JP2006227756A - 連携制御装置 - Google Patents

Abstract

【課題】設備系ネットワークと、情報系ネットワークとを切り分けて管理可能にすると同時に、異常事態発生時において、ネットワークの連携を図る。
【解決手段】 連携制御装置３０が、高度セキュリティレベル領域内にユーザが存在する場合に、異常事態が検出されたことに応じて、高度セキュリティレベル領域と、低度セキュリティレベル領域とを隔てる扉を開放させるよう指示する第１の開放命令を設備系ネットワーク１０に対して送信するよう制御すると共に、情報系ネットワーク２０にアクセスしているクライアントＰＣ２２に対して、異常事態が発生していることを通知するよう指示する通知命令を送信するよう制御することで実現する。
【選択図】 図１

Description

本発明は、低度セキュリティレベル領域と、高度セキュリティレベル領域との入退室管理、及び高度セキュリティレベル領域における情報管理に関し、詳しくは、入退室管理を担う設備系ネットワークと、情報管理を担う情報系ネットワークとの連携を図る連携制御装置に関する。

機密情報を扱うことの多い企業や、企業内の特定の部署などでは、機密情報を扱う従事者の入室を管理する入室管理システムを適用することで、機密情報の漏洩を事前に防止するようにしている。

一般に入室管理システムは、ユーザに与えられたＩＣ（Integrated Circuit）カードに組み込まれたユーザＩＤや、生体情報（指紋、虹彩、声紋など）といった、ユーザを一意に特定する情報を用いて入室管理用のホストコンピュータにより個人認証を行い、登録された正当なユーザであることが認証された場合に、施錠された入室用のドアを解錠することで、機密情報を扱う高度セキュリティレベル領域内への入室を許可する、というような管理を行っている。

ところで、上述した機密情報は、入室管理システムとは別のネットワークにて構築された機密情報管理システムによって管理がなされており、入室管理がなされている領域内に設置された情報端末装置から機密情報管理用のホストコンピュータへのアクセスに応じて利用可能となる。この機密情報管理用のホストコンピュータへアクセスする場合には、上述した入室管理システムにおける個人認証と同様の認証処理が要求されることになる。

このように、入室管理システムと、機密情報管理システムとは、全く別のネットワークで構築されているため、機密情報を利用するまでには、２度の認証処理が必要になるなど、ユーザにとって非常に煩雑な操作が要求されていた。

そこで、このような入室管理システムと、機密情報管理システムとの連携が求められており、機密情報を扱う領域内への入室時の認証処理と、入室後の情報端末装置の使用開始時の認証処理とを関連付ける手法が考案されている（例えば、特許文献１、特許文献２参照。）。

また、特許文献１、特許文献２で考慮されていなかった、入室してから情報端末装置へログオンするまでの時間経過によって生ずる問題への対処、退室時における情報端末装置のログオフ忘れへの対処を実現する手法も考案されている（例えば、特許文献３参照。）。
特開２０００−２５９８７８号公報 特開２００２−４１４６９号公報 特開２００４−３０２８７５号公報

上述したように特許文献１，２で開示されている技術は、高度セキュリティレベル領域内への入室処理のみが管理されていたが、特許文献３で開示されている技術のように、高度セキュリティレベル領域からの退室時の管理も機密情報の漏洩を防止するためには必要となる。

このような高度セキュリティレベル領域のように、入退室が管理されたシステムでは、一旦入室してしまうと、所定の認証手続きなどを経ない限り退室することができない。したがって、災害などの発生により自身の身に危険が及んだとしても、ユーザの意志のみによって外部へ迅速に退室することが非常に困難となっている。

そこで、入退室管理システムは、このような災害や犯罪などといった異常事態が発生した場合に、高度セキュリティレベル領域のように隔離された領域から迅速なる退室ができるよう、異常事態を検出したことに応じて、電気錠が自動的に解錠されるパニックオープン機能を備えていることが望ましい。

しかしながら、従来までのパニックオープン機能は、上述したように異常事態を検出した場合に、電気錠を解錠するといったような入退室管理システムのみにしか機能しておらず、機密情報管理システムとの連携が図られておらず、異常事態の混乱に乗じた第三者による機密情報管理システム対する不正なアクセスを防止できていないといった問題があった。

そこで、本発明は、上述したような問題を解決するために案出されたものであり、入退室管理システムのネットワークである設備系ネットワークと、機密情報管理システムのネットワークである情報系ネットワークとを、それぞれ個別に切り分けて管理可能とすると同時に、災害などの異常事態発生時においてもネットワーク同士を適切に連携することができる連携制御装置を提供することを目的とする。

