JP2019114873A - 通信装置、通信正常性確認方法、通信プログラム - Google Patents

Abstract

【課題】端末が定期的な通信をしなくても、通信の正常性確認を実施できるようにする。【解決手段】第１通信装置１３において、通信正常性確認部３５は、第１端末からの通常パケットとは異なるデータを含み第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする監視パケットを生成してカプセル化部３４に入力する。カプセル化部３４は、監視パケットをカプセル化して第２通信装置へ送信する。カプセル化部３４は、第２端末からの通常パケットとは異なるデータを含み第２端末および第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする応答パケットをカプセル化したパケットを第２通信装置から受信し、応答パケットを通信正常性確認部３５に出力する。通信正常性確認部３５は、応答パケットがカプセル化部３４より出力されたかどうかによって通信の正常性を確認する。【選択図】図２

Description

本発明は、通信装置、管理装置、通信正常性確認方法、通信プログラムおよび管理プログラムに関するものである。

拠点間のＩＰＳｅｃ通信の正常性確認にはＩＰＳｅｃ装置間の疎通確認だけでは不十分で、実際に通信する端末のネットワークアドレス体系に従った通信確認が必要である。なぜなら、ＩＰＳｅｃ装置の設定誤り、または、ＩＰＳｅｃ装置自体の故障等でＩＰＳｅｃ装置間の疎通は正常でも、拠点の端末間の通信が不通となる場合が想定されるからである。「ＩＰＳｅｃ」は、ＩＰ Ｓｅｃｕｒｉｔｙの略語である。「ＩＰ」は、Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌの略語である。ＩＰＳｅｃ装置の設定誤りの例としては、ＳＰＤの設定誤り、および、鍵の誤り等がある。「ＳＰＤ」は、Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅの略語である。

特許文献１には、拠点端末間の通信の正常性を確認する方法として、端末間の特定通信が定期的に行われることを利用して該当通信の有無をモニターすることにより通信の正常性を確認する方式が記載されている。

特開２０１７−０９８６６６号公報

特許文献１に記載されている方法では、端末が常時通信しない機器の場合、モニタリング可能な通信がないため、正常性確認が実施できない。

拠点端末間の通信の正常性を確認する別の方法として、端末と同一ネットワークに監視機器を設置して監視機器間の通信を行うことにより通信の正常性を確認する方式が考えられる。しかし、この方法では、費用または設置場所の問題で各拠点に監視機器を設置できない場合、正常性確認が実施できない。

例として、監視機器が設置されておらず、端末としてＩＰ電話のみが設置されたネットワークの通信を中継するＩＰＳｅｃ装置を考える。

この例では、ＩＰ電話が通話を開始しない限り相手との通信が発生しないため、定期的通信が行われず、モニタリングによる正常性確認が実施できない。そのため、通話する際になって初めて通信が不通であることが判明する。よって、前もった障害対応ができない。

本発明は、端末が定期的な通信をしなくても、通信の正常性確認を実施できるようにすることを目的とする。

本発明の一態様に係る通信装置は、
第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする第１パケットが入力され、入力された第１パケットをカプセル化して対向装置へ送信するとともに、前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする第２パケットをカプセル化したパケットを前記対向装置から受信し、受信したパケットのカプセル化を解除して得られた第２パケットを出力するカプセル化部と、
前記第１パケットとして、前記第１端末から送信される第１通常パケットとは異なるデータを含む監視パケットを生成し、生成した監視パケットを前記カプセル化部に入力し、前記第２パケットとして、入力した監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含む応答パケットが前記カプセル化部より出力されたかどうかによって前記第１端末と前記第２端末との間の通信の正常性を確認する通信正常性確認部と
を備える。

本発明では、端末が定期的な通信をしなくても、通信装置が端末のアドレスと同一のアドレスを用いて監視パケットと応答パケットとを送受信することで、通信の正常性確認を実施することができる。

実施の形態１に係る通信システムの構成を示すブロック図。 実施の形態１に係る第１通信装置の構成を示すブロック図。 実施の形態１に係る第２通信装置の構成を示すブロック図。 実施の形態１に係る管理装置の構成を示すブロック図。 実施の形態１に係る第１通信装置および第２通信装置の動作を示す図。 実施の形態１に係る第１通信装置および管理装置の動作を示す図。 実施の形態１に係る管理装置および第１通信装置の動作を示す図。 実施の形態１の変形例に係る第１通信装置の構成を示すブロック図。 実施の形態１の変形例に係る第２通信装置の構成を示すブロック図。 実施の形態１の変形例に係る管理装置の構成を示すブロック図。

以下、本発明の実施の形態について、図を用いて説明する。各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。なお、本発明は、以下に説明する実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。例えば、以下に説明する実施の形態は、部分的に実施されても構わない。

実施の形態１．
本実施の形態について、図１から図７を用いて説明する。

＊＊＊構成の説明＊＊＊
図１を参照して、本実施の形態に係る通信システム１０の構成を説明する。

通信システム１０は、第１端末１１と、第２端末１２と、第１通信装置１３と、第２通信装置１４と、管理装置１５とを備える。

第１端末１１は、ある拠点に設置された端末である。第１端末１１は、例えば、ＩＰ電話、ＰＣまたはウェブサーバ等のサーバである。「ＰＣ」は、Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒの略語である。

