JP2004088768A

JP2004088768A - パケットデータ中継装置及びその方法

Info

Publication number: JP2004088768A
Application number: JP2003279473A
Authority: JP
Inventors: Hirotaka Yamauchi; 山内　弘貴; Minoo Abe; 安部　美乃夫
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 2002-08-06
Filing date: 2003-07-24
Publication date: 2004-03-18

Abstract

【課題】　外部ネットワークを介して受信した複数のセキュアプロトコルの１つに基づくパケットデータを、宅内のホームネットワーク上のセキュアプロトコルに変換可能なパケットデータ中継装置を提供する。
【解決手段】　パケットデータ中継装置１０１は、第一ネットワークＩ／Ｆ部２０１、復号化部２０２、プロトコル変換部２０３、暗号化部２０４、第二ネットワークＩ／Ｆ部２０５、及び記憶部８０１から構成される。第一ネットワークＩ／Ｆ部２０１は、外部ネットワーク上のセキュアプロトコルの１つに基づくパケットデータを受信し、前記プロトコル変換部２０３は、前記記憶部８０１に記憶されているテーブル８０２を参照して、ホームネットワーク上のセキュアプロトコルに変換する。
【選択図】　図８

Description

　本発明は、パケットデータによる通信における中継装置及びその方法に関し、特に、暗号化されたパケットデータのプロトコル変換を行う技術に関する。

　近年、ＡＤＳＬ（Asymmetric Digital Subscriber Line）や光ファイバ網等の大通信容量のブロードバンドであり、かつ常時接続可能なアクセス網が一般家庭にも急速に普及しつつある。また、家庭内の家電製品を有機的に結合するホームネットワークも数多く規格化されつつあり、その代表例としてはＥＣＯＮＥＴ、ＩＥＥＥ１３９４、ＨｏｍｅＰＮＡ等が挙げられる。

　このため、今後ユーザは、外出先でインターネットに接続できる携帯端末を操作し、インターネット及びホームネットワーク経由で操作情報を自宅の家電機器に送信することにより、これら家電機器の遠隔操作が可能となることが予想される。そして、このような家電機器の遠隔操作は、ユーザの利便性を向上し、かつ新たな価値を家電機器に付加できるため、家電メーカに製品の商品力強化をもたらすことが可能である。

　また、前記遠隔操作は、サービス提供者側とユーザ側との間で信頼のおける安全な取引が行われることが前提となるが、前記遠隔操作の情報を通信伝達する際に、情報の盗聴・改竄を完全に防止できないインターネット、宅内外の無線ネットワーク、電灯線ネットワーク等を使用した場合、悪意のある第三者が遠隔操作情報を改竄することで、宅内家電機器を誤作動させる危険性がある。特に、家電機器が暖房機、給湯器等の場合には、誤動作により火災が発生する可能性もある。

　このような問題点を解決する方法として、通信内容を暗号化するとともに、改竄検出用のハッシュ値を付加することが挙げられる。現在、各種ネットワークプロトコルの規格化団体も、通信のセキュリティ性向上を課題としており、プロトコルにセキュリティ機能を付加することに取り組んでいる。これらの取り組みの成果として、Ｌ２ＴＰ、ＩＰsec（ＩＰｖ４版、ＩＰｖ６版）、ＳＳＬ、暗号化対応のＥＣＯＮＥＴ等の暗号通信プロトコルが標準化されている。これらの暗号通信プロトコルは、暗号アルゴリズムとして暗号化したデータの任意領域を部分的に復号化できるＤＥＳ(Data Encryption Standard)や３ＤＥＳ（Triple DES）、ＡＥＳ(Advanced Encryption Standard)等を使用している。

　そして、前記家電機器の遠隔操作等を実現するために問題となるのは、宅外のインターネットで使用する暗号通信プロトコルと、宅内のホームネットワークで使用する暗号通信プロトコルとが異なる場合である。このような場合には、これらの暗号通信プロトコルを変換するパケットデータ中継装置が必要となる。
　また、互いに異なる暗号を使用する端末間で暗号通信を行う際の暗号変換処理を安全に行うことが可能な暗号通信システムが開示されている（例えば、特許文献１参照）。
特開２００１−２１１４２１号公報

　ところで、上述のような近年のインターネットのプロトコルタイプの変換時期において、セキュリティ向上のために様々な異なるプロトコルが標準化されており、それらはいずれも新たなセキュアプロトコルとして用いられる。これら新たなセキュアプロトコルとしては、ＩＰsec、ＳＳＬ、暗号化対応のＥＣＯＮＥＴ等が挙げられる。そして、これらの複数のセキュアプロトコルを用いた外部ネットワークから送信されるパケットデータを受信し、宅内のホームネットワークに接続された家電機器等に中継するパケットデータ中継装置において、これら複数のセキュアプロトコルの１つに従ったパケットデータを受信してホームネットワークのセキュアプロトコルに統一的に変換した後に各送信先の家電機器にパケットデータを送信する中継装置の出現が望まれている。

　また、従来のパケットデータ中継装置では、宅外、宅内の暗号通信プロトコルで、部分的に復号可能な暗号アルゴリズムと暗号鍵を共通に使用している場合においても、暗号化パケットデータ内に含まれるヘッダ部やトレイラ部等の通信制御情報を取得するために、パケットデータの暗号化されている情報のうち、ヘッダ部のみでなく当該ヘッダ部に比べて情報量の多いペイロード部の復号化及び暗号化を実施している。

　図２２は、従来のパケットデータ中継装置のパケットデータ処理過程を示す図である。パケットデータ２２０１は、平文制御情報３１０、比較的情報量の少ない暗号化通信制御情報３２０、及び情報量の多い暗号化されたユーザ情報３３０より構成される。そして、通信網を介して接続された第一ネットワークＩ／Ｆ部２０１から受信した前記パケットデータ２２０１を、プロトコル変換してパケットデータ２２０２として第二ネットワークＩ／Ｆ部２０５より出力する。

　そして、従来のパケットデータ中継装置におけるパケットデータ処理過程では、図２２に示すように、中継装置は、暗号化を解くため、本来復号化の必要がないユーザ情報３３０を含むパケットデータ２２０１の全データ領域の復号化を行い復号化済ユーザ情報２２３０とし、次に、復号化済通信制御情報５００及び平文通信制御情報３１０のプロトコル変換を行い、さらに、第二ネットワークＩ／Ｆ部２０５へパケットデータ２２０２の情報を送出する前に前記復号化済ユーザ情報２２３０等を含むパケットデータ２２０２を再度暗号化する必要がある。

　しかし、前記従来のパケットデータ中継装置では、通信網を介して接続された端末装置から通信プロトコルに従って受信したパケットデータを、他の通信網に対応する異なる通信プロトコルに従って出力する場合に、暗号化パケットデータ内のヘッダ部やトレイラ部等に含まれる通信制御情報を獲得するため、本来復号化の必要がないユーザ情報を含むパケットデータの全データ領域の暗号化及び復号化を繰り返し行っている。

　そして、一般的には、暗号化及び復号化には多くの処理ステップを要求されるため、高速なプロトコル変換処理を実現するには、高価な高性能ＣＰＵや専用ハードウエアが必要となる。従って、パケットデータ中継装置は、家電機器の遠隔操作等のようにユーザに対し利便性を提供できる一方、高価な部品が必要となり、高価格になるという問題がある。

　また、パケットデータをパケットデータ中継装置で復号化する場合において、ユーザ情報等の復号化を行うため、秘匿性の高いユーザ情報等が、悪意のある第三者に盗聴され易くなるという問題もある。

　そこで、本発明は、上述の事情を考慮してなされたものであり、外部ネットワークから複数のセキュアプロトコルを用いたパケットデータを受信し、宅内のホームネットワークで使用するセキュアプロトコルに変換可能なパケットデータ中継装置を提供することを第一の目的とする。

　また、安価な低性能ＣＰＵ等の部品を使用した場合においても高速な暗号通信プロトコル変換処理を可能にするパケットデータ中継装置を提供することを第二の目的とする。さらに、本発明では、秘匿性の高い情報を含むパケットデータの中継処理における安全性を確保し、悪意ある第三者の盗聴等を防止することが可能なパケットデータ中継装置を提供することを第三の目的とする。

　前記目的を達成するために、本発明に係るパケットデータ中継装置は、外部ネットワークとホームネットワークとの間で送受信されるパケットデータを中継するパケットデータ中継装置であって、外部ネットワークを介して接続された第一端末装置から複数のセキュアプロトコルの１つに従って受信したパケットデータを受信する受信手段と、外部ネットワークとホームネットワークとの通信に用いるセキュアプロトコル及び暗号アルゴリズムの種類を判定する判定手段と、前記判定手段における判定に基づいて、前記受信手段で受信したパケットデータのセキュアプロトコルをホームネットワークの第二セキュアプロトコルに変換する変換手段と、前記変換手段によるプロトコル変換後のパケットデータを前記第二端末装置に出力する出力手段とを備えることを特徴とする。

　これにより、本発明に係るパケットデータ中継装置においては、外部ネットワークからの様々なセキュアプロトコルに対応した端末装置からの操作情報が付与されたパケットデータをホームネットワーク上の宅内の端末装置に安全に送信して遠隔操作を行うことが可能となり、ユーザの利便性を向上させることができる。

　また、本発明に係るパケットデータ中継装置においては、受信手段において受信するパケットデータは、通信制御情報を平文のまま格納した平文通信制御情報及び通信制御情報を暗号化して格納した暗号化通信制御情報が含まれるヘッダ部及びユーザ情報を暗号化して格納した暗号化ユーザ情報が含まれる本体部から構成され、前記パケットデータ中継装置は、さらに、受信した前記パケットデータのうち、前記暗号化通信制御情報を特定する特定手段と、特定された前記暗号化通信制御情報を復号化する復号化手段と、前記変換手段でプロトコル変換された通信制御情報及びユーザ情報含むパケットデータを生成するパケット生成手段とを備え、前記変換手段は、前記復号化手段において復号化された通信制御情報を前記第二セキュアプロトコルに従った通信制御情報に変換し、前記出力手段は、前記パケット生成手段において生成されたパケットデータを前記第二端末装置に出力することを特徴とする。

　これにより、本発明に係るパケットデータ中継装置においては、通信制御情報に比べデータ量が多いユーザ情報は復号化しないため、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、安価な低性能ＣＰＵ等の部品を使用した場合においても高速な暗号通信プロトコル変換処理を可能にするパケットデータ中継装置とすることができる。

　尚、本発明は、上述のような中継装置として実現できるのみではなく、この中継装置が備える手段をステップとする中継方法、また、当該中継方法をコンピュータ等で実現させるプログラムとして実現したり、当該プログラムをＤＶＤ、ＣＤ−ＲＯＭ等の記録媒体や通信ネットワーク等の伝送媒体を介して流通させることができるのは言うまでもない。

　本発明に係るパケットデータ中継装置においては、外部ネットワークからの様々なセキュアプロトコルに対応した端末装置からの操作情報が付与されたパケットデータをホームネットワーク上の宅内の端末装置に安全に送信して遠隔操作を行うことが可能となり、ユーザの利便性を向上させることができる。

　また、通信制御情報に比べデータ量が多いユーザ情報は復号化しないため、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、安価な低性能ＣＰＵ等の部品を使用した場合においても高速な暗号通信プロトコル変換処理を可能にするパケットデータ中継装置とすることができ、近年の通信の大容量化等に対応するパケットデータ中継装置を提供することが可能となる。

　さらに、パケットデータに含まれる暗号化通信制御情報が可変長の場合においても、前記暗号化通信制御情報の格納位置を容易に特定することができ、処理ステップ数が多い復号化処理の実行回数を確実に低減することが可能となり、高速な暗号通信プロトコル変換処理を可能にするパケットデータ中継装置とすることができる。

　またさらに、中継装置におけるパケットデータの処理中にユーザ情報は暗号化されたままなので、秘匿性の高い情報が悪意のある第三者によって盗聴等されるのを防止することができる。