本発明は、上述の課題を解決するために、ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、低度セキュリティレベル領域から高度セキュリティレベル領域への入室、上記高度セキュリティレベル領域から上記低度セキュリティレベル領域への退室を管理する設備系ネットワークと、上記高度セキュリティレベル領域に構築され、上記ユーザを一意に特定する第２の被認証情報に基づいた認証処理結果に応じて、上記ユーザの当該情報系ネットワークへのアクセス制限をする情報系ネットワークとを相互に連携させる連携制御装置であって、上記高度セキュリティレベル領域内にユーザが存在する場合に、異常事態が検出されたことに応じて、上記高度セキュリティレベル領域と、上記低度セキュリティレベル領域とを隔てる扉を開放させるよう指示する第１の開放命令を上記設備系ネットワークに対して送信するよう制御すると共に、上記情報系ネットワークにアクセスしている情報端末装置に対して、異常事態が発生していることをユーザに通知するよう指示する通知命令を送信するよう制御する制御手段を備えることを特徴とする。

本発明の連携制御装置は、高度セキュリティレベル領域内にユーザが存在する場合に、異常事態が検出されたことに応じて、低度セキュリティレベル領域と、高度セキュリティレベル領域とを隔てる扉を開放させるよう設備系ネットワークを制御し、情報系ネットワークに接続された情報端末装置に対して、異常事態が発生していることをユーザに通知するように情報系ネットワークを制御して連携を図ることで、ユーザの危険を回避すると同時に、異常事態時の混乱に乗じた第三者、又は他の正規ユーザによる情報系ネットワークへの不正なアクセスも回避し、機密情報の漏洩を防止することができる。

以下、本発明の実施の形態について図面を参照して説明する。図１を用いて、本発明の実施の形態として示す情報漏洩防止システムについて説明をする。図１に示すように、情報漏洩防止システムは、設備系ネットワーク１０と、情報系ネットワーク２０とが連携制御装置３０によって相互に接続されて構成されている。

設備系ネットワーク１０は、セキュリティレベルの低い領域（低度セキュリティレベル領域）から、機密情報などを扱うセキュリティレベルの高い領域（高度セキュリティレベル領域）への侵入を管理する。設備系ネットワーク１０では、高度セキュリティレベル領域への入室を希望するユーザ全てに対して、又、高度セキュリティレベル領域から退出を希望するユーザ全てに対して認証処理を行い、あらかじめ登録された正当なユーザのみを認証して上記領域への入室、上記領域からの退出を許可する。

情報系ネットワーク２０は、設備系ネットワーク１０で管理される高度セキュリティレベル領域内に構築されたネットワークである。情報系ネットワーク２０では、例えば、機密情報などを管理しており、認証されたユーザに対してのみ、ネットワークに接続された情報端末装置からのログオンを認め、機密情報へのアクセスを許可する。

この設備系ネットワーク１０と、情報系ネットワーク２０とは、それぞれ互いに切り分けられて独立したネットワークであり、それぞれ独自に管理することができる。連携制御装置３０は、このような設備系ネットワーク１０と、情報系ネットワーク２０との相互連携を図ることで、高度セキュリティレベルにて管理される機密情報の外部漏洩を防止しながら、高度セキュリティレベル領域におけるユーザの作業が円滑に進むよう支援をする。

続いて、図１を用いて、情報漏洩防止システムを構成する設備系ネットワーク１０、情報系ネットワーク２０、連携制御装置３０の構成について説明をする。

（設備系ネットワーク１０の構成）
まず、設備系ネットワーク１０の構成について説明をする。設備系ネットワーク１０は、ハブ１１に接続された複数のコントロールユニット１２と、各コントロールユニット１２の下にハブ１３を介して接続された複数のゲートウェイユニット１４とを備えている。

各コントロールユニット１２は、設備系ネットワーク１０において実行される高度セキュリティレベル領域、低度セキュリティレベル領域の入退室の管理を制御する最小単位である。各コントロールユニット１２は、同じくハブ１１に接続された汎用型のＰＣ（Personal Computer）である管理用ＰＣ１８によって統括的に制御される。設備系ネットワーク１０を管理する管理者は、この管理用ＰＣ１８から各コントロールユニット１２による入退室処理のエラーを検出し管理することになる。

このように、設備系ネットワーク１０では、複数のコントロールユニット１２による入退室管理により入退室管理処理を分散をすることで、設備系ネットワーク１０全体における稼働率を大幅に向上させると共に、設備系ネットワーク１０を小規模とした場合にも、設置環境に応じてコントロールユニット１２の組み合わせを適宜変えることで、容易に適用することができるようになる。また、専用の管理装置も必要としない。

