JP4511525B2 - アクセス制御システム、並びにそれに用いられるアクセス制御装置、及びリソース提供装置 - Google Patents

Description

本発明は、電子機器間における一時的なアクセスを制御するアクセス制御システム、並びにそれに用いられるアクセス制御装置、及びアクセス制御システムに用いられ、他の電子機器に対してリソースを提供するリソース提供装置に関する。

近年、電子機器のマルチユーザ化が進められており、同一の機器を複数のユーザが同時に使用することが可能になっている。例えば、ユーザＡが所有する機器にユーザＡ自身が端末を用いてアクセスすると共に、他のユーザＢもまた、ユーザＡが所有する機器にアクセスすることができる。

ネットワークを介してユーザが他者に機器を貸し出す場合、セキュリティが最も重要な要素となる。例えば、物理的に機器を貸し出す場合、ユーザ同士が機器を手渡しし、誰が当該機器を使用するのかを管理することができる。しかしながら、ネットワークを介して、他の電子機器（以下、リソース利用装置と呼ぶ）からリソースを保持する電子機器（以下、リソース提供装置と呼ぶ）へのアクセスを許可し、リソース提供装置の機能を利用できるようにした場合、知らない間に、リソース提供装置が第三者により不正にアクセスされる場合がある。

非特許文献１には、この課題を解決するためのプロトコル（以下、「ＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ）セキュリティ」と呼ぶ）が記載されている。ＵＰｎＰセキュリティは、リソース利用装置によるリソースの利用を制御する電子機器（以下、アクセス制御装置と呼ぶ）が、ネットワークを介してリソース提供装置を制御するための汎用的なプロトコルである。ＵＰｎＰセキュリティを使うことで、リソース利用装置からリソース提供装置へのアクセスを制御することができる。

また、ＵＰｎＰセキュリティでは、アクセス制御時に発行したアクセス許可の破棄条件を設定することができる。具体的には、発行したアクセス許可に対して有効期間を設定することができる。これにより、有効期間外におけるアクセスを防止することができる。

しかしながら、ＵＰｎＰセキュリティでは、アクセス許可を与える際に有効期間が設定されていない場合、不要となったアクセス許可を速やかに破棄することができない。不要となったアクセス許可は破棄すべきであり、実際に破棄すべき状態となってから実際に破棄されるまでの時間を限りなくゼロに近づける必要がある。

また、特許文献１には、無線通信機能を備えた複数の電子機器によるアクセスを制御する通信システムが記載されている。特許文献１で定義されている電子機器グループにおいて、電子機器に対してアクセスを許可するアクセス制御装置は、グループ内の１つの電子機器の存在が確認できなくなると、グループ内の全ての電子機器からのアクセスを禁止する。
特開２００３−２８９３０７号公報 「ユーピーエヌピー デバイス セキュリティ アンド セキュリティ コンソール ブイ（ＵＰｎＰ Ｄｅｖｉｃｅ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｓｅｃｕｒｉｔｙ Ｃｏｎｓｏｌｅ Ｖ）」、［online］、２００３年、ユーピーエヌピー フォーラム（ＵＰｎＰ Ｆｏｒｕｍ）、インターネット＜ＵＲＬ： HYPERLINK "http://www.upnp.org/standardizeddcps/security.asp" http://www.upnp.org/standardizeddcps/security.asp＞

しかしながら、特許文献１に記載の従来の通信システムでは、存在が確認できない電子機器があると、電子機器グループに所属する全ての機器の使用を停止させてしまうものであり、電子機器グループに所属する電子機器であって存在が確認できる電子機器からのアクセスまでも制限してしまう場合が生じてしまい、アクセスを破棄すべき電子機器のみを破棄すべきものではなかった。

それゆえに、本発明の目的は、上記従来の課題を解決するものであり、破棄すべきアクセス許可を速やかに破棄し、リソースを提供する機器の不正な使用を防止することができるアクセス制御システム、並びにそれに用いられるアクセス制御装置、及びリソース提供装置を提供することである。

本発明は、リソース提供装置で提供されるリソースを利用するために行われるリソース利用装置からリソース提供装置へのアクセスを制御するアクセス制御装置であって、リソース利用装置及びリソース提供装置と通信する通信部と、リソース利用装置からのアクセスを許可するよう、通信部を介してリソース提供装置へ命令するアクセス許可部と、アクセス許可部によってアクセスが許可されたリソース利用装置に関する情報を管理情報として格納する記憶部と、記憶部に管理情報が格納されているリソース利用装置との通信状態を通信部を介して確認する存在確認部と、存在確認部によって通信が途絶えたと判断されたリソース利用装置からのアクセスを拒否するよう、通信部を介してリソース提供装置へ命令するアクセス破棄部とを備える。

本発明によれば、アクセス制御装置は、リソース利用装置との通信が途絶えると、当該リソース利用装置からのアクセスを拒否するようリソース提供装置に命令する。これにより、アクセスを破棄すべきリソース利用装置から提供装置への不正なアクセスを防止することができる。

好ましくは、アクセス破棄部は、通信が途絶えたと判断されたリソース利用装置に関する情報を記憶部から削除するとよい。これにより、不要な情報がアクセス制御装置内部に残らない。

例えば、リソース利用装置に関する情報は、リソース利用装置を識別するための情報であってもよく、また、リソース利用装置を識別するための情報と、当該リソース利用装置からのアクセスを受け付けるリソース提供装置を識別するための情報とを含むものであってもよい。リソース利用装置に関する情報が、リソース提供装置を識別するための情報を含む場合、リソース利用装置がアクセスするリソース提供装置を速やかに特定することができる。

また、リソース利用装置に関する情報は、リソース利用装置がリソース提供装置へアクセスする際に発行するコマンドに関する情報を含んでいてもよい。これにより、リソース利用装置が利用することができるリソースが複数種類ある場合においても、コマンドの種類を細かく管理することができる。

また、アクセス許可部は、アクセスを許可すべきリソース利用装置に関する情報を、通信部を介してリソース提供装置へ通知してもよい。これにより、リソース提供装置は、アクセスを許可すべきリソース利用装置を速やかに特定することができる。

また、アクセス破棄部は、通信が途絶えたと判断されたリソース利用装置に関する情報を、通信部を介してリソース提供装置へ通知してもよい。これにより、リソース提供装置は、アクセスを拒否すべきリソース利用装置を速やかに特定することができる。

さらに、通信部を介してリソース提供装置から通信状態の確認要求を受け取ると、当該通信部を介して当該リソース提供装置へ応答する存在確認応答部を備えていてもよい。これにより、アクセス制御装置とリソース提供装置との間の通信状態をリソース提供装置に把握させることができる。

通信部は、リソース利用装置と無線を介して通信し、無線による通信範囲は所定の範囲に制限されていてもよい。これにより、アクセス制御装置及びリソース利用装置が所定の範囲内にある場合にのみ、リソース利用装置がリソース提供装置のリソースを利用可能にすることができる。したがって、システムの秘匿性をさらに向上させることができる。

また、本発明は、アクセス制御装置よりアクセスが許可されたリソース利用装置からのアクセスを受け付け、リソースを提供するリソース提供装置であって、アクセス制御装置及びリソース利用装置と通信する通信部と、通信部を介してアクセス制御装置から命令されたリソース利用装置に関する情報を管理情報として格納する記憶部と、記憶部に管理情報が格納されているリソース利用装置からのアクセスを許可するアクセス許可部と、アクセス制御装置との通信状態を通信部を介して確認する存在確認部と、存在確認部によって通信が途絶えたと判断されたアクセス制御装置によってアクセスが許可されたリソース利用装置からのアクセスを拒否するアクセス拒否部とを備える。

これにより、リソース提供装置は、アクセス制御装置との通信が途絶えると、当該アクセス制御装置によってアクセスが許可されたリソース利用装置からのアクセスを拒否する。これにより、アクセスを破棄すべき可能性のあるリソース利用装置からリソース提供装置へのアクセスを排除することができる。

好ましくは、アクセス拒否部は、通信が途絶えたと判断されたアクセス制御装置によってアクセスが許可されたリソース利用装置に関する情報を記憶部から削除するとよい。これにより、不要な情報がリソース提供装置内部に残らない。

例えば、リソース利用装置に関する情報は、リソース利用装置を識別するための情報であってもよく、また、リソース利用装置を識別するための情報と、当該リソース利用装置に対してアクセスを許可したアクセス制御装置を識別するための情報とを含むものであってもよい。リソース利用装置に関する情報が、アクセス制御装置を識別するための情報を含む場合、リソース利用装置にアクセスを許可したアクセス制御装置を速やかに特定することができる。

