JP4680068B2 - 通信制御方法、ネットワーク及びネットワーク機器 - Google Patents

Description

本発明は、セキュリティを考慮したネットワーク及び通信技術に関する。

ウィルスだけでなく、スパムメールの洪水やフィッシング詐欺などネットワークを用いた犯罪が多発しており、情報セキュリティが益々重視されていてきている。これに対処すべく、情報セキュリティに関する様々な技術が登場している。例えば、ＩＳＰ（Internet Service Provider）のメールサーバ等でメールのウィルスチェックを実施したり、企業内ネットワークに持ち込むパーソナル・コンピュータ（ＰＣ）のセキュリティ・レベルをネットワーク経由のセキュリティセンタでチェックし、セキュリティ・レベルが許容値に達していないの場合には企業内ネットワークに接続させないというような技術が存在している。

また、特開２００３−１７４４８３号公報には、様々な企業の要求に応じてセキュリティを管理する際の管理負担を軽減するための技術が開示されている。具体的には、第一の経路選択サーバは、データ転送経路と、その転送経路に沿って転送すべきデータの条件と、発揮すべきセキュリティ機能との対応関係情報を保持する。第一の経路選択サーバ１１は、最初にアクセスがあると、データ転送経路を定める。そして、その経路上の機器に、経路の情報と、その経路に沿って転送すべきデータの条件と、発揮すべきセキュリティ 機能とを通知する。ファイアウォールやウィルス検知サーバ等は、この通知を受け、条件を満たすデータに対して通過の可否判断や、ウィルスチェックを行う。セキュリティ上の問題が無ければ、通知された経路に従ってデータを転送する。しかしながら、経路上の機器の数には触れられておらず、経路設定にのみに注目しているのでネットワーク全体のセキュリティについては考察されていない。また、経路設定の際にセキュリティ機能だけが考慮されており、他の条件を含めた全体最適化が考察されていないし、具体的な経路選択アルゴリズムも示されていない。
特開２００３−１７４４８３号公報

上で述べたようにネットワークにおけるセキュリティは様々な角度で検討されているが、特定のコンテンツをコンテンツ・サーバから配信する際における様々な問題に注目して解決するような文献は存在していない。更に、具体的な経路制御、アドミッション制御のようなパス制御のアルゴリズムを述べた文献も存在していない。

従って、本発明の目的は、ネットワークにおけるセキュリティを向上させるための新規の技術を提供することである。

また、本発明の目的は、コンテンツをコンテンツ・サーバから配信する際に、ユーザ要求やコンテンツや異常状態の有無など様々な条件を考慮しつつ、必要なセキュリティ機能を実現するための通信技術を提供することである。

本発明の第１の態様に係る、予め定められた１又は複数のセキュリティ機能を有する複数のセキュア・ネットワーク機器が配置されたネットワークにおける通信を制御する通信制御方法は、特定のコンテンツを要求するコンテンツ要求を当該コンテンツ要求の送信先に加えて受信するステップと、コンテンツ要求の送信先から送信元への当該特定のコンテンツの送信経路中に実施すべきセキュリティ機能と当該セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件（例えば機器数、機器数の割合など）とを経路選択条件として用いて経路決定を行う経路決定ステップとを含む。

このようにセキュリティ機能だけではなく当該セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件とを経路選択条件として用いるため、送信経路が長く多数のホップ数が必要となる場合においても適切な頻度にて上記セキュリティ機能に関する処理が実施されるようになり、適切なセキュリティが確保される。数量的な条件は、動的に変化させるようにしても良い。

また、コンテンツ要求の送信先から送信元までに複数のサブネットワークが含まれる場合には、実施すべきセキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件が、サブネットワークにおける数量的な条件（例えば、サブネットワークにおけるセキュア・ネットワーク機器の数又は割合など）を含むようにしてもよい。複数のサブネットワークを経由して特定のコンテンツが配信される場合には、これにより適切なセキュリティが確保される。

さらに、セキュア・ネットワーク機器が、呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、転送したコンテンツ又はパケットを保存する保存機能と、転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、転送したコンテンツの受信を送信元に通知する受信確認機能とのうち少なくとも１つをセキュリティ機能として有するようにしてもよい。セキュア・ネットワーク機器が、より多くのセキュリティ機能を有するようにすれば、経路選択の余地が広がる。

また、コンテンツ要求の送信元に関する情報（例えばユーザの要求や属性、ユーザプロファイル）、送信先に関する情報（例えばコンテンツ提供者の属性など）及び特定のコンテンツに関する情報（コンテンツプロファイルなど）のうち少なくともいずれかに基づき、特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを決定する決定ステップをさらに含むようにしてもよい。このように、実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルが決定され、それに応じた経路設定などが行われるようになる。

さらに、特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを特定のコンテンツ・データ又はパケットに付与する付与ステップをさらに含むようにしてもよい。ヘッダを適切に設定することにより、設定された送信経路で適切にセキュリティ機能に関連する処理が実施されるようになる。

また、上記ヘッダが、セキュリティ・レベルを含むようにしてもよい。その場合には、送信経路中のセキュリティ機能を有するセキュア・ネットワーク機器により、当該ヘッダに含まれるセキュリティ・レベルに基づき実施すべきセキュリティ機能を特定し、保持するセキュリティ機能の実施の有無を判断するステップをさらに含むようにしてもよい。セキュリティ・レベル毎に別途実施すべきセキュリティ機能が規定されているような場合である。

一方、上記ヘッダが、実施すべきセキュリティ機能を指定するアクション・ラベルを含むようにしてもよい。その場合、送信経路中のセキュリティ機能を有するセキュア・ネットワーク機器により、ヘッダに含まれるアクション・ラベルに基づき実施すべきセキュリティ機能を特定し、保持するセキュリティ機能の実施の有無を判断するステップをさらに含むようにしてもよい。

本発明の第２の態様に係るネットワークにおいては、呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、転送したコンテンツ又はパケットを保存する保存機能と、転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、転送したコンテンツの受信を送信元に通知する受信確認機能とのうち少なくとも１つをセキュリティ機能として有するセキュア・ネットワーク機器が、トラフィック需要及びホップ数又は距離に基づき算出され且つ当該セキュア・ネットワーク機器を経由する際に消費するリソース消費量を最小化する位置に配置されている。このようにすることにより、コンテンツなどに対して必要なセキュリティ機能を必要なだけ実施しつつ効率的に配信することができるようになる。

本発明の第３の態様に係る、予め定められたセキュリティ機能を有するセキュア・ネットワーク機器が配置されたネットワークにおける通信を制御する通信制御方法は、特定のコンテンツを要求するコンテンツ要求を当該コンテンツ要求の送信先に加えて受信するステップと、受信したコンテンツ要求の送信元、送信先及び特定のコンテンツのうち少なくとも１つに基づき、特定のコンテンツの送信経路中のセキュア・ネットワーク機器に実施させるべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを決定する決定ステップとを含む。このようにすれば特定のコンテンツを配信する際に必要なセキュリティ機能が適切に特定されるようになる。

本発明の第４の態様に係るネットワーク機器は、特定のコンテンツを要求するコンテンツ要求に対して当該特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルのデータを通信制御装置から受信する手段と、特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを特定のコンテンツ・データ又はパケットに付与する付与手段とを有する。このようなネットワーク機器が、コンテンツ・サーバ付近のエッジルータとして配置されれば、適切なルーティングがなされるようになる。なお、ネットワーク機器が、コンテンツ・サーバと一体化されるようにしてもよい。

本発明の第５の態様に係るネットワークにおいては、呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、転送したコンテンツ又はパケットを保存する保存機能と、転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、転送したコンテンツの受信を送信元に通知する受信確認機能とをセキュリティ機能として有するセキュア・ネットワーク機器が広域ネットワークにおけるサブネット間の境界に配置される。このようにすれば、広域ネットワークのサブネット間をまたいでコンテンツが送信される場合には、特別な経路設定を行わなくともセキュア・ネットワーク機器を経由するため必要なセキュリティが確保されるようになる。

本発明の第６の態様に係るセキュア・ネットワーク機器は、呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、転送したコンテンツ又はパケットを保存する保存機能と、転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、転送したコンテンツの受信を送信元に通知する受信確認機能とのうち少なくとも１つをセキュリティ機能として有する。そして、特定のコンテンツを要求するコンテンツ要求に対して特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを有する特定のコンテンツのデータ又はパケットを受信する手段と、上記ヘッダがセキュリティ・レベルを含む場合には、当該ヘッダに含まれるセキュリティ・レベルに基づき実施すべきセキュリティ機能を特定し、保持するセキュリティ機能の実施の有無を判断する手段とをさらに有する。

また、上記ヘッダが、実施すべきセキュリティ機能を指定するアクション・ラベルを含む場合には、当該ヘッダに含まれるアクション・ラベルに基づき実施すべきセキュリティ機能を特定し、保持するセキュリティ機能の実施の有無を判断する手段を有する。

なお、本通信制御方法などは、コンピュータと当該コンピュータに実行されるプログラムとで実施され、このプログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等の記憶媒体又は記憶装置に格納される。また、ネットワークなどを介してデジタル信号として配信される場合もある。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

本発明によれば、ネットワークにおけるセキュリティを向上させることができるようになる。

また、本発明の他の側面によれば、コンテンツをコンテンツ・サーバから配信する際において、ユーザ要求やコンテンツや異常状態の有無など様々な条件を考慮しつつ、必要なセキュリティ機能を実現することができるようになる。

本発明の実施の形態においては、道路に安全・不安全があるようにネットワークにも「安全・不安全な通信経路」という考え方を導入する。具体的には、いくつかのセキュリティ機能を有するノードを中継する経路を安全な経路と定義し、要求に応じて安全な経路を選択するようにする。

具体的には、経路を選択する際に、最小コスト経路を選択するという一般的な条件にセキュリティ機能の有無を条件として加味するアルゴリズムを提供しており、全体最適化を図ることができる。更に、経路が既に決定されているように、経路選択の自由度が無い場合においても、パス設定時のアドミッション制御でセキュリティ機能の有無を確認することで、セキュリティ機能を実施することが可能となる。

