(57)【特許請求の範囲】
【請求項１】
認証フレームを認証装置に送信し、認証フレームに応答する応答フレームを前記認証装置から受信することで、前記認証装置により認証処理が行われる通信装置であって、
認証フレームの送信先アドレスを変更する送信先アドレス変更手段と、
前記認証装置から応答フレームを受信したか否かを判断する受信判断手段と、
前記認証装置に認証フレームを送信する送信手段とを備え、
前記送信手段は、認証フレームを、前記送信先アドレスをマルチキャストアドレスとして前記認証装置に送信し、
前記受信判断手段により前記認証装置から応答フレームが受信されないと判断された場合、前記送信先アドレス変更手段は、前記送信先アドレスをブロードキャストアドレスに変更し、前記送信手段は、ブロードキャストアドレスに変更された送信アドレスの認証フレームを、前記認証装置に送信することを特徴とする通信装置。
【請求項２】
前記認証装置から応答フレームを受信した場合に、前記送信手段は、受信した応答フレームの送信元アドレスを用いたユニキャストアドレスで、応答フレームに応答する認証フレームを、前記認証装置に送信することを特徴とする請求項１記載の通信装置。
【請求項３】
さらに、前記認証処理を停止する認証処理停止手段を備え、
前記認証装置から応答フレームを受信した場合に、前記認証処理停止手段は、前記認証処理を停止し、前記送信先アドレス変更手段は、受信した応答フレームの送信元アドレスを用いたユニキャストアドレスで、応答フレームに応答する認証フレームを、前記認証装置に送信することを特徴とする請求項２記載の通信装置。
【請求項４】
前記受信判断手段は、認証フレームを送信してからの時間が所定時間を経過した場合に、応答フレームが受信されないと判断することを特徴とする請求項１ないし３いずれか１項に記載の通信装置。
【請求項５】
さらに、前記認証装置から応答フレームを受信した場合、ユーザに対して通知を行う出力手段を備えたことを特徴とする請求項１ないし４いずれか１項に記載の通信装置。
【請求項６】
前記通信装置は、前記認証装置により、ＩＥＥＥ８０２．１Ｘの規格に従った認証処理が行われることを特徴とする請求項１ないし５いずれか１項に記載の通信装置。
【請求項７】
認証フレームを通信装置に送信し、認証フレームに応答する応答フレームを前記通信装置から受信することで、前記通信装置の認証処理を行う認証装置であって、
認証フレームの送信先アドレスを変更する送信先アドレス変更手段と、
前記通信装置から応答フレームを受信したか否かを判断する受信判断手段と、
前記通信装置に認証フレームを送信する送信手段とを備え、
前記送信手段は、認証フレームを、前記送信先アドレスをマルチキャストアドレスとして前記通信装置に送信し、
前記受信判断手段により前記通信装置から応答フレームが受信されないと判断された場合、前記送信先アドレス変更手段は、前記送信先アドレスをブロードキャストアドレスに変更し、前記送信手段は、ブロードキャストアドレスに変更された送信アドレスの認証フレームを、前記通信装置に送信することを特徴とする認証装置。
【請求項８】
前記通信装置から応答フレームを受信した場合に、前記送信手段は、受信した応答フレームの送信元アドレスを用いたユニキャストアドレスで、応答フレームに応答する認証フレームを、前記通信装置に送信することを特徴とする請求項７記載の認証装置。
【請求項９】
認証フレームを認証装置に送信し、認証フレームに応答する応答フレームを前記認証装置から受信することで、前記認証装置により認証処理が行われる通信方法であって、
認証フレームの送信先アドレスを変更する変更ステップと、
前記認証装置から応答フレームを受信したか否かを判断する受信判断ステップと、
前記認証装置に認証フレームを送信する送信ステップとを備え、
前記送信ステップにて、認証フレームを、前記送信先アドレスをマルチキャストアドレスとして前記認証装置に送信し、
前記受信判断ステップにより前記認証装置から応答フレームが受信されないと判断された場合、前記送信先アドレス変更ステップにて、前記送信先アドレスをブロードキャストアドレスに変更し、前記送信ステップにて、ブロードキャストアドレスに変更された送信アドレスの認証フレームを、前記認証装置に送信することを特徴とする通信方法。
【請求項１０】
認証フレームを通信装置に送信し、認証フレームに応答する応答フレームを前記通信装置から受信することで、前記通信装置の認証処理を行う認証方法であって、
認証フレームの送信先アドレスを変更する送信先アドレス変更ステップと、
前記通信装置から応答フレームを受信したか否かを判断する受信判断ステップと、
前記通信装置に認証フレームを送信する送信ステップとを備え、
前記送信手段ステップにて、認証フレームを、前記送信先アドレスをマルチキャストアドレスとして前記通信装置に送信し、
前記受信判断ステップにより前記通信装置から応答フレームが受信されないと判断された場合、前記送信先アドレス変更ステップにて、前記送信先アドレスをブロードキャストアドレスに変更し、前記送信ステップにて、ブロードキャストアドレスに変更された送信アドレスの認証フレームを、前記通信装置に送信することを特徴とする認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを介して接続された通信装置、認証装置、通信方法、および認証方法に関するものである。
【背景技術】
【０００２】
予め、接続を許可された通信装置以外をＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）に接続されないようにするため、ＩＥＥＥ（Ｔｈｅ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｅｌｅｃｔｒｉｃａｌ  ａｎｄ  Ｅｌｅｃｔｒｏｎｉｃｓ  Ｅｎｇｉｎｅｅｒｓ，  Ｉｎｃ．）において、通信装置の認証を行う規格ＩＥＥＥ  Ｓｔｄ  ８０２．１Ｘ−２００４が定められている。ＩＥＥＥ８０２．１Ｘに関する各種の技術が開示されている（例えば、特許文献１）。
【０００３】
ＩＥＥＥ８０２．１Ｘでは、サプリカントと呼ばれる通信装置、オーセンティケータと呼ばれる認証ＬＡＮスイッチ、オーセンティケーションサーバと呼ばれる認証サーバから構成され、サプリカント、オーセンティケータ、オーセンティケーションサーバ間で通信するフレームのフォーマット、各機器の状態遷移などが規定されている。また、ＩＥＥＥ８０２．１Ｘの規定の中には、レイヤ２のマルチキャストアドレス（０１−８０−Ｃ２−００−００−０３）を用いて通信を行うことが記載されている。中規模のネットワークの構成として、ＨＵＢに複数台の通信装置を接続し、１つの認証ＬＡＮスイッチをＨＵＢと接続する構成が考えられる。図２７は、従来のネットワークの構成図を示す。この構成では、通信装置２台、ＨＵＢ１台、認証ＬＡＮスイッチ１台、認証サーバ１台の構成である。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−６８１６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、ＨＵＢにＥＡＰＯＬ（ＥＡＰ  ｏｖｅｒ  ＬＡＮ）のマルチキャストを転送しないＥＡＰＯＬ非透過のＨＵＢが使用されるとＩＥＥＥ８０２．１Ｘに従った認証ができないことがある。
【０００６】
図２５は、従来のシーケンス図である。図２５を用いて、フローを説明する。通信装置は、ＩＥＥＥ８０２．１Ｘの認証を始める場合は、ＥＡＰＯＬ−Ｓｔａｒｔのフレームをマルチキャストで送信する。ＥＡＰＯＬ非透過のＨＵＢは、送信先がマルチキャストアドレスのため、転送せずに破棄してしまう。認証ＬＡＮスイッチが認証を始める場合は、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストのフレームをマルチキャストで送信する。ＥＡＰＯＬ非透過のＨＵＢは、送信先がマルチキャストアドレスのため、転送せずに破棄してしまう。このように、ＥＡＰＯＬ非透過のＨＵＢが通信装置と認証ＬＡＮスイッチの間に存在する場合は、ＩＥＥＥ８０２．１Ｘに従った通信ができない。
