JP2007226474A

JP2007226474A - 連携制御装置及びネットワーク管理システム

Info

Publication number: JP2007226474A
Application number: JP2006045953A
Authority: JP
Inventors: Hiromoto Kazuno; 浩基數野; Satoshi Ookage; 聡大景
Original assignee: Matsushita Electric Works Ltd
Current assignee: Panasonic Electric Works Co Ltd
Priority date: 2006-02-22
Filing date: 2006-02-22
Publication date: 2007-09-06
Anticipated expiration: 2026-02-22
Also published as: JP4797685B2

Abstract

【課題】システム構成を変更することなく、出入管理システム又はネットワーク認証システムで発生した不具合を迅速に特定する。
【解決手段】動作切替部４０の操作に応じて第１メンテナンスモードへと動作モードを切り替え、ユーザからなされる第２の被認証情報によるネットワークへのアクセス要求を、無条件にネットワーク認証システム２０の認証サーバ２３に送信するよう制御することで実現する。
【選択図】図１０

Description

本発明は、高度セキュリティレベル領域の出入管理及び高度セキュリティレベル領域における情報管理に関し、詳しくは、出入管理を担う出入管理システムと情報管理を担うネットワーク認証システムとを連携させた連携制御装置及びネットワーク管理システムに関する。

機密情報を扱うことの多い企業や、企業内の特定の部署などでは、機密情報を扱う従事者の入退室を管理する入退室管理システムを適用することで、機密情報の漏洩を事前に防止するようにしている。

一般に入退室管理システムは、ユーザに与えられたＩＣ（Integrated Circuit）カードに組み込まれたユーザＩＤ（IDentification）や、生体情報（指紋、虹彩、声紋など）といった、ユーザを一意に特定する情報を用いて入退室管理用のホストコンピュータにより個人認証を行い、登録された正当なユーザであることが認証された場合に、施錠された入退室用のドアを解錠することで、機密情報を扱う高度セキュリティレベル領域内への入室を許可する、というような管理を行っている。

ところで、上述した機密情報は、入退室管理システムとは別のネットワークにて構築されたネットワーク認証システムによって管理がなされており、入退室管理がなされている領域内に設置された情報端末装置から機密情報管理用のホストコンピュータへのアクセスに応じて利用可能となる。この機密情報管理用のホストコンピュータへアクセスする場合には、上述した入退室管理システムにおける個人認証と同様の認証処理が要求されることになる。

そこで、このような入退室管理システムと、ネットワーク認証システムとの連携が求められており、機密情報を扱う領域内への入退室時の認証処理と、入室後の情報端末装置の使用開始時の認証処理とを関連付ける手法が考案されている（例えば、特許文献１参照。）。
特開２００２−４１４６９号公報

ところで、最近では、個人情報保護法の法制度化等に代表されるように、セキュリティに対する関心がますます高まっている。このような背景を受けて、入退室管理システムは、上述したネットワーク認証システムとの連携などを始め、その規模をより大きなものとしつつある。

入退室管理システムとネットワーク認証システムとを連携させてネットワークを構築した場合、特に、上述したように大規模化していった場合には、既存のシステムの設定を大幅に変更しなくてはならず、ネットワークシステム構築のための多大な労力やコストがかかってしまうといった問題がある。

そこで、本出願人は、セキュリティレベルの異なる領域間の出入を管理する出入管理システムとネットワーク認証システムとを連携させる連携制御装置を考案した。この連携制御装置は、ネットワーク認証システムの認証装置と認証サーバとの間で、認証処理時にやり取りされる認証用のパケットを経由させるよう設定され、出入管理システムとネットワーク認証システムとを連携制御することができる。

また、連携制御装置は、出入管理システムから送信される情報を用いて、高度セキュリティレベル領域内への移動などといった出入管理システムにおけるユーザの出入情報の変化を把握し、ユーザの出入状態の変化に応じて、ネットワーク認証システムの端末装置から認証装置を介して認証サーバへとアクセス要求として送信される認証用のパケットであるネットワーク認証要求を通過させるのか、それとも通過させずに認証サーバでの認証の事前に拒否してしまうのかを判断することができる。

これにより、連携制御装置は、出入管理システムとネットワーク認証システムとを容易に連携させることができるため、高度セキュリティレベルへ不正に侵入したユーザのネットワークへの接続を排除するネットワーク管理システムを、労力をかけずに低コストで構築することができる。また、連携制御装置を設けることで、疑わしいアクセス要求に対する不必要な認証処理を回避できるため、認証サーバの処理負荷を大幅に低減することができる。

しかしながら、このような出入管理システムとネットワーク認証システムとの連携制御を実現する連携制御装置を正確に設定したとしても、出入管理システム、ネットワーク認証システムのいずれかに不具合があるとシステム全体として正常に動作しなくなってしまうといった問題がある。さらに、連携制御装置は、常に出入管理システムとネットワーク認証システムとを連携させるよう制御してしまうため、出入管理システム又はネットワーク認証システムのいずれかで不具合を起こしているのかを特定することを困難にしてしまう。

このような不具合が発生した場合、システム管理者は、連携制御装置と、出入管理システム、ネットワーク認証システムとの接続をわざわざ切断してシステム構成を変更し、出入管理システム、ネットワーク認証システムをそれぞれ個別に検証するなど、非常に煩わしい作業を強いられてしまうといった問題があった。

このように連携制御装置は、常に出入管理システムとネットワーク認証システムとを連携させるよう制御してしまうため、例えば、新たに構築した出入管理システムやネットワーク認証システムを連携制御装置で連携させるよう施工した際の動作確認において、正常に動作しなかった場合の原因を特定する場合にも、上述したような、一旦接続した連携制御装置と、出入管理システム、ネットワーク認証システムとの接続をわざわざ切断してシステム構成を変更し、出入管理システム、ネットワーク認証システムをそれぞれ個別に検証するといった非常に煩わしい作業を強いられてしまうといった問題を招来してしまう。

そこで、本発明は、上述したような課題を解決するために提案されたものであり、出入管理システムとネットワーク認証システムを連携制御する連携制御装置を用いたネットワーク管理システムにおいて、システム構成を変更することなく、出入管理システム又はネットワーク認証システムで発生した不具合を迅速に特定することができる連携制御装置及びネットワーク管理システムを提供することを目的とする。

本発明の連携制御装置は、ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、高度セキュリティレベル領域の出入を管理する出入管理システムと、前記高度セキュリティレベル領域に構築されたネットワークに対し、前記ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによる認証処理結果に応じて、アクセス制限をするネットワーク認証システムとを相互に連携させる連携制御装置であって、少なくとも前記出入管理システムによる第１の被認証情報に基づく認証処理結果に応じたユーザの高度セキュリティレベル領域に対する現在の出入状態と、前記第２の被認証情報とを関連付けて記憶する記憶手段と、前記第２の被認証情報を用いて、前記ユーザからなされるネットワークへのアクセス要求に応じて、前記記憶手段に記憶されている前記第２の被認証情報と関連付けられたユーザの高度セキュリティレベル領域に対する現在の出入状態に基づき、認証処理をする認証処理手段と、ユーザの操作に応じて、当該連携制御装置の動作モードを切り替えるよう指示する動作切替手段と、前記動作切替手段が操作されたことに応じて、前記認証処理手段によって認証された場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信し、前記認証処理手段によって認証されなかった場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信することなく拒否する通常動作モード、又は、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を、無条件に前記ネットワーク認証システムの認証サーバに送信する第１メンテナンスモードで動作するよう制御する制御手段とを備えることで、上述の課題を解決する。

