JP2008009547A - 連携制御装置および管理システム - Google Patents

Abstract

【課題】入退室用の識別情報が無効な状態となった場合であっても、入退室管理装置と端末管理装置とを有効に連携させる。
【解決手段】記憶手段には、入退室識別情報とアカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態が記憶されており、この紐付け状態は、入退室管理装置において管理され、入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて変更される。
【選択図】図１

Description

本発明は、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と、このセキュリティレベル管理領域に存在する端末装置の利用可否を管理する機器管理装置とを連携する連携制御装置、および、この連携制御装置によって連携される管理システムに関する。

機密情報を扱うことの多い企業や、企業内の特定の部署などでは、機密情報を扱う従事者の入退室を管理する入退室管理装置を適用することで、機密情報の漏洩を事前に防止するようにしている。

一般に入退室管理装置は、ユーザに与えられたＩＣ（Integrated Circuit）カードに組み込まれたユーザＩＤ（IDentification）といった、ユーザを一意に特定する情報を用いて個人認証を行い、登録された正当なユーザであることが認証された場合に、施錠された入退室用のドアを解錠することで、機密情報を扱うセキュリティレベル管理領域内への入室を許可する、というような管理を行っている。

ところで、上述した機密情報は、入退室管理装置とは別のネットワークにて構築された端末管理装置によって管理がなされており、入退室管理がなされている領域内に設置された端末装置を介して利用可能となる。この端末装置を使用する場合には、上述した入退室管理システムにおける個人認証と同様、端末管理装置によってアカウントＩＤに基づく認証処理が要求されることになる。

そこで、このような入退室管理装置と、端末管理装置との連携が求められており、機密情報を扱う領域内への入退室時の認証処理と、入室後の端末装置の使用開始時の認証処理とを関連付ける手法が考案されている（例えば、特許文献１、特許文献２参照。）。
特開２０００−２５９８７８号公報 特開２００２−４１４６９号公報

ところで、入退室管理装置において被認証手段として用いられるＩＣカードは、ユーザがこれを忘れてしまった場合には、日常の業務に差使えがないように、一時的に使用可能な一時ＩＣカードが貸与される。この場合、通常使用しているＩＣカードの不正使用の防止の観点から、入退室管理装置では、通常のＩＣカードを無効なカードとして取り扱う。ところで、このＩＣカードのカードＩＤは、ユーザを一意に特定する役割を果たすことから、入退室管理装置と機器管理装置とを連携する連携制御装置でもユーザの識別情報として機能する。そのため、あるＩＣカードが無効となった場合には、この情報を連携制御装置側でも共有しなければ、連携制御を有効に行うことが困難となる可能性がある。

本発明はかかる事情に鑑みてなされたものであり、その目的は、例えば、入退室用の識別情報が一時的に無効な状態となった場合であっても、入退室の管理との端末の管理との連携を有効に行うことである。

かかる課題を解決するために、第１の発明は、ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と、ユーザを一意に特定するアカウント識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域内に設けられた端末装置に対するユーザの利用可否を管理する端末管理装置とを相互に連携させる連携制御装置を提供する。ここで、連携制御装置は、記憶手段と、連携管理手段と、設定変更手段とを有する。この場合、記憶手段は、入退室識別情報と、アカウント識別情報と、入退室識別情報とアカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態とを関連付けて記憶する。連携管理手段は、セキュリティレベル管理領域におけるユーザの入退室に応じて入退室管理装置から送信される、ユーザの入退室状態と、このユーザの入退室識別情報とを含む入退室情報を取得した場合、取得した入退室識別情報と関連付けられている記憶手段の紐付け情報が有効であることを条件に、取得した入退室識別情報と関連付けられている記憶手段のアカウント識別情報によって特定されるユーザが、端末装置を利用可能な状態であるか利用不可能な状態であるかを、取得したユーザの入退室状態に応じて端末管理装置に通知する。設定変更手段は、入退室管理装置において管理され、入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、記憶手段の紐付け状態を変更する。

また、第２の発明は、ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と連携する連携制御装置を提供する。この連携制御装置は、記憶手段と、アカウント管理手段と、認証手段と、設定変更手段とを有する。ここで、記憶手段は、入退室識別情報と、セキュリティレベル管理領域内に設けられた端末装置を利用するユーザを一意に特定するアカウント識別情報と、入退室識別情報とアカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態と、アカウント識別情報によって特定されるユーザが端末装置を利用可能な状態であるか利用不可能な状態であるかを示すアカウント状態とを関連付けて記憶する。アカウント管理手段は、セキュリティレベル管理領域におけるユーザの入退室に応じて入退室管理装置から送信される、ユーザの入退室状態と、このユーザの入退室識別情報とを含む入退室情報を取得した場合、取得した入退室識別情報と関連付けられている記憶手段の紐付け情報が有効であることを条件に、取得した入退室識別情報と関連付けられている記憶手段のアカウント状態を、取得した入退室状態に応じて変更する。認証手段は、端末装置の利用を要求するユーザから、この端末装置を介してアカウント識別情報を取得した場合に、取得したアカウント識別情報と関連付けられている記憶手段のアカウント状態と、取得したアカウント識別情報に基づいた認証処理結果とに応じて、端末装置に対するユーザの利用可否を管理する。設定変更手段は、入退室管理装置において管理される、入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、記憶手段の紐付け状態を変更する。

また、第３の発明は、ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と、ユーザを一意に特定するアカウント識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域内に設けられた端末装置に対するユーザの利用可否を管理する端末管理装置と、入退室管理装置と端末管理装置とを相互に連携させる連携制御装置とを有する管理システムを提供する。ここで、入退室管理装置は、記憶手段と、入力手段と、処理手段と、取得手段と、認証手段と、送信手段とを有する。この場合、記憶手段は、入退室識別情報と、この入退室識別情報が有効であるか無効であるかを示す有効情報とを関連付けて記憶する。入力手段は、管理者による操作に応じて、入退室識別情報に関する有効情報の変更要求を出力する。処理手段は、入力手段から出力された変更要求に応じて、該当する入退室識別情報に関連付けられている記憶手段の有効情報を変更する。取得手段は、セキュリティレベル管理領域における入退室を要求するユーザから、入退室識別情報を取得する。認証手段は、取得手段によって取得された入退室識別情報と関連付けられている記憶手段の有効情報が有効である場合には、セキュリティレベル管理領域におけるユーザの入退室を認証する。送信手段は、認証手段によって入退室が認証された場合に、セキュリティレベル管理領域におけるユーザの入退室状態と、このユーザの入退室識別情報とを含む入退室情報を、連携制御装置に対して送信する。また、連携制御装置は、連携制御装置は、記憶手段と、連携管理手段と、設定変更手段とを有する。この場合、記憶手段は、入退室識別情報と、アカウント識別情報と、入退室識別情報とアカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態とを関連付けて記憶する。連携管理手段は、セキュリティレベル管理領域におけるユーザの入退室に応じて入退室管理装置から送信される、ユーザの入退室状態と、このユーザの入退室識別情報とを含む入退室情報を取得した場合、取得した入退室識別情報と関連付けられている記憶手段の紐付け情報が有効であることを条件に、取得した入退室識別情報と関連付けられている記憶手段のアカウント識別情報によって特定されるユーザが、端末装置を利用可能な状態であるか利用不可能な状態であるかを、取得したユーザの入退室状態に応じて端末管理装置に通知する。設定変更手段は、入退室管理装置において管理され、入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、記憶手段の紐付け状態を変更する。

さらに、第４の発明は、ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と、入退室管理装置と連携する連携制御装置とを有する管理システムを提供する。ここで、入退室管理装置は、記憶手段と、入力手段と、処理手段と、取得手段と、認証手段と、送信手段とを有する。この場合、記憶手段は、入退室識別情報と、この入退室識別情報が有効であるか無効であるかを示す有効情報とを関連付けて記憶する。入力手段は、管理者による操作に応じて、入退室識別情報に関する有効情報の変更要求を出力する。処理手段は、入力手段から出力された変更要求に応じて、該当する入退室識別情報に関連付けられている記憶手段の有効情報を変更する。取得手段は、セキュリティレベル管理領域における入退室を要求するユーザから、入退室識別情報を取得する。認証手段は、取得手段によって取得された入退室識別情報と関連付けられている記憶手段の有効情報が有効である場合には、セキュリティレベル管理領域におけるユーザの入退室を認証する。送信手段は、認証手段によって入退室が認証された場合に、セキュリティレベル管理領域におけるユーザの入退室状態と、このユーザの入退室識別情報とを含む入退室情報を、連携制御装置に対して送信する。また、連携制御装置は、記憶手段と、アカウント管理手段と、認証手段と、設定変更手段とを有する。ここで、記憶手段は、入退室識別情報と、セキュリティレベル管理領域内に設けられた端末装置を利用するユーザを一意に特定するアカウント識別情報と、入退室識別情報とアカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態と、アカウント識別情報によって特定されるユーザが端末装置を利用可能な状態であるか利用不可能な状態であるかを示すアカウント状態とを関連付けて記憶する。アカウント管理手段は、セキュリティレベル管理領域におけるユーザの入退室に応じて入退室管理装置から送信される、ユーザの入退室状態と、このユーザの入退室識別情報とを含む入退室情報を取得した場合、取得した入退室識別情報と関連付けられている記憶手段の紐付け情報が有効であることを条件に、取得した入退室識別情報と関連付けられている記憶手段のアカウント状態を、取得した入退室状態に応じて変更する。認証手段は、端末装置の利用を要求するユーザから、この端末装置を介してアカウント識別情報を取得した場合に、取得したアカウント識別情報と関連付けられている記憶手段のアカウント状態と、取得したアカウント識別情報に基づいた認証処理結果とに応じて、端末装置に対するユーザの利用可否を管理する。設定変更手段は、入退室管理装置において管理される、入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、記憶手段の紐付け状態を変更する。

