JP2017175526A - 中継装置、中継装置の中継方法、及び中継用プログラム - Google Patents

Abstract

【課題】仮想ネットワークごとのセキュリティを向上させる。【解決手段】物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定される中継装置であって、物理ポート毎に通信規格を記憶する物理ポート記憶手段と、通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段と、入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定し、特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定するフレーム解析手段と、を備える。【選択図】図３

Description

本発明は中継装置、中継装置の中継方法、及び中継用プログラムに関わり、特に物理ポート毎に仮想ネットワークが割り当てられる中継装置、中継装置の中継方法、及び中継用プログラムに関する。

自宅やオフィスでインターネットへ接続するような情報ネットワークとは別に、プラント内、工場内やビル内などの設備の制御をおこなうネットワーク（制御ネットワーク）がある。その制御ネットワークでは、データリンク層をイーサネット（登録商標）とした通信規格が、多種存在する。例えば、このような通信規格として、FL-net、PROFINET、EtherNet／IP、CC-Link IEなどがある。

制御ネットワークでは、所有する設備を動作させ、設備の制御をするため、多種存在する通信規格の設備を同時に動作させることがある。例えば、図８に示ように、領域１０ではFL-net規格を用いて端末１０１、１０２の制御を行い、領域２０ではCC-Link IE規格を用いて端末２０１、２０２の制御を行う。

工場内にある通信規格の異なる通信端末（工作機器、センサー、カメラなど）を同一のスイッチを用いて、ネットワークを構成すると、異なる通信規格の端末に不要な通信を発生させてしまい、回線帯域を不要な通信で消費することにより、正常な通信ができなくなるといった問題が発生する。例えば、図９に示ように、領域１０の制御装置１０３、端末１０１及び端末１０２がFL-net規格に属し、領域２０の制御装置２０３、端末２０１及び端末２０２がCC-LinkIE規格に属する。制御装置１０３はスイッチ３１を介して、端末１０１と端末１０２を制御し、制御装置２０３はスイッチ３１を介して、端末１０１と端末１０２を制御する。

制御装置１０３から出されたフレームがブロードキャストである場合、スイッチ３０はCC-LinkIE規格側である領域２０にもフレームを出してしまう。ただし、通信規格が異なるために端末２０１、２０２との通信はできない。同様に、制御装置２０３から出されたフレームがブロードキャストである場合、スイッチ３０はFL-net規格側である領域１０にもフレームを出してしまう。ただし、通信規格が異なるために端末１０１、１０２との通信はできない。

また、FL-net側の領域１０に端末を増設すると、アドレス解決するためのFloodフレームを、CC-LinkIE側の領域２０に出してしまう。

同一のスイッチを用いて、ネットワークを構成する課題は、特許文献１に記載されたような、通信規格が同じ通信端末同士をそれぞれ、仮想的に１つのスイッチに割り当てる技術（ポートベースＶＬＡＮ等）を用いて解決可能である。図１０に、図９のスイッチ３１を通信規格毎に論理的に分けられたスイッチ３２−１、３２−２を備えたスイッチ３２に置き換えた例を示す。

国際公開第２０１４／０８４２５０号

しかしながら、図１０に示すような、通信規格毎に論理的に用意したスイッチ（ポートベースVLANなどを用いて論理的に分かれたスイッチ）で構成するネットワークにおいて、未認証の端末（悪意のある者が、そのネットワークに接続した端末など）や認証済みの端末が何らかの手段でウイルスに感染した場合、ネットワークごとのセキュリティが守れないといった課題が発生する。

本発明の目的は、物理ポート毎に仮想ネットワークが割り当てられる中継装置において仮想ネットワークごとのセキュリティを向上させることができる中継装置、中継装置の中継方法、及び中継用プログラムを提供することにある。

本発明の第１の態様は、物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定される中継装置であって、
物理ポート毎に通信規格を記憶する物理ポート記憶手段と、
前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段と、
入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定し、特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定するフレーム解析手段と、を備えた中継装置である。

本発明の第２の態様は、前記中継装置と、前記仮想ネットワークに対応して設けられ、該中継装置に接続される制御装置と、前記中継装置に接続され、該制御装置によって制御される端末とを備えた制御ネットワークシステムである。

