JPH1125052A

JPH1125052A - アクセス制御方式

Info

Publication number: JPH1125052A
Application number: JP9179310A
Authority: JP
Inventors: Haruhiko Araki; 春彦荒木; Michio Suzuki; 三知男鈴木; Yasushi Sawada; 安史沢田; Satoko Yamada; 聡子山田; Hitoshi Ihara; 均井原
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1997-07-04
Filing date: 1997-07-04
Publication date: 1999-01-29

Abstract

(57)【要約】【課題】ＩＴＵ−Ｔ勧告Ｘ．７４１ＩＳＯ／ＩＥＣ国
際標準１０１６４−９により規定された管理情報モデル
を設定情報とする不正操作防止システムにおいて、設定
情報と操作要求対象との照合を高速に行う。【解決手段】設定情報の一部であるアクセス制御対象１
７の基点オブジェクト１６を表すＦＤＮ（識別名）と、
操作要求対象１９の基点オブジェクト１８を表すＦＤＮ
との比較により、両ＦＤＮの一致部分の階層数ｋを求め
る。求めたｋと、アクセス制御対象１７を指定してい
る、基点オブジェクト１６のＦＤＮの階層数ｎ、スコー
プ種別、スコープの深さｙ、及び操作要求対象１９を指
定している、基点オブジェクト１８のＦＤＮの階層数
ｍ、スコープ種別、スコープの深さｘの七つのパラメー
タ値について予め定めた条件則に従って、アクセス制御
対象１７と操作要求対象１９との共通部分２０を表す基
点オブジェクトとスコープを決定する。その後共通部分
２０について、設定情報の認否指定に基づき操作を認可
するか否かを判断する。

Description

【発明の詳細な説明】

【０００１】

【発明が属する技術分野】本発明は操作要求を制限する
機構を具備する不正操作防止システムに関し、特にＩＴ
Ｕ−Ｔ勧告Ｘ．７４１ＩＳＯ／ＩＥＣ国際標準１０１
６４−９により規定された情報モデルに基づいて操作要
求を制限する機構を具備する不正操作防止システムに関
する。

【０００２】

【従来の技術】図１は、ＩＴＵ−Ｔ勧告Ｘ．８１２Ｉ
ＳＯ／ＩＥＣ国際標準１０１８１−３によって規定され
たアクセス制御モデルに基づく不正操作防止システムを
備えた、ＩＴＵ−Ｔ勧告Ｘ．７４１ＩＳＯ／ＩＥＣ国
際標準１０１６４−９で規定された管理情報モデルをア
クセス制御のための設定情報として用いる管理システム
及び非管理システムの例であり、ＳＤＨ伝送装置の管理
インタフェースの機能構成例である。

【０００３】図１において、操作要求メッセージ１０１
には、該操作要求メッセージを発行したＯｐＳ或はユー
ザプロセス等の操作要求発行者１を特定するための、識
別子若しくはトークン等のイニシエータ固有ＡＣＩ（Ａ
ｃｃｅｓｓＣｏｎｔｒｏｌＩｎｆｏｒｍａｔｉｏｎ）
が該操作要求発行者によって付加されていなければなら
ない。

【０００４】図１における被管理システムは、ＯＳＩプ
ロトコル階層の第１層乃至第６層を処理するプロトコル
エンティティ及び第７層のＡＣＳＥ／ＲＯＳＥ／ＣＭＩ
ＳＥを具備した通信制御部２と、操作要求を認可或は拒
否する処理を実行するアクセス制御行使機能部（ＡＥ
Ｆ）３と、操作要求メッセージで要求されている操作を
認めるか否かの判断処理を実行するアクセス制御判断機
能部（ＡＤＦ）４と、装置内の主信号系ＰＣＢや制御系
ＰＣＢ並びに装置運用に必要な設定情報を記憶しておく
Ｆ−ＰＲＯＭや磁気ディスク等の記憶装置から成る装置
内各種ハードウェアと、該装置内各種ハードウェアの論
理インタフェースに係る処理を実行するＯＳＩ管理イン
タフェース機能部５とから構成されている。該ＯＳＩ管
理インタフェース機能部５は、ＩＴＵ−Ｔ勧告Ｘ．７２
０ＩＳＯ／ＩＥＣ国際標準１０１６５−１及びＩＴＵ
−Ｔ勧告Ｘ．７２２ＩＳＯ／ＩＥＣ国際標準１０１６
５−４で規定されている管理オブジェクト（ＭＯ）を前
記管理システムに対するインタフェースとして提供す
る、管理情報ベース（ＭＩＢ）を備えている。

【０００５】図１の被管理システムにおいて、管理シス
テムから送信された操作要求メッセージ１０１は先ず前
記通信制御部２に入力され、第７層（アプリケーション
層）で解釈可能な形式に変換される。該通信制御部で変
換された全ての操作要求メッセージは次に、前記ＡＥＦ
３に渡され、更に前記ＡＤＦ４に渡される（１０
２）。

【０００６】該ＡＤＦは装置内通信手段１０３によっ
て、前記ＯＳＩ管理インタフェース機能部を利用して前
記アクセス制御のための設定情報を取得し、該操作要求
メッセージと該設定情報とを比較照合することにより、
該操作要求メッセージによって要求されている操作を認
可するか否かの判断及び該操作要求メッセージの対象の
うちで該操作を認可或は拒否する範囲の特定に係る処理
を行い、該判断及び該特定の結果を該ＡＥＦに通知する
（１０４）。

【０００７】該ＡＥＦは該ＡＤＦの処理結果１０４を受
け取ると、該操作が認可されている場合には、該操作要
求メッセージの対象（操作要求対象）のうちで該操作が
認可される範囲（操作認可対象）を対象とした該操作を
指示する操作指示を該ＯＳＩ管理インタフェース機能部
に対して発行する（１０５）。該ＯＳＩ管理インタフェ
ース機能部は、該操作指示１０５を受け取ると、該操作
に係る処理を前記装置内各種ハードウェアに対して実行
し、更に該操作が応答を必要とするものであれば操作応
答を発行して該ＡＥＦに渡す（１０６）。

【０００８】該操作要求対象と該操作認可対象とが一致
する場合、該ＡＥＦは該ＯＳＩ管理インタフェース機能
部から受け取った該操作応答１０６をそのまま該操作要
求メッセージに対する操作確認メッセージとして、前記
通信制御部を利用して前記操作要求発行者宛に送信する
（１０７）。該操作認可対象が該操作要求対象の一部で
ある場合、該ＡＥＦは該ＯＳＩ管理インタフェース機能
部から受け取った該操作応答１０６と該操作要求メッセ
ージとが矛盾しないようにエラー情報等の必要な情報を
補って、該操作要求メッセージに対する操作確認メッセ
ージを作成し、前記通信制御部を利用して前記操作要求
発行者宛に送信する（１０７）。

