JP2009188765A

JP2009188765A - 無線端末及び無線通信方法

Info

Publication number: JP2009188765A
Application number: JP2008026990A
Authority: JP
Inventors: Takashi Ogawa; 隆史小川
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2008-02-06
Filing date: 2008-02-06
Publication date: 2009-08-20
Anticipated expiration: 2028-02-06
Also published as: JP4586075B2

Abstract

【課題】アクセスポイント等の無線中継装置で採用されている方式をユーザが意識することなく、ローミングの高速化を実現することができる無線端末及び無線通信方法を提供すること。
【解決手段】帰属先の無線中継装置と暗号通信を行うことができる無線端末１０は、暗号鍵テーブルを格納する格納部１０３と、暗号鍵テーブルを参照することで、所定条件を満たす無線中継装置の装置識別子と帰属対象装置の装置識別子とを検索する検索処理部１０４と、検索処理部１０４によって発見された装置識別子に対応する暗号生成キーを識別するためのキー識別子を出力する出力処理部１０５と、出力された２つの識別子を含む判定要求を帰属対象装置に送信する判定要求生成部１０６と、帰属対象装置のキー識別子に対応する暗号生成キーを用いて、帰属対象装置との間で暗号鍵を生成して交換する帰属処理部１０２とを備える。
【選択図】図３

Description

本発明は無線端末及び無線通信方法に関し、特に、帰属先の無線中継装置と暗号通信を行うことができる無線端末及び当該無線端末が帰属先の無線中継装置との間で暗号通信を行うため無線通信方法に関する。

無線ＬＡＮで構成される通信ネットワークでは、クライアントである無線端末（例えば、携帯電話等の携帯端末）は、移動にあわせて、ローミングにより接続先の無線中継装置であるアクセスポイントを変更する。無線端末が接続先を変更した後も通信のセキュリティを保つため、従来はＩＥＥＥ８０２．１Ｘ認証と呼ばれるユーザ認証処理に従って、無線端末は新しい接続先であるアクセスポイントとの間で認証処理を実施していたが、処理に時間が掛かってしまうため、高速ローミングを実現する上での支障となっていた。

そこで、ローミングを高速化するための手法として、ＩＥＥＥ８０２．１Ｘ認証を実施する無線ＬＡＮのネットワークではＰＭＫＳＡキャッシュ（ＰＭＫキャッシュともいう）と呼ばれる手法が採用されている。このＰＭＫＳＡキャッシュは、暗号鍵の基となるＰＭＫを複数のアクセスポイントで共有することにより、ハンドオーバーに際して無線端末とアクセスポイントとの間で実施するＩＥＥＥ８０２．１Ｘ認証を省略してローミングを高速化する手法であり、通信の途切れを低減するといった音声通話品質の向上を図ることができる。

ＰＭＫＳＡキャッシュには、大きく分けて、ローカル・キャッシュ（Ｌｏｃａｌｃａｃｈｅ）方式とオポーチュニスティック・キャッシュ（Ｏｐｐｏｒｔｕｎｉｓｔｉｃｃａｃｈｅ）方式の２つの方式が存在する。いずれの方式もローミング接続時の認証処理を一部省略して、いわゆる４ウェイハンドシェイクのみで、暗号鍵（ＰＴＫ；ＰａｉｒｗｉｓｅＴｒａｎｓｉｅｎｔＫｅｙ）を生成するという点では共通しているが、暗号鍵の基になるデータであるＰＭＫと、ＰＭＫに対応する識別子であるＰＭＫＩＤとのセットであるＰＭＫＳＡの保持の仕方に違いがある。具体的には、ローカル・キャッシュ方式は、主にアクセスポイント単体で動作するシステムで実現される方式であって、各アクセスポイントは個別にＰＭＫＳＡを管理及び保持して、クライアントである無線端末は帰属したアクセスポイントごとに複数のＰＭＫを保持する。一方、オポーチュニスティック・キャッシュ方式は、主に複数のアクセスポイントを制御する制御装置（アクセスポイント・コントローラ）を有するシステムで実現される方式である。このオポーチュニスティック・キャッシュ方式では、同一の制御装置や同一のセグメント（複数のアクセスポイントによって形成される領域）に属するアクセスポイント間でＰＭＫを共有することで、クライアントである無線端末が移動した場合にも、ローミング先であるアクセスポイントとの間における認証処理においてクライアントが移動前に保持したＰＭＫを利用することができる。

上述のＰＭＫＳＡキャッシュと類似する手法には、例えば特許文献１に記載されている移動端末接続方法が知られている。また、特許文献２では、アクセスポイントごとに生成した複数のＰＭＫをアクセスポイント間で共有する高速ローミングサービス方法が記載されている。ほかに、ＰＭＫＳＡキャッシュと異なる手法として、特許文献３では、無線端末が予め定められた規則に基づいて算出された複数の識別情報(ＳＳＩＤ)を用いてアクセスポイントへ帰属を試みるように構成された無線ＬＡＮシステムにおける通信方法が記載されている。
特許３８６３１４７号公報特開２００２−１２５２７０号公報特開２００６−１００９７０号公報

上述のように、ローカル・キャッシュ方式とオポーチュニスティック・キャッシュ方式との間にはＰＭＫＳＡの保持の仕方に違いがあるため、アクセスポイントで採用されている方式と無線端末で使用されている方式とが一致していなければ、認証処理の一部を省略することができない。アクセスポイントには、両方式を実装しているものも知られている。しかしながら、実際には一方の方式のみに対応したものが混在している場合が多く、アクセスポイント側の方式にあわせて無線端末側の方式を選択する必要が避けられないため、ユーザにとって煩雑な処理を強いていた。

また、特許文献１〜３に記載の方法も、アクセスポイントで採用されている複数のＰＭＫＳＡキャッシュ方式に対応する無線端末を提供するものではなく、一方の方式のみに対応させることを基本とした構成の採用又は独自構成の採用により高速ローミングを実現しようとするものであった。

そこで、本発明は、暗号鍵生成のためのデータ保持に関する複数の方式に対応することで、アクセスポイント等の無線中継装置で採用されている方式をユーザが意識することなく、ローミングの高速化を実現することができる無線端末及び無線通信方法を提供することを目的とする。

本発明の無線端末は、帰属先の無線中継装置と暗号通信を行うことができる無線端末であって、暗号鍵を生成するための基となる暗号生成キーに対して、無線中継装置を識別するための識別子である装置識別子と、暗号生成キーを識別するためのキー識別子とを対応付けることができる暗号鍵テーブルを格納する格納手段と、格納手段に格納されている暗号鍵テーブルを参照することで、所定条件を満たす無線中継装置の装置識別子を検索する第１検索手段と、第１検索手段によって発見された装置識別子に対応する第１暗号生成キーを識別するための識別子である第１キー識別子を出力する第１出力手段と、格納手段に格納されている暗号鍵テーブルを参照することで、これから帰属する無線中継装置である帰属対象装置の装置識別子を検索する第２検索手段と、第２検索手段によって発見された装置識別子に対応する第２暗号生成キーを識別するための識別子である第２キー識別子を出力する第２出力手段と、帰属対象装置に格納されている第３暗号生成キーを識別するための識別子である第３キー識別子が第１キー識別子又は第２キー識別子と一致するか否かについて判定を要求するために、第１出力手段から出力された第１キー識別子と第２出力手段から出力された第２キー識別子とを含む判定要求を帰属対象装置に送信する判定要求手段と、判定要求を受信した帰属対象装置から第１キー識別子又は第２キー識別子が第３キー識別子と一致するとの通知を受信した場合に、第３キー識別子と一致する識別子であって、判定要求手段が判定要求を送信する前に格納手段に格納されていた第１キー識別子又は第２キー識別子である該当キー識別子に対応する暗号生成キーを用いて、帰属対象装置との間で暗号鍵を生成して交換する暗号鍵生成手段とを備える。

