(57)【要約】【課題】ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御し、セキュリティを向上すること。【解決手段】サービス機器１００のアクセス仲介部１２０がクライアント機器１０からのサービス要求を受け付けるとアクセス制御部１３０にアクセス可否を問い合せ、アクセス制御部１３０がＡＣＬ管理部１４０を介してＡＣＬを参照し、ＡＣＬに登録済みでない場合には、クライアント機器１０のメタ情報および他の機器のメタ情報を各機器のメタ情報管理部と連携して取得し、取得したメタ情報に基づいて承認機器２０を決定し、決定した承認機器２０にクライアント機器１０のメタ情報を表示させて承認者にサービス提供の可否判断を依頼するよう構成する。【選択図】        図１
2007188184.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御プログラムであって、
前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得手順と、
前記メタ情報取得手順により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得手順と、
前記アクセス可否取得手順により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御手順と、
をコンピュータに実行させることを特徴とするアクセス制御プログラム。
【請求項２】
前記メタ情報取得手順は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手順と、
前記発見処理手順によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして前記要求機器メタ情報を取得する要求機器メタ情報取得手順と、
をコンピュータに実行させることを特徴とする請求項１に記載のアクセス制御プログラム。
【請求項３】
前記要求機器メタ情報取得手順は、前記クライアント機器が提供するメタ情報管理機能に優先的にアクセスして前記要求機器メタ情報を取得することを特徴とする請求項２に記載のアクセス制御プログラム。
【請求項４】
前記アクセス可否取得手順は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手順と、
前記発見処理手順によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして該メタ情報管理機能が提供する機器のメタ情報を候補機器メタ情報として取得する候補機器メタ情報取得手順と、
前記候補機器メタ情報取得手順により取得された候補機器メタ情報に基づいて前記アクセス承認者に前記要求機器メタ情報を提供する承認依頼機器を決定する承認依頼機器決定手順と、
前記承認依頼機器決定手順により決定された承認依頼機器に前記要求機器メタ情報を提供して前記アクセス可否を取得する依頼手順と、
をコンピュータに実行させることを特徴とする請求項１、２または３に記載のアクセス制御プログラム。
【請求項５】
前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、
前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器のうちの一つを前記承認依頼機器として決定することを特徴とする請求項４に記載のアクセス制御プログラム。
【請求項６】
前記候補機器メタ情報には、機器の無操作時間に関する情報が含まれ、
前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器のうち前記無操作時間が最も短い機器を前記承認依頼機器として決定することを特徴とする請求項５に記載のアクセス制御プログラム。
【請求項７】
前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、
前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器がない場合には、該サービスを提供する機器を前記承認依頼機器として決定することを特徴とする請求項４に記載のアクセス制御プログラム。
【請求項８】
前記アクセス可否取得手順により取得されたアクセス可否に基づいて前記クライアント機器についてのアクセス制御リストを生成し、該生成したアクセス制御リストをアクセス制御リスト一覧に登録するアクセス制御リスト登録手順と、
前記アクセス制御リスト登録手順によりアクセス制御リストが登録されたアクセス制御リスト一覧を検索し、前記クライアント機器についてのアクセス制御リストが検索された場合には、該検索されたアクセス制御リストを用いてアクセス可否を取得するアクセス制御リスト参照手順と、
をさらにコンピュータに実行させることを特徴とする請求項１〜７のいずれか一つに記載のアクセス制御プログラム。
【請求項９】
ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御方法であって、
前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得工程と、
前記メタ情報取得工程により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得工程と、
前記アクセス可否取得工程により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御工程と、
を含んだことを特徴とするアクセス制御方法。
【請求項１０】
ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御装置であって、
前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得手段と、
前記メタ情報取得手段により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得手段と、
前記アクセス可否取得手段により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御手段と、
を備えたことを特徴とするアクセス制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御プログラム、アクセス制御方法およびアクセス制御装置に関し、特に、アドホック環境でのアクセス制御において、アクセスの承認者に承認の許否を決定するために有用となる情報を提供し、承認者が適確な判断を行うことを可能とするアクセス制御プログラム、アクセス制御方法およびアクセス制御装置に関するものである。
【背景技術】
【０００２】
パソコンや情報家電などの情報機器の普及により、作業に必要な機器をすべて持ち歩くのではなく、移動したその場で借りて使うような使い方が、今後広まっていくと予想される。そのための機器発見、連携プロトコルのひとつとして、UPnP(Universal Plug & Play)が注目を集めている。
【０００３】
UPnPは、ネットワークを経由して、その場で発見した機器を簡単に利用するためのプロトコルであり、UPnP Forumで標準化が行われている。また、UPnPについては、ホームルータや、ＡＶ機器（ビデオやテレビ、パソコンなど）を相互接続するため規格が普及している。現在、UPnPの主なターゲットは家庭での利用であるが、今後は家庭内だけではなく、オフィスやＩＴＳなどの広い範囲で使われていくものと予想される。
【０００４】
その際に必要になるのが、認証、アクセス制御といったセキュリティ機能である。現在のUPnPの主なターゲットである家庭は、不審者が入ってこないようにガードされている安全な空間である。そのため、家庭に入って家庭ＬＡＮに接続した時点で、ある程度セキュリティチェックは済んでいると考えることができる。したがって、セキュリティ機能の重要度は、相対的に低いと思われる。
