JP6421477B2 - ネットワークシステム、通信方法、制御装置及びプログラム - Google Patents

Description

本発明は、ネットワークシステム、通信方法、制御装置及びプログラムに関する。特に、無線端末にネットワークへの接続を提供するアクセスポイントを含むネットワークシステム、通信方法、制御装置及びプログラムに関する。

無線ＬＡＮ（Local Area Network）において、端末がアクセスポイント（ＡＰ；Access Point）に接続する場合やアクセスポイントが端末を認証する場合に、ＥＳＳＩＤ（Extended Service Set Identifier）やＢＳＳＩＤ（Basic Service Set Identifier）等の識別子が認証情報として利用される。

具体的には、アクセスポイントは、ＥＳＳＩＤやＢＳＳＩＤを含むビーコンフレームをブロードキャストする。当該ビーコンフレームを受け取った端末は、所望のＥＳＳＩＤ等を持つアクセスポイントに接続を要求することで、無線ＬＡＮに接続できる。

また、近年では、端末の位置に応じたサービスの普及が始まっている。このようなサービスを提供する事業者等は、端末の位置情報を計算する際の精度を高めるため、又は、提供するサービスのスピードを高めるため、ＧＰＳ（Global Positioning System）信号を利用した位置情報の推定に加え、無線基地局やアクセスポイントの位置情報を利用することがある。具体的には、アクセスポイント等の通信設備の識別子と当該通信設備の位置情報を対応付けたデータベースを構築する。そして、位置情報サービスの提供者は、通信設備から得られる識別子を検索キーとしてデータベースを検索し、端末の位置情報の算出に利用する。

特許文献１に、特定の通信相手側の通信端末から利用者の位置情報の公開要求を受信した場合に、予め設定してある許可条件を満たすか否かを判定することで、相手側に必要以上の所在位置に関する情報が提供されないようにする技術が開示されている。

特開２００９−２９６６７３号公報

なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

上述のように、アクセスポイントの識別子はブロードキャストされるため、当該アクセスポイントを利用できない第３者であっても、アクセスポイントの識別子を取得できる状況にある。従って、位置情報サービスの利用を想定していない者、又は、通信設備の所有者又は利用者の同意を得ていない者であっても、通信設備とその位置情報をマッピングすることができる。

具体的には、上記のような第３者が用意した端末に、端末とアクセスポイント間の通信を取得できるようなアプリケーションをインストールすることで、第３者は当該端末の近傍にあるアクセスポイントの識別子が取得できる。そして、当該端末の位置情報を、例えば、ＧＰＳ等を利用して算出することで、アクセスポイントの位置情報を容易に推定できる。

しかし、例えば、個人の住宅に設置されているアクセスポイントの位置は、当該アクセスポイントを使用する個人と密接に関係するため、アクセスポイントの位置情報が無差別に収集できることは個人のプライバシー保護の観点から問題がある。即ち、アクセスポイントの所有者（利用者）、アクセスポイントの提供者以外の第３者が、アクセスポイントの位置情報に関するデータベースを独自に構築し、アクセスポイントや無線ＬＡＮ端末の現在位置情報について秘密裏に収集又は把握することができる状況は問題がある。

本発明は、第３者によるアクセスポイントの位置情報の取得を困難にすることに寄与するネットワークシステム、通信方法、制御装置及びプログラムを、提供することを目的とする。

本発明の第１の視点によれば、複数のアクセスポイントと、前記複数のアクセスポイントのうちの少なくとも１つに無線接続する端末と、前記複数のアクセスポイントを集中制御する制御装置と、を含み、前記制御装置は、前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための論理識別子を与え、前記アクセスポイントと前記端末は、前記論理識別子を用いた認証及び接続を行い、前記アクセスポイントは、前記論理識別子を用いて構築したビーコンフレームを送信し、前記ビーコンフレームを受信した端末は、自装置に設定されているアクセス可能なアクセスポイントの識別子を含むプローブ要求フレームを構築し、前記ビーコンフレームを送信するアクセスポイントに送信する、ネットワークシステムが提供される。

本発明の第２の視点によれば、複数のアクセスポイントと、前記複数のアクセスポイントのうちの少なくとも１つに無線接続する端末と、を含むネットワークにおける通信方法であって、前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための論理識別子を与え、前記複数のアクセスポイントに前記論理識別子を通知する工程と、前記アクセスポイントと前記端末の間で、前記論理識別子を用いた認証及び接続を行う工程と、前記アクセスポイントから前記論理識別子を用いて構築したビーコンフレームを送信する工程と、前記ビーコンフレームを受信した端末が、自装置に設定されているアクセス可能なアクセスポイントの識別子を含むプローブ要求フレームを構築し、前記ビーコンフレームを送信するアクセスポイントに送信する工程と、を含む通信方法が提供される。

本発明の第３の視点によれば、複数のアクセスポイントを集中制御する制御装置であって、前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための識別子であって、前記アクセスポイントと無線接続する端末間の認証処理及び接続処理に用いられる論理識別子を与える論理ネットワーク構築部と、前記複数のアクセスポイントのそれぞれに対し、少なくとも前記論理識別子を通知するアクセスポイント制御部と、を備える制御装置が提供される。

本発明の第４の視点によれば、複数のアクセスポイントを集中制御する制御装置を制御するコンピュータに実行させるプログラムであって、前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための識別子であって、前記アクセスポイントと無線接続する端末間の認証処理及び接続処理に用いられる論理識別子を与える処理と、前記複数のアクセスポイントのそれぞれに対し、少なくとも前記論理識別子を通知する処理と、を実行するプログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明の各視点によれば、第３者によるアクセスポイントの位置情報の取得を困難にすることに寄与するネットワークシステム、通信方法、制御装置及びプログラムが、提供される。

