JP2006191207A - 通信装置 - Google Patents

Abstract

【課題】 暗号化通信を長時間に亘って中断させることなく動的に設定変更をして処理負荷を低減させることができる通信装置を提供する。
【解決手段】 通信装置１は、複数の暗号鍵情報及び暗号化アルゴリズムを記憶するＲＯＭ１３と、セキュリティ処理部２１と、少なくともセキュリティ処理部２１での処理負荷を監視する負荷監視部２２とを備え、負荷監視部２２で監視している処理負荷が、予め設定した所定のレベルに達した場合に、例えば端末装置２毎又は通信データ毎に、暗号化情報又は暗号化アルゴリズムを変更させること、又は、暗号化処理を停止させて暗号化処理手段の処理負荷を低下させる。
【選択図】 図１

Description

本発明は、暗号化や認証等のセキュリティ処理を行うことによってセキュア通信を行う通信装置に関する。

近年、個人情報や企業等の機密情報保護の観点から、セキュリティ関連技術の必要性が増している。しかしながら、これらの技術の導入そのものや、セキュリティレベルの上昇によって、当該セキュリティ処理を行う通信装置に対しては新たな負荷がかかることとなる。更に、複数の通信機器と接続されて、同時に複数の通信データを扱う必要がある場合には、急激に処理負荷が上昇してしまうこともあり、その結果、送信パフォーマンスが低下して通信が遅延するといった事態体を招いてしまうこともある。一方、通信装置のセキュリティ設定は、一度決定して運用を開始してしまうと、運用を中断しない限り、その内容を変更することはできないことが多い。

これに対し、従来では、下記の特許文献１に記載されているように、暗号化アルゴリズムを折衝するに際して、ＣＰＵの処理負荷が高い場合には、低負荷の暗号化アルゴリズムを選択し、ＣＰＵの処理負荷が低い場合には、高負荷の暗号化アルゴリズムを選択することによって、処理のリアルタイム性を保持することが知られている。
特開２００４−２５４２８６号公報

しかしながら、上述の特許文献１に記載された技術では、暗号化アルゴリズムの折衝時であって、暗号化アルゴリズムを決定する時のＣＰＵの処理負荷を監視しており、一時的に通信相手とのデータ通信を中断させている。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、暗号化通信を長時間に亘って中断させることなく動的に設定変更をして処理負荷を低減させることができる通信装置を提供することを目的とする。

本発明に係る通信装置は、複数の通信機器が接続され、通信データを送受信する通信インターフェースと、通信データに暗号化処理を施すために用いられる複数の暗号化情報及び暗号化情報を用いた暗号化アルゴリズムを記述した複数の暗号化アルゴリズム情報とを記憶する記憶手段と、通信インターフェースで受信した通信データに対して、何れかの暗号化情報を用い、何れかの暗号化アルゴリズムに従って暗号化処理を施す暗号化処理手段と、少なくとも暗号化処理手段での処理負荷を監視する負荷監視手段と、暗号化処理手段を制御する制御手段とを備える。

このような通信装置は、負荷監視手段で監視している処理負荷が、予め設定した所定のレベルに達した場合に、制御手段により、暗号化処理手段で使用する暗号化情報又は暗号化アルゴリズムを変更させ、又は、暗号化処理手段による暗号化処理を停止させて、暗号化処理手段の処理負荷を低下させることによって、上述の課題を解決する。

本発明に係る通信装置によれば、処理負荷が所定のレベルに達した場合に、通信機器ごと又は通信データごとに暗号化情報又は暗号化アルゴリズム情報を変更させることや、通信機器ごと又は通信データごとに暗号化情報又は暗号化アルゴリズム情報を変更させるので、通信データの中継を継続しつつ暗号化通信を長時間に亘って中断させることなく動的に設定変更をして処理負荷を低減させることができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明を適用した通信装置１は、図１に示すように、例えば、一又は複数のハブや端末装置２−１，２−２，・・・，２−ｎ（以下、総称する場合には、単に「端末装置２」と呼ぶ。）を有するＬＡＮネットワークやインターネット等の汎用のネットワークなどに接続され、端末装置２から送信された通信データを送受信することによって中継すると共に、当該中継時に適宜セキュリティ処理としての暗号化処理を施すものである。そして、この通信装置１は、通信データの中継動作を維持しつつ、中継処理や暗号化処理の処理負荷が、予め設定した所定のレベルに達した場合に、端末装置２毎や通信データ毎に、暗号化処理手段で使用する暗号鍵情報又は暗号化アルゴリズムを動的に変更させることによって、処理負荷を低下させることを特徴とするものである。

