JP5278017B2 - ネットワーク接続制御システム及び方法 - Google Patents

Description

本発明は、通信ネットワークでの通信を中継する中継機器への接続を制御する技術に関する。

通信ネットワークでの通信の一種として、無線通信がある。特許文献１に、無線通信ネットワークでの通信を中継する中継機器として、グループ管理システムが開示されている。グループ管理システムは、所定の範囲に情報機器が存在することを検知した場合に、その情報機器のユーザー認証を行い、そのユーザー認証に成功すると、その情報機器に秘密鍵を送信する。それにより、その情報機器がグループ管理システムと無線通信することが可能になる。

特開２００６−６０５８９号公報

特許文献１の技術によれば、ユーザー認証が成功したか否かにより、グループ管理システムとの無線通信の可否が決定される。このため、全ての情報機器のユーザーが、所定の範囲に入る都度に、ユーザー認証に必要な情報（以下、ユーザー認証情報）を入力しなければならない。

その問題を解決するための方法として、例えば、情報機器が、ユーザー認証情報を予め記憶しておき、所定の範囲に入ったときに、記憶しているユーザー認証情報をグループ管理システムに送信する方法が考えられる。しかし、この方法では、グループ管理システムが、予め、無線通信を許可する全てのユーザーのユーザー認証情報を記憶している必要がある。このため、どのユーザーに無線通信を許可するかが予め決まっていないケースには、その方法を採用することはできない。

以上のような問題は、無線通信以外の通信でも起こり得る。

そこで、本発明の目的は、どのユーザーに通信を許可するかが予め決まっていなくても、通信ネットワークでの通信を中継する中継機器に接続するために必要な情報を全てのユーザーが入力する必要無く、中継機器へのセキュアな接続を行うことにある。

情報機器を発見する管理手段が備えられる。管理手段は、発見された情報機器が、中継機器に接続されてない情報機器であって、中継機器への接続が第一の情報機器から許可された第二の情報機器であれば、その第二の情報機器に認証を求めること無く接続情報をその第二の情報機器に送信する。

具体的には、例えば、第一の情報機器は、初めて発見された情報機器であり、第二の情報機器は、第一の情報機器の後に発見された情報機器である（以下、第一の情報機器のユーザーを「第一のユーザー」と言い、第二の情報機器のユーザーを「第二のユーザー」と言う）。管理手段は、発見された情報機器が第一の情報機器であれば、第一の情報機器に認証を求め、その求めに応答して第一の情報機器から受信した認証情報を用いて第一の情報機器を認証し、認証に成功したならば、中継機器に接続するための接続情報を第一の情報機器に送信する。第一の情報機器は、その接続情報を用いて中継機器に接続する。一方、管理手段は、発見された情報機器が第二の情報機器であれば、第二の情報機器の機器識別情報を、認証された第一の情報機器に送信する。第一の情報機器は、第二の情報機器の機器識別情報を表示し、第一のユーザーから、第二の情報機器の中継機器への接続を許可するか否かの指定を受け、接続が許可された第二の情報機器に関する情報を管理手段に通知する。管理手段は、発見されている第二の情報機器のうち、第一のユーザーから接続が許可された第二の情報機器に、上記接続情報を送信する。第二の情報機器は、その接続情報を用いて中継機器に接続する。

管理手段は、中継機器や情報機器からは独立した機器（例えば実施形態の説明でいう管理装置１０５）に備えられても良いし、中継機器に備えられても良いし、第一の情報機器に備えられても良い。管理手段が第一の情報機器に備えられていれば、上記の例において、管理手段への最初の認証それ自体を不要にすることができる。

図１Ａは、本発明の一実施形態における処理の概要の第一の部分を示す。図１Ｂは、本発明の一実施形態における処理の概要の第二の部分を示す。 図２Ａは、本発明の一実施形態における処理の概要の第三の部分を示す。図２Ｂは、本発明の一実施形態における処理の概要の第四の部分を示す。 図３は、管理装置１０５及び情報機器１０７の機能ブロックを示す。 図４Ａは、機器識別情報の具体例を示す。図４Ｂは、機器管理情報の具体例を示す。 図５は、管理装置１０５が行う処理Ａの流れを示す。 図６は、情報機器１０７が行う処理Ｂの流れを示す。 図７は、管理装置１０５が行う処理Ｃの流れを示す。 図８は、第一の情報機器１０７Ｍが行う処理Ｄの流れを示す。 図９は、第一の情報機器１０７Ｍに表示されるＧＵＩ３０１の一例を示す。 図１０は、処理Ｂの変形例を示す。 図１１は、処理Ｃの変形例を示す。 図１２は、処理Ｄの変形例を示す。

