JP6612475B2 - ゲートウェイ装置 - Google Patents

Description

本発明は、ゲートウェイ装置に関し、特に、現用系及び待機系を備え、冗長化された通信システムで使用されるゲートウェイ装置に関する。

複数のローカル端末と、インターネット等の通信ネットワークとの接続を管理するゲートウェイ装置の冗長化が従来から行われている。
例えば、特許文献１に記載された通信システムは、一方のゲートウェイ装置を現用系として運用し、他方を待機系とするＡｃｔｉｖｅ−Ｓｔａｎｄｂｙ方式で構成することで携帯網のゲートウェイ装置のコストを抑えつつ、障害発生時のダウンタイムを縮小している。
また、特許文献２に記載された伝送装置は、冷却装置の故障による発熱を検知して現用系から待機系に切り替える。
一方、特許文献３に記載された通信システムでは、セキュリティの観点として、固定ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスを設定したサーバーに対するＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃に対する対策としてＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバーとセキュリティゲートウェイとが協調する。

特開２０１０―６３０２２号公報 国際公開第２００９／０８１４８４号 国際公開第２００８／０６９０４３号

特許文献１に記載された通信システムは、現用系のセッション情報を待機系に送信する冗長構成とすることで障害によるサービス停止時間を最小限に抑えている。しかしながら、特許文献１に記載された通信システムは、通信ネットワークを介して攻撃を受けた場合のセキュリティについては考慮されておらず、ローカル端末又は通信ネットワークを介して特定の攻撃者からＩＰに基づく攻撃を受けた場合に課題が存在する。

また、特許文献１に記載された通信システムは、攻撃を受けてゲートウェイ装置の現用系に障害が発生し再起動すると、待機系が現用系から装置の設定情報を引き継いで動作を継続しようとする。しかしながら、特許文献１に記載された通信システムは、現用系と待機系とが同一の設定情報だと系切り替え後も攻撃を受けてしまい、待機系でも現用系と同様の障害が発生し再起動に至ってしまうという課題がある。

特許文献２に記載された伝送装置では、冷却装置の故障による発熱を検知して切り替えが行われている。しかしながら、特許文献２に記載された伝送装置は、例えば、悪意のあるプログラムからのＤｏＳ攻撃により、ゲートウェイ装置のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）の負荷上昇による温度上昇で待機系ゲートウェイへの切り替えが発生した場合は、待機系でも同じＤｏＳ攻撃を受けてしまい再起動に至ってしまう課題がある。

特許文献３に記載された通信システムでは、ＤｏＳ攻撃を回避するためにゲートウェイ装置がＤＮＳサーバーと連携する必要があり、ゲートウェイ装置だけでなく、ＤＮＳサーバーへの改造が発生するという課題がある。

そこで、本発明は、現用系のゲートウェイ装置が攻撃を受けて、現用系のゲートウェイ装置から待機系のゲートウェイ装置に系切り替えを行う場合に、待機系が現用系への攻撃と同様の攻撃を受けても、再起動に至らないようにすることを目的とする。

本発明の一態様に係るゲートウェイ装置は、現用系及び待機系を備え、冗長化された通信システムにおいて、当該現用系及び当該待機系として機能する他のゲートウェイ装置とともに使用され、当該現用系及び当該待機系として機能するとともに、セキュリティに関して有効又は無効にすることのできる複数の耐性強化項目を備えるゲートウェイ装置であって、自装置が前記待機系として機能している場合に、前記現用系として機能している前記他のゲートウェイ装置から、前記複数の耐性強化項目の内、前記他のゲートウェイ装置で有効にされている耐性強化項目を示す第１の設定情報を含む第１の装置情報を受信する通信部と、自装置が前記待機系として機能している場合に、前記第１の設定情報に基づいて、前記他のゲートウェイ装置で有効にされている耐性強化項目、及び、前記複数の耐性強化項目の内、前記他のゲートウェイ装置で無効にされている耐性強化項目を有効にする装置制御部と、を備えることを特徴とする。

本発明の一態様によれば、現用系のゲートウェイ装置が攻撃を受けて、現用系のゲートウェイ装置から待機系のゲートウェイ装置に系切り替えを行う場合に、現用系から攻撃情報を待機系へ引き継ぎ、待機系でその情報を元に攻撃耐性を向上させるので、待機系が現用系への攻撃と同様の攻撃を受けても、再起動に至らないようにすることができる。

実施形態１〜６に係るゲートウェイ装置を含む通信システムの構成を概略的に示すブロック図である。 実施の形態１〜６に係るゲートウェイ装置の構成を概略的に示すブロック図である。 （Ａ）及び（Ｂ）は、ハードウェア構成例を示す概略図である。 実施の形態１において、現用系として機能しているゲートウェイ装置の動作を示すフローチャートである。 実施の形態１において、待機系として機能しているゲートウェイ装置の動作を示すフローチャートである。 実施の形態１において、冗長化されたゲートウェイ装置の系切り替え動作を示すシーケンス図である。 実施の形態２において、現用系として機能しているゲートウェイ装置の動作を示すフローチャートである。 実施の形態３において、現用系として機能しているゲートウェイ装置の動作を示す第１のフローチャートである。 実施の形態３において、現用系として機能しているゲートウェイ装置の動作を示す第２のフローチャートである。 実施の形態４において、待機系として機能しているゲートウェイ装置の動作を示すフローチャートである。 実施の形態５において、現用系として機能しているゲートウェイ装置の動作を示すフローチャートである。 実施の形態６において、現用系として機能しているゲートウェイ装置の動作を示す第１のフローチャートである。 実施の形態６において、現用系として機能しているゲートウェイ装置の動作を示す第２のフローチャートである。

実施の形態１．
図１は、実施形態１に係るゲートウェイ装置を含む通信システム１００の構成を概略的に示すブロック図である。
通信システム１００は、２つのゲートウェイ装置１１０Ａ、１１０Ｂを備える。
なお、２つのゲートウェイ装置１１０Ａ、１１０Ｂの各々を特に区別する必要がない場合には、ゲートウェイ装置１１０という。

通信システム１００は、現用系として機能するゲートウェイ装置１１０と、待機系として機能するゲートウェイ装置１１０とを備え、冗長化されたシステムである。ゲートウェイ装置１１０は、セキュリティに関して有効又は無効にすることのできる複数の耐性強化項目を備える。

ゲートウェイ装置１１０は、ローカル端末１０１Ａ、１０１Ｂ、１０１Ｃと、スイッチングハブ装置１０２に接続されている。
ローカル端末１０１Ａ、１０１Ｂ、１０１Ｃの各々を特に区別する必要がない場合には、ローカル端末１０１という。

ゲートウェイ装置１１０は、スイッチングハブ装置１０２を介して、ローカル端末１０１とネットワーク１０３との間の通信を可能にする。
２つのゲートウェイ装置１１０Ａ、１１０Ｂは、冗長化されている。例えば、ゲートウェイ装置１１０Ａは現用系、ゲートウェイ装置１１０Ｂは待機系として運用されている。２つのゲートウェイ装置１１０Ａ、１１０Ｂの間は、有線又は無線で接続されており、これらは、情報の送受信を行うことができる。

