個体認証に基づいた通信が可能となる通信システム
【課題】特定の個体に対して、端末装置に束縛されることなく、特定のサービスを安全に提供することは困難であった。
【解決手段】中継装置を用いて接続されたネットワークのいずれかと通信することが可能な端末装置と、前記端末装置を前記前記ネットワークのいずれかと通信させるため、中継装置に対して準備作業を命令する命令装置と、からなる通信システムであり、端末装置は、外部から識別情報を読取り、それにより取得された識別情報を命令装置へ送信し、命令装置は、識別情報に応じて準備作業の命令を中継装置に送信し、中継装置は、命令装置から受け取る命令に応じて、端末装置がネットワークのいずれかと通信するための信号処理ルールを生成する通信システムを提供する。
【解決手段】中継装置を用いて接続されたネットワークのいずれかと通信することが可能な端末装置と、前記端末装置を前記前記ネットワークのいずれかと通信させるため、中継装置に対して準備作業を命令する命令装置と、からなる通信システムであり、端末装置は、外部から識別情報を読取り、それにより取得された識別情報を命令装置へ送信し、命令装置は、識別情報に応じて準備作業の命令を中継装置に送信し、中継装置は、命令装置から受け取る命令に応じて、端末装置がネットワークのいずれかと通信するための信号処理ルールを生成する通信システムを提供する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムなどに関する。特に、個体認証などに基づいた通信が可能となる通信システムなどに関する。
【背景技術】
【０００２】
従来、通信システムに用いられるネットワークのセキュリティの研究は、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）などで定義されるレイヤごとに行なわれてきており、これらの研究の成果として、レイヤごとにセキュリティ管理を行なう製品が各種販売されている。
【０００３】
しかしながら、このようにレイヤごとにセキュリティ管理を行なうと、システム全体としてのセキュリティ強度を保つことが困難であり、サービス及び端末の多様性への対応が困難となり、あるいは、管理コストが増大するなどの問題があることを本出願の発明者らは指摘を行ない、ネットワークの複数のレイヤを関連付けて統合的に管理する手法について提案を行なった（例えば、非特許文献１参照。）。そして、このように、複数のレイヤを関連付けてセキュリティを管理することにより、医療分野などに応用した場合、特定のセキュリティポリシーに沿った認証シナリオに従って均一なセキュリティレベルにある端末装置のみにＩＰアドレスの特定のプレフィックスを割り当てることなどにより、そのような端末装置のみに医療情報を管理する地域利用情報ネットワークへのアクセスを許可するネットワークが構築できることを示した。
【非特許文献１】岩井崇、松本実、本田英司、金山健一、廣海緑里著、"IPv6階層セキュリティモデルの実装と適用"、ＩＮＴＥＣ ＴＥＣＨＮＩＣＡＬ ＪＯＵＲＮＡＬ、２００６年８月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、セキュリティ管理の分野における「認証」とは端末などの機器を認証することであり、セキュリティ管理以外の分野においては、利用者などのサービスが提供される対象を特定などする意味で「認証」という単語が用いられている。このため、セキュリティ管理においては、特定の端末装置に特定のサービスを提供することは想定の範囲内といえるが、特定の個体に対して、端末装置に束縛されることなく、特定のサービスを提供することは困難であった。
【課題を解決するための手段】
【０００５】
かかる課題を解決するために、本発明では、言わば、セキュリティ管理の分野における「認証」と、セキュリティ管理以外の分野における「認証」とを統合することを目的とする。具体的には、一又は二以上の中継装置を用いて接続されたネットワークのいずれか一以上と前記中継装置のいずれか一以上を介して通信することが可能な端末装置と、前記端末装置を前記複数のネットワークのいずれか一以上と通信させるため、中継装置に対して準備作業を命令する命令装置と、からなる通信システムであり、端末装置は、外部から識別情報を読取り、それにより取得された識別情報を命令装置へ送信し、命令装置は、準備作業の命令を送信し、中継装置は、端末装置から送信された識別情報に応じて命令装置から受け取る命令に応じて、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するための、その端末装置専用の信号処理ルールを、準備作業として生成するための部を有する通信システムを提供する。
【０００６】
これにより、端末装置で読取られる識別情報による認証と、端末装置などの認証とを組み合わせることができ、課題を解決することができる。
【０００７】
また、端末装置は、外部から読取られた識別情報に応じてネットワークと通信するために自身に割り当てられるＩＰアドレスのプレフィックスに関するプレフィックス情報を受信するようになっていてもよい。また、命令装置は、端末装置から受信した識別情報に応じて、端末装置にプレフィックスが割り当てられる場合、その端末装置に割り当てられるプレフィックスを含むＩＰアドレスを用いて所定のネットワークと通信が可能となる信号処理ルールを生成させるための命令を送信するようになっていてもよい。
【０００８】
これにより、端末装置を、例えば、読取られた識別情報に応じて決まるクローズドネットワークなどへの接続が可能となる。
【０００９】
また、識別情報は、ＲＦＩＤの技術を用いて読取られてもよいし、生体認証情報として読取られたり、生体認証情報から得られる個体の識別情報として取得されたりしてもよい。
【発明の効果】
【００１０】
以上のように、本発明に係る通信システムによれば、サービス提供の対象となる利用者などの認証と、ネットワークのセキュリティ管理における認証とを統合することが可能となり、利用者などと管理者双方の利便性を高めながらネットワークのセキュリティ管理の統一が実現などすることができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明を実施するための最良の形態について、図を参照しながら、実施形態として説明する。なお、本発明は、以下の開示に何ら限定されるものではなく、その要旨を逸脱しない範囲において、種々の態様で実施し得る。
【００１２】
図１は、本発明に係る通信システムの構成を例示する。通信システム１００は、端末装置１０１と、命令装置１０２と、からなる。端末装置１０１は、一又は二以上の中継装置（例えば、レイヤ２機器１０３、ルータ１０４、アクセス網１０５を形成するための中継装置など）を用いて接続された複数のネットワーク１０６、１０７といずれか一以上と、前記中継装置のいずれか一以上を介して通信することが可能である。また、命令装置は、端末装置１０１を複数のネットワーク１０６、１０７のいずれか一以上と通信させるため、中継装置に対して準備作業を命令する装置である。
【００１３】
端末装置としては、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）とメモリ、その他の回路を用いて実現される機器が想定され、特に、パーソナルコンピュータ、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）、携帯電話などの、通信機能を提供し、通信の結果や過程を表示するディスプレイを有する機器がある。また、家電製品、例えば、エアコンディショナ、洗濯機など、ＣＰＵなどは備わっているが、パーソナルコンピュータなどのようには多機能な表示装置を持たない家電製品も含まれ得る。また、家電製品以外としては、ガスメータや水道メータなどの従来は通信機能を通常は有しないと考えられている機器であり、通信機能が付加された機器であってもよい。
【００１４】
端末装置１０１が、ネットワーク１０６、１０７などに接続されたノードなどと通信を行なう際には、レイヤ２機器１０３やルータ１０４などの中継装置、アクセス網１０５を構成する中継装置などを経由してパケットなどの交換が行なわれる。レイヤ２機器１０３としては、ＯＳＩの第２レイヤでの通信を実現するためなどに用いられるスイッチングハブなどがある。ルータ１０４としては、ＯＳＩの第３レイヤでの通信を実現するためなどに用いる機器が挙げられ、例えば、端末装置が家庭などの組織内に設置されていれば、組織内のネットワークと組織外のネットワークである地域ＩＰ網などとを接続するためのルーティングを行なう装置がある。アクセス網１０５としては、今述べたように地域ＩＰ網などを挙げることができ、これは種々のサービスプロバイダとの通信を行なうインフラストラクチャである。ネットワーク１０６、１０７などは、図１のようにアクセス網に直接接続されていてもよいし、サービスプロバイダなどを介してアクセス網１０５と接続されていてもよい。
【００１５】
命令装置１０２は、端末装置１０１を複数のネットワーク１０６、１０７のいずれか一以上と通信させるため、中継装置に準備作業を命令する装置である。「いずれか一以上」とあるので、端末装置１０１は、ネットワーク１０６又はネットワーク１０７と通信をおこなったり、ネットワーク１０６とネットワーク１０７との両方と通信を行なったりすることができる。なお、「ネットワークと通信を行なう」とは、ネットワークを構成するいずれかのノード（例えば、ｈｔｔｐ：／／ｅ−ｗｏｒｄｓ．ｊｐ／ｗ／Ｅ３８３８ＥＥ３８３ＢＣＥ３８３８９．ｈｔｍｌ参照。）と通信を行なうことである。
【００１６】
「準備作業」とは、端末装置１０１が複数のネットワーク１０６、１０７のいずれか一以上と通信するに先立って、その通信を実現するための中継装置が行なう処理などをいう。特にここでいう「通信する」とは、端末装置１０１により正当なパケットの交換を実現することを指すように解釈してもよい。したがって、不正な通信を排除するために行なう中継装置が行なう処理を、準備作業と称してもよい。このような準備作業には、いわゆる「認証」などが含まれ得る。ここでいう認証は、ネットワークセキュリティの分野における認証であり、リンクレイヤでの接続の認証として、ＩＥＥＥ８０２．１Ｘによる認証やＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスによる認証などがあり、端末装置が特定のアクセスポイントにアクセスを行なう際に、アクセスポイントと通信が可能な認証サーバ（例えば、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−ｕｐ Ｓｅｒｖｉｃｅ）サーバ）により認証が行なわれ、その認証には、端末装置のＭＡＣアドレスや電子証明書などが用いられる。また、接続先ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｎｅｔｗｏｒｋ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の制御を行なうことにより、端末装置１０１を検疫ネットワークに接続し、端末装置の状態（例えば、端末装置にインストールされているオペレーティングシステムやウィルスチェックソフトウェアなどのソフトウェアのバージョンなど）をチェックし、チェックした結果得られる状態に異状があれば、バージョンアップやウィルスの感染からの修復などをその検疫ネットワークに接続した状態で試みることも認証に含まれ得、結果として準備作業に含まれ得る。
【００１７】
また、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ６）などにおいては、ルータから送信されるルータ通知（ＲＡ（Ｒｏｕｔｅｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ））により、端末装置１０１などに割り当てるＩＰアドレスのプレフィックスなどを端末装置１０１などに伝えて、特定のプレフィックスを有するＩＰアドレスなどを端末装置１０１などに設定させることも準備作業に含まれ得る。また、特定のパケット（例えば、特定のアドレスやポート番号を宛先とするパケット）の通過をルータなどの有するファイアウォール機能などで阻止するための設定を行ない、端末装置１０１などから送信されたパケットや、ネットワーク１０６、１０７などの外部のネットワークから端末装置１０１などへ向けて送信されたパケットのフィルタリングの設定を行なうことも、準備作業に含まれ得る。また、暗号化通信の技術としては、ＩＰＳｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などが知られており、ネットワークレイヤでの暗号化などの設定を行なうことも準備作業に含まれ得る。
