JP2009021952A - 通信システム、通信装置および管理装置 - Google Patents

Abstract

【課題】複数の通信装置の各々の間に確立されるＶＰＮの運用管理に要する作業負担を軽減する。
【解決手段】各々の間にＩＰＳｅｃ等にしたがってＶＰＮ通信路を確立する複数の通信装置と、その形成の際に使用される制御情報であって、各通信装置の相手装置を示す情報を含んでいる制御情報をＨＴＴＰＳにしたがって各通信装置へ送信する管理装置とを設け、各通信装置には、管理装置から送信された制御情報にしたがってＶＰＮ通信路を確立する処理と、それらＶＰＮ通信路の何れかに障害が発生したことを検出した場合に、その障害の発生時刻および障害内容を示す障害情報をＨＴＴＰＳにしたがって管理装置へ送信する処理を実行させる。一方、管理装置には、受信した障害情報をその発生時刻順が若い順に並べ替えつつ併合して記憶する処理を実行させる。
【選択図】図１

Description

本発明は、データ通信のセキュリティを確保する技術に関し、特に、データ通信を仲介する各通信装置間にＶＰＮ（Virtual Private Network）を形成することによりセキュリティ確保を実現する技術に関する。

従来、データの漏洩や改竄を回避する等、セキュリティを確保する必要のあるデータ通信は専用通信回線を介して行われることが一般的であった。しかし、専用通信回線の敷設および維持管理には多大な費用を要する。このため、セキュリティ確保を要するデータ通信をインターネットのような一般公衆回線を介して行えるようにすることが望まれており、このようなニーズに応えるための技術としては、ＶＰＮが挙げられる。ここで、ＶＰＮとは、インターネットに接続されている拠点間にＶＰＮトンネルと呼ばれる仮想通信路を所定の通信プロトコルにしたがって確立し、その通信路を介したデータ通信を暗号化して行うことでデータの漏洩や改竄を防止する技術である。なお、上記所定の通信プロトコルの一例としては、ＩＰｓｅｃ（Security Architecture for Internet Protocol）やＰＰＴＰ（Point to Point Tunneling Protocol）が挙げられる。

しかし、ＶＰＮを実現するためには、各拠点に配置される通信装置にＶＰＮ接続用の各種設定を予め行っておく必要がある。ＶＰＮ接続用の設定は、ＶＰＮの両端に位置する通信装置の機種毎やＶＰＮトンネルの確立に用いる通信プロトコル毎に異なることが一般的であり、また、その設定項目も多岐に亘る。このため、通信システムの運用管理者は、その通信システムに含まれる通信装置の各々について、その機種や、ＶＰＮの確立先となり得る全ての相手装置の機種および設定項目を把握しておかなければならず、その作業負担が大幅に増加するといった問題がある。

そこで、このような問題を解決するための技術が種々提案されており、その一例としては特許文献１に開示された技術が挙げられる。特許文献１には、複数の利用者装置（通信装置）の各々からポリシー情報（接続先、接続先に許可するセキュリティレベルおよび有効期限を示す情報：すなわち、ＶＰＮ接続のための情報）を収集するポリシー管理装置を用いてＶＰＮを自動構築する方法が開示されている。より詳細に説明すると、特許文献１には、各利用者装置から収集したポリシー情報を集約して共通ポリシー情報を生成する処理を上記ポリシー管理装置に実行させ、その共通ポリシー情報を各利用者装置へ配信させる一方、その共通ポリシー情報に基づいてＶＰＮ通信のための設定を行う処理を各利用者装置に実行させることが開示されている。
特許第３７５１６２２号

