JP2002111745A

JP2002111745A - ネットワークアクセス制御装置，その制御方法，その制御システム及び通信サービス方法

Info

Publication number: JP2002111745A
Application number: JP2000302819A
Authority: JP
Inventors: Yoshimitsu Namioka; 良光浪岡; Takeshi Miyao; 宮尾　　健; Toshihiko Nakano; 利彦中野
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2000-09-29
Filing date: 2000-09-29
Publication date: 2002-04-12
Anticipated expiration: 2020-09-29
Also published as: JP3775196B2

Abstract

(57)【要約】【課題】計算機を遠隔地から保守する場合に、保守員が
保守作業時に使用できるサービスを、保守員自身で各計
算機毎に確認できる手段を提供することが課題である。
また別の課題として、ネットワークアクセス制御装置に
おいて、複数の計算機に対して、該計算機の動作モード
にしたがい通信データの通過又は不許可を制御すること
が課題である。【解決手段】遠隔から保守することを可能とする計算機
と外部ネットワークとの接続ポイントにネットワークア
クセス制御装置を設け、該ネットワークアクセス制御装
置に該計算機のアクセス制御ルールに対応する動作モー
ドを設けることを特徴とする。複数の計算機からなる計
算機の場合には、個々の計算機に対して動作モードを設
けることを特徴とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークアク
セス制御装置及び方法，システム並びに遠隔保守サービ
ス方法に関する。

【０００２】

【従来の技術】従来この種のアクセス制御技術は、ルー
タやファイアウォールと呼ばれる製品として実現されて
いる。従来技術では、予めアクセス制御をするためのル
ールを設定しておき、そのルールに従い通信データの通
過許可又は不許可を制御している。またそのルールは、
送信先の計算機のネットワークアドレスを元に通信デー
タの通過許可又は不許可を指定する方式が広く知られて
いる。

【０００３】また計算機を遠隔から保守する技術につい
て、計算機に動作モードとして保守モードを設け、該計
算機自身で保守モードを判定し、保守モードで許可され
た通信データを受信し、保守モードでは許可されていな
い通信データを受信しないことで、誤ったデータを計算
機が受信しないようにするアクセス制御技術は広く知ら
れている。

【０００４】従来のネットワークアクセス制御装置に
は、計算機間で通信するデータの単位であるパケットご
とに転送先または転送元を調べ、予め与えられた規定に
基づき転送を行うパケットフィルタリング装置が広く知
られている。また、通信を行う業務アプリケーションプ
ログラムに特化し、データの通信手順や通信するデータ
の種類に対して通信条件の規定を設け、それに基づき転
送を行う通信代行装置が広く知られている。

【０００５】また、転送可否を規定するルールを動的に
変更する装置としては、特開平１１−１６７５３８号に
記載のように、個々のルールを順次適用するものとなっ
ていた。

【０００６】

【発明が解決しようとする課題】しかし、ルールを適用
するための保守モードを各計算機で設定しては設定が煩
雑であり、保守モードを設定できない計算機については
ファイアウォールでルールを設定しなくてはならない。
アクセス制御ルール管理において、複数のルールを１つ
のアクセス制御ルールとしてグループ化し、現在ネット
ワークアクセス制御装置に適用されているアクセス制御
ルールの目的を識別できるようにすることが課題であ
る。

【０００７】そして、複数の計算機へのアクセス制御に
おいてルールを設定する際にどの計算機がどんな運用方
針，セキュリティーポリシーであるか掴みにくい。よっ
て、ネットワークアクセス制御装置において、複数の計
算機に対して、該計算機の動作モードにしたがい通信デ
ータの通過又は不許可を制御することが課題である。

【０００８】計算機を遠隔地から保守する場合に、保守
員が保守作業時に使用できるサービスを、保守員自身で
各計算機毎に確認できる手段を提供することが課題であ
る。

【０００９】

【課題を解決するための手段】上記課題を解決するため
に、遠隔から保守することを可能とする計算機と外部ネ
ットワークとの接続ポイントにネットワークアクセス制
御装置を設け、該ネットワークアクセス制御装置に該計
算機のアクセス制御ルールに対応する動作モードを設け
ることを特徴とする。複数の計算機からなる計算機の場
合には、個々の計算機に対して動作モードを設けること
を特徴とする。

【００１０】また、ネットワークアクセス制御装置が保
持する動作モードとアクセス制御ルールから、ネットワ
ークアクセス制御装置を介して保守作業時に使用できる
サービスを、個々の計算機毎に表示することを特徴とす
る。

