JP2007317027A - 連携制御装置 - Google Patents

Abstract

【課題】出入管理システムとネットワーク認証システムとを連携をさせつつも、ユーザによる異常な状態の遷移を自律的に判定する。
【解決手段】データベースであるユーザ状態記憶部３３Ｂには、第２の被認証情報によって関連付けられた出入状態および認証情報が格納されている。行動パターン制御部は、この出入状態および認証情報に基づいて、ユーザからなされる高度セキュリティレベル領域に対する出入要求、または、ユーザからなされるネットワークに対するアクセス要求に対して、異常があるか否かを判定する。
【選択図】図２

Description

本発明は、高度セキュリティレベル領域の出入管理及び高度セキュリティレベル領域における情報管理に係り、特に、出入管理を担う出入管理システムと情報管理を担うネットワーク認証システムとを連携させた連携制御装置に関する。

機密情報を扱うことの多い企業や、企業内の特定の部署などでは、機密情報を扱う従事者の入退室を管理する入退室管理システムを適用することで、機密情報の漏洩を事前に防止するようにしている。

一般に入退室管理システムは、ユーザに与えられたＩＣ（Integrated Circuit）カードに組み込まれたユーザＩＤ（IDentification）や、生体情報（指紋、虹彩、声紋など）といった、ユーザを一意に特定する情報を用いて入退室管理用のホストコンピュータにより個人認証を行い、登録された正当なユーザであることが認証された場合に、施錠された入退室用のドアを解錠することで、機密情報を扱う高度セキュリティレベル領域内への入室を許可する、というような管理を行っている。

ところで、上述した機密情報は、入退室管理システムとは別のネットワークにて構築された機密情報管理システムによって管理がなされており、入退室管理がなされている領域内に設置された情報端末装置から機密情報管理用のホストコンピュータへのアクセスに応じて利用可能となる。この機密情報管理用のホストコンピュータへアクセスする場合には、上述した入退室管理システムにおける個人認証と同様の認証処理が要求されることになる。

そこで、このような入退室管理システムと、機密情報管理システムとの連携が求められており、機密情報を扱う領域内への入退室時の認証処理と、入室後の情報端末装置の使用開始時の認証処理とを関連付ける手法が考案されている（例えば、特許文献１、特許文献２参照。）。

また、特許文献１、特許文献２で考慮されていなかった、入室してから情報端末装置へログオンするまでの時間経過によって生ずる問題への対処、退室時における情報端末装置のログオフ忘れへの対処を実現する手法も考案されている（例えば、特許文献３参照。）。
特開２０００−２５９８７８号公報 特開２００２−４１４６９号公報 特開２００４−３０２８７５号公報

ところで、入退室管理システムと、機密情報管理システムとを連携させる場合、セキュリティ上の観点からも、ユーザによる異常な状態の遷移、すなわち、異常な入退室や異常なネットワーク認証を把握していることが好ましい。そこで、従来では、ユーザの状態の遷移に応じてこれをログとして記憶させ、正常な状態の遷移のパターンに従ってログを追跡することにより、システム管理者がユーザによる異常な状態の遷移を把握せざるを得なかった。そのため、システム管理者に大変な労力が必要となるという問題がある。

本発明は、このような事情に鑑みてなされたものであり、出入管理システムとネットワーク認証システムとを連携をさせつつも、ユーザによる異常な状態の遷移を自律的に判定する連携制御装置を提供することである。

かかる課題を解決するために、本発明は、ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、高度セキュリティレベル領域におけるユーザの出入を管理する出入管理システムと、高度セキュリティレベル領域に構築されたネットワークに対し、ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによる認証処理結果に応じて、ネットワークにおけるユーザのアクセス制限を行うネットワーク認証システムとを相互に連携させる連携制御装置を提供する。この連携制御装置は、出入管理システムによる認証処理結果に応じた高度セキュリティレベル領域に対するユーザの出入状態と、第２の被認証情報と、ネットワーク認証システムの認証サーバによる認証処理結果に応じたネットワークに対するユーザの認証状態とを関連付けて記憶するユーザ状態記憶手段と、第２の被認証情報を用いて、ユーザからなされるネットワークに対するアクセス要求に応じて、ユーザ状態記憶手段に記憶されている第２の被認証情報と関連付けられた出入状態に基づいて認証処理を行い、この認証処理によって認証されること条件として、第２の被認証情報に基づいた認証処理をネットワーク認証システムの認証サーバに要求する認証処理手段と、ユーザ状態記憶手段に記憶されている第２の被認証情報によって関連付けられた出入状態および認証情報に基づいて、ユーザからなされる高度セキュリティレベル領域に対する出入要求、または、ユーザからなされるネットワークに対するアクセス要求に対して、異常があるか否かを判定する異常判定手段とを有する。

本発明において、異常判定手段は、ユーザ状態記憶手段に記憶されている第２の被認証情報によって互いに関連付けられた出入状態および認証状態を基準として、ユーザからなされる高度セキュリティレベル領域に対する出入要求、または、ユーザからなされるネットワークに対するアクセス要求によって遷移した状態が、予め設定されている正常な状態遷移パターンと対応しない場合には、異常を判定することが好ましい。

また、本発明において、正常な状態遷移パターンは、出入状態が、高度セキュリティ領域への入状態となっていることを前提に、認証状態が不許可から許可へと遷移するパターンを少なくとも含むことが好ましい。

また、本発明の連携制御装置は、異常判定手段による異常が判定されたことを示すログを記憶するログ記憶手段をさらに有することが好ましい。ここで、ログ記憶手段は、異常が判定された原因となる事象を関連付けて記憶することが望ましい。

さらに、本発明の連携制御装置は、異常判定手段による異常判定に応じて、この異常判定をネットワークの管理者に通知する異常通知手段をさらに有することが好ましい。また、この連携制御装置は、第２の認証情報と、ネットワークの管理者であることを示す管理者情報とを関連付けて記憶するユーザ情報記憶手段とをさらに有していてもよい。この場合、異常通知手段は、第２の認証情報に基づいて、ユーザ情報記憶手段とユーザ状態記憶手段を検索することにより、認証状態が許可となっている管理者を特定し、この特定された管理者に異常判定を通知することが望ましい。

本発明によれば、ユーザによる異常な状態の遷移が行われた場合には、これを異常として捉えることができる。これにより、システム管理者にかかる負担を軽減することが可能となる。

また、本発明によれば、ユーザによる異常な状態の遷移があった場合には、これが異常ログとして記憶されるので、システム管理者が正常な状態遷移のパターンに従ってログを追跡することなく、容易に異常なログを把握することができる。

さらに、本発明によれば、ユーザによる異常な状態遷移があった場合には、これを管理者に通知することができる。そのため、ユーザの状態を的確に管理者が把握することが可能となる。

まず、図１は、本発明の実施形態にかかるネットワーク管理システムを示す構成図である。図１に示すように、ネットワーク管理システム１は、設備系システム１０と、ネットワーク認証システム２０とが連携制御装置３０によって相互に接続されて構成されている。

設備系システム１０は、セキュリティレベルの低い領域（低度セキュリティレベル領域）から、機密情報などを扱うセキュリティレベルの高い領域（高度セキュリティレベル領域）への出入を管理する。

ネットワーク認証システム２０は、設備系システム１０で管理される高度セキュリティレベル領域内に構築されたネットワークである。ネットワーク認証システム２０では、例えば、機密情報などを管理しており、認証されたユーザに対してのみ、ネットワークに接続された情報端末装置からのログオンを認め、機密情報へのアクセスを許可する。

設備系システム１０としては、上述した低度セキュリティレベル領域から、高度セキュリティレベル領域への出入を管理する形態であればどのようなものであってもよいが、例えば、図１に示すように、高度セキュリティレベル領域と低度セキュリティレベル領域とを扉などで隔て、認証処理に応じて各領域への移動を認める設備系システム１０Ａや、扉などの物理的な障壁を設けずに、高度セキュリティレベル領域、低度セキュリティレベル領域にいるユーザを認識する設備系システム１０Ｂなどを適用することができる。

設備系システム１０Ａは、高度セキュリティレベル領域への入室を希望するユーザ全てに対して認証処理を行い、あらかじめ登録された正当なユーザのみを認証して高度セキュリティレベル領域への入室を許可する。また、設備系システム１０Ａは、必要に応じて高度セキュリティレベル領域から退室を希望するユーザに対して認証処理を行い、高度セキュリティレベル領域からの退室を許可する。低度セキュリティレベル領域と、高度セキュリティレベル領域とは、電気的な作用により施錠、解錠することができる電気錠を備える扉（ドア）によって隔てられている。

具体的には、設備系システム１０Ａは、高度セキュリティレベル領域外に設けられた入室用カードリーダ１１により、ユーザが所有する、例えば非接触のＩＣカード（Integrated Circuit）２の半導体メモリ内に格納された情報を読み取り、読み取った情報のうちの被認証情報であるカードＩＤに基づき正当なユーザであると認証された場合に、入退室コントロールユニット１３の制御により施錠されていた電気錠を解錠することで、高度セキュリティレベル領域への入室を許可する。

また、設備系システム１０Ａは、高度セキュリティレベル領域からの退室時には、高度セキュリティレベル領域内に設けられた退室用カードリーダ１２により、ＩＣカード２の上述した情報を読み取り、正当なユーザであると認証された場合に、入退室コントロールユニット１３の制御により施錠されていた電気錠を解錠することで、高度セキュリティレベル領域からの退室を許可する。

