(57)【要約】    【課題】  無線ＬＡＮシステムにおいて、既存の移動端末を利用し、ハンドオーバ時の通信の途切れを減少させる。    【解決手段】  複数のアクセスポイントを備える無線ＬＡＮシステムにおいて、移動端末がハンドオーバする可能性のある周辺のアクセスポイントに、予め移動端末の認証情報を配布し、ハンドオーバ時は、アクセスポイントと移動端末との間で認証を行う。    【選択図】  図３
2006041594.tif 000002
【特許請求の範囲】
【請求項１】
移動端末を外部ネットワークに接続する複数のアクセスポイントと、前記移動端末の認証を行う認証サーバとを備える移動通信システムであって、
前記認証サーバは、
前記複数のアクセスポイントの中の１のアクセスポイントを介して前記移動端末からの認証要求を受け取ると、当該移動端末の認証を行う認証手段と、
前記認証手段での認証後、当該移動端末の認証情報を、当該移動端末が自身の管理エリアに移動する可能性のあるアクセスポイントとして予め管理されているアクセスポイントへ送信する認証情報共有指示手段と、を備え
前記アクセスポイントは、
前記移動端末の認証情報を保持する認証サーバから送信された前記移動端末の認証情報を共有認証情報として保持する共有認証情報保持手段と、
前記移動端末から認証要求を受信した場合、前記共有認証情報に当該移動端末の認証情報が保持されているか否かを判断し、保持されている場合、当該共有情報に保持されている認証情報を用いて認証を行い、保持されていない場合、前記認証サーバとの間の当該移動端末の認証の仲介を行う認証処理手段と、を備えること
を特徴とする移動通信システム。
【請求項２】
アクセスポイントを介して外部ネットワークに接続する移動端末の認証を行う認証サーバであって、
前記アクセスポイントを介して前記移動端末から認証要求を受けると、当該移動端末の認証を行う認証手段と、
前記認証手段での認証後、当該移動端末の認証情報を、当該移動端末が自身の管理エリアに移動する可能性のあるアクセスポイントとして予め管理されているアクセスポイントへ送信する認証情報共有指示手段と、を備えること
を特徴とする認証サーバ。
【請求項３】
請求項２記載の認証サーバであって、
前記認証情報共有指示手段は、
前記移動端末が自身の管理エリアに移動する可能性のあるアクセスポイント（以後、近傍アクセスポイントと呼ぶ。）の情報を、前記認証サーバに認証を要求する前記アクセスポイント毎に保持する近傍アクセスポイント管理手段と、
前記アクセスポイントから、当該アクセスポイント自身の管理エリアに移動端末が移動してきた場合に、移動通知を受信する移動通知受信手段と、
前記移動通知受信手段において前記移動通知を受信すると、移動通知受信前に当該移動端末の通信を仲介していたアクセスポイントおよびその近傍アクセスポイントに対し、前記移動端末の認証情報を削除するよう指示する認証情報解除手段と、
前記認証情報解除手段において認証情報を削除するよう指示した後、前記移動通知を送信してきたアクセスポイントおよびその近傍アクセスポイントに対し、当該移動端末の認証情報を送信する認証情報送信手段と、を備えること
を特徴とする認証サーバ。
【請求項４】
請求項２記載の認証サーバであって、
前記認証情報共有指示手段は、
前記移動端末が自身の管理エリアに移動する可能性のあるアクセスポイント（以後、近傍アクセスポイントと呼ぶ。）の情報を、前記認証サーバに認証を要求する前記アクセスポイント毎に保持する近傍アクセスポイント管理手段と、
前記アクセスポイントから、当該アクセスポイント自身の管理エリアに移動端末が移動してきた場合に、移動通知を受信する移動通知受信手段と、
前記移動通知受信手段において前記移動通知を受信すると、前記移動通知受信前に前記移動端末の通信を仲介していたアクセスポイントの近傍のアクセスポイントから、前記移動通知を送信してきたアクセスポイントおよび当該アクセスポイントの近傍アクセスポイントを除いたアクセスポイントに対し、前記移動端末の認証情報を削除するよう指示する認証情報解除手段と、
前記認証情報解除手段において認証情報を削除するよう指示した後、前記移動通知を送信してきたアクセスポイントの近傍アクセスポイントから、前記移動通知受信前に前記移動端末の通信を仲介していたアクセスポイントおよび当該アクセスポイントの近傍アクセスポイントを除いたアクセスポイントに対し、当該移動端末の認証情報を送信する認証情報送信手段と、を備えること
を特徴とする認証サーバ。
【請求項５】
認証された移動端末を、外部ネットワークに接続するアクセスポイントであって、
前記移動端末の認証情報を保持する認証サーバから送信された前記移動端末の認証情報を共有認証情報として保持する共有認証情報保持手段と、
前記移動端末から認証要求を受信した場合、前記共有認証情報に当該移動端末の認証情報が保持されているか否かを判断し、保持されている場合、当該共有情報に保持されている認証情報を用いて認証を行い、保持されていない場合、前記認証サーバとの間の当該移動端末の認証の仲介を行う認証処理手段と、を備えること
を特徴とするアクセスポイント。
【請求項６】
移動端末を外部ネットワークに接続する複数のアクセスポイントと、前記移動端末の認証を行う認証サーバとを備える移動通信システムにおける、移動端末の認証方法であって、
前記アクセスポイントが、前記移動端末から認証要求を受信すると、
予め認証サーバから送信され共有認証情報として保持している移動端末の認証情報を検索し、当該共有認証情報に前記認証要求を送信した移動端末の認証情報が保持されていた場合、当該認証情報を用いて認証を行い、
保持されていない場合、前記受信した認証要求を前記認証サーバに送信し、認証サーバにて認証を行うこと
を特徴とする移動端末の認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、無線ＬＡＮシステムにおける移動端末の認証技術に関する。特に、移動端末が無線ＬＡＮシステム内の複数の無線アクセスポイント間をハンドオーバする際の認証技術に関する。
