(57)【要約】【課題】通信制御装置間の通信量を低減する。【解決手段】複数の端末装置と、前記端末装置からの通信を制御する複数の通信制御装置と、を備える分散認証システムであって、前記通信制御装置は、ユーザ識別情報とユーザ確認情報とを関連付けて登録されているユーザ認証情報と、前記通信制御装置の識別情報とアドレスとを関連付けて登録されている通信制御装置アドレス情報と、を記憶し、前記ユーザ識別情報及び前記ユーザ確認情報を含む認証要求を前記端末装置から受信すると、前記受信した認証要求から前記ユーザ識別情報を抽出し、前記抽出したユーザ識別情報が登録されているユーザ認証情報を記憶している通信制御装置を特定し、前記特定した通信制御装置のアドレスを、前記通信制御装置アドレス情報から抽出し、前記抽出したアドレスに対して、前記受信した認証要求を転送することを特徴とする。【選択図】図１８
2007108907.tif 000002
【特許請求の範囲】
【請求項１】
ＣＰＵ、メモリ及びインタフェースを備える複数の端末装置と、前記端末装置からの通信を制御する複数の通信制御装置と、を備える分散認証システムであって、
前記通信制御装置は、
ユーザ識別情報とユーザ確認情報とを関連付けて登録されているユーザ認証情報と、前記通信制御装置の識別情報とアドレスとを関連付けて登録されている通信制御装置アドレス情報と、を記憶し、
前記ユーザ識別情報及び前記ユーザ確認情報を含む認証要求を前記端末装置から受信すると、前記受信した認証要求から前記ユーザ識別情報を抽出し、
前記抽出したユーザ識別情報が登録されているユーザ認証情報を記憶している通信制御装置を特定し、
前記特定した通信制御装置のアドレスを、前記通信制御装置アドレス情報から抽出し、
前記抽出したアドレスに対して、前記受信した認証要求を転送することを特徴とする分散認証システム。
【請求項２】
前記ユーザ識別情報は、当該ユーザ識別情報が登録されているユーザ認証情報を記憶している前記通信制御装置の識別情報を含み、
前記通信制御装置は、前記ユーザ識別情報に含まれる前記通信制御装置の識別情報を参照することによって、前記抽出したユーザ識別情報が登録されているユーザ認証情報を記憶している通信制御装置を特定することを特徴とする請求項１に記載の分散認証システム。
【請求項３】
前記ユーザ識別情報の各々は、前記通信制御装置のいずれか一台に記憶されているユーザ認証情報にのみ登録されていることを特徴とする請求項１に記載の分散認証システム。
【請求項４】
前記通信制御装置は、レイヤ２トンネルを利用することによって、前記抽出したアドレスに対して、前記受信した認証要求を転送することを特徴とする請求項１に記載の分散認証システム。
【請求項５】
端末装置からの通信を制御する通信制御装置における認証方法であって、
前記通信制御装置は、
複数の他の通信制御装置に接続され、
ユーザ識別情報とユーザ確認情報とを関連付けて登録されているユーザ認証情報と、前記通信制御装置の識別情報とアドレスとを関連付けて登録されている通信制御装置アドレス情報と、を記憶し、
前記認証方法では、前記通信制御装置が、
前記ユーザ識別情報及び前記ユーザ確認情報を含む認証要求を前記端末装置から受信すると、前記受信した認証要求から前記ユーザ識別情報を抽出し、
前記抽出したユーザ識別情報が登録されているユーザ認証情報を記憶している通信制御装置を特定し、
前記特定した通信制御装置のアドレスを、前記通信制御装置アドレス情報から抽出し、
前記抽出したアドレスに対して、前記受信した認証要求を転送することを特徴とする認証方法。
【請求項６】
前記ユーザ識別情報は、当該ユーザ識別情報が登録されているユーザ認証情報を記憶している前記通信制御装置の識別情報を含み、
前記通信制御装置は、前記ユーザ識別情報に含まれる前記通信制御装置の識別情報を参照することによって、前記抽出したユーザ識別情報が登録されているユーザ認証情報を記憶している通信制御装置を特定することを特徴とする請求項５に記載の認証方法。
【請求項７】
前記通信制御装置は、レイヤ２トンネルを利用することによって、前記抽出したアドレスに対して、前記受信した認証要求を転送することを特徴とする請求項５に記載の認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末装置及び通信制御装置を備える分散認証システムに関し、通信制御装置が端末装置のユーザを認証する技術に関する。
【背景技術】
【０００２】
認証サーバ及びサービスサーバを備える認証システムが開示されている（例えば、特許文献１参照。）。サービスサーバは、未認証のアプリケーションからのアクセスがあると、認証サーバにリダイレクトする。
【０００３】
また、通信制御装置の負荷を低減する分散認証プラットフォームアーキテクチャが開示されている（例えば、非特許文献１参照。）。この分散認証プラットフォームアーキテクチャでは、端末装置のアドレス空間が複数のドメインに分割される。そして、ドメインごとに通信制御装置が設置される。
【０００４】
分散認証プラットフォームアーキテクチャでは、ユーザがドメインを移動する場合、ユーザの移動先の通信制御装置は、ユーザの移動元の通信制御装置と同一の認証用情報を保持する必要がある。
【０００５】
そのため、ユーザの移動先の通信制御装置は、ユーザの移動元の通信制御装置の認証用情報を予めコピーしておく必要があった。
【特許文献１】特開平１１−２８２８０４号公報
【非特許文献１】"A Distributed Authentication Platform Architecture for Peer-to-Peer Applications,"IEICE Trans. Commun., Vol.E88-B, No.3, March 2005, P865-872.
【発明の開示】
【発明が解決しようとする課題】
【０００６】
分散認証プラットフォームアーキテクチャでは、ユーザの移動が頻繁になると、通信制御装置は、認証用情報をコピーする処理（同期情報の通信処理）の回数が増える。そのため、通信制御装置間の通信量が増大するという問題が生じる。
【０００７】
本発明は、前述した問題点に鑑みてなされたものであり、通信制御装置間の通信量を低減する分散認証システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の代表的な実施の形態は、ＣＰＵ、メモリ及びインタフェースを備える複数の端末装置と、前記端末装置からの通信を制御する複数の通信制御装置と、を備える分散認証システムであって、前記通信制御装置は、ユーザ識別情報とユーザ確認情報とを関連付けて登録されているユーザ認証情報と、前記通信制御装置の識別情報とアドレスとを関連付けて登録されている通信制御装置アドレス情報と、を記憶し、前記ユーザ識別情報及び前記ユーザ確認情報を含む認証要求を前記端末装置から受信すると、前記受信した認証要求から前記ユーザ識別情報を抽出し、前記抽出したユーザ識別情報が登録されているユーザ認証情報を記憶している通信制御装置を特定し、前記特定した通信制御装置のアドレスを、前記通信制御装置アドレス情報から抽出し、前記抽出したアドレスに対して、前記受信した認証要求を転送することを特徴とする。
【発明の効果】
【０００９】
本発明の代表的な実施の形態によると、通信制御装置間の通信量を低減できる。
【発明を実施するための最良の形態】
【００１０】
本発明の実施の形態を図面を参照して説明する。
【００１１】
（第１の実施の形態）
図１は、第１の実施の形態の分散認証システムのブロック図である。
【００１２】
分散認証システムは、通信制御装置２０、端末装置３０、アクセス回線４０、バックボーン回線５０及びＩＰネットワーク１００を備える。
【００１３】
また、分散認証システムは、複数のドメイン１０を含む。本説明図の分散認証システムは、三つのドメイン１０Ａ、１０Ｂ及び１０Ｃを含む。
【００１４】