【０００９】一方、該ＡＥＦが受け取った該ＡＤＦの処
理結果１０４が該操作を拒否するものであった場合であ
って且つ前記設定情報によって操作拒否メッセージの発
行が必要である旨設定が為されている場合には、該ＡＥ
Ｆは操作拒否メッセージを作成し、前記通信制御部を利
用して前記操作要求発行者宛に送信する（１０８）。

【００１０】図２は、図１におけるＡＥＦ，ＡＤＦのソ
フトウェアモジュール構成及びＯＳＩ管理インタフェー
ス機能部との相互作用の例である。

【００１１】前記通信制御部でアプリケーション層で解
釈可能な形式に変換された前記操作要求メッセージ１０
９は、該ＡＥＦ内の受信制御モジュール６に渡される。
該受信制御モジュールはＦＩＦＯ型メッセージバッファ
を備えており、該操作要求メッセージを早く到着したも
のから順に該ＡＤＦのプログラム実行制御モジュール７
に渡す。該プログラム実行制御モジュールは、該ＡＤＦ
におけるアクセス制御判断に係る処理の実行を制御する
機能と、該処理の結果を該ＡＥＦに通知する機能とを持
つ。該プログラム実行制御モジュールは該操作要求メッ
セージを受け取ると、設定情報検索モジュール８を起動
する。該設定情報検索モジュールは、前記アクセス制御
のための設定情報をｒｕｌｅクラスＭＯインスタンス単
位で検索する。

【００１２】ｒｕｌｅクラスＭＯは、自身が表すアクセ
ス制御のための規則の適用範囲を、操作要求発行者に関
してはｉｎｉｔｉａｔｏｒｓＬｉｓｔ属性で、アクセス
制御の対象となるＭＯ（アクセス制御対象）に関しては
ｔａｒｇｅｔｓＬｉｓｔ属性で表し、操作の認可／拒否
の別に関してはｅｎｆｏｒｃｅｍｅｎｔＡｃｔｉｏｎ属
性で表している。ｒｕｌｅクラスＭＯのｅｎｆｏｒｃｅ
ｍｅｎｔＡｃｔｉｏｎ属性はまた、操作の拒否を指定す
る場合には拒否の際に前記被管理システムがとるべき行
動（アクセス制御行使行動）を、無視、操作拒否メッセ
ージの発行、偽りの応答メッセージの発行、及びアソシ
エーションの切断の４つの中から１つ指定する。

【００１３】該設定情報検索モジュールは、該ｒｕｌｅ
クラスＭＯインスタンスのｉｎｉｔｉａｔｏｒｓＬｉｓ
ｔ属性で指定されている、ｉｎｉｔｉａｔｏｒｓクラス
のサブクラスのＭＯインスタンス（イニシエータ指定Ｍ
Ｏインスタンス）毎にイニシエータ照合モジュールを呼
び出す。該イニシエータ照合モジュールは、該イニシエ
ータ指定ＭＯインスタンスの属性で表される設定情報
と、前記イニシエータ固有ＡＣＩとを照合して、該ｒｕ
ｌｅクラスＭＯインスタンスで表される設定情報が前記
操作要求発行者に関するものであるかどうかを判断し、
判断結果を該設定情報検索モジュールに戻す。

【００１４】該ｒｕｌｅクラスＭＯインスタンスで表さ
れる設定情報が前記操作要求発行者に関するものである
と判断された場合、該設定情報検索モジュールは次に該
ｒｕｌｅクラスＭＯインスタンスのｔａｒｇｅｔｓＬｉ
ｓｔ属性で指定されているｔａｒｇｅｔｓクラスＭＯイ
ンスタンス毎に操作対象照合モジュールを呼び出す。該
操作対象照合モジュールは、該ｔａｒｇｅｔｓクラスＭ
Ｏインスタンスの属性で指定されているアクセス制御対
象と、該操作要求対象とを比較照合し、前記操作認可対
象或は該操作要求対象のうちで該操作が拒否される範囲
（操作拒否対象）を求め、求めた結果を該設定情報検索
モジュールに戻す。

【００１５】該操作対象照合モジュールの実行が終了す
ると、該設定情報検索モジュールは該ｒｕｌｅクラスＭ
Ｏインスタンスを参照した結果得られた該操作認可／拒
否対象及びアクセス制御行使行動を該プログラム実行制
御モジュールに戻す。

【００１６】該プログラム実行制御モジュールは、該被
管理システム内に存在するｒｕｌｅクラスＭＯインスタ
ンスの検索の制御の他に、該ｒｕｌｅクラスＭＯインス
タンスの上位ＭＯであるａｃｃｅｓｓＣｏｎｔｒｏｌＲ
ｕｌｅｓクラスＭＯインスタンスを参照して、該ｒｕｌ
ｅクラスＭＯインスタンスで表される設定情報が該操作
要求に適用されない場合のデフォルトのアクセス制御行
使行動や、操作拒否を操作要求メッセージ単位で行う
か、ＭＯインスタンス単位で行うか、属性単位で行うか
の別（拒否粒度）を判断した上で、該操作に対する行使
行動並びに該操作認可／拒否対象を該ＡＥＦに通知す
る。

【００１７】以上の、該ＡＤＦの各モジュールによるア
クセス制御のための設定情報の参照は、全て前記ＯＳＩ
管理インタフェース機能部の内部通信インタフェースモ
ジュール１１を利用して行われるため、アクセス制御の
対象とはならない。

【００１８】該ＡＤＦの処理結果は、該ＡＥＦの操作要
求転送モジュール１２に渡される。該操作要求転送モジ
ュールは、該操作要求のうち認可されるものについては
前記操作指示１０５を作成し、該ＯＳＩ管理インタフェ
ース機能部のメインエージェントモジュール１３に対し
て発行する。

【００１９】該メインエージェントモジュールは、前記
ＭＩＢを通して行われる各種操作及びその応答メッセー
ジの発行に係る処理を実行する。該操作指示によって指
示された操作が、応答を必要とするものである場合、該
メインエージェントモジュールは操作応答１０６を発行
し該ＡＥＦの応答メッセージ作成モジュール１５に渡
す。

【００２０】一方、該操作要求転送モジュールは、該操
作に対する行使行動が「操作拒否メッセージの発行」又
は「偽りの応答メッセージの発行」である場合には、該
行使行動並びに該操作拒否対象を該ＡＥＦの拒否メッセ
ージパラメータ作成モジュール１４に渡す。該拒否メッ
セージパラメータ作成モジュールは、該行使行動が「操
作拒否メッセージの発行」である場合には操作エラーを
表す応答メッセージパラメータを、「偽りの応答メッセ
ージの発行」では適当な偽りの応答メッセージパラメー
タを、それぞれ作成し該応答メッセージ作成モジュール
に渡す。

