JP5755475B2 - 入退管理システム、及びアンチパスバック違反解除方法 - Google Patents

Description

本発明は、ＩＤカードを利用した入退管理システムの技術に関し、特に、アンチパスバック制御などに関する。

セキュリティが必要な部屋などのエリア（セキュリティエリア）への入退室管理において、固有のＩＤが登録されているカード（ＩＣカード（ＩＤカード）等）がカードリーダ（認証装置）にかざされ、そのカード所有者（ユーザ）の入退権限有無を照会して当該カードリーダに対応付けられた扉（錠）の開閉を制御することによりセキュリティを確保するシステム（入退管理システム）が知られている。

上記カードを用いた入退管理システム（その基本的な入退管理制御機能）において、更にセキュリティを強化する機能として、アンチパスバック（アンチパスバック制御機能）がある。以下、アンチパスバック：ＡＰＢと略称する。

即ち、上記基本的な入退管理制御機能がある場合でも、伴連れ（ピギーバック）やすれ違い等により不正にセキュリティエリアへ侵入したり、あるいはカードリーダにカードをかざして入退室が許可されたのにもかかわらず入退室しなかったり、といった行為（システムの正規登録者であるユーザによる不正を意図しない行為の場合を含む）によって、入退管理上の整合性に矛盾が生じること（いわゆる通行履歴違反による通行エラー）がある。そのような行為や状態（以下「ＡＰＢ違反」）を検出することや、ＡＰＢ違反状態のユーザ（対応カード）による入退室を制限してセキュリティを確保する機能・制御などを含めて、ＡＰＢないしＡＰＢ制御と称する。

上記ＡＰＢ制御では、例えば正規の手順（経路など）を踏まずに解錠された扉を通過したユーザ（ＡＰＢ違反者）に対して、次のカードリーダを用いた入退の認証での制限（不許可）により、セキュリティが確保・強化される。例えば、正規の手順として、第１の部屋への第１の扉の入室用の第１のカードリーダに第１のユーザが第１のカードをかざして入室許可され入室する第１の動作、続いて、同第１の扉の退室用の第２のカードリーダに第１のユーザが第１のカードをかざして退室許可され退室する第２の動作、といった順序による経路が定義される。そしてＡＰＢ制御では、第１の動作の後でないと第２の動作ができず、第２の動作の後でないと第１の動作ができず、また、第１の動作や第２の動作を２回続けてはできない、といったように制限される。

上記ＡＰＢ制御機能を持つ入退管理システムにおいて、ＡＰＢ違反が発生した場合、例えば、当該ＡＰＢ違反者であるユーザがカードを次のカードリーダにかざしても不許可となるため扉が解錠されず他の部屋へ移動することができない、といった状態になる。そのため、システムの正規登録者のようなユーザによる不正を意図しない場合のＡＰＢ違反である場合は、上記状態を解除（リセット等）する必要が生じる。即ち、通常時のように当該ユーザが移動できる状態になるように、システムの入退管理・制御上の情報を適切に変更する必要が生じる。

従来技術例のシステムでは、上記ＡＰＢ違反の解除については、管理者（解除の権限を持つ者）などによる人的な作業に依っている。即ち、管理者へ連絡され、当該ＡＰＢ違反のユーザ（対応カード）に関するシステムの入退管理・制御上の情報を修正する作業などが行われる。

上記入退管理システムに関する先行技術例として、特開２００９−０８７０８４号公報（特許文献１）、特開２０００−２５９９６８号公報（特許文献２）、などが挙げられる。

特許文献１では、ユーザが自律的にＡＰＢ違反（ＡＰＢエラー）の解除を行うことを可能とする技術が開示されている。即ち、ＡＰＢ違反の一時的な解除のためのパスワードの入力を受け付ける手段と、受け付けた入力パスワードが登録済み情報である場合に、扉の通行制御を解除する手段と、を備えることが記載されている。

また、特許文献２では、ＡＰＢ制御機能を持つ入退管理システム例について記載されている。

特開２００９−０８７０８４号公報 特開２０００−２５９９６８号公報（特許第３９８２９３８号）

前述の従来技術例の入退管理システムにおけるＡＰＢ違反の解除の方式では、管理者などによる手間やコストを要するという問題がある。例えば管理者が不在の場合などには解除作業が進まないといった不便も考えられる。

前記特許文献１によれば、管理者などによる操作を伴わずに解除を実施できることになるが、当該ユーザが予めシステムに登録してあるパスワードを入力することにより当該ユーザ（ＡＰＢ違反者）自身が単独で解除を実施できてしまうため、セキュリティレベルが低下する問題がある。

以上を鑑み、本発明の主な目的は、ＡＰＢ制御機能を含む入退管理システムに係わり、（１）管理者などによる手間やコストを要せず、かつ、（２）セキュリティレベルを低下させず、ＡＰＢ違反の解除を実現できる技術を提供することである。

上記目的を達成するため、本発明のうち代表的な形態は、ＩＤカード（ＩＤ情報が記録された媒体）を利用したＡＰＢ制御機能を含む入退管理システム、ＡＰＢ違反解除方法、等であって、以下に示す構成を有することを特徴とする。

本形態の入退管理システムは、ＡＰＢ制御を含む入退管理制御を所定の管理情報を用いて行う制御装置と、当該制御装置に接続される複数のカードリーダ装置と、を有し、ＡＰＢ違反を解除する制御を行う機能として、（１）第１のカードリーダ装置で読み取った第１のＩＤカードがアンチパスバック違反状態である場合、タイマのカウントを開始する、第１の手段と、（２）前記タイマのカウントによる所定の制限時間内に、前記第１のカードリーダ装置で読み取った第２のＩＤカードがアンチパスバック違反状態ではない場合、当該第２のＩＤカードが第１のＩＤカードのアンチパスバック違反状態を解除する権限を有するかを判定する、第２の手段と、（３）上記権限を有する場合、前記第１のＩＤカードのアンチパスバック違反状態を解除する処理を前記管理情報に対して実行する、第３の手段と、を有する。

本形態の入退管理システム／ＡＢＰ違反解除方法は、例えば以下の手段／処理手順を有する。

（ａ）第１のユーザの第１のＩＤカード、及び第２のユーザの第２のＩＤカードを含む各ユーザのカード（ＩＤ）に関するＡＰＢ制御を含む基本的な入退管理制御を、所定の管理情報を用いて行う手段／処理手順。

（ｂ）ＡＰＢ違反状態であり解除対象である第１のユーザの第１のＩＤカードを第１のリーダで読み取って認証する第１の動作により、第１のユーザのＡＰＢ違反状態または入退不許可を認識する手段／処理手順。

（ｃ）上記第１の動作を契機として、下記解除のための第２の動作を受け付ける時間を判定するためのタイマ手段のカウントを開始し、当該カウントによる所定の制限時間の経過の状態を判断・管理する手段／処理手順。

（ｄ）上記タイマ手段のカウントによる制限時間内において、上記第１のユーザのＡＰＢ違反状態を対象とした解除者となるＡＰＢ違反状態ではない第２のユーザの第２のＩＤカードを第１のリーダで読み取って認証する第２の動作により、第２のユーザによる解除の動作として受け付ける手段／処理手順。

（ｅ）上記解除の動作を受け付けた第２のユーザの第２のＩＤカードについて、上記第１のユーザの第１のＩＤカードに関するＡＰＢ違反状態を解除する権限の有無を判定する手段／処理手順。例えば、組織のユーザ情報を用いて当該解除権限を判定するための情報を作成・設定する手段／処理手順。

（ｆ）上記第２のユーザによる解除の権限が有る場合、第１のユーザの第１のＩＤカードに関するＡＰＢ違反状態の解除処理を、前記所定の管理情報に対して実行することにより、第１のユーザの第１のＩＤカードについて、非ＡＰＢ違反状態または入退許可となるように変更する手段／処理手順。前記所定の管理情報は、例えば、ＡＰＢ制御に対応した、第１のユーザの第１のＩＤカードに関する複数の各リーダでの認証における入退の許可／不許可の状態を示す情報を含む。