　以下、本発明の実施の形態について図面を参照しながら詳細に説明する。
（実施の形態１）
　まず、本発明の実施の形態１に係るパケットデータ中継装置１０１について説明する。
　図１は、本発明の実施の形態１に係るパケットデータ中継装置１０１を含むネットワークシステムの構成の一例を示す図である。

　本実施の形態１におけるパケットデータ中継装置１０１は、入力されたＩＰパケットに対して必要な暗号化（復号化を含む）処理及びプロトコル変換をブロック単位で施した後にパケットとして再構築して出力する装置であり、パケットデータ３０１の暗号化通信制御情報３２０のみを復号化処理、プロトコル変換、及び暗号化処理する点に特徴を有する。また、第一端末装置１０２と第二端末装置１０３とはパケットデータ中継装置１０１を介して接続されることでネットワークシステムを構成する。

　そして、第一端末装置１０２は第一ネットワークに接続されており、暗号通信には第一通信プロトコルを使用している。また、図１に示された第二端末装置１０３は第二ネットワークに接続されており、暗号通信には第二通信プロトコルを使用している。前記第一ネットワークは、例えばインターネットであり、前記第二ネットワークは、例えばＥＣＯＮＥＴ等の家庭用通信網である。

　また、図１では第一端末装置１０２と第二端末装置１０３とは暗号通信を行っているが、各々が使用している暗号通信プロトコルが異なるため、第一ネットワークと第二ネットワークとの間に、２つの異なる暗号プロトコルを理解し、一方の暗号通信プロトコルからもう一方の暗号通信プロトコルへと変換するパケットデータ中継装置１０１が設けられている。

　そして、第一端末装置１０２からパケットデータ中継装置１０１へと送信されるパケットデータ３０１は、平文通信制御情報３１０、暗号化通信制御情報３２０、及び暗号化ユーザ情報３３０より構成され、パケットデータ中継装置１０１から第二端末装置１０３へと出力されるパケットデータ５０２は、平文通信制御情報５１０、暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０より構成され、前記パケットデータ３０１は中継装置１０１においてプロトコル変換され異なる第二通信プロトコルに従ったパケットデータ５０２へと変換される。

　尚、本実施の形態１を適用する前提条件は、前記第一端末装置１０２と前記第二端末装置１０３とが共通の暗号アルゴリズムと暗号鍵を使用すること、及び暗号アルゴリズムには、暗号化したデータの任意領域を部分的に復号化することのできるＥＣＢ（Electronic Code Book）モードのＤＥＳ(Data Encryption Standard)や３ＤＥＳ、ＡＥＳ(Advanced Encryption Standard) 等が使用されることである。また、送受信を行う第一端末装置１０２及び第二端末装置１０３とパケットデータ中継装置１０１とは通信を開始する前に、何らかの方法で暗号アルゴリズム及び暗号鍵を共有しているものとする。

　図２は、パケットデータ中継装置１０１の構成を示す機能ブロック図である。このパケットデータ中継装置１０１は、ホームサーバーやルータ等の中継装置であり、第一ネットワークＩ／Ｆ部２０１、復号化部２０２、プロトコル変換部２０３、暗号化部２０４、第二ネットワークＩ／Ｆ部２０５、及びパケットデータ３０１を転送するバス２０６から構成される。尚、前記図２の機能ブロック図に示す各構成は、本実施の形態１の説明のための例示であり、本発明に係る中継装置１０１の構成は、図２に示す機能ブロック図の構成に限定されるものではない。

　前記第一ネットワークＩ／Ｆ部２０１は、この第一ネットワークＩ／Ｆ部２０１を介して第一端末装置１０２とパケットデータ３０１の送受信をするインターフェイス回路等である。また、前記復号化部２０２は、通信制御情報解析部２０２ａと通信制御情報復号化部２０２ｂとから構成され、第一ネットワークＩ／Ｆ部２０１（又は第二ネットワークＩ／Ｆ部２０５）が受信したパケットデータ３０１を第一通信プロトコルに従って復号化し、プロトコル変換部２０３に出力する。前記通信制御情報解析部２０２ａは、パケットデータ３０１に含まれる平文通信制御情報３１０より暗号化通信制御情報３２０のデータ長を解析し、前記通信制御情報復号化部２０２ｂは、この解析されるデータ長を用いることで通信制御情報３２０の先頭データ位置から復号化する必要のあるデータ長分だけを復号化する。

　プロトコル変換部２０３は、復号化部２０２より出力されたパケットデータ３０１を受信して第二通信プロトコルに従った暗号プロトコルへのプロトコル変換を行い、このプロトコル変換の結果を暗号化部２０４に出力する。

　暗号化部２０４は、通信制御情報暗号化部２０４ａとパケット構築部２０４ｂとから構成され、プロトコル変換部２０３においてプロトコル変換されたパケットデータ５０２を通信制御情報暗号化部２０４ａにおいて暗号化処理し、次にパケット構築部２０４ｂにおいてパケットの構築が行われ第二ネットワークＩ／Ｆ部２０５に出力する。そして、第二ネットワークＩ／Ｆ部２０５は、暗号化部２０４とパケットデータの送受信を行い、この第二ネットワークＩ／Ｆ部２０５を介して第二端末装置１０３とパケットデータの送受信をするインターフェイス回路等である。
　尚、復号化部２０２、プロトコル変換部２０３、及び暗号化部２０４は、ＣＰＵ、制御プログラムが格納されたＲＯＭ、ワークエリアとしてのＲＡＭ等によって実現される。

　図３は、本実施の形態１に使用されるパケットデータ３０１のデータ構造図である。パケットデータ３０１は、例えば１５００バイトの長さを有しており、その先頭から、平文通信制御情報３１０、暗号化通信制御情報３２０、及び暗号化ユーザ情報３３０で構成されている。この暗号化通信制御情報３２０は、本実施の形態１においては、例えば１０バイトのデータ長を有しており、また、当該データ長は可変長となっている場合を考えるものとする。

　前記平文通信制御情報３１０は、暗号化通信制御情報３２０並びに暗号化ユーザ情報３３０を復号化するために必要な暗号化通信制御情報３２０の先頭データ位置情報３１１及び末尾データ位置情報３１２、暗号化ユーザ情報３３０の先頭データ位置情報３１３及び末尾データ位置情報３１４、その他ルーチング情報等を含む。前記先頭データ位置情報３１１は、パケットデータ３０１に含まれる暗号化通信制御情報３２０の先頭データ位置を特定する情報であり、前記末尾データ位置情報３１２は、パケットデータ３０１に含まれる暗号化通信制御情報３２０の末尾データ位置を特定する情報であり、前記先頭データ位置情報３１３は、パケットデータ３０１に含まれる暗号化ユーザ情報３３０の先頭位置を特定する情報であり、前記末尾データ位置情報３１４は、パケットデータ３０１に含まれる暗号化ユーザ情報３３０の末尾データ位置を特定する情報である。

　尚、前記暗号化通信制御情報３２０には、暗号通信の終端端末で使用する暗号化通信制御情報３２０であり、通信途中で盗聴されると問題があるような情報等が含まれ、前記暗号化ユーザ情報３３０には、暗号通信の両端末上で使用され、かつ通信途中で盗聴されると問題あるような秘密の情報等が含まれている。

　次に、以上のように構成された本実施の形態１におけるパケットデータ中継装置１０１の動作について説明する。
　図４は本実施の形態１に係るパケットデータ中継装置１０１の動作手順を示すフローチャートである。まず、復号部２０２に含まれる通信制御情報解析部２０２ａは、第一ネットワークＩ／Ｆ部２０５より転送されたパケットデータ３０１の平文通信制御情報３１０を用いて、暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２とを獲得し（ステップ４０１）、前記末尾データ位置３１２のアドレス値から前記先頭データ位置３１１のアドレス値を差し引くことで、暗号化通信制御情報３２０のデータ長を計算し（ステップ４０２）、暗号化通信制御情報３２０のデータ長が、暗号アルゴリズムの処理単位データ長の倍数になっているかの解析を行う（ステップ４０３）。

　そして、暗号化通信制御情報３２０のデータ長が、暗号アルゴリズムの処理単位データ長の倍数になっていないと解析した場合には、解析部２０２ａは、復号化するデータ長を、暗号通信制御情報３２０のデータ長を超える暗号アルゴリズムの処理単位データ長の倍数で、かつ最も小さい値を設定する（ステップ４１４）。

　次に、通信制御情報復号化部２０２ｂは、暗号化通信制御情報３２０の先頭データ位置から復号化するデータ長分、具体的には、図６において示される復号化するデータ範囲６０２が指し示すデータ範囲の復号化を行う（ステップ４１５）。この復号化（ステップ４１５）を終えた時点で、図５に示される復号化済通信制御情報５００が生成される。また、ステップ４１５において復号化されたデータは、図６に示す復号化済通信制御情報５００と復号化済暗号化ユーザ情報６３１とへ分離され（ステップ４１６）、前記復号化済通信制御情報５００は、例えばＲＡＭ内の他のメモリ領域にコピーされることとなる。

　次に、プロトコル変換部２０３は、前記復号化済暗号化ユーザ情報６３１が、図６に示す暗号アルゴリズムの処理単位データ長６０１と等しくなるように、暗号化ユーザ情報用パディングデータ６３３を暗号化ユーザ情報６３１に付加する（ステップ４１７）。そして、通信制御情報暗号化部２０４ａは、暗号化ユーザ情報６３１とパディングデータ６３３との暗号化を行い、暗号化ユーザ情報３３０へと暗号化する（ステップ４１８）。

　そして、プロトコル変換部２０３は、第一通信プロトコルに従った平文通信制御情報３１０及び復号化済通信制御情報５００に対して、第二通信プロトコルに従った暗号通信プロトコルのプロトコル変換を行うことにより、平文通信制御情報５１０及び暗号化前通信制御情報５２０を新たに作成し（ステップ４０６）、また、前記プロトコル変換部２０３は、第二通信プロトコルにおける通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（ステップ４０７）。

　次に、暗号化部２０４に含まれる通信制御情報暗号化部２０４ａは、暗号化前通信制御情報５２０を暗号化し、暗号化通信制御情報５３０を生成し（ステップ４０８）、パケット構築部２０４ｂは、前記平文通信制御情報５１０、前記暗号化通信制御情報５３０、及び前記暗号化ユーザ情報３３０を結合し、パケットデータ５０２を構築する（ステップ４０９）。

　そして、パケット構築部２０４ｂにおいて、暗号化通信制御情報５３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１０）と共に、暗号化ユーザ情報３３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１１）。この登録（ステップ４１１）が終了すると、パケットデータ５０２が完成し、一連の暗号通信プロトコル変換が完了する。

　一方、暗号化通信制御情報３２０のデータ長が、暗号アルゴリズムの処理単位データ長の倍数になっていると解析した場合においては、復号化部２０２は、復号化するデータ長を、暗号化通信制御情報３２０のデータ長に設定し（ステップ４０４）、復号化部２０２は、暗号化通信制御情報３２０のデータ長分だけ復号化し（ステップ４０５）、プロトコル変換部２０３は、第一通信プロトコルに従った平文通信制御情報３１０及び復号化済通信制御情報５００に対して、第二通信プロトコルに従った暗号通信プロトコルのプロトコル変換を行うことにより、平文通信制御情報５１０及び暗号化前通信制御情報５２０を新たに作成し（ステップ４０６）、前記プロトコル変換部２０３は、第二通信プロトコルにおける通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（ステップ４０７）。

　次に、暗号化部２０４は、暗号化前通信制御情報５２０を暗号化し、暗号化通信制御情報５３０を生成し（ステップ４０８）、パケット構築部２０４ｂは、前記平文通信制御情報５１０、前記暗号化通信制御情報５３０、及び前記暗号化ユーザ情報３３０を結合し、パケットデータ５０２を構築する（ステップ４０９）。そして、パケット構築部２０４ｂにおいて、暗号化通信制御情報５３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１０）と共に、暗号化ユーザ情報３３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録して（ステップ４１１）、パケットデータ５０２が完成し、一連の暗号通信プロトコル変換が完了する。

