WO2018216642A1 - ネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラム - Google Patents

ネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラム Download PDF

Info

Publication number
WO2018216642A1
WO2018216642A1 PCT/JP2018/019446 JP2018019446W WO2018216642A1 WO 2018216642 A1 WO2018216642 A1 WO 2018216642A1 JP 2018019446 W JP2018019446 W JP 2018019446W WO 2018216642 A1 WO2018216642 A1 WO 2018216642A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
request information
network device
server
transmission amount
Prior art date
Application number
PCT/JP2018/019446
Other languages
English (en)
French (fr)
Inventor
明子 鈴木
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Publication of WO2018216642A1 publication Critical patent/WO2018216642A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Definitions

  • the present invention is based on the priority claim of Japanese patent application: Japanese Patent Application No. 2017-100909 (filed on May 22, 2017), the entire description of which is incorporated herein by reference. Shall.
  • the present invention relates to a network device, an authentication server, a network system, an authentication method, and a program.
  • Some network systems that require authentication when connecting to a service providing server from a client terminal authenticate the client terminal with an authentication server connected to a network device at an access point of the client terminal.
  • the network system is MNO (Mobile Network Operator)-MVNE (Mobile Virtual Network Enabler)-MVNO (Mobile Virtual Network Operator) type
  • the network device will be an MVNE P-GW (Packet Data Network-Gateway) device and an authentication device. Is often configured as a MVNO RADIUS (Remote Authentication-Dial-In User Service) server.
  • the communication state of an authentication server is monitored by a network device. If communication is possible, the first authentication method (WPA (Wi-Fi Protected Access) -EAP (Extensible Authentication Protocol) is used. ) Method), and when communication is impossible, there is one that authenticates by a second authentication method (WPA-PSK (Pre-Shared Key) method) different from the first authentication method (see Patent Document 1).
  • WPA Wi-Fi Protected Access
  • EAP Extensible Authentication Protocol
  • connection failure occurs due to excess processing capacity on the authentication server side, and connection occurs due to an increase in reconnection requests.
  • the impossible situation may continue. That is, the performance of the network device is commensurate with the restricted bandwidth with the MNO, but the performance of the authentication server varies depending on each MVNO. Therefore, in the case of the network system described in Patent Document 1, the network device can communicate with the authentication server. Even so, there is a possibility that the connection cannot be continued due to an increase in reconnection requests, and the authentication service cannot be stably supplied.
  • the main problem of the present invention is to provide a network device, an authentication server, a network system, an authentication method, and a program that can stably supply an authentication service.
  • the network device performs connection processing between the client terminal and the service providing server when the authentication server succeeds in response to a connection request from the client terminal to the service providing server.
  • the network device includes a queue unit for queuing connection request information from the client terminal, and a transmission amount of authentication request information corresponding to the connection request information queued in the queue unit to the authentication server.
  • a transmission amount control unit for controlling, and an authentication process monitoring unit for monitoring an authentication process status of the authentication server.
  • the authentication process monitoring unit is configured to calculate authentication process information obtained by quantifying the authentication process status, and the authentication server of the authentication request information in the transmission amount control unit according to the calculated value of the authentication process information.
  • processing for setting an operation mode for controlling the transmission amount controls the transmission amount of authentication request information to the authentication server based on the operation mode set by the authentication process monitoring unit.
  • the authentication server performs authentication processing in response to a connection request with the service providing server from the client terminal.
  • the authentication server includes a front end that can be connected to the client terminal via a network device, and a back end that performs authentication processing.
  • the front end includes a queuing unit that queues connection request information from the client terminal, and a transmission amount to the back end of authentication request information corresponding to the connection request information queued in the queuing unit.
  • a transmission amount control unit for controlling, and an authentication process monitoring unit for monitoring the authentication process status of the back end.
  • the transmission amount control unit controls the transmission amount of authentication request information to the back end based on the operation mode set by the authentication process monitoring unit.
  • the network device performs connection processing between the client terminal and the service providing server when authentication is successful in the back end.
  • the network system according to the third aspect includes the network device according to the first aspect, the client device, the authentication server, and the service providing server.
  • the authentication method includes a step of queuing connection request information from the client terminal in the network device, and transmission of authentication request information corresponding to the queued connection request information to the authentication server in the network device. Controlling the amount, and monitoring the authentication processing status of the authentication server in the network device. In the monitoring step, a step of calculating authentication processing information obtained by quantifying the authentication processing status, and transmitting authentication request information in the network device to the authentication server according to the calculated value of the authentication processing information And setting an operation mode for controlling the amount. In the step of controlling the transmission amount, the transmission amount of authentication request information to the authentication server is controlled based on the set operation mode.
  • a program is a network device that performs connection processing between the client terminal and the service providing server when authentication is successful in the authentication server in response to a connection request from the client terminal to the service providing server. Is executed.
  • the program includes a process of queuing connection request information from the client terminal in the network device, and a transmission amount of authentication request information corresponding to the queued connection request information to the authentication server in the network device. And a process of monitoring an authentication process status of the authentication server in the network device. In the monitoring process, a process of calculating authentication process information obtained by quantifying the authentication process status, and transmitting authentication request information in the network device to the authentication server according to the calculated value of the authentication process information And setting an operation mode for controlling the amount. In the process of controlling the transmission amount, the transmission amount of authentication request information to the authentication server is controlled based on the set operation mode.
  • the authentication service can be stably supplied.
  • FIG. 1 is a block diagram schematically illustrating a configuration of a network system according to a first embodiment.
  • FIG. 2 is a block diagram schematically showing a configuration when a network device program in the network system according to the first embodiment is executed.
  • FIG. 3 is a flowchart schematically showing an operation when a network device performs call processing in the network system according to the first embodiment.
  • FIG. 5 is a flowchart schematically showing an operation when monitoring authentication processing of a network device in the network system according to the first embodiment.
  • FIG. 5 is a flowchart schematically showing an operation when monitoring a connection request waiting number of a network device in the network system according to the first embodiment.
  • FIG. 5 is a flowchart schematically showing an operation when monitoring a connection request waiting number of a network device in the network system according to the first embodiment. It is the block diagram which showed typically the structure when the program of the network device in the network system which concerns on Embodiment 2 is performed. It is the block diagram which showed typically the structure of the network system which concerns on Embodiment 3. FIG. It is the block diagram which showed typically the structure when the program of the network device in the network system which concerns on Embodiment 3 is performed.
  • FIG. 6 is a block diagram schematically illustrating a configuration of a network device in a network system according to a fourth embodiment.
  • FIG. 9 is a flowchart schematically showing an operation when a network device performs call processing in a network system according to a fourth embodiment.
  • FIG. 10 is a flowchart schematically showing an operation when monitoring authentication processing of a network device in a network system according to a fourth embodiment.
  • connection lines between blocks such as drawings referred to in the following description include both bidirectional and unidirectional directions.
  • the unidirectional arrow schematically shows the main signal (data) flow and does not exclude bidirectionality.
  • FIG. 1 is a block diagram schematically illustrating a configuration of a network system according to the first embodiment.
  • FIG. 2 is a block diagram schematically illustrating a configuration when a network device program in the network system according to the first embodiment is executed.
  • the network system 1 is a system having a function of authenticating the client terminal 10 with the authentication server 30 connected to the network device 20 at the access point of the client terminal 10 when connecting from the client terminal 10 to the service providing server 40. Yes (see FIG. 1).
  • the network system 1 includes a client terminal 10, a network device 20, an authentication server 30, a service providing server 40, and networks 50A, 50B, and 50C.
  • the client terminal 10 is a terminal used by the client (see FIGS. 1 and 2).
  • the client terminal 10 is communicably connected to the network device 20 via the network 50A.
  • a terminal having a computer function capable of communicating with the network 50 ⁇ / b> A by wire or wireless can be used.
  • a personal computer, a mobile terminal, or the like can be used.
  • the client terminal 10 has a function of transmitting connection request information to the network device 20 by a client operation when communicating with the service providing server 40.
  • connection request information is information for requesting the network device 20 to connect the client terminal 10 to the service providing server 40.
  • the client terminal 10, the service providing server 40, and the network device 20 are specified.
  • Information, information such as the transmission time from the client terminal 10 can be included.
  • the network device 20 is a device that relays communication of the client terminal 10 (see FIGS. 1 and 2).
  • the network device 20 is communicably connected to the client terminal 10 via the network 50A.
  • the network device 20 is communicably connected to the authentication server 30 via the network 50B.
  • the network device 20 is communicably connected to the service providing server 40 via the network 50C.
  • the network device 20 serves as an access point for the client terminal 10 in the network system 1. That is, the network device 20 performs a connection process between the client terminal 10 and the service providing server 40 when the authentication server 30 succeeds in response to a connection request from the client terminal 10 with the service providing server 40.
  • a device having a computer function can be used.
  • a gateway device for example, P-GW
  • a router for example, a mobile core device, or the like can be used.
  • the network device 20 includes a communication unit 21, a storage unit 22, and a control unit 23 (see FIG. 1).
  • the communication unit 21 is a functional unit (for example, an interface or the like) for communicating (transmitting / receiving) information (see FIG. 1).
  • the communication unit 21 is communicably connected to the networks 50A, 50B, and 50C.
  • the storage unit 22 is a functional unit that stores various data and programs (see FIG. 1).
  • the control unit 23 is a functional unit that controls the communication unit 21 and the storage unit 22 (see FIG. 1).
  • the control unit 23 controls the communication unit 21 to transmit / receive information to / from the client terminal 10, the authentication server 30, and the service providing server 40.
  • the control unit 23 inputs / outputs data to / from the storage unit 22.
  • the control unit 23 performs predetermined information processing by executing software stored in the storage unit 22. Details of the predetermined information processing will be described later.
  • the control unit 23 implements an authentication process monitoring unit 61, a transmission amount control unit 62, a queue unit 63, and a temporary authentication control unit 64 by executing predetermined software (FIGS. 1 and 2). reference).
  • the authentication process monitoring unit 61 is an information processing unit that monitors the authentication processing status of the authentication server 30 (see FIG. 2).
  • the authentication process monitoring unit 61 has a function of calculating authentication process information (authentication process TAT (Turn Around Time), authentication process completion rate). Based on the calculated authentication process information, the authentication process monitoring unit 61 performs an operation mode (non-congestion mode, first congestion mode) for performing authentication request information transmission amount control (transmission interval, retry count control). , Second congestion mode) is set.
  • the authentication processing information is information obtained by quantifying the authentication processing status based on acquirable data.
  • the authentication process information for example, an authentication process TAT (Turn Around Time) and an authentication process completion rate can be used.
  • the authentication processing TAT is the time from when the authentication request information is transmitted from the network device 20 until the corresponding authentication response information is transmitted from the authentication server 30.
  • the authentication process completion rate is the number of waiting for reception of authentication request information at the beginning of the previous period (possible even at the end of the period) of the number of authentication processes completed during the previous period (the number of transmitted authentication response information) X by monitoring in a predetermined period. The ratio to X (X / Y).
