JP6665908B2 - 通信装置、通信システム、デバイス接続制御方法およびデバイス接続制御プログラム - Google Patents

Description

本発明は、通信装置、通信システム、並びに、通信装置に適用されるデバイス接続制御方法およびデバイス接続制御プログラム、並びに、通信システムに適用される通信装置管理方法に関する。

パケットを転送するスイッチを制御装置が制御するプロトコルとして、オープンフロー（ＯｐｅｎＦｌｏｗ）が知られている。

オープンフローでは、制御装置がスイッチにフローエントリを設定する。そして、スイッチは、受信したパケットをそのフローエントリに従って処理する。フローエントリとは、パケットに対する動作（例えば、転送、破棄等）を規定した情報である。フローエントリは、パケットのフロー毎に設定される。スイッチがパケットを受信したときに、そのパケットのフローに対応するフローエントリが存在する場合、スイッチは、そのフローエントリに従ってそのパケットを処理する。一方、受信したパケットのフローに対応するフローエントリが存在しない場合、スイッチはその旨を制御装置に通知する。そして、制御装置は、そのパケットのフローに対応するフローエントリを決定し、スイッチに設定する。

また、特許文献１には、ネットワーク装置が転送するパケットを示すアドレス情報に、受信したパケットの送信元アドレスを格納することによって、アドレスを学習するネットワーク装置が記載されている。

また、特許文献２には、パケットの中継、および、ホワイトリストの生成を実行するパケット中継装置が記載されている。特許文献２におけるホワイトリストとは、例えば、パケット中継装置による転送が許可されたパケットの一覧である。さらに、特許文献２に記載のパケット中継装置は、ホワイトリストを生成する生成状態であるか、ホワイトリストを用いた転送を行う運用状態であるかを判定する。また、特許文献２に記載のパケット中継装置は、パケット受信部を複数備え、ホワイトリストの生成および制御の対象となるパケット受信部と、ホワイトリストの生成および制御の対象外となるパケット受信部を選択できる。

また、特許文献３には、ホワイトリストを管理する通信制御装置が記載されている。特許文献３におけるホワイトリストは、通信相手欄を有する。また、特許文献３には、通信相手を識別する識別情報の例として、ＦＱＤＮ（Fully Qualified Domain Name ）が記載されている。

特許第６１１４２１４号公報 国際公開第２０１７／０７３０８９号 国際公開第２０１４／１５５６９９号

通信装置が、ホワイトリストによって、パケットの転送を許可するか、不許可にするかを判定する場合には、通信装置にホワイトリストを設定する必要がある。

ＩｏＴ（Internet of Things）では、機器やアプリケーションソフトウェアの数および種類が多く、全ての機器やアプリケーションソフトウェアに対する設定作業を行うとすると、作業工数が膨大となる。

また、ＩＰ（Internet Protocol ）アドレスによるホワイトリストを管理者が作成する場合、管理者が送信元や宛先に該当するＩＰアドレスを簡単に把握することができず、ホワイトリストの作成は、容易でなかった。

そのため、ＩＰアドレスに限らず、種々の条件を記述したホワイトリストを容易に生成できることが好ましい。また、そのホワイトリストの中に、管理者によって分かり易い条件も含められることが好ましい。

また、通信装置が、ホワイトリストによって、その通信装置と他のデバイスとの接続を許可するか、不許可にするかを判定することが考えられる。その場合にも、ホワイトリストの作成の作業工数が大きくなるという課題が生じる。

また、パケットによる通信を許可するか、不許可にするかの判定に用いるリストが複数の通信装置で生成される場合、そのリストを管理できることが好ましい。

同様に、通信装置と他のデバイスとの接続を許可するか、不許可にするかの判定に用いるリストが複数の通信装置で生成される場合に、そのリストを管理できることが好ましい。

そこで、本発明は、他のデバイスの接続を許可するか、不許可にするのかの判定に用いるリストを生成することができる通信装置、デバイス接続制御方法およびデバイス接続制御プログラムを提供することを目的とする。

また、本発明は、他のデバイスの接続を許可するか、不許可にするのかの判定に用いるリストが複数の通信装置で生成される場合に、そのリストを管理できる通信システムおよび通信装置管理方法を提供することを目的とする。

また、本発明による通信システムは、複数の通信装置と、前記複数の通信装置を管理する管理サーバとを備え、個々の通信装置が、デバイスの接続インタフェースと、前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、前記接続手段を制御する制御手段とを含み、前記接続手段が、前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、前記制御手段が、デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、前記接続手段が、前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、前記制御手段が、学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加し、前記レコードを前記管理サーバに送信し、前記管理サーバが、前記レコードを受信する受信手段と、前記レコードを記憶する記憶手段とを含み、前記管理サーバが、前記受信手段が前記レコードを受信した場合、当該レコードを送信した通信装置以外の各通信装置の制御手段に対して、前記レコードに記述されているデバイスの識別情報が記述されているレコードの削除を指示する削除指示手段を含むことを特徴とする。

また、本発明による通信装置管理方法は、複数の通信装置と、前記複数の通信装置を管理する管理サーバとを備え、個々の通信装置が、デバイスの接続インタフェースと、前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、前記接続手段を制御する制御手段とを含む通信システムに適用される通信装置管理方法であって、前記接続手段が、前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、前記制御手段が、デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、前記接続手段が、前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、前記制御手段が、学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加し、前記レコードを前記管理サーバに送信し、前記管理サーバが、前記レコードを受信し、前記レコードを記憶し、前記レコードを受信した場合、当該レコードを送信した通信装置以外の各通信装置の制御手段に対して、前記レコードに記述されているデバイスの識別情報が記述されているレコードの削除を指示することを特徴とする。

本発明によれば、他のデバイスの接続を許可するか、不許可にするのかの判定に用いるリストを生成することができる。

また、本発明によれば、他のデバイスの接続を許可するか、不許可にするのかの判定に用いるリストが複数の通信装置で生成される場合に、そのリストを管理することができる。

本発明の第１の実施形態の通信装置の例を示すブロック図である。 ゲートウェイが備える通信インタフェースの例を示す説明図である。 制御部が保持するリストの例を示す模式図である。 初期追加レコードが追加されたリストの例を示す模式図である。 通信の許可を示す制御情報をスイッチ部に設定する場合のログの例を示す模式図である。 学習項目設定テーブルの例を示す模式図である。 学習態様１を指定するとともに、学習モードで学習すべき条件として、「宛先ドメイン名」のみを指定した学習項目設定テーブルの例を示す模式図である。 学習態様３を指定するとともに、学習モードで学習すべき条件として、「送信元プロセス名」のみを指定した学習項目設定テーブルの例を示す模式図である。 学習態様３を指定するとともに、学習モードで学習すべき条件として、「送信元プロセスのユーザ名」のみを指定した学習項目設定テーブルの例を示す模式図である。 学習モードにおける処理経過の例を示すシーケンス図である。 学習モードにおける処理経過の例を示すシーケンス図である。 ステップＳ１５でレコードが追加されたリストの例を示す模式図である。 運用モードでの処理経過の例を示すシーケンス図である。 リストの一例を示す模式図である。 学習モードにおける処理経過の他の例を示すシーケンス図である。 ステップＳ４５でレコードが追加されたリストの例を示す模式図である。 運用モードでの処理経過の例を示すシーケンス図である。 リストの一例を示す模式図である。 本発明の第２の実施形態の通信装置の例を示すブロック図である。 ＵＳＢ用リストの例を示す模式図である。 ＢＬＥ用リストの例を示す模式図である。 ＵＳＢ用学習項目設定テーブルの例を示す模式図である。 ＢＬＥ用学習項目設定テーブルの例を示す模式図である。 学習モードにおける処理経過の例を示すシーケンス図である。 運用モードでの処理経過の例を示すシーケンス図である。 本発明の第３の実施形態の通信システムの例を示す模式図である。 管理態様１でレコードを管理する管理サーバの構成例を示すブロック図である。 管理サーバが管理態様１でレコードを管理する場合の処理経過の例を示すシーケンス図である。 学習項目設定テーブルの設定の一例を示す模式図である。 ステップＳ２０５でリストに追加されるレコードの例を示す模式図である。 管理態様２でレコードを管理する管理サーバの構成例を示すブロック図である。 管理サーバが管理態様２でレコードを管理する場合の処理経過の例を示すシーケンス図である。 管理サーバが管理態様１でレコードを管理する場合の処理経過の例を示すシーケンス図である。 ステップＳ４０６でＵＳＢ用リストに追加されるレコードの例を示す模式図である。 管理サーバが管理態様２でレコードを管理する場合の処理経過の例を示すシーケンス図である。 本発明の通信装置の概要の例を示すブロック図である。 本発明の通信装置の概要の他の例を示すブロック図である。 本発明の通信システムの概要の例を示すブロック図である。 本発明の通信システムの概要の他の例を示すブロック図である。

以下、本発明の実施形態を図面を参照して説明する。

実施形態１．
図１は、本発明の第１の実施形態の通信装置の例を示すブロック図である。各実施形態では、本発明の通信装置１０がゲートウェイである場合を例にして説明する。ゲートウェイ１０は、制御部１１と、スイッチ部１２と、無線ＬＡＮ（Local Area network）の通信インタフェース６１（以下、無線ＬＡＮ IF ６１と記す）と、Ethernet（登録商標）の通信インタフェース６２（以下、Ethernet IF ６２と記す。）とを備える。

図１に示す例では、ゲートウェイ１０は、Ethernet IF ６２および通信ネットワークを介して、管理サーバ２０、ＤＮＳ（Domain Name System）サーバ４０および一般的なサーバ３０に接続されている。管理サーバ２０は、ゲートウェイ１０に対して後述のリストのうち管理者が作成した部分を送信したり、ゲートウェイ１０からログを受信したりする。サーバ３０は、例えば、カメラ５１やセンサ５２で得られたデータを処理する。また、ゲートウェイ１０には、無線ＬＡＮ IF ６１を介して、カメラ５１やセンサ５２が接続されている。カメラ５１およびセンサ５２はゲートウェイ１０の配下に接続されるデバイスの例であり、ゲートウェイ１０の配下に接続される装置は、カメラ５１やセンサ５２に限定されない。

管理サーバ２０は、例えば、クラウドサーバであるが、クラウドサーバ以外のサーバであってもよい。サーバ３０およびＤＮＳサーバ４０に関しても同様である。

カメラ５１やセンサ５２は、ゲートウェイ１０を介して、サーバ３０と通信を行う。また、ゲートウェイ１０の内部のプロセスＡ１３またはプロセスＢ１４がサーバ３０と通信を行ってもよい。また、例えば、サーバ３０がカメラ５１にアクセスしてもよい。なお、ゲートウェイ１０内のプロセスの数は特に限定されない。

なお、ゲートウェイ１０が備える通信インタフェースは、無線ＬＡＮ IF ６１やEthernet IF ６２に限定されない。図２は、ゲートウェイ１０が備える通信インタフェースの例を示す説明図である。ゲートウェイ１０は、通信インタフェースとして、例えば、Ethernet、無線ＬＡＮ（2.4GHz）、無線ＬＡＮ（5GHz）、Cellular等の通信インタフェースを有する。これらの通信インタフェースは、物理的な通信インタフェースである。図２では、無線ＬＡＮの通信インタフェースが２種類設けられていて、Ethernetの通信インタフェースが２つ設けられている場合を例示している。

スイッチ部１２は、パケットを転送する。スイッチ部１２は、パケット転送手段１２と称することもできる。

制御部１１は、パケットのヘッダ情報に応じたスイッチ部１２の動作を規定した制御情報（オープンフローにおけるフローエントリに相当）をスイッチ部１２に設定することによって、スイッチ部１２を制御する。制御部１１はスイッチ部１２を、例えば、オープンフローに従って制御してもよいが、制御部１１がスイッチ部１２を制御するプロトコルはオープンフローでなくてもよい。

ヘッダ情報に適合する制御情報が未だスイッチ部１２に設定されていないパケットを新規パケットと記す。スイッチ部１２は、新規パケットを受信したときに、その新規パケットのヘッダ情報を制御部１１に通知する。制御部１１は、そのヘッダ情報を通知されると、そのヘッダ情報に適合する制御情報をスイッチ部１２に設定する。

制御部１１は、通信を許可する条件を記述可能な複数の項目を含むレコードであって、その複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持する。そして、制御部１１は、スイッチ部１２からヘッダ情報（新規パケットのヘッダ情報）が通知されると、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、そのリストのいずれかのレコードで記述されているか否かを判定する。ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれかのレコードで記述されている場合、制御部１１は、その新規パケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。また、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれのレコードにも記述されていない場合、制御部１１は、その新規パケットによる通信の不許可を示す制御情報をスイッチ部１２に設定する。

上記のリストはホワイトリストであると言うことができる。

また、制御部１１は、新たなレコードを学習する学習モードに設定された場合、新たなレコードを学習し、上記のリストに追加する。新たなレコードを学習しリストに追加することを、リストの学習と称する場合もある。

スイッチ部１２および制御部１１について、より詳細に説明する。

スイッチ部１２は、図２に例示する種々の物理的な通信インタフェースと論理的に接続されている。スイッチ部１２がゲートウェイ１０の外部からパケットを受信したり、ゲートウェイ１０の外部にパケットを出力したりする場合、スイッチ部１２は、パケットの受信やパケットの出力を、いずれかの通信インタフェースを介して行う。

