JP5380710B2 - 通信制御装置 - Google Patents

Description

本発明は、通信制御技術に関し、特に、通信データを制御する通信制御装置に関する。

インターネットのインフラが整備され、携帯電話端末、パーソナルコンピュータ、ＶｏＩＰ（Voice over Internet Protocol）電話端末などの通信端末が広く普及した現在、インターネットの利用者は爆発的に増加している。このような状況下、コンピュータウイルス、ハッキング、スパムメールなど、セキュリティに関する問題が顕在化しており、通信を適切に制御する技術が求められている。

インターネットを利用して、膨大な情報に容易にアクセスすることができるようになったが、有害な情報が氾濫してきているのも事実であり、有害な情報の発信元に対する規制が追いつかない状況にある。誰もが安心して効果的にインターネットを利用する環境を整えるために、有害なコンテンツに対するアクセスを適切に制御する技術が求められる。
国際公開ＷＯ２００６−０８７８３２号パンフレット

本出願人は、特許文献１において、高速な通信制御を実現する技術を提案している。しかし、本出願人は、通信制御技術の更なる改良を目指した開発を続け、全く新しい手法による通信制御を実現する技術を想到するに至った。

本発明はこうした状況に鑑みてなされたものであり、その目的は、通信データを適切に制御する技術の提供にある。

本発明のある態様は、通信制御装置に関する。この通信制御装置は、ネットワークから受信した信号をデータ列に変換する受信部と、通信データを制御する方法を判断する基準となる基準データと、その基準データを含む通信データを制御する方法とを対応づけて格納したデータベースと、前記受信部が取得した通信データに含まれる基準データを前記データベースから検索する検索回路と、前記検索回路の検索結果に応じて、前記通信データを制御する方法を前記データベースから取得し、その方法にしたがって前記通信データを制御する処理実行回路と、前記処理実行回路から出力された通信データを信号に変換してネットワークへ送出する送信部と、前記受信部に接続され、通信制御に必要な情報を、他の通信装置との間で送受信する仮想通信部と、前記受信部及び仮想通信部に接続され、通信相手である他の通信装置のＩＰアドレスを確認する判定部と、を備え、前記受信部は、宛先のアドレスが自装置のアドレスであるか否かを確認する処理を省略して、ネットワークを流れる通信データを抜き出し、取得した通信データを前記判定部へ供給し、前記判定部は前記受信部が受信した通信データを、前記検索回路へ供給せずに、前記仮想通信部へ送り、前記仮想通信部は、自装置に割り当てられたＩＰアドレス又はＭＡＣアドレスを有さず、他の装置との間で通信を行う際に、自装置よりも下流のネットワークに接続された装置のＩＰアドレスを仮想的に自装置のＩＰアドレスに設定して、仮想的に設定された自装置のＩＰアドレスを前記判定部に送り、また、仮想通信部は、判定部から送られた通信データを処理して、処理された通信データを前記検索回路へ投入する一方、他の通信装置へ通信データを送信する場合は、送信元のＩＰアドレスに仮想ＩＰアドレスを設定し、送信部を介してネットワークへ送出する、ことを特徴とする。

前記受信部は、前記通信データの着信に要するプロトコル処理を省略して、前記通信データを前記検索回路へ供給してもよい。

前記受信部は、取得した通信データを受信バッファに蓄積せずに、そのまま前記検索回路へ供給してもよい。

前記送信部は、前記通信データを送信すべき相手の装置のアドレスを取得して前記通信データの宛先のアドレスに設定する処理を省略して、宛先のアドレスを変更せずにネットワークへ送出してもよい。

自装置に割り当てられたＩＰアドレス又はＭＡＣアドレスを有しなくてもよい。他の装置との間で通信を行う際に、自装置よりも下流のネットワークに接続された装置のＩＰアドレスを仮想的に自装置のＩＰアドレスに設定して通信を行ってもよい。

前記判定部は、前記受信部が取得した通信データのうち、前記特定のプロトコルの通信データであって、送信先のＩＰアドレスが、仮想的に設定された自装置のＩＰアドレスに一致する通信データを判定して前記仮想通信部へ送るようにしてもよい。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、通信データを適切に制御する技術を提供することができる。

前提技術に係る通信制御システムの構成を示す図である。 従来の通信制御装置の構成を示す図である。 前提技術に係る通信制御装置の構成を示す図である。 パケット処理回路の内部構成を示す図である。 位置検出回路の内部構成を示す図である。 第１データベースの内部データの例を示す図である。 第１データベースの内部データの別の例を示す図である。 第１データベースの内部データのさらに別の例を示す図である。 バイナリサーチ回路に含まれる比較回路の構成を示す図である。 第２データベースの内部データの例を示す図である。 第２データベースの内部データの別の例を示す図である。 前提技術に係る通信制御装置の別の構成例を示す図である。 実施の形態に係る通信制御装置の構成を示す図である。 実施の形態に係る通信制御技術を説明するための概念図である。 実施の形態に係る通信制御装置の別の構成例を示す図である。 実施の形態に係る通信制御技術を説明するための概念図である。

