(57)【要約】【課題】信頼性が高く設計やテストの負担の少ないネットワークアクセス管理技術を実現する。【解決手段】ゲートウェイ７０のアクセス制御部１９０は、物理レイヤに属し、ユーザからの信号を他ユーザからの信号から識別して受信するユーザごとのフィルタ２０を備える。会員認証部２４０は、アプリケーションレイヤに属し、フィルタ２０を介して受信したアクセス要求の情報に基づいてユーザの個人認証を行う。会員認証部２４０は、この個人認証によりアクセス許可と判定する場合には、アクセス要求を主サーバ１２０へ送り、業務処理を実行する。会員認証部２４０がアクセス不可と判定する場合には、アクセス制御部１９０を介して当該ユーザのフィルタ２０を消滅させる。【選択図】図１
2008301504.tif 000002
【特許請求の範囲】
【請求項１】
到来する電波を複数のアンテナで受信し指向性を解析する方法であり、各アンテナの受信信号レベルに重み付けした全体の電力密度を目的関数とし、到来角分布の制約条件の下に前記目的関数が最適となるような重み付けの最適値を探索する方法であって、到来角−時間空間上に前記制約条件を満足する複数の点を決定し、前記目的関数により前記複数の点を評価し、前記複数の点を出発点として探索点が部分領域内に収束するまで拡張コンプレックス法と最急勾配法を適用することを特徴とするネットワークアクセス管理方法。
【請求項２】
前記探索点が収束しない状態を検出したとき、前記制約条件に探索範囲を狭くする制約条件を追加し、前記探索する方法の各ステップを繰り返すことを特徴とする請求項１記載のネットワークアクセス管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フィルタリング技術を用いたネットワークアクセス管理技術に関する。
【背景技術】
【０００２】
異なるネットワーク、例えば複数のＬＡＮ間を接続する際には、ファイヤーウォール、ルータ、ブリッジ等を用いてネットワーク間を接続する方法がある。また特開２００１−２０３６９０号公報（特許文献１）は、ネットワークの専門知識を持っていない事務担当者や管理者が広域ネットワークの設定や管理を行うことのできるネットワーク技術を開示する。特許文献１は、ＴＡやルータで区切られたネットワークの範囲を管理単位（セグメント）とし、各セグメントにネットワーク情報（ＮＩＦ）及びネットワークアクセス情報を管理するセグメントマスタと呼ぶサーバーを1台設定する。ＮＩＦにはマシン台数分のレコードが登録されており、発信側のマシン装置はアプリケーション実行時にＮＩＦを見て着信側のネットワークに接続されているマシンを認識することができる。またＮＩＦには相手マシンと接続するときに必要なＩＰアドレスやそのマシン独自の情報が登録されており、ネットワークアクセス情報によりＮＩＦの取得制限を行って相手マシンとの接続を制限する。つまり特許文献１は、接続先のＩＰアドレスや接続プロトコルにより、ネットワークのアクセス管理を行うものである。
【０００３】
またワイヤレス環境のネットワークシステムにおいては、複数アンテナを用いアンテナの指向性を電子的に制御する技術が検討されている。また受信側においても複数方向から送られてくる電波について指向性を解析する技術が提案されている。なおこの方面の技術に関連するものとして、特開平７-２９５９６０号公報（特許文献２）がある。特許文献２は、コンプレックス法に基づく計画シミュレーション方法において、最良点を除くｎ点の中点から最悪点を除くｎ点の中点への探索方向に最適解を求める技術を特徴とする。
【０００４】
【特許文献１】特開２００１−２０３６９０号公報
【特許文献２】特開平７-２９５９６０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
特許文献１に開示されている技術は、接続先のＩＰアドレスや接続プロトコルによりネットワークのアクセス管理を行うものであり、物理レイヤのみのアクセス管理のため、ネットワーク設計や接続テストに多大な工数を要する。
【０００６】
一方、特許文献２に開示されている技術は、対象とする目的関数が単一の凸関数であることを前提とする。しかしワイヤレス環境における指向性解析では、受信側は遅延を伴った電波の直接波と反射波の両方を受信することになる。従って平均電力密度が極大となる点が複数生じ、目的関数が複数の凸関数の合成となるため、最適値を求めることが困難であり、ワイヤレス環境における指向性解析には活用できなかった。ワイヤレス環境におけるフィルタリングのための指向性解析において、従来の非線形計画法では解析に時間を要し、時には解析できない場合も生じる。
【０００７】
本発明の目的は、信頼性が高く設計やテストの負担の少ないネットワークアクセス管理技術を実現することにある。
【課題を解決するための手段】
【０００８】
本発明は、ユーザからの信号を他ユーザからの信号から識別して受信するユーザごとのフィルタを備える物理レイヤのアクセス制御部と、このフィルタを介して受信したアクセス要求の情報に基づいてユーザの個人認証を行うアプリケーションレイヤのユーザ認証部とを有するシステムのアクセス管理方法であって、ユーザ認証部による個人認証によりアクセス許可と判定する場合には業務処理の手続きに進み、個人認証によりアクセス不可と判定する場合にはアクセス制御部を介して当該ユーザのフィルタを消滅させるフィルタリング技術を用いたネットワークアクセス管理技術を特徴とする。
【０００９】