各ゲートウェイユニット１４の下には、高度セキュリティレベル領域外に設けられ、高度セキュリティレベル領域へ入室する際に、ユーザが所有するＩＣカードの半導体メモリ内に格納された情報を読み取る入室用カードリーダ１５と、高度セキュリティレベル領域内に設けられ、高度セキュリティレベル領域から退室する際に、ＩＣカードの上述した情報を読み取る退室用カードリーダ１６とが複数接続されている。

ユーザが所有するＩＣカードは、例えば、非接触のＩＣカードなどであり、入室用カードリーダ１５又は退室用カードリーダ１６との間で電波／電磁波を利用することで、非接触で情報の読み出しや書き込みを行うことができる。

また、ゲートウェイユニット１４は、低度セキュリティレベル領域から高度セキュリティレベル領域へ入室する際、又は高度セキュリティレベル領域から低度セキュリティレベル領域へ退出する際の出入り口に設けられ、２つの領域を隔てるドア（扉）を電気的な作用により施錠、解錠することができる電気錠１７に接続されている。電気錠１７は、通常、ドアを施錠している。

この低度セキュリティレベル領域、高度セキュリティレベル領域とを隔てるドア（扉）は、例えば、部屋と部屋とを仕切るドア（扉）であってもよいし、エレベータのドア（扉）などであってもよい。

ゲートウェイユニット１４は、入室用カードリーダ１５又は退室用カードリーダ１６によって読み出されたＩＣカードの情報のうち、当該ＩＣカードを一意に特定する被認証情報であるカードＩＤを取得し、このカードＩＤが、あらかじめ登録されているカードＩＤかどうかの認証処理を行う。ゲートウェイユニット１４は、カードＩＤが、あらかじめ登録された正当なカードＩＤであると認証した場合に、施錠された電気錠１７を所定の時間だけ解錠するように制御する。一方、ゲートウェイユニット１４は、カードＩＤが、あらかじめ登録された正当なカードＩＤでない場合には、施錠された電気錠１７をそのままにし、例えば、図示しない警報装置といった通知手段を制御して、認証処理結果がエラーであることをユーザに通知する。

ゲートウェイユニット１４は、入退室処理における処理負荷が増大することを防ぐため、１つのゲートウェイユニット１４で、例えば、入室用カードリーダ１５、退室用カードリーダ１６、電気錠１７とからなる入退室処理に必要なユニットを、最大でも、例えば、４ユニットだけ受け持つようにする。

さらに、ゲートウェイユニット１４には、警報装置１９が備えられている。この警報装置１９は、設備系ネットワーク１０が敷設された建物内の様々な箇所に設けられた、異常状態を自動的に検出するセンサー、また、異常事態を目撃、検知した建物内にいる人によって操作される通報装置などと接続されており、例えば、火災、地震、不信人物の侵入などの異常事態が検知されたことに応じて、高度セキュリティレベル領域内にいるユーザに対して警報を発する。

また、警報装置１９は、異常事態が検知されたことに応じて、その旨を、ゲートウェイユニット１４、コントロールユニット１２を介して連携制御装置３０に通知して、設備系ネットワーク１０と、情報系ネットワーク２０との連携を図る。異常事態であることを通知された連携制御装置３０は、施錠された電気錠１７を解錠するよう、ゲートウェイユニット１４を制御する。また、異常状態であることを通知された連携制御装置３０は、クライアントＰＣ２２に異常状態であることをユーザに通知するよう制御する。そして、連携制御装置３０は、クライアントＰＣ２２を制御して強制的にシャットダウンさせる。

また、コントロールユニット１２にも異常事態は、通知されており、コントロールユニット１２が、連携制御装置３０に代わって、施錠された電気錠１７を解錠するようにゲートウェイユニット１４を制御するようにしてもよい。

設備系ネットワーク１０は、ハブ１１を介したコントロールユニット１２によって連携制御装置３０と、通信をすることになるが、通信される情報量がそれほど多くないため、連携制御装置３０との通信では、例えば、イーサネット（登録商標）の通信規格である１０ＢＡＳＥ−Ｔといった比較的低速度の通信で賄うことができる。

（情報系ネットワーク２０の構成）
続いて、情報系ネットワーク２０の構成について説明をする。情報系ネットワーク２０は、トラフィックが増大する当該情報系ネットワーク２０において連携制御装置３０との通信を制御するスイッチングハブ２１と、スイッチングハブ２１に接続された、高度セキュリティレベル領域に入室したユーザによって操作される情報端末装置である複数のＰＣ（Personal Computer）２２と、ＡＣＬ（Access Control List）サーバ２４とを備えている。

