JP2001016260A - データ通信システム - Google Patents

Abstract

(57)【要約】 【課題】 ネットワークが大規模になった場合にも、最
小限のネットワーク管理負荷で、端末間の通信を制御で
きるデータ通信システムを得る。 【解決手段】 通信データを暗号化・復号する通信装置
を介して上記通信データを送受信する複数の端末間で通
信を行うデータ通信システムにおいて、上記通信装置
は、予め定められた複数のコマンドのいずれかの種別
と、通信データの送信元端末のアドレスと、通信データ
の宛先端末のアドレスと、通信装置自身のアドレスとを
含む情報を上記端末及び通信装置に通知して通信データ
に対する処理内容を決定するためのピンフレームを生成
するピンフレーム処理部をそなえ、受信したピンフレー
ムに基づいて上記通信データに対する処理内容を決定
し、その通信制御情報を通信制御テーブルに格納するも
のである。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、通信データを暗
号化・復号する通信装置を介して上記通信データを送受
信する複数の端末間で通信を行うデータ通信システム関
するものである。

【０００２】

【従来の技術】近年のコンピュータネットワークの普及
に伴い、ネットワーク上のデータの機密を保持する通信
データ暗号技術への関心が高まっている。この通信デー
タ暗号技術とは、通信データの送信側で、文字列、デー
タ列などの平文の通信データを暗号化鍵によって別の文
字列、データ列などの暗号文に変換し、受信側で上記暗
号文を復号鍵により平文に戻すことにより、ネットワー
ク上での通信データの機密を保持するものである。

【０００３】このように通信データ暗号技術において
は、上記暗号化鍵及び復号鍵という暗号鍵が用いられる
が、インターネット上で通信相手と暗号鍵を交換する場
合、ISAKMP(Internet Security Association and Key M
anagement Protocol)と呼ばれる方式が用いられてい
る。

【０００４】従来、ISAKMPで通信相手と暗号鍵を交換す
るためには、例えば、「コンピュータ＆ネットワークＬ
ＡＮ 1998 ７月号 VOL.16 雑誌13863-7」（株式会
社オーム社）に示されるように、ネットワーク管理者が
各通信装置に、予め、通信経路上に存在する通信装置の
アドレス、通信データの宛先アドレス、送信元アドレス
情報を設定しておき、上記設定された情報に基づいて、
上記通信装置が別の通信装置との間で鍵交換等のネゴシ
エーションを行うという方法がとられていた。

【０００５】従来のデータ通信システムについて説明す
る。図２２は従来のデータ通信システムにおけるネット
ワーク構成を示す構成図であり、図２３は従来のデータ
通信システムにおける通信シーケンスを示すシーケンス
図である。

【０００６】図２２に示されたネットワーク構成におい
て、端末Ａ３から端末Ｂ４宛ての通信データ３１を受信
した通信装置ａ１は、上記受信した通信データ３１を保
持するとともに、予めネットワーク管理者によって設定
された情報から端末Ｂ４との暗号通信における鍵交換の
相手が通信装置ｂ２であることを検索し、通信装置ｂ２
との間で鍵交換３７を行う。そして鍵交換が終了した
後、上記通信装置ａ１は、上記保持してた通信データ３
１を通信装置ｂ２との間で交換した暗号鍵で暗号化した
通信データ３８を、通信装置ｂ２へ送信する。通信装置
ｂ２は既に通信装置ａ１との間で交換している暗号鍵を
用いて復号した通信データ３１を端末Ｂへ送信する。

【０００７】このように従来のデータ通信システムによ
れば、通信装置ａ１と通信装置ｂ２との間で交換された
暗号鍵により、通信装置ａ１で端末Ａ３から送信された
通信データ３１を暗号化し、通信装置ｂ２でその暗号文
を復号するので、ネットワーク上での通信データの機密
を保持することができる。

【０００８】

【発明が解決しようとする課題】しかしながら、従来の
データ通信システムにおいては、ネットワーク管理者
は、ネットワーク構成を考慮し、送信元端末アドレス、
宛先端末アドレス、鍵交換相手の通信装置アドレスを各
通信装置に対して予め設定する必要があり、ネットワー
クが大規模になると通信端末も増大し、その設定が非常
に複雑になるという問題があった。

【０００９】また、従来のデータ通信システムにおいて
は、通信装置の間の通信は暗号通信または平文通信のい
ずれかしか設定できず、例えば、特定の端末間の通信を
遮断するような木目の細かいネットワーク管理ができな
いという問題があった。

【００１０】本発明は、このような問題を解決するため
になされたもので、ネットワークが大規模になった場合
にも、最小限のネットワーク管理負荷で、端末間の通信
を制御できるデータ通信システムを得ることを目的とし
ている。

【００１１】

【課題を解決するための手段】この発明に係るデータ通
信システムは、通信データを暗号化・復号する通信装置
を介して上記通信データを送受信する複数の端末間で通
信を行うものであって、上記通信装置は、上記通信デー
タの送信元端末のアドレスと、上記通信データの宛先端
末のアドレスと、上記送信元端末と宛先端末で通信する
場合の上記通信データに対する処理内容とを含む通信制
御情報が格納される通信制御テーブルと、予め定められ
た複数のコマンドのいずれかを示すコマンド種別と、上
記通信データの送信元端末のアドレスと、上記通信デー
タの宛先端末のアドレスと、上記通信装置自身のアドレ
スとを含む情報を上記端末及び通信装置に通知して上記
送信元端末と宛先端末で通信する場合の上記通信データ
に対する処理内容を決定するためのピンフレームを生成
するピンフレーム処理部と、上記通信データを暗号化又
は復号する暗号化・復号部と、受信した上記通信データ
又は受信した上記ピンフレームを透過中継する透過中継
部と、上記通信データ又は上記ピンフレームを受信し、
当該受信した通信データ又はピンフレームと、上記通信
制御テーブルの上記通信制御情報とに応じて上記ピンフ
レーム処理部、上記暗号化・復号部、又は、上記透過中
継部を制御し、上記ピンフレーム処理部、上記暗号化・
復号部、上記透過中継部のいずれかから出力された上記
通信データ又は上記ピンフレームを送信するとともに、
上記受信したピンフレームに応じた通信制御情報が上記
通信制御テーブルに格納されていない場合に、上記受信
したピンフレームに基づいて上記通信データに対する処
理内容を決定し、その通信制御情報を上記通信制御テー
ブルに格納する送受信処理部とを備えたものである。

【００１２】また、次の発明に係るデータ通信システム
は、上記ピンフレーム処理部は、さらに、上記通信デー
タに対する処理内容の情報を含むピンフレームを生成す
るように構成され、上記送受信処理部は、上記ピンフレ
ーム処理部を制御し、当該ピンフレーム処理部から出力
された上記処理内容の情報が付加されたピンフレームを
送信するとともに、上記処理内容の情報が付加されたピ
ンフレームを受信し、当該受信したピンフレームに基づ
いて上記通信制御情報を上記通信制御テーブルに格納す
るように構成されたものである。

【００１３】また、次の発明に係るデータ通信システム
は、上記通信装置は、上記送受信処理部に制御され、上
記通信データを廃棄する廃棄部と、通信を不通とする端
末のアドレスが格納された廃棄リストとを備え、上記送
受信処理部は、上記廃棄リストと上記受信したピンフレ
ームとを比較して一致した場合に上記処理内容を廃棄に
決定し、その通信制御情報を上記通信制御テーブルに格
納するように構成されたものである。

【００１４】また、次の発明に係るデータ通信システム
は、上記通信装置は、上記送受信処理部に制御され、上
記通信データを廃棄する廃棄部を備え、上記送受信処理
部は、上記受信したピンフレームに含まれる上記通信デ
ータの送信元端末のアドレス及び通信データの宛先端末
のアドレスと上記通信制御テーブルに格納されている通
信データの送信元端末のアドレス及び通信データの宛先
端末のアドレスとを比較していずれかが一致する場合に
上記処理内容を廃棄に決定し、その通信制御情報を上記
通信制御テーブルに格納するように構成されたものであ
る。

【００１５】また、次の発明に係るデータ通信システム
は、上記送受信処理部は、上記通信制御テーブルに格納
されている通信制御情報の通信が所定時間以上行われな
い場合は、当該通信制御情報を削除するすように構成さ
れたものである。

【００１６】また、次の発明に係るデータ通信システム
は、上記ピンフレーム処理部は、さらに、上記通信制御
テーブルに格納された通信制御情報の通信が有効である
所定時間を示す有効時間の情報を含むピンフレームを生
成するように構成され、上記送受信処理部は、上記ピン
フレーム処理部を制御し、当該ピンフレーム処理部から
出力された上記有効時間の情報が付加されたピンフレー
ムを送信するとともに、上記有効時間の情報が付加され
たピンフレームを受信し、上記有効時間に基づいて上記
通信制御テーブルに格納されている通信制御情報の通信
が所定時間以上行われない場合は、当該通信制御情報を
削除するすように構成されたものである。

【００１７】また、次の発明に係るデータ通信システム
は、上記通信装置は、他の通信装置と鍵交換を行う鍵交
換処理部を備え、上記ピンフレーム処理部は、さらに、
上記鍵交換処理部が使用するポート番号を示すポート番
号の情報を含むピンフレームを生成するように構成さ
れ、上記送受信処理部は、上記ピンフレーム処理部を制
御し、当該ピンフレーム処理部から出力された上記ポー
ト番号の情報が付加されたピンフレームを送信するとと
もに、上記ポート番号の情報が付加されたピンフレーム
を受信し、上記ポート番号に基づいて鍵交換を行うよう
に上記鍵交換処理部を制御するように構成されたもので
ある。