【００１８】
命令装置１０２が準備作業を、レイヤ２機器１０３、ルータ１０４、アクセス網１０５を構成する中継装置などに命令するために、命令装置１０２は、アクセス網１０５に直接あるいはサービスプロバイダなどのネットワークを介して接続されていたり、あるいは、ルータ１０４、レイヤ２機器１０３などと通信可能なネットワークに接続されていたりする。
【００１９】
なお、図１では、端末装置などは一台しか図示されていないが、一台のレイヤ２機器の下に複数の端末装置が設置され、また、一台のルータ装置の下に複数のレイヤ２機器が設置され、一つのアクセス網に複数のルータが接続される場合などを排除するものではない。同様に命令装置は、複数存在してもよく、また、ネットワークは３つ以上あってもよい。また、上述したＲＡＤＩＵＳサーバが命令装置と一体となっており、命令装置がある程度の端末装置などの認証を行なったり、下記に説明する個体の認証を行なうようになっていたりしてもよい。
【００２０】
図２は、端末装置の機能ブロック図を例示する。端末装置２００は、識別情報読取部２０１と識別情報送信部２０２とを有する。
【００２１】
「識別情報読取部」２０１は、外部から識別情報を読取る。「読取る」とは、端末装置２００の周囲にある物体から何らかの信号を得て、その信号を解釈して情報として端末装置２００の内部に取り込むことをいう。「取り込む」とは、例えば、端末装置２００を構成する電子回路やメモリ素子などに一時的あるいは永続的に記憶することをいう。「識別情報」とは、端末装置２００の周囲にある個体そのもの、あるいはそれに関連付けられた個体などを識別する情報をいう。「端末装置２００の周囲にある個体に関連付けられたもの」とは、端末装置２００の周囲にある個体に、何らかの関わりがある個体などをいう。例えば、個体が本や雑誌や農産物であれば、その個体の生産者という個体が関連付けられたものとなる。なお、ここでいう「個体」とは、有体物や人をいう。また、人とは人間のみならず、法人、組合、社団、財団、公共団体、権利能力のない団体を含む概念である。
【００２２】
識別情報の例としては、例えば、ＲＦＩＤ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）の技術を用いて、微小な無線チップにより発せられる電波などを受信して読取られる識別情報がある。このような場合の端末装置の機能ブロック図は、図３に例示されており、端末装置３００は、識別情報読取部３０１と、識別情報送信部３０２とを有し、識別情報読取部３０１は、ＲＦＩＤ手段３０３を有している。「ＲＦＩＤ手段」３０３は、ＲＦＩＤタグなどの無線チップから識別情報を取得する手段である。例えば、アンテナ、受信回路、識別情報取得回路、識別情報取得回路で取得された識別情報を端末装置３００の他の電子回路やメモリ素子に記憶するためのインターフェース回路などから構成される。
【００２３】
また、別の識別情報の例としては、指紋、虹彩、手のひらなどの静脈の形状などを示す生体認証情報がある。このような場合の端末装置の機能ブロック図は、図４に例示されており、端末装置４００は、識別情報読取部４０１と、識別情報送信部４０２とを有し、識別情報読取部４０１は、生体認証情報取得手段４０３を有している。「生体認証情報取得手段」４０２は、例えば、生体認証情報を読取るＣＣＤ、ＣＣＤから得られる信号を処理する回路、処理した結果を端末装置４００の他の電子回路やメモリ素子に記憶するためのインターフェース回路などから構成される。
【００２４】
また、生体認証情報をそのまま識別情報とせずに、生体認証情報からその生体認証情報を取得させた個体を識別する情報を識別情報としてもよい。例えば、指紋などから、その指紋を有する人の氏名や社員番号を検索などして取得して、識別情報とする。このような場合の端末装置の機能ブロック図は、図５に例示されており、端末装置５００は、識別情報読取部５０１と、識別情報送信部５０２とを有し、識別情報読取部５０１は、生体認証情報取得手段５０３と、個体識別情報取得手段５０４とを有する。「個体識別情報取得手段」５０４は、生体認証情報取得手段５０３により取得された生体認証情報により、その生体認証情報を取得させた個体の識別情報を取得する。例えば、指紋の特徴情報と、その指紋を有す人の社員番号を識別情報として関連付けて、端末装置５００のメモリなどの記憶装置に検索可能に記憶しておくか、端末装置５００からアクセスが可能な他の検索認証サーバ装置などに検索可能に記憶しておき、取得された指紋から特徴点を抽出して、特徴点により、検索を行なう回路、あるいはプログラムなどとして実現される。なお、このように読取られた識別情報（例えば、生体認証情報）から別の識別情報（例えば、社員番号）を端末装置が取得する構成により、別の識別情報が取得できない場合、例えば、社員でない人が端末装置を操作しようとしても、本発明では、命令装置により準備作業が命令されないようにすることができる。これにより、準備作業を進めることができないようにすることができ、特定の範囲の人以外にネットワークを利用させることができないようにすることができるので、セキュリティを高めることが可能である。
【００２５】
また、端末装置５００からアクセスが可能な上述した検索認証サーバ装置は、端末装置の電源が投入された後にデフォルトとして接続されるネットワークに配置されるのがよい。例えば、検疫ネットワークにそのような検索認証サーバ装置を配置することが考えられ、検索認証サーバ装置から検索の応答が得られなければ、検疫ネットワークから別のネットワークに接続をすることができないような構成をすることも可能である。
【００２６】
識別情報の他の例としては、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）で接続された機器やメモリ素子などから取得する識別情報、磁気カードやＩＣカードから取得される識別情報などがある。
【００２７】
「識別情報送信部」２０２は、取得された識別情報を命令装置へ送信する。「取得された識別情報」とは、識別情報読取部で読取られた識別情報を含む概念である。識別情報読取部で読取られた識別情報がそのまま送信されてもよい。あるいは、生体認証情報を用いて社員番号を検索するように、読取られた識別情報に対して何らかの抽出などの処理を行なって得られる情報を、取得された識別情報とすることもできる。送信は、命令装置１０２に向けて行なわれる。このため、命令装置１０２は、検疫ネットワークに接続されるのが好適である。あるいは、レイヤ２装置やルータなどの設定により、端末装置から命令装置１０２への通信が可能となる設定が行なわれていてもよい。この場合には、命令装置１０２の配置は自由に行なえるが、ネットワークセキュリティ上、望ましくない場合もあり得る。
【００２８】
図６は、端末装置で行なわれる処理の流れを説明するフローチャートを例示する。このフローチャートの処理は、たとえば、端末装置の電源が投入されたときや、上述の他の検索認証サーバ装置と通信が可能になったときなどに実行される。
【００２９】
ステップＳ６０１において、識別情報が読取り可能になるまで待つ。例えば、定期的にＲＦＩＤタグが応答する周波数帯の電波を発し、その電波に対する応答があるまで待つ。ステップＳ６０２では、識別情報読取部を動作させて、識別情報の読取りを行なう。ステップＳ６０２では、読取りなどして取得された識別情報を、識別情報送信部を動作させて、送信する。
【００３０】
端末装置は、例えば、ＣＰＵ、メモリ、入出力インターフェース、通信インターフェースなどを相互にバスで接続した計算機の上で、図６に例示される処理を行なうためのプログラムを実行することによって実現することができる。例えば、入出力インターフェースにＲＦＩＤなどの識別情報の読取り装置を接続しておき、その入出力インターフェースを示すファイルディスクリプタに対してＷＡＩＴを行ない、識別情報が読取り可能になれば、所定のアドレスのメモリに識別情報を格納して、所定の処理を行ない、通信インターフェースを動作させて、その所定の処理の結果を命令装置へ送信する。ここに所定の処理の例としては、上述のように検索を行なうことや、読取られた識別情報の一部を抽出などして取得することが挙げられる。例えば、商品に付されたＪＡＮコードのバーコード情報や、クレジットカードの番号情報を読取り、そのバーコード情報やクレジットカード番号情報の定められた一部を抽出などして取り出すことで、商品の製造会社を識別する情報や、クレジットカード会社を識別する情報を識別情報として取得し送信することができる。
【００３１】
図７は、命令装置の機能ブロック図を例示する。命令装置７００は、準備命令送信部７０１を有する。「準備命令送信部」７０１は、準備作業の命令である準備命令を送信する。後で説明されるように準備命令は、端末装置から送信された識別情報に応じて、中継装置が受信する。このため、準備命令の送信の前提として、識別情報の受信が行なわれる。
【００３２】
図８は、準備命令の送信の前提として行なわれる識別情報の受信のための部である識別情報受信部を有することを明確にした場合の命令装置の機能ブロック図を例示する。命令装置８００は、準備命令送信部８０１と、識別情報受信部８０２とを有する。「識別情報受信部」８０２は、識別情報を受信する。そして、準備命令送信部８０１は、識別情報受信部８０２で受信された識別情報に応じて、準備命令を送信する。なお、準備命令送信部８０１が準備命令を送信するために用いられるネットワークと、識別情報受信部８０２が識別情報を受信するために用いられるネットワークとは同じであっても良いし、異なっていてもよい。例えば、識別情報受信部８０２は、検疫ネットワークに接続され、準備命令送信部８０１は、準備命令をルータなどに送信するためのネットワークであって検疫ネットワークと異なるネットワークに接続されていてもよい。
【００３３】
図９は、命令装置で行なわれる処理の流れを説明するフローチャートを例示する。ステップＳ９０１において、識別情報の受信が可能になるまで待つ。命令装置は、例えば、準備命令送信部と識別情報受信部とに対応する通信インターフェースを有する計算機として実現される場合には、その通信インターフェースを監視し識別情報が受信されるまで、あるいは、通信インターフェースが識別情報を受信したことを示す割り込み信号を発生させるまで待つ。そして、ステップＳ９０２以下の処理を実現するプログラムを実行する（あるいは、そのプログラムは、ステップＳ９０１に相当するＷＡＩＴシステムコールなどを実行して、ＷＡＩＴシステムコールの処理が終わった後にステップＳ９０２以下の処理を実行すると言ってもよい）。ステップＳ９０２においては、識別情報受信部を動作させて、識別情報を受信する。例えば、通信インターフェースから識別情報を読取り、メモリの所定のアドレス位置に格納する。ステップＳ９０３においては、格納された識別情報に応じて、準備命令を送信する。例えば、識別情報ごとに定められるなどして特定される準備命令を生成し、生成された準備命令を通信インターフェースに書き込むなどの処理を行ない、送信する。
【００３４】
図１０は、識別情報に応じて、準備命令を生成などするためのデータ構造の一例を示す。例えば、図１０（Ａ）に例示されるように識別情報を格納するための列と、利用サービスリストを格納するための列とを有するテーブルを命令装置の記憶領域に記憶する。そして、Ａという識別情報で識別される個体に対して、Ｓ１、Ｓ２、Ｓ３というサービスが提供されるのであれば、Ａを識別情報の列に格納し、同じ行の利用サービスリストの列にＳ１、Ｓ２、Ｓ３とからなるリストへのポインタなどを格納する。また、例えば、Ｂという識別情報で識別される個体に対してＳ１、Ｓ３が提供されるのであれば、Ｂが識別情報の列に格納された行の利用サービスリストの列にＳ１、Ｓ３とからなるリストへのポインタなどを格納し、Ｃという識別情報で識別される個体に対してＳ２が提供されるのであれば、Ｃが識別情報の列に格納された行の利用サービスリストの列にＳ２からなるリストへのポインタなどを格納する。ここでいうサービスの例としては、特定の部署の情報にアクセスを提供するというサービス、会計情報へのアクセスを提供するというサービスなどが挙げられる。