各クライアントＰＣ２２には、高度セキュリティレベル領域に入室したユーザが所有するＩＣカードの半導体メモリ内に格納されている情報を読み取るカードリーダ２３が接続されている。ユーザは、クライアントＰＣ２２を起動して、例えば、情報系ネットワーク２０内でアクセスが管理されている機密情報などを閲覧、利用、使用する場合などに、カードリーダ２３からＩＣカードに格納されているカードＩＤを読み取り、認証処理することを要求される。

ＡＣＬサーバ２４は、情報系ネットワーク２０にアクセス可能とする、あらかじめ登録されたユーザのアカウントを登録しているサーバであり、情報系ネットワーク２０にアクセスをするユーザの管理を行っている。ＡＣＬサーバ２４に登録されているアカウントは、通常時、無効とされており、連携制御装置３０からアカウントを有効とする旨が通知されたことに応じて有効とされる。つまり、ＡＣＬサーバ２４は、連携制御装置３０からの通知に応じて、情報系ネットワーク２０にアクセスを許可するようユーザを管理している。したがって、ＡＣＬサーバ２４が、例えば、アカウントを有効にする旨を受け取っていない状態では、クライアントＰＣ２２から情報系ネットワーク２０にログオンすることはできない。

また、ＡＣＬサーバ２４は、ログサーバとしても機能しており、アカウントが有効にされたユーザから、クライアントＰＣ２２を介して情報系ネットワーク２０にアクセスがあった場合に、そのログを記録する。このログサーバは、必ずしもＡＣＬサーバ２４と同一に構成させなくてもよく、連携制御装置３０に、ログサーバの機能をもたせるようにしてもよい。

ＡＣＬサーバ２４には、情報系ネットワーク２０のネットワーク管理者のみが所有する管理者用ＩＣカード内の半導体メモリに格納されている情報を読み取るカードリーダ２５が接続されている。ネットワーク管理者は、例えば、メンテナンスや、セキュリティ管理のためにＡＣＬサーバ２４に格納されているユーザのアカウント情報や、ログサーバに記録されているログを参照する場合など、カードリーダ２５からネットワーク管理者が所有するＩＣカードに格納されているカードＩＤを読み取り、認証処理することを要求される。

情報系ネットワーク２０は、スイッチングハブ２１を介して連携制御装置３０と、通信をすることになるが、設備系ネットワーク１０と較べて通信される情報量が多くなりトラフィックが増大するため、連携制御装置３０との通信では、例えば、イーサネット（登録商標）の通信規格である１００ＢＡＳＥ−ＴＸといった高速度の通信を行うことが望ましい。

連携制御装置３０は、設備系ネットワーク１０と、情報系ネットワーク２０との連携を図るために設けられた装置である。この連携制御装置３０が実行する設備系ネットワーク１０と、情報系ネットワーク２０との連携とは、設備系ネットワーク１０と、情報系ネットワーク２０という既存のネットワークを閉じた系として管理可能としながらも、相互に情報をやり取りすることで、セキュリティを強固なものとするような連携である。

連携制御装置３０は、設備系ネットワーク１０による認証処理結果に応じて、情報系ネットワーク２０へのアクセスを許可するように連携を図る。具体的には、連携制御装置３０は、図示しない記憶部を備え、この記憶部内に格納されている設備系ネットワーク１０と、情報系ネットワーク２０とを連携するために、ユーザが所有するＩＣカードの半導体メモリ内に格納されている当該ＩＣカードを一意に特定するカードＩＤと、設備系ネットワーク１０に構成されている全ての入室用カードリーダ１５、退室用カードリーダ１６をそれぞれ一意に特定する機器ＩＤであるリーダＩＤと、情報系ネットワーク２０において、ユーザを一意に特定する被認証情報であるユーザＩＤとを対応付けたテーブルを用いて、設備系ネットワーク１０と、情報系ネットワーク２０との連携を図っている。

連携制御装置３０が備える記憶部に格納されているテーブルは、例えば、図２（ａ），（ｂ）に示すような２つのテーブルである。

図２（ａ）に示すテーブルは、入室用カードリーダ１５、退室用カードリーダ１６の機器ＩＤである各リーダＩＤ毎に、当該入室用カードリーダ１５、退室用カードリーダ１６を管理するゲートウェイユニット１４の管轄となる高度セキュリティレベル領域に入室可能とされたＩＣカードに与えられたカードＩＤが対応付けらたテーブルである。つまり、図２（ａ）に示すテーブルは、高度セキュリティレベル領域と、低度セキュリティレベル領域との入退室口に取り付けられた入室用カードリーダ１５、退室用カードリーダ１６と、入退室可能なＩＣカードとを関係付けるテーブルである。