また、リソース利用装置に関する情報は、リソース利用装置がリソース提供装置へアクセスする際に発行するコマンドに関する情報を含んでいてもよい。

また、アクセス拒否部は、リソース利用装置からのアクセスを拒否するよう、通信部を介してアクセス制御部から命令されると、命令されたリソース利用装置からのアクセスを拒否することとしてもよい。これにより、アクセス制御装置がアクセスを許可しないリソース利用装置に対するアクセス拒否を速やかに開始することができる。

好ましくは、アクセス拒否部は、命令されたリソース利用装置に関する情報を記憶部から削除するとよい。

また、通信部は、アクセス制御装置と無線を介して通信し、無線による通信範囲は所定の範囲に制限されていてもよい。

また、本発明は、リソースを提供するリソース提供装置と、当該リソースへアクセスするリソース利用装置と、当該リソース利用装置によるアクセスを制御するアクセス制御装置とを備えるアクセス制御システムであって、アクセス制御装置は、リソース利用装置及びリソース提供装置と通信する通信部と、リソース利用装置からのアクセスを許可するよう、通信部を介してリソース提供装置へ命令するアクセス許可部と、アクセス許可部によってアクセスが許可されたリソース利用装置に関する情報を管理情報として格納する記憶部と、記憶部に管理情報が格納されているリソース利用装置との通信状態を通信部を介して確認する存在確認部と、存在確認部によって通信が途絶えたと判断されたリソース利用装置からのアクセスを拒否するよう、通信部を介してリソース提供装置へ命令するアクセス破棄部とを含み、リソース提供装置は、アクセス制御装置及びリソース利用装置と通信するリソース提供通信部と、リソース提供通信部を介してアクセス制御装置から命令されたリソース利用装置に関する情報を管理情報として格納するリソース提供記憶部と、リソース提供記憶部に管理情報が格納されているリソース利用装置からのアクセスを許可するリソースアクセス許可部と、アクセス制御装置との通信状態をリソース提供通信部を介して確認するリソース提供存在確認部と、リソース提供存在確認部によって通信が途絶えたと判断されたアクセス制御装置によってアクセスが許可されたリソース利用装置、及びリソース提供通信部を介してアクセス制御装置から命令されたリソース利用装置からのアクセスを拒否するアクセス拒否部とを含む。

本発明によれば、破棄すべきアクセス制御を速やかに破棄し、リソースを提供する機器の不正な使用を防止することができるアクセス制御システム、並びにそれに用いられるアクセス制御装置、及びリソース提供装置が提供される。

以下、本発明の実施の形態について、図面を参照しながら説明する。

図１は、本発明の一実施形態に係るアクセス制御システムの全体的な構成の一例を示す図である。図１において、アクセス制御システムは、アクセス制御装置１０と、リソース提供装置２０と、リソース利用装置３０とを備える。アクセス制御装置１０、リソース提供装置２０及びリソース利用装置３０は、通信機能を有し、それぞれ独立して存在する電子機器である。以下、アクセス制御装置１０、リソース提供装置２０及びリソース利用装置３０を特に区別する必要がない場合には、これらを電子機器と総称する。

アクセス制御装置１０及びリソース提供装置２０は接続４０を介して、リソース提供装置及びリソース利用装置３０は接続５０を介して、リソース利用装置３０及びアクセス制御装置１０は接続６０を介して、相互に通信可能に接続される。接続４０〜６０は通信路であり、電子機器をそれぞれ接続する。接続４０〜６０は、例えば、インターネットなどのネットワークを介した接続や、無線を用いた接続、ネットワークケーブル等の有線通信路を用いた接続である。

なお、図１では、アクセス制御装置１０、リソース提供装置２０及びリソース利用装置３０がそれぞれ１台ずつ存在する場合を示しているが、アクセス制御装置１０、リソース提供装置２０及びリソース利用装置３０は、それぞれ２台以上存在していてもかまわない。

アクセス制御装置１０は、リソース提供装置２０と通信し、リソース提供装置２０が保持するリソースへのリソース利用装置３０からのアクセスを制御する。以下、アクセス制御装置１０によるリソース利用装置３０のアクセスを制御する処理をアクセス制御処理という。アクセス制御装置１０は、一定時間毎にリソース利用装置３０と信号を送受信し、リソース利用装置３０の存在を確認する。ここで、「存在を確認する」とは、通信相手先（ここでは、リソース利用装置３０）と通信可能であることを確認することをいう。アクセス制御装置１０は、リソース利用装置３０の存在が確認できなかった場合、つまり、リソース利用装置３０との通信が途絶えた場合、存在が確認できなかったリソース利用装置３０からアクセスを拒否するようリソース提供装置２０に命令する。

リソース提供装置２０は、アクセス制御装置１０の命令に従い、リソース利用装置３０からのアクセスを許可または拒否する。また、リソース提供装置２０は、アクセス制御装置１０と通信し、リソース利用装置３０からのアクセスを制御する。以下、リソース提供装置２０によるリソース利用装置３０のアクセスを制御する処理をリソースアクセス制御処理という。具体的には、リソース提供装置２０は、一定時間毎にアクセス制御装置１０の存在を確認する。アクセス制御装置１０の存在が確認できなくなった場合、アクセス制御装置１０がアクセスを許可したリソース利用装置３０からのアクセスを拒否する。

リソース利用装置３０は、リソース提供装置２０に一時的にアクセスし、リソース提供装置２０のリソースを利用する。ここで、「リソースの利用」とは、リソース利用装置３０がリソース提供装置２０にアクセスし、リソース提供装置２０が有する機能の一部または全部を利用することをいう。例えば、リソース利用装置３０は、リソース提供装置２０保持する記憶データにアクセスしたり、リソース提供装置２０が構成されるデバイスへデータを入出力したりする。

このように、本実施形態に係るアクセス制御システムの大きな特徴は、アクセス制御装置１０がリソース利用装置３０を監視し、リソース提供装置２０がアクセス制御装置１０を監視することにより、第三者がリソース利用装置３０を利用してリソース提供装置２０へ不正にアクセスすることを防止することである。

図２は、アクセス制御処理に用いられる許可情報管理テーブル１０４の構成の一例を示す図である。アクセス制御装置１０は、自装置が保持する許可情報管理テーブル１０４に基づき、リソース利用装置３０のアクセスを制御する。

許可情報管理テーブル１０４には、アクセス制御装置１０がアクセスを許可したリソース利用装置３０に関する情報が管理情報として記録されている。管理情報は、リソース提供装置２０の装置ＩＤ（提供側１１）と、リソース利用装置３０の装置ＩＤ（利用側１２）と、通信インターフェース（通信Ｉ／Ｆ１３）に関する情報と、アクセス内容に関する情報（アクセス１４）とを含む。

提供側１１には、リソース提供装置２０を識別するための装置ＩＤが記録される。装置ＩＤは、リソース提供装置２０を一意に特定することができる情報であればよく、例えば、リソース提供装置２０のＩＰアドレスやＭＡＣアドレス、リソース提供装置２０の公開鍵、リソース提供装置２０の公開鍵のハッシュ値等である。以下、装置ＩＤが、ＩＰアドレスである場合を例に説明する。

利用側１２には、リソース利用装置３０を識別するための装置ＩＤが記録される。装置ＩＤは、リソース利用装置３０を一意に特定することができる情報であればよく、例えば、リソース利用装置３０のＩＰアドレスやＭＡＣアドレス、リソース利用装置３０の公開鍵、リソース利用装置３０の公開鍵のハッシュ値等である。

通信Ｉ／Ｆ１３は、アクセス制御装置１０がリソース利用装置３０の存在を確認する際に利用する通信インターフェースに関する情報が記録される。例えば、「ｅｔｈ０」は、イーサネット（登録商標）を利用した有線ケーブルを用いた通信であることを示し、「ｅｔｈ１」は、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの無線を利用した通信であることを示す。「ｔｔｙＳＯ」は、シリアル接続した通信であることを示し、「ＡＮＹ」は、アクセス制御装置１０が装備する通信インターフェースを利用した通信であることを示す。また、例えば、ＩＰネットワークを介して通信する際に、２点の通信における距離をＨＯＰという論理単位で計算することができる場合、通信Ｉ／Ｆ１３は、１ＨＯＰ以内などと制限してもよい。

