JP2017098666A - 通信装置，及び暗号化通信の異常検出方法 - Google Patents

Abstract

【課題】下位レイヤを用いた監視では検出できない暗号化通信の異常を簡易な構成を以て検出可能とする。
【解決手段】通信装置は、対向装置との間で確立される暗号化通信の経路の交渉に使用される交渉情報を記憶した記憶部と、前記経路を送受信されるとともに前記交渉情報を用いて特定される監視対象パケットが所定時間内に受信されない場合に前記暗号化通信の異常を検出する監視部とを含む。
【選択図】図４

Description

本発明は、通信装置，及び暗号化通信の異常検出方法に関する。

ネットワーク層のセキュリティプロトコルの一つとして、Security Architecture for the Internet Protocol（ＩＰｓｅｃ）がある。ＩＰｓｅｃは、暗号化通信技術を用いて
、ＩＰパケット単位でデータの改竄防止や秘匿機能を提供する。ＩＰｓｅｃでは、“ＩＰｓｅｃ＿ＳＡ（Security Association）”と呼ばれる暗号化経路（トンネル）が、ＩＰｓｅｃを終端する装置間で確立される。ＩＰｓｅｃ＿ＳＡ（「ＩＰｓｅｃトンネル」とも表記）を用いて転送されるパケットは、Encapsulation Security Payload（ＥＳＰ）により暗号化され且つカプセル化される。

ＩＰｓｅｃ＿ＳＡを自動的に確立するためのプロトコルとして、Internet Key Exchange（ＩＫＥ）と呼ばれる鍵交換プロトコルが使用される。ＩＫＥは、ＩＰｓｅｃを終端す
る装置間で、“ＩＫＥ＿ＳＡ”と呼ばれるＩＫＥ用のトンネルを確立し、ＩＫＥ＿ＳＡを用いてＩＰｓｅｃの暗号鍵の交換、ＩＰｓｅｃ＿ＳＡに係るパラメータ交換などの、ＩＰｓｅｃ＿ＳＡを確立するためのネゴシエーションなどを行う。

従来、ＩＰｓｅｃレイヤ、すなわちＩＰｓｅｃ＿ＳＡは、Dead Peer Detection（ＤＰ
Ｄ）と呼ばれる死活監視機構を用いて監視される。ＤＰＤは、ＩＫＥ＿ＳＡの切断（dead）を以て、ＩＰｓｅｃトンネルの切断を検出する。換言すれば、ＤＰＤによって、ＩＰｓｅｃを終端する装置間の疎通（接続性：Connectivity）が判定される。

また、ＩＰｓｅｃの上位レイヤのプロトコルが、ＩＰｓｅｃトンネルの定期監視機能を具備する場合もある。例えば、ＩＰｓｅｃの上位レイヤのプロトコルであるInternet Control Message Protocol（ＩＣＭＰ）が定期的なping送信を行い（ICMP echo）、応答がない場合にＩＰｓｅｃの障害を検出する。このように、上位レイヤがＩＰｓｅｃ＿ＳＡを監視する場合もある。

その他、本願に係る背景技術としては、以下に示す特許文献１〜特許文献４に記載された技術がある。

特開２００８−２０５８０６号公報 特開２０１２−２３１３６８号公報 特開２００５−２０２１５号公報 特開２００５−２５３０６１号公報

ＤＰＤは、ＩＫＥ＿ＳＡが正常か否かを以て、ＩＰｓｅｃトンネルの異常を間接的に検出するＩＰｓｅｃトンネルの監視方法である。しかし、ＩＫＥ＿ＳＡが正常であっても、ＩＰｓｅｃ＿ＳＡのパラメータが終端装置間で不一致の場合などでは、正常なＩＰｓｅｃトンネルを確立できず、ＩＰｓｅｃによる暗号化通信を実行できない。このように、ＤＰＤでは、ＩＰｓｅｃ＿ＳＡの異常、及びＩＰｓｅｃトンネルを用いる上位レイヤの通信異常は検出できない。

これに対し、上位レイヤによるＩＰｓｅｃの監視によれば、ＩＰｓｅｃトンネルの異常を検出し得る。しかし、上位レイヤでＩＰｓｅｃを監視する方法では、ＩＰｓｅｃを終端する装置だけでなく、上位レイヤを終端する装置にも監視のための機能が実装される。このように、上位レイヤによるＩＰｓｅｃの監視は、監視機構の複雑化、煩雑化を招来するともに、実装が困難な場合が少なくなかった。

本発明の一態様は、上述した問題に鑑みなされたものであり、下位レイヤの監視では検出できない暗号化通信の異常を簡易な構成を以て検出可能とする技術を提供することを目的とする。

本発明の一態様は、通信装置である。この通信装置は、対向装置との間で確立される暗号化通信の経路の交渉に使用される交渉情報を記憶した記憶部と、前記経路を送受信されるとともに前記交渉情報を用いて特定される監視対象パケットが所定時間内に受信されない場合に前記暗号化通信の異常を検出する監視部とを含む。

本発明の実施例によれば、下位レイヤを用いた監視では検出できない暗号化通信の異常を簡易な構成を以て検出可能とすることができる。

図１は、移動通信システムの一例を示す図である。 図２は、無線基地局装置の構成例を示す。 図３は、セキュリティゲートウェイとして動作可能な情報処理装置（コンピュータ）の構成例を示す。 図４は、図２及び図３に示した制御部の構成例を模式的に示す。 図５は、メモリに記憶されるＳＰＤのデータ構造例を示す。 図６は、メモリに記憶されるＳＰＤのデータ構造例を示す。 図７は、メモリに記憶されるＳＰＤのデータ構造例を示す。 図８は、監視情報のデータ構造例を示す。 図９は、監視情報のデータ構造例を示す。 図１０は、監視情報のデータ構造例を示す。 図１１は、監視情報のデータ構造例を示す。 図１２は、実施形態に係るプロトコルスタックの説明図である。 図１３は、実施形態の動作例を示すシーケンス図である。 図１４は、実施形態の動作例を示すシーケンス図である。 図１５は、実施形態の動作例を示すシーケンス図である。 図１６は、実施形態の動作例を示すシーケンス図である。 図１７は、実施形態の動作例を示すシーケンス図である。 図１８は、交渉処理（監視側）の例を示すフローチャートである。 図１９は、交渉処理（被監視側）の例を示すフローチャートである。 図２０は、監視処理の例を示すフローチャートである。 図２１は、監視処理の例を示すフローチャートである。 図２２は、パケット暗号／復号処理の例を示すフローチャートである。 図２３は、復旧方法／復旧状態受信処理の例を示すフローチャートである。 図２４は、ＩＫＥパケットのフォーマット例を示す。 図２５は、交渉パケットとして使用されるＩＫＥパケットのフォーマット例を示す。 図２６は、監視開始／監視対象パケットのフォーマット例を示す。 図２７は、非暗号化の監視開始／監視対象パケットのフォーマット例を示す。

以下、図面を参照して実施形態について説明する。実施形態の構成は例示であり、実施形態の構成に限定されない。

実施形態では、対向装置（ピア）との間で暗号化通信を行う通信装置について説明する。実施形態では、ＩＰｓｅｃを、「暗号化通信」のためのプロトコルの一例として説明する。ＩＰｓｅｃ＿ＳＡ（ＩＰｓｅｃトンネル）は、「暗号化通信の経路」の一例である。

ＩＰｓｅｃ＿ＳＡは、通信装置と対向装置との間で確立される。通信装置は、対向装置と間で確立される暗号化通信の経路（暗号化通信路）の交渉（ネゴシエーション）に使用される交渉情報を記憶する記憶部を含む。交渉情報は、例えば、ＩＰｓｅｃのセキュリティポリシーデータベース（ＳＰＤ）に登録された情報である。

実施形態では，通信装置は、暗号化通信の経路（ＩＰｓｅｃ＿ＳＡ）を送受信されるとともに上記交渉情報を用いて特定される監視対象パケットが所定時間内に受信されない場合に暗号化通信の異常を検出する監視部を含む。

実施形態におけるＳＰＤは、ＩＰｓｅｃ＿ＳＡの仕様を対向装置との間で交渉するための情報に加えて、ＩＰｓｅｃ＿ＳＡの監視条件を示す情報と、ＩＰｓｅｃ＿ＳＡの障害からの復旧方法を示す情報とを含む。監視条件を示す情報は「監視対象パケットの交渉用情報」の一例であり、復旧方法を示す情報は「復旧方法の交渉用情報」の一例である。

実施形態では、ＩＰｓｅｃを終端する装置間で、ＩＰｓｅｃ＿ＳＡを確立する交渉において、ＩＰｓｅｃ＿ＳＡの異常を検出するために監視する監視対象パケットについての交渉を行う。交渉用のメッセージには、ＩＰｓｅｃ＿ＳＡ（暗号化通信路）の確立交渉に使用される第１情報に加えて、暗号化通信路の監視に係る交渉に使用される第２情報が含められる。復旧方法の交渉用の情報（第３情報）を交渉用のメッセージに含めることもできる。このようなメッセージが対向装置へ送信される。対向装置からは、対向装置が選択した監視対象パケットや復旧方法を示す情報を含む応答メッセージが送信される。

交渉（メッセージ交換）の結果、ＩＰｓｅｃ＿ＳＡ（ＩＰｓｅｃトンネル）が確立される。さらに、ＩＰｓｅｃトンネルの異常を検出するための監視対象パケットが監視される。監視対象パケットの監視によって、ＩＰｓｅｃの上位レイヤ（例えば、ＩＣＭＰ，ＧＴＰ等）のパケットの疎通状況（パケットの送受信状況）が監視される。そして、監視結果から異常が検出された場合には、交渉によって決定された復旧方法に基づく処理が行われる。復旧方法の実施によって、ＩＰｓｅｃレイヤの障害を起因とする、ＩＰｓｅｃより上位レイヤの通信異常を解消することができる。