一実施形態の概要を説明するための図である。 第１の実施形態に係るネットワークシステムの一構成例を示す図である。 無線ＬＡＮ端末の内部構成の一例を示す図である。 無線ＬＡＮ端末の記憶部が記憶する情報の一例を示す図である。 アクセスポイントの内部構成の一例を示す図である。 テーブルデータベースの一例を示す図である。 アクセスポイントの記憶部が記憶する情報の一例を示す図である。 制御装置の内部構成の一例を示す図である。 無線ＬＡＮデータベースの一例を示す図である。 無線ＬＡＮ端末とアクセスポイントの接続動作の一例を示すシーケンス図である。 パケットの転送動作の一例を示すシーケンス図である。

初めに、図１を用いて一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。

上述のように、第３者によるアクセスポイントの位置情報の取得を困難にすることに寄与するネットワークシステムが望まれる。

そこで、一例として図１に示すネットワークシステム１００を提供する。ネットワークシステム１００は、複数のアクセスポイント１０１と、複数のアクセスポイント１０１のうちの少なくとも１つに無線接続する端末１０２と、複数のアクセスポイント１０１を集中制御する制御装置１０３と、を含む。制御装置１０３は、複数のアクセスポイント１０１を１つの論理アクセスポイントに統合し、論理アクセスポイントに、論理アクセスポイントを識別するための論理識別子を与える。アクセスポイント１０１と端末１０２は、論理識別子を用いた認証及び接続を行う。

ネットワークシステム１００は、複数のアクセスポイントに付与する識別子を単一の識別子（論理識別子）とすることで、各アクセスポイント本来の識別子を隠蔽する。また、アクセスポイントと端末との間の認証や接続に、論理識別子を用いることで、第３者によるアクセスポイントのマッピングを防止する。即ち、第３者によるアクセスポイントの位置情報の取得を防止する。

以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

図２は、第１の実施形態に係るネットワークシステム２００の一構成例を示す図である。図２を参照すると、ネットワークシステム２００は、無線ＬＡＮ端末１０−１〜１０−６と、アクセスポイント（ＡＰ；Access Point）２０−１〜２０−４と、スイッチ（ＳＷ；Switch）３０−１〜３０−３と、制御装置４０と、を含んで構成される。

なお、図２に示すネットワークシステム２００の構成は例示であって、無線ＬＡＮ端末やアクセスポイント等の数を限定する趣旨ではない。また、以降の説明において、無線ＬＡＮ端末１０−１〜１０−６を区別する特段の理由がない場合には、単に「無線ＬＡＮ端末１０」と表記する。アクセスポイント２０−１〜２０−４及びスイッチ３０−１〜３０−３に関しても同様の表記を用いる。

ネットワークシステム２００は、ルータ（ＲＴ；Router）６０を介して外部ネットワーク２０１と接続される。無線ＬＡＮ端末１０とアクセスポイント２０は、無線ＬＡＮネットワークを介して相互に接続される。アクセスポイント２０とスイッチ３０は相互に接続され、データ転送ネットワーク２０２を形成する。

無線ＬＡＮ端末１０が送信するパケットは、データ転送ネットワーク２０２を経由して、外部ネットワーク２０１に含まれる装置（図示せず）又は他の無線ＬＡＮ端末１０に転送される。

制御装置４０は、ネットワークシステム２００に含まれるネットワーク装置（アクセスポイント２０、スイッチ３０）を集中制御する。制御装置４０、アクセスポイント２０及びスイッチ３０は、制御ネットワーク２０３を介して相互に接続される。

無線ＬＡＮ端末１０は、パーソナルコンピュータやスマートフォン等の情報処理装置であり、既存の無線ＬＡＮ通信機能を利用してアクセスポイント２０−１〜２０−４のうち、少なくとも１つのアクセスポイントに無線接続することで、インターネット等に接続する機能を有する。

図３は、無線ＬＡＮ端末１０の内部構成の一例を示す図である。図３を参照すると、無線ＬＡＮ端末１０は、無線ＬＡＮ通信部１１と、制御部１２と、記憶部１３と、を含んで構成される。

無線ＬＡＮ通信部１１は、アクセスポイント２０との間で接続を確立し、パケットの送受信を行う手段である。無線ＬＡＮ通信部１１は、アクセスポイント２０からビーコンフレームを受信するとプローブ要求（Probe Request）フレームを送信する。無線ＬＡＮ通信部１１は、アクセスポイント２０からプローブ応答（Probe Response）フレームを受信すると、アクセスポイント２０に接続するための認証を要求する。なお、無線ＬＡＮ端末１０とアクセスポイント２０間のプローブ要求、プローブ応答及び認証要求等については後述する。

制御部１２は、キーボード等の入力装置（図示せず）からユーザの操作を受け付け、情報処理した結果を液晶パネル等の表示装置（図示）に表示する手段である。

記憶部１３は、無線ＬＡＮ端末１０の動作に必要なデータやプログラム等を記憶する手段である。記憶部１３は、少なくとも、各無線ＬＡＮ端末１０がアクセスするアクセスポイント２０（アクセスが許可されているアクセスポイント２０）の識別子に関する情報を記憶する。

図４は、無線ＬＡＮ端末１０の記憶部１３が記憶する情報の一例を示す図である。図４（ａ）は無線ＬＡＮ端末１０−１の記憶部１３が記憶する情報、図４（ｂ）は無線ＬＡＮ端末１０−２の記憶部１３が記憶する情報、図４（ｃ）は無線ＬＡＮ端末１０−３の記憶部１３が記憶する情報とする。