（ｇ）上記解除処理を実行した場合の解除履歴情報を作成し記録する手段／処理手順。

例えば、第１の方式として、第２のユーザによる第２の動作（解除の動作）に基づく解除処理において、管理情報を、第１のユーザが第１のリーダの認証で入退が許可される状態となるように変更する。その後、第２のユーザが第１のリーダに対応する第１の扉を通過した後、第１のユーザの第１のＩＤカードを第１のリーダで読み取って認証し入退が許可されることにより、第２のユーザが第１の扉を通過する。

本発明のうち代表的な形態によれば、ＡＰＢ制御機能を含む入退管理システムに係わり、（１）管理者などによる手間やコストを要せず、かつ、（２）セキュリティレベルを低下させず、ＡＰＢ違反の解除を実現できる。

本発明の一実施の形態のシステム（入退管理システム）を用いて実現される動作の例を示す図であり、（ａ）は第１の方式の場合、（ｂ）は第２の方式の場合である。 本発明の一実施の形態のシステム（入退管理システム）の全体の構成を示す図である。 本システムのカードリーダ装置を含む構成を示す図である。 本システムの第１の方式（図１（ａ））での処理フローを示す図である。 本システムの管理情報の例として、（ａ）入退シーケンステーブル、（ｂ）解錠フラグＤＢ、を示す図である。 本システムの管理情報の例として、人事ＤＢ／ユーザ情報に基づき作成される権限テーブル、を示す図である。 本システムにおける管理情報（解錠フラグＤＢ）の値の遷移例を示す図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一符号を付し、その繰り返しの説明は省略する。説明上の記号として、Ｒ：リーダ（カードリーダ装置）、等とする。「ユーザ」は、本システムの利用者（正規登録者）、カード所持者などに相当する。「カード」はＩＤカード等に相当する。「ＩＤ」は識別子／識別情報に相当する。

［概要等］
図１は、本実施の形態のシステムを用いて実現される動作の例をわかりやすく示しており、（ａ）は第１の方式（実施の形態１）の場合、（ｂ）は第２の方式（実施の形態２）の場合である。なお図１中の部屋Ａなどの例は図２中に示す管理対象空間と対応している。

［第１の方式］
図１（ａ）の第１の方式において、左側にはユーザやカードの例、右側には部屋、扉、リーダＲ、等の例を示している。Ｓ１等は、動作やステップを表す。第１のユーザＡは第１のカードＡ（対応する第１のＩＤ：ＩＤ１）を所持し、第２のユーザＢは第２のカードＢ（対応する第２のＩＤ：ＩＤ２）を所持している。いずれのユーザＡ，Ｂ（カードＡ，Ｂ）も扉Ａ（ＲＡ，ＲＢ）に関する基本的な通過権限を持つ設定である。第１のユーザＡは、ＡＰＢ違反者（解除対象者）の例である。第２のユーザＢは、第１のユーザＡに関するＡＰＢ違反の解除権限を持つ人（解除者）の例である。例えば、同じ組織において、ユーザＡは部下、ユーザＢは上長、という関係であり、ユーザＢはユーザＡのＡＰＢ違反を解除する権限を有する設定である。

状況として、ユーザＡ，Ｂが部屋外から部屋Ａ内へ扉Ａを通過して入室する場合である。扉Ａの錠に関係付けられるリーダＲＡ，ＲＢを有し、第１のリーダＲＡは入室時の認証用、第２のリーダＲＢは退室時の認証用である。部屋Ａへの入室に際し、リーダＲＡでの認証で許可（ＯＫ）になる必要があり、許可の場合は扉Ａの電気錠が解錠され、不許可（ＮＧ）の場合は解錠されない。

第１の方式では、例えばリーダＲＡでユーザＡのＡＰＢ違反を認識した場合に、一緒にいるユーザＢが、カードＢをリーダＲＡにかざす動作によって、ユーザＡのＡＰＢ違反状態を解除でき、ユーザＡが扉Ａを通過できる状態になる。同じ組織内での所定の関係性を持つユーザＢ（上長）がユーザＡ（部下）を目視確認（相互認証に相当する）しているため、この形でセキュリティレベルを維持しながら、解除の手続きを簡単な動作で実現している。

そして、第１の方式では、ユーザＢによる解除の動作により、まずユーザＢが部屋Ａに入室した後、ユーザＡがカードＡをリーダＲＡにかざし認証で許可されるので部屋Ａに入室する、という流れである。即ちユーザＢ，Ａの順で別々に部屋Ａに入室する形である。

図１（ａ）で、Ｓ１〜Ｓ４は上記の流れを示す。Ｓ１は、ユーザＡによるＡＰＢ違反行為の一例である。Ｓ２は、ユーザＡのカードＡ（ＩＤ１）の認証によりユーザＡのＡＰＢ違反状態（不許可）を認識する動作である。Ｓ３は、ユーザＢのカードＢ（ＩＤ２）自身の通常の認証（許可）の動作であるとともに、ユーザＢのカードＢ（ＩＤ２）によるユーザＡのカードＡ（ＩＤ１）のＡＰＢ違反の解除の動作となる。Ｓ４は、解除後のユーザＡのカードＡ（ＩＤ１）の認証（許可）の動作である。

（Ｓ１） Ｓ１は、ＡＰＢ違反行為の一例として、最初、ユーザＡがカードＡをリーダＲＡにかざして認証で許可（ＯＫ）され扉Ａが解錠されたにもかかわらず扉Ａを通過せず部屋Ａに入室しなかった場合である。Ｓ１の認証（許可）により、本システムの管理情報（図２の解錠フラグＤＢ３２等）では、正規の手順に従い当該ユーザＡ（カードＡ，ＩＤ１）が部屋Ａ内に移動したとみなした状態となっているが、実際には移動していないためＡＰＢ違反状態である。

（Ｓ２） Ｓ２は、Ｓ１の後、Ｓ１のＡＰＢ違反状態となっているカードＡ（ＩＤ１）を持つユーザＡが、再度、リーダＲＡにカードＡをかざした場合である。この時、当該リーダＲＡでカードＡ（ＩＤ１）が読み取られ認証されるが、Ｓ１によるＡＰＢ違反状態であるため認証結果は不許可（ＮＧ）になり、扉Ａは解錠されずユーザＡは部屋Ａに入室できない。

本システムはＳ２によりユーザＡのＡＰＢ違反状態（不許可）を認識し、このＳ２の契機で、リーダＲＡのタイマ６１（図３）のカウントを開始する。タイマ６１のカウントの制限時間Ｌが予め設定されている。この制限時間Ｌは、下記Ｓ３の解除の動作を受け付ける時間に相当する。

（Ｓ３） Ｓ３は、上記制限時間Ｌ内に、ＡＰＢ違反状態ではないユーザＢがカードＢ（ＩＤ２）を同リーダＲＡにかざした場合である。本システムで、このＳ３の動作は、まず当該ユーザＢ（カードＢ）自身の認証（許可）の動作となるが、それだけでなく、Ｓ２のユーザＡのＡＰＢ違反状態を解除する動作としても認識される。Ｓ２のユーザＡの近くにいるユーザＢは、Ｓ２の動作（タイマ６１のカウント等）を契機として、ユーザＢ自身が部屋Ａに入室するための認証と同時にユーザＡのＡＰＢ違反状態を解除してユーザＡが入室できる状態にすることを、Ｓ３の１つの動作により行うことができる。

Ｓ３の際、本システムは、当該ユーザＢ（カードＢ）がユーザＡ（カードＡ）の違反状態を解除する権限（解除権限）を有するかどうかを判定（確認）する。その結果、解除権限有りの場合、本システムは、自動的に、当該ユーザＡのカードＡ（ＩＤ１）のＡＰＢ違反状態を解除する処理（「解除処理」）を、本システムの管理情報（図２の解錠フラグＤＢ３２等）に対して実行する。