　図５は、本実施の形態１のパケットデータ中継装置１０１におけるパケットデータ処理過程を示す説明図である。パケットデータ３０１は、第一ネットワークＩ／Ｆ部２０１より中継装置１０１に入力されるデータであり、平文通信制御情報３１０、暗号化通信制御情報３２０、及び暗号化ユーザ情報３３０から構成される。

　前記パケットデータ中継装置１０１は、平文通信制御情報３１０より暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２を獲得し暗号化通信制御情報３２０のデータ長を求めて、暗号化通信制御情報３２０の部分のみの復号化処理を行い、当該通信制御情報３２０を復号化済通信制御情報５００へと復号化する。

　次に、前記パケットデータ中継装置１０１は、復号化済通信制御情報５００及び平文通信制御情報３１０のプロトコル変換を行い暗号化前通信制御情報５２０及び平文通信制御情報５１０へと変換する。

　そして、前記パケットデータ５０２における暗号化前通信制御情報５２０の部分のみが、暗号化通信制御情報５３０へと暗号化される。次に、前記平文通信制御情報５１０、前記暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０から成るパケットデータ５０２が構築され、このパケットデータ５０２は第二ネットワークＩ／Ｆ部２０５より出力される。以上より、パケットデータ中継装置１０１における暗号通信プロトコル変換の一連の処理が完了する。

　図６は、パケットデータ中継装置１０１におけるパケットデータ３０１のプロトコル変換処理過程を示す説明図である。当該処理過程においては、暗号アルゴリズムとして暗号化したデータの任意領域を部分的に復号化できるＤＥＳ(Data Encryption Standard)や３ＤＥＳ、ＡＥＳ(Advanced Encryption Standard)等を使用している。

　そして、前記ＤＥＳは、暗号化通信制御情報３２０を例えば６４ビットの倍数でのみ暗号化することが可能となる。そこで、本実施の形態１においては暗号化通信制御情報３２０のデータ長が例えば６４ビットの倍数になっていない場合について図６に例示する。尚、図６においては、暗号処理単位のデータ長６０１、及び復号化するデータ範囲６０２を矢印で示す。この暗号処理単位のデータ長６０１は、例えば６４ビットに設定されている。

　そして、通信制御情報３２０は、ＩＰｖ６や、ＥＣＯＮＥＴ等の情報であり、当該通信制御情報３２０のデータ長は暗号アルゴリズムによって任意のデータ長に復号化することができない。このため、復号化が必要なデータ範囲は、本来復号化する必要のない暗号化ユーザ情報３３０をも含む暗号処理単位のデータ長６０１の２ブロック分であるデータ範囲６０２となる。

　次に、復号化済通信制御情報５００を暗号処理単位のデータ長になるようにデータ長を縮小したプロトコル変換を行い暗号化前通信制御情報５２０とする。この際、復号化済暗号化ユーザ情報６３１が暗号アルゴリズムの処理単位データ長６０１の倍数と等しくなるように、暗号化ユーザ情報用パディングデータ６３３を復号化済暗号化ユーザ情報６３１に付加する。

　また、パディングデータ６３３と前記復号化済暗号化ユーザ情報６３１とを暗号化して暗号化ユーザ情報３３０とすると共に、暗号化前通信制御情報５２０の暗号化を行い暗号化した通信制御情報５３０とする。そして、変換された前記通信制御情報５１０、５３０、及び前記ユーザ情報３３０と含むパケットデータ５０２を生成する。

　以上のように、本実施の形態１におけるパケットデータ中継装置１０１によれば、この中継装置１０１に入力されたパケットデータ３０１は、暗号化通信制御情報３２０を特定するために、前記通信制御情報３２０の格納位置を示す位置情報３１１及び３１２を有する。

　そして、従来の中継装置は、通信制御情報を得るため、暗号化されているパケットデータの全てのデータ領域の復号化及び暗号化を行う必要があるが、本実施の形態１では、パケットデータ３０１に含まれる全てのデータ領域を復号化する必要がなくなり、ヘッダ部である通信制御情報３２０の領域のみを復号化することが可能となる。従って、通信制御情報３２０に比べデータ量が多いユーザ情報３３０の復号化を省き、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、安価な低性能ＣＰＵ等の部品を使用した場合においても高速な暗号通信プロトコル変換処理を可能にするパケットデータ中継装置とすることができる。従って、近年のブロードバンド化、通信の大容量化等に対応するパケットデータ中継装置１０１を提供することが可能となる。

　また、本実施の形態１に係るパケットデータ中継装置１０１における、プロトコル変換処理過程では、ユーザ情報３３０が暗号化されたままなので、秘匿性の高い情報を含む当該ユーザ情報３３０を含むパケットデータ３０１の処理過程中における安全性を確保し、悪意ある第三者の盗聴等を防止することが容易となる。このため、近年のインターネットのプロトコルタイプの変換時期における通信制御情報の変換にも対応したパケットデータ中継装置１０１を提供することが可能となる。

　そして、前記パケットデータ３０１に含まれる平文通信制御情報３１０は、ユーザ情報３３０の先頭位置情報３１３及び末尾位置情報３１４をも含む。このため、ユーザ情報３３０のデータ領域指定を行うことが容易となり、従来の如くパケットデータの全ての領域を復号化及び暗号化を繰り返し行う必要がなくなり、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、安価な低性能ＣＰＵ等の部品を使用した場合においても高速な暗号通信プロトコル変換処理を可能にするパケットデータ中継装置とすることができる。

　また、本実施の形態１に示したパケットデータ中継装置１０１を用いることによって、通信制御情報３２０のデータ長が暗号アルゴリズムの処理単位データ長の倍数になっていない場合でも、部分的に復号化済暗号化ユーザ情報６３１にパティングデータ６３３を付加して暗号アルゴリズムの倍数として再度暗号化することにより、必要最小限のデータ範囲のユーザ情報６３１を復号化する。従って、通信制御情報３２０に比べデータ量が多いユーザ情報３３０の復号化処理を低減させることができ、このため、パケットデータ３０１の復号化処理の実行回数を低減させ、低価格の低性能ＣＰＵでも高速なプロトコル変換処理を実現できる。

　尚、上述の実施の形態１に示す各種データのサイズは、説明を容易に行うために設定した例示であり、厳密な値ではなく、かつ様々な場合を想定したものにはなっていない。このため、これら各種データのサイズがその他の値を取りうることができるのは言うまでもない。

　また、本実施の形態１に示す平文通信制御情報３１０に含まれる位置情報３１１、３１２、３１３、及び３１４の位置関係は一例であり、前記実施の形態１に限定されるものではない。また、本実施の形態１に係るパケットデータ３０１に含まれる各種情報３１０、３２０、及び３３０は、説明のために例示したものであり、平文通信制御情報３１０、暗号化通信制御情報３２０及びユーザ情報３３０以外の情報が含まれても構わない。さらに、平文通信制御情報３１０、暗号化通信制御情報３２０及びユーザ情報３３０の位置関係は本実施の形態１に限定されるものではなく、各種情報３１０、３２０、及び３３０の位置関係が異なる構成でも構わない。従って、暗号化通信制御情報３２０は、ユーザ情報３３０の前方のみに存在してもよく、ユーザ情報３３０の後方のみに存在する構成でもよく、さらにユーザ情報３３０の前方と後方との両方に存在する構成でも構わない。

（実施の形態２）
　図７は、本発明の実施の形態２に係るパケットデータ中継装置１０１を含むネットワークシステムの構成の一例を示す図である。
　このネットワークシステムにおいては、セキュアな通信プロトコルを用いて操作情報を付与したパケットデータの送受信を行うことにより、ユーザは宅外のＰＣ７０１、携帯電話７０２等の端末装置と宅内の炊飯器７０５等の端末装置との間で安全に操作情報を送受信して遠隔操作を行うことが可能となる。

　パケットデータ中継装置１０１は、外部ネットワーク上の端末装置から各種セキュアプロトコルを用いて送信されるパケットデータを受信すると共に、これらパケットデータを宅内のホームネットワーク上のセキュアプロトコルにプロトコル変換して送信先の家電機器に送信することを特徴とする。

　尚、外部ネットワークに用いられるセキュアプロトコルの種類としては、ＩＰsec、ＳＳＬ、ＥＣＯＮＥＴ等であり、宅内のセキュアプロトコルとしてはＥＣＯＮＥＴ等である。また、これらのセキュアプロトコルに使用される暗号アルゴリズムには、暗号化したデータの任意領域を部分的に復号化することのできるＥＣＢモードのＤＥＳや３ＤＥＳ、ＡＥＳ等が使用される。また、この場合には、送受信を行うパケットデータ中継装置１０１は通信を開始する前に、例えば外部の携帯電話７０２なら予めセキュアプロトコルを登録する等、何らかの方法で外部ネットワーク及びホームネットワークのセキュアプロトコル、暗号アルゴリズム及び暗号鍵の情報を保持しているものとする。

　図７において、宅外の端末装置であるＰＣ７０１、携帯電話７０２等は、ネットワークを介して宅内に設置されるパケットデータ中継装置１０１に接続される。宅内の端末装置は中継装置１０１を介して外部ネットワークに接続される。この宅内の端末装置には、ユーザが日常生活に使用可能な家電機器、例えば、エアコン７０４、炊飯器７０５、給湯器７０６、ビデオデッキ７０７、ＰＣ７０８等がある。また家電機器間はＬＡＮを用いたホームネットワークで互いに接続される。そして、外部ネットワークの端末装置と宅内に設置されている端末装置とはパケットデータ中継装置１０１を介して接続されることでネットワークシステムを構成する。

　尚、本実施の形態２に係るパケットデータ中継装置１０１は処理ステップの多い復号化処理及び暗号化処理を低減するために、パケットデータ３０１の暗号化通信制御情報３２０のみを復号化処理、プロトコル変換、及び暗号化処理する等の工夫を行い、詳細は後述する図９から１２において説明する。

　図８は、パケットデータ中継装置１０１の構成の一例を示す機能ブロック図である。尚、上述した実施の形態１と同様の構成については同様の符号を付し、詳細な説明は省略する。

　パケットデータ中継装置１０１は、テーブル８０２を保持する記憶部８０１を有していることを特徴とする。このテーブル８０２には、ＩＰアドレス、外部ネットワークの端末装置毎のセキュアプロトコル、暗号アルゴリズム及び暗号鍵の種類が記録されている。尚、ＩＰアドレスとは、例えば３２ビットで表される数値データであり、ネットワークに接続された端末装置やルータのアドレスを表す情報である。

　復号化部２０２は、第一ネットワークＩ／Ｆ部２０１（又は第二ネットワークＩ／Ｆ部２０５）が受信したパケットデータ３０１を外部ネットワークのセキュアプロトコルに用いる暗号アルゴリズム及び暗号鍵に従って復号化し、プロトコル変換部２０３に出力する。この際、復号化部２０２は、受信したパケットデータ３０１の通信制御情報３１０を読み出すことにより送信元の端末装置のＩＰアドレスを特定すると共に、テーブル８０２を参照して当該ＩＰアドレスに対応しているセキュアプロトコル、暗号アルゴリズム及び暗号鍵の種類を特定する。そして、復号化部２０２は、暗号アルゴリズム及び暗号鍵が同じ場合においては暗号化通信制御情報３２０の部分のみの復号化を行う一方、暗号アルゴリズム及び暗号鍵が異なる場合においては暗号化通信制御情報３２０及びユーザ情報３３０の復号化を行うことは上述した実施の形態１と同様である。

　プロトコル変換部２０３は、復号化部２０２より復号化されたパケットデータ３０１を受信すると共に、記憶部８０１に保持されているテーブル８０２を参照して、パケットデータ３０１の外部ネットワークに用いられるセキュアプロトコルがホームネットワークに用いられるセキュアプロトコルと異なるような場合においては、平文通信制御情報３１０及び暗号化通信制御情報３２０をホームネットワークのセキュアプロトコルにプロトコル変換処理を行い、このプロトコル変換後のパケットデータ５０２を暗号化部２０４に出力する。