【００１８】また、次の発明に係るデータ通信システム
は、上記ピンフレーム処理部は、さらに、上記通信デー
タの処理プライオリティを示すＱＯＳ（Quality of Ser
vice）の情報を含むピンフレームを生成するように構成
され、上記送受信処理部は、上記ピンフレーム処理部を
制御し、当該ピンフレーム処理部から出力された上記Ｑ
ＯＳの情報が付加されたピンフレームを送信するととも
に、上記ＱＯＳの情報が付加されたピンフレームを受信
し、上記ＱＯＳに基づいて上記通信データに対する処理
を行うように構成されたものである。

【００１９】

【発明の実施の形態】実施の形態１．以下、この発明の
データ通信システムの実施の形態１を説明する。図１
は、本実施の形態１におけるデータ通信システムの通信
シーケンスを示すシーケンス図である。図２は、本実施
の形態１におけるデータ通信システムのネットワーク構
成の一例を示す構成図であり、通信装置ａ１、通信装置
ｂ２、端末Ａ３、端末Ｂ４、端末Ｃ５がＴＣＰ／ＩＰネ
ットワークを介して接続されている。上記複数の端末Ａ
３、端末Ｂ４、端末Ｃ５は、ＴＣＰ／ＩＰネットワーク
を介して互いにデータ通信を行う。上記通信端末ａ１
は、上記端末Ａ３に接続され、当該端末Ａ３の通信デー
タを暗号化・復号する。上記通信端末ｂ２は、上記端末
Ｂ４に接続せれ、当該端末Ｂ４の通信データを暗号化・
復号する。

【００２０】図３は、本実施の形態１における上記通信
装置の構成を示す構成図である。図３において、１１
は、通信データの送信元端末のアドレスと、上記通信デ
ータの宛先端末のアドレスと、上記送信元端末と宛先端
末で通信する場合の上記通信データに対する処理内容と
を含む通信制御情報が格納される通信制御テーブルであ
り、本実施の形態１では、さらに、鍵交換の相手となる
対向側の通信装置のアドレスを含む。

【００２１】１２は、予め定められた複数のコマンドの
いずれかを示すコマンド種別と、上記通信データの送信
元端末のアドレスと、上記通信データの宛先端末のアド
レスと、上記通信装置自身のアドレスとを含む情報を上
記端末及び通信装置に通知して上記送信元端末と宛先端
末で通信する場合の上記通信データに対する処理内容を
決定するためのピンフレームを生成するピンフレーム処
理部であり、本実施の形態１では、さらに、識別子、ピ
ンフレームの宛先アドレス、および、処理内容の情報を
含むピンフレームを生成するように構成されている。

【００２２】１３は、上記通信データを暗号化又は復号
する暗号化・復号部である。１４は、上記通信データ又
は上記ピンフレームを透過的に中継する透過中継部であ
る。１５は、上記通信データを廃棄する廃棄部である。
１６は、他の通信装置と鍵交換を行う鍵交換処理部であ
る。

【００２３】１７および１８は、上記通信データ又は上
記ピンフレームを受信し、当該受信した通信データ又は
ピンフレームと、上記通信制御テーブル１１の上記通信
制御情報とに応じて上記ピンフレーム処理部１２、上記
暗号化・復号部１３、上記透過中継部１４又は、上記廃
棄部１５を制御し、上記ピンフレーム処理部１２、上記
暗号化・復号部１３、上記透過中継部１４、上記廃棄部
１５のいずれかから出力された上記通信データ又は上記
ピンフレームを送信するとともに、上記受信したピンフ
レームに応じた通信制御情報が上記通信制御テーブル１
１に格納されていない場合に、上記受信したピンフレー
ムに基づいて上記通信データに対する処理内容を決定
し、その通信制御情報を上記通信制御テーブル１１に格
納する送受信処理部である。さらに、本実施の形態１に
おいては、処理内容の情報が付加されたピンフレームを
受信し、当該受信したピンフレームに基づいて上記通信
制御情報を上記通信制御テーブルに格納するように構成
されている。

【００２４】１９は、上記送受信処理部１７とパブリッ
クネットワークとを接続するパブリックポートであり、
ここではパブリックネットワークとしてＴＣＰ／ＩＰネ
ットワークに接続されている。２０は、上記送受信処理
部１８とローカルネットワークとを接続するローカルポ
ートであり、ここでは端末Ａ３又は端末Ｂ４に接続され
ている。これらのポートは通信装置が通信データを暗号
化するのか、復号するのかを識別するもので、通信装置
はパブリックポート１９から受信した通信データを復号
し、ローカルポート２０に送信し、ローカルポート２０
から受信した通信データを暗号化し、パブリックポート
１９に送信する。

【００２５】図４は、上記通信装置ａ１と通信装置ｂ２
との間で通信されるピンフレームのフォーマットの一例
を示す説明図である。図４に示すように、ピンフレーム
は、識別子５１、コマンド種別５２、通信データの送信
元アドレス５３、通信データの宛先アドレス５４、ピン
フレームの送信元アドレス５５、ピンフレームの宛先ア
ドレス５６、処理内容５７から構成される。識別子５１
はこの通信データがピンフレームであることを示す。コ
マンド種別５２は予め定められた複数のコマンドのいず
れかのコマンドの種別（１、２、３）を示す。通信デー
タの送信元アドレス５３は通信データの送信元の端末の
アドレスを示す。通信データの宛先アドレス５４は通信
データの宛先の端末のアドレスを示す。ピンフレームの
送信元アドレス５５はピンフレームの送信元の通信装置
のアドレスを示す。ピンフレームの宛先アドレス５６
は、ピンフレームの宛先の通信装置のアドレスを示す。
処理内容５７は通信データに対する処理内容、例えば、
暗号文での通信、平文での通信などの処理種別を示す。

【００２６】図５は、本実施の形態１における通信装置
の通信制御テーブルの一例を示す説明図である。図６か
ら図１１は、本実施の形態１における通信装置の処理の
流れを示すフローチャートである。

【００２７】次に、図１から図１１を用いて、本実施の
形態１のデータ通信システムにおいて端末Ａ３から端末
Ｂ４にデータを通信する際の動作について説明する。は
じめに、端末Ａ３が通信データ３１を端末Ｂ４宛に送信
すると、まず、通信装置ａ１が上記通信データ３１を受
信する。ここでは、ローカルポート２０から受信する。
上記端末Ａ３からの通信データ３１を受信した通信装置
ａ１は、受信したデータに基づいて処理Ａを実行する。

【００２８】通信装置ａ１の送受信処理部１８は、受信
した通信データ３１の送信元端末及び宛先端末のアドレ
スが一致する通信制御情報が通信制御テーブル１１に登
録されているかどうかを調べる（ステップＳ１）。登録
されている場合は、登録されている内容に従って通信デ
ータを処理する（ステップＳ３）。また登録されていな
い場合は、上記送受信処理部１８が上記通信データ３１
を図示しないメモリ部に保持し、ピンフレーム処理部１
２を動作させて、コマンド種別が種別１であるピンフレ
ーム（種別１）３２を生成させ、送受信処理部１７が上
記ピンフレーム（種別１）３２を上記通信データの宛先
へ送信する（ステップＳ２）。ここでは、受信した通信
データ３１の送信元端末及び宛先端末のアドレスが一致
する通信制御情報が通信制御テーブル１１に登録されて
いないものとして説明する。

【００２９】ステップＳ２において、上記ピンフレーム
処理部１２は、コマンド種別５２を種別１に設定し、受
信された通信データ３１に基づいて通信データの送信元
アドレス５３を端末Ａに、また通信データの宛先アドレ
ス５４を端末Ｂに設定し、ピンフレームの送信元アドレ
ス５５を自身（この場合、通信装置ａ）のアドレスに設
定したピンフレーム（種別１）３２を生成し、上記送受
信処理部１７は、上記ピンフレーム（種別１）３２を通
信データの宛先（この場合、端末Ｂ）へ送信する。

【００３０】すると、通信装置ｂ２が上記ピンフレーム
（種別１）３２を受信する。ここでは、パブリックポー
ト１９から受信する。そして、上記通信装置ｂ２は上記
受信したピンフレーム（種別１）３２に基づいて処理Ｂ
を実行する。送受信処理部１７は、受信したピンフレー
ム（種別１）３２のコマンド種別５２が種別１であるこ
とに基づいて処理Ｂに従い、上記ピンフレーム（種別
１）３２を透過中継部１４に出力する。すると上記透過
中継部１４は、上記ピンフレーム（種別１）３２を透過
中継、すなわち暗号化・復号せずにそのまま中継し、送
受信処理部１８が送信する（ステップＳ４）。

【００３１】上記通信装置ｂ２で透過中継されたピンフ
レーム（種別１）３２は、上記端末Ｂ４に到達する。上
記端末Ｂ４は、上記ピンフレーム（種別１）３２を受信
すると、当該ピンフレーム（種別１）３２の送信元であ
る通信装置ａ１宛てにピンフレーム（種別１）応答３３
を返す。ここで上記端末Ｂ４は、通信可能な端末に通常
実装されている、受け取ったデータを折り返して応答す
るエコー（echo)と呼ばれる機能によって、上記ピンフ
レーム（種別１）応答３３を上記通信装置ａ１宛てに送
信する。