符号の説明

５ａ ＰＨＹ処理部、５ｂ ＰＨＹ処理部、１０ 通信制御装置、１２ 通信制御ユニット、１４ 切替制御部、２０ パケット処理回路、３０ 検索回路、３２ 位置検出回路、３３ 比較回路、３４ インデックス回路、３５ 比較回路、３６ バイナリサーチ回路、４０ 処理実行回路、５０ 第１データベース、６０ 第２データベース、１００ 通信制御システム、１１０ 運用監視サーバ、１２０ 接続管理サーバ、１３０ メッセージ出力サーバ、１４０ ログ管理サーバ、１５０ データベースサーバ、１６０ ＵＲＬデータベース、５０２ 通信装置、５０４ 通信装置、５１０ 判定部、５２０ 仮想通信装置。

（前提技術）
まず、前提技術として、通信制御装置と、その周辺装置の構成及び動作の概要について説明する。

図１は、前提技術に係る通信制御システムの構成を示す。通信制御システム１００は、通信制御装置１０と、通信制御装置１０の動作を支援するために設けられた各種の周辺装置を含む。前提技術の通信制御装置１０は、インターネットサービスプロバイダなどにより提供されるＵＲＬフィルタリング機能を実現する。ネットワークの経路に設けられた通信制御装置１０は、コンテンツに対するアクセス要求を取得して、その内容を解析し、コンテンツに対するアクセスの許否を判断する。コンテンツに対するアクセスが許可される場合は、通信制御装置１０は、そのアクセス要求を、コンテンツを保持するサーバへ送出する。コンテンツに対するアクセスが禁止される場合は、通信制御装置１０は、そのアクセス要求を破棄し、要求元に対して警告メッセージなどを返信する。前提技術では、通信制御装置１０は、ＨＴＴＰ（HyperText Transfer Protocol）の「ＧＥＴ」リクエストメッセージ等のアクセス要求を受信し、アクセス先のコンテンツのＵＲＬが、アクセスの許否を判断するための基準データのリストに合致するか否かを検索して、コンテンツに対するアクセスの許否を判断する。

周辺装置は、運用監視サーバ１１０、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、及びデータベースサーバ１５０を含む。接続管理サーバ１２０は、通信制御装置１０に対する接続を管理する。接続管理サーバ１２０は、例えば、携帯電話端末から送出されたパケットを通信制御装置１０で処理する際に、パケットに含まれる携帯電話端末を一意に識別する情報を用いて、通信制御装置１０のユーザであることを認証する。いったん認証されると、その携帯電話端末に一時的に付されたＩＰアドレスから送出されたパケットは、一定の期間は接続管理サーバ１２０で認証せずに通信制御装置１０へ送られて処理される。メッセージ出力サーバ１３０は、通信制御装置１０により判定されたアクセスの許否の結果に応じて、アクセスの要求先又は要求元に対するメッセージを出力する。ログ管理サーバ１４０は、通信制御装置１０の運用履歴を管理する。データベースサーバ１５０は、ＵＲＬデータベース１６０から最新のデータベースを取得し、通信制御装置１０に入力する。通信制御装置１０の運用を止めずにデータベースを更新するために、通信制御装置１０はバックアップ用のデータベースを有してもよい。運用監視サーバ１１０は、通信制御装置１０と、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、データベースサーバ１５０などの周辺装置の運用状況を監視する。運用監視サーバ１１０は、通信制御システム１００の中で最も優先度が高く、通信制御装置１０及び全ての周辺装置の監視制御を行う。通信制御装置１０は、後述するように、専用のハードウェア回路により構成されるが、運用監視サーバ１１０は、本出願人による特許第３０４１３４０号などの技術を利用して、バウンダリスキャン回路を利用して監視のためのデータを通信制御装置１０などとの間で入出力することにより、通信制御装置１０の運用中にも運用状況を監視することができる。

前提技術の通信制御システム１００は、以下に説明するように、高速化のために専用のハードウェア回路により構成された通信制御装置１０を、周辺に接続された各種の機能を有するサーバ群により制御する構成とすることにより、サーバ群のソフトウェアを適当に入れ替えることで、同様の構成により各種の機能を実現することができる。前提技術によれば、このような柔軟性の高い通信制御システムを提供することができる。

図２は、従来の通信制御装置１の構成を示す。従来の通信制御装置１は、受信側の通信制御部２と、パケット処理部３と、送出側の通信制御部４とを備える。通信制御部２及び４は、それぞれ、パケットの物理層の処理を行うＰＨＹ処理部５ａ及び５ｂと、パケットのＭＡＣ層の処理を行うＭＡＣ処理部６ａ及び６ｂとを備える。パケット処理部３は、ＩＰ（Internet Protocol）のプロトコル処理を行うＩＰ処理部７、ＴＣＰ（Transport Control Protocol）のプロトコル処理を行うＴＣＰ処理部８など、プロトコルに応じた処理を行うプロトコル処理部と、アプリケーション層の処理を行うＡＰ処理部９とを備える。ＡＰ処理部９は、パケットに含まれるデータに応じて、フィルタリングなどの処理を実行する。

