JP4142014B2 - ユーザ特定システム、ユーザ特定装置、ユーザ特定方法、アドレス変換装置、及びプログラム - Google Patents

Description

本発明は、ユーザ特定システム、ユーザ特定装置、ユーザ特定方法、アドレス変換装置、及びプログラムに関する。特に本発明は、アドレス体系の異なる２つのネットワークを介して通信を行ったユーザ端末のユーザを特定するためのユーザ特定システム、ユーザ特定装置、ユーザ特定方法、アドレス変換装置、及びプログラムに関する。また本出願は、下記の日本特許出願に関連する。文献の参照による組み込みが認められる指定国については、下記の出願に記載された内容を参照により本出願に組み込み、本出願の記載の一部とする。
ＰＣＴ／ＪＰ０２／１２７９５ 出願日 ２００２年１２月５日

近年のインターネットの急速な膨張に伴い、ホームページや電子掲示板における名誉毀損、著作権侵害、プライバシー侵害等の不法行為等の問題が数多く指摘されるようになっている。そのため、近時、「特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律」が施行された。この法律は、特定電気通信による情報の流通によって権利の侵害があった場合について、特定電気通信役務提供者（プロバイダ、サーバの管理者等）の損害賠償責任の制限及び発信者情報の開示を請求する権利について定め、特定電気通信による情報の流通により自己の権利を侵害されたとする者が、関係するプロバイダ等に対し、当該プロバイダ等が保有する発信者の情報の開示を請求できる規定を設けている。そのため、プロバイダは、発信者の情報の開示の請求に対応するため、自己の権利を侵害されたとする者から提供された情報、例えば発信者のＩＰアドレスに基づいて発信者を特定できることが望ましい。
しかしながら、複数のユーザが同一のＩＰアドレスを用いてインターネット上で通信を行う、インターネットマンション等のサービスを提供するプロバイダでは、発信者のＩＰアドレスに基づいてユーザを特定することが困難であり、発信者の情報の開示の請求に迅速に対応することができないという問題がある。
そこで本発明は、上記の課題を解決することのできるユーザ特定システム、ユーザ特定装置、ユーザ特定方法、アドレス変換装置、及びプログラムを提供することを目的とする。この目的は請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本発明の更なる有利な具体例を規定する。

このような目的を達成するために、本発明の第１の形態によれば、第１アドレス体系の第１ネットワークに配置され、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定システムであって、ユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置と、第１格納装置及び第２格納装置が格納する通信情報に基づいて、第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定装置とを備える。
ユーザ特定装置は、第１格納装置が格納する端末識別情報と第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得部と、第２格納装置が格納する第１アドレスと第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得部と、指定された第２アドレスに対応づけられた第１アドレスを第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた端末識別情報を第１通信情報に基づいて検出するユーザ端末検出部とを有する。
第１格納装置は、端末識別情報であるＭＡＣアドレスに対して第１アドレスであるプライベートＩＰアドレスを割り当てるＤＨＣＰサーバであり、ＭＡＣアドレスに対してプライベートＩＰアドレスを割り当てた場合に、ユーザ特定装置に対して第１通信情報を送信してもよい。
第１格納装置は、端末識別情報であるＭＡＣアドレスと当該ＭＡＣアドレスに対して割り当てられた第１アドレスであるプライベートＩＰアドレスとを対応づけて格納するＡＲＰテーブルを有するＡＲＰサーバであり、ユーザ端末からＡＲＰリクエストを受信した場合に、ユーザ特定装置に対して第１通信情報を送信してもよい。
第２格納装置は、第１ネットワークと第２ネットワークとを接続し、第１アドレスであるプライベートＩＰアドレスに対して第２アドレスであるグローバルＩＰアドレスを割り当てるアドレス変換サーバであり、プライベートＩＰアドレスに対してグローバルＩＰアドレスを割り当てた場合に、ユーザ特定装置に対して第２通信情報を送信してもよい。
第１ネットワークに配置され、複数のユーザ端末がそれぞれ接続された複数の物理ポートを有し、物理ポートと当該物理ポートに接続されたユーザ端末の端末識別情報とを対応づけて格納する第３格納装置をさらに備え、ユーザ特定装置は、第３格納装置が格納する物理ポートと端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部をさらに有し、ユーザ端末検出部は、指定された第２アドレスに対応づけられた第１アドレスを第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた端末識別情報を第１通信情報に基づいて検出し、当該端末識別情報に対応づけられた物理ポートを第３通信情報に基づいて検出してもよい。
第３格納装置は、物理ポートと端末識別情報であるＭＡＣアドレスとを対応づけて格納するフォワーディングデータベースであり、フォワーディングデータベースを更新した場合に、ユーザ特定装置に対して第３通信情報を送信してもよい。
ユーザ端末が接続された中継機器の物理ポートに割り当てられたＶＬＡＮを識別するＶＬＡＮ識別情報と、当該物理ポートに接続されたユーザ端末の端末識別情報とを対応づけて格納する第３格納装置をさらに備え、ユーザ特定装置は、第３格納装置が格納するＶＬＡＮ識別情報と端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部をさらに有し、ユーザ端末検出部は、指定された第２アドレスに対応づけられた第１アドレスを第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた端末識別情報を第１通信情報に基づいて検出し、当該端末識別情報に対応づけられたＶＬＡＮ識別情報を第３通信情報に基づいて検出してもよい。
また、本発明の第２の形態によれば、第１アドレス体系の第１ネットワークに配置され、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定システムであって、ユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた第１アドレス体系の第１アドレスとを対応づけて格納する第１通信情報格納部、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２通信情報格納部、及び第１通信情報格納部が格納する端末識別情報と第１アドレスとが対応づけられた第１通信情報、及び第２通信情報格納部が格納する第１アドレスと第２アドレスとが対応づけられた第２通信情報に基づいて、端末識別情報と第２アドレスとが対応づけられたユーザ特定情報を生成するユーザ特定情報生成部を有する中継機器と、第１ネットワークに配置され、複数のユーザ端末がそれぞれ接続された複数の物理ポートを有し、物理ポートと当該物理ポートに接続されたユーザ端末の端末識別情報とを対応づけて格納する第３格納装置と、第３格納装置が格納する通信情報、及び中継機器が生成したユーザ特定情報に基づいて、第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定装置とを備える。