【００１１】

【発明の実施の形態】本発明の実施例１として、計算機
の動作モードを入力し、該モードにしたがいアクセス制
御を実施する例を図１に示す。第１のネットワーク（２
０１）、および第１のネットワークに接続された計算機
（３０１）、また第２のネットワーク（２０２）、およ
び第２のネットワークに接続された計算機（３０２）が
存在し、ネットワークアクセス制御装置（１０１）は第
１のネットワーク（２０１）と第２のネットワーク（２
０２）を接続している構成である。ネットワークアクセ
ス制御装置（１０１）は、アクセス制御処理部（１０
２），アクセス制御ルール（１０３）、および動作モー
ド入力処理部（１０４）からなる。アクセス制御処理部
（１０２）は、第２のネットワークに接続された計算機
からデータを受信（５０１）し、アクセス制御ルール
（１０５）に照らし合わせ（１０６）、該データの通過
許可すべきかどうかを判定し、通過許可する場合は第１
のネットワークに接続された計算機（３０１）にデータ
を転送（５０２）する。ネットワークアクセス制御装置
（１０１）は、計算機の動作モードを入力するための動
作モード入力処理部(１０４)をもち、第１のネットワー
クに接続された計算機(３０１)から該計算機の動作モー
ドを入力する（４０１）。入力された動作モードにした
がって、アクセス制御ルールを該動作モード用に変更
（１０５）する。この方法により、第１のネットワーク
に接続された計算機（３０１）の動作モードにしたが
い、通信データの通過許可又は不許可の制御をネットワ
ークアクセス制御装置において実施することができる。
たとえば、オンラインモードの計算機(３０１)に対し
て、オンラインモードでは処理しない試験用の通信デー
タをネットワークアクセス制御装置で廃棄させることが
可能となる。

【００１２】ここで、図１におけるアクセス制御処理部
（１０２）と変更前後のアクセス制御ルール（１０３）
は、図２に示す構成にて実現される。ネットワークアク
セス制御装置（１０１）において、アクセス制御処理部
（１０２−１）は、データ通信部（１０２−２）と、コ
ネクション管理部（１０２−３）から成る。データ通信
部（１０２−２）は、第２のネットワーク（２０２）に
接続された計算機（３０２）から、第１のネットワーク
（２０１）に接続された計算機（３０１）に対して送信
すべきデータを転送するためにネットワークアクセス制
御装置（１０１）と確立したコネクション（４０４）、
およびネットワークアクセス制御装置（１０１）が受付
けたデータを計算機（３０２）へ転送するために計算機
（３０２）と確立したコネクション（４０３）にて双方
向の通信を中継する。コネクション管理部（１０２−
３）は、コネクションの確立可否条件が規定されたアク
セス制御ルール（１０３−４）に基づきコネクションの
接続を制御する。

【００１３】図１で示されるアクセス制御ルール（１０
３）は、図２のアクセス制御ルール管理部（１０３−
１）にて実現される。アクセス制御ルール管理部(１０
３−１)は、識別子（１０３−２）を持つ複数のアクセ
ス制御ルール（１０３−３）を保持する。

【００１４】図２に示した実現形態の動作について説明
する。まず予めアクセス制御ルール（１０３−３）を用
意する。アクセス制御ルールは、データ送信元計算機の
ＩＰアドレスとポート番号、および本発明が搭載された
ネットワークアクセス制御装置(１０１)でコネクション
を受付けるＩＰアドレスとポート番号、および受付けた
データを送信する、送信先計算機のＩＰアドレスとポー
ト番号を記述する。これらの記述は明示的にコネクショ
ンの確立を許可するものであり、ＩＰアドレスまたはポ
ート番号が記述内容に該当しないコネクションは、暗黙
のうちにコネクションの確立要求を拒否する。また、ア
クセス制御ルールには、識別子（１０３−２）を付与す
る。

【００１５】図１におけるアクセス制御ルール（１０
３）の記述フォーマットを、図３に示す。アクセス制御
ルールは、プロトコルの種別を示す識別子（１１１）
と、コネクションの確立を許可する計算機のＩＰアドレ
ス（１１２）およびポート番号（１１３）、ネットワー
クアクセス制御装置が受付けるＩＰアドレス（１１４）
およびポート番号(１１５），ＩＰアドレス(１１４）お
よびポート番号(１１５)で受付けたデータの送信先とな
る計算機のＩＰアドレス（１１６）およびポート番号
（１１７）から成る。