スイッチ部１２は、パケットのヘッダ情報を認識する機能を有する。そして、新規パケット（すなわち、ヘッダ情報に適合する制御情報が未だ設定されていないパケット）を受信した場合、そのパケットのヘッダ情報を制御部１１に通知する。また、パケットのヘッダ情報を制御部１１に通知するということは、制御部１１にそのヘッダ情報に応じた制御情報を問い合わせることを意味する。スイッチ部１２は、ヘッダ情報を制御部１１に通知した後も、受信した新規パケットを保持する。

ヘッダ情報の通知（制御情報の問い合わせ）の結果、そのヘッダ情報に応じた制御情報が制御部１１によって設定されると、スイッチ部１２は、保持している新規パケットを、その制御情報に従って処理する。

その新規パケットによる通信の許可を示す制御情報では、そのヘッダ情報に適合するパケットを出力すること、および、出力の際に用いる通信インタフェースが指定されている。従って、その新規パケットによる通信の許可を示す制御情報が設定された場合、スイッチ部１２は、その制御情報によって指定された通信インタフェースから、保持している新規パケットを出力する。また、その制御情報は、その新規パケットと同一フローのパケットのヘッダ情報に適合する。従って、その後、スイッチ部１２は、その新規パケットと同一フローのパケットを受信した場合、制御部１１にヘッダ情報を通知せずに、その制御情報によって指定された通信インタフェースからそのパケットを出力する。

また、その新規パケットによる通信の不許可を示す制御情報では、そのヘッダ情報に適合するパケットを破棄することが指定されている。従って、その新規パケットによる通信の不許可を示す制御情報が設定された場合、スイッチ部１２は、その制御情報に従って、保持している新規パケットを破棄する。また、その制御情報は、その新規パケットと同一フローのパケットのヘッダ情報に適合する。従って、その後、スイッチ部１２は、その新規パケットと同一フローのパケットを受信した場合、制御部１１にヘッダ情報を通知せずに、その制御情報に従ってそのパケットを破棄する。

制御部１１は、スイッチ部１２からパケットのヘッダ情報の通知を受けると、そのヘッダ情報に応じたスイッチ部１２の動作を規定した制御情報を、スイッチ部１２に設定する。制御部１１は、そのパケットによる通信の許可を示す制御情報を設定するのか、あるいは、そのパケットによる通信の不許可を示す制御情報を設定するのかを、保持しているリストに基づいて判定する。

図３は、制御部１１が保持するリスト（ホワイトリスト）の例を示す模式図である。図３では、便宜的にリスト内のレコードの番号も示している。リスト内のレコードは、通信を許可する条件を記述可能な複数の項目を含む。そして、その複数の項目のうち、少なくとも一部の項目に条件が記述されている。

図３に示す例では、「宛先ドメイン名」、「送信元プロセス名」、「送信元プロセスのユーザ名」、「宛先ＩＰアドレス」等の項目を含んでいる。レコードに含まれる項目は、これらに限定されず、例えば、「送信元ＩＰアドレス」、「送信元ＭＡＣ（Media Access Control）アドレス」、「宛先ＭＡＣアドレス」等に対応する項目が含まれていてもよい。

図３に示す例では、１番目および２番目のレコードでは、「宛先ドメイン名」の項目に、通信を許可する条件として、具体的な宛先ドメイン名が記述され、他の項目はany （任意）に設定されている。また、３番目および４番目のレコードでは、「送信元プロセス名」の項目に、通信を許可する条件として、具体的なプロセス名が記述され、他の項目はany に設定されている。また、５番目および６番目のレコードでは、「送信元プロセスのユーザ名」の項目に、通信を許可する条件として、具体的なユーザ名が記述され、他の項目はanyに設定されている。なお、２つ以上の項目に条件が記述されてもよい。

なお、ドメイン名、プロセス名、プロセスのユーザ名は、ヘッダ情報に含まれるＩＰアドレスを用いて特定される。

「出力インタフェース」の項目には、レコードに記述された条件が満たされた場合に生成される、通信を許可する旨の制御情報においてパケットの出力先として記述される通信インタフェースが記述される。

補足情報には、例外を示す情報や、学習によって追加されたレコードである旨の情報が記述される。例えば、図３に示す３番目のレコードでは、「宛先ポート番号２０，２１は不許可」と記述されている。この場合、ヘッダ情報に含まれるＩＰアドレスを用いて特定された送信元プロセス名が“/bin/abc”であり、３番目のレコードに記述された条件を満たしていたとしても、ヘッダ情報に含まれる宛先ポート番号が２０または２１である場合には、制御部１１は、通信の不許可を示す制御情報を設定する。また、図３に示す例では、２番目、４番目、６番目のレコードにおいて、「学習によって追加」と記載されている。このことは、２番目、４番目、６番目のレコードが、学習によって追加されたレコードであることを示している。また、１番目、３番目、５番目のレコードは、ゲートウェイ１０の管理者が管理サーバ２０に入力し、管理サーバ２０が制御部１１に送信することによって得られたレコードである。すなわち、１番目、３番目、５番目のレコードは、管理者によって作成されたレコードである。

制御部１１が新たなレコードを学習する状態を学習モードと記す。学習モードに設定される前には、追加されるレコードにおいて条件が学習される項目（すなわち、条件が記述される項目）が、管理者によって指定される。この項目の指定は、後述の学習項目設定テーブルを用いて行われる。本実施形態では、少なくとも、ＩＰアドレスから特定可能な条件に対応する項目（例えば、「宛先ドメイン名」、「送信元プロセス名」、または「送信元プロセスのユーザ名」等）が指定されるものとする。

学習モードでは、制御部１１は、スイッチ部１２から新規パケットのヘッダ情報が通知されると、必ずその新規パケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。

また、制御部１１は、指定された項目に、そのヘッダ情報内のＩＰアドレスから特定した条件（例えば、宛先ドメイン名等）を記述したレコードを作成し、リストに追加する。レコードを作成し、そのレコードをリストに追加する動作は、学習モードの終了後に行ってもよいが、ここでは、制御部１１が、学習モード中に、条件を記述したレコードを作成し、リストに追加する場合を例にして説明する。

また、制御部１１は、学習モードに設定されると、リストに１つ以上のレコードを追加する。制御部１１は、学習モードに設定された直後にこの処理を行う。学習モードに設定された直後に追加される１つ以上のレコードを、初期追加レコードと記す。指定された項目にＩＰアドレスから特定した条件（例えば、宛先ドメイン名等）を記述したレコードを作成し、そのレコードをリストに追加する処理は、１つ以上の初期追加レコードをリストに追加する処理とは別の処理である。

制御部１１は、１つ以上の初期追加レコードの中に、条件を記述可能な全ての項目に“any ”が記述された初期追加レコードを含める。また、制御部１１は、個々の初期追加レコードの「出力インタフェース」の項目に、具体的な通信インタフェースを記述する。

学習モードに設定された直後に１つ以上の初期追加レコードを追加した後、制御部１１は、新規パケットのヘッダ情報が通知されると、新たにレコードを作成する。制御部１１は、このレコードにおいて、条件に対応する項目のうち、指定された項目には具体的な条件（例えば、具体的なドメイン名）を記述する。さらに、制御部１１は、「出力インタフェース」の項目には具体的な通信インタフェースを記述する。このとき、制御部１１は、新規パケットのヘッダ情報に含まれる情報（本実施形態では、宛先ＩＰアドレスとする。）が、１つ以上の初期追加レコードのうち、どの初期追加レコードが示す条件を満たすかを判定し、条件がその情報を満たしている初期追加レコードを特定する。そして、制御部１１は、その初期追加レコードに記述されている通信インタフェースを、新たに作成したレコードの「出力インタフェース」の項目に記述する。また、制御部１１は、そのレコードにおいて、補足情報の項目に、学習によって追加されたレコードである旨を記述する。

レコードを学習せずに、制御部１１が、リストに基づいてパケットによる通信を許可するか、不許可にするかを判定する状態を、運用モードと記す。

管理者は、制御部１１を、学習モードと運用モードのいずれかに設定する。例えば、管理者は、管理サーバ２０に対して、学習モードとするのか、運用モードとするのかを入力し、管理サーバ２０が、その入力に応じて、制御部１１を、学習モードまたは運用モードに設定すればよい。

前述のように、制御部１１は、学習モードに設定された直後に、１つ以上の初期追加レコードをリストに追加する。図４は、初期追加レコードが追加されたリストの例を示す模式図である。図４に示す例では、ｎ−２番目のレコードからｎ番目のレコードまでが初期追加レコードである。前述のように、制御部１１は、１つ以上の初期追加レコードの中に、条件を記述可能な全ての項目に“any ”が記述された初期追加レコードを含める。図４に示す例では、ｎ番目のレコードで、条件を記述可能な全ての項目に“any ”が記述されている。また、ｎ−２番目とｎ−１番目のレコードでは、条件を示す各項目のうち「宛先ＩＰアドレス」の項目に、具体的なアドレスが記述されている。また、それぞれの初期追加レコードでは、「出力インタフェース」の項目に具体的な通信インタフェースが記述されている。以下、制御部１１が初期追加レコードを定める動作について、説明する。

制御部１１は、学習モードに設定されると、宛先ＩＰアドレスと出力インタフェースとの対応関係を特定し、その対応関係に従って、初期追加レコードの「宛先ＩＰアドレス」の項目および「出力インタフェース」の項目に、具体的なアドレスや通信インタフェースを記述する。

例えば、ネットワーク構成において、宛先ＩＰアドレス“192.168.2.0/24”と、通信インタフェース“Ethernet2 ”とが対応付けられているとする。また、宛先ＩＰアドレス“192.168.3.0/24”と、通信インタフェース“wlan0”とが対応付けられているとする。また、その他の宛先ＩＰアドレス（“192.168.2.0/24”および“192.168.3.0/24”以外の宛先ＩＰアドレス）と、通信インタフェース“Ethernet1 ” とが対応付けられているとする。この場合、制御部１１は、「宛先ＩＰアドレス」として“192.168.2.0/24”を記述し、「出力インタフェース」として“Ethernet2 ”を記述し、その他の項目を全て“any ”としたレコードを、初期追加レコードとしてリストに追加する（図４に示すｎ−２番目のレコードを参照）。同様に、制御部１１は、「宛先ＩＰアドレス」として“192.168.3.0/24”を記述し、「出力インタフェース」として“wlan0”を記述し、その他の項目を全て“any ”としたレコードを、初期追加レコードとしてリストに追加する（図４に示すｎ−１番目のレコードを参照）。また、制御部１１は、その他の宛先ＩＰアドレス（“192.168.2.0/24”および“192.168.3.0/24”以外の宛先ＩＰアドレス）と通信インタフェース“Ethernet1 ” とが対応付けられていることに基づいて、「出力インタフェース」として“Ethernet1 ”を記述し、その他の項目を全て“any ”としたレコードを、初期追加レコードとしてリストに追加する（図４に示すｎ番目のレコードを参照）。なお、「出力インタフェース」以外の項目が全て“any ”となっている初期追加レコードは、他の初期追加レコードよりも優先度が低い。

上記のように、制御部１１は、初期追加レコードの１つとして、「出力インタフェース」以外の項目を全て“any ”としたレコードを作成する。従って、初期追加レコードには、条件を記述可能な全ての項目に“any ”が記述されたレコードが存在することになる。

初期追加レコード以外のレコードの中には、条件を記述可能な全ての項目に“any ”が記述されたレコードは存在しない。

なお、学習モードから運用モードに切り替えられた場合、制御部１１は、リストから初期追加レコードを全て削除する。

次に、学習モードにおいて、初期追加レコードを追加した後に、制御部１１がスイッチ部１２から新規パケットのヘッダ情報の通知を受けたときの動作について、説明する。制御部１１は、初期追加レコードの優先度の高い順に、ヘッダ情報の宛先ＩＰアドレスと、初期追加レコードに記述された宛先ＩＰアドレスとを照合する。両者が一致した場合には、制御部１１は、「宛先ＩＰアドレス」の項目にその宛先ＩＰアドレスを記述し、予め指定された項目に、ヘッダ情報内のＩＰアドレスから特定した条件（例えば、宛先ドメイン名等）を記述し、「出力インタフェース」の項目に、その初期追加レコードに記述された通信インタフェースを記述し、「補足情報」の項目に、学習によって追加した旨を記述したレコードを作成する。制御部１１は、そのレコードの他の項目には全て“any ”と記述し、そのレコードをリストに追加する。また、制御部１１は、その新規パケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。また、制御部１１は、宛先ＩＰアドレスが一致しなかった場合には、次の優先度の初期追加レコードを用いて、同様の処理を行う。宛先ＩＰアドレスが一致しないことが続いたとしても、制御部１１は、条件を記述可能な全ての項目に“any ”が記述された初期追加レコード（図４に示すｎ番目のレコード）における宛先ＩＰアドレスは、ヘッダ情報の宛先ＩＰアドレスと一致しているとみなす。この場合、制御部１１は、予め指定された項目に、ヘッダ情報内のＩＰアドレスから特定した条件（例えば、宛先ドメイン名等）を記述し、「出力インタフェース」の項目に、その初期追加レコードに記述された通信インタフェースを記述し、「補足情報」の項目に、学習によって追加した旨を記述したレコードを作成する。制御部１１は、そのレコードの他の項目には全て“any ”と記述し、そのレコードをリストに追加する。また、制御部１１は、新規パケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。