また本発明は、到来する電波を複数のアンテナで受信し指向性を解析する方法であり、各アンテナの受信信号レベルに重み付けした全体の電力密度を目的関数とし、到来角分布の制約条件の下にこの目的関数が最適となるような重み付けの最適値を探索する方法であって、到来角−時間空間上に上記の制約条件を満足する複数の点を決定し、目的関数により複数の点を評価し、複数の点を出発点として探索点が部分領域内に収束するまで拡張コンプレックス法と最急勾配法を適用するネットワークアクセス管理方法を特徴とする。
【発明の効果】
【００１０】
本発明のネットワークアクセス管理システムによれば、アプリケーションレイヤで行う会員認証がＮＧとなれば、物理レイヤに属する該当するフィルタを消滅させる。従って従来技術において物理レイヤのアクセス管理で必要であったネットワーク設計や接続テストを削減させることができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施形態について図面に基づいて詳細に説明する。
【００１２】
図１は、本実施形態のフィルタリング技術を用いたネットワークアクセス管理システムの構成図である。システムは、クライアント３０、ゲートウェイ７０及び主サーバ１２０から構成される。クライアント３０とゲートウェイ７０間は不特定ユーザにオープンなネットワーク５５によって接続される。ゲートウェイ７０と主サーバ１２０間はその外部に対して閉鎖系のネットワーク７６によって接続される。
【００１３】
主サーバ１２０は、業務用のアプリケーションプログラムを実行することによってクライアント３０に種々のサービスを提供する計算機である。主サーバ１２０は、その記憶装置上に会員データＤＢ（データベース）１００及びゲートウェイ管理テーブル１１０を保持する。会員データＤＢ１００は、各会員の認証情報を格納する。またゲートウェイ管理テーブル１１０は、各会員に対応して会員データの要求のあったゲートウェイ７０のＩＰアドレスを格納する。会員管理部１７０は、主サーバ１２０で実行されるプログラムであり、入力される会員データを受け付け、会員データＤＢ１００に対して登録・更新をする。また会員データの更新に伴い、ゲートウェイ管理テーブル１１０に登録されたゲートウェイ７０へ更新された会員データをダウンロードする。また会員管理部１７０は、ゲートウェイ７０からの会員データの要求に応答して会員データＤＢ１００を検索し、該当する会員データを要求元のゲートウェイ７０へ送信する。
【００１４】
クライアント３０は、会員あるいはユーザごとに所有されるパーソナルコンピュータのような計算機であり、アクセス制御部２００、クライアント部３５及びＩＣカードリーダ４０より構成される。アクセス制御部２００は、物理レイヤに属し、フィルタリング部１０を有する。フィルタリング部１０は、通信先ごとにフィルタ２０を有する。フィルタ２０は、ネットワーク５５を介して受信する信号の中から通信先ユーザ特有の信号を他ユーザからの信号から識別して受信するハードウェアである。またアクセス制御部２００は、ＩＣカードから入力されたログイン情報とクライアント３０のキーボード等の入力装置から入力されたログイン情報とを付き合わせる個人認証を行い、認証ＯＫとなったログイン要求をゲートウェイ７０へ送信する。クライアント部３５は、入力装置から入力されたデータを、アクセス制御部２００を介してゲートウェイ７０および主サーバ１２０へ送信し、ゲートウェイ７０および主サーバ１２０から受信したデータを表示装置上に表示する。ＩＣカードリーダ４０は、ＩＣカード５０上の情報をクライアント部３５及びアクセス制御部２００に入力する装置である。なお一般にクライアント３０は複数台存在し、クライアント３０どうしを接続する構成も可能である。
【００１５】
ゲートウェイ７０は、クライアント３０と主サーバ１２０との間に介在し、ゲートウェイ機能とアクセス管理機能を有する計算機である。ゲートウェイ７０は、アクセス制御部１９０及びゲートウェイ部７５より構成される。アクセス制御部１９０は、物理レイヤに属し、フィルタリング部１０を有する。フィルタリング部１０は、通信先ごとに上述のフィルタ２０を有する。またアクセス制御部１９０はフィルタ管理テーブル６０を有する。フィルタ管理テーブル６０は、各フィルタ２０に対応してフィルタ管理情報を保持する。各フィルタ管理情報は、主サーバ１２０へのアクセスの可・不可を制御するフラグを有する。ゲートウェイ部７５は、ゲートウェイ機能を有し、その記憶装置上に会員データＤＢ９０を有する。会員データＤＢ９０は、主サーバ１２０からダウンロードされた会員データを保持する。ゲートウェイ部７５は、会員認証部２４０を有する。会員認証部２４０は、アプリケーションレイヤに属し、ゲートウェイ７０によって実行されるプログラムである。
【００１６】
アクセス制御部１９０は、ネットワーク５５を介してクライアント３０からログイン要求及びその他のアクセス要求を受信し、通過したフィルタ２０に対応するフィルタ管理テーブル６０内のフィルタ管理情報を参照し、そのアクセス可・不可フラグが可であれば、主サーバ１２０へのアクセスを許可する。ただしそのアクセス可・不可フラグが最新に更新されたものでなければ、会員認証部２４０は、受信した会員の証書情報と会員データＤＢ９０に登録された会員データ中の証書情報とを付き合わせる個人認証を行い、認証ＯＫとなったとき、アクセス可・不可フラグを可に更新し、主サーバ１２０へのアクセスを許可する。認証ＮＧの場合には、アクセス可・不可フラグを不可に更新する。アクセス不可の状態におけるアクセス要求については、アクセスを拒否し、該当するフィルタ２０を消滅させる。会員データＤＢ９０上に該当する会員データがないとき、会員認証部２４０は、主サーバ１２０に要求し取得する。なお一般に１つの主サーバ１２０に対して複数台のゲートウェイ７０が存在する。すなわち主サーバ１２０は会員管理を行うが、会員認証処理は主サーバ１２０から離れ、複数のゲートウェイ７０によって分散して行われることになる。
