JP5656771B2 - 通信装置、プログラム、および通信システム - Google Patents

Description

本発明は、通信を行う通信装置、およびその機能を実現するプログラムに関する。また、本発明は、複数の通信装置を備えた通信システムにも関する。

ネットワークの状況に応じて通信制御を行う従来技術の例として、以下の技術が知られている。特許文献１には、ネットワークの状態を監視することでネットワークの混雑度を検知し、検知した混雑度を基にトラヒック制御を実現する技術が記載されている。この技術では、トラヒック制御装置がネットワークの混雑度に応じたトークンを生成・保持し、通信時にはネットワークの混雑度に応じた量のトークンを消費してパケットの送信量・受信量を決定することでトラヒック制御を実現する。

特許文献２には、コグニティブ無線等の無線方式を切り替えて通信する場合において、無線リンクでの干渉・衝突の影響を低減する技術が記載されている。この技術では、無線通信装置は、使用する無線通信方式の干渉および衝突の影響を計算し、計算した結果を基にゲートウェイまでの経路を選択する。これらの技術は、ユーザの用いる端末のOS上で動作するソフトウェアや、ユーザの用いる通信モデム内で実現可能である。

特開２００７−１８９５９２号公報 特開２００９−１７７６９０号公報

特許文献１に記載された技術をユーザ側の通信装置に適用することで、ネットワーク側にトラヒック制御機能を設けることなく、ネットワークの混雑を緩和するためのトラヒック制御を実現可能である。しかし、このトラヒック制御をユーザ側の通信装置で実現する際、例えばユーザがトラヒック制御ソフトウェアの機能を停止したり、トラヒック制御ソフトウェアの機能を不正に変更したりすることで、トラヒック制御の効果が失われたまま通信が行われる可能性があった。

また、特許文献２に記載された技術をユーザ側の通信装置で実現した場合、例えばユーザが経路選択制御ソフトウェアの機能を停止したり、経路選択制御ソフトウェアの機能を不正に変更したりすることで、ネットワークの状態に応じた経路選択制御に従わずに通信が行われる可能性があった。このようにネットワークの状態に応じた経路選択制御に従わずに通信が行われると、意図せぬ無線リンクの衝突・干渉が生じる恐れがあった。

このため、トラヒック制御や経路選択制御等の制御機能をユーザ側の通信装置で実現する際、制御機能を停止する、あるいは制御機能を不正に変更するというユーザの挙動を抑制する必要がある。

本発明は、上述した課題に鑑みてなされたものであって、制御機能が正規に利用されていることを保証することができる通信装置、プログラム、および通信システムを提供することを目的とする。

本発明は、上記の課題を解決するためになされたもので、自装置が接続しているネットワークの状態を示す状態情報を取得する取得部と、自装置が実施するデータ通信に係る制御の方式を示す方式情報を、前記ネットワークに接続している他の通信装置へ送信する第１の送信部と、前記ネットワークに接続している他の通信装置から前記方式情報を受信する第１の受信部と、他の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記方式情報を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と前記制御情報の電子署名とを生成する決定部と、前記方式情報を送信した他の通信装置へ前記制御情報および前記電子署名を送信する第２の送信部と、他の通信装置から前記制御情報および前記電子署名を受信する第２の受信部と、他の通信装置から受信した前記電子署名の正当性を検証する検証部と、前記検証部が前記電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う制御部と、を備えたことを特徴とする通信装置である。

また、本発明の通信装置は、前記状態情報を取得した時間を示す時間情報と関連付けて前記状態情報を記憶する記憶部をさらに備え、前記第１の送信部は、前記方式情報と、制御を実施する時間に関する制御時間情報とを、前記ネットワークに接続している他の通信装置へ送信し、前記第１の受信部は、他の通信装置から前記方式情報および前記制御時間情報を受信し、前記決定部は、他の通信装置から受信した前記方式情報、前記時間情報と関連付けられた前記状態情報、および前記制御時間情報に基づいて、前記方式情報および前記状態情報を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と前記制御情報の電子署名とを生成することを特徴とする。

また、本発明の通信装置は、複数の他の通信装置から前記制御情報および前記電子署名が受信された場合に、複数の他の通信装置から受信した前記電子署名の正当性を検証するとともに、複数の他の通信装置から受信した前記制御情報の、基準とする内容からのずれの度合いに基づく有効性を確認する確認部をさらに備え、前記制御部は、前記検証部が前記電子署名の正当性の検証に成功し、前記確認部が前記制御情報の有効性を確認した場合、有効性が確認された前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行うことを特徴とする。

また、本発明の通信装置において、前記第１の送信部は、前記方式情報と、前記方式情報の電子署名である第１の電子署名とを他の通信装置へ送信し、前記第１の受信部は、他の通信装置から前記方式情報および前記第１の電子署名を受信し、前記決定部は、他の通信装置から受信した前記第１の電子署名の正当性を検証し、前記第１の電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記方式情報および前記第１の電子署名を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と、前記制御情報の電子署名である第２の電子署名とを生成し、前記第２の送信部は、前記方式情報および前記第１の電子署名を送信した他の通信装置へ前記制御情報および前記第２の電子署名を送信し、前記第２の受信部は、他の通信装置から前記制御情報および前記第２の電子署名を受信し、前記検証部は、他の通信装置から受信した前記第２の電子署名の正当性を検証し、前記制御部は、前記検証部が前記第２の電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行うことを特徴とする。