【背景技術】
【０００２】
無線ＬＡＮシステム内の移動端末は、無線ＬＡＮシステム内に設置された無線アクセスポイント（以後、無線ＡＰと呼ぶ。）を介して、外部のネットワークに接続される。
【０００３】
無線ＬＡＮシステムには、複数の無線ＡＰが配置され、移動端末は、現在位置のエリアをカバーする無線ＡＰを介して、外部のネットワークに接続され、外部のネットワークに接続される相手先端末とデータの送受信を行う。
【０００４】
移動端末は、データの送受信中に移動した場合、今度は、移動先を管理エリアとする無線ＡＰを介して外部のネットワークに接続される。このように移動端末が、移動に伴って中継する無線ＡＰを切り替えることを、ハンドオーバと呼ぶ。
【０００５】
図１に、無線ＬＡＮシステムのイメージ図を示す。本図に示すように、無線ＬＡＮシステム内には、無線ＡＰ２０１、２０２、２０３・・・２１５が配置される。以後、特に区別する必要がない場合は、これらを無線ＡＰ２００で代表する。移動端末１００は、移動に伴い、現在位置をカバーする無線ＡＰ２００を介して外部ネットワークに接続される。
【０００６】
ところで、無線ＬＡＮは、伝送路としてのケーブルが不要であることから、容易にＬＡＮを構築することができる。反面、電波の到達範囲が目に見えないことから、悪意ある第三者によって不正侵入を図られるリスクも存在する。これを回避するため、無線ＬＡＮシステムには、セキュリティ対策が必須である。
【０００７】
セキュリティ対策として、例えば、接続する移動端末１００を認証し、認証が成功した場合のみ、接続を許可する方式がある。その代表的なものとしてＩＥＥＥ８０１．１ｘに規定された方式がある。
【０００８】
ＩＥＥＥ８０２．１ｘによれば、無線ＬＡＮシステムは、無線ＡＰ２００を介して接続を試みる移動端末１００の認証を行う認証サーバ３００を備える。移動端末１００から、接続するための認証要求を受信した無線ＡＰ２００は、認証サーバ３００との間で所定の認証手順を実行することにより、その移動端末１００の正当性を認証する。認証が成功した場合、その移動端末１００に暗号化鍵を配布し、移動端末１００は、その暗号化鍵を用いて暗号化された無線通信を行う。
【０００９】
なお、移動端末１００の正当性は、予め認証サーバ３００に登録された外部ネットワークへのアクセス権限の有無で判断される。例えば、認証サーバ３００がＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルに従ってアクセスを認証するＲＡＤＩＵＳサーバの場合、予めユーザ登録されていれば、アクセス権限ありと判断し、登録がなされていなければ、アクセス権限なしと判断する。
【００１０】
図１に示す無線ＬＡＮシステムにおいて、一例として無線ＡＰ２０１と無線ＡＰ２０２と、認証サーバ３００とを備える場合の、システム構成を図２に示す。
【００１１】
本図に示すように、認証サーバ３００は無線ＡＰ２０１、２０２に有線回線で接続される。また、無線ＡＰ２０１、２０２は、ゲートウェイ４００を介して、外部ネットワーク５００に接続される。相手先端末６００は、外部ネットワーク５００に接続される。移動端末１００は、無線ＡＰ２００を介して、外部のネットワーク５００に接続する相手先端末６００とデータの送受信を行う。
【００１２】
ＩＥＥＥ８０２．１ｘ規格に従ったアクセス制御によれば、無線ＡＰ２００は、移動端末１００からの認証要求を受信する毎に、認証サーバ３００にアクセスし、移動端末１００の認証を行う。
【００１３】
図１３は、無線ＬＡＮシステム内での、ハンドオーバが発生した場合の、従来の一般的な認証手順の概略を説明するための図である。
【００１４】
本図に示すように、移動端末１００は、無線ＡＰ２０１の管理するエリアに移動すると、無線ＡＰ２０１に認証要求をし（Ｓ００１）、その後、無線ＡＰ２０１は、認証サーバ３００との間で要求元の移動端末１００の認証を行う（Ｓ００２）。認証成功後、移動端末１００は、相手先端末６００とデータ通信が可能となる。
【００１５】
移動端末１００が無線ＡＰ２０２のエリアに移動すると、移動端末１００は、今度は無線ＡＰ２０２に認証要求をし（Ｓ００３）、それを受けて、無線ＡＰ２０２は、認証サーバ３００との間で移動端末１００の認証を行う（Ｓ００４）。認証成功後、移動端末１００は、相手先端末６００とデータ通信が可能となる。
【００１６】
ここで、移動端末１００が、無線ＡＰ２０１に認証要求をし、その後無線ＡＰ２０２にハンドオーバする場合の、認証動作を説明する。図１４は、本認証動作のシーケンスである。なお、ここでは、ＩＥＥＥ８０２．１ｘ規格に従ったＥＡＰ（Extensive Authentication Protocol）−ＭＤ５による認証動作を例にあげて説明する。
【００１７】
PPP EAPOL-Start : 移動端末１００は、ＰＰＰ ＥＡＰＯＬ開始処理として、無線ＡＰ２０１に認証要求である認証開始メッセージを送信する（ステップ（１））。
【００１８】
PPP EAPOL-Request/Identity : 認証開始メッセージを受信した無線ＡＰ２０１は、移動端末１００の識別子（ＩＤ）を要求するＰＰＰ ＥＡＰ要求を、移動端末１００に送信する（ステップ（２））。
【００１９】
PPP EAP-Response/Identity : ＰＰＰ ＥＡＰ要求を受信した移動端末１００は、自身のＩＤであるユーザ名を、ＰＰＰ ＥＡＰ応答として、無線ＡＰ２０１に通知する（ステップ（３））。
【００２０】
RADIUS Access Request : ＰＰＰ ＥＡＰ応答を受信した無線ＡＰ２０１は、ＲＡＤＩＵＳプロトコルに従ったアクセス要求として、移動端末１００のＩＤを認証サーバ３００に通知する（ステップ（４））。
【００２１】
