JP2008077362A - 連携制御装置 - Google Patents

Abstract

【課題】セキュリティ管理領域に入室した正当なユーザに対して、このセキュリティ管理領域に設けられた端末装置の利用を許可させつつも、ユーザが利用することができる端末装置の数を制限する。
【解決手段】ユーザから端末装置２１を介してネットワーク認証システム２０の認証サーバ２３に対してなされる、第２の被認証情報を用いたネットワークへのアクセス要求を受信した場合には、内部データベース３２に記憶されている第２の被認証情報に関連付けられた入出状態および認証端末カウント数に基づいて、ユーザに対する端末装置２１の利用認証を行う。ここで、利用認証の処理結果が認証許可の場合には、アクセス要求が認証サーバ２３に転送され、利用認証の処理結果が認証不許可の場合には、アクセス要求が認証サーバ２３に転送することを拒否される。
【選択図】 図１

Description

本発明は、セキュリティ管理領域における入出を管理する入出管理システムと、セキュリティ管理領域に構築されたネットワークに接続する端末装置のアクセス制限を行うネットワーク認証システムとを連携させた連携制御装置に関する。

機密情報を扱うことの多い企業や、企業内の特定の部署などでは、機密情報を扱う従事者の入出を管理する入出管理システムを適用することで、機密情報の漏洩を事前に防止するようにしている。

入出管理システムは、一般に、ユーザに与えられたＩＣ（Integrated Circuit）カードに組み込まれたユーザＩＤ（IDentification）や、生体情報（指紋、虹彩、声紋など）といった、ユーザを一意に特定する被認証情報を用いることで、入出を希望するユーザに対する個人認証を行う。そして、登録された正当なユーザであることが認証された場合には、例えば、施錠されたドアを解錠することで、機密情報を扱うセキュリティ管理領域内への入場が許可される。

ところで、上述した機密情報は、入退室管理システムとは別のネットワークにて構築されたネットワーク認証システムによって管理がなされており、セキュリティ管理領域内に設けられた端末装置からネットワークにアクセスすることにより利用可能となる。端末装置を用いてネットワークにアクセスする場合には、ネットワーク認証システムによって、上述した入出管理システムにおける個人認証と同様の認証処理が要求されることになる。

そこで、このような入出管理システムと、ネットワーク認証システムとの連携が求められており、機密情報を扱うセキュリティ管理領域内への入出時のユーザ認証の処理と、入室後の端末装置を利用するユーザ認証の処理とを関連付ける手法が考案されている（例えば、特許文献１、特許文献２参照。）。

また、特許文献１、特許文献２で考慮されていなかった、入場してから端末装置へログオンするまでの時間経過によって生ずる問題への対処、退場における端末装置のログオフ忘れへの対処を実現する手法も考案されている（例えば、特許文献３参照。）。
特開２０００−２５９８７８号公報 特開２００２−４１４６９号公報 特開２００４−３０２８７５号公報

ところで、セキュリティ管理領域に構築されたネットワークに接続する端末装置が複数存在する場合、正当なユーザであれば、セキュリティ管理領域に入室しているという条件を具備する限り、一つの端末装置のみならず、複数の端末装置を用いて無制限にネットワークへアクセスすることができるという問題がある。

本発明は、このような事情に鑑みてなされたものであり、セキュリティ管理領域に入室した正当なユーザに対して、このセキュリティ管理領域に設けられた端末装置の利用を許可させつつも、ユーザが利用することができる端末装置の数を制限することである。

かかる課題を解決するために、本発明は、ユーザを一意に特定する第１の被認証情報に基づいたユーザ認証の処理結果に応じて、セキュリティ管理領域におけるユーザの入出を管理する入出管理システムと、セキュリティ管理領域に設けられた複数の端末装置を処理対象として、ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによるユーザ認証の処理結果に応じて、ネットワークへのアクセスを制限するネットワーク認証システムとを相互に連携させる連携制御装置を提供する。この連携制御装置は、第２の被認証情報と、セキュリティ管理領域におけるユーザの入出状態と、複数の端末装置のうち、認証サーバによってユーザに対する認証が許可された端末装置の数である認証端末カウント数とを、ユーザ毎に関連付けて記憶するユーザ状態記憶手段と、ユーザから端末装置を介して認証サーバに対してなされる、第２の被認証情報を用いたネットワークへのアクセス要求を受信した場合には、ユーザ状態記憶手段に記憶されている第２の被認証情報に関連付けられた入出状態および認証端末カウント数に基づいて、ユーザに対する端末装置の利用認証を行う認証処理手段とを有する。ここで、認証処理手段は、利用認証の処理結果が認証許可の場合には、アクセス要求を認証サーバに転送し、利用認証の処理結果が認証不許可の場合には、アクセス要求を認証サーバに転送することなく、認証拒否を端末装置に返す。

また、本発明において、連携制御装置は、第２の被認証情報と、ユーザに対する認証を許可することができる端末装置の数である上限認証数とを関連付けて記憶するユーザ情報記憶手段をさらに有していてもよい。ここで、認証処理手段は、認証処理において、第２の被認証情報に基づいてユーザ状態記憶手段およびユーザ情報記憶手段を検索する。そして、ユーザ状態記憶手段の入出状態が、セキュリティ管理領域においてユーザが入状態である、かつ、ユーザ状態記憶手段の認証端末カウント数が、ユーザ情報記憶手段の上限認証数よりも小さい場合には、認証許可との判断を行う。一方、ユーザ状態記憶手段の入出状態が、セキュリティ管理領域においてユーザが出状態である、または、ユーザ状態記憶手段の認証端末カウント数が、ユーザ情報記憶手段の上限認証数である場合には、認証不許可との判断を行う。

また、本発明において、ユーザ状態記憶手段は、認証サーバによってユーザに対する認証が許可された端末装置を特定する端末識別子をさらに関連付けて記憶していてもよい。この場合、認証処理手段は、認証サーバによるユーザに対する認証が許可された端末装置をネットワークから切断する場合には、第２の被認証情報に基づいてユーザ状態記憶手段を検索し、第２の被認証情報に関連付けられた端末識別子に該当する端末装置をネットワークから切断する。

また、本発明において、端末装置のそれぞれは、ネットワークに対して中継装置を介して接続されていてもよい。この場合、端末識別子は、端末装置が接続する中継装置に付与されたネットワーク固有の識別子と、端末装置が接続する中継装置のポート番号とを含む。

また、本発明において、端末識別子は、端末装置に付与された機器固有の識別子をさらに含んでもよい。

また、本発明において、中継装置は、無線を用いて複数の端末装置と接続されていてもよい。この場合、認証処理手段は、認証サーバによってユーザに対する認証が許可された場合、ユーザ状態記憶手段の端末識別子に、ユーザに対する認証が許可された端末装置に付与された機器固有の識別子が既に記憶されている場合には、この端末装置が現在接続する中継装置のネットワーク固有の識別子およびポート番号によって従前の情報を更新する。

さらに、本発明において、連携制御装置は、セキュリティ管理領域に構築されたネットワークに接続する複数の端末装置に付与されている機器固有の識別子をそれぞれ記憶した端末機器情報記憶手段をさらに有していてもよい。この場合、認証処理手段は、利用認証において、端末機器情報記憶手段をさらに検索する。そして、ユーザ状態記憶手段の入出状態が、セキュリティ管理領域においてユーザが入状態である、かつ、ユーザ状態記憶手段の認証端末カウント数が、ユーザ情報記憶手段の上限認証数よりも小さい、かつ、端末機器情報記憶手段の機器固有の識別子が、アクセス要求を送信した端末装置に付与されている機器固有の識別子と一致する場合には、認証許可との判断を行う。一方、ユーザ状態記憶手段の入出状態が、セキュリティ管理領域においてユーザが出状態である、または、ユーザ状態記憶手段の認証端末カウント数が、ユーザ情報記憶手段の上限認証数である、または、端末機器情報記憶手段の機器固有の識別子が、アクセス要求を送信した端末装置に付与されている機器固有の識別子と一致しない場合には、認証不許可との判断を行う。

本発明によれば、セキュリティ管理領域への入出状態と認証端末カウント数とに基づく認証結果が認証許可の場合に、アクセス要求を認証サーバに転送し、不許可の場合に、アクセス要求を認証サーバに転送せず、認証拒否を端末装置に返すことで、ユーザに対して認証を許可することができる端末装置の数を制限することが可能となる。

