(57)【要約】【課題】無線ＬＡＮシステムにおけるアクセス制御、特に、プロトコルを変更すること無く、外部からの不正アクセスを防ぐことが課題である。【解決手段】ネットワークへのアクセスを許可する無線端末位置の範囲であるアクセス許可領域を予め設定し、無線端末が基地局を介して該ネットワークへのアクセスを試みた場合に、上記基地局で受信される上記無線端末からの信号に基づいて上記無線端末の位置特性を計測し、上記計測された位置特性が上記アクセス許可領域の範囲外にある場合には上記アクセスを拒否する。【選択図】  図１８
2004153736.tif 000002
【特許請求の範囲】
【請求項１】
無線端末が基地局を介してローカルまたは広域のネットワーク上のノードとの通信を行う無線ネットワークシステムにおけるアクセス制御方法であって、
上記ネットワークへのアクセスを許可する無線端末位置範囲であるアクセス許可領域を予め設定し、
上記基地局を介して上記無線端末から上記ネットワークへのアクセスが試みられた場合に、上記またはその周辺の基地局で受信された上記無線端末からの信号に基づいて上記無線端末の位置特性を計測し、
上記計測された位置特性が上記アクセス許可領域の範囲外を示す場合には上記アクセスを拒否することを特徴とする無線端末のアクセス制御方法。
【請求項２】
請求項１記載のアクセス制御方法であって、
上記アクセス許可領域は上記アクセスが試みられた基地局で受信される上記無線端末からの信号の受信電力特性として設定され、
上記無線端末の位置特性は上記基地局で受信された上記無線端末からの信号の受信電力を計測することにより計測され、
上記受信電力と上記設定された受信電力特性との関係に基づいて上記計測された位置特性が上記アクセス許可領域の範囲外にあるか否かを判断することを特徴とするアクセス制御方法。
【請求項３】
請求項２記載のアクセス制御方法であって、
上記基地局は指向性アンテナを用いて上記無線端末からの信号を受信することを特徴とするアクセス制御方法。
【請求項４】
請求項１記載のアクセス制御方法であって、
上記無線端末からの上記信号を受信する基地局である複数のセンサー基地局において上記受信された信号の受信時刻を求め、上記受信時刻に基づいて該無線端末の位置特性を計測することを特徴とするアクセス制御方法。
【請求項５】
請求項４記載のアクセス制御方法であって、
上記無線端末からアクセスを試みられた基地局であるアクセスポイント基地局は、第１の信号を上記無線端末に送信し、
上記複数のセンサー基地局は、それぞれ、上記第１の信号を受信してその受信時刻である第１の受信時刻を測定し、上記第１の信号に応答して上記無線端末が送信する第２の信号を受信してその受信時刻である第２の受信時刻を測定し、上記複数のセンサー基地局におけるそれぞれの上記第１の受信時刻および上記第２の受信時刻に基づいて上記無線端末の位置特性を決定することを特徴とするアクセス制御方法。
【請求項６】
請求項５記載のアクセス制御方法であって、
上記第１の信号はＩＥＥＥ８０２．１１  ＭＡＣサブレイヤ上の確認応答を要求するフレームであり、
上記第２の信号はＩＥＥＥ８０２．１１  ＭＡＣ  サブレイヤ上のＡＣＫフレームであることを特徴とするアクセス制御方法。
【請求項７】
請求項５記載のアクセス制御方法であって、
上記第１の信号はＩＣＭＰ  Ｅｃｈｏ  Ｒｅｐｌｙ（Ｔｙｐｅ  ８）であり、
上記第２の信号はＩＣＭＰ  Ｅｃｈｏ  Ｒｅｐｌｙ（Ｔｙｐｅ  ０）であることを特徴とするアクセス制御方法。
【請求項８】
請求項１記載のアクセス制御方法であって、
複数の基地局において上記無線端末からの信号を受信し、
上記複数の基地局における上記無線端末からの信号の受信電力に基づいて該無線端末の位置特性を計測することを特徴とするアクセス制御方法。
【請求項９】
請求項５または８記載のアクセス制御方法であって、上記アクセス許可領域は２次元空間位置または３次元空間位置により規定されることを特徴とするアクセス制御方法。
【請求項１０】
請求項１記載のアクセス制御方法であって、アクセスの許可または拒否についての履歴情報を蓄積し、該履歴情報は該アクセスを試みた無線端末のアドレスを含み、アクセスを許可するか否かを判断する際に、上記履歴情報を参照することを特徴とするアクセス制御方法。
【請求項１１】
無線端末が基地局を介してローカルまたは広域のネットワーク上のノードとの通信を行う無線ネットワークシステムにおいて該無線端末のアクセスを制御するアクセス制御システムであって、
上記ネットワークへのアクセスを許可する無線端末位置範囲であるアクセス許可領域を記憶するサーバーと、
ローカルのネットワークを介して上記サーバーと接続され、該無線端末から送信される信号を受信する複数の基地局とを有し、
上記サーバーは、上記複数の基地局で受信された信号に基づいて上記無線端末の位置特性を計測し、上記計測された位置特性が上記アクセス許可領域の範囲外を示す場合には上記アクセスを拒否することを特徴とする無線端末のアクセス制御システム。
【請求項１２】
請求項１１記載のアクセス制御システムであって、
上記複数の基地局において受信される信号の受信時刻を測定し、それぞれの基地局における受信時刻に基づいて該無線端末の位置特性を計測することを特徴とするアクセス制御システム。