　暗号化部２０４は、プロトコル変換部２０３においてプロトコル変換されたパケットデータ５０２を通信制御情報暗号化部２０４ａにおいてホームネットワーク上で使用される暗号アルゴリズム及び暗号鍵を用いて暗号化処理し、次にパケット構築部２０４ｂにおいて通信制御情報５１０、５３０及びユーザ情報３３０のパケットの構築が行われ第二ネットワークＩ／Ｆ部２０５に出力する。そして、第二ネットワークＩ／Ｆ部２０５は、暗号化部２０４からパケットデータ５０２を受信すると共に、宅内の送信先の端末装置に送信する。

　尚、復号化部２０２、プロトコル変換部２０３、及び暗号化部２０４は、ＣＰＵ、制御プログラムが格納されたＲＯＭ、ワークエリアとしてのＲＡＭ等によって実現されるのは上述した実施の形態１と同様となる。

　次に、以上のように構成された本実施の形態２におけるパケットデータ中継装置１０１の動作について説明する。
　図９は、本実施の形態２に係る外部の端末装置から宅内の端末装置にパケットデータ３０１を送信する場合のパケットデータ中継装置１０１の動作手順を示すフローチャートである。尚、本図は、外部ネットワークの通信に用いられるセキュアプロトコルと宅内のネットワークに用いられるセキュアプロトコルとが異なる場合を想定したものである。

　まず、外部ネットワークの端末装置からパケットデータ３０１が送信されると、第一ネットワークＩ／Ｆ部２０１は、パケットデータ３０１を取得する（Ｓ９０１）。次に、復号化部２０２は、第一ネットワークＩ／Ｆ部２０１から送信されたパケットデータ３０１から通信制御情報３１０を読み出して送信元の端末装置のＩＰアドレスを取得する。また、復号化部２０２は、当該IPアドレスと記憶部８０１に保持されているテーブル８０２とを参照して送信先のホームネットワーク上の端末装置を特定する（Ｓ９０２）。

　そして、復号化部２０２は、セキュアプロトコルを特定するためにテーブル８０２を参照して送信先の端末装置と宅内の通信ネットワークのセキュアプロトコルとが異なるか否かを特定する（Ｓ９０３）。尚、本図においては外部と宅内のセキュアプロトコルが異なる場合（Ｓ９０３でＹ）について説明を行う。

　次に、復号化部２０２は、外部と宅内の端末装置が使用するセキュアプロトコルの暗号アルゴリズム及び暗号鍵を比較する（Ｓ９０４）。そして、暗号アルゴリズム及び暗号鍵が同じ場合においては（Ｓ９０４でＮ）、復号部２０２に含まれる通信制御情報解析部２０２ａは、第一ネットワークＩ／Ｆ部２０５より転送されたパケットデータ３０１の平文通信制御情報３１０を用いて、暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２とを獲得し（Ｓ４０１）、末尾データ位置３１２のアドレス値から先頭データ位置３１１のアドレス値を差し引くことで、暗号化通信制御情報３２０のデータ長を計算し、暗号化通信制御情報３２０のデータ長が、暗号アルゴリズムの処理単位データ長の倍数になっていると解析した場合においては、復号化部２０２は、暗号化通信制御情報３２０のデータ長分だけ復号化し（Ｓ４０５）、プロトコル変換部２０３は、外部の端末装置のセキュアプロトコルに従った平文通信制御情報３１０及び復号化済通信制御情報５００に対して、宅内のセキュアプロトコルにプロトコル変換を行うことにより、平文通信制御情報５１０及び暗号化前通信制御情報５２０を新たに作成し（Ｓ４０６）、プロトコル変換部２０３は、宅内のセキュアプロトコルにおける通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（Ｓ４０７）。

　次に、暗号化部２０４は、暗号化前通信制御情報５２０を暗号化し、暗号化通信制御情報５３０を生成し（Ｓ４０８）、パケット構築部２０４ｂは、平文通信制御情報５１０、暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０を結合し、パケットデータ５０２を構築し（Ｓ４０９）、暗号通信プロトコル変換処理を完了する。

　一方、暗号アルゴリズム及び暗号鍵が異なる場合においては（Ｓ９０４でＹ）、通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２とを獲得し（Ｓ９０５）、次にユーザ情報３３０の先頭データ位置３１３と末尾データ位置３１４とを獲得する（Ｓ９０６）。

　また、通信制御情報復号化部２０２ｂは、暗号化通信制御情報３２０の先頭データ位置から暗号化ユーザ情報３３０の末尾データ位置までの復号化を行い（Ｓ９０７）、プロトコル変換部２０３は、外部のセキュアプロトコルに従った平文通信制御情報３１０と復号化済通信制御情報３２０に対して、宅内のセキュアプロトコルにプロトコル変換を行い（Ｓ９０８）、宅内のセキュアプロトコルの通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（Ｓ９０９）。

　そして、通信制御情報暗号化部２０４ａは、変換後の暗号化通信制御情報５２０と復号化したユーザ情報２２３０とを暗号テーブル１４０１の情報を利用して暗号化を行い（Ｓ９１０）、パケット構築部２０４ｂは、平文通信制御情報５１０、暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０を結合してパケットデータ２２０２を生成して（Ｓ４０９）、暗号通信プロトコル変換処理を完了する。

　図１０は、本実施の形態２に係る外部ネットワークの端末装置からホームネットワークの端末装置にパケットデータ３０１を送信する場合のパケットデータ中継装置１０１の動作手順を示すフローチャートである。尚、本図は、外部ネットワークの通信に用いられるセキュアプロトコルと宅内のネットワークに用いられるセキュアプロトコルとが同じ場合におけるフローチャートとなる。

　まず、外部ネットワークの端末装置からパケットデータ３０１が送信されると、第一ネットワークＩ／Ｆ部２０１は、パケットデータ３０１を取得し（Ｓ９０１）、復号化部２０２は、第一ネットワークＩ／Ｆ部２０１から送信されたパケットデータ３０１から通信制御情報３１０を読み出して送信先の端末装置のＩＰアドレスを取得する。また、復号化部２０２は、ＩＰアドレスと記憶部８０１に保持されているテーブル８０２とを参照して送信元の端末装置を特定する（Ｓ９０２）。また、復号化部２０２は、テーブル８０２を参照して送信先の端末装置と宅内の端末装置のセキュアプロトコルを特定する（Ｓ９０３）。尚、本図においては外部と宅内のセキュアプロトコルが同じ場合（Ｓ９０３でＮ）について説明を行う。

　次に、復号化部２０２は、外部と宅内の端末装置のセキュアプロトコルに用いる暗号アルゴリズム及び暗号鍵を比較する（Ｓ９０４）。そして、暗号アルゴリズム及び暗号鍵が同じ場合においては（Ｓ１００１でＮ）、第二ネットワークＩ／Ｆ部２０５は、外部ネットワークの端末装置から受信したパケットデータを宅内の送信先の端末装置に出力する（Ｓ１００２）。

　一方、暗号アルゴリズム及び暗号鍵が異なる場合においては（Ｓ１００１でＹ）、通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２とを獲得し（Ｓ９０５）、次にユーザ情報３３０の先頭データ位置３１３と末尾データ位置３１４とを獲得する（Ｓ９０６）。

　また、通信制御情報復号化部２０２ｂは、暗号化通信制御情報３２０の先頭データ位置から暗号化ユーザ情報３３０の末尾データ位置までの復号化を行う（Ｓ９０７）。また、外部の端末装置と宅内の端末装置のセキュアプロトコルが同じであるため、プロトコル変換部２０３は、パケットデータに対してプロトコル変換を行う必要がない。そして、プロトコル変換部２０３は、ホームネットワーク上のセキュアプロトコルの通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（Ｓ９０９）。

　そして、通信制御情報暗号化部２０４ａは、暗号化通信制御情報５２０と復号化したユーザ情報２２３０とを暗号テーブル１４０１の情報を利用してホームネットワークで使用する暗号アルゴリズムを用いた暗号化処理を行い（Ｓ９１０）、パケット構築部２０４ｂは、平文通信制御情報５１０、暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０を結合し、パケットデータ２２０２を生成して（Ｓ４０９）処理を完了する。

　図１１は、本実施の形態２に係るパケットデータ中継装置１０１におけるパケットデータ３０１のプロトコル変換処理過程を示す説明図である。パケットデータ３０１は、外部ネットワーク上の端末装置から第一ネットワークＩ／Ｆ部２０１に入力され、暗号化ユーザ情報３３０には、例えばテレビの予約時間、予約番組、エアコンの設定時間等の情報が含まれる。また、図１１は、外部ネットワークの通信に用いられるセキュアプロトコルと、ホームネットワークの通信に用いられるセキュアプロトコルとが異なる場合についての参考図である。

　図１１（Ａ）は外部と宅内の通信に用いられるセキュアプロトコル、暗号アルゴリズム及び暗号鍵が異なる場合を示し、平文通信制御情報３１０より暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２を獲得し暗号化通信制御情報３２０のデータ長を求めて、暗号化通信制御情報３２０及び暗号化ユーザ情報３３０の復号化処理を行い、次に、パケットデータ中継装置１０１は、復号化済通信制御情報５００及び平文通信制御情報３１０のプロトコル変換を行い暗号化前通信制御情報５２０及び平文通信制御情報５１０へと変換する。そして、暗号化前通信制御情報５２０及び復号化済ユーザ情報２２３０が暗号化され、暗号化通信制御情報５３０及び暗号化ユーザ情報３３０となる。次に、パケット構築部２０４ｂにおいて平文通信制御情報５１０、暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０から成るパケットデータ２２０２が構築される。このパケットデータ２２０２は第二ネットワークＩ／Ｆ部２０５より出力される。

　また、図１１（Ｂ）に示すように、外部ネットワークとホームネットワークの通信に用いるセキュアプロトコルが異なるが、暗号アルゴリズム及び暗号鍵が同様の場合においては、平文通信制御情報３１０より暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２を獲得し暗号化通信制御情報３２０のデータ長を求めて、暗号化通信制御情報３２０の部分のみの復号化処理を行い、通信制御情報３２０を復号化済通信制御情報５００へと復号化する。次に、パケットデータ中継装置１０１は、復号化済通信制御情報５００及び平文通信制御情報３１０のプロトコル変換を行い暗号化前通信制御情報５２０及び平文通信制御情報５１０へと変換する。そして、パケットデータ５０２における暗号化前通信制御情報５２０の部分のみが、暗号化通信制御情報５３０へと暗号化される。次に、平文通信制御情報５１０、暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０から成るパケットデータ５０２が構築され、このパケットデータ５０２は第二ネットワークＩ／Ｆ部２０５より出力される。

　図１２は、本実施の形態２に係るパケットデータ中継装置１０１におけるパケットデータ３０１の別のプロトコル変換処理過程を示す説明図である。尚、図１２においては、外部ネットワークの通信に用いられるセキュアプロトコルと、ホームネットワークの通信に用いられるセキュアプロトコルが同じ場合についての参考図である。

　図１２（Ａ）に示すように、外部と宅内の通信に用いるセキュアプロトコルが同じであるが暗号アルゴリズム及び暗号鍵が異なる場合においては、平文通信制御情報３１０より暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２を獲得し暗号化通信制御情報３２０のデータ長を求めて、暗号化通信制御情報３２０及びユーザ情報３３０の部分の復号化処理を行う。そして、外部と宅内のセキュアプロトコルが同一であるため、プロトコル変換部２０３はパケットデータ２２０１のプロトコル変換を行うことなく暗号化部２０４にパケットデータ２２０１を渡し、復号化済通信制御情報５００及び復号化済ユーザ情報２２３０の部分が暗号化通信制御情報５３０及び暗号化ユーザ情報３３０に暗号化される。そして、パケット構築部２０４ｂにおいて平文通信制御情報５１０、暗号化通信制御情報５３０、及び暗号化ユーザ情報３３０から成るパケットデータ２２０２が構築され、このパケットデータ２２０２は第二ネットワークＩ／Ｆ部２０５より宅内の端末装置に出力される。

