JP2008287302A - ネットワークシステム - Google Patents

Abstract

【課題】
計算機を利用しているユーザを、実際に本人が当該計算機を利用していることを保証しつつ、前記ユーザの座席位置を特定できる在席位置管理システムを提供する。
【解決手段】
ユーザが利用する計算機と、計算機をネットワークに接続する管理者によって管理されたネットワーク接続装置と、ネットワークに接続される在席管理計算機とを備え、ユーザが計算機を利用する際に個人認証書を利用して認証するネットワークにおいて、在席管理計算機は、個人認証書を用いて認証した際に格納されたユーザの一意な識別子により、計算機を利用しているユーザを特定し、計算機のIPアドレスからL3スイッチにより計算機のMacアドレスを取得し、さらにMacアドレスより計算機が接続するL2スイッチのポート番号と取得し、スイッチと接続位置の関係を示す情報に基づいて、ユーザの座席位置を特定する。
【選択図】図１

Description

近年、オフィス・コストの削減手段として、固定席を設けず、複数のユーザで座席を共有するフリーアドレス・オフィスの導入が進められている。フリーアドレス・オフィスの導入により、特に出張者の多い部門では、オフィス・スペースの大幅な縮小が可能であり、オフィス・コストの削減が可能となる。また、固定席をなくすことで無駄な書類の整理がなされる等の効果が期待される。
しかし、固定席を設けない場合、ユーザの座席位置が特定されなくなるため、在席の有無の確認や、Face-to-Faceでの会話が必要な場合に、毎回目的とするユーザがどこに座っているかを特定する必要があるという課題がある。そのため、ユーザの座席位置を特定し表示するシステムが提案されている。
また在席位置特定技術として例えば特許文献１に記載の技術が提案されている。

特開２００２−２５９６４８号公報

ユーザの位置特定の方式として、ユーザが使用する機器のMACアドレスとユーザのIDとを予め対応付けたデータベースを維持し、そのデータベースを用いてユーザの座席位置を特定する方式がある。

しかし、MACアドレスにて利用する機器、利用ユーザを特定する場合、実際に、そのMACアドレスを持つ計算機を利用するユーザが異なるユーザであったとしても、当該計算機を持つユーザが接続していること判断してしまい、ユーザの座席位置に正確性がなくなるという第１の課題がある。

また、ユーザの座席位置の特定において、他者が操作できる機器等を用いて実施する場合では、特定された位置の信頼性が低下するという第２の課題がある。

また、特許文献１ではユーザ毎に固定的に割当てられたＩＰアドレスを利用しているが、必ずしも利用ユーザの正当性を担保できない。

また、特許文献１ではユーザの座席位置特定の際にＤＨＣＰサーバを利用しているが、これではＤＨＣＰサーバとの連携が必要となりシステムの複雑さが増す。

また、特許文献１にはクライアント端末が接続するスイッチのポート番号の取得の方法が明確ではない。

上記課題を解決するため、本発明の座席位置特定システムにおいて、
第１の課題を解決する手段として、ユーザが計算機を利用する際に個人証明書を利用して認証された際に、計算機に格納されたユーザ識別子を用い、当該計算機を利用するユーザを一意に特定する。

第２の課題を解決する手段として、在席管理サーバが、ユーザが利用する計算機のIPアドレスを用いて、在席位置を特定する際に、ネットワーク管理者によって管理されているL3スイッチより、当該IPアドレスを付与されたネットワークインタフェースのMACアドレスを取得し、前記取得したMACアドレスを用いて、ネットワーク管理者によって管理されているL2スイッチよりユーザが利用する計算機が接続するポートの番号を取得することで、ユーザの座席位置を特定する。

本発明によれば、個人証明書によりセキュアに認証されたユーザ識別子を用いることで、計算機を利用しているユーザを一意に特定することが可能となる。
また、ネットワーク管理者により管理されたネットワーク機器からの取得できる情報のみでユーザの座席位置を特定することで、特定された座席位置の信頼を高めることが出来る。

以下、本発明の実施形態について図面を参照して説明する。

本実施例では、個人認証書を用いたユーザ認証により、ユーザがシンクライアントの使用を開始すると共に、在席管理サーバがユーザの座席位置を特定する方式について説明する。