本発明によれば、連携制御装置は、入退室管理装置において管理される入退室識別情報の有効状態と関連づけて、記憶手段における紐付け状態を変更する。これにより、ユーザを特定する識別情報を連携制御装置側で把握することが可能となり、ユーザの識別情報が一時的に無効となっているケースでも、入退室管理装置との連携を図ることができる。

図１は、本発明の実施形態にかかる管理システムの構成を示すブロック図である。本実施形態にかかる管理システムは、入退室管理装置１０と、アカウント管理サーバ２０とが連携サーバ３０によって相互に接続されて構成されている。

入退室管理装置１０は、そのセキュリティレベルを高く維持する必要があるセキュリティレベル管理領域におけるユーザの入退室を管理する。このセキュリティレベル管理領域は、例えば、機密情報が扱われる領域であり、共用部分などのセキュリティレベルの低い領域（以下「低度セキュリティレベル領域」という）と比較して、セキュリティレベルの高い領域（以下「高度セキュリティレベル領域」として位置づけられる。入退室の管理形態としては、低度セキュリティレベル領域から、高度セキュリティレベル領域（すなわち、セキュリティレベル管理領域）への入退室を管理する形態であればどのようなものであってもよい。例えば、高度セキュリティレベル領域と低度セキュリティレベル領域とを、電気的な作用により施錠、解錠することができる電気錠を備える扉（ドア）などで隔て、認証処理に応じて各セキュリティレベル領域への入退室を認める形態を適用することができる。

入退室管理装置１０は、高度セキュリティレベル領域への入室を希望する全てのユーザに対して認証処理を行い、あらかじめ登録された正当なユーザのみを認証して高度セキュリティレベル領域への入室を許可する。また、入退室管理装置１０は、高度セキュリティレベル領域から退室を希望するユーザに対して認証処理を行い、高度セキュリティレベル領域からの退室を許可する。

入退室管理装置１０は、これを機能的に捉えた場合、制御部１１と、表示部１２と、入力部１３と、処理部１４と、入退室データベース１５とを有している。

制御部１１は、入退室データベース１５を参照し、高度セキュリティレベル領域におけるユーザの入退室に関する認証処理を行う認証手段である。具体的には、制御部１１は、高度セキュリティレベル領域へのユーザの入室時には、高度セキュリティレベル領域外に設けられた入室用のカードリーダ２により、ユーザが所有するカード、例えば、非接触のＩＣカード（Integrated Circuit）の半導体メモリ内に格納された情報を読み取る。また、高度セキュリティレベル領域外に設けられた認証情報読取部３により、ユーザの生体情報（例えば、虹彩情報）を読み取る。制御部１１は、カードから読み取った情報のうちの入退室識別情報であるカードＩＤと、虹彩情報とに基づいて、正当なユーザであると認証した場合、電気錠１を解錠し、これにより、高度セキュリティレベル領域へのユーザの入室を許可する。

また、制御部１１は、ユーザの高度セキュリティレベル領域からの退室時には、高度セキュリティレベル領域内に設けられた退室用のカードリーダ４により、カードの上述した情報を読み取る。制御部１１は、この読み取った情報のうちのカードＩＤに基づいて、正当なユーザであると認証した場合、電気錠１を解錠し、これにより、高度セキュリティレベル領域からのユーザの退室を許可する。

制御部１１は、高度セキュリティレベル領域におけるユーザの入退室を許可した場合には、ユーザを一意に特定するカードＩＤと、解錠した扉に固有の扉ＩＤと、入室か退室かを示す情報とを入退室情報として連携サーバ３０に送信する。入室か退室かを示す情報は、例えば、入室用のカードリーダ２又は退室用のカードリーダ４をそれぞれ一意に特定する機器ＩＤで示すようにしてもよい。

表示部１２は、入退室管理装置１０を操作する際に必要となる各種の情報を表示するための表示機能を担っており、例えば、ＣＲＴディスプレイや液晶ディスプレイといった種々の表示装置を用いることができる。

入力部１３は、管理者が入退室管理装置１０を操作するための入力機能を担っており、キーボードやマウスといった種々の入力装置を用いることができる。管理者は、表示部１２に表示された情報を参照しながら、入力部１３を操作することにより、各種の処理を行うことができる。

本実施形態において、管理者は、入力部１３の操作に応じて、ユーザが所持するカードを忘れた際に実行するカード忘れ処理を行う。ここで、本明細書では、ユーザに予め貸与されて日常的に利用されるカードを通常カードといい、カード忘れ等にともない貸与され、一時的に利用されるカードを一時カードという。なお、通常カードおよび一時カードを総称する場合には、単にカードという。また、この入力部１３は、一時カードの貸与時に、ユーザの本人認証を行う際に、生体情報を読み込むための生体情報読取部としての機能も備えている。

処理部１４は、入力部１３から出力される情報（管理者からの処理要求）に応じて、対応する処理を実行したり、表示部１２に必要な情報を出力したり、入退室データベース１５の変更などを行う。また、処理部１４は、入退室データベース１５の変更に応じて、後述する紐付け更新情報を連携サーバ３０に送信する。

入退室データベース１５は、制御部１１による認証処理を管理するためのデータベースであり、通常カードおよび一時カードを含む全てのカードに付与されているカードＩＤ毎に設けられた入退室レコード群で構成されている（入退室管理装置１０において、ユーザはカードＩＤによって管理される）。個々の入退室レコードには、ユーザ氏名、カード状態、虹彩情報、一時カード情報および有効期間が記述されている。

図２は、入退室データベース１５の説明図である。ユーザ氏名は、該当するカードＩＤが付与されたカードを有するユーザの氏名を示す。利用するユーザが予め登録されている通常カードのカードＩＤには、ユーザの氏名が設定されており、一時カードのカードＩＤには、一時カードであること識別するための名称（例えば、ゲストカードｎ（ｎは自然数））が設定されている。

カード状態は、該当するカードＩＤが有効であるか、それとも無効であるかといった有効情報を示す。このカード状態において、通常カードに付与されているカードＩＤは、初期的には、有効が設定されており、一時カードに付与されているカードＩＤは、初期的には、無効が設定されている。カード状態が有効に設定されている場合には、制御部１１は、該当するカードＩＤが付与されたカードを有するユーザの入室・退室を認証する。一方、カード状態が無効に設定されている場合には、制御部１１は、該当するカードＩＤが付与されたカードを有するユーザの入室・退室を認証しない。

虹彩情報は、該当するカードＩＤが付与されたカードを有するユーザの虹彩情報を認証するための基本データに関するＩＤ（以下「虹彩情報ＩＤ」という）を示す。ユーザの虹彩情報を認証するための基本データは事前に取得されており、これが図示しない記憶部に記憶されている。そして、個々の基本データには、それを一意に特定するための虹彩情報ＩＤが付与されている。

一時カード情報は、該当するＩＤカードが付与された通常カードを有するユーザに対して一時カードが貸与されているケースにおいて、その貸与されている一時カードのカードＩＤを示す。

有効期間は、該当するＩＤカードが付与された通常カードを有するユーザに対して一時カードが貸与される場合、その貸与されている一時カードを有効に利用することができる期間を示す。

これらの情報のうち、ユーザ氏名および虹彩情報は、静的な情報であり、一旦設定されると新たなユーザ（カードＩＤ）登録やシステム変更などがあるまで変更されず保持される。これに対して、これらの情報のうち、カード状態、一時カード情報および有効期間は、動的な情報であり、管理者の入力部１３による操作に応じて、処理部１４により随時変更されていく。

再び図１を参照するに、アカウント管理サーバ２０は、入退室管理装置１０で管理される高度セキュリティレベル領域内に構築されたネットワークに接続する複数の端末装置（例えば、ＰＣ）５に対するユーザの利用可否を管理する端末管理装置である。アカウント管理サーバ２０と、個々の端末装置５とはネットワークを介して接続されている。アカウント管理サーバ２０は、端末装置５の利用を要求する全てのユーザに対して認証処理を行い、正当なユーザと認められた場合にのみ、端末装置５の利用を許可する。

