JP2006311373A - アクセス制御サーバ、及び、このアクセス制御サーバに適用されるアクセス制御プログラム - Google Patents

Abstract

【課題】 無線通信のセキュリティを確保しながら、無線通信をユーザが容易に利用することが可能なアクセス制御サーバ、及び、このアクセス制御サーバに適用されるアクセス制御プログラムを提供する。
【解決手段】 所定の無線通信方式が用いられるＡｒｅａ２０（ログイン用エリア）内に位置する端末１０を認証する認証部４３と、認証部４３によって端末１０が認証された場合に、所定の無線通信方式が用いられるエリア３０ａ（通信用エリア）内で、所定の無線通信方式を用いて端末１０が通信を行うことを許可する通信許可処理部４５とをＡＰ制御サーバ４０が備える。
【選択図】 図２

Description

本発明は、端末が認証された場合に、所定の無線通信方式を用いて通信用エリア内で端末が通信を行うことを許可するアクセス制御サーバ、及び、このアクセス制御サーバに適用されるアクセス制御プログラムに関する。

従来、アクセスポイント（以下、ＡＰ）に無線ＬＡＮ端末が接続することによって、無線ＬＡＮを無線ＬＡＮ端末が利用することを可能とする無線ＬＡＮシステムが一般的に広く知られている。また、無線ＬＡＮシステムでは、セキュリティ管理の観点から、ＥＳＳＩＤ（Ｅｘｔｅｎｄｅｄ Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｔｙ）やＷＥＰキー（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ キー）等がアクセスポイントに割当てられている。

従って、無線ＬＡＮ端末がアクセスポイントに接続して無線ＬＡＮを利用するためには、アクセスポイントに割当てられたＥＳＳＩＤやＷＥＰキーを予め取得する必要があった。

また、アクセスポイントに割当てられたＥＳＳＩＤやＷＥＰキーを無線ＬＡＮ端末に設定する作業を容易にするために、携帯端末を用いる方法も提案されている（例えば、特許文献１）。

具体的には、携帯端末は、ＥＳＳＩＤやＷＥＰキーを管理する管理サーバに携帯電話網を介して接続して、ＥＳＳＩＤやＷＥＰキーを管理サーバから取得するとともに、取得したＥＳＳＩＤやＷＥＰキーを無線ＬＡＮ端末に送信する。

このように、携帯端末を用いてＥＳＳＩＤやＷＥＰキーを無線ＬＡＮ端末が予め取得することによって、無線通信のセキュリティを確保しながら、無線ＬＡＮを利用することができる。
特開２００４−２６４９７６号公報（〔００２５〕段落、〔００２６〕段落及び図５）

ところで、無線通信のセキュリティを確保する方法として、アクセスポイントに接続することが許可された無線ＬＡＮ端末の識別情報（例えば、ＭＡＣアドレス）を、そのアクセスポイントに登録することによって、識別情報が登録された無線ＬＡＮ端末のみにアクセスポイントに接続する権限を与える方法がある。

上述したように、無線ＬＡＮと異なるネットワーク（携帯電話網）を経由してアクセスポイントに無線ＬＡＮ端末の識別情報を登録することも考えられるが、従来技術では、無線ＬＡＮと異なるネットワークに接続する機能又は端末が必要となる。

従って、無線通信のセキュリティを確保しながら、無線ＬＡＮを容易に利用することができる枠組みが望まれている。

そこで、本発明は、上述した課題を解決するためになされたものであり、無線通信のセキュリティを確保しながら、無線通信をユーザが容易に利用することが可能なアクセス制御サーバ、及び、このアクセス制御サーバに適用されるアクセス制御プログラムを提供することを目的とする。

本発明の第１の特徴は、所定の無線通信方式が用いられるログイン用エリア（Ａｒｅａ２０）内に位置する端末を認証する認証部（認証部４３）と、認証部によって端末が認証された場合に、所定の無線通信方式が用いられる通信用エリア（Ａｒｅａ３０）内で、所定の無線通信方式を用いて端末が通信を行うことを許可する許可部（通信許可処理部４５）とをアクセス制御サーバが備えることを要旨とする。

