JP2019145889A

JP2019145889A - スイッチングハブ及び制御通信ネットワークシステム

Info

Publication number: JP2019145889A
Application number: JP2018025648A
Authority: JP
Inventors: 祐介池田; Yusuke Ikeda
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2018-02-16
Filing date: 2018-02-16
Publication date: 2019-08-29

Abstract

【課題】制御データの送受信の際にアドレスなどを設定する作業の手間を削減できるスイッチングハブ及び制御通信ネットワークシステムを提供する。【解決手段】データ内の特定の制御コマンドの検出に応じて、スイッチングハブ１０１，１０２に相手先のコントローラ１２１，１２２のアドレスと仮想トンネルの情報とを保持することにより、以後送信される制御データを、保持された情報に基づいて送信する。【選択図】図４

Description

この発明は、スイッチングハブ及びスイッチングハブを用いた制御通信ネットワークシステムに関するものである。

発電などの重要インフラにおいてインフラ内の設備の監視・制御などに利用される制御システムは、一般に、重要インフラの設備を制御する複数のコントローラと、これらコントローラ間で制御通信を行い、ネットワークを構築するための通信装置からなる。

近年、この制御システムにおいては、ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）などの汎用技術の使用、及びインターネット等への接続によるオープン化が進んでいる。このオープン化により、サイバー攻撃を受け易くなるというセキュリティ上の脅威が高まっている。

このセキュリティ上の脅威の一つに、悪意のある第三者による通信の盗聴・改ざんがある。仮に制御通信の通信内容が改ざんされた場合、改ざんされた通信内容を受け取ったコントローラが重要インフラ内の設備を、意図と異なる方向に異常制御することにより、設備損壊等に至る可能性がある。

このような問題を回避する手法の一つとして、通信内容に電子署名を付加する改ざん防止方法が知られている（例えば、特許文献１参照）。また、他の手法として通信の暗号化が知られている。これは例えば、ルータ、又はスイッチなどのネットワークを構築する通信装置において、ＩＰｓｅｃ（ＲＦＣ６０７１）、又はＭＡＣｓｅｃ（ＩＥＥＥ８０２．１Ｘ−２０１０）などを使用することにより、ネットワーク上の制御通信を暗号化する方法である。

特開２０１７−４６２６８号公報

従来の電子署名を付加する手法では、改ざんを防止することはできるが、通信の盗聴を防ぐことはできない。盗聴を防ぐための手法として通信の暗号化が知られているが、暗号化対象とする制御通信の宛先・送信元ＩＰアドレス、又は宛先・送信元ＭＡＣアドレス等を、暗号化を行う通信装置に対して個別に設定する必要があり、コントローラ数が多い場合、設定作業の手間が生じるという課題があった。この発明はこのような課題を解決するためになされたものである。

この発明に係るスイッチングハブは、
マスタである第１のコントローラ、またはスレーブである第２のコントローラに接続され、データの送受信を行うものであって、
データが制御に係るデータであるか否かを識別するデータ送受信部、このデータ送受信部で制御に係るデータであると識別された制御データのみを仮想トンネルで送受信するための暗号化及び復号を行うトンネル処理部、制御データ内の特定の制御コマンドの検出に応じて、データ内の第１のコントローラ又は第２のコントローラのアドレスと仮想トンネルの情報とを保持する情報保持部を備え、
第２のコントローラに接続される場合、第２のコントローラから受信した第１のコントローラに送信するための制御データ内の特定の制御コマンドの検出に応じて、制御データ内に格納されている第１のコントローラのアドレスと仮想トンネルの情報とを情報保持部に保持し、保持された情報に基づいて以後の制御データを送信し、
第１のコントローラに接続される場合、第２のコントローラから受信した第１のコントローラに送信する制御データ内の特定の制御コマンドの検出に応じて、制御データに格納されっている第２のコントローラのアドレスと仮想トンネルの情報とを情報保持部に保持し、保持された情報に基づいて以後の制御データを送信することを特徴とする。

