JP5018484B2 - 通信制御装置 - Google Patents

Description

本発明は、自律システム間の通信を制御する通信制御装置に関する。

自律システムに含まれ、自律システム間の通信を制御する通信制御装置（例えば、ボーダールータ装置等）が知られている。この通信制御装置は、他の通信制御装置との間で、経路情報を授受することにより、ある自律システムが有するアドレスへ情報を送るための通信経路を決定する。ここで、経路情報は、ある自律システムが有する複数のアドレスへの通信経路を表す情報であって、その通信経路上に存在する自律システムを識別する自律システム識別情報（ＡＳ番号）を含む情報である。

例えば、図１に示したように、自律システムＡＳ９１内の通信制御装置９０１と自律システムＡＳ９２内の通信制御装置９０２とが接続されている状態において、新たに自律システムＡＳ９３内の通信制御装置９０３と通信制御装置９０２とが接続された場合における、各通信制御装置９０１〜９０３の作動について説明する。

この場合、通信制御装置９０３は、自律システムＡＳ９３が有する複数のアドレスを表すアドレス・プリフィックス「１９２．１６８．３．０／２４」と、自律システムＡＳ９３のＡＳ番号「３」を含むＡＳパス情報と、を含む経路情報（例えば、経路情報を含むＵＰＤＡＴＥメッセージ）を通信制御装置９０２へ送る。更に、通信制御装置９０２は、受信したＡＳパス情報に自身が所属する自律システムＡＳ９２のＡＳ番号「２」を追加したＡＳパス情報「２、３」を含む経路情報を通信制御装置９０１へ送る。

これにより、通信制御装置９０１及び通信制御装置９０２は、「１９２．１６８．３．０／２４」により表わされる複数のアドレスの１つ（宛先アドレス）へ情報を送信する場合の通信経路を認識することができる。即ち、自律システムＡＳ９１内の装置から上記宛先アドレスへ情報を送信する要求が発生した場合、通信制御装置９０１は、この情報を通信制御装置９０２へ送り、通信制御装置９０２は、この情報を通信制御装置９０３へ送る。そして、通信制御装置９０３は、自律システムＡＳ９３内の上記宛先アドレスへ情報を送る。

ところで、図２に示したように、通信制御装置９０２が新たに通信制御装置９０１に接続される場合であって、通信制御装置９０２が通信制御装置９０３と接続されていることを不正に通知する（偽装する）場合における、各通信制御装置９０１〜９０３の作動について説明する。

この場合、通信制御装置９０２は、通信制御装置９０３から経路情報を受け取っていないにもかかわらず、アドレス・プリフィックス「１９２．１６８．３．０／２４」とＡＳパス情報「２、３」とを含む経路情報を通信制御装置９０１へ送る。これにより、通信制御装置９０１は、「１９２．１６８．３．０／２４」により表わされる複数のアドレスの１つ（宛先アドレス）へ情報を送信する場合、通信制御装置９０２へ送る。実際には、通信制御装置９０２は、通信制御装置９０３に接続されていない。従って、通信制御装置９０１から送られた情報は通信制御装置９０３に到達しない。更に、この場合、通信制御装置９０２において、上記宛先アドレスへ送信されるべき情報が不正に取得され得る。

このような問題に対処するため、非特許文献１に記載の通信制御装置は、各通信制御装置に固有の秘密鍵に基づいて、自装置が所属する自律システムのＡＳ番号を暗号化した証明書情報を作成し、作成した証明書情報を経路情報とともに送信する。従って、通信制御装置は、通信経路上に存在するすべての通信制御装置のそれぞれが作成した証明書情報を受信する。また、通信制御装置は、受信したすべての証明書情報を復号することにより復号情報を取得し、取得した復号情報と、受信した経路情報に含まれるＡＳ番号と、が一致している（証明書情報が正当である）か否かを判定する。
ステフェン・ケント（Stephen Kent）、チャールズ・リン（Charles Lynn）、カレン・セオ（Karen Seo）、「セキュア・ボーダー・ゲートウェイ・プロトコル（Secure Border Gateway Protocol (Secure−BGP)）」、IEEE Journal on Selected Areas in Communications、（米国）、米国電気電子工学会、２０００年４月、第１８巻、第４号、p.582−592

これにより、通信制御装置は、経路情報が実際に通信可能な通信経路を表す情報であるか否かを判定する（即ち、通信経路の正当性を検証する）。これによれば、通信制御装置９０２が通信制御装置９０３と接続されていることを偽装した場合、通信制御装置９０２が通信制御装置９０３の証明書情報を有していない限り、通信制御装置９０１は、通信制御装置９０２が偽装していることを認識することができる。

ところで、上記通信制御装置においては、証明書情報は、１つのＡＳ番号を暗号化した情報である。従って、以下に示した例のような問題が生じる。

この例においては、図３に示したように、通信制御装置９０１及び通信制御装置９０２、通信制御装置９０２及び通信制御装置９０４、並びに、通信制御装置９０４及び通信制御装置９０３、のそれぞれが接続されている。

この状態において、通信制御装置９０２は、通信制御装置９０４及び通信制御装置９０３をこの順に経由する通信経路に係る経路情報を受信したとき、この通信経路が正当であると判定する。このとき、通信制御装置９０２は、通信制御装置９０３の証明書情報を受け取る。

従って、通信制御装置９０２は、受け取った通信制御装置９０３の証明書情報を通信制御装置９０１へ送ることにより、通信制御装置９０２が通信制御装置９０３と直接接続されていることを偽装することができる。即ち、通信制御装置９０１が通信経路の正当性を高い信頼性にて検証することができないという問題が生じる。

このように、上記通信制御装置においては、通信経路の正当性を高い信頼性にて検証することができないという問題があった。

このため、本発明の目的は、上述した課題である「通信経路の正当性を高い信頼性にて検証することができないこと」を解決することが可能な通信制御装置を提供することにある。

かかる目的を達成するため本発明の一形態である通信制御装置は、
自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する装置である。

この通信制御装置は、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備える。

また、本発明の他の形態である通信制御システムは、
互いに接続された複数の自律システムと、当該複数の自律システムのそれぞれに少なくとも１つ含まれる通信制御装置と、を備えるシステムである。

上記通信制御装置は、当該通信制御装置を含む自律システムである所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信するように構成される。

更に、この通信制御システムは、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備える。

また、本発明の他の形態であるプログラムは、
自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する通信制御装置に、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を実現させるためのプログラムである。

また、本発明の他の形態である通信制御方法は、
自律システムの１つである所属自律システムに含まれる通信制御装置を、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信させるための方法である。

この通信制御方法は、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定工程を含む。

本発明は、以上のように構成されることにより、通信経路の正当性を高い信頼性にて検証することができる。

本発明の一形態である通信制御装置は、自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する装置である。

この通信制御装置は、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備える。

２つの自律システム間の接続の正当性を検証する（２つの自律システムが接続されているか否かを判定する）際に使用される証明書情報が１つの自律システムを特定する情報のみに基づいて生成される情報である場合には、ある接続に係る証明書情報がその接続以外の接続に係る証明書情報として流用される虞がある。

これに対し、上記構成によれば、２つの自律システム間の接続の正当性を検証する際に使用される証明書情報（ペア証明書情報）は、その２つの自律システムの組を特定する接続ペア特定情報に基づいて生成される情報である。従って、ある接続に係るペア証明書情報がその接続以外の接続に係るペア証明書情報として流用されることを防止することができる。この結果、通信経路の正当性を高い信頼性にて検証することができる。

この場合、上記ペア証明書情報は、上記接続ペア特定情報を、上記第１の自律システムが第１の秘密鍵に基づいて暗号化し且つ上記第２の自律システムが第２の秘密鍵に基づいて暗号化することにより生成された情報であることが好適である。

１つの自律システムのみが情報を暗号化することにより証明書情報が生成される場合には、例えば、１つのルータ装置のみを不正に操作することにより証明書情報が偽造され得る。従って、証明書情報が偽造される虞があった。

これに対し、上記構成によれば、ペア証明書情報は、２つの自律システムのそれぞれがそれぞれに固有の秘密鍵に基づいて情報を暗号化することによって生成される。従って、証明書情報が偽造されることを防止することができる。

更に、この場合、上記接続判定手段は、上記第１の秘密鍵に対応する第１の公開鍵と、上記第２の秘密鍵に対応する第２の公開鍵と、に基づいて上記ペア証明書情報を復号することにより復号情報を取得し、当該取得した復号情報に基づいて上記判定処理を行うように構成されることが好適である。

加えて、この場合、上記接続判定手段は、
上記第１の自律システムと上記第２の自律システムとが接続されていると判定した場合に当該第１の自律システムと当該第２の自律システムとが接続されていることを表す確認済接続情報を記憶する確認済接続情報記憶手段を備えるとともに、
上記記憶されている確認済接続情報が、上記第１の自律システムと上記第２の自律システムとが接続されていることを表す場合、上記判定処理の実行を抑制するように構成されることが好適である。

これによれば、２つの自律システムが接続されていることが一旦確認されると、以降において、その接続の正当性は検証されない。従って、接続の正当性を検証するために要する計算時間を短縮することができる。この結果、通信経路の正当性を検証するために要する計算時間が過大となることなく、通信経路の正当性を高い信頼性にて検証することができる。

更に、この場合、通信制御装置は、
上記所属自律システムに接続された自律システムの１つである送信元自律システムから上記経路情報を受信する経路情報受信手段と、
上記受信した経路情報に上記所属自律システムを識別する自律システム識別情報を追加した経路情報を、上記所属自律システムに接続された自律システムのうちの上記送信元自律システム以外の１つである送信先自律システムへ、上記接続判定手段が上記第１の自律システムと上記第２の自律システムとが接続されていると判定した場合に送信し一方当該接続判定手段が当該第１の自律システムと当該第２の自律システムとが接続されていないと判定した場合に送信しない経路情報送信手段と、
を備えることが好適である。

これによれば、経路情報が表す通信経路にて互いに隣接する２つの自律システムが接続されていないと判定した場合、通信制御装置は、その経路情報の送信を禁止する。これにより、実際には２つの自律システムが接続されていないことにより、２つの自律システム間の経路が存在しない場合において、その存在しない経路を含む通信経路が使用されることを回避することができる。この結果、情報が目的とする自律システムに到達しないことを防止することができるとともに、情報が不正に取得されることを防止することができる。

一方、本発明の他の態様に係る通信制御装置は、
上記送信元自律システム及び上記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することにより第１のペア証明書用情報を取得するペア証明書用情報取得手段と、
上記送信元自律システムが第４の秘密鍵に基づいて上記接続ペア特定情報を暗号化した第２のペア証明書用情報を受信するペア証明書用情報受信手段と、
上記取得した第１のペア証明書用情報と、上記受信した第２のペア証明書用情報と、を含む情報を上記ペア証明書情報として生成するペア証明書情報生成手段と、
を備える。

これによれば、所属自律システムと、送信元自律システムと、の間の接続の正当性を検証するためのペア証明書情報を他の自律システムに提供することができる。

この場合、通信制御装置は、
上記生成したペア証明書情報を上記送信先自律システムへ送信するペア証明書情報送信手段を備えることが好適である。

所属自律システムが経路情報を送信する先の自律システム（送信先自律システム）及びその送信先自律システムが経路情報を送信する先の自律システム（次送信先自律システム）からの通信経路には、所属自律システム及び送信元自律システム間の経路が含まれている。従って、上記構成によれば、送信先自律システム及び次送信先自律システムにおいて、所属自律システムと送信元自律システムとの間の接続の正当性の検証を容易に行うことができる。

更に、この場合、上記ペア証明書情報送信手段は、上記送信したペア証明書情報が生成される基となった上記接続ペア特定情報と、そのペア証明書情報の送信先の自律システムを表す送信先情報と、を対応づけて記憶するとともに、当該記憶されている送信先情報が表す自律システムへの、その送信先情報に対応づけて記憶されている接続ペア特定情報に基づいて生成されるペア証明書情報の送信を抑制するように構成されることが好適である。

例えば、ペア証明書情報の送信先の自律システムが、受信したペア証明書情報を記憶するように構成されている場合や、接続の正当性の検証結果を記憶するように構成されている場合には、ペア証明書情報の送信先の自律システムは、ペア証明書情報を２回以上受信する必要がない。従って、上記構成によれば、ペア証明書情報が無駄に送信されることを防止することができる。