かかる特徴によれば、認証部がログイン用エリア内に位置する端末を認証した後に、許可部が所定の無線通信方式を用いて端末が通信用エリア内で通信を行うことを許可することにより、アクセス制御サーバは、無線通信のセキュリティを確保しながら、ユーザが容易に利用可能な無線通信を提供することができる。

本発明の第２の特徴は、本発明の第１の特徴において、ログイン用エリアの広さが、通信用エリアの広さよりも狭いことを要旨とする。

本発明の第３の特徴は、本発明の第１の特徴又は第２の特徴において、認証部によって端末が認証された場合に、通信用エリア内で用いられるアクセスポイント情報を端末に通知する通知部（送受信部４１）をアクセス制御サーバがさらに備え、アクセスポイント情報が、通信用エリア内で用いられる暗号化キー（ＷＥＰキー）及び通信用エリアに割当てられたグループ識別子（ＥＳＳＩＤ）のうち、少なくともいずれか一方を含むことを要旨とする。

本発明の第４の特徴は、本発明の第１の特徴乃至第３の特徴において、端末には、優先順位が設定されており、許可部は、ログイン用エリア内に複数の端末が位置する場合に、端末に設定された優先順位に従って、端末が所定の無線通信方式を用いて通信用エリア内で通信を行うことを許可することを要旨とする。

本発明の第５の特徴は、本発明の第１の特徴乃至第４の特徴において、端末が通信を行う通信用エリアの変更を端末に指示するエリア変更指示部（ハンドオフ指示部４６）をさらに備え、端末には、優先順位が設定されており、通信用エリアは、第１通信用エリア（エリア３０ａ）と第２通信用エリア（エリア３０ｂ）とを含み、一の端末（端末１０ａ）が第１通信用エリア内で通信を行うことが許可部によって許可されているときに、認証部によって一の端末よりも高い優先順位が設定された他の端末（端末１０ｂ）が認証された場合において、エリア変更指示部が、一の端末が通信を行う通信用エリアを第１通信用エリアから第２通信用エリアに変更することを一の端末に指示し、許可部が、第１通信用エリア内で他の端末が通信を行うことを許可することを要旨とする。

本発明の第６の特徴は、所定の無線通信方式が用いられるログイン用エリア内に位置する端末を認証する認証ステップと、認証ステップで端末が認証された場合に、所定の無線通信方式が用いられる通信用エリア内で、所定の無線通信方式を用いて端末が通信を行うことを許可する許可ステップとをアクセス制御プログラムがコンピュータに実行させることを要旨とする。

本発明の第７の特徴は、本発明の第６の特徴において、認証ステップで端末が認証された場合に、通信用エリア内で用いられるアクセスポイント情報を端末に通知する通知ステップをアクセス制御プログラムがさらにコンピュータに実行させ、アクセスポイント情報が、通信用エリア内で用いられる暗号化キー及び通信用エリアに割当てられたグループ識別子のうち、少なくともいずれか一方を含むことを要旨とする。

本発明によれば、無線通信のセキュリティを確保しながら、無線通信をユーザが容易に利用することが可能なアクセス制御サーバ、及び、このアクセス制御サーバに適用されるアクセス制御プログラムを提供することができる。

［第１実施形態］
（第１実施形態に係る無線ＬＡＮシステムの構成）
以下において、本発明の第１実施形態に係る無線ＬＡＮシステムの構成について、図面を参照しながら説明する。図１は、本発明の第１実施形態に係る無線ＬＡＮシステムの構成を示す図である。

図１に示すように、無線ＬＡＮシステムは、端末１０と、ログイン用ＡＰ２０と、通信用ＡＰ３０と、ＡＰ制御サーバ４０とによって構成され、インターネット網５０に接続される。

端末１０は、所定の無線通信方式（例えば、ＩＥＥＥ８０２．１１ａ/ｂ/ｇ/ｎ）で通信を行う機能を有する無線ＬＡＮ端末である。

ログイン用ＡＰ２０は、Ａｒｅａ２０内に位置する端末１０が無線ＬＡＮシステムにログインする際に接続されるアクセスポイントである。また、ログイン用ＡＰ２０には、ＥＳＳＩＤ（Ｅｘｔｅｎｄｅｄ Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｔｙ）、ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）キーやＭＡＣフィルタ等でアクセス制限されておらず、Ａｒｅａ２０内に位置する端末１０は、自由にログイン用ＡＰ２０と接続可能である。