また、本発明の通信装置は、回線終端装置内に前記検証部が設けられていることを特徴とする。

また、本発明の通信装置は、他の通信装置から受信した前記電子署名の正当性を検証する第２の検証部をさらに備え、前記検証部は、他の通信装置から受信した前記電子署名のうち、前記第２の検証部が検証に成功した前記電子署名の正当性を検証することを特徴とする。

また、本発明の通信装置は、前記回線終端装置内に前記制御部が設けられていることを特徴とする。

また、本発明は、自装置が接続しているネットワークの状態を示す状態情報を取得する取得部と、自装置が実施するデータ通信に係る制御の方式を示す方式情報を、前記ネットワークに接続している他の通信装置へ送信する第１の送信部と、前記ネットワークに接続している他の通信装置から前記方式情報を受信する第１の受信部と、他の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記方式情報を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と前記制御情報の電子署名とを生成する決定部と、前記方式情報を送信した他の通信装置へ前記制御情報および前記電子署名を送信する第２の送信部と、他の通信装置から前記制御情報および前記電子署名を受信する第２の受信部と、他の通信装置から受信した前記電子署名の正当性を検証する検証部と、前記検証部が前記電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う制御部と、としてコンピュータを機能させるためのプログラムである。

また、本発明は、同一のネットワークに接続している第１の通信装置および第２の通信装置を備えた通信システムであって、前記第１の通信装置は、前記第１の通信装置が実施するデータ通信に係る制御の方式を示す方式情報を前記第２の通信装置へ送信する第１の送信部と、前記第２の通信装置から、前記第１の通信装置が実施する制御の内容を示す制御情報および前記制御情報の電子署名を受信する第１の受信部と、前記第２の通信装置から受信した前記電子署名の正当性を検証する検証部と、前記検証部が前記電子署名の正当性の検証に成功した場合、前記第２の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う制御部と、を有し、前記第２の通信装置は、前記ネットワークの状態を示す状態情報を取得する取得部と、前記第１の通信装置から前記方式情報を受信する第２の受信部と、前記第１の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記第１の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す前記制御情報と前記制御情報の電子署名とを生成する決定部と、前記第１の通信装置へ前記制御情報および前記電子署名を送信する第２の送信部と、を有することを特徴とする通信システムである。

本発明によれば、制御機能が正規に利用されていることを保証することができる。

本発明の一実施形態による通信システムの構成を示す構成図である。 本発明の一実施形態にトラヒック制御の概要を示す図である。 本発明の一実施形態によるノードの構成を示すブロック図である。 本発明の一実施形態によるノードの構成を示すブロック図である。 本発明の一実施形態によるノードの構成を示すブロック図である。

以下、図面を参照し、本発明の実施形態を説明する。本実施形態では、トラヒック制御に本発明を適用した例について説明する。図１は、本実施形態による通信システムの構成を示している。この通信システムでは、無線ＬＡＮ（Local Area Network）等における同一のアクセスポイントＡＰに対して、ユーザが所持する複数のノードＮ１〜Ｎ５（本発明の通信装置に対応）が接続している。ノードＮ１〜Ｎ５は、アクセスポイントＡＰが提供するネットワークＮＷ１に接続しており、アクセスポイントＡＰを介して互いに通信を行うことが可能である。また、ノードＮ１〜Ｎ５は、アクセスポイントＡＰが接続している外部のネットワークにアクセスポイントＡＰを介して接続し、外部の通信装置と通信を行うことも可能である。図１では、１つのアクセスポイントに５つのノードが接続しているが、ノードの数はこれより多くても少なくてもよい。

図２は、本実施形態におけるトラヒック制御の概要を示している。以下では、図２を参照して、ノードＮ１が今後データ通信を行う際のトラヒック制御の予定を決定する場合の最も単純な例を説明する。

（１）制御方式、パラメータ、電子署名の通知
ノードＮ１は、制御方式ａ_１、パラメータｐ_１、およびそれらの電子署名σ_Ｏ（ａ_１，ｐ_１）をノードＮ２に通知する。制御方式ａ_１は、ノードＮ１が使用するトラヒック制御の方式（アルゴリズム）を示す情報である。パラメータｐ_１は、制御方式ａ_１に従ってトラヒック制御を行う際に使用するパラメータであり、例えばスループットの切替を行う際の条件となる閾値等である。制御方式ａ_１とパラメータｐ_１（方式情報）は、ノードＮ１が今後実施するトラヒック制御の具体的な内容を決定する際に使用される。電子署名σ_Ｏ（ａ_１，ｐ_１）は、制御方式ａ_１およびパラメータｐ_１に対して、ネットワークＮＷ１の管理者（オペレータ）の秘密鍵で署名を行ったものである。本実施形態では、制御方式ａ_１、パラメータｐ_１、およびそれらの電子署名σ_Ｏ（ａ_１，ｐ_１）はオペレータによって各ノードに事前に配信されている。