図４（ａ）を参照すると、無線ＬＡＮ端末１０−１がアクセス可能なアクセスポイント２０−１の識別子として、ＥＳＳＩＤ＿１とＢＳＳＩＤ＿１が記憶されている。同様に、図４（ｂ）を参照すると、無線ＬＡＮ端末１０−２がアクセス可能なアクセスポイント２０−１の識別子として、ＥＳＳＩＤ＿１とＢＳＳＩＤ＿１が記憶されている。図４（ｃ）を参照すると、無線ＬＡＮ端末１０−３がアクセス可能なアクセスポイント２０−２の識別子として、ＥＳＳＩＤ＿１とＢＳＳＩＤ＿２が記憶されている。

なお、ユーザは、無線ＬＡＮ端末１０を無線ＬＡＮネットワークに接続する前に、アクセスが許可されたアクセスポイント２０の識別子を無線ＬＡＮ端末１０に入力しておく。また、ユーザは、無線ＬＡＮ端末１０に設定するアクセスポイント２０の識別子を、ネットワークシステム２００の管理者等から入手する。

アクセスポイント２０は、１つ以上の無線ＬＡＮ端末１０を有線ＬＡＮ等の他のネットワーク装置に接続するためのネットワーク装置である。

アクセスポイント２０は、無線ＬＡＮ端末１０の認証等を担う制御機能と、無線ＬＡＮ端末１０等から受信したパケットを転送する転送機能と、が分離した構成を有している。

図５は、アクセスポイント２０の内部構成の一例を示す図である。図５を参照すると、アクセスポイント２０は、通信部２１と、接続制御部２２と、転送制御部２３と、記憶部２４と、を含んで構成されている。

通信部２１は、無線ＬＡＮ端末１０との通信、制御装置４０との通信、を実現する手段である。通信部２１は、例えば、ＩＥＥＥ（The Institute of Electrical and Electronics Engineers, Inc.）８０２．１１ａ／ｂ／ｇ／ｎ等に準拠した通信方式にて無線ＬＡＮ端末１０と相互通信を行う。但し、無線ＬＡＮ端末１０とアクセスポイント２０の通信方式を限定する趣旨ではない。また、通信部２１は、オープンフロープロトコルを用いて制御装置４０と相互通信する。但し、通信部２１と制御装置４０との通信プロトコルは、オープンフロープロトコルに限定されるものではない。

接続制御部２２は、無線ＬＡＮ端末１０をネットワークに接続するために必要な制御を行う手段である。接続制御部２２は、無線ＬＡＮ端末１０からの接続要求や認証要求を処理する。より具体的には、接続制御部２２は、通信部２１を介して無線ＬＡＮ端末１０に対してビーコンフレームをブロードキャストする。その際、接続制御部２２は、自身の識別子を含むビーコンフレームを送信するのではなく、後述する論理識別子ＩＤ＿Ｌを識別子として用いてビーコンフレームを構築し、通信部２１を介して送信する。なお、論理識別子ＩＤ＿Ｌについては後述する。

接続制御部２２は、無線ＬＡＮ端末１０からプローブ要求フレームを受信すると、受信したプローブ要求フレームに含まれるアクセスポイントの識別子と自身に割り振られた識別子を比較し、当該プローブ要求が自装置に向けられたものか否かを判定する。接続制御部２２は、プローブ要求が自装置に向けられたものと判断した場合には、論理識別子ＩＤ＿Ｌを用いてプローブ応答フレームを構築し、当該プローブ要求フレームを送信した無線ＬＡＮ端末１０に送信する。

接続制御部２２は、無線ＬＡＮ端末１０から認証を要求する認証フレームを受信すると、当該無線ＬＡＮ端末１０の認証を制御装置４０に依頼する。接続制御部２２は、制御装置４０から得られる認証結果を無線ＬＡＮ端末１０に通知する。

転送制御部２３は、無線ＬＡＮ端末１０等が送信するパケットの転送を制御する手段である。転送制御部２３は、記憶部２４に構築されたテーブルデータベースに保持されているテーブルを管理する機能と、当該テーブルに格納されたテーブルに従って受信パケットを処理する機能と、を備える。

より具体的には、転送制御部２３は、制御装置４０から通知される処理規則をテーブルデータベースに登録する。また、転送制御部２３は、新規パケットを受信すると、制御装置４０に対し処理規則の設定を要求する。

上述のように、記憶部２４には、テーブルデータベースが構築される。テーブルデータベースは、転送制御部２３が受信パケットの処理を行う際に参照するデーブルを１以上格納可能なデータベースである。

図６は、テーブルデータベースの一例を示す図である。テーブルデータベースには少なくとも、マッチフィールドとインストラクションフィールドが含まれる。マッチフィールドには、受信パケットが属するフローを特定するための情報（例えば、宛先アドレス、送信元アドレス等）が登録される。インストラクションフィールドには、マッチフィールドに適合するパケットを受信した場合に行う動作（アクション）が登録される。

転送制御部２３は、パケットを受信すると、テーブルデータベースに格納されたテーブルから、受信パケットに適合するマッチフィールドを持つ処理規則を検索する。転送制御部２３は、検索された処理規則のインストラクションフィールドに示す処理内容に従ってパケット処理を行う。転送制御部２３は、受信パケットに適合するマッチフィールドを持つ処理規則が見つからなかった場合は、通信部２１を介して制御装置４０に当該受信パケットを転送する。

また、記憶部２４は、制御装置４０から通知される各アクセスポイント２０の識別子を記憶する。

図７は、アクセスポイント２０の記憶部２４が記憶する情報の一例を示す図である。図７（ａ）はアクセスポイント２０−１の記憶部２４が記憶する情報、図７（ｂ）はアクセスポイント２０−２の記憶部２４が記憶する情報、図７（ｃ）はアクセスポイント２０−３の記憶部２４が記憶する情報、図７（ｄ）はアクセスポイント２０−４の記憶部２４が記憶する情報である。