この発明によれば、スイッチングハブで受信される制御データの特定の制御コマンドの検出に応じてアドレスと仮想トンネルの情報をスイッチングハブ内の情報保持部に保持することにより、以後の制御データの送受信の際にアドレスなどを設定する作業の手間を削減できる。

本発明の実施の形態１に係るネットワークシステムの接続図である。本発明の実施の形態１に係る制御通信のＩＰパケットのデータ構成図である。図２のＩＰパケットを図１のネットワークで送受信するシーケンスを説明する図である。本発明の実施の形態１に係るスイッチングハブ１０１、１０２の接続構成図である。本発明の実施の形態１に係るスイッチングハブ１０１、１０２のハードウエア構成の一例を示す説明図である。図３のシーケンスＰでのスイッチングハブ１０１、１０２の動作処理を示すフロー図である。本発明の実施の形態１に係るエントリデータを説明する説明図である。図３のシーケンスＱでのスイッチングハブ１０１、１０２の動作処理を示すフロー図である。図３のシーケンスＱでのスイッチングハブ１０１、１０２の動作処理を示すフロー図である。本発明の実施の形態２に係るスイッチングハブ１０１、１０２の接続構成図である。本発明の実施の形態２に係るシーケンスＰでのスイッチングハブ１０１、１０２の動作処理フローを示すフロー図である。本発明の実施の形態２に係る検知対象コマンドを説明する説明図である。本発明の実施の形態３に係るコマンド広告パケットを有するＩＰパケットのデータ構成図である。本発明の実施の形態３に係るシーケンスＰでのスイッチングハブ１０１、１０２の動作処理を示すフロー図である。

実施の形態１．
図１は、本発明の実施の形態１のネットワークシステムの接続図である。実施の形態１では、通信装置としてスイッチングハブ１０１、１０２、１０３を用いる。スイッチングハブ１０１はネットワーク１１１とコントローラ１２１とに接続され、スイッチングハブ１０２はネットワーク１１１とコントローラ１２２とに接続され、スイッチングハブ１０３はネットワーク１１１とコントローラ１２３とに接続される。制御データ以外のコントローラ間のデータ通信は、スイッチングハブ１０１から１０３で行先を判別し、ネットワーク１１１を経由して送受信される。

制御データは、ネットワーク１１１を経由するのではなく、暗号化のために構築された仮想トンネル１３１、１３２を使って送受信される。仮想トンネル１３１のエンドポイントはスイッチングハブ１０１とスイッチングハブ１０２であり、仮想トンネル１３２のエンドポイントはスイッチングハブ１０１とスイッチングハブ１０３である。実施の形態１では、仮想トンネル１３１と１３２をＩＰＳｅｃトンネル・モードによって構築するが、その他の暗号化方法を用いてもよい。

ここで、制御データの送受信はユニキャストで行われ、実施の形態１では、コントローラ１２１をマスタ、コントローラ１２２と１２３をスレーブとする。コントローラが行う制御データ通信はＩＰパケットにより行われ、マスタとスレーブ間でのみ行われる。

図２は、この制御データの通信のためのＩＰパケット２０１のデータ構成図である。ＩＰパケット２０１は、Ｅｔｈｅｒｎｅｔヘッダ部２０２と、ＩＰヘッダ部２０３と、ペイロード部２０４とからなる。さらに、ペイロード部２０４は、制御コマンド部２０５と、制御データ部２０６とその他データ部２０７とからなり、ＩＰパケット２０１内に制御データであることを示すフラグを格納する。実施の形態１では、ペイロード部２０４に制御データであることを示すフラグを格納する。ＩＰアドレスはＩＰヘッダ部２０３に格納されている。

図３は、図１のネットワークシステムにおいて、図２で示した制御データのＩＰパケット２０１を送受信する制御通信のシーケンスである。コントローラ１２１とコントローラ１２２との制御通信を例に示したが、コントローラ１２１と１２３との間においてもシーケンスは同じである。

