フィルタリング技術を用いたネットワークアクセス管理方法、システム及びプログラム
【課題】
ネットワークのアクセス管理において、ネットワークアクセスの最適化を事前に評価し見直す事を、人手を介さずに実施する事ができなかった。
【解決手段】
本発明は、ユーザからの信号を他のユーザからの信号から識別して受信するユーザごとのフィルタを備える物理レイヤのアクセス制御部と、このフィルタを介して受信したアクセス要求の情報に基づいてユーザの個人認証を行うアプリケーションレイヤのユーザ認証部とを有するシステムのアクセス管理方法であって、ユーザ認証部による個人認証によりアクセス許可と判定する場合には事務処理の手続きに進み、個人認証によりアクセス不可と判定する場合にはアクセス制御部を介して当該ユーザのフィルタを消滅させる。
ネットワークのアクセス管理において、ネットワークアクセスの最適化を事前に評価し見直す事を、人手を介さずに実施する事ができなかった。
【解決手段】
本発明は、ユーザからの信号を他のユーザからの信号から識別して受信するユーザごとのフィルタを備える物理レイヤのアクセス制御部と、このフィルタを介して受信したアクセス要求の情報に基づいてユーザの個人認証を行うアプリケーションレイヤのユーザ認証部とを有するシステムのアクセス管理方法であって、ユーザ認証部による個人認証によりアクセス許可と判定する場合には事務処理の手続きに進み、個人認証によりアクセス不可と判定する場合にはアクセス制御部を介して当該ユーザのフィルタを消滅させる。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、フィルタリング技術を用いたネットワークアクセス管理技術とそのアクセス管理が妥当である事を事前評価する技術に関する。
【背景技術】
【0002】
ネットワークのセキュリティーを確保する為に、データを暗号化したり、ファイヤーウォールを設置したり、証書によりネットワークを送受信するデータの改竄防止を行うなど、ソフトウェアーの設定をネットワーク環境に合わせて個別に実施する事でセキュリティー対策を実施する事が主流となっている。その為、従来の技術では、利便性が高く、高いセキュリティを保証した、ネットワーク環境を自由に容易に構築する事は難しかった。
【0003】
また、特開2001−203690号公報(特許文献1)は、運用を制限する事により、ネットワーク環境をパターン化して、ネットワークの専門知識を持っていない事務担当者や管理者が広域ネットワークの設定や管理を行うことのできるネットワーク技術を開示する。特許文献1は、TA(ターミナルアダプタ)やルータで区切られたネットワークの範囲を管理単位(セグメント)として、各セグメントにネットワーク情報(NIF)及びネットワークアクセス情報を管理するセグメントマスクと呼ぶサーバーを1台設置する。NIFにはマシン台数分のレコードが登録されており、発信側のマシン装置はアプリケーション実行時にNIFを見て着信側のネットワークに接続されているマシンを認識することができる。またNIFには相手マシンと接続するときに必要なIPアドレスやそのマシン独自の情報が登録されており、ネットワークアクセス情報によりNIFの取得制限を行って相手マシンとの接続を制限する。つまり特許文献1は、接続先のIPアドレスや接続プロトコルにより、ネットワークのアクセス管理を行うものである。
【0004】
それに対して、データ伝送の高速化技術として、フィルタリング技術が、提案されている。これは、伝送されるデータをブロック化して、そのブロックを構成する各ビットに関数を用いて異なる減衰率を変えて、データを送り、変更した減衰率の関数に対応して、ブロック化したデータを振り分ける事により、1つのネットワーク回線にデータを多重化して伝送する技術である。この技術を実現しているのは、受け取ったブロックの各ビットに与えた関数を求めるのに、非線形計画法を用いており、入力したブロックの減衰状況を入力すれば、対応する関数は一意に決まる特性を用いている。しかし、この非線形計画法には、増幅するビットの値は、1以上にならないという制約があるため、最適な関数が求められないで、送られたデータがノイズとなる場合があった。また、特開2008−301504号公報(特許文献2)では、認証を含む高いセキュリティが要求される大規模なネットワークを構築する事ができなかった。同様に、ワイヤレス環境でのMIMO(Multiple Input Multiple Output)チャネルでのタイムゾーンコードの高速伝送を安定して確保する為に、各アンテナの重み付けを行うアルゴリズムでも、同じ問題が発生していた。
【先行技術文献】
【特許文献】
【0005】
【特許文献1】特開2001−203690号公報
【特許文献2】特開2008−301504号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
特許文献1に開示されている技術は、接続先のIPアドレスや接続プロトコルによりネットワークのアクセス管理を行うものであり、物理レイヤのみのアクセス管理のため、ネットワーク設計や接続テストに多大な工数を要する。一方、特許文献2は、フィルタリング技術を利用してネットワークのアクセス管理を行うものであるが、どちらの技術を活用しても、ネットワークアクセスの最適化を事前に評価し見直す事を、人手を介さずに実施する事ができなかった。
【課題を解決するための手段】
【0007】
本発明は、ユーザからの信号を他のユーザからの信号から識別して受信するユーザごとのフィルタを備える物理レイヤのアクセス制御部と、このフィルタを介して受信したアクセス要求の情報に基づいてユーザの個人認証を行うアプリケーションレイヤのユーザ認証部とを有するシステムのアクセス管理方法であって、ユーザ認証部による個人認証によりアクセス許可と判定する場合には事務処理の手続きに進み、個人認証によりアクセス不可と判定する場合にはアクセス制御部を介して当該ユーザのフィルタを消滅させる。
【発明の効果】
【0008】
本実施形態のネットワークアクセス管理システムによれば、ネットワーク構成の最適化が、事前に評価できる為、従来技術で必要であったネットワーク設計や接続テストの工数を削減できる。
【図面の簡単な説明】
【0009】
【図1】実施形態のネットワークアクセス管理システムの構成図である。
【図2】実施形態のネットワークアクセス管理システムの機能階層を示す図である。
【図3】実施形態のフィルタ管理テーブル60のデータ構成を示す図である。
【図4】実施形態の会員データDB90のデータ構成を示す図である。
【図5】実施形態のICカード50に格納されるデータの構成を示す図である。
【図6】実施形態のゲートウェイ管理テーブル110のデータ構成を示す図である。
【図7】実施形態の会員データDB100のデータ構成を示す図である。
【図8】実施形態のフィルタリング制御部220の処理手順を示すフローチャートである。
【図9】実施形態の会員認証部240の処理手順を示すフローチャートである。
【図10】実施形態の会員データ送信要求に応答する会員管理部170の処理手順を示すフローチャートである。
【図11】実施形態の会員データを登録・更新する会員管理部170の処理手順を示すフローチャートである。
【図12】実施形態のフィルタリング機能部260の処理手順を示すフローチャートである。
【図13】実施形態のフィルタリング機能部260の処理手順に従って表示画面の遷移を示す図である。
【図14】実施形態のワイヤレス環境におけるネットワークアクセス管理システムの構成図である。
【図15】電波の方向と受信側の電力密度分布及び指向性解析の方法を説明する図である。
【図16】実施形態の受信シグナルを管理するテーブルのデータ構成を示す図である。
【図17】実施形態の指向性解析結果を管理するテーブルのデータ構成を示す図である。
【図18】実施形態の制約条件を記憶するテーブルのデータ構成を示す図である。
【図19】実施形態の指向性解析部210の処理の流れを示すフローチャートである。
【図20】実施形態の指向性解析部210の処理の流れを示すフローチャート(続き)である。
【図21】実施形態の指向性解析部210の処理の流れを示すフローチャート(続き)である。
【図22】多重化されたデータブロックが、フィルター装置を通過する事により、分解されそれぞれのチャネルに分けられる所を示した図である。
【発明を実施するための形態】
【0010】
本発明は、ネットワークの高速伝送時の多重化技術である、フィルタリング技術とそのフィルタリングの選定を行うアルゴリズムを改良して、また、そのフィルタリングの選定を行うアルゴリズムを、ワイヤレス環境での高速伝送技術である、MIMOチャネルでのタイムゾーンコーディングでの各アンテナの重み付けにも活用する事により、セキュリティーを確保する技術を開発し、利便性が高く、高いセキュリティを保証した、大規模なネットワーク環境を自由にかつ、容易に構築する事を実現する。以下、本発明の実施形態について図面に基づいて詳細に説明する。
【0011】
図1は、本実施形態のフィルタリング技術を用いたネットワークアクセス管理システムの構成図である。システムは、クライアント30、ゲートウェイ70及び主サーバ120から構成される。クライアント30とゲートウェイ70との間は不特定ユーザにオープンなネットワーク55によって接続される。ゲートウェイ70と主サーバ120との間はその外部に対して閉鎖系(クローズ)のネットワーク76によって接続される。
【0012】
主サーバ120は、業務用のアプリケーションプログラムを実行することによってクライアント30に種々のサービスを提供する計算機である。主サーバ120は、その記憶装置上に会員データDB(データベース)100及びゲートウェイ管理テーブル110を保持する。会員データDB100は、各会員の認証情報を格納する。またゲートウェイ管理テーブル110は、各会員に対応して会員データの要求のあったゲートウェイ70のIPアドレスを格納する。
【0013】
会員管理部170は、主サーバ120で実行されるプログラムであり、入力される会員データを受け付け、会員データDB100に対して登録・更新をする。また会員データの更新に伴い、ゲートウェイ管理テーブル110に登録されたゲートウェイ70へ更新された会員データをダウンロードする。また会員管理部170は、ゲートウェイ70からの会員データの要求に応答して会員データDB100を検索し、該当する会員データを要求元のゲートウェイ70へ送信する。
【0014】
クライアント30は、会員あるいはユーザごとに所有されるパーソナルコンピュータのような計算機であり、アクセス制御部200、クライアント部35及びICカードリーダ40より構成される。
【0015】
アクセス制御部200は、物理レイヤに属し、フィルタリング部10を有する。フィルタリング部10は、通信先ごとにフィルタ20を有する。フィルタ20は、ネットワーク55を介して受信する信号の中から通信先ユーザ特有の信号を他ユーザからの信号から識別して受信するハードウェアである。またアクセス制御部200は、ICカードから入力されたログイン情報とクライアント30のキーボード等の入力装置から入力されたログイン情報とを付き合わせる個人認証を行い、認証OKとなったログイン要求をゲートウェイ70へ送信する。
【0016】
クライアント部35は、入力装置から入力されたデータを、アクセス制御部200を介してゲートウェイ70および主サーバ120へ送信し、ゲートウェイ70および主サーバ120から受信したデータを表示装置上に表示する。ICカードリーダ40は、ICカード50上の情報をクライアント部35及びアクセス制御部200に入力する装置である。なお一般にクライアント30は複数台存在し、クライアント30どうしを接続する構成も可能である。
【0017】
ゲートウェイ70は、クライアント30と主サーバ120との間に介在し、ゲートウェイ機能とアクセス制御機能を有する計算機である。ゲートウェイ70は、アクセス制御部190及びゲートウェイ部75より構成される。
【0018】
アクセス制御部190は、物理レイヤに属し、フィルタリング部10を有する。フィルタリング部10は、通信先ごとに上述のフィルタ20を有する。またアクセス制御部190はフィルタ管理テーブル60を有する。フィルタ管理テーブル60は、各フィルタ20に対応してフィルタ管理情報を保持する。各フィルタ管理情報は、主サーバ120へのアクセスの可・不可を制御するフラグを有する。
【0019】
ゲートウェイ部75は、ゲートウェイ機能を有し、その記憶装置上に会員データDB90を有する。会員データDB90は、主サーバ120からダウンロードされた会員データを保持する。ゲートウェイ部75は、会員認証部240を有する。会員認証部240は、アプリケーションレイヤに属し、ゲートウェイ70によって実行されるプログラムである。
【0020】
アクセス制御部190は、ネットワーク55を介してクライアント30からログイン要求及びその他のアクセス要求を受信し、通過したフィルタ20に対応するフィルタ管理テーブル60内のフィルタ管理情報を参照し、そのアクセス可・不可フラグが可であれば、主サーバ120へのアクセスを許可する。
【0021】
ただしそのアクセス可・不可フラグが最新に更新されたものでなければ、会員認証部240は、受信した会員の証書情報と会員データDB90に登録された会員データ中の証書情報とを付き合わせる個人認証を行い、認証OKとなったとき、アクセス可・不可フラグを可に更新し、主サーバ120へのアクセスを許可する。認証NGの場合には、アクセス可・不可フラグを不可に更新する。アクセス不可の状態におけるアクセス要求については、アクセスを拒否し、関数によりそのデータに該当するフィルタ20が求められても、その該当するフィルタ20を割り当てない。