【００１６】図２において、アクセス制御ルール（１０
３−３）は、計算機（３０１）または計算機（３０２）
の状態にあわせて１つ以上作成し、識別子（１０３−
２）を付与する。例えば、計算機（３０１）の動作モー
ドがオンラインであれば、通信が必要な計算機（３０
２）からのみコネクションを許可するアクセス制御ルー
ルとし、“オンラインモード”を示す識別子を付与す
る。例えば、計算機(３０１)の動作モードが保守状態で
あれば、計算機（３０１）の特定のポートにのみ計算機
（３０２）からコネクションを許可するアクセス制御ル
ールとし、“保守モード”を示す識別子を付与する。例
えば、計算機（３０１）の動作モードが試験モードであ
れば、試験に必要な通信を許可するアクセス制御ルール
とし、“試験モード”を示す識別子を付与する。

【００１７】アクセス制御ルール管理部（１０３−１）
は、システム管理者もしくは他のプログラムからの指
示、例えば図１におけるアクセス制御ルール変更指示
（１０５）により、保持しているアクセス制御ルールの
中から、指定された識別子を持つ特定のアクセス制御ル
ール（１０３−４）を、コネクション管理部(１０２−
３)へ提示する。

【００１８】コネクション管理装置(１０２−３)は、そ
れまで適用していたアクセス制御ルールの内容を全てを
無効にした後、次に適用すべきアクセス制御ルール（１
０３−４）を有効にする。ここで、直前のアクセス制御
ルールが無効となったことにより、既に確立されている
コネクションも無効となる場合には、計算機(３０１)ま
たは計算機（３０２）のいずれかが明示的にコネクショ
ンを切断しない限り、そのコネクションは継続されるも
のとする。

【００１９】計算機（３０２）からネットワークアクセ
ス制御装置（１０１）へコネクションの要求があった場
合、コネクション管理部（１０２−３）は、要求に含ま
れている計算機（３０２）のＩＰアドレスとポート番号
の情報を取得し、現在有効となっているアクセス制御ル
ール（１０３−４）の中から、図３に示すＩＰアドレス
（１１２）とポート番号（１１３）が合致する記述を検
索する。合致する記述が無い場合は、コネクション要求
を拒否する。合致する記述が存在する場合、コネクショ
ン管理部（１０２−３）は、検索された記述の中で図３
に示す転送先計算機のＩＰアドレス（１１６）とポート
番号（１１７）に対してコネクションを確立する。以
降、図２の計算機（３０１）または計算機（３０２）の
いずれかが明示的にコネクションを切断するまでコネク
ション（４０３）とコネクション（４０４）を継続し、
確立したコネクションで受付けたデータはデータ通信部
（１０２−２）が中継する。

【００２０】アクセス制御ルール管理部（１０３−１）
は、システム管理者あるいは他のプログラムからの指示
により、コネクション管理装置が適用しているアクセス
制御ルール（１０３−４）の識別子を提示する。

【００２１】なお、データ通信方式には、単一のポート
番号だけでなく、ＦＴＰのように通信途中から任意のポ
ート番号を使用してデータ通信を実現する方式も存在す
る。その場合の動作を図４に示す。計算機（３０１）と
計算機（３０２）が通信する際、計算機（３０２）がネ
ットワークアクセス制御装置（１００）の特定のポート
番号にコネクションを確立する（２１０−２）。ネット
ワークアクセス制御装置（１００）は、アクセス制御ル
ールに従い、計算機（３０１）とのコネクションを確立
する（２１０−１）。計算機（３０１）は、現在使用可
能な任意のポート番号をネットワークアクセス制御装置
（１００）に送信する（２１１−１）。ネットワークア
クセス制御装置（１００）は、計算機（３０１）と同
様、自身が現在使用可能な任意のポート番号を計算機
（３０２）へ送信する（２１１−２）。ここで、ネット
ワークアクセス制御装置（１００）は、自身が選択した
現在使用可能な任意のポートへのコネクション要求を許
可するものとすることで、先のポート番号に対して計算
機（３０２）がコネクションを要求してきた時点でも継
続してコネクションを確立することができる。

【００２２】本発明の実施例２として、計算機の動作モ
ードとして保守モードを適用した例を図５に示す。第１
のネットワーク（２０１）に計算機１（３０１−１），
計算機２（３０１−２），計算機３（３０１−３）が接
続され、計算機はそれぞれ動作モードを持つ。計算機１
（３０１−１）の動作モードは保守モードであり、該動
作モードの情報をネットワークアクセス制御装置（１０
１）の動作モード入力処理部（１０４）に入力（４０１
−１）する。また、計算機３（３０１−３）の動作モー
ドはオンラインモードであり、該動作モードの情報をネ
ットワークアクセス制御装置（１０１）の動作モード入
力処理部(１０４）に入力(４０１−２）する。第２のネ
ットワークに接続された計算機（３０２）が第１のネッ
トワークに接続された計算機１にデータ通信する場合
に、ネットワークアクセス制御装置（１０１）では、ア
クセス制御ルール（１０３）にしたがい保守モードの計
算機に対して許可されたデータかどうかを判定し、許可
されたデータである場合に限り計算機１にデータ通信す
る（５０２）。同様に、計算機３に対してデータ通信す
る場合には、オンラインモードの計算機に対して許可さ
れたデータかどうかを判定し、許可されたデータである
場合に限り計算機３にデータ通信する。

