JP6285828B2 - パケットヘッダ識別制御装置、制御方法、及び制御プログラム - Google Patents

Description

本発明は、パケットヘッダ識別制御装置、制御方法、及び制御プログラムに関する。

近年、ＩＰ（Internet Protocol）パケットのパケットヘッダ及びペイロードを分析して、パケットのフローが関係するアプリケーションを識別し、フロー制御するアプリケーション識別制御装置の導入が進んでいる。アプリケーション識別制御装置の導入は、アプリケーションを用いた通信又はネットワークサービスの提供、プロビジョニングのためのネットワーク状況の把握を目的とする。

アプリケーション識別制御装置は、ポリシ管理装置から通知されたユーザポリシに基づいて、アプリケーション識別制御装置へ入力されたフローに対してアプリケーション識別を行い、ユーザポリシに合致したフローの制御を行う。

また、アプリケーション識別制御装置は、ユーザポリシに基づいて、所定のアプリケーションに関連するフローの開始又は終了を検知する。アプリケーション識別制御装置は、フローの開始又は終了を検知すると、フローのパケットをアプリケーションレベルで識別した結果であるアプリケーション情報と当該フローの５ｔｕｐｌｅ情報とをポリシ管理装置へ通知する。

アプリケーション識別制御装置は、５ｔｕｐｌｅ情報（送信元ＩＰアドレス、送信先アドレス、送信元ポート番号、送信先ポート番号、プロトコル番号の組合せ）及びアプリケーション情報で識別したフローに対して、パケット単位又はパケットデータ量のカウント、通信遮断、最大帯域制限、ＱｏＳ（Quality of Service）クラスリマーク等の制御を行う。また、パケットヘッダ識別制御装置も、５ｔｕｐｌｅ情報で識別したフローに対して、アプリケーション識別制御装置と同様の制御を行う。

しかし、ペイロード分析によるアプリケーション識別は、５ｔｕｐｌｅ情報識別と比較して高コストである。そこで、複数のパケットヘッダ識別制御装置でアプリケーション識別制御装置を共用するネットワーク構成とする。パケットヘッダ識別制御装置は、ポリシ管理装置からの指示で設定したユーザポリシに転送ポリシが含まれる場合、アプリケーション識別対象フローを５ｔｕｐｌｅ情報で識別した後、アプリケーション識別制御装置へ当該フローを転送する。

"3GPP（3rd Generation Partnership Project） TS 23.203 v12.2.0（2013-09） Technical Specification Group Services and System Aspects） Policy and charging control architecture（Release12）、［online］、3GPP、［平成２６年８月２５日検索］、インターネット＜ＵＲＬ：http://www.3gpp.org/ftp/Specs/archive/23_series/23.203/23203-c20.zip＞

しかしながら、上述の従来技術では、パケットヘッダ識別制御装置は、アプリケーション識別制御装置によるアプリケーション識別結果が通知されない。このため、パケットヘッダ識別制御装置は、アプリケーション識別制御装置においてアプリケーション識別した結果にかかわらず、アプリケーション識別対象フローをフロー終了までアプリケーション識別制御装置へ転送する。よって、パケットヘッダ識別制御装置は、アプリケーション識別制御装置でアプリケーション識別した結果、制御対象でないと判明した、アプリケーション識別制御装置へ転送せずともよいフローであっても継続して転送する。このため、アプリケーション識別制御装置は、既にアプリケーション識別を行って識別結果を得たフローに対しても継続してパケットを受信し、フロー識別や転送処理を行っていることにより処理負荷が増加している。また、アプリケーション識別し、制御対象と識別されたフローに対してはユーザポリシに基づいた制御を行うが、比較的低コストなパケットヘッダ制御装置で同じ制御を行うことができればコスト低減できる。

本願が開示する実施形態の一例は、上記に鑑みてなされたものであって、アプリケーション識別制御装置の処理負荷を低減することを目的とする。

本願が開示する実施形態の一例は、ネットワークにおいて、ユーザ端末からの送信フロー、またはユーザ端末への受信フローをアプリケーション識別制御装置へ転送するパケットヘッダ識別制御装置であって、管理部、転送部、追加部、実行部を有する。管理部は、パケットヘッダ情報で識別される各フローに対して実行する制御ポリシを前記パケットヘッダ情報ごとに管理する。転送部は、管理部により管理される制御ポリシに従って各フローをアプリケーション識別制御装置へ転送する。追加部は、アプリケーション識別制御装置による各フローのアプリケーション識別結果に応じてアプリケーション識別制御装置から制御対象フロー検出情報を受信し、ユーザ情報、ユーザ情報ごとの制御ポリシ及び各フローを収容する収容先パケットヘッダ識別制御装置を示す情報を参照し、制御対象フロー検出情報の各フローに対して実行されるユーザごとかつアプリケーション情報ごとの制御ポリシをパケットヘッダ情報に基づくフロー条件とともに各フローを収容するパケットヘッダ識別制御装置へ通知して設定させるポリシ管理装置から通知された、フロー条件及びユーザごとかつ前記アプリケーション情報ごとの制御ポリシを、管理部により管理される、対応するパケットヘッダ情報ごとの制御ポリシへ追加する。実行部は、各フローをパケットヘッダ情報で識別して、追加部により追加された制御ポリシを含むパケットヘッダ情報ごとの制御ポリシを各フローに対して実行する。

本願が開示する実施形態の一例によれば、例えば、アプリケーション識別制御装置の処理負荷を低減できる。

図１は、実施形態１に係るネットワークシステムの構成の一例を示す図である。 図２は、実施形態１に係るパケットヘッダ識別制御装置の構成の一例を示す図である。 図３は、実施形態１に係るパケットヘッダ識別制御装置が有するポリシテーブルの一例を示す図である。 図４は、実施形態１に係るパケットヘッダ識別制御装置が有するフローテーブルの一例を示す図である。 図５は、実施形態１に係るアプリケーション識別制御装置の構成の一例を示す図である。 図６は、実施形態１に係るアプリケーション識別制御装置が有するポリシテーブルの一例を示す図である。 図７は、実施形態１に係るポリシ管理装置の構成の一例を示す図である。 図８Ａは、実施形態１に係るポリシ管理装置が有するパケットヘッダ識別制御装置用ポリシテーブルの一例を示す図である。 図８Ｂは、実施形態１に係るポリシ管理装置が有するアプリケーション識別制御装置用ポリシテーブルの一例を示す図である。 図８Ｃは、実施形態１に係るポリシ管理装置が有する装置対応情報テーブルの一例を示す図である。 図９は、実施形態１に係るネットワークシステムにおける転送制御処理を示すフローチャートの一例を示す図である。 図１０は、実施形態２に係るパケットヘッダ識別制御装置が有するフローテーブルの一例を示す図である。 図１１は、実施形態２に係るネットワークシステムにおける転送制御処理を示すフローチャートの一例を示す図である。 図１２は、実施形態３に係るネットワークシステムにおける転送制御処理を示すフローチャートの一例を示す図である。 図１３は、各プログラムが実行されることにより、パケットヘッダ識別制御装置、アプリケーション識別制御装置、ポリシ管理装置が実現されるコンピュータの一例を示す図である。

以下、本願が開示するパケットヘッダ識別制御装置を含む実施形態を説明する。なお、以下の実施形態は、一例を示すに過ぎず、本願が開示する技術を限定するものではない。また、以下に示す実施形態及びその変形例は、矛盾しない範囲で適宜組合せてもよい。

［実施形態１］
（実施形態１に係るネットワークシステムの構成）
図１は、実施形態１に係るネットワークシステムの構成の一例を示す図である。実施形態１に係るネットワークシステム１は、キャリア網等である。図１に示すように、ネットワークシステム１は、複数のパケットヘッダ識別制御装置１０、アプリケーション識別制御装置２０、ポリシ管理装置３０を有する。ネットワークシステム１は、２つのパケットヘッダ識別制御装置１０に対して１つのアプリケーション識別制御装置２０が対応する構成である。

パケットヘッダ識別制御装置１０は、ユーザの通信開始を契機として、ポリシ管理装置３０へ通信開始情報を送信する。通信開始情報は、ユーザがネットワークシステム１に接続して通信を開始したことを通知する情報である。ユーザは、例えばユーザのＩＰアドレス、ＶＬＡＮ（Virtual LAN（Local Area Network））情報、端末識別情報、回線情報等により識別される。

ポリシ管理装置３０は、ユーザごとに、ユーザ情報、フロー条件、適用ポリシを対応付けて管理する、パケットヘッダ識別制御装置１０へ送信して設定させるパケットヘッダ識別制御装置用ポリシテーブルを管理する。パケットヘッダ識別制御装置用ポリシテーブルにおける適用ポリシは、パケットヘッダ識別制御装置１０において、５ｔｕｐｌｅ情報で識別されるユーザのフロー条件に合致するフローに対して実行される、フローを制御する具体的な制御内容である。５ｔｕｐｌｅ情報とは、フローの属性であり、送信元及び送信先のＩＰアドレス、送信元及び送信先のポート番号、プロトコル番号の組である。パケットヘッダ識別制御装置用ポリシテーブルの詳細は、後述する。