【００２１】該応答メッセージ作成モジュールは、該メ
インエージェントモジュールから受け取った該操作応答
と該拒否メッセージパラメータ作成モジュールから受け
取った該拒否メッセージパラメータとの何れか一方若し
くは両方を用いて前記操作確認メッセージ或は操作拒否
メッセージを作成し、前記通信制御部に渡す。

【００２２】ＩＴＵ−Ｔ勧告Ｘ．７１０ＩＳＯ／ＩＥ
Ｃ国際標準９５９５及びＩＴＵ−Ｔ勧告Ｘ．７１１Ｉ
ＳＯ／ＩＥＣ国際標準９５９６−１により規定されてい
る通信プロトコルＣＭＩＰの操作要求メッセージにおい
て、操作対象となるＭＯの範囲は以下の４種のパラメー
タによって指定される。

【００２３】（イ）基点オブジェクトクラス（ロ）基点オブジェクトインスタンス（ハ）スコープ（ニ）フィルタ該基点オブジェクトクラスパラメータのシンタックスは
ＩＴＵ−Ｔ勧告Ｘ．７１１ＩＳＯ／ＩＥＣ国際標準９
５９６−１により規定されているオブジェクト識別子
（ＯＩＤ）である。該基点オブジェクトインスタンスパ
ラメータは、操作要求対象のスコープ指定の基点となる
ＭＯインスタンスを一意に示すＦＤＮ（ＦｕｌｌＤｉ
ｓｔｉｎｇｕｉｓｈｅｄＮａｍｅ）で与えられる。Ｆ
ＤＮは、該基点ＭＯインスタンス及び包含関係上の上位
の管理オブジェクト全ての相対識別名（ＲＤＮ、Ｒｅｌ
ａｔｉｖｅＤｉｓｔｉｎｇｕｉｓｈｅｄＮａｍｅ）
の配列で定義される。そこで該操作要求メッセージの基
点オブジェクトインスタンスパラメータ（ｂａｓｅＯｂ
ｊｅｃｔＩｎｓｔａｎｃｅ）及びスコープパラメータ
（ｓｃｏｐｅ）を次式の様に記する。

【００２４】

【数１】

【００２５】前記の式中Ａ_mはｍ個の要素から成る構造
型の配列の意である。

【００２６】また、ＩＴＵ−Ｔ勧告Ｘ．７４１ＩＳＯ
／ＩＥＣ国際標準１０１６４−９により規定された情報
モデルにおいて、操作要求を認可或は拒否する範囲を指
定する情報は、ｔａｒｇｅｔｓクラスＭＯの属性のうち
以下の４種の属性によって表される。

【００２７】（イ）基点オブジェクトクラス（複数指定
可）（ロ）基点オブジェクトインスタンス（複数指定可）（ハ）スコープ（ニ）フィルタ該基点オブジェクトクラスパラメータのシンタックスも
ＩＴＵ−Ｔ勧告Ｘ．７１１ＩＳＯ／ＩＥＣ国際標準９
５９６−１により規定されているオブジェクト識別子
（ＯＩＤ）である。該ｔａｒｇｅｔｓクラス管理オブジ
ェクトの基点オブジェクトインスタンス属性も、ＦＤＮ
の配列で定義される。そこで該基点オブジェクトインス
タンス属性（ｍａｎａｇｅｄＯｂｊｅｃｔＩｎｓｔａｎ
ｃｅｓ）及びｓｃｏｐｅ属性（ｓｃｏｐｅ）を次式の様
に記する。

【００２８】

【数２】

【００２９】上式中｛Ｂ_n｝はｎ個の要素から成る構造
型の配列Ｂ_nの集合の意である。

【００３０】前記２つの式中で用いた構造型を次式で定
義する。

【００３１】

【数３】

【００３２】上式中のスコープ種別と整数値との組み合
わせは次の５種に分けられる。

【００３３】基点ＭＯインスタンスのみが指定対象範囲
のとき前記組み合わせは（ＩＮＴＥＧＥＲ，０）とな
り、以下（ＩＮＴＥＧＥＲ，ｂａｓｅＯｂｊｅｃｔ
（０））と記す。

【００３４】基点ＭＯインスタンスより一階層下の下位
オブジェクト全てが指定対象範囲のとき前記組み合わせ
は（ＩＮＴＥＧＥＲ，１）となり、以下（ＩＮＴＥＧ
ＥＲ，ｆｉｒｓｔＬｅｖｅｌＯｎｌｙ（１））と記
す。

【００３５】基点ＭＯインスタンス以下の部分包含木即
ち基点オブジェクト及びその下位のオブジェクト全てが
指定対象範囲のとき前記組み合わせは（ＩＮＴＥＧＥ
Ｒ，２）となり、以下（ＩＮＴＥＧＥＲ，ｗｈｏｌｅ
Ｓｕｂｔｒｅｅ（２））と記す。

【００３６】基点ＭＯインスタンスよりｘ階層下の下位
オブジェクト全てが指定対象範囲のとき前記組み合わせ
は（ｉｎｄｉｖｉｄｕａｌＬｅｖｅｌｓ，ｘ）とな
る。

【００３７】基点ＭＯインスタンスよりｘ階層下までの
部分包含木即ち基点オブジェクト及びｘ階層下までの全
ての下位オブジェクトが指定対象範囲のとき前記組み合
わせは（ｂａｓｅＴｏＮｔｈＬｅｖｅｌｓ，ｘ）とな
る。

【００３８】図３は、基点ＭＯインスタンスとスコープ
とで表される範囲の例を、多重セクションＡＰＳ（Ａｕ
ｔｏｍａｔｉｃＰｒｏｔｅｃｔｉｏｎＳｗｉｔｃｈ
ｉｎｇ）及びＨＣＳ（Ｈｉｇｈｅｒ−ｏｒｄｅｒＣｏ
ｎｎｅｃｔｉｏｎＳｕｐｅｒｖｉｓｉｏｎ）を備えた
ＳＤＨ多重化装置タイプIIのＭＩＢの例（一部）を用い
て示したものである。

【００３９】図３の例において、基点ＭＯインスタンス
１６のＦＤＮは、該装置内の最上位ＭＯインスタンスで
あるｓｄｈＮＥクラスＭＯインスタンスのＲＤＮを表す
該ｓｄｈＮＥクラスＭＯの属性ｍａｎａｇｅｄＥｌｅｍ
ｅｎｔＩｄ（図中ｍＥＩと略記）と、該ｓｄｈＮＥクラ
スＭＯインスタンスの一階層下の下位ＭＯインスタンス
であるｐｒｏｔｅｃｔｅｄＴＴＰＳｉｎｋクラスＭＯイ
ンスタンスのＲＤＮを表す該ｐｒｏｔｅｃｔｅｄＴＴＰ
ＳｉｎｋクラスＭＯの属性ｐｒｏｔｅｃｔｅｄＴＴＰＩ
ｄ（図中ｐＴＩと略記）と、該ｐｒｏｔｅｃｔｅｄＴＴ
ＰＳｉｎｋクラスＭＯインスタンスの下位ＭＯインスタ
ンスであり該基点ＭＯインスタンス自身であるａｕｇＳ
ｉｎｋクラスＭＯインスタンスのＲＤＮを表す該ａｕｇ
ＳｉｎｋクラスＭＯの属性ａｕｇＩｄ（図中ａＩと略
記）との配列で表されている。

