JP7458348B2 - 通信システム、アクセスポイント装置、通信方法及びプログラム - Google Patents

Description

本発明の実施形態は通信システム、アクセスポイント装置、通信方法及びプログラムに関する。

認証サーバ装置によってデバイスの認証情報を一元的に管理しながら、それぞれのローカルネットワークの接続可否制御を実現する技術が従来から知られている。例えば、ＩＥＥＥ ８０２．１ＸやＩＥＴＦ ＲＦＣ ５１９１（ＰＡＮＡ：Ｐｒｏｔｏｃｏｌ ｆｏｒ Ｃａｒｒｙｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ）が従来から知られている。

特開２０１２－１３８８６３号公報 特開２００９－２１２６２５号公報

しかしながら従来の技術では、認証サーバ装置との間の通信が断絶している間は、デバイスに対するネットワークの接続可否を判断することができなかった。

実施形態の通信システムは、デバイスと、アクセスポイント装置と、認証サーバ装置と、を備える。前記デバイスは、第１のネットワークを介して前記アクセスポイント装置と接続される。前記アクセスポイント装置は、第２のネットワークを介して前記認証サーバ装置と接続される。前記デバイスは、前記第１のネットワークへのネットワークアクセス認証要求を、前記アクセスポイント装置に送信する。前記認証サーバ装置は、第１のデバイス認証処理部と生成部と通信部とを備える。第１のデバイス認証処理部は、前記ネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う。生成部は、前記第１の認証情報に基づく認証処理に成功した場合、第２の認証情報を生成する。通信部は、前記第２の認証情報を、前記デバイス及び前記アクセスポイント装置に送信する。前記アクセスポイント装置は、転送処理部と第２のデバイス認証処理部とを備える。転送処理部は、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する。第２のデバイス認証処理部は、前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行う。

第１実施形態の通信システムの装置構成の例を示す図。 第１実施形態のデバイスの機能構成の例を示す図。 第１実施形態のアクセスポイント装置の機能構成の例を示す図。 第１実施形態のデバイス認証管理情報の例を示す図。 第１実施形態の認証サーバ装置の機能構成の例を示す図。 第１実施形態のデバイス情報の例を示す図。 第１実施形態の通信方法の例を示すシーケンス図。 第１乃至第３実施形態のユーザ端末、デバイス及びサーバ装置の主要部のハードウェア構成の例を示す図。

以下に添付図面を参照して、通信システム、アクセスポイント装置、通信方法及びプログラムの実施形態を詳細に説明する。

（第１実施形態）
はじめに、第１実施形態の通信システム１００の装置構成の例について説明する。

［装置構成の例］
図１は第１実施形態の通信システム１００の装置構成の例を示す図である。第１実施形態の通信システム１００は、デバイス１０、アクセスポイント装置２０及び認証サーバ装置３０を備える。

デバイス１０は任意でよい。例えば、デバイス１０は、インフラサービスに用いられるエッジデバイス１０等である。具体的には、デバイス１０は、例えばセンサ及びＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）機器等である。また、通信システム１００に含まれるデバイス１０の数は任意でよい。

デバイス１０はネットワーク１に未接続状態であり、これからネットワーク１に接続するための認証処理（ネットワークアクセス認証）を経て、ネットワーク１に接続しようとしている。

ネットワーク１はローカルエリアネットワークやフィールドエリアネットワーク等である。ネットワーク１の接続形態は有線接続でもよいし無線接続でもよい。また、ネットワーク１の通信方式は任意でよい。ネットワーク１の通信方式は、例えばイーサネット（登録商標）、Ｗｉ－Ｆｉ、ＬＰＷＡ（Ｌｏｗ Ｐｏｗｅｒ Ｗｉｄｅ Ａｒｅａ）方式、及び、無線マルチホップなどである。

ネットワーク２は任意でよい。ネットワーク２は、例えばインターネットのような広域ネットワークである。また例えば、ネットワーク２は、広域の閉域ネットワークである。また例えば、ネットワーク２は、企業内ネットワークなどのローカルネットワークである。ネットワーク２には認証サーバ装置３０装置が接続され、アクセスポイント装置２０と認証サーバ装置３０とはネットワーク２を介して通信する。

アクセスポイント装置２０はネットワーク１及び２に接続される。アクセスポイント装置２０は、例えば集約装置またはコンセントレータ等である。

認証サーバ装置３０は、デバイス１０を認証する。認証サーバ装置３０の実現方法は任意でよい。認証サーバ装置３０は、例えば伝統的なサーバコンピュータを用いて実現される。また例えば、認証サーバ装置３０は、物理サーバを、サーバ仮想化技術を用いて仮想化した仮想サーバとして実現される。また例えば、認証サーバ装置３０は、その認証機能がクラウドサービスとして実現される。