図１は、本発明による座席位置特定システムの一実施例を示す。在席管理サーバ１０は、現在ネットワークに接続しているユーザの在席位置情報を管理するサーバである。１１は、各エリア毎に割り付けられたＩＰアドレスの範囲を格納するＩＰセグメント・データベースである。前記エリアとは、オフィスの各拠点の階数毎程度に分けられる範囲であり、各エリアに配布されるＩＰアドレスの範囲は、それぞれ異なる。

図２に、ＩＰセグメント・データベース１１の構成例を示す。ＩＰセグメント・データベース１１は、ＩＰセグメント・データベースエントリ１０１の集合から構成される。ＩＰセグメント・データベースエントリ１０１は、さらに実際のデータを格納するための複数のフィールドから構成される。エリアＩＤ１０２は、前記エリア毎に、在席管理システム内で一意に割り付けられた識別子を格納するためのフィールドである。ＩＰアドレス（始）１０３は、当該エリアに割り付けられたＩＰアドレスの範囲のうち、始まりのアドレスを格納するためのフィールドである。ＩＰアドレス（末）１０４は、当該エリアに割り付けられたＩＰアドレスの範囲のうち、末尾のアドレスを格納するためのフィールドである。

スイッチ・データベース１２は、オフィス内の一定の範囲で区切られた各エリアに配置されているスイッチのＩＰアドレスを格納するデータベースである。

１３は、システム内に配置されているＬ２スイッチの各ポート番号が、各エリアのどの位置に存在するかを示す物理的アドレスを格納したスイッチ位置・データベースである。前記格納される物理アドレスとしては、スイッチの各ポートに接続されたケーブルが配線される机の番号がある。また各エリアにおいて、エリアをある特定の範囲毎に区切り、それぞれの範囲に付与した番号でも良いし、エリア内において各スイッチのポートに接続されたケーブルが配線されている先の座標位置でもよい。

１４は、現状のユーザの在席位置やユーザが利用しているシンクライアントの情報等を格納するユーザ情報・データベースである。

Ｌ３スイッチ２０は、各エリア毎もしくは複数のエリアを束ねるネットワーク位置に配置されるスイッチであり、配下のネットワークに接続されたシンクライアントにデータを転送するために、各シンクライアントのＩＰアドレスから当該ＩＰアドレスを付与されたネットワークインタフェースに付与されたＭＡＣアドレスを解決するためのアドレス変換テーブルを持ち、前記アドレス変換テーブルからＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）を用いて、前記アドレス変換テーブルの情報を取得することが可能であるスイッチである。

Ｌ２スイッチ２１は、各エリア毎に配置されているスイッチであり、当該スイッチに接続されたシンクライアントにデータを転送するために、当該シンクライアントのネットワークインタフェースに付与されたＭＡＣアドレスと、当該ＭＡＣアドレスを持つネットワークインタフェースが接続するスイッチの番号との対応を格納するテーブルを持つ。前記シンクライアントのＭＡＣアドレスからＳＮＭＰを用いて、前記接続するポート番号を取得することが可能なスイッチである。

シンクライアント３０は、ハードディスクを内蔵しないネットワークに依存したクライアント・システムである。シンクライアント３０では、アプリケーションを利用するため、ネットワークを介して存在するブレードＰＣ３１に接続し、ブレードＰＣ３１上で実行されるアプリケーションの画面をシンクライアント３０にて表示することで実現される。

シンクライアント３０と、ブレードＰＣ３１との接続の際には、ユーザ各自が持っている個人証明書４０を利用して接続するユーザの正当性を確認する。さらに、個人証明書４０にて認証することで、当該ユーザ本人が接続していることの保障がなされる。また、シンクライアント３０が、ブレードＰＣ３１に接続する際に個人証明書内に格納されている各ユーザ毎に割当られたユーザ識別子が、シンクライアント３０からブレードＰＣ３１に送信され、ブレードＰＣ３１にユーザ識別子が格納される。ここで、ユーザ識別子の例としては、各人に割当てられたＬＤＡＰ番号がある。

ブレードＰＣ３１には、ユーザの接続状態を在席管理サーバに送信するためのプログラムがインストールされている。図３は、ブレードＰＣ３１にインストールされた前記プログラムの処理の実施例を示すフローチャートである。