（２）トラヒック制御の予定の決定
ノードＮ２は、オペレータの公開鍵を用いて、ノードＮ１から通知された電子署名σ_Ｏ（ａ_１，ｐ_１）の正当性（改竄されていないこと）を検証する。電子署名σ_Ｏ（ａ_１，ｐ_１）の正当性の検証に成功した場合、ノードＮ２は、自身が検知しているネットワークＮＷ１の混雑状況と、ノードＮ１から通知された制御方式ａ_１およびパラメータｐ_１とに基づいて、ノードＮ１が今後実施するトラヒック制御の内容（具体的な手順等）である制御予定ｒ_１を予想する。ノードＮ２は、ノードＮ１が接続しているネットワークＮＷ１に接続しており、ノードＮ１が検知する混雑状況と同一の混雑状況を検知できるので、この混雑状況と、ノードＮ１から通知された制御方式ａ_１およびパラメータｐ_１とから、ノードＮ１における制御予定ｒ_１を予想することができる。また、ノードＮ２は、予想した制御予定ｒ_１の電子署名σ_２（ｒ_１）を生成する。電子署名σ_２（ｒ_１）は、制御予定ｒ_１に対して、ノードＮ２の秘密鍵で署名を行ったものである。

（３）トラヒック制御の予定およびその電子署名の通知
ノードＮ２は制御予定ｒ_１および電子署名σ_２（ｒ_１）をノードＮ１に通知する。制御予定ｒ_１に電子署名σ_２（ｒ_１）が付加されることによって、制御予定ｒ_１はノードＮ２によって正当性が保証された制御予定となる。

（４）電子署名の検証およびトラヒック制御の実施
ノードＮ１は、ノードＮ２の公開鍵を用いて、ノードＮ２から通知された電子署名σ_２（ｒ_１）の正当性を検証する。電子署名σ_２（ｒ_１）の正当性の検証に成功した場合、ノードＮ１は、制御予定ｒ_１に従ってトラヒック制御を行う。この制御予定ｒ_１の正当性はノードＮ２によって保証されているので、本実施形態のトラヒック制御によれば、ノードＮ１でトラヒック制御機能が正規に利用されていることを保証することができる。

上記ではノードＮ１が１つのノードＮ２に制御方式およびパラメータを通知しているが、複数のノードに制御方式およびパラメータを通知し、それら複数のノードから制御予定を通知されるようにしてもよい。また、上記ではトラヒック制御を実施するノードとは異なるノードが制御予定を決定しているが、システム側で用意されている通信装置（例えば、オペレータが保有しているサーバ）がノードの制御予定を決定してもよい。ノードの中に悪意のノードが含まれる可能性がある場合に、システム側で用意されている通信装置がノードの制御予定を決定することによって、悪意のノードが他のノードのトラヒック制御に及ぼす影響を低減することができる。

図３は各ノードの構成を示している。各ノードは、回線終端装置１（ＤＣＥ）、通信制御部２、記憶部３、およびアプリケーション処理部４を有する。

回線終端装置１は、通信を行うための通信モデム等の装置である。回線終端装置１は、データ通信時にネットワークＮＷ１の混雑状況に応じてトラヒック制御を行うトラヒック制御部１０と、ネットワークＮＷ１に接続してデータ通信を行う通信部１１と、電子署名の正当性の検証を行う署名検証部１２とを有する。

通信制御部２は、自身のノードのトラヒック制御部１０が行うトラヒック制御に関する制御予定を他のノード等に決定してもらうために行う通信を制御する。また、通信制御部２は、他のノードのトラヒック制御部１０が行うトラヒック制御の制御予定を決定する。通信制御部２は、混雑検出部２０、制御方式送信部２１、制御方式受信部２２、制御方式検証部２３、制御予定決定部２４、制御予定送信部２５、制御予定受信部２６、および制御予定確認部２７を有する。これらの各部の機能については、後述する。

オペレータによって配布されたトラヒック制御ソフトウェアのプログラムが記録されたコンピュータ読み取り可能な記録媒体から、このプログラムを読み出してコンピュータ内で実行することによって、通信制御部２が起動し、後述する処理を行う。ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

記憶部３は、ノード内の処理に使用される各種情報を記憶する。アプリケーション処理部４は、各種アプリケーションによる処理を行う。アプリケーション処理部４がデータ通信を行う際に、トラヒック制御部１０によってトラヒック制御が行われる。

次に、本実施形態におけるトラヒック制御の詳細を説明する。オペレータによってノードｉ（ｉ＝１，２，・・・，５）に配布されたトラヒック制御ソフトウェアのプログラムには、制御方式ａ_ｉ、パラメータｐ_ｉ、およびそれらの電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）が含まれており、これらは通信制御部２の起動時に記憶部３に格納されて保持される。ノード毎に異なる制御方式およびパラメータが採用されていてもよいし、複数のノード間で共通の制御方式およびパラメータが採用されていてもよい。

電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）の正当性を検証するためのオペレータの公開鍵も記憶部３に保持される。この公開鍵は、オペレータによってノードｉに配布されたトラヒック制御ソフトウェアのプログラムに含まれていてもよいし、外部の通信装置から取得可能であってもよい。また、電子署名を生成するのに用いる自身のノードの秘密鍵や、他のノードが生成した電子署名の正当性の検証に用いる他のノードの公開鍵も記憶部３に保持される。各ノードの公開鍵は、公開鍵基盤（ＰＫＩ）を利用して他のノードと共有可能である。

各ノードの混雑検出部２０は、現時点でのネットワークＮＷ１の状態すなわち混雑状況（状態情報）を検出する。アクセスポイントＡＰから配信される混雑状況の情報を受信することで混雑検出部２０が混雑状況を検出してもよいし、各ノードが直前までに行った通信時のスループットの情報から混雑検出部２０が混雑状況を検出してもよい。

