JP2018045614A - 入退管理システム - Google Patents

Abstract

【課題】 サーバがコントローラとの通信を実行不可能である場合においても、ユーザの入退を適切に管理し得る技術を提供する。【解決手段】 サーバ１０がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行可能である状態）では、サーバ１０が判定処理を行うことにより、各エリアＡ１〜Ａ３におけるユーザの入退管理を行う。サーバ１０がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行不可能であり、かつ、コントローラ１００がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行可能である状態では、コントローラ１００が判定処理を行うことにより、各エリアＡ１〜Ａ３におけるユーザの入退管理を行う。【選択図】図１

Description

本明細書で開示する技術は、入退管理システムに関する。

特許文献１には、管理対象のエリアへのユーザの入退（即ち入場及び退出）を管理するためのコントローラが開示されている。このコントローラは、ユーザが所持するＩＣカードを読み取るカードリーダと、制御部と、管理対象のエリアの出入口を開閉するための電気錠と、を備える。制御部は、カードリーダがＩＣカードから読み取ったＩＤを受信すると、ＩＤを用いて解錠可否の判定処理を実行し、解錠可と判定される場合に、解錠を許可する信号を電気錠に送信する。

特開２０１１−１４５７４６号公報

このようなコントローラを用いてユーザの入退を管理する場合において、カードリーダによって読み取られたＩＤを用いた解錠可否の判定処理を、コントローラの制御部ではなくコントローラと通信可能に接続されたサーバによって行う方式が採用される場合がある（以下では、サーバ判定方式と呼ぶ場合がある）。サーバ判定方式を採用することにより、例えば、１個のエリア内の２個の出入口に対応する２個のコントローラが存在する場合等においても、サーバが判定処理を集中的に行うことによって、いわゆるアンチパスバック制御（即ち、当該ＩＤの入場（退出）記録がない場合に退出（入場）を許可しない制御）を適切に行うことが可能になる。

しかしながら、サーバ判定方式を採用した場合において、サーバがコントローラとの通信を実行できなくなる場合がある。特に、サーバがアンチパスバック制御を行う場合に、サーバがコントローラとの通信を実行できないと、管理対象のエリアにおいて、いわゆる閉じ込め状態（即ち退出できない状態）や入場できない状態が発生するおそれがある。即ち、サーバがコントローラとの通信を実行できないと、ユーザの入退を適切に管理することができなくなるおそれがある。

本明細書では、サーバがコントローラとの通信を実行不可能である場合においても、ユーザの入退を適切に管理し得る技術を提供する。

本明細書は、サーバと、第１のコントローラと、第２のコントローラと、を備える入退管理システムを開示する。サーバは、ユーザが所持する記録媒体に記録されている識別情報毎の入退管理情報を含むサーバデータベースを記憶するサーバメモリと、サーバ制御部と、を備えている。第１のコントローラは、第１のユーザが所持する第１の記録媒体に記録された第１の識別情報を読み取る第１の読取部と、第１のエリアの出入口を開閉するための第１の電気錠と、第１の制御部と、第１のメモリと、を備えている。第２のコントローラは、第２のユーザが所持する第２の記録媒体に記録された第２の識別情報を読み取る第２の読取部と、第２のエリアの出入口を開閉するための第２の電気錠と、第２の制御部と、第２のメモリと、を備えている。（Ａ）入退管理システムが、サーバが第１のコントローラ及び第２のコントローラとの間で通信を実行可能である第１の状態で動作する場合において、第１の制御部は、第１の読取部によって読み取られた第１の識別情報をサーバに送信し、第１の識別情報の送信後、サーバから第１の判定結果情報を受信し、第１の判定結果情報が解錠可を示す場合に第１の電気錠を解錠する。第２の制御部は、第２の読取部によって読み取られた第２の識別情報をサーバに送信し、第２の識別情報の送信後、サーバから第２の判定結果情報を受信し、第２の判定結果情報が解錠可を示す場合に第２の電気錠を解錠する。サーバ制御部は、第１のコントローラから第１の識別情報を受信すると、サーバデータベース内の第１の識別情報に対応する入退管理情報である第１種の入退管理情報を参照して、第１の電気錠の解錠可否を判定する第１の判定処理を実行し、第１の判定処理の結果に基づいて、サーバデータベース内の第１種の入退管理情報を更新し、第１の判定処理の結果を示す第１の判定結果情報を第１のコントローラに送信し、第２のコントローラから第２の識別情報を受信すると、サーバデータベース内の第２の識別情報に対応する入退管理情報である第２種の入退管理情報を参照して、第２の電気錠の解錠可否を判定する第２の判定処理を実行し、第２の判定処理の結果に基づいて、サーバデータベース内の第２種の入退管理情報を更新し、第２の判定処理の結果を示す第２の判定結果情報を第２のコントローラに送信する。（Ｂ）入退管理システムが、サーバが第１のコントローラ及び第２のコントローラとの間で通信を実行不可能であるとともに、第１のコントローラが第２のコントローラとの間で通信を実行可能である第２の状態で動作する場合において、第１の制御部は、第１のメモリに、識別情報毎の入退管理情報を含む第１のデータベースを記憶させ、第１の読取部によって第１の識別情報が読み取られる場合に、第１のデータベース内の第１種の入退管理情報を参照して、第１の判定処理を実行し、第１の判定処理の結果に基づいて、第１のデータベース内の第１種の入退管理情報を更新し、第１の判定処理の結果が解錠可を示す場合に、第１の電気錠を解錠し、第２のコントローラから第２の識別情報を受信すると、第１のデータベース内の第２種の入退管理情報を参照して、第２の判定処理を実行し、第２の判定処理の結果に基づいて、第１のデータベース内の第２種の入退管理情報を更新し、第２の判定処理の結果を示す第２の判定結果情報を第２のコントローラに送信する。第２の制御部は、第２の読取部によって読み取られた第２の識別情報を第１のコントローラに送信し、第２の識別情報の送信後、第１のコントローラから第２の判定結果情報を受信する。

上記の構成によると、サーバが第１及び第２のコントローラとの間で通信を実行可能である第１の状態では、サーバが第１及び第２の判定処理を行うことにより、第１及び第２のエリアにおけるユーザの入退管理を行うことができる。また、サーバが第１及び第２のコントローラとの間で通信を実行不可能であり、かつ、第１のコントローラが第２のコントローラとの間で通信を実行可能である第２の状態では、第１のコントローラが第１及び第２の判定処理を行うことにより、第１及び第２のエリアにおけるユーザの入退管理を行うことができる。従って、上記の入退管理システムによると、サーバが各コントローラとの通信を実行不可能である場合においても、ユーザの入退を適切に管理し得る。

入退管理システム２の概要を示す。 入退管理システム２のブロック図を示す。 正常状態における各装置の動作及びサーバ１０が他機と通信不可能な状態に移行した場合の各装置の動作を表わすシーケンス図を示す。 図３の続きであって、さらにコントローラ１００が他機と通信不可能な状態に移行した場合の各装置の動作を表わすシーケンス図を示す。 図４の続きであって、コントローラ１００が復旧する場合の各装置の動作を表わすシーケンス図を示す。 図５の続きであって、さらにサーバ１０が復旧する場合の各装置の動作を表わすシーケンス図を示す。 図４の続きの他の例であって、サーバ１０が復旧する場合の各装置の動作を表わすシーケンス図を示す。 非常事態の発生が検出される場合の各装置の動作を表わすシーケンス図を示す。 コントローラ１００に出力指示が入力される場合のシーケンス図を示す。

以下に説明する実施例の主要な特徴を列記しておく。なお、以下に示す技術要素は、それぞれ独立した技術要素であって、単独であるいは各種の組み合わせによって技術的有用性を発揮するものであり、出願時請求項記載の組み合わせに限定されるものではない。

（特徴１）入退管理システムが第３のコントローラをさらに備えていてもよい。第３のコントローラは、第３のユーザが所持する第３の記録媒体に記録された第３の識別情報を読み取る第３の読取部と、第３のエリアの出入口を開閉するための第３の電気錠と、第３の制御部と、第３のメモリと、を備えていてもよい。（Ａ´）第１の状態では、サーバはさらに第３のコントローラと通信可能であってもよい。入退管理システムが第１の状態で動作する場合において、第３の制御部は、第３の読取部によって読み取られた第３の識別情報をサーバに送信し、第３の識別情報の送信後、サーバから第３の判定結果情報を受信し、第３の判定結果情報が解錠可を示す場合に第３の電気錠を解錠してもよい。サーバ制御部は、さらに、第３のコントローラから第３の識別情報を受信すると、サーバデータベース内の第３の識別情報に対応する入退管理情報である第３種の入退管理情報を参照して、第３の電気錠の解錠可否を判定する第３の判定処理を実行し、第３の判定処理の結果に基づいて、サーバデータベース内の第３種の入退管理情報を更新し、第３の判定処理の結果を示す第３の判定結果情報を第３のコントローラに送信してもよい。（Ｂ´）第２の状態では、サーバはさらに第３のコントローラと通信不可能であり、かつ、第１のコントローラが第３のコントローラとの間で通信を実行可能であってもよい。入退管理システムが第２の状態で動作する場合において、第３の制御部は、第３の読取部によって読み取られた第３の識別情報を第１のコントローラに送信し、第３の識別情報の送信後、第１のコントローラから第３の判定結果情報を受信してもよい。第１の制御部は、さらに、第３のコントローラから第３の識別情報を受信すると、第１のデータベース内の第３種の入退管理情報を参照して、第３の判定処理を実行し、第３の判定処理の結果に基づいて、第１のデータベース内の第３種の入退管理情報を更新し、第３の判定処理の結果を示す第３の判定結果情報を第３のコントローラに送信してもよい。（Ｃ）入退管理システムが、サーバが第１のコントローラ、第２のコントローラ、及び、第３のコントローラとの間で通信を実行不可能であり、かつ、第１のコントローラが第２のコントローラ及び第３のコントローラとの間で通信を実行不可能であり、かつ、第２のコントローラが第３のコントローラとの間で通信を実行可能である、第３の状態で動作する場合に、第２の制御部は、第２のメモリに、識別情報毎の入退管理情報を含む第２のデータベースを記憶させ、第２の読取部によって第２の識別情報が読み取られる場合に、第２のデータベース内の第２種の入退管理情報を参照して、第２の判定処理を実行し、第２の判定処理の結果に基づいて、第２のデータベース内の第２種の入退管理情報を更新し、第２の判定処理の結果が解錠可を示す場合に、第２の電気錠を解錠し、第３のコントローラから第３の識別情報を受信すると、第２のデータベース内の第３種の入退管理情報を参照して、第３の判定処理を実行し、第３の判定処理の結果に基づいて、第２のデータベース内の第３種の入退管理情報を更新し、第３の判定処理の結果を示す第３の判定結果情報を第３のコントローラに送信してもよい。第３の制御部は、第３の読取部によって読み取られた第３の識別情報を第２のコントローラに送信し、第３の識別情報の送信後、第２のコントローラから第３の判定結果情報を受信してもよい。

この構成によると、第１の状態では、サーバが第１〜第３の判定処理を行うことにより、第１〜第３のエリアにおけるユーザの入退管理を行うことができる。また、第２の状態では、第１のコントローラが第１〜第３の判定処理を行うことにより、第１〜第３のエリアにおけるユーザの入退管理を行うことができる。そして、サーバが第１〜第３のコントローラとの間で通信を実行不可能であり、かつ、第１のコントローラが第２及び第３のコントローラとの間で通信を実行不可能であり、かつ、第２のコントローラが第３のコントローラとの間で通信を実行可能である第３の状態では、第２のコントローラが第２及び第３の判定処理を行うことにより、第２及び第３のエリアにおけるユーザの入退管理を行うことができる。従って、上記の構成によると、さらに第１のコントローラが他のコントローラとの通信を実行不可能である場合においても、ユーザの入退を適切に管理し得る。

（特徴２）（Ｄ）入退管理システムが、第３の状態から、第２の状態に移行する場合に、第２の制御部は、第２のメモリに記憶された第２のデータベースを第１のコントローラに送信してもよい。第１の制御部は、第２のコントローラから第２のデータベースを受信し、第２のデータベースを利用して、第１のメモリに記憶されている第１のデータベースを更新してもよい。

この構成によると、第３の状態から第２の状態に移行する場合、即ち、第１のコントローラが、第２及び第３のコントローラとの間で通信を実行不可能な状態から通信を実行可能な状態に移行する場合において、第２のコントローラは、第１のコントローラに、第２のデータベースを送信する。第１のコントローラは、第２のデータベースを利用して更新された第１のデータベースを利用して、第１〜第３の判定処理を行うことができる。即ち、第１のコントローラは、第２のデータベースに含まれる入退管理情報が反映された第１のデータベースを利用して、第１〜第３の判定処理を行うことができる。

（特徴３）（Ｅ）入退管理システムが、第２の状態から第１の状態に移行する場合に、第１の制御部は、第１のメモリに記憶された第１のデータベースをサーバに送信してもよい。サーバ制御部は、第１のコントローラから第１のデータベースを受信し、第１のデータベースを利用して、サーバメモリに記憶されているサーバデータベースを更新してもよい。

この構成によると、第２の状態から第１の状態に移行する場合、即ち、サーバが、第１及び第２のコントローラとの間で通信を実行不可能な状態から通信を実行可能な状態に移行する場合において、第１のコントローラは、サーバに、第１のデータベースを送信する。サーバは、第１のデータベースを利用して更新されたサーバデータベースを利用して、第１及び第２の判定処理を行うことができる。即ち、サーバは、第１のデータベースに含まれる入退管理情報が反映されたサーバデータベースを利用して、第１及び第２の判定処理を行うことができる。

（特徴４）（Ｆ）入退管理システムが、第３の状態から第１の状態に移行する場合に、第２の制御部は、第２のメモリに記憶された第２のデータベースをサーバに送信してもよい。サーバ制御部は、第２のコントローラから第２のデータベースを受信し、第２のデータベースを利用して、サーバメモリに記憶されているサーバデータベースを更新してもよい。

この構成によると、第３の状態から第１の状態に移行する場合、即ち、サーバが、第１〜第３のコントローラとの間で通信を実行不可能な状態から通信を実行可能な状態に移行する場合において、第２のコントローラは、サーバに、第２のデータベースを送信する。サーバは、第２のデータベースを利用して更新されたサーバデータベースを利用して、第１〜第３の判定処理を行うことができる。即ち、サーバは、第２のデータベースに含まれる入退管理情報が反映されたサーバデータベースを利用して、第１〜第３の判定処理を行うことができる。

（特徴５）サーバ制御部は、非常事態の発生に関係する特定の条件が成立する場合に、サーバメモリ内の情報を、外部端末に対して出力してもよい。第１の制御部は、特定の条件が成立する場合に、第１のメモリ内の情報を、外部端末に対して出力してもよい。第２の制御部は、特定の条件が成立する場合に、第２のメモリ内の情報を、外部端末に対して出力してもよい。

この構成によると、非常事態が発生する場合に、サーバメモリ、第１のメモリ、及び、第２のメモリ、のそれぞれに記憶されている情報を外部端末に出力させることができる。外部端末の利用者は、非常事態が発生する場合に、外部端末に出力された情報を参照することによって、入退管理システムにおける入退管理状況を確認することができる。

（特徴６）第１のコントローラは、第１の操作部をさらに備えてもよい。第２のコントローラは、第２の操作部をさらに備えてもよい。第１の制御部は、第１の操作部において第１のメモリ内の情報の出力を要求するための第１の指示が入力された後で、第１の読取部によって第１の記録媒体が読み取られる際に、第１の読取部を介して、第１のメモリ内の情報を、第１の記録媒体に対して出力してもよい。第１の制御部は、第２の操作部において第２のメモリ内の情報の出力を要求するための第２の指示が入力された後で、第２の読取部によって第２の記録媒体が読み取られる際に、第２の読取部を介して、第２のメモリ内の情報を、第２の記録媒体に対して出力してもよい。

この構成によると、第１のコントローラは、第１のメモリ内の情報を第１の記録媒体に対して出力することができる。第１のユーザは、第１の記録媒体に出力された第１のメモリ内の情報を、他の装置に読み取らせる等して利用することができる。同様に、第２のコントローラは、第２のメモリ内の情報を第２の記録媒体に対して出力することができる。第２のユーザも、第２の記録媒体に出力された第２のメモリ内の情報を利用することができる。

（実施例）
（システムの構成；図１）
図１に示される入退管理システム２は、エリアＡ１、Ａ２、Ａ３に対するユーザ（例えば図中のユーザＵ等）の入場及び退出を管理するためのシステムである。図１に示されるように、入退管理システム２は、サーバ１０と、コントローラ１００、２００、３００と、管理ＰＣ（Personal Computerの略）４００と、ＩＣ（Integrated Circuitの略）カード５００とを備える。コントローラ１００、２００、３００は、それぞれ、エリアＡ１、Ａ２、Ａ３の出入口に設けられており、扉Ｄ１、Ｄ２、Ｄ３の開閉を制御する。サーバ１０とコントローラ１００、２００、３００と管理ＰＣ４００とは、インターネット４に接続されており、インターネット４を介して相互に通信可能である。また、サーバ１０とコントローラ１００、２００、３００とは、さらにＬＡＮ６に接続されており、ＬＡＮ６を介して相互に通信可能である。ＩＣカード５００は、ユーザＵによって所持されている。ユーザＵは、ＩＣカード５００に記録されているＩＤをコントローラ１００、２００、３００に読み取らせて認証を行うことにより、エリアＡ１、Ａ２、Ａ３に対する入場及び退出を行うことができる。本実施例の入退管理システム２では、いわゆるアンチパスバック制御（即ち、当該ＩＤの入場（退出）記録がない場合に退出（入場）を許可しない制御）が採用されている。なお、図１の例では、ユーザＵが所持するＩＣカード５００のみが図示されているが、実際には、他の多数のユーザが所持する他のＩＣカードも存在している。各ＩＣカードには、所持者であるユーザに対応するＩＤが記録されている。

（サーバ１０の構成；図２）
図２に示すように、サーバ１０は、有線インターフェース１２と、制御部１４と、メモリ１６とを備える。以下では、インターフェースのことを「Ｉ／Ｆ」と記載する。有線Ｉ／Ｆ１２は、インターネット４及びＬＡＮ６に接続されている。制御部１４は、メモリ１６に記憶されているプログラム２０に従って、様々な処理を実行する。メモリ１６は、プログラム２０に加えて、サーバデータベース３０を記憶している。以下では、データベースのことを「ＤＢ」と呼ぶ場合がある。サーバＤＢ３０は、各ユーザのＩＤ毎の入退管理情報を含む。入退管理情報とは、各ＩＤについて、当該ＩＤの各エリアに対する入場及び退出の履歴を示す記録である。制御部１４は、サーバＤＢ３０内のＩＤ毎の入退管理情報を参照して、当該ＩＤの入場及び退出を許可するか否かの判定処理を行う。以下では、判定処理の実行主体である装置のことを「親機」と呼ぶ場合がある。後で説明するように、本実施例では、正常状態（即ち、サーバ１０と各コントローラ１００、２００、３００とのが相互にＬＡＮ６を介して通信を実行可能な状態）には、サーバ１０が親機として動作する。

（コントローラ１００の構成；図２）
コントローラ１００は、上記の通り、図１のエリアＡ１の出入口に設けられており、扉Ｄ１の開閉を制御する制御装置である。図２に示すように、コントローラ１００は、表示部１０２と、操作部１０４と、有線Ｉ／Ｆ１０６と、ＩＣカード通信部１０８と、電気錠１１０と、制御部１２０と、メモリ１３０とを備える。表示部１０２は、様々な情報を表示するためのディスプレイである。操作部１０４は、複数個のキーを備えており、ユーザの操作を受け付ける。有線Ｉ／Ｆ１０６は、インターネット４及びＬＡＮ６に接続されている。ＩＣカード通信部１０８は、ユーザが所持するＩＣカード（例えばＩＣカード５００）との間でＮＦＣ（Near Field Communicationの略）方式に従った近距離無線通信を実行することにより、ＩＣカードに記録されているＩＤを読み取ったり、ＩＣカードに出力ファイルを出力（即ち書き込み）したりするデバイスである。

電気錠１１０は、扉Ｄ１に設けられており、扉Ｄ１を施錠するための錠である。制御部１２０は、電気錠１１０の施錠及び解錠を切り替えることができる。本実施例では、電気錠１１０は、通常時には施錠されている。制御部１２０は、ＩＣカード通信部１０８が読み取ったＩＤを用いて、親機において行われる判定処理の結果が解錠可能を示す場合に、電気錠１１０を解錠する。

制御部１２０は、メモリ１３０内に記憶されているプログラム１４０に従って様々な処理を実行する。メモリ１３０は、プログラム１４０に加えて、順位情報１５０を記憶している。順位情報１５０は、予めメモリ１３０に記憶されている。順位情報１５０は、サーバ１０がコントローラ１００、２００、３００とＬＡＮ６を介して通信不可能な状態である場合に、親機として動作すべき装置の優先順位を示す情報である。順位情報１５０は「１位」を示す。即ち、サーバ１０がコントローラ１００、２００、３００と通信不可能な状態である場合に、コントローラ１００が最初に親機として動作すべきことを示す。

図２では、メモリ１３０が、さらにコントローラＤＢ１６０と読取履歴情報１７０とを記憶している様子を破線で示している。コントローラＤＢ１６０は、コントローラ１００が親機としての動作を開始する際に制御部１２０によって生成される。コントローラＤＢ１６０も、ユーザが所有するＩＣカード（例えばＩＣカード５００）に記録されているＩＤ毎の入退管理情報を含む。コントローラ１００が親機として動作する場合、制御部１２０は、コントローラＤＢ１６０内のＩＤ毎の入退管理情報を参照して、当該ＩＤの入場及び退出を許可するか否かの判定処理を行う。本実施例では、サーバ１０が各コントローラ１００、２００、３００とのＬＡＮ６を介した通信を実行不可能な場合に、コントローラ１００が親機として動作する。読取履歴情報１７０は、サーバ１０以外の装置（例えばコントローラ１００）が親機として動作する場合に、制御部１２０によって記憶される。読取履歴情報１７０には、ＩＣカード通信部１０８がＩＣカードから読み取られたＩＤ等の読取履歴が蓄積される。

（コントローラ２００の構成；図２）
コントローラ２００は、上記の通り、図１のエリアＡ２の出入口に設けられており、扉Ｄ２の開閉を制御する制御装置である。図２に示すように、コントローラ２００は、表示部２０２と、操作部２０４と、有線Ｉ／Ｆ２０６と、ＩＣカード通信部２０８と、電気錠２１０と、制御部２２０と、メモリ２３０とを備える。コントローラ２００の各構成は、コントローラ１００の各構成と基本的に同様である。メモリ２３０は、プログラム２４０と、順位情報２５０とを記憶している。メモリ２３０の記憶内容も基本的にコントローラ１００と同様であるが、順位情報２５０が「２位」を示す点がコントローラ１００とは異なる。

また、図２では、メモリ２３０が、さらにコントローラＤＢ２６０と読取履歴情報２７０とを記憶している様子を破線で示している。コントローラＤＢ２６０は、コントローラ２００が親機としての動作を開始する際に制御部２２０によって生成される。本実施例では、サーバ１０及びコントローラ１００が他機とのＬＡＮ６を介した通信を実行不可能である場合に、コントローラ２００が親機として動作する。読取履歴情報２７０は、サーバ１０以外の装置（例えばコントローラ１００）が親機として動作する場合に、制御部２２０によって記憶される。

（コントローラ３００の構成；図２）
コントローラ３００は、上記の通り、図１のエリアＡ３の出入口に設けられており、扉Ｄ３の開閉を制御する制御装置である。図２に示すように、コントローラ３００は、表示部３０２と、操作部３０４と、有線Ｉ／Ｆ３０６と、ＩＣカード通信部３０８と、電気錠３１０と、制御部３２０と、メモリ３３０とを備える。コントローラ３００の各構成も、コントローラ１００の各構成と基本的に同様である。メモリ３３０は、プログラム３４０と、順位情報３５０とを記憶している。メモリ３３０の記憶内容も基本的にコントローラ１００と同様であるが、順位情報３５０が「３位」を示す点がコントローラ１００とは異なる。

また、図２では、メモリ３３０が、さらにコントローラＤＢ３６０と読取履歴情報３７０とを記憶している様子を破線で示している。コントローラＤＢ３６０は、コントローラ３００が親機としての動作を開始する際に制御部３２０によって生成される。本実施例では、サーバ１０、コントローラ１００、及び、コントローラ２００が他機とのＬＡＮ６を介した通信を実行不可能である場合に、コントローラ３００が親機として動作する。読取履歴情報３７０は、サーバ１０以外の装置（例えばコントローラ１００）が親機として動作する場合に、制御部３２０によって記憶される。

（管理ＰＣ４００の構成；図２）
管理ＰＣ４００は、入退管理システム２の管理者が使用するＰＣである。管理ＰＣ４００は、図示しない表示部、操作部、有線Ｉ／Ｆ、制御部、及び、メモリを備える。管理ＰＣ４００の有線Ｉ／Ｆはインターネット４に接続されている。

（入退管理システム２の各装置の動作；図３〜図９）
続いて、入退管理システム２の各装置の動作を、図３〜図９を参照して説明する。

（入退管理システム２の状態の遷移に伴う一連の動作；図３〜図６）
図３〜図６は、入退管理システム２の状態の遷移に伴う一連の動作の一例を示す。図３の開始時点では、サーバ１０及び各コントローラ１００、２００、３００は、互いにＬＡＮ６を介した通信を実行可能である。以下ではこの状態を「正常状態」と呼ぶ場合がある。正常状態では、サーバ１０が親機として動作する。

この正常状態において、エリアＡ１に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ１００に近づける。この場合、Ｓ１０において、ＩＣカード通信部１０８がＩＣカードと近距離無線通信を行い、ＩＣカードに記録されているＩＤを読み取る。ＩＣカード通信部１０８によって読み取られたＩＤは、制御部１２０に供給される。これにより、制御部１２０はＩＤを取得する。そして、Ｓ１２では、制御部１２０は、有線Ｉ／Ｆ１０６及びＬＡＮ６を介して、Ｓ１０で読み取られたＩＤを親機であるサーバ１０に送信する。

Ｓ１４では、サーバ１０の制御部１４は、コントローラ１００から受信したＩＤについて判定処理を行うとともに、判定結果に基づいて、サーバＤＢ３０内の当該ＩＤに対応する入退管理情報を更新する。具体的には、まず、制御部１４は、コントローラ１００から受信したＩＤと、サーバＤＢ３０内の当該ＩＤに対応する入退管理情報と、を利用して、扉Ｄ１の電気錠１１０の解錠可否を判定する。上記の通り、本実施例の入退管理システム２は、いわゆるアンチパスバック制御を採用する。そのため、例えば、ユーザがエリアＡ１への「入場」を希望する場合において、当該ユーザのＩＤに対応する入退管理情報のうちの最新の入退履歴がいずれかのエリアからの「退出」を示す場合、制御部１４は解錠可能と判断する（即ち、エリアＡ１への入場を認める）。一方、ユーザがエリアＡ１への「入場」を希望する場合において、当該ユーザのＩＤに対応する入退管理情報のうちの最新の入退履歴が例えばエリアＡ１への「入場」を示す場合、当該ユーザは、認証を行わずにエリアＡ１から退出したことになる（即ち何らかの不正が行われた可能性がある）。このような場合、制御部１４は解錠不可能と判断する（即ち、エリアＡ１への入場を認めない）。制御部１４は、上記の判定処理を行った後、判定処理の結果（即ち、解錠可能又は解錠不可能）に基づいて、サーバＤＢ３０内の当該ＩＤに対応する入退管理情報を更新する。

続くＳ１６では、制御部１４は、判定結果（即ち、解錠可能又は解錠不可能）をコントローラ１００に送信する。

コントローラ１００の制御部１２０は、サーバ１０から受信した判定結果に基づいて、電気錠１１０を解錠、又は、施錠状態を維持する。

また、エリアＡ２に対する入退を希望するユーザによって、ＩＣカードがコントローラ２００に近づけられた場合にも、Ｓ１８〜Ｓ２４において、コントローラ２００とサーバ１０との間で、上記のＳ１０〜Ｓ１６と同様の処理が実行される。コントローラ２００の制御部２２０は、サーバ１０から受信した判定結果（Ｓ２４）に基づいて、電気錠２１０を解錠、又は、施錠状態を維持する。

同様に、エリアＡ３に対する入退を希望するユーザによって、ＩＣカードがコントローラ３００に近づけられた場合にも、Ｓ２６〜Ｓ３２において、コントローラ３００とサーバ１０との間で、上記のＳ１０〜Ｓ１６と同様の処理が実行される。この場合も、コントローラ３００の制御部３２０は、サーバ１０から受信した判定結果（Ｓ３２）に基づいて、電気錠３１０を解錠、又は、施錠状態を維持する。

この例では、Ｓ３２の処理の後で、サーバ１０が、ＬＡＮ６を介してコントローラ１００、２００、３００と通信不可能な状態に移行する。以下では、この状態を「第１の通信障害状態」と呼ぶ場合がある。入退管理システム２が第１の通信障害状態に移行した直後において、エリアＡ１に対する入退を希望するユーザが、自身のＩＣカードをコントローラ１００に近づけると、Ｓ３４において、ＩＣカード通信部１０８は、Ｓ１０と同様に、ＩＣカードからＩＤを読み取る。そして、続くＳ３６では、制御部１２０は、読み取られたＩＤをサーバ１０に送信する。

ただし、Ｓ３６の時点では、サーバ１０は、ＬＡＮ６を介した他機との通信を実行できない。そのため、サーバ１０の制御部１４は、コントローラ１００から送信されたＩＤ（Ｓ３６）を受信することができない。そのため、コントローラ１００は、Ｓ３６でＩＤを送信した後、所定のタイムアウト期間が経過する前に、サーバ１０から判定結果を受信できない。なお、図示していないが、サーバ１０の他機との間の通信障害の状況によっては、サーバ１０の制御部１４が、コントローラ１００から送信されたＩＤ（Ｓ３６）を受信できる場合もある。ただし、その場合であっても、通信障害によって、コントローラ１００の制御部１２０は、サーバ１０がコントローラ１００に向けて送信した判定結果を受信することはできない。

Ｓ３８では、コントローラ１００の制御部１２０は、有線Ｉ／Ｆ１０６及びインターネット４を介して、サーバ１０と通信不可能であることを示す通知情報を含む電子メールを、管理ＰＣ４００に送信する。これにより、管理ＰＣ４００を利用する管理者は、サーバ１０に通信障害が発生したことを把握することができる。

続くＳ４０では、制御部１２０は、有線Ｉ／Ｆ１０６及びＬＡＮ６を介して、ＬＡＮ６内のすべてのデバイスに対して、親機変更指示をブロードキャスト送信する。Ｓ４０の親機変更指示は、順位情報が示す順位が「１位」であるデバイス（即ちコントローラ１００）を親機に変更すべき旨の情報を含む。サーバ１０を除くすべてのＬＡＮ６内のデバイス（即ち、コントローラ１００、２００、３００）は、Ｓ４０の親機変更指示を受信する。

この後、Ｓ４２では、制御部１２０は、自機を親機として設定する。即ち、制御部１２０は、メモリ１３０内の設定領域（図示しない）において親機として設定されている装置を、サーバ１０から自機であるコントローラ１００に変更する。

また、Ｓ４４では、コントローラ２００の制御部２２０は、コントローラ１００を親機として設定する。即ち、制御部２２０は、メモリ２３０内の設定領域（図示しない）で親機として設定されている装置を、サーバ１０からコントローラ１００に変更する。

Ｓ４６では、コントローラ３００の制御部３２０は、コントローラ１００を親機として設定する。Ｓ４６の処理の内容はＳ４４と同様である。

Ｓ４８では、親機として動作を開始するコントローラ１００の制御部１２０は、メモリ１３０内にコントローラＤＢ１６０（図２参照）を生成する。

この第１の通信障害状態において、エリアＡ１に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ１００に近づける。この場合、Ｓ５０において、ＩＣカード通信部１０８は、ＩＣカードからＩＤを読み取る。この際、制御部１２０は、ＩＣカード通信部１０８で読み取られたＩＤと読取時刻とを含む情報をメモリ１３０に記憶させる。これにより、メモリ１３０内に読取履歴情報１７０が蓄積されていく。

続くＳ５２では、制御部１２０は、Ｓ５０で読み取られたＩＤについて判定処理を行うとともに、判定結果に基づいて、コントローラＤＢ１６０内の当該ＩＤに対応する入退管理情報を更新する。制御部１２０は、Ｓ５０の判定処理の結果に基づいて、電気錠１１０を解錠、又は、施錠状態を維持する。

また、第１の通信障害状態において、エリアＡ２に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ２００に近づける。この場合、Ｓ５４において、ＩＣカード通信部２０８は、ＩＣカードからＩＤを読み取る。この際、制御部２２０は、ＩＣカード通信部２０８読み取られたＩＤと読取時刻とを含む情報（即ち読取履歴）をメモリ２３０に記憶させる。これにより、メモリ２３０内に読取履歴情報２７０が蓄積されていく。次いで、Ｓ５６では、制御部２２０は、有線Ｉ／Ｆ２０６及びＬＡＮ６を介して、Ｓ５４で読み取られたＩＤを親機であるコントローラ１００に送信する。

Ｓ５８では、コントローラ１００の制御部１２０は、コントローラ２００から受信したＩＤについて判定処理を行うとともに、判定結果に基づいて、コントローラＤＢ１６０内の当該ＩＤに対応する入退管理情報を更新する。続くＳ６０では、制御部１２０は、判定結果（即ち、解錠可能又は解錠不可能）をコントローラ２００に送信する。

コントローラ２００の制御部２２０は、親機であるコントローラ１００から受信した判定結果に基づいて、電気錠２１０を解錠、又は、施錠状態を維持する。

同様に、エリアＡ３に対する入退を希望するユーザによって、ＩＣカードがコントローラ３００に近づけられた場合にも、Ｓ６２〜Ｓ６８において、コントローラ３００とコントローラ１００との間で、上記のＳ６２〜Ｓ６８と同様の処理が実行される。この場合も、コントローラ３００の制御部３２０は、親機であるコントローラ１００から受信した判定結果（Ｓ６８）に基づいて、電気錠３１０を解錠、又は、施錠状態を維持する。

そして、この例では、図３のＳ６８の処理の後で、今度は、さらにコントローラ１００が、ＬＡＮ６を介して、コントローラ２００、３００と通信不可能な状態に移行する。即ち、図３のＳ６８の処理の後で、サーバ１０及びコントローラ１００が、ＬＡＮ６を介して他機と通信不可能な状態に移行する。以下では、この状態を「第２の通信障害状態」と呼ぶ場合がある。入退管理システム２が第２の通信障害状態に移行した直後において、エリアＡ１に対する入退を希望するユーザによって、ＩＣカードがコントローラ２００に近づけられると、図４のＳ８０において、ＩＣカード通信部２０８は、ＩＣカードからＩＤを読み取るとともに、読み取られたＩＤと読取時刻とを含む情報をメモリ２３０に記憶させる。そして、続くＳ８２では、制御部２２０は、読み取られたＩＤをコントローラ１００に送信する。

ただし、Ｓ８２の時点では、コントローラ１００は、ＬＡＮ６を介してコントローラ２００、３００と通信を実行できない。そのため、コントローラ１００の制御部１２０は、コントローラ２００から送信されたＩＤ（Ｓ８２）を受信することができない。そのため、コントローラ２００は、Ｓ８２でＩＤを送信した後、所定のタイムアウト期間が経過する前に、親機であるコントローラ１００から判定結果を受信できない。

Ｓ８４では、コントローラ２００の制御部２２０は、有線Ｉ／Ｆ２０６及びインターネット４を介して、サーバ１０及びコントローラ１００と通信不可能であることを示す通知情報を含む電子メールを、管理ＰＣ４００に送信する。これにより、管理ＰＣ４００を利用する管理者は、サーバ１０及びコントローラ１００の通信状況に障害が発生したことを把握することができる。

続くＳ８６では、制御部２２０は、有線Ｉ／Ｆ１０６及びＬＡＮ６を介して、ＬＡＮ６内のすべてのデバイスに対して、親機変更指示をブロードキャスト送信する。Ｓ８６の親機変更指示は、順位情報が示す順位が「２位」であるデバイス（即ちコントローラ２００）を親機に変更すべき旨の情報を含む。サーバ１０及びコントローラ１００を除くすべてのＬＡＮ６内のデバイス（即ち、コントローラ２００、３００）は、Ｓ８６の親機変更指示を受信する。

この後、Ｓ８８では、制御部２２０は、自機を親機として設定する。即ち、制御部２２０は、メモリ２３０内の設定領域（図示しない）において、親機として設定されている装置を、コントローラ１００から自機であるコントローラ２００に変更する。

また、Ｓ９０では、コントローラ３００の制御部３２０は、コントローラ２００を親機として設定する。即ち、制御部３２０は、メモリ３３０内の設定領域（図示しない）において、親機として設定されている装置を、コントローラ１００からコントローラ２００に変更する。

Ｓ９２では、親機として動作を開始するコントローラ２００の制御部２２０は、メモリ２３０内にコントローラＤＢ２６０（図２参照）を生成する。

この第２の通信障害状態において、エリアＡ２に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ２００に近づける。この場合、Ｓ９４において、ＩＣカード通信部２０８は、ＩＣカードからＩＤを読み取る。この際、制御部２２０は、読み取られたＩＤと読取時刻とを含む情報をメモリ２３０に記憶させる。これにより読取履歴情報２７０が蓄積される。

続くＳ９６では、制御部２２０は、Ｓ９４で読み取られたＩＤについて判定処理を行うとともに、判定結果に基づいて、コントローラＤＢ２６０内の当該ＩＤに対応する入退管理情報を更新する。制御部２２０は、Ｓ９６の判定処理の結果に基づいて、電気錠２１０を解錠、又は、施錠状態を維持する。

また、第２の通信障害状態において、エリアＡ３に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ３００に近づける。この場合、Ｓ９８において、ＩＣカード通信部３０８は、ＩＣカードからＩＤを読み取る。この際、制御部３２０は、読み取られたＩＤと読取時刻とを含む情報をメモリ３３０に記憶させる。これにより、メモリ３３０内に読取履歴情報３７０が蓄積される。次いで、Ｓ１００では、制御部３２０は、有線Ｉ／Ｆ２０６及びＬＡＮ６を介して、Ｓ９８で読み取られたＩＤを親機であるコントローラ２００に送信する。

Ｓ１０２では、コントローラ２００の制御部２２０は、コントローラ３００から受信したＩＤについて判定処理を行うとともに、判定結果に基づいて、コントローラＤＢ２６０内の当該ＩＤに対応する入退管理情報を更新する。続くＳ１０４では、制御部２２０は、判定結果（即ち、解錠可能又は解錠不可能）をコントローラ３００に送信する。

コントローラ３００の制御部３２０は、親機であるコントローラ２００から受信した判定結果に基づいて、電気錠３１０を解錠、又は、施錠状態を維持する。

この例では、図４のＳ１０４の処理の後、図５のＳ１１０において、コントローラ１００が、ＬＡＮ６を介して他機と通信可能な状態に復旧する。即ち、図５のＳ１１０でコントローラ１００が復旧することにより、入退管理システム２が第２の通信障害状態から第１の通信障害状態に移行する。

続くＳ１１２では、コントローラ１００の制御部１２０は、有線Ｉ／Ｆ１０６及びインターネット４を介して、コントローラ１００が他機と通信可能な状態に復旧したことを示す通知情報を含む電子メールを、管理ＰＣ４００に送信する。これにより、管理ＰＣ４００を利用する管理者は、コントローラ１００の通信状況が復旧したことを把握することができる。

続くＳ１１４では、制御部１２０は、有線Ｉ／Ｆ１０６及びＬＡＮ６を介して、ＬＡＮ６内のすべてのデバイスに対して、コントローラ１００の通信状況が復旧したことを示す復旧情報とともに、親機変更指示をブロードキャスト送信する。Ｓ１１４の親機変更指示は、順位情報が示す順位が「１位」であるデバイス（即ちコントローラ１００）を親機に変更すべき旨の情報を含む。サーバ１０を除くすべてのＬＡＮ６内のデバイス（即ち、コントローラ１００、２００、３００）は、Ｓ１１４の親機変更指示を受信する。

この後、Ｓ１１６では、制御部１２０は、自機を親機として設定する。この場合、制御部１２０は、メモリ１３０内の設定領域（図示しない）に親機として設定されている装置を、コントローラ１００のまま維持する。

また、Ｓ１１８では、コントローラ２００の制御部２２０は、再びコントローラ１００を親機として設定する。即ち、制御部２２０は、メモリ２３０内の設定領域（図示しない）に親機として設定されている装置を、コントローラ２００からコントローラ１００に変更する。

Ｓ１２０では、コントローラ３００の制御部３２０は、再びコントローラ１００を親機として設定する。Ｓ１２０の処理の内容は、Ｓ１１８と同様である。

Ｓ１２２では、コントローラ２００の制御部２２０は、メモリ２３０内のコントローラＤＢ２６０に含まれるＩＤ毎の入退管理情報（即ち、コントローラ２００が親機として動作していた間の入退管理情報）を、親機に復帰したコントローラ１００に送信する。

Ｓ１２４では、コントローラ１００の制御部１２０は、コントローラ２００から受信された入退管理情報（Ｓ１２２参照）を利用して、メモリ１３０内のコントローラＤＢ１６０に含まれるＩＤ毎の入退管理情報を更新する。これにより、コントローラ１００が親機でなくなっていた間のＩＤ毎の入退管理情報（即ち、コントローラ２００が親機として動作していた間の入退管理情報）が、コントローラＤＢ１６０に反映される。

この状態で、エリアＡ１に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ１００に近づける。この場合、Ｓ１２６、Ｓ１２８において、制御部１２０は、図３のＳ５０、Ｓ５２と同様の処理を実行する。即ち、制御部１２０は、Ｓ１２６の判定処理の結果に基づいて、電気錠１１０を解錠、又は、施錠状態を維持する。

また、エリアＡ２に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ２００に近づける。この場合、Ｓ１３０〜Ｓ１３６において、コントローラ２００とコントローラ１００との間で、図３のＳ５４〜Ｓ６０と同様の処理が実行される。この場合も、コントローラ２００の制御部２２０は、親機であるコントローラ１００から受信した判定結果（Ｓ１３６参照）に基づいて、電気錠２１０を解錠、又は、施錠状態を維持する。

同様に、エリアＡ３に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ３００に近づける。この場合、Ｓ１３８〜Ｓ１４４において、コントローラ３００とコントローラ１００との間で、図３のＳ６２〜Ｓ６８と同様の処理が実行される。この場合も、コントローラ３００の制御部３２０は、親機であるコントローラ１００から受信した判定結果（Ｓ１４４参照）に基づいて、電気錠３１０を解錠、又は、施錠状態を維持する。

そして、この例では、図５のＳ１４４の処理の後、図６のＳ１５０において、サーバ１０が、ＬＡＮ６を介して他機と通信可能な状態に復旧する。即ち、図６のＳ１５０でサーバ１０が復旧することにより、入退管理システム２が第１の通信障害状態から正常状態に移行する。

続くＳ１５２では、サーバ１０の制御部１４は、有線Ｉ／Ｆ１２及びインターネット４を介して、サーバ１０が他機と通信可能な状態に復旧したことを示す通知情報を含む電子メールを、管理ＰＣ４００に送信する。これにより、管理ＰＣ４００を利用する管理者は、サーバ１０の通信状況が復旧したことを把握することができる。

続くＳ１５４では、制御部１４は、有線Ｉ／Ｆ１２及びＬＡＮ６を介して、ＬＡＮ６内のすべてのデバイスに対して、サーバ１０の通信状況が復旧したことを示す復旧情報とともに、親機変更指示をブロードキャスト送信する。Ｓ１５４の親機変更指示は、サーバ１０を親機に変更すべき旨の情報を含む。この時点では、ＬＡＮ６内のすべてのデバイスが、Ｓ１５４の親機変更指示を受信する。

この後、Ｓ１５６では、制御部１４は、自機を親機として設定する。

また、Ｓ１５８では、コントローラ１００の制御部１２０は、再びサーバ１０を親機として設定する。即ち、制御部１２０は、メモリ１３０内の設定領域（図示しない）に親機として設定されている装置を、コントローラ１００からサーバ１０に変更する。

Ｓ１６０では、コントローラ２００の制御部２２０は、再びサーバ１０を親機として設定する。同様に、Ｓ１６２では、コントローラ３００の制御部３２０は、再びサーバ１０を親機として設定する。Ｓ１６０及びＳ１６２の処理の内容は、Ｓ１５８と同様である。

Ｓ１６４では、コントローラ１００の制御部１２０は、メモリ１３０内のコントローラＤＢ１６０に含まれるＩＤ毎の入退管理情報（即ち、コントローラ１００が親機として動作していた間の入退管理情報）を、親機に復帰したサーバ１０に送信する。

Ｓ１６６では、サーバ１０の制御部１４は、コントローラ１００から受信された入退管理情報（Ｓ１６４参照）を利用して、メモリ１６内のサーバＤＢ３０に含まれるＩＤ毎の入退管理情報を更新する。これにより、サーバ１０が親機でなくなっていた間のＩＤ毎の入退管理情報（即ち、コントローラ１００が親機として動作していた間の入退管理情報）が、サーバＤＢ３０に反映される。

この状態で、エリアＡ１に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ１００に近づける。この場合、Ｓ１７０〜Ｓ１７６において、コントローラ１００とサーバ１０との間で、図３のＳ１０〜Ｓ１６と同様の処理が実行される。この場合も、コントローラ１００の制御部１２０は、親機であるサーバ１０から受信した判定結果（Ｓ１７６参照）に基づいて、電気錠１１０を解錠、又は、施錠状態を維持する。

同様に、エリアＡ２に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ２００に近づける。この場合、Ｓ１７８〜Ｓ１８４において、コントローラ２００とサーバ１０との間で、図３のＳ１８〜Ｓ２４と同様の処理が実行される。この場合も、コントローラ２００の制御部２２０は、親機であるサーバ１０から受信した判定結果（Ｓ１８４参照）に基づいて、電気錠２１０を解錠、又は、施錠状態を維持する。

同様に、エリアＡ３に対する入退を希望するユーザは、自身が所持するＩＣカードをコントローラ３００に近づける。この場合、Ｓ１８６〜Ｓ１９２において、コントローラ３００とサーバ１０との間で、図３のＳ２６〜Ｓ３２と同様の処理が実行される。この場合も、コントローラ３００の制御部３２０は、親機であるサーバ１０から受信した判定結果（Ｓ１９２参照）に基づいて、電気錠３１０を解錠、又は、施錠状態を維持する。

上記の通り、本実施例の入退管理システム２では、正常状態（即ちサーバ１０がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行可能である状態）では、サーバ１０が判定処理を行うことにより、各エリアＡ１〜Ａ３におけるユーザの入退管理を行うことができる（図３のＳ１０〜Ｓ３２、図６のＳ１７０〜Ｓ１９２参照）。また、本実施例の入退管理システム２では、第１の通信障害状態（即ちサーバ１０がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行不可能であり、かつ、コントローラ１００がコントローラ２００、３００との間でＬＡＮ６を介した通信を実行可能である状態）では、コントローラ１００が判定処理を行うことにより、各エリアＡ１〜Ａ３におけるユーザの入退管理を行うことができる（図３のＳ５０〜Ｓ６８、図５のＳ１３０〜Ｓ１４４参照）。従って、本実施例の入退管理システム２によると、サーバ１０がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行不可能である場合においても、ユーザの入退を適切に管理することができる。特に、本実施例のように、アンチパスバック制御を実行する入退管理システム２において、サーバ１０がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行不可能である場合であっても、各エリアＡ１〜Ａ３においていわゆる閉じ込め状態（即ち退出できない状態）や入場できない状態が発生することを抑制することができる。

また、本実施例の入退管理システム２では、第２の通信障害状態（即ちサーバ１０がコントローラ１００、２００、３００との間でＬＡＮ６を介した通信を実行不可能であり、さらに、コントローラ１００がコントローラ２００、３００との間でＬＡＮ６を介した通信を実行不可能であり、かつ、コントローラ２００がコントローラ３００と通信を実行可能である状態）では、コントローラ２００が判定処理を行うことにより、エリアＡ２、Ａ３におけるユーザの入退管理を行うことができる（図４のＳ９４〜Ｓ１０４参照）。従って、本実施例の入退管理システム２によると、さらにコントローラ１００がコントローラ２００、３００との間でＬＡＮ６を介した通信を実行不可能である場合においても、ユーザの入退を適切に管理することができる。

また、本実施例の入退管理システム２では、第２の通信障害状態から第１の通信障害状態に移行する場合において、コントローラ２００は、コントローラＤＢ２６０内のＩＤ毎の入退管理情報（即ち、コントローラ２００が親機として動作していた間の入退管理情報）を、親機に復帰したコントローラ１００に送信する（図５のＳ１２２参照）。コントローラ１００は、コントローラ２００から受信された入退管理情報（Ｓ１２２参照）を利用して、メモリ１３０内のコントローラＤＢ１６０に含まれるＩＤ毎の入退管理情報を更新する。これにより、コントローラ１００が親機でなくなっていた間のＩＤ毎の入退管理情報（即ち、コントローラ２００が親機として動作していた間の入退管理情報）が、コントローラＤＢ１６０に反映される。親機に復帰したコントローラ１００は、更新後のコントローラＤＢ１６０を利用して判定処理を行うことができる。

さらに、本実施例の入退管理システム２では、第１の通信障害状態から正常状態に移行する場合において、コントローラ１００は、コントローラＤＢ１６０内のＩＤ毎の入退管理情報（即ち、コントローラ１００が親機として動作していた間の入退管理情報）を、親機に復帰したサーバ１０に送信する（図６のＳ１６４参照）。サーバ１０は、コントローラ１００から受信された入退管理情報（Ｓ１６４参照）を利用して、メモリ１６内のサーバＤＢ３０に含まれるＩＤ毎の入退管理情報を更新する。これにより、サーバ１０が親機でなくなっていた間のＩＤ毎の入退管理情報（即ち、コントローラ１００が親機として動作していた間の入退管理情報）が、サーバＤＢ３０に反映される。親機に復帰したサーバ１０は、更新後のサーバＤＢ３０を利用して判定処理を行うことができる。

（図４のＳ１０４の処理の後の各処理の他の例；図７）
図７は、図４の続きの動作の他の例であって、サーバ１０が復旧する場合の各装置の動作を表わす。この例では、図７に示すように、図４のＳ１０４の処理の後、Ｓ２００において、サーバ１０が、ＬＡＮ６を介して他機と通信可能な状態に復旧する。ただし、この例では、Ｓ２００の時点では、コントローラ１００は、依然、コントローラ２００、３００とＬＡＮ６を介して通信不可能である。以下、この状態を「第３の通信障害状態」と呼ぶ場合がある。

続くＳ２０２では、図６のＳ１５２と同様に、サーバ１０の制御部１４は、サーバ１０が他機と通信可能な状態に復旧したことを示す通知情報を含む電子メールを、管理ＰＣ４００に送信する。

続くＳ２０４では、図６のＳ１５４と同様に、制御部１４は、有線Ｉ／Ｆ１２及びＬＡＮ６を介して、ＬＡＮ６内のすべてのデバイスに対して、サーバ１０の通信状況が復旧したことを示す復旧情報とともに、親機変更指示をブロードキャスト送信する。

この際、コントローラ１００の通信障害の状態に応じて、コントローラ１００が、親機変更指示を受信できるか否かが変わる（Ｓ２０４、Ｓ２３０参照）。以下にコントローラ１００が親機変更指示を受信できる場合（Ｓ２０４〜Ｓ２１４）と、受信できない場合（Ｓ２３０〜Ｓ２４４）とに場合を分けて説明する。

（コントローラ１００が親機変更指示を受信できない場合；Ｓ２０４〜Ｓ２１４）
コントローラ１００の制御部１２０が故障等したことにより、コントローラ１００に通信障害が発生している場合には、コントローラ１００は、親機変更指示を受信できない（Ｓ２０４参照）。その場合、コントローラ１００を除くＬＡＮ６内のすべてのデバイスが、Ｓ２０４の親機変更指示を受信する。

この後、Ｓ２０６では、制御部１４は、自機を親機として設定する。

そして、Ｓ２０８では、コントローラ２００の制御部２２０は、再びサーバ１０を親機として設定する。

Ｓ２１０では、コントローラ３００の制御部３２０は、再びサーバ１０を親機として設定する。Ｓ２１０の処理の内容はＳ２０８と同様である。

Ｓ２１２では、コントローラ２００の制御部２２０は、メモリ２３０内のコントローラＤＢ２６０に含まれるＩＤ毎の入退管理情報（即ち、コントローラ２００が親機として動作していた間の入退管理情報）を、親機に復帰したサーバ１０に送信する。

Ｓ２１４では、サーバ１０の制御部１４は、コントローラ２００から受信された入退管理情報（Ｓ２１２参照）を利用して、メモリ１６内のサーバＤＢ３０に含まれるＩＤ毎の入退管理情報を更新する。これにより、サーバ１０が親機でなくなっていた間のＩＤ毎の入退管理情報（即ち、コントローラ２００が親機として動作していた間の入退管理情報）が、サーバＤＢ３０に反映される。これ以降に実行される処理は、図６のＳ１７８以降の各処理とほぼ同様であるため、詳しい説明は省略する。親機に復帰したサーバ１０は、更新後のサーバＤＢ３０を利用して判定処理を行うことができる。

（コントローラ１００が親機変更指示を受信できる場合；Ｓ２３０〜Ｓ２４４）
コントローラ１００と他のコントローラ２００、３００との間の通信環境の一部（例えば図示しないルータ等）が故障したことにより、コントローラ１００に通信障害が発生している場合（即ち、サーバ１０とコントローラ１００とはＬＡＮ６を介して通信を実行可能である場合）には、Ｓ２３０において、コントローラ１００の制御部１２０は、サーバ１０が送信する親機変更指示を受信できる。この場合、ＬＡＮ６内のすべてのデバイスが、Ｓ２３０の親機変更指示を受信する。

この後、Ｓ２３２では、制御部１４は、自機を親機として設定する。

そして、Ｓ２３４では、コントローラ１００の制御部１２０は、再びサーバ１０を親機として設定する。

Ｓ２３６では、コントローラ２００の制御部２２０は、再びサーバ１０を親機として設定する。同様に、Ｓ２３８では、コントローラ３００の制御部３２０は、再びサーバ１０を親機として設定する。

Ｓ２４０では、コントローラ１００の制御部１２０は、メモリ１３０内のコントローラＤＢ１６０に含まれるＩＤ毎の入退管理情報（即ち、コントローラ１００が親機として動作していた間の入退管理情報）を、親機に復帰したサーバ１０に送信する。

同様に、Ｓ２４２では、コントローラ２００の制御部２２０は、メモリ２３０内のコントローラＤＢ２６０に含まれるＩＤ毎の入退管理情報（即ち、コントローラ２００が親機として動作していた間の入退管理情報）を、親機に復帰したサーバ１０に送信する。

Ｓ２４４では、サーバ１０の制御部１４は、コントローラ１００から受信された入退管理情報（Ｓ２４０参照）、及び、コントローラ２００から受信された入退管理情報（Ｓ２４２参照）を利用して、メモリ１６内のサーバＤＢ３０に含まれるＩＤ毎の入退管理情報を更新する。これにより、サーバ１０が親機でなくなっていた間のＩＤ毎の入退管理情報（即ち、コントローラ１００が親機として動作していた間の入退管理情報及びコントローラ２００が親機として動作していた間の入退管理情報）が、サーバＤＢ３０に反映される。これ以降に実行される処理は、図６のＳ１７８以降の各処理とほぼ同様であるため、詳しい説明は省略する。親機に復帰したサーバ１０は、更新後のサーバＤＢ３０を利用して判定処理を行うことができる。

（非常検出される場合の動作；図８）
図８は、本実施例の入退管理システム２の各装置において非常事態の発生が検出される場合の各装置の動作の一例を示す。図８の開始時点では、入退管理システム２は第１の通信障害状態であり、コントローラ１００が親機として動作している。ただし、他の例では、他の装置（即ちサーバ１０、コントローラ２００、３００のうちのいずれか）が親機として動作していてもよい。

この例では、入退管理システム２が上記の状態で動作している間に、入退管理システム２の周囲で、例えば地震や火災等の非常事態が発生する。その場合、入退管理システム２の周囲に設けられる外部警報装置（図示しない）が、入退管理システム２内のサーバ１０及びコントローラ１００、２００、３００に対して、所定の非常回線（図示しない）を介して、所定の非常信号を一斉に送信する。

Ｓ２５０において、サーバ１０の制御部１４は、外部警報装置から非常信号を受信する場合に、非常事態が発生したことを検出する。

同様に、Ｓ２５２、Ｓ２５４、Ｓ２５６において、コントローラ１００の制御部１２０、コントローラ２００の制御部２２０、及び、コントローラ３００の制御部３２０のそれぞれは、外部警報装置から非常信号を受信する場合に、非常事態が発生したことを検出する。

続いて、Ｓ２６０では、サーバ１０の制御部１４は、メモリ１６内の情報を含む出力ファイルを生成する。出力ファイルは、例えば、ＰＤＦファイル形式で生成される。他の例では、出力ファイルは他の形式で生成されてもよい。この例では、Ｓ２６０で生成される出力ファイルは、メモリ１６内のサーバＤＢ３０に含まれる情報（即ちＩＤ毎の入退管理情報）を含む。

Ｓ２６２では、コントローラ１００の制御部１２０は、メモリ１３０内の情報を含む出力ファイルを生成する。この例では、Ｓ２６２で生成される出力ファイルは、メモリ１３０内のコントローラＤＢ１６０及び読取履歴情報１７０に含まれる情報を含む。

Ｓ２６４では、コントローラ２００の制御部２２０は、メモリ２３０内の情報を含む出力ファイルを生成する。この例では、Ｓ２６４で生成される出力ファイルは、メモリ２３０内の読取履歴情報２７０に含まれる情報を含む。

Ｓ２６６では、コントローラ３００の制御部３２０は、メモリ３３０内の情報を含む出力ファイルを生成する。この例では、Ｓ２６６で生成される出力ファイルは、メモリ３３０内の読取履歴情報３７０に含まれる情報を含む。

Ｓ２７０では、サーバ１０の制御部１４は、インターネット４を介して、Ｓ２６０で生成された出力ファイルを含む電子メールを管理ＰＣ４００に送信する。

同様に、Ｓ２７２、Ｓ２７４、Ｓ２７６では、コントローラ１００の制御部１２０、コントローラ２００の制御部２２０、及び、コントローラ３００の制御部３２０は、それぞれ、Ｓ２６２、Ｓ２６４、Ｓ２６６で生成された出力ファイルを含む電子メールを管理ＰＣ４００に送信する。

管理ＰＣ４００は、各装置から、出力ファイルを含む電子メールを受信する。管理ＰＣ４００を利用する管理者は、非常時において、受信された各電子メールに含まれる出力ファイルを参照することによって、入退管理システム２におけるユーザの入退管理状況を確認することができる。

上記の例では、入退管理システム２が第１の通信障害状態であり、コントローラ１００が親機として動作している場合の例について説明したが、他の装置が親局として動作している場合であっても、非常事態の発生が検出される場合（Ｓ２５０〜Ｓ２５６参照）において、各装置は上記と同様に、メモリ内の情報を含む出力ファイルを生成し、その生成ファイルを含む電子メールを管理ＰＣ４００に送信することができる（Ｓ２６０〜Ｓ２７６参照）。

（コントローラ１００に出力指示が入力される場合の動作；図９）
図９は、本実施例の入退管理システム２のコントローラ１００に対して、所定の出力指示が入力される場合のコントローラ１００の動作の一例を示す。図９の開始時点では、例えば、入退管理システム２は第１の通信障害状態であり、コントローラ１００が親機として動作している。ただし、他の例では、他の装置（即ちサーバ１０、コントローラ２００、３００のうちのいずれか）が親機として動作していてもよい。

Ｓ３００において、コントローラ１００のメモリ１３０内に記憶されている情報を含む出力ファイルの取得を希望するユーザは、コントローラ１００の操作部１０４を操作して所定の出力指示を入力することができる。

コントローラ１００の制御部１２０は、操作部１０４に出力指示（Ｓ１０２）が入力されると、ＩＣカード通信部１０８によってＩＣカードが検出されることを監視する。この状態で、ユーザが、自身が所持するＩＣカードをコントローラ１００に近づけると、ＩＣカード通信部１０８とＩＣカードとの間の通信セッションが確立する。この場合、Ｓ３０２において、制御部１２０は、ＩＣカードが検出されたと判断する。

続くＳ３０４では、制御部１２０は、メモリ１３０内の情報を含む出力ファイルを生成する。この例では、Ｓ３０４で生成される出力ファイルは、メモリ１３０内のコントローラＤＢ１６０及び読取履歴情報１７０に含まれる情報を含む。

続くＳ３０６では、制御部１２０は、Ｓ３０４で生成された出力ファイルを、ＩＣカード通信部１０８を介して、Ｓ３０２で検出されたＩＣカードに出力する（即ち書き込む）。

ユーザは、ＩＣカードに出力された出力ファイル内の情報を、他の装置に読み取らせる等して利用することができる。

上記の例では、入退管理システム２が第１の通信障害状態であり、コントローラ１００が親機として動作している場合の例について説明したが、他の装置が親局として動作している場合であっても、出力指示が入力される場合には、制御部１２０は、上記と同様に、メモリ内の情報を含む出力ファイルを生成し、その生成ファイルをＩＣカードに出力することができる（Ｓ３００〜Ｓ３０４参照）。また、コントローラ２００に出力指示が入力される場合には、制御部２２０は、上記と同様に、メモリ内の情報を含む出力ファイルを生成し、その生成ファイルをＩＣカードに出力することができる。さらに、コントローラ３００に出力指示が入力される場合には、制御部３２０は、上記と同様に、メモリ内の情報を含む出力ファイルを生成し、その生成ファイルをＩＣカードに出力することができる。

（対応関係）
コントローラ１００、２００、３００が、それぞれ「第１のコントローラ」、「第２のコントローラ」、「第３のコントローラ」の一例である。管理ＰＣ４００が「外部端末」の一例である。ＩＣカード５００が「記録媒体」の一例である。正常状態及び第３の通信障害状態が「第１の状態」の一例である。第１の通信障害状態が「第２の状態」の一例である。第２の通信障害状態が「第３の状態」の一例である。ＩＣカード通信部１０８、２０８、３０８がそれぞれ「第１の読取部」、「第２の読取部」、「第３の読取部」の一例である。非常状態が検出される場合（図８のＳ２５０〜Ｓ２５６参照）が「特定の条件が成立する場合」の一例である。

以上、本発明の各実施例について詳細に説明したが、これらは例示に過ぎず、特許請求の範囲を限定するものではない。特許請求の範囲に記載の技術には、以上に例示した具体例を様々に変形、変更したものが含まれる。例えば、以下の変形例を採用してもよい。

（変形例１）上記の実施例では、入退管理システム２は、いわゆるアンチパスバック制御を採用している。これに限られず、入退管理システム２における判定処理では、これ以外の認証方式が採用されていてもよい。従って、例えば、サーバ１０が親機として動作する場合において、サーバ１０の制御部１４は、コントローラ１００等から受信されたＩＤが所定の解錠許可ＩＤリスト内に存在するか否かに基づいて解錠可否を判定するようにしてもよい。

（変形例２）上記の実施例では、入退管理システム２の各装置は、外部警報装置から非常信号を受信する場合に、非常事態が発生したことを検出する（図８のＳ２５０〜Ｓ２５６参照）。各装置が非常事態の発生を検出する手法はこれに限られず、任意であってもよい。従って、例えば、各装置が、非常事態を検出するためのセンサを備え、当該センサによって非常事態の発生を検出してもよい。この変形例も、「特定の条件が成立する場合」の一例である。

（変形例３）上記の実施例では、コントローラ１００、２００、３００は、それぞれ、予め順位情報１５０、２５０、３５０を記憶しており、順位情報が示す順位が高いコントローラから順に親機として動作する。各コントローラが親機になるべき順位は、予め決められていなくてもよい。親機になるべきコントローラが、その都度、任意の手法によって決定されてもよい。

本明細書または図面に説明した技術要素は、単独であるいは各種の組み合わせによって技術的有用性を発揮するものであり、出願時請求項記載の組み合わせに限定されるものではない。また、本明細書または図面に例示した技術は複数目的を同時に達成するものであり、そのうちの一つの目的を達成すること自体で技術的有用性を持つものである。

２：入退管理システム、４：インターネット、６：ＬＡＮ、１０：サーバ、１２：有線Ｉ／Ｆ、１４：制御部、１６：メモリ、２０：プログラム、３０：サーバＤＢ、１００：コントローラ、１０２：表示部、１０４：操作部、１０６：有線Ｉ／Ｆ、１０８：ＩＣカード通信部、１１０：電気錠、１２０：制御部、１３０：メモリ、１４０：プログラム、１５０：順位情報、１６０：コントローラＤＢ、１７０：読取履歴情報、２００：コントローラ、２０２：表示部、２０４：操作部、２０６：有線Ｉ／Ｆ、２０８：ＩＣカード通信部、２１０：電気錠、２２０：制御部、２３０：メモリ、２４０：プログラム、２５０：順位情報、２６０：コントローラＤＢ、２７０：読取履歴情報、３００：コントローラ、３０２：表示部、３０４：操作部、３０６：有線Ｉ／Ｆ、３０８：ＩＣカード通信部、３１０：電気錠、３２０：制御部、３３０：メモリ、３４０：プログラム、３５０：順位情報、３６０：コントローラＤＢ、３７０：読取履歴情報、４００：管理ＰＣ、５００：ＩＣカード

Claims (7)