初期追加レコードには、条件を記述可能な全ての項目に“any ”が記述されたレコードが存在する。従って、学習モードでは、制御部１１は、スイッチ部１２から新規パケットのヘッダ情報が通知されると、必ずその新規パケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。

以下、説明を簡単にするために、新規パケットのヘッダ情報の宛先ＩＰアドレスが、条件を記述可能な全ての項目に“any ”が記述された初期追加レコード（図４に示すｎ番目のレコード）における宛先ＩＰアドレスと一致しているとみなされて、新たなレコードが作成されるものとする。すなわち、説明を簡単にするために、図４に示す最後の初期追加レコードに基づいて、新たなレコードが作成されるものとして説明する。すなわち、新規パケットのヘッダ情報が、図４に示すｎ−２番目のレコードおよびｎ−１番目のレコードには合致せず、ｎ番目のレコードに合致するものとして説明する。

また、制御部１１は、通信の許可を示す制御情報をスイッチ部１２に設定する場合、許可の根拠となったリスト内の条件（例えば、具体的なドメイン名、プロセス名、またはユーザ名等）、または、ＩＰアドレスから特定した情報を記述したログを管理サーバ２０に送信する。また、学習モードである場合、制御部１１は、そのログ内に、学習モードである旨も記述する。

図５は、通信の許可を示す制御情報をスイッチ部１２に設定する場合のログの例を示す模式図である。図５では、便宜的にログの番号も示している。図５に示す例では、１番目および３番目のログは、運用モードにおいて作成されたログである。１番目のログは、運用モードにおいて、ＩＰアドレスから特定したドメイン名（www.sssss.com ）がリストに記述されていたことによって、通信を許可したことを示す。３番目のログは、運用モードにおいて、ＩＰアドレスから特定したプロセス名（/usr/bin/abc）がリストに記述されていたことによって、通信を許可したことを示す。また、２番目および４番目のログは、学習モードにおいて作成されたログである。学習モードでは、制御部１１は、必ず通信の許可を示す制御情報をスイッチ部１２に設定する。２番目のログは、ＩＰアドレスから特定したドメイン名が“www.uuuuu.com ”であったことを示す。４番目のログは、ＩＰアドレスから特定したプロセス名が“/usr/bin/def”であったことを示す。

また、制御部１１は、通信の不許可を示す制御情報をスイッチ部１２に設定した場合、その旨を記述したログを管理サーバ２０に送信する。

また、制御部１１は、既に設定した制御情報であって通信の許可を示す制御情報に対応するヘッダ情報とは、宛先ＩＰアドレスおよび送信元ＩＰアドレスが逆になっているヘッダ情報を通知された場合、そのヘッダ情報に含まれる宛先ＩＰアドレスにパケットを送信するための制御情報をスイッチ部１２に設定する。

次に、学習項目設定テーブルについて説明する。学習項目設定テーブルは、学習モードで学習すべき条件に対応する項目を指定するために用いられる。図６は、学習項目設定テーブルの例を示す模式図である。図６では、学習項目設定テーブルを便宜的に、２段に渡って図示している。

図６に示す「入力インタフェース」から「送信元プロセスのユーザ名」までの欄は、学習モードで学習すべき条件であるか否かを指定するために用いられる。管理者は、学習モードで学習すべき条件であることを指定する場合には、その条件に対応する欄に“１”を記述し、学習すべき条件でないことを指定する場合には、その条件に対応する欄に“０”を記述する。例えば、学習モードで学習すべき条件として、「宛先ドメイン名」のみを指定する場合には、管理者は、「宛先ドメイン名」の欄に“１”を記述し、「入力インタフェース」から「送信元プロセスのユーザ名」までの他の欄に“０”を記述すればよい。この場合、「宛先ドメイン名」の項目に具体的なドメイン名が記述され、他の条件に対応する項目に“any ”が記述されたレコードが生成されることになる。なお、“１”が複数の欄に記述されていてもよい。ただし、例えば、図４に示すｎ−２番目またはｎ−１番目に示すレコードに基づいて新たなレコードを生成する場合には、学習項目設定テーブルで「宛先ドメイン名」の欄に“０”が記述されていたとしても、新たに生成されるレコードには具体的な宛先ドメイン名が記述される。

学習態様の欄には、以下の４種類の学習態様のうち、いずれか１つが記述される。すなわち、管理者は、以下の学習態様１〜４のうち、いずれか１つを選択し、学習態様の欄に記述する。

学習態様１：ゲートウェイ１０の配下のデバイス（例えば、カメラ５１等）が一般的なサーバ３０を宛先として送信したパケットに基づいて、新たなレコードに記述すべき具体的な条件を特定する。

学習態様２：一般的なサーバ３０がゲートウェイ１０の配下のデバイス（例えば、カメラ５１等）を宛先として送信したパケットに基づいて、新たなレコードに記述すべき具体的な条件を特定する。

学習態様３：ゲートウェイ１０のプロセスが送信元であるパケットに基づいて、新たなレコードに記述すべき具体的な条件を特定する。

学習態様４：ゲートウェイ１０のプロセスが宛先であるパケットに基づいて、新たなレコードに記述すべき具体的な条件を特定する。

ただし、上記の学習態様１〜４は例示であり、学習態様の分け方は、上記の例に限定されない。

なお、制御部１１は、ゲートウェイ１０の配下のデバイスがサーバ３０を宛先として送信したパケットと、サーバ３０がゲートウェイ１０の配下のデバイスを宛先として送信したパケットとを、パケットを受信したゲートウェイ１０の通信インタフェースによって区別することができる。例えば、制御部１１は、無線ＬＡＮ IF ６１で受信されたパケットは前者であり、Ethernet IF ６２で受信されたパケットは後者であると判断することができる。

また、学習項目設定テーブルの「出力インタフェース」の欄（図６参照）には、新規パケットのヘッダ情報に適合する初期追加レコードに記述された通信インタフェースを記述することが定められている。従って、例えば、制御部１１が、図４に記載のｎ−２番目のレコードに基づいて新たなレコードを生成する場合、新たなレコードにおける「出力インタフェース」として“Ethernet2”を記述する。また、例えば、制御部１１が、図４に記載のｎ番目のレコードに基づいて新たなレコードを生成する場合、新たなレコードにおける「出力インタフェース」として“Ethernet1”を記述する。

管理者は、管理サーバ２０を用いて、学習項目設定テーブルの内容を定める。すなわち、管理サーバ２０は、管理者から学習項目設定テーブルの内容を入力され、その内容を制御部１１に通知する。そして、制御部１１は、管理者が定めた内容を格納した学習項目設定テーブルを保持する。

図７は、学習態様１を指定するとともに、学習モードで学習すべき条件として、「宛先ドメイン名」のみを指定した学習項目設定テーブルの例である。図７に示す学習項目設定テーブルが定められ、学習モードに設定されたとする。この場合、制御部１１は、無線ＬＡＮ IF ６１で受信されたパケットのヘッダ情報がスイッチ部１２から通知されると、そのパケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。さらに、ヘッダ情報に含まれるＩＰアドレスから、宛先ドメイン名を特定する。

なお、図７に示す例において、宛先ドメイン名の欄だけでなく、宛先ＩＰアドレスの欄にも“１”が記述されていたとする。この場合、制御部１１は、通知されたヘッダ情報から宛先ＩＰアドレスも特定する。また、この場合、制御部１１は、ＩＰアドレスから宛先ドメイン名を特定できた場合には、宛先ドメイン名のみを特定し、宛先ドメイン名を特定できなかった場合に、宛先ＩＰアドレスと特定してもよい。

図８は、学習態様３を指定するとともに、学習モードで学習すべき条件として、「送信元プロセス名」のみを指定した学習項目設定テーブルの例である。図８に示す学習項目設定テーブルが定められ、学習モードに設定されたとする。この場合、制御部１１は、プロセスによって生成されたパケットのヘッダ情報がスイッチ部１２から通知されると、そのパケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。さらに、ヘッダ情報に含まれるＩＰアドレスを用いて、送信元プロセス名を特定する。

図９は、学習態様３を指定するとともに、学習モードで学習すべき条件として、「送信元プロセスのユーザ名」のみを指定した学習項目設定テーブルの例である。図９に示す学習項目設定テーブルが定められ、学習モードに設定されたとする。この場合、制御部１１は、プロセスによって生成されたパケットのヘッダ情報がスイッチ部１２から通知されると、そのパケットによる通信の許可を示す制御情報をスイッチ部１２に設定する。さらに、ヘッダ情報に含まれるＩＰアドレスを用いて、送信元プロセスのユーザ名を特定する。

図７から図９までの各図では、学習すべき条件が１種類のみ指定された場合を示しているが、学習すべき条件が複数種類定められていてもよい。

また、制御部１１は、ＤＮＳサーバ４０のＩＰアドレスを宛先ＩＰアドレスとするパケット（ＤＮＳクエリ）や、ＤＮＳサーバ４０のＩＰアドレスを送信元ＩＰアドレスとするパケット（ＤＮＳクエリレスポンス）に関しては、運用モードであっても学習モードであっても、リストとは無関係に、通信の許可を示す制御情報をスイッチ部１２に設定する。

また、制御部１１は、スイッチ部１２がＤＮＳサーバ４０からＤＮＳクエリレスポンスを受信したときに、そのＤＮＳクエリレスポンスからドメイン名とＩＰアドレスとの対応関係を抽出し、その対応関係を記憶する。ＤＮＳクエリレスポンスは、ＤＮＳサーバ４０がＤＮＳクエリに対する応答として送信するパケットであり、ＤＮＳクエリに含まれるドメイン名と、ＤＮＳサーバ４０が名前解決によって得たＩＰアドレスとを含んでいる。例えば、カメラ５１が、ＤＮＳクエリを送信し、ＤＮＳクエリレスポンスを受信する。その後、カメラ５１は、ＤＮＳクエリレスポンスに含まれるＩＰアドレスを宛先ＩＰアドレスとしてパケットを送信する。このとき、制御部１１は、そのＩＰアドレスとドメイン名との関係を記憶しているので、その宛先ＩＰアドレスからドメイン名を特定することができる。

制御部１１は、ドメイン名とＩＰアドレスとの対応関係を記憶するとともに、その対応関係の有効期限も合わせて記憶する。そして、制御部１１は、有効期限を経過した対応関係については、記憶領域から削除する。

制御部１１およびスイッチ部１２は、例えば、通信プログラムに従って動作するコンピュータのＣＰＵ（Central Processing Unit ）よって実現される。この場合、ＣＰＵは、コンピュータのプログラム記憶装置（図示略）等のプログラム記録媒体から通信プログラムを読み込み、そのプログラムに従って制御部１１およびスイッチ部１２として動作すればよい。

次に、第１の実施形態の処理経過の例について説明する。図１０および図１１は、学習モードにおける処理経過の例を示すシーケンス図である。ここでは、図７に示す学習項目設定テーブルが設定されている場合を例にして説明する。すなわち、学習態様１が指定され、学習モードで学習すべき条件として、「宛先ドメイン名」が指定された場合を例にして説明する。また、制御部１１は、管理者によって、学習モードに設定され、図４に示す初期追加レコード（ｎ−２番目、ｎ−１番目およびｎ番目のレコード）をリストに追加したものとする。既に述べたように、説明を簡単にするために、最後の初期追加レコード（ｎ番目のレコード）に基づいて、新たなレコードが作成されるものとする。

最初に、カメラ５１は、ゲートウェイ１０を介してサーバ３０を通信を行う場合に、ドメイン名“www.uuuuu.com ”を含むＤＮＳクエリを送信する（ステップＳ１）。

スイッチ部１２は、そのＤＮＳクエリを受信する。ここで、ＤＮＳクエリが新規パケットであるとする。この場合、スイッチ部１２は、ＤＮＳクエリのヘッダ情報を制御部１１に通知する（ステップＳ２）。なお、ここでは、スイッチ部１２が、受信したパケットのコピーを制御部１１に送ることによって、制御部１１にヘッダ情報を通知する場合を例にして説明する。また、スイッチ部１２は、カメラ５１から受信したＤＮＳクエリを保持する。

ＤＮＳクエリの宛先ＩＰアドレスはＤＮＳサーバ４０のＩＰアドレスである。この場合、制御部１１は、リストを参照せずに、通信の許可を示す制御情報をスイッチ部１２に設定する（ステップＳ３）。すなわち、制御部１１は、ＤＮＳサーバ４０との通信に用いる通信インタフェースからパケットを出力することを規定した制御情報をスイッチ部１２に設定する。なお、例えば、制御部１１は、図４に例示するリストとは別に、通信を許可すべき宛先ＩＰアドレス（予め定められた特定のサーバのＩＰアドレス）のリストを保持してもよい。そして、そのリスト内にＤＮＳサーバ４０のＩＰアドレスが含められていることによって、制御部１１は、ステップＳ３で、上記のように、通信の許可を示す制御情報をスイッチ部１２に設定する。