ユーザ特定装置は、第３格納装置が格納する物理ポートと端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部と、中継機器が格納する端末識別情報と第２アドレスとが対応づけられたユーザ特定情報を取得する第４通信情報取得部と、指定された第２アドレスに対応づけられた端末識別情報をユーザ特定情報に基づいて検出し、当該端末識別情報に対応づけられた物理ポートを第３通信情報に基づいて検出するユーザ端末検出部とを有する。
また、本発明の第３の形態によれば、第１アドレス体系の第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置とを備えるユーザ特定システムの、第１格納装置及び第２格納装置が格納する通信情報に基づいて、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定装置であって、第１格納装置が格納する端末識別情報と第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得部と、第２格納装置が格納する第１アドレスと第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得部と、指定された第２アドレスに対応づけられた第１アドレスを第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた端末識別情報を第１通信情報に基づいて検出するユーザ端末検出部とを備える。
第２通信情報取得部は、第１アドレス及び第２アドレスに、当該第２アドレスを送信元アドレスとするパケットの宛先アドレスが対応づけられた、第２格納装置が格納する第２通信情報を取得し、ユーザ端末検出部は、指定された第２アドレス及び宛先アドレスに基づいて第１アドレスを検出してもよい。
第１通信情報及び第２通信情報に対応づけて、第１通信情報及び第２通信情報を取得した時刻をそれぞれ格納する通信情報格納部をさらに備え、ユーザ端末検出部は、通信情報格納部が格納する時刻を参照して、指定された第２アドレスに対応づけられた第１アドレスを検出し、当該第１アドレスに対応づけられた端末識別情報を検出してもよい。
また、本発明の第４の形態によれば、第１アドレス体系の第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置とを備えるユーザ特定システムの、第１格納装置及び第２格納装置が格納する通信情報に基づいて、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定方法であって、第１格納装置が格納する端末識別情報と第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得段階と、第２格納装置が格納する第１アドレスと第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得段階と、指定された第２アドレスに対応づけられた第１アドレスを第３通信情報に基づいて検出し、当該第１アドレスに対応づけられた端末識別情報を第２通信情報に基づいて検出するユーザ端末検出段階とを備える。
また、本発明の第５の形態によれば、第１アドレス体系の第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置とを備えるユーザ特定システムの、第１格納装置及び第２格納装置が格納する通信情報に基づいて、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定装置用のプログラムであって、ユーザ特定装置を、第１格納装置が格納する端末識別情報と第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得部、第２格納装置が格納する第１アドレスと第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得部、指定された第２アドレスに対応づけられた第１アドレスを第３通信情報に基づいて検出し、当該第１アドレスに対応づけられた端末識別情報を第２通信情報に基づいて検出するユーザ端末検出部として機能させる。
また、本発明の第５の形態によれば、第１アドレス体系の第１ネットワークに配置され、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定システムであって、第１アドレス体系の第１アドレスと第２アドレス体系の第２アドレスとを相互に変換して、第１ネットワークと第２ネットワークとの間で通信を中継するアドレス変換装置と、アドレス変換装置が生成するユーザ特定情報に基づいて、第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定装置とを備える。
アドレス変換装置は、ユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた第１アドレス体系の第１アドレスとが対応づけられた第１通信情報を格納する第１通信情報格納部と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとが対応づけられた第２通信情報を格納する第２通信情報格納部と、第１通信情報及び第２通信情報に基づいて、第２アドレスと当該第２アドレスを用いて第２ネットワークにおける通信を行ったユーザ端末の端末識別情報とが対応づけられたユーザ特定情報を生成するユーザ特定情報生成部とを有する。
第１ネットワークに配置され、複数のユーザ端末がそれぞれ接続された複数の物理ポートを有し、物理ポートと当該物理ポートに接続されたユーザ端末の端末識別情報とを対応づけて格納する第３格納装置をさらに備え、アドレス変換装置は、第３格納装置が格納する物理ポートと当該物理ポートに接続されたユーザ端末の端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部をさらに有し、ユーザ特定情報生成部は、第１通信情報、第２通信情報、及び第３通信情報に基づいて、第２アドレスと当該第２アドレスを用いて第２ネットワークにおける通信を行ったユーザ端末が接続された物理ポートとが対応づけられたユーザ特定情報を生成してもよい。
また、本発明の第６の形態によれば、第１アドレス体系の第１アドレスと第２アドレス体系の第２アドレスとを相互に変換して、第１アドレス体系の第１ネットワークと第２アドレス体系の第２ネットワークとの間で通信を中継するアドレス変換装置であって、第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた第１アドレスとが対応づけられた第１通信情報を格納する第１通信情報格納部と、第１アドレスに対して第２アドレスを割り当てるアドレス変換部と、第１アドレスと当該第１アドレスに対して割り当てられたの第２アドレスとが対応づけられた第２通信情報を格納する第２通信情報格納部と、第１通信情報及び第２通信情報に基づいて、第２アドレスと当該第２アドレスを用いて第２ネットワークにおける通信を行ったユーザ端末の端末識別情報とが対応づけられたユーザ特定情報を生成するユーザ特定情報生成部とを備える。
なお上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションも又発明となりうる。

図１は、第１実施形態に係るユーザ特定システム１０のシステム構成の一例を示す。
図２は、第１実施形態に係るユーザ特定装置２２のブロック構成の一例を示す。
図３は、第１実施形態に係る通信情報格納部１０８のデータ構成の一例を示す。
図４は、第１実施形態に係るユーザ特定システム１０のユーザ特定方法の一例を示す。
図５は、第１実施形態に係るユーザ特定装置２２のハードウェア構成の一例を示す。
図６は、第２実施形態に係るユーザ特定システム３０の構成の一例を示す。
図７は、第２実施形態に係るルータ３２ａのブロック構成の一例を示す。