【０００５】
しかし、今後オフィスやＩＴＳ、モバイルのように適用範囲が広がっていく場合には、セキュリティは重要になる。例えばオフィスのＬＡＮにUPnP機器を接続すると、大規模な社内ネットワーク上の、多数の機器からアクセスを受ける可能性がある。ＩＴＳやモバイルでは屋外で活動するため、他人の端末のような不審な端末からアクセスが来る可能性があり、対策が必要である。
【０００６】
また、アクセス時の認証も、特に移動先で見つけた機器を、その場ですぐに利用したい、という場面を考えると、従来とは違う機能が必要になる。例えば、外出先の会議室で参加者が持ち寄ったノートＰＣや携帯端末を接続したり、その場にあるプリンタやプロジェクタといった機器をすぐに利用したりする場合には、その場での機器からのアクセスを確認して、すぐに許可するようなタイプの認証・アクセス制御機能が必要である。このようなタイプの認証・アクセス制御を、アドホック環境でのアクセス制御と呼ぶ。
【０００７】
アドホック環境でのアクセス制御を実現する際の要件としては、以下の点が挙げられる。
（１）事前登録なしでの認証・アクセス制御をサポートすること
事前にユーザ名・パスワードや機器名、アドレスなどを登録しておかなくても、承認者の判断で、アクセスしてきた機器の認証・アクセス制御をサポートすること。
（２）アクセス承認に必要な情報を、承認者に分りやすく提示すること
アクセス承認のための判断に必要な情報を、承認者に分りやすいように提示することで、承認者の判断の負担を軽減し、セキュリティの確保を支援する。
（３）既存のUPnP機器・サービスとの相互接続性の確保
既存のUPnP機器・サービスを無改造で認証、アクセス制御の対象とできること。また、他社のUPnPライブラリで作成するプログラムも、同様に対象にできることが必要である。
【０００８】
このような要求に対して、従来の技術としては、アクセスしてきたクライアント、具体的にはUPnPコントロールポイント(UPnP Control Point）のＩＰアドレス（ホスト名）を承認者に提供して、アクセスの許否判断を依頼する方法がある（例えば、非特許文献１参照。）。
【０００９】
図１５は、承認者にアクセス許否判断を促すダイアログウインドウの一例を示す図である。同図に示すように、この例では、アクセスをしてきたクライアントがあると、そのＩＰアドレス（ホスト名）をポップアップウィンドウで表示し、アクセスを承認するかどうかの判断を依頼している。
【００１０】
【非特許文献１】「DiXim-Multimedia Home Network Solution」、［平成１７年１２月１７日検索］、インターネット＜URL: HYPERLINK "http://www.microsoft.com/japan/enable/training/kblight/t004/7/01.htm" http://www.dixim.net/＞
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかしながら、かかる従来技術には、アクセスしてくる機器の情報として、ＩＰアドレス（ホスト名）しか表示されないため、承認者は実際にアクセスしてくる機器がどれなのかが判別しづらく、適確な許否判断が行えないという問題がある。特に、ＩＰアドレスがＤＨＣＰで動的に割り当てられる場合には、ＩＰアドレスやホスト名からだけでは、機器を特定したり、接続の可否を判断したりするのは困難である。
【００１２】
また、承認を求めるウィンドウは、アクセスされた機器に表示される。そのため、承認者はアクセスされる機器の前にいて、すぐにアクセスを承認できる必要がある。しかし、例えば家庭で二階の機器を一階からアクセスする場合などのように、承認者が機器の前に常にいるとは限らない。したがって、承認依頼ウィンドウがアクセスされる機器に常に表示されると、承認者にとって不便であるという問題がある。
【００１３】
この発明は、上述した従来技術による問題点を解消するためになされたものであり、アドホック環境でのアクセス制御において、アクセスの承認者に承認の許否を決定するために有用となる情報を提供し、承認者が適確な判断を行うことを可能とするアクセス制御プログラム、アクセス制御方法およびアクセス制御装置を提供することを目的とする。
【課題を解決するための手段】
【００１４】
上述した課題を解決し、目的を達成するため、請求項１の発明に係るアクセス制御プログラムは、ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御プログラムであって、前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得手順と、前記メタ情報取得手順により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得手順と、前記アクセス可否取得手順により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御手順と、をコンピュータに実行させることを特徴とする。
【００１５】
この請求項１の発明によれば、クライアント機器のメタ情報である要求機器メタ情報を取得し、取得した要求機器メタ情報をサービスへのアクセス承認者が承認に用いる機器に提供し、その機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得し、取得したアクセス可否に基づいてサービスへのアクセスを制御するよう構成したので、承認者は要求機器メタ情報に基づいてアクセス可否を判断することができる。
【００１６】
また、請求項２の発明に係るアクセス制御プログラムは、請求項１の発明において、前記メタ情報取得手順は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手順と、前記発見処理手順によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして前記要求機器メタ情報を取得する要求機器メタ情報取得手順と、をコンピュータに実行させることを特徴とする。
【００１７】
この請求項２の発明によれば、ネットワークで接続された機器に対してメタ情報管理機能を検索し、メタ情報管理機能を検索した場合に、検索したメタ情報管理機能にアクセスして要求機器メタ情報を取得するよう構成したので、一時的にネットワークに接続されるような機器についても要求機器メタ情報を取得することができる。
【００１８】
また、請求項３の発明に係るアクセス制御プログラムは、請求項２の発明において、前記要求機器メタ情報取得手順は、前記クライアント機器が提供するメタ情報管理機能に優先的にアクセスして該クライアント機器のメタ情報を取得することを特徴とする。
【００１９】
この請求項３の発明によれば、サービスを要求したクライアント機器が提供するメタ情報管理機能に優先的にアクセスして要求機器メタ情報を取得するよう構成したので、効率良く要求機器メタ情報を取得することができる。
【００２０】
また、請求項４の発明に係るアクセス制御プログラムは、請求項１、２または３の発明において、前記アクセス可否取得手順は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手順と、前記発見処理手順によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして該メタ情報管理機能が提供する機器のメタ情報を候補機器メタ情報として取得する候補機器メタ情報取得手順と、前記候補機器メタ情報取得手順により取得された候補機器メタ情報に基づいて前記アクセス承認者に前記要求機器メタ情報を提供する承認依頼機器を決定する承認依頼機器決定手順と、前記承認依頼機器決定手順により決定された承認依頼機器に前記要求機器メタ情報を提供して前記アクセス可否を取得する依頼手順と、をコンピュータに実行させることを特徴とする。
【００２１】