設備系システム１０Ａは、このような認証処理により、施錠された電気錠を解錠する場合には、ユーザが所有するＩＣカード２に格納された情報のうち、ＩＣカード２を一意に特定するカードＩＤと、解錠した扉に固有の扉ＩＤと、入室か退室かを示す情報とを入退室コントロールユニット１３から後述する連携制御装置３０に送信する。入室か退室かを示す情報は、例えば、入室用カードリーダ１１又は退室用カードリーダ１２をそれぞれ一意に特定する機器ＩＤで示すようにしてもよい。

一方、設備系システム１０Ｂは、図１に示すように、低度セキュリティレベル領域である共用ゾーンＺ１や、高度セキュリティレベル領域である特定ゾーンＺ２に設置されたゾーン監視センサ１５と、ユーザが所有する非接触のＩＣカード２との無線通信により、ユーザが所有するＩＣカード２からカードＩＤを取得し、認証用コントロールユニット１６で認証処理することで、各ゾーンに存在するユーザを認識する。なお、設備系システム１０Ｂにおいて用いられるＩＣカード２は、例えば、アクティブ対応のＲＦＩＤ（Radio Frequency IDentification）タグと同等の機能を有している。

設備系システム１０Ｂは、ユーザが所有するＩＣカード２に格納された情報のうち、ＩＣカード２を一意に特定する被認証情報であるカードＩＤと、カードＩＤを取得したゾーン監視センサ１５を一意に特定する機器ＩＤとを認証用コントロールユニット１６から後述する連携制御装置３０に送信する。

ネットワーク認証システム２０は、高度セキュリティレベル領域内に構築され、端末装置２１ｎ（ｎは、自然数。）からのネットワークへの接続を認証装置２２、認証サーバ２３による認証処理に応じて許可する。なお、以下の記載において、個別の端末装置２１ｎのみならず、複数の端末装置２１ｎを総称する場合も、端末装置２１ｎという。

具体的には、ネットワーク認証システム２０は、ＩＥＥＥ（米国電気電子技術者協会）８０２．１Ｘで策定されたＬＡＮ（Local Area Network）スイッチや無線ＬＡＮアクセス・ポイントに接続するユーザを認証する技術を用いて、端末装置２１ｎからのアクセス要求であるネットワーク接続要求に応じた認証処理を行う。ＩＥＥＥ８０２．１Ｘは、ＬＡＮの利用の可否を制御するＥｔｈｅｒｎｅｔ（登録商標）上のプロトコルである。また、ユーザの認証には、認証用プロトコルとしてＲＡＤＩＵＳ（Remote Authentication Dial-In-User-Service）を用いた通信により、認証すべきユーザを集中管理することができるＲＡＤＩＵＳサーバが用いられる。

端末装置２１ｎは、高度セキュリティレベル領域に入室したユーザによって使用可能な、いわゆるＰＣ（Personal Computer）であり、認証装置２２、認証サーバ２３と情報のやり取りをし、ネットワークへの接続を要求するためのサプリカントと呼ばれる認証クライアント・ソフトウェアを保持している。

認証装置２２は、複数の端末装置２１ｎに対して有線又は無線で接続され、認証サーバ２３と端末装置２１ｎとの認証処理を中継する中継装置として機能する。認証装置２２は、ＲＡＤＩＵＳサーバに対するＲＡＤＩＵＳクライアントとして機能し、ＲＡＤＩＵＳサーバとの通信には、認証用プロトコルとしてＲＡＤＩＵＳを用いた通信を行う。

認証装置２２は、認証装置２２ａ、２２ｂのような、ＩＥＥＥ８０２．１Ｘ、ＲＡＤＩＵＳに対応したＬＡＮスイッチや無線ＬＡＮアクセス・ポイントなどであり、認証サーバ２３と連携してポート毎に端末装置２１ｎをネットワークへ接続する。

認証サーバ２３は、ＲＡＤＩＵＳ認証におけるＲＡＤＩＵＳサーバであり、端末装置２１ｎを介して、ネットワークへの接続を要求するユーザに関する情報を保持する図示しないユーザ情報記憶部を備え、ＲＡＤＩＵＳクライアントである認証装置２２を介して端末装置２１ｎの認証処理を行い、認証結果に応じてネットワークへの接続の可否を通知する。

認証サーバ２３が備える図示しないユーザ情報記憶部は、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤとアカウントＩＤに対応するパスワードを保持している。

ネットワーク認証システム２０による実際の認証手順は、ＥＡＰ（Extensible Authentication Protocol）によって規定される。ネットワーク認証システム２０では、ＩＥＥＥ８０２．１Ｘで使用できる様々なＥＡＰ、例えば、ＥＡＰ−ＭＤ５（ＥＡＰ−Message Digest alogorithm5）、ＰＥＡＰ（Protected-ＥＡＰ）といった認証処理にユーザＩＤ（アカウントＩＤ）とパスワードとを入力することが要求されるＥＡＰや、デジタル電子証明書を使って認証するＥＡＰ−ＴＬＳ（EAP-Transport Layer Security）などを利用できる。

続いて、図２を用いて、連携制御装置３０の構成について説明をする。図２に示すように、連携制御装置３０は、外部システムＩ／Ｆ（インターフェース）３１と、情報変換部３２と、内部データベース３３と、ネットワークＩ／Ｆ（インターフェース）３４と、ＲＡＤＩＵＳ認証部３５と、認証処理部３６と、認証状態制御部３７と、情報管理部３８と、ログ記憶部３９と、行動パターン制御部４０とを備えている。

連携制御装置３０は、ネットワーク認証システム２０の認証装置２２と認証サーバ２３との間で、認証処理時にやり取りされる認証用のパケットを経由するように設けられ、設備系システム１０とネットワーク認証システム２０とを連携制御する。

連携制御装置３０は、設備系システム１０から送信される情報を用いて、低度セキュリティレベル領域から高度セキュリティレベル領域への移動などといった設備系システム１０におけるユーザの出入状態の変化を把握し、このユーザの出入状態の変化に応じて、端末装置２１ｎから認証装置２２を介して認証サーバ２３へとアクセス要求として送信される認証用のパケットであるネットワーク認証要求を通過させるのか、それとも通過させずに認証サーバ２３での認証の事前に拒否してしまうのかを判断することができる。

また、連携制御装置３０は、ユーザがネットワークへの接続が既に認証されている状態において、設備系システム１０から送信される情報を利用して、高度セキュリティレベル領域から低度セキュリティレベル領域への移動などといった設備系システム１０におけるユーザの出入状態の変化を把握し、このユーザの出入状態の変化に応じて、強制的に再認証要求を行い、認証結果に応じて認証拒否や接続されたネットワークを切断するよう制御することができる。

外部システムＩ／Ｆ３１は、設備系システム１０と当該連携制御装置３０とを接続するための通信インターフェースである。外部システムＩ／Ｆ３１を介した設備系システム１０と連携制御装置３０との通信は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）などの通信規格を利用することができる。また、外部システムＩ／Ｆ３１を介した設備系システム１０と連携制御装置３０との通信は、ＴＣＰ／ＩＰベースの通信に限らず、非ＩＰのフィールドバスなどを利用することもできる。

情報変換部３２は、外部システムＩ／Ｆ３１を介して、当該連携制御装置３０に入力された情報を所定のデータ形式に変換して内部データベース３３へ格納させる。

内部データベース３３は、連携制御装置３０で利用する各種情報を記憶するデータベースであり、ユーザ毎に定義された静的な情報を記憶するユーザ情報記憶部３３Ａと、ユーザの現在の状態（例えば、セキュリティレベル領域におけるユーザの在室状態（滞在状態）や、ネットワークの認証結果）を示す動的な情報を記憶するユーザ状態記憶部３３Ｂと、設備系システム１０やネットワーク認証システム２０に関連して定義された静的な情報を記憶するシステム情報記憶部３３Ｃとを備えている。

ユーザ情報記憶部３３Ａは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、あらかじめ登録されたユーザが保持しているＩＣカード２のカードＩＤと、このユーザがネットワーク認証された際に、認証を維持できる時間を示した滞在可能時間情報と、管理者情報と、ユーザ名とを関係付けて記憶している。ユーザ情報記憶部３３Ａに記憶された情報は、静的情報であり、一旦設定されると新たなユーザ登録やシステム変更などがあるまで変更されず保持される。ユーザ情報記憶部３３Ａの情報の更新処理は、後述する情報管理部３８にて実行される。

図３に、ユーザ情報記憶部３３Ａで記憶保持している情報とその内容との一例を示す。カードＩＤは、設備系システム１０の出入時に使用されるＩＣカード２のカードＩＤである。情報変換部３２は、設備系システム１０からカードＩＤを通知された場合に、ユーザ情報記憶部３３Ａを参照することでアカウントＩＤを取得し、このアカウントＩＤに基づきユーザ状態記憶部３３Ｂの更新処理などを実行する。また、１人のユーザが、ＩＣカード２を複数枚所持している場合もあるため、このカードＩＤは、一つのアカウントＩＤに対して複数登録される場合もある。

滞在可能時間情報は、このアカウントＩＤで特定されるユーザに与えられた、ネットワーク認証を維持することが認められた時間を示す情報である。この滞在可能時間情報は、ネットワークの再認証時に、ユーザが現在までどれだけネットワークを使用したかを示す時間情報と比較され、ネットワーク使用時間が、滞在可能時間を超えた場合には、ネットワークへの再認証要求が無効とされる。ユーザが現在までどれだけネットワークを使用したかを示す時間情報は、ユーザ状態記憶部３３Ｂに記憶されているネットワーク認証が許可された時刻を示す後述する認証時刻情報から認証処理部３６によって求められる。