前記プログラムは、定期的にシンクライアントの状態を監視する（１０００）。ここで、シンクライアントの状態とは、シンクライアントがブレードＰＣ３１と接続し通信を行っている状態（接続中）、シンクライアントの画面がロックされている、もしくはスクリーンセーバが起動している状態（離席中）、シンクライアント３０と、ブレードＰＣ３１との間の通信セッションが存在しない状態（切断中）等である。

ブレードＰＣ３１では、直前のシンクライアントの状態を記憶しており、直前の状態と、取得したシンクライアントとの状態が異なるか否かを判定する（１００１）。

シンクライアントの状態が、直前の状態と異なる場合、ブレードＰＣに格納されたユーザ識別子を取得し（１００３）、さらにシンクライアントの状態が接続中、もしくは離席の場合には、シンクライアントのＩＰアドレスを取得する（１００４）。そして、前記取得したユーザ識別子とシンクライアントのＩＰアドレスと、その他ユーザ情報を在席管理サーバに送信する（１００５）。ここで、その他ユーザ情報としては、ブレードＰＣ３１にインストールされているプログラムのバージョン番号、または、シンクライアントが自身が持つネットワークインタフェースに付与されているＭＡＣアドレスを個人証明書による認証時に、ブレードＰＣ側に送信できる機能を持つ、ブレードＰＣ側にて前記ＭＡＣアドレスを格納している場合には、ＭＡＣアドレスがある。また、前記取得したシンクライアントの状態と、状態が変化した時刻とを、直前状態として記憶する。

シンクライアントの状態が、直前の状態と同じ場合、現在の時刻と以前に状態が変化した時刻との差を計算する。そして、時刻の差がある定めた時間よりも大きい場合には、シンクライアントの状態が直前の状態と異なる場合と同様に、在席管理サーバへシンクライアンへ情報を送信する。

次に、図４に在席管理サーバ１０の処理の実施例を示すフローチャートを示す。在席管理サーバ１０は、ブレードＰＣからのユーザ情報を監視する（２０００）。ブレードＰＣからのユーザ情報の有無を判断し（２００１）、ブレードＰＣからのユーザ情報が存在しない場合には、ブレードＰＣからのユーザ情報の監視（２０００）に戻る。

ブレードＰＣから送信されたユーザ情報が存在する場合には、前記ブレードＰＣから送信されたユーザ情報からユーザの状態を取り出す（２００２）。ユーザの状態を判断する（２００３）。

シンクライアントの状態が、切断中の場合、在席管理サーバ１０は、前記ブレードＰＣから送信されたユーザの情報に含まれるユーザ識別子にて識別されるユーザの状態を切断中に更新し（２０１０）、ブレードＰＣから送信されるユーザ情報の監視（２０００）に戻る。

シンクライアントの状態が、在席中もしくは離席中の場合には、ブレードＰＣから受信したユーザ情報からＩＰアドレスを取り出し、取り出したＩＰアドレスを用いて、ＩＰセグメントＤＢより当該ＩＰアドレスが含まれるＩＰセグメントを検索し、当該セグメントを識別するエリアＩＤを取得する（２００４）。次に、取得したエリアＩＤを用いて、当該エリアに配置されているＬ３スイッチ、Ｌ２スイッチのＩＰアドレスを取得する（２００５）。

それから、シンクライアントのＩＰアドレスから、当該ＩＰアドレスを付与されたネットワークインタフェースに付与されたＭＡＣアドレスを取得するため、ＩＰアドレスをキーとして、ＳＮＭＰにてＬ３スイッチに問合せ、応答を受信することにより、対応するＭＡＣアドレスを取得する（２００６）。ここで、ブレードＰＣより送信されるユーザ情報に当該シンクライアントのＭＡＣアドレスが含まれている場合には、Ｌ３スイッチよりＭＡＣアドレスを取得する必要はない。

取得したＭＡＣアドレスより、当該エリアのＬ２スイッチに対して、ＳＮＭＰにて当該ＭＡＣアドレスを持つインタフェースが接続するポート番号を問合せ、接続するポート番号を得る（２００７）。