【００３２】すると、上記通信装置ｂ２が上記ピンフレ
ーム（種別１）応答３３を受信する。ここでは、ローカ
ルポート２０から受信する。そして、上記通信装置ｂ２
は上記ピンフレーム（種別１）応答３３に基づいて処理
Ｃを実行する。送受信処理部１８は、受信したピンフレ
ーム（種別１）応答３３のコマンド種別５２が種別１か
つ応答であることに基づいて処理Ｃに従い、上記ピンフ
レーム処理部１２を動作させてコマンド種別が種別２で
あるピンフレーム（種別２）３４を生成させ、送受信処
理部１７が上記通信データの送信元へ送信する（ステッ
プＳ５）。

【００３３】ステップＳ５において、上記ピンフレーム
処理部１２は、受信されたピンフレーム（種別１）応答
３３に基づいて、コマンド種別５２の種別１を種別２に
置き換え、ピンフレーム送信元アドレス５５の通信装置
ａのアドレスを自身（この場合、通信装置ｂ）のアドレ
スに置き換えたピンフレーム（種別２）３４を生成し、
上記送受信処理部１７は、通信データの送信元アドレス
５３に設定されているアドレス（この場合は、端末Ａ）
へ送信する。

【００３４】すると、上記通信装置ａ１が上記ピンフレ
ーム（種別２）３４を受信する。ここでは、パブリック
ポート１９から受信する。そして、上記通信装置ａ１は
上記ピンフレーム（種別２）３４に基づいて処理Ｄを実
行する。送受信処理部１７は、受信したピンフレーム
（種別２）３４のコマンド種別５２が種別２要求である
ことに基づいて処理Ｄに従い、上記ピンフレーム（種別
２）３４を透過中継部１４に出力する。すると上記透過
中継部１４は、上記ピンフレーム（種別２）３４を透過
中継し、送受信処理部１８が送信する（ステップＳ
４）。

【００３５】上記通信装置ａ１で透過中継されたピンフ
レーム（種別２）３４は、上記端末Ａ３に到達する。上
記端末Ａ３は、上記ピンフレーム（種別２）３４を受信
すると、当該ピンフレーム（種別２）３４のピンフレー
ムの送信元アドレス５５に設定された通信装置ｂ２宛て
にピンフレーム（種別２）応答３５を返す。ここで上記
端末Ａ３は、前述の端末Ｂ４と同様にエコーにより上記
ピンフレーム（種別２）応答３５を送信する。

【００３６】すると、まず上記通信装置ａ１が上記ピン
フレーム（種別２）応答３５を受信する。ここでは、ロ
ーカルポート２０から受信する。そして、上記通信装置
ａ１は上記ピンフレーム（種別２）応答３５に基づいて
処理Ｅを実行する。送受信処理部１８は、受信したピン
フレーム（種別２）応答３５のコマンド種別５２が種別
２かつ応答であることに基づいて処理Ｅに従い、上記ピ
ンフレーム（種別２）応答３５の情報、通信データの送
信元アドレス５３、通信データの宛先アドレス５４、ピ
ンフレームの送信元アドレス５５及び処理内容５７を、
図５に示すように通信制御情報として通信制御テーブル
の通信データ送信元アドレス、通信データ宛先アドレ
ス、対向側の通信装置アドレス、処理内容にそれぞれ登
録する（ステップＳ６）。

【００３７】なお、処理内容について、ここでは上記ピ
ンフレーム（種別２）応答３５のピンフレームの送信元
アドレス５５が自身（通信装置ａ）のアドレスと異なる
ので、処理内容を暗号とし、通信データを暗号化すると
決定する。例えば、端末Ｂ４が通信装置に接続されてい
ない場合、すなわち端末Ａ３と端末Ｂ４との間で暗号通
信できない場合は、通信装置ａ１はピンフレーム（種別
１）応答３３を受信することになり、当該ピンフレーム
（種別１）応答３３のピンフレームの送信元アドレス５
５は通信装置ａのアドレスとなっている。したがってこ
の場合、処理内容は平文に決定する。

【００３８】続いて、上記送受信処理部１８は上記ピン
フレーム処理部１２を動作させ、コマンド種別が種別３
であるピンフレーム（種別３）３６を生成し、ピンフレ
ーム（種別２）応答３５のピンフレームの送信元アドレ
ス５５（この場合、通信装置ｂ）へ送信する（ステップ
Ｓ７）。なお、ステップＳ７において、上記ピンフレー
ム処理部１２は、受信されたピンフレーム（種別２）応
答３５に基づいて、コマンド種別５２の種別２を種別３
に置き換え、ピンフレームの送信元アドレス５５の通信
装置ｂのアドレスを自身（通信装置ａ）のアドレスに置
き換え、ピンフレームの宛先アドレス５６に通信装置ｂ
のアドレスを設定し、また、処理内容５７に暗号を設定
して、ピンフレーム（種別３）３６を生成する。

【００３９】そして、上記送受信処理部１８は保持して
いる通信データがあるかを調べる（ステップＳ８）。こ
こでは保持してあるので、次に、対向側に位置する通信
装置との間で鍵交換済みであるか調べる（ステップＳ
９）。暗号鍵を交換していない場合は、鍵交換処理部１
６を動作させて鍵交換３７を行い（ステップＳ１０）、
暗号化・復号部１３を動作させて、上記交換した暗号鍵
で暗号化した上記通信データ３８送信する（ステップＳ
１１）。なお、上記鍵交換の未・済の判断において、例
えば、通信制御テーブルに鍵交換済みか否かを設定可能
な項目を追加し、この項目により鍵交換の未・済を管理
するように構成する。

【００４０】一方、上記通信装置ｂ２は、上記通信装置
ａ１が送信したピンフレーム（種別３）３６を、ここで
はパブリックポート１９から受信し、そのピンフレーム
（種別３）３６に基づいて処理Ｆを実行する。まず、送
受信処理部１７は、受信したピンフレーム（種別３）３
６のピンフレームの宛先アドレス５６が自身（この場
合、通信装置ｂ）宛かを調べる（ステップＳ１２）。こ
の場合、自身宛であるので、上記送受信処理部１７は、
上記ピンフレーム（種別３）３６の情報、通信データの
送信元アドレス５３、通信データの宛先アドレス５４、
ピンフレームの送信元アドレス５５及び処理内容５７
を、通信制御情報として通信制御テーブルの通信データ
送信元アドレス、通信データ宛先アドレス、対向側の通
信装置アドレス、処理内容にそれぞれ登録する（ステッ
プＳ６）。そして、上記送受信処理部１７は、保持して
いる通信データがあるかを調べる（ステップＳ８）。こ
こでは、保持していないので、処理Ｆを終了する。

【００４１】また、上記通信装置ｂ２においては、上記
通信装置ａ１が送信した暗号化された通信データ３８が
到達する。上記通信装置ｂ２は、この通信データ３８を
ここではパブリックポート１９から受信し、当該受信し
た通信データ３８に基づいて処理Ａを実行する。前述の
通信装置ａ１が通信データを受信した場合と同様に、上
記通信装置ｂ２の送受信処理部１７は、受信した上記暗
号化された通信データ３８の送信元端末及び宛先端末の
アドレスが一致する通信制御情報が通信制御テーブル１
１に登録されているかどうかを調べる（ステップＳ
１）。ここでは、登録されているので、上記通信制御テ
ーブル１１に従って処理する（ステップＳ３）。

【００４２】ここで上記通信制御テーブル１１には、通
信制御情報として、通信データ送信元アドレス：端末
Ａ、通信データ宛先アドレス：端末Ｂ、対向側の通信装
置アドレス：通信装置ａ、処理内容：暗号が設定されて
いるので、上記送受信処理部１７は上記暗号化・復号部
１３を動作させ、上記暗号化された通信データ３８を上
記通信装置ａ１との間で交換した暗号鍵で復号し、平文
に戻す。そして、平文に戻した通信データ３１を通信デ
ータの宛先アドレスである端末Ｂ４に送信する。

【００４３】このように通信装置が、受信した通信デー
タまたはピンフレームの内容に応じた所定の処理Ａ〜Ｆ
を実行することにより、通信装置及び端末の間でピンフ
レームが通信されて各通信装置の情報が収集され、通信
制御テーブルに自動的に登録される。

【００４４】以上のように本実施の形態１のデータ通信
システムによれば、通信装置は、コマンド種別と、通信
データの送信元端末のアドレスと、通信データの宛先端
末のアドレスと、上記通信装置自身のアドレスとを含む
ピンフレームを用いて、当該ピンフレームに含まれる情
報を端末及び通信装置に通知するとともに収集し、上記
送信元端末と宛先端末で通信する場合の上記通信データ
に対する処理内容を決定し、通信制御情報として通信制
御テーブルに格納し、当該格納した通信制御情報に従っ
て受信した通信データを処理するので、ネットワーク管
理者は、各通信装置に対して通信制御情報を設定する必
要がなく、ネットワーク管理の負荷を軽減することがで
きる。