従来の通信制御装置１では、パケット処理部３は、汎用プロセッサであるＣＰＵと、ＣＰＵ上で動作するＯＳとを利用して、ソフトウェアにより実現されていた。しかしながら、このような構成では、通信制御装置１の性能はＣＰＵの性能に依存することになり、高速に大容量のパケットを処理可能な通信制御装置を実現しようとしても、自ずと限界がある。例えば、６４ビットのＣＰＵであれば、一度に同時に処理可能なデータ量は最大で６４ビットであり、それ以上の性能を有する通信制御装置は存在しなかった。また、汎用的な機能を有するＯＳの存在を前提としていたので、セキュリティホールなどが存在する可能性が絶無ではなく、ＯＳのバージョンアップなどのメンテナンス作業を必要としていた。

図３は、前提技術の通信制御装置の構成を示す。通信制御装置１０は、図２に示した従来の通信制御装置１においてはＣＰＵ及びＯＳを含むソフトウェアにより実現されていたパケット処理部３に代えて、ワイヤードロジック回路による専用のハードウェアにより構成されたパケット処理回路２０を備える。汎用処理回路であるＣＰＵにおいて動作するＯＳとソフトウェアにより通信データを処理するのではなく、通信データを処理するための専用のハードウェア回路を設けることにより、ＣＰＵやＯＳなどに起因する性能の限界を克服し、処理能力の高い通信制御装置を実現することが可能となる。

例えば、パケットフィルタリングなどを実行するために、パケットに含まれるデータに、フィルタリングの判断基準となる基準データが含まれるか否かを検索する場合に、ＣＰＵを用いて通信データと基準データを比較すると、一度に高々６４ビットしか比較することができず、処理速度を向上させようとしてもＣＰＵの性能で頭打ちになるという問題があった。ＣＰＵでは、通信データから６４ビットをメモリへ読み上げ、基準データとの比較を行い、つづいて、次の６４ビットをメモリへ読み上げる、という処理を何度も繰り返し行う必要があるので、メモリへの読み上げ時間が律速となり、処理速度に限界がある。

それに対し、前提技術では、通信データと基準データとを比較するために、ワイヤードロジック回路により構成された専用のハードウェア回路を設ける。この回路は、６４ビットよりも長いデータ長、例えば、１０２４ビットのデータ長の比較を可能とするために、並列に設けられた複数の比較器を含む。このように、専用のハードウェアを設けることにより、同時に並列して多数のビットマッチングを実行することができる。従来のＣＰＵを用いた通信制御装置１では一度に６４ビットしか処理できなかったところを、一度に１０２４ビットの処理を可能にすることで、飛躍的に処理速度を向上させることができる。比較器の数を多くすれば処理能力も向上するが、コストやサイズも増大するので、所望の処理性能と、コスト、サイズ、などを考慮して、最適なハードウェア回路を設計すればよい。専用のハードウェア回路は、ＦＰＧＡ（Field Programmable Gate Array）などを用いて実現されてもよい。

また、前提技術の通信制御装置１０は、ワイヤードロジック回路による専用のハードウェアにより構成されるので、ＯＳ（Operating System）を必要としない。このため、ＯＳのインストール、バグ対応、バージョンアップなどの作業が必要なく、管理やメンテナンスのためのコストや工数を低減させることができる。また、汎用的な機能が求められるＣＰＵとは異なり、不必要な機能を包含していないので、余計なリソースを用いることがなく、低コスト化、回路面積の低減、処理速度の向上などが望める。さらに、ＯＳを利用していた従来の通信制御装置とは異なり、余分な機能を有しないので、セキュリティホールなどが発生する可能性が低く、ネットワークを介した悪意ある第三者からの攻撃に対する耐性に優れている。

従来の通信制御装置１は、ＣＰＵとＯＳを前提としたソフトウェアによりパケットを処理しており、パケットの全てのデータを受信してからプロトコル処理を行い、データがアプリケーションに渡される。それに対して、本前提技術の通信制御装置１０では、専用のハードウェア回路により処理を行うので、パケットの全てのデータを受信してから処理を開始する必要はなく、処理に必要なデータを受信すれば、後続のデータの受信を待たずに、任意の時点で処理を開始することができる。例えば、後述する位置検出回路における位置検出処理は、比較対象データの位置を特定するための位置特定データを受信した時点で開始することができる。このように、全てのデータの受信を待たずに様々な処理をフローティングで実行することができるので、パケットのデータを処理するのに要する時間を短縮することができる。

図４は、パケット処理回路の内部構成を示す。パケット処理回路２０は、通信データに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１データベース５０と、受信された通信データの中に基準データが含まれているか否かを、通信データと基準データとを比較することにより検索する検索回路３０と、検索回路３０による検索結果と通信データに対して実行する処理の内容とを対応づけて記憶する第２データベース６０と、検索回路３０による検索結果と第２データベース６０に記憶された条件とに基づいて通信データを処理する処理実行回路４０とを含む。

検索回路３０は、通信データの中から基準データと比較すべき比較対象データの位置を検出する位置検出回路３２と、第１データベース５０に記憶された基準データを３以上の範囲に分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路の一例であるインデックス回路３４と、判定された範囲の中で比較対象データと合致する基準データを検索するバイナリサーチ回路３６とを含む。比較対象データを基準データの中から検索する方法としては、任意の検索技術を利用可能であるが、前提技術ではバイナリサーチ法を用いる。

