マーキング装置及びアクセス制御装置
【課題】通信端末が配置される空間によってアクセス条件を設定できるマーキング装置及びアクセス制御装置を提供する。
【解決手段】通信装置から送信されるパケットを受信するパケット受信部７６と、物理的に区切られた複数の空間にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部７２と、通信装置が配置される空間に対応する空間識別子を空間識別子情報記憶部７２から読み出し、パケット受信部７６が受信したパケットを、空間識別子を含むパケットに変換する空間識別子処理部７４と、空間識別子を含むパケットを送信するパケット送信部７７とを備える。
【解決手段】通信装置から送信されるパケットを受信するパケット受信部７６と、物理的に区切られた複数の空間にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部７２と、通信装置が配置される空間に対応する空間識別子を空間識別子情報記憶部７２から読み出し、パケット受信部７６が受信したパケットを、空間識別子を含むパケットに変換する空間識別子処理部７４と、空間識別子を含むパケットを送信するパケット送信部７７とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、物理的な空間に応じた識別子を含むパケットを用いるマーキング装置及びアクセス制御装置に関する。
【背景技術】
【０００２】
一般的なアクセス制御は、パケット内の情報や、アクセス制御機器内部の情報に基づいて行われる。例えば、通信端末のＩＰアドレスに応じてアクセス許可を与える方法がある（特許文献１参照）。
【０００３】
例えば、ホームネットワークにおいて、同じ通信端末からのアクセスであっても、通信端末が子供部屋にあるときと、リビングにあるときで、アクセス制御の仕方を換えたい場合がある。この場合、通信端末が、リビングにあるときと子供部屋にあるときで通信端末のＩＰアドレスを変更するという方法が考えられるが、移動の度にアドレスを変更するのは手間がかかる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−０２３４３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、通信端末が配置される空間によってアクセス条件を設定できるマーキング装置及びアクセス制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の第１の態様は、（イ）通信装置から送信されるパケットを受信するパケット受信部と、（ロ）物理的に区切られた複数の空間にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部と、（ハ）通信装置が配置される空間に対応する空間識別子を空間識別子情報記憶部から読み出し、パケット受信部が受信したパケットを、空間識別子を含むパケットに変換する空間識別子処理部と、（ニ）空間識別子を含むパケットを送信するパケット送信部とを備えるマーキング装置であることを要旨とする。
【０００７】
又、本発明の第１の態様に係るマーキング装置においては、少なくとも、通信装置から、通信装置が通信対象とする通信対象装置への通信の可否を、空間識別子に応じて制御するアクセス制御装置に接続され、パケット送信部は、アクセス制御装置に空間識別子を含むパケットを送信する。
【０００８】
又、本発明の第１の態様に係るマーキング装置においては、空間識別子処理部は、パケット受信部が受信したパケットの一部を空間識別子を含むデータに変換する。
【０００９】
又、本発明の第１の態様に係るマーキング装置においては、パケット受信部が受信した空間識別子を含むパケットに対し、更に当該空間識別子と異なる空間識別子を階層的に追記する。
【００１０】
又、本発明の第１の態様に係るマーキング装置においては、パケット受信部が受信したパケットがトランスポート層パケットであり、空間識別子処理部は、トラスポート層パケットの送信元ポート番号を、空間識別子を含むデータに変換する。
【００１１】
又、本発明の第１の態様に係るマーキング装置においては、空間識別子処理部は、空間識別子とパケット受信部が受信したパケットとを含む制御パケットを生成し、パケット送信部は、制御パケットとパケット受信部が受信したパケットとを送信する。
【００１２】
又、本発明の第１の態様に係るマーキング装置においては、アクセス制御装置のアドレスを記憶する制御装置リスト記憶部を更に備え、空間識別子処理部は、制御装置リスト記憶部からアクセス制御装置のアドレスを読み出し、制御パケットを生成し、パケット送信部は、制御パケットをアクセス制御装置宛てに送信する。
【００１３】
又、本発明の第１の態様に係るマーキング装置においては、パケット受信部は、パケットを入力する複数の物理ポートを介して、通信装置から送信されるパケットを受信し、空間識別子情報記憶部が、複数の物理ポートにそれぞれ対応する空間識別子を記憶し、空間識別子処理部は、通信装置から送信されるパケットを入力された物理ポート対応する空間識別子を空間識別子情報記憶部から読み出す。
【００１４】
又、本発明の第１の態様に係るマーキング装置においては、空間識別子処理部は、セッション型の通信においてセッションを開始する初期パケットを、空間識別子を含むパケットに変換する。
【００１５】
本発明の第２の態様に係るアクセス制御装置は、（イ）パケットを受信するパケット受信部と、（ロ）物理的に区切られた複数の空間にそれぞれ対応する空間識別子の内、送信元である通信装置が配置される空間に対応する空間識別子と、当該空間識別子を含むパケットの通信の可否を示す制御情報とを対応付けて記憶する記憶部と、（ハ）通信装置が配置される空間に対応する空間識別子を空間識別子情報記憶部から読み出し、パケット受信部が受信したパケットを、空間識別子を含むパケットに変換するアクセス制御処理部と、（ニ）パケット受信部が、空間識別子を含むパケットを受信した場合において、記憶部に記憶された、空間識別子と、制御情報との対応関係を読み出し、通信の可否を判断するアクセス制御処理部と、（ホ）アクセス制御処理部により通信が許可されたパケットを送信するパケット送信部と、を備えることを要旨とする。
【発明の効果】
【００１６】
本発明によれば、通信端末が配置される空間によってアクセス条件を設定できるマーキング装置及びアクセス制御装置を提供することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の第１の実施の形態に係るアクセス制御システムの基本的な構成を説明する模式的なブロック図である。
【図２】本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置の模式的な斜視図である。
【図３】本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置の基本的な論理構成を説明する模式的なブロック図である。
【図４】本発明の第１の実施の形態に係るアクセス制御システムに用いる初期パケット定義情報の一例である。
【図５】本発明の第１の実施の形態に係るアクセス制御システムに用いる空間識別子情報の一例である。
【図６】本発明の第１の実施の形態に係るアクセス制御システムに用いるポート変換情報の一例である。
【図７】図７（ａ）は、本発明の第１の実施の形態に係るアクセス制御システムに用いるパケットの内容の一部を模式的に図示した一例である。図７（ｂ）は、図７（ａ）に示す送信元ポート番号と置き換えられるマーキングデータの一例である。
【図８】本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置の動作を説明するフローチャートである。
【図９】本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置を基本的な構成を説明する模式的なブロック図である。
【図１０】本発明の第２の実施の形態に係るアクセス制御システムに用いる制御装置リストの一例である。
【図１１】本発明の第２の実施の形態に係るアクセス制御システムに用いる制御パケットの内容の一部を模式的に図示した一例である。
【図１２】本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置の動作を説明するフローチャートである。
【図１３】本発明の第２の実施の形態に係るアクセス制御システムに用いるアクセス制御装置の基本的な論理構成を説明する模式的なブロック図である。
【図１４】本発明の第２の実施の形態に係るアクセス制御システムに用いるアクセス条件定義情報の一例である。
【図１５】本発明の第２の実施の形態に係るアクセス制御システムに用いる制御情報の一例である。
【図１６】本発明の第２の実施の形態に係るアクセス制御システムに用いる未判断パケットの一例である。
【図１７】本発明の第２の実施の形態に係るアクセス制御システムに用いるアクセス制御装置の動作を説明する模式的なブロック図である。
【図１８】本発明の他の実施の形態に係るアクセス制御システムを基本的な構成を説明する模式的なブロック図である。
【発明を実施するための形態】
【００１８】
次に、図面を参照して、本発明の第１及び第２の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。但し、以下に示す実施の形態は、本発明の技術的思想を具体化するための装置や方法、及びこれらの装置を用いたシステムを例示するものであって、本発明の技術的思想は、下記の実施の形態に例示した装置や方法、及びこれらの装置を用いたシステムに特定するものでない。本発明の技術的思想は、特許請求の範囲に記載された技術的範囲内において、種々の変更を加えることができる。
【００１９】
（第１の実施の形態）
