JP4594969B2 - 無線ｌａｎ用アクセスポイント、プログラムおよび記録媒体 - Google Patents

Description

本発明は、複数台の端末と共同して無線ＬＡＮ(Local Area Network)を構築し、前記複数台の端末間において信号を中継する機能を有する無線ＬＡＮ用アクセスポイントに関し、特に、その無線ＬＡＮ用アクセスポイントとそれに無線接続されるべき各端末とに共通のセキュリティレベルを有する暗号化方式を選択する技術の改良に関する。

互いに離れて位置する複数台の端末（例えば、パーソナルコンピュータＰＣ、携帯情報端末ＰＤＡの如き携帯端末、コンピュータを備えた情報処理装置など）間における無線通信を可能にする技術として無線ＬＡＮ(Local Area Network)が既に普及している。

この無線ＬＡＮは、複数台の端末（子機）が、それら端末に共通のアクセスポイント（親機）に無線接続されることによって構築され、この無線ＬＡＮにおいては、アクセスポイントが、複数台の端末間において信号を中継する機能を果たす。

一方、この無線ＬＡＮに参加する各端末のユーザは、同じ無線ＬＡＮに参加する他の端末との通信をセキュアな環境において行いたいと要望する場合がある。この要望を満たすために、例えば特許文献１および２に開示されているように、無線ＬＡＮにおいて、アクセスポイントと各端末との間において暗号化通信が行われる。
特開２００５−１７５５２４号公報 特開２００５−３１１６５３号公報

無線ＬＡＮにおいて、アクセスポイントと各端末との間において暗号化通信を行うためには、その開始に先立ち、それらアクセスポイントと各端末とのそれぞれにつき、それらに共通のセキュリティレベルを有する暗号化方式を設定しなければならない。

一方、同じアクセスポイントに参加する複数台の端末が、常に、暗号化のためのプロファイル（各端末が対応可能である複数のセキュリティレベルのうち最高のものを意味する暗号化能力に関する条件を含む。）に関して互いに共通するとは限らない。なぜなら、暗号化能力が低い端末（例えば、ゲーム機）と、暗号化能力が高い端末（例えば、ＰＣ)とが、同じアクセスポイントを共有する場合があるからである。

同じアクセスポイントに参加しようとする複数台の端末が暗号化能力に関して互いに一致しない場合には、それら端末がそれぞれ最終的に採用することになるセキュリティレベルが、それら端末のうち最低の暗号化能力を有する端末の暗号化能力を表すセキュリティレベルに一律に低下させられてしまう。

以上説明した事情を背景にして、本発明は、複数台の端末と共同して無線ＬＡＮを構築し、前記複数台の端末間において信号を中継する機能を有する無線ＬＡＮ用アクセスポイントにおいて、その無線ＬＡＮ用アクセスポイントとそれに無線接続されるべき各端末とに共通のセキュリティレベルを有する暗号化方式を選択する技術を改良することを課題としてなされたものである。

本発明によれば、上記課題を解決するために、複数台の端末と共同して無線ＬＡＮ(Local Area Network)を構築し、前記複数台の端末間において信号を中継する機能を有する無線ＬＡＮ用アクセスポイントであって、複数の論理的または物理的なサブアクセスポイントであって、それぞれが固有の識別子を有して互いに識別可能であるとともに、それぞれが互いに独立して動作可能であるものを含み、それらサブアクセスポイントは、複数の通常サブアクセスポイントと、それら通常サブアクセスポイントについて共通に使用される特殊サブアクセスポイントとを含み、各通常サブアクセスポイントは、その使用中に各通常サブアクセスポイントが対応可能である少なくとも１つの暗号化方式を有し、各通常サブアクセスポイントには、前記少なくとも１つの暗号化方式が、各通常サブアクセスポイントごとにセキュリティレベルが最高である暗号化方式の種類が各通常サブアクセスポイントごとに異なるように、予め割り当てられており、前記特殊サブアクセスポイントは、各通常サブアクセスポイントの動作開始に先立ち、前記少なくとも一台の端末との間において、セキュリティレベルに関するセキュリティ情報を交換し、その交換が終了すると、前記セキュリティ情報に基づいて選択された暗号化方式のもとに、各通常サブアクセスポイントと前記少なくとも一台の端末との間における通信が可能となる無線ＬＡＮ用アクセスポイントが提供される。

本発明によって下記の各態様が得られる。各態様は、項に区分し、各項には番号を付し、必要に応じて他の項の番号を引用する形式で記載する。これは、本発明が採用し得る技術的特徴の一部およびそれの組合せの理解を容易にするためであり、本発明が採用し得る技術的特徴およびそれの組合せが以下の態様に限定されると解釈すべきではない。すなわち、下記の態様には記載されていないが本明細書には記載されている技術的特徴を本発明の技術的特徴として適宜抽出して採用することは妨げられないと解釈すべきなのである。

さらに、各項を他の項の番号を引用する形式で記載することが必ずしも、各項に記載の技術的特徴を他の項に記載の技術的特徴から分離させて独立させることを妨げることを意味するわけではなく、各項に記載の技術的特徴をその性質に応じて適宜独立させることが可能であると解釈すべきである。

（１） 複数台の端末と共同して無線ＬＡＮ(Local Area Network)を構築し、前記複数台の端末間において信号を中継する機能を有する無線ＬＡＮ用アクセスポイントであって、
複数の論理的または物理的なサブアクセスポイントであって、それぞれが固有の識別子を有して互いに識別可能であるとともに、それぞれが互いに独立して動作可能であるものを含み、
それらサブアクセスポイントは、複数の通常サブアクセスポイントを含み、
各通常サブアクセスポイントは、その使用中に各通常サブアクセスポイントが対応可能である少なくとも１つの暗号化方式を有し、
各通常サブアクセスポイントには、前記少なくとも１つの暗号化方式が、各通常サブアクセスポイントごとにセキュリティレベルが最高である暗号化方式の種類が各通常サブアクセスポイントごとに異なるように、予め割り当てられている
無線ＬＡＮ用アクセスポイント。

この無線ＬＡＮ用アクセスポイントは、採用可能な暗号化方式の種類に関して互いに独立した複数の通常サブアクセスポイントを有し、それら通常サブアクセスポイントには、それぞれ暗号化能力が互いに異なるように、各通常サブアクセスポイントがその使用中に対応可能である暗号化方式（すなわち、ユーザが各通常サブアクセスポイントを見たときに、各通常サブアクセスポイントが対応可能である暗号化方式であり、各通常サブアクセスポイントが、出荷以前において、潜在的に対応可能である暗号化方式ではない）が予め割り当てられている。

したがって、ある端末（例えば、当該無線ＬＡＮ用アクセスポイントが属する無線ＬＡＮにこれから参加しようとする新規端末）が最終的に採用することになる暗号化方式を、当該無線ＬＡＮ用アクセスポイントと共通する暗号化方式として選択しようとする際に、前記複数の通常サブアクセスポイントのうち、その端末の暗号化能力に見合った暗号化能力を有するものを、その端末が無線接続すべき通常サブアクセスポイントとして選択することができる。

ユーザが、他の端末についても同様にして通常サブアクセスポイントを選択するようにすれば、暗号化能力が大きく異なる複数台の端末が同じ通常サブアクセスポイントに接続されることが回避される。その結果、複数台の端末を当該無線ＬＡＮ用アクセスポイントに接続することが必要である場合に、それら端末がそれぞれ最終的に採用することになる暗号化方式のセキュリティレベルが、それら端末のうち暗号化能力が最低であるものの暗号化能力に対応するセキュリティレベルに低下せずに済む。

また、ユーザは、暗号化能力が大きく異なる複数台の端末を当該無線ＬＡＮ用アクセスポイントに接続することが必要である場合には、それら端末を、それぞれの暗号化能力を踏まえて、暗号化能力が互いに異なる複数の通常サブアクセスポイントにそれぞれ割り当てることができる。このようにすれば、各端末の暗号化能力が無駄に犠牲になることなく、複数台の端末を当該無線ＬＡＮ用アクセスポイント（１台の親機）に接続することが可能となる。

各通常サブアクセスポイントが、その使用中に対応可能である暗号化方式の数は、１つでも、複数でもよい。対応可能である暗号化方式の数が１つである場合には、その通常サブアクセスポイントに接続可能な端末の種類が暗号化方式の種類に関して制限されることになる。その反面、通常サブアクセスポイントが最終的に採用することになるセキュリティレベルが、その通常サブアクセスポイントに接続される端末のセキュリティレベルが原因で低下してしまうことが回避される。

（２） 各通常サブアクセスポイントごとに、各通常サブアクセスポイントに無線接続されるべき少なくとも１台の端末が最終的に採用することになる暗号化方式のセキュリティレベルを、他の通常サブアクセスポイントに属する他の端末が対応可能である暗号化方式のセキュリティレベルとは無関係に選択するセレクタを含む（１）項に記載の無線ＬＡＮ用アクセスポイント。