次に、スイッチ部１２は、ステップＳ３で設定された制御情報に従って、保持しているＤＮＳクエリを、指定された通信インタフェースから出力する（ステップＳ４）。この結果、ＤＮＳサーバ４０は、そのＤＮＳクエリを受信する。

すると、ＤＮＳサーバ４０は、ＤＮＳクエリに含まれているドメイン名“www.uuuuu.com ”に応じたＩＰアドレスを求める。ＤＮＳサーバ４０は、そのドメイン名およびＩＰアドレスと、両者の対応の有効期限を示す情報とを含むＤＮＳクエリレスポンスを、送信する（ステップＳ５）。

スイッチ部１２は、そのＤＮＳクエリレスポンスを受信する。このＤＮＳクエリレスポンスは、新規パケットである。この場合、スイッチ部１２は、ＤＮＳクエリレスポンスのコピーを制御部１１に送ることによって、ＤＮＳクエリレスポンスのヘッダ情報を制御部１１に通知する（ステップＳ６）。また、スイッチ部１２は、受信したＤＮＳクエリレスポンスを保持する。

制御部１１は、そのＤＮＳクエリレスポンスを参照して、ドメイン名“www.uuuuu.com ”と、ＩＰアドレスと、有効期限との対応関係を新たに記憶する（ステップＳ７）。

また、ＤＮＳクエリレスポンスの送信元ＩＰアドレスはＤＮＳサーバ４０のＩＰアドレスである。この場合、制御部１１は、リストを参照せずに、通信の許可を示す制御情報をスイッチ部１２に設定する（ステップＳ８）。すなわち、制御部１１は、カメラ５１との通信に用いる通信インタフェースからパケットを出力することを規定した制御情報をスイッチ部１２に設定する。

次に、スイッチ部１２は、ステップＳ８で設定された制御情報に従って、保持しているＤＮＳクエリレスポンスを、指定された通信インタフェースから出力する（ステップＳ９）。この結果、カメラ５１は、ＤＮＳクエリレスポンスを受信する。そして、カメラ５１は、“www.uuuuu.com ”に対応するＩＰアドレス（すなわち、サーバ３０のＩＰアドレス）を認識する。

上記の説明では省略したが、制御部１１は、ステップＳ３，Ｓ８の後に、管理サーバ２０に制御情報の内容を通知する。

以降の動作は、図１１を参照して説明する。

カメラ５１は、サーバ３０のＩＰアドレスを宛先とするＳＹＮパケットを送信する（ステップＳ１１）。

スイッチ部１２は、そのＳＹＮパケットを受信する。このＳＹＮパケットは、新規パケットである。すなわち、そのＳＹＮパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２に設定されていない。この場合、スイッチ部１２は、ＳＹＮパケットのヘッダ情報を制御部１１に通知する（ステップＳ１２）。また、スイッチ部１２は、そのＳＹＮパケットを保持する。

ＳＹＮパケットのヘッダ情報は図４に示すｎ番目のレコードに合致するので、制御部１１は、ＳＹＮパケットのヘッダ情報に応じた制御情報として、ＳＹＮパケットによる通信の許可を示す制御情報を生成する（ステップＳ１３）。このとき、制御部１１は、図４に示すｎ番目のレコードで「出力先インタフェース」として記述されている通信ネットワークを、パケットの出力先として制御情報内に記述すればよい。

また、制御部１１は、ステップＳ１２で通知されたヘッダ情報に含まれている宛先ＩＰアドレスからと宛先ドメイン名を特定し、その宛先ドメイン名と、通信の許可を示す情報と、学習モードであることとを記述したログを生成し、記憶する（ステップＳ１４）。制御部１１は、ステップＳ７で、ドメイン名“www.uuuuu.com ”と、ＩＰアドレスと、有効期限との対応関係を記憶している。制御部１１は、ヘッダ情報に含まれている宛先ＩＰアドレスと、その対応関係に基づいて、宛先ドメイン名を特定すればよい。本例では、制御部１１は、図５において２番目に示しているログを生成し、記憶すればよい。

さらに、制御部１１は、ステップＳ１４で特定した宛先ドメイン名を記述したレコードをリストに追加する（ステップＳ１５）。制御部１１は、このレコードの出力インタフェースの項目には、図４に示すｎ番目のレコードで「出力先インタフェース」として記述されている通信ネットワークを記述すればよい。また、制御部１１は、このレコードの補足情報として、例えば、「学習によって追加」と記述すればよい。制御部１１は、その他の項目については、全て“any ”と記述する。ステップＳ１５でレコードが追加されたリストの例を、図１２に示す。図１２に示す最後のレコードが、ステップＳ１５で追加されたレコードである。

次に、制御部１１は、ステップＳ１３で生成した制御情報をスイッチ部１２に設定する（ステップＳ１６）。スイッチ部１２は、その制御情報に従って、保持しているＳＹＮパケットを出力する。すなわち、スイッチ部１２は、保持しているＳＹＮパケットを、制御情報内で指定されている通信インタフェースから出力する（ステップＳ１７）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

また、制御部１１は、ステップＳ１４で生成したログを管理サーバ２０に送信する（ステップＳ１８）。本例では、制御部１１は、図５において２番目に示しているログを管理サーバ２０に送信する。

サーバ３０は、ＳＹＮパケットに対する応答として、カメラ５１のＩＰアドレスを宛先として、サーバ３０のＩＰアドレスを送信元とするＳＹＮ＿ＡＣＫパケットを送信する（ステップＳ１９）。すなわち、ＳＹＮ＿ＡＣＫパケットとＳＹＮパケットとでは、宛先ＩＰアドレスと送信元ＩＰアドレスとが逆になっている。

スイッチ部１２は、そのＳＹＮ＿ＡＣＫパケットを受信する。このＳＹＮ＿ＡＣＫパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２に設定されていない。この場合、スイッチ部１２は、ＳＹＮ＿ＡＣＫパケットのヘッダ情報を制御部１１に通知する（ステップＳ２０）。また、スイッチ部１２は、そのＳＹＮ＿ＡＣＫパケットを保持する。

ここで、ＳＹＮ＿ＡＣＫパケットのヘッダ情報における宛先ＩＰアドレスおよび送信元ＩＰアドレスは、既に設定した制御情報であって、通信の許可を示す制御情報（ステップＳ１６で設定された制御情報）に対応するヘッダ情報における宛先ＩＰアドレスおよび送信元ＩＰアドレスと逆になっている。従って、制御部１１は、ＳＹＮ＿ＡＣＫパケットのヘッダ情報に含まれる宛先ＩＰアドレスにパケットを送信するための制御情報をスイッチ部１２に設定する。すなわち、制御部１１は、宛先ＩＰアドレスが示すカメラ５１との通信に用いる通信インタフェースからパケットを出力することを規定した制御情報をスイッチ部１２に設定する（ステップＳ２１）。

スイッチ部１２は、ステップＳ２１で設定された制御情報に従って、保持しているＳＹＮ＿ＡＣＫパケットを出力する（ステップＳ２２）。この結果、カメラ５１は、ＳＹＮ＿ＡＣＫパケットを受信する。

また、制御部１１は、例えば、「通信許可」という内容を示す情報を管理サーバ２０に送信する（ステップＳ２３）。

ＳＹＮ＿ＡＣＫパケットを受信したカメラ５１は、ＡＣＫパケットを送信する（ステップＳ２４）。ＡＣＫパケットのヘッダ情報は、ＳＹＮパケットのヘッダ情報と同様である。従って、ステップＳ１６で設定された制御情報は、ＡＣＫパケットのヘッダ情報に適合する。よって、スイッチ部１２は、その制御情報に従って、ＡＣＫパケットを出力する（ステップＳ２５）。この結果、サーバ３０は、ＡＣＫパケットを受信する。

図１３は、運用モードでの処理経過の例を示すシーケンス図である。ここでは、制御部１１が、図１４に示すリストを保持している場合を例にして説明する。学習モードから運用モードに切り替えられた場合、制御部１１は、リストから初期追加レコードを全て削除する。従って、図１４に示すリストにおいて、初期追加レコードは存在しない。以下に示す例でも、カメラ５１がゲートウェイ１０を介してサーバ３０と通信を行う場合を例にして説明する。

ステップＳ１〜Ｓ９の動作は、学習モードにおけるステップＳ１〜Ｓ９（図１０参照）の動作と同様であり、ここでは説明を省略する。図１３は、運用モードにおけるステップＳ９の後の処理経過を示している。また、既に説明した動作と同様の動作については、図１１と同一の符号で示し、詳細な説明は、適宜省略する。

ステップＳ１１，Ｓ１２は、学習モードにおけるステップＳ１１，Ｓ１２（図１１参照）と同様であり、説明を省略する。

制御部１１は、スイッチ部１２からヘッダ情報を通知されると、そのヘッダ情報に含まれる情報、または、そのヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれかのレコードで記述されているか否かを判定する。本例では、図１４に示すｍ番目のレコードを参照する場合、制御部１１は、ヘッダ情報に含まれる宛先ＩＰアドレスから宛先ドメイン名を特定する。制御部１１は、ステップＳ７で、ドメイン名“www.uuuuu.com ”と、ＩＰアドレスと、有効期限との対応関係を記憶している。制御部１１は、ヘッダ情報に含まれている宛先ＩＰアドレスと、その対応関係に基づいて、宛先ドメイン名“www.uuuuu.com ”を特定すればよい。図１４おけるｍ番目のレコードには、宛先ドメイン名として、“www.uuuuu.com ”が記述されている。従って、制御部１１は、宛先ＩＰアドレスから特定された宛先ドメイン名を記述したレコードがリスト内に存在すると判定する（ステップＳ３１）。

従って、制御部１１は、ＳＹＮパケットによる通信の許可を示す制御情報を生成する（ステップＳ３２）。このとき、制御部１１は、ステップＳ３１で特定した宛先ドメイン名が記述されたレコード内で記述されている出力インタフェースを、パケットの出力先として制御情報に記述する。本例では、制御部１１は、図１４に示すｍ番目のレコードに記述されている出力インタフェース“Ethernet1 ”を制御情報に記述する。

また、制御部１１は、宛先ＩＰアドレスから特定された宛先ドメイン名と、通信を許可したことを示す情報とを記述したログを生成し、記憶する（ステップＳ３３）。なお、本実施形態では、学習モードと記述されていないログは、運用モードで生成されたログであるものとする。制御部１１は、例えば、「www.uuuuu.com への通信を許可」と記述したログを生成すればよい。

次に、制御部１１は、ステップＳ３２で生成した制御情報をスイッチ部１２に設定する（ステップＳ１６）。スイッチ部１２は、保持しているＳＹＮパケットを、その制御情報内で指定されている通信インタフェースから出力する（ステップＳ１７）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

また、制御部１１は、ステップＳ３３で生成したログを管理サーバ２０に送信する（ステップＳ１８）。

ステップＳ１９以降の動作は、既に説明した学習モードにおけるステップＳ１９以降の動作（図１１参照）と同様であり、説明を省略する。

また、ステップＳ３１において、制御部１１が、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれのレコードにも記述されていないと判定したとする。この場合、制御部１１は、ステップＳ３２において、ＳＹＮパケットによる通信の不許可を示す制御情報を生成する。すなわち、制御部１１は、通知されたヘッダ情報に応じた制御情報として、パケットの破棄を規定した制御情報を生成する。また、制御部１１は、ステップＳ３３において、通信を不許可としたことを記述したログを生成し、記憶する。

そして、制御部１１は、ステップＳ１６において、その制御情報をスイッチ部１２に設定する。スイッチ部１２は、その制御情報に従って、保持しているＳＹＮパケットを破棄する。従って、この場合、ＳＹＮパケットはサーバ３０に送信されず、ステップＳ１９以降の処理は行われない。

また、制御部１１は、ステップＳ３３で生成したログ（本例では、通信を不許可としたことを記述したログ）を、管理サーバ２０に送信する（ステップＳ１８）。

管理サーバ２０は、学習モードや運用モードにおいて、制御部１１からログを受信すると、そのログを記憶し、管理者の操作に応じて、ログを表示する。従って、管理者は、ログを閲覧することができる。

また、上記の例では、学習モードに設定されている間に、制御部１１が、ステップＳ１５で、新たなレコードをリストに追加する場合を説明した。新たなレコードをリストに追加する動作は、学習モードが解除されたとき（すなわち、学習モードから運用モードに切り替えられたとき）に実行されてもよい。この場合、制御部１１は、ステップＳ１４でログを生成する際、パケットの出力先となる通信インタフェース（ステップＳ１３で制御情報内に記述した通信インタフェース）もログに記述する。制御部１１は、ステップＳ１４でそのログを記憶し、学習モードが解除されたときに、記憶しているログに基づいて、通信を許可にする条件（上記の例では、宛先ドメイン名“www.uuuuu.com ”）と、出力インタフェースを記述するとともに、補足情報として「学習によって追加」と記述したレコードを生成し、リストに追加してもよい。また、学習モード中に、ヘッダ情報が複数回通知された場合には、制御部１１は、その回数に応じた数のレコードをそれぞれ生成し、リストに追加すればよい。この点は、後述の例においても同様である。