第２端末１２は、第１端末１１とは別の拠点に設置された端末である。第２端末１２は、例えば、ＩＰ電話、ＰＣまたはウェブサーバ等のサーバである。

第１通信装置１３は、第１端末１１と、インターネット等のネットワーク１６との間に設置された通信装置である。第１通信装置１３は、ネットワーク１６を介して第２通信装置１４と対向している。すなわち、第１通信装置１３は、第２通信装置１４にとっての対向装置である。第１通信装置１３は、具体的には、ＩＰＳｅｃ装置である。

第２通信装置１４は、第２端末１２とネットワーク１６との間に設置された通信装置である。第２通信装置１４は、ネットワーク１６を介して第１通信装置１３と対向している。すなわち、第２通信装置１４は、第１通信装置１３にとっての対向装置である。第２通信装置１４は、具体的には、ＩＰＳｅｃ装置である。

管理装置１５は、ネットワーク１６を介して各端末および各通信装置を管理する装置である。管理装置１５は、具体的には、ＳＰＤを管理するＩＰＳｅｃ管理装置である。

図２を参照して、本実施の形態に係る第１通信装置１３の構成を説明する。

第１通信装置１３は、コンピュータである。第１通信装置１３は、プロセッサ３１を備えるとともに、メモリ３２および通信デバイス３３といった他のハードウェアを備える。プロセッサ３１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

第１通信装置１３は、機能要素として、カプセル化部３４と、通信正常性確認部３５とを備える。カプセル化部３４および通信正常性確認部３５の機能は、ソフトウェアにより実現される。

プロセッサ３１は、第１通信プログラムを実行する装置である。第１通信プログラムは、カプセル化部３４および通信正常性確認部３５の機能を実現するプログラムである。プロセッサ３１は、例えば、ＣＰＵ、ＤＳＰまたはこれらの組み合わせである。「ＣＰＵ」は、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略語である。「ＤＳＰ」は、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略語である。

メモリ３２は、第１通信プログラムを記憶する装置である。メモリ３２は、例えば、ＲＡＭ、フラッシュメモリまたはこれらの組み合わせである。「ＲＡＭ」は、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略語である。

メモリ３２には、監視定義７１が記憶される。監視定義７１は、監視対象とする端末間の通信における送信元の端末と送信先の端末とのアドレスの組み合わせを示す情報である。監視定義７１は、具体的には、エントリごとに、監視対象とする端末間のＩＰ通信における送信元の端末と送信先の端末とのＩＰアドレスを示すリストである。このリストには、少なくとも、送信元の端末のＩＰアドレスとして第１端末１１のＩＰアドレスを示し、送信先の端末のＩＰアドレスとして第２端末１２のＩＰアドレスを示すエントリが含まれている。

通信デバイス３３は、第１通信プログラムに入力されるデータを受信するレシーバと、第１通信プログラムから出力されるデータを送信するトランスミッタとを含む。通信デバイス３３は、例えば、通信チップまたはＮＩＣである。「ＮＩＣ」は、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略語である。

第１通信プログラムは、メモリ３２からプロセッサ３１に読み込まれ、プロセッサ３１によって実行される。メモリ３２には、第１通信プログラムだけでなく、ＯＳも記憶されている。「ＯＳ」は、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略語である。プロセッサ３１は、ＯＳを実行しながら、第１通信プログラムを実行する。なお、第１通信プログラムの一部または全部がＯＳに組み込まれていてもよい。

第１通信プログラムおよびＯＳは、補助記憶装置に記憶されていてもよい。補助記憶装置は、例えば、ＨＤＤ、フラッシュメモリまたはこれらの組み合わせである。「ＨＤＤ」は、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。第１通信プログラムおよびＯＳは、補助記憶装置に記憶されている場合、メモリ３２にロードされ、プロセッサ３１によって実行される。

第１通信装置１３は、プロセッサ３１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、第１通信プログラムの実行を分担する。それぞれのプロセッサは、例えば、ＣＰＵ、ＤＳＰまたはこれらの組み合わせである。

第１通信プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ３２、補助記憶装置、または、プロセッサ３１内のレジスタまたはキャッシュメモリに記憶される。

第１通信プログラムは、カプセル化部３４および通信正常性確認部３５により行われる処理をそれぞれカプセル化処理および通信正常性確認処理としてコンピュータに実行させる通信プログラムである。第１通信プログラムは、コンピュータ読取可能な媒体に記録されて提供されてもよいし、記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。

第１通信装置１３は、１台のコンピュータで構成されていてもよいし、複数台のコンピュータで構成されていてもよい。第１通信装置１３が複数台のコンピュータで構成されている場合は、カプセル化部３４および通信正常性確認部３５の機能が、各コンピュータに分散されて実現されてもよい。

図３を参照して、本実施の形態に係る第２通信装置１４の構成を説明する。

第２通信装置１４は、コンピュータである。第２通信装置１４は、プロセッサ４１を備えるとともに、メモリ４２および通信デバイス４３といった他のハードウェアを備える。プロセッサ４１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

第２通信装置１４は、機能要素として、カプセル化部４４と、通信正常性確認部４５とを備える。カプセル化部４４および通信正常性確認部４５の機能は、ソフトウェアにより実現される。

プロセッサ４１は、第２通信プログラムを実行する装置である。第２通信プログラムは、カプセル化部４４および通信正常性確認部４５の機能を実現するプログラムである。プロセッサ４１は、例えば、ＣＰＵ、ＤＳＰまたはこれらの組み合わせである。