図７を参照すると、各アクセスポイント２０を一意に識別可能とするため、それぞれのアクセスポイント２０に異なるＢＳＳＩＤが割り振られ、それぞれの記憶部２４に格納されている。一方、ＥＳＳＩＤに関しては、アクセスポイント２０−１及び２０−２と、アクセスポイント２０−３及び２０−４と、がそれぞれ別のネットワークを構成可能とするように割り振られ、それぞれの記憶部２４に格納されている。

スイッチ３０は、アクセスポイント２０と外部ネットワーク２０１を接続するネットワーク装置である。スイッチ３０は、アクセスポイント２０と同様に、制御機能とパケットの転送機能が分離したアーキテクチャを有しており、制御装置４０から設定される処理規則に従いパケットを他の装置に転送する。なお、アクセスポイント２０とスイッチ３０の内部構成の違いは、各装置の接続形態（無線接続、有線接続）の違いに起因する通信部の機能であり、パケット転送に係る機構等に違いはないため、スイッチ３０の構成に関する説明を省略する。

制御装置４０は、複数のアクセスポイント２０及びスイッチ３０を集中管理するネットワーク制御装置（コントローラ）である。

制御装置４０は、管理下にあるアクセスポイント２０及びスイッチ３０間の物理トポロジを把握する機能と、論理ネットワークを構築する機能と、論理ネットワークを実現するための設定をアクセスポイント２０及びスイッチ３０に通知する機能と、を有する。なお、論理ネットワークの詳細は後述する。

図８は、制御装置４０の内部構成の一例を示す図である。図８を参照すると、制御装置４０は、ネットワーク構成管理部４１と、論理ネットワーク構築部４２と、アクセスポイント制御部４３と、処理規則制御部４４と、記憶部４５と、アクセスポイント２０等と通信を行う通信部４６と、を含んで構成される。

ネットワーク構成管理部４１は、制御装置４０が制御対象とする（管理下にある）アクセスポイント２０とスイッチ３０間の物理トポロジを把握する手段である。より具体的には、ネットワーク構成管理部４１は、アクセスポイント２０、スイッチ３０間のリンクに関する情報や、接続ポートに関する情報を管理する。ネットワーク構成管理部４１は、制御ネットワーク２０３を用いてアクセスポイント２０、スイッチ３０に問い合わせることで、これらの情報を入手してもよいし、システムの管理者が情報を入力してもよい。

ネットワーク構成管理部４１は、制御対象とするデータ転送ネットワーク２０２の構成に関する情報を、記憶部４５に構築されたネットワーク構成データベースに登録する。

論理ネットワーク構築部４２は、論理ネットワーク３００を構築する手段である。論理ネットワーク構築部４２は、制御装置４０の管理下にある複数のネットワーク装置（アクセスポイント２０、スイッチ３０）を概念的に１つに統合し、統合された装置を論理アクセスポイントとして管理する。

図２を参照すると、論理ネットワーク構築部４２は、複数のアクセスポイント２０とスイッチ３０を統合し、論理アクセスポイント５０として管理する。また、論理ネットワーク構築部４２は、論理アクセスポイント５０の入出力ポートに関するマッピングを行う。例えば、図２を参照すると、論理ネットワーク構築部４２は、スイッチ３０−２のポートであって、ルータ６０と接続されるポートを、論理アクセスポイント５０の外部ネットワーク２０１との入出力ポートにマッピングすることで、論理ネットワーク３００のトポロジ情報を生成する。

論理ネットワーク構築部４２は、論理アクセスポイント５０を、無線ＬＡＮ端末１０の認証等に用いる論理識別子ＩＤ＿Ｌを有する装置として管理する。つまり、論理識別子ＩＤ＿Ｌとは、無線ＬＡＮ端末１０が論理アクセスポイント５０を識別するために設けられる架空の識別子である。論理識別子ＩＤ＿Ｌには、実在するアクセスポイント２０を識別するための識別子（ＥＳＳＩＤ、ＢＳＳＩＤ）とは異なる値が設定される。

アクセスポイント制御部４３は、アクセスポイント２０による無線ＬＡＮ端末１０の認証依頼を処理する手段である。

アクセスポイント制御部４３は、ネットワークシステム２００の起動時又は予め定められた間隔にて、各アクセスポイントに対し、各アクセスポイント２０に割り振られた識別子と論理識別子ＩＤ＿Ｌを含む情報を通知する。

なお、各アクセスポイント２０に割り振る識別子は、システム管理者が入力してもよいし、アクセスポイント２０から得られるＭＡＣ（Media Access Control address）アドレス等を識別子として用いてもよい。第１の実施形態では、アクセスポイント制御部４３は、各アクセスポイント２０に対して図７に示す識別子を割り当てて、論理識別子ＩＤ＿Ｌと共に通知するものとする。

アクセスポイント制御部４３は、無線ＬＡＮ端末１０と、各無線ＬＡＮ端末１０が接続可能なアクセスポイント２０と、を対応付けた情報を、記憶部４５に構築された無線ＬＡＮデータベースにより管理する。

図９は、無線ＬＡＮデータベースの一例を示す図である。図９を参照すると、無線ＬＡＮデータベースには、無線ＬＡＮ端末１０ごとに、各無線ＬＡＮ端末１０がアクセス可能なアクセスポイント２０が関連付けられて登録されている。例えば、無線ＬＡＮ端末１０−１はアクセスポイント２０−１にアクセス可能であることが登録されている。なお、図９では、無線ＬＡＮ端末１０を識別する識別子として、ＭＡＣアドレスを例示している。また、図９では、アクセスポイント２０を識別する識別子として、ＢＳＳＩＤを例示している。