管理者情報は、このアカウントＩＤで特定されるユーザがネットワークの管理者であるか否かを示す情報である。

ユーザ名は、このアカウントＩＤで特定されるユーザの氏名を特定するための情報である。

ユーザ状態記憶部３３Ｂは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、滞在中領域番号情報と、入り時刻情報と、認証時刻情報と、認証装置ＩＤと、認証装置ポート番号情報と、ユーザ名と、ネットワーク認証情報と、端末装置ＩＤとを関係付けて記憶している。ユーザ状態記憶部３３Ｂに記憶される情報は、動的情報であり、設備系システム１０で管理されているユーザの出入状態、ネットワーク認証システム２０で管理されているユーザのネットワーク認証状態などに応じて情報変換部３２、認証処理部３６により随時更新されていく。

図４に、ユーザ状態記憶部３３Ｂに記憶される情報とその内容との一例を示す。滞在中領域番号情報は、ユーザが、現在、滞在しているセキュリティレベル領域、例えば、高度セキュリティレベル領域、低度セキュリティレベル領域を特定する番号情報である。設備系システム１０の各セキュリティレベル領域は、それぞれを一意に特定する識別番号が付与されている。情報変換部３２は、設備系システム１０において、セキュリティレベル領域に対する入退室といったように、ユーザの状態遷移があった際に通知される情報から、ユーザが現在どのセキュリティレベル領域にいるのかを特定して、そのセキュリティレベル領域を示す領域番号情報を滞在中領域番号情報として、ユーザ状態記憶部３３Ｂに記憶させる。

例えば、設備系システム１０Ａでは、ユーザの状態遷移があった場合に、入退室コントロールユニット１３から入室扉ＩＤ又は退室扉ＩＤが送信されるが、情報変換部３２は、この入室扉ＩＤ又は退室扉ＩＤを用いて、後述するシステム情報記憶部３３Ｃに入室扉ＩＤ、退室扉ＩＤと関係付けて記憶されているセキュリティレベル領域を特定する領域番号情報を取得し、この領域番号情報を滞在中領域番号情報として、ユーザ状態記憶部３３Ｂに書き込む。ユーザ状態記憶部３３Ｂに滞在中領域番号情報は、これが記憶されることにより、この滞在中領域番号情報に対応する高度セキュリティレベル領域に対して、ユーザが入室状態（入状態）であることを意味する入室情報として機能する。

入り時刻情報は、滞在中領域番号情報として示されるセキュリティレベル領域での滞在（入室）が開始された時刻を示している。ユーザの状態遷移があった際に設備系システム１０より送信される信号（パケット）には、入退室コントロールユニット１３がもつ時刻に応じて、状態遷移があった時刻、すなわち、入退室が行われた入退室時刻が含まれており、情報変換部３２は、この入退室時刻を入り時刻情報として、ユーザ状態記憶部３３Ｂに書き込む。この入り時刻情報は、ネットワーク認証時、再認証時において、当該セキュリティレベル領域の滞在可能時間情報や利用可能時刻情報との比較に用いられる。

認証時刻情報は、ユーザのネットワーク認証が許可された時刻を示している。認証処理部３６は、ネットワーク再認証時に、この認証時刻情報から、ユーザのネットワーク利用時間を求め、このネットワーク利用時間と、ユーザ毎に規定されている滞在可能時間情報又はセキュリティレベル領域毎に規定されている滞在可能時間情報との比較に使用する。

認証装置ＩＤは、ネットワーク認証要求を送信したユーザが端末装置２１ｎを介して接続している認証装置２２のＩＰアドレスを示している。この認証装置ＩＤは、ＳＮＭＰによる強制切断処理時に使用される。

認証装置ポート番号情報は、ネットワーク認証要求を送信したユーザが端末装置２１ｎを介して接続している認証装置２２のポート番号を示している。この認証装置ポート番号情報は、ＳＮＭＰによる強制切断処理時に使用される。

ユーザ名は、このアカウントＩＤで特定されるユーザの氏名を特定するための情報である。この情報は、ログ記憶部３９にログを記憶する際に使用される。

ネットワーク認証情報は、ネットワークの認証が許可されている、すなわち、ネットワークが認証中であることを示す情報であり、ユーザにネットワークの認証が不許可の場合には、何も記憶されない。この情報は、ログを記録する際に使用される。

端末装置ＩＤは、認証装置２２に接続する、ユーザが操作する端末装置２１ｎを特定するための識別情報（例えば、ＩＰアドレス）を示している。この端末装置ＩＤは、端末装置２１ｎに所定のメッセージを送ったりする際に使用される。

システム情報記憶部３３Ｃは、設備系システム１０の各セキュリティレベル領域をそれぞれ一意に特定するための識別番号である領域番号情報毎に、入室扉ＩＤと、退室扉ＩＤと、利用可能時刻情報と、滞在可能時間情報と、認証装置ＩＤと、セキュリティ情報とを関係付けて記憶している。システム情報記憶部３３Ｃに記憶された情報は、静的情報であり、一旦設定されるとシステム変更などがあるまで変更されずに保持される。システム情報記憶部３３Ｃの情報更新処理は、後述する情報管理部３８にて実行される。

図５に、システム情報記憶部３３Ｃで記憶保持している情報とその内容との一例を示す。入室扉ＩＤ、退室扉ＩＤは、設備系システム１０Ａのように扉によってセキュリティレベル領域が隔てられている設備系システム１０に対応するために用意されている。

入室扉ＩＤは、設備系システム１０に設けられた入口扉のＩＤであり、入口扉と１対１で対応している設備系システム１０Ａの入室用カードリーダ１１のＩＤを使用する。退室扉ＩＤは、設備系システム１０に設けられた出口扉のＩＤであり、出口扉と１対１で対応している設備系システム１０Ａの退室用カードリーダ１２のＩＤを使用する。入室扉ＩＤ、退室扉ＩＤは、セキュリティレベル領域に設けられている扉の数に応じて、複数設定することができる。

利用可能時刻情報は、このセキュリティレベル領域にて、ネットワークの利用が許可されている時間帯を示す情報である。具体的には、利用可能時刻情報は、ネットワークの利用が許可されている開始時刻情報と、終了時刻情報とを対にした時刻情報である。この利用可能時刻情報は、ネットワークの認証時、再認証時にて使用される。

滞在可能時間情報は、このセキュリティレベル領域にて、ネットワークの認証が認められる時間を示した情報である。滞在可能時間情報は、ネットワークの再認証時に、ユーザが現在までどれだけネットワークを使用したかを示す時間情報と比較され、ネットワーク使用時間が、滞在可能時間を超えた場合には、ネットワークへの再認証要求が無効とされる。このとき、当該システム情報記憶部３３Ｃに記憶されている滞在可能時間情報、ユーザ情報記憶部３３Ａに記憶されている滞在可能時間情報のうち、いずれか時間の短い方が優先的に使用されることになる。

認証装置ＩＤは、このセキュリティレベル領域に設置されている認証装置２２のＩＰアドレスを示している。この認証装置ＩＤは、セキュリティレベル領域に設定された認証装置２２の数に応じて、複数設定することができる。

セキュリティ情報、このセキュリティレベル領域のセキュリティレベルを示す情報である。具体的には、セキュリティレベル領域が、低度セキュリティレベル領域であるか、高度セキュリティレベル領域であるかを示す情報である。

ネットワークＩ／Ｆ３４は、当該連携制御装置３０と、認証装置２２、認証サーバ２３との通信を行うための通信インターフェースである。ネットワークＩ／Ｆ３４は、Ｅｔｈｅｒｎｅｔ（登録商標）やＴＣＰ／ＩＰスタックに相当する。

ＲＡＤＩＵＳ認証部３５は、認証要求中継部３５Ａと、要求中継判断部３５Ｂと、機器設定記憶部３５Ｃとを備え、ＲＡＤＩＵＳ認証に関連する処理を実行する。

認証要求中継部３５Ａは、ＲＡＤＩＵＳ認証において認証装置２２、認証サーバ２３間で送受信されるＲＡＤＩＵＳパケットを中継する。このとき、認証要求中継部３５Ａは、ネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤなど認証処理部３６での認証処理に必要となる情報を取得する。またＲＡＤＩＵＳの規格で定義されている認証符号の再計算を行う機能も有している。

要求中継判断部３５Ｂは、認証処理部３６でなされた認証判断に基づき、認証サーバ２３に対してネットワーク認証要求を送信するか、ネットワーク認証要求を拒否するかの最終的な判断をする。要求中継判断部３５Ｂは、拒否応答する場合には、拒否応答パケットを生成し認証装置２２に送信する。

機器設定記憶部３５Ｃは、ＲＡＤＩＵＳ通信の正当性を確認するために必要となる認証装置２２、認証サーバ２３それぞれで保持される全ての秘密共有鍵を、通信相手のＩＰアドレスと対応付けて管理する。

認証処理部３６は、認証装置２２から送信されるネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤと、内部データベース３３のユーザ情報記憶部３３Ａに記憶されている情報とを用いて認証処理をし、ネットワーク認証要求を認証サーバ２３へと送信するのかどうかを判断する。

認証状態制御部３７は、認証装置２２が外部からの認証状態制御に対応している場合、ユーザの行動状態が変化したことに応じて、即座に認証状態をリセットするための要求を送信する。

この認証状態制御部３７は、認証装置２２が、ＭＩＢ（Management Information Base）と呼ばれる管理情報データベースを保持している場合に動作する機能部である。具体的には、ＩＥＴＦ（Internet Engineering Task Force ）で標準化されたＴＣＰ／ＩＰネットワーク環境での管理プロトコルであるＳＮＭＰ (Simple Network Management Protocol)にて、上述した管理情報であるＭＩＢを交換することで、当該認証状態制御部３７により認証装置２２を管理することができる。つまり、認証装置２２にＳＮＭＰエージェントが与えられた場合に、認証状態制御部３７は、ＳＮＭＰマネージャとして機能する。例えば、ＭＩＢとしては、ＩＥＥＥ８０２．１ｘで規定されたものを使用することができる。