一方、本発明の他の態様に係る通信制御装置は、
上記送信元自律システムから上記ペア証明書情報を受信するペア証明書情報受信手段を備え、
上記接続判定手段は、上記受信したペア証明書情報に基づいて上記判定処理を行うように構成される。

この場合、通信制御装置は、
上記受信したペア証明書情報を上記送信先自律システムへ送信するペア証明書情報転送手段を備えることが好適である。

所属自律システムが経路情報を送信する先の自律システム（送信先自律システム）及びその送信先自律システムが経路情報を送信する先の自律システム（次送信先自律システム）からの通信経路には、受け付けたペア証明書情報に係る２つの自律システム間の経路が含まれている。従って、上記構成によれば、送信先自律システム及び次送信先自律システムにおいて、受け付けたペア証明書情報に係る２つの自律システム間の接続の正当性の検証を容易に行うことができる。

また、本発明の他の態様に係る通信制御装置は、
上記送信元自律システム及び上記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することによりペア証明書用情報を取得するペア証明書用情報取得手段と、
上記ペア証明書情報を蓄積して記憶するペア証明書情報記憶手段にペア証明書情報を生成させるために上記取得したペア証明書用情報を送信するペア証明書用情報送信手段と、
を備える。

この場合、通信制御装置は、
上記ペア証明書情報記憶手段に記憶されているペア証明書情報を取得するペア証明書情報取得手段を備えることが好適である。

上述したようにペア証明書情報を用いて自律システム間の接続の正当性を検証するためには、ペア証明書情報を、通信経路上の複数の自律システムへ伝達する必要がある。ところで、例えば、ＢＧＰ４（Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ４）においては、経路情報はＵＰＤＡＴＥメッセージに含められて複数の自律システムへ伝達される。

従って、上述したようにペア証明書情報を用いて自律システム間の接続の正当性を検証するために、ペア証明書情報をＵＰＤＡＴＥメッセージに含めて複数の自律システムへ伝達することが好適であると考えられる。しかしながら、この場合、送信するためのＵＰＤＡＴＥメッセージを生成する機能及び受信したＵＰＤＡＴＥメッセージを解析する機能等（ＵＰＤＡＴＥメッセージの処理機能）を拡張する必要が生じる。従って、ＵＰＤＡＴＥメッセージの処理機能が拡張されていない通信制御装置が通信経路上に存在すると、ペア証明書情報が伝達されない虞があった。

これに対し、上記構成によれば、ＵＰＤＡＴＥメッセージの処理機能が拡張されていない通信制御装置が通信経路上に存在する場合であっても、ＵＰＤＡＴＥメッセージの処理機能が拡張された通信制御装置間で、ペア証明書情報を授受することができる。このように、上記構成によれば、自律システム間の接続の正当性をペア証明書情報を用いて検証する機能を、既存のシステムにおいて容易に実現することができる。

また、本発明の他の形態である通信制御システムは、
互いに接続された複数の自律システムと、当該複数の自律システムのそれぞれに少なくとも１つ含まれる通信制御装置と、を備えるシステムである。

上記通信制御装置は、当該通信制御装置を含む自律システムである所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信するように構成される。

更に、この通信制御システムは、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備える。

この場合、上記ペア証明書情報は、上記接続ペア特定情報を、上記第１の自律システムが第１の秘密鍵に基づいて暗号化し且つ上記第２の自律システムが第２の秘密鍵に基づいて暗号化することにより生成された情報であることが好適である。

更に、この場合、上記接続判定手段は、上記第１の秘密鍵に対応する第１の公開鍵と、上記第２の秘密鍵に対応する第２の公開鍵と、に基づいて上記ペア証明書情報を復号することにより復号情報を取得し、当該取得した復号情報に基づいて上記判定処理を行うように構成されることが好適である。

更に、この場合、上記接続判定手段は、
上記第１の自律システムと上記第２の自律システムとが接続されていると判定した場合に当該第１の自律システムと当該第２の自律システムとが接続されていることを表す確認済接続情報を記憶する確認済接続情報記憶手段を備えるとともに、
上記記憶されている確認済接続情報が、上記第１の自律システムと上記第２の自律システムとが接続されていることを表す場合、上記判定処理の実行を抑制するように構成されることが好適である。

また、本発明の他の形態であるプログラムは、
自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する通信制御装置に、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を実現させるためのプログラムである。

この場合、上記ペア証明書情報は、上記接続ペア特定情報を、上記第１の自律システムが第１の秘密鍵に基づいて暗号化し且つ上記第２の自律システムが第２の秘密鍵に基づいて暗号化することにより生成された情報であることが好適である。

更に、この場合、上記接続判定手段は、上記第１の秘密鍵に対応する第１の公開鍵と、上記第２の秘密鍵に対応する第２の公開鍵と、に基づいて上記ペア証明書情報を復号することにより復号情報を取得し、当該取得した復号情報に基づいて上記判定処理を行うように構成されることが好適である。

加えて、この場合、上記接続判定手段は、
上記第１の自律システムと上記第２の自律システムとが接続されていると判定した場合に当該第１の自律システムと当該第２の自律システムとが接続されていることを表す確認済接続情報を記憶手段に記憶させる確認済接続情報記憶処理手段を備えるとともに、
上記記憶されている確認済接続情報が、上記第１の自律システムと上記第２の自律システムとが接続されていることを表す場合、上記判定処理の実行を抑制するように構成されることが好適である。

また、本発明の他の形態である通信制御方法は、
自律システムの１つである所属自律システムに含まれる通信制御装置を、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信させるための方法である。

更に、通信制御方法は、
上記経路情報が表す上記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定工程を含む。

この場合、上記ペア証明書情報は、上記接続ペア特定情報を、上記第１の自律システムが第１の秘密鍵に基づいて暗号化し且つ上記第２の自律システムが第２の秘密鍵に基づいて暗号化することにより生成された情報であることが好適である。

更に、この場合、上記接続判定工程は、上記第１の秘密鍵に対応する第１の公開鍵と、上記第２の秘密鍵に対応する第２の公開鍵と、に基づいて上記ペア証明書情報を復号することにより復号情報を取得し、当該取得した復号情報に基づいて上記判定処理を行うように構成されることが好適である。

加えて、この場合、上記接続判定工程は、
上記第１の自律システムと上記第２の自律システムとが接続されていると判定した場合に当該第１の自律システムと当該第２の自律システムとが接続されていることを表す確認済接続情報を記憶手段に記憶させる確認済接続情報記憶処理工程を含むとともに、
上記記憶されている確認済接続情報が、上記第１の自律システムと上記第２の自律システムとが接続されていることを表す場合、上記判定処理の実行を抑制するように構成されることが好適である。

上述した構成を有する通信制御システム、通信制御方法、又は、プログラムの発明であっても、上記通信制御装置と同様の作用を有するために、上述した本発明の目的を達成することができる。

以下、本発明に係る、プログラムを実行する通信制御装置、及び、通信制御方法を用いる通信制御システムの各実施形態について図４〜図１３を参照しながら説明する。

＜第１実施形態＞
図４に示したように、第１実施形態に係る通信制御システム１は、複数のルータ装置（通信制御装置）１１〜１５を含む。
ルータ装置１１〜１５は、自律システムＡＳ１〜ＡＳ５のそれぞれに１つずつ含まれている。

ルータ装置１１は、図５に示したように、バスを介して互いに接続された、ＣＰＵ１１ａ、メモリ１１ｂ、記憶手段としてのハードディスク装置（ＨＤＤ）１１ｃ及びインターフェース部１１ｄを含む。

ＣＰＵ１１ａは、ＨＤＤ１１ｃに記憶されている所定のプログラムをメモリ１１ｂを用いて実行することにより、ルータ装置１１を構成する各部を制御するようになっている。

インターフェース部１１ｄは、複数（本例では、８つ）の通信用カード１１ｄ１〜１１ｄ８を有している。各通信用カード１１ｄ１〜１１ｄ８は、他のルータ装置（この例では、ルータ装置１２〜ルータ装置１５）が有する通信用カードと接続されている。

インターフェース部１１ｄは、通信用カード１１ｄ１〜１１ｄ８を介してデータを受信する。インターフェース部１１ｄは、受信したデータをＣＰＵ１１ａへ送る。

インターフェース部１１ｄは、データをＣＰＵ１１ａから受け取る。インターフェース部１１ｄは、受け取ったデータを通信用カード１１ｄ１〜１１ｄ８のうちのＣＰＵ１１ａにより指定された１つの通信用カードから送信する。

なお、ルータ装置１２〜１５のそれぞれも、ルータ装置１１と同じ構成を有している。即ち、ルータ装置１２は、ＣＰＵ１２ａ、メモリ１２ｂ、ＨＤＤ１２ｃ及びインターフェース部１２ｄを含む。ルータ装置１３〜１５の各構成要素にも、ルータ装置１１又はルータ装置１２の各構成要素と同様の符号が付される。

上記のように構成されたルータ装置１１の機能の概要について説明する。ルータ装置１１は、複数の経路情報からなる経路表を記憶している。ここで、経路情報は、ある自律システムが有する（その自律システムに割り当てられた）１つ又は複数のアドレス（宛先アドレス）への通信経路を表す情報であってその通信経路上に存在する自律システムを識別する（表す）自律システム識別情報（本例では、ＡＳ番号）を含む情報である。

本例では、経路情報は、宛先アドレスを表すアドレス・プリフィックス（例えば、「１９２．１６８．１．０／２４」等）と、その宛先アドレスを有する自律システム（内のルータ装置）へ到達するまでに経由する自律システムのＡＳ番号を経由する順に並べたＡＳパス情報（例えば、「４，３，１」等）と、を含む。

ルータ装置１１は、（直接）接続されている他の自律システム（内のルータ装置）からパケットを受信すると、パケットに含まれる送信先のアドレスと、記憶している経路表と、に基づいて転送先のルータ装置が接続されている通信用カード１１ｄ１〜１１ｄ８を特定する。そして、ルータ装置１１は、受信したパケットを、特定した通信用カード１１ｄ１〜１１ｄ８から送信する（即ち、転送先のルータ装置へ送信する）。

また、ルータ装置１１は、記憶している経路表を更新する（最新の状態に維持する）。具体的には、ルータ装置１１は、接続されている他のルータ装置からメッセージを受信する。ここで、メッセージは、経路情報と、１つ又は複数のペア証明書情報と、を含む。

ペア証明書情報は、経路情報が表す通信経路上の隣接する２つの自律システム（通信経路上に存在し且つ通信経路にて互いに隣接する第１の自律システム及び第２の自律システム）間の接続の正当性を検証する（２つの自律システムが接続されているか否かを判定する）ための情報である。

本例では、ペア証明書情報は、上記通信経路上の隣接する２つの自律システムを表す２つのＡＳ番号（第１の自律システムを識別する第１のＡＳ番号及び第２の自律システムを識別する第２のＡＳ番号）と、２つのペア証明書用情報（第１のペア証明書用情報及び第２のペア証明書用情報）と、を含む。

具体的には、ペア証明書情報は、第１のＡＳ番号が第２のＡＳ番号よりも小さい場合、第１のＡＳ番号、第２のＡＳ番号、第１のペア証明書用情報及び第２のペア証明書用情報がこの順に並べられた情報である。一方、第１のＡＳ番号が第２のＡＳ番号よりも大きい場合、ペア証明書情報は、第２のＡＳ番号、第１のＡＳ番号、第２のペア証明書用情報及び第１のペア証明書用情報がこの順に並べられた情報である。

なお、ルータ装置１１においては、ペア証明書情報内の第１のＡＳ番号及び第２のＡＳ番号の順序は、値が大きくなる順序であったが、値が小さくなる順序であってもよい。

また、第１のＡＳ番号及び第２のＡＳ番号は、通信経路上に存在し且つ通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報である、と言うことができる。

また、第１のペア証明書用情報は、第１のＡＳ番号及び第２のＡＳ番号を連結した情報（暗号化前情報）を、第１のＡＳ番号が表す第１の自律システムに固有の秘密鍵（第１の秘密鍵）に基づいて第１の自律システムが暗号化した情報である。第２のペア証明書用情報は、暗号化前情報を、第２のＡＳ番号が表す第２の自律システムに固有の秘密鍵（第２の秘密鍵）に基づいて第２の自律システムが暗号化した情報である。