また、通常時と災害発生などの異常時における処理を変更することを考慮しており、高信頼インフラを構築するための基本技術を提供することが可能になる。

図１に本発明の一実施の形態におけるシステム概要図を示す。本実施の形態に係るシステムでは、ユーザプレイン１００とネットワーク制御プレイン２００とコンテンツ制御プレイン３００との３つのプレインで構成される。ユーザプレイン１００には、ネットワーク（ＬＡＮ（Local Area Network）、ＨＮ（Home Network）、ＷＡＮ（Wide Area Network）など）に接続されている様々な機器が含まれる。図１の例では、ユーザ端末側のエッジルータ１０５には、ユーザ端末１０１及び１０２が接続されており、また通常のルータ１０３にも接続されている。また、ネットワークには以下で説明するセキュリティ機能を有するセキュア・ノード（ＳＮ）１０４及び他の通常のルータ１０３も複数含まれている。なお、セキュア・ノード１０４は、ネットワーク中に散在しているものとする。また、サーバ側のエッジルータ１０６には、コンテンツサーバ１０８が接続されている。このコンテンツサーバ１０８は、配信されるコンテンツのデータを格納しているコンテンツＤＢ１０９を管理している。ユーザプレイン１００に属するサーバ、機器及びネットワークは図１には示されていなくとも多数存在している。また、ユーザプレイン１００に属する機器は、以下で説明するようにネットワーク制御プレイン２００及びコンテンツ制御プレイン３００におけるサーバと連携可能となっている。

ネットワーク制御プレイン２００は、端末とサーバ間の経路やコネクションを確立するなどのネットワークレイヤ機能を実行する層であり、経路制御サーバ２０１とアドミッション制御サーバ２０２などが含まれる。経路制御サーバ２０１は、コンテンツ制御プレイン３００からの指示に応じて経路を決定する処理を実施し、ユーザプレイン１００における機器に必要な設定を行う。また、アドミッション制御サーバ２０２は、コンテンツ制御プレイン３００からの指示に応じて、アドミッション処理やこれ以外の呼、コネクション、パス又はセッションを設定するための処理などを実施し、ユーザプレイン１００における機器に必要な設定を行う。

コンテンツ制御プレイン３００には、コンテンツアクセスに関するサービス提供方法の決定、あるいは、コンテンツサービスを実行する層であり、状況管理サーバ３０１とユーザプロファイル３０３及びコンテンツプロファイル３０４を管理するコンテンツ通信制御サーバ３０２、転送履歴ＤＢ３０６を管理する転送履歴サーバ３０５、コンテンツ保存部３０８を管理する保存管理サーバ３０７とが含まれる。状況管理サーバ３０１は、ユーザプレイン１００等に関連して収集された状況データに基づき現在の状況が正常であるか異常であるかを判定し、当該判定結果をコンテンツ通信制御サーバ３０２に通知する。通信制御サーバ３０２は、ユーザプロファイル３０３に格納されているコンテンツ要求元のユーザの設定又は属性と、コンテンツプロファイル３０４に格納されたコンテンツ提供者のポリシー及び要求コンテンツの属性などに基づき、コンテンツの送信経路中に実施すべきセキュリティ機能を決定し、ネットワーク制御プレイン２００及びユーザプレイン１００に対する制御を行う。転送履歴管理サーバ３０５は、転送履歴を保持するセキュア・ノード１０４から転送履歴のデータを収集し、当該転送履歴データをコンテンツ毎に統合して転送履歴ＤＢ３０６に格納する。保存管理サーバ３０７は、コンテンツを一時的に保存するセキュア・ノード１０４から、ノードの蓄積容量に限界があるような場合にコンテンツを収集し、コンテンツ保存部３０８に蓄積する。

ユーザプロファイル３０３は、ユーザ毎に、例えばコンテンツの各種別に対応してユーザが予め規定している必要なセキュリティ機能の定義を格納している。また、異常時に処理を切り替えるために、例えばユーザにより指定された発信先が登録されている。なお、その他実施すべきセキュリティ機能を特定するのに用いるユーザの属性データを保持するような場合もある。

コンテンツプロファイル３０４は、例えばコンテンツ提供者毎（例えばドメイン毎）に必要なセキュリティ機能の定義を格納したり、コンテンツの属性毎に必要なセキュリティ機能の定義を格納するものである。例えば、「医療」「金融」といった大分類につき必要なセキュリティ機能の定義してもよいし、「医療」の下位概念の「個人病歴」という分類について必要なセキュリティ機能の定義をしてもよい。階層的な定義を行えば、下位の階層の定義がなければ上の階層の定義を用いるようにする。

なお、コンテンツ通信制御サーバ３０２の管理者が、必要なセキュリティ機能の変換ルールを定義しておき、コンテンツプロファイル３０４における定義を変更する場合もある。例えば、特定の属性を有するコンテンツについては必要なセキュリティ機能を増加させたり、減らしたりする。

状況管理サーバ３０１は、ユーザプレイン１００、交通、社会、天候などにおいて生じた事象のデータ及び登録ユーザにおいて生じた事象のデータを収集する状況データ収集部４０１から状況データの収集データを受信する。この状況データ収集部４０１は、様々なセンサであり、（１）ユーザプレイン１００におけるネットワークの障害状況、輻輳状態、ウィルス伝播状態などを収集する装置、（２）電車の運行管理システムから運行状況に関するデータを受信する装置、又は各電車、各路線バスなどに付されたＩＣタグと駅又は停留所等に設けられたＩＣタグ・リーダとタイムテーブルとを組み合わせて運行状況を収集する装置、（３）道路に設けられた速度センサなどから車両の移動状況を収集する装置、（４）他の交通情報を提供するシステムから事故情報を収集する装置、（５）インターネット等に設けられた信頼あるニュースサイトから特定の種類のニュース（戦争、戦乱、テロ、国会解散など）を収集する装置、（６）地震計、（７）雨量計、気圧計、温度計、湿度計、風力計、気象庁ホームページなどから提供される台風、降雪、地震その他の特定のデータを収集する装置、（８）火災報知器、煙探知機、においセンサなどから火災の発生状況のデータを収集する装置、（９）株式市場システムから株価の値動きに関するデータを収集する装置、（１０）ホームセキュリティ・システムから得られる登録ユーザ宅への侵入の有無を収集する装置、（１１）物品、登録ユーザ、登録ユーザに関連する人などに付されたＩＣタグと各所に配置されたＩＣタグ・リーダから物品又は人の移動に関する状況データを収集して、盗難又は誘拐の可能性を検出する装置、（１２）警報用の携帯端末から発せられた警報（犯罪（脅迫など）、病気（発作など）、負傷などの発生に関する警報）を収集する装置、（１３）体温、脈拍、血圧などを測定した結果を収集し、特定の病状を検出する装置など、様々な装置を含む。

（２）（３）（４）等に基づき、交通の全面マヒ、大事故発生、複数路線のストップ、予め定められた大渋滞、予め定められた渋滞、単発事故などを検出する。（５）（９）に基づき、戦争勃発、同時テロ発生、株の急激な暴落、国会解散などを検出する。（６）から、震度６以上の地震の発生、震度４乃至５の地震の発生、震度３以下の地震の発生などを検出する。（７）などに基づき予め定められたレベルの大型台風、予め定められたレベルの大雪、大雨、予め定められた基準を満たす猛暑などを検出する。（８）によって火災の規模を検出する。（１０）（１２）（１３）などに基づき、強盗の侵入、誘拐、脅迫、ストーカの出現、スリの発生、重体、重傷、持病の発作、負傷、花粉症の発生などを検出する。このように様々な異常のレベルを特定することができるが、本実施の形態では異常又は正常のいずれかを所定の基準にて判断するものとする。

次に、セキュア・ノード１０４の機能ブロック図を図２に示す。セキュア・ノード１０４は、コンテンツ又はコンテンツのパケットに付されたヘッダを解釈して必要なセキュリティ機能を動作させるヘッダ分析部１０４１と、ヘッダ分析部１０４１がヘッダを分析する際に必要となる定義データを格納するポリシーＤＢ１０４２と、トレーサビリティ機能（ＴＦ）１０４３と保存機能（ＳＦ）１０４４とフィルタリング機能（ＦＦ）１０４５と受信確認機能（ＲＦ）１０４６との少なくとも１つとを有する。

トレーサビリティ機能１０４３は、ある指定された呼／コネクション／パス／セッションの設定情報や、ある指定されたコンテンツ又はそのパケットの通過情報（時刻、送信元、送信先など。転送履歴データとも呼ぶ。）を、転送履歴格納部１０４７に記録する。転送履歴格納部１０４７に格納されたデータについては、保存してから一定時間経過したり、ネットワーク管理者などにより指示された場合に、トレーサビリティ機能１０４３により削除される。また、トレーサビリティ機能１０４３は、例えば一定時間毎に転送履歴格納部１０４７に格納されているデータを転送履歴管理サーバ３０５に送信する。上でも述べたが、転送履歴管理サーバ３０５は、各トレーサビリティ機能１０４３を有するセキュア・ノード１０４から転送履歴データを受信すると、コンテンツ毎に整理して転送履歴ＤＢ３０６に保管する。転送履歴管理サーバ３０５は、ユーザ、ネットワーク管理者、コンテンツ提供者などからの要求に応じて転送履歴ＤＢ３０６から必要なコンテンツ・データについての転送履歴データを抽出して、ユーザなどに提供する。

また、保存機能１０４４は、ある指定されたコンテンツ又はそのパケットそのものをデータ格納部１０４８に保存する。保存機能１０４４は、データ格納部１０４８に格納されているコンテンツ又はそのパケットを、保存してから一定時間経過した後に削除したり、データ格納部１０４８の空き容量が所定基準以下になった場合には古い順番に削除したり、ユーザ、ネットワーク管理者、コンテンツ提供者などからの指示に応じて削除する。また、受信確認機能１０４６と連携できる場合には、保存しているコンテンツ又はそのパケットの受信確認が得られた場合に削除する。

フィルタリング機能１０４５は、指定のコンテンツ又はそのパケットを、廃棄又は通過させる機能である。また、受信確認機能１０４６は、ある指定されたコンテンツ又はそのパケットの受信完了を送信元へ通知する機能である。

