JP2021090138A - 無線通信制御システムおよび無線通信制御方法 - Google Patents

Abstract

【課題】証明書に代わり、攻撃者が推測困難な情報を用いて不正な無線アクセスポイントであるか否かを判定する。【解決手段】無線通信路を介したネットワークへのアクセスを提供する無線アクセスポイント４を介して作業進捗情報を送信すると共に、新たに発見した無線アクセスポイント４の識別情報を外部に通知する無線端末５と、無線端末５が送信した作業進捗情報を受信し、受信した作業進捗情報とホワイトリストの作業進捗情報とを第三者が解読不可能な方法で照合し、照合結果が相違ならば、新たに発見した無線アクセスポイント４を不正と判定する作業管理サーバ１とを備える。【選択図】図１

Description

本発明は、無線通信制御システムおよび無線通信制御方法に関する。

原子力プラントのように高い機密性が要求される場所であっても、無線通信インフラを導入してリアルタイムに作業進捗を管理することが求められるようになった。原子力プラントに無線通信インフラを導入する場合、不正な無線アクセスポイントが混入することにより、内部情報が漏洩するリスクや、不正な作業指示がなされる等のリスクに対処しなければならない。

不正なアクセスポイントへの接続を防止するため、従来は、無線アクセスポイントと無線端末の双方にアクセス許可のためのデジタル証明書を導入していた。しかし、プラントなどの現場で多数の無線アクセスポイントと無線端末にデジタル証明書を導入して運用するには、多くの工数が必要である。

そこで、デジタル証明書を用いずに、不正な無線アクセスポイントを検出可能とすることが望ましい。例えば、特許文献１には、安全なハンドオフのための発明が記載されている。

特表２０１０−５０２１３２号公報

特許文献１に記載されている発明では、一時的マスター鍵が、新しいアクセスポイントとアクセス端末との間の短い待ち時間のハンドオフと安全な認証のために導き出されている。しかし、一時的マスター鍵が破られた場合には、不正な無線アクセスポイントを判定できなくなるおそれがある。

そこで、本発明は、無線通信制御システムおよび無線通信制御方法において、証明書に代わり、攻撃者が推測困難な情報によって不正な無線アクセスポイントであるか否かを判定することを課題とする。

前記した課題を解決するため、本発明の無線通信制御システムは、無線通信路を介したネットワークへのアクセスを提供する第１の無線アクセスポイントを介して第１の作業進捗情報を送信すると共に、新たに発見した第２の無線アクセスポイントの識別情報を外部に通知する無線端末と、前記無線端末が送信した前記第１の作業進捗情報を受信し、受信した前記第１の作業進捗情報と予め定められた第２の作業進捗情報とを第三者が照合し、照合結果が相違ならば前記第２の無線アクセスポイントを不正と判定する管理手段と、を備えることを特徴とする。

本発明の無線通信制御方法は、無線端末が無線通信路を介したネットワークへのアクセスを提供する第１の無線アクセスポイントを介して第１の作業進捗情報を送信するステップと、前記無線端末が、新たに発見した第２の無線アクセスポイントの識別情報を外部に通知するステップと、管理手段が、前記無線端末が送信した前記第１の作業進捗情報を受信するステップと、前記管理手段が、受信した前記第１の作業進捗情報と予め定められた第２の作業進捗情報とを照合し、照合結果が相違ならば前記第２の無線アクセスポイントを不正と判定するステップと、を実行することを特徴とする。
その他の手段については、発明を実施するための形態のなかで説明する。

本発明によれば、証明書に代わり、攻撃者が推測困難な情報を用いて不正な無線アクセスポイントであるか否かを判定可能となる。

本実施形態に係る無線通信制御システムの構成図である。 作業履歴データベースに保存された正常な履歴情報の一例を示す図である。 不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録処理を示すフローチャートである。 不正アクセスポイントの検知機能を有効にしたときの処理を示すフローチャートである。 不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録動作の一例を示すシーケンス図である。 不正アクセスポイントの検知機能を有効にしたときの動作の一例を示すシーケンス図である。 不正アクセスポイントを画面上に表示する処理のフローチャートである。 不正アクセスポイントの位置を表示した画面の例である。 作業項目を登録するための画面の例である。 作業履歴データベースに保存された正常な履歴情報の一例を示す図である。 不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録処理を示すフローチャートである。 不正アクセスポイントの検知機能を有効にしたときの処理を示すフローチャートである。 不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録動作の一例を示すシーケンス図である。 不正アクセスポイントの検知機能を有効にしたときの動作の一例を示すシーケンス図である。

以降、本発明を実施するための形態を、各図を参照して詳細に説明する。
本発明は、作業者が無線端末を用いて作業進捗を管理するシステムに係る。無線端末が次にアクセスする無線アクセスポイントの認証情報（鍵）を生成するにあたり、作業に係る移動履歴や作業ルート、手順・項目等の作業進捗・実績情報を用いる。不正な無線アクセスポイントに対する接続を防止すると共に、無線アクセスポイントにアクセス可能な範囲の作業が終わっていなければ次の作業に進めないため、作業漏れを防止することができる。

図１は、本実施形態に係る無線通信制御システムＳの構成図である。
無線通信制御システムＳは、作業管理サーバ１と、アクセスポイント管理サーバ２と、作業履歴データベース３と、無線アクセスポイント４ａ〜４ｅとが相互に通信可能に接続されて構成される。この無線通信制御システムＳは、例えば原子力プラントにおいて、リアルタイムに各作業員の作業進捗を管理するためのものである。なお、図面ではアクセスポイント管理サーバ２のことを「ＡＰ管理サーバ」と省略して記載している。

無線端末５は、例えばタブレット端末であり、現場の作業において作業進捗などを入力するために利用される端末である。この無線端末５は、無線アクセスポイント４ａ〜４ｅのうち何れかと接続を確立することで、作業管理サーバ１と相互に通信して、作業進捗情報などを同期する。