まず、スレーブであるコントローラ１２２は、ＩＰパケット２０１の制御コマンド部２０５に、「初期化」を示す情報を格納したＩＰパケット３０１をマスタであるコントローラ１２１へ送信する（図３中、シーケンスＰ）。このＩＰパケットを受信したコントローラ１２１は、制御コマンド部２０５に「データ送信要求」を示す情報を格納したＩＰパケット３０２をコントローラ１２２へ送信する（図３中、シーケンスＱ）。すると、コントローラ１２２は、制御コマンド部２０５に「応答」を示す情報を格納し、制御データ部２０６に要求されたデータを格納したＩＰパケット３０３をコントローラ１２１へ送信する（図３中、シーケンスＲ）。以後、この要求と応答のやりとりをマスタとスレーブとの間で繰り返す。

図３にて説明したシーケンスＰ、Ｑ、Ｒにおけるスイッチングハブ１０１、１０２の動作を図４により詳細に説明する。
図４は、実施の形態１のスイッチングハブ１０１、１０２の接続構成図である。スイッチングハブ１０１において、ポート５０１はコントローラ１２２と接続するポートであり、パケット送受信部５１１とトンネル処理部５１２と接続される。パケット送受信部５１１はトンネル処理部５１２と情報保持部５１３とポート５０２と接続され、トンネル処理部５１２は、情報保持部５１３とポート５０２と仮想トンネル１３１と接続される。情報保持部５１３は、ＩＰアドレスと仮想トンネルのエントリデータを保持する。ポート５０２は、ネットワーク１１１と接続される。また、スイッチングハブ１０２において、ポート４０１はコントローラ１２１と接続するポートであり、パケット送受信部４１１とトンネル処理部４１２と接続される。パケット送受信部４１１はトンネル処理部４１２と情報保持部４１３とポート４０２と接続され、トンネル処理部４１２は、情報保持部５１３とポート５０２と仮想トンネル１３１及び仮想トンネル１３２と接続される。ポート４０２は、ネットワーク１１１と接続される。仮想トンネル１３２は、スイッチングハブ１０３と接続される。スイッチングハブ１０３の構成はスイッチングハブ１０２の構成と同一である。

このような構成を有するスイッチングハブ１０１、１０２のハードウエアの一例を図５に示す。プロセッサ１と記憶装置２から構成され、図示していないが、記憶装置はランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１は、記憶装置２から入力されたプログラムを実行し、上述したスイッチングハブ１０１、１０２の構成の一部又は全部を遂行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１にプログラムが入力される。また、プロセッサ１は、演算結果等のデータを記憶装置２の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。

（１）シーケンスＰでのスイッチングハブ１０１、１０２の動作
図４に示されたスイッチングハブ１０１、１０２のシーケンスＰでの動作の処理フローを図６に示す。図６中、スイッチングハブ１０２の処理フロー６Ａ、スイッチングハブ１０１の処理フロー６Ｂと示す。
パケット送受信部５１１は、コントローラ１２２から「初期化」を示す情報を格納したＩＰパケット３０１を受信すると（図６中、処理６０１）、受信したＩＰパケット３０１のペイロード部２０４を参照し、フラグの有無により、ＩＰパケット３０１が制御通信のパケットか否かを判断する（処理６０２）。制御通信のパケットでなかった場合には、ポート５０２にＩＰパケットを転送する（処理６０４）。制御通信のパケットの場合、ＩＰパケット３０１の制御コマンド部２０５が「初期化」を示す場合（処理６０３）、ＩＰパケット３０１の送信先ＩＰアドレスであるコントローラ１２１のＩＰアドレスと仮想トンネル１３１をエントリデータＡ０１として情報保持部５１３に保持し（エントリ登録と称す。処理６０５及び図７参照）、トンネル処理部５１２にＩＰパケットを転送する（処理６０６）。制御コマンド部２０５が「初期化」を示さない場合、情報保持部５１３に情報を保持することなくトンネル処理部５１２にＩＰパケットを転送する。
スイッチングハブ１０２に構築される仮想トンネルは、仮想トンネル１３１の一つのみであることから、情報保持部５１３に登録されるのも仮想トンネル１３１の一意に決まる。