以下、通信ネットワークが無線ＬＡＮである場合を例に採り、本発明の一実施形態を説明する。

図１Ａ、図１Ｂ、図２Ａ及び図２Ｂを参照して、本発明の一実施形態の概要を説明する。

図１Ａ乃至図２Ｂに示すように、一つのアクセスポイント１０３につき、一つの管理装置１０５が設けられる。管理装置１０５は、その管理装置１０５に対応するアクセスポイント１０３に接続するために必要な情報（以下、接続情報）を予め記憶している。接続情報は、例えば、ＳＳＩＤ（Service Set Identifier）及びＷＥＰ（Wired Equivalent Privacy）である。管理装置１０５は、アクセスポイント１０３と同様に、無線通信可能な装置である。なお、点線枠１０１は、管理装置１０５の通信可能なエリア（以下、管理通信エリア）を示す。管理装置１０５は、管理通信エリア１０１に入った情報機器を、例えば近距離無線通信で発見することができる。管理装置１０５は、情報機器を発見した場合、その情報機器が第一の情報機器であるか第二の情報機器であるかを判断する。本実施形態では、「第一の情報機器」とは、初めて発見された情報機器であり、「第二の情報機器」とは、第一の情報機器の後に発見された情報機器である。

図１Ａに示すように、管理通信エリア１０１に、或る情報機器１０７Ｍが初めて入ったとする。管理装置１０５が、管理通信エリア１０１に入ったその情報機器１０７Ｍを発見する。

情報機器１０７Ｍは、初めて発見された情報機器であるため、管理装置１０５によって第一の情報機器であると判断される。この場合、管理装置１０５は、認証要求を、第一の情報機器１０７Ｍに送信する（Ｓ１０１）。第一の情報機器１０７Ｍは、その認証要求に応答して、認証情報（例えばユーザーから入力されたＩＤ及びパスワード）を、管理装置１０５に送信する（Ｓ１０２）。

管理装置１０５は、第一の情報機器１０７Ｍからの認証情報が正しいか否かを判断する。管理装置１０５は、その認証情報が正しい情報であると判断すると、記憶している接続情報を第一の情報機器１０７Ｍに送信する（Ｓ１０３）。第一の情報機器１０７Ｍは、接続情報を受けた場合、図１Ｂに示すように、受信した接続情報を用いてアクセスポイント１０３に接続する（Ｓ１０４）。

その後、図２Ａに示すように、特定エリア１０１に、情報機器１０７ＳＡ及び１０７ＳＢが入ったとする（Ｓ１０５Ａ及びＳ１０５Ｂ）。管理装置１０５が、各情報機器１０７ＳＡ及び１０７ＳＢを発見する。この例では、第二の情報機器１０７ＳＡは、ＰＣ（Personal Computer）であるとし、第二の情報機器１０７ＳＢは、プロジェクターであるとする。

ＰＣ１０７ＳＡ及びプロジェクター１０７ＳＢは、第一の情報機器１０７Ｍの後に発見された情報機器であるため、管理装置１０５によってそれぞれ第二の情報機器であると判断される。この場合、管理装置１０５は、ＩＤ要求をＰＣ１０７ＳＡ及びプロジェクター１０７ＳＢにそれぞれ送信する（Ｓ１０６Ａ及びＳ１０６Ｂ）。ＰＣ１０７ＳＡ及びプロジェクター１０７ＳＢは、それぞれ、ＩＤ要求に応答して機器識別情報を送信する（Ｓ１０７Ａ及びＳ１０７Ｂ）。機器識別情報とは、情報機器を識別するための情報である。管理装置１０５は、受信した機器識別情報を、第一の情報機器１０７Ｍに送信する（Ｓ１０８）。

第一の情報機器１０７Ｍは、受信した機器識別情報の一覧を表示すると共に、各機器識別情報に対応する第二の情報機器をアクセスポイント１０３に接続するか否か（「許可」か「拒否」か）の指定（以下、接続許否指定）を受け付ける。例えば、第一の情報機器１０７ＭがＰＣ（Personal Computer）の場合、そのＰＣは、図２Ａに示すように、そのＰＣのディスプレイ画面に、受信した機器識別情報の一覧と接続許否指定を受け付けるためのツールとを有するＧＵＩ（Graphical User Interface）３０１を表示する。

第一の情報機器１０７Ｍは、接続許否指定を受けた場合、その接続許否指定を表すユーザー指定情報（例えば、「許可」が指定された第二の情報機器はどれであるかを表す情報）を管理装置１０５に送信する。具体的には、例えば、図２Ｂに示すように、ＧＵＩ３０１を介して、ＰＣ１０７ＳＡについては、「拒否」が指定され、プロジェクター１０７ＳＢについては、「許可」が指定されたとする。第一の情報機器１０７Ｍは、ＰＣ１０７ＳＡについては「拒否」が指定されプロジェクター１０７ＳＢについては「許可」が指定されたことを表すユーザー指定情報を、管理装置１０５に送信する（Ｓ１０９）。

管理装置１０５は、第一の情報機器１０７Ｍからユーザー指定情報を受信し、ユーザー指定情報を基に、「許可」が指定された第二の情報機器と「拒否」が指定された第二の情報機器を特定する。

この例によれば、「許可」が指定された第二の情報機器としてプロジェクター１０７ＳＢが特定されるので、図２Ｂに示すように、管理装置１０５は、プロジェクター１０７ＳＢに接続情報を送信する（Ｓ１１０）。その際、管理装置１０５は、プロジェクター１０７ＳＢに認証要求を送信することはしない。プロジェクター１０７ＳＢは、受信した接続情報を用いてアクセスポイント１０３に接続する（Ｓ１１１）。

