JP3992067B1 - ネットワークシステム - Google Patents

Abstract

【課題】ＷＡＮが切断されてもローカル通信においてセキュア通信が行え、しかもＬＡＮ内での認証処理の負担が軽く且つローカル認証サーバでの設定が自動的に行えるネットワークシステムを提供することにある。
【解決手段】センターサーバ５内のセンターＡＳ７Ｂは、ＬＡＮ１側のゲートウェイ３内のローカルＡＳ７Ａから通知されるオブジェクトのＯＩＤ及びインターフェースのＩＩＤの組み合わせ情報に対応したＬＡＮ１内の通信に対応する許可情報をローカルＡＳ７Ａに予め送って当該ローカルＡＳ７Ａで許可判定を行う許可情報を設定する。ローカルＡＳ７Ａは、設備機器２同士の通信時に送信側の設備機器２のＯＩＤと、オブジェクト実行対象となる受信側の設備機器２のオブジェクトのＯＩＤ及びＩＩＤ又はＯＩＤのみ或いはＩＩＤとの関係が、設定している許可情報に有れば、送信側の設備機器２に許可通知と認証キーの配信を行う。
【選択図】図１

Description

本発明は、通信機器間の通信許可を行うための認証サーバを備えたネットワークシステムに関するものである。

従来、ネットワークシステムでのセキュア通信を行うために、認証サーバでの認証方式が良く採用されている（例えば特許文献１）。この場合認証サーバがインターネット等のＷＡＮ上のセンターサーバ上に配置されるため、集中統合管理が行え、スケーラブルなネットワークシステムに対応することができるという利点がある。

また、認証キーの生成を認証サーバ上で行うため、通信機器に負担をかけることなく、通信機器間の通信を暗号化通信で行うことができる。
特開２００２−２３７８１２公報（段落００２１−００２２、００３８−００４５、図２、図４）

ところで、上述のような認証方式の場合、全ての通信機器の情報を認証サーバに登録しなければならず、ＬＡＮ上での通信においてもＷＡＮ上の認証サーバと通信しなければならず、認証サーバが管理センター等に設置されている場合においてＷＡＮが切断されたときには、ＷＡＮ上の認証サーバと通信できずに、認証キーの取得ができなくなるため、ＬＡＮ上での通信も行えなくなるという課題があった。

また予めネットワーク通信での認証サーバのアドレスを通信機器に設定しておかなければならなかった。

本発明は、上述の点に鑑みて為されたもので、その目的とするところは、ＷＡＮが切断されてもローカル通信においてセキュア通信が行え、しかもＬＡＮ内での認証処理の負担が軽く且つローカル認証サーバでの設定が自動的に行えるネットワークシステムを提供することにある。

上述の目的を達成するために、請求項１の発明では、識別子が付与されたオブジェクトを搭載し、前記識別子を用いた前記オブジェクトの実行要求があると、該オブジェクトを実行して予め定義されている情報処理を行う複数の通信機器をＬＡＮ上に接続するとともに、当該通信機器をＷＡＮを介して接続したネットワークシステムであって、
前記ＬＡＮに接続されたローカル認証サーバと、前記ＬＡＮが接続されるＷＡＮ上に接続されたセンター認証サーバとを備え、
前記ローカル認証サーバは、前記ＬＡＮ上の前記各通信機器の搭載オブジェクトの識別子を基に当該各オブジェクトに対応したＬＡＮ内通信に関する許可情報を前記センター認証サーバから予め取得して設定する機能とを備え、
前記センター認証サーバは、ＬＡＮに接続された通信機器同士の許可情報及びＬＡＮに接続された通信機器とＷＡＮを介して接続された通信機器との許可情報が予め設定され、前記ローカル認証サーバから通知されるオブジェクトの識別子に対応してＬＡＮ内通信に対応する前記許可情報を前記ローカル認証サーバに送る機能を備え、
前記ローカル認証サーバは、他の通信機器に対して前記オブジェクトの実行要求を送信しようとする通信機器から認証要求を受け取ると、通信を行う各通信機器のオブジェクトの識別子と予め設定している許可情報とを照合して許可判定を行い、ＬＡＮ内での通信が許可されていると判定した場合に、当該認証要求元の通信機器並びに当該他の通信機器に認証キーの配信を行うことを特徴とする。