【００３５】
図１０（Ｂ）には、サービスごとに、そのサービスを提供するために必要な準備命令を関連付けるテーブルが例示されている。例えば、Ｓ１というサービスを提供するために必要な準備命令がＰ１０であれば、Ｓ１とＰ１０を同じ行に格納することで関連付けを行なう。同様に、Ｓ２とＰ５を関連付け、Ｓ３とＰ２を関連付けるために、Ｓ２とＰ５、Ｓ３とＰ２を同じ行に格納しておく。ここで、Ｐ１０、Ｐ５、Ｐ２は、必要な命令をＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）などで記述した情報であったり、準備命令を生成するために直接ＣＰＵで実行されるためのプログラムであったりする。ＸＭＬによる記述のように、ハードウェアとしてのＣＰＵが直接実行できない準備命令を、特にシナリオと呼ぶ場合がある。例えば、Ｓ１というサービスを提供する場合に、端末装置のＩＰアドレスが、２００１：２００：：Ａであれば、Ｅ００１で識別される準備命令を送信し、結果がＯＫであれば、Ａ００２で識別される処理を実行し、ＮＧであれば、Ａ００３で識別される処理を実行するシナリオは、＜Ｐｒｅｐ ＩＤ＝”０２３”＞＜ＩｐＡｄｄｒ＞２００１：２００：：Ａ＜／ＩｐＡｄｄｒ＞＜ＡｕｔｈＭｅｔｈｏｄＩＤ＞Ｅ００１＜／ＡｕｔｈＭｅｔｈｏｄＩＤ＞＜ＯＫＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞Ａ００２＜／ＯＫＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞＜ＮＧＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞Ａ００３＜／ＮＧＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞＜／Ｐｒｅｐ＞として記述できる。また、Ｅ００１で識別される準備命令が、検疫実行の命令であれば、＜ＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅ ＩＤ＝”Ｅ００１”＞＜ＡｕｔｈＴｙｐｅ＞検疫実行＜／ＡｕｔｈＴｙｐｅ＞＜／ＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅ＞などとＸＭＬによりシナリオとしての記述が可能である。
【００３６】
例えば、会計情報へのアクセスであれば、準備命令としては、（１）端末装置のＭＡＣアドレスが所定のものであるかどうかを確認すること、（２）会計情報は機密情報の一種であり、端末装置が、複数のネットワークと通信が可能であれば、Ｐ２Ｐソフトウェアなどで情報漏洩が発生する危険性があるので、その端末装置を会計情報の管理を行なうサーバ装置が接続されたネットワークだけに接続するように端末装置にＩＰアドレスを構成するための（あるいはＩＰアドレスに含まれる）所定のプレフィックスを与えたり、ルータなどのルーティングテーブルを書き換える作業を行なうことなどや、ＶＬＡＮ認証により所定のネットワークとのみの接続に切り換える作業が例として挙げられる。
【００３７】
また、検疫実行の命令を送信する場合には、端末装置に対する検疫の程度（例えば、オペレーティングシステムのバージョンの古さが許される程度）をＡｕｔｈＴｙｐｅタグの属性の指定を行なうことなどにより、識別情報や提供サービスに応じて指定することも可能である。例えば、識別情報で識別される個体が、コンピュータ操作の熟練者であれば、ある程度のバージョンの古さは許すが、初心者であれば、最新のバージョンでなければ、検疫の準備作業から次の準備作業に移れないようにすることもできる。
【００３８】
また、準備命令の生成と送信がＣＰＵで直接実行されるプログラムによって行なわれるのであれば、そのプログラムに識別情報や提供サービスを識別する情報を引数として渡すことにより、指定することが可能である。
【００３９】
図１０に例示されるデータ構造などを用いて、利用サービスを介して識別情報と準備命令とを関連付けることの利点としては、例えば、識別情報が社員番号など人を識別する情報であれば、その人の社内での役割が変化するに応じて、利用サービスの識別子を利用サービスリストに追加したり利用サービスリストから削除したりすることで、その人の役割に応じた準備命令を送信する変更作業が容易であることが挙げられる。
【００４０】
また、会計情報などへのアクセスと言っても、種々のサービスの区分が可能である。例えば、経理部員であれば、社内のどの端末からでも会計情報にアクセスができるが、経理部以外の者には、経理部内に設置された特定の端末装置からしかアクセスを許さない場合もある。このような場合には、会計情報へのアクセスというサービスの中をさらに区分したサービスを生成することで、経理部員とそれ以外の者とのアクセス制御の区別が可能であり、柔軟なセキュリティコントロールが可能である。
【００４１】
また、一般にアクセスと言っても、情報の閲覧だけを許すか、情報の閲覧に加えて更新も許すかの区分など、操作の観点からアクセスの区分をすることもできる。そこで、例えば、サーバ装置を、図１のネットワーク１０６とネットワーク１０７との両方に接続しておき、ネットワーク１０６を介してアクセスした場合には、会計情報の閲覧だけが許され、ネットワーク１０７を介してアクセスした場合には、閲覧に加えて会計情報の更新も許されるように設定しておく。そして、会計情報の閲覧のみのサービスを利用する場合には、端末装置がネットワーク１０７に接続されないように、プレフィックスなどを端末装置に設定させる準備命令をルータなどに対して送信するようにすることもできる。
【００４２】
図１１は、中継装置の機能ブロック図を例示する。中継装置１１００は、信号処理ルール生成部１１０１を有する。「信号処理ルール生成部」１１０１は、端末装置から送信された識別情報に応じて命令装置から受け取る準備命令に応じて、準備作業としてその端末装置専用の信号処理ルールを生成するための部である。ここに信号処理ルールとは、その端末装置が行なう通信に伴うパケットの処理ルールである。このような処理ルールは、例えばパケットを処理する通信のレイヤごとに生成することも可能である。例えば、レイヤ２については、所定のＭＡＣアドレスを送信元とするパケットは転送するが、その他のＭＡＣアドレスを送信元とするパケットは転送しないという処理ルールが生成できる。また、レイヤ３については、パケットの送信元のＩＰアドレスと送信先のＩＰアドレスとを比較して、所定の関係にあれば、パケットの転送を行ない、そうでなければ、パケットを削除するか、送信元のＩＰアドレスを所定の関係が成り立つように書き換えるなどの処理ルールが生成できる。また、レイヤ３については、パケットの送信元のＩＰアドレスに応じて、パケットの転送先を個々に選択するような処理ルールも生成可能である。
【００４３】
図１２は、レイヤ２などでの処理ルールを表わすテーブルを例示する。例えば、送信元のＭＡＣアドレスが００：１１：２２：３３：４４：５５であれば、任意のネットワークに転送可であり、送信元のＭＡＣアドレスがａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆであれば、所定のネットワーク以外へは転送不可であることが示されている。例えば、所定のネットワークに命令装置が接続されており、ａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆのＭＡＣアドレスを有する端末装置から命令装置へ送信された識別情報に応じて送信される準備命令によって、任意のネットワークへのパケットの転送を可とする準備作業が行なわれることにより、図１２に例示されたＮＧの列の値がＯＫとなる。また、レイヤ１で、電源ＯＦＦが検出などされれば、その検出の結果が命令装置に送信され、再びＮＧに変更する準備命令が命令装置から送信されるようになっていてもよい。
【００４４】
図１３は、レイヤ３での処理ルールを表わすテーブルを例示する。例えば、２００１：Ａ：：／３２で表わされるネットワークと２００１：１Ａ：：／３２で表わされるネットワークと通信が可能であるためには、端末装置のＩＰアドレスのプレフィックスが２００１：Ａ：１００：：／６４である必要があることを表わし、それ以外の：：／０で表わされるネットワーク（例えば、２００１：Ａ：：／３２と２００１：１Ａ：：／３２を除くネットワーク）と通信が可能であるためには、端末装置のＩＰアドレスのプレフィックスが２００１：Ｂ：１００：：／６４である必要があることを表わしている。端末装置が、２００１：Ｂ：１００：：／６４のプレフィックスで、２００１：Ａ：：／３２で表わされるネットワークへ通信を行なおうとした場合、送信元である端末装置のＩＰアドレスを、２００１：Ａ：１００：：／６４というプレフィックスを有するＩＰアドレスに書き換えたり、その通信によるパケットを削除したりする処理を行なうことが可能である。書き換えるのか、削除するのかは、例えば、その端末装置から命令装置に送信された識別情報により選択が可能である。送信された識別情報によっては、書き換える準備作業を行なう準備命令が命令装置から送信され、あるいは、削除する準備作業を行なう準備命令が命令装置から送信されるようにすることもできる。
【００４５】
また、図１３の処理ルールは、ルータが端末装置に対して送信するルータ通知の内容を表わすと解釈することもできる。すなわち、２００１：Ａ：：／３２で表わされるネットワークへアクセスするには、２００１：Ａ：１００：：／６４というプレフィックスを使用すべきことを表わすルータ通知を、ルータ配下のネットワークにブロードキャストすることを表わしていると解釈できる。また、このようなルータ通知はブロードキャストで通知する以外に、端末装置のアドレスを指定して、個々の端末装置に送信することも可能である。したがって、命令装置は、端末装置から識別情報を受信すると、その識別情報に応じて、ネットワークを表わす情報とそのネットワークと通信する際に用いるべきプレフィックスを送信すべきことを表わす準備命令をルータなどに送信する構成も可能である。このような構成の場合には、後に説明するように端末装置は、プレフィックス情報受信部を備え、命令装置の準備命令送信部は、割当準備命令送信手段を有する構成となる。
【００４６】
図１４は、中継装置の構成をより具体的に示す機能ブロック図である。中継装置１４００は、信号処理ルール生成部１４０１と、準備命令受信部１４０２と、信号処理ルール保持部１４０３と、中継部１４０４とを有する。「準備命令受信部」１４０２は、命令装置から送信される準備命令を受信し、信号処理ルール生成部１４０１に伝達を行なう部である。例えば、通信インターフェースを監視などして、準備命令の受信がされ、読込むことが可能になったかを判断し、可能になったと判断されれば、準備命令の読み込みを行ない、メモリの所定アドレスに書き込み、信号処理ルール生成部１４０１の処理を開始させる。「信号処理ルール保持部」１４０３は、信号処理ルール生成部１４０１で生成された信号処理ルールをメモリなどの記憶装置の所定アドレスに書き込み、記憶する部である。また、信号処理ルール保持部１４０３は、必要に応じては、中継部１４０４に処理を依頼して、ルータ通知を送信したりするようになっていてもよい。「中継部」１４０４は、記憶された信号処理ルールを参照して、中継装置に到達したパケットを処理して転送などを行なう部である。
【００４７】