一方、「拒否」が指定された第二の情報機器としてＰＣ１０７ＳＡが特定されるので、図２Ｂに示すように、管理装置１０５は、ＰＣ１０７ＳＡには接続情報を送信しない。このため、ＰＣ１０７ＳＡは、Ｓ１１２に示すように、アクセスポイント１０３に接続することはできない。

以上が、本発明の一実施形態の概要の説明である。この説明において、例えば、管理装置１０５から接続情報を受信した情報機器１０７Ｍ、１０７ＳＢが、管理通信エリア１０１の中にいるもののアクセスポイント１０３の通信エリア（以下、アクセス通信エリア）の外にいる場合には、アクセス通信エリアに持ち運ばれてから、上記受信した接続情報を用いて接続することができる。このため、管理通信エリア１０１が、アクセス通信エリアと完全に同一であるか、或いは、アクセス通信エリアに含まれていることが望ましい。

以上の説明によれば、第一の情報機器１０７Ｍよりも後に発見された第二の情報機器１０７ＳＢついては、接続情報を第二の情報機器１０７ＳＢのユーザーがわざわざ入力しなくても、アクセスポイント１０３と接続することができる。

また、第一の情報機器１０７Ｍについては認証が行われており、その認証された第一の情報機器１０７Ｍのユーザーが、第二の情報機器１０７ＳＡ及び１０７ＳＢについてアクセスポイント１０３への接続を許可するか否かを決定する。このため、セキュアな接続を実現することができる。また、発見されたが接続不要な第二の情報機器がアクセスポイント１０３に接続されることを防ぐことができる。具体的には、例えば、会議室での会議に参加するユーザーの情報機器のみを接続することを目的としている状況において、会議室内又はその近傍にいるが会議には不参加のユーザーの情報機器が発見されても、アクセスポイント１０３に接続されることを防ぐことができる。

以下、本実施形態を詳細に説明する。

図３は、管理装置１０５及び情報機器１０７の機能ブロックを示す。なお、図３において、参照符号１０７Ｓは、第二の情報機器を指す。

管理装置１０５は、認証手段１０５３と、機器識別情報送信手段１０５４と、機器発見手段１０５５と、ユーザー指定情報受信手段１０５６と、接続情報送信手段１０５７と、機器判断手段１０５９とを備える。これらの手段は、例えば、管理装置１０５内のプロセッサ（例えばＣＰＵ（Central Processing Unit））がコンピュータープログラムを実行することにより（或いはその一部又は全部をハードウェアで）、実現することができる。また、管理装置１０５は、機器管理情報を記憶する記憶手段１０５１と、接続情報を記憶する記憶手段１０５２とを備える。これらの記憶手段は、管理装置１０５内の記憶資源（例えば揮発性及び／又は不揮発性のメモリ）で実現することができる。具体的には、記憶手段１０５１は、揮発性の記憶資源であって、記憶手段１０５２は、不揮発性の記憶資源であって良い。

機器発見手段１０５５は、近距離無線通信等の方法で、管理通信エリア１０１にいる情報機器を発見する。具体的には、例えば、機器発見手段１０５５は、特定の信号（以下、探索信号）を定期的に（又は不定期的に）発信し、探索信号に対して特定の応答を受ける。その応答の送信元が、発見された情報機器である。機器発見手段１０５５は、発見された情報機器の機器識別情報をその情報機器から受信する。機器識別情報の具体例を、図４Ａに示す。すなわち、機器識別情報４０１は、例えば、情報機器１０７のＭＡＣ（Media Access Control）アドレス、コンピューター名、ログオン名、機器識別子、ユーザー名及びユーザー顔画像を含んでいる。なお、それらの一部又は全部が、情報機器１０７とは別の場所に存在しても良い。その場合、機器識別情報４０１は、例えば、その別の場所のリンク先情報（例えばＵＲＬ（Uniform Resource Locator））を含む。

機器判断手段１０５９は、機器発見手段１０５５が受信した機器識別情報と、記憶手段１０５１内の機器管理情報とを基に、発見された情報機器が、最初に発見された情報機器（つまり第一の情報機器）か、或いは、第一の情報機器が発見された後に発見された情報機器（つまり第二の情報機器）であるかの判断を行う。機器判断手段１０５９は、発見された情報機器が第一の情報機器と判断された場合、受信した機器識別情報を機器管理情報に追加し、認証手段１０５３に認証を指示する。一方、機器判断手段１０５９は、発見された情報機器が第二の情報機器と判断され、且つ、機器管理情報内にその情報機器の機器識別情報が含まれていない場合、受信した機器識別情報を機器管理情報に追加する。機器管理情報の具体例を、図４Ｂに示す。すなわち、機器管理情報４０３は、発見された情報機器毎に、機器識別子、区分、許否結果及び機器詳細情報を含む。機器識別子は、機器識別情報中の機器識別子であり、機器詳細情報は、機器識別情緒中の機器識別子、区分、許否結果以外の情報である。区分は、情報機器が第一の情報機器であるか第二の情報機器であるかを表す。許否結果は、アクセスポイント１０３への接続が許可されたか否かを表す。なお、接続許否指定が未だ行われていない情報機器については、区分は、「未判定」という値にされる。具体的には、機器判断手段１０５９が、第二の情報機器１０７Ｓの機器識別情報を機器管理情報４０３に追加した場合、その追加した機器識別情報に対応する区分を「未判定」とする。