［第１実施形態］
まず、本発明を適用した第１実施形態に係る通信装置１について説明する。

この通信装置１は、図１に示すように、各端末装置２に接続された複数の通信インターフェース１１−１，１１−２，・・・，１１−ｎ（以下、総称する場合には、単に「通信インターフェース１１」と呼ぶ。）と、通信装置１の動作を統括するＣＰＵ１２と、プログラムや各種の設定情報等が記憶されている不揮発性メモリのＲＯＭ１３と、データの演算時や一時保存時に用いられる揮発性メモリのＲＡＭ１４とが、通信装置１の内部バス１ａを介して接続されて構成されている。この第１実施形態に係る通信装置１は、各通信インターフェース１１が各端末装置２に接続されて、端末装置２間で伝送される通信データを中継するものを示しているが、通信装置１と端末装置２とがインターネット等の汎用ネットワークやＬＡＮネットワークの何れで接続されていても良い。

ＣＰＵ１２は、暗号化及び復号化、認証等のセキュア通信に必要なセキュリティ処理を行うセキュリティ処理部２１と、ＣＰＵ１２自身にかかる処理負荷を監視する負荷監視部２２と、ＲＯＭ１３に格納されたプログラム従ってセキュリティ処理部２１及び負荷監視部２２の動作を制御する制御部２３とを有する。このＣＰＵ１２の処理負荷は、主として、通信インターフェース１１で伝送する通信データに対する暗号化処理に要する。なお、セキュリティ処理部２１、負荷監視部２２については、ＣＰＵ１２で行う場合のみならず、別のハードウェアによって処理させる構成であっても良い。

セキュリティ処理部２１は、暗号化処理を行うに際して、ＲＯＭ１３に記憶された処理プログラム及び暗号化アルゴリズム情報を読み出すと共に、当該暗号化アルゴリズムで使用する暗号鍵情報を読み出し、当該暗号化アルゴリズムに従って暗号鍵情報を使用した暗号化処理を行う。ここで、ＲＯＭ１３には、セキュリティ処理部２１での処理負荷及び暗号化強度が異なる複数の暗号鍵情報、複数の暗号化アルゴリズム情報が記憶されている。このＲＯＭ１３に記憶される複数の暗号鍵情報としては、暗号鍵のデータ長がそれぞれ異なるものであり、複数の暗号化アルゴリズム情報としては、ＤＥＳ（Data Encryption Standard ）、当該ＤＥＳよりも暗号化強度が高い３ＤＥＳ、ＡＥＳ（Advanced Encryption Standard）等の暗号化処理の処理量が異なるものが挙げられる。

負荷監視部２２は、ＣＰＵ１２の一定時間間隔における処理量を監視し、当該処理量と、一定時間間隔におけるＣＰＵ１２の最大処理量との比率であるＣＰＵ１２の使用率を監視している。このとき、負荷監視部２２は、通信装置１のＯＳ（Operation System）のＡＰＩ（Application Program Interface）を介してＣＰＵ１２の使用率を監視することによって、処理負荷を求める。

そして、負荷監視部２２は、監視しているＣＰＵ１２の使用率と予め設定しておいた所定レベルとを比較し、ＣＰＵ１２の使用率が所定レベルを超えたと判定した場合には、その旨を制御部２３に通知する。ここで、所定レベルとは、例えば８０％などの、通信装置１において通信データ中継の遅れ、ＣＰＵ１２が行う他の処理の遅れが発生する可能性がある一定値が設定されている。

このように構成された通信装置１は、通信インターフェース１１に接続された端末装置２間の通信について、セキュリティ処理を施した上で中継して端末装置２間のセキュア通信を実現すると同時に、ＣＰＵ１２に処理負荷がかかりすぎる状態になった際には、自ら動的に暗号化処理等のセキュリティ強度を低下させたり、セキュリティ処理自体を停止するなどの制御を行って、ＣＰＵ１２の処理負荷の調整を行う。これにより、通信装置１のデータ通信の遅延を抑制する。

例えば、通信インターフェース１１−１に接続されている端末装置２−１が暗号化及び復号化処理機能を持たない機器であるとし、通信インターフェース１１−２に接続されている端末装置２−２が暗号化及び復号化処理機能を持つ機器である場合の通信装置１の動作を説明する。