無線アクセスポイント４ａ〜４ｅは、無線端末５に接続されて、この無線端末５と作業管理サーバ１などとの通信を中継する正当なアクセスポイントである。以下、無線アクセスポイント４ａ〜４ｅなどを区別しないときには、単に無線アクセスポイント４と記載する場合がある。以下の図面において、各無線アクセスポイント４ａ〜４ｅのことを、単に“ＡＰ”と省略して記載している場合がある。図面ではデータベースのことを“ＤＢ”と省略して記載している場合がある。

無線アクセスポイント４ａの識別子（SSID:Service Set Identifier）は“aa”であり、チャンネルＮaを使用している。無線アクセスポイント４ｂの識別子は“bb”であり、チャンネルＮbを使用している。無線アクセスポイント４ｃの識別子は“cc”であり、チャンネルＮcを使用している。無線アクセスポイント４ｄの識別子は“dd”であり、チャンネルＮdを使用している。無線アクセスポイント４ｅの識別子は“ee”であり、チャンネルＮeを使用している。

なお、無線アクセスポイント４ｃｘは不正なアクセスポイントであり、その識別子は“cc”であり、チャンネルＮcを使用している。よって、無線端末５からは、無線アクセスポイント４ｃと無線アクセスポイント４ｃｘの識別子は同一であり、同一のチャンネルである。よって、無線端末５のユーザは、無線アクセスポイント４ｃと間違えて無線アクセスポイント４ｃｘに接続してしまうおそれがある。

作業管理サーバ１は、無線端末５と通信して、現場作業の進捗情報を管理するサーバである。
作業管理サーバ１とアクセスポイント管理サーバ２は、無線端末５からの問い合わせに対して、アクセスポイントへアクセス可否、アクセスに必要な認証情報等を通知する。アクセスポイント管理サーバ２は、無線アクセスポイント４ａ〜４ｅおよび無線アクセスに関する情報を管理するサーバである。作業管理サーバ１やアクセスポイント管理サーバ２は、有線の通信路を介して無線アクセスポイント４ａ〜４ｅ，４ｃｘと接続し、例えばＩＰ（Internet Protocol）アドレスでこれらを管理する。無線アクセスポイント４ｃと無線アクセスポイント４ｃｘのＩＰアドレスは相違するので、作業管理サーバ１やアクセスポイント管理サーバ２は、これらを異なるものとして識別可能である。しかし、ＩＰアドレスでは、無線アクセスポイント４ｃと無線アクセスポイント４ｃｘとが異なることが判るだけであり、どちらが正規の無線アクセスポイント４であるかを判定することはできない。

作業管理サーバ１やアクセスポイント管理サーバ２は、無線アクセスポイント４ａ〜４ｅをそれぞれ“Ａ”〜“Ｅ”として管理し、これ以外の無線アクセスポイント４ｃｘを“Ｘ”として管理する。

作業履歴データベース３は、作業管理サーバ１と連携して、作業の履歴情報を保管・管理するデータベースである。後記する第１の実施形態の場合、無線端末５と無線アクセスポイント４ａ〜４ｅとの接続履歴が作業履歴となる。後記する第２の実施形態の場合、無線端末５に入力した各作業項目の履歴が作業履歴となる。

なお、これら作業管理サーバ１とアクセスポイント管理サーバ２と作業履歴データベース３とは、単一のハードウェア上で実現されてもよい。

《第１の実施形態》
第１の実施形態の無線通信制御システムＳは、作業経路履歴（アクセスポイントの利用履歴）を用いて、不正な無線アクセスポイント４を検知する。
（１） 無線端末５が正当な無線アクセスポイント４ａ〜４ｅに接続すると、移動履歴を作業管理サーバ１と送受信する。
（２） 作業管理サーバ１とアクセスポイント管理サーバ２は、これまでの移動履歴からアクセストークンを生成し、次に接続可能な無線アクセスポイント４と無線端末５にアクセストークンを送信する。アクセストークンは、標準化されたアルゴリズムで処理される。
（３） アクセストークンを持っている無線アクセスポイント４のみ、無線端末５が次にアクセスする無線アクセスポイント４として切り替え可能である。

図２は、作業履歴データベース３に保存された正常な履歴情報の一例を示す図である。
作業履歴データベース３には、定期点検＃１，＃２，…の各作業が登録されている。これら定期点検には、作業として許可されている経路、すなわち無線アクセスポイント４の接続順序が対応づけられている。定期点検＃１には、A→B→C→D→Eが対応付けられている。定期点検＃２には、A→B→C→Eが対応付けられている。

定期点検＃１のA→B→C→D→Eは、無線端末５が無線アクセスポイント４ａ，４ｂ，４ｃ，４ｄ，４ｅの順に接続することが正規の順序であることを示している。
定期点検＃２のA→B→C→Eは、無線端末５が無線アクセスポイント４ａ，４ｂ，４ｃ，４ｅの順に接続することが正規の順序であることを示している。

不正な無線アクセスポイント４ｃｘが混入し、かつ無線端末５（作業員）の経路が、A→B→Xであったとする。通常、無線端末５が接続するのは、無線アクセスポイント４の電波強度が強い順である。よって、不正な無線アクセスポイント４ｃｘの電波強度が無線アクセスポイント４ｃの電波強度よりも強いとき、無線端末５は、不正な無線アクセスポイント４ｃｘに接続するおそれがある。

しかし、無線通信制御システムＳによって許可されている接続順序は、A→B→C…であるため、無線端末５は、Xで示された無線アクセスポイント４ｃｘを不正と見なして接続しない。無線アクセスポイント４ｃｘは、無線端末５の所有者のこれまでの移動履歴を把握しなければ、無線端末５に不正接続させるために必要なアクセストークンを生成（偽装）できない。そのため、無線通信制御システムＳは、無線端末５と不正な無線アクセスポイント４ｃｘとの接続を防止可能となる。不正な無線アクセスポイント４ｃｘ側では現在の移動履歴までも把握するする必要があり、具体的な業務知識を有しない限り、攻撃が破られることはなく、証明書並みに安全である。

