JP2009164971A - 通信装置及び制御方法 - Google Patents

Abstract

【課題】 セキュリティレベルの低い装置が接続要求した場合であっても、ネットワークのセキュリティレベルを低下させることなく、接続できるようにする。
【解決手段】 暗号化方式（ＡＥＳ）を用いて、ステーション１０１〜１０３と無線通信を行うアクセスポイント１０４であって、ステーション１１２〜１１４が使用可能な暗号化方式（ＷＥＰ）を示す情報が含まれた接続要求メッセージを受信すると、前記受信した接続要求メッセージに基づいて認識される暗号化方式（ＷＥＰ）が、前記暗号化方式（ＡＥＳ）と異なっているか否かを判断し、異なっていると判断した場合に、該暗号化方式（ＷＥＰ）を用いて、ステーションと無線通信を行う制御部を起動する。
【選択図】 図３

Description

本発明は、セキュリティレベルの異なる通信装置をネットワークに接続するための通信制御技術に関するものである。

近年、無線通信の規格であるＩＥＥＥ８０２．１１規格（下記非特許文献１参照）に準拠した製品が広く普及し、通信装置による無線ＬＡＮの構築が一般的に行われるようになってきている。無線ＬＡＮにおける通信装置間の接続形態は、通常、以下の二つに大別することができる。

第一は、複数のステーション（ＳＴＡ）とアクセスポイント（ＡＰ）とにより構成されるインフラストラクチャ・モードである。また、第二は複数のステーションのみで構成され、アクセスポイントを介さずにステーション間で直接通信を行うアドホック・モードである。

このうちインフラストラクチャ・モードのように、中継器として機能するアクセスポイントを介して無線ＬＡＮを構築する場合、セキュリティ面において十分な注意を払う必要がある。アクセスポイントを介して無線ＬＡＮに不正侵入されたり、通信データが第三者へ漏洩するといった事態が考えられるからである。

このため、インフラストラクチャ・モードの場合、データ伝送に暗号化方式が採用されなど、無線ＬＡＮの構築にあたっては、高度なセキュリティの確保が要求される。

暗号化方式の代表的なものとしては、例えばＷＥＰ（Wired Equivalent Privacy）が挙げられる。また、更に高度な暗号化方式としてＡＥＳ（Advanced Encryption Standard）等が挙げられる。これらの暗号化方式は、無線ＬＡＮを管理する管理者やユーザにより設定さる。

最近では、無線ＬＡＮに接続する際の無線パラメータの設定や暗号化方式の選択によるセキュリティレベルの設定を、アクセスポイント及びステーションに配されたボタンを押下することで自動的に実現する製品も登場してきている。

この無線パラメータの設定とセキュリティレベルの設定を簡易化するための規格として、ＷＰＳ（Wi-Fi Protected Setup）という規格が挙げられる。
ＩＥＥＥ Ｓｔｄ ８０２．１１−１９９９（Ｒ２００３）

しかしながら、自動的に無線パラメータの設定やセキュリティレベルの設定ができるように構成すると、無線ＬＡＮ内にセキュリティレベルの低い通信装置が存在した場合に、全体のセキュリティレベルが低下してしまうという問題がある。

あるいは、ＷＥＰ等のセキュリティレベルの低い通信装置が、ＡＥＳ等が設定されたセキュリティレベルの高い無線ＬＡＮへ接続要求した場合に、接続が拒絶されてしまうという問題がある。

このため、設定の簡易化を図る一方で、セキュリティレベルの低い通信装置をネットワークに接続しようとした場合であっても、ネットワーク全体のセキュリティレベルを低下させることなく、接続できるようにすることが望まれている。

本発明は上記課題に鑑みてなされたものであり、セキュリティレベルの低い装置をネットワークに接続する場合であっても、ネットワーク全体のセキュリティレベルを低下させることなく、接続できるようにすることを目的とする。

上記の目的を達成するために本発明に係る通信装置は以下のような構成を備える。即ち、
通信装置であって、前記通信装置への接続を要求する第２の通信装置が要求する暗号化方式を確認する確認手段と、前記確認手段により確認した前記第２の通信装置が要求する暗号化方式が、前記通信装置が形成する第１のネットワークで使用している第１の暗号化方式とは異なる第２の暗号化方式である場合に、前記第２の暗号化方式を用いる第２のネットワークを形成するための処理を行う形成手段と、を有することを特徴とする。

本発明によれば、セキュリティレベルの低い装置をネットワークに接続する場合であっても、ネットワーク全体のセキュリティレベルを低下させることなく、接続できるようになる。

以下、図面を参照しながら、本発明の好適な実施形態について詳説する。なお、以下の説明では、通信装置を、アクセスポイントとして機能する装置とステーションとして機能する装置の両方を含む概念として用いることとする。さらに、通信装置には、アクセスポイントとしての機能またはステーションとしての機能の一方または両方を備える装置が含まれるものとする。

［第１の実施形態］
＜１．セキュリティレベルの低いステーションが接続する前の無線ＬＡＮの構成＞
図１は、本発明の第１の実施形態に係るアクセスポイントを備える無線ＬＡＮの構成を示す図である。

図１において、１００は、暗号化方式としてＡＥＳ（第１の暗号化方式）を用いた通信装置により形成される無線ＬＡＮの無線エリアを示したものであり、１０１〜１０３は、無線エリア１００にアソシエート中の第２の通信装置であるステーションである。

１０４は、ルータ機能を備えた通信装置であるアクセスポイントであり、ＡＥＳ用ＢＳＳ制御部（第１の制御部）が、無線エリア１００にアソシエート中のステーション１０１〜１０３を制御する。なお、ＢＳＳ（Basic Service Set）とは、アクセスポイントが生成するグループの単位であり、ＡＥＳ用ＢＳＳ制御部は、ＡＥＳを用いたＢＳＳ（グループ）を制御する制御部である。

１１０は、アクセスポイント１０４が接続されるＩＳＰ（Internet Service Provider）である。

１１２〜１１４は、暗号化方式としてＷＥＰのみ使用可能な通信装置であるステーションであり（使用可能なセキュリティレベルがステーション１０１〜１０３よりも低いステーションであり）、図１では無線ＬＡＮに接続されていない状態にある。