メモリ４２は、第２通信プログラムを記憶する装置である。メモリ４２は、例えば、ＲＡＭ、フラッシュメモリまたはこれらの組み合わせである。

メモリ４２には、監視定義７１が記憶される。この監視定義７１は、第１通信装置１３のメモリ３２に記憶される監視定義７１と共通である。

通信デバイス４３は、第２通信プログラムに入力されるデータを受信するレシーバと、第２通信プログラムから出力されるデータを送信するトランスミッタとを含む。通信デバイス４３は、例えば、通信チップまたはＮＩＣである。

第２通信プログラムは、メモリ４２からプロセッサ４１に読み込まれ、プロセッサ４１によって実行される。メモリ４２には、第２通信プログラムだけでなく、ＯＳも記憶されている。プロセッサ４１は、ＯＳを実行しながら、第２通信プログラムを実行する。なお、第２通信プログラムの一部または全部がＯＳに組み込まれていてもよい。

第２通信プログラムおよびＯＳは、補助記憶装置に記憶されていてもよい。補助記憶装置は、例えば、ＨＤＤ、フラッシュメモリまたはこれらの組み合わせである。第２通信プログラムおよびＯＳは、補助記憶装置に記憶されている場合、メモリ４２にロードされ、プロセッサ４１によって実行される。

第２通信装置１４は、プロセッサ４１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、第２通信プログラムの実行を分担する。それぞれのプロセッサは、例えば、ＣＰＵ、ＤＳＰまたはこれらの組み合わせである。

第２通信プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ４２、補助記憶装置、または、プロセッサ４１内のレジスタまたはキャッシュメモリに記憶される。

第２通信プログラムは、カプセル化部４４および通信正常性確認部４５により行われる処理をそれぞれカプセル化処理および通信正常性確認処理としてコンピュータに実行させる通信プログラムである。第２通信プログラムは、コンピュータ読取可能な媒体に記録されて提供されてもよいし、記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。

第２通信装置１４は、１台のコンピュータで構成されていてもよいし、複数台のコンピュータで構成されていてもよい。第２通信装置１４が複数台のコンピュータで構成されている場合は、カプセル化部４４および通信正常性確認部４５の機能が、各コンピュータに分散されて実現されてもよい。

図４を参照して、本実施の形態に係る管理装置１５の構成を説明する。

管理装置１５は、コンピュータである。管理装置１５は、プロセッサ５１を備えるとともに、メモリ５２、通信デバイス５３、入力機器５４およびディスプレイ５５といった他のハードウェアを備える。プロセッサ５１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

管理装置１５は、機能要素として、監視定義生成部５６と、監視定義配信部５７とを備える。監視定義生成部５６および監視定義配信部５７の機能は、ソフトウェアにより実現される。

プロセッサ５１は、管理プログラムを実行する装置である。管理プログラムは、監視定義生成部５６および監視定義配信部５７の機能を実現するプログラムである。プロセッサ５１は、例えば、ＣＰＵである。

メモリ５２は、管理プログラムを記憶する装置である。メモリ５２は、例えば、ＲＡＭ、フラッシュメモリまたはこれらの組み合わせである。

メモリ５２には、監視定義７１と、セキュリティポリシー情報７２とが記憶される。監視定義７１は、第１通信装置１３および第２通信装置１４へ配信されるために記憶される。セキュリティポリシー情報７２は、端末のアドレスと、その端末宛のパケットの転送先となる通信装置のアドレスとの対応関係を定義する情報である。セキュリティポリシー情報７２は、具体的には、ＳＰＤのテーブルである。このテーブルでは、少なくとも、第２端末１２のＩＰアドレスと第２通信装置１４のＩＰアドレスとが対応し、第１通信装置１３が第２端末１２宛のパケットを暗号化して第２通信装置１４へ転送することが定義されている。

通信デバイス５３は、管理プログラムに入力されるデータを受信するレシーバと、管理プログラムから出力されるデータを送信するトランスミッタとを含む。通信デバイス５３は、例えば、通信チップまたはＮＩＣである。

入力機器５４は、管理プログラムへのデータの入力のために管理者により操作される機器である。入力機器５４は、例えば、マウス、キーボード、タッチパネルまたはこれらの少なくともいずれかの組み合わせである。

ディスプレイ５５は、管理プログラムから出力されるデータを画面に表示する機器である。ディスプレイ５５は、例えば、ＬＣＤである。「ＬＣＤ」は、Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙの略語である。

管理プログラムは、メモリ５２からプロセッサ５１に読み込まれ、プロセッサ５１によって実行される。メモリ５２には、管理プログラムだけでなく、ＯＳも記憶されている。プロセッサ５１は、ＯＳを実行しながら、管理プログラムを実行する。なお、管理プログラムの一部または全部がＯＳに組み込まれていてもよい。

管理プログラムおよびＯＳは、補助記憶装置に記憶されていてもよい。補助記憶装置は、例えば、ＨＤＤ、フラッシュメモリまたはこれらの組み合わせである。管理プログラムおよびＯＳは、補助記憶装置に記憶されている場合、メモリ５２にロードされ、プロセッサ５１によって実行される。