図８は、第２実施形態に係るユーザ特定装置３４のブロック構成の一例を示す。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は請求の範囲に係る発明を限定するものではなく、又実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
（第１実施形態）
図１は、本発明の第１実施形態に係るユーザ特定システム１０のシステム構成の一例を示す。ユーザ特定システム１０は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１２ａ又は１２ｂに配置され、複数のユーザ端末１４ａ〜１４ｌがそれぞれ接続されたインテリジェントハブ１６ａ〜１６ｄと、ＬＡＮ１２ａ及び１２ｂとインターネット１８とを接続するルータ２０ａ及び２０ｂと、インターネット１８における通信を行ったユーザ端末のユーザ特定するユーザ特定装置２２とを備える。なお、ＬＡＮ１２ａ及び１２ｂは、本発明の第１アドレス体系の第１ネットワークの一例であり、インターネット１８は、本発明の第２アドレス体系の第２ネットワークの一例である。また、ＬＡＮ１２ａ及び１２ｂは、例えばインターネットマンション等の集合建築物内に構築され、インテリジェントハブ１６ａ〜１６ｄのＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）機能により、ユーザ端末間の通信が制限されている。なお、プライベートＩＰアドレスは、本発明の第１アドレス体系の第１アドレスの一例であり、グローバルＩＰアドレスは、本発明の第２アドレス体系の第２アドレスの一例である。また、本発明の第２アドレス体系の第２アドレスは、グローバルＩＰアドレス及びポート番号を含んでもよい。
ルータ２０ａ及び２０ｂは、本発明の第１格納装置の一例であり、複数のユーザ端末の端末識別情報であるＭＡＣアドレスと、当該ＭＡＣアドレスに対して割り当てられたプライベートＩＰアドレスとを対応づけて格納する。ルータ２０ａ及び２０ｂは、ＤＨＣＰサーバを有し、ユーザ端末のＭＡＣアドレスに対して、プライベートＩＰアドレスの割り当て及び解放を行う。そして、ルータ２０ａ及び２０ｂは、ＭＡＣアドレスとプライベートＩＰアドレスとを対応づけて、第１通信情報としてユーザ特定装置２２に送信する。ルータ２０ａ及び２０ｂは、例えばＭＡＣアドレスに対してプライベートＩＰアドレスを割り当てた場合に第１通信情報をユーザ特定装置２２に送信する。また、ルータ２０ａ及び２０ｂは、例えばプライベートＩＰアドレスを解放した場合に第１通信情報をユーザ特定装置２２に送信してもよい。
また、ルータ２０ａ及び２０ｂは、ユーザ端末のＭＡＣアドレスと、当該ＭＡＣアドレスに対して割り当てられたプライベートＩＰアドレスとを対応づけて格納するＡＲＰテーブルを含むＡＲＰサーバを有する。そして、ルータ２０ａ及び２０ｂは、ＭＡＣアドレスとプライベートＩＰアドレスとを対応づけて、第１通信情報としてユーザ特定装置２２に送信する。ルータ２０ａ及び２０ｂは、例えばユーザ端末からＡＲＰリクエストを受信した場合に第１通信情報をユーザ特定装置２２に送信する。また、ルータ２０ａ及び２０ｂは、例えばユーザ端末にＡＲＰリプライを返信した場合に第１通信情報をユーザ特定装置２２に送信してもよい。また、ルータ２０ａ及び２０ｂは、例えばＳｙｓｌｏｇ Ｍｅｓｓａｇｅを用いて第１通信情報を送信してもよいし、ＳＮＭＰのＴｒａｐを用いて第１通信情報を送信してもよい。
また、ルータ２０ａ及び２０ｂは、本発明の第２格納装置の一例であり、ユーザ端末に割り当てられたプライベートＩＰアドレスと、当該プライベートＩＰアドレスに割り当てられたグローバルＩＰアドレスを格納する。ルータ２０ａ及び２０ｂは、プライベートＩＰアドレスに対してグローバルＩＰアドレスを割り当てるアドレス変換装置を有し、受信したパケットのプライベートＩＰアドレスとグローバルＩＰアドレスとを相互に変換して、ＬＡＮ１２ａ又は１２ｂとインターネット１８との間で通信を中継する。そして、ルータ２０ａ及び２０ｂは、格納するプライベートＩＰアドレスとグローバルＩＰアドレスとを対応づけて、第２通信情報としてユーザ特定装置２２に送信する。ルータ２０ａ及び２０ｂは、例えばプライベートＩＰアドレスに対してグローバルＩＰアドレスを割り当てた場合に第２通信情報をユーザ特定装置２２に送信する。また、ルータ２０ａ及び２０ｂは、例えばＳｙｓｌｏｇ Ｍｅｓｓａｇｅを用いて第２通信情報を送信してもよいし、ＳＮＭＰのＴｒａｐを用いて第２通信情報を送信してもよい。
また、ルータ２０ａ及び２０ｂは、例えばグローバルＩＰアドレスを解放した場合に第２通信情報をユーザ特定装置２２に送信してもよい。また、ルータ２０ａ及び２０ｂは、ＩＰマスカレード機能を有する場合、ユーザ端末に割り当てられたプライベートＩＰアドレスと、当該プライベートＩＰアドレスに割り当てられたグローバルＩＰアドレス及びポート番号を格納し、プライベートＩＰアドレスとグローバルＩＰアドレス及びポート番号と対応づけて、第２通信情報としてユーザ特定装置２２に送信してもよい。
また、ルータ２０ａ及び２０ｂは、プライベートＩＰアドレス及びグローバルＩＰアドレスに、当該グローバルＩＰアドレスを送信元アドレスとするパケットの宛先アドレスをさらに対応づけて、第２通信情報としてユーザ特定装置２２に送信してもよい。ルータ２０ａ及び２０ｂは、例えばユーザ端末とインターネット１８との通信を中継する場合に第２通信情報をユーザ特定装置２２に送信してもよい。
インテリジェントハブ１６ａ〜１６ｄは、本発明の第３格納装置及び中継器器の一例であり、複数のユーザ端末１４ａ〜１４ｌがそれぞれ接続された複数の物理ポートを有する。また、インテリジェントハブ１６ａ及び１６ｄは、物理ポートと、当該物理ポートに接続されたユーザ端末のＭＡＣアドレスとを対応づけて格納するフォワーディングデータベースを有する。そして、インテリジェントハブ１６ａ〜１６ｄは、フォワーディングデータベースが格納する物理ポートとＭＡＣアドレスとを対応づけて、第３通信情報としてユーザ特定装置２２に送信する。さらに、インテリジェントハブ１６ａ〜１６ｄは、物理ポート及びＭＡＣアドレスに、当該インテリジェントハブの機器識別情報をさらに対応づけて、第３通信情報としてユーザ特定装置２２に送信してもよい。
インテリジェントハブ１６ａ〜１６ｄは、例えばフォワーディングデータベースを更新した場合に第３通信情報をユーザ特定装置２２に送信する。また、インテリジェントハブ１６ａ〜１６ｄは、例えばフォワーディングデータベースからＭＡＣアドレスを消去した場合に第３通信情報をユーザ特定装置２２に送信してもよい。また、インテリジェントハブ１６ａ〜１６ｄは、例えばＳｙｓｌｏｇ Ｍｅｓｓａｇｅを用いて第３通信情報を送信してもよいし、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）のＴｒａｐを用いて第３通信情報を送信してもよい。
また、インテリジェントハブ１６ａ〜１６ｄの複数の物理ポートに対して複数のＶＬＡＮがそれぞれ割り当てられている場合には、インテリジェントハブ１６ａ〜１６ｄは、物理ポートに割り当てられたＶＬＡＮを識別するＶＬＡＮ識別情報と、当該物理ポートに接続されたユーザ端末のＭＡＣアドレスとを対応づけて格納しており、ＶＬＡＮ識別情報とＭＡＣアドレスとを対応づけて、第３通信情報としてユーザ特定装置２２に送信してもよい。また、他の例においては、ＬＡＮ１２ａ若しくは１２ｂ又はインターネット１８に設けられた、本発明の第３格納装置の一例であるＲＡＤＩＵＳサーバ等の管理装置が、インテリジェントハブ１６ａ〜１６ｄの複数の物理ポートに割り当てられたＶＬＡＮを識別するＶＬＡＮ識別情報と、当該物理ポートに接続されたユーザ端末のＭＡＣアドレスとを対応づけて格納しており、ＶＬＡＮ識別情報とＭＡＣアドレスとを対応づけて、第３通信情報としてユーザ特定装置２２に送信してもよい。