図５は、位置検出回路の内部構成を示す。位置検出回路３２は、比較対象データの位置を特定するための位置特定データと通信データとを比較するための複数の比較回路３３ａ〜３３ｆを含む。ここでは、６個の比較回路３３ａ〜３３ｆが設けられているが、後述するように、比較回路の個数は任意でよい。それぞれの比較回路３３ａ〜３３ｆには、通信データが、所定のデータ長、例えば、１バイトずつずらして入力される。そして、これら複数の比較回路３３ａ〜３３ｆにおいて、同時に並列して、検出すべき位置特定データと通信データとの比較がなされる。

前提技術においては、通信制御装置１０の動作を説明するための例として、通信データ中に含まれる「Ｎｏ． ＃＃＃」という文字列を検出し、その文字列中に含まれる数字「＃＃＃」を基準データと比較して、基準データに合致した場合はパケットの通過を許可し、合致しなかった場合はパケットを破棄する処理を行う場合について説明する。

図５の例では、通信データの中から、数字「＃＃＃」の位置を特定するための位置特定データ「Ｎｏ．」を検出するために、通信データ「０１Ｎｏ． ３６１・・・」を、１文字ずつずらして比較回路３３ａ〜３３ｆに入力している。すなわち、比較回路３３ａには「０１Ｎ」が、比較回路３３ｂには「１Ｎｏ」が、比較回路３３ｃには「Ｎｏ．」が、比較回路３３ｄには「ｏ． 」が、比較回路３３ｅには「． ３」が、比較回路３３ｆには「 ３６」が、それぞれ入力される。ここで、比較回路３３ａ〜３３ｆが同時に位置特定データ「Ｎｏ．」との比較を実行する。これにより、比較回路３３ｃがマッチし、通信データの先頭から３文字目に「Ｎｏ．」という文字列が存在することが検出される。こうして、位置検出回路３２により検出された位置特定データ「Ｎｏ．」の次に、比較対象データである数字のデータが存在することが検出される。

ＣＰＵにより同様の処理を行うならば、まず、文字列「０１Ｎ」を「Ｎｏ．」と比較し、続いて、文字列「１Ｎｏ」を「Ｎｏ．」と比較する、というように、先頭から順に１つずつ比較処理を実行する必要があるため、検出速度の向上は望めない。これに対し、前提技術の通信制御装置１０では、複数の比較回路３３ａ〜３３ｆを並列に設けることにより、ＣＰＵではなしえなかった同時並列的な比較処理が可能となり、処理速度を格段に向上させることができる。比較回路は多ければ多いほど同時に比較可能な位置が多くなるので、検出速度も向上するが、コスト、サイズ、などを考慮の上、所望の検出速度を得られるのに十分な数の比較回路を設ければよい。

位置検出回路３２は、位置特定データを検出するためだけでなく、汎用的に文字列を検出する回路として利用されてもよい。また、文字列だけでなく、ビット単位で位置特定データを検出するように構成されてもよい。

図６は、第１データベースの内部データの例を示す。第１データベース５０には、パケットのフィルタリング、ルーティング、スイッチング、置換などの処理の内容を決定するための基準となる基準データが、何らかのソート条件にしたがってソートされて格納されている。図６の例では、１０００個の基準データが記憶されている。

第１データベース５０の先頭のレコードには、通信データ中の比較対象データの位置を示すオフセット５１が格納されている。例えば、ＴＣＰパケットにおいては、パケット内のデータ構成がビット単位で定められているため、パケットの処理内容を決定するためのフラグ情報などの位置をオフセット５１として設定しておけば、必要なビットのみを比較して処理内容を決定することができるので、処理効率を向上させることができる。また、パケットのデータ構成が変更された場合であっても、オフセット５１を変更することで対応することができる。第１データベース５０には、比較対象データのデータ長を格納しておいてもよい。これにより、必要な比較器のみを動作させて比較を行うことができるので、検索効率を向上させることができる。

インデックス回路３４は、第１データベース５０に格納されている基準データを３以上の範囲５２ａ〜５２ｄに分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する。図６の例では、１０００個の基準データは、２５０個ずつ４つの範囲５２ａ〜５２ｄに分割されている。インデックス回路３４は、範囲の境界の基準データと比較対象データとを比較する複数の比較回路３５ａ〜３５ｃを含む。比較回路３５ａ〜３５ｃにより比較対象データと境界の基準データとを同時に並列して比較することにより、比較対象データがいずれの範囲に属するかを１度の比較処理で判定することができる。

インデックス回路３４の比較回路３５ａ〜３５ｃに入力される境界の基準データは、通信制御装置１０の外部に設けられた装置により設定されてもよいし、予め第１データベース５０の所定位置の基準データが自動的に入力されるようにしてもよい。後者の場合、第１データベース５０を更新しても、自動的に第１データベース５０の所定位置の基準データが比較回路３５ａ〜３５ｃに入力されるので、初期設定などを必要とせず、直ちに通信制御処理を実行させることができる。

前述したように、ＣＰＵによりバイナリサーチを実行する場合は、同時に複数の比較を実行することができないが、前提技術の通信制御装置１０では、複数の比較回路３５ａ〜３５ｃを並列に設けることにより、同時並列的な比較処理を可能とし、検索速度を格段に向上させることができる。

