JP4859759B2 - アクセス制御システム - Google Patents

Description

本発明は、ユーザによる機密情報へのアクセスを制御する技術に関する。

従来は、物理的な鍵により、扉や引出等の施錠・開錠を行っていたが、近年、これらの鍵が電子化され、ネットワークを介して送られるコマンドにより、扉や引出等の施錠・開錠の制御が可能となっている。施錠・開錠を管理する装置は、ＩＣカード認証や生体認証等により施錠・開錠を判定し、ネットワークを介して施錠または開錠を指示するコマンドを送信する。例えば下記の特許文献１には、複数台の机、キャビネット等の引出、扉の施錠管理を施錠管理者の権限に応じて制御するシステムが開示されている。

特開平７−２３８７２３号公報

ところで、機密文書等の高いセキュリティの元で管理されるべき機密情報は、情報漏洩の危険性を低くするために、必要最低限の利用に留めることが好ましい。また、１つの業務において、機密情報が必要となる場面はそれほど多くはない。しかし、上記特許文献１の技術は、ユーザ毎に管理者によって予め決められた権限の範囲内であれば、ユーザがキャビネットの引出等の開錠を指示した場合には、いつでも開錠が実行される。そのため、情報漏洩の危険性が高くなってしまう場合がある。

また、複数の処理で構成される１つの業務において、処理の手順が決まっている場合、それぞれの処理において使用される資料がいつでも入手可能であると、作業者は、誤った手順で業務を実行してしまう場合がある。業務の手順どおりに、それぞれの処理で使用される資料の利用が可能となれば、たとえ業務の手順を忘れたとしても、手順どおりに業務を遂行することが可能となり、非常に便利である。

本発明は上記事情を鑑みてなされたものであり、本発明の目的は、機密情報のセキュリティを高く保つと共に、業務を正しい手順で作業者に遂行させることができるようにすることにある。

上記課題を解決するために、本発明のアクセス制御システムは、業務を構成する複数の処理と、それぞれの処理が実行されるべき順番とを含む業務フローを参照して、ユーザによって処理が実行される都度、実行された処理を示す情報を取得し、業務フローにおいて次に行われるべき処理に用いられる情報へのアクセスの禁止を解除する。

例えば、本発明は、機密書類を格納して施錠されている機密書類格納機器を、当該機密書類へのアクセスが許可されているユーザからの要求に応じて開錠させる物理アクセス制御装置と、ユーザを識別するユーザＩＤおよび機密書類格納機器を識別する機器ＩＤの組み合わせ毎に、対応する機密書類格納機器に格納されている機密書類へのアクセスの可否を物理アクセス制御機器に設定するアクセス管理装置とを備え、物理アクセス制御装置は、ユーザＩＤ毎に、機器ＩＤ毎のアクセス許可またはアクセス禁止を示す情報を格納する物理アクセス権格納手段と、アクセス管理装置からユーザＩＤおよび機器ＩＤを含むアクセス許可要求を受信した場合に、当該アクセス許可要求に含まれるユーザＩＤおよび機器ＩＤの組み合わせについてアクセス権格納手段に格納されているアクセス禁止を示す情報を、アクセス許可を示す情報に書き換える物理アクセス権変更手段と、ユーザから物理アクセス要求を受け付けた場合に、物理アクセス権格納手段を参照して、当該ユーザのユーザＩＤについてアクセスが許可されている機密書類格納機器の機器ＩＤを特定し、特定した機器ＩＤに対応する機密書類格納機器を開錠させると共に、当該物理アクセス要求に応じて機密書類格納機器が実行した処理の内容、当該処理が実行された日時、および当該物理アクセス要求の要求元のユーザのユーザＩＤを含む履歴情報をアクセス管理装置へ送信する物理アクセス可否判定手段とを有し、アクセス管理装置は、ユーザＩＤ毎に、機密書類格納機器によって実行された処理の内容および当該処理が実行された日時を格納する処理履歴格納手段と、それぞれの処理の内容を、それぞれの処理内容を識別する処理ＩＤに対応付けて格納する処理情報格納手段と、業務の流れを示す業務フローを識別するフローＩＤ毎に、当該業務を構成する複数の処理のそれぞれを識別する処理ＩＤを、当該当該業務フローにおいて実行されるべき順番を示す情報に対応付けて格納するフロー情報格納手段と、ユーザＩＤ毎にフローＩＤを格納する業務情報格納手段と、処理ＩＤ毎に、当該処理ＩＤに対応する処理において使用される機密書類が格納されている機密書類格納機器の機器ＩＤを格納するアクセス先情報格納手段と、物理アクセス制御装置から履歴情報を受信した場合に、当該履歴情報に含まれる処理内容に対応する処理ＩＤを処理情報格納手段から抽出し、抽出した処理ＩＤを、当該履歴情報に含まれているユーザＩＤおよび日時に対応付けて処理履歴格納手段に格納する履歴情報取得手段と、処理履歴格納手段に新たな処理ＩＤが格納された場合に、当該新たに格納された処理ＩＤに対応付けられて処理履歴格納手段に格納されているユーザＩＤに基づいて業務情報格納手段を参照して、当該ユーザＩＤに対応付けられているフローＩＤを抽出し、フロー情報格納手段を参照して、抽出したフローＩＤに対応する業務フローにおいて、当該新たに格納された処理ＩＤの次に実行されるべき処理の処理ＩＤを特定し、アクセス先情報格納手段を参照して、特定した処理ＩＤに対応付けられてアクセス先情報格納手段に格納されている機器ＩＤを抽出し、抽出した機器ＩＤ、および、新たに格納された処理内容に対応付けられて処理情報格納手段に格納されているユーザＩＤを含むアクセス許可要求を物理アクセス制御装置へ送信するアクセス権制御手段とを有することを特徴とするアクセス制御システを提供する。

本発明のアクセス制御システムによれば、機密情報のセキュリティを高く保つと共に、業務を正しい手順で作業者に遂行させることができる。

まず、本発明の第１の実施形態について説明する。

図１は、第１の実施形態におけるアクセス制御システム１０の構成の一例を示すシステム構成図である。アクセス制御システム１０は、アクセス管理装置２０、物理アクセス制御装置３０、および複数の機密書類格納機器４０を備える。

アクセス管理装置２０と物理アクセス制御装置３０とは、通信回線１１を介して通信する。物理アクセス制御装置３０と複数の機密書類格納機器４０のそれぞれとは、通信回線１２を介して通信する。なお、本実施形態において、通信回線１１と通信回線１２とは物理的に異なる通信回線として説明するが、他の形態として、通信回線１１と通信回線１２とは、同一の通信回線であってもよく、同一の通信回線がＶＬＡＮ（Virtual Local Area Network）等により論理的に分けられたものであってもよい。

物理アクセス制御装置３０は、機密書類へのアクセスをユーザから要求された場合に、ユーザ毎に機密書類格納機器４０へのアクセス可否が定められたアクセス権情報を参照して、当該ユーザのアクセスが許可されている機密書類格納機器４０に、通信回線１２を介して開錠を指示する。

それぞれの機密書類格納機器４０は機密書類を格納している書庫の引出であり、通信回線１２を介して物理アクセス制御装置３０から開錠を指示された場合に、鍵を開け、ユーザによる機密書類へのアクセスを許容する。また、機密書類格納機器４０は、引出の開閉、開錠、施錠、機密書類が取り出された旨、および機密書類が戻された旨等を、動作内容として物理アクセス制御装置３０へ通信回線１２を介して送信する。

物理アクセス制御装置３０および複数の機密書類格納機器４０は、例えば図２に示すように配置される。ユーザは、認証情報読取装置３０３を介して指紋等の認証情報を読み取らせ、キーボード３０１またはマウス３０２を操作して、物理アクセス制御装置３０に機密書類へのアクセスを要求する。物理アクセス制御装置３０は、当該ユーザのアクセスが許可されている機密書類格納機器４０に開錠を指示し、開錠を指示された機密書類格納機器４０は鍵を開け、開錠した旨を、ＬＥＤ（Light Emitting Diode）等の通知部４１によってユーザに通知する。

アクセス管理装置２０は、ユーザ毎に、当該ユーザが実行する業務の手順を示す業務フローを格納している。そして、アクセス管理装置２０は、物理アクセス制御装置３０を介して、機密書類格納機器４０から動作内容を受け取り、ユーザが実行している業務フローにおいて、次に実行すべき処理に必要な機密書類が格納されている機密書類格納機器４０へのアクセスの許可を物理アクセス制御装置３０内のアクセス権情報に登録させる。

このように、ユーザが実行中の業務において、次の処理に必要な機密書類へのアクセスを、前の処理が終了した後に許可するので、業務の遂行を妨げることなく、ユーザの機密書類へのアクセスを極力少なくすることができる。また、業務フローと異なる手順では機密情報にアクセスすることができなくなるため、業務の手順を間違えることなく正しい手順で作業者に業務を遂行させることができる。

図３は、機密書類格納機器４０の詳細な機能構成の一例を示す図である。機密書類格納機器４０は、通知部４１、鍵制御部４２、動作内容通知部４３、センサ４４、および機密書類格納部４５を備える。

機密書類格納部４５は、機密書類を格納する。センサ４４は、引出の開閉センサやタグリーダ等である。それぞれの機密書類にはＲＦタグが取り付けられており、センサ４４は、当該ＲＦタグと通信することにより、機密書類格納部４５から機密書類が取り出されたり、機密書類が機密書類格納部４５内に戻された旨を検出する。

鍵制御部４２は、通信回線１２を介して物理アクセス制御装置３０から開錠を指示された場合に、機密書類格納部４５の鍵を開けると共に、開錠した旨を通知部４１に通知する。通知部４１は、点灯、点滅、または、点灯や点滅における発光色を変える等により、開錠された旨をユーザに通知する。動作内容通知部４３は、引出の開錠および施錠、引出の開閉、ならびに、機密書類の出し入れ等の機密書類格納機器４０の動作内容を通信回線１２を介して物理アクセス制御装置３０に通知する。

図４は、物理アクセス制御装置３０の詳細な機能構成の一例を示す図である。物理アクセス制御装置３０は、認証情報格納部３１、認証情報受付部３２、物理アクセス可否判定部３３、物理アクセス権変更部３４、物理アクセス権格納部３５、および占有情報格納部３６を備える。