アクセスポイント制御部４３は、アクセスポイント２０から無線ＬＡＮ端末１０の認証を依頼されると、無線ＬＡＮ端末１０の認証を実行する。具体的には、アクセスポイント制御部４３は、認証要求を受信すると、認証フレームを送信した無線ＬＡＮ端末１０の識別子と認証を依頼するアクセスポイント２０の識別子を照合し、無線ＬＡＮ端末１０の認証を実行する。その際、アクセスポイント制御部４３は、図９に示す無線ＬＡＮデータベースを検索し、認証要求を送信した無線ＬＡＮ端末１０の識別子と認証を依頼するアクセスポイント２０の識別子の組が登録されているか否かに応じて、認証の可否を決定する。

処理規則制御部４４は、制御装置４０が制御するネットワーク装置（アクセスポイント２０、スイッチ３０）に設定する処理規則を生成し、ネットワーク装置に設定する手段である。処理規則制御部４４は、アクセスポイント２０から転送される受信パケットを受信すると、記憶部４５に構築されている処理規則データベースにエントリーを追加する。なお、処理規則データベースは、ネットワーク装置（アクセスポイント２０、スイッチ３０）に設定する処理規則が登録されるデータベースである。

処理規則制御部４４は、アクセスポイント２０等から受信パケットの転送を受け付けると、当該受信パケットから得られる情報（パケットを受信した装置及びそのポート、送信元アドレス）からなるエントリーを処理規則データベースに追加する。

処理規則制御部４４は、処理規則を生成する際、宛先アドレス（例えば、ＭＡＣアドレス）を検索キーとして、データ転送ネットワーク２０２の出口となるネットワーク装置及びポートを、ネットワーク構成データベースから検索する。処理規則制御部４４は、パケットを受信したネットワーク装置から検索されたネットワーク装置までのパケットの転送経路を計算する。即ち、処理規則制御部４４は、ネットワーク構成データベースに格納されているデータ転送ネットワーク２０２の構成（アクセスポイント２０、スイッチ３０の物理トポロジ）に基づいて、受信パケットを制御装置４０に送信する装置から出口となる装置までのパケットの転送経路を計算する。

処理規則制御部４４は、生成したパケットの転送経路に基づき、アクセスポイント２０及びスイッチ３０に設定する処理規則を生成し、生成した処理規則をアクセスポイント２０とスイッチ３０に設定する。処理規則制御部４４は、受信パケットを出口となるネットワーク装置に向けて転送する。

なお、制御装置４０をなす各部は、制御装置４０に搭載されたコンピュータに、そのハードウェアを用いて、後に詳述する処理を実行させるコンピュータプログラムにより実現することもできる。

次に、第１の実施形態に係るネットワークシステム２００の動作について説明する。

初めに、無線ＬＡＮネットワークを介した無線ＬＡＮ端末１０とアクセスポイント２０の接続について説明する。その際、無線ＬＡＮ端末１０−１がアクセスポイント２０−１に接続する場合を例に取り、無線ＬＡＮ端末１０とアクセスポイント２０の接続について説明する。

図１０は、無線ＬＡＮ端末１０とアクセスポイント２０の接続動作の一例を示すシーケンス図である。

制御装置４０は、論理識別子が与えられた論理アクセスポイント５０に関する情報をアクセスポイント２０に通知する（ステップＳ１０１）。換言するならば、アクセスポイント２０−１は、図７（ａ）に示す識別子情報と論理識別子ＩＤ＿Ｌを含む情報を制御装置４０から取得する。

ステップＳ１０２において、アクセスポイント２０は、論理アクセスポイント５０の識別子として定義されている論理識別子ＩＤ＿Ｌを用いてビーコンフレームを構築し、当該ビーコンフレームを無線ＬＡＮ端末１０−１〜１０−６に向けて送信する（ビーコンフレームをブロードキャストする）。

各無線ＬＡＮ端末１０は、ビーコンフレームを受信する。各無線ＬＡＮ端末１０は、ビーコンフレームの受信を契機として、自身に設定されているアクセスポイント２０の識別子を含むプローブ要求フレームを構築し、論理アクセスポイント５０に向けて送信する（ステップＳ１０３）。

無線ＬＡＮ端末１０−１には、アクセスポイント２０−１の識別子としてＥＳＳＩＤ＿１とＢＳＳＩＤ＿１が登録されているので（図４（ａ）参照）、無線ＬＡＮ端末１０−１はこれらの識別子を含むプローブ要求フレームを論理アクセスポイント５０に向けて送信する。換言するならば、各無線ＬＡＮ端末１０は、プローブ要求フレームを送信することで、自身に設定されているアクセスポイント２０の識別子を持つアクセスポイント２０の有無を論理アクセスポイント５０に対して問い合わせる。

各無線ＬＡＮ端末１０が送信するプローブ要求フレームは、実際には、アクセスポイント２０−１〜２０−４により受信される。無線ＬＡＮ端末１０−１が送信するプローブ要求フレームも、各アクセスポイント２０により受信される。各アクセスポイント２０は、受信したプローブ要求フレームに含まれるアクセスポイントの識別子と、ステップＳ１０１にて論理識別子ＩＤ＿Ｌと共に通知された識別子と、が一致するか否か確認する。

無線ＬＡＮ端末１０−１が送信するプローブ要求フレームには、アクセスポイント２０−１の識別子であるＥＳＳＩＤ＿１とＢＳＳＩＤ＿１が含まれる。また、アクセスポイント２０−１には、制御装置４０からＥＳＳＩＤ＿１とＢＳＳＩＤ＿１が識別子として通知されている。従って、アクセスポイント２０−１は、無線ＬＡＮ端末１０−１が送信するプローブ要求は自身への要求と判断し、無線ＬＡＮ端末１０−１に応答する（ステップＳ１０４）。具体的には、アクセスポイント２０−１は、論理識別子ＩＤ＿Ｌを用いて構築したプローブ応答フレームを無線ＬＡＮ端末１０−１に送信する（ステップＳ１０４）。