ドメイン１０Ａには、通信制御装置２０Ａ及び端末装置３０Ａが含まれる。通信制御装置２０ＡとＩＰネットワーク１００とは、バックボーン回線５０Ａによって接続されている。また、通信制御装置２０Ａと端末装置３０Ａとは、アクセス回線４０Ａによって接続されている。なお、通信制御装置２０Ａには、複数の端末装置３０Ａが接続されていてもよい。
【００１５】
同様に、ドメイン１０Ｂには、通信制御装置２０Ｂ及び端末装置３０Ｂが含まれる。通信制御装置２０ＢとＩＰネットワーク１００とは、バックボーン回線５０Ｂによって接続されている。また、通信制御装置２０Ｂと端末装置３０Ｂとは、アクセス回線４０Ｂによって接続されている。なお、通信制御装置２０Ｂには、複数の端末装置３０Ｂが接続されていてもよい。
【００１６】
また、ドメイン１０Ｃには、通信制御装置２０Ｃ及び端末装置３０Ｃが含まれる。通信制御装置２０ＣとＩＰネットワーク１００とは、バックボーン回線５０Ｃによって接続されている。また、通信制御装置２０Ｃと端末装置３０Ｃとは、アクセス回線４０Ｃによって接続されている。なお、通信制御装置２０Ｃには、複数の端末装置３０Ｃが接続されていてもよい。
【００１７】
通信制御装置２０は、図２で後述するが、端末装置３０からの通信を制御する。更に、通信制御装置２０は、端末装置３０のユーザを認証する。
【００１８】
端末装置３０は、図１２で後述するが、ユーザによって操作される計算機である。
【００１９】
アクセス回線４０は、通信制御装置２０と端末装置３０とを接続するネットワークである。なお、アクセス回線４０は、有線であってもよいし、無線であってもよい。
【００２０】
図２は、第１の実施の形態の通信制御装置２０のブロック図である。
【００２１】
通信制御装置２０は、アクセス回線終端処理部２０１、バックボーン回線終端処理部２０２、アクセス制御部２０３及び認証処理部２０４を備える。なお、通信制御装置２０は、アクセス回線終端処理部２０１を複数備えていてもよい。また、アクセス回線終端処理部２０１、バックボーン回線終端処理部２０２、アクセス制御部２０３及び認証処理部２０４は、通信バス２０５によって相互に接続されている。
【００２２】
アクセス回線終端処理部２０１は、アクセス回線４０に接続されている。そして、アクセス回線終端処理部２０１は、アクセス回線４０を介して端末装置３０と通信する。なお、アクセス回線終端処理部２０１については、図３で詳細を説明する。
【００２３】
バックボーン回線終端処理部２０２は、バックボーン回線５０に接続されている。そして、バックボーン回線終端処理部２０２は、バックボーン回線５０を介して他の通信制御装置２０等と通信する。また、バックボーン回線終端処理部２０２は、Ｌ２トンネルを設定する。なお、バックボーン回線終端処理部２０２については、図６で詳細を説明する。
【００２４】
アクセス制御部２０３は、図７で詳細を説明するが、ユーザ認証の結果に基づいてアクセスを制御する。具体的には、アクセス制御部２０３は、アクセス制御パケットをアクセス回線終端処理部２０１に送信することによって、端末装置３０のアクセスを制御する。
【００２５】
なお、アクセス制御パケットには、端末装置３０のＩＰアドレス及び当該ＩＰアドレスに対するフィルタリング設定（ＯＮ又はＯＦＦ）が含まれる。
【００２６】
アクセス回線終端処理部２０１は、受信したアクセス制御パケットに基づいて、端末装置３０のアクセスを制御する。具体的には、アクセス回線終端処理部２０１は、フィルタリング設定が「ＯＮ」であるアクセス制御パケットを受信すると、当該アクセス制御パケットに含まれるＩＰアドレスからのパケットを転送しない。また、アクセス回線終端処理部２０１は、フィルタリング設定が「ＯＦＦ」であるアクセス制御パケットを受信すると、当該アクセス制御パケットに含まれるＩＰアドレスからのパケットを転送する。
【００２７】
認証処理部２０４は、図８で詳細を説明するが、ユーザ認証を行う。
【００２８】
図３は、第１の実施の形態の通信制御装置２０のアクセス回線終端処理部２０１のブロック図である。
【００２９】
アクセス回線終端処理部２０１は、受信ビット列処理部２０１Ｒ１、受信フレーム処理部２０１Ｒ２、受信パケット処理部２０１Ｒ３、送信ビット列処理部２０１Ｓ１、送信フレーム処理部２０１Ｓ２、送信パケット処理部２０１Ｓ３及び通信バスアクセス制御部２０１４を含む。
【００３０】
受信ビット列処理部２０１Ｒ１は、受信用のアクセス回線４０に接続されている。受信ビット列処理部２０１Ｒ１は、当該アクセス回線４０からビット列を受信する。
【００３１】
受信フレーム処理部２０１Ｒ２は、受信ビット列処理部２０１Ｒ１が受信したビット列から、フレームを抽出する。
【００３２】
受信パケット処理部２０１Ｒ３は、受信フレーム処理部２１０Ｒ２が抽出したフレームから、パケットを抽出する。なお、受信パケット処理部２０１Ｒ３については、図４で詳細を説明する。
【００３３】
受信パケット処理部２０１Ｒ３は、送信パケット処理部２０１Ｓ３に接続されることによって、アクセス制御パケットを受信できる。
【００３４】
送信パケット処理部２０１Ｓ３は、通信バスアクセス制御部２０１４から受信したパケットを、フレームに変換する。なお、送信パケット処理部２０１Ｓ３については、図５で詳細を説明する。
【００３５】
送信フレーム処理部２０１Ｓ２は、送信パケット処理部２０１Ｓ３が変換したフレームを、ビット列に変換する。
【００３６】
送信ビット列処理部２０１Ｓ１は、送信フレーム処理部２０１Ｓ２が変換したビット列を、送信用のアクセス回線４０を介して端末装置３０に送信する。
【００３７】
通信バスアクセス制御部２０１４は、通信バス２０５、受信パケット処理部２０１Ｒ３及び送信パケット処理部２０１Ｓ３に接続されている。
【００３８】
通信バスアクセス制御部２０１４は、通信バス２０５へのアクセスを制御する。具体的には、通信バスアクセス制御部２０１４は、通信バス２０５からパケットを受信し、受信したパケットを送信パケット処理部２０１Ｓ３に転送する。また、通信バスアクセス制御部２０１４は、受信パケット制御部２０１Ｒ３からパケットを受信し、受信したパケットを通信バス２０５に転送する。
【００３９】
図４は、第１の実施の形態の通信制御装置２０の受信パケット処理部２０１Ｒ３のブロック図である。
【００４０】
受信パケット処理部２０１Ｒ３は、受信ヘッダトレイラ処理部２０１Ｒ３１、受信パケットバッファ２０１Ｒ３２、送信ヘッダトレイラ処理部２０１Ｒ３３、バッファ制御部２０１Ｒ３４及びアクセス制御パケット受信部２０１Ｒ３５を備える。
【００４１】
受信ヘッダトレイラ処理部２０１Ｒ３１は、受信フレーム処理部２０１Ｒ２、受信パケットバッファ２０１Ｒ３２及びバッファ制御部２０１Ｒ３４に接続されている。受信ヘッダトレイラ処理部２０１Ｒ３１は、受信フレーム処理部２０１Ｒ２が抽出したフレームからヘッダ及びトレイラを取り外すことによって、パケットを抽出する。そして、受信ヘッダトレイラ処理部２０１Ｒ３１は、当該パケットを受信パケットバッファ２０１Ｒ３２に格納する。
【００４２】
受信パケットバッファ２０１Ｒ３２は、受信ヘッダトレイラ処理部２０１Ｒ３１、送信ヘッダトレイラ処理部２０１Ｒ３３及びバッファ制御部２０１Ｒ３４に接続されている。受信パケットバッファ２０１Ｒ３２は、受信ヘッダトレイラ処理部２０１Ｒ３１が抽出したパケットを一時的に記憶する。
【００４３】
送信ヘッダトレイラ処理部２０１Ｒ３３は、通信バスアクセス制御部２０１４、受信パケットバッファ２０１Ｒ３２及びバッファ制御部２０１Ｒ３４に接続されている。送信ヘッダトレイラ処理部２０１Ｒ３３は、受信パケットバッファ２０１Ｒ３２が記憶しているパケットを読み出す。そして、読み出したパケットにヘッダ及びトレイラを付加し、通信バスアクセス制御部２０１４に送信する。
【００４４】