ユーザ特定装置２２は、ルータ２０ａ及び２０ｂが格納する第１通信情報及び第２通信情報に基づいて、インターネット１８における通信を行ったユーザ端末のＭＡＣアドレスを検出し、当該ＭＡＣアドレスに基づいてユーザ端末のユーザを特定する。また、ユーザ特定装置２２は、ルータ２０ａ及び２０ｂが格納する第１通信情報及び第２通信情報、並びにインテリジェントハブ１６ａ〜１６ｄが格納する第３通信情報に基づいて、インターネット１８における通信を行ったユーザ端末が接続されるインテリジェントハブ１６ａ〜１６ｄの物理ポート又はＶＬＡＮ識別情報を検出し、当該物理ポート又は当該ＶＬＡＮ識別情報に基づいてユーザ端末のユーザを特定してもよい。なお、ユーザ特定装置２２は、図１に示すようにインターネット１８上に配置されてもよいし、またＬＡＮ１２ａ又は１２ｂ内に配置されてもよい。
ルータ２０ａ及び２０ｂは、ユーザ端末１４ａ〜１４ｌから受信したパケットの送信元ＩＰアドレスを、ユーザ端末１４ａ〜１４ｌに割り当てられたプライベートＩＰアドレスから、ルータ２０ａ又は２０ｂに割り当てられたグローバルＩＰアドレスに変換してインターネット１８に送信する。そのため、ルータ２０ａ又はルータ２０ｂからインターネット１８に送信されたパケットの送信元ＩＰアドレスから、ユーザ端末１４ａ〜１４ｌを特定することがでない。しかしながら、このような場合において、ユーザ特定システム１０は、インターネット１８における通信を行ったユーザ端末のユーザを特定することを可能にする。
図２は、第１実施形態に係るユーザ特定装置２２のブロック構成の一例を示す。ユーザ特定装置２２は、インターネット１８に対してデータの送受信を行う送受信部１００と、ルータ２０ａ及び２０ｂが格納するＭＡＣアドレスとプライベートＩＰアドレスとが対応づけられた第１通信情報を送受信部１００を介して取得する第１通信情報取得部１０２と、ルータ２０ａ及び２０ｂが格納するプライベートＩＰアドレスとグローバルＩＰアドレスとが対応づけられた第２通信情報を送受信部１００を介して取得する第２通信情報取得部１０４と、インテリジェントハブ１６ａ〜１６ｄが格納する物理ポート又はＶＬＡＮ識別情報とＭＡＣアドレスと機器識別情報とが対応づけられた第３通信情報を送受信部１００を介して取得する第３通信情報取得部１０６と、第１通信情報、第２通信情報、及び第３通信情報を格納する通信情報格納部１０８と、管理者によって指定されたグローバルＩＰアドレスを用いてインターネット１８における通信を行ったユーザ端末のＭＡＣアドレス、又は当該ユーザ端末が接続された物理ポートを検出するユーザ端末検出部１１０とを備える。
なお、第１通信情報取得部１０２、第２通信情報取得部１０４、及び第３通信情報取得部１０６のそれぞれは、ルータ２０ａ若しくは及び２０ｂ又はインテリジェントハブ１６ａ〜１６ｄが送信する第１通信情報、第２通信情報、及び第３通信情報のそれぞれを受動的に取得してもよいし、送信要求パケットを送ることによって能動的にルータ２０ａ若しくは及び２０ｂ又はインテリジェントハブ１６ａ〜１６ｄから第１通信情報、第２通信情報、及び第３通信情報のそれぞれを取得してもよい。
ユーザ端末検出部１１０は、通信情報格納部１０８が格納する通信情報を参照して、管理者によって指定されたグローバルＩＰアドレスに対応づけられたプライベートＩＰアドレスを第２通信情報に基づいて検出し、当該プライベートＩＰアドレスに対応づけられたＭＡＣアドレスを第１通信情報に基づいて検出する。また、ユーザ端末検出部１１０は、管理者によって指定されたグローバルＩＰアドレスに対応づけられたプライベートＩＰアドレスを第２通信情報に基づいて検出し、当該プライベートＩＰアドレスに対応づけられたＭＡＣアドレスを第１通信情報に基づいて検出し、当該ＭＡＣアドレスに対応づけられた機器識別情報、及び物理ポート又はＶＬＡＮ識別情報を第３通信情報に基づいて検出してもよい。そして、ユーザ特定装置２２は、ユーザ端末検出部１１０によって検出されたＭＡＣアドレスを有するユーザ端末、ユーザ端末検出部１１０によって検出された物理ポートを介して通信を行うユーザ端末、又はユーザ端末検出部１１０によって検出されたＶＬＡＮ識別情報で識別されるＶＬＡＮに属するユーザ端末のユーザを特定する。
図３は、第１実施形態に係る通信情報格納部１０８のデータ構成の一例を示す。通信情報格納部１０８は、第１通信情報、第２通信情報、及び第３通信情報に対応づけて、第１通信情報、第２通信情報、及び第３通信情報をインテリジェントハブ１６ａ〜１６ｄ又はルータ２０ａ若しくは２０ｂから取得した時刻を格納する。
第１行（Ｌ１）は、第３通信情報取得部１０６がインテリジェントハブのフォワーディングデータベース（ＦＤＢ）から取得した第３通信情報である。通信情報格納部１０８は、時刻「２００３ Ｓｅｐ １ ２３：５０：２３」と、ルータのグローバルＩＰアドレス「２１８．４７．６２．ａａａ」と、インテリジェントハブの機器識別情報「Ｓｙｓｔｅｍ Ｎａｍｅ」と、物理ポート「Ｐｏｒｔ１」と、ＶＬＡＮ識別情報「Ｖ２００」と、ユーザ端末のＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」とが対応づけられた第３通信情報を格納する。
第２行（Ｌ２）及び第３行（Ｌ３）は、第１通信情報取得部１０２がルータが有するＤＨＣＰサーバから取得した第１通信情報である。通信情報格納部１０８は、第２行（Ｌ２）に示すように、時刻「２００３ Ｓｅｐ １ ２３：５０：３４」と、ルータのグローバルＩＰアドレス「２１８．４７．６２．ａａａ」と、プライベートＩＰアドレス「１９２．１６８．１．１００」と、ＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」とが対応づけられた第１通信情報を格納する。当該第１通信情報は、時刻「２００３ Ｓｅｐ １ ２３：５０：３４」にＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」に割り当てられていたプライベートＩＰアドレス「１９２．１６８．１．１００」が解放されたことを示す。また、通信情報格納部１０８は、第３行（Ｌ３）に示すように、時刻「２００３ Ｓｅｐ １ ２３：５０：３８」と、ルータのグローバルＩＰアドレス「２１８．４７．６２．ａａａ」と、プライベートＩＰアドレス「１９２．１６８．１．１００」と、ＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」とが対応づけられた第１通信情報を格納する。当該第１通信情報は、時刻「２００３ Ｓｅｐ １ ２３：５０：３４」にＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」に対してプライベートＩＰアドレス「１９２．１６８．１．１００」を割り当てたことを示す。
第４行（Ｌ４）は、第１通信情報取得部１０２がルータが有するＡＲＰテーブルから取得した第１通信情報である。通信情報格納部１０８は、時刻「２００３ Ｓｅｐ １ ２３：５０：５５」と、ルータのグローバルＩＰアドレス「２１８．４７．６２．ａａａ」と、ＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」と、プライベートＩＰアドレス「１９２．１６８．１．１００」とが対応づけられた第１通信情報を格納する。当該第１通信情報は、時刻「２００３ Ｓｅｐ １ ２３：５０：５５」にＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」とプライベートＩＰアドレス「１９２．１６８．１．１００」との組み合わせがＡＲＰテーブルに追加されたことを示す。
第５行（Ｌ５）は、第２通信情報取得部１０４がルータが有するアドレス変換装置の一例であるＦｉｒｅｗａｌｌサーバから取得した第２通信情報である。通信情報格納部１０８は、時刻「２００３ Ｓｅｐ １ ２３：５１：１２」と、ルータのグローバルＩＰアドレス「２１８．４７．６２．ａａａ」と、プライベートＩＰアドレス及びポート番号「１９２．１６８．１．１００：１０３１」と、パケットの宛先アドレスであるグローバルＩＰアドレス及びポート番号「２１０．１５３．１．ｂｂｂ：５３」とが対応づけられた第２通信情報を格納する。当該第２通信情報は、時刻「２００３ Ｓｅｐ １ ２３：５１：１２」に、プライベートＩＰアドレス「１９２．１６８．１．１００」が割り当てられたユーザ端末がグローバルＩＰアドレス「２１０．１５３．１．ｂｂｂ」の通信機器に対してＵＤＰによりパケットを送信したことを示す。第６行（Ｌ６）〜第１１行（Ｌ１１）は、第５行（Ｌ５）と同様の第２通信情報である。