また、ポリシ管理装置３０は、ユーザごとに、ユーザ情報、フロー条件、適用ポリシを対応付けて管理する、アプリケーション識別制御装置２０へ送信して設定させるアプリケーション識別制御装置用ポリシテーブルを管理する。アプリケーション識別制御装置用ポリシテーブルにおける適用ポリシは、アプリケーション識別制御装置２０において、ユーザごとに設定されたフロー条件（ユーザごとのアプリケーション種別を含む）に合致するフローに対して実行される、フローを制御する具体的な制御内容（アプリケーション識別を含む）である。アプリケーション識別制御装置用ポリシテーブルの詳細は、後述する。

さらに、ポリシ管理装置３０は、パケットヘッダ識別制御装置１０を示すパケットヘッダ識別制御装置情報、パケットヘッダ識別制御装置１０からアプリケーション識別対象フローを転送する転送先のアプリケーション識別制御装置２０を示すアプリケーション識別制御装置情報を対応付けた装置対応情報テーブルを管理する。ユーザが収容されるパケットヘッダ識別制御装置１０は、例えば、ユーザの通信開始情報を送信したパケットヘッダ識別制御装置１０のＩＰアドレスから判定される。ユーザを収容するパケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０が予め決められている場合は、装置対応情報テーブルは、ユーザごとにユーザを収容するパケットヘッダ識別制御装置及びアプリケーション識別制御装置を対応付けて管理してもよい。装置対応情報テーブルの詳細は、後述する。

ポリシ管理装置３０は、パケットヘッダ識別制御装置１０から通信開始情報を受信すると、送信元のパケットヘッダ識別制御装置１０及びユーザを収容するアプリケーション識別制御装置２０それぞれへ、それぞれのフロー条件及び適用ポリシの組合せである初回ポリシを送信する。そして、パケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０は、ポリシ管理装置３０から、それぞれの初回ポリシを受信すると、受信した初回ポリシをそれぞれ自装置のポリシテーブルへ設定する。パケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０が有するポリシテーブルの詳細は、後述する。

なお、パケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０への初回ポリシの送信は、次の方法でもよい。すなわち、パケットヘッダ識別制御装置１０は、ユーザの通信開始を契機として、ポリシ管理装置３０に加え、当該ユーザを収容するアプリケーション識別制御装置２０へ通信開始情報を送信する。そして、アプリケーション識別制御装置２０は、通信開始情報を受信すると、ポリシ管理装置３０へ通信開始情報を送信する。ポリシ管理装置３０は、パケットヘッダ識別制御装置１０から通信開始情報を受信すると、送信元のパケットヘッダ識別制御装置１０へ、通信開始情報に対応する初回ポリシを送信する。また、ポリシ管理装置３０は、アプリケーション識別制御装置２０から通信開始情報を受信すると、送信元のアプリケーション識別制御装置２０へ、通信開始情報に対応する初回ポリシを送信する。

パケットヘッダ識別制御装置１０は、ユーザ端末／ネットワークからの送信フロー若しくはユーザ端末／ネットワークへの受信フロー、又は、ユーザ端末／ネットワークからの送信フロー及びユーザ端末／ネットワークへの受信フローである、入力されたフローに対して、自装置に設定された初回ポリシに基づいて５ｔｕｐｌｅ識別を行う。５ｔｕｐｌｅ識別は、フローをパケットヘッダの５ｔｕｐｌｅ情報により識別することをいう。そして、パケットヘッダ識別制御装置１０は、自装置が有するポリシテーブルにおいて、５ｔｕｐｌｅ識別の結果がフロー条件に合致するフロー（制御対象フロー）を検知すると、制御対象フローに対応する適用ポリシを制御対象フローに対して実行する。また、パケットヘッダ識別制御装置１０は、自装置が有するポリシテーブルにおいて、制御対象フローが合致するフロー条件を含む初回ポリシが転送ポリシを含む場合、制御対象フローを、指定されたアプリケーション識別制御装置２０へ転送する。

アプリケーション識別制御装置２０は、パケットヘッダ識別制御装置１０から転送されたフローに対して、アプリケーション識別の識別対象フロー条件及び識別アプリケーション種別を含む、ユーザごとに設定された初回ポリシに基づいて、フロー条件が合致したフローに対して初回ポリシに設定されたアプリケーション種別のアプリケーション識別を行う。アプリケーション識別は、フローを構成するパケットのＬ４〜７（Layer（レイヤ）４〜７）・ペイロード分析及び、フローをシーケンス解析した結果により、フローをアプリケーション識別することをいう。そして、アプリケーション識別制御装置２０は、自装置が有するポリシテーブルにおいて、アプリケーション識別の結果がフロー条件に合致するフロー（制御対象フロー）を検知すると、制御対象フローに対応する適用ポリシを制御対象フローに対して実行する。

また、アプリケーション識別制御装置２０は、初回ポリシに基づいて、アプリケーション識別したフローが所定のアプリケーションの場合、制御対象フロー検出情報（５ｔｕｐｌｅ情報及びアプリケーション情報）をポリシ管理装置３０へ送信する。

ポリシ管理装置３０は、アプリケーション識別制御装置２０から制御対象フロー検出情報を受信すると、アプリケーション識別制御装置用ポリシテーブル及び装置対応情報テーブルを参照し、制御対象フローへ適用する適用ポリシ及び制御対象フローの５ｔｕｐｌｅ情報を含むフロー条件の組合せである追加ポリシを、アプリケーション識別制御装置２０に対応するパケットヘッダ識別制御装置１０へ送信する。

そして、パケットヘッダ識別制御装置１０は、ポリシテーブルにおいて、受信した追加ポリシが含むフロー条件に合致するフロー条件に対応する適用ポリシへ、受信した追加ポリシが含む適用ポリシを追加する。以後、パケットヘッダ識別制御装置１０は、初回ポリシ及び追加ポリシが含む適用ポリシに基づいて、５ｔｕｐｌｅ情報でフローを識別し、制御対象フローに対してフロー条件に合致する適用ポリシを実行する。

（実施形態１に係るパケットヘッダ識別制御装置の構成）
図２は、実施形態１に係るパケットヘッダ識別制御装置の構成の一例を示す図である。実施形態１に係るパケットヘッダ識別制御装置１０は、ＮＰ（Network Processor）及び／又はＣＰＵ（Central Processing Unit）を有するネットワーク装置である。パケットヘッダ識別制御装置１０は、制御部１１、ポリシ管理部１２、フローテーブル管理部１３、ルーティングテーブル管理部１４、パケット識別部（５ｔｕｐｌｅ）１５、送受信部１６を有する。

制御部１１は、３ＧＰＰ（3rd Generation Partnership Project、(登録商標)）プロトコル処理を実行するとともに、パケットヘッダ識別制御装置１０の全体制御を実行する。ポリシ管理部１２は、後述のポリシテーブル１２ａ（図３参照）を管理する。フローテーブル管理部１３は、後述のフローテーブル１３ａ（図４参照）を管理する。ルーティングテーブル管理部１４は、図示しないルーティングテーブルを管理する。

制御部１１は、送受信部１６を介して、ユーザがネットワークに接続して通信を開始したことを検知すると、ポリシ管理装置３０へ通信開始情報を送信する。そして、制御部１１は、送受信部１６を介して、ポリシ管理装置３０から、フロー条件（５ｔｕｐｌｅ情報）及び適用ポリシの組合せである初回ポリシを受信する。そして、制御部１１は、受信した初回ポリシの新規エントリをポリシテーブル１２ａへ追加する。

なお、ポリシテーブル１２ａにおけるエントリは、例えば、エントリの設定後に追加されたエントリ数が最大設定可能数を超えた場合、制御対象フローのパケットが一定期間到着しないことにより参照されないエントリである場合、エントリ後、所定期間が経過したエントリである場合などに、削除される。

パケット識別部（５ｔｕｐｌｅ）１５は、送受信部１６を介して、ユーザ端末／ネットワークからの送信フロー若しくはユーザ端末／ネットワークへの受信フロー、又は、ユーザ端末／ネットワークからの送信フロー及びユーザ端末／ネットワークへの受信フローを５ｔｕｐｌｅ情報で識別する。制御部１１は、パケット識別部（５ｔｕｐｌｅ）１５によるフローの識別結果である５ｔｕｐｌｅ情報に対応するエントリがポリシテーブル１２ａに存在する場合、対応する適用ポリシをフローに対して実行する。

また、制御部１１は、ポリシテーブル１２ａにおいて５ｔｕｐｌｅ情報に対応する適用ポリシが“（アプリケーション識別制御装置２０への）転送”を含む場合、フローテーブル管理部１３が管理するフローテーブル１３ａを参照する。そして、制御部１１は、フローテーブル１３ａにおいて、該当５ｔｕｐｌｅ情報に対応するエントリが存在する場合、次の動作を行う。すなわち、制御部１１は、送受信部１６を介して、該当エントリにおける「転送先アプリケーション識別制御装置情報」に対応するアプリケーション識別制御装置２０へ該当フローを転送する。