１２１は、無線ＬＡＮに接続するためにステーション１１２〜１１４から送信されるプローブ要求メッセージを示している。

＜２．セキュリティレベルの低いステーションが無線ＬＡＮに接続するまでの全体処理の流れ＞
図２は、セキュリティレベルの低いステーション１１２〜１１４が、本実施形態にかかるアクセスポイント１０４とステーション１０１〜１０３とにより形成された無線ＬＡＮに接続するまでの処理の流れを示す図である。

ステーション１０１〜１０３は起動中であり、暗号化方式としてＡＥＳを使用し、アクセスポイント１０４へのアソシエートと認証とが既に完了した状態（Ｍ２０１）にある。

この状態で、ステーション１１２〜１１４の電源が操作され、ステーション１１２〜１１４が起動したとする（あるいは起動済みのステーション１１２〜１１４が無線エリア１００内に移動したとする）。

ステーション１１２〜１１４では、無線ＬＡＮへの接続を要求するために、アクセスポイント１０４に対して暗号化方式としてＷＥＰを使用することを示す情報を含むプローブ要求メッセージ（Ｍ２０２）を送信する。

アクセスポイント１０４では、プローブ要求メッセージ（Ｍ２０２）を受信すると、ステーション１０１〜１０３との間で形成した無線ＬＡＮにおいて用いられている暗号化方式（ＡＥＳ）を示す情報を含むプローブ応答メッセージ（Ｍ２０３）を送信する。

ステーション１１２〜１１４では、アクセスポイント１０４より送信されたプローブ応答メッセージ（Ｍ２０３）を受信し、プローブ応答メッセージ（Ｍ２０３）に含まれる暗号化方式（ＡＥＳ）を示す情報を確認する。

確認の結果、ステーション１１２〜１１４の暗号化方式（ＷＥＰ）と、プローブ応答メッセージに含まれる情報が示す暗号化方式（ＡＥＳ）とが異なっていると判断した場合には、プローブ要求メッセージ（Ｍ２０４）を再送信する。これにより、ステーション１１２〜１１４はセキュリティレベルの等しい他のアクセスポイントを検索する。

ここで、アクセスポイント１０４では、プローブ要求メッセージに含まれる暗号化方式（ＷＥＰ）を示す情報に対応すべく、新たに、当該暗号化方式（ＷＥＰ）によりステーションとの無線通信を行う制御部（ＷＥＰ用ＢＳＳ制御部）を起動する（２００）。

そしてＷＥＰ用ＢＳＳ制御部（第２の制御部）では、暗号化方式としてＷＥＰ（第２の暗号化方式）を使用することを示す情報を含むプローブ応答メッセージ（Ｍ２０５）を送信する。この結果、ステーション１１２〜１１４の暗号化方式（ＷＥＰ）とプローブ応答メッセージ（Ｍ２０５）に含まれる情報が示す暗号化方式（ＷＥＰ）とが一致することとなる。

プローブ応答メッセージ（Ｍ２０５）を確認の結果、暗号化方式が一致すると判断した場合、ステーション１１２〜１１４では、アクセスポイント１０４に対してアソシエート処理を起動する（Ｍ２０６）。

以上の処理により、ステーション１１２〜１１４が、アクセスポイント１０４により形成される無線ＬＡＮに接続することが可能となる。

＜３．セキュリティレベルの低いステーションが接続した後の無線ＬＡＮの構成＞
図３は、セキュリティレベルの低いステーション１１２〜１１４が、アクセスポイント１０４が形成する無線ＬＡＮに接続した後の構成を示す図である。図３において、３０１は、暗号化方式としてＷＥＰを使用した無線ＬＡＮの無線エリアを示している。

図３に示すように、本実施形態にかかるアクセスポイント１０４では、セキュリティレベルの異なるステーション群ごとに、異なる無線ＬＡＮ（第１のネットワーク１００と第２のネットワーク３０１）を形成する構成としている。これにより、セキュリティレベルの異なるステーションが混在していた場合でも、全体のセキュリティレベルを低下させることなく無線通信を行うことが可能となる。

＜４．アクセスポイントにおける処理の詳細＞
次に、図２に示す接続処理を実現するにあたってのアクセスポイント１０４における処理の詳細について説明する。

図４は、ステーション１１２〜１１４が無線ＬＡＮに接続する際のアクセスポイント１０４における処理の流れを詳細に示すフローチャートである。

ステップＳ４０１では、ステーション１１２〜１１４からのプローブ要求メッセージ（Ｍ２０２）を受信したか否かを確認する。

ステップＳ４０１において、ステーション１１２〜１１４からのプローブ要求メッセージ（Ｍ２０２）を受信したと判断した場合には、ステップＳ４０２に進み、該プローブ要求メッセージに含まれる暗号化方式を示す情報を確認する。これにより、各ステーション１１２〜１１４が使用可能な暗号化方式を確認することができる。

ステップＳ４０３では、ステップＳ４０２において確認した暗号化方式が、アクセスポイント１０４が形成する無線ＬＡＮにおいて用いられている暗号化方式と一致するか否かを確認する。

確認の結果、一致すると判断された場合（すなわち、暗号化方式としてＡＥＳを使用することを示す情報がプローブ要求メッセージ（Ｍ２０２）に含まれていると判断した場合）には、ステップＳ４０４に進み、通常のアソシエート処理を実行する。

一方、確認の結果、一致していないと判断した場合には、ステーション１１２〜１１４に対して、アクセスポイント１０４は、以下の処理を実行する。

すなわち、ステップＳ４０５では、暗号化方式としてＡＥＳを用いた既存のＢＳＳ以外に、ステーション１１２〜１１４が使用可能な暗号化方式を用いたＢＳＳを生成できるか否かを判断する。ここでは、ステーション１１２〜１１４が使用可能な暗号化方式を用いたＢＳＳを生成するＢＳＳ制御部を起動して新たなＢＳＳを生成するか否かを判断する。