アクセス１４には、リソース提供装置２０が保持するリソースのうち、リソース利用装置３０がアクセスする内容に関する情報が記録される。具体的には、アクセス１４には、リソース利用装置３０が利用することができるコマンドと、当該コマンドに対するパラメータ（以下、パラメータ制限と呼ぶ）に関する情報が記録される。図２に示す例では、より理解しやすくするために、コマンド及びパラメータ制限に関する情報の組み合わせにより実現される機能を示している。

例えば、リソース利用装置３０に許可されたアクセスが「秘密資料参照」である場合、アクセス１４には、ファイルを読み出して表示するためのコマンド、及び特定のユーザに対してのみ、その配下にあるファイルを参照できるディレクトリの情報がパラメータ制限に関する情報として記録されている。また、リソース利用装置３０に許可されたアクセスが「ビデオ視聴」である場合、アクセス１４には、映像関連のファイルを読み出して表示するためのコマンド、及び当該映像関連のファイルを格納するディレクトリの情報がパラメータ制限に関する情報として記録されている。リソース利用装置３０に許可されたアクセスが「印刷」である場合、アクセス１４には、リソース利用装置３０がリソース提供装置２０に印刷処理を依頼する際に必要なコマンドが記録されている。リソース利用装置３０に許可されたアクセスが「リモコン制御」である場合、アクセス１４には、リソース利用装置３０がリソース提供装置２０を遠隔操作する際に必要なコマンドが記録されている。リソース利用装置３０に許可されたアクセスが「ファイル書き込み」である場合、アクセス１４には、リソース利用装置３０がリソース提供装置２０の管理するファイルへデータを書き込む際に必要なコマンドが記録されている。

アクセス制御装置１０は、上記の許可情報管理テーブル１０４に基づき、以下のようにアクセス制御処理を行う。まず、アクセス制御装置１０は、リソース利用装置３０へアクセス許可を与えるとき、許可情報管理テーブル１０４に一行を追加する。また、アクセス制御装置１０は、利用側１２の各行に記録されているリソース利用装置３０の存在を一定時間毎に確認する。リソース利用装置３０の存在が確認できなかった場合、アクセス制御装置１０は、存在が確認できなかったリソース利用装置３０からのアクセスを拒否するようリソース提供装置２０へ命令すると共に、すなわち、存在が確認できなかったリソース利用装置３０に関する情報、すなわち、許可情報管理テーブル１０４の対象の行を削除する。

図３は、リソースアクセス制御処理に用いられるアクセス管理テーブル２０４の構成の一例を示す図である。リソース提供装置２０は、自装置が保持するアクセス管理テーブル２０４に基づき、リソース利用装置３０からのアクセスを制御する。

アクセス管理テーブル２０４には、リソース利用装置３０を識別するための装置ＩＤ（利用側２２）、及び利用側２２が利用するリソースの内容（アクセス２３）が、アクセス制御装置１０を識別するための装置ＩＤ（制御側２１）に対応付けて記録される。

制御側２１には、アクセス許可命令を発行したアクセス制御装置１０を識別するための装置ＩＤが記録される。アクセス許可命令は、リソース提供装置２０に対して、リソース利用装置３０からのアクセス許可を与えるための命令である。制御側２１に記録される装置ＩＤは、アクセス制御装置１０を一意に特定することができる情報であればよく、例えば、アクセス制御装置１０のＩＰアドレスやＭＡＣアドレス、アクセス制御装置１０の公開鍵、アクセス制御装置１０の公開鍵のハッシュ値等である。

利用側２２は、制御側２１によって制御されるリソース利用装置３０を識別するための装置ＩＤが記録される。装置ＩＤは、リソース利用装置３０を一意に特定することができる情報であればよく、例えば、リソース利用装置３０のＩＰアドレスやＭＡＣアドレス、リソース利用装置３０の公開鍵、リソース利用装置３０の公開鍵のハッシュ値等である。

アクセス２３は、リソース提供装置２０が保持するリソースのうち、リソース利用装置３０がアクセスする内容に関する情報が記録される。具体的には、アクセス２３には、リソース利用装置３０が利用することができるコマンドと、当該コマンドに対するパラメータ制限に関する情報が記録される。リソース提供装置２０は、リソース利用装置３０からアクセス命令を受け取ると、アクセス管理テーブル２０４を参照して利用側２２に対応するアクセス２３に基づき、リソース利用装置３０にアクセスを許可すべきか否かを判断する。

次に、アクセス制御装置１０、リソース提供装置２０及びリソース利用装置３０の構成の詳細について説明する。

図４は、アクセス制御装置１０の構成を示すブロック図である。アクセス制御装置１０は、記憶部１０３と、アクセス制御部１０２と、通信部１０１とを含む。記憶部１０３は、許可情報管理テーブル１０４を格納する。

アクセス制御部１０２は、アクセス許可部１０６と、アクセス破棄部１０８と、存在確認部１０７とを有する。

アクセス許可部１０６は、リソース提供装置２０へアクセスするリソース利用装置３０に関する情報を、アクセス制御装置１０が備える入力部（図示せず）から受け取って許可情報管理テーブル１０４に記録する。リソース利用装置３０に関する情報は、アクセス制御装置１０が備える入力部を介してユーザによって入力されてもよく、また、リソース利用装置３０から送信してもよい。また、リソース利用装置３０に関する情報をあらかじめアクセス制御装置１０の記憶部１０３に格納しておき、その中から選択し、入力することとしてもよい。

アクセス許可部１０６は、許可情報管理テーブル１０４に記録したリソース利用装置３０からのアクセスを許可するようリソース提供装置２０へ命令する。具体的には、アクセス許可部１０６は、アクセス許可命令を生成して通信部１０１に渡す。

図５は、アクセス許可命令のデータ構造の一例を示す図である。図５において、アクセス許可命令は、タイプと、装置ＩＤと、１つ以上の制御情報とを含む。

タイプは、命令がアクセス許可命令であることを特定するための情報であり、例えば定数である。装置ＩＤは、リソース利用装置３０を識別するための情報である。装置ＩＤは、リソース利用装置３０を一意に特定することができる情報であればよく、例えば、リソース利用装置３０のＩＰアドレスやＭＡＣアドレス、リソース利用装置３０の公開鍵、リソース利用装置３０の公開鍵のハッシュ値等である。

制御情報は、アクセス制御に用いられるコマンドの名前と、コマンドに対するゼロ以上のパラメータ制限と呼ぶとからなる。パラメータ制限は、コマンドの引数、及び影響を及ぼす範囲（例えばディレクトリなど）を示す情報である。

図４の説明に戻り、アクセス許可部１０６は、リソース提供装置２０から、リソース利用装置３０からのアクセスを受け付け可能となったことを通知する信号（以下、完了通知と呼ぶ）を通信部１０１を介して受け取ると、リソース提供装置２０へのアクセスを許可することをリソース利用装置３０へ通知する。具体的には、アクセス許可部１０６は、アクセス許可通知命令を生成して通信部１０１に渡す。アクセス許可通知命令のデータ構造は、図５に示すアクセス許可命令のデータ構造と同様であるため、図５を援用する。図５に示すタイプにはアクセス許可通知命令であることを示す定数、装置ＩＤにはリソース利用装置３０の装置ＩＤ、制御情報のコマンド名にはリソース利用装置３０側から発行できるコマンドの名前、パラメータ制限にはコマンドの引数、及び影響を及ぼす範囲（例えばディレクトリなど）を示す情報がそれぞれ記録される。

存在確認部１０７は、許可情報管理テーブル１０４に記録されているリソース利用装置３０がネットワーク上に存在しているか否かを判断する。具体的には、存在確認部１０７は、存在確認命令を生成して通信部１０１に渡し、リソース利用装置３０から送信されてくる応答を通信部１０１を介して受け取ることにより、リソース利用装置３０の存在を確認する。また、存在確認部１０７は、リソース利用装置３０の存在が確認できない場合、つまり、リソース利用装置３０からの応答を受け取ることができなかった場合、当該リソース利用装置３０の装置ＩＤをアクセス破棄部１０８に通知する。

ここで、通信相手先の存在を確認する方法は、特に限定がないが、例えば、ピング（Ｐｉｎｇ；Ｐａｃｋｅｔ ＩＮｔｅｒｎｅｔ Ｇｒｏｐｅｒ）などのＴＣＰ／ＩＰネットワークを診断するためのプログラムを利用する方法がある。この方法を用いれば、通信相手先のＩＰアドレスを指定すると、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）を用いてデータを送信し、通信相手先から応答があるか否かを確認することができる。