この請求項４の発明によれば、ネットワークで接続された機器に対してメタ情報管理機能を検索し、メタ情報管理機能を検索した場合に、検索したメタ情報管理機能にアクセスしてメタ情報管理機能が提供する機器のメタ情報を候補機器メタ情報として取得し、取得した候補機器メタ情報に基づいてアクセス承認者に要求機器メタ情報を提供する承認依頼機器を決定し、決定した承認依頼機器に要求機器メタ情報を提供してアクセス可否を取得するよう構成したので、承認依頼機器を候補機器メタ情報に基づいて適切に決定することができる。
【００２２】
また、請求項５の発明に係るアクセス制御プログラムは、請求項４の発明において、前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器のうちの一つを前記承認依頼機器として決定することを特徴とする。
【００２３】
この請求項５の発明によれば、サービスを提供する機器と所有者が同じである機器のうちの一つを承認依頼機器として決定するよう構成したので、承認者が所有する機器を承認依頼機器とすることができる。
【００２４】
また、請求項６の発明に係るアクセス制御プログラムは、請求項５の発明において、前記候補機器メタ情報には、機器の無操作時間に関する情報が含まれ、前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器のうち前記無操作時間が最も短い機器を前記承認依頼機器として決定することを特徴とする。
【００２５】
この請求項６の発明によれば、サービスを提供する機器と所有者が同じである機器のうち無操作時間が最も短い機器を承認依頼機器として決定するよう構成したので、承認者がいる可能性の高い機器を承認依頼機器とすることができる。
【００２６】
また、請求項７の発明に係るアクセス制御プログラムは、請求項４の発明において、前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器がない場合には、該サービスを提供する機器を前記承認依頼機器として決定することを特徴とする。
【００２７】
この請求項７の発明によれば、サービスを提供する機器と所有者が同じである機器がない場合には、サービスを提供する機器を承認依頼機器として決定するよう構成したので、承認依頼機器を確実に決定することができる。
【００２８】
また、請求項８の発明に係るアクセス制御プログラムは、請求項１〜７の発明において、前記アクセス可否取得手順により取得されたアクセス可否に基づいて前記クライアント機器についてのアクセス制御リストを生成し、該生成したアクセス制御リストをアクセス制御リスト一覧に登録するアクセス制御リスト登録手順と、前記アクセス制御リスト登録手順によりアクセス制御リストが登録されたアクセス制御リスト一覧を検索し、前記クライアント機器についてのアクセス制御リストが検索された場合には、該検索されたアクセス制御リストを用いてアクセス可否を取得するアクセス制御リスト参照手順と、をさらにコンピュータに実行させることを特徴とする。
【００２９】
この請求項８の発明によれば、取得したアクセス可否に基づいて、サービスを要求したクライアント機器についてのアクセス制御リストを生成し、生成したアクセス制御リストをアクセス制御リスト一覧に登録しておき、サービス要求があると、アクセス制御リストが登録されたアクセス制御リスト一覧を検索し、サービスを要求したクライアント機器についてのアクセス制御リストが検索された場合には、検索されたアクセス制御リストを用いてアクセス可否を取得するよう構成したので、効率良くアクセス可否を取得することができる。
【００３０】
また、請求項９の発明に係るアクセス制御方法は、ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御方法であって、前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得工程と、前記メタ情報取得工程により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得工程と、前記アクセス可否取得工程により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御工程と、を含んだことを特徴とする。
【００３１】
この請求項９の発明によれば、クライアント機器のメタ情報である要求機器メタ情報を取得し、取得した要求機器メタ情報をサービスへのアクセス承認者が承認に用いる機器に提供し、その機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得し、取得したアクセス可否に基づいてサービスへのアクセスを制御するよう構成したので、承認者は要求機器メタ情報に基づいてアクセス可否を判断することができる。
【００３２】
また、請求項１０の発明に係るアクセス制御装置は、ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御装置であって、前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得手段と、前記メタ情報取得手段により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得手段と、前記アクセス可否取得手段により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御手段と、を備えたことを特徴とする。
【００３３】
この請求項１０の発明によれば、クライアント機器のメタ情報である要求機器メタ情報を取得し、取得した要求機器メタ情報をサービスへのアクセス承認者が承認に用いる機器に提供し、その機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得し、取得したアクセス可否に基づいてサービスへのアクセスを制御するよう構成したので、承認者は要求機器メタ情報に基づいてアクセス可否を判断することができる。
【発明の効果】
【００３４】
請求項１、９および１０の発明によれば、承認者は要求機器メタ情報に基づいてアクセス可否を判断することができるので、適確な判断を行うことができるという効果を奏する。
【００３５】
また、請求項２の発明によれば、一時的にネットワークに接続されるような機器についても要求機器メタ情報を取得して承認者に提供することができるという効果を奏する。
【００３６】
また、請求項３の発明によれば、効率良く要求機器メタ情報を取得するので、アクセス制御についての処理を効率良く行うことができるという効果を奏する。
【００３７】
また、請求項４の発明によれば、承認依頼機器を候補機器メタ情報に基づいて適切に決定するので、候補機器メタ情報を適切に設定することで承認者にとって都合の良い機器を承認依頼機器とすることができるという効果を奏する。
【００３８】
また、請求項５の発明によれば、承認者が所有する機器を承認依頼機器とするので、確実に承認者に承認を依頼することができるという効果を奏する。
【００３９】
また、請求項６の発明によれば、承認者がいる可能性の高い機器を承認依頼機器とするので、承認者からアクセス可否の判断を得られる可能性を高くすることができるという効果を奏する。
【００４０】
また、請求項７の発明によれば、承認依頼機器を確実に決定するので、承認依頼を確実に行うことができるという効果を奏する。
【００４１】
また、請求項８の発明によれば、効率良くアクセス可否を取得するこので、アクセス制御についての処理を効率良く行うことができるという効果を奏する。
【発明を実施するための最良の形態】
【００４２】
以下に添付図面を参照して、この発明に係るアクセス制御プログラム、アクセス制御方法およびアクセス制御装置の好適な実施例を詳細に説明する。なお、本実施例では、本発明をUPnPが利用できるネットワークに適用した場合を中心に説明する。
【実施例】
【００４３】