ステップＳ４０５において、ステーション１１２〜１１４が使用可能な暗号化方式を用いたＢＳＳを生成できないと判断し、新たなＢＳＳ制御部を起動しないと判断した場合には、処理を終了する。

一方、ステップＳ４０５において、ステーション１１２〜１１４が使用可能な暗号化方式を用いたＢＳＳを生成するために、新たにＢＳＳ制御部を起動させると判断した場合には、ステップＳ４０６に進む。ステップＳ４０６では、暗号化方式としてＷＥＰを使用する新たな無線ＬＡＮを形成するために、ＷＥＰ用ＢＳＳ制御部を起動する。ＷＥＰ用ＢＳＳ制御部は、ＡＥＳ用ＢＳＳ制御部と異なる無線ＬＡＮを形成するために、ＡＥＳ用ＢＳＳ制御部とは異なる暗号方式、ＥＳＳＩＤ（グループ識別情報：ネットワーク識別情報）、使用チャネル（周波数チャネル）を用いる。

ステップＳ４０７では、ステーション１１２〜１１４が使用可能な暗号化方式（ＷＥＰ）を、アクセスポイント１０４においても使用可能であることを示す情報を含むプローブ応答メッセージ（Ｍ２０５）を返信する。

プローブ応答メッセージ（Ｍ２０５）の受信に応じてステーション１１２〜１１４では、暗号化方式としてＷＥＰを使用した新たなＢＳＳ制御部に対するアソシエート処理（Ｍ２０６）を開始する。このため、ステップＳ４０８では、アソシエート要求があったか否かを判断する。ステップＳ４０８においてアソシエート要求があったと判断した場合には、ステップＳ４０９に進む。

ステップＳ４０９では、ステーション１１２〜１１４それぞれとの間の無線通信において使用する暗号化方式（セキュリティレベル）を確認する。

確認の結果、ステーション１１２〜１１４とのセキュリティレベルが等しいと判断した場合には、ステップＳ４１０からステップＳ４１１に進み、同じセキュリティレベルで無線通信が可能なステーションについてグループ識別情報を格納する。

＜５．ステーションにおける処理の詳細＞
次に、図２に示す接続処理を実現するにあたってのステーション１１２〜１１４における処理の詳細について説明する。

図５は、ステーション１１２〜１１４における無線ＬＡＮへの接続処理の流れを示すフローチャートである。

電源操作により起動すると、ステップＳ５０１では、接続要求を行う旨の指示があったか否かを確認し、接続要求を行う旨の指示があったと判断した場合には、ステップＳ５０２に進む。

ステップＳ５０２では、無線ＬＡＮへの接続を要求するために、アクセスポイント１０４に対して暗号化方式としてＷＥＰを使用することを示す情報を含んだプローブ要求メッセージ（Ｍ２０２）を送信する。

ステップＳ５０３では、アクセスポイント１０４からのプローブ応答メッセージ（Ｍ２０３）を受信したか否かを確認し、プローブ応答メッセージ（Ｍ２０３）を受信したと判断した場合には、ステップＳ５０４に進む。

ステップＳ５０４では、プローブ応答メッセージ（Ｍ２０３）に含まれる暗号化方式を示す情報を確認する。ステップＳ５０４における確認の結果、プローブ応答メッセージ（Ｍ２０３）に含まれる情報が示す暗号化方式と、ステーション１１２〜１１４が使用可能な暗号化方式とが異なると判断した場合には、ステップＳ５０２に戻る。この場合、セキュリティレベルの等しい他のアクセスポイントを検索するため、プローブ要求メッセージ（Ｍ２０４）を再送信する。

一方、ステップＳ５０４における確認の結果、暗号化方式が一致すると判断した場合には、ステーション１１２〜１１４は以下の処理を実行する。

すなわち、ステップＳ５０６では、アクセスポイント１０４において起動されたＢＳＳ制御部（ステーション１１２〜１１４が使用可能な暗号化方式と一致する暗号化方式を用いるＢＳＳ制御部）を検索する。具体的には、検索タイマーを起動し、スキャン処理を開始する。

続いて、ステップＳ５０７において、アクセスポイント１０４において起動された新たなＢＳＳ制御部の検索に成功するまで、ステップＳ５０７〜Ｓ５０８を繰り返す。

このとき、検索タイマーによるカウントアップが満了した場合には（ステップＳ５０７においてＹＥＳ）、ステップＳ５０２に戻り、再度セキュリティレベルが等しいＢＳＳ制御部を検索するため、プローブ要求メッセージ（Ｍ２０４）を再送信する。

一方、検索タイマーのカウントアップが満了する前に、暗号化方式としてＷＥＰを使用する新たなＢＳＳ制御部を検索した場合には（ステップＳ５０８：ＹＥＳ）、ステップＳ５０９に進み、アクセスポイント１０４に対してアソシエート処理を起動する。

ステップＳ５１０では、アクセスポイント１０４との間でアソシエーション処理（Ｍ２０６）を完了したか否かを確認し、完了したと判断された場合には、接続処理を終了する。

＜６．接続処理後の無線ＬＡＮにおける無線通信＞
図６は、本実施形態にかかるアクセスポイント１０４により形成される無線ＬＡＮ（ステーション１１２〜１１４が接続された後の無線ＬＡＮ）における無線通信について説明するための図である。つまり、セキュリティレベルの異なるステーションと無線通信を行うＢＳＳ制御部が複数起動された状態におけるデータ伝送について説明するための図である。

図６において、６００は、ＢＳＳ制御部を備える制御部である。６０１は、アクセスポイント１０４の制御部６００が備えるＢＳＳ制御部のうち、暗号化方式としてＷＥＰを使用したＷＥＰ用ＢＳＳ制御部である。また、６０２は、暗号化方式としてＡＥＳを使用したＡＥＳ用ＢＳＳ制御部である。

また、６０３は、ＡＥＳ用ＢＳＳ制御部６０２からＷＥＰ用ＢＳＳ制御部６０１に伝送される伝送データを示したものであり、６０４は、ＷＥＰ用ＢＳＳ制御部６０１からＡＥＳ用ＢＳＳ制御部６０２に伝送される伝送データを示したものである。