アカウント管理サーバ２０は、これを機能的に捉えた場合、処理部２１と、認証部２２と、アカウントデータベース２３とを主体に構成されている。

処理部２１は、連携サーバ３０から送信される情報（後述するアカウント状態更新情報）に応じてアカウントデータベース２３を変更するアカウント処理手段である。

認証部２２は、アカウントデータベース２３を参照し、高度セキュリティレベル領域内に存在する端末装置５の利用を要求するユーザに対する認証処理を行う認証手段である。認証部２２は、認証処理において、例えば、ユーザに対して、端末装置５を介してアカウントＩＤとパスワードとの入力を要求する。そして、認証部２２は、このアカウントＩＤとパスワードとの組み合わせが正当であり、かつ、ユーザが認証を経て高度セキュリティレベル領域へと入室している場合には、認証許可を判断し、ユーザによる端末装置５の利用（ログオン）を許可する。ログオンが許可された場合、ユーザは、端末装置５の利用、ネットワークを介した他の端末装置５へのアクセス、また、ネットワークを介して外部資源へのアクセスが可能となる。一方、認証部２２は、アカウントＩＤとパスワードとの組み合わせが正当でない、或いは、ユーザが認証を経ずに高度セキュリティレベル領域へと入室している場合には、認証不許可を判断し、ユーザによるログオンを許可しない。ログオンが許可されない場合、ユーザは、端末装置５の利用、ネットワークを介した他の端末装置５へのアクセス、また、ネットワークを介して外部資源へのアクセスが不可能となる。

アカウントデータベース２３は、認証部２２による認証処理を管理するためのデータベースであり、ユーザを一意に特定するためのアカウント識別情報であるアカウントＩＤ毎に設けられたアカウントレコード群で構成される（アカウント管理サーバ２０において、ユーザはアカウントＩＤにより管理される）。個々のアカウントレコードには、アカウント状態およびパスワードが記述されている。

図３は、アカウントデータベース２３の説明図である。アカウント状態は、該当するアカウントＩＤによって特定されるユーザが、端末装置５を利用可能な状態（ログオン可能な状態）であるか、それとも利用不可能な状態（ログオン不可な状態）であるかを示す。ここで、ログオン可能な状態は、入退室管理装置１０の認証を経て高度セキュリティレベル領域へユーザが入室している状態を示しており、ログオン不可な状態は、高度セキュリティレベル領域へユーザが入室していない、或いは、入退室管理装置１０の認証を経ずに高度セキュリティレベル領域へユーザが入室している状態を示している。認証部２２は、このアカウント状態を参照し、ユーザが認証を経て高度セキュリティレベル領域へと入室していることを条件に、ユーザによる端末装置５の利用（ログオン）を許可することができる。

パスワードは、該当するアカウントＩＤを認証するための識別子である。

アカウントデータベース２３において、アカウント状態は、動的な情報であり、入退室管理装置１０から入退室情報を取得することにより連携サーバ３０から送信されるアカウント状態更新情報に応じて、処理部２１により随時変更される。これに対して、パスワードは、静的な情報であり、一旦設定されると新たなユーザ（カードＩＤ）登録やシステム変更などがあるまで変更されず保持される。

再び図１を参照するに、連携サーバ３０は、入退室管理装置１０とアカウント管理サーバ２０とを連携する装置である。連携サーバ３０は、入退室管理装置１０から送信される入退室情報を用いて、高度セキュリティレベル領域におけるユーザの入退室を把握し、このユーザの入退室に応じて、ユーザが端末装置５を利用可能な状態であるか利用不可能な状態であるかを、アカウント管理サーバ２０に通知する。

連携サーバ３０は、管理部３１と、設定変更部３２と、紐付けデータベース３３とを有する。

管理部３１は、入退室管理装置１０から取得した入退室情報が、高度セキュリティレベル領域へのユーザの入室を示す場合には、このユーザが端末装置５を利用可能な状態である旨の指示（アカウント状態更新情報）を、アカウント管理サーバ２０に送信する。一方、入退室情報が、高度セキュリティレベル領域からのユーザの退室を示す場合には、このユーザが端末装置５を利用不可能な状態である旨の指示（アカウント状態更新情報）を、アカウント管理サーバ２０に出力する連携管理手段である。

設定変更部３２は、入退室管理装置１０の処理部１４からの紐付け更新情報に応じて、紐付けデータベース３３を変更する設定変更手段である。

紐付けデータベース３３は、入退室管理装置１０においてユーザを一意に特定するカードＩＤ毎に設けられた紐付けレコード群で構成されている。個々の紐付けレコードは、アカウントＩＤおよび紐付け状態が設定されている。

図４は、紐付けデータベース３３の説明図である。アカウントＩＤは、アカウント管理サーバ２０において、該当するカードＩＤが付与されたカードを有するユーザを一意に特定するためのアカウント識別情報である。

紐付け状態は、該当するカードＩＤとアカウントＩＤとの組み合わせが有効であるか、それとも無効であるのかを示す。この紐付け状態において、通常カードに付与されているカードＩＤは、初期的には有効が設定されており、一時カードに付与されているカードＩＤは、初期的には無効が設定されている。

紐付けデータベース３３において、ユーザが日常的に所持する通常カードに付与されたカードＩＤに対応するアカウントＩＤは、静的な情報であり、一旦設定されると新たなユーザ（カードＩＤ）登録やシステム変更などがあるまで変更されず保持される。これに対して、ユーザに対して一時的に貸与される一時カードに付与されたカードＩＤに対するアカウントＩＤ、および、紐付け状態は、動的な情報であり、入退室管理装置１０から送信される紐付け更新情報に応じて、設定変更部３２により随時変更される。

つぎに、管理システムの基本動作を説明する。まず、ユーザが、低度セキュリティレベル領域から高度セキュリティレベル領域へと入室するケースを考える。具体的には、ユーザは、入室用のカードリーダ２に、自己の所有するカードを翳すとともに、認証情報読取部３に、自己の眼部を提示する。これに応じて、入退室管理装置１０の制御部１１は、カードリーダ２からカードＩＤを取得するとともに、認証情報読取部３から虹彩情報を取得する。制御部１１は、取得したカードＩＤをキーとして入退室データベース１５を検索し、このカードＩＤに該当する入退室レコードを特定する。

制御部１１は、カードＩＤと関連付けられた入退室レコードを特定することができない場合、このユーザに対する認証を不許可とする。これに対して、カードＩＤと対応する入退室レコードを特定した場合には、制御部１１は、特定した入退室レコードにおいて、カード状態が有効であるか否かを判断する。カード状態が有効の場合には、制御部１１は、虹彩情報の虹彩情報ＩＤをキーとして、図示しない記憶部に格納されている虹彩情報の基本データを読み込む。そして、制御部１１は、認証情報読取部３から取得した虹彩情報と、読み込まれた基本データとを比較し、両者が対応している場合には、ユーザに対する認証を許可とする。これに対して、カード状態が無効の場合には、制御部１１は、このユーザに対する認証を不許可とする。

制御部１１は、認証が許可の場合には、電気錠１に対して解錠指令を出力し、これを解錠する。そして、制御部１１は、カードを一意に特定するカードＩＤと、解錠した扉に固有の扉ＩＤと、入室を示す情報とを入退室情報として連携サーバ３０に送信する。一方、認証が不許可の場合には、電気錠１に対する解錠指示は行わない。

連携サーバ３０が入退室情報を取得すると、連携サーバ３０の管理部３１は、入退室情報のうち、カードＩＤをキーとして紐付けデータベース３３を検索し、このカードＩＤに該当する紐付けレコードを特定する。管理部３１は、特定した紐付けレコードにおいて、紐付け状態が有効であることを条件として、アカウントＩＤに設定されたアカウントＩＤを読み込む。

そして、管理部３１は、事前に関連付けられているアドレス情報を参照した上で、扉ＩＤに基づいて、この扉ＩＤと対応する高度セキュリティレベル領域に存在する端末装置５を管理するアカウント管理サーバ２０を特定する。また、管理部３１は、入退室情報が入室を示す情報である場合、読み込んだアカウントＩＤと、このアカウントＩＤによって特定されるユーザが、端末装置５を利用可能な状態である旨の指示とを関連付け、これをアカウント状態更新情報として、特定したアカウント管理サーバ２０に対して送信する。

アカウント管理サーバ２０がアカウント状態更新情報を取得すると、処理部２１は、アカウント状態更新情報に含まれる情報のうち、アカウントＩＤをキーとしてアカウントデータベース２３を検索し、このアカウントＩＤに該当するアカウントレコードを特定する。そして、処理部２１は、アカウント状態更新情報に含まれる情報が、ユーザが端末装置５を利用可能な状態である旨の指示である場合には、特定したアカウントレコードのアカウント状態をログオン可能に変更する。