  • the authentication request information is information for requesting authentication of the client terminal 10 with respect to the connection request information.
  • the information specifying the client terminal 10, the service providing server 40, the network device 20, and the authentication server 30, Information such as the transmission time can be included.
  • the authentication response information is information in response to the authentication request information.
  • information specifying the client terminal 10, the service providing server 40, the network device 20, and the authentication server 30, information such as a transmission time from the authentication server 30, and the like. Can be included.
  • the non-congestion mode is a transmission amount control mode when there is no congestion.
  • the first congestion mode is a transmission amount control mode when there is congestion, and is set so that the transmission amount is smaller than the transmission amount in the non-congestion mode.
  • the second congestion mode is a transmission amount control mode when the congestion is greater than that of the first congestion mode, and is set to be a transmission amount that is smaller than the transmission amount of the first congestion mode.
  • the transmission interval of authentication request information can be lengthened, or the number of transmission retries can be reduced.
  • the transmission amount control unit 62 is an information processing unit that controls the transmission amount of the authentication request information corresponding to the connection request information queued in the queue unit 63 to the authentication server 30 (see FIG. 2).
  • the transmission amount control unit 62 has a function of transmitting authentication request information to the authentication server 30 corresponding to the applied service when receiving connection request information from the client terminal 10.
  • the transmission amount control unit 62 has a function of connecting the client terminal 10 to the service providing server 40 when receiving authentication response information from the corresponding authentication server 30.
  • the transmission amount control unit 62 queues connection request information from the client terminal 10 in the queuing unit 63.
  • the transmission amount control unit 62 sends the authentication request information to the authentication server 30 corresponding to the head connection request information in the queuing unit 63 to the operation mode (non-congestion mode, first congestion) set by the authentication process monitoring unit 61. Transmission amount (transmission interval, number of retries) based on the time mode and the second congestion mode).
  • Queue unit 63 is an information processing unit for queuing connection request information (holding in a data area forming a queue) (see FIG. 2).
  • the queuing unit 63 is controlled by the transmission amount control unit 62.
  • the temporary authentication control unit 64 is an information processing unit that performs temporary authentication processing and performs connection processing when the queue 63 overflows a queue (a state in which the number of waiting exceeds a predetermined number) (see FIG. 2).
  • the temporary authentication control unit 64 performs temporary authentication using MSISDN (Mobile Subscriber Integrated Services Digital Network Number) information. If the temporary authentication is successful, the temporary authentication control unit 64 stores the terminal information and the expiration date in the network device 20 (storage unit 22).
  • the temporary authentication control unit 64 loads the temporary authentication connection call on the queue unit 63 when the queue unit 63 returns from the queue overflow state or when the temporary authentication expiration date is reached, and performs re-authentication processing. carry out.
  • the authentication server 30 is a server that authenticates the client terminal 10 that makes a connection request to the service providing server 40 (see FIGS. 1 and 2).
  • the authentication server 30 has a computer function and includes an authentication database (not shown) that stores authentication information such as an ID and a password for each client that uses the client terminal 10.
  • the authentication server 30 is communicably connected to the network device 20 via the network 50B.
  • the authentication server 30 has a function of authenticating the client terminal 10 with respect to the service providing server 40 when receiving authentication request information from the network device 20 and transmitting authentication response information to the network device 20 when authentication is successful. .
  • the authentication server 30 receives the number of authentication processing completions (the number of authentication response information transmissions) X during the previous period and the number Y of waiting for reception of authentication request information at the beginning of the previous period (possible even at the end of the period) in a one-minute period. And has a function of measuring.
  • the authentication server 30 has a function of providing the measured X and Y in response to a request from the authentication process monitoring unit 61 of the network device 20.
  • a RADIUS server can be used as the authentication server 30, for example.
  • the service providing server 40 is a server that provides a service by accessing the authenticated client terminal 10 (see FIG. 1).
  • the service providing server 40 is communicably connected to the network device 20 via the network 50C.
  • the networks 50A, 50B, and 50C are wireless or wired information communication networks.
  • the networks 50A, 50B, and 50C can include, for example, the Internet, a LAN (Local Area Network), a wireless LAN, a WAN (Wide Area Network), and the like.
  • FIG. 3 is a flowchart schematically showing an operation when a network device performs call processing in the network system according to the first embodiment. Refer to FIG. 1 and FIG. 2 for the configuration of the network system 1.
  • the transmission amount control unit 62 of the network device 20 receives the connection request information from the client terminal 10, and queues the received connection request information in the queue unit 63 (step A1).
  • the transmission amount control unit 62 displays the authentication request information for the authentication server 30 corresponding to the head connection request information in the queue unit 63 with the set operation mode (non-congestion mode, first congestion mode, Based on the second congestion mode), transmission amount control (transmission interval, retry count control) is performed (step A2).
  • the transmission amount control unit 62 receives authentication response information (information in response to the authentication request information) corresponding to the authentication request information from the authentication server 30 (step A3). If the authentication server 30 fails to authenticate, the connection process between the client terminal 10 and the service providing server 40 is not performed, and the process ends and returns to the start. If the authentication server 30 can authenticate, the process proceeds.
  • the transmission amount control unit 62 performs connection processing between the client terminal 10 and the service providing server 40 (step A4), and then ends and returns to the start.
  • FIG. 4 is a flowchart schematically showing an operation when monitoring the authentication processing of the network device in the network system according to the first embodiment. Refer to FIG. 1 and FIG. 2 for the configuration of the network system 1.
  • the authentication process monitoring unit 61 of the network device 20 calculates authentication process information (authentication process TAT, authentication process completion rate) (step B1).
  • the authentication processing TAT can be calculated from the difference between the transmission time of the authentication request information in the network device 20 and the transmission time of the authentication response information in the authentication server 30.
  • the authentication process completion rate may be the number of authentication processes completed (the number of authentication response information transmissions) X during the previous period and the beginning of the previous period (possible at the end of the period).
  • the number of waiting for reception of authentication request information Y can be obtained and calculated from the ratio of X to Y (X / Y).
  • the authentication process monitoring unit 61 determines whether or not the authentication process TAT of the authentication process information is less than a threshold value T1 (a preset threshold value; for example, 0.5 msec) (step B2). If the authentication process TAT is not less than the threshold value T1 (NO in step B2), the process proceeds to step B5.
  • a threshold value T1 a preset threshold value; for example, 0.5 msec
  • the authentication process monitoring unit 61 When the authentication process TAT is less than the threshold value T1 (YES in step B2), the authentication process monitoring unit 61 has an authentication process completion rate of the authentication process information equal to or higher than a threshold value R1 (a preset threshold value; for example, 0.95). It is determined whether or not there is (step B3). If the authentication processing completion rate is not equal to or greater than the threshold value R1 (NO in step B3), the process proceeds to step B6.
  • a threshold value R1 a preset threshold value; for example, 0.95
  • the authentication processing monitoring unit 61 determines that the authentication server 30 is in a non-congested state, and sets the operation mode of the transmission amount control unit 62 to a non-congested state.
  • a mode for example, transmission interval 0.3 sec, number of retries 3 times is set (step B4).
  • the authentication process monitoring unit 61 determines that the authentication process information authentication process TAT is less than the threshold value T2 (a preset threshold value; T2> T1, for example, 1 msec). It is determined whether or not there is (step B5). If the authentication process TAT is not less than the threshold value T2 (NO in step B5), the process proceeds to step B8.
  • T2 a preset threshold value; T2> T1, for example, 1 msec
  • the authentication process monitoring unit 61 determines that the authentication process completion rate of the authentication process information is greater than or equal to a threshold value R2 (a preset threshold value; for example, 0.8). It is determined whether or not there is (step B6). If the authentication processing completion rate is not equal to or greater than the threshold value R2 (NO in step B6), the process proceeds to step B8.
  • a threshold value R2 a preset threshold value; for example, 0.8
  • the authentication processing monitoring unit 61 When the authentication processing completion rate of the authentication processing information is greater than or equal to the threshold value R2 (YES in step B6), the authentication processing monitoring unit 61 indicates that the authentication server 30 is in a first congestion state (congested but more congested than the second congestion state).
  • the operation mode of the transmission amount control unit 62 is set to the first congestion mode (for example, the transmission interval 0.5 sec, the number of retries twice) (step B7), and then ends. And return to the start.
  • the authentication process monitoring unit 61 indicates that the authentication server 30 is in the second congestion state. It is determined that the state is more congested than the first congestion state, and the operation mode of the transmission amount control unit 62 is set to the second congestion mode (for example, transmission interval 1 sec, retry count 1 time) (step B8) After that, it ends and returns to the start.
  • the second congestion mode for example, transmission interval 1 sec, retry count 1 time
  • the operation mode of the transmission amount control unit 62 is in three stages, but it may be in two stages or four or more stages.
  • FIG. 5 is a flowchart schematically showing an operation when monitoring the number of connection request waits of the network device in the network system according to the first embodiment. Refer to FIG. 1 and FIG. 2 for the configuration of the network system 1.
  • the temporary authentication control unit 64 of the network device 20 monitors the waiting number of connection request information in the queue unit 63 (step C1).
  • the temporary authentication control unit 64 determines whether or not the waiting number of connection request information in the queuing unit 63 is greater than a threshold value Q1 (for example, a queue maximum value) (step C2). If the waiting number is not greater than the threshold value Q1 (NO in step C2), the process proceeds to step C4.
  • a threshold value Q1 for example, a queue maximum value
  • the temporary authentication control unit 64 determines that a queue overflow has occurred, starts the temporary authentication process (step C3), and then ends and returns to the start. .
  • the temporary authentication control unit 64 performs temporary authentication processing (authentication processing not using the authentication server 30; see FIG. 6) and connection processing on the connection request information newly received by the network device 20.
  • the connection request information queued in the queuing unit 63 is connected to the normal authentication process (authentication process using the authentication server 30; see FIG. 3) and the connection. Processing will be carried out.
  • the temporary authentication control unit 64 determines that a queue overflow has occurred, and determines whether the temporary authentication process is being activated (step C4). . If the temporary authentication process is not activated (NO in step C4), the process ends and returns to the start.
  • the temporary authentication control unit 64 stops the temporary authentication process (step C5), and then ends and returns to the start. As a result, the temporary authentication control unit 64 queues the connection request information newly received by the network device 20 in the queue unit 63, and performs normal authentication processing and connection processing.
  • FIG. 6 is a flowchart schematically showing an operation when monitoring the number of connection request waits of the network device in the network system according to the first embodiment. Refer to FIG. 1 and FIG. 2 for the configuration of the network system 1.
  • the temporary authentication control unit 64 confirms that the temporary authentication process is being activated (step D1). If the temporary authentication process is not activated, the process ends.
  • the temporary authentication control unit 64 transmits MSISDN information (for example, to the mobile phone network) to the client terminal 10 that has transmitted the newly received connection request information (connection request information that is queued in the queue unit 63). Requesting temporary authentication request information using a number that uniquely identifies the subscription (step D2). As a result, the client terminal 10 inputs the temporary authentication request information and transmits it to the network device 20.
  • the temporary authentication control unit 64 receives temporary authentication request information from the client terminal 10 (step D3).
  • the temporary authentication control unit 64 determines whether or not temporary authentication has succeeded for the received temporary authentication request information (step D4). If temporary authentication is not possible (NO in step D4), the process ends and returns to the start.