パケット送受信部５１１からトンネル処理部５１２に転送されたＩＰパケット３０１は、暗号化され、仮想トンネル１３１を使用して、マスタであるスイッチングハブ１０１に送信する（処理６０７）。

スイッチングハブ１０１は仮想トンネル１３１を経由して受信したＩＰパケット３０１をトンネル処理部４１２で復号し（処理７０１）、パケット送受信部４１１に送信する。パケット送受信部４１１でＩＰパケットのペイロード部２０４を参照し、ＩＰパケット３０１が制御通信のパケットであり（処理７０２）、制御コマンド部２０５が「初期化」を示すため（処理７０３）、情報保持部４１３に、ＩＰパケット３０１の送信元ＩＰアドレスであるコントローラ１２２と仮想トンネル１３１のエントリデータＡ０２をエントリ登録する（処理７０４、及び図７参照）。パケット送受信部４１１は、復号されたＩＰパケット３０１をポート４０１を経由してコントローラ１２１へ転送する（処理７０５）。

（２）シーケンスＱでのスイッチングハブ１０１、１０２の動作
図４に示されたスイッチングハブ１０１、１０２のシーケンスＱでの動作の処理フローを図８に示す。図８中、スイッチングハブ１０１の処理フロー８Ｂ、スイッチングハブ１０２の処理フロー８Ａと示す。
コントローラ１２１が制御データの要求のためＩＰパケット３０２をコントローラ１２２へ送信する場合、コントローラ１２１から制御データの送信要求のためのＩＰパケット３０２を受信すると（図８中、処理８０１）、受信したＩＰパケット３０２のペイロード部２０４を参照し、ＩＰパケット３０２が制御通信のパケットである場合（処理８０２）、ＩＰパケット３０２は「初期化」を示す制御コマンドではないため（処理８０３）、情報保持部４１３にエントリ登録することなくトンネル処理部４１２にＩＰパケットを転送する（処理８０６）。パケット送受信部４１１は、情報保持部４１３に保持されているエントリデータＡ０２を参照し（処理８０７）、ＩＰパケット３０２の宛先がコントローラ１２２であるため、ＩＰパケット３０２をトンネル処理部４１２で暗号化し、仮想トンネル１３１経由でスイッチングハブ１０２へ転送する（処理８０８）。

スイッチングハブ１０２は、仮想トンネル１３１を経由して受信したＩＰパケット３０２をトンネル処理部５１２で復号し、パケット送受信部５１１に送信する（処理９０１）。
パケット送受信部５１１でＩＰパケットのペイロード部２０４を参照し、ＩＰパケット３０１が制御通信のパケットであるが（処理９０２）、制御コマンド部２０５が「データ送信要求」を示すもので、「初期化」を示すものでないため、情報保持部５１３に、エントリ登録しない（処理９０３）。パケット送受信部４１１は、復号されたＩＰパケット３０２をポート５０１を経由してコントローラ１２２へ転送する（処理９０５）。

（３）シーケンスＲでのスイッチングハブ１０１、１０２の動作
図４に示されたスイッチングハブ１０１、１０２のシーケンスＲでの動作の処理フローを図９に示す。図９中、スイッチングハブ１０２の処理フロー９Ａ、スイッチングハブ１０１の処理フロー９Ｂと示す。
コントローラ１２２は、受信したＩＰパケット３０２の応答として、ＩＰパケット３０３をコントローラ１２１へ送信する。コントローラ１２１から制御データの送信要求のためのＩＰパケット３０３を受信すると（図９中、処理１００１）、受信したＩＰパケット３０３のペイロード部２０４を参照し、ＩＰパケット３０２が制御通信のパケットであるが（処理１００２）、ＩＰパケット３０３の制御コマンド部２０５は「応答」を示す制御コマンドであり、「初期化」を示す制御コマンドではないため（処理１００３）、情報保持部５１３にデータを保持することなくトンネル処理部５１２にＩＰパケットを転送する（処理１００６）。パケット送受信部５１１は、情報保持部５１３に保持されているエントリデータＡ０１を参照し、ＩＰパケット３０３の宛先がコントローラ１２１であるため、ＩＰパケット３０３をトンネル処理部５１２で暗号化し、仮想トンネル１３１経由でスイッチングハブ１０２へ転送する。

