JP4501498B2 - ネットワーク対応分析装置及びシステム - Google Patents

Description

本発明は、液体クロマトグラフ、ガスクロマトグラフ、質量分析計等の各種の分析装置に応用可能なネットワーク対応分析装置に関し、更に詳しくは、ネットワークに接続された制御用コンピュータから遠隔制御可能な分析装置に関する。また、本発明は、前記のような分析装置を含むネットワーク対応分析システムに関する。

近年、分析装置では、制御装置として汎用のパーソナルコンピュータ（以下、パソコンと略す）を利用したものが多くなっている。このようにパソコン等を分析装置の制御用コンピュータとして利用する分析システムには以下のような形態のものがある。

（従来技術１）ＲＳ−２３２Ｃ等のインターフェースを用いて分析装置と制御用コンピュータを１対１で接続したもの。この形態では、分析装置毎に制御用コンピュータを用意する必要があるため、コストがかかり、更に、インターフェースの配線長に制約があるため、広い設置スペースが必要となる。また、この形態では、分析装置へのアクセスは、それに接続された制御用コンピュータからしか行うことができない。従って、例えば複数の分析装置を用いて分析を行う場合、各分析装置の状態確認や動作制御を行うには、各分析装置の設置場所まで行き、その分析装置の制御用コンピュータを操作しなければならない。同様に、ユーザが分析装置の空き状況を確認したい場合も各分析装置の設置場所まで行かなければならない。

（従来技術２）１台の制御用コンピュータに複数のインターフェースを実装することにより複数の分析装置を接続したもの。この形態は、様々な面で従来技術１よりもやや有利ではあるものの、上述の問題を根本的に解決するものではない。また、１台の制御用コンピュータに接続可能な分析装置の台数には限りがある。

（従来技術３）分析装置及び制御用コンピュータの各々にイーサネット（登録商標）のようなネットワークインターフェースを実装し、各ネットワークインターフェースに固定のネットワークアドレスを付与することにより、ネットワーク経由で分析装置と制御用コンピュータとを１対１で接続したもの。この形態は、インターフェースの配線長の問題が解消される点で従来技術１及び２より有利であるが、分析装置と制御用コンピュータが１対１で接続されるという基本的システム構成は従来技術１又は２と変わりがない。従って、従来技術１及び２に関する上述の問題がすべて解決されるわけではない。

（従来技術４）従来技術１又は２の形で分析装置と制御用コンピュータとを接続するとともに、該制御用コンピュータにネットワークサーバ機能を実装し、該ネットワークサーバ機能を通じて前記分析装置の制御や状態確認を行うことができるようにしたもの。この形態では、ネットワークに接続されている任意の分析装置の制御用コンピュータで所定のクライアントプログラムを用いることにより、遠隔からでも他の分析装置の制御や状態確認を行うことが可能である。しかし、この形態でも、分析装置と制御用コンピュータとの接続形態自体は従来技術１又は２と基本的に同じであるため、設置スペースの問題、インターフェースの配線長の問題、分析装置の接続台数の制限の問題等は解消されない。

（従来技術５）ネットワークに接続された各分析装置上でネットワークサーバを動作させし、同じネットワークに接続された他の任意のネットワーククライアント（例えば、Ｗｅｂブラウザを搭載したパソコン）から目的の分析装置のネットワークサーバにアクセスすることにより、分析装置の管理情報（稼働状況等）を遠隔から閲覧可能にしたもの。このようなシステムの一例として特許文献１に記載のものがある。ただし、同文献には、ネットワーククライアントから分析装置を遠隔制御することに関する記載はない。また、ネットワークサーバに対する外部からのアクセスを制限する仕組みについても記載はない。

特開2004-12217号公報

従来技術５のようにネットワークを利用して複数の分析装置と複数のコンピュータとの間における多対多の接続を可能とした分析システムにおいては、ユーザ管理と、分析装置に対するアクセス管理が重要な課題となる。このことは、ネットワークを介した分析装置の遠隔制御を可能にする場合に特に当てはまる。すなわち、分析装置の正当なユーザではない者の故意又は過失により装置の分析条件が変更されたり、分析中の装置が不正に操作されたりすることがないようにしなければ、分析結果の信頼性が低下するだけでなく、分析装置内部の重要な情報が不正に取り出される可能性も否定できなくなる。

本発明は以上のような課題を解決するために成されたものであり、その目的は、ネットワーク経由で他の制御用コンピュータからアクセス可能なネットワーク対応分析装置及びそのような分析装置を含む分析システムにおいて、ユーザ認証やアクセス権管理を適切に行うことにある。

