ノード装置、サーバ装置およびノード接続管理方法
【課題】通信ネットワークのトポロジーも考慮して適切な機器の接続管理を行えるようにするノード装置、サーバ装置およびノード接続管理方法を提供する。
【解決手段】実施形態のノード装置は、取得部と、第１の送信部と、受信部と、接続制御部とを備える。取得部は、従属ノードとの間で論理接続を確立するのに先立ち、従属ノードから従属ノード認証情報および従属ノード識別情報を取得する。第１の送信部は、従属ノード認証情報を認証サーバに送信するとともに、トポロジー検証情報をトポロジー検証サーバに送信する。受信部は、認証サーバによる認証結果とトポロジー検証サーバによる検証結果を受信する。接続制御部は、認証サーバにより従属ノードが認証され、かつ、トポロジー検証サーバにより従属ノードとの間の論理接続が正当であると判断された場合に、従属ノードとの間の論理接続を確立する。
【解決手段】実施形態のノード装置は、取得部と、第１の送信部と、受信部と、接続制御部とを備える。取得部は、従属ノードとの間で論理接続を確立するのに先立ち、従属ノードから従属ノード認証情報および従属ノード識別情報を取得する。第１の送信部は、従属ノード認証情報を認証サーバに送信するとともに、トポロジー検証情報をトポロジー検証サーバに送信する。受信部は、認証サーバによる認証結果とトポロジー検証サーバによる検証結果を受信する。接続制御部は、認証サーバにより従属ノードが認証され、かつ、トポロジー検証サーバにより従属ノードとの間の論理接続が正当であると判断された場合に、従属ノードとの間の論理接続を確立する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施の形態は、ノード装置、サーバ装置およびノード接続管理方法に関する。
【背景技術】
【０００２】
スマートグリッドと呼ばれる次世代エネルギー供給システムを構成する各種の通信ネットワークにおいては、不正な機器の使用が甚大な被害をもたらすため、通信ネットワークへの機器の接続が電力会社などによって管理されている。例えば、スマートメータをＡＭＩ（Ａｄｖａｎｃｅｄ Ｍｅｔｅｒｉｎｇ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）システムに接続する際には、電力会社がそのスマートメータに対する認証処理を行って正当性を検証する。そして、電力会社により正当性が認められたスマートメータのみが、ＡＭＩシステム上でアプリケーションデータの送受信を行えるようにしている。
【０００３】
しかしながら、このような機器の接続管理方法では、機器の正当性が認められると通信ネットワークに接続可能となるため、正当な機器が、通信ネットワーク上の本来接続が意図されていない別の機器に誤って接続された場合であっても、その機器間の論理接続が許可されてしまう。例えば、隣家のＨＥＭＳ（Ｈｏｍｅ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）が自宅のスマートメータに接続された場合であっても、隣家のＨＥＭＳの正当性が認められれば、隣家のＨＥＭＳと自宅のスマートメータとの間の論理接続が許可されて想定外の通信が行われることになってしまい、通信ネットワークに対する機器の接続管理を適切に行えないという問題点がある。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】“Guidelines for Smart Grid Cyber Security: Vol. 3, Supportive Analyses and References”, NIST Interoperability Requirements 7628, August 2010
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明が解決しようとする課題は、通信ネットワークのトポロジーも考慮して適切な機器の接続管理を行えるようにするノード装置、サーバ装置およびノード接続管理方法を提供することである。
【課題を解決するための手段】
【０００６】
実施の形態のノード装置は、通信ネットワークを構成するノード装置である。このノード装置は、取得部と、第１の送信部と、受信部と、接続制御部と、を備える。取得部は、論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記従属ノードから、前記従属ノードの認証に用いる従属ノード認証情報および前記従属ノードの識別情報を取得する。第１の送信部は、前記従属ノード認証情報を、前記通信ネットワーク上のノードの認証を行う第１のサーバ装置に送信するとともに、前記従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、前記通信ネットワーク上のノード間の論理接続が正当かどうかを判断する第２のサーバ装置に送信する。受信部は、前記従属ノード認証情報に基づいて前記第１のサーバ装置で行われた前記従属ノードの認証結果を受信するとともに、前記トポロジー検証情報に基づいて前記第２のサーバ装置で行われた前記従属ノードとの間の論理接続の正当性の判断結果を受信する。接続制御部は、前記第１のサーバ装置により前記従属ノードが認証され、かつ、前記第２のサーバ装置により前記従属ノードとの間の論理接続が正当であると判断された場合に、前記従属ノードとの間の論理接続を確立する。
【０００７】
また、実施の形態のサーバ装置は、通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置である。このサーバ装置は、保持部と、受信部と、判断部と、送信部と、を備える。保持部は、前記通信ネットワークにおいて論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持する。受信部は、前記通信ネットワーク上の任意の主体ノードが当該主体ノードに対して論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記主体ノードから、前記従属ノードの識別情報および前記主体ノードの識別情報を含むトポロジー検証情報を受信する。判断部は、前記トポロジー検証情報を前記トポロジー情報と照合し、前記従属ノードと前記主体ノードとの間の論理接続の正当性を判断する。送信部は、前記従属ノードと前記主体ノードとの間の論理接続の正当性の判断結果を、前記主体ノードに送信する。
【図面の簡単な説明】
【０００８】
【図１】通信ネットワークの全体構成図。
【図２】ノード装置の内部的な機能構成を示す機能ブロック図。
【図３】トポロジー検証情報の一例を示す概念図。
【図４】ノード装置の動作を説明するフローチャート。
【図５】認証サーバの内部的な機能構成を示す機能ブロック図。
【図６】認証情報の一例を示す概念図。
【図７】認証サーバの動作を説明するフローチャート。
【図８】トポロジー検証サーバの内部的な機能構成を示す機能ブロック図。
【図９】トポロジー情報の一例を示す概念図。
【図１０】トポロジー検証サーバの動作を説明するフローチャート。
【図１１】通信ネットワーク全体における一連の動作の具体例を説明するシーケンス図。
【図１２】通信ネットワーク全体における一連の動作の具体例を説明するシーケンス図。
【図１３】トポロジー情報の他の例を示す概念図。
【図１４】トポロジー情報の他の例を示す概念図。
【図１５】トポロジー情報の他の例を示す概念図。
【発明を実施するための形態】
【０００９】
（第１の実施形態）
図１は、第１の実施形態のノード装置およびサーバ装置を含む通信ネットワークの全体構成図である。この通信ネットワークは、複数のノード装置Ｎ１１，Ｎ２１，Ｎ２２，Ｎ３１，Ｎ３２，Ｎ３３と、各ノード装置の認証を行う認証サーバ（第１のサーバ装置）ＡＳと、ネットワークトポロジーの検証を行ってノード間の論理接続が正当かどうかを判断するトポロジー検証サーバ（第２のサーバ装置）ＴＳと、を備える。
【００１０】
この図１に示す通信ネットワークにおいて、複数のノード装置は、論理接続の関係が階層構造となる無閉路有向グラフトポロジーを有する。階層の最上位となるノードが初段ノード装置Ｎ１１であり、初段ノード装置Ｎ１１の下位のノードとして、２つの第２段ノード装置Ｎ２１，Ｎ２２が初段ノード装置Ｎ１１に対して論理接続される。また、第２段ノード装置Ｎ２１の下位のノードとして、２つの第３段ノード装置Ｎ３１，Ｎ３２が第２段ノード装置Ｎ２１に対して論理接続され、第２段ノードＮ２２の下位のノードとして、２つの第３段ノード装置Ｎ３２，Ｎ３３が第２段ノードＮ２２に対して論理接続される。
【００１１】
一般に論理接続には方向性があり、図１中の矢印は、この論理接続の方向を示している。本明細書においては、２つのノード装置間で論理接続関係が上位のノード装置を「主体ノード」と呼び、論理接続関係が下位のノード装置を「従属ノード」と呼ぶ。すなわち、図１に示す通信ネットワークにおいて、初段ノード装置Ｎ１１の従属ノードは第２段ノード装置Ｎ２１，Ｎ２２であり、第２段ノード装置Ｎ２１の従属ノードは第３段ノード装置Ｎ３１，Ｎ３２であり、第２段ノード装置Ｎ２２の従属ノードは第３段ノード装置Ｎ３２，Ｎ３３である。第３段ノード装置Ｎ３１，Ｎ３２，Ｎ３３は、従属ノードを持たない。
【００１２】
第３段ノード装置Ｎ３１，Ｎ３２，Ｎ３３は、それぞれ、自ノードに対して主体ノードとなる第２段ノード装置Ｎ２１，Ｎ２２と、第２段ノード装置Ｎ２１，Ｎ２２に対して主体ノードとなる初段ノード装置Ｎ１１とを経由することで、認証サーバＡＳやトポロジー検証サーバＴＳとの間のデータ送受信が可能となる。また、第２段ノード装置Ｎ２１，Ｎ２２は、自ノードに対して主体ノードとなる初段ノード装置Ｎ１１を経由することで、認証サーバＡＳやトポロジー検証サーバＴＳとの間のデータ送受信が可能となる。なお、図１では、初段ノード装置Ｎ１１に対して認証サーバＡＳとトポロジー検証サーバＴＳとが直列に接続された構成を示しているが、認証サーバＡＳとトポロジー検証サーバＴＳを初段ノード装置Ｎ１１に対して並列に接続する構成であってもよい。また、図１に示す通信ネットワークでは、２つのノード装置間に論理接続は最大１つだけ存在するものとしているが、２つのノード装置間で方向の異なる２つの論理接続が存在することも可能である。この場合、論理接続の方向に従って、主体ノードと従属ノードとが入れ替わる。
【００１３】
一般に、グラフトポロジーは階層化が可能である。第（Ｎ−１）階層のグラフトポロジーにおいて少なくとも１つの経路が存在するような任意の２つのノード間で第Ｎ階層の論理接続を定義することが可能であり、第Ｎ階層のある論理接続Ｘを構成する第（Ｎ−１）階層のグラフトポロジーの経路すべてが第（Ｎ−１）階層のある論理接続Ｙを経由する場合、論理接続Ｘは論理接続Ｙに依存すると呼ぶ。例えば、図１に示す通信ネットワークは第０階層のグラフトポロジーを表しており、この上位に、初段ノード装置Ｎ１１を主体ノードとし第３段ノード装置Ｎ３１を従属ノードとする論理接続を持つ第１階層のグラフトポロジーを定義することが可能である。この場合、初段ノード装置Ｎ１１を主体ノードとし第３段ノード装置Ｎ３１を従属ノードとする第１階層のグラフトポロジーの論理接続は、初段ノード装置Ｎ１１を主体ノードとし第２段ノード装置Ｎ２１を従属ノードとする第０階層のグラフトポロジーの論理接続、および、第２段ノード装置Ｎ２１を主体ノードと第３段ノード装置Ｎ３１を従属ノードとする第０階層のグラフトポロジーの論理接続の両方に依存する。第Ｎ階層のグラフトポロジーの論理接続は、単に第Ｎ階層の論理接続とも書き表される。
【００１４】
図１に示す通信ネットワークは、例えば、スマートグリッドにおけるＡＭＩシステムとして構成することができる。この場合、初段ノード装置Ｎ１１の一例として、μＥＭＳ（Ｍｉｃｒｏ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）や、ＭＤＭＳ（Ｍｅｔｅｒ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）サーバなどが挙げられる。また、第２段ノード装置Ｎ２１の一例として、スマートメータが挙げられる。また、第２段ノード装置Ｎ２２の一例として、ＣＥＭＳ（Ｃｏｍｍｕｎｉｔｙ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）が挙げられる。また、第３段ノード装置Ｎ３１の一例として、電気自動車が挙げられる。また、第３段ノード装置Ｎ３２の一例として、ＨＥＭＳ（Ｈｏｍｅ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）が挙げられる。また、第３段ノードＮ３３の一例として、蓄電池が挙げられる。
【００１５】
これらの各ノード装置は、それぞれ、他のノード装置との間でＭＡＣ層またはＰＨＹ層において物理的に直接接続するための機能を有する。ＭＡＣ層での物理的な直接接続の一例としては、例えば、所定のデータリンクプロトコルフレームをノード装置間で送受信することが挙げられる。また、ＰＨＹ層での物理的な直接接続の一例としては、例えば、ノード装置間で無線電波を送受信することが挙げられる。
【００１６】
図２は、図１に示した通信ネットワークにおいて、従属ノードを有する（つまり、主体ノードとなり得る）初段ノード装置Ｎ１１および第２段ノード装置Ｎ２１，Ｎ２２に共通の内部的な機能構成を示す機能ブロック図である。これら初段ノード装置Ｎ１１および第２段ノード装置Ｎ２１，Ｎ２２（以下、特にこれらを区別する必要がない場合は、ノード装置Ｎｘと総称する。）は、例えば、ＣＰＵやＲＯＭ、ＲＡＭ、入出力回路などを備えたマイクロコンピュータを備え、ＣＰＵがＲＡＭをワークエリアとして利用して、ＲＯＭに格納された制御プログラムを実行することによって、従属ノードとの間の論理接続の確立に関わる主体ノードとしての制御機能として、取得部１０１、第１の送信部１０２、受信部１０３、接続制御部１０４および第２の送信部１０５の各機能を実現する。
【００１７】
取得部１０１は、従属ノードとの間で論理接続を確立するのに先立ち、従属ノードから、従属ノードの認証に用いる従属ノード認証情報および従属ノードの識別情報を取得する。従属ノード認証情報としては、一般的なネットワークアクセス認証に用いる認証情報を利用することができる。また、従属ノードの識別情報としては、例えば、従属ノードのＩＰアドレスやＭＡＣアドレスを利用することができる。
【００１８】
第１の送信部１０２は、取得部１０１が取得した従属ノード認証情報を認証サーバＡＳに送信するとともに、取得部１０１が取得した従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、トポロジー検証サーバＴＳに送信する。
【００１９】
図３は、トポロジー検証情報の一例を示す概念図である。トポロジー検証情報は、一例として、主体ノード識別情報と、従属ノード識別情報と、物理接続フラグとを含む。従属ノード識別情報は、上記の取得部１０１が取得した従属ノードの識別情報であり、主体ノード識別情報は、この従属ノードに対して主体ノードとなる自ノードの識別情報である。自ノードの識別情報としては、例えば、自ノードのＩＰアドレスやＭＡＣアドレスを利用することができる。また、物理接続フラグは、従属ノードが自ノードに対して物理的に直接接続されているか否かを示す１ビットの情報であり、従属ノードと自ノードとの間で上述したＭＡＣ層またはＰＨＹ層での物理的な直接接続が存在する場合には「１」、存在しない場合には「０」となる。なお、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、物理フラグの代わりに、０以上の整数で表わされるトポロジー階層レベルを使用してもよく、その場合、トポロジー階層レベルの値「０」は物理接続フラグの値「１」に対応し、それ以外のトポロジー階層レベルの値は物理接続フラグの値「０」に対応する。
【００２０】
第１の送信部１０２は、従属ノードが自ノードに対して物理的に直接接続されているか否かを判断し、自ノードの識別情報である主体ノード識別情報に、取得部１０１が取得した従属ノード識別情報と、従属ノードとの間の物理的な直接接続の有無を示す物理接続フラグとを付加してトポロジー検証情報を生成し、生成したトポロジー検証情報を、トポロジー検証サーバＴＳに送信する。
【００２１】
受信部１０３は、従属ノード認証情報に基づいて認証サーバＡＳで行われた従属ノードの認証結果を受信するとともに、トポロジー検証情報に基づいてトポロジー検証サーバＴＳで行われたトポロジー検証処理の結果、つまり、従属ノードと自ノードとの間の論理接続の正当性の判断結果を受信する。
【００２２】
接続制御部１０４は、認証サーバＡＳにより従属ノードが認証され、かつ、トポロジー検証サーバＴＳにより従属ノードと自ノードとの間の論理接続が正当であると判断された場合に、従属ノードとの間の論理接続を確立する。つまり、接続制御部１０４は、認証サーバＡＳにより従属ノードが認証され、認証成功の認証結果を受信部１０３が受信した場合であっても、トポロジー検証サーバＴＳにより従属ノードと自ノードとの間の論理接続が正当でないと判断され、トポロジー検証失敗の検証結果を受信部１０３が受信すると、従属ノードとの間の論理接続を確立しない。接続制御部１０４は、この従属ノードの識別情報を一定時間記憶しておき、この間同じ従属ノードからの接続要求を直ちに拒否することも可能である。ここで、トポロジー検証サーバＴＳにより従属ノードと自ノードとの間の論理接続が正当でないと判断されるのは、例えば、従属ノードと自ノードとの論理接続が想定されていない場合や、従属ノードと自ノードとの間の論理接続を確立するための予め定められた制約条件（例えば、通信ネットワーク上の各ノード装置間の論理接続の順番や、物理的な直接接続の有無などの条件）を満たしていない場合などが挙げられる。なお、トポロジー検証サーバＴＳによるトポロジー検証の詳細は後述する。
【００２３】
第２の送信部１０５は、接続制御部１０４によって従属ノードとの間の論理接続が確立された場合に、従属ノードとの間で論理接続が確立されている状態であることを示す接続状態更新情報をトポロジー検証サーバＴＳに送信するとともに、この従属ノードとの間の論理接続が解除された場合に、従属ノードとの間で論理接続が確立されていない状態であることを示す接続状態更新情報をトポロジー検証サーバＴＳに送信する。このように、第２の送信部１０５は、従属ノードとの間での論理接続の状態に関して、「確立」または「遮断」のいずれかを示すための接続状態更新情報を、トポロジー検証サーバＴＳに送信する。
【００２４】
図４は、ノード装置Ｎｘの動作を説明するフローチャートである。この図４のフローチャートで示す一連の処理は、ノード装置Ｎｘが従属ノードとなる他のノード装置から論理接続要求を受信した場合に開始される。
【００２５】
処理が開始されると、まずステップＳ１０１において、取得部１０１が、従属ノードから従属ノード認証情報と従属ノードの識別情報とを取得する。
【００２６】
次に、ステップＳ１０２において、第１の送信部１０２が、自ノードの識別情報である主体ノード識別情報に、ステップＳ１０１で取得された従属ノード識別情報と、従属ノードとの間の物理的な直接接続の有無を示す物理接続フラグを付加して、トポロジー検証情報を生成する。そして、第１の送信部１０２は、ステップＳ１０１で取得された従属ノード認証情報を認証サーバＡＳに送信するとともに、生成したトポロジー検証情報をトポロジー検証サーバＴＳに送信する。