ノードｉの制御方式送信部２１は、ノードｉのトラヒック制御部１０が行うトラヒック制御に関する制御方式ａ_ｉ、パラメータｐ_ｉ、およびそれらの電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）を記憶部３から読み出し、他のノードｊへ送信する。ノードｊは、ノードｉが接続しているアクセスポイントＡＰに接続している全てのノードでもよいし、システムパラメータが決定する１または複数のノードでもよい。また、上記のノード以外の装置であって、アクセスポイントＡＰに接続している他の通信装置（例えば、オペレータが保有しているサーバ）が制御予定の決定機能を有する場合に、この通信装置へ上記の制御方式ａ_ｉ等を送信してもよい。制御方式送信部２１が行う通信はトラヒック制御の対象ではないものとする。したがって、制御方式送信部２１が行う通信はトラヒック制御部１０によって妨げられない。

また、異なる複数の通信経路を用いてノードが通信可能な場合、いずれかの通信経路を通信部１１が用いて、他のいずれかの通信経路を制御方式送信部２１が用いてもよい。例えば、回線終端装置１が接続している通信回線とは異なる通信回線にノードが接続している場合、制御方式送信部２１がその通信回線を使用してもよい。以下でも同様に、トラヒック制御の対象ではない通信に関しては、通信部１１が用いる通信経路とは異なる通信経路を用いてもよい。

ノードｊの制御方式受信部２２は、ノードｉから送信された制御方式ａ_ｉ、パラメータｐ_ｉ、およびそれらの電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）を受信する。制御方式受信部２２が行う通信はトラヒック制御の対象ではないものとする。したがって、制御方式受信部２２が行う通信はトラヒック制御部１０によって妨げられない。

ノードｊの制御方式検証部２３は、記憶部３に保持されているオペレータの公開鍵を用いて、制御方式受信部２２が受信した電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）を復号し、復号結果を制御方式ａ_ｉおよびパラメータｐ_ｉと比較することにより、電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）の正当性を検証する。正当性の検証に成功しなかった場合、通信制御部２は処理を中止する。この場合、ノードｉが不正を行ったことになるので、ノードｊがオペレータにノードｉの不正を報告してもよい。また、ノードｉが不正を否認することを防止するために電子署名技術を利用してもよい。例えば、一方のノードが他方のノードに情報を送信したことを証明するため、ノード間の情報の送受信では送信側のノードが、その情報に対する自身の電子署名を付加するようにしてもよい。

電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）の正当性の検証に成功した場合、ノードｊの制御予定決定部２４は、ノードｊの混雑検出部２０が直前に検出している混雑状況と、ノードｉから受信した制御方式ａ_ｉおよびパラメータｐ_ｉとに基づいて、ノードｉが行うべきトラヒック制御の内容を決定し、決定した制御の内容を示す制御予定ｒ_ｊｉ（制御情報）を生成する。また、ノードｊの制御予定決定部２４は、生成した制御予定ｒ_ｊｉに対して、ノードｊの秘密鍵で署名を行うことにより電子署名σ_ｊ（ｒ_ｊｉ）を生成する。

ノードｊの制御予定送信部２５は、制御予定ｒ_ｊｉおよび電子署名σ_ｊ（ｒ_ｊｉ）をノードｉへ送信する。制御予定送信部２５が行う通信はトラヒック制御の対象ではないものとする。したがって、制御予定送信部２５が行う通信はトラヒック制御部１０によって妨げられない。

ノードｉの制御予定受信部２６は、ノードｊから送信された制御予定ｒ_ｊｉおよび電子署名σ_ｊ（ｒ_ｊｉ）を受信する。制御予定受信部２６が行う通信はトラヒック制御の対象ではないものとする。したがって、制御予定受信部２６が行う通信はトラヒック制御部１０によって妨げられない。

ノードｉの制御予定確認部２７は、複数の他のノードから制御予定ｒ_ｊｉおよび電子署名σ_ｊ（ｒ_ｊｉ）が受信された場合、複数の制御予定ｒ_ｊｉを互いに比較し、それらの内容のずれの度合いを考慮した（ずれの度合いに基づく）有効性（言い換えると、矛盾がないこと）を確認する。複数の他のノードがノードｉから制御方式ａ_ｉ等の情報を受信するタイミングは厳密には異なるため、複数の他のノードが混雑状況を取得するタイミングも異なる可能性がある。つまり、複数の他のノードが決定した複数の制御予定ｒ_ｊｉに若干の差異が生じる可能性がある。本実施形態では、これら複数の制御予定ｒ_ｊｉの内容に大きな相違（ずれ）がなく、決定された制御予定に対して矛盾のない制御結果が得られるならば、これら複数の制御予定ｒ_ｊｉが有効であるものとし、ノードｉにおけるトラヒック制御に使用する。

複数の制御予定ｒ_ｊｉが有効であるか否かの確認は、各制御予定ｒ_ｊｉが示す制御の指標値に基づいて、例えば以下のようにして行われる。例えば、制御予定ｒ_ｊｉが送信帯域の制限値（100kbps等）として与えられる場合、ノードｉの制御予定確認部２７は、複数の他のノードから受信された複数の制御予定ｒ_ｊｉが示す制限値の平均を算出し、算出した平均と各制御予定ｒ_ｊｉとを比較する。この平均は、制御内容のずれの度合いを評価するための基準となる。ノードｉの制御予定確認部２７は、各制御予定ｒ_ｊｉと平均との差の絶対値が所定値以下の場合には各制御予定ｒ_ｊｉが有効であると判定し、各制御予定ｒ_ｊｉと平均との差の絶対値が所定値を超える場合には各制御予定ｒ_ｊｉが無効であると判定する。この判定は、個々の制御予定ｒ_ｊｉについて別々に行われる。上記の確認方法は一例であり、これに限られるものではない。