本発明の第１の実施の形態に係るアクセス制御システムは、図１に示すように、物理的に区切られた第１の空間１０に配置され、パケット通信可能な第１の通信装置１２と、物理的に区切られた第２の空間２０に配置され、パケット通信可能な第２の通信装置２２と、第１の通信装置１２、第２の通信装置２２から送信されるパケットを受信し、受信したパケットを、第１の空間１０、第２の空間２０のいずれの空間に配置される通信装置から送信されたパケットであるかを識別する空間識別子を含むマーキングパケットに変換して送信するマーキング装置５と、マーキング装置５が送信するマーキングパケットを受信し、受信したマーキングパケットに含まれる空間識別子に応じて、第１の通信装置１２、第２の通信装置２２の通信の許可、遮断等を制御するアクセス制御装置４と、第１の通信装置１２、第２の通信装置２２の通信対象である通信対象装置６とを備える。
【００２０】
第１の通信装置１２、第２の通信装置２２は、それぞれ通信を中継する第１の中継装置１１、第２の中継装置２１を介して、マーキング装置５と通信可能に接続されている。第１の中継装置１１、第２の中継装置２１は、それぞれ第１の空間１０、第２の空間２０に配置されている。第１の実施の形態の説明において、第１の空間１０、第２の空間２０に、それぞれ第１の通信装置１２、第２の通信装置２２が配置される構成として説明しているが、通信装置が配置されうる物理的に区切られた空間の数は、３以上としても良く、単数としても良い。又、それぞれの空間に配置される中継装置、通信装置の数も、複数であっても良く、単数であっても良い。又、第１の通信装置１２、第２の通信装置２２は、マーキング装置５に直接接続される構成とすることも可能である。
【００２１】
マーキング装置５は、図２に示すように、第１の通信装置１２、第２の通信装置２２、及びアクセス制御装置４とそれぞれ通信可能に接続し、第１の通信装置１２、第２の通信装置２２、及びアクセス制御装置４との通信データの物理ポートとなるネットワークインターフェース５１-1、５１-2、５１-3、…、５１-n（ｎは正の整数）を備える。ネットワークインターフェース５１-1〜５１-nと、第１の通信装置１２、第２の通信装置２２との間の通信は、無線通信でも良く、有線通信でも良い。ネットワークインターフェース５１-1〜５１-nは複数に限るものでなく、単数であっても良い。
【００２２】
マーキング装置５は、図３に示すように、ネットワークインターフェース５１-1〜５１-nの入出力を制御するネットワークインターフェースドライバ５３と、ネットワークインターフェースドライバ５３から受信したパケットをマーキングパケットに変換するマーキング処理部５２とを備える。
【００２３】
マーキング処理部５２は、通信装置から送信されるパケットをネットワークインターフェース５１-1〜５１-nを介して受信するパケット受信部７６と、空間識別子を含むマーキングパケットをネットワークインターフェース５１-1〜５１-nを介して送信するパケット送信部７７と、パケット送信部７７にパケットを送信させるために、パケット送信部７７にパケットを転送、処理する制御手段を論理構成として有する転送処理部７５と、パケット受信部７６が受信したパケットに対して、第１の通信装置１２，２２，…との通信において、セッションを開始する初期パケットを定義する初期パケット定義情報を記憶する初期パケット定義情報記憶部７１と、パケット受信部７６が受信したパケットを送信した通信装置が配置されうる複数の物理的な空間１０，２０，…にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部７２と、パケットの一部を、空間識別子を含むマーキングデータに変換する際の、変換前及び変換後のデータであるポート変換情報を記憶するポート変換情報記憶部７３と、通信装置１２，２２…が配置される物理的な空間に対応する空間識別子を空間識別子情報記憶部７２から読み出し、第１の通信装置１２，２２，…が送信したパケットの一部を、空間識別子を含むマーキングデータに変換することにより、第１の通信装置１２，２２，…が送信したパケットを、空間識別子を含むマーキングパケットに変換し、マーキングパケットを転送処理部７５に受け渡す一連の処理を行う手段を論理構成として有する空間識別子処理部７４とを備える。
【００２４】
初期パケット定義情報記憶部７１、空間識別子情報記憶部７２、ポート変換情報記憶部７３は、それぞれ論理構成としての表示であり、現実にはマーキング装置５の記憶内容は、同一のハードウェアに格納されて構わない。同様に、空間識別子処理部７４、転送処理部７５等も、それぞれ論理構成としての表示であり、同一のハードウェアにより構成することが可能である。
【００２５】
初期パケット定義情報記憶部７１が記憶する初期パケット定義情報は、図４に示すように、パケットの種類と、初期パケットである条件との関係を表すテーブルとすることができる。例えば、プロトコルがＴＣＰの場合、ポート番号に関わらず、ＴＣＰヘッダに含まれるビットフィールド（Ｆｌａｇフィールド）の、コネクションの確率要求であるかを指定する「ｓｙｎ」が１であるパケットを、セッションを開始する初期パケットであると定義することができる。プロトコルがＵＤＰ、ポート番号が５３の場合、ＱＲフィールドが、ドメインネームシステム（ＤＮＳ）サービスにおける照会メッセージであることを指定する「００ｘ０」であるパケットを、初期パケットと定義できる。プロトコルがＵＤＰ、ポート番号が６９の場合、オペレーションコード（Ｏｐｃｏｄｅ）フィールドが、簡易ファイル転送プロトコル（ＴＦＴＰ）サービスにおける読み出し要求であることを指定する「ＲＲＱ」、又は書き込み要求であることを指定する「ＷＲＱ」であるパケットを、初期パケットと定義できる。
【００２６】
又、初期パケット定義情報として、過去一定時間の通信パケットをログとして保持することも可能である。この場合、初期パケット定義情報のログに含まれていないセッション識別情報を含むパケットを、初期パケットと定義できる。
【００２７】
空間識別子情報記憶部７２が記憶する空間識別子情報は、図５に示すように、ネットワークインターフェース５１-1，５１-2，…にそれぞれ対応するネットワークインターフェース番号「1」，「2」，…毎に、空間名に応じた空間識別子が付されている。図５に例示する空間名は、図１に示す空間１０，２０，…に対応する情報である。
【００２８】
空間識別子情報記憶部７２は、空間識別子情報として、ネットワークインターフェース番号、空間識別子、空間名の他、エッジフラグを記憶している。エッジフラグは、ネットワークフェース番号が示す物理ポートが受信したパケットが、更に他のマーキング装置５を介して送信されているか否かを表す値である。エッジフラグが「１（ｔｒｕｅ）」の場合は、当該ネットワークインターフェースから受信されるパケットが、他のマーキング装置５を介さず受信されることを示す。エッジフラグが「０（ｆａｌｓｅ）」の場合は、他のマーキング装置５を介して受信されること、即ち、既にパケットが空間識別子を含んでいることを示す。
【００２９】
図５に示すように、第１の実施の形態においては、複数のネットワークインターフェース毎に空間識別子を付している空間識別子情報を説明したが、例示であり、空間識別子情報記憶部７２が記憶する空間識別子情報は、パケットの送信元である通信装置１２，２２，…と、通信装置１２，２２，…が配置される空間１０，２０，…とを関係付けることができる限り、どのような情報でも良い。ネットワーク上において、通信装置１２，２２，…、中継装置１１，２１，…を識別することができる情報と、それぞれ通信装置１２，２２，…、中継装置１１，２１，…が配置される物理的な空間１０，２０，…にそれぞれ対応する空間識別子とを関係付ける情報を、空間識別子情報として利用することができる。
【００３０】
ポート変換情報記憶部７３が記憶するポート変換情報は、図６に示すように、パケットの一部を、空間識別子を含むマーキングデータに変換する際の、変換前のデータである変換前送信元ポート番号と、変換後のマーキングデータである変換後送信元ポート番号とを含む。変換前送信元ポート番号は、ＴＣＰ、ＵＤＰ等のトランスポート層の送信元ポート番号とすることができる。図６に示すように、ポート変換情報は、他に、パケットに含まれる送信先ＩＰアドレス、送信元ＩＰアドレス、プロトコル、送信先ポート番号等を含む。
【００３１】
パケット受信部７６が受信したパケットが、ＴＣＰヘッダを含む場合、変換前送信元ポート番号は、図７（ａ）に右上がりのハッチングで示す送信元ポート番号となる。図７（ｂ）は、図７（ａ）に示す送信元ポート番号と置き換えられる、空間識別子を含むマーキングデータ（変換後送信元ポート番号）を示す図である。
【００３２】
アクセス制御装置４は、パケットの送信元のＩＰアドレス等、通信装置を識別する情報と併せて、マーキング装置５によって一部をマーキングデータに変換されたパケットに含まれる空間識別子に応じて、パケットの送信元である通信装置１２，２２…から通信対象装置６への通信の制御をする。アクセス制御装置４による通信の制御は、予め、アクセス制御装置４に通信の許可、遮断等のアクセス条件を記憶させておくことによって実現可能である。
【００３３】
＜マーキング方法＞
図８に示すフローチャートを用いて、本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置５の空間識別子処理部７４の動作の一例を説明する：
（イ）先ず、ステップＳ１０１において、通信装置１２から送信され、パケット受信部７６が受信したパケットを、パケット受信部７６から取得する。Ｓ１０２において、ポート変換情報記憶部７３に記憶されるポート変換情報から、パケット受信部７６が受信したパケットの送信元ポート番号の内容と同一の「変換後送信先ポート番号」を検索する。
【００３４】
（ロ）パケット受信部７６が受信したパケットの送信先ポート番号の内容と、ポート変換情報の変換後送信先ポート番号とが一致した場合、ステップＳ１０３において、パケット受信部７６が受信したパケットを、過去にマーキング装置５を通過し、再度マーキング装置５において受信された応答パケットであると判定し、一致しない場合、応答パケットでないと判定する。応答パケットでないと判定された場合はステップＳ１０４に進む。応答パケットであると判定された場合は、ステップＳ１１６に進み、マーキングデータをポート変換情報に記憶される変換前送信元ポート番号に復元し、ステップＳ１１５に進む。