特許文献１に開示された技術によれば、ポリシー管理装置により生成された共通ポリシー情報を用いて各利用者装置にＶＰＮを確立させることが可能になるのであるが、その共通ポリシーを生成するためのポリシー情報を各利用者装置から収集する際には、それら利用者装置の各々とポリシー管理装置との間にポリシー情報の送受信のための制御用ＶＰＮを確立してその送受信を行っている。上記ポリシー情報が漏洩してしまうと、そのポリシー情報を利用した不正アクセスが可能になってしまうため、その送受信のセキュリティを確保しておく必要があるのは当然であるが、各利用者装置とポリシー管理装置との間に制御用ＶＰＮを確立できるようにするためには、その制御用ＶＰＮについての上記設定作業を行っておく必要があり、結局、運用管理者の作業負担を軽減することはできない。
本発明は、上記課題に鑑みて為されたものであり、複数の通信装置の各々の間に確立されるＶＰＮの運用管理に要する作業負担を軽減させることを可能にする技術を提供することを目的としている。

上記課題を解決するため、本発明は、各々の間に第１の通信プロトコルにしたがってＶＰＮ（Virtual Private Network）による通信路を確立する複数の通信装置と、前記通信路の確立に使用される制御情報であって、その通信路の両端に位置する通信装置を示す情報を含んでいる制御情報を前記第１の通信プロトコルよりも簡易な第２の通信プロトコルにしたがって前記複数の通信装置の各々へ送信する管理装置と、を備え、前記複数の通信装置の各々は、前記管理装置から送信されてくる前記制御情報にしたがって他の通信装置との間にＶＰＮによる通信路を確立することを特徴とする通信システムを提供する。
より好ましい態様においては、上記通信システムに含まれる複数の通信装置の各々は、前記管理装置から受信した制御情報にしたがって確立した通信路の何れかに障害が発生したことを検出した場合には、少なくともその障害の発生時刻および障害内容を示す障害情報を前記第２の通信プロトコルにしたがって前記管理装置へ送信し、同通信システムに含まれる管理装置は、前記複数の通信装置の各々から送信されてくる障害情報を併合して記憶することを特徴とする。

また、上記課題を解決するため、本発明は、他の通信装置との間に第１の通信プロトコルにしたがってＶＰＮによる通信路を確立する通信装置において、前記通信路の確立に使用される制御情報であって、その通信路の両端に位置する通信装置を示す情報を含んでいる制御情報を格納した管理装置と前記第１の通信プロトコルよりも簡易な第２の通信プロトコルにしたがって通信する第１通信部と、前記第１通信部によって前記管理装置から受信した制御情報にしたがって、その制御情報の示す相手装置との間に通信路を確立し通信する第２通信部とを有することを特徴とする通信装置を提供する。

また、上記課題を解決するため、本発明は、各々が第１の通信プロトコルにしたがって他の通信装置との間にＶＰＮによる通信路を確立する複数の通信装置の各々と、前記第１の通信プロトコルよりも簡易な第２の通信プロトコルにしたがって通信する通信部と、前記通信路の確立に使用される制御情報であって、その確立先の通信装置を示す情報を含んでいる制御情報を前記通信部によって前記複数の通信装置の各々へ送信する制御情報送信部とを有することを特徴とする管理装置を提供する。

本発明によれば、複数の通信装置の各々の間に確立されるＶＰＮの運用管理に要する作業負担を軽減させることが可能になる、といった効果を奏する。

以下、図面を参照しつつ本発明の一実施形態について説明する。
（Ａ：構成）
図１は、本発明の一実施形態に係る通信システム１の構成例を示す図である。
図１に示すように、通信システム１には、例えばインターネットなどの一般公衆回線である通信網２０に接続されている４台の通信装置（通信装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄ）と、同じく通信網２０に接続されている管理装置１０とが含まれている。なお、以下では、通信装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄの各々を区別する必要がない場合には、「通信装置３０」と表記する。