機器識別情報送信手段１０５４は、機器管理情報４０３に含まれている機器識別情報のうち、許否結果「未判定」に対応した機器識別情報（第二の情報機器１０７Ｓの識別情報）を、認証された第一の情報機器に送信する。

認証手段１０５３は、認証の指示を受けた場合、発見された第一の情報機器１０７Ｍに、認証要求を送信する。認証手段１０５３は、その認証要求に応答して第一の情報機器１０７Ｍから認証情報を受信した場合、その認証情報が正しいか否かを判断する。認証手段１０５３は、その認証情報が正しいと判断した場合、第一の情報機器１０７Ｍに接続情報を送信することを接続情報送信手段１０５７に指示する。

ユーザー指定情報受信手段１０５６は、第一の情報機器１０７Ｍからユーザー指定情報を受信する。ユーザー指定情報受信手段１０５６は、その情報を基に、「許可」に対応する第二の情報機器を特定した場合、接続情報をその第二の情報機器に送信することを接続情報送信手段１０５７に指示する。

接続情報送信手段１０５７は、認証手段１０５３又はユーザー指定情報受信手段１０５６からの指示に応答して、記憶手段１０５２に記憶されている接続情報を、発見された第一の情報機器１０７Ｍ又は第二の情報機器１０７Ｓに送信する。なお、接続情報送信手段１０５７は、接続情報が必要な都度に、アクセスポイント１０３から接続情報を取得し、その接続情報を送信しても良い。

情報機器１０７は、第一の情報機器及び第二の情報機器の共通の機能として、点線枠２００内に示す機能、即ち、機器発見応答手段１０７５と、この情報機器の機器識別情報を記憶する記憶手段（例えば不揮発性の記憶資源）１０７６と、接続情報受信手段１０７７と、接続手段１０７８とを備える。機器発見応答手段１０７５は、管理装置１０５（機器発見手段１０５５）からの探索信号に対して特定の応答を返し、その後、管理装置１０５（機器発見手段１０５５）からの要求に応答して、記憶手段１０７６に記憶されている機器識別情報を管理装置１０５に送信する。接続情報受信手段１０７７は、管理装置１０５から接続情報を受信する。接続手段１０７８は、その接続情報を用いてアクセスポイント１０３に接続する。

情報機器１０７は、第一の情報機器に固有の機能として、点線枠２００外に示す機能、すなわち、認証要求受信手段１０８１と、認証情報入力手段１０７１と、認証情報送信手段１０７９と、機器識別情報受信手段１０８０と、接続許否指定手段１０７２と、ユーザー指定情報送信手段１０７４とを備える。

認証要求受信手段１０８１は、管理装置１０５（認証手段１０５３）から認証要求を受信する。

認証情報入力手段１０７１は、その認証要求に応答して認証情報を入力する。例えば、認証情報入力手段１０７１は、その認証要求に応答して認証情報の入力をユーザーに指示し、その指示に応答して、認証情報の入力をユーザーから受け付ける。

認証情報送信手段１０７９は、入力された認証情報を管理装置１０５（認証手段１０５３）に送信する。

機器識別情報受信手段１０８０は、管理装置１０５（機器情報送信手段１０５４）から第二の情報機器の機器識別情報を受信する。

接続許否指定手段１０７２は、受信した第二の情報機器の機器識別情報の一覧を、この情報機器のディスプレイ画面（図示せず）に表示し、表示された各機器識別情報に対応する第二の情報機器について、アクセスポイント１０３への接続を許可するか否かの指定（接続許否指定）をユーザーから受け付ける。

ユーザー指定情報送信手段１０７４は、接続許否指定の結果を表す情報（つまりユーザー指定情報）を、管理装置１０５（ユーザー指定情報受信手段１０５６）に送信する。

以下、本実施形態で行われる処理の流れを説明する。

図５は、管理装置１０５が行う一つの処理（「処理Ａ」とする）の流れを示す。処理Ａは、例えば定期的に実行される。

機器発見手段１０５５は、探索信号を発信する（Ｓ８０１）。その探索信号に対して応答があれば（Ｓ８０２：ＴＲＵＥ）、機器発見手段１０５５は、その応答の送信元の情報機器が未知の情報機器（未だ発見されたことの無い情報機器）か否かを判断する（Ｓ８０３）。具体的には、例えば、機器発見手段１０５５は、応答として、機器識別情報内の一部の情報（例えばＭＡＣアドレス）を受信し、その情報が機器管理情報４０３に含まれているか否かを判断する。その判断の結果が否定的であれば、Ｓ８０３の判断の結果が肯定的となる。

Ｓ８０３の判断の結果が肯定的であれば（Ｓ８０３：ＴＲＵＥ）、機器発見手段１０５５は、発見された情報機器１０７から機器識別情報を受信し（Ｓ８０４）、その機器識別情報を、機器管理情報４０３に追加する（Ｓ８０５）。

