(57)【要約】【課題】本発明は、対象を不許可状態から許可状態に切り替えるための切替操作を行う際に、管理サーバの不具合や通信障害が発生したとしても、対象を不許可状態から許可状態に切り替えることが可能な管理サーバを提供することを目的とする。【解決手段】  管理サーバ（６）が、移動端末装置（６）のユーザに対して設定された権限情報を取得し、取得した権限情報を権限情報記憶部（６ｂ）に記憶するとともに、権限情報記憶部（６ｂ）が記憶している権限情報を移動端末装置（６）に送信する。【選択図】図１
2016143230.tif 000002
【特許請求の範囲】
【請求項１】
不許可状態から許可状態に切り替わる対象に対する不許可状態若しくは許可状態の権限を表す権限情報を送信する管理サーバと、前記管理サーバから送信された権限情報を記憶するセキュアエレメントを有する移動端末装置と、近距離無線通信を介して前記セキュアエレメントが記憶している権限情報を取得し、取得した権限情報が許可状態の権限を表す場合に、前記対象を不許可状態から許可状態に切り替える状態切替装置とを備えた状態切替システムの前記管理サーバであって、
前記移動端末装置のユーザに対して設定された権限情報を取得する権限情報取得部と、
前記権限情報取得部で取得した権限情報を記憶する権限情報記憶部と、
前記権限情報記憶部が記憶している権限情報を前記移動端末装置に送信する権限情報送信部とを備えることを特徴とする管理サーバ。
【請求項２】
前記権限情報送信部は、前記移動端末装置から権限情報の送信要求を受信すると、前記権限情報記憶部が記憶している権限情報を前記移動端末装置に送信することを特徴とする請求項１に記載の管理サーバ。
【請求項３】
前記送信要求は、前記移動端末装置のユーザによって入力された照合用コードを含み、
前記権限情報送信部は、前記移動端末装置から権限情報の送信要求を受信すると、受信した送信要求が含んでいる照合用コードと予め登録されている照合用コードとが一致していると判定した場合に、前記権限情報記憶部が記憶している権限情報を前記移動端末装置に送信することを特徴とする請求項２に記載の管理サーバ。
【請求項４】
前記対象は、許可状態として解錠状態をとり、不許可状態として施錠状態をとる電気錠であることを特徴とする請求項１から３のいずれか１項に記載の管理サーバ。
【請求項５】
不許可状態から許可状態に切り替わる対象に対する不許可状態若しくは許可状態の権限を表す権限情報を送信する管理サーバと、前記管理サーバから送信された権限情報を記憶する移動端末装置と、近距離無線通信を介して前記移動端末装置が記憶している権限情報を取得し、取得した権限情報が許可状態の権限を表す場合に、前記対象を不許可状態から許可状態に切り替える状態切替装置とを備えた状態切替システムの前記移動端末装置であって、
前記管理サーバから送信された前記権限情報を記憶するセキュアエレメントと、
近距離無線通信を介して前記セキュアエレメントが記憶している前記権限情報を前記状態切替装置に送信する近距離無線通信部とを備えることを特徴とする移動端末装置。
【請求項６】
不許可状態から許可状態に切り替わる対象に対する不許可状態若しくは許可状態の権限を表す権限情報を送信する管理サーバと、前記管理サーバから送信された権限情報を記憶するセキュアエレメントを有する移動端末装置と、近距離無線通信を介して前記セキュアエレメントが記憶している権限情報を取得し、取得した権限情報が許可状態の権限を表す場合に、前記対象を不許可状態から許可状態に切り替える状態切替装置とを備えた状態切替システムの前記管理サーバを、
前記移動端末装置のユーザに対して設定された権限情報を取得する権限情報取得部、
前記権限情報取得部で取得した権限情報を記憶する権限情報記憶部、
および前記権限情報記憶部が記憶している権限情報を前記移動端末装置に送信する権限情報送信部として機能させることを特徴とする管理サーバの制御プログラム。
【請求項７】
不許可状態から許可状態に切り替わる対象に対する不許可状態若しくは許可状態の権限を表す権限情報を送信する管理サーバと、前記管理サーバから送信された権限情報を記憶するセキュアエレメントを有する移動端末装置と、近距離無線通信を介して前記セキュアエレメントが記憶している権限情報を取得し、取得した権限情報が許可状態の権限を表す場合に、前記対象を不許可状態から許可状態に切り替える状態切替装置とを備えた状態切替システムの前記管理サーバの制御方法であって、
前記移動端末装置のユーザに対して設定された権限情報を取得し、取得した権限情報を権限情報記憶部に記憶するとともに、前記権限情報記憶部が記憶している権限情報を前記移動端末装置に送信することを特徴とする管理サーバの制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、入退室管理システム等に用いられる、管理サーバ、移動端末装置、管理サーバの制御プログラム、および管理サーバの制御方法に関する。
【背景技術】
【０００２】