本発明の第３の態様は、物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定される中継装置の中継方法であって、
前記中継装置は、物理ポート毎に通信規格を記憶する物理ポート記憶手段と、前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段とを備え、
入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定し、
特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定する中継方法である。

本発明の第４の態様は、物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定された中継装置であり、且つ物理ポート毎に通信規格を記憶する物理ポート記憶手段と、前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段とを備えた中継装置としてのコンピュータに、
入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定する処理と、
特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定する処理と、
を実行させる中継用プログラムである。

本発明によれば、仮想ネットワークごとのセキュリティを向上させることができる。

本発明の一実施形態の制御ネットワークシステムを示すブロック図である。 セキュリティスイッチのポートベースＶＬＡＮ機能の説明図である。 中継装置となるセキュリティスイッチの一構成例を示すブロック図である。 物理ポート記憶部に記憶されるテーブルを示す図である。 通信ルール記憶部に記憶されるテーブルを示す図である。 ＭＡＣヘッダー、ＩＰヘッダー、ＴＣＰ／ＵＤＰヘッダーの代表的な対象フィールドを示す図である。 フレーム解析部の動作を示すフローチャートである。 複数の制御ネットワークの通信規格で制御される製造工程を示す図である。 複数の制御ネットワークの通信規格でスイッチを用いて制御される製造工程を示す図である。 複数の制御ネットワークの通信規格で、通信規格毎に論理的に分けられたスイッチを用いて制御される製造工程を示す図である。

以下、本発明の一実施形態について図面を用いて詳細に説明する。

図１は本発明の一実施形態の制御ネットワークシステムを示すブロック図である。図１に示ように、領域１０の制御装置１０３、端末１０１及び端末１０２がFL-net規格に属し、領域２０の制御装置２０３、端末２０１及び端末２０２がCC-LinkIE規格に属する。制御装置１０３は中継装置となるセキュリティスイッチ３０を介して、端末１０１と端末１０２を制御し、制御装置２０３はセキュリティスイッチ３０を介して、端末１０１と端末１０２を制御する。セキュリティスイッチ３０はポートベースＶＬＡＮ機能を用いて論理的に分かれたスイッチ３０−１、３０−２を備える。端末１０１、１０２にはスイッチ３０−１が割り当てられ、端末２０１、２０２にはスイッチ３０−２が割り当てられる。端末１０１、１０２、２０１、２０２は工作機器、センサー、カメラ等であり、ここでは端末１０１、２０１が工作機器、端末１０２、２０２がセンサーである。なおここでは、制御ネットワークにおける、データリンク層をイーサネット（登録商標）とした通信規格として、FL-net規格とCC-LinkIE規格を例にとって説明しているが、その他の通信規格の組み合わせでもよい。

図２は、セキュリティスイッチ３０のポートベースＶＬＡＮ機能の説明図である。ポートベースＶＬＡＮとは、物理ポート単位に仮想的なＬＡＮ（仮想ネットワーク）を形成することをいう。図２（Ａ）に示すように、制御装置１０３，２０３、セキュリティスイッチ３０、及び端末１０１，１０２，２０１，２０２は、物理的に１つのネットワークを形成しているように見える。しかし、図２（Ｂ）に示ように、ポートベースVLAN機能を用いて、物理的な配置（接続）とは関係なく、仮想的にネットワーク（ＶＬＡＬ１及びＶＬＡＮ２）を形成している。物理ポート単位にＬＡＮグループが設定され、設定したＬＡＮグループが異なる場合、その通信は、遮断される。ここでは物理ポートＰ１、Ｐ２、Ｐ５、Ｐ６がＶＬＡＮ１に設定され、物理ポートＰ３、Ｐ４、Ｐ７、Ｐ８がＶＬＡＮ２に設定される。図２（Ｃ）に示ように、物理的には同じスイッチに接続されていても、論理的には、ＬＡＮグループ単位のスイッチが形成されたように見える。図１に示したスイッチ３０−１、３０−２はＬＡＮグループ単位に分けられたスイッチを示す。