実施形態では、ＳＰＤに、ＩＰｓｅｃ＿ＳＡの監視条件の候補及び復旧方法の候補が複数個登録される。ＩＰｓｅｃ＿ＳＡの確立時にＩＰｓｅｃ＿ＳＡを終端する装置（機器）間で行われる交渉において、監視条件、又は監視条件及び復旧方法の交渉が行われる。

なお、交渉において、複数の復旧方法が決定される場合がある。この場合、複数の復旧方法が復旧状態に基づき段階的に使用される。すなわち、或る復旧方法で復旧されないときに、他の復旧方法が実施される。復旧方法の変更は復旧状態を管理し、復旧方法の使用結果に応じて、復旧状態を更新し、次の復旧方法の実施へ段階を進めることでなされても
良い。復旧状態は、不揮発性記憶媒体に記憶し、機器やＩＰｓｅｃがリセットされても初期値に戻らないように管理されるのが好ましい。

上記したように、ＳＰＤには、事前にＩＰｓｅｃの監視条件と、復旧方法とが登録される。例えば、監視は、ＩＰｓｅｃを用いて送受信されるパケットについて、或る種別のパケットの受信を契機に、当該パケットの応答パケットが所定期間内に受信されることを監視する。或る種別のパケットは、「監視開始パケット」と呼ばれ、或る種別のパケットの応答パケットは「監視対象パケット」と呼ばれる。

例えば、ＩＰｓｅｃを用いて送受信されるＩＣＭＰパケット，ＳＣＴＰパケット，ＧＴＰパケットなどを、上位レイヤのパケットとして例示できる。また、エコー要求（echo request）と呼ばれる，応答を要求するメッセージを含むパケットを、監視開始パケットに設定できる。エコー要求のパケットの応答パケットが監視対象パケットとして監視される。応答パケットは、エコーリプライ（echo reply）パケット、或いはリプライパケットと呼ばれる。

監視開始パケット（ｅｃｈｏパケット）の受信を契機に所定時間の計時が開始される。所定時間は、例えば監視タイマで計時される。監視タイマの満了（タイムアウト）前に、監視対象パケット（ｒｅｐｌｙパケット）が受信されれば、上位レイヤの通信は正常である。これに対し、監視対象パケットが受信されることなく監視タイマが満了した場合には、上位レイヤの通信が異常と判定される（異常が検出される）。この場合、交渉にて予め合意された復旧方法が実施され、通信の復旧が試行される。

監視条件は、例えば、以下を採用することができる。例えば、「監視開始パケット」及び「監視対象パケット」のそれぞれは、対象ＩＰアドレス、プロトコル、ポート番号、上位レイヤの識別情報の少なくとも１つを用いて規定できる。

パケットを特定するためのパラメータ（「特定情報」の一例）は、ＩＰｓｅｃ＿ＳＡの確立交渉においてパケット（トラフィック）の特定に使用されるパラメータ（特定情報）と共通の情報が使用される。これによって、ＩＰｓｅｃ＿ＳＡ確立のためにＳＰＤに登録される情報を有効活用でき、情報管理の簡易化が図られる。

また、監視条件として、監視の開始条件（例えば、監視開始パケットの受信）、終了条件（監視対象パケットの受信，監視停止パケットの受信，監視タイマの満了など）、監視の周期などが定められる。

復旧方法として、単数又は複数の復旧方法が規定される。複数の復旧方法が規定される場合、各復旧方法に優先順位が定められる。復旧方法としては、ＩＰｓｅｃのリキー，ＩＰｓｅｃ＿ＳＡの再確立，ＩＰｓｅｃ機能のリセット，通信装置及び対向装置の少なくとも一方のリセットなどが挙げられる。監視側と被監視側の一方が復旧方法の実行主体となることができる。監視側とは、監視対象パケットの受信側を指し、被監視側とは監視対象パケットの送信側を指す。

実施形態で行われるおおよその手順として、以下が行われる。
（１）ＩＰｓｅｃ＿ＳＡの確立時にＩＫＥパケットを用いたメッセージによるネゴシエーション（交渉）で、ＩＰｓｅｃ＿ＳＡの監視条件、及び復旧方法の情報を、ＩＰｓｅｃ＿ＳＡを終端する装置間で共有する。このとき、ＩＰｓｅｃのイニシエータとレスポンダの双方がサポートする復旧方法が共有（合意）されることで、両者間の互換性、すなわち、復旧方法の実行が保証される。

（２）ＳＰＤに登録されたＩＰｓｅｃ＿ＳＡの監視条件における監視開始パケットの受信が検出された場合に、監視タイマが起動され、監視対象パケットが監視タイマの満了前に受信されているかを監視する。このとき、定期的に監視対象パケットの受信が行われているかを監視しても良い。

ＩＫＥ＿ＳＡが確立しているにも拘わらず（ＩＰｓｅｃトンネルの切断中は監視タイマが停止される）、監視対象パケットが到達しない（受信されない）場合には、ＩＰｓｅｃレイヤの異常（上位レイヤの通信異常）と判定される。このとき、交渉により決定された復旧方法の一つが試行される。２以上の復旧方法が決定されている場合には、優先順位に従って２以上の復旧方法の一つが試行される。

なお、実施が決定された２以上の復旧方法が実施されても異常からの復旧がなされない場合には、異常（障害）の発生を保守者に通知することが可能である。このようにして、ＩＰｓｅｃの異常の潜在化が回避される。以下、実施形態の構成の詳細を説明する。

＜移動通信システムの構成例＞
図１は、移動通信システムの一例を示す図である。移動通信システムは、例えば、Long
Term Evolution（ＬＴＥ）に適合又は準拠する。但し、ＬＴＥ以外の無線通信規格に準
拠していても良い。ＬＴＥ以外の無線通信規格は、例えば、Wideband Code Division Multiple Access（Ｗ−ＣＤＭＡ）や、Global System for Mobile communications（ＧＳＭ
（登録商標））である。但し、これらに限定されない。また、無線通信規格は、無線ＬＡＮ（wireless Local Area Network: IEEE802.11シリーズ、或いはWi-Fi）であっても良い。

図１に示す例では、移動通信システムは、無線端末（User Equipment（ＵＥ）：以下「端末」と表記）１と無線通信する無線基地局（ｅＮＢ：以下「基地局」と表記）２と、セキュリティゲートウェイ（ｓｅｃＧＷ）３とを含む。移動通信システムは、さらに、ｓｅｃＧＷ３と接続されたサービングゲートウェイ（Ｓ−ＧＷ）５及びMobility Management Entity（ＭＭＥ）４とを含む。基地局２及びｓｅｃＧＷ３のそれぞれは、「通信装置」、「対向装置」の一例である。

ＬＴＥ網は、コア網８と無線網とを含む。無線網は基地局２で形成される。Ｓ−ＧＷ５およびＭＭＥ４はコア網８を形成するノードである。コア網８は、コア網８を形成するノードとして、さらにパケットデータネットワークゲートウェイ（Ｐ−ＧＷ）６を含む。Ｐ−ＧＷ６は、Ｓ−ＧＷ５と接続される。

ｓｅｃＧＷ３は、無線網（基地局２）とコア網８との間に配置されている。ｓｅｃＧＷ３は、１以上設けることができる。図１の例では、二つのｓｅｃＧＷ３（ｓｅｃＧＷ＃１,ｓｅｃＧＷ＃２）が例示されている。

ＬＴＥ網を利用した通信を所望する端末１は、基地局２と無線接続するとともに、ＬＴＥ網への接続要求を基地局２を介してＭＭＥ４へ送る。ＭＭＥ４は、端末１の位置登録処理を行うとともに、端末１がＬＴＥ網を通じてユーザパケットを送受信する通信路（パス、「ベアラ」とも呼ばれる）の設定を制御する。

ベアラは、Ｓ−ＧＷ５と基地局２との間に設定される。また、基地局２と端末１との間には無線ベアラが設定される。また、基地局２とＳ−ＧＷ５との間のベアラは、Ｓ−ＧＷ５とＰ−ＧＷ６との間に設定されたベアラと接続される。Ｐ−ＧＷ６は、端末１の通信相手が接続された外部網（図示せず、例えば、インターネットなど）とのゲートウェイである。Ｐ−ＧＷ６は、端末１からのパケットを外部網へ送り出したり、外部網から端末１宛
のパケットを受信してＳ−ＧＷ５に転送したりする。

別の観点で説明すると、基地局２とＭＭＥ４との間には、制御プレーン（Ｃプレーン）の通信路（パス）が設定される。一方、基地局２とＳ−ＧＷ５（Ｐ−ＧＷ６）との間には、ユーザプレーン（Ｕプレーン）の通信路（パス（ベアラ））が設定される。ｓｅｃＧＷ３は、基地局２とＳ−ＧＷ５との間、及び基地局２とＭＭＥ４との間に介在する。ｓｅｃＧＷ３は、基地局２との間でＩＫＥに基づく鍵交換用のコネクションを確立する。このようなコネクションは、ＳＡ（Security Association）と呼ばれる。

以下、ＩＫＥに基づき確立されるＳＡを、「ＩＫＥ＿ＳＡ」と表記する。また、ｓｅｃＧＷ３は、基地局２との間で、Ｃプレーンのパス及びＵプレーンのパスそれぞれに対応するＩＰｓｅｃのコネクション（「ＩＰｓｅｃ＿ＳＡ」又は「ＩＰｓｅｃトンネル」と表記する）を確立する。ＩＰｓｅｃトンネルを通過するパケットは、ＥＳＰにより暗号化される。ＩＰｓｅｃ＿ＳＡ（ＩＰｓｅｃトンネル）は、「暗号化通信の経路」の一例である。

基地局２は、Ｃプレーン及びＵプレーンの各通信に係るプロトコル（ＩＰｓｅｃより上位レイヤのプロトコル）を終端するプロトコル終端部２１と、ＩＰｓｅｃに基づくパケット（データグラム）の暗号化又は復号を行うＩＰｓｅｃ部２２とを有している。さらに、基地局２は、セキュリティポリシーデータベース（ＳＰＤ）２３を有している。一方、ｓｅｃＧＷ３も、ＩＰｓｅｃ部２２に対応するＩＰｓｅｃ部３１と、ＳＰＤ３２とを有している。

ＳＰＤは、セキュリティポリシー（ＳＰ）の集合である。各ＳＰは、参照されるパケット中のデータ（パラメータ：「セレクタ」と呼ばれる）と、セレクタの内容に応じて行う処理内容（例えば、「暗号化」、「復号」、「何もしない」、「破棄」）とから定義される。

例えば、基地局２のＩＰｓｅｃ部２２は、ＭＭＥ４又はＳ−ＧＷ５宛のパケット中のセレクタと、ＳＰＤ２３とを参照し、パケットに対する処理を決定する。例えば、処理が「暗号化」であれば、例えば、ＥＳＰ（Encapsulated Security Payload）に基づきパケッ
トのペイロードを暗号化し、ＥＳＰヘッダ及びリモートＩＰヘッダでパケットをカプセル化し、ＩＰｓｅｃ＿ＳＡへ送出する。

ｓｅｃＧＷ３のＩＰｓｅｃ部３１は、基地局２からのカプセル化パケット中のセレクタと、ＳＰＤ３２とを用いて、パケットに対する処理、例えば、パケットの復号を行い、デカプセル化されたパケットを宛先（ＭＭＥ４、或いはＳ−ＧＷ５）へ転送する。上記は上り方向の説明であるが、下り方向でも同様の処理が行われる。なお、図１の例では、上りと下りとで共通のＩＰｓｅｃトンネルがあるように図示されているが、実際は、上りと下りとで異なるＩＰｓｅｃトンネルが確立される。

ＳＰＤ２３、ＳＰＤ３２のそれぞれは、記憶装置（例えばメモリ２０４）に記憶される。記憶装置は、「交渉用情報を記憶した記憶部」の一例である。なお、ＩＰｓｅｃに係る監視方法が適用される一例として、図１に示した移動通信システムを挙げた。但し、実施形態に係る監視方法及び復旧方法は、２点間でＩＰｓｅｃを用いた通信が行われる区間を有する通信装置間に広く適用可能である。すなわち、移動通信システム以外のネットワークに広く適用可能である。

＜無線基地局の装置構成の例＞
図２は、基地局２として適用可能な無線基地局２０の構成例を示す。無線基地局２０（以下「基地局２０」）は、伝送路インタフェース部２０１と、制御部２０２と、ベースバ
ンド（ＢＢ）部と、無線（ＲＦ：Radio Frequency）部２０６と、アンテナ２０７とを含
んでいる。制御部２０２は、プロセッサ２０３と、メモリ２０４とを含んでいる。

伝送路インタフェース部２０１は、ＬＡＮやＷＡＮのような伝送路の回線を収容するとともに、伝送路を介してｓｅｃＧＷ３と接続される。伝送路インタフェース部２０１は、伝送路に対するパケットの送受信処理を司る。伝送路インタフェース部２０１として、ＬＡＮカード、或いはネットワークインタフェースカード（ＮＩＣ）と呼ばれる通信デバイスや回路チップセットを適用できる。

ベースバンド部２０５（ＢＢ部２０５）は、データとベースバンド信号との変換処理を行う。ベースバンド信号から変換されたデータは、制御部２０２に供給される。データの変換によって得られたベースバンド信号は、無線部２０６へ送られる。

無線部２０６は、無線信号とベースバンド信号との間の変換処理や、無線信号の増幅処理などを行う。無線部２０６は、ＢＢ部２０５からのベースバンド信号を無線信号に変換し、増幅する。増幅された無線信号は、アンテナ２０７から放射され、端末１で受信される。また、無線部２０６は、アンテナ２０７で受信された端末１からの無線信号を、低雑音増幅し、ベースバンド信号に変換して、ＢＢ部２０５へ送る。

制御部２０２は、上述したように、プロセッサ２０３と、プロセッサ２０３と接続されたメモリ２０４とを含む。メモリ２０４は、主記憶装置と、補助記憶装置とを含むことができる。

主記憶装置は、例えば、プログラムの展開領域,データの記憶領域（バッファ領域）,プロセッサの作業領域として使用される。主記憶装置は、例えばRandom Access Memory（ＲＡＭ）、或いはＲＡＭとRead Only Memory（ＲＯＭ）との組み合わせである。ＲＯＭは、プログラム（ファームウェア）及びプログラムの実行時に使用されるデータを記憶する。

補助記憶装置は、プログラム及びデータの記憶領域として使用される。補助記憶装置は、例えば、ハードディスクドライブ（ＨＤＤ）,Solid State Drive（ＳＳＤ）,フラッシ
ュメモリ,Electrically Erasable Programmable Read-Only Memory（ＥＥＰＲＯＭ）などの、不揮発性記憶媒体である。

プロセッサ２０３は、例えば、少なくとも１つのCentral Processing Unit（ＣＰＵ）
である。但し、プロセッサ２０３は、複数のＣＰＵ、或いは、複数のコアを備えるＣＰＵで形成されても良い。また、プロセッサ２０３は、複数種類のプロセッサの組み合わせで形成されても良い。組み合わせは、例えば、ＣＰＵとDigital Signal Processor（ＤＳＰ）との組み合わせである。

プロセッサ２０３は、補助記憶装置やＲＯＭに記憶されたプログラムを主記憶装置（ＲＡＭ）にロードして実行する。これによって、プロセッサ２０３は、基地局２０としての様々な機能を発揮することができる。例えば、プロセッサ２０３は、プログラムの実行によって、上述した上位レイヤのプロトコル終端部２１と、ＩＰｓｅｃ部２２とを発揮する。なお、プロセッサ２０３によって発揮される機能は、システムＬＳＩや、ハードウェアによって発揮されるようにしても良い。

システムＬＳＩは、プロセッサとの周辺回路とが１つのチップ上に実装されたデバイスである。ハードウェアは、例えば、電気回路、電子回路、半導体デバイス、これらの組み合わせで形成される。半導体デバイスは、Field Programmable Gate Array（ＦＰＧＡ）
のようなプログラマブルロジックデバイス（ＰＬＤ）や、集積回路（ＩＣ,ＬＳＩ,Applic
ation Specific Integrated Circuit（ＡＳＩＣ）など）を含む。

制御部２０２，プロセッサ２０３のそれぞれは、「監視部」，「復旧部」，「交渉部」の一例である。メモリ２０４は、「記憶部」の一例である。例えば、メモリ２０４を形成する補助記憶装置は、後述する「復旧状態」を記憶する不揮発性記憶媒体として使用される。

＜ｓｅｃＧＷの装置構成の例＞
図３は、ｓｅｃＧＷとして動作可能な情報処理装置（コンピュータ）３０の構成例を示す図である。図３において、情報処理装置３０は、第１伝送路インタフェース部３０１と、第２伝送路インタフェース部３０２と、制御部３０３とを含む。第１伝送路インタフェース部３０１は、基地局２と接続された伝送路を収容する。第２伝送路インタフェース部３０２は、コア網８のＭＭＥ４及びＳ−ＧＷ５のそれぞれと接続された伝送路を収容する。第１伝送路インタフェース部３０１,第２伝送路インタフェース部３０２として、上述
したＬＡＮカードやＮＩＣを適用することができる。

制御部３０３は、制御部２０２と同様に、プロセッサ２０３と、プロセッサ２０３に接続されたメモリ２０４を含む。情報処理装置３０が備えるプロセッサ２０３及びメモリ２０４として、上述した基地局２０が備えるプロセッサ２０３及びメモリ２０４と同様のものを適用することができる。

制御部３０３，プロセッサ２０３のそれぞれは、「監視部」，「復旧部」，「交渉部」の一例である。メモリ２０４は、「記憶部」の一例である。例えば、メモリ２０４を形成する補助記憶装置は、「復旧状態」を記憶する不揮発性記憶媒体として使用され得る。

＜制御部の構成例＞
図４は、図２に示した制御部２０２、及び図３に示した制御部３０３の構成例を模式的に示す。プロセッサ２０３は、プログラムを実行することによって、制御部２０２，３０３として動作する。すなわち、プロセッサ２０３は、セレクタ（ＳＷ）４１,暗号化／復
号部４２,監視管理部４３，鍵交換部４４，監視条件交渉部４５,及び復旧管理部４６として動作することができる。

但し、基地局２０のプロセッサ２０３は、さらに、上位レイヤ処理部４７としても動作する。メモリ２０４には、ＳＰＤ情報２０４ａと、ＳＡ情報２０４ｂと、監視情報２０４ｃとが記憶される。なお、セレクタ（ＳＷ）４１として、プロセッサ２０３とは別のハードウェアが用意されても良い。

基地局２０に備えられた制御部２０２では、上位レイヤ処理部４７（プロセッサ２０３）は、ＢＢ部２０５と接続される。また、基地局２０に備えられたセレクタ４１（プロセッサ２０３）は、伝送路インタフェース部２０１と接続される（図２参照）。これに対し、情報処理装置３０に備えられた制御部３０３では、セレクタ４１（プロセッサ２０３）が第１伝送路インタフェース部３０１及び第２伝送路インタフェース部３０２に接続される（図３参照）。

なお、監視管理部４３は、「監視部」の一例である。監視条件交渉部４５は、「交渉部」の一例である。復旧管理部４６は、「復旧部」の一例である。

セレクタ４１は、伝送路インタフェース部２０１,第１伝送路インタフェース部３０１,第２伝送路インタフェース部３０２のそれぞれから入力されるパケット（信号）のプロトコル種別を判定し、対応する処理に振り分ける。例えば、セレクタ４１は、プロトコル種
別がＥＳＰであるかＩＫＥであるかを判定する。プロトコル種別がＥＳＰである場合には、パケットは暗号化／復号部４２に渡される。一方、プロトコル種別がＩＫＥである場合には、パケットは、鍵交換部４４に渡される。なお、セレクタ４１は、パケットの宛先に応じて、伝送路インタフェース部２０１,第１伝送路インタフェース部３０１,第２伝送路インタフェース部３０２の何れかへパケットを出力する。

暗号化／復号部４２は、パケットの暗号化及び復号を行う。具体的には、暗号化／復号部４２は、パケット分析を行い、パケットに対応するＳＰＤ及びＩＰｓｅｃ＿ＳＡを検索する。検索に際しては、メモリ２０４のＳＰＤ情報２０４ａ,ＳＡ情報２０４ｂが参照さ
れる。また、暗号化／復号部４２は、ＥＳＰパケットの復号、及び、ＥＳＰに基づく平文パケットの暗号化を行う。また、暗号化／復号部４２は、監視開始対象パケット,監視対
象パケットの受信時に、監視管理部４３を動作させる。

鍵交換部４４は、暗号化鍵の交換を行う。具体的には、鍵交換部４４は、鍵交換プロトコル（ＩＫＥ）の終端処理を行い、ｓｅｃＧＷ３との間で鍵交換（ＩＫＥ＿ＳＡの確立、及びＩＰｓｅｃ＿ＳＡの交渉）を行う。ＩＰｓｅｃ＿ＳＡ確立用のＩＫＥパケットには、監視条件の交渉用情報（「監視対象パケットの交渉用情報」の一例）と、復旧方法の交渉用情報とが含まれる。

監視条件交渉部４５，復旧管理部４６は、ＩＰｓｅｃ＿ＳＡの確立用のＩＫＥパケット（交渉パケット）の受信を契機に動作を開始することができる。監視条件交渉部４５は、監視条件を管理する。監視条件交渉部４５は、ＳＰＤに追加された監視条件、復旧方法の候補を元に、ＩＫＥパケットに付与する交渉パラメータ（提案）を設定する。監視条件交渉部４５は、交渉結果を元に、対向装置から応答があった監視条件と復旧方法とを監視情報２０３ｃに反映する。

監視管理部４３は、ＩＰｓｅｃ＿ＳＡの監視を管理する。すなわち、監視管理部４３は、監視開始パケットの受信時に監視タイマを起動する。また、監視管理部４３は、監視対象パケットの受信時に、監視タイマを再起動する。また、監視管理部４３は、監視タイマのタイムアウト時に、復旧管理部４６を動作させる。さらに、監視管理部４３は、監視状態の更新を行う。

復旧管理部４６は、異常が検出されたＩＰｓｅｃ＿ＳＡの復旧処理を行う。復旧管理部４６は、復旧状態（エスカレーション度）に応じた復旧処理を行う。復旧管理部４６は、対向装置を制御する場合にはＩＫＥパケットパラメータの設定を行い、鍵交換部４４を起動し、ＩＫＥパケットの疎通（送受信）を行う。復旧管理部４６は、対向装置から復旧用のＩＫＥパケット（復旧方法の指示）を受信した場合には、当該指示に従った復旧方法で復旧処理を行う。さらに、復旧管理部４６は、復旧状態の更新を行い、実施する復旧方法を切り替える。

上位レイヤ処理部４７は、無線通信の為の信号変換を行う。上位レイヤ処理部４７は、ＩＰｓｅｃの上位レイヤにあるプロトコルを終端する。上位レイヤのプロトコルは、例えば、Internet Control Message Protocol（ＩＣＭＰ），Stream Control Transmission Protocol（ＳＣＴＰ），或いは、GPRS Tunneling Protocol for User Plane（ＧＴＰ−Ｕ
）である。但し、上位レイヤのプロトコルはこれらに制限されない。上位レイヤ処理部４７が備えられる装置毎に、当該装置が終端する上位レイヤのプロトコルは異なる場合がある。

＜データ構造＞
＜＜ＳＰＤ＞＞
図５，図６，図７は、メモリ２０４に記憶されるＳＰＤ２０４ａのデータ構造例を示す。ＳＰＤ２０４ａには、固定のパラメータ（情報）が登録される。ＳＰＤ２０４ａは、従来のＩＰｓｅｃ＿ＳＡの確立に使用される情報要素に加え、監視条件及び復旧方法の情報要素が登録されている。監視条件及び復旧方法の各情報要素は、監視条件及び復旧方法のそれぞれについての複数の提案（「プロポーザル」と呼ばれる：「候補」の一例）を含む。複数の提案（候補）の中から、交渉先（レスポンダ）が対応可能な提案（監視条件、復旧方法）が採用（選択）される。

交渉パケットに含まれる監視条件には、複数の監視開始パケット及び監視対象パケットの候補を含めることができる。複数の監視開始及び監視対象パケットについて合意された場合には、複数の監視開始及び監視対象パケットを用いた監視が並列に実行される。一方、異常が検出された場合に、合意された複数の復旧方法の一つが優先順位に従って行われる。

図５，図６，図７に示すように、ＳＰＤ２０４ａは、種別（ＳＰＤ番号：ＳＰＤ＃１〜＃ｘ（ｘは１以上の整数））に対応する、ポリシー情報，１以上の監視条件１〜ｎ（ｎは１以上の整数），１以上の復旧方法１〜ｍ（ｍは１以上の整数）が登録される。監視条件１〜ｎは、「複数の監視対象パケットの候補」の一例であり、復旧方法１〜ｍは、「複数の復旧方法の候補」の一例である。

ポリシー情報としては、図５に示すように、セレクタと、暗号の有無と、暗号アルゴリズムと、セキュリティＧＷ（ｓｅｃＧＷ）の情報などが登録される。

監視条件としては、図５，図６に示したように、監視条件番号毎に、監視開始パケット，監視対象パケット，監視停止パケット，復旧方法を特定する情報が登録される。監視開始パケットを特定する情報項目は、例えば、ＩＰアドレス範囲，プロトコル，ポート，タイプ及びコード情報（ＵＤＰ／ＴＣＰ／ＩＣＭＰなど）、詳細タイプ（ＧＴＰタイプ）の情報，詳細情報（相対アドレス，コードなど）を含む。さらに、監視開始パケットを特定する情報に関連づけて監視タイマ値が登録されている。監視タイマ値は、監視開始パケットの受信時に計時される所定時間を定義する。

監視対象パケット及び監視停止パケットのそれぞれを特定する情報項目は、監視開始パケットと同様に、ＩＰアドレス範囲，プロトコル，ポート，タイプ及びコード情報、詳細タイプの情報，並びに詳細情報を含む。監視停止パケットは、その受信を契機に監視を停止するパケットである。このように、情報項目が共通化される（共通の情報項目を使う）ことで、管理対象の情報量の減少、情報を扱うアルゴリズムの共通化を図ることができ、構成の簡易化、処理負荷上昇の抑制を図ることができる。復旧方法としては、監視対象パケットに基づく異常の検出時に採り得る復旧方法を特定する情報が登録される。

図７に示すように、復旧方法としては、復旧方法番号に対応づけて、複数の復旧方法の候補が優先順位の順序で登録される。例えば、１回目の復旧方法の一例として、以下が登録されている。
・ＩＰｓｅｃのリキー，
・ＩＰｓｅｃの再接続，
・ＩＰｓｅｃ機能リセット（監視側），
・ＩＰｓｅｃ機能リセット（非監視側），
・装置リセット（監視側），
・装置リセット（非監視側），
・装置切り替え（監視側），
・装置切り替え（非監視側），
・保守者通知

＜＜ＳＡ＞＞
図４に示したＳＡ２０４ｂとしては、ＩＰｓｅｃ＿ＳＡの確立のネゴシエーションにて合意したＩＰｓｅｃに係る情報（パラメータ含む）が登録される。ＳＡ２０４ｂに登録されるＩＰｓｅｃ＿ＳＡの情報は、基地局２とｓｅｃＧＷ３とで共有される。
＜＜監視情報＞＞
図８，図９，図１０，図１１は、監視情報２０４ｃのデータ構造例を示す。監視情報２０４ｃには、ＳＰＤ２０４ａに登録されたＩＰｓｅｃ＿ＳＡの確立，監視条件，及び復旧方法に係る情報のうち、これらの交渉においてＩＰｓｅｃ＿ＳＡの終端装置間（ピア間）で合意された（共有）した情報が登録される。

但し、図１０に示すように、復旧状態を示す情報として、「通常」→「復旧１」→「復旧２」→・・・「復旧ｍ」を示す情報が格納される。この復旧状態を示す状態に応じた復旧方法が選択され、実施される。なお、復旧状態を示す情報は、復旧状態の更新指示を受けて更新される。

＜プロトコルスタック＞
図１２は、実施形態に係るプロトコルスタックの説明図である。図１２の例では、基地局（ｅＮＢ）と対向ノードとの間で、上位レイヤがＧＴＰであるパケットの送受信が行われる。ＧＴＰパケットのプロトコルスタックは、ＧＴＰ（Ｌ５），ＵＤＰ／ＩＣＭＰ（Ｌ４），ＩＰ（Ｌ３）である。

このようなＧＴＰパケットが、ｓｅｃＧＷ３と基地局２との間のＩＰｓｅｃ＿ＳＡ（ＥＳＰ）で暗号化される。ＩＰｓｅｃ＿ＳＡの下位には、ＩＫＥ＿ＳＡが位置する。ＩＫＥ＿ＳＡでは、ＩＰｓｅｃ＿ＳＡの交渉，ＤＰＤ，ＳＡ削除要求，復旧方法指示／復旧状態更新指示，監視条件／復旧方法が、ＩＫＥパケットを用いて送受信される。ＩＫＥパケットは、ＩＫＥ＿ＳＡを用いて暗号化される。

ＩＫＥ＿ＳＡの下位には、ＩＫＥ（Ｌ５），ＵＤＰ（Ｌ４），ＩＰ（Ｌ３），イーサネット（登録商標）（Ｌ２）が位置する。これらは非暗号化領域である。
＜動作例＞
図１３，図１４，図１５，図１６，図１７は、実施形態の動作例を示すシーケンス図である。図１３〜図１７に示す動作例を用いて、実施形態に係る異常検出方法、復旧方法について説明する。
＜＜（１）監視条件・復旧方法の交渉＞＞
図１３は、監視条件・復旧方法の交渉に係る動作例を示す。基地局（ｅＮＢ）２は、プロトコル終端部２１と、ＩＰｓｅｃ部２２とを含む。プロトコル終端部２１及びＩＰｓｅｃ部２２は、例えば、プログラムを実行することによって得られるプロセッサ２０３の機能である。

基地局２のＩＰｓｅｃ部２２は、ｓｅｃＧＷ３に対し、ＩＫＥ＿ＳＡの交渉に係るメッセージ（ＵＤＰ／ＩＫＥ ＩＮＩＴメッセージ）を送信する。ｓｅｃＧＷ３は、ＵＤＰ／ＩＫＥ ＩＮＩＴメッセージを、基地局２に返す（図１３＜１＞参照）。これによって、ＩＫＥ＿ＳＡが確立される。

ＩＫＥ＿ＳＡが確立されると、ＩＰｓｅｃ部２２は、ＩＰｓｅｃ＿ＳＡの交渉用のメッセージを含むパケット（交渉パケット）を、ｓｅｃＧＷ３へ送る（図１３＜２＞）。ＩＰｓｅｃ＿ＳＡの交渉用のメッセージとして、例えば、ＩＰｓｅｃにおけるＵＤＰ／ＩＫＥ＿ＡＵＴＨメッセージ、又はＣＲＥＡＴＥ＿ＣＨＩＬＤ＿ＳＡメッセージが使用される。

なお、動作例におけるＩＫＥは、ＩＫＥｖ２（ＩＫＥバージョン２）が適用されている。ＩＫＥｖ２では、ＩＰｓｅｃ＿ＳＡは、ＣＨＩＬＤ＿ＳＡと呼ばれる。もっとも、ＩＫＥｖ２の代わりにＩＫＥｖ１が適用されても良い。ＩＫＥｖ１では、ＩＫＥ＿ＳＡは、ＩＳＡＫＭＰ（Internet Security Association and Key Management Protocol）＿ＳＡと
呼ばれる。

交渉パケットには、ＩＰｓｅｃ＿ＳＡの交渉に係る提案パラメータ（プロポーザル）だけでなく、監視条件及び復旧方法の提案パラメータが含まれる。例えば、提案パラメータは次の通りである。
監視条件
・提案１：監視条件１
・提案２：監視条件２
復旧方法
・提案１：ＩＰｓｅｃ再確立（監視側）
・提案２：ＩＰｓｅｃ部リセット（監視側）
・提案３：ＩＰｓｅｃ部リセット（非監視側）
・提案４：装置リセット（監視側）
・提案５：装置リセット（非監視側）

ｓｅｃＧＷ３は、交渉パケットを受信すると、ＩＰｓｅｃ＿ＳＡの交渉に係る提案パラメータを用いて、ＩＰｓｅｃ確立処理を実行する。また、ｓｅｃＧＷ３は、監視条件及び復旧方法の提案パラメータのうち、ｓｅｃＧＷ３がサポート可能な提案を抽出し、監視情報２０３ｃに登録する。ｓｅｃＧＷ３は、監視情報２０３ｃに登録した提案を含む応答メッセージを基地局２へ送信する（図１３＜３＞）。

例えば、被監視対象のｓｅｃＧＷ３は、装置リセットをサポートしていない。このため、ｓｅｃＧＷ３の監視情報２０４ｃに登録された監視条件及び復旧方法は以下の通りとなる。
監視条件
・提案１：監視条件１
・提案２：監視条件２
復旧方法
・提案１：ＩＰｓｅｃ再確立（監視側）
・提案２：ＩＰｓｅｃ部リセット（監視側）
・提案３：ＩＰｓｅｃ部リセット（非監視側）
・提案４：装置リセット（監視側）

基地局２のＩＰｓｅｃ部２２は、応答メッセージ受信によってＩＰｓｅｃ＿ＳＡの確立を完了するとともに、応答結果を元に、対向装置（ｓｅｃＧＷ３）で実行可能な監視条件及び復旧方法の提案を、監視情報２０４ｃに記憶する。これによって、ＩＰｓｅｃ＿ＳＡ，監視条件及び復旧方法が、基地局２とｓｅｃＧＷ３との間で共有される。

なお、応答メッセージ中の対向装置の応答結果において、対向装置（レスポンダ）が全ての提案をＮＧとする応答がなされていても、監視側（イニシエータ）で実施可能な監視条件及び復旧方法は、監視情報２０４ｃに記憶され、監視及び復旧方法が行われる。

＜＜（２）監視開始〜正常監視＞＞
図１４は、監視開始から正常監視の動作例を示すシーケンス図である。図１４において、基地局２のプロトコル終端部２１は、交渉にて決定した監視開始パケットを受信すると
、監視状態を「監視」に遷移させる（図１４＜１＞）。監視開始パケットは、例えば、ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｑｕｅｓｔである。さらに、プロトコル終端部２１は、監視開始パケットの受信を契機に監視タイマの計時をスタートさせる（図１４＜２＞）。

ＩＰｓｅｃ部２２は、監視開始パケットに対するＩＰｓｅｃの暗号化を行うことで生成した暗号化パケット（ＥＳＰ／ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｑｕｅｓｔ）をｓｅｃＧＷ３へ送る（図１４＜３＞）。

ｓｅｃＧＷ３は、暗号化パケットの復号を行い、得られた元の監視対象パケット（ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｑｕｅｓｔ）をコア網８へ送る（図１４＜４＞）。コア網８（ＭＭＥ４及びＳ−ＧＷ５の一方、例えばＭＭＥ４）は、監視開始パケットの応答パケット（ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｐｌｙ）を送信する（図１４＜５＞）。応答パケットは、ｓｅｃＧＷ３で暗号化され、暗号化応答パケット（ＥＳＰ／ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｐｌｙ）が、基地局２へ送信される（図１４＜６＞）。

基地局２のＩＰｓｅｃ部２２は、受信された暗号化応答パケットが監視対象パケットであるので、監視対象パケットの受信を契機に監視タイマのリスタートさせる（図１４＜７＞）。暗号化応答パケットは復号され、元の応答パケット（ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｐｌｙ）がプロトコル終端部２１へ送られる。

基地局２のＩＰｓｅｃ部２２から監視開始パケット（ＥＳＰ／ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｑｕｅｓｔ）がｓｅｃＧＷ３へ送られ（図１４＜８＞）。監視開始パケットの応答パケットである監視対象パケット（ＥＳＰ／ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｐｌｙ）がｓｅｃＧＷ３から受信される（図１４＜９＞）。基地局２のＩＰｓｅｃ部２２は、監視対象パケットの受信を契機に監視タイマのリスタートさせる（図１４＜１０＞）。このように、基地局２のＩＰｓｅｃ部２２は、監視開始パケット（ｅｃｈｏ ｒｅｑｕｅｓｔ）の受信を契機に監視タイマの計時を開始し、監視対象パケット（ｅｃｈｏ ｒｅｐｌｙ）が受信される毎に監視タイマをリスタートする。これによって、監視対象パケットが監視される。

＜＜（３）１回目の異常検出時の復旧動作＞＞
図１５は、図１４＜１０＞の動作の続きを示す。監視タイマがリスタートされた後に、ｓｅｃＧＷ３へ監視開始パケット（ＥＳＰ／ＧＴＰ／ＧＴＰ ｅｃｈｏ Ｒｅｑｕｅｓｔ）がｓｅｃＧＷ３へ送られたが、ＩＰｓｅｃ＿ＳＡに何らかの異常が生じたと仮定する。そして、監視開始パケットの復号が正常に行われず、監視開始パケットが破棄されたと仮定する。この場合、コア網８のＭＭＥ４は、監視対象パケット（ｒｅｐｌｙパケット）を送信できない。よって、監視タイマがタイムアウトになる。

すると、基地局２のＩＰｓｅｃ部２２は、ＩＰｓｅｃ＿ＳＡの切断と判定する。監視情報２０４ｃの復旧状態「通常」を「復旧１」に遷移させて、復旧１に対応する復旧方法「ＩＰｓｅｃ再確立（監視側）」を行う。すなわち、ＩＰｓｅｃ部２２は、ｓｅｃＧＷ３に対し、ＩＰｓｅｃ＿ＳＡの切断要求メッセージ（ＵＤＰ／ＩＫＥ ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＤＥＬＥＴＥ））を送信する（図１５＜１１＞）。

ｓｅｃＧＷ３は、切断要求メッセージを受けて、監視条件１の復旧状態を復旧１に遷移させる。また、ｓｅｃＧＷ３は、切断要求メッセージの応答メッセージを返す（図１５＜１２＞）。その後、基地局２とｓｅｃＧＷ３とは、ＩＰｓｅｃ＿ＳＡの再確立の手順（メッセージ交換）を行い、ＩＰｓｅｃ＿ＳＡを再確立する（図１５＜１３＞）。

＜＜（４）２回目の異常検出時の復旧動作＞＞
図１６は、図１５＜３＞以降の動作を示している。監視開始パケット（ｅｃｈｏ Ｒｅｑｕｅｓｔ）が受信された場合には、基地局２のＩＰｓｅｃ部２２は、監視タイマの計時を開始する（図１６＜１４＞）。

監視タイマの満了前に、監視対象パケット（ｅｃｈｏ ｒｅｐｌｙ）が受信されない場合には、ＩＰｓｅｃ部２２は、復旧状態を現在の「復旧１」から次の「復旧２」へ遷移させる（図１６＜１５＞）。また、ＩＰｓｅｃ部２２は、「復旧２」に対応する復旧方法の指示を含むメッセージ（ＵＤＰ／ＩＫＥ ＩＮＦＯＲＭＡＴＩＯＮＡＬ（ＩＰｓｅｃ機能リセット））をｓｅｃＧＷ３へ送信する（図１５＜１６＞）。

ｓｅｃＧＷ３は、復旧方法の指示のメッセージに従って、復旧状態を「復旧２」に遷移させるとともに、復旧２に対応する復旧方法であるＩＰｓｅｃ機能リセットを実施する（図１６＜１７＞）。

ｓｅｃＧＷ３は、復旧方法の指示のメッセージに対する応答メッセージを基地局２に送信する（図１６＜１８＞）。基地局２のＩＰｓｅｃ部２２は、ＩＰｓｅｃ機能のリセットを行う（図１６＜１９＞）。但し、復旧状態のリセットは行われない。

＜＜（５）復旧成功時の動作＞＞
図１７は、図１６＜１９＞以降の動作を示している。図１７において、ＩＰｓｅｃ機能のリセットを契機に、基地局２とｓｅｃＧＷ３との間で、ＩＫＥ＿ＳＡ及びＩＰｓｅｃ＿ＳＡの再確立に係る交渉が行われ、ＩＫＥ＿ＳＡ及びＩＰｓｅｃ＿ＳＡが確立される（図１７＜２０＞）。このとき、これまでに説明したように、監視条件及び復旧方法の交渉及び合意も行われる。

その後は、基地局２において、監視開始パケットの受信を契機に、監視タイマの計時が開始される（図１７＜２１＞）。また、基地局２において監視対象パケットが受信されると、ＩＰｓｅｃ部２２は、復旧状態を「復旧２」から「通常」へ更新する（図１７＜２２＞）。ＩＰｓｅｃ部２２は、復旧状態の更新指示のメッセージをｓｅｃＧＷ３へ送信する（図１７＜２３＞）。ｓｅｃＧＷ３は、復旧状態の更新指示のメッセージに従って、復旧状態を「復旧２」から「通常」に更新する（図１７＜２４＞）。

＜処理例＞
次に、基地局２及びｓｅｃＧＷ３の処理例を、フローチャートを用いて説明する。以下に説明する図１８〜図２３の各フローチャートの処理は、例えば、プロセッサ２０３がプログラムを実行することによって行われる。

＜＜交渉処理（監視側）＞＞
図１８は、交渉処理（監視側）の例を示すフローチャートである。図１８の処理は、例えば、ＩＰｓｅｃにおけるイニシエータとしての処理を行う制御部２０２（３０３）として動作するプロセッサ２０３によって行われる。但し、レスポンダが監視側となる場合もあり得る。図１８の処理は、例えば、電源投入によって開始される。

０１の処理では、プロセッサ２０３は、復旧状態を「通常」に設定する。ＩＰｓｅｃ機能のリセット時に復旧状態が初期化されないように、電源投入時に初期化が行われる。

０２の処理では、プロセッサ２０３は、ＩＰｓｅｃ＿ＳＡ交渉用のＩＫＥパケット（交渉パケット）を生成する。交渉パケットは、ＩＰｓｅｃ＿ＳＡの確立に係る提案（プロポーザル）を含む。

０３の処理では、プロセッサ２０３は、メモリ２０４に記憶されたＳＰＤ２０４ａ中の監視条件と復旧方法の提案（プロポーザル）を交渉パケットに含める。０４の処理では、プロセッサ２０３は、交渉パケットを対向装置（レスポンダ）へ送信する。交渉パケットの送信後、プロセッサ２０３は、所定時間（待ちタイマの待ち時間）、応答パケットの応答待ち状態になる。応答パケットは、交渉パケットの応答用のＩＫＥパケットである。

０５の処理では、プロセッサ２０３は、所定時間経過前（待ちタイマの満了前）に応答パケットが受信されたか否かを判定する。応答が受信された場合には（０５のＹｅｓ）、処理が０６の処理に進む。これに対し、応答が受信されない場合には（０５のＮｏ）、処理が０２に戻る。なお、応答が受信されない場合は、交渉失敗の扱いとなり、応答が受信された場合が、交渉成功の扱いとなる。

０６の処理では、プロセッサ２０３は、応答に含まれる応答結果、すなわち、対向装置が合意した（提案から対向装置が選択した）、ＩＰｓｅｃ＿ＳＡ，監視条件，及び復旧方法に係る情報をメモリ２０４の監視情報２０４ｃに反映（登録）する。

０７の処理では、プロセッサ２０３は、復旧方法が「被監視側」か否かを判定する。すなわち、プロセッサ２０３は、プロセッサ２０３が備えられた装置が属する側が復旧方法において「被監視側」か否かを判定する。例えば、ＩＰｓｅｃのイニシエータが監視側となり、レスポンダが被監視側となるように予め設定される。この場合、０７の判定は、自装置がイニシエータかレスポンダのいずれであるかを以て行うことができる。復旧方法が被監視側である場合には（０７のＹｅｓ）、処理が０９に進む。復旧方法が被監視側でない場合には（０７のＮｏ）、処理が０８に進む。

０８の処理では、プロセッサ２０３は、監視情報２０４ｃ中の復旧方法に、ＳＰＤ２０４ａ上の復旧方法を設定する。０８の処理は、プロセッサ２０３が備えられた装置が監視側である場合の扱いである。

０９の処理では、プロセッサ２０３は、応答の復旧方法が被監視側で未サポートか否かを判定する。復旧方法がサポートされていない場合には（０９のＮｏ）、処理が０８に進む。復旧方法がサポートされている場合には（０９のＹｅｓ）、処理が１１に進む。０９の処理は、プロセッサ２０３が備えられた装置が被監視側である場合の扱いである。

なお、図１８に図示する破線１０は、０７，０８，及び０９の各処理が、ＳＰＤ２０４ａに登録された復旧方法の要素数と同じ回数繰り返されることを示す。全ての復旧方法の要素に係る０７〜０９の処理が終了すると、処理が１１に進む。

１１の処理では、プロセッサ２０３は、ＩＰｓｅｃ＿ＳＡが切断されたか否か（異常が発生したか否か）を判定する。ＩＰｓｅｃが切断された場合には（１１のＹｅｓ）、処理が０２に戻り、ＩＰｓｅｃ＿ＳＡの再確立に係る交渉が行われる。

＜＜交渉処理（被監視側）＞＞
図１９は、交渉処理（被監視側）の例を示すフローチャートである。図１９の処理は、例えば、ＩＰｓｅｃにおけるレスポンダとしての処理を行う制御部２０２（３０３）として動作するプロセッサ２０３によって行われる。但し、イニシエータが被監視側となる場合もあり得る。図１９の処理は、例えば、電源投入によって開始される。

１０１の処理では、プロセッサ２０３は、復旧状態を「通常」に設定する。１０２の処理では、プロセッサ２０３は、対向装置（イニシエータ）から、ＩＰｓｅｃ＿ＳＡの交渉用のＩＫＥパケット（交渉パケット）が受信されたか否かを判定する。交渉パケットが受
信された場合には（１０２のＹｅｓ）、処理が１０３に進む。

１０３の処理では、プロセッサ２０３は、交渉パケットの応答用のＩＫＥパケット（応答パケット）を生成する。１０４の処理では、プロセッサ２０３は、交渉パケット中の監視条件及び復旧方法のうち、レスポンダで対応不可能な（ＮＧの）監視条件及び復旧方法を除外した結果を、応答パラメータとして応答パケットに含める。このようにして、監視側からの提案のうち、被監視側が合意可能な監視条件及び復旧方法が選択される。

１０５の処理では、プロセッサ２０３は、メモリ２０４の監視情報２０４ｃに応答結果（応答パラメータ）を反映（登録）する。１０６の処理では、プロセッサ２０３は、対向装置に応答パケットを送信する。

１０７の処理では、プロセッサ２０３は、ＩＰｓｅｃ＿ＳＡの監視により、ＩＰｓｅｃ＿ＳＡが切断されたか否か（異常があるか否か）を判定する。ＩＰｓｅｃ＿ＳＡが切断された場合には（１０７のＹｅｓ）、処理が１０２に戻り、ＩＰｓｅｃ＿ＳＡの再確立に係る交渉が行われる。

＜＜監視処理（監視側／被監視側）＞＞
図２０及び図２１は、監視処理の例を示すフローチャートである。監視処理の内容は、監視側と被監視側とで同内容にすることができる。但し、両者が異なっていても良い。図２０及び図２１の処理は、例えば、制御部２０２（３０３）として動作するプロセッサ２０３によって行われる。図２０及び図２１の処理は、例えば、ＩＰｓｅｃ＿ＳＡの確立を契機に開始される。

２０１の処理では、プロセッサ２０３は、受信されたパケットに対する暗号／復号処理を行う。ＩＰｓｅｃ＿ＳＡの終端処理のうち、ＩＰｓｅｃの暗号化パケットを送信する装置は、パケット暗号／復号処理として、ＥＳＰを用いたパケットの暗号化及びカプセル化処理を行う。一方、ＩＰｓｅｃの暗号化パケットを受信する装置は、パケット暗号／復号処理として、暗号化パケットのデカプセル及び復号を行う。

図２２は、パケット暗号／復号処理（サブルーチン）の例を示すフローチャートである。３０１の処理において、プロセッサ２０３は、受信されたパケットが暗号化パケット（ＥＳＰに基づき暗号化及びカプセル化されたパケット：ＥＳＰパケット）か否かを判定する。暗号化パケットであれば（３０１のＹｅｓ）、処理が３０２に進み、そうでなければ（３０１のＮｏ）、処理が３０８に進む。

３０２の処理では、プロセッサ２０３は、暗号化パケットの分析を行い、暗号化パケットのＩＰアドレス（送信元及び宛先の少なくとも一方）と、ＳＰＩ（Security Parameter
Index）とを得る。ＳＰＩは、自身の所属するＳＡを示す３２ビットのＩＤ情報である。

３０３の処理では、プロセッサ２０３は、３０２で得たＩＰアドレス及びＳＰＩを用いて、メモリ２０４のＳＡ２０４ｂから暗号化パケットに係るＩＰｓｅｃ＿ＳＡを検索する。３０４の処理では、プロセッサ２０３は、暗号化パケットのＥＳＰシーケンス番号をチェックする。

３０５の処理では、プロセッサ２０３は、暗号化パケットの復号処理（デカプセル及び復号）を行う。３０６の処理では、プロセッサ２０３は、デカプセルされたパケットの分析を行う。分析によって、パケットのＩＰアドレス，プロトコル，ポート番号，タイプ，コードなどの、パケットに含まれたパラメータを得る。３０７では、プロセッサ２０３は、３０６の処理で得たパラメータを用いてＳＰＤ２０４ａを検索する。

３０８の処理では、プロセッサ２０３は、パケットの分析を行う。分析によって、パケットのＩＰアドレス，プロトコル，ポート番号，タイプ，コードなどの、パケットに含まれたパラメータを得る。３０９の処理では、３０８で得たパラメータを用いてＳＰＤ２０４ａを得る。

３１０の処理では、プロセッサ２０３は、ＩＰｓｅｃ＿ＳＡを検索する。３１１では、プロセッサ２０３は、ＥＳＰシーケンス番号を更新する。３１２では、プロセッサ２０３は、ＥＳＰに基づきパケットを暗号化及びカプセル化する。

処理は、図１９の２０２にリターン（復帰）し、プロセッサ２０３は、受信されたパケットが監視開始パケットか否かを判定する。当該処理は、パケットから得られたパラメータが、監視情報２０４ｃに含まれた監視条件を満たすか否かを以て判定される。パケットが監視開始パケットであれば（２０２のＹｅｓ）、処理が２０３に進み、そうでなければ（２０２のＮｏ）、処理が２１０に進む。

２０３の処理では、プロセッサ２０３は、監視タイマを起動する。その後、パケットが受信されると、プロセッサ２０３は、パケット暗号／復号処理（図２２参照）を行う（２０４の処理）。２０５の処理では、プロセッサ２０３は、受信されたパケットが監視対象パケットか否かを判定する。パケットが監視対象パケットであれば（２０５のＹｅｓ）、処理が２０６に進み、そうでなければ（２０５のＮｏ）、処理が２０１に戻る。

２０６の処理では、プロセッサ２０３は、監視情報２０４ｃを参照し、復旧状態が「通常」か否かを判定する。このとき、復旧状態が「通常」であれば（２０６のＹｅｓ）、処理が２０９に進み、そうでなければ（２０６のＮｏ）、処理が２０７に進む。

２０７の処理では、プロセッサ２０３は、復旧状態を「通常」に更新する。２０８の処理では、プロセッサ２０３は、ＩＫＥパケットを用いて、更新された復旧状態を対向装置に通知する（復旧状態の更新指示）。２０９の処理では、プロセッサ２０３は、監視タイマを再起動する。

２１０の処理では、プロセッサ２０３は、受信されたパケットが監視停止パケットか否かを判定する。パケットが監視停止パケットであれば（２１０のＹｅｓ）、処理が２１１に進み、そうでなければ（２１０のＮｏ）、処理が２１２へ進む。２１１の処理では、プロセッサ２０３は、監視タイマを停止させて、処理を２０１に戻す。

２１２の処理では、プロセッサ２０３は、監視タイマがタイムアウト（満了）しているか否かを判定する。監視タイマがタイムアウト（満了）している場合には（２１２のＹｅｓ）、処理が２１３に進む。これに対し、監視タイマがタイムアウト（満了）していない場合には（２１２のＮｏ）、処理が２０４に戻り、次のパケット受信が待機される。なお、監視停止パケットの設定はオプションであり、監視停止パケットが定義されていない場合、２１０及び２１１の処理は省略される。

２１３の処理では、プロセッサ２０３は、復旧状態の更新処理を行う。これまでに説明したように、復旧状態は、「通常」を初期値とし、２１３の処理が行われる場合に、「復旧１」→「復旧２」→…と、一段階ずつ遷移（エスカレーション）する。

２１４の処理では、プロセッサ２０３は、ＩＫＥパケットを用いて、復旧状態の更新指示を対向装置に通知する。２１５の処理では、プロセッサ２０３は、監視情報２０４ｃに含まれた「復旧方法」から、復旧状態に対応する復旧方法を読み出す。

２１６の処理では、プロセッサ２０３は、復旧方法が監視側で行われるか否かを判定する。復旧方法が監視側で行われる場合には（２１６のＹｅｓ）、処理が２１７へ進む。復旧方法が被監視側で行われる場合には（２１６のＮｏ）、処理が２１９へ進む。

２１７の処理では、プロセッサ２０３は、復旧方法が「切替」で、且つ冗長装置が切替不可か否か（復旧方法が実施不可能か）を判定する。復旧方法が「切替」で、且つ冗長装置が切替不可の場合には（２１７のＹｅｓ）、処理が２０１に戻る。これに対し、復旧方法が「切替」で且つ冗長装置が切替不可でない場合には（２１７のＮｏ）、処理が２１８に進む。２１８の処理では、プロセッサ２０３は、復旧方法を実施する。その後、処理が２０１へ戻る。

２１９の処理では、プロセッサ２０３は、復旧方法が「切替」で、且つ冗長装置が切替不可か否か（復旧方法が実施不可能か）を判定する。復旧方法が「切替」で、且つ冗長装置が切替不可の場合には（２１９のＹｅｓ）、処理が２０１に戻る。これに対し、復旧方法が「切替」で且つ冗長装置が切替不可でない場合には（２１９のＮｏ）、処理が２２０に進む。２２０の処理では、プロセッサ２０３は、ＩＫＥパケットを用いて復旧方法を対向装置（監視側）に指示する。これにより、監視側で、復旧方法が実施される。その後、処理が２０１へ戻る。

＜＜復旧方法／復旧状態受信処理＞＞
図２３は、復旧方法／復旧状態受信処理の例を示すフローチャートである。図２３の処理は、例えば、制御部２０２（３０３）として動作するプロセッサ２０３によって行われる。

４０１の処理において、プロセッサ２０３は、復旧方法の指示が受信されたか否かを判定する。復旧方法の指示が受信された場合には（４０１のＹｅｓ）、処理が４０２に進み、そうでない場合には（４０１のＮｏ）、処理が４０３に進む。４０２の処理において、プロセッサ２０３は、監視情報２０４ｃの「復旧方法」から、復旧状態に対応する復旧方法を実施する。

４０３の処理において、プロセッサ２０３は、復旧状態の更新指示が受信されたか否かを判定する。復旧状態の更新指示が受信された場合には（４０３のＹｅｓ）、処理が４０４に進み、そうでない場合には（４０３のＮｏ）、処理が４０１に戻る。４０４の処理において、プロセッサ２０３は、監視情報２０４ｃの「復旧方法」を更新する。すなわち、プロセッサ２０３は、復旧方法の内容を一段階進める。

＜メッセージ（パケット）の説明＞
次に、実施形態にて使用されるメッセージ（パケット）のフォーマット例について説明する。
＜＜ＩＫＥパケット＞＞
図２４は、ＩＫＥパケットのフォーマット例を示す。ＩＫＥパケットは、レイヤ５（Ｌ５：セッション層）のデータとして、ＩＫＥヘッダ及びＩＫＥペイロード１，２，…，ｎ−１，ｎ（ｎは正の整数）に対し、User Datagram Protocol（ＵＤＰ）ヘッダ（Ｌ４）と、ＩＰヘッダ（Ｌ３）とが付与されている。図２４の（１）は、非暗号化領域であることを示す。

＜＜ＩＫＥパケット（交渉パケット）＞＞
図２５は、交渉パケット、すなわちＩＰｓｅｃ＿ＳＡ確立メッセージとして使用されるＩＫＥパケットのフォーマット例を示す。図２５に示すように、フォーマット自体は、図
２４に示したＩＫＥパケットと同様である。但し、図２５の（２）で示すＩＫＥのペイロード部分は、ＩＫＥの鍵で暗号化された暗号化領域である。一方、図２５の（１）で示すヘッダ部分は、非暗号化領域である。

なお、ＩＰｓｅｃ＿ＳＡ削除要求のメッセージ，ＤＰＤメッセージ，監視条件の交渉パケット，復旧方法の指示のメッセージ，及び復旧状態の更新指示のメッセージも、ＩＰｓｅｃ＿ＳＡ確立メッセージと同じフォーマットを有する。

＜＜監視開始／監視対象パケット＞＞
図２６は、監視開始／監視対象パケットのフォーマット例を示す。図２６の例では、上位レイヤの例として、ＧＴＰ（General Packet Radio System Tunneling Protocol）を示す。

図２６において、監視開始／監視対象パケットは、（２）で示す暗号化領域と、（１）で示す非暗号化領域とを含む。暗号化領域は、ＩＰヘッダ，ＵＤＰヘッダ，ＧＴＰヘッダ，ＧＴＰペイロード，ＥＳＰトレイラを含む。非暗号化領域は、ＩＰヘッダ，ＥＳＰヘッダ，ＥＳＰトレイラを含む。

図２７は、非暗号化の監視開始／監視対象パケットのフォーマット例を示す。図２７の例では、監視開始パケットは、ＧＴＰ ｅｃｈｏ ｒｅｑｕｅｓｔパケットであり、監視対象パケットは、ＧＴＰ ｅｃｈｏ ｒｅｐｌｙパケットである。

＜実施形態の効果＞
従来技術であるＤＰＤは、ＩＫＥ＿ＳＡが確立している状態では、以下を要因とするユーザバケットの疎通異常を検出できない。
・自装置と対向装置とのＳＰＤ（Security Policy Database）の検索論理（ユーザパケットと適用するＳＰＤとの関連づけ）の不一致
・ＩＰｓｅｃ＿ＳＡの暗号鍵の不一致
・ＩＰｓｅｃ＿ＳＡによる暗号処理の異常
・ＩＰｓｅｃ＿ＳＡのライフタイマ満了によるＳＡの使用不可
・Encapsulated Security Payload（ＥＳＰ）ヘッダ内の拡張シーケンス番号における、
上位シーケンス番号の不一致

実施形態では、ＩＫＥ＿ＳＡが確立しているが、ＩＰｓｅｃ＿ＳＡ（暗号化トンネル）に異常があり、この異常に起因する上位レイヤのパケットの送受信の異常（上位レイヤの通信異常）を検出することができる。さらに、異常の検出時に、所定の復旧方法を行い、異常（障害）状態からの復旧を図ることができる。これによって、ネットワークの障害からの早期復旧、ネットワークの安定運用を図ることができる。

このため、実施形態では、ＩＰｓｅｃ＿ＳＡの交渉用の情報（ＳＰＤ２０４ａ）に監視条件及び復旧方法を予め記憶し、ＩＰｓｅｃ＿ＳＡの交渉とともに、監視条件及び復旧方法の交渉をも行う。これによって、ＩＰｓｅｃ（暗号化通信）を行う装置の負荷を上昇させることなく、暗号化通信の異常を検出することが可能となる。但し、監視条件及び復旧方法のうちの監視条件のみが、交渉パケットに含められることはあり得る。

換言すれば、本来、ＳＰＤにある、パケットの特定用パラメータ（ＩＰアドレス，ポート番号，プロトコル，タイプなど）などを用いて監視条件を定義し、ＩＰｓｅｃ＿ＳＡの交渉とともに監視条件の交渉が行われる。交渉の結果に従い、上位レイヤのパケットの送受信状況（疎通）が監視される。このような、簡易な構成の追加によって、ＩＫＥ＿ＳＡが正常に確立している場合には検出できないＩＰｓｅｃ＿ＳＡの異常を検出できる。すな
わち、下位レイヤを用いた監視では検出できない暗号化通信の異常を簡易な構成を以て検出可能となる。さらに、実施形態では、復旧方法を交渉し、異常検出時に復旧方法に基づく処理を実行することもできる。

また、監視側が被監視側（対向装置）に対して、監視条件及び復旧方法について複数の提案（候補）を提示し、対向装置が提案の選択結果を応答する。これによって、対向装置で行うことが可能な異常検出及び復旧方法を採ることができる。

また、実施形態では、ＩＰｓｅｃの主体（イニシエータ，レスポンダの一方）となる装置が有するＳＰＤに監視条件、復旧方法が設定される。これによって、保守者は、ＳＰＤを用いて、汎用的に監視条件、復旧方法を設定することができる。

また、実施形態に係る監視の導入にあたっては、上位レイヤ（ＧＴＰ，ＳＣＴＰ，ＩＣＭＰなど）の動作を変更することなく、ＩＰｓｅｃレイヤを含む上位レイヤの疎通（接続性：Connectivity）の正常性を監視することができる。

ＩＰｓｅｃが適用される場合には、ＳＰＤでＩＰｓｅｃを適用するＩＰアドレス、プロトコル、アルゴリズムなどが指定される。実施形態では、上位レイヤの信号条件（監視開始パケット，監視対象パケット，監視停止パケット）を、ＩＰアドレス，プロトコル，タイプのような、ＩＰｓｅｃのフロー乃至トラフィックの特定情報と同じ情報を用いて特定することができる。したがって、ＩＰｓｅｃ＿ＳＡの確立、監視条件、復旧方法のそれぞれに関して、パラメータを一元管理できる。また、設定方法も統一可能であり、既存装置への適用が容易になると想定される。

また、実施形態では、監視開始パケット及び監視対象パケットを対向装置とのＩＰｓｅｃ＿ＳＡの確立に係る交渉用情報とあわせて指定する。これによって、交渉の手間を低減でき、問題の潜在化防止および誤検出を防止することができる。

また、実施形態では、複数の復旧方法が容易され、一つの復旧方法が段階的に使用される。このため、復旧方法の使用により発生する影響が抑えられるように、復旧方法を選択及び使用することができる。なお、対向装置が提案に係る復旧方法（候補）の全てを具備していない場合であっても、従来のＩＰｓｅｃ機能が有する動作を用いた復旧を試行できる。このため、監視側装置の適用で、復旧を行うことができる。

また、対向装置が提案に係る復旧方法の一部しか対応しない場合でも、対応可能な復旧方法を用いることができる。また、監視開始、監視対象パケットの条件を詳細に指定することができ、上位レイヤの特性に合わせた監視を、ＳＰＤに対するパラメータ変更で行うことができる。

また、実施形態では、監視停止パケットを設定できる。これによって、非監視状態において、上位レイヤの動作に異常が発生した場合に、下位レイヤ（ＩＰｓｅｃ）の異常と誤検出することを回避できる。

また、実施形態では、復旧状態を不揮発記憶媒体に記憶することができる。これによって、装置自体のリセットを伴う復旧方法が実施された場合でも、復旧状態を維持したままで、次の候補の復旧方法を試行できる。よって、多様な復旧パターンに対応できる。

また、ＩＰｓｅｃの経路が冗長構成を有する場合に、片方のＩＰｓｅｃ装置および経路が要因の場合の障害も復旧させることができる。また、無線基地局装置などに組み込まれたＩＰｓｅｃ機能に適用することで、安定した無線通信のネットワークシステムを維持す
ることができる。以上説明した実施形態の構成は、適宜組み合わせることができる。

１・・・端末
２・・・基地局（通信装置）
３・・・セキュリティゲートウェイ（対向装置）
４・・・ＭＭＥ
５・・・サービングゲートウェイ
６・・・パケットデータネットワークゲートウェイ
２０・・・無線基地局装置
２１・・・プロトコル終端部
２２，３１・・・ＩＰｓｅｃ部
２３・・・ＳＰＤ
３０・・・情報処理装置
４１・・・セレクタ
４２・・・暗号化／復号部
４３・・・監視管理部
４４・・・鍵交換部
４５・・・監視条件交渉部
４６・・・復旧管理部
４７・・・上位レイヤ処理部
２０１・・・伝送路インタフェース部
２０２，３０３・・・制御部
２０３・・・プロセッサ
２０４・・・メモリ
２０５・・・ベースバンド部
２０６・・・無線部
３０１・・・第１伝送路インタフェース部
３０２・・・第２伝送路インタフェース部

Claims (9)

1. 対向装置との間で確立される暗号化通信の経路の交渉に使用される交渉情報を記憶した記憶部と、
   前記経路を送受信されるとともに前記交渉情報を用いて特定される監視対象パケットが所定時間内に受信されない場合に前記暗号化通信の異常を検出する監視部と
   を含む通信装置。
2. 前記暗号化通信の異常が検出された場合に、前記交渉情報を用いて特定される復旧方法に基づく処理を行う復旧部と、
   をさらに含む請求項１に記載の通信装置。
3. 前記経路の交渉用のメッセージに、前記交渉情報に含まれた、監視対象パケットの交渉用情報を含めて前記対向装置に送信するとともに、前記経路の交渉の結果と前記監視対象パケットの交渉結果とを含む応答メッセージを受信する交渉部をさらに含み、
   前記監視部は、前記監視対象パケットの交渉結果に基づき決定された監視対象パケットを監視する
   請求項１又は２に記載の通信装置。
4. 前記経路の確立交渉のメッセージに、前記交渉情報にそれぞれ含まれた、監視対象パケットの交渉用情報と、復旧方法の交渉用情報とを含めて対向装置に送信するとともに、前記経路の交渉結果と、前記監視対象パケットの交渉結果と、前記復旧方法の交渉結果とを含む応答メッセージを受信する交渉部をさらに含み、
   前記監視部は、前記監視対象パケットの交渉結果に基づき決定された監視対象パケットを監視し、
   前記復旧部は、前記復旧方法の交渉結果に基づき決定された復旧方法に基づく処理を行う
   請求項１又は２に記載の通信装置。
5. 前記監視対象パケットの交渉用情報は、複数の監視対象パケットの候補を含み、
   前記監視部は、前記複数の監視対象パケットの候補から前記対向装置によって選択された少なくとも１つの監視対象パケットを監視する
   請求項３又は４に記載の通信装置。
6. 前記復旧方法の交渉用情報は、複数の復旧方法の候補を含み、
   前記監視部は、前記複数の復旧方法の候補から前記対向装置によって選択された少なくとも１つの復旧方法に基づく処理を行う
   請求項４に記載の通信装置。
7. 前記記憶部に記憶された前記交渉情報は、共通の情報項目を用いて規定された、前記暗号化通信の対象のパケットの特定情報と、前記監視対象パケットの特定情報とを含む
   請求項１から６の何れか１項に記載の通信装置。
8. 前記復旧部は、前記対向装置との交渉において決定された複数の復旧方法のうち、不揮発性記憶媒体に記憶された復旧状態に対応する復旧方法に基づく処理を行う
   請求項２から７の何れか１項に記載の通信装置。
9. 対向装置との間で確立される暗号化通信の経路の交渉に使用される交渉情報を記憶し、
   前記経路を送受信されるとともに前記交渉情報を用いて特定される監視対象パケットが所定時間に受信されない場合に前記暗号化通信の異常を検出する
   ことを含む通信装置の異常検出方法。

Images