  • the temporary authentication control unit 64 performs a connection process between the client terminal 10 and the service providing server 40, and the terminal identification information and the expiration date (for example, 10 sec) of the temporary authentication request information. ) Is stored in the network device 20 (step D5).
  • the expiry date for temporary authentication can be set in units of 10 seconds. When the expiration date is set to 0 seconds, the temporary authentication process is not performed.
  • the temporary authentication control unit 64 sends connection request information corresponding to the terminal identification information to the queuing unit 63 when the expiration date is reached after the connection processing between the client terminal 10 and the service providing server 40 is performed. Queue (step D6), then end and return to start.
  • the authentication server 30 is monitored and the amount of authentication request transmission is controlled, so that the authentication request processing in the authentication server 30 is prevented from being congested, and the communication service provider makes the authentication service inexpensive and stable. Can supply. Further, according to the first embodiment, the authentication server 30 that is not congested can be effectively used.
  • FIG. 7 is a block diagram schematically illustrating a configuration when a network device program in the network system according to the second embodiment is executed.
  • the second embodiment is a modification of the first embodiment (see FIG. 2), and queue units 63a to 63a corresponding to each of a plurality of MVNOs (virtual mobile communication carriers) in the queue unit 63 of the network device 20.
  • 63c see FIG. 7
  • Connection request information from the client terminals 10A to 10C is queued in the queue units 63a to 63c, respectively.
  • the connection request information queued in the queue units 63a to 63c is subjected to authentication processing by the authentication servers 30A to 30C, respectively.
  • FIG. 7 when only the third queuing unit 63c is in a high load state, only the connection request information from the client terminal 10C that joins the third MVNO is subject to transmission amount control.
  • Other configurations and operations are the same.
  • the communication carrier can stably supply the authentication service at low cost.
  • the client terminals 10A and 10B subscribing to the first MVNO and the second MVNO are also waiting for connection due to the influence of the connection waiting of the client terminal 10C subscribing to the third MVNO, compared to the case where there is only one queue. Can be prevented from occurring.
  • the MNO-MVNE-MVNO type there are various network configuration models in the network device 20 and the authentication servers 30A to 30C, and a plurality of operators may be accommodated together. Even in the case where the error occurs, according to the second embodiment, localization of the affected range can be suppressed, and congestion itself can be suppressed by predictive monitoring.
  • FIG. 8 is a block diagram schematically showing the configuration of the network system according to the third embodiment.
  • FIG. 9 is a block diagram schematically showing a configuration when a network device program in the network system according to the third embodiment is executed.
  • the third embodiment is a modification of the first embodiment (see FIG. 2).
  • the authentication server 30 is provided with a front end 70 and a back end 80, and an authentication process monitoring unit 61 such as that in the first embodiment is transmitted from the network device 20.
  • the amount control unit 62, the queue unit 63, and the temporary authentication control unit 64 are eliminated, and instead (the authentication process monitoring unit 61, the transmission amount control unit 62, the queue unit 63, and the The authentication processing monitoring unit 71, the transmission amount control unit 72, the queuing unit 73, and the temporary authentication control unit 74, which are the same as the temporary authentication control unit 64), have all functions of the authentication server 30 of the first embodiment in the back end 80. (See FIG. 9).
  • the authentication server 30 includes a communication unit 31, a storage unit 32, and a control unit 33 (see FIG. 8).
  • the communication unit 31 is a functional unit (for example, an interface or the like) for communicating (transmitting / receiving) information (see FIG. 8).
  • the communication unit 31 is communicably connected to the network 50B.
  • the storage unit 32 is a functional unit that stores various data and programs (see FIG. 8).
  • the control unit 33 is a functional unit that controls the communication unit 31 and the storage unit 32 (see FIG. 8).
  • the control unit 33 controls the communication unit 31 to transmit / receive information to / from the network device 20.
  • the control unit 33 inputs / outputs data to / from the storage unit 32.
  • the control unit 33 performs predetermined information processing by executing software stored in the storage unit 32. Details of the predetermined information processing will be described later.
  • the control unit 33 implements an authentication process monitoring unit 71, a transmission amount control unit 72, a queue unit 73, and a temporary authentication control unit 74 by executing predetermined software (FIGS. 8 and 9). reference).
  • the network device 20 transfers connection request information from the client terminal 10 to the front end 70 of the authentication server 30. Further, the connection process between the client terminal 10 and the service providing server 40 in the network device 20 is performed according to an instruction from the transmission amount control unit 72.
  • the communication carrier can stably supply the authentication service at low cost. Further, according to the third embodiment, since the queue can be divided for each authentication server 30, it is possible to prevent a situation in which waiting for authentication at another authentication server occurs due to the authentication waiting of one authentication server 30. it can.
  • FIG. 10 is a block diagram schematically illustrating a configuration of a network device in the network system according to the fourth embodiment.
  • the client terminal 10 is a terminal used by the client.
  • the network system 1 includes a client terminal 10, a network device 20, an authentication server 30, and a service providing server 40.
  • the network device 20 is a device that performs connection processing between the client terminal 10 and the service providing server 40 when the authentication server 30 succeeds in response to a connection request from the client terminal 10 with the service providing server 40.
  • the network device 20 includes an authentication process monitoring unit 61, a transmission amount control unit 62, and a queue unit 63.
  • the authentication process monitoring unit 61 monitors the authentication process status of the authentication server 30.
  • the authentication process monitoring unit 61 calculates authentication process information in which the authentication process status is digitized.
  • the authentication process monitoring unit 61 sets an operation mode for controlling the transmission amount of the authentication request information to the authentication server 30 in the transmission amount control unit 62 according to the calculated value of the authentication processing information.
  • the transmission amount control unit 62 controls the transmission amount of the authentication request information corresponding to the connection request information queued in the queue unit 63 to the authentication server 30.
  • the transmission amount control unit 62 controls the transmission amount of the authentication request information to the authentication server 30 based on the operation mode set by the authentication process monitoring unit 61.
  • the queue unit 63 queues connection request information from the client terminal 10.
  • the authentication server 30 is a server that authenticates the client terminal 10 that makes a connection request to the service providing server 40.
  • the service providing server 40 is a server that provides a service by accessing the authenticated client terminal 10.
  • FIG. 11 is a flowchart schematically showing an operation when a network device performs call processing in the network system according to the fourth embodiment. Refer to FIG. 10 for the configuration of the network system 1.
  • the transmission amount control unit 62 of the network device 20 queues connection request information from the client terminal 10 in the queuing unit 63 (step E1).
  • the transmission amount control unit 62 transmits the authentication request information for the authentication server 30 corresponding to the head connection request information in the queuing unit 63 by performing transmission amount control based on the set operation mode ( Step E2).
  • the transmission amount control unit 62 receives authentication response information (information in response to the authentication request information) corresponding to the authentication request information from the authentication server 30 (step E3). If the authentication server 30 fails to authenticate, the connection process between the client terminal 10 and the service providing server 40 is not performed, and the process ends and returns to the start. If the authentication server 30 can authenticate, the process proceeds.
  • the transmission amount control unit 62 performs connection processing between the client terminal 10 and the service providing server 40 (step E4), and then ends and returns to the start.
  • FIG. 12 is a flowchart schematically illustrating an operation when monitoring authentication processing of a network device in the network system according to the fourth embodiment. Refer to FIG. 10 for the configuration of the network system 1.
  • the authentication process monitoring unit 61 of the network device 20 calculates authentication process information obtained by quantifying the authentication process status (step F1).
  • the authentication process monitoring unit 61 sets an operation mode for controlling the transmission amount of authentication request information to the authentication server in the network device 20 according to the calculated value of the authentication process information (step F2), and thereafter Exit and return to the start.
  • the authentication server 30 is monitored and the amount of authentication request transmission is controlled, so that the authentication request processing at the authentication server 30 is prevented from being congested. Can supply.
  • the transmission amount when the calculated authentication processing time is less than the first threshold when the calculated authentication processing time is equal to or greater than the first threshold is set so that the transmission amount is smaller than that.
  • the ratio of the number of authentication processing completions during a predetermined period to the number of waiting for reception of authentication request information at the beginning or end of the predetermined period In the process of calculating a certain authentication process completion rate and setting the operation mode, when the calculated authentication process completion rate is less than a second threshold, it is smaller than the transmission amount when it is greater than or equal to the second threshold.
  • the operation mode is set so that the transmission amount is reached.
  • the network device further includes a temporary authentication control unit that performs temporary authentication processing when a queue overflow occurs in the queue unit, wherein the temporary authentication control unit is the queue unit.
  • the temporary authentication process is activated when the waiting number of connection request information is greater than the third threshold, and the waiting time of the connection request information in the queuing unit when the temporary authentication process is activated. And a process of stopping the temporary authentication process when the threshold value is 3 or less.
  • the temporary authentication control unit sends temporary authentication request information to the client terminal that has transmitted the newly received connection request information when the temporary authentication process is activated.
  • a requesting process a process for performing connection processing between the client terminal and the service providing server until the expiration date when the temporary authentication is successful for the temporary authentication request information from the client terminal, and the expiration date has been reached.
  • the corresponding connection request information is queued in the queue unit.
  • the queue unit includes a plurality of queue units corresponding to each of a plurality of virtual mobile communication carriers.
  • an authentication server according to the second viewpoint is possible.
  • the network system according to the third aspect is possible.
  • the authentication server according to the second viewpoint the network device, the client device, and the service providing server are provided.
  • an authentication method for performing an authentication process in an authentication server in response to a connection request with a service providing server from a client terminal wherein the authentication server Queuing connection request information from the client terminal at the front end of the server, and a transmission amount of the authentication request information corresponding to the queued connection request information to the back end of the authentication server at the front end.
  • a step of monitoring the authentication processing status of the back end at the front end and in the monitoring step, calculating authentication processing information in which the authentication processing status is quantified, and calculating Before the authentication request information in the front end according to the value of the authentication processing information
  • a step of setting an operation mode for controlling a transmission amount to the back end and the step of controlling the transmission amount includes transmitting the authentication request information to the back end based on the set operation mode.
  • the network device performs connection processing between the client terminal and the service providing server when authentication is successful at the back end.
  • a program executed by an authentication server that performs an authentication process in response to a connection request with a service providing server from a client terminal, A process for queuing connection request information from the client terminal at the front end of the authentication server, and a transmission amount of authentication request information corresponding to the queued connection request information to the back end of the authentication server at the front end.
  • processing for setting an operation mode for controlling the transmission amount to the node, and in the processing for controlling the transmission amount, the transmission amount of the authentication request information to the back end is determined based on the set operation mode.
  • the network device performs connection processing between the client terminal and the service providing server when authentication is successful in the back end.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Environmental & Geological Engineering (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