【００２３】本発明の実施例３として、ネットワークア
クセス制御装置の実装例について図６〜図７に示す。ネ
ットワークアクセス制御装置（１０１）は、アクセス制
御処理部(１０２），アクセス制御ルール(１０３），動
作モード入力処理部(１０４)からなる。アクセス制御処
理部はアクセス制御を実行するプログラム（１０２−
４）からなる。アクセス制御プログラム（１０２−４）
は、外部からのデータを受信（５０１）し、アクセス制
御ルールを記述したデータを読み込み（１０６）、該ル
ールと通信データを照らし合わせ、許可されたデータの
場合にはデータを中継し（５０２）、許可されていない
データの場合にはデータを廃棄する。動作モード入力処
理部（１０４）は、動作モード入力プログラム（１０４
−１）からなり、計算機からの動作モード入力（４０
１）待ちで、いつでも動作モードが入力可能となってい
る。ある計算機から動作モードが入力されると、該動作
モードの情報をアクセス制御ルールに反映し、アクセス
制御ルールを変更する(１０５)。図７は、動作モードを
入力するための、計算機から動作モード入力処理部への
データフォーマット（４０１−３）の例である。送信元
計算機のネットワークアドレス（４０１−４），ネット
ワークアクセス制御装置のネットワークアドレス（４０
１−５）、および送信元計算機の動作モード情報からな
る。計算機は、送信元計算機のネットワークアドレス
（４０１−４）により特定できる。動作モードは、送信
元計算機の動作モード情報（４０１−６）で指定する。
動作モードの例としては、オンラインモード，保守モー
ド，テストモードなどが挙げられる。

【００２４】本発明の実施例４として、計算機を遠隔保
守する場合のアクセス制御方式について図８に示す。ネ
ットワークアクセス制御装置（１０１）は、第１のネッ
トワーク（２０１）に接続された計算機（３０１）から
動作モード（４０１）を入力し、該動作モードによりア
クセス制御ルール（１０３）を変更する。第２のネット
ワーク（２０２）に接続された計算機（３０２）は、ネ
ットワークアクセス制御装置（１０１）から動作モード
（４０１）とアクセス制御ルール（１０３）を入力（４
０２）する。計算機（３０２）は、アクセス制御ルール
（１０３）の中から、計算機（３０２）のＩＰアドレス
が図３で示した送信元計算機のＩＰアドレス（１１２）
に合致するルールを検索し、該検索結果から更に図３で
示した送信先計算機のＩＰアドレス（１１６）とポート
番号（１１７）を抽出してサービス一覧（５１１）を作
成する。抽出した情報は、言い換えれば、保守員がネッ
トワークアクセス制御装置（１０１）を介して通信可能
な計算機（３０１）および異なる計算機（３０３）につ
いて各々保守で使用できるサービスを示している。保守
員は、サービス一覧に基づいて表示された保守画面（５
１２）にてサービスの使用可否を閲覧する。図９におい
て保守画面（５１２）の構成と動作を説明する。保守画
面（５１２）は、動作モード表示部（５２１）と、計算
機表示部(５２２）と、サービス表示部(５２３）で構成
する。動作モード表示部(５２１)には、図８で示したネ
ットワークアクセス制御装置（１０１）から入力した動
作モードを表示する。計算機表示部（５２２）には、図
８で示したサービス一覧で得たＩＰアドレスを表示す
る。また、サービス一覧（５２２）に複数の計算機があ
る場合は、複数のＩＰアドレスを表示する。保守員は、
計算機表示部(５１１)から単一のＩＰアドレスを選択操
作する。サービス表示部（５２３）には、選択されたＩ
Ｐアドレスについて、図８で示したサービス一覧（５１
１）から得たポート番号を表示する。サービス一覧（５
１１）の中に、保守員が選択したＩＰアドレスについて
複数のポート番号がある場合は、複数のポート番号を表
示する。

【００２５】本発明の実施例４については、計算機一覧
表示部（５２２）に関して、ＩＰアドレスに加えて予め
ＩＰアドレスに関連付けて定義された計算機名を表示し
てもよい。サービス表示部（５２３）に関して、ポート
番号に加えて予めポート番号と関連付けられたサービス
名を表示してもよい。また、アクセス制御ルール（１０
３）は、予め計算機（３０２）にて保持することで、ネ
ットワークアクセス制御装置（１０１）から動作モード
だけを入力（４０２）し、サービス一覧（５１１）を作
成してもよい。さらに、計算機（３０２）から計算機
（３０２）のＩＰアドレスを入力した後、サービス一覧
（５１１）をネットワークアクセス制御装置にて作成
し、計算機（３０２）へ送信することで、計算機（３０
２）は、保守画面（５１２）を表示することもできる。