また、本発明のネットワーク管理システムは、ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、高度セキュリティレベル領域の出入を管理する出入管理システムと、前記高度セキュリティレベル領域に構築されたネットワークに対し、前記ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによる認証処理結果に応じて、アクセス制限をするネットワーク認証システムと、前記出入管理システムと、前記ネットワーク認証システムとを相互に連携させる連携制御装置とを備え、前記連携制御装置は、少なくとも前記出入管理システムによる第１の被認証情報に基づく認証処理結果に応じたユーザの高度セキュリティレベル領域に対する現在の出入状態と、前記第２の被認証情報とを関連付けて記憶する記憶手段と、前記第２の被認証情報を用いて、前記ユーザからなされるネットワークへのアクセス要求に応じて、前記記憶手段に記憶されている前記第２の被認証情報と関連付けられたユーザの高度セキュリティレベル領域に対する現在の出入状態に基づき、認証処理をする認証処理手段と、ユーザの操作に応じて、当該連携制御装置の動作モードを切り替えるよう指示する動作切替手段と、前記動作切替手段が操作されたことに応じて、前記認証処理手段によって認証された場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信し、前記認証処理手段によって認証されなかった場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信することなく拒否する通常動作モード、又は、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を、無条件に前記ネットワーク認証システムの認証サーバに送信する第１メンテナンスモードで動作するよう制御する制御手段とを有することで、上述の課題を解決する。

本発明によれば、連携制御装置の動作モードを第１メンテナンスモードとすることで、出入管理システムとネットワーク認証システムとを連携させなくとも、無条件に認証サーバに対してネットワークへのアクセス要求を送信することができる。

これにより、出入管理システムとネットワーク認証システムとをそれぞれ単独で動作させることができるため、出入管理システム、ネットワーク認証システムのいずれかで生じた不具合を容易に特定することを可能とする。

また、新たに構築した出入管理システムやネットワーク認証システムを連携制御装置で連携させるよう施工した際、第１メンテナンスモードへと切り替えることで、出入管理システム、ネットワーク認証システム、それぞれの動作確認をシステム構成を変更することなく独立して行うことを可能とする。

さらに、連携制御装置の動作モードを第２メンテナンスモードとすることで、ユーザからなされる第２の被認証情報によるネットワークへのアクセス要求が全て破棄されるため、連携制御装置に故障が発生したかのような状態を作為的に作り出すことができる。

これにより、連携制御装置に故障が発生することを想定して、少なくともネットワーク認証での運用を確保することができるように冗長化構成をとった場合に、第２メンテナンスモードへと切り替えることで、この冗長化構成が確実に機能するかどうかを事前に確認することを可能とする。

まず、図１を用いて、本発明の実施の形態として示すネットワーク管理システムについて説明をする。図１に示すように、ネットワーク管理システム１は、設備系システム１０と、ネットワーク認証システム２０とが情報ブレーカ３０によって相互に接続されて構成されている。

設備系システム１０は、セキュリティレベルの低い領域（低度セキュリティレベル領域）から、機密情報などを扱うセキュリティレベルの高い領域（高度セキュリティレベル領域）への出入を管理する。

ネットワーク認証システム２０は、設備系システム１０で管理される高度セキュリティレベル領域内に構築されたネットワークである。ネットワーク認証システム２０では、例えば、機密情報などを管理しており、認証されたユーザに対してのみ、ネットワークに接続された情報端末装置からのログオンを認め、機密情報へのアクセスを許可する。

設備系システム１０としては、上述した低度セキュリティレベル領域から、高度セキュリティレベル領域への出入を管理する形態であればどのようなものであってもよいが、例えば、図１に示すように、高度セキュリティレベル領域と低度セキュリティレベル領域とを扉などで隔て、認証処理に応じて各領域への移動を認める設備系システム１０Ａや、扉などの物理的な障壁を設けずに、高度セキュリティレベル領域、低度セキュリティレベル領域にいるユーザを認識する設備系システム１０Ｂなどを適用することができる。

設備系システム１０Ａは、高度セキュリティレベル領域への入室を希望するユーザ全てに対して認証処理を行い、あらかじめ登録された正当なユーザのみを認証して高度セキュリティレベル領域への入室を許可する。また、設備系システム１０Ａは、必要に応じて高度セキュリティレベル領域から退室を希望するユーザに対して認証処理を行い、高度セキュリティレベル領域からの退室を許可する。低度セキュリティレベル領域と、高度セキュリティレベル領域とは、電気的な作用により施錠、解錠することができる電気錠を備える扉（ドア）によって隔てられている。

具体的には、設備系システム１０Ａは、高度セキュリティレベル領域外に設けられた入室用カードリーダ１１により、ユーザが所有する、例えば非接触のＩＣカード（Integrated Circuit）２の半導体メモリ内に格納された情報を読み取り、読み取った情報のうちの被認証情報であるカードＩＤに基づき正当なユーザであると認証された場合に、入退室コントロールユニット１３の制御により施錠されていた電気錠を解錠することで、高度セキュリティレベル領域への入室を許可する。

また、設備系システム１０Ａは、高度セキュリティレベル領域からの退室時には、高度セキュリティレベル領域内に設けられた退室用カードリーダ１２により、ＩＣカード２の上述した情報を読み取り、正当なユーザであると認証された場合に、入退室コントロールユニット１３の制御により施錠されていた電気錠を解錠することで、高度セキュリティレベル領域からの退室を許可する。

設備系システム１０Ａは、このような認証処理により、施錠された電気錠を解錠する場合には、ユーザが所有するＩＣカード２に格納された情報のうち、ＩＣカード２を一意に特定するカードＩＤと、解錠した扉に固有の扉ＩＤと、入室か退室かを示す情報とを入退室コントロールユニット１３から後述する情報ブレーカ３０に送信する。入室か退室かを示す情報は、例えば、入室用カードリーダ１１又は退室用カードリーダ１２をそれぞれ一意に特定する機器ＩＤで示すようにしてもよい。

一方、設備系システム１０Ｂは、図１に示すように、低度セキュリティレベル領域である共用ゾーンＺ１や、高度セキュリティレベル領域である特定ゾーンＺ２に設置されたゾーン監視センサ１５と、ユーザが所有する非接触のＩＣカード２との無線通信により、ユーザが所有するＩＣカード２からカードＩＤを取得し、認証用コントロールユニット１６で認証処理することで、各ゾーンに存在するユーザを認識する。なお、設備系システム１０Ｂにおいて用いられるＩＣカード２は、例えば、アクティブ対応のＲＦＩＤ（Radio Frequency IDentification）タグと同等の機能を有している。

設備系システム１０Ｂは、ユーザが所有するＩＣカード２に格納された情報のうち、ＩＣカード２を一意に特定する被認証情報であるカードＩＤと、カードＩＤを取得したゾーン監視センサ１５を一意に特定する機器ＩＤとを認証用コントロールユニット１６から後述する情報ブレーカ３０に送信する。

ネットワーク認証システム２０は、高度セキュリティレベル領域内に構築され、端末装置２１_ｎ（ｎは、自然数。）からのネットワークへの接続を認証装置２２、認証サーバ２３による認証処理に応じて許可する。

具体的には、ネットワーク認証システム２０は、ＩＥＥＥ（米国電気電子技術者協会）８０２．１Ｘで策定されたＬＡＮ（Local Area Network）スイッチや無線ＬＡＮアクセス・ポイントに接続するユーザを認証する技術を用いて、端末装置２１_ｎからのアクセス要求であるネットワーク認証要求に応じた認証処理を行う。ＩＥＥＥ８０２．１Ｘは、ＬＡＮの利用の可否を制御するＥｔｈｅｒｎｅｔ（登録商標）上のプロトコルである。また、ユーザの認証には、認証用プロトコルとしてＲＡＤＩＵＳ（Remote Authentication Dial-In-User-Service）を用いた通信により、認証すべきユーザを集中管理することができるＲＡＤＩＵＳサーバが用いられる。

端末装置２１_ｎは、高度セキュリティレベル領域に入室したユーザによって使用可能な、いわゆるＰＣ（Personal Computer）であり、認証装置２２、認証サーバ２３と情報のやり取りをし、ネットワークへの接続を要求するためのサプリカントと呼ばれる認証クライアント・ソフトウェアを保持している。

認証装置２２は、複数の端末装置２１_ｎに対して有線又は無線で接続され、認証サーバ２３と端末装置２１_ｎとの認証処理を中継する中継装置として機能する。認証装置２２は、ＲＡＤＩＵＳサーバに対するＲＡＤＩＵＳクライアントとして機能し、ＲＡＤＩＵＳサーバとの通信には、認証用プロトコルとしてＲＡＤＩＵＳを用いた通信を行う。