また、制御部１１は、ポリシテーブル１２ａにおいて該当５ｔｕｐｌｅ情報に対応する適用ポリシが“（アプリケーション識別制御装置２０への）転送”を含まない場合、ルーティングテーブルに従ってパケットをアプリケーション識別制御装置２０以外へ転送する。

なお、制御部１１は、フローテーブル１３ａにおいて、該当エントリにおける「転送先アプリケーション識別制御装置情報」に“Ｌ０”が格納されている場合、ポリシテーブル１２ａにおいて該当５ｔｕｐｌｅ情報に対応する適用ポリシが“（アプリケーション識別制御装置２０への）転送”を含む場合であっても、アプリケーション識別制御装置２０へ該当フローを転送しない。すなわち、制御部１１は、ルーティングテーブルに従って該当フローをアプリケーション識別制御装置２０以外へ転送する。

ここで、“Ｌ０”は、パケットヘッダ識別制御装置１０が、該当５ｔｕｐｌｅ情報に対応する、フロー転送中止の指示を含む追加ポリシを適用ポリシに追加した際に、該当フローの「転送先アプリケーション識別制御装置情報」を無効にするために設定される値である。

制御部１１は、初回ポリシに“（アプリケーション識別制御装置２０への）転送”が含まれるが、フローの５ｔｕｐｌｅ情報に対応するエントリがフローテーブル１３ａに存在しない場合、初回ポリシに含まれる転送先のアプリケーション識別制御装置情報に該当５ｔｕｐｌｅ情報を対応付けた新規エントリをフローテーブル１３ａへ追加する。

（実施形態１に係るパケットヘッダ識別制御装置が有するポリシテーブル）
図３は、実施形態１に係るパケットヘッダ識別制御装置が有するポリシテーブルの一例を示す図である。図３に示すように、実施形態１に係るパケットヘッダ識別制御装置１０が有するポリシテーブル１２ａは、「フローＩＤ（Identifier）」「フロー条件」「適用ポリシ」のカラムを含む。

「フローＩＤ」は、ポリシテーブル１２ａにおける「フロー条件」及び「適用ポリシ」の組合せの各エントリに付与された番号である。「フロー条件」は、「適用ポリシ」を適用するフローを識別する５ｔｕｐｌｅ情報である。「適用ポリシ」は、「フロー条件」の５ｔｕｐｌｅ情報に合致するフローに対して実行される制御ポリシの具体的内容である。なお、「適用ポリシ」は、「フロー条件」の５ｔｕｐｌｅ情報に対応するフローのパケットを、フローテーブル１３ａで指定されるアプリケーション識別制御装置２０へ転送する指示を含む場合がある。

「フロー条件」及び「適用ポリシ」には、ポリシ管理装置３０から通知された“初回ポリシ”が含むフロー条件（５ｔｕｐｌｅ情報）及びこのフロー条件に対応するフローの具体的な制御内容を示す適用ポリシがそれぞれ格納される。また、ポリシ管理装置３０から通知された“追加ポリシ”が含むフロー条件（５ｔｕｐｌｅ情報）に合致する「フロー条件」に対応する「適用ポリシ」へ、“追加ポリシ”が含むフロー条件（５ｔｕｐｌｅ情報）に対応するフローの具体的な制御内容を示す適用ポリシが追加格納される。なお、追加ポリシのフロー条件と合致するフロー条件が既にポリシテーブル１２ａにエントリされているとは限らない。例えば、フロー転送を含む適用ポリシに対応するフロー条件が“ソースアドレスのみ”、アプリ識別されたフローは５ｔｕｐｌｅ情報で特定されるフロー条件などがある。

図３の例では、「フロー条件」“src IP=x1，dst IP=サーバz1，src port=50001，dst port=80，protocol=6”で特定されるフローは、“ポリシ１１”が実行される。そして、“ポリシ１１”の「適用ポリシ」が実行されたフローは、「適用ポリシ」が“（アプリケーション識別制御装置への）転送及び転送先のアプリケーション識別制御装置情報”を含む場合、“装置＃１”（図４参照）で特定されるアプリケーション識別制御装置２０へ転送される。また、図３の例では、「フロー条件」“src IP=x1，dst IP=サーバz6，src port=60002，dst port=80，protocol=6”で特定されるフローは、“ポリシ１３”が実行される。そして、“ポリシ１３”の「適用ポリシ」が実行されたフローは、「転送先アプリケーション識別制御装置情報」が“Ｌ０”（図４参照）であるので、いずれのアプリケーション識別制御装置２０へも転送されず、ルーティングテーブルに従って他装置へ転送される。

（実施形態１に係るパケットヘッダ識別制御装置が有するフローテーブル）
図４は、実施形態１に係るパケットヘッダ識別制御装置が有するフローテーブルの一例を示す図である。図４に示すように、実施形態１に係るパケットヘッダ識別制御装置１０が有するフローテーブル１３ａは、「フローＩＤ」「５ｔｕｐｌｅ情報」「転送先アプリケーション識別制御装置情報」のカラムを含む。

「フローＩＤ」は、フローテーブル１３ａにおける「５ｔｕｐｌｅ情報」及び「転送先アプリケーション識別制御装置情報」の組合せの各エントリに付与された番号である。「５ｔｕｐｌｅ情報」は、フローを識別する５ｔｕｐｌｅ情報である。「転送先アプリケーション識別制御装置情報」は、「５ｔｕｐｌｅ情報」に対応するフローのパケットを転送する転送先のアプリケーション識別制御装置２０の識別子であり、例えば当該装置のＩＰアドレスである。

図４の例では、「５ｔｕｐｌｅ情報」“src IP=x1，dst IP=サーバz1，src port=50001，dst port=80，protocol=6”で特定されるフローは、“装置＃１”で特定されるアプリケーション識別制御装置２０へ転送される。また、図４の例では、「５ｔｕｐｌｅ情報」“src IP=y1，dst IP=サーバz6，src port=60002，dst port=80，protocol=6”で特定されるフローは、「転送先アプリケーション識別制御装置情報」へ“Ｌ０”が格納されている。よって、当該フローは、いずれのアプリケーション識別制御装置２０へも転送されず、ルーティングテーブルに従って他装置へ転送される。

なお、“Ｌ０”は、「転送先アプリケーション識別制御装置情報」の無効値であり、いずれの「転送先アプリケーション識別制御装置情報」も示さない値であれば、どのような値であってもよい。「転送先アプリケーション識別制御装置情報」へ“Ｌ０”が格納されるケースは、２通りある。すなわち、１つは、アプリケーション識別制御装置２０を示す「転送先アプリケーション識別制御装置情報」が格納されていたが、ポリシ管理装置３０からパケットヘッダ識別制御装置１０へ、フロー転送中止の指示を含む追加ポリシが通知されたことにより“Ｌ０”で更新されたケースである。他の１つは、ポリシテーブル１２ａにおいて該当「フロー条件」に対応する「適用ポリシ」が“（アプリケーション識別制御装置への）転送”を含まない場合である。

（実施形態１に係るアプリケーション識別制御装置の構成）
図５は、実施形態１に係るアプリケーション識別制御装置の構成の一例を示す図である。実施形態１に係るアプリケーション識別制御装置２０は、ＮＰ及び／又はＣＰＵを有するネットワーク装置である。アプリケーション識別制御装置２０は、制御部２１、ポリシ管理部２２、パケット識別部（アプリケーション）２３、送受信部２４、図示しないルーティングテーブルを有する。

制御部２１は、３ＧＰＰプロトコル処理を実行するとともに、アプリケーション識別制御装置２０の全体制御を実行する。ポリシ管理部２２は、後述のポリシテーブル２２ａ（図６参照）を管理する。制御部２１は、送受信部２４を介して、ポリシ管理装置３０から、ユーザごとの初回ポリシを受信すると、初回ポリシに対応する新規エントリをポリシテーブル２２ａへ追加する。なお、アプリケーション識別制御装置２０は、パケットヘッダ識別制御装置１０とは異なり、ポリシ管理装置３０から追加ポリシが送信されることはない。

パケット識別部（アプリケーション）２３は、パケットヘッダ識別制御装置１０から転送されたフローに対して、ユーザごとに設定されたアプリケーション識別対象フロー条件及び識別アプリケーション種別を含む初回ポリシに基づいて、当該アプリケーション種別のフローであるかをＬ４〜Ｌ７（Layer4〜７）・ペイロードの分析及び、フローのシーケンス解析した結果により、アプリケーション識別する。

制御部２１は、アプリケーション識別の結果、ポリシ管理部２２が管理するポリシテーブル２２ａ（図６参照）におけるフロー条件に合致するフロー（制御対象フロー）を検知すると、次の動作を行う。すなわち、制御部２１は、ポリシテーブル２２ａにおいてフロー条件に合致する適用ポリシを該当フローに対して実行する。そして、制御部２１は、適用ポリシを実行したフローを、図示しないルーティングテーブルに従って、送受信部２４を介して、ポリシ管理装置３０以外の装置へ転送する。