例えば、ノードｉのトラヒック制御ソフトウェアがＫ（Ｋ≧２）個の制御予定ｒ_ｊｉの有効性を必要とする場合、有効である制御予定ｒ_ｊｉがＫ個未満ならば、制御予定ｒ_ｊｉの有効性の確認に失敗したことになり、通信制御部２は処理を中止する。また、有効である制御予定ｒ_ｊｉがＫ個以上ならば、制御予定ｒ_ｊｉの有効性の確認に成功したことになり、ノードｉの制御予定確認部２７は、有効であることが確認された制御予定ｒ_ｊｉと、その制御予定ｒ_ｊｉのそれぞれに対応する電子署名σ_ｊ（ｒ_ｊｉ）（Ｋ個以上）と、電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証に用いる他のノードの公開鍵とを署名検証部１２へ出力する。複数のノードから得られた制御予定ｒ_ｊｉの有効性の確認に成功した場合、複数のノードが合意した制御予定が得られることになり、制御予定ｒ_ｊｉの信頼性が向上する。

ノードｉの署名検証部１２は、各ノードの公開鍵を用いて、電子署名σ_ｊ（ｒ_ｊｉ）を復号し、復号結果を制御予定ｒ_ｊｉと比較することにより、電子署名σ_ｊ（ｒ_ｊｉ）の正当性を検証する。いずれかの電子署名σ_ｊ（ｒ_ｊｉ）について正当性の検証に成功しなかった場合、署名検証部１２は処理を中止する。また、全ての電子署名σ_ｊ（ｒ_ｊｉ）について正当性の検証に成功した場合、署名検証部１２は制御予定ｒ_ｊｉをトラヒック制御部１０へ出力する。ノードｉのトラヒック制御部１０は、アプリケーション処理部４がデータ通信を行う際、制御予定ｒ_ｊｉに従ってトラヒック制御を行う。すなわち、制御予定ｒ_ｊｉによって規定されるトラヒック量を超過するトラヒックが発生した場合、ノードｉのトラヒック制御部１０はトラヒックを抑制する。

回線終端装置１内の各部を制御するプログラムは回線終端装置１の製造時にＲＯＭに書き込まれており、ユーザがこのプログラムを不正に変更することは困難である。つまり、ユーザが回線終端装置１の動作を不正に変更することは困難である。よって、回線終端装置１が署名検証部１２を備えることで、電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証結果を保証することができる。また、回線終端装置１がトラヒック制御部１０を備えることで、制御予定ｒ_ｊｉに従ってトラヒック制御が正規に行われていることをより確実に保証することができる。

上記では、複数の制御予定ｒ_ｊｉの有効性を必要としているが、複数の制御予定ｒ_ｊｉの有効性を必要としなくてもよい。例えば、ノードｉの制御予定確認部２７は、制御予定ｒ_ｊｉの有効性の確認を行わずに、いずれかのノードから受信された制御予定ｒ_ｊｉおよび電子署名σ_ｊ（ｒ_ｊｉ）を署名検証部１２へ出力してもよい。また、ノードｉの制御予定を生成したノードｊが、ノードｉの制御予定を生成した他のノードとの間でノードｉの制御予定の有効性を確認し、ノードｊが生成した制御予定が有効であると確認できた場合に、ノードｊが制御予定ｒ_ｊｉおよび電子署名σ_ｊ（ｒ_ｊｉ）をノードｉへ送信してもよい。また、通信制御部２の制御予定確認部２７が制御予定の有効性の確認を行っているが、回線終端装置１が制御予定の有効性の確認を行ってもよい。

＜第１の変形例＞
次に、本実施形態の変形例を説明する。第１の変形例では、ノードｊがノードｉの制御予定ｒ_ｊｉを生成する際に、ネットワークＮＷ１の経験的な混雑状況を用いる。例えば、ノードｊは、平日のトラヒックパターンから類推したネットワークＮＷ１の経験的な混雑状況を用いてノードｉの制御予定ｒ_ｊｉを生成する。これによって、ある時刻においてノードｉが直後に実施するトラヒック制御の制御予定だけでなく、ノードｉがより未来に実施するトラヒック制御の制御予定を決定することができる。

各ノードの混雑検出部２０は、データ通信を実行したタイミングでネットワークＮＷ１の混雑状況を検出し、検出した時刻あるいは時間帯を示す情報（時間情報）と関連付けて記憶部３に格納する。ノードｉの制御方式送信部２１は、制御方式ａ_ｉ、パラメータｐ_ｉ、およびそれらの電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）を記憶部３から読み出し、トラヒック制御を適用する時刻を示す時刻情報ｔｃ（制御時間情報）と共に他のノードｊへ送信する。

ノードｊの制御方式受信部２２は、ノードｉから送信された制御方式ａ_ｉ、パラメータｐ_ｉ、それらの電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）、および時刻情報ｔｃを受信する。ノードｊの制御方式検証部２３は、前述したように電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）の正当性を検証する。