認証装置２２は、認証装置２２ａ、２２ｂのような、ＩＥＥＥ８０２．１Ｘ、ＲＡＤＩＵＳに対応したＬＡＮスイッチや無線ＬＡＮアクセス・ポイントなどであり、認証サーバ２３と連携してポート毎に端末装置２１_ｎをネットワークへ接続する。

認証サーバ２３は、ＲＡＤＩＵＳ認証におけるＲＡＤＩＵＳサーバであり、端末装置２１_ｎを介して、ネットワークへの接続を要求するユーザに関する情報を保持する図示しないユーザ情報記憶部を備え、ＲＡＤＩＵＳクライアントである認証装置２２を介して端末装置２１_ｎの認証処理を行い、認証結果に応じてネットワークへの接続の可否を通知する。

認証サーバ２３が備える図示しないユーザ情報記憶部は、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤとアカウントＩＤに対応するパスワードを保持している。

ネットワーク認証システム２０による実際の認証手順は、ＥＡＰ（Extensible Authentication Protocol）によって規定される。ネットワーク認証システム２０では、ＩＥＥＥ８０２．１Ｘで使用できる様々なＥＡＰ、例えば、ＥＡＰ−ＭＤ５（ＥＡＰ−Message Digest alogorithm5）、ＰＥＡＰ（Protected-ＥＡＰ）といった認証処理にユーザＩＤ（アカウントＩＤ）とパスワードとを入力することが要求されるＥＡＰや、デジタル電子証明書を使って認証するＥＡＰ−ＴＬＳ（EAP-Transport Layer Security）などを利用できる。

続いて、図２を用いて、情報ブレーカ３０の構成について説明をする。図２に示すように、情報ブレーカ３０は、外部システムＩ／Ｆ（インターフェース）３１と、情報変換部３２と、内部データベース３３と、ネットワークＩ／Ｆ（インターフェース）３４と、ＲＡＤＩＵＳ認証部３５と、認証処理部３６と、認証状態制御部３７と、情報管理部３８と、認証ログ記憶部３９と、動作切替部４０とを備えている。

情報ブレーカ３０は、ネットワーク認証システム２０の認証装置２２と認証サーバ２３との間で、認証処理時にやり取りされる認証用のパケットを経由するように設けられ、設備系システム１０とネットワーク認証システム２０とを連携制御する連携制御装置として機能する。

情報ブレーカ３０は、設備系システム１０から送信される情報を用いて、低度セキュリティレベル領域から高度セキュリティレベル領域への移動などといった設備系システム１０におけるユーザの出入状態の変化を把握し、このユーザの出入状態の変化に応じて、端末装置２１_ｎから認証装置２２を介して認証サーバ２３へとアクセス要求として送信される認証用のパケットであるネットワーク認証要求を通過させるのか、それとも通過させずに認証サーバ２３での認証の事前に拒否してしまうのかを判断することができる。

また、情報ブレーカ３０は、ユーザがネットワークへの接続が既に認証されている状態において、設備系システム１０から送信される情報を利用して、高度セキュリティレベル領域から低度セキュリティレベル領域への移動などといった設備系システム１０におけるユーザの出入状態の変化を把握し、このユーザの出入状態の変化に応じて、強制的に再認証要求を行い、認証結果に応じて認証拒否や接続されたネットワークを切断するよう制御することができる。

さらに、情報ブレーカ３０は、動作切替部４０の指示に応じて、設備系システム１０とネットワーク認証システム２０とを連携制御する通常動作モードと、ネットワーク管理システム１の構成を変更することなく設備系システム１０とネットワーク認証システム２０との連携を切り離すメンテナンスモードとを切り替えることができる。

外部システムＩ／Ｆ３１は、設備系システム１０と当該情報ブレーカ３０とを接続するための通信インターフェースである。外部システムＩ／Ｆ３１を介した設備系システム１０と情報ブレーカ３０との通信は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）などの通信規格を利用することができる。また、外部システムＩ／Ｆ３１を介した設備系システム１０と情報ブレーカ３０との通信は、ＴＣＰ／ＩＰベースの通信に限らず、非ＩＰのフィールドバスなどを利用することもできる。

情報変換部３２は、外部システムＩ／Ｆ３１を介して、当該情報ブレーカ３０に入力された情報を所定のデータ形式に変換して内部データベース３３へ格納させる。

内部データベース３３は、情報ブレーカ３０で利用する各種情報を記憶するデータベースであり、ユーザ毎に定義された静的な情報を記憶するユーザ情報記憶部３３Ａと、ユーザの現在の状態を示す動的な情報を記憶する認証状態記憶部３３Ｂと、設備系システム１０やネットワーク認証システム２０に関連して定義された静的な情報を記憶するシステム情報記憶部３３Ｃとを備えている。

ユーザ情報記憶部３３Ａは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、あらかじめ登録されたユーザが保持しているＩＣカード２のカードＩＤと、このユーザがネットワーク認証された際に、認証を維持できる時間を示した滞在可能時間情報とを関係付けて記憶している。ユーザ情報記憶部３３Ａに記憶された情報は、静的情報であり、一旦設定されると新たなユーザ登録やシステム変更などがあるまで変更されず保持される。ユーザ情報記憶部３３Ａの情報の更新処理は、後述する情報管理部３８にて実行される。

図３に、ユーザ情報記憶部３３Ａで記憶保持している情報とその内容との一例を示す。カードＩＤは、設備系システム１０の出入時に使用されるＩＣカード２のカードＩＤである。情報変換部３２は、設備系システム１０からカードＩＤを通知された場合に、ユーザ情報記憶部３３Ａを参照することでアカウントＩＤを取得し、このアカウントＩＤに基づき認証状態記憶部３３Ｂの更新処理などを実行する。また、１人のユーザが、ＩＣカード２を複数枚所持している場合もあるため、このカードＩＤは、一つのアカウントＩＤに対して複数登録される場合もある。

滞在可能時間情報は、このアカウントＩＤで特定されるユーザに与えられた、ネットワーク認証を維持することが認められた時間を示す情報である。この滞在可能時間情報は、ネットワークの再認証時に、ユーザが現在までどれだけネットワークを使用したかを示す時間情報と比較され、ネットワーク使用時間が、滞在可能時間を超えた場合には、ネットワークへの再認証要求が無効とされる。ユーザが現在までどれだけネットワークを使用したかを示す時間情報は、認証状態記憶部３３Ｂに記憶されているネットワーク認証が許可された時刻を示す後述する認証時刻情報から認証処理部３６によって求められる。

認証状態記憶部３３Ｂは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、滞在中領域番号情報と、入り時刻情報と、認証時刻情報と、認証装置ＩＤと、認証装置ポート番号情報とを関係付けて記憶している。認証状態記憶部３３Ｂに記憶される情報は、動的情報であり、設備系システム１０で管理されているユーザの出入状態、ネットワーク認証システム２０で管理されているユーザのネットワーク認証状態などに応じて情報変換部３２、認証処理部３６により随時更新されていく。

図４に、認証状態記憶部３３Ｂに記憶される情報とその内容との一例を示す。滞在中領域番号情報は、ユーザが、現在、滞在しているセキュリティレベル領域、例えば、高度セキュリティレベル領域、低度セキュリティレベル領域を特定する番号情報である。設備系システム１０の各セキュリティレベル領域は、それぞれを一意に特定する識別番号が付与されている。情報変換部３２は、設備系システム１０において状態変化があった際に通知される情報から、ユーザが現在どのセキュリティレベル領域にいるのかを特定して、そのセキュリティレベル領域を示す領域番号情報を滞在中領域番号情報として、認証状態記憶部３３Ｂに記憶させる。

例えば、設備系システム１０Ａでは、状態変化があった場合に、入退室コントロールユニット１３から入室扉ＩＤ又は退室扉ＩＤが送信されるが、情報変換部３２は、この入室扉ＩＤ又は退室扉ＩＤを用いて、後述するシステム情報記憶部３３Ｃに入室扉ＩＤ、退室扉ＩＤと関係付けて記憶されているセキュリティレベル領域を特定する領域番号情報を取得し、この領域番号情報を滞在中領域番号情報として、認証状態記憶部３３Ｂに書き込む。

