JP7216101B2 - アクセス制御システムおよびこれを使用したアクセス制御方法 - Google Patents

Description

本発明は、アクセス制御システムおよびこれを使用したアクセス制御方法に関する。

アクセス制御システムは、ドアを通じて特定の空間に入ろうとする訪問者を認識および管理するシステムである。アクセス制御システムは、一般的なオフィスおよび住居、さらにはセキュリティの高い立ち入り制限施設まで幅広く利用されている。

そのようなアクセス制御システムが利用する従来の認証方法は、磁気カード、スマートカード、非接触スマートカード等を利用した認証方法と、訪問者の指紋および虹彩等の生体情報を利用した認証方法を含む。

そのような従来の認証方法では、訪問者はドア近傍に設置された認証装置を通じて認証を行った上でのみ、ドアにアクセス可能である。上述のように、別個認証装置を通じて認証を実行する必要がある。したがって、訪問者が複数人の場合、認証に時間がかかる。さらに、ユーザが磁気カード等の別個の認証手段を常に携帯しなければならないという点も不便である。しかも、そのような認証手段を紛失した場合、その別個の認証手段を不正に入手した権限のない訪問者が、ドアにアクセス可能となってしまうという欠点もある。

また、従来の認証方法では、ドア近傍に設置された認証装置をまとめて扱う制御サーバのみで認証が実行されている。したがって、制御サーバと、ドア近傍に設置された認証装置との通信が途切れた場合、制御サーバに障害が起きた場合、ドアにアクセス不能となる。

近年、そのような欠点を解消するため、ユーザの利便性を向上し、さらにアクセス制御システムのセキュリティを高めるような試みがなされている。

本発明は、ユーザの利便性を向上しつつ、セキュリティを高めることができるアクセス制御システムおよびこれを使用したアクセス制御方法を提供することを目的としている。

本発明によって解決される技術的課題は、上述の問題に限らず、本明細書に記載されていないその他の技術的課題も、当業者であれば以下の説明と添付の図面から明らかに理解できるものである。

本発明の態様によると、認証サーバの介入なしに、ドア操作デバイスが、ユーザ端末から取得した認証トークンに基づいて、ドアを開くかを判定するアクセス制御方法が提供され、アクセス制御方法は、認証トークンをユーザ端末から取得する段階と、認証トークンに含まれる認証情報に基づいて、ドアにアクセスする権限をユーザが有するかを判定する段階と、ドアにアクセスする権限をユーザが有すると判定した場合、ドアを開くように制御する段階と、を備える。

本発明の別の態様によると、アクセス制御方法が提供され、アクセス制御方法は、複数のドアのうちの第１のドアに設けられた第１のドア操作デバイスが、ユーザ端末から認証トークンを取得する段階と、第１のドア操作デバイスが、認証トークンに含まれる認証情報に基づいて、第１のドアにアクセスする権限をユーザ端末が有するかを判定する段階と、第１のドア操作デバイスが、第１のドアにアクセスする権限をユーザ端末が有する場合、第１のドアを開錠する段階と、複数のドアのうちの第２のドアに設けられた第２のドア操作デバイスが、ユーザ端末から認証トークンを取得する段階と、第２のドア操作デバイスが、認証トークンに含まれる認証情報に基づいて、第２のドアにアクセスする権限をユーザ端末が有するかを判定する段階と、第２のドア操作デバイスが、第２のドアにアクセスする権限をユーザ端末が有すると判定された場合、第２のドアを開錠する段階と、を備える。

本発明のさらに別の態様によると、上記方法を実行するためのプログラムが記録された非一時的記録媒体が提供される。

本発明のさらに別の態様によると、認証サーバの介入なしに、ユーザ端末から取得した認証トークンに基づいて、ドアを開くかを判定するように構成されたドア操作デバイスが提供され、ドア操作デバイスは、ユーザ端末から認証トークンを取得するように構成されたドア通信部と、ドアを開くのに必要な動力を提供するように構成されたドア駆動部と、認証トークンに含まれる認証情報に基づいて、ドアにアクセスする権限をユーザ端末が有するかを判定するように構成され、ドアにアクセスする権限をユーザ端末が有すると判定された場合、ドアを開くようにドア駆動部を制御するように構成されたドア制御部と、を備える。

本発明によると、認証トークンが有効である限り、追加認証なしで権限を付与されたドアを開くことを可能とすることで、ユーザの利便性が向上する。

また、本発明によると、認証サーバに、または認証サーバとドア開け部との間の通信に障害が起きた場合でも、認証トークンが有効である限り、権限を付与された ドアを開くことを可能とすることで、ユーザの利便性が向上する。

また、本発明によると、進入または退出についてのアクセス状態情報を考慮することで、ユーザの正当な使用を管理可能である。

また、本発明によると、災害等の特定のイベントが起きた場合、強制的に認証トークンを更新することで、ユーザの避難をより迅速かつ精確に補助可能である。

また、本発明によると、特定の空間への進入を考慮して電子デバイスを使用可能とすることで、電子デバイスの不正使用に対するセキュリティを向上可能である。

本発明の効果は上述の効果に限らず、本明細書に記載されていないその他の効果も、当業者であれば以下の説明と添付の図面から明らかに理解できるものである。

本発明の実施形態に係るアクセス制御システムのブロック図である。

本発明の実施形態に係る認証サーバのブロック図である。

本発明の実施形態に係る端末のブロック図である。

本発明の実施形態に係るドア操作デバイスのブロック図である。

本発明の実施形態に係る認証トークンに含まれる情報のデータ構造を示す表の例示的な図である。

本発明の実施形態に係るユーザ登録方法のフローチャートである。

本発明の実施形態に係る認証トークン発行方法のフローチャートである。

本発明の実施形態に係るドアの開き制御方法の全体像を示す図である。

本発明の実施形態に係るドアの開き制御方法のフローチャートである。

本発明の実施形態に係るアクセス状態管理方法の全体像を示す図である。

本発明の実施形態に係るアクセス状態管理方法を示すフローチャートである。

本発明の実施形態に係るアクセス状態管理方法の第１の変形例を示すシーケンス図である。

本発明の実施形態に係るアクセス状態管理方法の第２の変形例を示すシーケンス図である。

本発明の実施形態に係るアクセス状態管理方法の第３の変形例を示すシーケンス図である。

本発明の実施形態に係るアクセス状態管理方法の第４の変形例を示すシーケンス図である。

本発明の実施形態に係るアクセス状態管理方法の第５の変形例を示すシーケンス図である。

本発明の第6の変形例に係る階層構造を有するドアの全体像を示す図である。

本発明の実施形態に係るアクセス状態管理方法の第６の変形例を示すシーケンス図である。

本発明の実施形態に係る強制的権限変更方法の全体像を示す図である。

本発明の実施形態に係る強制的権限変更方法を示すシーケンス図である。

本発明の実施形態に係るドア操作デバイスの、通常の状況での動作と、特殊イベント発生状況での動作を示す例示的な図である。

本発明の実施形態に係る領域連携セキュリティ方法の全体像を示す図である。

本発明の実施形態に係る領域連携セキュリティ方法を示すシーケンス図である。

本発明の実施形態に係る領域連携セキュリティ方法の第１の変形例を示すシーケンス図である。

本発明の実施形態に係る領域連携セキュリティ方法の第２の変形例を示すフローチャートである。

本発明の態様によると、認証サーバの介入なしに、ドア操作デバイスが、ユーザ端末から取得した認証トークンに基づいて、ドアを開くかを判定するアクセス制御方法が提供され、アクセス制御方法は、認証トークンをユーザ端末から取得する段階と、認証トークンに含まれる認証情報に基づいて、ドアにアクセスする権限をユーザが有するかを判定する段階と、ドアにアクセスする権限をユーザが有すると判定した場合、ドアを開くように制御する段階と、を備える。

本発明の上述の目的、特徴、および効果は、添付の図面に関連した、以下の詳細な説明からより明らかになろう。ただし、本発明は様々に修正可能であり、実施形態をいくつか有してもよい。したがって、添付の図面を参照して、特定の実施形態を図示および説明する。

図面中、レイヤおよび領域の厚みは、わかりやすくするため誇張している。また、ある構成要素またはレイヤが、別の構成要素またはレイヤ「上（ｏｎ）」にあると言及するとき、構成要素またはレイヤは、別の構成要素またはレイヤ上に直接形成されてもよいし、または第３の構成要素若しくはレイヤが、それらの間に介在していてもよい。本明細書を通して、同様の参照符号は、同様の構成要素を指す。また、同じ参照符号は、各実施形態の図面に示す、同じ趣旨の範囲で、同じ機能を有する構成要素を示すのに使用される。

また、本発明に関連する周知の機能または構成についての詳細な説明は、本発明の主題を不必要に不明瞭にしないように、除外するものとする。以下の説明中、序数（第１のおよび第２の等）が用いられているが、それらは単に、同様のコンポーネント間を区別するために用いられているに過ぎないことにも留意されたい。

以下の説明中に用いられる構成要素の接尾語「モジュール」および「部」は、専ら本明細書の記述を容易にするために置き換え可能に記載または使用されているものであり、よって、これらに特定の意味または機能は付与されていない。

１．用語の定義 本明細書で使用する用語を以下のとおり、規定する。

（１）ドア ドアは、１つの領域への進入を妨げるか、または可能としてもよい。ドアは、ドア枠と、ドア本体とを含んでもよい。ドア枠は、通過が妨げられるか、可能となる領域を画定する、固定された構成要素であってもよい。ドア本体は、外力により位置が変わる構成要素である。その位置に応じて、通過が妨げられるまたは可能となる箇所が変化し得る。ドア本体の位置の変化は、回転運動およびドア本体全体の動きを含む、包括的な意味を有してもよい。本明細書では、そのようなドア枠と、ドア本体とをドアと総称する。したがって、本明細書では、ドアの動きおよび位置の変化は、ドア本体の動きおよび位置の変化を指し得る。

（２）ドアの閉／開状態 ドアの閉状態は、ドア本体が、ドア枠により画定された領域の通過を妨げる位置に存在する状態を指し得る。ドアの開状態は、ドア本体が、ドア枠により画定された領域を通過する空間が確保される位置に存在する状態を指し得る。本明細書において用いられるドア状態の変化は、開状態から閉状態への変化、および閉状態から開状態への変化の少なくとも一方を指してもよい。

ドア閉動作は、ドア本体を、開位置から閉位置に動かす処理を指してもよい。ドア開動作は、ドア本体を、閉位置から開位置に動かす処理を指してもよい。

また、本明細書では、ドアの開状態および閉状態は、開錠操作およびドア本体の移動に対応する位置の変化によりドアを開くことができる状態と、ドアを開くことができない状態とを含み得る。したがって、本発明のいくつかの実施形態では、ドアの閉状態は、ドアが施錠された状態を指してもよく、ドアの開状態は、ドアが開錠した状態を指してもよい。

本発明の実施形態において、ドアの開閉と、ドアの施錠および開錠は互いに独立してもよい。

例えば、ドアが閉じていなくても、施錠部により、障害物が設けられ得る。別の例として、ドアが開錠していても、ドア本体は閉位置に配置され得る。したがって、ドアの閉状態は、必ずしも施錠状態に限定されず、ドアの開状態は、必ずしも開錠状態に限定されない。

（３）ドアの施錠／開錠 施錠および開錠は、ドアを開くことができるかに関連してもよい。

ドアの施錠は、外力または障害物等が提供されることで、ドアが開けなくなることを示してもよい。ドアの開錠状態は、提供されていた外力または障害物等が取り除かれて、ドアが開けるようになったことを示してもよい。

また、ドア施錠操作は、ドアが開けないように、外力および／または障害物を提供する処理を指してもよい。ドア開錠操作は、ドアが開けるように、提供されていた外力および／または障害物を取り除く処理を指してもよい。

（４）アクセス アクセスは、ドア枠により画定された空間をユーザが通過することを示してもよい。アクセスは、端末を保持するユーザが、ドアに対して外側から内側へ移動する場合の進入、および端末を保持するユーザが、ドアに対して内側から外側へ移動する場合の退出を含んでよい。

（５）ドアに対する内側／外側 ドアに対する内側とは、アクセス権限を有していない人が、ドアを通って進入することが制限される領域を示してよく、一方、ドアに対する外側とは、ドアに対する内側の反対側を示してよい。例えば、本開示の実施形態によると、特定のドアへのアクセス権限を有する権限を付与されたユーザは、ドアに対して外側から内側へ進入することができる。しかしながら、本開示の実施形態によると、アクセス権限を有していない権限のない人は、ドアに対して外側から内側へ進入することはできない。

（６）トークン 本明細書において、トークンとは、アクセス制御システムで使用される少なくともいくつかの情報を含む予め定められた形式のデータであってもよい。本明細書において、トークンは、その用途に応じて、認証トークンおよび更新トークン等に分類されてもよい。認証トークンと更新トークンとは、同じ種類でありながら異なる情報を含んでもよい。ただし、認証トークンと更新トークンとが常に同じ形式である必要はない。実施形態によっては、認証トークンおよび更新トークンは異なる形式で提供されてもよい。本明細書において、トークンの種類は、認証トークンおよび更新トークン等、そのトークンの意図された用途に応じて分類されてもよい。トークンの形式は、サービスプロバイダにより決定された任意の形式であってもよく、またＪＳＯＮ Ｗｅｂ Ｔｏｋｅｎ（ＪＷＴ）、Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＳＡＭＬ）、およびｅＸｔｅｎｓｉｂｌｅ Ｒｉｇｈｔｓ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＸｒＭＬ）等の形式を含んでもよい。

（７）ユーザ識別情報 ユーザ識別情報は、アクセス制御システム１００００が複数のユーザのうち特定のユーザを識別するための情報であってもよい。例えば、ユーザ識別情報は、ＩＤ等、ユーザに一意に割り当てられる識別情報であってもよい。

（８）ユーザ情報 ユーザ情報は、上述のユーザ識別情報の生成に使用される情報であってもよい。例えば、ユーザ情報は、ユーザの個人情報であり、典型的にユーザ認証に必要となる、住民登録番号、生年月日、住所、従業員識別番号、および電話番号等の情報であってもよい。

（９）端末識別情報 端末識別情報は、複数のユーザ端末のうち特定のユーザ端末を識別するための情報であってもよい。例えば、端末識別情報は、端末のユニバーサルユニーク識別子（ＵＵＩＤ）、ユニーク識別子（ＵＩＤ）、ＩＰアドレス、ＭＡＣアドレス、ＣＰＵ（ＭＣＵ）シリアルナンバーまたはＨＤＤシリアルナンバーおよび通信番号の少なくとも１つを含んでもよい。

（１０）ドア識別情報 ドア識別情報は、複数のドアのうち特定のドアを識別するために用いられる情報であってもよい。例えば、ドア識別情報は、ドアに割り当てられた識別場情報、およびドア操作デバイスに割り当てられた識別場情報の少なくとも一方であってもよい。ドア識別情報は、ドア記憶部に記憶されてもよい。また、本発明のいくつかの実施形態によると、ドア認証情報は認証トークンに含まれてもよい。

２．システム構成 図１は、本発明の実施形態に係るアクセス制御システム１００００のブロック図である。

図１を参照すると、アクセス制御システム１００００は、認証サーバ１０００と、端末２０００と、ドア操作デバイス３０００と、ドア４０００と、サードパーティ認証サーバ５０００とを備えてもよい。

認証サーバ１０００は、外部電子デバイスに接続されてもよい。以下で、特定のデバイスが別のデバイスに接続されているとは、特定のデバイスが少なくとも物理的、電気的、または通信可能に別のデバイスに接続されていることを少なくとも示してもよい。上述の例では、認証サーバ１０００が外部電子デバイスに接続されているとは、認証サーバ１０００と、外部電子デバイスとが互いに通信可能に接続されていることを示す。これは例えば、認証サーバ１０００と、外部電子デバイスとが互いにデータを送信および受信できることを意味し得る。

本発明のいくつかの実施形態によると、認証サーバ１０００は、端末２０００に接続されてもよい。また、本発明のいくつかの実施形態によると、認証サーバ１０００はサードパーティ認証サーバ５０００に接続されてもよい。図１では示されていないが、本発明のいくつかの実施形態によると、認証サーバ１０００は、オフィス固有電子デバイス６０００、またはホテルコントローラ７０００等に接続されてもよい。本発明の実施形態によると、認証サーバ１０００は認証を実行してもよい。

認証サーバ１０００は、端末２０００のユーザに認証を実行してもよい。あるいは、認証サーバ１０００は、端末２０００そのものに認証を実行してもよい。

端末２０００は、認証サーバ１０００と、ドア操作デバイス３０００とに接続されてもよい。端末２０００は、認証サーバ１０００に、ユーザ登録および認証に必要なデータを提供してもよい。また、端末２０００は、ドアを開く要求を行うのに必要なデータを、ドア操作デバイス３０００に送信してもよく、その開要求の結果に関するデータを、ドア操作デバイス３０００から取得してもよい。さらに、端末２０００は、認証サーバ１０００およびドア操作デバイス３０００と、各種データを送信および受信してもよい。

また、端末２０００は、後述するように、いくつかの実施形態を実行するためのアプリケーションを提供してもよい。

また、端末２０００は、例えば、スマートフォン、タブレット、ノートブック、ウェアラブルデバイス等であってもよい。別の例として、端末２０００は、スマートカード、集積回路（ＩＣ）カード、磁気カード、および無線（ＲＦ）チップであってもよい。

また、端末２０００は、その役割に応じて、ユーザ端末２０００ａおよび管理者端末２０００ｂに分類されてもよい。

ドア操作デバイス３０００は、ドア４０００の開閉を制御してもよい。

例えば、ドア操作デバイス３０００は、ドア４０００内に設置され、ドア４０００の施錠または開錠を制御してもよい。ドア操作デバイス３０００は、必ずしもドア内に設置されず、選択的に各種形式で設けられてもよい。例えば、ドア操作デバイス３０００は、ドアに対して障害物となるように、またはならないように、ドアに隣接した壁面に設置されてもよい。また、ドア４０００が自動ドアである場合、ドア操作デバイス３０００は、ドアの本体の位置を変えて、ドア４０００を開閉してもよい。

また、ドア４０００は、１つの領域への進入を妨げるか、可能としてもよい。

また、ドア４０００の状態が、ドア操作デバイス３０００により可変であってもよい。

また、本発明のいくつかの実施形態によると、複数のドア操作デバイス３０００が互いに接続されてもよい。例えば、図１に示すように、第１のドア操作デバイス３０００ａと、第２のドア操作デバイス３０００ｂとが互いに接続されてもよい。また、図１に示す数よりも多くの数のドア操作デバイス３０００が互いに接続されてもよい。また、複数のドア操作デバイス３０００の全てが必ずしも互いに接続されず、直列接続で設けられてもよい。例えば、第１のドア操作デバイス３０００ａが第２のドア操作デバイス３０００ｂに接続されてもよく、第２のドア操作デバイス３０００ｂが第３のドア操作デバイス（不図示）に接続されてもよい。また、場合によっては、複数のドア操作デバイス３０００が１つのドア操作デバイス３０００に並列接続されてもよい。複数のドア操作デバイス３０００間の接続は、上記の例に限定されるものではなく、選択的に各種形式で設けられてもよい。

また、複数のドア操作デバイス３０００間の接続は必須ではない。本発明のいくつかの実施形態によると、複数のドア操作デバイス３０００は互いに接続されなくてもよい。

ただし、図１に示すブロック図は、あくまで説明を簡単にするための例であることを意図しており、これに限定されるものではない。本発明のいくつかの実施形態によると、図１のブロック図に要素を追加してもよいし、図１に示される要素を省略または分割してもよい。

図２は、本発明の実施形態に係る認証サーバ１０００のブロック図である。

図２を参照すると、認証サーバ１０００は、サーバ通信部１１００と、サーバ入力部１２００と、サーバ記憶部１３００と、サーバ表示部１４００と、サーバ制御部１５００とを備えてもよい。

サーバ通信部１１００は、認証サーバ１０００を外部電子デバイスに接続してもよい。即ち、サーバ通信部１１００は、外部電子デバイスとデータを送信または受信してもよい。また、必要な場合、サーバ通信部１１００は、端末２０００との通信接続を維持または切断してもよい。また、実施形態によっては、サーバ通信部１１００は、端末２０００への接続が定期的に維持されるように設けられてもよい。

また、サーバ通信部１１００は、有線通信方式および無線通信方式の少なくとも一方をサポートするための通信モジュールであってもよい。

サーバ入力部１２００は、ユーザ入力に対応する電気信号を取得してもよい。例えば、サーバ入力部１２００は、キーパッド、キーボード、スイッチ、ボタン、およびタッチスクリーンを含んでもよい。

サーバ記憶部１３００は、データを記憶してもよい。

例えば、サーバ記憶部１３００は、端末２０００から取得したデータを記憶してもよい。別の例として、サーバ記憶部１３００は、認証サーバ１０００の動作に必要なプログラムを記憶してもよい。