本発明によれば、暗号鍵テーブルを参照することで、暗号生成キーを識別するためのキー識別子として、所定条件を満たす装置識別子に対応する第１暗号生成キーを識別するための識別子と、帰属対象装置の装置識別子に対応する第２暗号生成キーを識別するための識別子という２つの識別子を帰属対象装置に送信することができる。そして、２つの識別子のいずれかが帰属対象装置に格納されているキー識別子と一致する場合には無線端末に格納されている暗号生成キーを用いて暗号鍵を生成する。したがって、対応するキー識別子等のデータが暗号鍵テーブルに格納されている場合、帰属対象装置で採用されている暗号鍵に関するデータ保持方式（ＰＭＫＳＡキャッシュ方式）に関わらず、ユーザ認証処理の一部を省略してローミングを行うことができる。これにより、無線中継装置のデータ保持方式をユーザが意識することなく、ローミングの高速化を実現することができる。

また、上記無線端末において、暗号鍵テーブルにおいて、暗号生成キーに対する装置識別子と、キー識別子との対応付けを更新するテーブル更新手段を更に備え、暗号鍵生成手段は、判定要求を受信した帰属対象装置から第１キー識別子及び第２キー識別子のいずれも第３キー識別子と一致しないとの通知を受信した場合に、帰属対象装置との間で第３キー識別子に対応する暗号生成キーを用いて、帰属対象装置との間で暗号鍵を生成して交換し、テーブル更新手段は、第３キー識別子に対応する暗号生成キーに対して、帰属対象装置の装置識別子と、第３キー識別子とを対応付けるように暗号鍵テーブルを更新するように構成してもよい。このように構成することで、第１キー識別子及び第２キー識別子のいずれも第３キー識別子と一致しない場合であっても、２回目以降に同じ帰属対象装置に帰属する時には更新された暗号鍵テーブルを参照することで、キー識別子が一致する可能性が向上するため、さらにローミングの高速化を図ることができる。

また、上記無線端末において、格納手段に格納されている暗号鍵テーブルにおいて、暗号生成キーに対して、現在又は以前における無線中継装置との帰属状態を示す帰属履歴情報が更に対応付けられており、第１検索手段は、直前に帰属していたことを所定条件として、当該所定条件を満たす無線中継装置の装置識別子を検索するように構成してもよい。このように構成することで、特にオポーチュニスティック・キャッシュ方式に対応している無線中継装置間で無線端末が帰属対象を変更する場合に、認証処理の一部を省略してローミングを高速化することができる。

また、上記無線端末において、第１検索手段は、暗号鍵テーブルにおいて暗号生成キーが設定されていることを所定条件として、当該所定条件を満たす無線中継装置の装置識別子を検索し、第１出力手段は、第１検索手段によって発見された複数の装置識別子それぞれについて、第１キー識別子を出力するように構成してもよい。このように構成することで、ローカル・キャッシュ方式又はオポーチュニスティック・キャッシュ方式に関わりなく、暗号生成キーに対して装置識別子が対応付けられている無線中継装置を帰属対象装置にする場合に、認証処理の一部を省略してローミングを高速化することができる。

本発明は、上記のように無線端末に係る発明として記載できる他に、以下のように無線通信方法に係る発明として記述することができる。

すなわち、本発明の無線通信方法は、無線端末が帰属先の無線中継装置との間で暗号通信を行うための無線通信方法であって、暗号鍵を生成するための基となる暗号生成キーに対して、無線中継装置を識別するための識別子である装置識別子と、暗号生成キーを識別するためのキー識別子とを対応付けることができる暗号鍵テーブルを格納する格納手段に格納されている暗号鍵テーブルを参照することで、所定条件を満たす無線中継装置の装置識別子を検索する第１検索ステップと、第１検索ステップで発見された装置識別子に対応する第１暗号生成キーを識別するための識別子である第１キー識別子を出力する第１出力ステップと、格納手段に格納されている暗号鍵テーブルを参照することで、これから帰属する無線中継装置である帰属対象装置の装置識別子を検索する第２検索ステップと、第２検索ステップで発見された装置識別子に対応する第２暗号生成キーを識別するための識別子である第２キー識別子を出力する第２出力ステップと、帰属対象装置に格納されている第３暗号生成キーを識別するための識別子である第３キー識別子が第１キー識別子又は第２キー識別子と一致するか否かについて判定を要求するために、第１出力手段から出力された第１キー識別子と第２出力手段から出力された第２キー識別子とを含む判定要求を帰属対象装置に送信する判定要求ステップと、判定要求を受信した帰属対象装置から第１キー識別子又は第２キー識別子が第３キー識別子と一致するとの通知を受信した場合に、第３キー識別子と一致する識別子であって、判定要求ステップで判定要求を送信する前に格納手段に格納されていた第１キー識別子又は第２キー識別子である該当キー識別子に対応する暗号生成キーを用いて、帰属対象装置との間で暗号鍵を生成して交換する暗号鍵生成ステップとを備える。

なお、上記の無線通信方法に係る発明は、上記の無線端末に係る発明と対応する技術的特徴を有し、同様の作用及び効果を奏する発明である。

本発明によれば、暗号生成キーを識別するためのキー識別子として、所定条件を満たす識別子と、帰属対象装置の装置識別子に対応する識別子という２つの識別子を帰属対象装置に送信して、２つの識別子のいずれかが帰属対象装置に格納されているキー識別子と一致する場合には無線端末に格納されている暗号生成キーを用いて暗号鍵を生成する。したがって、帰属対象装置で採用されている暗号鍵のデータ保持方式に関わらず、認証手順の一部を省略してローミングの高速化を実現することができる。

以下、図面を参照しながら、本発明に係る無線端末及び無線通信方法の実施形態を説明する。なお、同一の機能又は構成を有する部分には同一の符号を付して、重複する説明を適宜省略する。

まず、本発明の実施形態に係る無線端末が適用される通信ネットワークシステムを説明する。

図１のシステム構成図に示されるように、通信ネットワークシステム１は、無線端末１０と、複数の無線中継装置２１，２２，２３，２４と、中継制御装置３０と、認証サーバ４０と、その他のサーバ、制御局等の装置（いずれも図示せず）から構成される移動体通信網を含む通信ネットワークＮとを備えている。無線端末１０は、無線中継装置２１，２２，２３，２４のうち帰属先となる無線中継装置と暗号通信を行うことが可能であり、無線中継装置２１，２２，２３，２４を経由して通信ネットワークＮに接続することができる。無線端末１０と無線中継装置２１，２２，２３，２４との間の通信接続には、例えばＩＥＥＥ８０２．１１ｉ（ＷＰＡ２）として定められている無線ＬＡＮの規格を適用することが可能である。図１に示される構成は、ＰＭＫＳＡキャッシュの方式としてオポーチュニスティック・キャッシュ（Ｏｐｐｏｒｔｕｎｉｓｔｉｃｃａｃｈｅ）方式に対応した構成例である。無線端末１０の例としては無線ＬＡＮに対応するパーソナルコンピュータ、携帯電話等の通信端末があり、無線中継装置２１，２２，２３，２４の例としては無線ＬＡＮのアクセスポイントがある。