そして、高度セキュリティレベル領域へと入室したユーザが、端末装置５の利用を要求した場合には、アカウント管理サーバ２０の認証部２２は、アカウントＩＤとパスワードとの入力をユーザに対して促す。認証部２２は、端末装置５を介してアカウントＩＤとパスワードとを取得すると、アカウントＩＤをキーとしてアカウントデータベース２３を検索し、このアカウントＩＤに該当するアカウントレコードを特定する。そして、認証部２２は、特定したアカウントレコードのアカウント状態がログオン可能であり、かつ、取得したパスワードとアカウントレコードのパスワードとが対応している場合には、端末装置５に対するユーザの利用を許可する（ログオン許可）。

これに対して、認証部２２は、特定したアカウントレコードのアカウント状態がログオン不可である、或いは、取得したパスワードとアカウントレコードのパスワードとが対応していない場合には、端末装置５に対するユーザの利用を不許可とする。

一方、ユーザが、高度セキュリティレベル領域から退室するケースを考える。具体的には、ユーザは、退室用のカードリーダ４に、自己の所有するカードを翳す。これに応じて、入退室管理装置１０の制御部１１は、カードリーダ４からカードＩＤを取得すると、取得したカードＩＤをキーとして入退室データベース１５を検索し、このカードＩＤに該当する入退室レコードを特定する。

制御部１１は、カードＩＤと対応する入退室レコードを特定した場合には、特定した入退室レコードにおいて、カード状態の設定内容が有効となっているか否かを判断する。カード状態が有効の場合には、ユーザに対する認証を許可とする。これに対して、カード状態が無効の場合には、制御部１１は、このユーザに対する認証を不許可とする。

制御部１１は、ユーザに対する認証を許可とした場合には、電気錠１に対して解錠指令を出力し、これを解錠する。そして、制御部１１は、カードを一意に特定するカードＩＤと、解錠した扉に固有の扉ＩＤと、退室を示す情報とを入退室情報として連携サーバ３０に送信する。一方、ユーザに対する認証を不許可とした場合には、電気錠１に対する解錠指示は行わない。

連携サーバ３０が入退室情報を取得すると、連携サーバ３０の管理部３１は、入退室情報のうち、カードＩＤをキーとして紐付けデータベース３３を検索し、このカードＩＤに該当する紐付けレコードを特定する。管理部３１は、特定した紐付けレコードにおいて、紐付け状態が有効であることを条件として、アカウントＩＤに設定されたアカウントＩＤを読み込む。

そして、管理部３１は、事前に関連付けられているアドレス情報を参照した上で、扉ＩＤに基づいて、この扉ＩＤと対応する高度セキュリティレベル領域に存在する端末装置５を管理するアカウント管理サーバ２０を特定する。また、管理部３１は、入退室情報が退室を示す情報である場合には、読み込んだアカウントＩＤと、このアカウントＩＤによって特定されるユーザが、端末装置５を利用不可能な状態である旨の指示とを関連付け、これをアカウント状態更新情報として、特定したアカウント管理サーバ２０に対して送信する。

アカウント管理サーバ２０がアカウント状態更新情報を取得すると、処理部２１は、アカウント状態更新情報に含まれている情報のうち、アカウントＩＤをキーとしてアカウントデータベース２３を検索し、このアカウントＩＤに該当するアカウントレコードを特定する。そして、処理部２１は、アカウント状態更新情報に含まれる情報が、ユーザが端末装置５を利用不可能な状態である旨の指示である場合には、特定したアカウントレコードのアカウント状態をログオン不可に変更する。これにより、ユーザの高度セキュリティレベル領域からの退室を条件として、アカウント管理サーバ２０によってユーザによるログオンが許可されない状態へと変更される。

このような基本動作を前提に、以下、本実施形態に特徴の一つである、一時カードの貸与に伴う一時カード処理を説明する。この一時カード処理は、ユーザの通常カード忘れにともなう一時カードの貸与時、および、一時カードの返却時に実行される。一時カードの貸し出しは、入退室管理装置１０の管理者によって行われ、この管理者による入退室管理装置１０の操作に応じて、一連の一時カード処理が行われる。

まず、管理者がユーザから一時カードの貸与の申し込みを受けると、管理者は入退室管理装置１０の入力部１３を用いて、処理部１４に対して一時カード処理の開始要求を出力する。この際、管理者は入力部１３を操作して、ユーザが所有する通常カードのカードＩＤ、或いは、ユーザの氏名を処理部１４に出力する。

一時カード処理の開始要求を取得した場合、処理部１４は、開始要求とともに出力されたカードＩＤ、或いは、ユーザ氏名をキーとして入退室データベース１５を検索し、カードＩＤ、或いは、ユーザ氏名に該当する入退室レコードを特定する（以下、特定した入退室レコードを「処理対象入退室レコード」という）。つぎに、処理部１４は、処理対象入退室レコードにおいて、カードＩＤ、ユーザ氏名およびカード状態を読み込む。そして、処理部１４は、読み込んだカードＩＤ、ユーザ氏名およびカード状態を表示部１２に表示するとともに、カード忘れ処理を行うのか、それともカード忘れ復旧を行うのかといった選択要求を管理者に促す。この場合、処理部１４は、例えば、図５（ａ）に示すような表示画面を表示部１２に表示する。ここで、カード忘れ処理は、一時カードの貸与にともなう処理であり、カード忘れ復旧は、一時カードの返却にともなう処理である。

図６は、カード忘れ処理の手順を示すフローチャートである。管理者が入力部１３を操作してカード忘れ処理の実行を要求した場合、まず、ステップ１０（Ｓ１０）において、処理部１４は、入退室データベース１５を参照し、カード状態が無効となっている入退室レコードを検索する。

該当する入退室レコードが存在する場合には、ステップ１１（Ｓ１１）において肯定判定されるため、ステップ１２（Ｓ１２）に進む。一方、該当する入退室レコードが存在しない場合には、ステップ１１において否定判定されるため、後述するステップ１５（Ｓ１５）に進む。

ステップ１２において、処理部１４は、ステップ１０において検索された入退室レコードのうち、現在利用されていない一時カードに対応する入退室レコードを検索する。上述したステップ１０の処理において検索される入退室レコードには、通常カードに対応する入退室レコードのカード状態が無効となっている場合、この入退室レコードも含まれる。そのため、一時カードとして予め登録されているカードＩＤの情報を予め保持しておくことで、処理部１４は、カード状態が無効となっている入退室レコードのうち、一時カードに相当する入退室レコードを検索する。

該当する入退室レコードが存在する場合には、ステップ１３（Ｓ１３）において肯定判定されるため、ステップ１４（Ｓ１４）に進む。一方、該当する入退室レコードが存在しない場合には、ステップ１３において否定判定されるため、ステップ１５に進む。

ステップ１４において、処理部１４は、検索された入退室レコードを参照し、入退室レコード毎に、カードＩＤおよびユーザ氏名を関連付けた上で、これらの一覧を一時カードリストとして表示部１２に表示させる。この際、処理部１４は、一時カードリストのうち、任意の一時カードを入力部１３によって選択可能な状態で、表示部１２に表示する。また、処理部１４は、一時カードの発行を行うのか、それもと一時カードの発行を行わずして通常カードを無効とするカード無効処理のみを行うのかといった選択要求を管理者に促す。また、処理部１４は、一時カードの発行時には、本人認証を行うか否かといった選択要求を管理者に促す。この場合、処理部１４は、例えば、図５（ｂ）に示すような表示画面を表示部１２に表示する。

これに対して、ステップ１１またはステップ１３の否定判定に続くステップ１５では、処理部１４は、利用可能な一時カードが存在しない旨のメッセージを表示部１２に表示させ、一時カード処理を終了する。

図７は、カード無効処理の手順を示すフローチャートである。管理者が入力部１３を操作して、カード無効処理のみを行うことを選択した場合、まず、ステップ２０（Ｓ２０）において、処理部１４は、入退室データベース１５において、処理対象入退室レコードのカード状態を有効から無効へと変更する。そして、ステップ２１（Ｓ２１）において、処理部１４は、処理対象入退室レコードに対応するカードＩＤと、このカードＩＤのカード状態が無効であることを示すカード状態無効情報とを互いに関連付けた上で、これを紐付け更新情報として、連携サーバ３０に対して送信し、一時カード処理を終了する。

図８は、一時カードの発行処理の手順を示すフローチャートである。管理者が入力部１３を操作して、一時カードリストの中から任意の一時カードを選択した上で、一時カードの発行処理を行うことを選択した場合、まず、ステップ３０（Ｓ３０）において、処理部１４は、発行する一時カードの有効期間の設定を行う。例えば、処理部１４は、図５（ｃ）に示すように、一時カードの有効期間の入力を管理者に促す表示画面を表示部１２に表示し、管理者による入力部１３の入力に応じて、有効期間を設定する。