サーバ表示部１４００は、視覚的情報を出力してもよい。

例えば、サーバ表示部１４００は、液晶ディスプレイ（ＬＣＤ）、有機発光ダイオード（ＯＬＥＤ）ディスプレイ、アクティブマトリクス式有機発光ダイオード（ＡＭＯＬＥＤ）装置等であってもよい。

サーバ制御部１５００は、認証サーバ１０００の動作をまとめて処理してもよい。

本発明に係る認証サーバ１０００は、必ずしも上述の要素全てを備えず、要素のいくつかは、選択的に省略されてもよい。例えば、認証サーバ１０００が直接的な視覚的情報を提供しない場合、認証サーバ１０００からサーバ表示部１４００が除外されてもよい。また、追加的機能または動作を実行する要素が選択的に認証サーバ１０００に設けられてもよい。

図３は、本発明の実施形態に係る端末２０００のブロック図である。

図３を参照すると、端末２０００は、端末通信部２１００と、端末表示部２２００と、端末入力部２３００と、位置情報収集部２４００と、端末記憶部２５００と、端末制御部２６００とを備えてもよい。

端末通信部２１００は、端末を外部電子デバイスに接続してもよい。一例として、端末通信部２１００は、ユーザ端末２０００ａを、認証サーバ１０００、ドア操作デバイス３０００、およびサードパーティ認証サーバ５０００等の外部電子デバイスに接続してもよい。また、端末通信部２１００は、有線および／または無線通信をサポートするための通信モジュールであってもよい。

端末表示部２２００は、視覚的情報を出力してもよい。

端末表示部２２００がタッチスクリーンとして設けられてもよい場合、端末表示部２２００は端末入力部２３００として機能してもよい。この場合、別個の端末入力部２３００が選択的に設けられなくてもよく、音量制御ボタン、電源ボタン、ホームボタン等のボタンを使用して限定的な機能を実行するように構成された端末入力部２３００が設けられてもよい。

端末入力部２３００は、ユーザ入力に対応する信号を取得してもよい。

端末入力部２３００は、例えば、キーボード、キーパッド、ボタン、ジョグダイアル、またはホイールとして実現されてもよい。

また、ユーザ入力は例えば、ボタンを押すこと、タッチ、またはドラッグであってもよい。

端末表示部２２００がタッチスクリーンとして設けられてもよい場合、端末表示部２２００は端末入力部２３００として機能してもよい。

位置情報収集部２４００は、端末２０００の位置を判定するため、それが使用する位置情報を取得してもよい。例えば、位置情報収集部２４００は、ＧＰＳモジュール等の、位置判定を実行するために座標情報を取得するように構成されたモジュールであってもよい。

端末記憶部２５００は、データを記憶してもよい。

端末記憶部２５００は、例えば、フラッシュメモリ、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、ソリッドステートドライブ（ＳＳＤ）、セキュアデジタル（ＳＤ）カード、または光ディスクとして実現されてもよい。

端末記憶部２５００は、端末２０００の動作に必要なデータを記憶してもよい。

端末制御部２６００は、端末２０００の動作をまとめて処理してもよい。

図４は、本発明の実施形態に係るドア操作デバイス３０００のブロック図である。

図４を参照すると、ドア操作デバイス３０００は、ドア通信部３１００と、ドア表示部３２００と、ドア音声出力部３３００と、ドアセンサ部３４００と、ドア記憶部３５００と、ドア駆動部３６００と、ドア制御部３７００とを備えてもよい。

ドア通信部３１００は、外部電子デバイスと通信可能な通信モジュールであってもよい。

ドア通信部３１００は、ドア操作デバイス３０００を端末２０００に接続してもよい。

ドア通信部３１００は、無線通信方式で、通信を確立してもよい。例えば、ドア通信部３１００は、無線ＬＡＮ（ＷＬＡＮ）、ワイヤレスフィディリティ（ＷｉＦｉ）およびＷｉＦｉダイレクト等の無線インターネットインタフェースならびにＢｌｕｅｔｏｏｔｈ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標） Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）、およびＩｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎ（ＩｒＤＡ）等の無線通信方式をサポートするように構成された通信モジュールであってもよい。また、ドア通信部３１００は、ＲＦリーダ、ＩＣリーダ、および磁気リーダ等の、外部電子デバイスから情報を読み取り可能なリーダであってもよい。

ドア表示部３２００は、視覚的情報を出力してもよい。

ドア表示部３２００は、ユーザに視覚的に提供される情報を出力してもよい。ドア表示部３２００がタッチパネルを含む場合、ドア表示部３２００は、タッチ入力装置として動作してもよい。

ドア音声出力部３３００は、ユーザに聴覚的に提供される情報を出力してもよい。

例えば、ドア音声出力部３３００は、音を出力するように構成されたスピーカおよびブザーであってもよい。

ドアセンサ部３４００は、ドア操作デバイス３０００に必要な外部環境信号を取得してもよい。例えば、ドアセンサ部３４００は、ユーザまたは物体等からの距離に関する信号を取得してもよい。別の例として、ドアセンサ部３４００は、ドア本体の位置を判定するのに必要な信号を取得してもよい。

ドア記憶部３５００は、ドア制御部３７００の制御動作を実行するためのプログラムを記憶してもよく、外部源から受信したデータ、ドア制御部３７００により生成されたデータ等を記憶してもよい。

ドア駆動部３６００は、ドア本体を施錠または開錠するのに必要な動力を提供してもよい。また、ドア４０００が自動ドアとして実現される場合、ドア駆動部３６００は、ドア本体を開閉するのに必要な動力を提供してもよい。

ドア駆動部３６００は、モータ、ソレノイド、またはアクチュエータとして提供されてもよい。

ドア駆動部３６００がドア本体を施錠または開錠するのに必要な動力を提供する場合、ドア駆動部３６００は、施錠部（不図示）が施錠、開錠状態に維持され、および／または施錠状態から開錠状態に変化するように動力を提供してもよい。施錠部は、デッドボルト、ラッチボルト、またはその組合せとして提供されてもよい。また、施錠部は上述のようなデッドボルトおよびラッチボルトに限定されず、典型的な施錠部を施錠部として用いてもよい。

ドア制御部３７００は、ドア操作デバイス３０００の動作全体を制御する。

ドア制御部３７００は、ドア操作デバイス３０００に含まれる一部の要素の動作を制御してもよい。また、ドア制御部３７００は、ドア操作デバイス３０００に含まれる一部の要素から信号を取得してもよい。また、以下の方法で説明される段階のうち、ドア制御部３７００は、ドア操作デバイス３０００により実行される段階の一部を実行するための動作を制御してもよいし、段階を実行するために必要な計算を実行してもよい。

本発明の各種実施形態に対応するアクセス制御システム１００００と、アクセス制御システム１００００に含まれる要素、動作、および用語等について説明した。上述のアクセス制御システム１００００、アクセス制御システム１００００に含まれる要素、動作、および用語等は、以下に説明する各種の方法および実施形態に適用される。ただし、以下のアクセス制御システム１００００は、必ずしも上述の要素および機能を有するように構成される必要はなく、上述のアクセス制御システム１００００とは異なる構成のアクセス制御システムにも適用され得ることを理解されたい。

３．認証トークンおよび更新トークン 認証トークンの概要 認証トークンは、認証サーバ１０００により、発行対象に発行されるデータであり、発行対象に付与された権限を判定するために使用され得るデータであってもよい。ここで、発行対象は、ユーザおよび端末２０００の少なくとも一方を含んでもよい。発行対象はユーザと端末２０００とに分類されてもよいが、認証トークンは、端末２０００に認証トークンを送信することで発行されてもよい。

認証トークンは各種情報を含んでもよい。認証トークンに含まれる情報は、図５を参照して詳細に後述する。

図５は、本発明の実施形態に係る認証トークンに含まれる情報のデータ構造を示す表の例示的な図である。

図５を参照すると、本発明のいくつかの実施形態に係る認証トークンは、発行対象に付与された権限を示す認証情報と、有効条件と、発行者情報と、受信者情報との少なくとも１つを含んでもよい。ただし、図５は説明を簡単にするためのあくまで一例であって、本発明の認証トークンはこれに限定されない。選択的に、情報の一部をここから除外してもよいし、各種追加情報をここに追加してもよい。

認証トークンに含まれてもよい各種情報について、以下に詳細に説明する。

本発明のいくつかの実施形態によると、認証トークンは認証情報を含んでもよい。

本発明のいくつかの実施形態によると、認証情報は、少なくとも１つまたは複数のドア４０００のうち、特定のドアに対するアクセス権限を発行対象が有するかを判定するために使用される情報であってもよい。

また、本発明のいくつかの実施形態によると、認証情報は、少なくとも１つまたは複数の空間のうち、特定の空間へのアクセス権限を発行対象が有するかを判定するために使用される情報であってもよい。したがって、空間についての権限が付与されている場合、空間内に設けられたあらゆるものについて権限が付与されてもよい。

また、本発明のいくつかの実施形態によると、認証情報は、機能または電子デバイスを使用する権限を発行対象が有するかを判定するために使用される情報であってもよい。ここで、機能は電子デバイスが提供するサービスに関し、例えば、ｅメール機能、ネットサーフィン機能、およびユニバーサルシリアルバス（ＵＳＢ）デバイスを利用および編集する機能を含んでもよい。この機能についての権限が、認証情報に含まれる場合、認証情報は、発行対象がメールを閲覧する権限があるか、発行対象がメールを送信する権限があるか、発行対象がＵＳＢポートを使用する権限があるか等を判定するために使用されてもよい。また、電子デバイスは、パーソナルコンピュータ（ＰＣ）、プリンタ、およびファックス等のオフィス固有電子デバイス、あるいはホテルの部屋または住居室内で利用される電灯、エアコン、ヒータ、テレビ等の電子デバイスであってもよい。

実施形態によると、認証情報は、発行対象に対して設定された権限に基づいて生成されてもよい。

本発明のいくつかの実施形態によると、認証サーバ１０００は、発行対象に対して設定された権限を予め記憶してもよい。認証サーバ１０００は、発行対象にどの権限が設定されたかを示す権限設定情報を管理者端末２０００ｂから取得し、取得した権限設定情報に基づいて、発行対象に権限を設定してもよい。権限設定情報は、必ずしも管理者端末２０００ｂを通じて取得されず、実施形態に応じて、各種方法で取得されてもよい。例えば、認証サーバ１０００は、サーバ入力部１２００を通じて、管理者から権限設定情報を取得してもよい。

発行対象がユーザである場合、認証サーバ１０００は、予め登録されたユーザそれぞれに対して権限を設定し、設定された権限を記憶してもよい。また、発行対象が端末２０００である場合、認証サーバ１０００は、予め登録された端末２０００それぞれに対して権限を設定および記憶してもよい。

権限の設定は、必ずしも発行対象それぞれに個別に実行される必要はなく、各発行対象群に対して選択的に実行されてもよい。例えば、発行対象がグレードに応じてグループ分けされている場合、グレードＡにグループ分けされたすべての発行対象に第１の種類の権限が設定され、グレードＢにグループ分けされたすべての発行対象に第２の種類の権限が設定されてもよい。

設定された権限に基づいて、認証トークンに含まれる認証情報が決定されてもよい。

本発明のいくつかの実施形態に係る認証情報は、ドアにアクセスする権限に関する情報、および機能または電子デバイスを使用する権限に関する情報の少なくとも一方を含んでもよい。

認証情報がドアにアクセスする権限に関する情報である場合、認証情報は、ドア識別情報および権限値の少なくとも一方を含んでもよい。

ドア識別情報は、予め記憶されたドア識別情報リストに含まれたドア識別情報の少なくとも一部を含んでもよい。

認証情報は、権限を付与されたドア識別情報を含んでもよい。あるいは、認証情報は、認証サーバ１０００に登録されたすべてのドア識別情報を含んでもよい。

認証情報は、ドア識別情報に対応する権限値を含んでもよい。権限値は、権限が付与されたことを示す値と、権限がないことを示す値とに分類されてもよい。例えば、図５に示すように、認証トークンは、第１のドアの識別情報である「第１のドア」と、第１のドアに対する権限が付与されたことを示す権限値である「１」とを含んでもよい。別の例として、図５に示すように、認証トークンは、第２のドアの識別情報である「第２のドア」と、権限がないことを示す権限値である「０」とを含んでもよい。

いくつかの実施形態に係る認証トークンの権限値は、省略されてもよい。この場合、ドア操作デバイス３０００が認証トークンを受信したときは、ドア操作デバイス３０００は、認証トークンにドア操作デバイス３０００またはドア４０００の識別情報が含まれているかに基づいて、権限トークンが権限を有するかを判定してもよい。例えば、認証トークンを受信したドア操作デバイス３０００の識別情報、またはドア４０００の識別情報が認証トークンに含まれる場合、ドア操作デバイス３０００は認証トークンが権限を有すると判定してもよい。

いくつかの実施形態に係る認証情報は、機能を使用する権限に関する情報であってもよい。

認証情報は、権限を付与された機能および電子デバイスのものを含んでもよい。あるいは、認証情報は、認証サーバ１０００に登録された機能および電子デバイスのものを含んでもよい。

この場合でも、ドア操作デバイス３０００の実施形態同様、認証情報は、機能および電子デバイスを識別する識別情報を含んでもよい。また、認証情報は、機能および電子デバイスの権限の有無を示す権限値を含んでもよい。

また、認証トークンは、認証有効条件を含んでもよい。

認証トークンは、認証トークンが発行後に有効と判定される限定的な期間を有してもよい。認証トークンがどの時点まで有効かは、認証有効条件に応じて変動してもよい。

本発明のいくつかの実施形態によると、端末２０００およびドア操作デバイス３０００の少なくとも一方が、認証トークンが有効であるかを判定してもよい。また、認証トークンが有効であるかは、有効条件に基づいて判定されてもよい。

また、認証トークンは、認証トークンが有効か、失効したかを示す認証トークン状態情報をさらに含んでもよい。認証トークン状態情報は、認証トークンが有効か、失効したかに応じて、変更されてもよい。

本発明のいくつかの実施形態によると、認証トークンが失効したと判定された場合、端末２０００は、認証トークン状態情報を失効に設定してもよい。また、本発明のいくつかの実施形態によると、認証トークンが失効したと判定された場合、端末２０００は、認証トークンのドア操作デバイス３０００への送信を拒否してもよい。

本発明のいくつかの実施形態に係る認証トークンの認証有効条件を以下に一例として説明する。

認証トークンの有効条件は、認証トークンが有効であるかを判定するために使用される条件である。認証有効条件は、有効期間と、ユーザ端末の位置と、使用回数と、認証サーバからの要求との少なくとも１つを含んでもよい。認証有効条件は、各種条件の組合せで提供されてもよい。この場合、全ての条件が満たされたときは、認証トークンが有効と判定されてもよい。あるいは、条件の少なくとも１つが満たされたときは、認証トークンが有効と判定されてもよい。

有効条件は、全ての認証トークンに等しく適用されてもよい。また、選択に応じて、有効条件は、各発行対象または各グレードに対して異なるように割り当てられてもよい。

本発明のいくつかの実施形態に係る認証トークンの有効条件は、有効期間であってもよい。ここで、有効期間は、認証トークンが有効となり得る予め定められた期間を示してもよい。一例として、有効期間は、トークンが発行された時に開始してもよい。また、予め定められた期間は、認証サーバにより、予め設定されてもよい。

例えば、認証トークンは、発行時から６時間にわたって認証トークンが有効であったことを示す有効期間を含んでもよい。認証トークンは、発行時に関する時間情報と、発行時からどれほどの時間、認証トークンが有効であるかを示す情報とを含んでもよい。認証トークン有効性を判定するエンティティは、認証トークンが有効かを判定する現在時刻に対して発行時から有効期間が過ぎているかに基づいて、認証トークンが有効かを判定してもよい。より具体的には、認証トークン発行時が午前０時で、有効条件が、現在時刻が発行時から６時間以内であると仮定する。この場合、認証トークンが有効であるかを判定する現在時刻が午前５時であるときは、ドア操作デバイス３０００は、認証トークンが有効であると判定してもよい。認証トークンが有効であるかを判定する現在時刻が午前７時であるときは、ドア操作デバイス３０００は、認証トークンが有効でないと判定してもよい。ここで、有効性判定エンティティは、認証トークンが有効であるかを判定する要素であり、認証サーバ１０００、端末２０００、およびドア操作デバイス３０００の少なくとも１つであってもよい。

別の例として、認証トークンは、発行時からどれほどの時間が経ったかを判定するための経過時間情報を含んでもよい。経過時間情報に対応する値が徐々に増加し、失効を示す閾値に達した場合、認証トークンが失効したと判定されてもよい。選択によっては、経過時間情報に対応する値が徐々に減少し、閾値に達した場合、認証トークンが失効したと判定されてもよい。

本発明のいくつかの実施形態によると、認証トークンの有効条件は位置であってもよい。

有効条件が位置である場合、認証トークンは予め定められた位置でのみ有効であってもよい。即ち、ユーザ端末が予め定められた位置外である場合、認証トークンが失効したと判定されてもよい。認証トークンの有効条件が位置である場合、位置情報収集部２４００から取得された位置情報に基づいて、認証トークンが有効であるかを判定されてもよい。

判定エンティティが、端末２０００ではなく、認証サーバ１０００およびドア操作デバイス３０００である場合、端末２０００は判定エンティティに位置情報を提供し、判定エンティティが端末２０００の位置情報に基づいて、認証トークンが有効であるかを判定できるようにしてもよい。位置情報は、認証トークンが発行された時点の端末の位置および現在の端末の位置の少なくとも一方であってもよい。

例えば、有効条件に含まれた位置範囲が社屋から１００ｍ内であり、認証トークンが発行された位置が有効条件に含まれた位置範囲外である場合、ドア操作デバイス３０００は、認証トークンが有効でないと判定してもよい。

別の例として、有効条件に含まれた位置範囲が社屋から１００ｍ内である場合、ドア操作デバイス３０００は、端末２０００から取得した位置情報を、有効条件に含まれた位置範囲と比較してもよい。取得した位置情報が、有効条件に含まれた位置範囲外である場合、ドア操作デバイス３０００は、認証トークンが有効でないと判定してもよい。

さらに別の例として、現在位置情報が、有効条件に含まれた位置範囲外であると判定された場合、端末２０００は、認証トークンが失効したと判定し、認証トークンの状態を失効状態に変更してもよい。

有効条件に含まれる位置範囲は、各発行対象または各グレードに対して異なるように割り当てられてもよい。

また、予め定められた位置は、１つの点を指してもよいし、さらに予め定められた位置に基づいた特定の領域を指してもよい。例えば、図５に示すように、有効条件が位置である場合、有効条件は位置情報の範囲を含んでもよい。

本発明のいくつかの実施形態によると、認証トークンの有効条件は、使用回数であってもよい。ここで、認証トークンの使用は、サービスプロバイダに認証トークンが送信されることを示してもよい。あるいは、認証トークンの使用は、サービスプロバイダに認証トークンが送信されて、その後、権限が受信されることを示してもよい。有効条件が使用回数である場合、認証トークンは、予め定められた使用回数だけ有効であってもよい。即ち、予め定められた使用回数分を超過またはそれに達した場合、認証トークンが失効したと判定されてもよい。また、認証トークンは、使用回数を判定するための情報を含んでもよい。使用回数を判定するための情報は、必ずしも認証トークンに含まれず、別個の情報として提供されてもよい。

例えば、有効条件としての使用回数は５回と仮定する。認証トークンがドア操作デバイス３０００に５回送信された場合、認証トークンは失効したと判定されてもよい。

別の例として、有効条件を７回の使用と仮定する。認証トークンがドア操作デバイス３０００に７回送信された場合、認証トークンは失効したと判定されてもよい。

さらに別の例として、有効条件を３回の使用と仮定する。認証トークンがドア操作デバイス３０００に送信されたが、アクセス認証に失敗した（例えば、拒否メッセージが３回受信された）場合、認証トークンは失効したと判定されてもよい。

本発明のいくつかの実施形態によると、認証トークンは、アクセス状態情報を含んでもよい。

アクセス状態情報は、ユーザが進入または退出したことを判定するための情報であってもよい。アクセス状態情報に関連する各種実施形態は、「アクセス状態管理方法」と題する４．２項で詳細に説明する。

本発明のいくつかの実施形態によると、認証トークンは発行者情報を含んでもよい。

発行者情報は、認証トークンを発行した認証サーバ１０００を識別するための識別情報であってもよい。発行者情報は、認証トークンを発行した認証サーバ１０００を操作するサービスプロバイダを識別するための識別情報であってもよい。発行者情報は、権限を付与された発行者から認証トークンが発行されたかを判定するために使用されてもよい。

本発明のいくつかの実施形態によると、認証トークンは受信者情報を含んでもよい。

認証トークンは、ユーザおよび端末２０００の少なくとも一方に対して発行されてもよい。

したがって、受信者情報は、認証トークンを発行した者を識別するための情報であってもよい。ここで、受信者情報は、ユーザ識別情報および端末識別情報の少なくとも一方を含んでもよい。