図１の４台の通信装置３０の各々は、例えばパーソナルコンピュータであり、互いに異なる通信アドレスを予め割り当てられている。具体的には、通信装置３０Ａには通信アドレス“ａｄｒＡ”が、通信装置３０Ｂには通信アドレス“ａｄｒＢ”が、通信装置３０Ｃには通信アドレス“ａｄｒＣ”が、通信装置３０Ｄには通信アドレス“ａｄｒＤ”が割り当てられている。上記４台の通信装置３０の各々は、所定の通信プロトコル（例えばＩＰｓｅｃやＰＰＴＰ）にしたがった手順で他の３台の通信装置との間にＶＰＮトンネル（以下、ＶＰＮ通信路）を１本ずつ確立しその通信路を介して暗号化したデータ通信を行うものである。このため、本実施形態では、図２に示すフルメッシュ形態のＶＰＮが上記４台の通信装置の間に確立される。前述したように、通信装置３０の各々にＶＰＮ通信路を確立させるためには、それら通信装置３０の各々にＶＰＮ接続用の設定作業を予め行っておく必要があるが、本実施形態では、その設定作業により各通信装置３０へ設定するべき情報であるＶＰＮ接続用の制御情報（図３参照）を管理装置１０から各通信装置３０へ送信することによって、その設定作業を不要にしている。また、本実施形態では、管理装置１０と各通信装置３０との間のデータ通信を、ＩＰｓｅｃやＰＰＴＰに比較して設定作業等が容易で簡便な通信プロトコルであるＨＴＴＰＳ（Hypertext Transfer Protocol Security）に準拠して行うようにしたため、上記制御情報の送受信を可能にするために要する作業量が特許文献１に開示された技術に比較して少なくなっている。

加えて、本実施形態では、図２に示す６本のＶＰＮ通信路の何れかにＶＰＮトンネルダウンなどの通信障害が発生した場合に、通信障害が発生したＶＰＮ通信路の両端に位置する通信装置３０から管理装置１０へ宛てて、それら通信装置３０の各々で検知された障害の発生時刻およびその障害内容を示す障害情報を送信するように各通信装置３０は構成されている。一方、管理装置１０は、それら障害情報の表す各障害事象をその発生時刻順に並べ替えて得られる障害履歴情報を記憶するよう構成されている。このような障害履歴情報が生成され管理装置１０にて一元管理されるため、本実施形態では、その障害履歴情報を参照しつつ障害分析を行うことが可能になっている。
以下、本発明の特徴を顕著に示す管理装置１０および通信装置３０を中心に説明する。

（Ａ−１；管理装置１０の構成）
図４は、管理装置１０の構成例を示すブロック図である。図４に示すように、管理装置１０は、記憶部１１０、ＨＴＴＰＳ通信部１２０、制御情報送信部１３０および障害管理部１４０を有している。記憶部１１０は、例えばハードディスクなどの不揮発性メモリであり、ＨＴＴＰＳ通信部１２０、制御情報送信部１３０および障害管理部１４０の各々は、それぞれ固有の処理を実行する電子回路である。

記憶部１１０には、前述した制御情報が格納されている。図３（ａ）は、管理装置１０に記憶されている制御情報の一例を示す図である。図３（ａ）に示すように、上記制御情報には、図２に示す６本のＶＰＮ通信路の各々について、その両端に位置する通信装置３０の識別子（本実施形態では、通信装置３０に割り当てられている通信アドレス）と、そのＶＰＮ通信路の確立に使用する通信プロトコル（本実施形態では、ＩＰｓｅｃまたはＰＰＴＰ）と、そのＶＰＮ通信路を確立する際に使用する各種パラメータ（例えば、上記各通信プロトコルにしたがった認証処理を行う際に必要になるパスワードなど）が格納されている。例えば、図３（ａ）に示す制御情報を管理装置１０から受け取った通信装置３０Ａは、その制御情報の内容にしたがって、通信装置３０Ｂおよび通信装置３０Ｄの各々との間ではＩＰｓｅｃに準拠した手順でＶＰＮ通信路を確立し、通信装置３０Ｃとの間ではＰＰＴＰに準拠した手順でＶＰＮ通信路を確立する。なお、本実施形態では、図３（ａ）に示すデータ形式の制御情報を用いるが、例えば、図３（ｂ）に示すように、ＶＰＮ通信路の確立先となる通信装置の識別子と、その確立に使用する通信プロトコルと、その確立の際に使用するパラメータとからなるリストが上記４台の通信装置毎に記載されたデータ形式の制御情報を用いても勿論良い。また、記憶部１１０には、障害管理部１４０によって生成される障害履歴情報も書き込まれる。この障害管理部１４０が実行する処理およびその処理結果である障害履歴情報については後に詳細に説明する。