ローカル端末１０１は、ノートＰＣ等の携帯端末及びデスクトップＰＣ等の据置装置を含む情報機器である。
ローカル端末１０１は、ゲートウェイ装置１１０とＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）及びＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の有線又は無線で接続されており、ローカル端末１０１及びゲートウェイ装置１１０の間で通信を行うことができる。

スイッチングハブ装置１０２は、ゲートウェイ装置１１０とＬＡＮ等の有線又は無線で接続され、通信ネットワークであるネットワーク１０３に接続されている。ゲートウェイ装置１１０がＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）等を用いて直接ネットワーク１０３へ接続される場合は、スイッチングハブ装置１０２は不要である。
ネットワーク１０３は、ＬＴＥ(Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ)及び光回線等を用いた通信ネットワークである。

図２は、ゲートウェイ装置１１０の構成を概略的に示すブロック図である。
ゲートウェイ装置１１０は、データ転送部１２０と、情報取得部１３０と、装置状態監視部１４０と、装置情報伝達部１４１と、装置制御部１４２と、通信部１４３とを備える。

データ転送部１２０は、ローカル端末１０１の間、並びに、ローカル端末１０１及びネットワーク１０３の間で送受信されるデータを転送する。例えば、データ転送部１２０は、複数のインタフェース（以下、Ｉ／Ｆという）１２１Ａ〜１２１Ｄを備える。複数のＩ／Ｆ１２１Ａ〜１２１Ｄの各々は、例えば、ローカル端末１０１及びスイッチングハブ装置１０２の何れかに接続されている。
また、複数のＩ／Ｆ１２１Ａ〜１２１Ｄの各々は、各々の温度を検出するための温度検出部としての温度センサ１２２Ａ〜１２２Ｄを備えている。
ここで、複数のＩ／Ｆ１２１Ａ〜１２１Ｄの各々を特に区別する必要がない場合には、Ｉ／Ｆ１２１といい、複数の温度センサ１２２Ａ〜１２２Ｄの各々を特に区別する必要がない場合には、温度センサ１２２という。

情報取得部１３０は、ゲートウェイ装置１１０における各種情報を取得する。
例えば、情報取得部１３０は、自装置における異常の判定に必要な異常判定情報を取得する。
情報取得部１３０は、温度情報取得部１３１と、ＣＰＵ情報取得部１３２と、メモリ情報取得部１３３と、通信情報取得部１３４とを備える。

温度情報取得部１３１は、データ転送部１２０の温度を示す温度情報を取得する。例えば、温度情報取得部１３１は、Ｉ／Ｆ１２１に備えられている温度センサ１２２から、温度を示す温度情報を読み出す。
ＣＰＵ情報取得部１３２は、ゲートウェイ装置１１０に備えられている後述するＣＰＵのリソースの状態を示すＣＰＵリソース情報、並びに、ゲートウェイ装置１１０の稼働状況及び再起動要因を取得する。ゲートウェイ装置１１０の再起動要因は、例えば、ゲートウェイ装置１１０に備えられているＣＰＵが実行するソフトウェアからの再起動コマンドの受け取り及びソフトウェアの動作の停止等の要因である。
メモリ情報取得部１３３は、ゲートウェイ装置１１０に備えられている後述するメモリのリソースの状態を示すメモリリソース情報を取得する。
通信情報取得部１３４は、データ転送部１２０のトラフィックの状態を示すトラフィック情報を取得する。

装置状態監視部１４０は、情報取得部１３０で取得された情報を受け取り、受け取った情報を定期的に確認する。例えば、装置状態監視部１４０は、情報取得部１３０で取得された異常判定情報に基づいて、自装置の状態を監視し、自装置を再起動する必要があるか否かを判定するとともに、異常の有無を判定する。具体的には、Ｉ／Ｆ１２１は、有線ＬＡＮ、無線ＬＡＮ又はＵＳＢといった通信インタフェースであり、装置状態監視部１４０は、Ｉ／Ｆ１２１Ａ〜１２１Ｄの各々の温度、通信速度、通信方向、接続先、機能の有効又は無効、及び、通信中のパケットデータ等を確認することができる。

装置情報伝達部１４１は、通信部１４３を介して、装置状態監視部１４０からの情報等の各種情報を他のゲートウェイ装置１１０に送信する。
例えば、装置情報伝達部１４１は、自装置が現用系として機能している場合には、自装置で有効にされている耐性強化項目を示す設定情報、自装置の処理を引き継ぐための引継情報、及び、自装置における異常の有無の判定に必要な異常判定情報を含む装置情報を、通信部１４３に、待機系として機能しているゲートウェイ装置１１０へ送信させる。
実施の形態１においては、装置情報伝達部１４１は、装置状態監視部１４０が再起動の必要があると判断した場合に、装置情報を通信部１４３に送信させる。

装置制御部１４２は、装置情報伝達部１４１からの情報等の各種情報に基づいて、ゲートウェイ装置１１０内部の動作を制御する。
例えば、装置制御部１４２は、自装置が待機系として機能している場合には、通信部１４３を介して、現用系として機能しているゲートウェイ装置１１０から、そのゲートウェイ装置１１０で有効にされている耐性強化項目を示す設定情報、そのゲートウェイ装置１１０の処理を引き継ぐための引継情報、及び、そのゲートウェイ装置１１０における異常の有無の判定に必要な異常判定情報を含む装置情報を受信する。そして、装置制御部１４２は、その装置情報に基づいて、現用系のゲートウェイ装置１１０で有効にされている耐性強化項目、及び、そのゲートウェイ装置１１０で無効にされている耐性強化項目を自装置において有効にする。
実施の形態１では、現用系として機能しているゲートウェイ装置１１０は、再起動を行う際に装置情報を送信するようになっているため、装置制御部１４２は、通信部１４３が装置情報を受信した際に、現用系の処理を引き継ぐとともに、上述のように耐性強化項目を有効にする。

通信部１４３は、別のゲートウェイ装置１１０と通信を行うための通信インタフェースである。例えば、通信部１４３は、自装置が待機系として機能している場合に、現用系として機能しているゲートウェイ装置１１０から、装置情報を受信する。また、通信部１４３は、自装置が現用系として機能している場合に、待機系として機能しているゲートウェイ装置１１０に、装置情報を送信する。
ここで、通信部１４３が受信する装置情報を第１の装置情報ともいい、第１の装置情報に含まれている設定情報、引継情報及び異常判定情報をそれぞれ、第１の設定情報、第１の引継情報及び第１の異常判定情報ともいう。
さらに、通信部１４３から送信する装置情報を第２の装置情報ともいい、第２の装置情報に含まれている設定情報、引継情報及び異常判定情報をそれぞれ、第２の設定情報、第２の引継情報及び第２の異常判定情報ともいう。

