JP2016063234A - 通信装置の通信制御方法，通信装置，通信制御システム - Google Patents

Abstract

【課題】正常な通信状態への早期復旧を図る。
【解決手段】通信制御方法は、通信装置が、対向装置との間で確立された複数のセキュリティアソシエーションのそれぞれを用いた通信状況を監視して通信状況を示す情報を記憶し、複数のセキュリティアソシエーションのいずれかが切断されたときに、通信状況を示す情報に基づき、対向装置が切断されたセキュリティアソシエーションを通信に使用しているかを判定し、対向装置が切断されたセキュリティアソシエーションを使用している場合に、切断されたセキュリティアソシエーションに代わるセキュリティアソシエーションの再確立を行うことを含む。
【選択図】図１５

Description

本開示は、通信装置の通信制御方法，通信装置，通信システムに関する。

暗号技術を用いてInternet Protocol（ＩＰ）パケット単位でデータの改竄防止や秘匿
機能を提供する仕組みとして、Security Architecture for Internet Protocol（ＩＰｓ
ｅｃ）がある。ＩＰｓｅｃでは、セキュリティアソシエーション（Security Association：ＳＡ）を用いてパケットが転送される。ＳＡは、それによって運ばれるトラフィックに対してセキュリティサービスを提供するためのコネクションである。

ＳＡを管理する方法の一つに、自動鍵管理プロトコル（「鍵交換プロトコル」とも呼ばれる）を用いて自動的にＳＡを生成及び管理する方法がある。鍵交換プロトコルは、Internet Key Exchange protocol（ＩＫＥ）と呼ばれる。ＩＫＥには、ＲＦＣ２４０９などで規定されたＩＫＥ version 1（ＩＫＥｖ１）と、ＲＦＣ４３０６で規定されたＩＫＥ version 2（ＩＫＥｖ２）とがある。ＩＫＥｖ１とＩＫＥｖ２との間に互換性はない。

例えば、ＩＫＥｖ２では、最初に、対向する２つの装置（ピア）間で、鍵交換を行うためのＳＡが確立される。このＳＡは、「ＩＫＥ＿ＳＡ」と呼ばれる。次に、ＩＫＥ＿ＳＡを用いて、ＩＰｓｅｃのＳＡ（即ち、セキュリティプロトコルを用いた通信を保護するためのＳＡ）を確立するための鍵交換が行われる。ＩＰｓｅｃでは、Authentication Header（ＡＨ）及びEncapsulated Security Payload（ＥＳＰ）というセキュリティプロトコルが定義されている。ＡＨでは、ヘッダ認証が行われ、ＥＳＰではペイロードの暗号化が行われることで通信が保護される。但し、１つのＳＡに対して適用されるセキュリティプロトコルは１つであり、上記したＡＨ及びＥＳＰの一方が用いられる。ＩＰｓｅｃのＳＡは、ＩＫＥｖ２では、「ＣＨＩＬＤ＿ＳＡ」と呼ばれる。

ＳＡ（ＩＫＥ＿ＳＡ及びＣＨＩＬＤ＿ＳＡ）には、ライフタイムが設定される。ライフタイムには、ハードライフタイムとソフトライフタイムとがある。ハードライフタイムは、ＳＡの終期を示し、ハードライフタイムが満了すると、当該ＳＡは破棄され、当該ＳＡを用いた通信は実施できなくなる。これに対し、ソフトライフタイムは、ハードライフタイムの満了前に満了する。ソフトライフタイムが満了すると、既存のＩＫＥ＿ＳＡを用いたＳＡの再確立が行われ、ＳＡが維持される。このため、ソフトライフタイムはハードライフタイムの満了前に満了するように設定される。既存のＩＫＥ＿ＳＡを用いたＳＡの再確立（ＣＨＩＬＤ＿ＳＡの更新）は、「リキー」と呼ばれる。ソフトライフタイム満了時の動作は、装置のセキュリティポリシー（ＳＰ）に依存する。本明細書において、単なる「ライフタイム」との表記は、ソフトライフタイムを指す。

ＩＫＥｖ１では、装置（ピア）間でＳＡのライフタイムのネゴシエーションが行われる。これに対し、ＩＫＥｖ２では、ライフタイムのネゴシエーションは行われない。このため、各装置がＳＡに対し独自に（相手に依存することなく）所望のライフタイムを設定することができる。この結果、ライフタイムの長さが装置間で異なることがある。

さらに、ＩＰｓｅｃは、Dead Peer Detection（ＤＰＤ）と呼ばれる機能を持つ。ＤＰ
Ｄは、ＩＰｓｅｃ通信の断（disconnect：「切断」ともいう）、即ちＳＡの断を検出する機能である。具体的には、確立した２つの装置の一方が、他方の装置に対して確認メッセージ（ＤＰＤメッセージと呼ばれる）を送信する。一方の装置は、ＤＰＤメッセージに対する応答メッセージを受信できれば、ＩＰｓｅｃ通信が正常と判定し、応答メッセージが
受信されないときには、通信断と判定する。

特開２００８−２０５７６３号公報 特開２００８−２４５１５８号公報 特開２００５−２０２１５号公報 特開２００８−３０１０７２号公報 特開２０１２−１９１２７７号公報

対向する２つの装置の間で、或るＩＰパケットのフローに関してＩＫＥｖ２に基づいて複数のＳＡ（例えば、ＳＡ１とＳＡ２とする）が確立されることがある。この場合、一方の装置（装置１とする）と他方の装置（装置２とする）がＳＡ１とＳＡ２とのいずれを使用するかはネゴシエーションされず、装置１及び装置２の夫々は独自に定めたＳＡ１とＳＡ２との一方を用いてパケットを送信する。

上記状況において、装置１から送信された例えばＳＡ２に対するＤＰＤメッセージに装置２が何らかの理由で応答せず、装置１がＳＡ２の切断（disconnect）を検出した場合を仮定する。このとき、装置１は、装置２との間で確立された他のＳＡがなければ、装置１は切断されたＳＡ２を破棄するとともに装置２にＳＡ２の破棄を依頼する。そして、装置１は装置２との間で新規のＳＡを確立する。これに対し、他のＳＡがあれば、装置１は、他のＳＡを用いた通信を期待して、ＳＡ２を破棄するが、新規のＳＡの確立は実施しない。

ところが、装置１におけるＳＡ２の破棄に拘わらず、装置２ではＳＡ２が維持され、ＳＡ２を用いて装置１へパケットを送信する状態となっていることが起こり得る。この場合、装置１は、ＳＡ２を破棄しているため、装置２からＳＡ２を用いて送信されたパケットを復号又は認証できない。このため、装置１はパケットを破棄してしまう。このような状態は、例えば、装置１におけるＳＡ１のライフタイムの満了により、装置２との間のＳＡがなくなることを契機として、装置１がＳＡ１のリキーを実施することによって解除される。装置２は、最後に確立されたＳＡを用いて通信を行うようになっており、ＳＡ１のリキー（ＳＡの再確立）を契機として、通信に使用するＳＡを再確立されたＳＡにするからである。

上記状態が解除されるタイミングは、装置１がＳＡ１に対して設定したライフタイムの満了時期と、装置２がＳＡ１及びＳＡ２に対して設定したライフタイムの満了時期とに依存する。ＤＰＤによる通信断の検出に伴うＳＡの再確立は例外的な処理であり、ＳＡの再確立は、通常、ライフタイムの満了に伴うリキーによって実施されるからである。

ここで、例えば、装置２がＳＡ１及びＳＡ２に対して設定したライフタイムの満了時期が装置１がＳＡ１に設定したライフタイムの満了時期より遅い場合には、装置１におけるＳＡ１のライフタイムの満了まで上記した状態が継続する。このように、装置１におけるＳＡ２の破棄からＳＡ１のライフタイム満了までの時間が長いと、装置１が装置２からパケットを受信できない異常状態が長時間に亘って継続するおそれがあった。

実施形態の一態様は、正常な通信状態への早期復旧を図ることができる技術を提供することを目的とする。

実施形態の一態様は、対向装置とセキュリティアソシエーションを用いた通信を行う通信装置の通信制御方法である。通信制御方法は、上記通信装置が、対向装置との間で確立された複数のセキュリティアソシエーションのそれぞれを用いた通信状況を監視して通信状況を示す情報を記憶し、上記複数のセキュリティアソシエーションのいずれかが切断されたときに、上記通信状況を示す情報に基づき、上記対向装置が切断されたセキュリティアソシエーションを通信に使用しているかを判定し、上記対向装置が切断されたセキュリティアソシエーションを使用している場合に、上記切断されたセキュリティアソシエーションに代わるセキュリティアソシエーションの再確立を行うことを含む。