バッファ制御部２０１Ｒ３４は、受信ヘッダトレイラ処理部２０１Ｒ３１、受信パケットバッファ２０１Ｒ３２、送信ヘッダトレイラ処理部２０１Ｒ３３及びアクセス制御パケット受信部２０１Ｒ３５に接続されている。バッファ制御部２０１Ｒ３４は、受信ヘッダトレイラ処理部２０１Ｒ３１、受信パケットバッファ２０１Ｒ３２及び送信ヘッダトレイラ処理部２０１Ｒ３３を制御する。これによって、バッファ制御部２０１Ｒ３４は、パケットのフィルタリング処理などのアクセス制御を行う。
【００４５】
アクセス制御パケット受信部２０１Ｒ３５は、送信パケット処理部２０１Ｓ３及びバッファ制御部２０１Ｒ３４に接続されている。アクセス制御パケット受信部２０１Ｒ３５は、送信パケット処理部２０１Ｓ３からアクセス制御パケットを受信し、受信したアクセス制御パケットをバッファ制御部２０１Ｒ３４に転送する。
【００４６】
図５は、第１の実施の形態の通信制御装置２０の送信パケット処理部２０１Ｓ３のブロック図である。
【００４７】
送信パケット処理部２０１Ｓ３は、受信ヘッダトレイラ処理部２０１Ｓ３１、送信パケットバッファ２０１Ｓ３２、送信ヘッダトレイラ処理部２０１Ｓ３３、バッファ制御部２０１Ｓ３４及びアクセス制御パケット送信部２０１Ｓ３５を備える。
【００４８】
受信ヘッダトレイラ処理部２０１Ｓ３１は、通信バスアクセス制御部２０１４、送信パケットバッファ２０１Ｓ３２、バッファ制御部２０１Ｓ３４及びアクセス制御パケット送信部２０１Ｓ３５に接続されている。受信ヘッダトレイラ処理部２０１Ｓ３１は、通信バスアクセス制御部２０１４から受信したパケットから、ヘッダ及びトレイラを取り外す。そして、受信ヘッダトレイラ処理部２０１Ｓ３１は、当該パケットを送信パケットバッファ２０１Ｓ３２に格納する。なお、受信ヘッダトレイラ処理部２０１Ｓ３１は、受信したパケットがアクセス制御パケットであると、当該パケットをアクセス制御パケット送信部２０１Ｓ３５に送信する。
【００４９】
送信パケットバッファ２０１Ｓ３２は、受信ヘッダトレイラ処理部２０１Ｓ３１、送信ヘッダトレイラ処理部２０１Ｓ３３及びバッファ制御部２０１Ｓ３４に接続されている。送信パケットバッファ２０１Ｓ３２は、受信ヘッダトレイラ処理部２０１Ｓ３１から受信したパケットを一時的に記憶する。
【００５０】
送信ヘッダトレイラ処理部２０１Ｓ３３は、送信フレーム処理部２０１Ｓ２、送信パケットバッファ２０１Ｓ３２及びバッファ制御部２０１Ｓ３４に接続されている。送信ヘッダトレイラ処理部２０１Ｓ３３は、送信パケットバッファ２０１Ｓ３２が記憶しているパケットを読み出す。次に、読み出したパケットにヘッダ及びトレイラを付加することによって、パケットをフレームに変換する。そして、変換したフレームを、送信フレーム処理部２０１Ｓ２に送信する。
【００５１】
バッファ制御部２０１Ｓ３４は、受信ヘッダトレイラ処理部２０１Ｓ３１、送信パケットバッファ２０１Ｓ３２及び送信ヘッダトレイラ処理部２０１Ｓ３３に接続されている。バッファ制御部２０１Ｓ３４は、受信ヘッダトレイラ処理部２０１Ｓ３１、送信パケットバッファ２０１Ｓ３２及び送信ヘッダトレイラ処理部２０１Ｓ３３を制御する。
【００５２】
アクセス制御パケット送信部２０１Ｓ３５は、受信ヘッダトレイラ処理部２０１Ｓ３１及び受信パケット処理部２０１Ｒ３に接続されている。アクセス制御パケット送信部２０１Ｓ３５は、受信ヘッダトレイラ部２０１Ｓ３１から受信したアクセス制御パケットを、受信パケット処理部２０１Ｒ３のアクセス制御パケット受信部２０１Ｒ３５に転送する。
【００５３】
図６は、第１の実施の形態の通信制御装置２０のバックボーン回線終端処理部２０２のブロック図である。
【００５４】
バックボーン回線終端処理部２０２は、受信ビット列処理部２０２Ｒ１、受信フレーム処理部２０２Ｒ２、受信パケット処理部２０２Ｒ３、送信ビット列処理部２０２Ｓ１、送信フレーム処理部２０２Ｓ２、送信パケット処理部２０２Ｓ３、通信バスアクセス制御部２０２４及びＬ２トンネル処理部２０２５を備える。
【００５５】
受信ビット列処理部２０２Ｒ１は、受信用のバックボーン回線５０に接続されている。受信ビット列処理部２０２Ｒ１は、当該バックボーン回線５０からビット列を受信する。
【００５６】
受信フレーム処理部２０２Ｒ２は、受信ビット列処理部２０２Ｒ１が受信したビット列から、フレームを抽出する。
【００５７】
受信パケット処理部２０２Ｒ３は、受信フレーム処理部２０２Ｒ２が抽出したフレームから、パケットを抽出する。
【００５８】
送信パケット処理部２０２Ｓ３は、通信バスアクセス制御部２０２４から受信したパケットを、フレームに変換する。
【００５９】
送信フレーム処理部２０２Ｓ２は、送信パケット処理部２０２Ｓ３が変換したフレームをビット列に変換する。
【００６０】
送信ビット列処理部２０２Ｓ１は、送信フレーム処理部２０２Ｓ２が変換したビット列を、送信用のバックボーン回線５０に送信する。
【００６１】
通信バスアクセス制御部２０２４は、通信バス２０５、受信パケット処理部２０２Ｒ３及び送信パケット処理部２０２Ｓ３に接続されている。
【００６２】
通信バスアクセス制御部２０２４は、通信バス２０５へのアクセスを制御する。具体的には、通信バスアクセス制御部２０２４は、通信バス２０５からパケットを受信し、受信したパケットを送信パケット処理部２０２Ｓ３に転送する。また、通信バスアクセス制御部２０２４は、受信パケット制御部２０２Ｒ３からパケットを受信し、受信したパケットを通信バス２０５に転送する。
【００６３】
Ｌ２トンネル処理部２０２５は、受信パケット処理部２０２Ｒ３及び送信パケット処理部２０２Ｓ３に接続されている。Ｌ２トンネル処理部２０２５は、外部の通信制御装置２０との間にＬ２トンネルを設定する。
【００６４】
図７は、第１の実施の形態の通信制御装置２０のアクセス制御部２０３のブロック図である。
【００６５】
アクセス制御部２０３は、通信バスアクセス制御部２０３１、認証結果パケット受信部２０３２、アクセス制御判定部２０３３及びアクセス制御パケット送信部２０３４を備える。
【００６６】
通信バスアクセス制御部２０３１は、通信バス２０５へのアクセスを制御する。
【００６７】
認証結果パケット受信部２０３２は、認証結果パケットを認証処理部２０４から受信する。なお、認証結果パケットのペイロードには、ユーザＩＤ、端末装置３０のＩＰアドレス及び認証結果（ＯＫ又はＮＧ）が格納されている。
【００６８】
アクセス制御判定部２０３３は、認証結果パケット受信部２０３２が受信した認証結果パケットに基づいて、当該ユーザのアクセスを許可するかどうかを判定する。具体的には、アクセス制御判定部２０３３は、認証結果パケットに格納されている認証結果が「ＯＫ」であると、当該ユーザのアクセスを許可すると判定する。一方、アクセス制御判定部２０３３は、認証結果パケットに格納されている認証結果が「ＮＧ」であると、当該ユーザのアクセスを許可しないと判定する。
【００６９】
アクセス制御パケット送信部２０３４は、アクセス制御判定部２０３３の判定結果に基づいて、アクセス制御パケットを作成する。そして、作成したアクセス制御パケットを、アクセス回線終端処理部２０１に送信する。具体的には、アクセス制御判定部２０３３がアクセス許可と判定すると、アクセス制御パケット送信部２０３４は、フィルタリング設定を「ＯＦＦ」としたアクセス制御パケットを、アクセス回線終端処理部２０１に送信する。一方、アクセス制御判定部２０３３がアクセス不許可と判定すると、アクセス制御パケット送信部２０３４は、フィルタリング設定を「ＯＮ」としたアクセス制御パケットを、アクセス回線終端処理部２０１に送信する。
【００７０】
図８は、第１の実施の形態の通信制御装置２０の認証処理部２０４のブロック図である。
【００７１】
認証処理部２０４は、通信バスアクセス制御部２０４１、認証パケット処理部２０４２、ユーザ認証情報登録部２０４３、ユーザ認証テーブル２０４４、認証判定部２０４５、同期パケット処理部２０４６、同期処理部２０４７及び通信制御装置アドレステーブル５００を備える。