【０００７】
また、認証ＬＡＮスイッチの機能の１つとして、マルチキャストアドレスを送信先アドレスに使用せず、ユニキャストアドレスを使用して、ＩＥＥＥ８０２．１Ｘの認証を行うことが一般的に知られている。しかしながら、通信装置が送信先アドレスにマルチキャストを使用するＩＥＥＥ８０２．１Ｘの認証を行う場合は、第１の課題と同様に通信ができない問題が発生する。図２６は、従来の他の例のシーケンス図である。図２３のフローを用いて説明する。例えば、認証ＬＡＮスイッチが送信先アドレスにユニキャストを用いてＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信したとしても、通信装置は送信先アドレスにマルチキャストアドレスを使用するため、ＥＡＰＯＬ非透過ＨＵＢで廃棄され通信ができない。また、認証ＬＡＮスイッチが送信先アドレスにユニキャストアドレスを使用するためには、事前に通信装置のＭＡＣアドレスを登録する準備が必要になるため、通信装置の台数分、ＭＡＣアドレスを登録するという手間がかかる問題がある。
【０００８】
（第３の課題）
図２７のＨＵＢがマルチキャストを転送するＥＡＰＯＬ透過ＨＵＢの場合を考える。
ＥＡＰＯＬ透過ＨＵＢはマルチキャストを転送するため、ＨＵＢに接続された機器すべてに転送してしまい、通信装置は不要なフレーム受信し、他の通信装置の通信が干渉する問題がある。
【０００９】
図２８を用いて説明する。例えば、通信装置（Ｓｕｐｐ１）のＥＡＰＯＬ−Ｓｔａｒｔは、送信先アドレスにマルチキャストアドレスを使用するため、認証ＬＡＮスイッチ、および通信装置（Ｓｕｐｐ２）に届く。通信装置（Ｓｕｐｐ２）では、ＩＥＥＥ８０２．１Ｘの規格に従うとＥＡＰＯＬ−Ｓｔａｒｔは破棄する。認証ＬＡＮスイッチは、ＥＡＰＯＬ−Ｓｔａｒｔを受信したので、送信先アドレスにユニキャストアドレスを使用したＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信する。ここで、認証ＬＡＮスイッチは第２の課題で示したユニキャストアドレスを用いて認証を行う機能を有した場合を説明している。通信装置（Ｓｕｐｐ１）は、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストに対し、送信先アドレスにマルチキャストアドレスを使用したＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを返す。通信装置（Ｓｕｐｐ１）のＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスは、送信先アドレスにマルチキャストアドレスを使用するため、認証ＬＡＮスイッチ、および通信装置（Ｓｕｐｐ２）に届く。通信装置（Ｓｕｐｐ２）は、ＩＥＥＥ８０２．１Ｘの規格に従うとＥＡＰを受信すると状態遷移してしまう。通信装置（Ｓｕｐｐ２）は、状態遷移した結果、認証に成功していたとしても、再度、認証処理を行うことになる。このように、通信装置（Ｓｕｐｐ１）の通信が通信装置（Ｓｕｐｐ２）に干渉してしまい不要な認証処理を行うという問題がある。
【００１０】
以上のように、解決しようとする問題点は、ＥＡＰＯＬ非透過のＨＵＢが接続されたネットワーク環境において認証が行えないこと、また、ＥＡＰＯＬ透過のＨＵＢが接続されたネットワーク環境においてマルチキャストアドレスを用いることによる他の通信装置への干渉である。
【００１１】
そこで、本発明は上記従来の課題に鑑みて、複数の通信装置が接続されるネットワーク環境で、通信経路の途中にマルチキャストアドレスを透過しないハブが存在する場合であっても、認証を行うことのできる、通信装置、認証装置、通信方法、および認証方法を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記従来の課題を解決するために、本発明は、認証フレームを認証装置に送信し、認証フレームに応答する応答フレームを認証装置から受信することで、認証装置により認証処理が行われる通信装置であって、認証フレームの送信先アドレスを変更する送信先アドレス変更手段と、認証装置から応答フレームを受信したか否かを判断する受信判断手段と、認証装置に認証フレームを送信する送信手段とを備え、送信手段は、認証フレームを、送信先アドレスをマルチキャストアドレスとして認証装置に送信し、受信判断手段により認証装置から応答フレームが受信されないと判断された場合、送信先アドレス変更手段は、送信先アドレスをブロードキャストアドレスに変更し、送信手段は、ブロードキャストアドレスに変更された送信アドレスの認証フレームを、認証装置に送信する通信装置である。
【発明の効果】
【００１３】
本発明によれば、通信装置が、マルチキャストを透過しないハブを介して認証装置に接続された場合であっても、送信先アドレスをブロードキャストに変更して認証フレームを、認証装置に送信するので、認証装置は認証フレームを受信することで、認証処理を良好に行うことができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の実施の形態１における全体構成図
【図２】本発明の実施の形態１におけるネットワークカメラのハードウェアブロック図
【図３】本発明の実施の形態１におけるネットワークカメラの機能ブロック図
【図４】本発明の実施の形態１におけるシーケンスを示す図
【図５】本発明の実施の形態１におけるフローチャートを示す図
【図６】本発明の実施の形態２におけるシーケンスを示す図
【図７】ＥＡＰパケットの構成図
【図８】本発明の実施の形態２におけるフローチャートを示す図
【図９】本発明の実施の形態３における認証ＬＡＮスイッチのハードウェアブロック図
【図１０】本発明の実施の形態３における認証ＬＡＮスイッチのＣＰＵの機能ブロック図
【図１１】本発明の実施の形態３におけるシーケンスを示す図
【図１２】本発明の実施の形態３におけるフローチャートを示す図
【図１３】本発明の実施の形態４における認証ＬＡＮスイッチのハードウェアブロック図
【図１４】本発明の実施の形態４におけるシーケンスを示す図
【図１５】本発明の実施の形態４におけるフローチャートを示す図
【図１６】本発明の実施の形態５における認証ＬＡＮスイッチのＣＰＵの機能ブロック図
【図１７】本発明の実施の形態５におけるシーケンスを示す図
【図１８】本発明の実施の形態６における認証ＬＡＮスイッチのＣＰＵの機能ブロック図
【図１９】本発明の実施の形態６におけるシーケンスを示す図
【図２０】本発明の実施の形態６におけるフローチャートを示す図
【図２１】本発明の実施の形態７におけるシーケンスを示す図
【図２２】本発明の実施の形態７におけるフローチャートを示す図
【図２３】本発明の実施の形態８における認証ＬＡＮスイッチのＣＰＵの機能ブロック図
【図２４】本発明の実施の形態８におけるフローチャートを示す図
【図２５】従来のシーケンスを示す図
【図２６】従来のシーケンスを示す図
【図２７】従来の全体構成図
【図２８】従来のシーケンスを示す図
【発明を実施するための形態】
【００１５】
上記課題を解決するためになされた第１の発明は、認証フレームを認証装置に送信し、認証フレームに応答する応答フレームを認証装置から受信することで、認証装置により認証処理が行われる通信装置であって、認証フレームの送信先アドレスを変更する送信先アドレス変更手段と、認証装置から応答フレームを受信したか否かを判断する受信判断手段と、認証装置に認証フレームを送信する送信手段とを備え、送信手段は、認証フレームを、送信先アドレスをマルチキャストで認証装置に送信し、受信判断手段により認証装置から応答フレームが受信されないと判断された場合、送信先アドレス変更手段は、送信先アドレスをブロードキャストアドレスに変更し、送信手段は、ブロードキャストアドレスに変更された送信アドレスの認証フレームを、認証装置に送信する通信装置である。
【００１６】