この無線ＬＡＮ用アクセスポイントによれば、ある通常サブアクセスポイントに属する端末が最終的に採用することになる暗号化方式のセキュリティレベルが、その通常サブアクセスポイントに属する他の端末が対応可能なセキュリティレベルには依存するが、他の通常サブアクセスポイントに属する他の端末が対応可能なセキュリティレベルに依存することなく選択される。

したがって、この無線ＬＡＮ用アクセスポイントによれば、各通常サブアクセスポイントに属する端末が最終的に採用することになる暗号化方式のセキュリティレベルが、他の通常サブアクセスポイントに属する他の端末が対応可能なセキュリティレベルが低いことが原因で低下してしまうことが防止される。

（３） 前記セレクタは、各通常サブアクセスポイントごとに、各通常サブアクセスポイントが対応可能であるセキュリティレベルと、前記少なくとも１台の端末が対応可能であるセキュリティレベルとに関して、その少なくとも１台の端末と当該無線ＬＡＮ用アクセスポイントとの間においてネゴシエーションを行い、それにより、各通常サブアクセスポイントごとに、前記少なくとも１台の端末が最終的に採用することになる暗号化方式のセキュリティレベルを選択し、
前記複数のサブアクセスポイントは、さらに、前記ネゴシエーションを行うために前記少なくとも１台の端末との間において暗号鍵を交換する特殊サブアクセスポイントを含み、
その特殊サブアクセスポイントは、前記複数の通常サブアクセスポイントについて共通に使用される（２）項に記載の無線ＬＡＮ用アクセスポイント。

この無線ＬＡＮ用アクセスポイントは、複数のサブアクセスポイントを、互いに独立して動作可能な状態で有するとともに、それらサブアクセスポイントが、主にデータ通信のための複数の通常サブアクセスポイントに加えて、主に鍵交換用の特殊サブアクセスポイントを有するように構成される。

その特殊サブアクセスポイントは、通常サブアクセスポイントから独立して動作可能であるため、無線ＬＡＮに参加しようとする新規端末と当該無線ＬＡＮ用アクセスポイントとの間において鍵交換を行うために、いずれの通常サブアクセスポイントも使用せずに済む。したがって、鍵交換のために、いずれの通常サブアクセスポイントによるデータ通信も一時的に途絶せずに済む。

（４） 当該無線ＬＡＮ用アクセスポイントと少なくとも１台の端末との間の接続を確立するために当該無線ＬＡＮ用アクセスポイントに対してユーザが第１のリクエストを行うことに応答して、前記複数の通常サブアクセスポイントのうち、それに接続可能な端末が存在するものを起動を開始させる一方、存在しないものを停止させる起動・停止手段を含む（１）ないし（３）項のいずれかに記載の無線ＬＡＮ用アクセスポイント。

この無線ＬＡＮ用アクセスポイントによれば、複数の通常サブアクセスポイントのうち、接続可能な端末が存在しないものが停止させられるため、動作不要の通常サブアクセスポイントが動作させられることに起因する不都合（例えば、当該無線ＬＡＮ用アクセスポイントに課される無駄な負荷やデータ通信のセキュリティの低下）を回避することが容易となる。

（５） 当該無線ＬＡＮ用アクセスポイントと前記少なくとも１台の端末との間の接続が確立された後に、各通常サブアクセスポイントごとに、その通常サブアクセスポイントにいずれの端末も接続されていないか否かを判定し、前記複数の通常サブアクセスポイントのうち、いずれの端末とも接続されていないものを停止させる停止手段を含む（４）項に記載の無線ＬＡＮ用アクセスポイント。

この無線ＬＡＮ用アクセスポイントによれば、例えば、ある端末が無線ＬＡＮに参加した後にその無線ＬＡＮから脱退したことが原因で、いずれの端末にも接続されていない通常サブアクセスポイントが発生すると、その通常サブアクセスポイントが停止させられる。

（６） 当該無線ＬＡＮ用アクセスポイントと前記少なくとも１台の端末との間の接続が確立された後に、その少なくとも１台の端末とは別の少なくとも１台の端末と当該無線ＬＡＮ用アクセスポイントとの間の接続を確立するために当該無線ＬＡＮ用アクセスポイントに対してユーザが第２のリクエストを行うことに応答して、前記複数の通常サブアクセスポイントのうち、ユーザによって指定された一部の通常サブアクセスポイントまたは全部の通常サブアクセスポイントを起動させる起動手段を含む（４）または（５）項に記載の無線ＬＡＮ用アクセスポイント。

この無線ＬＡＮ用アクセスポイントによれば、例えば、ある端末を無線ＬＡＮに参加させることが必要である場合に、ユーザは、その端末が接続される可能性を有する通常サブアクセスポイントを起動させて、それら端末と通常サブアクセスポイントとの間における接続を確実に確立することが可能となる。

（７） 物理的存在としての１つの物理ＭＡＣ(Media Access Control)を含み、
その物理ＭＡＣは、それぞれ互いに異なるセキュリティレベルでの暗号化通信を時分割的に行わせられることにより、複数の仮想ＭＡＣとして機能させられ、
それら複数の仮想ＭＡＣは、それぞれ互いに異なる識別子を予め割り当てられ、
前記複数の論理的なサブアクセスポイントは、前記複数の仮想ＭＡＣをそれぞれ含むように構成される（１）ないし（６）項のいずれかに記載の無線ＬＡＮ用アクセスポイント。

この無線ＬＡＮ用アクセスポイントによれば、ＭＡＣを多重化することに伴うハードウエア構成の大規模化および複雑化が招来されずに済む。

（８） （２）もしくは（３）項に記載のセレクタ、（４）項に記載の起動・停止手段、（５）項に記載の停止手段または（６）項に記載の起動手段を機能させるためにコンピュータによって実行されるプログラム。

本項に係るプログラムは、それの機能を果たすためにコンピュータにより実行される指令の組合せのみならず、各指令に従って処理されるファイルやデータをも含むように解釈することが可能である。

また、このプログラムは、それ単独でコンピュータにより実行されることにより、所期の目的を達するものとしたり、他のプログラムと共にコンピュータにより実行されることにより、所期の目的を達するものとすることができる。後者の場合、本項に係るプログラムは、データを主体とするものとすることができる。

（９） （８）項に記載のプログラムをコンピュータ読取り可能に記録した記録媒体。

この記録媒体は種々な形式を採用可能であり、例えば、フレキシブル・ディスク等の磁気記録媒体、ＣＤ、ＣＤ−ＲＯＭ等の光記録媒体、ＭＯ等の光磁気記録媒体、ＲＯＭ等のアンリムーバブル・ストレージ等のいずれかを採用し得る。

以下、本発明のさらに具体的な実施の形態のいくつかを図面に基づいて詳細に説明する。

図１には、本発明の一実施形態に従う無線ＬＡＮ用アクセスポイント（以下、「ＡＰ」と略称する。）１０を有する無線ＬＡＮシステム１２のハードウェア構成が斜視図で示されている。

＜無線ＬＡＮの構成＞

この無線ＬＡＮシステム１２においては、ＡＰ１０を介して複数台の端末（無線端末）２０，２２，２４が相互に無線接続され、それにより、無線ＬＡＮ３０が構築されている。この無線ＬＡＮ３０は、後述のように、ルータ３２を介して、ＷＡＮ(Wide Area Network)またはグローバルネットワークとしてのインターネット３４に接続されている。

＜ＡＰの機能＞

ＡＰ１０は、よく知られているように、無線基地局であり、親機とも称される。ＡＰ１０は、よく知られているように、ＡＰ１０が属する無線ＬＡＮ３０において各端末２０，２２，２４が他の端末と無線通信するためのアクセス権限をコントロールする機能や、暗号鍵（例えば、ＷＥＰキー、ＴＫＩＰキー、ＡＥＳキー）を利用した暗号化無線通信のためのセキュリティレベル（暗号化強度）をコントロールする機能を有する。

＜端末の機能＞

各端末２０，２２，２４は、同じ無線ＬＡＮ３０に属する他の端末との間において無線通信する機能を有し、同じ無線ＬＡＮ３０に属するＡＰ１０との関係においてステーション（各図においては、「ＳＴＡ」と略称する。）または子機と称される。各端末２０，２２，２４は、種々の方式を採用することが可能であり、例えば、パーソナルコンピュータＰＣとしたり、携帯情報端末ＰＤＡとしたり、コンピュータを組み込んだ情報処理装置とすることが可能である。

＜ＡＰのハードウエア構成＞

図１に示すように、ＡＰ１０は、ハウジング４０を備えている。このハウジング４０内に種々のハードウエア部品が収容される。図２には、ＡＰ１０のハードウエア構成がブロック図で概念的に表されている。図２に示すように、ＡＰ１０は、コンピュータを主体として構成されている。そのコンピュータは、よく知られているように、ＣＰＵ５０と、ＲＯＭ５２と、ＲＡＭ５４と、ハードディスク等、データを不揮発的に記憶することが可能な記憶装置５６とが、バス５８によって相互に電気的に接続されることによって構成されている。

図２に示すように、ＡＰ１０は、さらに、各端末２０，２２，２４との無線接続のための無線通信インタフェース６０と、ＷＡＮ（例えば、インターネット３４）との接続のためのＷＡＮポート６２と、図示しない有線ＬＡＮとの接続のためのＬＡＮポート６４とを、それぞれがバス５８に接続された状態で備えている。