図６において、ステーション１１２〜１１４は、暗号化方式としてＷＥＰを使用したＷＥＰ用ＢＳＳ制御部６０１により形成される無線エリア３０１において、ＷＥＰ用ＢＳＳ制御部６０１の制御の下で無線通信を行う。

同様に、ステーション１０１〜１０３は、暗号化方式としてＡＥＳを使用したＡＥＳ用ＢＳＳ制御部６０２により形成される無線エリア１００において、ＡＥＳ用ＢＳＳ制御部６０２の制御の下で無線通信を行う。

ＡＥＳ用ＢＳＳ制御部６０２からＷＥＰ用ＢＳＳ制御部６０１に伝送される伝送データ６０３については、ＷＥＰ用ＢＳＳ制御部６０１が、送信元のステーション１０１〜１０３のアドレスを記憶する。

そして、ＷＥＰ用ＢＳＳ制御部６０１からＡＥＳ用ＢＳＳ制御部６０２に対しては、該記憶した送信元のステーション１０１〜１０３のアドレスに対する伝送データのみを伝送する。つまり、セキュリティレベルの低いＢＳＳ制御部から、セキュリティレベルの高いＢＳＳ制御部への伝送データの伝送は、応答データのみに制限される。

以上の説明から明らかなように、本実施形態にかかるアクセスポイントを用いることにより、セキュリティレベルの低いステーションが接続要求を行った場合でもセキュリティレベルの異なるステーション毎に、無線ＬＡＮを分離することが可能となる。

また、アクセスポイント内部において、異なるセキュリティレベル間の伝送データを中継させる構成とすることで、伝送データを制限することが可能となる。この結果、以下のような効果を享受することが可能となる。
（１）セキュリティレベルの高い無線ＬＡＮと低い無線ＬＡＮとの混在が可能となる。
（２）それぞれのセキュリティレベルを保持することが可能となる。
（３）ＷＥＰ等のセキュリティレベルの低いステーションがセキュリティレベルの高い無線ＬＡＮのサービスを利用することが可能となる。

［第２の実施形態］
上記第１の実施形態では、セキュリティレベルの異なるステーションが接続要求を行った場合に、アクセスポイントが、新たにＢＳＳ制御部を起動させることにより（すなわち、２種類のＢＳＳ制御部を動作させることにより）対応することとした。

しかしながら、本発明はこれに限られず、例えば、既にアクセスポイントに接続しているステーションのうち、アクセスポイントとしての機能を有するステーションが、ＷＥＰ用ＢＳＳ制御部を起動させることで対応するようにしてもよい。以下、本実施形態の詳細について説明する。

＜１．セキュリティレベルの低いステーションが接続する前の無線ＬＡＮの構成＞
図７は、本発明の第２の実施形態に係るアクセスポイントを備える無線ＬＡＮの構成を示す図である。

図７において、７０１は、暗号化方式としてＡＥＳを使用した通信装置により形成される無線ＬＡＮの無線エリアを示したものであり、１０１〜１０３は、無線エリア７０１にアソシエート中の第２の通信装置であるステーションである。また、７１１は、無線エリア７０１にアソシエート中の第３の通信装置であるディスプレイ装置である。ディスプレイ装置７１１は、ステーションモードとアクセスポイントモードの両方の機能を備える。

７１２は、無線エリア７０１にアソシエート中のステーション１０１〜１０３およびディスプレイ装置７１１を制御するアクセスポイントである。アクセスポイント７１２が備えるＡＥＳ用ＢＳＳ制御部は、無線エリア７０１にアソシエート中のステーション１０１〜１０３を制御する。

１１０は、アクセスポイント７１２が接続されるＩＳＰである。

７００はネットワーク制御装置であり、無線エリア７０１において接続中のステーション１０１〜１０３、ディスプレイ装置７１１、アクセスポイント７１２それぞれにおいて使用可能な暗号化方式に関する情報を格納する。

７０２は、アクセスポイント７１２からネットワーク制御装置７００に対して伝送される伝送データである。７０３は、ネットワーク制御装置７００からアクセスポイント７１２に対して伝送される伝送データである。

７０４は、アクセスポイント７１２からディスプレイ装置７１１に対して伝送される伝送データである。７０５はディスプレイ装置７１１からアクセスポイント７１２に対して伝送される伝送データである。

１１２〜１１４は、暗号化方式としてＷＥＰのみ使用可能な通信装置であるステーションであり（使用可能なセキュリティレベルがステーション１０１〜１０３よりも低いステーションであり）、図７では、無線ＬＡＮに接続されていない状態にある。

１２１は、無線ＬＡＮに接続するためにステーション１１２〜１１４から送信されるプローブ要求メッセージを示している。

＜２．セキュリティレベルの低いステーションが無線ＬＡＮに接続するまでの全体処理の流れ＞
図８は、セキュリティレベルの低いステーション１１２〜１１４が本実施形態にかかるアクセスポイント７１２とステーション１０１〜１０３、ディスプレイ装置７１１とにより形成された無線ＬＡＮに接続するまでの処理の流れを示す図である。

上述したように、ステーション１０１〜１０３、およびディスプレイ装置７１１は、暗号化方式としてＡＥＳを使用し、アクセスポイント７１２へのアソシエートと認証とが既に完了した状態（Ｍ８０１）にある。

この状態で、ステーション１１２〜１１４の電源が操作され、ステーション１１２〜１１４が起動したとする（あるいは起動済みのステーション１１２〜１１４が無線エリア７０１内に移動したとする）。

ステーション１１２〜１１４では、無線ＬＡＮへの接続を要求するために、アクセスポイント７１２に対して暗号化方式としてＷＥＰを使用することを示す情報を含むプローブ要求メッセージ（Ｍ８０２）を送信する。

プローブ要求メッセージ（Ｍ８０２）を受信したアクセスポイント７１２では、ネットワーク制御装置７００に対して、ＡＰ問合せ要求メッセージ（Ｍ８０３）を送信する。ＡＰ問合せ要求メッセージ（Ｍ８０３）は、アクセスポイント７１２にアソシエート中の通信装置のうち、アクセスポイント機能を有する通信装置であって、暗号化方式としてＷＥＰを使用可能な通信装置の有無を問い合わせるメッセージである。