上記課題を解決するために成された本発明に係るネットワーク対応分析装置は、
前記ネットワークサーバは、前記認証サーバによる認証を通過したユーザに対しては前記分析制御部への所定のアクセス権を与える一方、それ以外のユーザに対しては前記所定のアクセス権よりも制限されたアクセス権を与えるように構成されており、さらに、
ネットワークに接続されている複数台の分析装置のうち同一グループに属する分析装置を認識する手段と、
該分析装置が前記グループ内においてユーザ認証情報を管理するマスタとして指定されている場合には、同一グループ内でスレーブとして機能する他の分析装置に対して所定のタイミングでユーザ認証情報を送信し、該分析装置が前記グループ内においてスレーブとして機能する場合には、マスタとして機能している分析装置から送信されてきたユーザ認証情報を保存する認証情報同期手段と、を備えること
を特徴としている。

前記ネットワークサーバは、前記認証サーバによる認証を通過しなかったユーザに対して、分析装置の状態を確認する権限のみ与えるように構成されてもよく、あるいは、前記分析制御部へのいかなるアクセスも許可しないように構成されてもよい。

また、本発明は、前記分析装置を複数台含み、該複数台の分析装置をグループ化して管理するグループ化手段と、同一グループに属する分析装置間において所定のタイミングでユーザ認証情報を同期する認証情報同期手段とを備えることを特徴とするネットワーク対応分析システムを提供する。前記認証情報同期手段は、ユーザによる所定の手動操作に応じて認証情報の同期を実行するように構成されもよいし、あるいは、分析装置の電源投入や再起動といった所定イベントの発生時に自動的に認証情報の同期を実行するように構成されてもよい。

上記ネットワーク対応分析システムにおいて、分析装置に対する各ユーザのアクセス権を分析装置毎に設定できるようにしてもよい。

本発明によれば、以下のような優れた効果が得られる。

（効果１）本発明に係る分析装置はネットワークサーバを備えているため、分析装置と制御用コンピュータを多対多で自由に接続することができる。また、このネットワークサーバは、外部から分析制御部にアクセスするためのゲートウェイとして機能する。従って、ユーザは、ネットワークに接続された任意の制御用コンピュータから任意の分析装置に対して制御命令を送信することができる。

（効果２）前記ネットワークサーバは、認証サーバと連携してユーザ認証を行い、認証を通過しないユーザのアクセス権を制限する。これにより、分析制御部に対する故意又は過失による外部からの不正なアクセスが防止される。

（効果３）本発明に係る分析システムでは、同一グループに属する複数の分析装置の間で認証情報を共有する仕組みを備えているため、分析装置毎にユーザ登録や登録内容の変更といった作業を行う必要がない。従って、ユーザ管理に手間や時間がかからず、システム管理作業が省力化される。

図１は、本発明に係るネットワーク対応分析システムの一実施形態の概略構成を示す図である。本実施形態の分析システム１（以下、本システム１と呼ぶ）は、ＬＡＮ等のネットワークＮＷに接続されたｍ台の分析装置Ａ−１〜Ａ−ｍ及びｎ台の制御用コンピュータ（パソコン）ＰＣ−１〜ＰＣ−ｎを含んでいる。分析装置Ａ−１〜Ａ−ｍは同一のネットワークグループＧに属している。分析装置Ａ−１〜Ａ−ｍの基本構成はすべて同じである。すなわち、ｘを１からｎまでの整数とするとき、分析装置Ａ−ｘは、分析制御部ＳＣ−ｘ、ネットワークサーバＮＳ−ｘ、認証サーバＣＳ−ｘ及び認証情報保存部ＣＤ−ｘを備えている。認証情報保存部ＣＤ−ｘには、本システム１のすべての登録ユーザの認証情報が保存されている。この認証情報には、各ユーザのユーザＩＤ、ユーザ名、パスワード等の他に、ユーザレベルや、各分析装置に対するアクセス権情報が含まれる。なお、ユーザレベルとアクセス権情報については後述する。

図２は、ユーザが分析装置にアクセスする場合の認証フローを示す図である。ユーザＵ−ｘが任意のパソコンＰＣを用いて分析装置Ａ−ｘのネットワークサーバＮＳ−ｘにアクセスし、認証情報を送信すると、ネットワークサーバＮＳ−ｘがその認証情報を含む問い合わせ（クエリ）を認証サーバＣＳ−ｘに送信する。問い合わせを受けた認証サーバＣＳ−ｘは、その問い合わせに含まれる認証情報と認証情報保存部ＣＤ−ｘに保存された情報に基づいてユーザ認証を行う。ユーザ認証では、以下の各条件が満たされるかどうかが検査される。
（条件１）受信した認証情報が認証情報保存部ＣＤ−ｘに保存された正当なユーザ認証情報であること。
（条件２）前記認証情報に対応するユーザが分析装置Ａ−ｘに対するアクセス権（装置制御権）を有すること。