なお、制御部２１は、アプリケーション識別の結果、ポリシ管理部２２が管理するポリシテーブル２２ａにおけるフロー条件に合致するフロー（制御対象フロー）を検知しない場合、次の動作を行う。すなわち、制御部２１は、該当フローに対して適用ポリシを実行せず、図示しないルーティングテーブルに従って、送受信部２４を介して、ポリシ管理装置３０以外の装置へ転送する。

（実施形態１に係るアプリケーション識別制御装置が有するポリシテーブル）
図６は、実施形態１に係るアプリケーション識別制御装置が有するポリシテーブルの一例を示す図である。図６に示すように、実施形態１に係るアプリケーション識別制御装置２０が有するポリシテーブル２２ａは、「フローＩＤ」「フロー条件」「適用ポリシ」のカラムを含む。

「フローＩＤ」は、ポリシテーブル２２ａにおける「フロー条件」及び「適用ポリシ」の組合せの各エントリに付与された番号である。「フロー条件」は、フローを識別する５ｔｕｐｌｅ情報及びアプリケーション情報である。「適用ポリシ」は、「フロー条件」に合致するフローに対して実行される適用ポリシの具体的内容である。

図６の例では、「フロー条件」“５ｔｕｐｌｅ情報１＋アプリケーション情報１”で特定されるフローは、“ポリシ２１”が実行される。また、図６の例では、「フロー条件」“５ｔｕｐｌｅ情報３＋アプリケーション情報３”で特定されるフローは、“ポリシ２３”が実行される。

なお、ポリシテーブル２２ａにおけるエントリは、例えば、エントリの設定後に追加されたエントリ数が最大設定可能数を超えた場合、制御対象フローのパケットが一定期間到着しないことにより参照されないエントリである場合、エントリ後、所定期間が経過したエントリである場合などに、削除される。

（実施形態１に係るポリシ管理装置の構成）
図７は、実施形態１に係るポリシ管理装置の構成の一例を示す図である。実施形態１に係るポリシ管理装置３０は、ＮＰ及び／又はＣＰＵを有するネットワーク装置である。ポリシ管理装置３０は、制御部３１、ポリシ管理部３２、送受信部３３を有する。

制御部３１は、３ＧＰＰプロトコル処理を実行するとともに、ポリシ管理装置３０の全体制御を実行する。ポリシ管理部３２は、後述のパケットヘッダ識別制御装置用ポリシテーブル３２ａ（図８Ａ参照）、後述のアプリケーション識別制御装置用ポリシテーブル３２ｂ（図８Ｂ参照）及び後述の装置対応情報テーブル３２ｃ（図８Ｃ参照）を管理する。

制御部３１は、送受信部３３を介して、パケットヘッダ識別制御装置１０から、ユーザごとの通信開始情報を受信する。そして、制御部３１は、ユーザごとの通信開始情報を受信すると、パケットヘッダ識別制御装置用ポリシテーブル３２ａにおいて、該当ユーザ及び該当ユーザ情報に対応するフロー条件及び適用ポリシの組合せを、初回ポリシとして、送受信部３３を介して、パケットヘッダ識別制御装置１０へ送信する。

また、制御部３１は、ユーザごとの通信開始情報を受信すると、アプリケーション識別制御装置用ポリシテーブル３２ｂにおいて、該当ユーザ及び該当ユーザ情報に対応するフロー条件及び適用ポリシを、初回ポリシとして、送受信部３３を介して、アプリケーション識別制御装置２０へ送信する。初回ポリシの送信先のアプリケーション識別制御装置２０は、装置対応情報テーブル３２ｃにおいて通信開始情報の送信元のパケットヘッダ識別制御装置１０に対応付けられるアプリケーション識別制御装置２０である。

また、制御部３１は、送受信部３３を介して、アプリケーション識別制御装置２０からアプリケーション情報及び該当アプリケーション情報に対応する５ｔｕｐｌｅ情報を受信する。そして、制御部３１は、受信したアプリケーション情報が所定のアプリケーションを示す場合、送受信部３３を介して、アプリケーション識別制御装置用ポリシテーブル３２ｂにおいて対応する適用ポリシを、追加ポリシとして、該当５ｔｕｐｌｅ情報とともにパケットヘッダ識別制御装置１０へ送信する。追加ポリシの送信先のパケットヘッダ識別制御装置１０は、装置対応情報テーブル３２ｃにおいて通信開始情報の送信元のパケットヘッダ識別制御装置１０である。

（実施形態１に係るパケットヘッダ識別制御装置用ポリシテーブル）
図８Ａは、実施形態１に係るポリシ管理装置が有するパケットヘッダ識別制御装置用ポリシテーブルの一例を示す図である。実施形態１に係るポリシ管理装置３０が有するパケットヘッダ識別制御装置用ポリシテーブル３２ａは、次のカラムを含む。すなわち、パケットヘッダ識別制御装置用ポリシテーブル３２ａは、「ユーザＩＤ」「ユーザ情報」「フロー条件」「適用ポリシ」のカラムを含む。パケットヘッダ識別制御装置用ポリシテーブル３２ａは、パケットヘッダ識別制御装置１０へ送信する適用ポリシを、ユーザごとに管理する。

「ユーザＩＤ」は、フローのユーザを識別する識別子である。「ユーザ情報」は、「ユーザＩＤ」により識別されるユーザの契約情報等である。「フロー条件」は、「ユーザＩＤ」に対応する１つ以上の「適用ポリシ」それぞれを実行するフローそれぞれの５ｔｕｐｌｅ情報である。「適用ポリシ」は、「フロー条件」に合致するフローに対して、パケットヘッダ識別制御装置１０にて実行される、５ｔｕｐｌｅ情報レベルの制御ポリシの具体的内容である。

そして、パケットヘッダ識別制御装置用ポリシテーブル３２ａにおける「適用ポリシ」は、パケットヘッダ識別制御装置１０からのユーザごとの通信開始情報の受信に応答して、送信元のパケットヘッダ識別制御装置１０へ、ポリシ適用フロー条件の情報とともに通知される、ユーザごとのポリシ適用フロー条件に合致するフローに対して実行される、フローを制御する具体的な制御内容である。。そして、パケットヘッダ識別制御装置用ポリシテーブル３２ａにおける「適用ポリシ」は、送信元のパケットヘッダ識別制御装置１０が有するポリシテーブル１２ａの、対応する「フロー条件」に該当する５ｔｕｐｌｅ情報に対応付けられる「適用ポリシ」へ格納される。すなわち、「適用ポリシ」は、パケットヘッダ識別制御装置１０が有するポリシテーブル１２ａの「適用ポリシ」のカラムへ格納される。

図８Ａの例では、例えば、「ユーザＩＤ」“ユーザ１”、「ユーザ情報」“ユーザ情報１”に対応する「フロー条件」「適用ポリシ」の組合せは、“５ｔｕｐｌｅ情報＝Ａ１”“ポリシＡ１”、“５ｔｕｐｌｅ情報＝Ａ２” “ポリシＡ２”・・・である。

（実施形態１に係るアプリケーション識別制御装置用ポリシテーブル）
図８Ｂは、実施形態１に係るポリシ管理装置が有するアプリケーション識別制御装置用ポリシテーブルの一例を示す図である。実施形態１に係るポリシ管理装置３０が有するアプリケーション識別制御装置用ポリシテーブル３２ｂは、次のカラムを含む。すなわち、アプリケーション識別制御装置用ポリシテーブル３２ｂは、「ユーザＩＤ」「ユーザ情報」「フロー条件」「適用ポリシ」のカラムを含む。アプリケーション識別制御装置用ポリシテーブル３２ｂは、アプリケーション識別制御装置２０へ送信するフロー条件及び適用ポリシを、ユーザごとに管理する。

「ユーザＩＤ」は、フローのユーザを識別する識別子である。「ユーザ情報」は、「ユーザＩＤ」により識別されるユーザの契約情報等である。「フロー条件」は、「適用ポリシ」を実行するフローそれぞれの５ｔｕｐｌｅ情報及びアプリケーション情報である。「適用ポリシ」は、「フロー条件」に合致するフローに対して、アプリケーション識別制御装置２０にて実行される制御ポリシの具体的内容である。

そして、アプリケーション識別制御装置用ポリシテーブル３２ｂにおける「適用ポリシ」は、パケットヘッダ識別制御装置１０からのユーザごとの通信開始情報の受信に応答して、装置対応情報テーブル３２ｃにおいて、通信開始情報の送信元のパケットヘッダ識別制御装置１０に対応するアプリケーション識別制御装置２０へポリシ管理装置から通知されるユーザごとの初回ポリシに含まれる。そして、アプリケーション識別制御装置用ポリシテーブル３２ｂにおける「適用ポリシ」は、送信元のパケットヘッダ識別制御装置１０に対応するアプリケーション識別制御装置２０が有するポリシテーブル２２ａへ、対応する「フロー条件」に該当する５ｔｕｐｌｅ情報及びアプリケーション情報に対応付けて格納される。すなわち、「適用ポリシ」は、アプリケーション識別制御装置２０が有するポリシテーブル２２ａの「適用ポリシ」のカラムへ格納される。