図３は、中継装置となるセキュリティスイッチ３０の一構成例を示すブロック図である。セキュリティスイッチ３０は、物理ポート記憶手段となる物理ポート記憶部３０１、通信ルール記憶手段となる通信ルール記憶部３０２、及びフレーム解析手段となるフレーム解析部３０３を備えている。

物理ポート記憶部３０１には物理ポート毎に通信規格が記憶される。ここでは、物理ポート記憶部３０１に記憶される、図４のテーブルに示ように、物理ポート番号１、２、５、及び６の物理ポート（ＶＬＡＬ１が割り当てられた物理ポート）にはFL-net規格が設定され、物理ポート番号３、４、７、及び８の物理ポート（ＶＬＡＬ２が割り当てられた物理ポート）にはCC-LinkIE規格が設定されている。

通信ルール記憶部３０２には、通信規格の通信ルールが設定され記憶される。通信規格の通信ルールを設定する場合、設定する物理ポート番号と物理ポート記憶部３０１から通信規格を特定し、特定した通信規格の通信ルールを設定し、通信ルール記憶部３０２に記憶する。通信ルールはフレームの通過条件を規定するもので、通信ルール記憶部３０２に記憶される図５のテーブルでは、出力可能なフレームの情報のリストが、FL-net規格とCC-LinkIE規格とに分けて記憶されている。例えば、図５のテーブルには、FL-net規格の通信ルールについて、エントリ番号ごとにＯＳＩ参照モデルのデータリンク層（Ｌ２）のＭＡＣヘッダー情報、ＯＳＩ参照モデルのネットワーク層（Ｌ３）のＩＰヘッダー情報、ＯＳＩ参照モデルのトランスポート層（Ｌ４）のＴＣＰ／ＵＤＰヘッダー情報が記憶されている。ＭＡＣヘッダー、ＩＰヘッダー、ＴＣＰ／ＵＤＰヘッダーの代表的な対象フィールドを図６に示す。なお通信ルールのパラメータは図６では、ＭＡＣヘッダー、ＩＰヘッダー、及びＴＣＰ／ＵＤＰヘッダーとしているが、パラメータの設定はこれに限定されず、例えば、ＭＡＣヘッダーのみ、ＭＡＣヘッダーとＩＰヘッダー、ＩＰヘッダーとＴＣＰ／ＵＤＰヘッダーをパラメータとしてもよい。図６に示す、ＭＡＣヘッダー、ＩＰヘッダー、ＴＣＰ／ＵＤＰヘッダーの対象フィールドのいずれか又は対象フィールドを任意に組み合わせてパラメータとすることもできる。また、ＭＡＣヘッダー、ＩＰヘッダー、及びＴＣＰ／ＵＤＰヘッダーの対象フィールドとして、図６に示された以外の対象フィールド、例えばＩＰヘッダーのサービスタイプ（ＴｏＳ）フィールドやフラグフィールドの両方又は一方を含めることもできる。また、フレームの特定のデータをテーブルに記憶し、これを通信ルールとすることもできる。

また図５のテーブルには、CC-LinkIE規格の通信ルールについて、エントリ番号ごとにＯＳＩ参照モデルのデータリンク層（Ｌ２）のＭＡＣヘッダー情報、データリンク層より上層のCC-LinkIEフレームのヘッダー情報が記憶されている。通信ルールのパラメータはこれに限定されず、ＭＡＣヘッダーのみ、CC-LinkIEフレームのヘッダーのみとしてもよい。図６に示したＭＡＣヘッダーの対象フィールドとCC-LinkIEフレームのヘッダーの対象フィールド（例えば、フレーム種別、データ種別、ノードＩＤ等）のいずれか又は対象フィールドを任意に組み合わせてパラメータとすることもできる。また、フレームの特定のデータをテーブルに記憶し、これを通信ルールとすることもできる。