【００３５】
（ハ）ステップＳ１０４において、初期パケット定義情報記憶部７１から初期パケット定義情報を読み出し、パケット受信部７６から取得したパケットが初期パケットであるか否かを判定する。初期パケット定義情報の内容から、初期パケットであると判定された場合は、ステップＳ１０５に進む。初期パケットでないと判定された場合は、ステップＳ１１７に進み、パケットに含まれる送信元ポート番号を、ポート変換情報に従って、変換後送信元ポート番号（マーキングデータ）に変換してステップＳ１１５に進む。
【００３６】
（ニ）ステップＳ１０５において、空間識別子情報記憶部７２から、空間識別子情報を検索し、ステップＳ１０６において、空間識別子情報から、エッジフラグの値を判定する。エッジフラグが「１」の場合は、ステップＳ１１７に進む。エッジフラグが「０」の場合は、ステップＳ１１８に進み、パケットに含まれるマーキングデータのカウンタを「１」加算した値を一時記憶する。パケットに含まれるセッション識別子は維持しステップＳ１１３に進む。
【００３７】
（ホ）ステップＳ１０７において、パケットに含まれるマーキングデータのカウンタに相当する値を「０」に設定して一時記憶し、ステップＳ１０８において、ステップＳ１０５で検索した、ネットワークインターフェース（物理ポート）に対応する空間識別子を一時記憶する。
【００３８】
（ヘ）ステップＳ１０９において、ポート変換情報記憶部７３のポート変換情報から、パケットに含まれるマーキングデータと合致する変換後送信元ポート番号を検索する。ステップＳ１１０において、合致するデータがあった場合は、ステップＳ１１１において、パケットに含まれるセッション識別子の最大値に「１」加算した値を一時記憶する。合致するマーキングデータがない場合は、ステップＳ１１２において、セッション識別子を「０」に設定し、一時記憶する。
【００３９】
（ト）ステップＳ１１３において、ステップＳ１０７〜Ｓ１１２，Ｓ１１８で一時記憶したカウンタの値、空間識別子、セッション識別子を、ポート変換情報の変換後送信元ポート番号にマーキングデータとして記録する。ステップＳ１１４において、パケットの送信元ポート番号を、ポート変換情報記憶部７３のポート変換情報に記録された変換後送信元ポート番号（マーキングデータ）に変換する。
【００４０】
（チ）ステップＳ１１５において、パケット送信部７７に空間識別子を含むパケットを送信させるために、転送処理部７５にパケットを受け渡して終了する。
【００４１】
第１の実施の形態に係るアクセス制御システムによれば、通信装置が配置される空間によってアクセス条件を設定できるので、空間に応じたアクセス制御が用意であり、異なる空間を移動しても通信装置の配置される空間によって、アクセス制御ができる。
【００４２】
又、第１の実施の形態に係るアクセス制御システムによれば、既存のネットワークシステムにアクセス制御装置４、マーキング装置５を設けることで簡単に構築可能であり、更にパケットの一部をマーキングデータに変換することにより、パケット量を増加させることなく、物理的な空間に応じたアクセス制御が可能である。
【００４３】
又、第１の実施の形態に係るアクセス制御システムによれば、空間識別子を含むマーキングデータにセッション識別子を記録することによって、ポート番号の復元時に、変換によるポート番号の重複の問題を生じさせることなく、適切に空間識別子を伝達させることができる。
【００４４】
又、第１の実施の形態に係るアクセス制御システムによれば、パケットを受信したネットワークインターフェース（物理ポート）によって、空間識別子を付与するので、ネットワーク中に複数のマーキング装置５が設けられる場合においても、必要な空間識別子をアクセス制御装置４に送信することができる。
【００４５】
又、第１の実施の形態に係るアクセス制御システムによれば、パケットを受信したネットワークインターフェース（物理ポート）によって、空間識別子を付与するので、ネットワーク中に複数のマーキング装置５が設けられる場合においても、アクセス制御に必要な空間識別子をアクセス制御装置４に送信することができる。
【００４６】
又、第１の実施の形態に係るアクセス制御システムによれば、セッションを開始する初期パケットの一部を、空間識別子を含むマーキングデータに変換するので、マーキング装置５のパケットの変換の負荷が低減できる。
【００４７】
（第２の実施の形態）
本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置５は、図９に示すように、複数のアクセス制御装置のアドレス等の制御装置リストを記憶する制御装置リスト記憶部７８を更に備え、通信装置から送信されたパケットを受信し、空間識別子を含む制御パケットを生成し、制御装置リストに含まれるアクセス制御装置宛てに送信する点で第１の実施の形態に係るアクセス制御システムが備えるマーキング装置と異なる。第２の実施の形態において説明しない他の構成は、第１の実施の形態と実質的に同様であるので、重複した説明を省略する。
【００４８】
制御装置リスト記憶部７８は、図１０に示すような制御装置リストを記憶しており、制御装置リストは、各アクセス制御装置４の識別番号と、ＩＰアドレスを含む。
【００４９】
第２の実施の形態に係るアクセス制御システムが備える空間識別子処理部７４は、図１１に示すように、空間識別子、通信装置から送信された対象パケットを含む制御パケットを生成する。
【００５０】
＜マーキング方法＞
図１２に示すフローチャートを用いて、本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置５の空間識別子処理部７４の動作の一例を説明する：
（イ）先ず、ステップＳ２０１において、通信装置１２から送信され、パケット受信部７６が受信したパケットを、パケット受信部７６から取得する。Ｓ２０２において、例えば、空間識別子情報記憶部７２等の記憶内容から、受信したパケットがマーキング装置５において生成された制御パケットであるか否かを判定する。制御パケットである場合は、ステップＳ２１０に進み、制御パケットに含まれるカウンタに「１」加算し、図１１に示すように、既存の空間識別子を維持したまま新たな空間識別子を階層的に追記し、ステップＳ２０９に進む。制御パケットでない場合はステップＳ２０３に進む。
【００５１】
（ロ）ステップＳ２０３において、初期パケット定義情報記憶部７１から初期パケット定義情報を読み出し、パケット受信部７６から取得したパケットが初期パケットであるか否かを判定する。初期パケット定義情報の内容から、初期パケットでないと判定された場合は、ステップＳ２０９に進み、初期パケットであると判定された場合は、ステップＳ２０４に進む。
【００５２】
（ハ）ステップＳ２０４において、空間識別子情報記憶部７２から、空間識別子情報を検索する。ステップＳ２０５において、空間識別子情報から、エッジフラグの値を判定する。エッジフラグが「０」の場合は、ステップＳ２０９に進む。エッジフラグが「１」の場合は、ステップＳ２０６に進む。
【００５３】
（ニ）ステップＳ２０６において、カウンタを「０」に設定して、図１１に示すような制御パケットを生成する。ステップＳ２０７において、生成した制御パケットに第１空間識別子を書き込み、ステップＳ２０８において、空間識別子を含む制御パケットを、パケット送信部７７から送信させるために、転送処理部７５に受け渡す。
【００５４】
（ホ）ステップＳ２０９において、アクセス制御の対象である対象パケットを、パケット送信部７７から送信させるために、転送処理部７５に受け渡して終了する。
【００５５】
＜アクセス制御装置＞
第２の実施形態に係るアクセス制御システムが備えるアクセス制御装置４は、図１３に示すように、パケットを送信した通信装置１２，２２，…の通信を通信装置１２，２２，…が配置される物理的な空間に応じて制御するアクセス制御部４１と、図示を省略したネットワークインターフェースの入出力を制御するネットワークインターフェースドライバ４２とを備える。
【００５６】
アクセス制御部４１は、マーキング装置５等から送信されるパケットを、図示を省略したネットワークインターフェースを介して受信するパケット受信部４８と、パケットを、図示を省略したネットワークインターフェースを介して送信するパケット送信部４９と、パケット送信部４９にパケットを送信させるために、パケット送信部４９にパケットを転送、処理する制御手段を論理構成として有する転送処理部４７と、通信装置１２，２２，…の通信の許可、遮断等のアクセス条件を定義するアクセス条件定義情報を記憶するアクセス条件定義情報記憶部４３と、アクセス条件定義情報記憶部４３のアクセス条件定義情報に基づいて、通信装置１２，２２，…の通信の許可、遮断等のアクセス条件、パケットの送信元ポート番号等の制御情報を記憶する制御情報記憶部４４と、制御情報記憶部４４の制御情報に登録されていないパケットを登録する未判断パケットリストを記憶する未判断パケットリスト記憶部４５と、パケット受信部４８が受信するパケットに含まれる空間識別子に応じて、パケットを送信した通信装置１２，２２，…の通信の可否を制御する一連の手段を論理構成として有するアクセス制御処理部４６とを備える。
【００５７】
アクセス条件定義情報記憶部４３のアクセス条件定義情報は、図１４に示すように、送信されるパケットの送信先ＩＰアドレス、送信元ＩＰアドレス、プロトコル、送信先ポート番号、空間識別子、アクセス許可の可否等のアクセス条件等の情報を含む。アクセス制御処理部４６は、パケットに含まれる空間識別子に対応するアクセス条件をアクセス条件定義情報記憶部４３から読み出す。
【００５８】
制御情報記憶部４４の制御情報は、図１５に示すように、送信されるパケットの送信先ＩＰアドレス、送信元ＩＰアドレス、プロトコル、送信先ポート番号、送信元ポート番号、アクセス許可の可否等のアクセス条件等の情報を含む。アクセス制御処理部４６は、アクセス条件定義情報記憶部４３から読み出したアクセス条件に基づいて、制御情報記憶部４４の制御情報を登録、変更し、制御情報記憶部４４の制御情報に基づいて、パケットを送信した通信装置１２，２２，…の通信の可否を制御する。