そして、ルータ装置１１は、受信したメッセージ内の経路情報が表す通信経路上の隣接する２つの自律システムが接続されているか否かを、そのメッセージ内のペア証明書情報に基づいて判定（検証）する判定処理を行う。

ルータ装置１１は、通信経路上の隣接する２つの自律システムのいずれもが接続されていると判定した場合、その経路情報に基づいて経路表を更新する。一方、ルータ装置１１は、通信経路上の隣接する２つの自律システムのいずれかが接続されていないと判定した場合、その経路情報に基づく経路表の更新を行わない（即ち、その経路情報を破棄する（記憶しない））。

また、ルータ装置１１は、他のルータ装置と新たに接続された場合、記憶している経路情報と、その経路情報が表す通信経路上の隣接する２つの自律システム間の接続の正当性を検証するためのペア証明書情報と、からなるメッセージをそのルータ装置に送る。これにより、そのルータ装置も、記憶している経路表を更新する。

次に、ルータ装置１１の機能の詳細について説明する。
図６は、このルータ装置１１の機能を表すブロック図である。この機能は、ルータ装置１１のＣＰＵ１１ａが後述する図８〜図１１に示したフローチャートにより表されるプログラム等を実行することにより実現される。

ルータ装置１１の機能は、経路管理部２０と、パケット転送部３０と、メッセージ受信部４０と、接続判定部（接続判定手段）５０と、ペア証明書情報管理部６０と、メッセージ生成部７０と、メッセージ送信部８０と、を含む。

経路管理部２０は、経路情報記憶部２１と、経路表生成部２２と、を含む。
経路情報記憶部２１は、ルータ装置１１を含む自律システムが有するアドレス・プリフィックスを含む経路情報（ＡＳパス情報は空情報）を予め記憶している。更に、経路情報記憶部２１は、接続判定部５０からの確認済経路情報を経路情報として新たに記憶する（蓄積する）。ここで、確認済経路情報は、ルータ装置１１に接続されている他のルータ装置から受信したメッセージに含まれる経路情報のうちの、その経路情報が表す通信経路上の隣接する２つの自律システムのいずれもが接続されていることが確認された経路情報である。

経路表生成部２２は、経路情報記憶部２１が記憶しているすべての経路情報から、任意のアドレス・プリフィックスを含む経路情報の数が１つとなるように、経路情報を抽出する。このとき、経路表生成部２２は、同一のアドレス・プリフィックスを含む経路情報が複数存在する場合、経由する自律システムの数が最小となる通信経路を表す経路情報を選択する。経路表生成部２２は、抽出した経路情報からなる経路表を作成する。経路表生成部２２は、作成した経路表を記憶する。

パケット転送部３０は、ルータ装置１１に接続されている他のルータ装置からパケットを受信する。パケット転送部３０は、パケットに含まれる送信先のアドレスと、経路表生成部２２が記憶している経路表と、に基づいて、その送信先のアドレスへの通信経路を表す経路情報を取得する。パケット転送部３０は、取得した経路情報に従って転送先のルータ装置へ、受信したパケットを送信（転送）する。

メッセージ受信部４０は、メッセージ（本例では、パスベクトル型ルーティングプロトコルの１つであるＢＧＰ４（Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ４）におけるＵＰＤＡＴＥメッセージ）を受信する。メッセージは、ヘッダ情報、経路情報、及び、ペア証明書情報等を含む情報である。

具体的には、経路情報のうちのアドレス・プリフィックスは、メッセージのうちの、「Ｎｅｔｗｏｒｋ Ｌａｙｅｒ Ｒｅａｃｈａｂｉｌｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ（ＮＬＲＩ）」と呼ばれるフィールドに格納される。また、経路情報のうちのＡＳパス情報及びペア証明書情報は、メッセージのうちの、「Ｐａｔｈ Ａｔｔｒｉｂｕｔｅｓ」と呼ばれるフィールドに格納される。
メッセージ受信部４０は、受信したメッセージを接続判定部５０へ送る。

接続判定部５０は、検証用ペア証明書情報取得部５１と、確認済接続情報記憶部（確認済接続情報記憶手段）５２と、復号情報取得部５３と、公開鍵記憶部５４と、公開鍵取得部５５と、判定処理実行部５６と、確認済受信情報取得部５７と、を含む。

検証用ペア証明書情報取得部５１は、メッセージ受信部４０から受け取ったメッセージ内のＡＳパス情報にて、隣接する２つのＡＳ番号の組（隣接ＡＳ番号ペア）をすべて抽出する。例えば、ＡＳパス情報が「４，３，１」である場合には、検証用ペア証明書情報取得部５１は、隣接ＡＳ番号ペアとして、「４」及び「３」の組、並びに、「３」及び「１」の組を抽出する。

検証用ペア証明書情報取得部５１は、抽出した隣接ＡＳ番号ペアから、確認済接続情報記憶部５２が記憶している確認済接続情報のいずれとも一致しない組を、更に抽出する。ここで、確認済接続情報は、既に接続されていることが確認された（接続されていると判定された）２つの自律システムを表すＡＳ番号の組を表す情報である。

次いで、検証用ペア証明書情報取得部５１は、メッセージ受信部４０から受け取ったメッセージから、抽出した組に係る２つのＡＳ番号（第１のＡＳ番号及び第２のＡＳ番号）を含むペア証明書情報のみを抽出する。そして、検証用ペア証明書情報取得部５１は、抽出したペア証明書情報を検証用ペア証明書情報として、復号情報取得部５３へ送る。

公開鍵記憶部５４は、自律システムに固有の秘密鍵に対応する公開鍵を、その自律システムのＡＳ番号と対応付けて記憶している。
復号情報取得部５３は、公開鍵記憶部５４が記憶している公開鍵のうちの、検証用ペア証明書情報取得部５１からの検証用ペア証明書情報に含まれる第１のＡＳ番号が表す自律システムに固有の秘密鍵（第１の秘密鍵）に対応する（第１のＡＳ番号に対応する）公開鍵（第１の公開鍵）を取得する。更に、復号情報取得部５３は、公開鍵記憶部５４が記憶している公開鍵のうちの、その検証用ペア証明書情報に含まれる第２のＡＳ番号が表す自律システムに固有の秘密鍵（第２の秘密鍵）に対応する（第２のＡＳ番号に対応する）公開鍵（第２の公開鍵）を取得する。

復号情報取得部５３は、公開鍵記憶部５４が第１の公開鍵又は第２の公開鍵を記憶していない場合、公開鍵取得部５５に、その公開鍵を認証機関から取得させるとともに、公開鍵取得部５５が取得した公開鍵を公開鍵記憶部５４に記憶させる。なお、認証機関は、公開鍵とＡＳ番号とを対応づけて記憶（保持）するとともに、ルータ装置１１と通信可能に接続されたサーバ装置である。なお、ルータ装置１１は、管理者の入力操作に従って公開鍵が取得されるように構成されていてもよい。

復号情報取得部５３は、取得した第１の公開鍵に基づいて、検証用ペア証明書情報に含まれる第１のペア証明書用情報を復号することにより、第１の復号情報を取得する。更に、復号情報取得部５３は、取得した第２の公開鍵に基づいて、検証用ペア証明書情報に含まれる第２のペア証明書用情報を復号することにより、第２の復号情報を取得する。そして、復号情報取得部５３は、取得した第１の復号情報及び第２の復号情報と、検証用ペア証明書情報と、を判定処理実行部５６へ送る。

判定処理実行部５６は、復号情報取得部５３からの第１の復号情報及び第２の復号情報のそれぞれが、検証用ペア証明書情報に含まれる第１のＡＳ番号及び第２のＡＳ番号を連結した情報（暗号化前情報）と一致しているか否かを判定する。判定処理実行部５６は、第１の復号情報及び第２の復号情報のそれぞれが暗号化前情報と一致していると判定した場合、その第１のＡＳ番号及び第２のＡＳ番号の組を、確認済接続情報として確認済接続情報記憶部５２へ送る。確認済接続情報記憶部５２は、この確認済接続情報を新たに記憶する。加えて、判定処理実行部５６は、検証用ペア証明書情報を確認済受信情報取得部５７へ送る。

確認済受信情報取得部５７は、すべての検証用ペア証明書情報に対して、第１の復号情報及び第２の復号情報のそれぞれが暗号化前情報と一致していると判定処理実行部５６が判定した場合、メッセージ受信部４０からのメッセージに含まれる経路情報を確認済経路情報として経路情報記憶部２１へ送るとともに、判定処理実行部５６からの検証用ペア証明書情報を確認済ペア証明書情報としてペア証明書情報管理部６０へ送る。
経路情報記憶部２１は、この経路情報を新たに記憶する。

ペア証明書情報管理部６０は、接続ペア特定情報生成部６１と、秘密鍵保持部６２と、ペア証明書用情報取得部（ペア証明書用情報取得手段）６３と、ペア証明書用情報送信部（ペア証明書用情報送信手段）６４と、ペア証明書用情報受信部（ペア証明書用情報受信手段）６５と、ペア証明書情報生成部（ペア証明書情報生成手段）６６と、ペア証明書情報記憶部６７と、を含む。

接続ペア特定情報生成部６１は、ルータ装置１１に新たに接続されたルータ装置を含む自律システムのＡＳ番号を取得する。接続ペア特定情報生成部６１は、取得したＡＳ番号と、ルータ装置１１を含む自律システムのＡＳ番号と、を含む接続ペア特定情報を生成する。接続ペア特定情報生成部６１は、生成した接続ペア特定情報をペア証明書用情報取得部６３へ送る。
秘密鍵保持部６２は、ルータ装置１１を含む自律システムに固有の秘密鍵（第３の秘密鍵）を保持する。

ペア証明書用情報取得部６３は、接続ペア特定情報生成部６１からの接続ペア特定情報に含まれる２つのＡＳ番号を連結した情報（暗号化前情報）を、秘密鍵保持部６２が保持している第３の秘密鍵に基づいて暗号化することにより、第１のペア証明書用情報を生成する。ペア証明書用情報取得部６３は、生成した第１のペア証明書用情報をペア証明書用情報送信部６４及びペア証明書情報生成部６６のそれぞれへ送る。加えて、ペア証明書用情報取得部６３は、接続ペア特定情報もペア証明書情報生成部６６へ送る。

ペア証明書用情報送信部６４は、ペア証明書用情報取得部６３からの第１のペア証明書用情報を、ルータ装置１１に新たに接続されたルータ装置へ送信する。

ペア証明書用情報受信部６５は、ルータ装置１１に新たに接続されたルータ装置からの第２のペア証明書用情報を受信する。ペア証明書用情報受信部６５は、受信した第２のペア証明書用情報をペア証明書情報生成部６６へ送る。

ペア証明書情報生成部６６は、ペア証明書用情報取得部６３からの第１のペア証明書用情報と、ペア証明書用情報受信部６５からの第２のペア証明書用情報と、ペア証明書用情報取得部６３からの接続ペア特定情報と、に基づいて、ルータ装置１１と、ルータ装置１１に新たに接続されたルータ装置と、の間の接続の正当性を検証するためのペア証明書情報を生成する。ペア証明書情報生成部６６は、生成したペア証明書情報をペア証明書情報記憶部６７へ送る。

ペア証明書情報記憶部６７は、ペア証明書情報生成部６６からのペア証明書情報を新たに記憶する。更に、ペア証明書情報記憶部６７は、確認済受信情報取得部５７からの確認済ペア証明書情報をペア証明書情報として新たに記憶する。

メッセージ生成部７０は、経路表生成部２２が記憶している経路表内の任意の経路情報内のＡＳパス情報に、ルータ装置１１を含む自律システムを表すＡＳ番号を追加することにより、送信用経路情報を生成する。メッセージ生成部７０は、ペア証明書情報記憶部６７が記憶しているペア証明書情報のうちの、その経路情報が表す通信経路上の任意の隣接する２つの自律システム間の接続の正当性を検証するためのペア証明書情報を、送信用ペア証明書情報として取得する。メッセージ生成部７０は、生成した送信用経路情報と、取得した送信用ペア証明書情報と、を含むメッセージを生成する。メッセージ生成部７０は、メッセージ送信部８０へ生成したメッセージを送る。

メッセージ送信部８０は、メッセージ生成部７０からのメッセージをルータ装置１１に接続されたルータ装置へ送信する。
なお、ルータ装置１２〜１５のそれぞれも、ルータ装置１１と同じ機能を有している。