【００４５】また、上記通信装置は、上記通信データに
対する処理内容の情報が付加されたピンフレームを送信
するとともに、上記処理内容の情報が付加されたピンフ
レームを受信し、当該受信したピンフレームに基づいて
上記通信制御情報を上記通信制御テーブルに格納するの
で、一つの通信装置で決定された処理内容を他の通信装
置に通知し、その通信制御テーブルに格納することがで
きるので、ネットワーク管理者は、他の通信装置に対し
ても通信制御情報を設定する必要がなく、ネットワーク
管理の負荷を軽減することができる。

【００４６】なお、本実施の形態１では、処理内容が暗
号の時に、通信に先立って暗号鍵共有（鍵交換）プロセ
スを動作させるケースについて例を示したが、暗号鍵は
事前に配送されているのを用いるように構成しても良
く、本実施の形態と同様に効果を得ることができる。

【００４７】また、本実施の形態１では、端末間に通信
経路上に通信装置が２台存在する場合の例を示したが、
通信路上に通信装置が２台以上存在するケースも可能で
ある。図１２は、端末間の通信経路上に通信装置が３台
存在する場合のネットワーク構成を示す構成図である。
図１２において、通信装置ａ１、通信装置ｂ２、通信装
置ｃ６は、本実施の形態１と同様に、受信した通信デー
タ及びピンフレームの内容に応じて処理Ａから処理Ｆを
実行する。ただし、ネットワーク構成によって上記通信
データ及びピンフレームを受信するポートがローカルポ
ートとパブリックポートで逆転する場合がある。また、
上記通信装置ｃ６が処理Ｆを実行する場合、すなわち通
信装置ｃ６が図１におけるピンフレーム（種別３）３６
を受信した場合、上記通信装置ｃ６の送受信処理部は受
信したピンフレーム３６が自身宛かを調査した後（ステ
ップＳ１２）、自身宛ではないので、通信データを暗号
化しないことを決定するとともに、上記ピンフレーム
（種別３）３６に基づいて、上記通信制御テーブルの通
信データ送信元アドレスに通信データの送信元アドレス
５３、通信データ宛先アドレスに通信データの宛先アド
レス５４、対向側の通信装置アドレスにピンフレーム送
信元アドレス５５、処理内容に平文をそれぞれ登録する
（ステップＳ１３）。そして、上記ピンフレーム３６を
透過中継する（ステップＳ４）。

【００４８】また、本実施の形態１では、ピンフレーム
のフォーマットは図４に示すとおり、７項目である場合
について説明したが、ピンフレームの情報量に応じて項
目数を増減しても良い。例えば、コマンド種別が種別１
の場合、ピンフレームの宛先アドレス５６の項目を除い
たフォーマットとしても良い。

【００４９】実施の形態２．以上の実施の形態１は、通
信データの送信元の端末側の通信装置からピンフレーム
のやり取りを開始する場合であるが、次に、通信データ
の宛先の端末側の通信装置からピンフレームのやり取り
を開始する場合の実施の形態２を説明する。

【００５０】例えば、図１において通信装置ｂ２が電源
オフされ、通信装置ｂ２の通信制御テーブルが消失した
ときに、端末Ａ３から端末Ｂ４にデータを通信する際の
動作について説明する。はじめに、端末Ａ３からの通信
データ３１を受信した通信装置ａ１は、受信したデータ
に基づいて処理Ａを実行する。ここでは、すでに通信制
御テーブル１１に通信制御情報が登録してあるので、そ
の通信制御テーブル１１の通信制御情報に従ってデータ
を処理し（ステップＳ３）、上記通信データの宛先であ
る端末Ｂ４へ送信する。

【００５１】すると、通信装置ｂ２が上記通信データを
受信する。ここでは、パブリックポート１９から受信す
る。そして通信データを受信した上記通信装置ｂ２は、
当該通信データに基づいて処理Ａを実行する。まず、通
信装置ｂ２の送受信処理部１７は、受信した通信データ
の送信元端末及び宛先端末のアドレスが通信制御テーブ
ル１１に登録されているかどうかを調べる（ステップＳ
１）。ここでは、電源オフにより通信制御テーブルが消
去されているために登録されていないので、上記送受信
処理部１７が上記通信データを図示しないメモリ部に保
持し、ピンフレーム処理部１２を動作させて、コマンド
種別が種別１であるピンフレーム（種別１）を生成し、
送受信処理部１８が上記通信データの宛先である端末Ｂ
４へ送信する（ステップＳ２）。

【００５２】上記端末Ｂ４は、上記ピンフレーム（種別
１）を受信すると、当該ピンフレーム（種別１）の送信
元である通信装置ｂ２宛てにピンフレーム（種別１）応
答を返す。

【００５３】上記通信装置ｂ２がこのピンフレーム（種
別１）応答３３を受信すると、処理Ｃを実行する。当該
ピンフレーム（種別１）応答に基づいて、上記通信装置
ｂ２の送受信処理部１８は、ピンフレーム処理部１２を
動作させて、コマンド種別５２を種別２に、通信データ
の送信元アドレス５３を端末Ａに、また通信データの宛
先アドレス５４を端末Ｂに、ピンフレームの送信元アド
レス５５を自身（通信装置ｂ）のアドレスに設定したピ
ンフレーム（種別２）を生成し、通信データの送信元
（この場合、端末Ａ）へ送信する。すると、上記ピンフ
レーム（種別２）を受信した通信装置ａ１は、処理Ｄを
実行して上記ピンフレーム（種別２）を透過中継する
（ステップＳ４）。

【００５４】そして、上記端末Ａ３は、上記ピンフレー
ム（種別２）を受信すると、当該ピンフレーム（種別
２）の送信元である通信装置ｂ２宛てにピンフレーム
（種別２）応答を返す。

【００５５】すると、上記通信装置ａ１が、ここではロ
ーカルポート２０から上記ピンフレーム（種別２）応答
を受信し、処理Ｅを実行する。前述の実施の形態１と同
様に、送受信処理部１８は、上記ピンフレーム（種別
２）応答の内容に基づいて、通信制御テーブルに登録す
る（ステップＳ６）。そして、ピンフレーム処理部１２
を動作させてピンフレーム（種別３）を生成し、ピンフ
レームの送信元アドレス５５（この場合、通信装置ｂ）
へ送信する（ステップＳ７）。

【００５６】すると、上記通信装置ｂ２が、ここではパ
ブリックポート１９から上記ピンフレーム（種別３）を
受信し、処理Ｆを実行する。まず、前述の実施の形態１
と同様に、受信したピンフレーム（種別３）が自身（こ
こでは通信装置ｂ）宛かを調べる（ステップＳ１２）。
この場合、自身宛であるので、上記ピンフレーム（種別
３）の内容に基づいて通信制御情報として各情報を通信
制御テーブルに登録する（ステップＳ６）。そして、上
記送受信処理部１７は、保持している通信データがある
かを調べる（ステップＳ８）。ここでは、保持している
ので、続いて、処理内容が暗号か否かを調べ（ステップ
Ｓ１４）、暗号以外の場合は通信制御テーブル１１の通
信制御情報に従った処理を実行し（ステップＳ３）、処
理Ｆを終了する。

【００５７】また、ステップＳ１４で暗号である場合
は、対向側に位置する通信装置との間で鍵交換済みであ
るか調べる（ステップＳ９）。暗号鍵を交換していない
場合は、鍵交換処理部１６を動作させて鍵交換を行い
（ステップＳ１０）、暗号化・復号部１３を動作させ
て、上記交換した暗号鍵で暗号化した上記通信データを
通信データの宛先に送信し（ステップＳ１１）、処理Ｆ
を終了する。

【００５８】このように、通信データの宛先の端末側の
通信装置からピンフレームのやり取りを開始する場合に
おいても、通信装置が、受信した通信データまたはピン
フレームの内容に応じた所定の処理を実行することによ
り、通信装置及び端末の間でピンフレームが通信されて
通信装置の情報が収集され、通信制御テーブルに自動的
に登録される。

【００５９】以上のように本実施の形態２のデータ通信
システムによれば、通信装置は、コマンド種別と、通信
データの送信元端末のアドレスと、通信データの宛先端
末のアドレスと、上記通信装置自身のアドレスとを含む
ピンフレームを用いて、当該ピンフレームに含まれる情
報を端末及び通信装置に通知するとともに収集し、上記
送信元端末と宛先端末で通信する場合の上記通信データ
に対する処理内容を決定し、通信制御情報として通信制
御テーブルに格納し、当該格納した通信制御情報に従っ
て受信した通信データを処理するので、通信データの宛
先の端末側の通信装置からピンフレームのやり取りを開
始する場合においても、ネットワーク管理者は、各通信
装置に対して通信制御情報を設定する必要がなく、ネッ
トワーク管理の負荷を軽減することができる。

【００６０】実施の形態３．

【００６１】以上の実施の形態では、通信データを暗号
文で通信するか平文で通信するかの制御を通信制御テー
ブルに設定する場合であるが、次に、さらに、通信デー
タを廃棄する制御を通信制御テーブルに設定する場合の
実施の形態３を説明する。

【００６２】本実施の形態３において、通信装置は、通
信を不通とする端末のアドレスが格納された廃棄リスト
を備え、上記送受信処理部１７及び送受信処理部１８
は、上記廃棄リストと、受信したピンフレームの通信デ
ータの送信元アドレス又は通信データの宛先アドレスと
を比較して、一致した場合に通信データを廃棄すること
を決定するように構成されるとともに、上記ピンフレー
ム処理部１２は、処理内容を廃棄に設定したピンフレー
ムを生成するように構成されている。