実施形態の一態様によれば、正常な通信状態への早期復旧を図ることができる。

図１は、参考例を説明するシーケンス図である。 図２は、参考例を説明するシーケンス図である。 図３は、実施形態１に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。 図４は、実施形態２に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。 図５は、実施形態３に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。 図６Ａは、実施形態４に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。 図６Ｂは、実施形態４に係る基地局（通信装置）が備えるＳＡ情報テーブル及びＳＡ情報保存テーブルのデータ構造例を示すとともに、図６Ａ＜９Ａ＞における記憶内容を示す図である。 図６Ｃは、実施形態４に係る基地局（通信装置）が備えるＳＡ情報テーブル及びＳＡ情報保存テーブルの図６Ａ＜１３＞における記憶内容を示す図である。 図７は、実施形態５における通信制御システムのネットワーク構成の一例を示す。 図８は、基地局（ｅＮＢ）として使用可能な基地局装置のハードウェア構成例を示す図である。 図９は、基地局が備えるＮＰの機能を模式的に示すブロック図である。 図１０は、ＳＡ情報管理テーブルのデータ構造例を示す図である。 図１１は、保存用管理テーブルのデータ構造例を示す図である。 図１２は、基地局の運用管理の一例を示すフローチャートである。 図１３は、基地局における第１のテーブル更新処理（テーブル更新＃１）の一例を示すフローチャートである。 図１４は、基地局における第２のテーブル更新処理（テーブル更新＃２）の一例を示すフローチャートである。 図１５は、基地局における第１の対向装置監視処理（対向装置監視＃１）の一例を示すフローチャートである。 図１６は、第２の対向装置監視処理（対向装置監視＃２）の一例を示すフローチャートである。 図１７は、第２の対向装置監視処理（対向装置監視＃２）の変形例１を示すフローチャートである。 図１８は、第２の対向装置監視処理（対向装置監視＃２）の変形例２を示すフローチャートである。 図１９は、ＳＡ削除後処理の一例を示すフローチャートである。

以下、図面を参照して実施形態について説明する。実施形態の構成は例示であり、実施形態の構成に限定されない。

＜参考例＞
実施形態の説明に先立ち、図１及び図２を用いて参考例を説明し、実施形態の課題を説明する。図１及び図２は、参考例を説明するシーケンス図である。図１及び図２には、ＩＰｓｅｃを用いた通信を行う１組の通信装置又は通信機器（ピア）として、基地局と、基地局の上位装置とが示されている。基地局から見て、上位装置は基地局の対向装置であり、上位装置から見て、基地局は上位装置の対向装置である。

図１に示すように、ＩＰｓｅｃを用いた通信に先立ち、基地局と上位装置とは、ＩＫＥｖ２（以下、単に「ＩＫＥ」と表記）を用いてＩＰｓｅｃ用のＳＡの確立手順を行う。例えば、基地局がＩＫＥのイニシエータとなり、上位装置がＩＫＥのレスポンダとなる。

イニシエータである基地局は、メッセージ“IKE_SA_INIT request”を送信し、レスポ
ンダである上位装置は、メッセージ““IKE_SA_INIT response”を返信する。このメッセージの交換において、ＩＫＥ＿ＳＡのパラメータのネゴシエーションと鍵計算用パラメータの交換が基地局と上位装置との間で行われ、ＩＫＥ＿ＳＡが生成（確立）される（図１＜１＞）。

続いて、基地局は、メッセージ“IKE_AUTH request”を送信し、上位装置は、メッセージ“IKE_AUTH response”を返信する。このメッセージ交換で、相手の認証が行われると
ともに、ＣＨＩＬＤ＿ＳＡのパラメータのネゴシエーションと鍵計算用パラメータの交換が行われ、ＣＨＩＬＤ＿ＳＡが生成（確立）される（図１＜２＞）。なお、“IKE_AUTH”のメッセージ交換は、ＩＫＥ＿ＳＡの鍵を用いて暗号化され、セキュアな状態でなされる。

ＣＨＩＬＤ＿ＳＡの確立により、対向装置間で、ネゴシエーションで決定されたセキュリティプロトコル（例えば、ＡＨ又はＥＳＰ）を用いたＩＰｓｅｃ通信が実行可能となる。以下の説明では、セキュリティプロトコルがＥＳＰである場合について説明する。但し、セキュリティプロトコルとして、ＡＨを使用しても良く、ＡＨ及びＥＳＰ以外のプロトコルが使用されることもあり得る。

図１に示す例では、基地局がイニシエータとなり、基地局と上位装置との間でＳＡ（ＩＫＥ＿ＳＡ及びＣＨＩＬＤ＿ＳＡ）が確立されている（図１＜１＞，＜２＞）。このＳＡを「ＳＡ１」と称する。このとき、上位装置がイニシエータとなって、基地局と上位装置との間で他のＳＡが確立される場合がある（図１＜３＞，＜４＞）。このＳＡを「ＳＡ２」と称する。

ＳＡ１及びＳＡ２は、セキュリティパラメータインデックス（ＳＰＩ）と呼ばれるＳＡを一意に識別する値（識別子）を持つ。もっとも、ＳＡは、単方向のコネクションであるので、双方向の通信に対し、各方向に対応する２つのＳＰＩ値が設定される。即ち、ＳＡ１は、厳密には、上位装置→基地局方向（下り方向）のＳＡと基地局→上位装置方向（上り方向）のＳＡとのペアであり、各方向について異なるＳＰＩ値が設定される。例えば、ＳＡ１の下り方向のＳＰＩ値は“0x00000100”であり、上り方向のＳＰＩ値は“0x00000101”である。また、ＳＡ２も、下り方向のＳＡ（例えばＳＰＩ値“0x00000102”）と、上り方向のＳＡ（例えばＳＰＩ値“0x00000103”）とのペアである。

このように、基地局と上位装置との間で複数のＳＡ（ＳＡ１，ＳＡ２）が確立されている場合、既に説明したように、基地局及び上位装置は、通信（パケット送信）に使用するＳＡを独自に設定することができる。図１及び図２に示す参考例では、基地局はＳＡ１を使用し、上位装置はＳＡ２を使用する。また、基地局及び上位装置は、ＳＡ１及びＳＡ２に対するライフタイムを独自に設定することができる。上位装置におけるＳＡ１及びＳＡ２のライフタイムは、基地局で設定されたＳＡ１及びＳＡ２のライフタイムより長いと仮定する。ライフタイムのネゴシエーションは行われないので、基地局及び上位装置は、相手が設定したＳＡ１，ＳＡ２のライフタイムを知らない。

上記のような状況下においては、図２に示すような問題が発生する可能性があった。図２に示すように、基地局と上位装置との間で、図１に示した＜１＞〜＜４＞の手順を経てＳＡ１及びＳＡ２が確立されている場合を仮定する（図２＜１＞〜＜４＞）。

その後、例えば、上位装置の一次的な動作停止（障害やメンテナンスの実施）、或いは、基地局と上位装置との間に介在するパケットの中継装置のメンテナンスなどの要因で、一次的に基地局と上位装置とが通信できない状況になったと仮定する（図２＜５＞）。

この状況を要因の一つとして、基地局が上位装置に対して送信したＳＡ２に対するＤＰＤメッセージ（INFOMATIONAL request）に対して、上位装置からの応答を基地局が受信できない状況が生じる（図２＜６＞）。例えば、上位装置は正常であるが、中継装置の一次的な障害により、ＤＰＤメッセージの送受信が正常に行われない場合を仮定する。

基地局は、ＤＰＤメッセージ送信を所定回数リトライする（図２＜７＞）。しかし、リトライによっても上位装置からの応答が得られない場合には（図２＜８＞）、ＳＡ２についての通信が切断されたと判定する（図２＜９＞）。換言すれば、基地局は、ＳＡ２の通信の切断を検出する。

このとき、上位装置との間では、確立（接続）中のＳＡ１があることを理由として、基地局は、ＳＡ２に代わるＳＡの再確立が実施されず、ＳＡ２を破棄する。ＳＡの破棄とは、ＳＡを管理するSecurity Association Database（ＳＡＤ）などから当該ＳＡに係る情
報(ＳＡパラメータと称する)を削除することを意味する。ＳＡパラメータは、例えば、モード（トンネルモード，トランスポートモード），ＳＰＩ値，ＳＡで使用するセキュリティプロトコルの種別、セキュリティプロトコルで使用する鍵の値を含む。セキュリティプロトコルは、認証プロトコル（例えばＡＨ）や暗号化プロトコル（例えばＥＳＰ）を含む。

上位装置は正常であるので、基地局からＳＡ１に関して送信するＤＢＤメッセージに対して上位装置は応答する（図２＜１０＞）。このため、基地局は、ＳＡ１について、ＤＰＤによるＳＡ１の通信断に伴うリキーを実施しない。

一方、上位装置は正常であることから、ＳＡ２を用いて基地局宛のパケット（ＥＳＰパケット）を送信する（図２＜１１＞）。ところが、基地局はＳＡ２を破棄しているため、ＥＳＰパケットの復号を行うことができず、基地局はＥＳＰパケットを破棄してしまう（図２＜１２＞）。

先に説明したように、上位装置におけるＳＡ１及びＳＡ２のライフタイムの満了タイミングは、基地局におけるＳＡ１のライフタイムの満了タイミングより遅い。このため、上位装置からのＳＡ１及びＳＡ２に係るリキーは行われない。従って、基地局においてＳＡ１のライフタイムが満了するまで、上位装置からＳＡ２を用いて送信されたパケットを受信できない、即ち、通信の異常状態が継続する。