次に、上述した通信制御システム１の作動について具体的に述べる。
いま、図４及び図７に示したように、自律システムＡＳ１（ルータ装置１１）と自律システムＡＳ２（ルータ装置１２）とが接続され、且つ、自律システムＡＳ２（ルータ装置１２）と自律システムＡＳ３（ルータ装置１３）とが接続されている状態を想定する。

この状態において、アドレス・プリフィックスとして「１９２．１６８．４．０／２４」を有する（「１９２．１６８．４．０／２４」が割り当てられた）自律システムＡＳ４（ルータ装置１４）を自律システムＡＳ３（ルータ装置１３）に接続し（図４を参照）、その後、アドレス・プリフィックスとして「１９２．１６８．５．０／２４」を有する自律システムＡＳ５（ルータ装置１５）を自律システムＡＳ３（ルータ装置１３）に接続する（図７を参照）例について説明する。

なお、この例では、自律システムＡＳ１を表すＡＳ番号は「１」であり、自律システムＡＳ２を表すＡＳ番号は「２」であり、自律システムＡＳ３を表すＡＳ番号は「３」であり、自律システムＡＳ４を表すＡＳ番号は「４」であり、自律システムＡＳ５を表すＡＳ番号は「５」である。

先ず、自律システムＡＳ４を自律システムＡＳ３に接続する場合から説明する。
この場合、通信制御システム１の管理者は、ルータ装置１４とルータ装置１３とをそれぞれの通信用カードを介して接続する。そして、管理者は、図８にフローチャートにより示した接続処理プログラムを、ルータ装置１３のＣＰＵ１３ａ及びルータ装置１４のＣＰＵ１４ａのそれぞれに実行させる。

具体的に述べると、ルータ装置１４のＣＰＵ１４ａは、接続処理プログラムの処理を開始すると、ステップ８０５にて、接続要求情報をルータ装置１３から受信したか否かを判定する。ここで、接続要求情報は、この接続要求情報の送信元のルータ装置を含む自律システムのＡＳ番号を含む情報であって接続（本例では、ＢＧＰのセッション）の開始を要求する旨を表す情報である。

この時点では、ルータ装置１４は、ルータ装置１３からの接続要求情報を受信していない。従って、ＣＰＵ１４ａは、ステップ８０５にて「Ｎｏ」と判定してステップ８１０に進み、ルータ装置１４を含む自律システム（所属自律システム）ＡＳ４のＡＳ番号「４」を含む接続要求情報をルータ装置１３へ送信する。

次いで、ＣＰＵは、ステップ８１５にて、接続応答情報をルータ装置１３から受信することによりルータ装置１３とルータ装置１４との間の接続が確立されるまで待機する。ここで、接続応答情報は、この接続応答情報の送信元のルータ装置を含む自律システムのＡＳ番号（ここでは、「３」）を含む情報であって接続の要求に応じる旨を表す情報である。

一方、ルータ装置１３のＣＰＵ１３ａは、ルータ装置１４から接続要求情報を受信する。従って、ルータ装置１３のＣＰＵ１３ａがこの接続処理プログラムの実行を開始してステップ８０５に進んだとき、ＣＰＵ１３ａは、「Ｙｅｓ」と判定してステップ８２０に進む。そして、ＣＰＵ１３ａは、ＡＳ番号「３」を含む接続応答情報をルータ装置１４へ送信する。

これにより、ルータ装置１４は、接続応答情報をルータ装置１３から受信する。従って、ルータ装置１４のＣＰＵ１４ａは、ステップ８１５にて「Ｙｅｓ」と判定してステップ８２５に進む。そして、ＣＰＵ１４ａは、受信した接続応答情報に含まれるＡＳ番号「３」と、所属自律システムＡＳ４のＡＳ番号「４」と、を含む接続ペア特定情報を生成する。即ち、接続ペア特定情報は、送信元自律システムＡＳ３及び所属自律システムＡＳ４の組を特定している。

次いで、ＣＰＵ１４ａは、ステップ８３０にて、接続ペア特定情報に含まれる２つのＡＳ番号（「３」及び「４」）を連結した情報（暗号化前情報）を取得する。更に、ＣＰＵ１４ａは、取得した暗号化前情報を、所属自律システムＡＳ４に固有の秘密鍵（第３の秘密鍵）に基づいて暗号化することにより、ペア証明書用情報（ルータ装置１４にとっての第１のペア証明書用情報）を生成（取得）する。この第３の秘密鍵は、予めＨＤＤ１４ｃに記憶されている。なお、ステップ８３０の処理が実行されることは、ペア証明書用情報取得手段の機能が達成されることに対応している。

そして、ＣＰＵ１４ａは、ステップ８３５にて、生成したペア証明書用情報をルータ装置１３（後述するように、ルータ装置１４が経路情報を送信する先の自律システムである送信先自律システムＡＳ３）へ送信する。なお、ステップ８３５の処理が実行されることは、ペア証明書用情報送信手段の機能が達成されることに対応している。
次いで、ＣＰＵ１４ａは、ステップ８４０にて、ルータ装置１３からペア証明書用情報（ルータ装置１４にとっての第２のペア証明書用情報）を受信するまで待機する。

一方、ルータ装置１３のＣＰＵ１３ａは、ステップ８２５〜ステップ８３５の処理を実行する。これにより、ＣＰＵ１３ａは、上記暗号化前情報を、所属自律システムＡＳ３に固有の秘密鍵（第４の秘密鍵）に基づいて暗号化することにより、ペア証明書用情報（ルータ装置１４にとっての第２のペア証明書用情報）を生成する。この第４の秘密鍵は、予めＨＤＤ１３ｃに記憶されている。そして、ＣＰＵ１３ａは、生成したペア証明書用情報をルータ装置１４へ送信する。

これにより、ルータ装置１４のＣＰＵ１４ａは、ペア証明書用情報（ルータ装置１４にとっての第２のペア証明書用情報）をルータ装置１３から受信する。従って、ＣＰＵ１４ａは、ステップ８４０にて「Ｙｅｓ」と判定してステップ８４５に進む。なお、ステップ８４０の処理が実行されることは、ペア証明書用情報受信手段の機能が達成されることに対応している。

ＣＰＵ１４ａは、ステップ８４５にて、上記ステップ８３０にて生成した第１のペア証明書用情報と、上記ステップ８４０にて受信した第２のペア証明書用情報と、上記ステップ８２５にて生成した接続ペア特定情報と、に基づいてペア証明書情報を生成する。このペア証明書情報は、ルータ装置１３とルータ装置１４との間の接続の正当性を検証するための情報である。

このようにして、ペア証明書情報を生成しておくことにより、所属自律システムＡＳ４と、送信元自律システムＡＳ３と、の間の接続の正当性を検証するためのペア証明書情報を他の自律システムに提供することができる。なお、ステップ８４５の処理が実行されることは、ペア証明書情報生成手段の機能が達成されることに対応している。

そして、ＣＰＵ１４ａは、ステップ８５０にて、生成したペア証明書情報をＨＤＤ１４ｃに蓄積する。次いで、ＣＰＵ１４ａは、ステップ８５５にて、ＨＤＤ１４ｃに記憶されている経路表内のすべての経路情報のリストを取得する。

そして、ＣＰＵ１４ａは、ステップ８６０に進んで、メッセージを送信するため、図９にフローチャートにより示したメッセージ送信プログラムの実行を開始する。なお、ステップ８６０の処理が実行されることは、ペア証明書情報送信手段の機能が達成されることに対応している。

そして、ＣＰＵ１４ａは、ステップ９０５にて、上記ステップ８５５にて取得したリスト内に経路情報が存在しているか否かを判定する。

この状態においては、ルータ装置１４が記憶している経路表内には、所属自律システムＡＳ４が有するアドレス・プリフィックス「１９２．１６８．４．０／２４」を含む経路情報（ＡＳパス情報は空情報）のみが含まれている。従って、この時点にて取得された上記リストには、アドレス・プリフィックスが「１９２．１６８．４．０／２４」であり、ＡＳパス情報が空情報である経路情報のみが含まれる。

従って、ＣＰＵ１４ａは、ステップ９０５にて「Ｙｅｓ」と判定してステップ９１０に進み、上記リストから経路情報を１つ取得するとともに、取得した経路情報をそのリストから削除する。

次いで、ＣＰＵ１４ａは、ステップ９１５にて、取得した経路情報のアドレス・プリフィックス「１９２．１６８．４．０／２４」と、取得した経路情報のＡＳパス情報の先頭に所属自律システムＡＳ４のＡＳ番号「４」を追加したＡＳパス情報「４」と、を含む送信用経路情報を生成する。

そして、ＣＰＵ１４ａは、ステップ９２０にて、ＨＤＤ１４ｃに蓄積されているペア証明書情報のうちの、送信用経路情報が表す通信経路上の任意の隣接する２つの自律システム間の接続の正当性を検証するためのペア証明書情報を、送信用ペア証明書情報として取得する。この状態においては、送信用経路情報が表す通信経路上に隣接する２つの自律システムが存在しないので、送信用ペア証明書情報は、空情報となる。

更に、ＣＰＵ１４ａは、生成した送信用経路情報と、取得した送信用ペア証明書情報と、を含むメッセージを生成する。そして、ＣＰＵ１４ａは、ステップ９２５にて、上記生成したメッセージをルータ装置１３へ送信する。

その後、ＣＰＵ１４ａは、ステップ９０５へ戻り、リスト内に経路情報が存在しなくなるまで、ステップ９１０〜ステップ９２５の処理を繰り返し実行する。この時点では、リスト内に経路情報は存在していない。従って、ＣＰＵ１４ａは、ステップ９０５にて「Ｎｏ」と判定してステップ９９９に直接進み、メッセージ送信プログラムを一旦終了する。次いで、ＣＰＵ１４ａは、図８のステップ８９９に進み、接続処理プログラムを一旦終了する。

同様に、ルータ装置１３もステップ８４０〜ステップ８６０の処理を実行することにより、ルータ装置１３とルータ装置１４との間の接続の正当性を検証するためのペア証明書情報を新たに記憶するとともに、ルータ装置１３が記憶している経路表内の経路情報に基づいてルータ装置１４へメッセージを送信する。

以下、説明の便宜上、ルータ装置１４からルータ装置１３へ送信されたメッセージに着目して説明を続ける。

ルータ装置１３のＣＰＵ１３ａは、図１０にフローチャートにより示したメッセージ受信プログラムの実行を、そのプログラムを実行中でない場合に開始するとともに、そのプログラムを実行中である場合に開始しないようになっている。なお、図１０のプログラムが実行されることは、接続判定手段（接続判定工程）の機能及び経路情報送信手段（経路情報送信工程）の機能が達成されることに対応している。

具体的に述べると、ＣＰＵ１３ａは、メッセージ受信プログラムの処理を開始すると、ステップ１００５にて、メッセージを受信するまで待機する。上記仮定に従えば、ルータ装置１３は、ルータ装置１４（所属自律システムＡＳ３に接続された自律システムの１つである送信元自律システムＡＳ４）からメッセージを受信する。

従って、ルータ装置１３のＣＰＵ１３ａは、ステップ１００５にて「Ｙｅｓ」と判定してステップ１０１０に進む。なお、ステップ１００５の処理が実行されることは、経路情報受信手段（経路情報受信工程）の機能及びペア証明書情報受信手段の機能が達成されることに対応している。そして、ＣＰＵ１３ａは、受信したメッセージ内のＡＳパス情報にて、隣接する２つのＡＳ番号の組（隣接ＡＳ番号ペア）をすべて抽出することにより、隣接ＡＳ番号ペアのリストを取得する。

次いで、ＣＰＵ１３ａは、ステップ１０１５にて、上記リスト内に隣接ＡＳ番号ペアが存在しているか否かを判定する。この状態においては、ＡＳパス情報が「４」であるから、上記リスト内に隣接ＡＳ番号ペアは含まれていない。従って、ＣＰＵ１３ａは、「Ｎｏ」と判定してステップ１０２０に進み、受信したメッセージ内の経路情報及びペア証明書情報のそれぞれをＨＤＤ１３ｃに新たに記憶させる（蓄積する）。