　一方、図１２（Ｂ）に示すように、外部と宅内の通信に用いられるセキュアプロトコル、暗号アルゴリズム及び暗号鍵が同じ場合においては、パケットデータ中継装置１０１は特にプロトコル変換や再暗号化の処理を行うことなく、送信先の宅内の端末装置を特定して、第一ネットワークＩ／Ｆ部２０１において受信したパケットデータ３０１を第二ネットワークＩ／Ｆ部２０５から送信先のホームネットワーク上の端末装置に出力する。

　以上のように、本実施の形態２に係るパケットデータ中継装置１０１は、外部ネットワークの端末装置のＩＰアドレス、通信に用いるセキュアプロトコル、暗号アルゴリズム及び暗号鍵を示すテーブル８０２を記憶する記憶部８０１と、テーブル８０２を参照して外部ネットワークから送信されるパケットデータのセキュアプロトコルを宅内のホームネットワークに用いられるセキュアプロトコルに変換するプロトコル変換部２０３とを備える。

　このため、パケットデータ中継装置１０１のユーザは、外出先から様々なセキュアプロトコルにより暗号通信を行う端末装置、例えばＰＣ７０１、携帯電話７０２等から宅内の家電機器に操作情報を付与したパケットデータを送信する際においても、パケットデータ中継装置１０１において、外部ネットワークから送信されるパケットデータの複数のセキュアプロトコルをホームネットワークに用いるセキュアプロトコルに変換して宅内の家電機器等の端末装置に中継することが可能となり、外出先の各種の端末装置から安全に宅内の家電機器の遠隔操作を行うことが可能となり、ユーザの利便性を向上させることが可能となる。

　また、パケットデータ中継装置１０１で統一してプロトコル変換を行うため、ホームネットワークの家電機器自身がプロトコル変換機能を備える必要がなく、家電機器のコストを削減することができる。

　そして、ホームネットワーク上の端末装置から外部ネットワーク上の端末装置に情報を付与したパケットデータを送信する場合においても、パケットデータ中継装置１０１において送信先の外部ネットワークに用いられるセキュアプロトコルに変換することが可能なため、家電機器から外部に送信されるパケットデータを安全に送信できる。

　また、パケットデータ中継装置１０１は、通信網を介して接続される各端末装置のセキュアプロトコル、暗号アルゴリズム及び暗号鍵が共通であるか否かの判断を行うことにより、従来のようにパケットデータ全ての領域の復号化処理や暗号化処理を行う必要がなくなり、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、低価格の低性能ＣＰＵを備えるパケットデータ中継装置１０１においても高速なプロトコル変換処理を実現できる。

　尚、本実施の形態２の説明においては、外部ネットワークの端末装置からホームネットワークの端末装置にパケットデータの送信を行う場合について説明を行ったが、本実施の形態２に係るパケットデータ中継装置１０１はこれに限定されるものではなく、ホームネットワークの端末装置から外部ネットワークの端末装置に操作情報が付与されたパケットデータを送信して、パケットデータ中継装置１０１においてパケットデータを複数のセキュアプロトコルから選択された１つのセキュアプロトコルに変換して外部ネットワーク上の端末装置に送信することができるのは言うまでもない。

（実施の形態３）
　次に、本発明の実施の形態３に係るパケットデータ中継装置１０１について説明する。尚、本実施の形態３においては説明を容易にするため、暗号化通信制御情報３２０のデータ長が暗号アルゴリズムの処理単位データ長の倍数になっている場合のみを説明する。

　図１３は、本実施の形態３に係るパケットデータ中継装置１０１を含むネットワークシステムの構成を示す一例である。本実施の形態３においては、図１３に示す各端末装置１０２、１０３、１０４、及び１０５の使用している暗号通信プロトコルが異なるため、異なる暗号プロトコルを理解し、一方の暗号通信プロトコルから他方の暗号通信プロトコルへと変換することのできるパケットデータ中継装置１０１が設けられている。

　尚、上述の実施の形態１におけるパケットデータ中継装置１０１は、プロトコル変換を行う暗号通信における端末装置１０２及び端末装置１０３が、共通の暗号アルゴリズム及び暗号鍵を使用している場合を想定しているが、本実施の形態３におけるネットワークシステムでは、プロトコル変換を行う暗号通信における各端末装置１０２、１０３、１０４、及び１０５が共通の暗号アルゴリズム又は暗号鍵を使用していない場合を想定したものである。

　そして、第一端末装置１０２と第二端末装置１０３、第三端末装置１０４及び第四端末装置１０５とはパケットデータ中継装置１０１を介して接続されることでネットワークシステムを構成し、パケットデータ中継装置１０１は、前記実施の形態１に係るパケットデータ中継装置１０１と同様に、パケットデータの復号処理、プロトコル変換、及び暗号処理を行うものとする。

　図１３に示す第一端末装置１０２は第一ネットワークに接続されており、暗号通信には第一通信プロトコルを使用している。そして、第二端末装置１０３は第二ネットワークに接続されており、暗号通信には第二通信プロトコルを使用し、第三端末装置１０４は第三ネットワークに接続されており、暗号通信には第三通信プロトコルを使用し、また、第四端末装置１０５は第四ネットワークに接続されており、暗号通信には第四通信プロトコルを使用している。前記第一ネットワークは、例えばインターネットであり、前記第二、第三、及び第四ネットワークは、例えばＥＣＯＮＥＴ等の家庭用通信網である。

　図１４は、実施の形態３に係るパケットデータ中継装置１０１の構成を示す機能ブロック図である。尚、前記図１４の機能ブロック図に示す各構成は、本実施の形態３の説明のための例示であり、本発明に係る中継装置１０１の構成は図１４に示す機能ブロック図の構成に限定されるものではない。以下、本実施の形態３について、実施の形態１と異なる部分を中心に説明する。

　このパケットデータ中継装置１０１は、第一ネットワークＩ／Ｆ部２０１、復号化部２０２、プロトコル変換部２０３、暗号化部２０４、第二ネットワークＩ／Ｆ部２０５、及びパケットデータ３０１を転送するバス２０６から構成され、さらに、本実施の形態３においては、中継装置１０１は、当該中継装置１０１のＲＯＭ、ＩＣカード等に組み込まれる暗号テーブル１４０１を有する。そして、前記第一ネットワークＩ／Ｆ部２０１、前記復号化部２０２、前記プロトコル変換部２０３、前記暗号化部２０４、前記第二ネットワークＩ／Ｆ部２０５、及び前記バス２０６は上述の実施の形態１と同様の処理を行う。

　暗号テーブル１４０１は、第二端末装置１０３、第三端末装置１０４、及び第四端末装置１０５に用いる暗号アルゴリズムと暗号鍵とが組み込まれている。具体的には、暗号テーブル１４０１は、第二端末装置１０３において暗号アルゴリズムはＬ１及び暗号鍵はＫ１であることを示し、第三端末装置１０４において暗号アルゴリズムはＬ２及び暗号鍵はＫ２であることを示し、そして、第四端末装置１０５において暗号アルゴリズムはＬ３及び暗号鍵はＫ３であることを示す。従って、各端末装置１０３、１０４、及び１０５は、各々異なる暗号アルゴリズムと暗号鍵とを使用している。

　復号化部２０２に含まれる通信制御情報解析部２０２ａは、各通信プロトコル間の暗号アルゴリズム及び暗号鍵が共通か否かの判断を、前記暗号テーブル１４０１と、平文通信制御情報３１０に組み込まれた暗号アルゴリズムの特定情報及び暗号鍵の特定情報とを用いて行った後に、通信制御情報復号化部２０２ｂは、通信制御情報の復号化を行う。

　そして、変換部２０３は、復号化済通信制御情報を前記中継装置１０１に接続された複数の端末装置１０３、１０４、及び１０５の各通信プロトコルに従った通信制御情報へと変換し、前記暗号化部２０４に含まれるパケット構築部２０４ｂは、変換された通信制御情報と前記ユーザ情報とを含むパケットデータを生成し、この生成されたパケットデータは複数の端末装置１０３、１０４、及び１０５に出力される。

　図１５は、本実施の形態３に使用されるパケットデータ１５０１のデータ構造図である。以下、本実施の形態３について、実施の形態１と異なる部分を中心に説明する。このパケットデータ１５０１は、例えば１５００バイトの長さを有しており、その先頭から、平文通信制御情報３１０、暗号化通信制御情報３２０、及び暗号化ユーザ情報３３０で構成されている。

　そして、実施の形態１におけるパケットデータ３０１の構成に加えて、本実施の形態３においては、平文通信制御情報３１０内に暗号アルゴリズムの特定情報１５１１及び暗号鍵の特定情報１５１２が含まれる。この暗号アルゴリズムの特定情報１５１１は、暗号化通信を行う第一端末装置１０２に応じた暗号アルゴリズムを特定する情報であり、前記暗号鍵の特定情報１５１２は、暗号化通信を行う第一端末装置１０２に応じた暗号鍵を特定する情報となる。

　次に、以上のように構成された本実施の形態３におけるパケットデータ中継装置１０１の動作について説明する。
　図１６は実施の形態３に係るパケットデータ中継装置１０１の動作手順を示すフローチャートである。この実施の形態３に係るパケットデータ中継装置１０１は、実施の形態１における復号化部２０２の機能に加えて、各通信プロトコルにおいて暗号アルゴリズムと暗号鍵とが共通に使用されているかを判断する手段（ステップ１６０１）を有する。具体的には、前記通信制御情報解析部２０２ａは、前記第一端末装置１０２から受信したパケットデータ１５０１の平文通信制御情報３１０に含まれる暗号アルゴリズム特定情報１５１１、暗号鍵特定情報１５１２、及び暗号テーブル１４０１を用いることで、各通信プロトコルの各端末装置１０２、１０３、１０４、及び１０５において暗号アルゴリズム及び暗号鍵が共通に使用されるか否かの判断を行う（ステップ１６０１）。

　そして、中継装置１０１により接続される端末装置が共通の暗号アルゴリズム及び暗号鍵を用いていないと判断した場合には、通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２とを獲得し（ステップ１６０２）、次にユーザ情報３３０の先頭データ位置３１３と末尾データ位置３１４とを獲得する（ステップ１６０３）。

　また、通信制御情報復号化部２０２ｂは、暗号化通信制御情報３２０の先頭データ位置から暗号化ユーザ情報３３０の末尾データ位置までの復号化を行い（ステップ１６０４）、プロトコル変換部２０３は、第一通信プロトコルに従った平文通信制御情報３１０と復号化済通信制御情報３２０に対して、第二通信プロトコル、第三通信プロトコル及び第四通信プロトコルに従った暗号通信プロトコルへのプロトコル変換を行い通信制御情報５２０を新たに作成し（ステップ１６０５）、前記プロトコル変換部２０３は、第二通信プロトコルの通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（ステップ１６０６）。

　そして、通信制御情報暗号化部２０４ａは、図２２に示すように、変換後の暗号化通信制御情報５２０と復号化したユーザ情報２２３０とを暗号テーブル１４０１の情報を利用して暗号化を行い（ステップ１６０７）、パケット構築部２０４ｂは、前記平文通信制御情報５１０、前記暗号化通信制御情報５３０、及び前記暗号化ユーザ情報３３０を結合し、パケットデータ２２０２を生成する（ステップ４０９）。

　また、パケット構築部２０４ｂにおいて、暗号化通信制御情報５３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１０）と共に、暗号化ユーザ情報３３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１１）。この登録（ステップ４１１）が終了すると、パケットデータ５０２が構築され、一連の暗号通信プロトコル変換が完了する。

　一方、中継装置１０１により接続される端末装置どうしが共通の暗号アルゴリズム及び暗号鍵を用いていると判断した場合には（ステップ１６０１）、以下のステップは上述の実施の形態１において説明したものと同様であり、通信制御情報解析部２０２ａは、パケットデータ３０１の平文通信制御情報３１０を用いて、暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２とを獲得し（ステップ４０１）、復号化部２０２は、暗号化通信制御情報３２０のデータ長分だけ復号化し（ステップ４０５）、プロトコル変換部２０３は、第一通信プロトコルに従った平文通信制御情報３１０及び復号化済通信制御情報５００に対して、第二通信プロトコルに従った暗号通信プロトコルのプロトコル変換を行うことにより、平文通信制御情報５１０及び暗号化前通信制御情報５２０を新たに作成し（ステップ４０６）、前記プロトコル変換部２０３は、第二通信プロトコルにおける通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（ステップ４０７）。