アクセス破棄部１０８は、存在確認部１０７から装置ＩＤが通知されると、通知された装置ＩＤを有するリソース利用装置３０に発行したアクセス許可を破棄し、当該リソース利用装置３０からのアクセスを拒否するようリソース提供装置２０へ命令する。具体的には、アクセス破棄部１０８は、アクセス許可破棄命令を生成し、通信部１０１に渡す。アクセス許可破棄命令のデータ構造は、図５に示すアクセス許可命令のデータ構造と同様であるため、図５を援用する。図５に示すタイプにはアクセス許可破棄命令であることを示す定数、装置ＩＤにはリソース利用装置３０の装置ＩＤ、制御情報のコマンド名にはリソース利用装置３０側から発行できるコマンドの名前、パラメータ制限にはコマンドの引数、及び影響を及ぼす範囲（例えばディレクトリなど）を示す情報がそれぞれ記録される。

図４の説明に戻り、アクセス破棄部１０８は、許可情報管理テーブル１０４を参照し、アクセス許可破棄命令に記録した装置ＩＤを有するリソース利用装置３０に関する情報を削除する。

存在確認応答部１０５は、他の電子機器（ここでは、リソース提供装置２０）からの存在確認命令を通信部１０１を介して受け取ると、応答を生成して通信部１０１に渡す。

通信部１０１は、ネットワークとのインターフェースであって、ネットワークから受信した命令を存在確認部１０７に渡す。また、通信部１０１は、アクセス許可部１０６、アクセス破棄部１０８、及び存在確認部１０７から送信すべき命令を受け取ると、当該命令をネットワークへ送信する。

図６は、リソース提供装置２０の構成を示すブロック図である。リソース提供装置２０は、記憶部２０３と、リソースアクセス制御部２０２と、通信部２０１と、リソースアクセス許可部２０５とを含む。記憶部２０３は、アクセス管理テーブル２０４を格納する。

リソースアクセス許可部２０５は、アクセス制御装置１０から送信されてきたアクセス許可命令を通信部２０１を介して受け取ると、アクセス許可命令に記録されている情報を読み出し、アクセス管理テーブル２０４に記録する。例えば、アクセス許可命令に記録されている装置ＩＤがＩＰアドレスである場合、リソースアクセス許可部２０５は、アクセス制御装置１０のＩＰアドレスに対応付けて、アクセス許可命令に記録されている装置ＩＤ、コマンド及びパラメータ制限に関する情報をアクセス管理テーブル２０４に記録する。アクセス許可命令に記録されている装置ＩＤがＩＰアドレス以外の情報である場合、当該装置ＩＤに対応するＩＰアドレスを検索し、当該ＩＰアドレスに対応付けて、アクセス許可命令に記録されているコマンド及びパラメータ制限に関する情報をアクセス２３としてアクセス管理テーブル２０４に記録してもよい。これと共に、リソースアクセス許可部２０５は、リソース利用装置３０と通信するための設定を行い、設定が完了すると、アクセス制御装置１０へ送信するための完了通知を生成して通信部２０１に渡す。

完了通知のデータ構造は、図５に示すアクセス許可命令のデータ構造と同様であるため、図５を援用する。図５に示すタイプには完了通知であることを示す定数、装置ＩＤにはリソース利用装置３０のＩＰアドレス、制御情報のコマンド名にはリソース利用装置３０側から発行できるコマンドの名前、パラメータ制限にはコマンドの引数、及び影響を及ぼす範囲（例えばディレクトリなど）を示す情報がそれぞれ記録される。

図６の説明に戻り、リソースアクセス許可部２０５は、リソース利用装置３０から、リソース提供装置２０が保持するリソースへアクセスするためのアクセス命令を受け取ると、当該リソース利用装置３０からのアクセスを許可すべきか否かを判断する。具体的には、リソースアクセス許可部２０５は、リソース利用装置３０から送信されてきたアクセス命令を通信部２０１を介して受け取ると、アクセス管理テーブル２０４を参照し、アクセス命令の送信元のリソース利用装置３０に関する情報が記録されているか否かを判断する。リソースアクセス許可部２０５は、送信元のリソース利用装置３０に関する情報がアクセス管理テーブル２０４に記録されている場合、アクセスを許可し、送信元のリソース利用装置３０に関する情報がアクセス管理テーブル２０４に記録されていない場合、アクセスを拒否する。

リソースアクセス制御部２０２は、アクセス破棄部２０７と、存在確認部２０６とを有し、リソース提供装置２０が保持するリソースへのリソース利用装置３０によるアクセスを制御する。

存在確認部２０６は、アクセス管理テーブル２０４に記録されているアクセス制御装置１０がネットワーク上に存在しているか否かを判断する。具体的には、存在確認部２０６は、存在確認命令を生成して通信部２０１に渡し、アクセス制御装置１０から送信されてくる応答を通信部２０１を介して受け取ることにより、アクセス制御装置１０の存在を確認する。また、存在確認部２０６は、アクセス制御装置１０の存在が確認できない場合、つまり、アクセス制御装置１０からの応答を受け取ることができなかった場合、当該アクセス制御装置１０の装置ＩＤをアクセス破棄部２０７に通知する。

アクセス破棄部２０７は、存在確認部２０６から装置ＩＤが通知されると、アクセス管理テーブル２０４を参照し、通知された装置ＩＤを有するアクセス制御装置１０に関する情報を削除する。また、アクセス破棄部２０７は、リソース利用装置３０からのアクセスの拒否を命令されると、当該リソース利用装置３０からのアクセスを拒否する。具体的には、アクセス破棄部２０７は、アクセス制御装置１０から送信されてくるアクセス許可破棄命令を通信部２０１を介して受け取ると、アクセス管理テーブル２０４を参照し、アクセス許可破棄命令に記録されている装置ＩＤを有するリソース利用装置３０に関する情報を削除する。

通信部２０１は、ネットワークとのインターフェースであって、ネットワークから受信したメッセージを存在確認部２０６、アクセス破棄部２０７、またはリソースアクセス許可部２０５に渡す。通信部２０１は、存在確認命令に対する応答を受信すると、当該応答を存在確認部２０６に渡し、アクセス許可破棄命令を受信すると、当該アクセス許可破棄命令をアクセス破棄部２０７に渡す。また、通信部２０１は、アクセス命令を受信すると、当該アクセス命令をリソースアクセス許可部２０５に渡す。また、通信部２０１は、アクセス破棄部２０７または存在確認部２０６から送信すべき命令を受け取ると、当該命令をネットワークへ送信する。

図７は、リソース利用装置３０の構成を示すブロック図である。リソース利用装置３０は、通信部３０１と、存在確認応答部３０２と、アクセス命令部３０３とを含む。

通信部３０１は、ネットワークとのインターフェースであって、ネットワークから受信したメッセージを存在確認応答部３０２、またはアクセス命令部３０３に渡す。通信部３０１は、存在確認命令を受信すると、当該存在確認命令を存在確認応答部３０２に渡す。また、通信部１０１は、存在確認応答部３０２またはアクセス命令部３０３から送信すべき命令を受け取ると、当該命令をネットワークへ送信する。

存在確認応答部３０２は、他の電子機器（ここでは、アクセス制御装置１０）からの存在確認命令を通信部３０１を介して受け取ると、これに応答するための応答信号を生成して通信部３０１に渡す。

アクセス命令部３０３は、アクセス制御装置１０から送信されてくるアクセス許可通知命令を通信部３０１を介して受け取った後、リソース提供装置２０に対して所望の処理を行うためのアクセス命令を生成して通信部３０１に渡す。これにより、リソース利用装置３０は、リソース提供装置の機能を利用することが可能となる。アクセス命令は、リソース利用装置３０の装置ＩＤと制御情報とを含む。制御情報は、コマンド名と、コマンドの引数及び影響を及ぼす範囲（例えばディレクトリなど）を示すパラメータ制限に関する情報とが記録される。なお、装置ＩＤとしてＩＰアドレスを用いる場合、装置ＩＤはアクセス命令に記録されなくてもよい。

図８は、アクセス制御装置１０によるアクセス制御の流れの一例を示すシーケンス図である。

リソース利用装置３０によるリソースの利用を制御するために、アクセス制御装置１０とリソース提供装置２０とは、事前準備を行う。例えば、アクセス制御装置１０及びリソース提供装置２０は、通信路（ここでは、接続４０）を介して相互に通信可能な状態を確立する。その方法は公知のものであり、例えば、非特許文献１に記載されているＵＰｎＰの技術を利用して、それぞれがネットワークに接続されたことを自動的に認識し、ＩＰアドレス等の接続に必要な情報を互いに取得した後、相互に通信可能な状態を確立してもよい。また、ユーザが、それぞれの機器が備える入力部（図示せず）から接続に必要な情報を直接入力してもよい。図８では、事前準備がすでに行われており、リソース提供装置２０がアクセス制御装置１０からの命令を認証していて許可があると認めているものとして説明する。