スイッチングハブ１０１は仮想トンネル１３１を経由して受信したＩＰパケット３０３をトンネル処理部４１２で復号し、パケット送受信部４１１に送信する（処理１１０１）。パケット送受信部４１１でＩＰパケットのペイロード部２０４を参照し、ＩＰパケット３０３が制御通信のパケットであり、制御コマンド部２０５が「応答」を示す制御コマンドで、「初期化」を示す制御コマンドでないため、情報保持部４１３に、エントリ登録しない（処理１１０３）。パケット送受信部４１１は、復号されたＩＰパケット３０３をポート４０１を経由してコントローラ１２１へ転送する（処理１１０５）。

図１で示したコントローラ１２１とコントローラ１２３との間の通信も、コントローラ１２１とコントローラ１２２との間の通信と同じである。この時、スイッチングハブ１０３が保持するＩＰアドレスと仮想トンネルのデータは図７のエントリデータＡ０３に示す通りである。また、コントローラ１２１と１２２、１２１と１２３の間の通信が同時に行われている場合、スイッチングハブ１０１が保持するＩＰアドレスと仮想トンネルのデータは図７のエントリデータＡ０４に示す通りである。この場合、スイッチングハブ１０１のパケット送受信部４１１は、情報保持部４１３のエントリデータを参照し、受信したＩＰパケットの宛先ＩＰアドレスに対応するエントリデータがあれば、そのエントリが示す仮想トンネルを特定し、ＩＰパケットを転送する。

以上のようにＩＰパケットの制御コマンドの「初期化」メッセージにより、エントリデータをスイッチングハブに保持するように構成することで、スイッチングハブ１０１、１０２、及び１０３のそれぞれに宛先・送信元ＩＰアドレス、又は宛先・送信元ＭＡＣアドレスを設定する作業は削減しつつ、制御通信のみを暗号化および復号することができる。

実施の形態２．
実施の形態１では、パケット送受信部は制御コマンド部２０５が初期化であることを条件に制御通信を検知した。実施の形態２では、任意の制御コマンドを使用する方法を示す。
図１０は、実施の形態２におけるスイッチングハブ１０１、１０２の構成図である。図１０では、図４に対し、新たに検知対象コマンド保持部４２１、５２１を追加し、パケット送受信部４１１、５１１と接続した。その他は図４と同じである。

図１０に示されたスイッチングハブ１０１、１０２の動作の処理フローの一例を図１１に示す。図１１中、スイッチングハブ１０２の処理フロー１１Ａ、スイッチングハブ１０１の処理フロー１１Ｂと示す。

実施の形態１の図５の処理フローでは、「初期化」を検知対象としてエントリ登録を行っていたが、実施の形態２では、図１２に示すように、ユーザが設定できる検知対象コマンドＢ０１を検知対象とすることができる。
即ち、図１０、図１１において、パケット送受信部５１１は、コントローラ１２２からＩＰパケット３０１を受信すると（図１１中、処理６０１）、受信したＩＰパケット３０１のペイロード部２０４を参照し、フラグの有無により、ＩＰパケット３０１が制御通信のパケットか否かを判断する（処理６０２）。制御通信のパケットでなかった場合には、ポート５０２にＩＰパケット３０１を転送する（処理６０４）。制御通信のパケットの場合、ＩＰパケット３０１の制御コマンド部２０５が、検知対象コマンド保持部５２１から取得した（処理１２０３）検知対象コマンドを示す場合（処理１２０４）、ＩＰパケット３０１の送信先ＩＰアドレスであるコントローラ１２１のＩＰアドレスと仮想トンネル１３１をエントリデータＡ０１（図７参照）として情報保持部５１３にエントリ登録し（処理６０５）、トンネル処理部５１２にＩＰパケット３０１を転送する（処理６０６）。制御コマンド部２０５が検知対象コマンドを示さない場合、情報保持部５１３に情報を保持することなくトンネル処理部５１２にＩＰパケット３０１を転送する。ここで、検知対象コマンド保持部５２１には事前にユーザが希望する制御コマンドを登録しておく。