　次に、暗号化部２０４は、暗号化前通信制御情報５２０を暗号化し、暗号化通信制御情報５３０を生成し（ステップ４０８）、パケット構築部２０４ｂは、前記平文通信制御情報５１０、前記暗号化通信制御情報５３０、及び前記暗号化ユーザ情報３３０を結合し、パケットデータ５０２を生成する（ステップ４０９）。そして、パケット構築部２０４ｂにおいて、暗号化通信制御情報５３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１０）と共に、暗号化ユーザ情報３３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録して（ステップ４１１）、パケットデータ５０２が構築されると一連の暗号通信プロトコル変換が完了する。

　以上のように、本実施の形態３におけるパケットデータ中継装置１０１によれば、パケットデータ１５０１は、第一端末装置１０２の暗号アルゴリズムを特定する暗号アルゴリズム特定情報１５１１及び暗号鍵を特定する暗号鍵特定情報１５１２を有することとなる。また、パケットデータ中継装置１０１は、第二端末装置１０３、第三端末装置１０４及び第四端末装置１０５の暗号アルゴリズム及び暗号鍵を示す暗号テーブル１４０１を含む。

　このため、本実施の形態３に係るプロトコル変換を行う中継装置１０１は、パケットデータの部分的な復号化を行うための暗号アルゴリズムを各端末装置１０２及び１０３が共通に使用している場合、パケットデータの部分的な復号化を行うための暗号アルゴリズムを各端末装置１０２及び１０３が共通して使用していない場合、又はパケットデータの部分的な復号化を行うための暗号アルゴリズムを各端末装置１０２及び１０３が共通して使用しているが共通した暗号鍵を使用していない場合等、各種の暗号アルゴリズム及び暗号鍵が混在しているネットワークシステムにおいて、各端末装置１０２、１０３、１０４、及び１０５の暗号アルゴリズムと暗号鍵とが共通しているか否かの判断を行い、共通していると判断した場合には、ユーザ情報３３０の復号化を行う必要がなくなる。従って、通信制御情報３２０のみを復号化した後、プロトコル変換を行い、変換後の通信制御情報５２０で暗号化が必要な部分を暗号化することができ、通信制御情報３２０に比べデータ量が多いユーザ情報３３０の復号化は必要でなくなり、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、低価格の低性能ＣＰＵでも高速なプロトコル変換処理を実現できる。

　一方、パケットデータ中継装置１０１は、第一端末装置１０２と暗号通信でつながれた各端末装置１０３、１０４、及び１０５とが共通の暗号アルゴリズム又は暗号鍵を使用していないと判断した場合には、パケットデータ１５０１の通信制御情報３２０のみでなくユーザ情報３３０をも復号化することで通信制御情報３２０の先端情報位置と末尾情報位置とを獲得し、通信制御情報３２０を各端末装置の通信プロトコルに従ったプロトコル変換し、さらに、各端末装置の暗号アルゴリズム及び暗号鍵に従った暗号化を行うことが可能となる。

　従って、端末装置ごとに各種の暗号アルゴリズム及び暗号鍵が混在しているネットワークシステムにおいても、パケットデータ中継装置１０１は、通信網を介して接続される各端末装置の暗号アルゴリズム及び暗号鍵が共通であるか否かの判断を行うことにより、従来のようにパケットデータ全ての領域の復号化を行う必要がなくなり、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、低価格の低性能ＣＰＵでも高速なプロトコル変換処理を実現できる。このため、各端末装置に用いる暗号アルゴリズム及び暗号鍵が混在する近年の通信ネットワークシステムに対応したパケットデータ中継装置を提供することが可能となる。

　尚、本実施の形態３に示す平文通信制御情報３１０に含まれる位置情報３１１、３１２、３１３、３１４、特定情報１５１１及び１５１２の位置関係は一例であり、前記実施の形態３に限定されるものではない。また、実施の形態３に係るパケットデータ１５０１に含まれる各種情報は、説明のために例示したものであり、平文通信制御情報３１０、暗号化通信制御情報３２０及びユーザ情報３３０以外の情報が含まれても構わない。さらに、平文通信制御情報３１０、暗号化通信制御情報３２０及びユーザ情報３３０の位置関係は本実施の形態３に限定されるものではなく、各種情報３１０、３２０、及び３３０の位置関係が異なる構成でも構わない。

　また、本実施の形態３においては、暗号アルゴリズム特定情報１５１１及び暗号鍵特定情報１５１２を別々に記載したが、これら特定情報１５１１及び１５１２を１つにまとめた特定情報とすることも可能である。

（実施の形態４）
　次に、本発明の実施の形態４に係るパケットデータ中継装置１０１について説明する。上述の実施の形態１及び実施の形態３では、パケットデータ３０１を暗号化する場合の暗号アルゴリズムとして、他の暗号化結果を必要としない、例えばＥＣＢモードのＤＥＳ、３ＤＥＳ、及びＡＥＳ等を使用していたが、本実施の形態４においては、暗号アルゴリズムとして、次の情報の暗号化又は復号化に、暗号アルゴリズムの処理単位のデータ長で１ブロック手前の暗号化した情報が必要な暗号処理モード、例えばＣＢＣ（Cipher Block Chaining）モードやＣＦＢ（Cipher Feed Back）モード等を使用する場合を想定する。尚、本実施の形態４では説明を容易にするため、通信制御情報３２０が暗号アルゴリズムの処理単位データ長６０１の倍数になっている場合を説明する。

　図１７は、実施の形態４に係るパケットデータ中継装置１０１の構成を示す機能ブロック図である。尚、前記図１７の機能ブロック図に示す各構成は、本実施の形態４の説明のための例示であり、本発明に係る中継装置１０１の構成は、図１７に示す機能ブロック図の構成に限定されるものではない。
　このパケットデータ中継装置１０１は、第一ネットワークＩ／Ｆ部２０１、連鎖復号化部１７０２、プロトコル変換部１７０３、連鎖暗号化部１７０４、第二ネットワークＩ／Ｆ部２０５、及びパケットデータ１８０１を転送するバス２０６から構成される。

　前記連鎖復号化部１７０２は、通信制御情報解析部１７０２ａ及び通信制御情報連鎖復号化部１７０２ｂより構成され、第一ネットワークＩ／Ｆ部２０１（又は第二ネットワークＩ／Ｆ部２０５）が受信したパケットデータ１８０１を第一暗号通信プロトコルに従って復号化し、プロトコル変換部１７０３に出力する。前記通信制御情報解析部１７０２ａは、パケットデータ１８０１に含まれる平文通信制御情報３１０より暗号化通信制御情報３２０のデータ長を解析し、前記通信制御情報連鎖復号化部１７０２ｂは、通信制御情報３２０の先頭データ位置から復号化する必要のあるデータ長分だけを、暗号アルゴリズムの処理単位のデータ長の１ブロック手前の情報を使用することで連鎖的に復号化する。

　プロトコル変換部１７０３は、連鎖復号化部１７０２より出力されたパケットデータ１８０１を受信して異なる暗号プロトコルへのプロトコル変換を行い、このプロトコル変換結果を連鎖暗号化部１７０４に出力する。

　連鎖暗号化部１７０４は、通信制御情報暗号化部１７０４ａとパケット構築部１７０４ｂとから構成され、プロトコル変換部１７０３においてプロトコル変換されたパケットデータ１８０１を通信制御情報暗号化部１７０４ａにおいて暗号化処理単位データ長の１ブロック手前の情報を用いることで連鎖的に暗号化処理し、次にパケット構築部１７０４ｂにおいてパケットデータ１８０２の構築が行われ第二ネットワークＩ／Ｆ部２０５に出力する。

　図１８は、本実施の形態４に使用されるパケットデータ１８０１のデータ構成図である。このパケットデータ１８０１は、前記実施の形態１におけるパケットデータ３０１の構成に加えて、平文通信制御情報３１０に暗号化処理用初期化ベクトル２００１が含まれる構成となる。尚、この暗号化処理用初期化ベクトル２００１は、暗号化通信制御情報３２０の復号化を行う場合に必要な情報である。

　次に、以上のように構成された本実施の形態４におけるパケットデータ中継装置１０１の動作について説明する。
　図１９は、本実施の形態４に係るパケットデータ中継装置１０１の動作手順を示すフローチャートである。最初に、通信制御情報解析部１７０２ａは、第一ネットワークＩ／Ｆ部２０５より転送されたパケットデータ１８０１の平文通信制御情報３１０を用いて、暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２とを獲得し（ステップ４０１）、次に、前記通信制御情報解析部１７０２ａは、ユーザ情報３３０を受信端末で復号化できるように、暗号化通信制御情報３２０ｂを暗号化処理用初期化ベクトル２００２として、ＲＡＭ内の空き領域に一時保存する（ステップ１９０１）。次に、通信制御情報連鎖復号部１７０２ｂは、平文通信制御情報３１０内の暗号化処理用初期化ベクトル２００１を使用して、暗号化通信制御情報３２０ａを復号化し、復号化済通信制御情報５００ａを得るとともに、暗号化通信制御情報３２０ａを利用して暗号化通信制御情報３２０ｂが連鎖的に復号化されて、復号化済通信制御情報５００ｂを得る。そして、復号化するデータ長分だけの復号化を行う（ステップ１９０２）。そして、プロトコル変換部２０３は、第二通信プロトコルの暗号化前通信制御情報５２０を新たに作成し（ステップ４０６）、第二通信プロトコルの通信制御情報を平文通信制御情報５１０と暗号化前通信制御情報５２０とへ分離する（ステップ４０７）。

　そして、連鎖暗号化部１７０４に含まれる通信制御情報連鎖暗号化部１７０４ａは、前記通信制御情報５２０の暗号処理単位のデータ長分の通信制御情報５２０ａを、前記暗号化処理用初期化ベクトル２００２を使用して暗号化して通信制御情報５３０ａを得て、さらに通信制御情報５２０ｂを、前記通信制御情報５２０ａを用いて連鎖的に暗号化して通信制御情報５３０ｂを得る（ステップ１９０３）。そして、パケット構築部１７０４ｂは、前記平文通信制御情報５１０、前記暗号化通信制御情報５３０、及び前記暗号化ユーザ情報３３０を結合し、パケットデータ１８０２を生成する（ステップ４０９）。

　そして、パケット構築部１７０４ｂにおいて、暗号化通信制御情報５３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１０）と共に、暗号化ユーザ情報３３０の先頭データ位置と末尾データ位置情報とを平文通信制御情報５１０に登録する（ステップ４１１）。また、パケット構築部１７０４ｂにおいて、前記平文通信制御情報５１０に一時保存（ステップ１９０１）されていた暗号化処理用初期化ベクトル２００２を平文通信制御情報５１０の所定の位置に登録する（ステップ１９０４）。以上により、パケットデータ１８０２が完成し、一連の暗号通信プロトコル変換が完了する。

　図２０は、本発明の実施の形態４に係るパケットデータ中継装置１０１におけるパケットデータ処理過程を示す説明図である。パケットデータ１８０１は、平文通信制御情報３１０、暗号化通信制御情報３２０、及びユーザ情報３３０から構成される。更に、前記平文通信制御情報３１０には暗号化処理用初期化ベクトル２００１が含まれている。

　パケットデータ中継装置１０１は、平文通信制御情報３１０より暗号化通信制御情報３２０の先頭データ位置３１１と末尾データ位置３１２を獲得し暗号化通信制御情報３２０のデータ長を求めて、暗号化通信制御情報３２０の部分のみの復号化処理を行う。この場合、図２０に示すように、通信制御情報３２０ａは、復号化され、続けて初期化ベクトル２００１との排他的論理和を出すことにより復号化済通信制御情報５００ａとなる。さらに、通信制御情報３２０ｂは、復号化され、連鎖的に通信制御情報３２０ａとの排他的論理和が算出されることにより復号化済通信制御情報５００ｂへと復号化される。このような連鎖を用いて当該通信制御情報３２０を復号化済通信制御情報５００へと復号化する。