本発明のいくつかの実施形態によると、認証トークンは認証トークン状態情報を含んでもよい。

認証トークン状態情報は、認証トークンが有効か、失効したかを示す情報であってもよい。

３．２ 認証トークン発行 ３．２．１ ユーザ登録（ユーザの登録および権限の設定） 本発明の実施形態に係るユーザ登録方法を、図６を参照して以下に説明する。

以下に説明するユーザ登録は、アクセス制御システム１００００を使用するユーザ、およびユーザが使用するつもりのユーザ端末２０００ａの少なくとも一方に関する情報を認証サーバ１０００に登録することである。

図６は、本発明の実施形態に係るユーザ登録方法のフローチャートである。

図６を参照すると、本発明の実施形態に係るユーザ登録方法は、ユーザ情報を取得する段階と（Ｓ１００）、ユーザ情報を登録する段階と（Ｓ１１０）、ユーザ情報に対して権限を設定する段階（Ｓ１２０）とを含んでもよい。

本発明のいくつかの実施形態によると、ユーザ情報の登録が実行されてもよい（Ｓ１１０）。ユーザ情報の取得は、認証サーバ１０００がユーザ情報および端末識別情報の少なくとも一方を取得することであってもよい。

認証サーバ１０００は、各種方法で、ユーザ情報を取得してもよい。

認証サーバ１０００は、ユーザ端末２０００ａからユーザ情報を取得してもよい。また、認証サーバ１０００は、サードパーティ認証サーバ５０００からユーザ情報を取得してもよい。

認証サーバ１０００がユーザ端末２０００ａからユーザ情報を取得する場合、認証サーバ１０００は、ユーザ端末２０００ａからユーザ情報を受信および取得してもよい。例えば、ユーザ端末２０００ａは、ユーザ端末２０００ａのユーザからユーザ情報を受信および取得してもよく、取得したユーザ情報を、認証サーバ１０００に送信してもよい。

認証サーバ１０００が、ユーザにより指定されたサードパーティ認証サーバ５０００からユーザ情報を取得する場合、認証サーバ１０００は、ユーザ情報が提供されるサードパーティ認証サーバ５０００に関する情報をユーザ端末２０００ａから取得してもよい。認証サーバ１０００は、ユーザ情報の提供をサードパーティ認証サーバ５０００に要求して、ユーザ情報を取得してもよい。

上述のユーザ情報取得は、説明を簡単にすることを目的にした、単なる一例であり、各種典型的なユーザ情報提供方法が使用されてもよい。

また、本発明のいくつかの実施形態によると、取得したユーザ情報の登録が実行されてもよい（Ｓ１１０）。ユーザ情報の登録は、認証サーバ１０００により開始されてもよい。ユーザ情報の登録は、固有ユーザ識別情報を発行対象に割り当てることと、ユーザ識別情報をユーザ情報に一致させることと、ユーザ情報に一致させたユーザ識別情報を記憶することであってもよい。

ユーザ情報の発行対象登録に割り当てられたユーザ情報は、認証サーバ１０００により任意に決定されてもよい。また、認証サーバ１０００は、ユーザ端末２０００ａが要求したユーザ識別情報を、発行対象に割り当ててもよい。

認証サーバ１０００は、ユーザがユーザ識別情報を認識できるように、ユーザ識別情報をユーザ端末２０００ａに送信してもよい。

また、認証サーバ１０００は、ユーザ識別情報に対応するセキュリティキーを設定してもよい。ユーザ識別情報に対応するセキュリティキーは、ユーザ端末２０００ａから取得されてもよい。また、ユーザ識別情報に対応するセキュリティキーは、認証サーバ１０００により生成および取得されてもよい。セキュリティキーが認証サーバ１０００により生成および設定される場合、認証サーバ１０００は、ユーザがセキュリティキーを認識できるように、設定されたキュリティキーをユーザ端末２０００ａに送信してもよい。

また、本発明のいくつかの実施形態によると、登録されたユーザ情報に対する権限の設定が実行されてもよい（Ｓ１２０）。ユーザ情報に対する権限の設定は、認証サーバ１０００により開始されてもよい。

権限の設定は、上述の認証トークンの概要のように、権限設定情報に基づいて実行されてもよい。

認証サーバ１０００は、ユーザ情報と、ユーザ情報に対応する認証情報とを記憶してもよい。

３．２．２ ユーザ認証およびトークン発行 図７を参照して、本発明の実施形態に係るユーザ認証およびトークン発行方法を以下に説明する。

図７は、本発明の実施形態に係る認証トークン発行方法のフローチャートである。

図７を参照すると、認証トークン発行方法は、認証トークン発行要求情報を取得する段階（Ｓ２００）と、ユーザ認証を実行する段階（Ｓ２１０）と、認証トークンを生成する段階（Ｓ２２０）と、認証トークンをユーザ端末に送信する段階（Ｓ２３０）とを備えてもよい。

本発明のいくつかの実施形態によると、認証トークン発行要求情報の取得が実行されてもよい（Ｓ２００）。認証トークン発行要求情報の取得は、認証サーバ１０００が、ユーザ端末２０００ａから認証トークン発行要求情報を取得することを含んでもよい。

認証トークン発行要求情報は、ユーザ識別情報と、セキュリティキーとを含んでもよい。

したがって、認証サーバ１０００は、ユーザ端末２０００ａからユーザ識別情報およびセキュリティキーを取得してもよい。

本発明のいくつかの実施形態によると、ユーザ認証が実行されてもよい（Ｓ２１０）。

認証サーバ１０００は、認証トークンの発行を要求するユーザ端末２０００ａのユーザに権限が付与されているかを判定してもよい。

認証サーバ１０００は、取得したユーザ識別情報と、ユーザ識別情報に対応するセキュリティキーとが有効であるかに基づいて、ユーザに権限が付与されているかを判定してもよい。

認証サーバ１０００は、ユーザ端末２０００ａから取得したユーザ識別情報と、ユーザ識別情報に対応するセキュリティキーとが有効であるかを判定してもよい。

ユーザ端末２０００ａから取得してユーザ識別情報が予め登録されている場合、認証サーバ１０００は取得したユーザ識別情報が有効であると判定してもよい。

また、取得したキュリティキーが、記憶されて、ユーザ識別情報に一致させたセキュリティキーに対応する場合、認証サーバ１０００は、セキュリティキーが有効だと判定してもよい。

取得したユーザ識別情報とセキュリティキーとが有効である場合、認証サーバ１０００は、ユーザに権限が付与されていると判定してもよい。

また、認証サーバ１０００は、ユーザに権限が付与されているかを判定するため、サードパーティ認証サーバ５０００からユーザ情報と、ユーザ識別情報と、セキュリティキーとの少なくとも１つを取得してもよい。

また、認証サーバ１０００は、ユーザに権限が付与されているかを判定するため、サードパーティ認証サーバ５０００から認証結果を取得してもよい。

ユーザに権限が付与されてないと判定された場合、認証サーバ１０００は、認証が失敗したことを示すメッセージをユーザ端末２０００ａに送信してもよい。

本発明のいくつかの実施形態によると、認証トークンの生成が実行されてもよい（Ｓ２２０）。

ユーザに権限が付与されている場合、認証サーバ１０００は、ユーザ端末２０００ａに送信される認証トークンを生成してもよい。認証サーバ１０００は、ユーザ識別情報に割り当てられた認証情報に基づいて、認証トークンを生成してもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａへの認証トークンの送信が実行されてもよい（Ｓ２３０）。

認証サーバ１０００は、生成した認証トークンを、ユーザ端末２０００ａに送信してもよい。また、認証サーバ１０００は、認証トークンに対応する更新トークンを生成してもよく、生成した更新トークンをユーザ端末２０００ａに送信してもよい。

３．３ トークンの更新
３．３．１ 更新トークン 上述のように、予め定められた条件に応じて、認証トークンが有効であるか、失効したかを判定してもよい。

即ち、認証トークンがいつまで、またはどのような条件で有効であるかについての条件が、認証トークンに対して設定されてもよい。有効条件が満たされない場合、認証トークンは、更新または再発行される必要がある。

本発明のいくつかの実施形態によると、更新トークンを使用して、認証トークンを更新してもよい。認証トークン失効時またはその前に、認証トークンを新たな認証トークンで更新するために、更新トークンが使用されてもよい。更新トークンがなく、認証トークンが失効している場合、認証トークンを再発行するために、認証トークンが再生成される必要があり得る。この不便さを解消するため、更新トークンにより、新たな認証トークンが発行されてもよい。更新トークンが有効である限り、別個の認証が不要となる。したがって、ユーザの利便性が向上する。

更新トークンは、更新トークン識別情報と、更新条件と、対応する認証トークンに関する認証トークン識別情報と、更新トークンの有効条件とを含んでもよい。

更新トークン識別情報は、複数の発行された更新トークンを識別するための情報であってもよい。

更新条件は、認証トークンを更新するための条件であってもよい。更新条件については、「認証トークンの更新」と題する３．３．２項で詳細に説明する。

対応する認証トークン識別情報は、更新トークンを通じて更新される認証トークンの識別情報であってもよい。

更新トークンは、有効条件を含んでもよい。

例えば、更新トークンは、更新トークンが発行されて有効と判定される限定的な期間を有してもよい。どの時点で更新トークンが有効かは、有効条件に応じて変動してもよい。

更新トークンの有効条件は、発行時からの経過時間、更新回数、ユーザ端末の位置、認証サーバからの要求等であってもよい。

更新トークンの有効条件は、認証トークンの有効条件に適用されてもよい。

本発明のいくつかの実施形態によると、更新トークンの有効条件は、発行時からの経過時間であってもよい。

例えば、更新トークンは、更新トークンが発行時から６時間にわたって有効であったことを示す有効期間を含んでもよい。更新トークンは、発行時に関する時間情報と、発行時以降いつまで更新トークンが有効であるかに関する情報とを含んでもよい。更新トークンの有効性を判定するエンティティは、更新トークンが有効であるかを判定する現在時刻において、発行時から有効期間が経過しているかに基づいて、更新トークンが有効であるかを判定してもよい。より具体的には、更新トークンの発行時が午前０時で、有効条件が、現在時刻が発行時から６時間以内であると仮定する。この場合、更新トークンが有効であるかを判定する現在時刻が午前５時であるときは、端末２０００は、更新トークンが有効であると判定してもよい。更新トークンが有効であるかを判定する現在時刻が午前７時であるときは、端末２０００は、更新トークンが有効でないと判定してもよい。ここで、有効性判定エンティティは、更新トークンが有効であるかを判定する要素であり、認証サーバ１０００、端末２０００、およびドア操作デバイス３０００の少なくとも１つであってもよい。

別の例として、更新トークンは、発行時からどれほどの時間が経ったかを判定するための経過時間情報を含んでもよい。経過時間情報に対応する値が徐々に増加し、失効を示す閾値に達した場合、更新トークンが失効したと判定されてもよい。選択によっては、経過時間情報に対応する値が徐々に減少し、閾値に達した場合、更新トークンが失効したと判定されてもよい。

本発明のいくつかの実施形態によると、更新トークンの有効条件は、更新回数であってもよい。

例えば、有効条件を５回の更新と仮定する。更新トークンが認証サーバ１０００に５回送信された場合、更新トークンが失効したと判定されてもよい。

別の例として、有効条件を７回の更新と仮定する。更新トークンが、認証サーバ１０００に７回送信され、したがって認証トークンが７回更新された場合、更新トークンは失効したと判定されてもよい。

さらに別の例として、有効条件を３回の更新と仮定する。更新トークンが認証サーバ１０００に３回送信され、したがって拒否メッセージが３回受信された場合、更新トークンは失効したと判定されてもよい。本発明のいくつかの実施形態によると、更新トークンの有効条件は、端末２０００の位置であってもよい。

端末２０００が予め定められた位置に配置された場合、更新トークンが有効であると判定されてもよい。端末２０００が予め定められた位置外に配置された場合、更新トークンは有効でないと判定されてもよい。

判定エンティティが、端末２０００ではなく、認証サーバ１０００である場合、端末２０００は、認証サーバ１０００に位置情報を提供し、認証サーバ１０００が端末２０００の位置情報に基づいて、更新トークンが有効であるかを判定できるようにしてもよい。位置情報は、更新トークンが発行された時点の端末の位置および現在の端末の位置の少なくとも一方であってもよい。更新トークンは、認証トークンの初回発行時にも発行される。したがって、認証トークンが発行された時点の位置情報は、更新トークンが発行された時点の位置情報と同じであってもよい。したがって、更新トークンが発行された時点の位置情報は、認証トークンが発行される時点の位置情報で置き換えられてもよい。

例えば、有効条件に含まれた位置範囲が社屋から１００ｍ内であり、更新トークンが発行された位置が有効条件に含まれた位置範囲外である場合、ドア操作デバイス３０００は、更新トークンが有効でないと判定してもよい。

別の例として、有効条件に含まれた位置範囲が社屋から１００ｍ内である場合、ドア操作デバイス３０００は、端末２０００から取得した位置情報を、有効条件に含まれた位置範囲と比較してもよい。取得した位置情報が、有効条件に含まれた位置範囲外である場合、ドア操作デバイス３０００は、更新トークンが有効でないと判定してもよい。

さらに別の例として、現在位置情報が、有効条件に含まれた位置範囲外であると判定された場合、端末２０００は、更新トークンが失効したと判定し、更新トークンの状態を失効状態に変更してもよい。更新トークンが有効でないと判定された場合、認証サーバ１０００は、認証トークンの更新を拒否してもよい。

３．３．２ 認証トークンの更新（更新トークンの実施形態） 本発明のいくつかの実施形態によると、認証トークンは更新されてもよい。

認証トークンの更新は、認証サーバにより新たなに認証トークンが発行されたことを示してもよい。新たな認証トークンは、予め発行された認証トークンと、同じ認証情報を有してもよい。しかし、権限が変更された場合、新たな認証トークンは、予め発行された認証トークンと異なる認証情報を有してもよい。

また、新たな認証トークンは、予め発行された認証トークンと異なる有効期間を有してもよい。

端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

認証サーバ１０００は、端末２０００に送信された更新トークンに対応する認証トークンを送信してもよい。

本発明のいくつかの実施形態によると、更新トークンに対して更新条件が設定されてもよい。

本発明のいくつかの実施形態によると、認証トークンが失効していた場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

例えば、認証トークンが失効していたと判定された場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。別の例として、ドア操作デバイス３０００から認証トークンが失効したことを示す失効メッセージが受信された場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

本発明のいくつかの実施形態によると、更新トークンに対して、更新条件として予め定められた期間が設定されてもよい。

更新トークンの発行時から予め定められた期間が過ぎた場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

更新時間に達した場合、端末２０００は、認証サーバ１０００に認証トークンを送信して、認証トークンの更新を要求してもよい。

更新トークンは、更新時間までの残りの期間に関する情報を含んでもよい。予め定められた更新時間から、更新トークンに含まれた残りの期間を引いた場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

例えば、更新トークンにおいて、残りの期間情報として１０００秒が設定された場合、時間が１０００秒から０秒まで減った更新時に、端末２０００は、認証トークンの更新を要求するため、認証サーバ１０００に更新トークンを送信してもよい。

別の例として、更新トークンに１０００秒が設定された場合、端末２０００は、１００秒毎に、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

本発明のいくつかの実施形態によると、位置に基づいて認証トークンを更新するかを判定した後に、認証トークンが更新されてもよい。

ユーザ端末２０００が予め定められた位置に来た場合、ユーザ端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

本発明のいくつかの実施形態によると、ユーザの要求に基づいて認証トークンを更新するかを判定した後に、認証トークンが更新されてもよい。

更新要求のためのユーザ入力がなされた場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

本発明のいくつかの実施形態によると、認証トークンが更新されるかは、端末２０００と、ドア操作デバイス３０００との間で接続が確立しているかに応じて判定されてもよい。

実施形態において、認証トークンは、端末２０００と、ドア操作デバイス３０００との間で通信が確立している場合に更新されてもよい。この場合、更新された認証トークンが、ドア操作デバイス３０００に送信されてもよい。

ドア操作デバイス３０００との間に通信が確立されている場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

端末２０００は、更新された認証トークンをドア操作デバイス３０００に送信してもよい。

本発明のいくつかの実施形態によると、ドアを開けるかについて得られた判定結果がドア操作デバイス３０００から受信された場合、認証トークンが更新されてもよい。例えば、端末２０００は、ドアを開けるかについて得られた判定結果を受信するため、認証トークンをドア操作デバイス３０００に送信してもよい。

ドアを開けるかについて得られた判定結果がドア操作デバイス３０００から受信された場合、端末２０００は、認証トークンの更新を要求するため、認証サーバ１０００に更新トークンを送信してもよい。

本発明のいくつかの実施形態によると、更新トークンは予め定められた条件に応じて更新されてもよい。本発明のいくつかの実施形態によると、上述の有効条件に応じて、認証トークンおよび更新トークンの両方が失効している場合があり得る。認証トークンおよび更新トークンの両方が失効している場合、再認証により、認証トークンおよび更新トークンが再発行される必要があり得る。認証トークンおよび更新トークンの両方が失効している場合、認証サーバ１０００は、ユーザ認証を実行して、その後、認証トークンおよび更新トークンを端末２０００に発行してもよい。

本発明のいくつかの実施形態によると、更新トークンは更新されてもよい。

更新トークンの有効期間が、予め定められた期間内である場合、更新トークンは更新されてもよい。

例えば、認証サーバ１０００は、認証トークンを更新するため、端末２０００から更新トークンを取得してもよい。この場合、更新トークン失効までの残り期間が予め定められた期間内である場合、認証サーバ１０００は、更新トークンを更新し、更新された更新トークンを端末２０００に送信してもよい。認証サーバ１０００の更新トークンの更新は、失効までの残り期間を初期化することであってもよい。

別の例として、更新トークンの失効までの残り期間が予め定められた期間内である場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、更新トークンの更新を要求してもよい。

本発明のいくつかの実施形態によると、端末２０００が予め定められた位置に配置された場合、更新トークンが更新されてもよい。

本発明のいくつかの実施形態によると、ユーザの要求に基づいて更新トークンを更新するかを判定した後に、更新トークンが更新されてもよい。

更新トークンの更新を要求するためのユーザ入力がなされた場合、端末２０００は、認証サーバ１０００に更新トークンを送信して、認証トークンの更新を要求してもよい。

認証サーバ１０００は、送信された更新トークンが有効であるかを判定してもよい。更新トークンが有効である場合、認証サーバ１０００は、更新トークンに対応する認証トークンを端末２０００に送信してもよい。また、送信された更新トークンが有効でない場合、認証サーバ１０００は、更新が不可能と判定し、更新が不可能であることを示すメッセージを端末２０００に送信してもよい。

認証サーバ１０００は、発行時からの経過時間、端末２０００の位置、および更新トークンの更新回数等に基づいて、更新トークンが有効であるか判定してもよい。

また、認証サーバ１０００は、端末２０００の位置に基づいて更新トークンが有効であるか判定するため、端末２０００から端末２０００の位置情報を取得してもよい。

４．認証トークンの利用 本発明のアクセス制御システム１００００は、取得した認証トークンを使用して各種動作を実行してもよい。

アクセス制御システム１００００の各種詳細な実施形態を以下により具体的に説明する。

ただし、説明の便宜上、ユーザ端末２０００ａが認証サーバ１０００から認証トークンを取得した後の処理を以下に説明する。ユーザ端末２０００ａが認証サーバ１０００から認証トークンを取得する処理は、「認証トークンおよび更新トークン」と題した第３項において説明したため、その詳細な説明は省略する。

４．１． ドアの開き管理方法 従来のアクセス制御システムは、アクセス制御サーバと、アクセス制御装置とを備える。ユーザがアクセスを要求した場合、アクセス制御サーバおよびアクセス制御装置は、システム連携して、アクセスを許可するかを判定する。

そのような従来のシステムは、アクセス制御サーバおよびアクセス制御装置が相互通信可能で、それぞれの役割を果たせる場合にのみ、アクセスを許可するかを判定してもよい。したがって、アクセス制御サーバに障害が起きた場合、またはアクセス制御サーバとアクセス制御装置と間の通信に問題が生じた場合、ユーザアクセスは許可不能となる。

本発明の実施形態に係るドアの開き制御方法を、図８および９を参照して以下に説明する。

図８は、本発明の実施形態に係るドアの開き制御方法の全体像を示す図である。

図８に例示的に示すように、本発明の実施形態に係るドアの開き制御方法によると、ユーザ端末２０００ａが、認証トークンをドア操作デバイス３０００に送信し、ドア操作デバイス３０００が認証トークンに基づいてドア４０００を開くかを判定し、認証トークンがドア４０００を開く権限を有する場合、ドア４０００を開く。したがって、ユーザ端末２０００ａのユーザが、ドア４０００にアクセスし得る。