【0022】
会員データDB90上に該当する会員データがないとき、会員認証部240は、主サーバ120に要求し取得する。なお一般に1つの主サーバ120に対して複数台のゲートウェイ70が存在する。すなわち主サーバ120は会員管理を行うが、会員認証処理は主サーバ120から離れ、複数のゲートウェイ70によって分散して行われることになる。これは、データが送信されるチャネルを特定できるフィルタリング技術を用いてネットワークアクセス管理方法を実現することにより、可能となっている。
【0023】
図2は、主サーバ120、ゲートウェイ70及びクライアント30がもつ機能の階層を示す図である。主サーバ120は、上述の会員管理部170の他にネットワーク76を介して主サーバ120に接続されるゲートウェイ70を管理するためのゲートウェイ管理部180を有する。
【0024】
なお、クライアント30に種々のサービスを提供するアプリケーションプログラムの図示は省略されている。つまり、本システムは、ネットワーク上のゲートウェイ上で、認証作業まで実施するため、通常アプリケーションで求められる、会員管理の認証機能は必要ない所に、大きな特徴がある。
【0025】
ゲートウェイ70のアクセス制御部190は、上述のアクセス制御を行うフィルタリング制御部220を有する。フィルタリング制御部220は、ゲートウェイ70によって実行されるプログラムである。またネットワーク55がワイヤレス環境(無線ネットワーク)の場合には、指向性解析部210を有する。指向性解析部210は、無線伝送される電波を複数アンテナで受信する場合のアンテナの指向性を解析するためのプログラムである。
【0026】
ゲートウェイ部75は、上述の会員認証部240の他に周知のゲートウェイ機能部250を有する。
【0027】
またクライアント30のアクセス制御部200は、上述の個人認証を行うフィルタリング機能部260を有する。ICカード入力部270は、ICカードリーダ40を介してICカード情報を入力するプログラムである。本実施形態では、ICカードによる認証を行っているが、認証に用いられるのは、ICカードに限らない事は言うまでもない事である。またネットワーク55がワイヤレス環境の場合には、上述の指向性解析部210を有する。クライアント部35は、ユーザに対してグラフィカル・ユーザ・インタフェースを提供するためのメッセージ入出力部280を有する。
【0028】
図3は、フィルタ管理テーブル60のデータ構成を示す図である。フィルタ管理テーブル60は、各フィルタ20に対応してフィルタ管理情報290−1,290−2,…を保持する。各フィルタ管理情報290は、ICカード識別情報320、証書情報330、会員ID340、ログインID350、パスワード360、アクセス可・不可フラグ370、アクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390及びアクセス可・不可フラグ更新ステータス400の各データ項目を保持する。
【0029】
証書情報330及び会員ID340は、会員認証(会員の個人認証)のときチェックの対象とされる情報である。証書情報330は、いわゆる電子証明書の情報である。アクセス可・不可フラグ370は、会員認証がOKかNGかに応じてアクセス可か不可に設定されるフラグである。アクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390は、アクセス可・不可フラグ370が更新された日時を設定する。
【0030】
アクセス可・不可フラグ更新ステータス400は、アクセス可・不可フラグ370、アクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が設定又は更新されたか否かを示すフラグである。所定時間が経過してもアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が更新されないとき、アクセス可・不可フラグ更新ステータス400が自動的に更新済から更新未済に変更される。
【0031】
図4は、会員データDB90のデータ構成を示す図である。会員データDB90の各会員データは、会員IDハッシュ値410、ICカード識別情報420、証書情報430、会員ID440、会員データ受信日付450及び会員データ受信時刻460の各データ項目を保持する。証書情報430及び会員ID440は、会員認証のときチェックの対象とされる情報である。会員データ受信日付450及び会員データ受信時刻460は、主サーバ120からの会員データを受信し、当該会員データを設定又は更新した日時である。
【0032】
図5は、ICカード50に格納されるデータの構成を示す図である。ICカード50内データは、ICカード識別情報470、証書情報480、会員ID490、ログインID500及びパスワード510の各データ項目より成る。
【0033】
図6は、ゲートウェイ管理テーブル110のデータ構成を示す図である。ゲートウェイ管理テーブル110は、各会員IDハッシュ値520に対応して同一の会員IDハッシュ値520をもつ少なくとも1つの会員管理情報530を配列するデータ形式である。各会員管理情報530は、会員ID560、会員データ更新日時570、会員データ更新時刻580及び少なくとも1つの会員データ送付ゲートウェイIPアドレス590の各データ項目から構成される。会員ID560は会員データに含まれる会員IDである。会員データ更新日時570及び会員データ更新時刻580は、会員データDB100中の該当する会員データが更新された日時を設定する。会員データ送付ゲートウェイIPアドレス590は、当該会員の会員データを送信したゲートウェイ70のIPアドレスである。
【0034】
図7は、会員データDB100のデータ構成を示す図である。会員データDB100の各会員データは、会員IDハッシュ値610、ICカード識別情報620、証書情報630、会員ID640、会員付加情報650、会員データ受信日付660及び会員データ受信時刻670の各データ項目を保持する。会員IDハッシュ値610から会員ID640までは、それぞれ会員データDB90の会員IDハッシュ値410から会員ID440までと同一のデータ項目である。会員付加情報650は、主サーバ120において使用可能なアプリケーションプログラムなど業務処理上の付加情報である。会員データ受信日付660及び会員データ受信時刻670は、当該会員データを登録又は更新した日時を示す。
【0035】
図8は、ゲートウェイ70のフィルタリング制御部220の処理手順を示すフローチャートである。フィルタリング制御部220は、ネットワーク55及び特定のフィルタ20を介してクライアント30からアクセス要求を受信する(ステップ680)。アクセス要求は、ログイン要求かその他のデータ受信のいずれかである。ログイン要求の場合にはICカード情報を付帯している。またその他のデータ受信の場合には、データの先頭にICカード識別情報が付加されている。なおワイヤレス環境では、後述する指向性解析を行ってからフィルタリングを経てフィルタリング制御部220の処理に移る。
【0036】
次にフィルタリング制御部220は、ICカード識別情報に基づいてフィルタ管理テーブル60を検索する(ステップ685)。フィルタ管理テーブル60に該当するICカード識別情報がない場合には(ステップ690:NO)、当該ICカード識別情報320をもつフィルタ管理情報290のレコードを生成する(ステップ700)。このレコードは、ICカード識別情報320以外空欄となっている。
【0037】
次にフィルタリング制御部220は、ログイン要求の場合に当該フィルタ管理情報290にICカード識別情報を設定する(ステップ710)。すなわち証書情報480、会員ID490、ログインID500及びパスワード510を各々当該フィルタ管理情報290の証書情報330、会員ID340、ログインID350及びパスワード360に設定する。ログイン要求でなければ、ステップ710をスキップする。
【0038】
次に当該フィルタ管理情報290のアクセス可・不可フラグ更新ステータス400を参照する(ステップ715)。アクセス可・不可フラグ更新ステータス400の更新ステータスが更新済でなければ(ステップ720:NO)、当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報(370〜400)をもって会員認証部240のA(ステップ740)へ行く。
【0039】
アクセス可・不可フラグ更新ステータス400の更新ステータスが更新済であれば(ステップ720:YES)、会員認証部240へICカード識別情報320を渡し会員データDB90の検索を要求する。会員認証部240は、該当するレコードを検索し、その結果の会員データの有無と会員データがあればその内容をアクセス制御部220に通知する(ステップ725)。
【0040】
会員データがなければ(ステップ726:NO)、エラー事由をもって会員認証部240のC(ステップ785)へ行く。会員データがあれば(ステップ726:YES)、当該フィルタ管理情報290のアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が会員データDB90の会員データ受信日付450及び会員データ受信時刻460より新しいか否かを判定する(ステップ730)。前者が後者より新しくなければ、当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報(370〜400)をもって会員認証部240のA(ステップ740)へ行く。前者が後者より新しければ、当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報(370〜400)をもって会員認証部240のB(ステップ780)へ行く。
【0041】
図9は、ゲートウェイ70の会員認証部240の処理手順を示すフローチャートである。会員認証部240は、受け取ったICカード識別情報に基づいて会員データDB90を検索する。会員データDB90に該当する会員データがあれば(ステップ740:YES)、ステップ770へ行く。会員データDB90に該当する会員データがなければ(ステップ740:NO)、ネットワーク76を介して主サーバ120の会員管理部170へICカード識別情報及び会員IDを伴った会員データ送信要求を送信し、その結果を受信し、会員データDB90に格納する(ステップ750)。会員データ受信日付450及び会員データ受信時刻460には現在の日付・時刻を設定する。会員データDB90に会員データが存在しなければ(ステップ760:NO)、ステップ785(C)へ行く。会員データがあれば、ステップ770へ行く。
【0042】
次に会員認証部240は、該当するICカード情報から得られた会員ID340、証書情報330と主サーバ90の当該会員データの会員ID440、証書情報430とをそれぞれ比較する。両者が各々一致すれば、会員認証OKと判定し(ステップ770:YES)、当該フィルタ管理情報290のアクセス可・不可フラグ370をアクセス可に設定し、アクセス可・不可フラグ更新日付380、アクセス可・不可フラグ更新時刻390に現在の日付・時刻を設定し、アクセス可・不可フラグ更新ステータス400を更新済に設定するようフィルタリング制御部220へ当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報を返す(ステップ805)。フィルタリング制御部220は、フィルタ管理テーブル60にアクセスし、当該フィルタ管理情報290についてこれらの設定を行う。次にアクセス要求のログイン情報又はデータを主サーバ120へ送り、業務を開始又は続行する(ステップ810)。これによってクライアント30からのアクセス要求がゲートウェイ70によって認証され、主サーバ120のアプリケーションプログラムに到達したことになる。
【0043】
一方、会員認証がNGであれば(ステップ770:NO)、フィルタリング制御部220に通知し、フィルタリング制御部220が当該アクセス要求信号を取り込んだフィルタ20を消滅させるか又はその生成を停止させる(ステップ785)。次に会員認証部240は、当該フィルタ管理情報290のアクセス可・不可フラグ370をアクセス不可に設定し、アクセス可・不可フラグ更新日付380、アクセス可・不可フラグ更新時刻390に現在の日付・時刻を設定し、アクセス可・不可フラグ更新ステータス400を更新済に設定するようフィルタリング制御部220へ当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報を返す(ステップ790)。フィルタリング制御部220は、フィルタ管理テーブル60にアクセスし、当該フィルタ管理情報290についてこれらの設定を行う。次にクライアント30へアクセスができない旨のエラーメッセージを送付し(ステップ800)、処理を終了する。
【0044】
またフィルタリング制御部220のステップ730:YESから会員認証部240へ制御が渡されたとき(B)、当該フィルタ管理情報290のアクセス可・不可フラグ370がアクセス可であれば(ステップ780:YES)、ステップ805へ行く。当該フィルタ管理情報290のアクセス可・不可フラグ370がアクセス不可であれば(ステップ780:NO)、ステップ785へ行く。