ヘッダ分析部１０４１は、受信したコンテンツ又はそのパケットのヘッダに、実施すべきセキュリティ機能が定義されている場合には、それに従って必要な機能を動作させればよいが、例えばヘッダがセキュリティ・レベルを表している場合がある。その場合には、ポリシーＤＢ１０４２を参照して、ヘッダを解釈する。その際、ポリシーＤＢ１０４２には、図３に示すようなデータが格納されている。

図３の例では、レベル毎に必要なセキュリティ機能が定義されている。この例では、レベルが、無、低、中、高、特というレベル分けがなされている。無のレベルでは、必要なセキュリティ機能はない。低レベルでは、トレーサビリティ機能実施が規定されている。中レベルでは、トレーサビリティ機能、及び受信確認機能が規定されている。高レベルでは、３ホップ毎のトレーサビリティ機能、受信確認機能、及び保存機能が規定されている。特レベルでは、重要コンテンツにつきフィルタリング機能（通過）、トレーサビリティ機能、及び保存機能が規定されている。レベルが上がる毎に実施すべき処理の頻度を上げるように規定する場合もある。すなわち、実施間隔を規定するホップ数を下げるようにしてもよい。

次に、図１に示したシステムの処理フローを図４乃至図２１を用いて説明する。例えば、ユーザ端末１０１は、ユーザからの指示に応じて、特定のコンテンツを要求するアクセス要求を送信する。このアクセス要求には、例えばＵＲＬ（Uniform Resource Locator）のような要求コンテンツを特定するデータだけではなく、場合によっては、ユーザからの指示に応じて、要求コンテンツについて必要なセキュリティ機能を指定するデータ又は必要なセキュリティ機能を特定するためのデータを含む。さらに、ユーザ端末１０１ではなく、ユーザ端末側のエッジルータ１０５によって付加される場合もあるが、要求コンテンツの送信に必要な又は確保すべき帯域のデータを含む場合もある。

ユーザ端末側のエッジルータ１０５は、ユーザ端末１０１からアクセス要求を受信すると、当該アクセス要求をコンテンツ通信制御サーバ３０２に送信すると共に、さらに当該アクセス要求を従来技術に従ってネットワークを介してコンテンツサーバ側のエッジルータ１０６宛に送信する（ステップＳ１）。コンテンツサーバ側のエッジルータ１０６は、ユーザ端末側のエッジルータ１０５からアクセス要求を受信し、接続しているコンテンツサーバ１０８に転送する（ステップＳ５）。コンテンツサーバ１０８は、アクセス要求をコンテンツサーバ側のエッジルータ１０６から受信する（ステップＳ７）。なお、コンテンツサーバ側のエッジルータ１０６宛に送信するのは、この段階ではなく、例えばコンテンツ通信制御サーバ３０２から許可の指示を得てから送信するようにしても良い。

一方、コンテンツ通信制御サーバ３０２は、ユーザ端末側のエッジルータ１０５からアクセス要求を受信し（ステップＳ３）、セキュリティ決定処理を実施する（ステップＳ９）。このセキュリティ決定処理については図５及び図６を用いて説明する。

まず、コンテンツ通信制御サーバ３０２は、状況管理サーバ３０１から現在の状況データ（正常又は異常）を取得し、例えばメインメモリなどの記憶装置に格納する（ステップＳ２１）。そして状況データに基づき現在の状況が正常であるか否かを判断する（ステップＳ２３）。もし、正常ではなく異常である場合には、アクセス要求が緊急通報であるか判断する（ステップＳ２５）。例えば警察署や消防署など予め定められた緊急通報先への接続要求（通話要求など）であるかを確認する。

もし、アクセス要求が緊急通報であると判断された場合には、フィルタリング機能（通過）、受信確認機能、及びトレーサビリティ機能を必要なセキュリティ機能として設定し（ステップＳ２７）、元の処理に戻る。なお、必要なセキュリティ機能の実施頻度も併せて設定される場合もある。

一方、アクセス要求が緊急通報ではないと判断された場合には、アクセス要求の送信元及び送信先が登録着発信であるか判断する（ステップＳ２９）。例えば、ユーザプロファイル３０３に規定されているデータを基に、アクセス要求の送信元に対応してアクセス要求の送信先が着信先として予め登録されているか判断する。もし、アクセス要求の送信元及び送信先が登録着発信であると判断された場合には、フィルタリング機能（通過）及び受信確認機能を必要なセキュリティ機能として設定し（ステップＳ３１）、元の処理に戻る。なお、必要なセキュリティ機能に係る処理の実施頻度も併せて設定される場合もある。

さらに、アクセス要求の送信元及び送信先が登録着発信でないと判断した場合、アクセス要求で特定される要求コンテンツが登録重要コンテンツであるか判断する（ステップＳ３３）。例えば、コンテンツプロファイル３０４又はユーザプロファイル３０３を参照して、コンテンツ提供者又はユーザが重要として登録しているコンテンツの要求であるか判断する。アクセス要求で特定される要求コンテンツが登録重要コンテンツであると判断された場合には、フィルタリング機能（通過）、保存機能及びトレーサビリティ機能を必要なセキュリティ機能として設定し（ステップＳ３５）、元の処理に戻る。なお、必要なセキュリティに係る処理の実施頻度も併せて設定される場合もある。

アクセス要求で特定される要求コンテンツが登録重要コンテンツではないと判断された場合には、強制破棄を設定する（ステップＳ３７）。具体的には、フィルタリング機能（破棄）が設定される。このように、異常時には、必ずフィルタリング機能を有するセキュア・ノード１０４を通過するようにして、緊急通報、予め想定されている登録着発信、登録重要コンテンツであれば当該フィルタリング機能を有するセキュア・ノード１０４で通過させ、それ以外ではフィルタリング機能を有するセキュア・ノード１０４で破棄する。そして元の処理に戻る。但し、ステップＳ３９に移行するようにしても良い。またステップＳ２７、Ｓ３１及びＳ３５で設定されるセキュリティ機能は一例であってセキュリティ機能の組み合わせを変更しても良い。

また、ステップＳ２３において現在の状況が正常であると判断されると、アクセス要求又はユーザプロファイル３０３に必要なセキュリティ機能について規定がなされているか判断する（ステップＳ３９）。アクセス要求又はユーザプロファイル３０３に必要なセキュリティ機能について規定がなされていると判断された場合には、アクセス要求又はユーザプロファイル３０３に対する確認処理を実施する（ステップＳ４１）。確認処理については、図６を用いて説明する。

確認処理では、判断対象（ここではアクセス要求又はユーザプロファイル３０３）からトレーサビリティ機能が必要であるか判断する（ステップＳ５１）。例えば、ユーザがトレーサビリティ機能を必要としているか否かを、判断対象のデータに規定がなされているかで判断する。アクセス要求に明示的に指示がなされているか、ユーザプロファイル３０３にユーザ（又は要求コンテンツとの組み合わせ）がトレーサビリティ機能の必要性を登録しているかを判断する。トレーサビリティ機能が必要と判断される場合には、トレーサビリティ機能ありと設定する（ステップＳ５３）。なお、トレーサビリティ機能に係る処理の実施頻度についても併せて設定される場合もある。

ステップＳ５１でトレーサビリティ機能が不要と判断された場合又はステップＳ５３の後で、保存機能が必要であるか判断する（ステップＳ５５）。ステップＳ５１について述べたような判断基準にて本ステップにおいても判断する。保存機能が必要と判断された場合には、保存機能ありに設定する（ステップＳ５７）。なお、保存機能に係る処理の実施頻度についても併せて設定される場合もある。

ステップＳ５５で保存機能が不要と判断された場合又はステップＳ５７の後に、受信確認機能が必要であるか判断する（ステップＳ５９）。本ステップにおいてもステップＳ５１について述べたような判断基準にて判断する。受信確認機能が必要であると判断された場合には、受信確認機能ありに設定する（ステップＳ６１）。そして、ステップＳ５９において受信確認機能が不要と判断された場合又はステップＳ６１の後に、元の処理に戻る。なお、受信確認機能の実施頻度についても併せて設定される場合もある。

図５の説明に戻って、ステップＳ３９でアクセス要求又はユーザプロファイル３０３に必要なセキュリティ機能について規定がなされていないと判断された場合又はステップＳ４１の後に、コンテンツプロファイル３０４に必要なセキュリティ機能について規定されているか判断する（ステップＳ４３）。例えば、アクセス要求の送信先のコンテンツサーバ１０８に関連して必要なセキュリティ機能について規定されているか、アクセス要求に係るコンテンツ又はコンテンツの属性（例えばＵＲＬその他で特定する）に対応して必要なセキュリティ機能について規定されているか判断する。コンテンツプロファイル３０４に必要なセキュリティ機能について規定されていると判断された場合には、コンテンツプロファイル３０４に対する確認処理を実施する（ステップＳ４５）。確認処理は図６に示したものと同様であり、判断対象がコンテンツプロファイル３０４である点のみ異なる。

そして、ステップＳ４３でコンテンツプロファイル３０４に必要なセキュリティ機能について規定されていないと判断された場合又はステップＳ４５の後に、ステップＳ４１及びＳ４５で必要とされたセキュリティ機能をすべて必要なセキュリティ機能として採用する（ステップＳ４７）。このように、ユーザ、コンテンツ提供者、コンテンツなどから必要とされるセキュリティ機能については、これらのポリシーを全て反映すべく、必要とされたものを除外することなく、全て必要なセキュリティ機能として採用する。但し、場合によっては特別な判断基準にて特定のセキュリティ機能を実施不可と設定する場合もある。そして元の処理に戻る。

なお、図５及び図６で説明した処理では、フィルタリング機能、保存機能、受信確認機能、トレーサビリティ機能のそれぞれにつき実施の有無について判断しているが、図３に示したセキュリティ・レベルを判断するような処理を実施する場合もある。