【００１７】
図２は、主サーバ１２０、ゲートウェイ７０及びクライアント３０がもつ機能の階層を示す図である。主サーバ１２０は、上述の会員管理部１７０の他にネットワーク７６を介して主サーバ１２０に接続されるゲートウェイ７０を管理するためのゲートウェイ管理部１８０を有する。なおクライアント３０に種々のサービスを提供するアプリケーションプログラムの図示は省略されている。ゲートウェイ７０のアクセス制御部１９０は、上述のアクセス管理を行うフィルタリング制御部２２０を有する。フィルタリング制御部２２０は、ゲートウェイ７０によって実行されるプログラムである。またネットワーク５５がワイヤレス環境の場合には、指向性解析部２１０を有する。指向性解析部２１０は、無線伝送される電波を複数アンテナで受信する場合のアンテナの指向性を解析するためのプログラムである。
【００１８】
ゲートウェイ部７５は、上述の会員認証部２４０の他に周知のゲートウェイ機能部２５０を有する。またクライアント３０のアクセス制御部２００は、上述の個人認証を行うフィルタリング機能部２６０を有する。ＩＣカード入力部２７０は、ＩＣカードリーダ４０を介してＩＣカード情報を入力するプログラムである。またネットワーク５５がワイヤレス環境の場合には、上述の指向性解析部２１０を有する。クライアント部３５は、ユーザに対してグラフィカル・ユーザ・インタフェースを提供するためのメッセージ入出力部２８０を有する。
【００１９】
図３は、フィルタ管理テーブル６０のデータ構成を示す図である。フィルタ管理テーブル６０は、各フィルタ２０に対応してフィルタ管理情報２９０−１，２９０−２，…を保持する。各フィルタ管理情報２９０は、ＩＣカード識別情報３２０、証書情報３３０、会員ＩＤ３４０、ログインＩＤ３５０、パスワード３６０、アクセス可・不可フラグ３７０、アクセス可・不可フラグ更新日付３８０及びアクセス可・不可フラグ更新時刻３９０及びアクセス可・不可フラグ更新ステータス４００の各データ項目を保持する。証書情報３３０及び会員ＩＤ３４０は、会員認証のときチェックの対象とされる情報である。証書情報３３０は、いわゆる電子証明書の情報である。アクセス可・不可フラグ３７０は、会員認証がＯＫかＮＧかに応じてアクセス可か不可に設定されるフラグである。アクセス可・不可フラグ更新日付３８０及びアクセス可・不可フラグ更新時刻３９０は、アクセス可・不可フラグ３７０が更新された日時を設定する。アクセス可・不可フラグ更新ステータス４００は、アクセス可・不可フラグ３７０、アクセス可・不可フラグ更新日付３８０及びアクセス可・不可フラグ更新時刻３９０が設定又は更新されたか否かを示すフラグである。所定時間が経過してもアクセス可・不可フラグ更新日付３８０及びアクセス可・不可フラグ更新時刻３９０が更新されないとき、アクセス可・不可フラグ更新ステータス４００が自動的に更新済から更新未済に変更される。
【００２０】
図４は、会員データＤＢ９０のデータ構成を示す図である。会員データＤＢ９０の各会員データは、会員ＩＤハッシュ値４１０、ＩＣカード識別情報４２０、証書情報４３０、会員ＩＤ４４０、会員データ受信日付４５０及び会員データ受信時刻４６０の各データ項目を保持する。証書情報４３０及び会員ＩＤ４４０は、会員認証のときチェックの対象とされる情報である。会員データ受信日付４５０及び会員データ受信時刻４６０は、主サーバ１２０からの会員データを受信し、当該会員データを設定又は更新した日時である。
【００２１】
図５は、ＩＣカード５０に格納されるデータの構成を示す図である。ＩＣカード５０内データは、ＩＣカード識別情報４７０、証書情報４８０、会員ＩＤ４９０、ログインＩＤ５００及びパスワード５１０の各データ項目より成る。
【００２２】
図６は、ゲートウェイ管理テーブル１１０のデータ構成を示す図である。ゲートウェイ管理テーブル１１０は、各会員ＩＤハッシュ値５２０に対応して同一の会員ＩＤハッシュ値５２０をもつ少なくとも１つの会員管理情報５３０を配列するデータ形式である。各会員管理情報５３０は、会員ＩＤ５６０、会員データ更新日時５７０、会員データ更新時刻５８０及び少なくとも１つの会員データ送付ゲートウェイＩＰアドレス５９０の各データ項目から構成される。会員ＩＤ５６０は会員データに含まれる会員ＩＤである。会員データ更新日時５７０及び会員データ更新時刻５８０は、会員データＤＢ１００中の該当する会員データが更新された日時を設定する。会員データ送付ゲートウェイＩＰアドレス５９０は、当該会員の会員データを送信したゲートウェイ７０のＩＰアドレスである。
【００２３】
図７は、会員データＤＢ１００のデータ構成を示す図である。会員データＤＢ１００の各会員データは、会員ＩＤハッシュ値６１０、ＩＣカード識別情報６２０、証書情報６３０、会員ＩＤ６４０、会員付加情報６５０、会員データ受信日付６６０及び会員データ受信時刻６７０の各データ項目を保持する。会員ＩＤハッシュ値６１０から会員ＩＤ６４０までは、それぞれ会員データＤＢ９０の会員ＩＤハッシュ値４１０から会員ＩＤ４４０までと同一のデータ項目である。会員付加情報６５０は、主サーバ１２０において使用可能なアプリケーションプログラムなど業務処理上の付加情報である。会員データ受信日付６６０及び会員データ受信時刻６７０は、当該会員データを登録又は更新した日時を示す。
【００２４】