また、アプリケーション識別制御装置用ポリシテーブル３２ｂにおける「適用ポリシ」は、ポリシ管理装置３０が、アプリケーション識別制御装置２０から、５ｔｕｐｌｅ情報及びアプリケーション情報を含む制御対象フロー検出情報を受信した場合、該当５ｔｕｐｌｅ情報とともに、通信開始情報の送信元のパケットヘッダ識別制御装置１０へ送信される。そして、アプリケーション識別制御装置用ポリシテーブル３２ｂにおける「適用ポリシ」は、送信元のパケットヘッダ識別制御装置１０が有するポリシテーブル１２ａへ、該当５ｔｕｐｌｅ情報の「フロー条件」に対応付けて格納される。すなわち、「適用ポリシ」は、パケットヘッダ識別制御装置１０が有するポリシテーブル１２ａの「適用ポリシ」のカラムへ格納される。これにより、パケットヘッダ識別制御装置１０は、パケットヘッダ識別制御装置１０で実行する適用ポリシに加え、アプリケーション識別制御装置２０で実行される適用ポリシも実行できることになる。

図８Ｂの例では、例えば、「ユーザＩＤ」“ユーザ１”、「ユーザ情報」“ユーザ情報１”に対応する「フロー条件」「適用ポリシ」の組合せは、“５ｔｕｐｌｅ情報Ａ１１，アプリケーション情報＝ａ１”“ポリシａ１”、“５ｔｕｐｌｅ情報Ａ１２，アプリケーション情報＝ａ２”“ポリシａ２”・・・である。

（実施形態１に係る装置対応情報テーブル）
図８Ｃは、実施形態１に係るポリシ管理装置が有する装置対応情報テーブルの一例を示す図である。実施形態１に係るポリシ管理装置３０が有する装置対応情報テーブル３２ｃは、「パケットヘッダ識別制御装置情報」「アプリケーション識別制御装置情報」のカラムを有する。「パケットヘッダ識別制御装置情報」「アプリケーション識別制御装置情報」の各値は、各装置のＩＰアドレス等である。

「パケットヘッダ識別制御装置情報」及び「アプリケーション識別制御装置情報」の対応付けは、該当パケットヘッダ識別制御装置１０からアプリケーション識別対象のフローを転送する転送先のアプリケーション識別制御装置を示す。ユーザのフローが収容されるパケットヘッダ識別制御装置１０は、例えば、ユーザの通信開始情報を送信するパケットヘッダ識別制御装置のＩＰアドレスから判定する。

なお、装置対応情報テーブル３２ｃは、ユーザのフローを収容するパケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０が予め決まっている場合、次のようにデータを格納してもよい。すなわち、装置対応情報テーブル３２ｃは、「ユーザＩＤ」にユーザを収容するパケットヘッダ識別制御装置１０の「パケットヘッダ識別制御装置情報」及びアプリケーション識別制御装置２０の「アプリケーション識別制御装置情報」を対応付けて格納する。

（実施形態１に係るネットワークシステムにおける転送制御処理）
図９は、実施形態１に係るネットワークシステムにおける転送制御処理を示すフローチャートの一例を示す図である。図９の説明では、パケットヘッダ識別制御装置１０からアプリケーション識別制御装置２０へパケットを転送する処理について説明し、パケット制御処理については、説明を省略する。

先ず、パケットヘッダ識別制御装置１０は、ポリシ管理装置３０へ通信開始情報を送信する（ステップＳ１００）。次に、ポリシ管理装置３０は、通信開始情報の受信に応答して、パケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０へ各初回ポリシを送信する（ステップＳ３００）。次に、パケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０は、ポリシ管理装置３０から受信した各初回ポリシをそれぞれ自装置へ設定する（ステップＳ１０１、ステップＳ２００）。

次に、パケットヘッダ識別制御装置１０は、パケットを受信したか否かを判定する（ステップＳ１０２）。パケットヘッダ識別制御装置１０は、パケットを受信したと判定した場合（ステップＳ１０２Ｙｅｓ）、ステップＳ１０３へ処理を移す。一方、パケットヘッダ識別制御装置１０は、パケットを受信していないと判定した場合（ステップＳ１０２Ｎｏ）、ステップＳ１０２を繰り返す。ステップＳ１０３では、パケットヘッダ識別制御装置１０は、受信したパケットが転送対象フローか否かを判定する。パケットヘッダ識別制御装置１０は、受信したパケットが転送対象フローである場合（ステップＳ１０３Ｙｅｓ）、ステップＳ１０４へ処理を移し、受信したパケットが転送対象フローでない場合（ステップＳ１０３Ｎｏ）、ステップＳ１０２へ処理を移す。

ステップＳ１０４では、パケットヘッダ識別制御装置１０は、フローテーブル１３ａを参照し、該当フローのエントリが存在するか否かを判定する（ステップＳ１０４）。パケットヘッダ識別制御装置１０は、フローテーブル１３ａに該当フローのエントリが存在すると判定した場合（ステップＳ１０４Ｙｅｓ）、ステップＳ１０６へ処理を移す。一方、パケットヘッダ識別制御装置１０は、フローテーブル１３ａに該当フローのエントリが存在しないと判定した場合（ステップＳ１０４Ｎｏ）、ステップＳ１０５へ処理を移す。

ステップＳ１０５では、パケットヘッダ識別制御装置１０は、フローテーブル１３ａに該当フローのエントリを追加する。パケットヘッダ識別制御装置１０は、ステップＳ１０５の処理が終了すると、ステップＳ１０６へ処理を移す。

ステップＳ１０６では、パケットヘッダ識別制御装置１０は、該当フローの該当エントリの「転送先アプリケーション識別制御装置情報」に“Ｌ０”が格納されているか否かを判定する。パケットヘッダ識別制御装置１０は、該当フローの該当エントリの「転送先アプリケーション識別制御装置情報」に“Ｌ０”が格納されていると判定した場合（ステップＳ１０６Ｙｅｓ）、ステップＳ１０７へ処理を移す。一方、パケットヘッダ識別制御装置１０は、該当フローの該当エントリの「転送先アプリケーション識別制御装置情報」に“Ｌ０”が格納されていないと判定した場合（ステップＳ１０６Ｎｏ）、ステップＳ１０８へ処理を移す。

ステップＳ１０７では、パケットヘッダ識別制御装置１０は、ルーティングテーブルに従ってアプリケーション識別制御装置２０以外へパケットを転送する。パケットヘッダ識別制御装置１０は、ステップＳ１０７が終了すると、ステップＳ１１６へ処理を移す。

ステップＳ１０８では、パケットヘッダ識別制御装置１０は、フローテーブル１３ａに従って、アプリケーション識別制御装置２０へ、パケットを転送する。パケットヘッダ識別制御装置１０は、ステップＳ１０８が終了すると、ステップＳ１０９へ処理を移す。

アプリケーション識別制御装置２０は、パケットヘッダ識別制御装置１０からパケットを受信すると、パケットに対して、アプリケーション識別の識別対象フロー条件及び識別アプリケーション種別を含む、ユーザごとに設定された初回ポリシに基づいて、フロー条件が合致したフローに対して初回ポリシに設定されたアプリケーション種別のアプリケーション識別を行う（ステップＳ２０１）。そして、アプリケーション識別制御装置２０は、ステップＳ２０１でアプリケーション識別したフローが制御対象か否かを判定する（ステップＳ２０２）。アプリケーション識別制御装置２０は、ステップＳ２０２で識別したフローが制御対象である場合（ステップＳ２０２Ｙｅｓ）、制御を行う。そして、アプリケーション識別制御装置２０は、５ｔｕｐｌｅ情報及びステップＳ２０２で識別したアプリケーション情報（制御対象フロー検出情報）を、ポリシ管理装置３０へ送信する（ステップＳ２０３）。一方、アプリケーション識別制御装置２０は、ステップＳ２０２で識別したフローが制御対象でない場合（ステップＳ２０２Ｎｏ）、制御は行わない。なお、アプリケーション識別制御装置２０は、ステップＳ２０２で識別したアプリケーション情報に基づきフローが制御対象であるか否かに関わらず、入力されたパケットを、図示しないルーティングテーブルに従って出力する。

ポリシ管理装置３０は、アプリケーション識別制御装置２０から制御対象フロー検出情報を受信すると、アプリケーション識別制御装置用ポリシテーブル３２ｂを参照し、制御対象フロー検出情報に該当する「フロー条件」が存在する場合、対応する「適用ポリシ」及び当該フローの５ｔｕｐｌｅ情報の組合せを追加ポリシとして、パケットヘッダ識別制御装置１０へ送信する（ステップＳ３０２）。

ステップＳ１０９では、パケットヘッダ識別制御装置１０は、ポリシ管理装置３０から追加ポリシを受信したか否かを判定する。パケットヘッダ識別制御装置１０は、ポリシ管理装置３０から追加ポリシを受信したと判定した場合（ステップＳ１０９Ｙｅｓ）、ステップＳ１１０へ処理を移す。一方、パケットヘッダ識別制御装置１０は、ポリシ管理装置３０から追加ポリシを受信していないと判定した場合（ステップＳ１０９Ｎｏ）、ステップＳ１１２へ処理を移す。