通信装置１は、端末装置２−１から端末装置２−２宛に通信データが送信された場合には、通信インターフェース１１−１によって通信データを受信し、当該通信データをＲＡＭ１４に転送させて保存させる。そして、制御部２３は、通信データの内容から平文の通信データであると認識すると共に、通信データの宛先情報から暗号化及び復号化処理機能を持つ端末装置２−２が送信先であると認識する。これに応じ、制御部２３は、ＲＡＭ１４に記憶されている平文の通信データに対してセキュリティ処理部２１によって暗号化処理を行わせて、通信インターフェース１１−２に転送させ、通信インターフェース１１−２から端末装置２−２に送信させる。

一方、通信装置１は、端末装置２−２から端末装置２−１宛に通信データが送信された場合には、通信インターフェース１１−２によって通信データを受信し、当該通信データをＲＡＭ１４に転送させて保存させる。そして、制御部２３は、ＲＡＭ１４に記憶された通信データの内容から暗号化された通信データであると認識すると共に、通信データの宛先情報から暗号化及び復号化処理機能を持たない端末装置２−１が送信先と認識する。これに応じ、制御部２３は、ＲＡＭ１４に記憶されている通信データに対してセキュリティ処理部２１によって復号化処理を行わせて、通信インターフェース１１−１に転送させ、通信インターフェース１１−１から端末装置２−１に送信させる。

ここで、通信装置１に多数の端末装置２が接続され、同時に多数のセキュリティ処理がセキュリティ処理部２１で実行されると、ＣＰＵ１２にかかる処理負荷が高くなり、セキュリティ処理部２１でのセキュリティ処理の遅れや、通信インターフェース１１とＲＡＭ１４との間のデータ転送に遅れが生じて、通信自体に遅延が生じてしまう恐れがある。

これに対し、制御部２３は、セキュリティ処理を伴うデータ中継時において、ＣＰＵ１２の処理負荷を負荷監視部２２で監視させて、ＣＰＵ１２の使用率と所定レベルとの比較を行わせている。そして、制御部２３は、ＣＰＵ１２の使用率が所定レベル以下である場合には、例えば初期設定された暗号化アルゴリズムである３ＤＥＳ、初期設定された６４ｂｉｔの暗号鍵情報でセキュリティ処理部２１による暗号化処理を継続させるが、ＣＰＵ１２の使用率が所定レベルを超えた場合には、初期設定されている暗号化アルゴリズム及び暗号鍵情報の双方を変更させることや、端末装置２ごと又は通信データごとに暗号化処理を停止させてＣＰＵ１２の使用率の低下を図る。また、制御部２３は、暗号化アルゴリズム及び暗号鍵情報の変更又は暗号化処理の停止したことを通信インターフェース１１を介して端末装置２に通知する。

このとき、制御部２３は、ＣＰＵ１２の使用率が所定レベルを超えたと判定された時点においてＲＡＭ１４に記憶されている通信データに対するセキュリティ処理のレベルを低下させることや、セキュリティ処理部２１によるセキュリティ処理自体を停止させる。例えば、ＣＰＵ１２の使用率が所定レベルを超えた場合には、暗号化アルゴリズムを３ＤＥＳから、当該３ＤＥＳよりも暗号化強度が低いが１／３の処理量であるＤＥＳに変更させる。

ここで、セキュリティ処理部２１の暗号化アルゴリズムを３ＤＥＳからＤＥＳに変更させた場合、端末装置２−１から送信されてＤＥＳで暗号化された通信データが端末装置２−２で受信されることになる。しかし、暗号鍵情報又は暗号化アルゴリズムの変更後の暗号化アルゴリズム及び暗号鍵情報の内容が、暗号化及び復号化機能を持つ端末装置２−２には通知されていないため、端末装置２−２では、変更前の３ＤＥＳで復号化を開始するが、復号化が行えないことになる。これに対し、端末装置２−２の図示しないＣＰＵは、複数回に亘って復号化が完了しないことを検知すると、予め設定されている複数の暗号化アルゴリズムを順次試行する。そして、例えばＡＥＳ、ＤＥＳの順で暗号化アルゴリズムを試行した場合には、２度目のＤＥＳで復号化が完了することになる。その後、端末装置２−２では、通信装置１で中継された通信データについては、変更後のＤＥＳで暗号化及び復号化処理を行うとの設定変更を行う。