例えば、管理者によってグローバルＩＰアドレス「２１８．４７．６２．ａａａ」、宛先アドレス「２１０．１５３．１．ｂｂｂ」、及び時刻が指定された場合、ユーザ端末検出部１１０は、通信情報格納部１０８が格納する時刻を参照して、グローバルＩＰアドレス「２１８．４７．６２．ａａａ」及び宛先アドレス「２１０．１５３．１．ｂｂｂ」に対応づけられたプライベートＩＰアドレス「１９２．１６８．１．１００」を第７行（Ｌ７）の第２通信情報に基づいて検出する。そして、ユーザ端末検出部１１０は、プライベートＩＰアドレス「１９２．１６８．１．１００」に対応づけられたＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」を第４行（Ｌ４）の第１通信情報に基づいて検出する。さらに、ユーザ端末検出部１１０は、ＭＡＣアドレス「００−９０−９９−４８−８５−＊＊」に対応づけられた機器識別情報「Ｓｙｓｔｅｍ Ｎａｍｅ」、及び物理ポート「Ｐｏｒｔ１」又はＶＬＡＮ識別情報「Ｖ２００」を第１行（Ｌ１）の第３通信情報に基づいて検出してもよい。
以上のように、通信情報格納部１０８が第１通信情報及び第２通信情報を時刻に対応づけて格納し、ユーザ端末検出部１１０が時刻を参照してユーザ端末のＭＡＣアドレスの検出を行うことにより、ユーザ端末のＭＡＣアドレスを正確に検出することができ、ユーザを正確に特定することができる。また、通信情報格納部１０８がさらに第３通信情報を時刻に対応づけて格納し、ユーザ端末検出部１１０が時刻を参照して物理ポート又はＶＬＡＮ識別情報の検出を行うことにより、ユーザ端末が接続された物理ポートを正確に検出することができ、ユーザを正確に特定することができる。
図４は、第１実施形態に係るユーザ特定システム１０のユーザ特定方法の一例を示す。ユーザ端末１４ａは、電源が投入されて起動すると、ＤＨＣＰ Ｒｅｑｕｅｓｔをルータ２０ａのＤＨＣＰサーバに送信する（Ｓ１００）。インテリジェントハブ１６ａは、ユーザ端末１４ａとルータ２０ａとの間でＤＨＣＰ Ｒｅｑｕｅｓｔを中継する場合に、フォワーディングデータベースを更新し、ユーザ端末１４ａが接続された物理ポートとユーザ端末１４ａのＭＡＣアドレスとが対応づけられた第３通信情報を含むＳｙｓｌｏｇ Ｍｅｓｓａｇｅ ＃１をユーザ特定装置２２に送信する（Ｓ１０２）。これにより、ユーザ特定装置２２の第３通信情報取得部１０６は、第３通信情報をインテリジェントハブ１６ａから取得する。
次に、ルータ２０ａのＤＨＣＰサーバは、ユーザ端末１４ａのＭＡＣアドレスに対してプライベートＩＰアドレスを割り当て、ＤＨＣＰ Ａｃｋをユーザ端末１４に送信する（Ｓ１０４）。そして、ルータ２０ａは、ユーザ端末１４ａのＭＡＣアドレスと、当該ＭＡＣアドレスに割り当てられたプライベートＩＰアドレスとが対応づけられた第１通信情報を含むＳｙｓｌｏｇ Ｍｅｓｓａｇｅ ＃２をユーザ特定装置２２に送信する（Ｓ１０６）。これにより、ユーザ特定装置２２の第１通信情報取得部１０２は、第１通信情報をルータ２０ａから取得する。
次に、ユーザ端末１４ａは、ＡＲＰ Ｒｅｑｕｅｓｔをルータ２０ａのＡＲＰサーバに送信する（Ｓ１０８）。そして、ルータ２０ａのＡＲＰサーバは、ＡＲＰテーブルを参照して、ＡＲＰ Ｒｅｐｌｙをユーザ端末１４ａに送信する（Ｓ１１０）。そして、ルータ２０ａは、ＡＲＰテーブルに格納されたユーザ端末１４ａのＭＡＣアドレスとプライベートＩＰアドレスとが対応づけられた第１通信情報を含むＳｙｓｌｏｇ Ｍｅｓｓａｇｅ ＃３をユーザ特定装置２２に送信する（Ｓ１１２）。これにより、ユーザ特定装置２２の第１通信情報取得部１０２は、第１通信情報をルータ２０ａから取得する。
次に、ユーザ端末１４ａは、ＴＣＰ／ＩＰ通信によりインターネット１８で通信を行う（Ｓ１１４）。ルータ２０ａのＦｉｒｅｗａｌｌサーバは、ユーザ端末１４ａとインターネット１８との間の通信を中継する場合、ユーザ端末１４ａのプライベートＩＰアドレスに対してグローバルＩＰアドレスを割り当てる。そして、ルータ２０ａは、ユーザ端末１４ａのプライベートＩＰアドレスと、当該プライベートＩＰアドレスに割り当てられたグローバルＩＰアドレスとが対応づけられた第２通信情報を含むＳｙｓｌｏｇ Ｍｅｓｓａｇｅ ＃４をユーザ特定装置２２に送信する（Ｓ１１６）。
そして、ユーザ特定装置２２のユーザ端末検出部１１０は、ルータ２０ａから取得した第１通信情報及び第２通信情報に基づいて、インターネット１８における通信を行ったユーザ端末１４ａのＭＡＣアドレスを検出し、ＭＡＣアドレスに基づいてユーザ端末１４ａのユーザを特定する。また、ユーザ特定装置２２のユーザ端末検出部１１０は、インテリジェントハブ１６ａから取得した第３通信情報、並びにルータ２０ａから取得した第１通信情報及び第２通信情報に基づいて、インターネット１８における通信を行ったユーザ端末１４ａが接続されるインテリジェントハブ１６ａの物理ポートを検出し、物理ポートに基づいてユーザ端末１４ａのユーザを特定してもよい。
図５は、第１実施形態に係るユーザ特定装置２２のハードウェア構成の一例を示す。ユーザ特定装置２２は、ＣＰＵ７００、ＲＯＭ７０２、ＲＡＭ７０４、通信インタフェース７０６、ハードディスクドライブ７０８、データベースインタフェース７１０、フレキシブルディスクドライブ７１２、及びＣＤ−ＲＯＭドライブ７１４を備える。ＣＰＵ７００は、ＲＯＭ７０２及びＲＡＭ７０４に格納されたプログラムに基づいて動作し、各部の制御を行う。通信インタフェース７０６は、インターネット１８に対して通信を行う。データベースインタフェース７１０は、データベースへのデータの書込、及びデータベースの内容の更新を行う。
フレキシブルディスクドライブ７１２は、フレキシブルディスク７２０からデータ又はプログラムを読み取りＣＰＵ７００に提供する。ＣＤ−ＲＯＭドライブ７１４は、ＣＤ−ＲＯＭ７２２からデータ又はプログラムを読み取りＣＰＵ７００に提供する。データベースインタフェース７１０は、各種データベース７２４と接続してデータを送受信する。
ユーザ特定装置２２に提供されるプログラムは、フレキシブルディスク７２０又はＣＤ−ＲＯＭ７２２等の記録媒体に格納されて利用者によって提供される。記録媒体に格納されたプログラムは圧縮されていても非圧縮であってもよい。プログラムは記録媒体から読み出され、ＣＰＵ７００により実行される。
記録媒体に格納されて提供されるプログラム、即ちユーザ特定装置２２にインストールされるプログラムは、機能構成として、送受信モジュール、第１通信情報取得モジュール、第２通信情報取得モジュール、第３通信情報取得モジュール、通信情報格納モジュール、及びユーザ端末検出モジュールを有する。各モジュールがユーザ特定装置２２に働きかけて行わせる動作は、図１から図４において説明したユーザ特定装置２２における、対応する部材の動作と同一であるから、説明を省略する。
記録媒体の一例としてのフレキシブルディスク７２０又はＣＤ−ＲＯＭ７２２には、本出願で説明する全ての実施形態におけるユーザ特定装置２２の動作の一部又は全ての機能を格納することができる。
これらのプログラムは記録媒体から直接ＲＡＭ７０４に読み出されて実行されても、一旦ハードディスクにインストールされた後にＲＡＭに読み出されて実行されてもよい。更に、上記プログラムは単一の記録媒体に格納されても複数の記録媒体に格納されてもよい。また、暗号化、圧縮等により符号化された形態で格納されていてもよい。