まず、アクセス制御装置１０は、リソース提供装置２０を一時的に利用するリソース利用装置３０に関する情報を許可情報管理テーブル１０４に記録する。この場合も、アクセス制御装置１０とリソース提供装置２０との間の接続を確立する場合と同様に、ＵＰｎＰの技術を利用して、アクセス制御装置１０とリソース利用装置３０との接続に必要な情報を取得してもよく、また、ユーザが入力部から接続に必要な情報を直接入力してもよい。

そして、アクセス制御装置１０は、アクセス許可命令を生成してリソース提供装置２０へ送信する（ステップＳ１０１）。リソース提供装置２０は、受信したアクセス許可命令に記録されている情報のうち、必要な情報をアクセス管理テーブル２０４に記録すると共に、リソース利用装置３０と通信するための設定を行い、設定が完了すると、完了通知を生成してアクセス制御装置１０へ送信する（ステップＳ１０２）。

アクセス制御装置１０は、完了通知を受信すると、アクセス許可通知命令を生成し、リソース利用装置３０へ送信する（ステップＳ１０３）。

次に、アクセス制御装置１０は、アクセス許可通知命令の送信後、一定時間毎にリソース利用装置３０の存在を確認する（ステップＳ１０４）。リソース利用装置３０の存在が確認できた場合（ステップＳ１０５）、アクセス制御装置１０はアクセス許可破棄命令を生成しない。

ステップＳ１０１及びステップＳ１０２が行われた後、リソース利用装置３０は、アクセス制御が必要なリソースを保持するリソース提供装置２０へアクセスするためのアクセス命令を生成してリソース提供装置２０へ送信する（ステップＳ１０６）。リソース提供装置２０は、アクセス命令を受信すると、アクセス管理テーブル２０４を参照し、アクセス命令を許可すべきか否かを判断する。具体的には、リソース提供装置２０は、受信したアクセス命令に記録されているコマンド及び装置ＩＤが、アクセス管理テーブル２０４に記録されているコマンド及び装置ＩＤと一致するか否かを判断する。リソース提供装置２０は、コマンド及び装置ＩＤが一致した場合にのみアクセスを許可する。これにより、コマンドに応じた処理が実行され、リソース利用装置３０によるリソースの利用が可能となる。

アクセス制御装置１０は、一定時間毎にリソース利用装置３０の存在を確認し続け、リソース利用装置３０の存在が確認できない場合（ステップＳ１０７）、アクセス制御装置１０は、リソース提供装置２０へのアクセス許可命令を破棄すべきであると判断する。

そして、アクセス制御装置１０は、アクセス許可破棄命令を生成し、リソース提供装置２０へ送信する（ステップＳ１０８）。リソース提供装置２０は、アクセス許可破棄命令を受信すると、アクセス管理テーブル２０４を参照し、リソース利用装置３０に関する情報を削除する（ステップＳ１０９）。その後、アクセス管理テーブル２０４から情報が削除されたリソース利用装置３０からアクセス命令が送信されてきても、送信されたアクセス命令に記録されたコマンド及び装置ＩＤは、アクセス管理テーブル２０４に記録されていないため、リソース提供装置２０はアクセス命令を受け付けなくなる。したがって、リソース提供装置２０は、アクセス管理テーブル２０４に情報が記録されていないリソース利用装置３０からのアクセスを拒否するため、リソース利用装置３０は、リソースを利用することができなくなる。

また、アクセス制御装置１０は、リソース提供装置２０に通知した装置ＩＤを有するリソース利用装置３０に関する情報を許可情報管理テーブル１０４から削除する（ステップＳ１１０）。

図９は、リソース提供装置２０によるリソースアクセス制御の流れの一例を示すシーケンス図である。

リソース提供装置２０は、アクセス制御装置１０からアクセス許可命令を受信すると（ステップＳ２０１）、所定の処理を行った後、完了通知を送信する。その後、アクセス制御装置１０からリソース利用装置３０へアクセス許可通知命令が送信される（ステップＳ２０３）。

リソース提供装置２０は、一定時間毎にアクセス制御装置１０の存在を確認する（ステップＳ２０４）。アクセス制御装置１０の存在が確認できた場合（ステップＳ２０５）、リソース提供装置２０は、リソース利用装置３０からアクセス命令が送信されてくると（ステップＳ２０６）、リソース利用装置３０からのアクセスを許可する（ステップＳ２０７）。

一方、アクセス制御装置１０の存在が確認できなかった場合（ステップＳ２０８）、リソース提供装置２０は、アクセス制御装置１０に関する情報をアクセス管理テーブル２０４から削除する（ステップＳ２０９）。これにより、アクセス管理テーブル２０４から情報が削除されたリソース利用装置３０からアクセスの要求があった場合（ステップＳ２１０）、リソース提供装置２０は、アクセスを拒否する（ステップＳ２１１）。

なお、リソース利用装置３０からのアクセスを拒否した場合、リソース提供装置２０がリソース利用装置３０に対してアクセスが失敗した理由を示すエラーコードを送信することとしてもよい。

図１０は、アクセス制御装置１０におけるアクセス許可部１０６、存在確認部１０７及びアクセス破棄部１０８の動作を示すフローチャートである。

まず、アクセス制御装置１０において、アクセス許可部１０６は、アクセス制御に必要な情報を許可情報管理テーブル１０４に記録する。許可情報管理テーブル１０４に記録される情報は、例えば、リソース提供装置２０に関する情報（図２に示す提供側１１に相当）、リソース利用装置３０に関する情報（図２に示す利用側１２に相当）、アクセス制御装置１０及びリソース利用装置３０の間の通信Ｉ／Ｆ（図２に示す通信Ｉ／Ｆ１３に相当）、リソース提供装置２０がリソース利用装置３０に対してどのようなアクセスを可能とするかに関する情報（図２に示すアクセス１４に相当する情報であって、リソース提供装置２０がリソース利用装置３０から受け付け可能な命令（書き込み命令、読み込み命令、所望の実行命令等）、及び命令が及ぶ範囲（ディレクトリの情報などのパラメータ制限に関する情報））である。

そして、アクセス許可部１０６は、アクセス許可命令を生成して通信部１０１に渡す。アクセス許可命令は、通信部１０１を介してリソース提供装置２０へ送信される（ステップＳ１１）。

アクセス許可部１０６は、通信部１０１から完了通知を受け取ると（ステップＳ１２）、アクセス許可通知命令を生成して通信部１０１に渡す。アクセス許可通知命令は、通信部１０１を介してリソース利用装置３０へ送信される（ステップＳ１３）。

次に、存在確認部１０７は、リソース利用装置３０の存在を確認する（ステップＳ１４）。存在確認部１０７は、存在確認命令を生成して通信部１０１に渡す。そして、存在確認部１０７は、リソース利用装置３０の存在が確認できたか否かを判断する（ステップＳ１５）。存在確認部１０７は、通信部１０１から応答を受け取ったか否かを判断する。通信部１０１は、リソース利用装置３０から送信されてきた応答を存在確認部１０７に渡す。

ステップＳ１５において、リソース利用装置３０の存在が確認できた場合、つまり、通信部１０１から応答を受け取った場合、存在確認部１０７は、一定時間スリープする（ステップＳ１４）。そして、存在確認部１０７は、一定時間スリープした後、再びリソース利用装置３０の存在を確認する。

一方、ステップＳ１５において、リソース利用装置３０の存在が確認できなかった場合、つまり、通信部１０１から応答を受け取っていない場合、存在確認部１０７は、応答を受け取ることができなかったリソース利用装置３０の装置ＩＤをアクセス破棄部１０８に通知する。

アクセス破棄部１０８は、通知された装置ＩＤを記録したアクセス許可破棄命令を生成し、通信部１０１に渡す。アクセス許可破棄命令は、通信部１０１を介してリソース提供装置２０に送信される（ステップＳ１７）。