【００２７】
次に、ステップＳ１０３において、受信部１０３が、認証サーバＡＳから従属ノードの認証結果Ｘを受信するとともに、トポロジー検証サーバＴＳからトポロジーの検証結果Ｙを受信する。
【００２８】
次に、ステップＳ１０４において、接続制御部１０４が、ステップＳ１０３で受信した従属ノードの認証結果Ｘが認証成功を示すものであり、かつ、ステップＳ１０３で受信したトポロジーの検証結果Ｙがトポロジー検証成功を示すものであるか否かを判定する。そして、接続制御部１０４は、従属ノードの認証結果Ｘとトポロジーの検証結果Ｙのいずれかが失敗を示すものである場合には（ステップＳ１０４：Ｎｏ）、ステップＳ１０５において従属ノードとの間の論理接続の確立を拒否し、一連の処理を終了する。
【００２９】
一方、従属ノードの認証結果Ｘとトポロジーの検証結果Ｙの双方が成功を示すものである場合には（ステップＳ１０４：Ｙｅｓ）、接続制御部１０４は、ステップＳ１０６において、従属ノードとの間の論理接続の確立を承認する。そして、所定時間が経過する前に従属ノードとの間の論理接続が確立されると（ステップＳ１０７：Ｙｅｓ、ステップＳ１０８：Ｎｏ）、ステップＳ１０９において、第２の送信部１０５が、従属ノードとの間で論理接続が確立されている状態であることを示す接続状態更新情報をトポロジー検証サーバＴＳに送信し、一連の処理を終了する。
【００３０】
一方、接続制御部１０４が従属ノードとの間の論理接続の確立を承認したにも関わらず、従属ノードとの間の論理接続が確立することなく所定時間が経過した場合には（ステップＳ１０７：Ｎｏ、ステップＳ１０８：Ｙｅｓ）、そのまま処理を終了する。ここで、従属ノードとの間の論理接続が確立することなく所定時間が経過するのは、例えば、従属ノードからノード装置Ｎｘに対して論理接続要求が誤って送信された場合などである。また、ノード装置Ｎｘと従属ノードとの間で物理的な直接接続がない状態で、トポロジー検証サーバＴＳではトポロジー検証が成功したが、ノード装置Ｎｘが、従属ノードとの間で論理接続を確立するにあたって物理的な直接接続が必要と判断して、論理接続を確立しない場合も想定される。このような場合にも、従属ノードとの間の論理接続が確立することなく所定時間が経過して、処理が終了する。
【００３１】
次に、認証サーバＡＳについて説明する。認証サーバＡＳは、図１に示した通信ネットワーク上の各ノード装置に対する認証処理を行うサーバ装置である。
【００３２】
図５は、認証サーバＡＳの内部的な機能構成を示す機能ブロック図である。認証サーバＡＳは、例えば、通信ネットワーク上で通信を行うための通信機能を備えた一般的なコンピュータを利用したハードウェア構成を有し、認証処理用のアプリケーションプログラムを実行することにより、認証情報保持部２０１、受信部２０２、認証処理部２０３および認証結果送信部２０４の各機能を実現する。
【００３３】
認証情報保持部２０１は、通信ネットワーク上の各ノード装置に対する認証処理を行うための認証情報を保持する。
【００３４】
図６は、認証情報保持部２０１が保持する認証情報の一例を示す概念図である。この図６に例示する認証情報は、通信ネットワーク上の正当なノードとして予め定められた各ノード装置の識別情報と、そのノード装置に対する認証鍵の２つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表される。このうち、各ノード装置の識別情報は上述した従属ノード認証情報に含まれ、認証鍵は従属ノード認証情報には含まれない。図６に示す認証情報の例では、初段ノード装置Ｎ１１の識別情報を「ｎ１１」、初段ノード装置Ｎ１１に対する認証鍵を「ｋ１１」と表し、第２段ノード装置Ｎ２１の識別情報を「ｎ２１」、第２段ノード装置Ｎ２１に対する認証鍵を「ｋ２１」と表している。また、第２段ノード装置Ｎ２２の識別情報を「ｎ２２」、第２段ノード装置Ｎ２２に対する認証鍵を「ｋ２２」と表し、第３段ノード装置Ｎ３１の識別情報を「ｎ３１」、第３段ノード装置Ｎ３１に対する認証鍵を「ｋ３１」と表している。また、第３段ノード装置Ｎ３２の識別情報を「ｎ３２」、第３段ノード装置Ｎ３２に対する認証鍵を「ｋ３２」と表し、第３段ノード装置Ｎ３３の識別情報を「ｎ３３」、第３段ノード装置Ｎ３３に対する認証鍵を「ｋ３３」と表わしている。
【００３５】
受信部２０２は、上記のノード装置Ｎｘから、従属ノード認証情報を受信する。従属ノード認証情報は、上述したように、一般的なネットワークアクセス認証に用いる認証情報が利用できる。ここでは、従属ノード認証情報が、従属ノードの識別情報を含んでいるものとして説明する。
【００３６】
認証処理部２０３は、受信部２０２がノード装置Ｎｘから受信した従属ノード認証情報を、認証情報保持部２０１が保持する認証情報と照合し、ノード装置Ｎｘに対して従属ノードとなるノード装置に対する認証処理を行う。認証情報の照合方法として、例えば共通鍵が認証鍵である場合には、ノード装置Ｎｘから受信した従属ノード認証情報はノード装置Ｎｘが自身の共通鍵を用いて計算した署名を含んでおり、認証処理部２０３は、受信した従属ノード認証情報に対してノード装置Ｎｘに対する共通鍵を用いて計算した署名と、受信した従属ノード認証情報に含まれる署名が一致した場合に、照合が成功したとみなす。この場合、ノード装置Ｎｘから受信する従属ノード認証情報には共通鍵は含まない。
【００３７】
認証結果送信部２０４は、従属ノード認証情報に基づいて認証処理部２０３が実施した認証処理の結果、つまり、ノード装置Ｎｘに対して従属ノードとなるノード装置の認証結果を、ノード装置Ｎｘに対して送信する。
【００３８】
図７は、認証サーバＡＳの動作を説明するフローチャートである。まず、ステップＳ２０１において、受信部２０２が、ノード装置Ｎｘから送信された従属ノード認証情報を受信する。次に、ステップＳ２０２において、認証処理部２０３が、ステップＳ２０１で受信した従属ノード認証情報を、認証情報保持部２０１が保持する認証情報と照合することで、従属ノードが通信ネットワーク上のノードとして正当かどうかの認証処理を行う。
【００３９】
次に、ステップＳ２０３において、認証結果送信部２０４が、ステップＳ２０２で従属ノードが正当なノードとして認証されたか否かを判定し、従属ノードが認証されていれば（ステップＳ２０３：Ｙｅｓ）、ステップＳ２０４において、ノード装置Ｎｘに対して認証成功を示す認証結果Ｘを送信する。一方、従属ノードが正当なノードとして認証されなかった場合には（ステップＳ２０３：Ｎｏ）、認証結果送信部２０４は、ステップＳ２０５において、ノード装置Ｎｘに対して認証失敗を示す認証結果Ｘを送信する。
【００４０】
次に、トポロジー検証サーバＴＳについて説明する。トポロジー検証サーバＴＳは、ネットワークトポロジーの検証により、通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置である。
【００４１】
図８は、トポロジー検証サーバＴＳの内部的な機能構成を示す機能ブロック図である。トポロジー検証サーバＴＳは、例えば、通信ネットワーク上で通信を行うための通信機能を備えた一般的なコンピュータを利用したハードウェア構成を有し、トポロジー検証用のアプリケーションプログラムを実行することにより、トポロジー情報保持部３０１、更新部３０２、受信部３０３、判断部３０４および判断結果送信部３０５の各機能を実現する。
【００４２】
トポロジー情報保持部３０１は、トポロジー検証サーバＴＳがトポロジーの検証を行う通信ネットワークにおいて、論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持する。
【００４３】
図９は、トポロジー情報保持部３０１が保持するトポロジー情報の一例を示す概念図である。この図９に例示するトポロジー情報は、通信ネットワーク上で主体ノードとなり得るノード装置Ｎｘの識別情報（主体ノード識別情報）と、この主体ノードに対して従属ノードとなるノード装置の識別情報（従属ノード識別情報）、物理接続性要求フラグ、接続グループ、接続順位および接続状態フラグの６つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表わされる。図９の例では、初段ノード装置Ｎ１１の識別情報を「ｎ１１」、第２段ノード装置Ｎ２１の識別情報を「ｎ２１」、第２段ノード装置Ｎ２２の識別情報を「ｎ２２」、第３段ノード装置Ｎ３１の識別情報を「ｎ３１」、第３段ノード装置Ｎ３２の識別情報を「ｎ３２」、第３段ノード装置Ｎ３３の識別情報を「ｎ３３」と表わしている。
【００４４】
図９に例示するトポロジー情報から、図１に示した通信ネットワークでは、初段ノード装置Ｎ１１（主体ノード）と第２段ノード装置Ｎ２１（従属ノード）、初段ノード装置Ｎ１１（主体ノード）と第２段ノード装置Ｎ２２（従属ノード）、第２段ノード装置Ｎ２１（主体ノード）と第３段ノード装置Ｎ３１（従属ノード）、第２段ノード装置Ｎ２１（主体ノード）と第３段ノード装置Ｎ３２（従属ノード）、第２段ノード装置Ｎ２２（主体ノード）と第３段ノード装置Ｎ３２（従属ノード）、第２段ノード装置Ｎ２２（主体ノード）と第３段ノード装置Ｎ３３（従属ノード）との間で、それぞれ論理接続が許容されることが分かる。
【００４５】
物理接続性要求フラグは、主体ノードと従属ノードとの間の論理接続のためにこれら２つのノード間でＭＡＣ層またはＰＨＹ層での物理的な直接接続が存在している必要があるかどうかを示す１ビットの情報であり、それぞれのエントリの主体ノードと従属ノードとの間の論理接続のために物理的な直接接続が必要な場合に「１」、物理的な直接接続が必要でない場合に「０」となる。図９の例では、すべてのエントリの物理接続性要求フラグが「１」となっており、すべての論理接続において、主体ノードと従属ノードとの間で物理的な直接接続が存在することが、論理接続を確立するための条件となっていることが分かる。なお、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、物理接続要求フラグの代わりに、０以上の整数で表わされるトポロジー階層レベルを使用してもよく、その場合、トポロジー階層レベルの値「０」は物理接続要求フラグの値「１」に対応し、それ以外のトポロジー階層レベルの値は物理接続要求フラグの値「０」に対応する。
【００４６】
接続グループリストは、後述する接続順位が有効となる論理接続の集合である接続グループを表した情報であり、各接続グループに対応する０以上の整数の集合で表わされる。ここでは、図１に示した通信ネットワークに接続グループ「０」と接続グループ「１」の２つの接続グループが存在することを想定している。通信ネットワーク上の任意の主体ノードと従属ノードとの間の論理接続を（主体ノード識別情報，従属ノード識別情報）で表すと、図９に例示するトポロジー情報から、接続グループ「０」は、論理接続（ｎ１１，ｎ２１）、（ｎ１１，ｎ２２）、（ｎ２１，ｎ３１）、（ｎ２１，ｎ３２）、（ｎ２２，ｎ３２）で構成され、接続グループ「１」は、論理接続（ｎ１１，ｎ２２）、（ｎ２２，ｎ３３）で構成されることが分かる。
【００４７】
接続順位は、接続グループリストで示される接続グループ内での論理接続の順序を指定する情報である。この接続順位には正数が入り、接続順位の値がｘである主体ノードと従属ノードとの間の論理接続を確立するためには、同じ接続グループ内で接続順位の値がｘ未満である他の論理接続が確立されていることが条件となる。図９に示す例では、論理接続（ｎ２１，ｎ３２）を確立するには、同じ接続グループ「０」に属する論理接続（ｎ２１，ｎ３１）、（ｎ２２，ｎ３２）が確立されていることが条件となり、論理接続（ｎ２１，ｎ３１）、（ｎ２２，ｎ３２）を確立するには、同じ接続グループ「０」に属する論理接続（ｎ１１，ｎ２１）、（ｎ１１，ｎ２２）が確立されていることが条件となる。また、論理接続（ｎ２２，ｎ３３）を確立するには、同じ接続グループ「１」に属する論理接続（ｎ１１，ｎ２２）が確立されていることが条件となる。
【００４８】
接続状態フラグは、主体ノードと従属ノードとの間で、現在、論理接続が確立された状態にあるか否かを示す１ビットの情報であり、それぞれのエントリの主体ノードと従属ノードとの間で論理接続が確立された状態にあれば「１」、論理接続が確立されていない状態であれば「０」となる。上記の接続順位による制約条件は、この接続状態フラグを参照することで判定することができる。
【００４９】
更新部３０２は、上述したノード装置Ｎｘから送信された接続状態更新情報に基づいて、トポロジー情報保持部３０１が保持するトポロジー情報のうち、接続状態フラグを更新する。つまり、更新部３０２は、上述したノード装置Ｎｘが従属ノードとの間での論理接続を確立したことを示す接続状態更新情報を送信した場合には、トポロジー情報の接続状態フラグを「０」から「１」に書き換え、上述したノード装置Ｎｘが従属ノードとの間での論理接続を遮断したことを示す接続状態更新情報を送信した場合には、トポロジー情報の接続状態フラグを「１」から「０」に書き換える。これにより、トポロジー情報の接続状態フラグは、常に通信ネットワークにおけるノード間の論理接続の最新の状態を反映したものとなる。さらに、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、第（Ｎ−１）階層の論理接続に対するトポロジー情報の接続状態フラグが「１」から「０」に書き換えられると、この論理接続に依存しかつトポロジー情報の接続状態フラグが「１」であるような第Ｎ階層の論理接続のそれぞれに対するトポロジー情報の接続状態フラグを「０」に書き替える。このような隣接する階層間の論理接続の依存関係を考慮した接続状態フラグの書き換えを行う場合には、接続状態更新情報はトポロジー検証サーバＴＳが管理する最低階層の論理接続についてのみ送信すればよい。
【００５０】
受信部３０３は、通信ネットワーク上の任意の主体ノードであるノード装置Ｎｘが従属ノードとの間で論理接続を確立するのに先立って送信したトポロジー検証情報を受信する。このトポロジー検証情報には、上述したように、当該トポロジー情報を送信したノード装置Ｎｘの識別情報である主体ノード識別情報と、このノード装置Ｎｘが論理接続を確立しようとする従属ノードの識別情報である従属ノード識別情報と、これら主体ノードと従属ノードとの間での物理的な直接接続の有無を示す物理接続フラグとが含まれている。
【００５１】
判断部３０４は、受信部３０３がノード装置Ｎｘから受信したトポロジー検証情報を、トポロジー情報保持部３０１が保持するトポロジー情報と照合し、主体ノードであるノード装置Ｎｘと従属ノードであるノード装置との論理接続の正当性の判断（ネットワークトポロジーの検証）を行う。
【００５２】
具体的には、判断部３０４は、まず、トポロジー検証情報に含まれる主体ノード識別情報と従属ノード識別情報の組み合わせをキーとしてトポロジー情報を検索し、これら主体ノードと従属ノードとの間の論理接続に関するエントリの有無を確認する。ここで、トポロジー情報に該当するエントリがなければ、これら主体ノードと従属ノードとの間の論理接続は通信ネットワーク上で想定されていないものであるため、正当でないと判断する。
【００５３】
また、判断部３０４は、該当するエントリがトポロジー情報に存在する場合は、これら主体ノードと従属ノードとの間の論理接続を確立するための制約条件を満足しているか否かの判断を行う。すなわち、判断部３０４は、該当するエントリの物理接続性要求フラグと、トポロジー検証情報に含まれる物理接続フラグとの照合を行い、物理接続性要求フラグの値が「１」、物理接続フラグの値が「０」の場合には、これら主体ノードと従属ノードとの間の論理接続を確立するのに必要な物理的な直接接続が存在しないため、正当でないと判断する。また、判断部３０４は、トポロジー情報の接続グループリストおよび接続順位を確認して、該当するエントリの論理接続が属する接続グループ内で、該当するエントリの論理接続よりも接続順位の値が小さい論理接続を特定する。そして、この特定した論理接続に関する接続状態フラグを参照して、接続状態フラグの値が「０」となるものがあれば、上記の主体ノードと従属ノードとの間の論理接続よりも前に確立されるべき論理接続が確立されていない状態にあるため、正当でないと判断する。
【００５４】
判断結果送信部３０５は、トポロジー検証情報に基づいて判断部３０４が実施したネットワークトポロジーの検証結果、つまり、主体ノードであるノード装置Ｎｘと従属ノードとの間の論理接続の正当性の判断結果を、ノード装置Ｎｘに対して送信する。
【００５５】
図１０は、トポロジー検証サーバＴＳの動作を説明するフローチャートである。まず、ステップＳ３０１において、受信部３０３が、ノード装置Ｎｘから送信されたトポロジー検証情報を受信する。次に、ステップＳ３０２において、判断部３０４が、ステップＳ３０１で受信したトポロジー検証情報を、トポロジー情報保持部３０１が保持するトポロジー情報と照合することで、主体ノードであるノード装置Ｎｘと従属ノードとの間の論理接続が正当かどうかの検証を行う。
【００５６】
次に、ステップＳ３０３において、判断結果送信部３０５が、ステップＳ３０２で主体ノードであるノード装置Ｎｘと従属ノードとの間の論理接続が正当であると判断されたか否かを判定し、これらの間の論理接続が正当であると判断されていれば（ステップＳ３０３：Ｙｅｓ）、ステップＳ３０４において、ノード装置Ｎｘに対して検証成功を示す検証結果Ｙを送信する。一方、ノード装置Ｎｘと従属ノードとの間の論理接続が正当でないと判断された場合には（ステップＳ３０３：Ｎｏ）、判断結果送信部３０５は、ステップＳ３０５において、ノード装置Ｎｘに対して検証失敗を示す認証結果Ｙを送信する。
【００５７】
次に、ステップＳ３０６において、更新部３０２が、ノード装置Ｎｘから接続状態更新情報が送信されたか否かを判定する。そして、ノード装置Ｎｘから接続状態更新情報が送信された場合には（ステップＳ３０６：Ｙｅｓ）、更新部３０２は、ステップＳ３０７において、ノード装置Ｎｘから送信された接続状態更新情報に従って、トポロジー情報保持部３０１が保持するトポロジー情報の接続状態フラグを書き換える。一方、ノード装置Ｎｘから接続状態更新情報が送信されない場合は（ステップＳ３０６：Ｎｏ）、そのまま処理を終了する。
【００５８】
次に、本実施形態の通信ネットワーク全体における一連の動作の具体例について説明する。図１１は、図１に示した通信ネットワークにおいて、第２段ノード装置Ｎ２１と初段ノード装置Ｎ１１との間の論理接続を確立した後、第３段ノード装置Ｎ３１と第２段ノード装置Ｎ２１との間の論理接続を確立するまでの一連の動作を示すシーケンス図である。図１に示した通信ネットワークの構成では、初段ノード装置Ｎ１１に対して、認証サーバＡＳとトポロジー検証サーバＴＳとがこの順で直列に接続されているため、初段ノード装置Ｎ１１とトポロジー検証サーバＴＳとの間のデータ送受信は、認証サーバＡＳを介して行われる。
【００５９】
図１１において、まず、第２段ノード装置Ｎ２１は、初段ノード装置Ｎ１１に対して、論理接続の確立を要求する接続要求Ｄ１０１を送信する。この接続要求Ｄ１０１には、第２段ノード装置Ｎ２１の正当性に関する従属ノード認証情報と、第２段ノード装置Ｎ２１の識別情報である従属ノード識別情報が含まれる。