【００２６】図１０は遠隔保守サービスをサービス提供
側とサービス享受側のシステム全体例である。ある設備
とそれを制御する計算機があり、ネットワークアクセス
制御装置を介して外部へ通信回線を通じて繋がってい
る。そして保守サービス側の計算機が保守サービスサー
バやネットワークアクセス制御装置を介して計算機や設
備へと通信できるようになっている。遠隔保守サービス
はポートに対応するプロトコル、そしてそのプロトコル
のアプリケーションで提供する設備の保守管理作業や修
理，情報提供などである。アウトソーシングでの管理に
際し、Ａ社とＢ社の設備が使われていたとき、管理をそ
れぞれの会社で行わせたい場合には、それぞれの会社に
対応するモードを設定することにより、簡単に設定、運
用ができる。設備としては、発電設備や工場生産ライン
などの産業プラントなどが挙げられる。

【００２７】図１１はサービスを行う上でのフローの例
である。サービス享受側の計算機にオンラインモードを
設定し、これによりプロセス制御が行われ設備が運転を
開始する。計算機に設定されたモードはネットワークア
クセス制御装置に登録される。この登録作業は計算機に
モードが設定された際に計算機からネットワークアクセ
ス制御装置に送信する（６０１）。そしてネットワーク
アクセス制御装置への登録内容が変わったことを保守サ
ービスサーバへと伝え登録する（６０２）。オンライン
モードでは通常の運転状態でプラント制御が行われてい
るので、制御している計算機の状態を変更して致命的な
ミスを冒さないように通信制御ルールを設定しておく。
保守員は登録されたオンラインモードでできる保守を行
う。ここでは監視サービスであり、異常がないかどうか
監視している（６０４）。設備が故障した場合は設備が
故障したのを計算機が検知し、オンラインモードから保
守モードへと切り替わる。保守モードはプログラムの入
れ替えやデータの変更など、計算機の動作を変更させる
ための作業ができる状態になるように制御ルールが設定
されている。計算機はモード変更をネットワークアクセ
ス制御装置に登録し（６０５）、ネットワークアクセス
制御装置は保守サービスサーバへ計算機のモード変更を
登録する（６０６）。これにより今までオンラインモー
ドで監視していた保守員は保守モードへと登録が変更に
なったのを確認し（６０７）、異常があったことを知
り、保守モードでできる保守検査を行いその結果を報告
する（６０８）。

【００２８】ここではモード変更の度に保守サービスサ
ーバへ登録しているが、登録せずに通信する際にモード
の情報を通信しても良い。

【００２９】保守モード以外の計算機には保守モードデ
ータが行かないようにすることにより、遠隔から操作を
許可された者が誤って保守モード以外の計算機に対して
通信データを送信することを防ぐことができる。

【００３０】設備が故障したのを計算機が検知するもの
を挙げたが、作業員による入力の他に、保守サービスの
監視において異常を確認し、保守サービス側の計算機か
ら、保守計算機のモードを変更できるようにしてもよ
い。この時は、ファイアウォールであるネットワークア
クセス制御装置内のモードを扱うことになるのでセキュ
リティの観点から他の暗号化技術などを併用する必要が
ある場合も考えられる。これによりネットワークアクセ
ス制御装置において、該装置の管理者の操作なしにアク
セス制御ルールを変更することができる。

【００３１】図１２は保守サービスの料金の課金方法の
一例を示す。モードを設定し保守サービスを依頼する
と、保守サービス提供側はそのモードでできるサービス
での保守管理を行う。サービス毎にある時間当たりの料
金を決めておき、そのサービスで費やした時間より料金
を決定し課金する。モードを変更することによりサービ
ス内容が変わるので、受けたいサービスを受けたい時
に、そのサービスに見合った料金で受けることができ
る。また、計算機ごとにモードを設けることにより各計
算機ごとに料金を変えても良い。他の課金方法としては
月極など一定期間に一定料金にする方法がある。

【００３２】ルールとモードを対応させる例として図１
３の様に対応させ、ネットワークアクセス制御装置で管
理される。ネットワークアクセス制御装置でルールとモ
ードを対応させ管理することにより、各計算機でモード
を設定できなくとも良くなり、ネットワークアクセス制
御装置にてルールを適用することにより各計算機には必
要な情報だけを流すことができる。そのため、各計算機
で必要な情報かどうかを判断しなくても良くなるので各
計算機の負荷が減る。運用方針を表すモードを複数設け
ることにより、運用方針を変更することで適用したいル
ールを一度に、手間無く入れ替えることができる。