管理装置１５は、プロセッサ５１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、管理プログラムの実行を分担する。それぞれのプロセッサは、例えば、ＣＰＵである。

管理プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ５２、補助記憶装置、または、プロセッサ５１内のレジスタまたはキャッシュメモリに記憶される。

管理プログラムは、監視定義生成部５６および監視定義配信部５７により行われる処理をそれぞれ監視定義生成処理および監視定義配信処理としてコンピュータに実行させるプログラムである。管理プログラムは、コンピュータ読取可能な媒体に記録されて提供されてもよいし、記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。

管理装置１５は、１台のコンピュータで構成されていてもよいし、複数台のコンピュータで構成されていてもよい。管理装置１５が複数台のコンピュータで構成されている場合は、監視定義生成部５６および監視定義配信部５７の機能が、各コンピュータに分散されて実現されてもよい。

＊＊＊動作の説明＊＊＊
図１から図４のほかに、図５から図７を参照して、本実施の形態に係る通信システム１０の動作を説明する。通信システム１０の動作は、本実施の形態に係る通信正常性確認方法に相当する。

本実施の形態では、定期的な通信が発生しないＩＰＳｅｃネットワーク環境においても、ＩＰＳｅｃ装置が端末のＩＰアドレスと同一のＩＰアドレスを用いて監視パケット８１と応答パケット８２とを送受信することで、ＩＰＳｅｃ通信の正常性確認を実施する。すなわち、本実施の形態では、端末が定期的な通信をしなくても、代わりにＩＰＳｅｃ装置が定期的な通信を発生させることで正常性確認を実施する。

主に図５を参照して、正常性確認を実施する具体的な手順を説明する。

第１ステップにおいて、第１通信装置１３の通信正常性確認部３５は、第１端末１１および第２端末１２のアドレスをそれぞれ送信元および送信先のアドレスとする第１パケットとして、第１端末１１から送信される第１通常パケットとは異なるデータを含む監視パケット８１を生成する。

本実施の形態では、第１通信装置１３の通信正常性確認部３５は、監視定義７１を参照して監視パケット８１の送信元および送信先のアドレスを設定する。なお、監視定義７１には、監視対象とする端末間の通信における送信元の端末と送信先の端末とのポート番号の組み合わせがさらに示されていてもよい。その場合、第１通信装置１３の通信正常性確認部３５は、監視定義７１を参照して監視パケット８１の送信元および送信先のポート番号を設定する。

具体的には、第１通信装置１３の通信正常性確認部３５は、監視定義７１をメモリ３２から読み取り、読み取った監視定義７１に従い、第１端末１１からの通常パケットを模擬した監視パケット８１を生成する。監視パケット８１は、第１端末１１の通常パケットと識別するために監視パケット８１専用のデータパターンがパケット本文に付与される。監視パケット８１専用のデータパターンとしては、端末間の通信で使用しないデータパターンがあらかじめ定義される。本実施の形態では、監視パケット８１専用のデータパターンとして全ビットが「１」のパターンが用いられるが、全ビットが「０」のパターンまたはその他のパターンが用いられてもよい。

第２ステップにおいて、第１通信装置１３の通信正常性確認部３５は、生成した監視パケット８１を第１通信装置１３のカプセル化部３４へ送信する。すなわち、第１通信装置１３の通信正常性確認部３５は、生成した監視パケット８１を第１通信装置１３のカプセル化部３４に入力する。

第３ステップにおいて、第１通信装置１３のカプセル化部３４は、監視パケット８１を通常の端末間通信と同様に処理し、適切な対向ＩＰＳｅｃ装置である第２通信装置１４へ送信する。すなわち、第１通信装置１３のカプセル化部３４は、入力された監視パケット８１をカプセル化して第２通信装置１４へ送信する。

本実施の形態では、第１通信装置１３のカプセル化部３４には、第１パケットとして、監視パケット８１および第１通常パケットがそれぞれ第１通信装置１３の通信正常性確認部３５および第１端末１１より入力される。第１通信装置１３のカプセル化部３４は、入力された第１パケットをカプセル化して第２通信装置１４へ送信する。

第４ステップにおいて、第２通信装置１４のカプセル化部４４は、中継する通信から監視パケット８１専用のデータパターンを持つパケットを監視パケット８１として選別し、第２通信装置１４の通信正常性確認部４５へ転送する。すなわち、第２通信装置１４のカプセル化部４４は、第１パケットをカプセル化したパケットを第１通信装置１３から受信し、受信したパケットのカプセル化を解除して得られた第１パケットが監視パケット８１であると判定したとき、この監視パケット８１を第２通信装置１４の通信正常性確認部４５に出力する。

本実施の形態では、第２通信装置１４のカプセル化部４４は、第１パケットをカプセル化したパケットとして、監視パケット８１をカプセル化したパケットと第１通常パケットをカプセル化したパケットとを第１通信装置１３から受信する。第２通信装置１４のカプセル化部４４は、受信した各パケットのカプセル化を解除して得られた第１パケットを、第２通信装置１４の通信正常性確認部４５および第２端末１２のうち、得られた第１パケットに含まれているデータに応じた出力先に出力する。第１パケットとして、監視パケット８１が第２通信装置１４のカプセル化部４４より出力された場合に、次の第５ステップの処理が行われる。