【００４０】また、図３の例において、スコープによる
指定対象範囲は「基点ＭＯインスタンスより２階層下ま
での部分包含木」であり、該基点ＭＯインスタンス及び
該スコープによって指定される範囲は図中斜線部で表さ
れる範囲となる。

【００４１】図４は、アクセス制御対象，操作要求対
象、及び操作認可／拒否対象の例を、図３のＭＩＢの例
を用いて示したものである。該アクセス制御対象はＢ₃
＝｛(ｍＥＩ，１０２），（ｐＴＩ，１３０），（ａ
Ｉ，３）｝で表される基点ＭＯインスタンス１６とスコ
ープｔ＝（ｂａｓｅＴｏＮｔｈＬｅｖｅｌ，２）とで指
定された範囲１７である。該操作要求対象はＡ₂＝
｛（ｍＥＩ，１０２），（ｐＴＩ，１３０）｝で表され
る基点ＭＯインスタンス１８とスコープｓ＝（ｂａｓｅ
ＴｏＮｔｈＬｅｖｅｌ，２）とで指定された範囲１９で
ある。該操作認可／拒否対象は太線で囲まれた範囲２０
である。

【００４２】図２の操作対象照合モジュール１０におい
て操作認可／拒否対象を求めるための従来の方式の例を
図５に示す。先ず操作要求対象の指定２１をＭＯインス
タンスのリスト２３に展開する。該操作要求対象指定
は、図４の例における範囲１９に含まれるＭＯインスタ
ンスのうちで、ｏｐｅｒａｔｉｏｎａｌＳｔａｔｅ属性
の値がｅｎａｂｌｅｄ（１）であるものを指定してい
る。

【００４３】次にアクセス制御対象指定２２をＭＯイン
スタンスのリスト２４に展開する。該アクセス制御対象
指定は、図４の例における範囲１７に含まれるＭＯイン
スタンスを指定している。操作認可／拒否対象のＭＯイ
ンスタンスのリスト２５は、ＭＯインスタンスのリスト
２３の要素とＭＯインスタンスのリスト２４の要素とを
個々に照合し、一致する要素を抽出することによって得
られる。

【００４４】図５で示したように、従来の方式では、操
作要求対象及びアクセス制御対象の何れか一方若しくは
両方をＭＯインスタンスのリストに展開してから、ＭＯ
インスタンスを個々に照合し、一致するものを抽出する
ことによって操作認可／拒否対象を求めていた。

【００４５】

【発明が解決しようとする課題】従来の方式では、特に
広帯域伝送システムや交換システムのように多数のＭＯ
インスタンスが存在するシステムにおいて、プログラム
を実行する際の動的ステップ数の増大によるスループッ
トの低下や、リストの長大化による記憶装置使用量の増
加等のシステム資源の大量消費が見られるという問題が
ある。

【００４６】本発明の目的は、アクセス制御対象と操作
要求対象との間の相関関係を、ＭＯインスタンスのリス
トを作成することなく比較することにより、操作認可／
拒否対象を求める際のシステム資源の消費量を抑える手
段を提供するものである。

【００４７】

【課題を解決するための手段】本発明では、図６で例示
するように、先ず操作要求対象指定２１とアクセス制御
対象指定２２とを合成することにより、該操作要求対象
と該アクセス制御対象との両方に含まれるＭＯインスタ
ンスの範囲を、基点ＭＯインスタンス，スコープ、及び
フィルタによって指定する操作認可／拒否対象指定２６
を求め、これを展開することによって操作認可／拒否対
象となるＭＯインスタンスのリスト２５を得る。

【００４８】該操作要求対象指定と該アクセス制御対象
指定を合成するには、図７で例示するように、先ず操作
要求メッセージ中の基点オブジェクトインスタンスパラ
メータ及びスコープパラメータによって指定される操作
対象指定範囲と、ｔａｒｇｅｔｓクラス管理オブジェク
トの基点オブジェクトインスタンス属性及びｓｃｏｐｅ
属性によって指定されるアクセス制御対象指定範囲との
両方に含まれる範囲を求める。

【００４９】ＦＤＮの一意性から、Ａ_mとＢ_nとの共通部
分は次式で表すことができる。

【００５０】

【数４】

【００５１】ここでｋはＡ_mとＢ_nとの共通部分の要素の
数、即ちＦＤＮの共通部分の階層数である。このとき、
Ａ_mで表されるＭＯインスタンスとＢ_nで表されるＭＯイ
ンスタンスとの間の関係は、ｍ，ｎ、及びｋの各整数の
間の大小関係によって以下の表の様に分類することがで
きる。

【００５２】

【表１】

【００５３】図７の例において、操作要求対象の基点Ｍ
ＯインスタンスのＦＤＮとアクセス制御対象の基点ＭＯ
インスタンスのＦＤＮとは第一階層から第二階層まで一
致している。よって手順２７で示すように、ｋ＝２，ｎ
−ｋ＝０，ｍ−ｋ＝１、であり、上記の表から該操作要
求対象の基点ＭＯインスタンスの方が該アクセス制御対
象の基点ＭＯインスタンスに対して上位ＭＯであること
が判る。操作認可／拒否対象の基点ＭＯインスタンスに
は、より下位のＭＯインスタンス、即ち図７の例におい
ては該アクセス制御対象の基点ＭＯインスタンスを選択
する。

【００５４】また、ｍ，ｎ，ｋ，該操作要求対象のスコ
ープ、及び該アクセス制御対象のスコープを比較し、後
述する規則に従って操作認可／拒否対象のスコープ種別
を決定し、更に該規則に従って該操作認可／拒否対象の
スコープの整数値を計算する（手順２８）。

【００５５】次に、該操作要求対象のフィルタと該アク
セス制御対象のフィルタとの論理積を作り、該操作認可
／拒否対象のフィルタとする（手順２９）。

【００５６】以上の処理の結果をまとめて、前記操作認
可／拒否対象指定２６とする。

【００５７】以下、ｍ，ｎ，ｋ，該操作要求対象のスコ
ープ、及び該アクセス制御対象のスコープの比較に基づ
いて、操作認可／拒否対象の基点ＭＯインスタンス及び
スコープを決定する規則を述べる。