【００３３】また、各計算機とそのモードを対応させる
例として図１４の様に対応させ、ネットワークアクセス
制御装置で管理される。各計算機毎にモードを設定する
ことにより、各計算機の運用方針を把握しやすく簡単に
ルールを適用できる。１台の計算機から複数の計算機に
対して、動作モード毎のアクセス制御ルールが適切に定
義されているか否かを確認することもできる。いくつか
の計算機を運用方針上おなじ計算機群としてモードと対
応させることにより、計算機群のシステムの運用方針と
してまとめることもできる。

【００３４】モードの代表的な例としては以下の様なも
のが挙げられる。（１）イニシャルモード：計算機を起動したとき、業務
用アプリケーション（プラント制御プログラムなど）を
実行しない状態。この状態から、他のモードへ遷移す
る。（２）オンラインモード：業務用アプリケーションが起
動され、プラント制御を行う。通常の運転状態。（３）保守モード：プログラムの入れ替えやデータの変
更など、計算機の動作を変更させるための作業ができる
状態。（４）テストモード：計算機が最終的な制御命令を出さ
ない状態。制御機器からのデータ受信と制御命令の送信
を擬似的に行う。動作試験時に使用する。（５）モニタランモード：テストモードとは異なり、制
御機器からのデータ受信は実際のプラントから受信する
状態。動作試験時に使用する。

【００３５】複数のモードを切り替えることにより管理
する計算機または保守する計算機に対するアクセス制御
ルールを変更できるので、管理運用方針を把握しつつ簡
単にルールを適用できる。

【００３６】保守サービスは例に挙げたモードやサービ
ス内容に囚われず、必要なモードを適宜作成し、多様な
サービスを実施することが必要である。

【００３７】図１５はルール一括適用の流れを表す例で
ある。ネットワークアクセス制御装置をあるモードから
別のモードへと切り替えるとき、新しいルールを３つ適
用する。外部からのコネクション要求が来ている際にル
ール３つを順次適用していくが、上段はルールを一括適
用しない場合であり、下段はルールを一括適用する場合
である。外部との通信において通信Ａと通信Ｃを必要と
するとき、上段の状態Ａ及び状態Ｂでは通信Ａのみがコ
ネクションを確立し通信でき通信Ｃがコネクションを確
立できていない。これに対し下段のルールを一括適用す
る場合は、モードによるルールセットが適用されてから
通信を開始するので通信Ａと通信Ｃの通信の整合性が良
い。管理している計算機に適用されているアクセス制御
ルールを一括して無効化した後、適用したい運用方針を
表す識別子であるモードと対応する複数のアクセス制御
ルールを一括して有効にすることにより、アクセス制御
ルールが複数のルールから成る場合、個々のアクセス制
御ルールを順次変更していくことによる過渡状態を発生
させずにアクセス制御ルールを動的に変更させることが
できる。

【００３８】図１６はルール適用とコネクション継続の
例である。外部からのコネクション要求が来ると、親プ
ロセスは通信先の計算機に適用されているモードのルー
ルセットにより通信可否を判断し、通信可であれば、子
プロセスに通信の仕事を渡す。子プロセスはコネクショ
ン要求に対してコネクションを確立し、通信し、通信が
終了するとクローズする。子プロセスは親プロセスから
仕事である通信を受けるときに生成される場合もあれ
ば、最初から在る場合もある。

【００３９】親プロセスは通信先計算機のルールセット
が適用される途中でコネクション要求があった際には、
ルールセットが適用され終わってから子プロセスへと仕
事を受け渡すことによりルールを一括適用できる。ま
た、子プロセスは一度コネクションを確立したら、コネ
クションをクローズするまで通信を続け、クローズする
と親プロセスに対して仕事待ちの状態になる。通信の途
中でのルール適用をしないことにより、コネクションを
確立した通信が通信の途中でルールが入れ替わることに
よるコネクションのクローズで通信できなくなることが
無い。

【００４０】従来技術を用いたパケットフィルタリング
装置では、通信を拒絶するアクセス制御ルールが適用さ
れた時点でパケットの転送が行われなくなるため、転送
が中断されたことを業務アプリケーションプログラムが
検知し、それまでのデータあるいはそれに対する一連の
処理すべてを無効にしなければならないことがある。し
かし、適用されているアクセス制御ルールを変更する
際、既に確立されていたコネクションについては無効化
対象であってもコネクションを継続することにより、処
理の連続性を確保できる。これにより、アクセス制御ル
ールを一括して切り替えることによって、通信中にアク
セス制御ルールを切り替えても計算機間のコネクション
を確立して通信が終了するまで通信を継続しサービスを
提供することができる。