まず、本実施例に係るアクセス制御システムの構成ついて説明する。図１は、本実施例に係るアクセス制御システムのシステム構成を示す図である。同図に示すように、このアクセス制御システムは、サービスを提供するサービス機器１００と、サービスを要求するクライアント機器１０と、承認者が承認に用いる承認機器２０とがUPnPが利用可能なネットワークによって接続されて構成される。
【００４４】
なお、ここでは説明の便宜上、１台のクライアント機器１０のみを示したが、このアクセス制御システムは任意の台数のクライアント機器１０がネットワークに接続される。また、アクセスの承認は、サービス機器１００で行ってもよいので、承認機器２０なしでシステムを構成することもできる。
【００４５】
また、図２は、アクセス制御システムの構築例を示す図である。同図に示すように、このアクセス制御システムは、クライアント機器としての無線ＬＡＮ内蔵携帯電話と、サービス機器としてのパソコンと、承認機器としての無線ＬＡＮ内蔵ＰＤＡとがＬＡＮに接続されて構築される。そして、携帯電話の所有者である「Ａさん」が、パソコンへのアクセスを要求すると、承認者である「Ｂさん」が所有するＰＤＡに承認依頼が表示され、「Ｂさん」の決定に基づいて「Ａさん」のパソコンへのアクセスが制御される。
【００４６】
図１に戻って、クライアント機器１０は、クライアント処理部１１と、メタ情報管理部１２とを有する。クライアント処理部１１は、UPnPのコントロールポイントとしての処理を行う処理部であり、サービス利用者の指示にしたがって、サービス機器１００に対してサービス、すなわちアクセスを要求する。
【００４７】
メタ情報管理部１２は、ネットワークに接続する機器についてのメタ情報を管理する管理部である。すなわち、このメタ情報管理部１２は、メタ情報管理機能を提供する。また、このメタ情報管理部１２は、他の機器からの問い合わせに応答してメタ情報管理機能が存在することの通知やメタ情報の提供を行う。
【００４８】
図３−１は、メタ情報管理部１２が管理するメタ情報の一例を示す図である。同図に示すように、この例では、メタ情報管理部１２は、自分自身について、マシンアドレス（ＩＰアドレス）の他に、メタ情報として所有者および所属に関する情報を管理する。
【００４９】
なお、サービス機器１００および承認機器２０も同様にメタ情報管理部がメタ情報を管理する。図３−２は、サービス機器１００のメタ情報管理部１５０が管理するメタ情報の一例を示す図である。同図に示すように、この例では、メタ情報管理部１５０は、自分自身について、メタ情報として所有者、場所および無操作時間に関する情報を管理する。ここで、無操作時間とは、利用者による操作が行われていない時間であり、マウスおよびキーボードの操作を監視することによって、定期的に更新される値である。
【００５０】
図３−３は、承認機器２０のメタ情報管理部２１が管理するメタ情報の一例を示す図である。同図に示すように、この例では、メタ情報管理部２１は、自分自身について、メタ情報として所有者および無操作時間に関する情報を管理する。
【００５１】
なお、図３−１〜図３−３に示した例では、各機器のメタ情報管理部が管理するメタ情報の例として、自分自身に関するメタ情報のみを示したが、各メタ情報管理部は、ネットワークに接続された他の機器に関するメタ情報も管理することができる。
【００５２】
図１に戻って、サービス機器１００は、サービス提供部１１０と、アクセス仲介部１２０と、アクセス制御部１３０と、ＡＣＬ管理部１４０と、メタ情報管理部１５０と、承認部１６０とを有する。
【００５３】
サービス提供部１１０は、クライアント機器１０が要求するサービスを提供する処理部である。ただし、このサービス提供部１１０は、クライアント機器１０に対して直接サービスを提供するのではなく、アクセス仲介部１２０を介してサービスを提供する。
【００５４】
アクセス仲介部１２０は、クライアント機器１０からのサービス要求を受け付け、アクセス制御部１３０にアクセス許否の問い合わせを行い、アクセスが許可された場合にクライアント機器１０とサービス提供部１１０との間を仲介する処理部である。
【００５５】
アクセス制御部１３０は、クライアント機器１０からのサービス要求に対してアクセスを許可するか否かを判定する処理部である。具体的には、このアクセス制御部１３０は、ＡＣＬ管理部１４０に対して、サービスを要求したクライアント機器１０のアクセス許否に関する情報が登録されているか否かの問い合せを行い、登録されている場合には、その登録内容をアクセス仲介部１２０に回答する。
【００５６】
一方、登録されていない場合には、サービスを要求したクライアント機器１０のメタ情報を収集するとともに、ネットワークに接続された他の機器のメタ情報を収集してメタ情報、具体的には、所有者および無操作時間の情報に基づいて、承認を依頼する機器を決定する。
【００５７】
そして、サービスを要求したクライアント機器１０のメタ情報およびサービス機器１００のメタ情報、具体的には、サービスを要求したクライアント機器１０の所有者および所属の情報を、承認を依頼する機器に送信してアクセス許否の判断を依頼し、承認者の判断結果を受け取って、ＡＣＬ管理部１４０に登録するように指示するとともにアクセス仲介部１２０に回答する。
【００５８】
このアクセス制御部１３０が、ネットワークに接続された機器のメタ情報を収集してメタ情報、具体的には、所有者および無操作時間の情報に基づいて、承認を依頼する機器を決定することによって、承認者にとって都合が良いと思われる機器に対して承認依頼を送信することができる。なお、本実施例では、承認機器２０が承認を依頼する機器として決定されることとしている。
【００５９】
また、このアクセス制御部１３０が、サービスを要求したクライアント機器１０のアクセス許否に関する情報が登録されていない場合に、クライアント機器１０のメタ情報を収集し、収集したメタ情報、具体的には、サービスを要求したクライアント機器１０の所有者と所属の情報を承認者に提供してアクセス許否の判断を依頼することによって、承認者は、アクセス許否の判断を適切に行うことができる。
【００６０】
ＡＣＬ管理部１４０は、クライアント機器１０についてアクセス許否に関する情報をアクセス制御リスト（ＡＣＬ：Access Control List）として管理する管理部である。図４は、ＡＣＬ管理部１４０が管理するＡＣＬの一例を示す図である。同図に示すように、このＡＣＬは、クライアント機器１０ごとにＩＰアドレスとアクセス許否とを対応させた情報である。
【００６１】
メタ情報管理部１５０は、図３−２に示したメタ情報を管理する管理部であり、他の機器からの問い合わせに応答してメタ情報管理機能が存在することの通知やメタ情報の提供を行う。すなわち、このメタ情報管理部１５０は、メタ情報管理機能を提供する。
【００６２】
承認部１６０は、アクセス制御部１３０からの指示に基づいて、サービス提供の承認者に対して承認依頼画面を表示し、アクセス許否の判断を依頼する処理部であり、承認者の判断を受け付け、アクセス制御部１３０に承認者の判断を回答する。すなわち、この承認部１６０は、承認機能を提供する。なお、本実施例では、承認者に承認を依頼する機器として承認機器２０が選択されるため、この承認部１６０に対するアクセス制御部１３０からの指示は行われない。
【００６３】
承認機器２０は、メタ情報管理部２１と、承認部２２とを有する。メタ情報管理部２１は、図３−３に示したメタ情報を管理する管理部であり、他の機器からの問い合わせに応答してメタ情報管理機能が存在することの通知やメタ情報の提供を行う。すなわち、このメタ情報管理部２１は、メタ情報管理機能を提供する。
【００６４】
承認部２２は、アクセス制御部１３０からの指示に基づいて、サービス提供の承認者に対して承認依頼画面を表示し、アクセス許否の判断を依頼する処理部であり、承認者の判断を受け付け、アクセス制御部１３０に承認者の判断を回答する。すなわち、この承認部２２は、承認機能を提供する。
【００６５】