【００７２】
通信バスアクセス制御部２０４１は、通信バス２０５へのアクセスを制御する。
【００７３】
ユーザ認証テーブル２０４４は、図１０で後述するが、ユーザＩＤとパスワードとを関連付けて記憶している。
【００７４】
ユーザ認証情報登録部２０４３は、ユーザＩＤ及びパスワードを含むユーザ認証情報登録パケットを受信する。そして、受信したユーザ認証情報登録パケットに含まれるユーザＩＤ及びパスワードを、ユーザ認証テーブル２０４４に格納する。
【００７５】
認証パケット処理部２０４２は、アクセス回線終端処理部２０１又はバックボーン回線終端処理部２０２から認証要求パケットを受信し、受信した認証要求パケットからユーザＩＤ及びパスワードを抽出する。なお、認証要求パケットは、端末装置３０から送信されるパケットであり、ユーザＩＤ及びパスワードを含む。
【００７６】
認証判定部２０４５は、認証パケット処理部２０４２が抽出したユーザＩＤ及びパスワードと一致するレコードが、ユーザ認証テーブル２０４４に存在するかどうかを判定することによって、当該ユーザを認証するかどうかを判定する。
【００７７】
認証判定部２０４５がユーザの認証に成功すると、認証パケット処理部２０４２は、認証結果を「ＯＫ」とした認証結果パケットをアクセス制御部２０３に送信する。一方、認証判定部２０４５がユーザの認証に失敗すると、認証パケット処理部２０４２は、認証結果を「ＮＧ」とした認証結果パケットをアクセス制御部２０３に送信する。
【００７８】
通信制御装置アドレステーブル５００は、図９で後述するが、通信制御装置番号とＩＰアドレスとを関連付けて記憶している。
【００７９】
同期パケット処理部２０４６は、外部の通信制御装置２０に同期パケットを送信する。また、同期パケット処理部２０４６は、外部の通信制御装置２０から同期パケットを受信する。なお、同期パケットには、通信制御装置番号及びＩＰアドレスが含まれる。
【００８０】
同期処理部２０４７は、同期パケット処理部２０４６が受信した同期パケットに含まれる通信制御装置番号及びＩＰアドレスを、通信制御装置アドレステーブル５００に格納する。
【００８１】
図９は、第１の実施の形態の通信制御装置２０の通信制御装置アドレステーブル５００の構成図である。
【００８２】
通信制御装置アドレステーブル５００は、通信制御装置番号５００１及びＩＰアドレス５００２を含む。
【００８３】
通信制御装置番号５００１は、通信制御装置２０の一意な識別子である。ＩＰアドレス５００２は、ＴＣＰ／ＩＰネットワーク上で当該通信制御装置２０を一意に識別するためのアドレス情報である。なお、通信制御装置番号５００１が自装置の識別子であるレコードのＩＰアドレス５００２には、「ｎｕｌｌ」が格納される。
【００８４】
図１０は、第１の実施の形態の通信制御装置２０のユーザ認証テーブル２０４４の構成図である。
【００８５】
ユーザ認証テーブル２０４４は、ユーザＩＤ２０４４１及びパスワード２０４４２を含む。
【００８６】
ユーザＩＤ２０４４１は、図１１で詳細を説明するが、端末装置３０のユーザの一意な識別子である。パスワード２０４４２は、当該ユーザを確認するための情報である。
【００８７】
図１１は、第１の実施の形態のユーザＩＤ６００の説明図である。
【００８８】
ユーザＩＤ６００は、通信制御装置番号６００１及びローカルＩＤ６００２を含む。通信制御装置番号６００１は、当該ユーザＩＤ６００が登録されているユーザ認証テーブル２０４４を記憶している通信制御装置２０の一意な識別子である。ローカルＩＤ６００２は、当該通信制御装置２０内における当該ユーザの一意な識別子である。
【００８９】
このため、通信制御装置２０は、ユーザＩＤ６００を参照することによって、当該ユーザＩＤ６００が登録されているユーザ認証テーブル２０４４を記憶している通信制御装置２０を特定できる。
【００９０】
図１２は、第１の実施の形態の端末装置３０のブロック図である。
【００９１】
端末装置３０は、ＣＰＵ３０１、メモリ３０２、ディスク制御部３０３、入出力制御部３０４及びアクセス回線終端処理部３０７を含む。なお、ＣＰＵ３０１、メモリ３０２、ディスク制御部３０３、ディスク３０４、入出力制御部３０５及びアクセス回線終端処理部３０７は、内部バス３０８によって相互に接続されている。
【００９２】
ＣＰＵ３０１は、メモリ３０２に記憶されているプログラムを実行することによって各種処理を行う。
【００９３】
メモリ３０２は、例えば、磁気ディスク又は揮発性半導体メモリ等で構成され、各種情報を記憶する。例えば、メモリ３０２は、ＯＳ（図示省略）及び認証制御プログラム３０６を記憶している。認証制御プログラム３０６は、認証要求を通信制御装置２０に送信する。
【００９４】
ディスク３０４は、例えば、磁気ディスク等で構成され、各種情報を記憶する。ディスク制御部３０３は、ディスク３０４への情報の読み書きを制御する。
【００９５】
入出力制御部３０５は、例えば、キーボード又はディスプレイ等の入出力装置に接続されている。そして、入出力制御部３０５は、接続されている入出力装置に対して、各種情報を入出力する。
【００９６】
アクセス回線終端処理部３０７は、アクセス回線４０に接続されている。そして、アクセス回線終端処理部３０７は、アクセス回線４０を介して通信制御装置２０と通信する。
【００９７】
次に、ドメイン１０Ａに設置されている通信制御装置２０Ａが起動した時の分散認証システムの処理を説明する。
【００９８】
図１３は、第１の実施の形態の分散認証システムの同期化処理のシーケンス図である。
【００９９】
まず、通信制御装置２０Ａが起動する（Ｓ１１）。すると、通信制御装置２０Ａは、自身の通信制御装置番号及び自身に予め割り当てられているＩＰアドレスを含む同期パケットを、すべての通信制御装置２０に送信する。本実施の形態では、通信制御装置２０Ａは、同期パケットを通信制御装置２０Ｂ及び２０Ｃに送信する（Ｓ１２）。
【０１００】
通信制御装置２０Ｂ及び２０Ｃは、通信制御装置２０Ａから同期パケットを受信する。そして、受信した同期パケットに基づいて、通信制御装置アドレステーブル５００を更新する（Ｓ１３）。
【０１０１】
具体的には、通信制御装置２０Ｂ及び２０Ｃは、受信した同期パケットから、通信制御装置番号及びＩＰアドレスを抽出する。次に、抽出した通信制御装置番号を、通信制御装置アドレステーブル５００の通信制御装置番号５００１に格納する。次に、抽出したＩＰアドレスを、通信制御装置アドレステーブル５００のＩＰアドレス５００２に格納する。
【０１０２】
これによって、すべての通信制御装置２０が備える通信制御装置アドレステーブル５００は、同期化される。
【０１０３】
図１４は、第１の実施の形態の通信制御装置２０Ｂの同期化処理のフローチャートである。
【０１０４】
通信制御装置２０Ｂは、同期パケットを受信したかどうかを判定する（Ｆ１０２）。通信制御装置２０Ｂは、同期パケットを受信していない場合、同期パケットを受信するまで待機する（Ｆ１０１）。
【０１０５】
通信制御装置２０Ｂは、同期パケットを受信すると、通信制御装置アドレステーブル５００を更新する（Ｆ１０３）。
【０１０６】
具体的には、通信制御装置２０Ｂは、受信した同期パケットから、通信制御装置番号及びＩＰアドレスを抽出する。次に、抽出した通信制御装置番号を、通信制御装置アドレステーブル５００の通信制御装置番号５００１に格納する。次に、抽出したＩＰアドレスを、通信制御装置アドレステーブル５００のＩＰアドレス５００２に格納する。
【０１０７】
そして、通信制御装置２０Ｂは、ステップＦ１０１に戻る。
【０１０８】
なお、通信制御装置２０Ｃも、通信制御装置２０Ｂと同一の処理を行う。
【０１０９】
次に、ドメイン１０Ａに設置されている端末装置３０ＡのユーザＸの認証情報を、通信制御装置２０Ａに登録する処理を説明する。
【０１１０】
図１５は、第１の実施の形態の分散認証システムの認証情報登録処理のシーケンス図である。
【０１１１】