入退室管理システムとしては、例えば、非特許文献１に記載の技術がある。この非特許文献１に記載の技術では、入退室カードをリーダライタにかざすと、リーダライタが、近距離無線通信を介して、入退室カードに記憶されている照合用情報を取得する。続いて、コントローラが、リーダライタで取得された照合用情報をインターネットを介して管理会社の管理サーバに送信する。続いて、管理サーバが、コントローラから送信された照合用情報と予め登録されている登録情報とを照合し、これらの照合結果をコントローラに送信する。続いて、コントローラが、管理サーバから送信された照合結果に応じて、管理対象ドアの電気錠を施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替える。これにより、入退室カードのユーザは、管理対象ドアを通過することができる。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】株式会社日立ビルシステム、“入退室管理（オフィス向け）”、[online]、 [平成２４年１２月２６日検索]、インターネット（ＵＲＬ: http://www.hbs.co.jp/solution/security/equipment-system/acs_feature.html）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、上記非特許文献１に記載の技術では、入退室カードをリーダライタにかざしたときに、管理サーバの不具合や、管理サーバとコントローラとの間の通信障害が発生した場合、電気錠を施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えることができない。それゆえ、入退室カードのユーザは、管理対象ドアを通過できない。
本発明は、上記のような点に着目し、対象を不許可状態から許可状態に切り替えるための切替操作を行う際に、管理サーバの不具合や通信障害が発生したとしても、対象を不許可状態から許可状態に切り替えることが可能な管理サーバ、移動端末装置、管理サーバの制御プログラム、および管理サーバの制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明の管理サーバの一態様は、不許可状態から許可状態に切り替わる対象に対する不許可状態若しくは許可状態の権限を表す権限情報を送信する管理サーバと、管理サーバから送信された権限情報を記憶するセキュアエレメントを有する移動端末装置と、近距離無線通信を介してセキュアエレメントが記憶している権限情報を取得し、取得した権限情報が許可状態の権限を表す場合に、対象を不許可状態から許可状態に切り替える状態切替装置とを備えた状態切替システムの管理サーバであって、移動端末装置のユーザに対して設定された権限情報を取得する権限情報取得部と、権限情報取得部で取得した権限情報を記憶する権限情報記憶部と、権限情報記憶部が記憶している権限情報を移動端末装置に送信する権限情報送信部とを備えることを特徴とする。
【発明の効果】
【０００６】
本発明の一態様によれば、対象を不許可状態から許可状態に切り替えるための切替操作が行われる前に、管理サーバの権限情報記憶部が記憶している権限情報を移動端末装置のセキュアエレメントに記憶させることで、切替操作を行う際に、管理サーバの不具合や通信障害が発生したとしても、対象を不許可状態から許可状態に切り替えることができる。
【図面の簡単な説明】
【０００７】
【図１】第１実施形態に係る入退室管理システム１の概略構成を表す概念図である。
【図２】権限情報を説明するための図である。
【図３】管理用データベースを説明するための図である。
【図４】初期発行処理を表すフローチャートである。
【図５】二次発行処理を表すフローチャートである。
【図６】初期発行処理のシーケンス図である。
【図７】管理者側端末装置５が生成した権限情報を表す図である。
【図８】修正後の管理用データベースを表す図である。
【図９】第２実施形態の管理用データベースを説明するための図である。
【図１０】二次発行処理を表すフローチャートである。
【図１１】管理者側端末装置５が生成した権限情報を表す図である。
【図１２】修正後の管理用データベースを表す図である。
【発明を実施するための形態】
【０００８】
以下、本発明の実施形態を図面に基づき説明する。
（第１実施形態）
第１実施形態では、会社のドアそれぞれに設けられ、施錠状態（以下、「通過不許可状態」とも呼ぶ）から解錠状態（以下、「通過許可状態」とも呼ぶ）に切り替わる電気錠７ａ（広義には、「対象」）を、社員が所持する移動端末装置６によって解錠状態（通過許可状態）に切り替え可能とする入退室管理システム１に適用した。
【０００９】
（構成）
図１に示すように、入退室管理システム１は、アプリサーバ２と、ＭＮＯ(Mobile Network Operator)側サーバ３と、ＳＰ(Service Provider)側サーバ４と、管理者側端末装置５と、移動端末装置６と、電気錠制御装置７とを備える。アプリサーバ２、ＭＮＯ側サーバ３、ＳＰ側サーバ４、管理者側端末装置５、および移動端末装置６は、携帯電話通信網、インターネット等を用いて、互いに情報を送受信可能な通信路８を確立している。
アプリサーバ２は、アプリ提供会社によって運営されるサーバである。アプリサーバ２は、解錠用ＵＩアプリを記憶している。解錠用ＵＩアプリとは、移動端末装置６上で動作し、移動端末装置６のユーザからの操作を受け付けるインターフェースを提供するソフトウェアである。そして、アプリサーバ２は、移動端末装置６からダウンロードリクエストが送信されると、解錠用ＵＩアプリを送信元の移動端末装置６に送信する。これにより、移動端末装置６は、解錠用ＵＩアプリをインストールする。
【００１０】
ＭＮＯ側サーバ３は、ＭＮＯによって運営されるサーバである。ＭＮＯ側サーバ３は、制御プログラムによって動作し、ＭＮＯ−ＴＳＭ(Trusted Service Manager)としての機能を提供する。ＭＮＯ側サーバ３は、ドア管理アプレットを記憶している。ドア管理アプレットとは、移動端末装置６のＵＩＭ６ｃ（後述）上で動作し、電気錠制御装置７のリーダライタ７ｂ（後述）からの送信リクエスト（後述）等に基づき各種処理を行うソフトウェアである。そして、ＭＮＯ側サーバ３は、移動端末装置６から発行リクエストを受信すると、ドア管理アプレットを送信元の移動端末装置６のＵＩＭ６ｃに送信する。これにより、ＵＩＭ６ｃは、ドア管理アプレットをセキュアエレメント６ｃａ（後述）に記憶する。また、ＭＮＯ側サーバ３は、ドア管理アプレットの送信を終了すると、発行リクエストの送信元の移動端末装置６に発行レスポンスを送信する。
