JP5523451B2 - 通信装置、通信装置の制御方法、プログラム - Google Patents

Description

本発明は、通信装置、通信装置の制御方法、プログラムに関する。

近年、家電製品のネットワーク対応が進んでおり、無線ＬＡＮを搭載した通信機器同士が無線基地局を経由せずに、お互いが通信を行うという使い方が増加している。

ＩＥＥＥ８０２．１１シリーズ規格に準拠した無線ＬＡＮデバイスにおいて、デバイス同士を直接接続するためにＩＢＳＳ（Ｉｎｄｅｐｅｎｄｅｎｔ Ｂａｓｉｃ Ｓｅｒｖｉｃｅ Ｓｅｔ）というアドホックネットワーク仕様がある。アドホックネットワークにおいては、すべての通信機器が対等な関係にあり、一般的に通信パラメータが正しく設定されていれば該当する通信機器同士を容易に接続することが可能である。

通信機器同士の通信を制限する方法として、ＭＡＣアドレス等の相手のアドレスを指定して受信パケットをフィルタリングする方法がある。なお、無線基地局と無線子局との間でのインフラストラクチャネットワークにおいては、基地局において接続を拒否したいＭＡＣアドレスを指定して子局の接続を制限する仕組みがある（特許文献１、２参照）。

また、無線基地局と無線子局との間で通信パラメータを簡単に設定する機能（ＷＰＳ）が、業界標準団体であるＷｉ−Ｆｉ Ａｌｌｉａｎｃｅから提案されている（非特許文献１参照）。
特開２００３−２０４３３８号公報 特開２００４‐０７２６８２号公報 Ｗｉ−Ｆｉ ＣＥＲＴＩＦＩＥＤ（ＴＭ） ｆｏｒ Ｗｉ−Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ｓｅｔｕｐ：Ｅａｓｉｎｇ ｔｈｅ Ｕｓｅｒ Ｅｘｐｅｒｉｅｎｃｅ ｆｏｒ Ｈｏｍｅ ａｎｄ Ｓｍａｌｌ Ｏｆｆｉｃｅ Ｗｉ−Ｆｉ（Ｒ） Ｎｅｔｗｏｒｋｓ，ｈｔｔｐ：／／ｗｗｗ．ｗｉ−ｆｉ．ｏｒｇ／ｗｐ／ｗｉｆｉ−ｐｒｏｔｅｃｔｅｄ−ｓｅｔｕｐ

無線ＬＡＮを搭載した通信機器同士が無線基地局を経由しないで直接接続する場合は、アドホックネットワークを使用することが多い。アドホックネットワークは、通信パラメータが通信機器同士で一致していれば、通信をすることが可能であり利便性が高い。また、通信パラメータの設定については前述のＷＰＳを適用することで容易に設定が可能である。

ある特定の通信機器をネットワークに参加させたくない場合は、インフラストラクチャネットワークでは、基地局を介して通信するので基地局にＭＡＣアドレスによるフィルタリング設定等の接続拒否の設定をすればよい。しかしながら、アドホックネットワークの通信は、基地局のような特定の機器を介して行われるわけではない。したがって、すべての通信機器にＭＡＣアドレスによるフィルタリング設定等の接続拒否の設定をしなければならず、操作が煩雑になる。

また、基地局に接続拒否の設定をしても、ＷＰＳのような通信パラメータの簡単設定技術を利用して通信機器同士で通信パラメータを設定してしまうと、通信したくない機器との通信が簡単に行えてしまう可能性もある。

本発明は、通信を拒否する対象の装置をネットワークで共有できるようにする目的とする。

また、本発明の他の目的は、以下の明細書及び図面より明らかになるであろう。

本発明は、通信装置であって、第１のネットワークに存在し、通信を拒否する対象である拒否対象装置の識別情報を登録する登録手段と、前記登録手段により登録した拒否対象装置の識別情報を第１のネットワークに存在する他の装置に通知する通知手段と、前記通知手段によって前記拒否対象装置の識別情報を前記他の装置に通知した後、前記拒否対象装置が存在する前記第１のネットワークと異なる第２のネットワークを、当該第１のネットワークで用いる通信パラメータとは異なる通信パラメータを用いて前記他の装置と構成する構成手段とを有することを特徴とする。

本発明によれば、通信を拒否する対象の装置をネットワークで共有でき、拒否対象装置との通信を防止できる。

実施例における装置構成図 実施例１および実施例３におけるネットワーク構成図 実施例１における動作シーケンス図 実施例１における装置Ａの動作フローチャート 実施例１における装置Ｂまたは装置Ｃの動作フローチャート 実施例１における動作シーケンス図 実施例１における装置Ａの動作フローチャート 実施例２におけるネットワーク構成図 実施例２における動作シーケンス図 実施例２における装置Ａの動作フローチャート 実施例２における動作シーケンス図 実施例３における動作シーケンス図 実施例３における通信装置の動作フローチャート

１０１ 装置全体
１０２ 制御部
１０３ 記憶部
１０４ 無線部
１０５ 表示部
１０６ 設定ボタン
１０７ アンテナ制御部
１０８ アンテナ
１０９ 入力部
１１１ パケット受信部
１１２ パケット送信部
１１３ 異常検出部
１１４ 切断部
１１５ アクセス制御部
１１６ 配信部
１１７ ネットワーク制御部
１１８ 自動設定部
１１９ 拒絶部
１２０ 登録通知部

以下、本実施形態に係る通信装置について、図面を参照しながら詳細に説明する。以下では、ＩＥＥＥ８０２．１１シリーズに準拠した無線ＬＡＮシステムを用いた例について説明するが、通信形態は必ずしもＩＥＥＥ８０２．１１準拠の無線ＬＡＮには限らない。

図１は本発明を適用できる実施形態に係る、後述の各装置の構成の一例を表すブロック図である。図１（ａ）は、ハードウェア構成の一例であり、図（ｂ）は、ソフトウェア機能ブロックの構成の一例である。図１（ａ）の１０１は装置全体を示す。１０２は、記憶部１０３に記憶される制御用のコンピュータプログラムを実行することにより装置全体を制御する制御部である。制御部１０２は、他の装置との間で通信パラメータの設定制御も行う。１０３は制御部１０２が実行する制御プログラムと、通信パラメータ等の各種情報を記憶する記憶部である。後述する各種動作は、記憶部１０３に記憶された制御プログラムを制御部１０２が実行することにより行われる。１０４はＩＥＥＥ８０２．１１シリーズに準拠した無線ＬＡＮ通信を行うための無線部である。１０５は各種表示を行う表示部でありＬＣＤやＬＥＤのように視覚で認知可能な情報の出力、あるいはスピーカなどの音出力が可能な機能を有する。表示部１０５は視覚情報および音情報の少なくともどちらか一方を出力する機能を備えるものである。