基地局において、ＳＡ１のライフタイムが満了すると（図２＜１３＞）、基地局にて上位装置との間で確立中のＳＡは存在しなくなる。このため、基地局は、ＳＡ１についてのリキーを実施する（図２＜１４＞）。リキーは、以下の手順で行われる。即ち、基地局は、ＩＫＥ＿ＳＡ１を用いてＳＡ１の鍵を更新（ＳＡを再確立）するためのメッセージ“CREATE_CHILD_SA request”を上位装置へ送る。上位装置は、応答メッセージ“CREATE_CHILD_SA response”返信する。このような“CREATE_CHILD_SA”のメッセージ交換により、ＳＡ１の鍵が更新され、ＳＡ１が再確立される。このとき、上位装置は、基地局との通信（パケット送信）に最新のＳＡ１を使用する状態になる。これによって、基地局は、上位装置からＳＡ１を用いて送信されるＥＳＰパケットを復号して受信できるようになる。即ち、基地局と上位装置との間の通信が復旧する。

しかし、基地局におけるＳＡ１のライフタイムが長時間（例えば、数時間）であると、当該長時間に亘って正常な通信が行われない状態（異常状態）が継続してしまう。以下に説明する実施形態では、このような異常な状態からの早期の復旧を可能とする技術について説明する。

実施形態では、基地局は、上位装置との間で確立された複数のＳＡについての通信状況を監視し、通信状況を示す情報を記憶する。「複数のＳＡ」は、２以上のＳＡを意味する。そして、基地局は、複数のＳＡの一つが切断されたときに、通信状況を示す情報に基づいて、切断されたＳＡが対向装置が通信に使用しているＳＡであるか否かを判定する。このとき、切断されたＳＡが対向装置が通信に使用しているＳＡであるときには、切断が検出されたＳＡに代わるＳＡの再確立を実行する。

再確立は、複数のＳＡのいずれかのリキー（ＣＨＩＬＤ＿ＳＡの更新）によって実施されても良く、新規のＳＡの確立（ＩＫＥ＿ＳＡ及びＣＨＩＬＤ＿ＳＡの再作成）によって実施されても良い。リキーの対象となるＳＡは、切断が検出されたＳＡであっても良く、確立中のＳＡ（複数のＳＡから切断が検出されたＳＡを除いた残りのＳＡ）の一つであっても良い。新規のＳＡの確立、或いは残りのＳＡについてのリキーが実施される場合に、切断が検出されたＳＡは破棄されても破棄されなくても良い。

ＳＡの再確立によって、基地局と上位装置とが再確立されたＳＡを用いて通信を行う状態になる。従って、基地局において、切断されたＳＡ以外のＳＡのライフタイムの満了を待つ場合よりも早期に通信を正常な状態へ復旧させることが可能となる。

以下の実施形態において説明する基地局は、「通信装置」の一例であり、上位装置は、「対向装置」の一例である。但し、「対向装置間」のような表記を用いる場合、基地局及び上位装置のそれぞれが「対向装置」に該当する。また、上位装置からみて基地局は「対向装置」に該当する。なお、「通信装置」及び「対向装置」は、基地局及び上位装置に限定されない。例えば、両者間でＳＡを確立し、ＩＰｓｅｃを用いた通信を行うピア（通信装置や通信機器の組）を形成するあらゆる通信装置及び通信機器が「通信装置」及び「対向装置」に該当する。

〔実施形態１〕
図３は、実施形態１に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。実施形態１では、図３に示す＜１＞〜＜９＞までの動作は、参考例（図２）における＜１＞〜＜９＞の動作と同じである。すなわち、図３は、参考例（図２）と同様に、基地局と上位装置との間でＳＡ１及びＳＡ２が確立され（図３＜１＞〜＜４＞）、基地局がＳＡ１を使用し、上位装置がＳＡ２を使用する状態となっていると仮定する。

但し、実施形態１では、基地局は、ＳＡ１及びＳＡ２の確立に伴い、ＳＡ１及びＳＡ２のそれぞれに対する通信状況の監視を開始し、通信状況を示す情報を記憶する（図３＜Ａ＞）。その後、基地局は、ＤＰＤメッセージを上位装置に送信しても、上位装置から応答メッセージを受信できない場合には（図３＜６＞〜＜８＞）、基地局はＳＡ２の断を検出する（図３＜９＞）。なお、ＤＰＤメッセージの送信は、定期的に実行されるようにしても良く、或いは、基地局に対するトリガの入力によって実行されるようにしても良い。

実施形態１では、基地局は、ＳＡ２の切断が検出されると、参考例と異なり、通信状況を示す情報に基づき、ＳＡ２が上位装置で通信に使用されているＳＡであるかを判定する。例えば、通信状況を示す情報は、ＳＡ２を用いて上位装置から送信され、基地局にて受信されたパケットの数を示す情報を含む。

基地局は、通信状況を示す情報からＳＡ２が上位装置で使用されていると判定すると（図３＜１０＞）、ＳＡ１のライフタイム満了を待たずにＳＡ１のリキーを実施する（図３＜１１＞）。これによって、上位装置は、基地局へのパケット送信に際し、リキーによって再確立（更新）されたＳＡ１を使用する状態になる。これによって、ＳＡ１のライフタイム満了を待つ場合（参考例）に比べて通信を早期に正常な状態に復旧させることができる。

なお、実施形態１において、ＳＡ１のリキーの実施の前後において、ＳＡ２が基地局及び上位装置の双方で削除されるようにしても良い。また、基地局はＳＡ１の代わりにＳＡ２のリキーを実施するようにしても良い。この場合、基地局及び上位装置は、ＳＡ２のリキーによって通信（パケット送信）に再確立（更新）されたＳＡ２を使用する状態となる。このようにしても、基地局が上位装置からのパケットを再確立されたＳＡ２の情報を用いて正常に受信できる状態となるので、通信を復旧させることができる。

〔実施形態２〕
図４は、実施形態２に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。実施形態２では、図３に示す＜１＞〜＜９＞までの動作は、参考例（図２）における＜１＞〜＜９＞の動作と同じである。但し、実施形態２では、基地局は、実施形態１と同様に、ＳＡ１及びＳＡ２の確立に伴い、ＳＡ１及びＳＡ２のそれぞれに対する通信状況の監視を開始し、通信状況を示す情報を記憶する（図４＜Ａ＞）。

実施形態２では、基地局は、ＳＡ２の切断が検出されると（図４＜９＞）、実施形態１と同様に、通信状況を示す情報に基づき、ＳＡ２が上位装置が通信に使用しているＳＡであるかを判定する。基地局は、通信状況を示す情報からＳＡ２が上位装置で使用されていると判定すると（図４＜１０＞）、自装置でＳＡ２を破棄する。一方で、基地局は、上位装置に対し、ＳＡ２の破棄依頼メッセージ“DELETE request”を送信し、応答メッセージ“DELETE response”を受信する（図４＜１１＞）。破棄依頼メッセージを受信した上位
装置は、依頼に応じてＳＡ２を破棄する。

その後、基地局は、上位装置との間で、新規のＳＡの確立手順を実行する（図４＜１２＞，＜１３＞）。これによって、基地局と上位装置とが、再確立された新規のＳＡを用いて通信を実施する状態となり、通信が復旧する。実施形態２によっても、ＳＡ１のライフタイム満了を待つ場合よりも、早期に正常な状態への復旧を図ることができる。

なお、図４に示す例では、ＳＡ２の破棄を例示している。これに代えて、ＳＡ１を破棄しても、ＳＡ１及びＳＡ２を破棄しても、新規のＳＡの確立による正常な状態への早期復旧という作用効果を得ることができる。

〔実施形態３〕
図５は、実施形態３に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。図５に示す＜１＞〜＜１０＞までの動作は、実施形態１や実施形態２と同じである。また、基地局は、実施形態１及び実施形態２と同様に、ＳＡ１及びＳＡ２の確立に伴い、ＳＡ１及びＳＡ２のそれぞれに対する通信状況の監視を開始し、通信状況を示す情報を記憶する（図５＜Ａ＞）。

実施形態３では、基地局は切断が検出されたＳＡ２を上位装置が使用していると判定すると、ＳＡ２を破棄する一方で、ＳＡ１のライフタイム（ＬＴ）を強制的に満了させる（図５＜１１＞）。強制的な満了に代えて、基地局は、ＳＡ１のライフタイムを短縮しても良い。

ＳＡ１のライフタイムが満了すると、基地局は、ＳＡ１のリキーを実行する（図５＜１２＞）。これによって、上位装置が再確立（更新）されたＳＡ１を用いて通信を行う状態となり、通信が正常な状態に復旧する。なお、ＳＡ１に代えてＳＡ２のライフタイムの強制的な満了やライフタイムの短縮がなされても良い。

〔実施形態４〕
図６Ａ，図６Ｂ，図６Ｃは、実施形態４に係る基地局（通信装置）の通信制御方法を説明するシーケンス図である。図６Ａにおいて、＜１＞〜＜９＞までの動作は、各実施形態１〜３と同じである。また、基地局は、各実施形態１〜３と同様に、ＳＡ１及びＳＡ２の確立に伴い、ＳＡ１及びＳＡ２のそれぞれに対する通信状況の監視を開始し、通信状況を示す情報を記憶する（図６Ａ＜Ａ＞）。さらに、実施形態４では、図６Ｂ，図６Ｃに示すように、基地局は、ＳＡ１及びＳＡ２に関する情報を記憶するＳＡ情報テーブルと、ＳＡ情報テーブルから削除した情報を一時的に保存するＳＡ情報保存テーブルとを記憶している。