情報管理部３８は、ユーザ情報記憶部３３Ａ、システム情報記憶部３３Ｃに記憶されている静的情報や、機器設定記憶部３５Ｃに記憶されている設定情報などを、ＨＴＴＰ（Ｓ）サーバやＴｅｌｎｅｔなどを利用して外部から管理することができる。

ログ記憶部３９は、認証処理部３６による認証処理結果や機器動作状態のログを記憶する。ログ記憶部３９は、Ｓｙｓｌｏｇ出力機能を有している。また、本実施形態において、ログ記憶部３９は、ユーザの状態遷移のログ、異常ログを記憶する。ユーザの状態遷移のログとしては、高度セキュリティレベル領域への通常の入室のログを示す入室ログと、高度セキュリティレベル領域からの通常の退室のログを示す退室ログと、ネットワークへの認証の許可を示すネットワーク認証許可ログ、ネットワークへの認証の不許可を示すネットワーク認証拒否ログが挙げられる。また、異常ログとしては、他のユーザに対して行われた認証処理による入室許可を利用して、その高度セキュリティレベル領域へ入室する、所謂、共連れ入室のログを示す共連れ入室ログと、他のユーザに対して行われた認証処理による退室許可を利用して、その高度セキュリティレベル領域へ入室する、所謂、共連れ退室のログを示す共連れ退室ログ、権限のないユーザがネットワークへ認証要求したことを示す不正アクセスログが挙げられる。

行動パターン制御部４０は、内部データベース３３を参照した上で、ユーザからのセキュリティレベル領域に対する入退要求、または、ユーザからのネットワークに対する認証要求（アクセス要求）に対して、異常があるか否かを判定する異常判定手段であり、その詳細な動作については後述する。

図６は、本発明の第１の実施形態にかかる連携制御装置３０を用いたネットワーク管理システム１の異常判定処理を示すフローチャートである。また、図７は、連携制御装置３０を用いたネットワーク管理システム１の基本処理動作を示すタイミングチャートである。以下、連携制御装置３０による異常判定処理を、ネットワーク管理システム１の基本処理動作とともに説明する。

まず、ユーザが、ネットワークが構築されている高度セキュリティレベル領域へと、入退室コントロールユニット１３によって管理された扉から入室するとする。具体的には、ユーザは、入室用カードリーダ１１にＩＣカード２を翳す（出入要求）。これに応じて、入退室コントロールユニット１３は、ＩＣカード２の半導体メモリに格納されている情報を読み取り、カードＩＤを認証して施錠された扉の電気錠を解錠する。入退室コントロールユニット１３は、ＩＣカード２から読み取ったカードＩＤ、電気錠を解錠した扉を一意に特定する入室扉ＩＤ、および、入室であることを示す情報を入室情報として送信する。

ステップＳ１において、連携制御装置３０は、入退室コントロールユニット１３から入室情報を取得したか否かを判定する。外部システムＩ／Ｆ３１を介して設備系システム１０から送信される入室情報は、連携制御装置３０の情報変換部３２によって取得される。そのため、情報変換部３２が入室情報を取得したか否かにより、この判定を行うことができる。このステップＳ１において肯定判定された場合には、ステップＳ２に進む。一方、ステップＳ１において否定判定された場合には、後述するステップＳ６に進む。

連携制御装置３０の情報変換部３２は、外部システムＩ／Ｆ３１を介して設備系システム１０から送信される入室情報を取得すると、これを認証処理で使用できるように変換する。具体的には、情報変換部３２は、入退室コントロールユニット１３から送信されたＩＣカード２のカードＩＤを用いて、ユーザ情報記憶部３３Ａを参照し、このカードＩＤに対応付けて記憶されているアカウントＩＤ、ユーザ名を取得する。また、情報変換部３２は、入退室コントロールユニット１３から送信された入室扉ＩＤを用いて、システム情報記憶部３３Ｃを参照し、この入室扉ＩＤに対応付けて記憶されている高度セキュリティレベル領域を特定する領域番号情報を取得する。情報変換部３２は、入退室コントロールユニット１３から送信された入退室時刻および入室を示す情報（状態遷移情報）、領域番号情報、ユーザ名、カードＩＤ、アカウントＩＤを行動パターン制御部４０に出力する。

ステップＳ２において、行動パターン制御部４０は、入室ログをログ記憶部３９に記憶する。この入室ログとして記録される情報としては、情報変換部３２から取得した情報が反映される。本実施形態において、入退室時刻、領域番号情報、状態遷移情報、ユーザ名、カードＩＤ、アカウントＩＤがこれに該当する。

ステップＳ３において、行動パターン制御部４０は、取得したアカウントＩＤをキーとしてユーザ状態記憶部３３Ｂを検索することにより、入室情報が既に記憶されているか、すなわち、ユーザ状態記憶部３３Ｂに滞在中領域番号情報が記憶されているか否かを判定する。例えば、ユーザが、現在の高度セキュリティレベル領域よりも以前に入室していた他の高度セキュリティレベル領域から退出する際に、他のユーザに対して行われた認証処理による退室許可を利用して、その領域から退出する、所謂、共連れ退室を行っていたとする。この場合、ユーザは、以前に入室していた高度セキュリティレベル領域からの退出に伴う認証処理が行われていないため、実際には、その領域から退出しているにもかかわらず、ユーザ状態記憶部３３Ｂには、その領域と対応する滞在中領域番号情報が記憶されたままとなっている。

そのため、ユーザ状態記憶部３３Ｂに滞在中領域番号情報が記憶されているか否かを判定することにより、ユーザが以前に入室していた高度セキュリティレベル領域から共連れ退室を行ったか否かを判定することができる。このステップＳ３において肯定判定された場合、すなわち、共連れ退室を判定した場合には、ステップＳ４に進む。そして、ステップＳ４において、行動パターン制御部４０は、共連れ退室ログをログ記憶部３９に記憶する。この共連れ退室ログとしては、例えば、共連れ退室が判定された時刻、ユーザが共連れ退室を行った高度セキュリティレベル領域、すなわち、ユーザ状態記憶部３３Ｂに記憶されている滞在中領域番号情報、共連れ退室であることを示す状態遷移情報、ユーザ名、ユーザＩＤ、アカウントＩＤがこれに該当する。行動パターン制御部３０は、ログを記憶するにあたり、必要に応じて、ユーザを特定するアカウントＩＤをキーとして、ユーザ状態記憶部３３Ｂに記憶されている情報を参照する（なお、以下のログ記憶処理についても同様）。

そして、ステップＳ５において、情報変換部３２は、図７のタイミングチャートＴ１に示すように、入室情報を内部データベース３３のユーザ状態記憶部３３Ｂに記憶させ、設備系システム１０の高度セキュリティレベル領域におけるユーザの出入状態を記憶する。具体的には、情報変換部３２は、システム情報記憶部３３Ｃから取得した領域番号情報を、滞在中領域番号情報として、ユーザ情報記憶部３３Ａから取得したアカウントＩＤおよびユーザ名と対応付けて、ユーザ状態記憶部３３Ｂに記憶させる。また、情報変換部３２は、入退室コントロールユニット１３から受け取った入退室時刻を、ユーザが高度セキュリティレベル領域へと入った入り時刻情報として、ユーザ状態記憶部３３Ｂに記憶させる。

ステップＳ６において、連携制御装置３０は、ネットワーク認証要求がなされたか否かを判断する。このステップＳ６における判断は、連携制御装置３０のＲＡＤＩＵＳ認証部３５がネットワーク認証要求を受信したか否かにより行われる。

具体的には、図７に示すように、タイミングＴ２において、高度セキュリティレベル領域に入室したユーザは、端末装置２１ｎから認証装置２２を介して、ＩＥＥＥ８０２．１Ｘの手順に従い、アクセス要求としてネットワーク認証要求を送信することでネットワークへの接続を試みる。初期状態では、端末装置２１ｎとネットワーク間の回線は、認証装置２２によって切断されているため、端末装置２１ｎは、認証装置２２との通信しか行うことができない。

まず、ユーザは、ネットワークに接続するために、端末装置２１ｎからアカウントＩＤ及びパスワードを入力し認証装置２２へ認証用のパケットであるネットワーク認証要求を送信する。端末装置２１ｎは、ネットワーク認証要求をＥＡＰメッセージの入ったＭＡＣ（Media Access Control）フレームとして認証装置２２へ送信する。このとき、アカウントＩＤは平文で、パスワードはハッシュ化された状態で送信される。

認証装置２２は、ＭＡＣフレームからＥＡＰメッセージを取り出し、ＩＰパケットに乗せ換え、連携制御装置３０へと送信をする。具体的には、認証装置２２は、ＩＰの上位層のＵＤＰを利用して、認証装置２２から取り出したＥＡＰメッセージをＲＡＤＩＵＳパケットのデータ部分に格納して連携制御装置３０へと送信する。認証装置２２と認証サーバ２３とのＲＡＤＩＵＳ認証処理における認証シーケンスにおいて、認証装置２２からネットワーク認証要求として送信される最初のＲＡＤＩＵＳパケットのＥＡＰメッセージにのみ、平文のアカウントＩＤであるＥＡＰ−Ｔｙｐｅ＝Ｉｄｅｎｔｉｔｙデータが存在する。ＲＡＤＩＵＳパケットには、このアカウントＩＤの他に、認証装置２２の情報として認証装置２２のＩＰアドレス、端末装置２１ｎが接続された認証装置２２のポート番号、ネットワーク認証を行った端末装置２１ｎのＭＡＣアドレスなどがＲＡＤＩＵＳ属性情報として記述されている。