【0045】
フィルタリング制御部220は、フィルタ管理テーブル60の各フィルタ管理情報290のアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390を監視する。所定時間が経過してもフィルタ管理情報290のアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が更新されないことを検出したとき、すなわちアクセス要求がないために当該フィルタ管理情報290に対応するフィルタ20が使用されないとき、そのフィルタ管理情報290のアクセス可・不可フラグ更新ステータス400を更新済から更新未済に変更し、該当するフィルタ20を消滅させる。従ってこの会員に対してそれ以後にアクセス要求があったとき、再度会員認証処理を経由することになる。
【0046】
図10は、会員データ送信要求に応答する主サーバ120の会員管理部170の処理手順を示すフローチャートである。会員管理部170は、ゲートウェイ70から会員データ送信要求を受信する(ステップ820)。次に会員IDに基づいてゲートウェイ管理テーブル110を検索し、該当する会員管理情報530の会員データ送付ゲートウェイIPアドレス590に要求元のゲートウェイのIPアドレスをセットする(ステップ830)。すでに同一IPアドレスがセットされていればこの処理をスキップする。また該当する会員管理情報530が存在しなければ、会員IDからハッシュ値を求め、その会員IDハッシュ値520に対応して会員管理情報530を生成し、会員ID560及び要求元のゲートウェイ70のIPアドレスを設定する。
【0047】
次に会員管理部170は、ICカード識別情報及び会員IDに基づいて会員データDB100を検索する(ステップ840)。該当する会員データがなければ(ステップ850:NO)、ゲートウェイ70へエラーメッセージを送信する(ステップ860)。該当する会員データがあれば(ステップ850:YES)、該当する会員データを要求元のゲートウェイ70へ送信する(ステップ870)。
【0048】
図11は、会員データを登録・更新する会員管理部170の処理手順を示すフローチャートである。会員管理部170は、主サーバ120に付属する入出力装置から会員データ、すなわち会員ID、証書情報及び会員付加情報の入力を受け付けると(ステップ875)、受領した会員データにより会員データDB100の登録・更新を行う(ステップ880)。会員データDB100に当該会員IDをもつ会員データが見当たらなければ、新規レコードを作成し、証書情報630、会員ID640及び会員付加情報650を設定する。該当する会員データがあれば、その証書情報630、会員ID640及び会員付加情報650を更新する。いずれの場合も会員データ受信日付660及び会員データ受信時刻670を現在の日付・時刻に設定又は更新する。
【0049】
次に会員管理部170は、会員IDよりそのハッシュ値を求める(ステップ890)。ハッシュ値の例としては、会員IDを16進数に変換し、この16進数をm(mは0<m<16の定数)で割り、その商をハッシュ値とするなどの計算手順による。次にハッシュ値及び会員IDに基づいてゲートウェイ管理テーブル110の会員管理情報530を検索する(ステップ900)。該当する会員管理情報530があれば(ステップ910:YES)、その会員データ更新日付570及び会員データ更新時刻580を会員データ受信日付660及び会員データ受信時刻670に更新する(ステップ920)。次にその会員管理情報530に会員データ送付ゲートウェイIPアドレス590として登録されているすべてのゲートウェイ70へ当該会員の会員データをダウンロードする(ステップ930)。ゲートウェイ70の会員認証部240は、この会員データを受信し、会員IDハッシュ値410、ICカード識別情報420及び会員ID440に基づいて会員データDB90を検索し、該当する会員データの証書情報430を更新し、会員データ受信日付450及び会員データ受信時刻460を現在日時に更新する。
【0050】
該当する会員管理情報530がなければ(ステップ910:NO)、会員管理部170は、ゲートウェイ管理テーブル110に新規の会員管理情報530を登録する(ステップ940)。ゲートウェイ管理テーブル110中にステップ890で求めたものと同一の会員IDハッシュ値520が登録されていれば、対応する会員管理情報530群の最後に新たな会員管理情報530の領域を確保し、会員ID560、会員データ更新日付570及び会員データ更新時刻580を設定する。会員データ更新日付570及び会員データ更新時刻580は、会員データ受信日付660及び会員データ受信時刻670を設定する。ここで当該会員データについてICカード識別情報を確定する。ICカード識別情報は、会員IDハッシュ値520にシノニム番号を付加したものである。シノニム番号は、同一会員IDハッシュ値520について付加する1から始まる連続番号であり、会員管理情報530−mのmに一致する。次に会員データDB100の当該会員データについて会員IDハッシュ値610及びICカード識別情報620を設定する(ステップ945)。
【0051】
図12は、クライアント30のフィルタリング機能部260の処理の流れを示すフローチャートである。フィルタリング機能部260は、ICカードリーダ40及びICカード入力部270を介して入力されたICカード情報を受け付ける(ステップ950)。またキーボード等の入力装置及びメッセージ入出力部280を介して入力されたログインIDとパスワードを受け付ける(ステップ960)。
【0052】
次に入力されたログイン情報とICカード情報とを比較してユーザの認証を行う(ステップ970)。認証OKであれば(ステップ980:YES)、ゲートウェイ70へICカード情報を伴うアクセス要求を送信する(ステップ1000)。このときクライアント30とゲートウェイ70との通信により、クライアント30側のフィルタ20が生成される。次にフィルタリング機能部260は、ゲートウェイ70又は主サーバ120から正しい応答を受信したか否か判定する(ステップ1010)。正しい応答であれば、メッセージ入出力部280を介して正常のメッセージを表示する(ステップ1020)。認証NGの場合(ステップ980:NO)及びエラーメッセージを受信したとき(ステップ1010:NO)には、メッセージ入出力部280を介してエラーメッセージを表示する(ステップ990)。
【0053】
図13は、フィルタリング機能部260の処理の進行に従ってクライアント30の表示画面の変遷を示す図である。画面1030は、業務開始画面であり、ICカード50の挿入を要求するメッセージが表示される。画面1050は、ログイン情報入力画面であり、ユーザにログインIDとパスワードの入力を要求する画面である。画面1060は、認証を実行していることを表示している画面である。認証OKであれば、主サーバ120から送られる業務画面1070が表示される。認証NGであれば、最初の業務開始画面に戻り、画面1080によりエラーメッセージを表示する。
【0054】
以上述べたように本実施形態のネットワークアクセス管理システムによれば、アプリケーションレイヤで行う会員認証がNGとなれば、物理レイヤに属する該当するフィルタを消滅させる。従って従来技術において物理レイヤのアクセス管理で必要であったネットワーク設計や接続テストを削減することができる。
【0055】
図14は、本実施形態のワイヤレス環境におけるネットワークアクセス管理システムの構成図である。本システムのクライアント30は、アンテナ1100を備え、アクセス制御部200には指向性解析部210が設けられる。またゲートウェイ70は、アンテナ1100を備え、アクセス制御部190には指向性解析部210が設けられる。アンテナ1100は、複数のアンテナから構成され、その出力レベル及び受信信号レベルを増大させる。
【0056】
図22を用いて、フィルタリング技術を簡単に説明する。本実施形態におけるフィルタとは、ユーザからのアクセスを、ユーザ毎に割当てているチャネルを通過させるか否かを定めるものである。例えば、図22においては、時間軸(横軸)においてch1(チャネル1)、ch2、ch3の各々のチャネルに対する正当なユーザからのアクセスを通過させる。正当なユーザ以外からのアクセスは通過させない。このアクセスを通過させなくすることを、本実施形態ではフィルタを消滅させると呼んでいる。図22は時分割多重の例を示すので横軸が時間軸であるが、周波数多重の場合は横軸を周波数で表す、一般にフィルタと呼ばれる、フィルタとなる。
【0057】
図15は、電波の方向と受信側の電力密度分布及び指向性解析の方法を説明する図である。図15は、クライアント30側のアンテナ1100から電波が四方に放射される様子を示し、その一部が障害物で反射され、ゲートウェイ70側のアンテナ1100には直接波と反射波が到来する様子を示す。1120は、電波の到来方向が分布することによる平均電力密度の到来角分布の様子を示す。到来電波は到来角分布が生じるとともに電波の到着遅れが生じるので、到来角−時間平面をxy平面にとると、電力密度はz軸方向の値となり、その分布状態を等高線で示すことができる。
【0058】
本実施形態の指向性解析方向は、非線形計画法を用いるものであり、各アンテナの受信信号レベルに重み付けした全体の電力密度を目的関数とし、到来角分布の制約条件の下にこの目的関数の値が一番大きくなるような重み付けの最適値を探索するものである。
【0059】
以下、指向性解析の概略について具体例を用いて述べる。到来角−時間平面上に制約条件を満たす点、例えば点a,b,cをとり、点a,b,cでの電力密度値を求める。次に、その電力密度値の値が一番大きくなる点、点bを除く2個の点点aと点cの中点を点Aとし、目的関数の値が一番小さい点、点aを除く2個の点、点bと点cの中点を点Bとする。
【0060】
点A,Bを結ぶ直線上で点Bより点Aと反対の位置に等距離だけ離れた点と、点A、点Bで電力密度値について2次補間を行い、電力密度値が最も大きくなる点を点Cとする。点Cと点aと入れ換え、点aの電力密度値がそれ以上向上しなくなるまで探索を続ける。この結果、点A,B,Cが微小領域に収束すれば、解析結果が求められる。点A,B,Cが収束しなければ、点Aと点Bを結ぶ直線に対して既存の点bを含む領域のみを探索の対象とするように新しい制約条件を設定して探索を続ける。このように探索領域が電力密度分布の山と山の間の谷間に落ち込んで収束しない状態から自動的に脱出して最適値の探索を継続できる。
【0061】
次に、一度求めた解析結果が初めの制約条件だけで設定させる領域でも、同じ解析結果となる事の検証を行う。上記の解析結果を求める為に、初めに設定した起点と解析結果で得られた探索の最終到達点を結び、最終到達点を中心として、時計周りに、上記起点を90度回転させる。そして得られた点を起点として、上記探索の処理を実施する。上記処理は、前回求めた電力密度値が、今回求めた電力密度値より大きいか等しくなるまで行う。
【0062】
図16は、各クライアント30について受信シグナルを管理するテーブルのデータ構成を示す図である。指向性解析部210は、メモリ上にこの管理テーブルを保持する。受信シグナルレベルスタック情報1140−1,2,…は、当該クライアント30から受信した受信シグナルレベル、すなわちアンテナ1100が受信した信号の電力密度を受信時刻に従って時系列に配列して保持するものである。各受信シグナルレベルスタック情報1140は、ICカード識別情報1170、受信日1180、受信時刻1190及びアンテナ受信シグナルレベル1200の各項目から成る。ここでアンテナは1,2,…LのL個あるものとする。ICカード識別情報1170は、ICカード識別情報320,420,470,620と同じデータ形式をもつ。
【0063】
図17は、各クライアント30について指向性解析結果を管理するテーブルのデータ構成を示す図である。指向性解析部210は、メモリ上にこの管理テーブルを保持する。指向性解析結果スタック情報1230−1,2,…は、当該クライアント30についての指向性解析結果を解析日時に従って時系列に配列して保持するものである。各指向性解析結果スタック情報1230は、ICカード識別情報1260、解析完了日1270、解析完了時刻1280、アンテナの係数1290及びアンテナのノイズ1300の各項目から成る。各アンテナの係数は、そのアンテナの電力密度に掛ける重みを示す。ICカード識別情報1260は、ICカード識別情報1170と同じである。アンテナのノイズ1300としては、各アンテナについて実測の電力密度とアンテナの係数1290に基づいて計算した電力密度値との間の誤差が設定される。
【0064】
図18は、本指向性解析で用いる制約条件を記憶するテーブルのデータ形式を示す図である。この制約条件テーブルは、1回のシグナル受信についての制約条件を示すものであり、受信時刻に従って時系列に配列して保持される。各制約条件テーブルは、ICカード識別情報1560、受信日1570、受信時刻1580、連番1590及び制約条件パラメータ1600−1,2,…mの各項目から成る。ICカード識別情報1560は、ICカード識別情報1170と同じである。受信日1570及び受信時刻1580は、各々受信日1180及び受信時刻1190に対応している。連番1590は、1から始まる連続番号であり、同一受信日時についての複数の制約条件テーブルを識別する番号である。そのシグナル受信について新しく制約条件を加えるごとにその受信日時について制約条件テーブルを追加する。制約条件は、1回の探索について有効である。