図１５は、中継装置が準備命令を受信した場合に行なわれる処理の流れを説明するフローチャートを例示する。ステップＳ１５０１において、準備命令受信部１４０２の動作により、準備命令が受信可能になるまで待ち、受信可能になれば、ステップＳ１５０２へ処理を移行させて、準備命令を読み込む。ステップＳ１５０３では、信号処理ルール生成部１４０１の動作により、信号処理ルールが生成される。そして、ステップＳ１５０４では、信号処理ルール保持部１４０３により信号処理ルールの保持が行なわれる。ステップＳ１５０３、Ｓ１５０４の処理により、例えば、図１２の転送可否の列の値が更新されて、更新後のテーブルが記憶されたり、図１３のテーブルの行の追加や削除が行なわれて記憶がされたり、あるいは、ルータ通知が送信されるなどの結果が発生する。
【００４８】
図１６は、以上説明した端末装置、命令装置、中継装置から構成される通信システムでの処理のシーケンス図を例示する。例えば、ステップＳ１６０１において、識別情報が端末装置により読取られる。ステップＳ１６０２において、読取りがされ、あるいは読取りの後に抽出や検索などの処理を行なって取得された識別情報が端末装置から命令装置へ送信される。ステップＳ１６０３、Ｓ１６０４、Ｓ１６０５などでは、命令装置へ送信された識別情報に応じて、命令装置が中継装置を特定して、識別情報を参照などして決定される準備命令を送信する。準備命令を受信した中継装置では、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するための信号処理ルールが生成される準備作業が行なわれる。その後、ステップＳ１６０６において、端末装置が複数のネットワークのいずれか一以上のネットワークと通信を行なう。
【００４９】
なお、図１６では、識別情報の受信がトリガーとなって命令装置が準備命令を中継装置へ送信することが表わされている。しかし、命令装置が識別情報を受信する前にも、命令装置が準備命令を送信する構成となっていてもよい。例えば、端末装置が不正な通信を行なわないようにするために、端末装置が通信できるネットワークを制限したり、端末装置が命令装置とのみ通信ができるような制限をしたりする準備命令が中継装置に送信され、その後、識別情報が端末装置により読取られるようになっていてもよい。また、端末装置が複数のネットワークのいずれか一以上のネットワークとの通信を終了した場合、例えば、その一以上のネットワークから、あるいは、中継装置のいずれかから、通信の終了の情報を命令装置が受信した場合には、命令装置は、再び、端末装置が不正な通信を行なわないようにするために、端末装置が通信できるネットワークを制限したり、端末装置が命令装置とのみ通信ができるような制限をしたりする準備命令が中継装置に送信されるようになっていてもよい。
【００５０】
図１７、図１８は、端末装置がプレフィックス情報受信部を有し、命令装置の準備命令送信部が割当準備命令送信手段を有する場合の端末装置と命令装置との機能ブロック図を例示する。
【００５１】
端末装置１７００は、識別情報読取部１７０１と、識別情報送信部１７０２と、プレフィックス情報受信部１７０３とを有する。「プレフィックス情報受信部」１７０３は、プレフィックス情報を受信する。「プレフィックス情報」とは、外部から読取られた識別情報に応じてネットワークと通信するために自身へ割り当てられるＩＰアドレスのプレフィックスに関する情報である。例えば、特定のネットワークと通信を行なうには、特定のプレフィックスを用いる必要があることを示す情報である。特にここでいう特定のネットワーク（例えば図１のネットワーク１０６、１０７）とは、特に、クローズドネットワークであってもよい。「クローズドネットワーク」とは、種々のサービスを提供する複数のネットワークを接続し特に制限を設けずに複数のネットワークへのアクセスを許すインターネットとは異なり、特定のサービスを提供するための特定のノードから構成されるネットワークをいう。あるいは、特定の端末装置のみからアクセスが可能なネットワークである。前者であれば、例えば、会計情報のみを扱うサーバ装置のみから構成されるネットワーク、社員情報のみを扱うサーバ装置のみから構成されるネットワークである（例えば、ｈｔｔｐ：／／ｉｔｐｒｏ．ｎｉｋｋｅｉｂｐ．ｃｏ．ｊｐ／ｆｒｅｅ／ＩＴＰｒｏ／ＯＰＩＮＩＯＮ／２００４０８２０／１４８８０２／参照。）。このようにサービスごとにクローズドネットワークを構成することにより、ルータなどに対して所定の準備作業を行なっておけば、特定のサービスを利用している間は他のネットワークに接続することを制限することなどが可能である。また、後者であれば、特定の利用者が利用する任意あるいは所定の端末装置からクローズドネットワークへ至る中継装置に対して、その端末装置からのそのクローズドネットワークへのアクセスを許可する準備命令を送信することで、利用する人を制限したクローズドネットワークが実現可能である。
【００５２】
命令装置１８００は、準備命令送信部１８０１を有し、準備命令送信部１８０１は、割当準備命令送信手段１８０２を有する。「割当準備命令送信手段」１８０２は、取得した識別情報に応じて、端末装置にプレフィックスが割り当てられる場合、その端末装置に割り当てられるプレフィックスを含むＩＰアドレスを用いて所定のネットワークと通信が可能となる信号処理ルールを生成させるための準備命令である割当準備命令を送信する。例えば、端末装置に２００１：Ａ：１００：：／６４が割り当てられて、２００１：Ａ：１００：：９１というＩＰアドレスを用いて、２００１：Ａ：：／３２で表わされるネットワークと通信が行なわれることが、命令装置１８００の取得した識別情報などにより判明した場合、２００１：Ａ：１００：：９１というＩＰアドレスを送信元のアドレスとするパケットを、２００１：Ａ：：／３２で表わされるネットワークへ向けて転送されるような信号処理ルールを中継装置に生成させる割当準備命令を送信する。
【００５３】
以上説明した構成は、種々の応用が可能である。例えば、端末装置を鉄道の駅などの改札装置とすることができる。その改札装置は、複数の鉄道会社の発行するＲＦＩＤタグ付きの定期券から識別情報を読取ることができるようになっているとする。改札装置が、定期券から識別情報を読取った場合、その識別情報から、鉄道会社を識別する部分を抽出して、この部分を命令装置に対して識別情報として送信し、命令装置は、その識別情報により特定される鉄道会社が管理するクローズドネットワークとその改札装置が通信可能となるように、準備命令を中継装置に対して送信し、また、改札装置にそのクローズドネットワークと通信するための所定のプレフィックスを割り当てるなどして、その改札装置は、定期券を発行した鉄道会社が管理するサーバ装置に定期券の識別情報を送信し、有効性の判断などを求めることができる。これにより、複数の鉄道会社が乗り入れる駅の改札装置を一種類のものに統合することが可能である。
【００５４】
また、端末装置をクレジットカードの決済を行なうために店舗に設置される端末装置とすることができる。クレジットカードに記録された磁気情報や、ＩＣカード機能やクレジットカードにＲＦＩＤ機能を持たせてその機能を用いて読取られるクレジットカードの番号から、クレジットカード会社を識別する部分を抽出して、端末装置から命令装置へ送信する。命令装置は、その端末装置がクレジットカード会社のサーバ装置のクローズドネットワークと通信が可能となるように中継装置に準備命令を送信したり、そのクローズドネットワークと通信するための所定のプレフィックスをその端末装置に割り当てさせたり準備命令を送信したりする。これにより、クレジットカードの番号情報という機密性の高い情報をセキュアに取り扱うことができる。同様に、複数の会社の発行する電子マネー情報を一種類の端末装置でセキュアに取り扱うこともでき、新たに電子マネーを発行する会社が出現したり、会社が合併されたりした場合には、多数の端末装置に改良を加える必要はなく、命令装置に記憶などされているデータなどを更新することによって対応することができる。
【００５５】
また、ＲＦＩＤタグを、本、雑誌などの出版物に付加したり、野菜や肉などの農産物に添付したりすることが従来から行なわれているが、本明細書で開示された技術を用いることで、そのような本などを、ＲＦＩＤ読取機能を有する端末装置にかざすなどすることで、本や雑誌の出版社や農産物の生産者などの運営するクローズドネットワークなどに端末装置を接続して、本や農産物の詳細な情報（例えば、農産物のトレーサビリティ情報）などを得ることができる。また、本などの販売の決済なども行なうことが可能である。
【００５６】
このように種々の応用が可能であり、本発明は産業上有用なものである。
【図面の簡単な説明】
【００５７】
【図１】本発明に係る通信システムの構成の一例図
【図２】端末装置の機能ブロック図
【図３】端末装置の機能ブロック図
【図４】端末装置の機能ブロック図
【図５】端末装置の機能ブロック図
【図６】端末装置で行なわれる処理のフローチャート
【図７】命令装置の機能ブロック図
【図８】命令装置の機能ブロック図
【図９】命令装置で行なわれる処理のフローチャート
【図１０】準備命令を生成などするためのデータ構造の一例図
【図１１】中継装置の機能ブロック図
【図１２】処理ルールを表わすテーブルの一例図
【図１３】処理ルールを表わすテーブルの一例図
【図１４】中継装置の機能ブロック図
【図１５】中継装置で行なわれる処理のフローチャート
【図１６】通信システムでの処理のシーケンス図
【図１７】端末装置の機能ブロック図
【図１８】命令装置の機能ブロック図
【符号の説明】
【００５８】
１００ 通信システム
１０１ 端末装置
１０２ 命令装置
１０３ レイヤ２機器
１０４ ルータ
１０５ アクセス網
１０６ ネットワーク
１０７ ネットワーク
【技術分野】
【０００１】
本発明は、通信システムなどに関する。特に、個体認証などに基づいた通信が可能となる通信システムなどに関する。
【背景技術】
【０００２】
従来、通信システムに用いられるネットワークのセキュリティの研究は、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）などで定義されるレイヤごとに行なわれてきており、これらの研究の成果として、レイヤごとにセキュリティ管理を行なう製品が各種販売されている。
【０００３】
しかしながら、このようにレイヤごとにセキュリティ管理を行なうと、システム全体としてのセキュリティ強度を保つことが困難であり、サービス及び端末の多様性への対応が困難となり、あるいは、管理コストが増大するなどの問題があることを本出願の発明者らは指摘を行ない、ネットワークの複数のレイヤを関連付けて統合的に管理する手法について提案を行なった（例えば、非特許文献１参照。）。そして、このように、複数のレイヤを関連付けてセキュリティを管理することにより、医療分野などに応用した場合、特定のセキュリティポリシーに沿った認証シナリオに従って均一なセキュリティレベルにある端末装置のみにＩＰアドレスの特定のプレフィックスを割り当てることなどにより、そのような端末装置のみに医療情報を管理する地域利用情報ネットワークへのアクセスを許可するネットワークが構築できることを示した。
【非特許文献１】岩井崇、松本実、本田英司、金山健一、廣海緑里著、"IPv6階層セキュリティモデルの実装と適用"、ＩＮＴＥＣ ＴＥＣＨＮＩＣＡＬ ＪＯＵＲＮＡＬ、２００６年８月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、セキュリティ管理の分野における「認証」とは端末などの機器を認証することであり、セキュリティ管理以外の分野においては、利用者などのサービスが提供される対象を特定などする意味で「認証」という単語が用いられている。このため、セキュリティ管理においては、特定の端末装置に特定のサービスを提供することは想定の範囲内といえるが、特定の個体に対して、端末装置に束縛されることなく、特定のサービスを提供することは困難であった。
【課題を解決するための手段】
【０００５】
かかる課題を解決するために、本発明では、言わば、セキュリティ管理の分野における「認証」と、セキュリティ管理以外の分野における「認証」とを統合することを目的とする。具体的には、一又は二以上の中継装置を用いて接続されたネットワークのいずれか一以上と前記中継装置のいずれか一以上を介して通信することが可能な端末装置と、前記端末装置を前記複数のネットワークのいずれか一以上と通信させるため、中継装置に対して準備作業を命令する命令装置と、からなる通信システムであり、端末装置は、外部から識別情報を読取り、それにより取得された識別情報を命令装置へ送信し、命令装置は、準備作業の命令を送信し、中継装置は、端末装置から送信された識別情報に応じて命令装置から受け取る命令に応じて、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するための、その端末装置専用の信号処理ルールを、準備作業として生成するための部を有する通信システムを提供する。