本例では、ユーザＢ（上長）はユーザＡ（部下）の違反を解除する権限を有する設定であるため、上記判定の結果、解除処理が実行され、ユーザＡのカードＡは、ＡＰＢ違反状態が解除された状態（非ＡＰＢ違反状態、通常の状態）になる。

（Ｓ４） Ｓ３の後、ユーザＡ（カードＡ）は、通常の状態であり、リーダＲＡで認証が許可される状態になっている。よって、Ｓ４で、ユーザＡがカードＡをリーダＲＡにかざすとＩＤ１が読み取られ認証結果が許可になり、扉Ａが解錠され、ユーザＡは扉Ａを通過して部屋Ａに入室できる。

以上のように所定の条件を満たした場合に自動的に解除処理が実行されるため、従来技術例のシステムのような解除の手続きのための管理者の手間などが不要である。また、解除の際（Ｓ２，Ｓ３）にユーザ間（Ａ，Ｂ）で相互認証していることに相当する仕組みであるため、ＡＰＢ違反者自身がパスワードで解除できる方式のようなセキュリティレベルの低下も防止される。

［第２の方式］
図１（ｂ）の第２の方式において、Ｓ１，Ｓ２は図１（ａ）の第１の方式と同様である。第２の方式では、Ｓ３のユーザＢによる解除の動作に基づき、ユーザＡのＡＰＢ違反状態の解除処理を実行するが、この解除処理の内容が第１の方式のＳ３とは異なる。第２の方式では、このＳ３の解除処理により、第１の方式のＳ４のユーザＡの認証の動作を省略する形である。これによりユーザＡは、図１（ａ）のＳ２，Ｓ４のように２回カードＡをかざす動作が必要無くなり、Ｓ２の１回の操作のみでよいことになり、ユーザＡの負担が軽減される。

（Ｓ３） Ｓ３で、制限時間Ｌ内に、ＡＰＢ違反状態ではないユーザＢがカードＢ（ＩＤ２）を同リーダＲＡにかざした場合、ユーザＢの認証（許可）と共に、ユーザＢに解除権限有りの場合は、自動的に、ユーザＡのカードＡ（ＩＤ１）のＡＰＢ違反状態の解除処理が当該ユーザＡに関する管理情報（図２の解錠フラグＤＢ３２等）に対して実行される。この解除処理において、本システムは、第１の方式と同様にユーザＡの違反状態を解除した状態となるように、かつ、ユーザＡにより再度カードＡをリーダＲＡにかざす認証（許可）の動作を済ませ当該ユーザＡが部屋Ａ内へ移動したとみなした状態となるように、管理情報の内容を更新する。

（Ｓ４） Ｓ３の後、ユーザＡ（カードＡ）は、通常の状態であり、更にリーダＲＡでの認証を済ませた状態になっている。よって、Ｓ４で、ユーザＡはカードＡをリーダＲＡにかざす動作無しで、Ｓ３によるユーザＢの扉Ａの通過に伴い、ユーザＢと一緒に（続いて）、扉Ａを通過して部屋Ａに入室できる。

［他のＡＰＢ違反例］
なお図１のＳ１のＡＰＢ違反の例に限らず、他のＡＰＢ違反の場合であっても同様に本システムによる解除が実現できる。他のＡＰＢ違反の例を簡単に説明すると以下である（図２の管理対象空間に対応）。

（ａ）ユーザＡが部屋外から部屋Ａへ扉Ａを通過して入室する際、リーダＲＡでの認証の手順を踏まずに供連れ等によって入室した場合、ＡＰＢ違反行為である。この場合、管理情報の状態としては、当該ユーザＡが部屋外にいる状態として把握している。よって、当該部屋Ａ内のユーザＡが次に通過が許可されるリーダＲとして、例えばＲＡは許可（ＯＫ）、ＲＢ，ＲＣは不許可（ＮＧ）となる。そのためユーザＡは部屋Ａ内から扉Ａ（ＲＢ）や扉Ｂ（ＲＣ）を通過して退室しようとしても認証で不許可になるため退室できない。

この場合の例えば部屋Ａ内のユーザＢによる解除動作に基づく解除処理としては、ユーザＡが部屋外から部屋Ａ内へ移動した後の状態となるように管理情報を更新すればよい（第１の方式）。即ち次に通過が許可されるリーダＲとして、例えばＲＡは不許可（ＮＧ）、ＲＢ，ＲＣは許可（ＯＫ）となるように更新すればよい。

（ｂ）ユーザＡが部屋Ａから部屋外へ扉Ａを通過して退室する際、リーダＲＢでの認証の手順を踏まずに供連れ等によって退室した場合、ＡＰＢ違反行為である。この場合、管理情報の状態としては、当該ユーザＡが部屋Ａ内にいる状態として把握している。よって、当該部屋外のユーザＡが次に通過が許可されるリーダＲとして、例えばＲＡは不許可（ＮＧ）、ＲＢ，ＲＣは許可（ＯＫ）となる。そのため例えばユーザＡが部屋外から扉Ａ（ＲＡ）を通過して部屋Ａ内へ入室しようとしても認証で不許可になるため入室できない。

この場合の例えば部屋外のユーザＢによる解除動作に基づく解除処理としては、ユーザＡが部屋Ａから部屋外へ移動した後の状態となるように管理情報を更新すればよい（第１の方式）。即ち次に通過が許可されるリーダＲとして、例えばＲＡは許可（ＮＧ）、ＲＢ，ＲＣは不許可（ＮＧ）となるように更新すればよい。

［管理対象空間］
図２で、管理対象空間において、セキュリティエリアとなる２つの部屋Ａ，Ｂが存在する場合である。例えば部屋Ａは扉Ａ，扉Ｂを有する。各扉には対応する電気錠８（図３）を有する。例えば扉Ａ（電気錠８）は、入室時の認証用の第１のリーダＲＡと、退室時の認証用の第２のリーダＲＢとが関係付けられている。

管理対象の組織に所属している各ユーザ（本システムの正規登録者）はカード９を所持する。本例ではユーザＡ，Ｂ，Ｃ等がおり、ユーザＡはカードＡ（対応するＩＤ：ＩＤ１）、ユーザＢはカードＢ（対応するＩＤ：ＩＤ２）を所持する。カードＡは、対応するＩＤのコードをＩＤ１で示し、カードＢは、対応するＩＤのコードをＩＤ２で示すとする。各カード９のＩＤ情報などは予め本システムに登録される（ＳＰＵ２による設定）。本システムにおけるＡＰＢ制御を含む基本的な入退管理制御において、ユーザＡ，ＢのカードＡ，Ｂ（対応ＩＤ）は、図２中のすべてのリーダ３（ＲＡ〜ＲＦ）で、ＡＰＢの条件を満たす範囲内で基本的に通過（入退）が許可される権限を持つ設定である。特に、ユーザＡ，ＢのカードＡ，Ｂ（対応ＩＤ）は、所定のＡＰＢ制御に対応して、所定の経路（例えば部屋外−部屋Ａ−部屋Ｂ−部屋外）における入退の両方向の移動が許可される。

［システム構成（１）］
図２，図３において、本システムの全体は、入退管理制御装置（コントローラ）１と、ＳＰＵ（システム処理装置）２と、複数のカードリーダ装置（リーダＲ）３と、複数のリーダ制御装置４と、組織サーバ７と、を有し、これらはネットワーク（または専用接続線）５，６で接続されている。