RADIUS Access Challenge : 認証サーバ３００は、認証要求元の移動端末１００のＩＤを受信すると、乱数を生成し、生成した乱数を、ＲＡＤＩＵＳアクセスチャレンジとして、アクセス要求送信元の無線ＡＰ２０１に送信する。また、認証サーバ３００は、外部ネットワークにアクセスを許可されている移動端末１００の認証情報を予め保持している。受信した移動端末１００のＩＤをキーにこの認証情報を検索し、該当するデータに送信した乱数を対応付けて管理する（ステップ（５））。
【００２２】
PPP EAP-Request/MD5-Cha11enge : 無線ＡＰ２０１は、受信した乱数を、ＰＰＰ ＥＡＰ要求として、移動端末１００に送信する（ステップ（６））。
【００２３】
PPP EAP-Response/MD5-Cha11enge : 移動端末１００は、無線ＡＰ２０１を介して認証サーバ３００から通知された乱数と、自身の識別子（ＩＤ）と、パスワードとを用いて、ＭＤ５のメッセージダイジェスト関数値を算出し、無線ＡＰ２０１に通知する（ステップ（７））。
【００２４】
RADIUS Access-Request : 無線ＡＰ２０１は、ＲＡＤＩＵＳアクセス要求として受信したＭＤ５のメッセージダイジェスト関数値を認証サーバ３００に送信する（ステップ（８））。受信した認証サーバ３００は、自身が認証情報として保持しているＩＤとパスワードとステップ（５）で送信した乱数とを用いてメッセージダイジェスト関数値を算出し、受信した値と比較することにより、認証を行う。
【００２５】
RADIUS Access-Accept : 認証サーバ３００は、認証成功または不成功を、無線ＡＰ２０１に通知する(ステップ（９）)。
【００２６】
PPP EAP-Success / Failure : 無線ＡＰ２０１は、受信した認証の成否を移動端末１００に通知する。ここで、認証が不成功の場合、ステップ（６）以降を再度繰り返す、または、処理を打ち切るなど構成する（ステップ（１０））。
【００２７】
PPP EAPOL-Key : ステップ（１０）において、認証成功の場合、無線ＡＰ２０１は、移動端末１００に、暗号鍵情報を送信する（ステップ（１１））。これ以降、移動端末１００は、この暗号鍵を用いて、送信するデータを暗号化することにより、外部ネットワーク５００との通信が可能となる。
【００２８】
移動端末１００は、無線ＡＰ２０１を介して、ＳＩＰなどの呼制御手順により外部ネットワークに接続する相手先端末６００との通信路を開設し、データの送受信を行う（ステップ（１２））。例えば、移動端末１００と相手先端末６００とがＩＰ電話機の場合、ＶｏＩＰ通話が行われる。
【００２９】
エリア移動：ここで、データの送受信中、移動端末１００が移動したことにより、無線ＡＰ２０１から無線ＡＰ２０２にハンドオーバが発生したとする（ステップ（１３））。
【００３０】
PPP EAPOL-Start : 移動端末１００が、無線ＡＰ２０２が管理するエリアに移動したとき、移動端末１００は、無線ＡＰ２０２に向けて、外部ネットワークにアクセスするための認証要求を送信する（ステップ（１４））。
【００３１】
以後、上記ステップ（２）から（１１）の手順が、無線ＡＰ２０１の代わりに無線ＡＰ２０２を介して行われ（ステップ（１４）からステップ（２４））、移動端末１００は、認証が成功し、暗号鍵を無線ＡＰ２０２から取得した後、相手先端末６００とデータの送受信を行うことができる。
【００３２】
移動端末１００が無線ＡＰ２００に認証を要求してから認証成功までには、上記の手順のステップ（１）から（１１）、または、ステップ（１３）から（２４）までの処理が必要である。そして、これらの処理には、数秒かかることがある。従って、例えば、移動端末１００が、無線ＡＰ２０１から無線ＡＰ２０２にハンドオーバした場合、上記の手順のステップ（１３）から（２４）までの処理の間、移動端末は未認証であるため、データの送受信が途切れてしまうことがある。
【００３３】
ハンドオーバ時のデータ送受信の途切れを回避するものとして、認証が確立するまでの間、ハンドオーバ前の無線ＡＰ２００が付与した暗号化鍵を継続して使用する方法がある（例えば、特許文献１参照。）。
【００３４】
ここでは、ハンドオーバする前に、ハンドオーバ先の無線ＡＰに、ハンドオーバ元の無線ＡＰとの間の通信に使われていた暗号化キーを配布し、ハンドオーバ先の無線ＡＰが、認証サーバを用いて移動端末の認証を行っている間、その暗号化キーを用いて、通信を継続する。
【００３５】
【特許文献１】特開２００３−２５９４１７号公報
【発明の開示】
【発明が解決しようとする課題】
【００３６】
特許文献１の技術を用いることにより、通信が途切れる状態、すなわち、無音状態の期間は減少する。しかしながら、特許文献１の方法を実現するためには、移動端末に、暗号鍵が一時的使用のものか通常使用のものかを区別する情報を保持する機能など、新たな機能を実装する必要がある。すなわち、現在使われている移動端末をそのまま用いて、通信の途切れ、すなわち、無音状態の期間を減少させることができない。
【００３７】
そこで、移動端末に、新たな構成を付加することなく、ハンドオーバ時の無音状態の期間を減少させることが望まれている。
【課題を解決するための手段】
【００３８】
本発明は、上記事情に鑑み、なされたものであり、複数のアクセスポイントを備える無線ＬＡＮシステムにおいて、移動端末がハンドオーバする可能性のあるアクセスポイントに、予め当該移動端末の認証情報を送信しておき、ハンドオーバ時には、移動端末とアクセスポイントとの間のみで認証を行う。
【００３９】