ステップＳ１１０では、パケットヘッダ識別制御装置１０は、ポリシ管理装置３０から受信した追加ポリシを、ポリシテーブル１２ａの「適用ポリシ」において初回ポリシへ追加する。次に、パケットヘッダ識別制御装置１０は、ステップＳ１１０で追加した追加ポリシがフロー転送中止の指示を含む場合に、該当エントリの「転送先アプリケーション識別制御装置情報」へ“Ｌ０”を設定する（ステップＳ１１１）。パケットヘッダ識別制御装置１０は、ステップＳ１１１が終了すると、ステップＳ１１２へ処理を移す。

次に、ステップＳ１１２では、パケットヘッダ識別制御装置１０は、一定期間、参照されないフローテーブル１３ａのエントリ（つまり、制御対象フローのパケットが一定期間到着しないことにより参照されないエントリ）があるか否かを判定する。パケットヘッダ識別制御装置１０は、一定期間、参照されないフローテーブル１３ａのエントリがあると判定した場合（ステップＳ１１２Ｙｅｓ）、ステップＳ１１３へ処理を移す。一方、パケットヘッダ識別制御装置１０は、一定期間、パケットを受信しないフローに該当するフローテーブル１３ａのエントリがないと判定した場合（ステップＳ１１２Ｎｏ）、ステップＳ１１４へ処理を移す。

ステップＳ１１３では、パケットヘッダ識別制御装置１０は、ステップＳ１１２で、一定期間、パケットを受信しないフローに該当すると判定したフローテーブル１３ａのエントリを削除する。パケットヘッダ識別制御装置１０は、ステップＳ１１３の処理が終了すると、ステップＳ１１４へ処理を移す。

次に、ステップＳ１１４では、パケットヘッダ識別制御装置１０は、エントリ後、所定期間経過したフローテーブル１３ａのエントリがあるか否かを判定する。パケットヘッダ識別制御装置１０は、エントリ後、所定期間経過したフローテーブル１３ａのエントリがあると判定した場合（ステップＳ１１４Ｙｅｓ）、ステップＳ１１５へ処理を移す。一方、パケットヘッダ識別制御装置１０は、エントリ後、所定期間経過したフローテーブル１３ａのエントリがないと判定した場合（ステップＳ１１４Ｎｏ）、ステップＳ１１６へ処理を移す。

ステップＳ１１５では、パケットヘッダ識別制御装置１０は、ステップＳ１１４で、エントリ後、所定期間経過したフローテーブル１３ａのエントリを削除する。パケットヘッダ識別制御装置１０は、ステップＳ１１５の処理が終了すると、ステップＳ１１６へ処理を移す。

ステップＳ１１６では、パケットヘッダ識別制御装置１０は、ユーザの通信終了か否かを判定する。パケットヘッダ識別制御装置１０は、ユーザの通信終了と判定した場合（ステップＳ１１６Ｙｅｓ）、当該ユーザの通信に対する転送制御処理を終了し、自装置へ設定した当該ユーザのポリシを削除する（ステップＳ１１７）。また、パケットヘッダ識別制御装置１０は、ポリシ管理装置３０へ当該ユーザの通信終了情報を送信する（ステップＳ１１８）。

次に、ポリシ管理装置３０は、通信終了情報の受信に応答して、アプリケーション識別制御装置２０へ当該ユーザの通信終了情報を送信する（ステップＳ３０２）。次に、アプリケーション識別制御装置２０は、ポリシ管理装置３０から通信終了情報を受信すると、当該ユーザのポリシをそれぞれ自装置から削除する（ステップＳ２０４）。
一方、パケットヘッダ識別制御装置１０は、ユーザの通信終了でないと判定した場合（ステップＳ１１６Ｎｏ）、ステップＳ１０３へ処理を移す。

（実施形態１による効果）
実施形態１は、アプリケーション識別制御装置２０でのアプリケーション識別の結果、制御対象フローであった場合は当該フローに対する適用ポリシを実行する。また、当該フローの５ｔｕｐｌｅ情報とアプリケーション情報をポリシ管理装置３０へ送信する。そして、ポリシ管理装置３０から該当フローの５ｔｕｐｌｅ情報と当該フローに対して実行する適用ポリシを追加ポリシとしてパケットヘッダ識別制御装置１０へ通知して設定させる。追加ポリシは、アプリケーション識別制御装置２０で当該フローに対して実行している適用ポリシと、アプリケーション識別装置２０へのフロー転送中止を含む。実施形態１は、パケットヘッダ識別制御装置１０へ追加ポリシが設定されたことを契機として、パケットヘッダ識別制御装置１０からアプリケーション識別制御装置２０へのパケット転送を中止する。そして、実施形態１は、パケットヘッダ識別制御装置１０が、５ｔｕｐｌｅ情報に基づき行うフローのポリシ制御に加え、アプリケーション識別制御装置２０によるアプリケーション情報に基づいて当該フローに対して実行しているフローの制御も行う。

よって、実施形態１は、アプリケーション識別制御装置２０でのアプリケーション識別後にパケットヘッダ識別制御装置１０がアプリケーション識別制御装置２０へ転送するトラヒックの削減が可能になり、アプリケーション識別制御装置２０の処理負荷を低減できる。例えば、実施形態１は、映像配信等のコンテンツ配信サービスに適用した場合、データ転送量が多くデータ通信の継続時間が長いフローに対して、トラヒック削減効果が高い。

［実施形態２］
実施形態１は、ネットワークシステム１において、ポリシ管理装置からパケットヘッダ識別制御装置へアプリケーション識別装置へのフロー転送中止を含む追加ポリシが通知され設定されたことを契機として、パケットヘッダ識別制御装置からアプリケーション識別制御装置へのパケット転送を中止する。これに対し、実施形態２は、ネットワークシステム１−１（図１参照）において、パケットヘッダ識別制御装置１０−１（図１及び図２参照）からアプリケーション識別制御装置２０へ転送するフロー条件に合致したフローのパケット数をカウントする。そして、実施形態２は、アプリケーション識別制御装置２０におけるアプリケーション識別に十分な所定数のパケットを転送すると、パケットヘッダ識別制御装置１０−１からアプリケーション識別制御装置２０へのパケット転送を停止する点が実施形態１と異なる。以下の実施形態２の説明では、実施形態１と異なる点のみ説明し、同一の構成及び処理については同一参照符号を付与して説明を省略する。

実施形態２に係るパケットヘッダ識別制御装置１０−１（図２参照）は、フローテーブル１３ａに代えて、フローテーブル管理部１３−１（図２参照）がフローテーブル１３ａ−１（図１０参照）を管理する点が実施形態１と異なる。

（実施形態２に係るパケットヘッダ識別制御装置が有するフローテーブル）
図１０は、実施形態２に係るパケットヘッダ識別制御装置が有するフローテーブルの一例を示す図である。図１０に示すように、実施形態２に係るパケットヘッダ識別制御装置１０−１が有するフローテーブル１３ａ−１は、「フローＩＤ」「５ｔｕｐｌｅ情報」「転送先アプリケーション識別制御装置情報」「カウンタ」のカラムを含む。

「カウンタ」は、フローテーブル１３ａ−１における「５ｔｕｐｌｅ情報」及び「転送先アプリケーション識別制御装置情報」の組合せに対応するフローの転送するパケットの数をカウントするカウンタ変数である。パケットヘッダ識別制御装置１０−１は、フローテーブル１３ａ−１へ新規にエントリを追加した際、該当エントリの「カウンタ」に“Ｃ０”を設定する。“Ｃ０”は、「カウンタ」の初期値である。そして、“Ｃ０”は、フローがアプリケーション識別制御装置２０にてアプリケーション識別され、ポリシ管理装置３０から通知された追加ポリシがパケットヘッダ識別制御装置１０−１へ設定されるまでの時間にわたって転送するのに必要なパケット数に相当する。

そして、パケットヘッダ識別制御装置１０−１は、当該エントリに該当するパケットをアプリケーション識別制御装置２０へ１つ転送するごとに、「カウンタ」の値について、初期値“Ｃ０”から１ずつ減算する。そして、パケットヘッダ識別制御装置１０−１は、「カウンタ」が“０”となったエントリに該当するフローのパケットは、アプリケーション識別制御装置２０へ転送しない。

図１０に示すように、例えば、「５ｔｕｐｌｅ情報」“src IP=x1，dst IP=サーバz1，src port=50001，dst port=80，protocol=6”で特定されるフローのパケットは、“装置＃１”で特定されるアプリケーション識別制御装置２０へ転送される。そして、当該フローに対応する「カウンタ」は“Ｃ０”である。また、図１０に示すように、例えば、「５ｔｕｐｌｅ情報」“src IP=y1，dst IP=サーバz6，src port=60002，dst port=80，protocol=6”で特定されるフローのパケットは、「カウンタ」へ“０”が格納されている。よって、当該フローのパケットは、アプリケーション識別制御装置２０へ転送されず、ルーティングテーブルに従って他の装置へ転送される。

（実施形態２に係るネットワークシステムにおける転送制御処理）
図１１は、実施形態２に係るネットワークシステムにおける転送制御処理を示すフローチャートの一例を示す図である。実施形態２に係るネットワークシステムにおける転送制御処理は、図９に示す実施形態１に係るネットワークシステムにおける転送制御処理と比較して、次の点が異なる。