【００４１】遠隔保守サービスにおいて、通信のコネク
ションが確立されてからクローズするまでの時間でサー
ビス時間としてサービス料金を課金する方法の場合、保
守サービス作業の途中でコネクションが切断されると途
中までの作業が無駄になり、再度やりなおさなくてはな
らない。このとき、保守サービス提供側としては作業の
手間数が増え、サービス享受側としては作業時間の増大
により料金が増えてしまう。また、音楽配信などでコン
テンツプロバイダからデータを配信するサービスにおい
て、コンテンツを提供する期間を定めて課金するとき、
サービス提供側ではクライアントのサービス期間の終了
に伴いルールを変更することが考えられるが、サービス
享受側であるクライアントが配信サービス期限の直前か
らコネクションを確立していた場合、通信の途中でコネ
クションが切られるとその通信は無駄になってしまう。
ルールを一括適用し、コネクションを継続させることに
より保守サービスや配信サービスにおいてより確実な通
信を提供でき、より良いサービスを提供し、サービスに
見合った課金もすることができる。

【００４２】

【発明の効果】本発明によると、遠隔から計算機の保守
をする場合に、計算機が保守モードである、言いかえる
と計算機が保守可能状態であることをネットワークアク
セス制御装置にて判定し、誤って保守モード以外の計算
機に対して保守用のデータを送信することを防止する効
果がある。

【００４３】また、現在適用中のアクセス制御ルールを
意味的に解釈できるため、システム管理者は適用中のア
クセス制御ルールを確認することが容易となり、又、現
在使用できるサービスを保守員に示すことで、サービス
が可能か否かを調べるための試行作業を行わずに済む効
果がある。

【図面の簡単な説明】

【図１】システム構成図。

【図２】アクセス制御処理部とアクセス制御ルール管理
部の構成。

【図３】アクセス制御ルールのデータフォーマット。

【図４】複数のポートを使用する通信方式。

【図５】複数計算機からなる計算機の図。

【図６】ネットワークアクセス制御装置の構成。

【図７】通信データフォーマット。

【図８】遠隔保守作業でのアクセス制御方式。

【図９】保守画面の構成。

【図１０】遠隔保守サービスの全体図。

【図１１】保守サービス側とサービス享受側のフロー。

【図１２】保守管理サービス料金の課金のフロー。

【図１３】動作モードとアクセス制御ルールの対応表。

【図１４】計算機と動作モードの対応表

【図１５】ルール一括適用の流れ。

【図１６】ルール適用とコネクション継続の例。

【符号の説明】

１０１…ネットワークアクセス制御装置、１０２…アク
セス制御処理部、103…アクセス制御ルール、１０４…
動作モード入力処理部、１０５…ルール変更、１０６…
データ読み込み、２０１〜２０２…ネットワーク、２１
０…コネクション確立、２１１…ポート番号送信、２１
２…通信、３０１〜３０２…計算機、４０１〜４０２…
動作モードの入力、５０１〜５０２…データ通信、５１
１…サービス一覧、５１２…保守画面、６０１…サービ
ス享受側のモード設定，モード登録，設備運転、６０
２、６０６…サービス提供側へのモード登録、６０３，
６０７…登録確認、６０４…監視サービス、６０５…サ
ービス享受側の設備故障，モード切り替え，モード登
録、６０８…検査，報告サービス。

───────────────────────────────────────────────────── フロントページの続き (72)発明者中野利彦茨城県日立市大みか町五丁目２番１号株式会社日立製作所情報制御システム事業部内Ｆターム(参考） 5K030 HA08 HB06 HB08 HD06 JA11 JT06 KA05 LB05 LB19 LC15 5K033 BA04 BA08 CB06 CB08 DA05 DB12 DB14 DB16 DB18 EA07

