JP2000330897A

JP2000330897A - ファイアウォール負荷分散システム、ファイアウォール負荷分散方法および記録媒体

Info

Publication number: JP2000330897A
Application number: JP11135339A
Authority: JP
Inventors: Kyuichi Umeda; 久一梅田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 1999-05-17
Filing date: 1999-05-17
Publication date: 2000-11-30

Abstract

(57)【要約】【課題】複数のファイアウォールを有するネットワー
クシステムにおけるファイアウォールの負荷の効果的な
監視および制御により、特定のファイアウォールへの負
荷の集中を防止し、ファイアウォール数の増減に対して
も柔軟に対処する。【解決手段】ファイアウォール３〜５は、クライアン
トシステム１およびコネクション管理サーバ２を有する
ローカルエリアネットワークとインターネットとの間に
並列的に設置されている。コネクション管理サーバ２
は、クライアントシステム１と各ファイアウォール３〜
５との接続状況を管理する。コネクション管理サーバ２
は、クライアントシステム１からの要求に基づき、複数
のファイアウォール３〜５から接続負荷の低いファイア
ウォール３〜５を選択して、クライアントシステム１と
インターネットとの接続に供する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、企業内等に設置さ
れたローカルエリアネットワーク（ＬＡＮ）とインター
ネットとの間に複数のファイアウォールを並列的に設置
しているネットワークシステムに係り、特に各ファイア
ウォールの負荷を効率的に分散するファイアウォール負
荷分散システムおよびそれを実現するためのプログラム
を格納する記録媒体を提供するものである。

【０００２】

【従来の技術】企業内のローカルエリアネットワーク
（ＬＡＮ）をインターネットからの不正侵入から保護す
るために、企業内ローカルエリアネットワークとインタ
ーネットとの間にファイアウォールを設置することが行
われている。例えば、企業内ローカルエリアネットワー
クとインターネットとの間に要求される接続数に対し
て、１つのファイアウォールで処理し得る接続数が少な
い場合等には、複数のファイアウォールを並列的に設置
して、これらを選択的に用いるネットワークシステムが
構築される。

【０００３】このように、企業内ローカルエリアネット
ワークとインターネットとの間に複数のファイアウォー
ルが並列的に設置される場合、特定のファイアウォール
に負荷が集中するとそのファイアウォールで処理できる
許容限度を超えてしまうおそれがある。このため、複数
のファイアウォールを並列的に用いるシステムでは、接
続負荷の分散を考慮する必要がある。

【０００４】従来のネットワークシステムでは、複数の
ファイアウォールを並列的に用いる場合にも、複数のフ
ァイアウォールの負荷状況を集中的に管理することは行
われていなかった。このため、複数のファイアウォール
を設置している場合に負荷分散を行うには、次のような
方法を用いるしかなかった。第１の方法は、クライアン
トシステム（いわゆる「クライアント」）、または通信
相手のサーバをグループ分けし、それぞれのグループに
よって接続するファイアウォールを振り分ける方法であ
る。第２の方法は、ランダムにファイアウォールに接続
し、接続したファイアウォールがすでに最大接続数に達
していたら、改めて接続し直して別のファイアウォール
に接続する方法である。

【０００５】

【発明が解決しようとする課題】上述した第１の方法で
は、特定のクライアントグループからの通信が集中して
発生し、あるいは特定のサーバグループへの通信が集中
して発生すると、特定のファイアウォールに負荷が集中
することになるという問題がある。

【０００６】また、上述した第２の方法では、接続した
ファイアウォールが最大接続数に達している場合には、
順々にファイアウォールに接続を試みるので、最悪の場
合、一度の接続のために設置されている全てのファイア
ウォールに接続を試みることもあり得るので効率的では
ない。

【０００７】また、特公昭６３−２６８３２８号公報に
は、ネットワーク間にプロトコルを変換するゲートウェ
イを複数個設けたシステムにおいて、１つのゲートウェ
イに通信負荷が集中することを防止し、負荷分散を図る
システムが開示されている。この特公昭６３−２６８３
２８号公報のシステムでは、データ伝送に先立って通信
可能か否かをゲートウェイに問い合わせ、通信可能でな
い場合には他のゲートウェイに問い合わせるようにして
いる。この技術は、ゲートウェイをファイアウォールに
置き換えると、上述した第２の方法に類似しており、同
様の問題を有している。