図６Ｂにおいて、ＳＡ情報テーブルは、一例として、基地局のＩＰアドレス（ＩＰ１）と、上位送ＩＴのＩＰアドレス（ＩＰ２）と、ＩＰアドレス間で確立されたＳＡ（ＳＡ１，ＳＡ２）を示すＳＰＩと、各ＳＡ１，ＳＡ２のライフタイムとを記憶する。但し、ＳＡ情報テーブルのデータ構造は一例であり、図６Ｂの内容に限定されない。ＳＡ情報保存テーブルのデータ構造は、ＳＡ情報テーブルと同じである。

基地局は、ＳＡ２の切断を検出し、ＳＡ２のリキーを実施することなくＳＡ２を破棄する場合には、ＳＡ情報テーブルからＳＡ２の情報（エントリ）を削除し、ＳＡ情報保存テーブルに追加（移動）する（図６Ａ＜９Ａ＞，図６Ｂ参照）。

図６Ａの＜１１＞に示すように、ＳＡ２のエントリがＳＡ情報保存テーブルに記憶された後に、ＳＡ２を用いた上位装置からのパケット（ＥＳＰパケット）が基地局で受信される。基地局は、受信されたパケットからＳＰＩを抽出し、当該ＳＰＩに関するエントリがＳＡ情報保存テーブルに記憶されているか否かを判定する。基地局は、ＳＡ情報保存テーブルからＳＡ２のエントリを検出すると（図６Ａ＜１３＞）、当該エントリをＳＡ情報テーブルに移動し（図６Ｃ参照）、ＳＡ２のリキーを実施する（図６Ａ＜１４＞）。これによって、基地局と上位装置とは、リキーによって再確立されたＳＡ２を用いて通信を実行できる状態となる。即ち、通信が復旧する。

〔実施形態５〕
次に、実施形態５について説明する。実施形態５におけるネットワーク構成や基地局の構成は、実施形態１〜４に示した通信制御方法を実行するために適用可能である。

＜ネットワーク構成＞
図７は、実施形態５における通信制御システムのネットワーク構成の一例を示す。図７において、無線端末（ＵＥ：User Equipment）１は、無線リンク２を介して基地局（ｅＮＢ）３に接続されている。基地局３は、イーサネット（ＬＡＮ）４に接続されている。一例として、イーサネット４は、複数のイーサネット伝送装置（ＥＲＰ−ＳＷ：Ethernet Ring Protection switch）５で形成されるリングネットワークをなしている。ＥＲＰ−Ｓ
Ｗ５は、レイヤ２スイッチの一種である。

ＥＲＰ−ＳＷ５の幾つかはルータ６を介してセキュリティゲートウェイ（ＳＧＷ）７と接続されている。但し、イーサネット４がＥＳＰ−ＳＷ５のリングで形成されることや、基地局３とＳＧＷ７との間にイーサネット４及びルータ６が介在することは必須の構成ではない。ＥＲＰ-ＳＷ５,ルータ６は「中継装置」の一例である。

ＳＧＷ７は基地局３の上位装置であり、基地局３とＩＰｓｅｃ通信を行う基地局３の対向装置である。ＳＧＷ７は、複数のルータ６を有するＩＰルータ網８に接続されている。

ＩＰルータ網８には、ＥＲＰ−ＳＷ５の制御を行うネットワークオペレーションシステム（ＯＰＳ）９がルータ６を介して接続されている。また、ＩＰルータ網８には、基地局３の制御を行うMobility Management Entity（ＭＭＥ）１０がルータ６を介して接続されている。なお、基地局３は、無線通信規格の一例であるLong Term Evolution（ＬＴＥ）
の基地局である。但し、無線通信規格の種類は問わない。各基地局３とＳＧＷ７との間にＩＫＥｖ２を用いてＳＡが確立され、両者の間でＳＡを用いたＥＳＰパケットの送受信（パケット通信）が行われる。

＜基地局のハードウェア構成＞
図８は、基地局（ｅＮＢ）３として使用可能な基地局装置３０（以下「基地局３０」）のハードウェア構成例を示す図である。基地局３０は、ユーザプレーン（Ｕプレーン）に係る処理と、制御プレーン（Ｃプレーン）に係る処理とを行う。Ｕプレーンに係る処理は、例えば、ＵＥ１（ユーザ）から受信されるデータ（ユーザデータ）をコアネットワークへ転送する処理（アップリンク送信）と、コアネットワークから受信されるユーザデータをＵＥ１へ転送する処理（ダウンリンク送信）とを含む。Ｃプレーンに係る処理は、ＭＭＥ１０との制御信号の送受信，ＵＥ１との制御信号の送受信，及びＭＭＥ１０やＵＥ１から受信される制御信号を用いた基地局３０の動作の制御を含む。

図８において、基地局装置３０は、内部スイッチ（ＳＷ）３１と、内部スイッチ３１に接続されたネットワークプロセッサ（ＮＰ）３２と、フラッシュメモリ３３とを含んでいる。ＮＰ３２は、インタフェースモジュール３４（Ｉ／Ｆ３４）と接続されており、Ｉ／Ｆ３４は、イーサネット４，ＳＧＷ７，ＩＰルータ網８を介してＭＭＥ１０と接続される通信回線（Ｓ１回線）を収容している。ＮＰ３２は、「プロセッサ」の一例である。

基地局３０は、Ｓ１回線中のＳ１−ＭＭＥインタフェースを介してＭＭＥ１０と接続される。また、基地局３０は、Ｓ１回線中のＳ１−Ｕインタフェースを介して図示しないServing Gateway（ＳＰＷ）及びPacket Data Network Gateway(ＰＧＷ)と接続される。ＭＭＥ１０は、ＵＥ１の位置登録、ベアラ設定などの制御プレーン（Ｃプレーン）を扱うノードである。ＳＧＷ及びＰＧＷは、ユーザデータ（パケット）の転送を扱うユーザプレーン（Ｕプレーン）のノードである。

基地局３０は、ＳＷ３１に接続されたＣＰＵ（Central Processing Unit）３５と、Ｄ
ＳＰ３６と、ＦＰＧＡ３７とを含んでいる。ＣＰＵ３５は、メモリ３８と接続されている。ＦＰＧＡ２７は、ＲＦ回路３９と接続されており、ＲＦ回路３９は、送受信アンテナ４
０と接続されている。

ＳＷ３１は、ＳＷ３１に接続された各回路間の信号の送受信処理を司る。ＮＰ３２及びＩ／Ｆ３４は、コアネットワークとの回線インタフェースとして機能する。ＮＰ３２は、例えば、Ｉ／Ｆ３４で受信された信号中のInternet Protocol （ＩＰ）パケットや、Ｉ／Ｆ３４へ送信するＩＰパケットに関する処理（ＩＰプロトコル処理）を行う。Ｉ／Ｆ３４は、ＮＰ３２から受信されるＩＰパケットをコアネットワークへ送信するための信号に変換する処理や、コアネットワークから受信される信号をＩＰパケットに変換する処理などを行う。ＮＰ３２で受信されるパケット中の情報のうち、ＣＰＵ３５で処理する情報は、ＳＷ３１を介してＣＰＵ３５に与えられる。

さらに、ＮＰ３２は、ＩＰｓｅｃ通信に係る処理を行う。ＩＰｓｅｃに係る処理は、セキュリティポリシー（ＳＰ）の管理,ＳＡの作成・管理（ライフタイム管理，リキー，Ｄ
ＰＤを含む），セキュリティプロトコル（本実施形態ではＥＳＰ）に基づくパケットの暗号化及び復号を含む。さらに、ＮＰ３２は、ＳＡを用いた通信の通信状況の監視、通信状況を示す情報の記憶及び更新を行う。

ＤＳＰ３６は、ユーザデータに対するベースバンド（ＢＢ）処理を行うＢＢ処理部として動作する。ＦＰＧＡ３７は、ベースバンド信号に対する直交変復調処理を行う直交変復調部として動作する。ＲＦ回路３９は、送受信アンテナ４０を用いた無線信号（電波）の送受信処理を行う。

メモリ３８は、主記憶装置（メインメモリ）の一例であり、例えば、Random Access Memory（ＲＡＭ）及びRead Only Memory（ＲＯＭ）を含む。メモリ３８は、ＣＰＵ３５の作業領域として使用される。フラッシュメモリ３３は、補助記憶装置の一例であり、基地局３０の動作の制御に用いるデータや、ＣＰＵ３５，ＤＳＰ３６によって実行されるプログラムを記憶する。