また、本発明によれば、上限となる端末数を設定することができるので、ユーザが利用することができる端末装置の数を自在にコントロールすることができる。

また、本発明によれば、端末装置を特定する端末識別子が記憶されているので、ネットワークからの端末装置の遮断といったアクセス制限を容易に行うことができる。

また、本発明によれば、ネットワークの中継装置をキーとして、端末装置を有効に特定することが可能となる。

また、本発明によれば、機器にユニークな識別子を用いることにより、ネットワークの構成如何に関わらず、端末装置を有効に特定することができる。

また、本発明によれば、ネットワーク上において端末装置を特定するための中継装置に関する情報が変更されたとしても、機器にユニークな識別子をキーとしてこれの情報を更新することができるので、ネットワークのアクセス制限を有効に行うことができる。

さらに、本発明によれば、ネットワークに接続する端末装置の機器固有の識別子をさらに用いて認証処理が行われるので、不正な端末装置からのアクセス要求を認証サーバへと転送する以前に、拒否することが可能となる。

（第１の実施形態）
図１は、本発明の第１の実施形態にかかるネットワーク管理システム１の全体構成を示す概念図である。ネットワーク管理システム１は、設備系システム１０と、ネットワーク認証システム２０とが連携制御装置３０によって相互に接続されている。

設備系システム１０は、セキュリティレベルの低い領域から、機密情報などを扱うセキュリティレベルの高い領域（セキュリティ管理領域）へのユーザの入出を管理する入出管理システムである。

設備系システム１０としては、セキュリティ管理領域への入出を管理する形態であればどのようなものであってもよいが、例えば、図１に示すように、セキュリティ管理領域を障壁などで隔て、認証処理に応じて入出（入退室）を認める形態を適用することができる。

設備系システム１０は、セキュリティ管理領域への入室を希望する全てのユーザに対してユーザ認証を行い、これにより、予め登録された正当なユーザのみに対して認証を許可し、セキュリティ管理領域への入室を許可する。また、設備系システム１０は、セキュリティ管理領域から退室を希望する全てのユーザに対してユーザ認証を行い、これにより、予め登録された正当なユーザのみに対して認証を許可し、セキュリティ管理領域からの退室を許可する。セキュリティ管理領域は、電気的な作用により施錠、解錠することができる電気錠を備える扉（ドア）を備えている。

具体的には、設備系システム１０は、入室用カードリーダ１１と、退室用カードリーダ１２と、入退室コントロールユニット１３とを主体に構成されている。

入室用カードリーダ１１は、セキュリティ管理領域の外側の扉近傍に設けられており、ユーザが所有する、例えば非接触のＩＣカード（Integrated Circuit）２の半導体メモリ内に格納された情報を読み取る。入室用カードリーダ１１によって読み取られた情報は、入退室コントロールユニット１３に対して送信される。

退室用カードリーダ１２は、セキュリティ管理領域の内側の扉近傍に設けられており、ユーザが所有するＩＣカード２の半導体メモリ内に格納された情報を読み取る。退室用カードリーダ１２によって読み取られた情報は、入退室コントロールユニット１３に対して送信される。

入退室コントロールユニット１３は、入室用カードリーダ１１から取得した情報のうち、ＩＣカード２のカードＩＤに基づいて認証処理を行う。入退室コントロールユニット１３は、認証処理によって、入室を希望するユーザ（ＩＣカード２の保持者）が、正当なユーザであると判断した場合には（認証許可）、施錠されていた電気錠を解錠する。これにより、セキュリティ管理領域へのユーザの入室が許可される。一方、入退室コントロールユニット１３は、認証処理によって、入室を希望するユーザが正当なユーザでないと判断した場合には（認証不許可）、電気錠を施錠したままにする。これにより、セキュリティ管理領域へのユーザの入室が許可されない。ここで、カードＩＤは、ユーザを一意に特定する被認証情報であり、入退室コントロールユニット１３は、正当なユーザに関するカードＩＤが記述されたデータベースを予め保持し、このデータベースを参照して、認証処理を行う。

また、入退室コントロールユニット１３は、退室用カードリーダ１２から取得した情報のうち、ＩＣカード２のカードＩＤに基づいて認証処理を行う。入退室コントロールユニット１３は、認証処理によって、退室を希望するユーザが正当なユーザであると判断した場合には（認証許可）、施錠されていた電気錠を解錠する。これにより、セキュリティ管理領域からのユーザの退室が許可される。一方、入退室コントロールユニット１３は、認証処理によって、退室を希望するユーザが正当なユーザでないと判断した場合には（認証不許可）、電気錠を施錠したままにする。これにより、セキュリティ管理領域からのユーザの退室が許可されない。

入退室コントロールユニット１３は、このような認証処理によって、セキュリティ管理領域に対するユーザの入退室を許可した場合には、ＩＣカード２のカードＩＤと、解錠した扉に固有の扉ＩＤと、入室か退室かを示す情報と、入退室操作が行われた時刻（入退室時刻）と含む入退室情報を連携制御装置３０に送信する。なお、入室か退室かを示す情報は、例えば、入室用カードリーダ１１又は退室用カードリーダ１２をそれぞれ一意に特定する機器ＩＤで示すようにしてもよい。

ネットワーク認証システム２０は、セキュリティ管理領域内に構築されたネットワークを管理しており、このネットワークには複数の端末装置２１が中継装置２２を介して接続されている。また、このネットワークにおいて、中継装置２２は、認証サーバ２３とも接続されている。

ネットワーク認証システム２０は、端末装置２１のそれぞれを処理対象として、この端末装置２１を用いてネットワークへアクセスを希望する全てのユーザに対してユーザ認証を行い、認証許可されたユーザのみに対して、端末装置２１のネットワークへの接続を許可する。ネットワーク認証システム２０において、複数の端末装置２１から送信されるネットワークへのアクセス要求は、中継装置２２および認証サーバ２３によって認証処理される。

具体的には、ネットワーク認証システム２０は、ＩＥＥＥ（米国電気電子技術者協会）８０２．１Ｘで策定されたＬＡＮ（Local Area Network）スイッチや無線ＬＡＮアクセス・ポイントに接続するユーザを認証する技術を用いて、端末装置２１からのアクセス要求であるネットワーク接続要求に応じた認証処理を行う。ＩＥＥＥ８０２．１Ｘは、ＬＡＮの利用の可否を制御するＥｔｈｅｒｎｅｔ（登録商標）上のプロトコルである。また、ユーザの認証には、認証用プロトコルとしてＲＡＤＩＵＳ（Remote Authentication Dial-In-User-Service）を用いた通信により、認証すべきユーザを集中管理することができるＲＡＤＩＵＳサーバが用いられる。

端末装置２１は、セキュリティ管理領域に入室したユーザによって使用可能な、いわゆるＰＣ（Personal Computer）であり、中継装置２２、認証サーバ２３と情報のやり取りを行う。この端末装置２１は、ネットワークへの接続を要求するためのサプリカントと呼ばれる認証クライアント・ソフトウェアを保持している。

中継装置２２は、複数の端末装置２１に対して有線で接続され、認証サーバ２３と端末装置２１との認証処理を中継する。中継装置２２は、ＲＡＤＩＵＳサーバに対するＲＡＤＩＵＳクライアントとして機能する認証装置であり、ＲＡＤＩＵＳサーバとの通信には、認証用プロトコルとしてＲＡＤＩＵＳを用いた通信を行う。中継装置２２は、ＩＥＥＥ８０２．１Ｘ、ＲＡＤＩＵＳに対応したＬＡＮスイッチなどであり、認証サーバ２３と連携してポート２２ａ毎に端末装置２１をネットワークへ接続する。

認証サーバ２３は、ＲＡＤＩＵＳ認証におけるＲＡＤＩＵＳサーバであり、端末装置２１のネットワークへの接続を要求するユーザに関する情報を保持する図示しないユーザ情報記憶部を備え、ＲＡＤＩＵＳクライアントである中継装置２２を介して端末装置２１の認証処理を行い、認証結果に応じてネットワークへのアクセスの可否を通知する。

認証サーバ２３が備える図示しないユーザ情報記憶部は、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤとアカウントＩＤに対応するパスワードを保持している。

ネットワーク認証システム２０による実際の認証手順は、ＥＡＰ（Extensible Authentication Protocol）によって規定される。ネットワーク認証システム２０では、ＩＥＥＥ８０２．１Ｘで使用できる様々なＥＡＰ、例えば、ＥＡＰ−ＭＤ５（ＥＡＰ−Message Digest alogorithm5）、ＰＥＡＰ（Protected-ＥＡＰ）といった認証処理にユーザＩＤ（アカウントＩＤ）とパスワードとを入力することが要求されるＥＡＰや、デジタル電子証明書を使って認証するＥＡＰ−ＴＬＳ（EAP-Transport Layer Security）などを利用できる。

連携制御装置３０は、ネットワーク認証システム２０の中継装置２２と認証サーバ２３との間で、認証処理時にやり取りされる認証用のパケットを経由するように設けられ、設備系システム１０とネットワーク認証システム２０とを連携制御する。