そして、アクセス破棄部１０８は、許可情報管理テーブル１０４を参照し、通知された装置ＩＤを有するリソース利用装置３０に関する情報を削除する（ステップＳ１８）。

次に、図２に示す許可情報管理テーブル１０４を用いた場合における、アクセス制御装置１０による存在確認命令及びアクセス許可破棄命令送信の具体例について説明する。

アクセス制御装置１０は、許可情報管理テーブル１０４に記録されている順番に従い、利用側１２に記録されている装置ＩＤを有するリソース利用装置３０の存在を確認する。また、アクセス制御装置１０は、許可情報管理テーブル１０４に記録されているリソース利用装置３０の存在を確認する際、リソース利用装置３０の装置ＩＤに対応付けられている通信インターフェース１３を用いて通信する。

例えば、図２の１行目に記録されている管理情報を例に説明すると、アクセス制御装置１０は、通信インターフェースｅｔｈ０を利用して携帯電話Ｅと通信し、携帯電話Ｅの存在を確認する。そして携帯電話Ｅの存在が確認できなかった場合、アクセス制御装置１０は、リソース提供装置２０である携帯電話Ｂに対してアクセス許可破棄命令を送信し、携帯電話Ｅによる秘密資料参照のアクセスを拒否するよう命令する。また、アクセス制御装置１０は、利用側１２に記録されている携帯電話Ｅに関する情報（提供側１１、通信Ｉ／Ｆ１３及びアクセス１４）を削除する。

また、図２の２行目に記録されている管理情報を例に説明すると、アクセス制御装置１０は、すべての通信インターフェースを利用して携帯電話Ｂと通信し、携帯電話Ｂの存在を確認する。そして、どの通信インターフェースで通信しても携帯電話Ｂの存在が確認できなかった場合、アクセス制御装置１０は、リソース提供装置２０である据置機器Ｃに対してアクセス許可破棄命令を送信し、携帯電話Ｂによるビデオ視聴のアクセスを拒否するよう命令する。また、アクセス制御装置１０は、利用側１２に記録されている携帯電話Ｂに関する情報（提供側１１、通信Ｉ／Ｆ１３及びアクセス１４）を削除する。

図１１は、アクセス制御装置１０における存在確認応答部１０５の動作を示すフローチャートである。

まず、存在確認応答部１０５は、通信部１０１を介してリソース提供装置２０から送信されてきた存在確認命令を受け取ったか否かを判断する（ステップＳ２１）。存在確認命令を受け取っていない場合、存在確認応答部１０５は処理を終了する。

一方、存在確認命令を受け取った場合、存在確認応答部１０５は、存在確認命令に対する応答を生成して、通信部１０１に渡す。応答は、通信部１０１を介して存在確認命令の送信元であるリソース提供装置２０へ送信される（ステップＳ２２）。

図１２は、リソース提供装置２０の動作を示すフローチャートである。

まず、リソース提供装置２０において、リソースアクセス許可部２０５は、通信部２０１を介してアクセス制御装置１０から送信されてきたアクセス許可命令を受信すると（ステップＳ３１）、アクセス管理テーブル２０４を更新する。具体的には、リソースアクセス許可部２０５は、アクセス管理テーブル２０４を参照し、アクセス許可命令に記録されているリソース利用装置３０に対応する装置ＩＤを制御側２１に記録し、制御情報をアクセス２３に記録する。

そして、リソースアクセス許可部２０５は、リソース利用装置３０との通信が可能となるように設定を行い、設定が完了すると、完了通知を生成して通信部２０１に渡す。完了通知は、通信部２０１を介してアクセス制御装置１０へ送信される（ステップＳ３２）。

次に、存在確認部２０６は、アクセス制御装置１０の存在を確認する（ステップＳ３３）。具体的には、存在確認部２０６は、存在確認命令を生成して通信部２０１に渡す。そして、存在確認部２０６は、アクセス制御装置１０の存在が確認できたか否かを判断する（ステップＳ３４）。具体的には、存在確認部２０６は、通信部２０１から応答を受け取ったか否かを判断する。通信部２０１は、アクセス制御装置１０から送信されてきた応答を存在確認部１０７に渡す。

ステップＳ３４において、アクセス制御装置１０の存在が確認できた場合、つまり、通信部２０１から応答を受け取った場合、存在確認部２０６は、一定時間スリープする（ステップＳ３５）。そして、存在確認部２０６は、一定時間スリープした後、再びアクセス制御装置１０の存在を確認する。

一方、ステップＳ３４において、アクセス制御装置１０の存在が確認できなかった場合、つまり、通信部２０１から応答を受け取っていない場合、存在確認部２０６は、応答を受け取ることができなかったアクセス制御装置１０の装置ＩＤをアクセス破棄部２０７に通知する。

アクセス破棄部２０７は、アクセス管理テーブル２０４を参照し、通知された装置ＩＤを有するアクセス制御装置１０に関する情報を全て削除する（ステップＳ３６）。これにより、アクセス制御装置１０に対応付けて記録されているリソース利用装置３０に関する情報が削除されるため、その後、リソース提供装置２０は、アクセス管理テーブル２０４から削除されたリソース利用装置３０からのアクセスを拒否する。

次に、図３に示すアクセス管理テーブル２０４を用いた場合における、リソース提供装置２０による存在確認の具体例について説明する。

リソース提供装置２０は、アクセス管理テーブル２０４に記録されている順番に従い、制御側２１に記録されている装置ＩＤを有するアクセス制御装置１０の存在を確認する。

例えば、図３の２行目に記録されている管理情報を例に説明すると、リソース提供装置２０は、制御側２１に記録されている携帯電話Ｈの存在を確認する。そして携帯電話Ｈの存在が確認できなかった場合、制御側２１に記録されている携帯電話Ｈに関する情報（制御側２１、利用側２２及びアクセス２３）を削除する。この場合、利用側２２から携帯電話Ｂ及び携帯電話Ｅの装置ＩＤが削除される。これにより、携帯電話Ｂは、リソース提供装置２０にアクセスしてビデオ視聴することができなくなり、また携帯電話Ｅは、リソース提供装置２０にアクセスして資料を印刷することができなくなる。

図１３は、リソース提供装置２０におけるアクセス破棄部２０７の動作を示すフローチャートである。まず、アクセス破棄部２０７は、通信部２０１からアクセス許可破棄命令を受け取ったか否かを判断する（ステップＳ４１）。アクセス許可破棄命令を受け取っていない場合、処理を終了し、一方、アクセス許可破棄命令を受け取った場合、アクセス管理テーブル２０４を参照し、アクセス許可破棄命令に記録されている装置ＩＤを有するアクセス制御装置１０に関する情報を全て削除する（ステップＳ４２）。

図１４は、リソース利用装置３０の動作を示すフローチャートである。まず、リソース利用装置３０において、存在確認応答部３０２は、通信部３０１を介してアクセス制御装置１０から送信されてきた存在確認命令を受け取ったか否かを判断する（ステップＳ５１）。存在確認命令を受け取っていない場合、存在確認応答部３０２は処理を終了する。

一方、存在確認命令を受け取った場合、存在確認応答部３０２は、応答を生成して、通信部３０１に渡す。応答は、通信部３０１を介して存在確認命令の送信元であるアクセス制御装置１０へ送信される（ステップＳ５２）。

以上のように、本実施の形態によれば、アクセス制御装置は、存在が確認できないリソース利用装置からのアクセスを拒否するようリソース提供装置に命令する。リソース提供装置は、アクセス制御装置からの命令に従い、管理テーブルからリソース利用装置に関する情報を削除することで、その後のリソース利用装置からのアクセスを拒否する。これにより、不要なアクセス許可を速やかに破棄し、リソース利用装置を利用したリソース提供装置への不正なアクセスを防止することができる。したがって、システムの秘匿性を向上させることができる。

また、リソース提供装置とアクセス制御装置との間の通信が途絶えた場合、アクセス制御装置がリソース提供装置に対して、アクセス許可破棄命令を送信することができなくなる。その場合、セキュリティの観点から、リソース提供装置が自装置にアクセスするリソース利用装置に対するアクセス制御を破棄することが望ましい。

この場合においても、本実施の形態によれば、リソース提供装置は、アクセス制御装置の存在が確認できなくなると、存在が確認できなくなったアクセス制御装置及びアクセス制御装置によりアクセス制御されているリソース利用装置に関する情報をアクセス管理テーブルから削除する。その後、リソース提供装置はアクセス管理テーブルから情報が削除されたリソース利用装置からのアクセスを拒否する。これにより、アクセス制御装置からアクセス許可破棄命令を送信することができない場合であっても、不要なアクセス許可を速やかに破棄し、リソース利用装置を利用したリソース提供装置への不正なアクセスを防止することができる。したがって、さらにシステムの秘匿性を向上させることができる。