【請求項１３】
請求項１２記載のアクセス制御システムであって、
上記複数の基地局のいずれかの基地局は該無線端末に向けて第１の信号を送信し、
上記複数の基地局のうち上記第１の信号を送信した基地局以外の基地局は、
上記第１の信号を受信してその受信時刻である第１の受信時刻を測定し、上記第１の信号に応答して上記無線端末が送信する第２の信号を受信してその受信時刻である第２の受信時刻を測定し、
上記無線端末の位置特性は、上記複数の基地局のうち上記第１の信号を送信した基地局以外のそれぞれの基地局における上記第１および第２の受信時刻に基づいて決定されることを特徴とするアクセス制御システム。
【請求項１４】
請求項１１記載のアクセス制御システムであって、
上記複数の基地局は上記無線端末から受信される信号の受信電力を測定して、上記サーバーに上記受信電力を送信し、
上記サーバーは、各基地局における上記受信電力に基づいて上記無線端末の位置特性を決定することを特徴とするアクセス制御システム。
【請求項１５】
請求項１１記載のアクセス制御システムであって、上記アクセス許可領域は２次元空間位置または３次元空間位置として規定されることを特徴とするアクセス制御システム。
【請求項１６】
請求項１１記載のアクセス制御システムであって、上記サーバーまたは上記基地局にアクセスの許可または拒否の履歴情報を蓄積する履歴蓄積装置を有し、該履歴情報はアクセスを許可または拒否された無線端末のアドレスを含み、上記サーバーまたは上記基地局は、アクセスを許可するか否かを判定する際に、上記履歴情報を参照することを特徴とするアクセス制御システム。
【請求項１７】
請求項１１記載のアクセス制御システムであって、上記サーバーは、無線端末がアクセスを拒否された場合に、アクセスが拒否された際の該無線端末の位置特性を上記アクセス許可領域情報とともに図示する表示装置を有することを特徴とするアクセス制御システム。
【請求項１８】
ネットワークに接続され、無線により端末装置と通信する無線基地局であって、
上記ネットワークへのアクセスを許可する端末装置位置範囲であるアクセス許可領域を記憶する記憶装置と、
上記端末装置から送信される信号を受信する受信アンテナと、
該信号の受信電力を測定する受信電力測定手段と、
上記測定された受信電力と上記アクセス許可領域との関係に応じて上記端末装置の上記ネットワークへのアクセスを許可するか否かを判定するアクセス許可判定手段とを有することを特徴とする無線基地局。
【請求項１９】
請求項１８記載の無線基地局であって、
上記アクセス許可領域は端末装置からの信号の受信電力の閾値として記憶され、
上記アクセス許可判定部は、上記測定された受信電力が上記受信電力の閾値より低い場合に上記アクセスを拒否することを特徴とする無線基地局。
【請求項２０】
請求項１９記載の無線基地局であって、
上記受信アンテナは指向性アンテナであることを特徴とする無線基地局。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、無線ＬＡＮシステムに関するもので、特に無線ＬＡＮ端末のアクセス制御方法に関する。
【０００２】
【従来の技術】
ＩＥＥＥ８０２．１１規格に代表される無線ＬＡＮは、インターネットとの互換性や、広帯域無線媒体（準マイクロ波、準ミリ波、赤外線など）を用いた高速データ転送の実現により、オフィスはもちろんのこと、ホットスポットとよばれる公共スペースにまで浸透するに至っている。しかしながら無線ＬＡＮは無線媒体を用いるために有線に比べて盗聴されやすいといった課題がある。例えば、ある無線ＬＡＮのパスワードが盗聴行為によって漏れれば、外部から不正にネットワークアクセスされてしまうことになる。
【０００３】
このような不正アクセスを防ぐ技術として、端末の位置に基づいたアクセス制御方法が、特許文献１、特許文献２、特許文献３に開示されている。図１を用いてこれらの要約を示す。端末１１０は自機の位置を検出するための位置検出部１１１を備えている。この位置検出部１１１には、例えば、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）受信機を用いる。端末１１０が携帯電話端末であれば、この位置検出部１１１には、例えば、セルＩＤ取得機能を用いる。セルＩＤ取得機能とは、自機が所属しているセルを識別するための機能である。セルＩＤ取得により自機の位置をセル位置に対応づける。サーバー１２０は認証部１２１を備えている。端末１１０がサーバーに接続する場合、あるいは該後方のネットワークにアクセスする場合には、自機の位置をサーバーに通知して認証を受ける。このアクセス制御方法では、端末に対して自機の位置を検出するための機能と認証プロトコルを要求するため、実現上不利である。
【０００４】