【０００８】なお、その他の関連技術として、特開平４
−２６７４６５号公報、特開平５−８９０６４号公報、
特開平１０−９３６２６号公報および特開平１０−２４
３０９５号公報等があるが、いずれも複数のファイアウ
ォールを設けた場合の負荷分散に関するものではない。

【０００９】ちなみに、特開平４−２６７４６５号公報
には、業務処理を複数台のホストコンピュータで処理す
る分散処理システムにおける各ホストコンピュータの負
荷分散を目的とし、各ホストコンピュータが定期的に更
新するホスト情報テーブルのホスト情報を管理用ホスト
コンピュータが定期的に収集して、負荷状態に応じて各
ホストコンピュータの負荷を分散させる技術が開示され
ている。特開平５−８９０６４号公報には、単一のホス
トコンピュータが複数の装置制御部および装置を持ち、
各装置の負荷分散を目的として、負荷管理部が伝送路に
おける各装置の通信状態を監視し、その通信状態に応じ
て接続変更させるべく装置制御部を制御する技術が示さ
れている。特開平１０−９３６２６号公報には、データ
通信網において、通信状態監視装置が定期的に通信経路
のトラフィックを監視し、負荷の状態を把握して、分散
転送を行うことにより、負荷の分散を図る技術が開示さ
れている。そして、特開平１０−２４３０９５号公報に
は、コンピュータ内部のプロセッサの負荷分散を図るこ
とを目的とし、各プロセッサが定期的に負荷状態を負荷
分散プロセッサに送ることにより負荷の状態を把握する
技術が開示されている。

【００１０】本発明は、上述した事情に鑑みてなされた
もので、複数のファイアウォールを有するネットワーク
システムにおけるファイアウォールの負荷の効果的な監
視および制御により、特定のファイアウォールへの負荷
の集中を防止することができ、ファイアウォール数の増
減に対しても柔軟性の高いファイアウォール負荷分散シ
ステムおよび記録媒体を提供することを目的とする。

【００１１】

【課題を解決するための手段】上記目的を達成するた
め、本発明の第１の観点に係るファイアウォール負荷分
散システムは、ローカルエリアネットワークとインター
ネットとの間に複数個並列的に設置され、それぞれ前記
ローカルエリアネットワークにおける適正な通信のみを
前記インターネットとの間で接続するファイアウォール
と、前記ローカルエリアネットワーク内に設けられたク
ライアントシステムと、前記複数のファイアウォールの
インターネットに対する接続状況を監視するとともに、
前記クライアントシステムからの要求に基づき、前記複
数のファイアウォールのうち接続負荷の低いファイアウ
ォールを選択して、前記クライアントシステムの前記イ
ンターネットへの接続に供するコネクション管理サーバ
と、を具備する。

【００１２】前記コネクション管理サーバは、前記複数
のファイアウォールのインターネットに対する接続状況
を、前記複数のファイアウォールのインターネットに対
する接続数により監視する手段を含んでいてもよい。

【００１３】前記複数のファイアウォールは、それぞれ
インターネットに対する実際の接続数をカウントする接
続数カウンタ手段と、前記接続数カウンタ手段によりカ
ウントされている接続数情報を前記コネクション管理サ
ーバに通知する接続数通知手段と、を含み、且つ前記コ
ネクション管理サーバは、前記各ファイアウォールの最
大許容接続数を保持する最大接続数保持手段と、前記各
ファイアウォールから通知される実際の接続数の、それ
ぞれの前記最大許容接続数に対する比率に対応する接続
率を保持する接続状況保持手段と、を含んでいてもよ
い。

【００１４】本発明の第２の観点に係るファイアウォー
ル負荷分散システムは、第１のネットワークと第２のネ
ットワークとの間に複数個並列的に設置され、それぞれ
前記第１のネットワークにおける適正な通信のみを前記
第２のネットワークに接続するファイアウォールと、前
記第１のネットワーク内に設けられたクライアントシス
テムと、前記複数のファイアウォールを監視し、前記ク
ライアントシステムからの要求に基づき、関し結果に従
って前記複数のファイアウォールのうち所定のファイア
ウォールを選択して、前記クライアントシステムの前記
第２のネットワークへの接続に供する手段と、を具備す
る。