一つのカードＩＤは、複数の入室用カードリーダ１５、複数の退室用カードリーダ１６に登録されるため、図２（ａ）に示すように、一つのカードＩＤが、複数のリーダＩＤと対応付けられることになる。

図２（ｂ）に示すテーブルは、設備系ネットワーク１０において、ユーザを一意に特定するために用いるＩＣカードの半導体メモリ内に格納された被認証情報であるカードＩＤと、情報系ネットワーク２０において、ユーザを一意に特定する被認証情報であるユーザＩＤとを対応づけたテーブルである。

連携制御装置３０は、設備系ネットワーク１０のコントロールユニット１２を介して入室情報として、リーダＩＤと、カードＩＤとを受け取ると、図２（ａ）に示すテーブルからリーダＩＤと、カードＩＤとが対応しているかどうか判定をする。そして、対応している場合に、図２（ｂ）に示すテーブルを用いて、カードＩＤに対応するユーザＩＤを取得し、このユーザＩＤに対応するアカウントを有効にするように情報系ネットワーク２０に通知する。

リーダＩＤと、カードＩＤとの対応がとれない場合には、連携制御装置３０は、設備系ネットワーク１０と、情報系ネットワーク２０との連携をとらないため、ユーザは、高度セキュリティレベル領域に入室したとしても情報系ネットワーク２０へのアクセス権限が与えられないことになる。

また、連携制御装置３０は、上述したＡＣＬサーバ２４に与えられる、情報系ネットワーク２０でのクライアントＰＣ２２からのアクセスログを記録するログサーバの機能を備えるようにしてもよい。

次に、図３に示すタイミングチャートを用いて、このような構成の情報漏洩防止システムにおいて、ユーザが高度セキュリティレベル領域内に滞在している間に、異常事態が検出された際の緊急時動作について説明をする。この緊急時動作は、後で説明する図４のタイミングチャートにおけるステップＳ１６後の状態、つまり、ユーザが高度セキュリティエリア領域に入室し、クライアントＰＣ２２を介して情報系ネットワーク２０へログオンしている状態において実行される。

まず、ステップＳ５１において、警報装置１９は、なんらかの異常事態を検知する。警報装置１９が検知する異常事態は、例えば、火災、地震、人物の侵入などである。警報装置１９は、異常事態を検知すると警報を発して、高度セキュリティレベル領域内にいるユーザに異常事態が検知されたことを知らせると共に、ゲートウェイユニット１４に異常事態を通知する。そして、ゲートウェイユニット１４が、コントロールユニット１２に対して異常事態を通知し、さらに、コントロールユニット１２が、連携制御装置３０に対して異常事態を通知する。

ステップＳ５２において、連携制御装置３０は、警報装置１９からゲートウェイユニット１４、コントロールユニット１２を介して異常事態であることを通知されたことに応じて、ゲートウェイユニット１４に対し、施錠されている電気錠１７を解錠するように命令する。これに応じて、ゲートウェイユニット１４は、電気錠１７を解錠させる。

なお、このステップＳ５２における電気錠１７の解除制御命令は、以下に示すステップＳ５２ａのように、コントロールユニット１２による命令としてもよい。ステップＳ５２ａにおいて、コントロールユニット１２は、警報装置１９から異常事態であることを通知されたことに応じて、ゲートウェイユニット１４に対し、施錠されている電気錠１７を解錠するように命令する。これに応じて、ゲートウェイユニット１４は、電気錠１７を解錠させる。

これにより、ユーザは、高度セキュリティレベル領域から、退室することが可能となる。

ステップＳ５３において、連携制御装置３０は、警報装置１９からゲートウェイユニット１４、コントロールユニット１２を介して異常事態であることを通知されたことに応じて、クライアントＰＣ２２に対して異常事態が発生したことを通知する。これに応じて、クライアントＰＣ２２は、例えば、表示画面を通じて当該クライアントＰＣ２２を使用しているユーザに異常事態が発生した旨のメッセージを表示させる。

ステップＳ５４において、連携制御装置３０は、クライアントＰＣ２２に対して異常事態が発生したことを通知した後、クライアントＰＣ２２を自動的にシャットダウンさせる。 このように、連携制御装置３０は、設備系ネットワーク１０の警報装置１９から異常事態を検知した旨を伝えられたことに応じて、情報系ネットワーク２０との連携を図り、クライアントＰＣ２２を自動的にシャットダウンさせることで、異常事態時の混乱に乗じた第三者、又は入室を許可された正規ユーザによる情報系ネットワーク２０への不正なアクセス、機密情報の漏洩を防止することができる。