【0065】
図19〜図21は、指向性解析部210の処理の流れを示すフローチャートである。指向性解析部210は、ランダム関数を使用して到来角分布の制約条件を満足する任意の起点を到来角−時間平面上に決定する(ステップ1350)。次にランダム関数を使用してn個の点を同平面上に決める(ステップ1360)。nは目的関数の変数の数と同じである。
【0066】
ここでmは2,3,…n+1を表す変数とする。1番目の変数が起点に対応するものとし、m番目の変数が上記n個の点の各々に対応するものとする。m番目の点が制約条件を満たすならば(ステップ1370:YES)、ステップ1400へ行く。制約条件の計算には受信シグナル管理テーブルのデータを使用する。制約条件のパラメータとして制約条件テーブルの値を参照する。制約条件を満たさなければ(ステップ1370:NO)、1からm−1までの点の中点とm番目の点の距離が微小量である所定値未満か否か判定する(ステップ1380)。m=2の場合には、1からm−1までの点の中点は起点自体であるので起点と2番目の点との距離を所定値と比較することになる。m=3の場合には起点と2番目の点との中点と3番目の点の距離を比較することになる。m=4の場合には1,2,3番目の点の中点と4番目の点の距離を比較することになる。複数の点の中点とは、各点の位置を示すベクトル値の平均値となる。所定値未満であれば、1からm−1までの点の中点をm番目の点とし(ステップ1390)、ステップ1400へ行く。m=2の場合には中点は起点自体であるから、m=2番目の点は常に制約条件を満足することになる。所定値以上であれば、1からm−1までの点の中点とm番目の点との中点を新しいm番目の点とし(ステップ1420)、ステップ1370へ戻る。
【0067】
次にn+1個全ての点が制約条件を満たすか否か判定する(ステップ1400)。起点とした点はすでに制約条件を満足しているから除外される。ステップ1370のテストが済んでいない点があれば、そのような点を1つ選んでステップ1370に戻る。n+1個全ての点が制約条件を満たすならば(ステップ1400:YES)、目的関数によりn+1個の点を評価する(ステップ1410)。目的関数の計算には受信シグナル管理テーブルのデータを使用する。次に図20のステップ1460へ行く。
【0068】
次に図20に移り、指向性解析部210は、最良点bを除くn個の点の中点を点A、最悪点aを除くn個の点の中点を点Bとする(ステップ1460)。ここで最良点とは、目的関数の値がn+1個の点の中で最大の点であり、最悪点とは、その逆で目的関数の値がn+1個の点の中で最小の点である。すなわち最良点bとは、n+1個の点で最も平均電力密度の高い点であり、最悪点aとは、n+1個の点で最も平均電力密度の低い点である。次に点Aと点Bを結ぶ直線上で、点A,B間と等距離で点Bより点Aと反対の位置にある点Dと、点A、点Bで1回の2次補間を行い、その最適値を点Cとする(ステップ1470)。すなわち点D、点A、点Bにおける各電力密度値の3点を通過する上に凸の2次曲線を求め、電力密度値が極大となるような点が点Cである。
【0069】
次に指向性解析部210は、点Cが制約条件を満足するか否か判定する(ステップ1480)。満足しなければ、点Bと点Cの中点を新しい点Cとする(ステップ1490)。次に点Bと点Cの距離が微小量である所定値未満か否か判定する(ステップ1500)。所定値未満でなければ、ステップ1480へ戻る。所定値未満であれば、点Bを点Cとし(ステップ1510)、ステップ1480へ戻る。なお点Bは常に制約条件を満足している。
【0070】
点Cが制約条件を満足すれば(ステップ1480:YES)、指向性解析部210は、点Cに対して最急勾配法による1つの近似値を求め、この点をn+1点中の最悪点aと入れ換える(ステップ1520)。次に目的関数により新しい点aを評価する(ステップ1530)。旧点aより新しい点aの値が良ければ(ステップ1540:YES)、ステップ1460へ戻る。旧点aより新しい点aの値が悪ければ(ステップ1540:NO)、A,B,Cすべての点間の距離が微小量である所定値未満であれば(ステップ1550:YES)、探索点が微小な領域内に収束したのであるから、最良点を最適値として処理を完了する。次に、この探索が、1回目の時は(ステップ1560:NO)、はじめの起点と探索結果を結び、探索結果の点を中心にして、はじめの起点を時計回りに90度回転させた点を、再度探索の為の起点として、全ての制約条件を満足する点まで、求めた起点の距離の1/2にちじめて、再度検索を開始する起点を作成して(ステップ1580)、(ステップ1360)へ行く。次に、この探索が、2回目以上の時は(ステップ1560:YES)、今回の探索結果と前回の探索結果の点を比較して、同じ点にかさなるか、値が前回探索した結果より、値が悪ければ(ステップ1570:YES)、前回の探索により目的関数の最良点が求められた物として探索を完了する。今回の探索結果と前回の探索結果の点を比較して、前回探索した結果より、値が悪ければ(ステップ1570:NO)、はじめの起点と探索結果を結び、探索結果の点を中心にして、はじめの起点を時計回りに90度回転させた点を、再度探索の為の起点として、全ての制約条件を満足する点まで、求めた起点の距離の1/2に縮めて、再度検索を開始する起点を作成して(ステップ1580)、(ステップ1360)へ行く。以上ステップ1460から1580までの処理は、拡張コンプレックス法と最急勾配法を組み合わせて適用し、尚且つ自律型で、探索結果を評価する探索方法を用いている。ここで求められた各アンテナの係数を指向性解析結果の管理テーブルに格納する。アクセス制御部190は、このテーブルの値を使ってクライアント30からの信号を受信する。すべての点の距離が所定値以上であれば(ステップ1550:NO)、図21のステップ1430へ行く。
【0071】
図21は、点A,B,Cが収束しない場合の追加処理の流れを示すフローチャートである。指向性解析部210は、まず点Aと点Bを結ぶ直線を目的関数の制約条件に加える(ステップ1430)。次に点Aと点Bを結ぶ直線に対して、既存の最良点を含む領域のみを探索の対象にするように探索範囲を狭くする新しい制約条件を設定する(ステップ1440)。ここで対象とする受信日時について制約条件テーブルにこの制約条件のパラメータを追加する。次に既存の最良点を再度起点として設定し(ステップ1450)、ステップ1350へ戻る。
【0072】
本実施形態の指向性解析部210によれば、ゲートウェイ70をアクセスするクライアント30の位置を求めるための探索回数を大幅に削減することができ、処理時間を大幅に短縮することが可能になるという効果が得られる。また従来は指向性の解析ができないケースが発生するのに対し、指向性の解析結果が求まるまで探索が自動的に再実行されることにより、精度の高い指向性の解析が行える。
【0073】
なお上記実施形態は、本発明の一例を示したものであり、本発明はこれに限定されるべきものではないことは言うまでもないことである。例えばASP(アプリケーション・サービスプロバイダー)が会員・課金の基本サービスを自社オフィス内に構築し、業務サービスをIDC(インターネット・データ・センタ)内に構築した場合に、上記2つのサービスで使用するサーバを接続する場合に、上記内容の適用も含まれるものである。また上記実施形態ではフィルタリング制御部220をゲートウェイ70に持たせたが、フィルタ管理テーブル60を保持するアクセス制御部190をクライアント30に実装し、クライアント30とゲートウェイ70の中継装置として使用してもよい。この場合は、クライアント30とゲートウェイ70との間にもう一つのクライアントが設置される形態となり、高いセキュリティを確保しながらより低価格のワイヤレスネットワーク環境を実現できる。
【符号の説明】
【0074】
20:フィルタ、30:クライアント、60:フィルタ管理テーブル、70:ゲートウェイ、90:会員データDB、100:会員データDB、110:ゲートウェイ管理テーブル、120:主サーバ、170:会員管理部、190:アクセス制御部、210:指向性解析部、220:フィルタリング制御部、240:会員認証部。
【技術分野】
【0001】
本発明は、フィルタリング技術を用いたネットワークアクセス管理技術とそのアクセス管理が妥当である事を事前評価する技術に関する。
【背景技術】
【0002】
ネットワークのセキュリティーを確保する為に、データを暗号化したり、ファイヤーウォールを設置したり、証書によりネットワークを送受信するデータの改竄防止を行うなど、ソフトウェアーの設定をネットワーク環境に合わせて個別に実施する事でセキュリティー対策を実施する事が主流となっている。その為、従来の技術では、利便性が高く、高いセキュリティを保証した、ネットワーク環境を自由に容易に構築する事は難しかった。
【0003】
また、特開2001−203690号公報(特許文献1)は、運用を制限する事により、ネットワーク環境をパターン化して、ネットワークの専門知識を持っていない事務担当者や管理者が広域ネットワークの設定や管理を行うことのできるネットワーク技術を開示する。特許文献1は、TA(ターミナルアダプタ)やルータで区切られたネットワークの範囲を管理単位(セグメント)として、各セグメントにネットワーク情報(NIF)及びネットワークアクセス情報を管理するセグメントマスクと呼ぶサーバーを1台設置する。NIFにはマシン台数分のレコードが登録されており、発信側のマシン装置はアプリケーション実行時にNIFを見て着信側のネットワークに接続されているマシンを認識することができる。またNIFには相手マシンと接続するときに必要なIPアドレスやそのマシン独自の情報が登録されており、ネットワークアクセス情報によりNIFの取得制限を行って相手マシンとの接続を制限する。つまり特許文献1は、接続先のIPアドレスや接続プロトコルにより、ネットワークのアクセス管理を行うものである。
【0004】
それに対して、データ伝送の高速化技術として、フィルタリング技術が、提案されている。これは、伝送されるデータをブロック化して、そのブロックを構成する各ビットに関数を用いて異なる減衰率を変えて、データを送り、変更した減衰率の関数に対応して、ブロック化したデータを振り分ける事により、1つのネットワーク回線にデータを多重化して伝送する技術である。この技術を実現しているのは、受け取ったブロックの各ビットに与えた関数を求めるのに、非線形計画法を用いており、入力したブロックの減衰状況を入力すれば、対応する関数は一意に決まる特性を用いている。しかし、この非線形計画法には、増幅するビットの値は、1以上にならないという制約があるため、最適な関数が求められないで、送られたデータがノイズとなる場合があった。また、特開2008−301504号公報(特許文献2)では、認証を含む高いセキュリティが要求される大規模なネットワークを構築する事ができなかった。同様に、ワイヤレス環境でのMIMO(Multiple Input Multiple Output)チャネルでのタイムゾーンコードの高速伝送を安定して確保する為に、各アンテナの重み付けを行うアルゴリズムでも、同じ問題が発生していた。
【先行技術文献】
【特許文献】
【0005】
【特許文献1】特開2001−203690号公報
【特許文献2】特開2008−301504号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
特許文献1に開示されている技術は、接続先のIPアドレスや接続プロトコルによりネットワークのアクセス管理を行うものであり、物理レイヤのみのアクセス管理のため、ネットワーク設計や接続テストに多大な工数を要する。一方、特許文献2は、フィルタリング技術を利用してネットワークのアクセス管理を行うものであるが、どちらの技術を活用しても、ネットワークアクセスの最適化を事前に評価し見直す事を、人手を介さずに実施する事ができなかった。
【課題を解決するための手段】
【0007】
本発明は、ユーザからの信号を他のユーザからの信号から識別して受信するユーザごとのフィルタを備える物理レイヤのアクセス制御部と、このフィルタを介して受信したアクセス要求の情報に基づいてユーザの個人認証を行うアプリケーションレイヤのユーザ認証部とを有するシステムのアクセス管理方法であって、ユーザ認証部による個人認証によりアクセス許可と判定する場合には事務処理の手続きに進み、個人認証によりアクセス不可と判定する場合にはアクセス制御部を介して当該ユーザのフィルタを消滅させる。
【発明の効果】
【0008】
本実施形態のネットワークアクセス管理システムによれば、ネットワーク構成の最適化が、事前に評価できる為、従来技術で必要であったネットワーク設計や接続テストの工数を削減できる。
【図面の簡単な説明】
【0009】
【図1】実施形態のネットワークアクセス管理システムの構成図である。
【図2】実施形態のネットワークアクセス管理システムの機能階層を示す図である。
【図3】実施形態のフィルタ管理テーブル60のデータ構成を示す図である。
【図4】実施形態の会員データDB90のデータ構成を示す図である。
【図5】実施形態のICカード50に格納されるデータの構成を示す図である。