処理部１４は、例えば、所定のボタン（図５（ｃ）に示す有効期限設定）がクリックされるといったように、入力部１３の入力内容に応じて有効期間を設定したことを判断すると、ステップ３１（Ｓ３１）において、一時カードの発行にともない本人認証が必要か否かを判断する。このステップ３１において肯定判定された場合、すなわち、一時カードの発行にともない本人認証を行う場合には、ステップ３２（Ｓ３２）に進む。一方、ステップ３１において否定判定された場合、すなわち、本人認証を行わない場合には、ステップ３９（Ｓ３９）に進む。

ステップ３２において、処理部１４は、入退室データベース１５において、処理対象入退室レコードのカード状態を有効から無効へと変更するとともに、このカード状態の欄に本人認証の結果待ちであることを設定する。また、処理部１４は、処理対象入退室レコードの一時カード情報に、選択された一時カードに対応するカードＩＤを設定する。さらに、処理部１４は、選択された一時カードに対応するカードＩＤをキーとして、入退室データベース１５を検索し、該当する入退室レコードを特定する。そして、処理部１４は、特定された入退室レコードのカード状態を無効から有効へと変更するとともに、このカード状態の欄に本人認証の結果待ちであることを設定する。また、処理部１４は、特定された入退室レコードの有効期間の欄に、先に設定された有効期間の情報を設定する（ステップ３３（Ｓ３３））。

ステップ３４（Ｓ３４）において、処理部１４は、表示部１２に所定のメッセージを表示して、本人認証の実行を管理者に対して促す。例えば、高度セキュリティレベル領域への入室認証において、カードＩＤとともに虹彩情報を用いている本実施形態では、例えば、入力部１３を介して、一時カードの貸与を申し出たユーザから虹彩情報を読み込む。そして、処理部１４は、処理対象入退室レコードの虹彩情報に設定されている虹彩情報ＩＤをキーとして、図示しない記憶部に格納されている虹彩情報の基本データを読み込む。

ステップ３５（Ｓ３５）において、処理部１４は、入力部１３から取得した虹彩情報と、読み込まれた基本データとを比較し、両者が対応している場合には、ユーザに対する本人認証を許可とし、両者が対応していない場合には、ユーザに対する本人認証を不許可とする。

ステップ３５において肯定判定された場合、すなわち、本人認証が許可された場合には、ステップ３６（Ｓ３６）において、処理部１４は、処理対象入退室レコードと、貸与用の一時カードに対応する入退室レコードとのカード状態に設定されている本人認証の結果待ちの情報を削除する。そして、ステップ３７（Ｓ３７）において、処理部１４は、処理対象入退室レコードに対応するカードＩＤと、このカードＩＤのカード状態が無効であることを示すカード状態無効情報とを関連付けた通常カード情報と、貸与用の一時カードに対応する入退室レコードのカードＩＤと、このカードＩＤのカード状態が有効であることを示す一時カード状態有効情報とを関連付けた一時カード情報とを、紐付け更新情報として連携サーバ３０に対して送信し、一時カード処理を終了する。

一方、ステップ３５において否定判定された場合、すなわち、本人認証が不許可の場合には、ステップ３８（Ｓ３８）において、処理部１４は、ステップ３２，３３の処理において変更された情報をリセットし、一時カード処理を終了する。なお、このケースでは、図６に示すステップ１４の処理に戻り、例えば、図５（ｂ）に示す表示画面を表示してもよい。

なお、図５（ｄ）に示すように、ステップ３４の処理において、処理部１４は、本人認証の実行を促す際に、本人認証を中止する、或いは、本人認証を後で行うことを管理者に選択させるようにしてもよい。ここで、本人認証の中止を、管理者が選択した場合には、処理部１４は、図６に示すステップ１４の処理に戻り、例えば、図５（ｂ）に示す表示画面を表示してもよい。一方、本人認証を後で行うことを管理者が選択した場合には、処理部１４は、一時カード処理を終了する。この場合、必要に応じて、ステップ３４以降の処理を適宜のタイミングで実行する。

これに対して、ステップ３１の否定判定に続くステップ３９において、処理部１４は、入退室データベース１５において、処理対象入退室レコードの設定内容のうち、カード状態を有効から無効へと変更し、一時カード情報に、一時カードリストの中から選択された一時カードに対応するカードＩＤを設定する。さらに、処理部１４は、選択された一時カードに対応するカードＩＤをキーとして、入退室データベース１５を検索し、該当する入退室レコードを特定する。そして、処理部１４は、特定された入退室レコードのカード状態を無効から有効へと変更する。また、処理部１４は、特定された入退室レコードの有効期間の欄に、先に設定された有効期間の情報を設定する（ステップ４０（Ｓ４０））。

そして、ステップ４１（Ｓ４１）において、処理部１４は、処理対象入退室レコードに対応するカードＩＤと、このカードＩＤのカード状態が無効であることを示すカード状態無効情報とを関連付けた通常カード情報と、貸与用の一時カードに対応する入退室レコードのカードＩＤと、このカードＩＤのカード状態が有効であることを示す一時カード状態有効情報とを互いに関連付けた一時カード情報とを、紐付け更新情報として連携サーバ３０に対して送信し、一時カード処理を終了する。

このようにして一時カードが貸与され、その利用が終了すると、一時カードがユーザから返却される。管理者がユーザから一時カードの返却を受け付けると、管理者は入退室管理装置１０の入力部１３を用いて、処理部１４に対して一時カード処理の開始要求を出力する。この際、管理者は入力部１３を操作して、ユーザが所有する通常カードのカードＩＤ、或いは、ユーザの氏名を処理部１４に出力する。

処理部１４が一時カード処理の開始要求を受け付けると、この開始指示とともに出力されたカードＩＤ、或いは、ユーザ氏名をキーとして入退室データベース１５を検索し、カードＩＤ、或いは、ユーザ氏名に該当する入退室レコードを特定する（以下、特定した入退室レコードを「処理対象入退室レコード」という）。つぎに、該当する入退室レコードの特定を条件として、処理対象入退室レコードにおいて、カードＩＤ、ユーザ氏名およびカード状態の設定内容を読み込む。そして、処理部１４は、読み込んだカードＩＤ、ユーザ氏名およびカード状態を表示部１２に表示するとともに、図１０（ａ）に示すように、カード忘れ処理を行うのか、それともカード忘れ復旧を行うのかといった選択要求を管理者に促す。

図９は、カード忘れ復旧の手順を示すフローチャートである。管理者が入力部１３を操作してカード忘れ復旧の実行を選択した場合、まず、ステップ５０（Ｓ５０）において、処理部１４は、処理対象入退室レコードの一時カード情報を参照し、このユーザに貸与されている一時カードのカードＩＤを特定する。

ステップ５１（Ｓ５１）において、処理部１４は、特定した一時カードのカードＩＤをキーとして入退室データベースを検索し、このカードＩＤに該当する入退室レコードを特定する。そして、処理部１４は、特定した入退室レコードの有効期間を参照し、ユーザに貸与されている一時カードの有効期間を特定する。

ステップ５２（Ｓ５２）において、処理部１４は、特定したカードＩＤに対応する一時カードを無効とすること、および、この一時カードの有効期間を表示部１２に表示し、処理内容の確認を管理者に促す。また、処理部１４は、一時カードの無効とともに、通常カードの設定を有効に戻すか否かの選択要求を管理者に促す。この場合、処理部１４は、例えば、図１０（ｂ）に示す表示画面を表示する。

管理者が入力部１３を操作して処理内容に同意した場合、ステップ５３（Ｓ５３）において、処理部１４は、通常カードを有効に戻すか否かを判定する。先のステップ５２において、管理者が通常カードの設定を有効に戻すことを選択している場合には、ステップ５３において肯定判定されるため、ステップ５４（Ｓ５４）に進む。一方、管理者が通常カードの設定を有効に戻すことを選択していない場合には、ステップ５３において否定判定されるため、ステップ５６（Ｓ５６）に進む。

ステップ５４において、処理部１４は、入退室データベース１５において、処理対象入退室レコードのうち、カード状態を無効から有効に変更し、また、一時カード情報の情報を削除する。

ステップ５５（Ｓ５５）において、処理部１４は、処理対象入退室レコードのカードＩＤと、このカードＩＤのカード状態が有効であることを示すカード状態有効情報とを互いに関連付けた上で、これを紐付け更新情報（第１の紐付け更新情報）として連携サーバ３０に対して送信する。

ステップ５６において、処理部１４は、一時カードのカードＩＤに関連付けられた入退室レコードにおいて、カード状態を有効から無効へと変更し、かつ、有効期間の情報を削除する。

ステップ５７（Ｓ５７）において、処理部１４は、カードＩＤと、このカードＩＤのカード状態が無効であることを示すカード状態無効情報と、このカードＩＤが一時カードであることを示す一時カード情報とを互いに関連付けた上で、これを紐付け更新情報（第２の紐付け更新情報）として連携サーバ３０に対して送信し、一時カード処理を終了する。