【００１５】本発明の第３の観点に係るファイアウォー
ル負荷分散方法は、第１のネットワークと第２のネット
ワークとの間に、それぞれ前記第１のネットワークにお
ける適正な通信のみを前記第２のネットワークに接続さ
せる装置を配置し、前記第１のネットワーク内に設けら
れたクライアントシステムからの要求に基づいて、複数
の前記装置の中から負荷の小さい所定の装置を選択し
て、前記クライアントシステムの前記第２のネットワー
クへの接続に供する。

【００１６】本発明の第４の観点に係るコンピュータ読
み取り可能な記録媒体は、コンピュータを、ローカルエ
リアネットワーク（ＬＡＮ）とインターネットとの間に
複数個並列的に配置され、それぞれ前記ローカルエリア
ネットワークにおける適正な通信のみを前記インターネ
ットとの間で接続するファイアウォール手段、および前
記複数のファイアウォール手段のインターネットに対す
る接続状況を監視するとともに、前記ローカルエリアネ
ットワーク内のクライアントシステムからの要求に基づ
き、前記複数のファイアウォール手段のうち接続負荷の
低いファイアウォール手段を選択して、前記クライアン
トシステムの前記インターネットへの接続に供するコネ
クション管理サーバ手段、として機能させるためのプロ
グラムを記録している。

【００１７】本発明のリセット処理システムにおいて
は、ローカルエリアネットワークとインターネットとの
間に複数個並列的に設置されたファイアウォールのイン
ターネットに対する接続状況を監視するコネクション管
理サーバが、ローカルエリアネットワーク内のクライア
ントシステムからの要求に基づき、前記複数のファイア
ウォールのうち接続負荷の低いファイアウォールを選択
して、前記クライアントシステムの前記インターネット
への接続に供する。したがって、各ファイアウォールの
接続状況を監視するコネクション管理サーバが、クライ
アントシステムからの要求に基づいてファイアウォール
を接続負荷を分散させるべく選択的に割り当てるので、
特定のファイアウォールへの負荷の集中を防止すること
ができ、しかも、ファイアウォール数の増減に対して
も、クライアントシステムを変更する必要がなく、高い
柔軟性を得ることができる。

【００１８】

【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。

【００１９】図１および図２を参照して本発明によるフ
ァイアウォール負荷分散システムの実施の形態を説明す
る。

【００２０】図１は、本発明の実施の形態に係るファイ
アウォール負荷分散システムの構成を示している。図１
に示すファイアウォール負荷分散システムは、クライア
ントシステム１、コネクション管理サーバ２、第１のフ
ァイアウォール３、第２のファイアウォール４および第
３のファイアウォール５を備えている。クライアントシ
ステム１およびコネクション管理サーバ２は、企業内ロ
ーカルエリアネットワーク（ＬＡＮ）内に設けられてお
り、この企業内ローカルエリアネットワークは、複数
の、すなわち第１〜第３の、ファイアウォール３〜５を
介して外部のインターネットに接続されている。第１〜
第３のファイアウォール３〜５は、企業内ローカルエリ
アネットワークとインターネットとの間に並列的に設置
されており、それぞれローカルエリアネットワークにお
ける適正な通信のみをインターネットとの間で授受し、
それ以外の通信を阻止する。第１〜第３のファイアウォ
ール３〜５における不適正な通信の阻止には、種々の手
法があり、例えば、ＩＰ（internet protocol）アドレ
スの識別によって特定のパケットだけを通過させる方
法、プロキシサーバ（proxy server：代理応答サーバ）
を用いる方法、および認証機構を利用する方法などが知
られている。コネクション管理サーバ２は、クライアン
トシステム１と各ファイアウォール３〜５との接続状
況、例えば接続数状況、を管理する。コネクション管理
サーバ２は、クライアントシステム１からの要求に基づ
き、第１〜第３のファイアウォール３〜５から接続負
荷、例えば接続数／最大接続数で求められる接続率、の
低いファイアウォール３〜５を選択して、クライアント
システム１とインターネットとの接続に供する。