インデックス回路３４により範囲が判定されると、バイナリサーチ回路３６がバイナリサーチ法により検索を実行する。バイナリサーチ回路３６は、インデックス回路３４により判定された範囲をさらに２分割し、その境界位置にある基準データと比較対象データとを比較することにより、いずれの範囲に属するかを判定する。バイナリサーチ回路３６は、基準データと比較対象データとをビット単位で比較する比較回路を複数個、例えば前提技術では１０２４個含んでおり、１０２４ビットのビットマッチングを同時に実行する。２分割された範囲のいずれに属するかが判定されると、さらに、その範囲を２分割して境界位置にある基準データを読み出し、比較対象データと比較する。以降、この処理を繰り返すことにより範囲をさらに限定し、最終的に比較対象データと合致する基準データを検索する。

前述した例を用いてさらに詳細に動作を説明する。図５に示した通信データにおいて、位置特定データ「Ｎｏ．」につづく比較対象データは「３６１」という数字である。位置特定データ「Ｎｏ．」と比較対象データ「３６１」との間には１文字分のスペースが存在しているので、このスペースを比較対象データから除くために、オフセット５１が「８」ビットに設定されている。バイナリサーチ回路３６は、位置特定データ「Ｎｏ．」につづく通信データから、「８」ビット、すなわち１バイト分をスキップし、さらにつづく「３６１」を比較対象データとして読み込む。

インデックス回路３４の比較回路３５ａ〜３５ｃには、比較対象データとして「３６１」が入力され、基準データとして、比較回路３５ａには、範囲５２ａと５２ｂの境界にある基準データ「３７８」が、比較回路３５ｂには、範囲５２ｂと５２ｃの境界にある基準データ「７０４」が、比較回路３５ｃには、範囲５２ｃと５２ｄの境界にある基準データ「９３７」が、それぞれ入力される。比較回路３５ａ〜３５ｃにより同時に比較が行われ、比較対象データ「３６１」が範囲５２ａに属することが判定される。以降、バイナリサーチ回路３６が基準データの中に比較対象データ「３６１」が存在するか否かを検索する。

図７は、第１データベースの内部データの別の例を示す。図７に示した例では、基準データのデータ数が、第１データベース５０に保持可能なデータ数、ここでは１０００個よりも少ない。このとき、第１データベース５０には、最終データ位置から降順に基準データが格納される。そして、残りのデータには０が格納される。データベースのローディング方法として、先頭からデータを配置せずにローディングエリアの後方から配置し、ローディングエリア先頭に空きが生じた場合は全ての空きをゼロサプレスすることで、データーベースは常にフルの状態になり、バイナリー検索する場合の最大時間を一定にすることができる。また、バイナリサーチ回路３６は、検索中に基準データとして「０」を読み込んだときには、比較結果が自明であるから、比較を行わずに範囲を特定して、次の比較にうつることができる。これにより、検索速度を向上させることができる。

ＣＰＵによるソフトウェア処理においては、第１データベース５０に基準データを格納する際に、最初のデータ位置から昇順に基準データが格納される。残りのデータには、例えば最大値が格納されることになるが、この場合、バイナリサーチにおいて、上述したような比較処理の省略はできない。上述した比較技術は、専用のハードウェア回路により検索回路３０を構成したことにより実現される。

図８は、第１データベースの内部データのさらに別の例を示す。図８に示した例では、基準データを均等に３以上の範囲に分割するのではなく、範囲５２ａは５００個、範囲５２ｂは１００個というように、範囲に属する基準データの数が不均一になっている。これらの範囲は、通信データ中における基準データの出現頻度の分布に応じて設定されてもよい。すなわち、それぞれの範囲に属する基準データの出現頻度の和がほぼ同じになるように範囲が設定されてもよい。これにより、検索効率を向上させることができる。インデックス回路３４の比較回路３５ａ〜３５ｃに入力される基準データは、外部から変更可能になっていてもよい。これにより、範囲を動的に設定することができ、検索効率を最適化することができる。

図９は、バイナリサーチ回路に含まれる比較回路の構成を示す。前述したように、バイナリサーチ回路３６は、１０２４個の比較回路３６ａ、３６ｂ、・・・、を含む。それぞれの比較回路３６ａ、３６ｂ、・・・、には、基準データ５４と比較対象データ５６が１ビットずつ入力され、それらの大小が比較される。インデックス回路３４の各比較回路３５ａ〜３５ｃの内部構成も同様である。このように、専用のハードウェア回路で比較処理を実行することにより、多数の比較回路を並列して動作させ、多数のビットを同時に比較することができるので、比較処理を高速化することができる。

図１０は、第２データベースの内部データの例を示す。第２データベース６０は、検索回路３０による検索結果を格納する検索結果欄６２と、通信データに対して実行する処理の内容を格納する処理内容欄６４とを含み、検索結果と処理内容とを対応づけて保持する。図１０の例では、通信データに基準データが含まれている場合は、そのパケットの通過を許可し、含まれていない場合は、そのパケットを破棄するという条件が設定されている。処理実行回路４０は、検索結果に基づいて第２データベース６０から処理内容を検索し、通信データに対して処理を実行する。処理実行回路４０も、ワイヤードロジック回路により実現されてもよい。