認証サービスを安定的に供給できるネットワーク装置等を提供する。クライアント端末からの接続要求情報をキューイングする待ち行列部と、待ち行列部にキューイングされた接続要求情報に対応する認証要求情報の認証サーバへの送信量を制御する送信量制御部と、認証サーバの認証処理状況を監視する認証処理監視部と、を備える。認証処理監視部は、認証処理状況を数値化した認証処理情報を算出する処理と、算出された前記認証処理情報の値に応じて、送信量制御部における認証要求情報の認証サーバへの送信量を制御する動作モードを設定する処理と、を行う。送信量制御部は、認証処理監視部によって設定された動作モードに基づいて、認証要求情報の認証サーバへの送信量を制御する。

Description

ネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラム
　（関連出願についての記載）
　本発明は、日本国特許出願：特願２０１７－１００９０９号（２０１７年５月２２日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
　本発明は、ネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラムに関する。
　クライアント端末からサービス提供サーバに接続する際に認証を必要とするネットワークシステムにおいては、クライアント端末のアクセスポイントにあるネットワーク装置に接続された認証サーバでクライアント端末の認証を行うものがある。ネットワークシステムがＭＮＯ（Mobile Network Operator）－ＭＶＮＥ（Mobile Virtual Network Enabler）－ＭＶＮＯ（Mobile Virtual Network Operator）型の場合、ネットワーク装置にはＭＶＮＥのＰ－ＧＷ（Packet Data Network-Gateway）装置、認証装置にはＭＶＮＯのＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）サーバ、という構成になる場合が多い。
　このようなネットワークシステムには、ネットワーク装置にて認証サーバ（ＲＡＤＩＵＳサーバ）の通信状態を監視し、通信可能な場合には第１認証方式（ＷＰＡ（Wi-Fi Protected Access）－ＥＡＰ（Extensible Authentication Protocol）方式）により認証し、通信不可能な場合には第１認証方式と異なる第２認証方式（ＷＰＡ－ＰＳＫ（Pre-Shared Key）方式）により認証するものがある（特許文献１参照）。
特開２０１５－１０９６７４号公報
　以下の分析は、本願発明者により与えられる。また、上記特許文献１の開示事項は、本書に引用をもって繰り込み記載されているものとする。以下の分析は、本発明によって与えられたものである。
　しかしながら、特許文献１に記載のネットワークシステムの場合、ネットワーク装置側のリソースや処理能力に余力があっても、認証サーバ側の処理能力超過により、接続不可が発生し、再接続要求の増加により接続不可の状況が続いてしまう可能性がある。つまり、ネットワーク装置はＭＮＯとの制約帯域に見合った性能であるが、認証サーバは各ＭＶＮＯによって性能にばらつきがあるため、特許文献１に記載のネットワークシステムの場合、ネットワーク装置が認証サーバと通信可能であっても、再接続要求の増加により接続不可の状況が続き、認証サービスを安定的に供給することができなくなる可能性がある。
　本発明の主な課題は、認証サービスを安定的に供給できるネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラムを提供することである。
　第１の視点に係るネットワーク装置は、クライアント端末からのサービス提供サーバとの接続要求に応じて、認証サーバで認証が成功したときに、前記クライアント端末と前記サービス提供サーバとの接続処理を行う。前記ネットワーク装置は、前記クライアント端末からの接続要求情報をキューイングする待ち行列部と、前記待ち行列部にキューイングされた前記接続要求情報に対応する認証要求情報の前記認証サーバへの送信量を制御する送信量制御部と、前記認証サーバの認証処理状況を監視する認証処理監視部と、を備える。前記認証処理監視部は、前記認証処理状況を数値化した認証処理情報を算出する処理と、算出された前記認証処理情報の値に応じて、前記送信量制御部における認証要求情報の前記認証サーバへの送信量を制御する動作モードを設定する処理と、を行う。前記送信量制御部は、前記認証処理監視部によって設定された前記動作モードに基づいて、認証要求情報の前記認証サーバへの送信量を制御する。
　第２の視点に係る認証サーバは、クライアント端末からのサービス提供サーバとの接続要求に応じて認証処理を行う。前記認証サーバは、前記クライアント端末とネットワーク装置を介して接続可能なフロントエンドと、認証処理を行うバックエンドと、を備える。前記フロントエンドは、前記クライアント端末からの接続要求情報をキューイングする待ち行列部と、前記待ち行列部にキューイングされた前記接続要求情報に対応する認証要求情報の前記バックエンドへの送信量を制御する送信量制御部と、前記バックエンドの認証処理状況を監視する認証処理監視部と、を備える。前記認証処理監視部は、前記送信量制御部から前記認証要求情報を送信してから、前記バックエンドから前記認証要求情報に対応する認証応答情報を送信するまでの認証処理時間を算出する処理と、算出された前記認証処理時間の値に応じて、前記送信量制御部における認証要求情報の前記バックエンドへの送信量を制御する動作モードを設定する処理と、を行う。前記送信量制御部は、前記認証処理監視部によって設定された前記動作モードに基づいて、認証要求情報の前記バックエンドへの送信量を制御する。前記ネットワーク装置は、前記バックエンドで認証が成功したときに前記クライアント端末と前記サービス提供サーバとの接続処理を行う。
　第３の視点に係るネットワークシステムは、前記第１の視点に係るネットワーク装置と、前記クライアント装置と、前記認証サーバと、前記サービス提供サーバと、を備える。
　第４の視点に係る認証方法は、クライアント端末からのサービス提供サーバとの接続要求に応じて、認証サーバで認証が成功したときに、ネットワーク装置にて前記クライアント端末と前記サービス提供サーバとの接続処理を行う。前記認証方法は、前記ネットワーク装置にて前記クライアント端末からの接続要求情報をキューイングするステップと、キューイングされた前記接続要求情報に対応する認証要求情報の前記ネットワーク装置における前記認証サーバへの送信量を制御するステップと、前記ネットワーク装置にて前記認証サーバの認証処理状況を監視するステップと、を含む。前記監視するステップでは、前記認証処理状況を数値化した認証処理情報を算出するステップと、算出された前記認証処理情報の値に応じて、前記ネットワーク装置における認証要求情報の前記認証サーバへの送信量を制御する動作モードを設定するステップと、を行う。前記送信量を制御するステップでは、設定された前記動作モードに基づいて、認証要求情報の前記認証サーバへの送信量を制御する。
　第５の視点に係るプログラムは、クライアント端末からのサービス提供サーバとの接続要求に応じて、認証サーバで認証が成功したときに、前記クライアント端末と前記サービス提供サーバとの接続処理を行うネットワーク装置で実行される。前記プログラムは、前記ネットワーク装置にて前記クライアント端末からの接続要求情報をキューイングする処理と、キューイングされた前記接続要求情報に対応する認証要求情報の前記ネットワーク装置における前記認証サーバへの送信量を制御する処理と、前記ネットワーク装置にて前記認証サーバの認証処理状況を監視する処理と、を実行させる。前記監視する処理では、前記認証処理状況を数値化した認証処理情報を算出する処理と、算出された前記認証処理情報の値に応じて、前記ネットワーク装置における認証要求情報の前記認証サーバへの送信量を制御する動作モードを設定する処理と、を行う。前記送信量を制御する処理では、設定された前記動作モードに基づいて、認証要求情報の前記認証サーバへの送信量を制御する。
　前記第１～第５の視点によれば、認証サービスを安定的に供給できる。
実施形態１に係るネットワークシステムの構成を模式的に示したブロック図である。 実施形態１に係るネットワークシステムにおけるネットワーク装置のプログラムを実行したときの構成を模式的に示したブロック図である。 実施形態１に係るネットワークシステムにおけるネットワーク装置の呼処理する際の動作を模式的に示したフローチャート図である。 実施形態１に係るネットワークシステムにおけるネットワーク装置の認証処理を監視する際の動作を模式的に示したフローチャート図である。 実施形態１に係るネットワークシステムにおけるネットワーク装置の接続要求待ち数を監視する際の動作を模式的に示したフローチャート図である。 実施形態１に係るネットワークシステムにおけるネットワーク装置の接続要求待ち数を監視する際の動作を模式的に示したフローチャート図である。 実施形態２に係るネットワークシステムにおけるネットワーク装置のプログラムを実行したときの構成を模式的に示したブロック図である。 実施形態３に係るネットワークシステムの構成を模式的に示したブロック図である。 実施形態３に係るネットワークシステムにおけるネットワーク装置のプログラムを実行したときの構成を模式的に示したブロック図である。 実施形態４に係るネットワークシステムにおけるネットワーク装置の構成を模式的に示したブロック図である。 実施形態４に係るネットワークシステムにおけるネットワーク装置の呼処理する際の動作を模式的に示したフローチャート図である。 実施形態４に係るネットワークシステムにおけるネットワーク装置の認証処理を監視する際の動作を模式的に示したフローチャート図である。
　以下、実施形態について図面を参照しつつ説明する。なお、本出願において図面参照符号を付している場合は、それらは、専ら理解を助けるためのものであり、図示の態様に限定することを意図するものではない。なお、下記の実施形態は、あくまで例示であり、本発明を限定するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。
［実施形態１］
　実施形態１に係るネットワークシステムについて図面を用いて説明する。図１は、実施形態１に係るネットワークシステムの構成を模式的に示したブロック図である。図２は、実施形態１に係るネットワークシステムにおけるネットワーク装置のプログラムを実行したときの構成を模式的に示したブロック図である。
　ネットワークシステム１は、クライアント端末１０からサービス提供サーバ４０に接続する際に、クライアント端末１０のアクセスポイントにあるネットワーク装置２０に接続された認証サーバ３０でクライアント端末１０の認証を行う機能を有するシステムである（図１参照）。ネットワークシステム１は、クライアント端末１０と、ネットワーク装置２０と、認証サーバ３０と、サービス提供サーバ４０と、ネットワーク５０Ａ、５０Ｂ、５０Ｃと、を有する。