「認証トークンおよび更新トークン」と題した第３項で説明したように、ユーザ端末２０００ａは、認証サーバが認証トークンをユーザ端末２０００ａに発行することにより、認証トークンを取得する。

本発明の実施形態に係るドアの開き制御方法において、ユーザ端末２０００ａが、認証トークンによりドアを開く要求をし、ドア操作デバイス３０００がドアを開くかを判定する一連の処理に、認証サーバ１０００が関与しなくてもよい。

したがって、本発明の実施形態に係るドアの開き制御方法は、従来のアクセス制御システムと異なり、認証トークンが有効である場合、認証トークンが利用できなくなったとしても、いかなる問題もなくアクセスを可能とし得る。

本発明の実施形態に係るドアの開き制御方法の基本的概念は、以下の各種実施形態に適用され得る。

本発明第１の詳細な実施形態に係るドアの開き制御方法を、図９を参照して以下に説明する。

図９は、本発明の実施形態に係るドアの開き制御方法のフローチャートである。

図９を参照すると、ドアの開き制御方法は、ユーザ端末２０００ａが認証トークンを第１のドア操作デバイス３０００ａに送信する段階と（Ｓ３００）、第１のドア操作デバイス３０００ａがドアを開くかを判定する段階と（Ｓ３１０）、第１のドア操作デバイス３０００ａが開くかの判定の結果を送信する段階と（Ｓ３２０）、第１のドア操作デバイス３０００ａがドアを開く段階と（Ｓ３３０）、ユーザ端末２０００ａが第２のドア操作デバイス３０００ｂに認証トークンを送信する段階と（Ｓ３４０）、第２のドア操作デバイス３０００ｂがドアを開くかを判定する段階と（Ｓ３５０）、第２のドア操作デバイス３０００ｂが開くかの判定結果を送信する段階と（Ｓ３６０）、第２のドア操作デバイス３０００ｂがドアを開く段階と（Ｓ３７０）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第１のドア操作デバイス３０００ａへの認証トークンの送信が実行されてもよい（Ｓ３００）。

第１のドア操作デバイス３０００ａとの通信が確立している場合、ユーザ端末２０００ａは、予め記憶された認証トークンを第１のドア操作デバイス３０００ａに送信してもよい。一例として、ユーザ端末２０００ａは、予め記憶された認証トークンを、別個のユーザ要求がなくても、第１のドア操作デバイス３０００ａに自動的に送信してもよい。

あるいは、ユーザ端末２０００ａは、ユーザ要求が入力された場合、予め記憶された認証トークンを第１のドア操作デバイス３０００ａに送信してもよい。例えば、ユーザ端末２０００ａは、第１のドア操作デバイス３０００ａとの通信が確立していることを、ユーザに報せてもよい。第１のドア操作デバイス３０００ａとの通信が確立している状態で、ユーザから認証トークン送信要求が入力された場合、ユーザ端末２０００ａは、認証トークンを第１のドア操作デバイス３０００ａに送信してもよい。別の例として、ユーザから認証トークン送信要求が入力されている状態で、第１のドア操作デバイス３０００ａとの通信が確立している場合、ユーザ端末２０００ａは、予め記憶された認証トークンを第１のドア操作デバイス３０００ａに送信してもよい。ただし、入力ミスおよび状況変化によるユーザの取り消し意思を判定するため、ユーザ端末２０００ａが、認証トークン送信要求が入力されてから時点から予め定められた時間量内に、第１のドア操作デバイス３０００ａに接続されない場合、ユーザ端末２０００ａは、ユーザに取り消し意思があると判定して、認証トークン送信要求を取り消してもよい。認証トークン送信要求が取り消された場合、ユーザ端末２０００ａは、ユーザ端末２０００ａが第１のドア操作デバイス３０００ａに接続されても、予め記憶された認証トークンを第１のドア操作デバイス３０００ａに送信しなくてもよい。

上述の、送信される予め記憶された認証トークンは、ユーザ端末２０００ａに記憶された少なくとも１つの認証トークンを指してもよい。

予め記憶された認証トークン内に、有効認証トークンが存在する場合、ユーザ端末２０００ａは、認証トークンを第１のドア操作デバイス３０００ａに送信しなくてもよい。

また、本発明のいくつかの実施形態によると、第１のドア操作デバイス３０００ａにより、ドアを開くかの判定が実行されてもよい（Ｓ３１０）。

認証情報に含まれる権限に基づいて、ドアを開くかの判定が実行されてもよい。

ドア操作デバイス３０００による権限の判定は、各種方法によって提供されてもよい。

第１の方法として、権限が付与されたドアのドア識別情報を認証トークンが含む場合、権限があると判定してもよい。

第１の方法において、第１のドア操作デバイス３０００ａは、認証トークンに第１のドア操作デバイス３０００ａに対応するドア識別情報が含まれるかを判定してもよい。第１のドア操作デバイス３０００ａは、認証トークンに第１のドア操作デバイス３０００ａに対応するドア識別情報が含まれる場合、認証トークンが権限を有するかを判定してもよい。

第２の方法として、認証トークンが、権限を付与されたドア識別情報および権限を付与されていないドア識別情報の少なくとも一方を含み、そのための認証情報をさらに含む場合、権限を判定してもよい。

第２の方法において、第１のドア操作デバイス３０００ａは、認証トークンに、第１のドア操作デバイス３０００ａに対応するドアについての権限が含まれるかを判定してもよい。

第１のドア操作デバイス３０００ａは、認証トークンに、第１のドア操作デバイス３０００ａに対応する第１のドア識別情報が含まれるかを判定してもよい。また、第１のドア操作デバイス３０００ａは、第１のドア識別情報に対応する権限が、ドアを通過する権限であるかを判定してもよい。

また、第１のドア操作デバイス３０００ａは、さらに認証トークンが有効であるかを考慮して、ドアを開くかを判定してもよい。認証トークンに含まれる有効期間が失効した場合、第１のドア操作デバイス３０００ａは、認証トークンにドアを開く権限が付与されていないと判定してもよい。

また、本発明のいくつかの実施形態によると、第１のドア操作デバイス３０００ａにより開くかの判定の結果の送信が実行されてもよい（Ｓ３２０）。

第１のドア操作デバイス３０００ａは、開くかの判定結果をユーザ端末２０００ａに送信してもよい。

開くかの判定結果が、認証トークンがドア４０００を開く権限を有するものである場合、第１のドア操作デバイス３０００ａは、認証トークンが権限を有すると判定されたことを示す許可情報をユーザ端末２０００ａに送信してもよい。また、第１のドア操作デバイス３０００ａは、認証トークンが権限を有すると判定されたことを示す通知を、別個の出力部を通じて、聴覚的情報および視覚的情報の少なくとも一方を出力することで、発行してもよい。

また、開くかの判定結果が、認証トークンがドア４０００を開く権限を有さないものである場合、第１のドア操作デバイス３０００ａは、ドア４０００を開くことが許可されないことを示すメッセージをユーザ端末２０００ａに送信してもよい。

上述の段階Ｓ３２０は必ずしも必須ではなく、いくつかの実施形態では省略されてもよい。また、段階Ｓ３２０は必ずしも段階Ｓ３３０の前ではなく、いくつかの実施形態では、段階Ｓ３３０の最中またはその後に実行されてもよい。

また、本発明のいくつかの実施形態によると、第１のドア操作デバイス３０００ａにより、ドアを開くことが実行されてもよい（Ｓ３３０）。

認証トークンがドア４０００を開く権限を含むと判定された場合、第１のドア操作デバイス３０００ａは、ドア本体が開錠できるように、ドア駆動部３６００を通じて動力を提供してもよい。ドア４０００が自動ドアである場合、第１のドア操作デバイス３０００ａは、ドア本体を開くことができるように、ドア駆動部３６００を通じて動力を提供してもよい。

ドア本体が開錠された後、第１のドア操作デバイス３０００ａは、施錠条件に基づいてドア本体が施錠されるように、ドア駆動部３６００を通じて動力を提供してもよい。第１のドア操作デバイス３０００ａは、ドアセンサ部３４００から取得した信号に基づいて、ドア本体を再び閉じるかを判定してもよい。ドア本体を再び閉じた場合、第１のドア操作デバイス３０００ａは、ドア本体を施錠できるように、ドア駆動部３６００を通じて動力を提供してもよい。また、第１のドア操作デバイス３０００ａは、施錠待機時間をさらに考慮して、ドア駆動部３６００を通じて動力を提供することで、ドア本体が再び閉じられても、施錠待機時間後にドア本体を施錠できるようにしてもよい。

また、本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第２のドア操作デバイス３０００ｂへの認証トークンの送信が実行されてもよい（Ｓ３４０）。

第２のドア操作デバイス３０００ｂとの通信が確立している場合、ユーザ端末２０００ａは、予め記憶された認証トークンを第２のドア操作デバイス３０００ｂに送信してもよい。

また、本発明のいくつかの実施形態によると、第２のドア操作デバイス３０００ｂにより、ドアを開くかの判定が実行されてもよい（Ｓ３５０）。

第２のドア操作デバイス３０００ｂは、認証トークンに第２のドア操作デバイス３０００ｂに対応するドア識別情報が含まれるかを判定してもよい。第２のドア操作デバイス３０００ｂは、認証トークンに第２のドア操作デバイス３０００ｂに対応するドア識別情報が含まれる場合、認証トークンがドア４０００を開く権限を有するかを判定してもよい。

第２のドア操作デバイス３０００ｂは、認証トークンに、第２のドア操作デバイス３０００ｂに対応するドア４０００を開く権限が含まれるかを判定してもよい。

第２のドア操作デバイス３０００ｂは、認証トークンに、第２のドア操作デバイス３０００ｂに対応する第２のドア識別情報が含まれるかを判定してもよい。また、第２のドア操作デバイス３０００ｂは、第２のドア識別情報に対応する権限が、ドア４０００を開ける権限であるかを判定してもよい。

また、本発明のいくつかの実施形態によると、第２のドア操作デバイス３０００ｂにより、開くかの判定の結果の送信が実行されてもよい（Ｓ３６０）。

第２のドア操作デバイス３０００ｂは、開くかの判定結果をユーザ端末２０００ａに送信してもよい。

開くかの判定結果が、認証トークンがドア４０００を開く権限を有するものである場合、第２のドア操作デバイス３０００ｂは、認証トークンがドア４０００を開く権限を有すると判定されたことを示す許可情報をユーザ端末２０００ａに送信してもよい。また、第２のドア操作デバイス３０００ｂは、認証トークンがドア４０００を開く権限を有すると判定されたことを、別個の出力部を通じて、聴覚的情報および視覚的情報の少なくとも一方を出力することで、通知してもよい。

また、開くかの判定結果が、認証トークンがドア４０００を開く権限を有さないものである場合、第２のドア操作デバイス３０００ｂは、ドア４０００を開くことが許可されないことを示すメッセージをユーザ端末２０００ａに送信してもよい。

また、本発明のいくつかの実施形態によると、第２のドア操作デバイス３０００ｂにより、ドアを開くことが実行されてもよい（Ｓ３７０）。

認証トークンがドア４０００を開く権限を含むと判定された場合、第２のドア操作デバイス３０００ｂは、ドア本体が開錠できるように、ドア駆動部３６００を通じて動力を提供してもよい。また、ドア４０００が自動ドアである場合、第２のドア操作デバイス３０００ｂは、ドア本体を開くことができるように、ドア駆動部３６００を通じて動力を提供してもよい。

ドア本体が開錠された後、第２のドア操作デバイス３０００ｂは、施錠条件に基づいてドア本体が施錠されるように、ドア駆動部３６００を通じて動力を提供してもよい。第２のドア操作デバイス３０００ｂは、ドアセンサ部３４００から取得した信号に基づいて、ドア本体を再び閉じるかを判定してもよい。ドア本体が再び閉じた場合、第２のドア操作デバイス３０００ｂは、ドア本体を施錠できるように、ドア駆動部３６００を通じて動力を提供してもよい。また、第２のドア操作デバイス３０００ｂは、施錠待機時間をさらに考慮して、ドア駆動部３６００を通じて動力を提供することで、ドア本体が再び閉じられても、施錠待機時間後にドア本体を施錠できるようにしてもよい。

したがって、本発明の第１の詳細な実施形態に係るアクセス要求および許可に関して、ユーザ端末２０００ａは、認証サーバ１０００から取得した認証トークンを使用して、権限が付与されたドア４０００を開いてもよい。したがって、予め記憶された認証トークンが有効である場合、ユーザ端末２０００ａは、認証サーバ１０００に対して追加認証を実行することなく、ユーザは、複数のドア４０００の内、権限が付与されたドアに自由にアクセスしてもよい。

４．２． アクセス状態管理方法 本発明の実施形態に係るアクセス状態管理方法を図１０から１７を参照して以下に説明する。

以下に本発明の実施形態に係るアクセス状態管理方法を説明するが、ドアを開くこと等の、本発明の実施形態に係るドアの開き制御方法と同じ内容は、省略されるか、短く説明するにとどめる。

図１０は、本発明の実施形態に係るアクセス状態管理方法の全体像を示す図である。

図１０に示すように、ドア４０００に対して内側に第１のドア通信部３１１０が設けられてもよく、ドア４０００に対して外側に第２のドア通信部３１２０が設けられてもよい。

また、図１０に示すように、第１のドア通信部３１１０と、第２のドア通信部３１２０とは、ドア制御部３７００に接続されてもよい。

図１０に示す第１のドア通信部３１１０および第２のドア通信部３１２０の配置環境はあくまで説明の便宜上の例であり、本発明はこれに限定されるものではない。選択に応じて、第１のドア通信部３１１０および第２のドア通信部３１２０の位置を変更してもよく、第１のドア通信部３１１０および第２のドア通信部３１２０の一方のみが設けられてもよく、第３のドア通信部のような追加要素がさらに設けられてもよい。

また、動作環境によっては、別個のドア操作デバイス３０００が、内側と外側とに設けられてもよい。例えば、第１のドア操作デバイス３０００ａが外側に設けられ、第２のドア操作デバイス３０００ｂが内側に設けられてもよい。

また、動作環境に応じて、内側と外側の両方を担う単一のドア通信部３１００が設けられてもよい。この場合、ドア通信部３１００は、ユーザ端末２０００ａからの距離と、ユーザ端末２０００ａの方向を検出し、ユーザが外側から内側に進入するか、内側から外側に退出するかを判定してもよい。

説明の便宜上、本発明のアクセス状態管理方法とその変形例を、図１０の設置環境を参照して以下に説明する。

図１０を参照にした以下の説明では、権限を付与されたユーザがアクセス制御システムを使用するかの管理が、極めて重要な問題である。

例えば、複数のユーザが自動アクセス制御システムにおけるドア４０００を通過しようとする場合、第１のユーザ端末２０００ａ'のユーザは、認証トークンを使用して権限を付与されてもよく、その上でドア４０００を通過し得るが、第２のユーザ端末２０００ａ''のユーザが、アクセス権限の判定なしで、第１のユーザ端末２０００ａ'のユーザにより開かれたドア４０００を通過し得るのである。この場合、第２のユーザ端末２０００ａ''のユーザが、ドア４０００を通過したという履歴が管理されない場合もある。

本発明の実施形態に係るアクセス状態管理方法は、そのような問題を避けるため、アクセス状態情報がさらに含まれてもよい。したがって、これにより、アクセス状態情報に基づいて異常アクセスがあるかを判定でき、さらに異常アクセスを拒否できるようになる。例えば、ユーザがアクセス認証によりドアを通過する場合、ユーザのアクセス状態は進入状態から退出状態に変更される。このユーザが退出しようとした場合、ユーザのアクセス状態は正常であるため、ユーザが権限を有する限り、ドア操作デバイス３０００は、ドア４０００を開けてユーザが通過できるようにしてもよい。

一方で、ユーザがアクセス認証なしで通過する場合、ユーザのアクセス状態は進入状態に維持される。このユーザが退出しようとした場合、ユーザのアクセス状態は正常でないため、ユーザが権限を有したとしても、ドア操作デバイス３０００は、ドア４０００を開くことを拒否してもよい。本発明のいくつかの実施形態によると、ユーザは、アクセス状態の再発行を認証サーバ１０００に要求する必要があるため、認証サーバ１０００が個別にアクセス状態を管理可能となる。

本発明の実施形態に係るアクセス状態管理方法およびその変形例を、図１１から１７を参照して以下に説明する。

図１１は、本発明の実施形態に係るアクセス状態管理方法を示すフローチャートである。

図１１を参照すると、アクセス状態管理方法は、認証トークンおよびアクセス状態情報を送信する段階と（Ｓ４００）、ドアを開くかを判定する段階と（Ｓ４１０）、アクセス状態情報を変更する段階と（Ｓ４２０）、変更されたアクセス状態情報を送信する段階と（Ｓ４３０）、ドアを開く段階と（Ｓ４４０）、拒否メッセージを送信する段階と（Ｓ４５０）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第１のドア通信部３１１０への認証トークンおよび第１のアクセス状態情報の送信が実行されてもよい（Ｓ４００）。

ユーザ端末２０００ａと、第１のドア通信部３１１０との間で通信が確立している場合、ユーザ端末２０００ａは、予め記憶された認証トークンおよび第１のアクセス状態情報を第１のドア通信部３１１０に送信してもよい。ユーザ端末２０００ａと、第１のドア通信部３１１０との間で通信が確立していることは、ユーザ端末２０００ａがドア操作デバイス３０００との通信を確立することを示してもよい。

ユーザ端末２０００ａは、予め記憶された認証トークンおよび第１のアクセス状態情報を、別個のユーザ要求がなくても、第１のドア通信部３１１０に自動的に送信してもよい。

あるいは、ユーザ端末２０００ａは、予め記憶された認証トークンおよび第１のアクセス状態情報を、ユーザ要求が入力された場合でも、第１のドア通信部３１１０に送信してもよい。例えば、ユーザ端末２０００ａは、第１のドア通信部３１１０との通信が確立していることを示す通知を発行してもよい。第１のドア通信部３１１０との通信が確立している状態で、ユーザから認証トークン送信要求が入力された場合、ユーザ端末２０００ａは、予め記憶された認証トークンおよび第１のアクセス状態情報を第１のドア通信部３１１０に送信してもよい。別の例として、ユーザから認証トークン送信要求が入力されている状態で、第１のドア通信部３１１０との通信が確立している場合、ユーザ端末２０００ａは、予め記憶された認証トークンおよび第１のアクセス状態情報を第１のドア通信部３１１０に送信してもよい。ただし、入力ミスおよび状況変化によるユーザの取り消し意思を判定するため、ユーザ端末２０００ａが、認証トークン送信要求が入力されてから時点から予め定められた時間量内に、第１のドア通信部３１１０に接続されない場合、ユーザ端末２０００ａは、ユーザに取り消し意思があると判定して、認証トークン送信要求を取り消してもよい。認証トークン送信要求が取り消された場合、ユーザ端末２０００ａは、ユーザ端末２０００ａが第１のドア通信部３１１０に接続されても、予め記憶された認証トークンを第１のドア通信部３１１０に送信しなくてもよい。

上述の、送信される予め記憶された認証トークンは、ユーザ端末２０００ａに記憶された少なくとも１つの認証トークンを指してもよい。

また、本発明のいくつかの実施形態によると、ドアを開くかの判定が実行されてもよい（Ｓ４１０）。

ドア制御部３７００は、第１のドア通信部３１１０を通じて、認証トークンおよびアクセス状態情報を取得してもよい。

ドア制御部３７００は、認証トークンに含まれるアクセス状態情報および権限に基づいて、ドアを開けるかを判定してもよい。

ドア制御部３７００は、認証トークンにドア操作デバイス３０００および／またはドア４０００に対応するドア識別情報が含まれるかを判定してもよい。認証トークンにドア操作デバイス３０００および／またはドア４０００に対応するドア識別情報が含まれる場合、ドア制御部３７００は、認証が権限を有するかを判定してもよい。

ドア制御部３７００は、ドア識別情報および権限値を考慮して、認証トークンが権限を有するかを判定してもよい。

ドア制御部３７００は、認証トークンにドア操作デバイス３０００および／またはドア４０００に対応するドア権限が含まれるかを判定してもよい。

ドア制御部３７００は、認証トークンにドア操作デバイス３０００および／またはドア４０００に対応するドア識別情報が含まれるかを判定してもよい。また、ドア制御部３７００は、ドア識別情報に対応する認証情報に含まれる権限が、ドアを通過する権限であるかを判定してもよい。

ドア制御部３７００は、認証情報に含まれるアクセス状態情報が正常であるかを判定してもよい。

実施形態において、ドア制御部３７００は、アクセス状態情報に含まれるアクセス状態が、第１のドア通信部３１１０に対応する状態かを判定してもよい。

認証トークンが権限を付与されており、認証情報に含まれるアクセス状態情報が第１のドア通信部３１１０に対応する場合、ドア制御部３７００はドアを開けると判定してもよい。例えば、第１のドア通信部３１１０がドアに対して外側に設置されている状態で、アクセス状態情報が進入状態を示す場合、ドア制御部３７００は、アクセス状態情報が第１のドア通信部３１１０に対応すると判定してもよい。