ＡＰ問合せ要求メッセージ（Ｍ８０３）を受信したネットワーク制御装置７００では、格納した情報を検索し、検索結果をＡＰ問合せ確認メッセージ（Ｍ８０４）としてアクセスポイント７１２に送信する。

また、アクセスポイント７１２では、プローブ要求メッセージ（Ｍ８０２）の応答として、プローブ応答メッセージ（Ｍ８０５）を送信する。プローブ応答メッセージ（Ｍ８０５）には、ステーション１０１〜１０３、ディスプレイ装置７１１との間で形成した無線ＬＡＮにおいて用いられている暗号化方式（ＡＥＳ）を示す情報が含まれる。

ステーション１１２〜１１４では、アクセスポイント７１２より送信されたプローブ応答メッセージ（Ｍ８０５）を受信し、プローブ応答メッセージ（Ｍ８０５）に含まれる暗号化方式（ＡＥＳ）を示す情報を確認する。

確認の結果、ステーション１１２〜１１４の暗号化方式（ＷＥＰ）と、プローブ応答メッセージに含まれる情報が示す暗号化方式（ＡＥＳ）とが異なっていると判断した場合には、プローブ要求メッセージ（Ｍ８０７）を再送信する。これにより、ステーション１１２〜１１４はセキュリティレベルの等しい他のアクセスポイントを検索する。

ここで、アクセスポイント７１２では、ＡＰ問合せ確認メッセージ（Ｍ８０４）を受信することにより、アクセスポイントとして機能し、かつステーション１１２〜１１４の暗号化方式（ＷＥＰ）を使用可能な通信装置の有無を認識する。

本実施形態では、アクセスポイントとして機能し、ステーション１１２〜１１４の暗号化方式（ＷＥＰ）を使用可能な通信装置として、ディスプレイ装置７１１を認識するものとする。この場合、アクセスポイント７１２からディスプレイ装置７１１に対して、グループ設定要求メッセージ（Ｍ８０６）を送信する。このグループ設定要求メッセージは、アクセスポイントとして起動し、指定する暗号化方式により新たな無線ＬＡＮの形成し、新たなグループの形成を要求するメッセージである。なお、グループ設定要求メッセージにより、グループを形成する通信装置、グループ識別情報、使用する周波数チャネルを指定してもよい。グループ設定要求メッセージ（Ｍ８０６）を受信したディスプレイ装置７１１では、該メッセージにより指定された暗号化方式（ＷＥＰ）による無線ＬＡＮを形成するために、ＷＥＰ用ＢＳＳ制御部を起動する（８００）。

ディスプレイ装置７１１のＷＥＰ用ＢＳＳ制御部では、暗号化方式としてＷＥＰを使用することを示す情報を含むプローブ応答メッセージ（Ｍ８０８）を送信する。この結果、ステーション１１２〜１１４の暗号化方式とプローブ応答メッセージ（Ｍ８０８）に含まれる情報が示す暗号化方式とが一致することとなる。

プローブ応答メッセージ（Ｍ８０８）を確認の結果、暗号化方式が一致すると判断した場合、ステーション１１２〜１１４では、ディスプレイ装置７１１のＷＥＰ用ＢＳＳ制御部に対してアソシエート処理を起動する（Ｍ８０９）。

以上の処理により、ステーション１１２〜１１４が、ディスプレイ装置７１１により形成される無線ＬＡＮに接続することが可能となる。

アソシエート処理が完了すると、ディスプレイ装置７１１は、新たなグループを形成したことをアクセスポイント７１２に通知するために、グループ設定確認メッセージ（Ｍ８１０）をアクセスポイント７１２に送信する。グループ設定確認メッセージ（Ｍ８１０）を受信したアクセスポイント７１２では、ネットワーク制御装置７００に対して、グループ設定通知メッセージ（Ｍ８１１）を送信する。グループ設定通知メッセージ（Ｍ８１１）を受信したネットワーク制御装置７００では、これを格納する。

＜３．セキュリティレベルの低いステーションが接続した後の無線ＬＡＮの構成＞
図９は、セキュリティレベルの低いステーション１１２〜１１４が接続した後の無線ＬＡＮの構成を示す図である。図９に示すように、ステーション１０１〜１０３は、アクセスポイント７１２が生成する第１のネットワークに接続し、ステーション１１２〜１１４は、ディスプレイ装置７１１が生成する２のネットワークに接続している。

また、ネットワーク制御装置７００には、暗号化方式としてＡＥＳを用いたステーション１０１〜１０３に関する情報に加え、ＷＥＰを用いたステーション１１２〜１１４に関する情報が格納される。

＜４．アクセスポイントにおける処理の詳細＞
次に、図８に示す接続処理を実現するにあたってのアクセスポイント７１２における処理の詳細について説明する。

図１０は、アクセスポイント７１２における接続処理の流れを詳細に示すフローチャートである。

ステップＳ１００１では、ステーション１１２〜１１４からのプローブ要求メッセージ（Ｍ８０２）を受信したか否かを確認する。

ステップＳ１００１において、ステーション１１２〜１１４からのプローブ要求メッセージ（Ｍ８０２）を受信したと判断した場合には、ステップＳ１００２に進み、該プローブ要求メッセージに含まれる暗号化方式を示す情報を確認する。これにより、各ステーション１１２〜１１４が使用可能な暗号化方式を確認することができる。

ステップＳ１００３では、ステップＳ１００３において確認した暗号化方式が、アクセスポイント７１２が形成する無線ＬＡＮにおいて用いられている暗号化方式と一致するか否かを確認する。

確認の結果、一致すると判断された場合（すなわち、暗号化方式としてＡＥＳを使用することを示す情報がプローブ要求メッセージ（Ｍ８０２）に含まれていると判断した場合）には、ステップＳ１００４に進み、通常のアソシエート処理を実行する。

一方、確認の結果、一致していないと判断した場合には、無線エリア７０１に存在する通信装置の中からアクセスポイントの機能を有し、かつプローブ要求メッセージに含まれる情報が示す暗号化方式を使用する通信装置を特定する処理を実行する。