図５は、承認機器２０が出力する承認依頼画面の一例を示す図である。同図に示すように、この承認依頼画面には、アクセス元の情報としてホスト名およびＩＰアドレスの他に機器の所有者および所属が表示され、アクセス先の情報としてホスト名およびＩＰアドレスの他に機器の所有者および場所が表示される。このように、承認依頼画面にアクセス元の機器の所有者や所属を表示すことによって、承認者は許否の判断を適確に行うことができる。
【００６６】
次に、アクセス仲介部１２０の処理手順について説明する。図６は、アクセス仲介部１２０の処理手順を示すフローチャートである。同図に示すように、アクセス仲介部１２０は、クライアント機器１０からのアクセスを待ち受けていてアクセスを受け付けると（ステップＳ１０１）、アクセス制御部１３０にアクセス可否を問い合せる（ステップＳ１０２）。
【００６７】
そして、アクセス制御部１３０からの回答が「許可」である場合には（ステップＳ１０３、Ｙｅｓ）、クライアント機器１０からのアクセスをサービス提供部１１０に転送し（ステップＳ１０４）、サービス提供部１１０からの回答をクライアント機器１０に転送する（ステップＳ１０５）。
【００６８】
一方、アクセス制御部１３０からの回答が「許可」でない場合には（ステップＳ１０３、Ｎｏ）、クライアント機器１０からのアクセスをエラーにして回答する（ステップＳ１０６）。
【００６９】
このように、アクセス仲介部１２０が、アクセス制御部１３０にアクセス可否を問い合せ、回答が「許可」である場合にだけクライアント機器１０とサービス提供部１１０との間を仲介することによって、クライアント機器１０からのアクセスを適切に制御することができる。
【００７０】
次に、アクセス制御部１３０の処理手順について説明する。図７は、アクセス制御部１３０の処理手順を示すフローチャートである。同図に示すように、アクセス制御部１３０は、アクセス仲介部１２０からアクセス可否の問い合わせを受けると、まずＡＣＬ管理部１４０に依頼してＡＣＬを参照し（ステップＳ２０１）、ＡＣＬに登録済みであるか否かを判定する（ステップＳ２０２）。その結果、ＡＣＬに登録済みである場合には、アクセス仲介部１２０に登録内容を回答する（ステップＳ２０３）。
【００７１】
一方、ＡＣＬに登録済みでない場合には、アクセスを要求したクライアント機器１０のメタ情報を取得するメタ情報取得処理を行い（ステップＳ２０４）、取得したメタ情報を承認者に提供して承認の可否判断を依頼する承認依頼処理を行う（ステップＳ２０５）。
【００７２】
そして、承認者の承認結果（許可または拒否）をＡＣＬに登録するようにＡＣＬ管理部１４０に指示し（ステップＳ２０６）、承認結果をアクセス仲介部１２０に回答する（ステップＳ２０７）。
【００７３】
このように、このアクセス制御部１３０が、アクセスを要求したクライアント機器１０のメタ情報を取得するメタ情報取得処理を行い、取得したメタ情報を承認者に提供して承認の可否判断を依頼する承認依頼処理を行うことによって、承認者は承認の可否判断を適確に行うことができる。
【００７４】
次に、メタ情報取得処理の処理手順について説明する。図８は、メタ情報取得処理の処理手順を示すフローチャートである。同図に示すように、このメタ情報取得処理では、アクセス制御部１３０は、メタ情報管理機能を検索する（ステップＳ３０１）。具体的には、UPnPで規定されているマルチキャストによる発見処理を行う。
【００７５】
そして、メタ情報管理機能を発見したか否かを判定し（ステップＳ３０２）、メタ情報管理機能を発見した場合には、サービスを要求したクライアント機器１０と同一ＩＰアドレスのメタ情報管理機能が存在するか否かを判定する（ステップＳ３０３）。
【００７６】
その結果、サービスを要求したクライアント機器１０と同一ＩＰアドレスのメタ情報管理機能が存在する場合には、そのメタ情報管理機能をアクセスし、メタ情報を取得する（ステップＳ３０４）。そして、取得したメタ情報を回答する（ステップＳ３０５）。
【００７７】
一方、サービスを要求したクライアント機器１０と同一ＩＰアドレスのメタ情報管理機能が存在しない場合には、未アクセスのメタ情報管理機能を一つ選択する（ステップＳ３０６）。そして、選択に成功した場合には（ステップＳ３０７、Ｙｅｓ）、サービスを要求したクライアント機器１０のＩＰアドレスをキーにメタ情報を取得する（ステップＳ３０８）。
【００７８】
そして、サービスを要求したクライアント機器１０のメタ情報が存在した場合には（ステップＳ３０９、Ｙｅｓ）、取得したメタ情報を回答し（ステップＳ３０５）、サービスを要求したクライアント機器１０のメタ情報が存在しない場合には（ステップＳ３０９、Ｎｏ）、ステップＳ３０６に戻って次のメタ情報管理機能を選択する。
【００７９】
また、未アクセスのメタ情報管理機能の選択に失敗した場合（ステップＳ３０７、Ｎｏ）、あるいは、メタ情報管理機能を発見できなかった場合には（ステップＳ３０２、Ｎｏ）、メタ情報なしと回答する（ステップＳ３１０）。
【００８０】
このように、アクセス制御部１３０が、メタ情報管理機能を検索し、サービスを要求したクライアント機器１０のメタ情報を取得することによって、承認者にメタ情報を提供することができる。
【００８１】
次に、承認依頼処理の処理手順について説明する。図９は、承認依頼処理の処理手順を示すフローチャートである。同図に示すように、この承認依頼処理では、アクセス制御部１３０は、まず承認依頼先機器としてサービス機器１００を設定する（ステップＳ４０１）。
【００８２】
そして、メタ情報管理機能を検索し、メタ情報管理機能を発見したか否かを判定する（ステップＳ４０２）。その結果、メタ情報管理機能を発見した場合には、未アクセスのメタ情報管理機能を一つ選択する（ステップＳ４０３）。そして、選択に失敗した場合には（ステップＳ４０４、Ｎｏ）、承認依頼先機器の承認機能を呼び出し（ステップＳ４０５）、承認依頼先機器から承認結果（許可または拒否）を取得して回答する（ステップＳ４０６）。
【００８３】
一方、未アクセスのメタ情報管理機能の選択に成功した場合には（ステップＳ４０４、Ｙｅｓ）、そのメタ情報管理機能にアクセスし、任意（全て）の機器のメタ情報を取得する（ステップＳ４０７）。
【００８４】
そして、取得したメタ情報の中に所有者情報がサービス機器１００と同じで、無操作時間が承認依頼先機器より短い機器があれば、その機器を承認依頼先機器に設定する（ステップＳ４０８）。そして、ステップＳ４０３に戻って他のメタ情報管理機能を選択する。
【００８５】
このように、アクセス制御部１３０が、各機器のメタ情報を取得し、所有者情報がサービス機器１００と同じで、無操作時間が最も短い機器を承認依頼先機器として選択することによって、承認者に最も都合が良いと思われる機器を承認機器２０とすることができる。
【００８６】
次に、ＡＣＬ管理部１４０の処理手順について説明する。図１０は、ＡＣＬ管理部１４０の処理手順を示すフローチャートである。同図に示すように、ＡＣＬ管理部１４０は、アクセス制御部１３０からのアクセスを受け付け（ステップＳ５０１）、アクセスがＡＣＬの参照要求であるか否かを判定する（ステップＳ５０２）。
【００８７】
その結果、アクセスがＡＣＬの参照要求である場合には、指定されたクライアント機器１０のＡＣＬの登録内容を回答し（ステップＳ５０３）、アクセスがＡＣＬの参照要求でない場合には、アクセスが登録要求であるか否かを判定する（ステップＳ５０４）。
【００８８】
その結果、アクセスがＡＣＬの登録要求である場合には、指定されたクライアント機器１０のＡＣＬを登録し（ステップＳ５０５）、正常終了を回答する（ステップＳ５０８）。一方、アクセスがＡＣＬの登録要求でない場合には、アクセスが削除要求であるか否かを判定する（ステップＳ５０６）。
【００８９】
その結果、アクセスがＡＣＬの削除要求である場合には、指定されたクライアント機器１０のＡＣＬを削除し（ステップＳ５０７）、正常終了を回答する（ステップＳ５０８）。一方、アクセスがＡＣＬの削除要求でない場合には、エラーを回答する（ステップＳ５０９）。
【００９０】