【図6】実施形態のゲートウェイ管理テーブル110のデータ構成を示す図である。
【図7】実施形態の会員データDB100のデータ構成を示す図である。
【図8】実施形態のフィルタリング制御部220の処理手順を示すフローチャートである。
【図9】実施形態の会員認証部240の処理手順を示すフローチャートである。
【図10】実施形態の会員データ送信要求に応答する会員管理部170の処理手順を示すフローチャートである。
【図11】実施形態の会員データを登録・更新する会員管理部170の処理手順を示すフローチャートである。
【図12】実施形態のフィルタリング機能部260の処理手順を示すフローチャートである。
【図13】実施形態のフィルタリング機能部260の処理手順に従って表示画面の遷移を示す図である。
【図14】実施形態のワイヤレス環境におけるネットワークアクセス管理システムの構成図である。
【図15】電波の方向と受信側の電力密度分布及び指向性解析の方法を説明する図である。
【図16】実施形態の受信シグナルを管理するテーブルのデータ構成を示す図である。
【図17】実施形態の指向性解析結果を管理するテーブルのデータ構成を示す図である。
【図18】実施形態の制約条件を記憶するテーブルのデータ構成を示す図である。
【図19】実施形態の指向性解析部210の処理の流れを示すフローチャートである。
【図20】実施形態の指向性解析部210の処理の流れを示すフローチャート(続き)である。
【図21】実施形態の指向性解析部210の処理の流れを示すフローチャート(続き)である。
【図22】多重化されたデータブロックが、フィルター装置を通過する事により、分解されそれぞれのチャネルに分けられる所を示した図である。
【発明を実施するための形態】
【0010】
本発明は、ネットワークの高速伝送時の多重化技術である、フィルタリング技術とそのフィルタリングの選定を行うアルゴリズムを改良して、また、そのフィルタリングの選定を行うアルゴリズムを、ワイヤレス環境での高速伝送技術である、MIMOチャネルでのタイムゾーンコーディングでの各アンテナの重み付けにも活用する事により、セキュリティーを確保する技術を開発し、利便性が高く、高いセキュリティを保証した、大規模なネットワーク環境を自由にかつ、容易に構築する事を実現する。以下、本発明の実施形態について図面に基づいて詳細に説明する。
【0011】
図1は、本実施形態のフィルタリング技術を用いたネットワークアクセス管理システムの構成図である。システムは、クライアント30、ゲートウェイ70及び主サーバ120から構成される。クライアント30とゲートウェイ70との間は不特定ユーザにオープンなネットワーク55によって接続される。ゲートウェイ70と主サーバ120との間はその外部に対して閉鎖系(クローズ)のネットワーク76によって接続される。
【0012】
主サーバ120は、業務用のアプリケーションプログラムを実行することによってクライアント30に種々のサービスを提供する計算機である。主サーバ120は、その記憶装置上に会員データDB(データベース)100及びゲートウェイ管理テーブル110を保持する。会員データDB100は、各会員の認証情報を格納する。またゲートウェイ管理テーブル110は、各会員に対応して会員データの要求のあったゲートウェイ70のIPアドレスを格納する。
【0013】
会員管理部170は、主サーバ120で実行されるプログラムであり、入力される会員データを受け付け、会員データDB100に対して登録・更新をする。また会員データの更新に伴い、ゲートウェイ管理テーブル110に登録されたゲートウェイ70へ更新された会員データをダウンロードする。また会員管理部170は、ゲートウェイ70からの会員データの要求に応答して会員データDB100を検索し、該当する会員データを要求元のゲートウェイ70へ送信する。
【0014】
クライアント30は、会員あるいはユーザごとに所有されるパーソナルコンピュータのような計算機であり、アクセス制御部200、クライアント部35及びICカードリーダ40より構成される。
【0015】
アクセス制御部200は、物理レイヤに属し、フィルタリング部10を有する。フィルタリング部10は、通信先ごとにフィルタ20を有する。フィルタ20は、ネットワーク55を介して受信する信号の中から通信先ユーザ特有の信号を他ユーザからの信号から識別して受信するハードウェアである。またアクセス制御部200は、ICカードから入力されたログイン情報とクライアント30のキーボード等の入力装置から入力されたログイン情報とを付き合わせる個人認証を行い、認証OKとなったログイン要求をゲートウェイ70へ送信する。
【0016】
クライアント部35は、入力装置から入力されたデータを、アクセス制御部200を介してゲートウェイ70および主サーバ120へ送信し、ゲートウェイ70および主サーバ120から受信したデータを表示装置上に表示する。ICカードリーダ40は、ICカード50上の情報をクライアント部35及びアクセス制御部200に入力する装置である。なお一般にクライアント30は複数台存在し、クライアント30どうしを接続する構成も可能である。
【0017】
ゲートウェイ70は、クライアント30と主サーバ120との間に介在し、ゲートウェイ機能とアクセス制御機能を有する計算機である。ゲートウェイ70は、アクセス制御部190及びゲートウェイ部75より構成される。
【0018】
アクセス制御部190は、物理レイヤに属し、フィルタリング部10を有する。フィルタリング部10は、通信先ごとに上述のフィルタ20を有する。またアクセス制御部190はフィルタ管理テーブル60を有する。フィルタ管理テーブル60は、各フィルタ20に対応してフィルタ管理情報を保持する。各フィルタ管理情報は、主サーバ120へのアクセスの可・不可を制御するフラグを有する。
【0019】
ゲートウェイ部75は、ゲートウェイ機能を有し、その記憶装置上に会員データDB90を有する。会員データDB90は、主サーバ120からダウンロードされた会員データを保持する。ゲートウェイ部75は、会員認証部240を有する。会員認証部240は、アプリケーションレイヤに属し、ゲートウェイ70によって実行されるプログラムである。
【0020】
アクセス制御部190は、ネットワーク55を介してクライアント30からログイン要求及びその他のアクセス要求を受信し、通過したフィルタ20に対応するフィルタ管理テーブル60内のフィルタ管理情報を参照し、そのアクセス可・不可フラグが可であれば、主サーバ120へのアクセスを許可する。
【0021】
ただしそのアクセス可・不可フラグが最新に更新されたものでなければ、会員認証部240は、受信した会員の証書情報と会員データDB90に登録された会員データ中の証書情報とを付き合わせる個人認証を行い、認証OKとなったとき、アクセス可・不可フラグを可に更新し、主サーバ120へのアクセスを許可する。認証NGの場合には、アクセス可・不可フラグを不可に更新する。アクセス不可の状態におけるアクセス要求については、アクセスを拒否し、関数によりそのデータに該当するフィルタ20が求められても、その該当するフィルタ20を割り当てない。
【0022】
会員データDB90上に該当する会員データがないとき、会員認証部240は、主サーバ120に要求し取得する。なお一般に1つの主サーバ120に対して複数台のゲートウェイ70が存在する。すなわち主サーバ120は会員管理を行うが、会員認証処理は主サーバ120から離れ、複数のゲートウェイ70によって分散して行われることになる。これは、データが送信されるチャネルを特定できるフィルタリング技術を用いてネットワークアクセス管理方法を実現することにより、可能となっている。
【0023】
図2は、主サーバ120、ゲートウェイ70及びクライアント30がもつ機能の階層を示す図である。主サーバ120は、上述の会員管理部170の他にネットワーク76を介して主サーバ120に接続されるゲートウェイ70を管理するためのゲートウェイ管理部180を有する。
【0024】
なお、クライアント30に種々のサービスを提供するアプリケーションプログラムの図示は省略されている。つまり、本システムは、ネットワーク上のゲートウェイ上で、認証作業まで実施するため、通常アプリケーションで求められる、会員管理の認証機能は必要ない所に、大きな特徴がある。
【0025】
ゲートウェイ70のアクセス制御部190は、上述のアクセス制御を行うフィルタリング制御部220を有する。フィルタリング制御部220は、ゲートウェイ70によって実行されるプログラムである。またネットワーク55がワイヤレス環境(無線ネットワーク)の場合には、指向性解析部210を有する。指向性解析部210は、無線伝送される電波を複数アンテナで受信する場合のアンテナの指向性を解析するためのプログラムである。
【0026】
ゲートウェイ部75は、上述の会員認証部240の他に周知のゲートウェイ機能部250を有する。
【0027】
またクライアント30のアクセス制御部200は、上述の個人認証を行うフィルタリング機能部260を有する。ICカード入力部270は、ICカードリーダ40を介してICカード情報を入力するプログラムである。本実施形態では、ICカードによる認証を行っているが、認証に用いられるのは、ICカードに限らない事は言うまでもない事である。またネットワーク55がワイヤレス環境の場合には、上述の指向性解析部210を有する。クライアント部35は、ユーザに対してグラフィカル・ユーザ・インタフェースを提供するためのメッセージ入出力部280を有する。
【0028】
図3は、フィルタ管理テーブル60のデータ構成を示す図である。フィルタ管理テーブル60は、各フィルタ20に対応してフィルタ管理情報290−1,290−2,…を保持する。各フィルタ管理情報290は、ICカード識別情報320、証書情報330、会員ID340、ログインID350、パスワード360、アクセス可・不可フラグ370、アクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390及びアクセス可・不可フラグ更新ステータス400の各データ項目を保持する。
【0029】
証書情報330及び会員ID340は、会員認証(会員の個人認証)のときチェックの対象とされる情報である。証書情報330は、いわゆる電子証明書の情報である。アクセス可・不可フラグ370は、会員認証がOKかNGかに応じてアクセス可か不可に設定されるフラグである。アクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390は、アクセス可・不可フラグ370が更新された日時を設定する。
【0030】
アクセス可・不可フラグ更新ステータス400は、アクセス可・不可フラグ370、アクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が設定又は更新されたか否かを示すフラグである。所定時間が経過してもアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が更新されないとき、アクセス可・不可フラグ更新ステータス400が自動的に更新済から更新未済に変更される。
【0031】
図4は、会員データDB90のデータ構成を示す図である。会員データDB90の各会員データは、会員IDハッシュ値410、ICカード識別情報420、証書情報430、会員ID440、会員データ受信日付450及び会員データ受信時刻460の各データ項目を保持する。証書情報430及び会員ID440は、会員認証のときチェックの対象とされる情報である。会員データ受信日付450及び会員データ受信時刻460は、主サーバ120からの会員データを受信し、当該会員データを設定又は更新した日時である。
【0032】
図5は、ICカード50に格納されるデータの構成を示す図である。ICカード50内データは、ICカード識別情報470、証書情報480、会員ID490、ログインID500及びパスワード510の各データ項目より成る。
【0033】
図6は、ゲートウェイ管理テーブル110のデータ構成を示す図である。ゲートウェイ管理テーブル110は、各会員IDハッシュ値520に対応して同一の会員IDハッシュ値520をもつ少なくとも1つの会員管理情報530を配列するデータ形式である。各会員管理情報530は、会員ID560、会員データ更新日時570、会員データ更新時刻580及び少なくとも1つの会員データ送付ゲートウェイIPアドレス590の各データ項目から構成される。会員ID560は会員データに含まれる会員IDである。会員データ更新日時570及び会員データ更新時刻580は、会員データDB100中の該当する会員データが更新された日時を設定する。会員データ送付ゲートウェイIPアドレス590は、当該会員の会員データを送信したゲートウェイ70のIPアドレスである。
【0034】
図7は、会員データDB100のデータ構成を示す図である。会員データDB100の各会員データは、会員IDハッシュ値610、ICカード識別情報620、証書情報630、会員ID640、会員付加情報650、会員データ受信日付660及び会員データ受信時刻670の各データ項目を保持する。会員IDハッシュ値610から会員ID640までは、それぞれ会員データDB90の会員IDハッシュ値410から会員ID440までと同一のデータ項目である。会員付加情報650は、主サーバ120において使用可能なアプリケーションプログラムなど業務処理上の付加情報である。会員データ受信日付660及び会員データ受信時刻670は、当該会員データを登録又は更新した日時を示す。