ＳＰＵ２は、コントローラ１に接続され、管理者などが操作・参照する入退管理用のＰＣやサーバ等である。ＳＰＵ２は、入退シーケンステーブル２１、履歴ＤＢ２２などの管理情報を有する。例えば管理者の操作に基づきＳＰＵ２を用いて画面でコントローラ１（本入退管理システム）に対する設定を行うことや、画面に履歴ＤＢ２２の情報を表示して確認すること等ができる。ＳＰＵ２の入退シーケンステーブル２１は、マスタとして管理・設定する情報である。履歴ＤＢ２２は、本システムの入退管理の履歴情報を一元的に格納するデータベースである。

リーダＲ（３）の例としてＲＡ〜ＲＦを有する。例えば扉Ａに関するリーダＲＡ，ＲＢは、リーダ制御装置Ａ（４）に接続されている。リーダ制御装置Ａ（４）は、対応するリーダＲＡ，ＲＢの制御を行う。各リーダ制御装置４はコントローラ１に接続される。なおリーダ制御装置４は、コントローラ１に統合した構成としてもよい。

コントローラ１は、制御部１０（ＡＰＢ制御機能を含む入退管理制御部）を有する。制御部１０は、更新部１１、解除制御部１２（ＡＰＢ違反解除制御部）を有する。更新部１１は、入退シーケンステーブル３１、解錠フラグＤＢ３２などの管理情報を保持し処理する。解除制御部１２は、設定部５０（権限情報作成部）、タイマ管理部５１、権限判定部５２、解除処理部５３、解除履歴部５４、等の処理部を有する。設定部５０は、ユーザ情報３３、権限テーブル３４などの管理情報を保持し処理する。これら各処理部は例えばソフトウェアプログラム処理や回路処理などにより実現される。また各種のＤＢやテーブル情報は、コントローラ１内部、ＳＰＵ２内部などに限らず、他の外部の装置に保持されていてもよい。

本実施の形態の入退管理システムは、前提として、制御部１０により実現される、ＡＰＢ制御機能を含む基本的な入退管理制御機能を有する。なお本実施の形態では、ＡＰＢ制御機能としては、公知技術、例えば特許文献２記載の方式に従ったものとしているが、これに限定されるものではない。

制御部１０によるＡＰＢ制御を含む入退管理制御では、所定の経路でのユーザ（カード９）の移動のみを各リーダ３の認証で許可するようにする。これは管理情報として、入退シーケンステーブル３１、解錠フラグＤＢ３２等により規定される（図５）。

更新部１１は、制御部１０の一部（既存要素）であり、ネットワーク５及び各リーダ制御装置４を介して各リーダ３と通信しながら、基本の入退管理制御の管理情報を随時更新する処理を行う部分を示す。ＳＰＵ２の入退シーケンステーブル２１に基づき、コントローラ１で保持し、対応する入退シーケンステーブル３１の内容が適宜更新される。更新部１１は、入退シーケンステーブル３１に基づき解錠フラグＤＢ３２の内容を適宜作成・更新する。更新部１１は、解錠フラグＤＢ３２に基づき、各リーダ３への情報配信により、各リーダ３内の登録情報４５（図３）を更新する。また更新部１１は、ＳＰＵ２の履歴ＤＢ２２に対して、随時、通常の入退管理の履歴情報を格納する。

解除制御部１２は、制御部１０のＡＰＢ制御におけるＡＰＢ違反の場合の解除のための処理を行う部分（機能）であり、更新部１１と連携して動作する。またリーダ３側の解除制御部６０（図３）と対応関係の機能である。

設定部５０は、組織サーバ７の人事ＤＢ７１から情報をコントローラ１内へダウンロード等により取得し、この情報（ユーザ情報３３）を用いて、本システム（権限判定部５２）で利用するための権限テーブル３４を作成（設定）する処理を行う。また設定部５０を用いて管理者による権限テーブル３４の設定も可能である。

タイマ管理部５１は、リーダ３の持つタイマ６１（図３）に関する管理処理を行う。これは、タイマ６１の起動の判断と、タイマ６１のカウントの状態の把握と、タイマ６１のカウントの制限時間Ｌの設定とを含む。本実施の形態では、タイマ管理部５１を用いて、管理者による設定操作に基づき、各リーダ３のタイマ６１の制限時間Ｌの値を可変に設定できる。なおタイマ６１の制限時間Ｌは予め固定の設定値としてもよい。また、制限時間Ｌは、カード９（対応ユーザ）ごとに異なる設定を可能としてもよい。

権限判定部５２は、前述の動作（Ｓ３）に基づくＡＰＢ違反状態の解除（ＡＰＢ制御でＡＰＢ違反により不許可の状態になっているカード９を許可の状態に変更すること等）を行うための解除権限を判定・確認する処理を行う。権限判定部５２は、例えば権限テーブル３４（または人事ＤＢ７１／ユーザ情報３３）を参照して当該判定・確認を行う。なお解除権限は、ＡＰＢ制御用のフラグ（解錠フラグ）を変更する権限などと言い換え可能である。

解除処理部５３は、権限判定部５２により権限有りが確認された場合に、解錠フラグＤＢ３２等に対して解除処理を実行する。これにより解錠フラグＤＢ３２の内容が適宜更新される。

解除履歴部５４は、解除処理部５３による解除処理が実行された場合に、対応する解除履歴情報を作成し、当該情報をネットワーク６を介してＳＰＵ２の履歴ＤＢ２２に配信して記録する処理を行う。これにより解除履歴情報についても基本の履歴情報と併せて管理者がＳＰＵ２で参照可能となるため、システム管理上有用となる。

本実施の形態の入退管理システムでは、ＳＰＵ２、コントローラ１、複数のリーダ制御装置４、複数のリーダ３、といった要素が接続されて成る構成であるが、これらは適宜統合や分離した形態が可能である。例えばＳＰＵ２とコントローラ１を統合してもよいし、コントローラ１とリーダ制御装置４を統合してもよい。

［システム構成（２）］
図３で、特にコントローラ１とカードリーダ装置３との接続構成例及び連携処理例を説明する。リーダ３の制御部４０は、コントローラ１の制御部１０と対応した、ＡＰＢ制御を含む入退管理制御に関する処理を行う。そして制御部４０は、解除制御部６０を有し、解除制御部６０は、コントローラ１の解除制御部１２と対応した、ＡＰＢ違反の解除に関する処理を行う。

制御部４０は、公知要素として、ＩＤ読取部４１、ＩＤ認証部４２、錠制御部４３、登録情報４５などを有する。ＩＤ読取部４１は、ユーザによりかざされたカード９のＩＤ情報などを読み取る。ＩＤ認証部４２は、ＩＤ読取部４１により読み取られたＩＤ情報と、登録情報４５とを用いて、ＩＤ認証処理を行う。例えば、ＩＤ認証部４２は、読み取られたＩＤと同じＩＤが登録情報４５内に登録されている場合は、認証結果として「許可」（ＯＫ）とし、無い場合は「不許可」（ＮＧ）とする。錠制御部４３は、ＩＤ認証部４２の認証結果が「許可」の場合は、対応する扉の電気錠８を解錠する。上記ＩＤ認証及びその結果は適宜リーダ３（制御部４０）とコントローラ１（更新部１１）との通信に基づきコントローラ１側でも把握・管理され、基本の履歴情報として履歴ＤＢ２２へ記録される。

登録情報４５の例としては、当該リーダ３の認証で入退が許可されるＩＤ情報（例｛ＩＤ１，ＩＤ２，……｝）が登録されており、更新部１１からの解錠フラグＤＢ３２の情報の配信により随時更新される。

解除制御部６０は、タイマ６１、ユーザＩ/Ｆ部６２を含む。解除制御部６０は、制御部４０（ＩＤ認証部４２）によるカード９のＩＤの認証結果が不許可でありＡＰＢ違反状態の時は、タイマ管理部５１による判断に基づき、タイマ６１のカウントを開始する。タイマ６１は、タイマ管理部５１から、カウントに関する所定の制限時間Ｌが設定されている。タイマ６１のカウントの状態はタイマ管理部５１により把握される。