１０６は通信パラメータ設定処理を開始するトリガを与える設定ボタンである。設定ボタン１０６が操作されると、通信パラメータの自動設定処理が開始される。制御部１０２は、ユーザによる設定ボタン１０６の操作を検出すると、後述する処理を実施する。１０７はアンテナ制御部、そして１０８はアンテナである。１０９は、ユーザが各種入力を行うための入力部である。

図１（ｂ）の１１１は各種通信にかかわるパケットを受信するパケット受信部である。１１２は各種通信にかかわるパケットを送信するパケット送信部である。１１３は、異常検出部であり、通信相手装置の異常の検出を行う。異常検出部１１３は、通信相手のセキュリティ上の問題が発生した場合に該問題を検出する。例えば、通信相手がＤｏｓ攻撃の送信元であることを検出、又はコンピュータウィルスへの感染を検出する。また、異常検出部１１３は、通信相手の通信が他の装置の通信を妨害し、その装置が存在することにより通信帯域を圧迫していることも異常として検出する。また、通信相手の故障も異常として検出する。さらに、通信相手がネットワークポリシーに反する動作を実施した場合、ユーザの意思（操作）による接続拒否設定を実施する場合も、異常として検出する。

１１４は、通信相手との接続を切断する切断部である。切断部１１４は、通信相手を切断する場合は、切断通知を相手に送信し、該相手を切断する。また、通信相手から切断通知を受けた場合は、切断通知を送信してきた装置との接続を切断する。１１５は、アクセス制御部であり、後述するＭＡＣアドレスフィルタリングなどの無線通信の許可・不許可を制御する機能は、本アクセス制御部２１３にて実施される。フィルタリングする通信拒否対象の通信装置の識別情報であるＭＡＣアドレス情報は、記憶部１０３の拒否ＭＡＣアドレスリストに保持される。１１６は、配信部であり、記憶部１０３に記憶している拒否ＭＡＣアドレスリストを他の装置に配信する。また、配信部１１６は、他の装置から配信された拒否ＭＡＣアドレスリストを受信する。配信部１１６が受信した拒否ＭＡＣアドレスリストに基づき、アクセス制御部１１５は既に記憶している拒否ＭＡＣアドレスリストを更新する。

１１７は、無線ＬＡＮネットワークの構築、ネットワークへの接続処理等のネットワークの各種制御を行うネットワーク制御である。１１８は、ネットワーク情報である通信パラメータの自動設定部である。本実施形態では、ネットワーク識別子としてのＳＳＩＤ、暗号方式、暗号鍵、認証方式、認証鍵等の無線ＬＡＮ通信を行うために必要な通信パラメータの自動設定を行う。なお、通信パラメータの自動設定を、以下、自動設定と簡略化する。自動設定部１１８は、ネットワークの管理装置を決定するための処理、通信パラメータを他の装置に提供する処理、又は提供される通信パラメータを受信するための処理を行う。通信パラメータの共有処理（提供処理、受信処理）は、予め決められている通信プロトコルを装置間で実施することにより行われる。また、自動設定部１１８は、設定ボタン１０６のユーザによる操作を検出すると、各種処理を開始する。

これら機能ブロックはソフトウェアもしくはハードウェア的に相互関係を有するものである。また、上記機能ブロックは一例であり、複数の機能ブロックが１つの機能ブロックを構成するようにしてもよいし、何れかの機能ブロックが更に複数の機能を行うブロックに分かれてもよい。

図２は、通信装置Ａ２２（以下、装置Ａ）、通信装置Ｂ２３（以下、装置Ｂ）、通信装置Ｃ２４（以下、装置Ｃ）、ネットワークＡ２１（以下、ネットワークＡ）を示した図である。これらの通信装置は、図１の構成を有している。装置ＡがネットワークＡの管理装置となっており、装置Ａのネットワーク制御部１１７がネットワークを構築し、装置Ａに装置Ｂおよび装置Ｃが接続している。

図３は、装置Ａ，装置Ｂおよび装置Ｃにおいて設定ボタン１０６が押下され、各装置間で通信パラメータの自動設定処理を実施して接続した後に装置Ｃに問題が発生し、装置Ａが装置Ｃを切り離す例を示すシーケンス図である。

ユーザは、装置Ａと装置Ｂにおいてそれぞれ設定ボタン１０６を押下する。これにより、装置Ａと装置Ｂとの間で無線ＬＡＮのセットアップ処理が実施される（Ｆ３０１）。無線ＬＡＮのセットアップ処理において、装置ＡはネットワークＡの管理装置として動作することが決定される。そして、自動設定部１１８の処理により装置Ａから装置Ｂに通信パラメータが提供され、装置Ａと装置Ｂとで通信パラメータが共有化される。セットアップ完了後、装置Ｂが装置Ａに接続する。

装置Ａと装置Ｃの設定ボタン１０６の押下が検出されると、装置Ａと装置Ｃとの間でも無線ＬＡＮのセットアップ処理が実施される（Ｆ３０２）。装置Ａと装置Ｂとの場合と同様に、セットアップ完了後、装置Ｃが装置Ａに接続する。なお、装置Ａと装置Ｃがセットアップを実施している間も、装置Ｂは装置Ａと継続して通信可能である。

装置Ａ、装置Ｂおよび装置Ｃにより第１のネットワークであるネットワークＡが構成された後、装置Ａの異常検出部１１３が、装置Ｃの異常を検出したとする（Ｆ３０３）。異常検出部１１３は、セキュリティ上の問題を検出、装置Ｃの通信が他の装置の通信を妨害し、装置Ｃが存在することにより通信帯域を圧迫していることを検出、デバイスの故障などを検出する。セキュリティ上の問題を検出とは、装置ＣがＤｏｓ攻撃の送信元であることを検出、又はコンピュータウィルスへの感染を検出である。また、装置ＣがネットワークＡのネットワークポリシーに反する動作を実施した場合なども、異常として検出する。また、ユーザの意思（操作）による接続拒否設定を実施する場合も、異常として検出する。