【００１１】
ＳＰ側サーバ４は、ＳＰによって運営されるサーバである。ＳＰ側サーバ４は、制御プログラムによって動作し、ＳＰ−ＴＳＭとしての機能を提供する。ＳＰ側サーバ４は、権限情報取得部４ａと、権限情報記憶部４ｂと、権限情報送信部４ｃとを備える。すなわち、ＳＰ側サーバ４の制御プログラムは、ＳＰ側サーバ４を権限情報取得部４ａ、権限情報記憶部４ｂ、および権限情報送信部４ｃとして機能させる。
権限情報取得部４ａは、管理者側端末装置５から送信される権限情報を取得する。権限情報とは、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替える権限、つまり、電気錠７ａ（対象）に対する通過不許可状態若しくは通過許可状態の権限を表す情報である。権限情報は、図２に示すように、フィールドとして、「ユーザＩＤ」、「名前」、「ドアＩＤ」、「ステータス」、および「有効期限」が設定されている。「ドアＩＤ」、「ステータス」、および「有効期限」からなる群（以下、「フィールド群」とも呼ぶ）は、対象とするドアそれぞれに設定される。第１実施形態では、対象とするドアとして、第１ドア、第２ドアおよび第３ドアが設定されている。
【００１２】
「ユーザＩＤ」は、移動端末装置６のユーザ（社員）を識別するための番号である。「名前」は、移動端末装置６のユーザ（社員）の名前である。「ドアＩＤ」は、対象とするドアを識別するための識別番号である。「ステータス」とは、対象とするドアに設けられた電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替える権限（通過不許可状態、通過許可状態の権限）を表す情報である。例えば、解錠状態に切り替える権限がないこと（通過不許可状態）を表す「ロック」、解錠状態に切り替える権限があること（通過許可状態）を表す「アンロック」がある。「有効期限」とは、解錠権限の有効期限、つまり、「アンロック」を維持する期限である。
【００１３】
権限情報記憶部４ｂは、権限情報取得部４ａで取得された権限情報を記憶する。具体的には、権限情報記憶部４ｂは、管理用データベースを記憶している。管理用データベースの各レコードは、移動端末装置６のユーザ（社員）それぞれに対応付けられている。また、図３に示すように、フィールドとして、「ユーザＩＤ」、「名前」、「パスワード」、「ドアＩＤ」、「ステータス」、「有効期限」が設定されている。「ドアＩＤ」、「ステータス」、および「有効期限」は、対象とするドア（第１ドア、第２ドア、第３ドア）それぞれに設定される。「パスワード」は、ユーザ認証用に付与する番号である。
なお、フィールド「ユーザＩＤ」、「名前」、「パスワード」、「ドアＩＤ」、および「ステータス」のフィールド値は、管理用データベースの作成時に予め設定しておく。その際、フィールド「ステータス」のフィールド値は「ロック」とする。
【００１４】
権限情報送信部４ｃは、移動端末装置６からユーザＩＤを含んでいるパーソリクエスト（後述）または権限情報の送信要求（後述）を受信すると、受信したパーソリクエストまたは権限情報の送信要求が含んでいるユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を権限情報記憶部４ｂが記憶している管理用データベースから抽出する。続いて、権限情報送信部４ｃは、抽出したレコード（権限情報）を送信元の移動端末装置６のＵＩＭ６ｃに送信する。これにより、ＵＩＭ６ｃは、受信した権限情報をセキュアエレメント６ｃａに記憶させる。また、ＳＰ側サーバ４は、権限情報の送信を終了すると、パーソレスポンスを送信元の移動端末装置６に送信する。
【００１５】
また、ユーザ認証部４ｄは、移動端末装置６からユーザＩＤとパスワードとが送信されると、ユーザ認証処理を実行する。ユーザ認証処理では、ユーザ認証部４ｄは、移動端末装置６から送信されたユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコードを権限情報記憶部４ｂが記憶している管理用データベースから抽出する。続いて、ユーザ認証部４ｄは、抽出したレコードの「パスワード」のフィールド値と、移動端末装置６から送信されたパスワードとが一致するか否かを判定する。そして、ユーザ認証部４ｄは、一致すると判定した場合に、認証信号を移動端末装置６に送信する。
【００１６】
管理者側端末装置５は、総務部等の管理部門が所持する端末装置である。管理者側端末装置５は、社員から入室申請等があったときに、管理部門によって操作され、社員、つまり、移動端末装置６のユーザに対して権限情報を設定（生成）する。続いて、管理者側端末装置５は、生成した権限情報をＳＰ側サーバ４に送信する。これにより、ＳＰ側サーバ４は、管理用データベースのレコードの権限情報を書き換える。
移動端末装置６は、社員が所持する端末装置である。例えば、スマートフォンを採用できる。移動端末装置６は、ＮＦＣアンテナ６ａと、ＮＦＣコントローラ６ｂと、ＵＩＭ６ｃと、ホストＣＰＵ(Central Processing Unit)６ｄと、ディスプレイ６ｅとを備える。
【００１７】
ＮＦＣアンテナ６ａは、ＮＦＣアンテナ６ａから設定範囲内に存在するリーダライタ７ｂから出力される電磁界で生じた電流、つまり、データ（権限情報の送信リクエスト）が変調された電流をＮＦＣコントローラ６ｂに出力する。また、ＮＦＣアンテナ６ａは、ＮＦＣコントローラ６ｂから出力される電流、つまり、データ（権限情報）が変調された電流で電磁界を生じ、通信可能範囲内に存在するリーダライタ７ｂに出力する。
ＮＦＣコントローラ６ｂは、ＮＦＣアンテナ６ａから出力される電流に変調されたデータ（権限情報の送信リクエスト）をＵＩＭ６ｃに出力する。また、ＮＦＣコントローラ６ｂは、ＵＩＭ６ｃから出力されるデータ（権限情報）を変調した電流をＮＦＣアンテナ６ａに出力する。これにより、ＮＦＣコントローラ６ｂは、近距離無線通信を介して、セキュアエレメント６ｃａが記憶している権限情報をリーダライタ７ｂに送信する。