【００６０】
初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１からの接続要求Ｄ１０１を受信すると、この接続要求Ｄ１０１から従属ノード認証情報と従属ノード識別情報を取り出す。そして、初段ノード装置Ｎ１１は、接続要求Ｄ１０１から取り出した従属ノード識別情報に、自ノードの識別情報である主体ノード識別情報と、物理接続フラグとを含めたトポロジー検証情報を生成する。そして、初段ノード装置Ｎ１１は、生成したトポロジー検証情報と、接続要求Ｄ１０１から取り出した従属ノード認証情報とを格納した接続要求Ｄ１０２を、認証サーバＡＳに対して送信する。
【００６１】
認証サーバＡＳは、初段ノード装置Ｎ１１からの接続要求Ｄ１０２を受信すると、この接続要求Ｄ１０２から従属ノード認証情報とトポロジー検証情報を取り出す。そして、認証サーバＡＳは、従属ノード認証情報を用いて第２段ノード装置Ｎ２１に対する認証を行い、認証に成功すると、接続要求Ｄ１０２から取り出したトポロジー検証情報を格納した検証要求Ｄ１０３を、トポロジー検証サーバＴＳに対して送信する。
【００６２】
トポロジー検証サーバＴＳは、認証サーバＡＳから検証要求Ｄ１０３を受信すると、この検証要求Ｄ１０３からトポロジー検証情報を取り出す。そして、トポロジー検証サーバＴＳは、このトポロジー検証情報を用いてネットワークトポロジーの検証を行い、第２段ノード装置Ｎ２１と初段ノード装置Ｎ１１との間の論理接続が正当であると判断すると、検証成功を示す検証結果Ｒ１０１を、認証サーバＡＳに対して送信する。
【００６３】
認証サーバＡＳは、トポロジー検証サーバＴＳからの検証結果Ｒ１０１を受信すると、この検証結果Ｒ１０１に、認証成功を示す認証結果を付加して接続応答Ｒ１０２を生成し、この接続応答Ｒ１０２を、初段ノード装置Ｎ１１に対して送信する。
【００６４】
初段ノード装置Ｎ１１は、認証サーバＡＳからの接続応答Ｒ１０２を受信すると、第２段ノード装置Ｎ２１との間での論理接続の確立を承認し、論理接続を許可することを示す接続応答Ｒ１０３を生成して、この接続応答Ｒ１０３を、第２段ノード装置Ｎ２１に対して送信する。そして、初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１との間で論理接続が確立されると、トポロジー検証サーバＴＳ宛に、第２段ノード装置Ｎ２１との間で論理接続が確立された状態であることを示す接続状態更新情報Ｄ１０４を送信する。この接続状態更新情報Ｄ１０４は、認証サーバＡＳを介してトポロジー検証サーバＴＳに送信される。
【００６５】
トポロジー検証サーバＴＳは、初段ノード装置Ｎ１１からの接続状態更新情報Ｄ１０４を受信すると、この接続状態更新情報Ｄ１０４に従ってトポロジー情報の接続状態フラグを更新する。
【００６６】
次に、第３段ノード装置Ｎ３１は、第２段ノード装置Ｎ２１に対して、論理接続の確立を要求する接続要求Ｄ１０５を送信する。この接続要求Ｄ１０５には、第３段ノード装置Ｎ３１の正当性に関する従属ノード認証情報と、第３段ノード装置Ｎ３１の識別情報である従属ノード識別情報が含まれる。
【００６７】
第２段ノード装置Ｎ２１は、第３段ノード装置Ｎ３１からの接続要求Ｄ１０５を受信すると、この接続要求Ｄ１０５から従属ノード認証情報と従属ノード識別情報を取り出す。そして、第２段ノード装置Ｎ２１は、接続要求Ｄ１０５から取り出した従属ノード識別情報に、自ノードの識別情報である主体ノード識別情報と、物理接続フラグとを含めたトポロジー検証情報を生成する。そして、第２段ノード装置Ｎ２１は、生成したトポロジー検証情報と、接続要求Ｄ１０５から取り出した従属ノード認証情報とを格納した接続要求Ｄ１０６を、初段ノード装置Ｎ１１に対して送信する。
【００６８】
初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１からの接続要求Ｄ１０６を受信すると、この接続要求Ｄ１０６からトポロジー検証情報と従属ノード識別情報を取り出す。そして、初段ノード装置Ｎ１１は、接続要求Ｄ１０６から取り出したトポロジー検証情報と従属ノード識別情報を格納した接続要求Ｄ１０７を、認証サーバＡＳに対して送信する。
【００６９】
認証サーバＡＳは、初段ノード装置Ｎ１１からの接続要求Ｄ１０７を受信すると、この接続要求Ｄ１０７から従属ノード認証情報とトポロジー検証情報を取り出す。そして、認証サーバＡＳは、従属ノード認証情報を用いて第３段ノード装置Ｎ３１に対する認証を行い、認証に成功すると、接続要求Ｄ１０７から取り出したトポロジー検証情報を格納した検証要求Ｄ１０８を、トポロジー検証サーバＴＳに対して送信する。
【００７０】
トポロジー検証サーバＴＳは、認証サーバＡＳから検証要求Ｄ１０８を受信すると、この検証要求Ｄ１０８からトポロジー検証情報を取り出す。そして、トポロジー検証サーバＴＳは、このトポロジー検証情報を用いてネットワークトポロジーの検証を行い、第３段ノード装置Ｎ３１と第２段ノード装置Ｎ２１との間の論理接続が正当であると判断すると、検証成功を示す検証結果Ｒ１０４を、認証サーバＡＳに対して送信する。
【００７１】
認証サーバＡＳは、トポロジー検証サーバＴＳからの検証結果Ｒ１０４を受信すると、この検証結果Ｒ１０４に、認証成功を示す認証結果を付加して接続応答Ｒ１０５を生成し、この接続応答Ｒ１０５を、初段ノード装置Ｎ１１に対して送信する。
【００７２】
初段ノード装置Ｎ１１は、認証サーバＡＳからの接続応答Ｒ１０５を受信すると、この接続応答Ｒ１０５から、認証成功を示す認証結果と検証成功を示す検証結果とを取り出す。そして、初段ノード装置Ｎ１１は、接続応答Ｒ１０５から取り出した認証結果および検証結果を格納した接続応答Ｒ１０６を、第２段ノード装置Ｎ２１に対して送信する。
【００７３】
第２段ノード装置Ｎ２１は、初段ノード装置Ｎ１１からの接続応答Ｒ１０６を受信すると、第３段ノード装置Ｎ３１との間での論理接続の確立を承認し、論理接続を許可することを示す接続応答Ｒ１０７を生成して、この接続応答Ｒ１０７を、第３段ノード装置Ｎ３１に対して送信する。そして、第２段ノード装置Ｎ２１は、第３段ノード装置Ｎ３１との間で論理接続が確立されると、トポロジー検証サーバＴＳ宛に、第３段ノード装置Ｎ３１との間で論理接続が確立された状態であることを示す接続状態更新情報Ｄ１０９を送信する。この接続状態更新情報Ｄ１０９は、初段ノード装置Ｎ１１および認証サーバＡＳを介してトポロジー検証サーバＴＳに送信される。
【００７４】
トポロジー検証サーバＴＳは、第２段ノード装置Ｎ２１からの接続状態更新情報Ｄ１０９を受信すると、この接続状態更新情報Ｄ１０９に従ってトポロジー情報の接続状態フラグを更新する。なお、図９に例示したトポロジー情報は、この第２段ノード装置Ｎ２１からの接続状態更新情報Ｄ１０９に従って接続状態フラグを更新した直後のトポロジー情報であり、論理接続（ｎ１１，ｎ２１）に関するエントリと論理接続（ｎ２１，ｎ３１）に関するエントリでは接続状態フラグの値が「１」、それ以外のエントリでは接続状態フラグの値が「０」となっている。
【００７５】
図１２は、トポロジー検証サーバＴＳが保持するトポロジー情報が図９の状態、つまり、第２段ノード装置Ｎ２１と初段ノード装置Ｎ１１との間の論理接続と、第３段ノード装置Ｎ３１と第２段ノード装置Ｎ２１との間の論理接続が確立された後に、第３段ノード装置Ｎ３２が第２段ノード装置Ｎ２１との間で論理接続を確立しようとした場合の一連の動作を示すシーケンス図である。
【００７６】
図１２において、まず、第３段ノード装置Ｎ３２は、第２段ノード装置Ｎ２１に対して、論理接続の確立を要求する接続要求Ｄ２０１を送信する。この接続要求Ｄ２０１には、第３段ノード装置Ｎ３２の正当性に関する従属ノード認証情報と、第３段ノード装置Ｎ３２の識別情報である従属ノード識別情報が含まれる。
【００７７】
第２段ノード装置Ｎ２１は、第３段ノード装置Ｎ３２からの接続要求Ｄ２０１を受信すると、この接続要求Ｄ２０１から従属ノード認証情報と従属ノード識別情報を取り出す。そして、第２段ノード装置Ｎ２１は、接続要求Ｄ２０１から取り出した従属ノード識別情報に、自ノードの識別情報である主体ノード識別情報と、物理接続フラグとを含めたトポロジー検証情報を生成する。そして、第２段ノード装置Ｎ２１は、生成したトポロジー検証情報と、接続要求Ｄ２０１から取り出した従属ノード認証情報とを格納した接続要求Ｄ２０２を、初段ノード装置Ｎ１１に対して送信する。
【００７８】
初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１からの接続要求Ｄ２０２を受信すると、この接続要求Ｄ２０２からトポロジー検証情報と従属ノード識別情報を取り出す。そして、初段ノード装置Ｎ１１は、接続要求Ｄ２０２から取り出したトポロジー検証情報と従属ノード識別情報を格納した接続要求Ｄ２０３を、認証サーバＡＳに対して送信する。
【００７９】
認証サーバＡＳは、初段ノード装置Ｎ１１からの接続要求Ｄ２０３を受信すると、この接続要求Ｄ２０３から従属ノード認証情報とトポロジー検証情報を取り出す。そして、認証サーバＡＳは、従属ノード認証情報を用いて第３段ノード装置Ｎ３２に対する認証を行い、認証に成功すると、接続要求Ｄ２０３から取り出したトポロジー検証情報を格納した検証要求Ｄ２０４を、トポロジー検証サーバＴＳに対して送信する。
【００８０】
トポロジー検証サーバＴＳは、認証サーバＡＳから検証要求Ｄ２０４を受信すると、この検証要求Ｄ２０４からトポロジー検証情報を取り出す。そして、トポロジー検証サーバＴＳは、このトポロジー検証情報を用いてネットワークトポロジーの検証を行い、第３段ノード装置Ｎ３２と第２段ノード装置Ｎ２１との間の論理接続の正当性を判断する。このとき、トポロジー検証サーバＴＳが保持するトポロジー情報は図９の状態であり、論理接続（ｎ１１，ｎ２１）に関するエントリと論理接続（ｎ２１，ｎ３１）に関するエントリでは接続状態フラグの値が１、それ以外のエントリでは接続状態フラグの値が０となっている。
【００８１】
ここで、図９に示したトポロジー情報を参照すると、第３段ノード装置Ｎ３２と第２段ノード装置Ｎ２１との間の論理接続（ｎ２１，ｎ３２）は接続グループ「０」に属し、接続順位の値は「３」である。そして、この論理接続（ｎ２１，ｎ３２）と同じ接続グループ「０」に属し、論理接続（ｎ２１，ｎ３２）よりも接続順位の値が小さい論理接続として、論理接続（ｎ２２，ｎ３２）が存在し、この論理接続（ｎ２２，ｎ３２）に関するエントリの接続状態フラグの値は「０」となっている。したがって、トポロジー検証サーバＴＳは、第３段ノード装置Ｎ３２と第２段ノード装置Ｎ２１との間の論理接続は正当でないと判断し、検証失敗を示す検証結果Ｒ２０１を、認証サーバＡＳに対して送信する。
【００８２】
認証サーバＡＳは、トポロジー検証サーバＴＳからの検証結果Ｒ２０１を受信すると、この検証結果Ｒ２０１に、認証成功を示す認証結果を付加して接続応答Ｒ２０２を生成し、この接続応答Ｒ２０２を、初段ノード装置Ｎ１１に対して送信する。
【００８３】
初段ノード装置Ｎ１１は、認証サーバＡＳからの接続応答Ｒ２０２を受信すると、この接続応答Ｒ２０２から、認証成功を示す認証結果と検証失敗を示す検証結果とを取り出す。そして、初段ノード装置Ｎ１１は、接続応答Ｒ２０２から取り出した認証結果および検証結果を格納した接続応答Ｒ２０３を、第２段ノード装置Ｎ２１に対して送信する。
【００８４】
第２段ノード装置Ｎ２１は、初段ノード装置Ｎ１１からの接続応答Ｒ２０３を受信すると、第３段ノード装置Ｎ３２との間での論理接続の確立を拒否することを示す接続応答Ｒ２０４を生成して、この接続応答Ｒ２０４を、第３段ノード装置Ｎ３２に対して送信する。これにより、予め定められた所定の接続順序とは異なる順序での論理接続を、正当でない論理接続として拒否することが可能となる。
【００８５】
なお、図１１および図１２のシーケンス図を用いて説明した具体例において、ノード装置間でやりとりされる接続要求および接続応答としては、例えば、ＲＦＣ５１９１で規定されるＰＡＮＡ（Ｐｒｏｔｏｃｏｌ ｆｏｒ Ｃａｒｒｙｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ）のメッセージを利用することができる。その場合、従属ノードはＰＡＮＡクライアントとなり、初段ノード装置Ｎ１１が主体ノードの場合は、初段ノード装置Ｎ１１がＰＡＮＡ認証エージェントとなる。また、第２段ノード装置Ｎ２１，Ｎ２２が主体ノードの場合は、主体ノードである第２段ノード装置Ｎ２１，Ｎ２２がＰＡＮＡリレー、初段ノード装置Ｎ１１がＰＡＮＡ認証エージェントとなり、ＰＡＮＡリレーは、ＰＡＮＡクライアントとＰＡＮＡ認証エージェントとの間でＰＡＮＡメッセージをフォワードする。なお、ＰＡＮＡリレーの動作は、インターネットドラフト“http://tools.ietf.org/html/draft-ohba-pana-relay-02”で規定されている。
【００８６】
ＰＡＮＡメッセージを接続要求および接続応答に用いる場合、従属ノード認証情報は、ＰＡＮＡメッセージのＥＡＰ−Ｐａｙｌｏａｄ属性に含まれる。また、トポロジー検証情報に含まれる従属ノード識別情報は、ＰＡＮＡクライアントのＩＰアドレスまたはＭＡＣアドレスとなる。また、トポロジー検証情報に含まれる主体ノード識別情報は、主体ノードがＰＡＮＡ認証エージェントの場合には、ＰＡＮＡ認証エージェントのＩＰアドレスまたはＭＡＣアドレスとなり、主体ノードがＰＡＮＡリレーの場合には、ＰＡＮＡリレーのＩＰアドレスまたはＭＡＣアドレスとなる。また、従属ノードが正当かどうかの認証結果および主体ノードと従属ノードとの間の論理接続が正当かどうかの検証結果は、ＰＡＮＡメッセージのＲｅｓｕｌｔ−Ｃｏｄｅ属性に含まれる。
【００８７】
さらに、ＰＡＮＡ認証エージェントと認証サーバＳＡとの間の接続要求および接続応答としては、例えば、ＲＦＣ２８６５で規定されるＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコルメッセージを使用することができる。その場合、従属ノード認証情報は、ＲＡＤＩＵＳメッセージのＥＡＰ−Ｍｅｓｓａｇｅ属性に含まれる。また、トポロジー検証情報に含まれる従属ノード識別情報として、従属ノードのＩＰアドレスまたはＭＡＣアドレスが、ＲＡＤＩＵＳメッセージのＣａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ属性に含まれる。また、トポロジー検証情報に含まれる主体ノード識別情報として、主体ノードがＰＡＮＡ認証エージェントの場合にはＰＡＮＡ認証エージェントのＩＰアドレスまたはＭＡＣアドレスが、主体ノードがＰＡＮＡリレーの場合にはＰＡＮＡリレーのＩＰアドレスまたはＭＡＣアドレスが、ＲＡＤＩＵＳメッセージのＣａｌｌｅｄ−Ｓｔａｔｉｏｎ−Ｉｄ属性に含まれる。
【００８８】
以上、具体例を挙げながら詳細に説明したように、本実施形態によれば、通信ネットワークを構成する複数のノード装置の間で論理接続を確立しようとする際に、ノード装置の正当性を判断する認証処理とともに、ネットワークトポロジーの検証を行って論理接続の正当性を判断する。そして、ノード装置が正当な装置として認証され、かつ、論理接続の正当性が認められた場合に、これらノード装置間の論理接続を確立させるようにしている。したがって、通信ネットワーク上のノード装置が、本来接続が意図されていない別のノード装置との間で論理接続を確立させてしまうことによるセキュリティ上の様々な問題を有効に防止することができる。
【００８９】
また、本実施形態によれば、通信ネットワークを構成する各ノード装置の接続順序による制約条件や、物理的な直接接続の有無についての制約条件も加味して、ノード装置間の論理接続の正当性を判断するので、通信ネットワークを構成する各ノード装置の接続管理を適切に行って、通信システムの安全性を向上させることができる。また、隣接する階層間の論理接続の依存関係を利用することにより、論理接続の遮断を迅速かつ少ないメッセージ数で行うことができる。
【００９０】
（第２の実施形態）
次に、第２の実施形態について説明する。本実施形態は、ノード装置間の論理接続を確立するための制約条件が、上述した第１の実施形態と一部相違している。なお、通信システムおよびそれを構成する各ノード装置、認証サーバＡＳ、トポロジー検証サーバＴＳの構成や基本的な動作は、上述した第１の実施形態と同様である。以下では、本実施形態に特徴的な部分についてのみ説明する。
【００９１】
図１３は、本実施形態におけるトポロジー検証サーバＴＳのトポロジー情報保持部３０１が保持するトポロジー情報の一例を示す概念図である。この図１３に例示するトポロジー情報は、論理接続番号と、通信ネットワーク上で主体ノードとなり得るノード装置Ｎｘの識別情報（主体ノード識別情報）、この主体ノードに対して従属ノードとなるノード装置の識別情報（従属ノード識別情報）、物理接続性要求フラグ、接続制約ベクトル集合および接続順位フラグの６つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表わされる。図１３の例では、図９に示した例と同様に、初段ノード装置Ｎ１１の識別情報を「ｎ１１」、第２段ノード装置Ｎ２１の識別情報を「ｎ２１」、第２段ノード装置Ｎ２２の識別情報を「ｎ２２」、第３段ノード装置Ｎ３１の識別情報を「ｎ３１」、第３段ノード装置Ｎ３２の識別情報を「ｎ３２」、第３段ノード装置Ｎ３３の識別情報を「ｎ３３」と表わしている。
【００９２】
論理接続番号は、トポロジー情報にレコードされた各エントリの論理接続関係の番号を示している。図１３の例では、第１段ノード装置Ｎ１１と第２段ノード装置Ｎ２１との間の論理接続（ｎ１１，ｎ２１）に対して論理接続番号「１」が付与され、第１段ノード装置Ｎ１１と第２段ノード装置Ｎ２２との間の論理接続（ｎ１１，ｎ２２）に対して論理接続番号「２」が付与されている。また、第２段ノード装置Ｎ２１と第３段ノード装置Ｎ３１との間の論理接続（ｎ２１，ｎ３１）に対して論理接続番号「３」が付与され、第２段ノード装置Ｎ２１と第３段ノード装置Ｎ３２との間の論理接続（ｎ２１，ｎ３２）に対して論理接続番号「４」が付与されている。また、第２段ノード装置Ｎ２２と第３段ノード装置Ｎ３２との間の論理接続（ｎ２２，ｎ３２）に対して論理接続番号「５」が付与され、第２段ノード装置Ｎ２２と第３段ノード装置Ｎ３３との間の論理接続（ｎ２２，ｎ３３）に対して論理接続番号「６」が付与されている。
【００９３】
物理接続性要求フラグおよび接続状態フラグは、図９に示した例と同様である。つまり、物理接続性要求フラグは、主体ノードと従属ノードとの間の論理接続のために、これらノード間で物理的な直接接続が必要であるか否かを示し、接続状態フラグは、主体ノードと従属ノードとの間で、現在、論理接続が確立された状態にあるか否かを示している。また、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、図９に示した例と同様に、物理接続要求フラグの代わりに、０以上の整数で表わされるトポロジー階層レベルを使用してもよく、その場合、トポロジー階層レベルの値「０」は物理接続要求フラグの値「１」に対応し、それ以外のトポロジー階層レベルの値は物理接続要求フラグの値「０」に対応する。