具体的には、移動端末を外部ネットワークに接続する複数のアクセスポイントと、前記移動端末の認証を行う認証サーバとを備える移動通信システムであって、前記認証サーバは、前記複数のアクセスポイントの中の１のアクセスポイントを介して前記移動端末からの認証要求を受け取ると、当該移動端末の認証を行う認証手段と、前記認証手段での認証後、当該移動端末の認証情報を、当該移動端末が自身の管理エリアに移動する可能性のあるアクセスポイントとして予め管理されているアクセスポイントへ送信する認証情報共有指示手段と、を備え前記アクセスポイントは、前記移動端末の認証情報を保持する認証サーバから送信された前記移動端末の認証情報を共有認証情報として保持する共有認証情報保持手段と、前記移動端末から認証要求を受信した場合、前記共有認証情報に当該移動端末の認証情報が保持されているか否かを判断し、保持されている場合、当該共有情報に保持されている認証情報を用いて認証を行い、保持されていない場合、前記認証サーバとの間の当該移動端末の認証の仲介を行う認証処理手段と、を備えることを特徴とする移動通信システムを提供する。
【発明の効果】
【００４０】
本発明によれば、無線ＬＡＮシステムにおいて、従来の移動端末をそのまま用いて、ハンドオーバ時の無音状態の期間を減少させることができる。
【発明を実施するための最良の形態】
【００４１】
以下に、本発明を適用した実施形態を説明する。
【００４２】
本実施形態のシステム構成図は、図２に示した従来のシステム構成図と同様であるため、これを利用して説明する。
【００４３】
まず、本実施形態の認証手順の概略を説明する。
【００４４】
本実施形態の認証手順は、従来の認証手順（図１３参照）におけるＳ００４の認証を省略するものである。
【００４５】
本実施形態のハンドオーバ発生時の認証手順の概略を、図３に示す。
【００４６】
本図に示すように、移動端末１００は、無線ＡＰ２０１のエリアに移動すると、無線ＡＰ２０１に認証要求し（Ｓ００１ａ）、その後、無線ＡＰ２０１は、認証サーバ３００との間で、移動端末１００の認証を行う（Ｓ００２ａ）。認証処理後、移動端末１００が無線ＡＰ２０１を介して相手先端末６００とデータ送受信中に、認証サーバ３００は、無線ＡＰ２０１の近傍の無線ＡＰ２０２に、移動端末１００の認証情報を予め送信しておく（Ｓ００３ａ）。
【００４７】
移動端末１００が、無線ＡＰ２０１から無線ＡＰ２０２にハンドオーバした場合、無線ＡＰ２０２は、Ｓ００３ａで受信している認証情報を用いて、移動端末１００を認証する（Ｓ００４ａ）。
【００４８】
以上の方法により、本実施形態では、移動端末１００が無線ＡＰ２００間をハンドオーバした場合、ハンドオーバ先の無線ＡＰにおいて、再度認証サーバ３００を介して、認証を行う必要がない。
【００４９】
次に、本実施形態の移動端末１００と、無線ＡＰ２００と、認証サーバ３００との間の認証時の動作シーケンスを説明する。図４に、本実施形態の認証シーケンスを示す。
【００５０】
ここでは、移動端末１００は、まず、無線ＡＰ２０１が管理するエリアで新規に認証要求を行い、その後、無線ＡＰ２０２が管理するエリアに移動する場合を例にあげて説明する。無線ＡＰ２０２および無線ＡＰ２０４は、無線ＡＰ２０１からハンドオーバがあり得る無線ＡＰ２００（近傍無線ＡＰ）として、また、無線ＡＰ２０４は、無線ＡＰ２０２の近傍無線ＡＰとして、認証サーバ３００で管理されるものとする。図１４に示す従来のシーケンスと同様、ＩＥＥＥ８０２．１ｘ規格に従ったＥＡＰ−ＭＤ５による認証動作を例にあげて説明する。
【００５１】
移動端末１００が、無線ＡＰ２０１を介して、新規に認証要求をする場合の、認証手順は、図１４に示す従来のシーケンス（ステップ（１）から（１２））と基本的に同様であるため、ここでは、説明しない。
【００５２】
認証情報共有要求：認証サーバ３００は、ステップ（８）のＲＡＤＩＵＳアクセス要求を受けて行った認証が成功すると、要求元の無線ＡＰ２０１の近傍の無線ＡＰ２００として管理されている無線ＡＰ２００を抽出する。ここでは、無線ＡＰ２０２、無線ＡＰ２０４に送信する（ステップ（１３））。そして、抽出した全無線ＡＰ２００に向けて、移動端末１００の認証情報を、認証情報共有要求として送信する。
【００５３】
認証情報登録：認証サーバ３００から、認証情報共有要求を受信した無線ＡＰ２０２および無線ＡＰ２０４は、受信した移動端末１００の認証情報をそれぞれ共有認証情報として保持する（ステップ（１４））。
【００５４】
認証情報共有応答：その後、無線ＡＰ２０２および無線ＡＰ２０４は、認証情報共有応答を認証サーバ３００に返信する（ステップ（１５））。
【００５５】
なお、ステップ（１３）から（１５）の処理は、本実施形態では、移動端末１００と相手先端末６００との間のデータの送受信開始後に行うよう記載しているが、ステップ（９）の認証成功後であって（１６）の移動端末１００のエリア移動前であれば、いつでもよい。
【００５６】
エリア移動：データ送受信中の移動端末１００が、無線ＡＰ２０１が管理するエリアから、無線ＡＰ２０２が管理するエリアに移動し、ハンドオーバが発生する（ステップ（１６））。
【００５７】
EAPOL Start : 移動端末１００は、ＰＰＰ  ＥＡＰＯＬ開始処理として無線ＡＰ２０２に認証開始メッセージ（認証要求）を送信する（ステップ（１７））。
【００５８】
PPP EAPOL-Request/Identity : 認証開始メッセージ（認証要求）を受信した無線ＡＰ２０２は、移動端末１００の識別子（ＩＤ）を要求するＰＰＰ  ＥＡＰ要求を、移動端末１００に送信する（ステップ（１８））。
【００５９】
PPP EAP-Response/Identity : ＰＰＰ  ＥＡＰ要求を受信した移動端末１００は、自身のＩＤであるユーザ名を、ＰＰＰ  ＥＡＰ応答として、無線ＡＰ２０２に通知する（ステップ（１９））。
【００６０】
PPP EAP-Request/MD5-Cha11enge : 無線ＡＰ２０２は、受信したＩＤを自身が共有認証情報として保持しているか否かを確認し、保持している場合、乱数を生成し、ＰＰＰ ＥＡＰ要求として、移動端末１００に送信する（ステップ（２０））。