第１の発明によれば、通信装置が、マルチキャストを透過しないハブを介して認証装置に接続された場合であっても、送信先アドレスをブロードキャストに変更して認証フレームを、認証装置に送信するので、認証装置は認証フレームを受信することで、認証処理を良好に行うことができる。
【００１７】
上記課題を解決するためになされた第２の発明は、第１の通信装置であって、認証装置から応答フレームを受信した場合に、送信手段は、受信した応答フレームの送信元アドレスを用いたユニキャストアドレスで、応答フレームに応答する認証フレームを、認証装置に送信する通信装置である。
【００１８】
第２の発明によれば、認証フレームの送信先アドレスを、ブロードキャストアドレスのままにするのではなく、ユニキャストアドレスで送信するので、他の通信装置に認証フレームを送信しないようにすることができる。これにより、他の通信装置が認証フレームを受信することで、不要な認証処理を開始させることを防止することで、他の通信装置への干渉を抑制することができる。
【００１９】
上記課題を解決するためになされた第３の発明は、第２の通信装置であって、さらに、認証処理を停止する認証処理停止手段を備え、認証装置から応答フレームを受信した場合に、認証処理停止手段は、認証処理を停止し、送信先アドレス変更手段は、受信した応答フレームの送信元アドレスを用いたユニキャストアドレスで、応答フレームに応答する認証フレームを、認証装置に送信する通信装置である。
【００２０】
第３の発明によれば、認証処理の開始からユニキャストアドレスを使用するので、他の通信装置に認証フレームを全く送信しないようにすることができる。これにより、他の通信装置への干渉をさらに抑制することができる。
【００２１】
上記課題を解決するためになされた第４の発明は、第１ないし３いずれかの通信装置であって、受信判断手段は、認証フレームを送信してからの時間が所定時間を経過した場合に、応答フレームが受信されないと判断する通信装置である。
【００２２】
第４の発明によれば、ある程度の時間を経過した上で、応答フレームが受信されないものと判断するので、判断処理の精度を高めることができる。
【００２３】
上記課題を解決するためになされた第５の発明は、第１ないし４いずれかの通信装置であって、さらに、認証装置から応答フレームを受信した場合、ユーザに対して通知を行う出力手段を備えた通信装置である。
【００２４】
第５の発明によれば、ユーザは、通知により、ブロードキャストアドレスに変更した上で応答フレームを受信したことを知ることができる。
【００２５】
上記課題を解決するためになされた第６の発明は、第１ないし５いずれかの通信装置であって、通信装置は、認証装置により、ＩＥＥＥ８０２．１Ｘの規格に従った認証処理が行われる通信装置である。
【００２６】
第６の発明によれば、通信装置が、マルチキャストを透過しないハブを介して認証装置に接続された場合であっても、ＩＥＥＥ８０２．１Ｘの規格に従った認証処理を良好に行うことができる。
【００２７】
上記課題を解決するためになされた第７の発明は、認証フレームを通信装置に送信し、認証フレームに応答する応答フレームを通信装置から受信することで、通信装置の認証処理を行う認証装置であって、認証フレームの送信先アドレスを変更する送信先アドレス変更手段と、通信装置から応答フレームを受信したか否かを判断する受信判断手段と、通信装置に認証フレームを送信する送信手段とを備え、送信手段は、認証フレームを、送信先アドレスをマルチキャストで通信装置に送信し、受信判断手段により通信装置から応答フレームが受信されないと判断された場合、送信先アドレス変更手段は、送信先アドレスをブロードキャストアドレスに変更し、送信手段は、ブロードキャストアドレスに変更された送信アドレスの認証フレームを、通信装置に送信する認証装置である。
【００２８】
第７の発明によれば、認証装置が、マルチキャストを透過しないハブを介して通信装置に接続された場合であっても、送信先アドレスをブロードキャストに変更して認証フレームを、通信装置に送信するので、通信装置は認証フレームを受信することで、認証処理を良好に行うことができる。
【００２９】
上記課題を解決するためになされた第８の発明は、第７の認証装置であって、通信装置から応答フレームを受信した場合に、送信手段は、受信した応答フレームの送信元アドレスを用いたユニキャストアドレスで、応答フレームに応答する認証フレームを、通信装置に送信する認証装置である。
【００３０】
第８の発明によれば、認証フレームの送信先アドレスを、ブロードキャストアドレスのままにするのではなく、ユニキャストアドレスに変更するので、他の通信装置に認証フレームを送信しないようにすることができる。これにより、他の通信装置が認証フレームを受信することで、不要な認証処理を開始させることを防止することで、他の通信装置への干渉を抑制することができる。
（実施の形態１）
【００３１】
以下、本発明の実施の形態について、図面を参照しながら説明する。
【００３２】
図１は、本発明に係る認証システムの全体構成図である。図１では、本実施の形態で使用するネットワークを示している。なお、図１の全体構成図は、後述する実施の形態２〜８において共通である。
【００３３】
ＰＣ１００ａ、ＩＰ電話１００ｂ、プリンタ１００ｃ、およびネットワークカメラ１００ｄは、認証される側の通信装置の一例である。本実施の形態では、これらの通信装置は、サプリカントの機能を搭載した通信装置である。以下の説明では、ＰＣ１００ａ、ＩＰ電話１００ｂ、プリンタ１００ｃ、およびネットワークカメラ１００ｄを特に区別する必要のない場合は、単に「サプリカント１００」と称す。なお、サプリカントの機能は、図１に示した通信装置に限らず、それ以外の通信装置に提要可能である。
【００３４】
ここで、サプリカントとは、ＩＥＥＥ（Ｔｈｅ  Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｅｌｅｃｔｒｉｃａｌ  ａｎｄ  Ｅｌｅｃｔｒｏｎｉｃｓ  Ｅｎｇｉｎｅｅｒｓ，  Ｉｎｃ．）８０２.１Ｘ認証を行う際に使用するクライアント側の通信装置、あるいはクライント側のプログラムをいう。
【００３５】
ＰＣ１００ａ、ＩＰ電話１００ｂ、プリンタ１００ｃ、およびネットワークカメラ１００ｄは、それぞれイーサネット（登録商標）ケーブル（イーサネット（登録商標）は登録商標）１０を介して、ＨＵＢ２００に接続されている。
【００３６】
ＨＵＢ２００は、Ｅｔｈｅｒフレームを転送するネットワーク機器である。例えば、リピータＨＵＢやレイヤ２スイッチであり、ＥＡＰＯＬ（ＥＡＰ  ｏｖｅｒ  ＬＡＮ［Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ］）を透過しないもの（以下、単に「ＥＡＰＯＬ非透過」称す）と、ＥＡＰＯＬを透過するもの（以下、単に「ＥＡＰＯＬ透過」称す）がある。ＨＵＢ２００は、イーサネット（登録商標）ケーブル２０を介して、認証ＬＡＮスイッチ３００に接続されている。
【００３７】
認証ＬＡＮスイッチ３００は、認証処理を中継する認証装置の一例である。本実施の形態では、この中継装置は、オーセンティケータの機能を搭載したネットワーク機器であり、ＩＥＥＥ８０２．１Ｘの認証機能を備えたＬＡＮスイッチである。オーセンティケータとは、ＩＥＥＥ８０２.１Ｘに対応したアクセスポイントをいう。
【００３８】
認証ＬＡＮスイッチ３００は、イーサネット（登録商標）ケーブル３０を介して、認証サーバ４００およびネットワークＮＷに接続されている。認証サーバ４００は、クライアントによるＬＡＮの利用可否を制御する制御装置の一例である。本実施の形態では、この制御装置は、オーセンティケーションサーバの機能を搭載したネットワーク機器であり、ＲＡＤＩＵＳサーバである。
【００３９】
すなわち、ＰＣ１００ａ、ＩＰ電話１００ｂ、プリンタ１００ｃ、およびネットワークカメラ１００ｃは、ＨＵＢ２００を介して認証ＬＡＮスイッチ３００に接続される。
【００４０】
なお、図１では、イーサネット（登録商標）ケーブルで接続した例を示したが、特にこれに限らず、同軸ケーブル、電力線、電話線などの他の有線伝送路を利用してもよい。また、有線伝送路に限らず、無線伝送路を利用することも可能である。例えば、ＩＥＥＥ８０２．１１などの標準化技術で定義される無線ＬＡＮやブルーテゥース（登録商標）がある。