【００９４】
接続制約ベクトル集合は、各エントリの論理接続を確立するための制約条件に関する情報であり、通信ネットワーク上で許容される他のすべての論理接続との関係を表した情報である。ある論理接続番号の論理接続が正当かどうかを判断する際は、その論理接続番号に対応する接続制約ベクトル集合が参照される。
【００９５】
接続制約ベクトル集合は、値「０」または「１」の要素を持つＮ次元ベクトルである接続制約ベクトルの集合で表わされる。ここで、Ｎはトポロジー情報テーブル内のレコードの総数である。ある論理接続に対する接続制約ベクトル集合における各接続制約ベクトルは要素制約条件を表し、これらの要素制約条件の論理和がこの論理接続に対する接続制約条件となる。接続制約ベクトルのｉ番目の要素の値が「１」のとき、論理接続番号ｉに対応する論理接続の接続状態フラグの値が「１」となっている必要があることを意味し、接続制約ベクトルのｉ番目の要素の値が「０」のとき、論理接続番号ｉに対応する論理接続の接続状態フラグの値が「１」となっている必要がないことを意味する。
【００９６】
例えば、論理接続番号が「３」の論理接続（ｎ２１，ｎ３１）、つまり、主体ノードが第２段ノード装置Ｎ２１、従属ノードが第３段ノード装置Ｎ３１の場合の論理接続についての接続制約ベクトル集合は、｛（１，１，０，０，０，０）｝となっている。これは、論理接続番号が「３」の論理接続を確立するには、論理接続番号が「１」の論理接続（ｎ１１，ｎ２１）の接続フラグの値と、論理接続番号が「２」の論理接続（ｎ１１，ｎ２２）の接続状態フラグの値とが、ともに「１」となっている必要があることを意味する。
【００９７】
また、論理接続番号が「４」の論理接続（ｎ２１，ｎ３２）、つまり、主体ノードが第２段ノード装置Ｎ２１、従属ノードが第３段ノード装置Ｎ３２の場合の論理接続についての接続制約ベクトル集合は、｛（１，１，１，０，０，０）、（１，１，０，０，１，０）｝となっている。これは、論理接続番号が「４」の論理接続を確立するには、論理接続番号が「１」の論理接続（ｎ１１，ｎ２１）の接続フラグの値と、論理接続番号が「２」の論理接続（ｎ１１，ｎ２２）の接続状態フラグの値とが、ともに「１」となっており、かつ、論理接続番号が「３」の論理接続（ｎ２１，ｎ３１）の接続フラグの値、あるいは、論理接続番号が「５」の論理接続（ｎ２２，ｎ３３）の接続状態フラグの値のいずれかが「１」となっている必要があることを意味する。
【００９８】
本実施形態のトポロジー検証サーバＴＳは、ノード装置Ｎｘからトポロジー検証情報を受信部３０３が受信すると、判断部３０４が、このトポロジー検証情報を図１３に例示したような接続制約ベクトル集合の情報を含むトポロジー情報と照合し、主体ノードであるノード装置Ｎｘと従属ノードであるノード装置との論理接続の正当性の判断（ネットワークトポロジーの検証）を行う。
【００９９】
具体的には、判断部３０４は、まず、第１の実施形態と同様に、トポロジー検証情報に含まれる主体ノード識別情報と従属ノード識別情報の組み合わせをキーとしてトポロジー情報を検索し、これら主体ノードと従属ノードとの間の論理接続に関するエントリの有無を確認する。ここで、トポロジー情報に該当するエントリがなければ、これら主体ノードと従属ノードとの間の論理接続は通信ネットワーク上で想定されていないものであるため、正当でないと判断する。
【０１００】
また、判断部３０４は、該当するエントリがトポロジー情報に存在する場合は、これら主体ノードと従属ノードとの間の論理接続を確立するための制約条件を満足しているか否かの判断を行う。すなわち、判断部３０４は、第１の実施形態と同様に、該当するエントリの物理接続性要求フラグと、トポロジー検証情報に含まれる物理接続フラグとの照合を行い、物理接続性要求フラグの値が「１」、物理接続フラグの値が「０」の場合には、これら主体ノードと従属ノードとの間の論理接続を確立するのに必要な物理的な直接接続が存在しないため、正当でないと判断する。
【０１０１】
また、判断部３０４は、該当するエントリの接続制約ベクトル集合を参照して、この論理接続を確立する前に確立されているべき他の論理接続の論理接続番号を特定する。そして、この特定した論理接続に関する接続状態フラグを参照して、接続状態フラグの値が「０」となるものがあれば、上記の主体ノードと従属ノードとの間の論理接続よりも前に確立されるべき論理接続が確立されていない状態にあるため、正当でないと判断する。
【０１０２】
以上のように、本実施形態によれば、任意のノード間の論理接続について、その論理接続を確立するための制約条件となる他の論理接続との関係も考慮してノード装置間の論理接続の正当性を判断するので、通信ネットワークを構成する各ノード装置の接続管理を適切に行って、通信システムの安全性を向上させることができる。
【０１０３】
（第３の実施形態）
次に、第３の実施形態について説明する。本実施形態は、トポロジー検証サーバＴＳのトポロジー情報保持部３０１が保持するトポロジー情報の構成が、上述した第１および第２の実施形態と相違している。なお、通信システムおよびそれを構成する各ノード装置、認証サーバＡＳ、トポロジー検証サーバＴＳの構成や基本的な動作は、上述した第１の実施形態と同様である。以下では、本実施形態に特徴的な部分についてのみ説明する。
【０１０４】
図１４は、トポロジー情報保持部３０１が保持するトポロジー情報の一例を示す概念図である。この図１４に例示するトポロジー情報は、図９と同様に、通信ネットワーク上で主体ノードとなり得るノード装置Ｎｘの識別情報（主体ノード識別情報）と、この主体ノードに対して従属ノードとなるノード装置の識別情報（従属ノード識別情報）、物理接続性要求フラグ、接続グループ、接続順位および接続順位フラグの６つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表わされる。ただし、図９の例と異なり、テーブルの各エントリの従属ノード識別情報の値がワイルドカード（＊）になっている。これは、同じ接続グループに属するエントリの主体ノード識別情報で識別されるノード装置はお互いにどのようなトポロジーで接続してもよい（メッシュ接続が可能）ことを表している。図１４において、ノード装置ｎ１１、ｎ１２、ｎ１３はメッシュ接続が可能である。また、ノード装置ｎ２１、ｎ２２、ｎ２３もメッシュ接続が可能である。図１４はまた論理接続がまだ一つも確立していない状態を表している。従属ノード識別情報の値がワイルドカードであるような論理接続のエントリは静的に作成され、これを基に従属ノード識別情報の値がワイルドカードでないような論理接続のエントリが動的に生成または削除される。また、図１４において、接続順序はすべてのエントリで同じとなっている。これは、同じ接続グループに属する論理接続の接続順序は任意であることを示している。
【０１０５】
図１５は、図１４の状態から動的に作成された論理接続（ｎ１１、ｎ１２）に関するトポロジー情報テーブルのエントリを示している。このエントリの従属ノード識別情報の値がワイルドカードでないため、このエントリは動的に生成および削除されることを意味する。
【０１０６】
以上のように、本実施形態によれば、任意の接続順序、任意のトポロジーを許すような接続グループをエントリ数がより小さいテーブルで形成することが可能であり、これにより、メッシュネットワークのように接続トポロジーの制約が小さいネットワークにおいてノード装置の追加や削除を効率的に行うことができるようになる。
【０１０７】
以上述べた少なくとも一つの実施形態にかかるノード装置、サーバ装置およびノード接続管理方法によれば、通信ネットワークのトポロジーも考慮した適切な機器の接続管理を実現することができる。
【０１０８】
なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、請求の範囲に記載された発明とその均等の範囲に含まれる。
【０１０９】
例えば、ノード装置Ｎｘは、認証サーバＡＳまたはトポロジー検証サーバＴＳと同一装置上に実装されていてもよい。また、認証サーバＡＳとトポロジー検証サーバＴＳは同一装置上に実装されていてもよい。
【０１１０】
また、従属ノード認証情報とトポロジー検証情報は１つのメッセージで運んでもよい。また、従属ノード認証情報は、複数のメッセージに分割して運んでもよく、その場合、従属ノード認証情報を運ぶためにノード装置Ｎｘと認証サーバＡＳ間で複数のメッセージ往復があってもよい。同様に、トポロジー検証情報は、複数のメッセージに分割して運んでもよく、その場合、トポロジー検証情報を運ぶためにノード装置Ｎｘと認証サーバＡＳ間で複数のメッセージ往復があってもよい。
【０１１１】
また、ノード装置Ｎｘと認証サーバＡＳは、中間ノードを介して通信を行ってもよい。その場合、ノード装置Ｎｘと中間ノードとの間で従属ノード認証情報を運ぶプロトコルと、中間ノードと認証サーバＡＳとの間で従属ノード認証情報を運ぶプロトコルは異なっていてもよい。また、中間ノードがトポロジー検証サーバＴＳであってもよい。
【０１１２】
同様に、ノード装置Ｎｘとトポロジー検証サーバＴＳは、中間ノードを介して通信を行ってもよい。その場合、ノード装置Ｎｘと中間ノードとの間でトポロジー検証情報を運ぶプロトコルと、中間ノードとトポロジー検証サーバＴＳとの間でトポロジー検証情報を運ぶプロトコルは異なっていてもよい。また、中間ノードが認証サーバＡＳであってもよい。
【０１１３】
また、トポロジー検証サーバＴＳは複数のサーバ機器として実現してもよい。その場合、トポロジー情報はこれらのサーバ機器によって構成される分散データベースで保持してもよい。
【０１１４】
また、従属ノード認証情報が従属ノードの識別情報を含む場合には、このノード識別情報を従属ノード識別情報として使用してもよい。
【０１１５】
また、ノード装置Ｎｘは、電力メータ、電気自動車、センサー、家電機器、および、蓄電池、太陽光発電装置、ＨＥＭＳ、ＢＥＭＳ（Ｂｕｉｌｄｉｎｇ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）、ＣＥＭＳ（Ｃｏｍｍｕｎｉｔｙ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）などのエネルギー機器の中に実装されていてもよい。
【０１１６】
また、ノード装置Ｎｘ、認証サーバＡＳ、トポロジー検証サーバＴＳにおいて特徴的な機能は、コンピュータで実行するプログラムにより実現することができる。
【符号の説明】
【０１１７】
Ｎｘ ノード装置
ＡＳ 認証サーバ（第１のサーバ装置）
ＴＳ トポロジー検証サーバ（第２のサーバ装置）
１０１ 取得部
１０２ 第１の送信部
１０３ 受信部
１０４ 接続制御部
１０５ 第２の送信部
３０１ トポロジー情報保持部
３０２ 更新部
３０３ 受信部
３０４ 判断部
３０５ 判断結果送信部
【技術分野】
【０００１】
本発明の実施の形態は、ノード装置、サーバ装置およびノード接続管理方法に関する。
【背景技術】
【０００２】
スマートグリッドと呼ばれる次世代エネルギー供給システムを構成する各種の通信ネットワークにおいては、不正な機器の使用が甚大な被害をもたらすため、通信ネットワークへの機器の接続が電力会社などによって管理されている。例えば、スマートメータをＡＭＩ（Ａｄｖａｎｃｅｄ Ｍｅｔｅｒｉｎｇ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）システムに接続する際には、電力会社がそのスマートメータに対する認証処理を行って正当性を検証する。そして、電力会社により正当性が認められたスマートメータのみが、ＡＭＩシステム上でアプリケーションデータの送受信を行えるようにしている。
【０００３】
しかしながら、このような機器の接続管理方法では、機器の正当性が認められると通信ネットワークに接続可能となるため、正当な機器が、通信ネットワーク上の本来接続が意図されていない別の機器に誤って接続された場合であっても、その機器間の論理接続が許可されてしまう。例えば、隣家のＨＥＭＳ（Ｈｏｍｅ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）が自宅のスマートメータに接続された場合であっても、隣家のＨＥＭＳの正当性が認められれば、隣家のＨＥＭＳと自宅のスマートメータとの間の論理接続が許可されて想定外の通信が行われることになってしまい、通信ネットワークに対する機器の接続管理を適切に行えないという問題点がある。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】“Guidelines for Smart Grid Cyber Security: Vol. 3, Supportive Analyses and References”, NIST Interoperability Requirements 7628, August 2010
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明が解決しようとする課題は、通信ネットワークのトポロジーも考慮して適切な機器の接続管理を行えるようにするノード装置、サーバ装置およびノード接続管理方法を提供することである。
【課題を解決するための手段】
【０００６】
実施の形態のノード装置は、通信ネットワークを構成するノード装置である。このノード装置は、取得部と、第１の送信部と、受信部と、接続制御部と、を備える。取得部は、論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記従属ノードから、前記従属ノードの認証に用いる従属ノード認証情報および前記従属ノードの識別情報を取得する。第１の送信部は、前記従属ノード認証情報を、前記通信ネットワーク上のノードの認証を行う第１のサーバ装置に送信するとともに、前記従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、前記通信ネットワーク上のノード間の論理接続が正当かどうかを判断する第２のサーバ装置に送信する。受信部は、前記従属ノード認証情報に基づいて前記第１のサーバ装置で行われた前記従属ノードの認証結果を受信するとともに、前記トポロジー検証情報に基づいて前記第２のサーバ装置で行われた前記従属ノードとの間の論理接続の正当性の判断結果を受信する。接続制御部は、前記第１のサーバ装置により前記従属ノードが認証され、かつ、前記第２のサーバ装置により前記従属ノードとの間の論理接続が正当であると判断された場合に、前記従属ノードとの間の論理接続を確立する。
【０００７】
また、実施の形態のサーバ装置は、通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置である。このサーバ装置は、保持部と、受信部と、判断部と、送信部と、を備える。保持部は、前記通信ネットワークにおいて論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持する。受信部は、前記通信ネットワーク上の任意の主体ノードが当該主体ノードに対して論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記主体ノードから、前記従属ノードの識別情報および前記主体ノードの識別情報を含むトポロジー検証情報を受信する。判断部は、前記トポロジー検証情報を前記トポロジー情報と照合し、前記従属ノードと前記主体ノードとの間の論理接続の正当性を判断する。送信部は、前記従属ノードと前記主体ノードとの間の論理接続の正当性の判断結果を、前記主体ノードに送信する。
【図面の簡単な説明】
【０００８】
【図１】通信ネットワークの全体構成図。
【図２】ノード装置の内部的な機能構成を示す機能ブロック図。
【図３】トポロジー検証情報の一例を示す概念図。
【図４】ノード装置の動作を説明するフローチャート。
【図５】認証サーバの内部的な機能構成を示す機能ブロック図。
【図６】認証情報の一例を示す概念図。
【図７】認証サーバの動作を説明するフローチャート。
【図８】トポロジー検証サーバの内部的な機能構成を示す機能ブロック図。
【図９】トポロジー情報の一例を示す概念図。
【図１０】トポロジー検証サーバの動作を説明するフローチャート。
【図１１】通信ネットワーク全体における一連の動作の具体例を説明するシーケンス図。
【図１２】通信ネットワーク全体における一連の動作の具体例を説明するシーケンス図。
【図１３】トポロジー情報の他の例を示す概念図。
【図１４】トポロジー情報の他の例を示す概念図。
【図１５】トポロジー情報の他の例を示す概念図。
【発明を実施するための形態】
【０００９】
（第１の実施形態）
図１は、第１の実施形態のノード装置およびサーバ装置を含む通信ネットワークの全体構成図である。この通信ネットワークは、複数のノード装置Ｎ１１，Ｎ２１，Ｎ２２，Ｎ３１，Ｎ３２，Ｎ３３と、各ノード装置の認証を行う認証サーバ（第１のサーバ装置）ＡＳと、ネットワークトポロジーの検証を行ってノード間の論理接続が正当かどうかを判断するトポロジー検証サーバ（第２のサーバ装置）ＴＳと、を備える。
【００１０】
この図１に示す通信ネットワークにおいて、複数のノード装置は、論理接続の関係が階層構造となる無閉路有向グラフトポロジーを有する。階層の最上位となるノードが初段ノード装置Ｎ１１であり、初段ノード装置Ｎ１１の下位のノードとして、２つの第２段ノード装置Ｎ２１，Ｎ２２が初段ノード装置Ｎ１１に対して論理接続される。また、第２段ノード装置Ｎ２１の下位のノードとして、２つの第３段ノード装置Ｎ３１，Ｎ３２が第２段ノード装置Ｎ２１に対して論理接続され、第２段ノードＮ２２の下位のノードとして、２つの第３段ノード装置Ｎ３２，Ｎ３３が第２段ノードＮ２２に対して論理接続される。
【００１１】
一般に論理接続には方向性があり、図１中の矢印は、この論理接続の方向を示している。本明細書においては、２つのノード装置間で論理接続関係が上位のノード装置を「主体ノード」と呼び、論理接続関係が下位のノード装置を「従属ノード」と呼ぶ。すなわち、図１に示す通信ネットワークにおいて、初段ノード装置Ｎ１１の従属ノードは第２段ノード装置Ｎ２１，Ｎ２２であり、第２段ノード装置Ｎ２１の従属ノードは第３段ノード装置Ｎ３１，Ｎ３２であり、第２段ノード装置Ｎ２２の従属ノードは第３段ノード装置Ｎ３２，Ｎ３３である。第３段ノード装置Ｎ３１，Ｎ３２，Ｎ３３は、従属ノードを持たない。
【００１２】
第３段ノード装置Ｎ３１，Ｎ３２，Ｎ３３は、それぞれ、自ノードに対して主体ノードとなる第２段ノード装置Ｎ２１，Ｎ２２と、第２段ノード装置Ｎ２１，Ｎ２２に対して主体ノードとなる初段ノード装置Ｎ１１とを経由することで、認証サーバＡＳやトポロジー検証サーバＴＳとの間のデータ送受信が可能となる。また、第２段ノード装置Ｎ２１，Ｎ２２は、自ノードに対して主体ノードとなる初段ノード装置Ｎ１１を経由することで、認証サーバＡＳやトポロジー検証サーバＴＳとの間のデータ送受信が可能となる。なお、図１では、初段ノード装置Ｎ１１に対して認証サーバＡＳとトポロジー検証サーバＴＳとが直列に接続された構成を示しているが、認証サーバＡＳとトポロジー検証サーバＴＳを初段ノード装置Ｎ１１に対して並列に接続する構成であってもよい。また、図１に示す通信ネットワークでは、２つのノード装置間に論理接続は最大１つだけ存在するものとしているが、２つのノード装置間で方向の異なる２つの論理接続が存在することも可能である。この場合、論理接続の方向に従って、主体ノードと従属ノードとが入れ替わる。