【００６３】動作について説明する。例えば、図１にお
いて通信装置ａ１の廃棄リストに端末Ａが格納されてい
る場合に、上記端末Ａから端末Ｂ宛に通信データが送信
された場合、通信装置ａ１及び通信装置ｂ２は、前述の
実施の形態と同様に受信したデータに応じて処理Ａから
処理Ｄを実行する。そして、処理Ｅにおいて、通信装置
ａ１は、廃棄リストと、受信したピンフレーム（種別
２）応答の通信データの送信元アドレス又は通信データ
の宛先アドレスとを比較する。この場合、上記端末Ａが
一致するので、通信データを廃棄することを決定する。
そして、上記送受信処理部は、通信データ送信元アドレ
スに端末Ａ、通信データ宛先アドレスに端末Ｂ、対向側
の通信装置アドレスに通信装置ｂ、処理内容に廃棄を設
定した通信制御情報を通信制御テーブル１１に格納する
（ステップＳ６）。続いて、上記送受信処理部は、ピン
フレーム処理部１２を動作させ、処理内容を廃棄とした
ピンフレーム（種別３）を送信する（ステップＳ７）。

【００６４】また、上記ピンフレーム（種別３）を受信
した通信装置ｂ２は、処理ＦのステップＳ６において、
上記ピンフレーム（種別３）に基づいて、通信データ送
信元アドレスに端末Ａ、通信データ宛先アドレスに端末
Ｂ、対向側の通信装置アドレスに通信装置ａ、処理内容
に廃棄を設定した通信制御情報を通信制御テーブル１１
に格納する（ステップＳ６）。

【００６５】このように、予め通信装置に通信を不通と
する端末のアドレスを廃棄リストに登録しておけば、上
記通信装置がピンフレームを受信したときに、上記通信
を不通とする端末からの通信データに対する処理内容を
廃棄とすることが決定されるとともに、他の通信装置に
もピンフレームにより通知される。

【００６６】以上のように本実施の形態３のデータ通信
システムによれば、通信処理装置は、通信を不通とする
端末のアドレスが格納された廃棄リストと、受信したピ
ンフレームに設定された通信データの送信元アドレスま
たは通信データの宛先アドレスとが一致した場合に、上
記通信データに対する処理内容を廃棄に決定するので、
通信データに対する処理内容として暗号または平文のみ
ならず、廃棄に設定することができ、木目の細かいネッ
トワーク管理を実現することができる。

【００６７】また、上記通信装置は、処理内容が廃棄に
設定されたピンフレームを送信するとともに、上記処理
内容が廃棄に設定されたピンフレームを受信し、当該受
信したピンフレームに基づいて通信制御情報を通信制御
テーブルに格納するので、一つの通信装置で廃棄と決定
された処理内容を他の通信装置に通知し、その通信制御
テーブルに格納することができるので、ネットワーク管
理者は、他の通信装置に対しても通信制御情報を設定す
る必要がなく、ネットワーク管理の負荷を軽減すること
ができる。

【００６８】なお、本実施の形態３では、通信データの
送信元の端末Ａに接続された通信装置ａの廃棄リストに
端末Ａを登録する場合について説明したが、これに限定
されるものではない。例えば、通信装置ａの廃棄リスト
に通信データの宛先の端末Ｂを登録しても良い。また、
対向側の通信装置である通信装置ｂに端末Ａまたは端末
Ｂを登録しても良い。さらにまた、廃棄リストを送信元
端末と宛先端末の組み合わせで登録するように構成し、
通信データの送信元が端末Ａで、通信データの宛先が端
末Ｂである場合の通信データのみを廃棄するようにして
も良い。

【００６９】実施の形態４．以上の実施の形態は、通信
制御テーブルに通信制御情報を登録する場合であるが、
次に、通信制御テーブルから通信制御情報を削除する実
施の形態４を説明する。

【００７０】図１３は、本実施の形態４における通信装
置の通信制御テーブルの一例を示す説明図である。図１
３において、有効時間はこの通信制御情報が有効である
期限を示し、時間の経過に応じてデクリメントされる。
また、本実施の形態４において、上記送受信処理部１７
及び送受信処理部１８は、通信制御テーブル１１に登録
された通信制御情報を使用した暗号通信が行われる度に
有効時間を初期値に戻し、上記有効時間が０になったと
きに、当該通信制御情報を通信制御テーブル１１から削
除するすように構成されている。すなわち、上記送受信
処理部１７及び送受信処理部１８は、上記通信制御テー
ブルに格納されている通信制御情報の通信が所定時間以
上行われない場合は、当該通信制御情報を削除するよう
に構成されている。

【００７１】動作について説明する。例えば、通信装置
がローカルポート２０で端末Ａから端末Ｂへ送信された
通信データを受信し、処理Ａを実行する際に、ステップ
Ｓ３において、図１３に示した通信制御テーブル１１に
従って処理するとともに、上記送受信処理部１８は、通
信制御テーブル１１の有効時間を初期値に戻す。例え
ば、通信制御情報の所定の有効期間が５分である場合、
上記送受信処理部１８は、通信制御テーブル１１の有効
時間を５分に設定する。

【００７２】その後、有効時間に設定された時間がデク
リメントされ、０になった場合、すなわち、５分以上端
末Ａから端末Ｂへの通信がない場合は、上記受信処理部
１８は、この通信制御情報を通信制御テーブルから削除
する。

【００７３】以上のように本実施の形態４のデータ通信
システムによれば、通信制御テーブルに格納されている
通信制御情報の通信が所定時間以上行われない場合に当
該通信制御情報を削除することにより、例えば、端末が
移動したり通信経路が変更され、通信制御テーブルに格
納されている通信制御情報による通信が行われなくなっ
た場合に、当該通信制御情報を削除して通信制御テーブ
ルを更新することができるので、ネットワーク管理者
は、各通信装置に対して通信制御テーブルを更新する必
要がなく、ネットワーク管理の負荷を軽減することがで
きる。

【００７４】なお、本実施の形態４では、有効時間を通
信制御テーブルに設定する場合について説明したが、さ
らに、例えば、図１４に示すように上記有効時間をピン
フレームに設定し、ピンフレームで各通信装置に通知し
てもよい。図１４は、本実施の形態４におけるピンフレ
ームのフォーマットの一例を示す説明図である。これに
より、中継経路上の通信装置において通信制御テーブル
の有効時間が統一でき、不用意にピンフレームのやり取
りが行われるのを防ぐことができる。

【００７５】実施の形態５．以上の実施の形態３は、通
信装置に通信を不通とする端末のアドレスが格納された
廃棄リストを備え、その廃棄リストに基づいて通信デー
タを廃棄するものであるが、次に、データ通信システム
の通信状況に応じて通信データを廃棄する実施の形態５
を説明する。

【００７６】本実施の形態５において、上記送受信処理
部１７及び送受信処理部１８は、受信したピンフレーム
に含まれる通信データの送信元アドレス５３及び通信デ
ータの宛先アドレス５４と、上記通信制御テーブル１１
に格納されている通信データ送信元アドレス及び通信デ
ータ宛先アドレスとを比較していずれかが一致する場合
に上記処理内容を廃棄に決定し、その通信制御情報を上
記通信制御テーブルに格納するように構成されている。

【００７７】図１５は、図２に示したネットワーク構成
において、端末Ｂが端末Ｃと通信している場合に、通信
装置ｂ２の通信制御テーブルに登録されている通信制御
情報を示す説明図である。図１６は、本実施の形態にお
いて、通信装置がピンフレーム（種別１応答）を受信し
た際の処理Ｃ’の流れを示すフローチャートである。

【００７８】次に、通信装置が通信データを廃棄する場
合の動作について説明する。端末Ａ３から端末Ｂ４への
通信データを受信した通信装置ａ１は、前述の実施の形
態１と同様にピンフレーム（種別１）を送信する。する
と、通信装置ｂ２は、このピンフレーム（種別１）を透
過中継する。そして、端末Ｂ４からのピンフレーム（種
別１）応答を受信した通信装置ｂ２は、送受信処理部が
ピンフレーム内の通信データの送信元アドレス、通信デ
ータの宛先アドレスの一方でも通信制御テーブルに登録
されているか調べ（ステップＳ１）、登録されていなけ
れば、実施の形態１と同様にピンフレーム（種別２）を
送信する（ステップＳ５）。

【００７９】一方、登録されている場合は、上記送受信
処理部は、処理内容を廃棄に決定して、上記受信したピ
ンフレームに応じた通信制御情報として通信制御テーブ
ルに登録し（ステップＳ１５）、上記ピンフレーム処理
部１２を動作させ、処理内容を廃棄に置き換えたピンフ
レーム（種別２）を送信する（ステップＳ５）。ここで
は、通信装置ｂ２の通信制御テーブルには、図１５のよ
うに登録されていて、端末Ｂが一致するので、処理内容
を廃棄に置き換えたピンフレーム（種別２）が送信され
る。

【００８０】すると、中継経路上の通信装置は、このピ
ンフレーム（種別２）を透過中継する。そして、端末Ａ
からのピンフレーム（種別２）応答を受信した通信装置
ａ１は、通信制御情報として、ピンフレーム内の通信デ
ータの送信元アドレス、通信データの宛先アドレス、ピ
ンフレームの送信元アドレス及び処理内容（この場合は
廃棄）を通信制御テーブルに登録し、ピンフレーム（種
別３）を送信する。そして。通信装置ａ１がデータを保
持している場合は、通信制御テーブルに従い、通信デー
タを廃棄する。