ステップＳ１０５において、プローブ応答フレームを受信した無線ＬＡＮ端末１０−１は、論理アクセスポイント５０に対して認証を要求する（Authentication）。具体的には、無線ＬＡＮ端末１０−１は、論理識別子ＩＤ＿Ｌを用いて構築した認証フレームを、論理アクセスポイント５０に向けて送信する。

無線ＬＡＮ端末１０−１からの認証フレームは、実際には、アクセスポイント２０−１により受信される。認証フレームを受信したアクセスポイント２０−１は、当該無線ＬＡＮ端末１０−１からの認証要求の可否を制御装置４０に問い合わせる（ステップＳ１０６）。

アクセスポイント２０−１からの認証要求に係るメッセージを受信すると、制御装置４０は、当該認証要求を送信する無線ＬＡＮ端末１０−１の識別子と認証の要求がなされたアクセスポイント２０−１の識別子を照合し、無線ＬＡＮ端末１０−１の認証を実行する。この場合、図９を参照すると、無線ＬＡＮ端末１０−１がアクセス可能なアクセスポイントとしてアクセスポイント２０−１が登録されているので、制御装置４０による認証が成功する。

制御装置４０は、認証結果をアクセスポイント２０−１に応答する（ステップＳ１０７）。この場合は、制御装置４０からアクセスポイント２０−１に対して認証成功のメッセージに通知される。一方、制御装置４０での認証に失敗した場合には、認証不可のメッセージがアクセスポイント２０−１に通知される。なお、制御装置４０における無線ＬＡＮ端末１０の認証には、必要に応じてパスワード認証を使用してもよい。

アクセスポイント２０−１は、制御装置４０から受け取った認証結果を無線ＬＡＮ端末１０−１に通知する（ステップＳ１０８）。

ステップＳ１０９において、無線ＬＡＮ端末１０−１は、論理アクセスポイント５０に対して接続を要求する（Association Request）。

ステップＳ１１０において、アクセスポイント２０−１は、論理アクセスポイント５０に対する接続要求（Association Request）を、自身への接続要求であると判断し、接続を確立する（Association Response）。

このように、第１の実施形態に係るネットワークシステム２００において、アクセスポイント２０は論理アクセスポイント５０に定義される論理識別子ＩＤ＿Ｌを用いて、既存の無線ＬＡＮ通信を実現する。即ち、無線ＬＡＮ端末１０にアクセスポイント２０自身の識別子が通知されることがない。また、無線ＬＡＮ端末１０は、論理識別子ＩＤ＿Ｌを持つ論理アクセスポイント５０を相手として無線ＬＡＮ通信を実現する。

次に、無線ＬＡＮ端末１０からのパケットを転送する際の動作について説明する。その際、アクセスポイント２０−１が無線ＬＡＮ端末１０−１からパケットを受信した場合を例に取り、無線ＬＡＮ端末１０のパケット転送動作を説明する。

図１１は、パケットの転送動作の一例を示すシーケンス図である。

無線ＬＡＮ端末１０−１は、他の端末に向けてパケットを送信する（ステップＳ２０１）。

アクセスポイント２０−１は、受信パケットに関する経路情報が設定されていない場合は、受信パケットを添えて、制御装置４０に対してその旨を明示するメッセージ（制御信号）を送信する（ステップＳ２０２）。

制御装置４０は、受信パケットに基づいて処理規則データベースのエントリーを生成する。具体的には、制御装置４０は、当該パケットから得られるアドレス（宛先アドレス、送信元アドレス）とポート（宛先ポート、送信元ポート）の組を処理規則データベースに登録する（ステップＳ２０３）。

また、制御装置４０は、受信したパケットから得られる宛先のＭＡＣアドレスを検索キーとして出口（パケットの送出先）に該当する装置及びポートを、ネットワーク構成データベースから検索する。次に、制御装置４０は、自身の管理下にあるネットワーク装置（アクセスポイント２０、スイッチ３０）間の物理トポロジ情報と、自身で定義した論理ネットワーク３００のトポロジ情報と、を照合し、パケットを受信したネットワーク装置から出口に該当するネットワーク装置までのパケット転送経路（物理経路）を計算する（ステップＳ２０４）。

例えば、無線ＬＡＮ端末１０が、外部ネットワーク２０１に含まれる端末に向けてパケットを送信した場合には、制御装置４０は、パケットを受信したアクセスポイント２０−１から出口に相当するスイッチ３０−２までのパケット転送経路を計算する。

制御装置４０は、計算したパケット転送経路に従ってパケットが転送されるように、転送経路に含まれる各ネットワーク装置にパケット処理規則を設定する（ステップＳ２０５）。例えば、制御装置４０は、アクセスポイント２０−１、スイッチ３０−１、スイッチ３０−２のそれぞれにパケット処理規則を設定する。

制御装置４０は、受信パケットをステップＳ２０４にて検索した装置のポートから出力させるために、メッセージ（制御信号）を用いて出口となる装置に当該受信パケットを転送する（ステップＳ２０６）。上記の例では、制御装置４０は、受信パケットをスイッチ３０−２に転送する。

受信パケットを受け取ったアクセスポイント２０やスイッチ３０は、制御装置４０の指示に基づき受信パケットを宛先端末に向けて転送する（ステップＳ２０７）。上記の例では、スイッチ３０−２は、受信パケットを外部ネットワーク２０１に含まれるルータ６０に送信する。