【００１３】
一般に、グラフトポロジーは階層化が可能である。第（Ｎ−１）階層のグラフトポロジーにおいて少なくとも１つの経路が存在するような任意の２つのノード間で第Ｎ階層の論理接続を定義することが可能であり、第Ｎ階層のある論理接続Ｘを構成する第（Ｎ−１）階層のグラフトポロジーの経路すべてが第（Ｎ−１）階層のある論理接続Ｙを経由する場合、論理接続Ｘは論理接続Ｙに依存すると呼ぶ。例えば、図１に示す通信ネットワークは第０階層のグラフトポロジーを表しており、この上位に、初段ノード装置Ｎ１１を主体ノードとし第３段ノード装置Ｎ３１を従属ノードとする論理接続を持つ第１階層のグラフトポロジーを定義することが可能である。この場合、初段ノード装置Ｎ１１を主体ノードとし第３段ノード装置Ｎ３１を従属ノードとする第１階層のグラフトポロジーの論理接続は、初段ノード装置Ｎ１１を主体ノードとし第２段ノード装置Ｎ２１を従属ノードとする第０階層のグラフトポロジーの論理接続、および、第２段ノード装置Ｎ２１を主体ノードと第３段ノード装置Ｎ３１を従属ノードとする第０階層のグラフトポロジーの論理接続の両方に依存する。第Ｎ階層のグラフトポロジーの論理接続は、単に第Ｎ階層の論理接続とも書き表される。
【００１４】
図１に示す通信ネットワークは、例えば、スマートグリッドにおけるＡＭＩシステムとして構成することができる。この場合、初段ノード装置Ｎ１１の一例として、μＥＭＳ（Ｍｉｃｒｏ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）や、ＭＤＭＳ（Ｍｅｔｅｒ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）サーバなどが挙げられる。また、第２段ノード装置Ｎ２１の一例として、スマートメータが挙げられる。また、第２段ノード装置Ｎ２２の一例として、ＣＥＭＳ（Ｃｏｍｍｕｎｉｔｙ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）が挙げられる。また、第３段ノード装置Ｎ３１の一例として、電気自動車が挙げられる。また、第３段ノード装置Ｎ３２の一例として、ＨＥＭＳ（Ｈｏｍｅ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）が挙げられる。また、第３段ノードＮ３３の一例として、蓄電池が挙げられる。
【００１５】
これらの各ノード装置は、それぞれ、他のノード装置との間でＭＡＣ層またはＰＨＹ層において物理的に直接接続するための機能を有する。ＭＡＣ層での物理的な直接接続の一例としては、例えば、所定のデータリンクプロトコルフレームをノード装置間で送受信することが挙げられる。また、ＰＨＹ層での物理的な直接接続の一例としては、例えば、ノード装置間で無線電波を送受信することが挙げられる。
【００１６】
図２は、図１に示した通信ネットワークにおいて、従属ノードを有する（つまり、主体ノードとなり得る）初段ノード装置Ｎ１１および第２段ノード装置Ｎ２１，Ｎ２２に共通の内部的な機能構成を示す機能ブロック図である。これら初段ノード装置Ｎ１１および第２段ノード装置Ｎ２１，Ｎ２２（以下、特にこれらを区別する必要がない場合は、ノード装置Ｎｘと総称する。）は、例えば、ＣＰＵやＲＯＭ、ＲＡＭ、入出力回路などを備えたマイクロコンピュータを備え、ＣＰＵがＲＡＭをワークエリアとして利用して、ＲＯＭに格納された制御プログラムを実行することによって、従属ノードとの間の論理接続の確立に関わる主体ノードとしての制御機能として、取得部１０１、第１の送信部１０２、受信部１０３、接続制御部１０４および第２の送信部１０５の各機能を実現する。
【００１７】
取得部１０１は、従属ノードとの間で論理接続を確立するのに先立ち、従属ノードから、従属ノードの認証に用いる従属ノード認証情報および従属ノードの識別情報を取得する。従属ノード認証情報としては、一般的なネットワークアクセス認証に用いる認証情報を利用することができる。また、従属ノードの識別情報としては、例えば、従属ノードのＩＰアドレスやＭＡＣアドレスを利用することができる。
【００１８】
第１の送信部１０２は、取得部１０１が取得した従属ノード認証情報を認証サーバＡＳに送信するとともに、取得部１０１が取得した従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、トポロジー検証サーバＴＳに送信する。
【００１９】
図３は、トポロジー検証情報の一例を示す概念図である。トポロジー検証情報は、一例として、主体ノード識別情報と、従属ノード識別情報と、物理接続フラグとを含む。従属ノード識別情報は、上記の取得部１０１が取得した従属ノードの識別情報であり、主体ノード識別情報は、この従属ノードに対して主体ノードとなる自ノードの識別情報である。自ノードの識別情報としては、例えば、自ノードのＩＰアドレスやＭＡＣアドレスを利用することができる。また、物理接続フラグは、従属ノードが自ノードに対して物理的に直接接続されているか否かを示す１ビットの情報であり、従属ノードと自ノードとの間で上述したＭＡＣ層またはＰＨＹ層での物理的な直接接続が存在する場合には「１」、存在しない場合には「０」となる。なお、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、物理フラグの代わりに、０以上の整数で表わされるトポロジー階層レベルを使用してもよく、その場合、トポロジー階層レベルの値「０」は物理接続フラグの値「１」に対応し、それ以外のトポロジー階層レベルの値は物理接続フラグの値「０」に対応する。
【００２０】
第１の送信部１０２は、従属ノードが自ノードに対して物理的に直接接続されているか否かを判断し、自ノードの識別情報である主体ノード識別情報に、取得部１０１が取得した従属ノード識別情報と、従属ノードとの間の物理的な直接接続の有無を示す物理接続フラグとを付加してトポロジー検証情報を生成し、生成したトポロジー検証情報を、トポロジー検証サーバＴＳに送信する。
【００２１】
受信部１０３は、従属ノード認証情報に基づいて認証サーバＡＳで行われた従属ノードの認証結果を受信するとともに、トポロジー検証情報に基づいてトポロジー検証サーバＴＳで行われたトポロジー検証処理の結果、つまり、従属ノードと自ノードとの間の論理接続の正当性の判断結果を受信する。
【００２２】
接続制御部１０４は、認証サーバＡＳにより従属ノードが認証され、かつ、トポロジー検証サーバＴＳにより従属ノードと自ノードとの間の論理接続が正当であると判断された場合に、従属ノードとの間の論理接続を確立する。つまり、接続制御部１０４は、認証サーバＡＳにより従属ノードが認証され、認証成功の認証結果を受信部１０３が受信した場合であっても、トポロジー検証サーバＴＳにより従属ノードと自ノードとの間の論理接続が正当でないと判断され、トポロジー検証失敗の検証結果を受信部１０３が受信すると、従属ノードとの間の論理接続を確立しない。接続制御部１０４は、この従属ノードの識別情報を一定時間記憶しておき、この間同じ従属ノードからの接続要求を直ちに拒否することも可能である。ここで、トポロジー検証サーバＴＳにより従属ノードと自ノードとの間の論理接続が正当でないと判断されるのは、例えば、従属ノードと自ノードとの論理接続が想定されていない場合や、従属ノードと自ノードとの間の論理接続を確立するための予め定められた制約条件（例えば、通信ネットワーク上の各ノード装置間の論理接続の順番や、物理的な直接接続の有無などの条件）を満たしていない場合などが挙げられる。なお、トポロジー検証サーバＴＳによるトポロジー検証の詳細は後述する。
【００２３】
第２の送信部１０５は、接続制御部１０４によって従属ノードとの間の論理接続が確立された場合に、従属ノードとの間で論理接続が確立されている状態であることを示す接続状態更新情報をトポロジー検証サーバＴＳに送信するとともに、この従属ノードとの間の論理接続が解除された場合に、従属ノードとの間で論理接続が確立されていない状態であることを示す接続状態更新情報をトポロジー検証サーバＴＳに送信する。このように、第２の送信部１０５は、従属ノードとの間での論理接続の状態に関して、「確立」または「遮断」のいずれかを示すための接続状態更新情報を、トポロジー検証サーバＴＳに送信する。
【００２４】
図４は、ノード装置Ｎｘの動作を説明するフローチャートである。この図４のフローチャートで示す一連の処理は、ノード装置Ｎｘが従属ノードとなる他のノード装置から論理接続要求を受信した場合に開始される。
【００２５】
処理が開始されると、まずステップＳ１０１において、取得部１０１が、従属ノードから従属ノード認証情報と従属ノードの識別情報とを取得する。
【００２６】
次に、ステップＳ１０２において、第１の送信部１０２が、自ノードの識別情報である主体ノード識別情報に、ステップＳ１０１で取得された従属ノード識別情報と、従属ノードとの間の物理的な直接接続の有無を示す物理接続フラグを付加して、トポロジー検証情報を生成する。そして、第１の送信部１０２は、ステップＳ１０１で取得された従属ノード認証情報を認証サーバＡＳに送信するとともに、生成したトポロジー検証情報をトポロジー検証サーバＴＳに送信する。
【００２７】
次に、ステップＳ１０３において、受信部１０３が、認証サーバＡＳから従属ノードの認証結果Ｘを受信するとともに、トポロジー検証サーバＴＳからトポロジーの検証結果Ｙを受信する。
【００２８】
次に、ステップＳ１０４において、接続制御部１０４が、ステップＳ１０３で受信した従属ノードの認証結果Ｘが認証成功を示すものであり、かつ、ステップＳ１０３で受信したトポロジーの検証結果Ｙがトポロジー検証成功を示すものであるか否かを判定する。そして、接続制御部１０４は、従属ノードの認証結果Ｘとトポロジーの検証結果Ｙのいずれかが失敗を示すものである場合には（ステップＳ１０４：Ｎｏ）、ステップＳ１０５において従属ノードとの間の論理接続の確立を拒否し、一連の処理を終了する。
【００２９】
一方、従属ノードの認証結果Ｘとトポロジーの検証結果Ｙの双方が成功を示すものである場合には（ステップＳ１０４：Ｙｅｓ）、接続制御部１０４は、ステップＳ１０６において、従属ノードとの間の論理接続の確立を承認する。そして、所定時間が経過する前に従属ノードとの間の論理接続が確立されると（ステップＳ１０７：Ｙｅｓ、ステップＳ１０８：Ｎｏ）、ステップＳ１０９において、第２の送信部１０５が、従属ノードとの間で論理接続が確立されている状態であることを示す接続状態更新情報をトポロジー検証サーバＴＳに送信し、一連の処理を終了する。
【００３０】
一方、接続制御部１０４が従属ノードとの間の論理接続の確立を承認したにも関わらず、従属ノードとの間の論理接続が確立することなく所定時間が経過した場合には（ステップＳ１０７：Ｎｏ、ステップＳ１０８：Ｙｅｓ）、そのまま処理を終了する。ここで、従属ノードとの間の論理接続が確立することなく所定時間が経過するのは、例えば、従属ノードからノード装置Ｎｘに対して論理接続要求が誤って送信された場合などである。また、ノード装置Ｎｘと従属ノードとの間で物理的な直接接続がない状態で、トポロジー検証サーバＴＳではトポロジー検証が成功したが、ノード装置Ｎｘが、従属ノードとの間で論理接続を確立するにあたって物理的な直接接続が必要と判断して、論理接続を確立しない場合も想定される。このような場合にも、従属ノードとの間の論理接続が確立することなく所定時間が経過して、処理が終了する。
【００３１】
次に、認証サーバＡＳについて説明する。認証サーバＡＳは、図１に示した通信ネットワーク上の各ノード装置に対する認証処理を行うサーバ装置である。
【００３２】
図５は、認証サーバＡＳの内部的な機能構成を示す機能ブロック図である。認証サーバＡＳは、例えば、通信ネットワーク上で通信を行うための通信機能を備えた一般的なコンピュータを利用したハードウェア構成を有し、認証処理用のアプリケーションプログラムを実行することにより、認証情報保持部２０１、受信部２０２、認証処理部２０３および認証結果送信部２０４の各機能を実現する。
【００３３】
認証情報保持部２０１は、通信ネットワーク上の各ノード装置に対する認証処理を行うための認証情報を保持する。
【００３４】
図６は、認証情報保持部２０１が保持する認証情報の一例を示す概念図である。この図６に例示する認証情報は、通信ネットワーク上の正当なノードとして予め定められた各ノード装置の識別情報と、そのノード装置に対する認証鍵の２つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表される。このうち、各ノード装置の識別情報は上述した従属ノード認証情報に含まれ、認証鍵は従属ノード認証情報には含まれない。図６に示す認証情報の例では、初段ノード装置Ｎ１１の識別情報を「ｎ１１」、初段ノード装置Ｎ１１に対する認証鍵を「ｋ１１」と表し、第２段ノード装置Ｎ２１の識別情報を「ｎ２１」、第２段ノード装置Ｎ２１に対する認証鍵を「ｋ２１」と表している。また、第２段ノード装置Ｎ２２の識別情報を「ｎ２２」、第２段ノード装置Ｎ２２に対する認証鍵を「ｋ２２」と表し、第３段ノード装置Ｎ３１の識別情報を「ｎ３１」、第３段ノード装置Ｎ３１に対する認証鍵を「ｋ３１」と表している。また、第３段ノード装置Ｎ３２の識別情報を「ｎ３２」、第３段ノード装置Ｎ３２に対する認証鍵を「ｋ３２」と表し、第３段ノード装置Ｎ３３の識別情報を「ｎ３３」、第３段ノード装置Ｎ３３に対する認証鍵を「ｋ３３」と表わしている。
【００３５】
受信部２０２は、上記のノード装置Ｎｘから、従属ノード認証情報を受信する。従属ノード認証情報は、上述したように、一般的なネットワークアクセス認証に用いる認証情報が利用できる。ここでは、従属ノード認証情報が、従属ノードの識別情報を含んでいるものとして説明する。
【００３６】
認証処理部２０３は、受信部２０２がノード装置Ｎｘから受信した従属ノード認証情報を、認証情報保持部２０１が保持する認証情報と照合し、ノード装置Ｎｘに対して従属ノードとなるノード装置に対する認証処理を行う。認証情報の照合方法として、例えば共通鍵が認証鍵である場合には、ノード装置Ｎｘから受信した従属ノード認証情報はノード装置Ｎｘが自身の共通鍵を用いて計算した署名を含んでおり、認証処理部２０３は、受信した従属ノード認証情報に対してノード装置Ｎｘに対する共通鍵を用いて計算した署名と、受信した従属ノード認証情報に含まれる署名が一致した場合に、照合が成功したとみなす。この場合、ノード装置Ｎｘから受信する従属ノード認証情報には共通鍵は含まない。
【００３７】
認証結果送信部２０４は、従属ノード認証情報に基づいて認証処理部２０３が実施した認証処理の結果、つまり、ノード装置Ｎｘに対して従属ノードとなるノード装置の認証結果を、ノード装置Ｎｘに対して送信する。
【００３８】
図７は、認証サーバＡＳの動作を説明するフローチャートである。まず、ステップＳ２０１において、受信部２０２が、ノード装置Ｎｘから送信された従属ノード認証情報を受信する。次に、ステップＳ２０２において、認証処理部２０３が、ステップＳ２０１で受信した従属ノード認証情報を、認証情報保持部２０１が保持する認証情報と照合することで、従属ノードが通信ネットワーク上のノードとして正当かどうかの認証処理を行う。
【００３９】
次に、ステップＳ２０３において、認証結果送信部２０４が、ステップＳ２０２で従属ノードが正当なノードとして認証されたか否かを判定し、従属ノードが認証されていれば（ステップＳ２０３：Ｙｅｓ）、ステップＳ２０４において、ノード装置Ｎｘに対して認証成功を示す認証結果Ｘを送信する。一方、従属ノードが正当なノードとして認証されなかった場合には（ステップＳ２０３：Ｎｏ）、認証結果送信部２０４は、ステップＳ２０５において、ノード装置Ｎｘに対して認証失敗を示す認証結果Ｘを送信する。
【００４０】
次に、トポロジー検証サーバＴＳについて説明する。トポロジー検証サーバＴＳは、ネットワークトポロジーの検証により、通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置である。
【００４１】
図８は、トポロジー検証サーバＴＳの内部的な機能構成を示す機能ブロック図である。トポロジー検証サーバＴＳは、例えば、通信ネットワーク上で通信を行うための通信機能を備えた一般的なコンピュータを利用したハードウェア構成を有し、トポロジー検証用のアプリケーションプログラムを実行することにより、トポロジー情報保持部３０１、更新部３０２、受信部３０３、判断部３０４および判断結果送信部３０５の各機能を実現する。
【００４２】
トポロジー情報保持部３０１は、トポロジー検証サーバＴＳがトポロジーの検証を行う通信ネットワークにおいて、論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持する。
【００４３】
図９は、トポロジー情報保持部３０１が保持するトポロジー情報の一例を示す概念図である。この図９に例示するトポロジー情報は、通信ネットワーク上で主体ノードとなり得るノード装置Ｎｘの識別情報（主体ノード識別情報）と、この主体ノードに対して従属ノードとなるノード装置の識別情報（従属ノード識別情報）、物理接続性要求フラグ、接続グループ、接続順位および接続状態フラグの６つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表わされる。図９の例では、初段ノード装置Ｎ１１の識別情報を「ｎ１１」、第２段ノード装置Ｎ２１の識別情報を「ｎ２１」、第２段ノード装置Ｎ２２の識別情報を「ｎ２２」、第３段ノード装置Ｎ３１の識別情報を「ｎ３１」、第３段ノード装置Ｎ３２の識別情報を「ｎ３２」、第３段ノード装置Ｎ３３の識別情報を「ｎ３３」と表わしている。
【００４４】
図９に例示するトポロジー情報から、図１に示した通信ネットワークでは、初段ノード装置Ｎ１１（主体ノード）と第２段ノード装置Ｎ２１（従属ノード）、初段ノード装置Ｎ１１（主体ノード）と第２段ノード装置Ｎ２２（従属ノード）、第２段ノード装置Ｎ２１（主体ノード）と第３段ノード装置Ｎ３１（従属ノード）、第２段ノード装置Ｎ２１（主体ノード）と第３段ノード装置Ｎ３２（従属ノード）、第２段ノード装置Ｎ２２（主体ノード）と第３段ノード装置Ｎ３２（従属ノード）、第２段ノード装置Ｎ２２（主体ノード）と第３段ノード装置Ｎ３３（従属ノード）との間で、それぞれ論理接続が許容されることが分かる。
【００４５】
物理接続性要求フラグは、主体ノードと従属ノードとの間の論理接続のためにこれら２つのノード間でＭＡＣ層またはＰＨＹ層での物理的な直接接続が存在している必要があるかどうかを示す１ビットの情報であり、それぞれのエントリの主体ノードと従属ノードとの間の論理接続のために物理的な直接接続が必要な場合に「１」、物理的な直接接続が必要でない場合に「０」となる。図９の例では、すべてのエントリの物理接続性要求フラグが「１」となっており、すべての論理接続において、主体ノードと従属ノードとの間で物理的な直接接続が存在することが、論理接続を確立するための条件となっていることが分かる。なお、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、物理接続要求フラグの代わりに、０以上の整数で表わされるトポロジー階層レベルを使用してもよく、その場合、トポロジー階層レベルの値「０」は物理接続要求フラグの値「１」に対応し、それ以外のトポロジー階層レベルの値は物理接続要求フラグの値「０」に対応する。