このように、ＡＣＬ管理部１４０がＡＣＬを管理することによって、一度承認者からアクセス可否の判断を取得した後は、アクセス可否の判断処理を効率良く行うことができる。
【００９１】
次に、メタ情報管理部１５０の処理手順について説明する。なお、ここでは、サービス機器１００のメタ情報管理部１５０の処理手順について説明するが、クライアント機器１０および承認機器２０も同様の手順で処理を行う。
【００９２】
図１１は、メタ情報管理部１５０の処理手順を示すフローチャートである。同図に示すように、メタ情報管理部１５０は、アクセスを受け付けると（ステップＳ６０１）、アクセスがメタ情報参照要求であるか否かを判定する（ステップＳ６０２）。
【００９３】
その結果、アクセスがメタ情報参照要求である場合には、指定された機器のメタ情報を回答し（ステップＳ６０３）、アクセスがメタ情報参照要求でない場合には、アクセスがメタ情報登録要求であるか否かを判定する（ステップＳ６０４）。
【００９４】
その結果、アクセスがメタ情報登録要求である場合には、指定された機器のメタ情報を登録し（ステップＳ６０５）、正常終了を回答する（ステップＳ６０８）。一方、アクセスがメタ情報の登録要求でない場合には、アクセスがメタ情報削除要求であるか否かを判定する（ステップＳ６０６）。
【００９５】
その結果、アクセスがメタ情報削除要求である場合には、指定された機器のメタ情報を削除し（ステップＳ６０７）、正常終了を回答する（ステップＳ６０８）。一方、アクセスがメタ情報削除要求でない場合には、エラーを回答する（ステップＳ６０９）。
【００９６】
このように、メタ情報管理部１５０がメタ情報を管理することによって、他の機器によるメタ情報取得要求に応答して、メタ情報を提供することができる。
【００９７】
次に、承認部２２の処理手順について説明する。なお、ここでは、承認機器２０の承認部２２の処理手順について説明するが、サービス機器１００の承認部１６０も同様の手順で処理を行う。
【００９８】
図１２は、承認部２２の処理手順を示すフローチャートである。同図に示すように、承認部２２は、アクセス制御部１３０からの承認要求を受け付け（ステップＳ７０１）、アクセス制御部１３０が指定したメタ情報などに基づいて承認画面を作成する（ステップＳ７０２）。
【００９９】
そして、作成した承認画面を表示し（ステップＳ７０３）、承認者が入力した承認結果を回答する（ステップＳ７０４）。
【０１００】
このように、承認部２２がアクセス制御部１３０が指定したメタ情報などに基づいて承認画面を作成することによって、承認者はアクセスの可否を適確に判断することができる。
【０１０１】
次に、本実施例に係るアクセス制御システムの動作シーケンスについて説明する。図１３は、本実施例に係るアクセス制御システムの動作シーケンスを示す図である。同図に示すように、このアクセス制御システムでは、
（１）クライアント機器１０のクライアント処理部１１がサービス利用者によるサービス要求操作を受け付ける。
（２）クライアント処理部１１は、サービス機器１００をアクセスするが、そのアクセスは一旦アクセス仲介部１２０が中継する。
（３）アクセス仲介部１２０は、アクセスを受け取ると、アクセス制御部１３０を呼び出す。
【０１０２】
（４）アクセス制御部１３０は、ＡＣＬ管理部１４０を呼び出し、アクセス元が既にＡＣＬに登録されているかどうかを確認する。
（５）ＡＣＬ管理部１４０は、ＡＣＬにアクセス元の登録の有無、登録されている場合にはアクセス許可（もしくは拒否）を回答する。ＡＣＬに許可または拒否が登録されている場合には、アクセス制御部１３０に許可または拒否を伝える。ＡＣＬに未登録の場合には、以下の処理を行う。ここで、最初はＡＣＬには何も登録されていないため、（６）に進む。
【０１０３】
（６）UPnPのサービス発見機能を用いて、メタ情報管理機能を検索する。
（７）メタ情報管理部は、検索要求に対して、自分の存在を回答する。その結果、サービス機器１００は、クライント機器１０および承認機器２０のメタ情報管理機能をアクセスするアドレス（URL）を得る。なお、発見できなかった場合には、（８）、（９）は省略する。
【０１０４】
（８）アクセス制御部１３０は、発見したメタ情報管理機能に対して、メタ情報を要求する。具体的には、まずクライント機器１０に関するメタ情報を要求し、次に他の機器のメタ情報を要求する。
（９）メタ情報管理部は、要求されたメタ情報を回答する。その結果、アクセス制御部１３０は、図３−１〜図３−３に示したメタ情報を得る。アクセス制御部１３０は、この取得したメタ情報を用いて、承認依頼を行う端末を決定する。すなわち、アクセス制御部１３０は、サービス機器１００と同一所有者で、サービス機器１００より無操作時間が短い承認機器２０を、承認依頼先機器として選択する。
【０１０５】
（１０）アクセス制御部１３０は、承認画面を表示する端末の承認部を呼び出す。すなわち、承認機器２０の承認部２２を呼び出す。
（１１）承認部２２は、アクセス元のホスト名、ＩＰアドレスなどに加えて、取得したメタ情報（取得できた場合）を承認者に提示し、アクセスの承認を求める。表示する承認依頼画面は、例えば図５のようになる。
【０１０６】
（１２）承認部２２は、承認者によるアクセスの承認結果（許可または拒否）を受け付ける。ここでは、承認者（Ｂさん）の許可ボタン押下を受け付けるとする。
（１３）承認部２２は、承認結果を回答する。すなわち、許可を回答する。
（１４）アクセス制御部１３０は、ＡＣＫ管理部１４０に、承認結果の登録を指示する。すなわち、ＩＰアドレス（192.168.1.101）と、承認結果（許可）の組を登録する。実行後のＡＣＬは、図４のようになる。
【０１０７】
（１５）ＡＣＬ管理部１４０は、登録が完了した旨を回答する。
（１６）アクセス制御部１３０は、アクセス仲介部１２０に、ユーザの承認結果、ここでは許可を回答する。なお、承認結果が拒否の場合には、アクセス仲介部１２０は、クライアント機器１０からのアクセスをエラーにする。
【０１０８】
（１７）承認結果が許可の場合には、アクセス仲介部１２０は、アクセスをサービス提供部１１０に中継する。
（１８）サービス提供部１１０は、処理結果を回答する。
（１９）アクセス仲介部１２０は、サービス提供部１１０からの回答を転送する
（２０）クライアント処理部１１は、得られた処理結果を、ユーザに表示する。
【０１０９】
上述してきたように、本実施例では、サービス機器１００のアクセス仲介部１２０がクライアント機器１０からのサービス要求を受け付けるとアクセス制御部１３０にアクセス可否を問い合せ、アクセス制御部１３０がＡＣＬ管理部１４０を介してＡＣＬを参照し、ＡＣＬに登録済みでない場合には、クライアント機器１０のメタ情報および他の機器のメタ情報を各機器のメタ情報管理部と連携して取得し、取得したメタ情報に基づいて承認機器２０を決定し、決定した承認機器２０にクライアント機器１０のメタ情報を表示させて承認者にサービス提供の可否判断を依頼することとしたので、承認者はサービス要求を行ったクライアント機器１０について多くの有益な情報をメタ情報として得ることができ、サービス提供の可否判断を適確に行うことができる。
【０１１０】
なお、本実施例では、サービス機器１００がアクセス仲介部１２０、アクセス制御部１３０、ＡＣＬ管理部１４０を有する場合について説明したが、本発明はこれに限定されるものではなく、これらの機能部をアクセス制御装置として別の装置が備える場合にも同様に適用することができる。
【０１１１】
また、本実施例では、機器の認証、通信の暗号化やメタ情報の信頼性などのセキュリティについては触れていないが、必要に応じて、既存のセキュリティ技術と組み合わせることができる。例えば、機器の認証としては、機器ごとに公開鍵暗号法による鍵を割り当てるような、ＰＫＩベースの方法を利用することができる。また、通信の暗号化では、ＳＳＬ（Secure Socket Layer）などの暗号化通信技術が適用できる。また、メタ情報の信頼性を確保するためには、電子署名などの技術が適用できる。