　クライアント端末１０は、クライアントが使用する端末である（図１、図２参照）。クライアント端末１０は、ネットワーク５０Ａを介してネットワーク装置２０と通信可能に接続されている。クライアント端末１０には、ネットワーク５０Ａと有線又は無線で通信可能なコンピュータ機能を有する端末を用いることができ、例えば、パーソナルコンピュータ、モバイル端末等を用いることができる。クライアント端末１０は、サービス提供サーバ４０と通信する際に、クライアントの操作により接続要求情報をネットワーク装置２０に送信する機能を有する。
　ここで、接続要求情報は、クライアント端末１０がサービス提供サーバ４０に接続することをネットワーク装置２０に要求するための情報であり、例えば、クライアント端末１０、サービス提供サーバ４０、ネットワーク装置２０を特定する情報、クライアント端末１０からの送信時刻等の情報を含めることができる。
　ネットワーク装置２０は、クライアント端末１０の通信を中継する装置である（図１、図２参照）。ネットワーク装置２０は、ネットワーク５０Ａを介してクライアント端末１０と通信可能に接続されている。ネットワーク装置２０は、ネットワーク５０Ｂを介して認証サーバ３０と通信可能に接続されている。ネットワーク装置２０は、ネットワーク５０Ｃを介してサービス提供サーバ４０と通信可能に接続されている。ネットワーク装置２０は、ネットワークシステム１においてクライアント端末１０のアクセスポイントとなる。つまり、ネットワーク装置２０は、クライアント端末１０からのサービス提供サーバ４０との接続要求に応じて、認証サーバ３０で認証が成功したときに、クライアント端末１０とサービス提供サーバ４０との接続処理を行う。ネットワーク装置２０には、コンピュータ機能を有する装置を用いることができ、例えば、ゲートウェイ装置（例えば、Ｐ－ＧＷ）、ルータ、モバイルコア装置等を用いることができる。
　ネットワーク装置２０は、通信部２１と、記憶部２２と、制御部２３と、を有する（図１参照）。
　通信部２１は、情報を通信（送受信）するための機能部（例えば、インタフェース等）である（図１参照）。通信部２１は、ネットワーク５０Ａ、５０Ｂ、５０Ｃと通信可能に接続されている。
　記憶部２２は、各種データ、プログラムを記憶する機能部である（図１参照）。
　制御部２３は、通信部２１及び記憶部２２を制御する機能部である（図１参照）。制御部２３は、通信部２１を制御して、クライアント端末１０、認証サーバ３０、及びサービス提供サーバ４０に対する情報の送受信を行う。制御部２３は、記憶部２２へのデータの入出力を行う。制御部２３は、記憶部２２に記憶されたソフトウェアを実行することにより所定の情報処理を行う。所定の情報処理の詳細については、後述する。
　制御部２３は、所定のソフトウェアを実行することにより、認証処理監視部６１と、送信量制御部６２と、待ち行列部６３と、仮認証制御部６４と、を実現する（図１、図２参照）。
　認証処理監視部６１は、認証サーバ３０の認証処理状況を監視する情報処理部である（図２参照）。認証処理監視部６１は、認証処理情報（認証処理ＴＡＴ（Turn Around Time）、認証処理完了率）を算出する機能を有する。認証処理監視部６１は、算出された認証処理情報に基づいて、認証要求情報の送信量制御（送信間隔、リトライ回数の制御）を行うための動作モード（非輻輳時モード、第１輻輳時モード、第２輻輳時モード）を設定する。
　ここで、認証処理情報は、取得可能なデータに基づいて認証処理状況を数値化した情報である。認証処理情報として、例えば、認証処理ＴＡＴ（Turn Around Time）、認証処理完了率を用いることができる。
　また、認証処理ＴＡＴは、ネットワーク装置２０から認証要求情報を送信してから、認証サーバ３０から対応する認証応答情報を送信するまでの時間である。また、認証処理完了率は、所定周期の監視で、前周期の間の認証処理完了数（認証応答情報の送信数）Ｘの前周期の期初（期末でも可）の認証要求情報の受信待ち数Ｙに対する比率（Ｘ／Ｙ）である。
　また、認証要求情報は、接続要求情報に対するクライアント端末１０の認証を要求する情報であり、例えば、クライアント端末１０、サービス提供サーバ４０、ネットワーク装置２０、認証サーバ３０を特定する情報、ネットワーク装置２０からの送信時刻等の情報を含めることができる。また、認証応答情報は、認証要求情報に応答した情報であり、例えば、クライアント端末１０、サービス提供サーバ４０、ネットワーク装置２０、認証サーバ３０を特定する情報、認証サーバ３０からの送信時刻等の情報を含めることができる。
　また、非輻輳時モードは、輻輳していない時の送信量制御モードである。第１輻輳時モードは、輻輳している時の送信量制御モードであり、非輻輳時モードの送信量よりも少ない送信量となるように設定されている。第２輻輳時モードは、第１輻輳時モードよりも輻輳している時の送信量制御モードであり、第１輻輳時モードの送信量よりも少ない送信量となるように設定されている。送信量を少なくする方法として、例えば、認証要求情報の送信間隔を長くしたり、送信のリトライ回数を少なくすることができる。
　送信量制御部６２は、待ち行列部６３にキューイングされた接続要求情報に対応する認証要求情報の認証サーバ３０への送信量の制御を行う情報処理部である（図２参照）。送信量制御部６２は、クライアント端末１０からの接続要求情報を受けたときに、適用サービスに応じた認証サーバ３０に認証要求情報を送信する機能を有する。送信量制御部６２は、対応する認証サーバ３０から認証応答情報を受けたときに、クライアント端末１０をサービス提供サーバ４０に接続する機能を有する。
　送信量制御部６２は、クライアント端末１０からの接続要求情報を待ち行列部６３にキューイングする。送信量制御部６２は、待ち行列部６３における先頭の接続要求情報に対応する認証サーバ３０への認証要求情報を、認証処理監視部６１によって設定された動作モード（非輻輳時モード、第１輻輳時モード、第２輻輳時モード）に基づいて送信量（送信間隔、リトライ回数）を制御して送信する。
　待ち行列部６３は、接続要求情報をキューイング（待ち行列をなすデータ領域に保持）するための情報処理部である（図２参照）。待ち行列部６３は、送信量制御部６２によって制御される。
　仮認証制御部６４は、待ち行列部６３にてキュー溢れ（待ち数が所定数を超える状態）を起こしたときに、仮認証処理を実施し、接続処理を実施する情報処理部である（図２参照）。仮認証制御部６４は、ＭＳＩＳＤＮ（Mobile Subscriber Integrated Services Digital Network Number）情報を利用した仮認証を実施する。仮認証制御部６４は、仮認証に成功した場合、端末情報、有効期限をネットワーク装置２０（記憶部２２）に記憶する。仮認証制御部６４は、待ち行列部６３がキュー溢れ状態から復帰した際、又は、仮認証の有効期限に達した際に、仮認証接続の呼を待ち行列部６３に積み、再認証処理を実施する。
　認証サーバ３０は、サービス提供サーバ４０に接続要求するクライアント端末１０の認証を行うサーバである（図１、図２参照）。認証サーバ３０は、コンピュータ機能を有し、クライアント端末１０を使用するクライアント単位のＩＤやパスワードなどの認証情報を記憶した認証データベース（図示せず）を備える。認証サーバ３０は、ネットワーク５０Ｂを介してネットワーク装置２０と通信可能に接続されている。認証サーバ３０は、ネットワーク装置２０からの認証要求情報を受信したときに、サービス提供サーバ４０に対するクライアント端末１０の認証を行い、認証できたときに認証応答情報をネットワーク装置２０に送信する機能を有する。認証サーバ３０は、１分間の周期での、前周期の間の認証処理完了数（認証応答情報の送信数）Ｘと、前周期の期初（期末でも可）の認証要求情報の受信待ち数Ｙと、を計測する機能を有する。認証サーバ３０は、計測されたＸ及びＹを、ネットワーク装置２０の認証処理監視部６１の要求に応じて提供する機能を有する。認証サーバ３０には、例えば、ＲＡＤＩＵＳサーバを用いることができる。
　サービス提供サーバ４０は、認証されたクライアント端末１０のアクセスによりサービスを提供するサーバである（図１参照）。サービス提供サーバ４０は、ネットワーク５０Ｃを介してネットワーク装置２０と通信可能に接続されている。
　ネットワーク５０Ａ、５０Ｂ、５０Ｃは、無線又は有線の情報通信網である。ネットワーク５０Ａ、５０Ｂ、５０Ｃは、例えば、インターネット、ＬＡＮ（Local Area Network）、無線ＬＡＮ、ＷＡＮ（Wide Area Network）等を含めることができる。
　実施形態１に係るネットワークシステムにおけるネットワーク装置の動作について説明する。
　ネットワークシステム１におけるネットワーク装置２０の呼処理する際の動作について図面を用いて説明する。図３は、実施形態１に係るネットワークシステムにおけるネットワーク装置の呼処理する際の動作を模式的に示したフローチャート図である。なお、ネットワークシステム１の構成については図１、図２を参照されたい。
　まず、ネットワーク装置２０の送信量制御部６２は、クライアント端末１０からの接続要求情報を受信し、受信した接続要求情報を待ち行列部６３にキューイングする（ステップＡ１）。
　次に、送信量制御部６２は、待ち行列部６３における先頭の接続要求情報に対応する認証サーバ３０に対する認証要求情報を、設定されている動作モード（非輻輳時モード、第１輻輳時モード、第２輻輳時モード）に基づいて送信量制御（送信間隔、リトライ回数の制御）を行って送信する（ステップＡ２）。
　次に、送信量制御部６２は、認証サーバ３０から、認証要求情報に対応する認証応答情報（認証要求情報に応答した情報）を受信する（ステップＡ３）。なお、認証サーバ３０で認証できなかった場合、クライアント端末１０とサービス提供サーバ４０との接続処理を実施しないで、終了し、スタートに戻る。認証サーバ３０で認証できた場合、次に進む。
　最後に、送信量制御部６２は、クライアント端末１０とサービス提供サーバ４０との接続処理を実施し（ステップＡ４）、その後、終了し、スタートに戻る。
　ネットワークシステム１におけるネットワーク装置２０の認証処理を監視する際の動作について図面を用いて説明する。図４は、実施形態１に係るネットワークシステムにおけるネットワーク装置の認証処理を監視する際の動作を模式的に示したフローチャート図である。なお、ネットワークシステム１の構成については図１、図２を参照されたい。
　まず、ネットワーク装置２０の認証処理監視部６１は、認証処理情報（認証処理ＴＡＴ、認証処理完了率）を算出する（ステップＢ１）。
　ここで、認証処理ＴＡＴは、例えば、ネットワーク装置２０での認証要求情報の送信時刻と、認証サーバ３０での認証応答情報の送信時刻と、の差から算出することができる。認証処理完了率は、例えば、認証処理監視部６１において、１分間の周期での、前周期の間の認証処理完了数（認証応答情報の送信数）Ｘと、前周期の期初（期末でも可）の認証要求情報の受信待ち数Ｙと、を取得し、取得したＸのＹに対する比率（Ｘ／Ｙ）から算出することができる。