認証情報格納部３１には、例えば図５に示すように、指紋データ等の認証情報３１１が、それぞれのユーザを識別するユーザＩＤ３１０に対応付けて格納されている。認証情報受付部３２は、キーボード３０１、マウス３０２、または認証情報読取装置３０３を介してユーザから認証情報を含む物理アクセス要求を受け付ける。そして、認証情報受付部３２は、受け付けた物理アクセス要求に含まれる認証情報が認証情報格納部３１に登録されているか否かを判定する。

受け付けた物理アクセス要求に含まれる認証情報が認証情報格納部３１に登録されていない場合、認証情報受付部３２は、アクセスが許可されていない旨を表示装置３００に表示する。一方、受け付けた物理アクセス要求に含まれる認証情報が認証情報格納部３１に登録されている場合、認証情報受付部３２は、当該物理アクセス要求を送信したユーザのユーザＩＤとして、当該認証情報に対応付けて認証情報格納部３１に登録されているユーザＩＤを抽出し、抽出したユーザＩＤを物理アクセス可否判定部３３へ送る。

物理アクセス権格納部３５には、例えば図６に示すように、ユーザＩＤ３５１毎に物理アクセス権テーブル３５０が格納されている。それぞれの物理アクセス権テーブル３５０には、それぞれの機密書類格納機器４０を識別する機器ＩＤ３５２毎に、当該機密書類格納機器４０へのアクセス可否３５３を示す情報が格納されている。占有情報格納部３６には、現在他のユーザによって既に使用中となっている機密書類格納機器４０の機器ＩＤが格納されている。

物理アクセス可否判定部３３は、認証情報受付部３２からユーザＩＤを受け付けた場合に、物理アクセス権格納部３５を参照して、当該ユーザＩＤに対応する物理アクセス権テーブル３５０を特定し、特定した物理アクセス権テーブル３５０において、アクセスが許可されている機密書類格納機器４０が存在するか否かを判定する。アクセスが許可されている機密書類格納機器４０が存在しない場合、物理アクセス可否判定部３３は、アクセスが許可されていない旨を表示装置３００に表示する。

アクセスが許可されている機密書類格納機器４０が存在する場合、物理アクセス可否判定部３３は、アクセスが許可されている機密書類格納機器４０の機器ＩＤを物理アクセス権格納部３５から抽出し、抽出した機器ＩＤが占有情報格納部３６内に登録されているか否かを判定する。抽出した機器ＩＤが占有情報格納部３６内に登録されている場合、物理アクセス可否判定部３３は、アクセスが許可されていない旨を表示装置３００に表示する。

一方、抽出した機器ＩＤが占有情報格納部３６内に登録されていない場合、物理アクセス可否判定部３３は、当該機器ＩＤに対応する機密書類格納機器４０に通信回線１２を介して開錠を指示すると共に、当該機密書類格納機器４０の機器ＩＤを占有情報格納部３６に登録する。

そして、物理アクセス可否判定部３３は、認証情報受付部３２から受け付けたユーザＩＤに対応する物理アクセス権テーブル３５０において、開錠を指示した機密書類格納機器４０の機器ＩＤのアクセス可否を、アクセス禁止を示す情報に変更する。また、物理アクセス可否判定部３３は、開錠を指示した機密書類格納機器４０の機器ＩＤと、当該機密書類格納機器４０へのアクセスが許可されているユーザのユーザＩＤとを対応付けて保持する。

そして、物理アクセス可否判定部３３は、機密書類格納機器４０からの動作内容の通知を通信回線１２を介して受信し、当該機密書類格納機器４０へのアクセスが終了したか否かを判定する。物理アクセス可否判定部３３は、例えば、機密書類格納機器４０へ開錠を指示した後に、当該機密書類格納機器４０から施錠した旨の動作内容を通知された場合に、アクセスが終了したと判定する。

アクセスが終了したと判定した場合、物理アクセス可否判定部３３は、当該アクセスが終了した機密書類格納機器４０の機器ＩＤを占有情報格納部３６から削除し、アクセスの開始から終了までに機密書類格納機器４０から通知された動作内容、当該機密書類格納機器４０へのアクセスが許可されているユーザのユーザＩＤ、およびアクセスが終了した日時（例えば施錠された日時）を含む履歴情報を、通信回線１１を介してアクセス管理装置２０へ送信する。

物理アクセス権変更部３４は、アクセス管理装置２０から、ユーザＩＤおよび機器ＩＤを含むアクセス許可要求を、通信回線１１を介して受信した場合に、物理アクセス権格納部３５を参照して、当該アクセス許可要求に含まれるユーザＩＤに対応する物理アクセス権テーブル３５０を特定し、特定した物理アクセス権テーブル３５０内で、当該アクセス許可要求に含まれる機器ＩＤのアクセス可否を、アクセス許可を示す情報に変更する。

図７は、第１の実施形態におけるアクセス管理装置２０の詳細な機能構成の一例を示す図である。アクセス管理装置２０は、フロー情報格納部２１、処理履歴格納部２２、履歴情報取得部２３、業務情報格納部２４、処理情報格納部２５、アクセス先情報格納部２６、およびアクセス権制御部２７を備える。

処理情報格納部２５には、例えば図８に示すように、業務フローにおけるそれぞれの処理を識別する処理ＩＤ２５０毎に、当該処理の処理内容２５１が格納されている。処理履歴格納部２２には、例えば図９に示すように、ユーザＩＤ２２１毎の履歴テーブル２２０が格納されている。それぞれの履歴テーブル２２０には、処理ＩＤ２２２毎に、当該処理ＩＤ２２２に対応する処理が実行された日時である処理日時２２３が格納されている。

履歴情報取得部２３は、通信回線１１を介して物理アクセス制御装置３０から履歴情報を受信した場合に、処理情報格納部２５を参照して、当該履歴情報に含まれる動作内容と一致する処理内容に対応付けられている処理ＩＤを抽出する。そして、履歴情報取得部２３は、処理履歴格納部２２を参照して、履歴情報に含まれるユーザＩＤに対応する履歴テーブル２２０に、履歴情報に含まれる処理日時を抽出した処理ＩＤに対応付けて格納する。なお、履歴情報取得部２３は、所定時間（例えば３日）以上経過した処理日時および当該処理日時に対応付けられている処理ＩＤを、処理履歴格納部２２から削除する。

フロー情報格納部２１には、例えば図１０に示すように、業務フローを識別するフローＩＤ２１１毎にフローテーブル２１０が格納されている。それぞれのフローテーブル２１０には、業務フローに含まれる処理の処理ＩＤ２１３が、当該業務フローにおける処理の順番２１２を示す情報に対応付けて格納されている。

業務情報格納部２４には、例えば図１１に示すように、ユーザＩＤ２４０毎に、当該ユーザＩＤ２４０に対応するユーザが実行すべき業務フローのフローＩＤ２４１が格納されている。なお、本実施形態において、業務情報格納部２４内のデータは、ユーザによって業務が実行される前に管理者等によって予め設定されている。

アクセス先情報格納部２６には、例えば図１２に示すように、処理ＩＤ２６０毎に、当該処理ＩＤ２６０に対応する処理で用いられる機密書類格納機器４０の機器ＩＤ２６１が格納されている。なお、１つの処理に複数の機密書類格納機器４０が用いられる場合には、１つの処理ＩＤ２６０に対応付けられて複数の機器ＩＤ２６１が格納される。

アクセス権制御部２７は、処理履歴格納部２２に新たに処理ＩＤが格納された場合に、当該処理ＩＤが格納された履歴テーブルのユーザＩＤに基づいて業務情報格納部２４を参照し、当該ユーザＩＤに対応付けられているフローＩＤを抽出する。そして、アクセス権制御部２７は、抽出したフローＩＤに基づいてフロー情報格納部２１を参照し、処理履歴格納部２２に新たに格納された処理ＩＤに対応する処理の次に実行されるべき処理の処理ＩＤを特定する。

次に、アクセス権制御部２７は、特定した処理ＩＤに基づいてアクセス先情報格納部２６を参照し、当該処理ＩＤに対応する処理において使用される機密書類格納機器４０の機器ＩＤを特定する。そして、アクセス権制御部２７は、特定した機器ＩＤと、処理履歴格納部２２に新たに処理ＩＤが登録された履歴テーブルのユーザＩＤとを含むアクセス許可要求を、通信回線１１を介して物理アクセス制御装置３０へ送信する。

なお、アクセス権制御部２７は、処理履歴格納部２２に新たに格納された処理ＩＤが、業務情報格納部２４に格納されているフローＩＤに対応する業務フローに含まれていない場合に、業務が正しく行われていない旨を、通信回線１１を介して物理アクセス制御装置３０に通知し、物理アクセス制御装置３０がその旨をユーザに通知するようにしてもよい。

図１３は、物理アクセス制御装置３０の動作の一例を示すフローチャートである。例えば電源が投入される等の所定のタイミングで、物理アクセス制御装置３０は、本フローチャートに示す動作を開始する。

まず、認証情報受付部３２は、入力装置を介して物理アクセス要求を受信したか否かを判定する（Ｓ１００）。物理アクセス要求を受信した場合（Ｓ１００：Ｙｅｓ）、認証情報受付部３２は、受信した物理アクセス要求に含まれる認証情報が認証情報格納部３１に登録されているか否かを判定する（Ｓ１０１）。

受信した物理アクセス要求に含まれる認証情報が認証情報格納部３１に登録されていない場合（Ｓ１０１：Ｎｏ）、認証情報受付部３２は、アクセスが許可されていない旨を表示装置３００に表示し（Ｓ１０７）、再びステップＳ１００に示した処理を実行する。

受信した物理アクセス要求に含まれる認証情報が認証情報格納部３１に登録されている場合（Ｓ１０１：Ｙｅｓ）、認証情報受付部３２は、当該物理アクセス要求を送信したユーザのユーザＩＤとして、当該認証情報に対応付けて認証情報格納部３１に登録されているユーザＩＤを抽出し、抽出したユーザＩＤを物理アクセス可否判定部３３へ送る。

次に、物理アクセス可否判定部３３は、認証情報受付部３２から受け取ったユーザＩＤに基づいて物理アクセス権格納部３５を参照し、当該ユーザＩＤに対応する物理アクセス権テーブル３５０を特定する。そして、物理アクセス可否判定部３３は、特定した物理アクセス権テーブル３５０において、アクセスが許可されている機密書類格納機器４０が存在するか否かを判定する（Ｓ１０２）。