請求項１の発明によれば、ＬＡＮ内に認証のためのローカル認証サーバを設けることで、ＷＡＮが切断されるような事態が発生してもＬＡＮ内でのセキュア通信を確保することができ、しかも認証のための許可情報はセンター認証サーバ側で集約し、ローカル認証サーバではＬＡＮ内の通信機器のみに対応する許可情報をセンター認証サーバから取得してローカル認証サーバでの設定が自動的に行えるシステム構築が容易である。

請求項２の発明では、請求項１の発明において、前記ローカル認証サーバは、各通信機器に対して搭載しているオブジェクトの識別子の要求を行って各オブジェクトの識別子の取得を行うとともに、取得したオブジェクトの識別子を前記センター認証サーバへ通知し、この通知に対応して前記センター認証サーバから送られてくる許可情報を取得して設定する初期設定機能を備えていることを特徴とする。

請求項２の発明によれば、システムスタート時にローカル認証サーバにおいて自動的に認証に必要なオブジェクトの識別子をＬＡＮ内の通信機器から取得するとともに、ＬＡＮ内の通信機器のオブジェクトの識別子をセンター認証サーバへ通知することで、初期設定において通信機器側でＷＡＮ側の認証サーバのアドレスを設定する必要がなく、そのためユーザが特に意識することなくＮＡＴ（Network Address Translation）越えを簡単に実現できる。

請求項３の発明では、請求項１又は２の発明において、前記ローカル認証サーバは、前記許可判定を行い、ＬＡＮ内での通信が許可されていない場合、通信機器側からの前記認証要求と当該通信機器が搭載しているオブジェクトの識別子を前記センター認証サーバへ転送し、
前記センター認証サーバは、転送されてきた当該通信機器のオブジェクトの識別子と自己が保有する許可情報とに基づいて許可判定を行い、許可されていると判定した場合に認証キーを生成して前記ローカル認証サーバへ返信し、
前記ローカル認証サーバは、前記センター認証サーバから配信された認証キーを、認証要求元の通信機器並びに前記他の通信機器に配信することを特徴とする。

請求項３の発明によれば、ＬＡＮ外の通信機器とＬＡＮ内の通信機器との間でもセキュア通信を行うことが可能となる。

本発明は、ＬＡＮ内に認証のためのローカル認証サーバを設けることで、ＷＡＮが切断されるような事態が発生してもＬＡＮ内でのセキュア通信を確保することができ、しかも認証のための許可情報はセンター認証サーバ側で集約し、ローカル認証サーバではＬＡＮ内の通信機器のみに対応する許可情報をセンター認証サーバから取得してローカル認証サーバでの設定が自動的に行え、システム構築が容易であるという効果がある。

以下本発明を実施形態により説明する。
（実施形態１）
図１は、本実施形態のネットワークシステムのシステム図を示しており、ユーザエリアＵにはイーサネット（登録商標）のような通信規格によるＬＡＮ１が設置され、ＬＡＮ１に通信機器としての通信機能を備えたビルや住宅内に設置される空調機器、照明機器からなる複数の設備機器２_１…２_ｎが接続され、設備機器２_１…間でＬＡＮ内通信ができるようになっている。

またＬＡＮ１はゲートウェイ３のハブ部３０により集線されるとともに、ゲートウェイ３内のイーサネット（登録商標）に対応するＬＡＮ用の通信部３１及びモデム部３２によってＷＡＮであるインターネット４に接続され、ＬＡＮ１上の設備機器２_１…とインターネット４上の設備機器２_０との間でも通信ができるようにもなっている。

ゲートウェイ３は上述のハブ部３０、通信部３１及びモデム部３２、以外に後述するオブジェクトアクセスサーバというサーバ機能部ＯＡＳ＜Object Access Saver＞を備え、このサーバ機能部ＯＡＳ内には認識装置の一部を構成する後述するローカル認証サーバ（以下ローカルＡＳ＜Authentication Sever＞と略する）７Ａの機能を備えている。

一方、インターネット４には上述の設備機器２_０以外にセンターサーバ５や、パソコン、携帯端末（携帯電話機、ＰＤＡ等の通信機能付き端末）等のクライアント用端末６が接続されるようになっており、センターサーバ５はゲートウェイと同様なサーバ機能部ＯＡＳを備え、このサーバ機能部ＯＡＳ内には、ローカルＡＳ７Ａとともに認証装置を構成するセンターＡＳ７Ｂの機能を備えている。