端末の位置に基づいたアクセス制御方法の別の例が特許文献４に開示されている。図２を用いてその要約を示す。端末２１０と基地局２２０は、ＴＤＭＡもしくはＣＤＭＡ同期システムの一部である。端末２１０と基地局２２０は同期を取るための同期部を有し、各々同士が通信するために同期をとる。同期の際に基地局２２０は端末２１０から信号の伝搬遅延量を計測するので、端末２１０との間の距離の位置特性を得ることができる。メモリ２２２には端末２１０がシステムに組み入れられた際の伝搬遅延情報が蓄積されている。比較器２２３は該伝搬遅延情報と前記位置特性と比較して端末の認証を行う。従って、このアクセス制御方法で不正アクセスを防止するためには予め端末と基地局との距離（伝搬遅延量）を登録するプロトコルを必要とし、実現上不利である。端末の移動が生じる場合には上記距離（伝搬遅延量）の再登録が頻繁に必要となり、さらに実現上不利となる。また、このアクセス制御方法では同期システムであることを要求するため、既に普及したＩＥＥＥ８０２．１１規格に準拠した端末には適さず、やはり、実現上不利である。
【０００５】
【特許文献１】
特開２００１−３０６５３０号公報
【特許文献２】
特開２０００−３４１７４９号公報
【特許文献３】
特開２０００−４００６４号公報
【特許文献４】
特開平１０−８４５７６号公報
【特許文献５】
特願２００２−２６０７７２号
【特許文献６】
特開２００２−１４１５２号公報
【０００６】
【発明が解決しようとする課題】
そこで、無線ＬＡＮ端末に対してプロトコル変更無く、外部からの不正アクセスを防ぐことが課題である。
【０００７】
【課題を解決するための手段】
本発明では、無線端末が基地局を介してローカルまたは広域のネットワーク上のノードとの通信を行うネットワークシステムにおいて、上記ネットワークへのアクセスを許可する無線端末位置の範囲であるアクセス許可領域を予め設定し、上記無線端末が上記基地局を介して上記ネットワークへのアクセスが試みられた場合に、上記基地局で受信される上記無線端末からの信号に基づいて上記無線端末の位置特性を計測し、上記計測された位置特性が上記アクセス許可領域の範囲外にある場合には上記アクセスを拒否する。
【０００８】
【発明の実施の形態】
図３および図６を用いて本発明によるアクセス制御システムとそのフローの実施例を説明する。図３において、３０１、３０２は無線端末を、３１０は基地局（アクセスポイント・センサー）を、３２０はサーバーを、３３０はローカルまたは広域のネットワークを示す。管理者はサーバーにより、無線端末の基地局に対するアクセス許可領域３４０を設定する（６０１）。アクセス許可領域を各端末共通のものとして設定することにより、領域の管理やそれぞれのアクセスの可否判断がより簡易になる。サーバーで指示されるアクセス許可領域は、基地局における受信電力特性に対する閾値に変換され（６０２）、基地局に設定される（６０３）。今、無線端末３０１から基地局を通じてネットワークへのアクセスが試みられたとする（６０４）。その際、基地局３１０は該端末からの信号の受信電力特性を計測し（６０５）、上記閾値との比較を行う（６０６）。該端末はアクセス許可領域の外部にあるため、基地局で観測される該端末から信号の受信電力は上記閾値に満たない。そこで、基地局は、該端末がアクセス許可領域の外部にいると判定してそのアクセスを拒否し、無線端末３０１からの無線パケットを廃棄する（６０８）。
【０００９】
一方、無線端末３０２から基地局を通じてネットワークへのアクセスが試みられたとする。その際、基地局３１０は該端末からの信号の受信電力特性を計測し（６０５）、上記閾値との比較を行う（６０６）。該端末はアクセス許可領域の内部にあるため、基地局で観測される該端末から信号の受信電力が上記閾値を越える。そこで、基地局は、該端末がアクセス許可領域の内部にいると判定してそのアクセスを許可し、無線端末３０２からの無線パケットをフォワードする（６０７）。
【００１０】
本実施例では、無線端末の送信電力が一定であることを仮定し、無線波の電力が伝搬距離の二乗もしくはそれ以上に比例して減衰することを利用して、基地局に対する無線端末の位置特性を計測している。
【００１１】
上記アクセス許可領域は上記閾値と基地局のアンテナ指向特性により決定される。例えば、該アンテナが無指向性の場合、該領域の形状は基地局を中心とする球形となる。この形状でアクセス許可領域を広げる場合には、上記閾値を下げればよい。あるいは、例えば、図４に示すように、ある方向に不正アクセス者が潜みやすいような地理的に環境においては、該方向に利得の低い特性を有する指向性アンテナを用いて、アクセス許可領域の形状を制御することも本発明の範疇にある。
【００１２】
本実施例を実現するための基地局の構成例を図１８に示す。同図において、無線通信部１８００はアンテナ、高周波（ＲＦ）部、ベースバンド（ＢＢ）部、メディアアクセスコントロール（ＭＡＣ）部から構成され、無線通信における物理層の処理やＭＡＣ層の処理を行う。無線通信部１８００において、アンプ１８１１は受信信号を増幅し、復調部１８２１は信号を復調し、ＡＧＣ制御部１８２２は復調部１８２１からの受信レベルを基にアンプ１８１１を制御する。ＬＡＮ  Ｉ／Ｆ  １８４０はローカルエリアネットワークに対するインターフェース部である。ＣＰＵ  １８５０は無線と有線ネットワークとのブリッジングを制御する。また、ＣＰＵ  １８５０はＬＡＮ  Ｉ／Ｆ  １８４０を制御しサーバーとの間で通信を行う。さらにＣＰＵ  １８５０は、無線通信部１８００において無線パケットを受信した際、無線通信部１８００からＡＧＣ制御部の制御電圧値を読み出して受信電力値に換算する。そして、該受信電力値とサーバーより設定された閾値との比較に基づいて該パケットの転送を制御する。上記受信電力値への換算を行うためには、例えば、予めＡＧＣ制御部の制御電圧値と受信電力値との対応を求めておけばよい。メモリ１８６０は上記閾値や上記ＡＧＣ制御部の制御電圧値と受信電力値との対応を蓄積する。１８９１は特に受信電力測定に関わる部分を、１８９２はアクセス可否の判定に関わる部分を示している。