なお、ステップＳ２０５にて各ネットワーク装置に設定された経路情報は、それぞれの装置にて一定時間保持される。従って、経路情報が保持された状態にて、同様のパケットを受信した場合には、各ネットワーク装置は、制御装置４０に問い合わせることなく、当該受信パケットを他の装置に向けて転送することができる。具体的には、無線ＬＡＮ端末１０がパケットを送信（ステップＳ２０８）すると、当該パケットは宛先端末に向けてアクセスポイント２０、スイッチ３０から転送される（ステップＳ２０９）。

第１の実施形態では、複数のアクセスポイント２０が同一の識別子（論理識別子ＩＤ＿Ｌ）を持つ電波を送信することになる。そのため、複数のアクセスポイント２０が送信する電波が干渉する環境下では、各アクセスポイント２０に異なるチャネルが割り当てられることを前提とする。

論理ネットワーク３００上に複数の論理アクセスポイント５０を定義することにより、電波が干渉し合うアクセスポイント２０に関しては、それぞれが異なる論理アクセスポイント５０に属するように定義してもよい。その場合、論理識別子ＩＤ＿Ｌは単一のものではなくなるが、物理的なアクセスポイント２０の数と比較し、必要となる論理識別子ＩＤ＿Ｌの数は少数となるため、第３者による現在位置情報のマッピングを無効化できる。

第１の実施形態に係るネットワークシステム２００は、ＩＳＰ（Internet Service Provider）事業者や公衆無線ＬＡＮ環境を提供する通信インフラ事業者が、無線ＬＡＮ端末利用者向けのサービスに利用することができる。

第１の実施形態に係るアクセスポイント２０は、個人の住宅に設置されるような小型の装置だけでなく、無線ＬＡＮと有線ＬＡＮの境界に設置される無線基地局等の通信設備に適用できる。

さらに、場合によっては、アクセスポイントの現在位置情報を収集可能としたい場合がある。このような場合には、アクセスポイント２０と論理アクセスポイント５０の関係が一意（１対１）となるように、論理ネットワーク３００を再定義すればよい。

第１の実施形態では、制御装置４０の管理者は、特定のアクセスポイント２０の管理下にある無線ＬＡＮ端末１０を把握することができるため、アクセスポイントの提供者が主導して、他の位置情報提供サービスとの差別化や適切な範囲で位置情報データベースを有償にて提供する等、新たなビジネスに活用できる。

以上のように、第１の実施形態では、無線ＬＡＮ端末１０は、論理ネットワーク３００上に形成された論理アクセスポイント５０の識別子（論理識別子ＩＤ＿Ｌ）を宛先として、認証やデータ転送を実施する。その結果、物理的なアクセスポイント２０の識別子を隠蔽できる。

また、論理アクセスポイント５０が１つである場合には、第３者が使用する無線ＬＡＮ端末を含むいずれの無線ＬＡＮ端末からも同一のアクセスポイントに接続しているように見えるため、第３者はアクセスポイントの識別子からその現在位置を推定できない。従って、アクセスポイント２０を利用するユーザのプライバシーを適切に保護できる。

また、通常のアクセスポイントの識別子（例えば、ＢＳＳＩＤ）は自身のハードウェアインタフェースに紐付いているため、識別子の変更は困難である。そのため、マッピング情報収集の可否に関する主導権をアクセスポイントの提供者や利用者が握ることができない。例えば、ＥＳＳＩＤの末尾に特定の文字列を追加することで、当該アクセスポイントに関する位置情報の収集を拒否する仕組みを提供する事業者もあるが、当該オプションが他の事業者にも有効である保障はなく、個人のプライバシーを保護する対策は十分ではない。

一方、第１の実施形態に係るネットワークシステム２００では、個人のプライバシー保護を強化しつつ、アクセスポイントの提供者が主導して、アクセスポイントの位置情報を管理することができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
複数のアクセスポイントと、
前記複数のアクセスポイントのうちの少なくとも１つに無線接続する端末と、
前記複数のアクセスポイントを集中制御する制御装置と、
を含み、
前記制御装置は、前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための論理識別子を与え、
前記アクセスポイントと前記端末は、前記論理識別子を用いた認証及び接続を行う、ネットワークシステム。
［付記２］
前記アクセスポイントは、前記論理識別子を用いて構築したビーコンフレームを送信し、
前記ビーコンフレームを受信した端末は、自装置に設定されているアクセス可能なアクセスポイントの識別子を含むプローブ要求フレームを構築し、前記ビーコンフレームを送信するアクセスポイントに送信する、付記１のネットワークシステム。
［付記３］
前記プローブ要求フレームを受信したアクセスポイントは、自装置に設定されている識別子と前記プローブ要求フレームから得られる識別子が一致する場合に、前記プローブ要求フレームは自装置への要求と判断し、前記プローブ要求フレームを送信する端末に対し、前記論理識別子を用いて構築したプローブ応答フレームを送信する、付記２のネットワークシステム。
［付記４］
前記プローブ応答フレームを受信した端末は、前記論理識別子を用いて構築した認証フレームを、前記プローブ応答フレームを送信するアクセスポイントに送信し、
前記認証フレームを受信したアクセスポイントは、前記認証フレームを送信する端末の認証を前記制御装置に依頼し、
前記制御装置は、端末と、端末がアクセス可能なアクセスポイントと、が対応付けされた情報に基づき、前記認証フレームを送信する端末の認証を行う、付記３のネットワークシステム。
［付記５］
前記制御装置は、前記認証フレームを送信する端末を認証した結果を前記アクセスポイントに通知し、
前記アクセスポイントは、前記通知された認証の結果を前記端末に通知する、付記４のネットワークシステム。
［付記６］
正常に認証された旨の認証結果を受信した端末は、前記認証の結果を通知するアクセスポイントに接続要求を行い、
前記接続要求を受信したアクセスポイントは、前記接続要求を行う端末に対して接続応答を行う、付記５のネットワークシステム。
［付記７］
前記アクセスポイントは、前記端末からの受信パケットを前記制御装置に転送し、
前記制御装置は、前記受信パケットを処理するための処理規則を前記アクセスポイントに設定する、付記１乃至６のいずれか一に記載のネットワークシステム。
［付記８］
複数のアクセスポイントと、
前記複数のアクセスポイントのうちの少なくとも１つに無線接続する端末と、
を含むネットワークにおける通信方法であって、
前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための論理識別子を与え、前記複数のアクセスポイントに前記論理識別子を通知する工程と、
前記アクセスポイントと前記端末の間で、前記論理識別子を用いた認証及び接続を行う工程と、
を含む通信方法。
［付記９］
複数のアクセスポイントを集中制御する制御装置であって、
前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための識別子であって、前記アクセスポイントと無線接続する端末間の認証処理及び接続処理に用いられる論理識別子を与える論理ネットワーク構築部と、
前記複数のアクセスポイントのそれぞれに対し、少なくとも前記論理識別子を通知するアクセスポイント制御部と、
を備える制御装置。
［付記１０］
複数のアクセスポイントを集中制御する制御装置を制御するコンピュータに実行させるプログラムであって、
前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための識別子であって、前記アクセスポイントと無線接続する端末間の認証処理及び接続処理に用いられる論理識別子を与える処理と、
前記複数のアクセスポイントのそれぞれに対し、少なくとも前記論理識別子を通知する処理と、
を実行するプログラム。
なお、付記８〜付記１０の形態は、付記１の形態と同様に、付記２の形態〜付記７の形態に展開することが可能である。