記録媒体としては、フレキシブルディスク、ＣＤ−ＲＯＭの他にも、ＤＶＤ、ＰＤ等の光学記録媒体、ＭＤ等の光磁気記録媒体、テープ媒体、磁気記録媒体、ＩＣカードやミニチュアカードなどの半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の格納装置を記録媒体として使用し、通信網を介してプログラムをユーザ特定装置２２に提供してもよい。
なお、第１実施形態においては、ルータ２０ａとインテリジェントハブ１６ａ及び１６ｂとが別個に設けられ、ルータ２０ｂとインテリジェントハブ１６ｃ及び１６ｄとが別個に設けられているが、ルータ２０ａとインテリジェントハブ１６ａ及び１６ｂとが一体となって、ルータ２０ａがインテリジェントハブ１６ａ及び１６ｂの機能を有し、ルータ２０ｂとインテリジェントハブ１６ｃ及び１６ｄとが一体となって、ルータ２０ｂがインテリジェントハブ１６ｃ及び１６ｄの機能を有してもよい。即ち、本発明に係る第１格納装置、第２格納装置、及び第３格納装置は、同一筐体内に設けられた１個の機器であってもよい。
また、第１実施形態において、ユーザ特定システム１０は、インテリジェントハブ１６ａ〜１６ｄを備えるが、インテリジェントハブ１６ａ〜１６ｄに換えて、フォワーディングデータベースを有しないリピータハブを備えてもよい。この場合、ユーザ特定装置２２は、物理ポートとＭＡＣアドレスとが対応づけられた第３通信情報を取得することができないので、ユーザ端末１４ａが接続される物理ポートを検出することができないが、ルータ２０ａから取得した第１通信情報及び第２通信情報に基づいて、ユーザ端末１４ａのＭＡＣアドレスを検出し、ユーザ端末１４ａのユーザを特定することができる。
（第２実施形態）
図６は、本発明の第２実施形態に係るユーザ特定システム３０の構成の一例を示す。第２実施形態において、以下に説明する部分を除き、第１実施形態と同一であってよい。
ユーザ特定システム３０は、ＬＡＮ１２ａ又は１２ｂに配置され、複数のユーザ端末１４ａ〜１４ｌがそれぞれ接続されたインテリジェントハブ１６ａ〜１６ｄと、ＬＡＮ１２ａ及び１２ｂとインターネット１８とを接続するルータ３２ａ及び３２ｂと、インターネット１８における通信を行ったユーザ端末のユーザ特定するユーザ特定装置３４とを備える。
ルータ３２ａ及び３２ｂは、本発明のアドレス変換装置及び中継機器の一例であり、プライベートＩＰアドレスとグローバルＩＰアドレスとを相互に変換して、ＬＡＮ１２ａ及び１２ｂとインターネット１８との間で通信を中継する。ルータ３２ａ及び３２ｂは、第１通信情報及び第２通信情報に基づいて、グローバルＩＰアドレスと、当該グローバルＩＰアドレスを用いてインターネット１８における通信を行ったユーザ端末のＭＡＣアドレスとが対応づけられたユーザ特定情報を生成して、ユーザ特定装置３４に供給する。また、ルータ３２ａ及び３２ｂは、第１通信情報、第２通信情報、及び第３通信情報に基づいて、グローバルＩＰアドレスと、当該グローバルＩＰアドレスを用いてインターネット１８における通信を行ったユーザ端末が接続されたインテリジェントハブの物理ポートとが対応づけられたユーザ特定情報を生成して、ユーザ特定装置３４に供給してもよい。ユーザ特定装置３４は、ルータ３２ａ又は３２ｂからユーザ特定情報を取得し、ユーザ特定情報に基づいて、管理者によって指定されたグローバルＩＰアドレスに対応づけられたユーザ端末のＭＡＣアドレスを検出し、第３通信情報に基づいて、当該ＭＡＣアドレスを有するユーザ端末のユーザを特定する。また、ユーザ特定装置３４は、ルータ３２ａ又は３２ｂからユーザ特定情報を取得し、ユーザ特定情報に基づいて、管理者によって指定されたグローバルＩＰアドレスに対応づけられたインテリジェントハブの物理ポートを検出し、当該物理ポートに接続されたユーザ端末のユーザを特定してもよい。
図７は、第２実施形態に係るルータ３２ａのブロック構成の一例を示す。ルータ３２ａは、インターネット１８に対してデータの送受信を行う外部送受信部２００と、ＬＡＮ１２ａに対してデータの送受信を行う内部送受信部２０２と、ユーザ端末のプライベートＩＰアドレスに対してグローバルＩＰアドレスを割り当て、外部送受信部２００と内部送受信部２０２との間で、受信したパケットのプライベートＩＰアドレスとグローバルＩＰアドレスとを相互に変換するアドレス変換部２０４と、第１通信情報を格納する第１通信情報格納部２０８と、第２通信情報を格納する第２通信情報格納部２１０と、インテリジェントハブ１６ａ及び１６ｂから第３通信情報を取得する第３通信情報取得部２０６と、少なくとも第１通信情報及び第２通信情報に基づいて、ユーザ特定情報を生成するユーザ特定情報生成部２１２とを備える。
第３通信情報取得部２０６は、物理ポートとＭＡＣアドレスと機器識別情報とが対応づけられた第３通信情報を内部送受信部２０２を介してインテリジェントハブ１６ａ及び１６ｂから取得する。
第１通信情報格納部２０８は、例えばＤＨＣＰサーバであり、ユーザ端末のＭＡＣアドレスに対して、プライベートＩＰアドレスの割り当て及び解放を行う。そして、第１通信情報格納部２０８は、ユーザ端末のＭＡＣアドレスと、当該ＭＡＣアドレスに対して割り当てられたプライベートＩＰアドレスとを対応づけて格納する。また、第１通信情報格納部２０８は、ユーザ端末のＭＡＣアドレスと、当該ＭＡＣアドレスに対して割り当てられたプライベートＩＰアドレスとを対応づけて格納するＡＲＰテーブルを含むＡＲＰサーバであってもよい。
第２通信情報格納部２１０は、アドレス変換部２０４のアドレス変換テーブルであり、ユーザ端末に割り当てられたプライベートＩＰアドレスと、当該プライベートＩＰアドレスに割り当てられたグローバルＩＰアドレスを格納する。
ユーザ特定情報生成部２１２は、第１通信情報及び第２通信情報に基づいて、グローバルＩＰアドレスと、当該グローバルＩＰアドレスを用いてインターネット１８における通信を行ったユーザ端末のＭＡＣアドレスとが対応づけられたユーザ特定情報を生成する。また、ユーザ特定情報生成部２１２は、第１通信情報、第２通信情報、及び第３通信情報に基づいて、グローバルＩＰアドレスと、当該グローバルＩＰアドレスを用いてインターネット１８における通信を行ったユーザ端末が接続されたインテリジェントハブの物理ポートとが対応づけられたユーザ特定情報を生成してもよい。そして、ユーザ特定情報生成部２１２は、生成したユーザ特定情報を外部送受信部２００を介してユーザ特定装置３４に送信する。
図８は、第２実施形態に係るユーザ特定装置３４のブロック構成の一例を示す。ユーザ特定装置３４は、インターネット１８に対してデータの送受信を行う送受信部３００と、ルータ３２ａ又は３２ｂが生成したユーザ特定情報を送受信部３００を介して取得する第４通信情報取得部３０２と、インテリジェントハブ１６ａ〜１６ｄが格納する物理ポートとＭＡＣアドレスと機器識別情報とが対応づけられた第３通信情報を送受信部１００を介して取得する第３通信情報取得部３０６と、ユーザ特定情報及び第３通信情報を格納する通信情報格納部３０８と、管理者によって指定されたグローバルＩＰアドレスを用いてインターネット１８における通信を行ったユーザ端末のＭＡＣアドレス、又は当該ユーザ端末が接続された物理ポートを検出するユーザ端末検出部３１０とを備える。
ユーザ端末検出部３１０は、通信情報格納部３０８を参照して、管理者によって指定されたグローバルＩＰアドレスに対応づけられたＭＡＣアドレスをユーザ特定情報に基づいて検出し、当該ＭＡＣアドレスに対応づけられた機器識別情報及び物理ポートを第３通信情報に基づいて検出する。また、ユーザ端末検出部３１０は、通信情報格納部３０８を参照して、管理者によって指定されたグローバルＩＰアドレスに対応づけられた機器識別情報及び物理ポートをユーザ特定情報に基づいて検出してもよい。そして、ユーザ特定装置３４は、ユーザ端末検出部３１０によって検出されたＭＡＣアドレスを有するユーザ端末、又はユーザ端末検出部１１０によって検出された物理ポートを介して通信を行うユーザ端末のユーザを特定する。