図８は、ゲートウェイ７０のフィルタリング制御部２２０の処理手順を示すフローチャートである。フィルタリング制御部２２０は、ネットワーク５５及び特定のフィルタ２０を介してクライアント３０からアクセス要求を受信する（ステップ６８０）。アクセス要求は、ログイン要求かその他のデータ受信のいずれかである。ログイン要求の場合にはＩＣカード情報を付帯している。またその他のデータ受信の場合には、データの先頭にＩＣカード識別情報が付加されている。なおワイヤレス環境では、後述する指向性解析を行ってからフィルタリングを経てフィルタリング制御部２２０の処理に移る。次にフィルタリング制御部２２０は、ＩＣカード識別情報に基づいてフィルタ管理テーブル６０を検索する（ステップ６８５）。フィルタ管理テーブル６０に該当するＩＣカード識別情報がない場合には（ステップ６９０ＮＯ）、当該ＩＣカード識別情報３２０をもつフィルタ管理情報２９０のレコードを生成する（ステップ７００）。このレコードは、ＩＣカード識別情報３２０以外空欄となっている。
【００２５】
次にフィルタリング制御部２２０は、ログイン要求の場合に当該フィルタ管理情報２９０にＩＣカード識別情報を設定する（ステップ７１０）。すなわち証書情報４８０、会員ＩＤ４９０、ログインＩＤ５００及びパスワード５１０を各々当該フィルタ管理情報２９０の証書情報３３０、会員ＩＤ３４０、ログインＩＤ３５０及びパスワード３６０に設定する。ログイン要求でなければ、ステップ７１０をスキップする。次に当該フィルタ管理情報２９０のアクセス可・不可フラグ更新ステータス４００を参照する（ステップ７１５）。アクセス可・不可フラグ更新ステータス４００の更新ステータスが更新済でなければ（ステップ７２０ＮＯ）、当該フィルタ管理情報２９０のＩＣカード識別情報３２０とアクセス可・不可フラグ関係情報（３７０〜４００）をもって会員認証部２４０の丸４へ行く。アクセス可・不可フラグ更新ステータス４００の更新ステータスが更新済であれば（ステップ７２０ＹＥＳ）、会員認証部２４０へＩＣカード識別情報３２０を渡し会員データＤＢ９０の検索を要求する。会員認証部２４０は、該当するレコードを検索し、その結果の会員データの有無と会員データがあればその内容をアクセス制御部２２０に通知する（ステップ７２５）。会員データがなければ（ステップ７２６ＮＯ）、エラー事由をもって会員認証部２４０の丸６へ行く。会員データがあれば（ステップ７２６ＹＥＳ）、当該フィルタ管理情報２９０のアクセス可・不可フラグ更新日付３８０及びアクセス可・不可フラグ更新時刻３９０が会員データの会員データの会員データ受信日付４５０及び会員データ受信時刻４６０より新しいか否か判定する（ステップ７３０）。前者が後者より新しくなければ、当該フィルタ管理情報２９０のＩＣカード識別情報３２０とアクセス可・不可フラグ関係情報（３７０〜４００）をもって会員認証部２４０の丸４へ行く。前者が後者より新しければ、当該フィルタ管理情報２９０のＩＣカード識別情報３２０とアクセス可・不可フラグ関係情報（３７０〜４００）をもって会員認証部２４０の丸５へ行く。
【００２６】
図９は、ゲートウェイ７０の会員認証部２４０の処理手順を示すフローチャートである。会員認証部２４０は、受け取ったＩＣカード識別情報に基づいて会員データＤＢ９０を検索する。会員データＤＢ９０に該当する会員データがあれば（ステップ７４０ＹＥＳ）、ステップ７７０へ行く。会員データＤＢ９０に該当する会員データがなければ（ステップ７４０ＮＯ）、ネットワーク７６を介して主サーバ１２０の会員管理部１７０へＩＣカード識別情報及び会員ＩＤを渡し、会員データ送信要求を送信しその結果を受信し、会員データＤＢ９０に格納する（ステップ７５０）。会員データ受信日付４５０及び会員データ受信時刻４６０には現在の日付・時刻を設定する。会員データが存在しなければ（ステップ７６０ＮＯ）、ステップ７８５（丸６）へ行く。会員データがあれば、ステップ７７０へ行く。
【００２７】
次に会員認証部２４０は、該当するＩＣカード情報から得られた会員ＩＤ３４０、証書情報３３０と主サーバ９０の当該会員データの会員ＩＤ４４０、証書情報４３０とをそれぞれ比較する。両者が各々一致すれば、会員認証ＯＫと判定し（ステップ７７０ＹＥＳ）、当該フィルタ管理情報２９０のアクセス可・不可フラグ３７０をアクセス可に設定し、アクセス可・不可フラグ更新日付３８０、アクセス可・不可フラグ更新時刻３９０に現在の日付・時刻を設定し、アクセス可・不可フラグ更新ステータス４００を更新済に設定するようフィルタリング制御部２２０へ当該フィルタ管理情報２９０のＩＣカード識別情報３２０とアクセス可・不可フラグ関係情報を返す（ステップ８０５）。フィルタリング制御部２２０は、フィルタ管理テーブル６０にアクセスし、当該フィルタ管理情報２９０についてこれらの設定を行う。次にアクセス要求のログイン情報又はデータを主サーバ１２０へ送り、業務を開始又は続行する（ステップ８１０）。これによってクライアント３０からのアクセス要求がゲートウェイ７０によって認証され、主サーバ１２０のアプリケーションプログラムに到達したことになる。
【００２８】
一方、会員認証がＮＧであれば（ステップ７７０ＮＯ）、フィルタリング制御部２２０に通知し、フィルタリング制御部２２０が当該アクセス要求信号を取り込んだフィルタ２０を消滅させるか又はその生成を停止させる（ステップ７８５）。次に会員認証部２４０は、当該フィルタ管理情報２９０のアクセス可・不可フラグ３７０をアクセス不可に設定し、アクセス可・不可フラグ更新日付３８０、アクセス可・不可フラグ更新時刻３９０に現在の日付・時刻を設定し、アクセス可・不可フラグ更新ステータス４００を更新済に設定するようフィルタリング制御部２２０へ当該フィルタ管理情報２９０のＩＣカード識別情報３２０とアクセス可・不可フラグ関係情報を返す（ステップ７９０）。フィルタリング制御部２２０は、フィルタ管理テーブル６０にアクセスし、当該フィルタ管理情報２９０についてこれらの設定を行う。次にクライアント３０へアクセスができない旨のエラーメッセージを送付し（ステップ８００）、処理を終了する。またフィルタリング制御部２２０のステップ７３０ＹＥＳから会員認証部２４０へ制御が渡されたとき（丸５）、当該フィルタ管理情報２９０のアクセス可・不可フラグ３７０がアクセス可であれば（ステップ７８０ＹＥＳ）、ステップ８０５へ行く。当該フィルタ管理情報２９０のアクセス可・不可フラグ３７０がアクセス不可であれば（ステップ７８０ＮＯ）、ステップ７８５へ行く。