第５ステップにおいて、第２通信装置１４の通信正常性確認部４５は、第２端末１２および第１端末１１のアドレスをそれぞれ送信元および送信先のアドレスとする第２パケットとして、出力された監視パケット８１に対する、第２端末１２から送信される第２通常パケットとは異なるデータを含む応答パケット８２を生成する。

具体的には、第２通信装置１４の通信正常性確認部４５は、受信した監視パケット８１の送信元と送信先とを入れ替えた形式で、監視パケット８１に対する応答パケット８２を生成する。

第６ステップにおいて、第２通信装置１４の通信正常性確認部４５は、生成した応答パケット８２を第２通信装置１４のカプセル化部４４へ送信する。すなわち、第２通信装置１４の通信正常性確認部４５は、生成した応答パケット８２を第２通信装置１４のカプセル化部４４に入力する。

第７ステップにおいて、第２通信装置１４のカプセル化部４４は、応答パケット８２を通常の端末間通信と同様に処理し、適切な対向ＩＰＳｅｃ装置である第１通信装置１３へ送信する。すなわち、第２通信装置１４のカプセル化部４４は、入力された応答パケット８２をカプセル化して第１通信装置１３へ送信する。

本実施の形態では、第２通信装置１４のカプセル化部４４には、第２パケットとして、応答パケット８２および第２通常パケットがそれぞれ第２通信装置１４の通信正常性確認部４５および第２端末１２より入力される。第２通信装置１４のカプセル化部４４は、入力された第２パケットをカプセル化して第１通信装置１３へ送信する。

第８ステップにおいて、第１通信装置１３のカプセル化部３４は、中継する通信から監視パケット８１専用のデータパターンを持つパケットを応答パケット８２として選別し、第１通信装置１３の通信正常性確認部３５へ転送する。すなわち、第１通信装置１３のカプセル化部３４は、第２パケットをカプセル化したパケットを第２通信装置１４から受信し、受信したパケットのカプセル化を解除して得られた第２パケットが応答パケット８２であると判定したとき、この応答パケット８２を第１通信装置１３の通信正常性確認部３５に出力する。

本実施の形態では、第１通信装置１３のカプセル化部３４は、第２パケットをカプセル化したパケットとして、応答パケット８２をカプセル化したパケットと第２通常パケットをカプセル化したパケットとを第２通信装置１４から受信する。第１通信装置１３のカプセル化部３４は、受信した各パケットのカプセル化を解除して得られた第２パケットを、通信正常性確認部３５および第１端末１１のうち、得られた第２パケットに含まれているデータに応じた出力先に出力する。

第９ステップにおいて、第１通信装置１３の通信正常性確認部３５は、送信した監視パケット８１に対する応答パケット８２の受信の有無で該当端末間の通信の正常性を判断する。すなわち、第１通信装置１３の通信正常性確認部３５は、第２パケットとして、入力した監視パケット８１に対する応答パケット８２がカプセル化部３４より出力されたかどうかによって第１端末１１と第２端末１２との間の通信の正常性を確認する。

具体的には、第１通信装置１３の通信正常性確認部３５は、監視パケット８１の送信から一定時間以内に応答パケット８２を受信できた場合には、該当端末間のＩＰＳｅｃ通信が正常であると判断する。一方、第１通信装置１３の通信正常性確認部３５は、監視パケット８１の送信から一定時間以内に応答パケット８２を一定時間以内に受信できない場合には、該当端末間のＩＰＳｅｃ通信が異常であると判断する。第１通信装置１３の通信正常性確認部３５は、通信異常と判断した場合は、図６に示すように、通信異常通知７３を管理装置１５へ送信し、管理装置１５で異常発生を管理者にメール等により通報するか、ディスプレイ５５の画面に表示する。通信異常通知７３は、異常が検知された通信における送信元の端末と送信先の端末とのアドレスの組み合わせを示す情報である。

以降、監視定義７１に従って正常性確認が繰り返される。

なお、本実施の形態におけるＩＰＳｅｃ処理は、パケットの暗号化を伴わないカプセル化処理に置き換えてもよい。

１つの拠点に複数の端末が設置されている場合、それぞれの端末を第１端末１１または第２端末１２として扱うことができる。定期的に通信を行う端末については、従来の方法により正常性確認を実施し、定期的に通信を行わない端末についてのみ、本実施の形態の手順により正常性確認を実施してもよい。あるいは、重要度の高い端末についてのみ、本実施の形態の手順により正常性確認を実施してもよい。

第５ステップにおいて、第２通信装置１４の通信正常性確認部４５は、監視パケット８１に含まれているデータが基準のデータと一致するかどうかによって第１通信装置１３と第２通信装置１４との間の通信のデータ誤りの有無を判定し、データ誤りがあれば第１通信装置１３へ通知してもよい。基準のデータは、具体的には、監視パケット８１専用のデータパターンのことである。データ誤りの通知は、応答パケット８２を利用して行ってもよいし、応答パケット８２とは別のパケットを送信することで行ってもよい。

第９ステップにおいて、第１通信装置１３の通信正常性確認部３５は、監視パケット８１に対する応答パケット８２の返信にかかった時間を計測し、計測結果から、第１通信装置１３と第２通信装置１４との間の通信の遅延を算出してもよい。その場合、第１通信装置１３の通信正常性確認部３５は、算出結果を管理装置１５へ送信し、管理装置１５で遅延を管理者にメール等により通報するか、ディスプレイ５５の画面に表示する。