異常を検知した装置Ａは装置ＣをネットワークＡから切り離すために、切断部１１４により装置Ｃに切断通知を送信し、装置Ｃを切断する（Ｆ３０４）。装置Ｃをネットワークから切り離した装置Ａのアクセス制御部１１５は、装置ＣのＭＡＣアドレスを記憶部１０３の拒否ＭＡＣアドレスリストに登録する（Ｆ３０５）。拒否ＭＡＣアドレスリストとは、装置Ａが無線通信を不許可とするＭＡＣアドレスフィルタリングの対象となった装置のＭＡＣアドレスを管理しているリストである。

拒否ＭＡＣアドレスリストを更新した装置Ａは、配信部１１６により配下の通信装置（本実施例では、装置Ｂ）へ拒否ＭＡＣアドレスリストを配信する（Ｆ３０６）。配信する拒否ＭＡＣアドレスリストには、装置Ａが接続拒否を実施している全てのＭＡＣアドレスが記載されていても良いし、追加・変更・削除のあったＭＡＣアドレスのみが記載されていても良い。

装置Ａからの拒否ＭＡＣアドレスリストを受信した装置Ｂのアクセス制御部１１５は、装置ＣのＭＡＣアドレスを記憶部１０３の拒否ＭＡＣアドレスリストに登録する（Ｆ３０７）。また、拒否ＭＡＣアドレスリストを正常に受信したことを通知するために、リスト受領通知を装置Ａに送信する（Ｆ３０８）。

リスト受領通知を受信した装置Ａは、ネットワーク制御部１１７により第２のネットワークであるネットワークＡを再構成する（Ｆ３０９）。このときは、装置Ｃを除外した新しいネットワークを構築する。なお、ネットワークを再構成せずに、単に拒否ＭＡＣアドレスリストだけを更新することでもよい。すなわちネットワークの再構成の実施は任意である。しかしながら、ＭＡＣアドレスは改竄される可能性があるため、ネットワークは再構成することが望ましい。

図４は装置Ａにおける処理を説明するフローチャートであり、図５は装置Ｂおよび装置Ｃの処理を説明するフローチャートである。これらの処理は、制御部１０２が記憶部１０３に記憶されている制御プログラムを読み出して実行することにより実施される。図４においては、無線ＬＡＮセットアップは省略してある。すなわち、図３におけるＦ３０３以降の動作フロー図となっている。

通信装置（装置Ａ）は、異常検出部１１３により、通信相手装置の異常を検知するかを判定する（Ｓ４０１）。異常検出部１１３が異常を検知した場合は、切断部１１４が異常を検知した通信装置（本実施例では装置Ｃ）へ向けて切断通知を送信して接続を切断する切断処理を行う（Ｓ４０２）。その後、異常と判定した通信装置（本実施例では装置Ｃ）のＭＡＣアドレスをアクセス制御部１１５が記憶部１０３の拒否ＭＡＣアドレスリストに登録し、ＭＡＣアドレスフィルタリングを設定（更新）する（Ｓ４０３）。この設定により、異常と判定した通信装置（本実施例では装置Ｃ）との通信が拒否される。

拒否ＭＡＣアドレスリストを更新した後、配信部１１６が該リストを配下の通信装置（本実施例では装置Ｂ）へ配信する（Ｓ４０４）。リスト配信後、配信部１１６は配信先の全ての通信装置から受領通知を受信したかを判定する（Ｓ４０５）。本実施例では配信対象の通信装置は装置Ｂ一つのみであるが、ネットワークの規模が大きな場合は、複数の配信対象の通信装置が存在し、配信部１１６はリストをこれら複数の装置に配下する。所定時間が経過しても全ての配信先から受領通知を受信していない場合は、Ｓ４０４に戻り、再度、拒否ＭＡＣアドレスリストを配信する。ここでの再送処理については、受領通知を受信していない通信装置のみに対してでもよいし、全ての通信装置に再送してもよい。

リストを配信した全ての通信装置から受領通知を受信した場合は、ネットワーク制御部１１７は、ネットワークの再構成処理を開始するための開始通知をネットワークに送信する（Ｓ４０６）。その後、ネットワーク制御部１１７は、ネットワークを再構成する（Ｓ４０７）。ネットワークの再構成は、ネットワークの再構成開始の通知を送信した後に改めて無線ＬＡＮセットアップを実施することで実現できる。もしくは、初回の無線ＬＡＮセットアップ（Ｆ３０１）において、複数の通信パラメータを配布しておき、Ｓ４０６においてネットワークの再構成を通知する際に、使用する通信パラメータを指定し、指定した通信パラメータに切り替えるという手法をとっても良い。

図５に基づいて装置Ｂおよび装置Ｃの動作を説明する。図５は図４と同様に、無線ＬＡＮセットアップ処理は省略してあり、すでにネットワークが構築されているものとする。

通信装置（装置Ｂ、Ｃ）は、配信部１１６により拒否ＭＡＣアドレスリストを受信したか否かを判定する（Ｓ５０１）。リストを受信しない場合は、切断部１１４により切断通知を受信したかを判定する（Ｓ５０６）。切断通知を受信しなければ、ステップＳ５０１に戻る。本実施例の場合は、装置Ｂは、拒否ＭＡＣアドレスリストを受信し、装置Ｃは切断通知を受信する。

Ｓ５０１において拒否ＭＡＣアドレスリストを受信した装置Ｂのアクセス制御部１１５は、リストに掲載されている通信を拒否すべき装置のＭＡＣアドレスを、自身のＭＡＣアドレスフィルタリング機能に追加設定する（Ｓ５０２）。ＭＡＣアドレスフィルタリングに設定ができたのち、アクセス制御部１１５は、受領通知を拒否ＭＡＣアドレスリストの送信元へと送信する（Ｓ５０３）。受領通知を送信したのち、装置Ａからは、ネットワークの再構成開始通知が送信される。装置Ｂのネットワーク制御部１１７は、ネットワークの再構成の開始を通知する開始通知が受信されたか否かを判定する（Ｓ５０４）。