図４の説明に戻って、コンテンツ通信制御サーバ３０２は、コンテンツサーバ１０８からコンテンツを送信する際の経路を決定すべきか判断する（ステップＳ１１）。別処理で既に経路が決定されているか判断するものである。もし、経路が別処理で決定されている場合には、端子Ｂを介して図１１の処理に移行する。一方、経路がまだ未定であってこれから決定すべき場合には、ステップＳ９で決定されたセキュリティについてのデータ（セキュリティ・データ（セキュリティ・レベルの場合もあれば、実施すべきセキュリティ機能と指定された処理の実施頻度等））などを含む経路決定要求を経路制御サーバ２０１に送信する（ステップＳ１３）。経路決定要求には、例えばユーザ端末側のエッジルータ１０５（着ノードとも呼ぶ）及びコンテンツサーバ側のエッジルータ１０６（発ノードとも呼ぶ）のＩＤ又はアドレス、アクセス要求などに含まれる要求帯域のデータ及び状況データ（異常又は正常）も含まれる。コンテンツ通信制御サーバ３０２の処理は端子Ｂを介して図１１の処理に移行する。

経路制御サーバ２０１は、コンテンツ通信制御サーバ３０２からセキュリティ・データ等を含む経路決定要求を受信し、例えばメインメモリなどの記憶装置に格納する（ステップＳ１５）。そして、経路決定処理を実施する（ステップＳ１７）。この処理については、図７乃至図１０を用いて説明する。なお、ステップＳ１７の後に端子Ｃを介して図１１の処理に移行する。経路制御サーバ２０１は、まずｎを１に初期化する（ステップＳ７１）。そして、セキュリティ以外の条件で、ユーザ端末側のエッジルータ１０５からコンテンツサーバ側のエッジルータ１０６までの最小コスト経路を選択する（ステップＳ７３）。この処理については従来と同じであるからこれ以上述べない。但し、図示しないネットワーク構成についてのデータを用いて処理を行う。当該ネットワーク構成についてのデータには、セキュア・ノード１０４であるか否か、そしてセキュア・ノード１０４が有するセキュリティ機能の種別などのデータを含む。

次に、ステップＳ７３で特定された経路中のセキュア・ノード１０４の構成を特定する（ステップＳ７５）。すなわち、経路中に存在する各セキュア・ノード１０４が有するセキュリティ機能、及びその経路中の配置状態（間隔（ホップ数）など）を特定する。そして、コンテンツ通信制御サーバ３０２から受信した経路決定要求に含まれるセキュリティ・データに基づき、必要なセキュア・ノード１０４が必要数又は必要な頻度で含まれているか判断する（ステップＳ７７）。例えば、トレーサビリティ機能を３ホップ毎に入れるというセキュリティ・データを受信した場合には、当該セキュリティ・データの条件を満たしているか判断する。なお、セキュリティ・データに、必要なセキュリティ機能については指定があるが、実施頻度についての指定がない場合には、１つでも必要なセキュリティ機能を有するセキュア・ノード１０４が経路中に含まれていればよいとすることもあれば、最低ラインの実施頻度を予め決めておき、それの最低ラインの実施頻度を超えているか否かを判断することもある。なお、ネットワークが複数のサブネットワークを含み、ステップＳ７３で特定された経路中複数のサブネットワークを経由する場合には、例えば各サブネットワーク中において必要なセキュリティ機能を有するセキュア・ノード１０４の数又は含有率などを確認する必要がある。

必要なセキュア・ノード１０４が必要数又は必要な頻度で含まれていると判断された場合には、ステップＳ７３で特定された経路をコンテンツ送信の経路として決定し（ステップＳ７９）、元の処理に戻る。なお、図７の処理フローでは、経路が確定したことをコンテンツ通信制御サーバ３０２に通知するようにはなっていないが、経路確定メッセージをコンテンツ通信制御サーバ３０２に送信するようにしてもよい。その場合、コンテンツ通信制御サーバ３０２は、経路確定メッセージを受信してから以下の処理を実施するようにしてもよい。

一方、必要なセキュア・ノード１０４が必要数又必要な頻度で含まれていないと判断された場合には、再経路決定を行うか否かを判断する（ステップＳ８１）。再経路決定を行うか否かは設定に従う。再経路決定を行わない場合には、経路決定要求を拒否する要求拒否メッセージをコンテンツ通信制御サーバ３０２に送信する（ステップＳ８９）。コンテンツ通信制御サーバ３０２は、経路制御サーバ２０１から要求拒否メッセージを受信すると、例えば以下の処理を行わず、ユーザ端末側のエッジルータ１０５を介してユーザ端末１０１に要求拒否を返信する。経路制御サーバ２０１の処理はこれで終了する。

一方、再経路決定を行う場合には、ｎが予め定められた閾値Ｎより小さいか判断する（ステップＳ８３）。ｎが予め定められた閾値Ｎ以上である場合には、Ｎ回以上繰り返し経路を決定したにもかかわらず経路を特定できなかったとしてステップＳ８９に移行する。これに対してｎが予め定められた閾値Ｎより小さい場合には、現時点のステップＳ７３で特定された経路以外の経路を新たな候補として、ｎを１インクリメントした後（ステップＳ８７）、ステップＳ７３に戻る。ここでは、新たな経路候補を抽出する方法として、先に選んだ経路の中で最大コストのリンクをネットワークのトポロジーグラフから外して、ステップＳ７３の最小コスト経路を求める方法を例示している。

このような処理を実施することによって、経路中においてコンテンツ通信制御サーバ３０２によって決定された必要なセキュリティ機能に係る処理を必要な頻度で実施することが可能となる。図８に示すように、コンテンツ通信制御サーバ３０２によってトレーサビリティ機能（ＴＦ）が必要と判断された場合にはコンテンツサーバ１０８から要求元のユーザ端末１０１へ経路Ａを経由して要求コンテンツが送信される。また、コンテンツ通信制御サーバ３０２によって保存機能（ＳＦ）が必要と判断された場合にはコンテンツサーバ１０８から要求元のユーザ端末１０１へ経路Ｂを経由して要求コンテンツが送信される。さらに、コンテンツ通信制御サーバ３０２によってフィルタリング機能（ＦＦ）が必要と判断された場合にはコンテンツサーバ１０８から要求元のユーザ端末１０１へ経路Ｃを経由して要求コンテンツが送信される。同様に、コンテンツ通信制御サーバ３０２によって受信確認機能が必要と判断された場合にはコンテンツサーバ１０８から要求元のユーザ端末１０１へ経路Ｄを経由して要求コンテンツが送信される。

次に、図９及び図１０を用いて経路決定処理の別の処理フローを説明する。経路制御サーバ２０１は、コンテンツ通信制御サーバ３０２から受信したセキュリティ・データに含まれる必要なセキュリティ機能と、ネットワーク構成のデータとから、必要となるセキュア・ノード候補を特定する（ステップＳ９１）。ユーザ端末側のエッジルータ１０５からコンテンツサーバ側のエッジルータ１０６までで経由する可能性のあるセキュア・ノード１０４であって、必要とされるセキュリティ機能を有するセキュア・ノード１０４を特定する。例えば図１０のようなネットワークで、トレーサビリティ機能（ＴＦ）及び保存機能（ＳＦ）が必要なセキュリティ機能であるとすると、トレーサビリティ機能を有するＴＦ１及びＴＦ２というセキュア・ノード１０４と、保存機能を有するＳＦ１及びＳＦ２というセキュア・ノード１０４とが特定されるものとする。なお、ここでは発ノードをＡ、着ノードをＢとする。

その後、経路制御サーバ２０１は、発ノード（コンテンツサーバ側のエッジルータ１０６）、着ノード（ユーザ端末側のエッジルータ１０５）及び必要なセキュリティ機能を有するセキュア・ノード１０４の全候補のそれぞれの間の最小コストの経路を見つけ、そのコスト値をネットワーク構成についてのデータを用いて特定し、例えばメインメモリなどの記憶装置に格納する（ステップＳ９３）。ステップＳ９３では、必要な帯域等が指定されている場合には、当該必要な帯域等を満たす最小コストのパスを特定する。

最後に、経路制御サーバ２０１は、発ノードから着ノードまで必要なセキュリティ機能を有するセキュア・ノード１０４を必要な数（必要なセキュリティ機能に係る処理の実施頻度を満たすセキュア・ノード１０４の数）だけ経由するように経路候補を特定し、各経路候補の合計コストを算出し、経路候補の中でコスト最小のものを選択する（ステップＳ９５）。

例えば、図１０のようなネットワークの場合には、以下のような経路候補が特定される。
Ａ−ＴＦ１−ＳＦ１−Ｂ
Ａ−ＴＦ１−ＳＦ２−Ｂ
Ａ−ＴＦ２−ＳＦ１−Ｂ
Ａ−ＴＦ２−ＳＦ２−Ｂ
Ａ−ＳＦ１−ＴＦ１−Ｂ
Ａ−ＳＦ１−ＴＦ２−Ｂ
Ａ−ＳＦ２−ＴＦ１−Ｂ
Ａ−ＳＦ２−ＴＦ２−Ｂ
図１０では、発着ノードと必要な機能のセキュア・ノード候補だけを明示したが、この間にノードは存在し、発着ノードとセキュア・ノードを結ぶ経路は複数あるものとする。この中で、まず、発ノードＡと各セキュア・ノード間の最小コスト経路を求める。次に機能が異なるセキュア・ノード間の最小コスト経路を求める。更に、各セキュア・ノードと着ノードＢの最小コスト経路を求める。最後に上述した８つの経路候補のそれぞれの最小コストの和である合計コストを求め、この値が最小の経路を選択する。

次に図４の端子Ｂ及びＣ以降の処理を図１１乃至図２１を用いて説明する。経路制御サーバ２０１は、ステップＳ１７で経路が決定されると、経路設定を経路上の関連ノードに対して行う（ステップＳ１０１）。コンテンツサーバ１０８からユーザ端末１０１に送信される特定のコンテンツを、ステップＳ１７で決定された経路に沿って伝送するための設定を経路上の関連ノードに対して行う。この処理については従来と同じであるからこれ以上説明しない。