図５のテーブルには通信ルールとして出力可能なフレームの情報のリストを記憶しているが、出力を許可しないフレームの情報リストを記憶しておいてもよい。通信ルールとして出力可能なフレームの情報のリストを記憶した場合には、フレーム解析部３０３は、入力フレームの情報が通信ルール記憶部３０２に記憶されたフレーム情報のリストにあれば入力フレームを出力する。また、通信ルールとして出力を許可しないフレームの情報リストを記憶した場合は入力フレームの情報が通信ルール記憶部３０２に記憶されたフレーム情報のリストになければ入力フレームを出力する。なお、通信ルールとして出力可能なフレームの情報のリストを記憶した場合には、リストを更新しなくとも未知の攻撃や不正アクセスを排除できる利点がある。

以上説明した例では、FL-net規格とCC-LinkIE規格を用いた制御ネットワークを示し、両方の通信規格の通信ルールとして出力可能なフレームの情報のリストを用いたが、通信ルールは通信規格の種類に応じて、出力可能なフレームの情報のリスト（第１のリストとなる）か、出力を許可しないフレームの情報リスト（第２のリストとなる）かを選択することができる。例えば、製造工程において、より高いセキュリティレベルが求められる工程の通信規格の通信ルールとして出力可能なフレームの情報のリストを用い、他方の通信規格の通信ルールとして出力を許可しないフレームの情報のリストを用いてもよい。また、制御ネットワークと情報ネットワークとが混在するシステムにおいて、制御ネットワーク側の通信規格の通信ルールとして出力可能なフレームの情報のリストを用い、情報ネットワーク側の通信規格の通信ルールとして出力を許可しないフレームの情報のリストを用いるようにしてもよい。

フレーム解析部３０３は、図７のフローチャートに示すように動作する。ここでは、通信ルールが出力可能なフレームの情報のリストである場合を例にとって説明する。通信ルールが出力を許可しないフレームの情報リストの場合はステップＳ４０５とステップＳ４０６とを交換したフローチャートとなる。図７に示すように、フレーム解析部３０３は入力フレームを受信すると、入力フレームを解析し（ステップＳ４０１）、入力した物理ポートの物理ポート番号に基づいて物理ポート記憶部３０１を参照し、通信規格を特定する（ステップＳ４０２）。具体的には、図４に示すように、物理ポート番号が１、２、５、又は６であれば、FL-net規格と特定し、物理ポート番号が３、４、７、又は８であれば、CC-LinkIE規格と特定する。次に、通信規格毎の通信ルールの有無を通信ルール記憶部３０２を参照し、調べる（ステップＳ４０３）。

通信ルール記憶部３０２に通信ルールがあるか否かを判断し（ステップＳ４０４）、通信ルールが有れば（ステップＳ４０４のＹＥＳ）、通過条件を満たすとして、予め設定した設定動作に従い動作する。例えば設定が、「通信ルールが有れば、フレームを通過、通過したこと（又は通信ルールが有ったこと）を通知しない」であれば、フレームを通過させ出力する（ステップＳ４０５）。一方、通信ルールが無ければ（ステップＳ４０４のＮＯ）、通過条件を満たさないとして、予め設定した設定動作に従い動作する。例えば設定が「通信ルールが無ければ、フレームを廃棄し、廃棄したことを通知（記録）する」であれば、フレームを廃棄し、廃棄したことを通知（記録）する。設定動作は特に限定されず、ステップＳ４０５において、通過したフレームをログに記録し、ログサーバに送信したり、ステップＳ４０６において、フレームを廃棄せずに別途出力して、当該フレームによって生ずる影響を検証できるようにしてもよい。

以上説明した実施形態のセキュリティスイッチのフレーム解析部の全部又は一部は、ハードウェア、ソフトウェア又はこれらの組合せにより実現することができる。ここで、ソフトウェアによって実現されるとは、コンピュータがプログラムを読み込んで実行することにより実現されることを意味する。ハードウェアで構成する場合、図３に示す、セキュリティスイッチのフレーム解析部の一部又は全部を、例えば、ＬＳＩ(Large Scale Integrated circuit)、ＡＳＩＣ(Application Specific Integrated Circuit)、ゲートアレイ、ＦＰＧＡ(Field Programmable Gate Array)等の集積回路（ＩＣ）で構成することができる。