アクセスが許可されている機密書類格納機器４０が存在しない場合（Ｓ１０２：Ｎｏ）、物理アクセス可否判定部３３は、アクセスが許可されていない旨を表示装置３００に表示し（Ｓ１０７）、認証情報受付部３２は、再びステップＳ１００に示した処理を実行する。

アクセスが許可されている機密書類格納機器４０が存在する場合（Ｓ１０２：Ｙｅｓ）、物理アクセス可否判定部３３は、アクセスが許可されている機密書類格納機器４０の機器ＩＤを物理アクセス権格納部３５から抽出し、抽出した機器ＩＤが占有情報格納部３６内に登録されているか否かを判定する（Ｓ１０３）。

抽出した機器ＩＤが占有情報格納部３６内に登録されている場合（Ｓ１０３：Ｙｅｓ）、物理アクセス可否判定部３３は、アクセスが許可されていない旨を表示装置３００に表示し（Ｓ１０７）、認証情報受付部３２は、再びステップＳ１００に示した処理を実行する。

抽出した機器ＩＤが占有情報格納部３６内に登録されていない場合（Ｓ１０３：Ｎｏ）、物理アクセス可否判定部３３は、当該機器ＩＤに対応する機密書類格納機器４０に、通信回線１２を介して開錠を指示すると共に（Ｓ１０４）、当該機密書類格納機器４０の機器ＩＤを占有情報格納部３６に登録する（Ｓ１０５）。

次に、物理アクセス可否判定部３３は、開錠を指示した機密書類格納機器４０の機器ＩＤと、当該機密書類格納機器４０へのアクセスが許可されているユーザのユーザＩＤとを対応付けて保持すると共に、認証情報受付部３２から受け付けたユーザＩＤに対応する物理アクセス権テーブル３５０において、開錠を指示した機密書類格納機器４０の機器ＩＤのアクセス可否を、アクセス禁止を示す情報に変更し（Ｓ１０６）、認証情報受付部３２は、再びステップＳ１００に示した処理を実行する。

ステップＳ１００において、情報アクセス要求を受信していない場合（Ｓ１００：Ｎｏ）、物理アクセス可否判定部３３は、通信回線１２を介して、機密書類格納機器４０から動作内容が通知されたか否かを判定する（Ｓ１０８）。機密書類格納機器４０から動作内容が通知された場合（Ｓ１０８：Ｙｅｓ）、物理アクセス可否判定部３３は、通知された動作内容を、当該動作内容を通知した機密書類格納機器４０を占有しているユーザのユーザＩＤに対応付けて保持する（Ｓ１０９）。

そして、物理アクセス可否判定部３３は、機密書類格納機器４０へのアクセスが終了したか否かを判定する（Ｓ１１０）。機密書類格納機器４０へのアクセスが終了していない場合（Ｓ１１０：Ｎｏ）、認証情報受付部３２は、再びステップＳ１００に示した処理を実行する。

機密書類格納機器４０へのアクセスが終了した場合（Ｓ１１０：Ｙｅｓ）、物理アクセス可否判定部３３は、当該アクセスが終了した機密書類格納機器４０の機器ＩＤを占有情報格納部３６から削除する（Ｓ１１１）。そして、物理アクセス可否判定部３３は、アクセスの開始から終了までに機密書類格納機器４０から通知された動作内容、当該機密書類格納機器４０へのアクセスが許可されているユーザのユーザＩＤ、およびアクセスが終了した日時を含む履歴情報を、通信回線１１を介してアクセス管理装置２０へ送信し（Ｓ１１２）、認証情報受付部３２は、再びステップＳ１００に示した処理を実行する。

ステップＳ１０８において、機密書類格納機器４０から動作内容が通知されていない場合（Ｓ１０８：Ｎｏ）、物理アクセス権変更部３４は、通信回線１１を介してアクセス管理装置２０から、ユーザＩＤおよび機器ＩＤを含むアクセス許可要求を受信したか否かを判定する（Ｓ１１３）。アクセス許可要求を受信していない場合（Ｓ１１３：Ｎｏ）、認証情報受付部３２は、再びステップＳ１００に示した処理を実行する。

アクセス許可要求を受信した場合（Ｓ１１３：Ｙｅｓ）、物理アクセス権変更部３４は、物理アクセス権格納部３５を参照して、当該アクセス許可要求に含まれるユーザＩＤに対応する物理アクセス権テーブル３５０を特定し、特定した物理アクセス権テーブル３５０内で、当該アクセス許可要求に含まれる機器ＩＤのアクセス可否を、アクセス許可を示す情報に変更し（Ｓ１１４）、認証情報受付部３２は、再びステップＳ１００に示した処理を実行する。

図１４は、第１の実施形態におけるアクセス管理装置２０の動作の一例を示すフローチャートである。例えば電源が投入される等の所定のタイミングで、アクセス管理装置２０は、本フローチャートに示す動作を開始する。

まず、履歴情報取得部２３は、通信回線１１を介して物理アクセス制御装置３０から履歴情報を受信したか否かを判定する（Ｓ２００）。履歴情報を受信した場合（Ｓ２００：Ｙｅｓ）、履歴情報取得部２３は、処理情報格納部２５を参照して、当該履歴情報に含まれる動作内容と一致する処理内容に対応付けられている処理ＩＤを抽出する。そして、履歴情報取得部２３は、処理履歴格納部２２を参照して、履歴情報に含まれるユーザＩＤに対応する履歴テーブル２２０に、履歴情報に含まれる処理日時を抽出した処理ＩＤに対応付けて格納する（Ｓ２０１）。

次に、アクセス権制御部２７は、処理履歴格納部２２に新たに処理ＩＤが登録された履歴テーブルのユーザＩＤに基づいて業務情報格納部２４を参照し、当該ユーザＩＤに対応付けられているフローＩＤを抽出する。そして、アクセス権制御部２７は、抽出したフローＩＤに基づいてフロー情報格納部２１を参照し、処理履歴格納部２２に新たに格納された処理ＩＤに対応する処理の次に実行されるべき処理の処理ＩＤを特定する（Ｓ２０２）。

次に、アクセス権制御部２７は、特定した処理ＩＤに基づいてアクセス先情報格納部２６を参照し、当該処理ＩＤに対応する処理において使用される機密書類格納機器４０の機器ＩＤを特定する（Ｓ２０３）。そして、アクセス権制御部２７は、特定した機器ＩＤと、処理履歴格納部２２に新たに処理ＩＤが登録された履歴テーブルのユーザＩＤとを含むアクセス許可要求を、通信回線１１を介して物理アクセス制御装置３０へ送信し（Ｓ２０４）、履歴情報取得部２３は、再びステップＳ２００に示した処理を実行する。

ステップＳ２００において、履歴情報を受信していない場合（Ｓ２００：Ｎｏ）、履歴情報取得部２３は、処理履歴格納部２２を参照して、所定時間以上経過した処理日時が存在するか否かを判定する（Ｓ２０５）。所定時間以上経過した処理日時が処理履歴格納部２２内に存在しない場合（Ｓ２０５：Ｎｏ）、履歴情報取得部２３は、再びステップＳ２００に示した処理を実行する。

所定時間以上経過した処理日時が処理履歴格納部２２内に存在する場合（Ｓ２０５：Ｙｅｓ）、履歴情報取得部２３は、当該処理日時および当該処理日時に対応付けられている処理ＩＤを、処理履歴格納部２２から削除し（Ｓ２０６）、再びステップＳ２００に示した処理を実行する。

図１５は、第１の実施形態におけるアクセス制御システム１０の動作の一例を示すシーケンス図である。

まず、ユーザは、認証情報読取装置３０３等の入力装置を介して、物理アクセス制御装置３０に物理アクセス要求を入力する（Ｓ３００）。物理アクセス制御装置３０は、当該物理アクセス要求に含まれる認証情報が登録されていること、当該認証情報に対応するユーザＩＤにアクセスが許可されている機器ＩＤが対応付けられていること、および、当該機器ＩＤに対応する機密書類格納機器４０が占有されていないことを検出して、対応する機密書類格納機器４０に開錠を指示する（Ｓ３０１）。機密書類格納機器４０は、開錠指示に応じて鍵を開け、開錠した旨をユーザに通知する（Ｓ３０２）。

次に、ユーザは、機密書類格納機器４０の引出を開ける、機密書類を取り出す等の機密書類格納機器４０へのアクセスを実行し（Ｓ３０３）、機密書類格納機器４０は、ユーザの動作内容を物理アクセス制御装置３０へ通知する（Ｓ３０４）。そして、物理アクセス制御装置３０は、一連の処理が終了したことを検出し（Ｓ３０５）、履歴情報をアクセス管理装置２０へ送信する（Ｓ３０６）。

アクセス管理装置２０は、受信した履歴情報から、ユーザが実行中の業務フローにおいて、次に実行されるべき処理を特定し（Ｓ３０７）、当該処理に使用される機密書類格納機器４０の機器ＩＤおよびユーザＩＤを含むアクセス許可要求を物理アクセス制御装置３０へ送信する（Ｓ３０８）。物理アクセス制御装置３０は、受信したアクセス許可要求に含まれるユーザＩＤについて、当該アクセス許可要求に含まれる機器ＩＤに対応する機密書類格納機器４０のアクセスを許可する（Ｓ３０９）。

以上、本発明の第１の実施形態について説明した。

上記説明から明らかなように、本実施形態のアクセス制御システム１０によれば、機密情報のセキュリティを高く保つと共に、業務を正しい手順で作業者に遂行させることができる。

なお、上記した第１の実施形態において、物理アクセス制御装置３０と複数の機密書類格納装置４０とは、それぞれ別個の装置によって実現されているが、他の形態として、これらの装置は１つの装置として実現されていてもよい。

次に、本発明の第２の実施形態について説明する。

図１６は、第２の実施形態におけるアクセス制御システム１０の構成の一例を示すシステム構成図である。アクセス制御システム１０は、アクセス管理装置２０、物理アクセス制御装置３０、複数の機密書類格納機器４０、情報アクセス制御装置５０、および情報提供装置６０を備える。なお、以下に説明する点を除き、図１６において、図１と同じ符号を付した構成は、図１における構成と同一または同様の機能を有するため説明を省略する。

アクセス管理装置２０と情報アクセス制御装置５０とは、通信回線１１を介して通信する。情報アクセス制御装置５０と情報提供装置６０とは、通信回線１３を介して通信する。なお、通信回線１１、通信回線１２、および通信回線１３は物理的に異なる通信回線として説明するが、同一の通信回線であってもよく、同一の通信回線が論理的に分けられたものであってもよい。