【０００６】
これにより、端末装置で読取られる識別情報による認証と、端末装置などの認証とを組み合わせることができ、課題を解決することができる。
【０００７】
また、端末装置は、外部から読取られた識別情報に応じてネットワークと通信するために自身に割り当てられるＩＰアドレスのプレフィックスに関するプレフィックス情報を受信するようになっていてもよい。また、命令装置は、端末装置から受信した識別情報に応じて、端末装置にプレフィックスが割り当てられる場合、その端末装置に割り当てられるプレフィックスを含むＩＰアドレスを用いて所定のネットワークと通信が可能となる信号処理ルールを生成させるための命令を送信するようになっていてもよい。
【０００８】
これにより、端末装置を、例えば、読取られた識別情報に応じて決まるクローズドネットワークなどへの接続が可能となる。
【０００９】
また、識別情報は、ＲＦＩＤの技術を用いて読取られてもよいし、生体認証情報として読取られたり、生体認証情報から得られる個体の識別情報として取得されたりしてもよい。
【発明の効果】
【００１０】
以上のように、本発明に係る通信システムによれば、サービス提供の対象となる利用者などの認証と、ネットワークのセキュリティ管理における認証とを統合することが可能となり、利用者などと管理者双方の利便性を高めながらネットワークのセキュリティ管理の統一が実現などすることができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明を実施するための最良の形態について、図を参照しながら、実施形態として説明する。なお、本発明は、以下の開示に何ら限定されるものではなく、その要旨を逸脱しない範囲において、種々の態様で実施し得る。
【００１２】
図１は、本発明に係る通信システムの構成を例示する。通信システム１００は、端末装置１０１と、命令装置１０２と、からなる。端末装置１０１は、一又は二以上の中継装置（例えば、レイヤ２機器１０３、ルータ１０４、アクセス網１０５を形成するための中継装置など）を用いて接続された複数のネットワーク１０６、１０７といずれか一以上と、前記中継装置のいずれか一以上を介して通信することが可能である。また、命令装置は、端末装置１０１を複数のネットワーク１０６、１０７のいずれか一以上と通信させるため、中継装置に対して準備作業を命令する装置である。
【００１３】
端末装置としては、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）とメモリ、その他の回路を用いて実現される機器が想定され、特に、パーソナルコンピュータ、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）、携帯電話などの、通信機能を提供し、通信の結果や過程を表示するディスプレイを有する機器がある。また、家電製品、例えば、エアコンディショナ、洗濯機など、ＣＰＵなどは備わっているが、パーソナルコンピュータなどのようには多機能な表示装置を持たない家電製品も含まれ得る。また、家電製品以外としては、ガスメータや水道メータなどの従来は通信機能を通常は有しないと考えられている機器であり、通信機能が付加された機器であってもよい。
【００１４】
端末装置１０１が、ネットワーク１０６、１０７などに接続されたノードなどと通信を行なう際には、レイヤ２機器１０３やルータ１０４などの中継装置、アクセス網１０５を構成する中継装置などを経由してパケットなどの交換が行なわれる。レイヤ２機器１０３としては、ＯＳＩの第２レイヤでの通信を実現するためなどに用いられるスイッチングハブなどがある。ルータ１０４としては、ＯＳＩの第３レイヤでの通信を実現するためなどに用いる機器が挙げられ、例えば、端末装置が家庭などの組織内に設置されていれば、組織内のネットワークと組織外のネットワークである地域ＩＰ網などとを接続するためのルーティングを行なう装置がある。アクセス網１０５としては、今述べたように地域ＩＰ網などを挙げることができ、これは種々のサービスプロバイダとの通信を行なうインフラストラクチャである。ネットワーク１０６、１０７などは、図１のようにアクセス網に直接接続されていてもよいし、サービスプロバイダなどを介してアクセス網１０５と接続されていてもよい。
【００１５】
命令装置１０２は、端末装置１０１を複数のネットワーク１０６、１０７のいずれか一以上と通信させるため、中継装置に準備作業を命令する装置である。「いずれか一以上」とあるので、端末装置１０１は、ネットワーク１０６又はネットワーク１０７と通信をおこなったり、ネットワーク１０６とネットワーク１０７との両方と通信を行なったりすることができる。なお、「ネットワークと通信を行なう」とは、ネットワークを構成するいずれかのノード（例えば、ｈｔｔｐ：／／ｅ−ｗｏｒｄｓ．ｊｐ／ｗ／Ｅ３８３８ＥＥ３８３ＢＣＥ３８３８９．ｈｔｍｌ参照。）と通信を行なうことである。
【００１６】
「準備作業」とは、端末装置１０１が複数のネットワーク１０６、１０７のいずれか一以上と通信するに先立って、その通信を実現するための中継装置が行なう処理などをいう。特にここでいう「通信する」とは、端末装置１０１により正当なパケットの交換を実現することを指すように解釈してもよい。したがって、不正な通信を排除するために行なう中継装置が行なう処理を、準備作業と称してもよい。このような準備作業には、いわゆる「認証」などが含まれ得る。ここでいう認証は、ネットワークセキュリティの分野における認証であり、リンクレイヤでの接続の認証として、ＩＥＥＥ８０２．１Ｘによる認証やＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスによる認証などがあり、端末装置が特定のアクセスポイントにアクセスを行なう際に、アクセスポイントと通信が可能な認証サーバ（例えば、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−ｕｐ Ｓｅｒｖｉｃｅ）サーバ）により認証が行なわれ、その認証には、端末装置のＭＡＣアドレスや電子証明書などが用いられる。また、接続先ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｎｅｔｗｏｒｋ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の制御を行なうことにより、端末装置１０１を検疫ネットワークに接続し、端末装置の状態（例えば、端末装置にインストールされているオペレーティングシステムやウィルスチェックソフトウェアなどのソフトウェアのバージョンなど）をチェックし、チェックした結果得られる状態に異状があれば、バージョンアップやウィルスの感染からの修復などをその検疫ネットワークに接続した状態で試みることも認証に含まれ得、結果として準備作業に含まれ得る。
【００１７】
また、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ６）などにおいては、ルータから送信されるルータ通知（ＲＡ（Ｒｏｕｔｅｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ））により、端末装置１０１などに割り当てるＩＰアドレスのプレフィックスなどを端末装置１０１などに伝えて、特定のプレフィックスを有するＩＰアドレスなどを端末装置１０１などに設定させることも準備作業に含まれ得る。また、特定のパケット（例えば、特定のアドレスやポート番号を宛先とするパケット）の通過をルータなどの有するファイアウォール機能などで阻止するための設定を行ない、端末装置１０１などから送信されたパケットや、ネットワーク１０６、１０７などの外部のネットワークから端末装置１０１などへ向けて送信されたパケットのフィルタリングの設定を行なうことも、準備作業に含まれ得る。また、暗号化通信の技術としては、ＩＰＳｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）などが知られており、ネットワークレイヤでの暗号化などの設定を行なうことも準備作業に含まれ得る。
【００１８】
命令装置１０２が準備作業を、レイヤ２機器１０３、ルータ１０４、アクセス網１０５を構成する中継装置などに命令するために、命令装置１０２は、アクセス網１０５に直接あるいはサービスプロバイダなどのネットワークを介して接続されていたり、あるいは、ルータ１０４、レイヤ２機器１０３などと通信可能なネットワークに接続されていたりする。
【００１９】
なお、図１では、端末装置などは一台しか図示されていないが、一台のレイヤ２機器の下に複数の端末装置が設置され、また、一台のルータ装置の下に複数のレイヤ２機器が設置され、一つのアクセス網に複数のルータが接続される場合などを排除するものではない。同様に命令装置は、複数存在してもよく、また、ネットワークは３つ以上あってもよい。また、上述したＲＡＤＩＵＳサーバが命令装置と一体となっており、命令装置がある程度の端末装置などの認証を行なったり、下記に説明する個体の認証を行なうようになっていたりしてもよい。
【００２０】
図２は、端末装置の機能ブロック図を例示する。端末装置２００は、識別情報読取部２０１と識別情報送信部２０２とを有する。
【００２１】
「識別情報読取部」２０１は、外部から識別情報を読取る。「読取る」とは、端末装置２００の周囲にある物体から何らかの信号を得て、その信号を解釈して情報として端末装置２００の内部に取り込むことをいう。「取り込む」とは、例えば、端末装置２００を構成する電子回路やメモリ素子などに一時的あるいは永続的に記憶することをいう。「識別情報」とは、端末装置２００の周囲にある個体そのもの、あるいはそれに関連付けられた個体などを識別する情報をいう。「端末装置２００の周囲にある個体に関連付けられたもの」とは、端末装置２００の周囲にある個体に、何らかの関わりがある個体などをいう。例えば、個体が本や雑誌や農産物であれば、その個体の生産者という個体が関連付けられたものとなる。なお、ここでいう「個体」とは、有体物や人をいう。また、人とは人間のみならず、法人、組合、社団、財団、公共団体、権利能力のない団体を含む概念である。
【００２２】
識別情報の例としては、例えば、ＲＦＩＤ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）の技術を用いて、微小な無線チップにより発せられる電波などを受信して読取られる識別情報がある。このような場合の端末装置の機能ブロック図は、図３に例示されており、端末装置３００は、識別情報読取部３０１と、識別情報送信部３０２とを有し、識別情報読取部３０１は、ＲＦＩＤ手段３０３を有している。「ＲＦＩＤ手段」３０３は、ＲＦＩＤタグなどの無線チップから識別情報を取得する手段である。例えば、アンテナ、受信回路、識別情報取得回路、識別情報取得回路で取得された識別情報を端末装置３００の他の電子回路やメモリ素子に記憶するためのインターフェース回路などから構成される。
【００２３】
また、別の識別情報の例としては、指紋、虹彩、手のひらなどの静脈の形状などを示す生体認証情報がある。このような場合の端末装置の機能ブロック図は、図４に例示されており、端末装置４００は、識別情報読取部４０１と、識別情報送信部４０２とを有し、識別情報読取部４０１は、生体認証情報取得手段４０３を有している。「生体認証情報取得手段」４０２は、例えば、生体認証情報を読取るＣＣＤ、ＣＣＤから得られる信号を処理する回路、処理した結果を端末装置４００の他の電子回路やメモリ素子に記憶するためのインターフェース回路などから構成される。
【００２４】