一方、コンテンツ通信制御サーバ３０２は、パス、コネクション等が必要であるか判断する（ステップＳ１０３）。上で述べた経路決定処理を実施した場合には、選ばれた経路上には必要なセキュリティ機能を有するセキュア・ノード１０４が確実に存在する。しかし、例えば経路制御サーバ２０１とは別のサーバにて別の基準で既に経路が決定されており、さらにコネクション、パス、セッションなどが必要となった場合、そのコネクション、パス、セッション等の経路上に必要なセキュリティ機能を有するセキュア・ノード１０４が必要な数だけ含まれているかどうかはわからないので、以下で述べるアドミッション制御でこの判定を加える必要がある。ここでは、経路等が経路制御サーバ２０１で決定されておらずパス等の設定が必要であるか判断する。パス等の設定が不要であれば端子Ｇを介して図１３の処理に移行する。

一方、パス等の設定が必要であれば、パス、コネクション等が何らかの手段により既に設定されているか判断する（ステップＳ１０５）。例えばアドミッション制御サーバ２０２以外のサーバによって既にパス等が設定済みであれば、端子Ｇを介して図１３の処理に移行する。これに対して、パス等が未設定であれば、コンテンツ通信制御サーバ３０２は、ステップＳ９で決定されたセキュリティについてのデータ（セキュリティ・データ（セキュリティ・レベルの場合もあれば、実施すべきセキュリティ機能と設定された実施頻度等））などを含むコネクション設定要求をアドミッション制御サーバ２０２に送信する（ステップＳ１０７）。コネクション設定要求には、例えばユーザ端末側のエッジルータ１０５（着ノードとも呼ぶ）及びコンテンツサーバ側のエッジルータ１０６（発ノードとも呼ぶ）のＩＤ又はアドレス、アクセス要求などに含まれる要求帯域のデータ及び状況データ（異常又は正常）も含まれる。コンテンツ通信制御サーバ３０２の処理は端子Ｇを介して図１３の処理に移行する。

これに対して、アドミッション制御サーバ２０２は、コンテンツ通信制御サーバ３０２からセキュリティ・データ等を含むコネクション設定要求を受信し（ステップＳ１０９）、例えばメインメモリなどの記憶装置に格納する。そして、アドミッション制御処理を実施する（ステップＳ１１１）。このアドミッション制御処理については図１２を用いて説明する。

アドミッション制御サーバ２０２は、コネクション設定要求に含まれる状況データに基づき、現在の状況が異常なのか否かを判断する（ステップＳ１２１）。現在の状況が異常であれば、当該コネクション設定要求に係るアクセス要求が、予め定められている重要呼であるか否かを判断する（ステップＳ１２３）。重要か否かは、セキュリティ・レベルが「特」に設定されていたり、アクセス先が警察など特別な場所であるかで決定する。

異常時には、重要呼又は緊急呼の通信を妨げないことが何よりも重要であるので、コネクション設定要求に係るアクセス要求が予め定められた重要呼であると判断された場合には、アクセス要求の優先受け付けを決定し（ステップＳ１２５）、ステップＳ１２７に移行する。なお、優先受け付けであるから、可能な限り受け付ける必要があるので、ステップＳ１２７に移行するのではなく、既に設定済みの経路にてコネクション等を設定して元の処理に戻るようにしてもよい。

重要呼ではないと判断された場合には、端子Ｈを介してステップＳ１３９に移行し、コネクション設定要求を拒否する要求拒否メッセージをコンテンツ通信制御サーバ３０２に送信する。コンテンツ通信制御サーバ３０２は、アドミッション制御サーバ２０２から要求拒否メッセージを受信すると、以下の処理を行わず、例えばユーザ端末側のエッジルータ１０５を介してユーザ端末１０１に要求拒否を返信する。アドミッション制御サーバ２０２の処理はこれで終了する。

一方、ステップＳ１２１で正常であると判断された場合には、アドミッション制御サーバ２０２は、ｎを１に初期化する（ステップＳ１２７）。そして、別の基準で既に決定されている未処理の経路を１つ選択する（ステップＳ１２９）。

次に、ステップＳ１２９で選択された経路中のセキュア・ノード１０４の構成を特定する（ステップＳ１３１）。すなわち、経路中に存在する各セキュア・ノード１０４が有するセキュリティ機能、及びその経路中の配置状態（間隔（ホップ数）など）を特定する。そして、コンテンツ通信制御サーバ３０２から受信したコネクション設定要求に含まれるセキュリティ・データに基づき、必要なセキュア・ノード１０４が必要数又は必要な頻度で含まれているか判断する（ステップＳ１３３）。例えば、トレーサビリティ機能を３ホップ毎に入れるというセキュリティ・データを受信した場合には、当該セキュリティ・データの条件を満たしているか判断する。なお、セキュリティ・データに、必要なセキュリティ機能については指定があるが、実施頻度についての指定がない場合には、１つでも必要なセキュリティ機能を有するセキュア・ノード１０４が経路中に含まれていればよいとすることもあれば、最低ラインの実施頻度を予め決めておき、それの最低ラインの実施頻度を超えているか否かを判断することもある。なお、ネットワークが複数のサブネットワークを含み、ステップＳ１２９で選択された経路中複数のサブネットワークを経由する場合には、例えば各サブネットワーク中において必要なセキュリティ機能を有するセキュア・ノード１０４の数又は含有率などを確認する必要がある。

必要なセキュア・ノード１０４が必要数又は必要な頻度で含まれていると判断された場合には、ステップＳ１２９で選択された経路についてコネクション設定要求に含まれている必要な帯域やＱｏＳ（Quality of Service）など他のパラメータの条件をチェックする（ステップＳ１３５）。このステップについては従来技術と同じであるからこれ以上述べない。そして、他の条件を全て満たしているか判断する（ステップＳ１４４）。他のいずれかの条件を満たしていないと判断された場合には、ステップＳ１３７に移行する。一方、他の条件を全てを満たしていると判断された場合には、ステップＳ１２９で選択した経路上にシグナリングにてコネクション、セッション又はパス等を設定する（ステップＳ１４５）。

一方、必要なセキュア・ノード１０４が必要数又必要な頻度で含まれていないと判断された場合又はステップＳ１３５で他のいずれかの条件を満たしていないと判断された場合には、再度経路のチェックを行うか否かを判断する（ステップＳ１３７）。再度経路のチェックを行うか否かは設定に従う。再経路のチェックを行わない場合には、ステップＳ１３９に移行する。

一方、再度経路チェックを行う場合には、ｎが予め定められた閾値Ｎより小さいか判断する（ステップＳ１４１）。ｎが予め定められた閾値Ｎ以上である場合には、Ｎ回以上繰り返し経路を決定したにもかかわらずコネクション設定まで至らなかったとしてステップＳ１３９に移行する。これに対してｎが予め定められた閾値より小さい場合には、ｎを１インクリメントした後（ステップＳ１４３）、ステップＳ１２９に戻る。

このような処理を実施することによって、必要なセキュリティ機能が必要な頻度で実施されるかの確認及びコネクション等の設定を含むアドミッション処理が行われるようになる。

図１１の処理に戻って、アドミッション制御サーバ２０２は、ステップＳ１１１において設定されたコネクションを実現するために関連ノードに設定を行う（ステップＳ１１３）。この処理は従来と同じであるからこれ以上述べない。その後、端子Ｇ以降の処理に移行する。

端子Ｇ以降の処理については図１３乃至図１８を用いて説明する。コンテンツ通信制御サーバ３０２は、セキュリティ・データ等を含むヘッダ設定要求を、コンテンツサーバ側のエッジルータ１０６に送信する（ステップＳ１５１）。ここでは、コンテンツサーバ側のエッジルータ１０６に送信する例を示しているが、コンテンツサーバ１０８に送信して、以下で説明するヘッダ設定処理をコンテンツサーバ１０８が実行するようにしても良い。コンテンツサーバ側のエッジルータ１０６は、コンテンツ通信制御サーバ３０２からセキュリティ・データ等を含むヘッダ設定要求を受信し、記憶装置に格納する（ステップＳ１５３）。一方、コンテンツサーバ１０８は、ステップＳ７（図４）で受信したアクセス要求に応答して、要求されたコンテンツ又はそのパケット・データをコンテンツＤＢ１０９から読み出し、コンテンツサーバ側のエッジルータ１０６に送信する（ステップＳ１５５）。コンテンツサーバ側のエッジルータ１０６は、コンテンツサーバ１０８からコンテンツ又はそのパケット・データを受信して、ヘッダ設定処理を実施する（ステップＳ１５７）。このヘッダ設定処理については以下で詳細に述べる。そして、コンテンツサーバ側のエッジルータ１０６は、ステップＳ１５７で設定されたヘッダ付きのパケット等をユーザ端末側のエッジルータ１０５に送信する（ステップＳ１５９）。設定ヘッダ付きのパケット等は、上で述べた経路中の各ルータ（ネットワーク機器）を介して転送され、ユーザ端末側のエッジルータ１０５は、直前のルータから、設定ヘッダ付きのパケット等を受信し、ユーザ端末１０１に転送する（ステップＳ１６１）。ユーザ端末１０１は、ユーザ端末側のエッジルータ１０５から設定ヘッダ付きのパケット等を受信し、表示装置に表示する。

これによってユーザ端末では、必要なセキュリティ機能を有するセキュア・ノード１０４を介して所望のコンテンツを受信することができるようになる。セキュア・ノード１０４では必要なセキュリティ機能に係る処理が実施され、ユーザ、コンテンツ提供者などの意図に沿った、またコンテンツなどの属性に応じたセキュリティが確保された上で、コンテンツが配信されるようになる。

次に、コンテンツサーバ側のエッジルータ１０６によって実施されるヘッダ設定処理及びその転送処理について説明する。最初に、図３に示したようなポリシーに従ったセキュリティ・レベルがセキュリティ・データに含まれている場合を説明する。通常時においては、図１４に示すような処理を実施する。まず、図３に示したようなポリシーに従ってセキュリティ・レベルがセキュリティ・データに含まれている場合、コンテンツサーバ側のエッジルータ１０６は、当該セキュリティ・レベルをヘッダに設定して、コンテンツサーバ１０８から受信したコンテンツのデータに付加する。