次に、上述した緊急時動作が行われる前段に実行される、ユーザが、低度セキュリティレベル領域から高度セキュリティレベル領域へ入室し、高度セキュリティレベル領域内でのクライアントＰＣ２２から情報系ネットワーク２０へログオンする動作、及び、上述した緊急時動作が実行されなかった場合の通常のログオフ処理、高度セキュリティレベル領域から低度セキュリティレベル領域へと退室するまでの連携制御装置３０を中心とする一連の連携処理動作について、図４に示すタイミングチャートを用いて説明をする。

なお、図４のタイミングチャートで示す連携処理動作は、一例であって、本発明は、この連携処理動作に限定されるものではない。つまり、ユーザは、なんらかの手法により情報系ネットワーク２０が構築された高度セキュリティレベル領域内に入れればよく、高度セキュリティレベル領域内にいる間に、異常事態が発生した場合に、連携制御装置３０によって設備系ネットワーク１０と、情報系ネットワーク２０との連携が図られ、上述したような緊急時動作が実行される。

（高度セキュリティレベル領域への入室処理）
高度セキュリティレベル領域への入室処理は、設備系ネットワーク１０による管理によって実行される。まず、ユーザは、所有するＩＣカードを、入室用カードリーダ１５からの電波を受信可能な位置まで運び、半導体メモリ内に格納されているカードＩＤを読み取らせる（ステップＳ１）。

入室用カードリーダ１５は、ＩＣカードからカードＩＤを読み取り、ゲートウェイユニット１４へ送信する（ステップＳ２）。

ゲートウェイユニット１４は、送信されたカードＩＤと、あらかじめ登録されているカードＩＤとを照合して設備系ネットワーク１０における認証処理を行う。ゲートウェイユニット１４は、送信されたカードＩＤと、登録されているカードＩＤとが一致した場合、このカードＩＤを認証し、施錠されている電気錠１７を解錠することで入室を許可する（ステップＳ３）。

一方、カードＩＤが一致させず、認証されなかった場合には、ゲートウェイユニット１４は、低度セキュリティレベル領域側に設けられている、例えば、図示しない警報装置や、液晶ディスプレイなどを介して、認証されなかった旨を示すエラー通知を出力させるように制御する。

ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、ユーザが低度セキュリティレベル領域から高度セキュリティレベル領域へと入室したことを示すログを、当該ゲートウェイユニット１４内に記録する（ステップＳ４）。また、ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、このカードＩＤと、当該ゲートウェイユニット１４を一意に特定する機器ＩＤであるリーダＩＤとを入室情報としてコントロールユニット１２に送信する。そして、コントロールユニット１２が、この入室情報を連携制御装置３０に通知する（ステップＳ５）。

連携制御装置３０は、ゲートウェイユニット１４から、通知された入室情報を用いて、図示しない記憶部に格納されている、図２を用いて説明したような、カードＩＤと、リーダＩＤと関連付けたテーブル、カードＩＤと、情報系ネットワーク２０における認証処理用にあらかじめ登録されているユーザＩＤとを関連付けたテーブルとを用いて、リーダＩＤ、カードＩＤ、ユーザＩＤとの整合をとる。つまり、連携制御装置３０は、図２（ａ）に示すテーブルを用いて、入室情報として送信されたリーダＩＤと、カードＩＤとが認められた正しい組み合わせであるかを検証し、正しい組み合わせであるとされた場合には、図２（ｂ）に示すテーブルを用いて、カードＩＤに対応するユーザＩＤを取得する（ステップＳ６）。

さらに、連携制御装置３０は、取得したユーザＩＤを添付した、情報系ネットワーク２０のＡＣＬサーバ２４に登録されているユーザのアカウントを有効化させる有効情報を、スイッチングハブ２１を介してＡＣＬサーバ２４に送信する（ステップＳ７）。

これにより、高度セキュリティレベル領域へ入室したユーザの情報系ネットワーク２０におけるアカウントが有効となり、当該ユーザは、情報系ネットワーク２０へのアクセス権限を獲得したことになる。

（ログオン処理）
高度セキュリティレベル領域へ入室したユーザは、まずクライアントＰＣ２２を起動させる（ステップＳ１１）。そして、クライアントＰＣ２２を起動させた後、カードリーダ２３に、ＩＣカードをセットして、クライアントＰＣ２２にログオン要求をする。カードリーダ２３は、セットされたＩＣカードからカードＩＤを読み出しＰＣ２２へと送信する（ステップＳ１２）。