【００２９】
フィルタリング制御部２２０は、フィルタ管理テーブル６０の各フィルタ管理情報２９０のアクセス可・不可フラグ更新日付３８０及びアクセス可・不可フラグ更新時刻３９０を監視する。所定時間が経過してもフィルタ管理情報２９０のアクセス可・不可フラグ更新日付３８０及びアクセス可・不可フラグ更新時刻３９０が更新されないことを検出したとき、すなわちアクセス要求がないために当該フィルタ管理情報２９０に対応するフィルタ２０が使用されないとき、そのフィルタ管理情報２９０のアクセス可・不可フラグ更新ステータス４００を更新済から更新未済に変更し、該当するフィルタ２０を消滅させる。従ってこの会員に対してそれ以後にアクセス要求があったとき、再度会員認証処理を経由することになる。
【００３０】
図１０は、会員データ送信要求に応答する主サーバ１２０の会員管理部１７０の処理手順を示すフローチャートである。会員管理部１７０は、ゲートウェイ７０から会員データ送信要求を受信する（ステップ８２０）。次に会員ＩＤに基づいてゲートウェイ管理テーブル１１０を検索し、該当する会員管理情報５３０の会員データ送付ゲートウェイＩＰアドレス５９０に要求元のゲートウェイのＩＰアドレスをセットする（ステップ８３０）。すでに同一ＩＰアドレスがセットされていればこの処理をスキップする。また該当する会員管理情報５３０が存在しなければ、会員ＩＤからハッシュ値を求め、その会員ＩＤハッシュ値５２０に対応して会員管理情報５３０を生成し、会員ＩＤ５６０及び要求元のゲートウェイ７０のＩＰアドレスを設定する。
【００３１】
次に会員管理部１７０は、ＩＣカード識別情報及び会員ＩＤに基づいて会員データＤＢ１００を検索する（ステップ８４０）。該当する会員データがなければ（ステップ８５０ＮＯ）、ゲートウェイ７０へエラーメッセージを送信する（ステップ８６０）。該当する会員データがあれば（ステップ８５０ＹＥＳ）、該当する会員データを要求元のゲートウェイ７０へ送信する（ステップ８７０）。
【００３２】
図１１は、会員データを登録・更新する会員管理部１７０の処理手順を示すフローチャートである。会員管理部１７０は、主サーバ１２０に付属する入出力装置から会員データ、すなわち会員ＩＤ、証書情報及び会員付加情報の入力を受け付けると（ステップ８７５）、受領した会員データにより会員データＤＢ１００の登録・更新を行う（ステップ８８０）。会員データＤＢ１００に当該会員ＩＤをもつ会員データが見当たらなければ、新規レコードを作成し、証書情報６３０、会員ＩＤ６４０及び会員付加情報６５０を設定する。該当する会員データがあれば、その証書情報６３０、会員ＩＤ６４０及び会員付加情報６５０を更新する。いずれの場合も会員データ受信日付６６０及び会員データ受信時刻６７０を現在の日付・時刻に設定又は更新する。
【００３３】
次に会員管理部１７０は、会員ＩＤよりそのハッシュ値を求める（ステップ８９０）。ハッシュ値の例としては、会員ＩＤを１６進数に変換し、この１６進数をｍ（ｍは０＜ｍ＜１６の定数）で割り、その商をハッシュ値とするなどの計算手順による。次にハッシュ値及び会員ＩＤに基づいてゲートウェイ管理テーブル１１０の会員管理情報５３０を検索する（ステップ９００）。該当する会員管理情報５３０があれば（ステップ９１０ＹＥＳ）、その会員データ更新日付５７０及び会員データ更新時刻５８０を会員データ受信日付６６０及び会員データ受信時刻６７０に更新する（ステップ９２０）。次にその会員管理情報５３０に会員データ送付ゲートウェイＩＰアドレス５９０として登録されているすべてのゲートウェイ７０へ当該会員の会員データをダウンロードする（ステップ９３０）。ゲートウェイ７０の会員認証部２４０は、この会員データを受信し、会員ＩＤハッシュ値４１０、ＩＣカード識別情報４２０及び会員ＩＤ４４０に基づいて会員データＤＢ９０を検索し、該当する会員データの証書情報４３０を更新し、会員データ受信日付４５０及び会員データ受信時刻４６０を現在日時に更新する。
【００３４】
該当する会員管理情報５３０がなければ（ステップ９１０ＮＯ）、会員管理部１７０は、ゲートウェイ管理テーブル１１０に新規の会員管理情報５３０を登録する（ステップ９４０）。ゲートウェイ管理テーブル１１０中にステップ８９０で求めたものと同一の会員ＩＤハッシュ値５２０が登録されていれば、対応する会員管理情報５３０群の最後に新たな会員管理情報５３０の領域を確保し、会員ＩＤ５６０、会員データ更新日付５７０及び会員データ更新時刻５８０を設定する。会員データ更新日付５７０及び会員データ更新時刻５８０は、会員データ受信日付６６０及び会員データ受信時刻６７０を設定する。ここで当該会員データについてＩＣカード識別情報を確定する。ＩＣカード識別情報は、会員ＩＤハッシュ値５２０にシノニム番号を付加したものである。シノニム番号は、同一会員ＩＤハッシュ値５２０について付加する１から始まる連番であり、会員管理情報５３０−ｍのｍに一致する。次に会員データＤＢ１００の当該会員データについて会員ＩＤハッシュ値６１０及びＩＣカード識別情報６２０を設定する（ステップ９４５）。
【００３５】