ユーザＩ/Ｆ部６２は、タイマ６１の作動に伴い、状態や解除動作に関するユーザインタフェースを提供する。例えばＬＥＤランプ等の表示制御や、ブザーやスピーカ等の音声出力や、ディスプレイ等のメッセージ表示など、各種の形態が可能である。例えば、図１（ａ）のＳ２でＡＰＢ違反状態を認識すると、タイマ６１のカウントと共にユーザＩ/Ｆ部６２で所定のＬＥＤを点灯／点滅させ、制限時間Ｌを経過した場合はＬＥＤを消灯させる、といった制御が挙げられる。なおユーザＩ/Ｆ部６２の具備は必須ではない。また同様に、コントローラ１側、ＳＰＵ２側においても、対応してユーザインタフェース（パトランプ表示など）を提供してもよい。

各部（４０，６０，１０，１２）が連携して処理を行うことにより、ＡＰＢ制御を含む入退管理制御、及び解除制御を実現する。リーダ３の制御部４０とコントローラ１の制御部１０とが連携し、リーダ３の制御部４０と解除制御部６０とが連携し、コントローラ１の制御部１０と解除制御部６０とが連携する。例えば基本的（通常時）には、リーダ３にカード９がかざされる動作による認証の発生ごとに、リーダ３の制御部４０とコントローラ１の制御部１０（更新部１１）との間でネットワーク５及びリーダ制御装置４を介して通信し入退管理制御に係わる処理を行う。その際、当該カード９（ＩＤ）が所定の条件に該当する場合は、更にリーダ３の解除制御部６０とコントローラ１の解除制御部１２とを用いてＡＰＢ違反の解除に関する処理を行う。

例えば図１（ａ）のＳ２の動作の時は、リーダ３の制御部４０からコントローラ１の制御部１０（更新部１１）へ連携して通常の入退管理制御の処理が行われることにより、ユーザＡのＡＰＢ違反状態（不許可）が認識される（履歴情報も記録される）。またそれに基づき、各制御部１０，４０から各解除制御部１２，６０へ連携して、タイマ管理部５１によりタイマ６１を起動し、カウント状態を把握する。また、Ｓ３の動作の時は、同様の連携により、コントローラ１のタイマ管理部１２で各リーダ３のタイマ６１のカウントによる制限時間Ｌの経過などを判断する。Ｓ３の時、コントローラ１側では、タイマ管理部１２による制限時間Ｌの経過の判断、権限判定部５２による解除権限の判定、解除処理部５３による解除処理、及び、解除履歴部５４による解除履歴格納、といった流れで処理が行われる。

コントローラ１の制御部１０は、図示しないプロセッサ、メモリ、入力装置、出力装置、通信Ｉ/Ｆ装置などの公知要素を用いて実現される。プロセッサがメモリに制御プログラムをロードして実行すること等により各処理部が実現される。また、リーダ３の制御部４０は、図示しないプロセッサ、メモリ、入力装置、出力装置、通信Ｉ/Ｆ装置などを用いて実現される。また、ＳＰＵ２は、図示しないプロセッサ、メモリ、入力装置、出力装置、通信Ｉ/Ｆ装置などを用いて実現される。

なお図３では、下位のリーダ３側にタイマ６１を備え、上位のコントローラ１側にタイマ管理部５１を備える構成例を示しているが、これに限らず可能である。例えば、上位のコントローラ１（解除制御部１２）側にのみタイマ６１及びタイマ管理部５１相当を備えて、基本的にコントローラ１側で時間の管理をしてもよい。また、例えば下位の各リーダ３（解除制御部６０）側で独立的にタイマ６１及びタイマ管理部５１相当を備えて、基本的にリーダ３側で時間の管理をしてもよい。

［ＡＰＢ制御］
本実施の形態におけるＡＰＢ制御について説明する。本ＡＰＢ制御では、主に図５の管理情報（入退シーケンステーブル３１、解錠フラグＤＢ３２）を用いる。入退シーケンステーブル３１及び解錠フラグＤＢ３２に応じて、コントローラ１から各リーダ３（登録情報４５）への配信内容が決定される。コントローラ１（更新部１１）は、随時、入退シーケンステーブル３１の情報を用いて、解錠フラグＤＢ３２の内容を更新する処理を行い、また解錠フラグＤＢ３２の情報を用いて、各リーダ３の登録情報４５の内容を更新するための情報を配信する処理を行う。解錠フラグＤＢ３２の内容は、各カード９がかざされる各リーダ３に関する入退管理上のフラグ情報（解錠フラグ）を含む。

図５の管理情報などに基づき、本システムのコントローラ１では、例えば図１（図２）のリーダＲＡにユーザＡのカードＡがかざされた場合、当該ユーザＡが部屋Ａに移動したものとみなし、部屋Ａ内からカードＡをかざすことができるリーダＲＢ，ＲＣのみ、次に許可するように解錠フラグＤＢ３２のフラグ情報などを更新する。また一方、部屋外から部屋Ａ内へ移動したとみなしたため、部屋Ａ内からカードＡをかざすことのできないリーダＲＡ，ＲＦ等（ＲＢ，ＲＣ以外）については、次に不許可になるように上記情報を更新する。

図１（図２）の例で実現されるＡＰＢ制御内容（入退の制限）としては、部屋外からは部屋Ａまたは部屋Ｂへの扉Ａ，Ｃ（対応ＲＡ，ＲＦ）の通過のみ許可され、部屋Ａからは部屋外または部屋Ｂへの扉Ａ，Ｂ（対応ＲＢ，ＲＣ）の通過のみ許可され、部屋Ｂからは部屋Ａまたは部屋外への扉Ｂ，Ｃ（対応ＲＤ，ＲＥ）の通過のみ許可される（図５のテーブルＴ１の設定と対応）。

上記ＡＰＢ制御により、例えばユーザＡが部屋外でカードＡをリーダＲＡにかざして認証で許可となったにもかかわらず扉Ａを通過して部屋Ａ内へ移動しなかった場合、ＡＰＢ違反行為となる（Ｓ１）。当該ユーザＡはＡＰＢ違反状態であるため、部屋外から別のエリア（部屋Ａまたは部屋Ｂ）へ移動することができない。即ちＡＰＢ制御による高いセキュリティが実現されている。

上記ＡＰＢ違反（Ｓ１）により、例えばユーザＡのカードＡ（ＩＤ１）は部屋Ａ内へ移動することができない状態となっている。このＡＰＢ違反状態を解除する手続きを、本システムの機能（解除制御部１２，６０等）を用いて自動的な処理として行う。

［入退シーケンステーブル］
図５（ａ）は、ＳＰＵ２の入退シーケンステーブル２１に基づくコントローラ１の入退シーケンステーブル３１の例を示している。入退シーケンステーブル３１は、ＡＰＢ制御を含む入退管理制御に対応した、正規の手順に対応する所定の経路に応じた入退シーケンス（解錠フラグ情報を含む）についてテーブル（Ｔ）として定義されている。また多様な経路の制御に対応可能なように複数の種類のテーブル（Ｔ１，Ｔ２等）として定義されている。例えばＴ１は第１の経路（ＡＰＢ制御内容）に対応したテーブルである。

入退シーケンステーブル３１は、各リーダ３（例：ＲＡ〜ＲＦ）にカード９（基本的な通過権限有りのカード、例えばカードＡ，Ｂ等）がかざされる際、前後のリーダ３での認証の許可／不許可の関係を解錠フラグ情報で規定している。言い換えると、前のリーダＲの認証で許可となったカード９について、次にどのリーダ３で許可となるかについての登録情報である。