電子署名σ_Ｏ（ａ_ｉ，ｐ_ｉ）の正当性の検証に成功した場合、ノードｊの制御予定決定部２４は、ノードｉから受信した時刻情報ｔｃに対応する混雑状況を記憶部３から読み出し、読み出した混雑状況と、ノードｉから受信した制御方式ａ_ｉおよびパラメータｐ_ｉとに基づいて、ノードｉが行うべきトラヒック制御の内容を決定し、決定した制御の内容を示す制御予定ｒ_ｊｉを生成する。時刻情報ｔｃに対応する混雑状況とは、時刻情報ｔｃと一致する時刻に関連付けられた混雑状況、時刻情報ｔｃとの差が所定時間内の時刻に関連付けられた混雑状況、または時刻情報ｔｃが示す時刻を含む時間帯に関連付けられた混雑状況である。また、ノードｊの制御予定決定部２４は、前述したように電子署名σ_ｊ（ｒ_ｊｉ）を生成する。ノードｊの制御予定送信部２５は、制御予定ｒ_ｊｉおよび電子署名σ_ｊ（ｒ_ｊｉ）をノードｉへ送信する。

ノードｉの制御予定受信部２６は、ノードｊから送信された制御予定ｒ_ｊｉおよび電子署名σ_ｊ（ｒ_ｊｉ）を受信する。ノードｉの制御予定確認部２７は、前述したように制御予定ｒ_ｊｉの有効性を確認する。制御予定ｒ_ｊｉの有効性の確認に成功した場合、ノードｉの制御予定確認部２７は、有効であることが確認された制御予定ｒ_ｊｉと、その制御予定ｒ_ｊｉのそれぞれに対応する電子署名σ_ｊ（ｒ_ｊｉ）（Ｋ個以上）と、電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証に用いる他のノードの公開鍵と、時刻情報ｔｃとを署名検証部１２へ出力する。

ノードｉの署名検証部１２は、前述したように電子署名σ_ｊ（ｒ_ｊｉ）の正当性を検証し、全ての電子署名σ_ｊ（ｒ_ｊｉ）について正当性の検証に成功した場合、制御予定ｒ_ｊｉおよび時刻情報ｔｃをトラヒック制御部１０へ出力する。ノードｉのトラヒック制御部１０は、時刻情報ｔｃが示す時刻になったら、制御予定ｒ_ｊｉに従ってトラヒック制御を行う。

上記では制御予定確認部２７が電子署名σ_ｊ（ｒ_ｊｉ）、他のノードの公開鍵、および時刻情報ｔｃを署名検証部１２へ出力しているが、時刻情報ｔｃが示す時刻になったら制御予定確認部２７が電子署名σ_ｊ（ｒ_ｊｉ）および他のノードの公開鍵を署名検証部１２へ出力してもよい。以降は、前述したようにトラヒック制御が行われる。

ノードｉが、前述したようにトラヒック制御を行う直前に他のノードにノードｉの制御予定を決定してもらう場合、十分な数のノードがネットワークＮＷ１に接続していないと、必要な数の電子署名σ_ｊ（ｒ_ｊｉ）を得ることができず、トラヒック制御をすぐに実行できない可能性がある。ある時点で必要な数の電子署名σ_ｊ（ｒ_ｊｉ）を得ることができなかったとしても、別の時点では十分な数の電子署名σ_ｊ（ｒ_ｊｉ）を得ることができる可能性があるため、他のノードに制御予定を決定してもらう試行を繰り返し行えることが望ましい。

そこで、第１の変形例では、ノードｉが、トラヒック制御の実施前にこの試行を繰り返し行うことができるよう、トラヒック制御を行う時点よりも十分前の時点で試行を行うことが可能となっている。これによって、ノードｉがトラヒック制御を実施する予定の時点までに電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証に成功する可能性を高めることができる。

＜第２の変形例＞
第２の変形例では、回線終端装置１がトラヒック制御機能を有していない場合に通信制御部２がトラヒック制御を行う。図４は、第２の変形例における各ノードの構成を示している。図３に示した構成と同一の構成については同一の符号を付与し、説明を省略する。図４では、図３の回線終端装置１における署名検証部１２およびトラヒック制御部１０の代わりに、通信制御部２が署名検証部２８およびトラヒック制御部２９を有する。

署名検証部２８は図３の署名検証部１２と同様の機能を有する。トラヒック制御部２９は図３のトラヒック制御部１０と同様の機能を有する。第２の変形例では通信部１１にトラヒック制御の確認機能を持たせてもよい。例えば、電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証に成功した場合、署名検証部２８が制御予定ｒ_ｊｉを通信部１１へ出力し、トラヒック制御部２９によるトラヒック制御の結果が制御予定ｒ_ｊｉに従っているか否かを通信部１１が確認し、トラヒック制御部２９によるトラヒック制御の結果が制御予定ｒ_ｊｉに従っていなければ通信部１１が通信を中止するようにしてもよい。

＜第３の変形例＞
本実施形態では、署名検証部１２が、通信制御部２から回線終端装置１に入力された全ての電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証に成功した場合にトラヒック制御が行われる。このように、全ての電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証を必要とするため、トラヒック制御機能の正規な利用をより確実に保証することができる。しかし、正当性の検証に失敗した電子署名σ_ｊ（ｒ_ｊｉ）が１つでもあると、トラヒック制御が行われない。そこで、第３の変形例では、ノードｊから受信した電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証を回線終端装置１の署名検証部１２が行う前に、通信制御部２が電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証を行い、正当性の検証に成功した電子署名σ_ｊ（ｒ_ｊｉ）のみを署名検証部１２へ出力する。これによって、署名検証部１２による電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証は確実に成功するので、トラヒック制御機能の正規な利用の保証を担保しつつ、トラヒック制御の実施の確実性を高めることができる。