図３は、不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録処理を示すフローチャートである。このときには、不正な無線アクセスポイント４は、システム内に存在しないことが前提である。
最初、無線通信制御システムＳの管理者は、作業管理サーバ１を操作して、不正な無線アクセスポイント４の検知機能をオフする（Ｓ１０）。そして作業者は、無線端末５を用いてプラント現場での作業を開始する。
すると、作業管理サーバ１は、無線端末５を用いたプラント現場での作業開始を検知する（Ｓ１１）。ここで無線端末５は、正規の無線アクセスポイント４ａ〜４ｅのうち何れかを介して作業管理サーバ１と作業情報などを同期する。

ステップＳ１２において、作業管理サーバ１は、無線端末５から検知結果を受信することで、この無線端末５が新規の無線アクセスポイント４を検知したか否かを判定する。作業管理サーバ１は、無線端末５が新規の無線アクセスポイント４を検知したならば（Ｙｅｓ）、ステップＳ１３の処理に進み、無線端末５が新規の無線アクセスポイント４を検知しなかったならば、ステップＳ１２の処理に戻る。

ステップＳ１３において、作業管理サーバ１は、新規に検知した無線アクセスポイント４の識別情報を受信して、リスト形式で保存する。
ステップＳ１４において、作業管理サーバ１は、作業者による今回の一連の作業が終了したか否かを判定する。作業管理サーバ１は、今回の一連の作業情報を無線端末５と同期して、作業が終了したか否かを検知する。

作業管理サーバ１は、作業が終了していないならば（Ｎｏ）、ステップＳ１２の処理に戻り、作業が終了したならば（Ｙｅｓ）、ステップＳ１５の処理に進む。
ステップＳ１５において、作業管理サーバ１は、一連の作業結果として得られた正常な無線アクセスポイント４の接続順序のリストをホワイトリストとして作業履歴データベース３に保存して、図３の処理を終了する。

図４は、不正アクセスポイントの検知機能を有効にしたときの処理を示すフローチャートである。
最初、無線通信制御システムＳの管理者は、不正な無線アクセスポイント４の検知機能をオンする（Ｓ２０）。そして作業者は、無線端末５を用いてプラント現場での作業を開始する。すると、作業管理サーバ１は、無線端末５を用いたプラント現場での作業開始を検知する（Ｓ２１）。

ステップＳ２２において、作業管理サーバ１は、作業者による今回の一連の作業が終了したか否かを判定する。作業管理サーバ１は、今回の一連の作業情報を無線端末５と同期して、作業が終了したか否かを検知する。つまり作業管理サーバ１は、無線端末５が送信した作業進捗情報を受信する。

作業管理サーバ１は、作業が終了していないならば（Ｎｏ）、ステップＳ２３の処理に進み、作業が終了したならば（Ｙｅｓ）、図４の処理を終了する。

ステップＳ２３において、作業管理サーバ１は、無線端末５から検知結果を受信することで、この無線端末５が新規の無線アクセスポイント４を検知したか否かを判定する。作業管理サーバ１は、無線端末５が新規の無線アクセスポイント４を検知したならば（Ｙｅｓ）、ステップＳ２４の処理に進み、無線端末５が新規の無線アクセスポイント４を検知しなかったならば、ステップＳ２２の処理に戻る。

ステップＳ２４において、作業管理サーバ１は、新規に検知した無線アクセスポイント４の識別情報を受信して、アクセスポイント接続履歴をＲＡＭ（Random Access Memory）に保存する。そして作業管理サーバ１は、アクセスポイント接続履歴を作業履歴データベース３のホワイトリストと照合する（Ｓ２５）。

なお、作業管理サーバ１は、ステップＳ２５のアクセスポイント接続履歴とホワイトリストの照合にあたり、チャレンジ＆レスポンス認証のように、第三者がアクセスポイント接続履歴とホワイトリストとを解読不可能な方法で照合するとよい。

つまり、作業管理サーバ１は、作業履歴データベース３を管理する不図示のデータベースサーバに照合を申し出る。データベースサーバは、サーバは「チャレンジ」と呼ばれる乱数を元に決めた毎回異なるデータ列を送信する。作業管理サーバ１は、アクセスポイント接続履歴とチャレンジとを組み合わせ、更にハッシュ関数を用いてハッシュ値に変換したものを「レスポンス」としてデータベースサーバに返信する。

データベースサーバは、手元の認証情報からホワイトリストとチャレンジを組み合わせてハッシュ値を算出し、レスポンスと比較・照合する。両者が一致すれば作業管理サーバ１が管理するアクセスポイント接続履歴は、作業履歴データベース３上のホワイトリストと同一であると確認できる。この場合、アクセスポイント接続履歴とホワイトリストが作業管理サーバ１とデータベースサーバとの間で送受信されないので、第三者は、アクセスポイント接続履歴とホワイトリストとを盗聴できない。更に第三者がチャレンジやレスポンスを盗聴したとしても、暗号学的なハッシュ関数の性質により、これらアクセスポイント接続履歴とホワイトリストを導出するのは極めて困難であり、チャレンジやレスポンスが充分に長ければ、解読不可能であるといえる。チャレンジは、認証を行うごとに不規則に変化するため一種のワンタイムパスワードとして機能し、反射攻撃（リプレイアタック）などの攻撃手法にも耐性がある。

ステップＳ２６において、作業管理サーバ１は、アクセスポイント接続履歴がホワイトリストの順序通りであるか否かを判定する。作業管理サーバ１は、アクセスポイント接続履歴が順序通りならば（Ｙｅｓ）、新規に検知した無線アクセスポイント４へのアクセス可を無線アクセスポイント４と無線端末５の両方に通知して（Ｓ２７）、ステップＳ２２に戻る。ここで作業管理サーバ１は、アクセスポイント管理サーバ２によってアクセストークンを無線アクセスポイント４と無線端末５に送信することにより、無線端末５に対して無線アクセスポイント４が正規のものであることを通知する。