図１２は、クライアント３０のフィルタリング機能部２６０の処理の流れを示すフローチャートである。フィルタリング機能部２６０は、ＩＣカードリーダ４０及びＩＣカード入力部２７０を介して入力されたＩＣカード情報を受け付ける（ステップ９５０）。またキーボード等の入力装置及びメッセージ入出力部２８０を介して入力されたログインＩＤとパスワードを受け付ける（ステップ９６０）。次に入力されたログイン情報とＩＣカード情報とを比較してユーザの認証を行う（ステップ９７０）。認証ＯＫであれば（ステップ９８０ＹＥＳ）、ゲートウェイ７０へＩＣカード情報を伴うアクセス要求を送信する（ステップ１０００）。このときクライアント３０とゲートウェイ７０との通信により、クライアント３０側のフィルタ２０が生成される。次にフィルタリング機能部２６０は、ゲートウェイ７０又は主サーバ１２０から正しい応答を受信したか否か判定する（ステップ１０１０）。正しい応答であれば、メッセージ入出力部２８０を介して正常のメッセージを表示する（ステップ１０２０）。認証ＮＧの場合（ステップ９８０ＮＯ）及びエラーメッセージを受信したとき（ステップ１０１０ＮＯ）には、メッセージ入出力部２８０を介してエラーメッセージを表示する（ステップ９９０）。
【００３６】
図１３は、フィルタリング機能部２６０の処理の進行に従ってクライアント３０の表示画面の変遷を示す図である。画面１０３０は、業務開始画面であり、ＩＣカード５０の挿入を要求するメッセージが表示される。画面１０５０は、ログイン情報入力画面であり、ユーザにログインＩＤとパスワードの入力を要求する画面である。画面１０６０は、認証を実行していることを表示している画面である。認証ＯＫであれば、主サーバ１２０から送られる業務画面１０７０が表示される。認証ＮＧであれば、最初の業務開始画面に戻り、画面１０８０によりエラーメッセージを表示する。
【００３７】
以上述べたように本実施形態のネットワークアクセス管理システムによれば、アプリケーションレイヤで行う会員認証がＮＧとなれば、物理レイヤに属する該当するフィルタを消滅させる。従って従来技術において物理レイヤのアクセス管理で必要であったネットワーク設計や接続テストを削減することができる。
【００３８】
図１４は、実施形態のワイヤレス環境におけるネットワークアクセス管理システムの構成図である。本システムのクライアント３０は、アンテナ１１００を備え、アクセス制御部２００には指向性解析部２１０が設けられる。またゲートウェイ７０は、アンテナ１１００を備え、アクセス制御部１９０には指向性解析部２１０が設けられる。アンテナ１１００は、複数のアンテナから構成され、その出力レベル及び受信信号レベルを増大させる。
【００３９】
図１５は、電波の方向と受信側の電力密度分布及び指向性解析の方法を説明する図である。図１５は、クライアント３０側のアンテナ１１００から電波が四方に放射される様子を示し、その一部が障害物で反射され、ゲートウェイ７０側のアンテナ１１００には直接波と反射波が到来する様子を示す。１１２０は、電波の到来方向が分布することによる平均電力密度の到来角分布の様子を示す。到来電波は到来角分布が生じるとともに電波の到着遅れが生じるので、到来角−時間平面をｘｙ平面にとると、電力密度はｚ軸方向の値となり、その分布状態を等高線で示すことができる。
【００４０】
本実施形態の指向性解析方向は、非線形計画法を用いるものであり、各アンテナの受信信号レベルに重み付けした全体の電力密度を目的関数とし、到来角分布の制約条件の下にこの目的関数が最大となるような重み付けの最適値を探索するものである。
【００４１】
以下指向性解析の概略について具体例を用いて述べる。到来角−時間平面上に制約条件を満たす点、例えば点ａ，ｂ，ｃをとり、目的関数が最良となる点ｂを除く２個の点の中点を点Ａとし、最悪点ａを除く２個の点の中点を点Ｂとする。点Ａ，Ｂを結ぶ直線上で点Ｂより点Ａと反対の位置に等距離だけ離れた点と、点Ａ、点Ｂで電力密度値について２次補間を行い、最良の点をＣとする。点Ｃに対して勾配法による１つの近似値を最悪点ａと入れ換え、最悪点ａの目的関数による評価がそれ以上向上しなくなるまで探索を続ける。この結果、点Ａ，Ｂ，Ｃが微小領域に収束すれば、解析結果が求められる。点Ａ，Ｂ，Ｃが収束しなければ、点Ａと点Ｂを結ぶ直線に対して既存の最良点ｂを含む領域のみを探索の対象とするように新しい制約条件を設定して探索を続ける。このように探索領域が電力密度分布の山と山の間の谷間に落ち込んで収束しない状態から自動的に脱出して最適値の探索を継続できる。
【００４２】
図１６は、各クライアント３０について受信シグナルを管理するテーブルのデータ構成を示す図である。指向性解析部２１０は、メモリ上にこの管理テーブルを保持する。受信シグナルレベルスタック情報１１４０−１，２，…は、当該クライアント３０から受信した受信シグナルレベル、すなわちアンテナ１１００が受信した信号の電力密度を受信時刻に従って時系列に配列して保持するものである。各受信シグナルレベルスタック情報１１４０は、ＩＣカード識別情報１１７０、受信日１１８０、受信時刻１１９０及びアンテナ受信シグナルレベル１２００の各項目から成る。ここでアンテナは１，２，…ＬのＬ個あるものとする。ＩＣカード識別情報１１７０は、ＩＣカード識別情報３２０，４２０，４７０，６２０と同じデータ形式をもつ。
【００４３】
図１７は、各クライアント３０について指向性解析結果を管理するテーブルのデータ構成を示す図である。指向性解析部２１０は、メモリ上にこの管理テーブルを保持する。指向性解析結果スタック情報１２３０−１，２，…は、当該クライアント３０についての指向性解析結果を解析日時に従って時系列に配列して保持するものである。各指向性解析結果スタック情報１２３０は、ＩＣカード識別情報１２６０、解析完了日１２７０、解析完了時刻１２８０、アンテナの係数１２９０及びアンテナのノイズ１３００の各項目から成る。各アンテナの係数は、そのアンテナの電力密度に掛ける重みを示す。ＩＣカード識別情報１２６０は、ＩＣカード識別情報１１７０と同じである。アンテナのノイズ１３００としては、各アンテナについて実測の電力密度とアンテナの係数１２９０に基づいて計算した電力密度値との間の誤差が設定される。