無線通信インタフェース６０には、電波を送信する送信機６６と、電波を受信する受信機６８とが接続されている。それら送信機６６および受信機６８は、外部への電波の送信や外部からの電波の受信が可能な状態で、ＡＰ１０に内蔵されている。

ＡＰ１０は、さらに、ユーザからの情報の入出力を可能にする入出力コントローラ７０と、ユーザへの情報の表示を可能にするディスプレイコントローラ７２とを、それぞれがバス５８に接続された状態で備えている。

入出力コントローラ７０には、プッシュ式のワンタッチ登録ボタン８０が接続されている。このワンタッチ登録ボタン８０は、図３（ａ）に示すように、ＡＰ１０のハウジング４０の表面において露出した操作部８１を有するようにハウジング４０に取り付けられている。このワンタッチ登録ボタン８０の機能は後述するが、このワンタッチ登録ボタン８０の押下げ状態が、入出力コントローラ７０を介して、ＣＰＵ５０によって検出可能となっている。図３（ａ）において、符号８２は、送信機６６と受信機６８とに使用されるアンテナを示す。

これに対し、図２に示すように、ディスプレイコントローラ７２には、無線ＬＡＮ３０の接続状態や通信状態を点灯・点滅等によって表示する各種の表示ランプ８４が接続されている。

図１に示すように、ＡＰ１０のＷＡＮポート６２には、モデムを内蔵したルータ３２がケーブル３３を介して接続されている。ルータ３２は、各端末２０，２２，２４に予め割り当てられたＭＡＣアドレスにより、各端末２０，２２，２４を識別することができる。

各端末２０，２２，２４のユーザは、自己の端末をＡＰ１０および、ユーザが契約したプロバイダ９０を通じてインターネット３４に接続し、そのインターネット３４上のサーバ９２から、所望のウェブコンテンツ等の種々の情報を取得することができる。

＜ＭＡＣの仮想的多重化＞

ＡＰ１０は、後に詳述するが、無線ＬＡＮ３０上で通信される信号についての複数の暗号化方式であってそれぞれ互いに異なる複数のセキュリティレベルを有するものに対応することが可能であるように設計されている。

そのため、ＡＰ１０においては、ＣＰＵ５０によって実行されるべき、ＭＡＣ(Media Access Control)実現のためのソフトウエア（プログラム）がＲＯＭ５２に記憶されることにより、図４に概念的にブロック図で表すように、ハードウエア部品としてのＭＡＣ１００が実現されている。

図４に示すように、本実施形態においては、そのＭＡＣ１００は、物理的には１個しか存在しないがそれぞれ互いに異なる複数のセキュリティレベルでの暗号化通信を時分割的に行うことが可能な複数の仮想的なＭＡＣ（図４に示す例においては、仮想的なＭＡＣの数は３個であり、以下、「ＭＡＣ１」，「ＭＡＣ２」および「ＭＡＣ３」と称する。）として機能する。それら仮想的なＭＡＣ１ないし３は、ＣＰＵ５０により、実質的に並列的に動作させられる。ハウジング４０が、それら仮想的なＭＡＣ１ないし３に共通に設けられていることはもちろんである。

したがって、ＡＰ１０は、図４に示すように、上述のＭＡＣ実現用ソフトウエアの実装により、みかけ上、互いに独立して動作する複数の仮想的なサブアクセスポイント（以下、「サブＡＰ」という。）として動作するように設計されている。すなわち、本実施形態においては、ＡＰ１０が、各端末２０，２２，２４との実質的な通信を行うために、暗号化方式の種類を差別化することが可能な複数個のサブＡＰとして仮想的に多重化されているのである。

それらサブＡＰの数（図４に示す例においては、３個であり、以下、「サブＡＰ１」，「サブＡＰ２」および「サブＡＰ３」と称する。）は、上述の仮想的なＭＡＣ１ないし３と同数である。

さらに、本実施形態においては、後述のように、暗号化方式を各サブＡＰごとに選択するために必要な情報を取得するために、その選択に先立ち、各端末２０，２２，２４とＡＰ１０との間においてセキュリティレベルに関する情報が交換される。

そのセキュリティレベル情報を交換するためには、同じ端末から見えるアクセスポイントの数が単一である方が好都合であるため、本実施形態においては、セキュリティレベル情報交換（鍵交換）に専用の１つのサブＡＰが鍵交換用特殊サブＡＰ_Ｚとして追加的に用いられる。この鍵交換用特殊サブＡＰ_Ｚは、複数のサブＡＰ１ないし３のための鍵交換手続に共通に使用される。この鍵交換用特殊サブＡＰ_Ｚは、図示しない仮想的なＭＡＣ_Ｚによって動作させられる。

＜暗号化方式の個別的選択＞

図４に示すように、各サブＡＰごとに、固有の識別番号であるＳＳＩＤ(Service Set ID)が予め割り当てられている。さらに、各サブＡＰごとに、各サブＡＰが採用する暗号化方式の種類（図４においては、「ＳｅｃＴｙｐｅ」で表す。）と、各サブＡＰが採用する暗号鍵の値（図４においては、「ＳｅｃＫｅｙ」で表す。）とが関連付けられる。同様に、各端末ごとに、各端末２０，２２，２４が利用すべきサブＡＰのＳＳＩＤと、各端末２０，２２，２４が採用する暗号化方式の種類と、各端末が採用する暗号鍵の値とが関連付けられる。

図４に示す一例においては、仮想ＭＡＣ１を利用するサブＡＰ１が、１台の端末Ｎｏ．１に割り当てられ、仮想ＭＡＣ２を利用するサブＡＰ２が、１台の端末Ｎｏ．２に割り当てられ、仮想ＭＡＣ３を利用するサブＡＰ３が、互いに異なるセキュリティレベルを有する２台の端末Ｎｏ．３およびＮｏ．４に割り当てられている。

ＡＰ１０は、後に詳述するが、各サブＡＰごとに（すなわち、各仮想ＭＡＣごとに）、各端末２０，２２，２４との無線ＬＡＮ通信の確立に先立ち、各端末２０，２２，２４が対応可能な暗号化方式に適合するように、各仮想ＭＡＣ１，２，３が採用する暗号化方式を選択するように設計されている。

具体的には、各仮想ＭＡＣ１，２，３が、選択可能な複数の暗号化方式であってセキュリティレベルが互いに異なるものを有し、最終的に採用される暗号化方式のセキュリティレベルに関して選択的であることを前提にして、ＡＰ１０は、各サブＡＰごとに（すなわち、各仮想ＭＡＣごとに）、前記複数の暗号化方式のうちのいずれかを、各仮想ＭＡＣ１，２，３に無線接続されようとする端末が対応可能な暗号化方式のセキュリティレベルに応じて選択するように設計されている。

それら複数の暗号化方式として、例えば、いずれも規格ＩＥＥＥ８０２．１１において定義されるＡＥＳと、ＴＫＩＰと、ＷＥＰ１２８と、ＷＥＰ６４とが使用される。いずれの暗号化方式も、秘密鍵暗号方式（データの暗号化と暗号化されたデータの復号化とに共通する暗号鍵を使用する方式）の暗号化技術である。それら４種類の暗号化方式は、その列記された順序でセキュリティレベルが低下するように定義されている。すなわち、ＷＥＰ６４に近づくほど、送受信されるデータの脆弱性が増加し、逆に、ＡＥＳに近づくほど、送受信されるデータの機密性が向上するように定義されているのである。

本実施形態においては、複数のサブＡＰ１ないし３に、各サブＡＰごとにセキュリティレベルが最高である暗号化方式の種類がそれらサブＡＰ間において互いに異なるように、対応可能な暗号化方式が予め割り当てられている。

一例においては、図５に示すように、サブＡＰ１には、対応可能な暗号化方式としてＡＥＳ（最高セキュリティレベルの暗号化方式）のみが、サブＡＰ２には、対応可能な暗号化方式としてＴＫＩＰ（最高セキュリティレベルの暗号化方式）のみが、サブＡＰ３には、暗号化方式としてＷＥＰ１２８およびＷＥＰ６４の２種類（ＷＥＰ１２８が、最高セキュリティレベルの暗号化方式）が、それぞれ予め割り当てられる。

このように、図５に示す例においては、サブＡＰ１ないし３に、各サブＡＰごとにセキュリティレベルが最高である暗号化方式の種類がそれらサブＡＰ１ないし３の間において互いに異なるように、対応可能な暗号化方式が予め割り当てられている。

ただし、複数のサブＡＰに対する暗号化方式の割り当て手法は、これに限定されず、例えば、それらサブＡＰ１ないし３のうちの一部である複数のサブＡＰに共通に、セキュリティレベルが互いに異なる複数の暗号化方式（例えば、ＡＥＳ，ＴＫＩＰ，ＷＥＰ１２８およびＷＥＰ６４）のセットを、対応可能な暗号化方式として予め割り当てることが可能である。