また、制御部１１は上記のログを管理サーバ２０に送信し、管理サーバ２０はそのログを記憶する。そして、そのログを閲覧した管理者が、追加するレコードの内容を定めてもよい。この場合、管理サーバ２０は、管理者の操作に応じて、ログを表示する。そして、管理サーバ２０は、追加するレコードを管理者によって入力され、そのレコードを制御部１１に送信する。制御部１１は、管理サーバ２０から受信したレコードをリストに追加する。このような方法で、レコードをリストに追加してもよい。

図１５は、学習モードにおける処理経過の他の例を示すシーケンス図である。ここでは、図８に示す学習項目設定テーブルが設定されている場合を例にして説明する。すなわち、学習態様３が指定され、学習モードで学習すべき条件として、「送信元プロセス名」が指定された場合を例にして説明する。制御部１１は、学習モードに設定されたことによって、リストに初期追加レコードを追加したものとする。本例では、図４に示すｎ−２番目からｎ番目までのレコードを追加したものとする。また、説明を簡単にするために、図４に示す最後の初期追加レコード（図４に示すｎ番目のレコード）に基づいて、新たなレコードが作成されるものとして説明する。

最初にプロセスＡ１３は、サーバ３０のＩＰアドレスを宛先とするＳＹＮパケットを送信する（ステップＳ４１）。

スイッチ部１２は、そのＳＹＮパケットを受信する。このＳＹＮパケットは、新規パケットである。すなわち、そのＳＹＮパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２に設定されていない。この場合、スイッチ部１２は、ＳＹＮパケットのヘッダ情報を制御部１１に通知する（ステップＳ４２）。また、スイッチ部１２は、そのＳＹＮパケットを保持する。

ＳＹＮパケットのヘッダ情報は図４に示すｎ番目のレコードに合致するので、制御部１１は、ＳＹＮパケットのヘッダ情報に応じた制御情報として、ＳＹＮパケットによる通信の許可を示す制御情報を生成する（ステップＳ４３）。このとき、制御部１１は、図４に示すｎ番目のレコードで「出力先インタフェース」として記述されている通信ネットワークを、パケットの出力先として制御情報内に記述すればよい。

また、制御部１１は、通知されたヘッダ情報に含まれている宛先ＩＰアドレスを用いて、送信元プロセス名を特定し、その送信元プロセス名と、通信の許可を示す情報と、学習モードであることとを記述したログを生成し、記憶する（ステップＳ４４）。本実施形態において、特に言及しない限り、プロセス名は、プロセスパス名とともに記述されたプロセス名であるとする。

以下、制御部１１が、送信元プロセス名を特定する処理について説明する。制御部１１は、具体的には、ヘッダ情報にふくまれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルから送信元プロセス名を特定する。この方法は、公知の方法であってもよい。以下、制御部１１が、送信元プロセス名を特定する動作の一例を説明する。

制御部１１は、スイッチ部１２から通知されたヘッダ情報から、宛先ＩＰアドレス、宛先ポート番号およびプロトコルを取得する。

そして、制御部１１は、その宛先ＩＰアドレスおよび宛先ポート番号をキーとして、プロセスがソケット通信に利用しているｉノード番号を検索する。例えば、ゲートウェイ１０のＣＰＵは、プロトコルに応じた所定のファイルに、宛先ＩＰアドレスおよび宛先ポート番号とｉノード番号との対応関係を記述している。制御部１１は、宛先ＩＰアドレスおよび宛先ポート番号をキーとして、そのファイルからｉノード番号を検索する。制御部１１は、ヘッダ情報から取得したプロトコルに基づいて、ｉノード番号を検索すべきファイルを特定すればよい。

次に、制御部１１は、そのｉノード番号に対応するプロセスＩＤを検出する。例えば、ＣＰＵは、所定の複数のパスの配下のファイルに、ｉノード番号とプロセスＩＤとの対応関係を記述している。制御部１１は、それらのファイルから、ｉノード番号に対応するプロセスＩＤを検出する。

次に、制御部１１は、そのプロセスＩＤをキーにして、プロセス名そのもの（プロセスパス名が記述されていないプロセス名）と、そのプロセスのプロセスパス名を検索する。例えば、ＣＰＵは、プロセスＩＤに応じた所定のファイル（第１のファイルと記す。）に、プロセス名そのものと、プロセスＩＤとの対応関係を記述している。また、ＣＰＵは、プロセスＩＤに応じた別の所定のファイル（第２のファイルと記す。）に、プロセスＩＤとプロセスパスとの対応関係を記述している。制御部１１は、プロセスＩＤをキーにして、第１のファイルからプロセス名そのものを検索し、プロセスＩＤをキーにして、第２のファイルからプロセスパス名を検索する。

次に、制御部１１は、検索したプロセスパス名とプロセス名とを繋げる。この結果、プロセスパス名とともに記述されたプロセスパス名が特定される。

本例では、送信元プロセス名として“/bin/ghi”が特定されたとする。

ステップＳ４４の後、制御部１１は、特定した送信元プロセス名を記述したレコードをリストに追加する（ステップＳ４５）。制御部１１は、このレコードの出力インタフェースの項目には、図４に示すｎ番目のレコードで「出力先インタフェース」として記述されている通信ネットワークを記述すればよい。また、制御部１１は、このレコードの補足情報として、例えば、「学習によって追加」と記述すればよい。制御部１１は、その他の項目については、全て“any ”と記述する。ステップＳ４５でレコードが追加されたリストの例を、図１６に示す。図１６に示す最後のレコードが、ステップＳ４５で追加されたレコードである。

次に、制御部１１は、ステップＳ４３で生成した制御情報をスイッチ部１２に設定する（ステップＳ４６）。スイッチ部１２は、その制御情報に従って、保持しているＳＹＮパケットを、制御情報内で指定されている通信インタフェースから出力する（ステップＳ４７）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

また、制御部１１は、ステップＳ４４で生成したログを管理サーバ２０に送信する（ステップＳ４８）。

サーバ３０は、ＳＹＮパケットに対する応答として、ＳＹＮパケットの送信元ＩＰアドレスを宛先とし、サーバ３０のＩＰアドレスを送信元とするＳＹＮ＿ＡＣＫパケットを送信する（ステップＳ４９）。すなわち、ＳＹＮ＿ＡＣＫパケットとＳＹＮパケットとでは、宛先ＩＰアドレスと送信元ＩＰアドレスとが逆になっている。

スイッチ部１２は、そのＳＹＮ＿ＡＣＫパケットを受信する。このＳＹＮ＿ＡＣＫパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２に設定されていない。この場合、スイッチ部１２は、ＳＹＮ＿ＡＣＫパケットのヘッダ情報を制御部１１に通知する（ステップＳ５０）。また、スイッチ部１２は、そのＳＹＮ＿ＡＣＫパケットを保持する。

ここで、ＳＹＮ＿ＡＣＫパケットのヘッダ情報における宛先ＩＰアドレスおよび送信元ＩＰアドレスは、既に設定した制御情報であって、通信の許可を示す制御情報（ステップＳ４６で設定された制御情報）に対応するヘッダ情報における宛先ＩＰアドレスおよび送信元ＩＰアドレスと逆になっている。従って、制御部１１は、ＳＹＮ＿ＡＣＫパケットのヘッダ情報に含まれる宛先ＩＰアドレスにパケットを送信するための制御情報をスイッチ部１２に設定する（ステップＳ５１）。

スイッチ部１２は、ステップＳ５１で設定された制御情報に従って、保持しているＳＹＮ＿ＡＣＫパケットをプロセスＡ１３に送る（ステップＳ５２）。

また、制御部１１は、例えば、「通信許可」という内容を示す情報を管理サーバ２０に送信する（ステップＳ５３）。

ＳＹＮ＿ＡＣＫパケットを受信したプロセスＡ１３は、ＡＣＫパケットを送信する（ステップＳ５４）。ＡＣＫパケットのヘッダ情報は、ＳＹＮパケットのヘッダ情報と同様である。従って、ステップＳ４６で設定された制御情報は、ＡＣＫパケットのヘッダ情報に適合する。よって、スイッチ部１２は、その制御情報に従って、ＡＣＫパケットを出力する（ステップＳ５５）。この結果、サーバ３０は、ＡＣＫパケットを受信する。

図１７は、運用モードでの処理経過の例を示すシーケンス図である。ここでは、制御部１１が、図１８に示すリストを保持している場合を例にして説明する。学習モードから運用モードに切り替えられた場合、制御部１１は、リストから初期追加レコードを全て削除する。従って、図１８に示すリストにおいて、初期追加レコードは存在しない。以下に示す例でも、プロセスＡ１３がサーバ３０と通信を行う場合を例にして説明する。

ステップＳ４１，Ｓ４２は、学習モードにおけるステップＳ４１，Ｓ４２（図１５参照）と同様であり、説明を省略する。

制御部１１は、スイッチ部１２からヘッダ情報を通知されると、そのヘッダ情報に含まれる情報、または、そのヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれかのレコードで記述されているか否かを判定する。本例では、図１８に示すｍ番目のレコードを参照する場合、制御部１１は、ヘッダ情報に含まれる宛先ＩＰアドレスから送信元プロセス名を特定する。より具体的には、ヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルから、送信元プロセス名を特定する。ここでは、特定された送信元プロセス名が“/bin/ghi”であるとする。制御部１１は、送信元プロセス名“/bin/ghi”を記述したレコードがリスト内に存在すると判定する（ステップＳ６１）。

従って、制御部１１は、ＳＹＮパケットによる通信の許可を示す制御情報を生成する（ステップＳ６２）。このとき、制御部１１は、ステップＳ６１で特定した送信元プロセス名が記述されたレコード内で記述されている出力インタフェースを、パケットの出力先として制御情報に記述する。本例では、制御部１１は、図１８に示すｍ番目のレコードに記述されている出力インタフェース“Ethernet1 ”を制御情報に記述する。

また、制御部１１は、特定した送信元プロセス名と、通信を許可したことを示す情報とを記述したログを生成し、記憶する（ステップＳ６３）。制御部１１は、例えば、「/bin/ghiの通信を許可」と記述したログを生成すればよい。

次に、制御部１１は、ステップＳ６２で生成した制御情報をスイッチ部１２に設定する（ステップＳ４６）。スイッチ部１２は、保持しているＳＹＮパケットを、その制御情報内で指定されている通信インタフェースから出力する（ステップＳ４７）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

また、制御部１１は、ステップＳ６３で生成したログを管理サーバ２０に送信する（ステップＳ４８）。

ステップＳ４９以降の動作は、既に説明した学習モードにおけるステップＳ４９以降の動作（図１５参照）と同様であり、説明を省略する。

また、ステップＳ６１において、制御部１１が、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれのレコードにも記述されていないと判定したとする。この場合、制御部１１は、ステップＳ６２において、ＳＹＮパケットによる通信の不許可を示す制御情報を生成する。すなわち、制御部１１は、通知されたヘッダ情報に応じた制御情報として、パケットの破棄を規定した制御情報を生成する。また、制御部１１は、ステップＳ６３において、通信を不許可としたことを記述したログを生成し、記憶する。

そして、制御部１１は、ステップＳ４６において、その制御情報をスイッチ部１２に設定する。スイッチ部１２は、その制御情報に従って、保持しているＳＹＮパケットを破棄する。従って、この場合、ＳＹＮパケットはサーバ３０に送信されず、ステップＳ４９以降の処理は行われない。

また、制御部１１は、ステップＳ６３で生成したログ（本例では、通信を不許可としたことを記述したログ）を、管理サーバ２０に送信する（ステップＳ４８）。

前述のように、新たなレコードをリストに追加する動作は、学習モードが解除されたとき（すなわち、学習モードから運用モードに切り替えられたとき）に実行されてもよい。この場合、制御部１１は、ステップＳ４４でログを生成する際、パケットの出力先となる通信インタフェース（ステップＳ４３で制御情報内に記述した通信インタフェース）もログに記述する。制御部１１は、ステップＳ４４でそのログを記憶し、学習モードが解除されたときに、記憶しているログに基づいて、通信を許可にする条件（上記の例では、送信元プロセス名“/bin/ghi”）と、出力インタフェースを記述するとともに、補足情報として「学習によって追加」と記述したレコードを生成し、リストに追加してもよい。

また、制御部１１は上記のログを管理サーバ２０に送信し、管理サーバ２０はそのログを記憶する。そして、そのログを閲覧した管理者が、追加するレコードの内容を定めてもよい。この場合、管理サーバ２０は、管理者の操作に応じて、ログを表示する。そして、管理サーバ２０は、追加するレコードを管理者によって入力され、そのレコードを制御部１１に送信する。制御部１１は、管理サーバ２０から受信したレコードをリストに追加する。このような方法で、レコードをリストに追加してもよい。

また、学習モードで学習すべき条件として、「送信元プロセスのユーザ名」が指定されていてもよい。例えば、図９に例示する学習項目設定テーブルが設定されていてもよい。この場合、学習モードに設定された場合、制御部１１は、前述の例（図１５参照）における送信元プロセス名を特定する動作の代わりに、送信元プロセスのユーザ名を特定すればよい。

また、制御部１１は、運用モードにおいて、「送信元プロセスのユーザ名」が記述されたレコードを参照する場合にも、送信元プロセスのユーザ名を特定すればよい。

以下、制御部１１が、送信元プロセスのユーザ名を特定する処理について説明する。制御部１１は、具体的には、ヘッダ情報にふくまれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルから、送信元プロセスのユーザ名を特定する。この方法は、公知の方法であってもよい。以下、制御部１１が、送信元プロセスのユーザ名を特定する動作の一例を説明する。