入り時刻情報は、設備系システム１０より状態変化があった際に送信される信号を受信した時刻であり、滞在中領域番号情報として示されるセキュリティレベル領域での滞在が開始された時刻を示している。この入り時刻情報は、ネットワーク認証時、再認証時において、当該セキュリティレベル領域の滞在可能時間情報や利用可能時刻情報との比較に用いられる。

認証時刻情報は、ユーザのネットワーク認証が許可された時刻を示している。認証処理部３６は、ネットワーク再認証時に、この認証時刻情報から、ユーザのネットワーク利用時間を求め、このネットワーク利用時間と、ユーザ毎に規定されている滞在可能時間情報又はセキュリティレベル領域毎に規定されている滞在可能時間情報との比較に使用する。

認証装置ＩＤは、ネットワーク認証要求を送信したユーザが端末装置２１_ｎを介して接続している認証装置２２のＩＰアドレスを示している。この認証装置ＩＤは、ＳＮＭＰによる強制切断処理時に使用される。

認証装置ポート番号情報は、ネットワーク認証要求を送信したユーザが端末装置２１_ｎを介して接続している認証装置２２のポート番号を示している。この認証装置ポート番号情報は、ＳＮＭＰによる強制切断処理時に使用される。

システム情報記憶部３３Ｃは、設備系システム１０の各セキュリティレベル領域をそれぞれ一意に特定するための識別番号である領域番号情報毎に、入室扉ＩＤと、退室扉ＩＤと、利用可能時刻情報と、滞在可能時間情報と、認証装置ＩＤとを関係付けて記憶している。システム情報記憶部３３Ｃに記憶された情報は、静的情報であり、一旦設定されるとシステム変更などがあるまで変更されずに保持される。システム情報記憶部３３Ｃの情報更新処理は、後述する情報管理部３８にて実行される。

図５に、システム情報記憶部３３Ｃで記憶保持している情報とその内容との一例を示す。入室扉ＩＤ、退室扉ＩＤは、設備系システム１０Ａのように扉によってセキュリティレベル領域が隔てられている設備系システム１０に対応するために用意されている。

入室扉ＩＤは、設備系システム１０に設けられた入口扉のＩＤであり、入口扉と１対１で対応している設備系システム１０Ａの入室用カードリーダ１１のＩＤを使用する。退室扉ＩＤは、設備系システム１０に設けられた出口扉のＩＤであり、出口扉と１対１で対応している設備系システム１０Ａの退室用カードリーダ１２のＩＤを使用する。入室扉ＩＤ、退室扉ＩＤは、セキュリティレベル領域に設けられている扉の数に応じて、複数設定することができる。

利用可能時刻情報は、このセキュリティレベル領域にて、ネットワークの利用が許可されている時間帯を示す情報である。具体的には、利用可能時刻情報は、ネットワークの利用が許可されている開始時刻情報と、終了時刻情報とを対にした時刻情報である。この利用可能時刻情報は、ネットワークの認証時、再認証時にて使用される。

滞在可能時間情報は、このセキュリティレベル領域にて、ネットワークの認証が認められる時間を示した情報である。滞在可能時間情報は、ネットワークの再認証時に、ユーザが現在までどれだけネットワークを使用したかを示す時間情報と比較され、ネットワーク使用時間が、滞在可能時間を超えた場合には、ネットワークへの再認証要求が無効とされる。このとき、当該システム情報記憶部３３Ｃに記憶されている滞在可能時間情報、ユーザ情報記憶部３３Ａに記憶されている滞在可能時間情報のうち、いずれか時間の短い方が優先的に使用されることになる。

認証装置ＩＤは、このセキュリティレベル領域に設置されている認証装置２２のＩＰアドレスを示している。この認証装置ＩＤは、セキュリティレベル領域に設定された認証装置２２の数に応じて、複数設定することができる。

ネットワークＩ／Ｆ３４は、当該情報ブレーカ３０と、認証装置２２、認証サーバ２３との通信を行うための通信インターフェースである。ネットワークＩ／Ｆ３４は、Ｅｔｈｅｒｎｅｔ（登録商標）やＴＣＰ／ＩＰスタックに相当する。

ＲＡＤＩＵＳ認証部３５は、認証要求中継部３５Ａと、要求中継判断部３５Ｂと、機器設定記憶部３５Ｃとを備え、ＲＡＤＩＵＳ認証に関連する処理を実行する。

認証要求中継部３５Ａは、ＲＡＤＩＵＳ認証において認証装置２２、認証サーバ２３間で送受信されるＲＡＤＩＵＳパケットを中継する。このとき、認証要求中継部３５Ａは、ネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤなど認証処理部３６での認証処理に必要となる情報を取得する。またＲＡＤＩＵＳの規格で定義されている認証符号の再計算を行う機能も有している。

要求中継判断部３５Ｂは、認証処理部３６でなされた認証判断に基づき、認証サーバ２３に対してネットワーク認証要求を送信するか、ネットワーク認証要求を拒否するかの最終的な判断をする。要求中継判断部３５Ｂは、拒否応答する場合には、拒否応答パケットを生成し認証装置２２に送信する。

機器設定記憶部３５Ｃは、ＲＡＤＩＵＳ通信の正当性を確認するために必要となる認証装置２２、認証サーバ２３それぞれで保持される全ての秘密共有鍵を、通信相手のＩＰアドレスと対応付けて管理する。

認証処理部３６は、認証装置２２から送信されるネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤと、内部データベース３３のユーザ情報記憶部３３Ａに記憶されている情報とを用いて認証処理をし、ネットワーク認証要求を認証サーバ２３へと送信するのかどうかを判断する。

認証状態制御部３７は、認証装置２２が外部からの認証状態制御に対応している場合、ユーザの行動状態が変化したことに応じて、即座に認証状態をリセットするための要求を送信する。

この認証状態制御部３７は、認証装置２２が、ＭＩＢ（Management Information Base）と呼ばれる管理情報データベースを保持している場合に動作する機能部である。具体的には、ＩＥＴＦ（Internet Engineering Task Force ）で標準化されたＴＣＰ／ＩＰネットワーク環境での管理プロトコルであるＳＮＭＰ (Simple Network Management Protocol)にて、上述した管理情報であるＭＩＢを交換することで、当該認証状態制御部３７により認証装置２２を管理することができる。つまり、認証装置２２にＳＮＭＰエージェントが与えられた場合に、認証状態制御部３７は、ＳＮＭＰマネージャとして機能する。例えば、ＭＩＢとしては、ＩＥＥＥ８０２．１ｘで規定されたものを使用することができる。

情報管理部３８は、ユーザ情報記憶部３３Ａ、システム情報記憶部３３Ｃに記憶されている静的情報や、機器設定記憶部３５Ｃに記憶されている設定情報などを、ＨＴＴＰ（Ｓ）サーバやＴｅｌｎｅｔなどを利用して外部から管理することができる。

認証ログ記憶部３９は、認証処理部３６による認証処理結果や機器動作状態のログを記憶する。認証ログ記憶部３９は、Ｓｙｓｌｏｇ出力機能を有している。

動作切替部４０は、ユーザの操作に応じて、情報ブレーカ３０の動作モードを切り替えるように指示をする。

具体的には、動作切替部４０は、上述した各機能部により設備系システム１０とネットワーク認証システム２０とを連携制御する通常動作モードと、ネットワーク管理システム１の構成を変更することなく設備系システム１０とネットワーク認証システム２０との連携を情報ブレーカ３０内部で切り離し、設備系システム１０とネットワーク認証システムとをそれぞれ別々に動作させるメンテナンスモードとを切り替えるよう指示をする。

動作切替部４０は、例えば、ディップスイッチなどで構成され、ユーザによるディップスイッチの操作に応じて通常動作モードとメンテナンスモードとを切り替えるよう指示することができる。

メンテナンスモードとは、ネットワーク管理システム１に発生した不具合個所を特定したり、新たに構築した設備系システム１０やネットワーク認証システム２０を情報ブレーカ３０で連携させるよう施工した際の動作確認をするための動作モードである。動作切替部４０により、情報ブレーカ３０の動作モードをメンテナンスモードへと切り替えるよう指示すると、システム構成を変更することなく設備系システム１０とネットワーク認証システム２０との連携を切り離すことができる。