ここで本システムに用いる設備機器２（２_０…２_ｎ）の基本的な構成は、図２（ａ）に示すように設備機器独自のサービスを提供するための機能部２０と、この機能部２０にインターフェース部２１とバス２２とを介して動作指示（動作制御）するための関数を与えたり、機能部２０の現在状態を示す変数を取得したり、更には機能部２０の状態変換が発生したことを示すイベント情報を取得する処理を行う情報処理部２３と、ネットワーク通信（イーサネット（登録商標）規格の通信）のための通信部２４と、情報処理部２３の記憶部２５には本システムにおけるオブジェクト機能を実現するためのモジュール部ＭＯＳ＜Micro Object Server＞を組み込んである。

このモジュール部ＭＯＳは、図２（ｂ）に示すように設備機器２のためのアプリケーション部２６と、ＯＳＩ７階層モデルに対応したソフトウェア通信モジュール２７と、機能部２０との間の情報の授受のためのハードウェア通信モジュール２８とから構成される。

ここでゲートウェイ３に備えているサーバ機能部ＯＡＳは、本システムの設備機器２（２_０…２_ｎ）のネットワークの繋がり方を隠すためのオブジェクト・ルータとしての機能を実現するソフトと設備機器２のオブジェクトをアクセスすることで、当該設備機器２の機能部２０が提供するサービスをユーザが享受するために実行される各種アプリケションソフト、更に異種のプロトコルを変換して本システムにシームレスに繋ぐためのプロトコル・ブリッジサービスと、後述するセンターサーバ５との間の通信に用いるプロトコルをＳＯＡＰ（Simple Object Access Protocol）に変換してファイヤーウォールを通過させるためのファイヤーウォール・ブリッジ・サービス等の追加可能なサービス機能を実現するソフトから構成される。またゲートウェイ３のサーバ機能部ＯＡＳ内に備えているローカルＡＳ７Ａは設備機器２のモジュール部ＭＯＳが有するオブジェクト毎に、当該オブジェクトの識別子（更には秘密鍵若しくはユーザ名、パスワード）と、当該オブジェクトに対する許可を持つ識別子（又はユーザ名と許可情報）を保持する記憶手段（図示せず）と、認証、後述する認証キー及びアクセスコントロールを行う演算手段（図示せず）とをサーバ機能部ＯＡＳの記憶手段及び演算手段と共用するようになっている。

尚サーバ機能部ＯＡＳとローカルＡＳ７Ａとはハードウェア的にもソフトウェア的にも別体で構成しても良く、またゲートウェイ３にサーバ機能部ＯＡＳを搭載せず、単にインターネット４とＬＡＮ１との間のプロトコル変換とＬＡＮ１上の設備機器２（２_０…２_ｎ）をインターネット４に接続するためのルーティング機能とを備えただけのものでも良い。この場合、ローカルＡＳ７Ａは、設備機器２（２_１…２_ｎ）をブロードキャスト又はマルチキャストによって検出する処理を行って、ＬＡＮ１上の設備機器２（２_１…２_ｎ）のＩＰアドレス等ネットワーク通信に必要な情報を取得する。そして接続処理後ＬＡＮ１内の各設備機器２（２_０…２_ｎ）に対して搭載しているオブジェクトの識別子の要求を行って各オブジェクトの識別子（後述するＯＩＤ及びＩＩＤ）の取得を行うとともに、取得したオブジェクトの識別子を後述するセンターＡＳ７Ｂへ通知し、この通知に対応してセンターＡＳ７Ｂから送られてくる許可情報を取得して設定する初期設定機能を備える。

ここで、本ネットワークシステムではＯＳＩ７階層モデルからなり、設備機器２の情報処理部２３のモジュール部ＭＯＳがクライアント用端末６や他の設備機器２に変数、イベント情報を渡したり、或いは関数を受け取る等のための独自プロトコル（以下ＯＡＰという）からアプリケーション層を構成し、このＯＡＰを用いてサーバ機能部ＯＡＳと設備機器２のモジュール部ＭＯＳとの間の情報授受を行うようになっている。

またモジュール部ＭＯＳのソフトウェア通信モジュール２７は、ＯＳＩ７階層のネットワーク層〜プレゼンテーション層におけるプロトコルを担うものであって、上述のＯＡＰの定義やＴＣＰ，ＵＤＰの統合を行っている。