【００５８】該基点オブジェクトインスタンスパラメー
タＡ_m及び該スコープパラメータｓによって指定される
操作対象指定範囲に含まれるＭＯインスタンスの集合を
表す式を次のように定義する。

【００５９】

【数５】

【００６０】また、該基点オブジェクトインスタンス属
性Ｂ_n及び該ｓｃｏｐｅ属性ｔによって指定されるアク
セス制御対象指定範囲に含まれるＭＯインスタンスの集
合を表す式を次のように定義する。

【００６１】

【数６】

【００６２】以上の定義から、前記操作対象指定範囲及
び前記アクセス制御対象指定範囲の両方に含まれる範囲
を表す式を次のように定義する。

【００６３】

【数７】

【００６４】前記ＭＯインスタンスの集合は前記分類を
条件として、５通りある操作要求対象のスコープと、同
じく５通りあるアクセス制御対象のスコープとの組み合
わせ毎に以下の様に求められる。なお以降、Ａ_mで表さ
れるＭＯインスタンスを単にＡ_mと呼び、Ｂ_nで表される
ＭＯインスタンスを単にＢ_nと呼ぶ。

【００６５】（1）該操作要求対象のスコープが「基点
オブジェクトのみ」且つ該アクセス制御対象のスコープ
が「基点オブジェクトのみ」の場合、即ち、

【００６６】

【数８】

【００６７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mとＢ_nと
が一致するとき該操作要求の対象範囲と合致し、それ以
外では空集合となる。即ち、

【００６８】

【数９】

【００６９】である。

【００７０】（2）該操作要求対象のスコープが「基点
オブジェクトのみ」且つ該アクセス制御対象のスコープ
が「基点オブジェクトより一階層下位のみ」の場合、即
ち、

【００７１】

【数１０】

【００７２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
一階層下の下位オブジェクトのとき該操作要求の対象範
囲と合致し、それ以外では空集合となる。即ち、

【００７３】

【数１１】

【００７４】である。

【００７５】（3）該操作要求対象のスコープが「基点
オブジェクトのみ」且つ該アクセス制御対象のスコープ
が「基点オブジェクト以下の部分包含木」の場合、即
ち、

【００７６】

【数１２】

【００７７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_n以
下の部分包含木に含まれるとき該操作要求の対象範囲と
合致し、それ以外では空集合となる。即ち、

【００７８】

【数１３】

【００７９】である。

【００８０】（4）該操作要求対象のスコープが「基点
オブジェクトのみ」且つ該アクセス制御対象のスコープ
が「ｙ階層下の下位オブジェクト」の場合、即ち、

【００８１】

【数１４】

【００８２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
ｙ階層下の下位オブジェクトのとき該操作要求の対象範
囲と合致し、それ以外では空集合となる。即ち、

【００８３】

【数１５】

【００８４】である。

【００８５】（5）該操作要求対象のスコープが「基点
オブジェクトのみ」且つ該アクセス制御対象のスコープ
が「ｙ階層下までの部分包含木」の場合、即ち、

【００８６】

【数１６】

【００８７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_n以
下のｙ階層下までの部分包含木に含まれるとき該操作要
求の対象範囲と合致し、それ以外では空集合となる。即
ち、

【００８８】

【数１７】

【００８９】である。

【００９０】（6）該操作要求対象のスコープが「基点
オブジェクトより一階層下位のみ」且つ該アクセス制御
対象のスコープが「基点オブジェクトのみ」の場合、即
ち、

【００９１】

【数１８】

【００９２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ｂ_nがＡ_mの
一階層下の下位オブジェクトのとき該ｔａｒｇｅｔｓク
ラス管理オブジェクトによる指定範囲と合致し、それ以
外では空集合となる。即ち、

【００９３】

【数１９】

【００９４】である。

【００９５】（7）該操作要求対象のスコープが「基点
オブジェクトより一階層下位のみ」且つ該アクセス制御
対象のスコープが「基点オブジェクトより一階層下位の
み」の場合、即ち、

【００９６】

【数２０】

【００９７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mとＢ_nと
が一致するとき該操作要求の対象範囲と合致し、それ以
外では空集合となる。即ち、

【００９８】

【数２１】

【００９９】である。

【０１００】（8）該操作要求対象のスコープが「基点
オブジェクトより一階層下位のみ」且つ該アクセス制御
対象のスコープが「基点オブジェクト以下の部分包含
木」の場合、即ち、

【０１０１】

【数２２】

【０１０２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_n以
下の部分包含木に含まれるとき該操作要求の対象範囲と
合致し、Ｂ_nがＡ_mの一階層下の下位オブジェクトのとき
Ｂ_nのみとなり、それ以外では空集合となる。即ち、

【０１０３】

【数２３】

【０１０４】である。

【０１０５】（9）該操作要求対象のスコープが「基点
オブジェクトより一階層下位のみ」且つ該アクセス制御
対象のスコープが「ｙ階層下の下位オブジェクト」の場
合、即ち、

【０１０６】

【数２４】

【０１０７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mの一つ
下の階層とＢ_nのｙ階層下の階層とが一致するとき該操
作要求の対象範囲と合致し、それ以外では空集合とな
る。即ち、

【０１０８】

【数２５】

【０１０９】である。

【０１１０】（10）該操作要求対象のスコープが「基点
オブジェクトより一階層下位のみ」且つ該アクセス制御
対象のスコープが「ｙ階層下までの部分包含木」の場
合、即ち、

【０１１１】

【数２６】

【０１１２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
下位オブジェクトであり且つＡ_mの一階層下の階層がＢ_n
以下のｙ階層下までの部分包含木に含まれるとき該操作
要求の対象範囲と合致し、Ｂ_nがＡ_mの一階層下の下位オ
ブジェクトときＢ_nのみとなり、それ以外では空集合と
なる。即ち、

【０１１３】

【数２７】

【０１１４】である。

【０１１５】（11）該操作要求対象のスコープが「基点
オブジェクト以下の部分包含木」且つ該アクセス制御対
象のスコープが「基点オブジェクトのみ」の場合、即
ち、

【０１１６】

【数２８】

【０１１７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ｂ_nがＡ_m以
下の部分包含木に含まれるときＢ_nのみとなり、それ以
外では空集合となる。即ち、

【０１１８】

【数２９】

【０１１９】である。

【０１２０】（12）該操作要求対象のスコープが「基点
オブジェクト以下の部分包含木」且つ該アクセス制御対
象のスコープが「基点オブジェクトより一階層下位の
み」の場合、即ち、

【０１２１】

【数３０】

【０１２２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
一階層下の下位オブジェクトのときＡ_mのみとなり、Ｂ_n
がＡ_m以下の部分包含木に含まれるとき該操作要求の対
象範囲と合致し、それ以外では空集合となる。即ち、

【０１２３】

【数３１】

【０１２４】である。

【０１２５】（13）該操作要求対象のスコープが「基点
オブジェクト以下の部分包含木」且つ該アクセス制御対
象のスコープが「基点オブジェクト以下の部分包含木」
の場合、即ち、