通信用ＡＰ３０は、Ａｒｅａ３０内に位置する端末１０と通信を行うことが可能なアクセスポイントである。なお、Ａｒｅａ３０は、Ａｒｅａ２０よりも広いエリアであり、Ａｒｅａ２０と重複していてもよい。

また、通信用ＡＰ３０には、ＥＳＳＩＤ、ＷＥＰキーやＭＡＣフィルタ等が設定されており、Ａｒｅａ３０内に位置する端末１０と通信用ＡＰ３０との間で行われる無線通信のセキュリティが確保されている。

ＡＰ制御サーバ４０は、ログイン用ＡＰ２０及び通信用ＡＰ３０と有線又は無線で接続され、Ａｒｅａ２０内に位置する端末１０をパスワード等によって認証するサーバである。

（第１実施形態に係るログイン用ＡＰ、通信用ＡＰ及びＡＰ制御サーバの構成）
以下において、本発明の第１実施形態に係るログイン用ＡＰ２０、通信用ＡＰ３０及びＡＰ制御サーバ４０の構成について、図面を参照しながら説明する。図２は、本発明の第１実施形態に係るログイン用ＡＰ２０、通信用ＡＰ３０及びＡＰ制御サーバ４０の構成を示すブロック図である。

図２に示すように、ログイン用ＡＰ２０は、ログイン用アンテナ２１と、送受信部２２とを有する。

ログイン用アンテナ２１は、上述したＡｒｅａ２０をカバーするアンテナである。具体的には、ログイン用アンテナ２１は、ユーザによって端末１０に入力されるパスワードをＡｒｅａ２０内に位置する端末１０から受信する。また、ログイン用アンテナ２１は、Ａｒｅａ３０内で用いられるＥＳＳＩＤ及びＷＥＰキーを、Ａｒｅａ２０内に位置する端末１０に送信する。

送受信部２２は、ログイン用ＡＰ２０とＡＰ制御サーバ４０との間でデータを送受信する。具体的には、送受信部２２は、ログイン用アンテナ２１が受信するパスワードをＡＰ制御サーバ４０に送信し、Ａｒｅａ３０内で用いられるＥＳＳＩＤ及びＷＥＰキーをＡＰ制御サーバ４０から受信する。

通信用ＡＰ３０は、通信用アンテナ３１と、送受信部３２と、フィルタ管理部３３とを有する。

通信用アンテナ３１は、上述したＡｒｅａ３０をカバーするアンテナである。具体的には、通信用アンテナ３１は、Ａｒｅａ３０内に位置する端末１０と通信用ＡＰ３０（無線ＬＡＮシステム）との間でデータを送受信する。なお、通信用アンテナ３１は、フィルタ登録された端末１０のみとデータを送受信する。

送受信部３２は、通信用ＡＰ３０とＡＰ制御サーバ４０との間でデータを送受信する。具体的には、送受信部３２は、Ａｒｅａ３０内で通信を行うことが許可された端末１０をフィルタ登録するためのフィルタ登録要求をＡＰ制御サーバ４０から受信する。また、送受信部３２は、フィルタ登録要求に応じて、端末１０のフィルタ登録が完了すると、フィルタ登録が完了したことを通知するためのフィルタ登録完了をＡＰ制御サーバ４０に送信する。

フィルタ管理部３３は、Ａｒｅａ３０内で通信を行うことが許可された端末１０をフィルタ登録するとともに、フィルタ登録した内容を管理する。具体的には、フィルタ管理部３３は、Ａｒｅａ３０内で通信を行うことが許可された端末１０のＭＡＣアドレスをフィルタ登録して、フィルタ登録した内容を管理する。

ＡＰ制御サーバ４０は、送受信部４１と、認証ＤＢ４２と、認証部４３と、ＡＰ情報ＤＢ４４と、通信許可処理部４５と、ハンドオフ指示部４６とを有する。

送受信部４１は、ＡＰ制御サーバ４０とログイン用ＡＰ２０との間でデータを送受信し、ＡＰ制御サーバ４０と通信用ＡＰ３０との間でデータを送受信する。具体的には、送受信部４１は、パスワードをログイン用ＡＰ２０から受信し、Ａｒｅａ３０内で用いられるＥＳＳＩＤ及びＷＥＰキーをログイン用ＡＰ２０に送信する。また、送受信部４１は、Ａｒｅａ３０内で通信を行うことが許可された端末１０のＭＡＣアドレスをフィルタ登録させるためのフィルタ登録要求を通信用ＡＰ３０に送信し、フィルタ登録が完了したことを示すフィルタ登録完了を通信用ＡＰ３０から受信する。