ユーザＸは、自身の認証情報の登録を端末装置３０Ａに指示する。すると、端末装置３０Ａは、通信制御装置２０Ａに認証情報の登録を要求する（Ｓ２１）。
【０１１２】
通信制御装置２０Ａは、認証情報登録要求を受けると、端末装置３０Ａに本人確認情報を要求する（Ｓ２２）。本人確認情報は、例えば、氏名、年齢及び住所等である。
【０１１３】
端末装置３０Ａは、本人確認情報を要求されると、本人確認情報の入力画面を出力する。ユーザＸは、本人確認情報を端末装置３０Ａに入力する。
【０１１４】
端末装置３０Ａは、入力された本人確認情報を通信制御装置２０Ａに送信する（Ｓ２３）。
【０１１５】
通信制御装置２０Ａは、本人確認情報を端末装置３０Ａから受信する。次に、受信した本人確認情報に基づいて、認証情報の登録を許可するかどうかを判定する。例えば、通信制御装置２０Ａは、受信した本人確認情報が所定の条件を満たすと、認証情報の登録を許可する。
【０１１６】
通信制御装置２０Ａは、認証情報の登録を許可しない場合、認証情報の登録不許可を端末装置３０Ａに通知する。端末装置３０Ａは、認証情報の登録不許可の通知を受けると、当該通知を出力する。
【０１１７】
一方、通信制御装置２０Ａは、認証情報の登録を許可する場合、ユーザＸのユーザＩＤ及びパスワードを作成する。このとき、通信制御装置２０Ａは、自身の通信制御装置番号を含むようにユーザＩＤを作成する。
【０１１８】
次に、通信制御装置２０Ａは、ユーザ認証テーブル２０４４を更新する。具体的には、作成したユーザＩＤを、ユーザ認証テーブル２０４４のユーザＩＤ２０４４１に格納する。次に、作成したパスワードを、ユーザ認証テーブル２０４４のパスワード２０４４２に格納する。
【０１１９】
次に、通信制御装置２０Ａは、作成したユーザＩＤ及びパスワードと共に、認証情報の登録許可を端末装置３０Ａに通知する（Ｓ２４）。
【０１２０】
端末装置３０Ａは、認証情報の登録許可の通知を受けると、当該通知、ユーザＩＤ及びパスワードを出力する。
【０１２１】
図１６は、第１の実施の形態の通信制御装置２０Ａの認証情報登録処理のフローチャートである。
【０１２２】
通信制御装置２０Ａは、認証情報の登録要求を端末装置３０Ａから受信したかどうかを判定する（Ｆ２０２）。通信制御装置２０Ａは、認証情報の登録要求を受信していない場合、認証情報の登録要求を受信するまで待機する（Ｆ２０１）。
【０１２３】
通信制御装置２０Ａは、認証情報の登録要求を受信すると、端末装置３０Ａに本人確認情報を要求する（Ｆ２０３）。
【０１２４】
次に、通信制御装置２０Ａは、本人確認情報を端末装置３０Ａから受信したかどうかを判定する（Ｆ２０５）。通信制御装置２０Ａは、本人確認情報を受信していない場合、受信するまで待機する（Ｆ２０４）。
【０１２５】
通信制御装置２０Ａは、本人確認情報を受信すると、認証情報の登録を許可するかどうかを判定する。通信制御装置２０Ａは、認証情報の登録を許可しない場合、認証情報の登録不許可を端末装置３０Ａに通知する。
【０１２６】
一方、通信制御装置２０Ａは、認証情報の登録を許可する場合、ユーザＩＤ及びパスワードを作成する（Ｆ２０６）。このとき、通信制御装置２０Ａは、自身の通信制御装置番号を含むようにユーザＩＤを作成する。
【０１２７】
次に、通信制御装置２０Ａは、ユーザ認証テーブル２０４４を更新する。次に、通信制御装置２０Ａは、作成したユーザＩＤ及びパスワードと共に、認証情報の登録許可を端末装置３０Ａに通知する（Ｆ２０７）。
【０１２８】
そして、通信制御装置２０Ａは、ステップＦ２０１に戻る。
【０１２９】
次に、ユーザＸが端末装置３０Ａを用いて認証を要求する場合を説明する。なお、端末装置３０Ａは、ユーザＸのユーザＩＤ及びパスワードが登録されている通信制御装置２０Ａが属するドメイン１０Ａに設置されている。
【０１３０】
図１７は、第１の実施の形態の分散認証システムの認証処理のシーケンス図である。
【０１３１】
ユーザＸは、認証情報の登録時に付与されたユーザＩＤ及びパスワードを、端末装置３０Ａに入力する。すると、端末装置３０Ａは、入力されたユーザＩＤ及びパスワードを含む認証要求を通信制御装置２０Ａに送信する（Ｓ４１）。
【０１３２】
通信制御装置２０Ａは、認証要求を受信する。次に、受信した認証要求から、ユーザＩＤ及びパスワードを抽出する。次に、抽出したユーザＩＤから、通信制御装置番号を抽出する。
【０１３３】
次に、通信制御装置２０Ａは、通信制御装置アドレステーブル５００を参照することによって、認証要求の宛先を判定する（Ｓ４２）。具体的には、抽出した通信制御装置番号と通信制御装置アドレステーブル５００の通信制御装置番号５００１とが一致するレコードを選択する。次に、選択したレコードから、ＩＰアドレス５００２の「ｎｕｌｌ」を抽出する。
【０１３４】
通信制御装置２０Ａは、抽出したＩＰアドレス５００２が「ｎｕｌｌ」であるので、自装置宛ての認証要求であると判定する。
【０１３５】
次に、通信制御装置２０Ａは、認証処理を行う（Ｓ４３）。具体的には、抽出したユーザＩＤとユーザ認証テーブル２０４４のユーザＩＤ２０４４１とが一致するレコードを、ユーザ認証テーブル２０４４から選択する。次に、抽出したパスワードと選択したレコードのパスワード２０４４２とが合致するかどうかを判定する。
【０１３６】
パスワードが合致しないと、通信制御装置２０Ａは、ユーザＸの認証に失敗したと判定する。すると、通信制御装置２０Ａは、ネットワークへのアクセスの不許可を端末装置３０Ａに通知する。
【０１３７】
一方、パスワードが合致すると、通信制御装置２０Ａは、ユーザＸの認証に成功したと判定する。すると、通信制御装置２０Ａは、端末装置３０Ａからの通信データをＩＰネットワーク１００に転送するようにネットワークアクセス制御を行う（Ｓ４４）。そして、通信制御装置２０Ａは、ネットワークへのアクセスの許可を端末装置３０Ａに通知する（Ｓ４５）。
【０１３８】
端末装置３０Ａは、ネットワークへのアクセスの許可の通知を受けると、当該通知を出力する。
【０１３９】
次に、ユーザＸが、端末装置３０Ｂを用いて認証を要求する場合を説明する。なお、端末装置３０Ｂは、ユーザＸのユーザＩＤ及びパスワードが登録されている通信制御装置２０Ａが属さないドメイン１０Ｂに設置されている。
【０１４０】
図１８は、第１の実施の形態の分散認証システムの認証処理のシーケンス図である。
【０１４１】
ユーザＸは、認証情報の登録時に付与されたユーザＩＤ及びパスワードを、端末装置３０Ｂに入力する。すると、端末装置３０Ｂは、入力されたユーザＩＤ及びパスワードを含む認証要求を通信制御装置２０Ｂに送信する（Ｓ３１）。
【０１４２】
通信制御装置２０Ｂは、認証要求を受信する。次に、受信した認証要求から、ユーザＩＤを抽出する。次に、抽出したユーザＩＤから、通信制御装置番号を抽出する。
【０１４３】
次に、通信制御装置２０Ｂは、通信制御装置アドレステーブル５００を参照することによって、認証要求の宛先を判定する（Ｓ３２）。具体的には、抽出した通信制御装置番号と通信制御装置アドレステーブル５００の通信制御装置番号５００１とが一致するレコードを選択する。次に、選択したレコードから、ＩＰアドレス５００２を抽出する。
【０１４４】
次に、通信制御装置２０Ｂは、抽出したＩＰアドレス５００２宛てに、Ｌ２トンネルの設定要求を送信する。なお、Ｌ２トンネルの設定要求は、ＩＥＴＦのＲＦＣ２６６１が規定しているＬ２トンネル設定プロトコルによるものである。これによって、通信制御装置２０Ｂは、通信制御装置２０Ａとの間にＬ２トンネルを確立する（Ｓ３３）。
【０１４５】
次に、通信制御装置２０Ｂは、端末装置３０Ｂに認証要求の再送を要求する（Ｓ３４）。
【０１４６】
すると、端末装置３０Ｂは、Ｌ２トンネルを利用して、ユーザＩＤ及びパスワードを含む認証要求を通信制御装置２０Ａに送信する（Ｓ３５）。具体的には、端末装置３０Ｂは、認証要求を通信制御装置２０Ｂに送信する。すると、通信制御装置２０Ｂは、受信した認証要求にトンネリングプロトコル用ヘッダを付加することによって、当該認証要求を通信制御装置２０Ａに転送する。