センターサーバ５はインターネット４上に設置されるもので、搭載するサーバ機能部ＯＡＳはゲートウェイ３のサーバ機能部ＯＡＳと同様な機能を持ち、またセンターＡＳ７ＢもローカルＡＳ７Ａと同様な機能を持つものであって、各ＬＡＮ１内及びＬＡＮ１相互間での全てのオブジェクト間の許可情報を格納したデータベースを記憶手段（図示しない）に備えている。

ところで、上述の各設備機器２は機能部２０がサービス提供のための処理を行う際に用いる１乃至複数の設備側オブジェクトを情報処理部２３内に組み込まれたモジュール部ＭＯＳの下で有するとともに、夫々の設備側オブジェクトには提供サービスに対応する情報（機能部２０の現在状態を示す変数、機能部２０に渡す制御のための関数、機能部２０での変化発生を示すイベント情報）によって定義されたインターフェースを１乃至複数持たせており、各設備側オブジェクトにはＯＩＤという識別子を付与し、各インターフェースにはＩＩＤという識別子を付与し、ＯＩＤは当該オブジェクト固有であり、ＩＩＤは定義内容が同一のインターフェースに割り当てることができるもので、設備側オブジェクトの実行は、設備側オブジェクトのＯＩＤ或いはインターフェースのＩＩＤ又は両者の組み合わせを用いた実行要求を情報処理部２３が後述するようにゲートウェイ３内のサーバ機能部ＯＡＳから受け取ったときに為される。

この実行要求は、特定の設備側オブジェクト下の特定のインターフェースに対応する実行要求の場合にはＯＩＤと当該インターフェースのＩＩＤとの組み合わせが、また同じ定義内容のインターフェースが複数の設備機器２の設備側オブジェクト下にある場合には当該インターフェースのＩＩＤのみで実行要求を行うようになっている。

クライアント用端末６は、当該ネットワークシステムにおいて提供サービスを享受するためのクライアント用ソフト（以下ＯＡＬ＜Object Access Library＞という）やクライアント用アプリケーション（ソフト）等を搭載したコンピュータ装置からなるもので、インターネット４上から設備機器２のモジュール部ＭＯＳのオブジェクトに対する実行要求が行え、またクライアント用アプリケーションを実行することで後述する設備機器２が提供できるサービス、つまり設備機器２への制御要求や、設備機器２側からの監視情報（変数、イベント情報）を当該クライアント用端末６が所望する形で享受することができるようになっている。

次にネットワークシステムの動作を説明する。

まずシステム立ち上がり時には、ゲートウェイ３のサーバ機能部ＯＡＳはＬＡＮ１に接続されているモジュール部ＭＯＳ搭載の設備機器２（２_１…２_ｎ）をブロードキャスト又はマルチキャストによって検出する処理を行って、ＬＡＮ１上の設備機器２（２_１…２_ｎ）のＩＰアドレス等ネットワーク通信に必要な情報を取得する。そして接続処理後、サーバ機能部ＯＡＳのローカルＡＳ７Ａは各設備機器２（２_１…２_ｎ）に対して設備側オブジェクトのＯＩＤ及びその下のインターフェースのＩＩＤの情報を全て送るように要求する（Ｓ１）。

そして、この要求に対応して設備機器２（２_１…２_ｎ）からＳ２、Ｓ３に示すように順次送られてきたＯＩＤ及びＩＩＤの情報と、送ってきた設備機器２（２_１…２_ｎ）のネットワーク通信（ＴＣＰ／ＩＰベース）上の識別子であるＩＰアドレスとを対応付けて記憶手段に記憶保持する。この記憶保持は接続設備情報用テーブルとして保持される。

尚各設備機器２（２_１…２_ｎ）からブロードキャスト若しくはマルチキャストによりゲートウェイ３のＩＰアドレスを取得し、ゲートウェイ３のサーバ機能部ＯＡＳのローカルＡＳ７Ａとの間の通信を可能とするようにしても良い。勿論ローカルＡＳ７ＡをＬＡＮ１上にゲートウェイ３のサーバ機能部ＯＡＳとは別体に設けている場合（或いはサーバ機能部ＯＡＳを設けず、ローカルＡＳ７Ａを単独に設けている場合）にも、各設備機器２（２_１…２_ｎ）からブロードキャスト若しくはマルチキャストにより直接当該ローカルＡＳ７ＡのＩＰアドレスを取得することで、ローカルＡＳ７Ａとの間の通信を可能とするようにする。また設備機器２（２_１…２_ｎ）側で予めＷＡＮ上のセンターサーバ７（センターＡＳ７Ｂ）のＩＰアドレスを設定する必要もない。