以上に記載された情報取得部１３０、装置状態監視部１４０、装置情報伝達部１４１及び装置制御部１４２の一部又は全部は、例えば、図３（Ａ）に示されているように、メモリ１０と、メモリ１０に格納されているプログラムを実行するＣＰＵ等のプロセッサ１１とにより構成することができる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。

また、情報取得部１３０、装置状態監視部１４０、装置情報伝達部１４１及び装置制御部１４２の一部又は全部は、例えば、図３（Ｂ）に示されているように、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ）又はＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の処理回路１２で構成することもできる。

図４は、現用系として機能しているゲートウェイ装置１１０の動作を示すフローチャートである。
情報取得部１３０に含まれている各部は、装置状態監視部１４０に対し、定期的又は不定期的に、予め決められた固定信号を送付している。固定信号は、情報取得部１３０に含まれている各部が取得した情報を示す。装置状態監視部１４０は、ＣＰＵ情報取得部１３２から送られてくる情報に基づいて再起動要因を監視する（Ｓ１０）。
そして、装置状態監視部１４０は、ゲートウェイ装置１１０に再起動の要求があったか否かを検知する（Ｓ１１）。例えば、装置状態監視部１４０は、ＣＰＵ情報取得部１３２から送られてくる情報が、ソフトウェアの再起動コマンド又はソフトウェアの動作停止を示す場合に、再起動の要求があったことを検知する。再起動の要求があった場合には（Ｓ１１でＹｅｓ）、処理はステップＳ１２に進む。

ステップＳ１２では、装置状態監視部１４０は、予め記憶されている異常リストを参照することで、情報取得部１３０に含まれている各部が取得した情報が異常と定められた条件に合致するか否かを判定する。その結果、装置状態監視部１４０が、装置に異常が発生したと判定した場合には（Ｓ１３でＹｅｓ）、処理はステップＳ１４に進む。

ステップＳ１４では、装置情報伝達部１４１は、情報取得部１３０に含まれている各部から送付された情報と、装置制御部１４２が格納しているＭＡＣアドレスフィルタリング、パケットフィルタリング及び帯域制限等の各Ｉ／Ｆ１２１の制御情報とを、装置情報として通信部１４３を介して、待機系であるゲートウェイ装置１１０の装置制御部１４２へ送付する（Ｓ１４）。

その後、装置制御部１４２は、ゲートウェイ装置１１０の動作を停止し、待機状態となる（Ｓ１５）。

なお、ステップＳ１２における装置の異常は、外部からの攻撃によるトラッフィクの増加又は減少、未使用ポートでの通信、Ｉ／Ｆ１２１の急激な温度変化、稼働しているアプリケーションのＣＰＵ使用率又はメモリ使用率の急激な増加又はしきい値超過等であり、何を異常とするかは使用者が事前に定義する。

図５は、待機系として機能しているゲートウェイ装置１１０の動作を示すフローチャートである。
待機状態の装置制御部１４２は、現用系のゲートウェイ装置１１０の装置情報伝達部１４１から送付された装置情報を通信部１４３が受信するまで待機する（Ｓ２０）。そして、装置情報が届いた場合には（Ｓ２１でＹｅｓ）、処理はステップＳ２２に進む。

ステップＳ２２では、装置制御部１４２は、受信された装置情報から異常が起きている箇所の特定が可能かどうかを判定する。なお、異常が起きている箇所の特定が可能であり、そこから異常の内容が特定できる場合には、装置制御部１４２は、異常の内容についても特定する。
次に、装置制御部１４２は、予め定めておいた複数の耐性強化項目の中から、ステップＳ２２での判定結果に対応したものを選択する（Ｓ２３）。ここで、耐性強化項目は、例えば、ゲートウェイ装置１１０で動作しているＭＡＣアドレスフィルタリング及びパケットフィルタリング等の条件変更、アプリケーションの停止、アンインストール及び再インストール、データ転送部１２０の通信速度制限又は通信停止、並びに、データ転送部１２０そのものの電源供給停止又は縮退運転等である。

耐性強化項目については、ステップＳ２２での判定結果に対応して予め優先順位が設けられており、装置制御部１４２は、優先順位に基づいて、耐性強化項目を選択する。例えば、異常箇所が特定できない場合、異常箇所は特定できたが異常内容が特定できない場合、異常箇所及び異常内容が特定できた場合のそれぞれについて、耐性強化項目に予め優先順位が定められている。
具体的には、異常箇所が特定できない場合には、「予め異常が起こりやすいＩ／Ｆ１２１を、異常が起こりやすい順番が分かるようにリストに記載しておき、リストに記載された順番で、Ｉ／Ｆ１２１を無効にする」、又は、「ＣＰＵ負荷の高いアプリケーションを停止する」といった優先順位が設けられている。
また、異常箇所は特定できたが異常内容が特定できない場合には、特定できた異常箇所に応じて、優先順位が設けられている。

さらに、異常箇所及び異常内容が特定できた場合には、異常箇所及び異常内容の組み合わせ毎に、優先順位が設けられている。例えば、ＣＰＵ使用率が異常であると判定された場合には、「ＣＰＵ負荷の高いアプリケーションから順番に停止する」といった優先順位が定められている。また、特定のＩ／Ｆ１２１に異常発熱があると判定された場合には、以下の１〜４の優先順位で、耐性強化項目が選択される。
優先順位１：特定のＩ／Ｆ１２１の通信速度制限を行う。優先順位２：特定のＩ／Ｆ１２１の通信を停止する。優先順位３：特定のＩ／Ｆ１２１そのものを停止する。優先順位４：特定のＩ／Ｆ１２１の周辺のＩ／Ｆ１２１にも通信速度制限を行う。
なお、装置制御部１４２は、自装置で選択した耐性強化項目の履歴を保持しておき、この履歴に基づいて、選択すべき優先順位を特定し、ステップＳ２３での選択を行えばよい。

次に、装置制御部１４２は、ステップＳ２３で選択された耐性強化項目が、装置情報を送ってきた現用系のゲートウェイ装置１１０で既に有効にされているか否かを判断する（Ｓ２４）。有効にされていない場合、言い換えると、無効である場合には（Ｓ２４でＮｏ）、処理はステップＳ２５に進み、有効にされている場合には（Ｓ２４でＹｅｓ）、処理はステップＳ２６に進む。

ステップＳ２５では、装置制御部１４２は、ステップＳ２３で選択された耐性強化項目を有効にするとともに、ステップＳ２１で取得された装置情報を送ってきたゲートウェイ装置１１０で有効にされている耐性強化項目を自装置においても有効にする。即ち、現用系のゲートウェイ装置１１０で既に有効にされており、自装置で未だ無効になっている耐性強化項目も有効にする。