第９ステップにおいて、第１通信装置１３の通信正常性確認部３５は、応答パケット８２に含まれているデータを基準のデータと比較し、比較結果から、第１通信装置１３と第２通信装置１４との間の通信のデータ誤り率を算出してもよい。その場合、第１通信装置１３の通信正常性確認部３５は、算出結果を管理装置１５へ送信し、管理装置１５でデータ誤り率を管理者にメール等により通報するか、ディスプレイ５５の画面に表示する。

主に図７を参照して、監視定義７１を管理装置１５から第１通信装置１３へオンラインで配送する手順を説明する。この手順は、正常性確認を実施する手順の前に行われる。

管理装置１５の監視定義生成部５６は、セキュリティポリシー情報７２をメモリ５２から読み取る。管理装置１５の監視定義生成部５６は、セキュリティポリシー情報７２から監視定義７１を生成する。なお、監視定義７１は、自動生成される代わりに、管理者によって作成されてもよい。

管理装置１５の監視定義配信部５７は、監視定義生成部５６により生成された監視定義７１を第１通信装置１３へ配信する。図示していないが、管理装置１５の監視定義配信部５７は、同じ監視定義７１を第２通信装置１４へも配信する。

＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態では、端末が定期的な通信をしなくても、通信装置が端末のアドレスと同一のアドレスを用いて監視パケット８１と応答パケット８２とを送受信することで、通信の正常性確認を実施することができる。

本実施の形態は、第１の効果として、任意の監視間隔で正常性確認が可能となるという効果を奏する。すなわち、端末間の通信内容に関わらず、任意の間隔で正常性確認が実施できる。

本実施の形態は、第２の効果として、通信障害時にＩＰＳｅｃ装置間の障害と端末側障害との切り分けが可能となるという効果を奏する。すなわち、通信障害が発生した際に、ＩＰＳｅｃ装置間の通信が正常に行われることを確認できるため、端末の障害とＩＰＳｅｃ装置側の障害との切り分けができる。

本実施の形態は、第３の効果として、ＩＰＳｅｃ装置間の通信応答とあわせてＩＰＳｅｃ装置の障害が検知可能となるという効果を奏する。すなわち、ＩＰＳｅｃ装置間の通信は正常にも関わらず、端末間の正常性確認が異常の場合は、ＩＰＳｅｃ装置が故障していると判断できる。

本実施の形態は、第４の効果として、監視機器の設置が不要となりコストが下がるという効果を奏する。

＊＊＊他の構成＊＊＊
本実施の形態では、第１通信装置１３のカプセル化部３４および通信正常性確認部３５の機能がソフトウェアにより実現されるが、変形例として、カプセル化部３４および通信正常性確認部３５の機能がハードウェアにより実現されてもよい。この変形例について、主に本実施の形態との差異を説明する。

図８を参照して、本実施の形態の変形例に係る第１通信装置１３の構成を説明する。

第１通信装置１３は、電子回路３６および通信デバイス３３といったハードウェアを備える。

電子回路３６は、カプセル化部３４および通信正常性確認部３５の機能を実現する専用のハードウェアである。電子回路３６は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡ、ＡＳＩＣまたはこれらの少なくともいずれかの組み合わせである。「ＩＣ」は、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。「ＧＡ」は、Ｇａｔｅ Ａｒｒａｙの略語である。「ＦＰＧＡ」は、Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。「ＡＳＩＣ」は、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。

第１通信装置１３は、電子回路３６を代替する複数の電子回路を備えていてもよい。これら複数の電子回路は、全体としてカプセル化部３４および通信正常性確認部３５の機能を実現する。それぞれの電子回路は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡ、ＡＳＩＣまたはこれらの少なくともいずれかの組み合わせである。

別の変形例として、カプセル化部３４および通信正常性確認部３５の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。すなわち、カプセル化部３４および通信正常性確認部３５の機能の一部が専用のハードウェアにより実現され、残りがソフトウェアにより実現されてもよい。

プロセッサ３１および電子回路３６は、いずれも処理回路である。すなわち、第１通信装置１３の構成が図２および図８のいずれに示した構成であっても、カプセル化部３４および通信正常性確認部３５の動作は、処理回路により行われる。

また、本実施の形態では、第２通信装置１４のカプセル化部４４および通信正常性確認部４５の機能がソフトウェアにより実現されるが、変形例として、カプセル化部４４および通信正常性確認部４５の機能がハードウェアにより実現されてもよい。この変形例について、主に本実施の形態との差異を説明する。

図９を参照して、本実施の形態の変形例に係る第２通信装置１４の構成を説明する。

第２通信装置１４は、電子回路４６および通信デバイス４３といったハードウェアを備える。

電子回路４６は、カプセル化部４４および通信正常性確認部４５の機能を実現する専用のハードウェアである。電子回路４６は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡ、ＡＳＩＣまたはこれらの少なくともいずれかの組み合わせである。

第２通信装置１４は、電子回路４６を代替する複数の電子回路を備えていてもよい。これら複数の電子回路は、全体としてカプセル化部４４および通信正常性確認部４５の機能を実現する。それぞれの電子回路は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡ、ＡＳＩＣまたはこれらの少なくともいずれかの組み合わせである。

別の変形例として、カプセル化部４４および通信正常性確認部４５の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。すなわち、カプセル化部４４および通信正常性確認部４５の機能の一部が専用のハードウェアにより実現され、残りがソフトウェアにより実現されてもよい。