具体的には、ステップＳ１００５において、ネットワーク制御装置７００に対してＡＰ問合せ要求メッセージ（Ｍ８０３）を送信する。更にステップＳ１００６において、ＡＰ問合せ確認メッセージ（Ｍ８０４）待ち状態に遷移する。

ステップＳ１００７では、ネットワーク制御装置７００より、ＡＰ問合せ確認メッセージ（Ｍ８０４）を受信すると、該メッセージを解析し、該当する通信装置が存在するか否かを判断する。ステップＳ１００７において該当する通信装置が存在しないと判断した場合には、処理を終了する。

一方、ステップＳ１００７において、該当する通信装置が存在すると判断した場合には、接続要求をしているステーション１１２〜１１４に対して、以下の処理を実施する。なお、ここでは、ディスプレイ装置７１１が、該当する通信装置であるとする。

ステップＳ１００７では、接続要求をしているステーション１１２〜１１４に対して、プローブ応答メッセージ（Ｍ８０５）を返信する。なお、アクセスポイント７１２より返信されるプローブ応答メッセージ（Ｍ８０５）には、暗号化方式としてＡＥＳを使用することを示す情報が含まれる。

ステップＳ１００８では、アクセスポイント７１２が、ディスプレイ装置７１１に対して、ステーション１１２〜１１４のグループ識別情報を含むグループ設定要求メッセージ（Ｍ８０６）を送信する。これにより、ディスプレイ装置７１１では、ＷＥＰ用ＢＳＳ制御部が起動されることとなる。

ステップＳ１００９では、アクセスポイント７１２が、ディスプレイ装置７１１からのグループ設定確認メッセージ（Ｍ８１０）待ちの状態に遷移する。

グループ設定確認メッセージ（Ｍ８１０）待ち状態において、ディスプレイ装置７１１からのグループ設定確認メッセージ（Ｍ８１０）を受信した場合には、ステップＳ１００９からステップＳ１０１０に進む。

ステップＳ１０１０では、グループ設定確認メッセージ（Ｍ８１０）を解析する。そして新たな無線エリア９００を形成するディスプレイ装置７１１、ステーション１１２〜１１４、これらの装置により形成されるグループを識別するグループ識別情報を含むグループ設定通知メッセージ（Ｍ８１１）をネットワーク制御装置７００に送信する。

＜５．ディスプレイ装置における処理の詳細＞
次に、図８に示す接続処理を実現するにあたってのディスプレイ装置７１１における処理の詳細について説明する。

図１１は、ディスプレイ装置７１１における処理の流れを示すフローチャートである。

なお、ディスプレイ装置７１１は、アクセスポイント７１２に対してアソシエートと認証とが完了した状態（Ｍ８０１）にあるものとする。

ステップＳ１１０１では、アクセスポイント７１２からイベントを受信したか否かを判定する。ステップＳ１１０１においてイベントを受信したと判定した場合には、ステップＳ１１０２に進み、当該イベントが、グループ設定要求メッセージ（Ｍ８０６）であるか否かを判定する。

ステップＳ１１０２において、当該イベントがグループ設定要求メッセージ（Ｍ８０６）でないと判断された場合には、ステップＳ１１０３に進み、当該イベントに従った処理を行う。

一方、ステップＳ１１０２において、当該イベントがグループ設定要求メッセージ（Ｍ８０６）であると判断された場合には、ステップＳ１１０４に進む。

ステップＳ１１０４では、ＢＳＳ制御部を起動し、該要求により指定される暗号化方式を使用した無線ＬＡＮ（ＢＳＳ）を生成可能か否かを判断する。ここでは、ステーション１１２〜１１４が使用可能な暗号化方式（ＷＥＰ）を使用したＢＳＳ制御部を起動し、無線ＬＡＮを生成可能か否かを判断する。ステップＳ１１０４において、当該暗号化方式（ＷＥＰ）を使用したＢＳＳ制御部（ＷＥＰ用ＢＳＳ制御部）を起動しないと判断した場合には、処理を終了する。

一方、ステップＳ１１０４において、当該暗号化方式（ＷＥＰ）を使用したＢＳＳを生成するために、ＢＳＳ制御部（ＷＥＰ用ＢＳＳ制御部）を起動すると判断された場合には、ステップＳ１１０５に進む。ステップＳ１１０５では、暗号化方式としてＷＥＰを使用する新たな無線ＬＡＮを形成するために、ＷＥＰ用制御部を起動する。ＷＥＰ用制御部は、グループ設定要求メッセージにより指定された暗号化方式を用いてＢＳＳを生成する。なお、グループ設定要求メッセージによりＥＳＳＩＤ（グループ識別情報：ネットワーク識別情報）、使用チャネル（周波数チャネル）も指定される場合は、指定されたＥＳＳＩＤ，仕様チャネルを用いてＢＳＳを生成する。 ステップＳ１１０６では、ディスプレイ装置７１１が、暗号化方式としてＷＥＰを使用した新たなＢＳＳ制御部を起動後、ステーション１１２〜１１４それぞれとの間でアソシエート処理（Ｍ８０９）を実施する。

ステップＳ１１０７では、ディスプレイ装置７１１が、ステーション１１２〜１１４との無線通信において使用する暗号化方式と接続台数とを確認する。ディスプレイ装置７１１では、暗号化方式が一致し、かつセキュリティレベルが等しいステーションについての情報をグループ設定確認メッセージの情報要素として格納する。

これらの処理を、接続要求のあった全てのステーション１１２〜１１４について行い、ステーション１１２〜１１４全てに対する処理が完了すると、ステップＳ１１０９に進み、グループ設定確認メッセージ（Ｍ８１０）をアクセスポイント７１２に送信する。

＜６．ステーションにおける処理の詳細＞
次に、図８に示す接続処理を実現するにあたってのステーション１１２〜１１４における処理の詳細について説明する。

図１２は、ステーション１１２〜１１４における無線ＬＡＮへの接続処理の流れを示すフローチャートである。

電源操作により起動すると、ステップＳ１２０１では、接続要求を行う旨の指示があったか否かを確認し、接続要求を行う旨の指示があったと判断した場合には、ステップＳ１２０２に進む。