図５に示す例においては、ＡＰ１０に無線接続されるべき４台の端末が上から下に向かって、暗号化能力が低下する順に並べられ、その順序に従って、暗号化能力が順に低下する３つのサブＡＰにそれぞれ割り当てられる。この割り当ては、本実施形態においては、ユーザによって行われるが、ＣＰＵ５０が特定のプログラムを実行することによって自動的に行われるようにしてもよい。

具体的には、最も高い暗号化能力を有する端末Ｎｏ．１は、最も高い暗号化能力を有するサブＡＰ１に割り当てられ、２番目に高い暗号化能力を有する端末Ｎｏ．２は、２番目に高い暗号化能力を有するサブＡＰ２に割り当てられ、３番目に高い暗号化能力を有する端末Ｎｏ．３および最も低い暗号化能力を有する端末Ｎｏ．４はいずれも、最も低い暗号化能力を有するサブＡＰ３に割り当てられる。

図５に示す例においては、端末Ｎｏ．１が最終的に採用することになるセキュリティレベル（図５においては、四角の枠で囲まれている。）は、他の端末Ｎｏ．２ないしＮｏ．４がそれぞれ対応可能なセキュリティレベルとは無関係に決まり、また、端末Ｎｏ．２が最終的に採用することになるセキュリティレベルも、同様に、他の端末Ｎｏ．１、Ｎｏ．３およびＮｏ．４がそれぞれ対応可能なセキュリティレベルとは無関係に決まる。なぜなら、それら端末Ｎｏ．１およびＮｏ．２はいずれも、他の端末と共に、同じサブＡＰを共有するわけではないからである。

これに対し、図５に示すように、端末Ｎｏ．３が最終的に採用することになるセキュリティレベルは、端末Ｎｏ．１およびＮｏ．２がそれぞれ対応可能なセキュリティレベルとは無関係に決まるが、端末Ｎｏ．４が対応可能なセキュリティレベルを考慮して決めなければならない。

同様に、端末Ｎｏ．４が最終的に採用することになるセキュリティレベルは、端末Ｎｏ．１およびＮｏ．２がそれぞれ対応可能なセキュリティレベルとは無関係に決まるが、端末Ｎｏ．３が対応可能なセキュリティレベルを考慮して決めなければならない。なぜなら、それら端末Ｎｏ．３およびＮｏ．４は、同じサブＡＰを共有し、かつ、そのサブＡＰは、対応可能な暗号化方式を２種類有するからである。

各端末２０，２２，２４につき、最終的に採用されることになるセキュリティレベルを決定する手法のいくつかの具体例が日本国の公開公報である特開２００５−１７５５２４号公報および特開２００５−３１１６５３号公報に詳細に開示されている。したがって、ここではその手法につき、重複した説明を省略する。それら公報は、引用により、その全体が本明細書に合体させられる。

＜ＡＰのソフトウエア構成＞

図２に示すＲＯＭ５２には、無線ＬＡＮ３０内の端末２０，２２，２４との通信や、インターネット３４との接続に関する各種のプログラムと、そのプログラムの実行に必要なデータとが予め格納されている。

具体的には、ＲＯＭ５２に予め格納されているプログラムは、（ａ）前述のＭＡＣ実現用プログラム（図示しない）と、（ｂ）各端末２０，２２，２４との接続を確立するためにＣＰＵ５０によって実行される接続確立プログラム（図６参照）と、（ｃ）各端末２０，２２，２４に予め割り当てられたＭＡＣアドレスを各サブＡＰごとに登録するためにＣＰＵ５０によって実行されるＭＡＣアドレス登録プログラム（図示しない）とを有する。

図６に示す接続確立プログラムは、後に詳述するが、（ａ）上述のようにして暗号化方式を各サブＡＰごとに選択するためにＣＰＵ５０によって実行される暗号化方式選択モジュールと、（ｂ）最終的に採用されることになる暗号鍵を各サブＡＰごとに設定するためにＣＰＵ５０によって実行される暗号鍵設定モジュールと、（ｃ）各サブＡＰの起動・停止を制御するためにＣＰＵ５０によって実行される起動・停止モジュールとを有する。

＜端末のハードウエア構成＞

各端末２０，２２，２４は、図３（ｃ）に示すように、よく知られているように、コンピュータ１０８を主体として構成されている。そのコンピュータ１０８は、よく知られているように、ＣＰＵ１１０，ＲＯＭ１１２およびＲＡＭ１１４がバス１１６によって互いに接続されて構成されている。各端末２０，２２，２４は、さらに、記憶装置１１８としてのハードディスクやＣＤ−ＲＯＭドライブ等を備えている。

各端末２０，２２，２４には、図１および、１台の端末２０のみを代表的に示す図３（ｂ）に示すように、ＡＰ１０との間での電波の送受信を可能にする無線ＬＡＮ接続用デバイスとして、無線ＬＡＮアダプタ１２０，１２２，１２４が着脱可能に装着されている。

各無線ＬＡＮアダプタ１２０，１２２，１２４のデバイスドライバが、対応する端末２０，２２，２４にインストールされ、それにより、各端末２０，２２，２４は、装着された無線ＬＡＮアダプタ１２０，１２２，１２４を認識し、無線ＬＡＮアダプタ１２０，１２２，１２４を制御することが可能となる。無線ＬＡＮアダプタ１２０，１２２，１２４にはそれぞれ、固有の識別番号であるＭＡＣアドレスが予め割り当てられている。

各無線ＬＡＮアダプタ１２０，１２２，１２４には、図３（ｂ）に示すように、ワンタッチ登録ボタン１３０，１３２，１３４が取り付けられている。各ワンタッチ登録ボタン１３０，１３２，１３４の機能は後述するが、それぞれの押下げ状態が、対応する端末２０，２２，２４のＣＰＵ１１０によって検出可能となっている。

＜端末のソフトウエア構成＞

各端末２０，２２，２４のＲＯＭ１１２には、無線ＬＡＮ３０の使用に先立って特定のユーティリティプログラムがインストールされる。そのユーティリティプログラムは、（ａ）対応可能な複数の暗号化方式の中から、最終的に採用されることになる暗号化方式を選択するためにＣＰＵ１１０によって実行される暗号化方式選択モジュールと、（ｂ）最終的に採用されることになる暗号鍵を設定するためにＣＰＵ１１０によって実行される暗号鍵設定モジュールとを有する。

次に、図６（ａ）および（ｂ）にそれぞれ示す２つのフローチャートを参照することにより、ＡＰ１０と各端末２０，２２，２４との間において接続を確立するためにＡＰ１０と各端末２０，２２，２４とにおいてそれぞれ実行される処理を詳細に説明する。

図６（ａ）に示すフローチャートは、各端末２０，２２，２４において実行される接続処理であり、これは、各端末２０，２２，２４のＣＰＵ１１０が前記暗号化方式選択モジュールと前記暗号鍵設定モジュールとを実行する処理に相当する。これに対し、図６（ｂ）に示すフローチャートは、ＡＰ１０において実行される接続処理であり、これは、ＡＰ１０のＣＰＵ５０が前記暗号化方式選択モジュールと前記暗号鍵設定モジュールと前記起動・停止モジュールとを実行する処理に相当する。

各端末２０，２２，２４のユーザは、ＡＰ１０との接続を希望する場合には、その接続に先立ち、ＡＰ１０のワンタッチ登録ボタン８０と、複数個のワンタッチ登録ボタン１３０，１３２，１３４のうち、自己の端末（以下、「対象端末」という。）に装着されている無線ＬＡＮアダプタ１２０，１２２，１２４に対応するものとを一緒に操作する。

図６に示すステップＳ１００において、対象端末のＣＰＵ１１０が、対応するワンタッチ登録ボタン１３０，１３２，１３４のユーザによる操作を検出すると、次に、ステップＳ１０１において、ワンタッチ登録モードが開始される。

ワンタッチ登録モードが開始されると、対象端末は、対応する無線ＬＡＮアダプタ１２０，１２２，１２４のＭＡＣアドレスを特定し、無線ＬＡＮ３０に参加することを要求するデータに、そのＭＡＣアドレスをヘッダ情報として付加してなるパケットを、接続可能にアクセスポイントに向けて送信する。そのＭＡＣアドレスを受信したアクセスポイントは、そのＭＡＣアドレスを登録する。

続いて、ステップＳ１０２において、ステップＳ１０１の実行終了時から所定時間が経過したか否かが判定される。今回は、所定時間が経過していないと仮定すれば、その判定がＮＯとなり、ステップＳ１０３において、ワンタッチ登録モードに移行したアクセスポイントが探索される。

対象端末と通信可能なアクセスポイントが、今回は、ＡＰ１０のみであると仮定すると、このステップＳ１０３においては、結局、ＡＰ１０がワンタッチ登録モードに移行したか否かが判定されることになる。ただし、本実施形態においては、ＡＰ１０が仮想的に１つの鍵交換用特殊サブＡＰ_Ｚとして機能し、その鍵交換用特殊サブＡＰ_Ｚは、特定のビーコンを送出する。