一方、ステップＳ２６では、装置制御部１４２は、予め定められた順番に従って、耐性強化項目を選択し、その耐性強化項目を有効にする。言い換えると、耐性強化項目には予め順番が定められており、装置制御部１４２は、未だ有効にされていない耐性強化項目の内、最も順番の早いものを有効にする。さらに、装置制御部１４２は、ステップＳ２１で取得された装置情報を送ってきたゲートウェイ装置１１０で有効にされている耐性強化項目を自装置においても有効にする。

そして、装置制御部１４２は、ゲートウェイ装置１１０の起動を開始して、現用系として動作する（Ｓ２７）。ここで、装置制御部１４２は、受信された装置情報に含まれている引継情報に基づいて、現用系のゲートウェイ装置１１０での処理を引き継ぐ。

図６は、冗長化されたゲートウェイ装置１１０の系切り替え動作を示すシーケンス図である。以下の説明では、ゲートウェイ装置１１０Ａを構成する各部の符号に「＃１」、ゲートウェイ装置１１０Ｂを構成する各部の符号に「＃２」を付すことで、これらを区別している。

ゲートウェイ装置１１０Ａの装置状態監視部１４０＃１が再起動要求を検知すると（Ｓ３０）、装置情報伝達部１４１＃１は、装置情報をゲートウェイ装置１１０Ｂへ送付し、ゲートウェイ装置１１０Ａは、待機状態となる（Ｓ３１）。

ゲートウェイ装置１１０Ｂの装置制御部１４２＃２は、受信された装置情報に基づいて、新たな耐性強化項目を追加して、耐性強化項目を有効にして起動する（Ｓ４０、Ｓ４１）。
次に、ゲートウェイ装置１１０Ｂの装置状態監視部１４０＃２が再起動要求を検知すると（Ｓ４２）、装置情報伝達部１４１＃２は、装置情報を待機状態であるゲートウェイ装置１１０Ａへ送付し、ゲートウェイ装置１１０Ｂは、待機状態へ移行する（Ｓ４３）。

待機状態であったゲートウェイ装置１１０Ａの装置制御部１４２＃１は、受信された装置情報に基づいて、新たな耐性強化項目を追加することで、ステップＳ４０で有効化された耐性強化項目に別の耐性強化項目を追加して起動する（Ｓ３２、Ｓ３３）。
次に、ゲートウェイ装置１１０Ａの装置状態監視部１４０＃１が再起動要求を検知すると（Ｓ３４）、装置情報伝達部１４１＃１は、装置情報を待機状態であるゲートウェイ装置１１０Ｂへ送付し、ゲートウェイ装置１１０Ａは、待機状態へ移行する（Ｓ３５）。

ゲートウェイ装置１１０Ｂの装置制御部１４２＃２は、受信された装置情報に基づいて、新たな耐性強化項目を追加し、耐性強化項目を有効にして起動する（Ｓ４４、Ｓ４５）。

図６に示されているように、再起動を契機としてゲートウェイ装置１１０Ａ及びゲートウェイ装置１１０Ｂは、耐性強化項目の追加を繰り返すことで異常に対する耐性を強固にしていく。

以上説明したように、実施の形態１のゲートウェイ装置１１０によれば、ゲートウェイ装置１１０が攻撃を受けて再起動するたびに耐性が強固となり、再起動を繰り返すことなく通信システム１００を稼働し続けることができる。

実施の形態２．
図１に示されているように、実施の形態２における通信システム２００は、２つのゲートウェイ装置２１０Ａ、２１０Ｂを備える。
なお、２つのゲートウェイ装置２１０Ａ、２１０Ｂの各々を特に区別する必要がない場合には、ゲートウェイ装置２１０という。

図２に示されているように、実施の形態２に係るゲートウェイ装置２１０は、データ転送部１２０と、情報取得部１３０と、装置状態監視部２４０と、装置情報伝達部１４１と、装置制御部２４２と、通信部１４３とを備える。
実施の形態２に係るゲートウェイ装置２１０は、装置状態監視部２４０及び装置制御部２４２を除いて、実施の形態１に係るゲートウェイ装置１１０と同様に構成されている。

装置状態監視部２４０は、情報取得部１３０で取得された情報を受け取り、受け取った情報を定期的に確認する。実施の形態１における装置状態監視部１４０は、情報取得部１３０で取得された情報に基づいて、再起動の要求があったか否かを検知した後に、以上の有無を判定しているが、実施の形態２における装置状態監視部２４０は、情報取得部１３０で取得された情報に基づいて、異常の有無を判定した後に、再起動の要求があったか否かを検知している。

装置制御部２４２は、装置情報伝達部１４１からの情報等の各種情報に基づいて、ゲートウェイ装置２１０内部の動作を制御する。実施の形態１における装置制御部１４２は、起動する際に耐性強化項目の追加及び有効化を行っているが、実施の形態２における装置制御部２４２は、装置状態監視部２４０が、異常があると判定した際にも、耐性強化項目の追加及び有効化を行っている。
具体的には、装置制御部２４２は、ゲートウェイ装置２１０の再起動の検知を待つことなく、装置状態監視部２４０が異常の判定をすると、耐性強化項目を追加及び有効化して、異常への対処を試みる。そして、装置制御部２４２は、攻撃を受け続けて再起動を検知した場合は、耐性を強化した待機系として機能しているゲートウェイ装置２１０に処理を移行する。言い換えると、実施の形態２は、再起動を契機に耐性強化項目を追加及び有効化するのではなく、異常を検知した段階で耐性強化項目を追加及び有効化する点が実施の形態１と異なっている。

図７は、現用系として機能しているゲートウェイ装置２１０の動作を示すフローチャートである。
装置状態監視部２４０は、定期的に情報取得部１３０から情報を収集する（Ｓ５０）。
そして、装置状態監視部２４０は、予め記憶されている異常リストを参照することで、情報取得部１３０に含まれている各部が取得した情報が異常と定められた条件に合致するか否かを判定する。その結果、装置状態監視部２４０が、装置に異常が発生したと判定した場合には（Ｓ５２でＹｅｓ）、処理はステップＳ５３に進む。

ステップＳ５３では、装置状態監視部２４０は、ゲートウェイ装置２１０に再起動の要求があったか否かを検知する。再起動の要求があった場合には（Ｓ５３でＹｅｓ）、処理はステップＳ５４に進み、再起動の要求がなかった場合には（Ｓ５３でＮｏ）、処理はステップＳ５６に進む。

ステップＳ５４では、装置情報伝達部１４１は、装置情報を待機系であるゲートウェイ装置２１０の装置制御部２４２へ送付する。
その後、装置制御部２４２は、ゲートウェイ装置２１０の動作を停止し、待機状態となる（Ｓ５５）。

一方、ステップＳ５６では、装置制御部２４２は、装置状態監視部２４０で収集された情報から異常が起きている箇所の特定が可能かどうかを判定する。なお、異常が起きている箇所の特定が可能な場合には、装置制御部２４２は、異常の内容についても特定する。
次に、装置制御部２４２は、予め定めておいた複数の耐性強化項目の中から、ステップＳ５６での判定結果に対応したものを選択する（Ｓ５７）。ここで、耐性強化項目は、上述のように、ステップＳ５６での判定結果に対して優先順位が設けられており、装置制御部２４２は、優先順位に基づいて、耐性強化項目を選択する。但し、ここで選択される耐性強化項目は、再起動を必要とせずに有効にできるものに限る。