本実施形態に係る通信ネットワークシステムとそれを構成する装置は、ＰＭＫＳＡキャッシュの方式としてローカル・キャッシュ（Ｌｏｃａｌｃａｃｈｅ）方式に対応するネットワークに対応することも可能である。図２はローカル・キャッシュ方式に対応する通信ネットワークシステム１Ａを示す図である。同図からわかるように、通信ネットワークシステム１Ａは、オポーチュニスティック・キャッシュ方式の通信ネットワークシステム１と異なり、暗号鍵の基となるＰＭＫを無線中継装置２１，２２，２３，２４間で共有するための中継制御装置３０を省略した構成とされている。

なお、本実施形態の説明では、４つの無線中継装置２１，２２，２３，２４がハンドオーバーを行いつつ無線端末１０と通信する場合を例にとって説明するが、無線端末１０が相互に通信を行うことができる無線中継装置の数は、特に限定されないことは言うまでもない。

次に、図３から図１１を参照しつつ、通信ネットワークシステム１，１Ａを構成する各装置の詳細を説明する。

まず、無線端末１０を構成する要素及びその機能を説明する。

図３は、無線端末１０の機能的構成を示すブロック図である。無線端末１０は、機能的には、図３に示されるように、無線受信部１０１と、帰属処理部１０２（暗号鍵生成手段）、格納部１０３（格納手段）と、検索処理部１０４（第１検索手段、第２検索手段）と、出力処理部１０５（第１出力手段、第２出力手段）と、判定要求生成部１０６（判定要求生成手段）と、無線送信部１０７と、更新処理部１０８（テーブル更新手段）とを備える。

図４は、無線端末１０のハードウェア構成例を示す図である。無線端末１０は、物理的には、図３に示されるように、ＣＰＵ１５１と、記憶デバイスであるＲＡＭ１５２及びＲＯＭ１５３と、無線中継装置２１，２２，２３，２４のいずれかを中継して通信ネットワークＮに接続することでデータの送受信を行う送受信デバイスである通信モジュール１５４、液晶ディスプレイ等の表示装置１５５と、テンキー及び十字キー等の入力装置１５６などを含む通信装置として構成されている。図３で説明される各機能は、図４に示すＣＰＵ１５１、ＲＡＭ１５２等のハードウェア上に所定のコンピュータソフトウェアを読み込ませることにより、ＣＰＵ１５１の制御のもとで通信モジュール１５４、表示装置１５５及び入力装置１５６を動作させると共に、ＲＡＭ１５２やＲＯＭ１５３におけるデータの読み出し及び書き込みを行うことで実現される。

以下、図３を用いて、無線中継装置２１，２２，２３，２４のうち帰属先の無線中継装置との間で暗号通信を行うことができる無線端末である無線端末１０の各機能要素について説明する。

無線受信部１０１は、無線中継装置２１，２２，２３，２４から送信された信号やデータを受信する部分である。この無線受信部１０１は、無線中継装置２１，２２，２３，２４から受信した認証結果通知等のデータを受信して、他の機能要素に通知することができるように構成されている。

帰属処理部１０２は、無線中継装置２１，２２，２３，２４のうち帰属先となる帰属対象装置との間で暗号通信を行うために必要な帰属処理を実行する部分である。具体的には、無線ＬＡＮで構成される通信ネットワークの場合、この帰属処理部１０２は、帰属対象装置の選択、ＭＡＣ認証処理（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）、帰属処理（Ａｓｓｏｃｉａｔｉｏｎ）、暗号生成キーを識別するためのキー識別子（ＰＭＫＩＤ）をアソシエーション要求（ＡｓｓｏｃｉａｔｉｏｎＲｅｑｕｅｓｔ）に設定するための処理、ＩＥＥＥ８０２．１Ｘ認証処理、暗号鍵生成処理、ＤＨＣＰ処理、ＳＩＰ登録処理等を実行する。なお、帰属処理部１０２による処理の詳細は、後述する。

格納部１０３は、無線端末１０が使用する各種のデータを格納する部分であり、暗号鍵を生成するための基となる暗号生成キー（ＰＭＫ）に対して、無線中継装置を識別するための識別子である装置識別子（ＢＳＳＩＤ）と、暗号生成キーを識別するためのキー識別子（ＰＭＫＩＤ）とを対応付けることができる暗号鍵テーブル（ＰＭＫＳＡキャッシュテーブル）を格納する。この格納部１０３は、帰属処理部１０２、検索処理部１０４、出力処理部１０５、判定要求生成部１０６、更新処理部１０８等からの要求に応じて、暗号鍵テーブルに格納されているデータの入出力を行う。なお、ローカル・キャッシュ方式では、暗号生成キー１つに対しては、装置識別子と、キー識別子とが１つずつ対応づけられるが、オポーチュニスティック・キャッシュ方式では、暗号生成キーの共有状況に応じて、暗号鍵テーブルにおいて暗号生成キー１つに対して、複数の装置識別子が対応付けられる。

暗号鍵テーブルには、図５に示されるような形でデータが格納されている。このような暗号鍵テーブルは、ＰＭＫＳＡキャッシュテーブルとも呼ばれるものであり、暗号鍵を生成するための基となる暗号生成キーに対して、無線中継装置２１，２２，２３，２４を識別するための識別子である装置識別子と、暗号生成キーを識別するためのキー識別子とが対応付けられている。なお、キー識別子（ＰＭＫＩＤ）は下記数式によって、暗号生成キー（ＰＭＫ）から算出されるものである。
PMKID=HMAC-SHA1-128(PMK, "PMKName" || AA || SPA)
この数式において、「ＨＭＡＣ−ＳＨＡ１−１２８」はハッシュ関数であるHMAC-SHA1の最初の１２８ビット、ＡＡはＡｕｔｈｅｎｔｉｃａｔｏｒのＭＡＣアドレス（帰属対象装置の装置識別子（ＢＳＳＩＤ））、ＳＰＡはＳｕｐｐｌｉｃａｎｔのＭＡＣアドレス（無線端末のＭＡＣアドレス）である。

また、暗号鍵テーブルには、暗号生成キーに対して、現在又は以前における無線中継装置２１，２２，２３，２４との帰属状態を示す帰属履歴情報が対応付けられている。具体的には、帰属履歴情報には、「直前」、「以前に帰属有」等の情報を割り当てることができる。なお、図５に示される例では、無線中継装置２４について帰属履歴がなく、装置識別子、キー識別子及び暗号生成キーのいずれも格納されていないことを示している。