　また、暗号化ユーザ情報３３０の１ブロック手前の前記暗号化通信制御情報３２０ｂは、暗号化処理用初期化ベクトル２００２として平文通信制御情報５１０内に登録される。尚、前記暗号化処理用初期化ベクトル２００２は、ユーザ情報３３０の暗号化を解く際にも使用されるものである。次に、復号化済前記通信制御情報５００及び平文通信制御情報３１０は、プロトコル変換されて暗号化前通信制御情報５２０及び平文通信制御情報５１０へと変換される。

　そして、図２０に示すように、前記暗号化前通信制御情報５２０ａの部分は、前記暗号化処理用初期化ベクトル２００２を用いて排他的論理和が算出されて、続けて暗号化されて暗号化通信制御情報５３０ａとなる。また、暗号化通信制御情報５２０ｂは、連鎖的に前記暗号化された通信制御情報５３０ａとの排他的論理和が算出され、続けて暗号化されて暗号化通信制御情報５３０ｂとなる。このような連鎖を用いて暗号化前通信制御情報５２０を暗号化通信制御情報５３０へと暗号化する。

　次に、前記平文通信制御情報５１０、前記暗号化通信制御情報５３０、及び前記暗号化ユーザ情報３３０とから成るパケットデータ１８０２が構築され、このパケットデータ１８０２は第二ネットワークＩ／Ｆ部２０５より出力される。以上より、パケットデータ中継装置１０１における暗号通信プロトコル変換の一連の処理が完了する。

　以上により、本実施の形態４に示したパケットデータ中継装置１０１を用いることにより、部分的に復号可能な暗号アルゴリズムとして、次の情報の暗号化又は復号化に、一つ前の暗号化した情報が必要な暗号処理モード、例えばＣＢＣ（Cipher Block Chaining）モードやＣＦＢ（Cipher Feed Back）モード等を使用する場合でも、通信制御情報３２０に比べデータ量が多いユーザ情報３３０は復号化しないため、処理ステップ数が多い復号化処理の実行回数を低減することが可能となり、低価格の低性能ＣＰＵでも高速なプロトコル変換処理を実現できる。

　また、本実施の形態４のパケットデータ中継装置１０１では、パケットデータ１８０１の処理中にユーザ情報３３０が暗号化されたままなので、秘匿性の高い情報を、悪意のある第三者に盗聴されにくい。

　尚、本実施の形態４で示した暗号アルゴリズム及び暗号処理モードは、本実施の形態４の説明のために例示したもので、その他のものでも構わない。また、本実施の形態４では、暗号化通信制御情報５２０ａを暗号化するために、暗号化処理用初期化ベクトル２００２を使用したが、それとは異なる暗号化処理用初期化ベクトルを別途用意して、通信制御情報５２０ａの暗号化に使用し、更にこの初期化ベクトルを平文通信制御情報５１０に追加しても構わない。

　また、本実施の形態４に示す平文通信制御情報３１０に含まれる位置情報３１１、３１２、３１３、３１４、及び初期化ベクトル２００１の位置関係は一例であり、前記実施の形態４に限定されるものではない。また、実施の形態４に係るパケットデータ１８０１に含まれる各種情報は、説明のために例示したものであり、平文通信制御情報３１０、暗号化通信制御情報３２０及びユーザ情報３３０以外の情報が含まれても構わない。さらに、平文通信制御情報３１０、暗号化通信制御情報３２０及びユーザ情報３３０の位置関係は本実施の形態４に限定されるものではなく、各種情報３１０、３２０、及び３３０の位置関係が異なる構成でも構わない。

　そして、図２１に、本発明に使用されるパケットデータ２１０１のデータ構成図の一例を示す。当該パケットデータ２１０１は、連続暗号化フラグ２１１１を平文通信制御情報３１０中に含むものである。この連続暗号化フラグ２１１１は、暗号化通信制御情報と暗号化ユーザ情報とを連続して復号化すべきか否かを示す情報であり、暗号アルゴリズムが連鎖モードの場合には、先頭のユーザ情報３３０を復号化するときに初期化ベクトルを使用し排他的論理和を計算するか、又はユーザ情報３３０の１ブロック手前の暗号化通信制御情報３２０を使用して排他的論理和を計算するか否か判断する。従って、ユーザ情報３３０の復号化を容易化して、余分な処理過程を省くことができる。

　尚、本発明に係る中継装置では、受信したパケットデータに含まれる暗号化通信制御情報の位置情報を復号化された通信制御情報の位置情報へと更新して前記パケットデータの特定位置（例えば平文の通信制御情報等）へ新たな位置情報として再度格納することも可能であり、そのため、格納位置登録部を本発明にかかる中継装置に組み入れることも容易に考え得る。

　さらに、上述した実施の形態に示したパケットデータ３０１、１５０１、及び１８０１等は、ＣＤ−ＲＯＭ等の記録媒体に格納され、コンピュータ等にて読み取り可能とすることができるのは言うまでもない。

　本発明に係るパケットデータ中継装置は、ネットワークを介してパケットデータの送受信を行う機器間において用いられ、特に外部ネットワークとホームネットワークとの間のパケットデータの送受信を行う機器間のパケットデータ中継装置等として適用できる。

本発明の実施の形態１に係るパケットデータ中継装置を含むネットワークシステムの構成の一例を示す図である。本発明の実施の形態１に係るパケットデータ中継装置の構成を示す機能ブロック図である。本発明の実施の形態１に使用されるパケットデータのデータ構造図である。本発明の実施の形態１に係るパケットデータ中継装置の動作手順を示すフローチャートである。本発明の実施の形態１に係るパケットデータ中継装置におけるパケットデータ処理過程を示す説明図である。本発明の実施の形態１に係るパケットデータ中継装置におけるパケットデータのプロトコル変換処理過程を示す説明図である。本発明の実施の形態２に係るパケットデータ中継装置を含むネットワークシステムの構成の一例を示す図である。実施の形態２に係るパケットデータ中継装置の構成の一例を示す機能ブロック図である。実施の形態２に係る外部の端末装置から宅内の端末装置にパケットデータを送信する場合のパケットデータ中継装置の動作手順を示すフローチャートである。実施の形態２に係る外部の端末装置から宅内の端末装置にパケットデータを送信する場合のパケットデータ中継装置の動作手順を示すフローチャートである。実施の形態２に係るパケットデータ中継装置におけるパケットデータのプロトコル変換処理過程を示す説明図である。実施の形態２に係るパケットデータ中継装置におけるパケットデータの別のプロトコル変換処理過程を示す説明図である。本発明の本実施の形態３に係るパケットデータ中継装置を含むネットワークシステムの構成を示す一例である。本発明の実施の形態３に係るパケットデータ中継装置の構成を示す機能ブロック図である。本発明の実施の形態３に使用されるパケットデータのデータ構造図である。本発明の実施の形態３に係るパケットデータ中継装置の動作手順を示すフローチャートである。本発明の実施の形態３に係るパケットデータ中継装置の動作手順を示すフローチャートである。本発明の実施の形態４に使用されるパケットデータのデータ構成図である。本発明の実施の形態４に係るパケットデータ中継装置の動作手順を示すフローチャートである。本発明の実施の形態４に係るパケットデータ中継装置におけるパケットデータのプロトコル変換処理過程を示す説明図である。本発明に使用されるパケットデータのデータ構成図の一例を示す図である。従来のパケットデータ中継装置のパケットデータ処理過程を示す図である。

符号の説明

　１０１　パケットデータ中継装置
　１０２　第一端末装置
　３０１　パケットデータ
　３１０　平文通信制御情報
　３１１　通信制御情報の先頭位置情報
　３１２　通信制御情報の末尾位置情報
　３１３　ユーザ情報の先頭位置情報
　３１４　ユーザ情報の末尾位置情報
　３２０　通信制御情報
　３３０　ユーザ情報
　６０１　暗号処理単位のデータ長
　６３３　パティングデータ
　７０２　携帯電話
　８０１　記憶部
　８０２　テーブル
　１４０１　暗号テーブル
　１５０１　パケットデータ
　１５１１　暗号化アルゴリズムの特定情報
　１５１２　暗号鍵の特定情報
　２００１　暗号化処理用初期化ベクトル