図１１は、第２データベースの内部データの別の例を示す。図１１の例では、基準データごとに、処理内容が設定されている。パケットの置換を行う場合、置換先のデータを第２データベース６０に格納しておいてもよい。パケットのルーティングやスイッチングを行う場合、経路に関する情報を第２データベース６０に格納しておいてもよい。処理実行回路４０は、検索回路３０による検索結果に応じて、第２データベース６０に格納された、フィルタリング、ルーティング、スイッチング、置換などの処理を実行する。図１１のように、基準データごとに処理内容を設定する場合、第１データベース５０と第２データベース６０とを統合してもよい。

第１のデータベース及び第２のデータベースは、外部から書き換え可能に設けられる。これらのデータベースを入れ替えることにより、同じ通信制御装置１０を用いて、さまざまなデータ処理や通信制御を実現することができる。また、検索対象となる基準データを格納したデータベースを２以上設けて、多段階の検索処理を行ってもよい。このとき、検索結果と処理内容とを対応づけて格納したデータベースを２以上設けて、より複雑な条件分岐を実現してもよい。このように、データベースを複数設けて多段階の検索を行う場合に、位置検出回路３２、インデックス回路３４、バイナリサーチ回路３６などを複数設けてもよい。

上述した比較に用いられるデータは、同じ圧縮ロジックにより圧縮されてもよい。比較に際して、比較元のデータと比較先のデータが同じ方式で圧縮されていれば、通常と同様の比較が可能である。これにより、比較の際にローディングするデータ量を低減することができる。ローディングするデータ量が少なくなれば、メモリからデータを読み出すのに要する時間が短縮されるので、全体の処理時間も短縮することができる。また、比較器の量を削減することができるので、装置の小型化、軽量化、低コスト化に寄与することができる。比較に用いられるデータは、圧縮された形式で格納されていてもよいし、メモリから読み出した後、比較の前に圧縮されてもよい。

図１２は、前提技術の通信制御装置の別の構成例を示す。本図に示した通信制御装置１０は、図３に示した通信制御装置１０と同様の構成を備える通信制御ユニット１２を２つ有している。また、それぞれの通信制御ユニット１２の動作を制御する切替制御部１４が設けられている。それぞれの通信制御ユニット１２は、２つの入出力インタフェース１６を有しており、それぞれの入出力インタフェース１６を介して、上流側、下流側の２つのネットワークに接続されている。通信制御ユニット１２は、いずれか一方のネットワークから通信データを入力し、処理したデータを他方のネットワークに出力する。切替制御部１４は、それぞれの通信制御ユニット１２に設けられた入出力インタフェース１６の入出力を切り替えることにより、通信制御ユニット１２における通信データの流れの方向を切り替える。これにより、一方向だけではなく、双方向の通信制御が可能となる。

切替制御部１４は、通信制御ユニット１２の一方がインバウンド、他方がアウトバウンドのパケットを処理するように制御してもよいし、双方がインバウンドのパケットを処理するように制御してもよいし、双方がアウトバウンドのパケットを処理するように制御してもよい。これにより、例えばトラフィックの状況や目的などに応じて、制御する通信の方向を可変とすることができる。

切替制御部１４は、各通信制御ユニット１２の動作状況を取得し、その動作状況に応じて通信制御の方向を切り替えてもよい。例えば、一方の通信制御ユニット１２を待機状態として、他方の通信制御ユニット１２を動作させている場合に、その通信制御ユニット１２が故障などにより停止したことを検知したときに、代替として待機中の通信制御ユニット１２を動作させてもよい。これにより、通信制御装置１０のフォールトトレランスを向上させることができる。また、一方の通信制御ユニット１２に対して、データベースの更新などのメンテナンスを行うときに、他方の通信制御ユニット１２を代替として動作させてもよい。これにより、通信制御装置１０の運用を停止させずに、適切にメンテナンスを行うことができる。

通信制御装置１０に３以上の通信制御ユニット１２が設けられてもよい。切替制御部１４は、例えば、トラフィックの状況を取得して、通信量の多い方向の通信制御処理に、より多くの通信制御ユニット１２を割り当てるように、各通信制御ユニット１２の通信の方向を制御してもよい。これにより、ある方向の通信量が増加しても、通信速度の低下を最小限に抑えることができる。

なお、複数の通信制御ユニット１２の間で、通信制御部２又は４の一部が共用されてもよい。また、パケット処理回路２０の一部が共用されてもよい。

（実施の形態）
つづいて、上述した通信制御装置１０を利用した新しい通信制御技術について説明する。

図１３は、実施の形態に係る通信制御装置の構成を示す。本実施の形態の通信制御装置１０においては、図３に示した前提技術の通信制御装置１０の構成から、ＭＡＣ処理部６ａ及び６ｂが省略されている。その他の構成及び動作は、前提技術と同様である。