ステップＳ１２０２では、無線ＬＡＮへの接続を要求するために、アクセスポイント７１２に対して暗号化方式としてＷＥＰを使用することを示す情報を含んだプローブ要求メッセージ（Ｍ８０２）を送信する。

ステップＳ１２０３では、アクセスポイント７１２からのプローブ応答メッセージ（Ｍ８０５）を受信したか否かを確認し、プローブ応答メッセージ（Ｍ８０５）を受信したと判断した場合には、ステップＳ１２０４に進む。

ステップＳ１２０４では、プローブ応答メッセージ（Ｍ８０５）に含まれる暗号化方式を確認する。ステップＳ１２０４における確認の結果、プローブ応答メッセージ（Ｍ８０５）に含まれる暗号化方式とステーション１１２〜１１４が使用可能な暗号化方式とが異なると判断した場合には（ステップＳ１２０５においてＮｏ）、ステップＳ１２０２に戻る。この場合、セキュリティレベルの等しい他のアクセスポイントを検索するため、プローブ要求メッセージ（Ｍ８０７）を再送信する。

一方、ステップＳ１２０４における確認の結果、暗号化方式が一致すると判断した場合（ステップＳ１２０５においてＹＥＳ）、ステーション１１２〜１１４は以下の処理を実行する。

すなわち、ステップＳ１２０６において、ディスプレイ装置７１１において起動されたＢＳＳ制御部（ステーション１１２〜１１４が使用可能な暗号化方式と一致する暗号化方式を用いるＢＳＳ制御部）を検索する。具体的には、検索タイマーを起動し、スキャン処理を開始する。

続いて、ステップＳ１２０７において、ディスプレイ装置７１１において起動された新たなＢＳＳ制御部の検索に成功するまで、ステップＳ１２０７〜Ｓ１２０８を繰り返す。

このとき、検索タイマーによるカウントアップが満了した場合には（ステップＳ１２０７においてＹＥＳ）、ステップＳ１２０２に戻り、再度セキュリティレベルが等しいＢＳＳ制御部を検索するため、プローブ要求メッセージ（Ｍ８０７）を再送信する。

一方、検索タイマーのカウントアップが満了する前に、暗号化方式としてＷＥＰを使用する新たなＢＳＳ制御部を検索した場合には（ステップＳ１２０８：ＹＥＳ）、ステップＳ１２０９に進む。ステップＳ１２０９では、当該ＢＳＳ制御部を備えるディスプレイ装置７１１に対してアソシエート処理を起動する。

ステップＳ１２１０では、アクセスポイント７１２との間でアソシエーション処理（Ｍ８０９）を完了したか否かを確認し、完了したと判断された場合には、接続処理を終了する。

＜７．接続処理後の無線ＬＡＮにおける無線通信＞
図１３は、本実施形態にかかるアクセスポイント７１２及びディスプレイ装置７１１により形成される無線ＬＡＮ（ステーション１１２〜１１４が接続された後の無線ＬＡＮ）における無線通信について説明するための図である。つまり、セキュリティレベルの異なるステーションと無線通信を行うディスプレイ装置７１１のＢＳＳ制御部が起動された状態におけるデータ伝送について説明するための図である。

図１３において、ステーション１０１〜１０３は、暗号化方式としてＡＥＳを使用した無線エリア７０１において、アクセスポイント７１２の制御の下で無線接続された状態にある。同様に、ステーション１１２〜１１４は、暗号化方式としてＷＥＰを使用した無線エリア９００において、ディスプレイ装置７１１の制御の下で無線接続された状態にある。更に、ディスプレイ装置７１１は、アクセスポイント７１２の制御の下で、無線接続された状態にある。

１３０１は、アクセスポイント７１２からネットワーク制御装置７００に伝送される伝送データを示したものである。なお、ネットワーク制御装置７００では、無線エリア７０１と無線エリア９００のそれぞれの通信装置に関するセキュリティレベルの情報を無線エリア毎に分類して格納する。また、両方の無線エリアに属しているディスプレイ装置７１１は、それぞれの管理エリアに格納される。

１３０２は、アクセスポイント７１２からディスプレイ装置７１１に伝送される伝送データを示したものである。１３０３は、ディスプレイ装置７１１からアクセスポイント７１２に伝送される伝送データを示したものである。

アクセスポイント７１２からディスプレイ装置７１１に対して伝送される伝送データ１３０２について、ディスプレイ装置７１１では、送信元であるステーション１０１〜１０３のアドレスを記憶する。

そして、ディスプレイ装置７１１からアクセスポイント７１２に対しては、ディスプレイ装置７１１において、受信時に記憶したステーション１０１〜１０３の送信元アドレスに応答する伝送データのみを伝送する。つまり、セキュリティレベルの低いＢＳＳ制御部から、セキュリティレベルの高いＢＳＳ制御部への伝送データの伝送は応答データのみに制限される。

以上の説明から明らかなように、本実施形態にかかるアクセスポイントを用いることにより、セキュリティレベルの低いステーションが接続要求を行った場合でもセキュリティレベルの異なるステーション毎に、無線ＬＡＮを分離することが可能となる。

また、アクセスポイントとディスプレイ装置との間の伝送データを制限することが可能となる。この結果、以下のような効果を享受することが可能となる。
（１）セキュリティレベルの高い無線ＬＡＮと低い無線ＬＡＮとの混在が可能となる。
（２）それぞれのセキュリティレベルを保持することが可能となる。
（３）ＷＥＰ等のセキュリティレベルの低いステーションがセキュリティレベルの高い無線ＬＡＮのサービスを利用することが可能となる。

［第３の実施形態］
上記第１及び第２の実施形態では、ＷＥＰ用ＢＳＳ制御部とＡＥＳ用ＢＳＳ制御部との間において伝送データを伝送するにあたり、送信元アドレスに折り返す伝送データ以外を制限する構成とした。

しかしながら、本発明はかかる構成に限られず、例えば、予め設定されたアドレスまたはそれ以外のアドレスに合致したアドレスに伝送する伝送データを、制限するように構成してもよい。