【００４１】
データ通信を行うに先だって、ネットワークに接続が許可されているかどうかの認証を行うため、ＩＥＥＥ８０２．１Ｘでは、ＰＣ１００ａなどのサプリカント１００と認証ＬＡＮスイッチ３００であるオーセンティケータ、認証サーバ４００であるオーセンティケーションサーバとで認証用のフレームのやり取りを行って認証を行う仕組みを提供している。認証許可されたサプリカントのデータは、オーセンティケータを通ってネットワークに転送できる。認証許可されてないサプリカントのデータは、オーセンティケータで遮断されネットワークに転送されない。
【００４２】
図２は、サプリカント機能を搭載する通信装置、例えばネットワークカメラ１００ｄのハードウェアの構成図である。ネットワークカメラ１００ｄは、バス線１２０を有しており、さらにバス線１２０に接続された、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ＣＯＤＥＣ１０５、信号処理部１０６、およびＭＡＣ１０８を有している。ＣＰＵ１０１は、中央演算装置として機能する。ＲＯＭ１０２は、プロクラムなどを記憶する不揮発メモリとして機能する。ＲＡＭ１０３は、データの読み書きをするための記憶装置として機能する。ＣＯＤＥＣ１０５は、画像の符号化の機能を有する。
【００４３】
ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）１０８は、メディアアクセス制御として機能する。ＭＡＣ１０８にはＰＨＹ（Ｐｈｙｓｉｃａｌ）１０９が接続され、信号処理部１０６には、イメージセンサ１０７が接続されている。ＰＨＹ１０９は、ネットワークの物理層として機能する。イメージセンサ１０７は、画像を電気信号に変換する機能を有する。信号処理部１０６は、イメージセンサ１０７からの信号をＲＡＭ１０３に取り込む。
【００４４】
このような通信装置において、認証用のフレームの送信を行う場合、ＲＯＭ１０２に記憶された認証を行うために必要な所定のプログラムをＣＰＵ１０１にて実行し、プログラムに記載された認証の手順に従い認証用のフレームを生成し、ＲＡＭ１０３に記憶し送信する。認証用のフレームを送信するため、ＭＡＣ１０８は、ＣＳＭＡ／ＣＤなどの処理を行い、ＰＨＹ１０９を介して通信媒体に転送する。認証用のフレームの受信を行う場合、転送されているフレームを通信媒体からＰＨＹ１０９を介して受信し、ＭＡＣ１０８は自宛てフレームかどうかを判断しＲＡＭ１０３に記憶する。ＲＯＭ１０２に記憶された認証を行うために必要な所定のプログラムをＣＰＵにて実行し、プログラムに記載された手順に従い、ＲＡＭ１０３に記憶したフレームが認証用のフレームかどうかを判断し、認証用のフレームであればプログラムされた認証の手順に従い解析し、認証の処理を行う。
【００４５】
図３は、実施の形態１における、サプリカント１００におけるＣＰＵ１０１ａの機能ブロック図を示す。ＣＰＵ１０１は、サプリカント認証処理部１１０、経過時間測定部１１１、送信先アドレス変更部１１２、および状態通知部１１３を有している。なお、図３では、通信装置固有の処理手段は説明を省略するため、図示しない。例えば、ネットワークカメラでは、イメージセンサ１０７で画像を取込み電気信号に変換し、信号処理部１０６にてＲＡＭ１０２に格納し、ＣＯＤＥＣ１０５にて画像を圧縮する処理などは、通信装置固有の処理となる。
【００４６】
サプリカント認証処理部１１０は、認証処理を行う。例えば、ＩＥＥＥ８０２．１Ｘに記載されたサプリカントの状態遷移を行って、ＥＡＰＯＬのフレームの生成、解釈を行ったり、ＲＦＣ４１３７に記載されたサプリカントの状態遷移を行って、ＥＡＰの生成、解釈を行ったり、さらに上位の規格に従った認証の処理を行う。
【００４７】
経過時間測定部１１１は、サプリカント認証処理部１１０で認証を始めるため、例えば、ＥＡＰＯＬ−Ｓｔａｒｔを送信し、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信するまでの時間を測定する。
【００４８】
送信先アドレス変更部１１２は、経過時間測定処理で測定した時間が所定時間を超えていたら、送信先アドレスをマルチキャストアドレスからブロードキャストアドレスに変更する。所定時間としては、例えば数１０秒、好ましくは３０秒以下である。この所定時間を、再送時間間隔内に設定することで、不要な再送を抑制することができる。
【００４９】
状態通知部１１３は、送信先アドレスをマルチキャストアドレスからブロードキャストアドレスに変更後、認証用のフレームを受信できたことを通知する。
【００５０】
図４は、実施の形態１におけるシーケンスを示す。図５は、実施の形態１におけるフローチャートを示す。実施の形態１について、図３〜５を用いて動作を説明する。
【００５１】
なお、ネットワークカメラ１００ｄを含むサプリカント機能を含む通信装置が、認証ＬＡＮスイッチ３００に送信する、認証のためのフレームを「認証フレーム」という。従って、認証フレームには、サプリカント機能を含む通信装置が送信する、ＥＡＰＯＬ−ＳｔａｒｔやＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスが含まる。
【００５２】
また、認証ＬＡＮスイッチ３００が、認証フレームに応答して、認証フレームを送信した通信装置に送信するフレームを、「応答フレーム」という。応答フレームには、認証ＬＡＮスイッチ３００が送信する、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストが含まる。
【００５３】
図４のステップＳ１００において、ネットワークカメラ１００ｄでは、認証処理が開始されると、サプリカント認証処理部１１０（図３参照）が、送信先アドレスにマルチキャストアドレスを設定し、ＥＡＰＯＬ−Ｓｔａｒｔを送信する。例えば、通信装置の電源がＯＮになった場合、サプリカント認証処理部１１０が起動され、ＥＡＰＯＬ−Ｓｔａｒｔが送信される。
【００５４】
ＥＡＰＯＬ−Ｓｔａｒｔは、認証を開始するため、送信先アドレスにレイヤ２のマルチキャストアドレス（０１−８０−Ｃ２−００−００−０３）を使用する。以降、マルチキャストアドレスと示した表記は、（０１−８０−Ｃ２−００−００−０３）を使用するものとする。マルチキャストのアドレスは、１６進数の６バイトの例を示したが、特にこれに限る必要はない。
【００５５】
ステップＳ１０１において、ネットワークカメラ１００ｄは、ＥＡＰＯＬ−Ｓｔａｒｔを送信すると、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信するのを待つ。具体的には、経過時間測定部１１１が、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信するまでの時間測定を開始する。
【００５６】
ステップＳ１０２において、サプリカント認証処理部１１０は、所定時間内にＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信したか否か判断する。ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信すれば（Ｓ１０２のＮｏ）、サプリカント認証処理部は、認証処理を継続し、ＩＥＥＥ８０２．１Ｘのサプリカントの状態遷移に従いながら受信を行う。
【００５７】
例えば、ＨＵＢ２００が、ＥＡＰＯＬ透過のＨＵＢの場合、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信することができるので、継続してＩＥＥＥ８０２．１Ｘに従った認証処理を行えばよい。例えば、ＥＡＰＩ−Ｉｄｅｎｔｉｔｙレスポンスを送信し、認証処理を継続する。
【００５８】