【００１８】
ＵＩＭ６ｃは、ＭＮＯ側サーバ３からドア管理アプレットが送信されると、送信されたドア管理アプレットをセキュアエレメント６ｃａに記憶する。セキュアエレメント６ｃａとは、解析が困難なセキュアな領域である。また、ＵＩＭ６ｃは、ドア管理アプレットの記憶が完了すると、完了したことを表す信号をＭＮＯ側サーバ３に送信する。これにより、ＭＮＯ側サーバ３は、信号の送信元の移動端末装置６に発行レスポンスを送信する。
また、ＵＩＭ６ｃは、セキュアエレメント６ｃａが記憶している管理アプレットを実行する。管理アプレットでは、ＵＩＭ６ｃは、ＳＰ側サーバ４から権限情報が送信されると、図２に示すように、送信された権限情報（「ユーザＩＤ」、「名前」「ドアＩＤ」、「ステータス」、「有効期限」）をセキュアエレメント６ｃａに記憶する。なお、既に権限情報が記憶されている場合には、権限情報を上書きして記憶する。また、ＵＩＭ６ｃは、権限情報の記憶が完了すると、完了したことを表す信号をＳＰ側サーバ４に送信する。これにより、ＳＰ側サーバ４は、信号の送信元の移動端末装置６にパーソレスポンスを送信する。
【００１９】
このように、第１実施形態によれば、ＳＰ側サーバ４から送信された権限情報をセキュアエレメント６ｃａに記憶する。それゆえ、権限情報を安全に記憶することができる。
さらに、管理アプレットでは、ＵＩＭ６ｃは、ＮＦＣコントローラ６ｂから権限情報の送信リクエストが出力されると、セキュアエレメント６ｃａが記憶している権限情報をＮＦＣコントローラ６ｂに出力する。これにより、ＮＦＣコントローラ６ｂは、ＮＦＣアンテナ６ａを用い、近距離無線通信を介して、リーダライタ７ｂに権限情報を送信する。
【００２０】
ホストＣＰＵ６ｄは、Ａ/Ｄ（Analog to Digital）変換回路、Ｄ/Ａ（Digital to Analog）変換回路、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、およびＲＡＭ（Random Access Memory）等から構成した集積回路を備える。ホストＣＰＵ６ｄは、ユーザ（社員）の操作によって、解錠用ＵＩアプリのダウンロードリクエストをアプリサーバ２に送信する。これにより、アプリサーバ２は、解錠用ＵＩアプリを移動端末装置６に送信する。なお、ホストＣＰＵ６ｄとＭＮＯ側サーバ３との間の通信、ホストＣＰＵ６ｄとＳＰ側サーバ４との間の通信は、ＴＳＭプロキシエージェントを用いて行われる。また、ホストＣＰＵ６ｄは、受信した解錠用ＵＩアプリをインストールする。
【００２１】
また、ホストＣＰＵ６ｄは、インストールした解錠用ＵＩアプリを実行する。解錠用ＵＩアプリでは、ホストＣＰＵ６ｄは、初期発行処理、および二次発行処理を実行する。初期発行処理、および二次発行処理の詳細については後述する。
ディスプレイ６ｅは、ホストＣＰＵ６ｄからの指令に従って、初期発行処理および二次発行処理で用いられる画像を表示する。また、ディスプレイ６ｅは、ディスプレイ６ｅに表示された画像をユーザ（社員）がタッチ操作可能とするタッチパネル６ｅａを備える。
【００２２】
電気錠制御装置７は、対象とするドア（第１ドア、第２ドアおよび第３ドア）それぞれに一対一に対応付けられている。電気錠制御装置７は、電気錠７ａと、リーダライタ７ｂと、電気錠制御部７ｃとを備える。電気錠７ａは、自装置７（電気錠制御装置７）が対応付けられているドア（以下、「対応ドア」とも呼ぶ）に設けられている。電気錠７ａは、対応ドアをロックする施錠状態と、対応ドアのロックを解除する解錠状態とをとり得る。
リーダライタ７ｂは、リーダライタ７ｂから設定範囲内にデータ（送信リクエスト）を変調した電流を発生させる電磁界を形成する。また、リーダライタ７ｂは、移動端末装置６から出力された電磁界で生じた電流、つまり、データ（権限情報）が変調された電流を取得し、取得した電流に変調されたデータ（権限情報）を電気錠制御部７ｃに送信する。
【００２３】
電気錠制御部７ｃは、リーダライタ７ｂからデータ（権限情報）を受信し、受信したデータ（権限情報）が、対応ドアの電気錠７ａの解錠状態の権限（通過許可状態の権限）を表す場合に、電気錠７ａを解錠状態とする。具体的には、電気錠制御部７ｃは、受信したデータ（権限情報）に含まれている３つのフィールド群（「ドアＩＤ」、「ステータス」、および「有効期限」からなる群）のうちから、「ドアＩＤ」のフィールド値が対応ドアのドアＩＤと一致するフィールド群を抽出する。続いて、電気錠制御部７ｃは、抽出したフィールド群の「ステータス」のフィールド値が「アンロック」である場合に、電気錠７ａを解錠状態とする。また、電気錠制御部７ｃは、電気錠７ａを解錠状態とした後、予め定めた設定時間（例えば、１０秒）が経過すると、対応ドアを電気錠７ａを施錠状態とする。
【００２４】
（演算処理）
次に、ホストＣＰＵ６ｄが実行する初期発行処理について説明する。初期発行処理は、解錠用ＵＩアプリが起動されると実行される。
図４に示すように、ステップＳ１０１では、ホストＣＰＵ６ｄは、ユーザＩＤおよびパスワードを入力するテキストボックスと発行ボタンとを表示させる指令をディスプレイ６ｅに送信する。これにより、ディスプレイ６ｅは、テキストボックスと発行ボタンとを表示する。また、移動端末装置６のユーザ（社員）は、タッチパネル６ｅａを操作して、テキストボックスにユーザＩＤおよびパスワードを入力した後、発行ボタンをタッチ操作する。
【００２５】
続いてステップＳ１０２に移行して、ホストＣＰＵ６ｄは、発行ボタンがタッチ操作されるまで待機状態とし、発行ボタンがタッチ操作されると、テキストボックスに入力されたユーザＩＤおよびパスワードをＳＰ側サーバ４に送信する。これにより、ＳＰ側サーバ４は、ユーザ認証を実行し、ユーザＩＤ等の送信元の移動端末装置６に認証信号を送信する。