図５は、第３の変形例における各ノードの構成を示している。図３および図４に示した構成と同一の構成については同一の符号を付与し、説明を省略する。図５では、通信制御部２が署名検証部３０を有する。

ノードｉの署名検証部３０は、他のノードの公開鍵を用いて、電子署名σ_ｊ（ｒ_ｊｉ）を復号し、復号結果を制御予定ｒ_ｊｉと比較することにより、電子署名σ_ｊ（ｒ_ｊｉ）の正当性を検証する。例えば、回線終端装置１の署名検証部１２がＬ（Ｌ≧２）個の電子署名σ_ｊ（ｒ_ｊｉ）の正当性を必要とする場合、正当性の検証に成功した電子署名σ_ｊ（ｒ_ｊｉ）がＬ個未満ならば、通信制御部２は処理を中止する。また、正当性の検証に成功した電子署名σ_ｊ（ｒ_ｊｉ）がＬ個以上ならば、ノードｉの署名検証部３０は、同一であることが確認された制御予定ｒ_ｊｉと、その制御予定ｒ_ｊｉのそれぞれと対応する、正当性の検証に成功したＬ個以上の電子署名σ_ｊ（ｒ_ｊｉ）と、電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証に用いる他のノードの公開鍵とを署名検証部１２へ出力する。

第３の変形例では、署名検証部１２における正当性の検証に成功する電子署名σ_ｊ（ｒ_ｊｉ）のみが署名検証部１２へ出力されるはずである。したがって、署名検証部１２が電子署名σ_ｊ（ｒ_ｊｉ）の正当性の検証に失敗した場合、ノードｉが不正を行ったことになるので、回線終端装置１がオペレータにノードｉの不正を報告してもよい。また、ノードｉが不正を否認することを防止するために電子署名技術を利用してもよい。例えば、一方のノードが他方のノードに情報を送信したことを証明するため、ノード間の情報の送受信では送信側のノードが、その情報に対する自身の電子署名を付加するようにしてもよい。

＜第４の変形例＞
第４の変形例は、複数の無線通信方式を切り替えて通信可能な無線通信端末における無線通信方式の切替制御に本発明を適用した例である。本実施形態におけるアクセスポイントＡＰを無線基地局に置き換え、ノードを無線通信端末に置き換えることで、前述した方法と同様の方法で無線通信方式の切替制御を行うことができる。

＜第５の変形例＞
第５の変形例は、無線通信端末における上り方向（無線基地局方向）の通信時の電力量制御に本発明を適用した例である。本実施形態におけるアクセスポイントＡＰを無線基地局に置き換え、ノードを無線通信端末に置き換え、混雑状況を、無線基地局が検出する干渉量等の情報に置き換えることで、前述した方法と同様の方法で上り方向の電力量制御を行うことができる。無線通信端末には、電力量制御の決定に必要な情報（例えば、干渉量）が無線基地局から配信される。

上述したように、本実施形態では、複数の通信装置が同一のネットワークに接続している状況で通信装置が、他の通信装置で決定された制御内容に対する電子署名の正当性を検証し、その電子署名の正当性の検証に成功した場合に、その制御内容に基づいて、他の通信装置とのデータ通信に係る制御を行う。これによって、他のノードによって承認され、正当性が保証された制御内容に従って制御が行われるので、制御機能が正規に利用されていることを保証することができる。

また、ネットワークの過去の状態情報を用いて特定の時刻における制御内容を決定することによって、通信装置がより未来に実施する制御の内容を決定することができ、通信装置が制御を実施する予定の時点までに、制御内容に対する電子署名の正当性の検証に成功する可能性を高めることができる。

また、複数の他の通信装置で決定された制御内容の有効性を確認し、有効性が確認された制御内容に基づいて通信装置が制御を行うことによって、制御内容の信頼性が向上する。

また、通信装置が他の通信装置へ制御方式の情報と共にその電子署名を送信することによって、制御内容の決定に用いる情報の改竄を防止することができる。

また、回線終端装置内で制御内容の電子署名の正当性の検証を行うことによって、電子署名の正当性の検証結果を保証することができる。さらに、回線終端装置内でデータ通信に係る制御を行うことによって、制御が正規に行われていることをより確実に保証することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、ノードが行う通信は有線通信と無線通信のどちらでもよい。また、本発明の適用例は上記の例に限られるものではなく、各ノードが同一のネットワークに接続していて、そのネットワークの状態に関して各ノードが同一の情報を取得可能であり、その情報に基づいて各ノードが他のノードで実施される制御の内容を推定可能であれば、本発明を上記と同様に適用することができる。

１・・・回線終端装置、２・・・通信制御部、３・・・記憶部、４・・・アプリケーション処理部、１０，２９・・・トラヒック制御部、１１・・・通信部、１２，２８，３０・・・署名検証部、２０混雑検出部、２１・・・制御方式送信部、２２・・・制御方式受信部、２３・・・制御方式検証部、２４・・・制御予定決定部、２５・・・制御予定送信部、２６・・・制御予定受信部、２７・・・制御予定確認部

Claims (9)