ドア制御部３７００は、認証トークンに基づく権限判定と、アクセス状態情報が正常かに加えて、各種追加判定基準に基づいて、ドアを開くかを判定してもよい。

本発明のいくつかの実施形態によると、ドア制御部３７００は、空間への進入を許可されたユーザの数をさらに考慮して、ドアを開くかを判定してもよい。

ドア制御部３７００は、空間に進入しているユーザの現在の人数を計算してもよい。ドア制御部３７００は、進入したユーザの人数から、退出したユーザの人数を引いたものに等しい、空間に進入しているユーザの現在の人数を計算してもよい。例えば、ドア制御部３７００は、ドアが開いたときにアクセス状態が退出状態のユーザの人数を、ドアが開いたときにアクセス状態が進入状態のユーザの人数から引くことで、進入しているユーザの数を計算してもよい。

進入しているユーザの人数が、ユーザの予め定められた最大許容数より大きいか等しい場合、ドア制御部３７００は、ドアを開くことを許可しないと判定してもよい。

また、本発明のいくつかの実施形態によると、アクセス状態情報の変更が実行されてもよい（Ｓ４２０）。

ドアを開くと判定した場合、ドア制御部３７００は、アクセス状態情報を変更してもよい。

例えば、認証トークンに、ドアを通過する権限が含まれ、アクセス状態情報が正常であると判定された場合、ドア制御部３７００は、アクセス状態情報を変更してもよい。より詳細な例として、アクセス状態情報が進入状態を示す場合、ドア制御部３７００は、アクセス状態情報を退出状態に変更してもよい。

また、本発明のいくつかの実施形態によると、変更されたアクセス状態情報の送信が実行されてもよい（Ｓ４３０）。

ドア制御部３７００は、ユーザ端末２０００ａにアクセス状態情報が送信できるように制御を実行してもよい。

また、ドア制御部３７００は、ユーザ端末２０００ａに開くかの判定結果が送信できるように制御を実行してもよい。

権限判定結果が、認証が権限を有するものである場合、ドア制御部３７００は、認証トークンが権限を有すると判定されたことを示す許可情報をユーザ端末２０００ａに送信してもよい。また、ドア制御部３７００は、認証トークンが権限を有すると判定されたことを、別個の出力部を通じて、聴覚的情報および視覚的情報の少なくとも一方を出力することで、通知してもよい。

また、開くかの判定結果が、認証トークンがドア４０００を開く権限を有さないものである場合、ドア制御部３７００は、ドア４０００を開くことが許可されないことを示すメッセージがユーザ端末２０００ａに送信できるように制御を実行してもよい。

また本発明のいくつかの実施形態によると、ドアを開くことが実行されてもよい（Ｓ４４０）。

認証トークンがドア４０００を開く権限を含むと判定された場合、ドア制御部３７００は、ドア本体が開錠できるように、ドア駆動部３６００を制御してもよい。

ドア駆動部３６００は、ドア本体が開錠できるように動力を提供してもよい。また、ドア４０００が自動ドアである場合、ドア制御部３７００は、ドア本体を開くことができるように、ドア駆動部３６００を制御してもよい。この場合、ドア駆動部３６００は、ドア本体を開くことができるように動力を提供してもよい。

ドア本体が開錠された後、ドア制御部３７００は、施錠条件に基づいてドア本体を施錠できるように、ドア駆動部３６００を制御してもよい。ドア制御部３７００は、ドアセンサ部３４００から取得した信号に基づいて、ドア本体を再び閉じるかを判定してもよい。ドア本体が再び閉じた場合、ドア制御部３７００は、ドア本体を施錠できるように動力が提供されるように、ドア駆動部３６００を制御してもよい。また、ドア制御部３７００は、施錠待機時間をさらに考慮して、ドア駆動部３６００を制御することで、ドア本体が再び閉じられても、施錠待機時間後にドア本体を施錠できるようにしてもよい。

また、本発明のいくつかの実施形態によると、ドアを開くかを判定した結果が拒否を示す場合、拒否メッセージの送信が実行されてもよい（Ｓ４５０）。

ドア制御部３７００は、ドアを開くかを判定した結果が拒否を示す場合、開き拒否メッセージがユーザ端末２０００ａに送信できるように制御を実行してもよい。

開き拒否メッセージは、ドアを開くことが許可されないことを示すメッセージであってもよい。

開き拒否メッセージは追加で、開き拒否理由を含んでもよい。例えば、開き拒否メッセージは、権限無し、認証トークン無効、認証トークン失効、異常アクセス状態、ユーザの最大許容数超過等の、開き拒否理由を含んでもよい。

上述の本発明の実施形態に係るアクセス状態管理方法において、ユーザ端末２０００ａは、ドア操作デバイス３０００に変更されていないアクセス状態情報を提供してもよく、ドア操作デバイス３０００は、ドアを開くかを判定し、ドアを開くと判定した場合、ドアを開いてもよい。この場合、ユーザ端末２０００ａが開いたドアを通過せずに、第１のドア通信部３１１０に変更されたアクセス状態情報を送信し得る場合、ドア制御部３７００は、変更されていないアクセス状態情報に基づいて、ドアを開くことが許可される場合と異なり、ドアを開くことを拒否してもよい。

また、説明の便宜上、進入状態であると仮定した場合に、認証トークンが第１のドア通信部３１１０を通じて送信されることを説明した。しかし、本発明はこれに限定されるものではなく、設置環境に応じて、各種方法で実行されてもよい。例えば、退出状態時に、第２のドア通信部３１２０を通じて認証トークンを送信することにより、アクセス状態管理方法が実行されてもよい。

本発明の実施形態に係るアクセス状態管理方法は、各種変形して提供されてもよい。

アクセス状態管理方法の変形例を、図１２から１７を参照して以下に説明する。

アクセス状態管理方法の変形例を以下に説明するが、上述のアクセス状態管理方法と同じ要素および段階は同じ参照符号を使用し、上述のアクセス状態管理方法と同じ段階は省略される。

４．２．１． アクセス状態管理方法－第１の変形例 図１２は、本発明の実施形態に係るアクセス状態管理方法の第１の変形例を示すシーケンス図である。

図１２を参照すると、アクセス状態管理方法の第１の変形例は、認証トークンを送信する段階と（Ｓ４００）、ドアを開くかを判定する段階と（Ｓ４１０）、開くかの判定結果情報を送信する段階と（Ｓ５００）、ドアを開く段階と（Ｓ４４０）、アクセス状態情報の更新を要求する段階と（Ｓ５１０）、認証サーバ１０００がアクセス状態情報を変更する段階と（Ｓ５２０）、更新されたアクセス状態情報を送信する段階と（Ｓ５３０）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第１のドア通信部３１１０への認証トークンの送信が実行されてもよい（Ｓ４００）。

また、本発明のいくつかの実施形態によると、ドア制御部３７００により、ドアを開けるかの判定を実行してもよい（Ｓ４１０）。

また、本発明のいくつかの実施形態によると、ドア制御部３７００により、開くかの判定結果情報を送信できるように制御を実行してもよい（Ｓ５００）。

認証トークンに権限が含まれると判定された場合、アクセス状態が正常であると、ドア制御部３７００は、ドアを開くことが許可されていることを示す情報がユーザ端末２０００ａに送信できるように制御を実行してもよい。

あるいは、認証トークンに権限が含まれないと判定されたか、アクセス状態が正常でない場合、ドア制御部３７００は、ドアを開くことが拒否されたことを示す情報がユーザ端末２０００ａに送信できるように制御を実行してもよい。

また、ドア制御部３７００は、ユーザ端末２０００ａにアクセス状態情報が送信できるように制御を実行してもよい。

また、ドア制御部３７００は、ユーザ端末２０００ａに認証トークンが送信できるように制御を実行してもよい。

また、本発明のいくつかの実施形態によると、ドアを開くことが実行されてもよい（Ｓ４４０）。

また、本発明のいくつかの実施形態によると、ユーザ端末２０００ａは、認証サーバ１０００に、アクセス状態情報を更新することを要求してもよい（Ｓ５１０）。

ユーザ端末２０００ａが、ドア操作デバイス３０００からドアを開けることが許可されていることを示す情報を受信した場合、ユーザ端末２０００ａは、認証サーバ１０００に、アクセス状態情報を更新することを要求してもよい。

ユーザ端末２０００ａは、認証サーバ１０００にアクセス状態情報を更新することを要求するために、開くことが許可されたドアの識別情報と、ドアを開くことが許可されたことを示す情報と、アクセス状態情報とを認証サーバ１０００に送信してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００は、受信したアクセス状態情報のアクセス状態を変更してもよい（Ｓ５２０）。

認証サーバ１０００は、受信したアクセス状態情報に含まれるアクセス状態を更新してもよい。

認証サーバ１０００は、更新されたアクセス状態をユーザ端末２０００ａに送信してもよい。例えば、アクセス状態が進入状態を示す場合、認証サーバ１０００は、アクセス状態を退出状態で更新してもよい。別の例として、アクセス状態が退出状態を示す場合、認証サーバ１０００は、アクセス状態を進入状態で更新してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００は、ユーザ端末２０００ａに、更新されたアクセス状態情報を送信してもよい（Ｓ５３０）。

状況に応じて、アクセス状態管理方法の上述の第１の変形例に各種追加機能が追加されてもよい。アクセス状態管理方法の上述の第１の変形例は、ユーザ端末２０００ａから取得された、開くことが許可されたドアの識別情報に基づいて、特定の空間にユーザが進入したかを判定してもよい。

本発明のいくつかの実施形態によると、認証サーバ１０００は、火事等の緊急事態が発生した場合、全てのユーザが集合場所に避難したかを判定してもよい。認証サーバ１０００は、ユーザ端末２０００ａから取得した、開くことが許可されたドアの識別情報に基づいて、ユーザが予め定められた集合場所に進入したかを判定してもよい。

また、認証サーバ１０００は、登録されたユーザ、または認証トークンを受信したユーザのうち、予め定められた集合場所に進入していないユーザのユーザ端末２０００ａに避難通知を送信してもよい。また、認証サーバ１０００は、登録されたユーザ、または認証トークンを受信したユーザのうち、予め定められた集合場所に進入していないユーザのユーザ端末２０００ａに予め定められた集合場所の位置へ誘導する情報を送信してもよい。

４．２．２． アクセス状態管理方法－第２の変形例 図１３は、本発明の実施形態に係るアクセス状態管理方法の第２の変形例を示すシーケンス図である。

図１３を参照すると、アクセス状態管理方法の第２の変形例は、認証トークンを送信する段階と（Ｓ４００）、ドアを開くかを判定する段階と（Ｓ４１０）、開くかの判定結果情報を送信する段階と（Ｓ５００）、アクセス状態情報の更新を要求する段階と（Ｓ５１０）、認証サーバ１０００がタイムスタンプ記録とアクセス状態情報を変更する段階と（Ｓ５２０）、更新されたアクセス状態情報を送信する段階と（Ｓ５３０）、タイムスタンプを送信する段階と（Ｓ５４０）、タイムスタンプを確認する段階と（Ｓ５５０）、ドアを開く段階と（Ｓ４４０）を備えてもよい。

本発明のいくつかの実施形態によると、認証トークンが送信されてもよい（Ｓ４００）。

本発明のいくつかの実施形態によると、ドアを開くかの判定が実行されてもよい（Ｓ４１０）。

本発明のいくつかの実施形態によると、開くかの判定結果情報の送信が実行されてもよい（Ｓ５００）。

本発明のいくつかの実施形態によると、アクセス状態情報の更新を要求することが実行されてもよい（Ｓ５１０）。

本発明のいくつかの実施形態によると、認証サーバ１０００により、タイムスタンプ記録およびアクセス状態情報の変更が実行されてもよい（Ｓ５２０）。

認証サーバ１０００は、認証トークンおよびアクセス状態情報の少なくとも一方にタイムスタンプを記録してもよい。

認証サーバ１０００は、ドアを開くことが許可されたことを示す情報を取得した時間と、アクセス状態情報の更新が要求された時間と、現在時間との少なくとも１つに基づいてタイムスタンプを記録してもよい。

本発明のいくつかの実施形態によると、更新されたアクセス状態情報の送信が実行されてもよい（Ｓ５３０）。

認証サーバ１０００は、更新されたアクセス状態情報をユーザ端末２０００ａに送信してもよい。また、ユーザ端末２０００ａから認証トークンが取得された場合、認証サーバ１０００は認証トークンをユーザ端末２０００ａに送信してもよい。また、タイムスタンプが認証トークンに記録された場合、認証サーバ１０００は、タイムスタンプが記録された、更新された認証トークンを、ユーザ端末２０００ａに送信してもよい。

また、認証サーバ１０００は、アクセス状態情報およびタイムスタンプを別々に、個別に送信してもよい。

本発明のいくつかの実施形態によると、タイムスタンプの送信が実行されてもよい（Ｓ５４０）。

ユーザ端末２０００ａは、タイムスタンプをドア操作デバイス３０００に送信してもよい。例えば、図１３に示すように、ユーザ端末２０００ａは、タイムスタンプを第１のドア通信部３１１０に送信してもよい。

ユーザ端末２０００ａは、個別に提供されたタイムスタンプをドア操作デバイス３０００に送信してもよい。

あるいは、タイムスタンプがアクセス状態情報に含まれる場合、ユーザ端末２０００ａは、アクセス状態情報をドア操作デバイス３０００に送信することで、タイムスタンプをドア操作デバイス３０００に送信してもよい。

あるいは、タイムスタンプが認証トークンに含まれる場合、ユーザ端末２０００ａは、認証トークンをドア操作デバイス３０００に送信することで、タイムスタンプをドア操作デバイス３０００に送信してもよい。

本発明のいくつかの実施形態によると、タイムスタンプの確認が実行されてもよい（Ｓ５５０）。

ドア制御部３７００は、タイムスタンプを確認してもよい。

ドア制御部３７００は、ユーザ端末２０００ａからタイムスタンプを取得したかを確認してもよい。例えば、ドア制御部３７００は、ユーザ端末２０００ａから、個別のタイムスタンプを取得したかを確認してもよい。別の例として、ドア制御部３７００は、タイムスタンプが、ユーザ端末２０００ａから取得した認証トークンおよびアクセス状態情報の少なくとも一方に含まれるかを確認してもよい。

ドア制御部３７００は、タイムスタンプの期間が有効であるかを確認してもよい。

例えば、ドア制御部３７００は、タイムスタンプの時間が、開くかの判定結果が送信された時点またはその後であるかを確認してもよい。タイムスタンプの時間が、開くかの判定結果送信時点またはその後である場合、ドア制御部３７００は、タイムスタンプの時間が有効であるかを判定してもよい。

タイムスタンプの確認結果が、エラーなしである場合、ドア制御部３７００は、ドアを開くことができるように制御を実行してもよい。

本発明のいくつかの実施形態によると、ドアを開くことが実行されてもよい（Ｓ４４０）。

上述のタイムスタンプは各種形式に変形されてもよい。例えば、タイムスタンプは、証明書、電子署名、またはセキュリティキー等として提供されてもよい。

４．２．３． アクセス状態管理方法－第３の変形例 図１４は、本発明の実施形態に係るアクセス状態管理方法の第３の変形例を示すシーケンス図である。

図１４を参照すると、アクセス状態管理方法の第３の変形例は、認証トークンを送信する段階と（Ｓ４００）、ドアを開くかを判定する段階と（Ｓ４１０）、ドア操作デバイス３０００により、開くかの判定結果を送信する段階と（Ｓ５００）、ドアを開く段階と（Ｓ４４０）、ユーザ端末２０００ａにより、アクセス状態情報を変更する段階と（Ｓ６００）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第１のドア通信部３１１０への認証トークンの送信が実行されてもよい（Ｓ４００）。

また、本発明のいくつかの実施形態によると、ドアを開くかの判定が実行されてもよい（Ｓ４１０）。

また、本発明のいくつかの実施形態によると、開くかの判定結果の送信が実行されてもよい（Ｓ５００）。

ドア制御部３７００は、ユーザ端末２０００ａにドアを開くことが許可されたことを示す情報が送信できるように制御を実行してもよい。

あるいは、ドア制御部３７００は、ドアを開くことが拒否されたことを示す情報が送信できるように制御を実行してもよい。

また、ドア制御部３７００は、ユーザ端末２０００ａにアクセス状態情報が送信できるように制御を実行してもよい。

また、本発明のいくつかの実施形態によると、ドアを開くことが実行されてもよい（Ｓ４４０）。

また、本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、アクセス状態情報の更新が実行されてもよい（Ｓ６００）。

ユーザ端末２０００ａは、アクセス状態情報を受信し、受信したアクセス状態情報を更新してもよい。

ユーザ端末２０００ａは、受信したアクセス状態情報を更新し、更新されたアクセス状態情報を記憶してもよい。例えば、アクセス状態が進入状態を示す場合、ユーザ端末２０００ａは、アクセス状態を退出状態で更新して、更新されたアクセス状態を記憶してもよい。別の例として、アクセス状態が退出状態である場合、ユーザ端末２０００ａは、アクセス状態を進入状態で更新して、更新されたアクセス状態を記憶してもよい。

４．２．４． アクセス状態管理方法－第４の変形例 本発明の実施形態に係るアクセス状態管理方法の第４の変形例を、図１５を参照して以下に説明する。

本発明の実施形態に係るアクセス状態管理方法の第４の変形例は、アクセス状態情報が異常であるため、ドアを開くことが拒否された場合、認証サーバ１０００にアクセス状態情報の再発行が要求される実施形態であってもよい。

図１５は、本発明の実施形態に係るアクセス状態管理方法の第４の変形例を示すシーケンス図である。

図１５を参照すると、アクセス状態管理方法の第４の変形例は、認証トークンを送信する段階と（Ｓ４００）、ドアを開くかを判定する段階と（Ｓ４１０）、開き拒否メッセージを送信する段階と（Ｓ４５０）、ユーザ端末２０００ａが、認証サーバ１０００にアクセス状態情報の更新を要求するために、認証情報およびアクセス状態情報を認証サーバ１０００に送信する段階と（Ｓ７００）、認証サーバ１０００が、アクセス状態情報を更新する段階と（Ｓ７１０）、認証サーバ１０００が、ユーザ端末２０００ａにアクセス状態情報を再発行する段階と（Ｓ７２０）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第１のドア通信部３１１０への認証トークンの送信が実行されてもよい（Ｓ４００）。

また、本発明のいくつかの実施形態によると、ドア操作デバイス３０００により、ドアを開くかの判定が実行されてもよい（Ｓ４１０）。

また、本発明のいくつかの実施形態によると、ドア操作デバイス３０００により、開き拒否メッセージの送信が実行されてもよい（Ｓ４５０）。

アクセス状態情報が、第１のドア通信部３１１０に対応しない場合、ドア制御部３７００は、アクセス状態が異常と判定してもよく、ユーザ端末２０００ａに開き拒否メッセージを送信してもよい。

また、本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、認証サーバ１０００にアクセス状態情報の再発行を要求するために、認証情報およびアクセス状態情報を認証サーバ１０００に送信することを実行してもよい（Ｓ７００）。

ユーザ端末２０００ａは、認証情報およびアクセス状態情報を認証サーバ１０００に送信してもよい。ここで、認証情報は、ユーザ情報と、ユーザ識別情報と、セキュリティキーと、認証トークンとの少なくとも１つを含んでもよい。

また、ユーザ端末２０００ａは必ずしも、認証サーバ１０００にアクセス状態情報の再発行を要求するために、認証情報およびアクセス状態情報を認証サーバ１０００に送信する必要はない。ユーザ端末２０００ａは、認証サーバ１０００にアクセス状態情報の再発行を要求するために、認証情報およびアクセス状態情報の少なくとも一方をに送信してもよい。

また、認証トークンにアクセス状態情報が含まれる場合、ユーザ端末２０００ａによる、アクセス状態情報の認証サーバ１０００への送信は、ユーザ端末２０００ａが認証トークンを認証サーバ１０００に送信することを示してもよい。

また、アクセス状態情報が、認証トークンとは別個に実行される場合、ユーザ端末２０００ａによる、アクセス状態情報の認証サーバ１０００への送信は、アクセス状態情報のみが送信されることを示してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００により、アクセス状態情報の再生成が実行されてもよい（Ｓ７１０）。

認証サーバ１０００は、取得した認証情報に基づいて、認証実行後にアクセス状態情報を変更してもよい。

ユーザ認証の結果が、ユーザに権限が付与されていることを示す場合、認証サーバ１０００は、アクセス状態情報を変更することで、アクセス状態情報を再生成してもよい。例えば、受信したアクセス状態情報のアクセス状態が進入状態である場合、認証サーバ１０００はアクセス状態を退出状態に変更してもよい。