次に、装置制御部２４２は、ステップＳ５７で選択された耐性強化項目が既に有効にされているか否かを判断する（Ｓ５８）。有効にされていない場合、言い換えると、無効である場合には（Ｓ５８でＮｏ）、処理はステップＳ５９に進み、有効にされている場合には（Ｓ５８でＹｅｓ）、処理はステップＳ６０に進む。

ステップＳ５９では、装置制御部２４２は、ステップＳ５７で選択された耐性強化項目を有効にする。
一方、ステップＳ６０では、装置制御部２４２は、予め定められた順番に従って、耐性強化項目を選択し、その耐性強化項目を有効にする。言い換えると、耐性強化項目には予め順番が定められており、装置制御部２４２は、未だ有効にされていない耐性強化項目の内、最も順番の早いものを有効にする。但し、ここで有効にされる耐性強化項目は、再起動を必要とせずに有効にできるものに限る。

なお、待機系として機能しているゲートウェイ装置２１０の動作については、実施の形態１と同様である。

以上のように、実施の形態２では、再起動の検知を待つことなく耐性強化を有効にして早期の復旧を試みることでゲートウェイ装置２１０間の切り替え回数を軽減できる効果がある。また、現用系として機能しているゲートウェイ装置２１０で耐性強化を強固にしておくことで、待機系として機能しているゲートウェイ装置２１０は、より耐性を強固にした状態で起動することができる。

実施の形態３．
図１に示されているように、実施の形態３における通信システム３００は、２つのゲートウェイ装置３１０Ａ、３１０Ｂを備える。
なお、２つのゲートウェイ装置３１０Ａ、３１０Ｂの各々を特に区別する必要がない場合には、ゲートウェイ装置３１０という。

図２に示されているように、実施の形態３に係るゲートウェイ装置３１０は、データ転送部１２０と、情報取得部１３０と、装置状態監視部３４０と、装置情報伝達部１４１と、装置制御部３４２と、通信部１４３とを備える。
実施の形態３に係るゲートウェイ装置３１０は、装置状態監視部３４０及び装置制御部３４２を除いて、実施の形態１に係るゲートウェイ装置１１０と同様に構成されている。

装置状態監視部３４０は、情報取得部１３０で取得された情報を受け取り、受け取った情報を定期的に確認する。実施の形態１における装置状態監視部１４０は、情報取得部１３０で取得された情報に基づいて、再起動の要求があったか否かを検知した後に、異常の有無を判定しているが、実施の形態３における装置状態監視部３４０は、情報取得部１３０で取得された情報に基づいて、異常の有無を判定した後に、再起動の要求があったか否かを検知している。

装置制御部３４２は、装置情報伝達部１４１からの情報等の各種情報に基づいて、ゲートウェイ装置３１０内部の動作を制御する。実施の形態１における装置制御部１４２は、起動する際に耐性強化項目の追加及び有効化を行っているが、実施の形態３における装置制御部３４２は、実施の形態２の装置制御部２４２と同様に、装置状態監視部３４０が、異常があると判定した際にも、耐性強化項目の追加及び有効化を行っている。但し、実施の形態２における装置制御部２４２は、再起動の必要のない耐性強化項目の追加及び有効化を行っているが、実施の形態３における装置制御部３４２は、再起動が必要な耐性強化項目も追加及び有効化を行っている。具体的には、装置制御部３４２は、再起動の必要がある場合には、装置情報伝達部１４１及び通信部１４３に、装置情報を待機系のゲートウェイ装置３１０に送信させて、現用系としての処理を、待機系のゲートウェイ装置３１０に引き継いでから、耐性強化項目を有効にする。

図８及び図９は、現用系として機能しているゲートウェイ装置３１０の動作を示すフローチャートである。
図８及び図９に示されているステップＳ７０〜Ｓ７８までの処理は、図７に示されているステップＳ５０〜Ｓ５８までの処理と同様である。但し、図９のステップＳ７８において、選択された耐性強化項目が有効にされていない場合、言い換えると、選択された耐性強化項目が無効にされている場合には（Ｓ７８でＮｏ）、処理はステップＳ７９に進み、選択された耐性強化項目が有効にされている場合には（Ｓ７８でＹｅｓ）、処理はステップＳ８１に進む。

ステップＳ７９では、装置制御部３４２は、ステップＳ７７で選択された耐性強化項目が再起動を必要とするものであるか否かを判定する。再起動が不要である場合には（Ｓ７９でＮｏ）、処理はステップＳ８０に進み、再起動が必要である場合には（Ｓ７９でＹｅｓ）、処理はステップＳ８３に進む。
ステップＳ８０では、装置制御部３４２は、ステップＳ７７で選択された耐性強化項目を有効にする。そして、処理は図８のステップＳ７０に戻る。

また、ステップＳ７８において、選択された耐性強化項目が有効にされている場合には（Ｓ７８でＹｅｓ）、処理はステップＳ８１に進む。
ステップＳ８１では、装置制御部３４２は、予め定められた順番に従って、耐性強化項目を選択し、選択された耐性強化項目が再起動を必要とするものであるか否かを判定する。再起動が不要である場合には（Ｓ８１でＮｏ）、処理はステップＳ８２に進み、再起動が必要である場合には（Ｓ８１でＹｅｓ）、処理はステップＳ８３に進む。

ステップＳ８２では、装置制御部３４２は、ステップＳ８１で選択された耐性強化項目を有効にする。そして、処理は図８のステップＳ７０に戻る。

ステップＳ８３では、装置情報伝達部１４１は、通信部１４３を介して、装置情報を待機系であるゲートウェイ装置３１０の装置制御部３４２へ送付する。

次に、装置制御部３４２は、待機系であるゲートウェイ装置３１０の状態を定期的に確認し（Ｓ８４）、待機系の稼働準備が完了したか否かを判断する（Ｓ８５）。待機系の稼働準備が完了した場合には（Ｓ８４でＹｅｓ）、処理はステップＳ８６に進む。
ステップＳ８６では、装置制御部３４２は、ゲートウェイ装置３１０の動作を停止し、待機状態となる。

実施の形態３においても、待機系として機能しているゲートウェイ装置３１０の動作については、実施の形態１と同様である。但し、待機系として機能しているゲートウェイ装置３１０の装置制御部３４２は、装置情報を受信すると、ゲートウェイ装置３１０の起動を開始する。そして、待機系として機能しているゲートウェイ装置３１０の装置制御部３４２は、予め定められた段階まで起動が完了したら、装置情報伝達部１４１及び通信部１４３を介して、現用系として機能しているゲートウェイ装置３１０に起動が完了したことを報告する。このような報告に基づいて、装置制御部３４２は、図９のステップＳ８５の判断を行う。