【００４４】
図１８は、本指向性解析で用いる制約条件を記憶するテーブルのデータ形式を示す図である。この制約条件テーブルは、１回のシグナル受信についての制約条件を示すものであり、受信時刻に従って時系列に配列して保持される。各制約条件テーブルは、ＩＣカード識別情報１５６０、受信日１５７０、受信時刻１５８０、連番１５９０及び制約条件パラメータ１６００−１，２，…ｍの各項目から成る。ＩＣカード識別情報１５６０は、ＩＣカード識別情報１１７０と同じである。受信日１５７０及び受信時刻１５８０は、各々受信日１１８０及び受信時刻１１９０に対応している。連番１５９０は、１から始まる連番であり、同一受信日時についての複数の制約条件テーブルを識別する番号である。そのシグナル受信について新しく制約条件を加えるごとにその受信日時について制約条件テーブルを追加する。制約条件は、１回の探索について有効である。
【００４５】
図１９〜図２１は、指向性解析部２１０の処理の流れを示すフローチャートである。指向性解析部２１０は、ランダム関数を使用して到来角分布の制約条件を満足する任意の起点を到来角−時間平面上に決定する（ステップ１３５０）。次にランダム関数を使用してｎ個の点を同平面上に決める（ステップ１３６０）。ｎは目的関数の変数の数と同じである。
【００４６】
ここでｍは２，３，…ｎ＋１を表す変数とする。１番目の変数が起点に対応するものとし、ｍ番目の変数が上記ｎ個の点の各々に対応するものとする。ｍ番目の点が制約条件を満たすならば（ステップ１３７０ＹＥＳ）、ステップ１４００へ行く。制約条件の計算には受信シグナル管理テーブルのデータを使用する。制約条件のパラメータとして制約条件テーブルの値を参照する。制約条件を満たさなければ（ステップ１３７０ＮＯ）、１からｍ−１までの点の中点とｍ番目の点の距離が微小量である所定値未満か否か判定する（ステップ１３８０）。ｍ＝２の場合には、１からｍ−１までの点の中点は起点自体であるので起点と２番目の点との距離を所定値と比較することになる。ｍ＝３の場合には起点と２番目の点との中点と３番目の点の距離を比較することになる。ｍ＝４の場合には１，２，３番目の点の中点と４番目の点の距離を比較することになる。複数の点の中点とは、各点の位置を示すベクトル値の平均値となる。所定値未満であれば、１からｍ−１までの点の中点をｍ番目の点とし（ステップ１３９０）、ステップ１４００へ行く。ｍ＝２の場合には中点は起点自体であるから、ｍ＝２番目の点は常に制約条件を満足することになる。所定値以上であれば、１からｍ−１までの点の中点とｍ番目の点との中点を新しいｍ番目の点とし（ステップ１４２０）、ステップ１３７０へ戻る。
【００４７】
次にｎ＋１個全ての点が制約条件を満たすか否か判定する（ステップ１４００）。起点とした点はすでに制約条件を満足しているから除外される。ステップ１３７０のテストが済んでいない点があれば、そのような点を１つ選んでステップ１３７０に戻る。ｎ＋１個全ての点が制約条件を満たすならば（ステップ１４００ＹＥＳ）、目的関数によりｎ＋１個の点を評価する（ステップ１４１０）。目的関数の計算には受信シグナル管理テーブルのデータを使用する。次に図２０のステップ１４６０へ行く。
【００４８】
次に図２０に移り、指向性解析部２１０は、最良点ｂを除くｎ個の点の中点を点Ａ、最悪点ａを除くｎ個の点の中点を点Ｂとする（ステップ１４６０）。ここで最良点とは、目的関数の値がｎ＋１個の点の中で最大の点であり、最悪点とは、その逆で目的関数の値がｎ＋１個の点の中で最小の点である。すなわち最良点ｂとは、ｎ＋１個の点で最も平均電力密度の高い点であり、最悪点ａとは、ｎ＋１個の点で最も平均電力密度の低い点である。次に点Ａと点Ｂを結ぶ直線上で、点Ａ，Ｂ間と等距離で点Ｂより点Ａと反対の位置にある点Ｄと、点Ａ、点Ｂで1回の２次補間を行い、その最適値を点Ｃとする（ステップ１４７０）。すなわち点Ｄ、点Ａ、点Ｂにおける各電力密度値の３点を通過する上に凸の２次曲線を求め、電力密度値が極大となるような点が点Ｃである。
【００４９】
次に指向性解析部２１０は、点Ｃが制約条件を満足するか否か判定する（ステップ１４８０）。満足しなければ、点Ｂと点Ｃの中点を新しい点Ｃとする（ステップ１４９０）。次に点Ｂと点Ｃの距離が微小量である所定値未満か否か判定する（ステップ１５００）。所定値未満でなければ、ステップ１４８０へ戻る。所定値未満であれば、点Ｂを点Ｃとし（ステップ１５１０）、ステップ１４８０へ戻る。なお点Ｂは常に制約条件を満足している。
【００５０】
点Ｃが制約条件を満足すれば（ステップ１４８０ＹＥＳ）、指向性解析部２１０は、点Ｃに対して最急勾配法による1つの近似値を求め、この点をｎ＋１点中の最悪点ａと入れ換える（ステップ１５２０）。次に目的関数により新しい点ａを評価する（ステップ１５３０）。旧点ａより新しい点ａの値が良ければ（ステップ１５４０ＹＥＳ）、ステップ１４６０へ戻る。旧点ａより新しい点ａの値が悪ければ（ステップ１５４０ＮＯ）、Ａ，Ｂ，Ｃすべての点間の距離が微小量である所定値未満であれば（ステップ１５５０ＹＥＳ）、探索点が微小な領域内に収束したのであるから、最良点を最適値として処理を完了する。以上ステップ１４６０から１５５０までの処理は、拡張コンプレックス法と最急勾配法を組み合わせて適用している。ここで求められた各アンテナの係数を指向性解析結果の管理テーブルに格納する。アクセス制御部１９０は、このテーブルの値を使ってクライアント３０からの信号を受信する。すべての点の距離が所定値以上であれば（ステップ１５５０ＮＯ）、図２１のステップ１４３０へ行く。