なお、引用した上記の特許文献の開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１０、１０−１〜１０−６ 無線ＬＡＮ端末
１１ 無線ＬＡＮ通信部
１２ 制御部
１３、２４、４５ 記憶部
２０、２０−１〜２０−４、１０１ アクセスポイント
２１、４６ 通信部
２２ 接続制御部
２３ 転送制御部
３０、３０−１〜３０−３ スイッチ
４０、１０３ 制御装置
４１ ネットワーク構成管理部
４２ 論理ネットワーク構築部
４３ アクセスポイント制御部
４４ 処理規則制御部
５０ 論理アクセスポイント
６０ ルータ
１００、２００ ネットワークシステム
１０２ 端末
２０１ 外部ネットワーク
２０２ データ転送ネットワーク
２０３ 制御ネットワーク
３００ 論理ネットワーク

Claims (7)

1. 複数のアクセスポイントと、
   前記複数のアクセスポイントのうちの少なくとも１つに無線接続する端末と、
   前記複数のアクセスポイントを集中制御する制御装置と、
   を含み、
   前記制御装置は、前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための論理識別子を与え、
   前記アクセスポイントと前記端末は、前記論理識別子を用いた認証及び接続を行い、
   前記アクセスポイントは、前記論理識別子を用いて構築したビーコンフレームを送信し、
   前記ビーコンフレームを受信した端末は、自装置に設定されているアクセス可能なアクセスポイントの識別子を含むプローブ要求フレームを構築し、前記ビーコンフレームを送信するアクセスポイントに送信する、ネットワークシステム。
2. 前記プローブ要求フレームを受信したアクセスポイントは、自装置に設定されている識別子と前記プローブ要求フレームから得られる識別子が一致する場合に、前記プローブ要求フレームは自装置への要求と判断し、前記プローブ要求フレームを送信する端末に対し、前記論理識別子を用いて構築したプローブ応答フレームを送信する、請求項１のネットワークシステム。
3. 前記プローブ応答フレームを受信した端末は、前記論理識別子を用いて構築した認証フレームを、前記プローブ応答フレームを送信するアクセスポイントに送信し、
   前記認証フレームを受信したアクセスポイントは、前記認証フレームを送信する端末の認証を前記制御装置に依頼し、
   前記制御装置は、端末と、端末がアクセス可能なアクセスポイントと、が対応付けされた情報に基づき、前記認証フレームを送信する端末の認証を行う、請求項２のネットワークシステム。
4. 前記制御装置は、前記認証フレームを送信する端末を認証した結果を前記アクセスポイントに通知し、
   前記アクセスポイントは、前記通知された認証の結果を前記端末に通知する、請求項３のネットワークシステム。
5. 正常に認証された旨の認証結果を受信した端末は、前記認証の結果を通知するアクセスポイントに接続要求を行い、
   前記接続要求を受信したアクセスポイントは、前記接続要求を行う端末に対して接続応答を行う、請求項４のネットワークシステム。
6. 前記アクセスポイントは、前記端末からの受信パケットを前記制御装置に転送し、
   前記制御装置は、前記受信パケットを処理するための処理規則を前記アクセスポイントに設定する、請求項１乃至５のいずれか一項に記載のネットワークシステム。
7. 複数のアクセスポイントと、
   前記複数のアクセスポイントのうちの少なくとも１つに無線接続する端末と、
   を含むネットワークにおける通信方法であって、
   前記複数のアクセスポイントを１つの論理アクセスポイントに統合し、前記論理アクセスポイントに、前記論理アクセスポイントを識別するための論理識別子を与え、前記複数のアクセスポイントに前記論理識別子を通知する工程と、
   前記アクセスポイントと前記端末の間で、前記論理識別子を用いた認証及び接続を行う工程と、
   前記アクセスポイントから前記論理識別子を用いて構築したビーコンフレームを送信する工程と、
   前記ビーコンフレームを受信した端末が、自装置に設定されているアクセス可能なアクセスポイントの識別子を含むプローブ要求フレームを構築し、前記ビーコンフレームを送信するアクセスポイントに送信する工程と、
   を含む通信方法。

Images