以上のように、実施の形態３では、攻撃等によって再起動に至るのではなく、ゲートウェイ装置３１０自身が必要の有無を判定して再起動し、系切り替えを行うことで、系切り替え時の時間を短縮できる効果がある。また、ゲートウェイ装置３１０の起動完了を受け取ることで、系切り替え先が確実に動作していることを確認した上で系切り替え処理を行うことができる。

実施の形態４．
図１に示されているように、実施の形態４における通信システム４００は、２つのゲートウェイ装置４１０Ａ、４１０Ｂを備える。
なお、２つのゲートウェイ装置４１０Ａ、４１０Ｂの各々を特に区別する必要がない場合には、ゲートウェイ装置４１０という。

図２に示されているように、実施の形態４に係るゲートウェイ装置４１０は、データ転送部１２０と、情報取得部１３０と、装置状態監視部４４０と、装置情報伝達部４４１と、装置制御部４４２と、通信部１４３とを備える。
実施の形態４に係るゲートウェイ装置４１０は、装置状態監視部４４０、装置情報伝達部４４１及び装置制御部４４２を除いて、実施の形態１に係るゲートウェイ装置１１０と同様に構成されている。

装置状態監視部４４０は、情報取得部１３０で取得された情報を受け取り、受け取った情報を定期的に確認する。実施の形態４における装置状態監視部４４０は、実施の形態１と同様に、情報取得部１３０で取得された情報に基づいて、再起動の要求があったか否かを検知した後に、異常の有無を判定している。

装置情報伝達部４４１は、系切り替え時ばかりでなく、順次、通信部１４３を介して、装置情報を待機系であるゲートウェイ装置４１０の装置制御部４４２へ送付する。

装置制御部４４２は、装置情報伝達部４４１からの情報等の各種情報に基づいて、ゲートウェイ装置４１０内部の動作を制御する。実施の形態１では、系切り替え時に、現用系として機能しているゲートウェイ装置１１０から装置情報が送られてきているが、実施の形態４では、系切り替え時ばかりでなく順次、装置情報が送られてくる。実施の形態４における装置制御部４４２は、送られてくる装置情報に基づいて、耐性強化項目を有効にするか、起動を行うかを判断する。

現用系として機能しているゲートウェイ装置４１０の動作については、実施の形態１と同様であるが、上述のように、装置状態監視部４４０は、順次、装置情報を待機系に送信している。

図１０は、待機系として機能しているゲートウェイ装置４１０の動作を示すフローチャートである。
待機状態の装置制御部４４２は、現用系のゲートウェイ装置４１０の装置情報伝達部４４１から送付された装置情報を通信部１４３が受信すると（Ｓ９０）、受信された装置情報に基づいて、現用系のゲートウェイ装置４１０に異常が起きているか否かを判定する（Ｓ９１）。なお、ここでの異常には、実施の形態１における異常のほかに、現用系のゲートウェイ装置４１０からの装置情報が途絶えた場合も含まれる。例えば、装置制御部４４２は、現用系のゲートウェイ装置４１０からの装置情報が、予め定められた期間受信されない場合も、異常が起きていると判定する。異常が起きている場合には（Ｓ９１でＹｅｓ）、処理はステップＳ９２に進む。

ステップＳ９２では、装置制御部４４２は、受信された装置情報から異常が起きている箇所の特定が可能かどうかを判定する。なお、異常が起きている箇所の特定が可能な場合には、装置制御部４４２は、異常の内容についても特定する。ここで、例えば、装置情報が途絶えたという異常が検知された場合には、直前に受信された装置情報から、直前に動作していたＩ／Ｆ１２１及びアプリケーションが異常発生箇所と判定される。

次に、装置制御部４４２は、予め定めておいた複数の耐性強化項目の中から、ステップＳ９２での判定結果に対応したものを、予め定められた優先順位に基づいて選択する（Ｓ９３）。

次に、装置制御部４４２は、ステップＳ９３で選択された耐性強化項目が、待機系のゲートウェイ装置３１０で既に有効にされているか否かを判断する（Ｓ９４）。選択された耐性強化項目が有効にされていない場合、言い換えると、選択された耐性強化項目が無効である場合には（Ｓ９４でＮｏ）、処理はステップＳ９５に進み、選択された耐性強化項目が有効にされている場合には（Ｓ９４でＹｅｓ）、処理はステップＳ９６に進む。

ステップＳ９５では、装置制御部４４２は、ステップＳ９３で選択された耐性強化項目を有効にするとともに、ステップＳ９０で取得された装置情報を送ってきたゲートウェイ装置３１０で有効にされている耐性強化項目を自装置においても有効にする。なお、装置情報が途絶えたという異常が検知された場合には、装置制御部４４２は、直前に受信された装置情報から、有効にする耐性強化項目を特定すればよい。
一方、ステップＳ９６では、装置制御部４４２は、予め定められた順番に従って、耐性強化項目を選択し、その耐性強化項目を有効にする。さらに、装置制御部４４２は、ステップＳ９０で取得された装置情報を送ってきたゲートウェイ装置３１０で有効にされている耐性強化項目を自装置においても有効にする。なお、装置情報が途絶えたという異常が検知された場合には、装置制御部４４２は、直前に受信された装置情報から、有効にする耐性強化項目を特定すればよい。

次に、装置制御部４４２は、受信された装置情報を参照して、現用系として機能しているゲートウェイ装置４１０が再起動するか否かを判定する（Ｓ９７）。現用系として機能しているゲートウェイ装置４１０が再起動する場合には（Ｓ９７でＹｅｓ）、処理はステップＳ９８に進み、現用系として機能しているゲートウェイ装置４１０が再起動しない場合には（Ｓ９７でＮｏ）、処理はステップＳ９０に戻る。なお、装置制御部４４２は、装置情報が途絶えた場合にも、現用系として機能しているゲートウェイ装置４１０が再起動すると判定する。

ステップＳ９８では、装置制御部４４２は、ゲートウェイ装置４１０の起動を開始して、現用系として動作する。

以上のように、実施の形態４では、待機系であるゲートウェイ装置４１０が再起動を契機に情報を受信するのではなく、現用系のゲートウェイ装置４１０の異常発生前から情報を受信する。これにより、待機系であるゲートウェイ装置４１０は、現用系であるゲートウェイ装置４１０に異常が発生し、装置情報が受信できなかった場合でも耐性を強化することができる。また、現用系であるゲートウェイ装置４１０が停止して装置情報が途絶えた場合もシステムを稼働し続けることができる。

実施の形態５．
図１に示されているように、実施の形態５における通信システム５００は、２つのゲートウェイ装置５１０Ａ、５１０Ｂを備える。
なお、２つのゲートウェイ装置５１０Ａ、５１０Ｂの各々を特に区別する必要がない場合には、ゲートウェイ装置５１０という。

