JP2008278357A - 通信回線切断装置 - Google Patents

Abstract

【課題】異常な通信が発生した場合にネットワーク回線を電気的に切断することでコンピュータをネットワークから完全に隔離すると共に、異常な通信が収束した場合に即座に回線を接続することが可能な通信回線切断装置を提供することを課題とする。
【解決手段】通信回線切断装置７に、カウンタ７１によってカウントされたパケット数が異常通信を検出するための閾値を超えている場合にネットワークインターフェースを切断状態へ切り換え、ネットワークインターフェースが切断状態である間は、カウンタ７１によってカウントされたパケット数が異常通信の終了を検出するための閾値を下回った場合にネットワークインターフェースを接続状態へ切り換える、ブレークスイッチ７３およびブレークスイッチ制御部７２を備えた。
【選択図】図１

Description

本発明は、コンピュータ間通信に用いられる通信回線を切断状態とすることでコンピュータを保護する通信回線切断装置に関する。

従来、複数の通信ポートのうち何れかを通じて受け付けたパケット信号に基づいて、所定の判別基準に従って異常アクセスか否かを判定し、異常事象が検出されない場合に、パケット信号を転送するスイッチングハブ装置がある。
特開２００６−１３５９５０号公報

従来、外部からの攻撃等、異常な通信が検出された場合に、パケットの転送を停止し、ネットワークやコンピュータを保護する技術は多く用いられている。しかし、受信したパケットをソフトウェア制御によって廃棄する等の従来の手法では、パケット廃棄に伴う処理でコンピュータのリソースが使い切られてしまうことがあるという問題や、電気的には通信可能な状態であるために、システムへの侵入を許してしまう可能性が残るといった問題がある。このため、ネットワークやコンピュータが攻撃を受けている、またはそのコンピュータから異常なトラフィックが発生している、等の問題が発生した場合に最も安全且つ確実な対処方法として行われているのが、コンピュータからネットワーク回線を引き抜く（無線通信の場合は、無線ユニットを取り外す）ことである。

ネットワーク回線を引き抜くことによって、ネットワークとコンピュータを物理的に完全に隔離することが可能である。しかし、この対処方法を用いた場合、問題の原因が解消された場合や、異常な通信が収束した場合にも、人手によってネットワーク回線を再接続する必要があるため、即座にサービスを再開することが出来ない。

本発明は、上記した問題に鑑み、異常な通信が発生した場合にネットワーク回線を電気的に切断（ｂｒｅａｋ）することでコンピュータをネットワークから完全に隔離すると共に、前記異常な通信が収束した場合に即座に回線を接続することが可能な通信回線切断装置を提供することを課題とする。

本発明は、上記した課題を解決するために、以下の構成を採用した。即ち、本発明は、コンピュータのネットワークインターフェースを介して行われる通信に係る通信状態を取得する取得部と、前記ネットワークインターフェースを、電気的に接続された接続状態から電気的に切断された切断状態へ切り換え、および前記切断状態から前記接続状態へ切り換えるスイッチ部と、前記取得部によって取得された前記通信状態が、異常通信を検出するための異常検出条件に合致するか否かを判定し、該異常検出条件に合致すると判定された場合に、前記ネットワークインターフェースを前記切断状態へ切り換えるよう前記スイッチ部を制御するスイッチ制御部と、を備え、前記スイッチ制御部は、前記ネットワークインターフェースが切断状態である場合に、前記取得部によって取得された前記通信状態が、前記異常通信の終了を検出するための復帰条件に合致するか否かを判定し、該復帰条件に合致すると判定された場合に、前記ネットワークインターフェースを前記接続状態へ切り換えるよう前記スイッチ部を制御する、通信回線切断装置である。

ここで、通信状態とは、ネットワークインターフェースを通過する通信の単位時間当た
りのデータサイズやパケット数等の通信量、またはネットワークインターフェースを通過する通信に含まれる情報（データ）である。一般に、通信量の単位としてはｂｐｓ（ｂｉｔｓ ｐｅｒ ｓｅｃｏｎｄ）やｐｐｓ（ｐａｃｋｅｔｓ ｐｅｒ ｓｅｃｏｎｄ）等が用いられるが、その他の単位が用いられてもよい。通信に含まれる情報には、例えばパケットに含まれるユーザデータの他に、ヘッダ情報も含まれるものとする。