ＨＴＴＰＳ通信部１２０は、例えばＮＩＣ（Network Interface Card）であり、通信網２０に接続されている。このＨＴＴＰＳ通信部１２０は、通信網２０を介して通信装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄの各々との間に通信コネクションを確立しそれら確立先とＨＴＴＰＳに準拠したデータ通信を行うものである。詳細については後述するが、本実施形態では、上記４台の通信装置３０の各々からは、制御情報の送信を要求する旨の通信メッセージである制御情報要求メッセージと前述した障害情報が書き込まれた通信メッセージである障害通知メッセージとが送信されてくる。なお、上記各通信メッセージのヘッダ部には、その通信メッセージの送信元を示す送信元アドレスが書き込まれているとともに、その通信メッセージが上記２種類のうちの何れであるかを示すメッセージ識別子が書き込まれている。ＨＴＴＰＳ通信部１２０は、通信装置３０から受信した通信メッセージのヘッダ部を解析してその通信メッセージが上記２種類の何れであるかを判別する。そして、ＨＴＴＰＳ通信部１２０は、受信した通信メッセージが制御情報要求メッセージである場合には、その制御情報要求メッセージを制御情報送信部１３０に引き渡し、障害通知メッセージである場合には、その障害通知メッセージを障害管理部１４０に引き渡す。また、ＨＴＴＰＳ通信部１２０は、上述した制御情報がペイロード部に書き込まれた通信メッセージである制御情報応答メッセージを制御情報送信部１３０から受け取ると、その制御情報応答メッセージを通信網２０へ送出する処理も実行する。

制御情報送信部１３０は、ＨＴＴＰＳ通信部１２０から制御情報要求メッセージを受け取ったことを契機として、前述した制御情報応答メッセージを生成しＨＴＴＰＳ通信部１２０に引き渡す処理を実行する。より詳細に説明すると、制御情報送信部１３０は、制御情報要求メッセージを受け取ったことを契機として、記憶部１１０から制御情報を読み出し、その制御情報をペイロード部に書き込んだ制御情報応答メッセージを生成し、さらに、送信先アドレスとして、上記制御情報要求メッセージのヘッダ部に書き込まれている送信元アドレスを書き込んでＨＴＴＰＳ通信部１２０に引き渡す。

障害管理部１４０は、ＨＴＴＰＳ通信部１２０から受け取った障害通知メッセージに含まれている障害情報から障害履歴情報を生成して記憶部１１０に書き込む処理（以下、障害履歴情報生成処理）を実行する。前述したように、障害通知メッセージは、ＶＰＮトンネルダウンなどの通信障害が発生したＶＰＮ通信路の両端に位置する通信装置３０の各々から送信されてくるため、１つのＶＰＮ通信路に通信障害が発生すると障害管理部１４０は少なくとも２つの障害通知メッセージを受け取る。障害通知メッセージには、その送信元である通信装置３０にて検知された障害の内容を示す障害内容データとその障害の発生時刻を示す発生時刻データとからなる障害情報が含まれており、障害管理部１４０は、ＨＴＴＰＳ通信部１２０から受け取った各障害通知メッセージに含まれている障害情報の各々に含まれている障害内容データとその送信元アドレスとを発生時刻が若い順に並べ替えつつ記憶部１１０内の所定領域（すなわち、障害履歴情報用に予め割り当てられた記憶領域）に書き込む（マージとも呼ぶ）ことで、上述した障害履歴情報を生成する。また、障害管理部１４０は、管理装置１０の操作部（例えば、キーボード：図示省略）を介して与えられる指示に応じて記憶部１１０から障害履歴情報を読み出し、管理装置１０の表示部（例えば、液晶ディスプレイ；図示省略）に表示する処理も実行する。このようにして管理装置１０の表示部に表示される障害履歴情報を閲覧することにより、通信システム１の運用管理者は、通信システム１に生じている通信障害を把握しその原因究明を行うことができるのである。なお、本実施形態では、各通信装置３０から受信した障害情報をマージして得られる障害履歴情報を管理装置１０の記憶部に記憶する場合について説明したが、各通信装置３０から受信した障害情報をその送信元毎に分類して記憶部１１０に記憶し、上記閲覧指示が与えられたことを契機として上記障害履歴情報の生成を行っても勿論良い。
以上が管理装置１０の構成である。