ステップＳ１０３では、ホストＣＰＵ６ｄは、ＳＰ側サーバ４から認証信号が送信されるまで待機状態とする。続いて、ホストＣＰＵ６ｄは、認証信号が送信されると、発行リクエストをＭＮＯ側サーバ３に送信する。これにより、ＭＮＯ側サーバ３は、発行リクエストの送信元の移動端末装置６のＵＩＭ６ｃにドア管理アプレットを送信する。
【００２６】
続いてステップＳ１０４に移行して、ホストＣＰＵ６ｄは、ＭＮＯ側サーバ３から発行レスポンスが送信されるまで待機状態とする。続いて、ホストＣＰＵ６ｄは、発行レスポンスが送信されると、パーソリクエストをＳＰ側サーバ４に送信する。パーソリクエストは、ステップＳ１０１のテキストボックスに入力されたユーザＩＤを含む。これにより、ＳＰ側サーバ４は、管理用データベースからパーソリクエストが含むユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を抽出し、抽出したレコード（権限情報）をパーソリクエストの送信元の移動端末装置６のＵＩＭ６ｃに送信する。
続いてステップＳ１０５に移行して、ホストＣＰＵ６ｄは、ＳＰ側サーバ４からパーソレスポンスが送信されるまで待機状態とし、パーソレスポンスが送信されると、完了処理リクエストをＭＮＯ側サーバ３に送信する。これにより、ＭＮＯ側サーバ３は、完了処理リクエストの送信元の移動端末装置６のホストＣＰＵ６ｄに完了レスポンスを送信する。また、ホストＣＰＵ６ｄは、ＭＮＯ側サーバ３から完了レスポンスが送信されるまで待機状態とし、完了レスポンスが送信されると、この初期発行処理を終了する。
【００２７】
次に、ホストＣＰＵ６ｄが実行する二次発行処理について説明する。二次発行処理は、一次発行処理が終了すると実行される。
図５に示すように、ステップＳ２０１では、ホストＣＰＵ６ｄは、予め定められた設定時間（例えば、１２時間）が経過するたびに、自装置６（移動端末装置６）のユーザの権限情報の送信要求をＳＰ側サーバ４に送信する。送信要求は、ステップＳ１０１のテキストボックスに入力されたユーザＩＤを含む。これにより、ＳＰ側サーバ４は、送信要求が含んでいるユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を権限情報記憶部４ｂが記憶している管理用データベースから抽出する。そして、ＳＰ側サーバ４は、抽出したレコード（権限情報）を送信要求の送信元の移動端末装置６のＵＩＭ６ｃに送信する。
【００２８】
（動作その他）
次に、第１実施形態の入退室管理システム１の動作を説明する。
まず、移動端末装置６が、解錠用ＵＩアプリのダウンロードリクエストをアプリサーバ２に送信する。すると、アプリサーバ２が、解錠用ＵＩアプリを移動端末装置６に送信する。続いて、移動端末装置６が、受信した解錠用ＵＩアプリをインストールする。続いて、移動端末装置６が、ユーザ（社員）の操作で解錠用ＵＩアプリが起動すると、ユーザＩＤおよびパスワードを入力するテキストボックスと発行ボタンとを表示させる指令をディスプレイ６ｅに送信する（図４のステップＳ１０１）。続いて、ディスプレイ６ｅが、テキストボックスと発行ボタンとを表示する。これにより、移動端末装置６のユーザ（社員）に、ユーザＩＤおよびパスワードの入力と、発行ボタンのタッチ操作とが促される。
【００２９】
ここで、移動端末装置６のユーザ（社員）が、タッチパネル６ｅａを操作して、テキストボックスにユーザＩＤおよびパスワードを入力した後、発行ボタンをタッチ操作したとする。すると、移動端末装置６が、図６に示すように、入力されたユーザＩＤおよびパスワードをＳＰ側サーバ４に送信する（図４のステップＳ１０２）。続いて、ＳＰ側サーバ４が、ユーザ認証を実行し、ユーザＩＤ等の送信元の移動端末装置６に認証信号を送信する。
続いて、移動端末装置６が、発行リクエストをＭＮＯ側サーバ３に送信する（図４のステップＳ１０３）。続いて、ＭＮＯ側サーバ３が、発行リクエストの送信元の移動端末装置６のＵＩＭ６ｃにドア管理アプレットを送信する。続いて、ＵＩＭ６ｃが、送信されたドア管理アプレットをセキュアエレメント６ｃａに記憶する。続いて、ＵＩＭ６ｃが、ドア管理アプレットの記憶が完了したことを表す信号をＭＮＯ側サーバ３に送信する。続いて、ＭＮＯ側サーバ３が、信号の送信元の移動端末装置６に発行レスポンスを送信する。
【００３０】
続いて、移動端末装置６が、パーソリクエスト（移動端末装置６のユーザ（社員）のユーザＩＤを含むリクエスト）をＳＰ側サーバ４に送信する（図４のステップＳ１０４）。続いて、ＳＰ側サーバ４が、管理用データベースからパーソリクエストが含むユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を抽出し、抽出したレコード（権限情報）をパーソリクエストの送信元の移動端末装置６のＵＩＭ６ｃに送信する。続いて、ＵＩＭ６ｃが、送信された権限情報をセキュアエレメント６ｃａに記憶する。
続いて、移動端末装置６が、完了処理リクエストをＭＮＯ側サーバ３に送信する（図４のステップＳ１０５）。続いて、ＭＮＯ側サーバ３が、完了処理リクエストの送信元の移動端末装置６のホストＣＰＵ６ｄに完了レスポンスを送信する。続いて、移動端末装置６が、ＭＮＯ側サーバ３から完了レスポンスが送信されると、初期発行処理を終了する。
【００３１】