その送出されたビーコンを対象端末が受信すると、その対象端末は、ワンタッチ登録モードに移行したアクセスポイント（今回は、ＡＰ１０（＝鍵交換用特殊サブＡＰ_Ｚ））が存在すると判定し、ステップＳ１０３の判定がＹＥＳとなる。このステップＳ１０３の判定がＮＯであると、ステップＳ１０２に戻る。ステップＳ１０１の実行終了時からの経過時間が前記所定時間を超えないうちにステップＳ１０３の判定がＹＥＳとなれば、ステップＳ１０４に進むが、そうではない場合には、ステップＳ１１２に進み、ワンタッチ登録モードが中断される。この場合には、以上で、今回の接続処理が終了する。

ステップＳ１０４においては、対象端末が、ワンタッチ登録モードに移行したＡＰ１０に対して接続を試行する。その後、ステップＳ１０５において、その接続の試行回数が所定回数を超えたために再試行を終了させるべきであるか否かが判定される。その試行回数が所定回数を超えた場合には、ステップＳ１０５の判定がＹＥＳとなり、ステップＳ１０２の判定がＮＯである場合と同様に、ステップＳ１１２において、ワンタッチ登録モードが中断される。

試行回数が前記所定回数を超えることなく、対象端末が、ワンタッチ登録モードに移行したＡＰ１０との接続に成功すると、ステップＳ１０５の判定がＹＥＳとなり、ステップＳ１０６に移行する。

このステップＳ１０６においては、後に詳述するが、対象端末が、ＡＰ１０（正確には、鍵交換用特殊サブＡＰ_Ｚ）との間において、セキュリティレベルに関する情報を表すパケット同士の交換を行う。すなわち、対象端末が、ＡＰ１０との間において、暗号化方式の種類すなわち暗号化能力に関するネゴシエーションを行うのである。

続いて、ステップＳ１０７において、一連のパケット交換処理が完了したか否かが判定され、完了していなければ、ステップＳ１０６に戻り、完了したならば、ステップＳ１０８に進む。したがって、ステップＳ１０６の反復的実行が必要回数行われることにより、一連のパケット交換処理が完了する。

ところで、対象端末のユーザは、その対象端末のワンタッチ登録ボタン１３０，１３２，１３４を操作する時期とほぼ同じ時期に、ＡＰ１０のワンタッチ登録ボタン８０を操作するため、そのＡＰ１０においても、接続処理が開始される。

この際、ユーザは、図示しない操作部を操作することにより、ＡＰ１０が多重的に仮想化された複数のサブＡＰのうちのいずれかを対象サブＡＰとして選択したうえで、ワンタッチ登録ボタン８０を操作すると、ユーザは、その対象サブＡＰに対し、一度に１台の端末２０，２２または２４のみとの接続を要求することができる。

したがって、同じ対象サブＡＰに結果的に複数台の端末２０，２２，２４を接続することが必要である場合には、ユーザがワンタッチ登録ボタン８０と、複数台の端末２０，２２，２４のうちユーザによって選択された１台の端末のワンタッチ登録ボタン１３０との両方を操作するごとに、同じ対象サブＡＰに１台ずつ、その選択された端末２０，２２または２４が接続されることになる。

ただし、ワンタッチ登録ボタン８０を操作すると、ユーザは、対象サブＡＰに対し、一度に複数台の端末２０，２２，２４との接続を要求することができる態様で本発明を実施することが可能である。

なお付言するに、本実施形態においては、前述のように、複数のサブＡＰに、各サブＡＰごとにセキュリティレベルが最高である暗号化方式の種類がそれらサブＡＰ間において互いに異なるように、対応可能な暗号化方式が予め割り当てられている。したがって、ユーザは、例えば図５に示す例の如き手法に従い、対象端末に適合するセキュリティレベル、すなわち、対象端末の暗号化能力を踏まえて、それらサブＡＰのうちのいずれかを対象サブＡＰとして選択することになる。

上記接続処理においては、具体的には、まず、ステップＳ２００において、ＡＰ１０のＣＰＵ５０が、ユーザによるワンタッチ登録ボタン８０の操作を検出すると、次に、ステップＳ２０１において、ワンタッチ登録モードが開始される。

ワンタッチ登録モードが開始されると、図７に示すように、ステップＳ６０１において、鍵交換用特殊サブＡＰ_Ｚの動作が開始される。具体的には、鍵交換用特殊サブＡＰ_Ｚが有効にされるとともに、鍵交換用特殊サブＡＰ_Ｚが前述の特定のビーコンを送出し、さらに、鍵交換用特殊サブＡＰ_Ｚが、対象端末から、それのＭＡＣアドレスを含むパケットを受信し、その受信したパケットを登録する。

続いて、図６（ｂ）に示すステップＳ２０２において、ステップＳ１０１の実行終了時から所定時間が経過したか否かが判定される。今回は、所定時間が経過していないと仮定すれば、その判定がＮＯとなり、ステップＳ２０３が、ステップＳ１０６とほぼ同じ時期に実行される。これに対し、今回は、ステップＳ１０１の実行終了時からの経過時間が前記所定時間を経過したと仮定すれば、ステップＳ２０２の判定がＮＯとなり、ステップＳ２０８に進み、ワンタッチ登録モードが中断される。この場合には、以上で、今回の接続処理が終了する。

ステップＳ２０３においては、後に詳述するが、ＡＰ１０（正確には、鍵交換用特殊サブＡＰ_Ｚ）が、対象端末との間において、セキュリティレベルに関する情報を表すパケット同士の交換を行う。すなわち、ＡＰ１０が、対象端末との間において、ＡＰ１０が対応可能な暗号化方式の種類すなわち暗号化能力に関するネゴシエーションを行うのである。

続いて、ステップＳ２０４において、一連のパケット交換処理が完了したか否かが判定され、完了していなければ、ステップＳ２０２に戻り、完了したならば、ステップＳ２０５に進む。したがって、ステップＳ２０３の反復的実行が必要回数行われることにより、一連のパケット交換処理が完了する。

以上説明したように、ステップＳ１０６およびＳ２０３が、対象端末およびＡＰ１０（正確には、鍵交換用特殊サブＡＰ_Ｚ）においてそれぞれ、互いにほぼ同じ時期に実行されることにより、それら対象端末とＡＰ１０との間において、セキュリティレベルに関する情報を表すパケット同士の交換が行われる。

＜セキュリティレベルに関する情報の交換＞

ここで、それらステップＳ１０６およびＳ２０３において、セキュリティレベルに関する情報を対象端末とＡＰ１０との間において交換するために実行されるパケット交換処理を時系列的にさらに詳細に説明する。ステップＳ１０６の詳細は図８（ａ）、ステップＳ２０３の詳細は図８（ｂ）にそれぞれフローチャートで表されている。

サブステップ１

まず、対象端末から、ＡＰ１０に向けて、セキュリティ情報を作成することをＡＰ１０に要求するためのリクエストを送出する。

サブステップ２

次に、ＡＰ１０から、対象端末に向けて、上記リクエストに対するレスポンスを表すリプライを送出する。このとき、ＡＰ１０は、最初に、セキュリティ情報の作成リクエストを受領した時点で、各サブＡＰごとに、その使用中にＡＰ１０が対応可能である複数の暗号化方式のすべてにつき、個々に、暗号化方式の種類であるＳｅｃＴｙｐｅと、暗号鍵の値であるＳｅｃＫｅｙとを決定する。これにより、セキュリティ情報、すなわち、対応可能な暗号化方式の種類に関する情報が作成される。

本実施形態においては、ＡＰ１０が、前述のように、各端末２０，２２，２４との実質的な通信を行うために、暗号化方式の種類を差別化することが可能な複数のサブＡＰとして仮想的に多重化されている。すなわち、ＡＰ１０は、マルチＡＰモードとして動作可能であるように設計されているのである。

サブステップ３

続いて、対象端末から、ＡＰ１０に向けて、その対象端末が対応可能である少なくとも１つの暗号化方式の種類を表すデータを送出する。例えば、対象端末が、図５において端末Ｎｏ．１で示すように、ＡＥＳと、ＴＫＩＰと、ＷＥＰ１２４と、ＷＥＰ６４とに対応可能である場合には、それら４つの暗号化方式の種類を表すデータをＡＰ１０に対して送出する。

サブステップ４

その後、ＡＰ１０は、受信したデータに基づき、対象端末が対応可能である暗号化方式を特定し、それを踏まえて、ＡＰ１０が、各サブＡＰごとに、対応可能な暗号化方式を絞り込む。

具体的には、図５に示すように、今回のサブＡＰが対応可能である暗号化方式がＡＥＳのみであり、かつ、対象端末が、図５において端末Ｎｏ．１で示すように、ＡＥＳとＴＫＩＰとＷＥＰ１６８とＷＥＰ６４とに対応可能である場合には、対象サブＡＰと対象端末とが、互いに共通して対応可能である暗号化方式が、ＡＥＳのみとなる。よって、この場合には、対象端末の都合により、対象サブＡＰが対応可能である暗号化方式がＡＥＳのみに絞り込まれる。