そして、ＣＰＵは、ステップ１０２５にて、ＨＤＤ１３ｃに記憶されているすべての経路情報から、任意のアドレス・プリフィックスを含む経路情報の数が１つとなるように、経路情報を抽出する。このとき、ＣＰＵ１３ａは、同一のアドレス・プリフィックスを含む経路情報が複数存在する場合、経由する自律システムの数が最小となる通信経路を表す経路情報を選択する。ＣＰＵ１３ａは、抽出した経路情報からなる経路表により、ＨＤＤ１３ｃに記憶されている経路表を更新する。

次いで、ＣＰＵ１３ａは、ステップ１０３０にて、ＨＤＤ１３ｃに記憶されている経路表内の経路情報のうちの、上記ステップ１０２５にて変更（変更又は追加）された経路情報のリストを取得する。この時点では、取得されるリストは、アドレス・プリフィックスが「１９２．１６８．４．０／２４」であり、ＡＳパス情報が「４」である経路情報のみからなる。

そして、ＣＰＵ１３ａは、ステップ１０３５に進んで、上記図９のメッセージ送信プログラムを実行する。なお、ステップ１０３５の処理が実行されることは、ペア証明書情報転送手段の機能が達成されることに対応している。

これにより、ＣＰＵ１３ａは、ＡＳパス情報「３，４」と、自律システムＡＳ３と自律システムＡＳ４との間の接続の正当性を検証するためのペア証明書情報「３−４」と、を含むメッセージを、上記ステップ１００５にて受信したメッセージの送信元のルータ装置以外のルータ装置であってルータ装置１３に接続されているルータ装置の１つ（この例では、ルータ装置１２（送信先自律システムＡＳ２））へ送る。

ところで、自律システムＡＳ２（所属自律システムＡＳ３が経路情報を送信する先の自律システム（送信先自律システム））から自律システムＡＳ４への通信経路には、自律システム（所属自律システム）ＡＳ３及び自律システム（送信元自律システム）ＡＳ４間の経路が含まれている。更に、自律システムＡＳ１（送信先自律システムＡＳ２が経路情報を送信する先の自律システム（次送信先自律システム））から自律システムＡＳ４への通信経路にも、所属自律システムＡＳ３及び送信元自律システムＡＳ４間の経路が含まれている。

従って、このように、送信先自律システムＡＳ２へ、所属自律システムＡＳ３と送信元自律システムＡＳ４との間の接続の正当性を検証するためのペア証明書情報を送信することにより、送信先自律システムＡＳ２及び次送信先自律システムＡＳ１において、所属自律システムＡＳ３と送信元自律システムＡＳ４との間の接続の正当性の検証を容易に行うことができる。

一方、ルータ装置１２のＣＰＵ１２ａも、図１０のメッセージ受信プログラムの実行を、そのプログラムを実行中でない場合に開始するとともに、そのプログラムを実行中である場合に開始しないようになっている。

従って、ルータ装置１２のＣＰＵ１２ａがルータ装置１３から上記メッセージを受信すると、ＣＰＵ１２ａは、ステップ１０１０にて、受信したメッセージ内のＡＳパス情報から隣接ＡＳ番号ペアをすべて抽出することにより、隣接ＡＳ番号ペアのリストを取得する。この状態においては、ＡＳパス情報が「３，４」であるから、取得されたリストは、隣接ＡＳ番号ペアとしての「３」及び「４」の組のみからなる。

従って、ＣＰＵ１２ａは、ステップ１０１５に進んだとき、「Ｙｅｓ」と判定してステップ１０４０に進み、上記リストから隣接ＡＳ番号ペア（「３」及び「４」の組）を１つ取得するとともに、取得した隣接ＡＳ番号ペアをそのリストから削除する。

そして、ＣＰＵ１２ａは、ステップ１０４５にて、取得した隣接ＡＳ番号ペア（「３」及び「４」の組）が、ＨＤＤ１２ｃに記憶されている確認済接続情報のいずれかと一致しているか否かを判定する。
いま、説明の便宜上、ＨＤＤ１１ｃ及びＨＤＤ１２ｃの両方がいずれの確認済接続情報も記憶していない場合を想定して説明を続ける。

この場合、ＣＰＵ１２ａは、ステップ１０４５にて「Ｎｏ」と判定してステップ１０５０に進み、上記ステップ１００５にて受信したメッセージから、上記隣接ＡＳ番号ペア（「３」及び「４」の組）を含むペア証明書情報のみを検証用ペア証明書情報として抽出する。

次いで、ＣＰＵ１２ａは、ステップ１０５５にて、上記隣接ＡＳ番号ペアに係る２つのＡＳ番号のそれぞれに対応する公開鍵がそのＡＳ番号に対応付けられてＨＤＤ１２ｃに記憶されているか否かを判定する。

いま、説明の便宜上、ＨＤＤ１２ｃがＡＳ番号「１」〜「５」のいずれに対応する公開鍵も記憶している場合を想定して説明を続ける。なお、ＨＤＤ１２ｃが上記２つのＡＳ番号のそれぞれに対応する公開鍵の少なくとも１つを記憶していない場合には、ＣＰＵ１２ａは、ステップ１０５５にて「Ｎｏ」と判定してステップ１０６０に進み、各ＡＳ番号に対応する公開鍵を上記認証機関から取得する。そして、ＣＰＵ１２ａは、取得した公開鍵をＡＳ番号と対応付けてＨＤＤ１２ｃに新たに記憶させる。

上記仮定に従えば、ＣＰＵ１２ａは、ステップ１０５５にて「Ｙｅｓ」と判定してステップ１０６５に進む。ＣＰＵ１２ａは、ＡＳ番号「３」に対応する公開鍵（第１の公開鍵）に基づいて、上記ステップ１０５０にて抽出された検証用ペア証明書情報に含まれる第１のペア証明書用情報を復号することにより、第１の復号情報を取得する。更に、ＣＰＵ１２ａは、ＡＳ番号「４」に対応する公開鍵（第２の公開鍵）に基づいて、その検証用ペア証明書情報に含まれる第２のペア証明書用情報を復号することにより、第２の復号情報を取得する。

次いで、ＣＰＵ１２ａは、ステップ１０７０に進み、上記取得した第１の復号情報及び第２の復号情報のそれぞれが暗号化前情報と一致しているか否かを判定する。この状態においては、ペア証明書情報に含まれる第１の証明書用情報は、ルータ装置１３によって生成され、且つ、ペア証明書情報に含まれる第２の証明書用情報は、ルータ装置１４によって生成されている。従って、第１の復号情報及び第２の復号情報のいずれもが暗号化前情報と一致しているので、ＣＰＵ１２ａは、「Ｙｅｓ」と判定してステップ１０７５に進む。

そして、ＣＰＵ１２ａは、上記隣接ＡＳ番号ペア（即ち、「３」及び「４」の組）を確認済接続情報としてＨＤＤ１２ｃに新たに記憶させる。なお、ステップ１０７５の処理が実行されることは、確認済接続情報記憶処理手段（確認済接続情報記憶処理工程）の機能が達成されることに対応している。
その後、ＣＰＵ１２ａは、ステップ１０１５へ戻り、リスト内に隣接ＡＳ番号ペアが存在しなくなるまで、ステップ１０１５〜ステップ１０７５の処理を繰り返し実行する。

なお、第１の復号情報及び第２の復号情報のいずれかが暗号化前情報と一致しなかった場合には、ＣＰＵ１２ａは、ステップ１０７０にて「Ｎｏ」と判定してステップ１０９９に進み、このプログラムを一旦終了する。
また、ステップ１０５０〜ステップ１０７５の処理は、本明細書において、判定処理とも呼ばれる処理である。

この時点では、リスト内に隣接ＡＳ番号ペアは存在していないので、ＣＰＵ１２ａは、ステップ１０１５にて「Ｎｏ」と判定してステップ１０２０に進む。そして、ＣＰＵ１２ａは、上述した場合と同様に、ステップ１０２０〜ステップ１０３５の処理を実行する。

即ち、ＣＰＵ１２ａは、ＡＳパス情報「３，４」を含む経路情報及びペア証明書情報「３−４」のそれぞれをＨＤＤ１２ｃに新たに記憶させる（ステップ１０２０）。更に、ＣＰＵ１２ａは、経路表を更新する（ステップ１０２５）。加えて、ＣＰＵ１２ａは、ＡＳパス情報「２，３，４」を含む経路情報と、ペア証明書情報「２−３」及びペア証明書情報「３−４」と、を含むメッセージをルータ装置１１へ送信する（ステップ１０３５）。

なお、ペア証明書情報「２−３」は、ルータ装置１２とルータ装置１３とが接続された際にＣＰＵ１２ａが図８の接続処理プログラムを実行することによりＨＤＤ１２ｃに記憶された情報である。また、ペア証明書情報「３−４」は、ルータ装置１３から受信したメッセージに含まれていたペア証明書情報である。

ところで、所属自律システムＡＳ２が経路情報を送信する先の自律システムＡＳ１（送信先自律システム）から自律システムＡＳ４への通信経路には、所属自律システムＡＳ２が自律システム（送信元自律システム）ＡＳ３から受信したメッセージに含まれていたペア証明書情報に係る２つの自律システムＡＳ３，ＡＳ４間の経路が含まれている。

従って、このように、受信したペア証明書情報「３−４」を送信先自律システムＡＳ１へ送信することにより、送信先自律システムＡＳ１において、受信したペア証明書情報「３−４」に係る２つの自律システムＡＳ３，ＡＳ４間の接続の正当性の検証を容易に行うことができる。

また、ルータ装置１１のＣＰＵ１１ａも、図１０のメッセージ受信プログラムの実行を、そのプログラムを実行中でない場合に開始するとともに、そのプログラムを実行中である場合に開始しないようになっている。

従って、ルータ装置１１のＣＰＵ１１ａがルータ装置１２から上記メッセージを受信すると（ステップ１００５）、ＣＰＵ１１ａは、上述した場合と同様に、自律システムＡＳ２及び自律システムＡＳ３間の接続の正当性、並びに、自律システムＡＳ３及び自律システムＡＳ４間の接続の正当性を、受信したメッセージ内のペア証明書情報と、ＨＤＤ１１ｃが記憶している公開鍵と、に基づいて検証する（ステップ１０１０〜ステップ１０７０）。

この状態においては、２つのペア証明書情報のうちの、第１のＡＳ番号「３」及び第２のＡＳ番号「４」を含むペア証明書情報は、第１の証明書用情報がルータ装置１３によって生成され、且つ、第２の証明書用情報がルータ装置１４によって生成されている。更に、２つのペア証明書情報のうちの、第１のＡＳ番号「２」及び第２のＡＳ番号「３」を含むペア証明書情報は、第１の証明書用情報がルータ装置１２によって生成され、且つ、第２の証明書用情報がルータ装置１３によって生成されている。

従って、上記２つのペア証明書情報のいずれにおいても、第１の復号情報及び第２の復号情報のそれぞれが暗号化前情報と一致する。従って、ＣＰＵ１１ａは、隣接ＡＳ番号ペア（「２」及び「３」の組）及び隣接ＡＳ番号ペア（「３」及び「４」の組）のそれぞれを確認済接続情報としてＨＤＤ１１ｃに記憶させる（ステップ１０７５）。

そして、ＣＰＵ１１ａは、ＡＳパス情報「２，３，４」を含む経路情報、ペア証明書情報「２−３」及びペア証明書情報「３−４」のそれぞれをＨＤＤ１１ｃに新たに記憶させる（ステップ１０２０）。更に、ＣＰＵ１１ａは、経路表を更新する（ステップ１０２５）。

更に、各ルータ装置１１〜１５は、図１１にフローチャートにより示したパケット転送プログラムの実行を、そのプログラムを実行中でない場合に開始するとともに、そのプログラムを実行中である場合に開始しないようになっている。

ここでは、ルータ装置１２がこのプログラムを実行する場合の作動について説明するが、他のルータ装置１１，１３〜１５もルータ装置１２と同様に作動する。

ルータ装置１２のＣＰＵ１２ａは、ステップ１１０５にて、ルータ装置１２に接続された他のルータ装置（この例では、ルータ装置１１）からパケットを受信するまで待機する。

そして、ルータ装置１２がパケットを受信すると、ＣＰＵ１２ａは、ステップ１１１０にて、パケットに含まれる送信先のアドレスを取得する。次いで、ＣＰＵ１２ａは、ステップ１１１５にて、ＨＤＤ１２ｃに記憶されている経路表内の経路情報のうちの、取得した送信先のアドレスを含むアドレスの範囲を表すアドレス・プリフィックスを含む経路情報を取得する。更に、ＣＰＵ１２ａは、取得した経路情報に含まれるＡＳパス情報の先頭のＡＳ番号を送信先のＡＳ番号として取得（特定）する。