次に、取得したポート番号とスイッチのＩＰアドレスをキーとして、スイッチ位置・データベースより、当該ポートに割当てられた位置を示す識別子を取得する（２００８）。

そして、ユーザ情報・データベースの当該シンクライアントを利用しているユーザの識別子にて識別されるエントリに対して、当該シンクライアントのＩＰアドレス、ＭＡＣアドレス、当該シンクライアントが接続するスイッチのＩＰアドレス、ポート番号、前記スイッチ位置・データベースより取得したユーザが接続する位置を示す識別子、当該シンクライアントの状態等を登録する（２００９）。

次に図５を参照して、図１に示したシンクライアント３０−１が接続した場合の在席管理システムの動作を示す。ここで、シンクライアント３０−１には、ＩＰアドレスとして１０．０．１．１が割り当てられているとする。また、ＩＰセグメント・データベースには、図２に示したセグメント情報が登録されているものとする。

まず、ユーザがシンクライアントを立ち上げた場合、個人証明書を用いて当該シンクライアントに割当てられたブレードＰＣに対してユーザ認証を実施する（Ｓ２０１）。認証の結果、当該シンクライアントを利用するユーザの正当性が確認された場合、当該シンクライアントのブレードＰＣへの接続が許可され、以降ブレードＰＣ上で実行されるアプリケーションが利用できるようになる（Ｓ２０２）。ここで、ブレードＰＣ側では、シンクライアントを利用しているユーザ認証後、当該ユーザを識別するためのユーザ識別子をブレードＰＣに保存する。

シンクライアントの状態を監視するブレードＰＣは、シンクライアントの接続を検知し、ブレードＰＣに格納されているユーザ識別子、シンクライアントの通信情報から取得できるシンクライアントに付与されたＩＰアドレス（本実施例では、１０．０．１．１）、シンクライアントの状態（接続中）を在席管理サーバ側に送信する（Ｓ２０３）。

ブレードＰＣからのユーザ情報を受信した在席管理サーバは、ＩＰセグメント・データベースよりシンクライアントのＩＰアドレス（１０．０．１．１）が所属するセグメントのエリアＩＤである２を取得する（Ｓ２０４、Ｓ２０５）。

次に、取得したエリアＩＤである２をキーとして、スイッチ・データベースより、当該エリアに配置されているＬ３スイッチ、Ｌ２スイッチのＩＰアドレスを取得する（Ｓ２０６、Ｓ２０７）。

Ｌ３スイッチに対して、シンクライアントのＩＰアドレス１０．０．１．１をキーとして、ＳＮＭＰにて当該ＩＰアドレスに対応するＭＡＣアドレスを取得する。具体的には、ＩＰ−ＭＩＢのｉｐＮｅｔＴｏＭｅｄｉａＰｈｙＡｄｄｒｅｓｓ（１．３．６．１．２．１．４．２２．１．２）にて識別される、Ｌ３スイッチに格納されているＩＰアドレスから物理アドレスへのマッピングテーブル内の情報を得ることにより、実現される（Ｓ２０９、Ｓ２１０）。

それから、取得したＭＡＣアドレスをキーとして、ＳＮＭＰにて当該ＭＡＣアドレスが接続するスイッチのポート番号を取得する。具体的には、ＢＲＩＤＧＥ−ＭＩＢの、ｄｏｔ１ｄＴｐＦｄｂＰｏｒｔ（１．３．６．１．２．１．１７．４．３．１．２）にて識別されるＭＩＢ情報より取得する（Ｓ２１０、Ｓ２１１）。

次に、取得したポート番号とスイッチのＩＰアドレスをキーとして、スイッチ位置・データベースより、当該ポートに割当てられた位置を示す識別子を取得する（Ｓ２１２、Ｓ２１３）。

そして、ユーザ情報・データベースの当該シンクライアントを利用しているユーザの識別子にて識別されるエントリに対して、当該シンクライアントのＩＰアドレス、ＭＡＣアドレス、当該シンクライアントが接続するスイッチのＩＰアドレス、ポート番号、前記スイッチ位置・データベースより取得したユーザが接続する位置を示す識別子、当該シンクライアントの状態、ユーザ情報を登録した時刻を登録する（Ｓ２１４、Ｓ２１５）。

本実施例の変形例では、ＩＰアドレスからＭＡＣアドレスを取得する際に、Ｌ３スイッチからではなく、各エリアにそれぞれＰＣを配置し、当該シンクライアントが接続するＩＰセグメントに、配置されたＰＣから当該シンクライアントのＩＰアドレスに対して、ｐｉｎｇを実行した後、ＡＲＰテーブルを参照し、当該ＩＰアドレスに対応するＭＡＣアドレスを取得する方式がある。