スイッチ制御部によって参照される異常検出条件は、取得された通信状態が、保護対象のコンピュータやネットワークの処理能力を超えるパケットを送りつけることでコンピュータやネットワークをサービス提供不能とするＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃や、悪意あるプログラムを含む内容、またはシステム侵入の試み等の異常な通信であるか否かを判定するための条件である。本発明に拠れば、取得された通信状態が異常検出条件に合致した場合に、スイッチ制御部がスイッチ部を制御してネットワークインターフェースを切断状態とすることで、従来のパケット廃棄等による通信遮断よりも確実かつ消費リソースの少ない方法で保護対象のコンピュータを保護することが可能となる。

また、スイッチ制御部は、ネットワークインターフェースが切断状態である間も、通信状態を監視し、復帰条件に合致した場合に、スイッチ制御部を制御してネットワークインターフェースを接続状態とする。ここで、復帰条件とは、異常検出条件によって検出された異常通信が収束したか否かを判定するための条件である。このようにすることで、従来、ネットワークインターフェースを切断した場合には、異常な通信が収束した場合にも、人手によってネットワーク回線を再接続する必要があったところ、本発明に拠れば、即座に回線を接続し、サービスの提供を再開することが出来る。

また、本発明に係る通信回線切断装置において、前記取得部は、前記ネットワークインターフェースの物理層において、前記通信状態を取得してもよい。

通信回線の切断は、上記した異常な通信を遮断する目的で行われるものであるため、異常検出後、検出された異常な通信に係るパケット等が通過してしまう前に回線が切断されることが好ましい。本発明に拠れば、ネットワークインターフェースの物理層から通信状態を取得することで、異常の検出から回線の切断までの時間を短縮し、異常な通信に係るパケット等が通過する前に回線を切断することを可能としている。

また、本発明に係る通信回線切断装置は、前記ネットワークインターフェースを介して受信されたパケットを一時的に蓄積し、蓄積されたパケットの送信タイミングを調整することで通信の流量を制御する流量制御部を更に備えてもよい。

流量制御部を備えることで、通信量が大量ではあるが、送信タイミングを制御することでコンピュータのリソースを使い切ってしまう状況は回避可能な程度である場合には流量制御を行い、通信量が破壊的といえるほど大量である場合には回線を切断する、２段階の対処を行うことが可能となる。このような２段階の対処とすることで、一時的または偶発的な通信量の増加をＤｏＳ攻撃等と誤認し、誤ってネットワークインターフェースを切断状態としてしまうことを防止することが出来る。

また、本発明に係る通信回線切断装置において、前記スイッチ部は、前記ネットワークインターフェースを介して接続された他のコンピュータによって、該ネットワークインターフェースは通信可能であると認識された状態が維持されるように、前記ネットワークインターフェースを前記切断状態へ切り換え、前記取得部は、前記ネットワークインターフェースが前記切断状態にある場合に、前記ネットワークインターフェースを通信可能であると認識する前記他のコンピュータより送信された通信に係る前記通信状態を取得してもよい。

通常、コンピュータからネットワーク回線を引き抜く等の、電気的に通信を遮断する対処をとった場合、このコンピュータに接続された他のコンピュータは、回線の状態に基づいてこのコンピュータとの通信は不可能であると判断し、パケット等の送信を中止する。そこで本発明に係る通信回線切断装置は、他のコンピュータがこのネットワークインターフェースについて通信可能と認識した状態が維持されるように、ネットワークインターフェースを切断状態へ切り換える。これによって、異常な通信に係るパケット等がコンピュータまたはネットワーク内に侵入または転送されてしまうことを防止しつつ、切断状態にある間も通信状態を監視し、復帰条件に合致するか否かを判定することが可能となる。また、切断状態でも他のコンピュータは通信可能であると認識するため、復帰（再接続）時に、他のコンピュータに復帰を認識させるための処理や、通信再開までにかかるタイムラグが不要である。

更に、本発明は、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。

本発明によって、異常な通信が発生した場合にネットワーク回線を電気的に切断することでコンピュータをネットワークから完全に隔離すると共に、前記異常な通信が収束した場合に即座に回線を接続することが可能な通信回線切断装置を提供することが可能となる。