通信制御装置１０は、ＯＳＩ参照モデルの第１層である物理層のプロトコルを実装したＰＨＹ処理部５ａにより、ケーブルなどのネットワーク媒体から受信した電気信号をデータ列に変換すると、上位のプロトコル、すなわち、第２層のデータリンク層、第３層のネットワーク層、第４層のトランスポート層、第５層のセッション層、第６層のプレゼンテーション層、及び第７層のアプリケーション層に関する処理を省略して、データ列をパケット処理回路２０の検索回路３０へ直接供給する。つまり、受信した通信データの宛先のＭＡＣアドレスやＩＰアドレスの確認など、通信データの着信に必要な処理を省略し、全ての通信データを取り込んで検索回路３０へ供給する。

検索回路３０は、ＰＨＹ処理部５ａが受信したフレーム内の任意のデータにアクセスして、ビットマッチングにより検索を実行する。パケット処理回路２０は、通信データに対して、複製、転送、追加、削除、変更、圧縮、暗号化、復号化など、任意の編集処理を行って、通信データを出力する。パケット処理回路２０から出力された通信データは、宛先のＭＡＣアドレスを変更せずに、ＰＨＹ処理部５ｂからネットワークへ再送出される。

図１４は、実施の形態に係る通信制御技術を説明するための概念図である。通信制御装置１０は、通信装置５０２と通信装置５０４との間で送受信されている通信データを抜き出して、各種の通信制御を行う。通信装置５０２が通信装置５０４へ送信した通信データには、データリンク層における宛先のＭＡＣアドレスとして通信装置５０４のＭＡＣアドレスが設定されているが、通信制御装置１０は、宛先のＭＡＣアドレスを確認せずに通信データを取り込むので、通信装置５０４に宛てた通信データも取り込んで制御することができる。また、通信制御装置１０は、宛先のＭＡＣアドレスを変更せずにネットワークへ再送出するので、通信制御装置１０により処理された通信データは、そのまま元の宛先である通信装置５０４へ送信される。したがって、通信装置５０２及び５０４は、通信制御装置１０の存在を全く意識することなく、通常のプロトコルを用いて通信を行うことができる。図１４において、実際には、実線で示した経路により通信データが送受信されるが、通信装置５０２及び５０４からは、点線で示したように、お互いの間で直接通信を行っているように見えている。通信装置５０４から通信装置５０２へ送信される通信データについても同様である。

このように、本実施の形態の通信制御装置１０は、ＭＡＣアドレスやＩＰアドレスを確認せずに、ネットワークを流れる通信データを抜き出して制御し、通信制御装置１０にＭＡＣアドレスやＩＰアドレスを割り当てる必要がない。また、宛先のＭＡＣアドレスを書き換えずに、元の宛先のＭＡＣアドレスへ通信データを再送出するので、ネットワークの設定を複雑に変更することなく通信制御装置１０をネットワークへ導入することができる。

本実施の形態の通信制御装置１０では、ネットワークにおける通信速度と同等の速度で通信制御処理を完了できるように、検索回路３０の比較器の個数やメモリの容量などを設計している。したがって、受信したデータ列を受信バッファにいったん蓄積し、読み出しながら処理を行うのではなく、受信したデータ列を受信バッファに蓄積させず、そのまま即座に検索回路へ供給し、処理を行うことができる。

従来の通信制御装置は、例えば、プロトコル番号を参照してプロトコルの種別を判断し、プロトコルに応じた処理を行うが、本実施の形態の通信制御装置１０は、プロトコル処理を行わずに、フレーム内のデータに直接アクセスして通信制御を行うので、プロトコルに依存しない汎用的な通信制御を行うことができる。したがって、少量多品種の通信制御装置として利用可能である。

特定の通信装置に対して、その通信装置の機械的限界まで通信データを送りつけることにより、通信装置を動作停止に追い込む攻撃があるが、本実施の形態の通信制御装置１０は、アドレスを有しないので、攻撃者は通信制御装置１０に対して明示的に通信データを送りつけることができない。また、通信制御装置１０以外の通信装置に対して攻撃がなされた場合であっても、通信制御装置１０は通過中の通信データを抜き出して制御することができるので、その通信装置へ到達する前に、攻撃を意図した通信データを検知して削除することができる。また、通信経路の途中のルータのメモリの故障や、プログラムのバグなどにより通信データが破壊された場合であっても、通信制御装置１０により検知して削除することができるので、ネットワークや通信装置の負荷を低減させることができる。

通信制御に必要な情報を収集するなどの目的で、他の通信装置との間で通信を行う必要がある場合には、仮想的なＩＰアドレスを用いて通信を行ってもよい。例えば、通信装置との間で通信を行う際に、通信制御装置１０よりも下流のネットワークに接続されている通信装置のＩＰアドレスを仮想的に通信制御装置１０に割り当てて通信を行う。

図１５は、実施の形態に係る通信制御装置の別の構成例を示す。図１５に示した通信制御装置１０は、図１３に示した通信制御装置１０の構成に加えて、判定部５１０及び仮想通信装置５２０を更に備える。その他の構成及び動作は、図１３に示した通信制御装置１０と同様である。