（Ａ−２；通信装置３０の構成）
次いで、通信装置３０の構成について図５を参照しつつ説明する。図５は、通信装置３０の構成例を示すブロック図である。図５に示すように通信装置３０は、ＨＴＴＰＳ通信部３１０、ＶＰＮ通信部３２０および障害通知部３３０を有している。これらは何れも電子回路であり、各々固有の処理を実行する。

ＨＴＴＰＳ通信部３１０は、ＨＴＴＰＳ通信部１２０と同様、ＮＩＣ（Network Interface Card）であり、通信網２０に接続されている。このＨＴＴＰＳ通信部３１０は、通信網２０を介してＨＴＴＰＳ通信部１２０とＨＴＴＰＳにしたがったデータ通信を行うためのものであり、前述した制御情報要求メッセージや障害通知メッセージの送信、制御情報応答メッセージの受信を行う。より詳細に説明すると、ＨＴＴＰＳ通信部３１０は、自装置の電源（図示省略）が投入されたことを契機として前述した制御情報要求メッセージを生成し管理装置１０へ宛てて送信するとともに、管理装置１０から返信されてくる制御情報応答メッセージを受信すると、その制御情報応答メッセージをＶＰＮ通信部３２０に引き渡す。また、ＨＴＴＰＳ通信部３１０は、障害情報がペイロード部に書き込まれた障害通知メッセージを障害通知部３３０から受け取ると、その障害通知メッセージを管理装置１０へ宛てて送信する。

ＶＰＮ通信部３２０は、通信網２０を介して他の通信装置３０のＶＰＮ通信部３２０との間にＶＰＮ通信路を確立し、その通信路を介して暗号化したデータ通信を行うものである。より詳細に説明すると、ＶＰＮ通信部３２０は、ＨＴＴＰＳ通信部３１０から制御情報応答メッセージを受け取ると、その制御情報応答メッセージのペイロード部に書き込まれている制御情報を読み出し、その制御情報の示す相手装置との間にその制御情報の示す通信プロトコルにしたがってＶＰＮ通信路を確立する処理（以下、ＶＰＮ確立処理）を実行する。通信装置３０は、ＨＴＴＰＳ通信部３１０とＶＰＮ通信部３２０の２つの通信部を有しているため、他の通信装置３０との間に確立したＶＰＮ通信路を維持したまま、管理装置１０との間でＨＴＴＰＳにしたがったデータ通信を行うことができる。

障害通知部３３０は、ＶＰＮ通信部３２０によるデータ通信が行われている間、そのデータ通信が正常に行われているか否かを監視する。そして、障害通知部３３０は、ＶＰＮトンネルダウンなどの通信障害が発生した場合には、その発生時刻を示すデータとその障害内容を示すデータ（例えば、ＩＰｓｅｃやＰＰＴＰ等ＶＰＮ通信路の確立に使用していた通信プロトコルのステータスやＶＰＮ通信部３２０を駆動するドライバのステータス等）をログ（例えば、ｓｙｓｌｏｇ）に追記し、さらに、その追記後のログを前述した障害情報としてペイロード部に書き込んだ障害通知メッセージを生成してＨＴＴＰＳ通信部３１０に引き渡す処理を実行する。
以上が通信装置３０の構成である。