連携制御装置３０は、設備系システム１０から送信される入退室情報を用いて、セキュリティ管理領域への入室といった設備系システム１０におけるユーザの入出状態（入退室状態）の変化を把握し、この入退室状態に応じて、端末装置２１から中継装置２２を介して認証サーバ２３へとアクセス要求として送信される認証用のパケットであるネットワーク認証要求を通過させるのか、それとも通過させずに認証サーバ２３での認証の事前に拒否応答してしまうのかを判断する。

また、連携制御装置３０は、ユーザがネットワークへの接続が既に認証されている状態において、設備系システム１０から送信される入退室情報を利用して、セキュリティ管理領域からの退室といった設備系システム１０におけるユーザの入退室状態の変化を把握し、この入退室状態に応じて、接続されたネットワークを切断するといった制御を行うことができる。

図２は、連携制御装置３０の構成を示すブロック図である。連携制御装置３０は、外部システムＩ／Ｆ（インターフェース）３１と、内部データベース３２と、ネットワークＩ／Ｆ（インターフェース）３３と、ＲＡＤＩＵＳ認証部３４と、認証処理部３５とを備えている。

外部システムＩ／Ｆ３１は、設備系システム１０と連携制御装置３０とを接続するための通信インターフェースである。外部システムＩ／Ｆ３１を介した設備系システム１０と連携制御装置３０との通信は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）などの通信規格を利用することができる。また、外部システムＩ／Ｆ３１を介した設備系システム１０と連携制御装置３０との通信は、ＴＣＰ／ＩＰベースの通信に限らず、非ＩＰのフィールドバスなどを利用することもできる。

内部データベース３２は、連携制御装置３０で利用する各種情報を記憶するデータベースであり、ユーザ毎に定義された静的な情報を記憶するユーザ情報記憶部３２Ａと、ユーザの現在の状態を示す動的な情報を記憶するユーザ在室状態記憶部３２Ｂおよびユーザ認証状態記憶部３２Ｃと、設備系システム１０やネットワーク認証システム２０に関連して定義された静的な情報を記憶するシステム情報記憶部３２Ｄとを備えている。

ユーザ情報記憶部３２Ａは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、カードＩＤと、在室可能時間と、在室可能時刻と、上限認証数とを関係付けて記憶している。ユーザ情報記憶部３２Ａに記憶された情報は、静的情報であり、一旦設定されると新たなユーザ登録やシステム変更などがあるまで変更されず保持される。

図３は、ユーザ情報記憶部３２Ａで記憶保持している情報とその内容との一例を示す説明図である。カードＩＤは、あらかじめ登録されたユーザによって保持され、設備系システム１０の入退室時に使用されるＩＣカード２のカードＩＤである。設備系システム１０からカードＩＤが通知された場合、認証処理部３５は、ユーザ情報記憶部３２Ａを参照することでカードＩＤに対応するアカウントＩＤを取得し、取得したアカウントＩＤに基づきユーザ在室状態記憶部３２Ｂの更新処理などを実行する。また、１人のユーザが、ＩＣカード２を複数枚所持している場合もあるため、このカードＩＤは、一つのアカウントＩＤに対して複数登録される場合もある。

在室可能時間は、このアカウントＩＤで特定されるユーザに許された、セキュリティ管理領域に継続して在室することができる時間を示す。この在室可能時間は、ユーザが現在までにどのくらいセキュリティ管理領域に在室しているかを示す在室経過時間と比較され、この在室経過時間が、在室可能時間を超えた場合には、認証処理部３５によって、例えば、ユーザが利用する端末装置２１について接続されたネットワークが切断されたり、ネットワークへのアクセス要求が認証不許可とされたりする。在室経過時間は、後述するユーザ在室状態記憶部３２Ｂに記憶されている在室開始時刻を参照することで、認証処理部３５によって求められる。

在室可能時刻は、このアカウントＩＤで特定されるユーザに許された、セキュリティ管理領域に在室することができる時間帯を示しており、在室開始時刻と、在室終了時刻との組によって構成されている。この在室可能時刻は、現在の時刻と比較され、この現在の時刻が、在室可能時刻の範囲外である場合には、認証処理部３５によって、例えば、ユーザが利用する端末装置２１について接続されたネットワークが切断されたり、ネットワークへのアクセス要求が認証不許可とされたりする。

上限認証数は、このアカウントＩＤで特定されるユーザに対する認証を許可することができる端末装置２１の上限値である。この上限認証数は、ネットワークへのアクセス要求時に、ユーザの認証が許可されている端末装置２１のカウント数と比較され、このカウント数が上限認証数よりも小さい場合には、認証処理部３５によって、認証許可される。

ユーザ在室状態記憶部３２Ｂは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、在室部屋番号と、在室開始時刻とを関係付けて記憶している。ユーザ在室状態記憶部３２Ｂに記憶される情報は、動的情報であり、設備系システム１０で管理されているユーザの入退室状態に応じて認証処理部３５により随時更新されていく。

図４は、ユーザ在室状態記憶部３２Ｂに記憶される情報とその内容との一例を示す説明図である。在室部屋番号は、ユーザが、現在、在室しているセキュリティ管理領域を特定する部屋番号である。認証処理部３５は、設備系システム１０において状態変化があった際に通知される入退室情報から、ユーザが現在セキュリティ管理領域に在室しているのか否かを特定して、ユーザが在室の場合には、セキュリティ管理領域を示す部屋番号を在室部屋番号として、ユーザ在室状態記憶部３２Ｂに記憶させる。

在室開始時刻は、設備系システム１０より状態変化があった際に送信される入退室情報から特定される、セキュリティ管理領域への入室時刻であり、セキュリティ管理領域に在室が開始された時刻を示している。この在室開始時刻は、ネットワーク認証時などにおいて、セキュリティ管理領域における在室可能時間との比較に用いられる。

ユーザ認証状態記憶部３２Ｃは、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、認証端末カウント数と、中継装置ＩＤと、中継装置ポート番号とを関連付けて記憶している。ユーザ認証状態記憶部３２Ｃに記憶される情報は、動的情報であり、ネットワーク認証システム２０で管理されているユーザのネットワーク認証状態などに応じて認証処理部３５により随時更新されていく。

図５は、ユーザ認証状態記憶部３２Ｃに記憶される情報とその内容との一例を示す説明図である。認証端末カウント数は、セキュリティ管理領域内に設けられた複数の端末のうち、このアカウントＩＤで特定されるユーザに対する認証が許可された端末装置２１の数（カウント数）を示す。認証処理部３５は、中継装置２２および認証サーバ２３においてネットワークへのアクセス要求が認証許可された場合には、この認証端末カウント数をインクリメントさせ、中継装置２２から端末装置２１のネットワーク接続の遮断が通知された場合には、この認証端末カウント数をデクリメントさせる。

中継装置ＩＤは、セキュリティ管理領域内に設けられた複数の端末装置２１のうち、このアカウントＩＤで特定されるユーザに対する認証が許可された端末装置２１が接続する中継装置２２のＩＰアドレス（中継装置２２に付与されたネットワーク固有の識別子）を示す。認証処理部３５は、中継装置２２および認証サーバ２３においてネットワークへのアクセス要求が認証許可された場合には、ユーザに対する認証が許可された端末装置２１が接続する中継装置２２のＩＰアドレスを、中継装置ＩＤとして、ユーザ認証状態記憶部３２Ｃに記憶させる。また、認証処理部３５は、中継装置２２に接続する全ての端末装置２１のうち、ユーザに対する認証が許可された端末装置２１のすべてについてネットワーク接続が遮断されたことを条件として、該当する中継装置ＩＤをユーザ認証状態記憶部３２Ｃから削除する。中継装置ＩＤは、セキュリティ管理領域に設定された中継装置２２の数に応じて、複数設定することができる。

中継装置ポート番号は、セキュリティ管理領域内に設けられた複数の端末のうち、このアカウントＩＤで特定されるユーザに対する認証が許可された端末装置２１が接続する中継装置２２のポート２２ａの番号を示す。認証処理部３５は、中継装置２２および認証サーバ２３においてネットワークへのアクセス要求が認証許可された場合には、ユーザに対する認証が許可された端末装置２１が接続する中継装置２２のポート２２ａの番号を、中継装置ポート番号として、ユーザ認証状態記憶部３２Ｃに記憶させる。また、認証処理部３５は、ユーザに対する認証が許可された端末装置２１のネットワーク接続が遮断されたことを条件として、該当する中継装置ポート番号をユーザ認証状態記憶部３２Ｃから削除する。中継装置ポート番号は、ユーザの認証が許可された端末装置２１が接続する中継装置２２のポート２２ａの数に応じて、複数設定することができる。