仮想通信装置５２０は、通信制御装置１０における通信制御に必要な情報を、他の通信装置との間で送受信する。例えば、通信制御装置１０をルータ装置として機能させる場合、仮想通信装置５２０は、ＢＧＰ４（Border Gateway Protocol 4）などのプロトコルにしたがって、他のルータ装置との間で経路情報をやり取りする。このとき、仮想通信装置５２０は、ＢＧＰ４による通信を行う相手のルータ装置の方向を上流とすると、自装置よりも下流のネットワークに接続された他の通信装置に割り当てられたＩＰアドレスを取得し、そのＩＰアドレスを仮想通信装置５２０の仮想ＩＰアドレスとして判定部５１０へ通知する。また、仮想通信装置５２０は、仮想ＩＰアドレスを用いて他の装置との間で通信を行うプロトコルのプロトコル番号を判定部５１０へ通知する。このように、仮想通信装置５２０は、下流の通信装置から取得したＩＰアドレスを仮想的に自装置のＩＰアドレスに設定して、他の装置との間で通信を行う。

判定部５１０は、ＰＨＹ処理部５ａが受信した通信データのうち、送信先のＩＰアドレスが、仮想通信装置５２０から通知された仮想ＩＰアドレスに一致し、かつ、プロトコル番号が、仮想通信装置５２０から通知されたプロトコル番号に一致する通信データを、パケット処理回路２０へ供給せずに、仮想通信装置５２０へ送る。仮想通信装置５２０は、判定部５１０から送られた通信データを処理する。例えば、他のルータ装置から送信された経路情報を取得してルーティングテーブルを再計算し、パケット処理回路２０へ投入する。仮想通信装置５２０は、他の通信装置へ通信データを送信する場合は、送信元のＩＰアドレスに仮想ＩＰアドレスを設定し、ＰＨＹ処理部５ｂを介してネットワークへ送出する。

図１６は、実施の形態に係る通信制御技術を説明するための概念図である。通信制御装置１０は、通信装置５０２が通信装置５０４へ送信した通信データのうち、実際には仮想通信装置５２０が受信すべき通信データを抜き出して、仮想通信装置５２０へ送る。また、仮想通信装置５２０は、通信装置５０２に通信データを送信するときに、送信元のＩＰアドレスとして、通信装置５０４のＩＰアドレスを設定する。図１６において、実際には、実線で示した経路により通信データが送受信されるが、通信装置５０２は、点線で示したように、通信装置５０４との間で通信を行っているように見えている。これにより、実際にはＩＰアドレスを有しない仮想通信装置５２０が、他の通信装置５０２との間で通信を行うことが可能となる。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

本発明は、通信を制御する通信制御装置に適用することができる。

Claims (5)

1. ネットワークから受信した信号をデータ列に変換する受信部と、
   通信データを制御する方法を判断する基準となる基準データと、その基準データを含む通信データを制御する方法とを対応づけて格納したデータベースと、
   前記受信部が取得した通信データに含まれる基準データを前記データベースから検索する検索回路と、
   前記検索回路の検索結果に応じて、前記通信データを制御する方法を前記データベースから取得し、その方法にしたがって前記通信データを制御する処理実行回路と、
   前記処理実行回路から出力された通信データを信号に変換してネットワークへ送出する送信部と、
   前記受信部に接続され、通信制御に必要な情報を、他の通信装置との間で送受信する仮想通信部と、
   前記受信部及び仮想通信部に接続され、通信相手である他の通信装置のＩＰアドレスを確認する判定部と、
   を備え、
   前記受信部は、宛先のアドレスが自装置のアドレスであるか否かを確認する処理を省略して、ネットワークを流れる通信データを抜き出し、
   取得した通信データを前記判定部へ供給し、
   前記判定部は前記受信部が受信した通信データを、前記検索回路へ供給せずに、前記仮想通信部へ送り、
   前記仮想通信部は、自装置に割り当てられたＩＰアドレス又はＭＡＣアドレスを有さず、他の装置との間で通信を行う際に、自装置よりも下流のネットワークに接続された装置のＩＰアドレスを仮想的に自装置のＩＰアドレスに設定して、仮想的に設定された自装置のＩＰアドレスを前記判定部に送り、また、
   仮想通信部は、判定部から送られた通信データを処理して、処理された通信データを前記検索回路へ投入する一方、他の通信装置へ通信データを送信する場合は、送信元のＩＰアドレスに仮想ＩＰアドレスを設定し、送信部を介してネットワークへ送出する、
   ことを特徴とする通信制御装置。
2. 前記受信部は、前記通信データの着信に要するプロトコル処理を省略して、前記通信データを前記判定部へ供給することを特徴とする請求項１に記載の通信制御装置。
3. 前記受信部は、取得した通信データを受信バッファに蓄積せずに、そのまま前記判定部へ供給することを特徴とする請求項１又は２に記載の通信制御装置。
4. 前記送信部は、前記通信データを送信すべき相手の装置のアドレスを取得して前記通信データの宛先のアドレスに設定する処理を省略して、宛先のアドレスを変更せずにネットワークへ送出することを特徴とする請求項１から３のいずれかに記載の通信制御装置。
5. 前記判定部は、前記受信部が取得した通信データのうち、特定のプロトコルの通信データであって、送信先のＩＰアドレスが、仮想的に設定された自装置のＩＰアドレスに一致する通信データを判定して前記仮想通信部へ送ることを特徴とする請求項４に記載の通信制御装置。

Images