本発明に係る通信回線切断装置を備えたコンピュータの実施の形態について、図面に基づいて説明する。

＜第一の実施形態＞
図１は、本実施形態における通信回線切断装置を備えたスイッチングハブ（レイヤ２スイッチ）の構成の概要を示す図である。本実施形態に係るスイッチングハブ１は、ＩＥＥＥ８０２．３ネットワークにおけるＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）層において通信を中継する４ポートのスイッチングハブ１であり、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１と、主記憶装置としてのＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓｓ Ｍｅｍｏｒｙ）１２と、補助記憶装置としてのＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）１３と、Ｌ２制御チップ１４とを有する。

ＣＰＵ１１は、ＲＡＭ１２等に展開されたプログラムを解釈、実行することで、スイッチングハブ１を管理する。また、ＣＰＵ１１は、図示しないユーザインターフェースを介して入力された設定をＬ２制御チップ１４へ入力することで、Ｌ２制御チップ１４の設定を行う。なお、ユーザインターフェースとしては、シリアルインターフェースを介して提供されるコマンドラインインターフェースや、ＬＡＮに接続されたポートを介して提供されるグラフィカルインターフェース等が提供される。但し、ユーザインターフェースは提供されなくともよいし、提供される場合も、ユーザによって設定や管理が可能なインターフェースが提供されていればよく、その方法は問わない。また、ユーザインターフェースを介して設定された内容は、ＥＥＰＲＯＭ１３によって記憶される。

Ｌ２制御チップ１４は、ポート（ネットワークインターフェース）ごとに設けられた、物理層における通信を制御する物理層インターフェース１５−１〜１５−４（以降、ポート番号に関係なく、何れかの物理層インターフェースを示す場合は、符号１５を付す。）と、ＭＡＣ層における通信を制御するＭＡＣ層インターフェース１６−１〜１６−４（以降、ポート番号に関係なく、何れかのＭＡＣ層インターフェースを示す場合は、符号１６を付す。）とを有し、更に、何れかのポートにおいて受信されたパケットのＭＡＣヘッダを参照して転送先を決定し、転送先のポートへ出力するパケット制御部１７と、通信状態を監視して異常な量の通信を検出した場合に、該当するポートを切断状態とする通信回線切断装置７と、を有する。

物理層インターフェース１５−１〜１５−４およびＭＡＣ層インターフェース１６−１〜１６−４は、通信回線を介して対向する（直接接続された）他のコンピュータから電気信号を受信してビット列に変換し、パケット制御部１７からビット列として与えられた情報を電気信号に変換して対向する他のコンピュータに送信する。また、コリジョン制御を初めとするＩＥＥＥ８０２．３規格に準拠した通信制御を行い、受信した情報をパケットとしてＭＡＣヘッダごとパケット制御部１７へ出力する。

パケット制御部１７は、各ポートの先に接続された他のコンピュータのＭＡＣアドレスと、そのコンピュータが接続されたポート番号とを対応付けて管理するＭＡＣアドレステーブルを保持する。その上で、パケット制御部１７は、ＭＡＣ層インターフェース１６−１〜１６−４より出力されたパケットを受け付け、ＭＡＣヘッダ中の宛先ＭＡＣアドレス基にＭＡＣアドレステーブルを参照して、パケットを送出するポートを決定する。送出ポート決定後、パケット制御部１７は、決定されたポートのＭＡＣ層インターフェース１６へパケットを出力する。

通信回線切断装置７は、カウンタ７１と、ポートごとに設けられたブレークスイッチ７３−１〜７３−４（以降、ポート番号に関係なく、何れかのブレークスイッチを示す場合は、符号７３を付す。）と、ブレークスイッチ制御部７２と、ポートごとに設けられた流量制御部７４−１〜７４−４（以降、ポート番号に関係なく、何れかの流量制御部を示す場合は、符号７４を付す。）とを備える。カウンタ７１は、本発明の取得部に相当し、ＭＡＣ層インターフェース１６−１〜１６−４よりＭＡＣ層インターフェース１６−１〜１６−４において受信されたパケットの数を取得することで、ポートごとの単位時間当り通信量（本実施形態では、パケット数）を取得する。ここで、通信量は、ｐｐｓ（ｐａｃｋｅｔｓ ｐｅｒ ｓｅｃｏｎｄ）等の一般に用いられる単位で取得されてもよいし、独自に設定された単位時間当りの通信量が取得されることとしてもよい。