メンテナンスモードには、認証要求中継部３５ＡをＲＡＤＩＵＳプロキシサーバとして機能させることで、設備系システム１０と、ネットワーク認証システム２０との連携を切り離す第１メンテナンスモード（Ｍｏｄｅ１）と、認証要求中継部３５Ａに対しネットワーク認証要求のＲＡＤＩＵＳパケットを全て破棄させることで、設備系システム１０と、ネットワーク認証システム２０との連携を切り離す第２メンテナンスモード（Ｍｏｄｅ２）とがある。この第１メンテナンスモード、第２メンテナンスモードも、動作切替部４０の操作により切り替えることができる。

図６に、動作切替部４０の操作に応じてモードが切り替えられる情報ブレーカ３０の状態遷移図を示す。なお、通常動作モードは、Ｍｏｄｅ１である第１メンテナンスモード、Ｍｏｄｅ２である第２メンテナンスモードに対してＭｏｄｅ３としている。

図６に示すように、情報ブレーカ３０に必須となる各種設定が既になされた状態で、情報ブレーカ３０を起動させると、動作切替部４０の状態に応じて、第１メンテナンスモード、第２メンテナンスモード、通常動作モードのいずれかで起動することになる。また、情報ブレーカ３０が起動されている状態で動作切替部４０を操作すると、操作状態に応じて第１メンテナンスモード、第２メンテナンスモード、通常動作モードへと自由に切り替えることができる。

第１メンテナンスモードに切り替えられると、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、ＲＡＤＩＵＳプロキシサーバとして機能する。具体的には、第１メンテナンスモードに切り替えられると、認証要求中継部３５Ａは、ネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤなど、認証処理部３６での認証処理に必要な情報を取得する処理を実行せず、ＲＡＤＩＵＳ規格で定義されている認証符号の再計算のみを実行し、認証サーバ２３に対してネットワーク認証要求を送信する。

このように、認証要求中継部３５ＡがＲＡＤＩＵＳプロキシサーバとして機能すると、認証処理部３６での認証処理がなされないため、設備系システム１０で管理されるユーザの高度セキュリティレベル領域への出入に連携することなく、ネットワーク認証システム２０は、ネットワーク認証を実行することになる。

上述したように、第１メンテナンスモードでは、認証要求中継部３５ＡをＲＡＤＩＵＳプロキシサーバとして機能させ、認証処理部３６での認証処理を実行させないことで、設備系システム１０と、ネットワーク認証システム２０との連携制御を切り離している。

これに替えて、動作切替部４０により第１メンテナンスモードへと切り替えるよう指示された場合、認証処理部３６での認証処理を実行させないのではなく、ネットワーク認証要求に含まれるアカウントＩＤをキーとして内部データベース３３の認証状態記憶部３３Ｂから取得される情報、認証装置２２のＩＰアドレスをキーとして、内部データベース３３のシステム情報記憶部３３Ｃから取得される情報、つまり、設備系システム１０で管理されるユーザの高度セキュリティレベル領域への出入状態に関する情報を、必ず認証判断が下されるように変更して、認証処理を実行させるようにしてもよい。

この場合、認証処理部３６は、認証装置２２から送信されたネットワーク認証要求を認証サーバ２３へと転送してよいと必ず判断することになる。したがって、認証処理部３６で認証処理を実行せずに、認証要求中継部３５ＡをＲＡＤＩＵＳプロキシサーバとして機能させた場合と同様に、設備系システム１０で管理されるユーザの高度セキュリティレベル領域への出入に連携することなく、ネットワーク認証システム２０は、ネットワーク認証を実行することになる。

つまり、第１メンテナンスモードでは、設備系システム１０と、ネットワーク認証システム２０とをそれぞれ単独で動作させることができるため、ネットワーク管理システム１に不具合が生じた場合には、動作切替部４０を第１メンテナンスモードへと切り替えることでシステム構成を変更することなく、設備系システム１０、ネットワーク認証システム２０のいずれかで生じた不具合を容易に特定することができる。

また、新たに構築した設備系システム１０やネットワーク認証システム２０を連携制御装置である情報ブレーカ３０で連携させるよう施工した際、施工業者又はシステム管理者が、動作切替部４０を第１メンテナンスモードへと切り替えることで、設備系システム１０、ネットワーク認証システム２０、それぞれの動作確認をシステム構成を変更することなく独立して行うことができる。

一方、第２メンテナンスモードに切り替えられると、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、端末装置２１_ｎから認証装置２２を介して認証サーバ２３へとアクセス要求として送信される認証用のパケットであるネットワーク認証要求のＲＡＤＩＵＳパケットを全て破棄する。

このように、認証要求中継部３５Ａがネットワーク認証要求のＲＡＤＩＵＳパケットを全て破棄すると、情報ブレーカ３０に故障が発生したかのような状態を作為的に作り出すことができる。

ところで、ネットワーク管理システム１は、情報ブレーカ３０に万が一故障が発生した場合であっても、少なくともＲＡＤＩＵＳによるネットワーク認証での運用を確保することができるように、冗長化構成をとることができる。

例えば、図７に示すように同一の構成の情報ブレーカ３０Ａ、３０Ｂを設け、認証装置２２には、情報ブレーカ３０Ａをプライマリサーバとして設定し、情報ブレーカ３０Ｂをセカンダリサーバとして設定する。これにより、プライマリサーバである情報ブレーカ３０Ａが故障した場合には、認証装置２２は、セカンダリサーバである情報ブレーカ３０Ｂを介して設備系システム１０との連携制御を実現することができる。

また、図８に示すように、認証装置２２に、情報ブレーカ３０をプライマリサーバとして設定し、認証サーバ２３をセカンダリサーバとして設定することもできる。この場合、プライマリサーバである情報ブレーカ３０が故障した場合には、設備系システム１０との連携制御を実行することがはできないが、少なくともネットワーク認証を実行することはできる。

このようにネットワーク管理システム１を冗長化構成とした場合、プライマリサーバの故障時に、確実にセカンダリサーバが機能することが望まれる。特に、設備系システム１０やネットワーク認証システムを新たに構築するなどシステム構成に変更があった場合には、プライマリサーバからセカンダリサーバへの切り替え動作が確実になされるよう動作確認を事前にしておく必要がある。

そこで、このような場合には、動作切替部４０を第２メンテナンスモードへと切り替え、認証要求中継部３５Ａがネットワーク認証要求のＲＡＤＩＵＳパケットを全て破棄し、情報ブレーカ３０に故障が発生したかのような状態を作為的に作り出す。これに応じて、認証装置２２が、プライマリサーバが故障したと判断して、セカンダリサーバへとネットワーク認証要求を送信した場合、ネットワーク管理システム１の冗長化構成が確実に機能していると判断することができる。

続いて、図９、図１０、図１１に示すタイミングチャートを用いて、情報ブレーカ３０を通常動作モードとした際のネットワーク管理システム１の処理動作、第１メンテナンスモードとした際のネットワーク管理システム１の処理動作について説明をする。

［通常動作モード時の処理動作］
まず、図９に示すタイミングチャートを用いて、情報ブレーカ３０を通常動作モードとした際のネットワーク管理システム１の処理動作について説明をする。なお、説明が冗長となることを避けるため、設備系システム１０Ａを使用した場合についてのみ説明をするが、設備系システム１０Ｂの場合も全く同様の処理動作となる。

ステップＳ１において、ユーザは、低度セキュリティレベル領域からネットワークが構築されている高度セキュリティレベル領域へと、入退室コントロールユニット１３によって管理された扉から入室するとする。

具体的には、ユーザは、入室用カードリーダ１１にＩＣカード２を翳す。これに応じて、入退室コントロールユニット１３は、ＩＣカード２の半導体メモリに格納されている情報を読み取り、カードＩＤを認証して施錠された扉の電気錠を解錠する。

入退室コントロールユニット１３は、ＩＣカード２から読み取ったカードＩＤを情報ブレーカ３０に送信する。また、入退室コントロールユニット１３は、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、入室であることを示す情報を送信する。

情報ブレーカ３０の情報変換部３２は、外部システムＩ／Ｆ３１を介して設備系システム１０から送信される情報を認証処理で使用できるように変換し、内部データベース３３の認証状態記憶部３３Ｂに記憶させ、設備系システム１０の高度セキュリティレベル領域におけるユーザの現在の出入状態を記憶する。