ＣＰＵ３５は、ＭＭＥ１０やＵＥ１との制御信号（制御情報）のやりとりを通じて、Ｃプレーンに係る様々な処理を行う。例えば、ＣＰＵ３５は、ＵＥ１の呼処理（アタッチ，発信，着信，デタッチ）や、基地局３０の保守運用（operation administration and maintenance（ＯＡＭ））処理を行う。また、ＣＰＵ３５は、同期信号や報知情報の送信制御や、ハンドオーバに係る処理を行う。

入力装置３１は、キー，ボタン，タッチパネル,マイクロフォンの少なくとも１つを含
み、情報の入力に使用される。出力装置３２は、ディスプレイ，ランプ，スピーカ，バイブレータの少なくとも１つを含み、情報の出力を行う。

＜ＮＰの機能＞
図９は、基地局３０（基地局３）のＮＰ３２の機能を模式的に示すブロック図である。図９に示すように、ＮＰ３２は、図示しない記憶装置を有し、記憶装置に記憶されたプログラムを実行する。これによって、ＮＰ３２は、メイン処理３２１と、ＩＫＥ処理３２２と、ポリシー処理３２３と、ＳＡ管理３２４と、ライフタイム処理３２５と、パケット送信処理３２６と、パケット受信処理３２７と、を実行する。さらに、ＮＰ３２は、回線制御３２８と、初期設定３３０と、デバック３３１と、共通処理３３２とを実行する。

メイン処理３２１は、ＮＰ３２の各ブロック（処理）の全体的な制御を行う。回戦制御３２８，初期設定３３０，デバッグ処理３３１及び共通処理３３２は、図９に示した各ブロックと情報をやりとり可能である。

初期設定３３０は、基地局３の動作の再開機能と、ＦＰＧＡダウンロード機能と、診断機能と、ネットワークエレメント（ＮＥ）切替機能とを司る。再開機能は、基地局３の初期起動、ＳＡのクリア、ＳＰＤのクリア及びサポートアルゴリズムの通知を含む。ＦＰＧＡダウンロード機能は、ＦＰＧＡによって実行されるファームウェアのダウンロードを制御する。診断機能は、基地局がシャーシ型の構成（カード型ユニットの組み合わせで形成される場合）において、各カードが起動したときの１次、２次診断を行う。ＮＥ切替機能は、マクロ或いは状態変化に伴うＮＥ切替の制御を行う。

ＩＫＥ処理３２２は、ＩＫＥｖ１の終端，ＩＫＥｖ２の終端，ＩＫＥメッセージ（例えば、INFORMATIONAL(DPD)）のリトライ管理を行う。ＩＫＥ処理３２２は、さらに、プロトコル（例えばＥＳＰ）の終端処理，ＩＰｖ４やＩＰｖ６対応の機能を有する。

ポリシー管理３２３は、セキュリティポリシー設定・削除におけるイニシエータ動作、セキュリティポリシー設定におけるレスポンダ動作を行う。また、ポリシー管理３２３は、ポリシーパラメータの管理や、ポリシー数の超過管理を行う。

ＳＡ管理３２４は、ＳＡ設定及び削除におけるイニシエータ動作，ＳＡ設定及び削除におけるレスポンダ動作，ＳＡパラメータ管理，並びにＳＡ数超過管理を行う。

ライフタイム処理３２５は、ＳＡ設定時ライフタイム（ハードライフタイム及びソフトライフタイムの）起動（スタート），ソフトライフタイムのタイマ超過（満了）時のリキーを行う。また、ライフタイム処理３２５は、ハードライフタイムのタイマ超過（満了）時におけるＳＡの削除、ＳＡ設定時におけるライフバイト設定とソフトライフバイト超過時のリキーとを行う。ライフタイムの管理は、タイマを用いた時間管理と、送信パケットのバイト数で管理との少なくとも一方で実施可能である。ライフバイトは、送信パケットのバイト数で管理されるライフタイムを示す。

パケット送信処理３２６は、ＳＧＷ７（上位装置）へ送信されるパケットの送受信制御，パケットの破棄数のカウント，送信シーケンス番号（ＳＮ）のオーバフローの検出時におけるパケット破棄及びリキーを実施する。

パケット受信処理３２７は、ＳＧＷ７（上位装置）から受信されるパケットの送受信制御，パケットの破棄数のカウントなどを行う。

監視制御３２９は、リセット制御（リセット関連マクロの制御）、監視報告（監視／報告関連マクロ，呼処理監視及び制御）、カード制御（自カード制御マクロの制御）、カード状態変化の収集（自カード及び他カードの状態変化の収集の制御）を行う。

共通処理３３２は、基地局３内で共通的な処理を行う。共通処理３３２は、例えば、タイマ機能、パケットや信号の中継機能、ウォッチドッグタイマ(watchdog time（ＷＤＴ）：コンピュータのハードウェア時間計測器)機能、共通関数群を有する。

デバック処理３３１は、障害ログやデバッグ時のコマンド等を有する。回線制御３２８は、ＣＰＵ３５との通信終端と装置内メッセージ（システムパラメータ／パス設定）の受信及び配信を行う。

ＮＰ３２は「監視部」,「判定部」,「制御部」の一例である。メモリ３３３は「記憶部」の一例である。

＜ＳＡ情報管理テーブル＞
図１０は、ＳＡ情報管理テーブルのデータ構造例を示す図である。ＳＡ情報管理テーブルは、図６Ｂに示したＳＡ情報テーブルに相当する。ＳＡ情報管理テーブルは、セキュリティポリシーデータベース（ＳＰＤ）と、セキュリティアソシエーションデータベース（ＳＡＤ）と、追加ＳＡＤ情報テーブル（以下「追加ＳＡＤ」と表記）とを含む。

ＳＰＤは、「管理番号（ＳＰＤ番号）」と、「セレクタ」と、「動作」と、「ＩＰｓｅｃ」とを含む。「管理番号」は、ＳＰＤのエントリ（レコード）の識別情報として用いられる。セレクタは、ローカルＩＰ，リモートＩＰ及び上位プロトコルの組を少なくとも記憶する。当該組は、セキュリティポリシーを設定する対象として扱われる。ローカルＩＰは、基地局３のＩＰアドレスを示し、リモートＩＰは、ＳＧＷ７のＩＰアドレスを示す。上位プロトコルは、図１０の例では任意（ＡＮＹ）を示す。

「動作」は、ローカルＩＰとリモートＩＰとの通信に対する動作を示し、図１０の例では、ＩＰｓｅｃ通信を行うことが設定されている。「ＩＰｓｅｃ」は、ＩＰｓｅｃ通信の内容を示すパラメータを含む。図１０の例では、「プロトコル」，「モード」，「アルゴリズム」などが含まれている。「プロトコル」，「モード」，「アルゴリズム」は、ＩＰｓｅｃで用いるプロトコル，モード，アルゴリズムの種別を示す。図１０の例では「プロトコル」としてＥＳＰが設定され、「モード」としてトンネルモードが設定され、「アルゴリズム」として３ＤＥＳが設定された例が示されている。

ＳＡＤは、基地局３とＳＧＷ７との間で確立されたＳＡ毎のレコード（エントリ）が格納される。エントリは、「ＳＰＩ（双方向のＳＰＩの組）」と、「プロトコル」と、「鍵情報」とを含む。但し、図示しないが、ＳＡＤには、ＳＡのライフタイムが記憶される。ＳＡＤのエントリは、ＳＡが確立されたときに追加され、ＳＰＤの対応するエントリとリンキングされる。ＳＡＤは、図６Ｂ，図６Ｃに示したＳＡ情報テーブルに相当する。

追加ＳＡＤは、各ＳＡを用いた通信状況を示す情報を格納する。図１０に示す例では、追加ＳＡＤは、ＳＡ毎のエントリを有する。エントリは、「イニシエータ／レスポンダ」，「対向情報」，「対向ライフタイム間隔」，「対向有効パケット数」，「対向破棄パケット数」を含む。さらに、エントリは、「関連有効ＳＰＤ番号」，「関連削除ＳＰＤ番号」を含む。追加ＳＡＤに記憶される情報は、「複数のセキュリティアソシエーションのそれぞれの通信状況を示す情報」の一例である。

「イニシエータ／レスポンダ」は、管理対象のＳＡに対する基地局の役割がイニシエータかレスポンダであるかを判別するためのフラグである。例えば、フラグの値が“０”であればイニシエータを示し、“１”であればレスポンダを示す。

「対向情報」は、対向装置（ＳＧＷ７）の状態を示す。例えば、対向情報は、３ビットで表現されることができる。１ビット目（最下位ビット）は、対向装置が基地局３からのパケットを受信可能であるか（“１”）、受信不可であるか（“０”）を示す。２ビット目は、対向装置がＳＡを基地局への送信ＳＡとして使用しているか（“１”）、使用していない（未使用）か（“０”）を示す。３ビット目は、ＤＰＤにより異常が検出されているか（“１”）、異常なしか（“０”）を示す。上記の状態とビット値は例示であり、逆でも良い。

「対向ライフタイム間隔」は、対向装置からリキー要求が通知される間隔を示す。例えば、「対向ライフタイム間隔」として、間隔（時間長）と最後にリキー要求が通知された日時（最終リキー日時）とが格納される。

「対向有効パケット数」は、対向装置から受信された有効なパケットの数を示す。例え
ば「対向有効パケット数」として、一定時間毎に、その時間内で受信された有効パケットのカウント値が格納される。一定時間の時間長は適宜設定可能である。