システム情報記憶部３２Ｄは、設備系システム１０のセキュリティ管理領域を一意に特定するための識別番号である部屋番号と、入室扉ＩＤと、退室扉ＩＤと、中継装置ＩＤとを関係付けて記憶している。システム情報記憶部３２Ｄに記憶された情報は、静的情報であり、一旦設定されるとシステム変更などがあるまで変更されずに保持される。

図６は、システム情報記憶部３２Ｄで記憶保持している情報とその内容との一例を示す説明図である。

入室扉ＩＤは、設備系システム１０に設けられた入口扉のＩＤであり、入口扉と１対１で対応している設備系システム１０の入室用カードリーダ１１の機器ＩＤを使用する。退室扉ＩＤは、設備系システム１０に設けられた出口扉のＩＤであり、出口扉と１対１で対応している設備系システム１０の退室用カードリーダ１２の機器ＩＤを使用する。入室扉ＩＤ、退室扉ＩＤは、セキュリティ管理領域に設けられている扉の数に応じて、複数設定することができる。

中継装置ＩＤは、このセキュリティ管理領域に設置されている中継装置２２のＩＰアドレスを示している。この中継装置ＩＤは、セキュリティ管理領域に設定された中継装置２２の数に応じて、複数設定することができる。

ネットワークＩ／Ｆ３３は、連携制御装置３０と、中継装置２２および認証サーバ２３との間で通信を行うための通信インターフェースである。ネットワークＩ／Ｆ３４は、Ｅｔｈｅｒｎｅｔ（登録商標）やＴＣＰ／ＩＰスタックに相当する。

ＲＡＤＩＵＳ認証部３４は、認証要求中継部３４Ａと、要求中継判断部３４Ｂと、機器設定記憶部３４Ｃとを備え、ＲＡＤＩＵＳ認証に関連する処理を実行する。

認証要求中継部３４Ａは、ＲＡＤＩＵＳ認証において中継装置２２、認証サーバ２３間で送受信されるＲＡＤＩＵＳパケットを中継する。このとき、認証要求中継部３４Ａは、ネットワーク認証要求のＲＡＤＩＵＳパケットに含まれるアカウントＩＤなど認証処理部３５での認証処理に必要となる情報を取得する。またＲＡＤＩＵＳの規格で定義されている認証符号の再計算を行う機能も有している。

要求中継判断部３４Ｂは、認証処理部３５でなされた認証判断に基づき、認証サーバ２３に対してネットワーク認証要求を送信するか、ネットワーク認証要求を拒否するかの最終的な判断をする。要求中継判断部３４Ｂは、拒否応答する場合には、拒否応答パケットを生成し中継装置２２に送信する。

機器設定記憶部３４Ｃは、ＲＡＤＩＵＳ通信の正当性を確認するために必要となる中継装置２２、認証サーバ２３それぞれで保持される全ての秘密共有鍵を、通信相手のＩＰアドレスと対応付けて管理する。

認証処理部３５は、中継装置２２から送信されるネットワーク認証要求のＲＡＤＩＵＳパケットに含まれる情報と、内部データベース３２に記憶されている情報とを用いて認証処理を行い、ネットワーク認証要求を認証サーバ２３へと転送するのか、それとも拒否するのかを判断する。

また、認証処理部３５は、中継装置２２が外部からの認証状態制御に対応している場合、ユーザの行動状態が変化したことに応じて、即座に認証状態をリセットするための要求を送信する。この場合、認証処理部３５は、中継装置２２が、ＭＩＢ（Management Information Base）と呼ばれる管理情報データベースを保持している場合に動作する。具体的には、ＩＥＴＦ（Internet Engineering Task Force ）で標準化されたＴＣＰ／ＩＰネットワーク環境での管理プロトコルであるＳＮＭＰ (Simple Network Management Protocol)にて、上述した管理情報であるＭＩＢを交換することで、認証処理部３５により中継装置２２を管理することができる。つまり、中継装置２２にＳＮＭＰエージェントが与えられた場合に、認証処理部３５は、ＳＮＭＰマネージャとして機能する。例えば、ＭＩＢとしては、ＩＥＥＥ８０２．１ｘで規定されたものを使用することができる。

また、認証処理部３５は、ユーザ情報記憶部３２Ａに記憶されている静的情報などを、ＨＴＴＰ（Ｓ）サーバやＴｅｌｎｅｔなどを利用して外部から管理することができる。

つぎに、本実施形態の特徴の一つである、ユーザに対する認証を許可することができる端末装置２１の数を制限する処理（端末数制限処理）手順について説明する。図７は、本実施形態の連携制御装置３０による端末数制限処理の手順を示すフローチャートである。なお、端末数制限処理の手順を説明するにあたり、図８に示すタイミングチャートを参照し、ユーザのセキュリティ管理領域への入室から、このセキュリティ管理領域に構築されたネットワークでのユーザ認証まで一連の手順とともに説明する。

まず、ユーザが、ネットワークが構築されているセキュリティ管理領域へと、入退室コントロールユニット１３によって管理された扉から入室する。具体的には、ユーザは、入室用カードリーダ１１にＩＣカード２を翳す。これに応じて、入退室コントロールユニット１３は、ＩＣカード２の半導体メモリに格納されている情報を読み取り、カードＩＤを認証して施錠された扉の電気錠を解錠する。入退室コントロールユニット１３は、ＩＣカード２のカードＩＤと、解錠した扉を一意に特定する扉ＩＤ、入室であることを示す情報と、入退室時刻とを入退室情報として連携制御装置３０に送信する。

図８に示すように、タイミングＴ１において、連携制御装置３０は、外部システムＩ／Ｆ３１を介して設備系システム１０から入退出情報を取得すると、この入退室情報を認証処理で使用できるように変換した上で、内部データベース３２のユーザ在室状態記憶部３２Ｂに記憶させ、セキュリティ管理領域におけるユーザの現在の入退室状態を記憶する。

具体的には、認証処理部３５は、入退室コントロールユニット１３から送信されたＩＣカード２のカードＩＤを用いて、ユーザ情報記憶部３２Ａを検索し、このカードＩＤに対応付けて記憶されているアカウントＩＤを取得する。また、認証処理部３５は、入退室コントロールユニット１３から送信された扉ＩＤを用いて、システム情報記憶部３２Ｄを検索し、この扉ＩＤに対応付けられているセキュリティ管理領域を特定する部屋番号を取得する。そして、認証処理部３５は、ユーザ情報記憶部３２Ａから取得したアカウントＩＤと対応付けて、取得した部屋番号を在室部屋番号としてユーザ在室状態記憶部３２Ｂに記憶させる。また、認証処理部３５は、入退室コントロールユニット１３から送信された入退室情報が、入室を示す情報である場合には、入退室情報に含まれる入退室時刻を在室開始時刻としてユーザ在室状態記憶部３２Ｂに記憶させる。

タイミングＴ２において、セキュリティ管理領域に入室したユーザは、端末装置２１から中継装置２２を介して、ＩＥＥＥ８０２．１Ｘの手順に従い、アクセス要求としてネットワーク認証要求を送信することで端末装置２１のネットワークへの接続を試みる。初期状態では、端末装置２１とネットワークと間の接続は、中継装置２２によって切断されているため、端末装置２１は、中継装置２２としか通信を行うことができない。

まず、ユーザは、ネットワークに接続するために、端末装置２１からアカウントＩＤ及びパスワードを入力し中継装置２２へ認証用のパケットであるネットワーク認証要求を送信する。

端末装置２１は、ネットワーク認証要求をＥＡＰメッセージの入ったＭＡＣ（Media Access Control）フレームとして中継装置２２へ送信する。このとき、アカウントＩＤは平文で、パスワードはハッシュ化された状態で送信される。

中継装置２２は、ＭＡＣフレームからＥＡＰメッセージを取り出し、ＩＰパケットに乗せ換え、連携制御装置３０へと送信をする。具体的には、中継装置２２は、ＩＰの上位層のＵＤＰを利用して、中継装置２２から取り出したＥＡＰメッセージをＲＡＤＩＵＳパケットのデータ部分に格納して連携制御装置３０へと送信する。

ここで、図７を参照するに、ステップＳ１において、ＲＡＤＩＵＳ認証部３４の認証要求中継部３４Ａは、ネットワーク認証要求であるＲＡＤＩＵＳパケットを受信したか否かを判断している。認証要求中継部３４Ａがネットワーク認証要求を受信した場合には、ステップＳ２に進む。一方、認証要求中継部３４Ａがネットワーク認証要求を受信していない場合には、後述するステップＳ１０に進む。