再構成の開始通知を受信した場合は、ネットワークを再構成実施する（Ｓ５０５）。ネットワークの再構成は、ネットワークの再構成開始の通知を送信した後に改めて無線ＬＡＮセットアップを実施することにより実現できる。もしくは、初回の無線ＬＡＮセットアップ（Ｆ３０１）において、複数の通信パラメータが配布され、Ｓ５０６においてネットワークの再構成を通知された際に、利用する通信パラメータが指定され、指定された通信パラメータに切り替えるという手法をとっても良い。Ｓ５０２において切断通知を受信した装置Ｃの切断部１１４は、装置Ａとの接続を切断する切断処理を行う（Ｓ５０７）。

次に、拒否ＭＡＣアドレスリストに登録し、該通信機器を切断した後の処理について説明する。

図６は、装置Ａ、装置Ｂおよび装置Ｃにおいて、装置Ｃに問題が発生し、装置Ａが装置Ｃを切り離した後に、再度それぞれの装置において設定ボタン１０６を操作した場合の例を示すシーケンス図である。

装置Ａ，装置Ｂおよび装置ＣからネットワークＡが構築されている場合に、装置Ｃになんらかの異常が発生し、装置Ａの切断部１１４が装置Ｃに向けて切断通知を送信する（Ｆ６０１）。装置Ｃを切り離した装置Ａのアクセス制御部１１５は、装置ＣのＭＡＣアドレスを記憶部１０３の拒否ＭＡＣアドレスリストに登録する（Ｆ６０２）。装置Ａの配信部１１６は配下の通信装置（本実施例では装置Ｂ）に向けて拒否ＭＡＣアドレスリストの情報を配信する（Ｆ６０３）。拒否ＭＡＣアドレスリスト情報の配信を受けた通信装置（装置Ｂ）のアクセス制御部１１５は、受信したリストに基づいて、装置ＣのＭＡＣアドレスを記憶部１０３の拒否ＭＡＣアドレスリストに登録する（Ｆ６０４）。そして、リスト受領通知を送信する（Ｆ６０５）。異常が発生した通信装置以外の通信装置（本実施例では、装置Ａと装置Ｂ）とで新たなネットワークを構築する（Ｆ６０６）。

ここで、ネットワークを再構成した後、装置Ａと装置Ｃにおいて、再度、設定ボタン１０６がユーザにより操作され、該操作が検出されたとする（Ｆ６０７、Ｆ６０８）。装置Ａにおいては、Ｆ６０２において登録した拒否ＭＡＣアドレスリストが有効であるため、装置Ａの拒絶部１１９が装置Ｃに向けて参加拒絶通知を送信し、装置Ｃの新規参加を拒絶する。（Ｆ６０９）。設定ボタン１０６の操作が検出されると、自動設定部１１８は、相手装置を探索するための処理、ネットワーク管理装置の決定のための処理、通信パラメータを提供又は受信するための処理のために、装置間で信号を送受信する。この信号には、信号の送信元の装置のＭＡＣアドレスが付加されている。自動設定部１１８が探索処理、管理装置決定処理又は通信パラメータの自動設定処理を行う際に、アクセス制御部１１５は、受信した信号に付加されているＭＡＣアドレスが、拒否ＭＡＣアドレスリストに登録されているかどうかを確認する。拒否ＭＡＣアドレスリストに登録されている装置から、管理装置決定のための処理が要求された場合と、通信パラメータの提供が要求された場合は、拒絶部１１９が要求元に参加拒絶通知を送信する。装置Ａは、参加を拒絶した装置とは、管理装置決定の処理及び通信パラメータの提供処理は実施しない。

次に、装置Ｂと装置Ｃとの間で設定ボタン１０６が操作された場合（Ｆ６１０、Ｆ６１１）を考える。

この場合、装置Ｂには装置Ａが保持しているものと同内容の拒否ＭＡＣアドレスリストが設定されているため、装置Ａと装置Ｃの場合と同様に、装置Ｂの拒絶部１１９は装置Ｃの新規参加を拒絶する。よって、装置Ｂから装置Ｃに向けて参加拒絶通知を送信する（Ｆ６１２）。

以上のように、拒否ＭＡＣアドレスリストに登録された通信装置は、再度セットアップを実施しようとしても接続を拒否され、ネットワークＡに参加する装置との通信ができなくなる。

図７に基づいて、装置Ａ及び装置Ｂの処理を説明する。この処理も制御部１０２が記憶部１０３に記憶されている制御プログラムを読み出して実行するとにより実施される。通信装置において設定ボタン１０６が操作されたことを検出する（Ｓ７０１）。設定ボタン１０６の操作が検出されると、自動設定部１１８が通信パラメータの自動設定処理を開始する。自動設定処理を相手装置と行うために、設定処理のパケットが受信される。アクセス制御部１１５は相手の装置のＭＡＣアドレスが拒否ＭＡＣアドレスリストに含まれているかどうかを判定する（Ｓ７０２）。相手装置が拒否ＭＡＣアドレスリストに含まれない場合は、自動設定部１１８は管理装置の決定処理、及び通信パラメータの提供又は受信処理を行うネットワーク設定処理（セットアップ処理）を実施する（Ｓ７０３）。

相手装置（本実施例では装置Ｃ）が拒否ＭＡＣアドレスリストに含まれる場合は、拒絶部１１９が相手（装置Ｃ）に対して参加拒絶通知を送信し（Ｓ７０４）、該相手との通信パラメータの自動設定処理が実行しないようにする。そして、拒絶部１１９は、表示部１０５に自動設定の実行を拒否することをユーザに通知するために、設定拒否（エラー）を表示する（Ｓ７０５）。

なお、参加拒絶状態を解除するためには、Ｆ３０３で検出した異常が回復したことを検出した時点で自動的に解除する方法がある。または、ユーザ操作により明示的に解除処理を実施してもよい。

以上のように、ある装置が特定の装置をネットワークから切り離す設定を行うと、他の装置にその設定を反映させることができる。その結果、ネットワークから切り離した装置が別の経路（別装置経由）でネットワークに参加することを防ぐことができる。また、特定の装置をネットワークから切り離した後に、他の装置とネットワークを再構成することにより、切り離した装置が再接続することを防止できる。また、ネットワークから切り離した装置において通信パラメータの自動設定の操作が行われても、その装置とは自動設定処理が実行されないようにし、再接続を防止できる。また、自動設定処理が実行されなかった場合は、相手が接続拒否対象の装置のために設定が拒否されたことをユーザに通知するため、操作性（使い勝手）を向上できる。