【００１３】
図５を用いて本発明におけるサーバーのアクセス許可領域の設定フローの実施例を説明する。同図において５０１は端末からのアクセスを許可する領域を基地局からの距離特性として与えるステップである。具体的には、アクセスを許可する領域を「基地局から半径ｘ（ｍ）の領域」などとして与える。基地局が指向性アンテナを用いる場合には、該領域を「アンテナの最大（または最小）利得方向に基地局からｘ（ｍ）となる領域」などとして与える。続いて５０２は先のステップで与えた距離特性を基地局における受信電力特性に対する閾値に変換するステップである。上記ｘに対して例えば数１を用いて受信電力Ｐｒ（Ｗ）に変換する。ただし、λは使用する無線の波長（ｍ）、Ｃおよびαは定数である。
【００１４】
【数１】
2004153736.tif 000003
ここで、Ｃは、送信アンテナ利得Ｇｔ、受信アンテナ利得Ｇｒ、送信電力Ｐｔ（Ｗ）の積によって表せる。これらは標準規格で定められている数値などから決定すればよく、例えば、Ｐｔ＝０．０１（Ｗ）、Ｇｔ＝Ｇｒ＝２．１５（ｄＢｉ）などと設定すればよい。また、αは該基地局を運用する環境により定めてよい。例えば、屋外駐車場ならα＝２、街頭ならα＝２．５、ビル内部であればα＝３などと設定すればよい。数値例として、λ＝０．１２（ｍ）、Ｐｔ＝０．０１（Ｗ）、Ｇｔ＝Ｇｒ＝２．１５（ｄＢｉ）、α＝２のとき、ｘ＝１０（ｍ）の許可領域に対して、受信電力特性に対する閾値として数１によりＰｒ≒２．４５Ｅ−８（Ｗ）を得る。図５の５０３は、先のステップで得た受信電力特性に対する閾値を基地局に設定するステップである。
【００１５】
図７および図８を用いて本発明によるアクセス制御システムとそのフローの第二の実施例を説明する。図７において、７０１、７０２は無線端末を、７１０は基地局０（アクセスポイント）を、７１１、．．．、７１ｎはそれぞれ基地局１、．．．、ｎ（センサー）を、７２０はサーバーを、７３０はネットワークを示す。管理者は予めサーバーにより無線端末のアクセス許可領域７４０を設定しておく（８０１）。無線端末７０１から基地局０を通じてネットワークへのアクセスが試みられたとする（８０２）。基地局０は、無線端末７０１からのパケットに格納されているソースアドレスを取り出し、サーバーに対して該端末のアクセス可否を問い合わせる（８０３）。サーバーは基地局０からの問い合わせを元に、該基地局の周囲の基地局１、．．．、ｎに対し、パケットキャプチャを要求する（８０４）。その際、キャプチャすべきパケット信号を特定するために無線端末と基地局０のアドレスを伝える。さらに必要に応じて基地局０の周波数チャネル番号を伝えてもよい。続いてサーバーは基地局０を介して無線端末７０１にエコー要求を送る（８０５）。基地局１、．．．、ｎは基地局０から無線端末７０１に送信される該パケット信号をキャプチャする（８０６）。その際、基地局１、．．．、ｎは、それぞれの時計によりそれぞれキャプチャ信号の先頭時刻を記録する。無線端末７０１はエコー応答を基地局０を介してサーバーに返す（８０７）。基地局１、．．．、ｎは無線端末７０１から基地局０に送信される該パケット信号をキャプチャする（８０８）。その際、基地局１、．．．、ｎは、それぞれの時計によりそれぞれキャプチャ信号の先頭時刻を記録する。基地局０は該エコー応答をサーバーへフォワードする。基地局１、．．．、ｎはパケットキャプチャ応答により上記キャプチャした基地局０の信号とその先頭時刻と、上記キャプチャした無線端末７０１の信号とその先頭時刻とをサーバーに伝える（８０９）。サーバーは各基地局との位置と上記パケットキャプチャ応答とを元に無線端末７０１の位置を計算する（８１０）。そして位置計算結果を上記設定したアクセス許可領域７４０により評価する（８１１）。無線端末７０１に関する位置計算結果がアクセス許可領域の外部にあると評価されると、サーバーは無線端末７０１のアクセス不許可を基地局０に伝える（８１２）。この場合、基地局０は無線端末７０１からのパケットを廃棄する（８１３、８１５）。
一方、無線端末７０２の様にアクセス許可領域の内部にあって、上記フローにより無線端末７０２に関する位置計算結果がアクセス許可領域の内にあると評価されると、サーバーは無線端末７０２のアクセス許可を基地局０に伝える（８１２）。この場合には、基地局０は無線端末７０２からのパケットをフォワードする（８１３、８１４）。
【００１６】