【００８１】このように、受信したピンフレームに含ま
れる通信データの宛先アドレスまたは送信元アドレス
が、通信装置の通信制御テーブルに登録されている端末
と一致する場合、上記ピンフレームに応じた通信データ
に対する処理内容を廃棄とすることが決定されるととも
に、他の通信装置にもピンフレームにより通知される。

【００８２】以上のように本実施の形態５のデータ通信
システムによれば、受信したピンフレームに含まれる通
信データの送信元アドレス及び通信データの宛先アドレ
スと、通信制御テーブルに格納されている通信データの
送信元アドレス及び通信データの宛先アドレスとを比較
することにより、上記ピンフレームに含まれる送信元端
末及び宛先端末の通信の状況をチェックし、当該送信元
端末又は宛先端末のいずれかが一致する場合に処理内容
を廃棄に決定し、その通信制御情報を上記通信制御テー
ブルに格納するので、例えば、図２の端末Ｃが直接端末
Ａと通信するのではなく、端末Ａに対して自身の身元を
隠すために、一旦、端末Ｂにログインし、その後、端末
Ａと通信を行うような踏み台攻撃を防ぐことができ、セ
キュリティが向上する。また、通信データに対する処理
内容として暗号または平文のみならず、廃棄に設定する
ことができ、木目の細かいネットワーク管理を実現する
ことができる。

【００８３】なお、本実施の形態５では、ピンフレーム
（種別１）応答受信時に、通信装置ｂ２の通信状況をチ
ェックしていたが、これをピンフレーム（種別２）応答
受信時にチェックすることも可能である。この場合も同
様の効果が得られる。

【００８４】実施の形態６．以上の実施の形態は、デー
タ通信を行う端末のそれぞれに通信装置が存在する場合
であるが、次に、復号側の端末に通信装置が存在しない
場合の実施の形態６を説明する。

【００８５】本実施の形態６において、上記送受信処理
部１７及び送受信処理部１８は、処理種別が種別１かつ
応答のピンフレーム（種別１）応答を受信したときに、
当該受信したピンフレームの送信元アドレスと自身のア
ドレスとを比較し、一致した場合に、処理内容を平文に
決定し、上記受信したピンフレームに応じた通信制御情
報を通信制御テーブルに登録するとともに、その通信制
御テーブルにそった処理を実行し、また、一致しなかっ
た場合に、処理種別が種別２のピンフレーム（種別２）
を通信データの送信元へ送信するように構成されてい
る。

【００８６】図２において、端末Ａ３と端末Ｃ５が通信
する場合、端末間の通信経路上に存在する通信装置は通
信装置ａ１のみであり、当該通信装置ａ１の対向とな
る、すなわち鍵交換の相手となる復号側の通信装置が存
在しない。このような場合の動作を図１７および図１８
を用いて説明する。図１７は、本実施の形態６における
データ通信システムの通信シーケンスを示すシーケンス
図である。図１８は、本実施の形態６において、通信装
置がピンフレーム（種別１）応答を受信した際の処理
Ｃ''の流れを示すフローチャートである。なお、その他
の処理Ａ、Ｂ、Ｄ〜Ｆは、前述の実施の形態１と同様で
ある。

【００８７】まず、端末Ａから通信データ３１を受信し
た通信装置ａ１は、前述の実施の形態１と同様に、通信
データ３１の宛先（この場合、端末Ｃ）にピンフレーム
（種別１）を送信する。その後、端末Ｃからのピンフレ
ーム（種別１）応答３３を受信した通信装置ａ１は、送
受信処理部がピンフレームの送信元アドレス５５と自身
のアドレスを比較する（ステップＳ１６）。アドレスが
不一致な場合は、実施の形態１と同様にピンフレーム
（種別２）を送信する（ステップＳ５）。

【００８８】一方、一致する場合は、上記送受信処理部
は、上記ピンフレーム（種別１）応答３３の情報、通信
データの送信元アドレス５３、通信データの宛先アドレ
ス５４を、通信制御情報として、通信制御テーブル１１
の通信データ送信元アドレス、通信データ宛先アドレス
にそれぞれ登録し、処理内容に平文、すなわち、この端
末間の通信データを透過中継することを上記通信制御テ
ーブル１１に登録する（ステップＳ１７）。そして、上
記通信制御テーブル１１の通信制御情報に従った処理を
行い（ステップＳ３）、通信データ３１を端末Ｃ宛に送
信する。

【００８９】このようにして、復号側の通信装置が存在
しない場合、通信装置の通信制御テーブルには、端末間
の通信を平文で行うように処理内容が設定される。

【００９０】以上のように本実施の形態６のデータ通信
システムによれば、ピンフレーム（種別１）応答を受信
した時に、当該受信したピンフレームの送信元アドレス
と自身のアドレスとを比較し、一致した場合に、処理内
容を平文に決定し、上記受信したピンフレームに応じた
通信制御情報を通信制御テーブルに登録することによ
り、復号側に通信装置が存在しない場合でも通信制御情
報を通信制御テーブルに登録でき、通信が可能となるの
で、ネットワーク管理者は、各通信装置に対して通信制
御情報を設定する必要がなく、ネットワーク管理の負荷
を軽減することができる。

【００９１】なお、本実施の形態６では、通信装置がピ
ンフレーム（種別１）応答を受信した時に、ピンフレー
ムの送信元アドレスと自身のアドレスとの比較を行って
いるが、ピンフレーム（種別２）応答を受信した時に比
較を行うことも可能である。この場合も同様の効果が得
られる。

【００９２】実施の形態７．次に、ピンフレームに鍵交
換時に使用するポート番号を指定する項目を追加した場
合の実施の形態7を説明する。

【００９３】本実施の形態７において、上記ピンフレー
ム処理部１２は、鍵交換時に上記鍵交換処理部１６が使
用するポート番号の情報を含むピンフレームを生成する
ように構成されている。図１９は、本実施の形態7にお
けるピンフレームのフォーマットの一例を示す説明図で
ある。図１９において、ポート番号５９は、鍵交換時に
使用するポート番号を示す。

【００９４】動作について説明する。送受信処理部は、
ピンフレーム処理部１２を制御してピンフレームを生成
させる際に、鍵交換時に上記鍵交換処理部１６が使用す
るポート番号を指定する。これに応じて、上記ピンフレ
ーム処理部１２は、指定されたポート番号をポート番号
５９に設定してピンフレームを生成する。すると、送受
信処理装置は、上記ポート番号の情報を含むピンフレー
ムを所定の宛先へ送信する。

【００９５】その後、上記ピンフレームを受信した通信
装置は、送受信処理部が当該ピンフレームに含まれるポ
ート番号５９の情報に基づいて、当該ポート番号を用い
て鍵交換を行うように鍵交換処理部１６を制御する。

【００９６】以上のように本実施の形態７のデータ通信
システムによれば、通信装置は、ポート番号の情報が付
加されたピンフレームを送信するとともに、上記ポート
番号の情報が付加されたピンフレームを受信し、上記ポ
ート番号に基づいて鍵交換を行うことにより、鍵交換時
に使用するポート番号をピンフレームで各通信装置に通
知できるので、鍵交換時に使用するポート番号を毎回変
更することが可能となる。

【００９７】実施の形態８．以上の実施の形態は、ピン
フレームによって通信データの処理内容を通信装置に通
知し、その通信制御テーブルに設定するものであるが、
次に、ピンフレームによって通信装置間でデータのプラ
イオリティを通知する場合の実施の形態８を説明する。

【００９８】本実施の形態８において、上記ピンフレー
ム処理部１２は、上記通信データの処理プライオリティ
を示すＱＯＳ（Quality of Service）の情報を含むピン
フレームを生成するように構成されている。ここでは、
プライオリティを示すＱＯＳとして、受信した通信デー
タのＩＰヘッダ中のＴＯＳ（Type of Service）フィー
ルドの値をピンフレームに設定する。

【００９９】ここで、ＩＰヘッダ中のＴＯＳについて説
明する。インターネット・プロトコル（ＩＰ）において
通信データはＩＰパケットとして通信されるが、このＩ
ＰパケットはＩＰヘッダ部とデータ部とで構成されてい
る。また、上記ＩＰヘッダ部は、ＩＰパケットのバージ
ョンを示すバージョン、ＩＰヘッダの長さを示すヘッダ
長、ＩＰパケットのルータ上での取扱い方法、すなわち
ＩＰパケットの優先度、ＩＰパケットのディレイ、信頼
性、スループットを指定するＴＯＳなどの情報で構成さ
れている。本実施の形態ではこのＴＯＳをプライオリテ
ィを示すＱＯＳとして用いる。

【０１００】図２０は、本実施の形態８におけるピンフ
レームのフォーマットの一例を示す説明図である。図２
０において、ＱＯＳ６０は、データのプライオリティを
示す。図２１は、本実施の形態８における通信装置の通
信制御テーブルの一例を示す説明図である。

【０１０１】動作について説明する。通信データを受信
した通信装置は、送受信処理部がピンフレーム処理部１
２を動作させてピンフレーム（種別１）を生成し、送信
する。このとき、上記ピンフレーム処理部１２は、受信
した通信データのＩＰヘッダ中のＴＯＳフィールドの値
を、ピンフレームのＱＯＳ６０に設定する。