Claims

　外部ネットワークの第一端末装置とホームネットワークの第二端末装置との間で送受信されるパケットデータを中継するパケットデータ中継装置であって、
　外部ネットワークを介して接続された前記第一端末装置から複数のセキュアプロトコルの１つに従って受信したパケットデータを受信する受信手段と、
　外部ネットワーク及びホームネットワークの通信に用いるセキュアプロトコル、暗号アルゴリズム及び暗号鍵の種類を判定する判定手段と、
　前記判定手段における判定に基づいて、前記受信手段で受信したパケットデータのセキュアプロトコルをホームネットワークの第二セキュアプロトコルに変換する変換手段と、
　前記変換手段によるプロトコル変換後のパケットデータを前記第二端末装置に出力する出力手段と
　を備えることを特徴とするパケットデータ中継装置。
　前記パケットデータ中継装置は、さらに、
　前記受信手段において受信した前記パケットデータの送信元である前記第一端末装置のアドレス情報を取得する送信元取得手段と、
　少なくとも当該送信元取得手段において取得されるアドレス情報、前記判定手段において判定されるセキュアプロトコル、暗号アルゴリズム、及び暗号鍵の種類を示すテーブルを記憶する記憶手段を備え、
　前記変換手段は、前記送信元取得手段から前記アドレス情報を取得すると共に、前記テーブルを参照して外部ネットワークの前記第一端末装置より受信したパケットデータのセキュアプロトコルをホームネットワークのセキュアプロトコルに変換する
　ことを特徴とする請求項１記載のパケットデータ中継装置。
　前記受信手段において受信するパケットデータは、通信制御情報を平文のまま格納した平文通信制御情報及び通信制御情報を暗号化して格納した暗号化通信制御情報が含まれるヘッダ部及びユーザ情報を暗号化して格納した暗号化ユーザ情報が含まれる本体部から構成され、
　前記パケットデータ中継装置は、さらに、
　受信した前記パケットデータのうち、前記暗号化通信制御情報を特定する特定手段と、
　特定された前記暗号化通信制御情報を復号化する復号化手段と、
　前記変換手段でプロトコル変換された通信制御情報及びユーザ情報含むパケットデータを生成するパケット生成手段とを備え、
　前記変換手段は、前記復号化手段において復号化された通信制御情報を前記第二セキュアプロトコルに従った通信制御情報に変換し、
　前記出力手段は、前記パケット生成手段において生成されたパケットデータを前記第二端末装置に出力する
　ことを特徴とする請求項１記載のパケットデータ中継装置。
　前記判定手段は、前記ヘッダ部に含まれる前記平文通信制御情報を用いることで、前記第一端末装置と前記第二端末装置とのそれぞれにおいてセキュアプロトコルが共通に使用されるか判定し、
　前記変換手段は、前記判定手段において前記セキュアプロトコルが共通であると判定された場合にはプロトコル変換を行わない一方、前記セキュアプロトコルが共通でないと判定された場合には前記ヘッダ部のみをプロトコル変換する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記判定手段は、前記ヘッダ部に含まれる前記平文通信制御情報を用いることで、前記第一端末装置と前記第二端末装置とのそれぞれにおいてセキュアプロトコル、暗号アルゴリズム及び暗号鍵が共通に使用されるか判定し、
　前記セキュアプロトコル、暗号アルゴリズム及び暗号鍵が共通に使用されると判定した場合には、前記出力手段は前記受信手段において受信したパケットデータをそのまま前記第二端末装置に出力する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記パケットデータ中継装置は、さらに、前記復号化手段により復号化された通信制御情報を平文のまま前記第二セキュアプロトコルに従った通信制御情報に変換した後に、前記判定手段における判定に基づいてホームネットワークのセキュアプロトコルに用いる暗号アルゴリズム及び暗号鍵を用いて暗号化する暗号化手段を備え、
　前記パケット生成手段は、前記暗号化手段により暗号化された通信制御情報とユーザ情報とを含むパケットデータを生成する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記復号化手段による復号化、又は、前記暗号化手段による暗号化における暗号アルゴリズムはＤＥＳ、３ＤＥＳ、又はＡＥＳである
　ことを特徴とする請求項６記載のパケットデータ中継装置。
　前記第一端末装置から受信したパケットデータには、さらに、当該パケットデータにおける前記暗号化通信制御情報の格納位置を示す位置情報が含まれ、
　前記特定手段は、前記位置情報に基づいて、前記暗号化通信制御情報を特定する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記第一端末装置から受信したパケットデータには、さらに、当該パケットデータにおける前記ユーザ情報の格納位置を示すユーザ位置情報が含まれ、
　前記特定手段は、前記ユーザ位置情報に基づいて、前記ユーザ情報を特定する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記パケットデータ中継装置は、さらに、前記変換手段によりプロトコル変換された変換後の通信制御情報の先頭データ位置及び末尾データ位置の情報を、平文通信制御情報内に登録する通信制御情報位置登録手段
　を備えることを特徴とする請求項３記載のパケットデータ中継装置。
　前記パケットデータ中継装置は、さらに、暗号化ユーザ情報の先頭データ位置及び末尾データ位置の情報を、平文通信制御情報内に登録するユーザ情報位置登録手段
　を備えることを特徴とする請求項３記載のパケットデータ中継装置。
　前記パケットデータ中継装置は、さらに、通信制御情報の暗号化ブロック長が暗号アルゴリズムの処理単位の倍数であるか否かの解析を行う解析手段を備え、
　前記通信制御情報の暗号化ブロック長が暗号アルゴリズムの処理単位の倍数であると解析された場合には、前記復号化手段は、解析された通信制御情報を復号化し、前記変換手段は、復号化された通信制御情報を第二セキュアプロトコルに従った通信制御情報に変換し、前記パケット生成手段は、変換された通信制御情報と前記ユーザ情報と含むパケットデータを生成し、前記出力手段は、生成されたパケットデータを前記第二端末装置に出力する一方、
　前記通信制御情報の暗号化ブロック長が暗号アルゴリズムの処理単位のデータ長の倍数でないと解析された場合には、前記解析手段は、復号化するデータ長を、暗号アルゴリズムの倍数に設定し、前記復号化手段は、前記復号化するデータ長分の通信制御情報及びユーザ情報を復号化し、前記変換手段は、復号化された通信制御情報を第二セキュアプロトコルに従った通信制御情報に変換するとともに、前記ユーザ情報にパディングデータを付加することで当該ユーザ情報を暗号アルゴリズムの処理単位の倍数とした後、前記パケット生成手段は、変換された通信制御情報とユーザ情報と含むパケットデータを生成し、前記出力手段は、生成されたパケットデータを前記第二端末装置に出力する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記判定手段は、前記第一端末装置から受信したパケットデータに含まれる平文通信制御情報を用いることで、前記第一端末装置と前記第二端末装置とのそれぞれにおいて暗号アルゴリズム及び暗号鍵が共通に使用されるか判定し、
　前記暗号アルゴリズム及び暗号鍵が共通に使用されると判定した場合には、前記特定手段はパケットデータの暗号化通信制御情報を特定し、前記復号化手段は、特定された通信制御情報を復号化し、前記変換手段は、復号化された通信制御情報を第二セキュアプロトコルに従った通信制御情報に変換し、前記パケット生成手段は変換された通信制御情報と前記ユーザ情報と含むパケットデータを生成し、前記出力手段は、生成されたパケットデータを前記第二端末装置に出力する一方、
　前記暗号アルゴリズム及び暗号鍵が共通に使用されないと判定した場合には、前記復号化手段は、通信制御情報及びユーザ情報を復号化し、前記変換手段は、復号化された通信制御情報を第二セキュアプロトコルに従った通信制御情報に変換し、前記パケット生成手段は変換された通信制御情報及びユーザ情報を含むパケットデータを生成し、前記出力手段は生成された前記パケットデータを前記第二端末装置に出力する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記第一端末装置から受信したパケットデータには、さらに、当該パケットデータの前記セキュアプロトコルに用いられる暗号アルゴリズム及び暗号鍵を特定する特定情報が含まれ、
　前記判定手段は、前記特定情報を用いて、前記セキュアプロトコルと前記第二セキュアプロトコルとが共通の暗号アルゴリズム及び暗号鍵を使用するか否か判定する
　ことを特徴とする請求項１３記載のパケットデータ中継装置。
　前記第一端末装置から受信したパケットデータには、当該パケットデータにおける暗号化通信制御情報の先頭データを復号化するために必要な初期化ベクトルとして暗号化処理用初期化ベクトルが含まれ、
　前記復号化手段は、前記暗号化処理用初期化ベクトルに基づいて、暗号化通信制御情報を復号化する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記パケットデータ中継装置が、さらに、暗号アルゴリズムが前記復号化手段による復号化及び前記暗号化手段による暗号化のために、暗号アルゴリズムの処理単位のデータ長で１ブロック手前の暗号化した情報を要する場合おいて、
　前記ユーザ情報の先頭データを復号化するために必要な初期化ベクトルとして、ユーザ情報の１ブロック手前の暗号化した通信制御情報を復号化する前に、当該通信制御情報を平文通信制御情報内に保存する初期化ベクトル保存手段と、
　前記初期化ベクトル保存手段で保存した初期化ベクトルを、平文のまま第二セキュアプロトコルに従った変換を行った平文通信制御情報内に登録する初期化ベクトル登録手段と
　を備えることを特徴とする請求項１５記載のパケットデータ中継装置。
　前記パケットデータには、さらに、暗号化通信制御情報と暗号化ユーザ情報とを連続して復号化すべきか否かを示す連続暗号化フラグが含まれ、
　前記復号化手段は、前記連続暗号化フラグに基づいて、前記ユーザ情報を復号化する
　ことを特徴とする請求項１５記載のパケットデータ中継装置。
　前記復号化手段による復号化、又は、前記暗号化手段による暗号化における暗号アルゴリズムはＤＥＳ―ＣＢＣ、３ＤＥＳ―ＣＢＣ、又はＡＥＳ―ＣＢＣである
　ことを特徴とする請求項１５記載のパケットデータ中継装置。
　前記パケットデータ中継装置は、暗号化通信制御情報の格納位置情報を復号化された通信制御情報の格納位置情報へと変更して前記パケットデータの特定位置に登録する格納位置登録手段
　を備えることを特徴とする請求項３記載のパケットデータ中継装置。
　前記パケットデータ中継装置は、暗号化ユーザ情報の格納位置情報を復号化されたユーザ情報の格納位置情報へと変更して前記パケットデータの特定位置に登録する第二格納位置登録手段
　を備えることを特徴とする請求項３記載のパケットデータ中継装置。
　前記パケットデータ中継装置には、複数の端末装置が接続され、
　前記変換手段は、復号化された通信制御情報を前記パケットデータ中継装置に接続された目的の端末装置のセキュアプロトコルに従った通信制御情報へと変換し、
　前記パケット生成手段は、変換された通信制御情報と前記ユーザ情報とを含むパケットデータを生成し、
　前記出力手段は、生成されたパケットデータを目的の前記端末装置に出力する
　ことを特徴とする請求項３記載のパケットデータ中継装置。
　前記第一端末装置から受信したパケットデータには、さらに、当該パケットデータの前記セキュアプロトコルに用いられるセキュアプロトコル、暗号アルゴリズム及び暗号鍵を特定する特定情報が含まれ、
　前記判定手段は、前記特定情報を用いて、前記外部ネットワークと前記ホームネットワークとにおける通信が共通のセキュアプロトコル、暗号アルゴリズム及び暗号鍵を使用するか否か判定する
　ことを特徴とする請求項１記載のパケットデータ中継装置。
　前記パケットデータ中継装置は、さらに、
　ホームネットワーク上の前記第二端末装置から外部ネットワーク上の前記第一端末装置に送信されるパケットデータの送信先の前記第一端末装置を特定する送信先特定手段を備え、
　前記変換手段は、当該パケットデータのセキュアプロトコルを、前記送信先特定手段で特定された前記第一端末装置の外部ネットワークで用いられるセキュアプロトコルに従って変換し、
　前記出力手段は、前記変換手段においてプロトコル変換後のパケットデータを外部ネットワーク上の送信先の前記第一端末装置に出力する
　ことを特徴とする請求項１記載のパケットデータ中継装置。
　前記変換手段は、前記判定手段においてホームネットワーク上の前記第二端末装置及び送信先の外部ネットワーク上の前記第一端末装置のセキュアプロトコルが異なると判定される場合において、前記パケットデータのヘッダ部のみプロトコル変換を行う一方、ホームネットワーク上の前記第二端末装置及び送信先の外部ネットワーク上の前記第一端末装置のセキュアプロトコルが同じであると判定される場合においては、前記パケットデータのプロトコル変換を行わない
　ことを特徴とする請求項２３記載のパケットデータ中継装置。
　外部ネットワーク上の第一端末装置とホームネットワーク上の第二端末装置との間でパケットデータ中継装置を介してパケットデータの送受信を行うパケットデータ中継システムであって、
　前記パケットデータ中継装置は、
　外部ネットワークを介して接続された第一端末装置から複数のセキュアプロトコルの１つに従って受信したパケットデータを受信する受信手段と、
　外部ネットワーク及びホームネットワークの通信に用いるセキュアプロトコル、暗号アルゴリズム及び暗号鍵の種類を判定する判定手段と、
　前記判定手段における判定に基づいて、前記受信手段で受信したパケットデータのセキュアプロトコルをホームネットワークの第二セキュアプロトコルに変換する変換手段と、
　前記変換手段によるプロトコル変換後のパケットデータを前記第二端末装置に出力する出力手段とを備える
　ことを特徴とするパケットデータ中継システム。
　外部ネットワークの第一端末装置とホームネットワークの第二端末装置との間で送受信されるパケットデータを中継するパケットデータ中継方法であって、
　外部ネットワークを介して接続された第一端末装置から複数のセキュアプロトコルの１つに従って受信したパケットデータを受信する受信ステップと、
　外部ネットワーク及びホームネットワークの通信に用いるセキュアプロトコル、暗号アルゴリズム及び暗号鍵の種類を判定する判定ステップと、
　前記判定ステップにおける判定に基づいて、前記受信ステップで受信したパケットデータのセキュアプロトコルをホームネットワークの第二セキュアプロトコルに変換する変換ステップと、
　前記変換ステップによるプロトコル変換後のパケットデータを前記第二端末装置に出力する出力ステップと
　を含むことを特徴とするパケットデータ中継方法。
　前記受信ステップにおいて受信するパケットデータは、通信制御情報を平文のまま格納した平文通信制御情報及び通信制御情報を暗号化して格納した暗号化通信制御情報が含まれるヘッダ部及びユーザ情報を暗号化して格納した暗号化ユーザ情報が含まれる本体部から構成され、
　前記パケットデータ中継方法には、さらに、
　受信した前記パケットデータのうち、前記暗号化通信制御情報を特定する特定ステップと、
　特定された前記暗号化通信制御情報を復号化する復号化ステップと、
　前記変換ステップでプロトコル変換された通信制御情報及びユーザ情報含むパケットデータを生成するパケット生成ステップとを備え、
　前記変換ステップにおいては、前記復号化ステップにおいて復号化された通信制御情報を前記第二セキュアプロトコルに従った通信制御情報に変換し、
　前記出力ステップにおいては、前記パケット生成ステップにおいて生成されたパケットデータを前記第二端末装置に出力する
　ことを特徴とする請求項２６記載のパケットデータ中継方法。
　外部ネットワークを介して接続された第一端末装置から複数のセキュアプロトコルに従って受信したパケットデータを、ホームネットワークを介して接続された第二端末装置に第二セキュアプロトコルに従って出力するパケットデータ中継装置のためのプログラムであって、
　請求項１から請求項２４のいずれか１項に記載のパケットデータ中継装置が備える全ての手段をコンピュータに実行させることを特徴とするプログラム。