【０１４７】
通信制御装置２０Ａは、認証要求を受信する。そして、通信制御装置２０Ａは、認証処理を行う（Ｓ３６）。
【０１４８】
具体的には、通信制御装置２０Ａは、受信した認証要求から、ユーザＩＤ及びパスワードを抽出する。次に、抽出したユーザＩＤとユーザ認証テーブル２０４４のユーザＩＤ２０４４１とが一致するレコードを、ユーザ認証テーブル２０４４から選択する。次に、抽出したパスワードと選択したレコードのパスワード２０４４２とが合致するかどうかを判定する。
【０１４９】
パスワードが合致しないと、通信制御装置２０Ａは、ユーザＸの認証に失敗したと判定する。すると、通信制御装置２０Ａは、ネットワークへのアクセスの不許可を端末装置３０Ｂに通知する。端末装置３０Ｂは、ネットワークへのアクセスの不許可の通知を受けると、当該通知を出力する。
【０１５０】
一方、パスワードが合致すると、通信制御装置２０Ａは、ユーザＸの認証に成功したと判定する。すると、通信制御装置２０Ａは、通信制御装置２０Ｂ及び端末装置３０Ｂに、ネットワークへのアクセスの許可を通知する（Ｓ３７）。
【０１５１】
通信制御装置２０Ｂは、ネットワークへのアクセスの許可の通知を受けると、端末装置３０Ｂからの通信データをＩＰネットワーク１００に転送するようにネットワークアクセス制御を行う（Ｓ３８）。一方、端末装置３０Ｂは、ネットワークへのアクセスの許可の通知を受けると、当該通知を出力する。
【０１５２】
図１９は、第１の実施の形態の通信制御装置２０の認証処理のフローチャートである。
【０１５３】
このフローチャートは、認証要求を送信する端末装置３０と同一のドメイン１０に所属する通信制御装置２０に関するものである。
【０１５４】
まず、通信制御装置２０は、認証要求を端末装置３０から受信したかどうかを判定する（Ｆ３０２）。通信制御装置２０は、認証要求を受信していない場合、認証要求を受信するまで待機する（Ｆ３０１）。
【０１５５】
通信制御装置２０は、認証要求を受信すると、通信制御装置アドレステーブル５００を参照して、認証要求の宛先を判定する（Ｆ３０３）。
【０１５６】
具体的には、通信制御装置２０は、受信した認証要求から、ユーザＩＤを抽出する。次に、抽出したユーザＩＤから、通信制御装置番号を抽出する。次に、抽出した通信制御装置番号と通信制御装置アドレステーブル５００の通信制御装置番号５００１とが一致するレコードを選択する。次に、選択したレコードから、ＩＰアドレス５００２を抽出する。
【０１５７】
次に、通信制御装置２０は、受信した認証要求が自装置宛てであるかどうかを判定する（Ｆ３０４）。具体的には、抽出したＩＰアドレス５００２が「ｎｕｌｌ」であると、認証要求が自装置宛てであると判定する。
【０１５８】
通信制御装置２０は、認証要求が自装置宛てでないと、抽出したＩＰアドレス５００２宛てに、Ｌ２トンネルの設定要求を送信する。これによって、通信制御装置２０は、当該ユーザＩＤが登録されている通信制御装置２０との間に、Ｌ２トンネルを確立する。次に、通信制御装置２０は、端末装置３０に認証要求の再送を要求する（Ｆ３０５）。
【０１５９】
次に、通信制御装置２０は、ネットワークアクセス許可を受信したかどうかを判定する（Ｆ３０７）。通信制御装置２０は、ネットワークアクセス許可を受信していない場合、受信するまで待機する（Ｆ３０６）。
【０１６０】
通信制御装置２０は、ネットワークアクセス許可を受信すると、端末装置３０からの通信データをＩＰネットワーク１００に転送するようにネットワークアクセス制御を行う（Ｆ３０８）。
【０１６１】
そして、通信制御装置２０は、ステップＦ３０１に戻る。
【０１６２】
一方、通信制御装置２０は、ステップＦ３０４において、認証要求が自装置宛てであると判定すると、認証処理を行う（Ｆ３０９）。そして、認証に成功したかどうかを判定する（Ｆ３１０）。
【０１６３】
具体的には、通信制御装置２０は、受信した認証要求から、ユーザＩＤ及びパスワードを抽出する。次に、抽出したユーザＩＤとユーザ認証テーブル２０４４のユーザＩＤ２０４４１とが一致するレコードを、ユーザ認証テーブル２０４４から選択する。次に、抽出したパスワードと選択したレコードのパスワード２０４４２とが合致するかどうかを判定する。
【０１６４】
パスワードが合致しないと、通信制御装置２０は、ユーザの認証に失敗したと判定する。すると、通信制御装置２０は、ネットワークへのアクセスの不許可を端末装置３０に通知する（Ｆ３１４）。そして、通信制御装置２０は、ステップＦ３０１に戻る。
【０１６５】
一方、パスワードが合致すると、通信制御装置２０は、ユーザの認証に成功したと判定する。すると、通信制御装置２０は、ネットワークへのアクセスを許可する（Ｆ３１１）。そこで、通信制御装置２０は、端末装置３０からの通信データをＩＰネットワーク１００に転送するようにネットワークアクセス制御を行う（Ｆ３１２）。次に、通信制御装置２０は、ネットワークへのアクセスの許可を端末装置３０に通知する（Ｆ３１３）。そして、通信制御装置２０は、ステップＦ３０１に戻る。
【０１６６】
図２０は、第１の実施の形態の通信制御装置２０の認証処理のフローチャートである。
【０１６７】
このフローチャートは、認証要求を送信する端末装置３０と同一のドメイン１０に属さない通信制御装置２０に関するものである。
【０１６８】
まず、通信制御装置２０は、他の通信制御装置２０によってＬ２トンネルが確立されたかどうかを判定する（Ｆ４０２）。通信制御装置２０は、Ｌ２トンネルが確立されていない場合、Ｌ２トンネルが確立されるまで待機する（Ｆ４０１）。
【０１６９】
通信制御装置２０は、Ｌ２トンネルが確立されると、認証要求を端末装置３０から受信したかどうかを判定する（Ｆ４０４）。通信制御装置２０は、認証要求を受信していない場合、認証要求を受信するまで待機する（Ｆ４０３）。
【０１７０】
通信制御装置２０は、認証要求を受信すると、認証処理を行う（Ｆ４０５）。そして、認証に成功したかどうかを判定する（Ｆ４０６）。
【０１７１】
具体的には、通信制御装置２０は、受信した認証要求から、ユーザＩＤ及びパスワードを抽出する。次に、抽出したユーザＩＤとユーザ認証テーブル２０４４のユーザＩＤ２０４４１とが一致するレコードを、ユーザ認証テーブル２０４４から選択する。次に、抽出したパスワードと選択したレコードのパスワード２０４４２とが合致するかどうかを判定する。
【０１７２】
パスワードが合致しないと、通信制御装置２０は、ユーザの認証に失敗したと判定する。すると、通信制御装置２０は、ネットワークへのアクセスの不許可を、端末装置３０及びＬ２トンネルを確立した通信制御装置２０に通知する（Ｆ４０９）。そして、通信制御装置２０は、ステップＦ４０１に戻る。
【０１７３】
一方、パスワードが合致すると、通信制御装置２０は、ユーザの認証に成功したと判定する。すると、通信制御装置２０は、ネットワークへのアクセスを許可する（Ｆ４０７）。そこで、通信制御装置２０は、ネットワークへのアクセスの許可を、端末装置３０及びＬ２トンネルを確立した通信制御装置２０に通知する（Ｆ４０８）。そして、通信制御装置２０は、ステップＦ４０１に戻る。
【０１７４】
図２１は、第１の実施の形態の端末装置３０の認証処理のフローチャートである。
【０１７５】
端末装置３０は、ユーザＩＤ及びパスワードをユーザから入力される。すると、端末装置３０は、入力されたユーザＩＤ及びパスワードを含む認証要求を、同一ドメイン１０に設置されている通信制御装置２０に送信する（Ｆ５０１）。
【０１７６】
次に、端末装置３０は、再送要求又はネットワークアクセス許可通知を通信制御装置２０から受信したかどうかを判定する（Ｆ５０３）。端末装置３０は、再送要求及びネットワークアクセス許可通知のいずれも受信していない場合、どちらかを受信するまで待機する（Ｆ５０２）。