第２実施形態のユーザ特定システム３０によれば、ルータ３２ａ及び３２ｂが第１通信情報及び第２通信情報、又は第１通信情報、第２通信情報、及び第３通信情報からユーザ特定情報を生成してユーザ特定装置３４に送信するので、ルータ３２ａ及び３２ｂからユーザ特定装置３４へ送信されるデータの量を低減させることができる。また、ユーザ特定装置３４が多数のＬＡＮを管理する場合に、管理するデータの量を低減させることができ、ユーザ特定装置３４の記録資源を効率的に利用することができる。
以上発明の実施の形態を説明したが、本出願に係る発明の技術的範囲は上記の実施の形態に限定されるものではない。上記実施の形態に種々の変更を加えて、請求の範囲に記載の発明を実施することができる。そのような発明が本出願に係る発明の技術的範囲に属することもまた請求の範囲の記載から明らかである。

以上の説明から明らかなように、本発明によれば、プライベートＩＰアドレスとグローバルＩＰアドレスとを相互に変換するルータを介してインターネットにおける通信を行ったユーザ端末のユーザを特定することができる。

Claims (16)

1. 第１アドレス体系の第１ネットワークに配置され、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定システムであって、
   前記ユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた前記第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、
   第１アドレスと当該第１アドレスに対して割り当てられた前記第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置と、
   前記第１格納装置及び前記第２格納装置が格納する通信情報に基づいて、前記第２ネットワークにおける通信を行った前記ユーザ端末のユーザを特定するユーザ特定装置と
   を備え、
   前記ユーザ特定装置は、
   前記第１格納装置が格納する前記端末識別情報と前記第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得部と、
   前記第２格納装置が格納する前記第１アドレスと前記第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得部と、
   指定された前記第２アドレスに対応づけられた前記第１アドレスを前記第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた前記端末識別情報を前記第１通信情報に基づいて検出するユーザ端末検出部と
   を有することを特徴とするユーザ特定システム。
2. 前記第１格納装置は、前記端末識別情報であるＭＡＣアドレスに対して前記第１アドレスであるプライベートＩＰアドレスを割り当てるＤＨＣＰサーバであり、前記ＭＡＣアドレスに対して前記プライベートＩＰアドレスを割り当てた場合に、前記ユーザ特定装置に対して前記第１通信情報を送信することを特徴とする請求項１に記載のユーザ特定システム。
3. 前記第１格納装置は、前記端末識別情報であるＭＡＣアドレスと当該ＭＡＣアドレスに対して割り当てられた前記第１アドレスであるプライベートＩＰアドレスとを対応づけて格納するＡＲＰテーブルを有するＡＲＰサーバであり、前記ユーザ端末からＡＲＰリクエストを受信した場合に、前記ユーザ特定装置に対して前記第１通信情報を送信することを特徴とする請求項１に記載のユーザ特定システム。
4. 前記第２格納装置は、前記第１ネットワークと前記第２ネットワークとを接続し、前記第１アドレスであるプライベートＩＰアドレスに対して前記第２アドレスであるグローバルＩＰアドレスを割り当てるアドレス変換サーバであり、前記プライベートＩＰアドレスに対して前記グローバルＩＰアドレスを割り当てた場合に、前記ユーザ特定装置に対して前記第２通信情報を送信することを特徴とする請求項１に記載のユーザ特定システム。
5. 前記第１ネットワークに配置され、複数の前記ユーザ端末がそれぞれ接続された複数の物理ポートを有し、前記物理ポートと当該物理ポートに接続された前記ユーザ端末の端末識別情報とを対応づけて格納する第３格納装置をさらに備え、
   前記ユーザ特定装置は、前記第３格納装置が格納する前記物理ポートと前記端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部をさらに有し、
   前記ユーザ端末検出部は、指定された前記第２アドレスに対応づけられた前記第１アドレスを前記第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた前記端末識別情報を前記第１通信情報に基づいて検出し、当該端末識別情報に対応づけられた前記物理ポートを前記第３通信情報に基づいて検出する請求項１に記載のユーザ特定システム。
6. 前記第３格納装置は、前記物理ポートと前記端末識別情報であるＭＡＣアドレスとを対応づけて格納するフォワーディングデータベースであり、前記フォワーディングデータベースを更新した場合に、前記ユーザ特定装置に対して前記第３通信情報を送信することを特徴とする請求項５に記載のユーザ特定システム。
7. 前記ユーザ端末が接続された中継機器の物理ポートに割り当てられたＶＬＡＮを識別するＶＬＡＮ識別情報と、当該物理ポートに接続された前記ユーザ端末の端末識別情報とを対応づけて格納する第３格納装置をさらに備え、
   前記ユーザ特定装置は、前記第３格納装置が格納する前記ＶＬＡＮ識別情報と前記端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部をさらに有し、
   前記ユーザ端末検出部は、指定された前記第２アドレスに対応づけられた前記第１アドレスを前記第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた前記端末識別情報を前記第１通信情報に基づいて検出し、当該端末識別情報に対応づけられた前記ＶＬＡＮ識別情報を前記第３通信情報に基づいて検出する請求項１に記載のユーザ特定システム。
8. 第１アドレス体系の第１ネットワークに配置され、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定システムであって、
   前記ユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた前記第１アドレス体系の第１アドレスとを対応づけて格納する第１通信情報格納部、第１アドレスと当該第１アドレスに対して割り当てられた前記第２アドレス体系の第２アドレスとを対応づけて格納する第２通信情報格納部、及び前記第１通信情報格納部が格納する前記端末識別情報と前記第１アドレスとが対応づけられた第１通信情報、及び前記第２通信情報格納部が格納する前記第１アドレスと前記第２アドレスとが対応づけられた第２通信情報に基づいて、前記端末識別情報と前記第２アドレスとが対応づけられたユーザ特定情報を生成するユーザ特定情報生成部を有する中継機器と、
   前記第１ネットワークに配置され、複数の前記ユーザ端末がそれぞれ接続された複数の物理ポートを有し、前記物理ポートと当該物理ポートに接続された前記ユーザ端末の端末識別情報とを対応づけて格納する第３格納装置と、
   前記第３格納装置が格納する通信情報、及び前記中継機器が生成した前記ユーザ特定情報に基づいて、前記第２ネットワークにおける通信を行った前記ユーザ端末のユーザを特定するユーザ特定装置と
   を備え、
   前記ユーザ特定装置は、
   前記第３格納装置が格納する前記物理ポートと前記端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部と、
   前記中継機器が格納する前記端末識別情報と前記第２アドレスとが対応づけられた前記ユーザ特定情報を取得する第４通信情報取得部と、
   指定された前記第２アドレスに対応づけられた前記端末識別情報を前記ユーザ特定情報に基づいて検出し、当該端末識別情報に対応づけられた前記物理ポートを前記第３通信情報に基づいて検出するユーザ端末検出部と