作業管理サーバ１は、アクセスポイント接続履歴が順序と相違したならば（Ｎｏ）、新規に検知した無線アクセスポイント４を不正と見做して、無線端末５にアクセス不可を通知し（Ｓ２８）、図４の処理を異常終了する。

図５は、不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録動作の一例を示すシーケンス図である。
ステップＳ３０において、無線端末５は、無線アクセスポイント４ａに接続要求を送信する。この図５では、無線アクセスポイント４ａのことを“ＡＰ−Ａ”と省略して記載している。

ステップＳ３１において、無線アクセスポイント４ａは、作業管理サーバ１に、無線端末５の接続を通知する。これにより作業管理サーバ１は、無線端末５の接続先が無線アクセスポイント４ａであることを把握する（Ｓ３２）。

ステップＳ３３において、作業管理サーバ１は、無線端末５による無線アクセスポイント４の接続履歴をホワイトリストとして作業履歴データベース３に格納する。作業管理サーバ１は、作業履歴データベース３からの格納完了通知を受信する（Ｓ３４）。

ステップＳ３５において、作業管理サーバ１は、アクセスポイント管理サーバ２に対し、無線アクセスポイント４ａについての接続許可を依頼する。アクセスポイント管理サーバ２は、無線アクセスポイント４ａに対して接続許可を送信する（Ｓ３６）。これにより無線アクセスポイント４ａは、無線端末５との間で接続ＯＫとなる（Ｓ３７）。

図６は、不正アクセスポイントの検知機能を有効にしたときの動作の一例を示すシーケンス図である。この図６では、無線アクセスポイント４ｂのことを“ＡＰ−Ｂ”と省略して記載し、無線アクセスポイント４ｃのことを“ＡＰ−Ｃ”と省略して記載している。更に、ステップＳ４０の開始時には、無線端末５と無線アクセスポイント４ｂとの間の通信が確立している。ここで無線アクセスポイント４ｂは、無線通信路を介したネットワークへのアクセスを提供する第１の無線アクセスポイントとして機能する。

ステップＳ４０において、無線端末５は、無線アクセスポイント４ｃを新たに検知する。ステップＳ４１において、無線端末５は、無線アクセスポイント４ｂに対して、作業管理サーバ１を宛先とする無線アクセスポイント４ｃの通知を送信する。

ここで無線端末５は、無線通信路を介したネットワークへのアクセスを提供する無線アクセスポイント４ｂ（第１の無線アクセスポイント）を介して第１の作業進捗情報を送信する。更に無線端末５は、新たに発見した無線アクセスポイント４ｃ（第２の無線アクセスポイント）の識別情報を作業管理サーバ１に通知している。

無線アクセスポイント４ｂは、無線アクセスポイント４ｃの通知を作業管理サーバ１に中継する（Ｓ４２）。これにより作業管理サーバ１は、新たな無線アクセスポイント４ｃを把握する（Ｓ４３）。

ステップＳ４４において、作業管理サーバ１は、作業履歴データベース３に格納されたホワイトリストを要求する。すると作業管理サーバ１は、作業履歴データベース３からのホワイトリスト応答を受信する（Ｓ４５）。ここで作業管理サーバ１が受信するホワイトリストは、例えば図２に示した全ての作業経路順序である。

ステップＳ４６において、作業管理サーバ１は、無線アクセスポイント４ｃを含む接続履歴とホワイトリストの接続履歴とを照合し、照合結果をアクセスポイント管理サーバ２に送信する（Ｓ４７）。ここで作業管理サーバ１は、無線アクセスポイント４ｃを含む接続履歴とホワイトリストの接続履歴との照合にあたり、チャレンジ＆レスポンス認証のような第三者が解読不可能な方法で照合する。

アクセスポイント管理サーバ２は、照合結果に応じたアクセス可否通知を生成し、無線端末５を宛先とするアクセス可否通知を無線アクセスポイント４ｂに送信する（Ｓ４８）。無線アクセスポイント４ｂは、このアクセス可否通知を無線端末５に転送する（Ｓ４９）。このアクセス可否通知がアクセス可であれば、無線端末５は新たな無線アクセスポイント４ｃに接続する（Ｓ５０）。このアクセス可否通知がアクセス不可であれば、無線端末５は新たな無線アクセスポイント４に接続しない。アクセス可否通知とは、無線端末５と無線アクセスポイント４ｃとの接続を確立するためのアクセストークンである。

ここで作業管理サーバ１（管理手段）は、無線端末５が送信した接続履歴（第１の作業進捗情報）を受信し、受信した接続履歴と予め定められたホワイトリスト（第２の作業進捗情報）とを第三者が解読不可能な方法で照合する。作業管理サーバ１は、照合結果が相違ならば、新たな無線アクセスポイント４を不正と判定する。

第１の実施形態では、無線端末５が接続する無線アクセスポイント４の前後の順序関係、すなわち無線アクセスポイント４の相対位置関係が正常時と異なる場合、新規接続先アクセスポイントを不正と見なしている。これは、従来の無線通信セキュリティとは異なる観点である。

攻撃者は、無線アクセスポイント４の順序関係を推定できなければ、無線端末５を攻撃者が用意した不正アクセスポイントに接続させることができない。また、無線アクセスポイント４の相対位置を利用するため、厳密な位置推定が不要であり、屋内で容易に実現可能である。原発プラント内の場合、無線アクセスポイント４を建物の壁や天井などに配置すればよく、点検前後で内部の変更があっても大きな影響はない。