また、認証サーバ１０００は、アクセス状態を、ユーザ端末２０００ａにより要求された状態に変更してもよい。例えば、アクセス状態を進入状態に変更することがユーザ端末２０００ａにより要求された場合、認証サーバ１０００は、アクセス状態情報のアクセス状態を、進入状態に変更してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００により、ユーザ端末２０００ａ へのアクセス状態情報の再発行が実行されてもよい（Ｓ７２０）。

認証サーバ１０００は、再生成されたアクセス状態情報を送信することで、アクセス状態情報をユーザ端末２０００ａに再発行してもよい。また、認証サーバ１０００は、変更履歴を記憶してもよい。

４．２．５． アクセス状態管理方法－第５の変形例 本発明の実施形態に係るアクセス状態管理方法の第５の変形例を、図１６を参照して以下に説明する。

本発明の実施形態に係るアクセス状態管理方法の第５変形例は、実際にユーザが通過したかを管理する実施形態であってもよい。

例えば、進入するユーザは、外側に設置された第１のドア通信部３１１０に認証トークンを送信し、ドアが開いたのちに内側に進入し、内側に設置された第２のドア通信部３１２０から、変更されたアクセス状態を有するアクセス状態情報を取得してもよい。したがって、実際に通過したユーザのみが、変更されたアクセス状態を有するアクセス状態情報を取得可能とすることができる。

図１６は、本発明の実施形態に係るアクセス状態管理方法の第５の変形例を示すシーケンス図である。

図１６を参照すると、アクセス状態管理方法の第５の変形例は、認証トークンを送信する段階と（Ｓ４００）、ドアを開くかを判定する段階と（Ｓ４１０）、アクセス状態を変更する段階と（Ｓ４２０）、ドアを開く段階と（Ｓ４４０）、第２のドア通信部３１２０が、アクセス状態情報を送信する段階と（Ｓ８００）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第１のドア通信部３１１０への認証トークンの送信が実行されてもよい（Ｓ４００）。

また、本発明のいくつかの実施形態によると、ドア制御部３７００により、ドアを開くかの判定が実行されてもよい（Ｓ４１０）。

また、本発明のいくつかの実施形態によると、アクセス状態情報の変更が実行されてもよい（Ｓ４２０）。

また、本発明のいくつかの実施形態によると、ドアを開くことが実行されてもよい（Ｓ４４０）。

また、本発明のいくつかの実施形態によると、第２のドア通信部３１２０により、アクセス状態情報の送信が実行されてもよい（Ｓ８００）。

また、ドア制御部３７００は、第２のドア通信部３１２０が、ユーザ端末２０００ａにアクセス状態情報が送信できるように制御を実行してもよい。

第２のドア通信部３１２０と、ユーザ端末２０００ａとの間の通信が確立している場合、ドア制御部３７００は、第２のドア通信部３１２０がアクセス状態情報をユーザ端末２０００ａに送信するように制御を実行してもよい。

認証トークン受信時点と、ドア開くかの判定時点と、アクセス状態変更時点と、ドアを開いた時点との少なくとも１つから予め定められた時間内に第２のドア通信部３１２０と、ユーザ端末２０００ａとの間の通信が確立しない場合、ドア制御部３７００は、アクセス状態情報の送信を取り消してもよい。

４．２．６． アクセス状態管理方法－第６の変形例 本発明の実施形態に係るアクセス状態管理方法の第６の変形例を、図１７から１８を参照して以下に説明する。

第６の変形例は、ドアが階層構造で設けられる実施形態であってもよい。

図１７は、本発明の第6の変形例に係る階層構造を有するドアの全体像を示す図である。

図１７に示すように、単一のドアで仕切られた空間は、個別の内部空間を含む。図１７において、第１のドア操作デバイス３０００ａが、外部空間から第１の内部空間を分ける第１のドア４０００ａに設けられてもよく、第２のドア操作デバイス３０００ｂが、第１の内部空間から第２の内部空間を分ける第２のドア４０００ｂに設けられてもよい。

したがって、内部空間と、高ランク空間の状態情報が、個別に管理されることが好ましい。

本発明の実施形態に係るアクセス状態管理方法の第６の変形例を、図１８を参照して以下に説明する。

図１８は、本発明の実施形態に係るアクセス状態管理方法の第６の変形例を示すシーケンス図である。

図１８を参照すると、アクセス状態管理方法の第６の変形例は、ユーザ端末２０００ａが、第１のドア操作デバイス３０００ａに認証トークンを送信する段階と（Ｓ９００）、第１のドア操作デバイス３０００ａが、ドアを開くかを判定する段階と（Ｓ９１０）、第１のドア操作デバイス３０００ａが、アクセス状態情報を変更する段階と（Ｓ９２０）、第１のドア操作デバイス３０００ａが、アクセス状態情報を送信する段階と（Ｓ９３０）、第１のドア４０００ａを開く段階と（Ｓ４４０）、第１のドア操作デバイス３０００ａが、認証トークンを第２のドア操作デバイス３０００ｂに送信する段階と（Ｓ９４０）、第２のドア操作デバイス３０００ｂが、ドアを開くかを判定する段階と（Ｓ９５０）、第２のドア操作デバイス３０００ｂが、アクセス状態情報を変更する段階と（Ｓ９６０）、第２のドア操作デバイス３０００ｂが、アクセス状態情報を送信する段階と（Ｓ９７０）、第２のドア４０００ｂを開く段階と（Ｓ４４０）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第１のドア操作デバイス３０００ａへの認証トークンの送信が実行されてもよい（Ｓ９００）。

また、本発明のいくつかの実施形態によると、第１のドア操作デバイス３０００ａにより、ドアを開くかの判定が実行されてもよい（Ｓ９１０）。

第１のドア操作デバイス３０００ａは、認証トークンに含まれるアクセス状態情報および権限に基づいて、ドアを開くかを判定してもよい。

第１のドア操作デバイス３０００ａは、認証トークンに、第１のドア操作デバイス３０００ａに対応するドア識別情報が含まれるかを判定してもよい。第１のドア操作デバイス３０００ａは、認証トークンに、第１のドア操作デバイス３０００ａに対応するドア識別情報が含まれる場合、認証トークンが権限を有するかを判定してもよい。

第１のドア操作デバイス３０００ａは、認証トークンに、第１のドア操作デバイス３０００ａに対応するドアに対する権限値が含まれるかを判定してもよい。

第１のドア操作デバイス３０００ａは、認証トークンに、第１のドア操作デバイス３０００ａに対応するドア識別情報が含まれるかを判定してもよい。また、第１のドア操作デバイス３０００ａは、ドア識別情報に対応する権限値が、ドアを通過するための権限値であるかを判定してもよい。

第１のドア操作デバイス３０００ａは、認証情報に含まれるアクセス状態情報が正常であるかを判定してもよい。

第１のドア操作デバイス３０００ａは、アクセス状態情報に含まれる第１のドア操作デバイス３０００ａに対するアクセス状態が、認証トークンを取得したドア通信部３１００に対応するかを判定してもよい。以下の実施形態では、第１のドア操作デバイス３０００ａの第１のドア通信部３１１０を通じて、認証トークンが取得されると仮定する。第１のドア操作デバイス３０００ａは、アクセス状態が、第１のドア操作デバイス３０００ａの第１のドア通信部３１１０に対応するかを判定してもよい。

認証トークンに権限が付与されており、さらに、認証情報に含まれる第１のドア操作デバイス３０００ａに対するアクセス状態が、第１のドア操作デバイス３０００ａの第１のドア通信部３１１０に対応する場合、第１のドア操作デバイス３０００ａは、ドアを開けると判定してもよい。

また、本発明のいくつかの実施形態によると、第１のドア操作デバイス３０００ａにより、アクセス状態情報の変更が実行されてもよい（Ｓ９２０）。

第１のドア操作デバイス３０００ａは、アクセス状態を次の段階に変更してもよい。例えば、アクセス状態が進入状態である場合、第１のドア操作デバイス３０００ａは、アクセス状態を退出状態に変更してもよい。

また、本発明のいくつかの実施形態によると、第１のドア操作デバイス３０００ａにより、アクセス状態情報の送信が実行されてもよい（Ｓ９３０）。

第１のドア操作デバイス３０００ａは、第１のドア操作デバイス３０００ａに対する、変更したアクセス状態を有するアクセス状態情報を、ユーザ端末２０００ａに送信してもよい。

ユーザ端末２０００ａは、第１のドア操作デバイス３０００ａから取得したアクセス状態情報で、認証トークンのアクセス状態を更新してもよい。あるいは、ユーザ端末２０００ａは、予め記憶されたアクセス状態情報を破棄して、第１のドア操作デバイス３０００ａから取得したアクセス状態情報を記憶してもよい。

また、本発明のいくつかの実施形態によると、第１のドア操作デバイス３０００ａにより、第１のドア４０００ａを開くことが実行されてもよい（Ｓ４４０）。

また、本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、第２のドア操作デバイス３０００ｂへの認証トークンの送信が実行されてもよい（Ｓ９４０）。

また、本発明のいくつかの実施形態によると、第２のドア操作デバイス３０００ｂにより、ドアを開くかを判定することが実行されてもよい（Ｓ９５０）。

第２のドア操作デバイス３０００ｂは、認証トークンに含まれるアクセス状態情報および権限に基づいてドアを開けるかを判定してもよい。

第２のドア操作デバイス３０００ｂは、認証トークンに、第２のドア操作デバイス３０００ｂに対応するドア識別情報が含まれるかを判定してもよい。第２のドア操作デバイス３０００ｂは、認証トークンに第２のドア操作デバイス３０００ｂに対応するドア識別情報が含まれる場合、認証トークンが権限値を有するかを判定してもよい。

第２のドア操作デバイス３０００ｂは、認証トークンに、第２のドア操作デバイス３０００ｂに対応するドアに対する権限値が含まれるかを判定してもよい。

第２のドア操作デバイス３０００ｂは、認証トークンに、第２のドア操作デバイス３０００ｂに対応するドア識別情報が含まれるかを判定してもよい。また、第２のドア操作デバイス３０００ｂは、ドア識別情報に対応する権限値が、ドアを通過する権限値であるかを判定してもよい。

第２のドア操作デバイス３０００ｂは、認証情報に含まれるアクセス状態情報が正常であるかを判定してもよい。

第２のドア操作デバイス３０００ｂは、アクセス状態情報に含まれる第２のドア操作デバイス３０００ｂに対するアクセス状態が、認証トークンを取得したドア通信部３１００に対応するかを判定してもよい。以下の実施形態では、第２のドア操作デバイス３０００ｂの第１のドア通信部３１１０を通じて、認証トークンが取得されると仮定する。第２のドア操作デバイス３０００ｂは、アクセス状態が、第２のドア操作デバイス３０００ｂの第１のドア通信部３１１０に対応する状態に対応するかを判定してもよい。

認証トークンに権限が付与されており、さらに、認証情報に含まれる第２のドア操作デバイス３０００ｂ に対するアクセス状態が、第１のドア操作デバイス３０００ａの第１のドア通信部３１１０に対応する場合、第２のドア操作デバイス３０００ｂは、ドアを開けると判定してもよい。

また、第２のドア操作デバイス３０００ｂは、より高ランク層である、第１のドア操作デバイス３０００ａに対するアクセス状態をさらに考慮して、ドアを開くかを判定してもよい。

第１のドア操作デバイス３０００ａに対するアクセス状態が異常である場合、第２のドア操作デバイス３０００ｂは、ドアを開くことを拒否してもよい。例えば、第１のドア操作デバイス３０００ａに対するアクセス状態が異常であることは、ユーザ端末２０００ａが、第１のドア操作デバイス３０００ａを通過していないと判定したことを示してもよい。より詳細な例として、より高ランク層である第１のドア操作デバイス３０００ａをユーザ端末２０００ａが通過した場合、第１のドア操作デバイス３０００ａに対するアクセス状態は、退出状態である必要がある。第１のドア操作デバイス３０００ａに対するアクセス状態が進入状態である場合、第２のドア操作デバイス３０００ｂは、ユーザ端末２０００ａが、第１のドア操作デバイス３０００ａを異常通過したと判定してもよく、ドアを開くことを拒否してもよい。

また、本発明のいくつかの実施形態によると、第２のドア操作デバイス３０００ｂにより、アクセス状態情報を変更することが実行されてもよい（Ｓ９６０）。

ドアを開くと判定した場合、第２のドア操作デバイス３０００ｂはアクセス状態情報を変更してもよい。

第２のドア操作デバイス３０００ｂは、アクセス状態を次の段階に変更してもよい。例えば、第２のドア操作デバイス３０００ｂに対するアクセス状態が進入状態である場合、第２のドア操作デバイス３０００ｂは、アクセス状態を退出状態に変更してもよい。

また、本発明のいくつかの実施形態によると、第２のドア操作デバイス３０００ｂにより、アクセス状態情報を送信することが実行されてもよい（Ｓ９７０）。

また、本発明のいくつかの実施形態によると、第２のドア操作デバイス３０００ｂにより、第２のドア４０００ｂを開くことが実行されてもよい（Ｓ４４０）。

一例として、複数のドア操作デバイス間の階層構造を通じたアクセス制御を上述したが、本発明はこれに限定されない。本発明の実施形態に係るアクセス状態管理方法の第6の変形例は、ドア操作デバイス３０００と、電子デバイスとの間の階層構造として設けられてもよい。例えば、認証トークンを使用して、電子デバイスを使用する要求がされた場合、電子デバイスは、ユーザ端末２０００ａが、アクセス状態情報に基づいて、電子デバイスが存在する空間の入り口ドアを通じて進入したかを判定してもよい。判定の結果が、電子デバイスが存在する空間の入り口ドアを通過して、ユーザ端末２０００ａが進入したことを示す場合、電子デバイスの使用が許可されてもよい。この実施形態では、本発明の実施形態に係るアクセス状態管理方法の上述の第6の変形例の第２のドア操作デバイス３０００ｂは、電子デバイスで置き換えられ、第２のドア操作デバイス３０００ｂが実行するドアを開くかの判定は、電子デバイスの使用を許可するかの判定で置き換えられてもよい。

４．３． 強制的権限変更方法 本発明の実施形態に係る強制的権限変更方法を、図１９から２２を参照して、以下に説明する。

図１９は、本発明の実施形態に係る強制的権限変更方法の全体像を示す。

アクセス制御システム１００００が建物等に設けられる場合、通常、付与された権限に応じて認証トークンを発行することで、アクセス可能領域を限定し、権限を付与されたドアのみを開くことを可能にできる。ただし、火災および地震等の特殊イベント発生時に、例外的に、全てのドアを開く権限を付与するか、避難に必要なドアを開く権限を付与することが好ましい。火災または地震の場合において、アクセス制御サーバと、アクセス制御装置との間に確立した通信に不備が生じたときは、従来のアクセス制御システムでは避難用のドアを開くことができない可能性がある。しかしながら、本発明のアクセス制御システム１００００は、認証サーバ１０００が強制的に権限を付与された認証トークンを発行することで、この問題を解決できる。

また、本発明の実施形態に係る強制的権限変更方法は、セキュリティ会議等により、権限を付与されたユーザのアクセスが一時的に規制される場合にも適用可能である。

図２０は、本発明の実施形態に係る強制的権限変更方法を示すシーケンス図である。

図２０を参照すると、強制的権限変更方法は、権限を変更する要求を取得する段階と（Ｓ１０００）、権限が変更される対象を抽出する段階と（Ｓ１０１０）、抽出した対象に更新した権限を有する認証トークンを送信する段階と（Ｓ１０２０）を備える。

本発明のいくつかの実施形態によると、権限を変更する要求を取得することが実行されてもよい（Ｓ１０００）。権限を変更する要求は、ユーザ端末２０００ａにより提供されてもよい。

ユーザ端末２０００ａは、権限変更要求情報を取得してもよい。

権限変更要求情報は、ユーザの権限の変更を要求するための情報であってもよい。権限変更要求情報に応じて権限を変更することは、権限を連続的に変更することを示してもよいが、本発明はこれに限定されない。権限を変更することは、期限および条件の少なくとも一方が固定される、一時的変更を示してもよい。

ここで、権限を変更する対象は、ユーザおよびドア４０００の少なくとも一方であってもよい。権限を変更する対象がユーザである場合、権限の変更は、ユーザに付与された権限の変更を示し得る。また、権限を変更する対象がドアである場合、権限の変更は、対応するドアの権限を含む認証トークンを更新することにより実行される権限の変更を示し得る。

ユーザ端末２０００ａは、表示部を通じて権限変更要求情報を取得するための、権限変更グラフィカルユーザインタフェース（ＧＵＩ）を出力してもよい。

ユーザ端末２０００ａは、権限を変更する対象に関する情報を取得してもよい。権限を変更する対象がユーザである場合、ユーザ端末２０００ａは、権限を取得するユーザの選択およびユーザ識別情報の入力の少なくとも一方を通じて、権限を変更する対象に関する情報を取得する。また、権限を変更する対象がドアである場合、ユーザ端末２０００ａは、権限を取得するドアの選択およびドア識別情報の入力の少なくとも一方を通じて、権限を変更する対象に関する情報を取得する。

ユーザ端末２０００ａは、変更履歴に関する情報を取得してもよい。

権限を変更する対象がユーザである場合、ユーザ端末２０００ａは、付与された権限の少なくとも一部に関する変更履歴を取得してもよい。例えば、第１のドアに対する権限がユーザに与えられている場合、変更履歴は、第１のドアに対する権限の剥奪に関する情報を含んでもよい。別の例として、ユーザが第１のドアに対する権限を有さない場合、変更履歴は第１のドアに対する権限に関する情報を含んでもよい。別の例として、変更履歴は、特定のユーザのみへの第１のドアに対する権限の付与に関する情報を含んでもよい。

上述のように、変更履歴は、予め付与された権限の少なくとも一部、または付与されていない権限の変更に関する情報を含んでもよい。

権限を変更する対象がドアである場合、変更履歴は権限が変更されるドアのアクセスが強制的に制限または許可されるかに関する情報を含んでもよい。例えば、権限を変更する対象がドアである場合、変更履歴は権限が変更されるドアに対する権限を制限するための要求についての情報を含んでもよい。別の例として、変更履歴は権限が変更されるドアに対する権限を強制的に許可するための要求についての情報を含んでもよい。

また、本発明のいくつかの実施形態によると、変更履歴は、予め定められた特殊イベントの発生であってもよい。例えば、変更履歴は火災を含んでもよい。

この場合、変更履歴は、全てのドアを開けることを含んでもよい。

ユーザ端末２０００ａは、変更条件に関する情報を取得してもよい。

変更条件は、変更が有効となる条件であってもよい。

変更条件は、変更時間および対象グレードを含んでもよい。

変更時間は、権限の変更が有効である時間に関する情報であってもよい。例えば、変更時間に応じて、変更された権限は、限定された時間のみ有効となってもよい。別の例として、対象グレードに応じて、変更された権限の有効性は限定されてもよい。

ユーザ端末２０００ａは、認証サーバ１０００に権限の変更を要求するため、権限変更要求情報を認証サーバ１０００に送信してもよい。

また、本発明のいくつかの実施形態によると、変更履歴が火災等の特定のイベントの発生である場合、変更条件は省略されてもよい。

また、本発明のいくつかの実施形態によると、権限を変更する対象を抽出することが実行されてもよい（Ｓ１０１０）。

認証サーバ１０００は、権限変更要求情報に含まれる対象を抽出してもよい。

以下の説明では、一例として、権限変更要求情報に含まれる対象はユーザである。この場合、認証サーバ１０００は、権限を変更するユーザを抽出してもよい。認証サーバ１０００は、権限を変更するユーザとして、権限を変更する対象に含まれるユーザ識別情報に対応するユーザを抽出してもよい。また、認証サーバ１０００は、権限を変更するユーザとして、権限を変更する対象に含まれるグレードに対応するユーザを抽出してもよい。

以下の説明では、一例として、権限変更要求情報に含まれる対象はドアである。この場合、変更履歴がドアの通過阻止を含む場合と、変更履歴がドアの通過許可を含む場合とで、異なる動作が実行されてもよい。

変更履歴がドアの通過阻止を含む場合、認証サーバ１０００は、権限を変更する対象であるドアに対する権限を付与されたユーザを抽出してもよい。

また、変更履歴がドアの通過許可を含む場合、認証サーバ１０００は、権限を変更する対象であるドアに対する権限のないユーザを抽出してもよい。

また、本発明のいくつかの実施形態によると、変更履歴が火災等の特定のイベントの発生を含む場合、権限を変更する対象は、登録された全てのユーザ、または認証トークンを受信した全てのユーザであってもよい。

また、本発明のいくつかの実施形態によると、更新された権限を有する認証トークンを、抽出対象に送信することが実行されてもよい（Ｓ１０２０）。

認証サーバ１０００は、各抽出されたユーザに対する権限変更履歴に基づいて、変更された権限を有する認証を送信してもよい。例えば、第１のドアに対する権限を有する認証トークンが、権限変更要求情報に含まれる対象であるユーザＡに発行されると仮定する。この場合、権限変更履歴が第１のドアに対する権限を剥奪するための要求を含む場合、認証サーバ１０００は、ユーザＡのユーザ端末２０００ａに、第１のドアに対する権限を含まない新たな認証トークンを送信してもよい。また、新たな認証トークン受信後、ユーザＡのユーザ端末２０００ａは、元の認証トークンを破棄し、破棄した認証トークンを新たな認証トークンで置き換えてもよい。