また、図５に示すように、今回のサブＡＰが対応可能である暗号化方式がＴＫＩＰとＷＥＰ１２８とＷＥＰ６４との３種類であり、かつ、対象端末が、図５において端末Ｎｏ．３で示すように、ＴＫＩＰとＷＥＰ１６８とＷＥＰ６４とに対応可能である端末と、端末Ｎｏ．４で示すように、ＷＥＰ１２８とＷＥＰ６４とに対応可能である端末とを含む場合には、対象サブＡＰとそれら２台の対象端末とが、互いに共通して対応可能である暗号化方式が、ＷＥＰ１２８とＷＥＰ６４との２種類となる。よって、この場合には、対象端末の都合により、サブ対象サブＡＰが対応可能である暗号化方式が、ＷＥＰ１２８およびＷＥＰ６４の２種類に絞り込まれる。

以上説明した処理が、対象端末におけるステップＳ１０６とＡＰ１０におけるステップＳ２０３とが実行されることによって行われるセキュリティ情報パケットの交換処理である。このパケット交換処理中は、対象端末とＡＰ１０とは、相手側ＭＡＣアドレスを特定した上で暗号化を行って互いに交信している。

一連のパケット交換処理が完了すると、ＡＰ１０は、図６（ｂ）に示すように、ステップＳ２０５において、複数のサブＡＰのうち、対象端末に接続される予定のもの（以下、「対象サブＡＰ」という。）について、セキュリティレベルに関する情報が設定される。

このステップＳ２０５においては、図８（ｂ）に詳細に示すように、まず、ステップＳ４０１において、ＡＰ１０（正確には、対象サブＡＰ）が、対象端末から通知された暗号化方式の種類の中からセキュリティレベルが最高であるものを、最終的に採用する暗号化方式の候補である候補暗号化方式として選択する。

このステップＳ４０１が実行されると、例えば、対象端末から、暗号化方式としてＡＥＳとＴＫＩＰとＷＥＰ１２８とＷＥＰ６４とが通知された場合には、セキュリティレベルが最高である暗号化方式は、ＡＥＳであり、これが、候補暗号化方式として選択される。

その後、ステップＳ４０２において、対象サブＡＰは、ステップＳ４０１において選択された候補暗号化方式のセキュリティレベルと、現在の最高セキュリティレベルとを互いに比較する。ここで、「現在の最高セキュリティレベル」とは、対象サブＡＰが対応可能である少なくとも１つの暗号化方式を、上述のようにして、対象端末が対応可能な暗号化方式をもとに絞り込んだ暗号化方式の中でセキュリティレベルが最も高いものを意味する。

なお付言するに、対象端末が、対象サブＡＰが最初にセキュリティ情報パケットの交換処理を行った端末である場合には、その交換処理の時点では、対象サブＡＰが採用する暗号化方式が、その対象端末から通知された暗号化方式の中のセキュリティレベルが最高のものと一致する。

しかし、対象端末が、対象サブＡＰが最初にセキュリティ情報パケットの交換処理を行った端末ではない場合には、その交換処理の時点では、対象サブＡＰが採用する暗号化方式が、過去に無線接続された別の端末が対応可能な暗号化方式のもとにセキュリティレベルが低下させられている可能性があるため、対象端末から通知された暗号化方式の中のセキュリティレベルが最高のものと一致するとは限らない。

今回は、候補暗号化方式のセキュリティレベルが、現在の最高セキュリティレベルより高いと仮定すると、ステップＳ４０２の判定がＹＥＳとなり、ステップＳ４０３において、対象サブＡＰが採用する暗号化方式がこれまでと同じものに維持され、その結果、対象サブＡＰのセキュリティレベルが、現在の最高セキュリティレベルに維持される。

これに対して、今回は、候補暗号化方式のセキュリティレベルが、現在の最高セキュリティレベルと一致するかまたはそれより低いと仮定すると、ステップＳ４０２の判定がＮＯとなり、ステップＳ４０４において、候補暗号化方式が、対象サブＡＰが採用する暗号化方式として採用される。

なお付言するに、それらステップＳ４０２ないしＳ４０４の実行内容は、ユーザがセキュリティレベルを設定する際のポリシーの一例を反映するものであるから、これに限定されない。

ＡＰ１０の側におけるセキュリティ情報のパケット交換処理を終了すると、図６に示すように、ステップＳ２０５において、ステップＳ２０３の実行結果が反映されるようにセキュリティ情報が設定される。

具体的には、図８に示すステップＳ４０３またはＳ４０４の実行によって決定された暗号化方式の種類が、（ａ）対象サブＡＰと対象端末との間の暗号化通信において最終的に採用することになる暗号化方式の種類であることと、（ｂ）その種類の暗号化方式に対応する対象端末のＩＤ（すなわち、ステーションＩＤ）と暗号鍵の値とが、その後の無線通信のための暗号化と復号化とに採用される旨の情報が設定される。

その後、図６に示すステップＳ２０６において、各サブＡＰごとに、動作の開始または停止が行われる。

このステップＳ２０６の詳細が、図９にフローチャートで概念的に表されている。このステップＳ２０６においては、まず、ステップＳ５０１において、サブＡＰ１に接続可能な端末の情報が存在するか否かが判定される。存在する場合には、ステップＳ５０２において、サブＡＰ１の動作が開始されるが、存在しない場合には、ステップＳ５０３において、サブＡＰ１の動作が停止させられる。

いずれの場合にも、その後、ステップＳ５０４において、サブＡＰ２に接続可能な端末の情報が存在するか否かが判定される。存在する場合には、ステップＳ５０５において、サブＡＰ２の動作が開始されるが、存在しない場合には、ステップＳ５０６において、サブＡＰ２の動作が停止させられる。

いずれの場合にも、その後、ステップＳ５０７において、サブＡＰ３に接続可能な端末の情報が存在するか否かが判定される。存在する場合には、ステップＳ５０８において、サブＡＰ３の動作が開始されるが、存在しない場合には、ステップＳ５０９において、サブＡＰ３の動作が停止させられる。

以上のようにして図６に示すステップＳ２０６の実行が終了すると、続いて、ステップＳ２０７において、動作中の各サブＡＰにつき、ＡＰ１０の動作モードがワンタッチ登録モードから通常の無線交信モードに切り替えられる。ステップＳ２０２の判定がＹＥＳとなった場合にも、同様に、ステップＳ２０８において、ワンタッチ登録モードが終了させられるが、この場合には、パケット通信もセキュリティレベルの登録も完了していない状態でワンタッチ登録モードが終了させられる。

これに対し、対象端末の側においては、一連のパケット交換が完了すると、ステップＳ１０８において、ステップＳ１０７の判定がＹＥＳとなった時期からの経過時間が所定時間を超えたか否かが判定される。今回は、所定時間を超えていないと仮定すると、ステップＳ１０９において、ＡＰ１０から受信したセキュリティ情報から、動作中のサブＡＰであって無線交信モードにあるものが発見されたか否かが判定される。

具体的には、まず、対象端末は、アクセス可能なサブＡＰのＳＳＩＤを取得する。この手続は、規格ＩＥＥＥ８０２．１１に規定された通信に関する仕様に従って実行されるものであり、対象端末においては、サブＡＰから送出された特定のビーコンを受信することにより、現在アクセス可能なサブＡＰのＳＳＩＤを取得することができる。なぜなら、その特定のビーコンに、サブＡＰのＳＳＩＤが埋め込まれているからである。さらに、その取得されたサブＡＰのＳＳＩＤと、先に受信したセキュリティ情報とが互いに比較される。その比較により、サブＡＰが、対象端末との通信（暗号化および復号化）のために採用する暗号化方式と暗号鍵の値とが特定される。

ステップＳ１０７の判定がＹＥＳとなった時期からの経過時間が前記所定時間を超えないうちに、動作中のサブＡＰであって無線交信モードにあるものを発見することができなかった場合には、ステップＳ１０９の判定がＮＯとなった後にステップＳ１０８がＹＥＳ
となり、その後、ステップＳ１１２において、今回のワンタッチ登録モードが中断される。

これに対し、ステップＳ１０７の判定がＹＥＳとなった時期からの経過時間が前記所定時間を超えないうちに、動作中のサブＡＰであって無線交信モードにあるものを発見することができた場合には、ステップＳ１０８の判定がＹＥＳとなる前にステップＳ１０９の判定がＹＥＳとなり、その結果、ステップＳ１１０に進む。

このステップＳ１１０においては、発見されたサブＡＰの状態に合わせて、そのサブＡＰから受信したセキュリティ情報が対象端末内に設定される。その結果、対象端末においては、サブＡＰから受信したセキュリティ情報に含まれる暗号化方式の種類と暗号鍵の値とが、対象端末において、その後の暗号化と復号化とに利用される。

その後、ステップＳ１１１において、対象端末が、発見されたサブＡＰに接続される。対象端末は、続いて、そのサブＡＰとの接続状態を定期的に監視するために接続監視モードを開始する。

対象端末が、ＡＰ１０との接続状態を定期的に監視する手法のいくつかの具体例が日本国の公開公報である特開２００５−１７５５２４号公報および特開２００５−３１１６５３号公報に詳細に開示されている。したがって、ここではその手法につき、重複した説明を省略する。それら公報は、引用により、その全体が本明細書に合体させられる。