ブレークスイッチ７３−１〜７３−４は、本発明のスイッチ部に相当し、ブレークスイッチ制御部７２によって制御されることで、ＭＡＣ層インターフェース１６とパケット制御部１７との間において、ネットワークインターフェースを、電気的に接続された状態である接続状態と、電気的に切断された状態である切断状態との何れかの状態へ切り替える。また、ブレークスイッチ７３−１〜７３−４は、ポートごとに設けられているため、ポートごとに切断状態と接続状態との切替を行うことが可能である。このため、異常通信が検出されたポートのみを切断することで、切断されたポートを除く他のポート間では互いに通信を行うことが出来る。例えば、ポート１が切断状態となっても、ポート２、３、４は夫々通信が可能である。更に、ブレークスイッチ７３−１〜７３−４は、切断状態であっても、切断に係るポートに接続された他のコンピュータからＭＡＣ層インターフェース１６までは電気的に接続された状態が維持されるように切断を行う。このようにすることで、切断状態であっても、他のコンピュータにパケットを送信させ、カウンタ７１にパケット数をカウントさせることが可能となる。

ブレークスイッチ制御部７２は、本発明のスイッチ制御部に相当し、カウンタ７１によって取得された通信量を、予め設定された異常検出用閾値（異常検出条件）と比較することで、コンピュータまたはネットワークの処理能力を超える異常な量のパケットが発生しているか否かを判定する。ここで、異常検出用閾値には、経験的にＤｏＳ攻撃等の異常通信であると判断してよいパケット数が設定される。更に、ブレークスイッチ制御部７２は、この判定結果に基づいてブレークスイッチ７３を制御し、ポートを切断状態とする。

また、カウンタ７１は、ポートが切断状態である間も、通信量を取得する。そして、ブレークスイッチ制御部７２は、カウンタ７１によって取得された通信量を、予め設定された収束検出用閾値（復帰条件）と比較することで、異常通信が収束しているか否かを判定し、収束したと判定された場合、ブレークスイッチ７３を制御して、ポートを接続状態とする。即ち、本実施形態における通信回線切断装置７では、回線の切断後も通信状態を監視し、切断の原因となった異常が収束した場合、切断した回線を再び接続する。なお、異常通信の収束を確実に検出するため、本実施形態では、収束検出用閾値には異常検出用閾値よりも低い値が設定されているものとする。但し、収束検出用閾値は必ずしも異常検出用閾値よりも低い値である必要はなく、実施の形態、設置されるネットワークの特性等に基づいて適宜最適な設定値が選択されることが好ましい。

流量制御部７４−１〜７４−４は、受信されたパケットを一時的に保持するためのバッファメモリと、バッファメモリからパケットを読み出して出力するタイミングを制御するタイミング制御部とを有することで、簡易的な流量制御装置として機能する。即ち、本実施形態に係るスイッチングハブ１は、ブレークスイッチ制御部７２と流量制御部７４とを備えることで、大量のパケットが発生する問題に対する２段階の対処方法を提供する。一時的または偶発的なパケット量の増加であったり、大量ではあるがＤｏＳ攻撃等の悪意ある攻撃とは判断できない程度のパケット量であったりする場合には、流量制御部７４によってパケットの転送間隔を調整する対処が行われる。持続的なパケット量の増加や、悪意ある攻撃と判断できる程度のパケットが発生した場合には、流量制御部７４によってパケットの転送間隔を調整したとしても、コンピュータまたはネットワークのリソースが使い切られてしまうことを防止できないため、ブレークスイッチ制御部７２によって、回線が切断状態へ切り替えられる対処が行われる。なお、バッファメモリおよびタイミング制御部については図示を省略する。また、上記２段階の制御とするために、異常検出用閾値は、流量制御が開始されるパケット数より大きい値に設定されることが好ましい。

図２は、本実施形態に係るスイッチングハブ１が設置されるネットワークの構成の一例を示す図である。本実施形態に係るネットワークは、ＩＥＥＥ８０２．３ネットワークであり、スイッチングハブ１、サーバ３、パーソナルコンピュータ２が接続されることで構成されたＬＡＮ４である。また、ＬＡＮ４は、ゲートウェイ６を介してインターネット５に接続されている。図中、スイッチングハブ１の各ポートに付されている数字は、ポート番号である。なお、図中では全て有線回線として記載されているが、適宜無線回線が選択されてもよい。