「対向破棄パケット数」は、対向装置から受信されたパケットのうち、破棄したパケットの数を示す。例えば「対向破棄パケット数」として、一定時間毎に、その時間内で破棄されたパケット数のカウント値が格納される。一定時間は、適宜設定可能である。例えば、「対向有効パケット数」に設定された一定時間と同じ時間長が採用される。

パケット受信処理３２７において、対向装置から受信された各パケットに関する有効無効の判定がなされ、無効なパケットは破棄される。そして、パケット受信処理３２７は、各パケットに付与されたＳＰＩを用いて、ＳＡ情報管理テーブルの対応するエントリを発見し、対向有効パケット数及び対向破棄パケット数の更新処理を行う。当該更新処理は、ＳＡ情報管理テーブルのみならず、後述する保存用管理テーブルにおける対向有効パケット数及び対向破棄パケット数についても実行される。

「関連有効ＳＰＤ番号」は、当該エントリに関連するエントリであってＳＡが有効な（確立中の）エントリのＳＰＤ番号を示す。「関連削除ＳＰＤ番号」は、当該エントリに関連するエントリであって、ＳＰＤから削除され保存用ＳＰＤ（図１１）に格納されているエントリのＳＰＤ番号を示す。

＜保存用管理テーブル＞
図１１は、保存用管理テーブルのデータ構造例を示す図である。保存用管理テーブルは、図６Ｂに示した保存ＳＡ情報テーブルに相当する。保存用管理テーブルは、保存用ＳＰＤと、保存用ＳＡＤと、保存用追加ＳＡＤ情報テーブル（保存用追加ＳＡＤ）とを含む。保存用ＳＰＤと、保存用ＳＡＤと、保存用追加ＳＡＤのそれぞれのデータ構造は、図１０に示したＳＰＤ，ＳＡＤ及び追加ＳＡＤと同じである。保存用ＳＰＤと、保存用ＳＡＤと、保存用追加ＳＡＤには、破棄されたＳＡのエントリが記憶（保存）される。

保存されたＳＡのエントリは、当該ＳＡに設定されていたライフタイムが満了するまで保存状態が継続される。ライフタイムが満了したエントリは、保存用管理テーブルから削除される。また、保存されたＳＡについての通信状況の監視は継続され、保存用追加ＳＡＤにおける「対向有効パケット数」及び「対向破棄パケット数」は、適宜更新される。

上述したＳＡ情報管理テーブル及び保存用管理テーブルは、ＮＰ３２が備えるメモリ３３３（図９参照）内に記憶される。但し、ＳＡ情報管理テーブル及び保存用管理テーブルは、メモリ３３３以外のＮＰ３２がアクセス可能な他のメモリ（例えば、フラッシュメモリ３３）内に記憶されていても良い。メモリ３３３は、揮発性領域と不揮発性領域とを含む例えば半導体メモリである。メモリ３３３は、「コンピュータ読み取り可能な記録媒体」の一例である。

なお、図１０及び図１１は、ＳＡの確立・破棄に伴い対向装置間のセキュリティポリシーの削除も行う場合を示している。セキュリティポリシーがＳＡの確立・破棄に依存して変動しない場合には、保存用管理テーブルとして、保存用ＳＡＤ及び保存用追加ＳＡＤが用意され、保存用ＳＡＤがＳＰＤとリンク付けされる構成が採用されても良い。

＜基地局における処理＞
次に、基地局３０（基地局３。以下「基地局３」と表記）における処理を、図１２〜図２０のフローチャートを用いて説明する。本実施形態では、各フローチャートに示される処理は、ＮＰ３２がプログラムを実行することによってなされる。但し、ＣＰＵ３５のような他のプロセッサによって実行されるようにしても良い。或いは、ＮＰ３２及びＣＰＵ
３５のような、複数のプロセッサ（処理の実行主体）の連携によってなされるようにしても良い。なお、ＮＰ３２によって実行されるプログラムは、例えば、ＮＰ３２内に設けられたメモリ３３３、或いはフラッシュメモリ３３に記憶されている。

なお、説明を簡単にするために、基地局３とＳＧＷ７との間で確立された複数のＳＡのそれぞれについて、基地局３で設定されたライフタイムの満了時期よりＳＧＷ７で設定されたライフタイムの満了時期が遅いと仮定する。

＜＜基地局の運用管理＞＞
図１２は、基地局３の運用管理の一例を示すフローチャートである。最初の０１の処理では、ＮＰ３２は、初期設定３３０を行い、システムパラメータに準拠してＳＰＤ（図１０）を作成する。０１の処理は、例えばポリシー管理３２３などによって行われる。次の０２の処理では、ＮＰ３２は、エンド（ホスト）間のＩＰｓｅｃを用いたパケット通信に関して対向装置（ＳＧＷ７）とのＳＡ確立手順（図１参照）を実施する。０２の処理は、ＩＫＥ処理３２２などによって行われる。

次の０３の処理では、ＮＰ３２は、ＳＡＤ及び追加ＳＡＤ（図１０）のようなＳＡ管理やＳＡを用いた通信状況の監視用のテーブルを作成する。０３野処理は、例えばＳＡ管理３２４などによって行われる。その後、ＮＰ３２は、ＳＡのライフタイム監視や、ＤＰＤなどの通常のＳＡ監視処理を開始する（０４）。ライフタイム監視は、例えばライフタイム処理３２５などによって行われ、ＤＰＤは、例えばＳＡ管理３２４などによって行われる。

ＳＡ監視において、ＮＰ３２は、ＳＡのライフタイムが満了したか否かを判定する（０５）。このとき、ライフタイムが満了している場合（０５，Ｙｅｓ）には、ＮＰ３２は、ライフタイムが満了したＳＡのリキーを対向装置（ＳＧＷ７）との間で実施し、ＳＡの再確立（再作成）を行う（０６）。ＮＰ３２は、リキーに伴い、ＳＡＤ及び追加ＳＡＤを更新する（０７）。その後、処理は０４に戻る。

＜＜テーブル更新＃１＞＞
図１３は、基地局３における第１のテーブル更新処理（テーブル更新＃１）の一例を示すフローチャートである。図１３に示す処理は、図１２の０３以降において、例えば、他の処理と並列に、或いは、他の処理に対する割込処理にて実行される。図１３の１１の処理において、ＮＰ３２は、対向装置からの受信パケットに関する統計情報を収集する。ＮＰ３２は、追加ＳＡＤにおける、対向有効パケット数，対向破棄パケット数，対向情報を更新する（１２）。１１及び１２の処理は、例えば、パケット受信処理３２７などによって行われる。１２の処理後、処理は１１に戻る。

例えば、基地局３がレスポンダであるＳＡについて対向有効パケット数が１以上であれば、対向情報は「送信使用」を示す値となり、対向有効パケット数が０であれば、対向情報は「送信未使用」を示す値となる。

＜＜テーブル更新＃２＞＞
図１４は、基地局３における第２のテーブル更新処理（テーブル更新＃２）の一例を示すフローチャートである。当該処理は、図１２の０３以降において、対向装置（ＳＧＷ７）から或るＳＡに対するリキー要求のメッセージが受信（２１）されたことを契機に開始する。図１４に示す処理は、例えばＩＫＥ処理３２２及びライフタイム処理３２５などによって行われる。

２２の処理では、ＮＰ３２は、対向装置（ＳＧＷ７）からのリキー要求時刻を得る。例
えば、ＮＰ３２は、リキー要求の受信時刻を得る。次の２３の処理では、ＮＰ３２は、対向装置（ＳＧＷ７）からの前回のリキーの要求時刻（前回のリキー要求の受信時刻）と、今回のリキー要求の受信時刻との時間間隔を或るＳＡのライフタイムとして得る。次の２４の処理では、ＮＰ３２は、追加ＳＡＤ情報テーブルに格納されるパラメータの一つとして、ライフタイム（時間間隔）を格納（更新）する。その後、処理が２１に戻り、ＮＰ３２はリキー要求の待ち受け状態となる。

＜＜対向装置監視＃１＞＞
図１５は、基地局３における第１の対向装置監視処理（対向装置監視＃１）の一例を示すフローチャートである。図１５における４１の処理において、ＮＰ３２は、ＤＰＤを実行し、対向装置（ＳＧＷ７）から応答メッセージが受信されたか否かを判定する。ＤＰＤメッセージの送信は、例えば、定期的に実行される。応答メッセージが受信された場合には、処理が４１に戻る。これに対し、ＤＰＤの応答メッセージが受信されない場合、ＳＡの切断と判定され、処理が４２に進む。４１の処理は、例えばＩＫＥ処理３２２などによって行われる。このとき、追加ＳＡＤにおける対向情報には「ＤＰＤ：異常あり」を示す値が設定される。

次の４２の処理では、ＮＰ３２は、対向装置（ＳＧＷ７）との間で複数のＳＡが確立されているか否かを判定する。例えば、ＮＰ３２は、ＳＰＤにおいて、セレクタが同じ値を有する複数のエントリがあれば、複数のＳＡが確立されていると判定し、処理を４３に進める。これに対し、同値のセレクタを有するエントリがなければ、ＮＰ３２は複数のＳＡが確立されていないと判定し、処理が０６（図１２）に進み、リキーが実施される。