以上、第１の実施例によれば、個人証明書によりセキュアに認証されたユーザ識別子を用いることで、計算機を利用しているユーザを一意に特定し、ネットワーク管理者により管理されたネットワーク機器からの取得できる情報のみでユーザの座席位置を特定することで、特定された座席位置の信頼を高めることが出来る。

ユーザの在席する位置を正確に把握することで、利用者がコミュニケーションを取りたい相手とのコミュニケーション手段を適切に選択することが可能となり、業務の生産性が向上する。

座席位置特定システムの構成例を示す図である。 在席管理システムにおけるＩＰセグメント・データベースの構成例を示す図である。 在席管理システムにおけるブレードＰＣの処理のフローチャートを示す図である。 在席管理システムにおける在席管理サーバの処理のフローチャートを示す図である。 在席管理システムにおいて、ユーザがシンクライアントを接続してから、当該ユーザの座席位置を特定するまでの処理のシーケンスを示す図である。

符号の説明

１０ 在席管理サーバ
１１ IPセグメント・データベース
１２ スイッチ・データベース
１３ スイッチ位置・データベース
１４ ユーザ情報・データベース
２０ L3スイッチ
２１ L2スイッチ
３０ シンクライアント
３１ ブレードPC
４０ 個人証明書。

Claims (4)

1. ユーザが使用するクライアント装置と、該クライアント装置及びネットワークに接続されたネットワーク接続装置と、該クライアント装置が該ネットワークを介して接続する計算機と、該ネットワークに接続される在席管理計算機とを備えたネットワークシステムであって、
   前記クライアント装置は、前記ユーザの所有する個人認証書を用いて前記計算機との認証手続を行い、該認証が完了すると該クライアント装置が前記計算機に前記ユーザのユーザ識別情報を送信し、
   前記計算機は、
   前記ユーザ識別情報を受信し、前記クライアント装置のＩＰアドレスを取得し、前記在席管理計算機に前記ＩＰアドレスと前記ユーザ識別情報を送信し、
   前記在席管理計算機は、
   自装置が管理するＩＰセグメントのＬ３及びＬ２スイッチの情報と該Ｌ３及びＬ２スイッチに接続されている装置のＩＰアドレスとの対応を示すＩＰセグメント情報と、前記Ｌ２スイッチのＩＰアドレス及びポート番号と該Ｌ２スイッチの該ポートに接続されている装置の位置との対応を示すスイッチ位置情報を備え、前記ユーザ識別情報と前記ＩＰアドレスを受信し、該ＩＰアドレスと前記ＩＰセグメント情報を用いて前記クライアント装置が接続する前記ＩＰセグメントの前記Ｌ３及びＬ２スイッチの情報を取得し、前記Ｌ３スイッチから前記ＩＰアドレスを付与されたインタフェースが持つハードウェア識別子を取得し、前記ハードウェア識別子から前記Ｌ２スイッチのＩＰアドレスとポート番号を取得し、前記取得したＬ２スイッチのＩＰアドレスとポート番号と前記スイッチ位置情報を用いて前記クライアント装置の位置を特定し、前記クライアント装置と前記ユーザの識別情報とを対応付けて記憶装置に記憶することを特徴とするネットワークシステム。
2. 請求項１記載のネットワークシステムであって、
   前記計算機は、前記個人認証書により認証された前記ユーザの識別子を記憶装置に記憶することを特徴とするネットワークシステム。
3. 請求項１記載のネットワークシステムであって、
   前記計算機は、前記クライアント装置または前記ユーザの状況が変化した場合に、自装置が保持する前記ユーザの識別子、該クライアント装置のＩＰアドレス、及び該クライアント装置の状態を前記在席管理計算機に送信することを特徴とするネットワークシステム。
4. 請求項１記載のネットワークシステムであって、
   前記在席管理計算機は、前記ネットワーク接続装置から前記クライアント装置のＩＰアドレスとＭＡＣアドレスを取得し、該ＭＡＣアドレスから前記クライアント装置が接続する前記ネットワーク接続装置のポート番号を取得することを特徴とするネットワークシステム。

Images