またその後、ゲートウェイ３のサーバ機能部ＯＡＳはローカルＡＳ７Ａの働きとしてインターネット４上のセンターサーバ５のサーバ機能部ＯＡＳに対して自己の配下の設備機器２（２_１…２_ｎ）の設備側オブジェクトＯＩＤ及びその下のインターフェースＩＩＤからなる組み合わせ情報を送る処理を行う（ステップＳ４）。この処理は定期的に行われ、記憶保持するＯＩＤ及びＩＩＤの組み合わせ情報が更新される。尚、追加や機器の廃棄の場合においても上述の更新処理を行う。

センターサーバ５のサーバ機能部ＯＡＳ内のセンターＡＳ７Ｂは記憶手段に記憶している許可情報のデータベースからゲートウェイ３の配下にあるＬＡＮ内通信に対応する許可情報を抽出し、この許可情報をＬＡＮ内通信に関連する許可情報として当該ゲートウェイ３のサーバ機能部ＯＡＳ内のローカルＡＳ７Ａに送る（Ｓ５）。

センターサーバ５のセンターＡＳ７Ｂから許可情報を取得したローカルＡＳ７Ａでは、設備機器２_１…２_ｎのモジュール部ＭＯＳのオブジェクトのＯＩＤ及びインターフェースのＩＩＤとの組み合わせ情報に対する許可情報を設定し、その設定内容を記憶手段に保持する。つまりローカルＡＳ７Ａでの許可情報の設定はセンターＡＳ７Ｂからの許可情報を取得することで自動的に行えることになる。

またセンターサーバ５ではインターネット４に接続されている設備機器２_０のモジュール部ＭＯＳのオブジェクトのＯＩＤ及びインターフェースのＩＩＤの組み合わせ情報はサーバ機能部ＯＡＳ及びセンターＡＳ７Ｂの働きによってゲートウェイ３の場合と同様に取得する。

ここでセンターサーバ５にセンターＡＳ７Ｂを組み込んだサーバ機能部ＯＡＳを備えている場合には、各ＬＡＮ１に接続されている設備機器２のオブジェクトのＯＩＤ及びインターフェースのＩＩＤの組み合わせ情報をゲートウェイ３のサーバ機能部ＯＡＳから受け取り、この受け取った情報に基づいて手動により通信許可の設定を行うようになっているが、サーバ機能部ＯＡＳを備えていない場合には、各ＬＡＮ１上の設備機器２のオブジェクトのＯＩＤ及びインターフェースのＩＩＤの組み合わせ情報の設定も手動で行う。

またセンターＡＳ７Ｂにおける許可情報の設定、つまり各ＬＡＮ１内における設備機器２同士においてオブジェクトに対する実行要求のための通信許可の設定は、オブジェクトのＯＩＤ及びその下のインターフェースのＩＩＤの情報に基づいてテーブル化したもので、送信側の設備機器２のオブジェクトのＯＩＤと、当該送信側の通信相手として許可されている設備機器２のオブジェクトのＯＩＤ及びインターフェスのＩＩＤの組み合わせ情報或いはＯＩＤのみ又はＩＩＤのみとを対応付けており、このテーブル化した通信の許可情報をセンターＡＳ７ＢからローカルＡＳ７Ａが取得して上述のように許可情報の設定を行うのである。またＬＡＮ１内の設備機器２と、当該ＬＡＮ１外の設備機器２同士の通信許可の設定も予めセンターＡＳ７Ｂにおいて手動により設定する。