このようなネットワークを、通信回線切断装置７を有するスイッチングハブ１を用いて構成することで、インターネット５からサーバ３に対してＤｏＳ攻撃等の大量のトラフィックを伴う攻撃が行われたり、ウイルス等のマルウェア（ｍａｌｗａｒｅ）に感染したパーソナルコンピュータ２から大量の電子メールが送信されたりといった事態に対処し、問題のトラフィックをスイッチングハブ１において遮断することが可能となる。また、大量のトラフィックの発生と同時に通信回線が切断され、トラフィックの収束と同時に通信回線が接続されるため、問題解決後、サーバ３は即座にサービスの提供を再開することが可能である。

また、インターネット５よりＤｏＳ攻撃等を受けた場合にも、ゲートウェイ６が接続されたポート１のみ切断状態とすることで、他のパーソナルコンピュータ２およびサーバ３が接続されたポート２〜４を接続状態とすることが可能である。このため、パーソナルコンピュータ２およびサーバ３は、互いに通信を行うことが可能である。

なお、本実施形態では、通信回線切断装置７が設けられるコンピュータはスイッチングハブ１であるが、通信回線切断装置７を設けることが可能なコンピュータは、スイッチングハブ１に限定されない。例えば、ルータやレイヤ３スイッチに設けてもよいし、サーバ、パーソナルコンピュータ等のＮＩＣやマザーボードに内蔵することで、直接これらのコンピュータを保護することとしてもよい。また、図２にはＩＥＥＥ８０２．３ネットワークが示されているが、通信回線切断装置７を備えるコンピュータが接続されるネットワークはＩＥＥＥ８０２．３ネットワークに限定されない。例えば、ＡＴＭネットワークや、リング型のネットワークに適用することも可能である。

図３は、本実施形態に係る通信回線切断／接続処理の流れを示すフローチャートである。本フローチャートに示された処理は、スイッチングハブ１の電源投入後、通信回線切断装置７によって、ユーザによる設定で有効化されている（即ち、通信を行っている）ポートごとに実行される。なお、初期状態で、ブレークスイッチ７３は接続状態となっている。

ステップＳ１０１では、通信量が取得される。カウンタ７１は、ＭＡＣ層インターフェース１６より、ＭＡＣ層インターフェース１６によって受信されたパケットの数を取得する。より具体的には、カウンタ７１は、ＭＡＣ層インターフェース１６よりパケット数を取得して積算するカウンタ７１であって、積算されたカウンタ７１の値は所定の単位時間ごとにリセット（０で初期化）される。即ち、リセット直前にカウンタ７１が示す値が、単位時間当たりの通信量である。但し、通信量を取得するための具体的な方法は、その他の方法が採用されてもよい。その後、処理はステップＳ１０２へ進む。

ステップＳ１０２では、カウンタ７１によって取得された通信量が判定される。ブレークスイッチ制御部７２は、カウンタ７１によって取得された通信量と、予め設定された異常検出用閾値とを比較することで、異常な通信の有無を判定する。なお、本実施形態では、異常検出用閾値と通信量とを比較して、通信量が異常検出用閾値を上回った場合に異常通信が発生していると判定するが、判定方法はこの方法に限定されない。例えば、異常検出用閾値以上の通信量が所定時間以上持続することを、異常通信を判定する条件としてもよい。このようにすることで、異常検出の確実性が向上する。異常通信が発生していると判定された場合、処理はステップＳ１０３へ進む。異常通信が発生していないと判定された場合、処理はステップＳ１０１へ進む。即ち、異常通信が発生していない通常の状態において、ステップＳ１０１およびＳ１０２に示す処理が繰り返されることによって、ＤｏＳ攻撃等の有無が監視される。

なお、本実施形態では、ＤｏＳ攻撃等の大量のトラフィックを伴う攻撃からシステムを保護することを主な目的としているため、通信量に基づいて判定を行っているが、ＭＡＣ層インターフェース１６より通信内容を取得して、コンピュータウイルス検出ソフトウェアにおいて従来使用されているウイルス定義ファイルや、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）において従来使用されている攻撃パターン定義ファイル等と比較し、異常通信を検出することとしてもよい。

ステップＳ１０３では、ポートが切断状態へ切り替わる。ブレークスイッチ制御部７２は、ステップＳ１０２において異常な通信が検出されたことを受けて、ブレークスイッチ７３を制御し、ポートを切断状態へ切り替える。ポートが切断状態へ切り替わることによ
って、ＭＡＣ層インターフェース１６と、フィルタ部およびパケット制御部１７とが電気的に切断され、異常な通信に係るパケットがパケット制御部１７へ侵入することを防止出来る。