図６を参照するに、このような一連のプロセスを経て、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａが、ネットワークＩ／Ｆ３４を介してネットワーク認証要求を受信した場合には、ネットワーク認証要求がなされたと判断されるため、ステップＳ６の肯定判定に従い、後述するステップＳ７の処理に進む。一方、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａが、ネットワークＩ／Ｆ３４を介してネットワーク認証要求を受信しない場合には、ネットワーク認証要求がなされないと判断されるため、ステップＳ６の否定判定に従い、後述するステップＳ１７の処理に進む。

一方、図７に示すように、タイミングＴ３において、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、受信したネットワーク認証要求のＲＡＤＩＵＳパケットのＥＡＰメッセージに添付されたＩｄｅｎｔｉｔｙデータを取得して認証処理部３６に出力する。また、認証要求中継部３５Ａは、受信したネットワーク認証要求のＲＡＤＩＵＳパケットより認証装置２２のＩＰアドレスを取得して認証処理部３６に出力する。

また、タイミングＴ４において、認証処理部３６は、取得したＩｄｅｎｔｉｙデータのアカウントＩＤをキーとして、内部データベース３３のユーザ状態記憶部３３Ｂに格納されている滞在中領域番号情報を要求する。また、認証処理部３６は、取得した認証装置２２のＩＰアドレスをキーとして、内部データベース３３のシステム情報記憶部３３Ｃに格納されている領域番号情報を要求する。この領域番号情報は、ネットワーク認証要求を送信した認証装置２２が設置されている高度セキュリティレベル領域を示すことになる。そして、タイミングＴ５において、認証処理部３６は、ユーザ状態記憶部３３Ｂから滞在中領域番号情報を取得し、システム情報記憶部３３Ｃから領域番号情報を取得する。

タイミングＴ６において、認証処理部３６は、ユーザ状態記憶部３３Ｂから取得した滞在中領域番号情報と、システム情報記憶部３３Ｃから取得した領域番号情報とを比較することにより、両者の情報の一致を条件に、設備系システム１０によって入室許可された高度セキュリティレベルにユーザが存在し、かつ、この高度セキュリティレベル領域からネットワーク認証要求がなされたと判断する。この場合には、認証処理部３６は、認証判断をＲＡＤＩＵＳ認証部３５の要求中継判断部３５Ｂに通知する。

タイミングＴ７において、要求中継判断部３５Ｂは、認証処理部３６からの認証判断に応じて、ネットワークＩ／Ｆ３４を介して、ネットワーク認証要求を認証サーバ２３へ送信する。

一方、タイミングＴ８において、認証処理部３６は、ユーザ状態記憶部３３Ｂから取得した滞在中領域番号情報と、システム情報記憶部３３Ｃから取得した領域番号情報とを比較することにより、両者の情報の不一致を条件に、設備系システム１０によって入室許可されていない高度セキュリティレベル領域にユーザが存在し、かつ、この高度セキュリティレベル領域からネットワーク認証要求が送信されたことを判断する。この場合、認証処理部３６は、拒否判断をＲＡＤＩＵＳ認証部３５の要求中継判断部３５Ｂに通知する。

タイミングＴ９において、要求中継判断部３５Ｂは、認証処理部３６からの拒否判断に応じて、認証サーバ２３へのネットワーク認証要求の送信を拒否し、拒否応答パケットを生成して、ネットワークＩ／Ｆ３４を介して認証装置２２へ送信する。認証装置２２は、送信された拒否応答パケットに基づき、端末装置２１ｎにネットワーク認証要求を拒否したことを示す拒否応答を通知する。

再び図６を参照するに、ステップＳ７において、行動パターン制御部４０は、内部データベース３３のユーザ状態記憶部３３Ｂに、ユーザが現在入室している高度セキュリティレベル領域の入室情報が存在するか否かを判断する。

ここで、図７のタイミングＴ６で示すように、設備系システム１０によって入室許可された高度セキュリティレベルにユーザが存在し、かつ、この高度セキュリティレベル領域からネットワーク認証要求がなされる場合には、ユーザ状態記憶部３３Ｂから取得した滞在中領域番号情報と、システム情報記憶部３３Ｃから取得した領域番号情報とが一致する。すなわち、ユーザが実際に在室している高度セキュリティレベル領域への入室情報が、内部データベース３３のユーザ状態記憶部３３Ｂに存在することを意味する。そのため、ステップＳ７において肯定判定されるため、後述するステップＳ１３に進む。

一方で、タイミングＴ８で示すように、設備系システム１０によって入室許可されていない高度セキュリティレベル領域にユーザが存在し、かつ、この高度セキュリティレベル領域からネットワーク認証要求が送信された場合（不正アクセスの場合）には、ユーザ状態記憶部３３Ｂから取得した滞在中領域番号情報と、システム情報記憶部３３Ｃから取得した領域番号情報とが一致しない。すなわち、ユーザが実際に滞在している高度セキュリティレベル領域への入室情報が、内部データベース３３のユーザ状態記憶部３３Ｂに存在していないことを意味する。そのため、ステップＳ７において否定判定されるため（不正アクセス判定）、ステップＳ８の処理に進む。

なお、このステップＳ７の処理を行う前提として、行動パターン制御部４０は、認証処理部３６から、ユーザ状態記憶部３３Ｂの滞在中領域番号情報と、システム情報記憶部３３Ｃの領域番号情報とを取得しておく必要がある。ただし、上述したように、ユーザ状態記憶部３３Ｂの滞在中領域番号情報と、システム情報記憶部３３Ｃの領域番号情報との比較処理は、認証処理部３６によっても行われるため、この比較結果を取得して、これを処理に反映させてもよい。

ステップＳ８において、行動パターン制御部４０は、内部データベース３３のユーザ状態記憶部３３Ｂに、ユーザが現在入室している高度セキュリティレベル領域とは異なる他の高度セキュリティレベル領域の入室情報が存在するか否かを判断する。例えば、ネットワークの認証要求を行ったユーザが、このネットワークがある高度セキュリティレベル領域へ入室する際に、他のユーザに対して行われた認証処理による入室許可を利用する、所謂、共連れ入室を行っている場合には、入室に伴う認証処理が行われていないため、実際には高度セキュリティレベル領域へ入室しているにもかかわらず、内部データベース３３のユーザ状態記憶部３３Ｂには、滞在中領域番号情報が記憶されてない。この場合、このステップＳ８において否定判定されるため（共連れ入室判定）、ステップＳ９の処理をスキップして、ステップＳ１０の処理に進む。

これに対して、ネットワークの認証要求を行ったユーザが、この共連れ入室とともに、以前に入室していた高度セキュリティレベル領域から共連れ退室を行っている場合には、その領域からの退室に伴う認証処理が行われていないため、内部データベース３３のユーザ状態記憶部３３Ｂには、他の高度セキュリティレベル領域に対応する滞在中領域番号情報が記憶されている。この場合、このステップＳ８において肯定判定されるため（共連れ退室判定）、ステップＳ９の処理に進む。

ステップＳ９において、行動パターン制御部４０は、共連れ退室ログをログ記憶部３９に記憶する。この共連れ退室ログとしては、例えば、共連れ退室が判明した時刻、共連れ退室を行った高度セキュリティレベル領域、すなわち、ユーザ状態記憶部３３Ｂに記憶されている滞在中領域番号情報、共連れ退室であることを示す状態遷移情報、ユーザ名、ユーザＩＤ、アカウントＩＤがこれに該当する。

ステップＳ１０において、行動パターン制御部４０は、共連れ入室ログをログ記憶部３９に記憶する。この共連れ入室ログとしては、例えば、共連れ入室が判明した時刻、共連れ入室を行った高度セキュリティレベル領域、すなわち、ネットワークの認証要求が行われた認証装置２２に対応するシステム情報記憶部３３Ｃの領域番号情報、共連れ入室であることを示す状態遷移情報、ユーザ名、ユーザＩＤ、アカウントＩＤがこれに該当する。

ステップＳ１１において、行動パターン制御部４０は、ネットワークへの不正のアクセスを示す不正アクセスログをログ記憶部３９に記憶する。この不正アクセスログとしては、例えば、ネットワーク認証要求が行われた時刻、不正アクセスが行われたネットワークが構築された高度セキュリティレベル領域、すなわち、システム情報記憶部３３Ｃから取得した領域番号情報、不正アクセスであることを示す状態遷移情報、ユーザ名、ユーザＩＤ、アカウントＩＤがこれに該当する。

ステップＳ１２において、行動パターン制御部４０は、ネットワーク認証の拒否を示すネットワーク認証拒否ログを、ログ記憶部３９に記憶する。このネットワーク認証拒否ログとしては、例えば、認証処理部３８が拒否判断を行った時刻、ネットワーク認証要求が拒否されたことを示す状態遷移情報、ユーザの端末装置２１ｎが接続する認証装置２２のＩＰアドレス、アカウントＩＤがこれに該当する。

再び図７を参照するに、タイミングＴ１０において、認証サーバ２３へネットワーク認証要求が送信されたことに応じて、ＥＡＰメッセージが添付された認証サーバ２３から送信される応答パケット、端末装置２１ｎから送信される要求パケットをやり取りすることで、ユーザのネットワーク上での認証処理が実行される。具体的には、認証サーバ２３は、ネットワーク認証要求に添付されたアカウントＩＤをキーとして、図示しないユーザ情報記憶部に格納されている情報との照合処理を行う。