【0035】
図8は、ゲートウェイ70のフィルタリング制御部220の処理手順を示すフローチャートである。フィルタリング制御部220は、ネットワーク55及び特定のフィルタ20を介してクライアント30からアクセス要求を受信する(ステップ680)。アクセス要求は、ログイン要求かその他のデータ受信のいずれかである。ログイン要求の場合にはICカード情報を付帯している。またその他のデータ受信の場合には、データの先頭にICカード識別情報が付加されている。なおワイヤレス環境では、後述する指向性解析を行ってからフィルタリングを経てフィルタリング制御部220の処理に移る。
【0036】
次にフィルタリング制御部220は、ICカード識別情報に基づいてフィルタ管理テーブル60を検索する(ステップ685)。フィルタ管理テーブル60に該当するICカード識別情報がない場合には(ステップ690:NO)、当該ICカード識別情報320をもつフィルタ管理情報290のレコードを生成する(ステップ700)。このレコードは、ICカード識別情報320以外空欄となっている。
【0037】
次にフィルタリング制御部220は、ログイン要求の場合に当該フィルタ管理情報290にICカード識別情報を設定する(ステップ710)。すなわち証書情報480、会員ID490、ログインID500及びパスワード510を各々当該フィルタ管理情報290の証書情報330、会員ID340、ログインID350及びパスワード360に設定する。ログイン要求でなければ、ステップ710をスキップする。
【0038】
次に当該フィルタ管理情報290のアクセス可・不可フラグ更新ステータス400を参照する(ステップ715)。アクセス可・不可フラグ更新ステータス400の更新ステータスが更新済でなければ(ステップ720:NO)、当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報(370〜400)をもって会員認証部240のA(ステップ740)へ行く。
【0039】
アクセス可・不可フラグ更新ステータス400の更新ステータスが更新済であれば(ステップ720:YES)、会員認証部240へICカード識別情報320を渡し会員データDB90の検索を要求する。会員認証部240は、該当するレコードを検索し、その結果の会員データの有無と会員データがあればその内容をアクセス制御部220に通知する(ステップ725)。
【0040】
会員データがなければ(ステップ726:NO)、エラー事由をもって会員認証部240のC(ステップ785)へ行く。会員データがあれば(ステップ726:YES)、当該フィルタ管理情報290のアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が会員データDB90の会員データ受信日付450及び会員データ受信時刻460より新しいか否かを判定する(ステップ730)。前者が後者より新しくなければ、当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報(370〜400)をもって会員認証部240のA(ステップ740)へ行く。前者が後者より新しければ、当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報(370〜400)をもって会員認証部240のB(ステップ780)へ行く。
【0041】
図9は、ゲートウェイ70の会員認証部240の処理手順を示すフローチャートである。会員認証部240は、受け取ったICカード識別情報に基づいて会員データDB90を検索する。会員データDB90に該当する会員データがあれば(ステップ740:YES)、ステップ770へ行く。会員データDB90に該当する会員データがなければ(ステップ740:NO)、ネットワーク76を介して主サーバ120の会員管理部170へICカード識別情報及び会員IDを伴った会員データ送信要求を送信し、その結果を受信し、会員データDB90に格納する(ステップ750)。会員データ受信日付450及び会員データ受信時刻460には現在の日付・時刻を設定する。会員データDB90に会員データが存在しなければ(ステップ760:NO)、ステップ785(C)へ行く。会員データがあれば、ステップ770へ行く。
【0042】
次に会員認証部240は、該当するICカード情報から得られた会員ID340、証書情報330と主サーバ90の当該会員データの会員ID440、証書情報430とをそれぞれ比較する。両者が各々一致すれば、会員認証OKと判定し(ステップ770:YES)、当該フィルタ管理情報290のアクセス可・不可フラグ370をアクセス可に設定し、アクセス可・不可フラグ更新日付380、アクセス可・不可フラグ更新時刻390に現在の日付・時刻を設定し、アクセス可・不可フラグ更新ステータス400を更新済に設定するようフィルタリング制御部220へ当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報を返す(ステップ805)。フィルタリング制御部220は、フィルタ管理テーブル60にアクセスし、当該フィルタ管理情報290についてこれらの設定を行う。次にアクセス要求のログイン情報又はデータを主サーバ120へ送り、業務を開始又は続行する(ステップ810)。これによってクライアント30からのアクセス要求がゲートウェイ70によって認証され、主サーバ120のアプリケーションプログラムに到達したことになる。
【0043】
一方、会員認証がNGであれば(ステップ770:NO)、フィルタリング制御部220に通知し、フィルタリング制御部220が当該アクセス要求信号を取り込んだフィルタ20を消滅させるか又はその生成を停止させる(ステップ785)。次に会員認証部240は、当該フィルタ管理情報290のアクセス可・不可フラグ370をアクセス不可に設定し、アクセス可・不可フラグ更新日付380、アクセス可・不可フラグ更新時刻390に現在の日付・時刻を設定し、アクセス可・不可フラグ更新ステータス400を更新済に設定するようフィルタリング制御部220へ当該フィルタ管理情報290のICカード識別情報320とアクセス可・不可フラグ関係情報を返す(ステップ790)。フィルタリング制御部220は、フィルタ管理テーブル60にアクセスし、当該フィルタ管理情報290についてこれらの設定を行う。次にクライアント30へアクセスができない旨のエラーメッセージを送付し(ステップ800)、処理を終了する。
【0044】
またフィルタリング制御部220のステップ730:YESから会員認証部240へ制御が渡されたとき(B)、当該フィルタ管理情報290のアクセス可・不可フラグ370がアクセス可であれば(ステップ780:YES)、ステップ805へ行く。当該フィルタ管理情報290のアクセス可・不可フラグ370がアクセス不可であれば(ステップ780:NO)、ステップ785へ行く。
【0045】
フィルタリング制御部220は、フィルタ管理テーブル60の各フィルタ管理情報290のアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390を監視する。所定時間が経過してもフィルタ管理情報290のアクセス可・不可フラグ更新日付380及びアクセス可・不可フラグ更新時刻390が更新されないことを検出したとき、すなわちアクセス要求がないために当該フィルタ管理情報290に対応するフィルタ20が使用されないとき、そのフィルタ管理情報290のアクセス可・不可フラグ更新ステータス400を更新済から更新未済に変更し、該当するフィルタ20を消滅させる。従ってこの会員に対してそれ以後にアクセス要求があったとき、再度会員認証処理を経由することになる。
【0046】
図10は、会員データ送信要求に応答する主サーバ120の会員管理部170の処理手順を示すフローチャートである。会員管理部170は、ゲートウェイ70から会員データ送信要求を受信する(ステップ820)。次に会員IDに基づいてゲートウェイ管理テーブル110を検索し、該当する会員管理情報530の会員データ送付ゲートウェイIPアドレス590に要求元のゲートウェイのIPアドレスをセットする(ステップ830)。すでに同一IPアドレスがセットされていればこの処理をスキップする。また該当する会員管理情報530が存在しなければ、会員IDからハッシュ値を求め、その会員IDハッシュ値520に対応して会員管理情報530を生成し、会員ID560及び要求元のゲートウェイ70のIPアドレスを設定する。
【0047】
次に会員管理部170は、ICカード識別情報及び会員IDに基づいて会員データDB100を検索する(ステップ840)。該当する会員データがなければ(ステップ850:NO)、ゲートウェイ70へエラーメッセージを送信する(ステップ860)。該当する会員データがあれば(ステップ850:YES)、該当する会員データを要求元のゲートウェイ70へ送信する(ステップ870)。
【0048】
図11は、会員データを登録・更新する会員管理部170の処理手順を示すフローチャートである。会員管理部170は、主サーバ120に付属する入出力装置から会員データ、すなわち会員ID、証書情報及び会員付加情報の入力を受け付けると(ステップ875)、受領した会員データにより会員データDB100の登録・更新を行う(ステップ880)。会員データDB100に当該会員IDをもつ会員データが見当たらなければ、新規レコードを作成し、証書情報630、会員ID640及び会員付加情報650を設定する。該当する会員データがあれば、その証書情報630、会員ID640及び会員付加情報650を更新する。いずれの場合も会員データ受信日付660及び会員データ受信時刻670を現在の日付・時刻に設定又は更新する。
【0049】
次に会員管理部170は、会員IDよりそのハッシュ値を求める(ステップ890)。ハッシュ値の例としては、会員IDを16進数に変換し、この16進数をm(mは0<m<16の定数)で割り、その商をハッシュ値とするなどの計算手順による。次にハッシュ値及び会員IDに基づいてゲートウェイ管理テーブル110の会員管理情報530を検索する(ステップ900)。該当する会員管理情報530があれば(ステップ910:YES)、その会員データ更新日付570及び会員データ更新時刻580を会員データ受信日付660及び会員データ受信時刻670に更新する(ステップ920)。次にその会員管理情報530に会員データ送付ゲートウェイIPアドレス590として登録されているすべてのゲートウェイ70へ当該会員の会員データをダウンロードする(ステップ930)。ゲートウェイ70の会員認証部240は、この会員データを受信し、会員IDハッシュ値410、ICカード識別情報420及び会員ID440に基づいて会員データDB90を検索し、該当する会員データの証書情報430を更新し、会員データ受信日付450及び会員データ受信時刻460を現在日時に更新する。
【0050】
該当する会員管理情報530がなければ(ステップ910:NO)、会員管理部170は、ゲートウェイ管理テーブル110に新規の会員管理情報530を登録する(ステップ940)。ゲートウェイ管理テーブル110中にステップ890で求めたものと同一の会員IDハッシュ値520が登録されていれば、対応する会員管理情報530群の最後に新たな会員管理情報530の領域を確保し、会員ID560、会員データ更新日付570及び会員データ更新時刻580を設定する。会員データ更新日付570及び会員データ更新時刻580は、会員データ受信日付660及び会員データ受信時刻670を設定する。ここで当該会員データについてICカード識別情報を確定する。ICカード識別情報は、会員IDハッシュ値520にシノニム番号を付加したものである。シノニム番号は、同一会員IDハッシュ値520について付加する1から始まる連続番号であり、会員管理情報530−mのmに一致する。次に会員データDB100の当該会員データについて会員IDハッシュ値610及びICカード識別情報620を設定する(ステップ945)。
【0051】
図12は、クライアント30のフィルタリング機能部260の処理の流れを示すフローチャートである。フィルタリング機能部260は、ICカードリーダ40及びICカード入力部270を介して入力されたICカード情報を受け付ける(ステップ950)。またキーボード等の入力装置及びメッセージ入出力部280を介して入力されたログインIDとパスワードを受け付ける(ステップ960)。
【0052】
次に入力されたログイン情報とICカード情報とを比較してユーザの認証を行う(ステップ970)。認証OKであれば(ステップ980:YES)、ゲートウェイ70へICカード情報を伴うアクセス要求を送信する(ステップ1000)。このときクライアント30とゲートウェイ70との通信により、クライアント30側のフィルタ20が生成される。次にフィルタリング機能部260は、ゲートウェイ70又は主サーバ120から正しい応答を受信したか否か判定する(ステップ1010)。正しい応答であれば、メッセージ入出力部280を介して正常のメッセージを表示する(ステップ1020)。認証NGの場合(ステップ980:NO)及びエラーメッセージを受信したとき(ステップ1010:NO)には、メッセージ入出力部280を介してエラーメッセージを表示する(ステップ990)。
【0053】