フレーム解析部をソフトウェアで構成する場合、フレーム解析部の機能を記述したプログラムを記憶した、ハードディスク、ＲＯＭ等の記憶部、演算に必要なデータを記憶するＤＲＡＭ、ＣＰＵ、各部を接続するバスで構成されたコンピュータにおいて、演算に必要な情報をＤＲＡＭに記憶し、ＣＰＵで当該プログラムを動作させることで実現することができる。

プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

以上、本発明の好適な実施形態の構成を説明した。しかし、かかる実施形態は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨を逸脱することなく、特定用途に応じて種々の変形変更が可能であることが、当業者には容易に理解できよう。

上記の実施の形態の一部又は全部は、以下の付記のようにも記載されうるが、以下の構成には限られない。

（付記１）
物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定される中継装置であって、
物理ポート毎に通信規格を記憶する物理ポート記憶手段と、
前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段と、
入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定し、特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定するフレーム解析手段と、を備えた中継装置。

（付記２）
前記通信ルールは、出力可能なフレームの情報のリストであり、前記フレーム解析手段は、前記入力されたフレームの情報が前記通信ルールの前記リストにあるときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする付記１に記載の中継装置。

（付記３）
前記通信ルールは、通信規格の種類によって設定される、出力可能なフレームの情報の第１のリストと、出力を許可しないフレームの情報の第２のリストとのうちの１つであり、
前記フレーム解析手段は、特定された通信規格に対応する通信ルールが第１のリストである場合は、前記入力されたフレームの情報が前記第１のリストにあるときに、前記通過条件を満たすとして前記フレームを出力し、特定された通信規格に対応する通信ルールが第２のリストである場合は、前記入力されたフレームの情報が前記第２のリストにないときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする付記１に記載の中継装置。

（付記４）
付記１から３のいずれかに記載の中継装置と、前記仮想ネットワークに対応して設けられ、該中継装置に接続される制御装置と、前記中継装置に接続され、該制御装置によって制御される端末とを備えた制御ネットワークシステム。

（付記５）
物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定される中継装置の中継方法であって、
前記中継装置は、物理ポート毎に通信規格を記憶する物理ポート記憶手段と、前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段とを備え、
入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定し、
特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定する中継方法。

（付記６）
前記通信ルールは、出力可能なフレームの情報のリストであり、前記入力されたフレームの情報が前記通信ルールの前記リストにあるときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする付記５に記載の中継方法。

（付記７）
前記通信ルールは、通信規格の種類によって設定される、出力可能なフレームの情報の第１のリストと、出力を許可しないフレームの情報の第２のリストとのうちの１つであり、
特定された通信規格に対応する通信ルールが第１のリストである場合は、前記入力されたフレームの情報が前記第１のリストにあるときに、前記通過条件を満たすとして前記フレームを出力し、特定された通信規格に対応する通信ルールが第２のリストである場合は、前記入力されたフレームの情報が前記第２のリストにないときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする付記５に記載の中継方法。

（付記８）
物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定された中継装置であり、且つ物理ポート毎に通信規格を記憶する物理ポート記憶手段と、前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段とを備えた中継装置としてのコンピュータに、
入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定する処理と、
特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定する処理と、
を実行させる中継用プログラム。

（付記９）
前記通信ルールは、出力可能なフレームの情報のリストであり、前記入力されたフレームの情報が前記通信ルールの前記リストにあるときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする付記８に記載の中継用プログラム。

（付記１０）
前記通信ルールは、通信規格の種類によって設定される、出力可能なフレームの情報の第１のリストと、出力を許可しないフレームの情報の第２のリストとのうちの１つであり、
特定された通信規格に対応する通信ルールが第１のリストである場合は、前記入力されたフレームの情報が前記第１のリストにあるときに、前記通過条件を満たすとして前記フレームを出力し、特定された通信規格に対応する通信ルールが第２のリストである場合は、入力されたフレームの情報が前記第２のリストにないときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする付記８に記載の中継用プログラム。