［デバイスの機能構成の例］
図２は第１実施形態のデバイス１０の機能構成の例を示す図である。第１実施形態のデバイス１０は、通信部１１、アクセス認証処理部１２、記憶部１３及びアプリケーション処理部１４を備える。

通信部１１はネットワーク１を介してアクセスポイント装置２０と通信する。

アクセス認証処理部１２はネットワーク１に接続するための認証処理を行う。認証処理は任意でよい。認証処理は、例えば、ＩＥＥＥ ８０２．１ＸやＰＡＮＡ、Ｃｏｎｓｔｒａｉｎｅｄ Ｊｏｉｎ Ｐｒｏｔｏｃｏｌ（ＣｏＪＰ）などの処理である。アクセス認証処理部１２がネットワーク１の所定の認証処理を実行し、所定の認証処理が成功するとデバイス１０はネットワーク１に接続される。

記憶部１３はアクセス認証処理部１２により使用される認証情報を記憶する。認証情報とは、例えばデバイス１０の識別子やパスワードである。また例えば、認証情報は、デバイス１０の秘密鍵及び公開鍵のペアである。また例えば、認証情報は、デバイス１０のクライアント証明書（公開鍵証明書）である。また例えば、認証情報は、ネットワーク１や、その先の認証サーバ装置３０の識別子や公開鍵、公開鍵証明書などである。

典型的には、認証情報はデバイス１０の工場出荷時や、設置されたデバイス１０が初期化される時に設定される。なお、デバイス１０の運用中に、アクセス認証処理部１２などによって、記憶部１３に保持される認証情報の更新や追加が行われてもよい。また、ＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｍｏｄｕｌｅ）カードに保存されている情報を使って認証が行われる場合、記憶部１３はＳＩＭカードとその読み出し機構を包含する。

アプリケーション処理部１４はデバイス１０のアプリケーション処理を行う。ネットワーク１に接続完了後に、アプリケーション処理部１４はアプリケーションデータをネットワーク１に送信したり、ネットワーク１からアプリケーションデータを受信したりする。アプリケーション処理は例えばセンサデータの取得及び送信や、アクチュエータの制御、他のデバイス１０へのメッセージの転送などである。アプリケーション処理部１４は、取得されたデータの分析や加工の後、その結果をネットワーク１を介して他の装置へ送信してもよい。

［アクセスポイント装置の機能構成の例］
図３は第１実施形態のアクセスポイント装置２０の機能構成の例を示す図である。第１実施形態のアクセスポイント装置２０は、第１の通信部２１ａ、第２の通信部２１ｂ、転送処理部２２、デバイス認証処理部２３、記憶部２４及びアプリケーション処理部２５を備える。

第１の通信部２１ａは、ネットワーク１を介して他の装置（例えばデバイス１０）と通信する。第２の通信部２１ｂは、ネットワーク２を介して他の装置（例えば認証サーバ装置３０）と通信する。

なお、ネットワーク１及び２の通信方式が同一の場合には、第１の通信部２１ａ、及び、第２の通信部２１ｂは、同じでもよい。

転送処理部２２はデータを転送する。例えば、転送処理部２２は、ネットワーク１を介してデバイス１０から受信されたネットワークアクセス認証処理要求を、ネットワーク２を介して認証サーバ装置３０へ転送する。また、転送処理部２２は、ネットワーク２を介して認証サーバ装置３０から受信されたデバイス１０宛のネットワークアクセス認証結果応答を、ネットワーク１を介してデバイス１０へ転送する。また例えば、転送処理部２２は、デバイス１０と、デバイス１０の通信先の装置との間で送受信されるアプリケーションデータを転送する。

デバイス認証処理部２３は、ネットワーク１に接続するデバイス１０の認証処理を行う。ネットワーク１にはじめて接続するデバイス１０の認証は常に認証サーバ装置３０が行うが、認証サーバ装置３０との認証処理に一度でも成功したデバイス１０の認証処理はデバイス認証処理部２３が行うことができる。

認証サーバ装置３０が、認証情報（第１の認証情報）に基づいて、デバイス１０の認証処理を行うと、ネットワーク２を介してデバイス認証処理部２３へその認証結果を含む認証結果応答が通知される。この通知により、デバイス認証処理部２３は当該デバイス１０が認証サーバ装置３０によって認証されたか否かを特定する。

デバイス１０が認証された場合、認証サーバ装置３０からデバイス認証処理部２３に対し、認証されたデバイス１０の識別子に加え、デバイス１０を認証するための認証情報（第２の認証情報）が提供される。この認証情報は任意でよい。認証情報（第２の認証情報）は、例えばパスワードのような共通鍵（一時鍵）やトークン等である。第１実施形態では、認証情報（第２の認証情報）が、一時鍵である場合を例にして説明する。

認証サーバ装置３０から受信された認証結果応答に含まれる認証結果とその付帯情報は、一般的には有効期限を持つ。認証結果応答に含まれる情報は、デバイス認証管理情報として記憶部２４に記憶される。