（Ｂ：動作）
次いで、管理装置１０および通信装置３０が実行する動作のうち、本発明の特徴を顕著に示している動作について図面を参照しつつ説明する。
（Ｂ−１:フルメッシュ形態のＶＰＮの確立動作）
まず、図２に示すフルメッシュ形態のＶＰＮを確立する際に通信システム１の各装置が実行する動作について説明する。
前述したように、通信装置３０のＨＴＴＰＳ通信部３１０は、自装置の電源（図示省略）が投入されると、前述した制御情報要求メッセージを生成し、その制御情報要求メッセージを管理装置１０へ宛てて送信する。このようにして通信装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄの各々から送信される制御情報要求メッセージは通信網２０内のネットワーク機器（例えばルータ）によってルーティングされ、管理装置１０に到達する。この制御情報要求メッセージは、ＨＴＴＰＳ通信部１２０によって受信され、制御情報送信部１３０に引き渡される。この制御情報要求メッセージを受け取った制御情報送信部１３０は、前述した制御情報（図３（ａ）参照）を記憶部１１０から読み出し、その制御情報を書き込んだ制御情報応答メッセージをＨＴＴＰＳ通信部１２０によって上記制御情報要求メッセージの送信元へ宛てて送信する。これにより、管理装置１０に格納されている制御情報が通信装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄの各々に与えられるのである。

例えば、上記制御情報を受け取った後、上記４台の通信装置の各々が、ＶＰＮ通信部３２０によるＶＰＮ確立処理を通信装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄの順に実行すると、図６（ａ）から図６（ｃ）に示す手順でこれら４台の通信装置の各々の間にフルメッシュ形態のＶＰＮが確立される。より詳細に説明すると、まず、通信装置３０ＡのＶＰＮ通信部３２０が制御情報（図３（ａ））にしたがってＶＰＮ確立処理を行うことにより、通信装置３０Ａと通信装置３０Ｂとの間、通信装置３０Ａと通信装置３０Ｃとの間、および通信装置３０Ａと通信装置３０Ｄとの間にＶＰＮ通信路（図６（ａ）では実線矢印で表記）が確立される（図６（ａ）参照）。

図６（ａ）に示す状態で通信装置３０ＢのＶＰＮ通信部３２０が制御情報（図３（ａ））にしたがってＶＰＮ確立処理を行うと、通信装置３０Ｂと通信装置３０Ｃとの間および通信装置３０Ｂと通信装置３０Ｄとの間にＶＰＮ通信路が確立される（図６（ｂ）参照：図６（ｂ）では、その前段階で確立済の通信路が点線矢印で示されている。以下、図６（ｃ）も同様）。なお、上記制御情報においては、通信装置３０ＢとＶＰＮ通信路を確立するべき相手装置として、通信装置３０Ａ、３０Ｃおよび３０Ｄの３台が定められている。しかし、通信装置３０Ａと通信装置３０Ｂとの間のＶＰＮ通信路は、通信装置３０ＡのＶＰＮ通信部３２０によるＶＰＮ確立処理で確立済であるため、通信装置３０ＢのＶＰＮ通信部３２０が実行するＶＰＮ確立処理では、通信装置３０Ａと通信装置３０Ｂとの間のＶＰＮ通信路を除いた他の２本の確立が実行されるのである。そして、図６（ｂ）に示す状態で通信装置３０ＣのＶＰＮ通信部３２０が制御情報（図３（ａ））にしたがってＶＰＮ確立処理を行うと、通信装置３０Ｃと通信装置３０Ｄとの間にＶＰＮ通信路が確立され（図６（ｃ）参照）、図２に示すフルメッシュ形態のＶＰＮの確立が完了するのである。
以上説明したように、フルメッシュ形態のＶＰＮの確立が完了すると、通信システム１に含まれる４台の通信装置３０の各々は、他の３台の通信装置３０の何れとの間でもＶＰＮ通信路を介した安全性の高いデータ通信を行うことが可能になる。

（Ｂ−２：障害情報収集処理）
次いで、４台の通信装置３０の各々の間に確立された６本のＶＰＮ通信路の何れかに障害が発生した場合の動作について説明する。
前述したようにＶＰＮ通信路の両端に位置する通信装置３０の各々においては、そのＶＰＮ通信路を介したデータ通信が正常に行われているか否かの障害監視が障害通知部３３０によって行われている。そして、障害通知部３３０は、何らかの障害の発生を検知すると、その発生時刻および障害内容をその発生時刻順に書き込んだ障害情報をペイロード部に書き込んだ障害通知メッセージを生成し、その障害通知メッセージをＨＴＴＰＳ通信部３１０に引き渡す。この障害情報を受け取ったＨＴＴＰＳ通信部３１０は、その障害通知メッセージをＨＴＴＰＳにしたがって管理装置１０へ宛てて送信する。例えば、図７に示すように通信装置３０Ｃと３０Ｄの間のＶＰＮ通信路に何らかの障害が発生した場合には、通信装置３０Ｃと通信装置３０Ｄの各々から上記障害通知メッセージが管理装置１０宛に送信される。