また、通信相手の通信装置の異常を検出した場合に、該装置をネットワークから切り離すことが可能となる。同時に、ネットワークの他の装置に異常が検出された装置の情報を配信し、再設定・再接続を禁止することができる。これらの効果は、基地局を経由せずに通信装置同士が直接通信するシステムにおいて特に有効である。

図８は、通信装置である装置Ａ８２（装置Ａ）、装置Ｂ８３（装置Ｂ）、装置Ｃ８４（装置Ｃ）、ネットワークＡ８１（ネットワークＡ）、アクセスポイント８５（ＡＰ）、ＩＴインフラサーバ８６（インフラサーバ）を示した図である。装置Ａ、装置Ｂおよび装置Ｃは、実施例１で説明した図１の構成を有している。

インフラサーバは、ネットワークの接続ポリシーを管理しており、ネットワークへ接続しようとする通信機器の機器認証やユーザ認証を行うサーバである。装置ＡがＡＰと無線ＬＡＮ又は有線ＬＡＮ等によって接続する場合は、装置Ａに接続する装置はインフラサーバによる認証処理が実施される。

装置Ａは、ネットワークＡの管理装置となっており、装置Ａに装置Ｂおよび装置Ｃが接続している。装置Ａはさらに、ＡＰへ接続し、装置ＡおよびＡＰはインフラサーバによって管理されている。すなわち、装置Ａを中心とするネットワークＡはインフラサーバの管轄下にある。装置Ｂおよび装置Ｃは、装置Ａとの間で無線ＬＡＮセットアップを実施している。装置ＡがネットワークＡの管理装置となり、装置Ｂおよび装置Ｃを含むネットワークＡを構築している。

図９は、装置ＡがＡＰに接続している状態で，各装置間の間で自動設定処理を実施し接続を試みた場合に、装置Ｃに問題があり、装置Ａが装置Ｃを切り離す例を示すシーケンス図である。

装置Ａと装置Ｂにおいてそれぞれ設定ボタン１０６が押下されたことを検出する。これにより、装置Ａと装置Ｂとの間で無線ＬＡＮのセットアップ処理が実施される（Ｆ９０１）。無線ＬＡＮのセットアップ処理において、装置ＡはネットワークＡの管理装置として動作することが決定される。

セットアップ処理中又はセットアップ処理が完了すると、装置Ａの登録通知部１２０はインフラサーバにネットワークＡに新規参加する通信装置が存在することを通知する（Ｆ９０２）。この通知は、装置Ａの登録通知部１２０がインフラサーバへ向けて、装置Ｂの情報を登録通知信号に付加して送信する。装置Ｂの情報としては、装置ＢのＭＡＣアドレス、デバイスタイプ（種類）、機能などである。または、セットアップ処理時又はセットアップ処理終了後に、装置Ａが装置Ｂからパスワード等の認証情報を受信し、この認証情報をインフラサーバに通知してもよい。

登録通知（Ｆ９０２）を受信したインフラサーバは、自身の保有するネットワークポリシーに基づいて、装置Ｂをネットワークに参加させることの可否を判定する。装置Ｂについてはネットワークへの参加を認めるものとする場合は、インフラサーバは装置Ａへ向けて登録ＯＫの通知を送信する（Ｆ９０３）。

登録ＯＫ通知を受信した装置Ａは、ネットワークＡの管理装置として動作することと決定されているため、装置Ｂから接続が要求されると、装置Ｂとの接続を許可する。ここでいうネットワークポリシーは、例えば、装置Ｂがインフラサーバに事前登録済か否か、あるいは装置Ｂがもつセキュリティ機能がインフラサーバのセキュリティポリシーと合致するか否かなどが考えられる。また、パスワード等の認証情報による認証の成否でもよい。

次に、装置Ａと装置Ｃとの間で無線ＬＡＮのセットアップ処理を実施する（Ｆ９０４）。なお、装置Ａと装置Ｃがセットアップを実施している間も、装置Ｂは装置Ａと通信はできる。無線ＬＡＮのセットアップ処理において、装置ＡはネットワークＡの管理装置として動作することが決定される。

セットアップ処理中又はセットアップ処理が完了すると、装置Ａの登録通知部１２０はインフラサーバにネットワークＡに新規参加する通信装置が存在することを通知する（Ｆ９０５）。この通知は、装置Ａの登録通知部１２０がインフラサーバへ向けて、装置Ｃの情報を登録通知信号に付加して送信する。装置Ｃの情報としては、装置ＣのＭＡＣアドレス、デバイスタイプ（種類）、機能などである。または、セットアップ処理時又はセットアップ処理終了後に、装置Ａが装置Ｃからパスワード等の認証情報を受信し、この認証情報をインフラサーバに通知してもよい。

登録通知（Ｆ９０５）を受信したインフラサーバは自身の保有するネットワークポリシーに基づいて、装置Ｃをネットワークに参加させることの可否を判定する。装置Ｃについてはネットワークへの参加を認めないものとする場合は、インフラサーバは装置Ａへ向けて登録拒絶の通知を送信する（Ｆ９０６）。

登録拒絶の通知を受信した装置Ａの切断部１１４は、装置Ｃへ向けて切断通知（又は拒絶部１１９が参加拒否の通知）を送信する（Ｆ９０７）。その後は、実施例１において装置Ｃの異常を検出した場合の装置Ａからの装置Ｃの切り離し処理と同様のシーケンスとなる。すなわち、装置Ｃをネットワークから切り離した装置Ａのアクセス制御部１１５は、装置ＣのＭＡＣアドレスを拒否ＭＡＣアドレスリストに登録する（Ｆ９０８）。拒否ＭＡＣアドレスリストを更新した装置Ａは、配信部１１６により配下の通信装置（本実施例では、装置Ｂ）へ拒否ＭＡＣアドレスリストを配信する（Ｆ９０９）。

装置Ａからの拒否ＭＡＣアドレスリストを受信した装置Ｂのアクセス制御部１１５は、拒否ＭＡＣアドレスリストを更新し、接続拒否対象の装置のＭＡＣアドレスを拒否ＭＡＣアドレスリストに登録する（Ｆ９１０）。また、リストを正常に受信した旨の、リスト受領通知を送信する（Ｆ９１１）。