プロセッサ４１および電子回路４６は、いずれも処理回路である。すなわち、第２通信装置１４の構成が図３および図９のいずれに示した構成であっても、カプセル化部４４および通信正常性確認部４５の動作は、処理回路により行われる。

また、本実施の形態では、管理装置１５の監視定義生成部５６および監視定義配信部５７の機能がソフトウェアにより実現されるが、変形例として、監視定義生成部５６および監視定義配信部５７の機能がハードウェアにより実現されてもよい。この変形例について、主に本実施の形態との差異を説明する。

図１０を参照して、本実施の形態の変形例に係る管理装置１５の構成を説明する。

管理装置１５は、電子回路５８、通信デバイス５３、入力機器５４およびディスプレイ５５といったハードウェアを備える。

電子回路５８は、監視定義生成部５６および監視定義配信部５７の機能を実現する専用のハードウェアである。電子回路５８は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡ、ＡＳＩＣまたはこれらの少なくともいずれかの組み合わせである。

管理装置１５は、電子回路５８を代替する複数の電子回路を備えていてもよい。これら複数の電子回路は、全体として監視定義生成部５６および監視定義配信部５７の機能を実現する。それぞれの電子回路は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＦＰＧＡ、ＡＳＩＣまたはこれらの少なくともいずれかの組み合わせである。

別の変形例として、監視定義生成部５６および監視定義配信部５７の機能がソフトウェアとハードウェアとの組み合わせにより実現されてもよい。すなわち、監視定義生成部５６および監視定義配信部５７の機能の一部が専用のハードウェアにより実現され、残りがソフトウェアにより実現されてもよい。

プロセッサ５１および電子回路５８は、いずれも処理回路である。すなわち、管理装置１５の構成が図４および図１０のいずれに示した構成であっても、監視定義生成部５６および監視定義配信部５７の動作は、処理回路により行われる。

１０ 通信システム、１１ 第１端末、１２ 第２端末、１３ 第１通信装置、１４ 第２通信装置、１５ 管理装置、１６ ネットワーク、３１ プロセッサ、３２ メモリ、３３ 通信デバイス、３４ カプセル化部、３５ 通信正常性確認部、３６ 電子回路、４１ プロセッサ、４２ メモリ、４３ 通信デバイス、４４ カプセル化部、４５ 通信正常性確認部、４６ 電子回路、５１ プロセッサ、５２ メモリ、５３ 通信デバイス、５４ 入力機器、５５ ディスプレイ、５６ 監視定義生成部、５７ 監視定義配信部、５８ 電子回路、７１ 監視定義、７２ セキュリティポリシー情報、７３ 通信異常通知、８１ 監視パケット、８２ 応答パケット。

Claims (16)