クライアントＰＣ２２は、カードリーダ２３から読み出されたカードＩＤを用いて、ＡＣＬサーバ２４にログオン許可要求をする（ステップＳ１３）。

ＡＣＬサーバ２４は、送信されたカードＩＤを認証し、認証された場合にクライアントＰＣ２２からのログオン許可をする（ステップＳ１４）。これに応じて、クライアントＰＣ２２は、どのユーザが、いつ、どのクライアントＰＣ２２からログオンしたのかを記録するために、ユーザＩＤを含むログオン情報のログをＡＣＬサーバ２４のログサーバに送信する（ステップＳ１５）。クライアントＰＣ２２は、例えば、表示画面上に、ログオンが許可されたことを通知するメッセージを表示させユーザに対してログオンが許可されたことを通知する（ステップＳ１６）。

このようにして、高度セキュリティレベル領域へ入室したユーザは、クライアントＰＣ２２を介して情報系ネットワーク２０へアクセスすることができる。このとき、連携制御装置３０によって、設備系ネットワーク１０と、情報系ネットワーク２０とが連携されることで、例えば、正規のユーザＡが、他の正規のユーザＢと一緒に入室する場合などにおいて、ユーザＡがＩＣカードを使用しないで入室した時は、クライアントＰＣ２２にアクセス権限があってもログオンできないことになり、より正確なアクセス管理ができるようになる。

また、高度セキュリティレベル領域へ正当に入室しようとしたユーザによって電気錠１７が解錠されたドア（扉）から、隙をみて不正に侵入した第三者がＰＣ２２へアクセスしたとしても、アクセス権限がないため不正なアクセスを防止することができる。

したがって、設備系ネットワーク１０と、情報系ネットワーク２０とを、それぞれ互いに閉じた系として、独自に管理可能としながらも、連携制御装置３０による連携によって非常に高いセキュリティを確保することができる。

（ログオフ処理）
高度セキュリティレベル領域から退室する場合、ユーザは、まずクライアントＰＣ２２からのログオンをログオフすることになる。

ユーザは、クライアントＰＣ２２に対して終了要求をする（ステップＳ２１）。終了要求を受けたクライアントＰＣ２２は、どのユーザが、いつ、どのクライアントＰＣ２２からログオフしたのか記録するために、ユーザＩＤを含むログオフ情報をＡＣＬサーバ２４のログサーバに送信する（ステップＳ２２）。これにより、クライアントＰＣ２２は、情報系ネットワーク２０からログオフされ、シャットダウンする（ステップＳ２３）。

（高度セキュリティレベル領域からの退室処理）
ユーザは、ログオフが完了した後、高度セキュリティレベル領域から低度セキュリティレベル領域へと退室する。

高度セキュリティレベル領域からの退室処理は、設備系ネットワーク１０による管理によって実行される。まず、ユーザは、所有するＩＣカードを、退室用カードリーダ１６からの電波を受信可能な位置まで運び、半導体メモリ内に格納されているカードＩＤを読み取らせる（ステップＳ４１）。

退室用カードリーダ１６は、ＩＣカードからカードＩＤを読み取り、ゲートウェイユニット１４へ送信する（ステップＳ４２）。

ゲートウェイユニット１４は、送信されたカードＩＤと、あらかじめ登録されているカードＩＤとを照合して設備系ネットワーク１０における認証処理を行う。ゲートウェイユニット１４は、送信されたカードＩＤと、登録されているカードＩＤとが一致した場合、このカードＩＤを認証し、施錠されている電気錠１７を解錠することで退室を許可する（ステップＳ４３）。

一方、カードＩＤが一致させず、認証されなかった場合には、ゲートウェイユニット１４は、高度セキュリティレベル領域側に設けられている、例えば、図示しない警報装置や、液晶ディスプレイなどを介して、認証されなかった旨を示すエラー通知を出力させるように制御する。

ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、ユーザが高度セキュリティレベル領域から低度セキュリティレベル領域へと退室したことを示すログを、当該ゲートウェイユニット１４内に記録する（ステップＳ４４）。また、ゲートウェイユニット１４は、送信されたカードＩＤを認証した場合には、このカードＩＤと、当該ゲートウェイユニット１４を一意に特定する機器ＩＤであるリーダＩＤとを退室情報として、コントロールユニット１２に送信する。そして、コントロールユニット１２が、この退室情報を連携制御装置３０に通知する（ステップＳ４５）。

連携制御装置３０は、ゲートウェイユニット１４から、通知された退室情報を用いて、図示しない記憶部に格納されている、図２を用いて説明したような、カードＩＤと、リーダＩＤと関連付けたテーブル、カードＩＤと、情報系ネットワーク２０における認証処理用にあらかじめ登録されているユーザＩＤとを関連付けたテーブルとを用いて、リーダＩＤ、カードＩＤ、ユーザＩＤとの整合をとる。つまり、連携制御装置３０は、図２（ａ）に示すテーブルを用いて、退室情報として送信されたリーダＩＤと、カードＩＤとが認められた正しい組み合わせであるかを検証し、正しい組み合わせであるとされた場合には、図２（ｂ）に示すテーブルを用いて、カードＩＤに対応するユーザＩＤを取得する（ステップＳ４６）。