リスト受領通知を受信した装置Ａのネットワーク制御部１１７は、ネットワークＡを再構成する（Ｆ９１２）。このネットワーク再構成では、装置Ｃを除外した新しいネットワークを構築する。なお、ネットワークは再構築せずに、単に拒否ＭＡＣアドレスリストだけを更新することでもよい。この後、装置Ｃにより設定ボタン１０６が操作されても、ネットワークＡの装置とは自動設定は行われない。

ここで、インフラサーバへの登録通知（Ｆ９０２、Ｆ９０５）及び、認証結果の通知（Ｆ９０３、Ｆ９０６）は、セットアップ処理中又はセットアップ処理完了後でもよいとした。セットアップ処理中にこれらの処理を実施する場合は、管理装置である装置Ａから装置Ｂに通知パラメータが提供される前に、登録通知と認証結果の受信を実施する。そして、インフラサーバから登録ＯＫが送られてきた場合には、自動設定部１１８の処理により通信パラメータの自動設定処理（装置Ａから装置Ｂに提供）を行い、装置Ａと装置Ｂとで通信パラメータを共有化する。また、登録が拒絶された場合は、セットアップ処理を中断し、通信パラメータを拒絶対象の装置（装置Ｃ）に提供しないようにする。このとき装置Ｃには、通信パラメータをまだ提供していないので、ネットワークへの参加を拒絶するために、拒絶部１１９が参加拒絶を通知する（Ｆ９０７）。

このように、インフラサーバによりネットワークＡへの参加が許可された装置に対しては通信パメータを提供し、参加が拒否された装置には提供しないようにする。このようにすることにより、参加が拒否される装置へ通信パラメータが提供されることを防止し、ネットワークのセキュリティを強化できる。

また、セットアップ処理完了後に登録通知と認証結果の受信を実施する場合は、装置Ａから装置Ｂ又は装置Ｃに通知パラメータが提供された後にインフラサーバに登録通知が行われる。このとき装置Ｃには、通信パラメータを提供済みまので、ネットワークからの切断を指示するために、切断部１１４が切断通知を送信する（Ｆ９０７）。このようにすることにより、通信パラメータの自動設定処理とネットワークへの参加のための認証処理を別々に行うことができ、自動設定処理時の負荷が大きくなることを防止できる。

本実施例における装置Ａにおける処理を図１０を用いて説明する。この処理も制御部１０２が記憶部１０３に記憶されている制御プログラムを実行することにより実施される。

装置Ａの自動設定部１１８は、設定ボタン１０６が押下されたかどうかを判定する（Ｓ１００１）。設定ボタン１０６の押下を検出した場合、セットアップ処理を実施する通信相手を検索する。装置Ａのアクセス制御部１１５は、検索の結果検出された通信相手のＭＡＣアドレスが、自装置の保有する拒否ＭＡＣアドレスリストに登録されているかどうかを判定する（Ｓ１００２）。通信相手のＭＡＣアドレスが拒否ＭＡＣアドレスリストに含まれない場合は、自動設定部１１８は管理装置の決定処理、及び通信パラメータの提供又は受信処理を行うネットワーク設定処理（セットアップ処理）を開始する（Ｓ１００３）。そして、装置Ａの登録通知部１２０はインフラサーバに登録通知を送信する（Ｓ１００４）。なお、ステップＳ１００４は、ネットワーク設定処理中（セットアップ処理中）に実施する方法と、終了後に実施する方法とがある。

登録通知送信後、装置Ａは、インフラサーバからの返信を待つ（Ｓ１００５）。返信の結果が、登録ＯＫであれば、処理を終了する。なお、ネットワーク設定処理中（セットアップ処理中）にステップＳ１００４を実施した場合は、登録ＯＫを受信した後に、自動設定処理により通信パラメータの提供、受信が行われる。一方、返信の結果が、登録拒絶であった場合は、切断部１１４（又は拒絶部１１９）が切断通知（又は参加拒絶通知）を通信相手へ送信する（Ｓ１００８）。なお、ネットワーク設定処理中（セットアップ処理中）にステップＳ１００４を実施した場合は、拒絶部１１９が参加拒絶を通知し、ネットワーク設定処理後（セットアップ処理後）にステップＳ１００４を実施した場合は、切断部１１４が切断を通知する。そして、その通信相手のＭＡＣアドレスを拒否ＭＡＣアドレスリストに登録する（Ｓ１１０９）。

拒否ＭＡＣアドレスリストに登録後、配信部１１６がリストを配下の通信装置へ配信する（Ｓ１０１０）。拒否ＭＡＣアドレスリストを配信した後、配信した全ての通信装置からの受領通知を待つ（Ｓ１０１１）。すべての通信装置から受領通知を受信したら、ネットワークの再構成を実施（Ｓ１０１２）し処理を終了する。すべての通信装置から受領通知を受信しない場合は、再度拒否ＭＡＣアドレスリストを配信する。

また、ステップＳ１００２において、通信相手のＭＡＣアドレスが拒否ＭＡＣアドレスリストに含まれている場合は、拒絶部１１９が相手装置にネットワークへの参加を拒絶する参加拒絶通知を送信する（Ｓ１００６）。参加拒絶通知を送信して、該相手との通信パラメータの自動設定処理が実行しないようにする。そして、拒絶部１１９は、表示部１０５に自動設定の実行する拒否することをユーザに通知するために、設定拒否（エラー）を表示する（Ｓ１００７）。

ここまでの説明では、セットアップ処理中又はセットアップ処理完了後に登録通知を装置Ａがインフラサーバに通知する構成について説明してきた。この他にも、装置Ａが配下の通信装置情報を定期的にインフラサーバに通知するようにしてもよい。このような構成をとると、一時的にネットワークから離脱した通信装置が存在する場合や、ネットワークへの接続が完了した後にネットワークの接続ポリシーが変化した場合などに対応が可能となる。