具体的には、情報変換部３２は、入退室コントロールユニット１３から送信されたＩＣカード２のカードＩＤを用いて、ユーザ情報記憶部３３Ａを参照し、このカードＩＤに対応付けて記憶されているアカウントＩＤを取得する。また、情報変換部３２は、入退室コントロールユニット１３から送信された入室扉ＩＤを用いて、システム情報記憶部３３Ｃを参照し、この入室扉ＩＤに対応付けて記憶されている高度セキュリティレベル領域を特定する領域番号情報を取得する。

そして、情報変換部３２は、システム情報記憶部３３Ｃから取得した領域番号情報を、ユーザが現在滞在している高度セキュリティレベル領域であることを示す滞在中領域番号情報として、ユーザ情報記憶部３３Ａから取得したアカウントＩＤと対応付けて、認証状態記憶部３３Ｂに記憶させる。

また、情報変換部３２は、入退室コントロールユニット１３から、カードＩＤ、入室扉ＩＤを受け取った時刻を、ユーザが高度セキュリティレベル領域へと入った入り時刻情報として、認証状態記憶部３３Ｂに記憶させる。

ステップＳ２において、高度セキュリティレベル領域に入室したユーザは、端末装置２１_ｎから認証装置２２を介して、ＩＥＥＥ８０２．１Ｘの手順に従い、アクセス要求としてネットワーク認証要求を送信することでネットワークへの接続を試みる。

初期状態では、端末装置２１_ｎとネットワーク間の回線は、認証装置２２によって切断されているため、端末装置２１_ｎは、認証装置２２との通信しか行うことができない。

まず、ユーザは、ネットワークに接続するために、端末装置２１_ｎからアカウントＩＤ及びパスワードを入力し認証装置２２へ認証用のパケットであるネットワーク認証要求を送信する。

端末装置２１_ｎは、ネットワーク認証要求をＥＡＰメッセージの入ったＭＡＣ（Media Access Control）フレームとして認証装置２２へ送信する。このとき、アカウントＩＤは平文で、パスワードはハッシュ化された状態で送信される。

認証装置２２は、ＭＡＣフレームからＥＡＰメッセージを取り出し、ＩＰパケットに乗せ換え、情報ブレーカ３０へと送信をする。具体的には、認証装置２２は、ＩＰの上位層のＵＤＰを利用して、認証装置２２から取り出したＥＡＰメッセージをＲＡＤＩＵＳパケットのデータ部分に格納して情報ブレーカ３０へと送信する。

認証装置２２と認証サーバ２３とのＲＡＤＩＵＳ認証処理における認証シーケンスにおいて、認証装置２２からネットワーク認証要求として送信される最初のＲＡＤＩＵＳパケットのＥＡＰメッセージにのみ、平文のアカウントＩＤであるＥＡＰ−Ｔｙｐｅ＝Ｉｄｅｎｔｉｔｙデータが存在する。ＲＡＤＩＵＳパケットには、このアカウントＩＤの他に、認証装置２２の情報として認証装置２２のＩＰアドレス、端末装置２１_ｎが接続された認証装置２２のポート番号などがＲＡＤＩＵＳ属性情報として記述されている。

ステップＳ３において、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、ネットワークＩ／Ｆ３４を介して受信したネットワーク認証要求のＲＡＤＩＵＳパケットのＥＡＰメッセージに添付されたＩｄｅｎｔｉｔｙデータを取得して認証処理部３６に出力する。また、認証要求中継部３５Ａは、受信したネットワーク認証要求のＲＡＤＩＵＳパケットより認証装置２２のＩＰアドレスを取得して認証処理部３６に出力する。

ステップＳ４において、認証処理部３６は、取得したＩｄｅｎｔｉｔｙデータのアカウントＩＤをキーとして、内部データベース３３の認証状態記憶部３３Ｂに格納されているユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報と、入り時刻情報とを要求する。また、認証処理部３６は、取得した認証装置２２のＩＰアドレスをキーとして、内部データベース３３のシステム情報記憶部３３Ｃに格納されている認証装置２２の設置されている高度セキュリティレベル領域を特定する領域番号情報と、利用可能時刻情報とを要求する。この領域番号情報は、ネットワーク認証要求を送信した認証装置２２が設置されている高度セキュリティレベル領域を示すことになる。

ステップＳ５において、認証処理部３６は、認証状態記憶部３３Ｂから取得したユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報、入り時刻情報、システム情報記憶部３３Ｃから取得した領域番号情報、利用可能時刻情報より、認証装置２２から送信されたネットワーク認証要求を認証サーバ２３へと転送してよいかどうかを判断する。

また、認証状態記憶部３３Ｂから取得した情報より、該当するユーザが高度セキュリティレベル領域に存在し、既にネットワーク上での認証がなされていることが示されている場合には、ネットワーク認証要求をしてきたユーザは、不当なユーザであることが分かるため認証状態記憶部３３Ｂの認証状態を認証中から切断中に書き換えるようにしてもよい。

ステップＳ６において、認証処理部３６は、ユーザ情報記憶部３３Ａから取得したユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報とシステム情報記憶部３３Ｃから取得した領域番号情報とを比較して、高度セキュリティレベルにユーザが存在し、この高度セキュリティレベル領域からネットワーク認証要求がさなれたと確認でき、さらに、システム情報記憶部３３Ｃから取得した利用可能時刻情報と現在の時刻とを比較して、この高度セキュリティレベル領域のネットワークを利用することが許可された時刻であることが確認できたことに応じて認証判断をＲＡＤＩＵＳ認証部３５の要求中継判断部３５Ｂに通知する。

ステップＳ７において、要求中継判断部３５Ｂは、認証処理部３６からの認証判断に応じて、認証サーバ２３へネットワーク認証要求を送信する最終的な判断をし、ネットワークＩ／Ｆ３４を介して、ネットワーク認証要求を認証サーバ２３へ送信する。

ステップＳ８において、認証処理部３６は、認証状態記憶部３３Ｂから取得したユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報とシステム情報記憶部３３Ｃから取得した領域番号情報とを比較して、高度セキュリティレベル領域にユーザが存在することが確認できなかったり、ユーザが存在している高度セキュリティレベル領域からネットワーク認証要求が送信されていないことに応じて、又は、システム情報記憶部３３Ｃから取得した利用可能時刻情報と現在の時刻とを比較して、この高度セキュリティレベル領域のネットワークを利用することが許可されていない時刻であることが確認できたことに応じて拒否判断をＲＡＤＩＵＳ認証部３５の要求中継判断部３５Ｂに通知する。

ステップＳ９において、要求中継判断部３５Ｂは、認証処理部３６からの拒否判断に応じて、認証サーバ２３へのネットワーク認証要求の送信を拒否し、拒否応答パケットを生成して、ネットワークＩ／Ｆ３４を介して認証装置２２へ送信する。認証装置２２は、送信された拒否応答パケットに基づき、端末装置２１_ｎにネットワーク認証要求を拒否したことを示す拒否応答を通知する。

ステップＳ１０において、認証サーバ２３へネットワーク認証要求が送信されたことに応じて、ＥＡＰメッセージが添付された認証サーバ２３から送信される応答パケット、端末装置２１_ｎから送信される要求パケットをやり取りすることで、ユーザのネットワーク上での認証処理が実行される。

具体的には、認証サーバ２３は、ネットワーク認証要求に添付されたアカウントＩＤをキーとして、図示しないユーザ情報記憶部に格納されている情報との照合処理を行う。

認証サーバ２３は、送信されたアカウントＩＤに関連付けられてユーザ情報記憶部に格納されている対象となるユーザのパスワードを所定のハッシュ関数でハッシュ化し、ネットワーク認証要求に添付されたハッシュ化されているパスワードと比較をし、ハッシュ化されたパスワード同士が一致するかどうか確認をする。

このとき、情報ブレーカ３０の認証要求中継部３５Ａは、端末装置２１_ｎと認証サーバ２３との要求パケット、応答パケットに対して何も施さずにスルーする。認証装置２２は、上述したようなＥＡＰメッセージの乗せ換えだけを行う中継装置として機能する。