そして、ＣＰＵ１２ａは、ステップ１１２０にて、通信用カード１２ｄ１〜１２ｄ８のうちの、上記特定したＡＳ番号が表す自律システムに含まれるルータ装置に接続された通信用カードを特定する。

次いで、ＣＰＵ１２ａは、ステップ１１２５にて、上記特定した通信用カードから上記受信したパケットを送信（転送）する。
そして、ＣＰＵ１２ａは、ステップ１１９９にて、このプログラムを一旦終了する。

このようにして、例えば、自律システムＡＳ１内の装置は、自律システムＡＳ４内の装置へ情報を送信することができる。

次に、図７に示したように、自律システムＡＳ５を自律システムＡＳ３に接続する場合について説明する。
この場合、通信制御システム１の管理者は、ルータ装置１５とルータ装置１３とをそれぞれの通信用カードを介して接続する。そして、管理者は、図８の接続処理プログラムを、ルータ装置１３のＣＰＵ１３ａ及びルータ装置１５のＣＰＵ１５ａのそれぞれに実行させる。

これにより、ルータ装置１３のＣＰＵ１３ａは、ＨＤＤ１３ｃに、ルータ装置１３とルータ装置１５との間の接続の正当性を検証するためのペア証明書情報を記憶させる。

また、ルータ装置１５のＣＰＵ１５ａは、アドレス・プリフィックス「１９２．１６８．５．０／２４」と、ＡＳパス情報「５」と、空のペア証明書情報と、を含むメッセージをルータ装置１３へ送信する。

このメッセージ内のＡＳパス情報には、隣接ＡＳ番号ペアが含まれていない。従って、ルータ装置１３のＣＰＵ１３ａがこのメッセージを受信して、図１０のメッセージ受信プログラムのステップ１０１５に進んだとき、ＣＰＵ１３ａは、「Ｎｏ」と判定してステップ１０２０に進む。そして、ＣＰＵ１３ａは、上述した場合と同様に、ステップ１０２０〜ステップ１０３５の処理を実行する。

即ち、ＣＰＵ１３ａは、ＡＳパス情報「５」を含む経路情報をＨＤＤ１３ｃに新たに記憶させる（ステップ１０２０）。更に、ＣＰＵ１３ａは、経路表を更新する（ステップ１０２５）。加えて、ＣＰＵ１３ａは、ＡＳパス情報「３，５」と、ペア証明書情報「３−５」と、を含むメッセージをルータ装置１２へ送信する（ステップ１０３５）。

更に、ルータ装置１２のＣＰＵ１２ａがルータ装置１３から上記メッセージを受信すると（ステップ１００５）、ＣＰＵ１２ａは、上述した場合と同様に、自律システムＡＳ３及び自律システムＡＳ５間の接続の正当性を、受信したメッセージ内のペア証明書情報と、ＨＤＤ１２ｃが記憶している公開鍵と、に基づいて検証する（ステップ１０１０〜ステップ１０７０）。

この状態においては、このペア証明書情報は、第１の証明書用情報がルータ装置１３によって生成され、且つ、第２の証明書用情報がルータ装置１５によって生成されている。従って、第１の復号情報及び第２の復号情報のそれぞれが暗号化前情報と一致する。従って、ＣＰＵ１２ａは、隣接ＡＳ番号ペア（「３」及び「５」の組）を確認済接続情報としてＨＤＤ１２ｃに記憶させる（ステップ１０７５）。

そして、ＣＰＵ１２ａは、ＡＳパス情報「３，５」を含む経路情報及びペア証明書情報「３−５」のそれぞれをＨＤＤ１２ｃに新たに記憶させる（ステップ１０２０）。更に、ＣＰＵ１２ａは、経路表を更新する（ステップ１０２５）。加えて、ＣＰＵ１２ａは、ＡＳパス情報「２，３，５」を含む経路情報と、ペア証明書情報「２−３」及びペア証明書情報「３−５」と、を含むメッセージをルータ装置１１へ送信する（ステップ１０３５）。

そして、ルータ装置１１のＣＰＵ１１ａがルータ装置１１から上記メッセージを受信すると（ステップ１００５）、ＣＰＵ１１ａは、上述した場合と同様に、自律システムＡＳ２及び自律システムＡＳ３間の接続の正当性、並びに、自律システムＡＳ３及び自律システムＡＳ５間の接続の正当性を、受信したメッセージ内のペア証明書情報と、ＨＤＤ１１ｃが記憶している公開鍵と、に基づいて検証する（ステップ１０１０〜ステップ１０７０）。

ところで、ＨＤＤ１１ｃには、「２」及び「３」の組、並びに、「３」及び「４」の組が確認済接続情報として記憶されている。即ち、記憶されている確認済接続情報は、自律システムＡＳ２と自律システムＡＳ３とが接続されていること、及び、自律システムＡＳ３と自律システムＡＳ４とが接続されていることを表している、と言うことができる。

従って、ＣＰＵ１１ａが隣接ＡＳ番号ペアとして「２」及び「３」の組を取得して（ステップ１０４０）ステップ１０４５に進んだとき、ＣＰＵ１１ａは、「Ｙｅｓ」と判定してステップ１０１５に戻る。即ち、ＣＰＵ１１ａは、ＡＳ番号「２」及びＡＳ番号「３」を含むペア証明書情報に基づく検証を行わない。

このように、ルータ装置１１によれば、２つの自律システムが接続されていることが一旦確認されると、以降において、その接続の正当性は検証されない。従って、接続の正当性を検証するために要する計算時間を短縮することができる。この結果、通信経路の正当性を検証するために要する計算時間が過大となることなく、通信経路の正当性を高い信頼性にて検証することができる。

一方、ＣＰＵ１１ａは、ＡＳ番号「３」及びＡＳ番号「５」を含むペア証明書情報に基づく検証を行う。この状態においては、このペア証明書情報は、第１の証明書用情報がルータ装置１３によって生成され、且つ、第２の証明書用情報がルータ装置１５によって生成されている。従って、第１の復号情報及び第２の復号情報のそれぞれが暗号化前情報と一致する。従って、ＣＰＵ１１ａは、隣接ＡＳ番号ペア（「３」及び「５」の組）を確認済接続情報としてＨＤＤ１１ｃに記憶させる（ステップ１０７５）。

そして、ＣＰＵ１１ａは、ＡＳパス情報「２，３，５」を含む経路情報、ペア証明書情報「２−３」及びペア証明書情報「３−５」のそれぞれをＨＤＤ１１ｃに新たに記憶させる（ステップ１０２０）。更に、ＣＰＵ１１ａは、経路表を更新する（ステップ１０２５）。

以上、説明したように、本発明による通信制御装置の第１実施形態によれば、２つの自律システム間の接続の正当性を検証する際に使用される証明書情報（ペア証明書情報）は、その２つの自律システムの組を特定する接続ペア特定情報に基づいて生成される情報である。従って、ある接続に係るペア証明書情報がその接続以外の接続に係るペア証明書情報として流用されることを防止することができる。この結果、通信経路の正当性を高い信頼性にて検証することができる。

更に、上記第１実施形態によれば、経路情報が表す通信経路にて互いに隣接する２つの自律システムが接続されていないと判定した場合（ステップ１０７０にて「Ｎｏ」と判定された場合）、ルータ装置（通信制御装置）は、その経路情報を記憶しない（即ち、その経路情報の送信を禁止する）。

これにより、実際には２つの自律システムが接続されていないことにより、２つの自律システム間の経路が存在しない場合において、その存在しない経路を含む通信経路が使用されることを回避することができる。この結果、情報が目的とする自律システムに到達しないことを防止することができるとともに、情報が不正に取得されることを防止することができる。

また、上記第１実施形態によれば、ペア証明書情報は、２つの自律システムのそれぞれがそれぞれに固有の秘密鍵に基づいて情報を暗号化することによって生成される。従って、証明書情報が偽造されることを防止することができる。

なお、上記第１実施形態は、通信することにより２つのルータ装置間でペア証明書用情報を交換するように構成されていたが、各ルータ装置にてペア証明書用情報を記録媒体に記録するとともにその記録媒体を交換することによりペア証明書用情報を交換するように構成されていてもよい。

また、上記第１実施形態は、経路情報を含むメッセージにペア証明書情報を含めるように構成されていたが、このメッセージとは独立してペア証明書情報を送信するように構成されていてもよい。

更に、上記第１実施形態は、２つの自律システムが接続されていることが一旦確認されると、以降において、その接続の正当性の検証を行わない（判定処理の実行を禁止する）ように構成されていたが、２つの自律システムが接続されていることが確認された時点から所定時間が経過するまでの期間においてのみ上記判定処理の実行を禁止する（即ち、判定処理の実行を抑制する）ように構成されていてもよい。

また、上記第１実施形態は、２つの自律システムが接続されていることが一旦確認されると、以降において、その接続の正当性を検証するための判定処理を所定の実行確率にて実行する（即ち、判定処理の実行を抑制する）ように構成されていてもよい。この場合、実行確率は、接続の正当性を検証する対象となる２つの自律システムの組毎に設定された信頼度が高くなるほど高くなる値に設定されることが好適である。

加えて、上記第１実施形態は、ある接続の正当性を検証するための判定処理の実行を連続して禁止した回数を算出し、算出した回数が所定の閾値回数以上となった場合にその判定処理を実行するように構成されていてもよい。

＜第２実施形態＞
次に、本発明の第２実施形態に係る通信制御装置について説明する。第２実施形態に係るルータ装置（通信制御装置）は、上記第１実施形態に係るルータ装置に対して、任意の送信先自律システムに同一のペア証明書情報を２回以上送信しないように構成されている点のみにおいて相違している。従って、以下、かかる相違点を中心として説明する。

このルータ装置に係るメッセージ生成部７０及びメッセージ送信部８０は、上記第１実施形態に係るメッセージ生成部７０及びメッセージ送信部８０の機能に加えて以下の機能を有する。

メッセージ生成部７０及びメッセージ送信部８０は、メッセージを生成した後、そのメッセージを送信する先の自律システム（送信先自律システム）を表す送信先情報と、そのメッセージに含まれる送信用ペア証明書情報のそれぞれが生成される基となった接続ペア特定情報（即ち、送信用ペア証明書情報のそれぞれに含まれる２つのＡＳ番号の組）と、を対応付けて記憶する。本例では、送信先情報は、送信先自律システムを表すＡＳ番号である。なお、メッセージ生成部７０及びメッセージ送信部８０は、送信先情報と、その送信先情報が表す自律システムへ送信したペア証明書情報と、を対応付けて記憶するように構成されていてもよい。

更に、メッセージ生成部７０及びメッセージ送信部８０は、新たにメッセージを生成する際、送信用経路情報に基づいて送信用ペア証明書情報を取得した後、このメッセージの送信先自律システムを表す送信先情報と同一の送信先情報に対応づけて記憶されている接続ペア特定情報に基づいて生成されるペア証明書情報と同一のペア証明書情報を、上記取得した送信用ペア証明書情報から除去する。そして、メッセージ生成部７０及びメッセージ送信部８０は、その送信用ペア証明書情報を含むメッセージを生成する。

即ち、このルータ装置は、記憶されている送信先情報が表す自律システムへの、その送信先情報に対応づけて記憶されている接続ペア特定情報に基づいて生成されるペア証明書情報の送信を禁止（抑制）する。これによれば、ペア証明書情報が無駄に送信されることを防止することができる。

＜第３実施形態＞
次に、本発明の第３実施形態に係る通信制御装置について説明する。第３実施形態に係るルータ装置（通信制御装置）は、上記第１実施形態に係るルータ装置に対して、ペア証明書情報を蓄積するペア証明書情報データベース（を有するサーバ装置）からペア証明書情報を取得するように構成されている点のみにおいて相違している。従って、以下、かかる相違点を中心として説明する。

図１２に示したように、この通信制御システム１Ａは、ルータ装置１１〜１４と、ペア証明書情報データベース（ペア証明書情報ＤＢ）を有するサーバ装置（ペア証明書情報記憶手段）９０と、を含む。サーバ装置９０は、各ルータ装置１１〜１４と通信可能に接続されている。