【００２１】クライアントシステム１は、図１に示すよ
うに、接続先選択要求手段１１を備えている。接続先選
択要求手段１１は、コネクション管理サーバ２に接続先
ファイアウォールを問い合わせる。コネクション管理サ
ーバ２は、記憶情報として、最大接続数テーブル２１お
よび接続状況管理テーブル２２を備えている。最大接続
数テーブル２１は、各ファイアウォール３〜５の許容し
得る最大接続数を格納している。接続状況管理テーブル
２２は、各ファイアウォール３〜５の、その時点での接
続数を最大接続数で割った値、すなわち接続率を格納す
る。

【００２２】ファイアウォール３は、接続数カウンタ３
１および接続数通知手段３２を備えている。接続数カウ
ンタ３１は、このファイウォール３の接続数をカウント
する。接続数通知手段３２は、このファイウォール３の
現在の接続数をコネクション管理サーバ２に通知する。
ファイアウォール４および５も、このファイアウォール
３と同様の構成を有しているがここではその説明を省略
する。

【００２３】次に、図１および図２を参照してこの実施
の形態のファイアウォール負荷分散システムの動作につ
いて詳細に説明する。図２は、このファイアウォール負
荷分散システムにおける動作のシーケンスを示してい
る。

【００２４】クライアントシステム１は、インターネッ
ト上のサーバと通信するために、第１のファイアウォー
ル３、第２のファイアウォール４および第３のファイア
ウォール５のいずれかと接続しなければならない。この
接続に先立ち、クライアントシステム１は、接続先選択
要求手段１１により、コネクション管理サーバ２に接続
先選択要求を出す。クライアントシステム１から接続先
選択要求を受けたコネクション管理サーバ２は、接続状
況管理テーブル２２を参照し、第１〜第３のファイアウ
ォール３〜５のうちのその時点で最も接続率が低いもの
を選択し、そのアドレスをクライアントシステム１に返
す。例えば第１のファイアウォール３がその時点で最も
接続率が低いとすると、コネクション管理サーバ２によ
り、第１のファイアウォール３が選択され、そのアドレ
スがクライアントシステム１に返される。クライアント
システム１は、コネクション管理サーバ２から得たアド
レスに従って、この場合第１のファイアウォール３に接
続し、インターネット上のサーバとの通信を開始する。

【００２５】クライアントシステム１からの接続を受け
た第１のファイアウォール３は、クライアントシステム
１とインターネット上のサーバとの通信の中継を開始
し、接続数カウンタ３１を１インクリメントする（カウ
ント値を１だけ増加させる）。さらに、第１のファイア
ウォール３は、接続数通知手段３２により現在の接続数
カウンタ３１のカウント値をコネクション管理サーバ２
に転送する。

【００２６】第１のファイアウォール３から接続数カウ
ンタ３１のカウント値を受け取ったコネクション管理サ
ーバ２は、そのカウント値を最大接続数テーブル２１に
記憶している該当する第１のファイアウォール３の最大
接続数で除算して接続率を算出し、得られた接続率を接
続状況管理テーブル２２に格納する。

【００２７】このようにして、クライアントシステム１
とインターネット上のサーバとの通信を行い、クライア
ントシステム１とインターネット上のサーバとの通信が
完了すると、クライアントシステム１とファイアウォー
ル３との接続が切り離される。このとき、第１のファイ
アウォール３は、接続数カウンタ３１を１デクリメント
し（カウント値を１だ減らし）、現在の接続数カウンタ
３１のカウント値をコネクション管理サーバ２に転送す
る。

【００２８】コネクション管理サーバ２は、第１のファ
イアウォール３から与えられた接続数カウンタ３１のカ
ウント値を第１のファイアウォール３の最大接続数テー
ブル２１に格納された最大接続数で除算し、算出した接
続率を接続状況管理テーブル２２に更新格納する。

【００２９】既に述べた通り、第１のファイアウォール
３と、第２のファイアウォール４および第３のファイア
ウォール５とは、実質的に同様の構成を有しており、上
述した第１のファイアウォール３に関する動作と同様の
動作が第２のファイアウォール４および第３のファイア
ウォール５についても行われる。