【００６１】
PPP EAP-Response/MD5-Cha11enge : 移動端末１００は、無線ＡＰ２０２から通知された乱数と、自身の識別子（ＩＤ）と、パスワードとを用いて、ＭＤ５のメッセージダイジェスト関数値を算出し、無線ＡＰ２０２に通知する（ステップ（２１））。
【００６２】
PPP EAP-Success / Failure: 無線ＡＰ２０２は、自身が共有認証情報として保持しているＩＤとパスワードとステップ（２０）で送信した乱数とを用いてメッセージダイジェスト関数値を算出し、受けとった値と比較することにより、認証を行う。そして、認証の成否を移動端末１００に通知する。認証が不成功の場合は、通常の認証時の不成功の場合と同様の処理を行う（ステップ（２２））。
【００６３】
PPP EAPOL-Key : ステップ（２２）において、認証成功の場合、無線ＡＰ２０２は、移動端末１００に、暗号鍵情報を送信する（ステップ（２３））。これ以降、移動端末１００は、この暗号鍵を用いて、送信するデータを暗号化することにより、外部ネットワーク５００との通信が可能となる（ステップ（２４））。
【００６４】
端末移動通知：ステップ（２０）において、受信したＩＤを共有認証情報として保持している場合、新たな認証要求ではなく、エリア移動によるハンドオーバであると判断する。そして、ステップ（２３）において暗号鍵情報の送信を行った後、無線ＡＰ２０２は、認証サーバ３００に、端末が自身の管理エリアに移動してきたことを通知するため、端末移動通知を送信する（ステップ（２５））。なお、本通知処理は、次のエリア移動までの間であれば、いつでもよい。
【００６５】
端末移動応答：認証サーバ３００は、端末移動通知を受信すると、送信元の無線ＡＰ２００に、当該通知を受信したことを通知するため、端末移動応答を送信する（ステップ（２６））。
【００６６】
認証情報解除要求：認証サーバ３００は、ハンドオーバ前に端末移動通知内に含まれる移動端末１００の通信を中継していた無線ＡＰ２００（ここでは無線ＡＰ２０１）の近傍無線ＡＰとして管理されている無線ＡＰ２００（ここでは無線ＡＰ２０２、２０４）に、認証情報解除要求を送信する（ステップ（２７））。
【００６７】
認証情報解除：認証サーバ３００から認証情報解除要求を受信した無線ＡＰ２００は、自身が保持している共有認証情報から、該当する移動端末１００の認証情報を削除する（ステップ（２８））。
【００６８】
認証情報解除応答：ステップ（２８）の削除処理を終えると、無線ＡＰ２０は、その旨を認証情報解除応答として認証サーバ３００に通知する（ステップ（２９））。
【００６９】
認証情報共有要求：認証情報解除応答を各無線ＡＰ２００（ここでは、無線ＡＰ２０２、２０４）から受信すると、上記ステップ（２５）で受信した端末移動通知の送信元無線ＡＰ２００（ここでは、無線ＡＰ２０２）の近傍の無線ＡＰとして管理されている無線ＡＰ２００（ここでは、無線ＡＰ２０４）に認証情報共有要求を送信し、上記ステップ（１４）、（１５）の処理を行い、近傍の無線ＡＰに移動端末１００の認証情報を登録する。
【００７０】
次に、上記処理動作を実現する本実施形態の各構成要素の詳細を説明する。
【００７１】
まず、本実施形態の認証サーバ３００について説明する。図５は、認証サーバ３００の機能ブロック図である。
【００７２】
本図に示すように、認証サーバ３００は、ＲＡＤＩＵＳサーバ部３０１と、有線ＬＡＮ制御部３０２と、認証情報共有管理部３０３とを備える。
【００７３】
有線ＬＡＮ制御部３０２は、有線ＬＡＮの送受信を制御する。本実施形態では、ＲＡＤＩＵＳプロトコルに従ったアクセス要求は、ＲＡＤＩＵＳサーバ部３０１に受け渡し、その他の認証情報共有要求、端末移動通知、認証情報解除溶融など認証情報共有に関する情報は、認証情報共有管理部３０３に受け渡す。
【００７４】
ＲＡＤＩＵＳサーバ部３０１は、通常のＲＡＤＩＵＳサーバとしての処理を行うとともに、認証結果を認証情報共有管理部３０３に通知する。
【００７５】
ＲＡＤＩＵＳサーバ部３０１は、通常のＲＡＤＩＵＳサーバと同様の認証処理を行う認証処理部３０１１と、認証結果を認証情報共有管理部３０３に通知する認証通知部３０１２と、予め登録されている各移動端末１００の認証情報を保持する認証情報テーブル３０１３とを備える。
【００７６】
認証処理部３０１１は、無線ＡＰ２００から移動端末１００の認証要求を受信すると、認証情報テーブル３０１３を参照することにより、要求元の移動端末１００の正当性を確認する。そして、認証の成否を、要求元の無線ＡＰ２００に通知する。これらの機能は、従来の認証サーバ３００の機能と同じである。
【００７７】
上記の認証シーケンスでいえば、ステップ（４）で受信したアクセス要求に従って、ステップ（５）のRADIUS Access Challenge処理を行い、ＲＡＤＩＵＳアクセスチャレンジを送信する処理、および、ステップ（８）でＲＡＤＩＵＳアクセス要求を受信し、上記の認証を行い、ステップ（９）で結果を通知する処理を行う。
【００７８】
ここで、認証情報テーブル３０１３の一例を図６に示す。本図に示すように、認証情報テーブル３０１３は、移動端末１００の識別子であるＩＤが保持されるＩＤ保持部３０１３ａと、パスワードが保持されるパスワード保持部３０１３ｂと、移動端末１００を認証する際に生成する乱数を保持する乱数保持部３０１３ｃとを備える。
【００７９】
ＩＤとパスワードとは、個々の移動端末１００毎に、予め登録され、また、乱数は、上記のRADIUS Access Challenge処理時に作成したものが格納される。
【００８０】
認証通知部３０１２は、認証が成功した場合、認証が成功した移動端末１００の認証情報と中継する無線ＡＰ２００を特定する情報（以後、無線ＡＰ識別子と呼ぶ。）とを認証情報共有管理部３０３に通知する。上記の認証シーケンスでは、ステップ（９）の認証の成否を通知した後、通知を行う。