検索処理部１０４は、帰属処理部１０２等の要求に応じて、格納部１０３に格納されている暗号鍵テーブルを参照することで装置識別子を検索して、出力する部分である。具体的には、検索処理部１０４は、格納部１０３に格納されている暗号鍵テーブルを参照することで、所定条件を満たす無線中継装置の装置識別子を検索することができると共に、無線中継装置２１，２２，２３，２４のうちこれから帰属する無線中継装置である帰属対象装置の装置識別子を検索して、その結果を出力処理部１０５に出力することができる。

出力処理部１０５は、無線端末１０が無線中継装置２１，２２，２３，２４に後述する判定要求を送信するために、検索処理部１０４によって発見された装置識別子に対応する暗号生成キーを識別するための識別子（キー識別子）を一時的に格納して、判定要求生成部１０６に出力する部分である。また、この出力処理部１０５は、検索処理部１０４によって発見されたキー識別子が同一であったために同一のキー識別子を格納することとなる場合、一方のキー識別子のみを格納することができるように構成されている。

判定要求生成部１０６は、無線中継装置２１，２２，２３，２４のうち帰属対象装置に格納されている暗号生成キーを識別するための識別子であるキー識別子が出力処理部１０５から出力されたキー識別子と一致するか否かについて判定を要求するために、出力処理部１０５から出力されたキー識別子を含む判定要求を生成する部分である。この判定要求生成部１０６が生成した判定要求は、無線送信部１０７を介して、帰属対象装置に送信される。

無線送信部１０７は、無線中継装置２１，２２，２３，２４に信号やデータを送信する部分である。この無線送信部１０７は、例えば上述の判定要求を無線中継装置２１，２２，２３，２４へ送信することができるように構成されている。

更新処理部１０８は、格納部１０３に格納されている暗号鍵テーブルにおける、暗号生成キーに対する装置識別子とキー識別子との対応付けを更新する部分である。この更新処理部１０８は、例えば、無線端末１０から送信されたキー識別子のいずれも帰属対象装置のキー識別子と一致しないとの通知を帰属対象装置から受信した場合に、帰属対象装置との間で新たに交換された暗号生成キーに対して、帰属対象装置の装置識別子と、帰属対象装置のキー識別子とを対応付けることで、暗号鍵テーブルを更新する。

上述のように構成することで、無線端末１０は、無線中継装置２１，２２，２３，２４のうち帰属先の無線中継装置との間で暗号通信を行うことができる。

次に、無線通信装置２１を構成する要素及びその機能を説明する。なお、無線通信装置２２，２３，２４は、無線通信装置２１と同一の構成及び機能を備えるため、無線通信装置２１を説明することで、重複する説明を省略する。

図６は、無線通信装置２１の機能的構成を示すブロック図である。無線通信装置２１は、機能的には、図６に示されるように、無線送信部２０１と、格納部２０２と、制御部２０３と、無線受信部２０４と、外部インターフェース２０５とを備える。

図７は、無線通信装置２１のハードウェア構成例を示す図である。無線通信装置２１は、物理的には、図７に示されるように、ＣＰＵ２５１と、記憶デバイスであるＲＡＭ２５２及びＲＯＭ２５３と、動作状態を表示するＬＥＤ等から構成される表示装置２５４と、無線端末１０との間でデータの送受信を行う送受信デバイスである第１の通信モジュール２５５、中継制御装置３０、認証サーバ４０及び通信ネットワークＮを構成する装置との間でデータの送受信を行う送受信デバイスである第２の通信モジュール２５６などを含む通信装置として構成されている。図６で説明される各機能は、図７に示すＣＰＵ２５１、ＲＡＭ２５２等のハードウェア上に所定のコンピュータソフトウェアを読み込ませることにより、ＣＰＵ２５１の制御のもとで表示装置２５４、第１の通信モジュール２５５及び第２の通信モジュール２５６を動作させると共に、ＲＡＭ２５２やＲＯＭ２５３におけるデータの読み出し及び書き込みを行うことで実現される。

以下、図６を用いて、無線端末１０との間で暗号通信を行うことができる無線通信装置である無線通信装置２１を構成する要素及びその機能を説明する。

無線送信部２０１は、無線端末１０に信号やデータを無線により送信するこの無線送信部２０１は、例えば、制御部２０３からの指示に従って格納部に格納されているデータ（例えば、暗号生成キー（ＰＭＫ）、キー識別子（ＰＭＫＩＤ）等のデータ）を無線端末１０に送信する。

格納部２０２は、無線通信装置２１が使用する各種のデータを格納する部分である。この格納部２０２は、無線通信装置２１で予め設定・生成されている暗号生成キーやキー識別子を格納できると共に、オポーチュニスティック・キャッシュ方式を採用する通信ネットワークシステム１においては、中継制御装置３０から受信した暗号生成キーやキー識別子を格納することができるように構成されている。

制御部２０３は、無線通信装置２１の動作を制御する部分であり、上述のような無線端末１０との間で暗号通信を行うためのデータ送受信に関する制御に加えて、中継制御装置３０、認証サーバ４０、通信ネットワークＮを構成する装置等の間でのデータ送受信等に関する制御をおこなう。また、この制御部２０３は、無線端末１０から送信された判定要求を受けて、無線端末１０から送信されたキー識別子が、無線中継装置２１に格納されているキー識別子と同一であるか否かの判定を行うことができる。

無線受信部２０４は、無線端末１０から送信された信号やデータを無線により受信する部分である。具体的には、この無線受信部２０４は、無線端末１０から送信された判定要求等を受信する。

外部インターフェース２０５は、中継制御装置３０、認証サーバ４０、通信ネットワークＮを構成する装置との間で信号やデータを送受信する部分である。具体的には、オポーチュニスティック・キャッシュ方式を採用する通信ネットワークシステム１においては、中継制御装置３０から暗号生成キーやキー識別子を受信する。

上述のように構成することで、無線通信装置２１は、無線端末１０との間で暗号通信を行うことができる。

次に、中継制御装置３０を構成する要素及びその機能を説明する。中継制御装置３０は、上述のように、オポーチュニスティック・キャッシュ方式に対応する通信ネットワークシステム１では必須の装置であるが、ローカル・キャッシュ方式に対応する通信ネットワークシステム１Ａでは省略される装置である。なお、中継制御装置３０は、その機能面からアクセスポイントコントローラとも呼ばれる。

図８は、中継制御装置３０の機能的構成を示すブロック図である。中継制御装置３０は、機能的には、図８に示されるように、送信部３０１と、格納部３０２と、制御部３０３と、受信部３０４と、を備える。

図９は、中継制御装置３０のハードウェア構成例を示す図である。中継制御装置３０は、物理的には、図９に示されるように、ＣＰＵ３５１と、記憶デバイスであるＲＡＭ３５２及びＲＯＭ３５３と、動作状態を表示するＬＥＤ等から構成される表示装置３５４と、無線中継装置２１，２２，２３，２４、認証サーバ４０及び通信ネットワークＮを構成する装置との間でデータの送受信を行う送受信デバイスである通信モジュール３５５などを含む通信装置として構成されている。図８で説明される各機能は、図９に示すＣＰＵ３５１、ＲＡＭ３５２等のハードウェア上に所定のコンピュータソフトウェアを読み込ませることにより、ＣＰＵ３５１の制御のもとで表示装置３５４、通信モジュール３５５を動作させると共に、ＲＡＭ３５２やＲＯＭ３５３におけるデータの読み出し及び書き込みを行うことで実現される。