【００５９】
未判断パケットリスト記憶部４５の未判断パケットリストは、図１６に示すように、アクセス制御の対象である対象パケットであり、制御情報記憶部４４の制御情報に登録されていないパケットのリストである。
【００６０】
＜アクセス制御方法＞
図１７に示すフローチャートを用いて、本発明の第２の実施の形態に係るアクセス制御システムが備えるアクセス制御装置４のアクセス制御処理部４６の動作の一例を説明する：
（イ）先ず、ステップＳ３０１において、マーキング装置５等からパケット受信部４８が受信したパケットを、パケット受信部４８から取得する。ステップＳ３０２において、アクセス条件定義情報記憶部４３等を参照し、取得したパケットが制御パケットであるか否かを判定する。制御パケットである場合は、ステップＳ３０３に進む。
【００６１】
（ロ）制御パケットでない場合は、ステップＳ３１０において、制御情報記憶部４４の制御情報を検索し、アクセスの許可、又は遮断を判断し、ステップＳ３１１において、受信したパケットが制御情報に登録済みか否かを判定する。制御情報に登録済みの場合は、ステップＳ３１２に進み、未登録の場合は、ステップＳ３１５に進みパケットを破棄して終了する。
【００６２】
（ハ）ステップＳ３１２において、制御情報の内容から、受信したパケットについて、アクセス許可されているか否かを判定する。アクセス許可されている場合は、ステップＳ３１３に進み、転送処理部４７にパケットを受け渡し、終了する。アクセス許可されていない場合は、ステップＳ３１５に進み、パケットを破棄して終了する。
【００６３】
（ニ）ステップＳ３０２の判定において、受信したパケットが制御パケットであると判定された場合は、ステップＳ３０３において、アクセス条件定義情報記憶部４３のアクセス条件定義情報を検索して、対象パケットに対して、アクセスの許可、遮断を判断する。ステップＳ３０４において、制御情報記憶部４４に、パケットの情報と、アクセスの許可、又は遮断のいずれであるかを登録する。登録した後、ステップＳ３０５において、受信した制御パケットを破棄する。
【００６４】
（ホ）ステップＳ３０６において、未判断パケットリストからマッチする全パケットを検索する。ステップＳ３０７において、制御情報の内容から、検索されたパケットが、アクセス許可されているか否かを判定する。アクセス許可されている場合、ステップＳ３０８に進み、マッチした全パケットを転送処理部４７に受け渡し、ステップＳ３０９に進む。アクセス許可されていない場合、ステップＳ３０９に進む。ステップＳ３０９において、マッチした全パケットを未判断パケットリスト記憶部４５の未判断パケットリストから削除して終了する。
【００６５】
第２の実施の形態に係るアクセス制御システムによれば、固定長のフィールドに階層的に空間識別子を記録できるため、パケット分割等のネットワーク負荷の増加なく、複数の空間識別子を適切に送信できる。
【００６６】
又、第２の実施の形態に係るアクセス制御システムによれば、空間識別子を含む制御パケットを生成して送信可能なので、パケットの書き換えをせずに、通信装置が配置される物理的な空間に応じてアクセス制御をすることができる。
【００６７】
又、第２の実施の形態に係るアクセス制御システムは、マーキング装置５が制御装置リスト記憶部７８を備えているので、例えば、ネットワーク中に複数のアクセス制御装置４が設けられ、通信経路が動的に変更される場合であっても、対象パケットが通過しうるアクセス制御装置４に、空間識別子を含む制御パケットを伝達できる。
【００６８】
又、第２の実施の形態に係るアクセス制御システムによれば、アクセス制御装置４が制御情報記憶部４４、未判断パケットリスト記憶部４５等を備えるので、アクセス制御装置４が、制御パケットを受信する前に対象パケットを受信しても、正確にアクセス制御ができる。
【００６９】
（その他の実施の形態）
上記のように、本発明は第１及び第２の実施の形態によって記載したが、この開示の一部をなす論述及び図面は本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。
【００７０】
既に述べた第１及び第２の実施の形態においては、アクセス制御システムは、図１８に示すように、所定の範囲の機器を統合して管理する所謂ホームネットワーク等のローカルネットワーク９に設けられたシステムとしても良い。
【００７１】
本発明のその他の実施の形態に係るアクセス制御システムは、図１８に示すように、第１及び第２の実施の形態に係るアクセス制御システムに加え、物理的に区切られた空間３０内に、種々のデータを格納、管理するデータサーバ３２と、通信装置１２，２２からデータサーバ３２への通信の可否を、空間識別子によって制御するアクセス制御部３３と、マーキング装置５とデータサーバ３２との間の通信を中継する中継装置３１とを備える点で第１及び第２の実施の形態と異なる。アクセス制御部３３の構成は、第２の実施の形態において説明したアクセス制御部４１と実質的に同様であるので、重複する説明を省略する。
【００７２】
本発明のその他の実施の形態に係るアクセス制御システムによれば、通信装置が配置される物理的に区切られた空間に応じたアクセス制御をできるので、例えば、空間２０に配置される通信装置２２からのみ、データサーバ３２へのアクセスを遮断する設定や、空間１０に配置される通信装置１２からのみ、インターネット８へのアクセスを遮断する設定等をすることができる。更に、空間識別子と併せて、時間帯によって異なるアクセス制御をすることも可能である。
【００７３】
このように、第１及び第２の実施の形態を応用した構成等、本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【符号の説明】
【００７４】
４…アクセス制御装置
５…マーキング装置
６…通信対象装置
８…インターネット
９…ローカルネットワーク
１０，２０，３０，…空間
１１，２１，３１，…中継装置
１２，２２，…通信装置
３２…データサーバ
３３，４１…アクセス制御部
４２，５３…ネットワークインターフェースドライバ
４３…アクセス条件定義情報記憶部
４４…制御情報記憶部
４５…未判断パケットリスト記憶部
４６…アクセス制御処理部
４７，７５…転送処理部
４８，７６…パケット受信部
４９，７７…パケット送信部
５１…ネットワークインターフェース
５２…マーキング処理部
７１…初期パケット定義情報記憶部
７２…空間識別子情報記憶部
７３…ポート変換情報記憶部
７４…空間識別子処理部
７８…制御装置リスト記憶部
【技術分野】
【０００１】
本発明は、物理的な空間に応じた識別子を含むパケットを用いるマーキング装置及びアクセス制御装置に関する。
【背景技術】
【０００２】
一般的なアクセス制御は、パケット内の情報や、アクセス制御機器内部の情報に基づいて行われる。例えば、通信端末のＩＰアドレスに応じてアクセス許可を与える方法がある（特許文献１参照）。
【０００３】
例えば、ホームネットワークにおいて、同じ通信端末からのアクセスであっても、通信端末が子供部屋にあるときと、リビングにあるときで、アクセス制御の仕方を換えたい場合がある。この場合、通信端末が、リビングにあるときと子供部屋にあるときで通信端末のＩＰアドレスを変更するという方法が考えられるが、移動の度にアドレスを変更するのは手間がかかる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−０２３４３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、通信端末が配置される空間によってアクセス条件を設定できるマーキング装置及びアクセス制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の第１の態様は、（イ）通信装置から送信されるパケットを受信するパケット受信部と、（ロ）物理的に区切られた複数の空間にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部と、（ハ）通信装置が配置される空間に対応する空間識別子を空間識別子情報記憶部から読み出し、パケット受信部が受信したパケットを、空間識別子を含むパケットに変換する空間識別子処理部と、（ニ）空間識別子を含むパケットを送信するパケット送信部とを備えるマーキング装置であることを要旨とする。
【０００７】
又、本発明の第１の態様に係るマーキング装置においては、少なくとも、通信装置から、通信装置が通信対象とする通信対象装置への通信の可否を、空間識別子に応じて制御するアクセス制御装置に接続され、パケット送信部は、アクセス制御装置に空間識別子を含むパケットを送信する。
【０００８】
又、本発明の第１の態様に係るマーキング装置においては、空間識別子処理部は、パケット受信部が受信したパケットの一部を空間識別子を含むデータに変換する。
【０００９】
又、本発明の第１の態様に係るマーキング装置においては、パケット受信部が受信した空間識別子を含むパケットに対し、更に当該空間識別子と異なる空間識別子を階層的に追記する。
【００１０】
又、本発明の第１の態様に係るマーキング装置においては、パケット受信部が受信したパケットがトランスポート層パケットであり、空間識別子処理部は、トラスポート層パケットの送信元ポート番号を、空間識別子を含むデータに変換する。
【００１１】
又、本発明の第１の態様に係るマーキング装置においては、空間識別子処理部は、空間識別子とパケット受信部が受信したパケットとを含む制御パケットを生成し、パケット送信部は、制御パケットとパケット受信部が受信したパケットとを送信する。
【００１２】
又、本発明の第１の態様に係るマーキング装置においては、アクセス制御装置のアドレスを記憶する制御装置リスト記憶部を更に備え、空間識別子処理部は、制御装置リスト記憶部からアクセス制御装置のアドレスを読み出し、制御パケットを生成し、パケット送信部は、制御パケットをアクセス制御装置宛てに送信する。
【００１３】