このようにしてシステムが構築された状態において、設備機器２間で通信を行う場合における認証についての動作を図４及び図５により詳説する。

今ＬＡＮ１内の設備機器２_１から設備機器２_ｎのオブジェクトのＯＩＤ及びインターフェースのＩＩＤを用いて当該オブジェクトの実行要求を行うための認証要求が送信される（Ｓ６）と、この認証要求は一旦ゲートウェイ３のサーバ機能部ＯＡＳが受け取ることになり、サーバ機能部ＯＡＳ内のローカルＡＳ７Ａは実行要求を行った送信側の設備機器２_１のオブジェクトのＯＩＤの情報と、実行要求先、つまり受信側の設備機器器２_２のオブジェクトのＯＩＤ及びインターフェースのＩＩＤの組み合わせ情報との関係が、設定された許可情報に有るか否かで、ＬＡＮ１内の通信が許可されているか否かを判定し、許可されている場合には許可通知と認証キーの配信を夫々の設備機器２_１、２_ｎに対して行う（Ｓ７，Ｓ８）。これにより許可通知とともに認証キーを受け取った設備機器２_１、２_ｎの間でセキュア通信が行え（Ｓ９）、オブジェクト実行により情報の授／受が可能となる。この場合ゲートウェイ３のサーバ機能部ＯＡＳの接続設備情報用テーブルを用いたルーティング機能の働きにより設備機器同士ではＩＰアドレス等を特に意識することなく通信ができる。

尚ゲートウェイ３にサーバ機能部ＯＡＳを備えていない場合には、例えば設備機器２_１から設備機器２_２に対して通信許可が与えられると、実行要求のオブジェクトのＯＩＤ及びＩＩＤの組み合わせ情報をブロードキャストによりＬＡＮ１内の設備機器２（２_１…２_ｎ）に対して送ることで、ユニークな識別子であるＯＩＤが付されたオブジェクトを持つ設備機器２_ｎに対してのみオブジェクトの実行要求を行える。つまり相手先ＩＰアドレスを意識することなく実質的なＰ２Ｐ通信により実行要求を行うこともできる。

またＬＡＮ１内の通信が許可されてない場合には、ローカルＡＳ７Ａは、不許可通知を行う。

ところで、ＬＡＮ１外の設備機器、例えば２_０から設備機器２_ｎのオブジェクトのＯＩＤ及びインターフェースのＩＩＤを用いて当該オブジェクトの実行要求を行うための認証要求が図５に示すようにセンターサーバ５のサーバ機能部ＯＡＳを介して為される（Ｓ１１）と、ゲートウェイ３のサーバ機能部ＯＡＳ内のローカルＡＳ７Ａは、設備機器２_０がＬＡＮ１内で通信許可の設定があるか否かを判定し、ＬＡＮ１内での通信許可の設定がなければこの認証要求をセンターサーバ５のサーバ機能部ＯＡＳ内のセンターＡＳ７Ｂに転送する（Ｓ１２）。

これによりセンターＡＳ７Ｂは、実行要求を行った設備機器２_０のオブジェクトのＯＩＤ及びインターフェースのＩＩＤの組み合わせ情報と、実行要求先のオブジェクトのＯＩＤ及びインターフェースのＩＩＤの組み合わせ情報と、許可情報のデータベースの内容とを照合して、通信が許可されるか否かを判定し、許可される場合には許可通知と認証キーの配信をローカルＡＳ７Ａに行い（Ｓ１３）、ローカルＡＳ７Ａでは配信されてきた許可通知と認証キーを夫々の設備機器２_０、２_ｎに対して配信する（Ｓ１４，Ｓ１５）。これにより許可通知とともに認証キーを受け取った設備機器２_０、２_ｎの間でセキュア通信が行え（Ｓ１６）、オブジェクト実行により情報の授／受が可能となる。この場合ゲートウェイ３及びセンターサーバ５のサーバ機能部ＯＡＳの接続設備情報用テーブルを用いたルーティング機能の働きにより設備機器同士ではＩＰアドレス等を特に意識することなく通信ができる。

以上のように本発明ネットワークシステムでは、ＬＡＮ内の通信の認証をローカルＡＳ７Ａで行うことで、インターネット４が切断されるような事態が発生してもＬＡＮ内通信を確保することができる。またＬＡＮ１上にローカルＡＳ７ＡではＬＡＮ１上の設備機器２_１…２_ｎのモジュール部ＭＯＳのオブジェクトのＯＩＤ及びインターフェースのＩＩＤからなる組み合わせ情報に対応するＬＡＮ内通信の許可情報をセンターサーバ５のセンターＡＳ７Ｂから取得するため、ローカルＡＳ７Ａでの情報処理の負担の低減が図れる。

また、システムスタート時等にローカルＡＳ７Ａにおいて自動的に認証に必要なオブジェクトのＯＩＤ及びその下のインターフェースのＩＩＤをＬＡＮ１内の設備機器２から取得するとともに、ＬＡＮ１内の設備機器２のオブジェクトのＯＩＤ及びインターフェースのＩＩＤをセンターＡＳ７Ｂへ通知することで、初期設定をユーザが特に意識することなく、ＮＡＴ越えを実現できる。