【０１１２】
また、本実施例では、クライアント機器、サービス機器および承認機器について説明したが、これらの機器が有する構成をソフトウェアによって実現することで、同様の機能を有するクライアントプログラム、サービスプログラムおよび承認プログラムを得ることができる。そこで、ここでは一例として、サービスプログラムの一部としてアクセス仲介部１２０、アクセス制御部１３０、ＡＣＬ管理部１４０の機能を実現するアクセス制御プログラムを実行するコンピュータについて説明する。
【０１１３】
図１４は、本実施例に係るアクセス制御プログラムを実行するコンピュータの構成を示す機能ブロック図である。同図に示すように、このコンピュータ２００は、ＲＡＭ２１０と、ＣＰＵ２２０と、ＨＤＤ２３０と、ＬＡＮインタフェース２４０と、入出力インタフェース２５０と、ＤＶＤドライブ２６０とを有する。
【０１１４】
ＲＡＭ２１０は、プログラムやプログラムの実行途中結果などを記憶するメモリであり、ＣＰＵ２２０は、ＲＡＭ２１０からプログラムを読み出して実行する中央処理装置である。
【０１１５】
ＨＤＤ２３０は、プログラムやデータを格納するディスク装置であり、ＬＡＮインタフェース２４０は、コンピュータ２００をＬＡＮ経由で他のコンピュータに接続するためのインタフェースである。
【０１１６】
入出力インタフェース２５０は、マウスやキーボードなどの入力装置および表示装置を接続するためのインタフェースであり、ＤＶＤドライブ２６０は、ＤＶＤの読み書きを行う装置である。
【０１１７】
そして、このコンピュータ２００において実行されるアクセス制御プログラム２１１は、ＤＶＤに記憶され、ＤＶＤドライブ２６０によってＤＶＤから読み出されてコンピュータ２００にインストールされる。
【０１１８】
あるいは、このアクセス制御プログラム２１１は、ＬＡＮインタフェース２４０を介して接続された他のコンピュータシステムのデータベースなどに記憶され、これらのデータベースから読み出されてコンピュータ２００にインストールされる。
【０１１９】
そして、インストールされたアクセス制御プログラム２１１は、ＨＤＤ２３０に記憶され、ＲＡＭ２１０に読み出されてＣＰＵ２２０によってアクセス制御プロセス２２１として実行される。
【０１２０】
なお、アクセス仲介部１２０の実現方法としては、以下のような様々な形態が取りえる。
・サービス提供部１１０の下位で動作するプラットフォーム・ライブラリ
・サービス提供部１１０と同じマシンで動作するパーソナル・ファイアウォール
・クライアント機器１０とサービス提供部１１０と間に位置し、通信を中継するゲートウェイ機器
【０１２１】
また、本実施例では、機器発見、連携プロトコルとしてUPnPを用いる場合について説明したが、本発明はこれに限定されるものではなく、他の機器発見、連携プロトコルを用いる場合にも同様に適用することができる。
【０１２２】
（付記１）ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御プログラムであって、
前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得手順と、
前記メタ情報取得手順により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得手順と、
前記アクセス可否取得手順により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御手順と、
をコンピュータに実行させることを特徴とするアクセス制御プログラム。
【０１２３】
（付記２）前記メタ情報取得手順は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手順と、
前記発見処理手順によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして前記要求機器メタ情報を取得する要求機器メタ情報取得手順と、
をコンピュータに実行させることを特徴とする付記１に記載のアクセス制御プログラム。
【０１２４】
（付記３）前記要求機器メタ情報取得手順は、前記クライアント機器が提供するメタ情報管理機能に優先的にアクセスして前記要求機器メタ情報を取得することを特徴とする付記２に記載のアクセス制御プログラム。
【０１２５】
（付記４）前記アクセス可否取得手順は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手順と、
前記発見処理手順によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして該メタ情報管理機能が提供する機器のメタ情報を候補機器メタ情報として取得する候補機器メタ情報取得手順と、
前記候補機器メタ情報取得手順により取得された候補機器メタ情報に基づいて前記アクセス承認者に前記要求機器メタ情報を提供する承認依頼機器を決定する承認依頼機器決定手順と、
前記承認依頼機器決定手順により決定された承認依頼機器に前記要求機器メタ情報を提供して前記アクセス可否を取得する依頼手順と、
をコンピュータに実行させることを特徴とする付記１、２または３に記載のアクセス制御プログラム。
【０１２６】
（付記５）前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、
前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器のうちの一つを前記承認依頼機器として決定することを特徴とする付記４に記載のアクセス制御プログラム。
【０１２７】
（付記６）前記候補機器メタ情報には、機器の無操作時間に関する情報が含まれ、
前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器のうち前記無操作時間が最も短い機器を前記承認依頼機器として決定することを特徴とする付記５に記載のアクセス制御プログラム。
【０１２８】
（付記７）前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、
前記承認依頼機器決定手順は、前記サービスを提供する機器と所有者が同じである機器がない場合には、該サービスを提供する機器を前記承認依頼機器として決定することを特徴とする付記４に記載のアクセス制御プログラム。
【０１２９】
（付記８）前記アクセス可否取得手順により取得されたアクセス可否に基づいて前記クライアント機器についてのアクセス制御リストを生成し、該生成したアクセス制御リストをアクセス制御リスト一覧に登録するアクセス制御リスト登録手順と、
前記アクセス制御リスト登録手順によりアクセス制御リストが登録されたアクセス制御リスト一覧を検索し、前記クライアント機器についてのアクセス制御リストが検索された場合には、該検索されたアクセス制御リストを用いてアクセス可否を取得するアクセス制御リスト参照手順と、
をさらにコンピュータに実行させることを特徴とする付記１〜７のいずれか一つに記載のアクセス制御プログラム。
【０１３０】
（付記９）前記発見処理手順は、UPnPで規定されているマルチキャストによる発見処理に基づいてメタ情報管理機能を発見することを特徴とする付記１〜８のいずれか一つに記載のアクセス制御プログラム。
【０１３１】
（付記１０）ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御方法であって、
前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得工程と、
前記メタ情報取得工程により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得工程と、
前記アクセス可否取得工程により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御工程と、
を含んだことを特徴とするアクセス制御方法。
【０１３２】