また、通信装置１において、暗号化アルゴリズムとしてＡＥＳを使用している場合であって、処理負荷が所定レベルを超えた時の暗号鍵情報のデータ長（例えば１２８ｂｉｔ）よりも通信装置１で暗号鍵情報のデータ長を短く変更した場合（例えば６４ｂｉｔ）、端末装置２−２は、ＡＥＳにおける暗号鍵情報を変更して復号化の試行をして、通信装置１での変更後の暗号鍵情報で復号化させることなる。更に、通信装置１で暗号鍵情報のデータ長及び暗号化アルゴリズムの双方を変更した場合にも、端末装置２−２は、暗号化アルゴリズムの試行と共に、暗号鍵情報を変更して復号化の試行をして、通信装置１での変更後の暗号化アルゴリズム及び暗号鍵情報で復号化させることなる。

なお、通信装置１は、暗号化アルゴリズムの変更及び暗号鍵情報の変更を行ってＣＰＵ１２の処理負荷の低下を図っても、ＣＰＵ１２の使用率が所定レベル以下にならない場合には、セキュリティ処理部２１の暗号化及び復号化処理を停止させても良い。

そして、通信装置１は、中継すべき通信データの数が減った場合や、上述のように暗号化アルゴリズム及び暗号鍵情報の変更やセキュリティ処理の停止等を行うことによって、ＣＰＵ１２の使用率が所定の低いレベル（例えば２０％）となった場合には、ＣＰＵ１２の使用率が所定レベルを超えた時点での暗号化アルゴリズム及び暗号鍵情報に再度設定する。これに対し、端末装置２−２は、上述と同様に暗号化アルゴリズム及び暗号鍵情報の試行を行うことによって、通信装置１で再度設定された暗号化アルゴリズム及び暗号鍵情報に再設定することができる。

このように、第１実施形態に係る通信装置１によれば、中継する全通信データについて、セキュリティ処理で使用する暗号鍵又は暗号化アルゴリズムを変更させて、ＣＰＵ１２の処理負荷を低下させることができる。すなわち、通信装置１によれば、通信データの送信元又は宛先が暗号化及び復号化機能を有する端末装置２−２となっていると認識して、変更後の暗号化アルゴリズム及び暗号鍵情報で通信を行うことができる。

したがって、この通信装置１によれば、通信データの中継を維持しつつ、暗号化アルゴリズム又は暗号鍵情報を動的に変更して、ＣＰＵ１２の処理負荷の低減を実現することができ、通信データの暗号化通信を長時間に亘って中断することなくすことができる。

［第２実施形態］
つぎに、本発明を適用した第２実施形態に係る通信装置１について説明する。なお、以下の説明において、第１実施形態と同様の部分については、同一符号及び名称を使用することによってその詳細な説明を省略する。

第１実施形態に係る通信装置１は、暗号化アルゴリズム及び暗号鍵情報の変更後の暗号化アルゴリズム及び暗号鍵情報の内容を端末装置２側で検知して、端末装置２で暗号化アルゴリズム及び暗号鍵情報を変更させたが、第２実施形態に係る通信装置１は、暗号化アルゴリズム及び暗号鍵情報の変更の内容を端末装置２側に通知して、端末装置２で暗号化アルゴリズム及び暗号鍵情報を変更させることを特徴とするものである。

ここで、第１実施形態に係る通信装置１は、暗号化及び復号化機能を持つ端末装置２−２から図２に示すような構造のＩＰ（Internet Protocol）パケットを通信データとして受信し、端末装置２−２に図２に示すような構造のＩＰパケットを送信している。このＩＰパケットは、所定の暗号化アルゴリズム及び暗号鍵情報による暗号化処理によって暗号化された暗号化データ１１１の先頭側に、ＳＰＩ及びシーケンス番号からなるＥＳＰ（IP Encapsulating Security Payload）ヘッダ１１２，ＩＰアドレスに基づく経路制御をさせるためのＩＰヘッダ１１３が付加され、暗号化データ１１１の末尾側に、認証処理を行うためのＥＳＰパケット部分に対する完全性チェック値（ＩＣＶ）を含むＥＳＰ認証値１１４が付加されている。

これに対し、第２実施形態に係る通信装置１は、端末装置２との間で送受信するＩＰパケットを、図３又は図４のように変更している。このＩＰパケットは、ＥＳＰヘッダ１１２の先頭側であってＩＰヘッダ１１３の末尾側に、暗号化アルゴリズム及び暗号鍵情報の変更を認識させるための設定変更通知情報１２１が挿入されている。この設定変更通知情報１２１は、１ビット分のフィールドであって、通信装置１で暗号化アルゴリズム及び暗号鍵情報の変更を端末装置２に通知する場合には、値が「１」とされ、それ以外の通常時には値が「０」とされる。