本実施例のアクセス制御システムには、例えば、本願出願人による先願の特許文献５記載の無線システムを適用すればよい。図９は基地局１、．．．、ｎ（センサー）の構成の一例を示す図である。同図において、９１０はクロックであり、無線通信部９２０と信号蓄積部９３０にクロックパルスを供給する。無線通信部９２０はアンテナ、高周波（ＲＦ）部、ベースバンド（ＢＢ）部、メディアアクセスコントロール（ＭＡＣ）部から構成され、無線通信における物理層の処理やＭＡＣ層の処理を行う。また、無線通信部９２０はベースバンド受信ＩＱアナログ信号を信号蓄積部９３０に供給する。信号蓄積部９３０は、無線通信部９２０から入力されるベースバンド受信ＩＱアナログ信号をＡＤ変換器（ＡＤＣ）によりＡＤ変換し、メモリに蓄積する。この際、該信号の最高周波数の２倍以上のレートでサンプリングすることが望ましい。また信号蓄積部９３０はカウンタを持ち、信号を蓄積する際にその開始時刻を記録する。ＬＡＮ  Ｉ／Ｆ  ９４０はローカルエリアネットワークに対するインターフェース部である。ＣＰＵ  ９５０はＬＡＮ  Ｉ／Ｆ  ９４０を制御しサーバーとの間で通信を行う。また、ＣＰＵ  ９５０は蓄積部９３０を制御してベースバンド受信ＩＱアナログ信号の蓄積開始を指示する。さらに、ＣＰＵ  ９５０は無線通信部９２０より取得する受信パケットのソースアドレスを用いて信号蓄積部９３０に蓄積したベースバンド受信ＩＱアナログ信号がターゲットとなるパケットであるか否かを判定する。
【００１７】
基地局１、．．．、ｎがキャプチャした信号とその先頭時刻から無線端末の位置を算出するには、例えば、同出願人による先願の特許文献５記載の位置検出方法を適用すればよい。図１０はサーバーにおける位置算出のフローの一例を示す図である。同図において、１００１は基地局ｉ（ｉ＝１，  ．．．，  ｎ）が基地局０よりキャプチャした信号ｒ＿ａ＿ｉと基地局０からの送信信号波形ｗとの相互相関ｒ＿ａ＿ｉ×ｗを計算するステップである。また、１００２は基地局ｉが無線端末よりキャプチャした信号ｒ＿ｓ＿ｉと無線端末からの送信信号波形ｗとの相互相関ｒ＿ｓ＿ｉ×ｗを計算するステップである。ここでｒ＿ａ＿ｉ、ｒ＿ｓ＿ｉ、ｗは複素信号系列であり、それぞれの相互相関は例えば図１１の様に図示される。１００３はｒ＿ａ＿ｉの先頭時刻とｒ＿ａ＿ｉ×ｗから該信号の基地局ｉにおける受信時刻Ｔｒ＿ａ＿ｉ＠ｉを求めるステップである。ここで受信時刻Ｔｒ＿ａ＿ｉ＠ｉは、例えば、ｒ＿ａ＿ｉの先頭時刻に、図１１に示す様な相互相関のピーク値を与える遅延時間を加えるなどして求めればよい。あるいは、特許文献６記載の方法を適用して求めてもよい。当該ステップでは同様にｒ＿ｓ＿ｉの先頭時刻とｒ＿ｓ＿ｉ×ｗから該信号の基地局ｉにおける受信時刻Ｔｒ＿ｓ＿ｉ＠ｉも求める。１００４は基地局ｉの位置ｐｉと基地局０の位置ｐａと基地局ｉにおける受信時刻Ｔｒ＿ａ＿ｉ＠ｉとを用いて基地局１に対する基地局ｉ（ｉ＝２，  ．．．，  ｎ）の時刻のずれを求め、各基地局ｉ（ｉ＝２，  ．．．，  ｎ）における受信時刻Ｔｒ＿ａ＿ｉ＠ｉを基地局１における受信時刻Ｔｒ＿ｓ＿ｉ＠１に換算するステップである。１００５は無線端末の位置ｐを連立方程式
【００１８】
【数２】
2004153736.tif 000004
の最尤解として求めるステップである。ここで｜｜ｘ｜｜はベクトルｘの大きさを示す。ｃは光速を示す。
【００１９】
図７のシステムにおいて、３台以上（ｎ≧３）の基地局（センサー）が存在する場合には、無線端末の平面上の測位が可能である。アクセス許可領域７４０は平面上の領域として設定してよい。４台以上（ｎ≧４）の基地局（センサー）が存在する場合には、無線端末の三次元空間上の測位が可能である。アクセス許可領域７４０は三次元空間上の領域として設定してよい。図１２は基地局８台を用いてアクセス許可領域を三次元空間上の領域として設定したシステムの構成の一例を示す図である。システムは２つの階からなる建築物の内部に設置されている。同図において、１２０１、１２０２、１２０３は無線端末を示す。１２１０乃至１２１７は基地局を示す。１２２０はサーバーを、１２３０はネットワークを示す。１２４０は三次元空間上の領域として設定したアクセス許可領域を示す。アクセス許可領域は２階の全域と１階の図面左側の領域である。該領域内の無線端末１２０２および１２０３は基地局を介してネットワークにアクセスすることが可能となるが、該領域外の無線端末１２０１はネットワークにアクセスを拒否されることになる。このような三次元空間上のアクセス許可領域の設定は、例えば、ネットワークを利用するオフィスにオープンスペースが隣接するようなビルなどにおいて特に有効である。なお、高さ方向に位置検出の精度を要求する場合には、基地局を同一水平面上に設置するのではなく、水平面に対する垂直方向に各々の設置位置の差を大きく取ることが好ましい。
【００２０】
図８のフローにおいて、破線四角で囲まれたパケットキャプチャ要求とその応答の部分フローは、必要な位置検出精度に応じて、複数回繰り返してもよい。
【００２１】