上記のようにして送信された障害通知メッセージが管理装置１０に到達すると、前述した障害履歴情報生成処理が障害管理部１４０によって実行される。例えば、障害管理部１４０が、図７に示すように、障害事象Ａ、事象Ｂおよび事象Ｃの各々が時刻ｔ_１、ｔ_３およびｔ_４に発生したことを示す障害情報１が書き込まれた障害通知メッセージを通信装置３０Ｃから受信し、障害事象Ｘおよび事象Ｙの各々が時刻ｔ_２およびｔ_５に発生したことを示す障害情報２が書き込まれた障害通知メッセージを通信装置３０Ｄから受信したとする。この場合、障害管理部１４０は、上記２つの障害情報の各々が示す障害内容を示すデータをその発生時刻順に並べつつマージして図７に示す障害履歴情報を生成し記憶部１１０に書き込む。このように、本実施形態においては障害が発生したＶＰＮの両端に位置する通信装置３０の各々で検知された障害を表す障害情報が管理装置１０に集積され、時系列順に編集されて一元管理される。従来の通信システムにおいて何らかの障害が発生した場合には、その通信システムの運用管理者がその障害の発生元にアクセスしてその原因を分析するために必要な情報を収集しなければならなかったが、本実施形態では、上記障害情報の一元管理が為されるため、障害の原因分析および復旧などの運用管理に要する作業負荷が削減される。なお、本実施形態では、障害の発生時刻順に複数の障害情報をマージしたが、障害内容を表す文字列を辞書順（アルファベット順や五十音順）にマージして障害履歴情報を生成しても良く、その障害情報の送信元である通信装置の通信アドレスの昇順または降順に並べ替えてマージしても良い。

以上説明したように、本実施形態に係る通信システムにおいては、通信装置３０の各々の間にＶＰＮ通信路を確立するための設定作業に要する手間が削減されるとともに、障害分析等に要する手間も削減される。つまり、本実施形態によれば、複数の通信装置の各々の間に確立されるＶＰＮの運用管理に要する作業負担を軽減させることが可能になる、といった効果を奏する。

（Ｃ：変形）
以上本発明の一実施形態について説明したが、かかる実施形態に以下に述べる変形を加えても良いことは勿論である。
（１）上述した実施形態では、通信装置３０と管理装置１０とを各々別個のハードウェアで構成したが、通信システム１に含まれる４台の通信装置３０の何れかに管理装置１０の役割を担わせても勿論良い。また、上述した実施形態では、通信装置３０がパーソナルコンピュータである場合について説明したが、通信装置３０は、例えばＬＡＮ（Local Area Network）などのプライベートネットワークと一般公衆回線である通信網２０とを接続するルータなどの中継装置であっても良い。

（２）上述した実施形態では、ＶＰＮ通信路を確立するための通信プロトコルとしてＩＰｓｅｃまたはＰＰＴＰを用いたが、他の通信プロトコルを用いてＶＰＮ通信路を確立しても勿論良い。また、本実施形態では、ＶＰＮ通信路を確立する際に必要となる制御情報をＨＴＴＰＳを用いて送受信したが、セキュリティ確保が可能で、かつ、ＩＰｓｅｃやＰＰＴＰに比較して設定項目数が少なく簡便な通信プロトコルであれば、ＨＴＴＰＳ以外の通信プロトコルを用いて制御情報を送受信しても良い。