スイッチングハブ１０１は仮想トンネル１３１を経由して受信したＩＰパケット３０１をトンネル処理部４１２で復号し（処理７０１）、パケット送受信部４１１に送信する。パケット送受信部４１１でＩＰパケット３０１のペイロード部２０４を参照し、ＩＰパケット３０１が制御通信のパケットであり（処理７０２）、制御コマンド部２０５が検知対象コマンド保持部４２１にエントリ登録されているコマンドを示すため（処理１３０３）、情報保持部４１３に、ＩＰパケット３０１の送信元ＩＰアドレスであるコントローラ１２２と仮想トンネル１３１のエントリデータＡ０２（図７参照）をエントリ登録する（処理７０４）。パケット送受信部４１１は、復号されたＩＰパケット３０１をポート４０１を経由してコントローラ１２１へ転送する（処理７０５）。

以上のように構成することで、実施の形態１に比べ、暗号化対象とする制御通信をより柔軟に決めることができるようになった。

実施の形態３．
実施の形態２では、検知対象コマンド保持部４２１、５２１に対し、検知対象コマンドを事前にユーザが登録していた。実施の形態３では、この検知対象コマンドをスイッチングハブ間で自動的に登録する方法を示す。

実施の形態３では、図１３に示すＩＰパケット２０１ａをスイッチングハブ１０１、１０２及び１０３が定期的に送信する。図１３は、図２のＩＰパケット２０１とペイロード部２０４の内容のみが異なる。Ｅｔｈｅｒｎｅｔヘッダ部２０２およびＩＰヘッダ部の宛先は、例えばネットワーク１１１を介してブロードキャストとしても良い。広告コマンド部１４０１には、実施の形態２で説明した検知対象コマンドを格納する。

図１４は、実施の形態３におけるパケット送受信部４１１、５１１の動作の処理フローを示す図である。図１４中、１４Ａがスイッチングハブ１０２の処理フロー、１４Ｂがスイッチングハブ１０１の処理フローである。
図１４では、実施の形態２で説明した図１１の処理と同時に、または前後して、パケット送受信部５１１がＩＰパケット２０１ａを定期的に受信する（図１４中、処理６０１）。受信したＩＰパケット２０１ａは制御通信パケットではないため、ポート５０２へ転送され（処理６０４）、ネットワーク１１１を介してスイッチングハブ１０１に送信される。
スイッチングハブ１０１のパケット送受信部４１１は、ポート４０１からＩＰパケット２０１ａを受信する（処理１５０１）。ＩＰパケット２０１ａがコマンド広告のパケットの場合（処理１５０２）、ＩＰパケット２０１ａに格納された検知対象コマンドを検知対象コマンド保持部４２１に登録する（処理１５０３）。
これにより、例えばスイッチングハブ１０１にのみ事前にユーザが任意の制御コマンドを登録しておくことで、スイッチングハブ１０１から図１３に示すパケットを定期的に送信することで、スイッチングハブ１０２および１０３へ制御コマンドを自動的に登録できる。

以上のように構成することで、実施の形態２に比べ、ユーザの設定作業を削減することができるようになった。

なお、この発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。また、同一符号は同一又は相当する構成を示す。

１０１、１０２，１０３：スイッチングハブ、１１１：ネットワーク、
１２１、１２２、１２３：コントローラ、１３１，１３２：仮想トンネル、
２０１、２０１ａ、３０１、３０２、３０３：ＩＰパケット、
４１１、５１１：パケット送受信部、４１２、５１２：トンネル処理部、
４１３、５１３：情報保持部、４２１、５２１：検知対象コマンド保持部