図８のフローにおいて、メッセージの無線区間は破線矢印により示してある。ここで、当該システムがＩＥＥＥ８０２．１１に準拠していれば、基地局０がデスティネーションアドレスにターゲットとなる無線端末のＭＡＣアドレスを設定してデータフレームを送信することにより、無線端末はＭＡＣサブレイヤ上のＡＣＫフレームを返してくる。そこで、これらのフレームの往復を無線区間におけるエコー要求とその応答メッセージとして用いてよい。あるいは図８のフローにおいて、エコー要求とその応答メッセージには、それぞれＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）Ｅｃｈｏ  Ｒｅｑｕｅｓｔ（タイプ８）とＩＣＭＰ  Ｅｃｈｏ  Ｒｅｐｌｙ（タイプ０）を用いてもよい。ＩＣＭＰはＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）を実装している無線端末が元々備えている機能である。これらＩＣＭＰメッセージを用いれば、ＩＰを使ってアクセスしてくる任意の無線端末の位置検出が可能となる。無線端末側に位置検出用のメッセージを送信させるためのソフトウエアを新規に追加することなくなるため、不正アクセス端末の検出を試みる本システムにおいて該メッセージの利用は極めて有効である。
【００２２】
図８のフローにおいて、基地局０は、サーバーに無線端末アクセス可否を問い合わせた後、その結果の履歴を蓄積しておいてもよい。この場合、例えば図１３に示す形式でアクセスログとして蓄積しておく。同図により例示した蓄積形式は、アドレスと、該アドレスをソースアドレスとする無線端末の該基地局へのアクセス可否を示す属性と、該２項目の更新日時の合計３項目より構成される。同図では、アドレス例としてＩＰアドレスを用いているがシステムに応じてＭＡＣアドレスを用いることも本発明の範疇にある。そして、該基地局に対して図１４に示す様に無線端末からアクセスがあった場合には、その都度、サーバーに対してアクセス可否を問い合わせるのでなく、一度、アクセスログを参照する。参照に用いるアドレスは無線端末がアクセス時に送ったパケットのソースアドレスを用いる（１４０１）。アクセスログにて当該アドレスを探し（１４０２）、該当するアドレスが無い場合もしくは、該当するアドレスが記載されていても更新日時が現時刻と比較して（１４０３）予め定めた時間を経過している場合には、図８のフローに従ってサーバーにアクセス可否を問い合わせる（１４０４）。サーバーにアクセス可否を問い合わせた場合にはアクセスログを更新しておく（１４０５）。続いてアクセスログ記載のアクセス可否属性を参照し（１４０６）にアクセス不可（ＮＧ）ならば該無線端末のパケットを廃棄し（１４０７）、アクセス可（ＯＫ）ならば該パケットをフォワードする（１４０８）。このように、無線端末からのアクセス毎にサーバーに対してアクセス可否を問い合わせることを省略することにより、サーバー、ネットワーク、および他基地局の負荷を軽減できる。或いは、アクセス可否の履歴をサーバーに蓄積し、アクセス可否の判定対象の無線端末のアドレスと履歴中のアドレスとを比較してアクセス可否を判定すれば、位置計算を省略することができる。アクセス可否を判断した時点での測定位置を履歴情報に含めてもよい。
【００２３】
図１５および図１６を用いて本発明によるアクセス制御システムとそのフローの第三の実施例を説明する。図１５において、１５０１、１５０２は無線端末を、１５１０は基地局０（センサー・アクセスポイント）を、１５１１、．．．、１５１ｎはそれぞれ基地局１、．．．、ｎ（センサー）を、１５２０はサーバーを、１５３０はネットワークを示す。管理者は予めサーバーにより無線端末のアクセス許可領域１５４０を設定しておく（１６０１）。無線端末１５０１から基地局０を通じてネットワークへのアクセスが試みられたとする（１６０２）。基地局０は、無線端末１５０１からのパケットに格納されているソースアドレスを取り出し、サーバーに対して該端末のアクセス可否を問い合わせる（１６０３）。サーバーは基地局０からの問い合わせを元に、該基地局の周囲の基地局１、．．．、ｎと基地局０に対し、受信電力特性測定を要求する（１６０４）。その際、受信電力特性を測定すべきパケット信号を特定するために無線端末のアドレスを伝える。さらに必要に応じて基地局０の周波数チャネル番号を伝えてもよい。続いてサーバーは基地局０を介して無線端末１５０１にエコー要求を送る（１６０５）。無線端末１５０１はエコー応答を、基地局０を介してサーバーに返す（１６０６）。基地局０と基地局１、．．．、ｎは無線端末１５０１から基地局０に送信される該パケット信号の受信電力特性を測定する（１６０７、１６０８）。基地局０は該エコー応答をサーバーへフォワードする。基地局０および基地局１、．．．、ｎは受信電力特性測定応答により上記測定した無線端末１５０１の受信電力特性をサーバーに伝える（１６０９）。サーバーは各基地局との位置と上記受信電力特性測定応答とを元に無線端末１５０１の位置を計算する（１６１０）。そして位置計算結果を上記設定したアクセス許可領域１５４０により評価する（１６１１）。無線端末１５０１に関する位置計算結果がアクセス許可領域１５４０の外部にあると評価されると、サーバーは無線端末１５０１のアクセス不許可を基地局１５１０に伝える（１６１２）。この場合、基地局１５１０は無線端末１５０１からのパケットを廃棄する（１６１３、１６１５）。