制御部１１は、スイッチ部１２から通知されたヘッダ情報から、宛先ＩＰアドレス、宛先ポート番号およびプロトコルを取得する。次に、制御部１１は、その宛先ＩＰアドレスおよび宛先ポート番号をキーとして、プロセスがソケット通信に利用しているｉノード番号を検索する。次に、制御部１１は、そのｉノード番号に対応するプロセスＩＤを検出する。これらの動作は、既に説明したプロセスＩＤの検出動作と同様である。既に説明したように、制御部１１は、ｉノード番号を検索すべきファイルを、ヘッダ情報から取得したプロトコルに基づいて判定すればよい。

次に、制御部１１は、実行中のプロセスを表示させるコマンドを用いて、そのプロセスＩＤをキーとして、プロセスのユーザ名（実行ユーザ名）を取得する。

本実施形態によれば、リスト（ホワイトリスト）のレコードを上記のように制御部１１が追加することができる。従って、管理者の工数増加を抑えて、リストを生成することができる。

また、本実施形態では、上記の例のように、例えば、宛先ドメイン名、送信元プロセス名、送信元プロセスのユーザ名等、ユーザにとって分かり易い条件を記述したレコードをリストに追加することができる。

なお、リストの記述形式は、表形式でなくてもよい。例えば、各レコードが一連の文字列で記述されていてもよい。また、この場合、anyに該当する項目の記述は省略されていてもよい。この点は、後述の実施形態においても同様である。

実施形態２．
図１９は、本発明の第２の実施形態の通信装置（ゲートウェイ）の例を示すブロック図である。ここでは、第２の実施形態におけるゲートウェイ１０が、第１の実施形態におけるゲートウェイ１０の構成要素を有している場合を例にして説明する。ただし、図１９では、第１の実施形態で説明した構成要素のうち、制御部１１と、スイッチ部１２とを図示している。また、第２の実施形態におけるゲートウェイ１０は、デバイスの接続インタフェースを備え、その接続インタフェースに差し込まれたデバイスとゲートウェイ１０とを接続させる。ここで、「接続させる」とは、接続インタフェースに差し込まれたデバイスとゲートウェイ１０との間で、データ授受できる状態にすることを意味する。

制御部１１は、スイッチ部１２だけでなく、接続部１７も制御する。制御部１１が接続部１７を制御する動作の詳細については、後述する。

なお、ゲートウェイ１０が、第１の実施形態で説明した構成要素を有しているゲートウェイでなくてもよい。その場合、後述の動作によって接続部１７を制御する制御部が設けられていればよい。

図１９に示す例では、ゲートウェイ１０は、デバイスの接続インタフェースとして、ＵＳＢ（Universal Serial Bus）インタフェース６３と、ＢＬＥ（Bluetooth（登録商標） Low Energy）インタフェース６４とを備える。ＵＳＢインタフェース６３には、例えば、ＵＳＢストレージデバイス５３が着脱される。ＢＬＥインタフェース６４には、例えば、ＢＬＥセンサ５４が着脱される。以下、ＵＳＢインタフェース６３にデバイス（ＵＳＢストレージデバイス５３）が差し込まれる場合を例に説明するが、ＢＬＥインタフェース６４にデバイス（例えば、ＢＬＥセンサ５４）が差し込まれる場合も同様である。

ＵＳＢインタフェース６３にＵＳＢストレージデバイス５３が差し込まれると、接続部１７は、一旦、ＵＳＢストレージデバイス５３とゲートウェイ１０とを接続させる。そして、接続部１７は、ＵＳＢストレージデバイス５３の識別情報を制御部１１に送り、制御部１１の制御に従って、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を断ったり、あるいは、接続状態を維持したりする。

制御部１１は、デバイスの識別情報を記述したレコードのリストを保持する。通知された識別情報がリストのいずれのレコードにも記述されていない場合、制御部１１は、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を不許可とし、その旨を接続部１７に通知する。この場合、接続部１７は、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を断つ。通知された識別情報がリストのいずれかのレコードで記述されている場合、制御部１１は、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を許可する。この場合、制御部１１は、接続部１７に通知をしない。接続部１７は、制御部１１から通知がなければ、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続状態を維持する。上記のリストは、ホワイトリストであると言うことができる。

また、識別情報の種類は、１種類であるとは限らず、複数種類である場合もある。従って、上記のリストにおいて、レコードは、デバイスの識別情報を記述可能な１以上の項目を含み、少なくとも１つの項目にデバイスの識別情報が記述されている。また、レコードは、補足情報の項目を含んでいてもよい。

制御部１１は、第１の実施形態と同様に、学習モードまたは運用モードに設定され、学習によってレコードを追加する。学習によって追加されたレコードには、補足情報の項目に、例えば、「学習によって追加」と記述される。

図２０は、ＵＳＢインタフェース６３に接続されるデバイスに対して用いられるリスト（以下、ＵＳＢ用リストと記す。）の例である。ＵＳＢインタフェース６３に接続されるデバイスの識別情報には、ＶＩＤ（Vendor ID ）、ＰＩＤ（Product ID）およびシリアル番号の３種類が存在する。従って、ＵＳＢ用リストのレコードは、３種類の識別情報の項目と、補足情報の項目とを含み、１種類以上の識別情報の項目に具体的なデバイスの識別情報が記述されている。

図２１は、ＢＬＥインタフェース６４に接続されるデバイスに対して用いられるリスト（以下、ＢＬＥ用リストと記す）の例である。本実施形態では、ＢＬＥインタフェース６４に接続されるデバイスの識別情報が１種類（ＢＤ（Bluetooth Device）アドレス）であるものとして説明する。ＢＬＥ用リストのレコードは、１種類の識別情報（ＢＤアドレス）の項目と、補足情報の項目とを含み、そのＢＤアドレスの項目に具体的なＢＤアドレスが記述されている。

制御部１１は、ＵＳＢ用リスト（図２０参照）と、ＢＬＥ用リスト（図２１参照）とを別個に保持する。

管理者は、管理サーバ２０（図１参照。図１９において図示略。）を用いて、制御部１１を学習モードまたは運用モードに設定する。換言すれば、管理サーバ２０は、管理者の指示に従って、制御部１１を学習モードまたは運用モードに設定する。

制御部１１は、学習モードに設定されると、初期追加レコードをリストに追加する。第２の実施形態において、初期追加レコードは、全ての項目をany としたレコードである。また、第２の実施形態では、１つのリストに追加される初期追加レコードは１つである。また、制御部１１は、運用モードに設定されると、リストから初期追加レコードを削除する。

ただし、上記のように、制御部１１は、ＵＳＢ用リストとＢＬＥ用リストを別個に保持する。そのため、管理者は、制御部１１を学習モードに設定する際、ＵＳＢ用リストのレコードのみを学習するのか、ＢＬＥ用リストのレコードのみを学習するのか、または、ＵＳＢ用リストのレコードとＢＬＥ用リストのレコードの両方を学習するかについても指定する。

ＵＳＢ用リストのレコードのみを学習することが指定された場合、制御部１１は、ＵＳＢ用リストのみに初期追加レコード（全ての項目をany としたレコード）を追加する。そして、制御部１１は、ＵＳＢ用リストのレコードのみを学習し、ＢＬＥインタフェース６４に差し込まれたデバイスに対しては運用モード時の動作を行う。

ＢＬＥ用リストのレコードのみを学習することが指定された場合、制御部１１は、ＢＬＥ用リストのみに初期追加レコード（全ての項目をany としたレコード）を追加する。そして、制御部１１は、ＢＬＥ用リストのレコードのみを学習し、ＵＳＢインタフェース６３に差し込まれたデバイスに対しては運用モード時の動作を行う。

ＵＳＢ用リストのレコードとＢＬＥ用リストのレコードの両方を学習することが指定された場合、制御部１１は、ＵＳＢ用リストとＢＬＥ用リストのそれぞれに初期追加レコードを追加する。そして、制御部１１は、ＵＳＢ用リストのレコードと、ＢＬＥ用リストのレコードをそれぞれ学習する。

また、本実施形態では、制御部１１は、ＵＳＢインタフェース６３用の学習項目設定テーブル（以下、ＵＳＢ用学習項目設定テーブル）と、ＢＬＥインタフェース６４用の学習項目設定テーブル（以下、ＢＬＥ用学習項目設定テーブル）を保持する。

図２２は、ＵＳＢ用学習項目設定テーブルの例を示す模式図である。ＵＳＢ用学習項目設定テーブルは、「ＶＩＤ」、「ＰＩＤ」、「シリアル番号」の各欄を備える。管理者は、学習すべき識別情報に対応する欄に“１”を記述し、学習対象でない識別情報に対応する欄に“０”を記述する。図２２に示す例では、３種類の識別情報のうち、ＶＩＤおよびＰＩＤが学習対象として定められている。

図２３は、ＢＬＥ用学習項目設定テーブルの例を示す模式図である。ＢＬＥ用学習項目設定テーブルは、ＢＤアドレスの欄を備える。管理者は、ＢＤアドレスを学習対象とする場合には、ＢＤアドレスの欄に“１”を記述し、ＢＤアドレスを学習対象としない場合には、ＢＤアドレスの欄に“０”を記述する。

管理者は、管理サーバ２０（図１参照。図１９において図示略。）を用いて、各学習項目設定テーブルの内容を定める。すなわち、管理サーバ２０は、管理者からＵＳＢ用学習項目設定テーブルおよびＢＬＥ用学習項目設定テーブルの内容を入力され、その内容を制御部１１に通知する。そして、制御部１１は、管理者が定めた内容を格納したＵＳＢ用学習項目設定テーブルおよびＢＬＥ用学習項目設定テーブルを保持する。

ＵＳＢ用リストのレコードを学習することが指定された場合、ＵＳＢ用リストには、全ての項目をany とした初期追加レコードが追加されている。従って、制御部１１は、ＵＳＢインタフェース６３用に差し込まれたデバイスに対して、必ず接続を許可する。

同様に、ＢＬＥ用リストのレコードを学習することが指定された場合、ＢＬＥ用リストには、全ての項目をany とした初期追加レコードが追加されている。従って、制御部１１は、ＢＬＥインタフェース６４用に差し込まれたデバイスに対して、必ず接続を許可する。

第２の実施形態の動作を行う制御部１１および接続部１７は、デバイス接続制御プログラムに従って動作するコンピュータのＣＰＵによって実現される。この場合、ＣＰＵは、コンピュータのプログラム記憶装置（図示略）等のプログラム記録媒体からプログラムを読み込み、そのプログラムに従って、第２の実施形態における制御部１１および接続部１７として動作すればよい。

次に、第２の実施形態の処理経過の例について説明する。以下では、ＵＳＢインタフェース６３にデバイスが接続される場合を例にして説明するが、ＢＬＥインタフェース６４にデバイスが接続される場合の処理経過も同様である。

図２４は、学習モードにおける処理経過の例を示すシーケンス図である。ここでは、図２２に示すＵＳＢ用学習項目設定テーブルが設定されている場合を例にして説明する。すなわち、学習すべき識別情報の種類として、ＶＩＤおよびＰＩＤが指定された場合を例にして説明する。また、制御部１１は、学習モードに設定され、ＵＳＢ用リストに、初期追加レコード（全ての項目をany としたレコード）を追加しているものとする。

ＵＳＢストレージデバイス５３がＵＳＢインタフェース６３に差し込まれると（ステップＳ１０１）、接続部１７は、ＵＳＢストレージデバイス５３とゲートウェイ１０とを接続させる（ステップＳ１０２）。また、ステップＳ１０２において、接続部１７は、ＵＳＢストレージデバイス５３から、ＵＳＢストレージデバイス５３の各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）を取得する。

接続部１７は、その各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）を制御部１１に通知する（ステップＳ１０３）。

制御部１１は、ＶＩＤ、ＰＩＤ、シリアル番号の通知を受けた場合、ＵＳＢ用リストに初期追加レコードが追加されているので、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を許可する（ステップＳ１０４）。制御部１１は、接続を許可した場合、接続部１７に通知を行わない。接続部１７は、制御部１１から通知がなければ、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続状態を維持する。

また、制御部１１は、ステップＳ１０３で通知された各種識別情報のうち、ＵＳＢ用学習項目設定テーブルで指定されている種類の識別情報（本例では、ＶＩＤおよびＰＩＤ）と、接続を許可したことと、学習モードであることを記述したログを生成し、記憶する（ステップＳ１０５）。

さらに、制御部１１は、ステップＳ１０３で通知された各種識別情報のうち、ＵＳＢ用学習項目設定テーブルで指定されている項目（本例では、ＶＩＤおよびＰＩＤ）に、具体的なＶＩＤ、ＰＩＤを記述し、補足情報の項目に、学習によって追加されたことを記述したレコードを生成し、そのレコードをＵＳＢ用リストに追加する（ステップＳ１０６）。なお、制御部１１は、シリアル番号の項目には“any ”を記述する。例えば、図２０の最終行に相当するレコードを生成し、そのレコードをリストに追加する。