本実施形態によれば、無線端末５や各無線アクセスポイント４の定期的な鍵更新を不要とし、作業員や現場保守員のＩＴリテラシーの低さを補うことができる。

図７は、不正アクセスポイントを画面上に表示する処理のフローチャートである。
無線端末５は、不正な無線アクセスポイント４を発見する（Ｓ６０）。そして、無線端末５は、不正な無線アクセスポイント４が発する無線信号情報を取得する（Ｓ６１）。

作業管理サーバ１とアクセスポイント管理サーバ２は、正常な作業履歴順序から不正な無線アクセスポイント４の位置を特定する（Ｓ６２）。ここでアクセスポイント管理サーバ２は、照合結果が相違する場合、接続中の無線アクセスポイント４の位置を不正な無線アクセスポイント４の位置として記憶する、
更に作業管理サーバ１は、不正な無線アクセスポイント４の位置情報と電波情報を図８の画面上に表示して（Ｓ６３）、図７の処理を終了する。

図８は、不正アクセスポイントの位置を表示した地図画面５１の例である。この地図画面５１は、例えば作業管理サーバ１の表示画面（不図示）に表示される。
地図画面５１には、部屋領域６１〜６４が表示され、更にアクセスポイントアイコン６５ａ〜６５ｅ，６５ｃｘが表示されている。部屋領域６１〜６４は、プラント内の部屋＃１〜＃４が占める位置を示すものである。

部屋領域６２と部屋領域６１との間には通路領域が表示されている。これは、部屋領域６２に対応する部屋＃２は、部屋領域６１に対応する部屋＃１と、通路を介して接続していることを示している。

部屋領域６３と部屋領域６２との間には通路領域が表示されている。これは、部屋領域６３に対応する部屋＃３は、部屋領域６２に対応する部屋＃２と、通路を介して接続していることを示している。同様に部屋領域６４と部屋領域６２との間には通路領域が表示されている。これは、部屋領域６４に対応する部屋＃４は、部屋領域６２に対応する部屋＃２と、通路を介して接続していることを示している。

部屋領域６１には、アクセスポイントアイコン６５ａ，６５ｂが表示されており、部屋＃１に無線アクセスポイント４ａ，４ｂが配置されていることを示している。

部屋領域６２には、アクセスポイントアイコン６５ｃと不正なアクセスポイントアイコン６５ｃｘが表示されており、部屋＃２に対応する無線アクセスポイント４ｃが配置されており、かつ不正な無線アクセスポイント４ｃｘが混入していることを示している。

部屋領域６３には、アクセスポイントアイコン６５ｄが表示されており、部屋＃３に無線アクセスポイント４ｄが配置されていることを示している。同様に部屋領域６４には、アクセスポイントアイコン６５ｅが表示されており、部屋＃４に無線アクセスポイント４ｅが配置されていることを示している。

作業管理サーバ１は、正規の無線アクセスポイント４ａ〜４ｅの位置情報を記憶する。作業管理サーバ１は、新たに検出した無線アクセスポイント４の照合結果がホワイトリストと相違する場合、ホワイトリストに基づく接続中かつ正規の無線アクセスポイント４の位置を、新たに検出した不正な無線アクセスポイント４の位置として報知する。これにより無線通信制御システムＳの管理者は、混入している不正な無線アクセスポイント４の位置を知ることができる。

《第２の実施形態》
第２の実施形態の無線通信制御システムＳは、作業項目履歴を用いて不正な無線アクセスポイント４を検知する。
（１） 無線端末５が正当な無線アクセスポイント４ａ〜４ｅに接続すると、移動履歴および作業状況を作業管理サーバ１と送受信する。
（２） 作業管理サーバ１とアクセスポイント管理サーバ２は、これまでの移動履歴および作業状況からアクセストークンを生成し、次に接続可能な無線アクセスポイント４と無線端末５にアクセストークンを送信する。アクセストークンは、標準化されたアルゴリズムで処理される。
（３） アクセストークンを持っている無線アクセスポイント４のみ、無線端末５が次にアクセスする無線アクセスポイント４として切り替え可能である。

図９は、作業項目を登録するための作業項目管理画面５２の例である。
この作業項目管理画面５２は、無線端末５のタッチパネルディスプレイ上に表示されている。作業項目管理画面５２には、作業番号欄５２１と、点検内容欄５２２と、チェック欄５２３とを含む表が表示されている。

表の１行目には、作業番号欄５２１に「１」、点検内容欄５２２に「〇〇バルブ開閉確認」が表示されており、１番目の作業が〇〇バルブの開閉確認であることを示している。チェック欄５２３にはチェックが入れられており、この作業が終了していることを示している。

表の２行目には、作業番号欄５２１に「２」、点検内容欄５２２に「○○流量計が××値以下」が表示されており、２番目の作業が○○流量計が××値以下か否かの確認であることを示している。チェック欄５２３にはチェックが入れられておらず、この作業が未了であることを示している。

作業者は、無線端末５に作業項目管理画面５２を表示させて、各作業の進捗をチェックする。無線端末５と作業管理サーバ１とは、移動履歴および作業状況を送受信して同期する。

図１０は、作業履歴データベース３に保存された正常な履歴情報の一例を示す図である。
作業履歴データベース３には、定期点検＃１１，＃１２，…の各作業が登録されている。これら定期点検には、作業として許可されている移動履歴および作業状況が対応づけられている。定期点検＃１１には、(#1,A)→(#2,A)→(#3,B)→(#4,B)→(#5,C)→(#6,C)→(#7,D)→(#8,E)が対応付けられている。

なお、(#1,A) →(#2,A)は、無線アクセスポイント４ａに接続しているときに作業＃１と作業＃２とが行われることを示している。
(#3,B)→(#4,B)は、作業＃２の後に無線アクセスポイント４ｂに接続することと、無線アクセスポイント４ｂに接続しているときに作業＃３と作業＃４とが行われることを示している。

(#5,C)→(#6,C)は、作業＃４の後に無線アクセスポイント４ｃに接続することと、無線アクセスポイント４ｃに接続しているときに作業＃５と作業＃６とが行われることを示している。