更にローカルＡＳ７Ａは、設備機器２側からの認証要求時に当該設備機器２がＬＡＮ１内での通信が許可されていない場合、設備機器２側から認証要求と当該設備機器２が搭載しているオブジェクトのＯＩＤ及びインターフェースのＩＩＤをセンターＡＳ７Ｂへ転送し、センターＡＳ７Ｂで、転送されてきた当該設備機器２のオブジェクトのＯＩＤ及びインターフェースのＩＩＤと、自己が保有する許可情報とに基づいて許可判定を行い、許可されていると判定した場合に認証キーを生成して前記ローカルＡＳ７Ａへ返信し、該認証キーを該ローカルＡＳ７Ａから当該設備機器２へ送らせるので、ＬＡＮ１外の設備機器２とＬＡＮ１内の設備機器２との間でもセキュア通信を行うことが可能となる。

実施形態１のシステム図である。 実施形態１の設備機器を示し、（ａ）は全体構成図、（ｂ）はモジュール部の構成図である。 実施形態１のゲートウェイの構成図である。 実施形態１のＬＡＮ内通信時の動作説明用シーケンス図である。 実施形態１のＬＡＮ外との通信時の動作説明用シーケンス図である。

符号の説明

１ ＬＡＮ
２_０〜２_ｎ 設備機器
３ ゲートウェイ
３０ ハブ部
３１ モデム部
４ インターネット
５ センターサーバ
６ クライアント用端末
７Ａ ローカルＡＳ
７Ｂ センターＡＳ
ＭＯＳ モジュール部
ＯＡＳ サーバ機能部

Claims (3)

1. 識別子が付与されたオブジェクトを搭載し、前記識別子を用いた前記オブジェクトの実行要求があると、該オブジェクトを実行して予め定義されている情報処理を行う複数の通信機器をＬＡＮ上に接続するとともに、当該通信機器をＷＡＮを介して接続したネットワークシステムであって、
   前記ＬＡＮに接続されたローカル認証サーバと、前記ＬＡＮが接続されるＷＡＮ上に接続されたセンター認証サーバとを備え、
   前記ローカル認証サーバは、前記ＬＡＮ上の前記各通信機器の搭載オブジェクトの識別子を基に当該各オブジェクトに対応したＬＡＮ内通信に関する許可情報を前記センター認証サーバから予め取得して設定する機能とを備え、
   前記センター認証サーバは、ＬＡＮに接続された通信機器同士の許可情報及びＬＡＮに接続された通信機器とＷＡＮを介して接続された通信機器との許可情報が予め設定され、前記ローカル認証サーバから通知されるオブジェクトの識別子に対応してＬＡＮ内通信に対応する前記許可情報を前記ローカル認証サーバに送る機能を備え、
   前記ローカル認証サーバは、他の通信機器に対して前記オブジェクトの実行要求を送信しようとする通信機器から認証要求を受け取ると、通信を行う各通信機器のオブジェクトの識別子と予め設定している許可情報とを照合して許可判定を行い、ＬＡＮ内での通信が許可されていると判定した場合に、当該認証要求元の通信機器並びに当該他の通信機器に認証キーの配信を行うことを特徴とするネットワークシステム。
2. 前記ローカル認証サーバは、各通信機器に対して搭載しているオブジェクトの識別子の要求を行って各オブジェクトの識別子の取得を行うとともに、取得したオブジェクトの識別子を前記センター認証サーバへ通知し、この通知に対応して前記センター認証サーバから送られてくる許可情報を取得して設定する初期設定機能を備えていることを特徴とする請求項１記載のネットワークシステム。
3. 前記ローカル認証サーバは、前記許可判定を行い、ＬＡＮ内での通信が許可されていない場合、通信機器側からの前記認証要求と当該通信機器が搭載しているオブジェクトの識別子を前記センター認証サーバへ転送し、
   前記センター認証サーバは、転送されてきた当該通信機器のオブジェクトの識別子と自己が保有する許可情報とに基づいて許可判定を行い、許可されていると判定した場合に認証キーを生成して前記ローカル認証サーバへ返信し、
   前記ローカル認証サーバは、前記センター認証サーバから配信された認証キーを、認証要求元の通信機器並びに前記他の通信機器に配信することを特徴とする請求項１又は２記載のネットワークシステム。

Images