又、本発明の第１の態様に係るマーキング装置においては、パケット受信部は、パケットを入力する複数の物理ポートを介して、通信装置から送信されるパケットを受信し、空間識別子情報記憶部が、複数の物理ポートにそれぞれ対応する空間識別子を記憶し、空間識別子処理部は、通信装置から送信されるパケットを入力された物理ポート対応する空間識別子を空間識別子情報記憶部から読み出す。
【００１４】
又、本発明の第１の態様に係るマーキング装置においては、空間識別子処理部は、セッション型の通信においてセッションを開始する初期パケットを、空間識別子を含むパケットに変換する。
【００１５】
本発明の第２の態様に係るアクセス制御装置は、（イ）パケットを受信するパケット受信部と、（ロ）物理的に区切られた複数の空間にそれぞれ対応する空間識別子の内、送信元である通信装置が配置される空間に対応する空間識別子と、当該空間識別子を含むパケットの通信の可否を示す制御情報とを対応付けて記憶する記憶部と、（ハ）通信装置が配置される空間に対応する空間識別子を空間識別子情報記憶部から読み出し、パケット受信部が受信したパケットを、空間識別子を含むパケットに変換するアクセス制御処理部と、（ニ）パケット受信部が、空間識別子を含むパケットを受信した場合において、記憶部に記憶された、空間識別子と、制御情報との対応関係を読み出し、通信の可否を判断するアクセス制御処理部と、（ホ）アクセス制御処理部により通信が許可されたパケットを送信するパケット送信部と、を備えることを要旨とする。
【発明の効果】
【００１６】
本発明によれば、通信端末が配置される空間によってアクセス条件を設定できるマーキング装置及びアクセス制御装置を提供することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の第１の実施の形態に係るアクセス制御システムの基本的な構成を説明する模式的なブロック図である。
【図２】本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置の模式的な斜視図である。
【図３】本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置の基本的な論理構成を説明する模式的なブロック図である。
【図４】本発明の第１の実施の形態に係るアクセス制御システムに用いる初期パケット定義情報の一例である。
【図５】本発明の第１の実施の形態に係るアクセス制御システムに用いる空間識別子情報の一例である。
【図６】本発明の第１の実施の形態に係るアクセス制御システムに用いるポート変換情報の一例である。
【図７】図７（ａ）は、本発明の第１の実施の形態に係るアクセス制御システムに用いるパケットの内容の一部を模式的に図示した一例である。図７（ｂ）は、図７（ａ）に示す送信元ポート番号と置き換えられるマーキングデータの一例である。
【図８】本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置の動作を説明するフローチャートである。
【図９】本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置を基本的な構成を説明する模式的なブロック図である。
【図１０】本発明の第２の実施の形態に係るアクセス制御システムに用いる制御装置リストの一例である。
【図１１】本発明の第２の実施の形態に係るアクセス制御システムに用いる制御パケットの内容の一部を模式的に図示した一例である。
【図１２】本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置の動作を説明するフローチャートである。
【図１３】本発明の第２の実施の形態に係るアクセス制御システムに用いるアクセス制御装置の基本的な論理構成を説明する模式的なブロック図である。
【図１４】本発明の第２の実施の形態に係るアクセス制御システムに用いるアクセス条件定義情報の一例である。
【図１５】本発明の第２の実施の形態に係るアクセス制御システムに用いる制御情報の一例である。
【図１６】本発明の第２の実施の形態に係るアクセス制御システムに用いる未判断パケットの一例である。
【図１７】本発明の第２の実施の形態に係るアクセス制御システムに用いるアクセス制御装置の動作を説明する模式的なブロック図である。
【図１８】本発明の他の実施の形態に係るアクセス制御システムを基本的な構成を説明する模式的なブロック図である。
【発明を実施するための形態】
【００１８】
次に、図面を参照して、本発明の第１及び第２の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。但し、以下に示す実施の形態は、本発明の技術的思想を具体化するための装置や方法、及びこれらの装置を用いたシステムを例示するものであって、本発明の技術的思想は、下記の実施の形態に例示した装置や方法、及びこれらの装置を用いたシステムに特定するものでない。本発明の技術的思想は、特許請求の範囲に記載された技術的範囲内において、種々の変更を加えることができる。
【００１９】
（第１の実施の形態）
本発明の第１の実施の形態に係るアクセス制御システムは、図１に示すように、物理的に区切られた第１の空間１０に配置され、パケット通信可能な第１の通信装置１２と、物理的に区切られた第２の空間２０に配置され、パケット通信可能な第２の通信装置２２と、第１の通信装置１２、第２の通信装置２２から送信されるパケットを受信し、受信したパケットを、第１の空間１０、第２の空間２０のいずれの空間に配置される通信装置から送信されたパケットであるかを識別する空間識別子を含むマーキングパケットに変換して送信するマーキング装置５と、マーキング装置５が送信するマーキングパケットを受信し、受信したマーキングパケットに含まれる空間識別子に応じて、第１の通信装置１２、第２の通信装置２２の通信の許可、遮断等を制御するアクセス制御装置４と、第１の通信装置１２、第２の通信装置２２の通信対象である通信対象装置６とを備える。
【００２０】
第１の通信装置１２、第２の通信装置２２は、それぞれ通信を中継する第１の中継装置１１、第２の中継装置２１を介して、マーキング装置５と通信可能に接続されている。第１の中継装置１１、第２の中継装置２１は、それぞれ第１の空間１０、第２の空間２０に配置されている。第１の実施の形態の説明において、第１の空間１０、第２の空間２０に、それぞれ第１の通信装置１２、第２の通信装置２２が配置される構成として説明しているが、通信装置が配置されうる物理的に区切られた空間の数は、３以上としても良く、単数としても良い。又、それぞれの空間に配置される中継装置、通信装置の数も、複数であっても良く、単数であっても良い。又、第１の通信装置１２、第２の通信装置２２は、マーキング装置５に直接接続される構成とすることも可能である。
【００２１】
マーキング装置５は、図２に示すように、第１の通信装置１２、第２の通信装置２２、及びアクセス制御装置４とそれぞれ通信可能に接続し、第１の通信装置１２、第２の通信装置２２、及びアクセス制御装置４との通信データの物理ポートとなるネットワークインターフェース５１-1、５１-2、５１-3、…、５１-n（ｎは正の整数）を備える。ネットワークインターフェース５１-1〜５１-nと、第１の通信装置１２、第２の通信装置２２との間の通信は、無線通信でも良く、有線通信でも良い。ネットワークインターフェース５１-1〜５１-nは複数に限るものでなく、単数であっても良い。
【００２２】
マーキング装置５は、図３に示すように、ネットワークインターフェース５１-1〜５１-nの入出力を制御するネットワークインターフェースドライバ５３と、ネットワークインターフェースドライバ５３から受信したパケットをマーキングパケットに変換するマーキング処理部５２とを備える。
【００２３】
マーキング処理部５２は、通信装置から送信されるパケットをネットワークインターフェース５１-1〜５１-nを介して受信するパケット受信部７６と、空間識別子を含むマーキングパケットをネットワークインターフェース５１-1〜５１-nを介して送信するパケット送信部７７と、パケット送信部７７にパケットを送信させるために、パケット送信部７７にパケットを転送、処理する制御手段を論理構成として有する転送処理部７５と、パケット受信部７６が受信したパケットに対して、第１の通信装置１２，２２，…との通信において、セッションを開始する初期パケットを定義する初期パケット定義情報を記憶する初期パケット定義情報記憶部７１と、パケット受信部７６が受信したパケットを送信した通信装置が配置されうる複数の物理的な空間１０，２０，…にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部７２と、パケットの一部を、空間識別子を含むマーキングデータに変換する際の、変換前及び変換後のデータであるポート変換情報を記憶するポート変換情報記憶部７３と、通信装置１２，２２…が配置される物理的な空間に対応する空間識別子を空間識別子情報記憶部７２から読み出し、第１の通信装置１２，２２，…が送信したパケットの一部を、空間識別子を含むマーキングデータに変換することにより、第１の通信装置１２，２２，…が送信したパケットを、空間識別子を含むマーキングパケットに変換し、マーキングパケットを転送処理部７５に受け渡す一連の処理を行う手段を論理構成として有する空間識別子処理部７４とを備える。
【００２４】
初期パケット定義情報記憶部７１、空間識別子情報記憶部７２、ポート変換情報記憶部７３は、それぞれ論理構成としての表示であり、現実にはマーキング装置５の記憶内容は、同一のハードウェアに格納されて構わない。同様に、空間識別子処理部７４、転送処理部７５等も、それぞれ論理構成としての表示であり、同一のハードウェアにより構成することが可能である。
【００２５】