また、生体認証情報をそのまま識別情報とせずに、生体認証情報からその生体認証情報を取得させた個体を識別する情報を識別情報としてもよい。例えば、指紋などから、その指紋を有する人の氏名や社員番号を検索などして取得して、識別情報とする。このような場合の端末装置の機能ブロック図は、図５に例示されており、端末装置５００は、識別情報読取部５０１と、識別情報送信部５０２とを有し、識別情報読取部５０１は、生体認証情報取得手段５０３と、個体識別情報取得手段５０４とを有する。「個体識別情報取得手段」５０４は、生体認証情報取得手段５０３により取得された生体認証情報により、その生体認証情報を取得させた個体の識別情報を取得する。例えば、指紋の特徴情報と、その指紋を有す人の社員番号を識別情報として関連付けて、端末装置５００のメモリなどの記憶装置に検索可能に記憶しておくか、端末装置５００からアクセスが可能な他の検索認証サーバ装置などに検索可能に記憶しておき、取得された指紋から特徴点を抽出して、特徴点により、検索を行なう回路、あるいはプログラムなどとして実現される。なお、このように読取られた識別情報（例えば、生体認証情報）から別の識別情報（例えば、社員番号）を端末装置が取得する構成により、別の識別情報が取得できない場合、例えば、社員でない人が端末装置を操作しようとしても、本発明では、命令装置により準備作業が命令されないようにすることができる。これにより、準備作業を進めることができないようにすることができ、特定の範囲の人以外にネットワークを利用させることができないようにすることができるので、セキュリティを高めることが可能である。
【００２５】
また、端末装置５００からアクセスが可能な上述した検索認証サーバ装置は、端末装置の電源が投入された後にデフォルトとして接続されるネットワークに配置されるのがよい。例えば、検疫ネットワークにそのような検索認証サーバ装置を配置することが考えられ、検索認証サーバ装置から検索の応答が得られなければ、検疫ネットワークから別のネットワークに接続をすることができないような構成をすることも可能である。
【００２６】
識別情報の他の例としては、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）で接続された機器やメモリ素子などから取得する識別情報、磁気カードやＩＣカードから取得される識別情報などがある。
【００２７】
「識別情報送信部」２０２は、取得された識別情報を命令装置へ送信する。「取得された識別情報」とは、識別情報読取部で読取られた識別情報を含む概念である。識別情報読取部で読取られた識別情報がそのまま送信されてもよい。あるいは、生体認証情報を用いて社員番号を検索するように、読取られた識別情報に対して何らかの抽出などの処理を行なって得られる情報を、取得された識別情報とすることもできる。送信は、命令装置１０２に向けて行なわれる。このため、命令装置１０２は、検疫ネットワークに接続されるのが好適である。あるいは、レイヤ２装置やルータなどの設定により、端末装置から命令装置１０２への通信が可能となる設定が行なわれていてもよい。この場合には、命令装置１０２の配置は自由に行なえるが、ネットワークセキュリティ上、望ましくない場合もあり得る。
【００２８】
図６は、端末装置で行なわれる処理の流れを説明するフローチャートを例示する。このフローチャートの処理は、たとえば、端末装置の電源が投入されたときや、上述の他の検索認証サーバ装置と通信が可能になったときなどに実行される。
【００２９】
ステップＳ６０１において、識別情報が読取り可能になるまで待つ。例えば、定期的にＲＦＩＤタグが応答する周波数帯の電波を発し、その電波に対する応答があるまで待つ。ステップＳ６０２では、識別情報読取部を動作させて、識別情報の読取りを行なう。ステップＳ６０２では、読取りなどして取得された識別情報を、識別情報送信部を動作させて、送信する。
【００３０】
端末装置は、例えば、ＣＰＵ、メモリ、入出力インターフェース、通信インターフェースなどを相互にバスで接続した計算機の上で、図６に例示される処理を行なうためのプログラムを実行することによって実現することができる。例えば、入出力インターフェースにＲＦＩＤなどの識別情報の読取り装置を接続しておき、その入出力インターフェースを示すファイルディスクリプタに対してＷＡＩＴを行ない、識別情報が読取り可能になれば、所定のアドレスのメモリに識別情報を格納して、所定の処理を行ない、通信インターフェースを動作させて、その所定の処理の結果を命令装置へ送信する。ここに所定の処理の例としては、上述のように検索を行なうことや、読取られた識別情報の一部を抽出などして取得することが挙げられる。例えば、商品に付されたＪＡＮコードのバーコード情報や、クレジットカードの番号情報を読取り、そのバーコード情報やクレジットカード番号情報の定められた一部を抽出などして取り出すことで、商品の製造会社を識別する情報や、クレジットカード会社を識別する情報を識別情報として取得し送信することができる。
【００３１】
図７は、命令装置の機能ブロック図を例示する。命令装置７００は、準備命令送信部７０１を有する。「準備命令送信部」７０１は、準備作業の命令である準備命令を送信する。後で説明されるように準備命令は、端末装置から送信された識別情報に応じて、中継装置が受信する。このため、準備命令の送信の前提として、識別情報の受信が行なわれる。
【００３２】
図８は、準備命令の送信の前提として行なわれる識別情報の受信のための部である識別情報受信部を有することを明確にした場合の命令装置の機能ブロック図を例示する。命令装置８００は、準備命令送信部８０１と、識別情報受信部８０２とを有する。「識別情報受信部」８０２は、識別情報を受信する。そして、準備命令送信部８０１は、識別情報受信部８０２で受信された識別情報に応じて、準備命令を送信する。なお、準備命令送信部８０１が準備命令を送信するために用いられるネットワークと、識別情報受信部８０２が識別情報を受信するために用いられるネットワークとは同じであっても良いし、異なっていてもよい。例えば、識別情報受信部８０２は、検疫ネットワークに接続され、準備命令送信部８０１は、準備命令をルータなどに送信するためのネットワークであって検疫ネットワークと異なるネットワークに接続されていてもよい。
【００３３】
図９は、命令装置で行なわれる処理の流れを説明するフローチャートを例示する。ステップＳ９０１において、識別情報の受信が可能になるまで待つ。命令装置は、例えば、準備命令送信部と識別情報受信部とに対応する通信インターフェースを有する計算機として実現される場合には、その通信インターフェースを監視し識別情報が受信されるまで、あるいは、通信インターフェースが識別情報を受信したことを示す割り込み信号を発生させるまで待つ。そして、ステップＳ９０２以下の処理を実現するプログラムを実行する（あるいは、そのプログラムは、ステップＳ９０１に相当するＷＡＩＴシステムコールなどを実行して、ＷＡＩＴシステムコールの処理が終わった後にステップＳ９０２以下の処理を実行すると言ってもよい）。ステップＳ９０２においては、識別情報受信部を動作させて、識別情報を受信する。例えば、通信インターフェースから識別情報を読取り、メモリの所定のアドレス位置に格納する。ステップＳ９０３においては、格納された識別情報に応じて、準備命令を送信する。例えば、識別情報ごとに定められるなどして特定される準備命令を生成し、生成された準備命令を通信インターフェースに書き込むなどの処理を行ない、送信する。
【００３４】
図１０は、識別情報に応じて、準備命令を生成などするためのデータ構造の一例を示す。例えば、図１０（Ａ）に例示されるように識別情報を格納するための列と、利用サービスリストを格納するための列とを有するテーブルを命令装置の記憶領域に記憶する。そして、Ａという識別情報で識別される個体に対して、Ｓ１、Ｓ２、Ｓ３というサービスが提供されるのであれば、Ａを識別情報の列に格納し、同じ行の利用サービスリストの列にＳ１、Ｓ２、Ｓ３とからなるリストへのポインタなどを格納する。また、例えば、Ｂという識別情報で識別される個体に対してＳ１、Ｓ３が提供されるのであれば、Ｂが識別情報の列に格納された行の利用サービスリストの列にＳ１、Ｓ３とからなるリストへのポインタなどを格納し、Ｃという識別情報で識別される個体に対してＳ２が提供されるのであれば、Ｃが識別情報の列に格納された行の利用サービスリストの列にＳ２からなるリストへのポインタなどを格納する。ここでいうサービスの例としては、特定の部署の情報にアクセスを提供するというサービス、会計情報へのアクセスを提供するというサービスなどが挙げられる。
【００３５】
図１０（Ｂ）には、サービスごとに、そのサービスを提供するために必要な準備命令を関連付けるテーブルが例示されている。例えば、Ｓ１というサービスを提供するために必要な準備命令がＰ１０であれば、Ｓ１とＰ１０を同じ行に格納することで関連付けを行なう。同様に、Ｓ２とＰ５を関連付け、Ｓ３とＰ２を関連付けるために、Ｓ２とＰ５、Ｓ３とＰ２を同じ行に格納しておく。ここで、Ｐ１０、Ｐ５、Ｐ２は、必要な命令をＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）などで記述した情報であったり、準備命令を生成するために直接ＣＰＵで実行されるためのプログラムであったりする。ＸＭＬによる記述のように、ハードウェアとしてのＣＰＵが直接実行できない準備命令を、特にシナリオと呼ぶ場合がある。例えば、Ｓ１というサービスを提供する場合に、端末装置のＩＰアドレスが、２００１：２００：：Ａであれば、Ｅ００１で識別される準備命令を送信し、結果がＯＫであれば、Ａ００２で識別される処理を実行し、ＮＧであれば、Ａ００３で識別される処理を実行するシナリオは、＜Ｐｒｅｐ ＩＤ＝”０２３”＞＜ＩｐＡｄｄｒ＞２００１：２００：：Ａ＜／ＩｐＡｄｄｒ＞＜ＡｕｔｈＭｅｔｈｏｄＩＤ＞Ｅ００１＜／ＡｕｔｈＭｅｔｈｏｄＩＤ＞＜ＯＫＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞Ａ００２＜／ＯＫＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞＜ＮＧＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞Ａ００３＜／ＮＧＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅＩＤ＞＜／Ｐｒｅｐ＞として記述できる。また、Ｅ００１で識別される準備命令が、検疫実行の命令であれば、＜ＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅ ＩＤ＝”Ｅ００１”＞＜ＡｕｔｈＴｙｐｅ＞検疫実行＜／ＡｕｔｈＴｙｐｅ＞＜／ＡｃｔｉｏｎＤｉｒｅｃｔｉｖｅ＞などとＸＭＬによりシナリオとしての記述が可能である。
【００３６】
例えば、会計情報へのアクセスであれば、準備命令としては、（１）端末装置のＭＡＣアドレスが所定のものであるかどうかを確認すること、（２）会計情報は機密情報の一種であり、端末装置が、複数のネットワークと通信が可能であれば、Ｐ２Ｐソフトウェアなどで情報漏洩が発生する危険性があるので、その端末装置を会計情報の管理を行なうサーバ装置が接続されたネットワークだけに接続するように端末装置にＩＰアドレスを構成するための（あるいはＩＰアドレスに含まれる）所定のプレフィックスを与えたり、ルータなどのルーティングテーブルを書き換える作業を行なうことなどや、ＶＬＡＮ認証により所定のネットワークとのみの接続に切り換える作業が例として挙げられる。
【００３７】
また、検疫実行の命令を送信する場合には、端末装置に対する検疫の程度（例えば、オペレーティングシステムのバージョンの古さが許される程度）をＡｕｔｈＴｙｐｅタグの属性の指定を行なうことなどにより、識別情報や提供サービスに応じて指定することも可能である。例えば、識別情報で識別される個体が、コンピュータ操作の熟練者であれば、ある程度のバージョンの古さは許すが、初心者であれば、最新のバージョンでなければ、検疫の準備作業から次の準備作業に移れないようにすることもできる。
【００３８】
また、準備命令の生成と送信がＣＰＵで直接実行されるプログラムによって行なわれるのであれば、そのプログラムに識別情報や提供サービスを識別する情報を引数として渡すことにより、指定することが可能である。
【００３９】