（付記１１）前記メタ情報取得工程は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理工程と、
前記発見処理工程によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして前記要求機器メタ情報を取得する要求機器メタ情報取得工程と、
を含んだことを特徴とする付記１０に記載のアクセス制御方法。
【０１３３】
（付記１２）前記要求機器メタ情報取得工程は、前記クライアント機器が提供するメタ情報管理機能に優先的にアクセスして前記要求機器メタ情報を取得することを特徴とする付記１１に記載のアクセス制御方法。
【０１３４】
（付記１３）前記アクセス可否取得工程は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理工程と、
前記発見処理工程によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして該メタ情報管理機能が提供する機器のメタ情報を候補機器メタ情報として取得する候補機器メタ情報取得工程と、
前記候補機器メタ情報取得工程により取得された候補機器メタ情報に基づいて前記アクセス承認者に前記要求機器メタ情報を提供する承認依頼機器を決定する承認依頼機器決定工程と、
前記承認依頼機器決定工程により決定された承認依頼機器に前記要求機器メタ情報を提供して前記アクセス可否を取得する依頼工程と、
を含んだことを特徴とする付記１０、１１または１２に記載のアクセス制御方法。
【０１３５】
（付記１４）前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、
前記承認依頼機器決定工程は、前記サービスを提供する機器と所有者が同じである機器のうちの一つを前記承認依頼機器として決定することを特徴とする付記１３に記載のアクセス制御方法。
【０１３６】
（付記１５）ネットワークで接続されたクライアント機器からのサービス提供要求に対してサービスへのアクセスを制御するアクセス制御装置であって、
前記クライアント機器のメタ情報である要求機器メタ情報を取得するメタ情報取得手段と、
前記メタ情報取得手段により取得された要求機器メタ情報を前記サービスへのアクセス承認者が承認に用いる機器に提供し、該機器が要求機器メタ情報を承認者に提供して承認者から受け付けたアクセス可否を取得するアクセス可否取得手段と、
前記アクセス可否取得手段により取得されたアクセス可否に基づいて前記サービスへのアクセスを制御するサービス提供制御手段と、
を備えたことを特徴とするアクセス制御装置。
【０１３７】
（付記１６）前記メタ情報取得手段は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手段と、
前記発見処理手段によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして前記要求機器メタ情報を取得する要求機器メタ情報取得手段と、
を備えたことを特徴とする付記１５に記載のアクセス制御装置。
【０１３８】
（付記１７）前記要求機器メタ情報取得手段は、前記クライアント機器が提供するメタ情報管理機能に優先的にアクセスして前記要求機器メタ情報を取得することを特徴とする付記１６に記載のアクセス制御装置。
【０１３９】
（付記１８）前記アクセス可否取得手段は、ネットワークで接続された機器に対してメタ情報管理機能を検索する発見処理手段と、
前記発見処理手段によりメタ情報管理機能が検索された場合に、該検索されたメタ情報管理機能にアクセスして該メタ情報管理機能が提供する機器のメタ情報を候補機器メタ情報として取得する候補機器メタ情報取得手段と、
前記候補機器メタ情報取得手段により取得された候補機器メタ情報に基づいて前記アクセス承認者に前記要求機器メタ情報を提供する承認依頼機器を決定する承認依頼機器決定手段と、
前記承認依頼機器決定手段により決定された承認依頼機器に前記要求機器メタ情報を提供して前記アクセス可否を取得する依頼手段と、
を備えたことを特徴とする付記１５、１６または１７に記載のアクセス制御装置。
【０１４０】
（付記１９）前記候補機器メタ情報には、機器の所有者に関する情報が含まれ、
前記承認依頼機器決定手段は、前記サービスを提供する機器と所有者が同じである機器のうちの一つを前記承認依頼機器として決定することを特徴とする付記１８に記載のアクセス制御装置。
【産業上の利用可能性】
【０１４１】
以上のように、本発明に係るアクセス制御プログラム、アクセス制御方法およびアクセス制御装置は、情報機器をネットワークに接続して他の情報機器が提供するサービスを受ける場合に有用であり、特に、セキュリティが重要である場合に適している。
【図面の簡単な説明】
【０１４２】
【図１】本実施例に係るアクセス制御システムのシステム構成を示す図である。
【図２】アクセス制御システムの構築例を示す図である。
【図３−１】クライアント機器のメタ情報管理部が管理するメタ情報の一例を示す図である。
【図３−２】サービス機器のメタ情報管理部が管理するメタ情報の一例を示す図である。
【図３−３】承認機器のメタ情報管理部が管理するメタ情報の一例を示す図である。
【図４】ＡＣＬ管理部が管理するＡＣＬの一例を示す図である。
【図５】承認機器が出力する承認依頼画面の一例を示す図である。
【図６】アクセス仲介部の処理手順を示すフローチャートである。
【図７】アクセス制御部の処理手順を示すフローチャートである。
【図８】メタ情報取得処理の処理手順を示すフローチャートである。
【図９】承認依頼処理の処理手順を示すフローチャートである。
【図１０】ＡＣＬ管理部の処理手順を示すフローチャートである。
【図１１】メタ情報管理部の処理手順を示すフローチャートである。
【図１２】承認部の処理手順を示すフローチャートである。
【図１３】本実施例に係るアクセス制御システムの動作シーケンスを示す図である。
【図１４】本実施例に係るアクセス制御プログラムを実行するコンピュータの構成を示す機能ブロック図である。
【図１５】承認者にアクセス許否判断を促すダイアログウインドウの一例を示す図である。
【符号の説明】
【０１４３】
１０    クライアント機器
１１    クライアント処理部
１２    メタ情報管理部
２０    承認機器
２１    メタ情報管理部
２２    承認部
１００    サービス機器
１１０    サービス提供部
１２０    アクセス仲介部
１３０    アクセス制御部
１４０    ＡＣＬ管理部
１５０    メタ情報管理部
１６０    承認部
２００    コンピュータ
２１０    ＲＡＭ
２１１    アクセス制御プログラム
２２０    ＣＰＵ
２２１    アクセス制御プロセス
２３０    ＨＤＤ
２４０    ＬＡＮインタフェース
２５０    入出力インタフェース
２６０    ＤＶＤドライブ
【図１】
2007188184.tif 000003
【図２】
2007188184.tif 000004
【図３−１】
2007188184.tif 000005
【図３−２】
2007188184.tif 000006
【図３−３】
2007188184.tif 000007
【図４】
2007188184.tif 000008
【図５】
2007188184.tif 000009
【図６】
2007188184.tif 000010
【図７】
2007188184.tif 000011
【図８】
2007188184.tif 000012
【図９】
2007188184.tif 000013
【図１０】
2007188184.tif 000014
【図１１】
2007188184.tif 000015
【図１２】
2007188184.tif 000016
【図１３】
2007188184.tif 000017
【図１４】
2007188184.tif 000018
【図１５】
2007188184.tif 000019