【００８１】
認証情報共有管理部３０３は、共有管理処理部３０３１と、近傍ＡＰ管理テーブル３０３２と、移動端末管理テーブル３０３３とを備える。
【００８２】
近傍ＡＰ管理テーブル３０３２は、本認証サーバ３０３に接続された無線ＡＰ２００ごとに、近傍の無線ＡＰ２００を管理するものである。
【００８３】
近傍ＡＰ管理テーブル３０３２の一例を図７に示す。これは、図１のように無線ＡＰ２００が配置されている場合の近傍ＡＰ管理テーブル３０３２の一例である。
【００８４】
本図に示すように、近傍ＡＰ管理テーブル３０３２は、無線ＡＰ２００の識別子を格納する無線ＡＰ識別子格納部３０３２ａと、無線ＡＰ識別子格納部３０３２ａに格納される無線ＡＰ２００の近傍エリアを管理する無線ＡＰ２００の識別子を格納する近傍無線ＡＰ識別子格納部３０３２ｂとを備える。近傍無線ＡＰ識別子格納部３０３２ｂには、無線ＡＰ識別子格納部３０３２ａに格納された無線ＡＰ２００からハンドオーバする可能性のある無線ＡＰ２００の識別子が全て格納される。本テーブルは、無線ＬＡＮシステム構築時にシステム設計者などにより登録される。
【００８５】
移動端末管理テーブル３０３３は、無線ＡＰ２００が、現在通信を中継している移動端末１００を管理するテーブルである。図８に一例を示す。
【００８６】
本図に示すように、移動端末管理テーブル３０３３は、無線ＡＰ２００の識別子を格納する無線ＡＰ識別子格納部３０３３ａと、その無線ＡＰのエリア内の移動端末１００のＩＤを保持するＩＤ格納部３０３３ｂとを備える。本テーブルは、後述の共有管理処理部３０３１が、認証通知部３０１２より情報を受信し、それを格納することにより構築される。
【００８７】
共有管理処理部３０３１は、移動端末管理テーブル３０３３を生成し、また、近傍の無線ＡＰ２００に認証情報を送信する。さらに、端末移動通知を受信すると、認証情報の削除指示を送信する。
【００８８】
認証通知部３０１２から、仲介した無線ＡＰ２００の識別子とともに、所定の移動端末１００の認証成功の通知を受信すると、共有管理処理部３０３１は、移動端末管理テーブル３０３３にアクセスする。移動端末１００のＩＤを検索し、ＩＤ格納部３０３３ｂに保持されていれば、当該データを削除する。そして、受信した無線ＡＰ２００の識別子と移動端末１００のＩＤとの組を、新たなデータとして格納する。
【００８９】
次に、共有管理処理部３０３１は、仲介した無線ＡＰ２００の近傍の無線ＡＰ２００に、その移動端末１００の認証情報を共有認証情報として送信する。近傍の無線ＡＰ２００は、受信した情報に格納されている無線ＡＰ２００の識別子をキーに、近傍ＡＰ管理テーブル３０３２から抽出する。
【００９０】
また、共有管理処理部３０３１は、認証シーケンスのステップ（２５）の無線ＡＰ２００から移動端末１００がエリアに移動してきたことを示す端末移動通知を受信すると、端末移動応答を送信するとともに、以下の処理、すなわち、認証シーケンスの、ステップ（２７）からステップ（３２）の処理を行う。
【００９１】
まず、端末移動通知に含まれる移動端末１００のＩＤをキーに移動端末管理テーブル３０３３から、ハンドオーバ前に仲介していた無線ＡＰ２００を抽出する。次に、近傍ＡＰ管理テーブル３０３２から、抽出した無線ＡＰ２００の近傍の無線ＡＰ２００として管理されている無線ＡＰ２００を抽出し、それらに認証情報解除要求を送信する。
【００９２】
なお、認証情報解除要求には、少なくとも、認証情報を削除すべき移動端末１００を特定するＩＤが含まれる。
【００９３】
その後、端末移動通知に含まれる無線ＡＰ２００の識別子と移動端末１００のＩＤとを、新たなデータとして移動端末管理テーブル３０３３に追加する。
【００９４】
次に、認証情報解除要求を送信した全ての無線ＡＰ２００から認証情報解除応答を受信すると、受信した端末移動通知に含まれる無線ＡＰ２００の識別子をキーにその無線ＡＰ２００の近傍の無線ＡＰ２００として近傍ＡＰ管理テーブル３０３２に格納されている無線ＡＰ２００を抽出し、それらに、端末移動通知に含まれる移動端末１００の認証情報を送信する。なお、認証情報は、認証情報テーブル３０１３から抽出する。
【００９５】
図９は、認証サーバ３００のハードウェアブロック図である。
【００９６】
本図に示すように、認証サーバ３００は、主制御ユニットであるＭＰＵ８１と、プログラムや設定データを保持するＲＯＭ８２と、ワーク用メモリであるＲＡＭ８３と、有線ＬＡＮとの接続インタフェースである有線ＬＡＮモジュール８５とを備える。
【００９７】
図５で説明したＲＡＤＩＵＳサーバ部３０１、有線ＬＡＮ制御部３０２、認証情報共有管理部３０３および認証通知部３０１２の機能は、ＲＯＭ８２に格納されたプログラムをＭＰＵ８１が実行することにより実現される。また、認証情報テーブル３０１３、近傍ＡＰ管理テーブル３０３２、移動端末管理テーブル３０３３は、ＲＯＭ８２に格納される。
【００９８】
次に、本実施形態の無線ＡＰ２００について説明する。
【００９９】
図１０は、本実施形態の無線ＡＰ２００の機能ブロック図である。以下においては、本実施形態に特有の機能を説明するために必須の構成のみ、抽出して説明する。
【０１００】
本図に示すように、無線ＡＰ２００は、認証情報登録・管理制御部２１と、認証情報共有制御部２２と、ＲＡＤＩＵＳ制御部２３と、ＥＡＰＯＬ（ＥＡＰover  ＬＡＮ）制御部２４と、ＭＡＣ（Media Access Control）フレーム送受信制御部２５と、有線ＬＡＮ制御部２６と、無線ＬＡＮ制御部２７と、を備える。
【０１０１】
有線ＬＡＮ制御部２６は、有線ＬＡＮ通信の送受信を制御し、無線ＬＡＮ制御部２７は、無線ＬＡＮ通信の送受信を制御する。
【０１０２】