上記条件をすべて満たすユーザは、分析装置Ａ−ｘにログインし、パソコンＰＣを適宜操作することにより、ネットワークサーバＮＳ−ｘ経由で分析制御部ＳＣ−ｘに制御命令を送信することができる。必要な作業が終わったら、所定のログアウト操作を実行することにより、パソコンＰＣをネットワークサーバＮＳ−ｘから切断する。一方、条件２を満たしていないユーザは、上述のようにしてパソコンＰＣから分析制御部ＳＣ−ｘに制御命令を送信することはできない。ただし、この場合でも、条件１を満たすユーザＵ−ｘであれば、分析装置Ａ−ｘにログインし、その状態をパソコンＰＣの画面上で確認することができる。

図３は、同一のネットワークグループに属する分析装置の認識フローを示す図である。まず、各分析装置Ａ−１〜Ａ−ｍがＵＤＰブロードキャストにより自分の装置情報をネットワークＮＷに送信する。この装置情報には、グループ名、装置名、装置のステータス（稼働状況）等が含まれる。また、各分析装置Ａ−１〜Ａ−ｍは、他の分析装置が発信したＵＤＰブロードキャストパケットを受信し、そのパケットから装置情報を抽出する。そして、この装置情報に含まれるグループ名が自分のグループ名と同じであれば、該装置情報に含まれる装置名を有する分析装置を自分と同一のネットワークグループに属する分析装置として認識する。

図４は、ネットワークグループ内で認証情報を同期させるための仕組みを示す図である。この図を参照しながら、分析装置間における認証情報の同期フローについて説明する。

（Ｓ１０）まず、システム管理者がいずれか１台の分析装置をマスタ装置として選定する。ここでは分析装置Ａ−ｘがマスタ装置として選定されたものとする。他の分析装置はスレーブ装置となる。その後、システム管理者は、新規ユーザの登録やパスワードの変更といった、認証情報の登録内容の変更を伴う作業をマスタ装置Ａ−ｘで行うようにする。

（Ｓ１２）認証情報の登録内容の変更を伴う作業が行われると、マスタ装置Ａ−ｘがＵＤＰブロードキャストにより認証テーブルコピー要求をネットワークに送信する。この要求は、すべてのスレーブ装置に配信される。

（Ｓ１４）認証テーブルコピー要求のＵＤＰブロードキャストパケットを受信したスレーブ装置は、ＴＣＰ／ＩＰプロトコルによりマスタ装置Ａ−ｘに認証テーブル要求を送信する。

（Ｓ１６）認証テーブル要求を受けたマスタ装置Ａ−ｘは、認証情報保存部ＣＤ−ｘに保存された認証情報を含む認証テーブルをＴＣＰ／ＩＰプロトコルによりスレーブ装置に送信する。

（Ｓ１８）認証テーブルを受信したスレーブ装置は、その認証テーブルに含まれる認証情報を自分の認証情報保存部に保存する。

ステップＳ１４〜Ｓ１８の処理を各スレーブ装置に対して実行することにより、マスタ装置Ａ−ｘの認証情報をすべてのスレーブ装置にコピーすることができる。

本システム１では、以下のような手順で認証情報を自動的に同期させる仕組みも備えている。すなわち、ステップＳ１４において、マスタ装置Ａ−ｘからＵＤＰブロードキャストパケットを受信した各スレーブ装置は、そのパケットの発信元であるマスタ装置Ａ−ｘの識別情報（例えば、ネットワークアドレス）を認証テーブルの取得先として所定の記憶領域（図示せず）に保存する。その後、スレーブ装置は、電源投入又は再起動の度に、前記記憶領域に保存された情報により特定されるマスタ装置（ここでは分析装置Ａ−ｘ）から、ステップＳ１４〜Ｓ１８の手順で認証テーブルを取得し、それに含まれる認証情報を認証情報保存部ＣＤに保存する。

次に、ユーザレベル及びアクセス権情報について説明する。

一般に複数のユーザにより利用される分析システムでは、システムの制御権限が異なる複数のユーザレベルを設けるのが一般的であり、本システム１もこれに倣っている。ユーザレベルは、例えば、ネットワークやユーザの設定や装置構成の変更等を含むすべての制御を行う権限を有する管理者ユーザ、分析に関する制御を行う権限を有する通常ユーザ、分析に関する制御の一部のみ行う権限を有する制限ユーザという３段階で設定する。一方、アクセス権情報は、分析装置に対するユーザのアクセス権の有無を分析装置毎に定めたものである。

本システム１では、認証情報のコピーについて以下のようなルールを定めている。
（１）コピー元に存在しないユーザの情報がコピー先に存在する場合、コピー先からそのユーザの情報を削除する。
（２）ユーザの情報がコピー元とコピー先の両方に存在する場合、コピー先の装置に対するアクセス権情報のみコピー先から継承し、その他の情報はコピー元からコピーする。
（３）コピー元にのみ存在するユーザの情報は、アクセス権情報を「アクセス権有り」にした上でコピー先にコピーする。
（４）ユーザレベルについては、コピー元の情報をそのままコピー先にコピーする。