通信装置１は、暗号化アルゴリズム及び暗号鍵情報の変更を行っていない場合には、設定変更通知情報１２１の値を「０」とし、暗号化及び復号化機能を持つ端末装置２−２との間で送受信するＩＰパケットを、図３のように構成する。これによって端末装置２では、設定変更通知情報１２１を参照することによって、その後の通信もそれまでの設定通りで、現在の暗号化アルゴリズム及び暗号化鍵情報に変更がないことを認知できる。

また、図４に示すように、設定変更通知情報１２１の値を「１」とした場合には、暗号化データ１１１に代えて、変更後又は変更したい暗号化アルゴリズム及び暗号鍵情報を示す変更設定情報１３１を格納する。例えば、通信装置１と端末装置２−２との間で、予め設定された暗号化アルゴリズムと暗号鍵情報との組み合わせごとに識別番号が設定されている場合に、当該識別番号を変更設定情報１３１とする。ここで、通信装置１は、既に変更済の暗号化アルゴリズム及び暗号鍵情報を識別する変更設定情報１３１としても良く、変更前に、変更後の暗号化アルゴリズム及び暗号鍵情報を前通知する変更設定情報１３１としても良い。

一方、端末装置２−２は、通信データとしてＩＰパケットを通信装置１から受信すると、設定変更通知情報１２１の値を参照して、値が「１」である場合には、即座に現在の暗号化アルゴリズム及び暗号鍵情報から、変更設定情報１３１を読み出して、変更後又は変更したい暗号化アルゴリズム及び暗号鍵情報を認識する。そして、次に通信装置１から受信した通信データについては、変更後の暗号化アルゴリズム及び暗号鍵情報で復号化を行うことができる。

これにより、通信装置１と端末装置２−２との間で、新たな通信路を確立して、暗号化アルゴリズム及び暗号鍵情報の変更前に確立させていた通信路を破棄させる。なお、変更前の通信路を破棄するに際して、通信装置１及び端末装置２−２は、通信路の生存時間が過ぎるまで放置しても良い。

このように、第２実施形態によれば、通信装置１で暗号化アルゴリズム及び暗号鍵情報を変更したことによって、端末装置２−２で複数回に亘って復号化できない場合に、他の暗号化アルゴリズム及び暗号鍵情報に変更させて復号化を試行する処理と比較して、効率よく復号化を完了させることができる。すなわち、第１実施形態のように、暗号化アルゴリズム及び暗号鍵情報を試行するために復号化が完了するまでにある程度の時間を要するが、変更後の暗号化アルゴリズム及び暗号鍵情報を通知して、新たな暗号化アルゴリズム及び暗号鍵情報を使用した復号化及び暗号化への移行を容易とすることができる。

［第３実施形態］
つぎに、本発明を適用した第３実施形態に係る通信装置１について説明する。なお、以下の説明において、第１実施形態と同様の部分については、同一符号及び名称を使用することによってその詳細な説明を省略する。

上述の第１実施形態及び第２実施形態では、端末装置２−２と端末装置２−１との間で送受信される通信データを通信装置１で中継する場合であって、全通信データについてセキュリティ処理を施す場合について説明したが、第３実施形態に係る通信装置１は、通信インターフェース１１に接続された端末装置２に応じて中継する通信データにセキュリティ処理を施すか否かを制御することを特徴とし、一部の端末装置２についてはセキュア通信を行わせ、他の端末装置２についてはセキュア通信を行わせないようにする。

この第３実施形態に係る通信装置１は、図５に示すように、ＣＰＵ１２に、通信インターフェース１１と接続された端末装置２の情報を取得するための端末接続検出部２４を備えている。

この端末接続検出部２４は、指定した範囲内のＩＰアドレスに対してｐｉｎｇデータ等を所定のタイミングでそれぞれの通信インターフェース１１から順次送信して、当該ｐｉｎｇデータに対する応答パケットから、通信装置１に接続されて通信可能な生存している端末装置２を確認する。ここで、通信装置１に接続されている端末装置２−１〜２−ｎに割り当てられているＩＰアドレスの範囲が、限定されているものとする。