Claims

【特許請求の範囲】

【請求項１】ネットワークに接続された計算機間の通信
制御を行うネットワークアクセス制御装置において、接
続されたネットワーク間で通信するデータを制御するア
クセス制御ルールと管理する計算機に適用する運用方針
を表すモードとを対応させて管理するアクセス制御ルー
ル管理部と、該計算機に適用したモードに対応するアク
セス制御ルールを適用してそれに従いコネクションを管
理するコネクション管理部と、コネクションを許可した
場合のみ複数のネットワーク間で通信データを転送する
データ通信部とを有するネットワークアクセス制御装
置。
【請求項２】請求項１において、適用されているアクセ
ス制御ルールを一括して無効化した後、あらかじめ用意
した複数のアクセス制御ルールの中から特定のモードに
対応するアクセス制御ルールを一括して有効にするコネ
クション管理部を有することを特徴とするネットワーク
アクセス制御装置。
【請求項３】請求項２において、適用されているアクセ
ス制御ルールを一括して変更する際、既に確立されてい
たコネクションについては無効化対象であってもコネク
ションを継続するコネクション管理部を有することを特
徴とするネットワークアクセス制御装置。
【請求項４】ネットワークに接続された計算機間のデー
タ伝送を制御するネットワークアクセス制御方法におい
て、データ通信条件を規定するアクセス制御ルールに対
応し運用方針を表すモードを管理する計算機に適用し、
該モードに対応したアクセス制御ルールと受信したデー
タとを照らし合わせ、通過許可を判断しデータを送出す
るネットワークアクセス制御方法。
【請求項５】ネットワークに接続された計算機間のデー
タ伝送を制御するネットワークアクセス制御方法におい
て、接続されたネットワーク間で伝送するデータを制御
するアクセス制御ルールと管理する計算機に適用する運
用方針を表すモードとを対応させるモード対応表と、管
理する計算機と該モードとを対応させる計算機対応表
と、に基づいて、受信したデータの通過許可を判断し、
該データを送出若しくは破棄するネットワークアクセス
制御方法。
【請求項６】ネットワークに接続された計算機間のデー
タ通信を制御するネットワークアクセス制御システムに
おいて、データ通信判断の基準となるアクセス制御ルー
ルに対応し運用方針を表すモードを管理する計算機に適
用し、該モードに対応したアクセス制御ルールと外部計
算機から受信したデータとを照らし合わせ通過許可を判
断し、管理する計算機へデータを送出することで通信を
制御するネットワークアクセス制御システム。
【請求項７】請求項６において、管理する複数の計算機
と該モードを対応させ、それに基づきデータ通信を制御
するネットワークアクセス制御システム。
【請求項８】ネットワークに接続された計算機間のデー
タ通信を制御するネットワークアクセス制御装置を介し
て遠隔操作により行う遠隔保守サービス提供方法であっ
て、サービス享受者がネットワークアクセス制御装置に
設定した運用方針を表すモードに応じて、該モードで通
信可能なサービスで計算機を保守又は管理する遠隔保守
サービス提供方法。
【請求項９】ネットワークに接続された計算機間のデー
タ通信を制御するネットワークアクセス制御装置を介し
て遠隔操作により行う遠隔保守サービス提供方法であっ
て、サービス享受者がネットワークアクセス制御装置に
設定した計算機に対する運用方針を表すモードに応じ
て、複数の計算機を該モードで通信可能なサービスで保
守又は管理する遠隔保守サービス提供方法。
【請求項１０】ネットワークに接続された計算機間のデ
ータ通信を制御するネットワークアクセス制御装置を介
して遠隔操作により行う遠隔保守サービス提供方法であ
って、サービス享受者がネットワークアクセス制御装置
に設定した計算機に対する運用方針を表すモードに応じ
て、サービス提供者の計算機の画面に該モード又は運用
方針を表示し、計算機を保守又は管理する遠隔保守サー
ビス提供方法。
【請求項１１】請求項１０において、サービス内容を保
守サービス画面に表示することを特徴とする遠隔保守サ
ービス提供方法。
【請求項１２】請求項１０において、保守又は管理する
計算機を保守サービス画面に表示することを特徴とする
遠隔保守サービス提供方法。
【請求項１３】請求項８乃至１２において、モードはイ
ニシャルモード，オンラインモード，保守モード，テス
トモード，モニタランモードのいずれかのうち一つ以上
を含む遠隔保守サービス提供方法。
【請求項１４】請求項８乃至１３において、計算機に適
用するモードに応じて保守サービス料金を課金する遠隔
保守サービス提供方法。
【請求項１５】請求項８乃至１３において、計算機に適
用するモードに応じて保守サービス料金を課金する際
に、計算機ごとに課金することを特徴とする遠隔保守サ
ービス提供方法。
【請求項１６】ネットワークアクセス制御装置を介して
通信する計算機間の遠隔保守サービス方法であって、通
信中にサービス享受者がアクセス制御ルールを切り替え
ても計算機間のコネクションを確立して通信が終了する
まで通信を継続しサービスを提供する遠隔保守サービス
方法。
【請求項１７】ネットワークアクセス制御装置を介して
通信する計算機間のコンテンツ配信サービスにおいて、
配信サービスに有効期間を設定してサービス提供する際
に、有効期間を過ぎても該期間中に確立された通信は継
続してサービスを提供するコンテンツ配信サービス方
法。