以下、図８を用いて、無線中継装置２１，２２，２３，２４、認証サーバ４０等との間で、暗号生成キー（ＰＭＫ）やキー識別子（ＰＭＫＩＤ）を送受信することができる中継制御装置３０を構成する要素及びその機能を説明する。

送信部３０１は、無線中継装置２１，２２，２３，２４に信号やデータを送信すると共に、認証サーバ４０や通信ネットワークＮを構成する装置に信号やデータを送信する部分である。オポーチュニスティック・キャッシュ方式に対応する通信ネットワークシステム１において、この送信部３０１は制御部３０３からの指示に従って格納部３０２に格納されているデータ（具体的には、暗号生成キー、キー識別子等）を無線中継装置２１，２２，２３，２４の要求に応じて送信する。

格納部３０２は、中継制御装置３０が使用する各種のデータを格納する部分である。この格納部２０２は、具体的には、暗号生成キー、キー識別子等を格納する。

制御部３０３は、中継制御装置３０の動作を制御する部分であり、例えば、上述のような無線中継装置２１，２２，２３，２４との間で暗号処理のためのデータ送受信に関する制御に加えて、認証サーバ４０や通信ネットワークＮを構成する装置との間での暗号処理のためのデータ送受信に関する制御をおこなう。なお、オポーチュニスティック・キャッシュ方式を採用する通信ネットワークシステム１では暗号生成キーを無線中継装置２１，２２，２３，２４間で共有するため、制御部３０３は暗号生成キーやキー識別子を無線中継装置２１，２２，２３，２４に送信するように送信部３０１、格納部３０２を制御することができる。

受信部３０４は、無線中継装置２１，２２，２３，２４から送信された信号やデータを受信すると共に、認証サーバ４０や通信ネットワークＮを構成する装置から送信された信号やデータを受信する部分である。この受信部３０４は、例えば、無線中継装置２１，２２，２３，２４から送信された暗号生成キーやキー識別子を受信する。

上述のように構成することで、中継制御装置３０は、無線中継装置２１，２２，２３，２４、認証サーバ４０等との間で暗号生成キーやキー識別子を送受信することができる。

次に、認証サーバ４０を構成する要素及びその機能を説明する。なお、図１及び図２に示されているように、オポーチュニスティック・キャッシュ方式及びローカル・キャッシュ方式のいずれの通信ネットワークシステムにおいても、この認証サーバ４０が設けられる。

図１０は、認証サーバ４０の機能的構成を示すブロック図である。認証サーバ４０は、機能的には、図１０に示されるように、送信部４０１と、格納部４０２と、制御部４０３と、受信部４０４と、を備える。

図１１は、認証サーバ４０のハードウェア構成例を示す図である。認証サーバ４０は、物理的には、図１１に示されるように、ＣＰＵ４５１と、記憶デバイスであるＲＡＭ４５２及びＲＯＭ３５３と、ハードディスクドライブ等の補助記憶装置４５４と、無線端末１０、無線中継装置２１，２２，２３，２４、中継制御装置３０及び通信ネットワークＮを構成する装置との間でデータの送受信を行う送受信デバイスである通信モジュール４５５、動作状態を表示する液晶ディスプレイ等から構成される表示装置４５６と、各種操作を行うための操作パネル等の入力装置４５７などを含む通信装置として構成されている。図１０で説明される各機能は、図１１に示すＣＰＵ４５１、ＲＡＭ４５２等のハードウェア上に所定のコンピュータソフトウェアを読み込ませることにより、ＣＰＵ４５１の制御のもとで通信モジュール４５５、表示装置４５６等を動作させると共に、ＲＡＭ４５２、ＲＯＭ４５３及び補助記憶装置４５４におけるデータの読み出し及び書き込みを行うことで実現される。

以下、図１０を用いて、中継制御装置３０（ローカル・キャッシュ方式に対応する通信ネットワークシステム１Ａでは、無線中継装置２１，２２，２３，２４）との間で無線端末１０の認証処理（例えば、ＩＥＥＥ８０１．１Ｘの認証処理）や処理結果に関する通知の送受信を実行することができる認証サーバ４０を構成する要素及びその機能を説明する。

送信部４０１は、中継制御装置３０や通信ネットワークＮを構成する装置に信号やデータを送信する部分である。この送信部４０１は、例えば、制御部４０３からの指示に従って無線端末１０の認証処理に必要なデータや処理結果に関する通知を無線端末１０、無線中継装置２１，２２，２３，２４、中継制御装置３０等に送信する。

格納部４０２は、認証サーバ４０が使用する各種のデータを格納する部分である。この格納部４０２は、認証処理に必要なデータ（例えば、暗号生成キー）を格納する。

制御部４０３は、認証サーバ４０の動作を制御する部分である。この制御部４０３は、無線端末１０の認証処理に関する制御に加えて、中継制御装置３０との間におけるデータや処理結果に関する通知の送受信に関する制御や、通信ネットワークＮを構成する装置との間でのデータ送受信等に関する制御をおこなう。

受信部４０４は、中継制御装置３０から送信された信号やデータを無線により受信すると共に、通信ネットワークＮを構成する装置から送信された信号やデータを受信する部分である。この受信部３０４は、例えば、無線中継装置２１，２２，２３，２４や中継制御装置３０から送信された無線端末１０の認証処理に関する要求を受信する。

上述のように構成することで、認証サーバ４０は、中継制御装置３０との間で無線端末１０の認証処理や処理結果に関する通知の送受信を実行することができる。

引き続き、図１２から図１４を参照しつつ、本発明の実施形態に係る無線通信方法を説明する。ここでは、無線端末１０が帰属先を無線中継装置２１から無線中継装置２２（帰属対象装置）に変更する場合を主な例として説明する。

まず、図１２を用いて、本発明の実施形態に係る無線通信方法のメイン処理を説明する。無線端末１０は、受信強度の変化等にあわせてハンドオーバーを行うため、内部で生成されるスキャントリガに応じてメイン処理を開始すると、無線中継装置２１，２２，２３，２４のうち、受信強度の最も強い無線中継装置をこれから帰属する無線中継装置である帰属対象装置（ここでは無線中継装置２２）として選択する（ステップＳ１１）。引き続き、無線端末１０は、メッセージ認証コード（ＭＡＣ）を用いた認証処理の実行を要求するためのＭＡＣ認証要求を帰属対象装置に送信する（ステップＳ１２）。帰属対象装置はＭＡＣ認証要求を実行した後（ステップＳ１３）、そのＭＡＣ認証の結果を無線端末１０に通知する（ステップＳ１４）。ＭＡＣ認証が完了した後、無線端末１０は暗号生成キーを識別するためのキー識別子の検索・出力処理を実行する（ステップＳ１５）。

図１３は、キー識別子の検索・出力処理の詳細を示すフローチャートである。無線端末１０はキー識別子の検索・出力処理を開始すると、無線端末１０の格納部１０３に格納されている暗号鍵テーブルを参照することで、検索処理部１０４が所定条件を満たす無線中継装置の装置識別子を検索する（ステップＳ１０１；第１検索ステップ）。