初期パケット定義情報記憶部７１が記憶する初期パケット定義情報は、図４に示すように、パケットの種類と、初期パケットである条件との関係を表すテーブルとすることができる。例えば、プロトコルがＴＣＰの場合、ポート番号に関わらず、ＴＣＰヘッダに含まれるビットフィールド（Ｆｌａｇフィールド）の、コネクションの確率要求であるかを指定する「ｓｙｎ」が１であるパケットを、セッションを開始する初期パケットであると定義することができる。プロトコルがＵＤＰ、ポート番号が５３の場合、ＱＲフィールドが、ドメインネームシステム（ＤＮＳ）サービスにおける照会メッセージであることを指定する「００ｘ０」であるパケットを、初期パケットと定義できる。プロトコルがＵＤＰ、ポート番号が６９の場合、オペレーションコード（Ｏｐｃｏｄｅ）フィールドが、簡易ファイル転送プロトコル（ＴＦＴＰ）サービスにおける読み出し要求であることを指定する「ＲＲＱ」、又は書き込み要求であることを指定する「ＷＲＱ」であるパケットを、初期パケットと定義できる。
【００２６】
又、初期パケット定義情報として、過去一定時間の通信パケットをログとして保持することも可能である。この場合、初期パケット定義情報のログに含まれていないセッション識別情報を含むパケットを、初期パケットと定義できる。
【００２７】
空間識別子情報記憶部７２が記憶する空間識別子情報は、図５に示すように、ネットワークインターフェース５１-1，５１-2，…にそれぞれ対応するネットワークインターフェース番号「1」，「2」，…毎に、空間名に応じた空間識別子が付されている。図５に例示する空間名は、図１に示す空間１０，２０，…に対応する情報である。
【００２８】
空間識別子情報記憶部７２は、空間識別子情報として、ネットワークインターフェース番号、空間識別子、空間名の他、エッジフラグを記憶している。エッジフラグは、ネットワークフェース番号が示す物理ポートが受信したパケットが、更に他のマーキング装置５を介して送信されているか否かを表す値である。エッジフラグが「１（ｔｒｕｅ）」の場合は、当該ネットワークインターフェースから受信されるパケットが、他のマーキング装置５を介さず受信されることを示す。エッジフラグが「０（ｆａｌｓｅ）」の場合は、他のマーキング装置５を介して受信されること、即ち、既にパケットが空間識別子を含んでいることを示す。
【００２９】
図５に示すように、第１の実施の形態においては、複数のネットワークインターフェース毎に空間識別子を付している空間識別子情報を説明したが、例示であり、空間識別子情報記憶部７２が記憶する空間識別子情報は、パケットの送信元である通信装置１２，２２，…と、通信装置１２，２２，…が配置される空間１０，２０，…とを関係付けることができる限り、どのような情報でも良い。ネットワーク上において、通信装置１２，２２，…、中継装置１１，２１，…を識別することができる情報と、それぞれ通信装置１２，２２，…、中継装置１１，２１，…が配置される物理的な空間１０，２０，…にそれぞれ対応する空間識別子とを関係付ける情報を、空間識別子情報として利用することができる。
【００３０】
ポート変換情報記憶部７３が記憶するポート変換情報は、図６に示すように、パケットの一部を、空間識別子を含むマーキングデータに変換する際の、変換前のデータである変換前送信元ポート番号と、変換後のマーキングデータである変換後送信元ポート番号とを含む。変換前送信元ポート番号は、ＴＣＰ、ＵＤＰ等のトランスポート層の送信元ポート番号とすることができる。図６に示すように、ポート変換情報は、他に、パケットに含まれる送信先ＩＰアドレス、送信元ＩＰアドレス、プロトコル、送信先ポート番号等を含む。
【００３１】
パケット受信部７６が受信したパケットが、ＴＣＰヘッダを含む場合、変換前送信元ポート番号は、図７（ａ）に右上がりのハッチングで示す送信元ポート番号となる。図７（ｂ）は、図７（ａ）に示す送信元ポート番号と置き換えられる、空間識別子を含むマーキングデータ（変換後送信元ポート番号）を示す図である。
【００３２】
アクセス制御装置４は、パケットの送信元のＩＰアドレス等、通信装置を識別する情報と併せて、マーキング装置５によって一部をマーキングデータに変換されたパケットに含まれる空間識別子に応じて、パケットの送信元である通信装置１２，２２…から通信対象装置６への通信の制御をする。アクセス制御装置４による通信の制御は、予め、アクセス制御装置４に通信の許可、遮断等のアクセス条件を記憶させておくことによって実現可能である。
【００３３】
＜マーキング方法＞
図８に示すフローチャートを用いて、本発明の第１の実施の形態に係るアクセス制御システムが備えるマーキング装置５の空間識別子処理部７４の動作の一例を説明する：
（イ）先ず、ステップＳ１０１において、通信装置１２から送信され、パケット受信部７６が受信したパケットを、パケット受信部７６から取得する。Ｓ１０２において、ポート変換情報記憶部７３に記憶されるポート変換情報から、パケット受信部７６が受信したパケットの送信元ポート番号の内容と同一の「変換後送信先ポート番号」を検索する。
【００３４】
（ロ）パケット受信部７６が受信したパケットの送信先ポート番号の内容と、ポート変換情報の変換後送信先ポート番号とが一致した場合、ステップＳ１０３において、パケット受信部７６が受信したパケットを、過去にマーキング装置５を通過し、再度マーキング装置５において受信された応答パケットであると判定し、一致しない場合、応答パケットでないと判定する。応答パケットでないと判定された場合はステップＳ１０４に進む。応答パケットであると判定された場合は、ステップＳ１１６に進み、マーキングデータをポート変換情報に記憶される変換前送信元ポート番号に復元し、ステップＳ１１５に進む。
【００３５】
（ハ）ステップＳ１０４において、初期パケット定義情報記憶部７１から初期パケット定義情報を読み出し、パケット受信部７６から取得したパケットが初期パケットであるか否かを判定する。初期パケット定義情報の内容から、初期パケットであると判定された場合は、ステップＳ１０５に進む。初期パケットでないと判定された場合は、ステップＳ１１７に進み、パケットに含まれる送信元ポート番号を、ポート変換情報に従って、変換後送信元ポート番号（マーキングデータ）に変換してステップＳ１１５に進む。
【００３６】
（ニ）ステップＳ１０５において、空間識別子情報記憶部７２から、空間識別子情報を検索し、ステップＳ１０６において、空間識別子情報から、エッジフラグの値を判定する。エッジフラグが「１」の場合は、ステップＳ１１７に進む。エッジフラグが「０」の場合は、ステップＳ１１８に進み、パケットに含まれるマーキングデータのカウンタを「１」加算した値を一時記憶する。パケットに含まれるセッション識別子は維持しステップＳ１１３に進む。
【００３７】
（ホ）ステップＳ１０７において、パケットに含まれるマーキングデータのカウンタに相当する値を「０」に設定して一時記憶し、ステップＳ１０８において、ステップＳ１０５で検索した、ネットワークインターフェース（物理ポート）に対応する空間識別子を一時記憶する。
【００３８】
（ヘ）ステップＳ１０９において、ポート変換情報記憶部７３のポート変換情報から、パケットに含まれるマーキングデータと合致する変換後送信元ポート番号を検索する。ステップＳ１１０において、合致するデータがあった場合は、ステップＳ１１１において、パケットに含まれるセッション識別子の最大値に「１」加算した値を一時記憶する。合致するマーキングデータがない場合は、ステップＳ１１２において、セッション識別子を「０」に設定し、一時記憶する。
【００３９】
（ト）ステップＳ１１３において、ステップＳ１０７〜Ｓ１１２，Ｓ１１８で一時記憶したカウンタの値、空間識別子、セッション識別子を、ポート変換情報の変換後送信元ポート番号にマーキングデータとして記録する。ステップＳ１１４において、パケットの送信元ポート番号を、ポート変換情報記憶部７３のポート変換情報に記録された変換後送信元ポート番号（マーキングデータ）に変換する。
【００４０】
（チ）ステップＳ１１５において、パケット送信部７７に空間識別子を含むパケットを送信させるために、転送処理部７５にパケットを受け渡して終了する。
【００４１】
第１の実施の形態に係るアクセス制御システムによれば、通信装置が配置される空間によってアクセス条件を設定できるので、空間に応じたアクセス制御が用意であり、異なる空間を移動しても通信装置の配置される空間によって、アクセス制御ができる。
【００４２】
又、第１の実施の形態に係るアクセス制御システムによれば、既存のネットワークシステムにアクセス制御装置４、マーキング装置５を設けることで簡単に構築可能であり、更にパケットの一部をマーキングデータに変換することにより、パケット量を増加させることなく、物理的な空間に応じたアクセス制御が可能である。
【００４３】
又、第１の実施の形態に係るアクセス制御システムによれば、空間識別子を含むマーキングデータにセッション識別子を記録することによって、ポート番号の復元時に、変換によるポート番号の重複の問題を生じさせることなく、適切に空間識別子を伝達させることができる。
【００４４】
又、第１の実施の形態に係るアクセス制御システムによれば、パケットを受信したネットワークインターフェース（物理ポート）によって、空間識別子を付与するので、ネットワーク中に複数のマーキング装置５が設けられる場合においても、必要な空間識別子をアクセス制御装置４に送信することができる。
【００４５】
又、第１の実施の形態に係るアクセス制御システムによれば、パケットを受信したネットワークインターフェース（物理ポート）によって、空間識別子を付与するので、ネットワーク中に複数のマーキング装置５が設けられる場合においても、アクセス制御に必要な空間識別子をアクセス制御装置４に送信することができる。
【００４６】
又、第１の実施の形態に係るアクセス制御システムによれば、セッションを開始する初期パケットの一部を、空間識別子を含むマーキングデータに変換するので、マーキング装置５のパケットの変換の負荷が低減できる。
【００４７】
（第２の実施の形態）
本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置５は、図９に示すように、複数のアクセス制御装置のアドレス等の制御装置リストを記憶する制御装置リスト記憶部７８を更に備え、通信装置から送信されたパケットを受信し、空間識別子を含む制御パケットを生成し、制御装置リストに含まれるアクセス制御装置宛てに送信する点で第１の実施の形態に係るアクセス制御システムが備えるマーキング装置と異なる。第２の実施の形態において説明しない他の構成は、第１の実施の形態と実質的に同様であるので、重複した説明を省略する。