本発明は、セキュリティの向上が求められるネットワーク、特に制御ネットワークのセキュリティスイッチに好適に用いることができる。

１０、２０ 制御ネットワークシステムの領域
１０３、２０３ 制御装置
１０１、１０２、２０１、２０２ 端末
３０、３１ スイッチ
３０ セキュリティスイッチ
３０１ 物理ポート記憶部
３０２ 通信ルール記憶部
３０３ フレーム解析部

Claims (10)

1. 物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定される中継装置であって、
   物理ポート毎に通信規格を記憶する物理ポート記憶手段と、
   前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段と、
   入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定し、特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定するフレーム解析手段と、を備えた中継装置。
2. 前記通信ルールは、出力可能なフレームの情報のリストであり、前記フレーム解析手段は、前記入力されたフレームの情報が前記通信ルールの前記リストにあるときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする請求項１に記載の中継装置。
3. 前記通信ルールは、通信規格の種類によって設定される、出力可能なフレームの情報の第１のリストと、出力を許可しないフレームの情報の第２のリストとのうちの１つであり、
   前記フレーム解析手段は、特定された通信規格に対応する通信ルールが第１のリストである場合は、前記入力されたフレームの情報が前記第１のリストにあるときに、前記通過条件を満たすとして前記フレームを出力し、特定された通信規格に対応する通信ルールが第２のリストである場合は、前記入力されたフレームの情報が前記第２のリストにないときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする請求項１に記載の中継装置。
4. 請求項１から３のいずれか１項に記載の中継装置と、前記仮想ネットワークに対応して設けられ、該中継装置に接続される制御装置と、前記中継装置に接続され、該制御装置によって制御される端末とを備えた制御ネットワークシステム。
5. 物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定される中継装置の中継方法であって、
   前記中継装置は、物理ポート毎に通信規格を記憶する物理ポート記憶手段と、前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段とを備え、
   入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定し、
   特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定する中継方法。
6. 前記通信ルールは、出力可能なフレームの情報のリストであり、前記入力されたフレームの情報が前記通信ルールの前記リストにあるときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする請求項５に記載の中継方法。
7. 前記通信ルールは、通信規格の種類によって設定される、出力可能なフレームの情報の第１のリストと、出力を許可しないフレームの情報の第２のリストとのうちの１つであり、
   特定された通信規格に対応する通信ルールが第１のリストである場合は、前記入力されたフレームの情報が前記第１のリストにあるときに、前記通過条件を満たすとして前記フレームを出力し、特定された通信規格に対応する通信ルールが第２のリストである場合は、前記入力されたフレームの情報が前記第２のリストにないときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする請求項５に記載の中継方法。
8. 物理ポート毎に仮想ネットワークが割り当てられ、同じ仮想ネットワークが割り当てられた物理ポートに同じ通信規格が設定された中継装置であり、且つ物理ポート毎に通信規格を記憶する物理ポート記憶手段と、前記通信規格毎にフレームの通過条件を規定する通信ルールを記憶する通信ルール記憶手段とを備えた中継装置としてのコンピュータに、
   入力されたフレームの物理ポートに対応する通信規格を、前記物理ポート記憶手段を参照して特定する処理と、
   特定された通信規格に対応する通信ルールの通過条件を、入力されたフレームが満たすか否かを、前記通信ルール記憶手段を参照して調べ、前記通過条件を満たすか否かに基づいて前記フレームを出力するか否かを決定する処理と、
   を実行させる中継用プログラム。
9. 前記通信ルールは、出力可能なフレームの情報のリストであり、前記入力されたフレームの情報が前記通信ルールの前記リストにあるときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする請求項８に記載の中継用プログラム。
10. 前記通信ルールは、通信規格の種類によって設定される、出力可能なフレームの情報の第１のリストと、出力を許可しないフレームの情報の第２のリストとのうちの１つであり、
    特定された通信規格に対応する通信ルールが第１のリストである場合は、前記入力されたフレームの情報が前記第１のリストにあるときに、前記通過条件を満たすとして前記フレームを出力し、特定された通信規格に対応する通信ルールが第２のリストである場合は、入力されたフレームの情報が前記第２のリストにないときに、前記通過条件を満たすとして前記フレームを出力することを特徴とする請求項８に記載の中継用プログラム。
    

Images