その後、機器判断手段１０５９が、機器管理情報４０３を参照し、発見された情報機器が最初に発見された情報機器（第一の情報機器）であるか否かを判断する（Ｓ８０６）。

Ｓ８０６の判断の結果が肯定的であれば（Ｓ８０６：ＴＲＵＥ）、認証手段１０５３が、発見された情報機器（第一の情報機器）１０７Ｍに認証要求を送信する（Ｓ８０７）。認証手段１０５３は、その認証要求に応答して認証情報を受信した場合、その認証情報が正しいか否かを判断する（Ｓ８０８）。その認証情報が正しい情報であれば（つまり認証に成功すれば）（Ｓ８０８：ＴＲＵＥ）、接続情報送信手段１０５７が、発見された情報機器１０７Ｍに、接続情報を送信する（Ｓ８０９）。

図６は、情報機器１０７が行う一つの処理（「処理Ｂ」とする）の流れを示す。

機器発見応答手段１０７５は、管理装置１０５から探索信号を受信したら（Ｓ９０１：ＴＲＵＥ）、応答を返す（Ｓ９０２）。なお、応答を返した後、機器識別情報の要求を受けた場合、機器発見応答手段１０７５は、機器識別情報を管理装置１０５に送信する。

Ｓ９０２の後、情報機器１０７は、認証要求受信手段１０８１が認証要求を受信した場合（Ｓ９０３：ＴＲＵＥ）、第一の情報機器１０７Ｍとなる（Ｓ９０４）。例えば、情報機器１０７は、その機器内の或る記憶領域に、第一の情報機器になったことを意味する役割情報を書き込む。その後、認証情報入力手段１０７１が、認証情報を入力し（Ｓ９０５）、認証情報送信手段１０７９が、入力された認証情報を管理装置１０５に送信する（Ｓ９０６）。認証に成功すれば（Ｓ９０７：ＴＲＵＥ）、接続情報受信手段１０７７が、接続情報を受信し（Ｓ９０８）、接続手段１０７８が、その接続情報を用いてアクセスポイント１０３に接続する（Ｓ９０９）。

一方、Ｓ９０２の後、認証要求を受信しなかった場合（例えば、一定時間経っても認証要求を受けない、或いは、第二の情報機器を意味する情報を管理装置１０５から受信した場合）（Ｓ９０３：ＦＡＬＳＥ）、この情報機器１０７は、第二の情報機器となる。例えば、情報機器１０７は、その機器内の或る記憶領域に、第二の情報機器になったことを意味する役割情報を書き込む。その後、接続情報受信手段１０７７が接続情報を受信すれば（Ｓ９１１：ＴＲＵＥ）、接続手段１０７８が、その接続情報を用いてアクセスポイント１０３に接続する（Ｓ９１２）。

図７は、管理装置１０５が行う別の処理（「処理Ｃ」とする）の流れを示す。

機器識別情報送信手段１０５４が、認証済みの第一の情報機器１０７Ｍから機器一覧要求を受けた場合（Ｓ１００１：ＴＲＵＥ）、機器管理情報４０３のうちの、許否結果「未判定」に対応した全ての機器識別情報（第二の情報機器の機器識別情報）を、第一の情報機器１０７Ｍに送信する（Ｓ１００２）。

その後、ユーザー指定情報受信手段１０５６が、ユーザー指定情報を第一の情報機器１０７Ｍから受信する。ユーザー指定情報受信手段１０５６が、受信したユーザー指定情報に、「許可」に対応した第二の情報機器に関する情報が含まれていることを特定した場合（Ｓ１００３：ＴＲＵＥ）、接続情報送信手段１０５７が、「許可」に対応する第二の情報機器に、接続情報を送信する（Ｓ１００４）。言い換えれば、「拒否」に対応した第二の情報機器には、接続情報が送信されない（Ｓ１００４）。

図８は、第一の情報機器１０７Ｍが行う一つの処理（「処理Ｄ」とする）の流れを示す。処理Ｄは、第一の情報機器になったことを意味する役割情報が或る記憶領域に書き込まれている情報機器によって行われる。

第一の情報機器１０７Ｍ（例えば機器識別情報受信手段１０８０）は、定期的に（又はユーザーからの指示に応答して）、管理装置１０５に機器一覧要求を送信する（Ｓ１１０１）。機器一覧要求は、許否結果「未判定」に対応した全ての機器識別情報の要求である。

機器識別情報受信手段１０８０は、機器一覧要求に応答して機器識別情報を受信したら（Ｓ１１０２：ＴＲＵＥ）、接続許否指定手段１０７２が、受信した機器識別情報の一覧を表示する（Ｓ１１０３）。具体的には、例えば、図９に示すように、接続許否指定手段１０７２は、ディスプレイ画面に、受信した各機器識別情報１２０１と、各機器識別情報に対応する第二の情報機器についてアクセスポイント１０３への接続を「許可」するか「拒否」するかのツール１２０３とを有したＧＵＩ３０１を表示する。ユーザーは、機器識別情報を見て、その情報に対応した第二の情報機器のアクセスポイント１０３への接続を「許可」するか「拒否」するか否かを判断し、「許可」か「拒否」かを、ツール１２０３を用いて指定する。なお、ＧＵＩ３０１を利用する方法に限らず、例えばタッチパネル操作や、ディスプレイ画面から独立した入力装置を操作する等の種々の方法で、「許可」か「拒否」かが指定されても良い。