認証ＤＢ４２は、Ａｒｅａ３０内で通信を行うことを端末１０に許可するか否かを判定するためのパスワードを記憶する。なお、パスワードは、ユーザによって予め認証ＤＢ４２に記憶される。

認証部４３は、認証ＤＢ４２を参照して端末１０を認証する。具体的には、認証部４３は、送受信部４１によって受信されたパスワードが認証部４３に記憶されているか否かを確認し、パスワードが記憶されている場合に端末１０が正当であると認証する。

ＡＰ情報ＤＢ４４は、Ａｒｅａ３０内で用いられるＥＳＳＩＤ及びＷＥＰキーをＡＰ情報として記憶する。なお、ＡＰ情報には、Ａｒｅａ３０内で用いられる周波数チャネル等が含まれていてもよい。

通信許可処理部４５は、認証部４３によって端末１０が認証された場合に、ＡＰ情報ＤＢ４４を参照してＡＰ情報を取得する。また、通信許可処理部４５は、取得したＡＰ情報を認証部４３によって認証された端末１０にログイン用ＡＰ２０を介して送信することを送受信部４１に指示する。

さらに、通信許可処理部４５は、認証部４３によって端末１０が認証された場合に、端末１０を通信用ＡＰ３０にフィルタ登録させるためのフィルタ登録要求を通信用ＡＰ３０に送信する。

このように、通信許可処理部４５は、認証部４３によって端末１０が認証されると、Ａｒｅａ３０内で端末１０が通信するために必要な処理を行って、Ａｒｅａ３０内で端末１０が通信することを許可する。

ハンドオフ指示部４６は、端末１０が接続するアクセスポイント（エリア）の変更を、ログイン用ＡＰ２０を介して端末１０に指示する（アクセスポイントのハンドオフを指示する）。例えば、ハンドオフ指示部４６は、端末１０が認証されると、端末１０が接続するアクセスポイントをログイン用ＡＰ２０から通信用ＡＰ３０に変更することを、ログイン用ＡＰ２０を介して端末１０に指示する（アクセスポイントのハンドオフを指示する）。

（第１実施形態に係る無線ＬＡＮシステムの動作）
以下において、本発明の第１実施形態に係る無線ＬＡＮシステムの動作について、図面を参照しながら説明する。図３は、本発明の第１実施形態に係る無線ＬＡＮシステムの動作を示すシーケンス図である。

図３に示すように、ステップ１０１において、端末１０は、ユーザによって入力されたパスワードをログイン用ＡＰ２０に送信し、ステップ１０２において、ログイン用ＡＰ２０は、端末１０から受信したパスワードをＡＰ制御サーバ４０に送信する。なお、端末１０とＡＰ制御サーバ４０との間で行われる通信では、ＩＰｓｅｃ、ＳＳＬ、その他の方式を用いてパスワードが暗号化されてもよい。

ステップ１０３において、ＡＰ制御サーバ４０は、認証ＤＢ４２を参照して端末１０が正当であるか否かを判定する。また、ＡＰ制御サーバ４０は、端末１０が正当であると認証された場合には、ステップ１０４の処理に移る。一方、ＡＰ制御サーバ４０は、端末１０が正当であると認証されなかった場合には、パスワードの受信待ち状態となる。なお、ＡＰ制御サーバ４０は、ログイン用ＡＰ２０を介して端末１０にエラー通知を送信してもよい。

ステップ１０４において、ＡＰ制御サーバ４０は、Ａｒｅａ３０内で用いられるＡＰ情報（本実施形態では、ＥＳＳＩＤ及びＷＥＰキー）をログイン用ＡＰ２０に送信し、ステップ１０５において、ログイン用ＡＰ２０は、ＡＰ制御サーバ４０から受信したＡＰ情報を端末１０に送信する。

ステップ１０６において、ＡＰ制御サーバ４０は、端末１０をフィルタ登録させるためのフィルタ登録要求を通信用ＡＰ３０に送信する。具体的には、ＡＰ制御サーバ４０は、端末１０のＭＡＣアドレスを通信用ＡＰ３０に送信する。