図１４の例では、コンテンツＡについては、コンテンツ通信制御サーバ３０２でセキュリティ・レベルが「低」と決定され通知されるので、ヘッダに「低」を設定する。また、コンテンツＢについては、コンテンツ通信制御サーバ３０２でセキュリティ・レベルが「中」と決定され通知されるので、ヘッダに「中」を設定する。さらに、コンテンツＣについては、コンテンツ通信制御サーバ３０２でセキュリティ・レベルが「高」と決定され通知されるので、ヘッダに「高」を設定する。

そうすると、図３に示したポリシーに従って、経路上のセキュア・ノード１０４のヘッダ分析部１０４１は、実施すべきセキュリティ機能を特定すると共に、保持するセキュリティ機能に係る処理を必要に応じて実施させる。ヘッダに「低」が設定されたコンテンツＡについては、図３に従えばトレーサビリティ機能（ＴＦ）に係る処理のみを実施することになるので、フィルタリング機能（ＦＦ）を有するセキュア・ノード１０４ａ、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂ、保存機能（ＳＦ）を有するセキュア・ノード１０４ｃ、受信確認機能（ＲＦ）を有するセキュア・ノード１０４ｄのうちトレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂのみが機能してコンテンツＡの転送を記録する。例えば、日時、ユーザ端末１０１のアドレス、コンテンツサーバ１０８のアドレス、コンテンツＡのＩＤ（又はＵＲＬ）、自分のアドレス又はＩＤなどが記録される。それ以外のルータでは、コンテンツＡの単純な転送が行われ、ユーザ端末側のエッジルータ１０５を介してユーザ端末１０１に送信される。

ヘッダに「中」が設定されたコンテンツＢについては、図３に従えばトレーサビリティ機能（ＴＦ）及び受信確認機能（ＲＦ）に係る処理を実施することになるので、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂが機能してコンテンツＢの転送を記録する。また、受信確認機能（ＲＦ）を有するセキュア・ノード１０４ｄが機能してコンテンツＢの受信を送信元に通知する。それ以外のルータでは、コンテンツＢの単純な転送が行われ、ユーザ端末側のエッジルータ１０５を介してユーザ端末１０１に送信される。

ヘッダに「高」が設定されたコンテンツＣについては、図３に従えば３ホップ毎のトレーサビリティ機能（ＴＦ）、受信確認機能（ＲＦ）及び保存機能（ＳＦ）を実施することになる。よって、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂが機能してコンテンツＣの転送を記録する。また、受信確認機能（ＲＦ）を有するセキュア・ノード１０４ｄが機能してコンテンツＣの受信を送信元に通知する。さらに、保存機能（ＳＦ）を有するセキュア・ノード１０４ｃが機能してコンテンツＣをデータ格納部に保存する。

このように正常時では、セキュリティ・レベルに応じて経路上のセキュア・ノード１０４では要求された処理が実施される。また、セキュリティ・レベルに応じてセキュリティ・ノード１０４の組み合わせが切り替えられる。

また、異常時においては、図１５に示すような処理を実施する。上でも述べたが、異常時には必ずフィルタリング機能を有するセキュア・ノード１０４を通過するように経路設定される。

具体的には、図３に示したようなポリシーを変換した図１６に示したようなポリシーに従ったセキュリティ・レベルが経路制御サーバ２０１によって設定される。すなわち、レベルが「無」から「高」までについては、フィルタリング機能（破棄）が追加されている。これによって、「特」以外のレベルが付与されたコンテンツ又はそのパケットはフィルタリング機能によって破棄されるようになる。

このように図１６に示したようなポリシーに従ったセキュリティ・データに含まれている場合、コンテンツサーバ側のエッジルータ１０６は、当該セキュリティ・レベルをヘッダに設定して、コンテンツサーバ１０８から受信したコンテンツのデータに付加する。

本実施の形態では、登録重要コンテンツ等の場合にのみ「特」が設定され、それ以外については通常通りのレベルが付与されるものとする。

そうすると、「特」というセキュリティ・レベルが設定されヘッダに付与されたコンテンツＢについては、フィルタリング機能（ＦＦ）を有するセキュア・ノード１０４ａで通過され、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂで、コンテンツＢの転送が記録され、保存機能（ＳＦ）を有するセキュア・ノード１０４ｃでコンテンツＢが保存される。その他のセキュリティ・レベルが設定されヘッダに付与されたコンテンツについては、必ず通過するフィルタリング機能（ＦＦ）を有するセキュア・ノード１０４ａで破棄される。

このように異常時と正常時ではコンテンツサーバ側のエッジルータ１０６では処理は同じであるが、経路上のセキュア・ノード１０４の組み合わせ及びその処理が切り替えられる。

次に、セキュリティ・データに、必要なセキュリティ機能の指定が明示的に行われている場合について図１７及び図１８を用いて説明する。

この場合、コンテンツサーバ側のエッジルータ１０６は、コンテンツ通信制御サーバ３０２から受信したヘッダ設定要求内のセキュリティ・データに含まれる必要なセキュリティ機能の指定をアクション・ヘッダに変換して、コンテンツサーバ１０８から受信したコンテンツのデータに付加する。具体的には、セキュリティ機能のオン又はオフを１ビットで表現し、ＦＦ／ＴＦ／ＲＦ／ＳＦの順番で表す場合には、トレーサビリティ機能の指定があれば左から２ビット目を１にセットし、受信確認機能の指定があれば左から３ビット目を１にセットし、保存機能の指定があれば左から４ビット目を１にセットする。なお、フィルタリング機能（通過）の指定があるか又はフィルタリング機能の指定がなければ最も左側のビットを０にセットし、フィルタリング機能（破棄）の指定があれば最も左側のビットを１にセットする。

通常時において、例えばコンテンツＡについて、トレーサビリティ機能の指定がセキュリティ・データに含まれていた場合には、アクション・ヘッダは０１００となり、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂのヘッダ分析部によって解釈され、当該トレーサビリティ機能によってコンテンツＡの転送を記録する。

またコンテンツＢについて、トレーサビリティ機能及び受信確認機能の指定がセキュリティ・データに含まれていた場合には、アクション・ヘッダは０１１０となり、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂのヘッダ分析部によって解釈され、トレーサビリティ機能によってコンテンツＢの転送を記録し、受信確認機能（ＲＦ）を有するセキュア・ノード１０４ｄのヘッダ分析部によって解釈され、受信確認機能によりコンテンツＢの受信を送信元に通知する。

さらにコンテンツＣについて、トレーサビリティ機能、受信確認機能及び保存機能がセキュリティ・データに含まれていた場合には、アクション・ヘッダは０１１１となり、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂのヘッダ分析部によって解釈され、トレーサビリティ機能によってコンテンツＣの転送を記録し、受信確認機能（ＲＦ）を有するセキュア・ノード１０４ｄのヘッダ分析部によって解釈され、受信確認機能によってコンテンツＣの受信を送信元に通知し、保存機能（ＳＦ）を有するセキュア・ノード１０４ｃのヘッダ分析部によって解釈され、保存機能によってコンテンツＣの保存を行う。

一方、異常時には登録重要コンテンツ等についてのみフィルタリング機能（通過）の指定がなされ、その他についてはフィルタリング機能（破棄）が指定される。他のセキュリティ機能については指定してもよいが指定しなくともよい。

図１８に示されているように、コンテンツＢが登録重要コンテンツなどである場合には、フィルタリング機能（通過）とトレーサビリティ機能と保存機能とが指定されるため、アクション・ヘッダは０１０１となる。従って、フィルタリング機能（ＦＦ）を有するセキュア・ノード１０４ａはコンテンツＢを通過させ、トレーサビリティ機能（ＴＦ）を有するセキュア・ノード１０４ｂは、コンテンツＢの転送を記録し、保存機能（ＳＦ）を有するセキュア・ノード１０４ｃは、コンテンツＢを保存する。

それ以外のコンテンツＡ及びＣについては、登録重要コンテンツ等ではないので、強制廃棄するためフィルタリング機能（破棄）が指定される。その他の機能についてはどのような指定であってもよい。従って、アクション・ヘッダは１ｘｘｘ（ｘは０でも１でもよいことを示す）となる。従って、フィルタリング機能（ＦＦ）を有するセキュア・ノード１０４ａはコンテンツＡ及びＣを破棄してしまう。

このように異常時と正常時では、アクション・ヘッダの設定については同じであるが、アクション・ヘッダの内容を切り替えて、各セキュア・ノード１０４における処理を切り替えている。

以上のような処理を実施することによって、必要なセキュリティ機能に係る処理を必要な頻度で実施させることができるようになり、所望のセキュアなコンテンツ伝送が可能となる。

以上述べたように、トレーサビリティ機能を有するセキュア・ノードを経由するような経路を用いるようにすれば、コンテンツの通過履歴が分かるようになる。また、トラブル時にどこまでコンテンツが流れたかが分かるので、どこで紛失したかが特定しやすくなる。さらに、機密コンテンツが流出した場合に、その流れ・受信先を確認できるようになる。また、迷惑なコンテンツが流れた場合に、その送信元を追及できる。

また、保存機能を有するセキュア・ノードを経由するような経路を用いるようにすれば、ネットワーク中にコンテンツを一時的に保存できる。よって、ネットワークの故障などでコンテンツを紛失した際に、ネットワーク自身が当該コンテンツを再送することができるようになる。また、場合によっては、同じコンテンツを複数ユーザから要求された時に、コンテンツサーバからではなく、保存してあるコンテンツで代用することができるので、キャッシュ機能として利用することも可能となる。

また、受信確認機能を有するセキュア・ノードを経由するような経路を用いるようにすれば、送信先がコンテンツの受信を送信元に通知できるようになる。すなわち、情報を受け取った、受け取らないなどのトラブルを抑制することができるようになる。また、保存機能によって一時的に保存していたコンテンツを消去するトリガを与えることができる。 さらに、フィルタリング機能を有するセキュア・ノードを経由するような経路を用いるようにすれば、コンテンツの流通を強制的に通過又は遮断することができるようになる。例えば、災害などの異常時に重要トラフィックだけを流すことができるようになる。