次の４３の処理では、ＮＰ３２は、追加ＳＡＤを参照し、切断されたＳＡに対応するエントリを見つける。例えば、ＮＰ３２は、切断されたＳＡのＳＰＩを有するエントリを検出する。

次の４４の処理では、ＮＰ３２は、切断が検出されたＳＡがＳＧＷ７で使用しているＳＡであるか否かを判定する。すなわち、ＮＰ３２は、追加ＳＡＤを参照し、切断が検出されたＳＡのエントリにおける対向情報が「送信使用」を示すか否かを判定する。このとき、対向情報が「送信使用」を示す場合には、処理が４５へ進む。これに対し、対向情報が「送信未使用」を示す場合には、処理が４８へ進む。

４５の処理では、ＮＰ３２は、対向装置（ＳＧＷ７）との間に複数のＳＡが存在していても、切断が検出されたＳＡをＳＡ情報管理テーブルから削除せず、対向装置（ＳＧＷ７）が使用しているＳＡに対するリキーを実施する。リキーは、リキー対象のＳＡのライフタイムが満了前であっても実施される。

リキーによって、対向装置（ＳＧＷ７）の使用しているＳＡを用いて通信が継続される（４６）。ＮＰ３２は、リキーによって再確立されたＳＡに対するライフタイムを再設定する（４７）。４７の処理が終了すると、処理が４１に戻る。

例えば、基地局３とＳＧＷ７との間で２つのＳＡ（ＳＡ１,ＳＡ２）が確立されており
、ＳＡ２の切断が基地局３にて検出され、ＳＡ２がＳＧＷ７にて使用されていると仮定する。この場合、４５の処理にて、ＳＡ２に対するリキーが実施される。ＳＡ２のリキー（ＣＨＩＬＤ＿ＳＡの鍵の更新）によって、基地局３とＳＧＷ７との通信状態が、ＳＡ１のライフタイム満了を待つ場合よりも正常な状態に早期に復旧する。

処理が４８に進んだ場合には、ＮＰ３２は、切断が検出されたＳＡのエントリをＳＡ情報管理テーブルから削除して、保存用管理テーブルに記憶する。この場合、基地局３と対
向装置（ＳＧＷ７）との間で、新規のＳＡの確立手順が実施され、基地局３と対向装置（ＳＧＷ７）とが新規のＳＡを用いて通信を行うようになる。但し、対向装置（ＳＧＷ７）が切断が検出されたＳＡを用いて通信を行う場合に備え、ＮＰ３２は、削除したエントリを保存用管理テーブル（図１１）に格納する。その後、処理がＳＡ削除後処理（図１９）に進む。

処理が４９に進んだ場合には、ＮＰ３２は、切断されたＳＡが対向装置（ＳＧＷ７）にて使用されていないＳＡであるため、当該ＳＡを破棄する、すなわち、ＮＰ３２は、当該ＳＡのエントリをＳＡ情報管理テーブル（図１０）から削除する。

続いて、ＮＰ３２は、削除したエントリを保存用管理テーブル（図１１）に格納するとともに、ＳＡ情報管理テーブルに記憶されている他のＳＡのエントリとリンク付けする（５０）。例えば、図１０に示すＳＡ情報管理テーブルに、ＳＰＤ番号“１００”，“１０１”及び“１０２”のＳＡのエントリが記憶されている場合を仮定する。ＳＰＤ番号“１０１”のＳＡの切断が検出され、“１０１”のエントリ削除が判定されると、“１０１”のエントリについて、ＳＡ情報管理テーブルから保存用管理テーブル（図１１）への移動処理が実行される。このとき、ＳＡ情報管理テーブルの追加ＳＡＤに記憶されているＳＰＤ番号“１００”及び“１０２”の各エントリにおける「関連削除ＳＰＤ番号」には、削除されたエントリのＳＰＤ番号“１０１”が格納される。一方、保存用追加ＳＡＤにおける「関連有効ＳＰＤ番号」には、ＳＰＤ番号“１００”及び“１０２”が格納される。このような削除ＳＰＤ番号と有効ＳＰＤ番号との関連づけによってリンキングがなされる。５０の処理が終了すると、処理がＳＡ削除後処理（図１９）へ進む。

＜＜対向装置監視＃２＞＞
図１６は、基地局３０（基地局３）における第２の対向装置監視処理（対向装置監視＃２）の一例を示すフローチャートである。図１６に示す処理は、対向装置（ＳＧＷ７）が使用しているＳＡを対象として、一定時間経過毎に実行される。一定時間は、例えば、有効受信パケット数のカウントに用いる一定時間に合わせて設定される。

最初の６１では、ＮＰ３２は、対象のＳＡについて追加ＳＡＤを参照し、一定時間内における有効受信パケット数が０か否かを判定する。有効受信パケット数が０であれば、ＮＰ３２は、有効なパケットの受信（「対向装置からの通信」の一例）が途絶えたことを検知（検出）する。すると、ＮＰ３２は、当該ＳＡについての次のリキー時間、すなわちライフタイムの満了時刻をＳＡＤ、或いは追加ＳＡＤの参照により確認する。

ＮＰ３２は、リキー時間（すなわち、ライフタイム満了時刻）が所定時間内に到来するか否かを判定する。リキー時間が所定時間内に到来する場合（６２，「即」）には、ライフタイムの満了を待って、処理が０６（図１２）に進む。これに対し、リキー時間が所定時間内に到来しない場合（６２，「遠い」）には、処理が６３へ進む。

６３の処理では、ＮＰ３２は、対象のＳＡについて基地局３０がイニシータであるかレスポンダであるかを判定する。当該判定は、追加ＳＡＤの対象ＳＡのエントリにおける「イニシエータ／レスポンダ」の参照によってなされる。基地局３０がイニシエータであれば（６３，Ｙｅｓ）、ＮＰ３２は、対象のＳＡのライフタイムを強制的に満了させて（６４）、処理を０６（図１２）に進める。

これに対し、基地局３０がレスポンダであれば（６３，Ｎｏ）、ＮＰ３２は、対向装置（ＳＧＷ７）向けのライフタイム変更通知のメッセージを生成し、対向装置（ＳＧＷ７）へ送信する処理を行う（６５）。

対向装置へ通知されるライフタイムは、以下のようにして決定される。例えば、ＮＰ３２は、追加ＳＡＤにおける対象ＳＡの「対向ライフタイム間隔」を参照して、対向装置（ＳＧＷ７）における次のライフタイム満了時刻を推定する。続いて、ＮＰ３２は、ライフタイムの満了推定時刻と、基地局３における対象ＳＡのライフタイムの満了時刻（ＳＡＤに記憶）とを対比する。そして、ＮＰ３２は、対向装置（ＳＧＷ７）にて、対象ＳＡのライフタイムが基地局３のライフタイムより先に満了するライフタイムを決定する。このようにして決定されたライフタイムがライフタイム変更通知に含められる。

対向装置（ＳＧＷ７）は、ライフタイム変更通知を受信すると、対象ＳＡのライフタイムの変更（短縮化）を実施するとともに、ライフタイム変更通知の応答メッセージを基地局３に返す。

ＮＰ３２は、対向装置（ＳＧＷ７）からライフタイム変更通知の応答メッセージが受信されたとき（６６，Ｙｅｓ）には、図１６の処理を終了する。対向装置（ＳＧＷ７）が対象ＳＡのライフタイム満了を契機に、対象ＳＡのリキーメッセージ（CREATE_CHILD_SA request）を送信するからである。

一方、対向装置（ＳＧＷ７）からライフタイム変更通知の応答メッセージが受信されないとき（６６，Ｎｏ）には、ＮＰ３２は、対象ＳＡのエントリをＳＡ情報管理テーブルから削除し（６７）、保存用管理テーブルに保存する（６８）。このとき、必要に応じて、ＳＡ情報管理テーブルにある他のＳＡのエントリとのリンク付けを行う。その後、処理がＳＡ削除後処理（図１９）へ進む。

＜＜変形例＞＞
図１６に示した第２の対向装置監視処理（対向装置監視＃２）は、次のような変形が可能である。図１６に示す例では、基地局３が対象のＳＡの確立におけるイニシエータであるかレスポンダであるかを考慮しての処理について説明した。もっとも、ＩＫＥｖ２では、ＳＡを確立したピア間でライフタイムの満了が早い側がリキーを実施することができる。換言すれば、リキー（CREATE_CHILD_SA requestの送信）は、ＩＫＥ＿ＳＡのイニシエ
ータであってもレスポンダであっても開始することができる。よって、図１６の処理は、図１７のように変形可能である。

図１７は、第２の対向装置監視処理（対向装置監視＃２）の変形例１を示すフローチャートである。図１７の６２の処理において、次回のリキー時間が遠い、すなわち、基地局３における対象ＳＡのライフタイム満了時刻が所定時間より長いときには（６２，Ｙｅｓ）、ＮＰ３２は、対象ＳＡのライフタイムを強制的に満了させて、処理を０６（図１２）に進める。