＜初期設定後におけるサブＡＰの停止＞

本実施形態においては、ＡＰ１０が、ワンタッチ登録ボタン８０の初回の操作に応答して少なくとも１つの端末２０，２２，２４との接続が確立された後、すなわち、それぞれが採用すべき暗号化方式の種類に関する初回のネゴシエーションの終了後に、各サブＡＰごとに、各端末２０，２２，２４との接続状態を定期的に監視するように設計されている。ＡＰ１０は、さらに、その接続監視中、いずれの端末２０，２２，２４とも接続されていないサブＡＰについては、その動作を停止させるように設計されている。

そのために、サブＡＰ停止プログラムがＡＰ１０のＣＰＵ５０によって実行される。そのサブＡＰ停止プログラムは、ＲＯＭ５２に予め格納されている。

図１０には、そのサブＡＰ停止プログラムがフローチャートで概念的に表されている。このサブＡＰ停止プログラムが起動すると、まず、ステップＳ６０１において、サブＡＰ１に少なくとも１つの端末２０，２２，２４が接続中であるか否かが判定される。今回は、サブＡＰ１にいずれの端末２０，２２，２４も接続されていないと仮定すると、ステップＳ６０１の判定がＮＯとなり、ステップＳ６０２において、サブＡＰ１の動作が停止させられる。

これに対し、今回は、サブＡＰ１に少なくとも１つの端末２０，２２，２４が接続中であると仮定すれば、ステップＳ６０１の判定がＹＥＳとなり、ステップＳ６０２がスキップされた後、ステップＳ６０３に移行する。

このステップＳ６０３においては、サブＡＰ２に少なくとも１つの端末２０，２２，２４が接続中であるか否かが判定される。今回は、サブＡＰ２にいずれの端末２０，２２，２４も接続されていないと仮定すれば、ステップＳ６０３の判定がＮＯとなり、ステップＳ６０４において、サブＡＰ２の動作が停止させられる。

これに対し、今回は、サブＡＰ２に少なくとも１つの端末２０，２２，２４が接続中であると仮定すれば、ステップＳ６０３の判定がＹＥＳとなり、ステップＳ６０４がスキップされた後、ステップＳ６０５に移行する。

このステップＳ６０５においては、サブＡＰ３に少なくとも１つの端末２０，２２，２４が接続中であるか否かが判定される。今回は、サブＡＰ３にいずれの端末２０，２２，２４も接続されていないと仮定すれば、ステップＳ６０５の判定がＮＯとなり、ステップＳ６０６において、サブＡＰ３の動作が停止させられる。

これに対し、今回は、サブＡＰ３に少なくとも１つの端末２０，２２，２４が接続中であると仮定すれば、ステップＳ６０５の判定がＹＥＳとなり、ステップＳ６０６がスキップされた後、ステップＳ６０７に移行する。

このステップＳ６０７においては、一定時間が経過するのが待たれる。その後、ステップＳ６０１ないしＳ６０６の２回目の実行が行われる。それらステップＳ６０１ないしＳ６０７の実行は、ＡＰ１０の電源がオフにされるまで、反復され、その結果、各サブＡＰごとに、各端末２０，２２，２４との接続状態が定期的に監視される。

このサブＡＰ停止プログラムが実行されるおかげで、ワンタッチ登録ボタン８０の初回の操作に応答してＡＰ１０と複数の端末２０，２２，２４との間に接続が確立された後に少なくとも１つの端末２０，２２，２４が無線ＬＡＮ３０から脱退し、かつ、その脱退に伴って動作不要となったサブＡＰが出現した場合に、そのサブＡＰが無駄に動作状態に維持されてしまうことが防止される。一方、動作不要となったサブＡＰを停止させることは、ＡＰ１０のセキュリティを向上させる観点や、ＡＰ１０を動作させるためにＡＰ１０に課される負荷を低減させる観点から望ましい。

＜初期設定後におけるサブＡＰの起動＞

本実施形態においては、ＡＰ１０が、ワンタッチ登録ボタン８０の初回の操作に応答して少なくとも１つの端末２０，２２，２４との接続が確立された後、すなわち、それぞれが採用すべき暗号化方式の種類に関する初回のネゴシエーションの終了後に、ワンタッチ登録ボタン８０がユーザによって再度操作されるごとに、またはワンタッチ登録ボタン８０とは別の操作部材がユーザによって操作されるごとに、各操作に応答して、すべてのサブＡＰの動作を開始するように設計されている。

そのために、サブＡＰ開始プログラムがＡＰ１０のＣＰＵ５０によって実行される。そのサブＡＰ開始プログラムは、ＲＯＭ５２に予め格納されている。

図１１には、そのサブＡＰ開始プログラムがフローチャートで概念的に表されている。このサブＡＰ開始プログラムが起動すると、ステップＳ７０１において、すべてのサブＡＰ、すなわち、本実施形態においては、サブＡＰ１ないし３の動作が開始される。

このサブＡＰ開始プログラムが実行されるおかげで、ワンタッチ登録ボタン８０の初回の操作に応答してＡＰ１０と少なくとも１つの端末２０，２２，２４との接続が確立された後に別の端末が無線ＬＡＮ３０に加入しようとし、かつ、その加入に伴って動作が必要となったサブＡＰが出現した場合に、そのサブＡＰが停止状態に維持されて無線ＬＡＮ３０のリソースの全体を効率よく利用できない事態の発生が防止される。

本実施形態においては、複数のサブＡＰおよび複数の端末２０，２２，２４がそれぞれ採用すべき暗号化方式の種類を決定するための初回のネゴシエーションの終了後に、ワンタッチ登録ボタン８０がユーザによって再度操作される（前記（６）項における「第２のリクエスト」の一例）か、またはワンタッチ登録ボタン８０とは別の操作部材がユーザによって操作される（前記（６）項における「第２のリクエスト」の別の例）と、サブＡＰ開始プログラムの実行により、すべてのサブＡＰの動作が開始される。

なお付言するに、本実施形態においては、ユーザがＡＰ１０に対して上記「第１のリクエスト」および「第２のリクエスト」をそれぞれ行うために、物理的存在としてのワンタッチ登録ボタン８０またはそれとは別の操作部材が使用されるが、それらワンタッチ登録ボタン８０および別の操作部材は、同じネットワークに接続されたＰＣの画面上に表示される仮想的なボタンに変更し、そのボタンの操作に応答してそのＰＣから送信される特定の信号をＡＰ１０が受信することに応答して、ＡＰ１０が、対応する動作を開始するようにしてもよい。すなわち、ＡＰ１０に特定の動作を行わせるために物理的存在としてのワンタッチ登録ボタン８０または別の操作部材を用意することは本発明を実施するために不可欠なことではないのである。

その後、それらサブＡＰと、それらサブＡＰに現に接続されているかまたはこれから接続されようとしている端末２０，２２，２４との間における暗号化方式の種類を決定するための再度のネゴシエーションが、図６に表されるような手順で行われる。その結果、各サブＡＰごとに、各端末２０，２２，２４が採用すべき暗号化方式の種類が改めて決定される。すなわち、各サブＡＰと端末との間における最新の接続状態が反映されるように、そのサブＡＰに採用される暗号化方式のセキュリティレベルが更新されるのである。

以上の説明から明らかなように、本実施形態においては、ＡＰ１０が、対応可能なセキュリティレベルに関して多重化された複数のサブＡＰに仮想化されており、しかも、それら複数のサブＡＰが、それぞれが対応可能なセキュリティレベルの設定に関して互いに独立している。

したがって、本実施形態によれば、互いに異なる複数のサブＡＰにそれぞれ接続される複数の端末が、それぞれが対応可能なセキュリティレベルに関して互いに異なる場合に、あるサブＡＰに属する端末が最終的に採用することになるセキュリティレベルが、他のサブＡＰに属する端末が対応可能なセキュリティレベルに依存せずに済む。

その結果、例えば、あるサブＡＰに属する端末が最終的に採用することになるセキュリティレベルを決定する際に、他のサブＡＰに属する端末が対応可能なセキュリティレベルが低いことが原因で、そのあるサブＡＰに属する端末が最終的に採用することになるセキュリティレベルが低い側に引っ張られてしまうことが防止される。

ところで、従来においては、ＡＰ１０と各端末とに共通に採用される最適な暗号化方式を選択するためにそれらＡＰ１０と各端末との間において暗号鍵交換が行われる際には、データ通信に使用されるＡＰ１０のＳＳＩＤとは異なるＳＳＩＤが使用される。ＳＳＩＤの切替えが必要なのであり、そのため、暗号鍵交換の実行が原因でデータ通信が一時的に途切れてしまう。

これに対し、本実施形態においては、複数のサブＡＰが、動作上、互いに独立しており、しかも、各端末とのデータ通信のためのサブＡＰと、各端末との暗号鍵交換のためのサブＡＰとが互いに分離している。したがって、暗号鍵交換の実行が原因でデータ通信が一時的に途切れてしまう事態の発生が回避される。