サーバ装置９０は、各ルータ装置１１〜１４からのペア証明書用情報及び接続ペア特定情報を受信し、受信したペア証明書用情報及び接続ペア特定情報を対応づけて記憶する。サーバ装置９０は、同一の接続ペア特定情報に対応付けて記憶されている２つのペア証明書用情報と、その接続ペア特定情報と、からペア証明書情報を生成する。サーバ装置９０は、生成したペア証明書情報と、そのペア証明書情報に含まれる接続ペア特定情報と、を対応付けてペア証明書情報ＤＢ内に新たに記憶する（蓄積する）。

サーバ装置９０は、各ルータ装置１１〜１４からのペア証明書要求情報を受信する。ここで、ペア証明書要求情報は、接続ペア特定情報を含むとともに、その接続ペア特定情報を含むペア証明書情報の送信を要求する旨を表す情報である。サーバ装置９０は、受信したペア証明書要求情報に含まれる接続ペア特定情報と同一の接続ペア特定情報に対応付けて記憶されているペア証明書情報を取得する。サーバ装置９０は、ペア証明書要求情報を送信してきたルータ装置へ、取得したペア証明書情報を送信する。

ルータ装置１１の機能は、図１３に示したように、上記第１実施形態に係るルータ装置１１の機能から、ペア証明書用情報受信部６５、ペア証明書情報生成部６６及びペア証明書情報記憶部６７を除去するとともに、検証用ペア証明書情報取得部５１をペア証明書情報取得部（ペア証明書情報取得手段）５１Ａに置換した機能である。なお、他のルータ装置１２〜１４のそれぞれも、ルータ装置１１の機能と同様の機能を有する。

ペア証明書情報取得部５１Ａは、メッセージ受信部４０から受け取ったメッセージ内のＡＳパス情報にて、隣接する２つのＡＳ番号の組（隣接ＡＳ番号ペア）をすべて抽出する。ペア証明書情報取得部５１Ａは、抽出した隣接ＡＳ番号ペアから、確認済接続情報記憶部５２が記憶している確認済接続情報のいずれとも一致しない組を、更に抽出する。

次いで、ペア証明書情報取得部５１Ａは、抽出した組のそれぞれに係る２つのＡＳ番号の組（接続ペア特定情報）を含むペア証明書要求情報をサーバ装置９０へ送信する。そして、ペア証明書情報取得部５１Ａは、送信したペア証明書要求情報に応じて、サーバ装置９０からペア証明書情報を受信する。更に、ペア証明書情報取得部５１Ａは、受信したペア証明書情報を検証用ペア証明書情報として、復号情報取得部５３へ送る。

次に、この通信制御システム１Ａの作動について具体的に述べる。
いま、図１２に示したように、自律システムＡＳ１と自律システムＡＳ２とが接続され、且つ、自律システムＡＳ２と自律システムＡＳ３とが接続されている状態を想定する。この状態において、アドレス・プリフィックスとして「１９２．１６８．４．０／２４」を有する自律システムＡＳ４を自律システムＡＳ３に接続する場合について説明する。

この場合、ルータ装置１４は、アドレス・プリフィックス「１９２．１６８．４．０／２４」及びＡＳパス情報「４」を含む経路情報を含むメッセージをルータ装置１３へ送信する。

更に、ルータ装置１４は、ＡＳ番号「３」及びＡＳ番号「４」を連結した情報（暗号化前情報）を、所属自律システムＡＳ４に固有の秘密鍵（第３の秘密鍵）に基づいて暗号化することにより、ペア証明書用情報「３−４」を生成する。そして、ルータ装置１４は、生成したペア証明書用情報「３−４」と接続ペア特定情報（「３」及び「４」の組）とをサーバ装置９０へ送信する。

これにより、サーバ装置９０は、ペア証明書用情報「３−４」と接続ペア特定情報（「３」及び「４」の組）とを対応付けて記憶する。

そして、ルータ装置１３は、ルータ装置１４からメッセージを受信する。次いで、ルータ装置１３は、受信したメッセージ内のＡＳパス情報にて、隣接する２つのＡＳ番号の組（隣接ＡＳ番号ペア）をすべて抽出する。この状態においては、隣接ＡＳ番号ペアは存在しない。

従って、ルータ装置１３は、受信したメッセージ内のＡＳパス情報「４」の先頭に所属自律システムＡＳ３のＡＳ番号「３」を追加したＡＳパス情報「３，４」を生成する。そして、ルータ装置１３は、受信したメッセージ内のアドレス・プリフィックス「１９２．１６８．４．０／２４」及び生成したＡＳパス情報「３，４」を含む経路情報を含むメッセージをルータ装置１２へ送信する。

更に、ルータ装置１３は、ＡＳ番号「３」及びＡＳ番号「４」を連結した情報（暗号化前情報）を、所属自律システムＡＳ３に固有の秘密鍵（第３の秘密鍵）に基づいて暗号化することにより、ペア証明書用情報「３−４」を生成する。そして、ルータ装置１３は、生成したペア証明書用情報「３−４」と接続ペア特定情報（「３」及び「４」の組）とをサーバ装置９０へ送信する。

加えて、ルータ装置１３は、ＡＳ番号「２」及びＡＳ番号「３」を連結した情報（暗号化前情報）を、所属自律システムＡＳ３に固有の秘密鍵（第３の秘密鍵）に基づいて暗号化することにより、ペア証明書用情報「２−３」を生成する。そして、ルータ装置１３は、生成したペア証明書用情報「２−３」と接続ペア特定情報（「２」及び「３」の組）とをサーバ装置９０へ送信する。

これにより、サーバ装置９０は、ペア証明書用情報「３−４」と接続ペア特定情報（「３」及び「４」の組）とを対応付けて記憶する。更に、サーバ装置９０は、ペア証明書用情報「２−３」と接続ペア特定情報（「２」及び「３」の組）とを対応付けて記憶する。

その結果、サーバ装置９０において、同一の接続ペア特定情報（「３」及び「４」の組）に対応付けて記憶されているペア証明書用情報が２つ存在するようになる。従って、サーバ装置９０は、それらのペア証明書用情報（ルータ装置１４から受信したペア証明書用情報「３−４」及びルータ装置１３から受信したペア証明書用情報「３−４」）と、その接続ペア特定情報と、からペア証明書情報「３−４」を生成する。

そして、サーバ装置９０は、生成したペア証明書情報「３−４」と、そのペア証明書情報に含まれる接続ペア特定情報（「３」及び「４」の組）と、を対応付けてペア証明書情報ＤＢ内に蓄積する。

次に、ルータ装置１２は、ルータ装置１３からメッセージを受信する。そして、ルータ装置１２は、受信したメッセージ内のＡＳパス情報にて、隣接する２つのＡＳ番号の組（隣接ＡＳ番号ペア）をすべて抽出する。この状態においては、隣接ＡＳ番号ペア（「３」及び「４」の組）が抽出される。

そして、ルータ装置１２は、抽出した組のそれぞれに係る２つのＡＳ番号の組（隣接ＡＳ番号ペア（「３」及び「４」の組））を含むペア証明書要求情報をサーバ装置９０へ送信する。

これにより、サーバ装置９０は、ルータ装置１２からのペア証明書要求情報に含まれる隣接ＡＳ番号ペア（即ち、接続ペア特定情報、ここでは、「３」及び「４」の組）と同一の接続ペア特定情報に対応付けて記憶されているペア証明書情報「３−４」を取得する。そして、サーバ装置９０は、ペア証明書要求情報を送信してきたルータ装置１２へ、取得したペア証明書情報「３−４」を送信する。

これにより、ルータ装置１２は、送信したペア証明書要求情報に応じて、サーバ装置９０からペア証明書情報「３−４」を受信する。更に、ルータ装置１２は、受信したペア証明書情報「３−４」と、記憶している公開鍵と、に基づいて、自律システムＡＳ３と自律システムＡＳ４とが接続されているか否かを判定する。

この状態においては、ペア証明書情報に含まれる２つの証明書用情報は、ルータ装置１３及びルータ装置１４のそれぞれによって生成されている。従って、ルータ装置１２は、自律システムＡＳ３と自律システムＡＳ４とが接続されていると判定する。次いで、ルータ装置１２は、隣接ＡＳ番号ペア（「３」及び「４」の組）を確認済接続情報として記憶する。

そして、ルータ装置１２は、受信したメッセージ内のＡＳパス情報「３，４」の先頭に所属自律システムＡＳ２のＡＳ番号「２」を追加したＡＳパス情報「２，３，４」を生成する。そして、ルータ装置１２は、受信したメッセージ内のアドレス・プリフィックス「１９２．１６８．４．０／２４」及び生成したＡＳパス情報「２，３，４」を含む経路情報を含むメッセージをルータ装置１１へ送信する。

なお、自律システムＡＳ３と自律システムＡＳ４とが接続されていないと判定した場合又はサーバ装置９０からペア証明書情報「３−４」を受信しなかった場合、ルータ装置１２は、ＡＳパス情報「２，３，４」を含む経路情報を含むメッセージをルータ装置１１へ送信しない。

更に、ルータ装置１２は、ペア証明書用情報「２−３」と接続ペア特定情報（「２」及び「３」の組）とをサーバ装置９０へ送信する。加えて、ルータ装置１２は、ペア証明書用情報「１−２」と接続ペア特定情報（「１」及び「２」の組）とをサーバ装置９０へ送信する。

これにより、サーバ装置９０は、記憶している２つのペア証明書用情報（ルータ装置１３から受信したペア証明書用情報「２−３」及びルータ装置１２から受信したペア証明書用情報「２−３」）と、その接続ペア特定情報と、からペア証明書情報「２−３」を生成する。そして、サーバ装置９０は、生成したペア証明書情報「２−３」と、そのペア証明書情報に含まれる接続ペア特定情報（「２」及び「３」の組）と、を対応付けてペア証明書情報ＤＢ内に蓄積する。

次に、ルータ装置１１は、ルータ装置１２からメッセージを受信する。そして、ルータ装置１１は、受信したメッセージ内のＡＳパス情報にて、隣接する２つのＡＳ番号の組（隣接ＡＳ番号ペア）をすべて抽出する。この状態においては、隣接ＡＳ番号ペア（「２」及び「３」の組、並びに、「３」及び「４」の組）が抽出される。

そして、ルータ装置１２は、抽出した組のそれぞれに係る２つのＡＳ番号の組を含むペア証明書要求情報（即ち、「２」及び「３」の組を含むペア証明書要求情報、並びに、「３」及び「４」の組を含むペア証明書要求情報）をサーバ装置９０へ送信する。これにより、サーバ装置９０は、ペア証明書情報「２−３」及びペア証明書情報「３−４」をルータ装置１１へ送信する。

そして、ルータ装置１１は、受信したペア証明書情報「２−３」及びペア証明書情報「３−４」と、記憶している公開鍵と、に基づいて、自律システムＡＳ２と自律システムＡＳ３との間の接続の正当性及び自律システムＡＳ３と自律システムＡＳ４との間の接続の正当性を検証する。

以上、説明したように、本発明による通信制御装置の第３実施形態によれば、ＵＰＤＡＴＥメッセージの処理機能が拡張されていないルータ装置が通信経路上に存在する場合であっても、ＵＰＤＡＴＥメッセージの処理機能が拡張されたルータ装置間で、ペア証明書情報をサーバ装置９０を介して授受することができる。このように、上記構成によれば、自律システム間の接続の正当性をペア証明書情報を用いて検証する機能を、既存のシステムにおいて容易に実現することができる。

なお、本発明は上記各実施形態に限定されることはなく、本発明の範囲内において種々の変形例を採用することができる。例えば、上記各実施形態は、ペア証明書情報が、暗号化前情報を第１の秘密鍵に基づいて暗号化したペア証明書用情報と、暗号化前情報を第２の秘密鍵に基づいて暗号化したペア証明書用情報と、を含むように構成されていたが、ペア証明書情報が、暗号化前情報を第１の秘密鍵に基づいて暗号化したペア証明書用情報を、更に、第２の秘密鍵に基づいて暗号化した情報を含むように構成されていてもよい。