　次に、認証処理監視部６１は、認証処理情報の認証処理ＴＡＴが閾値Ｔ１（予め設定された閾値；例えば、０．５ｍｓｅｃ）未満であるか否かを判断する（ステップＢ２）。認証処理ＴＡＴが閾値Ｔ１未満でない場合（ステップＢ２のＮＯ）、ステップＢ５に進む。
　認証処理ＴＡＴが閾値Ｔ１未満である場合（ステップＢ２のＹＥＳ）、認証処理監視部６１は、認証処理情報の認証処理完了率が閾値Ｒ１（予め設定された閾値；例えば、０．９５）以上であるか否かを判断する（ステップＢ３）。認証処理完了率が閾値Ｒ１以上でない場合（ステップＢ３のＮＯ）、ステップＢ６に進む。
　認証処理完了率が閾値Ｒ１以上である場合（ステップＢ３のＹＥＳ）、認証処理監視部６１は、認証サーバ３０が非輻輳状態であると判断し、送信量制御部６２の動作モードを非輻輳時モード（例えば、送信間隔０．３ｓｅｃ、リトライ回数３回）に設定し（ステップＢ４）、その後、終了し、スタートに戻る。
　認証処理ＴＡＴが閾値Ｔ１未満でない場合（ステップＢ２のＮＯ）、認証処理監視部６１は、認証処理情報の認証処理ＴＡＴが閾値Ｔ２（予め設定された閾値；Ｔ２＞Ｔ１、例えば、１ｍｓｅｃ）未満であるか否かを判断する（ステップＢ５）。認証処理ＴＡＴが閾値Ｔ２未満でない場合（ステップＢ５のＮＯ）、ステップＢ８に進む。
　認証処理ＴＡＴが閾値Ｔ２未満である場合（ステップＢ５のＹＥＳ）、認証処理監視部６１は、認証処理情報の認証処理完了率が閾値Ｒ２（予め設定された閾値；例えば、０．８）以上であるか否かを判断する（ステップＢ６）。認証処理完了率が閾値Ｒ２以上でない場合（ステップＢ６のＮＯ）、ステップＢ８に進む。
　認証処理情報の認証処理完了率が閾値Ｒ２以上である場合（ステップＢ６のＹＥＳ）、認証処理監視部６１は、認証サーバ３０が第１輻輳状態（輻輳しているが第２輻輳状態よりも輻輳していない状態）であると判断し、送信量制御部６２の動作モードを第１輻輳時モード（例えば、送信間隔０．５ｓｅｃ、リトライ回数２回）に設定し（ステップＢ７）、その後、終了し、スタートに戻る。
　認証処理ＴＡＴが閾値Ｔ２未満でない場合（ステップＢ５のＮＯ）、又は、認証処理完了率が閾値Ｒ２以上でない場合（ステップＢ６のＮＯ）、認証処理監視部６１は、認証サーバ３０が第２輻輳状態（第１輻輳状態よりも輻輳している状態）であると判断し、送信量制御部６２の動作モードを第２輻輳時モード（例えば、送信間隔１ｓｅｃ、リトライ回数１回）に設定し（ステップＢ８）、その後、終了し、スタートに戻る。
　なお、図４では送信量制御部６２の動作モードを３段階にしているが、２段階でも、４段階以上でもよい。
　ネットワークシステム１におけるネットワーク装置２０の接続要求待ち数を監視する際の動作について図面を用いて説明する。図５は、実施形態１に係るネットワークシステムにおけるネットワーク装置の接続要求待ち数を監視する際の動作を模式的に示したフローチャート図である。なお、ネットワークシステム１の構成については図１、図２を参照されたい。
　まず、ネットワーク装置２０の仮認証制御部６４は、待ち行列部６３における接続要求情報の待ち数を監視する（ステップＣ１）。
　次に、仮認証制御部６４は、待ち行列部６３における接続要求情報の待ち数が閾値Ｑ１（例えば、キュー最大値）より多いか否かを判断する（ステップＣ２）。待ち数が閾値Ｑ１より多くない場合（ステップＣ２のＮＯ）、ステップＣ４に進む。
　待ち数が閾値Ｑ１より多い場合（ステップＣ２のＹＥＳ）、仮認証制御部６４は、キュー溢れが発生したと判断し、仮認証処理を起動し（ステップＣ３）、その後、終了し、スタートに戻る。これにより、仮認証制御部６４は、ネットワーク装置２０で新たに受信した接続要求情報に対して仮認証処理（認証サーバ３０を利用しない認証処理；図６参照）及び接続処理を実施することになる。なお、ここでは、仮認証処理を起動したとしても、待ち行列部６３にキューイングされている接続要求情報については、通常の認証処理（認証サーバ３０を利用した認証処理；図３参照）及び接続処理を実施することになる。
　待ち数が閾値Ｑ１より多くない場合（ステップＣ２のＮＯ）、仮認証制御部６４は、キュー溢れが発生したと判断し、仮認証処理が起動中であるか否かを判断する（ステップＣ４）。仮認証処理が起動中でない場合（ステップＣ４のＮＯ）、終了し、スタートに戻る。
　仮認証処理が起動中である場合（ステップＣ４のＹＥＳ）、仮認証制御部６４は、仮認証処理を停止し（ステップＣ５）、その後、終了し、スタートに戻る。これにより、仮認証制御部６４は、ネットワーク装置２０で新たに受信した接続要求情報を待ち行列部６３にキューイングし、通常の認証処理及び接続処理を実施することになる。
　ネットワークシステム１におけるネットワーク装置２０の仮認証処理が起動している際の動作について図面を用いて説明する。図６は、実施形態１に係るネットワークシステムにおけるネットワーク装置の接続要求待ち数を監視する際の動作を模式的に示したフローチャート図である。なお、ネットワークシステム１の構成については図１、図２を参照されたい。
　まず、仮認証制御部６４は、仮認証処理が起動中であることを確認する（ステップＤ１）。なお、仮認証処理が起動中でない場合は、終了する。
　次に、仮認証制御部６４は、新たに受信した接続要求情報（待ち行列部６３でキュー溢れとなった接続要求情報）を送信したクライアント端末１０に対し、ＭＳＩＳＤＮ情報（例えば、携帯電話網への加入を一意に識別する番号）を利用した仮認証要求情報を要求する（ステップＤ２）。これにより、クライアント端末１０は、仮認証要求情報を入力してネットワーク装置２０に送信することになる。
　次に、仮認証制御部６４は、クライアント端末１０からの仮認証要求情報を受信する（ステップＤ３）。
　次に、仮認証制御部６４は、受信した仮認証要求情報について仮認証に成功できたか否かを判断する（ステップＤ４）。仮認証できない場合（ステップＤ４のＮＯ）、終了し、スタートに戻る。
　仮認証できた場合（ステップＤ４のＹＥＳ）、仮認証制御部６４は、クライアント端末１０とサービス提供サーバ４０との接続処理を実施し、仮認証要求情報の端末識別情報及び有効期限（例えば、１０ｓｅｃ）をネットワーク装置２０内に記憶する（ステップＤ５）。
　なお、仮認証の有効期限は十秒単位で設定可能とする。有効期限が０秒設定の場合は、仮認証処理を実施しないものとする。
　最後に、仮認証制御部６４は、クライアント端末１０とサービス提供サーバ４０との接続処理を実施してから有効期限に達したときに、端末識別情報に対応する接続要求情報を待ち行列部６３にキューイングし（ステップＤ６）、その後、終了し、スタートに戻る。
　実施形態１によれば、認証サーバ３０を監視し、認証要求の送信量制御を行うことで、認証サーバ３０での認証要求処理の輻輳が抑止され、通信事業者が認証サービスを安価で安定的に供給できる。また、実施形態１によれば、輻輳していない認証サーバ３０を有効活用することができる。
［実施形態２］
　実施形態２に係るネットワークシステムについて図面を用いて説明する。図７は、実施形態２に係るネットワークシステムにおけるネットワーク装置のプログラムを実行したときの構成を模式的に示したブロック図である。
　実施形態２は、実施形態１（図２参照）の変形例であり、ネットワーク装置２０の待ち行列部６３内に複数のＭＶＮＯ（仮想移動体通信事業者）のそれぞれに対応した待ち行列部６３ａ～６３ｃを有する構成としたものである（図７参照）。クライアント端末１０Ａ～１０Ｃからの接続要求情報は、それぞれ待ち行列部６３ａ～６３ｃにキューイングされる。待ち行列部６３ａ～６３ｃにキューイングされた接続要求情報は、それぞれ認証サーバ３０Ａ～３０Ｃで認証処理されることになる。図７のように、第３待ち行列部６３ｃのみ高負荷になっている状態では、第３ＭＶＮＯに加入するクライアント端末１０Ｃからの接続要求情報のみ送信量制御の対象となる。その他の構成及び動作は、同様である。なお、図７ではクライアント端末１０Ａ～１０Ｃ、待ち行列部６３ａ～６３ｃ、及び認証サーバ３０Ａ～３０Ｃがそれぞれ３つあるが、それぞれ２つでもよく、それぞれ４つ以上でもよい。
　実施形態２によれば、実施形態１と同様に、認証サーバ３０での認証要求処理の輻輳が抑止され、通信事業者が認証サービスを安価で安定的に供給できる。また、実施形態２によれば、キューが１つしかない場合と比べて、第３ＭＶＮＯに加入するクライアント端末１０Ｃの接続待ちの影響で第１ＭＶＮＯ及び第２ＭＶＮＯに加入するクライアント端末１０Ａ、１０Ｂも接続待ちが発生するという事態を防止することができる。さらに、ＭＮＯ－ＭＶＮＥ－ＭＶＮＯ型の場合、ネットワーク装置２０及び認証サーバ３０Ａ～３０Ｃにて様々なネットワーク構成モデルがあったり、複数事業者をまとめて収容する場合があるが、そのような構成で輻輳が発生した場合でも、実施形態２によれば、影響範囲の局所化を抑止することができ、予兆監視により輻輳自体を抑止することができる。
［実施形態３］
　実施形態３に係るネットワークシステムについて図面を用いて説明する。図８は、実施形態３に係るネットワークシステムの構成を模式的に示したブロック図である。図９は、実施形態３に係るネットワークシステムにおけるネットワーク装置のプログラムを実行したときの構成を模式的に示したブロック図である。
　実施形態３は、実施形態１（図２参照）の変形例であり、認証サーバ３０にフロントエンド７０とバックエンド８０を設け、ネットワーク装置２０から実施形態１のような認証処理監視部６１、送信量制御部６２、待ち行列部６３及び仮認証制御部６４をなくし、その代わりに、フロントエンド７０に、これら（実施形態１の認証処理監視部６１、送信量制御部６２、待ち行列部６３及び仮認証制御部６４）と同様な認証処理監視部７１、送信量制御部７２、待ち行列部７３及び仮認証制御部７４を有し、バックエンド８０に実施形態１の認証サーバ３０の全機能を有する構成としたものである（図９参照）。
　図９のような構成を実現するために、認証サーバ３０は、通信部３１と、記憶部３２と、制御部３３と、を有する（図８参照）。
　通信部３１は、情報を通信（送受信）するための機能部（例えば、インタフェース等）である（図８参照）。通信部３１は、ネットワーク５０Ｂと通信可能に接続されている。
　記憶部３２は、各種データ、プログラムを記憶する機能部である（図８参照）。
　制御部３３は、通信部３１及び記憶部３２を制御する機能部である（図８参照）。制御部３３は、通信部３１を制御してネットワーク装置２０に対する情報の送受信を行う。制御部３３は、記憶部３２へのデータの入出力を行う。制御部３３は、記憶部３２に記憶されたソフトウェアを実行することにより所定の情報処理を行う。所定の情報処理の詳細については、後述する。
　制御部３３は、所定のソフトウェアを実行することにより、認証処理監視部７１と、送信量制御部７２と、待ち行列部７３と、仮認証制御部７４と、を実現する（図８、図９参照）。