以上の説明から明らかなように、本実施形態においては、説明の便宜上、サブＡＰ１ないし３がそれぞれ、前記（１）項における「通常サブアクセスポイント」の一例を構成し、ＡＰ１０の前記コンピュータのうち、図８に示すステップＳ４０１ないし４０４を実行する部分が、前記（２）項における「セレクタ」の一例を構成していると考えることが可能である。

さらに、本実施形態においては、説明の便宜上、鍵交換用特殊サブＡＰ_Ｚが前記（３）項における「特殊サブアクセスポイント」の一例を構成し、ＡＰ１０の前記コンピュータのうち、図６に示すステップＳ２０６（図９参照）を実行する部分が、前記（４）項における「起動・停止手段」の一例を構成していると考えることが可能である。

さらに、本実施形態においては、説明の便宜上、ＡＰ１０の前記コンピュータのうち、図１０に示すサブＡＰ停止プログラムを実行する部分が、前記（５）項における「停止手段」の一例を構成し、ＡＰ１０の前記コンピュータのうち、図１１に示すサブＡＰ開始プログラムを実行する部分が、前記（６）項における「起動手段」の一例を構成していると考えることが可能である。

さらに、本実施形態においては、説明の便宜上、ＭＡＣ１００が、前記（７）項における「１つの物理ＭＡＣ」の一例を構成し、各仮想ＭＡＣ１，２，３が、同項における「仮想ＭＡＣ」の一例を構成し、各仮想ＭＡＣ１，２，３のＳＳＩＤが、同項における「識別子」の一例を構成していると考えることが可能である。

なお付言するに、本実施形態においては、前記（１）項における「複数のサブアクセスポイント」が、物理的には１つしか存在しないが論理的には複数存在する仮想的なサブＡＰとして具体化されているが、これに限定されることなく、例えば、ハウジング４０内に収容された複数の物理的存在であるサブアクセスポイントとして具体化してもよい。この場合、それら複数の物理的なサブアクセスポイントはそれぞれ、対応する物理的なＭＡＣを有するように構成されることになる。

以上、本発明の実施の形態のいくつかを図面に基づいて詳細に説明したが、これらは例示であり、前記［発明の開示］の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。

本発明の一実施形態に従う無線ＬＡＮ用アクセスポイントを用いる無線ＬＡＮシステムをグローバルネットワークの一例であるインターネットと共に示す斜視図である。 図１に示す無線ＬＡＮ用アクセスポイントのハードウエア構成を概念的に表すブロック図である。 図３（ａ）は、図１に示す無線ＬＡＮ用アクセスポイントを示す斜視図であり、図３（ｂ）は、図１に示す複数の端末のうち代表的なものを、それに装着された無線ＬＡＮ接続用アダプタと共に示す斜視図であり、図３（ｃ）は、図３（ｂ）に示す端末の主体を構成するコンピュータのハードウエア構成を概念的に表すブロック図である。 図１に示す無線ＬＡＮ用アクセスポイントが、暗号化方式の種類に関して多重化された複数の仮想的なサブＡＰとして構成される様子と、それらサブＡＰに複数の端末が無線接続される様子とを説明するためのブロック図である。 図４に示す複数のサブＡＰが、対応可能なセキュリティレベルに関して互いに異なる様子と、各サブＡＰごとに、それに無線接続される端末が対応可能なセキュリティレベルに応じて、各サブＡＰが採用するセキュリティレベルが設定される様子とを説明するために表である。 図６（ａ）は、図１に示す各端末において実行される接続確立プログラムを概念的に表すフローチャートであり、図６（ｂ）は、図１に示す無線ＬＡＮ用アクセスポイントにおいて実行される接続確立プログラムを概念的に表すフローチャートである。 図６におけるステップＳ２０１の詳細を概念的に表すフローチャートである。 図８（ａ）は、図６におけるステップＳ１０６の詳細を概念的に表すフローチャートであり、図８（ｂ）は、図６におけるステップＳ２０３の詳細を概念的に表すフローチャートである。 図６におけるステップＳ２０６の詳細を概念的に表すフローチャートである。 図１に示す無線ＬＡＮ用アクセスポイントにおいて実行されるサブＡＰ開始プログラムを概念的に表すフローチャートである。 図１に示す無線ＬＡＮ用アクセスポイントにおいて実行されるサブＡＰ停止プログラムを概念的に表すフローチャートである。

Claims (9)

1. 複数台の端末と共同して無線ＬＡＮ(Local Area Network)を構築し、前記複数台の端末間において信号を中継する機能を有する無線ＬＡＮ用アクセスポイントであって、
   複数の論理的または物理的なサブアクセスポイントであって、それぞれが固有の識別子を有して互いに識別可能であるとともに、それぞれが互いに独立して動作可能であるものを含み、
   それらサブアクセスポイントは、複数の通常サブアクセスポイントと、それら通常サブアクセスポイントについて共通に使用される特殊サブアクセスポイントとを含み、
   各通常サブアクセスポイントは、その使用中に各通常サブアクセスポイントが対応可能である少なくとも１つの暗号化方式を有し、
   各通常サブアクセスポイントには、前記少なくとも１つの暗号化方式が、各通常サブアクセスポイントごとにセキュリティレベルが最高である暗号化方式の種類が各通常サブアクセスポイントごとに異なるように、予め割り当てられており、
   前記特殊サブアクセスポイントは、各通常サブアクセスポイントの動作開始に先立ち、前記少なくとも一台の端末との間において、セキュリティレベルに関するセキュリティ情報を交換し、その交換が終了すると、前記セキュリティ情報に基づいて選択された暗号化方式のもとに、各通常サブアクセスポイントと前記少なくとも一台の端末との間における通信が可能となる無線ＬＡＮ用アクセスポイント。
2. 各通常サブアクセスポイントごとに、各通常サブアクセスポイントに無線接続されるべき少なくとも１台の端末が最終的に採用することになる暗号化方式のセキュリティレベルを、他の通常サブアクセスポイントに属する他の端末が対応可能である暗号化方式のセキュリティレベルとは無関係に選択するセレクタを含む請求項１に記載の無線ＬＡＮ用アクセスポイント。
3. 前記セレクタは、各通常サブアクセスポイントごとに、各通常サブアクセスポイントが対応可能であるセキュリティレベルと、前記少なくとも１台の端末が対応可能であるセキュリティレベルとに関して、その少なくとも１台の端末と当該無線ＬＡＮ用アクセスポイントとの間においてネゴシエーションを行い、それにより、各通常サブアクセスポイントごとに、前記少なくとも１台の端末が最終的に採用することになる暗号化方式のセキュリティレベルを選択し、
   前記特殊サブアクセスポイントは、前記ネゴシエーションを行うために前記少なくとも１台の端末との間において暗号鍵を交換するために使用される請求項２に記載の無線ＬＡＮ用アクセスポイント。
4. 当該無線ＬＡＮ用アクセスポイントと少なくとも１台の端末との間の接続を確立するために当該無線ＬＡＮ用アクセスポイントに対してユーザが第１のリクエストを行うことに応答して、前記複数の通常サブアクセスポイントのうち、それに接続可能な端末が存在するものを起動を開始させる一方、存在しないものを停止させる起動・停止手段を含む請求項１ないし３のいずれかに記載の無線ＬＡＮ用アクセスポイント。
5. 当該無線ＬＡＮ用アクセスポイントと前記少なくとも１台の端末との間の接続が確立された後に、各通常サブアクセスポイントごとに、その通常サブアクセスポイントにいずれの端末も接続されていないか否かを判定し、前記複数の通常サブアクセスポイントのうち、いずれの端末とも接続されていないものを停止させる停止手段を含む請求項４に記載の無線ＬＡＮ用アクセスポイント。
6. 当該無線ＬＡＮ用アクセスポイントと前記少なくとも１台の端末との間の接続が確立された後に、その少なくとも１台の端末とは別の少なくとも１台の端末と当該無線ＬＡＮ用アクセスポイントとの間の接続を確立するために当該無線ＬＡＮ用アクセスポイントに対してユーザが第２のリクエストを行うことに応答して、前記複数の通常サブアクセスポイントのうち、ユーザによって指定された一部の通常サブアクセスポイントまたは全部の通常サブアクセスポイントを起動させる起動手段を含む請求項４または５に記載の無線ＬＡＮ用アクセスポイント。
7. 物理的存在としての１つの物理ＭＡＣ(Media Access Control)を含み、
   その物理ＭＡＣは、それぞれ互いに異なるセキュリティレベルでの暗号化通信を時分割的に行わせられることにより、複数の仮想ＭＡＣとして機能させられ、
   それら複数の仮想ＭＡＣは、それぞれ互いに異なる識別子を予め割り当てられ、
   前記複数の論理的なサブアクセスポイントは、前記複数の仮想ＭＡＣをそれぞれ含むように構成される請求項１ないし６のいずれかに記載の無線ＬＡＮ用アクセスポイント。
8. 請求項２もしくは３に記載のセレクタ、請求項４に記載の起動・停止手段、請求項５に記載の停止手段または請求項６に記載の起動手段を機能させるためにコンピュータによって実行されるプログラム。
9. 請求項８に記載のプログラムをコンピュータ読取り可能に記録した記録媒体。

Images