1. 自装置が接続しているネットワークの状態を示す状態情報を取得する取得部と、
   自装置が実施するデータ通信に係る制御の方式を示す方式情報を、前記ネットワークに接続している他の通信装置へ送信する第１の送信部と、
   前記ネットワークに接続している他の通信装置から前記方式情報を受信する第１の受信部と、
   他の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記方式情報を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と前記制御情報の電子署名とを生成する決定部と、
   前記方式情報を送信した他の通信装置へ前記制御情報および前記電子署名を送信する第２の送信部と、
   他の通信装置から前記制御情報および前記電子署名を受信する第２の受信部と、
   他の通信装置から受信した前記電子署名の正当性を検証する検証部と、
   前記検証部が前記電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う制御部と、
   を備えたことを特徴とする通信装置。
2. 前記状態情報を取得した時間を示す時間情報と関連付けて前記状態情報を記憶する記憶部をさらに備え、
   前記第１の送信部は、前記方式情報と、制御を実施する時間に関する制御時間情報とを、前記ネットワークに接続している他の通信装置へ送信し、
   前記第１の受信部は、他の通信装置から前記方式情報および前記制御時間情報を受信し、
   前記決定部は、他の通信装置から受信した前記方式情報、前記時間情報と関連付けられた前記状態情報、および前記制御時間情報に基づいて、前記方式情報および前記状態情報を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と前記制御情報の電子署名とを生成する
   ことを特徴とする請求項１に記載の通信装置。
3. 複数の他の通信装置から前記制御情報および前記電子署名が受信された場合に、複数の他の通信装置から受信した前記電子署名の正当性を検証するとともに、複数の他の通信装置から受信した前記制御情報の、基準とする内容からのずれの度合いに基づく有効性を確認する確認部をさらに備え、
   前記制御部は、前記検証部が前記電子署名の正当性の検証に成功し、前記確認部が前記制御情報の有効性を確認した場合、有効性が確認された前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う
   ことを特徴とする請求項１に記載の通信装置。
4. 前記第１の送信部は、前記方式情報と、前記方式情報の電子署名である第１の電子署名とを他の通信装置へ送信し、
   前記第１の受信部は、他の通信装置から前記方式情報および前記第１の電子署名を受信し、
   前記決定部は、他の通信装置から受信した前記第１の電子署名の正当性を検証し、前記第１の電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記方式情報および前記第１の電子署名を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と、前記制御情報の電子署名である第２の電子署名とを生成し、
   前記第２の送信部は、前記方式情報および前記第１の電子署名を送信した他の通信装置へ前記制御情報および前記第２の電子署名を送信し、
   前記第２の受信部は、他の通信装置から前記制御情報および前記第２の電子署名を受信し、
   前記検証部は、他の通信装置から受信した前記第２の電子署名の正当性を検証し、
   前記制御部は、前記検証部が前記第２の電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う
   ことを特徴とする請求項１に記載の通信装置。
5. 回線終端装置内に前記検証部が設けられていることを特徴とする請求項１に記載の通信装置。
6. 他の通信装置から受信した前記電子署名の正当性を検証する第２の検証部をさらに備え、
   前記検証部は、他の通信装置から受信した前記電子署名のうち、前記第２の検証部が検証に成功した前記電子署名の正当性を検証する
   ことを特徴とする請求項５に記載の通信装置。
7. 前記回線終端装置内に前記制御部が設けられていることを特徴とする請求項５に記載の通信装置。
8. 自装置が接続しているネットワークの状態を示す状態情報を取得する取得部と、
   自装置が実施するデータ通信に係る制御の方式を示す方式情報を、前記ネットワークに接続している他の通信装置へ送信する第１の送信部と、
   前記ネットワークに接続している他の通信装置から前記方式情報を受信する第１の受信部と、
   他の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記方式情報を送信した他の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す制御情報と前記制御情報の電子署名とを生成する決定部と、
   前記方式情報を送信した他の通信装置へ前記制御情報および前記電子署名を送信する第２の送信部と、
   他の通信装置から前記制御情報および前記電子署名を受信する第２の受信部と、
   他の通信装置から受信した前記電子署名の正当性を検証する検証部と、
   前記検証部が前記電子署名の正当性の検証に成功した場合、他の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う制御部と、
   としてコンピュータを機能させるためのプログラム。
9. 同一のネットワークに接続している第１の通信装置および第２の通信装置を備えた通信システムであって、
   前記第１の通信装置は、
   前記第１の通信装置が実施するデータ通信に係る制御の方式を示す方式情報を前記第２の通信装置へ送信する第１の送信部と、
   前記第２の通信装置から、前記第１の通信装置が実施する制御の内容を示す制御情報および前記制御情報の電子署名を受信する第１の受信部と、
   前記第２の通信装置から受信した前記電子署名の正当性を検証する検証部と、
   前記検証部が前記電子署名の正当性の検証に成功した場合、前記第２の通信装置から受信した前記制御情報が示す制御の内容に基づいて、他の通信装置とのデータ通信に係る制御を行う制御部と、
   を有し、
   前記第２の通信装置は、
   前記ネットワークの状態を示す状態情報を取得する取得部と、
   前記第１の通信装置から前記方式情報を受信する第２の受信部と、
   前記第１の通信装置から受信した前記方式情報および前記状態情報に基づいて、前記第１の通信装置が実施する制御の内容を決定し、決定した制御の内容を示す前記制御情報と前記制御情報の電子署名とを生成する決定部と、
   前記第１の通信装置へ前記制御情報および前記電子署名を送信する第２の送信部と、
   を有する
   ことを特徴とする通信システム。

Images