【００４８】
制御装置リスト記憶部７８は、図１０に示すような制御装置リストを記憶しており、制御装置リストは、各アクセス制御装置４の識別番号と、ＩＰアドレスを含む。
【００４９】
第２の実施の形態に係るアクセス制御システムが備える空間識別子処理部７４は、図１１に示すように、空間識別子、通信装置から送信された対象パケットを含む制御パケットを生成する。
【００５０】
＜マーキング方法＞
図１２に示すフローチャートを用いて、本発明の第２の実施の形態に係るアクセス制御システムが備えるマーキング装置５の空間識別子処理部７４の動作の一例を説明する：
（イ）先ず、ステップＳ２０１において、通信装置１２から送信され、パケット受信部７６が受信したパケットを、パケット受信部７６から取得する。Ｓ２０２において、例えば、空間識別子情報記憶部７２等の記憶内容から、受信したパケットがマーキング装置５において生成された制御パケットであるか否かを判定する。制御パケットである場合は、ステップＳ２１０に進み、制御パケットに含まれるカウンタに「１」加算し、図１１に示すように、既存の空間識別子を維持したまま新たな空間識別子を階層的に追記し、ステップＳ２０９に進む。制御パケットでない場合はステップＳ２０３に進む。
【００５１】
（ロ）ステップＳ２０３において、初期パケット定義情報記憶部７１から初期パケット定義情報を読み出し、パケット受信部７６から取得したパケットが初期パケットであるか否かを判定する。初期パケット定義情報の内容から、初期パケットでないと判定された場合は、ステップＳ２０９に進み、初期パケットであると判定された場合は、ステップＳ２０４に進む。
【００５２】
（ハ）ステップＳ２０４において、空間識別子情報記憶部７２から、空間識別子情報を検索する。ステップＳ２０５において、空間識別子情報から、エッジフラグの値を判定する。エッジフラグが「０」の場合は、ステップＳ２０９に進む。エッジフラグが「１」の場合は、ステップＳ２０６に進む。
【００５３】
（ニ）ステップＳ２０６において、カウンタを「０」に設定して、図１１に示すような制御パケットを生成する。ステップＳ２０７において、生成した制御パケットに第１空間識別子を書き込み、ステップＳ２０８において、空間識別子を含む制御パケットを、パケット送信部７７から送信させるために、転送処理部７５に受け渡す。
【００５４】
（ホ）ステップＳ２０９において、アクセス制御の対象である対象パケットを、パケット送信部７７から送信させるために、転送処理部７５に受け渡して終了する。
【００５５】
＜アクセス制御装置＞
第２の実施形態に係るアクセス制御システムが備えるアクセス制御装置４は、図１３に示すように、パケットを送信した通信装置１２，２２，…の通信を通信装置１２，２２，…が配置される物理的な空間に応じて制御するアクセス制御部４１と、図示を省略したネットワークインターフェースの入出力を制御するネットワークインターフェースドライバ４２とを備える。
【００５６】
アクセス制御部４１は、マーキング装置５等から送信されるパケットを、図示を省略したネットワークインターフェースを介して受信するパケット受信部４８と、パケットを、図示を省略したネットワークインターフェースを介して送信するパケット送信部４９と、パケット送信部４９にパケットを送信させるために、パケット送信部４９にパケットを転送、処理する制御手段を論理構成として有する転送処理部４７と、通信装置１２，２２，…の通信の許可、遮断等のアクセス条件を定義するアクセス条件定義情報を記憶するアクセス条件定義情報記憶部４３と、アクセス条件定義情報記憶部４３のアクセス条件定義情報に基づいて、通信装置１２，２２，…の通信の許可、遮断等のアクセス条件、パケットの送信元ポート番号等の制御情報を記憶する制御情報記憶部４４と、制御情報記憶部４４の制御情報に登録されていないパケットを登録する未判断パケットリストを記憶する未判断パケットリスト記憶部４５と、パケット受信部４８が受信するパケットに含まれる空間識別子に応じて、パケットを送信した通信装置１２，２２，…の通信の可否を制御する一連の手段を論理構成として有するアクセス制御処理部４６とを備える。
【００５７】
アクセス条件定義情報記憶部４３のアクセス条件定義情報は、図１４に示すように、送信されるパケットの送信先ＩＰアドレス、送信元ＩＰアドレス、プロトコル、送信先ポート番号、空間識別子、アクセス許可の可否等のアクセス条件等の情報を含む。アクセス制御処理部４６は、パケットに含まれる空間識別子に対応するアクセス条件をアクセス条件定義情報記憶部４３から読み出す。
【００５８】
制御情報記憶部４４の制御情報は、図１５に示すように、送信されるパケットの送信先ＩＰアドレス、送信元ＩＰアドレス、プロトコル、送信先ポート番号、送信元ポート番号、アクセス許可の可否等のアクセス条件等の情報を含む。アクセス制御処理部４６は、アクセス条件定義情報記憶部４３から読み出したアクセス条件に基づいて、制御情報記憶部４４の制御情報を登録、変更し、制御情報記憶部４４の制御情報に基づいて、パケットを送信した通信装置１２，２２，…の通信の可否を制御する。
【００５９】
未判断パケットリスト記憶部４５の未判断パケットリストは、図１６に示すように、アクセス制御の対象である対象パケットであり、制御情報記憶部４４の制御情報に登録されていないパケットのリストである。
【００６０】
＜アクセス制御方法＞
図１７に示すフローチャートを用いて、本発明の第２の実施の形態に係るアクセス制御システムが備えるアクセス制御装置４のアクセス制御処理部４６の動作の一例を説明する：
（イ）先ず、ステップＳ３０１において、マーキング装置５等からパケット受信部４８が受信したパケットを、パケット受信部４８から取得する。ステップＳ３０２において、アクセス条件定義情報記憶部４３等を参照し、取得したパケットが制御パケットであるか否かを判定する。制御パケットである場合は、ステップＳ３０３に進む。
【００６１】
（ロ）制御パケットでない場合は、ステップＳ３１０において、制御情報記憶部４４の制御情報を検索し、アクセスの許可、又は遮断を判断し、ステップＳ３１１において、受信したパケットが制御情報に登録済みか否かを判定する。制御情報に登録済みの場合は、ステップＳ３１２に進み、未登録の場合は、ステップＳ３１５に進みパケットを破棄して終了する。
【００６２】
（ハ）ステップＳ３１２において、制御情報の内容から、受信したパケットについて、アクセス許可されているか否かを判定する。アクセス許可されている場合は、ステップＳ３１３に進み、転送処理部４７にパケットを受け渡し、終了する。アクセス許可されていない場合は、ステップＳ３１５に進み、パケットを破棄して終了する。
【００６３】
（ニ）ステップＳ３０２の判定において、受信したパケットが制御パケットであると判定された場合は、ステップＳ３０３において、アクセス条件定義情報記憶部４３のアクセス条件定義情報を検索して、対象パケットに対して、アクセスの許可、遮断を判断する。ステップＳ３０４において、制御情報記憶部４４に、パケットの情報と、アクセスの許可、又は遮断のいずれであるかを登録する。登録した後、ステップＳ３０５において、受信した制御パケットを破棄する。
【００６４】
（ホ）ステップＳ３０６において、未判断パケットリストからマッチする全パケットを検索する。ステップＳ３０７において、制御情報の内容から、検索されたパケットが、アクセス許可されているか否かを判定する。アクセス許可されている場合、ステップＳ３０８に進み、マッチした全パケットを転送処理部４７に受け渡し、ステップＳ３０９に進む。アクセス許可されていない場合、ステップＳ３０９に進む。ステップＳ３０９において、マッチした全パケットを未判断パケットリスト記憶部４５の未判断パケットリストから削除して終了する。
【００６５】
第２の実施の形態に係るアクセス制御システムによれば、固定長のフィールドに階層的に空間識別子を記録できるため、パケット分割等のネットワーク負荷の増加なく、複数の空間識別子を適切に送信できる。
【００６６】
又、第２の実施の形態に係るアクセス制御システムによれば、空間識別子を含む制御パケットを生成して送信可能なので、パケットの書き換えをせずに、通信装置が配置される物理的な空間に応じてアクセス制御をすることができる。
【００６７】
又、第２の実施の形態に係るアクセス制御システムは、マーキング装置５が制御装置リスト記憶部７８を備えているので、例えば、ネットワーク中に複数のアクセス制御装置４が設けられ、通信経路が動的に変更される場合であっても、対象パケットが通過しうるアクセス制御装置４に、空間識別子を含む制御パケットを伝達できる。
【００６８】
又、第２の実施の形態に係るアクセス制御システムによれば、アクセス制御装置４が制御情報記憶部４４、未判断パケットリスト記憶部４５等を備えるので、アクセス制御装置４が、制御パケットを受信する前に対象パケットを受信しても、正確にアクセス制御ができる。
【００６９】
（その他の実施の形態）
上記のように、本発明は第１及び第２の実施の形態によって記載したが、この開示の一部をなす論述及び図面は本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。
【００７０】
既に述べた第１及び第２の実施の形態においては、アクセス制御システムは、図１８に示すように、所定の範囲の機器を統合して管理する所謂ホームネットワーク等のローカルネットワーク９に設けられたシステムとしても良い。
【００７１】
本発明のその他の実施の形態に係るアクセス制御システムは、図１８に示すように、第１及び第２の実施の形態に係るアクセス制御システムに加え、物理的に区切られた空間３０内に、種々のデータを格納、管理するデータサーバ３２と、通信装置１２，２２からデータサーバ３２への通信の可否を、空間識別子によって制御するアクセス制御部３３と、マーキング装置５とデータサーバ３２との間の通信を中継する中継装置３１とを備える点で第１及び第２の実施の形態と異なる。アクセス制御部３３の構成は、第２の実施の形態において説明したアクセス制御部４１と実質的に同様であるので、重複する説明を省略する。