［デバイス認証管理情報の例］
図４は第１実施形態のデバイス認証管理情報の例を示す図である。第１実施形態のデバイス認証管理情報は、デバイス識別子、認証成功時刻、一時鍵識別子、一時鍵及び有効期限を含む。

デバイス識別子は、デバイス１０を識別する識別情報である。認証成功時刻は、認証サーバ装置３０で認証が成功した時刻を示す。一時鍵識別子は、一時鍵を識別する識別情報である。一時鍵は、一時鍵を示すデータである。有効期限は、一時鍵の有効期限を示す。

図３に戻り、デバイス認証処理部２３は、デバイス１０からのネットワークアクセス認証要求を受けたとき、その要求通りに認証処理してもよいし、認証処理をしなくてもよい。少なくとも、デバイス認証処理部２３が、デバイス１０からのネットワークアクセス認証要求を受けたときに、記憶部２４が当該デバイス１０を認証するための有効な認証情報を持っていなければ、要求通りに認証処理を実行できない。仮に記憶部２４が当該デバイス１０を認証するための有効な認証処理情報を持っていたとしても、アクセスポイント装置２０が認証サーバ装置３０と通信可能な状況ではその要求を拒否し、常にデバイス１０と認証サーバ装置３０との間で認証処理を行わせるようにしてもよい。

逆に、アクセスポイント装置２０が認証サーバ装置３０と通信できない状況では、デバイス１０からのネットワークアクセス認証要求に従い、デバイス認証処理部２３がデバイス１０の認証を行ってもよい。すなわち、デバイス認証処理部２３は、ネットワーク２へ接続できない場合、アクセスポイント装置２０での認証処理を有効にし、ネットワーク２へ接続できる場合、アクセスポイント装置２０での認証処理を無効にしてもよい。

アクセスポイント装置２０は、ネットワーク１を介してデバイス１０からアプリケーションデータを受信し、当該アプリケーションデータをアクセスポイント装置２０で処理してもよい。その場合、アプリケーション処理部２５が、このアプリケーションデータを処理する。アプリケーション処理部２５による処理内容は任意でよい。アプリケーション処理内容は、例えば受信されたアプリケーションデータの保存、分析、及び、ネットワーク２へ接続された他の装置への転送等である。また、ネットワーク１又はネットワーク２に接続された他の装置からの要求に応じて、アプリケーション処理部２５がこれまでに受信したアプリケーションデータを当該他の装置に提供してもよい。

［認証サーバ装置の機能構成の例］
図５は第１実施形態の認証サーバ装置３０の機能構成の例を示す図である。第１実施形態の認証サーバ装置３０は、通信部３１、デバイス認証処理部３２、記憶部３３及び生成部３４を備える。

通信部３１は、ネットワーク２を介してアクセスポイント装置２０と通信する。

デバイス認証処理部３２はデバイス１０の認証を行い、デバイス１０によるネットワーク１への接続可否を判定する。接続可否を判定するための認証処理は任意でよい。認証処理は、例えば、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）やＤｉａｍｅｔｅｒ上で行われるＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いた認証処理である。認証処理に用いられる具体的な認証プロトコルはさまざま考えられるが、いずれにしても、デバイス１０の記憶部１３が持つ認証情報を基に、デバイス認証処理部２３はデバイス１０を認証する。

記憶部３３は、デバイス１０のデバイス情報を記憶する。

［デバイス情報の例］
図６は第１実施形態のデバイス情報の例を示す図である。第１実施形態のデバイス情報は、デバイス識別子、共通鍵、及び、接続可能なネットワークを含む。

デバイス識別子は、デバイス１０を識別する識別情報である。共通鍵は、デバイス認証処理部３２によるデバイス１０の認証処理に使用される認証情報である。

接続可能なネットワークは、デバイス１０が接続可能なネットワークである。なお、デバイス情報に、接続可能なネットワークは含まれていなくてもよい。図６のデバイス情報の例のように、接続可能なネットワークを示す情報を持つ場合、デバイス１０の認証に成功したとしても、デバイス１０が接続を試みているネットワークによっては、デバイス認証処理部２３はその接続を拒否する。

図５に戻り、デバイス認証処理部３２は、ネットワークアクセス認証結果を、通信部３１を介してアクセスポイント装置２０へ送信する。また、デバイス認証処理部３２は、接続可能なネットワークを示す情報が、デバイス情報に含まれている場合は、接続可否判定結果をアクセスポイント装置２０へ送信する。