ＭＡＣフレーム送受信制御部２５は、有線と無線間のイーサネットフレーム送受信を制御する。本実施形態では、認証情報共有制御部２２、ＲＡＤＩＵＳ制御部２３、ＥＡＰＯＬ制御部２４から要求されたパケット送信要求をイーサネットフレーム化する。また、有線ＬＡＮ制御部/無線ＬＡＮ制御部から受信したイーサネットフレームをフレームの内容/共有情報の状態によって、それぞれ、データに応じた処理部である、認証情報共有制御部２２、ＲＡＤＩＵＳ制御部２３、ＥＡＰＯＬ制御部２４に受け渡たす。認証情報共有制御部２２、ＲＡＤＩＵＳ制御部２３、ＥＡＰＯＬ制御部２４に送信する。
【０１０３】
本実施形態の無線ＡＰ２００は、ＩＥＥＥ８０２．１ｘに従い、移動端末１００の認証を行うにあたり、無線側（対移動端末１００側）はＥＡＰＯＬプロトコルを採用し、有線側（対認証サーバ３００側）はＲＡＤＩＵＳプロトコルを採用する。従って、無線ＡＰ２００は、認証用サーバ３００に対し、ＲＡＤＩＵＳクライアントとして動作する。
【０１０４】
このため、本実施形態では、無線ＡＰ２００と認証サーバ３００との間の認証処理に係るＲＡＤＩＵＳプロトコルに従ったフレームの場合、データを、ＲＡＤＩＵＳ制御部２３に、無線ＡＰ２００と移動端末１００との認証処理に係るＥＡＰＯＬプロトコルに従ったフレームの場合フレームの場合、ＥＡＰＯＬ制御部２４に受け渡す。また、共有する認証情報の処理に係るフレームの場合、認証情報共有制御部２２に受け渡す。
【０１０５】
ＲＡＤＩＵＳ制御部２３は、無線ＡＰ２００と認証サーバ３００との間の認証時のＲＡＤＩＵＳプロトコル制御を行い、ＥＡＰＯＬ制御部２４は、無線ＡＰ２００と移動端末１００との間の認証時のＥＡＰＯＬプロトコル制御を行う。
【０１０６】
認証情報共有制御部２２は、無線ＡＰ２００と認証サーバ３００間でやりとりされる上述の処理に係るメッセージの処理を行う。本実施形態では、認証サーバ３００と送受信する共有認証情報、認証情報解除要求、端末移動通知など、ＲＡＤＩＵＳプロトコル制御およびＥＡＰＯＬプロトコル制御に用いられないデータについて、ＭＡＣフレーム送受信制御部２５と認証情報登録・管理制御部２１との間を中継する。
【０１０７】
認証情報登録・管理制御部２１は、移動端末１００を認証するための情報を保持し、認証処理を制御する。認証情報登録・管理制御部２１は、移動端末１００からの認証要求を受信し、認証を行う認証処理部２１０１と、認証サーバ３００からの認証情報共有要求に従い、共有する認証情報を共有認証情報２１０４に登録する共有登録部２１０２と、認証サーバ３００からの認証情報解除要求に従い、共有認証情報２１０４から指定されたデータを削除する削除処理部２１０３とを備える。
【０１０８】
共有登録部２１０２は、認証サーバ３００から認証情報共有要求を受信すると、当該要求に含まれる認証情報を共有認証情報２１０４に保持する。これは、近傍の無線ＡＰ２００が管理するエリア内の移動端末１００の認証情報である。すなわち、前述の認証シーケンスのステップ（１４）または（３１）の処理を行う。
【０１０９】
削除処理部２１０３は、認証サーバ３００から認証情報解除要求として認証情報解除要求を受信すると、共有端末認証情報２１０４から、削除を指示された移動端末１００の認証情報を削除し、削除後、認証情報解除応答を認証サーバ３００に送信する。すなわち、前述の認証シーケンスのステップ（２８）の処理を行う。
【０１１０】
認証処理部２１０１は、移動端末１００から認証要求を受けた場合、まず、共有認証情報２１０４を検索する。要求元の移動端末１００の認証情報が格納されていた場合、その認証要求は、データ送受信中の移動端末１００であって、新たに自身が管理するエリアに移動してきた移動端末１００から送信されたものと判断し、共有認証情報２１０４内の認証情報を用いて送信元の移動端末１００の認証を行うとともに、認証情報共有制御部２２を介して、認証サーバ３００に、端末移動通知を送信する。
【０１１１】
なお、端末移動通知には、少なくとも無線ＡＰ２００の識別子と、移動端末１００のＩＤとを含む。
【０１１２】
認証シーケンスで言えば、認証処理部２１０１は、ステップ（１９）で、ＥＡＰＯＬ制御部２４を介してＰＰＰ ＥＡＰ応答を受信すると、乱数を生成し、ステップ（２０）でＰＰＰ ＥＡＰ要求として、ＥＡＰＯＬ制御部２４を介して移動端末１００に送信する。次に、ステップ（２１）で、ＥＡＰＯＬ制御部２４を介して移動端末からＭＤ５のメッセージダイジェスト関数値を受信すると、認証を行い、ステップ（２２）および（２３）で、ＥＡＰＯＬ制御部２４を介して、認証結果、および認証成功の場合暗号鍵情報を送信する。
【０１１３】
一方、共有認証情報２１０４に格納されていない場合、新たにデータの送受信を始める端末からの認証要求と判断し、認証処理部２１０１は、認証サーバ３００により、通常の認証処理を行うための中継を行う。すなわち、Access Requestを認証サーバ３００に送信するようＲＡＤＩＵＳ制御部２３に要求する。認証シーケンスでは、ステップ（１）から（１１）の処理である。
【０１１４】
図１１は、無線ＡＰ２００のハードウェアブロック図である。
【０１１５】
本図に示すように、無線ＡＰ２００は、主制御ユニットであるＭＰＵ７１と、プログラムや設定データを保持するＲＯＭ７２と、ワーク用メモリであるＲＡＭ７３と、無線ＬＡＮとの接続インタフェースである無線ＬＡＮモジュール７４と、有線ＬＡＮとの接続インタフェースである有線ＬＡＮモジュール７５とを備える。
【０１１６】
図１０で説明した無線ＡＰ２００の各機能は、ＲＯＭ７２に格納されたプログラムをＭＰＵ７１が実行することにより実現される。また、各種データは、ＲＯＭ７２またはＲＡＭ７３に保持される。
【０１１７】
次に、上記の機能を有する無線ＡＰ２００が、認証サーバ３００または移動端末１００から、認証処理に関する何らかの情報を受信した際の、認証情報登録・管理制御部２１の処理を図１２のフローを用いて説明する。
【０１１８】
受信した情報が、認証サーバ３００からの共有認証情報であれば（Ｓ０１）、受信した共有認証情報を共有認証情報２１０４に格納する（Ｓ０２）。