(#7,D)は、作業＃６の後に無線アクセスポイント４ｄに接続することと、無線アクセスポイント４ｄに接続しているときに作業＃７が行われることを示している。
(#8,E)は、作業＃７の後に無線アクセスポイント４ｅに接続することと、無線アクセスポイント４ｅに接続しているときに作業＃８が行われることを示している。

定期点検＃１２には、(#11,A)→(#12,A)→(#13,B)→(#14,B)→(#15,C)→(#16,C)→(#17,E)が対応付けられている。
なお、(#11,A) →(#12,A)は、無線アクセスポイント４ａに接続しているときに作業＃１１と作業＃１２とが行われることを示している。
(#13,B)→(#14,B)は、作業＃１２の後に無線アクセスポイント４ｂに接続することと、無線アクセスポイント４ｂに接続しているときに作業＃１３と作業＃１４とが行われることを示している。

(#15,C)→(#16,C)は、作業＃１４の後に無線アクセスポイント４ｃに接続することと、無線アクセスポイント４ｃに接続しているときに作業＃１５と作業＃１６とが行われることを示している。

(#17,E)は、作業＃１６の後に無線アクセスポイント４ｅに接続することと、無線アクセスポイント４ｅに接続しているときに作業＃１７が行われることを示している。

不正な無線アクセスポイント４ｃｘが混入し、かつ無線端末５（作業員）の移動履歴および作業状況が、(#1,A)→(#2,A)→(#3,B)→(#4,B)→(#5,X)であったとする。通常、無線端末５が接続するのは、無線アクセスポイント４の電波強度が強い順である。よって、不正な無線アクセスポイント４ｃｘの電波強度が無線アクセスポイント４ｃの電波強度よりも強いとき、無線端末５は、不正な無線アクセスポイント４ｃｘに接続するおそれがある。

しかし、無線通信制御システムＳによって許可されている移動履歴および作業状況が、(#1,A)→(#2,A)→(#3,B)→(#4,B)→(#5,C)…であるため、無線端末５は、Ｘで示された無線アクセスポイント４ｃｘを不正と見なして接続しない。

無線アクセスポイント４ｃｘは、無線端末５の所有者のこれまでの移動履歴および作業状況を把握しなければ、無線端末５に不正接続させるために必要なアクセストークンを生成（偽装）できない。そのため、無線通信制御システムＳは、無線端末５と不正な無線アクセスポイント４ｃｘとの接続を防止可能となる。

不正な無線アクセスポイント４ｃｘ側では現在の移動履歴および作業状況までも把握するする必要があり、具体的な業務知識を有しない限り、攻撃が破られることはなく、証明書並みに安全である。

図１１は、不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録処理を示すフローチャートである。
最初、無線通信制御システムＳの管理者は、作業管理サーバ１を操作して、不正な無線アクセスポイント４の検知機能をオフする（Ｓ７０）。そして作業者は、無線端末５を用いてプラント現場での作業を開始する。

すると、作業管理サーバ１は、無線端末５を用いたプラント現場での作業開始を検知する（Ｓ７１）。ここで無線端末５は、正規の無線アクセスポイント４ａ〜４ｅのうち何れかを介して作業管理サーバ１と同期する。

作業者は、各作業を終了するたびに無線端末５を操作してこの作業の終了を入力する。よって、作業管理サーバ１は、ステップＳ７２において、作業者が作業項目の終了を入力する度に無線端末５が送信する更新内容を受信する。
作業管理サーバ１は、終了した作業項目と、接続中の無線アクセスポイント４の情報とを対応づける（Ｓ７３）。

ステップＳ７４において、作業管理サーバ１は、無線端末５から検知結果を受信することで、この無線端末５が新規の無線アクセスポイント４を検知したか否かを判定する。作業管理サーバ１は、無線端末５が新規の無線アクセスポイント４を検知したならば（Ｙｅｓ）、ステップＳ７５の処理に進み、無線端末５が新規の無線アクセスポイント４を検知しなかったならば、ステップＳ７６の処理に進む。

ステップＳ７５において、作業管理サーバ１は、新規に検知した無線アクセスポイント４の識別情報を受信して、接続中の無線アクセスポイント４の情報を更新する。
ステップＳ７６において、作業管理サーバ１は、作業者による今回の一連の作業が終了したか否かを判定する。作業管理サーバ１は、今回の一連の作業情報を無線端末５と同期して、作業が終了したか否かを検知する。

作業管理サーバ１は、作業が終了していないならば（Ｎｏ）、ステップＳ７２の処理に戻り、作業が終了したならば（Ｙｅｓ）、ステップＳ７７の処理に進む。
ステップＳ７７において、作業管理サーバ１は、一連の作業結果として得られた作業項目と正常な無線アクセスポイント４との対応関係、および作業順序のリストをホワイトリストとして作業履歴データベース３に保存して、図１１の処理を終了する。
図１１の処理により、無線通信制御システムＳは、作業項目（アクセスポイントとの対応関係）を学習できる。

図１２は、不正アクセスポイントの検知機能を有効にしたときの処理を示すフローチャートである。
最初、無線通信制御システムＳの管理者は、不正な無線アクセスポイント４の検知機能をオンする（Ｓ８０）。作業者は、無線端末５を用いてプラント現場での作業を開始する。すると、作業管理サーバ１は、無線端末５を用いたプラント現場での作業開始を検知する（Ｓ８１）。ここで無線端末５は、正規の無線アクセスポイント４ａ〜４ｅのうち何れかを介して作業管理サーバ１と同期する。

ステップＳ８２において、作業管理サーバ１は、作業項目チェック毎に送信される無線端末５側の作業項目履歴を保存する。ステップＳ８３において、作業管理サーバ１は、作業者による今回の一連の作業が終了したか否かを判定する。作業管理サーバ１は、今回の一連の作業情報を無線端末５と同期して、作業が終了したか否かを検知する