【０１７７】
端末装置３０は、認証要求の再送要求又はネットワークアクセス許可通知を受信すると、認証要求の再送要求又はネットワークアクセス許可通知のどちらを受信したかどうかを判定する（Ｆ５０４）。
【０１７８】
端末装置３０は、ネットワークアクセス許可通知を受信すると、ネットワークにアクセスする（Ｆ５０８）。
【０１７９】
一方、端末装置３０は、再送要求を受信すると、ユーザＩＤ及びパスワードを含む認証要求を再度通信制御装置２０に送信する（Ｆ５０５）。
【０１８０】
次に、端末装置３０は、ネットワークアクセス許可通知を通信制御装置２０から受信したかどうかを判定する（Ｆ５０７）。端末装置３０は、ネットワークアクセス許可通知を受信していない場合、受信するまで待機する（Ｆ５０６）。
【０１８１】
端末装置３０は、ネットワークアクセス許可通知を受信すると、ネットワークにアクセスする（Ｆ５０８）。
【０１８２】
本実施の形態では、通信制御装置２０の起動時にのみ、同期情報が通信制御装置２０間で通信される。つまり、通信制御装置２０が継続的に運転することによって、同期情報の通信頻度を低減できる。
【０１８３】
また、本実施の形態の通信制御装置２０は、通信制御装置番号及びＩＰアドレスを含む同期情報を通信する。よって、通信制御装置２０は、ユーザＩＤ及びパスワードを含む従来技術の同期情報を通信するよりも、通信量を低減できる。
【０１８４】
例えば、ユーザ数が二年間で０から１０００万となり、ドメイン数が０から１万になる場合を説明する。この場合、新規ユーザが約４２００００増加し、新規ドメインが約４２０増加する。また、ユーザＩＤを２バイトとし、パスワードを１６バイトとし、通信制御装置番号を２バイトとし、ＩＰアドレスを４バイトとする。
【０１８５】
この場合のｉヶ月目（ｉ＝１，２，・・・２４）の同期情報の通信量を比較する。従来の分散認証プラットフォームアーキテクチャ方式では、同期情報の通信量は、４２００００×４２０×ｉ×１８バイトである。これに対し、本実施の形態では、同期情報の通信量は、４２０×４２０×ｉ×６バイトである。よって、本実施の形態によれば、同期情報の通信量を、従来の１／３０００に低減できる。
【０１８６】
（第２の実施の形態）
第２の実施の形態の通信制御装置２０は、端末装置３０に認証要求の再送を要求するのでなく、受信した認証要求を転送する。
【０１８７】
第２の実施の形態の分散認証システムの構成は、第１の実施の形態の分散認証システム（図１）と同一である。よって、説明を省略する。また、第２の実施の形態の分散認証システムの処理は、端末装置３０Ｂを用いる認証処理を除き、第１の実施の形態の分散認証システムの処理（図１３〜図１７）と同一である。よって、同一の処理は、説明を省略する。
【０１８８】
ユーザＸが、端末装置３０Ｂを用いて認証を要求する場合を説明する。なお、端末装置３０Ｂは、ユーザＸのユーザＩＤ及びパスワードが登録されている通信制御装置２０Ａが属さないドメイン１０Ｂに設置されている。
【０１８９】
図２２は、第２の実施の形態の分散認証システムの認証処理のシーケンス図である。
【０１９０】
ユーザＸは、認証情報の登録時に付与されたユーザＩＤ及びパスワードを、端末装置３０Ｂに入力する。すると、端末装置３０Ｂは、入力されたユーザＩＤ及びパスワードを含む認証要求を通信制御装置２０Ｂに送信する（Ｓ５１）。
【０１９１】
通信制御装置２０Ｂは、認証要求を受信する。次に、受信した認証要求から、ユーザＩＤを抽出する。次に、抽出したユーザＩＤから、通信制御装置番号を抽出する。
【０１９２】
次に、通信制御装置２０Ｂは、通信制御装置アドレステーブル５００を参照することによって、認証要求の宛先を判定する（Ｓ５２）。具体的には、抽出した通信制御装置番号と通信制御装置アドレステーブル５００の通信制御装置番号５００１とが一致するレコードを選択する。次に、選択したレコードから、ＩＰアドレス５００２を抽出する。
【０１９３】
次に、通信制御装置２０Ｂは、抽出したＩＰアドレス５００２宛てに、受信した認証要求を転送する（Ｓ５３）。
【０１９４】
すると、通信制御装置２０Ａは、通信制御装置２０Ｂから認証要求を受信する。そして、通信制御装置２０Ａは、認証処理を行う（Ｓ５４）。
【０１９５】
具体的には、通信制御装置２０Ａは、受信した認証要求から、ユーザＩＤ及びパスワードを抽出する。次に、抽出したユーザＩＤとユーザ認証テーブル２０４４のユーザＩＤ２０４４１とが一致するレコードを、ユーザ認証テーブル２０４４から選択する。次に、抽出したパスワードと選択したレコードのパスワード２０４４２とが合致するかどうかを判定する。
【０１９６】
パスワードが合致しないと、通信制御装置２０Ａは、ユーザＸの認証に失敗したと判定する。すると、通信制御装置２０Ａは、ネットワークへのアクセスの不許可を端末装置３０Ｂに通知する。端末装置３０Ｂは、ネットワークへのアクセスの不許可の通知を受けると、当該通知を出力する。
【０１９７】
一方、パスワードが合致すると、通信制御装置２０Ａは、ユーザＸの認証に成功したと判定する。すると、通信制御装置２０Ａは、通信制御装置２０Ｂ及び端末装置３０Ｂに、ネットワークへのアクセスの許可を通知する（Ｓ５５）。
【０１９８】
通信制御装置２０Ｂは、ネットワークへのアクセスの許可の通知を受けると、端末装置３０Ｂからの通信データをＩＰネットワーク１００に転送するようにネットワークアクセス制御を行う（Ｓ５６）。一方、端末装置３０Ｂは、ネットワークへのアクセスの許可の通知を受けると、当該通知を出力する。
【０１９９】
図２３は、第２の実施の形態の通信制御装置２０の認証処理のフローチャートである。
【０２００】
このフローチャートは、認証要求を送信する端末装置３０と同一のドメイン１０に所属する通信制御装置２０に関するものである。
【０２０１】
まず、通信制御装置２０は、認証要求を端末装置３０から受信したかどうかを判定する（Ｆ６０２）。通信制御装置２０は、認証要求を受信していない場合、認証要求を受信するまで待機する（Ｆ６０１）。
【０２０２】
通信制御装置２０は、認証要求を受信すると、通信制御装置アドレステーブル５００を参照して、認証要求の宛先を判定する（Ｆ６０３）。
【０２０３】
具体的には、通信制御装置２０は、受信した認証要求から、ユーザＩＤを抽出する。次に、抽出したユーザＩＤから、通信制御装置番号を抽出する。次に、抽出した通信制御装置番号と通信制御装置アドレステーブル５００の通信制御装置番号５００１とが一致するレコードを選択する。次に、選択したレコードから、ＩＰアドレス５００２を抽出する。
【０２０４】
次に、通信制御装置２０は、受信した認証要求が自装置宛てであるかどうかを判定する（Ｆ６０４）。具体的には、抽出したＩＰアドレス５００２が「ｎｕｌｌ」であると、認証要求が自装置宛てであると判定する。
【０２０５】
通信制御装置２０は、認証要求が自装置宛てでないと、抽出したＩＰアドレス５００２宛てに、受信した認証要求を転送する（Ｆ６０５）。
【０２０６】
次に、通信制御装置２０は、ネットワークアクセス許可を受信したかどうかを判定する（Ｆ６０７）。通信制御装置２０は、ネットワークアクセス許可を受信していない場合、受信するまで待機する（Ｆ６０６）。
【０２０７】
通信制御装置２０は、ネットワークアクセス許可を受信すると、当該端末装置３０からの通信データをＩＰネットワーク１００に転送するようにネットワークアクセス制御を行う（Ｆ６０８）。
【０２０８】
そして、通信制御装置２０は、ステップＦ６０１に戻る。
【０２０９】
一方、通信制御装置２０は、ステップＦ６０４において、認証要求が自装置宛てであると判定すると、認証処理を行う（Ｆ６０９）。そして、認証に成功したかどうかを判定する（Ｆ６１０）。
【０２１０】