図13は、フィルタリング機能部260の処理の進行に従ってクライアント30の表示画面の変遷を示す図である。画面1030は、業務開始画面であり、ICカード50の挿入を要求するメッセージが表示される。画面1050は、ログイン情報入力画面であり、ユーザにログインIDとパスワードの入力を要求する画面である。画面1060は、認証を実行していることを表示している画面である。認証OKであれば、主サーバ120から送られる業務画面1070が表示される。認証NGであれば、最初の業務開始画面に戻り、画面1080によりエラーメッセージを表示する。
【0054】
以上述べたように本実施形態のネットワークアクセス管理システムによれば、アプリケーションレイヤで行う会員認証がNGとなれば、物理レイヤに属する該当するフィルタを消滅させる。従って従来技術において物理レイヤのアクセス管理で必要であったネットワーク設計や接続テストを削減することができる。
【0055】
図14は、本実施形態のワイヤレス環境におけるネットワークアクセス管理システムの構成図である。本システムのクライアント30は、アンテナ1100を備え、アクセス制御部200には指向性解析部210が設けられる。またゲートウェイ70は、アンテナ1100を備え、アクセス制御部190には指向性解析部210が設けられる。アンテナ1100は、複数のアンテナから構成され、その出力レベル及び受信信号レベルを増大させる。
【0056】
図22を用いて、フィルタリング技術を簡単に説明する。本実施形態におけるフィルタとは、ユーザからのアクセスを、ユーザ毎に割当てているチャネルを通過させるか否かを定めるものである。例えば、図22においては、時間軸(横軸)においてch1(チャネル1)、ch2、ch3の各々のチャネルに対する正当なユーザからのアクセスを通過させる。正当なユーザ以外からのアクセスは通過させない。このアクセスを通過させなくすることを、本実施形態ではフィルタを消滅させると呼んでいる。図22は時分割多重の例を示すので横軸が時間軸であるが、周波数多重の場合は横軸を周波数で表す、一般にフィルタと呼ばれる、フィルタとなる。
【0057】
図15は、電波の方向と受信側の電力密度分布及び指向性解析の方法を説明する図である。図15は、クライアント30側のアンテナ1100から電波が四方に放射される様子を示し、その一部が障害物で反射され、ゲートウェイ70側のアンテナ1100には直接波と反射波が到来する様子を示す。1120は、電波の到来方向が分布することによる平均電力密度の到来角分布の様子を示す。到来電波は到来角分布が生じるとともに電波の到着遅れが生じるので、到来角−時間平面をxy平面にとると、電力密度はz軸方向の値となり、その分布状態を等高線で示すことができる。
【0058】
本実施形態の指向性解析方向は、非線形計画法を用いるものであり、各アンテナの受信信号レベルに重み付けした全体の電力密度を目的関数とし、到来角分布の制約条件の下にこの目的関数の値が一番大きくなるような重み付けの最適値を探索するものである。
【0059】
以下、指向性解析の概略について具体例を用いて述べる。到来角−時間平面上に制約条件を満たす点、例えば点a,b,cをとり、点a,b,cでの電力密度値を求める。次に、その電力密度値の値が一番大きくなる点、点bを除く2個の点点aと点cの中点を点Aとし、目的関数の値が一番小さい点、点aを除く2個の点、点bと点cの中点を点Bとする。
【0060】
点A,Bを結ぶ直線上で点Bより点Aと反対の位置に等距離だけ離れた点と、点A、点Bで電力密度値について2次補間を行い、電力密度値が最も大きくなる点を点Cとする。点Cと点aと入れ換え、点aの電力密度値がそれ以上向上しなくなるまで探索を続ける。この結果、点A,B,Cが微小領域に収束すれば、解析結果が求められる。点A,B,Cが収束しなければ、点Aと点Bを結ぶ直線に対して既存の点bを含む領域のみを探索の対象とするように新しい制約条件を設定して探索を続ける。このように探索領域が電力密度分布の山と山の間の谷間に落ち込んで収束しない状態から自動的に脱出して最適値の探索を継続できる。
【0061】
次に、一度求めた解析結果が初めの制約条件だけで設定させる領域でも、同じ解析結果となる事の検証を行う。上記の解析結果を求める為に、初めに設定した起点と解析結果で得られた探索の最終到達点を結び、最終到達点を中心として、時計周りに、上記起点を90度回転させる。そして得られた点を起点として、上記探索の処理を実施する。上記処理は、前回求めた電力密度値が、今回求めた電力密度値より大きいか等しくなるまで行う。
【0062】
図16は、各クライアント30について受信シグナルを管理するテーブルのデータ構成を示す図である。指向性解析部210は、メモリ上にこの管理テーブルを保持する。受信シグナルレベルスタック情報1140−1,2,…は、当該クライアント30から受信した受信シグナルレベル、すなわちアンテナ1100が受信した信号の電力密度を受信時刻に従って時系列に配列して保持するものである。各受信シグナルレベルスタック情報1140は、ICカード識別情報1170、受信日1180、受信時刻1190及びアンテナ受信シグナルレベル1200の各項目から成る。ここでアンテナは1,2,…LのL個あるものとする。ICカード識別情報1170は、ICカード識別情報320,420,470,620と同じデータ形式をもつ。
【0063】
図17は、各クライアント30について指向性解析結果を管理するテーブルのデータ構成を示す図である。指向性解析部210は、メモリ上にこの管理テーブルを保持する。指向性解析結果スタック情報1230−1,2,…は、当該クライアント30についての指向性解析結果を解析日時に従って時系列に配列して保持するものである。各指向性解析結果スタック情報1230は、ICカード識別情報1260、解析完了日1270、解析完了時刻1280、アンテナの係数1290及びアンテナのノイズ1300の各項目から成る。各アンテナの係数は、そのアンテナの電力密度に掛ける重みを示す。ICカード識別情報1260は、ICカード識別情報1170と同じである。アンテナのノイズ1300としては、各アンテナについて実測の電力密度とアンテナの係数1290に基づいて計算した電力密度値との間の誤差が設定される。
【0064】
図18は、本指向性解析で用いる制約条件を記憶するテーブルのデータ形式を示す図である。この制約条件テーブルは、1回のシグナル受信についての制約条件を示すものであり、受信時刻に従って時系列に配列して保持される。各制約条件テーブルは、ICカード識別情報1560、受信日1570、受信時刻1580、連番1590及び制約条件パラメータ1600−1,2,…mの各項目から成る。ICカード識別情報1560は、ICカード識別情報1170と同じである。受信日1570及び受信時刻1580は、各々受信日1180及び受信時刻1190に対応している。連番1590は、1から始まる連続番号であり、同一受信日時についての複数の制約条件テーブルを識別する番号である。そのシグナル受信について新しく制約条件を加えるごとにその受信日時について制約条件テーブルを追加する。制約条件は、1回の探索について有効である。
【0065】
図19〜図21は、指向性解析部210の処理の流れを示すフローチャートである。指向性解析部210は、ランダム関数を使用して到来角分布の制約条件を満足する任意の起点を到来角−時間平面上に決定する(ステップ1350)。次にランダム関数を使用してn個の点を同平面上に決める(ステップ1360)。nは目的関数の変数の数と同じである。
【0066】
ここでmは2,3,…n+1を表す変数とする。1番目の変数が起点に対応するものとし、m番目の変数が上記n個の点の各々に対応するものとする。m番目の点が制約条件を満たすならば(ステップ1370:YES)、ステップ1400へ行く。制約条件の計算には受信シグナル管理テーブルのデータを使用する。制約条件のパラメータとして制約条件テーブルの値を参照する。制約条件を満たさなければ(ステップ1370:NO)、1からm−1までの点の中点とm番目の点の距離が微小量である所定値未満か否か判定する(ステップ1380)。m=2の場合には、1からm−1までの点の中点は起点自体であるので起点と2番目の点との距離を所定値と比較することになる。m=3の場合には起点と2番目の点との中点と3番目の点の距離を比較することになる。m=4の場合には1,2,3番目の点の中点と4番目の点の距離を比較することになる。複数の点の中点とは、各点の位置を示すベクトル値の平均値となる。所定値未満であれば、1からm−1までの点の中点をm番目の点とし(ステップ1390)、ステップ1400へ行く。m=2の場合には中点は起点自体であるから、m=2番目の点は常に制約条件を満足することになる。所定値以上であれば、1からm−1までの点の中点とm番目の点との中点を新しいm番目の点とし(ステップ1420)、ステップ1370へ戻る。
【0067】
次にn+1個全ての点が制約条件を満たすか否か判定する(ステップ1400)。起点とした点はすでに制約条件を満足しているから除外される。ステップ1370のテストが済んでいない点があれば、そのような点を1つ選んでステップ1370に戻る。n+1個全ての点が制約条件を満たすならば(ステップ1400:YES)、目的関数によりn+1個の点を評価する(ステップ1410)。目的関数の計算には受信シグナル管理テーブルのデータを使用する。次に図20のステップ1460へ行く。
【0068】
次に図20に移り、指向性解析部210は、最良点bを除くn個の点の中点を点A、最悪点aを除くn個の点の中点を点Bとする(ステップ1460)。ここで最良点とは、目的関数の値がn+1個の点の中で最大の点であり、最悪点とは、その逆で目的関数の値がn+1個の点の中で最小の点である。すなわち最良点bとは、n+1個の点で最も平均電力密度の高い点であり、最悪点aとは、n+1個の点で最も平均電力密度の低い点である。次に点Aと点Bを結ぶ直線上で、点A,B間と等距離で点Bより点Aと反対の位置にある点Dと、点A、点Bで1回の2次補間を行い、その最適値を点Cとする(ステップ1470)。すなわち点D、点A、点Bにおける各電力密度値の3点を通過する上に凸の2次曲線を求め、電力密度値が極大となるような点が点Cである。
【0069】
次に指向性解析部210は、点Cが制約条件を満足するか否か判定する(ステップ1480)。満足しなければ、点Bと点Cの中点を新しい点Cとする(ステップ1490)。次に点Bと点Cの距離が微小量である所定値未満か否か判定する(ステップ1500)。所定値未満でなければ、ステップ1480へ戻る。所定値未満であれば、点Bを点Cとし(ステップ1510)、ステップ1480へ戻る。なお点Bは常に制約条件を満足している。
【0070】
点Cが制約条件を満足すれば(ステップ1480:YES)、指向性解析部210は、点Cに対して最急勾配法による1つの近似値を求め、この点をn+1点中の最悪点aと入れ換える(ステップ1520)。次に目的関数により新しい点aを評価する(ステップ1530)。旧点aより新しい点aの値が良ければ(ステップ1540:YES)、ステップ1460へ戻る。旧点aより新しい点aの値が悪ければ(ステップ1540:NO)、A,B,Cすべての点間の距離が微小量である所定値未満であれば(ステップ1550:YES)、探索点が微小な領域内に収束したのであるから、最良点を最適値として処理を完了する。次に、この探索が、1回目の時は(ステップ1560:NO)、はじめの起点と探索結果を結び、探索結果の点を中心にして、はじめの起点を時計回りに90度回転させた点を、再度探索の為の起点として、全ての制約条件を満足する点まで、求めた起点の距離の1/2にちじめて、再度検索を開始する起点を作成して(ステップ1580)、(ステップ1360)へ行く。次に、この探索が、2回目以上の時は(ステップ1560:YES)、今回の探索結果と前回の探索結果の点を比較して、同じ点にかさなるか、値が前回探索した結果より、値が悪ければ(ステップ1570:YES)、前回の探索により目的関数の最良点が求められた物として探索を完了する。今回の探索結果と前回の探索結果の点を比較して、前回探索した結果より、値が悪ければ(ステップ1570:NO)、はじめの起点と探索結果を結び、探索結果の点を中心にして、はじめの起点を時計回りに90度回転させた点を、再度探索の為の起点として、全ての制約条件を満足する点まで、求めた起点の距離の1/2に縮めて、再度検索を開始する起点を作成して(ステップ1580)、(ステップ1360)へ行く。以上ステップ1460から1580までの処理は、拡張コンプレックス法と最急勾配法を組み合わせて適用し、尚且つ自律型で、探索結果を評価する探索方法を用いている。ここで求められた各アンテナの係数を指向性解析結果の管理テーブルに格納する。アクセス制御部190は、このテーブルの値を使ってクライアント30からの信号を受信する。すべての点の距離が所定値以上であれば(ステップ1550:NO)、図21のステップ1430へ行く。
【0071】
図21は、点A,B,Cが収束しない場合の追加処理の流れを示すフローチャートである。指向性解析部210は、まず点Aと点Bを結ぶ直線を目的関数の制約条件に加える(ステップ1430)。次に点Aと点Bを結ぶ直線に対して、既存の最良点を含む領域のみを探索の対象にするように探索範囲を狭くする新しい制約条件を設定する(ステップ1440)。ここで対象とする受信日時について制約条件テーブルにこの制約条件のパラメータを追加する。次に既存の最良点を再度起点として設定し(ステップ1450)、ステップ1350へ戻る。
【0072】