ステップＳ１０４では、通信量が取得される。ポートが切断状態へ切り替わった場合でも、本実施形態における物理層インターフェース１５およびＭＡＣ層インターフェース１６は、該当ポートに接続された他のコンピュータから電気的に通信可能であると認識され、他のコンピュータより送信されたパケットを受信する。このため、切断状態へ切り替わった場合でも、カウンタ７１は、他のコンピュータから送信されるパケットに係る通信情報を取得することが可能である。カウンタ７１は、ＭＡＣ層インターフェース１６よりＭＡＣ層インターフェース１６によって受信されたパケットの数を取得する。具体的な処理については、ステップＳ１０１において説明した処理と概略同様であるため、説明を省略する。その後、処理はステップＳ１０５へ進む。

ステップＳ１０５では、カウンタ７１によって取得された通信量が判定される。ブレークスイッチ制御部７２は、カウンタ７１によって取得された通信量と、予め設定された収束検出用閾値とを比較することで、ＤｏＳ攻撃等の収束を検出する。なお、本実施形態では、収束検出用閾値と通信量とを比較して、通信量が収束検出用閾値を下回った場合に異常通信が収束したと判定するが、判定方法はこの方法に限定されない例えば、収束検出用閾値未満の通信量が所定時間以上持続することを、異常通信の収束を判定する条件としてもよい。異常通信が収束したと判定された場合、処理はステップＳ１０６へ進む。異常通信が収束していないと判定された場合、処理はステップＳ１０４へ進む。即ち、異常通信が収束していない状態において、ステップＳ１０４およびＳ１０５に示す処理が繰り返されることによって、異常な通信の収束が監視される。

ステップＳ１０６では、ポートが接続状態へ切り替わる。ブレークスイッチ制御部７２は、ステップＳ１０５において異常通信の収束が検出されたことを受けて、ブレークスイッチ７３を制御し、ポートを接続状態へ切り替える。ポートが接続状態へ切り替わることによって、ＭＡＣ層インターフェース１６と、フィルタ部およびパケット制御部１７とが電気的に接続され、該当するポートを介した通信が再開される。

本実施形態に拠れば、ＤｏＳ攻撃等の異常な量のトラフィックを伴う攻撃等に対し、ポートを電気的に切断することでインターネット５等からの攻撃を完全に遮断すると共に、ＤｏＳ攻撃等が収束した場合に即座にポートを接続し、サービスの提供を再開することが可能である。

また、本実施形態では、ポートごとに流量制御部７４を備え、一時的または偶発的なパケット数の増加に対処することが可能であるため、異常検出用閾値を比較的高めに設定し、異常通信の誤検出による誤切断を回避しつつ、パケット数の増加に対処することが可能となる。

なお、上記実施形態では、ＭＡＣ層インターフェース１６より受信された全ての種類のパケットの数をカウントし、閾値と比較することとしているが、パケットの種類ごとにパケット数をカウントし、パケットの種類ごとにパケット数と閾値とを比較することで、より正確に異常検出を行うこととしてもよい。例えば、単位時間当たりのＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）のＳＹＮパケット数を閾値と比較することとしてもよい。

＜第二の実施形態＞
図４は、本実施形態における通信回線切断装置７ｂを備えたスイッチングハブ１ｂの構
成の概要を示す図である。本実施形態に係るスイッチングハブ１ｂは、第一の実施形態において説明したスイッチングハブ１と概略同様の構成を有するが、カウンタ７１ｂが、ＭＡＣ層インターフェース１６−１〜１６−４ではなく、物理層インターフェース１５−１〜１５−４よりパケット数を取得してカウントする点で第一の実施形態に係るスイッチングハブ１と異なる。物理層インターフェース１５−１〜１５−４よりパケット数を取得することで、異常通信の検出速度を向上させ、より早い段階で通信を遮断することが可能となる。具体的には、カウンタ７１ｂは、物理層インターフェース１５−１〜１５−４において電気信号を監視し、パケット受信を示すパターンを検出することでパケット数をカウントアップする等の方法を採用することで、物理層インターフェース１５−１〜１５−４において受信パケット数をカウントすることが可能である。

更に、ブレークスイッチ制御部７２における、単位時間当たりのカウント数が所定値を超えたことを検出し、ブレークスイッチ７３を切断へ制御する部分をワイヤードロジックで構築する等することで、異常検出から回線切断までの速度を向上させることが出来る。