加えて、デバイス認証処理部３２は、第１の認証情報に基づくデバイス１０の認証が成功し、そのデバイス１０によるネットワーク接続を許可する場合には、当該ネットワークのアクセスポイント装置２０に、そのデバイス１０の一時鍵情報を送信する。具体的には、生成部３４が、第２の認証情報として一時鍵を払い出し、当該一時鍵、鍵識別子及び有効期限を含む一時鍵情報を生成する。この一時鍵情報は、ネットワーク２を介してアクセスポイント装置２０のデバイス認証処理部２３へ伝えられる。そして、デバイス認証処理部２３は、一時鍵情報を、第１の通信部２１aを介して、デバイス１０へ送信する。

なお、デバイス１０の認証結果や接続可否判定結果は、アクセスポイント装置２０だけでなく、デバイス１０に対しても送信されてもよい。

［通信方法の例］
図７は第１実施形態の通信方法の例を示すシーケンス図である。はじめに、デバイス１０が、ネットワークアクセス認証要求を、ネットワーク１を介してアクセスポイント装置２０に送信する（ステップＳ１）。

次に、アクセスポイント装置２０が、ステップＳ１で送信されたネットワークアクセス認証要求を受信すると、ネットワークアクセス認証要求を認証サーバ装置３０へ転送する（ステップＳ２）。

次に、デバイス１０及び認証サーバ装置３０は、所定の認証プロトコルにより、認証処理を実行する（ステップＳ３）。そして、認証が成功し、認証サーバ装置３０が、デバイス１０によるネットワーク１への接続を許可すると、一時鍵情報を通知する（ステップＳ４）。図７の例では、一時鍵情報が、認証サーバ装置３０からアクセスポイント装置２０とデバイス１０とへ通知されている（ステップＳ４及びＳ５）。

そして、ステップＳ３の認証処理で、認証サーバ装置３０から接続許可の通知を受けることによって、ネットワーク１への接続が許可されたデバイス１０は、ネットワーク１への接続処理を行う（ステップＳ６）。

次に、デバイス１０は、再びネットワークアクセス認証要求を、ネットワーク１を介してアクセスポイント装置２０に送信する（ステップＳ７）。例えば、デバイス１０の認証状態の有効期限を迎えたり、デバイス１０が再起動したりする場合などに、ネットワークアクセス認証要求が再び送信される。

図７のケースでは、アクセスポイント装置２０が、ステップＳ７の認証要求を受信し、デバイス１０とアクセスポイント装置２０との間で一時鍵による認証処理を実行する（ステップＳ８）。そして、認証が成功した場合、デバイス１０は、ネットワーク１への再接続処理を実行する（ステップＳ９）。

なお、ステップＳ８のように、アクセスポイント装置２０で認証処理を実行するか否かを制御する方法は任意でよい。

例えば、アクセスポイント装置２０は、デバイス１０から送信されたネットワークアクセス認証要求に含まれる制御情報に基づいて、アクセスポイント装置２０で認証処理を実行するか否かを判定してもよい。制御情報は、例えば一時鍵の有無を示す情報を含む。このような制御情報により、アクセスポイント装置２０は、認証サーバ装置３０へネットワークアクセス認証要求を転送せずとも自身でデバイス１０の認証処理を実行できるか否かを判定する。

また例えは、アクセスポイント装置２０は、常にデバイス１０の認証を試み、デバイス１０の認証がアクセスポイント装置２０でできない場合や、アクセスポイント装置２０で認証に失敗した場合に、認証サーバ装置３０へネットワークアクセス認証要求を転送してもよい。

また例えば、アクセスポイント装置２０は、常に認証サーバ装置３０へのネットワークアクセス認証要求の転送を試み、ネットワークアクセス認証要求の転送ができない場合に、アクセスポイント装置２０でデバイス１０を認証するようにしてもよい。

以上、説明したように、第１実施形態の通信システム１００は、デバイス１０と、アクセスポイント装置２０と、認証サーバ装置３０と、を備える。デバイス１０は、ネットワーク１（第１のネットワーク）を介してアクセスポイント装置２０と接続される。アクセスポイント装置２０は、ネットワーク２（第２のネットワーク）を介して認証サーバ装置３０と接続される。デバイス１０は、第１のネットワークへのネットワークアクセス認証要求を、アクセスポイント装置２０に送信する。認証サーバ装置３０は、ネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行うデバイス認証処理部３２（第１のデバイス認証処理部）を備える。アクセスポイント装置２０では、転送処理部２２が、ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、ネットワークアクセス認証要求を認証サーバ装置３０に転送する。デバイス認証処理部２３（第２のデバイス認証処理部）が、ネットワークアクセス認証要求に第２の認証情報が含まれており、かつ、アクセスポイント装置２０での認証処理が有効な場合、第２の認証情報に基づく認証処理を行う。

これにより第１実施形態の通信システム１００によれば、認証サーバ装置３０との間の通信が断絶している間も、デバイス１０に対するネットワーク１への接続可否を判断することができる。

具体的には、例えば、インフラサービスにおいては、クラウド上（第１実施形態では、認証サーバ装置３０）などでデバイス１０の認証情報を一元的に管理するのが望ましい。このような形態を持つシステムでは、デバイス１０がローカルネットワーク（第１実施形態では、ネットワーク１）に接続する際に、デバイス１０とクラウド間で認証処理が行われ、当該デバイス１０のローカルネットワークへの接続可否判断がされる。

従来は、ローカルネットワークとクラウド間の通信が、例えば、災害時などの通信障害によって断絶したときに、ローカルネットワークの機器（第１実施形態では、デバイス１０）の認証ができなくなっていた。そのため、ローカルネットワークの機器が正常に動作していたとしても限定的なサービスでさえ、当該機器を使ってサービスを提供できなかった。

第１実施形態の通信システム１００によれば、認証サーバ装置３０でデバイス１０の認証情報を一元的に管理しながらも、必要に応じて認証サーバ装置３０を使用せずにデバイス１０とアクセスポイント装置２０間で認証処理を実行できるようになる。

（第２実施形態）
次に第２実施形態について説明する。第２実施形態の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。第２実施形態では、デバイス１０が、ネットワーク１への接続を許可されたことを示すトークンを、認証サーバ装置３０から受信する場合について説明する。

第２実施形態では、認証サーバ装置３０は、デバイス１０の認証に成功し、デバイス１０によるネットワーク１の接続を許可する場合、一時鍵ではなくトークンを発行する。このトークンは、デバイス１０にのみ送信されてもよいし、デバイス１０及びアクセスポイント装置２０に送信されてもよい。

トークンには、デバイス１０に対してネットワーク１への接続を許可する旨とその有効期限が記載されており、認証サーバ装置３０の秘密鍵による署名が施されている。デバイス１０は有効なトークンを持つ間、ネットワーク１へのネットワークアクセス認証を行うときにこのトークンを使用できる。

例えば、アクセスポイント装置２０は、デバイス１０がトークンを持っているか否かに関わらず、常にデバイス１０と認証サーバ装置３０との間で認証処理を行わせてもよい。そして、アクセスポイント装置２０と認証サーバ装置３０とが通信できないときなどに限り、このトークンによる認証をデバイス１０との間で実行してもよい。

また例えば、通信障害等の影響により、ネットワーク２へ接続できない場合は、アクセスポイント装置２０は、トークンの有効期限が切れていたとしても、トークンの有効期限内に当該トークンを用いた認証に成功していれば、デバイス１０によるネットワーク１への接続を許可してもよい。このような制御を行う場合には、認証サーバ装置３０の記憶部３３では、トークンによる認証処理の事実とその結果の記録を保持していてもよい。

（第１及び第２実施形態の変形例）
上述の第１及び第２実施形態において、一時鍵やトークン（第２の認証情報）の生成は、アクセスポイント装置２０のデバイス認証処理部２３が行ってもよい。すなわち、認証サーバ装置３０で第１の認証情報に基づく認証処理に成功した場合、デバイス認証処理部２３が、第２の認証情報を生成し、第２の認証情報をデバイス１０に送信してもよい。この場合、例えば、デバイス１０によるネットワーク１への接続処理などの中で、アクセスポイント装置２０からデバイス１０へ、一時鍵やトークンが提供される。

（第３実施形態）
次に第３実施形態について説明する。第３実施形態の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。第３実施形態では、ネットワーク２に、アプリケーション処理を実行するアプリケーションサーバが接続されている場合について説明する。なお、アプリケーション処理は任意でよい。アプリケーション処理は、例えばデバイス１０で取得されたアプリケーションデータの分析や加工等である。

アクセスポイント装置２０の第２の通信部２１ｂは、アプリケーションサーバへ接続できる場合、デバイス１０からネットワーク１を介して受信されたアプリケーションデータを、ネットワーク２を介してアプリケーションサーバへ送信する。

アプリケーション処理部２５は、ネットワーク２を介してアプリケーションサーバへ接続できない場合、アプリケーションデータの処理を有効にし、ネットワーク２を介してアプリケーションサーバへ接続できる場合、アプリケーションデータの処理を無効する。

例えば、アクセスポイント装置２０が、通信障害等の影響によって、ネットワーク２やネットワーク２に接続されたアプリケーションサーバへ接続できない場合、アクセスポイント装置２０のアプリケーション処理部２５が、第２の認証情報による認証が成功したデバイス１０から受信したアプリケーションデータを、アプリケーションサーバの代わりに処理する。そして、アクセスポイント装置２０の記憶部２４が、処理済みのアプリケーションデータを記憶する。記憶部２４に記憶された処理済みのアプリケーションデータは、例えば、ネットワーク１などに接続された他の装置からの要求に応じて、当該他の装置へ提供される。

また例えば、通信障害等の復旧などによって、ネットワーク２やネットワーク２に接続されたアプリケーションサーバへの接続が回復すると、アプリケーション処理部２５が、不通期間に処理し、記憶部２４に保管していたアプリケーションデータを、ネットワーク２を介してアプリケーションサーバへ送信する。

最後に、第１乃至第３実施形態のデバイス１０、アクセスポイント装置２０及び認証サーバ装置３０のハードウェア構成の例について説明する。

［ハードウェア構成の例］
図９は第１乃至第第３実施形態のデバイス１０、アクセスポイント装置２０及び認証サーバ装置３０の主要部のハードウェア構成の例を示す図である。第１乃至第第３実施形態のデバイス１０、アクセスポイント装置２０及び認証サーバ装置３０は、制御装置２０１、主記憶装置２０２、補助記憶装置２０３、表示装置２０４、入力装置２０５及び通信装置２０６を備える。制御装置２０１、主記憶装置２０２、補助記憶装置２０３、表示装置２０４、入力装置２０５及び通信装置２０６は、バス２１０を介して接続されている。

なお、第１乃至第第３実施形態のデバイス１０、アクセスポイント装置２０及び認証サーバ装置３０は、上記構成の一部が備えられていなくてもよい。例えば、デバイス１０が、インフラサービスの一部として提供されるセンサ等の場合、表示装置２０４及び入力装置２０５が備えられていなくてもよい。

デバイス１０、アクセスポイント装置２０及び認証サーバ装置３０の主要部のハードウェア構成は、同様なので、以下の説明では、アクセスポイント装置２０の場合を例にして説明する。

制御装置２０１は、補助記憶装置２０３から主記憶装置２０２に読み出されたプログラムを実行する。主記憶装置２０２は、ＲＯＭ及びＲＡＭ等のメモリである。補助記憶装置２０３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）及びメモリカード等である。

表示装置２０４は、例えば液晶ディスプレイ等である。入力装置２０５は、アクセスポイント装置２０を操作するためのインタフェースである。入力装置２０５は、例えばアクセスポイント装置２０の筐体に備えられたボタン等である。なお、表示装置２０４及び入力装置２０５は、表示機能と入力機能とを有するタッチパネル等により実現されていてもよい。

通信装置２０６は、他の装置と通信するためのインタフェースである。なお、ネットワーク１の通信方式と、ネットワーク２の通信方式とが異なる場合には、通信装置２０６は、ネットワーク１の通信方式に対応したインタフェースと、ネットワーク２の通信方式に対応したインタフェースとを備える。

デバイス１０、アクセスポイント装置２０及び認証サーバ装置３０で実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、メモリカード、ＣＤ－Ｒ及びＤＶＤ等のコンピュータで読み取り可能な記憶媒体に記録されてコンピュータ・プログラム・プロダクトとして提供される。

またデバイス１０、アクセスポイント装置２０及び認証サーバ装置３０で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。またデバイス１０、アクセスポイント装置２０及び認証サーバ装置３０で実行されるプログラムをダウンロードさせずにインターネット等のネットワーク経由で提供するように構成してもよい。

またデバイス１０、アクセスポイント装置２０及び認証サーバ装置３０のプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

デバイス１０、アクセスポイント装置２０及び認証サーバ装置３０で実行されるプログラムは、上述した図２、３及び５の機能構成のうち、プログラムによっても実現可能な機能を含むモジュール構成となっている。当該各機能は、実際のハードウェアとしては、制御装置２０１が記憶媒体からプログラムを読み出して実行することにより、上記各機能ブロックが主記憶装置２０２上にロードされる。すなわち上記各機能ブロックは主記憶装置３０２上に生成される。

なお上述した図２、３及び５の各機能の一部又は全部をソフトウェアにより実現せずに、ＩＣ等のハードウェアにより実現してもよい。

また複数のプロセッサを用いて各機能を実現する場合、各プロセッサは、各機能のうち１つを実現してもよいし、各機能のうち２以上を実現してもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ ネットワーク
２ ネットワーク
１０ デバイス
１１ 通信部
１２ アクセス認証処理部
１３ 記憶部
１４ アプリケーション処理部
２０ アクセスポイント装置
２１ａ 第１の通信部
２１ｂ 第２の通信部
２２ 転送処理部
２３ デバイス認証処理部
２４ 記憶部
２５ アプリケーション処理部
３０ 認証サーバ装置
３１ 通信部
３２ デバイス認証処理部
３３ 記憶部
３４ 生成部
１００ 通信システム
２０１ 制御装置
２０２ 主記憶装置
２０３ 補助記憶装置
２０４ 表示装置
２０５ 入力装置
２０６ 通信装置
２１０ バス

Claims (20)