以上のようなルールにより、ユーザＵ−１〜Ｕ−ｎの認証情報を分析装置Ａ−１〜Ａ−ｍで共有しつつ、各分析装置に対する各ユーザのアクセス権の有無を適切に管理することができる。

以上、本発明の一実施形態について説明したが、実施形態は上記に限られるものではなく、本発明の精神及び範囲内で様々な実施形態が考えられる。以下にいくつかの変形例を挙げる。

（変形例１）ＵＤＰプロトコルの代わりに、ブロードキャストをサポートする他のプロトコルを用いたもの。このようなプロトコルの例としてＵＰｎＰ（Universal Plug and Play）プロトコルが挙げられる。ＵＤＰを用いた場合、サブネットの境界に位置するルータを超えて別のサブネットにまでブロードキャストパケットを送信することはできない。これに対し、ＵＰｎＰを用いた場合、ＵＰｎＰ対応のルータを使用することにより、異なるサブネットにまでブロードキャストパケットを送信することが可能である。

（変形例２）ＴＣＰ／ＩＰの代わりに、再送要求をサポートする他のプロトコルを用いたもの。このようなプロトコルの例としてＨＴＴＰ（Hypertext Transfer Protocol）が挙げられる。ＨＴＴＰを用いれば、分析装置を遠隔制御するための専用アプリケーションだけでなく、Ｗｅｂブラウザのような一般のＷｅｂベースアプリケーションからでも分析装置の制御や状態確認ができるようなシステムの構築が可能である。

（変形例３）ネットワークグループＧ内に認証専用のサーバコンピュータを設置し、認証情報の同期を行う際に各分析装置だけでなくこのサーバコンピュータにも認証情報をコピーするようにしたもの。このサーバコンピュータを常時稼働させておき、ユーザ認証用の第２のマスタ装置として利用すれば、第１のマスタ装置たる分析装置が起動されていないときでも認証情報の同期を取ることができる。

本発明に係るネットワーク対応分析システムの一実施形態の概略構成を示す図。 ユーザが分析装置にアクセスする場合の認証フローを示す図。 同一のネットワークグループに属する分析装置の認識フローを示す図。 ネットワークグループ内で認証情報を同期させるための仕組みを示す図。

符号の説明

１…ネットワーク対応分析システム
Ａ（Ａ−１〜Ａ−ｍ）…分析装置
ＳＣ−ｘ…分析制御部
ＮＳ−ｘ…ネットワークサーバ
ＣＳ−ｘ…認証サーバ
ＣＤ−ｘ…認証情報保存部
ＰＣ（ＰＣ−１〜ＰＣ−ｎ）…制御用コンピュータ
ＮＷ…ネットワーク

Claims (5)

1. ネットワークに接続するためのネットワークインターフェース、前記ネットワークインターフェースを通じて外部から送られてくる要求に応じた処理を行うネットワークサーバ、ユーザ認証情報を保存した認証情報保存部、前記認証情報保存部に保存された情報に基づいてユーザ認証を行う認証サーバ、及び、分析装置の各部を制御するための分析制御部を備え、
   前記ネットワークサーバは、前記認証サーバによる認証を通過したユーザに対しては前記分析制御部への所定のアクセス権を与える一方、それ以外のユーザに対しては前記所定のアクセス権よりも制限されたアクセス権を与えるように構成されており、さらに、
   ネットワークに接続されている複数台の分析装置のうち同一グループに属する分析装置を認識する手段と、
   該分析装置が前記グループ内においてユーザ認証情報を管理するマスタとして指定されている場合には、同一グループ内でスレーブとして機能する他の分析装置に対して所定のタイミングでユーザ認証情報を送信し、該分析装置が前記グループ内においてスレーブとして機能する場合には、マスタとして機能している分析装置から送信されてきたユーザ認証情報を保存する認証情報同期手段と、を備えること
   を特徴とするネットワーク対応分析装置。
2. 前記ネットワークサーバは、前記認証サーバによる認証を通過しなかったユーザに対して、分析装置の状態を確認する権限のみ与えるように構成されていることを特徴とする請求項１に記載のネットワーク対応分析装置。
3. 請求項１又は２に記載のネットワーク対応分析装置を複数台含んで成るネットワーク対応分析システム。
4. 分析装置に対する各ユーザのアクセス権を分析装置毎に設定できることを特徴とする請求項３に記載のネットワーク対応分析システム。
5. ユーザ認証情報を保存した認証情報保存部と、前記認証情報同期手段とを備えた、常時稼働するサーバを含み、該サーバを前記グループ内でマスタとして機能させること
   を特徴とする請求項３又は４に記載のネットワーク対応分析システム。

Images