すなわち、図１１に示す実施形態２に係るネットワークシステムにおける転送制御処理では、図９のステップＳ１０６に代えてステップＳ１０６−１が実行される。また、図１１に示す実施形態２に係るネットワークシステムにおける転送制御処理では、図９のステップＳ１０８に代えてステップＳ１０８ａ−１及びステップＳ１０８ｂ−１が実行される。また、図１１に示す実施形態２に係るネットワークシステムにおける転送制御処理では、図９のステップＳ１１０の直後のステップＳ１１１が実行されず、ステップＳ１１０の処理の終了後、ステップＳ１１２が実行される。また、図１１に示す実施形態２に係るネットワークシステムにおける転送制御処理では、図９のステップＳ１１３に代えてステップＳ１１３−１が実行される。また、図１１に示す実施形態２に係るネットワークシステムにおける転送制御処理では、図９のステップＳ１１５に代えてステップＳ１１５−１が実行される。

ステップＳ１０６−１では、パケットヘッダ識別制御装置１０−１は、該当フローの該当エントリの「カウンタ」に“０”が格納されているか否かを判定する。パケットヘッダ識別制御装置１０−１は、該当フローの該当エントリの「カウンタ」に“０”が格納されていると判定した場合（ステップＳ１０６−１Ｙｅｓ）、ステップＳ１０７へ処理を移す。一方、パケットヘッダ識別制御装置１０−１は、該当フローの該当エントリの「カウンタ」に“０”が格納されていないと判定した場合（ステップＳ１０６−１Ｎｏ）、ステップＳ１０８ａ−１へ処理を移す。

ステップＳ１０８ａ−１では、パケットヘッダ識別制御装置１０−１は、フローテーブル１３ａ−１に従って、アプリケーション識別制御装置２０へ、パケットを転送する。次に、パケットヘッダ識別制御装置１０−１は、ステップＳ１０８ａ−１で転送したパケットに該当するフローテーブル１３ａ−１のエントリの「カウンタ」の値から“１”を減算する（ステップＳ１０８ｂ−１）。パケットヘッダ識別制御装置１０−１は、ステップＳ１０８ｂ−１が終了すると、ステップＳ１０９へ処理を移す。

また、ステップＳ１１３−１では、パケットヘッダ識別制御装置１０−１は、ステップＳ１１２で、一定期間、参照されないと判定されたフローテーブル１３ａのエントリを削除する。また、ステップＳ１１５−１では、パケットヘッダ識別制御装置１０−１は、ステップＳ１１４で、エントリ後、所定期間経過したと判定されたフローテーブル１３ａのエントリを削除する。

（実施形態２による効果）
実施形態２は、フロー条件に合致したフローごとに、フローの１番目のパケットからカウンタで定められた所定数までのパケットだけ、パケットヘッダ識別制御装置１０−１からアプリケーション識別制御装置２０へ転送後、パケットヘッダ識別制御装置１０−１が自律的にアプリケーション識別制御装置２０へのパケット転送を中止する。よって、実施形態２は、実施形態１の効果に加え、簡易構成及び簡易処理により、パケットヘッダ識別制御装置１０−１で、アプリケーション識別制御装置２０によるアプリケーション識別結果をも加味したフローの制御を行うことができる。そして、実施形態２は、アプリケーション識別制御装置２０でのアプリケーション識別後にアプリケーション識別制御装置２０へ転送するトラヒックの削減が可能になる。

［実施形態３］
実施形態２は、ネットワークシステム１−１において、カウンタで定められた所定数だけフロー条件に合致したフローごとのパケットを、パケットヘッダ識別制御装置１０−１からアプリケーション識別制御装置２０へ転送後、次の動作が行われる。すなわち、実施形態２は、カウンタで定められた所定数だけのパケットを転送後、パケットヘッダ識別制御装置１０−１が自律的にアプリケーション識別制御装置２０へのパケット転送を中止する。一方、実施形態３は、ネットワークシステム１−２（図１参照）において、カウンタで定められた所定数だけのパケットのコピーをパケットヘッダ識別制御装置１０−２（図１及び図２参照）からアプリケーション識別制御装置２０へ転送後、次の動作が行われる。すなわち、実施形態３は、パケットヘッダ識別制御装置１０−２が自律的にアプリケーション識別制御装置２０へのパケットのコピー及び送信を中止する点が実施形態２と異なる。以下の実施形態３の説明では、実施形態２と異なる点のみ説明し、同一の構成及び処理については同一参照符号を付与して説明を省略する。

（実施形態３に係るネットワークシステムにおける転送制御処理）
図１２は、実施形態３に係るネットワークシステムにおける転送制御処理を示すフローチャートの一例を示す図である。実施形態３に係るネットワークシステムにおける転送制御処理は、図１１に示す実施形態２に係るネットワークシステムにおける転送制御処理と比較して、ステップＳ１０８ａ−１に代えてステップＳ１０８ａ−２を実行する点が異なる。

ステップＳ１０８ａ−２では、パケットヘッダ識別制御装置１０−２は、フローテーブル１３ａ−１に従って、アプリケーション識別制御装置２０へ、フロー条件に合致したフローのパケットをコピーして転送する。パケットヘッダ識別制御装置１０−２は、ステップＳ１０８ａ−２が終了すると、ステップＳ１０８ｂ−１へ処理を移す。

（実施形態３による効果）
実施形態３は、フロー条件に合致したフローごとに、カウンタで定められた所定数のパケットのコピーを、パケットヘッダ識別制御装置１０−２からアプリケーション識別制御装置２０へ転送する。そして、実施形態３は、カウンタで定められた所定数のパケットのコピーを転送後、パケットヘッダ識別制御装置１０−２が自律的にアプリケーション識別制御装置２０へのパケットのコピー及び送信を中止する。よって、実施形態３は、実施形態２の効果に加え、主信号のパケットはアプリケーション識別装置２０へ転送されないため、アプリケーション識別制御装置２０への転送により生じる遅延を回避でき、通信品質を向上させることができる。

（変形例）
実施形態１〜３で示したネットワークシステム１、１−１、１−２の構成及び各要素の配置は、図１に示したものに限られず、ネットワーク設計に応じて、適宜変更可能である。例えば、複数のパケットヘッダ識別制御装置１０、１０−１、１０−２が、アプリケーション制御装置２０を共用する構成であれば、パケットヘッダ識別制御装置１０及びアプリケーション識別制御装置２０の数は、適宜変更可能である。

実施形態１〜３では、ネットワークシステム１、１−１、１−２内を流通するデータは、パケットであるとしたが、これに限らず、フレーム、セル、セグメント、データグラム、メッセージ等であってもよい。

（実施形態のシステム及び装置構成について）
図１のネットワークシステム１、１−１、１−２、図２のパケットヘッダ識別制御装置１０、１０−１、１０−２、図５のアプリケーション識別制御装置２０、図７のポリシ管理装置３０の各構成要素は機能概念的なものである。そして、ネットワークシステム１、１−１、１−２、パケットヘッダ識別制御装置１０、１０−１、１０−２、アプリケーション識別制御装置２０、ポリシ管理装置３０は、必ずしも物理的に図示のように構成されていることを要しない。すなわち、ネットワークシステム１、１−１、１−２、パケットヘッダ識別制御装置１０、１０−１、１０−２、アプリケーション識別制御装置２０、ポリシ管理装置３０の機能の分散および統合の具体的形態は、図示のものに限られない。すなわち、各機能は、全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成してもよい。

また、パケットヘッダ識別制御装置１０、１０−１、１０−２、アプリケーション識別制御装置２０、ポリシ管理装置３０においておこなわれる各処理は、全部又は任意の一部が、ＮＰ及び／又はＣＰＵにより解析実行されるプログラムにて実現されてもよい。また、パケットヘッダ識別制御装置１０、１０−１、１０−２、アプリケーション識別制御装置２０、ポリシ管理装置３０において行われる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。

また、実施形態１〜３において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともできる。若しくは、実施形態１〜３において説明した各処理のうち、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述及び図示の処理手順、制御手順、具体的名称、各種のデータやパラメタを含む情報については、特記する場合を除いて適宜変更することができる。

なお、３ＧＰＰ ＴＳ ２３．２０３：Technical Specification Group Services and System Aspects Policy and charging control architectureは、フローに対して課金制御およびポリシ制御を実施するアーキテクチャである。３ＧＰＰ ＴＳ ２３．２０３は、５ｔｕｐｌｅ情報ベースのフロー制御を実現する機能をＰＣＥＦ（Policy and Charging Enforcement Function）とする。また、３ＧＰＰ ＴＳ ２３．２０３は、ペイロード分析によりアプリケーション識別を実現する機能をＴＤＦ（Traffic Detection Function）とする。また、３ＧＰＰ ＴＳ ２３．２０３は、ＰＣＥＦ、ＴＤＦに対するポリシを管理し、ポリシを設定する機能をＰＣＲＦ（Policy Control and Charging Rules Function）とする。