【００３０】上述したように、コネクション管理サーバ
２は、第１〜第３のファイアウォール３〜５の各最大接
続数およびそれぞれの実際の接続数に基づく接続率を常
時管理している。クライアントシステム１はファイアウ
ォールへの接続に先立ち、コネクション管理サーバ２に
接続先選択要求を出す。コネクション管理サーバ２は、
接続先選択要求を受けると、第１〜第３のファイアウォ
ール３〜５の各最大接続数とそれぞれの実際の接続数か
ら、第１〜第３のフファイアウォール３〜５のうちで負
荷が最も低いものを選別し、そのファイアウォール（３
〜５のうちの１つ）のアドレスをクライアントシステム
１に返す。クライアントシステム１は、コネクション管
理サーバ２から与えられたアドレスに該当するファイア
ウォール（３〜５のうちの１つ）を経由してインターネ
ット上のサーバに接続する。

【００３１】なお、上述においては、ファイアウォール
を第１〜第３のファイアウォール３〜５の３個とした場
合について説明したが、ファイアウォールの数を、２個
または４個以上とした場合にも上述と同様にして実施す
ることができる。

【００３２】このようにして、企業内ローカルエリアネ
ットワーク等と外部のインターネットとの間に複数のフ
ァイアウォールを設置しているネットワークシステムに
おいて、複数のファイアウォールの効果的な負荷分散が
行われる。

【００３３】したがって、複数のファイアウォールのう
ちの特定のファイアウォールに負荷が集中することを、
効果的に防止することができる。なぜならば、コネクシ
ョン管理サーバが各ファイアウォールの接続状況を集中
的に管理し、接続率の低い、すなわち負荷が低いファイ
アウォールを選択して接続に用いるからである。

【００３４】また、ファイアウォールを増設あるいは削
減した場合にもクライアントシステムにおける設定変更
が不要であるという利点もある。なぜならば、クライア
ントシステムは、コネクション管理サーバから与えられ
るアドレスに従ってファイアウォールに接続すればよ
く、クライアントシステム自身がファイアウォールのア
ドレスを記憶しておく必要がないからである。

【００３５】なお、この発明のファイアウォール負荷分
散システムは、専用のシステムとして構成することな
く、通常のコンピュータシステムを用いて実現すること
ができる。例えば、コンピュータシステムに上述の動作
を実行するためのプログラムを格納した媒体（フロッピ
ーディスク、ＣＤ−ＲＯＭ等）から該プログラムをイン
ストールすることにより、上述の処理を実行するファイ
アウォール負荷分散システムを構築することができる。
インストールによって、当該プログラムは、コンピュー
タシステム内のハードディスク等の媒体に格納されて、
ファイアウォール負荷分散システムを構成し、実行に供
される。

【００３６】また、コンピュータにプログラムを供給す
るための媒体は、狭義の記憶媒体に限らず、通信回線、
通信ネットワークおよび通信システムのように、一時的
且つ流動的にプログラム等の情報を保持する通信媒体等
を含む広義の記憶媒体であってもよい。

【００３７】例えば、インターネット等の通信ネットワ
ーク上に設けたＦＴＰ（File Transfer Protocol）サー
バに当該プログラムを登録し、ＦＴＰクライアントにネ
ットワークを介して配信してもよく、通信ネットワーク
の電子掲示板（ＢＢＳ：Bulletin Board System）等に
該プログラムを登録し、これをネットワークを介して配
信してもよい。そして、このプログラムを起動し、ＯＳ
（Operating System）の制御下において実行することに
より、上述の処理を達成することができる。さらに、通
信ネットワークを介してプログラムを転送しながら起動
実行することによっても、上述の処理を達成することが
できる。

【００３８】

【発明の効果】以上説明したように、本発明によれば、
複数のファイアウォールを有するネットワークシステム
におけるファイアウォールの負荷の効果的な監視および
制御により、特定のファイアウォールへの負荷の集中を
防止することができ、ファイアウォール数の増減に対し
ても柔軟性の高いファイアウォール負荷分散システムお
よび記録媒体を提供することができる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態に係るファイアウォ
ール負荷分散システムの構成を示すブロック図である。