Ｔ１において、（ａ）「前リーダ」と（ｂ）「次リーダ」との各リーダＲ｛ＲＡ〜ＲＦ等｝の関係のマトリクスで、フラグ値“０”／“１”が設定される。（ａ）「前リーダ」は、前にカード９がかざされ認証で許可したリーダＲを示す番号などである。（ｂ）「次リーダ」は、（ａ）「前リーダ」の次にカード９がかざされ認証が行われるリーダＲを示す番号などである。フラグ（解錠フラグ）は、（ｂ）「次リーダ」の認証における許可／不許可を示す。“０”は次に不許可にすること（ＯＦＦ）を示し、“１”は次に許可にすること（ＯＮ）を示す。

例えば５０１の行では、リーダＲＡの許可の次に許可されるリーダ３がＲＢ，ＲＣであることを示している。これは図１等で部屋外からリーダＲＡの認証で許可され扉Ａを通過して部屋Ａに入室した場合は次に扉Ａ・リーダＲＡを通じて部屋外へ退室するか、扉Ｂ・リーダＲＢを通じて部屋Ｂへ入室するか、に制限されることに対応している。同様に５０２の行では、リーダＲＢの許可の次に許可されるリーダ３がＲＡ，ＲＦであることを示している。

［解錠フラグＤＢ］
また図５（ｂ）は、コントローラ１の解錠フラグＤＢ３２の例を示している。解錠フラグＤＢ３２は、各リーダ３毎、各カード９（対応ＩＤ、ユーザ）毎における、ＡＰＢ制御を含む入退管理制御のためのフラグ（解錠フラグ）を含む情報が規定されている。解錠フラグＤＢ３２は、各ユーザがリーダ３にカード９をかざした結果の時点ごとの状態を表している。リーダ３でのカード９の認証で許可となった場合は解錠フラグＤＢ３２の内容が更新され、不許可の場合は更新されない。

「カードＩＤ」項目はカード９のＩＤ（対応するユーザ）を示す。例えばＩＤ１（ユーザＡ），ＩＤ２（ユーザＢ）等である。なおユーザ、カード、ＩＤなどは所定の対応関係で管理されるため適宜読み替え可能である。「入退シーケンステーブル番号」項目は、当該「カードＩＤ」に対して関係付ける入退シーケンステーブル３１（Ｔ）の番号を示す。例えばユーザＡ，ＢのカードＡ，Ｂで同じ入退シーケンステーブルＴ１（図５（ａ））が関連付けられ即ち同じＡＰＢ制御が行われる設定の場合である。「リーダ番号＆フラグ」項目は、当該「カードＩＤ」（ユーザ）について、次のリーダ３に応じた許可／不許可の状態（セット）を示す。

例えば、図２のユーザＡ（カードＡ）が部屋ＡからリーダＲＢの認証の許可を通じて部屋外へ移動した後の状態の場合、図５（ａ）のＴ１の２行目（５０２）に従い、「リーダ番号＆フラグ」項目は、５１１のような値となる。即ち、次に許可されるリーダ３がＲＡ，ＲＦのみの状態である。例えば、図２のユーザＢ（カードＢ）が部屋外からリーダＲＡの認証の許可を通じて部屋Ａ内へ移動した後の時点の状態の場合、図５（ａ）のＴ１の１行目（５０１）に従い、「リーダ番号＆フラグ」項目は、５１２のような値となる。即ち、次に許可されるリーダ３がＲＢ，ＲＣのみの状態である。

なお各ユーザごとの経路（対応テーブルＴ）の設定によらずに、二人のユーザ（例：Ａ，Ｂ）が同じリーダ３の認証を通じて同じ扉を通過する際に、本システムの解除機能が有効である。

［人事ＤＢ・ユーザ情報・権限テーブル］
図６は、人事ＤＢ７１ないしユーザ情報３３、及びそれらの情報に基づいて作成（設定）される権限テーブル３４の例を示す。これらの情報は、本システムにカード９（ＩＤ）情報が登録されるユーザ同士の関係を確認し、解除権限を判定するために用いる。例えばユーザＡ，Ｂが互いに同じ組織に所属する人であるのかどうかや、組織内でユーザＡに対してユーザＢが上位となる関係か、等を判定するために用いる。

図２の組織サーバ７は、人事ＤＢ７１などを保持する。人事ＤＢ７１は、管理対象の組織の人事情報（複数のユーザの情報）を含むデータベースである。コントローラ１のユーザ情報３３は、人事ＤＢ７１からダウンロード等により取得した同様の情報である。例えば、ユーザＡ，Ｂ，Ｃ等において、ユーザ同士の関係が階層あるいはグループなどによって規定されている。本例では、ユーザＢが上長であり、その部下としてユーザＡ，Ｃ等を有する。

そして本実施の形態では特に、設定部５０により、人事ＤＢ７１情報またはユーザ情報３３を用いて権限テーブル３４を予め作成（設定）する処理を行う。そして、権限判定部５２による権限判定の際にこの権限テーブル３４の情報を参照する構成である。

権限テーブル３４で、左側（行）は解除者（例えばユーザＢ）となるユーザのＩＤを示し、上側（列）は解除対象者（例えばユーザＡ）となるユーザのＩＤを示し、それらのユーザ同士の関係のマトリクスで、フラグ（解除権限フラグ）は解除権限の有無を示す。解除権限フラグ＝“１”は権限有り、“０”は権限無しを示す。本例では、６０１の行に示すように、ユーザＢは、ユーザＡ，ＣのＡＰＢ違反の解除の権限を有する設定である。

また、権限テーブル３４情報は、設定部５０やＳＰＵ２を用いて管理者による手動で詳細設定してもよい。その場合、組織のセキュリティポリシー等に応じて、個別のユーザ毎に権限を設定可能である。例えば、ユーザＡ，Ｃが同僚（同グループ）であり、ユーザＡ，Ｃ同士で互いに解除権限を持たせるといった設定も可能である。

なお上記権限テーブル３４が無いとしても、各ユーザのカード９（ＩＤ）同士の解除権限有無（ユーザ同士の関係性）を判定することができる同様の情報として、人事ＤＢ７１情報ないしユーザ情報３３を直接参照して判定する等の形でもよい。

［処理（第１の方式）］
図４の処理フロー（図１（ａ）の第１の方式に対応）を用いて、解除の手続きについて説明する。Ｓは処理ステップを表す。

（Ｓ１００） まず前提として、ＡＰＢ違反行為（例：図１（ａ）のＳ１）があったとする。これはコントローラ１の制御部１０（更新部１１）の通常の制御として検出及び記録されている（解錠フラグＤＢ３２の内容に反映されている）。

（Ｓ１０１） 上記ＡＰＢ違反状態のユーザ（例：Ａ）がカード９（例：Ａ）をリーダ３（例：ＲＡ）にかざす（Ｓ２）。リーダ３の制御部４０は、かざされたカード９のＩＤをＩＤ読取部４１により読み取り、ＩＤ認証部４２により当該読み取りＩＤと登録情報４５の登録ＩＤとを比較して認証し、「許可」（“１”）か「ＡＰＢ違反による不許可」（“０”）かを判定する。不許可の場合（Ｙ）はＳ１０２へ進む。許可の場合（Ｎ）は終了する（最初から同様に繰返し）。

なおＳ１０１−Ｎの場合、既存の入退管理制御に従う通常通りの制御（許可処理を含む）が行われる。即ち許可処理では、リーダ３（錠制御部４３）は、許可なので、対応する扉の電気錠８を解錠する。またリーダ３とコントローラ１との通信に基づき、コントローラ１（更新部１１）は、入退許可とした内容の履歴情報を作成して履歴ＤＢ２２へ記録する。更には、入退シーケンステーブル３１に従い、解錠フラグＤＢ３２の更新も行われる。

例えばリーダＲＡでは、カードＡのＩＤ１（ユーザＡ）に関して、ＡＰＢ違反状態であるため、上記認証結果が不許可となる。

（Ｓ１０２） リーダ３及びコントローラ１は、不許可処理（既存処理）を行う。リーダ３は、不許可なので、対応する扉の電気錠８を解錠しない。またリーダ３とコントローラ１との通信に基づき、コントローラ１（更新部１１）は、入退不許可とした内容の履歴情報を作成して履歴ＤＢ２２へ記録する。