ステップＳ２において、認証要求中継部３４Ａは、ＲＡＤＩＵＳプロトコルに従ってハッシュ計算を行い、ＲＡＤＩＵＳパケットの認証を行う。これにより、受信したＲＡＤＩＵＳパケットに対して、データに改編や改竄が加えられていないか、或いは、データが壊れていないかといった認証が行われる。このステップＳ２において肯定判定された場合には、後述するステップＳ３に進む。一方、ステップＳ２において否定判定された場合には、ステップＳ４に進み、認証要求中継部３４Ａはパケットを破棄する。

ステップＳ３において、認証要求中継部３４Ａは、受信したＲＡＤＩＵＳパケットが、中継装置２２と認証サーバ２３とのＲＡＤＩＵＳ認証処理における認証シーケンスにおいて、一番目のパケットであるか否かを判断する。このＲＡＤＩＵＳ認証処理における認証シーケンスにおいて、中継装置２２からネットワーク認証要求として送信される最初のＲＡＤＩＵＳパケットのＥＡＰメッセージにのみ、平文のアカウントＩＤであるＥＡＰ−Ｔｙｐｅ＝Ｉｄｅｎｔｉｔｙデータが存在する。そのため、受信したＲＡＤＩＵＳパケットにおいて、ＥＡＰ−Ｔｙｐｅ＝Ｉｄｅｎｔｉｔｙデータを検索することにより、一番目のパケットであるか否かを判断することができる。このステップＳ３において否定判定された場合には、ステップＳ５に進み、ＲＡＤＩＵＳパケットを認証サーバ２３へと転送する。一方、ステップＳ３において肯定判定された場合には、ステップＳ６に進む。なお、ＲＡＤＩＵＳパケットには、このアカウントＩＤの他に、中継装置２２の情報として中継装置２２のＩＰアドレス、端末装置２１が接続された中継装置２２のポート番号、ネットワーク認証を行った端末装置２１のＭＡＣアドレスなどがＲＡＤＩＵＳ属性情報として記述されている。

ステップＳ６において、ネットワーク認証要求を行ったユーザのアカウントＩＤが取得されると、これに続くステップＳ７において、ネットワーク認証要求を行った中継装置２２のＩＰアドレスおよび端末装置２１が接続された中継装置２２のポート番号が取得される。

具体的には、図８のタイミングＴ３に示すように、ＲＡＤＩＵＳ認証部３４の認証要求中継部３４Ａは、ネットワークＩ／Ｆ３４を介して受信したネットワーク認証要求のＲＡＤＩＵＳパケットのＥＡＰメッセージに添付されたＩｄｅｎｔｉｔｙデータ（アカウントＩＤ）を取得して認証処理部３５に出力する。また、認証要求中継部３４Ａは、受信したネットワーク認証要求のＲＡＤＩＵＳパケットより中継装置２２のＩＰアドレス、端末装置２１が接続された中継装置２２のポート番号を取得して認証処理部３５に出力する。

タイミングＴ４において、認証処理部３５は、取得したＩｄｅｎｔｉｙデータのアカウントＩＤをキーとして、ユーザ情報記憶部３２Ａに格納されている、在室可能時間、在室可能時刻および上限認証数と、ユーザ在室状態記憶部３２Ｂに格納されている在室部屋番号および在室開始時刻と、ユーザ認証状態記憶部３２Ｃに格納されている認証端末カウント数とを要求する。また、認証処理部３５は、取得した中継装置２２のＩＰアドレスをキーとして、システム情報記憶部３２Ｄに格納されている部屋番号を要求する。この部屋番号は、ネットワーク認証要求を送信した中継装置２２が設置されているセキュリティ管理領域を示している。

タイミングＴ５において、認証処理部３５は、ユーザ情報記憶部３２Ａから在室可能時間、在室可能時刻および上限認証数を取得し、ユーザ在室状態記憶部３２Ｂから在室部屋番号および在室開始時刻を取得し、ユーザ認証状態記憶部３２Ｃから認証端末カウント数を取得するとともに、システム情報記憶部３２Ｄから部屋番号を取得する。

再び図７を参照するに、ステップＳ８において、連携制御装置３０の認証処理部３５は、中継装置２２から送信されたネットワーク認証要求を認証サーバ２３へと転送するか否かを判断する。認証処理部３５は、以下の条件を具備した場合に、ネットワーク認証要求を認証サーバ２３へと転送する。

（１）ユーザがセキュリティ管理領域に在室していること
（２）この在室しているセキュリティ管理領域内の端末装置２１（中継装置２２）によってネットワーク認証要求がなされていること
（３）ユーザに対する認証が許可された端末装置２１の数（認証端末カウント数）がユーザに対する認証を許可することができる端末装置２１の上限値（条件認証カウント数）よりも小さいこと
（４）セキュリティ管理領域にユーザが在室している経過時間が在室可能時間を超えていないこと
（５）現在の時刻が在室可能時刻の範囲内であること
具体的には、認証処理部３５は、以下の（ａ）〜（ｄ）のすべてを確認できた場合には、ステップＳ８の肯定判定に続き、ステップＳ５に進む。

（ａ）ユーザ在室状態記憶部３２Ｂから取得した在室部屋番号と、システム情報記憶部３２Ｄから取得した部屋番号とを比較して、セキュリティ管理領域にユーザが存在し、このセキュリティ管理領域からネットワーク認証要求がなされていること
（ｂ）ユーザ情報記憶部３２Ａから取得した上限認証数と、ユーザ認証状態記憶部３２Ｃから取得した認証端末カウント数とを比較して、ユーザに認証されている端末装置２１の数が上限認証カウント数よりも小さいこと
（ｃ）ユーザ情報記憶部３２Ａから取得した在室可能時間と在室経過時間とを比較して、ユーザが在室可能時間を超えてセキュリティ管理領域に在室していないこと
（ｄ）ユーザ情報記憶部３２Ａから取得した在室可能時刻と現在の時刻とを比較して、ユーザがセキュリティ管理領域に在室することが可能な時間帯であること
そして、ステップＳ５では、ネットワーク認証要求が認証サーバ２３へと転送される。具体的には、図８のタイミングチャートに示すように、タイミングＴ６において、認証処理部３５は、認証許可を示す認証判断をＲＡＤＩＵＳ認証部３４の要求中継判断部３４Ｂに通知する。そして、タイミングＴ７において、要求中継判断部３４Ｂは、認証処理部３５からの認証判断に応じて、認証サーバ２３へネットワーク認証要求を送信する最終的な判断を行い、ネットワークＩ／Ｆ３４を介して、ネットワーク認証要求を認証サーバ２３へ送信する。

一方、認証処理部３５は、上述した（ａ）〜（ｄ）のいずれか一つでも確認がなされなかった場合には、ステップＳ８の否定判定に続き、ステップＳ９に進む。

ステップＳ９において、認証拒否パケットが中継装置２２へと送信される。具体的には、図８のタイミングチャートに示すように、タイミングＴ８において、認証処理部３５は、認証不許可を示す拒否判断をＲＡＤＩＵＳ認証部３４の要求中継判断部３４Ｂに通知する。そして、タイミングＴ９において、要求中継判断部３４Ｂは、認証処理部３５からの拒否判断に応じて、認証サーバ２３へのネットワーク認証要求の送信を拒否し、拒否応答パケットを生成して、ネットワークＩ／Ｆ３４を介して中継装置２２へ送信する。中継装置２２は、送信された拒否応答パケットに基づき、端末装置２１にネットワーク認証要求を拒否したことを示す拒否応答を通知する。

タイミングＴ１０において、認証サーバ２３へネットワーク認証要求が送信されたことに応じて、ＥＡＰメッセージが添付された認証サーバ２３から送信されるパケットである認証応答、端末装置２１から送信されるパケットである認証要求をやり取りすることで、ユーザのネットワーク上での認証処理が実行される。

具体的には、認証サーバ２３は、ネットワーク認証要求に添付されたアカウントＩＤをキーとして、図示しないユーザ情報記憶部に格納されている情報との照合処理を行う。認証サーバ２３は、送信されたアカウントＩＤに関連付けられてユーザ情報記憶部に格納されている対象となるユーザのパスワードを所定のハッシュ関数でハッシュ化し、ネットワーク認証要求に添付されたハッシュ化されているパスワードと比較をし、ハッシュ化されたパスワード同士が一致するかどうか確認をする。このとき、連携制御装置３０の認証要求中継部３４Ａは、端末装置２１と認証サーバ２３との認証要求、認証応答に対して何も施さずにスルーする。中継装置２２は、上述したようなＥＡＰメッセージの乗せ換えだけを行う中継装置として機能する。

再び図７を参照するに、ステップＳ１０において、連携制御装置３０のＲＡＤＩＵＳ認証部３４の認証要求中継部３４Ａは、認証サーバ２３からの認証応答を受信したか否かを判断している。認証要求中継部３４Ａが認証応答を受信した場合には、ステップＳ１１に進む。一方、認証要求中継部３４Ａが認証応答を受信していない場合には、本ルーチンを抜ける。