【図２】図１のシステムの動作シーケンスの一例を説明
するための模式図である。

【符号の説明】

１クライアントシステム（クライアント）２コネクション管理サーバ３ファイアウォール４ファイアウォール５ファイアウォール１１接続先選択要求手段２１最大接続数テーブル２２接続状況管理テーブル３１接続数カウンタ３２接続数通知手段

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｈ０４Ｌ 12/26 Ｆターム(参考） 5B045 BB11 GG02 JJ02 JJ14 5B089 GA11 GA21 HA06 HA10 JB16 KA06 KB10 5K030 HA08 HC01 HC14 HD03 HD06 JA10 LB05 LE03 MB02 MB09 5K033 AA03 CB06 CB08 DA06 DB14 DB18 9A001 BB04 CC08 HH34 JJ25 KK31 LL05

Claims

【特許請求の範囲】

【請求項１】ローカルエリアネットワーク（ＬＡＮ）と
インターネットとの間に複数個並列的に設置され、それ
ぞれ前記ローカルエリアネットワークにおける適正な通
信のみを前記インターネットとの間で接続するファイア
ウォールと、前記ローカルエリアネットワーク内に設けられたクライ
アントシステムと、前記複数のファイアウォールのインターネットに対する
接続状況を監視するとともに、前記クライアントシステ
ムからの要求に基づき、前記複数のファイアウォールの
うち接続負荷の低いファイアウォールを選択して、前記
クライアントシステムの前記インターネットへの接続に
供するコネクション管理サーバと、を具備することを特
徴とするファイアウォール負荷分散システム。
【請求項２】前記コネクション管理サーバは、前記複数
のファイアウォールのインターネットに対する接続状況
を、前記複数のファイアウォールのインターネットに対
する接続数により監視する手段を含むことを特徴とする
請求項１に記載のファイアウォール負荷分散システム。
【請求項３】前記複数のファイアウォールは、それぞれインターネットに対する実際の接続数をカウン
トする接続数カウンタ手段と、前記接続数カウンタ手段によりカウントされている接続
数情報を前記コネクション管理サーバに通知する接続数
通知手段と、を含み、且つ前記コネクション管理サーバ
は、前記各ファイアウォールの最大許容接続数を保持する最
大接続数保持手段と、前記各ファイアウォールから通知される実際の接続数
の、それぞれの前記最大許容接続数に対する比率に対応
する接続率を保持する接続状況保持手段と、を含むこと
を特徴とする請求項２に記載のファイアウォール負荷分
散システム。
【請求項４】第１のネットワークと第２のネットワーク
との間に複数個並列的に設置され、それぞれ前記第１の
ネットワークにおける適正な通信のみを前記第２のネッ
トワークに接続するファイアウォールと、前記第１のネットワーク内に設けられたクライアントシ
ステムと、前記複数のファイアウォールを監視し、前記クライアン
トシステムからの要求に基づき、関し結果に従って前記
複数のファイアウォールのうち所定のファイアウォール
を選択して、前記クライアントシステムの前記第２のネ
ットワークへの接続に供する手段と、を具備することを
特徴とするファイアウォール負荷分散システム。
【請求項５】第１のネットワークと第２のネットワーク
との間に、それぞれ前記第１のネットワークにおける適
正な通信のみを前記第２のネットワークに接続させる装
置を配置し、前記第１のネットワーク内に設けられたク
ライアントシステムからの要求に基づいて、複数の前記
装置の中から負荷の小さい所定の装置を選択して、前記
クライアントシステムの前記第２のネットワークへの接
続に供する、ことを特徴とするファイアウォール負荷分
散方法。
【請求項６】コンピュータを、ローカルエリアネットワーク（ＬＡＮ）とインターネッ
トとの間に複数個並列的に配置され、それぞれ前記ロー
カルエリアネットワークにおける適正な通信のみを前記
インターネットとの間で接続するファイアウォール手
段、および前記複数のファイアウォール手段のインター
ネットに対する接続状況を監視するとともに、前記ロー
カルエリアネットワーク内のクライアントシステムから
の要求に基づき、前記複数のファイアウォール手段のう
ち接続負荷の低いファイアウォール手段を選択して、前
記クライアントシステムの前記インターネットへの接続
に供するコネクション管理サーバ手段、として機能させ
るためのプログラムを記録したコンピュータ読み取り可
能な記録媒体。