（Ｓ１０３） コントローラ１は、上記Ｓ１０１，Ｓ１０２によるリーダ３（ＲＡ）との通信に基づき、当該カードＡ（ＩＤ１）がＡＰＢ違反状態により不許可となったこと（Ｓ２）を認識する。認識した結果に基づき、タイマ管理部５１は、当該契機で、当該リーダ３（ＲＡ）のタイマ６１を起動させる。当該リーダ３（ＲＡ）はタイマ６１のカウントを開始する。

（Ｓ１０４） Ｓ１０４では、同リーダ３（ＲＡ）において、上記タイマ６１のカウント中の状態で、上記Ｓ１０１のＡＰＢ違反状態の不許可カード（例：カードＡ）とは別に、ＡＰＢ違反状態ではない許可カード（例：カードＢ）がかざされたかどうかを判定する。例えばＡＰＢ違反状態ではないユーザＢがカードＢを同リーダ３（ＲＡ）にかざす（Ｓ３）。リーダ３（ＲＡ）は、Ｓ１０１と同様に、当該カード９のＩＤを読み取って認証し許可／不許可を判定する。ここで許可のカード（Ｂ）である場合（Ｙ）はＳ１０５へ進む。不許可のカード（Ｂ）である場合（Ｎ）はＳ１０８へ進む。なおＳ１０４−Ｙの場合、上記同様に通常通りの制御（許可処理を含む）が行われる。

（Ｓ１０５） Ｓ１０５では、上記Ｓ１０４でかざされた許可カード（Ｂ）（対応ユーザ、ＩＤ）に関して、上記Ｓ１０１の不許可カード（Ａ）に関するＡＰＢ違反の解除権限が有るかどうかを判定する。リーダ３とコントローラ１との通信に基づき、コントローラ１の解除制御部１２の権限判定部５２は、権限テーブル３４を参照し、上記権限有無を確認する。権限有りの場合（Ｙ）はＳ１０６へ進み、権限無しの場合（Ｎ）はＳ１０８へ進む。なお権限テーブル３４を用いない場合は人事ＤＢ７１やユーザ情報３３の検索処理になる。

例えば権限テーブル３４（図６）で該当ＩＤ（ＩＤ１，ＩＤ２）に関する解除権限フラグをみると、当該ユーザＢ（ＩＤ２）が当該ユーザＡ（ＩＤ１）の解除権限を持っており、上記判定結果は権限有りとなる。

（Ｓ１０６） 上記権限有りの場合、解除処理部５３は、上記ＡＰＢ違反状態のユーザＡ（カードＡ）に関して、解除処理を実行する。即ち、解除処理部５３は、解錠フラグＤＢ３２の内容（解錠フラグ）を修正することにより、当該カードＡ（ＩＤ１）の状態が不許可（違反状態）から許可（通常状態）になるように変更する（値の具体例は図７）。これにより例えばユーザＡのカードＡはリーダＲＡの認証で許可される状態になる。

（Ｓ１０７） また、解除履歴部５４は、上記Ｓ１０６の解除（修正）を実行したことを示す内容の解除履歴情報を作成し、ネットワーク６を介してＳＰＵ２へ配信して履歴ＤＢ２２内に記録する。解除履歴情報は例えばカードＢ（ＩＤ２）がカードＡ（ＩＤ１）のＡＰＢ違反状態を解除（修正）したことを示す情報を含む。

（Ｓ１０８） Ｓ１０８では、タイマ６１のカウント値が所定の設定された制限時間Ｌを経過したかどうかを判定する。Ｌを経過した場合（Ｙ）は終了する（解除動作は無効となる）。Ｌを経過していない場合（Ｎ）は、Ｓ１０４に戻って同様に繰り返す。

その後は、例えばカードＡを持つユーザＡは、リーダＲＡにカードＡをかざすことにより（図１（ａ）、Ｓ４）、認証で許可となるので、部屋外から扉Ａを通過して部屋Ａ内へ移動することができる。

［処理（第２の方式）］
図１（ｂ）の第２の方式の場合、図４の第１の方式の処理フローと概ね共通であるが、異なる処理として以下がある。特にＳ３，Ｓ４に対応してＳ１０６の解除処理の内容が異なる。第２の方式では、Ｓ１０６で、解除処理部５３は、ＡＰＢ違反状態の不許可カード（例：カードＡ）を非ＡＰＢ違反状態の許可カードの状態になるように変更すると共に、更に当該リーダＲＡでのユーザＡのカードＡの認証を済ませた後の状態（部屋外から部屋Ａ内へ移動したとみなした状態）になるように、解錠フラグＤＢ３２の内容を更新する（図７）。

解錠フラグＤＢ３２を更新する方法として、公知技術、例えば、特許文献２の方式を用いるために、リーダＲＡにユーザＡのカードＡが認証し許可となったように装い、許可履歴情報を作成し、ネットワーク５を介して、入退シーケンステーブル３１に従い、解錠フラグＤＢ３２を更新する。

また、別の方法として、Ｓ１０６での処理と一緒に、入退シーケンステーブル３１の５０１を同時に実施して解錠フラグＤＢ３２を更新するようにしてもよい。

［具体例］
図７は解錠フラグＤＢ３２の内容（値）の具体的な更新（遷移）の例を示している。図１（ａ）の第１の方式の例に対応して、ユーザＡ（ＩＤ１）、入退シーケンステーブルＴ１に関して、次に許可されるリーダＲの状態を示している。

７００は、最初、Ｓ１のＡＰＢ違反行為よりも前の正常な状態である。部屋外にユーザＡがいる状態なので、次にリーダＲＡ，ＲＦのみが許可（“１”）となっている。

７０１は、Ｓ１のＡＰＢ違反行為をした後の状態、及びＳ２の時の状態である。Ｓ１でリーダＲＡにカードＡをかざして許可され、ユーザＡは部屋Ａ内へ移動したとみなされ、次にリーダＲＢ，ＲＣのみが許可となっている。Ｓ２の時、この状態であるため、ユーザＡがカードＡをリーダＲＡにかざしても不許可となる。

７０２は、図１（ａ）の第１の方式の場合でＳ３の解除の後の状態である。解除処理により７０１の状態が７０２の状態へ修正されている。これによりＳ４でユーザＡがカードＡをリーダＲＡにかざすと許可となる。

７０３は、図１（ｂ）の第２の方式の場合でＳ３の解除の後の状態である。解除処理により７０１の状態が７０３の状態へ修正されている。なおこの場合、７０１の値と７０３の値とが偶々同じ場合である。

７０４は、７０２または７０３の後、Ｓ４によりユーザＡが部屋Ａ内へ移動した後の状態である。次にリーダＲＢ，ＲＣのみが許可となっている。

またユーザＢ（ＩＤ２）、テーブルＴ１に関して、次に許可されるリーダＲの状態を同様に示している。７１０は、７０１と同様に、最初、Ｓ１よりも前の正常な状態である。部屋外にユーザＡと共にユーザＢがいる状態である。７１１は、図１（ａ）の第１の方式の場合でＳ３の後の状態である。リードＲＡでのユーザＢの認証の許可により、次にリーダＲＢ，ＲＣのみが許可となっている。７１２は、図１（ｂ）の第２の方式の場合でＳ３の後の状態であり、７１１と同様の状態である。

［効果等］
以上説明したように、本実施の形態によれば、一緒にいるユーザ同士の責任（相互認証）に基づいて解除が実現できる仕組みであり、管理者などによる手間やコストを要せず、かつ、セキュリティレベルを低下させず、ＡＰＢ違反の解除を実現できる。例えば管理者が不在の場合でも解除に対応可能であるという効果がある。