また、上記各実施形態は、ペア証明書情報が２つのＡＳ番号の組を含むように構成されていたが、ペア証明書情報がこの２つのＡＳ番号の組を含まないように構成されていてもよい。この場合、上記各実施形態は、第１の復号情報と第２の復号情報とが一致している場合に、２つの自律システムが接続されていると判定するように構成されることが好適である。

更に、上記各実施形態は、１つの自律システムが１つのルータ装置のみを含むように構成されていたが、１つの自律システムが複数のルータ装置を含むように構成されていてもよい。
加えて、上記各実施形態においては、各ルータ装置が判定処理を行うように構成されていたが、各ルータ装置と通信可能に接続された外部装置が判定処理を行うように構成されていてもよい。

また、上記各実施形態は、確認済接続情報として記憶されているＡＳ番号の組に係る判定処理（そのＡＳ番号の組が表す２つの自律システムが互いに接続されているか否かのペア証明書情報に基づく判定）を行わないように構成されていたが、その判定処理を行うように構成されていてもよい。

本発明は、インターネット・サービス・プロバイダにおいて使用されるルータ装置等に適用可能である。

本発明に関連する通信制御システムの作動の概略を表す図である。 本発明に関連する通信制御システムの作動の概略を表す図である。 本発明に関連する通信制御システムの作動の概略を表す図である。 本発明の第１実施形態に係る通信制御システムの概略構成を表す図である。 図４に示したルータ装置の概略構成を表す図である。 図４に示したルータ装置の機能の概略を表すブロック図である。 本発明の第１実施形態に係る通信制御システムの概略構成を表す図である。 図４に示したルータ装置のＣＰＵが実行する接続処理プログラムを示したフローチャートである。 図４に示したルータ装置のＣＰＵが実行するメッセージ送信プログラムを示したフローチャートである。 図４に示したルータ装置のＣＰＵが実行するメッセージ受信プログラムを示したフローチャートである。 図４に示したルータ装置のＣＰＵが実行するパケット転送プログラムを示したフローチャートである。 本発明の第３実施形態に係る通信制御システムの概略構成を表す図である。 本発明の第３実施形態に係るルータ装置の機能の概略を表すブロック図である。

符号の説明

１ 通信制御システム
１Ａ 通信制御システム
１１〜１５ ルータ装置
１１ａ〜１５ａ ＣＰＵ
１１ｃ〜１５ｃ ＨＤＤ
１１ｄ〜１５ｄ インターフェース部
１１ｄ１〜１５ｄ８ 通信用カード
２０ 経路管理部
２１ 経路情報記憶部
２２ 経路表生成部
３０ パケット転送部
４０ メッセージ受信部
５０ 接続判定部
５１ 検証用ペア証明書情報取得部
５１Ａ ペア証明書情報取得部
５２ 確認済接続情報記憶部
５３ 復号情報取得部
５４ 公開鍵記憶部
５５ 公開鍵取得部
５６ 判定処理実行部
５７ 確認済受信情報取得部
６０ ペア証明書情報管理部
６１ 接続ペア特定情報生成部
６２ 秘密鍵保持部
６３ ペア証明書用情報取得部
６４ ペア証明書用情報送信部
６５ ペア証明書用情報受信部
６６ ペア証明書情報生成部
６７ ペア証明書情報記憶部
７０ メッセージ生成部
８０ メッセージ送信部
９０ サーバ装置
ＡＳ１〜ＡＳ５ 自律システム
ＡＳ９１〜ＡＳ９４ 自律システム
９０１〜９０４ 通信制御装置

Claims (13)

1. 自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する通信制御装置であって、
   前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備えると共に、
   前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する経路情報受信手段と、
   前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定手段が前記第１の自律システムと前記第２の自律システムとが接続されていると判定した場合に送信し一方当該接続判定手段が当該第１の自律システムと当該第２の自律システムとが接続されていないと判定した場合に送信しない経路情報送信手段と、
   前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することにより第１のペア証明書用情報を取得するペア証明書用情報取得手段と、
   前記送信元自律システムが第４の秘密鍵に基づいて前記接続ペア特定情報を暗号化した第２のペア証明書用情報を受信するペア証明書用情報受信手段と、
   前記取得した第１のペア証明書用情報と、前記受信した第２のペア証明書用情報と、を含む情報を前記ペア証明書情報として生成するペア証明書情報生成手段と、
   を備える通信制御装置。
2. 請求項１に記載の通信制御装置であって、
   前記生成したペア証明書情報を前記送信先自律システムへ送信するペア証明書情報送信手段を備える通信制御装置。
3. 請求項２に記載の通信制御装置であって、
   前記ペア証明書情報送信手段は、前記送信したペア証明書情報が生成される基となった前記接続ペア特定情報と、そのペア証明書情報の送信先の自律システムを表す送信先情報と、を対応づけて記憶するとともに、当該記憶されている送信先情報が表す自律システムへの、その送信先情報に対応づけて記憶されている接続ペア特定情報に基づいて生成されるペア証明書情報の送信を抑制するように構成された通信制御装置。
4. 請求項１乃至請求項３のいずれか一項に記載の通信制御装置であって、
   前記送信元自律システムから前記ペア証明書情報を受信するペア証明書情報受信手段を備え、
   前記接続判定手段は、前記受信したペア証明書情報に基づいて前記判定処理を行うように構成された通信制御装置。
5. 請求項４に記載の通信制御装置であって、
   前記受信したペア証明書情報を前記送信先自律システムへ送信するペア証明書情報転送手段を備える通信制御装置。
6. 自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する通信制御装置であって、
   前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備えると共に、
   前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する経路情報受信手段と、
   前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定手段が前記第１の自律システムと前記第２の自律システムとが接続されていると判定した場合に送信し一方当該接続判定手段が当該第１の自律システムと当該第２の自律システムとが接続されていないと判定した場合に送信しない経路情報送信手段と、
   前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することによりペア証明書用情報を取得するペア証明書用情報取得手段と、
   前記ペア証明書情報を蓄積して記憶するペア証明書情報記憶手段にペア証明書情報を生成させるために前記取得したペア証明書用情報を送信するペア証明書用情報送信手段と、
   を備える通信制御装置。
7. 請求項６に記載の通信制御装置であって、
   前記ペア証明書情報記憶手段に記憶されているペア証明書情報を取得するペア証明書情報取得手段を備える通信制御装置。
8. 互いに接続された複数の自律システムと、当該複数の自律システムのそれぞれに少なくとも１つ含まれる通信制御装置と、を備える通信制御システムであって、
   前記通信制御装置は、当該通信制御装置を含む自律システムである所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信するように構成され、
   前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備えると共に、
   前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する経路情報受信手段と、
   前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定手段が前記第１の自律システムと前記第２の自律システムとが接続されていると判定した場合に送信し一方当該接続判定手段が当該第１の自律システムと当該第２の自律システムとが接続されていないと判定した場合に送信しない経路情報送信手段と、
   前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することにより第１のペア証明書用情報を取得するペア証明書用情報取得手段と、
   前記送信元自律システムが第４の秘密鍵に基づいて前記接続ペア特定情報を暗号化した第２のペア証明書用情報を受信するペア証明書用情報受信手段と、
   前記取得した第１のペア証明書用情報と、前記受信した第２のペア証明書用情報と、を含む情報を前記ペア証明書情報として生成するペア証明書情報生成手段と、
   を備える通信制御システム。
9. 互いに接続された複数の自律システムと、当該複数の自律システムのそれぞれに少なくとも１つ含まれる通信制御装置と、を備える通信制御システムであって、
   前記通信制御装置は、当該通信制御装置を含む自律システムである所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信するように構成され、
   前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を備えると共に、
   前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する経路情報受信手段と、
   前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定手段が前記第１の自律システムと前記第２の自律システムとが接続されていると判定した場合に送信し一方当該接続判定手段が当該第１の自律システムと当該第２の自律システムとが接続されていないと判定した場合に送信しない経路情報送信手段と、
   前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することによりペア証明書用情報を取得するペア証明書用情報取得手段と、
   前記ペア証明書情報を蓄積して記憶するペア証明書情報記憶手段にペア証明書情報を生成させるために前記取得したペア証明書用情報を送信するペア証明書用情報送信手段と、
   を備える通信制御システム。
10. 自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する通信制御装置に、
    前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を実現させると共に、
    前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する経路情報受信手段と、
    前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定手段が前記第１の自律システムと前記第２の自律システムとが接続されていると判定した場合に送信し一方当該接続判定手段が当該第１の自律システムと当該第２の自律システムとが接続されていないと判定した場合に送信しない経路情報送信手段と、
    前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することにより第１のペア証明書用情報を取得するペア証明書用情報取得手段と、
    前記送信元自律システムが第４の秘密鍵に基づいて前記接続ペア特定情報を暗号化した第２のペア証明書用情報を受信するペア証明書用情報受信手段と、
    前記取得した第１のペア証明書用情報と、前記受信した第２のペア証明書用情報と、を含む情報を前記ペア証明書情報として生成するペア証明書情報生成手段と、
    を実現させるためのプログラム。
11. 自律システムの１つである所属自律システムに含まれるとともに、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信する通信制御装置に、
    前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定手段を実現させると共に、
    前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する経路情報受信手段と、
    前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定手段が前記第１の自律システムと前記第２の自律システムとが接続されていると判定した場合に送信し一方当該接続判定手段が当該第１の自律システムと当該第２の自律システムとが接続されていないと判定した場合に送信しない経路情報送信手段と、
    前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することによりペア証明書用情報を取得するペア証明書用情報取得手段と、
    前記ペア証明書情報を蓄積して記憶するペア証明書情報記憶手段にペア証明書情報を生成させるために前記取得したペア証明書用情報を送信するペア証明書用情報送信手段と、
    を実現させるためのプログラム。
12. 自律システムの１つである所属自律システムに含まれる通信制御装置を、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信させるための通信制御方法であって、
    前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定工程を含むと共に、
    前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する工程と、
    前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定工程にて前記第１の自律システムと前記第２の自律システムとが接続されていると判定された場合に送信し一方当該接続判定工程にて当該第１の自律システムと当該第２の自律システムとが接続されていないと判定された場合に送信しない経路情報送信工程と、を含み、
    さらに、前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することにより第１のペア証明書用情報を取得するペア証明書用情報取得工程と、
    前記送信元自律システムが第４の秘密鍵に基づいて前記接続ペア特定情報を暗号化した第２のペア証明書用情報を受信するペア証明書用情報受信工程と、
    前記取得した第１のペア証明書用情報と、前記受信した第２のペア証明書用情報と、を含む情報を前記ペア証明書情報として生成するペア証明書情報生成工程と、
    を含む通信制御方法。
13. 自律システムの１つである所属自律システムに含まれる通信制御装置を、当該所属自律システム以外のある自律システムが有する１つ又は複数のアドレスへの通信経路を表す経路情報であってその通信経路上に存在する自律システムを識別する自律システム識別情報を含む経路情報に基づいて、当該所属自律システムに接続された自律システムと通信させるための通信制御方法であって、
    前記経路情報が表す前記通信経路上に存在し且つ当該通信経路にて互いに隣接する第１の自律システム及び第２の自律システムの組を特定する接続ペア特定情報に基づいて生成されたペア証明書情報に基づいて、当該第１の自律システムと当該第２の自律システムとが接続されているか否かを判定する判定処理を行う接続判定工程を含むと共に、
    前記所属自律システムに接続された自律システムの１つである送信元自律システムから前記経路情報を受信する経路情報受信工程と、
    前記受信した経路情報に前記所属自律システムを識別する自律システム識別情報を追加した経路情報を、前記所属自律システムに接続された自律システムのうちの前記送信元自律システム以外の１つである送信先自律システムへ、前記接続判定工程にて前記第１の自律システムと前記第２の自律システムとが接続されていると判定された場合に送信し一方当該接続判定工程にて当該第１の自律システムと当該第２の自律システムとが接続されていないと判定された場合に送信しない経路情報送信工程と、を含み、
    さらに、前記送信元自律システム及び前記所属自律システムの組を特定する接続ペア特定情報を第３の秘密鍵に基づいて暗号化することによりペア証明書用情報を取得するペア証明書用情報取得工程と、
    前記ペア証明書情報を蓄積して記憶するペア証明書情報記憶手段にペア証明書情報を生成させるために前記取得したペア証明書用情報を送信するペア証明書用情報送信工程と、
    を含む通信制御方法。
    

Images