ステップＳ１１において、ＲＡＤＩＵＳ認証部３４は、ＲＡＤＩＵＳプロトコルに従ってハッシュ計算を行い、認証応答パケットの認証を行う。これにより、受信した認証応答パケットに対して、データに改編や改竄が加えられていないか、データが壊れていないかといったデータの認証が行われる。このステップＳ１１において肯定判定された場合には、後述するステップＳ１２に進む。一方、ステップＳ１１において否定判定された場合には、ステップＳ１３に進み、認証要求中継部３４Ａはパケットを破棄する。

ステップＳ１２において、認証要求中継部３４Ａは、認証サーバ２３からの認証応答にその認証結果が存在するか否かを判断する。ここで、図８のタイミングＴ１１に示すように、認証サーバ２３は、ネットワーク認証要求に対する認証処理が終了した場合には、認証応答として、認証サーバ２３による認証がなされたことを示す認証許可通知、認証されなかったことを示す認証不許可通知のいずれかを認証結果として、連携制御装置３０のＲＡＤＩＵＳ認証部３４に送信している。したがって、認証応答に認証結果が存在する場合には、図７に示すステップＳ１２において否定判定されるため、ステップＳ１４に進み、認証サーバ２３からの認証応答を中継装置２２へと転送する。一方、認証応答に認証結果が存在しない場合には、ステップＳ１２において否定判定されるため、ステップＳ１５に進む。

ステップＳ１５において、認証要求中継部３４Ａは、認証結果が認証許可通知であるか否かを判断する。このステップＳ１５において否定判定された場合には、ステップＳ１４に進み、認証要求中継部３４Ａは、認証サーバ２３からのパケットである認証不許可通知を中継装置２２へ転送する。中継装置２２は、連携制御装置３０を介して認証サーバ２３から認証不許可通知を受け取った場合には、端末装置２１とネットワークとの回線を開放せずに、認証不許可である旨を通知するメッセージを端末装置２１に送信する。

一方、ステップＳ１５において肯定判定された場合には、認証要求中継部３４Ａは、認証処理部３５に対して認証許可である旨を通知した上で、ステップＳ１６に進む。

ステップＳ１６において、認証処理部３５は、ユーザのアカウントＩＤをキーとして、ユーザ認証状態記憶部３２Ｃの中継装置ポート番号を検索し、ネットワーク認証要求を行った端末装置２１が接続された中継装置２２のポート番号が記憶されているか否かを判断する。このステップＳ１６において肯定判定された場合には、ステップＳ１４に進み、認証要求中継部３４Ａは、認証許可通知を中継装置２２へ転送する。一方、ステップＳ１６において否定判定された場合には、ステップＳ１７に進む。

ステップＳ１７において、ユーザのアカウントＩＤと対応付けて、ネットワーク認証要求が送信された中継装置２２のＩＰアドレスを、中継装置ＩＤとしてユーザ認証状態記憶部３２Ｃに記憶するとともに、ネットワーク認証要求を行った端末装置２１が接続された中継装置２２のポート番号を、中継装置ポート番号としてユーザ認証状態記憶部３２Ｃに記憶する。これにより、図８のタイミングＴ１２に示すように、ネットワークの認証結果が内部データベース３２に記憶される。

そして、再び、図７を参照するに、ステップＳ１７に続くステップＳ１４において、認証要求中継部３４Ａは、認証許可通知を中継装置２２へ転送する。

中継装置２２は、認証サーバ２３から認証許可通知を受け取った場合には、端末装置２１とネットワークとの回線を開放する。これにより、ユーザは、端末装置２１を介してネットワークへアクセスすることができ、ネットワーク上の他の端末装置との通信が可能となる。

このようにして、連携制御装置３０によって設備系システム１０と、ネットワーク認証システム２０とが相互に接続され連携されたネットワーク管理システム１では、検出される設備系システム１０におけるユーザの高度セキュリティレベル領域における現在の出入状態に基づき、連携制御装置３０が、端末装置２１からなされるネットワーク認証要求の正当性を認証サーバ２３へ通知する前段で判断する。

本実施形態によれば、認証処理部３５は、セキュリティ管理領域への入出状態と認証端末カウント数とに基づく認証結果が認証許可の場合に、アクセス要求を認証サーバ２３に転送し、不許可の場合に、アクセス要求を認証サーバ２３に転送しない。これにより、ユーザに対する認証が許可された端末装置２１の数を制限することが可能となる。

また、本発明によれば、上限となる端末装置２１の数を設定することができるので、利用することができる端末装置２１の数を自在にコントロールすることができる。

また、本発明によれば、ネットワークの中継装置２２をキーとして、端末装置２１を特定することが可能となる。

（第２の実施形態）
ところで、セキュリティ管理領域へと入室し、上述したような連携制御装置３０による認証、認証サーバ２３による認証を経てネットワーク上で認証されるが、このユーザが、切断処理を実行せずにセキュリティ管理領域から退出してしまう事態が考えられる。

認証されたネットワークとの切断処理を実行せずにセキュリティ管理領域を離れてしまうと、セキュリティ管理領域にいる別のユーザによって不正にネットワークへアクセスされてしまう可能性が非常に高い。そこで、以下に示す手法により、ネットワークへの不正なアクセスを防止することができる。

例えば、ネットワーク管理システム１は、上述した図８に示すタイミングチャートのようにしてセキュリティ管理領域へ入室したユーザにより、中継装置２２、連携制御装置３０を介して端末装置２１とネットワークとが接続されているとする。

まず、ユーザは、セキュリティ管理領域からセキュリティレベルの低い領域（例えば、廊下）へと入退室コントロールユニット１３によって管理された扉から退室する。

具体的には、ユーザは、退室用カードリーダ１２にＩＣカード２を翳す。これに応じて、入退室コントロールユニット１３は、ＩＣカード２の半導体メモリに格納されている情報を読み取り、カードＩＤを認証して施錠された扉の電気錠を解錠する。

入退室コントロールユニット１３は、ＩＣカード２から読み取ったカードＩＤと、電気錠を解錠した扉を一意に特定する扉ＩＤと、退室であることを示す情報と、入退室時刻とを入退室情報として連携制御装置３０に送信する。

連携制御装置３０は、外部システムＩ／Ｆ３１を介して設備系システム１０から送信される入退室情報を認証処理で使用できるように変換した上で、内部データベース３２のユーザ在室状態記憶部３２Ｂに記憶させ、設備系システム１０のセキュリティ管理領域におけるユーザの現在の入退室状態を記憶する。

具体的には、認証処理部３５は、入退室コントロールユニット１３から送信された入退室情報が、退室を示す情報である場合には、ユーザ在室状態記憶部３２Ｂにおいて、記憶されている在室部屋番号および在室開始時刻を削除する。

認証処理部３５は、ユーザ在室状態記憶部３２Ｂへの書き込みがあったことに応じて、内部データベース３２を参照し、設備系システム１０における状態が変化したユーザが、現在、ネットワーク上で認証中であるかどうかを判断する。具体的には、認証処理部３５は、ユーザ認証状態記憶部３２Ｃの中継装置ＩＤ、または、中継装置ポート番号を参照して、ネットワーク上で認証中であるかどうかを判断する。

ネットワーク上で認証中である場合、認証処理部３５は、内部データベース３２のユーザ認証状態記憶部３２Ｃにおいて、該当するユーザのアカウントＩＤに対応付けて記憶されている中継装置ＩＤおよび中継装置ポート番号を参照し、端末装置２１が接続されている中継装置２２のポート２２ａを閉じて、端末装置２１をネットワークから切断する。そして、認証処理部３５は、ユーザ認証状態記憶部３２Ｃにおいて、記憶されている認証端末カウント数、中継装置ＩＤ、および、中継装置ポート番号を削除する。

このように本実施形態によれば、ユーザに対する認証が許可された端末装置２１を特定する端末識別子が記憶されているので、ネットワークからの端末装置２１の遮断といったアクセス制限を容易に行うことができる。

また、認証処理部３５は、ユーザに許されているセキュリティ管理領域の在室可能時間が経過したこと、あるいは、セキュリティ管理領域に定められた在室可能時刻ではないことに応じて、上述の退室情報を取得したケースと同様に、内部データベース３２のユーザ在室状態記憶部３２Ｂの該当するユーザのセキュリティ管理領域における入退室状態を書き換え、ユーザに認証されている端末装置２１をネットワークから切断することができる。