権限変更に対する期限および／または条件が取り消された場合、認証サーバ１０００は、元の認証トークンを復元してもよい。

例えば、認証サーバ１０００は、新たな認証トークンを、送信された認証トークンで更新するために、権限変更前の認証トークンをユーザ端末２０００ａに送信してもよい。

別の例として、認証サーバ１０００は、権限変更前の認証トークンが使用できるように、ユーザ端末２０００ａにコマンドを送信してもよい。

権限を変更する要求は、必ずしもユーザ端末２０００ａを通じて取得されず、管理者端末２０００ｂから取得されてもよい。

また、認証サーバ１０００は、火災報知システムおよび災害対策システム等の別個のシステムに関連して権限変更要求情報を取得してもよい。

また、火災報知システムおよび災害対策システム等の別個のシステムに関連して、火災および災害のような特殊イベントが発生したと判定された場合、認証サーバ１０００は、権限を変更する要求を取得したと判定し、権限を変更する対象を抽出し、更新された認証情報を送信してもよい。

そのような特殊イベントが発生したと判定された場合、認証情報が送信される対象は、認証サーバ１０００によって予め設定されてもよい。

また、特殊イベントが生じた場合、ドア操作デバイス３０００は、端末２０００から特殊イベントが発生したことを示す通知を取得してもよく、認証トークンに含まれる情報に基づいて、特殊イベントが発生したかを判定してもよい。

本発明のいくつかの実施形態によると、特殊イベントが発生したと判定された場合、ドア操作デバイス３０００は、接続された全てのドア操作デバイス３０００に特殊イベントが発生したことを通知してもよい。通知を受信した場合、全てのドア操作デバイス３０００は、ドアの状態を変更して、ドアを開けっ放しにできるようにしてもよい。

ドア操作デバイス３０００は、特殊イベントが発生している状況と、通常の状況とで、異なる態様で動作してもよい。

図２１は、本発明の実施形態に係るドア操作デバイス３０００の、通常の状況での動作と、特殊イベント発生状況での動作を示す例示的な図である。

図２１に示すように、通常の状況において、ドア操作デバイス３０００は、第１の通信範囲で取得した信号のみを正常信号と判定してもよい。詳細には、ドア制御部３７００は、ドア通信部３１００を通じて端末２０００によって送信された信号を取得してもよい。また、ドア通信部３１００を通じて取得した信号が第１の通信範囲にある場合、ドア制御部３７００は、取得した信号を正常信号と判定してもよい。ドア制御部３７００は、信号の強度に基づいて、取得した信号が第１の通信範囲にあるかを判定してもよい。また、ドア通信部３１００を通じて取得した信号が、第１の通信範囲外の第２の通信範囲にある場合、ドア制御部３７００は、取得した信号を無視してもよい。

取得した信号が第２の通信範囲にあったとしても、特殊イベントが発生している場合は、ドア制御部３７００は、取得した信号を正常信号と判定してもよい。

信号が発生した場合、端末２０００は、特殊イベントが発生したとのイベント発生通知を信号に追加し、信号を送信してもよい。

特殊イベントが発生したことを示すイベント発生通知が第２の通信範囲で取得した信号に含まれる場合、ドア制御部３７００は、取得した信号を無視せず、信号を正常信号と判定してもよい。また、特殊イベントが発生したことを示すイベント発生通知が取得した信号に含まれる場合、ドア制御部３７００は、予め定められた特殊イベント動作を実行してもよい。例えば、ドア制御部３７００は、ドアを開いたままにするための特殊イベント動作を実行してもよい。別の例として、ドア制御部３７００は、権限の有無等の条件に関わらず、ドアを開けるための特殊イベント動作を実行してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００は、ドア操作デバイス３０００について端末２０００が要求する、特定のユーザのみの進入を許可できるように特定のユーザを登録するための認証トークンを発行してもよい。端末２０００は、特定のユーザを登録するための認証トークンをドア操作デバイス３０００に送信してもよく、ドア操作デバイス３０００は、認証トークンに含まれる特定のユーザのみがドアを開ける権限を有すると判定してもよい。

４．４． 領域連携セキュリティ方法 本発明の実施形態に係る領域連携セキュリティ方法を、図２２から２５を参照して以下に説明する。

図２２は、本発明の実施形態に係る領域連携セキュリティ方法の全体像を示す図である。

図２２を参照すると、領域連携セキュリティ方法は、ユーザによってアクセス可能な位置に設けられたオフィス固有電子デバイス６０００やホテル固有電子デバイス等の電子デバイスの使用が、ユーザの権限およびユーザのアクセスの少なくとも一方を考慮して許可される実施形態である。

オフィスに設けられたオフィス固有電子デバイス６０００や、ホテルの部屋に設けられた照明装置やエアコン等の電子デバイス、特定のユーザのみがこれらの装置を使用できるように制限される必要がある。

しかし、ユーザがＰＣのパスワードを忘れたり、ホテルの部屋の鍵を紛失したりした場合、権限のないユーザがオフィス固有電子デバイスまたはホテル固有電子デバイスを使用し得る。

したがって、本発明の実施形態に係る領域連携セキュリティ方法は、認証サーバ１０００によって、電子デバイスが配置されている空間にユーザが実際に進入したかを判定し、ユーザが空間に進入した場合にのみ電子デバイスの使用を許可することで、セキュリティを強化することができる。

図２３は、本発明の実施形態に係る領域連携セキュリティ方法を示すシーケンス図である。

図２３を参照すると、領域連携セキュリティ方法は、ユーザ端末２０００ａが、進入履歴情報を認証サーバ１０００に送信する段階と（Ｓ１１００）、ユーザ端末２０００ａが、オフィス固有電子デバイス６０００にオフィス固有電子デバイス６０００の使用を許可するよう要求する段階と（Ｓ１１１０）、オフィス固有電子デバイス６０００が、認証サーバ１０００からのユーザ認証を要求する段階と（Ｓ１１２０）、認証サーバ１０００が、ユーザ認証を実行する段階と（Ｓ１１３０）、認証サーバ１０００が、認証の結果をオフィス固有電子デバイス６０００に送信する段階と（Ｓ１１４０）、オフィス固有電子デバイス６０００の使用を許可する段階と（Ｓ１１５０）、ユーザ端末２０００ａが、退出履歴情報を送信する段階と（Ｓ１１６０）、認証サーバ１０００が、終了コマンドをオフィス固有電子デバイス６０００に送信する段階と（Ｓ１１７０）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、進入履歴情報の認証サーバ１０００への送信が実行されてもよい（Ｓ１１００）。ここで、認証サーバ１０００は、認証トークンを発行した認証サーバ１０００であってもよく、または、認証トークンを発行した認証サーバ１０００とは異なる別個の認証サーバであってもよい。

許可情報が、ユーザ端末２０００ａが権限を有すると判定されたことを示す場合、ユーザ端末２０００ａは、許可情報と、許可されたドアに関するドア識別情報とを送信してもよい。

認証サーバ１０００は、許可情報とドア識別情報とをユーザ端末２０００ａから取得してもよく、取得した許可情報とドア識別情報とを記憶してもよい。

認証サーバ１０００は、許可情報とドア識別情報とに基づいて、ユーザが進入した空間を判定してもよい。

また、本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、オフィス固有電子デバイス６０００の使用を許可するようオフィス固有電子デバイス６０００に対する要求が実行されてもよい（Ｓ１１１０）。

ユーザ端末２０００ａは、オフィス固有電子デバイス６０００の使用を要求するため、認証トークンをオフィス固有電子デバイス６０００に送信してもよい。このために、ユーザ端末２０００ａと通信するための通信手段がオフィス固有電子デバイス６０００に設けられてもよい。

あるいは、オフィス固有電子デバイス６０００は、ユーザ端末２０００ａを介さず、ユーザから直接入力された使用要求を取得してもよい。このために、オフィス固有電子デバイス６０００は、ユーザ入力を取得するための入力手段を備えてもよい。

オフィス固有電子デバイス６０００がユーザ入力を通じてユーザ要求を取得する場合、オフィス固有電子デバイス６０００は、ユーザ入力を通じて、ユーザ情報と、ユーザ識別情報と、ユーザ識別情報に対応するセキュリティキーとの少なくとも１つを取得してもよい。

また、本発明のいくつかの実施形態によると、オフィス固有電子デバイス６０００により、認証サーバ１０００からのユーザ認証の要求が実行されてもよい（Ｓ１１２０）。

オフィス固有電子デバイス６０００は、ユーザ認証を要求するため、取得した認証トークンを認証サーバ１０００に送信してもよい。

オフィス固有電子デバイス６０００は、オフィス固有電子デバイス６０００についての権限が取得した認証トークンに含まれるかを判定してもよい。判定の結果、オフィス固有電子デバイス６０００についての権限が含まれている場合、オフィス固有電子デバイス６０００は、ユーザ認証を要求するため、認証トークンを認証サーバ１０００へ送信してもよい。また、判定の結果、オフィス固有電子デバイス６０００についての権限が含まれていない場合、オフィス固有電子デバイス６０００は、使用を拒否するための拒否メッセージを出力してもよい。

また、オフィス固有電子デバイス６０００は、ユーザ認証を要求するため、取得したユーザ情報と、ユーザ識別情報と、ユーザ識別情報に対応するセキュリティキーとの少なくとも１つを認証サーバ１０００に送信してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００により、ユーザ認証の実行が実行されてもよい（Ｓ１１３０）。

認証サーバ１０００は、オフィス固有電子デバイス６０００から取得した認証トークンに対応するユーザがドアを通過したかを判定してもよい。認証サーバ１０００は、記憶された許可情報と、ドア識別情報と、アクセス状態情報との少なくとも１つに基づいて、認証トークンに対応するユーザが対応するドア４０００を通ってオフィス固有電子デバイス６０００が配置されている空間に進入したかを判定してもよい。

また、認証サーバ１０００は、オフィス固有電子デバイス６０００から取得したユーザ識別情報に対応する権限を判定してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００により、認証の結果のオフィス固有電子デバイス６０００への送信が実行されてもよい（Ｓ１１４０）。

認証トークンに対応するユーザが対応するドアを通ってオフィス固有電子デバイス６０００が配置されている空間に進入したと判定された場合、認証サーバ１０００は、オフィス固有電子デバイス６０００にオフィス固有電子デバイス６０００の使用許可を要求してもよい。

認証サーバ１０００は、オフィス固有電子デバイス６０００に認証情報に含まれる機能の使用許可を要求するため、ユーザ識別情報に対応する認証情報をオフィス固有電子デバイス６０００へ送信してもよい。

ユーザ識別情報に対応するユーザが対応するドアを通ってオフィス固有電子デバイス６０００が配置されている空間に進入したと判定された場合、認証サーバ１０００は、オフィス固有電子デバイス６０００に使用許可を要求してもよい。

また、本発明のいくつかの実施形態によると、オフィス固有電子デバイス６０００により、認証結果に基づいて、使用許可が実行されてもよい（Ｓ１１５０）。

ユーザ認証結果が許可である場合、オフィス固有電子デバイス６０００は、オフィス固有電子デバイス６０００の使用を許可してもよい。

また、本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、退出履歴情報の送信が実行されてもよい（Ｓ１１６０）。

認証サーバ１０００は、ユーザがオフィス固有電子デバイス６０００が配置されている空間から退出するドアを通過したことを示す情報をユーザ端末２０００ａから取得してもよい。

また、本発明のいくつかの実施形態によると、認証サーバ１０００により、終了コマンドのオフィス固有電子デバイス６０００への送信が実行されてもよい（Ｓ１１７０）。

ユーザがドアを通過し、オフィス固有電子デバイス６０００が配置されている空間から外へと移動したことを示す情報をユーザ端末２０００ａから取得した場合、認証サーバ１０００は、オフィス固有電子デバイス６０００から終了を要求してもよい。オフィス固有電子デバイス６０００の終了は、パワーオフ動作と、スクリーンセーバ動作と、ログオフ動作との少なくとも１つであってもよい。

４．４．１． 領域連携セキュリティ方法－第１の変形例 上述の領域連携セキュリティ方法は、用途に応じて各種変形されてもよい。

領域連携セキュリティ方法の第１の変形例では、認証サーバ１０００が、ドアアクセス情報をユーザ端末２０００ａから取得し、取得したドアアクセス情報に基づいて、制御コマンドを外部コントローラへ送信してもよい。

説明の便宜上、ホテルの部屋での動作を以下に一例として説明する。従来、ホテルの部屋へのアクセスを制御し、ホテルの部屋の部屋機能を制御するために物理的な鍵が使用されてきた。しかし、そのような物理的な鍵が使用される場合、ユーザは物理的な鍵を携帯しなければならないという不便さがある。また、ユーザは、自身がホテルの部屋の外にいるときに、ホテルの部屋の機能を起動したい場合がある。例えば、ユーザがホテルの部屋を離れているときも、エアコンや洗濯機が動作している必要があり得る。この場合、物理的な鍵は、ホテルの部屋の機能を起動するためにホテルの部屋の中にある必要があり、したがって、ユーザがホテルの部屋を離れられないという問題がある。しかし、本発明の実施形態に係る領域連携セキュリティ方法がホテルの部屋での動作に適用された場合、上述の物理的な鍵はユーザ端末で置き換えられてもよく、物理的な鍵の使用による上述の問題を解決することができる。本発明の実施形態に係る領域連携セキュリティ方法がホテルの部屋での動作に適用された実施形態について、以下に詳細に説明する。

領域連携セキュリティ方法の第１の変形例を、図２４を参照して以下に説明する。

図２４は、本発明の実施形態に係る領域連携セキュリティ方法の第１の変形例を示すシーケンス図である。

図２４を参照すると、領域連携セキュリティ方法の第１の変形例の記載において、ユーザ端末とドア操作デバイス３０００との間の動作は第１のおよび第２の詳細な実施形態のいずれか一方によって実行されてもよく、したがって、その詳細な説明は省略する。

図２４を参照すると、領域連携セキュリティ方法の第１の変形例は、ユーザ端末２０００ａが、進入履歴情報を認証サーバ１０００へ送信する段階と（Ｓ１１００）、認証サーバ１０００が、部屋の機能起動コマンドをホテルのコントローラ７０００へ送信する段階と（Ｓ１２００）、ホテルのコントローラ７０００が、部屋の機能を起動する段階と（Ｓ１２０５）、ユーザ端末２０００ａが、退出履歴情報を認証サーバ１０００へ送信する段階と（Ｓ１２１０）、認証サーバ１０００が、部屋の機能停止コマンドをホテルのコントローラ７０００へ送信する段階と（Ｓ１２１５）、ホテルのコントローラが、部屋の機能を停止する段階と（Ｓ１２２０）、ユーザ端末２０００ａにより、機能の起動を要求する段階と（Ｓ１２２５）、認証サーバ１０００が、要求された機能を起動するコマンドをホテルのコントローラ７０００へ送信する段階と（Ｓ１２３０）、ホテルのコントローラ７０００が、対応する部屋の要求された機能を起動する段階と（Ｓ１２３５）、認証サーバ１０００が、予め定められた時間量内に進入履歴情報が取得されたかを判定する段階と（Ｓ１２４０）、認証サーバ１０００が、要求された機能を停止するためのコマンドを送信する段階と（Ｓ１２４５）、ホテルのコントローラ７０００が、要求された機能を停止するためのコマンドを送信する段階と（Ｓ１２５０）を備えてもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、進入履歴情報の認証サーバ１０００への送信が実行されてもよい（Ｓ１１００）。

進入履歴情報は、ドアが開くことが許可されていることを示す情報と、許可されているドアのドア識別情報と、アクセス状態情報との少なくとも１つを含んでもよい。

ドアを開ける権限をユーザ端末２０００ａが有すると判定されたことを示す許可情報がドア操作デバイス３０００から受信された場合、ユーザ端末２０００ａは、進入履歴情報を認証サーバ１０００へ送信してもよい。

認証サーバ１０００は、進入履歴情報をユーザ端末２０００ａから取得し、取得した進入履歴情報を記憶してもよい。

また、認証サーバ１０００は、進入履歴情報に基づいて、ユーザ端末２０００ａの現在位置を判定し、現在位置を記憶してもよい。

本発明のいくつかの実施形態によると、認証サーバ１０００により、部屋の機能起動コマンドのホテルのコントローラ７０００への送信が実行されてもよい（Ｓ１２００）。

認証サーバ１０００は、進入履歴情報に基づいて、制御コマンドをホテルのコントローラ７０００へ送信してもよい。

認証サーバ１０００は、ユーザ端末２０００ａから取得した進入履歴情報に基づいて、ユーザがドア４０００を通過してどの部屋に進入したかを判定してもよい。

ユーザが部屋に進入したと判定された場合、認証サーバは、部屋にある複数の電子デバイスのうちの特定の電子デバイスの動作を起動できるように、部屋の機能起動コマンドをホテルのコントローラ７０００へ送信してもよい。

電子デバイスの起動および停止は、電子デバイスの電源のオンオフであってもよい。あるいは、電子デバイスの起動および停止は、電子デバイスへの動力の供給および遮断であってもよい。

実施形態によっては、部屋の機能起動コマンドは、対応する部屋に動力を供給するためのコマンドであってもよく、部屋の機能停止コマンドは、対応する部屋への動力を遮断するためのコマンドであってもよい。また、動力を常に供給する必要のある冷蔵庫等の例外的な電子デバイスは、部屋の機能起動コマンドおよび部屋の機能停止コマンドの対象から除外してもよい。

本発明のいくつかの実施形態によると、ホテルのコントローラ７０００により、部屋の機能の起動が実行されてもよい（Ｓ１２０５）。

ホテルのコントローラ７０００は、認証サーバ１０００から取得した部屋の機能起動コマンドに基づいて、ユーザが進入したと判定された部屋において、複数の電子デバイスのうちの特定された電子デバイスの動作を起動できるように制御を実行してもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、退出履歴情報の認証サーバ１０００への送信が実行されてもよい（Ｓ１２１０）。

認証サーバ１０００は、ユーザがドアを通過して退出したことを示す退出履歴情報をユーザ端末２０００ａから取得してもよい。

退出履歴情報は、ドアが開くことが許可されていることを示す情報と、許可されているドアのドア識別情報と、アクセス状態情報との少なくとも１つを含んでもよい。

ここで、進入履歴情報と退出履歴情報とは、異なるアクセス状態情報を有してもよい。

ドアを開く権限をユーザ端末２０００ａが有すると判定されたことを示す許可情報がドア操作デバイス３０００から受信された場合、ユーザ端末２０００ａは、退出履歴情報を認証サーバ１０００へ送信してもよい。

認証サーバ１０００は、退出履歴情報をユーザ端末２０００ａから取得し、取得した退出履歴情報を記憶してもよい。

また、認証サーバ１０００は、退出履歴情報に基づいて、ユーザ端末２０００ａが対応する部屋の外にあると判定し、判定を記憶してもよい。

本発明のいくつかの実施形態によると、認証サーバ１０００により、部屋の機能停止コマンドのホテルのコントローラ７０００への送信が実行されてもよい（Ｓ１２１５）。

ユーザが部屋から退出したと判定された場合、認証サーバ１０００は、部屋にある装置を停止できるように、部屋の機能停止コマンドをホテルのコントローラ７０００へ送信してもよい。

本発明のいくつかの実施形態によると、ホテルのコントローラにより、部屋の機能の停止が実行されてもよい（Ｓ１２２０）。

ホテルのコントローラ７０００は、部屋の機能停止コマンドに基づいて、対応する部屋の機能を停止できるように制御を実行してもよい。

本発明のいくつかの実施形態によると、ユーザ端末２０００ａにより、部屋の機能の起動に対する要求が実行されてもよい（Ｓ１２２５）。

認証サーバ１０００は、部屋に含まれる少なくとも一部の電子デバイスの機能をユーザ端末から起動することが、ユーザ端末２０００ａによって要求されてもよい。

例えば、認証サーバ１０００は、部屋に含まれる複数の電子デバイスのうちのエアコンを起動することが、ユーザ端末２０００ａによって要求されてもよい。

ユーザ端末２０００ａは、起動するよう選択された機能を受信し、選択可能な機能または全ての機能を出力し、ユーザから機能起動要求に対する承認を受信するための、権限変更グラフィカルユーザインタフェース（ＧＵＩ）を出力してもよい。

本発明のいくつかの実施形態によると、認証サーバ１０００により、要求された機能を起動するためのコマンドのホテルのコントローラ７０００への送信が実行されてもよい（Ｓ１２３０）。

認証サーバ１０００は、ユーザ端末２０００ａから取得した機能起動要求に基づいて、要求された機能を起動するためのコマンドをホテルのコントローラ７０００に送信してもよい。