なお、本実施の形態では、アクセス制御装置がリソース利用装置へアクセス許可通知命令を送信していた。ここで、実装によっては、アクセス制御装置ではなく、リソース提供装置がアクセス許可通知命令を生成し、リソース利用装置へ送信することとしてもよい。また、ユーザがリソース提供装置にアクセスするために必要な情報を直接リソース利用装置に入力してもよい。重要なのは、リソース利用装置にリソース利用が許可されたことを通知することである。

また、本実施の形態では、アクセス制御装置及びリソース提供装置は、許可情報管理テーブルまたはアクセス管理テーブルを用いて複数の電子機器に関する情報を管理していた。ここで、管理対象の電子機器が１台のみである場合には、許可情報管理テーブルまたはアクセス管理テーブルを備えていなくてもよい。

また、本実施の形態では、アクセス許可命令、アクセス許可通知命令、及びアクセス許可破棄命令には、制御情報が記録されるものとして説明した。ここで、実施によっては、これらの命令に制御情報を添付しなくてもよい。例えば、制御されるコマンドやパラメータが、システム設計時にあらかじめ決定されている場合には、命令に制御情報を添付する必要はない。また、図３に示すデータ構造体は一例であり、上述の３つの命令のそれぞれが上記構造体に従わなくてもよい。例えば、アクセス制御装置とリソース提供装置との間で予め決められた整理番号を利用し、アクセス許可破棄命令の中身はその整理番号だけで決められるようにしてもよい。その場合、整理番号が記録されたアクセス許可破棄命令を受信したリソース提供装置は、受信した整理番号に基づいてどのアクセス許可を破棄すべきかを決定する。

また、本実施の形態では、アクセス制御装置によるリソース利用装置の監視と、リソース提供装置によるアクセス制御装置の監視とを並行して実施していた。ここで、アクセス制御装置による監視及びリソース提供装置による監視を並行して実施する必要がない場合には、アクセス制御装置またはリソース提供装置のいずれかの監視のみを実施することとしてもよい。

また、本実施の形態では、アクセス制御装置は、許可情報管理テーブルに記録されている全てのリソース利用装置の存在を確認していた。ここで、アクセス制御装置は、許可情報管理テーブルに記録されているリソース提供装置のうち、アクセス許可の破棄制御が必要なリソース提供装置に対応付けて記録されているリソース利用装置の存在を確認することとしてもよい。これにより、許可情報管理テーブルに記録されているリソース提供装置の全てについてアクセス許可の破棄制御を実施する必要がない場合に、効率よくアクセス制御処理を行うことができる。

また、本実施の形態では、アクセス制御装置とリソース提供装置とが相互に通信するために必要な設定が既に確立されているものとして説明した。ここで、アクセス制御装置及びリソース提供装置が通信を確立するための設定が必要な場合、リソース提供装置が保持するアクセス管理テーブルに通信Ｉ／Ｆに関する情報を記録することとしてもよい。

なお、ＵＰｎＰの技術を用いれば、通信路に接続された装置同士は、通信する際に互いのＩＰアドレスを得ることができる。したがって、命令に含まれる装置ＩＤがＩＰアドレスそのものである場合、命令を受け取った電子機器は、通信相手先を特定することができる。また、装置ＩＤが、ＭＡＣアドレスや公開鍵、ハッシュ値等のＩＰアドレス以外の情報である場合、電子機器は、装置ＩＤとＩＰアドレスとを対応付けて保持するサーバ（図示せず）へ装置ＩＤを通知し、ＩＰアドレスの検索を依頼することとしてもよい。または、装置ＩＤに対応するＩＰアドレスを検索した電子機器が、通信路に接続されている全ての電子機器に対して装置ＩＤをブロードキャスト送信し、検索対象の装置ＩＤを有する装置が自身のＩＰアドレスを返信することにより、ＩＰアドレスを得ることとしてもよい。

以下、上記の実施の形態において説明したアクセス制御システムの動作の具体例について説明するが、本発明はかかる実施例のみに限定されるものではない。

（実施例１）
実施例１では、アクセス制御処理の具体例について説明する。ここで、Ａ社内にあるサーバがリソース提供装置、Ａ社の甲氏が所有する携帯電話がアクセス制御装置、Ｂ社内にあるパーソナルコンピュータがリソース利用装置に相当する場合を例に説明する。また、サーバと携帯電話との間は、携帯電話網およびインターネットを介したＩＰ接続で接続され、サーバとパーソナルコンピュータとの間は、インターネットを介したＩＰ接続で接続され、携帯電話とパーソナルコンピュータとの間は、短距離無線を介したＩＰ接続で接続されているものとする。

サーバには、甲氏の重要なデータが格納されている。甲氏は、Ｂ社の乙氏を訪問した際、Ａ社内のサーバが保持する情報を、Ｂ社内のパーソナルコンピュータを通じて一時的に表示する必要がある。このとき、Ａ社の甲氏は、携帯電話を操作することにより、パーソナルコンピュータからサーバへのアクセスを許可する。これにより、Ｂ社内のパーソナルコンピュータから、Ａ社内のサーバが保持するデータにアクセスすることができる。

Ｂ社内のパーソナルコンピュータからサーバ内のデータにアクセスしている間、携帯電話は、短距離無線を利用してパーソナルコンピュータの存在を一定時間毎に確認する。甲氏が乙氏への訪問を終え、Ｂ社から離れると、パーソナルコンピュータと携帯電話との距離が大きくなっていく。携帯電話は、短距離無線の接続が切断された時点で、アクセス管理テーブル２０４からパーソナルコンピュータに関する情報を削除するようサーバに命令する。これにより、甲氏がＢ社を離れた後、パーソナルコンピュータからサーバへのアクセス許可を速やかに破棄することができる。したがって、パーソナルコンピュータを用いたサーバへの不正なアクセスを防止することができるため、システムの秘匿性を向上させることができる。

また、アクセス制御装置とリソース利用装置との間を無線で接続し、無線による通信が可能な範囲を所定の範囲に制限することとすれば、アクセス制御装置がリソース利用装置の存在を確認する際に、リソース利用装置がネットワーク上に存在するか否かと、リソース利用装置が存在する位置が所定の範囲内であるか否かとを同時に確認することができる。

なお、本実施例では、アクセス制御装置である携帯電話がリソース利用装置であるパーソナルコンピュータの存在を確認していればよく、リソース提供装置であるサーバは、携帯電話の存在を確認しなくとも、アクセスを破棄すべきリソース利用装置（パーソナルコンピュータ）からのアクセスを速やかに破棄することが可能となる。

（実施例２）
次に、アクセス制御処理及びリソースアクセス制御処理の具体例について説明する。ここで、Ａ社内にあるサーバがリソース提供装置、Ａ社の甲氏が所有する携帯電話がアクセス制御装置、Ｂ社の乙氏が所有する携帯端末がリソース利用装置に相当する場合を例に説明する。本実施例において、携帯電話とサーバとの間、及び携帯電話と携帯端末との間は、それぞれ短距離無線を介したＩＰ接続で接続されており、サーバと携帯端末との間は、インターネットを介したＩＰ接続で接続されているものとする。また、サーバは短距離無線を利用して携帯電話の存在を確認し、その通信範囲は、１つの部屋をカバーする程度の大きさであるものとする。

Ｂ社の乙氏がＡ社の甲氏を訪問した際、甲氏は、携帯電話を操作することにより、乙氏が所有する携帯端末からサーバへのアクセスを許可する。サーバは、一定時間毎に甲氏が所有する携帯電話が自装置の通信範囲内に存在するか否かを確認する。例えば、甲氏が部屋から離れ、サーバが甲氏が所有する携帯電話の存在を確認することができなくなると、アクセス管理テーブル２０４から携帯電話に関する情報を削除する。このとき、乙氏が所有する携帯端末に関する情報もアクセス管理テーブル２０４から削除されるため、サーバは、携帯端末からのアクセスを拒否する。これにより、携帯端末を利用してサーバに不正にアクセスすることを防止することができる。

また、乙氏が訪問を終えてＡ社から離れると、甲氏が所有する携帯電話は、乙氏が所有する携帯端末の存在を確認することができなくなるため、携帯端末に関する情報を削除するようサーバに命令する。また、それと共に、携帯電話は、自身が保持する許可情報管理テーブル１０４から携帯端末に関する情報を削除する。