【００７２】
本発明のその他の実施の形態に係るアクセス制御システムによれば、通信装置が配置される物理的に区切られた空間に応じたアクセス制御をできるので、例えば、空間２０に配置される通信装置２２からのみ、データサーバ３２へのアクセスを遮断する設定や、空間１０に配置される通信装置１２からのみ、インターネット８へのアクセスを遮断する設定等をすることができる。更に、空間識別子と併せて、時間帯によって異なるアクセス制御をすることも可能である。
【００７３】
このように、第１及び第２の実施の形態を応用した構成等、本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【符号の説明】
【００７４】
４…アクセス制御装置
５…マーキング装置
６…通信対象装置
８…インターネット
９…ローカルネットワーク
１０，２０，３０，…空間
１１，２１，３１，…中継装置
１２，２２，…通信装置
３２…データサーバ
３３，４１…アクセス制御部
４２，５３…ネットワークインターフェースドライバ
４３…アクセス条件定義情報記憶部
４４…制御情報記憶部
４５…未判断パケットリスト記憶部
４６…アクセス制御処理部
４７，７５…転送処理部
４８，７６…パケット受信部
４９，７７…パケット送信部
５１…ネットワークインターフェース
５２…マーキング処理部
７１…初期パケット定義情報記憶部
７２…空間識別子情報記憶部
７３…ポート変換情報記憶部
７４…空間識別子処理部
７８…制御装置リスト記憶部
【特許請求の範囲】
【請求項１】
通信装置から送信されるパケットを受信するパケット受信部と、
物理的に区切られた複数の空間にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部と、
前記通信装置が配置される空間に対応する前記空間識別子を前記空間識別子情報記憶部から読み出し、前記パケット受信部が受信したパケットを、前記空間識別子を含むパケットに変換する空間識別子処理部と、
前記空間識別子を含むパケットを送信するパケット送信部と、
を備えることを特徴とするマーキング装置。
【請求項２】
少なくとも前記通信装置から前記通信装置が通信対象とする通信対象装置への通信の可否を、前記空間識別子に応じて制御するアクセス制御装置に接続され、
前記パケット送信部は、前記アクセス制御装置に前記空間識別子を含むパケットを送信することを特徴とする請求項１に記載のマーキング装置。
【請求項３】
前記空間識別子処理部は、前記パケット受信部が受信したパケットの一部を前記空間識別子を含むデータに変換することを特徴とする請求項１又は２に記載のマーキング装置。
【請求項４】
前記パケット受信部が受信した前記空間識別子を含むパケットに対し、更に当該空間識別子と異なる空間識別子を階層的に追記することを特徴とする請求項１〜３のいずれか１項に記載のマーキング装置。
【請求項５】
前記空間識別子処理部は、前記パケット受信部が受信したパケットの送信元ポート番号を、前記空間識別子を含むデータに変換することを特徴とする請求項１〜３のいずれか１項に記載のマーキング装置。
【請求項６】
前記空間識別子処理部は、前記空間識別子と前記パケット受信部が受信したパケットとを含む制御パケットを生成し、
前記パケット送信部は、前記制御パケットと前記パケット受信部が受信したパケットとを送信することを特徴とする請求項２に記載のマーキング装置。
【請求項７】
前記アクセス制御装置のアドレスを記憶する制御装置リスト記憶部を更に備え、
前記空間識別子処理部は、前記制御装置リスト記憶部から前記アクセス制御装置のアドレスを読み出し、前記制御パケットを生成し、
前記パケット送信部は、前記制御パケットを前記アクセス制御装置宛てに送信することを特徴とする請求項６に記載のマーキング装置。
【請求項８】
前記パケット受信部は、パケットを入力する複数の物理ポートを介して、前記通信装置から送信されるパケットを受信し、
前記空間識別子情報記憶部が、前記複数の物理ポートにそれぞれ対応する前記空間識別子を記憶し、
前記空間識別子処理部は、前記通信装置から送信されるパケットを入力された前記物理ポート対応する前記空間識別子を前記空間識別子情報記憶部から読み出すことを特徴とする請求項１に記載のマーキング装置。
【請求項９】
前記空間識別子処理部は、セッション型の通信においてセッションを開始する初期パケットを、前記空間識別子を含むパケットに変換することを特徴とする請求項１に記載のマーキング装置。
【請求項１０】
パケットを受信するパケット受信部と、
物理的に区切られた複数の空間にそれぞれ対応する空間識別子の内、送信元である通信装置が配置される空間に対応する前記空間識別子と、当該空間識別子を含むパケットの通信の可否を示す制御情報とを対応付けて記憶する記憶部と、
前記通信装置が配置される空間に対応する前記空間識別子を前記空間識別子情報記憶部から読み出し、前記パケット受信部が受信したパケットを、前記空間識別子を含むパケットに変換するアクセス制御処理部と、
前記パケット受信部が、前記空間識別子を含むパケットを受信した場合において、前記記憶部に記憶された、前記空間識別子と、前記制御情報との対応関係を読み出し、前記通信の可否を判断するアクセス制御処理部と、
前記アクセス制御処理部により通信が許可されたパケットを送信するパケット送信部と、
を備えることを特徴とするアクセス制御装置。
【請求項１】
通信装置から送信されるパケットを受信するパケット受信部と、
物理的に区切られた複数の空間にそれぞれ対応する空間識別子を記憶する空間識別子情報記憶部と、
前記通信装置が配置される空間に対応する前記空間識別子を前記空間識別子情報記憶部から読み出し、前記パケット受信部が受信したパケットを、前記空間識別子を含むパケットに変換する空間識別子処理部と、
前記空間識別子を含むパケットを送信するパケット送信部と、
を備えることを特徴とするマーキング装置。
【請求項２】
少なくとも前記通信装置から前記通信装置が通信対象とする通信対象装置への通信の可否を、前記空間識別子に応じて制御するアクセス制御装置に接続され、
前記パケット送信部は、前記アクセス制御装置に前記空間識別子を含むパケットを送信することを特徴とする請求項１に記載のマーキング装置。
【請求項３】
前記空間識別子処理部は、前記パケット受信部が受信したパケットの一部を前記空間識別子を含むデータに変換することを特徴とする請求項１又は２に記載のマーキング装置。
【請求項４】
前記パケット受信部が受信した前記空間識別子を含むパケットに対し、更に当該空間識別子と異なる空間識別子を階層的に追記することを特徴とする請求項１〜３のいずれか１項に記載のマーキング装置。
【請求項５】
前記空間識別子処理部は、前記パケット受信部が受信したパケットの送信元ポート番号を、前記空間識別子を含むデータに変換することを特徴とする請求項１〜３のいずれか１項に記載のマーキング装置。
【請求項６】
前記空間識別子処理部は、前記空間識別子と前記パケット受信部が受信したパケットとを含む制御パケットを生成し、
前記パケット送信部は、前記制御パケットと前記パケット受信部が受信したパケットとを送信することを特徴とする請求項２に記載のマーキング装置。
【請求項７】
前記アクセス制御装置のアドレスを記憶する制御装置リスト記憶部を更に備え、
前記空間識別子処理部は、前記制御装置リスト記憶部から前記アクセス制御装置のアドレスを読み出し、前記制御パケットを生成し、
前記パケット送信部は、前記制御パケットを前記アクセス制御装置宛てに送信することを特徴とする請求項６に記載のマーキング装置。
【請求項８】
前記パケット受信部は、パケットを入力する複数の物理ポートを介して、前記通信装置から送信されるパケットを受信し、
前記空間識別子情報記憶部が、前記複数の物理ポートにそれぞれ対応する前記空間識別子を記憶し、
前記空間識別子処理部は、前記通信装置から送信されるパケットを入力された前記物理ポート対応する前記空間識別子を前記空間識別子情報記憶部から読み出すことを特徴とする請求項１に記載のマーキング装置。
【請求項９】
前記空間識別子処理部は、セッション型の通信においてセッションを開始する初期パケットを、前記空間識別子を含むパケットに変換することを特徴とする請求項１に記載のマーキング装置。
【請求項１０】
パケットを受信するパケット受信部と、
物理的に区切られた複数の空間にそれぞれ対応する空間識別子の内、送信元である通信装置が配置される空間に対応する前記空間識別子と、当該空間識別子を含むパケットの通信の可否を示す制御情報とを対応付けて記憶する記憶部と、
前記通信装置が配置される空間に対応する前記空間識別子を前記空間識別子情報記憶部から読み出し、前記パケット受信部が受信したパケットを、前記空間識別子を含むパケットに変換するアクセス制御処理部と、
前記パケット受信部が、前記空間識別子を含むパケットを受信した場合において、前記記憶部に記憶された、前記空間識別子と、前記制御情報との対応関係を読み出し、前記通信の可否を判断するアクセス制御処理部と、
前記アクセス制御処理部により通信が許可されたパケットを送信するパケット送信部と、
を備えることを特徴とするアクセス制御装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【公開番号】特開２０１１−２０５４５７（Ｐ２０１１−２０５４５７Ａ）
【公開日】平成２３年１０月１３日（２０１１．１０．１３）
【国際特許分類】
【出願番号】特願２０１０−７１５９４（Ｐ２０１０−７１５９４）
【出願日】平成２２年３月２６日（２０１０．３．２６）
【出願人】（０００００５８３２）パナソニック電工株式会社 (17,916)
【Ｆターム（参考）】
【公開日】平成２３年１０月１３日（２０１１．１０．１３）
【国際特許分類】
【出願日】平成２２年３月２６日（２０１０．３．２６）
【出願人】（０００００５８３２）パナソニック電工株式会社 (17,916)
【Ｆターム（参考）】
[ Back to top ]