あるいは、アドレスよりも上位のレイヤ、例えばＩＰアドレスとポート番号等のＴＣＰ／ＵＤＰセッションの一部の情報を記憶しておき、これを折り返す伝送データ以外の伝送データを制限するように構成してもよい。

［第４の実施形態］
上記第２の実施形態では、ネットワーク制御装置７００が、無線エリア７０１と無線エリア９００それぞれの無線ＬＡＮ毎の通信装置に関するセキュリティレベルを管理することとした。

しかしながら、本発明はこれに限定されず、無線ＬＡＮ毎の通信装置に関するセキュリティレベルを管理する機能を、ＷＰＳにおけるレジストラにおいて実現するように構成してもよい。

［他の実施形態］
なお、本発明は、複数の機器（例えばホストコンピュータ、インタフェース機器、リーダ、プリンタなど）から構成されるシステムに適用しても、一つの機器からなる装置（例えば、複写機、ファクシミリ装置など）に適用してもよい。

また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システムあるいは装置に供給するよう構成することによっても達成されることはいうまでもない。この場合、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読出し実行することにより、上記機能が実現されることとなる。なお、この場合、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。

プログラムコードを供給するための記憶媒体としては、例えば、フロッピ（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどを用いることができる。

また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現される場合に限られない。例えば、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記憶媒体から読出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、前述した実施形態の機能が実現される場合も含まれる。つまり、プログラムコードがメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって実現される場合も含まれる。

本発明の第１の実施形態に係るアクセスポイントを備える無線ＬＡＮの構成を示す図である。 セキュリティレベルの低いステーション１１２〜１１４が、アクセスポイント１０４とステーション１０１〜１０３とにより形成された無線ＬＡＮに接続するまでの処理の流れを示す図である。 セキュリティレベルの低いステーション１１２〜１１４が、アクセスポイント１０４が形成する無線ＬＡＮに接続した後の構成を示す図である。 ステーション１１２〜１１４が無線ＬＡＮに接続する際のアクセスポイント１０４における処理の流れを詳細に示すフローチャートである。 ステーション１１２〜１１４における無線ＬＡＮへの接続処理の流れを示すフローチャートである。 アクセスポイント１０４により形成される無線ＬＡＮ（ステーション１１２〜１１４が接続された後の無線ＬＡＮ）における無線通信について説明するための図である。 本発明の第２の実施形態に係るアクセスポイントを備える無線ＬＡＮの構成を示す図である。 セキュリティレベルの低いステーション１１２〜１１４がアクセスポイント７１２とステーション１０１〜１０３と、ディスプレイ装置７１１とにより形成された無線ＬＡＮに接続するまでの処理の流れを示す図である。 セキュリティレベルの低いステーション１１２〜１１４が接続した後の無線ＬＡＮの構成を示す図である。 アクセスポイント７１２における接続処理の流れを詳細に示すフローチャートである。 ディスプレイ装置７１１における処理の流れを示すフローチャートである。 ステーション１１２〜１１４における無線ＬＡＮへの接続処理の流れを示すフローチャートである。 アクセスポイント７１２及びディスプレイ装置７１１により形成される無線ＬＡＮ（ステーション１１２〜１１４が接続された後の無線ＬＡＮ）における無線通信について説明するための図である。

符号の説明

１００ 無線エリア
１０１〜１０３ ステーション
１０４ アクセスポイント
１１０ ＩＳＰ
１１２〜１１４ ステーション
３０１ 無線エリア
６０１ ＷＥＰ用ＢＳＳ制御部
６０２ ＡＥＳ用ＢＳＳ制御部
６０３ 伝送データ
６０４ 伝送データ
７００ ネットワーク制御装置
７０１ 無線エリア
７１１ ディスプレイ装置
７１２ アクセスポイント
９００ 無線エリア
１３０２ 伝送データ
１３０３ 伝送データ

Claims (9)

1. 通信装置であって、
   前記通信装置への接続を要求する第２の通信装置が要求する暗号化方式を確認する確認手段と、
   前記確認手段により確認した前記第２の通信装置が要求する暗号化方式が、前記通信装置が形成する第１のネットワークで使用している第１の暗号化方式とは異なる第２の暗号化方式である場合に、前記第２の暗号化方式を用いる第２のネットワークを形成するための処理を行う形成手段と、
   を有することを特徴とする通信装置。
2. 前記形成手段は、前記第２の暗号化方式を用いる第２のネットワークを生成し、該第２のネットワークを介して前記他の通信装置と接続することを特徴とする請求項１に記載の通信装置。
3. 前記形成手段は、前記第２のネットワークを生成できるか否かを判断し、生成できると判断した場合に、前記第２のネットワークを生成することを特徴とする請求項２に記載の通信装置。
4. 前記形成手段は、前記第２のネットワークを生成し、前記第２の暗号化方式に関する情報を送信することを特徴とする請求項２に記載の通信装置。
5. 前記形成手段は、第３の通信装置に前記第２のネットワークを生成させるための処理を行うことを特徴とする請求項１に記載の通信装置。
6. 前記形成手段は、前記第２のネットワークを生成できる前記第３の通信装置の有無を判断し、前記第３の通信装置がある場合に、前記第３の通信装置に前記第２のネットワークの生成を要求することを特徴とする請求項５に記載の通信装置。
7. 前記第１のネットワークを介して通信されるデータと、前記第２のネットワークを介して通信されるデータとの中継を制限する制限手段を有することを特徴とする請求項１乃至請求項６の何れかに記載の通信装置。
8. 通信装置における制御方法であって、
   前記通信装置への接続を要求する第２の通信装置が要求する暗号化方式を確認する確認工程と、
   前記確認工程において確認した前記第２の通信装置が要求する暗号化方式が、前記通信装置が形成する第１のネットワークで使用している第１の暗号化方式とは異なる第２の暗号化方式である場合に、前記第２の暗号化方式を用いる第２のネットワークを形成するための処理を行う形成工程と、
   を有することを特徴とする制御方法。
9. 請求項８に記載の制御方法をコンピュータによって実行させるためのプログラム。

Images