ステップＳ１１において、認証サーバ２３は、当該認証サーバ２３による認証がなされたことを示す認証許可通知、認証されなかったことを示す認証不許可通知のいずれかを、情報ブレーカ３０のＲＡＤＩＵＳ認証部３５を介して認証装置２２に送信する。

認証装置２２は、認証サーバ２３から認証許可通知を受け取った場合には、端末装置２１_ｎとネットワークとの回線を開放する。これにより、ユーザは、端末装置２１_ｎを介してネットワークへアクセスすることができネットワーク上の他の端末装置との通信が可能となる。

認証装置２２は、認証サーバ２３から認証不許可通知を受け取った場合には、端末装置２１_ｎとネットワークとの回線を開放せずに、認証不許可である旨を通知するメッセージを端末装置２１_ｎに送信する。

ステップＳ１２において、認証サーバ２３から認証許可通知を受け取った場合、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、ネットワークの認証結果を内部データベース３３の認証状態記憶部３３Ｂに記憶させる。認証状態記憶部３３Ｂに記憶させる情報としては、例えば、アカウントＩＤ、端末装置２１_ｎが接続されている認証装置２２を一意に特定する機器ＩＤ、ネットワークへの接続が開放されているポート番号、認証が許可された認証時刻などである。

このようにして、情報ブレーカ３０によって設備系システム１０と、ネットワーク認証システム２０とが相互に接続され連携されたネットワーク管理システム１では、検出される設備系システム１０におけるユーザの高度セキュリティレベル領域における現在の出入状態に基づき、情報ブレーカ３０が、端末装置２１_ｎからなされるネットワーク認証要求の正当性を認証サーバ２３へ通知する前段で判断する。

これにより、既存のシステムに情報ブレーカ３０を追加（アドオン）するだけで、設備系システム１０と、ネットワーク認証システム２０との連携を容易に図ることができるため、ネットワーク構築に労力をかけずに、高度セキュリティレベルへ不正に侵入したユーザのネットワークへの接続を排除することができるネットワーク管理システムを低コストで構築することができる。

また、情報ブレーカ３０を設けることで、認証サーバ２３において、端末装置２１_ｎから要求される疑わしいネットワーク認証要求に対する無駄な認証処理を実行する必要がないため、認証サーバ２３の処理負荷、及びネットワークの負荷を大幅に低減することができる。

［第１メンテナンスモード時の処理動作］
次に、図１０、図１１に示すタイミングチャートを用いて、情報ブレーカ３０を第１メンテナンスモードとした際のネットワーク管理システム１の処理動作について説明をする。上述したように第１メンテナンスモードは、認証要求中継部３５ＡをＲＡＤＩＵＳプロキシサーバとして認証処理部３６での認証処理を実行させない構成と、設備系システム１０で管理されるユーザの高度セキュリティレベル領域への出入状態に関する情報を必ず認証処理部３６で認証判断が下されるように変更する構成とがある。

（認証処理部３６での認証処理を実行させない構成の場合）
認証処理部３６での認証処理を実行させない構成の場合、図１０に示すように、情報ブレーカ３０を第１メンテナンスモードとした際の処理動作は、図９に示した通常動作モード時の処理動作のステップＳ１、ステップＳ１２の処理が必要なくなり、さらに、ステップＳ３乃至ステップＳ９の処理に替えてステップＳ２１の処理が実行される。したがって、図１０に示すタイミングチャートにおいて、図９に示したタイミングチャートと同一の処理については、同一ステップ番号を付して説明を省略する。

まず、ネットワーク管理システム１の動作確認や不具合個所の特定といったメンテナンス処理を実行しようとする場合、ユーザは、情報ブレーカ３０を第１メンテナンスモードとする。

そして、ネットワーク認証システム２０の動作確認や不具合個所を特定する場合、ユーザは、高度セキュリティレベル領域へと入室し、図９を用いて説明したステップＳ２の処理を実行して、ネットワーク認証システム２０を動作させる。ステップＳ２の処理が終了すると、ステップＳ２１へと処理が進む。

なお、設備系システム１０の動作確認や不具合個所を特定する場合、ユーザは、例えば、ＩＣカード２内に格納された被認証情報であるカードＩＤを入室用カードリーダ１１、又は退室用カードリーダ１２で読み取らせ、入退室コントロールユニット１３で認証処理が正確に実行されるかなどを検証する。

ステップ２１において、認証要求中継部３５Ａは、ネットワークＩ／Ｆ３４を介して受信したネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤなど、認証処理部３６での認証処理に必要な情報を取得する処理を実行せず、ＲＡＤＩＵＳ規格で定義されている認証符号の再計算のみを実行し、ネットワークＩ／Ｆ３４を介して、ネットワーク認証要求を認証サーバ２３へ送信する。ステップＳ２１が終了すると、ステップＳ１０へと処理が進む。

そして、ステップＳ１１において得られる結果より、ユーザは、ネットワーク認証システム２０が正常に機能しているのか、ネットワーク認証システム２０に不具合があるのかどうかを判断し、不具合がある場合には、所定のメンテナンス処理を実行する。

例えば、正当なユーザであるにも拘わらず、端末装置２１_ｎとネットワークとの回線が開放されない場合や、正当なユーザでないのに、端末装置２１_ｎとネットワークとの回線が開放されてしまう場合などには、ネットワーク認証システム２０に不具合が発生していると判断することができる。

（認証処理部３６での認証処理を実行させる構成の場合）
認証処理部３６での認証処理を実行させる構成の場合、図１１に示すように、情報ブレーカ３０を第１メンテナンスモードとした際の処理動作は、図９に示した通常動作モード時の処理動作のステップＳ１、ステップＳ１２の処理が必要なくなり、さらに、ステップＳ４の処理に替えてステップＳ３１の処理が実行される。したがって、図１１に示すタイミングチャートにおいて、図９に示したタイミングチャートと同一の処理については、同一ステップ番号を付して説明を省略する。

そして、ネットワーク認証システム２０の動作確認や不具合個所を特定する場合、ユーザは、高度セキュリティレベル領域へと入室し、図９を用いて説明したステップＳ２の処理を実行して、ネットワーク認証システム２０を動作させる。ステップＳ２の処理が終了すると、ステップＳ３、ステップＳ３１へと処理が進む。

ステップＳ３１において、認証処理部３６は、取得したＩｄｅｎｔｉｔｙデータのアカウントＩＤをキーとして、内部データベース３３の認証状態記憶部３３Ｂに格納されているユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報と、入り時刻情報とを要求する。また、認証処理部３６は、取得した認証装置２２のＩＰアドレスをキーとして、内部データベース３３のシステム情報記憶部３３Ｃに格納されている認証装置２２の設置されている高度セキュリティレベル領域を特定する領域番号情報と、利用可能時刻情報とを要求する。この領域番号情報は、ネットワーク認証要求を送信した認証装置２２が設置されている高度セキュリティレベル領域を示すことになる。

このとき、認証処理部３６は、認証状態記憶部３３Ｂに格納されているユーザの高度セキュリティレベル領域における現在の出入状態を示す情報である滞在中領域番号情報と、入り時刻情報とを、当該認証処理部３６で必ず認証判断を下すことができるように変更する。

これにより、認証処理部３６は、ステップＳ５、ステップＳ６で、必ず認証判断を下す。したがって、ステップＳ７において、要求中継判断部３５Ｂは、認証処理部３６からの認証判断に応じて、認証サーバ２３へネットワーク認証要求を送信する最終的な判断をし、ネットワークＩ／Ｆ３４を介して、ネットワーク認証要求を認証サーバ２３へ送信する。

そして、ステップＳ１０を経たステップＳ１１において得られる結果より、ユーザは、ネットワーク認証システム２０が正常に機能しているのか、ネットワーク認証システム２０に不具合があるのかどうかを判断し、不具合がある場合には、所定のメンテナンス処理を実行する。

図１０、図１１を用いて説明したように、第１メンテナンスモードでは、認証要求中継部３５ＡをＲＡＤＩＵＳプロキシサーバとしたり、認証処理部３６で必ず認証判断が下されるようにユーザの高度セキュリティレベル領域における現在の出入状態を示す情報を変更することで、無条件に認証サーバ２３に対してネットワーク認証要求を送信させる。これにより、設備系システム１０とネットワーク認証システム２０とが連携されないため、設備系システム１０と、ネットワーク認証システム２０とをそれぞれ単独で動作させることができる。