そして、端末接続検出部２４は、一又は複数の応答パケットの送信元ＩＰアドレス領域から各端末装置２のＩＰアドレスを読み出して、当該読み出したＩＰアドレスをＲＡＭ１４に格納する。ここで、ＲＯＭ１３には、予めセキュリティ処理の対象となる端末装置２のＩＰアドレスが記述されているテーブルを記憶しており、制御部２３は、応答パケットから取得してＲＡＭ１４に格納されているＩＰアドレスと、ＲＯＭ１３に記憶されているセキュリティ処理の対象となるＩＰアドレスとを比較する。そして、合致するＩＰアドレスの端末装置２についてはセキュア通信を行わせ、合致しないＩＰアドレスの端末装置２についてはセキュア通信を行わせないよう区別する。

また、端末接続検出部２４は、ｐｉｎｇデータに代えて、予め指定した範囲内のＩＰアドレスの端末装置２に対して要求フレームをそれぞれの通信インターフェース１１から順次送信し、当該要求フレームに対する応答フレームを返信する。そして、応答フレームに含まれるＭＡＣ（Media Access Control）アドレスを取得して、ＲＡＭ１４に記憶させても良い。

そして、端末接続検出部２４は、応答フレームから取得してＲＡＭ１４に格納されているＭＡＣアドレスと、ＲＯＭ１３に記憶されているセキュリティ処理の対象となるＭＡＣアドレスとを比較して、合致するＭＡＣアドレスの端末装置２についてはセキュア通信を行わせ、合致しないＭＡＣアドレスの端末装置２についてはセキュア通信を行わせないよう区別する。

また、端末装置２の生存を確認するためにＭＡＣアドレスを取得した場合に、通常、ＭＡＣアドレスの上位２４ｂｉｔで端末装置２の製造メーカーを表現するため、端末接続検出部２４は、例えば端末装置２として特定の製造元が接続されていることを検出して、特定の製造元の端末装置２に対してのみセキュア通信を行わせるようにしても良い。

更に、上述した説明では、それぞれの通信インターフェース１１から順次ｐｉｎｇデータ又は要求フレームを送信させ、通信インターフェース１１に接続されている各端末装置２について生存確認を行う場合について説明したが、一度のｐｉｎｇデータ又は要求フレームの送信で通信装置１に接続されている全端末装置２の生存確認を行うようにしても良い。

すなわち、ＭＡＣアドレスを使用することを例に挙げて説明すると、各端末装置２−１〜２−ｎを識別するためのユニークなＭＡＣアドレスＡ−１〜Ａ−ｎの他に、通信装置１に接続されている全ての端末装置２で共通なＭＡＣアドレスＢを割り当てておく。そして、接続端末検出部２４からＭＡＣアドレスＢ宛の要求パケットを送信して、全端末装置２で受信させる。これに応じ、各端末装置２では、それぞれが通信装置１に応答フレームを返信するが、当該応答フレームの送信元ＭＡＣアドレスとして、自身のユニークなＭＡＣアドレスに変更させる。

これにより、接続端末検出部２４は、全端末装置２からの応答フレームを受信することで、全端末装置２をそれぞれ識別できるＭＡＣアドレスを知ることができ、１回の要求フレームの送信処理のみによって接続されている端末装置２の生存確認を行うことができる。なお、この例の場合において、個々の端末装置２が通信装置１との間で通信を行う際には、ユニークなＭＡＣアドレスＡ１〜Ａｎを用いるものとする。

そして、通信装置１は、通信装置１に接続された複数の端末装置２に優先順位を設定しておき、ＣＰＵ１２の処理負荷が所定レベルを超えた場合に、当該優先順位の高い端末装置２に対して優先順位の低い端末装置２から先に暗号化アルゴリズム及び暗号鍵情報を変更又はセキュア通信の停止をさせることを特徴とするものである。

この第３実施形態に係る通信装置１は、図１に示した構成に適用した場合には、ＲＯＭ１３に、通信装置１に接続される個々の端末装置２ごとの重要度に従った優先順位が記憶されている。

例えば、端末装置２−１の優先順位を１位、端末装置２−２の優先順位を２位としておく。そして、負荷監視部２２によってＣＰＵ１２の処理負荷が所定レベルを超えたと判定された場合には、ＲＯＭ１３に記憶された優先順位を参照して、優先順位の低い端末装置２−２で送受信される通信データに対する暗号化アルゴリズム及び暗号鍵情報を変更又はセキュア通信を停止させて、処理負荷の低下を図る。

このように第３実施形態に係る通信装置１によれば、優先順位の低い端末装置２から先に暗号化アルゴリズム及び暗号鍵情報を変更させて暗号化レベルを低下させ、又はセキュア通信の停止を行うので、全ての通信データに対する暗号化レベルの低下をさせずに一部の端末装置２に対するセキュア通信の暗号化レベルのみを低下させてＣＰＵ１２の処理負荷の調整を行うことができる。なお、優先順位に対する端末装置２の識別子としては、第３実施形態で説明したように、ＩＰアドレスを用いても構わないし、ＭＡＣアドレスを用いても構わない。

［第４実施形態］
つぎに、本発明を適用した第４実施形態に係る通信装置１について説明する。なお、以下の説明において、実施形態と同様の部分については、同一符号及び名称を使用することによってその詳細な説明を省略する。

第４実施形態に係る通信装置１は、アプリケーションの種類や、プロトコルの種類に優先順位を設定しておき、ＣＰＵ１２の処理負荷が所定レベルを超えた場合に、当該優先順位の高いアプリケーションやプロトコルに対して優先順位の低いアプリケーションやプロトコルから先に、当該アプリケーションやプロトコルを使用した通信データに対する暗号化アルゴリズム及び暗号鍵情報を変更又はセキュア通信の停止をさせることを特徴とするものである。

この第４実施形態に係る通信装置１は、図１に示した構成に適用した場合には、ＲＯＭ１３に、通信データのアプリケーションの種類や、通信データを伝送するためのプロトコルごとの重要度に従った優先順位が記憶されている。

そして、負荷監視部２２によってＣＰＵ１２の処理負荷が所定レベルを超えたと判定された場合には、制御部２３は、ＲＯＭ１３に記憶された優先順位を参照して、通信データに含まれるアプリケーションデータ又は通信データのヘッダ部分のプロトコル識別子を通信データごとに確認する。そして、制御部２３は、優先順位の低いアプリケーションデータやプロトコル識別子を含む通信データに対する暗号化アルゴリズム及び暗号鍵情報を変更又はセキュア通信を停止させて、処理負荷の低下を図る。

例えば、アプリケーションデータとしてのメールデータ及びプロトコルとしてＳＭＴＰ（Simple Mail Transfer Protocol）の優先順位を１位、アプリケーションデータとしてのＷｅｂページ及びプロトコルとしてのＨＴＴＰ（HyperText Transfer Protocol）の優先順位を２位としておく。そして、制御部２３は、負荷監視部２２によってＣＰＵ１２の処理負荷が所定レベルを超えたと判定された場合、メールデータを含む又はプロトコルとしてＳＭＴＰを使用している通信データよりも先に、Ｗｅｂページ又はＨＴＴＰを使用している通信データに対する暗号化レベルを低下させるように暗号化アルゴリズム及び暗号鍵情報を変更又はセキュア通信を停止させて、処理負荷の低下を図ることになる。

このように第４実施形態に係る通信装置１によれば、通信データ毎のアプリケーションの種類又はプロトコルの種類が、優先順位の低いアプリケーションやプロトコルに該当する場合には、当該通信データに対するセキュリティ処理で使用する暗号化アルゴリズム及び暗号鍵情報を変更させて暗号化レベルを低下させ、又はセキュア通信の停止を行うことができる。したがって、この通信装置１によれば、全ての通信データに対する暗号化レベルの低下をさせずに一部の通信データに対する暗号化レベルのみを低下させてＣＰＵ１２の処理負荷の調整を行うことができ、重要なアプリケーションデータやプロトコルを使用した通信データについて暗号化レベルの高いセキュア通信を提供することができる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明を適用した第１実施形態に係る通信装置の構成を示すブロック図である。 本発明を適用した通信装置によって中継されるＩＰパケットの構造を示す図である。 本発明を適用した通信装置で暗号化アルゴリズム及び暗号鍵情報を変更させることを通知するためのＩＰパケットの構造を示す図であって、設定変更通知情報の値が「０」である場合について説明するための図である。 暗号化データに代えて、変更する暗号化アルゴリズム及び暗号鍵情報を示す変更設定情報を含むＩＰパケットの構造を示す図である。 本発明を適用した第３実施形態に係る通信装置の構成を示すブロック図である。

符号の説明

１ 通信装置
２ 端末装置
１１ 通信インターフェース
１２ ＣＰＵ
１３ ＲＯＭ
１４ ＲＡＭ
２１ セキュリティ処理部
２２ 負荷監視部
２３ 制御部
２４ 端末接続検出部
１２１ 設定変更通知情報
１３１ 変更設定情報

Claims (6)

1. 複数の通信機器が接続され、通信データを送受信する通信インターフェースと、
   前記通信データに暗号化処理を施すために用いられる複数の暗号化情報及び前記暗号化情報を用いた暗号化アルゴリズムを記述した複数の暗号化アルゴリズム情報とを記憶する記憶手段と、
   前記通信インターフェースで受信した通信データに対して、前記何れかの暗号化情報を用い、前記何れかの暗号化アルゴリズムに従って暗号化処理を施す暗号化処理手段と、
   少なくとも前記暗号化処理手段での処理負荷を監視する負荷監視手段と、
   前記負荷監視手段で監視している処理負荷が、予め設定した所定のレベルに達した場合に、前記暗号化処理手段で使用する前記暗号化情報又は前記暗号化アルゴリズムを変更させ、又は、前記暗号化処理手段による暗号化処理を停止させて、前記暗号化処理手段の処理負荷を低下させる制御手段と
   を備えることを特徴とする通信装置。
2. 前記制御手段は、前記暗号化情報又は前記暗号化アルゴリズムを変更させる場合には、前記記憶手段に記憶された暗号化情報である暗号鍵のうち前記処理負荷が所定のレベルに達した時のデータ長よりも短い暗号鍵に変更、又は、前記記憶手段に記憶された暗号化アルゴリズムのうち前記処理負荷が所定のレベルに達した時の暗号化アルゴリズムよりも処理量が少ない暗号化アルゴリズムに変更させ、当該変更後の暗号化情報又は暗号化アルゴリズムを前記通信インターフェースに接続された通信機器に通知すること
   を特徴とする請求項１に記載の通信装置。
3. 前記通信インターフェースに接続されていて通信データの送受信が可能な通信機器を検出する通信機器検出手段を更に備え、
   前記記憶手段には、前記通信インターフェースに接続されて通信データの送受信を行う通信機器ごとの優先順位が記憶されており、
   前記制御手段は、前記負荷監視手段で監視している処理負荷が、予め設定した所定のレベルに達した場合に、前記通信機器検出手段で検出された通信機器で送受信される通信データのうち、前記優先順位が低い通信機器で送受信される通信データに対して、暗号化処理を行うための暗号鍵情報又は暗号化アルゴリズムを変更させ、又は、前記暗号化処理手段による暗号化処理を停止させること
   を特徴とする請求項１又は請求項２に記載の通信装置。
4. 前記記憶手段には、前記通信インターフェースで送受信される通信データに含まれるアプリケーションデータの種類ごとの優先順位又は通信データを伝送させるためのプロトコルごとの優先順位が記憶されており、
   前記制御手段は、前記負荷監視手段で監視している処理負荷が、予め設定した所定のレベルに達した場合に、前記通信インターフェースで送受信される通信データのうち、前記優先順位が低いアプリケーションデータを含む通信データに対して暗号化処理を行うための暗号鍵情報又は暗号化アルゴリズムを変更させ又は前記暗号化処理手段による暗号化処理を停止させ、又は、前記通信インターフェースで送受信される通信データのうち、前記優先順位が低いプロトコルで伝送される通信データに対して暗号化処理を行うための暗号鍵情報又は暗号化アルゴリズムを変更させ、又は、前記暗号化処理手段による暗号化処理を停止させること
   を特徴とする請求項１又は請求項２に記載の通信装置。
5. 前記制御手段は、前記暗号化処理手段で使用する前記暗号化情報又は前記暗号化アルゴリズムを変更させた後に、継続して前記処理負荷が予め設定した所定のレベルに達していることが前記負荷監視手段で監視されている場合には、前記暗号化処理手段による暗号化処理を停止させること
   を特徴とする請求項１乃至請求項４の何れか一項に記載の通信装置。
6. 前記通信インターフェースに接続されていて通信データの送受信が可能な通信機器を検出する通信機器検出手段を更に備え、
   前記制御手段は、前記通信機器検出手段で検出された通信機器のうち、予め設定されている暗号化通信を行う通信機器を記述したテーブルに含まれている通信機器で送受信される通信データのみについて前記暗号化処理手段によって暗号化処理を行わせること
   を特徴とする請求項１乃至請求項５の何れか一項に記載の通信装置。
   

Images