【００４６】
接続グループリストは、後述する接続順位が有効となる論理接続の集合である接続グループを表した情報であり、各接続グループに対応する０以上の整数の集合で表わされる。ここでは、図１に示した通信ネットワークに接続グループ「０」と接続グループ「１」の２つの接続グループが存在することを想定している。通信ネットワーク上の任意の主体ノードと従属ノードとの間の論理接続を（主体ノード識別情報，従属ノード識別情報）で表すと、図９に例示するトポロジー情報から、接続グループ「０」は、論理接続（ｎ１１，ｎ２１）、（ｎ１１，ｎ２２）、（ｎ２１，ｎ３１）、（ｎ２１，ｎ３２）、（ｎ２２，ｎ３２）で構成され、接続グループ「１」は、論理接続（ｎ１１，ｎ２２）、（ｎ２２，ｎ３３）で構成されることが分かる。
【００４７】
接続順位は、接続グループリストで示される接続グループ内での論理接続の順序を指定する情報である。この接続順位には正数が入り、接続順位の値がｘである主体ノードと従属ノードとの間の論理接続を確立するためには、同じ接続グループ内で接続順位の値がｘ未満である他の論理接続が確立されていることが条件となる。図９に示す例では、論理接続（ｎ２１，ｎ３２）を確立するには、同じ接続グループ「０」に属する論理接続（ｎ２１，ｎ３１）、（ｎ２２，ｎ３２）が確立されていることが条件となり、論理接続（ｎ２１，ｎ３１）、（ｎ２２，ｎ３２）を確立するには、同じ接続グループ「０」に属する論理接続（ｎ１１，ｎ２１）、（ｎ１１，ｎ２２）が確立されていることが条件となる。また、論理接続（ｎ２２，ｎ３３）を確立するには、同じ接続グループ「１」に属する論理接続（ｎ１１，ｎ２２）が確立されていることが条件となる。
【００４８】
接続状態フラグは、主体ノードと従属ノードとの間で、現在、論理接続が確立された状態にあるか否かを示す１ビットの情報であり、それぞれのエントリの主体ノードと従属ノードとの間で論理接続が確立された状態にあれば「１」、論理接続が確立されていない状態であれば「０」となる。上記の接続順位による制約条件は、この接続状態フラグを参照することで判定することができる。
【００４９】
更新部３０２は、上述したノード装置Ｎｘから送信された接続状態更新情報に基づいて、トポロジー情報保持部３０１が保持するトポロジー情報のうち、接続状態フラグを更新する。つまり、更新部３０２は、上述したノード装置Ｎｘが従属ノードとの間での論理接続を確立したことを示す接続状態更新情報を送信した場合には、トポロジー情報の接続状態フラグを「０」から「１」に書き換え、上述したノード装置Ｎｘが従属ノードとの間での論理接続を遮断したことを示す接続状態更新情報を送信した場合には、トポロジー情報の接続状態フラグを「１」から「０」に書き換える。これにより、トポロジー情報の接続状態フラグは、常に通信ネットワークにおけるノード間の論理接続の最新の状態を反映したものとなる。さらに、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、第（Ｎ−１）階層の論理接続に対するトポロジー情報の接続状態フラグが「１」から「０」に書き換えられると、この論理接続に依存しかつトポロジー情報の接続状態フラグが「１」であるような第Ｎ階層の論理接続のそれぞれに対するトポロジー情報の接続状態フラグを「０」に書き替える。このような隣接する階層間の論理接続の依存関係を考慮した接続状態フラグの書き換えを行う場合には、接続状態更新情報はトポロジー検証サーバＴＳが管理する最低階層の論理接続についてのみ送信すればよい。
【００５０】
受信部３０３は、通信ネットワーク上の任意の主体ノードであるノード装置Ｎｘが従属ノードとの間で論理接続を確立するのに先立って送信したトポロジー検証情報を受信する。このトポロジー検証情報には、上述したように、当該トポロジー情報を送信したノード装置Ｎｘの識別情報である主体ノード識別情報と、このノード装置Ｎｘが論理接続を確立しようとする従属ノードの識別情報である従属ノード識別情報と、これら主体ノードと従属ノードとの間での物理的な直接接続の有無を示す物理接続フラグとが含まれている。
【００５１】
判断部３０４は、受信部３０３がノード装置Ｎｘから受信したトポロジー検証情報を、トポロジー情報保持部３０１が保持するトポロジー情報と照合し、主体ノードであるノード装置Ｎｘと従属ノードであるノード装置との論理接続の正当性の判断（ネットワークトポロジーの検証）を行う。
【００５２】
具体的には、判断部３０４は、まず、トポロジー検証情報に含まれる主体ノード識別情報と従属ノード識別情報の組み合わせをキーとしてトポロジー情報を検索し、これら主体ノードと従属ノードとの間の論理接続に関するエントリの有無を確認する。ここで、トポロジー情報に該当するエントリがなければ、これら主体ノードと従属ノードとの間の論理接続は通信ネットワーク上で想定されていないものであるため、正当でないと判断する。
【００５３】
また、判断部３０４は、該当するエントリがトポロジー情報に存在する場合は、これら主体ノードと従属ノードとの間の論理接続を確立するための制約条件を満足しているか否かの判断を行う。すなわち、判断部３０４は、該当するエントリの物理接続性要求フラグと、トポロジー検証情報に含まれる物理接続フラグとの照合を行い、物理接続性要求フラグの値が「１」、物理接続フラグの値が「０」の場合には、これら主体ノードと従属ノードとの間の論理接続を確立するのに必要な物理的な直接接続が存在しないため、正当でないと判断する。また、判断部３０４は、トポロジー情報の接続グループリストおよび接続順位を確認して、該当するエントリの論理接続が属する接続グループ内で、該当するエントリの論理接続よりも接続順位の値が小さい論理接続を特定する。そして、この特定した論理接続に関する接続状態フラグを参照して、接続状態フラグの値が「０」となるものがあれば、上記の主体ノードと従属ノードとの間の論理接続よりも前に確立されるべき論理接続が確立されていない状態にあるため、正当でないと判断する。
【００５４】
判断結果送信部３０５は、トポロジー検証情報に基づいて判断部３０４が実施したネットワークトポロジーの検証結果、つまり、主体ノードであるノード装置Ｎｘと従属ノードとの間の論理接続の正当性の判断結果を、ノード装置Ｎｘに対して送信する。
【００５５】
図１０は、トポロジー検証サーバＴＳの動作を説明するフローチャートである。まず、ステップＳ３０１において、受信部３０３が、ノード装置Ｎｘから送信されたトポロジー検証情報を受信する。次に、ステップＳ３０２において、判断部３０４が、ステップＳ３０１で受信したトポロジー検証情報を、トポロジー情報保持部３０１が保持するトポロジー情報と照合することで、主体ノードであるノード装置Ｎｘと従属ノードとの間の論理接続が正当かどうかの検証を行う。
【００５６】
次に、ステップＳ３０３において、判断結果送信部３０５が、ステップＳ３０２で主体ノードであるノード装置Ｎｘと従属ノードとの間の論理接続が正当であると判断されたか否かを判定し、これらの間の論理接続が正当であると判断されていれば（ステップＳ３０３：Ｙｅｓ）、ステップＳ３０４において、ノード装置Ｎｘに対して検証成功を示す検証結果Ｙを送信する。一方、ノード装置Ｎｘと従属ノードとの間の論理接続が正当でないと判断された場合には（ステップＳ３０３：Ｎｏ）、判断結果送信部３０５は、ステップＳ３０５において、ノード装置Ｎｘに対して検証失敗を示す認証結果Ｙを送信する。
【００５７】
次に、ステップＳ３０６において、更新部３０２が、ノード装置Ｎｘから接続状態更新情報が送信されたか否かを判定する。そして、ノード装置Ｎｘから接続状態更新情報が送信された場合には（ステップＳ３０６：Ｙｅｓ）、更新部３０２は、ステップＳ３０７において、ノード装置Ｎｘから送信された接続状態更新情報に従って、トポロジー情報保持部３０１が保持するトポロジー情報の接続状態フラグを書き換える。一方、ノード装置Ｎｘから接続状態更新情報が送信されない場合は（ステップＳ３０６：Ｎｏ）、そのまま処理を終了する。
【００５８】
次に、本実施形態の通信ネットワーク全体における一連の動作の具体例について説明する。図１１は、図１に示した通信ネットワークにおいて、第２段ノード装置Ｎ２１と初段ノード装置Ｎ１１との間の論理接続を確立した後、第３段ノード装置Ｎ３１と第２段ノード装置Ｎ２１との間の論理接続を確立するまでの一連の動作を示すシーケンス図である。図１に示した通信ネットワークの構成では、初段ノード装置Ｎ１１に対して、認証サーバＡＳとトポロジー検証サーバＴＳとがこの順で直列に接続されているため、初段ノード装置Ｎ１１とトポロジー検証サーバＴＳとの間のデータ送受信は、認証サーバＡＳを介して行われる。
【００５９】
図１１において、まず、第２段ノード装置Ｎ２１は、初段ノード装置Ｎ１１に対して、論理接続の確立を要求する接続要求Ｄ１０１を送信する。この接続要求Ｄ１０１には、第２段ノード装置Ｎ２１の正当性に関する従属ノード認証情報と、第２段ノード装置Ｎ２１の識別情報である従属ノード識別情報が含まれる。
【００６０】
初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１からの接続要求Ｄ１０１を受信すると、この接続要求Ｄ１０１から従属ノード認証情報と従属ノード識別情報を取り出す。そして、初段ノード装置Ｎ１１は、接続要求Ｄ１０１から取り出した従属ノード識別情報に、自ノードの識別情報である主体ノード識別情報と、物理接続フラグとを含めたトポロジー検証情報を生成する。そして、初段ノード装置Ｎ１１は、生成したトポロジー検証情報と、接続要求Ｄ１０１から取り出した従属ノード認証情報とを格納した接続要求Ｄ１０２を、認証サーバＡＳに対して送信する。
【００６１】
認証サーバＡＳは、初段ノード装置Ｎ１１からの接続要求Ｄ１０２を受信すると、この接続要求Ｄ１０２から従属ノード認証情報とトポロジー検証情報を取り出す。そして、認証サーバＡＳは、従属ノード認証情報を用いて第２段ノード装置Ｎ２１に対する認証を行い、認証に成功すると、接続要求Ｄ１０２から取り出したトポロジー検証情報を格納した検証要求Ｄ１０３を、トポロジー検証サーバＴＳに対して送信する。
【００６２】
トポロジー検証サーバＴＳは、認証サーバＡＳから検証要求Ｄ１０３を受信すると、この検証要求Ｄ１０３からトポロジー検証情報を取り出す。そして、トポロジー検証サーバＴＳは、このトポロジー検証情報を用いてネットワークトポロジーの検証を行い、第２段ノード装置Ｎ２１と初段ノード装置Ｎ１１との間の論理接続が正当であると判断すると、検証成功を示す検証結果Ｒ１０１を、認証サーバＡＳに対して送信する。
【００６３】
認証サーバＡＳは、トポロジー検証サーバＴＳからの検証結果Ｒ１０１を受信すると、この検証結果Ｒ１０１に、認証成功を示す認証結果を付加して接続応答Ｒ１０２を生成し、この接続応答Ｒ１０２を、初段ノード装置Ｎ１１に対して送信する。
【００６４】
初段ノード装置Ｎ１１は、認証サーバＡＳからの接続応答Ｒ１０２を受信すると、第２段ノード装置Ｎ２１との間での論理接続の確立を承認し、論理接続を許可することを示す接続応答Ｒ１０３を生成して、この接続応答Ｒ１０３を、第２段ノード装置Ｎ２１に対して送信する。そして、初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１との間で論理接続が確立されると、トポロジー検証サーバＴＳ宛に、第２段ノード装置Ｎ２１との間で論理接続が確立された状態であることを示す接続状態更新情報Ｄ１０４を送信する。この接続状態更新情報Ｄ１０４は、認証サーバＡＳを介してトポロジー検証サーバＴＳに送信される。
【００６５】
トポロジー検証サーバＴＳは、初段ノード装置Ｎ１１からの接続状態更新情報Ｄ１０４を受信すると、この接続状態更新情報Ｄ１０４に従ってトポロジー情報の接続状態フラグを更新する。
【００６６】
次に、第３段ノード装置Ｎ３１は、第２段ノード装置Ｎ２１に対して、論理接続の確立を要求する接続要求Ｄ１０５を送信する。この接続要求Ｄ１０５には、第３段ノード装置Ｎ３１の正当性に関する従属ノード認証情報と、第３段ノード装置Ｎ３１の識別情報である従属ノード識別情報が含まれる。
【００６７】
第２段ノード装置Ｎ２１は、第３段ノード装置Ｎ３１からの接続要求Ｄ１０５を受信すると、この接続要求Ｄ１０５から従属ノード認証情報と従属ノード識別情報を取り出す。そして、第２段ノード装置Ｎ２１は、接続要求Ｄ１０５から取り出した従属ノード識別情報に、自ノードの識別情報である主体ノード識別情報と、物理接続フラグとを含めたトポロジー検証情報を生成する。そして、第２段ノード装置Ｎ２１は、生成したトポロジー検証情報と、接続要求Ｄ１０５から取り出した従属ノード認証情報とを格納した接続要求Ｄ１０６を、初段ノード装置Ｎ１１に対して送信する。
【００６８】
初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１からの接続要求Ｄ１０６を受信すると、この接続要求Ｄ１０６からトポロジー検証情報と従属ノード識別情報を取り出す。そして、初段ノード装置Ｎ１１は、接続要求Ｄ１０６から取り出したトポロジー検証情報と従属ノード識別情報を格納した接続要求Ｄ１０７を、認証サーバＡＳに対して送信する。
【００６９】
認証サーバＡＳは、初段ノード装置Ｎ１１からの接続要求Ｄ１０７を受信すると、この接続要求Ｄ１０７から従属ノード認証情報とトポロジー検証情報を取り出す。そして、認証サーバＡＳは、従属ノード認証情報を用いて第３段ノード装置Ｎ３１に対する認証を行い、認証に成功すると、接続要求Ｄ１０７から取り出したトポロジー検証情報を格納した検証要求Ｄ１０８を、トポロジー検証サーバＴＳに対して送信する。
【００７０】
トポロジー検証サーバＴＳは、認証サーバＡＳから検証要求Ｄ１０８を受信すると、この検証要求Ｄ１０８からトポロジー検証情報を取り出す。そして、トポロジー検証サーバＴＳは、このトポロジー検証情報を用いてネットワークトポロジーの検証を行い、第３段ノード装置Ｎ３１と第２段ノード装置Ｎ２１との間の論理接続が正当であると判断すると、検証成功を示す検証結果Ｒ１０４を、認証サーバＡＳに対して送信する。
【００７１】
認証サーバＡＳは、トポロジー検証サーバＴＳからの検証結果Ｒ１０４を受信すると、この検証結果Ｒ１０４に、認証成功を示す認証結果を付加して接続応答Ｒ１０５を生成し、この接続応答Ｒ１０５を、初段ノード装置Ｎ１１に対して送信する。
【００７２】
初段ノード装置Ｎ１１は、認証サーバＡＳからの接続応答Ｒ１０５を受信すると、この接続応答Ｒ１０５から、認証成功を示す認証結果と検証成功を示す検証結果とを取り出す。そして、初段ノード装置Ｎ１１は、接続応答Ｒ１０５から取り出した認証結果および検証結果を格納した接続応答Ｒ１０６を、第２段ノード装置Ｎ２１に対して送信する。
【００７３】
第２段ノード装置Ｎ２１は、初段ノード装置Ｎ１１からの接続応答Ｒ１０６を受信すると、第３段ノード装置Ｎ３１との間での論理接続の確立を承認し、論理接続を許可することを示す接続応答Ｒ１０７を生成して、この接続応答Ｒ１０７を、第３段ノード装置Ｎ３１に対して送信する。そして、第２段ノード装置Ｎ２１は、第３段ノード装置Ｎ３１との間で論理接続が確立されると、トポロジー検証サーバＴＳ宛に、第３段ノード装置Ｎ３１との間で論理接続が確立された状態であることを示す接続状態更新情報Ｄ１０９を送信する。この接続状態更新情報Ｄ１０９は、初段ノード装置Ｎ１１および認証サーバＡＳを介してトポロジー検証サーバＴＳに送信される。
【００７４】
トポロジー検証サーバＴＳは、第２段ノード装置Ｎ２１からの接続状態更新情報Ｄ１０９を受信すると、この接続状態更新情報Ｄ１０９に従ってトポロジー情報の接続状態フラグを更新する。なお、図９に例示したトポロジー情報は、この第２段ノード装置Ｎ２１からの接続状態更新情報Ｄ１０９に従って接続状態フラグを更新した直後のトポロジー情報であり、論理接続（ｎ１１，ｎ２１）に関するエントリと論理接続（ｎ２１，ｎ３１）に関するエントリでは接続状態フラグの値が「１」、それ以外のエントリでは接続状態フラグの値が「０」となっている。
【００７５】
図１２は、トポロジー検証サーバＴＳが保持するトポロジー情報が図９の状態、つまり、第２段ノード装置Ｎ２１と初段ノード装置Ｎ１１との間の論理接続と、第３段ノード装置Ｎ３１と第２段ノード装置Ｎ２１との間の論理接続が確立された後に、第３段ノード装置Ｎ３２が第２段ノード装置Ｎ２１との間で論理接続を確立しようとした場合の一連の動作を示すシーケンス図である。
【００７６】
図１２において、まず、第３段ノード装置Ｎ３２は、第２段ノード装置Ｎ２１に対して、論理接続の確立を要求する接続要求Ｄ２０１を送信する。この接続要求Ｄ２０１には、第３段ノード装置Ｎ３２の正当性に関する従属ノード認証情報と、第３段ノード装置Ｎ３２の識別情報である従属ノード識別情報が含まれる。
【００７７】
第２段ノード装置Ｎ２１は、第３段ノード装置Ｎ３２からの接続要求Ｄ２０１を受信すると、この接続要求Ｄ２０１から従属ノード認証情報と従属ノード識別情報を取り出す。そして、第２段ノード装置Ｎ２１は、接続要求Ｄ２０１から取り出した従属ノード識別情報に、自ノードの識別情報である主体ノード識別情報と、物理接続フラグとを含めたトポロジー検証情報を生成する。そして、第２段ノード装置Ｎ２１は、生成したトポロジー検証情報と、接続要求Ｄ２０１から取り出した従属ノード認証情報とを格納した接続要求Ｄ２０２を、初段ノード装置Ｎ１１に対して送信する。
【００７８】
初段ノード装置Ｎ１１は、第２段ノード装置Ｎ２１からの接続要求Ｄ２０２を受信すると、この接続要求Ｄ２０２からトポロジー検証情報と従属ノード識別情報を取り出す。そして、初段ノード装置Ｎ１１は、接続要求Ｄ２０２から取り出したトポロジー検証情報と従属ノード識別情報を格納した接続要求Ｄ２０３を、認証サーバＡＳに対して送信する。
【００７９】
認証サーバＡＳは、初段ノード装置Ｎ１１からの接続要求Ｄ２０３を受信すると、この接続要求Ｄ２０３から従属ノード認証情報とトポロジー検証情報を取り出す。そして、認証サーバＡＳは、従属ノード認証情報を用いて第３段ノード装置Ｎ３２に対する認証を行い、認証に成功すると、接続要求Ｄ２０３から取り出したトポロジー検証情報を格納した検証要求Ｄ２０４を、トポロジー検証サーバＴＳに対して送信する。
【００８０】
トポロジー検証サーバＴＳは、認証サーバＡＳから検証要求Ｄ２０４を受信すると、この検証要求Ｄ２０４からトポロジー検証情報を取り出す。そして、トポロジー検証サーバＴＳは、このトポロジー検証情報を用いてネットワークトポロジーの検証を行い、第３段ノード装置Ｎ３２と第２段ノード装置Ｎ２１との間の論理接続の正当性を判断する。このとき、トポロジー検証サーバＴＳが保持するトポロジー情報は図９の状態であり、論理接続（ｎ１１，ｎ２１）に関するエントリと論理接続（ｎ２１，ｎ３１）に関するエントリでは接続状態フラグの値が１、それ以外のエントリでは接続状態フラグの値が０となっている。
【００８１】