【０１２６】

【数３２】

【０１２７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
下位オブジェクトのときＡ_m以下の下位オブジェクト全
てとなり、Ｂ_nがＡ_mの下位オブジェクトのとき該操作要
求の対象範囲と合致し、それ以外では空集合となる。即
ち、

【０１２８】

【数３３】

【０１２９】である。

【０１３０】（14）該操作要求対象のスコープが「基点
オブジェクト以下の部分包含木」且つ該アクセス制御対
象のスコープが「ｙ階層下の下位オブジェクト」の場
合、即ち、

【０１３１】

【数３４】

【０１３２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
ｙ階層下までの部分包含木に含まれるときＡ_mのｙ−ｍ
＋ｋ階層下の下位オブジェクト全てとなり、Ｂ_nがＡ_mの
下位オブジェクトのとき該操作要求の対象範囲と合致
し、それ以外では空集合となる。即ち、

【０１３３】

【数３５】

【０１３４】である。

【０１３５】（15）該操作要求対象のスコープが「基点
オブジェクト以下の部分包含木」且つ該アクセス制御対
象のスコープが「ｙ階層下までの部分包含木」の場合、
即ち、

【０１３６】

【数３６】

【０１３７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
ｙ階層下までの部分包含木に含まれるときＡ_mのｙ−ｍ
＋ｋ階層下までの下位オブジェクト全てとなり、Ｂ_nが
Ａ_mの下位オブジェクトのとき該操作要求の対象範囲と
合致し、それ以外では空集合となる。即ち、

【０１３８】

【数３７】

【０１３９】である。

【０１４０】（16）該操作要求対象のスコープが「ｘ階
層下の下位オブジェクト」且つ該アクセス制御対象のス
コープが「基点オブジェクトのみ」の場合、即ち、

【０１４１】

【数３８】

【０１４２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ｂ_nがＡ_mの
ｘ階層下の下位オブジェクトのとき該操作要求の対象範
囲と合致し、それ以外では空集合となる。即ち、

【０１４３】

【数３９】

【０１４４】である。

【０１４５】（17）該操作要求対象のスコープが「ｘ階
層下の下位オブジェクト」且つ該アクセス制御対象のス
コープが「基点オブジェクトより一階層下位のみ」の場
合、即ち、

【０１４６】

【数４０】

【０１４７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mのｘ階
層下の階層とＢ_nの一つ下の階層とが一致するとき該操
作要求の対象範囲と合致し、それ以外では空集合とな
る。即ち、

【０１４８】

【数４１】

【０１４９】である。

【０１５０】（18）該操作要求対象のスコープが「ｘ階
層下の下位オブジェクト」且つ該アクセス制御対象のス
コープが「基点オブジェクト以下の部分包含木」の場
合、即ち、

【０１５１】

【数４２】

【０１５２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
下位オブジェクトのとき該操作要求の対象範囲と合致
し、Ｂ_nがＡ_mのｘ階層下までの部分包含木に含まれると
きＡ_mのｘ−ｎ＋ｋ階層下の下位オブジェクト全てとな
り、それ以外では空集合となる。即ち、

【０１５３】

【数４３】

【０１５４】である。

【０１５５】（19）該操作要求対象のスコープが「ｘ階
層下の下位オブジェクト」且つ該アクセス制御対象のス
コープが「ｙ階層下の下位オブジェクト」の場合、即
ち、

【０１５６】

【数４４】

【０１５７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
下位オブジェクトであり且つＡ_mのｘ階層下の階層とＢ_n
のｙ階層下の階層とが一致するとき該操作要求の対象範
囲と合致し、Ｂ_nがＡ_mの下位オブジェクトであり且つＡ
_mのｘ階層下の階層とＢ_nのｙ階層下の階層とが一致する
ときＢ_nのｙ階層下の下位オブジェクト全てとなり、そ
れ以外では空集合となる。即ち、

【０１５８】

【数４５】

【０１５９】である。

【０１６０】（20）該操作要求対象のスコープが「ｘ階
層下の下位オブジェクト」且つ該アクセス制御対象のス
コープが「ｙ階層下までの部分包含木」の場合、即ち、

【０１６１】

【数４６】

【０１６２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
ｙ−ｘ階層下までの部分包含木に含まれるとき該操作要
求の対象範囲と合致し、Ｂ_nがＡ_mのｘ階層下までの部分
包含木に含まれるときＢ_nのｘ−ｎ＋ｋ階層下の下位オ
ブジェクト全てとなり、それ以外では空集合となる。即
ち、

【０１６３】

【数４７】

【０１６４】である。

【０１６５】（21）該操作要求対象のスコープが「ｘ階
層下までの部分包含木」且つ該アクセス制御対象のスコ
ープが「基点オブジェクトのみ」の場合、即ち、

【０１６６】

【数４８】

【０１６７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ｂ_nがＡ_m以
下のｘ階層下までの部分包含木に含まれるとき該操作要
求の対象範囲と合致し、それ以外では空集合となる。即
ち、

【０１６８】

【数４９】

【０１６９】である。

【０１７０】（22）該操作要求対象のスコープが「ｘ階
層下までの部分包含木」且つ該アクセス制御対象のスコ
ープが「基点オブジェクトより一階層下位のみ」の場
合、即ち、

【０１７１】

【数５０】

【０１７２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
一階層下の下位オブジェクトときＡ_mのみとなり、Ｂ_nが
Ａ_mの下位オブジェクトであり且つＢ_nの一階層下の階層
がＡ_m以下のｘ階層下までの部分包含木に含まれるとき
該操作要求の対象範囲と合致し、それ以外では空集合と
なる。即ち、

【０１７３】

【数５１】

【０１７４】である。

【０１７５】（23）該操作要求対象のスコープが「ｘ階
層下までの部分包含木」且つ該アクセス制御対象のスコ
ープが「基点オブジェクト以下の部分包含木」の場合、
即ち、

【０１７６】

【数５２】

【０１７７】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
下位オブジェクトのとき該操作要求の対象範囲と合致
し、Ｂ_nがＡ_mのｘ階層下までの部分包含木に含まれると
きＢ_nのｘ−ｎ＋ｋ階層下までの下位オブジェクト全て
となり、それ以外では空集合となる。即ち、

【０１７８】

【数５３】

【０１７９】である。

【０１８０】（24）該操作要求対象のスコープが「ｘ階
層下までの部分包含木」且つ該アクセス制御対象のスコ
ープが「ｙ階層下の下位オブジェクト」の場合、即ち、

【０１８１】

【数５４】

【０１８２】の場合、操作要求の認可／拒否の対象とな
る管理オブジェクトインスタンスの範囲は、Ａ_mがＢ_nの
ｙ階層下までの部分包含木に含まれるときＡ_mのｙ−ｍ
＋ｋ階層下の下位オブジェクト全てとなり、Ｂ_nがＡ_mの
ｘ−ｙ階層下までの部分包含木に含まれるとき該操作要
求の対象範囲と合致し、それ以外では空集合となる。即
ち、