接続許否指定手段１０７２が、表示された各機器識別情報に対応する第二の情報機器について、アクセスポイント１０３への接続を「許可」するか「拒否」するかの接続許否指定をユーザーから受ける（Ｓ１１０４）。接続許否指定を受けたら、ユーザー指定情報送信手段１０７４が、その接続許否指定を表すユーザー指定情報を管理装置１０５に送信する（Ｓ１１０５）。ユーザー指定情報には、例えば、各第二の情報機器の機器識別情報に基づく、「許可」に対応する第二の情報機器に関する情報と、「拒否」に対応する第二の情報機器に関する情報とが含まれる。

以上が、本発明の一実施形態についての説明である。

なお、本実施形態では、管理装置１０５から第一の情報機器１０７Ｍに送信される機器管理情報は、許否結果「未判定」に対応した機器管理情報のみであったが、それに加えて、許否結果「許可」及び／又は「拒否」に対応した機器管理情報が送信されても良い。もし、アクセスポイント１０３に接続済みの第二の情報機器について「拒否」が指定された場合、管理装置１０５は、その第二の情報機器に、切断要求を送信し、第二の情報機器が、その切断要求に応答して、アクセスポイント１０３との接続を切断しても良い。

また、例えば、管理装置１０５が有する機能は、管理装置１０５に代えて、アクセスポイント１０３に備えられても良いし、第一の情報機器に備えられても良い。第一の情報機器が、管理装置１０５が有する機能を有していれば、第一の情報機器の認証は不要となる。また、この場合、第一の情報機器内の記憶資源が、例えば、この第一の情報機器に対応するアクセスポイントを表す情報のリストが記憶される。これにより、第一の情報機器が持ち運ばれて、別のアクセスポイントに接続することが必要になる場合には、記憶されているリストに、その別のアクセスポイントを表す情報が含まれているか否かが判断され、含まれている場合には、その別のアクセスポイント用の接続情報が、第一の情報機器から第二の情報機器に送信される。

また、例えば、管理装置１０５の記憶手段１０５２は、複数のアクセスポイント１０３の接続情報及び識別情報を記憶していても良い。この場合、管理装置１０５は、機器識別情報の他に、接続可能な二以上のアクセスポイント１０３の識別情報を送信する。第一の情報機器は、機器識別情報の一覧の他に、二以上のアクセスポイント１０３の識別情報の一覧を表示し、ユーザーから、「許可」に対応する第二の情報機器については、その第二の情報機器をどのアクセスポイント１０３に接続するかの指定を受け付けても良い。第一の情報機器が送信するユーザー指定情報には、「許可」に対応する第二の情報機器についてどのアクセスポイント１０３が指定されたかを表す情報（例えば、「許可」に対応する第二の情報機器に関する情報とアクセスポイント１０３の識別情報との対応を表す情報）が含まれる。管理装置１０５は、その情報を基に、「許可」に対応する第二の情報機器に、その第二の情報機器に対応するアクセスポイント１０３の識別情報を送信する。

また、例えば、管理装置１０５が、役割管理手段（例えば、プロセッサがコンピュータープログラムを実行することにより実現される）を備えても良い。役割管理手段は、各情報機器の役割（第一の情報機器であるか第二の情報機器であるか）を管理する。第一の情報機器１０７Ｍは、第一の情報機器としての役割（第二の情報機器のアクセスポイント１０３への接続を「許可」するか「拒否」するかを指定する管理機器としての役割）を、第二の情報機器に委譲することができる。以下、その具体例を説明する。

図１０に示すように、処理Ｂ（図６参照）のＳ９１１でＴＲＵＥの場合、Ｓ９１２の前に、Ｓ１３０１乃至Ｓ１３０３が行われる。すなわち、接続情報受信手段１０７７が、接続情報の他に委譲情報（第一の情報機器としての役割を委譲することを意味する情報）を受信したか否かを判断する（Ｓ１３０１）。Ｓ１３０１の判断の結果が否定的の場合には（Ｓ１３０１：ＦＡＬＳＥ）、Ｓ１３０２及びＳ１３０３が行われることなくＳ９１２が行われ、Ｓ１３０１の判断の結果が肯定的の場合には（Ｓ１３０１：ＴＲＵＥ）、Ｓ１３０２及びＳ１３０３が行われる。すなわち、この処理Ｂを行っている情報機器が、第一の情報機器となり（例えば、Ｓ９１０で記憶した役割情報を、第一の情報機器を意味する情報に変更し）（Ｓ１３０２）、第一の情報機器となったことの委譲完了通知を管理装置１０５に送信する（Ｓ１３０３）。なお、管理装置１０５の前述した役割管理手段は、委譲完了通知を受け、その通知の送信元の第二の情報機器に対応した、機器管理情報における区分を、第二の情報機器を意味する値「第二」から、第一の情報機器を意味する値「第一」に更新する。機器識別情報送信手段１０５４は、区分「第一」に対応した情報機器に、機器識別情報を送信する。