【００５１】
図２１は、点Ａ，Ｂ，Ｃが収束しない場合の追加処理の流れを示すフローチャートである。指向性解析部２１０は、まず点Ａと点Ｂを結ぶ直線を目的関数の制約条件に加える（ステップ１４３０）。次に点Ａと点Ｂを結ぶ直線に対して、既存の最良点を含む領域のみを探索の対象にするように探索範囲を狭くする新しい制約条件を設定する（ステップ１４４０）。ここで対象とする受信日時について制約条件テーブルにこの制約条件のパラメータを追加する。次に既存の最良点を再度起点として設定し（ステップ１４５０）、ステップ１３５０へ戻る。
【００５２】
本実施形態の指向性解析部２１０によれば、ゲートウェイ７０をアクセスするクライアント３０の位置を求めるための探索回数を大幅に削減することができ、処理時間を大幅に短縮することが可能になるという効果が得られる。また従来は指向性の解析ができないケースが発生するのに対し、指向性の解析結果が求まるまで探索が自動的に再実行されることにより、精度の高い指向性の解析が行える。
【００５３】
なお上記実施形態は、本発明の一例を示したものであり、本発明はこれに限定されるべきものではないことは言うまでもないことである。例えばＡＳＰ（アプリケーション・サービスプロバイダー）が会員・課金の基本サービスを自社オフィス内に構築し、業務サービスをＩＤＣ（インターネット・データ・センタ）内に構築した場合に、上記2つのサービスで使用するサーバを接続する場合に、上記内容の適用も含まれるものである。また上記実施形態ではフィルタリング制御部２２０をゲートウェイ７０に持たせたが、フィルタ管理テーブル６０を保持するアクセス制御部１９０をクライアント３０に実装し、クライアント３０とゲートウェイ７０の中継装置として使用してもよい。この場合は、クライアント３０とゲートウェイ７０との間にもう一つのクライアントが設置される形態となり、高いセキュリティを確保しながらより低価格のワイヤレスネットワーク環境を実現できる。
【図面の簡単な説明】
【００５４】
【図１】実施形態のネットワークアクセス管理システムの構成図である。
【図２】実施形態のネットワークアクセス管理システムの機能階層を示す図である。
【図３】実施形態のフィルタ管理テーブル６０のデータ構成を示す図である。
【図４】実施形態の会員データＤＢ９０のデータ構成を示す図である。
【図５】実施形態のＩＣカード５０に格納されるデータの構成を示す図である。
【図６】実施形態のゲートウェイ管理テーブル１１０のデータ構成を示す図である。
【図７】実施形態の会員データＤＢ１００のデータ構成を示す図である。
【図８】実施形態のフィルタリング制御部２２０の処理手順を示すフローチャートである。
【図９】実施形態の会員認証部２４０の処理手順を示すフローチャートである。
【図１０】実施形態の会員データ送信要求に応答する会員管理部１７０の処理手順を示すフローチャートである。
【図１１】実施形態の会員データを登録・更新する会員管理部１７０の処理手順を示すフローチャートである。
【図１２】実施形態のフィルタリング機能部２６０の処理手順を示すフローチャートである。
【図１３】実施形態のフィルタリング機能部２６０の処理手順に従って表示画面の遷移を示す図である。
【図１４】実施形態のワイヤレス環境におけるネットワークアクセス管理システムの構成図である。
【図１５】電波の方向と受信側の電力密度分布及び指向性解析の方法を説明する図である。
【図１６】実施形態の受信シグナルを管理するテーブルのデータ構成を示す図である。
【図１７】実施形態の指向性解析結果を管理するテーブルのデータ構成を示す図である。
【図１８】実施形態の制約条件を記憶するテーブルのデータ構成を示す図である。
【図１９】実施形態の指向性解析部２１０の処理の流れを示すフローチャートである。
【図２０】実施形態の指向性解析部２１０の処理の流れを示すフローチャート（続き）である。
【図２１】実施形態の指向性解析部２１０の処理の流れを示すフローチャート（続き）である。
【符号の説明】
【００５５】
２０：フィルタ、３０：クライアント、６０：フィルタ管理テーブル、７０：ゲートウェイ、９０：会員データＤＢ、１００：会員データＤＢ、１１０：ゲートウェイ管理テーブル、１２０：主サーバ、１７０：会員管理部、１９０：アクセス制御部、２１０：指向性解析部、２２０：フィルタリング制御部、２４０：会員認証部
【図１】
2008301504.tif 000003
【図２】
2008301504.tif 000004
【図３】
2008301504.tif 000005
【図４】
2008301504.tif 000006
【図５】
2008301504.tif 000007
【図６】
2008301504.tif 000008
【図７】
2008301504.tif 000009
【図８】
2008301504.tif 000010
【図９】
2008301504.tif 000011
【図１０】
2008301504.tif 000012
【図１１】
2008301504.tif 000013
【図１２】
2008301504.tif 000014
【図１３】
2008301504.tif 000015
【図１４】
2008301504.tif 000016
【図１５】
2008301504.tif 000017
【図１６】
2008301504.tif 000018
【図１７】
2008301504.tif 000019
【図１８】
2008301504.tif 000020
【図１９】
2008301504.tif 000021
【図２０】
2008301504.tif 000022
【図２１】
2008301504.tif 000023