図１０に例示されるデータ構造などを用いて、利用サービスを介して識別情報と準備命令とを関連付けることの利点としては、例えば、識別情報が社員番号など人を識別する情報であれば、その人の社内での役割が変化するに応じて、利用サービスの識別子を利用サービスリストに追加したり利用サービスリストから削除したりすることで、その人の役割に応じた準備命令を送信する変更作業が容易であることが挙げられる。
【００４０】
また、会計情報などへのアクセスと言っても、種々のサービスの区分が可能である。例えば、経理部員であれば、社内のどの端末からでも会計情報にアクセスができるが、経理部以外の者には、経理部内に設置された特定の端末装置からしかアクセスを許さない場合もある。このような場合には、会計情報へのアクセスというサービスの中をさらに区分したサービスを生成することで、経理部員とそれ以外の者とのアクセス制御の区別が可能であり、柔軟なセキュリティコントロールが可能である。
【００４１】
また、一般にアクセスと言っても、情報の閲覧だけを許すか、情報の閲覧に加えて更新も許すかの区分など、操作の観点からアクセスの区分をすることもできる。そこで、例えば、サーバ装置を、図１のネットワーク１０６とネットワーク１０７との両方に接続しておき、ネットワーク１０６を介してアクセスした場合には、会計情報の閲覧だけが許され、ネットワーク１０７を介してアクセスした場合には、閲覧に加えて会計情報の更新も許されるように設定しておく。そして、会計情報の閲覧のみのサービスを利用する場合には、端末装置がネットワーク１０７に接続されないように、プレフィックスなどを端末装置に設定させる準備命令をルータなどに対して送信するようにすることもできる。
【００４２】
図１１は、中継装置の機能ブロック図を例示する。中継装置１１００は、信号処理ルール生成部１１０１を有する。「信号処理ルール生成部」１１０１は、端末装置から送信された識別情報に応じて命令装置から受け取る準備命令に応じて、準備作業としてその端末装置専用の信号処理ルールを生成するための部である。ここに信号処理ルールとは、その端末装置が行なう通信に伴うパケットの処理ルールである。このような処理ルールは、例えばパケットを処理する通信のレイヤごとに生成することも可能である。例えば、レイヤ２については、所定のＭＡＣアドレスを送信元とするパケットは転送するが、その他のＭＡＣアドレスを送信元とするパケットは転送しないという処理ルールが生成できる。また、レイヤ３については、パケットの送信元のＩＰアドレスと送信先のＩＰアドレスとを比較して、所定の関係にあれば、パケットの転送を行ない、そうでなければ、パケットを削除するか、送信元のＩＰアドレスを所定の関係が成り立つように書き換えるなどの処理ルールが生成できる。また、レイヤ３については、パケットの送信元のＩＰアドレスに応じて、パケットの転送先を個々に選択するような処理ルールも生成可能である。
【００４３】
図１２は、レイヤ２などでの処理ルールを表わすテーブルを例示する。例えば、送信元のＭＡＣアドレスが００：１１：２２：３３：４４：５５であれば、任意のネットワークに転送可であり、送信元のＭＡＣアドレスがａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆであれば、所定のネットワーク以外へは転送不可であることが示されている。例えば、所定のネットワークに命令装置が接続されており、ａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆのＭＡＣアドレスを有する端末装置から命令装置へ送信された識別情報に応じて送信される準備命令によって、任意のネットワークへのパケットの転送を可とする準備作業が行なわれることにより、図１２に例示されたＮＧの列の値がＯＫとなる。また、レイヤ１で、電源ＯＦＦが検出などされれば、その検出の結果が命令装置に送信され、再びＮＧに変更する準備命令が命令装置から送信されるようになっていてもよい。
【００４４】
図１３は、レイヤ３での処理ルールを表わすテーブルを例示する。例えば、２００１：Ａ：：／３２で表わされるネットワークと２００１：１Ａ：：／３２で表わされるネットワークと通信が可能であるためには、端末装置のＩＰアドレスのプレフィックスが２００１：Ａ：１００：：／６４である必要があることを表わし、それ以外の：：／０で表わされるネットワーク（例えば、２００１：Ａ：：／３２と２００１：１Ａ：：／３２を除くネットワーク）と通信が可能であるためには、端末装置のＩＰアドレスのプレフィックスが２００１：Ｂ：１００：：／６４である必要があることを表わしている。端末装置が、２００１：Ｂ：１００：：／６４のプレフィックスで、２００１：Ａ：：／３２で表わされるネットワークへ通信を行なおうとした場合、送信元である端末装置のＩＰアドレスを、２００１：Ａ：１００：：／６４というプレフィックスを有するＩＰアドレスに書き換えたり、その通信によるパケットを削除したりする処理を行なうことが可能である。書き換えるのか、削除するのかは、例えば、その端末装置から命令装置に送信された識別情報により選択が可能である。送信された識別情報によっては、書き換える準備作業を行なう準備命令が命令装置から送信され、あるいは、削除する準備作業を行なう準備命令が命令装置から送信されるようにすることもできる。
【００４５】
また、図１３の処理ルールは、ルータが端末装置に対して送信するルータ通知の内容を表わすと解釈することもできる。すなわち、２００１：Ａ：：／３２で表わされるネットワークへアクセスするには、２００１：Ａ：１００：：／６４というプレフィックスを使用すべきことを表わすルータ通知を、ルータ配下のネットワークにブロードキャストすることを表わしていると解釈できる。また、このようなルータ通知はブロードキャストで通知する以外に、端末装置のアドレスを指定して、個々の端末装置に送信することも可能である。したがって、命令装置は、端末装置から識別情報を受信すると、その識別情報に応じて、ネットワークを表わす情報とそのネットワークと通信する際に用いるべきプレフィックスを送信すべきことを表わす準備命令をルータなどに送信する構成も可能である。このような構成の場合には、後に説明するように端末装置は、プレフィックス情報受信部を備え、命令装置の準備命令送信部は、割当準備命令送信手段を有する構成となる。
【００４６】
図１４は、中継装置の構成をより具体的に示す機能ブロック図である。中継装置１４００は、信号処理ルール生成部１４０１と、準備命令受信部１４０２と、信号処理ルール保持部１４０３と、中継部１４０４とを有する。「準備命令受信部」１４０２は、命令装置から送信される準備命令を受信し、信号処理ルール生成部１４０１に伝達を行なう部である。例えば、通信インターフェースを監視などして、準備命令の受信がされ、読込むことが可能になったかを判断し、可能になったと判断されれば、準備命令の読み込みを行ない、メモリの所定アドレスに書き込み、信号処理ルール生成部１４０１の処理を開始させる。「信号処理ルール保持部」１４０３は、信号処理ルール生成部１４０１で生成された信号処理ルールをメモリなどの記憶装置の所定アドレスに書き込み、記憶する部である。また、信号処理ルール保持部１４０３は、必要に応じては、中継部１４０４に処理を依頼して、ルータ通知を送信したりするようになっていてもよい。「中継部」１４０４は、記憶された信号処理ルールを参照して、中継装置に到達したパケットを処理して転送などを行なう部である。
【００４７】
図１５は、中継装置が準備命令を受信した場合に行なわれる処理の流れを説明するフローチャートを例示する。ステップＳ１５０１において、準備命令受信部１４０２の動作により、準備命令が受信可能になるまで待ち、受信可能になれば、ステップＳ１５０２へ処理を移行させて、準備命令を読み込む。ステップＳ１５０３では、信号処理ルール生成部１４０１の動作により、信号処理ルールが生成される。そして、ステップＳ１５０４では、信号処理ルール保持部１４０３により信号処理ルールの保持が行なわれる。ステップＳ１５０３、Ｓ１５０４の処理により、例えば、図１２の転送可否の列の値が更新されて、更新後のテーブルが記憶されたり、図１３のテーブルの行の追加や削除が行なわれて記憶がされたり、あるいは、ルータ通知が送信されるなどの結果が発生する。
【００４８】
図１６は、以上説明した端末装置、命令装置、中継装置から構成される通信システムでの処理のシーケンス図を例示する。例えば、ステップＳ１６０１において、識別情報が端末装置により読取られる。ステップＳ１６０２において、読取りがされ、あるいは読取りの後に抽出や検索などの処理を行なって取得された識別情報が端末装置から命令装置へ送信される。ステップＳ１６０３、Ｓ１６０４、Ｓ１６０５などでは、命令装置へ送信された識別情報に応じて、命令装置が中継装置を特定して、識別情報を参照などして決定される準備命令を送信する。準備命令を受信した中継装置では、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するための信号処理ルールが生成される準備作業が行なわれる。その後、ステップＳ１６０６において、端末装置が複数のネットワークのいずれか一以上のネットワークと通信を行なう。
【００４９】
なお、図１６では、識別情報の受信がトリガーとなって命令装置が準備命令を中継装置へ送信することが表わされている。しかし、命令装置が識別情報を受信する前にも、命令装置が準備命令を送信する構成となっていてもよい。例えば、端末装置が不正な通信を行なわないようにするために、端末装置が通信できるネットワークを制限したり、端末装置が命令装置とのみ通信ができるような制限をしたりする準備命令が中継装置に送信され、その後、識別情報が端末装置により読取られるようになっていてもよい。また、端末装置が複数のネットワークのいずれか一以上のネットワークとの通信を終了した場合、例えば、その一以上のネットワークから、あるいは、中継装置のいずれかから、通信の終了の情報を命令装置が受信した場合には、命令装置は、再び、端末装置が不正な通信を行なわないようにするために、端末装置が通信できるネットワークを制限したり、端末装置が命令装置とのみ通信ができるような制限をしたりする準備命令が中継装置に送信されるようになっていてもよい。
【００５０】
図１７、図１８は、端末装置がプレフィックス情報受信部を有し、命令装置の準備命令送信部が割当準備命令送信手段を有する場合の端末装置と命令装置との機能ブロック図を例示する。
【００５１】
端末装置１７００は、識別情報読取部１７０１と、識別情報送信部１７０２と、プレフィックス情報受信部１７０３とを有する。「プレフィックス情報受信部」１７０３は、プレフィックス情報を受信する。「プレフィックス情報」とは、外部から読取られた識別情報に応じてネットワークと通信するために自身へ割り当てられるＩＰアドレスのプレフィックスに関する情報である。例えば、特定のネットワークと通信を行なうには、特定のプレフィックスを用いる必要があることを示す情報である。特にここでいう特定のネットワーク（例えば図１のネットワーク１０６、１０７）とは、特に、クローズドネットワークであってもよい。「クローズドネットワーク」とは、種々のサービスを提供する複数のネットワークを接続し特に制限を設けずに複数のネットワークへのアクセスを許すインターネットとは異なり、特定のサービスを提供するための特定のノードから構成されるネットワークをいう。あるいは、特定の端末装置のみからアクセスが可能なネットワークである。前者であれば、例えば、会計情報のみを扱うサーバ装置のみから構成されるネットワーク、社員情報のみを扱うサーバ装置のみから構成されるネットワークである（例えば、ｈｔｔｐ：／／ｉｔｐｒｏ．ｎｉｋｋｅｉｂｐ．ｃｏ．ｊｐ／ｆｒｅｅ／ＩＴＰｒｏ／ＯＰＩＮＩＯＮ／２００４０８２０／１４８８０２／参照。）。このようにサービスごとにクローズドネットワークを構成することにより、ルータなどに対して所定の準備作業を行なっておけば、特定のサービスを利用している間は他のネットワークに接続することを制限することなどが可能である。また、後者であれば、特定の利用者が利用する任意あるいは所定の端末装置からクローズドネットワークへ至る中継装置に対して、その端末装置からのそのクローズドネットワークへのアクセスを許可する準備命令を送信することで、利用する人を制限したクローズドネットワークが実現可能である。