（第３の実施形態）
図９は、本発明の第３の実施形態にかかるネットワーク管理システム１の全体構成を示す概念図である。本実施形態にかかるネットワーク管理システム１が、第1または第２の実施形態のそれと相違する点は、端末装置２１が、無線中継装置２２Ａ、或いは、中継装置２２にハブ２２Ｂを介してネットワークに接続されている点である。無線中継装置２２Ａは、複数の端末装置２１に対して無線で接続され、認証サーバ２３と端末装置２１との認証処理を中継する。無線中継装置２２Ａは、有線の中継装置２２と同様に、ＲＡＤＩＵＳサーバに対するＲＡＤＩＵＳクライアントとして機能する認証装置である。

無線中継装置２２Ａは、第１の実施形態に示す中継装置２２と同様の機能を担っているが、ユーザのネットワーク上での認証が許可されると、そのユーザが使用する端末装置２１に対して、定期的に再認証を行う。この際、無線中継装置２２Ａでは、セキュリティ向上の観点から、端末装置２１が接続するポート番号（仮想ポート番号）を変更する場合がある。そのため、同一の端末装置２１による認証であっても、ポート番号が変更するため、その端末装置２１を特定することができなくなってしまう。

また、中継装置２２と端末装置２１との間にハブ２２Ｂを介在させた場合には、中継装置２２の任意のポート２２ａに複数の端末装置２１が接続されることなり、ポート番号による端末装置２１の識別では、そのポート２２ａに複数接続するどの端末装置２１からの認証であるのかを特定することができない。

そこで、本実施形態では、第１または第２の実施形態をベースに、以下に示すようなネットワーク管理システム１によってこのような問題に対処する。なお、第３の実施形態のシステム構成を説明するにあたり、第１または第２の実施形態と同一の構成については、同一の参照符号を引用し、その詳細については説明を省略する。

本実施形態の特徴の一つとして、図１０に示すように、連携制御装置３０は、第1の実施形態に示す構成に加えて、後述する端末検索部３６と、ログ記録部３７とを有している。

また、連携制御装置３０の内部データベース３２は、端末機器情報記憶部３２Ｅをさらに有している。

端末機器情報記憶部３２Ｅは、設備系システム１０のセキュリティ管理領域を一意に特定するための識別番号である部屋番号と、端末装置固有ＩＤとを関連づけて記憶している。端末機器情報記憶部３２Ｅに記憶された情報は、静的情報であり、一旦設定されるとシステム変更などがあるまで変更されずに保持される。

図１１は、端末機器情報記憶部３２Ｅに記憶される情報とその内容との一例を示す説明図である。端末装置固有ＩＤは、セキュリティ管理領域に設けられる端末装置２１の機器固有の識別子であり、本実施形態では、ＭＡＣアドレスがこれに該当する。端末装置固有ＩＤは、セキュリティ管理領域に設けられる端末装置２１の数に応じて、複数設定することができる。

なお、内部データベース３２のユーザ認証状態記憶部３２Ｃには、図１２に示すように、ユーザをネットワークにおいて一意に特定するための被認証情報であるアカウントＩＤ毎に、上述した認証端末カウント数、中継装置ＩＤおよび中継装置ポート番号とに加え、さらに、ユーザ端末固有ＩＤが関連付けられている。

ユーザ端末固有ＩＤは、ユーザに対する認証が許可された端末装置２１の機器固有の識別番号であり、本実施形態では、ＭＡＣアドレスがこれに該当する。認証処理部３５は、中継装置２２および認証サーバ２３においてネットワークへのアクセス要求が認証許可された場合には、ユーザに対する認証が許可された端末装置２１のＭＡＣアドレスを、ユーザ端末固有ＩＤとして、ユーザ認証状態記憶部３２Ｃに記憶させる。また、認証処理部３５は、ユーザに対する認証が許可された端末装置２１のネットワーク接続が遮断されたことを条件として、該当するユーザ端末固有ＩＤをユーザ認証状態記憶部３２Ｃから削除する。ユーザ端末固有ＩＤは、セキュリティ管理領域に設定された端末装置２１の数に応じて、複数設定することができる。

また、ユーザ認証状態記憶部３２Ｃにおいて、認証端末カウント数は、端末装置２１の機器固有の識別番号であるＭＡＣアドレスをベースとして行われる。

再び図１０を参照するに、端末検索部３６は、ネットワーク認証要求が許可された端末装置２１のＭＡＣアドレスをキーとして、ユーザ認証状態記憶部３２Ｃを検索し、当該端末装置２１の認証状態を検索する。

ログ記録部３７は、端末装置２１によるネットワークへの不正なアクセスが行われた際に、このアクセスログを不正アクセスとして記憶する。

図１１は、本実施形態の連携制御装置３０による端末数制限処理の手順を示すフローチャートである。なお、基本的な処理手順については、第１の実施形態で述べたように、図７に示す処理手順と同一であり、同一の処理については同一のステップ番号を引用し、以下相違点について説明を行う。

上述したステップＳ７に続くステップＳ１８において、ネットワーク認証要求として送信される最初のＲＡＤＩＵＳパケットを参照し、ネットワーク認証要求を行った端末装置２１のＭＡＣアドレスが取得される。

ステップＳ１８に続くステップＳ１９において、認証処理部３５は、取得した中継装置２２のＩＰアドレスをキーとして検索されたシステム情報記憶部３２Ｄの部屋番号に基づいて、端末機器情報記憶部３２Ｅを検索し、ステップＳ１８において取得したＭＡＣアドレスが、セキュリティ管理領域に存在する端末装置２１のＭＡＣアドレスとして登録されているか否かを判断する。このステップＳ１９において肯定判定された場合には、ステップＳ２０に進む。一方、ステップＳ１９において否定判定された場合には、ステップＳ２１に進む。

ステップＳ２０において、認証処理部３５は、中継装置２２から送信されたネットワーク認証要求を認証サーバ２３へと転送するか否かを判断する。認証処理部３５は、第1の実施形態に示す（１）〜（５）の条件に加え、（６）の条件をさらに具備した場合に、ネットワーク認証要求を認証サーバ２３へと転送する。

（１）ユーザがセキュリティ管理領域に在室していること
（２）この在室しているセキュリティ管理領域内の端末装置２１（中継装置２２）によってネットワーク認証要求がなされていること
（３）ユーザの認証が許可されている端末装置２１の数（認証端末カウント数）がユーザに許可される上限認証カウント数よりも小さいこと
（４）セキュリティ管理領域にユーザが在室している経過時間が在室可能時間を超えていないこと
（５）現在の時刻が在室可能時刻の範囲内であること
（６）ネットワーク認証要求がなされた端末装置２１と、すでにユーザに対する認証が許可された端末装置２１が同一ではないこと
具体的には、認証処理部３５は、以下の（ａ）〜（ｅ）のすべてを確認できた場合には、ステップＳ２０の肯定判定に続き、ステップＳ５に進む。

（ａ）ユーザ在室状態記憶部３２Ｂから取得した在室部屋番号と、システム情報記憶部３２Ｄから取得した部屋番号とを比較して、セキュリティ管理領域にユーザが存在し、このセキュリティ管理領域からネットワーク認証要求がなされていること
（ｂ）ユーザ情報記憶部３２Ａから取得した上限認証数と、ユーザ認証状態記憶部３２Ｃから取得した認証端末カウント数とを比較して、ユーザに認証されている端末装置２１の数が上限認証カウント数よりも小さいこと
（ｃ）ユーザ情報記憶部３２Ａから取得した在室可能時間と在室経過時間とを比較して、ユーザが在室可能時間を超えてセキュリティ管理領域に在室していないこと
（ｄ）ユーザ情報記憶部３２Ａから取得した在室可能時刻と現在の時刻とを比較して、ユーザがセキュリティ管理領域に在室することが可能な時間帯であること
（ｅ）ユーザ認証状態記憶部３２Ｃに記憶されたユーザ端末固有ＩＤと、ステップＳ１８において取得したＭＡＣアドレスとを比較して、現在ネットワーク認証要求を行った端末装置２１がすでにネットワーク認証が許可されていないこと
一方、認証処理部３５は、上述した（ａ）〜（ｅ）のいずれか一つでも確認がなされなかった場合には、ステップＳ２０の否定判定に続き、ステップＳ９に進む。

これに対して、ステップＳ１９の否定判定に続くステップＳ２１では、ログ記録部３７に不正アクセスログが記録される。

また、図１３を参照するに、ステップＳ１５における肯定判定に続くステップＳ２２において、ユーザ認証状態記憶部３２Ｃのユーザ端末固有ＩＤを検索し、ステップＳ１８において取得したＭＡＣアドレスが既に記憶されているか否かを判断する。ステップＳ２２において肯定判定された場合には、ステップＳ２３に進む。一方、ステップＳ２２において否定判定された場合には、ステップＳ２４に進む。