ステップ１０７において、通信用ＡＰ３０は、ＡＰ制御サーバ４０によって認証された端末１０をフィルタ登録する。具体期には、通信用ＡＰ３０は、ＡＰ制御サーバ４０から受信した端末１０のＭＡＣアドレスをフィルタ登録する。

ステップ１０８において、通信用ＡＰ３０は、端末１０のフィルタ登録が完了したことを通知するためのフィルタ登録完了をＡＰ制御サーバ４０に送信する。

ステップ１０９において、ＡＰ制御サーバ４０は、端末１０が接続するアクセスポイントをログイン用ＡＰ２０から通信用ＡＰ３０に変更することを要求するためのハンドオフ要求をログイン用ＡＰ２０に送信し、ステップ１１０において、ログイン用ＡＰ２０は、ＡＰ制御サーバ４０から受信したハンドオフ要求を端末１０に送信する。

ステップ１１１において、端末１０は、ステップ１０５で受信したＡＰ情報（ＥＳＳＩＤ及びＷＥＰキー）を用いて通信用ＡＰ３０と通信を開始する。

（第１実施形態に係る無線ＬＡＮシステムの作用及び効果）
本発明の第１実施形態に係る無線ＬＡＮシステムによれば、認証部４３が、ログイン用ＡＰ２０から受信したパスワードに基づいて、Ａｒｅａ２０（ログイン用エリア）内に位置する端末１０を認証した後に、通信許可処理部４５が、端末１０（そのＭＡＣアドレス）を通信用ＡＰ３０にフィルタ登録させて、端末１０がＡｒｅａ３０（通信用エリア）内で通信を行うことを許可することにより、ＡＰ制御サーバ４０は、無線通信のセキュリティを確保しながら、ユーザが容易に利用可能な無線通信を提供することができる。

［第２実施形態］
（第２実施形態に係る無線ＬＡＮシステムの構成）
以下において、本発明の第２実施形態に係る無線ＬＡＮシステムについて、図面を参照しながら説明する。

なお、以下においては、上述した第１実施形態と第２実施形態との差異を主として説明する。具体的には、上述した第１実施形態では、通信用ＡＰ３０が単数である場合を例に挙げて説明したが、第２実施形態では、通信用ＡＰ３０が複数である場合を例に挙げて説明する。

図４は、本発明の第２実施形態に係る無線ＬＡＮシステムを示す図である。図４に示すように、無線ＬＡＮシステムは、複数の端末１０（端末１０ａ、端末１０ｂ及び端末１０ｃ）と、ログイン用ＡＰ２０と、複数の通信用ＡＰ３０（通信用ＡＰ３０ａ及び通信用ＡＰ３０ｂ）と、ＡＰ制御サーバ４０とによって構成され、インターネット網５０に接続される。

ここで、各端末１０には、通信用ＡＰ３０と接続する優先順位が設定されている。また、各端末１０の優先順位は、ユーザによって任意に設定されてもよく、通信用ＡＰ３０と接続する頻度等に応じて設定されてもよい。

端末１０ａは、ＡＰ制御サーバ４０によって既に認証されており、エリア３０ａ内で通信用ＡＰ３０ａと通信を行っている。

端末１０ｂは、ＡＰ制御サーバ４０によって認証されておらず、Ａｒｅａ２０内に位置している。また、端末１０ｂには、端末１０ａ及び端末１０ｃよりも高い優先順位が設定されているものとする。

端末１０ｃは、ＡＰ制御サーバ４０によって認証されておらず、Ａｒｅａ２０内に位置している。

このような前提において、端末１０ｂ及び端末１０ｃが無線ＬＡＮシステムにログインしようとした場合について説明する。

ＡＰ制御サーバ４０は、各端末１０に設定された優先順位に従って、端末１０ｃよりも端末１０ｂを優先してエリア３０ａ内で通信を行うことを許可する。具体的には、ＡＰ制御サーバ４０は、端末１０ｃよりも先に端末１０ｂを認証するとともに、通信用ＡＰ３０ａに端末１０ｂを端末１０ｃよりも先にフィルタ登録させる。また、ＡＰ制御サーバ４０は、エリア３０ａ内で用いられるＡＰ情報（ＥＳＳＩＤ及びＷＥＰキー）を端末１０ｃよりも先に端末１０ｂに送信する。