Claims

マスタである第１のコントローラ、またはスレーブである第２のコントローラに接続され、データの送受信を行うスイッチングハブにおいて、
前記データが制御に係るデータであるか否かを識別するデータ送受信部、前記データ送受信部で制御に係るデータであると識別された制御データのみを仮想トンネルで送受信するための暗号化及び復号を行うトンネル処理部、前記制御データ内の特定の制御コマンドの検出に応じて、前記第１のコントローラ又は前記第２のコントローラのアドレスと前記仮想トンネルの情報とを保持する情報保持部を備え、
前記第２のコントローラに接続される場合、前記第２のコントローラから受信した前記第１のコントローラに送信するための制御データ内の特定の制御コマンドの検出に応じて、前記制御データ内に格納されている前記第１のコントローラのアドレスと前記仮想トンネルの情報とを前記情報保持部に保持し、保持された情報に基づいて以後の制御データを送信し、
前記第１のコントローラに接続される場合、前記第２のコントローラから受信した前記第１のコントローラに送信する前記制御データ内の前記特定の制御コマンドの検出に応じて、前記制御データ内に格納されている前記第２のコントローラのアドレスと前記仮想トンネルの情報とを前記情報保持部に保持し、保持された情報に基づいて以後の制御データを送信することを特徴とするスイッチングハブ。
前記データはＩＰパケットデータであることを特徴とする請求項１に記載のスイッチングハブ。
前記特定の制御コマンドは前記第１又は前記第２のコントローラを使用するユーザにより設定可能であることを特徴とする請求項１または２に記載のスイッチングハブ。
前記ユーザにより設定された前記特定の制御コマンドを格納する検知対象コマンド保持部を有する請求項３に記載のスイッチングハブ。
マスタである第１のコントローラに接続された第１のスイッチングハブ、スレーブである第２のコントローラに接続された第２のスイッチングハブ、前記第１のスイッチングハブと前記第２のスイッチングハブとを接続する仮想トンネルを備えた制御通信ネットワークシステムにおいて、
前記第２のスイッチングハブは、前記第２のコントローラから受信したデータが制御に係るデータであるか否かを識別するデータ送受信部、前記データ送受信部で制御に係るデータであると識別された制御データのみを前記仮想トンネルで送受信するための暗号化を行う第２のトンネル処理部、前記第２のコントローラから受信した前記第１のコントローラに送信するための制御データ内の特定の制御コマンドの検出に応じて、前記制御データ内に格納されている前記第１のコントローラのアドレスと前記仮想トンネルの情報とを保持する第２の情報保持部を備え、
前記第１のスイッチングハブは、前記仮想トンネルから受信した前記制御データを復号する第１のトンネル処理部、前記制御データ内の前記特定の制御コマンドの検出に応じて、前記制御データ内に格納されている前記第２のコントローラのアドレスと前記仮想トンネルの情報とを保持する第１の情報保持部を備え、
特定の制御コマンドを新たに受信するまで、前記第１の情報保持部及び前記第２の情報保持部に保持された情報に基づいて制御データの送信を行うことを特徴とする制御通信ネットワークシステム。
前記特定の制御コマンドは前記第１又は前記第２のコントローラを使用するユーザにより設定可能であることを特徴とする請求項５に記載の制御通信ネットワークシステム。
前記ユーザにより設定された前記特定の制御コマンドを格納する検知対象コマンド保持部を前記第１のスイッチングハブ及び前記第２のスイッチングハブに有することを特徴とする請求項６に記載の制御通信ネットワークシステム。
前記第２のスイッチングハブは複数台存在し、それぞれが別々の前記仮想トンネルで前記第１のスイッチングハブと接続され、前記第１のスイッチングハブ又は複数の前記第２のスイッチングハブのいずれか１つで前記ユーザにより設定された前記特定の制御コマンドは、前記仮想トンネル以外のネットワークを経由して、それぞれのスイッチングハブの前記検知対象コマンド保持部に格納されることを特徴とする請求項７に記載の制御通信ネットワークシステム。