この構成の場合のシーケンスが図１１である。装置Ａと装置Ｂにおいてそれぞれ設定ボタン１０６を押下する。これにより、装置Ａと装置Ｂとの間で無線ＬＡＮのセットアップ処理が実施される（Ｆ１１０１）。セットアップ処理中又は完了後に、装置ＡはインフラサーバにネットワークＡに新規参加の通信装置が存在することを通知するために、登録通知を送信する（Ｆ１１０２）。登録通知（Ｆ１１０２）を受信したインフラサーバは自身の保有するネットワークポリシーに基づいて、装置Ｂをネットワークに参加させることの可否を判定する。ここで、装置Ｂについてはネットワークへの参加を認めるものとする場合は、インフラサーバは装置Ａへ向けて登録ＯＫ通知を送信する（Ｆ１１０３）。ネットワークＡの管理装置として、装置Ａは動作することとあらかじめ決定されているため、セットアップ完了後、装置Ｂが装置Ａに接続することとなる。装置Ａは定期的に配下の通信装置の状況をインフラサーバに報告するために、配下端末報告を送信する（Ｆ１１０４〜Ｆ１１０５）。

ここでセットアップをしておらず、偶然通信パラメータが同一であった装置ＣがネットワークＡに接続してくる場合を考える。装置Ｃはインフラサーバのネットワーク管理ポリシーに反している装置であるとする。

装置Ｃが装置Ａに接続を行う（Ｆ１１０６）。装置Ａは装置Ｃが接続してきたため、次回のＩＴインフラサーバへの定期報告にて装置Ｃの存在も合わせて報告する（Ｆ１１０７）。Ｆ１１０７の配下端末報告を受けたインフラサーバは、装置Ｃがネットワークポリシーに反するため、排除勧告を装置Ａに送信する（Ｆ１１０８）。排除勧告Ｆ１１０８を受信した装置Ａの切断部１１４は、装置Ｃへ向けて切断通知を送信する（Ｆ１１０９）。その後は、実施例１において装置Ｃの異常を検出した場合の装置Ａからの装置Ｃの切り離し処理と同様のシーケンスとなる。すなわち、装置Ｃをネットワークから切り離した装置Ａは、装置ＣのＭＡＣアドレスを拒否ＭＡＣアドレスリストに登録する（Ｆ１１１０）。拒否ＭＡＣアドレスリストを更新した装置Ａは配下の通信装置（本実施例では、装置Ｂ）へ拒否ＭＡＣアドレスリストを配信する（Ｆ１１１１）。

装置Ａからの拒否ＭＡＣアドレスリストを受信した装置Ｂは、拒否ＭＡＣアドレスリストを更新し（Ｆ１１１２）、リストを正常に受信した旨の、リスト受領通知を送信する（Ｆ１１１３）。

リスト受領通知を受信した装置Ａは、ネットワークＡを再構成する。（Ｆ１１１４）このとき装置Ａと装置Ｂは、装置Ｃを除外した新しいネットワークを構築する。ただし、場合によってはネットワークを再構成しないまま、拒否ＭＡＣアドレスリストを更新することでもよい。

図１２では、装置Ｃは偶然ネットワークＡと同一の通信パラメータを保持していたと述べた。それ以外にも、装置Ａと装置Ｃであらかじめセットアップ処理が実施済みであり、一時的にネットワークＡから離脱しており、その離脱期間中にインフラサーバの保持するネットワークポリシーが変化した場合についても同様のシーケンスで説明することが可能である。

さらに、セットアップ時はすべての通信装置の接続が認められていながら、接続完了後に、インフラサーバのネットワークポリシーが変更された場合は、ネットワークポリシーに反してしまう通信装置が出てくることがある。このような場合についても、図１１で説明したような動作シーケンスによって処理を説明することができる。

以上のように本実施形態では、ネットワークＡに参加できる通信装置をインフラサーバが保持するネットワークポリシーに基づいて制御することができる。

実施例１では、ネットワーク管理装置（実施例１では装置Ａ）がネットワーク接続装置（実施例１では装置Ｃ）の異常を検知してネットワークから排除する場合について説明した。実施例３では、ネットワーク接続装置（ここでは装置Ｃ）がネットワーク管理装置（ここでは装置Ａ）の異常を検知した場合の挙動について説明する。

通信装置は、実施例１および実施例２と同様に図１の構成を有している。また、ネットワーク構成は実施例１と同様に図２の構成であるとする。

図１２は、装置Ａ，装置Ｂおよび装置Ｃにおいて設定ボタン１０６が押下され、各装置間の間で自動設定処理を実施し接続したのちに、装置Ａに問題が発生した場合に、装置Ａが装置Ｃを切り離す一例を示すシーケンス図である。

装置Ａと装置Ｂにおいてそれぞれ設定ボタン１０６を押下されると、装置Ａと装置Ｂとの間で無線ＬＡＮのセットアップ処理が実施される（Ｆ１２０１）。セットアップ処理において、装置ＡはネットワークＡの管理装置として動作することが決定される。よって、セットアップ完了後、装置Ｂが装置Ａに接続する。

装置Ａと装置Ｃとの間で無線ＬＡＮのセットアップ処理が実施される（Ｆ１２０２）。装置Ａと装置Ｂとの場合と同様に、セットアップ完了後、装置Ｃが装置Ａに接続する。なお、装置Ａと装置Ｃがセットアップを実施している間も、装置Ｂは装置Ａと通信はできる。

装置Ａ、装置Ｂおよび装置ＣからネットワークＡが構成された後、装置Ｂおよび装置Ｃは、装置Ａの異常を検知するとする（Ｆ１２０３、Ｆ１２０５）。ここでの異常の定義は、実施例１の説明で述べたものと同等とする。異常を検知した装置Ｂは装置Ａとの接続を取りやめるために、切断通知を送信する（Ｆ１２０４）。同様に、装置Ｃも装置Ａへ向けて切断通知を送信する（Ｆ１２０６）。装置Ａをネットワークから切り離した装置Ｂおよび装置Ｃは、装置ＡのＭＡＣアドレスを拒否ＭＡＣアドレスリストに登録する（Ｆ１２０７、Ｆ１２０８）。

以上の動作により、ネットワークＡから装置Ｂおよび装置Ｃは離脱することとなる。ここで、装置Ａと装置Ｃの設定ボタン１０６を押下（Ｆ１２０９，Ｆ１２１０）した場合は、装置Ｃから装置Ａへ参加拒絶通知が送信され、セットアップは実施しない（Ｆ１２１１）。同様に、装置Ａと装置Ｂとの設定ボタン１０６を押下（Ｆ１２１２，Ｆ１２１３）しても、装置Ｂから装置Ａへ参加拒絶通知が送信される（Ｆ１２１４）。