　なお、ネットワーク装置２０では、クライアント端末１０からの接続要求情報を認証サーバ３０のフロントエンド７０に転送することになる。また、ネットワーク装置２０でのクライアント端末１０とサービス提供サーバ４０との接続処理は、送信量制御部７２の指示により実施される。
　その他の構成及び動作は、実施形態１と同様である。
　実施形態３によれば、実施形態１と同様に、認証サーバ３０のバックエンド８０での認証要求処理の輻輳が抑止され、通信事業者が認証サービスを安価で安定的に供給できる。また、実施形態３によれば、キューを認証サーバ３０ごとに分けることができるので、ある認証サーバ３０の認証待ちの影響で他の認証サーバでの認証待ちが発生するという事態を防止することができる。
［実施形態４］
　実施形態４に係るネットワークシステムについて図面を用いて説明する。図１０は、実施形態４に係るネットワークシステムにおけるネットワーク装置の構成を模式的に示したブロック図である。
　クライアント端末１０は、クライアントが使用する端末である。
　ネットワークシステム１は、クライアント端末１０と、ネットワーク装置２０と、認証サーバ３０と、サービス提供サーバ４０と、を有する。
　ネットワーク装置２０は、クライアント端末１０からのサービス提供サーバ４０との接続要求に応じて、認証サーバ３０で認証が成功したときに、クライアント端末１０とサービス提供サーバ４０との接続処理を行う装置である。ネットワーク装置２０は、認証処理監視部６１と、送信量制御部６２と、待ち行列部６３と、を備える。
　認証処理監視部６１は、認証サーバ３０の認証処理状況を監視する。認証処理監視部６１は、認証処理状況を数値化した認証処理情報を算出する。認証処理監視部６１は、算出された認証処理情報の値に応じて、送信量制御部６２における認証要求情報の認証サーバ３０への送信量を制御する動作モードを設定する。
　送信量制御部６２は、待ち行列部６３にキューイングされた接続要求情報に対応する認証要求情報の認証サーバ３０への送信量を制御する。送信量制御部６２は、認証処理監視部６１によって設定された動作モードに基づいて、認証要求情報の認証サーバ３０への送信量を制御する。
　待ち行列部６３は、クライアント端末１０からの接続要求情報をキューイングする。
　認証サーバ３０は、サービス提供サーバ４０に接続要求するクライアント端末１０の認証を行うサーバである。
　サービス提供サーバ４０は、認証されたクライアント端末１０のアクセスによりサービスを提供するサーバである。
　実施形態４に係るネットワークシステムにおけるネットワーク装置の動作について説明する。
　ネットワークシステム１におけるネットワーク装置２０の呼処理する際の動作について図面を用いて説明する。図１１は、実施形態４に係るネットワークシステムにおけるネットワーク装置の呼処理する際の動作を模式的に示したフローチャート図である。なお、ネットワークシステム１の構成については図１０を参照されたい。
　まず、ネットワーク装置２０の送信量制御部６２は、クライアント端末１０からの接続要求情報を待ち行列部６３にキューイングする（ステップＥ１）。
　次に、送信量制御部６２は、待ち行列部６３における先頭の接続要求情報に対応する認証サーバ３０に対する認証要求情報を、設定されている動作モードに基づいて送信量制御を行って送信する（ステップＥ２）。
　次に、送信量制御部６２は、認証サーバ３０から、認証要求情報に対応する認証応答情報（認証要求情報に応答した情報）を受信する（ステップＥ３）。なお、認証サーバ３０で認証できなかった場合、クライアント端末１０とサービス提供サーバ４０との接続処理を実施しないで、終了し、スタートに戻る。認証サーバ３０で認証できた場合、次に進む。
　最後に、送信量制御部６２は、クライアント端末１０とサービス提供サーバ４０との接続処理を実施し（ステップＥ４）、その後、終了し、スタートに戻る。
　ネットワークシステム１におけるネットワーク装置２０の認証処理を監視する際の動作について図面を用いて説明する。図１２は、実施形態４に係るネットワークシステムにおけるネットワーク装置の認証処理を監視する際の動作を模式的に示したフローチャート図である。なお、ネットワークシステム１の構成については図１０を参照されたい。
　まず、ネットワーク装置２０の認証処理監視部６１は、認証処理状況を数値化した認証処理情報を算出する（ステップＦ１）。
　次に、認証処理監視部６１は、算出された認証処理情報の値に応じて、ネットワーク装置２０における認証要求情報の認証サーバへの送信量を制御する動作モードを設定し（ステップＦ２）、その後、終了し、スタートに戻る。
　実施形態４によれば、認証サーバ３０を監視し、認証要求の送信量制御を行うことで、認証サーバ３０での認証要求処理の輻輳が抑止され、通信事業者が認証サービスを安価で安定的に供給できる。
（付記）
　本発明では、前記第１の視点に係るネットワーク装置の形態が可能である。
　前記第１の視点に係るネットワーク装置において、前記認証処理情報を算出する処理では、前記送信量制御部から前記認証要求情報を送信してから、前記認証サーバから前記認証要求情報に対応する認証応答情報を送信するまでの認証処理時間を算出し、前記動作モードを設定する処理では、算出された前記認証処理時間が第１閾値以上であるときに、前記第１閾値未満であるときの送信量よりも少ない送信量となるように、動作モードを設定する。
　前記第１の視点に係るネットワーク装置において、前記認証処理情報を算出する処理では、所定周期の間の認証処理完了数の、前記所定周期の期初又は期末の認証要求情報の受信待ち数に対する比率である認証処理完了率を算出し、前記動作モードを設定する処理では、算出された前記認証処理完了率が第２閾値未満であるときに、前記第２閾値以上であるときの送信量よりも少ない送信量となるように、動作モードを設定する。
　前記第１の視点に係るネットワーク装置において、前記待ち行列部にてキュー溢れを起こしたときに仮認証処理を実施する仮認証制御部をさらに備え、前記仮認証制御部は、前記待ち行列部での接続要求情報の待ち数が第３閾値よりも多いときに仮認証処理を起動させる処理と、仮認証処理を起動しているときに前記待ち行列部での接続要求情報の待ち数が前記第３閾値以下となったときに仮認証処理を停止する処理と、を行う。
　前記第１の視点に係るネットワーク装置において、前記仮認証制御部は、前記仮認証処理を起動しているときに、新たに受信した接続要求情報を送信したクライアント端末に対し、仮認証要求情報を要求する処理と、前記クライアント端末からの仮認証要求情報について仮認証に成功したときに、前記クライアント端末と前記サービス提供サーバとの接続処理を有効期限まで実施する処理と、前記有効期限に達したときに、対応する前記接続要求情報を前記待ち行列部にキューイングする処理と、を行う。
　前記第１の視点に係るネットワーク装置において、前記待ち行列部は、複数の仮想移動体通信事業者のそれぞれに対応した複数の待ち行列部を有する。
　本発明では、前記第２の視点に係る認証サーバの形態が可能である。
　本発明では、前記第３の視点に係るネットワークシステムの形態が可能である。
　本発明では、前記第３の視点に係るネットワークシステムの形態の変形として、前記第２の視点に係る認証サーバと、前記ネットワーク装置と、前記クライアント装置と、前記サービス提供サーバと、を備える。
　本発明では、前記第４の視点に係る認証方法の形態が可能である。
　本発明では、前記第４の視点に係る認証方法の形態の変形として、クライアント端末からのサービス提供サーバとの接続要求に応じて認証サーバにて認証処理を行う認証方法であって、前記認証サーバのフロントエンドにて前記クライアント端末からの接続要求情報をキューイングするステップと、キューイングされた前記接続要求情報に対応する認証要求情報の前記フロントエンドにおける前記認証サーバのバックエンドへの送信量を制御するステップと、前記フロントエンドにて前記バックエンドの認証処理状況を監視するステップと、を含み、前記監視するステップでは、前記認証処理状況を数値化した認証処理情報を算出するステップと、算出された前記認証処理情報の値に応じて、前記フロントエンドにおける認証要求情報の前記バックエンドへの送信量を制御する動作モードを設定するステップと、を行い、前記送信量を制御するステップでは、設定された前記動作モードに基づいて、認証要求情報の前記バックエンドへの送信量を制御し、前記ネットワーク装置は、前記バックエンドで認証が成功したときに前記クライアント端末と前記サービス提供サーバとの接続処理を行う。
　本発明では、前記第５の視点に係るプログラムの形態が可能である。
　本発明では、前記第５の視点に係るプログラムの形態の変形として、クライアント端末からのサービス提供サーバとの接続要求に応じて認証処理を行う認証サーバで実行されるプログラムであって、前記認証サーバのフロントエンドにて前記クライアント端末からの接続要求情報をキューイングする処理と、キューイングされた前記接続要求情報に対応する認証要求情報の前記フロントエンドにおける前記認証サーバのバックエンドへの送信量を制御する処理と、前記フロントエンドにて前記バックエンドの認証処理状況を監視する処理と、を含み、前記監視する処理では、前記認証処理状況を数値化した認証処理情報を算出する処理と、算出された前記認証処理情報の値に応じて、前記フロントエンドにおける認証要求情報の前記バックエンドへの送信量を制御する動作モードを設定する処理と、を行い、前記送信量を制御する処理では、設定された前記動作モードに基づいて、認証要求情報の前記バックエンドへの送信量を制御し、前記ネットワーク装置は、前記バックエンドで認証が成功したときに前記クライアント端末と前記サービス提供サーバとの接続処理を行う。
　なお、上記の特許文献の開示を、本書に引用をもって繰り込むものとする。本発明の全開示（特許請求の範囲及び図面を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせないし選択（必要により不選択）が可能である。すなわち、本発明は、請求の範囲及び図面を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。また、本願に記載の数値及び数値範囲については、明記がなくともその任意の中間値、下位数値、及び、小範囲が記載されているものとみなされる。
　１　ネットワークシステム
　１０、１０Ａ、１０Ｂ、１０Ｃ　クライアント端末
　２０　ネットワーク装置
　２１、３１　通信部
　２２、３２　記憶部
　２３、３３　制御部
　３０、３０Ａ、３０Ｂ、３０Ｃ　認証サーバ
　４０　サービス提供サーバ
　５０Ａ、５０Ｂ、５０Ｃ　ネットワーク
　６１、７１　認証処理監視部
　６２、７２　送信量制御部
　６３、７３　待ち行列部
　６３ａ　第１待ち行列部
　６３ｂ　第２待ち行列部
　６３ｃ　第３待ち行列部
　６４、７４　仮認証制御部
　７０　フロントエンド
　８０　バックエンド