また、認証サーバ１０００は、要求に含まれる機能についての権限をユーザが有するかを判定してもよい。要求に含まれる機能についての権限をユーザが有すると判定された場合、認証サーバ１０００は、要求された機能を起動するためのコマンドをホテルのコントローラ７０００へ送信してもよい。

また、要求に含まれる機能についての権限をユーザが有さないと判定された場合、認証サーバ１０００は、拒否メッセージをユーザ端末２０００ａへ送信してもよい。

本発明のいくつかの実施形態によると、ホテルのコントローラ７０００により、要求された部屋の機能の起動を実行してもよい（Ｓ１２３５）。

ホテルのコントローラ７０００は、取得した、要求された機能起動コマンドに基づいて、部屋に含まれる電子デバイスを起動してもよい。例えば、要求された機能起動に含まれる要求がエアコンを起動することである場合、ホテルのコントローラ７０００は、エアコンを起動できるように制御を実行してもよい。また、所望の温度等の詳細な要求が要求された機能起動コマンドに含まれる場合、ホテルのコントローラは、詳細な要求を実行できるように制御を実行してもよい。例えば、詳細なコマンドが、室内温度が２４℃であることを含む場合、ホテルのコントローラ７０００は、部屋の室内温度を２４℃に維持するように、部屋に含まれるエアコンまたはヒータを制御してもよい。

本発明のいくつかの実施形態によると、認証サーバ１０００により、進入履歴情報が取得されたかの判定が実行されてもよい（Ｓ１２４０）。

例えば、ユーザ端末２０００ａが部屋にある照明灯をオンにする要求を行う場合、認証サーバ１０００は、ユーザが部屋の外にいても照明灯をオンにするように、制御コマンドをホテルのコントローラ７０００へ送信してもよい。

認証サーバ１０００は、機能起動要求を取得した後、進入履歴情報を取得したかを判定してもよい。

より具体的には、認証サーバ１０００は、部屋に設置されたドアに対応する進入履歴情報が、機能起動要求を取得した時点から、および要求された機能を起動するためのコマンドをホテルのコントローラ７０００に送信した時点から予め定められた時間量内に、ユーザ端末２０００ａから取得されたかを判定してもよい。

本発明のいくつかの実施形態によると、認証サーバ１０００により、要求された機能を停止するためのコマンドの送信が実行されてもよい（Ｓ１２４５）。

進入履歴情報が取得されたかの判定結果が、部屋に設置されたドアに対応する進入履歴情報が予め定められた時間量内にユーザ端末２０００ａから取得されたものではないという場合、認証サーバ１０００は、要求された機能を停止するためのコマンドをホテルのコントローラ７０００へ送信してもよい。要求された機能を停止するためのコマンドは、ユーザ端末２０００ａからの要求に従ってホテルのコントローラ７０００へ予め送信された要求された機能起動コマンドを取り消すためのコマンドであってもよい。

本発明のいくつかの実施形態によると、ホテルのコントローラ７０００により、要求された機能を停止するためのコマンドの送信が実行されてもよい（Ｓ１２５０）。

ホテルのコントローラ７０００は、Ｓ１２３５で起動された機能を停止できるように制御を実行してもよい。

別の例として、ホテルのコントローラ７０００は、要求された機能を停止するためのコマンドに基づいて、Ｓ１２３５のコマンドを取り消してもよい。

４．４．２． 領域連携セキュリティ方法－第２の変形例 領域連携セキュリティ方法の第２の変形例を、図２５を参照して以下に説明する。

図２５は、本発明の実施形態に係る領域連携セキュリティ方法の第２の変形例を示すフローチャートである。

図２５を参照すると、領域連携セキュリティ方法の第２の変形例は、第１のドアアクセス履歴情報を取得する段階と（Ｓ１３００）、部屋の機能を起動すること（Ｓ１３１０）、第２のドアアクセス履歴情報が取得されたかを判定する段階と（Ｓ１３２０）、部屋の機能の起動を維持する段階と（Ｓ１３３０）、部屋の機能を停止する段階と（Ｓ１３４０）、第２のドアアクセス履歴情報を取得する段階と（Ｓ１３５０）、部屋の機能を起動する段階と（Ｓ１３６０）を備えてもよい。

本発明のいくつかの実施形態によると、第１のドアアクセス履歴情報の取得が実行されてもよい（Ｓ１３００）。

第１のドアを開く権限をユーザ端末２０００ａが有すると判定されたことを示す許可情報を第１のドア操作デバイス３０００ａから受信した場合、ユーザ端末２０００ａは、第１のドアアクセス履歴情報を認証サーバ１０００へ送信してもよい。

第１のドアは、ユーザが滞在する部屋のドア以外の予め定められたドアであってもよい。例えば、第１のドアは、ホテルロビーの少なくとも１つのドアであってもよい。別の例として、第１のドアは、ユーザが滞在する部屋に続く廊下に進入するためのドアであってもよい。

認証サーバ１０００は、第１のドアアクセス履歴情報をユーザ端末２０００ａから取得し、取得した第１のドアアクセス履歴情報を記憶してもよい。

また、認証サーバ１０００は、進入履歴情報に基づいて、ユーザ端末２０００ａのユーザが第１のドアに進入したと判定し、判定を記憶してもよい。

また、本発明のいくつかの実施形態によると、部屋の機能の起動が実行されてもよい（Ｓ１３１０）。

認証サーバ１０００は、第１のドアアクセス履歴情報に基づいて、制御コマンドをホテルのコントローラ７０００へ送信してもよい。

認証サーバ１０００は、ユーザ端末２０００ａから取得した第１の進入履歴情報に基づいて、ユーザが滞在する部屋にある複数の電子デバイスのうちの特定された電子デバイスの動作をユーザ端末２０００ａが起動できるように、部屋の機能起動コマンドをホテルのコントローラ７０００へ送信してもよい。

電子デバイスの起動および停止は、電子デバイスの電源のオンオフであってもよい。あるいは、電子デバイスの起動および停止は、電子デバイスへの動力の供給および遮断であってもよい。

実施形態によっては、部屋の機能起動コマンドは、対応する部屋に動力を供給するためのコマンドであってもよく、部屋の機能停止コマンドは、対応する部屋への動力を遮断するためのコマンドであってもよい。また、動力を常に供給する必要のある冷蔵庫等の例外的な電子デバイスは、部屋の機能起動コマンドおよび部屋の機能停止コマンドの対象から除外してもよい。

また、本発明のいくつかの実施形態によると、第２のドアアクセス履歴情報が取得されたかの判定が実行されてもよい（Ｓ１３２０）。

認証サーバ１０００は、ユーザが滞在する部屋に設けられた第２のドアに関する第２のドアアクセス履歴情報が取得されたかを判定してもよい。

より具体的には、認証サーバ１０００は、第１のドアアクセス履歴情報を取得した時点から、または部屋の機能起動コマンドをホテルのコントローラ７０００に送信した時点から予め定められた時間量内に、第２のドアアクセス履歴情報がユーザ端末２０００ａから取得されたかを判定してもよい。

また、本発明のいくつかの実施形態によると、部屋の機能の起動の維持が実行されてもよい（Ｓ１３３０）。

第２のドアアクセス履歴情報を取得した場合、認証サーバ１０００は、部屋の機能の起動を維持してもよい。より具体的には、認証サーバ１０００は、第１のドアアクセス履歴情報を取得した時点から、または部屋の機能起動コマンドをホテルのコントローラ７０００に送信した時点から予め定められた時間内に、第２のドアアクセス履歴情報がユーザ端末２０００ａから取得された場合、部屋の機能の起動を維持してもよい。

部屋の機能の起動の維持は、部屋の機能起動コマンドに対する取り消しコマンドまたは部屋の機能停止コマンドをホテルのコントローラ７０００へ送信しないことであってもよい。

また、本発明のいくつかの実施形態によると、部屋の機能の停止が実行されてもよい（Ｓ１３４０）。

第２のドアアクセス履歴情報が取得されない場合、認証サーバ１０００は、部屋の機能を停止できるように、部屋の機能停止コマンドをホテルのコントローラ７０００へ送信してもよい。より具体的には、認証サーバ１０００は、第１のドアアクセス履歴情報を取得した時点から、または部屋の機能起動コマンドをホテルのコントローラ７０００に送信した時点から予め定められた時間内に、第２のドアアクセス履歴情報がユーザ端末２０００ａから取得されていない場合、部屋の機能停止コマンドをホテルのコントローラ７０００へ送信してもよい。

また、本発明のいくつかの実施形態によると、第２のドアアクセス履歴情報の取得が実行されてもよい（Ｓ１３５０）。

第２のドアを開ける権限をユーザ端末２０００ａが有すると判定されたことを示す許可情報を第２のドア操作デバイス３０００ｂから受信した場合、ユーザ端末２０００ａは、第２のドアアクセス履歴情報を認証サーバ１０００へ送信してもよい。

第２のドアは、ユーザが滞在する部屋のドアであってもよい。例えば、第２のドアは、ユーザが滞在する部屋のアクセスドアであってもよい。

認証サーバ１０００は、第２のドアアクセス履歴情報をユーザ端末２０００ａから取得し、取得した第２のドアアクセス履歴情報を記憶してもよい。

また、認証サーバ１０００は、第２のドアアクセス履歴情報に基づいて、ユーザ端末２０００ａのユーザが第２のドアに進入したと判定し、判定を記憶してもよい。

また、本発明のいくつかの実施形態によると、部屋の機能の起動が実行されてもよい（Ｓ１３４０）。

認証サーバ１０００は、ユーザ端末２０００ａから取得した第２の進入履歴情報に基づいて、ユーザが滞在する部屋にある複数の電子デバイスのうちの特定された電子デバイスの動作をユーザ端末２０００ａが起動できるように、部屋の機能起動コマンドをホテルのコントローラ７０００へ送信してもよい。

したがって、本発明の実施形態に係る領域連携セキュリティ方法の変形例は、ドアの鍵またはドアカードが紛失しても、ユーザが部屋に進入したことを確認していない場合、電子デバイスは起動されないことから、権限のない人が部屋にある電子デバイスを使用することを防ぐことができる。また、本発明の実施形態に係る領域連携セキュリティ方法の変形例は、ユーザが外にいても一部の機能の起動を要求できるようにすることにより、ユーザの利便性を向上することができる。

本発明によると、認証トークンが有効である限り、追加認証なしで権限を付与されたドアを開くための認証トークンを利用することで、ユーザの利便性を向上することができる。

また、本発明によると、認証サーバに障害が起きたり、または認証トークンとドア操作デバイスとの通信が途切れたりしても、認証トークンが有効である限り、権限を付与されたドアを開くことで、ユーザの利便性を向上することができる。

また、本発明によると、進入または退出についてのアクセス状態情報を考慮することで、ユーザの与えられた権限に基づく使用を管理可能である。

また、本発明によると、災害等の特殊イベントが起きた場合、強制的に認証トークンを更新することで、ユーザの避難をより迅速かつ正確に補助可能である。

また、本発明によると、対応する空間への進入があるかを考慮して、電子デバイスの使用を許可することによって、権限のない侵入者による電子デバイスの使用に対するセキュリティを強化することができる。

本発明の効果は上述の効果に限らず、本明細書に記載されていないその他の効果も、当業者であれば以下の説明と添付の図面から明らかに理解できるものである。

本発明の実施形態を参照して本発明の要素および特徴を説明したが、本発明はこれに限定されるものではない。当業者である場合、本発明の主旨および範囲から逸脱することなく、各種変更や変形例を加え得ることが自明である。したがって、そのような変更や変形例も、添付の請求項の範囲に含まれることが意図される。

Claims (17)

1. 認証サーバの介入なしに、第１ドア操作デバイスが、ユーザ端末から取得した認証トークンに基づいて、第１領域への進入または退出のための第１ドアを開くかを判定するアクセス制御方法であって、
   前記認証トークンを前記ユーザ端末から取得する段階と、
   前記第１ドア操作デバイスに予め格納された前記ユーザ端末に関する情報を用いることなしに、前記認証トークンに含まれる認証情報に基づいて、前記第１ドアにアクセスする権限を前記ユーザ端末が有するかを判定する段階と、
   前記第１ドアにアクセスする権限を前記ユーザ端末が有すると判定した場合、前記第１ドアを開くように制御する段階と、
   を備え、
   前記第１ドア、前記第１ドア操作デバイスおよび前記第１領域の少なくとも１つの識別情報、並びに、第２ドア、第２領域への進入または退出のための前記第２ドアを開けるかどうかを判定する第２ドア操作デバイスおよび前記第２領域の少なくとも１つの識別情報、が前記認証情報に含まれている場合に、前記ユーザ端末が、前記第１ドアにアクセスする前記権限と共に前記第２ドアにアクセスする権限を有するかどうかを判断するために、前記認証トークンが用いられ、
   前記認証情報を変更するよう前記認証サーバが要求された場合に、前記ユーザ端末の中の認証トークンに含まれる前記認証情報が前記認証サーバによって変更され、
   前記ユーザ端末が前記第１ドアにアクセスする権限を有しないよう前記認証情報が前記認証サーバによって変更された場合に、前記第１ドア操作デバイスは、前記変更された認証情報に基づいて前記ユーザ端末が前記第１ドアにアクセスする権限を有しないと判断して、前記第１ドアを開けないよう制御するアクセス制御方法。
2. 前記認証情報が前記第１ドア、前記第１ドア操作デバイスおよび前記第１領域の少なくとも１つの前記識別情報を含んでいる場合、前記第１ドア操作デバイスは、前記第１ドアにアクセスする前記権限を前記ユーザ端末が有すると判定する、請求項１に記載のアクセス制御方法。
3. 前記認証情報が前記第１ドア、前記第１ドア操作デバイスおよび前記第１領域の少なくとも１つの前記識別情報に対応する権限値を含み、
   前記識別情報に対応する前記権限値が、権限があることを示す予め定められた値である場合、前記第１ドア操作デバイスは、前記第１ドアにアクセスする前記権限を前記ユーザ端末が有すると判定する、請求項２に記載のアクセス制御方法。
4. 前記認証トークンは、前記認証情報、認証有効条件、認証トークン状態情報、発行者情報および受信者情報の少なくとも１つを含む、請求項１から３のいずれか一項に記載のアクセス制御方法。
5. 前記第１ドア操作デバイスは、前記認証トークンが有効であるかを判定し、前記第１ドアにアクセスする前記権限を前記ユーザ端末が有すると判定されても、前記認証トークンが有効でないと判定された場合には、前記第１ドア操作デバイスは前記第１ドアを開けない、請求項４に記載のアクセス制御方法。
6. 前記認証トークン状態情報に基づいて前記認証トークンが失効したと判定された場合、前記第１ドア操作デバイスは、前記認証トークンが有効ではないと判定する、請求項５に記載のアクセス制御方法。
7. 前記第１ドア操作デバイスは、前記認証有効条件に基づいて、前記認証トークンが有効であるかを判定し、
   前記認証有効条件は、有効期間、有効位置および使用回数の少なくとも１つを含む、請求項５または６に記載のアクセス制御方法。
8. 前記有効期間は、前記認証トークンが無効であると判定される限界時間までの残り期間に対応する、または前記認証トークンが発行された時点からの経過時間に対応する、有効期間値であり、
   前記第１ドア操作デバイスは、前記有効期間値が予め定められた閾値と同じである場合、前記認証トークンは有効ではないと判定する、請求項７に記載のアクセス制御方法。
9. 前記認証トークンは、前記認証トークンが発行された時点での前記ユーザ端末についての情報を含み、
   前記認証トークンが発行された時点での前記ユーザ端末についての前記情報が、前記有効位置に含まれる位置情報範囲に含まれない場合、前記第１ドア操作デバイスは、前記認証トークンが有効ではないと判定する、請求項７または８に記載のアクセス制御方法。
10. 前記使用回数が予め定められた回数より大きいか等しい場合、前記第１ドア操作デバイスは、前記認証トークンが有効ではないと判定する、請求項７から９のいずれか一項に記載のアクセス制御方法。
11. 前記第１ドア操作デバイスが、前記第１ドアにアクセスする前記権限を前記ユーザ端末が有するかを判定した結果を前記ユーザ端末に送信する段階をさらに備える、請求項１から１０のいずれか一項に記載のアクセス制御方法。
12. 前記認証トークンは、前記ユーザ端末が、前記認証トークンに一致させた予め記憶された更新トークンを前記認証サーバに送信することにより更新される、請求項１から１１のいずれか一項に記載のアクセス制御方法。
13. 前記認証トークンに含まれる前記認証情報は、前記第１領域についての権限と、前記第１ドアについての権限と、前記第２領域についての権限と、前記第２ドアについての権限と、電子デバイスについての権限との少なくとも１つを含む、請求項１から１２のいずれか一項に記載のアクセス制御方法。
14. １回限りの認証を通じて取得した認証トークンを用いて領域の少なくとも１つへの進入または退出のために複数のドア操作デバイスにより実行されるアクセス制御方法であって、
    第１の領域に進入または退出するための第１のドアに設けられた第１のドア操作デバイスが、ユーザ端末から認証トークンを取得する段階と、
    前記第１のドア操作デバイスが、前記第１のドア操作デバイスに予め格納された前記ユーザ端末に関する情報を用いることなしに、前記認証トークンに含まれる認証情報に基づいて、前記第１のドアにアクセスする権限を前記ユーザ端末が有するかを判定する段階と、
    前記第１のドア操作デバイスが、前記第１のドアにアクセスする前記権限を前記ユーザ端末が有する場合、前記第１のドアを開錠する段階と、
    第２の領域に進入または退出するための第２のドアに設けられた第２のドア操作デバイスが、前記ユーザ端末から前記認証トークンを取得する段階と、
    前記第２のドア操作デバイスが、前記第２のドア操作デバイスに予め格納された前記ユーザ端末に関する情報を用いることなしに、前記認証トークンに含まれる前記認証情報に基づいて、前記第２のドアにアクセスする前記権限を前記ユーザ端末が有するかを判定する段階と、
    前記第２のドア操作デバイスが、前記第２のドアにアクセスする権限を前記ユーザ端末が有すると判定された場合、前記第２のドアを開錠する段階と、
    を備え、
    前記認証情報は、前記第１のドア、前記第１のドア操作デバイスおよび前記第１の領域の少なくとも１つの識別情報、並びに、前記第２のドア、前記第２のドア操作デバイスおよび前記第２の領域の少なくとも１つの識別情報、を含み、
    前記認証情報を変更するよう認証サーバが要求された場合に、前記ユーザ端末の中の認証トークンに含まれる前記認証情報が前記認証サーバによって変更され、
    前記ユーザ端末が前記第１のドアにアクセスする権限を有しないよう前記認証情報が前記認証サーバによって変更された場合に、前記第１のドア操作デバイスは、前記変更された認証情報に基づいて前記ユーザ端末が前記第１のドアにアクセスする権限を有しないと判断して、前記第の１のドアを開けないよう制御するアクセス制御方法。
15. 請求項１から１３のいずれか一項に記載のアクセス制御方法をコンピュータに実行させるためのプログラム。
16. 請求項１４に記載のアクセス制御方法をコンピュータに実行させるためのプログラム。
17. 認証サーバの介入なしに、ユーザ端末から取得した認証トークンに基づいて、第１領域に進入または退出するための第１ドアを開くかを判定するように構成された第１ドア操作デバイスであって、
    前記ユーザ端末から前記認証トークンを取得するように構成された第１ドア通信部と、
    前記第１ドアを開くのに必要な動力を提供するように構成された第１ドア駆動部と、
    前記第１ドア操作デバイスに予め格納された前記ユーザ端末に関する情報を用いることなしに、前記認証トークンに含まれる認証情報に基づいて、前記第１ドアにアクセスする権限を前記ユーザ端末が有するかを判定するように構成され、前記第１ドアにアクセスする前記権限を前記ユーザ端末が有すると判定された場合、前記第１ドアを開くように前記第１ドア駆動部を制御するように構成された第１ドア制御部と、
    を備え、
    前記第１ドア、前記第１ドア操作デバイスおよび前記第１領域の少なくとも１つの識別情報、並びに、第２ドア、第２領域への進入または退出のための前記第２ドアを開けるかどうかを判定する第２ドア操作デバイスおよび前記第２領域の少なくとも１つの第２識別情報、が前記認証情報に含まれている場合に、前記ユーザ端末が、前記第１ドアにアクセスする前記権限と共に前記第２ドアにアクセスする権限を有するかどうかを判断するために、前記認証トークンが用いられ、
    前記認証情報を変更するよう前記認証サーバが要求された場合に、前記ユーザ端末の中の認証トークンに含まれる前記認証情報が前記認証サーバによって変更され、
    前記ユーザ端末が前記第１ドアにアクセスする権限を有しないよう前記認証情報が前記認証サーバによって変更された場合に、前記第１ドア操作デバイスは、前記変更された認証情報に基づいて前記ユーザ端末が前記第１ドアにアクセスする権限を有しないと判断して、前記第１ドアを開けないよう制御する第１ドア操作デバイス。

Images