一方、装置Ｂと装置Ｃの設定ボタン１０６を操作した場合は、装置Ｂと装置Ｃとの間でセットアップ処理が実施（Ｆ１２１７）され、新たなネットワークが構築される。

装置Ａの処理を図１３を用いて説明する。図１３の処理も装置Ａの制御部１０２が記憶部１０３に記憶されている制御プログラムを実行することにより実施される。図１３は図５のステップＳ４０３とステップＳ４０４との間に新たな判定処理Ｓ１３０１を追加したものである。

図１３に基づいて通信装置の処理を説明する。本フロー図においては、無線ＬＡＮセットアップは省略してある。すなわち、図１２のＦ１２０３以降の動作フロー図となっている。

通信装置において、通信相手の異常を検知するかを判定する（Ｓ４０１）。Ｓ４０１において異常を検知した場合は、その通信装置へ向けて切断通知を送信する（Ｓ４０２）。その後、切断した通信装置のＭＡＣアドレスを拒否ＭＡＣアドレスリストに登録し、ＭＡＣアドレスフィルタリングを実施する（Ｓ４０３）。

ここで、通信相手の通信装置の役割がネットワーク接続装置（クライアント）なのかネットワーク管理装置なのかを判定する（Ｓ１３０１）。

判定の結果、クライアントであった場合は、図５のステップＳ４０４以降と同じ処理を実施する。また、ステップＳ１３０１の判定処理において、通信相手の通信装置の役割が管理装置であった場合は、この時点で処理を終了する。

以上のように、通信装置の役割（管理装置なのかクライアントなのか）によらず、ネットワークポリシーや挙動に基づいてネットワークへの参加を制御することができる。

上記説明における管理装置は、アクセスポイントであってもよい。この場合、装置間で管理装置を決定し、管理装置と決まった装置がアクセスポイントとして動作し、ネットワークを構築する。そして、上記各実施例で説明した管理装置としての動作を実施する。
また、上記説明はＩＥＥＥ８０２．１１準拠の無線ＬＡＮを例に説明した。しかしながら、本発明は、ワイヤレスＵＳＢ、ＭＢＯＡ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＵＷＢ、ＺｉｇＢｅｅ等の他の無線媒体において実施してもよい。また、有線ＬＡＮ等の有線通信媒体において実施してもよい。

ここで、ＭＢＯＡは、Ｍｕｌｔｉ Ｂａｎｄ ＯＦＤＭ Ａｌｌｉａｎｃｅの略である。また、ＵＷＢは、ワイヤレスＵＳＢ、ワイヤレス１３９４、ＷＩＮＥＴなどが含まれる。

また、通信パラメータとしてネットワーク識別子、暗号方式、暗号鍵、認証方式、認証鍵を例にしたが、他の情報であってもよいし、他の情報も通信パラメータには含まれるようにしてもよいことは言うまでも無い。

Claims (12)

1. 通信装置であって、
   第１のネットワークに存在し、通信を拒否する対象である拒否対象装置の識別情報を登録する登録手段と、
   前記登録手段により登録した拒否対象装置の識別情報を第１のネットワークに存在する他の装置に通知する通知手段と、
   前記通知手段によって前記拒否対象装置の識別情報を前記他の装置に通知した後、前記拒否対象装置が存在する前記第１のネットワークと異なる第２のネットワークを、当該第１のネットワークで用いる通信パラメータとは異なる通信パラメータを用いて前記他の装置と構成する構成手段と、
   を有することを特徴とする通信装置。
2. ネットワークを構成するための通信パラメータを装置間で共有化するための共有処理を行う共有手段を有し、
   前記構成手段は、前記他の装置と前記共有手段により前記共有処理を実行し、前記第２のネットワークを構成することを特徴とする請求項１に記載の通信装置。
3. 前記共有手段は、前記通信パラメータを提供又は受信するための処理を実行することを請求項２に記載の通信装置。
4. 前記構成手段は、前記第１のネットワークを構成する際に共有された複数の通信パラメータのいずれかの通信パラメータを使用して前記第２のネットワークを構成することを特徴とする請求項１乃至３の何れか１項に記載の通信装置。
5. 前記複数の通信パラメータのいずれかを指定する指定手段を有し、
   前記構成手段は、前記指定手段により指定した通信パラメータを使用して前記第２のネットワークを構成することを特徴とする請求項１乃至４の何れか１項に記載の通信装置。
6. ネットワークを構成するための通信パラメータを装置間で共有化するための共有処理を行う共有手段を有し、
   前記共有手段は、前記共有処理を行う通信相手が前記登録手段に通信拒否対象として登録されている装置か否かに応じて、前記共有処理を実行することを特徴とする請求項１乃至５の何れか１項に記載の通信装置。
7. 前記登録手段により拒否対象装置として登録する装置との接続を切断する切断手段
   を有することを特徴とする請求項１乃至６の何れか１項に記載の通信装置。
8. 前記登録手段は、前記通信装置が異常を検出した装置を拒否対象装置として登録することを特徴とする請求項１乃至７の何れか１項に記載の通信装置。
9. 前記登録手段は、認証装置による認証結果に応じて、拒否対象装置を特定し、該装置を拒否対象装置として登録することを特徴とする請求項１乃至８の何れか１項に記載の通信装置。
10. 前記第１のネットワーク及び前記第２のネットワークは、ＩＥＥＥ８０２．１１シリーズに準拠した無線ＬＡＮのネットワークであることを特徴とする請求項１乃至９の何れか１項に記載の通信装置。
11. 通信装置の制御方法であって、
    第１のネットワークに存在し、通信を拒否する対象である拒否対象装置の識別情報を登録する登録工程と、
    前記登録工程において登録した拒否対象装置の識別情報を第１のネットワークに存在する他の装置に通知する通知工程と、
    前記通知工程によって前記拒否対象装置の識別情報を前記他の装置に通知した後、前記拒否対象装置が存在する前記第１のネットワークと異なる第２のネットワークを、当該第１のネットワークで用いる通信パラメータとは異なる通信パラメータを用いて前記他の装置と構成する構成工程と、
    を有することを特徴とする通信装置の制御方法。
12. 請求項１１に記載の制御方法の各工程をコンピュータに実行させるためのプログラム。