このようなセキュア・ノードを利用することによって、ネットワーク犯罪への抑止力となる。

さらに、セキュリティ機能をネットワーク機器に埋め込んでおきそれを用いることは、専用のセキュリティサーバに誘導することに比べ、以下のメリットがある。すなわち、サーバに誘導するとそこでコネクションやセッションは一度終端されるため、サーバで通信プロトコルを処理する必要があり遅延が発生する。これに対し、セキュア・ノードは、コンテンツ又はパケットを転送する流れの中で処理を行うので、余計な遅延は加わらず、高速なコンテンツ又はパケット転送を実現したままで、セキュリティ機能を実施できる。また、サーバを収容するノードは、サーバへの転送とサーバからのアウトプットの送出という２回のコンテンツ又はパケットの転送が必要なことに比べ、セキュア・ノードは単に１回通過させればよい。また、サーバへ誘導することによる、全体の経路長の増加を避けられるという利点もある。

なお、ここまではネットワーク中にはセキュア・ノードが分散配置されていることを前提に説明したが、ネットワーク中におけるセキュア・ノードの配置を工夫することによって、より効果的にセキュアなコンテンツ伝送が可能となる。

例えば、保存機能（ＳＦ）とトレーサビリティ機能（ＴＦ）とが必要なセキュリティ機能として特定されていた場合、図１９（ａ）に示すようなネットワーク構成であれば、経路ａでは最小コストの３ホップでコンテンツサーバ側のエッジルータ１０６からユーザ端末側のエッジルータ１０５に到達する。しかし、これ以外の場合例えば経路ｂではコストは４ホップとなってしまう。すなわち、セキュア・ノードが単機能であると経路選択の余地が狭くなってしまう。

これに対して図１９（ｂ）に示すように、セキュア・ノードが複数の機能（図１９（ｂ）では全てのセキュリティ機能）を有するようにすれば、同じコストで様々な経路を採用することができるようになり、経路選択の幅が広がり、他の制約条件に対応しやすくなる。

また、ネットワークにおいてセキュア・ノード１０４をトラフィック量が少ない箇所に配置すると、図２０（ａ）に示すように、四角ボックスで示されるセキュア・ノード１０４を経由するように経路設定される。トラフィック量が多い左側からのトラフィックは、左側のノードから出て行く場合であっても一旦トラフィック量の少ない右側のセキュア・ノード１０４に入ってから、再度左側のノードから出て行くようになる。すなわち、本来は必要ないノードを経由するので遠回りするような形で経路設定されることが多くなり、無駄にネットワーク・リソースを消費するようになる。そこで、各ノード＃ｉから発生するトラフィック量をＡｉとし、そのノード＃ｉからセキュア・ノードに至るホップ数をＮｉとすると、セキュア・ノードに至るホップ数をトラフィック量で重み付けした消費リソース、すなわちＡｉとＮｉの積の総和が最小になるような位置にセキュア・ノードを配置するようにする。このようにすれば、図２０（ｂ）に示すように、四角ボックスで示されるセキュア・ノード１０４は左側のトラフィック量の多い部分の分岐点に配置されるようになる。これによって、ネットワーク全体のリソース消費量を低減させることができ、効率的なルーティングが行われるようになる。

さらに、インターネットは複数の管理単位であるＡＳ（Autonomous System）と呼ばれるネットワークの集合体である。図２１に示すように複数のサブネットワークから構成される広域ネットワークにおいては、サブネットワーク間のゲートウェイとなるルータを上で述べたような全てのセキュリティ機能を有するセキュア・ノードとして構成すれば、サブネットワークをまたぐような経路が設定されると必ず上で述べたようなセキュアなルーティングが可能となる。すなわち、経路制御及びアドミッション制御において必要なセキュリティ機能を有するセキュア・ノードを経由することを条件とした経路選択やパスの受付判定を行う必要がなくなる。

以上本発明の実施の形態を説明したが、本発明はこれに限定されるものではない。具体的には、図１では本実施の形態のシステム概要として３層構造のシステムを示しているが、これは概念的に図示したものであって必ずしも３層構造でなくともよい。処理フローについても、必ずしも上で述べた処理順番を維持しなければならないわけではなく、処理内容が変わらない場合には、順番を入れ替えたり、並行して実施できる。

なお、状況管理サーバ３０１、コンテンツ通信制御サーバ３０２、経路制御サーバ２０１、アドミッション制御サーバ２０２、転送履歴管理サーバ３０５、コンテンツサーバ１０８、保管管理サーバ３０７、ユーザ端末１０１及び１０２については、図２２のようなコンピュータ装置であって、メモリ２５０１（記憶装置）とＣＰＵ２５０３（処理装置）とハードディスク・ドライブ（ＨＤＤ）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施の形態における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。必要に応じてＣＰＵ２５０３は、表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、必要な動作を行わせる。また、処理途中のデータについては、メモリ２５０１に格納され、必要があればＨＤＤ２５０５に格納される。本発明の実施の形態では、上で述べた処理を実施するためのアプリケーション・プログラムはリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及び必要なアプリケーション・プログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

（付記１）
予め定められた１又は複数のセキュリティ機能を有する複数のセキュア・ネットワーク機器が配置されたネットワークにおける通信を制御する通信制御方法であって、
特定のコンテンツを要求するコンテンツ要求を当該コンテンツ要求の送信先に加えて受信するステップと、
前記コンテンツ要求の送信先から送信元への当該特定のコンテンツの送信経路中に実施すべきセキュリティ機能と当該セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件とを経路選択条件として用いて経路決定を行う経路決定ステップと、
を含む通信制御方法。

（付記２）
前記コンテンツ要求の送信先から送信元までに複数のサブネットワークが含まれる場合には、実施すべき前記セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件を、サブネットワークを選択する際の条件として含む
ことを特徴とする付記１記載の通信制御方法。

（付記３）
前記セキュア・ネットワーク機器が、
呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、
転送したコンテンツ又はパケットを保存する保存機能と、
転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、
転送したコンテンツの受信を送信元に通知する受信確認機能と、
のうち少なくとも１つを前記セキュリティ機能として有する
付記１記載の通信制御方法。

（付記４）
前記コンテンツ要求の送信元に関する情報、送信先に関する情報及び前記特定のコンテンツに関する情報のうち少なくともいずれかに基づき、前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを決定する決定ステップ
をさらに含む付記１記載の通信制御方法。

（付記５）
前記決定ステップが、
前記コンテンツ要求の送信元に関する情報、送信先に関する情報及び前記特定のコンテンツに関する情報のうち複数種類の情報を用いる場合に、前記複数種類の情報のそれぞれにつき、前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能を特定するステップと、
特定された全てのセキュリティ機能を採用するステップと、
を含む付記４記載の通信制御方法。

（付記６）
前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能を、通常時と異常時とで切り替える処理切替ステップ
をさらに含む付記４記載の通信制御方法。

（付記７）
前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを前記特定のコンテンツ・データ又はパケットに付与する付与ステップ
をさらに含む付記４記載の通信制御方法。

（付記８）
前記処理切替ステップが、
前記特定のコンテンツの送信経路中に実施すべき通常時のセキュリティ機能と異常時のセキュリティ機能との切替えを、前記特定のコンテンツ・データ又はパケットに付与するヘッダに反映させるステップ
を含む付記６の通信制御方法。

（付記９）
前記ヘッダが、前記セキュリティ・レベルを含み、
前記送信経路中の前記セキュリティ機能を有するセキュア・ネットワーク機器により、前記ヘッダに含まれる前記セキュリティ・レベルに基づき実施すべきセキュリティ機能を特定し、保持する前記セキュリティ機能の実施の有無を判断するステップ
をさらに含む付記７記載の通信制御方法。

（付記１０）
前記ヘッダが、実施すべき前記セキュリティ機能を指定するアクション・ラベルを含み、
前記送信経路中の前記セキュリティ機能を有するセキュア・ネットワーク機器により、前記ヘッダに含まれる前記アクション・ラベルに基づき実施すべきセキュリティ機能を特定し、保持する前記セキュリティ機能の実施の有無を判断するステップ
をさらに含む付記７記載の通信制御方法。

（付記１１）
実施すべき前記セキュリティ機能に、前記トレーサビリティ機能が含まれ、
前記送信経路中の前記トレーサビリティ機能を有する全てのセキュア・ネットワーク機器から、前記特定のコンテンツの転送情報を受信し、前記特定のコンテンツに関連して履歴データ格納部に格納するステップ、
をさらに含む付記３記載の通信制御方法。

（付記１２）
前記フィルタリング機能が、異常時には指定された重要コンテンツ又はパケットのみを通過させる付記３記載の通信制御方法。

（付記１３）
前記保存機能が、異常時には指定されたコンテンツ又はパケットを必ず保存する付記３記載の通信制御方法。

（付記１４）
前記トレーサビリティ機能が、異常時には、呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を必ず記録する付記３記載の通信制御方法。

（付記１５）
前記決定ステップが、
少なくとも通常又は異常のいずれかを含む状態データに基づきモード切替を実施するステップ
を含む付記４記載の通信制御方法。

（付記１６）
前記決定ステップが、
通常時において実施すべき前記セキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを特定する第１ステップと、
異常時において実施すべき前記セキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを特定する第２ステップと、
を含み、
前記付与ステップが、
前記第１ステップで特定された前記セキュリティ機能又は前記セキュリティ・レベルに応じたヘッダを前記特定のコンテンツ・データ又はパケットに付与するステップと、
前記第２ステップで特定された前記セキュリティ機能又前記セキュリティ・レベルに応じたヘッダを前記特定のコンテンツ・データ又はパケットに付与するステップと、
を含む付記７記載の通信制御方法。

（付記１７）
前記経路決定ステップが、
前記コンテンツ要求の送信先から送信元への当該特定のコンテンツの送信経路候補のうち当該送信経路候補の合計コストが最小のものを特定するステップ
を含む付記１記載の通信制御方法。

（付記１８）
前記セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件が、ホップ数に対する割合により規定されていることを特徴とする付記１記載の通信制御方法。

（付記１９）
前記サブネットワークにおける数量的な条件が、１サブネットワーク当たりの数又は割合により規定されることを特徴とする付記２記載の通信制御方法。

（付記２０）
予め定められた１又は複数のセキュリティ機能を有する複数のセキュア・ネットワーク機器と、
特定のコンテンツを要求するコンテンツ要求の送信先から送信元への当該特定のコンテンツの送信経路中に実施すべきセキュリティ機能と当該セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件とを経路選択条件として用いて経路決定を行う手段と、
を有するネットワーク。