また、ＡＰ制御サーバ４０は、端末１０ｂが通信用ＡＰ３０ａにフィルタ登録されることによって、通信用ＡＰ３０ａにフィルタ登録された端末１０の数が通信用ＡＰ３０ａと通信することが許容される許容数を超えた場合には、端末１０ｂよりも優先順位が低い端末１０ａをハンドオフさせる。具体的には、ＡＰ制御サーバ４０は、端末１０ａが接続するアクセスポイントを通信用ＡＰ３０ａから通信用ＡＰ３０ｂに変更する（ハンドオフさせる）。

（第２実施形態に係る無線ＬＡＮシステムの作用及び効果）
本発明の第２実施形態に係る無線ＬＡＮシステムによれば、ＡＰ制御サーバ４０が、各端末１０に設定された優先順位に従って、端末１０ｃよりも端末１０ｂを優先してエリア３０ａ内で通信を行うことを許可することにより、優先すべき端末１０（端末１０ｂ）の無線品質を十分に確保することができる。

また、ＡＰ制御サーバ４０が、通信用ＡＰ３０ａにフィルタ登録された端末１０の数が許容数を超えた場合に、端末１０ｂよりも優先順位が低い端末１０（端末１０ａ）をハンドオフさせることにより、優先すべき端末１０（端末１０ｂ）の無線品質を十分に確保することができる。

［第３実施形態］
（第３実施形態に係る無線ＬＡＮシステムの構成）
以下において、本発明の第３実施形態に係る無線ＬＡＮシステムについて、図面を参照しながら説明する。

なお、以下においては、上述した第１実施形態と第３実施形態との差異を主として説明する。具体的には、上述した第１実施形態では、ログイン用ＡＰ２０、通信用ＡＰ３０及びＡＰ制御サーバ４０が別々の装置として構成される場合を例に挙げて説明したが、第２実施形態では、ログイン用ＡＰ２０、通信用ＡＰ３０及びＡＰ制御サーバ４０が一つの装置として構成される場合を例に挙げて説明する。

図５は、本発明の第３実施形態に係る無線ＬＡＮシステムを示す図である。図５に示すように、無線ＬＡＮシステムは、端末１０と、ログイン／通信兼用ＡＰ６０とによって構成され、インターネット網５０に接続される。

ログイン／通信兼用ＡＰ６０は、ログイン用ＡＰ２０、通信用ＡＰ３０及びＡＰ制御サーバ４０の機能を有するアクセスポイントである。具体的には、ログイン／通信兼用ＡＰ６０は、Ａｒｅａ６０ａ内で端末１０のログインを受け付け、Ａｒｅａ６０ｂ内で端末１０と通信を行う。

ここで、Ａｒｅａ６０ａは、ＥＳＳＩＤ、ＷＥＰキーやＭＡＣフィルタ等が設定されていないエリアであり、上述したＡｒｅａ２０に相当する。すなわち、Ａｒｅａ６０ａ内では、無線通信のセキュリティは確保されていない。

一方、Ａｒｅａ６０ｂは、ＥＳＳＩＤ、ＷＥＰキーやＭＡＣフィルタ等が設定されたエリアであり、上述したエリア３０ａに相当する。すなわち、Ａｒｅａ６０ｂ内では、無線通信のセキュリティは確保されている。

以下において、本発明の第３実施形態に係るログイン／通信兼用ＡＰ６０の構成について、図面を参照しながら説明する。図６及び図７は、本発明の第３実施形態に係るログイン／通信兼用ＡＰ６０の構成を示す図である。

図６に示すように、ログイン／通信兼用ＡＰ６０は、ログイン用アンテナ６１ａと、通信用アンテナ６１ｂと、認証ＤＢ６２と、認証部６３と、ハンドオフ指示部６４と、ＡＰ情報ＤＢ６５と、通信許可処理部６６と、フィルタ管理部６７とを有する。

ログイン用アンテナ６１ａは、上述したＡｒｅａ６０ａをカバーするアンテナである。具体的には、ログイン用アンテナ６１ａは、Ａｒｅａ６０ａ内に位置する端末１０とログイン／通信兼用ＡＰ６０（無線ＬＡＮシステム）との間でデータを送受信する。