上述の通り、暗号鍵テーブルには図５に示されるような情報が格納されており、暗号鍵を生成するための基となる暗号生成キー（ＰＭＫ）に対して、無線中継装置２１，２２，２３，２４を識別するための識別子である装置識別子（ＢＳＳＩＤ）と、暗号生成キーを識別するためのキー識別子（ＰＭＫＩＤ）と、帰属履歴情報とが対応付けられている。この暗号鍵テーブルを参照して、検索処理部１０４は、直前に帰属していたことを所定条件として、当該所定条件を満たす無線中継装置の装置識別子を検索する（ステップＳ１０２）。そして、暗号鍵テーブルにおいて直前に帰属していた無線中継装置の装置識別子がない場合（ステップＳ１０２でＮｏの場合）、直前に帰属していた無線中継装置の装置識別子を発見できなかったことを示す検索結果を出力することで（ステップＳ１０３）、検索・出力処理を終了してメイン処理に戻る。

暗号鍵テーブルにおいて直前に帰属していた無線中継装置に関する帰属履歴情報がある場合（ステップＳ１０２でＹｅｓの場合）、検索処理部１０４は、発見された装置識別子に対応する第１暗号生成キーを識別するための識別子である第１キー識別子を出力処理部１０５に出力する（ステップＳ１０４）。図５に示される例では、無線中継装置２１の暗号生成キーが第１暗号生成キーとなり、対応するキー識別子が第１キー識別子となる。出力された第１キー識別子は出力処理部１０５に格納される（ステップＳ１０５）。なお、出力する第１キー識別子は暗号鍵テーブルに予め格納させておいたものを使うことができるが、上述のＰＭＫとＰＭＫＩＤの関係式を用いて暗号生成キーから算出したものを使ってもよい。

出力処理部１０５が第１キー識別子を格納した後、検索処理部１０４は、格納部１０３に格納されている暗号鍵テーブルを参照することで、これから帰属する無線中継装置である帰属対象装置（ここでは無線中継装置２２）の装置識別子を検索する（ステップＳ１０６）。暗号鍵テーブルにおいてこれから無線中継装置の装置識別子がない場合（ステップＳ１０７でＮｏの場合）、直前に帰属していた無線中継装置の装置識別子のみを発見できたことを示す検索結果を出力すると共に（ステップＳ１０３）、検索・出力処理を終了してメイン処理に戻る。

暗号鍵テーブルにおいてこれから帰属する無線中継装置に関する帰属履歴情報がある場合（ステップＳ１０７でＹｅｓの場合）、検索処理部１０４は、発見された装置識別子に対応する第２暗号生成キーを識別するための識別子である第２キー識別子を出力処理部１０５に出力する（ステップＳ１０８）。図５に示される例では、無線中継装置２２の暗号生成キーが第２暗号生成キーとなり、対応するキー識別子が第２キー識別子となる。なお、第１キー識別子の場合と同様に、出力する第２キー識別子は暗号鍵テーブルに予め格納させておいたものを使うことができるが、上述のＰＭＫとＰＭＫＩＤの関係式を用いて暗号生成キーから算出したものを使ってもよい。

検索処理部１０４が第２キー識別子を出力した後、出力処理部１０５は第２キー識別子が第１キー識別子と同一であるか否かを判定し、同一であると判定した場合には（ステップＳ１０９でＹｅｓの場合）、第２キー識別子を格納することなく、直前に帰属していた無線中継装置の装置識別子及びこれから帰属する無線中継装置の装置識別子を発見できたことを示す検索結果を出力することで（ステップＳ１０３）、検索・出力処理を終了してメイン処理に戻る。このような処理とすることで、後述するアソシエーション要求を帰属対象装置に送信する際に、アソシエーション要求に含まれるキー識別子が減るため、その後の処理の効率を向上させることができる。

一方、出力処理部１０５は、第２キー識別子が第１キー識別子と同一ではないと判定した場合（ステップＳ１０９でＮｏの場合）、第２キー識別子を格納した後（ステップＳ１１０）、直前に帰属していた無線中継装置の装置識別子及びこれから帰属する無線中継装置の装置識別子を発見できたことを示す検索結果を出力することで（ステップＳ１０３）、検索・出力処理を終了してメイン処理に戻る。

図１２に戻って、キー識別子の検索・出力処理後のメイン処理を説明する。無線端末１０はキー識別子の検索・出力処理を実行した後、検索によって発見されたキー識別子を含むアソシエーション要求を帰属対象装置に送信する（ステップＳ１６）。具体的には、帰属対象装置に格納されている暗号生成キー（第３暗号生成キー）を識別するための識別子（第３キー識別子）が第１キー識別子又は第２キー識別子と一致するか否かについて判定を要求するために、判定要求生成部１０６は、出力処理部１０５から出力されたキー識別子を含む判定要求を帰属対象装置である無線送信部１０７を介して無線中継装置２２に送信する。なお、検索処理部１０４及び出力処理部１０５の処理結果に応じて、判定要求に含まれるキー識別子は、「第１キー識別子のみ（第１キー識別子及び第２キー識別子が同一の場合あり）」の場合と「第１キー識別子及び第２キー識別子」の場合がある。また、検索処理部１０４による処理の結果、キー識別子が出力されなかった場合には、キー識別子を含まない判定要求が無線中継装置に送信される。

無線端末１０から送信された判定要求を受けて、帰属対象装置（無線中継装置２２）の制御部２０３は、無線端末１０から送信されたキー識別子（第１キー識別子又は第２キー識別子）が、無線中継装置２１に格納されているキー識別子（第３キー識別子）と同一であるか否かの判定を行うと共に（ステップＳ１７）、無線送信部２０１を介してアソシエーション応答を無線端末１０に送信する（ステップＳ１８）。

また、アソシエーション応答とあわせて、制御部２０３が第１キー識別子又は第２キー識別子のいずれも第３キー識別子と一致しないと判定した場合（ステップＳ１９でＮｏの場合）、無線端末１０の帰属処理部１０２と帰属対象装置の制御部２０３は通常のユーザ認証処理（例えば、ＩＥＥＥ８０２．１Ｘ認証処理）を実施した後（ステップＳ２０）、無線端末１０との間で暗号鍵生成処理（例えば、４ウェイハンドシェイクによる暗号鍵（ＰＴＫ）の生成）を実行することで、暗号鍵（ＰＴＫ）を生成して交換する（ステップＳ２１）。具体的には、ＩＥＥＥ８０２．１Ｘ認証処理の場合、帰属対象装置が無線端末１０にＥＡＰ要求（ＥＡＰＲｅｑｕｅｓｔ）を送信して、認証処理を開始する。

一方、制御部２０３が、第１キー識別子又は第２キー識別子のいずれかが、第３キー識別子と一致すると判定した場合（ステップＳ１９でＹｅｓの場合）、無線端末１０の帰属処理部１０２と帰属対象装置の制御部２０３は、ユーザ認証処理を省略して、帰属対象装置の格納部２０２に格納されている第３キー識別子に対応する暗号生成キー及び無線端末１０の格納部１０３に格納されている第３キー識別子と一致するキー識別子に対応する暗号生成キーを用いて暗号鍵生成処理を実行することで、暗号鍵（ＰＴＫ）を生成して交換する（ステップＳ２１；暗号鍵生成ステップ）。