図２５は、運用モードでの処理経過の例を示すシーケンス図である。ここでは、制御部１１が、図２０に例示するＵＳＢ用リストを保持している場合を例にして説明する。運用モードに設定されると、制御部１１は、初期追加レコード（全ての項目をany としたレコード）を削除する。以下、ＶＩＤが“00:00:04”であり、ＰＩＤが“00:00:04”であるＵＳＢストレージデバイス５３がＵＳＢインタフェース６３に差し込まれる場合を例にして説明する。

ステップＳ１０１〜Ｓ１０３は、学習モードにおけるステップＳ１０１〜Ｓ１０３と同様であり、説明を省略する。

制御部１１は、各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）の通知を受けると、その識別情報がいずれかのレコードに記述されているか否かを判定する（ステップＳ１１１）。本例では、ＶＩＤが“00:00:04”であり、ＰＩＤが“00:00:04”である。また、図２０の最終行に相当するレコードでは、ＶＩＤとして“00:00:04”が記述され、ＰＩＤとして“00:00:04”が記述され、シリアル番号として“any ”が記述されている。従って、本例では、制御部１１は、通知されたＶＩＤおよびＰＩＤを記述したレコードが存在すると判定する。さらに、通知された識別情報を記述したレコードがリスト内に存在する場合、制御部１１は、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を許可する。既に説明したように、制御部１１は、接続を許可する場合には接続部１７に通知を行わず、接続部１７は、制御部１１からの通知がないことにより、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を維持する。

また、制御部１１は、ログを生成し、記憶する（ステップＳ１１２）。本例では、制御部１１は、レコードに記述されていた識別情報に合致する識別情報（ＶＩＤ“00:00:04”、および、ＰＩＤ“00:00:04”）と、接続を許可したこととを記述したログを生成し、記憶する。

また、ステップＳ１１１で、制御部１１が、接続部１７から通知された識別情報がＵＳＢリスト内のいずれのレコードにも記述されていないを判定したとする。この場合、制御部１１は、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を不許可とし、その旨を接続部１７に通知する。接続を不許可とする通知を受けた接続部１７は、ＵＳＢストレージデバイス５３とゲートウェイ１０との接続を断つ。また、制御部１１は、ステップＳ１１２で、接続を不許可としたことを記述したログを生成し、記憶する。

なお、接続を許可した場合であっても、接続を不許可とした場合であっても、制御部１１は、生成したログを、管理サーバ２０（図１参照。図１９において図示略。）に送信する。

上記の例では、学習モードに設定されている間に、制御部１１が、ステップＳ１０６で新たなレコードをリストに追加する場合を説明した。新たなレコードをリストに追加する動作は、学習モードが解除されたとき（すなわち、学習モードから運用モードに切り替えられたとき）に実行されてもよい。この場合、制御部１１は、学習モードが解除されたときに、記憶しているログに基づいて、ステップＳ１０６で生成するレコードと同様のレコードを生成し、リストに追加すればよい。

また、制御部１１は、ステップＳ１０５で生成したログを管理サーバ２０に送信し、管理サーバ２０はそのログを記憶する。そして、そのログを閲覧した管理者が、追加するレコードの内容を定めてもよい。この場合、管理サーバ２０は、管理者の操作に応じて、ログを表示する。そして、管理サーバ２０は、追加するレコードを管理者によって入力され、そのレコードを制御部１１に送信する。制御部１１は、管理サーバ２０から受信したレコードをリストに追加する。このような方法で、レコードをリストに追加してもよい。

本実施形態によれば、ＵＳＢリストやＢＬＥリストのレコードを、制御部１１が追加することができる。従って、管理者の工数増加を抑えて、ホワイトリスト（ＵＳＢリストやＢＬＥリスト）を生成することができる。

実施形態３．
図２６は、本発明の第３の実施形態の通信システムの例を示す模式図である。本発明の第３の実施形態の通信システムは、複数の通信装置（ゲートウェイ）１０ａ，１０ｂと、その複数の通信装置を管理する管理サーバ２０とを備える。各ゲートウェイ１０ａ，１０ｂは通信ネットワークを介して、管理サーバ２０と通信可能である。なお、各ゲートウェイ１０ａ，１０ｂを特に区別しない場合には、単に「ゲートウェイ１０」と記す。図２６では、２つのゲートウェイ１０を図示しているが、ゲートウェイ１０の数は、２つ以上であれば、特に限定されない。

また、ゲートウェイ１０には、ゲートウェイ１０を介して一般的なサーバ３０（図１を参照）と通信を行うデバイス、あるいは、ゲートウェイ１０に設けられた接続インタフェースに着脱されるデバイスが存在する。図２６に示すデバイス７１〜７３は、このようなデバイスを表している。デバイス７１〜７３は、ゲートウェイ１０を介して通信を行うデバイスであってもよい。また、デバイス７１〜７３は、ゲートウェイ１０に設けられた接続インタフェースに着脱されるデバイスであってもよい。

各デバイス７１〜７３はそれぞれ、例えば、携帯型デバイスであり、移動可能である。例えば、ゲートウェイ１０ａを介して通信を行っていたデバイス７２が移動し、移動後に、そのデバイス７２がゲートウェイ１０ｂを介して通信を行ってもよい。また、例えば、ゲートウェイ１０ａの接続インタフェースに差し込まれていたデバイス７２がゲートウェイ１０ａから取り外され、ゲートウェイ１０ｂの接続インタフェースに差し込まれてもよい。

各ゲートウェイ１０ａ，１０ｂは、第１の実施形態で説明したゲートウェイ１０、または、第２の実施形態で説明したゲートウェイ１０である。また、各ゲートウェイ１０ａ，１０ｂが、第１の実施形態で説明したゲートウェイ１０の機能と、第２の実施形態で説明したゲートウェイ１０の機能の両方を有していてもよい。

管理サーバ２０は、各ゲートウェイ１０で学習されたリストのレコードを管理する。管理サーバ２０が、学習されたレコードを管理する態様として、例えば、以下に示す２種類の管理態様がある。

管理態様１：管理サーバ２０は、任意のゲートウェイ１０で学習されたレコードを、各ゲートウェイ１０に共通に保持させる。

管理態様２：管理サーバ２０は、任意のゲートウェイ１０で学習されたレコードが、他のゲートウェイ１０でも保持されている場合、他のゲートウェイ１０にそのレコードにそのレコードを削除させる。すなわち、管理サーバ２０は、任意のゲートウェイ１０が新たにレコードを学習した場合、そのゲートウェイ１０のみに、そのレコードを保持させる。

管理態様１では、デバイスが移動したとしても、１つのゲートウェイ１０で学習されたレコードを、他のゲートウェイ１０が再度、学習しなくて済むという効果が得られる。

管理態様２では、デバイスが移動したことによって、そのデバイスが使用しなくなったゲートウェイ１０に古いレコードが残されなくなる。従って、セキュリティの脆弱性を抑えたり、メンテナンスの容易性を向上させたりすることができる。また、レコードの検索処理速度を向上させることができる。

また、本実施形態では、デバイスの識別情報を記述したレコードが管理対象である。

以下、各デバイス７１〜７２が、ゲートウェイ１０を介して一般的なサーバ３０（図１を参照）と通信を行うデバイスである場合を例にして説明する。この場合、各ゲートウェイ１０は、第１の実施形態で説明したゲートウェイ１０（図１参照）である。ただし、ゲートウェイ１０の制御部１１（図１参照）は、学習によってリストに追加したレコードを、管理サーバ２０に送信する動作も行う。上記のように、本実施形態では、デバイスの識別情報を記述したレコードが管理対象である。ここでは、デバイスの識別情報がデバイスのＭＡＣアドレスであり、ゲートウェイ１０が、「送信元ＭＡＣアドレス」を記述したレコードを学習する場合を例にして説明する。

まず、管理サーバ２０が管理態様１でレコードを管理する場合について説明する。図２７は、管理態様１でレコードを管理する管理サーバ２０の構成例を示すブロック図である。図２７に示す例では、管理サーバ２０は、受信部２１と、記憶部２２と、配信部２３とを備える。

受信部２１は、ゲートウェイ１０で学習されたリストのレコードを受信する。

記憶部２２は、受信部２１が受信したレコードを記憶する記憶装置である。

配信部２３は、受信部２１が受信したレコードを、そのレコードを送信したゲートウェイ１０以外の各ゲートウェイ１０の制御部１１に配信する。

受信部２１および配信部２３は、例えば、プログラムに従って動作するコンピュータのＣＰＵと、通信インタフェースとによって実現される。

次に、管理サーバ２０が管理態様１でレコードを管理する場合の処理経過の例について説明する。以下に示す例では、ゲートウェイ１０ａが、デバイス７２のＭＡＣアドレスを記述したレコードを学習し、そのレコードを管理サーバ２０に送信し、管理サーバ２０が、そのレコードをゲートウェイ１０ｂに配信する動作を説明する。

図２８は、管理サーバ２０が管理態様１でレコードを管理する場合の処理経過の例を示すシーケンス図である。

また、ここでは、ゲートウェイ１０ａの制御部１１（以下、制御部１１ａと記す。）に、図２９に示す学習項目設定テーブルが設定されているものとする。すなわち、学習態様１が指定され、学習モードで学習すべき条件として、「送信元ＭＡＣアドレス」が指定されているものとする。また、制御部１１ａは、学習モードに設定されたことによって、初期追加レコードをリストに追加する。例えば、制御部１１ａは、図４に例示するｎ−２番目からｎ番目までのレコードを、初期追加レコードとしてリストに追加する。ただし、説明を簡単にするために、図４に示す最後の初期追加レコード（図４に示すｎ番目のレコード）に基づいて、新たなレコードが作成されるものとして説明する。

デバイス７２は、サーバ３０のＩＰアドレスを宛先とするＳＹＮパケットを送信する（ステップＳ２０１）。

ゲートウェイ１０ａのスイッチ部１２（以下、スイッチ部１２ａと記す。）は、そのＳＹＮパケットを受信する。このＳＹＮパケットは、新規パケットである。すなわち、そのＳＹＮパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２ａに設定されていない。この場合、スイッチ部１２ａは、ＳＹＮパケットのヘッダ情報を制御部１１ａに通知する（ステップＳ２０２）また、スイッチ部１２ａは、そのＳＹＮパケットを保持する。

ＳＹＮパケットのヘッダ情報は図４に示すｎ番目のレコードに合致するので、制御部１１ａは、ＳＹＮパケットのヘッダ情報に応じた制御情報として、ＳＹＮパケットによる通信の許可を示す制御情報を生成する（ステップＳ２０３）。このとき、制御部１１ａは、図４に示すｎ番目のレコードで「出力先インタフェース」として記述されている通信ネットワークを、パケットの出力先として制御情報内に記述すればよい。

また、図２９に示す学習項目設定テーブルが設定されているので、制御部１１ａは、ヘッダ情報から送信元ＭＡＣアドレスを抽出することによって、送信元ＭＡＣアドレスを特定する。そして制御部１１ａは、その送信元ＭＡＣアドレスと、通信の許可を示す情報と、学習モードであることを記述したログを生成し、記憶する（ステップＳ２０４）。

さらに、制御部１１ａは、ステップＳ２０４で特定した送信元ＭＡＣアドレスを記述したレコードをリストに追加する（ステップＳ２０５）。制御部１１ａは、このレコードの出力インタフェースの項目には、図４に示すｎ番目のレコードで「出力先インタフェース」として記述されている通信ネットワークを記述すればよい。また、制御部１１ａは、このレコードの補足情報として、例えば、「学習によって追加」と記述すればよい。制御部１１ａは、その他の項目については、全て“any ”と記述する。ステップＳ２０５でリストに追加されるレコードの例を、図３０に示す。図３０では、ステップＳ２０５でリストに追加される１つのレコードのみを示し、リスト全体については図示していない。

ステップＳ２０４で特定された送信元ＭＡＣアドレスは、デバイス７２の識別情報に該当する。従って、図３０に示すレコードは、デバイス７２の識別情報（デバイス７２のＭＡＣアドレス）を記述したレコードである。

次に、制御部１１ａは、ステップＳ２０３で生成した制御情報をスイッチ部１２ａに設定する（ステップＳ２０６）。スイッチ部１２ａは、その制御情報に従って、保持しているＳＹＮパケットを出力する。すなわち、スイッチ部１２ａは、保持しているＳＹＮパケットを、制御情報内で指定されている通信インタフェースから出力する（ステップＳ２０７）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

なお、ＳＹＮパケットを受信したサーバ３０は、ＳＹＮ＿ＡＣＫパケットを送信するが、ＳＹＮ＿ＡＣＫパケット送信後の動作は、第１の実施形態で示したステップＳ１９以降の動作と同様である。従って、以下の説明では、サーバ３０によるＳＹＮ＿ＡＣＫパケット送信後の動作については説明を省略する。

また、制御部１１ａは、ステップＳ２０４で生成したログ、および、ステップＳ２０５でリストに追加したレコード（図３０参照）を、管理サーバ２０に送信する（ステップＳ２０８）。

管理サーバ２０の受信部２１（図２７参照）は、そのログおよびレコードを受信し、記憶部２２に記憶させる。

そして、管理サーバ２０の配信部２３は、受信部２１が受信したレコードを、そのレコードを送信したゲートウェイ１０ａ以外の各ゲートウェイ（本例ではゲートウェイ１０ｂのみ）の制御部１１に配信する（ステップＳ２０９）。