ここで、移動端末装置６のユーザ（社員）が、「第１ドア」によって閉じられた部屋（以下、「対象部屋」とも呼ぶ）への入室申請を行ったとする。そして、管理部門が、管理者側端末装置５を操作し、管理者側端末装置５に権限情報を生成させる。すると、管理者側端末装置５が、生成した権限情報をＳＰ側サーバ４に送信する。例えば、移動端末装置６のユーザ（社員）のユーザＩＤが「１０１」である場合、図７に示すように、「ユーザＩＤ」のフィールド値を「１０１」とし、「第１ドア」の「ステータス」のフィールド値を「アンロック」とし、「第１ドア」の「有効期限」のフィールド値を適切な期日（例えば、「１６/３/３１」）とし、「第２ドア」および「第３ドア」の「ステータス」のフィールド値を「ロック」とした、権限情報を生成・送信する。続いて、ＳＰ側サーバ４が、図８に示すように、送信された権限情報を用いて、管理用データベースのレコードを書き換える。
【００３２】
また、移動端末装置６が、設定時間（１２時間）が経過するたびに、自装置６（移動端末装置６）のユーザの権限情報の送信要求（ユーザＩＤを含む）をＳＰ側サーバ４に送信する（図５のステップＳ２０１）。続いて、ＳＰ側サーバ４が、移動端末装置６から送信要求を受信すると、送信要求が含んでいるユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコード（権限情報）を権限情報記憶部４ｂが記憶している管理用データベースから抽出する。続いて、ＳＰ側サーバ４が、抽出したレコード（権限情報）を送信要求の送信元の移動端末装置６のＵＩＭ６ｃに送信する。続いて、ＵＩＭ６ｃが、送信された権限情報をセキュアエレメント６ｃａに上書きする。これにより、セキュアエレメント６ｃａ内の権限情報の「第１ドア」の「ステータス」のフィールド値が「アンロック」となる。
【００３３】
このように、第１実施形態によれば、移動端末装置６から権限情報の送信要求を受信すると、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する。それゆえ、移動端末装置６から権限情報の送信要求が受信されたとき、つまり、移動端末装置６とＳＰ側サーバ４との間で通信可能であると判断されるときに、ＳＰ側サーバ４から移動端末装置６に権限情報を送信することができる。それゆえ、ＳＰ側サーバ４が記憶している権限情報を移動端末装置６により確実に送信することができる。
【００３４】
ここで、移動端末装置６のユーザ（社員）が、対象部屋へ入室するために、移動端末装置６を第１ドアに対応して設けられた電気錠制御装置７のリーダライタ７ｂにかざしたとする。そして、移動端末装置６が、リーダライタ７ｂの通信可能範囲内に進入したとする。すると、移動端末装置６のＵＩＭ６ｃが、ＮＦＣアンテナ６ａ、ＮＦＣコントローラ６ｂを介して、リーダライタ７ｂから権限情報の送信リクエストを受信する。続いて、ＵＩＭ６ｃが、ＮＦＣコントローラ６ｂおよびＮＦＣアンテナ６ａを用い、近距離無線通信を介して、セキュアエレメント６ｃａが記憶している権限情報をリーダライタ７ｂに送信する。続いて、電気錠制御部７ｃが、リーダライタ７ｂを介して、ＵＩＭ６ｃから送信された権限情報を受信し、受信した権限情報が、第１ドアの電気錠７ａの解錠の権限（通過許可状態の権限）があることを表すと判定して、第１ドアの電気錠７ａを解錠状態とする。これにより、移動端末装置６のユーザは、第１ドアを開放し、対象部屋に入室できる。
【００３５】
このように、第１実施形態によれば、移動端末装置６のユーザに対して設定された権限情報を取得し、取得した権限情報を権限情報記憶部４ｂに記憶するとともに、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する。それゆえ、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えるための切替操作が行われる前に、ＳＰ側サーバ４の権限情報記憶部４ｂが記憶している権限情報を移動端末装置６のセキュアエレメント６ｃａに記憶させることで、切替操作を行う際に、ＳＰ側サーバ４の不具合や通信障害が発生したとしても、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えることができる。
第１実施形態では、通過許可状態が許可状態を構成する。以下同様に、通過不許可状態が不許可状態を構成する。また、図１の電気錠７ａが対象を構成する。さらに、図１のＳＰ側サーバ４が管理サーバを構成する。また、図１の電気錠制御装置７が状態切替装置を構成する。さらに、図１のＮＦＣコントローラ６ｂが近距離無線通信部を構成する。
【００３６】
（第１実施形態の効果）
（１）第１実施形態に係るＳＰ側サーバ４では、移動端末装置６のユーザに対して設定された権限情報を取得し、取得した権限情報を権限情報記憶部４ｂに記憶するとともに、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する。
このような構成によれば、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えるための切替操作が行われる前に、ＳＰ側サーバ４の権限情報記憶部４ｂが記憶している権限情報を移動端末装置６のセキュアエレメント６ｃａに記憶させることで、切替操作を行う際に、ＳＰ側サーバ４の不具合や通信障害が発生したとしても、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えることができる。
【００３７】
（２）第１実施形態に係るＳＰ側サーバ４では、移動端末装置６から権限情報の送信要求を受信すると権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する。
このような構成によれば、移動端末装置６から権限情報の送信要求が受信されたとき、つまり、移動端末装置６とＳＰ側サーバ４との間で通信可能であると判断されるときに、ＳＰ側サーバ４から移動端末装置６に権限情報を送信できる。それゆえ、ＳＰ側サーバ４が記憶している権限情報を移動端末装置６により確実に送信することができる。
（３）第１実施形態に係る移動端末装置６では、ＳＰ側サーバ４から送信された権限情報をセキュアエレメント６ｃａに記憶する。