具体的には、ネットワークカメラ１００ｄが、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを、ＨＵＢ２００を介して認証ＬＡＮスイッチ３００に返信すると、認証ＬＡＮスイッチ３００は、認証サーバ４００にＲＡＤＩＵＳアクセスリクエストを送信する。例えば、認証メソッドにＭＤ５（Ｍｅｓｓａｇｅ  Ｄｉｇｅｓｔ  ａｌｏｇｏｒｉｔｈｍ  ５）を用いた場合で下記を説明する。認証サーバ４００は、ＭＤ５チャレンジを格納したＲＡＤＩＵＳアクセスチャレンジを認証ＬＡＮスイッチ３００に返信すると、認証ＬＡＮ  スイッチ３００は、ＭＤ５チャレンジを格納したＥＡＰ−Ｒｅｑｕｅｓｔをネットワークカメラ１００ｄに送信する。
【００５９】
ネットワークカメラ１００ｄは、予め保有するパスワードをＭＤ５のアルゴリズムに従ってハッシュ値を計算し、ＥＡＰ−Ｒｅｓｐｏｎｓｅに格納しＨＵＢ２００を介し認証ＬＡＮ  スイッチ３００に送信する。認証ＬＡＮスイッチ３００は、ＲＡＤＩＵＳアクセスリクエストにＭＤ５のハッシュ値を格納し、認証サーバ４００に送信する。認証サーバ４００は、受信したハッシュ値をもとにネットワークカメラ１００ｄが許可された端末かどうかを判断し、許可された端末であれば、ＲＡＤＩＵＳアクセスアクセプトを認証ＬＡＮスイッチ３００に送信する。認証ＬＡＮスイッチ３００は、ＲＡＤＩＵＳアクセスアクセプトを受信し、ネットワークカメラ１００ｄにＥＡＰ−ＳＵＣＣＥＳＳを送信する。
【００６０】
認証ＬＡＮスイッチ３００は、ＲＡＤＩＵＳアクセスアクセプトを受信することでネットワークカメラ１００ｄが認証された端末と判断し、通信を許可することができる。また、ネットワークカメラ１００ｄは、ＥＡＰ−ＳＵＣＣＥＳＳを受信することで認証に成功したことが判断できる。
【００６１】
なお、ここでは、認証メソッドにＭＤ５を用いたが、ＭＤ５に限定されない。例えば、ＥＡＰ−ＴＬＳ（ＥＡＰ−Ｔｒａｎｓｐｏｒｔ  ｌａｙｅｒ  ｓｅｃｕｒｉｔｙ）、ＰＥＡＰ（Ｐｒｏｔｅｃｔｅｄ  ＥＡＰ）、ＬＥＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ  ＥＡＰ）、ＥＡＰ−ＴＴＬＳ（ＥＡＰ−Ｔｕｎｎｅｌｅｄ  ｔｒａｎｓｐｏｒｔ  ｌａｙｅｒ  ｓｅｃｕｒｉｔｙ）など、各種の認証メソッドを利用することが可能である。
【００６２】
ステップＳ１０２において、所定時間を超えても、ネットワークカメラ１００ｄが、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信しなければ（Ｓ１０２のＹｅｓ）、ステップＳ１０４において、送信先アドレス変更部１１２は、送信先アドレスをブロードキャストアドレス（ｆｆ−ｆｆ−ｆｆ−ｆｆ−ｆｆ−ｆｆ）に変更する。
【００６３】
例えば、ＨＵＢ２００が、ＥＡＰＯＬ非透過のＨＵＢの場合、マルチキャストアドレスのフレームは転送できないので、認証ＬＡＮスイッチ３００は、ＥＡＰＯＬ−Ｓｔａｒｔを受信することができない。結果、認証ＬＡＮスイッチ３００はＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信できない。
【００６４】
ブロードキャストアドレスへの変更では、送信先アドレスがブロードキャストアドレスに設定され、ステップＳ１０５において、ネットワークカメラ１００ｄは、送信先アドレスがブロードキャストアドレスに設定されたＥＡＰＯＬ−Ｓｔａｒｔを送信する。
【００６５】
ステップＳ１０６において、サプリカント認証処理部１１０は、再度、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信したか否か判断する。
【００６６】
ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信しなければ（ステップＳ１０６のＮｏ）、サプリカント認証処理部１１０は、上述した認証処理を継続する。ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信できれば（ステップＳ１０６のＹｅｓ）、ステップＳ１０７において、状態通知部１１３は、受信できた旨を上位アプリケーションに出力手段を介して通知し、サプリカント認証処理部１１０は、上述した認証処理を継続する。
【００６７】
上位アプリケーションでは、ＬＥＤやディスプレイなどの出力手段により、例えば、ネットワークカメラのＬＥＤを点滅させることによって、使用者に通知することができる。また、ディスプレイのような表示手段をもつ場合は、ディスプレイに「ＥＡＰＯＬ非透過のＨＵＢが接続されている可能性があります」のようなメッセージを使用者に通知することができる。
【００６８】
ＨＵＢ２００がＥＡＰＯＬ非透過のＨＵＢであったとしても、転送することができるので認証ＬＡＮスイッチ３００はＥＡＰＯＬ−Ｓｔａｒｔを受信することができ、認証ＬＡＮスイッチ３００はＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信できる。
【００６９】
本実施の形態では、認証ＬＡＮスイッチ３００が、送信先アドレスにユニキャストアドレスで転送する設定になっている例を示している。
【００７０】
以上のように、実施の形態１では、ネットワークカメラ１００ｄが、送信先アドレスをマルチキャストアドレスからブロードキャストアドレスに変更した結果、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信できるので、たとえＥＡＰＯＬ非透過のＨＵＢが接続されたネットワーク環境においてもＩＥＥＥ８０２．１Ｘの認証処理が可能となる。
【００７１】
また、サプリカントの使用者は、通信経路の途中にＥＡＰＯＬ非透過のハブが接続されていることが認識することができる。
【００７２】
なお、通知の内容に関しては、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信できた内容でもよいし、通信経路の途中にＥＡＰＯＬ非透過のＨＵＢが接続されているなどでもよい。
【００７３】
なお、上述した実施の形態では、ＥＡＰＯＬ−Ｓｔａｒｔを送信する場合を例にあげたが、ＥＡＰＯＬ−Ｓｔａｒｔのみでなく、認証用のフレームすべてに対して適応できる。例えば、ＥＡＰＯＬ−Ｓｔａｒｔを送信する前に、認証ＬＡＮスイッチから送信先アドレスが自通信装置あてのユニキャストアドレスのＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信し、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを送信する場合にでも適用できる。
（実施の形態２）
【００７４】
次に、本発明における実施の形態の２について、図面を参照しながら説明する。図６は、実施の形態２におけるシーケンス図である。ネットワークカメラ１００ｄが認証処理を始める流れは、実施の形態１と同等である。図４と同じ処理には同じ符号を付している。相違する点は、ＰＣ１００ａの処理、すなわちステップＳ１０９が追加された点である。
【００７５】
ステップＳ１０８において、ネットワークカメラ１００ｄが、認証処理のため、送信先にブロードキャストアドレスを用いて認証用のフレーム、例えばＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを送信すると、ＨＵＢ２００を介して、ＰＣ１００ａが受信する。
【００７６】
サプリカント認証処理部１１０は、受信したフレームが、ＥＡＰのレスポンスおよびＥＡＰのリクエストのいずれか否か判断しており、ＥＡＰのレスポンスと判断されれば、受信したフレームを破棄する。
【００７７】
ＥＡＰのリクエストと判断されれば、自通信装置に送信された認証用のフレームとして受信し、実施の形態１で説明した認証処理を行う。
【００７８】
ＥＡＰのリクエストか否かを判断する手段を次に説明する。
【００７９】
図７は、ＥＡＰの構成図である。ＥＡＰは、ヘッダーＨＤおよびペイロードＰＬを有している。ヘッダーＨＤには、Ｃｏｄｅ、Ｉｎｄｅｎｔｉｆｉｅｒ、およびＬｅｎｇｔｈのフィールドが定義され、ペイロードＰＬは、Ｃｏｄｅフィールドに従ったデータが格納される。
【００８０】