ステップＳ２３において、ユーザのアカウントＩＤと対応付けて、ネットワーク認証要求が送信された中継装置２２のＩＰアドレスによって、ユーザ認証状態記憶部３２Ｃの中継装置ＩＤを更新するとともに、ネットワーク認証要求を行った端末装置２１が接続された中継装置２２のポート番号によって、ユーザ認証状態記憶部３２Ｃの中継装置ポート番号を更新する。

ステップＳ２４において、ユーザのアカウントＩＤと対応付けて、ネットワーク認証要求が送信された中継装置２２のＩＰアドレスを、中継装置ＩＤとしてユーザ認証状態記憶部３２Ｃに記憶し、ネットワーク認証要求を行った端末装置２１が接続された中継装置２２のポート番号を、中継装置ポート番号としてユーザ認証状態記憶部３２Ｃに記憶するとともに、ネットワーク認証要求を行った端末装置２１のＭＡＣアドレスを、ユーザ端末固有ＩＤとしてユーザ認証状態記憶部３２Ｃに記憶する。

このように本実施形態によれば、機器にユニークな識別子（ＭＡＣアドレス）を用いることにより、ネットワークの構成如何に関わらず、端末装置２１を有効に特定することができる。

また、本実施形態によれば、ネットワーク上において端末装置２１を特定するネットワーク固有の情報が変更されたとしても、機器にユニークな識別子をキーとしてこれを更新することができるので、ネットワークのアクセス制限を有効に行うことができる。

さらに、本実施形態によれば、ネットワークに接続する端末装置２１の機器固有の識別子をさらに用いて認証処理が行われるので、不正な端末装置２１からのアクセス要求を認証サーバ２３へと転送する以前に、拒否することが可能となる。

第１の実施形態にかかるネットワーク管理システム１の全体構成を示す概念図 第１の実施形態にかかる連携制御装置３０の構成を示すブロック図 ユーザ情報記憶部３２Ａで記憶保持している情報とその内容との一例を示す説明図 ユーザ在室状態記憶部３２Ｂに記憶される情報とその内容との一例を示す説明図 ユーザ認証状態記憶部３２Ｃに記憶される情報とその内容との一例を示す説明図 システム情報記憶部３２Ｄで記憶保持している情報とその内容との一例を示す説明図 第１の実施形態にかかる連携制御装置３０による端末数制限処理の手順を示すフローチャート 認証シーケンスを示すタイミングチャート 第３の実施形態にかかるネットワーク管理システム１の全体構成を示す概念図 第３の実施形態にかかる連携制御装置３０の構成を示すブロック図 端末機器情報記憶部３２Ｅに記憶される情報とその内容との一例を示す説明図 ユーザ認証状態記憶部３２Ｃに記憶される情報とその内容との一例を示す説明図 第３の実施形態の連携制御装置３０による端末数制限処理の手順を示すフローチャート

符号の説明

１ ネットワーク管理システム
２ ＩＣカード
１０ 設備系システム
１１ 入室用カードリーダ
１２ 退室用カードリーダ
１３ 入退室コントロールユニット
２０ ネットワーク認証システム
２１ 端末装置
２２ 中継装置
２２Ａ 無線中継装置
２２Ｂ ハブ
２２ａ ポート
２３ 認証サーバ
３０ 連携制御装置
３２ 内部データベース
３２Ａ ユーザ情報記憶部
３２Ｂ ユーザ在室状態記憶部
３２Ｃ ユーザ認証状態記憶部
３２Ｄ システム情報記憶部
３２Ｅ 端末機器情報記憶部
３４ ＲＡＤＩＵＳ認証部
３４Ａ 認証要求中継部
３４Ｂ 要求中継判断部
３４Ｃ 機器設定記憶部
３５ 認証処理部
３６ 端末検索部
３７ ログ記録部

Claims (7)

1. ユーザを一意に特定する第１の被認証情報に基づいたユーザ認証の処理結果に応じて、セキュリティ管理領域におけるユーザの入出を管理する入出管理システムと、
   前記セキュリティ管理領域に設けられた複数の端末装置のそれぞれを処理対象として、ユーザを一意に特定する第２の被認証情報に基づいた認証サーバによるユーザ認証の処理結果に応じて、ネットワークへのアクセスを制限するネットワーク認証システムと
   を相互に連携させる連携制御装置において、
   前記第２の被認証情報と、前記セキュリティ管理領域におけるユーザの入出状態と、前記複数の端末装置のうち、前記認証サーバによってユーザ認証が許可された前記端末装置の数である認証端末カウント数とを、ユーザ毎に関連付けて記憶するユーザ状態記憶手段と、
   ユーザから前記端末装置を介して前記認証サーバに対してなされる、前記第２の被認証情報を用いたネットワークへのアクセス要求を受信した場合には、前記ユーザ状態記憶手段に記憶されている前記第２の被認証情報に関連付けられた前記入出状態および前記認証端末カウント数に基づいて、ユーザに対する前記端末装置の利用認証を行う認証処理手段とを有し、
   前記認証処理手段は、前記利用認証の結果が認証許可の場合には、前記アクセス要求を前記認証サーバに転送し、前記利用認証の結果が認証不許可の場合には、前記アクセス要求を前記認証サーバに転送することを拒否することを特徴とする連携制御装置。
2. 前記第２の被認証情報と、ユーザに対する認証を許可することができる前記端末装置の数である上限認証数とを関連付けて記憶するユーザ情報記憶手段をさらに有し、
   前記認証処理手段は、前記利用認証において、前記第２の被認証情報に基づいて前記ユーザ状態記憶手段および前記ユーザ情報記憶手段を検索し、
   前記ユーザ状態記憶手段の入出状態が、前記セキュリティ管理領域においてユーザが入状態である、かつ、前記ユーザ状態記憶手段の認証端末カウント数が、前記ユーザ情報記憶手段の上限認証数よりも小さい場合には、認証許可との判断を行い、
   前記ユーザ状態記憶手段の入出状態が、前記セキュリティ管理領域においてユーザが出状態である、または、前記ユーザ状態記憶手段の認証端末カウント数が、前記ユーザ情報記憶手段の上限認証数である場合には、認証不許可との判断を行うことを特徴とする請求項１に記載された連携制御装置。
3. 前記ユーザ状態記憶手段は、前記認証サーバによってユーザに対する認証が許可された前記端末装置を特定する端末識別子をさらに関連付けて記憶しており、
   前記認証処理手段は、前記認証サーバによってユーザに対する認証が許可された前記端末装置をネットワークから切断する場合には、前記第２の被認証情報に基づいて前記ユーザ状態記憶手段を検索し、前記第２の被認証情報に関連付けられた端末識別子に該当する前記端末装置を前記ネットワークから切断することを特徴とする請求項１または２に記載された連携制御装置。
4. 前記端末装置のそれぞれは、前記ネットワークに対して中継装置を介して接続されており、
   前記端末識別子は、前記端末装置が接続する前記中継装置に付与されたネットワーク固有の識別子と、前記端末装置が接続する前記中継装置のポート番号とを含むことを特徴とする請求項３に記載された連携制御装置。
5. 前記端末識別子は、前記端末装置に付与された機器固有の識別子をさらに含むことを特徴とする請求項４に記載された連携制御装置。
6. 前記中継装置は、無線を用いて前記複数の端末装置と接続されており、
   前記認証処理手段は、前記認証サーバによってユーザに対する認証が許可された場合、前記ユーザ状態記憶手段の端末識別子に、ユーザに対する認証が許可された端末装置に付与された機器固有の識別子が既に記憶されている場合には、当該端末装置が現在接続する前記中継装置のネットワーク固有の識別子およびポート番号によって従前の情報を更新することを特徴とする請求項５に記載された連携制御装置。
7. 前記セキュリティ管理領域に設けられた複数の端末装置に付与されている機器固有の識別子をそれぞれ記憶した端末機器情報記憶手段をさらに有し、
   前記認証処理手段は、前記利用認証において、前記端末機器情報記憶手段をさらに検索し、
   前記ユーザ状態記憶手段の入出状態が、前記セキュリティ管理領域においてユーザが入状態である、かつ、前記ユーザ状態記憶手段の認証端末カウント数が、前記ユーザ情報記憶手段の上限認証数よりも小さい、かつ、前記端末機器情報記憶手段の機器固有の識別子が、前記アクセス要求を送信した端末装置に付与されている機器固有の識別子と一致する場合には、認証許可との判断を行い、
   前記ユーザ状態記憶手段の入出状態が、前記セキュリティ管理領域においてユーザが出状態である、または、前記ユーザ状態記憶手段の認証端末カウント数が、前記ユーザ情報記憶手段の上限認証数である、または、前記端末機器情報記憶手段の機器固有の識別子が、前記アクセス要求を送信した端末装置に付与されている機器固有の識別子と一致しない場合には、認証不許可との判断を行うことを特徴とする請求項５または６に記載された連携制御装置。

Images