予め所定の許可を得るなどの要件である。

次に、図８のステップＳ３３から図９のステップＳ６３の他の実施の形態を図２０を用いて説明する。

認証／アクセスポリシー管理サーバ２０１は、特定された認証強度レベルにおいて必要となる認証処理を実施する認証サーバ（例えば認証サーバＡ）を特定し、当該認証サーバに、接続要求に係る送信元ユーザに対する認証要求を送信する（ステップＳ２２１）。認証要求には送信元ユーザのアドレスなどが含まれる。認証サーバＡは、認証／アクセスポリシー管理サーバ２０１から認証要求を受信すると（ステップＳ２２３）、認証情報要求を、送信元ユーザのユーザ端末１０１宛に送信する（ステップＳ２２５）。ＮＷ接続機器１０３は、認証情報要求を認証サーバＡから受信し、ユーザ端末１０１に転送する（ステップＳ２２７）。ユーザ端末１０１は、認証情報要求を受信し、表示装置に表示する（ステップＳ２２９）。ユーザは、表示装置を見て必要な認証情報を入力を行う。ユーザ端末１０１は、ユーザによる認証情報の入力を受け付け、認証サーバＡ宛に送信する（ステップＳ２３１）。なお、ユーザ端末１０１に設けられた特別の機器や半導体チップにより収集されたデータを送信する場合もある。ＮＷ接続機器１０３は、ユーザ端末１０１から認証情報を受信し、認証サーバＡに転送する（ステップＳ２３３）。

認証サーバＡは、接続要求に係る送信元ユーザの認証情報を受信し（ステップＳ２３５）、当該認証情報を用いて認証処理を行う（ステップＳ２３７）。そして、認証処理結果を認証／アクセスポリシー管理サーバ２０１に送信する（ステップＳ２３９）。認証／アクセスポリシー管理サーバ２０１は、認証サーバＡから認証処理結果を受信し、データ格納部に格納する（ステップＳ２４１）。

このように認証／アクセスポリシー管理サーバ２０１は、認証サーバに対して認証要求を出すだけで、認証処理には関与しない。

図２０は、１つの認証サーバについての処理であり、認証強度レベルにおいて必要なる認証サーバが複数の場合には、図２０の処理を当該複数の認証サーバについて実施する。通常は図２０の処理を並列処理する。

以上のようにすれば、異常に係るコンテキストに応じて適切な認証強度レベル又は接続優先度を設定することができるようになる。また、コンテキストの収集、異常レベルの特定についても、フレキシブルに行うことができる。さらに、認証サーバの構成、認証処理についても様々な形態が可能であるため、様々なネットワーク構成及び機器に対応可能である。また、異常時には、異常を想定して予め登録された発着信間の通信要求に対しては認証強度レベルを下げたり省略し、その要求を迅速に処理するようにでき、それ以外の通信要求には、平常時以上に認証強度レベルを強めることが可能となる。

以上本発明を説明したが、本発明はこれに限定されるものではない。例えば、図１に示した三層構造は一例であってこのような構成を必須とするものではない。

また、上で述べた処理フローについても順番を入れ替えても処理結果に変化が無いようなものであれば、入れ替えても良い。また、デフォルトの認証強度レベルを特定する際に、接続要求の送信元ユーザのユーザＩＤをさらに用いて特定するようにしても良い。

なお、コンテキスト管理サーバ３０１、認証／アクセスポリシー管理サーバ２０１、アプリケーションサーバ１０８、ユーザ端末１０１及び１０２については、図２１のようなコンピュータ装置であって、メモリ２５０１（記憶装置）とＣＰＵ２５０３（処理装置）とハードディスク・ドライブ（ＨＤＤ）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施の形態における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。必要に応じてＣＰＵ２５０３は、表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、必要な動作を行わせる。また、処理途中のデータについては、メモリ２５０１に格納され、必要があればＨＤＤ２５０５に格納される。本発明の実施の形態では、上で述べた処理を実施するためのアプリケーション・プログラムはリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及び必要なアプリケーション・プログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

（付記１）
予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、
予め定められた認証強度レベル設定ルールに従って前記異常レベルを認証強度レベルに変換し、当該認証強度レベルに応じた認証処理を認証サーバに実行させる設定ステップと、
を含み、コンピュータに実行される制御方法。