1. 第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする第１パケットが入力され、入力された第１パケットをカプセル化して対向装置へ送信するとともに、前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする第２パケットをカプセル化したパケットを前記対向装置から受信し、受信したパケットのカプセル化を解除して得られた第２パケットを出力するカプセル化部と、
   前記第１パケットとして、前記第１端末から送信される第１通常パケットとは異なるデータを含む監視パケットを生成し、生成した監視パケットを前記カプセル化部に入力し、前記第２パケットとして、入力した監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含む応答パケットが前記カプセル化部より出力されたかどうかによって前記第１端末と前記第２端末との間の通信の正常性を確認する通信正常性確認部と
   を備える通信装置。
2. 前記カプセル化部には、前記第１パケットとして、前記監視パケットおよび前記第１通常パケットがそれぞれ前記通信正常性確認部および前記第１端末より入力される請求項１に記載の通信装置。
3. 前記カプセル化部は、前記第２パケットをカプセル化したパケットとして、前記応答パケットをカプセル化したパケットと前記第２通常パケットをカプセル化したパケットとを前記対向装置から受信し、受信した各パケットのカプセル化を解除して得られた第２パケットを、前記通信正常性確認部および前記第１端末のうち、得られた第２パケットに含まれているデータに応じた出力先に出力する請求項１または２に記載の通信装置。
4. 前記通信正常性確認部は、監視対象とする端末間の通信における送信元の端末と送信先の端末とのアドレスの組み合わせを示す監視定義を参照して前記監視パケットの送信元および送信先のアドレスを設定する請求項１から３のいずれか１項に記載の通信装置。
5. 前記監視定義には、監視対象とする端末間の通信における送信元の端末と送信先の端末とのポート番号の組み合わせがさらに示されており、
   前記通信正常性確認部は、前記監視定義を参照して前記監視パケットの送信元および送信先のポート番号を設定する請求項４に記載の通信装置。
6. 前記通信正常性確認部は、前記監視パケットに対する前記応答パケットの返信にかかった時間を計測し、計測結果から、前記通信装置と前記対向装置との間の通信の遅延を算出する請求項１から５のいずれか１項に記載の通信装置。
7. 前記通信正常性確認部は、前記応答パケットに含まれているデータを基準のデータと比較し、比較結果から、前記通信装置と前記対向装置との間の通信のデータ誤り率を算出する請求項１から６のいずれか１項に記載の通信装置。
8. 第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする第１パケットをカプセル化したパケットを対向装置から受信し、受信したパケットのカプセル化を解除して得られた第１パケットを出力するとともに、前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする第２パケットが入力され、入力された第２パケットをカプセル化して前記対向装置へ送信するカプセル化部と、
   前記第１パケットとして、前記第１端末から送信される第１通常パケットとは異なるデータを含む監視パケットが前記カプセル化部より出力された場合に、前記第２パケットとして、出力された監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含む応答パケットを生成し、生成した応答パケットを前記カプセル化部に入力する通信正常性確認部と
   を備える通信装置。
9. 前記カプセル化部には、前記第２パケットとして、前記応答パケットおよび前記第２通常パケットがそれぞれ前記通信正常性確認部および前記第２端末より入力される請求項８に記載の通信装置。
10. 前記カプセル化部は、前記第１パケットをカプセル化したパケットとして、前記監視パケットをカプセル化したパケットと前記第１通常パケットをカプセル化したパケットとを前記対向装置から受信し、受信した各パケットのカプセル化を解除して得られた第１パケットを、前記通信正常性確認部および前記第２端末のうち、得られた第１パケットに含まれているデータに応じた出力先に出力する請求項８または９に記載の通信装置。
11. 前記通信正常性確認部は、前記監視パケットに含まれているデータが基準のデータと一致するかどうかによって前記通信装置と前記対向装置との間の通信のデータ誤りの有無を判定し、データ誤りがあれば前記対向装置へ通知する請求項８から１０のいずれか１項に記載の通信装置。
12. 監視対象とする端末間の通信における送信元の端末と送信先の端末とのアドレスの組み合わせを示す監視定義を参照して、第１端末から送信される第１通常パケットとは異なるデータを含み前記第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする監視パケットを生成し、生成した監視パケットをカプセル化して第２通信装置へ送信するとともに、前記監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含み前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする応答パケットをカプセル化したパケットを前記第２通信装置から受信したかどうかによって前記第１端末と前記第２端末との間の通信の正常性を確認する第１通信装置へ、前記監視定義を配信する監視定義配信部と、
    端末のアドレスと、その端末宛のパケットの転送先となる通信装置のアドレスとの対応関係を定義するセキュリティポリシー情報から、前記監視定義配信部により配信される監視定義を生成する監視定義生成部と
    を備える管理装置。
13. 第１通信装置が、第１端末から送信される第１通常パケットとは異なるデータを含み前記第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする監視パケットを生成し、生成した監視パケットをカプセル化して第２通信装置へ送信し、
    前記第２通信装置が、前記監視パケットをカプセル化したパケットを前記第１通信装置から受信し、受信したパケットのカプセル化を解除して得られた監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含み前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする応答パケットを生成し、生成した応答パケットをカプセル化して前記第１通信装置へ送信し、
    前記第１通信装置が、前記応答パケットをカプセル化したパケットを前記第２通信装置から受信したかどうかによって前記第１端末と前記第２端末との間の通信の正常性を確認する通信正常性確認方法。
14. コンピュータに、
    第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする第１パケットが入力され、入力された第１パケットをカプセル化して対向装置へ送信するとともに、前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする第２パケットをカプセル化したパケットを前記対向装置から受信し、受信したパケットのカプセル化を解除して得られた第２パケットを出力するカプセル化処理と、
    前記第１パケットとして、前記第１端末から送信される第１通常パケットとは異なるデータを含む監視パケットを生成し、生成した監視パケットを前記カプセル化処理に入力し、前記第２パケットとして、入力した監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含む応答パケットが前記カプセル化処理より出力されたかどうかによって前記第１端末と前記第２端末との間の通信の正常性を確認する通信正常性確認処理と
    を実行させる通信プログラム。
15. コンピュータに、
    第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする第１パケットをカプセル化したパケットを対向装置から受信し、受信したパケットのカプセル化を解除して得られた第１パケットを出力するとともに、前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする第２パケットが入力され、入力された第２パケットをカプセル化して前記対向装置へ送信するカプセル化処理と、
    前記第１パケットとして、前記第１端末から送信される第１通常パケットとは異なるデータを含む監視パケットが前記カプセル化処理より出力された場合に、前記第２パケットとして、出力された監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含む応答パケットを生成し、生成した応答パケットを前記カプセル化処理に入力する通信正常性確認処理と
    を実行させる通信プログラム。
16. コンピュータに、
    監視対象とする端末間の通信における送信元の端末と送信先の端末とのアドレスの組み合わせを示す監視定義を参照して、第１端末から送信される第１通常パケットとは異なるデータを含み前記第１端末および第２端末のアドレスをそれぞれ送信元および送信先のアドレスとする監視パケットを生成し、生成した監視パケットをカプセル化して第２通信装置へ送信するとともに、前記監視パケットに対する、前記第２端末から送信される第２通常パケットとは異なるデータを含み前記第２端末および前記第１端末のアドレスをそれぞれ送信元および送信先のアドレスとする応答パケットをカプセル化したパケットを前記第２通信装置から受信したかどうかによって前記第１端末と前記第２端末との間の通信の正常性を確認する第１通信装置へ、前記監視定義を配信する監視定義配信処理と、
    端末のアドレスと、その端末宛のパケットの転送先となる通信装置のアドレスとの対応関係を定義するセキュリティポリシー情報から、前記監視定義配信処理により配信される監視定義を生成する監視定義生成処理と
    を実行させる管理プログラム。

Images