【０１８３】

【数５５】

【０１８４】である。

【０１８５】（25）該操作要求対象のスコープが「ｘ階
層下までの部分包含木」且つ該アクセス制御対象のスコ
ープが「ｙ階層下までの部分包含木」の場合、即ち、

【０１８６】

【数５６】

【０１８７】の場合、Ａ_mがＢ_nの下位オブジェクトで且
つＡ_mのｘ階層下までの部分包含木とＢ_nのｙ階層下まで
の部分包含木とが交わるときＡ_mのｙ−ｍ＋ｋ階層下ま
での下位オブジェクト全てとなり、Ａ_mのｘ階層下まで
の部分包含木がＢ_nのｙ階層下までの部分包含木に含ま
れるとき該操作要求の対象範囲と合致し、Ｂ_nのｙ階層
下までの部分包含木がＡ_mのｘ階層下までの部分包含木
に含まれるときＢ_nのｙ階層下までの下位オブジェクト
全てとなり、Ｂ_nがＡ_mの下位オブジェクトで且つＡ_mの
ｘ階層下までの部分包含木とＢ_nのｙ階層下までの部分
包含木とが交わるときＢ_nのｘ−ｎ＋ｋ階層下までの下
位オブジェクト全てとなり、それ以外では空集合とな
る。即ち、

【０１８８】

【数５７】

【０１８９】である。

【０１９０】以上で述べた本発明の方式は、図１乃至図
７で示したＳＤＨ伝送装置の例のみならず、ＡＴＭ交換
機やコンピュータシステム等であっても、ＩＴＵ−Ｔ勧
告Ｘ．７４１ＩＳＯ／ＩＥＣ国際標準１０１６４−９
により規定された管理情報モデルを設定情報とする不正
操作防止機能を具備したシステムに適用することができ
る。

【０１９１】

【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。図１及び図２は、本発明が適用さ
れるＳＤＨ伝送装置の管理インタフェース構成例であ
る。

【０１９２】図８は、図２における設定情報検索モジュ
ールの処理フロー図である。該処理フローでは、図２に
おけるプログラム実行制御モジュール７によって指定さ
れた検索範囲のｒｕｌｅクラスＭＯインスタンスについ
てステップ２０１乃至２０６を繰り返し実行する。まず
ステップ２０２で図２におけるイニシエータ照合モジュ
ールを呼び出し、現在アクセス制御判定処理中の操作要
求の発行者の照合を行う。

【０１９３】イニシエータが合致した場合即ち該ｒｕｌ
ｅクラスＭＯインスタンスで表される設定情報が該操作
要求発行者に関するものである場合、該ｒｕｌｅクラス
ＭＯインスタンスのｔａｒｇｅｔｓＬｉｓｔ属性で指定
されているｔａｒｇｅｔｓクラスＭＯインスタンスにつ
いてステップ２０３乃至２０６を繰り返す。

【０１９４】図２における操作要求対象検索モジュール
はステップ２０４で呼び出される。該操作要求の対象
と、該ｔａｒｇｅｔｓクラスＭＯインスタンスの属性で
指定されているアクセス制御対象との照合の結果得られ
た操作認可／拒否対象が少なくとも一つのＭＯインスタ
ンスを含んでいる場合、ステップ２０５の判定は真
（Ｔ）となり、更に該操作要求で要求されている操作の
タイプとアクセス制御設定情報で指定されている操作の
タイプとをステップ２０６において照合し、一致する場
合ステップ２０４で求めた操作認可／拒否対象を戻り値
に加える。図８において、設定情報検索モジュールの戻
り値は、操作認可／拒否対象と、前記行使行動である。

【０１９５】図９は、図８のステップ２０４の処理の定
義フロー図である。まずステップ２０７で該操作要求メ
ッセージの基点オブジェクトインスタンスパラメータで
指定されたＦＤＮと現在処理中のｔａｒｇｅｔｓクラス
管理オブジェクトの管理オブジェクトインスタンス属性
で指定されたＦＤＮとの共通部分の階層数をカウントす
る。

【０１９６】次に該操作要求メッセージのスコープパラ
メータｓによってステップ２０８乃至２１２の何れかへ
処理を分岐する。ステップ２０８乃至２１２の何れかの
処理が終了したら、ステップ２１３で該操作要求メッセ
ージのフィルタパラメータで指定されたフィルタ条件と
該ｔａｒｇｅｔｓクラス管理オブジェクトのフィルタ属
性で指定されたフィルタ条件との論理積（ＡＮＤ）を新
たなフィルタ条件として、ステップ２０８乃至２１２の
何れかで求めた基点ＭＯインスタンス及びスコープを基
に操作認可／拒否対象となるＭＯインスタンスのリスト
を生成し、これを戻り値とする。該スコープパラメータ
が何れの条件にも当てはまらない場合、ステップ２１４
でエラー処理を行う。

【０１９７】図１０は、図９のステップ２０７の処理の
定義フロー図である。ステップ２１５でカウンタの初期
値を０とした後、引き数で与えられた二つのＦＤＮを構
成する構造型をステップ２１６で順に比較して、該構造
型が一致する間ステップ２１７でカウンタ値を１ずつ増
やす。

【０１９８】図１１は、図９のステップ２１２の処理の
定義フロー図であり、該操作要求メッセージのスコープ
パラメータｓの値が（ｂａｓｅＴｏＮｔｈＬｅｖｅｌ，
ｘ）の場合の処理フローである。なお図９のステップ２
０８乃至２１２の処理は何れも図１１と同様の処理を行
う。図１１の処理フローでは、現在処理中のｔａｒｇｅ
ｔｓクラスＭＯインスタンスのｓｃｏｐｅ属性の値ｔを
ステップ２１８で判定し、ステップ２１９乃至２２３の
何れかへ処理を分岐する。該ｓｃｏｐｅ属性が何れの条
件にも当てはまらない場合、ステップ２２４でエラー処
理を行う。

【０１９９】図１２は、図１１のステップ２２３の処理
の定義フロー図であり、該操作要求メッセージのスコー
プパラメータｓの値が（ｂａｓｅＴｏＮｔｈＬｅｖｅ
ｌ，ｘ）且つ該ｔａｒｇｅｔｓクラスＭＯインスタンス
のｓｃｏｐｅ属性の値ｔが（ｂａｓｅＴｏＮｔｈＬｅｖ
ｅｌ，ｙ）の場合の処理フローである。なお図１１のス
テップ２１９乃至２２３の処理は何れも、条件判定のス
テップ数が異なることと条件判定ステップにおける判定
条件が異なることを除けば、図１２と同様の処理を行
う。