従来技術例のシステムにおけるＡＰＢ違反の解除の際の管理者の作業の例を挙げると以下である。管理者は解除のための連絡を受けると、ＳＰＵ等で履歴ＤＢの情報を参照し、その中から該当のＡＰＢ違反の箇所の情報を抽出する。そしてＳＰＵ等で所定のソフトウェアプログラム処理の実行により、システムの管理情報に対して解除（ＡＰＢ違反が解除された整合性のある状態への修正）を行っている。一方、本実施の形態では、自動的に解除処理が行われるので、上記管理者の作業を必要としない、もしくは削減できる。

図１（ａ）の第１の方式と図１（ｂ）の第２の方式については、一方のみ固定で実装した形態としてもよいし、コントローラ１の設定によりその都度適用する方式を選択可能な形態としてもよい。また解除権限を持つユーザごとに適用する方式を選択設定可能な形態としてもよい。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。

本発明は、入退管理システムに利用可能である。

１…入退管理制御装置（コントローラ）、２…ＳＰＵ（システム処理装置）、３…カードリーダ装置（リーダ）、４…リーダ制御装置、５，６…ネットワーク、７…組織サーバ、８…電気錠、９…カード（ＩＤカード）、１０…制御部、１１…更新部、１２…解除制御部、２１…入退シーケンステーブル、２２…履歴ＤＢ、３１…入退シーケンステーブル、３２…解錠フラグＤＢ、３３…ユーザ情報、３４…権限テーブル、４０…制御部、４１…ＩＤ読取部、４２…ＩＤ認証部、４３…錠制御部、４５…登録情報、５０…設定部（権限情報作成部）、５１…タイマ管理部、５２…権限判定部、５３…解除処理部、５４…解除履歴部、６０…解除制御部、６１…タイマ、６２…ユーザＩ/Ｆ部、７１…人事ＤＢ。

Claims (8)

1. ＩＤカードを利用した入退管理システムであって、
   アンチパスバック制御を含む入退管理制御を所定の管理情報を用いて行う制御装置と、当該制御装置に接続される複数のカードリーダ装置と、を有し、
   アンチパスバック違反を解除する制御を行う機能として、
   （１）第１のカードリーダ装置で読み取った第１のＩＤカードがアンチパスバック違反状態である場合、タイマのカウントを開始する、第１の手段と、
   （２）前記タイマのカウントによる所定の制限時間内に、前記第１のカードリーダ装置で読み取った第２のＩＤカードがアンチパスバック違反状態ではない場合、当該第２のＩＤカードが第１のＩＤカードのアンチパスバック違反状態を解除する権限を有するかを判定する、第２の手段と、
   （３）上記権限を有する場合、前記第１のＩＤカードのアンチパスバック違反状態を解除する処理を前記管理情報に対して実行する、第３の手段と、を有すること、を特徴とする入退管理システム。
2. 請求項１記載の入退管理システムにおいて、
   前記カードリーダ装置は、前記制御装置との通信に基づき、ユーザによりかざされる前記ＩＤカードのＩＤ情報を読み取って扉の通過の許可／不許可を判定する認証を行いその結果に応じて扉の電気錠の解錠を制御し、
   前記制御装置は、前記カードリーダ装置との通信に基づき、アンチパスバック違反の検出及び記録を含む入退管理制御の処理を前記所定の管理情報を用いて行い、
   前記制御装置は、アンチパスバック違反を解除する機能を実現する解除制御部を有し、
   前記解除制御部において、
   （１）第１の動作として、アンチパスバック違反状態の第１のユーザの第１のＩＤカードを第１のカードリーダ装置で読み取って認証し不許可となった場合、当該契機で前記タイマのカウントを開始する、第１の処理部と、
   （２）第２の動作として、前記タイマのカウントによる所定の制限時間内に、アンチパスバック違反状態ではない第２のユーザの第２のＩＤカードを前記第１のカードリーダ装置で読み取って認証し許可となった場合、当該契機で当該第２のユーザの第２のＩＤカードが前記第１のユーザの第１のＩＤカードのアンチパスバック違反状態を解除する権限を有するかを判定する、第２の処理部と、
   （３）上記権限を有する場合、前記第１のユーザの第１のＩＤカードにおけるアンチパスバック違反状態を解除する処理を前記管理情報に対して実行する、第３の処理部と、を有し、
   上記構成により、前記第１のユーザのアンチパスバック違反状態を第２のユーザの第２のＩＤカードの認証の動作に伴い解除でき、解除後、第１のユーザの第１のＩＤカードを第１のカードリーダ装置で読み取って認証し許可となることにより、第１のユーザによる扉の通過が可能になること、を特徴とする入退管理システム。
3. 請求項１記載の入退管理システムにおいて、
   前記第３の手段は、前記解除処理において、更に、第１のユーザの第１のＩＤカードの第１のカードリーダ装置での認証の動作を省略して当該認証で許可された後の状態になるように、前記管理情報の内容を更新し、
   上記構成により、前記第１のユーザのアンチパスバック違反状態を第２のユーザの第２のＩＤカードの認証の動作に伴い解除でき、解除後、第１のユーザの第１のＩＤカードを第１のカードリーダ装置で読み取って認証する動作を省略して、第２のユーザによる扉の通過と一緒に第１のユーザによる扉の通過が可能になること、を特徴とする入退管理システム。
4. 請求項１記載の入退管理システムにおいて、
   前記カードリーダ装置は、前記タイマを有し、
   前記制御装置は、前記タイマのカウントの状態を把握し、前記カウントによる制限時間の経過を判断し、前記制限時間の値を設定する、タイマ管理部を有すること、を特徴とする入退管理システム。
5. 請求項１記載の入退管理システムにおいて、
   前記制御装置は、入退管理の対象となる組織のデータベースから、前記ＩＤカードを持つユーザ間の関係を示すユーザ情報を取得または参照し、前記第２の手段による前記解除の権限の判定の際に、前記ユーザ情報を参照して前記権限の有無を判定する処理を行うこと、を特徴とする入退管理システム。
6. 請求項１記載の入退管理システムにおいて、
   前記制御装置は、入退管理の対象となる組織の人事データベースから、前記ＩＤカードを持つユーザ間の関係を示すユーザ情報を取得し、取得したユーザ情報から、前記解除の権限の有無を示すフラグ情報を含む権限テーブルを作成する処理を行い、前記第２の手段による前記権限の判定の際に、前記権限テーブルを参照して前記権限の有無を判定する処理を行うこと、を特徴とする入退管理システム。
7. 請求項１記載の入退管理システムにおいて、
   前記制御装置は、前記第３の手段による解除処理を実行した場合の解除履歴情報を作成して履歴データベースに格納する処理を行うこと、を特徴とする入退管理システム。
8. ＩＤカードを利用した入退管理システムにおけるアンチパスバック違反を解除する処理を行うアンチパスバック違反解除方法であって、
   前記入退管理システムは、アンチパスバック制御を含む入退管理制御を所定の管理情報を用いて行う制御装置と、当該制御装置に接続される複数のカードリーダ装置と、を有し、
   前記アンチパスバック違反を解除する処理において、
   （１）第１のカードリーダ装置で読み取った第１のＩＤカードがアンチパスバック違反状態である場合、タイマのカウントを開始する、第１の処理手順と、
   （２）前記タイマのカウントによる所定の制限時間内に、前記第１のカードリーダ装置で読み取った第２のＩＤカードがアンチパスバック違反状態ではない場合、当該第２のＩＤカードが第１のＩＤカードのアンチパスバック違反状態を解除する権限を有するかを判定する、第２の処理手順と、
   （３）上記権限を有する場合、前記第１のＩＤカードのアンチパスバック違反状態を解除する処理を前記管理情報に対して実行する、第３の処理手順と、を有すること、を特徴とするアンチパスバック違反解除方法。

Images