通信用アンテナ６１ｂは、上述したＡｒｅａ６０ｂをカバーするアンテナである。具体的には、通信用アンテナ６１ｂは、Ａｒｅａ６０ｂ内に位置する端末１０とログイン／通信兼用ＡＰ６０（無線ＬＡＮシステム）との間でデータを送受信する。

認証ＤＢ６２、認証部６３、ハンドオフ指示部６４、ＡＰ情報ＤＢ６５、通信許可処理部６６及びフィルタ管理部６７は、上述した認証ＤＢ４２、認証部４３、ハンドオフ指示部４６、ＡＰ情報ＤＢ４４、通信許可処理部４５及びフィルタ管理部３３と同様の機能を有するため、これらの説明については省略する。

また、図７に示すように、ログイン／通信兼用ＡＰ６０は、兼用アンテナ６１と、認証ＤＢ６２と、認証部６３と、ハンドオフ指示部６４と、ＡＰ情報ＤＢ６５と、通信許可処理部６６と、フィルタ管理部６７と、指向性制御部６８とを有していてもよい。

兼用アンテナ６１は、指向性制御されることによって、Ａｒｅａ６０ａ及びＡｒｅａ６０ｂをカバーすることが可能なアンテナである。また、指向性制御部６８は、兼用アンテナ６１の指向性を制御して、兼用アンテナ６１がカバーするエリアをＡｒｅａ６０ａからＡｒｅａ６０ｂ（又は、その逆）に切替える。

［その他の実施形態］
上述した実施形態では、所定の無線通信方式は、無線ＬＡＮ（ＩＥＥＥ８０２．１１ａ/ｂ/ｇ/ｎ）であるものとして説明したが、これに限定されるものではなく、他の無線通信方式（例えば、ＵＷＢ；Ｕｌｔｒａ Ｗｉｄｅ Ｂａｎｄ等）であってもよい。

上述した実施形態では、ＡＰ制御サーバ４０（又は、ログイン／通信兼用ＡＰ６０）は、パスワードによって端末１０を認証するが、これに限定されるものではなく、端末１０とＡＰ制御サーバ４０（又は、ログイン／通信兼用ＡＰ６０）との物理的な距離が近ければ、端末１０が正当であると認証してもよい。例えば、無線通信インターフェースを持ったＡＰ制御サーバ４０（又は、ログイン／通信兼用ＡＰ６０）に正当な権限を有する端末１０しか近づけないようにする。

上述した実施形態では、ＡＰ制御サーバ４０（又は、ログイン／通信兼用ＡＰ６０）は、端末１０を自分自身で認証するが、これに限定されるものではなく、第３者機関やシステム管理者等に端末１０の認証を委任してもよい。

また、ＡＰ制御サーバ４０（又は、ログイン／通信兼用ＡＰ６０）が端末１０を認証する際に用いるパスワードは、ワンタイムパスワードであってもよい。

なお、Ａｒｅａ２０（Ａｒｅａ６０ａ）内で用いられる無線通信方式と、エリア３０ａ（Ａｒｅａ６０ｂ）内で用いられる無線通信方式とは、同種の無線通信方式（互換性がある無線通信方式）であればよい。例えば、Ａｒｅａ２０（Ａｒｅａ６０ａ）内では、比較的安価なＩＥＥＥ８０２．１１bを無線通信方式として用いて、エリア３０ａ（Ａｒｅａ６０ｂ）内では、比較的高価なＩＥＥＥ８０２．１１a等を無線通信方式として用いてもよい。ここで、Ａｒｅａ２０（Ａｒｅａ６０ａ）内では、単にログインに係る通信が行われるだけであるため、通信速度が遅いＩＥＥＥ８０２．１１bを無線通信方式として用いても、通信速度の遅さが問題となることがない。

本発明の第１実施形態に係る無線ＬＡＮシステムの構成を示す図である。 本発明の第１実施形態に係るログイン用ＡＰ２０、通信用ＡＰ３０及びＡＰ制御サーバ４０の構成を示すブロック図である。 本発明の第１実施形態に係る無線ＬＡＮシステムの動作を示すシーケンス図である。 本発明の第２実施形態に係る無線ＬＡＮシステムを示す図である。 本発明の第３実施形態に係る無線ＬＡＮシステムを示す図である。 本発明の第３実施形態に係るログイン／通信兼用ＡＰ６０の構成を示す図である（その１）。 本発明の第３実施形態に係るログイン／通信兼用ＡＰ６０の構成を示す図である（その２）。