情報提供装置６０は、例えば機密情報を格納しているファイルサーバであり、ユーザコンピュータ１４を介してユーザから機密情報を要求された場合に、機密情報を識別する情報ＩＤ、当該機密情報を要求したユーザのユーザＩＤ、および当該ユーザの認証情報を含む情報アクセス要求を通信回線１３を介して情報アクセス制御装置５０へ送信する。そして、情報提供装置６０は、ユーザＩＤおよび情報ＩＤを含む許可応答を情報アクセス制御装置５０から受信した場合に、当該情報ＩＤに対応する機密情報を、当該ユーザＩＤに対応するユーザのユーザコンピュータ１４へ、通信回線１３を介して送信する。

また、情報提供装置６０は、機密情報以外の非機密情報も格納しており、非機密情報については、ユーザコンピュータ１４から要求されたデータを提供する。情報提供装置６０は、ユーザコンピュータ１４からのアクセスを動作内容として情報アクセス制御装置５０へ通知する。

情報アクセス制御装置５０は、ユーザＩＤ毎に機密情報へのアクセス可否が定められたアクセス権情報を格納しており、情報提供装置６０から情報アクセス要求を受信した場合に、受信した情報アクセス要求に含まれるユーザＩＤおよび情報ＩＤの組み合わせについて、アクセスが許可されている場合に、許可応答を、通信回線１３を介して情報提供装置６０へ送信する。

アクセス管理装置２０は、物理アクセス制御装置３０から受け取った動作内容、および、情報アクセス制御装置５０から受け取った動作内容に基づいて、ユーザが実行している業務フローにおいて、次に実行すべき処理に必要な機密書類格納機器４０または機密情報へのアクセスの許可を、物理アクセス制御装置３０または情報アクセス制御装置５０に送信する。

本実施形態において、アクセス管理装置２０内のアクセス先情報格納部２６は、例えば図１７に示すように、処理ＩＤ２６０毎に、当該処理ＩＤ２６０に対応する処理で使用される機密書類格納機器４０の機器ＩＤ２６１、または、当該処理ＩＤ２６０に対応する処理で使用される機密情報の情報ＩＤ２６２が格納されている。

このように、本実施形態のアクセス制御システム１０は、物理的な機密情報へのアクセスだけでなく、データとして情報提供装置６０に格納されている機密情報へのアクセスも必要な業務において、ユーザが実行中の業務に基づいて機密情報へのアクセスを制御することができる。

図１８は、情報提供装置６０の詳細な機能構成の一例を示す図である。情報提供装置６０は、情報アクセス要求部６１、情報提供部６２、機密情報格納部６３、および非機密情報格納部６４を備える。

機密情報格納部６３には、例えば図１９に示すように、機密情報６３１が、それぞれの情報を識別する情報ＩＤ６３０に対応付けて格納されている。非機密情報格納部６４には、図示は省略するが、図１９と同様に、非機密情報が情報ＩＤに対応付けて格納されている。

情報アクセス要求部６１は、通信回線１３を介してユーザコンピュータ１４から、ユーザＩＤおよび情報ＩＤを含む情報要求を受信した場合に、当該情報要求に含まれる情報ＩＤが非機密情報格納部６４に格納されているならば、ユーザＩＤおよび情報ＩＤを情報提供部６２に送る。

一方、情報要求に含まれる情報ＩＤが機密情報格納部６３に格納されている場合、情報アクセス要求部６１は、当該情報要求の送信元のユーザコンピュータ１４に認証情報を要求する。そして、ユーザコンピュータ１４から受け取った認証情報、当該認証情報により認証されるユーザのユーザＩＤ、および当該ユーザが要求した機密情報の情報ＩＤを含む情報アクセス要求を、通信回線１３を介して情報アクセス制御装置５０へ送信する。

そして、許可応答を情報アクセス制御装置５０から受信した場合に、情報アクセス要求部６１は、当該許可応答に含まれるユーザＩＤおよび情報ＩＤを情報提供部６２に送る。また、情報アクセス要求部６１は、ユーザからのアクセスに応じて行った動作を通信回線１３を介して情報アクセス制御装置５０に通知する。

情報提供部６２は、情報アクセス要求部６１から受け取った情報ＩＤに対応する機密情報または非機密情報を、機密情報格納部６３または非機密情報格納部６４から取得し、取得した情報を、情報アクセス要求部６１から受け取ったユーザＩＤに対応するユーザのユーザコンピュータ１４へ、通信回線１３を介して提供する。また、情報提供部６２は、ユーザからのアクセスに応じて行った動作を通信回線１３を介して情報アクセス制御装置５０に通知する。

図２０は、情報アクセス制御装置５０の詳細な機能構成の一例を示す図である。情報アクセス制御装置５０は、認証情報格納部５１、認証情報受付部５２、情報アクセス可否判定部５３、情報アクセス権変更部５４、および情報アクセス権格納部５５を備える。

認証情報格納部５１には、図示は省略するが、例えば図５と同様に、指紋データ等の認証情報が、それぞれのユーザを識別するユーザＩＤに対応付けて格納されている。認証情報受付部５２は、情報提供装置６０から情報アクセス要求を受け付け、受け付けた情報アクセス要求に含まれるユーザＩＤおよび認証情報の組み合わせが認証情報格納部５１に登録されているか否かを判定する。

受け付けた情報アクセス要求に含まれるユーザＩＤおよび認証情報の組み合わせが認証情報格納部５１に登録されていない場合、認証情報受付部５２は、アクセスが許可されていない旨を情報提供装置６０に通知する。一方、受け付けた情報アクセス要求に含まれるユーザＩＤおよび認証情報の組み合わせが認証情報格納部５１に登録されている場合、認証情報受付部５２は、当該ユーザＩＤを、情報アクセス要求に含まれている情報ＩＤと共に情報アクセス可否判定部５３へ送る。

情報アクセス権格納部５５には、例えば図２１に示すように、ユーザＩＤ５５１毎に情報アクセス権テーブル５５０が格納されている。それぞれの情報アクセス権テーブル５５０には、それぞれの機密情報を識別する情報ＩＤ５５２毎に、当該機密情報へのアクセス可否５５３を示す情報が格納されている。

情報アクセス可否判定部５３は、認証情報受付部５２からユーザＩＤおよび情報ＩＤを受け取った場合に、情報アクセス権格納部５５を参照して、当該ユーザＩＤに対応する情報アクセス権テーブル５５０を特定する。そして、情報アクセス可否判定部５３は、特定した情報アクセス権テーブル５５０において、認証情報受付部５２から受け取った情報ＩＤに対応する機密情報へのアクセスが許可されているか否かを判定する。認証情報受付部５２から受け取った情報ＩＤに対応する機密情報へのアクセスが許可されていない場合、情報アクセス可否判定部５３は、アクセスが許可されていない旨を情報提供装置６０に通知する。

認証情報受付部５２から受け取った情報ＩＤに対応する機密情報へのアクセスが許可されている場合、情報アクセス可否判定部５３は、アクセスが許可されている機密情報の情報ＩＤおよび情報アクセス要求に含まれているユーザＩＤを含む許可応答を情報提供装置６０へ送信する。そして、情報アクセス可否判定部５３は、情報アクセス要求に含まれるユーザＩＤに対応する情報アクセス権テーブル５５０において、許可応答に含めた情報ＩＤに対応するアクセス可否を、アクセス禁止を示す情報に変更する。

また、情報アクセス可否判定部５３は、許可応答に含めた情報ＩＤと、当該情報ＩＤに対応する機密情報へのアクセスを許可したユーザのユーザＩＤとを対応付けて保持する。また、情報アクセス可否判定部５３は、情報提供装置６０からの動作内容の通知を通信回線１３を介して受信し、ユーザによるアクセスが終了したか否かを判定する。情報アクセス可否判定部５３は、例えば、機密情報へのアクセスの後、情報提供装置６０とのコネクションを切断した旨や、他の機密情報へのアクセスを試行した旨等が動作内容として通知された場合に、ユーザによるアクセスが終了したと判定する。

アクセスが終了したと判定した場合、情報アクセス可否判定部５３は、アクセスの開始から終了までに情報提供装置６０から通知された動作内容、当該機密情報へのアクセスが許可されているユーザのユーザＩＤ、およびアクセスが終了した日時（例えばユーザコンピュータ１４と情報提供装置６０とのコネクションが切断された日時）を含む履歴情報を、通信回線１１を介してアクセス管理装置２０へ送信する。

情報アクセス権変更部５４は、アクセス管理装置２０から、ユーザＩＤおよび情報ＩＤを含むアクセス許可要求を、通信回線１１を介して受信した場合に、情報アクセス権格納部５５を参照して、当該アクセス許可要求に含まれるユーザＩＤに対応する情報アクセス権テーブル５５０を特定し、特定した情報アクセス権テーブル５５０内で、当該アクセス許可要求に含まれる情報ＩＤのアクセス可否を、アクセス許可を示す情報に変更する。

図２２は、情報アクセス制御装置５０の動作の一例を示すフローチャートである。例えば電源が投入される等の所定のタイミングで、情報アクセス制御装置５０は、本フローチャートに示す動作を開始する。

まず、認証情報受付部５２は、情報提供装置６０から情報アクセス要求を受信したか否かを判定する（Ｓ４００）。情報アクセス要求を受信した場合（Ｓ４００：Ｙｅｓ）、情報アクセス可否判定部５３は、受信した情報アクセス要求に含まれるユーザＩＤおよび認証情報の組み合わせが認証情報格納部５１に登録されているか否かを判定する（Ｓ４０１）。

受信した情報アクセス要求に含まれるユーザＩＤおよび認証情報の組み合わせが認証情報格納部５１に登録されていない場合（Ｓ４０１：Ｎｏ）、認証情報受付部５２は、アクセスが許可されていない旨を情報提供装置６０に通知し（Ｓ４０５）、再びステップＳ４００に示した処理を実行する。

受信した情報アクセス要求に含まれるユーザＩＤおよび認証情報の組み合わせが認証情報格納部５１に登録されている場合（Ｓ４０１：Ｙｅｓ）、認証情報受付部５２は、当該ユーザＩＤを、当該情報アクセス要求に含まれている情報ＩＤと共に情報アクセス可否判定部５３へ送る。