これらのフィールドの中で、Ｃｏｄｅフィールド（１バイト）を確認することで、レスポンスかどうか判断することができる。具体的には、Ｃｏｄｅ１はＲｅｑｕｅｓｔを示し、Ｃｏｄｅ２はＲｅｓｐｏｎｓｅを示し、Ｃｏｄｅ３はＳｕｃｃｅｓｓを示し、Ｃｏｄｅ４はＦａｉｌｕｒｅを示す。サプリカント認証処理部１１０は、Ｃｏｄｅが２の値になっている場合、ＥＡＰのレスポンスであるとして破棄し、認証処理を行う。
【００８１】
このように、ＥＡＰのレスポンスを破棄することで、サプリカント認証処理部１１０は、不要な状態遷移をすることなく認証処理が行うことができる。
【００８２】
次いで、図８は、実施の形態２の他の例のシーケンス図である。ＨＵＢ２００がＥＡＰＯＬ透過のＨＵＢであった場合、ＰＣ１００ａが、送信先アドレスをマルチキャストアドレスを用いて送信すると、ネットワークカメラ１００ｄが受信する。ステップＳ１１０において、サプリカント認証処理部１１０が、ＥＡＰのレスポンスであれば、破棄する。この場合、ＥＡＰのレスポンスの判断は、上記に説明した方法と同様である。
【００８３】
このような方法を用いることで、他の通信装置の認証用のフレームを受信した場合でも、干渉することなく認証処理を行うことができる。
【００８４】
なお、上述した実施の形態では、サプリカント認証処理部１１０にて、ＥＡＰのレスポンスを破棄したが、それに限定されない。例えば、Ｅｔｈｅｒドライバなどの下位層の処理で判断できるのであれば、判断できた層で破棄してもよい。
（実施の形態３）
【００８５】
以下、本発明の第３の実施の形態について、図面を参照しながら説明する。
【００８６】
図９は、認証ＬＡＮスイッチのハードウェア構成図である。認証ＬＡＮスイッチ３００は、オーセンティケータ機能を搭載する認証装置である。認証ＬＡＮスイッチ３００は、ＣＰＵ３０１、ＲＯＭ３０２、ＲＡＭ３０３、ＭＡＣ３０８ａ、３０８ｂ、３０８ｃ、・・・、ＰＨＹ３０９ａ、３０９ｂ、３０９ｃ、・・・、フレームバッファ３０５、ＡＳＩＣ３０６、ＭＡＣアドレス学習テーブル３０７を有しており、これらの要素は、バス線３２０を介して接続されている。ＣＰＵ３０１は、中央演算装置として機能する。ＲＯＭ３０２はプロクラムなどを記憶する不揮発メモリとしての機能し、ＲＡＭ３０３はデータの読み書きをするための記憶装置として機能し、ＭＡＣは複数のメディアアクセス制御として機能し、ＰＨＹは複数のネットワークの物理層として機能し、ＭＡＣアドレス学習テーブルは、受信したフレームの送信元アドレスを学習する機能を有し、フレームバッファ受信したフレームを一次格納する機能を有し、ＡＳＩＣは、ポートごとの通信管理を行う機能を有する。
【００８７】
次に処理について説明する。転送されているフレームを通信媒体から、ＰＨＹ３０９ａ、３０９ｂ、３０９ｃ、・・・を介して受信し、ＭＡＣ３０８ａ、３０８ｂ、３０８ｃ、・・・にてフレーム化し、フレームバッファ３０５に保存し、エラーチェックが行われる。ＲＯＭ３０２に記憶された所定のプログラムを、ＣＰＵ３０１にて実行し、プログラムに記載された認証の手順に従い受信したフレームの認証処理を行う。転送の際には、ＭＡＣアドレス学習テーブル３０７にて送信元アドレスを記憶し、ＡＳＩＣ３０６にて、物理的な転送先を決定するのに使用する。フレームの転送に際しては、ＭＡＣ３０８ａ、３０８ｂ、３０８ｃ、・・・にてＣＳＭＡ／ＣＤなどの処理を行い、ＰＨＹ３０９ａ、３０９ｂ、３０９ｃ、・・・を介して通信媒体に転送する。
【００８８】
図１０は、認証ＬＡＮスイッチにおけるＣＰＵの構成図を示す。ここでは、ＬＡＮスイッチとしての固有の処理手段は特に言及しないため、図示していない。ＣＰＵ３０１は、オーセンティケータ認証処理部３１０、送信先アドレス変更部３１１、および送信先アドレス判定部３１２を有している。
【００８９】
オーセンティケータ認証処理部３１０は、認証処理を行う。例えば、ＩＥＥＥ８０２．１Ｘに記載されたオーセンティケータの状態遷移を行って、ＥＡＰＯＬのフレームの生成、解釈を行ったり、ＲＦＣ４１３７に記載されたオーセンティケータの状態遷移を行って、ＥＡＰの生成、解釈を行ったり、さらに上位のＥＡＰメソッドの処理などを行う。
【００９０】
送信先アドレス判定部３１２は、受信した認証用のフレームの送信元アドレスがブロードキャストアドレスかどうかを判断する。送信先アドレス判定部３１２が判断した結果、受信した認証用のフレームの送信元アドレスがブロードキャストアドレスの場合、送信先アドレス変更部３１１が、受信した認証用のフレームの送信元アドレスを用いて送信先アドレスをユニキャストアドレスに変更する。
【００９１】
図１１は、実施の形態３におけるシーケンス図である。図１２は、実施の形態３におけるフローチャートである。なお、図１１における、ステップＳ１０１〜Ｓ１０５は図４と同一の処理である。
【００９２】
ステップＳ１０５において、ネットワークカメラ１００ｄは、実施の形態１と同様の処理を行い、送信先アドレスにブロードキャストアドレスを使用したＥＡＰＯＬ−Ｓｔａｒｔを送信する。
【００９３】
ステップＳ３０１において、認証ＬＡＮスイッチ３００は、オーセンティケータ認証処理部３１０が認証処理を開始し、認証フレームを受信したか否かを判断する。
【００９４】
認証用のフレームを受信すると、認証フレームを受信したと判断し（Ｓ３０１のＹｅｓ）、ステップＳ３０２において、送信先アドレス判定部３１２は、送信先アドレスがブロードキャストかどうかを確認する。例えば、送信先がブロードキャストアドレスのＥＡＰＯＬ−Ｓｔａｒｔを受信した場合である。ブロードキャストアドレスでなければ（Ｓ３０２のＮｏ）、認証処理を継続する。例えば、ＩＥＥＥ８０２．１Ｘのオーセンティケータの状態遷移に従った処理を継続する。ブロードキャストアドレスであれば（Ｓ３０２のＹｅｓ）、ステップＳ３０３において、送信する認証用のフレームの送信先アドレスに受信したＥＡＰＯＬ−Ｓｔａｒｔの送信元アドレスを使って送信する。
【００９５】
具体的には、送信先アドレス変更部３１１は、送信先アドレスを受信したＥＡＰＯＬ−Ｓｔａｒｔの送信元アドレスを送信先アドレスに変更し、ステップＳ３０４において、認証処理を行う。例えば、送信先がブロードキャストアドレスのＥＡＰＯＬ−Ｓｔａｒｔの送信元アドレスを認証用のフレームの送信先アドレスに使用し、ＩＥＥＥ８０２．１Ｘのオーセンティケータの状態遷移に従った認証処理を行う。
【００９６】
以上のように、上述した実施の形態３では、ＥＡＰＯＬ非透過のＨＵＢが接続されたネットワーク環境においてもＩＥＥＥ８０２．１Ｘの認証処理を行うことができる。また、ユニキャストアドレスでの送信が可能となるので、他の通信装置への干渉を起こすことなく認証処理が行うことができる。
（実施の形態４）
【００９７】
以下、本発明の実施の形態４について、図面を参照しながら説明する。実施の形態４は、認証ＬＡＮスイッチでの動作を示している。
【００９８】
図１３は、本発明の認証ＬＡＮスイッチの構成図を示す。ここでは、ＬＡＮスイッチとしての固有の処理手段は特に言及しないため、図示していない。オーセンティケータ認証処理部、送信先アドレス変更部、および送信先アドレス判定部は、図１０と同様であるので、同一の参照番号を付して説明を省略する。ＣＰＵ３０１は、図１０と異なり、経過時間測定部３１３を有している。
【００９９】
経過時間測定部３１３は、オーセンティケータ認証処理手段３１０がＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信し、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信するまでの時間を測定する。送信先アドレス変更部３１１は、経過時間測定処理で測定した時間が所定時間を超えていたら、送信先アドレスをマルチキャストアドレスからブロードキャストアドレスに変更する。
【０１００】