このような一連の一時カード処理を前提として、以下、連携サーバ３０による、入退室管理装置１０とアカウント管理サーバ２０との連携制御について説明する。この連携制御には、上述した入退室管理装置１０から送信される紐付け更新情報の取得に応じて、４つのパターンが存在する。第１のパターンは、図７のステップ２１の処理、すなわち、カード無効処理のみを行った際に送信される紐付け更新情報に応じた連携処理（以下「第１の連携処理」という）である。第２のパターンは、図８のステップ３７，４１の処理、すなわち、一時カードの発行処理において送信される紐付け更新情報に応じた連携処理（以下「第２の連携処理」という）である。第３のパターンは、図９のステップ５５の処理、すなわち、カード復旧において通常カードのカード状態を有効にした際に送信される紐付け更新情報（第１の紐付け更新情報）に応じた連携処理（以下「第３の連携処理」という）である。第４のパターンは、図９のステップ５７の処理、すなわち、カード復旧において一時カードのカード状態を無効にした際に送信される紐付け更新情報（第２の紐付け更新情報）に応じた連携処理（以下「第４の連携処理」という）である。

以下、第１の連携処理について説明する。図１１は、第１の連携処理の手順を示すフローチャートである。まず、図７に示したように、ステップ２１において入退室管理装置１０が紐付け更新情報を送信すると、ステップ６０において、連携サーバ３０が紐付け更新情報を取得する。取得した紐付け更新情報には、カードＩＤと、カード状態無効情報とが含まれている。

連携サーバ３０の設定変更部３２は、紐付け更新情報に含まれる情報のうち、カードＩＤをキーとして紐付けデータベース３３を検索し、このカードＩＤに該当する紐付けレコードを特定する。そして、設定変更部３２は、取得した紐付け更新情報に含まれる情報がカード状態無効情報である場合には、特定した紐付けレコードにおいて、紐付け状態を有効から無効へと変更する。また、設定変更部３２は、アカウント管理サーバ２０に対して、特定した紐付けレコードのアカウントＩＤと、このアカウントＩＤによって特定されるユーザが端末装置５を利用不可能な状態である旨の指示とをアカウント状態更新情報として送信する。

ステップ６３（Ｓ６３）において、アカウント管理サーバ２０がアカウント状態更新情報を取得する。そして、ステップ６４（Ｓ６４）において、アカウント管理サーバ２０の処理部２１は、アカウント状態更新情報に含まれる情報のうち、アカウントＩＤをキーとしてアカウントデータベース２３を検索し、このアカウントＩＤに該当するアカウントレコードを特定する。そして、処理部２１は、取得したアカウント状態更新情報に含まれるが、ユーザが端末装置５を利用不可能な状態である旨の指示である場合には、特定したアカウントレコードにおいて、アカウント状態をログオン不可に変更する。これにより、一連の連携処理が終了する。

つぎに、第２の連携処理について説明する。図１２は、第２の連携処理の手順を示すフローチャートである。まず、図８に示すように、ステップ３７，４１において入退室管理装置１０が紐付け更新情報を送信すると、ステップ７０（Ｓ７０）において、連携サーバ３０が紐付け更新情報を取得する。取得した紐付け更新情報には、通常カードのカードＩＤとカード状態無効情報とが関連付けられた通常カード情報と、一時カードのカードＩＤとカード状態有効情報とが関連付けられた一時カード情報とが含まれている。

ステップ７１（Ｓ７１）において、連携サーバ３０の設定変更部３２は、紐付け更新情報に含まれる情報のうち、通常カード情報のカードＩＤをキーとして紐付けデータベース３３を検索し、このカードＩＤに該当する紐付けレコードを特定する。そして、設定変更部３２は、通常カード情報に含まれる情報がカード状態無効情報である場合には、特定した紐付けレコードにおいて、紐付け状態を有効から無効へと変更する。また、設定変更部３２は、この特定した紐付けレコードのアカウントＩＤを読み込む。

ステップ７２（Ｓ７２）において、一時カードの紐付け処理を行う。具体的には、設定変更部３２は、紐付け更新情報に含まれる情報のうち、一時カード情報のカードＩＤをキーとして紐付けデータベース３３を検索し、このカードＩＤに該当する紐付けレコードを特定する。そして、設定変更部３２は、一時カード情報に含まれる情報がカード状態有効情報であるには、特定した紐付けレコードにおいて、アカウントＩＤに、ステップ７１において読み込んだアカウントＩＤを設定するとともに、紐付け状態を無効から有効へと変更する。

ステップ７３（Ｓ７３）において、設定変更部３２は、アカウント管理サーバ２０に対して、ステップ７１において読み込んだアカウントＩＤと、このアカウントＩＤによって特定されるユーザが端末装置５を利用不可能な状態である旨の指示とをアカウント状態更新情報として出力する。

ステップ７４（Ｓ７４）において、アカウント管理サーバ２０がアカウント状態更新情報を取得する。そして、ステップ７５（Ｓ７５）において、アカウント管理サーバ２０の処理部２１は、アカウント状態更新情報に含まれる情報のうち、アカウントＩＤをキーとしてアカウントデータベース２３を検索し、このアカウントＩＤに該当するアカウントレコードを特定する。そして、処理部２１は、取得したアカウント状態更新情報に含まれるが、ユーザが端末装置５を利用不可能な状態である旨の指示である場合には、特定したアカウントレコードにおいて、アカウント状態をログオン不可に変更する。これにより、一連の連携処理が終了する。

以下、第３の連携処理について説明する。図１３は、第３の連携処理の手順を示すフローチャートである。まず、図９に示したように、ステップ５５において入退室管理装置１０が紐付け更新情報（第１の紐付け更新情報）を送信すると、ステップ８０（Ｓ８０）において、連携サーバ３０が第１の紐付け更新情報を取得する。取得した第１の紐付け更新情報には、カードＩＤと、カード状態有効情報とが含まれている。

連携サーバ３０の設定変更部３２は、第１の紐付け更新情報に含まれる情報のうち、カードＩＤをキーとして紐付けデータベース３３を検索し、このカードＩＤに該当する紐付けレコードを特定する。そして、設定変更部３２は、取得した紐付け更新情報に含まれる情報がカード状態有効情報である場合には、特定した紐付けレコードにおいて、紐付け状態を無効から有効へと変更する。また、設定変更部３２は、アカウント管理サーバ２０に対して、特定した紐付けレコードのアカウントＩＤと、このアカウントＩＤによって特定されるユーザが端末装置５を利用不可能な状態である旨の指示とをアカウント状態更新情報として出力する。

ステップ８３（Ｓ８３）において、アカウント管理サーバ２０がアカウント状態更新情報を取得する。そして、ステップ８４（Ｓ８４）において、アカウント管理サーバ２０の処理部２１は、アカウント状態更新情報に含まれる情報のうち、アカウントＩＤをキーとしてアカウントデータベース２３を検索し、このアカウントＩＤに該当するアカウントレコードを特定する。そして、処理部２１は、取得したアカウント状態更新情報に含まれるが、ユーザが端末装置５を利用不可能な状態である旨の指示である場合には、特定したアカウントレコードにおいて、アカウント状態をログオン不可に変更する。これにより、一連の連携処理が終了する。

つぎに、第４の連携処理について説明する。図１４は、第４の連携処理の手順を示すフローチャートである。まず、図９に示すように、ステップ５７において入退室管理装置１０が紐付け更新情報（第２の紐付け更新情報）を送信すると、ステップ９０（Ｓ９０）において、連携サーバ３０が第２の紐付け更新情報を取得する。取得した第２の紐付け更新情報には、カードＩＤと、カード状態無効情報と、一時カード情報とが含まれている。

ステップ９１（Ｓ９１）において、連携サーバ３０の設定変更部３２は、第２の紐付け更新情報に含まれる情報のうち、カードＩＤをキーとして紐付けデータベース３３を検索し、このカードＩＤに該当する紐付けレコードを特定する。そして、設定変更部３２は、紐付け情報に含まれる情報がカード状態無効情報である場合には、特定した紐付けレコードにおいて、紐付け状態を有効から無効へと変更する。

ステップ９２（Ｓ９２）において、設定変更部３２は、第２の紐付け更新情報に含まれる情報がカード状態無効情報であり、かつ、一時カード情報である場合には、この特定した紐付けレコードのアカウントＩＤをクリアし、これにより、一連の連携処理が終了する。

このように本実施形態によれば、ユーザが通常カードを忘れた際に一時カードを貸与する場合に、入退室管理装置１０によって通常カードおよび一時カードのカード状態が変更される。この際、連携サーバ３０は、カード状態と関連づけて、紐付けデータベース３３の紐付け状態を変更する。これにより、通常カードから一時カードに変更されたユーザ、さらには、一時カードから津上カードに変更されたユーザを連携サーバ３０側で把握することが可能となり、入退室管理装置１０との連携を図ることができる。