認証サーバ２３は、送信されたアカウントＩＤに関連付けられてユーザ情報記憶部に格納されている対象となるユーザのパスワードを所定のハッシュ関数でハッシュ化し、ネットワーク認証要求に添付されたハッシュ化されているパスワードと比較をし、ハッシュ化されたパスワード同士が一致するかどうか確認をする。このとき、連携制御装置３０の認証要求中継部３５Ａは、端末装置２１ｎと認証サーバ２３との要求パケット、応答パケットに対して何も施さずにスルーする。認証装置２２は、上述したようなＥＡＰメッセージの乗せ換えだけを行う中継装置として機能する。

タイミングＴ１１において、認証サーバ２３は、当該認証サーバ２３による認証がなされたことを示す認証許可通知、認証されなかったことを示す認証不許可通知のいずれかを、連携制御装置３０のＲＡＤＩＵＳ認証部３５を介して認証装置２２に送信する。

認証装置２２は、認証サーバ２３から認証許可通知を受け取った場合には、端末装置２１ｎとネットワークとの回線を開放する。これにより、ユーザは、端末装置２１ｎを介してネットワークへアクセスすることができネットワーク上の他の端末装置との通信が可能となる。

一方、認証装置２２は、認証サーバ２３から認証不許可通知を受け取った場合には、端末装置２１ｎとネットワークとの回線を開放せずに、認証不許可である旨を通知するメッセージを端末装置２１ｎに送信する。

ここで、図６を参照するに、認証サーバ２３からの認証許可通知をＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａが受け取った場合、ステップＳ１３における認証許可判定において肯定判定されるため、ステップＳ１４において、行動パターン制御部４０は、ネットワーク認証許可ログをログ記憶部３９に記憶する。このネットワーク認証許可ログとしては、例えば、認証許可通知を受け取った時刻、ネットワーク認証要求が許可されたことを示す状態遷移情報、ユーザの端末装置２１ｎが接続する認証装置２２のＩＰアドレス、アカウントＩＤがこれに該当する。

ステップＳ１５において、ＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａは、ネットワークの認証結果を内部データベース３３のユーザ状態記憶部３３Ｂに記憶させる。具体的には、ユーザ状態記憶部３３Ｂには、該当するユーザのアカウントＩＤと関連させて、認証時刻情報、ネットワークが認証中であることを示すネットワーク認証情報と、認証装置２２に接続する端末装置２１ｎのＩＰアドレスである端末装置ＩＤが記憶される。ここで、端末装置２１ｎのＩＰアドレスは、例えば、先に取得した端末装置２１ｎのＭＡＣアドレスを用いて、ＲＡＲＰ（Ｒｅｖｅｒｓｅ Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いて取得することができる。なお、ネットワークの構成上、端末装置２１ｎと、連携制御装置３０とのサブネットが異なる場合、端末装置２１ｎのＩＰアドレスを特定することができないことも考えられる。そのため、ユーザ情報記憶部３３Ａに、管理者情報とともに、その管理者の端末装置２１ｎのアドレスを事前に記憶させておいてもよい。

これに対して、認証サーバ２３からの認証不許可通知をＲＡＤＩＵＳ認証部３５の認証要求中継部３５Ａが受け取った場合、ステップＳ１３における認証許可判定において否定判定されるため、ステップＳ１６において、行動パターン制御部４０は、ネットワーク認証拒否ログをログ記憶部３９に記憶する。このネットワーク認証拒否ログとしては、例えば、認証不許可通知を受け取った時刻、ネットワーク認証要求が拒否されたことを示す状態遷移情報、認証不許可通知を送信した認証装置２２のＩＰアドレス、アカウントＩＤがこれに該当する。

ここで、ユーザが、ネットワークが構築されている高度セキュリティレベル領域から、入退室コントロールユニット１３によって管理された扉から退室するとする。具体的には、ユーザは、退室用カードリーダ１２にＩＣカード２を翳す（出入要求）。これに応じて、入退室コントロールユニット１３は、ＩＣカード２の半導体メモリに格納されている情報を読み取り、カードＩＤを認証して施錠された扉の電気錠を解錠する。入退室コントロールユニット１３は、ＩＣカード２から読み取ったカードＩＤ、電気錠を解錠した扉を一意に特定する退室扉ＩＤ、退室であることを示す情報を退室情報として送信する。

ステップＳ１７において、連携制御装置３０は、入退室コントロールユニット１３から退室情報を取得したか否かを判定する。外部システムＩ／Ｆ３１を介して設備系システム１０から送信される退室情報は、連携制御装置３０の情報変換部３２によって取得される。そのため、情報変換部３２が退室情報を取得したか否かにより、この判定を行うことができる。このステップＳ１７において否定判定された場合には、ステップ３１に進む。一方、ステップＳ１７において肯定判定された場合には、ステップＳ１８に進む。

連携制御装置３０の情報変換部３２は、外部システムＩ／Ｆ３１を介して設備系システム１０から送信される退室情報を取得すると、これを認証処理で使用できるように変換する。具体的には、情報変換部３２は、入退室コントロールユニット１３から送信されたＩＣカード２のカードＩＤを用いて、ユーザ情報記憶部３３Ａを参照し、このカードＩＤに対応付けて記憶されているアカウントＩＤ、ユーザ名を取得する。また、情報変換部３２は、入退室コントロールユニット１３から送信された退室扉ＩＤを用いて、システム情報記憶部３３Ｃを参照し、この退室扉ＩＤに対応付けて記憶されている高度セキュリティレベル領域を特定する領域番号情報を取得する。情報変換部３２は、入退室コントロールユニットから送信された退室時刻および退室を示す情報（状態遷移情報）、領域番号情報、ユーザ名、カードＩＤ、アカウントＩＤを行動パターン制御部４０に出力する。

ステップＳ１８において、行動パターン制御部４０は、退室ログをログ記憶部３９に記憶する。この退室ログとして記録される情報としては、情報変換部３２から取得した情報が反映される。本実施形態において、退室時刻、領域番号情報、状態遷移情報、ユーザ名、カードＩＤ、アカウントＩＤがこれに該当する。

ステップＳ１９において、行動パターン制御部４０は、取得したアカウントＩＤをキーとしてユーザ状態記憶部３３Ｂを検索することにより、ユーザが現在退室した高度セキュリティレベル領域に対応する入室情報が存在するか、すなわち、ユーザ状態記憶部３３Ｂの滞在中領域番号情報と、情報変換部３２から取得した領域番号情報とが対応するか否かを判断する。このステップＳ１９において肯定判定された場合には、ステップＳ２０に進む。一方、ステップＳ１９において否定判定された場合には、後述するステップＳ２４に進む。

ステップＳ２０において、行動パターン制御部４０は、取得したアカウントＩＤをキーとしてユーザ状態記憶部３３Ｂを検索することにより、ユーザ状態記憶部３３Ｂのネットワーク認証情報が認証中であるか否かを判定する。高度セキュリティレベル領域からの退室に合わせて、ユーザがネットワークへの接続を終了している場合には、これに応じて、ユーザ状態記憶部３３Ｂのネットワーク認証情報が削除されているので、このステップＳ２２おいて否定判定され、ステップＳ２２に進む。一方、高度セキュリティレベル領域からの退室時に、ユーザがネットワークへの接続を終了していない場合には、ユーザ状態記憶部３３Ｂのネットワーク認証情報が認証中として存在しているので、ステップＳ２０おいて肯定判定され、ステップＳ２１に進む。そして、ステップＳ２１において、ネットワークの強制切断処理が行われる。

ステップＳ２２において、内部データベース３３のユーザ状態記憶部３３Ｂにおけるネットワーク認証情報が削除される。また、これとともに、内部データベース３３のユーザ状態記憶部３３Ｂにおける入り時刻情報、認証時刻情報、認証装置ＩＤ、認証装置ポート番号情報、端末装置ＩＤが削除される。また、ステップＳ２３において、内部データベース３３のユーザ状態記憶部３３Ｂにおける滞在中領域番号情報が削除される。

ステップＳ２４において、行動パターン制御部４０は、取得したアカウントＩＤをキーとしてユーザ状態記憶部３３Ｂを検索することにより、ユーザが現在退室した高度セキュリティレベル領域とは異なる他の高度セキュリティレベル領域の入室情報が存在するか否かを判断する。

例えば、高度セキュリティレベル領域から退室したユーザが、その入室時に共連れ入室を行っている場合には、入室に伴う認証処理が行われていないため、実際はその領域へ入室したにもかかわらず、ユーザ状態記憶部３３Ｂには、滞在中領域番号情報が記憶されない。そのため、このステップＳ２４において否定判定されるため（共連れ入室判定）、ステップＳ２５〜２９の処理をスキップして、ステップＳ３０に進む。

一方、高度セキュリティレベル領域から退室したユーザが、共連れ入室とともに、それ以前に入室していた高度セキュリティレベル領域からの退室時に共連れ退室を行っている場合には、退出に伴う認証処理が行われていないため、内部データベース３３のユーザ状態記憶部３３Ｂには、ユーザが現在退室した高度セキュリティレベル領域とは異なる他の高度セキュリティレベル領域の滞在中領域番号情報が記憶されている。そのため、このステップＳ２４において肯定判定されて（共連れ退室判定）、ステップＳ２５の処理に進む。