（付記２）
前記予め定められた認証強度レベル設定ルールが、接続元と接続先との組み合わせの事前登録の有無に基づくルールを含む付記１記載の制御方法。

（付記３）
予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、
予め定められた接続制御ルールに従って前記異常レベルを、接続拒否を含む接続優先度に変換し、当該接続優先度を接続機器に設定する設定ステップと、
を含み、コンピュータに実行される制御方法。

（付記４）
前記予め定められた接続制御ルールが、接続元と接続先との組み合わせの事前登録の有無に基づくルールを含む付記３記載の制御方法。

（付記５）
前記異常レベル特定ステップがポリシー管理サーバにより実行され、
前記コンテキスト格納部がコンテキスト管理サーバに設けられており、
前記コンテキスト管理サーバから前記コンテキスト格納部に格納された前記異常に係るコンテキストの変化を表すデータを前記ポリシー管理サーバに通知するステップ
をさらに含む付記１乃至４のいずれか１つ記載の制御方法。

（付記６）
前記異常レベル特定ステップがポリシー管理サーバにより実行され、
前記コンテキスト格納部がコンテキスト管理サーバに設けられており、
前記ポリシー管理サーバからの要求に応じて、前記コンテキスト管理サーバから前記コンテキスト格納部に格納された前記異常に係るコンテキストのデータを前記ポリシー管理サーバに送信するステップ
をさらに含む付記１乃至４のいずれか１つ記載の制御方法。

（付記７）
前記異常レベル特定ステップがコンテキスト管理サーバにより実行され、
前記設定ステップがポリシー管理サーバにより実行され、
前記異常レベル特定ステップにおいて特定された異常レベルを、前記コンテキスト管理サーバから前記ポリシー管理サーバに送信する送信ステップ
をさらに含む付記１乃至４のいずれか１つ記載の制御方法。

（付記８）
前記送信ステップが、
前記ポリシー管理サーバからの要求に応じて前記コンテキスト管理サーバによって実行される
付記７記載の制御方法。

（付記９）
接続要求が緊急通報である場合、認証強度レベルを下げるステップ
をさらに含む付記１記載の制御方法。

（付記１０）
接続要求が緊急通報である場合、接続要求による接続を強制的に許可するステップ
をさらに含む付記３記載の制御方法。

（付記１１）
前記接続元と接続先との組み合わせの事前登録の有無に基づくルールが、接続元と接続先との組み合わせが事前登録済みでない場合に比して事前登録済みである場合に前記認証強度レベルを低くするというルールを含む
付記２記載の制御方法。

（付記１２）
前記接続元と接続先との組み合わせの事前登録の有無に基づくルールが、接続元と接続先との組み合わせが事前登録済みでない場合に比して事前登録済みである場合に前記接続優先度を高くするというルールを含む
付記４記載の制御方法。

（付記１３）
前記認証強度レベルが、利用者認証、機器認証及び環境認証のうち少なくとも１つを用いて規定される付記１又は２記載の制御方法。

（付記１４）
前記予め定められた認証強度レベル設定ルールが、デフォルト認証強度レベルの上下を規定しており、
前記認証強度レベルを下げる場合には、当該認証強度レベルにおける認証種別数を減じ、
前記認証強度レベルを上げる場合には、当該認証強度レベルにおける認証種別数を増加させる
付記１３記載の制御方法。

（付記１５）
前記予め定められた認証強度レベル設定ルールが、デフォルト認証強度レベルの上下を規定しており、
各認証種別がレベル付けされており、
前記認証強度レベルを下げる場合には、予め規定された使用認証種別におけるレベルを下げ、
前記認証強度レベルを上げる場合には、予め規定された使用認証種別におけるレベルを上げる
付記１３記載の制御方法。

（付記１６）
前記予め定められた認証強度レベル設定ルールが、前記異常レベルを含み且つ予め規定された場合分けに対応して登録された認証パターンを１つ選択させるように規定されている
付記１又は２記載の制御方法。

（付記１７）
前記環境認証が、オペレーティング・システムの種別、オペレーティング・システムの版数、ウィルス検出能力、フィッシング検出能力、及び機器の性能又は容量のうち少なくともいずれかについて認証である
付記１３記載の制御方法。

（付記１８）
前記認証サーバが、認証種別又はレベル毎に必要な認証処理を行う個別サーバを含み、
前記設定ステップが、
前記設定ステップを実行するポリシー管理サーバにより、特定された前記認証強度レベルに対応する認証種別又はレベルのための個別サーバを選択するステップ
を含む付記１又は２記載の制御方法。