図１１に示すように、処理Ｃ（図７参照）のＳ１００３でＴＲＵＥの場合、ユーザー指定情報受信手段１０５６が、受信したユーザー指定情報に、「許可＋委譲」に対応した第二の情報機器に関する情報が含まれているか否かを判断する（Ｓ１４０１）。Ｓ１４０１の判断の結果が肯定的の場合（Ｓ１４０１：ＴＲＵＥ）、接続情報送信手段１０５７が、「許可＋委譲」に対応した第二の情報機器に、接続情報の他に、委譲情報を送信する（Ｓ１４０２）。なお、「許可＋委譲」の指定は、例えば、図１１に示すように、「許可＋委譲」という選択肢を選択可能なツール１４０１を用いて行われる。

図１２に示すように、処理Ｄ（図８参照）のＳ１１０３の後、接続許否指定手段１０７２が、「許可＋委譲」の指定を受けることがある（Ｓ１５０１）。ユーザー指定情報送信手段１０７４がユーザー指定情報を送信するが（Ｓ１５０２）、「許可＋委譲」がユーザーから指定された場合、そのユーザー指定情報には、「許可＋委譲」に対応した第二の情報機器に関する情報が含まれる。第一の情報機器は、「許可＋委譲」が指定された場合（Ｓ１５０３：ＴＲＵＥ）、第二の情報機器となり（例えば、Ｓ９０４で記憶した役割情報を、第二の情報機器を意味する情報に変更し）（Ｓ１５０４）、第二の情報機器となったことの委譲完了通知を管理装置１０５に送信する（Ｓ１５０５）。なお、管理装置１０５の前述した役割管理手段は、委譲完了通知を受け、その通知の送信元の第一の情報機器に対応した、機器管理情報における区分を「第一」から「第二」に更新する。

以上、本発明の好適な実施形態及び幾つかの変形例を説明したが、これらは本発明の説明のための例示であって、本発明の範囲をこれらの実施形態及び変形例にのみ限定する趣旨ではない。本発明は、他の種々の形態でも実施することが可能である。

１０３…アクセスポイント １０５…管理装置 １０７Ｍ…第一の情報機器 １０７ＳＡ，１０７ＳＢ…第二の情報機器

Claims (5)