Claims (10)

  1. 　クライアント端末からのサービス提供サーバとの接続要求に応じて、認証サーバで認証が成功したときに、前記クライアント端末と前記サービス提供サーバとの接続処理を行うネットワーク装置であって、
    　前記クライアント端末からの接続要求情報をキューイングする待ち行列部と、
    　前記待ち行列部にキューイングされた前記接続要求情報に対応する認証要求情報の前記認証サーバへの送信量を制御する送信量制御部と、
    　前記認証サーバの認証処理状況を監視する認証処理監視部と、
    を備え、
    　前記認証処理監視部は、前記認証処理状況を数値化した認証処理情報を算出する処理と、
    　算出された前記認証処理情報の値に応じて、前記送信量制御部における認証要求情報の前記認証サーバへの送信量を制御する動作モードを設定する処理と、
    を行い、
    　前記送信量制御部は、前記認証処理監視部によって設定された前記動作モードに基づいて、認証要求情報の前記認証サーバへの送信量を制御する、
    ネットワーク装置。
  2. 　前記認証処理情報を算出する処理では、前記送信量制御部から前記認証要求情報を送信してから、前記認証サーバから前記認証要求情報に対応する認証応答情報を送信するまでの認証処理時間を算出し、
    　前記動作モードを設定する処理では、算出された前記認証処理時間が第１閾値以上であるときに、前記第１閾値未満であるときの送信量よりも少ない送信量となるように、動作モードを設定する、
    請求項１記載のネットワーク装置。
  3. 　前記認証処理情報を算出する処理では、所定周期の間の認証処理完了数の、前記所定周期の期初又は期末の認証要求情報の受信待ち数に対する比率である認証処理完了率を算出し、
    　前記動作モードを設定する処理では、算出された前記認証処理完了率が第２閾値未満であるときに、前記第２閾値以上であるときの送信量よりも少ない送信量となるように、動作モードを設定する、
    請求項１又は２記載のネットワーク装置。
  4. 　前記待ち行列部にてキュー溢れを起こしたときに仮認証処理を実施する仮認証制御部をさらに備え、
    　前記仮認証制御部は、
    　前記待ち行列部での接続要求情報の待ち数が第３閾値よりも多いときに仮認証処理を起動させる処理と、
    　仮認証処理を起動しているときに前記待ち行列部での接続要求情報の待ち数が前記第３閾値以下となったときに仮認証処理を停止する処理と、
    を行う、
    請求項１乃至３のいずれか一に記載のネットワーク装置。
  5. 　前記仮認証制御部は、前記仮認証処理を起動しているときに、
    　新たに受信した接続要求情報を送信したクライアント端末に対し、仮認証要求情報を要求する処理と、
    　前記クライアント端末からの仮認証要求情報について仮認証に成功したときに、前記クライアント端末と前記サービス提供サーバとの接続処理を有効期限まで実施する処理と、
    　前記有効期限に達したときに、対応する前記接続要求情報を前記待ち行列部にキューイングする処理と、
    を行う、
    請求項１乃至４のいずれか一に記載のネットワーク装置。
  6. 　前記待ち行列部は、複数の仮想移動体通信事業者のそれぞれに対応した複数の待ち行列部を有する、
    請求項１乃至５のいずれか一に記載のネットワーク装置。
  7. 　クライアント端末からのサービス提供サーバとの接続要求に応じて認証処理を行う認証サーバであって、
    　前記クライアント端末とネットワーク装置を介して接続可能なフロントエンドと、
    　認証処理を行うバックエンドと、
    を備え、
    　前記フロントエンドは、
    　前記クライアント端末からの接続要求情報をキューイングする待ち行列部と、
    　前記待ち行列部にキューイングされた前記接続要求情報に対応する認証要求情報の前記バックエンドへの送信量を制御する送信量制御部と、
    　前記バックエンドの認証処理状況を監視する認証処理監視部と、
    を備え、
    　前記認証処理監視部は、
    　前記送信量制御部から前記認証要求情報を送信してから、前記バックエンドから前記認証要求情報に対応する認証応答情報を送信するまでの認証処理時間を算出する処理と、
    　算出された前記認証処理時間の値に応じて、前記送信量制御部における認証要求情報の前記バックエンドへの送信量を制御する動作モードを設定する処理と、
    を行い、
    　前記送信量制御部は、前記認証処理監視部によって設定された前記動作モードに基づいて、認証要求情報の前記バックエンドへの送信量を制御し、
    　前記ネットワーク装置は、前記バックエンドで認証が成功したときに前記クライアント端末と前記サービス提供サーバとの接続処理を行う、
    認証サーバ。
  8. 　請求項１乃至６のいずれか一に記載のネットワーク装置と、
    　前記クライアント端末と、
    　前記認証サーバと、
    　前記サービス提供サーバと、
    を備える、
    ネットワークシステム。
  9. 　クライアント端末からのサービス提供サーバとの接続要求に応じて、認証サーバで認証が成功したときに、ネットワーク装置にて前記クライアント端末と前記サービス提供サーバとの接続処理を行う認証方法であって、
    　前記ネットワーク装置にて前記クライアント端末からの接続要求情報をキューイングするステップと、
    　キューイングされた前記接続要求情報に対応する認証要求情報の前記ネットワーク装置における前記認証サーバへの送信量を制御するステップと、
    　前記ネットワーク装置にて前記認証サーバの認証処理状況を監視するステップと、
    を含み、
    　前記監視するステップでは、
    　前記認証処理状況を数値化した認証処理情報を算出するステップと、
    　算出された前記認証処理情報の値に応じて、前記ネットワーク装置における認証要求情報の前記認証サーバへの送信量を制御する動作モードを設定するステップと、
    を行い、
    　前記送信量を制御するステップでは、設定された前記動作モードに基づいて、認証要求情報の前記認証サーバへの送信量を制御する、
    認証方法。
  10. 　クライアント端末からのサービス提供サーバとの接続要求に応じて、認証サーバで認証が成功したときに、前記クライアント端末と前記サービス提供サーバとの接続処理を行うネットワーク装置で実行されるプログラムであって、
    　前記ネットワーク装置にて前記クライアント端末からの接続要求情報をキューイングする処理と、
    　キューイングされた前記接続要求情報に対応する認証要求情報の前記ネットワーク装置における前記認証サーバへの送信量を制御する処理と、
    　前記ネットワーク装置にて前記認証サーバの認証処理状況を監視する処理と、
    を実行させ、
    　前記監視する処理では、
    　前記認証処理状況を数値化した認証処理情報を算出する処理と、
    　算出された前記認証処理情報の値に応じて、前記ネットワーク装置における認証要求情報の前記認証サーバへの送信量を制御する動作モードを設定する処理と、
    を行い、
    　前記送信量を制御する処理では、設定された前記動作モードに基づいて、認証要求情報の前記認証サーバへの送信量を制御する、
    プログラム。
PCT/JP2018/019446 2017-05-22 2018-05-21 ネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラム WO2018216642A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017100909 2017-05-22
JP2017-100909 2017-05-22

Publications (1)

Publication Number Publication Date
WO2018216642A1 true WO2018216642A1 (ja) 2018-11-29

Family

ID=64395601

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/019446 WO2018216642A1 (ja) 2017-05-22 2018-05-21 ネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラム

Country Status (1)

Country Link
WO (1) WO2018216642A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06266737A (ja) * 1993-03-16 1994-09-22 Omron Corp データ通信システム
JP2002359640A (ja) * 2001-06-01 2002-12-13 Ntt Docomo Inc 交換機および制御方法
JP2005167344A (ja) * 2003-11-28 2005-06-23 Sony Corp 受信装置と受信方法
JP2015109674A (ja) * 2015-01-05 2015-06-11 富士通株式会社 ネットワーク装置および端末装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06266737A (ja) * 1993-03-16 1994-09-22 Omron Corp データ通信システム
JP2002359640A (ja) * 2001-06-01 2002-12-13 Ntt Docomo Inc 交換機および制御方法
JP2005167344A (ja) * 2003-11-28 2005-06-23 Sony Corp 受信装置と受信方法
JP2015109674A (ja) * 2015-01-05 2015-06-11 富士通株式会社 ネットワーク装置および端末装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
JUNIPER NETWORKS: "Configuring Router or Switch Interaction with RADIUS Servers", 22 June 2016 (2016-06-22), XP055549378, Retrieved from the Internet <URL:https://web.archive.org/web/20170514210048/https://www.juniper.net/documentation/en_US/junos/topics/task/configuration/aaa-subscriber-access-radius-server-interaction.html> [retrieved on 20180711] *

Similar Documents

Publication Publication Date Title
US10178095B2 (en) Relayed network access control systems and methods
CN103685461B (zh) 一种集群管理装置、管理系统以及管理方法
KR20170028390A (ko) 네트워크 접속 트래픽 공유 처리 방법, 장치 및 단말
CN105338529B (zh) 一种无线网络连接方法及系统
JP6122215B2 (ja) ネットワーク容量の制御方法及び装置
JP6213882B2 (ja) 無線端末の接続制御装置及びこれを備えた接続制御システム並びに接続制御方法
US9960960B2 (en) Remote management systems and apparatuses for CWMP and methods for improving performance of remote management thereof
KR20180038035A (ko) 통신 시스템에서 데이터 흐름 전송을 위한 개선된 우선권 핸들링
KR20140024462A (ko) 코어 네트워크에서의 정체 제어를 위한 시스템 및 방법
CN112087777B (zh) 一种mdbv的确定方法、装置及系统
WO2018216642A1 (ja) ネットワーク装置、認証サーバ、ネットワークシステム、認証方法、及びプログラム
JP2020028043A (ja) ネットワーク制御装置、ネットワーク制御方法及びプログラム
US20220385501A1 (en) User Management Device, BNG, and BNG User Internet Access Method and System
US8750208B1 (en) Processing an access request in a wireless communication system
US11553538B2 (en) Network connection selections based on quality scores
JP6098283B2 (ja) 通信速度制限プログラム、通信速度制限装置、及び通信速度制限方法
JP2009206641A (ja) 移動通信システム及び無線基地局制御装置
KR100640826B1 (ko) 홈 네트워크 장치 제어 방법
JP2003070061A (ja) 移動通信システム及び無線パラメータ変更制御方法
KR101328735B1 (ko) 무선 네트워크 접속 제어 방법 및 이에 적용되는 장치
JP6767947B2 (ja) 回線切替方法
JP4767736B2 (ja) 基地局装置、認証サーバ、移動局装置、及び通信制御方法
JP3828495B2 (ja) 無線通信システムの帯域設定方法
EP3545703B1 (en) Method, apparatus, and system for controlling access to a local network
JP6392714B2 (ja) 送信制御システムおよび送信制御方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18805981

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18805981

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP