JP2017139736A - 通信装置、通信制御方法、及びプログラム - Google Patents

Abstract

【課題】ユーザがアプリケーションのデータ通信の許可又は禁止を容易に設定することができる通信装置、通信制御方法、及びプログラムを提供する。
【解決手段】通信装置であって、デフォルトでデータ通信を禁止し、アプリケーションからデータ通信の要求を受け、要求したアプリケーションが属するグループのＩＤに応じて、アプリケーションのデータ通信を許可する。
【選択図】図４

Description

本発明は、通信装置、通信制御方法、及びプログラムに関する。

従来、データ通信可能な携帯端末等の通信装置が知られている（例えば、特許文献１参照）。通信装置においては、通信装置上で稼働するアプリケーションによるデータ通信が一括で許可される、又は、一括で禁止される構成が採用されることがある。その一方で、アプリケーションごとにデータ通信が許可される、又は、禁止される設定が可能な構成が採用されることもある。

特開２０１５−１６２７０１号公報

アプリケーションごとにデータ通信を許可又は禁止する設定は、ユーザにより行われる。しかし、通信装置上で稼働するアプリケーションの数は増大する傾向にある。そうすると、ユーザがアプリケーションのデータ通信を個別に把握しきれず、ユーザがアプリケーションのデータ通信の許可又は禁止を適切に設定できない場合がある。

そこで本発明は、上述の点に鑑みてなされたものであり、ユーザがアプリケーションのデータ通信の許可又は禁止を容易に設定することができる通信装置、通信制御方法、及びプログラムを提供することを目的とする。

上記目的を達成する本発明の一実施形態に係る通信装置は、
デフォルトでデータ通信を禁止し、
アプリケーションからデータ通信の要求を受け、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可する。

また、前記アプリケーションは、ＶＰＮアプリケーションであってもよい。

また、前記データ通信がセルラ通信である場合に、デフォルトでデータ通信を禁止するようにしてもよい。

また、前記データ通信が無線ＬＡＮ通信である場合に、デフォルトでデータ通信を許可するようにしてもよい。

また、本発明の一実施形態に係る通信制御方法は、
通信装置において、
デフォルトでデータ通信を禁止するステップと、
アプリケーションからデータ通信の要求を受けるステップと、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可するステップと
を含む。

また、本発明の一実施形態に係るプログラムは、
通信装置として機能するコンピュータに、
デフォルトでデータ通信を禁止するステップと、
アプリケーションからデータ通信の要求を受けるステップと、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可するステップと
を実行させる。

また、本発明の一実施形態に係る通信装置は、
デフォルトでデータ通信を許可し、
アプリケーションからデータ通信の要求を受け、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を禁止する。

また、本発明の一実施形態に係る通信制御方法は、
通信装置において、
デフォルトでデータ通信を許可するステップと、
アプリケーションからデータ通信の要求を受けるステップと、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を禁止するステップと
を含む。

また、本発明の一実施形態に係るプログラムは、
通信装置として機能するコンピュータに、
デフォルトでデータ通信を許可するステップと、
アプリケーションからデータ通信の要求を受けるステップと、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を禁止するステップと
を実行させる。

本発明の一実施形態に係る通信装置、通信制御方法、及びプログラムによれば、ユーザがアプリケーションのデータ通信の許可又は禁止を容易に設定することができる。

実施形態１に係る通信装置の概略構成例を示す機能ブロック図である。 実施形態１に係る通信装置の一例の外観を示す図である。 実施形態１に係るデータの流れの一例を示すブロック図である。 実施形態１に係るフィルタリング処理のシーケンスを説明する図である。 アプリケーションからデータを送信するシーケンスの一例を説明する図である。 実施形態２に係るフィルタリング処理のシーケンスを説明する図である。 実施形態３に係るデータの流れの一例を示すブロック図である。 実施形態４に係る通信装置の概略構成例を示す機能ブロック図である。 実施形態４に係るデータの流れの一例を示すブロック図である。 接続機能部の動作例を示すフローチャートである。 接続機能部の動作例を示すフローチャートである。 実施形態４の比較例１に係るデータの流れを示す図である。 実施形態４の比較例２に係るデータの流れを示す図である。

（実施形態１）
以下、一実施形態に係る通信装置について、図面を参照しながら詳細に説明する。本実施形態に係る通信装置は、携帯電話、又はスマートフォンなどの携帯機器とすることができる。しかしながら、本実施形態に係る通信装置は、携帯機器に限定されるものではなく、デスクトップＰＣ、ノートＰＣ、タブレット型ＰＣ、家電製品、産業用機器（ＦＡ機器）、専用端末等、データ通信を行う種々の電子機器とすることができる。

［装置構成］
図１は、本実施形態に係る通信装置１の概略構成例を示す機能ブロック図である。図１に示されるように、通信装置１は、制御部１０と、通信部１１と、記憶部１２と、表示部１３と、操作部１４とを備える。制御部１０は、通信部１１と、記憶部１２と、表示部１３と、操作部１４とに接続され、これらを制御する。

制御部１０は、オペレーティングシステム（以下、ＯＳともいう）、及び、アプリケーションソフトウェア（以下、アプリケーションともいう）を実行可能なプロセッサ又はマイコン等により構成されうる。ＯＳは、例えばＡｎｄｒｏｉｄ（登録商標）である。アプリケーションについては後述する。

通信部１１は、セルラ通信、又は無線ＬＡＮ通信等を行う通信インタフェースとして、Ｉ／Ｆ（インタフェース）デバイス１１１を備える。Ｉ／Ｆデバイス１１１は、モデム１１２と無線ＬＡＮデバイス１１３とを含む。通信部１１は、Ｉ／Ｆデバイス１１１を用いてインターネット等のネットワーク側に接続され、ネットワーク側との間でデータ通信を行う。これにより、通信装置１はネットワーク側との間でデータ通信可能となる。通信部１１は、制御部１０に接続され、ネットワーク側へ出力するデータを制御部１０から取得する。制御部１０は、通信部１１に対して出力するデータをフィルタリング処理によって選択する。フィルタリング処理については後述する。また制御部１０は、ネットワーク側から受信したデータを通信部１１から取得する。

セルラ通信方式によりネットワーク側と接続される場合、一般的に、通信されるデータ（パケット）の量の増大に応じて通信料金が増大する従量課金制の料金体系が採用される。一方で、無線ＬＡＮ通信等の方式によりネットワーク側と接続される場合、一般的に、そのような料金体系ではない。

記憶部１２は、例えば半導体メモリ等によって構成されうる。記憶部１２には、各種情報若しくはデータ、又は、制御部１０が実行するＯＳ若しくはアプリケーション等のプログラムが格納される。制御部１０は、記憶部１２に格納されたプログラムを取得し、実行する。制御部１０は、プログラムの実行により生成されるデータを記憶部１２に格納する。また記憶部１２は、ワークメモリとしても機能しうる。

表示部１３は、制御部１０から取得した情報に基づき、文字、画像、操作用オブジェクト、ポインタ等を表示する。表示部１３は、例えば、液晶ディスプレイ、有機ＥＬディスプレイ、無機ＥＬディスプレイ等の表示デバイスであるが、これらに限られるものではない。

操作部１４は、テンキー等の物理キー、タッチパッド、又はタッチパネル等によって構成される。制御部１０は、操作部１４から取得した入力内容に応じて、表示部１３に表示されるポインタ等を移動させたり、操作用オブジェクトを選択したりする。

図２は、本実施形態に係る通信装置１の一例の外観を示す図である。図２に示す通り、本実施形態に係る通信装置１は、いわゆる折りたたみ式（フリップ型又はクラムシェル型等）のフィーチャーフォンである。通信装置１は、上部筐体２と下部筐体３とが、ヒンジ部４によって回動可能に接続される。上部筐体２は表示部１３を備え、下部筐体３は操作部１４を備える。操作部１４は、テンキー等の物理キーの他、物理キーが設けられていない部位にタッチパッド１４１を備える。通信装置１は、例えば物理キーにより操作用のオブジェクトの選択操作を受け付け、またタッチパッド１４１によりポインタ等の移動操作を受け付ける。

［アプリケーション］
アプリケーションは、制御部１０で実行可能となるように通信装置１にインストールされ、記憶部１２に格納される。アプリケーションが通信装置１にインストールされる際、各アプリケーションに固有のユーザ識別子（以下、ＵＩＤともいう）が割り当てられる。アプリケーションは、制御部１０によって、ＯＳ上においてＵＩＤに対応づけられるプロセスとして実行される。

アプリケーションは、制御部１０で実行される際に、ファイルシステムなどのリソースに対してアクセスする。各アプリケーションが無制限にリソースにアクセスすると、各アプリケーションによるリソースの使用領域が重複することがあり、この場合アプリケーションが正常に実行されなくなることがある。そこで、ＯＳ上で実行されるプロセスに対応づけられるＵＩＤによってリソースに対するアクセスを制限し、アプリケーションによるリソース使用が互いに影響を及ぼさないようにする。つまり、各プロセスからアクセス可能なリソースは、同一のＵＩＤに対応づけられるプロセスのリソースに制限される。

各アプリケーションには、グループ識別子（以下、ＧＩＤ又はグループのＩＤともいう）がさらに割り当てられる。ＧＩＤは、各アプリケーションに割り当てられる固有のＵＩＤが属するグループを特定するものである。一つのグループに一個のＵＩＤだけが属してもよいし、一つのグループに複数のＵＩＤが属してもよい。アプリケーションがＵＩＤに対応づけられるプロセスとして実行される際、このプロセスはＧＩＤにも対応づけられる。また、各プロセスからアクセス可能なリソースは、同一のＵＩＤだけでなく同一のＧＩＤに対応づけられるプロセスのリソースにまで対象を広げて制限されるようにしてもよい。

アプリケーションは、フォアグラウンド（以下、ＦＧともいう）、又は、バックグラウンド（以下、ＢＧともいう）で実行される。アプリケーションがＦＧで実行されている状態は、例えば、ユーザが確認可能なように実行状況が表示部１３に表示される、又は、ユーザが操作部１４を用いて操作可能な状態である。アプリケーションがＢＧで実行されている状態は、例えば、実行状況が表示部１３に表示されず、ユーザが操作可能ではない状態、又は、ユーザが意図せずに動作している状態である。

［データ通信の制御］
制御部１０によって実行されるアプリケーションは、通信部１１を用いて、インターネット等のネットワーク側とのデータ通信を行う。上述の通り、アプリケーションはＯＳ上においてＵＩＤ及びＧＩＤに対応づけられるプロセスとして実行される。そして、アプリケーションから送信されるデータにはＵＩＤ及びＧＩＤが対応づけられる。制御部１０は、データに対応づけられたＵＩＤ又はＧＩＤに基づいてデータの送信を許可するか禁止（制限）するか決定することにより、各アプリケーションから送信されるデータに係るデータ通信を許可するか禁止するか制御できる。以下、本実施形態に係る説明においては、データ通信は、原則的に通信部１１がネットワーク側との間で行うデータ通信のことを指すものとする。

図３は、本実施形態に係るデータの流れの一例を示すブロック図である。図３において、制御部１０と通信部１１とが端末側に設けられる。そして、通信部１１がネットワーク側と接続され、ネットワーク側との間でデータ通信を行う。

図３において、制御部１０は、アプリケーションＡ１６ａとアプリケーションＢ１６ｂとをＯＳ上におけるプロセスとして実行する。制御部１０によって実行されるアプリケーションは、必要に応じてネットワーク側とのデータ通信を要求する。例えば、アプリケーションＡ１６ａは、ネットワーク側へ向けてデータの送信を要求する。この場合、アプリケーションＡ１６ａからネットワーク側へ向けて送信するデータは、制御部１０で稼働するパケットフィルタ１５に入力される。また、アプリケーションＢ１６ｂからも同様に、アプリケーションＢ１６ｂからネットワーク側へ向けて送信するデータがパケットフィルタ１５に入力される。

パケットフィルタ１５は、制御部１０からネットワーク側へ向かうデータのフィルタリング処理を行う。フィルタリング処理は、設定されたフィルタリング条件に基づいて、アプリケーションから要求されたデータの送信を許可するか禁止するか決定する処理である。フィルタリング条件は、例えば、ｉｐ＿ｒｕｌｅ又はｉｐ＿ｒｏｕｔｅ等を含む。これらのフィルタリング条件は、記憶部１２に格納されており、パケットフィルタ１５によって参照される。以下、フィルタリング条件を設定する動作は、フィルタリング条件を記憶部１２に格納する動作を含むものとする。なお、フィルタリング条件は、記憶部１２に格納されずに制御部１０に保持されていてもよい。

ｉｐ＿ｒｕｌｅは、例えば、送信元がＸであるデータをネットワーク側へ送信してよいか決定するための条件を含む。ｉｐ＿ｒｏｕｔｅは、例えば、送信先としてＹが指定されたデータをネットワーク側へ送信するルート（中継ルータ等）を決定するための条件を含む。

図３において、アプリケーションＡ１６ａから送信されるデータの流れが実線の矢印で示され、アプリケーションＢ１６ｂから送信されるデータの流れが破線の矢印で示される。このうち、アプリケーションＡ１６ａから送信されるデータは、パケットフィルタ１５におけるフィルタリング処理によって送信が禁止されず、通信部１１に送られる。一方、アプリケーションＢ１６ｂから送信されるデータは、パケットフィルタ１５におけるフィルタリング処理によって送信が禁止され、通信部１１に送られない。この動作は、図３において破線の矢印がｒｅｊｅｃｔという記載に向けられることで示される。

パケットフィルタ１５を通過したデータ（図３の場合、実線の矢印で示されるアプリケーションＡ１６ａから送信されるデータ）は、通信部１１に入力される。通信部１１は、Ｉ／Ｆデバイス１１１を用いて、ネットワーク側へデータを送信する。通信部１１は、ネットワーク側へデータを送信するに際して、モデム１１２によるセルラ通信を用いるか、無線ＬＡＮデバイス１１３による無線ＬＡＮ通信を用いるか、又は、他の通信方式を用いるか適宜決定しうる。

［フィルタリング処理］
本実施形態において、アプリケーションから送信されるデータについてのデータ通信を許可するか禁止するかは、データ送信元のアプリケーションに割り当てられるＵＩＤが属するグループを特定するＧＩＤに基づいて決定される。以下、ＵＩＤとしてＸが割り当てられるアプリケーション（以下、ＵＩＤがＸのアプリケーションともいう）から送信されるデータのことを、ＵＩＤがＸのデータともいう。また、ＵＩＤがＸのアプリケーションには、当該ＵＩＤが属するグループを特定するＧＩＤがＹである場合、ＧＩＤとしてＹが割り当てられる。以下、ＧＩＤとしてＹが割り当てられるアプリケーションのことを、ＧＩＤがＹのアプリケーションであるともいう。また、ＧＩＤがＹのアプリケーションから送信されるデータのことを、ＧＩＤがＹのデータであるともいう。また、ＧＩＤがＹのデータのフィルタリング処理を行うために用いられるフィルタリング条件を、ＧＩＤがＹのデータのフィルタリング条件ともいう。

パケットフィルタ１５は、例えば、ＧＩＤが１のアプリケーションから送信されるデータに係るデータ通信のみ許可するというフィルタリング条件を有する。また、フィルタリング条件は、複数の条件をあわせたものであってもよい。

ここで、本実施形態に係るフィルタリング処理が行われる場合のデータ通信のシーケンスを説明する。本実施形態に係るフィルタリング処理は、ＢＧ動作しているアプリケーションが送信するデータに係るデータ通信の許可又は禁止を決定することを前提とする。以下の本実施形態に係るフィルタリング処理の説明は上記前提に基づく。

本実施形態に係るフィルタリング処理は、デフォルトでデータ通信を禁止するというフィルタリング条件（以下、デフォルト通信禁止条件ともいう）が設定されている。デフォルト通信禁止条件が設定されていることにより、他のフィルタリング条件がさらに設定されない限り、全てのデータ通信が禁止される。デフォルト通信禁止条件は、通信装置１の出荷時に設定されたり、通信装置１の初期化時に設定されたりする。すなわち、本実施形態において、「デフォルト」とは、所定のタイミング（例えば、通信装置１の出荷時、通信装置１の初期化時、等）で、標準の動作として予め設定されていることを意味するものとする。

本実施形態においては、必要なデータ通信を実行するために、デフォルト通信禁止条件に加えて、データ通信を許可するための条件（以下、通信許可条件ともいう）が設定されたフィルタリング条件が用いられる。この場合、通信許可条件は、デフォルト通信禁止条件に優先する。

図４は、本実施形態に係るフィルタリング処理のシーケンスを説明する図である。図４には、アプリケーションＡ１６ａ、アプリケーションＢ１６ｂ、フレームワーク、通信制御部、カーネル、及びモデム１１２のシーケンスが示されている。

モデム１１２は、上述の通り、セルラ通信を行う通信インタフェースとして機能するハードウェアである。図４においては、モデム１１２を用いたセルラ通信によるデータ通信について説明しているが、モデム１１２ではなく、無線ＬＡＮデバイス１１３等の他のＩ／Ｆデバイス１１１に置き換えて、他の通信方式によるデータ通信を行ってもよい。

カーネル、通信制御部、及びフレームワークはソフトウェアであり、制御部１０で実行される。

フレームワークは、ＯＳ上においてアプリケーションを動作させるための機能群を含むソフトウェアである。一般的に、フレームワークで準備された機能群を組み合わせることによって、各アプリケーションの機能が実現される。

カーネルは、ＯＳの中核をなすソフトウェアであり、アプリケーション等のソフトウェアによる処理に基づき、通信部１１等のハードウェアにおける処理を管理して、ハードウェアの機能を利用できるようにする。

通信制御部は、ネットワーク関連の処理を行うデーモンプログラムであり、フレームワークとカーネルとの間をつなぐ処理をする。通信制御部は、特に、カーネルが通信部１１の機能を利用できるようにするためのデータを処理する。本実施形態において、通信制御部は、カーネルが通信部１１へのデータ出力を許可するか禁止するか決定するための条件をカーネルに出力する。

本実施形態において、フィルタリング処理はパケットフィルタ１５により行われるものとして説明する。ここで、パケットフィルタ１５は仮想的な処理ユニットであり、実際のフィルタリング処理は、通信制御部とカーネルとにより行われる。

アプリケーションＡ１６ａ及びアプリケーションＢ１６ｂは、ＯＳ上において動作するプロセスである。図４において、アプリケーションＡ１６ａはＧＩＤが１のアプリケーションであり、アプリケーションＢ１６ｂはＧＩＤが２のアプリケーションである。

以下、図４に示されるシーケンスを説明する。ＢＧ動作するアプリケーションがデータを送信する場合、デフォルトでセルラ通信によるデータ通信が禁止されている（ステップＳ１）。つまり、フィルタリング条件として、ＢＧ動作するアプリケーションから送信されるデータに係るデフォルト通信禁止条件が設定されている。図４において、デフォルト通信禁止条件が設定されていることは、カーネル、通信制御部、及びフレームワークにより認識されている。特に、カーネルは、デフォルト通信禁止条件が設定されていることを認識している場合、モデム１１２に対するデータの送信を行わない。

続いて、アプリケーションがＢＧで動作する場合のＧＩＤが１のデータに係るデータ通信の許可要求（以下、ＧＩＤが１のデータの通信許可要求ともいう）を、フレームワークが取得する（ステップＳ２）。続いて、フレームワークは、ＧＩＤが１のデータの通信許可要求を通信制御部に出力する（ステップＳ３）。

通信制御部は、ＧＩＤが１のデータの通信許可要求を取得する（ステップＳ４）。続いて通信制御部は、ＧＩＤが１のデータの通信許可要求をカーネルに出力する（ステップＳ５）。

カーネルは、ＧＩＤが１のデータの通信許可要求を取得する（ステップＳ６）。以上のステップＳ３〜Ｓ６の動作により、カーネルにＧＩＤが１のデータの通信許可要求が伝達される。つまり、フィルタリング条件として、ＧＩＤが１のデータに係る通信許可条件が設定される。

続いて、アプリケーションＡ１６ａがＢＧ動作においてデータ通信を要求する場合（ステップＳ７）、カーネルは、ＧＩＤが１のデータに係る通信許可条件が設定されていることを認識しているので、データ通信を許可する（ステップＳ８）。そして、モデム１１２は、ＧＩＤが１のデータをネットワーク側へ送信するデータ通信を行う（ステップＳ９）。

一方、ＧＩＤが２のアプリケーションＢ１６ｂがＢＧ動作においてデータ通信を要求する場合（ステップＳ１０）、カーネルは、ＧＩＤが２のデータに係る通信許可条件が設定されていないことを認識している。よって、カーネルは、デフォルト通信禁止条件に基づいて、データ通信を禁止する（ステップＳ１１）。

＜アプリケーションからのデータ送信シーケンス＞
図４のステップＳ７〜Ｓ９において、アプリケーションがデータ通信を要求してモデム１１２がデータ通信を行うことを説明した。以下、図５を用いて、これらのシーケンスをより具体的に説明する。図５には、アプリケーションＡ１６ａ、フレームワーク、カーネル、及びモデム１１２のシーケンスが示されている。アプリケーションＡ１６ａ、フレームワーク、カーネル、及びモデム１１２については、図４と同様であるため説明を省略する。

アプリケーションＡ１６ａは、ＦＧ又はＢＧのいずれで動作する場合であっても、アプリケーションＡ１６ａから送信されるデータ（ＧＩＤが１のデータ）に係るデータ通信の要求（以下、ＧＩＤが１のデータ通信要求ともいう）をアプリケーションＡ１６ａが動作しているＯＳ上のフレームワークに対して出力する（ステップＳ１０１）。

フレームワークは、ＧＩＤが１のデータ通信要求を取得する（ステップＳ１０２）。続いてフレームワークは、ＧＩＤが１のデータ通信要求をカーネルに出力する（ステップＳ１０３）。

カーネルは、ＧＩＤが１のデータ通信要求を取得する（ステップＳ１０４）。続いてカーネルは、モデム１１２に対してＧＩＤが１のデータ通信要求に基づいてデータを出力する（ステップＳ１０５）。そしてモデム１１２は、ＧＩＤが１のデータをネットワーク側へ送信するデータ通信を行う（ステップＳ１０６）。

以上説明してきた図５に示されるシーケンスの動作により、アプリケーションから送信するデータが通信部１１に出力され、ネットワーク側へ送信される。

以上、実施形態１に係るフィルタリング処理について説明してきた。本実施形態に係るフィルタリング処理によれば、ＧＩＤを指定することによってデータ通信の許可が設定される。一方で、ＵＩＤを指定することによってデータ通信の許可が設定されるというフィルタリング処理も考えられる。しかし、ＧＩＤはＵＩＤよりも広い範囲を示すので、ＧＩＤを指定する方法は、ＵＩＤを指定する方法よりも、アプリケーションによるデータ通信の許可を容易に設定することができる。

本実施形態において、データ通信が許可されたデータを送信するために必要となる機能については、デフォルトでデータ通信を許可するようにしてもよい。デフォルトでデータ通信を許可される機能は、例えば、ＶＰＮ（Ｖｅｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）のトンネリング機能、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）の名前解決機能、又はテザリング機能等である。これらの機能に係るデータ通信は、ユーザが意図した場合に動作するものに限り、許可されてもよい。これらの機能に係るデータ通信を許可する条件は、デフォルト通信禁止条件に優先するフィルタリング条件として設定されてもよい。

（実施形態２）
以下、実施形態２に係るフィルタリング処理について説明する。本実施形態に係るフィルタリング処理で用いられるフィルタリング条件には、デフォルトで全てのデータに係るデータ通信を許可するという条件（以下、デフォルト通信許可条件ともいう）が設定される。このように全てのデータに係るデータ通信が許可された上で、ユーザにより指定されたＧＩＤのデータに係るデータ通信を禁止するという条件（以下、通信禁止条件ともいう）がさらに設定される。

図６は、本実施形態に係るフィルタリング処理のシーケンスを説明する図である。アプリケーションＡ１６ａ、アプリケーションＢ１６ｂ、フレームワーク、通信制御部、カーネル、及びモデム１１２については、実施形態１の図４と同様であるため説明を省略する。

図６において、ＢＧ動作するアプリケーションがデータを送信する場合であっても、デフォルトでセルラ通信によるデータ通信が許可されている（ステップＳ２０１）。つまり、フィルタリング条件として、ＢＧ動作するアプリケーションから送信されるデータに係るデフォルト通信許可条件が設定されている。

続いて、アプリケーションＡ１６ａがＢＧ動作する場合におけるＧＩＤが１のデータに係るデータ通信の禁止要求（以下、ＧＩＤが１のデータの通信禁止要求ともいう）を、フレームワークが取得する（ステップＳ２０２）。この時点においては、アプリケーションＡ１６ａがＢＧ動作していないため、ＧＩＤが１のデータに係る通信禁止条件は設定されない。

続いて、アプリケーションＡ１６ａがＢＧ動作に移行した通知（以下、ＢＧ移行通知ともいう）をフレームワークが取得する（ステップＳ２０３）。通知を受けたフレームワークは、ＧＩＤが１のデータの通信禁止要求を通信制御部に出力する（ステップＳ２０４）。

通信制御部は、ＧＩＤが１のデータの通信禁止要求を取得する（ステップＳ２０５）。続いて通信制御部は、ＧＩＤが１のデータの通信禁止要求をカーネルに出力する（ステップＳ２０６）。

カーネルは、ＧＩＤが１のデータの通信禁止要求を取得する（ステップＳ２０７）。以上のステップＳ２０２〜Ｓ２０７の動作により、カーネルにＧＩＤが１のデータの通信禁止要求が伝達される。つまり、フィルタリング条件として、ＧＩＤが１のデータに係る通信禁止条件が設定される。

続いて、アプリケーションＡ１６ａがＢＧ動作においてデータ通信を要求する場合（ステップＳ２０８）、カーネルは、ＧＩＤが１のデータに係る通信禁止条件が設定されていることを認識しているので、データ通信を禁止する（ステップＳ２０９）。

一方、ＧＩＤが２のアプリケーションＢ１６ｂがＢＧ動作においてデータ通信を要求する場合（ステップＳ２１０）、カーネルは、ＧＩＤが２のデータに係る通信禁止条件が設定されていないことを認識している。よって、カーネルは、デフォルト通信許可条件に基づいて、データ通信を許可する（ステップＳ２１１）。そして、モデム１１２は、ＧＩＤが２のデータをネットワーク側へ送信するデータ通信を行う（ステップＳ２１２）。

以上、実施形態２に係るフィルタリング処理について説明してきた。本実施形態に係るフィルタリング処理によれば、ＧＩＤを指定することによってデータ通信の禁止が設定される。一方で、ＵＩＤを指定することによってデータ通信の禁止が設定されるというフィルタリング処理も考えられる。しかし、ＧＩＤはＵＩＤよりも広い範囲を示すので、ＧＩＤを指定する方法は、ＵＩＤを指定する方法よりも、アプリケーションによるデータ通信の禁止を容易に設定することができる。

実施形態１及び２において、Ｉ／Ｆデバイス１１１としてモデム１１２を用いるセルラ通信方式によるデータ通信を許可又は禁止する方法について主に説明してきた。しかし、Ｉ／Ｆデバイス１１１はモデム１１２に限られず、無線ＬＡＮデバイス１１３等であってもよい。つまり、実施形態１及び２に係る通信装置１のデータ通信の制御方法は、セルラ通信方式によるデータ通信に限られず、無線ＬＡＮ通信方式等の他の通信方式によるデータ通信においても適用されうる。

また、実施形態１及び２に係るフィルタリング処理は、ＢＧ動作しているアプリケーションのデータ通信について行われたが、これには限られず、ＦＧ動作しているアプリケーションのデータ通信について行われてもよい。つまり、実施形態１及び２に係るフィルタリング処理は、ＦＧ動作しているアプリケーションが送信するデータに係るデータ通信の許可又は禁止を決定してもよい。

（実施形態３）
ここまで説明してきたように、実施形態１及び２において、アプリケーションから送信されるデータに係るデータ通信を許可するか禁止するかは、データに対応づけられるＧＩＤに基づいて決定される。また実施形態１において、通信部１１がネットワーク側に接続する通信方式を主にセルラ通信方式として説明してきた。以下、実施形態３として、通信部１１がＩ／Ｆデバイス１１１としてモデム１１２と無線ＬＡＮデバイス１１３とを適宜選択して用いる場合について説明する。

図７は、本実施形態に係るデータの流れの一例を示す図である。図７に示される構成は、図３に示される構成と同様に、制御部１０と通信部１１とが設けられる。図７において、通信部１１は、モデム１１２と無線ＬＡＮデバイス１１３とを備える。通信部１１は、モデム１１２と無線ＬＡＮデバイス１１３とを適宜選択して使用し、ネットワーク側とのデータ通信を行う。

図７において、図３と同様に、アプリケーションＡ１６ａから送信されるデータの流れが実線で示され、アプリケーションＢ１６ｂから送信されるデータの流れが破線で示される。また図７において、パケットフィルタ１５は、Ｉ／Ｆデバイス１１１がモデム１１２である場合と無線ＬＡＮデバイス１１３である場合とそれぞれについて、フィルタリング条件に基づいてデータ通信を許可するか決定する。

本実施形態に係るフィルタリング条件は、Ｉ／Ｆデバイス１１１がモデム１１２であってネットワーク側との通信がセルラ通信で行われる場合、デフォルトでデータ通信を禁止するという条件を含む。さらに、本実施形態に係るフィルタリング条件は、アプリケーションＡ１６ａから送信されるデータに係る通信許可条件を含む。図７に示されるデータの流れの一例は、これらのフィルタリング条件に基づくものである。

Ｉ／Ｆデバイス１１１がモデム１１２である場合、パケットフィルタ１５は、フィルタリング条件に基づいて、アプリケーションＢ１６ｂから送信されるデータに係るデータ通信を禁止し、データをモデム１１２に出力しない。図７において、この動作に係るデータの流れは、パケットフィルタ１５からｒｅｊｅｃｔという記載に向かう破線の矢印で示される。

また、パケットフィルタ１５は、フィルタリング条件に基づいて、アプリケーションＡ１６ａから送信されるデータに係るデータ通信を禁止せず、データをモデム１１２に出力する。図７において、この動作に係るデータの流れは、パケットフィルタ１５からモデム１１２に向かう実線の矢印で示される。

Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３である場合、パケットフィルタ１５は、アプリケーションＡ１６ａから送信されるデータに係るデータ通信もアプリケーションＢ１６ｂから送信されるデータに係るデータ通信も禁止せず、データを無線ＬＡＮデバイス１１３に出力する。図７において、この動作に係るデータの流れは、パケットフィルタ１５から無線ＬＡＮデバイス１１３に向かう実線及び破線の矢印で示される。

以上、実施形態３について説明してきた。上述の通り、セルラ通信方式と無線ＬＡＮ通信方式とでは通信するデータ量に係る課金方法が異なることがある。本実施形態によれば、セルラ通信方式によるデータ通信と、無線ＬＡＮ通信方式によるデータ通信とを選択することができ、課金方法に応じたフィルタリング条件を設定することができる。

（実施形態４）
実施形態４として、接続機能部１７をさらに備える通信装置１について説明する。接続機能部１７は、通信部１１がＩ／Ｆデバイス１１１としてモデム１１２と無線ＬＡＮデバイス１１３とを適宜選択する際に用いられる。

実施形態４においては、一般的に従量課金制の料金体系であるセルラ通信によるデータ通信についてのみＧＩＤに基づいて禁止される。無線ＬＡＮ又はＢｌｕｅｔｏｏｔｈ（登録商標）などの、一般的に従量課金制ではない方式によるデータ通信は、ＧＩＤに基づいて禁止されなくともよい。

［装置構成］
図８は、実施形態４に係る通信装置１の概略構成例を示す機能ブロック図である。図１と比較して、図８に示される通信装置１は、接続機能部１７をさらに備える。

接続機能部１７は、制御部１０と通信部１１とに接続される。接続機能部１７は、制御部１０により制御される。接続機能部１７は、通信部１１に対して、ネットワーク側との接続にモデム１１２を用いるか、無線ＬＡＮデバイス１１３を用いるか、指示する情報を出力する。

また接続機能部１７は、通信部１１におけるネットワーク側との通信が、モデム１１２を用いて行われているか、無線ＬＡＮデバイス１１３を用いて行われているかに係る情報を取得する。つまり、接続機能部１７は、図３のＩ／Ｆデバイス１１１がモデム１１２であるか無線ＬＡＮデバイス１１３であるかに係る情報を取得する。

本実施形態において、制御部１０は、アプリケーション機能部とデータサービス機能部とを備える。また、接続機能部１７は、制御部１０に含まれてもよい。

アプリケーション機能部は、通信装置１におけるアプリケーションの実行に際して、ユーザインタフェースを実現する。またアプリケーション機能部は、各アプリケーションの通信許可又は通信禁止を管理し、通信許可又は通信禁止に係る情報を接続機能部１７に通知する。またアプリケーション機能部は、各アプリケーションの状態変化に応じて、接続機能部１７への通知を実行するか否か決定する。

接続機能部１７は、アプリケーション機能部から通知された通信許可又は通信禁止に係る情報をデータサービス機能部に通知する。

データサービス機能部は、接続機能部１７から通知された通信許可又は通信禁止に係る情報に基づいて、パケットフィルタ１５が参照するフィルタリング条件として、通信許可条件又は通信禁止条件の設定（追加、変更、又は削除等）を行う。

［ＶＰＮデバイスを備える場合のデータ通信の制御］
本実施形態において、通信装置１はＶＰＮデバイス１８をさらに備える。ＶＰＮデバイス１８は、取得したデータをカプセル化するプロトコルを有する。ＶＰＮデバイス１８が有するプロトコルは、固有のＵＩＤが割り当てられている。以下、プロトコルに割り当てられたＵＩＤを、プロトコルのＵＩＤともいう。ＶＰＮデバイス１８は、このプロトコルに基づいて、アプリケーションからのデータをカプセル化する。そして、ＶＰＮデバイス１８は、カプセル化したデータを通信部１１に出力する。カプセル化されたデータは、データを送信するアプリケーションに割り当てられているＵＩＤとの対応づけが失われる。そして、カプセル化されたデータには、カプセル化を行ったプロトコルのＵＩＤが新たに対応づけられる。

ＶＰＮデバイス１８は、データのカプセル化を行うプロトコルを複数有してもよい。この場合、各プロトコルのＵＩＤはそれぞれ異なる。そして、カプセル化されたデータには、カプセル化を行ったプロトコルのＵＩＤが対応づけられる。またＶＰＮデバイス１８がデータのカプセル化を行うプロトコルを複数有する場合、これらのプロトコルのＵＩＤは、共通のグループに属する。この共通のグループには、ＧＩＤが割り当てられている。よって、ＶＰＮデバイス１８が有する複数のプロトコルには共通のＧＩＤが対応づけられる。以下、ＶＰＮデバイス１８が有する複数のプロトコルに共通に対応づけられたＧＩＤを、ＶＰＮデバイス１８のＧＩＤともいう。カプセル化されたデータには、カプセル化を行ったプロトコルを有するＶＰＮデバイス１８のＧＩＤが新たに対応づけられる。また、ＶＰＮデバイス１８が有するプロトコルは、アプリケーションに含まれるものであってもよい。この場合、ＶＰＮデバイス１８が有するプロトコルのことを、ＶＰＮアプリケーションともいう。

図９は、本実施形態に係るデータの流れを示す図である。図９において、実施形態２の図７に示される構成に加えて、接続機能部１７とＶＰＮデバイス１８とがさらに設けられる。図９において、パケットフィルタ１５から通信部１１へ直接接続される経路を通るデータの流れは、図７と同様であるので説明を省略する。

図９において、接続機能部１７は、通信部１１からＩ／Ｆデバイス１１１がモデム１１２であるか無線ＬＡＮデバイス１１３であるかに係る情報を取得する。また接続機能部１７は、通信部１１から取得した情報に基づいて、パケットフィルタ１５が参照するフィルタリング条件を設定する。

図１０は、接続機能部１７の動作を示すフローチャートである。まず、接続機能部１７は、ＶＰＮデバイス１８のＧＩＤが対応づけられたデータに係るデータ通信は常に許可するという第１のフィルタリング条件、及び、アプリケーションからＶＰＮデバイス１８へのデータの送信を禁止するという第２のフィルタリング条件を設定する（ステップＳ３０１）。

第１のフィルタリング条件により、ＶＰＮデバイス１８でカプセル化されたデータは、どのアプリケーションから送信されたデータであるかにかかわらず、データ通信が許可される。また、ＶＰＮデバイス１８でカプセル化されたデータは、Ｉ／Ｆデバイス１１１がモデム１１２であるか無線ＬＡＮデバイス１１３であるかにかかわらず、データ通信が許可される。

一方で、第２のフィルタリング条件により、アプリケーションから送信されたデータは、ＶＰＮデバイス１８に送信されず、カプセル化されないこととなる。第１及び第２のフィルタリング条件をあわせると、アプリケーションから送信されたデータがＶＰＮデバイス１８でカプセル化されることがない。

ここで、ユーザが指定するアプリケーションから送信されたデータ（ユーザが指定するＧＩＤのデータ）をＶＰＮデバイス１８でカプセル化してネットワーク側に送信するために、ＶＰＮデバイス１８へ向けてデータの送信を許可するというフィルタリング条件をさらに設定する必要がある。このフィルタリング条件の設定は、以下のステップＳ３０２〜Ｓ３０５において行われる。

ステップＳ３０１に続いて、接続機能部１７は、通信部１１からＩ／Ｆデバイス１１１に係る情報を取得し、Ｉ／Ｆデバイス１１１がモデム１１２であるか判定する（ステップＳ３０２）。

Ｉ／Ｆデバイス１１１がモデム１１２である場合（ステップＳ３０２：ＹＥＳ）、接続機能部１７は、アプリケーションＡ１６ａからＶＰＮデバイス１８へ向けてデータを送信することを許可するという第３のフィルタリング条件を追加する（ステップＳ３０３）。第３のフィルタリング条件により、アプリケーションＡ１６ａから送信されたデータは、ＶＰＮデバイス１８に送信され、カプセル化される。さらに、上記第１のフィルタリング条件により、ＶＰＮデバイス１８でカプセル化されたデータに係るデータ通信は許可されるので、アプリケーションＡ１６ａから送信されたデータはカプセル化されてネットワーク側に送信されることが許可される。その後、接続機能部１７は、図１０のフローチャートの処理を終了する。

Ｉ／Ｆデバイス１１１がモデム１１２でない場合（ステップＳ３０２：ＮＯ）、接続機能部１７は、Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３であるか判定する（ステップＳ３０４）。

Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３である場合（ステップＳ３０４：ＹＥＳ）、接続機能部１７は、アプリケーションからＶＰＮデバイス１８へ向けてデータを送信することを許可するという第４のフィルタリング条件を追加する（ステップＳ３０５）。その後、接続機能部１７は、図１０のフローチャートの処理を終了する。

ここでアプリケーションは、アプリケーションＡ１６ａ及びアプリケーションＢ１６ｂを含むので、第４のフィルタリング条件により、どのアプリケーションから送信されたデータもＶＰＮデバイス１８へ向けて送信が許可されることとなる。これにより、Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３である場合、どのアプリケーションから送信されたデータもカプセル化されてネットワーク側に送信されることが許可される。

Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３でない場合（ステップＳ３０４：ＮＯ）、接続機能部１７は、図１０のフローチャートの処理を終了する。

以上、図１０を用いて接続機能部１７に動作を説明してきたが、これらの動作により設定されるフィルタリング条件によるデータの流れは、図９において示されるデータの流れに対応する。以下、この対応関係について説明する。

図９において、パケットフィルタ１５からＶＰＮデバイス１８に向かう実線の矢印は、第３のフィルタリング条件（アプリケーションＡ１６ａからＶＰＮデバイス１８へのデータの送信を許可する条件）に基づくデータの流れを示している。また、実線の矢印は、第４のフィルタリング条件（アプリケーションＡ１６ａ及びアプリケーションＢ１６ｂからＶＰＮデバイス１８へのデータの送信を許可する条件）に基づくデータの流れも示している。

図９において、パケットフィルタ１５からＶＰＮデバイス１８に向かう破線の矢印は、ＶＰＮデバイス１８の手前で分岐する。分岐の一方は、ＶＰＮデバイス１８に向かい、分岐の他方は、ｒｅｊｅｃｔという記載に向かう。ＶＰＮデバイス１８に向かう破線の矢印は、第４のフィルタリング条件に基づくデータの流れを示している。また、ｒｅｊｅｃｔという記載に向かう破線の矢印は、第３のフィルタリング条件に基づくデータの流れを示している。つまり、破線の矢印で流れが示されるアプリケーションＢ１６ｂから送信されるデータは、Ｉ／Ｆデバイス１１１がモデム１１２であるか無線ＬＡＮデバイス１１３であるかにより、ＶＰＮデバイス１８に送信されるか決定される。

図９に示されるデータの流れは、図１０のフローチャートで設定される各フィルタリング条件に基づき実現されている。しかし、図１０とは異なるフィルタリング条件でも図９に示されるデータの流れは実現されうる。図１１は、図１０とは異なるフィルタリング条件を設定するフローチャートである。

以下、図１１に示されるフローチャートについて説明する。まず、接続機能部１７は、ＶＰＮデバイス１８のＧＩＤが対応づけられたデータに係るデータ通信は常に許可するという第１のフィルタリング条件、及び、アプリケーションからＶＰＮデバイス１８へのデータの送信を許可するという第５のフィルタリング条件を設定する（ステップＳ４０１）。第１のフィルタリング条件は、図１０のステップＳ３０１で設定される第１のフィルタリング条件と同じである。第５のフィルタリング条件は、図１０のステップＳ３０１で設定される第２のフィルタリング条件と比較して、データの送信を禁止するのではなく許可する点で異なる。

第１のフィルタリング条件により、ＶＰＮデバイス１８でカプセル化されたデータは、どのアプリケーションから送信されたデータであるかにかかわらず、データ通信が許可される。また、ＶＰＮデバイス１８でカプセル化されたデータは、Ｉ／Ｆデバイス１１１がモデム１１２であるか無線ＬＡＮデバイス１１３であるかにかかわらず、データ通信が許可される。

また、第５のフィルタリング条件により、アプリケーションから送信されたデータは、デフォルトでＶＰＮデバイス１８に送信され、カプセル化される。第１及び第５のフィルタリング条件をあわせると、アプリケーションから送信されたデータは、デフォルトで、ＶＰＮデバイス１８においてカプセル化される。

ここで、ユーザが指定するアプリケーションから送信されたデータ（ユーザが指定するＧＩＤのデータ）をＶＰＮデバイス１８に送信せずカプセル化しないようにするために、ＶＰＮデバイス１８へ向けてデータの送信を禁止するというフィルタリング条件をさらに設定する必要がある。このフィルタリング条件の設定は、以下のステップＳ４０２〜Ｓ４０５において行われる。

ステップＳ４０１に続いて、接続機能部１７は、通信部１１からＩ／Ｆデバイス１１１に係る情報を取得し、Ｉ／Ｆデバイス１１１がモデム１１２であるか判定する（ステップＳ４０２）。

Ｉ／Ｆデバイス１１１がモデム１１２である場合（ステップＳ４０２：ＹＥＳ）、接続機能部１７は、アプリケーションＢ１６ｂからＶＰＮデバイス１８へ向けてデータを送信することを禁止するという第６のフィルタリング条件を追加する（ステップＳ４０３）。これにより、アプリケーションＢ１６ｂから送信されたデータは、ＶＰＮデバイス１８に送信されず、カプセル化されない。よって、アプリケーションＢ１６ｂから送信されたデータに係るデータ通信は許可されないこととなる。一方で、アプリケーションＡ１６ａから送信されたデータは、ＶＰＮデバイス１８への送信が禁止されていない。よって、アプリケーションＡ１６ａから送信されたデータは、カプセル化されてネットワーク側に送信されることが許可される。その後、接続機能部１７は、図１１のフローチャートの処理を終了する。

Ｉ／Ｆデバイス１１１がモデム１１２でない場合（ステップＳ４０２：ＮＯ）、接続機能部１７は、Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３であるか判定する（ステップＳ４０４）。

Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３である場合（ステップＳ４０４：ＹＥＳ）、接続機能部１７は、第６のフィルタリング条件を削除する（ステップＳ４０５）。第６のフィルタリング条件の削除は、もともと第６のフィルタリング条件が追加されていた場合に限られる。これにより、アプリケーションＢ１６ｂから送信されたデータについても、ＶＰＮデバイス１８への送信が禁止されない。よって、アプリケーションＢ１６ｂから送信されたデータも、アプリケーションＡ１６ａから送信されたデータと同様に、カプセル化されてネットワーク側に送信されることが許可される。つまり、Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３である場合、どのアプリケーションから送信されたデータもカプセル化されてネットワーク側に送信されることが許可される。その後、接続機能部１７は、図１１のフローチャートの処理を終了する。

Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３でない場合（ステップＳ４０４：ＮＯ）、接続機能部１７は、図１１のフローチャートの処理を終了する。

以上、図１１を用いて説明してきた接続機能部１７の動作によって設定されるフィルタリング条件によるデータの流れは、図９に示されるデータの流れに対応する。以下、この対応関係について説明する。

図９において、パケットフィルタ１５からＶＰＮデバイス１８に向かう実線の矢印は、第５のフィルタリング条件に基づくデータの流れを示している。

図９において、パケットフィルタ１５からＶＰＮデバイス１８に向かう破線の矢印は、ＶＰＮデバイス１８の手前で分岐する。分岐の一方は、ＶＰＮデバイス１８に向かい、分岐の他方は、ｒｅｊｅｃｔという記載に向かう。ＶＰＮデバイス１８に向かう破線の矢印は、第５のフィルタリング条件（デフォルトでデータの送信を許可する条件）に基づくデータの流れを示している。また、ｒｅｊｅｃｔという記載に向かう破線の矢印は、第６のフィルタリング条件（アプリケーションＢ１６ｂからＶＰＮデバイス１８へのデータの送信を禁止する条件）に基づくデータの流れを示している。つまり、破線の矢印で流れが示されるアプリケーションＢ１６ｂから送信されるデータは、Ｉ／Ｆデバイス１１１がモデム１１２であるか無線ＬＡＮデバイス１１３であるかにより、ＶＰＮデバイス１８に送信されるか決定される。

ここまで説明してきた本実施形態に係るフィルタリング処理によれば、接続機能部１７が通信部１１から取得した情報に基づいてＶＰＮデバイス１８へのデータの送信を制御できる。よって、ＶＰＮデバイス１８でデータがカプセル化されてデータのＧＩＤが変更される場合でも、アプリケーションに割り当てられたＧＩＤに基づいてデータ通信を許可又は禁止することが容易になる。以下、本実施形態の比較例に係るフィルタリング処理について説明する。

＜比較例１＞
図１２は、本実施形態の比較例１に係るデータの流れを示す図である。図１２において、図７と同様に、アプリケーションＡ１６ａから送信されるデータの流れが実線で示され、アプリケーションＢ１６ｂから送信されるデータの流れが破線で示される。図１２におけるデータが流れる経路は、パケットフィルタ１５から通信部１１に直接接続される経路だけでなく、パケットフィルタ１５からＶＰＮデバイス１８を介して通信部１１に接続される経路も含む。ＶＰＮデバイス１８から出力され、ＶＰＮデバイス１８のＧＩＤが対応づけられたデータの流れは、二重線の矢印で示される。図１２において、パケットフィルタ１５から通信部１１へ直接接続される経路を通るデータの流れは、図７と同様であるので説明を省略する。

図１２において、パケットフィルタ１５からＶＰＮデバイス１８を介して通信部１１にデータが流れる経路は、データのカプセル化を行う前に、パケットフィルタ１５がＶＰＮデバイス１８にデータを出力するか決定するものである。図１２においては、図９と比較して、パケットフィルタ１５は、ＶＰＮデバイス１８がカプセル化したデータを最終的にモデム１１２に出力するか無線ＬＡＮデバイス１１３に出力するか判別できない。よって、アプリケーションＢ１６ｂのデータをＶＰＮデバイス１８に出力してよいか決定できない。

＜比較例２＞
図１３は、本実施形態の比較例２に係るデータの流れを示す図である。図１３において、図７及び図１２と同様に、アプリケーションＡ１６ａから送信されるデータの流れが実線で示され、アプリケーションＢ１６ｂから送信されるデータの流れが破線で示される。また図１３において、図１２と同様に、ＶＰＮデバイス１８から出力され、ＶＰＮデバイス１８のＧＩＤが対応づけられたデータの流れは、二重線で示される。図１３において、アプリケーションＡ１６ａ及びアプリケーションＢ１６ｂとパケットフィルタ１５との間にＶＰＮデバイス１８が接続されている。つまり、図１３におけるデータが流れる経路は、アプリケーションから送信されたデータがカプセル化された後に、パケットフィルタ１５が通信部１１にデータを出力するか決定するものである。

図１３においては、図１２とは異なり、パケットフィルタ１５は、通信部１１のＩ／Ｆデバイス１１１に対してデータを直接出力するため、データの出力先であるＩ／Ｆデバイス１１１が、モデム１１２であるか無線ＬＡＮデバイス１１３であるか判別できる。

しかしこの場合、パケットフィルタ１５に入力されるデータには、ＶＰＮデバイス１８においてデータをカプセル化したプロトコルのＵＩＤが対応づけられている。また、パケットフィルタ１５に入力されるデータには、ＶＰＮデバイス１８のＧＩＤが対応づけられている。つまり、パケットフィルタ１５に入力されるデータには、アプリケーションＡ１６ａのＵＩＤもアプリケーションＢ１６ｂのＵＩＤも対応づけられていないし、これらのＵＩＤが属するグループのＧＩＤも対応づけられていない。よって、パケットフィルタ１５は、データがアプリケーションＡ１６ａから送信されたのか、アプリケーションＢ１６ｂから送信されたのか、判別できない。つまり、パケットフィルタ１５は、カプセル化される前のデータに係るデータ通信が許可されるべきであったか禁止されるべきであったか、判別できない。結果として、パケットフィルタ１５は、Ｉ／Ｆデバイス１１１がモデム１１２である場合に、モデム１１２に対してアプリケーションからのデータを出力してよいかどうか決定できない。

一方で、Ｉ／Ｆデバイス１１１が無線ＬＡＮデバイス１１３である場合には、パケットフィルタ１５は、無線ＬＡＮデバイス１１３に対してアプリケーションからのデータを出力してよいと決定し、データを出力できる。

以上、本実施形態並びに比較例１及び比較例２に係るデータの流れ、つまり、データ通信の制御について説明してきた。本実施形態に係るデータ通信の制御によれば、ＶＰＮデバイス１８でデータがカプセル化されてデータのＧＩＤが変更される場合でも、データに対応づけられたＧＩＤに基づいてデータ通信を許可又は禁止することが容易になる。

（変形例）
変形例として、ＶＰＮデバイス１８が有するデータのカプセル化を行うプロトコルが属するグループに、データを送信するアプリケーションのＵＩＤも属する場合について説明する。この場合、アプリケーションが送信するデータのＧＩＤは、当該データがカプセル化されたデータのＧＩＤと同一となる。そうすると、データがカプセル化された場合にも、実施形態１及び２において説明してきたフィルタリング処理によって、データに対応づけられたＧＩＤに基づいてデータ通信の許可又は禁止を決定することができる。つまり、データ通信の許可又は禁止を決定するためにＧＩＤを指定する方法は、ＵＩＤを指定する方法よりも、アプリケーションによるデータ通信の許可又は禁止を容易に設定することができる。

本発明を諸図面や実施例に基づき説明してきたが、当業者であれば本開示に基づき種々の変形や修正を行うことが容易であることに注意されたい。従って、これらの変形や修正は本発明の範囲に含まれることに留意されたい。例えば、各構成部、各ステップなどに含まれる機能などは論理的に矛盾しないように再配置可能であり、複数の構成部やステップなどを１つに組み合わせたり、或いは分割したりすることが可能である。また、本発明について装置を中心に説明してきたが、本発明は装置の各構成部が実行するステップを含む方法としても実現し得るものである。また、本発明について装置を中心に説明してきたが、本発明は装置が備えるプロセッサにより実行される方法、プログラム、又はプログラムを記録した記憶媒体としても実現し得るものであり、本発明の範囲にはこれらも包含されるものと理解されたい。

上記の実施形態では、従量課金制ではない方式によるデータ通信の方式として無線ＬＡＮを例示したが、これに限定されず、従量課金制ではない方式は、Ｂｌｕｅｔｏｏｔｈ（登録商標）やＥｔｈｅｒｎｅｔ（登録商標）等のデータ通信方式であってもよい。

１ 通信装置
１０ 制御部
１１ 通信部
１１１ Ｉ／Ｆデバイス
１１２ モデム
１１３ 無線ＬＡＮデバイス
１２ 記憶部
１３ 表示部
１４ 操作部
１５ パケットフィルタ
１６ａ アプリケーションＡ
１６ｂ アプリケーションＢ
１７ 接続機能部
１８ ＶＰＮデバイス

上記目的を達成する本発明の一実施形態に係る通信装置は、
デフォルトでデータ通信を禁止し、
アプリケーションからデータ通信の要求を受け、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可する。
また、デフォルトで全てのアプリケーションのデータ通信を禁止し、
アプリケーションからデータ通信の要求を受け、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可してよい。
また、デフォルトで全てのアプリケーションのデータ通信を禁止し、
バックグラウンド動作するアプリケーションからデータ通信の要求を受け、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのバックグラウンド動作におけるデータ通信を許可してよい。
また、デフォルトで、アプリケーションのバックグラウンド動作におけるデータ通信を禁止し、
バックグラウンド動作するアプリケーションからデータ通信の要求を受け、
前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのバックグラウンド動作におけるデータ通信を許可してよい。
また、デフォルトで全てのアプリケーションのデータ通信を禁止し、
アプリケーションからデータ通信の要求を受け、
前記要求したアプリケーションが属するグループのＩＤが、ユーザが指定したグループのＩＤである場合に、該アプリケーションのデータ通信を許可してよい。

Claims (9)

1. デフォルトでデータ通信を禁止し、
   アプリケーションからデータ通信の要求を受け、
   前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可する
   通信装置。
2. 前記アプリケーションは、ＶＰＮアプリケーションである、請求項１に記載の通信装置。
3. 前記データ通信がセルラ通信である場合に、デフォルトでデータ通信を禁止する、請求項１又は２に記載の通信装置。
4. 前記データ通信が無線ＬＡＮ通信である場合に、デフォルトでデータ通信を許可する、請求項１乃至３いずれか一項に記載の通信装置
5. 通信装置において、
   デフォルトでデータ通信を禁止するステップと、
   アプリケーションからデータ通信の要求を受けるステップと、
   前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可するステップと
   を含む通信制御方法。
6. 通信装置として機能するコンピュータに、
   デフォルトでデータ通信を禁止するステップと、
   アプリケーションからデータ通信の要求を受けるステップと、
   前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を許可するステップと
   を実行させるプログラム。
7. デフォルトでデータ通信を許可し、
   アプリケーションからデータ通信の要求を受け、
   前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を禁止する
   通信装置。
8. 通信装置において、
   デフォルトでデータ通信を許可するステップと、
   アプリケーションからデータ通信の要求を受けるステップと、
   前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を禁止するステップと
   を含む通信制御方法。
9. 通信装置として機能するコンピュータに、
   デフォルトでデータ通信を許可するステップと、
   アプリケーションからデータ通信の要求を受けるステップと、
   前記要求したアプリケーションが属するグループのＩＤに応じて、該アプリケーションのデータ通信を禁止するステップと
   を実行させるプログラム。

Images