図２に示されているように、実施の形態５に係るゲートウェイ装置５１０は、データ転送部１２０と、情報取得部１３０と、装置状態監視部５４０と、装置情報伝達部５４１と、装置制御部５４２と、通信部１４３とを備える。
実施の形態５に係るゲートウェイ装置５１０は、装置状態監視部５４０、装置情報伝達部５４１及び装置制御部５４２を除いて、実施の形態１に係るゲートウェイ装置１１０と同様に構成されている。

装置状態監視部５４０は、情報取得部１３０で取得された情報を受け取り、受け取った情報を定期的に確認する。実施の形態１における装置状態監視部１４０は、情報取得部１３０で取得された情報に基づいて、再起動の要求があったか否かを検知した後に、異常の有無を判定しているが、実施の形態５における装置状態監視部５４０は、実施の形態２と同様に、情報取得部１３０で取得された情報に基づいて、異常の有無を判定した後に、再起動の要求があったか否かを検知する。

装置情報伝達部５４１は、系切り替え時ばかりでなく、装置制御部５４２が新たに耐性強化項目を有効にする毎に、通信部１４３を介して、待機系であるゲートウェイ装置５１０の装置制御部５４２へ送付する。

装置制御部５４２は、装置情報伝達部５４１からの情報等の各種情報に基づいて、ゲートウェイ装置５１０内部の動作を制御する。実施の形態１における装置制御部１４２は、起動する際に耐性強化項目の追加及び有効化を行っているが、実施の形態５における装置制御部５４２は、実施の形態２と同様に、装置状態監視部５４０が、異常があることを検知した際にも、耐性強化項目の追加及び有効化を行っている。
実施の形態１では、系切り替え時に、現用系として機能しているゲートウェイ装置１１０から装置情報が送られてきているが、実施の形態５では、系切り替え時ばかりでなく新たに耐性強化項目が有効にされる毎に、装置情報が送られてくる。実施の形態５における装置制御部５４２は、実施の形態４と同様に、送られてくる装置情報に基づいて、耐性強化項目を有効にするか、起動を行うかを判断する。

図１１は、現用系として機能しているゲートウェイ装置５１０の動作を示すフローチャートである。
図１１に示されているステップＳ１００〜Ｓ１１０までの処理は、図７に示されているステップＳ５０〜Ｓ６０までの処理と同様である。但し、図１１のステップＳ１０９及びＳ１１０の処理の後は、処理はステップＳ１１１に進む。

ステップＳ１１１では、装置情報伝達部５４１は、通信部１４３を介して、装置情報を待機系であるゲートウェイ装置５１０の装置制御部５４２へ送付する。

待機系として機能しているゲートウェイ装置５１０の動作は、実施の形態４と同様である。

以上のように、実施の形態５では、実施の形態２に加えて、耐性強化後に装置情報を待機系へ送信することで、現用系のゲートウェイ装置５１０が停止して装置情報が途絶えた場合も、待機系のゲートウェイ装置５１０は、耐性を強固にした状態で起動することができる。

実施の形態６．
図１に示されているように、実施の形態６における通信システム６００は、２つのゲートウェイ装置６１０Ａ、６１０Ｂを備える。
なお、２つのゲートウェイ装置６１０Ａ、６１０Ｂの各々を特に区別する必要がない場合には、ゲートウェイ装置６１０という。

図２に示されているように、実施の形態６に係るゲートウェイ装置６１０は、データ転送部１２０と、情報取得部１３０と、装置状態監視部６４０と、装置情報伝達部６４１と、装置制御部６４２と、通信部１４３とを備える。
実施の形態６に係るゲートウェイ装置６１０は、装置状態監視部６４０、装置情報伝達部６４１及び装置制御部６４２を除いて、実施の形態１に係るゲートウェイ装置１１０と同様に構成されている。

装置状態監視部６４０は、情報取得部１３０で取得された情報を受け取り、受け取った情報を定期的に確認する。実施の形態１における装置状態監視部１４０は、情報取得部１３０で取得された情報に基づいて、再起動の要求があったか否かを検知した後に、異常の有無を判定しているが、実施の形態６における装置状態監視部６４０は、情報取得部１３０で取得された情報に基づいて、異常の有無を判定した後に、再起動の要求があったか否かを検知する。

装置情報伝達部６４１は、系切り替え時ばかりでなく、装置制御部６４２が新たに耐性強化項目を有効にする毎に、通信部１４３を介して、装置情報を待機系であるゲートウェイ装置６１０の装置制御部６４２へ送付する。

装置制御部６４２は、装置情報伝達部６４１からの情報等の各種情報に基づいて、ゲートウェイ装置６１０内部の動作を制御する。実施の形態１における装置制御部１４２は、起動する際に耐性強化項目の追加及び有効化を行っているが、実施の形態６における装置制御部６４２は、実施の形態３の装置制御部３４２と同様に、装置状態監視部６４０が、異常があることを検知した際にも、耐性強化項目の追加及び有効化を行っている。

図１２及び図１３は、現用系として機能しているゲートウェイ装置６１０の動作を示すフローチャートである。
図１２及び図１３に示されているステップＳ１２０〜Ｓ１３６までの処理は、図８及び図９に示されているステップＳ７０〜Ｓ８６までの処理と同様である。但し、図１３のステップＳ１３０の処理の後は、処理はステップＳ１３７に進み、図１３のステップＳ１３８の処理の後は、処理はステップＳ１３８に進む。

ステップＳ１３７及びＳ１３８では、装置情報伝達部６４１は、通信部１４３を介して、装置情報を待機系であるゲートウェイ装置６１０の装置制御部６４２へ送付する。

待機系として機能しているゲートウェイ装置６１０の動作は、実施の形態４と同様である。

以上のように、実施の形態６では、実施の形態３に加えて、耐性強化後に装置情報を待機系へ送信することで、現用系のゲートウェイ装置６１０が停止して装置情報が途絶えた場合も、待機系のゲートウェイ装置６１０は耐性を強固にした状態で起動することができる。

１００，２００，３００，４００，５００，６００ 通信システム、 １１０，２１０，３１０，４１０，５１０，６１０ ゲートウェイ装置、 １２０ データ転送部、 １２１ Ｉ／Ｆ、 １３０ 情報取得部、 １３１ 温度情報取得部、 １３２ ＣＰＵ情報取得部、 １３３ メモリ情報取得部、 １３４ 通信情報取得部、 １４０，２４０，３４０，４４０，５４０，６４０ 装置状態監視部、 １４１ 装置情報伝達部、 １４２，２４２，３４２，４４２，５４２，６４２ 装置制御部、 １４３ 通信部。

Claims (15)