【００５２】
命令装置１８００は、準備命令送信部１８０１を有し、準備命令送信部１８０１は、割当準備命令送信手段１８０２を有する。「割当準備命令送信手段」１８０２は、取得した識別情報に応じて、端末装置にプレフィックスが割り当てられる場合、その端末装置に割り当てられるプレフィックスを含むＩＰアドレスを用いて所定のネットワークと通信が可能となる信号処理ルールを生成させるための準備命令である割当準備命令を送信する。例えば、端末装置に２００１：Ａ：１００：：／６４が割り当てられて、２００１：Ａ：１００：：９１というＩＰアドレスを用いて、２００１：Ａ：：／３２で表わされるネットワークと通信が行なわれることが、命令装置１８００の取得した識別情報などにより判明した場合、２００１：Ａ：１００：：９１というＩＰアドレスを送信元のアドレスとするパケットを、２００１：Ａ：：／３２で表わされるネットワークへ向けて転送されるような信号処理ルールを中継装置に生成させる割当準備命令を送信する。
【００５３】
以上説明した構成は、種々の応用が可能である。例えば、端末装置を鉄道の駅などの改札装置とすることができる。その改札装置は、複数の鉄道会社の発行するＲＦＩＤタグ付きの定期券から識別情報を読取ることができるようになっているとする。改札装置が、定期券から識別情報を読取った場合、その識別情報から、鉄道会社を識別する部分を抽出して、この部分を命令装置に対して識別情報として送信し、命令装置は、その識別情報により特定される鉄道会社が管理するクローズドネットワークとその改札装置が通信可能となるように、準備命令を中継装置に対して送信し、また、改札装置にそのクローズドネットワークと通信するための所定のプレフィックスを割り当てるなどして、その改札装置は、定期券を発行した鉄道会社が管理するサーバ装置に定期券の識別情報を送信し、有効性の判断などを求めることができる。これにより、複数の鉄道会社が乗り入れる駅の改札装置を一種類のものに統合することが可能である。
【００５４】
また、端末装置をクレジットカードの決済を行なうために店舗に設置される端末装置とすることができる。クレジットカードに記録された磁気情報や、ＩＣカード機能やクレジットカードにＲＦＩＤ機能を持たせてその機能を用いて読取られるクレジットカードの番号から、クレジットカード会社を識別する部分を抽出して、端末装置から命令装置へ送信する。命令装置は、その端末装置がクレジットカード会社のサーバ装置のクローズドネットワークと通信が可能となるように中継装置に準備命令を送信したり、そのクローズドネットワークと通信するための所定のプレフィックスをその端末装置に割り当てさせたり準備命令を送信したりする。これにより、クレジットカードの番号情報という機密性の高い情報をセキュアに取り扱うことができる。同様に、複数の会社の発行する電子マネー情報を一種類の端末装置でセキュアに取り扱うこともでき、新たに電子マネーを発行する会社が出現したり、会社が合併されたりした場合には、多数の端末装置に改良を加える必要はなく、命令装置に記憶などされているデータなどを更新することによって対応することができる。
【００５５】
また、ＲＦＩＤタグを、本、雑誌などの出版物に付加したり、野菜や肉などの農産物に添付したりすることが従来から行なわれているが、本明細書で開示された技術を用いることで、そのような本などを、ＲＦＩＤ読取機能を有する端末装置にかざすなどすることで、本や雑誌の出版社や農産物の生産者などの運営するクローズドネットワークなどに端末装置を接続して、本や農産物の詳細な情報（例えば、農産物のトレーサビリティ情報）などを得ることができる。また、本などの販売の決済なども行なうことが可能である。
【００５６】
このように種々の応用が可能であり、本発明は産業上有用なものである。
【図面の簡単な説明】
【００５７】
【図１】本発明に係る通信システムの構成の一例図
【図２】端末装置の機能ブロック図
【図３】端末装置の機能ブロック図
【図４】端末装置の機能ブロック図
【図５】端末装置の機能ブロック図
【図６】端末装置で行なわれる処理のフローチャート
【図７】命令装置の機能ブロック図
【図８】命令装置の機能ブロック図
【図９】命令装置で行なわれる処理のフローチャート
【図１０】準備命令を生成などするためのデータ構造の一例図
【図１１】中継装置の機能ブロック図
【図１２】処理ルールを表わすテーブルの一例図
【図１３】処理ルールを表わすテーブルの一例図
【図１４】中継装置の機能ブロック図
【図１５】中継装置で行なわれる処理のフローチャート
【図１６】通信システムでの処理のシーケンス図
【図１７】端末装置の機能ブロック図
【図１８】命令装置の機能ブロック図
【符号の説明】
【００５８】
１００ 通信システム
１０１ 端末装置
１０２ 命令装置
１０３ レイヤ２機器
１０４ ルータ
１０５ アクセス網
１０６ ネットワーク
１０７ ネットワーク
【特許請求の範囲】
【請求項１】
一又は二以上の中継装置を用いて接続された複数のネットワークのいずれか一以上と前記中継装置のいずれか一以上を介して通信することが可能な端末装置と、前記端末装置を前記複数のネットワークのいずれか一以上と通信させるため中継装置に対して準備作業を命令する命令装置と、からなる通信システムであって、
端末装置は、
外部から識別情報を読取る識別情報読取部と、
取得された識別情報を命令装置へ送信する識別情報送信部と、
を有し、
命令装置は
準備作業の命令である準備命令を送信する準備命令送信部
を有し、
中継装置は、
端末装置から送信された識別情報に応じて命令装置から受け取る準備命令に応じて、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するためのその端末装置専用の信号処理ルールを準備作業として生成するための信号処理ルール生成部
を有する通信システム。
【請求項２】
前記端末装置は、
外部から読取られた識別情報に応じてネットワークと通信するために自身へ割り当てられるＩＰアドレスのプレフィックスに関するプレフィックス情報を受信するプレフィックス受信部
を有する請求項１に記載の通信システム。
【請求項３】
命令装置の準備命令送信部は、
取得した識別情報に応じて、前記端末装置に前記プレフィックスが割り当てられる場合、前記端末装置に割り当てられるプレフィックスを含むＩＰアドレスを用いて前記ネットワークと通信が可能となる信号処理ルールを生成させるための準備命令である割当準備命令を送信する割当準備命令送信手段
を有する請求項１又は２に記載の通信システム。
【請求項４】
端末装置の識別情報読取部は、
ＲＦＩＤから識別情報を取得するＲＦＩＤ手段
を有する請求項１から３のいずれか一に記載の通信システム。
【請求項５】
端末装置の識別情報読取部は、
生体認証情報を取得する生体認証情報取得手段と、
取得された生体認証情報により、その生体認証情報を取得させた個体の識別情報を取得する個体識別情報取得手段と、
を有する請求項１から３のいずれか一に記載の通信システム。
【請求項６】
一又は二以上の中継装置を用いて接続された複数のネットワークのいずれか一以上と前記中継装置のいずれか一以上を介して通信することが可能な端末装置と、前記端末装置を前記複数のネットワークのいずれか一以上と通信させるため中継装置に対して準備作業を命令する命令装置と、からなる通信システムの動作方法であって、
端末装置において外部から識別情報を読取る識別情報読取ステップと、
前記端末装置において取得された識別情報を命令装置へ送信する識別情報送信ステップと、
前記命令装置において準備作業の命令である準備命令を送信する準備命令送信ステップと、
中継装置において、端末装置から送信された識別情報に応じて命令装置から受け取る準備命令に応じて、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するためのその端末装置専用の信号処理ルールを準備作業として生成するための信号処理ルール生成ステップと、
を含む通信システムの動作方法。
【請求項１】
一又は二以上の中継装置を用いて接続された複数のネットワークのいずれか一以上と前記中継装置のいずれか一以上を介して通信することが可能な端末装置と、前記端末装置を前記複数のネットワークのいずれか一以上と通信させるため中継装置に対して準備作業を命令する命令装置と、からなる通信システムであって、
端末装置は、
外部から識別情報を読取る識別情報読取部と、
取得された識別情報を命令装置へ送信する識別情報送信部と、
を有し、
命令装置は
準備作業の命令である準備命令を送信する準備命令送信部
を有し、
中継装置は、
端末装置から送信された識別情報に応じて命令装置から受け取る準備命令に応じて、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するためのその端末装置専用の信号処理ルールを準備作業として生成するための信号処理ルール生成部
を有する通信システム。
【請求項２】
前記端末装置は、
外部から読取られた識別情報に応じてネットワークと通信するために自身へ割り当てられるＩＰアドレスのプレフィックスに関するプレフィックス情報を受信するプレフィックス受信部
を有する請求項１に記載の通信システム。
【請求項３】
命令装置の準備命令送信部は、
取得した識別情報に応じて、前記端末装置に前記プレフィックスが割り当てられる場合、前記端末装置に割り当てられるプレフィックスを含むＩＰアドレスを用いて前記ネットワークと通信が可能となる信号処理ルールを生成させるための準備命令である割当準備命令を送信する割当準備命令送信手段
を有する請求項１又は２に記載の通信システム。
【請求項４】
端末装置の識別情報読取部は、
ＲＦＩＤから識別情報を取得するＲＦＩＤ手段
を有する請求項１から３のいずれか一に記載の通信システム。
【請求項５】
端末装置の識別情報読取部は、
生体認証情報を取得する生体認証情報取得手段と、
取得された生体認証情報により、その生体認証情報を取得させた個体の識別情報を取得する個体識別情報取得手段と、
を有する請求項１から３のいずれか一に記載の通信システム。
【請求項６】
一又は二以上の中継装置を用いて接続された複数のネットワークのいずれか一以上と前記中継装置のいずれか一以上を介して通信することが可能な端末装置と、前記端末装置を前記複数のネットワークのいずれか一以上と通信させるため中継装置に対して準備作業を命令する命令装置と、からなる通信システムの動作方法であって、
端末装置において外部から識別情報を読取る識別情報読取ステップと、
前記端末装置において取得された識別情報を命令装置へ送信する識別情報送信ステップと、
前記命令装置において準備作業の命令である準備命令を送信する準備命令送信ステップと、
中継装置において、端末装置から送信された識別情報に応じて命令装置から受け取る準備命令に応じて、端末装置が複数のネットワークのいずれか一以上のネットワークと通信するためのその端末装置専用の信号処理ルールを準備作業として生成するための信号処理ルール生成ステップと、
を含む通信システムの動作方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【公開番号】特開２００８−１２９８２２（Ｐ２００８−１２９８２２Ａ）
【公開日】平成２０年６月５日（２００８．６．５）
【国際特許分類】
【出願番号】特願２００６−３１３６１０（Ｐ２００６−３１３６１０）
【出願日】平成１８年１１月２０日（２００６．１１．２０）
【出願人】（５０２４５６５７４）株式会社 インテック・ネットコア (15)
【出願人】（５００３０９９２０）インテック・ウェブ・アンド・ゲノム・インフォマティクス株式会社 (22)
【Ｆターム（参考）】
【公開日】平成２０年６月５日（２００８．６．５）
【国際特許分類】
【出願日】平成１８年１１月２０日（２００６．１１．２０）
【出願人】（５０２４５６５７４）株式会社 インテック・ネットコア (15)
【出願人】（５００３０９９２０）インテック・ウェブ・アンド・ゲノム・インフォマティクス株式会社 (22)
【Ｆターム（参考）】
[ Back to top ]