したがって、ネットワーク管理システム１に不具合が生じた場合には、動作切替部４０を第１メンテナンスモードへと切り替えることでシステム構成を変更することなく、設備系システム１０、ネットワーク認証システム２０のいずれかで生じた不具合を容易に特定することができる。

また、新たに構築した設備系システム１０やネットワーク認証システム２０を連携制御装置である情報ブレーカ３０で連携させるよう施工した際、施工業者又はシステム管理者が、動作切替部４０を第１メンテナンスモードへと切り替えることで、設備系システム１０、ネットワーク認証システム２０、それぞれの動作確認をシステム構成を変更することなく独立して行うことができるようになる。

さらに、図１０に示すように、認証処理部３６での認証処理を実行させない場合には、図１１に示す認証処理部３６で認証処理を実行させる場合と比較して、処理ステップを大幅に削減することができるため情報ブレーカ３０の処理負荷を低減することができる。

なお、本発明の実施の形態において、ユーザは、自身が所有するＩＣカードに格納されたカードＩＤを被認証情報として用い、設備系システム１０における認証処理を行っているが、本発明はこれに限定されるものではなく、設備系システム１０においてユーザが一意に特定されればよいので、例えば、被認証情報として指紋情報、虹彩情報といった生体情報を用い、生体認証処理を実行することで設備系システム１０における認証処理を行ってもよい。

また、端末装置２１_ｎから、ネットワークへアクセスする際にも、この生体情報を用いた生体認証処理を実行するようにしてもよい。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明の実施の形態として示すネットワーク管理システムの構成について説明するための図である。前記ネットワーク管理システムの情報ブレーカの構成について説明するための図である。内部データベースのユーザ情報記憶部に記憶されている各種情報について説明するための図である。内部データベースの認証状態記憶部に記憶される各種情報について説明するための図である。内部データベースのシステム情報記憶部に記憶されている各種情報について説明するための図である。情報ブレーカの動作モードの遷移を示した状態遷移図である。冗長化構成とした前記ネットワーク管理システムの一例を示した図である。冗長化構成とした前記ネットワーク管理システムの別の例を示した図である。前記情報ブレーカの動作モードを通常動作モードとした際の処理動作について説明するためのタイミングチャートである。前記情報ブレーカの動作モードを認証処理部で認証処理を実行させない第１メンテナンスモードとした際の処理動作について説明するためのタイミングチャートである。前記情報ブレーカの動作モードを認証処理部で認証処理を実行させる第１メンテナンスモードとした際の処理動作について説明するためのタイミングチャートである。

符号の説明

１ネットワーク管理システム
２ＩＣカード
１０設備系システム
１１入室用カードリーダ
１２退室用カードリーダ
１３入退室コントロールユニット
１５ゾーン監視センサ
１６認証用コントロールユニット
２０ネットワーク認証システム
２１_ｎ端末装置
２２認証装置
２３認証サーバ
３０情報ブレーカ
３３内部データベース
３３Ａユーザ情報記憶部
３３Ｂ認証状態記憶部
３３Ｃシステム情報記憶部
３５ＲＡＤＩＵＳ認証部
３５Ａ認証要求中継部
３５Ｂ要求中継判断部
３６認証処理部
３７認証状態制御部
４０動作切替部

Claims

ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、高度セキュリティレベル領域の出入を管理する出入管理システムと、前記高度セキュリティレベル領域に構築されたネットワークに対し、前記ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによる認証処理結果に応じて、アクセス制限をするネットワーク認証システムとを相互に連携させる連携制御装置であって、
少なくとも前記出入管理システムによる第１の被認証情報に基づく認証処理結果に応じたユーザの高度セキュリティレベル領域に対する現在の出入状態と、前記第２の被認証情報とを関連付けて記憶する記憶手段と、
前記第２の被認証情報を用いて、前記ユーザからなされるネットワークへのアクセス要求に応じて、前記記憶手段に記憶されている前記第２の被認証情報と関連付けられたユーザの高度セキュリティレベル領域に対する現在の出入状態に基づき、認証処理をする認証処理手段と、
ユーザの操作に応じて、当該連携制御装置の動作モードを切り替えるよう指示する動作切替手段と、
前記動作切替手段が操作されたことに応じて、前記認証処理手段によって認証された場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信し、前記認証処理手段によって認証されなかった場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信することなく拒否する通常動作モード、
又は、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を、無条件に前記ネットワーク認証システムの認証サーバに送信する第１メンテナンスモードで動作するよう制御する制御手段とを備えること
を特徴とする連携制御装置。
前記動作切換手段によって第１メンテナンスモードへ切り替えるよう指示されたことに応じて、
前記制御手段は、前記認証処理手段による認証処理を実行させることなく、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を認証サーバに送信すること
を特徴とする請求項１記載の連携制御装置。
前記動作切替手段によって第１メンテナンスモードへ切り替えるよう指示されたことに応じて、
前記制御手段は、前記記憶手段に記憶されている前記第２の被認証情報と関連付けられたユーザの高度セキュリティレベル領域に対する現在の出入状態を、前記認証処理手段で必ず認証されるように変更すること
を特徴とする請求項１記載の連携制御装置。
前記動作切替手段が操作されたことに応じて、
前記制御手段は、前記通常動作モード、前記第１メンテナンスモード、又は、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を全て破棄する第２メンテナンスモードで動作するよう制御すること
を特徴とする請求項１乃至請求項３のいずれか１項に記載の連携制御装置。
ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、高度セキュリティレベル領域の出入を管理する出入管理システムと、
前記高度セキュリティレベル領域に構築されたネットワークに対し、前記ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによる認証処理結果に応じて、アクセス制限をするネットワーク認証システムと、
前記出入管理システムと、前記ネットワーク認証システムとを相互に連携させる連携制御装置とを備え、
前記連携制御装置は、少なくとも前記出入管理システムによる第１の被認証情報に基づく認証処理結果に応じたユーザの高度セキュリティレベル領域に対する現在の出入状態と、前記第２の被認証情報とを関連付けて記憶する記憶手段と、
前記第２の被認証情報を用いて、前記ユーザからなされるネットワークへのアクセス要求に応じて、前記記憶手段に記憶されている前記第２の被認証情報と関連付けられたユーザの高度セキュリティレベル領域に対する現在の出入状態に基づき、認証処理をする認証処理手段と、
ユーザの操作に応じて、当該連携制御装置の動作モードを切り替えるよう指示する動作切替手段と、
前記動作切替手段が操作されたことに応じて、前記認証処理手段によって認証された場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信し、前記認証処理手段によって認証されなかった場合に、前記第２の被認証情報によるネットワークへのアクセス要求を前記ネットワーク認証システムの認証サーバに送信することなく拒否する通常動作モード、
又は、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を、無条件に前記ネットワーク認証システムの認証サーバに送信する第１メンテナンスモードで動作するよう制御する制御手段とを有すること
を特徴とするネットワーク管理システム。
前記動作切換手段によって第１メンテナンスモードへ切り替えるよう指示されたことに応じて、
前記連携制御装置の制御手段は、前記認証処理手段による認証処理を実行させることなく、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を認証サーバに送信すること
を特徴とする請求項５記載のネットワーク管理システム。
前記動作切替手段によって第１メンテナンスモードへ切り替えるよう指示されたことに応じて、
前記連携制御装置の制御手段は、前記記憶手段に記憶されている前記第２の被認証情報と関連付けられたユーザの高度セキュリティレベル領域に対する現在の出入状態を、前記認証処理手段で必ず認証されるように変更すること
を特徴とする請求項５記載のネットワーク管理システム。
前記動作切替手段が操作されたことに応じて、
前記連携制御装置の制御手段は、前記通常動作モード、前記第１メンテナンスモード、又は、前記ユーザからなされる前記第２の被認証情報によるネットワークへのアクセス要求を全て破棄する第２メンテナンスモードで動作するよう制御すること
を特徴とする請求項５乃至請求項７のいずれか１項に記載のネットワーク管理システム。