本実施形態の指向性解析部210によれば、ゲートウェイ70をアクセスするクライアント30の位置を求めるための探索回数を大幅に削減することができ、処理時間を大幅に短縮することが可能になるという効果が得られる。また従来は指向性の解析ができないケースが発生するのに対し、指向性の解析結果が求まるまで探索が自動的に再実行されることにより、精度の高い指向性の解析が行える。
【0073】
なお上記実施形態は、本発明の一例を示したものであり、本発明はこれに限定されるべきものではないことは言うまでもないことである。例えばASP(アプリケーション・サービスプロバイダー)が会員・課金の基本サービスを自社オフィス内に構築し、業務サービスをIDC(インターネット・データ・センタ)内に構築した場合に、上記2つのサービスで使用するサーバを接続する場合に、上記内容の適用も含まれるものである。また上記実施形態ではフィルタリング制御部220をゲートウェイ70に持たせたが、フィルタ管理テーブル60を保持するアクセス制御部190をクライアント30に実装し、クライアント30とゲートウェイ70の中継装置として使用してもよい。この場合は、クライアント30とゲートウェイ70との間にもう一つのクライアントが設置される形態となり、高いセキュリティを確保しながらより低価格のワイヤレスネットワーク環境を実現できる。
【符号の説明】
【0074】
20:フィルタ、30:クライアント、60:フィルタ管理テーブル、70:ゲートウェイ、90:会員データDB、100:会員データDB、110:ゲートウェイ管理テーブル、120:主サーバ、170:会員管理部、190:アクセス制御部、210:指向性解析部、220:フィルタリング制御部、240:会員認証部。
【特許請求の範囲】
【請求項1】
入力される信号を対応するユーザごとに識別して受信するフィルタを備える物理レイヤのアクセス制御部と、前記フィルタを介して受信したアクセス要求の情報に基づいて前記ユーザの個人認証を行うアプリケーションレイヤのユーザ認証部とを有するシステムのアクセス管理方法であって、前記ユーザ認証部による個人認証によりアクセス許可と判定する場合には業務処理の手続きに進み、前記個人認証によりアクセス不可と判定する場合には前記アクセス制御部が備える、当該ユーザの前記フィルタを消滅させることを特徴とするフィルタリング技術を用いたネットワークアクセス管理方法。
【請求項2】
前記アクセス要求がログイン要求の場合には前記個人認証を行い、アクセス許可と判定する場合には当該ユーザ対応のアクセス可・不可を区別する情報をアクセス可に設定し、ログイン要求後の当該ユーザのアクセス要求について前記アクセス可・不可を区別する情報に基づいてアクセス許可と判定して、前記個人認証をスキップすることを特徴とする請求項1記載のフィルタリング技術を用いたネットワークアクセス管理方法。
【請求項3】
前記アクセス制御部により前記ユーザからあった最後のアクセス要求の日時を記録し、前記日時から所定時間が経過しても次のアクセス要求がないとき、当該ユーザの前記フィルタを消滅させることを特徴とする請求項1記載のフィルタリング技術を用いたネットワークアクセス管理方法。
【請求項4】
入力される信号を対応するユーザごとに識別して受信するフィルタを有し前記フィルタを制御する物理レイヤのアクセス制御手段を備える計算機にアプリケーションレイヤのユーザ認証機能を実現させるためのプログラムであって、前記フィルタを介して受信したアクセス要求の情報に基づいて前記ユーザの個人認証を行う機能、前記個人認証によりアクセス許可と判定する場合には業務処理の手続きに進む機能、および前記個人認証によりアクセス不可と判定する場合には前記アクセス制御手段が備える、当該ユーザの前記フィルタを消滅させる機能を実現させるためのプログラム。
【請求項5】
さらに前記アクセス要求がログイン要求の場合には前記個人認証を行う機能、アクセス許可と判定する場合には当該ユーザ対応のアクセス可・不可を区別する情報をアクセス可に設定する機能、およびログイン要求後の当該ユーザのアクセス要求について前記アクセス可・不可を区別する情報に基づいてアクセス許可と判定して、前記個人認証をスキップする機能を実現させるための請求項4記載のプログラム。
【請求項6】
入力される信号を対応するユーザごとに識別して受信するフィルタを備える物理レイヤのアクセス制御手段と、前記フィルタを介して受信したアクセス要求の情報に基づいて前記ユーザの個人認証を行うアプリケーションレイヤのユーザ認証手段と、業務処理手段とを有し、前記ユーザ認証手段は、前記個人認証によりアクセス許可と判定する場合には前記業務処理手段を起動する手段と、前記個人認証によりアクセス不可と判定する場合には前記アクセス制御手段が備える、当該ユーザの前記フィルタを消滅させる手段とを有することを特徴とするフィルタリング技術を用いたネットワークアクセス管理システム。
【請求項7】
前記ユーザ認証手段を備える複数の第1の計算機と、前記業務処理手段を備える第2の計算機が閉じたネットワークによって接続されるように構成されることを特徴とする請求項6記載のフィルタリング技術を用いたネットワークアクセス管理システム。
【請求項8】
前記第1の計算機は、前記個人認証のために参照される第1のユーザ管理データベースと、その管理手段と、前記第1のユーザ管理データベースに前記個人認証の対象とするユーザデータがないとき前記第2の計算機に照会する手段とを有し、前記第2の計算機は、第2のユーザ管理データベースと、各ユーザに対応して照会のあった前記第1の計算機のネットワークアドレスを記憶する手段と、前記ユーザデータの更新に基づいて前記第2のユーザ管理データベースを更新する手段と、更新された前記ユーザデータのユーザに対応する前記第1の計算機のネットワークアドレスを用いて前記第1の計算機に更新された当該ユーザデータを通知する手段とを有することを特徴とする請求項7記載のフィルタリング技術を用いたネットワークアクセス管理システム。
【請求項9】
到来する電波を複数のアンテナで受信し指向性を解析する方法であり、各アンテナの受信信号レベルに重み付けした全体の電力密度を目的関数とし、到来角分布の制約条件の下に前記目的関数が最適となるような重み付けの最適値を探索する方法であって、到来角−時間空間上に前記制約条件を満足する複数の点を決定し、前記目的関数により前記複数の点を評価し、前記複数の点を出発点として探索点が部分領域内に収束するまで拡張コンプレックス法と最急勾配法を適用することを特徴とするネットワークアクセス管理方法。
【請求項10】
前記探索点が収束しない状態を検出したとき、前記制約条件に探索範囲を狭くする制約条件を追加し、領域を分け各々の領域に対し、前記探索する方法の各ステップを繰り返すことを特徴とする請求項9記載のネットワークアクセス管理方法。
【請求項11】
前記各ステップを繰り返した探索結果と最初の起点を結び、前記探索結果を中心として、最も値が低い最適点を時計の針の方向に、90度回転させた点を、制約条件を満足するまで、前記探索結果を1/2に縮めた点を再度起点として検索を行ない。探索結果が、前回の探索点に重なるか、前回の結果が、今回の検索結果より良い値が求まるまで、探索を行うことを特徴とする請求項10記載のネットワークアクセス管理方法。
【請求項1】
入力される信号を対応するユーザごとに識別して受信するフィルタを備える物理レイヤのアクセス制御部と、前記フィルタを介して受信したアクセス要求の情報に基づいて前記ユーザの個人認証を行うアプリケーションレイヤのユーザ認証部とを有するシステムのアクセス管理方法であって、前記ユーザ認証部による個人認証によりアクセス許可と判定する場合には業務処理の手続きに進み、前記個人認証によりアクセス不可と判定する場合には前記アクセス制御部が備える、当該ユーザの前記フィルタを消滅させることを特徴とするフィルタリング技術を用いたネットワークアクセス管理方法。
【請求項2】
前記アクセス要求がログイン要求の場合には前記個人認証を行い、アクセス許可と判定する場合には当該ユーザ対応のアクセス可・不可を区別する情報をアクセス可に設定し、ログイン要求後の当該ユーザのアクセス要求について前記アクセス可・不可を区別する情報に基づいてアクセス許可と判定して、前記個人認証をスキップすることを特徴とする請求項1記載のフィルタリング技術を用いたネットワークアクセス管理方法。
【請求項3】
前記アクセス制御部により前記ユーザからあった最後のアクセス要求の日時を記録し、前記日時から所定時間が経過しても次のアクセス要求がないとき、当該ユーザの前記フィルタを消滅させることを特徴とする請求項1記載のフィルタリング技術を用いたネットワークアクセス管理方法。
【請求項4】
入力される信号を対応するユーザごとに識別して受信するフィルタを有し前記フィルタを制御する物理レイヤのアクセス制御手段を備える計算機にアプリケーションレイヤのユーザ認証機能を実現させるためのプログラムであって、前記フィルタを介して受信したアクセス要求の情報に基づいて前記ユーザの個人認証を行う機能、前記個人認証によりアクセス許可と判定する場合には業務処理の手続きに進む機能、および前記個人認証によりアクセス不可と判定する場合には前記アクセス制御手段が備える、当該ユーザの前記フィルタを消滅させる機能を実現させるためのプログラム。
【請求項5】
さらに前記アクセス要求がログイン要求の場合には前記個人認証を行う機能、アクセス許可と判定する場合には当該ユーザ対応のアクセス可・不可を区別する情報をアクセス可に設定する機能、およびログイン要求後の当該ユーザのアクセス要求について前記アクセス可・不可を区別する情報に基づいてアクセス許可と判定して、前記個人認証をスキップする機能を実現させるための請求項4記載のプログラム。
【請求項6】
入力される信号を対応するユーザごとに識別して受信するフィルタを備える物理レイヤのアクセス制御手段と、前記フィルタを介して受信したアクセス要求の情報に基づいて前記ユーザの個人認証を行うアプリケーションレイヤのユーザ認証手段と、業務処理手段とを有し、前記ユーザ認証手段は、前記個人認証によりアクセス許可と判定する場合には前記業務処理手段を起動する手段と、前記個人認証によりアクセス不可と判定する場合には前記アクセス制御手段が備える、当該ユーザの前記フィルタを消滅させる手段とを有することを特徴とするフィルタリング技術を用いたネットワークアクセス管理システム。
【請求項7】
前記ユーザ認証手段を備える複数の第1の計算機と、前記業務処理手段を備える第2の計算機が閉じたネットワークによって接続されるように構成されることを特徴とする請求項6記載のフィルタリング技術を用いたネットワークアクセス管理システム。
【請求項8】
前記第1の計算機は、前記個人認証のために参照される第1のユーザ管理データベースと、その管理手段と、前記第1のユーザ管理データベースに前記個人認証の対象とするユーザデータがないとき前記第2の計算機に照会する手段とを有し、前記第2の計算機は、第2のユーザ管理データベースと、各ユーザに対応して照会のあった前記第1の計算機のネットワークアドレスを記憶する手段と、前記ユーザデータの更新に基づいて前記第2のユーザ管理データベースを更新する手段と、更新された前記ユーザデータのユーザに対応する前記第1の計算機のネットワークアドレスを用いて前記第1の計算機に更新された当該ユーザデータを通知する手段とを有することを特徴とする請求項7記載のフィルタリング技術を用いたネットワークアクセス管理システム。
【請求項9】
到来する電波を複数のアンテナで受信し指向性を解析する方法であり、各アンテナの受信信号レベルに重み付けした全体の電力密度を目的関数とし、到来角分布の制約条件の下に前記目的関数が最適となるような重み付けの最適値を探索する方法であって、到来角−時間空間上に前記制約条件を満足する複数の点を決定し、前記目的関数により前記複数の点を評価し、前記複数の点を出発点として探索点が部分領域内に収束するまで拡張コンプレックス法と最急勾配法を適用することを特徴とするネットワークアクセス管理方法。
【請求項10】
前記探索点が収束しない状態を検出したとき、前記制約条件に探索範囲を狭くする制約条件を追加し、領域を分け各々の領域に対し、前記探索する方法の各ステップを繰り返すことを特徴とする請求項9記載のネットワークアクセス管理方法。
【請求項11】
前記各ステップを繰り返した探索結果と最初の起点を結び、前記探索結果を中心として、最も値が低い最適点を時計の針の方向に、90度回転させた点を、制約条件を満足するまで、前記探索結果を1/2に縮めた点を再度起点として検索を行ない。探索結果が、前回の探索点に重なるか、前回の結果が、今回の検索結果より良い値が求まるまで、探索を行うことを特徴とする請求項10記載のネットワークアクセス管理方法。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【公開番号】特開2011−188363(P2011−188363A)
【公開日】平成23年9月22日(2011.9.22)
【国際特許分類】
【出願番号】特願2010−53325(P2010−53325)
【出願日】平成22年3月10日(2010.3.10)
【出願人】(000005108)株式会社日立製作所 (27,607)
【Fターム(参考)】
【公開日】平成23年9月22日(2011.9.22)
【国際特許分類】
【出願日】平成22年3月10日(2010.3.10)
【出願人】(000005108)株式会社日立製作所 (27,607)
【Fターム(参考)】
[ Back to top ]