ステップＳ２５において、行動パターン制御部４０は、取得したアカウントＩＤをキーとしてユーザ状態記憶部３３Ｂを検索することにより、ユーザ状態記憶部３３Ｂに、ネットワーク認証情報があるか、すなわち、他の高度セキュリティレベル領域におけるネットワークが認証されているか否かを判定する。従前に入室していた高度セキュリティレベル領域からの共連れ退室時に、ユーザがネットワークの接続を終了している場合には、これに応じて、ユーザ状態記憶部３３Ｂのネットワーク認証情報が削除されているので、このステップＳ２５おいて否定判定されるため、ステップＳ２８に進む。一方、従前に入室していた高度セキュリティレベル領域からの退室時に、ユーザがネットワークの接続を終了していない場合には、ユーザ状態記憶部３３Ｂのネットワーク認証情報が存在しているので、ステップＳ２５おいて肯定判定され、ステップＳ２６に進む。そして、ステップＳ２６において、ネットワークの強制切断処理が行われる。

ステップＳ２７において、内部データベース３３のユーザ状態記憶部３３Ｂにおけるネットワーク認証情報が削除される。また、これとともに、内部データベース３３のユーザ状態記憶部３３Ｂにおける入り時刻情報、認証時刻情報、認証装置ＩＤ、認証装置ポート番号情報、端末装置ＩＤが削除される。

ステップＳ２８において、行動パターン制御部４０は、共連れ退室ログをログ記憶部３９に記憶する。この共連れ退室ログとしては、例えば、共連れ退室が判明した時刻、共連れ退室を行った高度セキュリティレベル領域、すなわち、ユーザ状態記憶部３３Ｂに記憶されている滞在中領域番号情報、共連れ退室であることを示す状態遷移情報、ユーザ名、ユーザＩＤ、アカウントＩＤがこれに該当する。

ステップＳ２９において、内部データベース３３のユーザ状態記憶部３３Ｂにおける滞在中領域番号情報が削除される。

ステップＳ３０において、行動パターン制御部４０は、共連れ入室ログをログ記憶部３９に記憶する。この共連れ入室ログとしては、例えば、共連れ入室が判明した時刻、共連れ入室を行った高度セキュリティレベル領域、すなわち、情報変換部３２から送信される情報に含まれる領域番号情報、共連れ入室であることを示す状態遷移情報、ユーザ名、ユーザＩＤ、アカウントＩＤがこれに該当する。

ステップ３１において、行動パターン制御部４０は、共連れ入室、共連れ退室、不正アクセスが判定されている場合には、これをネットワークの管理者に対して通知する。なお、この通知処理については、後述する第２の実施形態において詳述する。

このように本実施形態によれば、連携制御装置３０により、共連れ退室、共連れ入室、ネットワークへの不正アクセスといった、ユーザによる異常な状態遷移が行われた場合には、これが異常として判定することができる。

図８は、連携制御装置３０が管理するネットワーク管理システム１におけるユーザの状態遷移の説明図である。設備系システム１０とネットワーク認証システム２０とが連携制御装置３０によって連携制御されるネットワーク管理システム１において、ユーザは、第1の状態である、ある部屋（高度セキュリティレベル領域）に対する退室状態（出状態）、かつ、その領域でのネットワークの接続を切断した状態と、第２の状態である、高度セキュリティレベル領域に対する入室状態（入り状態）、かつ、その領域でのネットワークの接続を切断した状態と、第３の状態である、高度セキュリティレベル領域に対する入室状態、かつ、ネットワークへ接続した状態（アクセス状態）と、からなる３つの状態を保持する。ユーザの状態は、高度セキュリティ領域に対する入室・退室、この領域に構築されたネットワークの接続（アクセス許可）・切断の各イベント（事象）により遷移する。

同図に示すように、ユーザのその時点における状態と、そこから異なる状態へと遷移するには、特定のイベントが必要となり、これらの間は一定の関係が存在している。そのため、ユーザの現在の状態を基準として、特定のイベントによって遷移した状態が、同図に示す関係とは相違することにより、具体的には、通常の状態遷移以外の遷移が発生した場合、或いは、異なる高度セキュリティ領域に関連する状態への遷移が発生した場合には、ユーザの行動に異常があることを判定することができる。そのため、本実施形態では、ユーザ状態記憶部３３Ｂには、アカウントＩＤによって関連付けられた高度セキュリティレベル領域に対するユーザの出入状態（具体的には、滞在中領域番号情報）、および、この領域におけるネットワークに対するユーザの認証状態（具体的には、ネットワーク認証情報）が記憶されている。そして、図８に示す正常な状態遷移パターンがあることを前提に、ユーザ状態記憶部３３Ｂに記憶されている情報を参照することにより、ユーザからなされる高度セキュリティレベル領域に対する出入要求、または、ユーザからなされるネットワークに対するアクセス要求（ネットワーク認証要求）に対して、異常があるか否かを判定することができる。ここで、図８に示すように、正常な状態遷移パターンは、出入状態が高度セキュリティ領域への入状態となっていることを前提に、認証状態が不許可から許可へと遷移するパターンを少なくとも含むこととなる。

図９は、あるユーザ（ユーザ名：松下太郎）のログを示す説明図である。同図（ａ）に示すように、ユーザは、高度セキュリティ領域である事務室と、これとは異なる高度セキュリティ領域である会議室とに対する入室権限およびこれらの領域に構築されたネットワークへのアクセス権限を有している。なお、特段図示しないが、事務室および会議室には、上述した設備系システム１０ａによって入退室が管理されている。

ここで、ユーザが事務室に入室し、事務室のユーザ端末装置からネットワーク認証要求し、事務室の入室を条件としてネットワーク認証が許可され、その後、事務室を退室したとする。この場合、ログ記憶部３９には、例えば、同図（ｂ）に示すように、一連のイベントに対応して、ユーザの状態遷移のログが記憶されることとなる。

図１０は、あるユーザ（ユーザ名：松下花子）のログを示す説明図である。同図（ａ）に示すように、ユーザは、高度セキュリティ領域である事務室と、これとは異なる高度セキュリティ領域である会議室とに対する入室権限およびこれらの領域に構築されたネットワークへのアクセス権限を有している。なお、特段図示しないが、事務室および会議室には、上述した設備系システム１０ａによって入退室が管理されている。

ここで、ユーザが会議室に入室し、会議室のユーザ端末装置からネットワーク認証要求を行った場合、会議室の入室を条件としてネットワーク認証要求が許可される。その後、ユーザが、会議室から共連れ退室を行い、さらに、事務室へと共連れ入室をした場合には、会議室の端末装置からネットワーク認証要求を行った際に、不正アクセスが判定され、会議室におけるネットワークが切断される。この場合、ログ記憶部３９には、例えば、同図（ｂ）に示すように、一連のイベントに対応して、ユーザの状態遷移のログが記憶されるとともに、通常の状態遷移以外の遷移が発生した場合、或いは、異なる高度セキュリティ領域に関連する状態への遷移が発生した場合には、異常ログが記憶される。

また、本実施形態によれば、共連れ退室や、共連れ入室、不正アクセスといったように、ユーザによる異常な状態の遷移があった場合には、これが異常ログとしてログ記憶部３９に記憶されるので、システム管理者が正常な状態遷移のパターンに従ってログを追跡することなく、異常なログを容易に把握することができる。

さらに、本実施形態によれば、ログ記憶部３９に記憶されるログには、共連れ退室や、共連れ入室、不正アクセスといった状態遷移情報が含まれている。これにより、異常が判定された原因となる事象（イベント）が関連付けて記憶されることとなるので、システム管理者がログを解析することなく、異常となった原因を容易に把握することができる。

（第２の実施形態）
以下、本発明の第２の実施形態にかかるネットワーク管理システムについて説明する。この第２の実施形態にかかるネットワーク管理システムが、第１の実施形態にかかるそれと相違する点は、異常ログをネットワーク管理者に通知する点にある。なお、上述の第１の実施形態と同様の構成については同一符号を付することによりその詳細な説明を省略し、第１の実施形態との相違点を中心に説明を行う。

本実施形態において、行動パターン制御部４０は、第１の実施形態に示すように、入出要求またはアクセス要求について異常を判定した場合には、管理者に通知すべき異常ログが有ること示す制御フラグをセットする。ここで、管理者に情報を通知すべきケースとしては、以下のケースが挙げられる。第１のケースとしては、ユーザが高度セキュリティレベル領域に入室した際に、このユーザが以前に入室していた高度セキュリティレベル領域において共連れ退室を行ったことが認められるケースである（上述した図６におけるステップＳ３の肯定判定）。また、第２のケースとしては、ユーザが高度セキュリティレベル領域に入室し、ネットワーク認証要求を行うものの、このユーザが以前に入室していた高度セキュリティレベル領域において共連れ退室を行っていたり、入室した高度セキュリティレベル領域に共連れ入室を行っていたりというように、ネットワークへの不正アクセスが認められるケースである。第３のケースとしては、ユーザが高度セキュリティレベル領域から退室した際に、この入室していた高度セキュリティレベル領域から共連れ入室を行ったことが認められるケースである。この制御フラグは、これらに関する異常ログの全てを管理者に通知した場合に、リセットされる。

また、行動パターン制御部４０は、異常を判定した場合には、その異常に対応する異常ログを管理者に通知するための機能を備えている。具体的には、行動パターン制御部４０は、ネットワークの管理者（具体的には、管理者の端末装置２１ｎ）に対してＳＮＭＰのＴｒａｐ−ＰＤＵ（以下「トラップ」という）を利用して能動的に状態通知を行う。トラップ通知先のアドレスとしては、ユーザ状態記憶部３３Ｂの端末装置ＩＤ、および、ユーザ情報記憶部３３Ａの管理者情報を参照し、ネットワークに接続している管理者の端末装置２１ｎの端末装置ＩＤを特定し、これを設定する。