さらに、連携制御装置３０は、取得したユーザＩＤを添付した、情報系ネットワーク２０のＡＣＬサーバ２４に登録されているユーザのアカウントを無効化させる無効情報を、スイッチングハブ２１を介してＡＣＬサーバ２４に送信する（ステップＳ４７）。

これにより、低度セキュリティレベル領域から退室したユーザの情報系ネットワーク２０におけるアカウントが無効となり、当該ユーザは、情報系ネットワーク２０へのアクセス権限を消失したことになる。

なお、本発明の実施の形態において、ユーザは、自身が所有するＩＣカードに格納されたカードＩＤを被認証情報として用い、設備系ネットワーク１０の認証処理を行っているが、本発明はこれに限定されるものではなく、設備系ネットワーク１０においてユーザが一意に特定されればよいので、例えば、被認証情報として指紋情報、虹彩情報といった生体情報を用い、生体認証処理を実行することで設備系ネットワーク１０における認証処理を行ってもよい。

また、クライアントＰＣ２２から、情報系ネットワーク２０へログオンする際にも、この生体情報を用いた生体認証処理を実行するようにしてもよい。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明の実施の形態として示す情報漏洩防止システムの構成について説明するための図である。 連携制御装置が備える記憶手段に格納されたテーブルの一例を示した図であり、（ａ）はリーダＩＤと、カードＩＤとを関係付けるテーブル、（ｂ）は、カードＩＤと、ユーザＩＤとを関係付けるテーブルである。 警報装置からの通知を受けた場合の連携処理動作ついて説明するためのタイミングチャートである。 入退室に関する連携処理動作について説明するためのタイミングチャートである。

符号の説明

１０ 設備系ネットワーク
１２ コントロールユニット
１４ ゲートウェイユニット
１５ 入室用カードリーダ
１６ 退室用カードリーダ
１７ 電気錠
２０ 情報系ネットワーク
２２ クライアントＰＣ（Personal Computer）
２４ ＡＣＬ（Access Control List）サーバ
３０ 連携制御装置

Claims (6)

1. ユーザを一意に特定する第１の被認証情報に基づいた認証処理結果に応じて、低度セキュリティレベル領域から高度セキュリティレベル領域への入室、上記高度セキュリティレベル領域から上記低度セキュリティレベル領域への退室を管理する設備系ネットワークと、上記高度セキュリティレベル領域に構築され、上記ユーザを一意に特定する第２の被認証情報に基づいた認証処理結果に応じて、上記ユーザの当該情報系ネットワークへのアクセス制限をする情報系ネットワークとを相互に連携させる連携制御装置であって、
   上記高度セキュリティレベル領域内にユーザが存在する場合に、異常事態が検出されたことに応じて、
   上記高度セキュリティレベル領域と、上記低度セキュリティレベル領域とを隔てる扉を開放させるよう指示する第１の開放命令を上記設備系ネットワークに対して送信するよう制御すると共に、
   上記情報系ネットワークにアクセスしている情報端末装置に対して、異常事態が発生していることをユーザに通知するよう指示する通知命令を送信するよう制御する制御手段を備えること
   を特徴とする連携制御装置。
2. 上記制御手段は、上記通知命令を送信した後、上記情報端末装置に対して、強制的に動作を終了させることを指示する強制終了命令を送信するよう制御すること
   を特徴とする請求項１記載の連携制御装置。
3. 上記設備系ネットワークは、異常事態が検出されたことに応じて、上記扉を開放させるよう指示する第２の開放命令を当該設備系ネットワークに送信するコントロールユニットを備え、
   上記制御手段は、上記第１の開放命令を上記設備系ネットワークに対して送信することなく、上記情報系ネットワークにアクセスしている情報端末装置に対して、異常事態が発生していることを通知するよう指示する上記通知命令のみを送信するよう制御すること
   を特徴とする請求項１又は請求項２記載の連携制御装置。
4. 上記第１の被認証情報は、ユーザが所有するＩＣ（Integrated Circuit）カードが備えるメモリ内に格納されたカードＩＤ（IDentification）であること
   を特徴とする請求項１記載の連携制御装置。
5. 上記第１の被認証情報は、ユーザの生体情報であること
   を特徴とする請求項１記載の連携制御装置。
6. 上記第２の被認証情報は、上記情報系ネットワークにおいて、ユーザを一意に特定するユーザＩＤ（IDentification）であること
   を特徴する請求項１記載の連携制御装置。
   

Images