このような構成によれば、権限情報をより安全に記憶することができる。
【００３８】
（４）第１実施形態に係るＳＰ側サーバ４の制御プログラムでは、ＳＰ側サーバ４を、移動端末装置６のユーザに対して設定された権限情報を取得する権限情報取得部４ａと、取得した権限情報を記憶する権限情報記憶部４ｂと、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する権限情報送信部４ｃとして機能させる。
このような構成によれば、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えるための切替操作が行われる前に、ＳＰ側サーバ４の権限情報記憶部４ｂが記憶している権限情報を移動端末装置６のセキュアエレメント６ｃａに記憶させることで、切替操作を行う際に、ＳＰ側サーバ４の不具合や通信障害が発生したとしても、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えることができる。
【００３９】
（５）第１実施形態に係るＳＰ側サーバ４の制御方法では、移動端末装置６のユーザに対して設定された権限情報を取得し、取得した権限情報を権限情報記憶部４ｂに記憶するとともに、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する。
このような構成によれば、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えるための切替操作が行われる前に、ＳＰ側サーバ４の権限情報記憶部４ｂが記憶している権限情報を移動端末装置６のセキュアエレメント６ｃａに記憶させることで、切替操作を行う際に、ＳＰ側サーバ４の不具合や通信障害が発生したとしても、電気錠７ａを施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替えることができる。
【００４０】
（第２実施形態）
次に、本発明の第２実施形態を図面に基づき説明する。なお、第１実施形態と同様な構成等については同一の符号を使用して、その詳細は省略する。
第２実施形態では、移動端末装置６から送信される送信要求が、移動端末装置６のユーザによって入力された解錠コードを含み、権限情報送信部４ｃが、移動端末装置６から権限情報の送信要求を受信すると、受信した送信要求が含んでいる解錠コードと予め登録されている解錠コードとが一致していると判定した場合に、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する点が、第１実施形態と異なる。
【００４１】
具体的には、第２実施形態は、管理用データベースの内容と、権限情報送信部４ｃの内容と、移動端末装置６が実行する二次発行処理の内容とが第１実施形態と異なる。
管理用データベースは、図９に示すように、各レコードのフィールド群（「ドアＩＤ」、「ステータス」、および「有効期限」からなる群）それぞれにフィールド「解錠コード」が付加されている。「解錠コード」は、電気錠７ａの解錠操作時（切替操作時）、つまり、リーダライタ７ｂに移動端末装置６をかざしたときに照合されるコードである。フィールド「解錠コード」のフィールド値は、管理用データベースの作成時に予め設定しておく。
【００４２】
また、権限情報送信部４ｃは、移動端末装置６から送信要求を受信すると、受信した送信要求が含んでいるユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコードを権限情報記憶部４ｂが記憶している管理用データベースから抽出する。続いて、権限情報送信部４ｃは、抽出したレコードに含まれている３つのフィールド群のうちから、送信要求が含んでいるドアＩＤとフィールド「ドアＩＤ」のフィールド値が一致するフィールド群を抽出する。続いて、権限情報送信部４ｃは、抽出したフィールド群のフィールド「解錠コード」のフィールド値が送信要求が含んでいる解錠コードと一致する場合に、抽出したレコード（権限情報）を送信要求の送信元の移動端末装置６のＵＩＭ６ｃに送信する。
【００４３】
また、移動端末装置６（ホストＣＰＵ６ｄ）が実行する二次発行処理は、図１０に示すように、図５のステップＳ２０１に代えて、ステップＳ３０１、Ｓ３０２を有する。ステップＳ３０１では、ホストＣＰＵ６ｄは、ユーザＩＤ、ドアＩＤおよび解錠コードを入力するテキストボックスと解錠ボタンとを表示させる指令をディスプレイ６ｅに送信する。これにより、ディスプレイ６ｅは、テキストボックスと解錠ボタンとを表示する。また、移動端末装置６のユーザ（社員）は、タッチパネル６ｅａを操作して、テキストボックスにユーザＩＤ、ドアＩＤおよび解錠コードを入力した後、解錠ボタンをタッチ操作する。
【００４４】
続いてステップＳ３０２に移行して、ホストＣＰＵ６ｄは、自装置６（移動端末装置６）のユーザの権限情報の送信要求をＳＰ側サーバ４に送信した後、二次発行処理を終了する。送信要求は、ステップＳ３０１のテキストボックスに入力されたユーザＩＤ、ドアＩＤおよび解錠コードを含む。これにより、ＳＰ側サーバ４は、送信要求が含んでいるユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコードを権限情報記憶部４ｂが記憶している管理用データベースから抽出する。続いて、ＳＰ側サーバ４は、抽出したレコードに含まれている３つのフィールド群のうちから、送信要求が含んでいるドアＩＤとフィールド「ドアＩＤ」のフィールド値が一致するフィールド群を抽出する。続いて、ＳＰ側サーバ４は、抽出したフィールド群のフィールド「解錠コード」のフィールド値が送信要求が含んでいる解錠コードと一致する場合に、抽出したレコード（権限情報）を送信要求の送信元の移動端末装置６のＵＩＭ６ｃに送信する。
なお、その他の構成は、第１実施形態と同様である。