図１１は、第２の実施形態にかかる異常ログ通知処理の手順を示すフローチャートである。まず、ステップＳ４０において、行動パターン制御部４０は、ネットワーク管理者に通知していない情報（異常ログ）が存在しているか否かを判定する。具体的には、行動パターン制御部４０は、制御フラグがセットされているか否かを判定する。制御フラグがセットされていない場合には、ステップＳ４０において否定判定されるため、本ルーチンを抜ける。一方、制御フラグがセットされている場合には、ステップＳ４０において肯定判定されるため、ステップＳ４１に進む。

ステップＳ４１において、管理者に通知すべき異常ログを参照し、このログに該当するセキュリティレベル領域をキーとして、内部データベース３３のシステム情報記憶部３３Ｃを検索することにより、そのセキュリティレベル領域が、高度セキュリティレベル領域か否かを判定する。このステップＳ４１において肯定判定された場合には、後述するステップＳ４３の処理に進む。一方、ステップＳ４１において否定判定された場合には、ステップＳ４２の処理に進む。

ステップＳ４２において、所定の周期でインクリメントされるカウンタを参照し、このカウンタが所定の値に到達したか否かを判断することにより、異常ログの通知タイミングであるか否かを判定する。異常ログを管理者にリアルタイムで全て通知した場合、システムが大規模化する程、管理者に頻繁に通知が行われることとなる。また、通知すべき情報の中には、高度セキュリティレベル領域に関する異常ログのように、重要度の高い情報と、低度セキュリティレベル領域に関する異常ログのように、重要度の低い情報とが存在する。そこで、本実施形態では、異常ログが低度セキュリティレベル領域に関するものである場合には、管理者への通知頻度を軽減するとの観点から、所定の周期毎に、異常ログをまとめて送信することとする。そのため、カウンタと比較される所定値は、管理者に通知するログ情報の周期を考慮した上で、その最適値が予め設定されている。

カウンタが所定の値に到達していない場合には、このステップＳ４２において否定判定され、本ルーチンを抜ける。一方、カウンタが所定の値に到達した場合には、カウンタの値をリセットした上で、ステップＳ４３に進む。

ステップＳ４３において、行動パターン制御部４０は、ネットワーク認証が許可されている管理者の端末装置２１を特定する。具体的には、行動パターン制御部４０は、内部データベース３３のユーザ情報記憶部３３Ａを検索し、管理者情報が記憶されているアカウントＩＤを特定する。そして、行動パターン制御部４０は、特定されたアカウントＩＤをキーとして、内部データベース３３のユーザ状態記憶部３３Ｂを検索することにより、そのアカウントＩＤにネットワーク認証情報が記憶されているか否かを判断する。あるアカウントＩＤにおいて、ネットワーク認証情報が記憶されている場合には、これと対応するユーザ状態記憶部３３Ｂの端末装置ＩＤを参照し、ユーザが操作する端末装置２１ｎのＩＰアドレスを特定する。

ステップＳ４４において、行動パターン制御部４０は、特定されたＩＰアドレスに基づいて、トラップを利用して該当する異常ログを通知する。

このように本実施形態によれば、共連れ退室や、共連れ入室、不正アクセスといったように、ユーザによる異常な状態遷移があった場合には、これを管理者に通知することができる。そのため、ユーザの状態を的確に管理者が把握することが可能となる。

また、本実施形態によれば、ネットワーク認証されている管理者を特定した上で通知を行っているので、異常な状態遷移を管理者に的確に通知することができる。なお、ネットワークの構成上、端末装置２１ｎと、連携制御装置３０とのサブネットが異なる場合、端末装置２１ｎのＩＰアドレスを特定することができないことも考えられる。そのため、ユーザ情報記憶部３３Ａに、管理者情報とともに、その管理者の端末装置２１ｎのＩＰアドレスを事前に記憶させておき、管理者がネットワーク認証が許可されていることを条件として、その記憶されているＩＰアドレスを用いて、管理者に異常ログを通知してもよい。

なお、本実施形態によれば、ＳＮＭＰのトラップを利用して異常ログを通知しているが本発明はこれに限定されない。例えば、電子メールを用いて能動的に異常ログを通知してもよい。このケースでは、内部データベース３３のユーザ情報記憶部３３Ａに、管理者情報とともに、異常ログを通知すべき電子メールアドレスを記憶しておくことが望ましい。また、これ以外にも、連携制御装置３０に、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）による情報送信機能を持ったソフトウェアを格納することにより、Ｗｅｂサーバとしての機能を持たせ、端末装置２１ｎの要求に応じて、インターネットなどのネットワークを通じて、異常ログを送信してもよい。

本発明の実施形態にかかるネットワーク管理システムを示す構成図 連携制御装置３０の構成図 ユーザ情報記憶部３３Ａで記憶保持している情報とその内容との一例を示す説明図 ユーザ状態記憶部３３Ｂに記憶される情報とその内容との一例を示す説明図 システム情報記憶部３３Ｃで記憶保持している情報とその内容との一例を示す説明図 本発明の第１の実施形態にかかる連携制御装置３０を用いたネットワーク管理システム１の異常判定処理を示すフローチャート 連携制御装置３０を用いたネットワーク管理システム１の基本処理動作を示すタイミングチャート 連携制御装置３０が管理するネットワーク管理システム１におけるユーザの状態遷移の説明図 あるユーザ（ユーザ名：松下太郎）のログを示す説明図 あるユーザ（ユーザ名：松下花子）のログを示す説明図 第２の実施形態にかかる異常ログ通知処理の手順を示すフローチャート

符号の説明

１ ネットワーク管理システム
２ ＩＣカード
１０ 設備系システム
１０Ａ 設備系システム
１０Ｂ 設備系システム
１１ 入室用カードリーダ
１２ 退室用カードリーダ
１３ 入退室コントロールユニット
１５ ゾーン監視センサ
１６ 認証用コントロールユニット
２０ ネットワーク認証システム
２１ｎ 端末装置
２２ 認証装置
２３ 認証サーバ
３０ 連携制御装置
３１ 外部システムＩ／Ｆ
３２ 情報変換部
３３ 内部データベース
３３Ａ ユーザ情報記憶部
３３Ｂ ユーザ状態記憶部
３３Ｃ システム情報記憶部
３４ ネットワークＩ／Ｆ
３５ ＲＡＤＩＵＳ認証部
３５Ａ 認証要求中継部
３５Ｂ 要求中継判断部
３５Ｃ 機器設定記憶部
３６ 認証処理部
３７ 認証状態制御部
３８ 情報管理部
３９ ログ記憶部
４０ 行動パターン制御部

Claims (7)

1. ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、高度セキュリティレベル領域におけるユーザの出入を管理する出入管理システムと、前記高度セキュリティレベル領域に構築されたネットワークに対し、前記ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによる認証処理結果に応じて、前記ネットワークにおけるユーザのアクセス制限を行うネットワーク認証システムとを相互に連携させる連携制御装置であって、
   前記出入管理システムによる認証処理結果に応じた前記高度セキュリティレベル領域に対するユーザの出入状態と、前記第２の被認証情報と、前記ネットワーク認証システムの認証サーバによる認証処理結果に応じた前記ネットワークに対するユーザの認証状態とを関連付けて記憶するユーザ状態記憶手段と、
   前記第２の被認証情報を用いて、前記ユーザからなされる前記ネットワークに対するアクセス要求に応じて、前記ユーザ状態記憶手段に記憶されている前記第２の被認証情報と関連付けられた前記出入状態に基づいて認証処理を行い、当該認証処理によって認証されること条件として、前記第２の被認証情報に基づいた認証処理を前記ネットワーク認証システムの認証サーバに要求する処理手段と、
   前記ユーザ状態記憶手段に記憶されている前記第２の被認証情報によって関連付けられた前記出入状態および前記認証情報に基づいて、前記ユーザからなされる高度セキュリティレベル領域に対する出入要求、または、前記ユーザからなされる前記ネットワークに対するアクセス要求に対して、異常があるか否かを判定する異常判定手段と
   を有することを特徴とする連携制御装置。
2. 前記異常判定手段は、
   前記ユーザ状態記憶手段に記憶されている前記第２の被認証情報によって互いに関連付けられた前記出入状態および前記認証状態を基準として、前記ユーザからなされる前記高度セキュリティレベル領域に対する出入要求、または、前記ユーザからなされる前記ネットワークに対するアクセス要求によって遷移した状態が、予め設定されている正常な状態遷移パターンと対応しない場合には、異常を判定することを特徴とする請求項１に記載された連携制御装置。
3. 前記正常な状態遷移パターンは、前記出入状態が高度セキュリティ領域への滞在状態となっていることを前提に、前記認証状態が不許可から許可へと遷移するパターンを少なくとも含むことを特徴とする請求項２に記載された連携制御装置。
4. 前記異常判定手段による異常が判定されたことを示すログを記憶するログ記憶手段をさらに有することを特徴とする請求項１から３のいずれか一項に記載された連携制御装置。
5. 前記ログ記憶手段は、異常が判定された原因となる事象を関連付けて記憶することを特徴とする請求項４に記載された連携制御装置。
6. 前記異常判定手段による異常判定に応じて、当該異常判定を前記ネットワークの管理者に通知する異常通知手段をさらに有することを特徴とする請求項１から５のいずれか一項に記載された連携制御装置。
7. 前記第２の認証情報と、前記ネットワークの管理者であることを示す管理者情報とを関連付けて記憶するユーザ情報記憶手段とをさらに有し、
   前記異常通知手段は、前記第２の認証情報に基づいて、前記ユーザ情報記憶手段と前記ユーザ状態記憶手段を検索することにより、前記認証状態が許可となっている管理者を特定し、当該特定された管理者に前記異常判定を通知することを特徴とする請求項６に記載された連携制御装置。
   
   

Images