（プログラムについて）
図１３は、パケットヘッダ識別制御装置１０、１０−１、１０−２、アプリケーション識別制御装置２０、ポリシ管理装置３０における各処理がコンピュータを用いて具体的に実現される一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ（Central Processing Unit）１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。

ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、パケットヘッダ識別制御装置１０、１０−１、１０−２、アプリケーション識別制御装置２０、ポリシ管理装置３０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０３１に記憶される。例えば、パケットヘッダ識別制御装置１０、１０−１、１０−２、アプリケーション識別制御装置２０、ポリシ管理装置３０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。なお、ハードディスクドライブ１０３１は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上の実施形態並びにその変形例は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１、１−１、１−２ ネットワークシステム
１０、１０−１、１０−２ パケットヘッダ識別制御装置
１１、２１、３１ 制御部
１２、２２、３２ ポリシ管理部
１２ａ、２２ａ ポリシテーブル
１３、１３−１ フローテーブル管理部
１３ａ、１３ａ−１、１３ａ−２ フローテーブル
１４ ルーティングテーブル管理部
１５ パケット識別部（５ｔｕｐｌｅ）
１６、２４、３３ 送受信部
２０ アプリケーション識別制御装置
２３ パケット識別部（アプリケーション）
３０ ポリシ管理装置
３２ａ パケットヘッダ識別制御装置用ポリシテーブル
３２ｂ アプリケーション識別制御装置用ポリシテーブル
３２ｃ 装置対応情報テーブル

Claims (8)

1. ネットワークにおいて、ユーザ端末からの送信フロー、またはユーザ端末への受信フローをアプリケーション識別制御装置へ転送するパケットヘッダ識別制御装置であって、
   パケットヘッダ情報で識別される各フロー条件に合致する各フローに対して実行する制御ポリシを前記パケットヘッダ情報ごとに管理する管理部と、
   前記管理部により管理される制御ポリシが含む転送条件に合致する各フローを前記アプリケーション識別制御装置へ転送する転送部と、
   前記アプリケーション識別制御装置による各フローのアプリケーション識別結果に応じて前記アプリケーション識別制御装置からフローのパケットヘッダ情報および当該フローのアプリケーション識別結果を含む制御対象フロー検出情報を受信し、ユーザ情報、前記ユーザ情報ごとの制御ポリシ及び各フローを収容する収容先パケットヘッダ識別制御装置を示す情報を参照し、制御対象フロー検出情報の各フローに対して実行されるユーザごとかつアプリケーション情報ごとの制御ポリシを前記パケットヘッダ情報に基づくフロー条件とともに各フローを収容するパケットヘッダ識別制御装置へ通知して設定させるポリシ管理装置から通知された、前記フロー条件ごとの制御ポリシを、前記管理部により管理される、対応する前記パケットヘッダ情報ごとの制御ポリシへ追加する追加部と、
   各フローを前記パケットヘッダ情報で識別して、前記追加部により追加された制御ポリシを含む前記パケットヘッダ情報ごとの制御ポリシを各フローに対して実行する実行部と
   を備えることを特徴とするパケットヘッダ識別制御装置。
2. 各フローを前記アプリケーション識別制御装置以外の装置へ送信する送信部をさらに備え、
   前記転送部は、前記追加部により前記管理部が管理する制御ポリシへ、フロー転送中止の指示を含む制御ポリシがさらに追加されると、追加された制御ポリシのフロー転送中止の条件に対応するフローを前記アプリケーション識別制御装置へ転送することを中止し、
   前記送信部は、前記転送部によりフローが前記アプリケーション識別制御装置へ転送することが中止された後に、当該フローを前記アプリケーション識別制御装置以外の装置へ送信する
   ことを特徴とする請求項１に記載のパケットヘッダ識別制御装置。
3. 各フローを前記アプリケーション識別制御装置以外の装置へ送信する送信部をさらに備え、
   前記管理部は、パケットヘッダ情報に対応付けて、前記転送部により前記アプリケーション識別制御装置へ各フローの開始から転送された各フローのパケット数をさらに管理し、
   前記転送部は、前記管理部により管理されるパケット数が所定数に達したフローを、前記アプリケーション識別制御装置へ転送することを中止し、
   前記送信部は、前記転送部によりフローが前記アプリケーション識別制御装置へ転送することが中止された後に、当該フローを前記アプリケーション識別制御装置以外の装置へ送信する
   ことを特徴とする請求項１に記載のパケットヘッダ識別制御装置。
4. 各フローを各フローの開始から前記アプリケーション識別制御装置以外の装置へ送信する送信部をさらに備え、
   前記転送部は、各フローのパケットのコピーパケットを各フローの開始から前記アプリケーション識別制御装置へ転送し、
   前記管理部は、パケットヘッダ情報に対応付けて、前記転送部により前記アプリケーション識別制御装置へ各フローの開始から転送された各フローのパケットのコピーパケット数をさらに管理し、
   前記転送部は、前記管理部により管理されるコピーパケット数が所定数に達したフローのパケットのコピーパケットを、前記アプリケーション識別制御装置へ転送することを中止する
   ことを特徴とする請求項１に記載のパケットヘッダ識別制御装置。
5. ネットワークにおいて、ユーザ端末からの送信フロー、またはユーザ端末への受信フローをアプリケーション識別制御装置へ転送するパケットヘッダ識別制御装置が実行する制御方法であって、
   前記パケットヘッダ識別制御装置の管理部が、パケットヘッダ情報で識別される各フロー条件に合致する各フローに対して実行する制御ポリシを前記パケットヘッダ情報ごとに管理する管理ステップと、
   前記パケットヘッダ識別制御装置の転送部が、前記管理ステップにより管理される制御ポリシが含む転送条件に合致する各フローを前記アプリケーション識別制御装置へ転送する転送ステップと、
   前記パケットヘッダ識別制御装置の追加部が、前記アプリケーション識別制御装置による各フローのアプリケーション識別結果に応じて前記アプリケーション識別制御装置からフローのパケットヘッダ情報および当該フローのアプリケーション識別結果を含む制御対象フロー検出情報を受信し、ユーザ情報、前記ユーザ情報ごとの制御ポリシ及び各フローを収容する収容先パケットヘッダ識別制御装置を示す情報を参照し、制御対象フロー検出情報の各フローに対して実行されるユーザごとかつアプリケーション情報ごとの制御ポリシを前記パケットヘッダ情報に基づくフロー条件とともに各フローを収容するパケットヘッダ識別制御装置へ通知して設定させるポリシ管理装置から通知された、前記フロー条件ごとの制御ポリシを、前記管理ステップにより管理される、対応する前記パケットヘッダ情報ごとの制御ポリシへ追加する追加ステップと、
   前記パケットヘッダ識別制御装置の追加部が、各フローを前記パケットヘッダ情報で識別して、前記追加ステップにより追加された制御ポリシを含む前記パケットヘッダ情報ごとの制御ポリシを各フローに対して実行する実行ステップと
   を含むことを特徴とする制御方法。
6. 前記パケットヘッダ識別制御装置の送信部が、各フローを前記アプリケーション識別制御装置以外の装置へ送信する送信ステップをさらに含み、
   前記転送部が、前記転送ステップにおいて、前記追加ステップにより前記管理ステップが管理する制御ポリシへ、フロー転送中止の指示を含む制御ポリシがさらに追加されると、追加された制御ポリシのフロー転送中止の条件に対応するフローを前記アプリケーション識別制御装置へ転送することを中止し、
   前記送信部が、前記送信ステップにおいて、前記転送ステップによりフローが前記アプリケーション識別制御装置へ転送することが中止された後に、当該フローを前記アプリケーション識別制御装置以外の装置へ送信する
   ことを特徴とする請求項５に記載の制御方法。
7. 前記パケットヘッダ識別制御装置の送信部が、各フローを前記アプリケーション識別制御装置以外の装置へ送信する送信ステップをさらに含み、
   前記転送部が、前記転送ステップにおいて、各フローのパケット、又は、各フローのパケットのコピーパケットを、各フローの開始から前記アプリケーション識別制御装置へ転送し、
   前記管理部が、前記管理ステップにおいて、パケットヘッダ情報に対応付けて、前記転送ステップにより前記アプリケーション識別制御装置へ各フローの開始から転送された各フローのパケット数又はコピーパケット数をさらに管理し、
   前記転送部が、前記転送ステップにおいて、前記管理ステップにより管理されるパケット数又はコピーパケット数が所定数に達したフローを、前記アプリケーション識別制御装置へ転送することを中止し、
   前記送信部が、前記転送ステップによりフローのパケットが前記アプリケーション識別制御装置へ転送されることが中止された後に、当該フローを前記アプリケーション識別制御装置以外の装置へ送信し、又は、前記送信部が、各フローを各フローの開始から前記アプリケーション識別制御装置以外の装置へ送信し、前記転送ステップによりフローのコピーパケットが前記アプリケーション識別制御装置へ転送されることが中止された後も、当該フローの送信を継続する
   ことを特徴とする請求項５に記載の制御方法。
8. 請求項１〜４のいずれか１つに記載のパケットヘッダ識別制御装置としてコンピュータを機能させるための制御プログラム。

Images