【０１０２】すると、このピンフレーム（種別１）を受
信した通信装置は、送受信処理部が、図２１のように通
信制御テーブル１１に処理のプライオリティを登録す
る。そして、上記通信装置は、上記通信制御テーブル１
１に登録されたプライオリティに応じて、鍵交換処理及
びデータ暗号化、復号処理を行う。

【０１０３】このように、通信データを受信した通信装
置で設定されたプライオリティがピンフレームによって
対向側の通信装置に通知され、上記プライオリティに応
じて、鍵交換処理及びデータ暗号化、復号処理が処理さ
れる。

【０１０４】以上のように本実施の形態８のデータ通信
システムによれば、通信装置は、通信データの処理プラ
イオリティを示すＱＯＳの情報が付加されたピンフレー
ムを送信するとともに、上記ＱＯＳの情報が付加された
ピンフレームを受信し、上記ＱＯＳに基づいて鍵交換処
理及びデータ暗号化、復号処理を処理することにより、
通信データの優先度をピンフレームで通知し、鍵交換、
データ暗号化、復号を優先的に処理することができるの
で、音声データなど遅延に敏感なデータも扱うことがで
きる。

【０１０５】実施の形態９．上記実施の形態１〜８で
は、図１に示すように通信装置ａ１、ｂ２がネットワー
クに存在しているが、通信装置の機能が端末にあるよう
な構成も可能であり、上記実施の形態と同様の効果を得
ることができる。

【０１０６】

【発明の効果】以上のように、この発明のデータ通信シ
ステムによれば、通信データを暗号化・復号する通信装
置を介して上記通信データを送受信する複数の端末間で
通信を行うものであって、上記通信装置は、上記通信デ
ータの送信元端末のアドレスと、上記通信データの宛先
端末のアドレスと、上記送信元端末と宛先端末で通信す
る場合の上記通信データに対する処理内容とを含む通信
制御情報が格納される通信制御テーブルと、予め定めら
れた複数のコマンドのいずれかを示すコマンド種別と、
上記通信データの送信元端末のアドレスと、上記通信デ
ータの宛先端末のアドレスと、上記通信装置自身のアド
レスとを含む情報を上記端末及び通信装置に通知して上
記送信元端末と宛先端末で通信する場合の上記通信デー
タに対する処理内容を決定するためのピンフレームを生
成するピンフレーム処理部と、上記通信データを暗号化
又は復号する暗号化・復号部と、受信した上記通信デー
タ又は受信した上記ピンフレームを透過中継する透過中
継部と、上記通信データ又は上記ピンフレームを受信
し、当該受信した通信データ又はピンフレームと、上記
通信制御テーブルの上記通信制御情報とに応じて上記ピ
ンフレーム処理部、上記暗号化・復号部、又は、上記透
過中継部を制御し、上記ピンフレーム処理部、上記暗号
化・復号部、上記透過中継部のいずれかから出力された
上記通信データ又は上記ピンフレームを送信するととも
に、上記受信したピンフレームに応じた通信制御情報が
上記通信制御テーブルに格納されていない場合に、上記
受信したピンフレームに基づいて上記通信データに対す
る処理内容を決定し、その通信制御情報を上記通信制御
テーブルに格納する送受信処理部とを備えたことによ
り、コマンド種別と、通信データの送信元端末のアドレ
スと、通信データの宛先端末のアドレスと、上記通信装
置自身のアドレスとを含むピンフレームを用いて、当該
ピンフレームに含まれる情報を端末及び通信装置に通知
するとともに収集し、上記送信元端末と宛先端末で通信
する場合の上記通信データに対する処理内容を決定し、
通信制御情報として通信制御テーブルに格納し、当該格
納した通信制御情報に従って受信した通信データを処理
するので、ネットワーク管理者は、各通信装置に対して
通信制御情報を設定する必要がなく、ネットワーク管理
の負荷を軽減することができる。

【０１０７】また、次の発明のデータ通信システムによ
れば、上記ピンフレーム処理部は、さらに、上記通信デ
ータに対する処理内容の情報を含むピンフレームを生成
するように構成され、上記送受信処理部は、上記ピンフ
レーム処理部を制御し、当該ピンフレーム処理部から出
力された上記処理内容の情報が付加されたピンフレーム
を送信するとともに、上記処理内容の情報が付加された
ピンフレームを受信し、当該受信したピンフレームに基
づいて上記通信制御情報を上記通信制御テーブルに格納
するように構成されたことにより、一つの通信装置で決
定された処理内容を他の通信装置に通知し、その通信制
御テーブルに格納することができるので、ネットワーク
管理者は、他の通信装置に対しても通信制御情報を設定
する必要がなく、ネットワーク管理の負荷を軽減するこ
とができる。

【０１０８】また、次の発明のデータ通信システムによ
れば、上記通信装置は、上記送受信処理部に制御され、
上記通信データを廃棄する廃棄部と、通信を不通とする
端末のアドレスが格納された廃棄リストとを備え、上記
送受信処理部は、上記廃棄リストと上記受信したピンフ
レームとを比較して一致した場合に上記処理内容を廃棄
に決定し、その通信制御情報を上記通信制御テーブルに
格納するように構成されたことにより、通信データに対
する処理内容として暗号または平文のみならず、廃棄に
設定することができ、木目の細かいネットワーク管理を
実現することができる。

【０１０９】また、次の発明のデータ通信システムによ
れば、上記通信装置は、上記送受信処理部に制御され、
上記通信データを廃棄する廃棄部を備え、上記送受信処
理部は、上記受信したピンフレームに含まれる上記通信
データの送信元端末のアドレス及び通信データの宛先端
末のアドレスと上記通信制御テーブルに格納されている
通信データの送信元端末のアドレス及び通信データの宛
先端末のアドレスとを比較していずれかが一致する場合
に上記処理内容を廃棄に決定し、その通信制御情報を上
記通信制御テーブルに格納するように構成されたことに
より、踏み台攻撃を防ぐことができ、セキュリティが向
上する。また、通信データに対する処理内容として暗号
または平文のみならず、廃棄に設定することができ、木
目の細かいネットワーク管理を実現することができる。

【０１１０】また、次の発明のデータ通信システムによ
れば、上記送受信処理部は、上記通信制御テーブルに格
納されている通信制御情報の通信が所定時間以上行われ
ない場合は、当該通信制御情報を削除するすように構成
されたことにより、例えば、端末が移動したり通信経路
が変更され、通信制御テーブルに格納されている通信制
御情報による通信が行われなくなった場合に、当該通信
制御情報を削除して通信制御テーブルを更新することが
できるので、ネットワーク管理者は、各通信装置に対し
て通信制御テーブルを更新する必要がなく、ネットワー
ク管理の負荷を軽減することができる。

【０１１１】また、次の発明のデータ通信システムによ
れば、上記ピンフレーム処理部は、さらに、上記通信制
御テーブルに格納された通信制御情報の通信が有効であ
る所定時間を示す有効時間の情報を含むピンフレームを
生成するように構成され、上記送受信処理部は、上記ピ
ンフレーム処理部を制御し、当該ピンフレーム処理部か
ら出力された上記有効時間の情報が付加されたピンフレ
ームを送信するとともに、上記有効時間の情報が付加さ
れたピンフレームを受信し、上記有効時間に基づいて上
記通信制御テーブルに格納されている通信制御情報の通
信が所定時間以上行われない場合は、当該通信制御情報
を削除するすように構成されたことにより、中継経路上
の通信装置において通信制御テーブルの有効時間が統一
でき、ネットワーク管理の負荷を軽減することができる
うえ、不用意にピンフレームのやり取りが行われるのを
防ぐことができる。

【０１１２】また、次の発明のデータ通信システムによ
れば、上記通信装置は、他の通信装置と鍵交換を行う鍵
交換処理部を備え、上記ピンフレーム処理部は、さら
に、上記鍵交換処理部が使用するポート番号を示すポー
ト番号の情報を含むピンフレームを生成するように構成
され、上記送受信処理部は、上記ピンフレーム処理部を
制御し、当該ピンフレーム処理部から出力された上記ポ
ート番号の情報が付加されたピンフレームを送信すると
ともに、上記ポート番号の情報が付加されたピンフレー
ムを受信し、上記ポート番号に基づいて鍵交換を行うよ
うに上記鍵交換処理部を制御するように構成されたこと
により、鍵交換時に使用するポート番号をピンフレーム
で各通信装置に通知できるので、鍵交換時に使用するポ
ート番号を毎回変更することが可能となる。

【０１１３】また、次の発明のデータ通信システムによ
れば、上記ピンフレーム処理部は、さらに、上記通信デ
ータの処理プライオリティを示すＱＯＳ（Quality of S
ervice）の情報を含むピンフレームを生成するように構
成され、上記送受信処理部は、上記ピンフレーム処理部
を制御し、当該ピンフレーム処理部から出力された上記
ＱＯＳの情報が付加されたピンフレームを送信するとと
もに、上記ＱＯＳの情報が付加されたピンフレームを受
信し、上記ＱＯＳに基づいて上記通信データに対する処
理を行うように構成されたことにより、通信データの優
先度をピンフレームで通知し、鍵交換、データ暗号化、
復号を優先的に処理することができるので、音声データ
など遅延に敏感なデータも扱うことができる。