次に、情報アクセス可否判定部５３は、認証情報受付部５２から受け取ったユーザＩＤに基づいて情報アクセス権格納部５５を参照し、当該ユーザＩＤに対応する情報アクセス権テーブル５５０を特定する。そして、情報アクセス可否判定部５３は、特定した情報アクセス権テーブル５５０において、認証情報受付部５２から受け取った情報ＩＤに対応する機密情報へのアクセスが許可されているか否かを判定する（Ｓ４０２）。

対応する機密情報へのアクセスが許可されていない場合（Ｓ４０２：Ｎｏ）、情報アクセス可否判定部５３は、アクセスが許可されていない旨を情報提供装置６０に通知し（Ｓ４０５）、認証情報受付部５２は、再びステップＳ１００に示した処理を実行する。

対応する機密情報へのアクセスが許可されている場合（Ｓ４０２：Ｙｅｓ）、情報アクセス可否判定部５３は、アクセスが許可されている機密情報の情報ＩＤおよび情報アクセス要求に含まれているユーザＩＤを含む許可応答を情報提供装置６０へ送信する（Ｓ４０３）。そして、情報アクセス可否判定部５３は、情報アクセス要求に含まれるユーザＩＤに対応する情報アクセス権テーブル５５０において、許可応答に含めた情報ＩＤに対応するアクセス可否を、アクセス禁止を示す情報に変更し（Ｓ４０４）、認証情報受付部５２は、再びステップＳ１００に示した処理を実行する。

ステップＳ４００において、情報アクセス要求を受け付けていない場合（Ｓ４００：Ｎｏ）、情報アクセス可否判定部５３は、通信回線１３を介して、情報提供装置６０から動作内容が通知されたか否かを判定する（Ｓ４０６）。情報提供装置６０から動作内容が通知された場合（Ｓ４０６：Ｙｅｓ）、情報アクセス可否判定部５３は、通知された動作内容を、当該動作内容の契機となった機密情報を要求したユーザのユーザＩＤに対応付けて保持する（Ｓ４０７）。

そして、情報アクセス可否判定部５３は、アクセスが終了したか否かを判定する（Ｓ４０８）。アクセスが終了していない場合（Ｓ４０８：Ｎｏ）、認証情報受付部５２は、再びステップＳ４００に示した処理を実行する。

アクセスが終了した場合（Ｓ４０８：Ｙｅｓ）、情報アクセス可否判定部５３は、アクセスの開始から終了までに情報提供装置６０から通知された動作内容、アクセスが許可されているユーザのユーザＩＤ、およびアクセスが終了した日時を含む履歴情報を、通信回線１１を介してアクセス管理装置２０へ送信し（Ｓ４０９）、認証情報受付部５２は、再びステップＳ４００に示した処理を実行する。

ステップＳ４０６において、情報提供装置６０から動作内容が通知されていない場合（Ｓ４０６：Ｎｏ）、情報アクセス権変更部５４は、通信回線１１を介してアクセス管理装置２０から、ユーザＩＤおよび情報ＩＤを含むアクセス許可要求を受信したか否かを判定する（Ｓ４１０）。アクセス許可要求を受信していない場合（Ｓ４１０：Ｎｏ）、認証情報受付部５２は、再びステップＳ４００に示した処理を実行する。

アクセス許可要求を受信した場合（Ｓ４１０：Ｙｅｓ）、情報アクセス権変更部５４は、情報アクセス権格納部５５を参照して、当該アクセス許可要求に含まれるユーザＩＤに対応する情報アクセス権テーブル５５０を特定し、特定した情報アクセス権テーブル５５０内で、当該アクセス許可要求に含まれる情報ＩＤのアクセス可否を、アクセス許可を示す情報に変更し（Ｓ４１１）、認証情報受付部５２は、再びステップＳ４００に示した処理を実行する。

図２３は、第２の実施形態におけるアクセス管理装置２０の動作の一例を示すフローチャートである。なお、以下に説明する点を除き、図２３において、図１４と同じ符号を付した処理は、図１４と同様の処理であるため説明を省略する。

処理履歴格納部２２に新たに格納された処理ＩＤに対応する処理の次に実行されるべき処理の処理ＩＤを特定した後（Ｓ２０２）、アクセス権制御部２７は、特定した処理ＩＤに基づいてアクセス先情報格納部２６を参照し、当該処理ＩＤに対応する処理において使用されるアクセス先を特定する（Ｓ２１０）。そいて、アクセス権制御部２７は、次の処理で使用されるアクセス先が機密書類格納機器４０か否かを判定する（Ｓ２１１）。

次の処理で使用されるアクセス先が機密書類格納機器４０である場合（Ｓ２１１：Ｙｅｓ）、アクセス権制御部２７は、当該機密書類格納機器４０の機器ＩＤと、処理履歴格納部２２に新たに処理ＩＤが登録された履歴テーブルのユーザＩＤとを含むアクセス許可要求を、通信回線１１を介して物理アクセス制御装置３０へ送信し（Ｓ２１２）、履歴情報取得部２３は、再びステップＳ２００に示した処理を実行する。

次の処理で使用されるアクセス先が機密情報である場合（Ｓ２１１：Ｎｏ）、アクセス権制御部２７は、当該機密情報の機器ＩＤと、処理履歴格納部２２に新たに処理ＩＤが登録された履歴テーブルのユーザＩＤとを含むアクセス許可要求を、通信回線１１を介して情報アクセス制御装置５０へ送信し（Ｓ２１３）、履歴情報取得部２３は、再びステップＳ２００に示した処理を実行する。

図２４は、第２の実施形態におけるアクセス制御システム１０の動作の一例を示すシーケンス図である。なお、以下に説明する点を除き、図２４において、図１５と同じ符号を付した処理は、図１５と同様の処理であるため説明を省略する。

ユーザからの物理アクセス要求に応じて、機密書類格納機器４０のアクセスが許可され、アクセス管理装置２０は、ユーザのアクセス終了を検出して次処理を特定する（Ｓ３０７）。図２４に示す例では、次の処理には情報提供装置６０内の機密情報が使用されるものとする。情報提供装置６０は、ユーザＩＤおよび情報ＩＤを含むアクセス許可要求を情報アクセス制御装置５０へ送信する（Ｓ３１０）。情報アクセス制御装置５０は、当該アクセス許可要求に含まれるユーザＩＤに対応する情報ＩＤのアクセス可否を、アクセス許可を示す情報に変更する（Ｓ３１１）。

次に、ユーザは、ユーザコンピュータ１４を操作し（Ｓ３１２）、ユーザコンピュータ１４は、ユーザＩＤおよび情報ＩＤを含む情報要求を情報提供装置６０へ送信する（Ｓ３１３）。情報提供装置６０は、受信した情報要求に含まれる情報ＩＤが機密情報の情報ＩＤであることを検出して、ユーザコンピュータ１４へ認証情報を要求する（Ｓ３１４）。ユーザは、認証情報読取装置３０３等により認証情報を入力し（Ｓ３１５）、ユーザコンピュータ１４は、入力された認証情報を情報提供装置６０へ送信する（Ｓ３１６）。

情報提供装置６０は、ユーザＩＤ、認証情報、および情報ＩＤを含む情報アクセス要求を情報アクセス制御装置５０へ送信する（Ｓ３１７）。情報アクセス制御装置５０は、受信した情報アクセス要求に含まれるユーザＩＤおよび認証情報の組み合わせが認証情報格納部５１に登録されており、かつ、当該ユーザＩＤについて、情報アクセス要求に含まれている情報ＩＤに対応する機密情報へのアクセスが許可されていることを検出し、ユーザＩＤおよび情報ＩＤを含む許可応答を情報提供装置６０へ送信する（Ｓ３１８）。

情報提供装置６０は、受信した許可応答に含まれる情報ＩＤに対応する機密情報を、当該許可応答に含まれるユーザＩＤに対応するユーザのユーザコンピュータ１４に提供する（Ｓ３１９）。ユーザコンピュータ１４は、受信した機密情報を表示する（Ｓ３２０）。

次に、ユーザは、ユーザコンピュータ１４を操作して、機密情報以外の情報を要求し（Ｓ３２１、Ｓ３２２）、情報提供装置６０は、動作内容を情報アクセス制御装置５０へ通知すると共に（Ｓ３２３）、要求された非機密情報をユーザコンピュータ１４へ提供し（Ｓ３２４）、ユーザコンピュータ１４は、情報提供装置６０から提供された非機密情報を表示する（Ｓ３２５）。

そして、情報アクセス制御装置５０は、通知された動作内容に基づいて、アクセスの終了を検出し（Ｓ３２６）、一連の処理について履歴情報を生成してアクセス管理装置２０へ送信する（Ｓ３２７）。アクセス管理装置２０は、受信した履歴情報から、ユーザが実行中の業務フローにおいて、次に実行されるべき処理を特定する（Ｓ３２８）。そして、アクセス管理装置２０は、次の処理に機密書類格納機器４０が使用される場合には、アクセス許可を情報提供装置６０へ送信し、次の処理に機密情報が使用される場合には、アクセス許可を情報アクセス制御装置５０へ送信する。

以上、本発明の第２の実施形態について説明した。

本実施形態のアクセス制御システム１０によれば、機密書類格納機器４０へのアクセスと情報提供装置６０内の機密情報へのアクセスとが含まれる業務フローにおいても、機密情報のセキュリティを高く保つと共に、業務を正しい手順で作業者に遂行させることができる。

次に、本発明の第３の実施形態について説明する。

図２５は、第３の実施形態におけるアクセス管理装置２０の詳細な機能構成の一例を示す図である。本実施形態のアクセス管理装置２０は、フロー情報格納部２１、処理履歴格納部２２、履歴情報取得部２３、業務情報格納部２４、処理情報格納部２５、アクセス先情報格納部２６、アクセス権制御部２７、および業務フロー推定部２８を備える。

なお、以下に説明する点を除き、図２５において、図７と同じ符号を付した構成は、図７における構成と同一または同様の機能を有するため説明を省略する。また、本実施形態のアクセス制御システム１０は、アクセス管理装置２０の構成のみが、第２の実施形態のアクセス制御システム１０とは異なる点である。

業務情報格納部２４には、例えば図２６に示すように、ユーザＩＤ２４０毎に、当該ユーザＩＤ２４０に対応するユーザが実行している可能性のある業務フローのフローＩＤ２４１が１つ以上格納されている。