1. 無線ＬＡＮ（Local Area Network）での通信を中継するアクセスポイントに接続情報を用いて接続しそのアクセスポイントを介して通信を行う情報機器と、
   情報機器を発見する管理手段と
   を備え、
   前記管理手段は、
   情報機器を発見し、その情報機器の機器識別情報をその情報機器から受信する機器発見手段と、
   発見された各情報機器に関する機器識別情報を含んだ管理情報を記憶する記憶手段と、
   前記管理情報を基に、前記発見された情報機器が、最初に発見された情報機器である第一の情報機器か、或いは、前記第一の情報機器が発見された後に発見された情報機器である第二の情報機器であるかの判断を行う機器判断手段と、
   前記発見された情報機器が前記第一の情報機器であれば、前記第一の情報機器に認証を求め、その求めに応答して前記第一の情報機器から送信された認証情報を用いて前記第一の情報機器を認証する認証手段と、
   前記発見された情報機器が前記第二の情報機器であれば、前記第二の情報機器の機器識別情報を、認証された前記第一の情報機器に送信する機器識別情報送信手段と、
   認証された前記第一の情報機器から、前記アクセスポイントへの接続が許可された第二の情報機器に関する情報を含んだユーザー指定情報を受信するユーザー指定情報受信手段と、
   認証された前記第一の情報機器や、前記ユーザー指定情報を基に特定される、前記アクセスポイントへの接続が許可された第二の情報機器に、認証を求めること無く前記接続情報を送信する接続情報送信手段と
   を備え、
   前記第一の情報機器は、
   前記管理手段からの認証の求めを受ける認証要求受信手段と、
   前記認証の求めに応答して認証情報の入力をユーザーに指示する認証情報入力手段と、
   前記ユーザーから入力された認証情報を前記管理手段に送信する認証情報送信手段と、
   前記管理手段から前記接続情報を受信する接続情報受信手段と、
   前記接続情報を用いて前記アクセスポイントに接続する接続手段と、
   前記管理手段から前記第二の情報機器の機器識別情報を受信する機器識別情報受信手段と、
   受信した前記第二の情報機器の機器識別情報を表示し、前記表示した機器識別情報に対応する第二の情報機器の前記アクセスポイントへの接続を許可するか否かの指定である接続許否指定を前記ユーザーから受け付ける接続許否指定手段と、
   前記接続許否指定を表すユーザー指定情報を、前記管理手段に送信するユーザー指定情報送信手段と
   を備え、
   前記第二の情報機器は、
   前記管理手段から前記接続情報を受信する接続情報受信手段と、
   前記接続情報を用いて前記アクセスポイントに接続する接続手段と
   を備える、
   ネットワーク接続制御システム。
2. 前記接続許否指定手段は、前記接続許否指定の他に、いずれの第二の情報機器に第一の情報機器としての役割を委譲するかの指定も受け付け可能であり、
   前記ユーザー指定情報には、前記アクセスポイントへの接続が許可され且つ前記役割の委譲先として指定された第二の情報機器に関する情報として、前記役割の委譲先として指定されたことを表す情報である委譲情報が含まれ、
   前記管理情報は、各情報機器の属性が第一の情報機器であるか第二の情報機器であるかを表す情報を含み、
   前記管理手段は、役割管理手段を更に備え、
   前記役割管理手段は、前記委譲情報に対応した第二の情報機器についての属性を、第一の情報機器を意味する属性に変更し、第一の情報機器として管理されていた情報機器についての属性を、第二の情報機器を意味する属性に変更し、
   前記管理手段の前記機器識別情報送信手段は、第一の情報機器を意味する属性に対応する情報機器に、前記第二の情報機器の機器識別情報を送信し、
   前記委譲情報に対応した第二の情報機器に、前記管理手段の前記認証手段が認証を求めることなく、前記管理手段の前記接続情報送信手段が前記接続情報を送信する、
   請求項１記載のネットワーク接続制御システム。
3. 前記第一の情報機器は、前記表示された機器識別情報に対応する第二の情報機器のうち、前記アクセスポイントへの接続を許可し第一の情報機器としての役割の委譲先とする特定の第二の情報機器の指定を前記ユーザーから受け付ける、
   請求項１記載のネットワーク接続制御システム。
4. 管理手段は、無線ＬＡＮ（Local Area Network）での通信を中継するアクセスポイントに接続情報を用いて接続しそのアクセスポイントを介して通信を行う情報機器を発見するステップと、
   前記管理手段は、その情報機器の機器識別情報をその情報機器から受信するステップと、
   前記管理手段は、発見された各情報機器に関する機器識別情報を含んだ管理情報を記憶するステップと、
   前記管理手段は、前記管理情報を基に、前記発見された情報機器が、最初に発見された情報機器である第一の情報機器か、或いは、前記第一の情報機器が発見された後に発見された情報機器である第二の情報機器であるかの判断を行うステップと、
   前記管理手段は、前記発見された情報機器が前記第一の情報機器であれば、前記第一の情報機器に認証を求めるステップと、
   前記第一の情報機器は、前記管理手段からの認証の求めを受けて、前記認証の求めに応答して認証情報の入力をユーザーに指示し、前記ユーザーから入力された認証情報を前記管理手段に送信するステップと、
   前記管理手段は、その求めに応答して前記第一の情報機器から送信された認証情報を用いて前記第一の情報機器を認証するステップと、
   前記管理手段は、前記発見された情報機器が前記第二の情報機器であれば、前記第二の情報機器の機器識別情報を、認証された前記第一の情報機器に送信するステップと、
   前記第一の情報機器は、前記管理手段から送信された前記第二の情報機器の機器識別情報を受信するステップと、
   前記第一の情報機器は、受信した前記第二の情報機器の機器識別情報を表示し、前記表示した機器識別情報に対応する第二の情報機器の前記アクセスポイントへの接続を許可するか否かの指定である接続許否指定を前記ユーザーから受け付けるステップと、
   前記第一の情報機器は、前記接続許否指定を表すユーザー指定情報を、前記管理手段に送信するステップと、
   前記管理手段は、認証された前記第一の情報機器から送信された、前記アクセスポイントへの接続が許可された第二の情報機器に関する情報を含んだユーザー指定情報を受信するステップと、
   前記管理手段は、認証された前記第一の情報機器や、前記ユーザー指定情報を基に特定される、前記アクセスポイントへの接続が許可された第二の情報機器に、認証を求めること無く前記接続情報を送信するステップと、
   前記第二の情報機器は、前記管理手段から前記接続情報を受信し、受信した前記接続情報を用いて前記アクセスポイントに接続するステップと、
   を有するネットワーク接続制御方法。
5. 無線ＬＡＮ（Local Area Network）での通信を中継するアクセスポイントに接続情報を用いて接続しそのアクセスポイントを介して通信を行う情報機器を発見し、その情報機器の機器識別情報をその情報機器から受信する機器発見ステップと、
   発見された各情報機器に関する機器識別情報を含んだ管理情報を記憶する記憶ステップと、
   前記管理情報を基に、前記発見された情報機器が、最初に発見された情報機器である第一の情報機器か、或いは、前記第一の情報機器が発見された後に発見された情報機器である第二の情報機器であるかの判断を行う機器判断ステップと、
   前記発見された情報機器が前記第一の情報機器であれば、前記第一の情報機器に認証を求め、その求めに応答して、前記第一の情報機器にユーザーによって入力された認証情報を前記第一の情報機器から受信し、前記受信した認証情報を用いて前記第一の情報機器を認証する認証ステップと、
   前記発見された情報機器が前記第二の情報機器であれば、前記第二の情報機器の機器識別情報を、認証された前記第一の情報機器に送信する機器識別情報送信ステップと、
   前記第二の情報機器の機器識別情報を受信してその機器識別情報を表示し表示した機器識別情報に対応する第二の情報機器の前記アクセスポイントへの接続を許可するか否かの指定である接続許否指定を前記ユーザーから受け付けてその接続許否指定を表すユーザー指定情報を送信するようになっている前記第一の情報機器から、前記アクセスポイントへの接続が許可された第二の情報機器に関する情報を含んだユーザー指定情報を受信するユーザー指定情報受信ステップと、
   認証された前記第一の情報機器や、前記ユーザー指定情報を基に特定される、前記アクセスポイントへの接続が許可された第二の情報機器に、認証を求めること無く前記接続情報を送信する接続情報送信ステップと
   をコンピュータに実行させるためのコンピュータプログラム。

Images