図１８は、第２の対向装置監視処理（対向装置監視＃２）の変形例２を示すフローチャートである。図１８の６２の処理において、次回のリキー時間が遠い、すなわち、基地局３における対象ＳＡのライフタイム満了時刻が所定時間より長いときには、ＮＰ３２は、対象ＳＡのライフタイムを所定時間短縮させて（６４Ａ）、処理を６１に戻す。６４Ａで短縮させる所定時間は適宜設定可能である。６４Ａの処理によって、ライフタイムの満了タイミングを早めることができる。

＜＜ＳＡ削除後処理＞＞
図１９は、ＳＡ削除後処理の一例を示すフローチャートである。図１９の処理は、例えば、保存用管理テーブルにエントリが記憶されたＳＡ（ＳＡ情報管理テーブルから削除されたＳＡ、「削除ＳＡ」という）を対象として、定期的に実行される。図１９の７１の処理では、ＮＰ３２は、保存用追加ＳＡＤにおける対向破棄パケット数を参照し、対向破棄
パケット数が０か否かを判定する（７２）。

ここで、対向破棄パケット数が０である場合（７２，Ｎｏ）には、対向装置（ＳＧＷ７）から削除ＳＡを用いたパケットが送信されていないことを意味する。よって、ＮＰ３２は、処理を７１に戻す。これに対し、対向破棄パケット数が０でない場合（７２，Ｙｅｓ）は、対向装置（ＳＧＷ７）から削除ＳＡを用いたパケットが送信され、基地局３にて受信されているが、復号できないため破棄していることを意味する。

このため、ＮＰ３２は、保存用管理テーブル（保存用ＴＢ）からＳＡ情報管理テーブル（運用ＴＢ）へ削除ＳＡのエントリを移動し（７３）、削除ＳＡに係るＳＡの再確立を実施する（図１２,０２）。これによって、基地局３は、対向装置（ＳＧＷ７）からのパケ
ットを受信できるようになる。

このように、破棄されたＳＡに関する情報（エントリ）を保存用管理テーブルに保存しておき、破棄されたＳＡを用いたパケット受信が検出されたときに、保存された情報を用いてＳＡが再確立（CREATE_CHILD_SAによる鍵更新）が行われる。この再確立では、既存
のＩＫＥ＿ＳＡを用いることができ、新規のＳＡを確立する場合に比べて、早期に通信を復旧し得る。

なお、フローチャートを用いて説明した動作例の説明において、切断されたＳＡが検出されたときの基地局３（ＮＰ３２）の動作は、実施形態１〜４における基地局の動作と必ずしも一致しない。しかし、基地局３によって、リキー（ＳＡの再確立）又は新規のＳＡの確立によって、基地局と対向装置（上位装置：ＳＧＷ７）との通信が正常な状態に復旧する点については共通である。実施形態５で示した基地局３０（基地局３）の構成は、実施形態１〜４に適用可能である。換言すれば、実施形態５で示した基地局３０（基地局３）の構成を用いて、実施形態１〜４における基地局の動作を実行することができる。

＜実施形態の作用効果＞
実施形態１〜５によれば、通信装置（基地局）と対向装置（上位装置：ＳＧＷ７）との間で確立された複数のＳＡのそれぞれを用いた通信状況を示す情報が追加ＳＡＤに記憶される。そして、複数のＳＡのいずれかが切断されたときに、切断されたＳＡが対向装置が使用しているＳＡか否かが判定される。切断されたＳＡを対向装置が使用している場合に、基地局は切断されたＳＡに代わるＳＡの再確立（リキーによるＳＡの更新又は新規ＳＡの確立）を実施する。ＳＡの再確立によって、対向装置は再確立されたＳＡを用いた通信を行う状態となる。これにより、通信装置と対向装置との一方においてＳＡのライフタイムの満了を待つ場合よりも、正常な通信状態への早期復旧を図ることができる。

また、実施形態４,５によれば、リキーは、ライフタイムの強制的な満了、或いはライ
フタイムの短縮によって実施されるようにすることができる。この場合、リキーの割込処理ではなく、ライフタイムの変更によって実施できるので、既存のプログラムに対する改変量（開発工数）が減る。

また、実施形態５におけるＳＡ削除後処理によれば、切断されたＳＡを基地局で破棄（削除）した場合に、削除ＳＡに関する情報が保存用管理テーブルに記憶される。その後、削除ＳＡを用いたパケット受信が検出されたときに、保存用管理テーブルの削除ＳＡに関する情報をＳＡ情報管理テーブルに移動し、削除ＳＡをリキーによって再確立することで、ＳＡを新規に確立する場合よりも、早期に削除ＳＡに代わるＳＡを確立し得る。

以上説明した実施形態の構成は、適宜組み合わせることができる。

３・・・基地局（通信装置）
７・・・セキュリティゲートウェイ（ＳＧＷ）（上位装置,対向装置）
３２・・・ネットワークプロセッサ（ＮＰ）
３３３・・・メモリ

Claims (11)

1. 通信装置の通信制御方法であって、
   前記通信装置が、
   対向装置との間で確立された複数のセキュリティアソシエーションのそれぞれを用いた通信状況を監視して通信状況を示す情報を記憶し、
   前記複数のセキュリティアソシエーションのいずれかが切断されたときに、前記通信状況を示す情報に基づき、前記対向装置が切断されたセキュリティアソシエーションを通信に使用しているかを判定し、
   前記対向装置が切断されたセキュリティアソシエーションを使用している場合に、前記切断されたセキュリティアソシエーションに代わるセキュリティアソシエーションの再確立を行う
   ことを含む通信装置の通信制御方法。
2. 前記通信装置は、前記切断されたセキュリティアソシエーションの更新によって前記再確立を行う
   請求項１に記載の通信装置の通信制御方法。
3. 前記通信装置は、前記切断されたセキュリティアソシエーション以外の前記対向装置と確立中のセキュリティアソシエーションの一つの更新によって前記再確立を行う
   請求項１に記載の通信装置の通信制御方法。
4. 前記通信装置は、前記切断されたセキュリティアソシエーションに代わる新規のセキュリティアソシエーションの確立によって前記再確立を行う
   請求項１に記載の通信装置の通信制御方法。
5. 前記通信装置は、前記対向装置が切断されたセキュリティアソシエーションを使用している場合に、前記複数のセキュリティアソシエーションの一つのライフタイムを強制的に満了させる
   請求項１に記載の通信装置の通信制御方法。
6. 前記通信装置は、前記対向装置が切断されたセキュリティアソシエーションを使用している場合に、前記複数のセキュリティアソシエーションの一つのライフタイムを短縮する請求項１に記載の通信装置の通信制御方法。
7. 前記通信装置は、前記対向装置が使用しているセキュリティアソシエーションの通信状況を監視し、前記対向装置からの当該セキュリティアソシエーションを用いた通信が所定時間途絶えたときに、当該セキュリティアソシエーションのライフタイムを強制的に満了させる
   請求項１から６のいずれか１項に記載の通信装置の通信制御方法。
8. 前記通信装置は、前記対向装置が使用しているセキュリティアソシエーションの通信状況を監視し、前記対向装置からの当該セキュリティアソシエーションを用いた通信が所定時間途絶えたときに、当該セキュリティアソシエーションのライフタイムを短縮する
   請求項１から６のいずれか１項に記載の通信装置の通信制御方法。
9. 前記通信装置は、
   破棄したセキュリティアソシエーションに関する情報を保存し、
   前記通信状況を示す情報に基づき前記破棄したセキュリティアソシエーションを用いた前記対向装置からの通信が検出されたときに、前記保存した情報を用いて前記破棄したセ
   キュリティアソシエーションの再確立を行う
   ことをさらに含む請求項１から８のいずれか１項に記載の通信装置の通信制御方法。
10. 対向装置との間で確立された複数のセキュリティアソシエーションのそれぞれを用いた通信状況を監視する監視部と、
    前記通信状況を示す情報を記憶する記憶部と、
    前記複数のセキュリティアソシエーションのいずれかが切断されたときに、前記通信状況を示す情報に基づき、前記対向装置が切断されたセキュリティアソシエーションを通信に使用しているかを判定する判定部と、
    前記対向装置が切断されたセキュリティアソシエーションを使用している場合に、前記切断されたセキュリティアソシエーションに代わるセキュリティアソシエーションの再確立を行う制御部と
    を含む通信装置。
11. 通信装置と、
    前記通信装置との間でセキュリティアソシエーションを用いた通信を行う対向装置とを備え、
    前記通信装置は、
    前記対向装置との間で確立された複数のセキュリティアソシエーションのそれぞれを用いた通信状況を監視する監視部と、
    前記通信状況を示す情報を記憶する記憶部と、
    前記複数のセキュリティアソシエーションのいずれかが切断されたときに、前記通信状況を示す情報に基づき、前記対向装置が切断されたセキュリティアソシエーションを通信に使用しているかを判定する判定部と、
    前記対向装置が切断されたセキュリティアソシエーションを使用している場合に、前記切断されたセキュリティアソシエーションに代わるセキュリティアソシエーションの再確立を行う制御部と、を含む
    通信制御システム。

Images