業務フロー推定部２８は、処理履歴格納部２２に処理ＩＤが新たに格納された場合に、当該新たに格納された処理ＩＤに対応付けられて処理履歴格納部２２に格納されているユーザＩＤを抽出する。そして、業務フロー推定部２８は、業務情報格納部２４を参照して、抽出したユーザＩＤにフローＩＤが対応付けて登録されているか否かを判定する。

抽出したユーザＩＤにフローＩＤが対応付けて業務情報格納部２４に登録されている場合、業務フロー推定部２８は、当該フローＩＤに対応する業務フローを、抽出したユーザＩＤに対応するユーザが実行中の業務フローとして特定する。一方、抽出したユーザＩＤにフローＩＤが対応付けて業務情報格納部２４に登録されていない場合、業務フロー推定部２８は、フロー情報格納部２１に格納されている全てのフローＩＤに対応する業務フローを、抽出したユーザＩＤに対応するユーザが実行中の業務フローとして特定する。

次に、業務フロー推定部２８は、特定した業務フローの中で、新たに処理履歴格納部２２に格納された処理ＩＤを含む業務フローを抽出する。そして、業務フロー推定部２８は、抽出した業務フローの中で、該当するユーザＩＤの履歴テーブル内の全ての処理ＩＤを、当該履歴テーブルと同一の順番で含む業務フロー、および、業務フローにおいて最初に実行される処理の処理ＩＤから当該新たに処理履歴格納部２２に格納された処理ＩＤまでを、当該履歴テーブルと同一の順番で含む業務フローを抽出する。

例えば、図２７（ａ）に示すように、履歴テーブル２２０内に、ａ、ｂ、ｃ、ｄ、ｅの順で処理ＩＤの履歴が格納されている場合、業務フロー推定部２８は、図２７（ｂ）に示すような業務フローを、履歴テーブル２２０内の全ての処理ＩＤ２２２を、当該履歴テーブル２２０と同一の順番で含む業務フローとして抽出する。

また、業務フロー推定部２８は、図２７（ｃ）に示すような業務フローを、業務フローにおいて最初に実行される処理の処理ＩＤ（図２７（ｃ）の例では「ｂ」）から当該新たに処理履歴格納部２２に格納された処理ＩＤ（図２７（ａ）の例では「ｅ」）までを、当該履歴テーブル２２０と同一の順番で含む業務フローとして抽出する。

そして、業務フロー推定部２８は、抽出した業務フローのフローＩＤを、当該新たに格納された処理ＩＤに対応付けられて処理履歴格納部２２に格納されているユーザＩＤに対応付けて業務情報格納部２４に登録する。アクセス権制御部２７は、業務情報格納部２４に登録されたそれぞれのフローＩＤについて、次に実行されるべき処理の処理ＩＤを特定する。

なお、履歴テーブル内の全ての処理ＩＤを、当該履歴テーブルと同一の順番で含む業務フロー、または、業務フローにおいて最初に実行される処理の処理ＩＤから、新たに処理履歴格納部２２に格納された処理ＩＤまでを、当該履歴テーブルと同一の順番で含む業務フローのいずれに該当する業務フローも存在しない場合、業務フロー推定部２８は、フローＩＤを業務情報格納部２４に登録しない。このとき、前回登録されたフローＩＤが業務情報格納部２４内に存在する場合には、業務フロー推定部２８は、当該フローＩＤを業務情報格納部２４から削除する。

アクセス権制御部２７は、業務情報格納部２４内に対応するユーザのフローＩＤが登録されていない場合、または、処理履歴格納部２２に新たに格納された処理ＩＤが、業務情報格納部２４に格納されているフローＩＤに対応する業務フローに含まれていない場合に、業務が正しく行われていない旨を、通信回線１１を介して物理アクセス制御装置３０に通知し、物理アクセス制御装置３０がその旨をユーザに通知するようにしてもよい。

図２８は、第３の実施形態におけるアクセス管理装置２０の動作の一例を示すフローチャートである。なお、以下に説明する点を除き、図２８において、図２３と同じ符号を付した処理は、図２３と同様の処理であるため説明を省略する。

本実施形態において、履歴情報取得部２３がステップＳ２０１に示す処理を実行した後に、業務フロー推定部２８は図２９において後述する業務フローの推定処理を実行して、ユーザによって実行されている業務フローを１つ以上推定する（Ｓ２２０）。

そして、アクセス権制御部２７は、処理履歴格納部２２に新たに処理ＩＤが登録された履歴テーブルのユーザＩＤに基づいて業務情報格納部２４を参照し、当該ユーザＩＤに対応付けられているフローＩＤを全て抽出する。そして、アクセス権制御部２７は、抽出したそれぞれのフローＩＤに基づいてフロー情報格納部２１を参照し、処理履歴格納部２２に新たに格納された処理ＩＤに対応する処理の次に実行されるべき処理の処理ＩＤをそれぞれ特定する（Ｓ２０２）。

次に、アクセス権制御部２７は、特定したそれぞれの処理ＩＤに基づいてアクセス先情報格納部２６を参照し、当該処理ＩＤに対応する処理において使用される機密書類格納機器４０の機器ＩＤを特定する（Ｓ２０３）。それ以降の処理は、図２３において説明した内容と同様であるため説明を省略する。

図２９は、業務フローの推定処理（Ｓ２２０）の一例を示すフローチャートである。

まず、業務フロー推定部２８は、処理履歴格納部２２に新たに処理ＩＤが格納された履歴テーブルのユーザＩＤについて、業務情報格納部２４内にフローＩＤが登録されているか否かを判定する（Ｓ２２１）。業務情報格納部２４内にフローＩＤが登録されている場合（Ｓ２２１：Ｙｅｓ）、業務フロー推定部２８は、フロー情報格納部２１を参照して、業務情報格納部２４内に登録されているフローＩＤに対応する業務フローの中から、処理履歴格納部２２に履歴として新たに格納された処理ＩＤを含む業務フローを抽出する（Ｓ２２２）。

一方、業務情報格納部２４内にフローＩＤが登録されていない場合（Ｓ２２１：Ｎｏ）、業務フロー推定部２８は、フロー情報格納部２１に格納されている全ての業務フローの中から、処理履歴格納部２２に履歴として新たに格納された処理ＩＤを含む業務フローを抽出する（Ｓ２２３）。

次に、業務フロー推定部２８は、ステップＳ２２２またはＳ２２３で抽出した業務フローの中で、未選択の業務フローを１つ選択し（Ｓ２２４）、選択した業務フローにおいて、処理履歴格納部２２に履歴として新たに格納された処理ＩＤの順番をＮとして保持する（Ｓ２２５）。例えば、図２７（ａ）に示すように、処理履歴格納部２２に履歴として新たに格納された処理ＩＤが「ｅ」である場合、業務フロー推定部２８は、図２７（ｂ）の業務フローについては、処理ＩＤが「ｅ」の順番である「ｎ＋４」をＮとして保持する。

次に、業務フロー推定部２８は、処理履歴格納部２２に履歴として新たに格納された処理ＩＤをＬとして保持する（Ｓ２２６）。例えば、図２７（ａ）に示すように、処理履歴格納部２２に履歴として新たに格納された処理ＩＤが「ｅ」である場合、業務フロー推定部２８は、処理ＩＤ「ｅ」をＬとして保持する。

次に、業務フロー推定部２８は、Ｎを１デクリメントし（Ｓ２２７）、Ｎが０より大きいか否かを判定する（Ｓ２２８）。Ｎが０以下である場合（Ｓ２２８：Ｎｏ）、業務フロー推定部２８は、ステップＳ２２４で選択した業務フローのフローＩＤを、処理履歴格納部２２に新たに処理ＩＤが登録された履歴テーブルのユーザＩＤに対応付けて業務情報格納部２４に登録する（Ｓ２３２）。

そして、業務フロー推定部２８は、ステップＳ２２２またはＳ２２３で抽出した業務フローを全て選択したか否かを判定する（Ｓ２３３）。ステップＳ２２２またはＳ２２３で抽出した業務フローの中に未選択の業務フローがある場合（Ｓ２３３：Ｎｏ）、業務フロー推定部２８は、再びステップＳ２２４に示した処理を実行する。一方、ステップＳ２２２またはＳ２２３で抽出した業務フローを全て選択した場合（Ｓ２３３：Ｙｅｓ）、業務フロー推定部２８は、本フローチャートに示した業務フローの推定処理を終了する。

ステップＳ２２８において、Ｎが０より大きい場合（Ｓ２２８：Ｙｅｓ）、業務フロー推定部２８は、処理履歴格納部２２内にＬよりも古い処理ＩＤが履歴として格納されているか否かを判定する（Ｓ２２９）。処理履歴格納部２２内にＬよりも古い処理ＩＤが履歴として格納されていない場合（Ｓ２２９：Ｎｏ）、業務フロー推定部２８は、ステップＳ２３２に示した処理を実行する。

処理履歴格納部２２内にＬよりも古い処理ＩＤが履歴として格納されている場合（Ｓ２２９：Ｙｅｓ）、業務フロー推定部２８は、選択中の業務フローにおいて、Ｎ番目の処理ＩＤがＬよりも１つ古い処理ＩＤと同一か否かを判定する（Ｓ２３０）。Ｎ番目の処理ＩＤがＬよりも１つ古い処理ＩＤと異なる場合（Ｓ２３０：Ｎｏ）、業務フロー推定部２８は、再びステップＳ２２４に示す処理を実行する。

Ｎ番目の処理ＩＤがＬよりも１つ古い処理ＩＤと同一である場合（Ｓ２３０：Ｙｅｓ）、業務フロー推定部２８は、処理履歴格納部２２内で１つ古い処理ＩＤをＬとして保持し（Ｓ２３０）、再びステップＳ２２７に示した処理を実行する（Ｓ２３１）。

図２７（ｂ）に示した例において、１デクリメントされたＮが「ｎ＋３」である場合、Ｎ番目の処理ＩＤは「ｄ」となる。ステップ２２６において、Ｌとして「ｅ」が保持されているので、ステップＳ２３０において、業務フロー推定部２８は、処理履歴格納部２２内でＬよりも１つ古い処理ＩＤとして「ｄ」を特定する。そして、業務フロー推定部２８は、両者が一致していることを検出し、ステップＳ２３１において、Ｌとして保持されている「ｅ」よりも、処理履歴格納部２２内で１つ古い処理ＩＤである「ｄ」をＬとして保持する。

以上、本発明の第３の実施形態について説明した。

本実施形態のアクセス制御システム１０によれば、ユーザによる処理から業務フローを推定するので、業務フローを予め指定する必要がなく、より利便性の高いシステムを提供することができる。