ここで、図９に示したトポロジー情報を参照すると、第３段ノード装置Ｎ３２と第２段ノード装置Ｎ２１との間の論理接続（ｎ２１，ｎ３２）は接続グループ「０」に属し、接続順位の値は「３」である。そして、この論理接続（ｎ２１，ｎ３２）と同じ接続グループ「０」に属し、論理接続（ｎ２１，ｎ３２）よりも接続順位の値が小さい論理接続として、論理接続（ｎ２２，ｎ３２）が存在し、この論理接続（ｎ２２，ｎ３２）に関するエントリの接続状態フラグの値は「０」となっている。したがって、トポロジー検証サーバＴＳは、第３段ノード装置Ｎ３２と第２段ノード装置Ｎ２１との間の論理接続は正当でないと判断し、検証失敗を示す検証結果Ｒ２０１を、認証サーバＡＳに対して送信する。
【００８２】
認証サーバＡＳは、トポロジー検証サーバＴＳからの検証結果Ｒ２０１を受信すると、この検証結果Ｒ２０１に、認証成功を示す認証結果を付加して接続応答Ｒ２０２を生成し、この接続応答Ｒ２０２を、初段ノード装置Ｎ１１に対して送信する。
【００８３】
初段ノード装置Ｎ１１は、認証サーバＡＳからの接続応答Ｒ２０２を受信すると、この接続応答Ｒ２０２から、認証成功を示す認証結果と検証失敗を示す検証結果とを取り出す。そして、初段ノード装置Ｎ１１は、接続応答Ｒ２０２から取り出した認証結果および検証結果を格納した接続応答Ｒ２０３を、第２段ノード装置Ｎ２１に対して送信する。
【００８４】
第２段ノード装置Ｎ２１は、初段ノード装置Ｎ１１からの接続応答Ｒ２０３を受信すると、第３段ノード装置Ｎ３２との間での論理接続の確立を拒否することを示す接続応答Ｒ２０４を生成して、この接続応答Ｒ２０４を、第３段ノード装置Ｎ３２に対して送信する。これにより、予め定められた所定の接続順序とは異なる順序での論理接続を、正当でない論理接続として拒否することが可能となる。
【００８５】
なお、図１１および図１２のシーケンス図を用いて説明した具体例において、ノード装置間でやりとりされる接続要求および接続応答としては、例えば、ＲＦＣ５１９１で規定されるＰＡＮＡ（Ｐｒｏｔｏｃｏｌ ｆｏｒ Ｃａｒｒｙｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ）のメッセージを利用することができる。その場合、従属ノードはＰＡＮＡクライアントとなり、初段ノード装置Ｎ１１が主体ノードの場合は、初段ノード装置Ｎ１１がＰＡＮＡ認証エージェントとなる。また、第２段ノード装置Ｎ２１，Ｎ２２が主体ノードの場合は、主体ノードである第２段ノード装置Ｎ２１，Ｎ２２がＰＡＮＡリレー、初段ノード装置Ｎ１１がＰＡＮＡ認証エージェントとなり、ＰＡＮＡリレーは、ＰＡＮＡクライアントとＰＡＮＡ認証エージェントとの間でＰＡＮＡメッセージをフォワードする。なお、ＰＡＮＡリレーの動作は、インターネットドラフト“http://tools.ietf.org/html/draft-ohba-pana-relay-02”で規定されている。
【００８６】
ＰＡＮＡメッセージを接続要求および接続応答に用いる場合、従属ノード認証情報は、ＰＡＮＡメッセージのＥＡＰ−Ｐａｙｌｏａｄ属性に含まれる。また、トポロジー検証情報に含まれる従属ノード識別情報は、ＰＡＮＡクライアントのＩＰアドレスまたはＭＡＣアドレスとなる。また、トポロジー検証情報に含まれる主体ノード識別情報は、主体ノードがＰＡＮＡ認証エージェントの場合には、ＰＡＮＡ認証エージェントのＩＰアドレスまたはＭＡＣアドレスとなり、主体ノードがＰＡＮＡリレーの場合には、ＰＡＮＡリレーのＩＰアドレスまたはＭＡＣアドレスとなる。また、従属ノードが正当かどうかの認証結果および主体ノードと従属ノードとの間の論理接続が正当かどうかの検証結果は、ＰＡＮＡメッセージのＲｅｓｕｌｔ−Ｃｏｄｅ属性に含まれる。
【００８７】
さらに、ＰＡＮＡ認証エージェントと認証サーバＳＡとの間の接続要求および接続応答としては、例えば、ＲＦＣ２８６５で規定されるＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコルメッセージを使用することができる。その場合、従属ノード認証情報は、ＲＡＤＩＵＳメッセージのＥＡＰ−Ｍｅｓｓａｇｅ属性に含まれる。また、トポロジー検証情報に含まれる従属ノード識別情報として、従属ノードのＩＰアドレスまたはＭＡＣアドレスが、ＲＡＤＩＵＳメッセージのＣａｌｌｉｎｇ−Ｓｔａｔｉｏｎ−Ｉｄ属性に含まれる。また、トポロジー検証情報に含まれる主体ノード識別情報として、主体ノードがＰＡＮＡ認証エージェントの場合にはＰＡＮＡ認証エージェントのＩＰアドレスまたはＭＡＣアドレスが、主体ノードがＰＡＮＡリレーの場合にはＰＡＮＡリレーのＩＰアドレスまたはＭＡＣアドレスが、ＲＡＤＩＵＳメッセージのＣａｌｌｅｄ−Ｓｔａｔｉｏｎ−Ｉｄ属性に含まれる。
【００８８】
以上、具体例を挙げながら詳細に説明したように、本実施形態によれば、通信ネットワークを構成する複数のノード装置の間で論理接続を確立しようとする際に、ノード装置の正当性を判断する認証処理とともに、ネットワークトポロジーの検証を行って論理接続の正当性を判断する。そして、ノード装置が正当な装置として認証され、かつ、論理接続の正当性が認められた場合に、これらノード装置間の論理接続を確立させるようにしている。したがって、通信ネットワーク上のノード装置が、本来接続が意図されていない別のノード装置との間で論理接続を確立させてしまうことによるセキュリティ上の様々な問題を有効に防止することができる。
【００８９】
また、本実施形態によれば、通信ネットワークを構成する各ノード装置の接続順序による制約条件や、物理的な直接接続の有無についての制約条件も加味して、ノード装置間の論理接続の正当性を判断するので、通信ネットワークを構成する各ノード装置の接続管理を適切に行って、通信システムの安全性を向上させることができる。また、隣接する階層間の論理接続の依存関係を利用することにより、論理接続の遮断を迅速かつ少ないメッセージ数で行うことができる。
【００９０】
（第２の実施形態）
次に、第２の実施形態について説明する。本実施形態は、ノード装置間の論理接続を確立するための制約条件が、上述した第１の実施形態と一部相違している。なお、通信システムおよびそれを構成する各ノード装置、認証サーバＡＳ、トポロジー検証サーバＴＳの構成や基本的な動作は、上述した第１の実施形態と同様である。以下では、本実施形態に特徴的な部分についてのみ説明する。
【００９１】
図１３は、本実施形態におけるトポロジー検証サーバＴＳのトポロジー情報保持部３０１が保持するトポロジー情報の一例を示す概念図である。この図１３に例示するトポロジー情報は、論理接続番号と、通信ネットワーク上で主体ノードとなり得るノード装置Ｎｘの識別情報（主体ノード識別情報）、この主体ノードに対して従属ノードとなるノード装置の識別情報（従属ノード識別情報）、物理接続性要求フラグ、接続制約ベクトル集合および接続順位フラグの６つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表わされる。図１３の例では、図９に示した例と同様に、初段ノード装置Ｎ１１の識別情報を「ｎ１１」、第２段ノード装置Ｎ２１の識別情報を「ｎ２１」、第２段ノード装置Ｎ２２の識別情報を「ｎ２２」、第３段ノード装置Ｎ３１の識別情報を「ｎ３１」、第３段ノード装置Ｎ３２の識別情報を「ｎ３２」、第３段ノード装置Ｎ３３の識別情報を「ｎ３３」と表わしている。
【００９２】
論理接続番号は、トポロジー情報にレコードされた各エントリの論理接続関係の番号を示している。図１３の例では、第１段ノード装置Ｎ１１と第２段ノード装置Ｎ２１との間の論理接続（ｎ１１，ｎ２１）に対して論理接続番号「１」が付与され、第１段ノード装置Ｎ１１と第２段ノード装置Ｎ２２との間の論理接続（ｎ１１，ｎ２２）に対して論理接続番号「２」が付与されている。また、第２段ノード装置Ｎ２１と第３段ノード装置Ｎ３１との間の論理接続（ｎ２１，ｎ３１）に対して論理接続番号「３」が付与され、第２段ノード装置Ｎ２１と第３段ノード装置Ｎ３２との間の論理接続（ｎ２１，ｎ３２）に対して論理接続番号「４」が付与されている。また、第２段ノード装置Ｎ２２と第３段ノード装置Ｎ３２との間の論理接続（ｎ２２，ｎ３２）に対して論理接続番号「５」が付与され、第２段ノード装置Ｎ２２と第３段ノード装置Ｎ３３との間の論理接続（ｎ２２，ｎ３３）に対して論理接続番号「６」が付与されている。
【００９３】
物理接続性要求フラグおよび接続状態フラグは、図９に示した例と同様である。つまり、物理接続性要求フラグは、主体ノードと従属ノードとの間の論理接続のために、これらノード間で物理的な直接接続が必要であるか否かを示し、接続状態フラグは、主体ノードと従属ノードとの間で、現在、論理接続が確立された状態にあるか否かを示している。また、トポロジー検証サーバＴＳが複数のトポロジー階層を管理する場合には、図９に示した例と同様に、物理接続要求フラグの代わりに、０以上の整数で表わされるトポロジー階層レベルを使用してもよく、その場合、トポロジー階層レベルの値「０」は物理接続要求フラグの値「１」に対応し、それ以外のトポロジー階層レベルの値は物理接続要求フラグの値「０」に対応する。
【００９４】
接続制約ベクトル集合は、各エントリの論理接続を確立するための制約条件に関する情報であり、通信ネットワーク上で許容される他のすべての論理接続との関係を表した情報である。ある論理接続番号の論理接続が正当かどうかを判断する際は、その論理接続番号に対応する接続制約ベクトル集合が参照される。
【００９５】
接続制約ベクトル集合は、値「０」または「１」の要素を持つＮ次元ベクトルである接続制約ベクトルの集合で表わされる。ここで、Ｎはトポロジー情報テーブル内のレコードの総数である。ある論理接続に対する接続制約ベクトル集合における各接続制約ベクトルは要素制約条件を表し、これらの要素制約条件の論理和がこの論理接続に対する接続制約条件となる。接続制約ベクトルのｉ番目の要素の値が「１」のとき、論理接続番号ｉに対応する論理接続の接続状態フラグの値が「１」となっている必要があることを意味し、接続制約ベクトルのｉ番目の要素の値が「０」のとき、論理接続番号ｉに対応する論理接続の接続状態フラグの値が「１」となっている必要がないことを意味する。
【００９６】
例えば、論理接続番号が「３」の論理接続（ｎ２１，ｎ３１）、つまり、主体ノードが第２段ノード装置Ｎ２１、従属ノードが第３段ノード装置Ｎ３１の場合の論理接続についての接続制約ベクトル集合は、｛（１，１，０，０，０，０）｝となっている。これは、論理接続番号が「３」の論理接続を確立するには、論理接続番号が「１」の論理接続（ｎ１１，ｎ２１）の接続フラグの値と、論理接続番号が「２」の論理接続（ｎ１１，ｎ２２）の接続状態フラグの値とが、ともに「１」となっている必要があることを意味する。
【００９７】
また、論理接続番号が「４」の論理接続（ｎ２１，ｎ３２）、つまり、主体ノードが第２段ノード装置Ｎ２１、従属ノードが第３段ノード装置Ｎ３２の場合の論理接続についての接続制約ベクトル集合は、｛（１，１，１，０，０，０）、（１，１，０，０，１，０）｝となっている。これは、論理接続番号が「４」の論理接続を確立するには、論理接続番号が「１」の論理接続（ｎ１１，ｎ２１）の接続フラグの値と、論理接続番号が「２」の論理接続（ｎ１１，ｎ２２）の接続状態フラグの値とが、ともに「１」となっており、かつ、論理接続番号が「３」の論理接続（ｎ２１，ｎ３１）の接続フラグの値、あるいは、論理接続番号が「５」の論理接続（ｎ２２，ｎ３３）の接続状態フラグの値のいずれかが「１」となっている必要があることを意味する。
【００９８】
本実施形態のトポロジー検証サーバＴＳは、ノード装置Ｎｘからトポロジー検証情報を受信部３０３が受信すると、判断部３０４が、このトポロジー検証情報を図１３に例示したような接続制約ベクトル集合の情報を含むトポロジー情報と照合し、主体ノードであるノード装置Ｎｘと従属ノードであるノード装置との論理接続の正当性の判断（ネットワークトポロジーの検証）を行う。
【００９９】
具体的には、判断部３０４は、まず、第１の実施形態と同様に、トポロジー検証情報に含まれる主体ノード識別情報と従属ノード識別情報の組み合わせをキーとしてトポロジー情報を検索し、これら主体ノードと従属ノードとの間の論理接続に関するエントリの有無を確認する。ここで、トポロジー情報に該当するエントリがなければ、これら主体ノードと従属ノードとの間の論理接続は通信ネットワーク上で想定されていないものであるため、正当でないと判断する。
【０１００】
また、判断部３０４は、該当するエントリがトポロジー情報に存在する場合は、これら主体ノードと従属ノードとの間の論理接続を確立するための制約条件を満足しているか否かの判断を行う。すなわち、判断部３０４は、第１の実施形態と同様に、該当するエントリの物理接続性要求フラグと、トポロジー検証情報に含まれる物理接続フラグとの照合を行い、物理接続性要求フラグの値が「１」、物理接続フラグの値が「０」の場合には、これら主体ノードと従属ノードとの間の論理接続を確立するのに必要な物理的な直接接続が存在しないため、正当でないと判断する。
【０１０１】
また、判断部３０４は、該当するエントリの接続制約ベクトル集合を参照して、この論理接続を確立する前に確立されているべき他の論理接続の論理接続番号を特定する。そして、この特定した論理接続に関する接続状態フラグを参照して、接続状態フラグの値が「０」となるものがあれば、上記の主体ノードと従属ノードとの間の論理接続よりも前に確立されるべき論理接続が確立されていない状態にあるため、正当でないと判断する。
【０１０２】
以上のように、本実施形態によれば、任意のノード間の論理接続について、その論理接続を確立するための制約条件となる他の論理接続との関係も考慮してノード装置間の論理接続の正当性を判断するので、通信ネットワークを構成する各ノード装置の接続管理を適切に行って、通信システムの安全性を向上させることができる。
【０１０３】
（第３の実施形態）
次に、第３の実施形態について説明する。本実施形態は、トポロジー検証サーバＴＳのトポロジー情報保持部３０１が保持するトポロジー情報の構成が、上述した第１および第２の実施形態と相違している。なお、通信システムおよびそれを構成する各ノード装置、認証サーバＡＳ、トポロジー検証サーバＴＳの構成や基本的な動作は、上述した第１の実施形態と同様である。以下では、本実施形態に特徴的な部分についてのみ説明する。
【０１０４】
図１４は、トポロジー情報保持部３０１が保持するトポロジー情報の一例を示す概念図である。この図１４に例示するトポロジー情報は、図９と同様に、通信ネットワーク上で主体ノードとなり得るノード装置Ｎｘの識別情報（主体ノード識別情報）と、この主体ノードに対して従属ノードとなるノード装置の識別情報（従属ノード識別情報）、物理接続性要求フラグ、接続グループ、接続順位および接続順位フラグの６つの情報の組み合わせを１つのエントリとしてレコードするテーブルで表わされる。ただし、図９の例と異なり、テーブルの各エントリの従属ノード識別情報の値がワイルドカード（＊）になっている。これは、同じ接続グループに属するエントリの主体ノード識別情報で識別されるノード装置はお互いにどのようなトポロジーで接続してもよい（メッシュ接続が可能）ことを表している。図１４において、ノード装置ｎ１１、ｎ１２、ｎ１３はメッシュ接続が可能である。また、ノード装置ｎ２１、ｎ２２、ｎ２３もメッシュ接続が可能である。図１４はまた論理接続がまだ一つも確立していない状態を表している。従属ノード識別情報の値がワイルドカードであるような論理接続のエントリは静的に作成され、これを基に従属ノード識別情報の値がワイルドカードでないような論理接続のエントリが動的に生成または削除される。また、図１４において、接続順序はすべてのエントリで同じとなっている。これは、同じ接続グループに属する論理接続の接続順序は任意であることを示している。
【０１０５】
図１５は、図１４の状態から動的に作成された論理接続（ｎ１１、ｎ１２）に関するトポロジー情報テーブルのエントリを示している。このエントリの従属ノード識別情報の値がワイルドカードでないため、このエントリは動的に生成および削除されることを意味する。
【０１０６】
以上のように、本実施形態によれば、任意の接続順序、任意のトポロジーを許すような接続グループをエントリ数がより小さいテーブルで形成することが可能であり、これにより、メッシュネットワークのように接続トポロジーの制約が小さいネットワークにおいてノード装置の追加や削除を効率的に行うことができるようになる。
【０１０７】
以上述べた少なくとも一つの実施形態にかかるノード装置、サーバ装置およびノード接続管理方法によれば、通信ネットワークのトポロジーも考慮した適切な機器の接続管理を実現することができる。
【０１０８】
なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、請求の範囲に記載された発明とその均等の範囲に含まれる。
【０１０９】
例えば、ノード装置Ｎｘは、認証サーバＡＳまたはトポロジー検証サーバＴＳと同一装置上に実装されていてもよい。また、認証サーバＡＳとトポロジー検証サーバＴＳは同一装置上に実装されていてもよい。
【０１１０】
また、従属ノード認証情報とトポロジー検証情報は１つのメッセージで運んでもよい。また、従属ノード認証情報は、複数のメッセージに分割して運んでもよく、その場合、従属ノード認証情報を運ぶためにノード装置Ｎｘと認証サーバＡＳ間で複数のメッセージ往復があってもよい。同様に、トポロジー検証情報は、複数のメッセージに分割して運んでもよく、その場合、トポロジー検証情報を運ぶためにノード装置Ｎｘと認証サーバＡＳ間で複数のメッセージ往復があってもよい。
【０１１１】
また、ノード装置Ｎｘと認証サーバＡＳは、中間ノードを介して通信を行ってもよい。その場合、ノード装置Ｎｘと中間ノードとの間で従属ノード認証情報を運ぶプロトコルと、中間ノードと認証サーバＡＳとの間で従属ノード認証情報を運ぶプロトコルは異なっていてもよい。また、中間ノードがトポロジー検証サーバＴＳであってもよい。
【０１１２】
同様に、ノード装置Ｎｘとトポロジー検証サーバＴＳは、中間ノードを介して通信を行ってもよい。その場合、ノード装置Ｎｘと中間ノードとの間でトポロジー検証情報を運ぶプロトコルと、中間ノードとトポロジー検証サーバＴＳとの間でトポロジー検証情報を運ぶプロトコルは異なっていてもよい。また、中間ノードが認証サーバＡＳであってもよい。
【０１１３】
また、トポロジー検証サーバＴＳは複数のサーバ機器として実現してもよい。その場合、トポロジー情報はこれらのサーバ機器によって構成される分散データベースで保持してもよい。
【０１１４】
また、従属ノード認証情報が従属ノードの識別情報を含む場合には、このノード識別情報を従属ノード識別情報として使用してもよい。
【０１１５】
また、ノード装置Ｎｘは、電力メータ、電気自動車、センサー、家電機器、および、蓄電池、太陽光発電装置、ＨＥＭＳ、ＢＥＭＳ（Ｂｕｉｌｄｉｎｇ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）、ＣＥＭＳ（Ｃｏｍｍｕｎｉｔｙ Ｅｎｅｒｇｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）などのエネルギー機器の中に実装されていてもよい。
【０１１６】
