JP2009141800A - ネットワーク管理方法、ネットワーク管理プログラムおよびネットワーク管理装置 - Google Patents

Abstract

【課題】ネットワークから離脱した機器のアクセスを防止することを目的とする。
【解決手段】所定のネットワークグループに属するネットワーク１１に接続されているＰＬＣモデム３を管理し、記憶部２２に、ネットワークＩＤと、ネットワーク１１に接続されているＰＬＣモデム３を識別するためのＭＡＣアドレスとを保持しているアドレスリスト２２１を格納しており、ネットワーク１１に接続されているＰＬＣモデム３のうち、所定のＰＬＣモデム３が、ネットワーク１１から離脱したことを検知すると、当該離脱したＰＬＣモデム３に対応するＭＡＣアドレスを、記憶部２２のアドレスリスト２２１から削除し、記憶部２２のアドレスリスト２２１のネットワークＩＤを変更することを特徴とする。
【選択図】図１

Description

本発明は、ネットワーク管理方法、ネットワーク管理プログラムおよびネットワーク管理装置の技術に関する。

ＰＬＣ（Power Line Communications：高速電力線通信）などによるネットワークでは、未確認のＰＬＣモデムなどがネットワークに接続され、不正なアクセスが行われていても、ユーザが気付かない可能性がある。
このような問題に対し、未確認のＰＬＣモデムからの通信信号を検知すると、雑音を発生させて、当該未確認のＰＬＣモデムによる通信を妨害する妨害信号発生装置が提示されている（例えば、特許文献１参照）。

特許文献１に記載の妨害信号発生装置では、妨害信号発生装置に認証済みのＰＬＣモデムの識別情報が格納されている。妨害信号発生装置は、通信信号から発信元となるＰＬＣモデムの識別情報を抽出し、抽出した識別情報を格納されている識別情報と照合することにより、発信元が未確認のＰＬＣモデムであるか否かを判定している。
特開２００７−１７４４６１号公報

しかしながら、例えば、盗難などの手段により、ＰＬＣモデムをネットワークから一旦離脱させ、その後、不正ユーザが離脱させたＰＬＣモデムにネットワーク端末を接続し、さらにこのＰＬＣモデムを他のコンセントなどに接続することでネットワークにアクセスを図ることが考えられる。このような場合、特許文献１に記載の妨害信号発生装置に格納されている識別情報には、ネットワークから離脱したＰＬＣモデムの識別情報が登録されたままである。従って、不正ユーザは、ネットワークから一旦離脱させたＰＬＣモデムを、再度ネットワークに接続して用いることにより、ネットワークに対し容易に不正アクセスを図ることが可能である。

前記問題に鑑みて、本発明は、ネットワークから離脱した機器のアクセスを防止することを目的とする。

前記課題に鑑みて、本発明は、所定のネットワークグループに属するネットワークに接続されている機器を管理し、記憶部に、ネットワークグループを識別するためのグループ識別情報と、前記ネットワークに接続されている前記機器を識別するための機器識別情報とを保持している機器識別情報リストを格納しており、前記ネットワークに接続されている機器のうち、所定の機器が、前記ネットワークから離脱したことを検知すると、当該離脱した機器に対応する機器識別情報を、前記記憶部の機器識別情報リストから削除する処理と、前記記憶部の機器識別情報リストの前記グループ識別情報を変更する処理とを行うことを特徴とする。

このような構成とすることで、ネットワークから離脱した機器のアクセスを防止することが可能となる。

また、前記機器の離脱の検知から所定時間経過した後、再度前記機器の離脱の判定を行い、当該判定の結果、前記機器の離脱が検知された場合、前記機器識別情報の削除および前記グループ識別情報の変更が、実行されることを特徴としてもよい。

このような構成とすることで、通信の一時的なトラブルによる通信の途絶を機器の離脱と誤判定することを防止することができる。

本発明のその他の手段については、実施形態中に適宜記述する。

本発明によれば、ネットワークから離脱した機器のアクセスを防止することが可能となる。

次に、本発明の実施形態（本実施形態）について、適宜図面を参照しながら詳細に説明する。本実施形態では、通信のネットワーク形態としてＰＬＣを用いた例を説明する。
また、本実施形態において、ＭＡＣとは、Media Access Control（メディア・アクセス制御）の略である。

図１は、本実施形態に係るネットワーク管理システムの構成例を示す図である。
ネットワーク管理システム１０は、ネットワーク管理システム１０に接続されている機器の参加や、離脱の管理を行うネットワーク管理装置１と、ネットワーク１１に接続されている機器であるＰＬＣモデム３と、ＰＬＣモデム３に接続されることにより、ＰＬＣ通信を行うネットワーク端末２とを有してなる。
ネットワーク管理装置１は、ＰＬＣモデム３ｇ（３）およびコンセント４ｇ（４）を介して、電力線５に接続している。また、各ネットワーク端末２ａ〜２ｆ（２）は、それぞれＰＬＣモデム３ａ〜３ｆ（３）およびコンセント４ａ〜４ｆ（４）を介して、電力線５に接続されている。つまり、ネットワーク管理装置１およびネットワーク端末２は、それぞれＰＬＣモデム３、コンセント４および電力線５を介して、互いに接続されている。さらに、電力線５には、漏電遮断器や配線用遮断器を備えている分電盤６が接続されている。

なお、図１に示すネットワーク管理システム１０を構成するネットワーク管理装置１や、ネットワーク端末２は、同一のネットワークＩＤ（Identification）によって管理されるネットワークグループに属しているものとする。本実施形態では、ネットワーク管理システム１０の構成要素が、同一のネットワークグループに属していることを強調する場合、ネットワーク管理システム１０を適宜ネットワーク１１と記載する。
また、図１では、ＰＬＣモデム３と、ネットワーク管理装置１またはネットワーク端末２とは、別の装置としたが、一体となっている装置としてもよい。

ネットワーク管理装置１は、処理部２１（削除部）、記憶部２２、検知部２３、ネットワークＩＤ変更部２４（グループ識別情報変更部）、送受信部２５およびタイマ部２６を有してなる。
処理部２１は、様々な情報を処理する機能を有する。記憶部２２は、ＨＤ（Hard Disk）などからなる記憶装置であり、図２を参照して後記するアドレスリスト２２１（機器識別情報リスト）を格納する。検知部２３は、ネットワーク１１からのＰＬＣモデム３の離脱を検知する機能を有する。ネットワークＩＤ変更部２４は、アドレスリスト２２１に登録されているネットワークＩＤ２２２（図２を参照して後記）を変更する機能を有する。送受信部２５は、情報の送受信を行う機能を有する。タイマ部２６は、時間をカウントし、処理部２１などへ通知する機能を有する。

なお、ネットワーク管理装置１の処理部２１、検知部２３およびネットワークＩＤ変更部２４は、図示しないＲＯＭ（Read Only Memory）や、図示しないＨＤに格納されたネットワーク管理プログラムが、図示しないＲＡＭ（Random Access Memory）に展開され、図示しないＣＰＵ（Central Processing Unit）によって実行されることによって具現化される。

次に、図１を参照しつつ、図２に沿ってアドレスリスト２２１の説明を行う。
図２は、本実施形態に係るアドレスリストの例を示す図である。
アドレスリスト２２１は、ネットワークグループ毎に一意に付される番号であるネットワークＩＤ２２２（グループ識別情報）と、ネットワーク１１に接続されている各ＰＬＣモデム３のＭＡＣアドレス２２３（機器識別情報）がリスト形式で登録されている。各ＰＬＣモデム３のＭＡＣアドレス２２３は、例えば、ＭＡＣアドレス２２３ａ（「＊＊：＊＊：＊＊：００：００：０１」）、ＭＡＣアドレス２２３ｂ（「＊＊：＊＊：＊＊：００：００：０２」）、ＭＡＣアドレス２２３ｃ（「＊＊：＊＊：＊＊：００：００：０３」）、ＭＡＣアドレス２２３ｄ（「＊＊：＊＊：＊＊：００：００：０４」）のような形式で登録されている。
ネットワーク１１内のネットワーク管理装置１および各ネットワーク端末２は、ネットワークＩＤ２２２をキーとする暗号化を行った上で通信を行う。

図１および図２を参照しつつ、図３に沿って本実施形態に係るネットワーク管理方法を説明する。
図３は、本実施形態に係るネットワーク管理方法の流れを示すフローチャートである。
なお、ステップＳ１０１からステップＳ１１０の処理は、ネットワーク管理者が、ネットワーク管理装置１を起動すると行われる処理である。
まず、図示しない入力部を介して、ネットワークグループに含まれるネットワーク端末２のＭＡＣアドレス２２３およびネットワークグループのネットワークＩＤ２２２が、記憶部２２のアドレスリスト２２１に登録される（Ｓ１０１）。アドレスリスト２２１が、既に作成されている場合は、ステップＳ１０１の処理を省略してもよい。

次に、処理部２１は、監視を開始する（Ｓ１０２）。
そして、検知部２３は、アドレスリスト２２１に登録されているＰＬＣモデム３が、ネットワーク１１上にすべて存在しているか否かを判定し（Ｓ１０３）、判定結果を処理部２１へ送る。判定は、以下の手順で行われる。つまり、検知部２３は、アドレスリスト２２１に登録されているすべてのＭＡＣアドレス２２３を取得すると、取得したＭＡＣアドレス２２３ヘ向け、送受信部２５にエコー要求を送信させる。送受信部２５から送信されたエコー要求は、ＰＬＣモデム３、コンセント４および電力線５を介して、対象となるＭＡＣアドレス２２３を有するＰＬＣモデム３に接続されているネットワーク端末２に送られる。エコー要求を受信したネットワーク端末２は、自身に接続されているＰＬＣモデム３のＭＡＣアドレス２２３を含むエコー応答をＰＬＣモデム３、コンセント４および電力線５を介して、ネットワーク管理装置１へ送る。送受信部２５を介して、エコー応答を受信した検知部２３は、一定時間経過した後、エコー応答に含まれているＭＡＣアドレス２２３と、アドレスリスト２２１に登録されているＭＡＣアドレス２２３とを比較し、エコー応答を返信していないＰＬＣモデム３を検索し、その結果を処理部２１へ送る。

ステップＳ１０３の結果、アドレスリスト２２１に登録されているＰＬＣモデム３がすべて存在している場合（Ｓ１０３→Ｙｅｓ）、処理部２１は、タイマ部２６から時間情報を取得しつつ、一定時間待機し（Ｓ１０４）、ステップＳ１０３の処理へ戻る。
ステップＳ１０３の結果、アドレスリスト２２１に登録されているＰＬＣモデム３のうち、ネットワーク１１上に存在していないＰＬＣモデム３がある場合（Ｓ１０３→Ｎｏ）、処理部２１は、タイマ部２６から時間情報を取得し、ステップＳ１０３の処理から一定時間が経過したか否かを判定する（Ｓ１０５）。
ステップＳ１０５の結果、ステップＳ１０３の処理から一定時間が経過していないと判定された場合（Ｓ１０５→Ｎｏ）、処理部２１は、処理をステップＳ１０５へ戻す。

ステップＳ１０５の結果、ステップＳ１０３の処理から一定時間が経過していると判定された場合（Ｓ１０５→Ｙｅｓ）、検知部２３は、送受信部２５、ＰＬＣモデム３、コンセント４および電力線５を介して、エコー応答を返信していないＭＡＣアドレス２２３へ向け、エコー要求を再送信する（Ｓ１０６）。
そして、検知部２３は、一定時間以内にエコー要求に対するエコー応答があったか否かを判定する（Ｓ１０７）。
ステップＳ１０７の結果、エコー応答があった場合（Ｓ１０７→Ｙｅｓ），処理部２１は、処理をステップＳ１０３へ戻す。このとき、処理部２１は、タイマ部２６から時間情報を取得しつつ、一定時間待機した後、処理をステップＳ１０３へ戻してもよい。
ステップＳ１０７の結果、エコー応答がない場合（Ｓ１０７→Ｎｏ）、処理部２１は、ＰＬＣモデム３のＭＡＣアドレス２２３を、記憶部２２のアドレスリスト２２１から削除する（Ｓ１０８）。
ステップＳ１０８の後、ネットワークＩＤ変更部２４が、アドレスリスト２２１のネットワークＩＤ２２２を変更する（Ｓ１０９）。
さらに、ネットワークＩＤ変更部２４は、送受信部２５を介して、新しいネットワークＩＤ２２２（新ネットワークＩＤ２２２）を、アドレスリスト２２１に登録されているＭＡＣアドレス２２３（ＰＬＣモデム３）へ向けて通知する（Ｓ１１０）。
そして、処理部２１は、ステップＳ１０３の処理へ戻る。

ステップＳ１０６およびステップＳ１０７の処理を行うことにより、通信の一時的なトラブルなどによるエコー応答の不返信を、ＰＬＣモデム３の離脱と誤判定することを防止することができる。
なお、ステップＳ１０５〜ステップＳ１０７の処理は、省略してもよい。また、ステップＳ１０８およびステップＳ１０９の順番は、入れ替え可能である。
また、本実施形態では、ステップＳ１０３やステップＳ１０６７において、ＰＬＣモデム３がネットワーク１１上に存在しているか否かを判定するために、検知部２３が、送受信部２５にエコー要求を送信させ、このエコー要求に対するエコー応答を基に、存在の有無を判定しているが、これに限らず、例えば、処理部２１が、所定のデータを要求する信号を取得したＭＡＣアドレスに向けて送信し、この信号に対するデータのパケットに含まれるＭＡＣアドレスと、取得したＭＡＣアドレスとを照合することによって、ＰＬＣモデム３がネットワーク１１上に存在しているか否かの判定を行ってもよい。

次に、図１から図３を参照しつつ、図４に沿って本実施形態におけるネットワーク管理方法の具体例を説明する。
図４は、本実施形態に係るアドレスリストの遷移を示す図であり、（ａ）は、初期状態を示す図であり、（ｂ）は、ＭＡＣアドレスの削除が行われた状態を示す図であり、（ｃ）は、ネットワークＩＤの変更が行われた状態を示す図である。
図４（ａ）に示すアドレスリスト２２１ａ（２２１）は、初期状態のアドレスリスト２２１であり、図２に示すアドレスリスト２２１と同様であるため、説明を省略する。
ここでは、ＭＡＣアドレス２２３ｄを有するＰＬＣモデム３（ここでは、図１に示すＰＬＣモデム３ｄが相当するものとする）が、例えば、盗難などによりネットワーク１１から離脱したとする。
その結果、図３のステップＳ１０３〜ステップＳ１０７で検知部２３が、ＰＬＣモデム３ｄからのエコー応答を受信しないことによって、ＰＬＣモデム３ｄの離脱を検知し、ステップＳ１０８で、処理部２１は、図４（ａ）に示すアドレスリスト２２１ａから、ＭＡＣアドレス２２３ｄを削除する。その結果、アドレスリスト２２１は、図４（ｂ）に示すアドレスリスト２２１ｂ（２２１）となる。
さらに、ステップＳ１０９でネットワークＩＤ変更部２４は、図４（ｂ）に示すアドレスリスト２２１ｂのネットワークＩＤ２２２（「ＡＡＡ」）をネットワークＩＤ２２２’（「ＢＢＢ」）へ変更する。その結果、アドレスリスト２２１は、図４（ｃ）に示すアドレスリスト２２１ｃ（２２１）となる。さらに、ステップＳ１１０でネットワーク管理装置１は、アドレスリスト２２１ｃに登録されているＭＡＣアドレス２２３ａ〜２２３ｃを有するＰＬＣモデム３に対して、変更されたネットワークＩＤ２２２’を通知する。このとき、ＭＡＣアドレス２２３ｄを有するＰＬＣモデム３ｄには、変更されたネットワークＩＤ２２２’の通知はなされない。つまり、ＰＬＣモデム３ｄが有しているネットワークＩＤ２２２は、「ＡＡＡ」のままである。

このようにすることで、例えば、不正ユーザが、盗難したＰＬＣモデム３ｄを他のコンセント４に接続することによって、ネットワーク１１へのアクセスを試みても、アドレスリスト２２１からＭＡＣアドレス２２３ｄが削除されているため、ネットワーク管理装置１は、ＰＬＣモデム３ｄをネットワーク１１内の機器とはみなさない。さらに、ステップＳ１０９で、ネットワークＩＤ２２２が変更されているが、ステップＳ１１０でこの変更されたネットワークＩＤ２２２’が、ＰＬＣモデム３ｄには通知されてないため（つまり、前記したように、ＰＬＣモデム３ｄのネットワークＩＤは、図４（ａ）の「ＡＡＡ」のままであるため）、ＰＬＣモデム３ｄに接続されたネットワーク端末２が、他のネットワーク端末２にアクセスしようとしても、認識不可能となり、ＰＬＣ通信を行うことができない。
この結果、離脱したＰＬＣモデム３ｄを用いることによるネットワーク１１へのアクセスを防止することができる。

本実施形態では、ＰＬＣを用いたネットワーク１１を前提しているが、これに限らず、例えば無線ＬＡＮを用いたネットワーク１１としてもよい。この場合、ＰＬＣモデム３は、それぞれ無線ＬＡＮカードなどの無線ＬＡＮにおける子機となる。

本実施形態に係るネットワーク管理システムの構成例を示す図である。 本実施形態に係るアドレスリストの例を示す図である。 本実施形態に係るネットワーク管理方法の流れを示すフローチャートである。 本実施形態に係るアドレスリストの遷移を示す図であり、（ａ）は、初期状態を示す図であり、（ｂ）は、ＭＡＣアドレスの削除が行われた状態を示す図であり、（ｃ）は、ネットワークＩＤの変更が行われた状態を示す図である。

符号の説明

１ ネットワーク管理装置
２，２ａ〜２ｆ ネットワーク端末
３，３ａ〜３ｇ ＰＬＣモデム
４，４ａ〜４ｇ コンセント
５ 電力線
６ 分電盤
１０ ネットワーク管理システム
１１ ネットワーク
２１ 処理部（削除部）
２２ 記憶部
２３ 検知部
２４ ネットワークＩＤ変更部（グループ識別情報変更部）
２５ 送受信部
２６ タイマ部
２２１，２２１ａ〜２２１ｃ アドレスリスト（機器識別情報リスト）
２２２，２２２’ ネットワークＩＤ（グループ識別情報）
２２３，２２３ａ〜２２３ｄ ＭＡＣアドレス（機器識別情報）

Claims (6)

1. 所定のネットワークグループに属するネットワークに接続されている機器を管理するネットワーク管理装置におけるネットワーク管理方法であって、
   前記ネットワーク管理装置は、
   記憶部に、ネットワークグループを識別するためのグループ識別情報と、前記ネットワークに接続されている前記機器を識別するための機器識別情報とを保持している機器識別情報リストを格納しており、
   前記ネットワークに接続されている機器のうち、所定の機器が、前記ネットワークから離脱したことを検知すると、
   当該離脱した機器に対応する機器識別情報を、前記記憶部の機器識別情報リストから削除する処理と、前記記憶部の機器識別情報リストの前記グループ識別情報を変更する処理とを行うことを特徴とするネットワーク管理方法。
2. 前記機器の離脱の検知から所定時間経過した後、再度前記機器の離脱の判定を行い、当該判定の結果、前記機器の離脱が検知された場合、前記機器識別情報の削除および前記グループ識別情報の変更が、実行されることを特徴とする請求項１に記載のネットワーク管理方法。
3. 前記ネットワークは、高速電力線通信によるネットワークであることを特徴とする請求項１または請求項２に記載のネットワーク管理方法。
4. 前記ネットワークは、無線ＬＡＮによるネットワークであることを特徴とする請求項１または請求項２に記載のネットワーク管理方法。
5. 請求項１から請求項４のいずれか一項に記載のネットワーク管理方法をコンピュータに実行させることを特徴とするネットワーク管理プログラム。
6. 所定のネットワークグループに属するネットワークに接続されている機器を管理するネットワーク管理装置であって、
   ネットワークグループを識別するためのグループ識別情報と、前記ネットワークに接続されている前記機器を識別するための機器識別情報とを保持している機器識別情報リストを格納している記憶部、
   前記ネットワークに接続されている機器のうち、所定の機器が、前記ネットワークから離脱したことを検知する検知部、
   当該離脱した機器に対応する機器識別情報を、前記記憶部の機器識別情報リストから削除する削除部、
   および検知部によって、前記機器の離脱が検知された場合、前記記憶部の機器識別情報リストの前記グループ識別情報を変更するグループ識別情報変更部を有することを特徴とするネットワーク管理装置。

Images