符号の説明

１０・・・端末、２０・・・ログイン用ＡＰ、２１・・・ログイン用アンテナ、２２・・・送受信部、３０・・・通信用ＡＰ、３１・・・通信用アンテナ、３２・・・送受信部、３３・・・フィルタ管理部、４０・・・ＡＰ制御サーバ、４１・・・送受信部、４２・・・認証ＤＢ、４３・・・認証部、４４・・・ＡＰ情報ＤＢ、４５・・・通信許可処理部、４６・・・ハンドオフ指示部、５０・・・インターネット網、６０・・・ログイン／通信兼用ＡＰ、６１・・・兼用アンテナ、６１ａ・・・ログイン用アンテナ、６１ｂ・・・通信用アンテナ、６２・・・認証ＤＢ、６３・・・認証部、６４・・・ハンドオフ指示部、６５・・・ＡＰ情報ＤＢ、６６・・・通信許可処理部、６７・・・フィルタ管理部、６８・・・指向性制御部６８

Claims (7)

1. 所定の無線通信方式が用いられるログイン用エリア内に位置する端末を認証する認証部と、
   前記認証部によって前記端末が認証された場合に、前記所定の無線通信方式が用いられる通信用エリア内で、前記所定の無線通信方式を用いて前記端末が通信を行うことを許可する許可部とを備えることを特徴とするアクセス制御サーバ。
2. 前記ログイン用エリアの広さは、前記通信用エリアの広さよりも狭いことを特徴とする請求項１に記載のアクセス制御サーバ。
3. 前記認証部によって前記端末が認証された場合に、前記通信用エリア内で用いられるアクセスポイント情報を前記端末に通知する通知部をさらに備え、
   前記アクセスポイント情報は、前記通信用エリア内で用いられる暗号化キー及び前記通信用エリアに割当てられたグループ識別子のうち、少なくともいずれか一方を含むことを特徴とする請求項１又は請求項２に記載のアクセス制御サーバ。
4. 前記端末には、優先順位が設定されており、
   前記許可部は、前記ログイン用エリア内に複数の前記端末が位置する場合に、前記端末に設定された優先順位に従って、前記端末が前記所定の無線通信方式を用いて前記通信用エリア内で通信を行うことを許可することを特徴とする請求項１乃至請求項３のいずれかに記載のアクセス制御サーバ。
5. 前記端末が通信を行う前記通信用エリアの変更を前記端末に指示するエリア変更指示部をさらに備え、
   前記端末には、優先順位が設定されており、
   前記通信用エリアは、第１通信用エリアと第２通信用エリアとを含み、
   一の端末が前記第１通信用エリア内で通信を行うことが前記許可部によって許可されているときに、前記認証部によって前記一の端末よりも高い優先順位が設定された他の端末が認証された場合において、
   前記エリア変更指示部は、前記一の端末が通信を行う前記通信用エリアを前記第１通信用エリアから前記第２通信用エリアに変更することを前記一の端末を指示し、
   前記許可部は、前記第１通信用エリア内で前記他の端末が通信を行うことを許可することを特徴とする請求項１乃至請求項４のいずれかに記載のアクセス制御サーバ。
6. 所定の無線通信方式が用いられるログイン用エリア内に位置する端末を認証する認証ステップと、
   前記認証ステップで前記端末が認証された場合に、前記所定の無線通信方式が用いられる通信用エリア内で、前記所定の無線通信方式を用いて前記端末が通信を行うことを許可する許可ステップとをコンピュータに実行させることを特徴とするアクセス制御プログラム。
7. 前記認証ステップで前記端末が認証された場合に、前記通信用エリア内で用いられるアクセスポイント情報を前記端末に通知する通知ステップをさらにコンピュータに実行させ、
   前記アクセスポイント情報は、前記通信用エリア内で用いられる暗号化キー及び前記通信用エリアに割当てられたグループ識別子のうち、少なくともいずれか一方を含むことを特徴とする請求項６に記載のアクセス制御プログラム。

Images