以上のように、本実施例によれば、アクセス制御装置は、リソース利用装置が通信範囲内に存在するか否かを監視し、リソース提供装置は、アクセス制御装置が通信範囲内に存在するか否かを監視する。このように、通信範囲を近距離に限定してリソース利用装置またはアクセス制御装置の存在を確認することにより、リソース利用装置３０、及びアクセス制御装置１０が所定の範囲内に位置する場合にのみ、リソース提供装置２０を利用することができるようにすることができる。

本発明は、電子機器のアクセス制御に関して、リソース利用装置からのアクセスを速やかに破棄し、リソース提供装置の不正な使用を防止するアクセス制御装置、アクセス制御装置からの要求に応じてリソース利用装置からのアクセスを受け付けるリソース提供装置、及びこれらを用いたアクセス制御システム等として有用である。

本発明の一実施形態に係るアクセス制御システムの全体的な構成の一例を示す図 アクセス制御処理に用いられる許可情報管理テーブル１０４の構成の一例を示す図 リソースアクセス制御処理に用いられるアクセス管理テーブル２０４の構成の一例を示す図 アクセス制御装置１０の構成を示すブロック図 アクセス許可命令、アクセス許可通知命令、完了通知、及びアクセス許可破棄命令のデータ構造の一例を示す図 リソース提供装置２０の構成を示すブロック図 リソース利用装置３０の構成を示すブロック図 アクセス制御装置１０によるアクセス制御の流れの一例を示すシーケンス図 リソース提供装置２０によるリソースアクセス制御の流れの一例を示すシーケンス図 アクセス制御装置１０におけるアクセス許可部１０６、存在確認部１０７及びアクセス破棄部１０８の動作を示すフローチャート アクセス制御装置１０における存在確認応答部１０５の動作を示すフローチャート リソース提供装置２０の動作を示すフローチャート リソース提供装置２０におけるアクセス破棄部２０７の動作を示すフローチャート リソース利用装置３０の動作を示すフローチャート

符号の説明

１０ アクセス制御装置
２０ リソース提供装置
３０ リソース利用装置
１０１ 通信部
１０２ アクセス制御部
１０３ 記憶部
１０４ 許可情報管理テーブル
１０５ 存在確認応答部
１０６ アクセス許可部
１０７ 存在確認部
１０８ アクセス破棄部
２０１ 通信部
２０２ リソースアクセス制御部
２０３ 記憶部
２０４ アクセス管理テーブル
２０５ リソースアクセス許可部
２０６ 存在確認部
２０７ アクセス破棄部

Claims (16)

1. リソース提供装置で提供されるリソースを利用するために行われるリソース利用装置からリソース提供装置へのアクセスを制御するアクセス制御装置であって、
   前記リソース利用装置及び前記リソース提供装置と通信する通信部と、
   前記リソース利用装置からのアクセスを許可するよう、前記通信部を介して前記リソース提供装置へ命令するアクセス許可部と、
   前記アクセス許可部によってアクセスが許可された前記リソース利用装置に関する情報を管理情報として格納する記憶部と、
   前記記憶部に前記管理情報が格納されているリソース利用装置との通信状態を前記通信部を介して確認する存在確認部と、
   前記存在確認部によって通信が途絶えたと判断されたリソース利用装置からのアクセスを拒否するよう、前記通信部を介して前記リソース提供装置へ命令するアクセス破棄部とを備える、アクセス制御装置。
2. 前記アクセス破棄部は、前記通信が途絶えたと判断されたリソース利用装置に関する情報を前記記憶部から削除する、請求項１に記載のアクセス制御装置。
3. 前記リソース利用装置に関する情報は、前記リソース利用装置を識別するための情報である、請求項１に記載のアクセス制御装置。
4. 前記リソース利用装置に関する情報は、前記リソース利用装置を識別するための情報と、当該リソース利用装置からのアクセスを受け付けるリソース提供装置を識別するための情報とを含む、請求項１に記載のアクセス制御装置。
5. 前記リソース利用装置に関する情報は、前記リソース利用装置が前記リソース提供装置へアクセスする際に発行するコマンドに関する情報を含む、請求項３または４に記載のアクセス制御装置。
6. 前記アクセス許可部は、アクセスを許可すべきリソース利用装置に関する情報を、前記通信部を介して前記リソース提供装置へ通知する、請求項１に記載のアクセス制御装置。
7. 前記アクセス破棄部は、前記通信が途絶えたと判断されたリソース利用装置に関する情報を、前記通信部を介して前記リソース提供装置へ通知する、請求項１に記載のアクセス制御装置。
8. さらに、前記通信部を介して前記リソース提供装置から通信状態の確認要求を受け取ると、当該通信部を介して当該リソース提供装置へ応答する存在確認応答部を備える、請求項１に記載のアクセス制御装置。
9. 前記通信部は、前記リソース利用装置と無線を介して通信し、
   前記無線による通信範囲は所定の範囲に制限されている、請求項１に記載のアクセス制御装置。
10. アクセス制御装置よりアクセスが許可されたリソース利用装置からのアクセスを受け付け、リソースを提供するリソース提供装置であって、
    前記アクセス制御装置及び前記リソース利用装置と通信する通信部と、
    前記通信部を介して前記アクセス制御装置から命令されたリソース利用装置に関する情報を管理情報として格納する記憶部と、
    前記記憶部に前記管理情報が格納されているリソース利用装置からのアクセスを許可するアクセス許可部と、
    前記アクセス制御装置との通信状態を前記通信部を介して確認する存在確認部と、
    前記存在確認部によって通信が途絶えたと判断されたアクセス制御装置によってアクセスが許可されたリソース利用装置からのアクセスを拒否するアクセス拒否部とを備え、
    前記リソース利用装置に関する情報は、前記リソース利用装置を識別するための情報と、当該リソース利用装置に対してアクセスを許可したアクセス制御装置を識別するための情報とを含む、リソース提供装置。
11. 前記アクセス拒否部は、前記通信が途絶えたと判断されたアクセス制御装置によってアクセスが許可されたリソース利用装置に関する情報を前記記憶部から削除する、請求項１０に記載のリソース提供装置。
12. 前記リソース利用装置に関する情報は、前記リソース利用装置が前記リソース提供装置へアクセスする際に発行するコマンドに関する情報を含む、請求項１０に記載のリソース提供装置。
13. 前記アクセス拒否部は、前記リソース利用装置からのアクセスを拒否するよう、前記通信部を介して前記アクセス制御部から命令されると、命令されたリソース利用装置からのアクセスを拒否する、請求項１０に記載のリソース提供装置。
14. 前記アクセス拒否部は、前記命令されたリソース利用装置に関する情報を前記記憶部から削除する、請求項１３に記載のリソース提供装置。
15. 前記通信部は、前記アクセス制御装置と無線を介して通信し、
    前記無線による通信範囲は所定の範囲に制限されている、請求項１０に記載のリソース提供装置。
16. リソースを提供するリソース提供装置と、当該リソースへアクセスするリソース利用装置と、当該リソース利用装置によるアクセスを制御するアクセス制御装置とを備えるアクセス制御システムであって、
    前記アクセス制御装置は、
    前記リソース利用装置及び前記リソース提供装置と通信する通信部と、
    前記リソース利用装置からのアクセスを許可するよう、前記通信部を介して前記リソース提供装置へ命令するアクセス許可部と、
    前記アクセス許可部によってアクセスが許可された前記リソース利用装置に関する情報を管理情報として格納する記憶部と、
    前記記憶部に前記管理情報が格納されているリソース利用装置との通信状態を前記通信部を介して確認する存在確認部と、
    前記存在確認部によって通信が途絶えたと判断されたリソース利用装置からのアクセスを拒否するよう、前記通信部を介して前記リソース提供装置へ命令するアクセス破棄部とを含み、
    前記リソース提供装置は、
    前記アクセス制御装置及び前記リソース利用装置と通信するリソース提供通信部と、
    前記リソース提供通信部を介して前記アクセス制御装置から命令されたリソース利用装置に関する情報を管理情報として格納するリソース提供記憶部と、
    前記リソース提供記憶部に前記管理情報が格納されているリソース利用装置からのアクセスを許可するリソースアクセス許可部と、
    前記アクセス制御装置との通信状態を前記リソース提供通信部を介して確認するリソース提供存在確認部と、
    前記リソース提供存在確認部によって通信が途絶えたと判断されたアクセス制御装置によってアクセスが許可されたリソース利用装置、及び前記リソース提供通信部を介して前記アクセス制御装置から命令されたリソース利用装置からのアクセスを拒否するアクセス拒否部とを含む、アクセス制御システム。

Images