【図面の簡単な説明】

【図１】 実施の形態１におけるデータ通信システムの
通信シーケンスを示すシーケンス図である。

【図２】 実施の形態１におけるデータ通信システムの
ネットワーク構成の一例を示す構成図である。

【図３】 実施の形態１における通信装置の構成を示す
構成図である。

【図４】 実施の形態１におけるピンフレームのフォー
マットの一例を示す説明図である。

【図５】 実施の形態１における通信制御テーブルの一
例を示す説明図である。

【図６】 実施の形態１における通信装置の処理Ａの流
れを示すフローチャートである。

【図７】 実施の形態１における通信装置の処理Ｂの流
れを示すフローチャートである。

【図８】 実施の形態１における通信装置の処理Ｃの流
れを示すフローチャートである。

【図９】 実施の形態１における通信装置の処理Ｄの流
れを示すフローチャートである。

【図１０】 実施の形態１における通信装置の処理Ｅの
流れを示すフローチャートである。

【図１１】 実施の形態１における通信装置の処理Ｆの
流れを示すフローチャートである。

【図１２】 実施の形態１において端末間の通信経路上
に通信装置が３台存在する場合のネットワーク構成を示
す構成図である。

【図１３】 実施の形態４における通信制御テーブルの
一例を示す説明図である。

【図１４】 実施の形態４におけるピンフレームのフォ
ーマットの一例を示す説明図である。

【図１５】 実施の形態５における通信制御テーブルを
示す説明図である。

【図１６】 実施の形態５における通信装置の処理Ｃ’
の流れを示すフローチャートである。

【図１７】 実施の形態６におけるデータ通信システム
の通信シーケンスを示すシーケンス図である。

【図１８】 実施の形態６における通信装置の処理Ｃ''
の流れを示すフローチャートである。

【図１９】 実施の形態7におけるピンフレームのフォ
ーマットの一例を示す説明図である。

【図２０】 実施の形態８におけるピンフレームのフォ
ーマットの一例を示す説明図である。

【図２１】 実施の形態８における通信装置の通信制御
テーブルの一例を示す説明図である。

【図２２】 従来のデータ通信システムにおけるネット
ワーク構成を示す構成図である。

【図２３】 従来のデータ通信システムにおける通信シ
ーケンスを示すシーケンス図である。

【符号の説明】

１ 通信装置ａ ２ 通信装置ｂ ３ 端末Ａ ４ 端
末Ｂ ５ 端末Ｃ ６ 通信装置ｃ １１ 通信制御テー
ブル １２ ピンフレーム処理部 １３ 暗号化・復号
部 １４ 透過中継部 １５ 廃棄部 １６ 鍵交換処理部 １７、１８ 送受信
処理部 １９ パブリックポート ２０ ローカルポー
ト

───────────────────────────────────────────────────── フロントページの続き (72)発明者 渡邊 晃 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 Ｆターム(参考） 5J104 AA07 DA03 EA02 EA04 KA02 KA06 KA10 MA03 MA07 NA02 NA38 PA07 5K030 GA15 GA17 HA08 HC14 JT03 KA02 MA01 5K033 AA05 AA08 CC01 DB16

Claims (8)

【特許請求の範囲】
1. 【請求項１】 通信データを暗号化・復号する通信装置
   を介して上記通信データを送受信する複数の端末間で通
   信を行うデータ通信システムにおいて、上記通信装置
   は、上記通信データの送信元端末のアドレスと、上記通
   信データの宛先端末のアドレスと、上記送信元端末と宛
   先端末で通信する場合の上記通信データに対する処理内
   容とを含む通信制御情報が格納される通信制御テーブル
   と、予め定められた複数のコマンドのいずれかを示すコ
   マンド種別と、上記通信データの送信元端末のアドレス
   と、上記通信データの宛先端末のアドレスと、上記通信
   装置自身のアドレスとを含む情報を上記端末及び通信装
   置に通知して上記送信元端末と宛先端末で通信する場合
   の上記通信データに対する処理内容を決定するためのピ
   ンフレームを生成するピンフレーム処理部と、上記通信
   データを暗号化又は復号する暗号化・復号部と、受信し
   た上記通信データ又は受信した上記ピンフレームを透過
   中継する透過中継部と、上記通信データ又は上記ピンフ
   レームを受信し、当該受信した通信データ又はピンフレ
   ームと、上記通信制御テーブルの上記通信制御情報とに
   応じて上記ピンフレーム処理部、上記暗号化・復号部、
   又は、上記透過中継部を制御し、上記ピンフレーム処理
   部、上記暗号化・復号部、上記透過中継部のいずれかか
   ら出力された上記通信データ又は上記ピンフレームを送
   信するとともに、上記受信したピンフレームに応じた通
   信制御情報が上記通信制御テーブルに格納されていない
   場合に、上記受信したピンフレームに基づいて上記通信
   データに対する処理内容を決定し、その通信制御情報を
   上記通信制御テーブルに格納する送受信処理部とを備え
   たことを特徴とするデータ通信システム。
2. 【請求項２】 上記ピンフレーム処理部は、さらに、上
   記通信データに対する処理内容の情報を含むピンフレー
   ムを生成するように構成され、上記送受信処理部は、上
   記ピンフレーム処理部を制御し、当該ピンフレーム処理
   部から出力された上記処理内容の情報が付加されたピン
   フレームを送信するとともに、上記処理内容の情報が付
   加されたピンフレームを受信し、当該受信したピンフレ
   ームに基づいて上記通信制御情報を上記通信制御テーブ
   ルに格納するように構成されたことを特徴とする請求項
   ２に記載のデータ通信システム。
3. 【請求項３】 上記通信装置は、上記送受信処理部に制
   御され、上記通信データを廃棄する廃棄部と、通信を不
   通とする端末のアドレスが格納された廃棄リストとを備
   え、上記送受信処理部は、上記廃棄リストと上記受信し
   たピンフレームとを比較して一致した場合に上記処理内
   容を廃棄に決定し、その通信制御情報を上記通信制御テ
   ーブルに格納するように構成されたことを特徴とする請
   求項１又は請求項２のいずれかに記載のデータ通信シス
   テム。
4. 【請求項４】 上記通信装置は、上記送受信処理部に制
   御され、上記通信データを廃棄する廃棄部を備え、上記
   送受信処理部は、上記受信したピンフレームに含まれる
   上記通信データの送信元端末のアドレス及び通信データ
   の宛先端末のアドレスと上記通信制御テーブルに格納さ
   れている通信データの送信元端末のアドレス及び通信デ
   ータの宛先端末のアドレスとを比較していずれかが一致
   する場合に上記処理内容を廃棄に決定し、その通信制御
   情報を上記通信制御テーブルに格納するように構成され
   たことを特徴とする請求項１又は請求項２のいずれかに
   記載のデータ通信システム。
5. 【請求項５】 上記送受信処理部は、上記通信制御テー
   ブルに格納されている通信制御情報の通信が所定時間以
   上行われない場合は、当該通信制御情報を削除するすよ
   うに構成されたことを特徴とする請求項１ないし請求項
   ４のいずれかに記載のデータ通信システム。
6. 【請求項６】 上記ピンフレーム処理部は、さらに、上
   記通信制御テーブルに格納された通信制御情報の通信が
   有効である所定時間を示す有効時間の情報を含むピンフ
   レームを生成するように構成され、上記送受信処理部
   は、上記ピンフレーム処理部を制御し、当該ピンフレー
   ム処理部から出力された上記有効時間の情報が付加され
   たピンフレームを送信するとともに、上記有効時間の情
   報が付加されたピンフレームを受信し、上記有効時間に
   基づいて上記通信制御テーブルに格納されている通信制
   御情報の通信が所定時間以上行われない場合は、当該通
   信制御情報を削除するすように構成されたことを特徴と
   する請求項５に記載のデータ通信システム。
7. 【請求項７】 上記通信装置は、他の通信装置と鍵交換
   を行う鍵交換処理部を備え、上記ピンフレーム処理部
   は、さらに、上記鍵交換処理部が使用するポート番号を
   示すポート番号の情報を含むピンフレームを生成するよ
   うに構成され、上記送受信処理部は、上記ピンフレーム
   処理部を制御し、当該ピンフレーム処理部から出力され
   た上記ポート番号の情報が付加されたピンフレームを送
   信するとともに、上記ポート番号の情報が付加されたピ
   ンフレームを受信し、上記ポート番号に基づいて鍵交換
   を行うように上記鍵交換処理部を制御するように構成さ
   れたことを特徴とする請求項１ないし請求項６のいずれ
   かに記載のデータ通信システム。
8. 【請求項８】 上記ピンフレーム処理部は、さらに、上
   記通信データの処理プライオリティを示すＱＯＳ（Qual
   ity of Service）の情報を含むピンフレームを生成する
   ように構成され、上記送受信処理部は、上記ピンフレー
   ム処理部を制御し、当該ピンフレーム処理部から出力さ
   れた上記ＱＯＳの情報が付加されたピンフレームを送信
   するとともに、上記ＱＯＳの情報が付加されたピンフレ
   ームを受信し、上記ＱＯＳに基づいて上記通信データに
   対する処理を行うように構成されたことを特徴とする請
   求項１ないし請求項７のいずれかに記載のデータ通信シ
   ステム。