＜第三の実施形態＞
図５は、本実施形態における通信回線切断装置７ｃを備えたバックアップ回線への切替装置８の構成の概要を示す図である。本実施形態に係る切断装置は、物理層インターフェース１５ｃ−１〜１５ｃ−４を有し、物理層インターフェース１５ｃ−１はインターネットやＬＡＮ等のクライアント側ネットワークへ、物理層インターフェース１５ｃ−２はクライアントへサービスを提供するメインサーバ３ｍへ、物理層インターフェース１５ｃ−３、１５ｃ−４はバックアップサーバ３ｂａ、３ｂｂへ接続されているものとする（図６を参照）。

本実施形態におけるブレークスイッチは、ロータリースイッチ方式のブレークスイッチ７３ｃであり、メインサーバ３ｍが接続された物理層インターフェース１５ｃ−２と物理層インターフェース１５ｃ−１とを切断状態とした場合に、バックアップサーバ３ｂａ、３ｂｂが接続された物理層インターフェース１５ｃ−３または物理層インターフェース１５ｃ−４と物理層インターフェース１５ｃ−１とを接続状態とする。即ち、本実施形態に係る切替装置８に拠れば、異常通信が検出された場合に即座にメインサーバ３ｍへの回線が切断されることでメインサーバ３ｍを保護し、同時にバックアップサーバ３ｂａ、３ｂｂへの回線に接続されることでサービスの提供を継続することが可能である。

実施形態における通信回線切断装置を備えたスイッチングハブの構成の概要を示す図である。 実施形態に係るスイッチングハブが設置されるネットワークの構成の一例を示す図である。 実施形態に係る通信回線切断／接続処理の流れを示すフローチャートである。 実施形態における通信回線切断装置を備えたスイッチングハブの構成の概要を示す図である。 実施形態における通信回線切断装置を備えたバックアップ回線への切替装置の構成の概要を示す図である。 実施形態に係る切替装置が設置されるネットワークの構成の一例を示す図である。

符号の説明

１・・・スイッチングハブ
７・・・通信回線切断装置
８・・・切替装置
１４・・・Ｌ２制御チップ
１５−１〜１５−４・・・物理層インターフェース
１６−１〜１６−４・・・ＭＡＣ層インターフェース
１７・・・パケット制御部
７１・・・カウンタ
７２・・・ブレークスイッチ制御部
７３−１〜７３−４・・・ブレークスイッチ
７４−１〜７４−４・・・流量制御部

Claims (4)

1. コンピュータのネットワークインターフェースを介して行われる通信に係る通信状態を取得する取得部と、
   前記ネットワークインターフェースを、電気的に接続された接続状態から電気的に切断された切断状態へ切り換え、および前記切断状態から前記接続状態へ切り換えるスイッチ部と、
   前記取得部によって取得された前記通信状態が、異常通信を検出するための異常検出条件に合致するか否かを判定し、該異常検出条件に合致すると判定された場合に、前記ネットワークインターフェースを前記切断状態へ切り換えるよう前記スイッチ部を制御するスイッチ制御部と、
   を備え、
   前記スイッチ制御部は、前記ネットワークインターフェースが切断状態である場合に、前記取得部によって取得された前記通信状態が、前記異常通信の終了を検出するための復帰条件に合致するか否かを判定し、該復帰条件に合致すると判定された場合に、前記ネットワークインターフェースを前記接続状態へ切り換えるよう前記スイッチ部を制御する、
   通信回線切断装置。
2. 前記取得部は、前記ネットワークインターフェースの物理層において、前記通信状態を取得する、
   請求項１に記載の通信回線切断装置。
3. 前記ネットワークインターフェースを介して受信されたパケットを一時的に蓄積し、蓄積されたパケットの送信タイミングを調整することで通信の流量を制御する流量制御部を更に備える、
   請求項１または請求項２に記載の通信回線切断装置。
4. 前記スイッチ部は、前記ネットワークインターフェースを介して接続された他のコンピュータによって、該ネットワークインターフェースは通信可能であると認識された状態が維持されるように、前記ネットワークインターフェースを前記切断状態へ切り換え、
   前記取得部は、前記ネットワークインターフェースが前記切断状態にある場合に、前記ネットワークインターフェースを通信可能であると認識する前記他のコンピュータより送信された通信に係る前記通信状態を取得する、
   請求項１から請求項３の何れかに記載の通信回線切断装置。

Images