（３）上述した実施形態では、各々固有の処理を実行する電子回路であるＨＴＴＰＳ通信部１２０と制御情報送信部１３０と障害管理部１４０とを組み合わせて管理装置１０を構成した。しかし、ＣＰＵ（Central Processing Unit）を上記各部として機能させるプログラムをコンピュータ装置に記憶させておき、そのＣＰＵを上記プログラムにしたがって作動させることで、そのコンピュータ装置を本発明に係る管理装置として動作させても良い。同様に、上述した実施形態では、ＨＴＴＰＳ通信部３１０とＶＰＮ通信部３２０と障害通知部３３０を組み合わせて通信装置３０を構成したが、ＣＰＵを上記各部として機能させるプログラムをコンピュータ装置に記憶させておき、そのＣＰＵを上記プログラムにしたがって作動させることで、そのコンピュータ装置を本発明に係る通信装置として動作させても良い。また、例えば光磁気ディスクやフラッシュメモリなどのコンピュータ装置読み取り可能な記録媒体に上記各プログラムを書き込んで配布し、その記録媒体を用いて一般的なコンピュータ装置に上記プログラムを記憶させても良く、インターネットなどの電気通信回線経由のダウンロードにより上記各プログラムを配布しても良い。

本発明の一実施形態に係る通信システム１の構成例を示す図である。 同通信システム１にて形成されるフルメッシュ形態のＶＰＮの一例を示す図である。 同通信システム１に含まれている管理装置１０に記憶されている制御情報の一例を示す図である。 同管理装置１０の構成例を示すブロック図である。 同通信システム１に含まれている通信装置３０の構成例を示すブロック図である。 フルメッシュ形態のＶＰＮの形成過程を説明するための図である。 ＶＰＮに障害が発生した場合の動作を説明するための図である。

符号の説明

１…通信システム、１０…管理装置、１１０…記憶部、１２０…ＨＴＴＰＳ通信部、１３０…制御情報送信部、１４０…障害管理部、２０…通信網、３０，３０Ａ，３０Ｂ，３０Ｃ，３０Ｄ…通信装置、３１０…ＨＴＴＰＳ通信部、３２０…ＶＰＮ通信部、３３０障害通知部。

Claims (4)

1. 各々の間に第１の通信プロトコルにしたがってＶＰＮ（Virtual Private Network）による通信路を確立する複数の通信装置と、前記通信路の確立に使用される制御情報であって、その通信路の両端に位置する通信装置を示す情報を含んでいる制御情報を前記第１の通信プロトコルよりも簡易な第２の通信プロトコルにしたがって前記複数の通信装置の各々へ送信する管理装置と、
   を備え、
   前記複数の通信装置の各々は、前記管理装置から送信されてくる前記制御情報にしたがって他の通信装置との間にＶＰＮによる通信路を確立する
   ことを特徴とする通信システム。
2. 前記複数の通信装置の各々は、前記管理装置から受信した制御情報にしたがって確立した通信路の何れかに障害が発生したことを検出した場合には、少なくともその障害の発生時刻および障害内容を示す障害情報を前記第２の通信プロトコルにしたがって前記管理装置へ送信し、
   前記管理装置は、前記複数の通信装置の各々から送信されてくる障害情報を併合して記憶する
   ことを特徴とする請求項１に記載の通信システム。
3. 他の通信装置との間に第１の通信プロトコルにしたがってＶＰＮによる通信路を確立する通信装置において、
   前記通信路の確立に使用される制御情報であって、その通信路の両端に位置する通信装置を示す情報を含んでいる制御情報を格納した管理装置と前記第１の通信プロトコルよりも簡易な第２の通信プロトコルにしたがって通信する第１通信部と、
   前記第１通信部によって前記管理装置から受信した制御情報にしたがって、その制御情報の示す相手装置との間に通信路を確立し通信する第２通信部と、
   を有することを特徴とする通信装置。
4. 各々が第１の通信プロトコルにしたがって他の通信装置との間にＶＰＮによる通信路を確立する複数の通信装置の各々と、前記第１の通信プロトコルよりも簡易な第２の通信プロトコルにしたがって通信する通信部と、
   前記通信路の確立に使用される制御情報であって、その確立先の通信装置を示す情報を含んでいる制御情報を前記通信部によって前記複数の通信装置の各々へ送信する制御情報送信部と、
   を有することを特徴とする管理装置。

Images