図１４および図１５を用いて、実施の形態４の流れを説明する。ステップＳ３１０において、認証ＬＡＮスイッチ３００は、認証を開始するため、送信先アドレスにマルチキャストアドレスを使用したＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信する。例えば、認証ＬＡＮスイッチの電源がＯＮになった場合、オーセンティケータ認証部３１０が実行され、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信する。
【０１０１】
ステップＳ３１１において、認証ＬＡＮスイッチ３００は、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信するのを待つ。所定時間内にＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信できれば（Ｓ３１１のＹｅｓ）、オーセンティケータ認証部３１０にて、認証処理を継続する。例えば、ＩＥＥＥ８０２．１Ｘのオーセンティケータの状態遷移に従いながら認証用のフレームの送受信を行う。ＨＵＢ２００がＥＡＰＯＬ透過のＨＵＢの場合、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信することができる、ＩＥＥＥ８０２．１Ｘに従った認証処理を行う。
【０１０２】
ＨＵＢ２００がＥＡＰＯＬ非透過のＨＵＢの場合、マルチキャストアドレスのフレームは転送できないので、ネットワークカメラ１００ｄは、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信することができない。結果、ネットワークカメラ１００ｄはＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを送信できない。経過時間測定部３１３は、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信するまでの時間を測定し、ステップＳ３１２において、認証ＬＡＮスイッチ３００のオーセンティケータ認証部３１０は、所定時間が経過したか否か判断する。
【０１０３】
所定時間を超えてもＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信できなければ（Ｓ３１２のＹｅｓ）、ステップＳ３１３において、送信アドレス変更部３１１は、送信アドレスをブロードキャストアドレスに変更する。すなわち、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信できなかった場合、送信先アドレスをブロードキャストアドレス（ｆｆ−ｆｆ−ｆｆ−ｆｆ−ｆｆ−ｆｆ）に設定する。ステップＳ３１４において、オーセンティケータ認証部３１０は、送信先アドレスをブロードキャストに変更したＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信する。
【０１０４】
ＨＵＢ２００がＥＡＰＯＬ非透過のＨＵＢであったとしても、転送することができるので、ネットワークカメラ１００ｄはＥＡＰ−Ｉｄｅｎｔｉｔｙを受信することができる。
【０１０５】
ネットワークカメラ１００ｄは、実施の形態１の方法を用いて、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを送信する。ステップＳ３１５において、認証ＬＡＮスイッチ３００は、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信したか否か判断する。ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信できなければ（ステップＳ３１５のＮｏ）、オーセンティケータ認証部３１０は認証処理を継続する。例えば、ＩＥＥＥ８０２．１Ｘのオーセンティケータの状態遷移に従った処理を継続する。認証ＬＡＮスイッチ３００は、送信先アドレスをマルチキャストアドレスからブロードキャストアドレスに変更した結果、ＥＡＰ−Ｉｄｅｎｔｉｔｙレスポンスを受信した場合（Ｓ３１５のＹｅｓ）、ステップＳ３１６において、その旨をデータログとして保持する。この結果、認証ＬＡＮスイッチ３００の管理者は、通信経路の途中にＥＡＰＯＬ非透過のハブが接続されていることが認識可能となるメリットがある。なお、ログの内容に関しては、説明を省略する。
【０１０６】
以上のように、上述した実施の形態４では、ＥＡＰＯＬ非透過のＨＵＢが接続されたネットワーク環境においてもＩＥＥＥ８０２．１Ｘの認証処理が可能となる。
（実施の形態５）
【０１０７】
次に、本発明の第５の実施の形態について、図面を参照しながら説明する。
【０１０８】
図１６は、本発明におけるネットワークカメラ１００ｄのＣＰＵ１０１の機能ブロック図を示す。図１６は、図３と同一の要素には同一の符号を付す。送信先アドレス判定部１１２は、受信した認証用のフレームの送信元アドレスがブロードキャストアドレスかどうかを判断する。送信先アドレス判定部１１２で判断した結果、受信した認証用のフレームの送信元アドレスがブロードキャストアドレスの場合、送信先アドレス変更部１１２にて受信した認証用のフレームの送信元アドレスを用いて送信先アドレスをユニキャストアドレスに変更する。
【０１０９】
図１７を用いて、実施の形態５の流れを説明する。認証ＬＡＮスイッチ３００は、実施の形態４と同様の処理を行い、送信先アドレスにブロードキャストアドレスを使用したＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信する。ネットワークカメラ１００ｄは、送信先アドレスがブロードキャストアドレスかどうかを判断し、ブロードキャストアドレスであれば、送信する認証用のフレームの送信先アドレスに受信したＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストの送信元アドレスを使って送信する。
【０１１０】
ネットワークカメラ１００ｄの処理の流れは、認証ＬＡＮスイッチ３００の処理の流れ、図１１のステップＳ３０２、３０３と同様である。認証処理は、ネットワークカメラ１００ｄに応じた認証処理を行えばよい。
【０１１１】
以上のように、上述した実施の形態５では、ＥＡＰＯＬ非透過のＨＵＢが接続されたネットワーク環境においてもＩＥＥＥ８０２．１Ｘの認証処理が可能となる。また、ユニキャストアドレスでの送信が可能となるので、他の通信装置への干渉を起こすことなく認証処理が行える。
（実施の形態６）
【０１１２】
次に、実施の形態６について、図面を参照しながら説明する。図１８は、本発明の通信装置の構成図を示す。サプリカント認証処理部１１０、経過時間測定部１１１、状態通知部１１３、送信先アドレス変更部１１２は、実施の形態５と同様である。送信元アドレス学習部１１６は、受信した認証用のフレームの送信元アドレスを学習する。
【０１１３】
サプリカント認証処理部１１０は、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信したら、一旦、認証処理を終了させるための認証用のフレームを送信し、送信元アドレス学習部で学習したアドレスを使用して再度、認証処理を開始する。
【０１１４】
図１９を用いて、実施の形態６の流れを説明する。ネットワークカメラ１００ｄは、実施の形態１と同様の処理を行い、送信先アドレスにブロードキャストアドレスを使用したＥＡＰＯＬ−Ｓｔａｒｔを送信し、認証ＬＡＮスイッチ３００は、実施の形態３と同様の処理を行い送信先アドレスにブロードキャストアドレスを使用したＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを送信する。ネットワークカメラ１００ｄは、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信できたら、受信したＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストの送信元アドレスを学習する。送信元アドレスを取得したら、ＥＡＰＯＬ−Ｌｏｇｏｆｆを送信することで認証処理を一旦終了させる。そして、再度、学習した送信元アドレスを送信先アドレスに使用して認証を再度行う。