また、ノード装置Ｎｘ、認証サーバＡＳ、トポロジー検証サーバＴＳにおいて特徴的な機能は、コンピュータで実行するプログラムにより実現することができる。
【符号の説明】
【０１１７】
Ｎｘ ノード装置
ＡＳ 認証サーバ（第１のサーバ装置）
ＴＳ トポロジー検証サーバ（第２のサーバ装置）
１０１ 取得部
１０２ 第１の送信部
１０３ 受信部
１０４ 接続制御部
１０５ 第２の送信部
３０１ トポロジー情報保持部
３０２ 更新部
３０３ 受信部
３０４ 判断部
３０５ 判断結果送信部
【特許請求の範囲】
【請求項１】
通信ネットワークを構成するノード装置であって、
論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記従属ノードから、前記従属ノードの認証に用いる従属ノード認証情報および前記従属ノードの識別情報を取得する取得部と、
前記従属ノード認証情報を、前記通信ネットワーク上のノードの認証を行う第１のサーバ装置に送信するとともに、前記従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、前記通信ネットワーク上のノード間の論理接続が正当かどうかを判断する第２のサーバ装置に送信する第１の送信部と、
前記従属ノード認証情報に基づいて前記第１のサーバ装置で行われた前記従属ノードの認証結果を受信するとともに、前記トポロジー検証情報に基づいて前記第２のサーバ装置で行われた前記従属ノードとの間の論理接続の正当性の判断結果を受信する受信部と、
前記第１のサーバ装置により前記従属ノードが認証され、かつ、前記第２のサーバ装置により前記従属ノードとの間の論理接続が正当であると判断された場合に、前記従属ノードとの間の論理接続を確立する接続制御部と、を備えることを特徴とするノード装置。
【請求項２】
前記従属ノードとの間の論理接続を確立した場合に、前記従属ノードとの間で論理接続が確立されている状態であることを示す情報を前記第２のサーバ装置に送信するとともに、前記従属ノードとの間で論理接続を解除した場合に、前記従属ノードとの間で論理接続が確立されていない状態であることを示す情報を前記第２のサーバ装置に送信する第２の送信部をさらに備えることを特徴とする請求項１に記載のノード装置。
【請求項３】
前記接続制御部は、前記従属ノードが物理的に直接接続されていない場合には、前記従属ノードとの間の論理接続を確立しないことを特徴とする請求項１または２に記載のノード装置。
【請求項４】
前記トポロジー検証情報は、前記従属ノードが物理的に直接接続されているか否かを示す物理接続情報を含み、
前記トポロジー検証情報に含まれる前記物理接続情報が、前記従属ノードが物理的に直接接続されていないことを示す場合、前記第２のサーバ装置により、前記従属ノードとの間の論理接続が正当でないと判断されることを特徴とする請求項３に記載のノード装置。
【請求項５】
前記取得部は、ＲＦＣ５１９１の規格で規定されるプロトコルに従って、前記従属ノードから、前記従属ノード認証情報および前記従属ノードの識別情報を取得することを特徴とする請求項１〜４のいずれか一項に記載のノード装置。
【請求項６】
通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置であって、
前記通信ネットワークにおいて論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持する保持部と、
前記通信ネットワーク上の任意の主体ノードが当該主体ノードに対して論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記主体ノードから、前記従属ノードの識別情報および前記主体ノードの識別情報を含むトポロジー検証情報を受信する受信部と、
前記トポロジー検証情報を前記トポロジー情報と照合し、前記従属ノードと前記主体ノードとの間の論理接続の正当性を判断する判断部と、
前記従属ノードと前記主体ノードとの間の論理接続の正当性の判断結果を、前記主体ノードに送信する送信部と、を備えることを特徴とするサーバ装置。
【請求項７】
前記トポロジー情報は、前記通信ネットワークにおいて論理接続が許容されるノード間で、現在、論理接続が確立された状態にあるか否かを示す接続状態情報を含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続が前記接続状態情報に基づいて判断される制約条件を満たさない場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項６に記載のサーバ装置。
【請求項８】
前記トポロジー情報は、前記制約条件に関する情報としてノード間の論理接続の順序を指定する接続順序情報を含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続よりも先に確立されるべき他のノード間の論理接続が、前記接続状態情報に基づいて確立されていないと判断される場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項７に記載のサーバ装置。
【請求項９】
前記トポロジー情報は、前記接続順序情報が有効な論理接続の集合である接続グループを表した接続グループ情報をさらに含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続よりも先に確立されるべき、同一接続グループ内における他のノード間の論理接続が、前記接続状態情報に基づいて確立されていないと判断される場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項８に記載のサーバ装置。
【請求項１０】
前記トポロジー情報は、前記制約条件に関する情報として、前記通信ネットワークにおいて許容される他のすべての論理接続との関係を表した接続制約ベクトル集合情報をさらに含み、
前記判断部は、前記接続制約ベクトル集合情報に基づいて、前記従属ノードと前記主体ノードとの間の論理接続を確立する際に確立されているべき他のノード間の論理接続を特定し、特定した他のノード間の論理接続が、前記接続状態情報に基づいて確立されていないと判断される場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項７に記載のサーバ装置。
【請求項１１】
前記トポロジー情報は、前記通信ネットワークにおいて論理接続が許容されるノード間で論理接続を確立するための条件として物理的な直接接続が必要であるか否かを示す物理接続性要求情報を含み、
前記トポロジー検証情報は、前記従属ノードが前記主体ノードに対して物理的に直接接続されているか否かを示す物理接続情報を含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続を確立するために前記従属ノードと前記主体ノードとが物理的に直接接続されている必要があると前記物理接続性要求情報に基づいて判断され、前記トポロジー検証情報に含まれる前記物理接続情報が、前記従属ノードが前記主体ノードに対して物理的に直接接続されていないことを示す場合に、前記従属ノードと前記主体ノードとの間の論理接続が正当でないと判断することを特徴とする請求項６〜１０のいずれか一項に記載のサーバ装置。
【請求項１２】
通信ネットワークを構成するノード装置において実行される方法であって、
論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記従属ノードから、前記従属ノードの認証に用いる従属ノード認証情報および前記従属ノードの識別情報を取得するステップと、
前記従属ノード認証情報を、前記通信ネットワーク上のノードの認証を行う第１のサーバ装置に送信するとともに、前記従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、前記通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行う第２のサーバ装置に送信するステップと、
前記従属ノード認証情報に基づいて前記第１のサーバ装置で行われた前記従属ノードの認証結果を受信するとともに、前記トポロジー検証情報に基づいて前記第２のサーバ装置で行われた前記従属ノードとの間の論理接続の正当性の判断結果を受信するステップと、
前記第１のサーバ装置により前記従属ノードが認証され、かつ、前記第２のサーバ装置により前記従属ノードとの間の論理接続が正当であると判断された場合に、前記従属ノードとの間の論理接続を確立するステップと、を含むことを特徴とするノード接続管理方法。
【請求項１３】
通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置において実行される方法であって、
前記サーバ装置は、前記通信ネットワークにおいて論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持し、
前記通信ネットワーク上の任意の主体ノードが当該主体ノードに対して論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記主体ノードから、前記従属ノードの識別情報および前記主体ノードの識別情報を含むトポロジー検証情報を受信するステップと、
前記トポロジー検証情報を前記トポロジー情報と照合し、前記従属ノードと前記主体ノードとの間の論理接続の正当性を判断するステップと、
前記従属ノードと前記主体ノードとの間の論理接続の正当性の判断結果を、前記主体ノードに送信するステップと、を含むことを特徴とするノード接続管理方法。
【請求項１】
通信ネットワークを構成するノード装置であって、
論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記従属ノードから、前記従属ノードの認証に用いる従属ノード認証情報および前記従属ノードの識別情報を取得する取得部と、
前記従属ノード認証情報を、前記通信ネットワーク上のノードの認証を行う第１のサーバ装置に送信するとともに、前記従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、前記通信ネットワーク上のノード間の論理接続が正当かどうかを判断する第２のサーバ装置に送信する第１の送信部と、
前記従属ノード認証情報に基づいて前記第１のサーバ装置で行われた前記従属ノードの認証結果を受信するとともに、前記トポロジー検証情報に基づいて前記第２のサーバ装置で行われた前記従属ノードとの間の論理接続の正当性の判断結果を受信する受信部と、
前記第１のサーバ装置により前記従属ノードが認証され、かつ、前記第２のサーバ装置により前記従属ノードとの間の論理接続が正当であると判断された場合に、前記従属ノードとの間の論理接続を確立する接続制御部と、を備えることを特徴とするノード装置。
【請求項２】
前記従属ノードとの間の論理接続を確立した場合に、前記従属ノードとの間で論理接続が確立されている状態であることを示す情報を前記第２のサーバ装置に送信するとともに、前記従属ノードとの間で論理接続を解除した場合に、前記従属ノードとの間で論理接続が確立されていない状態であることを示す情報を前記第２のサーバ装置に送信する第２の送信部をさらに備えることを特徴とする請求項１に記載のノード装置。
【請求項３】
前記接続制御部は、前記従属ノードが物理的に直接接続されていない場合には、前記従属ノードとの間の論理接続を確立しないことを特徴とする請求項１または２に記載のノード装置。
【請求項４】
前記トポロジー検証情報は、前記従属ノードが物理的に直接接続されているか否かを示す物理接続情報を含み、
前記トポロジー検証情報に含まれる前記物理接続情報が、前記従属ノードが物理的に直接接続されていないことを示す場合、前記第２のサーバ装置により、前記従属ノードとの間の論理接続が正当でないと判断されることを特徴とする請求項３に記載のノード装置。
【請求項５】
前記取得部は、ＲＦＣ５１９１の規格で規定されるプロトコルに従って、前記従属ノードから、前記従属ノード認証情報および前記従属ノードの識別情報を取得することを特徴とする請求項１〜４のいずれか一項に記載のノード装置。
【請求項６】
通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置であって、
前記通信ネットワークにおいて論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持する保持部と、
前記通信ネットワーク上の任意の主体ノードが当該主体ノードに対して論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記主体ノードから、前記従属ノードの識別情報および前記主体ノードの識別情報を含むトポロジー検証情報を受信する受信部と、
前記トポロジー検証情報を前記トポロジー情報と照合し、前記従属ノードと前記主体ノードとの間の論理接続の正当性を判断する判断部と、
前記従属ノードと前記主体ノードとの間の論理接続の正当性の判断結果を、前記主体ノードに送信する送信部と、を備えることを特徴とするサーバ装置。
【請求項７】
前記トポロジー情報は、前記通信ネットワークにおいて論理接続が許容されるノード間で、現在、論理接続が確立された状態にあるか否かを示す接続状態情報を含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続が前記接続状態情報に基づいて判断される制約条件を満たさない場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項６に記載のサーバ装置。
【請求項８】
前記トポロジー情報は、前記制約条件に関する情報としてノード間の論理接続の順序を指定する接続順序情報を含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続よりも先に確立されるべき他のノード間の論理接続が、前記接続状態情報に基づいて確立されていないと判断される場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項７に記載のサーバ装置。
【請求項９】
前記トポロジー情報は、前記接続順序情報が有効な論理接続の集合である接続グループを表した接続グループ情報をさらに含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続よりも先に確立されるべき、同一接続グループ内における他のノード間の論理接続が、前記接続状態情報に基づいて確立されていないと判断される場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項８に記載のサーバ装置。
【請求項１０】
前記トポロジー情報は、前記制約条件に関する情報として、前記通信ネットワークにおいて許容される他のすべての論理接続との関係を表した接続制約ベクトル集合情報をさらに含み、
前記判断部は、前記接続制約ベクトル集合情報に基づいて、前記従属ノードと前記主体ノードとの間の論理接続を確立する際に確立されているべき他のノード間の論理接続を特定し、特定した他のノード間の論理接続が、前記接続状態情報に基づいて確立されていないと判断される場合に、前記従属ノードと前記主体ノードとの間の論理接続を正当でないと判断することを特徴とする請求項７に記載のサーバ装置。
【請求項１１】
前記トポロジー情報は、前記通信ネットワークにおいて論理接続が許容されるノード間で論理接続を確立するための条件として物理的な直接接続が必要であるか否かを示す物理接続性要求情報を含み、
前記トポロジー検証情報は、前記従属ノードが前記主体ノードに対して物理的に直接接続されているか否かを示す物理接続情報を含み、
前記判断部は、前記従属ノードと前記主体ノードとの間の論理接続を確立するために前記従属ノードと前記主体ノードとが物理的に直接接続されている必要があると前記物理接続性要求情報に基づいて判断され、前記トポロジー検証情報に含まれる前記物理接続情報が、前記従属ノードが前記主体ノードに対して物理的に直接接続されていないことを示す場合に、前記従属ノードと前記主体ノードとの間の論理接続が正当でないと判断することを特徴とする請求項６〜１０のいずれか一項に記載のサーバ装置。
【請求項１２】
通信ネットワークを構成するノード装置において実行される方法であって、
論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記従属ノードから、前記従属ノードの認証に用いる従属ノード認証情報および前記従属ノードの識別情報を取得するステップと、
前記従属ノード認証情報を、前記通信ネットワーク上のノードの認証を行う第１のサーバ装置に送信するとともに、前記従属ノードの識別情報と自ノードの識別情報とを含むトポロジー検証情報を、前記通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行う第２のサーバ装置に送信するステップと、
前記従属ノード認証情報に基づいて前記第１のサーバ装置で行われた前記従属ノードの認証結果を受信するとともに、前記トポロジー検証情報に基づいて前記第２のサーバ装置で行われた前記従属ノードとの間の論理接続の正当性の判断結果を受信するステップと、
前記第１のサーバ装置により前記従属ノードが認証され、かつ、前記第２のサーバ装置により前記従属ノードとの間の論理接続が正当であると判断された場合に、前記従属ノードとの間の論理接続を確立するステップと、を含むことを特徴とするノード接続管理方法。
【請求項１３】
通信ネットワーク上のノード間の論理接続が正当かどうかの判断を行うサーバ装置において実行される方法であって、
前記サーバ装置は、前記通信ネットワークにおいて論理接続が許容されるノードの関係およびその論理接続を確立するための条件を示すトポロジー情報を保持し、
前記通信ネットワーク上の任意の主体ノードが当該主体ノードに対して論理接続関係が下位の従属ノードとの間で論理接続を確立するのに先立ち、前記主体ノードから、前記従属ノードの識別情報および前記主体ノードの識別情報を含むトポロジー検証情報を受信するステップと、
前記トポロジー検証情報を前記トポロジー情報と照合し、前記従属ノードと前記主体ノードとの間の論理接続の正当性を判断するステップと、
前記従属ノードと前記主体ノードとの間の論理接続の正当性の判断結果を、前記主体ノードに送信するステップと、を含むことを特徴とするノード接続管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２０１２−２０５０７３（Ｐ２０１２−２０５０７３Ａ）
【公開日】平成２４年１０月２２日（２０１２．１０．２２）
【国際特許分類】
【出願番号】特願２０１１−６７８０３（Ｐ２０１１−６７８０３）
【出願日】平成２３年３月２５日（２０１１．３．２５）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
【公開日】平成２４年１０月２２日（２０１２．１０．２２）
【国際特許分類】
【出願日】平成２３年３月２５日（２０１１．３．２５）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
[ Back to top ]