なお、上記第１の実施形態、第２の実施形態、または第３の実施形態におけるアクセス管理装置２０、物理アクセス制御装置３０、情報アクセス制御装置５０、または情報提供装置６０は、例えば図３０に示すような構成のコンピュータ７０によって実現される。コンピュータ７０は、ＣＰＵ（Central Processing Unit）７１、ＲＡＭ（Random Access Memory）７２、ＲＯＭ（Read Only Memory）７３、ＨＤＤ（Hard Disk Drive）７４、通信インターフェイス（Ｉ／Ｆ）７５、入出力インターフェイス（Ｉ／Ｆ）７６、およびメディアインターフェイス（Ｉ／Ｆ）７７を備える。

ＣＰＵ７１は、ＲＯＭ７３またはＨＤＤ７４に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ７３は、コンピュータ７０の起動時にＣＰＵ７１が実行するブートプログラムや、コンピュータ７０のハードウェアに依存するプログラム等を格納する。

ＨＤＤ７４は、ＣＰＵ７１によって実行されるプログラムを格納する。通信インターフェイス７５は、通信回線を介して他の機器からデータを受信してＣＰＵ７１へ送ると共に、ＣＰＵ７１が生成したデータを、通信回線を介して他の機器へ送信する。

ＣＰＵ７１は、入出力インターフェイス７６を介して、モニタ等の出力装置、および、キーボードやマウス等の入力装置を制御する。ＣＰＵ７１は、入出力インターフェイス７６を介して、入力装置からデータを取得する。また、ＣＰＵ７１は、生成したデータを、入出力インターフェイス７６を介して出力装置へ出力する。

メディアインターフェイス７７は、記録媒体７８に格納されたプログラムまたはデータを読み取り、ＲＡＭ７２に提供する。ＲＡＭ７２を介してＣＰＵ７１に提供されるプログラムは、記録媒体７８に格納されている。当該プログラムは、記録媒体７８から読み出されて、ＲＡＭ７２を介してコンピュータ７０にインストールされ、ＣＰＵ７１によって実行される。記録媒体７８は、例えばＤＶＤ（Digital Versatile Disk）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

コンピュータ７０がアクセス管理装置２０として機能する場合、コンピュータ７０にインストールされて実行されるプログラムは、コンピュータ７０を、フロー情報格納部２１、処理履歴格納部２２、履歴情報取得部２３、業務情報格納部２４、処理情報格納部２５、アクセス先情報格納部２６、アクセス権制御部２７、および業務フロー推定部２８として機能させる。

コンピュータ７０が物理アクセス制御装置３０として機能する場合、コンピュータ７０にインストールされて実行されるプログラムは、コンピュータ７０を、認証情報格納部３１、認証情報受付部３２、物理アクセス可否判定部３３、物理アクセス権変更部３４、物理アクセス権格納部３５、および占有情報格納部３６として機能させる。

コンピュータ７０が情報アクセス制御装置５０として機能する場合、コンピュータ７０にインストールされて実行されるプログラムは、コンピュータ７０を、認証情報格納部５１、認証情報受付部５２、情報アクセス可否判定部５３、情報アクセス権変更部５４、および情報アクセス権格納部５５として機能させる。

コンピュータ７０が情報提供装置６０として機能する場合、コンピュータ７０にインストールされて実行されるプログラムは、コンピュータ７０を、情報アクセス要求部６１、情報提供部６２、機密情報格納部６３、および非機密情報格納部６４として機能させる。

コンピュータ７０は、これらのプログラムを、記録媒体７８から読み取って実行するが、他の例として、他の装置から、通信媒体を介してこれらのプログラムを取得してもよい。通信媒体とは、通信回線、または、当該通信回線を伝搬するディジタル信号もしくは搬送波を指す。

なお、本発明は、上記した実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

例えば、上記した各実施形態において、業務を構成するそれぞれの処理は、認証が必要な処理の単位であったが、本発明はこれに限られず、実行中のユーザを特定可能な処理であれば、どのような単位で業務が区切られていてもよい。例えば、物理アクセス制御装置３０が、それぞれのユーザの顔画像をユーザＩＤに対応付けて予め格納し、部屋の入り口に設けられたカメラで、入退室するユーザの顔を撮像し、撮像した顔画像から、ユーザのＩＤを特定することにより、特定の部屋へのユーザの入退室を業務の１つの処理として認識するようにしてもよい。

また、上記した各実施形態において、アクセス管理装置２０、物理アクセス制御装置３０、情報アクセス制御装置５０、および情報提供装置６０は、それぞれ、別個のコンピュータによって実現されるが、他の形態として、これらの装置は、１台のコンピュータによって実現されてもよい。また、アクセス管理装置２０、物理アクセス制御装置３０、情報アクセス制御装置５０、および情報提供装置６０のそれぞれは、１台以上のコンピュータを通信回線を介して相互に接続することにより、複数のコンピュータによって実現されてもよい。

第１の実施形態におけるアクセス制御システム１０の構成の一例を示すシステム構成図である。 物理アクセス制御装置３０および複数の機密書類格納機器４０の使用形態を説明するための概念図である。 機密書類格納機器４０の詳細な機能構成の一例を示す図である。 物理アクセス制御装置３０の詳細な機能構成の一例を示す図である。 認証情報格納部３１に格納されるデータ構造の一例を示す図である。 物理アクセス権格納部３５に格納されるデータ構造の一例を示す図である。 第１の実施形態におけるアクセス管理装置２０の詳細な機能構成の一例を示す図である。 処理情報格納部２５に格納されるデータ構造の一例を示す図である。 処理履歴格納部２２に格納されるデータ構造の一例を示す図である。 フロー情報格納部２１に格納されるデータ構造の一例を示す図である。 第１の実施形態において業務情報格納部２４に格納されるデータ構造の一例を示す図である。 第１の実施形態においてアクセス先情報格納部２６に格納されるデータ構造の一例を示す図である。 物理アクセス制御装置３０の動作の一例を示すフローチャートである。 第１の実施形態におけるアクセス管理装置２０の動作の一例を示すフローチャートである。 第１の実施形態におけるアクセス制御システム１０の動作の一例を示すシーケンス図である。 第２の実施形態におけるアクセス制御システム１０の構成の一例を示すシステム構成図である。 第２の実施形態においてアクセス先情報格納部２６に格納されるデータ構造の一例を示す図である。 情報提供装置６０の詳細な機能構成の一例を示す図である。 機密情報格納部６４に格納されるデータ構造の一例を示す図である。 情報アクセス制御装置５０の詳細な機能構成の一例を示す図である。 情報アクセス権格納部５５に格納されるデータ構造の一例を示す図である。 情報アクセス制御装置５０の動作の一例を示すフローチャートである。 第２の実施形態におけるアクセス管理装置２０の動作の一例を示すフローチャートである。 第２の実施形態におけるアクセス制御システム１０の動作の一例を示すシーケンス図である。 第３の実施形態におけるアクセス管理装置２０の詳細な機能構成の一例を示す図である。 第３の実施形態において業務情報格納部２４に格納されるデータ構造の一例を示す図である。 処理の履歴からユーザが行っている業務のフローを推定する過程を説明するための概念図である。 第３の実施形態におけるアクセス管理装置２０の動作の一例を示すフローチャートである。 業務フローの推定処理（Ｓ２２０）の一例を示すフローチャートである。 アクセス管理装置２０、物理アクセス制御装置３０、情報アクセス制御装置５０、または情報提供装置６０の機能を実現するコンピュータ７０の構成の一例を示すハードウェア構成図である。

符号の説明

１０・・・アクセス制御システム、１１・・・通信回線、１２・・・通信回線、１３・・・通信回線、１４・・・ユーザコンピュータ、２０・・・アクセス管理装置、２１・・・フロー情報格納部、２２・・・処理履歴格納部、２３・・・履歴情報取得部、２４・・・業務情報格納部、２５・・・処理情報格納部、２６・・・アクセス先情報格納部、２７・・・アクセス権制御部、２８・・・業務フロー推定部、３０・・・物理アクセス制御装置、３１・・・認証情報格納部、３２・・・認証情報受付部、３３・・・物理アクセス可否判定部、３４・・・物理アクセス権変更部、３５・・・物理アクセス権格納部、３６・・・占有情報格納部、４０・・・機密書類格納機器、４１・・・通知部、４２・・・鍵制御部、４３・・・動作内容通知部、４４・・・センサ、４５・・・機密書類格納部、５０・・・情報アクセス制御装置、５１・・・認証情報格納部、５２・・・認証情報受付部、５３・・・情報アクセス可否判定部、５４・・・情報アクセス権変更部、５５・・・情報アクセス権格納部、６０・・・情報提供装置、６１・・・情報アクセス要求部、６２・・・情報提供部、６３・・・機密情報格納部、６４・・・非機密情報格納部

Claims (8)

1. 機密書類を格納して施錠されている機密書類格納機器を、当該機密書類へのアクセスが許可されているユーザからの要求に応じて開錠させる物理アクセス制御装置と、
   ユーザを識別するユーザＩＤおよび前記機密書類格納機器を識別する機器ＩＤの組み合わせ毎に、対応する機密書類格納機器に格納されている機密書類へのアクセスの可否を前記物理アクセス制御機器に設定するアクセス管理装置と
   を備え、
   前記物理アクセス制御装置は、
   ユーザＩＤ毎に、機器ＩＤ毎のアクセス許可またはアクセス禁止を示す情報を格納する物理アクセス権格納手段と、
   前記アクセス管理装置からユーザＩＤおよび機器ＩＤを含むアクセス許可要求を受信した場合に、当該アクセス許可要求に含まれるユーザＩＤおよび機器ＩＤの組み合わせについて前記アクセス権格納手段に格納されているアクセス禁止を示す情報を、アクセス許可を示す情報に書き換える物理アクセス権変更手段と、
   ユーザから物理アクセス要求を受け付けた場合に、前記物理アクセス権格納手段を参照して、当該ユーザのユーザＩＤについてアクセスが許可されている機密書類格納機器の機器ＩＤを特定し、特定した機器ＩＤに対応する機密書類格納機器を開錠させると共に、当該物理アクセス要求に応じて機密書類格納機器が実行した処理の内容、当該処理が実行された日時、および当該物理アクセス要求の要求元のユーザのユーザＩＤを含む履歴情報を前記アクセス管理装置へ送信する物理アクセス可否判定手段と
   を有し、
   前記アクセス管理装置は、
   ユーザＩＤ毎に、機密書類格納機器によって実行された処理の内容および当該処理が実行された日時を格納する処理履歴格納手段と、
   それぞれの処理の内容を、それぞれの処理内容を識別する処理ＩＤに対応付けて格納する処理情報格納手段と、
   業務の流れを示す業務フローを識別するフローＩＤ毎に、当該業務を構成する複数の処理のそれぞれを識別する処理ＩＤを、当該当該業務フローにおいて実行されるべき順番を示す情報に対応付けて格納するフロー情報格納手段と、
   ユーザＩＤ毎にフローＩＤを格納する業務情報格納手段と、
   処理ＩＤ毎に、当該処理ＩＤに対応する処理において使用される機密書類が格納されている機密書類格納機器の機器ＩＤを格納するアクセス先情報格納手段と、
   前記物理アクセス制御装置から前記履歴情報を受信した場合に、当該履歴情報に含まれる処理内容に対応する処理ＩＤを前記処理情報格納手段から抽出し、抽出した処理ＩＤを、当該履歴情報に含まれているユーザＩＤおよび日時に対応付けて前記処理履歴格納手段に格納する履歴情報取得手段と、
   前記処理履歴格納手段に新たな処理ＩＤが格納された場合に、当該新たに格納された処理ＩＤに対応付けられて前記処理履歴格納手段に格納されているユーザＩＤに基づいて前記業務情報格納手段を参照して、当該ユーザＩＤに対応付けられているフローＩＤを抽出し、前記フロー情報格納手段を参照して、抽出したフローＩＤに対応する業務フローにおいて、当該新たに格納された処理ＩＤの次に実行されるべき処理の処理ＩＤを特定し、前記アクセス先情報格納手段を参照して、特定した処理ＩＤに対応付けられて前記アクセス先情報格納手段に格納されている機器ＩＤを抽出し、抽出した機器ＩＤ、および、前記新たに格納された処理内容に対応付けられて前記処理情報格納手段に格納されているユーザＩＤを含むアクセス許可要求を前記物理アクセス制御装置へ送信するアクセス権制御手段と
   を有することを特徴とするアクセス制御システム。
2. 請求項１に記載のアクセス制御システムであって、
   前記物理アクセス制御装置は、
   それぞれのユーザのユーザＩＤ毎に、当該ユーザの認証情報を格納する第一の認証情報格納手段と、
   ユーザから当該ユーザの認証情報を含む物理アクセス要求を受信した場合に、前記第一の認証情報格納手段を参照して、当該物理アクセス要求に含まれる認証情報と同一の認証情報に対応付けられているユーザＩＤを特定し、特定したユーザＩＤを前記物理アクセス可否判定手段へ送信する第一の認証情報受付手段と
   をさらに有し、
   前記物理アクセス可否判定手段は、
   前記第一の認証情報受付手段からユーザＩＤを受信した場合に、前記アクセス権格納手段を参照して、当該ユーザＩＤについてアクセスが許可されている機密書類格納機器の機器ＩＤを特定することを特徴とするアクセス制御システム。
3. 請求項１または２に記載のアクセス制御システムであって、
   機密情報を格納する情報提供装置と、
   機密情報へのアクセスが許可されているユーザからの要求に応じて、当該ユーザへの当該機密情報の提供の可否を判定する情報アクセス制御装置と
   をさらに備え、
   前記情報提供装置は、
   機密情報を識別する情報ＩＤに対応付けて、それぞれの機密情報を格納する機密情報格納手段と、
   ユーザが使用するコンピュータから機密情報の提供を要求された場合に、当該機密情報の情報ＩＤおよび当該ユーザを識別するユーザＩＤを含む情報アクセス要求を前記情報アクセス制御装置へ送信する情報アクセス要求手段と、
   前記情報アクセス制御装置から、ユーザを識別するユーザＩＤおよび情報ＩＤを含む情報提供許可応答を受信した場合に、当該情報提供許可応答に含まれる情報ＩＤに対応する機密情報を前記機密情報格納手段から抽出して、当該情報提供許可応答に含まれるユーザＩＤに対応するユーザのコンピュータへ送信する情報提供手段と
   を有し、
   前記情報アクセス制御装置は、
   ユーザＩＤ毎に、情報ＩＤ毎のアクセス許可またはアクセス禁止を示す情報を格納する情報アクセス権格納手段と、
   前記アクセス管理装置からユーザＩＤおよび情報ＩＤを含むアクセス許可要求を受信した場合に、当該アクセス許可要求に含まれるユーザＩＤおよび情報ＩＤの組み合わせについて前記情報アクセス権格納手段に格納されているアクセス禁止を示す情報を、アクセス許可を示す情報に書き換える情報アクセス権変更手段と、
   前記情報提供装置から情報アクセス要求を受信した場合に、前記情報アクセス権格納手段を参照して、当該情報アクセス要求に含まれているユーザを識別する情報から特定されるユーザＩＤについて、アクセスが許可されている機密情報の情報ＩＤを特定し、特定されたユーザＩＤおよび情報ＩＤを含む情報提供許可応答を前記情報提供装置へ送信すると共に、当該情報アクセス要求に応じて前記情報提供装置が実行した処理の内容、当該処理が実行された日時、および当該情報アクセス要求の要求元のユーザのユーザＩＤを含む履歴情報を前記アクセス管理装置へ送信する情報アクセス可否判定手段と
   を有し、
   前記アクセス管理装置の前記アクセス先情報格納手段は、
   処理ＩＤ毎に、当該処理ＩＤに対応する処理において使用される機密情報の情報ＩＤをさらに格納し、
   前記アクセス管理装置の前記アクセス権制御手段は、
   前記処理履歴格納手段に新たな処理ＩＤが格納された場合に、当該新たに格納された処理ＩＤの次に実行されるべき処理の処理ＩＤを特定し、前記アクセス先情報格納手段を参照して、特定した処理ＩＤに機器ＩＤが対応付けられている場合には、当該機器ＩＤおよびユーザＩＤを含むアクセス許可要求を前記物理アクセス制御装置へ送信し、特定した処理ＩＤに情報ＩＤが対応付けられている場合には、当該情報ＩＤおよびユーザＩＤを含むアクセス許可要求を前記情報アクセス制御装置へ送信することを特徴とするアクセス制御システム。
4. 請求項３に記載のアクセス制御システムであって、
   前記情報アクセス制御装置は、
   それぞれのユーザのユーザＩＤ毎に、当該ユーザの認証情報を格納する第二の認証情報格納手段と、
   ユーザから当該ユーザの認証情報を含む情報アクセス要求を受信した場合に、前記第二の認証情報格納手段を参照して、当該情報アクセス要求に含まれる認証情報と同一の認証情報に対応付けられているユーザＩＤを特定し、特定したユーザＩＤを前記情報アクセス可否判定手段に送信する第二の認証情報受付手段と
   をさらに有し、
   前記情報アクセス可否判定手段は、
   前記第二の認証情報受付手段からユーザＩＤを受信した場合に、前記情報アクセス権格納手段を参照して、当該ユーザＩＤについて、アクセスが許可されている機密情報の情報ＩＤを特定することを特徴とするアクセス制御システム。
5. 請求項１から４のいずれか一項に記載のアクセス制御システムであって、
   前記アクセス管理装置は、
   前記処理履歴格納手段に新たな処理内容が格納された場合に、当該新たに格納された処理内容に対応付けられているユーザＩＤの処理の履歴について、前記処理情報格納手段を参照してそれぞれの処理内容に対応する処理ＩＤを特定し、当該履歴に含まれる全ての処理の処理ＩＤを、当該履歴と同一の順番で含む業務フロー、および、当該新たに格納された処理内容に対応する処理ＩＤを含む業務フローであって、当該業務フローにおいて最初に実行される処理内容から当該新たに格納された処理内容までのそれぞれの処理に対応する処理ＩＤを、当該履歴と同一の順番で含む業務フローを、当該ユーザＩＤに対応するユーザが実行している業務フローであると推定し、推定した業務フローのフローＩＤを、当該履歴に対応するユーザＩＤに対応付けて前記業務情報格納手段に格納する業務フロー推定手段
   をさらに有することを特徴とするアクセス制御システム。
6. 請求項５に記載のアクセス制御システムであって、
   前記業務フロー推定手段は、
   前記処理履歴格納手段に新たな処理内容が格納された場合に、前記業務情報格納手段を参照して、当該新たに格納された処理内容に対応付けられているユーザＩＤと共にフローＩＤが前記業務情報格納手段に格納されているか否かを判定し、
   当該新たに格納された処理内容に対応付けられているユーザＩＤと共にフローＩＤが前記業務情報格納手段に格納されていない場合は、前記フロー情報格納手段に格納されている全ての業務フローを対象として、当該ユーザＩＤに対応するユーザが実行している業務フローを推定する処理を実行し、
   当該新たに格納された処理内容に対応付けられているユーザＩＤと共にフローＩＤが前記業務情報格納手段に格納されている場合は、当該業務情報格納手段に格納されているフローＩＤに対応する業務フローの中から、当該ユーザＩＤに対応するユーザが実行している業務フローを推定する処理を実行することを特徴とするアクセス制御システム。
7. 請求項１から６のいずれか一項に記載のアクセス制御システムであって、
   それぞれの前記機密書類格納機器は、
   施錠および開錠を制御する鍵制御手段と、
   前記物理アクセス制御手段からの指示により、前記鍵制御手段が開錠を実行した場合に、音、光、表示装置による表示、またはこれらの組み合わせにより、開錠した旨をユーザに通知する通知手段と
   を有することを特徴とするアクセス制御システム。
8. 請求項１から７のいずれか一項に記載のアクセス制御システムであって、
   前記物理アクセス制御装置は、
   機密書類格納機器に現在アクセスしているユーザのユーザＩＤを、当該機密書類格納機器の機器ＩＤに対応付けて格納する占有情報格納手段をさらに有し、
   前記物理アクセス可否判定手段は、
   ユーザから物理アクセス要求を受け付けた場合に、当該ユーザのユーザＩＤについてアクセスが許可されている機密書類格納機器の機器ＩＤを特定し、当該ユーザＩＤが、特定した機器ＩＤに対応付けられて前記占有情報格納手段に格納されているならば、特定した機器ＩＤに対応する機密書類格納機器に開錠を指示しないことを特徴とするアクセス制御システム。

Images