1. デバイスと、アクセスポイント装置と、認証サーバ装置と、を備え、
   前記デバイスは、第１のネットワークを介して前記アクセスポイント装置と接続され、
   前記アクセスポイント装置は、第２のネットワークを介して前記認証サーバ装置と接続され、
   前記デバイスは、前記第１のネットワークへのネットワークアクセス認証要求を、前記アクセスポイント装置に送信し、
   前記認証サーバ装置は、
   前記ネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う第１のデバイス認証処理部と、
   前記第１の認証情報に基づく認証処理に成功した場合、第２の認証情報を生成する生成部と、
   前記第２の認証情報を、前記デバイス及び前記アクセスポイント装置に送信する通信部と、を備え、
   前記アクセスポイント装置は、
   前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
   前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行う第２のデバイス認証処理部と、
   を備える通信システム。
2. デバイスと、アクセスポイント装置と、認証サーバ装置と、を備え、
   前記デバイスは、第１のネットワークを介して前記アクセスポイント装置と接続され、
   前記アクセスポイント装置は、第２のネットワークを介して前記認証サーバ装置と接続され、
   前記デバイスは、前記第１のネットワークへのネットワークアクセス認証要求を、前記アクセスポイント装置に送信し、
   前記認証サーバ装置は、
   前記ネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う第１のデバイス認証処理部を備え、
   前記アクセスポイント装置は、
   前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
   前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行う第２のデバイス認証処理部と、を備え、
   前記第２のデバイス認証処理部は、前記第１の認証情報に基づく認証処理に成功した場合、前記第２の認証情報を生成し、前記第２の認証情報を前記デバイスに送信する、
   通信システム。
3. デバイスと、アクセスポイント装置と、認証サーバ装置と、を備え、
   前記デバイスは、第１のネットワークを介して前記アクセスポイント装置と接続され、
   前記アクセスポイント装置は、第２のネットワークを介して前記認証サーバ装置と接続され、
   前記デバイスは、前記第１のネットワークへのネットワークアクセス認証要求を、前記アクセスポイント装置に送信し、
   前記認証サーバ装置は、
   前記ネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う第１のデバイス認証処理部を備え、
   前記アクセスポイント装置は、
   前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
   前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行う第２のデバイス認証処理部と、を備え、
   前記第２のデバイス認証処理部は、前記第２のネットワークへ接続できない場合、前記ネットワークアクセス認証要求に前記第２の認証情報が含まれているか否かを判定し、前記第２の認証情報が含まれているネットワークアクセス認証要求を送信したデバイスを、前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定し、前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定された場合、前記アクセスポイント装置での認証処理を有効にし、前記第２のネットワークへ接続できる場合、前記アクセスポイント装置での認証処理を無効にする、
   通信システム。
4. デバイスと、アクセスポイント装置と、認証サーバ装置と、を備え、
   前記デバイスは、第１のネットワークを介して前記アクセスポイント装置と接続され、
   前記アクセスポイント装置は、第２のネットワークを介して前記認証サーバ装置と接続され、
   前記デバイスは、前記第１のネットワークへのネットワークアクセス認証要求を、前記アクセスポイント装置に送信し、
   前記認証サーバ装置は、
   前記ネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う第１のデバイス認証処理部を備え、
   前記アクセスポイント装置は、
   前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
   前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行う第２のデバイス認証処理部と、
   前記第２のネットワークを介してアプリケーションサーバへ接続できない場合、前記第２の認証情報による認証が成功した前記デバイスから受信されたアプリケーションデータを処理するアプリケーション処理部と、
   を備える通信システム。
5. 前記第２の認証情報は、有効期限が設定された一時鍵、又は、有効期限が設定されたトークンである、
   請求項１乃至４のいずれか１項に記載の通信システム。
6. 前記認証サーバ装置は、
   前記第１の認証情報に基づく認証処理に成功した場合、第２の認証情報を生成する生成部と、
   前記第２の認証情報を、前記デバイス及び前記アクセスポイント装置に送信する通信部と、
   を更に備える請求項２乃至５のいずれか１項に記載の通信システム。
7. 前記第２のデバイス認証処理部は、前記第１の認証情報に基づく認証処理に成功した場合、前記第２の認証情報を生成し、前記第２の認証情報を前記デバイスに送信する、
   請求項３乃至５のいずれか１項に記載の通信システム。
8. 前記第２のデバイス認証処理部は、前記第２のネットワークへ接続できない場合、前記アクセスポイント装置での認証処理を有効にし、前記第２のネットワークへ接続できる場合、前記アクセスポイント装置での認証処理を無効にする、
   請求項１、２及び４乃至７のいずれか１項に記載の通信システム。
9. 前記アクセスポイント装置は、前記第２のネットワークを介してアプリケーションサーバへ接続できない場合、前記第２の認証情報による認証が成功した前記デバイスから受信されたアプリケーションデータを処理するアプリケーション処理部を更に備える、
   請求項１乃至３及び５乃至８のいずれか１項に記載の通信システム。
10. 前記アプリケーション処理部は、前記第２のネットワークを介してアプリケーションサーバへ接続できない場合、前記アプリケーションデータの処理を有効にし、前記第２のネットワークを介してアプリケーションサーバへ接続できる場合、前記アプリケーションデータの処理を無効にする、
    請求項４または９に記載の通信システム。
11. 前記アプリケーション処理部は、前記第２のネットワークを介してアプリケーションサーバへ接続できない状態から、前記第２のネットワークを介してアプリケーションサーバへ接続できる状態に復旧した場合、前記アプリケーション処理部で処理された前記アプリケーションデータを前記アプリケーションサーバへ送信する、