1. サーバと、第１のコントローラと、第２のコントローラと、を備える入退管理システムであって、
   前記サーバは、ユーザが所持する記録媒体に記録されている識別情報毎の入退管理情報を含むサーバデータベースを記憶するサーバメモリと、サーバ制御部と、を備えており、
   前記第１のコントローラは、第１のユーザが所持する第１の記録媒体に記録された第１の識別情報を読み取る第１の読取部と、第１のエリアの出入口を開閉するための第１の電気錠と、第１の制御部と、第１のメモリと、を備えており、
   前記第２のコントローラは、第２のユーザが所持する第２の記録媒体に記録された第２の識別情報を読み取る第２の読取部と、第２のエリアの出入口を開閉するための第２の電気錠と、第２の制御部と、第２のメモリと、を備えており、
   （Ａ）前記入退管理システムが、前記サーバが前記第１のコントローラ及び前記第２のコントローラとの間で通信を実行可能である第１の状態で動作する場合において、
   前記第１の制御部は、
   前記第１の読取部によって読み取られた前記第１の識別情報を前記サーバに送信し、
   前記第１の識別情報の送信後、前記サーバから第１の判定結果情報を受信し、
   前記第１の判定結果情報が解錠可を示す場合に前記第１の電気錠を解錠し、
   前記第２の制御部は、
   前記第２の読取部によって読み取られた前記第２の識別情報を前記サーバに送信し、
   前記第２の識別情報の送信後、前記サーバから第２の判定結果情報を受信し、
   前記第２の判定結果情報が解錠可を示す場合に前記第２の電気錠を解錠し、
   前記サーバ制御部は、
   前記第１のコントローラから前記第１の識別情報を受信すると、前記サーバデータベース内の前記第１の識別情報に対応する入退管理情報である第１種の入退管理情報を参照して、前記第１の電気錠の解錠可否を判定する第１の判定処理を実行し、
   前記第１の判定処理の結果に基づいて、前記サーバデータベース内の前記第１種の入退管理情報を更新し、
   前記第１の判定処理の結果を示す前記第１の判定結果情報を前記第１のコントローラに送信し、
   前記第２のコントローラから前記第２の識別情報を受信すると、前記サーバデータベース内の前記第２の識別情報に対応する入退管理情報である第２種の入退管理情報を参照して、前記第２の電気錠の解錠可否を判定する第２の判定処理を実行し、
   前記第２の判定処理の結果に基づいて、前記サーバデータベース内の前記第２種の入退管理情報を更新し、
   前記第２の判定処理の結果を示す前記第２の判定結果情報を前記第２のコントローラに送信し、
   （Ｂ）前記入退管理システムが、前記サーバが前記第１のコントローラ及び前記第２のコントローラとの間で通信を実行不可能であるとともに、前記第１のコントローラが前記第２のコントローラとの間で通信を実行可能である第２の状態で動作する場合において、
   前記第１の制御部は、
   前記第１のメモリに、識別情報毎の入退管理情報を含む第１のデータベースを記憶させ、
   前記第１の読取部によって前記第１の識別情報が読み取られる場合に、前記第１のデータベース内の前記第１種の入退管理情報を参照して、前記第１の判定処理を実行し、
   前記第１の判定処理の結果に基づいて、前記第１のデータベース内の前記第１種の入退管理情報を更新し、
   前記第１の判定処理の結果が解錠可を示す場合に、前記第１の電気錠を解錠し、
   前記第２のコントローラから前記第２の識別情報を受信すると、前記第１のデータベース内の前記第２種の入退管理情報を参照して、前記第２の判定処理を実行し、
   前記第２の判定処理の結果に基づいて、前記第１のデータベース内の前記第２種の入退管理情報を更新し、
   前記第２の判定処理の結果を示す前記第２の判定結果情報を前記第２のコントローラに送信し、
   前記第２の制御部は、
   前記第２の読取部によって読み取られた前記第２の識別情報を前記第１のコントローラに送信し、
   前記第２の識別情報の送信後、前記第１のコントローラから第２の判定結果情報を受信する、
   入退管理システム。
2. 前記入退管理システムが第３のコントローラをさらに備えており、
   前記第３のコントローラは、第３のユーザが所持する第３の記録媒体に記録された第３の識別情報を読み取る第３の読取部と、第３のエリアの出入口を開閉するための第３の電気錠と、第３の制御部と、第３のメモリと、を備えており、
   （Ａ´）前記第１の状態では、前記サーバはさらに前記第３のコントローラと通信可能であり、前記入退管理システムが前記第１の状態で動作する場合において、
   前記第３の制御部は、
   前記第３の読取部によって読み取られた前記第３の識別情報を前記サーバに送信し、
   前記第３の識別情報の送信後、前記サーバから第３の判定結果情報を受信し、
   前記第３の判定結果情報が解錠可を示す場合に前記第３の電気錠を解錠し、
   前記サーバ制御部は、さらに、
   前記第３のコントローラから前記第３の識別情報を受信すると、前記サーバデータベース内の前記第３の識別情報に対応する入退管理情報である第３種の入退管理情報を参照して、前記第３の電気錠の解錠可否を判定する第３の判定処理を実行し、
   前記第３の判定処理の結果に基づいて、前記サーバデータベース内の前記第３種の入退管理情報を更新し、
   前記第３の判定処理の結果を示す前記第３の判定結果情報を前記第３のコントローラに送信し、
   （Ｂ´）前記第２の状態では、前記サーバはさらに前記第３のコントローラと通信不可能であり、かつ、前記第１のコントローラが前記第３のコントローラとの間で通信を実行可能であり、前記入退管理システムが前記第２の状態で動作する場合において、
   前記第３の制御部は、
   前記第３の読取部によって読み取られた前記第３の識別情報を前記第１のコントローラに送信し、
   前記第３の識別情報の送信後、前記第１のコントローラから第３の判定結果情報を受信し、
   前記第１の制御部は、さらに、
   前記第３のコントローラから前記第３の識別情報を受信すると、前記第１のデータベース内の前記第３種の入退管理情報を参照して、前記第３の判定処理を実行し、
   前記第３の判定処理の結果に基づいて、前記第１のデータベース内の前記第３種の入退管理情報を更新し、
   前記第３の判定処理の結果を示す前記第３の判定結果情報を前記第３のコントローラに送信し、
   （Ｃ）前記入退管理システムが、前記サーバが前記第１のコントローラ、前記第２のコントローラ、及び、前記第３のコントローラとの間で通信を実行不可能であり、かつ、前記第１のコントローラが前記第２のコントローラ及び前記第３のコントローラとの間で通信を実行不可能であり、かつ、前記第２のコントローラが前記第３のコントローラとの間で通信を実行可能である、第３の状態で動作する場合に、
   前記第２の制御部は、
   前記第２のメモリに、識別情報毎の入退管理情報を含む第２のデータベースを記憶させ、
   前記第２の読取部によって前記第２の識別情報が読み取られる場合に、前記第２のデータベース内の前記第２種の入退管理情報を参照して、前記第２の判定処理を実行し、
   前記第２の判定処理の結果に基づいて、前記第２のデータベース内の前記第２種の入退管理情報を更新し、
   前記第２の判定処理の結果が解錠可を示す場合に、前記第２の電気錠を解錠し、
   前記第３のコントローラから前記第３の識別情報を受信すると、前記第２のデータベース内の前記第３種の入退管理情報を参照して、前記第３の判定処理を実行し、
   前記第３の判定処理の結果に基づいて、前記第２のデータベース内の前記第３種の入退管理情報を更新し、
   前記第３の判定処理の結果を示す前記第３の判定結果情報を前記第３のコントローラに送信し、
   前記第３の制御部は、
   前記第３の読取部によって読み取られた前記第３の識別情報を前記第２のコントローラに送信し、
   前記第３の識別情報の送信後、前記第２のコントローラから前記第３の判定結果情報を受信する、
   請求項１に記載の入退管理システム。
3. （Ｄ）前記入退管理システムが、前記第３の状態から、前記第２の状態に移行する場合に、
   前記第２の制御部は、
   前記第２のメモリに記憶された前記第２のデータベースを前記第１のコントローラに送信し、
   前記第１の制御部は、
   前記第２のコントローラから前記第２のデータベースを受信し、前記第２のデータベースを利用して、前記第１のメモリに記憶されている前記第１のデータベースを更新する、
   請求項２に記載の入退管理システム。
4. （Ｅ）前記入退管理システムが、前記第２の状態から前記第１の状態に移行する場合に、
   前記第１の制御部は、
   前記第１のメモリに記憶された前記第１のデータベースを前記サーバに送信し、
   前記サーバ制御部は、
   前記第１のコントローラから前記第１のデータベースを受信し、前記第１のデータベースを利用して、前記サーバメモリに記憶されている前記サーバデータベースを更新する、
   請求項１に記載の入退管理システム。
5. （Ｆ）前記入退管理システムが、前記第３の状態から第１の状態に移行する場合に、
   前記第２の制御部は、
   前記第２のメモリに記憶された前記第２のデータベースを前記サーバに送信し、
   前記サーバ制御部は、
   前記第２のコントローラから前記第２のデータベースを受信し、前記第２のデータベースを利用して、前記サーバメモリに記憶されている前記サーバデータベースを更新する、
   請求項２に記載の入退管理システム。
6. 前記サーバ制御部は、非常事態の発生に関係する特定の条件が成立する場合に、前記サーバメモリ内の情報を、外部端末に対して出力し、
   前記第１の制御部は、前記特定の条件が成立する場合に、前記第１のメモリ内の情報を、前記外部端末に対して出力し、
   前記第２の制御部は、前記特定の条件が成立する場合に、前記第２のメモリ内の情報を、前記外部端末に対して出力する、
   請求項１から５のいずれか一項に記載の入退管理システム。
7. 前記第１のコントローラは、第１の操作部をさらに備え、
   前記第２のコントローラは、第２の操作部をさらに備え、
   前記第１の制御部は、前記第１の操作部において前記第１のメモリ内の情報の出力を要求するための第１の指示が入力された後で、前記第１の読取部によって前記第１の記録媒体が読み取られる際に、前記第１の読取部を介して、前記第１のメモリ内の情報を、前記第１の記録媒体に対して出力し、
   前記第２の制御部は、前記第２の操作部において前記第２のメモリ内の情報の出力を要求するための第２の指示が入力された後で、前記第２の読取部によって前記第２の記録媒体が読み取られる際に、前記第２の読取部を介して、前記第２のメモリ内の情報を、前記第２の記録媒体に対して出力する、
   請求項１から６のいずれか一項に記載の入退管理システム。

Images