【００４５】
（動作その他）
次に、第２実施形態の入退室管理システム１の動作を説明する。
まず、移動端末装置６のユーザ（社員）が、「第１ドア」によって閉じられた部屋（対象部屋）への入室申請を行い、総務部等の管理部門から第１ドアのドアＩＤおよび解錠コードを入手したとする。そして、管理部門が、管理者側端末装置５を操作し、管理者側端末装置５に権限情報を生成させる。すると、管理者側端末装置５が、生成した権限情報をＳＰ側サーバ４に送信する。例えば、移動端末装置６のユーザ（社員）のユーザＩＤが「１０１」である場合、図１１に示すように、「ユーザＩＤ」のフィールド値を「１０１」とし、「第１ドア」の「ステータス」のフィールド値を「アンロック」とし、「第１ドア」の「有効期限」のフィールド値を適切な期日（例えば、「１６/３/３１」）とし、「第２ドア」および「第３ドア」の「ステータス」のフィールド値を「ロック」とした、権限情報を生成・送信する。続いて、ＳＰ側サーバ４が、図１２に示すように、送信された権限情報を用いて、管理用データベースのレコードを書き換える。
また、移動端末装置６が、ユーザＩＤ、ドアＩＤおよび解錠コードを入力するテキストボックスと解錠ボタンとを表示させる指令をディスプレイ６ｅに送信する（図１０のステップＳ３０１）。続いて、ディスプレイ６ｅが、テキストボックスと解錠ボタンとを表示する。これにより、移動端末装置６のユーザ（社員）に、ユーザＩＤ、ドアＩＤおよび解錠コードの入力と、解錠ボタンのタッチ操作とが促される。
【００４６】
ここで、移動端末装置６のユーザ（社員）が、タッチパネル６ｅａを操作し、テキストボックスにユーザＩＤ、ドアＩＤおよび解除コードを入力した後、発行ボタンをタッチ操作したとする。すると、移動端末装置６が、自装置６（移動端末装置６）のユーザの権限情報の送信要求（ユーザＩＤ、ドアＩＤおよび解除コードを含む）をＳＰ側サーバ４に送信する（図５のステップＳ３０２）。続いて、ＳＰ側サーバ４が、移動端末装置６から送信要求を受信すると、送信要求が含んでいるユーザＩＤと「ユーザＩＤ」のフィールド値とが一致するレコードを権限情報記憶部４ｂが記憶している管理用データベースから抽出する。続いて、ＳＰ側サーバ４が、抽出したレコードに含まれている３つのフィールド群のうちから、送信要求が含んでいるドアＩＤとフィールド「ドアＩＤ」のフィールド値が一致するフィールド群を抽出する。続いて、ＳＰ側サーバ４が、抽出したフィールド群のフィールド「解錠コード」のフィールド値が送信要求が含んでいる解錠コードと一致すると判定し、抽出したレコード（権限情報）を送信要求の送信元の移動端末装置６のＵＩＭ６ｃに送信する。続いて、ＵＩＭ６ｃが、送信された権限情報をセキュアエレメント６ｃａに上書きする。これにより、セキュアエレメント６ｃａ内の権限情報の「第１ドア」の「ステータス」のフィールド値が「アンロック」となる。
このように、第２実施形態によれば、移動端末装置６から権限情報の送信要求を受信すると、受信した送信要求が含んでいる解錠コードと予め登録されている解錠コードとが一致していると判定した場合に、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する。それゆえ、権限情報をより適切に送信することができる。
第２実施形態では、解錠コードが照合用コードを構成する。
【００４７】
（第２実施形態の効果）
（１）第２実施形態に係るＳＰ側サーバ４では、移動端末装置６から権限情報の送信要求を受信すると、受信した送信要求が含んでいる解錠コードと予め登録されている解錠コードとが一致していると判定した場合に、権限情報記憶部４ｂが記憶している権限情報を移動端末装置６に送信する。
このような構成によれば、権限情報をより適切に送信することができる。
【００４８】
（変形例）
なお、本実施形態では、施錠状態（通過不許可状態）から解錠状態（通過許可状態）に切り替わる電気錠７ａを、移動端末装置６によって解錠状態（通過許可状態）に切り替え可能とする入退室管理システム１に適用する例を示したが、他の構成を採用することもできる。例えば、閉止状態（通過不許可状態）から開放状態（通過許可状態）に切り替わる入場ゲート（広義には「対象」）を、移動端末装置６によって開放状態（通過許可状態）に切り替え可能とするゲート管理システムに適用してもよい。また、例えば、車両のエンジンの始動を不許可とする始動不許可状態から、エンジンの始動を許可する始動許可状態に切り替えるエンジン始動装置（広義には「対象」）を、移動端末装置６によって始動不許可状態に切り替え可能とする車両管理システムに適用してもよい。
【符号の説明】
【００４９】
１      入退室管理システム
４      ＳＰ側サーバ
４ａ    権限情報取得部
４ｂ    権限情報記憶部
４ｃ    権限情報送信部
５      管理者側端末装置
６      移動端末装置
６ｃ    ＵＩＭ
６ｃａ  セキュアエレメント
６ｄ    ホストＣＰＵ
７      電気錠制御装置
７ａ    電気錠
７ｂ    リーダライタ
７ｃ    電気錠制御部
【図１】
2016143230.tif 000003
【図２】
2016143230.tif 000004
【図３】
2016143230.tif 000005
【図４】
2016143230.tif 000006
【図５】
2016143230.tif 000007
【図６】
2016143230.tif 000008
【図７】
2016143230.tif 000009
【図８】
2016143230.tif 000010
【図９】
2016143230.tif 000011
【図１０】
2016143230.tif 000012
【図１１】
2016143230.tif 000013
【図１２】
2016143230.tif 000014