上述のように判定要求を受信した帰属対象装置から第１キー識別子及び第２キー識別子のいずれも第３キー識別子と一致しないとの通知を受信した場合には（ステップＳ１９でＮｏの場合）、帰属対象装置との間で第３キー識別子に対応する暗号生成キー（第３暗号生成キー）を用いて、無線端末１０は帰属対象装置との間で暗号鍵を生成して交換する。その後、無線端末１０の更新処理部１０８は、第３キー識別子（帰属対象装置のキー識別子）に対応する暗号生成キー（第３暗号生成キー）に対して、帰属対象装置の装置識別子と、第３キー識別子とを対応付けるように暗号鍵テーブルを更新する（ステップＳ２２；暗号鍵テーブル更新ステップ）。すなわち、図５の例において帰属対象装置が無線中継装置２４である場合には、新たに無線中継装置２４に対応する装置識別子、キー識別子、暗号生成キー及び帰属履歴情報が追加される。

なお、判定要求を受信した帰属対象装置から第１キー識別子又は第２キー識別子のいずれかが第３キー識別子と一致するとの通知を受信した場合に、無線端末１０の更新処理部１０８は、暗号鍵テーブルを更新する処理を実行しない（ステップＳ２２；暗号鍵テーブル更新ステップ）。

ステップＳ２２の暗号鍵テーブル更新処理の後、無線端末１０の帰属処理部１０２は、ＤＨＣＰ処理及びＳＩＰ登録処理のプロトコル制御処理を実行し（Ｓ２３）、帰属対象装置への帰属処理を終了する。

このような処理により、無線端末１０が帰属先を無線中継装置２１から帰属対象装置（無線中継装置２２）に変更する。

以上説明した本実施形態に係る無線端末及び無線通信方法の作用及び効果について説明する。

本実施形態に係る無線端末１０によれば、格納部１０３の暗号鍵テーブルを参照することで、暗号生成キーを識別するためのキー識別子として、所定条件を満たす装置識別子に対応する第１暗号生成キーを識別するための識別子と、帰属対象装置（例えば、無線中継装置２２）の装置識別子に対応する第２暗号生成キーを識別するための識別子という２つの識別子を帰属対象装置に送信することができる。そして、２つの識別子のいずれかが帰属対象装置に格納されているキー識別子と一致する場合には、帰属対象装置の格納部２０２に格納されているキー識別子に対応する暗号生成キー及び無線端末１０の格納部１０３に格納されている当該キー識別子と一致するキー識別子に対応する暗号生成キーを用いて暗号鍵を生成する。したがって、対応するキー識別子等のデータが暗号鍵テーブルに格納されている場合、帰属対象装置で採用されている暗号鍵に関するデータ保持方式（ＰＭＫＳＡキャッシュ方式）に関わらず、ユーザ認証処理の一部（具体的には、ＩＥＥＥ８０１．１Ｘ認証処理）を省略してローミングを行うことができる。これにより、無線中継装置のデータ保持方式をユーザが意識することなく、ローミングの高速化を実現することができる。

また、無線端末１０は、暗号鍵テーブルにおいて、暗号生成キーに対する装置識別子と、キー識別子との対応付けを更新する更新処理部１０８を備えており、帰属処理部１０２は、判定要求を受信した帰属対象装置から第１キー識別子及び第２キー識別子のいずれも第３キー識別子と一致しないとの通知を受信した場合に、帰属対象装置との間で第３キー識別子に対応する暗号生成キーを用いて、帰属対象装置との間で暗号鍵を生成して交換し、更新処理部１０８は、第３キー識別子に対応する暗号生成キーに対して、帰属対象装置の装置識別子と、第３キー識別子とを対応付けるように暗号鍵テーブルを更新するように構成されている。このように構成することで、第１キー識別子及び第２キー識別子のいずれも第３キー識別子と一致しない場合であっても、２回目以降に同じ帰属対象装置に帰属する時には更新された暗号鍵テーブルを参照することで、キー識別子が一致する可能性が向上するため、さらにローミングの高速化を図ることができる。

また、無線端末１０において、格納部１０３に格納されている暗号鍵テーブルにおいて、暗号生成キーに対して、現在又は以前における無線中継装置との帰属状態を示す帰属履歴情報が更に対応付けられており、検索処理部１０４は、直前に帰属していたことを所定条件として、当該所定条件を満たす無線中継装置の装置識別子を検索するように構成してもよい。このように構成することで、特にオポーチュニスティック・キャッシュ方式に対応している無線中継装置間で無線端末が帰属対象を変更する場合に、認証処理の一部を省略してローミングを高速化することができる。

また、本実施形態に係る無線通信方法も、上述した本実施形態に係る無線端末と対応する技術的特徴を有し、同様の作用及び効果を奏する。

なお、本発明は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変更が可能であることは勿論である。

例えば、無線端末１０で実行される検索・出力処理において、検索処理部１０４（第１検索手段）は、暗号鍵テーブルにおいて暗号生成キーが設定されていることを所定条件として、当該所定条件を満たす無線中継装置の装置識別子を検索し、出力処理部１０５（第１出力手段）は、検索処理部１０４によって発見された複数の装置識別子それぞれについて、第１キー識別子を出力するように構成してもよい。なお、この変形例では、複数種類の第１キー識別子（図５の例の場合、無線中継装置２１，２２，２３のキー識別子）が出力されることとなる。

図１４のフローチャートを用いて、この検索・出力処理の変形例を詳説する。

まず、無線端末１０は、キー識別子の検索・出力処理を開始すると、無線端末１０の格納部１０３に格納されている暗号鍵テーブルを参照することで、検索処理部１０４は暗号生成キーが設定されているすべての無線中継装置の装置識別子を検索し（ステップＳ２０１）、暗号生成キー設定済であって、キー識別子が未出力の装置識別子の有無を判定する（ステップＳ２０２）。この判定は、暗号生成キーが設定されている無線中継装置の数と後述するキー識別子の出力数とが一致するか否かで実行することができる。

キー識別子が未出力の装置識別子がない場合（ステップＳ２０２でＮｏの場合）、格納部１０３に格納されているすべての暗号生成キーについてキー識別子の設定準備が完了したことを示す検索結果を出力ことで（ステップＳ２０６）、検索・出力処理を終了してメイン処理に戻る。

一方、キー識別子が未出力の装置識別子がある場合（ステップＳ２０２でＹｅｓの場合）、未出力の装置識別子に対応する暗号生成キーよりキー識別子を出力する（ステップＳ２０３）と共に、キー識別子の出力数のカウントを１つ加える。次に、出力したキー識別子がすでに出力されている他のキー識別子と同一であるか否かを判定する（ステップＳ２０４）。出力したキー識別子がすでに出力されている他のキー識別子と同一である場合には（ステップＳ２０４でＹｅｓの場合）、ステップＳ２０１に戻り、処理を続行する。一方、出力したキー識別子がすでに出力されている他のキー識別子と同一ではない場合には（ステップＳ２０４でＮｏの場合）、出力処理部１０５が出力したキー識別子を格納した後（ステップＳ２０５）、ステップＳ２０１に戻って処理を続行する。

このように構成することで、ローカル・キャッシュ方式又はオポーチュニスティック・キャッシュ方式に関わりなく、暗号生成キーに対して装置識別子が対応付けられている無線中継装置を帰属対象装置にする場合に、認証処理の一部を省略してローミングを高速化することができる。