【０１１９】
移動端末１００からの認証要求であれば（Ｓ０３）、新規の認証要求であるか、ハンドオーバであるか判別する（Ｓ０４）。これは、要求元の移動端末１００の認証情報が、共有認証情報２１０４に格納されているか否かで判断を行い、格納されていれば、ハンドオーバと判断し、格納されていなければ、新規の接続と判断する。
【０１２０】
ハンドオーバであれば、共有認証情報２１０４を用いて認証を行い、暗号化鍵を要求元移動端末１００に送信する（Ｓ０５）。
【０１２１】
新規の接続であれば、認証サーバ３００を介して行う、既存の認証手順により認証を行い、要求元移動端末１００に暗号化鍵を送信する（Ｓ０６）。
【０１２２】
その後、端末移動通知を認証サーバ３００の送信する（Ｓ０７）。
【０１２３】
認証サーバ３００からの認証情報解除要求であれば（Ｓ０８）、指示された移動端末１００の認証情報を共有認証情報２１０４から削除する（Ｓ０９）。
【０１２４】
このように、本実施形態によれば、移動端末１００からの認証要求を受けた際、無線ＡＰ２００が、当該移動端末１００の認証情報を保持していた場合、自身内で乱数を生成し、それを移動端末１００に送信し、それに対して移動端末１００から返信されたメッセージダイジェスト関数値と、共有認証情報２１０４内の認証情報を用いて生成したメッセージダイジェスト関数値とを比較することにより認証を行う。
【０１２５】
このため、認証サーバ３００にアクセスし、認証を行う場合に比べ、認証処理にかかる時間を短縮することができる。しかも、移動端末１００には、何ら新たな機能を追加することなく、実現することができる。
【０１２６】
従って、本実施形態によれば、従来の移動端末をそのまま用いて、無線ＬＡＮシステムにおけるハンドオーバ時の無音状態期間を減少させることができる。
【０１２７】
なお、上記の実施形態において、認証情報解除要求は、ハンドオーバ前に仲介していた無線ＡＰ２００の近傍の無線ＡＰ２００（近傍無線ＡＰと呼ぶ）として、近傍ＡＰ管理テーブル３０３２に登録されている無線ＡＰ２００全てに送信するよう構成しているが、これに限られない。
【０１２８】
例えば、ハンドオーバ前に仲介していた無線ＡＰ２００の近傍無線ＡＰとして近傍ＡＰ管理テーブル３０３２に管理されている無線ＡＰ２００と、ハンドオーバ後の無線ＡＰ２００の近傍無線ＡＰとして同テーブル３０３２に管理されている無線ＡＰ２００とを比較し、ハンドオーバ前の近傍無線ＡＰとして管理されていて、ハンドオーバ後の近傍無線ＡＰではない無線ＡＰ２００にのみ送信するよう構成してもよい。この場合、ハンドオーバ前後に仲介を行う無線ＡＰ２００も認証情報解除要求送信先から除くよう構成する。
【０１２９】
本構成の場合、その後の認証情報共有要求は、ハンドオーバ後の近傍無線ＡＰであってハンドオーバ前の近傍無線ＡＰでないもの（ハンドオーバ前後に仲介を行う無線ＡＰ２００を除く）にのみ送信すればよい。
【０１３０】
例えば、図７の例では、移動端末１００が、無線ＡＰ２０１の管理エリアから、無線ＡＰ２０２の管理エリアに移動した場合、無線ＡＰ２１０と、無線ＡＰ２１４とに送信される。
【図面の簡単な説明】
【０１３１】
【図１】図１は、本実施形態の無線ＬＡＮシステムのイメージ図である。
【図２】図２は、本実施形態のシステム構成の一例を示す図である。
【図３】図３は、本実施形態の認証手順の概略を示す図である。
【図４】図４は、本実施形態の認証シーケンスである。
【図５】図５は、本実施形態の認証サーバの機能ブロック図である。
【図６】図６は、本実施形態の認証情報テーブルの一例を示す図である。
【図７】図７は、本実施形態の近傍ＡＰ管理テーブルの一例を示す図である。
【図８】図８は、本実施形態の移動端末管理テーブルの一例を示す図である。
【図９】図９は、本実施形態の認証サーバのハードウエアブロック図である。
【図１０】図１０は、本実施形態の無線ＡＰの機能ブロック図である。
【図１１】図１１は、本実施形態の無線ＡＰのハードウエアブロック図である。
【図１２】図１２は、本実施形態の認証情報登録・管理制御部の処理フローである。
【図１３】図１３は、従来の認証手順の概略を示す図である。
【図１４】図１４は、従来の認証シーケンスである。
【符号の説明】
【０１３２】
１００：移動端末、２００：無線ＡＰ、２０１〜２１５：無線ＡＰ、３００：認証サーバ、４００：ゲートウェイ、５００：外部ネットワーク、６００：相手端末、３０１：ＲＡＤＩＵＳサーバ部、３０２：有線ＬＡＮ制御部、３０３：認証情報共有管理部、３０１１：認証処理部、３０１２：認証通知部、３０１３：認証情報テーブル、３０３１：共有管理処理部、３０３２：近傍ＡＰ管理テーブル、３０３３：移動端末管理テーブル、２１：認証情報登録・管理制御部、２２：認証情報共有制御部、２３：ＲＡＤＩＵＳ制御部、２４：ＥＡＰＯＬ制御部、２５：ＭＡＣフレーム送受信制御部、２６：有線ＬＡＮ制御部、２７：無線ＬＡＮ制御部、２１０１：認証処理部、２１０２：共有登録部２１０３：削除処理部、２１０４：共有認証情報
【図１】
2006041594.tif 000003
【図２】
2006041594.tif 000004
【図３】
2006041594.tif 000005
【図４】
2006041594.tif 000006
【図５】
2006041594.tif 000007
【図６】
2006041594.tif 000008
【図７】
2006041594.tif 000009
【図８】
2006041594.tif 000010
【図９】
2006041594.tif 000011
【図１０】
2006041594.tif 000012
【図１１】
2006041594.tif 000013
【図１２】
2006041594.tif 000014
【図１３】
2006041594.tif 000015
【図１４】
2006041594.tif 000016