（付記１９）
前記ポリシー管理サーバにより、特定された前記認証強度レベルにおいて必要となる認証情報の送信要求を接続要求元の端末に送信するステップと、
前記ポリシー管理サーバにより、前記接続要求元の端末から受信した認証情報を、選択された前記個別サーバに送信するステップと、
をさらに含む付記１８記載の制御方法。

（付記２０）
前記ポリシー管理サーバにより、選択された前記個別サーバに対して認証要求を送信するステップと、
前記個別サーバから、前記接続要求元の端末に必要な認証情報の送信要求を送信するステップと、
をさらに含む付記１８記載の制御方法。

（付記２１）
付記１乃至２０記載の制御方法をコンピュータに実行させるためのプログラム。

（付記２２）
予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル定義データ格納部に格納された異常レベル定義データに従って異常レベルを特定する異常レベル特定手段と、
予め定められた認証強度レベル設定ルールに従って前記異常レベルを認証強度レベルに変換し、当該認証強度レベルに応じた認証処理を認証サーバに実行させる設定手段と、
を有する認証システム。

（付記２３）
予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル定義データ格納部に格納された異常レベル定義データに従って異常レベルを特定する異常レベル特定手段と、
予め定められた接続制御ルールに従って前記異常レベルを、接続拒否を含む、接続要求に対する優先度に変換し、当該接続要求に対する優先度を接続機器に設定する設定手段と、
を有するアクセス制御システム。

本発明の実施の形態のシステム概要図である。 本発明の実施の形態における第１の処理概要を表す図である。 （ａ）及び（ｂ）は、コンテキスト格納部の一例を示す図である。 異常レベルの基準テーブルの一例を示す図である。 （ａ）及び（ｂ）は、異常レベルデータ格納部の一例を示す図である。 認証強度レベルの一例を示す図である。 本発明の本実施の形態における第２の処理概要を表す図である。 本発明の実施の形態における基本処理フローの一例を示す図である。 本発明の実施の形態における基本処理フローの一例を示す図である。 本発明の実施の形態における基本処理フローの一例を示す図である。 本発明の実施の形態における基本処理フローの他の例（一部のみ）を示す図である。 異常レベルの特定処理の一例を示す図である。 異常レベルの特定処理の他の例を示す図である。 認証強度レベル特定処理の処理フローを示す図である。 デフォルト認証強度レベル・テーブルの一例を示す図である。 発着信登録テーブルの一例を示す図である。 認証強度レベル変更テーブルの一例を示す図である。 認証強度レベル設定テーブルの一例を示す図である。 接続優先度決定処理の処理フローを示す図である。 認証処理に関係する他の処理フローを示す図である。 コンピュータの機能ブロック図である。

符号の説明

１０１，１０２ ユーザ端末
１０３ ＮＷ接続機器 １０４ ＣＥ／ＨＧＷ
１０５ エッジルータ １０６ コアスイッチ
１０７ ＧＷ １０８ アプリケーションサーバ
２０１ 認証／アクセスポリシー管理サーバ
３０１ コンテキスト管理サーバ
４０１ コンテキスト収集部

Claims (20)