本発明の実施形態に係る無線端末及び無線通信方法が適用される通信ネットワークシステムの構成例（オポーチュニスティック・キャッシュ方式の例）を示す概念図である。本発明の実施形態に係る無線端末及び無線通信方法が適用される通信ネットワークシステムの構成例（ローカル・キャッシュ方式の例）を示す概念図である。通信ネットワークシステムを構成する無線端末の機能ブロック図である。通信ネットワークシステムを構成する無線端末についてハードウェアの構成例を示す図である。暗号鍵テーブルの例を示す図である。通信ネットワークシステムを構成する無線中継装置の機能ブロック図である。通信ネットワークシステムを構成する無線中継装置についてハードウェアの構成例を示す図である。通信ネットワークシステムを構成する中継制御装置の機能ブロック図である。通信ネットワークシステムを構成する中継制御装置についてハードウェアの構成例を示す図である。通信ネットワークシステムを構成する認証サーバの機能ブロック図である。通信ネットワークシステムを構成する認証サーバについてハードウェアの構成例を示す図である。無線端末と帰属対象装置との間におけるメイン処理を示すフローチャートである。無線端末におけるキー識別子の検索・出力処理を示すフローチャートである。無線端末におけるキー識別子の検索・出力処理の変形例を示すフローチャートである。

符号の説明

１，１Ａ…通信ネットワークシステム、１０…無線端末、２１，２２，２３，２４…無線中継装置、３０…中継制御装置、４０…認証サーバ、１０１…無線受信部、１０２…帰属処理部、１０３…格納部、１０４…検索処理部、１０５…出力処理部、１０６…判定要求生成部、１０７…無線送信部、１０８…更新処理部、２０１…無線送信部、２０２…格納部、２０３…制御部、２０４…無線受信部、２０５…外部インターフェース、３０１…送信部、３０２…格納部、３０３…制御部、３０４…受信部、４０１…送信部、４０２…格納部、４０３…制御部、４０４…受信部、Ｎ…通信ネットワーク。

Claims

帰属先の無線中継装置と暗号通信を行うことができる無線端末であって、
暗号鍵を生成するための基となる暗号生成キーに対して、無線中継装置を識別するための識別子である装置識別子と、前記暗号生成キーを識別するためのキー識別子とを対応付けることができる暗号鍵テーブルを格納する格納手段と、
前記格納手段に格納されている前記暗号鍵テーブルを参照することで、所定条件を満たす無線中継装置の装置識別子を検索する第１検索手段と、
前記第１検索手段によって発見された装置識別子に対応する第１暗号生成キーを識別するための識別子である第１キー識別子を出力する第１出力手段と、
前記格納手段に格納されている前記暗号鍵テーブルを参照することで、これから帰属する無線中継装置である帰属対象装置の装置識別子を検索する第２検索手段と、
前記第２検索手段によって発見された装置識別子に対応する第２暗号生成キーを識別するための識別子である第２キー識別子を出力する第２出力手段と、
前記帰属対象装置に格納されている第３暗号生成キーを識別するための識別子である第３キー識別子が前記第１キー識別子又は前記第２キー識別子と一致するか否かについて判定を要求するために、前記第１出力手段から出力された前記第１キー識別子と前記第２出力手段から出力された前記第２キー識別子とを含む判定要求を前記帰属対象装置に送信する判定要求手段と、
前記判定要求を受信した前記帰属対象装置から前記第１キー識別子又は前記第２キー識別子が前記第３キー識別子と一致するとの通知を受信した場合に、前記第３キー識別子と一致する識別子であって、前記判定要求手段が前記判定要求を送信する前に前記格納手段に格納されていた第１キー識別子又は第２キー識別子である該当キー識別子に対応する暗号生成キーを用いて、前記帰属対象装置との間で暗号鍵を生成して交換する暗号鍵生成手段と
を備えることを特徴する無線端末。
前記格納手段に格納されている暗号鍵テーブルにおいて、前記暗号生成キーに対して、現在又は以前における無線中継装置との帰属状態を示す帰属履歴情報が更に対応付けられており、
前記第１検索手段は、直前に帰属していたことを前記所定条件として、当該所定条件を満たす無線中継装置の装置識別子を検索することを特徴とする請求項１に記載の無線端末。
前記暗号鍵テーブルにおいて、前記暗号生成キーに対する前記装置識別子と、前記キー識別子との対応付けを更新するテーブル更新手段を更に備え、
前記暗号鍵生成手段は、前記判定要求を受信した前記帰属対象装置から前記第１キー識別子及び前記第２キー識別子のいずれも前記第３キー識別子と一致しないとの通知を受信した場合に、前記帰属対象装置との間で前記第３キー識別子に対応する暗号生成キーを用いて、前記帰属対象装置との間で暗号鍵を生成して交換し、
前記テーブル更新手段は、前記第３キー識別子に対応する暗号生成キーに対して、前記帰属対象装置の装置識別子と、前記第３キー識別子とを対応付けるように前記暗号鍵テーブルを更新することを特徴とする請求項１又は２に記載の無線端末。
前記第１検索手段は、前記暗号鍵テーブルにおいて前記暗号生成キーが設定されていることを前記所定条件として、当該所定条件を満たす無線中継装置の装置識別子を検索し、
前記第１出力手段は、前記第１検索手段によって発見された複数の装置識別子それぞれについて、前記第１キー識別子を出力することを特徴とする請求項１から請求項３のいずれかに記載の無線端末。
無線端末が帰属先の無線中継装置との間で暗号通信を行うための無線通信方法であって、
暗号鍵を生成するための基となる暗号生成キーに対して、無線中継装置を識別するための識別子である装置識別子と、前記暗号生成キーを識別するためのキー識別子とを対応付けることができる暗号鍵テーブルを格納する格納手段に格納されている前記暗号鍵テーブルを参照することで、所定条件を満たす無線中継装置の装置識別子を検索する第１検索ステップと、
前記第１検索ステップで発見された装置識別子に対応する第１暗号生成キーを識別するための識別子である第１キー識別子を出力する第１出力ステップと、
前記格納手段に格納されている前記暗号鍵テーブルを参照することで、これから帰属する無線中継装置である帰属対象装置の装置識別子を検索する第２検索ステップと、
前記第２検索ステップで発見された装置識別子に対応する第２暗号生成キーを識別するための識別子である第２キー識別子を出力する第２出力ステップと、
前記帰属対象装置に格納されている第３暗号生成キーを識別するための識別子である第３キー識別子が前記第１キー識別子又は前記第２キー識別子と一致するか否かについて判定を要求するために、前記第１出力手段から出力された前記第１キー識別子と前記第２出力手段から出力された前記第２キー識別子とを含む判定要求を前記帰属対象装置に送信する判定要求ステップと、
前記判定要求を受信した前記帰属対象装置から前記第１キー識別子又は前記第２キー識別子が前記第３キー識別子と一致するとの通知を受信した場合に、前記第３キー識別子と一致する識別子であって、前記判定要求ステップで前記判定要求を送信する前に前記格納手段に格納されていた第１キー識別子又は第２キー識別子である該当キー識別子に対応する暗号生成キーを用いて、前記帰属対象装置との間で暗号鍵を生成して交換する暗号鍵生成ステップと
を備えることを特徴する無線通信方法。