【０２００】図１２の処理においては、先ずステップ２
２５で操作認可／拒否対象範囲の初期値を「該当する対
象なし」に設定する。次に、発明の詳細な設定の節で述
べた、ｍ，ｎ，ｋ，ｓ及びｔの比較規則に基づいて、ス
テップ２２６，２２８，２３０、或は２３２の条件判定
を行う。該条件判定が真（Ｔ）であった場合、各々ステ
ップ２２７，２２９，２３１、或は２３３の処理へと分
岐し、該比較規則に基づいて操作認可／拒否対象範囲の
基点ＭＯインスタンスのＦＤＮ及びスコープを決定し、
戻り値とする。

【０２０１】

【発明の効果】照合処理の最後にフィルタ条件を展開す
るまで管理オブジェクトインスタンスのリストを作成す
る必要がないので、リストデータを一時的に記憶させて
おくメモリ等の主記憶装置の使用量が減少し、更に、ル
ープ処理を最少限に留め分岐を主に用いて照合を行って
いるため、アクセス制御の対象となる管理オブジェクト
インスタンスの数が多くなっても処理ステップ数は殆ど
変わらないという効果がある。

【図面の簡単な説明】

【図１】本発明の実施例に係る、不正操作防止機能を備
えたＳＤＨ伝送システムの装置管理インタフェースの構
成概略図。

【図２】前記実施例における、不正操作防止機能に関わ
るソフトウェアモジュールの構成概略図。

【図３】前記実施例におけるアクセス制御対象の指定例
を示す、管理オブジェクトの包含ツリーの部分図。

【図４】前記実施例における、アクセス制御対象の指定
例と、操作要求対象の指定例と、該操作要求対象例のう
ち該アクセス制御対象例に含まれる範囲とを示す、管理
オブジェクトの包含ツリーの部分図。

【図５】前記実施例における、従来方式によって該操作
要求対象例のうち該アクセス制御対象例に含まれる範囲
を求める処理の説明図。

【図６】前記実施例における、本発明によって該操作要
求対象例のうち該アクセス制御対象例に含まれる範囲を
求める処理の説明図。

【図７】前記実施例における、本発明によって該操作要
求対象例のうち該アクセス制御対象例に含まれる範囲を
求める処理の詳細な説明図。

【図８】本発明の実施例である、設定情報検索モジュー
ルの処理フロー図。

【図９】前記設定情報検索モジュールの処理フロー図に
おける、ステップ２０４の定義済み処理の処理フロー
図。

【図１０】前記ステップ２０４の定義済み処理の処理フ
ロー図における、ステップ２０７の定義済み処理の処理
フロー図。

【図１１】前記ステップ２０４の定義済み処理の処理フ
ロー図における、ステップ２１２の定義済み処理の処理
フロー図。

【図１２】前記ステップ２１２の定義済み処理の処理フ
ロー図における、ステップ２２３の定義済み処理の処理
フロー図。

【符号の説明】

１…管理システム内の操作要求発行者、２…被管理シス
テム内の通信制御部、３…アクセス制御行使機能部、４
…アクセス制御判断機能部、５…ＯＳＩ管理インタフェ
ース機能部、６…アクセス制御行使機能部内の受信制御
モジュール、７…アクセス制御判断機能部内のプログラ
ム実行制御モジュール、８…アクセス制御判断機能部内
の設定情報検索モジュール、９…アクセス制御判断機能
部内のイニシエータ照合モジュール、１０…アクセス制
御判断機能部内の操作対象照合モジュール、１１…ＯＳ
Ｉ管理インタフェース機能部内の内部通信インタフェー
スモジュール、１２…アクセス制御行使機能部内の操作
要求転送モジュール、１３…ＯＳＩ管理インタフェース
機能部内のメインエージェントモジュール、１４…アク
セス制御行使機能部内の拒否メッセージパラメータ作成
モジュール、１５…アクセス制御行使機能部内の応答メ
ッセージ作成モジュール、１６…アクセス制御対象の基
点ＭＯインスタンスの例、１７…基点ＭＯインスタンス
及びスコープで表されるアクセス制御対象範囲の例、１
８…操作要求対象の基点ＭＯインスタンスの例、１９…
基点ＭＯインスタンス及びスコープで表される操作要求
対象範囲の例、２０…操作認否対象範囲の例、２１…操
作要求対象指定例、２２…アクセス制御対象指定例、２
３…操作要求対象のＭＯインスタンスのＦＤＮのリスト
の例、２４…アクセス制御対象のＭＯインスタンスのＦ
ＤＮのリストの例、２５…操作認否対象のＭＯインスタ
ンスのＦＤＮのリストの例、２６…操作認否対象指定
例、２７…操作要求対象の基点ＭＯインスタンスのＦＤ
Ｎとアクセス制御対象の基点ＭＯインスタンスのＦＤＮ
とを比較して得られる情報、２８…操作要求対象のスコ
ープパラメータとアクセス制御対象のスコープパラメー
タとを合成して得られる操作認否対象のスコープ、２９
…操作要求対象のフィルタパラメータとアクセス制御対
象のスコープパラメータとを合成して得られる操作認否
対象のフィルタ、１０１…ＣＭＩＰ操作要求メッセー
ジ、１０２…アクセス制御判断要求、１０３…アクセス
制御設定情報参照、１０４…アクセス制御判断、１０５
…認可された操作要求、１０６…認可された操作要求に
対する応答、１０７…認可された操作要求に対するＣＭ
ＩＰ応答メッセージ、１０８…拒否された操作要求に対
するＣＭＩＰ拒否メッセージ、１０９…通信制御部によ
る処理後の操作要求メッセージ、２０１〜２３３…ステ
ップ番号。

───────────────────────────────────────────────────── フロントページの続き (72)発明者山田聡子神奈川県横浜市戸塚区戸塚町216番地株式会社日立製作所情報通信事業部内 (72)発明者井原均神奈川県横浜市戸塚区戸塚町216番地株式会社日立製作所情報通信事業部内

Claims

【特許請求の範囲】

【請求項１】ＩＴＵ−Ｔ勧告Ｘ．７４１ＩＳＯ／ＩＥ
Ｃ国際標準１０１６４−９により規定された管理情報モ
デルを設定情報として、任意の利用者或は任意のシステ
ムから発せられた操作要求を制限する機構を有する不正
操作防止システムにおいて、前記管理情報モデルによっ
て定義される情報のうち操作要求を認可或は拒否する範
囲を指定する情報と、操作要求メッセージ中で指定され
た操作対象の範囲との間の相関関係を、該操作要求を認
可或は拒否する範囲を指定する情報のパラメータ値と、
該操作対象の範囲を表すパラメータ値との比較により判
断することを特徴とするアクセス制御方式。