1. 現用系及び待機系を備え、冗長化された通信システムにおいて、当該現用系及び当該待機系として機能する他のゲートウェイ装置とともに使用され、当該現用系及び当該待機系として機能するとともに、セキュリティに関して有効又は無効にすることのできる複数の耐性強化項目を備えるゲートウェイ装置であって、
   自装置が前記待機系として機能している場合に、前記現用系として機能している前記他のゲートウェイ装置から、前記複数の耐性強化項目の内、前記他のゲートウェイ装置で有効にされている耐性強化項目を示す第１の設定情報を含む第１の装置情報を受信する通信部と、
   自装置が前記待機系として機能している場合に、前記第１の設定情報に基づいて、前記他のゲートウェイ装置で有効にされている耐性強化項目、及び、前記複数の耐性強化項目の内、前記他のゲートウェイ装置で無効にされている耐性強化項目を有効にする装置制御部と、を備えること
   を特徴とするゲートウェイ装置。
2. 前記第１の装置情報には、前記現用系として機能している前記他のゲートウェイ装置の処理を引き継ぐための第１の引継情報が含まれており、
   前記装置制御部は、前記第１の引継情報に基づいて、前記他のゲートウェイ装置の処理を引き継ぐ際に、前記他のゲートウェイ装置で有効にされている耐性強化項目、及び、前記複数の耐性強化項目の内、前記他のゲートウェイ装置で無効にされている耐性強化項目を有効にすること
   を特徴とする請求項１に記載のゲートウェイ装置。
3. 前記他のゲートウェイ装置は、再起動を行う際に、前記第１の装置情報を送信し、
   前記装置制御部は、前記通信部が前記第１の装置情報を受信した際に、前記第１の引継情報に基づいて、前記他のゲートウェイ装置の処理を引き継ぐこと
   を特徴とする請求項２に記載のゲートウェイ装置。
4. 前記第１の装置情報には、前記他のゲートウェイ装置における異常の有無の判定に必要な第１の異常判定情報が含まれており、
   前記装置制御部は、前記第１の異常判定情報に基づいて、前記他のゲートウェイ装置における異常に対応して予め定められた優先順位に基づいて、前記複数の耐性強化項目から１つの耐性強化項目を選択し、当該選択された耐性強化項目が前記他のゲートウェイ装置で無効にされている場合には、当該選択された耐性強化項目を有効にし、当該選択された耐性強化項目が前記他のゲートウェイ装置で有効にされている場合には、予め定められた順番に基づいて、前記他のゲートウェイ装置で無効にされている１つの耐性強化項目を有効にすること
   を特徴とする請求項２又は３に記載のゲートウェイ装置。
5. 前記第１の装置情報には、前記他のゲートウェイ装置における異常の有無の判定に必要な第１の異常判定情報が含まれており、
   前記他のゲートウェイ装置は、順次、前記第１の装置情報を送信し、
   前記装置制御部は、前記第１の異常判定情報に基づいて、前記他のゲートウェイ装置に異常があると判定した場合には、前記第１の設定情報に基づいて、前記他のゲートウェイ装置で有効にされている耐性強化項目、及び、前記複数の耐性強化項目の内、前記他のゲートウェイ装置で無効にされている耐性強化項目を有効にすること
   を特徴とする請求項１に記載のゲートウェイ装置。
6. 前記第１の装置情報には、前記現用系として機能している前記他のゲートウェイ装置の処理を引き継ぐための第１の引継情報が含まれており、
   前記装置制御部は、前記他のゲートウェイ装置における異常により、前記他のゲートウェイ装置に再起動が必要であると判定した場合には、前記第１の引継情報に基づいて、前記他のゲートウェイ装置の処理を引き継ぐこと
   を特徴とする請求項５に記載のゲートウェイ装置。
7. 前記装置制御部は、前記他のゲートウェイ装置における異常に対応して予め定められた優先順位に基づいて、前記複数の耐性強化項目から１つの耐性強化項目を選択し、当該選択された耐性強化項目が前記他のゲートウェイ装置で無効にされている場合には、当該選択された耐性強化項目を有効にし、当該選択された耐性強化項目が前記他のゲートウェイ装置で有効にされている場合には、予め定められた順番に基づいて、前記他のゲートウェイ装置で無効にされている１つの耐性強化項目を有効にすること
   を特徴とする請求項５又は６に記載のゲートウェイ装置。
8. 自装置が前記現用系として機能している場合に、前記通信部に、前記複数の耐性強化項目の内、自装置で有効にされている耐性強化項目を示す第２の設定情報を含む第２の装置情報を前記待機系として機能している前記他のゲートウェイ装置に送信させる装置情報伝達部をさらに備えること、
   を特徴とする請求項１に記載のゲートウェイ装置。
9. 前記第２の装置情報には、自装置の処理を引き継ぐための第２の引継情報が含まれていること
   を特徴とする請求項８に記載のゲートウェイ装置。
10. 自装置が前記現用系として機能している場合に、自装置における異常の判定に必要な第２の異常判定情報を取得する情報取得部をさらに備え、
    前記第２の装置情報には、前記第２の異常判定情報が含まれること
    を特徴とする請求項８又は９に記載のゲートウェイ装置。
11. 前記第２の異常判定情報に基づいて、自装置の状態を監視する装置状態監視部をさらに備え、
    前記装置情報伝達部は、前記装置状態監視部が、前記第２の異常判定情報に基づいて、自装置を再起動する必要があると判定した場合に、前記通信部に、前記第２の装置情報を前記待機系として機能している前記他のゲートウェイ装置に送信させること
    を特徴とする請求項１０に記載のゲートウェイ装置。
12. 自装置が前記現用系として機能している場合に、前記装置制御部は、前記装置状態監視部が、前記第２の異常判定情報に基づいて、自装置に異常があると判定したときに、前記複数の耐性強化項目の内、自装置で無効にされている耐性強化項目を有効にすること
    を特徴とする請求項１１に記載のゲートウェイ装置。
13. 前記装置情報伝達部は、前記装置制御部が前記耐性強化項目を有効にした場合に、前記通信部に、前記第２の装置情報を前記待機系として機能している前記他のゲートウェイ装置に送信させること、
    を特徴とする請求項１２に記載のゲートウェイ装置。
14. 前記装置制御部は、自装置における異常に対応して予め定められた優先順位に基づいて、前記複数の耐性強化項目から１つの耐性強化項目を選択し、当該選択された耐性強化項目が自装置で無効にされている場合には、当該選択された耐性強化項目を有効にし、当該選択された耐性強化項目が自装置で有効にされている場合には、予め定められた順番に基づいて、自装置で無効にされている１つの耐性強化項目を有効にすること
    を特徴とする請求項１２又は１３に記載のゲートウェイ装置。
15. 前記装置制御部は、前記選択された耐性強化項目又は前記１つの耐性強化項目を有効にするのに、自装置の再起動が必要な場合には、前記装置情報伝達部を介して、前記通信部に、前記第２の装置情報を前記待機系として機能している前記他のゲートウェイ装置に送信させ、前記現用系としての処理を、前記待機系として機能している前記他のゲートウェイ装置に引き継いでから、前記選択された耐性強化項目又は前記１つの耐性強化項目を有効にすること
    を特徴とする請求項１４に記載のゲートウェイ装置。

Images