一方、無線端末１５０２の様にアクセス許可領域１５４０の内部にあって、上記フローにより無線端末１５０２に関する位置計算結果がアクセス許可領域１５４０の内にあると評価されると、サーバー１５２０は無線端末１５０２のアクセス許可を基地局０に伝える（１６１２）。この場合には、基地局０は無線端末１５０２からのパケットをフォワードする（１６１３、１６１４）。
【００２４】
基地局が測定した無線端末からのパケットの電力特性から無線端末の位置を算出するには、三辺測量の原理を適用すればよい。図１７はサーバーにおける位置算出のフローの一例を示す図である。同図において、１７０１は基地局ｉ（ｉ＝０，  ．．．，  ｎ）が測定した無線端末からのパケットの受信電力特性ｐ＿ｓ＿ｉを、該基地局と該端末の距離ｄ＿ｓ＿ｉを計算するステップである。例えば、数３を用いて、受信電力Ｐｒから距離ｄへの換算すればよい。
【００２５】
【数３】
2004153736.tif 000005
ただし、λは使用する無線の波長（ｍ）、Ｃおよびαは定数である。ここで、Ｃは、送信アンテナ利得Ｇｔ、受信アンテナ利得Ｇｒ、送信電力Ｐｔ（Ｗ）の積によって表せる。これらは標準規格で定められている数値などから決定すればよく、例えば、Ｐｔ＝０．０１（Ｗ）、Ｇｔ＝Ｇｒ＝２．１５（ｄＢｉ）などと設定すればよい。また、αは該基地局を運用する環境により定めてよい。例えば、屋外駐車場ならα＝２、街頭ならα＝２．５、ビル内部であればα＝３などと設定すればよい。数値例として、λ＝０．１２（ｍ）、Ｐｔ＝０．０１（Ｗ）、Ｇｔ＝Ｇｒ＝２．１５（ｄＢｉ）、α＝２のときＰｒ＝２．４５Ｅ−８（Ｗ）に対して、数３からｄ≒１０（ｍ）を得る。図１７において、１７０２は基地局ｉ（ｉ＝０，  ．．．，  ｎ）の位置ｐｉと上記算出した距離ｄ＿ｓ＿ｉから無線端末の位置ｐを連立方程式
【００２６】
【数４】
2004153736.tif 000006
の最尤解として求めるステップである。ここで｜｜ｘ｜｜はベクトルｘの大きさを示す。
【００２７】
図１５のシステムにおいて、３台以上（ｎ≧２）の基地局が存在する場合には、無線端末の平面上の測位が可能である。アクセス許可領域１５４０は平面上の領域として設定してよい。４台以上（ｎ≧３）の基地局が存在する場合には、無線端末の三次元空間上の測位が可能である。アクセス許可領域１５４０は三次元空間上の領域として設定してよい。なお、高さ方向に位置検出の精度を要求する場合には、基地局を同一水平面上に設置するのではなく、水平面に対する垂直方向に各々の設置位置の差を大きく取ることが好ましい。
【００２８】
また、不正アクセス情報を表示する装置を設けることが考えられる。表示する情報としては、例えば図１３の履歴情報に含まれる端末のアドレス情報、アクセス可否を判断した時刻、またはその時の端末位置などがある。該表示装置はサーバーが具備してもよいし、別装置としても良い。例えば、図１９に示すように、不正アクセス端末の位置情報をアクセス許可領域とともに図示すれば、管理者はより容易に不正アクセス情報を把握することができ、その情報を不正アクセス対策に役立たせることができる。
【００２９】
【発明の効果】
本発明では、無線端末からアクセスが生じた場合に、該端末の位置特性を検出し、予め設定したアクセス許可領域と比較して、該端末のアクセス可否を決定するので、外部からの不正アクセスを防ぐことが可能である。端末が本来備えている信号の送信機能を用いて基地局側で該端末の位置特性を検出するため、端末に位置検出機能が不要であり、従来例に比較して、実現上有利である。また、システム全体でアクセス許可領域を定義するので端末毎に不正アクセス検出のための基準を予め登録する必要がなく、従来例に比較して、実現上有利である。事前の登録が必要ないため、その端末からの初めてのアクセスの試みであっても、端末の位置に基づいてアクセスの可否を判断することができる。また、基地局が相互に同期をとらないシステムでも実施可能である。
【００３０】
一つの基地局を用いて、該基地局からの距離としてアクセス許可領域を設定し、該基地局が測定する無線端末からのパケットの受信電力より該端末までの距離を求めることにより、アクセス可否を判定できる。このような実施形態は、例えば、ホームユースにおいて、外部からの不正アクセスを防ぐのに有効である。また、指向性アンテナを適用すれば、その指向パターンに応じてアクセス許可領域の形状を変更できるため便利である。
【００３１】
３台以上の基地局（センサー）を用いて、キャプチャした受信信号とその先頭時刻から、無線端末の位置を検出する実施形態では、平面上の位置検出が可能なことから、アクセス許可領域を任意形状の平面領域として設定できるので便利である。また、４台以上の基地局（センサー）を用いて、キャプチャした受信信号とその先頭時刻から、無線端末の位置を検出する実施形態では、３次元空間上の位置検出が可能なことから、アクセス許可領域を任意形状の３次元空間領域として設定できるので一層便利である。このような実施形態は、例えば、オフィスやオープンスペースが混在する雑居ビルでの利用において、外部からの不正アクセスを防ぐのに有効である。また、基地局がアクセスログを蓄積して、これを参照し、無線端末の位置検出を省略することにより、ネットワーク負荷を低減できる。ＩＥＥＥ８０２．１１に準拠しているシステムでは、無線端末に宛にパケットを送信するとＡＣＫパケットが返えるため、この二つのパケットを該無線端末の位置検出に利用できる。ＩＰアドレスを有する無線端末ではＩＣＭＰ  Ｅｃｈｏ  ＲｅｑｕｅｓｔとＥｃｈｏ  Ｒｅｐｌｙを該無線端末の位置検出に利用できる。このように位置検出のための追加プロトコルを無線端末に実装する必要がなく実現上有利である。