ステップＳ８３において、作業管理サーバ１は、作業が終了していないならば（Ｎｏ）、ステップＳ８４の処理に進み、作業が終了したならば（Ｙｅｓ）、図１２の処理を終了する。
ステップＳ８４において、作業管理サーバ１は、無線端末５から検知結果を受信することで、この無線端末５が新規の無線アクセスポイント４を検知したか否かを判定する。作業管理サーバ１は、無線端末５が新規の無線アクセスポイント４を検知したならば（Ｙｅｓ）、ステップＳ８５の処理に進み、無線端末５が新規の無線アクセスポイント４を検知しなかったならば、ステップＳ８２の処理に戻る。

ステップＳ８５において、作業管理サーバ１は、新規に検知した無線アクセスポイント４の識別情報を受信して、接続中の無線アクセスポイント４の情報をＲＡＭに保存する。そして作業管理サーバ１は、作業項目履歴をホワイトリストと照合する。ここで作業管理サーバ１は、作業項目履歴とホワイトリストの照合にあたり、チャレンジ＆レスポンス認証のような第三者が解読不可能な方法で照合する。ここで作業項目履歴とは、作業項目と、この作業項目を実行していたときに接続していた無線アクセスポイント４の情報との組み合わせの履歴のことをいう。

ステップＳ８６において、作業管理サーバ１は、現在の無線アクセスポイント４での作業の未完項目があるか否かを判定する。作業管理サーバ１は、作業の未完項目があるならば（Ｙｅｓ）、新規に検知した無線アクセスポイント４へのアクセス不可を、この無線アクセスポイント４と無線端末５の両方に通知して（Ｓ８７）、ステップＳ８２に戻る。作業管理サーバ１は、作業の未完項目がなく、現在の無線アクセスポイント４での作業が完了していたならば（Ｎｏ）、ステップＳ８８の処理に進む。

ステップＳ８８において、作業管理サーバ１は、作業項目履歴がホワイトリストの順序通りであるか否かを判定する。作業管理サーバ１は、作業項目履歴が順序通りならば（Ｙｅｓ）、新規に検知した無線アクセスポイント４へのアクセス可を、この無線アクセスポイント４と無線端末５の両方に通知して（Ｓ８９）、ステップＳ８２に戻る。

作業管理サーバ１は、作業項目履歴が順序と相違したならば（Ｎｏ）、新規に検知した無線アクセスポイント４を不正と見做して、無線端末５にアクセス不可を通知し（Ｓ９０）、図１２の処理を異常終了する。

図１３は、不正アクセスポイントの検知機能を無効にしたときの、正常な作業履歴情報の登録動作の一例を示すシーケンス図である。
ステップＳ１００において、無線端末５は、無線アクセスポイント４ａに接続要求を送信する。この図１３では、無線アクセスポイント４ａのことを“ＡＰ−Ａ”と省略して記載している。

ステップＳ１０１において、無線アクセスポイント４ａは、作業管理サーバ１に、無線端末５の接続を通知する。これにより作業管理サーバ１は、無線端末５の接続先が無線アクセスポイント４ａであることを把握する（Ｓ１０２）。

ステップＳ１０３において、作業管理サーバ１は、無線端末５による無線アクセスポイント４の接続を作業履歴データベース３に格納する。作業管理サーバ１は、作業履歴データベース３からの格納完了通知を受信する（Ｓ１０４）。

ステップＳ１０５において、無線アクセスポイント４ａは、アクセスポイント管理サーバ２に対し、無線アクセスポイント４ａについての接続許可を依頼する。
ここでは、不正アクセスポイントの検知機能が無効なので、アクセスポイント管理サーバ２は、無線アクセスポイント４ａに対して接続許可を送信する（Ｓ１０６）。これにより無線アクセスポイント４ａは、無線端末５との間で接続ＯＫとなる（Ｓ１０７）。

更に無線端末５は、作業項目チェック毎に結果をサーバに送付する（Ｓ１０８）。
無線アクセスポイント４ａは、この作業項目を作業管理サーバ１に中継する（Ｓ１０９）。
作業管理サーバ１は、作業項目と現在の無線アクセスポイント４ａとを対応付けて作業履歴データベース３に格納し（Ｓ１１０）、作業履歴データベース３から格納完了通知を受信する（Ｓ１１１）。これらの処理を順に繰り返すことで、移動履歴および作業状況のホワイトリストを学習することができる。

図１４は、不正アクセスポイントの検知機能を有効にしたときの動作の一例を示すシーケンス図である。
この図１４では、無線アクセスポイント４ｂのことを“ＡＰ−Ｂ”と省略して記載し、無線アクセスポイント４ｃのことを“ＡＰ−Ｃ”と省略して記載している。更に、ステップＳ１２０の開始時には、無線端末５と無線アクセスポイント４ｂとの間の通信が確立している。

ステップＳ１２０において、無線端末５は、作業項目チェック毎に結果をサーバに送付する。ステップＳ１２１において、無線端末５は、無線アクセスポイント４ｃを新たに検知する。
ステップＳ１２１において、無線端末５は、無線アクセスポイント４ｂに対して、作業管理サーバ１を宛先とする無線アクセスポイント４ｃの通知を送信する。無線アクセスポイント４ｂは、無線アクセスポイント４ｃの通知を作業管理サーバ１に中継する（Ｓ１２３）。これにより作業管理サーバ１は、新たな無線アクセスポイント４ｃを把握する（Ｓ１２４）。

ステップＳ１２５において、作業管理サーバ１は、作業履歴データベース３に格納された正常な作業履歴（ホワイトリスト）を要求する。すると作業管理サーバ１は、作業履歴データベース３からの作業履歴応答を受信する（Ｓ１２６）。