具体的には、通信制御装置２０は、受信した認証要求から、ユーザＩＤ及びパスワードを抽出する。次に、抽出したユーザＩＤとユーザ認証テーブル２０４４のユーザＩＤ２０４４１とが一致するレコードを、ユーザ認証テーブル２０４４から選択する。次に、抽出したパスワードと選択したレコードのパスワード２０４４２とが合致するかどうかを判定する。
【０２１１】
パスワードが合致しないと、通信制御装置２０は、ユーザの認証に失敗したと判定する。すると、通信制御装置２０は、ネットワークへのアクセスの不許可を端末装置３０に通知する（Ｆ６１４）。そして、通信制御装置２０は、ステップＦ６０１に戻る。
【０２１２】
一方、パスワードが合致すると、通信制御装置２０は、ユーザの認証に成功したと判定する。すると、通信制御装置２０は、端末装置３０のネットワークへのアクセスを許可する（Ｆ６１１）。そこで、通信制御装置２０は、端末装置３０からの通信データをＩＰネットワーク１００に転送するようにネットワークアクセス制御を行う（Ｆ６１２）。次に、通信制御装置２０は、ネットワークへのアクセスの許可を端末装置３０に通知する（Ｆ６１３）。そして、通信制御装置２０は、ステップＦ６０１に戻る。
【０２１３】
図２４は、第２の実施の形態の通信制御装置２０の認証処理のフローチャートである。
【０２１４】
このフローチャートは、認証要求を送信する端末装置３０と同一のドメイン１０に属さない通信制御装置２０に関するものである。
【０２１５】
まず、通信制御装置２０は、他の通信制御装置２０から認証要求を受信したかどうかを判定する（Ｆ７０２）。通信制御装置２０は、認証要求を受信していない場合、認証要求を受信するまで待機する（Ｆ７０１）。
【０２１６】
通信制御装置２０は、認証要求を受信すると、認証処理を行う（Ｆ７０３）。そして、認証に成功したかどうかを判定する（Ｆ７０４）。
【０２１７】
具体的には、通信制御装置２０は、受信した認証要求から、ユーザＩＤ及びパスワードを抽出する。次に、抽出したユーザＩＤとユーザ認証テーブル２０４４のユーザＩＤ２０４４１とが一致するレコードを、ユーザ認証テーブル２０４４から選択する。次に、抽出したパスワードと選択したレコードのパスワード２０４４２とが合致するかどうかを判定する。
【０２１８】
パスワードが合致しないと、通信制御装置２０は、ユーザの認証に失敗したと判定する。すると、通信制御装置２０は、ネットワークへのアクセスの不許可を、端末装置３０及び他の通信制御装置２０に通知する（Ｆ７０７）。そして、通信制御装置２０は、ステップＦ７０１に戻る。
【０２１９】
一方、パスワードが合致すると、通信制御装置２０は、ユーザの認証に成功したと判定する。すると、通信制御装置２０は、端末装置３０のネットワークへのアクセスを許可する（Ｆ７０５）。そこで、通信制御装置２０は、ネットワークへのアクセスの許可を、端末装置３０及び他の通信制御装置２０に通知する（Ｆ７０６）。そして、通信制御装置２０は、ステップＦ７０１に戻る。
【０２２０】
図２５は、第２の実施の形態の端末装置３０の認証処理のフローチャートである。
【０２２１】
端末装置３０は、ユーザＩＤ及びパスワードをユーザから入力される。すると、端末装置３０は、入力されたユーザＩＤ及びパスワードを含む認証要求を、同一ドメイン１０に設置されている通信制御装置２０に送信する（Ｆ８０１）。
【０２２２】
次に、端末装置３０は、ネットワークアクセス許可通知を通信制御装置２０から受信したかどうかを判定する（Ｆ８０３）。端末装置３０は、ネットワークアクセス許可通知を受信していない場合、受信するまで待機する（Ｆ５０２）。
【０２２３】
端末装置３０は、ネットワークアクセス許可通知を受信すると、ネットワークにアクセスする（Ｆ８０４）。
【図面の簡単な説明】
【０２２４】
【図１】第１の実施の形態の分散認証システムのブロック図である。
【図２】第１の実施の形態の通信制御装置のブロック図である。
【図３】第１の実施の形態の通信制御装置のアクセス回線終端処理部のブロック図である。
【図４】第１の実施の形態の通信制御装置の受信パケット処理部のブロック図である。
【図５】第１の実施の形態の通信制御装置の送信パケット処理部のブロック図である。
【図６】第１の実施の形態の通信制御装置のバックボーン回線終端処理部のブロック図である。
【図７】第１の実施の形態の通信制御装置のアクセス制御部のブロック図である。
【図８】第１の実施の形態の通信制御装置の認証処理部のブロック図である。
【図９】第１の実施の形態の通信制御装置の通信制御装置アドレステーブルの構成図である。
【図１０】第１の実施の形態の通信制御装置のユーザ認証テーブルの構成図である。
【図１１】第１の実施の形態のユーザＩＤの説明図である。
【図１２】第１の実施の形態の端末装置のブロック図である。
【図１３】第１の実施の形態の分散認証システムの同期化処理のシーケンス図である。
【図１４】第１の実施の形態の通信制御装置の同期化処理のフローチャートである。
【図１５】第１の実施の形態の分散認証システムの認証情報登録処理のシーケンス図である。
【図１６】第１の実施の形態の通信制御装置の認証情報登録処理のフローチャートである。
【図１７】第１の実施の形態の分散認証システムの認証処理のシーケンス図である。
【図１８】第１の実施の形態の分散認証システムの認証処理のシーケンス図である。
【図１９】第１の実施の形態の通信制御装置の認証処理のフローチャートである。
【図２０】第１の実施の形態の通信制御装置の認証処理のフローチャートである。
【図２１】第１の実施の形態の端末装置の認証処理のフローチャートである。
【図２２】第２の実施の形態の分散認証システムの認証処理のシーケンス図である。
【図２３】第２の実施の形態の通信制御装置の認証処理のフローチャートである。
【図２４】第２の実施の形態の通信制御装置の認証処理のフローチャートである。
【図２５】第２の実施の形態の端末装置の認証処理のフローチャートである。
【符号の説明】
【０２２５】
１０Ａ、１０Ｂ、１０Ｃ  ドメイン
２０Ａ、２０Ｂ、２０Ｃ  通信制御装置
３０Ａ、３０Ｂ、３０Ｃ  端末装置
４０Ａ、４０Ｂ、４０Ｃ  アクセス回線
５０Ａ、５０Ｂ、５０Ｃ  バックボーン回線
１００  ＩＰネットワーク
２０１  アクセス回線終端処理部
２０２  バックボーン回線終端処理部
２０３  アクセス制御部
２０４  認証処理部
２０５  通信バス
５００  通信制御装置アドレステーブル
２０４４  ユーザ認証テーブル
【図１】
2007108907.tif 000003
【図２】
2007108907.tif 000004
【図３】
2007108907.tif 000005
【図４】
2007108907.tif 000006
【図５】
2007108907.tif 000007
【図６】
2007108907.tif 000008
【図７】
2007108907.tif 000009
【図８】
2007108907.tif 000010
【図９】
2007108907.tif 000011
【図１０】
2007108907.tif 000012
【図１１】
2007108907.tif 000013
【図１２】
2007108907.tif 000014
【図１３】
2007108907.tif 000015
【図１４】
2007108907.tif 000016
【図１５】
2007108907.tif 000017
【図１６】
2007108907.tif 000018
【図１７】
2007108907.tif 000019
【図１８】
2007108907.tif 000020
【図１９】
2007108907.tif 000021
【図２０】
2007108907.tif 000022
【図２１】
2007108907.tif 000023
【図２２】
2007108907.tif 000024
【図２３】
2007108907.tif 000025
【図２４】
2007108907.tif 000026
【図２５】
2007108907.tif 000027