    請求項４、９及び１０のいずれか１項に記載の通信システム。
12. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置であって、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うデバイス認証処理部と、を備え、
    前記デバイス認証処理部は、前記第１の認証情報に基づく認証処理に成功した場合、前記第２の認証情報を生成し、前記第２の認証情報を前記デバイスに送信する、
    アクセスポイント装置。
13. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置であって、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うデバイス認証処理部と、を備え、
    前記デバイス認証処理部は、前記第２のネットワークへ接続できない場合、前記ネットワークアクセス認証要求に前記第２の認証情報が含まれているか否かを判定し、前記第２の認証情報が含まれているネットワークアクセス認証要求を送信したデバイスを、前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定し、前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定された場合、前記アクセスポイント装置での認証処理を有効にし、前記第２のネットワークへ接続できる場合、前記アクセスポイント装置での認証処理を無効にする、
    アクセスポイント装置。
14. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置であって、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うデバイス認証処理部と、
    前記第２のネットワークを介してアプリケーションサーバへ接続できない場合、前記第２の認証情報による認証が成功した前記デバイスから受信されたアプリケーションデータを処理するアプリケーション処理部と、
    を備えるアクセスポイント装置。
15. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置の通信方法であって、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送するステップと、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うステップと、を含み、
    前記第２の認証情報に基づく認証処理を行うステップは、前記第１の認証情報に基づく認証処理に成功した場合、前記第２の認証情報を生成し、前記第２の認証情報を前記デバイスに送信するステップ、
    を含む通信方法。
16. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置の通信方法であって、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送するステップと、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うステップと、を含み、
    前記第２の認証情報に基づく認証処理を行うステップは、前記第２のネットワークへ接続できない場合、前記ネットワークアクセス認証要求に前記第２の認証情報が含まれているか否かを判定するステップと、
    前記第２の認証情報が含まれているネットワークアクセス認証要求を送信したデバイスを、前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定するステップと、
    前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定された場合、前記アクセスポイント装置での認証処理を有効にするステップと、
    前記第２のネットワークへ接続できる場合、前記アクセスポイント装置での認証処理を無効にするステップと、
    を含む通信方法。
17. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置の通信方法であって、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送するステップと、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うステップと、
    前記第２のネットワークを介してアプリケーションサーバへ接続できない場合、前記第２の認証情報による認証が成功した前記デバイスから受信されたアプリケーションデータを処理するステップと、
    を含む通信方法。
18. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置を、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うデバイス認証処理部、として機能させ、
    前記デバイス認証処理部は、前記第１の認証情報に基づく認証処理に成功した場合、前記第２の認証情報を生成し、前記第２の認証情報を前記デバイスに送信する、
    プログラム。
19. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置を、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うデバイス認証処理部、として機能させ、
    前記デバイス認証処理部は、前記第２のネットワークへ接続できない場合、前記ネットワークアクセス認証要求に前記第２の認証情報が含まれているか否かを判定し、前記第２の認証情報が含まれているネットワークアクセス認証要求を送信したデバイスを、前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定し、前記第１の認証情報に基づく認証処理に成功したことがあるデバイスであると特定された場合、前記アクセスポイント装置での認証処理を有効にし、前記第２のネットワークへ接続できる場合、前記アクセスポイント装置での認証処理を無効にする、
    プログラム。
20. 第１のネットワークへのネットワークアクセス認証要求に応じて、第１の認証情報に基づく認証処理を行う認証サーバ装置と、第２のネットワークを介して接続されたアクセスポイント装置を、
    デバイスから前記ネットワークアクセス認証要求を受信すると、前記ネットワークアクセス認証要求に第２の認証情報が含まれていない場合、前記ネットワークアクセス認証要求を前記認証サーバ装置に転送する転送処理部と、
    前記ネットワークアクセス認証要求に前記第２の認証情報が含まれており、かつ、前記アクセスポイント装置での認証処理が有効な場合、前記第２の認証情報に基づく認証処理を行うデバイス認証処理部と、
    前記第２のネットワークを介してアプリケーションサーバへ接続できない場合、前記第２の認証情報による認証が成功した前記デバイスから受信されたアプリケーションデータを処理するアプリケーション処理部と、
    として機能させるためのプログラム。

Images