また、本実施形態によれば、連携サーバ３０がユーザのカードが通常カードから一時カードに変更されたこと把握した際には、通常カードのカードＩＤに関連づけられているアカウントＩＤが、一時カードのカードＩＤに関連づけられる。これにより、入退室管理装置１０によって管理されるユーザの入退室と、アカウント管理サーバ２０によって管理される端末装置５の利用可否とを連携させることが可能となる。そのため、通常カードから一時カードに変更されたユーザが、一時カードによって高度セキュリティレベル領域へ入室している場合であっても、このユーザによる端末装置５を利用する許可することができる。

なお、上述した実施形態では、本実施形態の好ましい実施形態の一例を示したに過ぎず、本発明の範囲において種々の変更が可能である。

例えば、入退室管理装置１０においてユーザの所持するカードによる認証の他に、副次的な認証として生体認証を行う構成であるが、必ずしも生体認証を行う必要はない。ただし、生体認証を設けることにより、入退室に関する認証精度の向上を図ることができる。また、生体認証としては、虹彩情報に限らず、静脈情報、指紋情報などを用いてもよい。さらに、副次的に用いる認証としては、生体認証に限らず、パスワードの入力などであってもよい。

また、上述した実施形態では、管理者が通常カードの復旧を要求した場合には、入退室管理装置１０は、その要求タイミングで、通常カードのカード状態を有効に、かつ、一時カードのカード状態を無効としている。しかしながら、管理者が通常カードの復旧を要求した場合であっても、その要求タイミングでは処理を行わず、設定された有効期間を経過した後に、通常カードのカード状態を有効に、かつ、一時カードのカード状態を無効としてもよい。また、管理者が通常カードの復旧を要求しないうちに、設定された有効期間を経過した場合には、入退室管理装置１０は、通常カードのカード状態を有効に、かつ、一時カードのカード状態を無効としてもよい。

さらに、上述した実施形態では、入退室データベース１５のカード状態が変更されると、これに応じて、紐付けデータベース３３の変更、さらにはアカウントデータベース２３の更新を行っている。しかしながら、本発明はこれに限定されず、例えば、管理者が定期的なタイミングで入退室データベース１５の情報を取り出し、これを連携サーバ３０に読み込ませ、入退室データベース１５のカード状態と関連づけて、紐付けデータベース３３の紐付け状態を変更するようにしてもよい。

図１５は、本発明の実施形態にかかる管理システムの変形例としての構成を示すブロック図である。上述した実施形態では、アカウント管理サーバ２０と連携サーバ３０とを独立して設ける構成であるが、本発明はこれに限定されない。例えば、同図に示すように、図１に示すアカウント管理サーバ２０の機能に加え、連携サーバ３０の機能を担うアカウント管理サーバ２０ａによって両者を単一の構成としてもよい。かかる構成によれば、アカウント管理サーバ２０ａにおいて、アカウントデータベース２３および紐付けデータベース３３により、カードＩＤ、アカウントＩＤ、紐付け状態、アカウント状態が関連付けられる。

また、このケースでは、図１６に示すように、アカウントデータベース２３と紐付けデータベース３３とを統合した機器利用データベース２４を用いることにより、アカウント管理サーバ２０ａの構成を簡素化してもよい。ここで、機器利用データベース２４は、例えば、図１７に示すように、カードＩＤ毎に設けられた機器管理レコード群で構成されている。この場合、個々の機器管理レコードには、アカウントＩＤ、紐付け状態、パスワードおよびアカウント状態が記述される。

また、端末装置５の利用を認証する手法としては、アカウント管理サーバ２０および連携サーバ３０を用いない手法も考えられる。具体的には、入退室管理装置１０の入退室データベース１５に、さらに、アカウントＩＤと、高度セキュリティレベル領域におけるユーザの入退室の状態を示す入退室情報とをさらに記憶しておく。また、端末装置５側には、端末装置５自身に、或いは、これとは別個にカードリーダを備えておく。かかる構成において、端末装置５の利用を認証する場合には、カードリーダからカードＩＤを読み込み、また、端末装置５を介してアカウントＩＤを入力し、これらのＩＤのセットを入退室管理装置１０に対して送信することにより、認証を依頼する。そして、入退室管理装置１０は、入退室データベース１５を参照し、カードＩＤとアカウントＩＤとの関連付けが正当である場合には、端末装置５に対して認証許可を送信する。かかる構成であっても、端末装置５の認証を行うことができる。

また、本発明は、入退室管理装置１０において管理される入退室識別情報（カードＩＤ）が有効であるか無効であるかを示す有効情報（カード状態）と関連付けて、記憶手段（紐付けデータベース）の紐付け状態を変更する連携制御装置（連携サーバ）のみならず、この連携サーバ３０と入退室管理装置１０とアカウント管理サーバ２０とを含む管理システム、或いは、入退室管理装置１０とアカウント管理サーバ２０ａとを含む管理システムもその一部として機能する。

この場合、入退室識別情報は、ユーザが通常利用する通常入退室識別情報と、この通常入退室識別情報に代えてユーザが一時的に利用する一時入退室識別情報とを含む。そして、入退室管理装置の処理手段は、入力手段から通常入退室識別情報に関する有効情報を無効とする変更要求が出力された場合、該当する通常入退室識別情報と関連付けられている記憶手段の有効情報を無効に変更し、かつ、一時入退室識別情報と関連付けられている記憶手段の有効情報を有効に変更するとともに、該当する通常入退室識別情報と関連付けて、有効情報が変更された一時入退室識別情報を記憶手段に記憶することを特徴としてもよい。

ここで、入退室管理装置の処理手段は、入力手段から一時入退室識別情報に関する有効情報を無効とする変更要求が出力された場合、該当する一時入退室識別情報と関連付けられている記憶手段の有効情報を無効に変更するとともに、この一時入退室識別情報が関連付けられた通常入退室識別情報を特定し、この特定した通常入退室情報と関連づけられている記憶手段の有効情報を有効に変更することを特徴としてもよい。

さらに、入退室管理装置の処理手段は、入力手段から一時入退室識別情報に関する有効情報を無効とする変更要求が出力された場合、予め設定されている有効期間が経過した後に、該当する一時入退室識別情報と関連付けられている記憶手段の有効情報を無効に変更するとともに、当該一時入退室識別情報が関連付けられた前記通常入退室識別情報を特定し、この特定した通常入退室情報と関連づけられている記憶手段の有効情報を有効に変更してもよい。

本発明の実施形態にかかる管理システムの構成を示すブロック図 入退室データベース１５の説明図 アカウントデータベース２３の説明図 紐付けデータベース３３の説明図 カード忘れ処理に伴う表示画面の説明図 カード忘れ処理の手順を示すフローチャート カード無効処理の手順を示すフローチャート 一時カードの発行処理の手順を示すフローチャート カード忘れ復旧の手順を示すフローチャート カード忘れ復旧に伴う表示画面の説明図 第１の連携処理の手順を示すフローチャート 第２の連携処理の手順を示すフローチャート 第３の連携処理の手順を示すフローチャート 第４の連携処理の手順を示すフローチャート 本発明の実施形態にかかる管理システムの変形例としての構成を示すブロック図 本発明の実施形態にかかる管理システムの変形例としての構成を示すブロック図 機器利用データベース２４の説明図

符号の説明

１ 電気錠
２ カードリーダ
３ 認証情報読取部
４ カードリーダ
５ 端末装置
１０ 入退室管理装置
１１ 制御部
１２ 表示部
１３ 入力部
１４ 処理部
１５ 入退室データベース
２０ アカウント管理サーバ
２０ａ アカウント管理サーバ
２１ 処理部
２２ 認証部
２３ アカウントデータベース
２４ 機器利用データベース
３０ 連携サーバ
３１ 管理部
３２ 設定変更部
３３ 紐付けデータベース

Claims (8)

1. ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と、ユーザを一意に特定するアカウント識別情報に基づいた認証処理結果に応じて、前記セキュリティレベル管理領域内に設けられた端末装置に対するユーザの利用可否を管理する端末管理装置とを相互に連携させる連携制御装置であって、
   前記入退室識別情報と、前記アカウント識別情報と、前記入退室識別情報と前記アカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態とを関連付けて記憶する記憶手段と、
   前記セキュリティレベル管理領域におけるユーザの入退室に応じて前記入退室管理装置から送信される、ユーザの入退室状態と、当該ユーザの前記入退室識別情報とを含む入退室情報を取得した場合、前記取得した入退室識別情報と関連付けられている前記記憶手段の紐付け情報が有効であることを条件に、前記取得した入退室識別情報と関連付けられている前記記憶手段のアカウント識別情報によって特定されるユーザが、前記端末装置を利用可能な状態であるか利用不可能な状態であるかを、前記取得したユーザの入退室状態に応じて前記端末管理装置に通知する連携管理手段と、
   前記入退室管理装置において管理され、前記入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、前記記憶手段の前記紐付け状態を変更する設定変更手段と
   を有することを特徴とする連携制御装置。
2. ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と連携する連携制御装置であって、
   前記入退室識別情報と、前記セキュリティレベル管理領域内に設けられた端末装置を利用するユーザを一意に特定するアカウント識別情報と、前記入退室識別情報と前記アカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態と、前記アカウント識別情報によって特定されるユーザが前記端末装置を利用可能な状態であるか利用不可能な状態であるかを示すアカウント状態とを関連付けて記憶する記憶手段と、
   前記セキュリティレベル管理領域におけるユーザの入退室に応じて前記入退室管理装置から送信される、ユーザの入退室状態と、当該ユーザの前記入退室識別情報とを含む入退室情報を取得した場合、前記取得した入退室識別情報と関連付けられている前記記憶手段の紐付け情報が有効であることを条件に、前記取得した入退室識別情報と関連付けられている前記記憶手段のアカウント状態を、前記取得した入退室状態に応じて変更するアカウント管理手段と、
   前記端末装置の利用を要求するユーザから、当該端末装置を介して前記アカウント識別情報を取得した場合に、前記取得したアカウント識別情報と関連付けられている前記記憶手段のアカウント状態と、前記取得したアカウント識別情報に基づいた認証処理結果とに応じて、前記端末装置に対するユーザの利用可否を管理する認証手段と、
   前記入退室管理装置において管理される、前記入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、前記記憶手段の前記紐付け状態を変更する設定変更手段と
   を有することを特徴とする連携制御装置。
3. 前記設定変更手段は、前記入退室管理装置において前記入退室識別情報の有効情報が無効に変更された場合には、当該入退室識別情報に関連付けられている前記記憶手段の紐付け状態を無効に変更することを特徴とする請求項１または２に記載された連携制御装置。
4. 前記入退室識別情報は、ユーザが通常利用する通常入退室識別情報と、当該ユーザが前記通常入退室識別情報に代えて一時的に利用する一時入退室識別情報とを含み、
   前記設定変更手段は、前記入退室管理装置において、前記通常入退室識別情報の有効情報が無効、かつ、前記一時入退室識別情報の有効情報が有効に変更された場合には、前記通常入退室識別情報に関連付けられている前記記憶手段の紐付け情報を無効に変更し、前記一時入退室識別情報に関連付けられている前記記憶手段の紐付け情報を有効に変更するとともに、前記通常入退室識別情報に関連付けられている前記記憶手段のアカウント識別情報を、前記一時入退室識別情報に関連付けられている前記記憶手段のアカウント識別情報として設定することを特徴とする請求項１または２に記載された連携制御装置。
5. 前記設定変更手段は、前記入退室管理装置において、前記通常入退室識別情報の有効情報が有効、かつ、前記一時入退室識別情報の有効情報が無効に変更された場合には、前記通常入退室識別情報に関連付けられている前記記憶手段の紐付け情報を有効に変更し、前記一時入退室識別情報に関連付けられている前記記憶手段の紐付け情報を無効に変更するとともに、前記一時入退室識別情報に関連付けられている前記記憶手段のアカウント識別情報を削除することを特徴とする請求項４に記載された連携制御装置。
6. 前記設定変更手段は、前記入退室管理装置によって設定された有効期間を経過した場合には、前記通常入退室識別情報に関連付けられている前記記憶手段の紐付け情報を有効に変更し、前記一時入退室識別情報に関連付けられている前記記憶手段の紐付け情報を無効に変更するとともに、前記一時入退室識別情報に関連付けられている前記記憶手段のアカウント識別情報を削除することを特徴とする請求項４に記載された連携制御装置。
7. 管理システムにおいて、
   ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と、
   ユーザを一意に特定するアカウント識別情報に基づいた認証処理結果に応じて、前記セキュリティレベル管理領域内に設けられた端末装置に対するユーザの利用可否を管理する端末管理装置と、
   前記入退室管理装置と前記端末管理装置とを相互に連携させる連携制御装置とを有し、
   前記入退室管理装置は、
   前記入退室識別情報と、当該入退室識別情報が有効であるか無効であるかを示す有効情報とを関連付けて記憶する記憶手段と、
   管理者による操作に応じて、入退室識別情報に関する有効情報の変更要求を出力する入力手段と、
   前記入力手段から出力された変更要求に応じて、該当する入退室識別情報に関連付けられている前記記憶手段の有効情報を変更する処理手段と、
   前記セキュリティレベル管理領域における入退室を要求するユーザから、前記入退室識別情報を取得する取得手段と、
   前記取得手段によって取得された入退室識別情報と関連付けられている前記記憶手段の有効情報が有効である場合には、前記セキュリティレベル管理領域におけるユーザの入退室を認証する認証手段と、
   前記認証手段によって入退室が認証された場合に、前記セキュリティレベル管理領域におけるユーザの入退室状態と、当該ユーザの前記入退室識別情報とを含む入退室情報を、前記連携制御装置に対して送信する送信手段とを有し、
   前記連携制御装置は、
   前記入退室識別情報と、前記アカウント識別情報と、前記入退室識別情報と前記アカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態とを関連付けて記憶する記憶手段と、
   前記セキュリティレベル管理領域におけるユーザの入退室に応じて前記入退室管理装置から送信される、ユーザの入退室状態と、当該ユーザの前記入退室識別情報とを含む入退室情報を取得した場合、前記取得した入退室識別情報と関連付けられている前記記憶手段の紐付け情報が有効であることを条件に、前記取得した入退室識別情報と関連付けられている前記記憶手段のアカウント識別情報によって特定されるユーザが、前記端末装置を利用可能な状態であるか利用不可能な状態であるかを、前記取得したユーザの入退室状態に応じて前記端末管理装置に通知する連携管理手段と、
   前記入退室管理装置において管理され、前記入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、前記記憶手段の前記紐付け状態を変更する設定変更手段とを有することを特徴とする管理システム。
8. 管理システムにおいて、
   ユーザを一意に特定する入退室識別情報に基づいた認証処理結果に応じて、セキュリティレベル管理領域におけるユーザの入退室を管理する入退室管理装置と、
   前記入退室管理装置と連携する連携制御装置とを有し、
   前記入退室管理装置は、
   前記入退室識別情報と、当該入退室識別情報が有効であるか無効であるかを示す有効情報とを関連付けて記憶する記憶手段と、
   管理者による操作に応じて、入退室識別情報に関する有効情報の変更要求を出力する入力手段と、
   前記入力手段から変更要求が出力された場合に、該当する入退室識別情報に関連付けられている前記記憶手段の有効情報を変更する処理手段と、
   前記セキュリティレベル管理領域における入退室を要求するユーザから、前記入退室識別情報を取得する取得手段と、
   前記取得手段によって取得された入退室識別情報と関連付けられている前記記憶手段の有効情報が有効である場合には、前記セキュリティレベル管理領域におけるユーザの入退室を認証する認証手段と、
   前記認証手段によって入退室が認証された場合に、前記セキュリティレベル管理領域におけるユーザの入退室状態と、当該ユーザの前記入退室識別情報とを含む入退室情報を、前記連携制御装置に対して送信する送信手段とを有し、
   前記連携制御装置は、
   前記入退室識別情報と、前記セキュリティレベル管理領域内に設けられた端末装置を利用するユーザを一意に特定するアカウント識別情報と、前記入退室識別情報と前記アカウント識別情報との対応付けが有効であるか無効であるかを示す紐付け状態と、前記アカウント識別情報によって特定されるユーザが前記端末装置を利用可能な状態であるか利用不可能な状態であるかを示すアカウント状態とを関連付けて記憶する記憶手段と、
   前記セキュリティレベル管理領域におけるユーザの入退室に応じて前記入退室管理装置から送信される、ユーザの入退室状態と、当該ユーザの前記入退室識別情報とを含む入退室情報を取得した場合、前記取得した入退室識別情報と関連付けられている前記記憶手段の紐付け情報が有効であることを条件に、前記取得した入退室識別情報と関連付けられている前記記憶手段のアカウント状態を、前記取得した入退室状態に応じて変更するアカウント処理手段と、
   前記端末装置の利用を要求するユーザから、当該端末装置を介して前記アカウント識別情報を取得した場合に、前記取得したアカウント識別情報と関連付けられている前記記憶手段のアカウント状態と、前記取得したアカウント識別情報に基づいた認証処理結果とに応じて、前記端末装置に対するユーザの利用可否を管理する認証手段と、
   前記入退室管理装置において管理される、前記入退室識別情報が有効であるか無効であるかを示す有効情報と関連付けて、前記記憶手段の前記紐付け状態を変更する設定変更手段とを有することを特徴とする管理システム。

Images