【００３２】
３台以上の基地局を用いて、無線端末の受信電力特性から該端末の位置を検出する実施形態でも、平面上の位置検出が可能なことから、アクセス許可領域を任意形状の平面領域として設定できるので便利である。また、４台以上の基地局を用いれば、３次元空間上の位置検出が可能なことから、アクセス許可領域を任意形状の３次元空間領域として設定できるので一層便利である。このような実施形態は、例えば、オフィスやオープンスペースが混在する雑居ビルでの利用において、外部からの不正アクセスを防ぐのに特に有効である。
【図面の簡単な説明】
【図１】無線端末のアクセス制御システムの公知例を示す構成図である。
【図２】無線端末のアクセス制御システムの別の公知例を示す構成図である。
【図３】本発明による無線端末のアクセス制御システムの実施例を示す構成図である。
【図４】本発明による無線端末のアクセス制御システムの実施例の変形例を示す構成図である。
【図５】本発明におけるサーバーのアクセス許可領域の設定フローの実施例を示すフロー図である。
【図６】本発明による無線端末のアクセス制御方法の実施例を示すフロー図である。
【図７】本発明による無線端末のアクセス制御システムの第二の実施例を示す構成図である。
【図８】本発明による無線端末のアクセス制御方法の第二の実施例を示すフロー図である。
【図９】本発明による第二の実施例における基地局の構成の実施例を示す構成図である。
【図１０】本発明による第二の実施例におけるサーバーの位置算出フローの実施例を示すフロー図である。
【図１１】本発明による第二の実施例においてサーバーにより算出される相互相関の一例を示すグラフである。
【図１２】本発明による無線端末のアクセス制御システムの第二の実施例の適用例を示す構成図である。
【図１３】本発明による第二の実施例において基地局が蓄積するアクセスログの一例を示すテーブルである。
【図１４】本発明による第二の実施例においてアクセスログを用いた基地局フローの一例を示すフロー図である。
【図１５】本発明による無線端末のアクセス制御システムの第三の実施例を示す構成図である。
【図１６】本発明による無線端末のアクセス制御方法の第三の実施例を示すフロー図である。
【図１７】本発明による第三の実施例におけるサーバーの位置算出フローの実施例を示すフロー図である。
【図１８】本発明による第一の実施例における無線端末の構成図である。
【図１９】本発明による不正アクセス情報の表示方法の例である。
【符号の説明】
１１０，２１０：端末、１１１：位置検出部、１２０：サーバー、１２１：認証部、１３０：ネットワーク、２２０：基地局、２１１，２２１：同期部、２２２：メモリ、２２３：比較器、３０１，３０２，３０３，７０１，７０２，１２０１，１２０２，１２０３，１５０１，１５０２：無線端末、３１０，４１０：基地局、３２０，７２０，１２２０，１５２０：サーバー、３３０，７３０，１２３０，１５３０：ネットワーク、３４０，４４０，７４０，１２４０，１５４０：アクセス可能領域、７１０，１５１０：基地局０、７１１，１５１１：基地局１、７１ｎ，１５１ｎ：基地局ｎ、９１０：クロック、９２０：無線通信部、９３０：信号蓄積部、９４０：ＬＡＮインターフェース部、９５０：ＣＰＵ、１２１０，１２１１，１２１２，１２１３，１２１４，１２１５，１２１６，１２１７：基地局、１８００：無線通信部、１８１１：アンプ、１８２１：復調部、１８２２：ＡＧＣ制御部、１８４０：ＬＡＮインターフェース部、１８５０：ＣＰＵ、１８６０：メモリ、１８９１：受信電力測定部、１８９２：アクセス許可判定部。
【図１】
2004153736.tif 000007
【図２】
2004153736.tif 000008
【図３】
2004153736.tif 000009
【図４】
2004153736.tif 000010
【図５】
2004153736.tif 000011
【図６】
2004153736.tif 000012
【図７】
2004153736.tif 000013
【図８】
2004153736.tif 000014
【図９】
2004153736.tif 000015
【図１０】
2004153736.tif 000016
【図１１】
2004153736.tif 000017
【図１２】
2004153736.tif 000018
【図１３】
2004153736.tif 000019
【図１４】
2004153736.tif 000020
【図１５】
2004153736.tif 000021
【図１６】
2004153736.tif 000022
【図１７】
2004153736.tif 000023
【図１８】
2004153736.tif 000024
【図１９】
2004153736.tif 000025