（付記２１）
前記コンテンツ要求の送信元に関する情報、送信先に関する情報及び前記特定のコンテンツに関する情報のうち少なくともいずれかに基づき、前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを決定する決定手段
をさらに有する付記２０記載のネットワーク。

（付記２２）
呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、転送したコンテンツ又はパケットを保存する保存機能と、転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、転送したコンテンツの受信を送信元に通知する受信確認機能とのうち少なくとも１つをセキュリティ機能として有するセキュア・ネットワーク機器が、トラフィック需要及びホップ数又は距離に基づき算出され且つ当該セキュア・ネットワーク機器を経由する際に消費するリソース消費量を最小化する位置に配置されたネットワーク。

（付記２３）
呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、転送したコンテンツ又はパケットを保存する保存機能と、転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、転送したコンテンツの受信を送信元に通知する受信確認機能とをセキュリティ機能として有するセキュア・ネットワーク機器を広域ネットワークにおけるサブネット間の境界に配置したネットワーク。

（付記２４）
予め定められたセキュリティ機能を有するセキュア・ネットワーク機器が配置されたネットワークにおける通信を制御する通信制御方法であって、
特定のコンテンツを要求するコンテンツ要求を当該コンテンツ要求の送信先に加えて受信するステップと、
受信した前記コンテンツ要求の送信元、送信先及び前記特定のコンテンツのうち少なくとも１つに基づき、前記特定のコンテンツの送信経路中のセキュア・ネットワーク機器に実施させるべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを決定する決定ステップと、
を含む通信制御方法。

（付記２５）
実施すべき前記セキュリティ機能又は前記セキュリティ・レベルとは無関係に前記特定のコンテンツの送信経路を特定する経路決定ステップと、
決定された前記送信経路上に確保されるコネクション、パス又はセッションが、実施すべき前記セキュリティ機能を全て含み且つ実施すべき前記セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件を満たしているか判断する判断ステップと、
をさらに含む付記２４記載の通信制御方法。

（付記２６）
前記判断ステップにおいて否定的な判断がなされた場合には、前記コンテンツ要求を拒絶するステップ
をさらに含む付記２５記載の通信制御方法。

（付記２７）
前記判断ステップにおいて否定的な判断がなされた場合には、前記経路決定ステップ及び前記判断ステップを再度実施するステップ
をさらに含む付記２５記載の通信制御方法。

（付記２８）
予め定められたセキュリティ機能を有するセキュア・ネットワーク機器が配置されたネットワークにおける通信を制御する通信制御装置であって、
特定のコンテンツを要求するコンテンツ要求を当該コンテンツ要求の送信先に加えて受信する手段と、
受信した前記コンテンツ要求の送信元、送信先及び前記特定のコンテンツのうち少なくとも１つに基づき、前記特定のコンテンツの送信経路中のセキュア・ネットワーク機器に実施させるべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを決定する決定手段と、
を有する通信制御装置。

（付記２９）
予め定められた１又は複数のセキュリティ機能を有する複数のセキュア・ネットワーク機器が配置されたネットワークにおける通信を制御する通信制御装置であって、
特定のコンテンツを要求するコンテンツ要求に対する経路設定要求を受信する手段と、
前記コンテンツ要求の送信先から送信元への当該特定のコンテンツの送信経路中に実施すべきセキュリティ機能と当該セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件とを経路選択条件として用いて経路決定を行う経路決定手段と、
を有する通信制御装置。

（付記３０）
特定のコンテンツを要求するコンテンツ要求に対して当該特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルのデータを通信制御装置から受信する手段と、
前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを前記特定のコンテンツ・データ又はパケットに付与する付与手段と、
を有するネットワーク機器。

（付記３１）
呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、
転送したコンテンツ又はパケットを保存する保存機能と、
転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、
転送したコンテンツの受信を送信元に通知する受信確認機能と、
のうち少なくとも１つをセキュリティ機能として有し、さらに、
特定のコンテンツを要求するコンテンツ要求に対して前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを有する前記特定のコンテンツのデータ又はパケットを受信する手段と、
前記ヘッダが、前記セキュリティ・レベルを含む場合には、当該ヘッダに含まれる前記セキュリティ・レベルに基づき実施すべきセキュリティ機能を特定し、保持する前記セキュリティ機能の実施の有無を判断する手段と、
を有するセキュア・ネットワーク機器。

（付記３２）
呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、
転送したコンテンツ又はパケットを保存する保存機能と、
転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、
転送したコンテンツの受信を送信元に通知する受信確認機能と、
のうち少なくとも１つをセキュリティ機能として有し、さらに、
特定のコンテンツを要求するコンテンツ要求に対して前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを有する前記特定のコンテンツのデータ又はパケットを受信する手段と、
前記ヘッダが、実施すべき前記セキュリティ機能を指定するアクション・ラベルを含む場合には、当該ヘッダに含まれる前記アクション・ラベルに基づき実施すべきセキュリティ機能を特定し、保持する前記セキュリティ機能の実施の有無を判断する手段と、
を有するセキュア・ネットワーク機器。

本発明の実施の形態のシステム概要図である。 セキュア・ノードの機能ブロック図である。 正常時のセキュリティ・ポリシーの一例を示す図である。 本発明の実施の形態における処理フローの第１の部分を示す図である。 セキュリティ決定処理の処理フローを示す図である。 確認処理の処理フローを示す図である。 第１の経路決定処理の処理フローを示す図である。 セキュアなルーティングの概要を示す図である。 第２の経路決定処理の処理フローを示す図である。 第２の経路決定処理を説明するためのネットワーク概要図である。 本発明の実施の形態における処理フローの第２の部分を示す図である。 アドミッション制御処理の処理フローを示す図である。 本発明の実施の形態における処理フローの第３の部分を示す図である。 正常時のヘッダ設定処理の第１の例を説明するための図である。 異常時のヘッダ設定処理の第１の例を説明するための図である。 異常時のセキュリティ・ポリシーの一例を示す図である。 正常時のヘッダ設定処理の第２の例を説明するための図である。 異常時のヘッダ設定処理の第２の例を説明するための図である。 （ａ）はセキュア・ノードが単機能である場合の模式図、（ｂ）はセキュア・ノードが複数の機能を有する場合の模式図である。 （ａ）及び（ｂ）は、セキュア・ノードの配置についての考察を説明するための図である。 セキュア・ノードの配置についての考察を説明するための図である。 コンピュータの機能ブロック図である。

符号の説明

１０１，１０２ ユーザ端末
１０３ ルータ １０４ セキュア・ノード
１０５ ユーザ端末側のエッジルータ １０６ コンテンツサーバ側のエッジルータ
１０８ コンテンツサーバ １０９ コンテンツＤＢ
２０１ 経路制御サーバ ２０２ アドミッション制御サーバ
３０１ 状況管理サーバ ３０２ コンテンツ通信制御サーバ
３０３ ユーザプロファイル ３０４ コンテンツプロファイル
３０５ 転送履歴管理サーバ ３０６ 転送履歴ＤＢ
４０１ 状況データ収集部

Claims (8)

1. ユーザ端末、ユーザ端末側のエッジルータ及びコンテンツサーバを有し、予め定められた１又は複数のセキュリティ機能を有する複数のセキュア・ネットワーク機器が散在するように配置されたネットワークにおける制御サーバにより実行される通信制御方法であって、
   前記ユーザ端末から前記コンテンツサーバへ特定のコンテンツを要求するコンテンツ要求を前記ユーザ端末側のエッジルータを介して受信するステップと、
   前記コンテンツサーバから前記ユーザ端末への当該特定のコンテンツの送信経路中に実施すべきセキュリティ機能と当該セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件とを経路選択条件として用いて経路決定を行う経路決定ステップと、
   を含む通信制御方法。
2. 前記コンテンツサーバから前記ユーザ端末までに複数のサブネットワークが含まれる場合には、実施すべき前記セキュリティ機能を有するセキュア・ネットワーク機器の数量的な条件を、サブネットワークを選択する際の条件として含む
   ことを特徴とする請求項１記載の通信制御方法。
3. 前記セキュア・ネットワーク機器が、
   呼、コネクション、パス又はセッションの設定情報若しくはコンテンツ又はパケットの転送情報を記録するトレーサビリティ機能と、
   転送したコンテンツ又はパケットを保存する保存機能と、
   転送したコンテンツ又はパケットの破棄又は通過を制御するフィルタ機能と、
   転送したコンテンツの受信を送信元に通知する受信確認機能と、
   のうち少なくとも１つを前記セキュリティ機能として有する
   請求項１記載の通信制御方法。
4. 前記特定のコンテンツに関する情報に基づき、
   又は前記特定のコンテンツに関する情報、及び前記コンテンツ要求の送信元に関する情報と送信先に関する情報とのうち少なくともいずれかに基づき、
   前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルを決定する決定ステップ
   をさらに含む請求項１記載の通信制御方法。
5. 前記決定ステップが、
   前記コンテンツ要求の送信元に関する情報、送信先に関する情報及び前記特定のコンテンツに関する情報のうち複数種類の情報を用いる場合に、前記複数種類の情報のそれぞれにつき、前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能を特定するステップと、
   特定された全てのセキュリティ機能を採用するステップと、
   を含む請求項４記載の通信制御方法。
6. 前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能を、通常時と異常時とで切り替える処理切替ステップ
   をさらに含む請求項４記載の通信制御方法。
7. 前記特定のコンテンツの送信経路中に実施すべきセキュリティ機能又は当該セキュリティ機能を特定するためのセキュリティ・レベルに応じたヘッダを前記特定のコンテンツのデータ又はパケットに付与する付与ステップ
   をさらに含む請求項４記載の通信制御方法。
8. 前記経路決定ステップが、
   前記コンテンツ要求の送信先から送信元への当該特定のコンテンツの送信経路候補のうち当該送信経路候補の合計コストが最小のものを特定するステップ
   を含む請求項１記載の通信制御方法。

Images