ステップＳ１２７において、作業管理サーバ１は、無線アクセスポイント４ｃまでの作業項目と作業履歴とを照合し、照合結果をアクセスポイント管理サーバ２に送信する（Ｓ１２８）。なお、作業管理サーバ１は、無線アクセスポイント４ｃまでの作業項目と作業履歴の照合にあたり、チャレンジ＆レスポンス認証のように無線アクセスポイント４ｃまでの作業項目と作業履歴を第三者が解読不可能な方法で照合するとよい。

アクセスポイント管理サーバ２は、照合結果に応じたアクセス可否通知を生成し、無線端末５を宛先とするアクセス可否通知を無線アクセスポイント４ｂに送信する（Ｓ１２９）。無線アクセスポイント４ｂは、このアクセス可否通知を無線端末５に転送する（Ｓ１３０）。このアクセス可否通知がアクセス可であれば、無線端末５は新たな無線アクセスポイント４ｃに接続する（Ｓ１３１）。

（変形例）
本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば上記した実施形態は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることも可能である。

上記の各構成、機能、処理部、処理手段などは、それらの一部または全部を、例えば集積回路などのハードウェアで実現してもよい。上記の各構成、機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈して実行することにより、ソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）などの記録装置、または、フラッシュメモリカード、ＤＶＤ（Digital Versatile Disk）などの記録媒体に置くことができる。

各実施形態に於いて、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には、殆ど全ての構成が相互に接続されていると考えてもよい。

本発明の変形例として、例えば、次の（ａ）〜（ｃ）のようなものがある。
（ａ） 無線端末が作業管理サーバとの間で同期する作業進捗情報は、移動履歴、移動履歴および作業状況に限定されない。例えば、作業点検票の内容が、無線端末と作業管理サーバとの間で同期されてもよい。作業点検票の作業チェック順序を作業進捗情報としてもよく、作業点検表の各チェック内容をグループ化して、各グループ内では順序を問わないようにしてもよい。
（ｂ） これら作業管理サーバ１とアクセスポイント管理サーバ２と作業履歴データベース３とは、単一のハードウェア上で実現されてもよく、複数のハードウェア上にそれぞれ実現されていてもよく、限定されない。
（ｃ） アクセスポイント管理サーバが各無線アクセスポイントに送信するアクセストークンは、アクセス用の鍵情報に限定されず、認証完了後に付与されるデジタル署名情報（フットプリントとも呼ばれる）であってもよい。

１ 作業管理サーバ （管理手段）
２ アクセスポイント管理サーバ
３ 作業履歴データベース
４ａ〜４ｅ，４ｃｘ 無線アクセスポイント
５ 無線端末
５１ 地図画面
６１〜６４ 部屋領域
６５ａ〜６５ｅ，６５ｃｘ アクセスポイントアイコン
５２ 作業項目管理画面
５２１ 作業番号欄
５２２ 点検内容欄
５２３ チェック欄

Claims (11)

1. 無線通信路を介したネットワークへのアクセスを提供する第１の無線アクセスポイントを介して第１の作業進捗情報を送信すると共に、新たに発見した第２の無線アクセスポイントの識別情報を外部に通知する無線端末と、
   前記無線端末が送信した前記第１の作業進捗情報を受信し、受信した前記第１の作業進捗情報と予め定められた第２の作業進捗情報とを照合し、照合結果が相違ならば前記第２の無線アクセスポイントを不正と判定する管理手段と、
   を備えることを特徴とする無線通信制御システム。
2. 前記管理手段は、前記第１の作業進捗情報と予め定められた第２の作業進捗情報とを、第三者が解読不可能な方法で照合する、
   ことを特徴とする請求項１に記載の無線通信制御システム。
3. 前記管理手段は、照合結果が合致ならば、前記無線端末と前記第２の無線アクセスポイントにアクセストークンを送信する、
   ことを特徴とする請求項１に記載の無線通信制御システム。
4. 前記管理手段は、照合結果が合致ならば、前記無線端末と前記第２の無線アクセスポイントにアクセス用の鍵情報を送信する、
   ことを特徴とする請求項１に記載の無線通信制御システム。
5. 前記管理手段は、チャレンジ＆レスポンス認証により、前記第１の作業進捗情報と予め定められた前記第２の作業進捗情報とを照合する、
   ことを特徴とする請求項１に記載の無線通信制御システム。
6. 前記第１の無線アクセスポイントの位置情報を記憶する記憶部を備え、
   前記管理手段は、照合結果が相違する場合、前記第１の無線アクセスポイントの位置を前記第２の無線アクセスポイントの位置として報知する、
   ことを特徴とする請求項１に記載の無線通信制御システム。
7. 前記第１、第２の作業進捗情報とは、前記無線端末による無線アクセスポイントの接続履歴である、
   ことを特徴とする請求項１から３のうち何れか１項に記載の無線通信制御システム。
8. 前記第１、第２の作業進捗情報とは、前記無線端末の移動経路である、
   ことを特徴とする請求項１から３のうち何れか１項に記載の無線通信制御システム。
9. 前記第１、第２の作業進捗情報とは、作業点検票の内容である、
   ことを特徴とする請求項１から３のうち何れか１項に記載の無線通信制御システム。
10. 前記第１、第２の作業進捗情報とは、作業項目の手順である、
    ことを特徴とする請求項１から３のうち何れか１項に記載の無線通信制御システム。
11. 無線端末が無線通信路を介したネットワークへのアクセスを提供する第１の無線アクセスポイントを介して第１の作業進捗情報を送信するステップと、
    前記無線端末が、新たに発見した第２の無線アクセスポイントの識別情報を外部に通知するステップと、
    管理手段が、前記無線端末が送信した前記第１の作業進捗情報を受信するステップと、
    前記管理手段が、受信した前記第１の作業進捗情報と予め定められた第２の作業進捗情報とを照合し、照合結果が相違ならば前記第２の無線アクセスポイントを不正と判定するステップと、
    を実行することを特徴とする無線通信制御方法。

Images