【０１１５】
次に、図２０を用いて通信装置の処理の流れを説明する。認証処理が開始されると、図５のＳ１００、Ｓ１０２、１０４、１０５と同様の流れで、ステップＳ１００において、ＥＡＰＯＬ−Ｓｔａｒｔを送信する。ステップＳ４０１において、ＥＡＰ−Ｉｄｅｎｔｉｔｙリクエストを受信すると送信元アドレスを送信元アドレス学習部で学習する。ステップＳ４０２において、一旦、認証処理を終了するため、サプリカント認証処理部１１０はＥＡＰＯＬ−Ｌｏｇｏｆｆを送信する。送信先を、送信元アドレス学習部１１６で学習したアドレスを用いサプリカント認証処理部１１０で認証処理を開始する。
【０１１６】
以上のように、上述した実施の形態６では、ユニキャストアドレスを送信先アドレスに使用することで、他の通信装置への干渉をさけることができる。また、ＨＵＢ２００がＥＡＰＯＬ透過のＨＵＢであった場合にも、干渉をさける有効な手段となる。
（実施の形態７）
【０１１７】
次に、実施の形態７について、図面を参照しながら説明する。図２１を用いて、実施の形態７の流れを説明する。ネットワークカメラ１００ｄは、認証機能が無効になっている。例えば、認証機能を有効／無効にするような機能とは、通信装置の使用者の指示に従って、ＩＥＥＥ８０２．１Ｘの認証を行うかどうかを決定できるような機能である。ここでは、認証機能の有効／無効にする方法に関しては限定しない。
【０１１８】
ネットワークカメラ１００ｄは、認証機能が無効の状態で認証用のフレームを受信した場合、認証機能が無効になっていることを使用者に通知する。
【０１１９】
次に、図２２を用いて通信装置の処理の流れを説明する。ステップＳ５００において、認証用のフレームを受信すると（Ｓ５００のＹｅｓ）、ステップＳ５０１において、認証機能が有効になっているか無効になっているかを判断する。
【０１２０】
認証用のフレームかどうかの判断は、イーサネット（登録商標）のフレームのＥｔｈｅｒＴｙｐｅフィールドが、「８８−８ｅ」であるかどうかを判断すれば確認できる。また、認証機能が有効になっているか無効になっているかは、通信装置のＲＡＭに記憶された特定のアドレスを確認することで判断できる。認証機能が無効の場合は（Ｓ５０１のＹｅｓ）、ステップＳ５０２において、使用者に通知する。認証機能が有効の場合は（Ｓ５０１のＮｏ）、認証処理を行えばよい。
【０１２１】
使用者に通知する方法としては、各種の方法が利用可能である。例えば、ＬＥＤなどの発光手段を点灯あるいは点滅させてもよい。また、ディスプレイなどの表示手段に、その旨をメッセージとして使用者に通知することも可能である。
【０１２２】
以上のように、上述した実施の形態７では、自通信装置が、認証機能が無効になっているにもかかわらず、ＩＥＥＥ８０２．１Ｘの認証が必要とされるネットワーク環境に接続されたことが判断でき、使用者は認証機能を有効にしなければならないことが判断できる。
（実施の形態８）
【０１２３】
次に、実施の形態８について説明する。図２３は、本発明の通信装置の構成図を示す。サプリカント認証処理部１１０、状態通知部１１３、送信先アドレス判定部１１５、送信元アドレス学習部１１６、経過時間測定部１１１は、実施の形態６と同様である。認証経過時間測定部１１７は、認証を開始して、認証が終わるまでの時間を測定する。例えば、ＥＡＰＯＬ−Ｓｔａｒｔを送信し、ＥＡＰ−ＳＵＣＣＥＳＳもしくはＥＡＰ−ＦＡＩＬＵＲＥを受信するまでの時間を測定する。
【０１２４】
サプリカント認証処理部１１０は、認証経過時間測定部１１７で測定した時間が所定時間を超えても認証結果を判断できる認証用のフレーム、例えば、ＥＡＰ−ＳＵＣＣＥＳＳもしくはＥＡＰ−ＦＡＩＬＵＲＥを受信できなければ、認証結果として認証失敗を上位のアプリケーションに通知する。認証結果が、認証成功、認証失敗については、いずれでもよい。
【０１２５】
認証結果を判断できる認証用のフレームに関して、本実施の形態では、ＥＡＰ−ＳＵＣＣＥＳＳもしくはＥＡＰ−ＦＡＩＬＵＲＥを用いて説明したが、これに限定されない。例えば、認証メソッドにＰＥＡＰを使用する場合は、ＥＡＰｅｘｔｅｎｓｉｏｎのＳＵＣＣＥＳＳ、もしくはＥＡＰｅｘｔｅｎｓｉｏｎのＦＡＩＬＵＲＥを受信しときに認証が終わったと判断してもよい。または、ＩＥＥＥ８０２．１Ｘの状態遷移に従って、ＡＵＴＨＥＮＴＩＣＡＴＥＤになっているかどうかで認証が終わったかどうかを判断してもよい。
【０１２６】
次に、図２４を用いて通信装置の処理の流れを説明する。ステップＳ６０１において、ＥＡＰＯＬ−Ｓｔａｒｔ送信し認証処理を開始する。認証処理は、サプリカント認証処理部にて実行される。ステップＳ６０２において、認証にかかる時間の測定を開始する。
【０１２７】
時間の測定は、認証経過時間測定部にて実行される。ステップＳ６０３において、所定時間経過したかどうかを確認し、所定時間経過していた場合は（Ｓ６０３のＹｅｓ）、ステップＳ６０５において、認証処理が完了しているかどうかを確認する。ステップＳ６０６において、認証処理が完了していない場合は、認証の結果を認証失敗として使用者に通知する。この後、ＩＥＥＥ８０２．１Ｘの状態遷移に従って、認証処理を継続するかどうかはここでは限定しない。ここでは、認証の結果を認証失敗として説明したが、タイムアウトした旨を通知してもよい。
【０１２８】
以上のように、上述した実施の形態８では、使用者が、自通信装置が長時間にわたって認証できてないことを知ることができる。この結果として、ネットワークもしくは通信装置が異常状態になっていることがわかる。
【０１２９】
なお、上述した実施の形態１〜８で説明したＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）は、各種の方式を適用することができる。例えば、ＥＡＰ−ＭＤ５、ＥＡＰ−ＴＬＳ、ＰＥＡＰなどが利用可能である。
【産業上の利用可能性】
【０１３０】
本発明にかかる認証方法では、１つの認証ＬＡＮスイッチに対し、ＨＵＢを介して複数の通信装置が接続されたネットワークにおける端末認証の用途に適用できる。
【符号の説明】
【０１３１】
１００ｄ    ネットワークカメラ
１０１    ＣＰＵ
１１０    サプリカント認証処理部
１１１    経過時間測定部
１１２    送信先アドレス変更部
１１３    状態通知部
２００    ＨＵＢ
３００    認証ＬＡＮスイッチ
【図１】
0005838320.tif 000002
【図２】
0005838320.tif 000003
【図３】
0005838320.tif 000004
【図４】
0005838320.tif 000005
【図５】
0005838320.tif 000006
【図６】
0005838320.tif 000007
【図７】
0005838320.tif 000008
【図８】
0005838320.tif 000009
【図９】
0005838320.tif 000010
【図１０】
0005838320.tif 000011
【図１１】
0005838320.tif 000012
【図１２】
0005838320.tif 000013
【図１３】
0005838320.tif 000014
【図１４】
0005838320.tif 000015
【図１５】
0005838320.tif 000016
【図１６】
0005838320.tif 000017
【図１７】
0005838320.tif 000018
【図１８】
0005838320.tif 000019
【図１９】
0005838320.tif 000020
【図２０】
0005838320.tif 000021
【図２１】
0005838320.tif 000022
【図２２】
0005838320.tif 000023
【図２３】
0005838320.tif 000024
【図２４】
0005838320.tif 000025
【図２５】
0005838320.tif 000026
【図２６】
0005838320.tif 000027
【図２７】
0005838320.tif 000028
【図２８】
0005838320.tif 000029