1. 予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、
   予め定められた認証強度レベル設定ルールに従って前記異常レベルを認証強度レベルに変換し、当該認証強度レベルに応じた認証処理を認証サーバに実行させる設定ステップと、
   を含み、コンピュータに実行される制御方法。
2. 前記予め定められた認証強度レベル設定ルールが、接続元と接続先との組み合わせの事前登録の有無に基づくルールを含む請求項１記載の制御方法。
3. 予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、
   予め定められた接続制御ルールに従って前記異常レベルを、接続拒否を含む接続優先度に変換し、当該接続優先度を接続機器に設定する設定ステップと、
   を含み、コンピュータに実行される制御方法。
4. 前記予め定められた接続制御ルールが、接続元と接続先との組み合わせの事前登録の有無に基づくルールを含む請求項３記載の制御方法。
5. 前記異常レベル特定ステップがポリシー管理サーバにより実行され、
   前記コンテキスト格納部がコンテキスト管理サーバに設けられており、
   前記コンテキスト管理サーバから前記コンテキスト格納部に格納された前記異常に係るコンテキストの変化を表すデータを前記ポリシー管理サーバに通知するステップ
   をさらに含む請求項１乃至４のいずれか１つ記載の制御方法。
6. 前記異常レベル特定ステップがポリシー管理サーバにより実行され、
   前記コンテキスト格納部がコンテキスト管理サーバに設けられており、
   前記ポリシー管理サーバからの要求に応じて、前記コンテキスト管理サーバから前記コンテキスト格納部に格納された前記異常に係るコンテキストのデータを前記ポリシー管理サーバに送信するステップ
   をさらに含む請求項１乃至４のいずれか１つ記載の制御方法。
7. 前記異常レベル特定ステップがコンテキスト管理サーバにより実行され、
   前記設定ステップがポリシー管理サーバにより実行され、
   前記異常レベル特定ステップにおいて特定された異常レベルを、前記コンテキスト管理サーバから前記ポリシー管理サーバに送信する送信ステップ
   をさらに含む請求項１乃至４のいずれか１つ記載の制御方法。
8. 接続要求が緊急通報である場合、認証強度レベルを下げるステップ
   をさらに含む請求項１記載の制御方法。
9. 接続要求が緊急通報である場合、接続要求による接続を強制的に許可するステップ
   をさらに含む請求項３記載の制御方法。
10. 前記接続元と接続先との組み合わせの事前登録の有無に基づくルールが、接続元と接続先との組み合わせが事前登録済みでない場合に比して事前登録済みである場合に前記認証強度レベルを低くするというルールを含む
    請求項２記載の制御方法。
11. 前記接続元と接続先との組み合わせの事前登録の有無に基づくルールが、接続元と接続先との組み合わせが事前登録済みでない場合に比して事前登録済みである場合に前記接続優先度を高くするというルールを含む
    請求項４記載の制御方法。
12. 前記認証強度レベルが、利用者認証、機器認証及び環境認証のうち少なくとも１つを用いて規定される請求項１又は２記載の制御方法。
13. 前記予め定められた認証強度レベル設定ルールが、デフォルト認証強度レベルの上下を規定しており、
    前記認証強度レベルを下げる場合には、当該認証強度レベルにおける認証種別数を減じ、
    前記認証強度レベルを上げる場合には、当該認証強度レベルにおける認証種別数を増加させる
    請求項１２記載の制御方法。
14. 前記予め定められた認証強度レベル設定ルールが、デフォルト認証強度レベルの上下を規定しており、
    各認証種別がレベル付けされており、
    前記認証強度レベルを下げる場合には、予め規定された使用認証種別におけるレベルを下げ、
    前記認証強度レベルを上げる場合には、予め規定された使用認証種別におけるレベルを上げる
    請求項１２記載の制御方法。
15. 前記予め定められた認証強度レベル設定ルールが、前記異常レベルを含み且つ予め規定された場合分けに対応して登録された認証パターンを１つ選択させるように規定されている
    請求項１又は２記載の制御方法。
16. 前記認証サーバが、認証種別又はレベル毎に必要な認証処理を行う個別サーバを含み、
    前記設定ステップが、
    前記設定ステップを実行するポリシー管理サーバにより、特定された前記認証強度レベルに対応する認証種別又はレベルのための個別サーバを選択するステップ
    を含む請求項１又は２記載の制御方法。
17. 予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、
    予め定められた認証強度レベル設定ルールに従って前記異常レベルを認証強度レベルに変換し、当該認証強度レベルに応じた認証処理を認証サーバに実行させる設定ステップと、
    をコンピュータに実行させるための制御プログラム。
18. 予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定ステップと、
    予め定められた接続制御ルールに従って前記異常レベルを、接続拒否を含む接続優先度に変換し、当該接続優先度を接続機器に設定する設定ステップと、
    をコンピュータに実行させるための制御プログラム。
19. 予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定手段と、
    予め定められた認証強度レベル設定ルールに従って前記異常レベルを認証強度レベルに変換し、当該認証強度レベルに応じた認証処理を認証サーバに実行させる設定手段と、
    を有する制御装置。
20. 予め収集され且つコンテキスト格納部に格納されている、異常に係るコンテキストから、予め異常レベル基準データ格納部に格納された異常レベル基準データに従って異常レベルを特定する異常レベル特定手段と、
    予め定められた接続制御ルールに従って前記異常レベルを、接続拒否を含む接続優先度に変換し、当該接続優先度を接続機器に設定する設定手段と、
    を有する制御装置。

Images