   を有することを特徴とするユーザ特定システム。
9. 第１アドレス体系の第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた前記第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置とを備えるユーザ特定システムの、前記第１格納装置及び前記第２格納装置が格納する通信情報に基づいて、前記第２アドレス体系の第２ネットワークにおける通信を行った前記ユーザ端末のユーザを特定するユーザ特定装置であって、
   前記第１格納装置が格納する前記端末識別情報と前記第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得部と、
   前記第２格納装置が格納する前記第１アドレスと前記第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得部と、
   指定された前記第２アドレスに対応づけられた前記第１アドレスを前記第２通信情報に基づいて検出し、当該第１アドレスに対応づけられた前記端末識別情報を前記第１通信情報に基づいて検出するユーザ端末検出部と
   を備えることを特徴とするユーザ特定装置。
10. 前記第２通信情報取得部は、前記第１アドレス及び前記第２アドレスに、当該第２アドレスを送信元アドレスとするパケットの宛先アドレスが対応づけられた、前記第２格納装置が格納する前記第２通信情報を取得し、
    前記ユーザ端末検出部は、指定された前記第２アドレス及び前記宛先アドレスに基づいて前記第１アドレスを検出することを特徴とする請求項９に記載のユーザ特定装置。
11. 前記第１通信情報及び前記第２通信情報に対応づけて、前記第１通信情報及び前記第２通信情報を取得した時刻をそれぞれ格納する通信情報格納部をさらに備え、
    前記ユーザ端末検出部は、前記通信情報格納部が格納する前記時刻を参照して、指定された前記第２アドレスに対応づけられた前記第１アドレスを検出し、当該第１アドレスに対応づけられた前記端末識別情報を検出することを特徴とする請求項９に記載のユーザ特定装置。
12. 第１アドレス体系の第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた前記第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置とを備えるユーザ特定システムの、前記第１格納装置及び前記第２格納装置が格納する通信情報に基づいて、前記第２アドレス体系の第２ネットワークにおける通信を行った前記ユーザ端末のユーザを特定するユーザ特定方法であって、
    前記第１格納装置が格納する前記端末識別情報と前記第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得段階と、
    前記第２格納装置が格納する前記第１アドレスと前記第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得段階と、
    指定された前記第２アドレスに対応づけられた前記第１アドレスを前記第３通信情報に基づいて検出し、当該第１アドレスに対応づけられた前記端末識別情報を前記第２通信情報に基づいて検出するユーザ端末検出段階と
    を備えることを特徴とするユーザ特定方法。
13. 第１アドレス体系の第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた前記第１アドレス体系の第１アドレスとを対応づけて格納する第１格納装置と、第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとを対応づけて格納する第２格納装置とを備えるユーザ特定システムの、前記第１格納装置及び前記第２格納装置が格納する通信情報に基づいて、前記第２アドレス体系の第２ネットワークにおける通信を行った前記ユーザ端末のユーザを特定するユーザ特定装置用のプログラムであって、
    ユーザ特定装置を、
    前記第１格納装置が格納する前記端末識別情報と前記第１アドレスとが対応づけられた第１通信情報を取得する第１通信情報取得部、
    前記第２格納装置が格納する前記第１アドレスと前記第２アドレスとが対応づけられた第２通信情報を取得する第２通信情報取得部、
    指定された前記第２アドレスに対応づけられた前記第１アドレスを前記第３通信情報に基づいて検出し、当該第１アドレスに対応づけられた前記端末識別情報を前記第２通信情報に基づいて検出するユーザ端末検出部
    として機能させることを特徴とするプログラム。
14. 第１アドレス体系の第１ネットワークに配置され、第２アドレス体系の第２ネットワークにおける通信を行ったユーザ端末のユーザを特定するユーザ特定システムであって、
    前記第１アドレス体系の第１アドレスと前記第２アドレス体系の第２アドレスとを相互に変換して、前記第１ネットワークと前記第２ネットワークとの間で通信を中継するアドレス変換装置と、
    前記アドレス変換装置が生成するユーザ特定情報に基づいて、前記第２ネットワークにおける通信を行った前記ユーザ端末のユーザを特定するユーザ特定装置と
    を備え、
    前記アドレス変換装置は、
    前記ユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた前記第１アドレス体系の第１アドレスとが対応づけられた第１通信情報を格納する第１通信情報格納部と、
    第１アドレスと当該第１アドレスに対して割り当てられた第２アドレス体系の第２アドレスとが対応づけられた第２通信情報を格納する第２通信情報格納部と、
    前記第１通信情報及び前記第２通信情報に基づいて、前記第２アドレスと当該第２アドレスを用いて前記第２ネットワークにおける通信を行った前記ユーザ端末の前記端末識別情報とが対応づけられた前記ユーザ特定情報を生成するユーザ特定情報生成部と
    を有することを特徴とするユーザ特定システム。
15. 前記第１ネットワークに配置され、複数の前記ユーザ端末がそれぞれ接続された複数の物理ポートを有し、前記物理ポートと当該物理ポートに接続された前記ユーザ端末の端末識別情報とを対応づけて格納する第３格納装置をさらに備え、
    前記アドレス変換装置は、前記第３格納装置が格納する前記物理ポートと当該物理ポートに接続された前記ユーザ端末の端末識別情報とが対応づけられた第３通信情報を取得する第３通信情報取得部をさらに有し、
    前記ユーザ特定情報生成部は、前記第１通信情報、前記第２通信情報、及び前記第３通信情報に基づいて、前記第２アドレスと当該第２アドレスを用いて前記第２ネットワークにおける通信を行った前記ユーザ端末が接続された前記物理ポートとが対応づけられた前記ユーザ特定情報を生成することを特徴とする請求項１４に記載のユーザ特定システム。
16. 第１アドレス体系の第１アドレスと第２アドレス体系の第２アドレスとを相互に変換して、前記第１アドレス体系の第１ネットワークと前記第２アドレス体系の第２ネットワークとの間で通信を中継するアドレス変換装置であって、
    前記第１ネットワークに配置されたユーザ端末の端末識別情報と当該端末識別情報に対して割り当てられた前記第１アドレスとが対応づけられた第１通信情報を格納する第１通信情報格納部と、
    前記第１アドレスに対して前記第２アドレスを割り当てるアドレス変換部と、
    前記第１アドレスと当該第１アドレスに対して割り当てられたの第２アドレスとが対応づけられた第２通信情報を格納する第２通信情報格納部と、
    前記第１通信情報及び前記第２通信情報に基づいて、前記第２アドレスと当該第２アドレスを用いて前記第２ネットワークにおける通信を行った前記ユーザ端末の前記端末識別情報とが対応づけられたユーザ特定情報を生成するユーザ特定情報生成部と
    を備えることを特徴とするアドレス変換装置。

Images