ゲートウェイ１０ｂの制御部１１（以下、制御部１１ｂと記す。）は、そのレコード受信すると、制御部１１ｂが保持しているリストにそのレコードを追加する。その結果、制御部１１ｂが保持しているリストに、図３０に示すレコードが追加される。

その後、デバイス７２が移動し、ゲートウェイ１０ｂを使用可能な場所に配置されたとする。また、このとき、ゲートウェイ１０ｂの制御部１１ｂは、運用モードに設定されているとする。

移動後に、デバイス７２が、再度、サーバ３０のＩＰアドレスを宛先とするＳＹＮパケットを送信する（ステップＳ２１０）。

ゲートウェイ１０ｂのスイッチ部１２（以下、スイッチ部１２ｂと記す。）は、そのＳＹＮパケットを受信する。このＳＹＮパケットは、新規パケットである。すなわち、そのＳＹＮパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２ｂに設定されていない。この場合、スイッチ部１２ｂは、ＳＹＮパケットのヘッダ情報を制御部１１ｂに通知する（ステップＳ２１１）。また、スイッチ部１２ｂは、そのＳＹＮパケットを保持する。

制御部１１は、ヘッダ情報を通知されると、そのヘッダ情報に含まれる情報、または、そのヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれかのレコードで記述されているか否かを判定する。制御部１１は、図３０に示すレコードを参照する場合、ヘッダ情報に含まれる送信元ＭＡＣアドレスを抽出し、その送信元ＭＡＣアドレスが、図３０に示す送信元ＭＡＣアドレス“１１：２２：３３：４４：５５：６６”と一致すると判定する。

従って、制御部１１ｂは、ＳＹＮパケットによる通信の許可を示す制御情報を生成する。このとき、制御部１１ｂは、図３０に示すレコードに記述されている出力インタフェースを、パケットの出力先として制御情報に記述する。本例では、出力インタフェース“Ethernet1 ”（図３０参照）を制御情報に記述する。そして、制御部１１ｂは、生成した制御情報をスイッチ部１２ｂに設定する（ステップＳ２１２）。

スイッチ部１２ｂは、その制御情報に従って、保持しているＳＹＮパケットを出力する。すなわち、スイッチ部１２ｂは、保持しているＳＹＮパケットを、制御情報内で指定されている通信インタフェースから出力する（ステップＳ２１３）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

前述のように、サーバ３０によるＳＹＮ＿ＡＣＫパケット送信後の動作の説明は省略する。

管理態様１によれば、管理サーバ２０は、ゲートウェイ１０ａが学習によってリストに追加したレコード（図３０参照）を、ゲートウェイ１０ｂの制御部１１ｂに配信する。従って、デバイス７２が移動してゲートウェイ１０ｂを使用する場合であっても、ゲートウェイ１０ｂは、レコードを学習せずに、デバイス７２が送信したパケットをサーバ３０に中継することができる。

次に、管理サーバ２０が管理態様２でレコードを管理する場合について説明する。図３１は、管理態様２でレコードを管理する管理サーバ２０の構成例を示すブロック図である。図３１に示す例では、管理サーバ２０は、受信部２１と、記憶部２２と、削除指示部２４とを備える。

受信部２１および記憶部２２は、図２７に示す受信部２１および記憶部２２と同様である。

削除指示部２４は、受信部２１がレコードを受信した場合、そのレコードを送信したゲートウェイ１０以外の各ゲートウェイ１０の制御部１１に対して、そのレコードに記述されているデバイスの識別情報が記述されているレコードの削除を指示する。なお、この指示を受けた制御部１１は、指示に従って、保持しているリストから、該当するレコードを削除する。

受信部２１および削除指示部２４は、例えば、プログラムに従って動作するコンピュータのＣＰＵと、通信インタフェースとによって実現される。

次に、管理サーバ２０が管理態様２でレコードを管理する場合の処理経過の例について説明する。以下に示す例では、ゲートウェイ１０ａが、デバイス７２のＭＡＣアドレスを記述したレコードを学習しているものとする。また、ゲートウェイ１０ｂもデバイス７２のＭＡＣアドレスを記述したレコードを学習し、そのレコードを管理サーバ２０に送信し、管理サーバ２０が、ゲートウェイ１０ａにレコードの削除を指示する動作を説明する。

図３２は、管理サーバ２０が管理態様２でレコードを管理する場合の処理経過の例を示すシーケンス図である。

ゲートウェイ１０ａの制御部１１ａは、学習モードで、デバイス７２がサーバ３０を宛先とするパケットを送信したことにより、図３０に示すレコードを既に学習し、そのレコードをリストに追加しているものとする。この動作は、図２８に示すステップＳ２０１〜Ｓ２０７の動作と同様であり、ここでは、説明を省略する。

制御部１１ａが保持するリストには図３０に示すレコードが追加されている。従って、制御部１１ａが運用モードに設定された場合、制御部１１ａは、デバイス７２がサーバ３０を宛先として送信したパケットの転送を許可する制御情報をスイッチ部１２ａに設定し、スイッチ部１２ａは、そのパケットをサーバ３０に転送する（ステップＳ３０１〜Ｓ３０４）。ステップＳ３０１〜Ｓ３０４の動作は、図２８に示すステップＳ２１０〜Ｓ２１３の動作と同様であり、ここでは、説明を省略する。

また、ゲートウェイ１０ｂの制御部１１ｂに、図２９に示す学習項目設定テーブルが設定されているものとする。すなわち、学習態様１が指定され、学習モードで学習すべき条件として、「送信元ＭＡＣアドレス」が指定されているものとする。また、制御部１１ｂは、学習モードに設定されたことによって、初期追加レコードをリストに追加する。例えば、制御部１１ｂは、図４に例示するｎ−２番目からｎ番目までのレコードを、初期追加レコードとしてリストに追加する。ただし、説明を簡単にするために、図４に示す最後の初期追加レコード（図４に示すｎ番目のレコード）に基づいて、新たなレコードが作成されるものとして説明する。

学習モードにおいて、デバイス７２がサーバ３０を宛先として送信したパケットを、ゲートウェイ１０ｂが中継することによって、ゲートウェイ１０ｂの制御部１１ｂは、図３０に示すレコードを学習し、制御部１１ｂが保持しているリストに追加する（ステップＳ３０５〜Ｓ３１１）。ステップＳ３０５〜Ｓ３１１の動作は、図２８に示すステップＳ２０１〜Ｓ２０７の動作と同様であり、ここでは、説明を省略する。この結果、制御部１１ｂが保持しているリストにも、図３０に示すレコード（デバイス７２のＭＡＣアドレスを送信元アドレスとして記述したレコード）が追加される。

制御部１１ｂは、ステップＳ３０８で生成したログ、および、ステップＳ３０９でリストに追加したレコード（図３０参照）を、管理サーバ２０に送信する（ステップＳ３１２）。

管理サーバ２０の受信部２１（図３１参照）は、そのログおよびレコードを受信し、記憶部２２に記憶させる。

そして、管理サーバ２０の削除指示部２４（図３１参照）は、そのレコードを送信したゲートウェイ１０ｂ以外の各ゲートウェイ（本例ではゲートウェイ１０ａのみ）の制御部１１ａに対して、そのレコードに記述されているデバイス７２のＭＡＣアドレス“１１：２２：３３：４４：５５：６６”が記述されているレコードを削除するように指示する（ステップＳ３１３）。

制御部１１ａは、その指示に従って、デバイス７２のＭＡＣアドレス“１１：２２：３３：４４：５５：６６”が記述されているレコードを、制御部１１ａが保持しているリストの中から削除する。制御部１１ａが保持しているリストには、図３０に示すレコードが含まれていて、そのレコードの「送信元ＭＡＣアドレス」の項目には、デバイス７２のＭＡＣアドレス“１１：２２：３３：４４：５５：６６”が記述されている。従って、制御部１１ａは、保持しているリストの中から、図３０に示すレコードを削除する。

デバイス７２が移動して、ゲートウェイ１０ｂを介してサーバ３０と通信を行うことになったことにより、ゲートウェイ１０ａでは、デバイス７２が送信したパケットに基づいて学習したレコードは不要になる。管理態様２では、管理サーバ２０がそのレコードの削除をゲートウェイ１０ａに指示し、ゲートウェイ１０ａはそのレコードを削除する。従って、リスト内のレコード数が減少するので、セキュリティの脆弱性を抑えたり、メンテナンスの容易性を向上させたりすることができる。また、レコードの検索処理速度を向上させることができる。

次に、各デバイス７１〜７２が、ゲートウェイ１０に設けられた接続インタフェースに着脱されるデバイスである場合を例にして説明する。この場合、ゲートウェイ１０は、第２の実施形態で説明したゲートウェイ１０（図１９参照）である。ただし、ゲートウェイ１０の制御部１１（図１９参照）は、学習によってリストに追加したレコードを、管理サーバ２０に送信する動作も行う。前述のように、本実施形態では、デバイスの識別情報を記述したレコードが管理対象である。以下の説明では、デバイスが、ＵＳＢインタフェース６３に着脱されるデバイスであるものとする。そして、デバイスの識別情報として、ＶＩＤ、ＰＩＤおよびシリアル番号の３種類があり、ゲートウェイ１０が、そのうちＶＩＤおよびＰＩＤを記述したレコードを学習する場合を例にして説明する。

まず、管理サーバ２０が管理態様１でレコードを管理する場合について説明する。この場合、管理サーバ２０は、図２７に示すブロック図で表すことができるので、図２７を参照して説明する。受信部２１、記憶部２２および配信部２３については、既に説明したので、ここでは説明を省略する。

管理サーバ２０が管理態様１でレコードを管理する場合の処理経過の例について説明する。以下に示す例では、ゲートウェイ１０ａが、デバイス７２のＶＩＤおよびＰＩＤを記述したレコードを学習し、そのレコードを管理サーバ２０に送信し、管理サーバ２０が、そのレコードをゲートウェイ１０ｂに配信する動作を説明する。

前述の場合と同様に、ゲートウェイ１０ａの制御部１１を、制御部１１ａと記す。ゲートウェイ１０ｂの制御部１１を、制御部１１ｂと記す。また、ゲートウェイ１０ａの接続部１７を、接続部１７ａと記す。ゲートウェイ１０ｂの接続部１７を、接続部１７ｂと記す。また、ゲートウェイ１０ａのＵＳＢインタフェース６３を、ＵＳＢインタフェース６３ａと記す。ゲートウェイ１０ｂのＵＳＢインタフェース６３を、ＵＳＢインタフェース６３ｂと記す

図３３は、管理サーバ２０が管理態様１でレコードを管理する場合の処理経過の例を示すシーケンス図である。

また、ここでは、ゲートウェイ１０ａの制御部１１ａに、図２２に示すＵＳＢ用学習項目設定テーブルが設定されているものとする。すなわち、３種類の識別情報のうち、ＶＩＤおよびＰＩＤが学習対象として指定されているものとする。また、制御部１１ａは、ＵＳＢ用リストのレコードのみを学習することが指定され、学習モードに設定されたことによって、ＵＳＢ用リスト（図２０参照）に初期追加レコード（全ての項目をany としたレコード）を追加しているものとする。さらに、デバイス７２のＶＩＤが“00:00:05”であり、デバイス７２のＰＩＤが“00:00:05”であるものとする。

デバイス７２がゲートウェイ１０ａのＵＳＢインタフェース６３ａに差し込まれると（ステップＳ４０１）、ゲートウェイ１０ａの接続部１７ａは、デバイス７２とゲートウェイ１０ａとを接続させる（ステップＳ４０２）。また、ステップＳ４０２において、接続部１７ａは、デバイス７２から、デバイス７２の各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）を取得する。

接続部１７ａは、その各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）を制御部１１ａに通知する（ステップＳ４０３）。

制御部１１ａは、ＶＩＤ、ＰＩＤ、シリアル番号の通知を受けた場合、リストに初期追加レコードが追加されているので、デバイス７２とゲートウェイ１０ａとの接続を許可する（ステップＳ４０４）。制御部１１ａは、接続を許可した場合、接続部１７ａに通知を行わない。接続部１７ａは、制御部１１ａから通知がなければ、デバイス７２とゲートウェイ１０ａとの接続情報を維持する。

また、制御部１１ａは、ステップＳ４０３で通知された各種設定情報のうち、ＵＳＢ用学習項目設定テーブルで指定されている種類の識別情報（本例では、ＶＩＤおよびＰＩＤ。図２２参照。）と、接続を許可したことと、学習モードであることを記述したログを生成し、記憶する（ステップＳ４０５）。

さらに、制御部１１ａは、ステップＳ４０３で通知された各種設定情報のうち、ＵＳＢ用学習項目設定テーブルで指定されている項目（本例では、ＶＩＤおよびＰＩＤ。図２２参照。）に、具体的なＶＩＤ、ＰＩＤを記述し、補足情報の項目に、学習によって追加されたことを記述したレコードを生成し、そのレコードをＵＳＢ用リストに追加する（ステップＳ４０６）。なお、制御部１１ａは、シリアル番号の項目には“any ”を記述する。ステップＳ４０６でＵＳＢ用リストに追加されるレコードの例を、図３４に示す。図３４では、ステップＳ４０６でＵＳＢ用リストに追加される１つのレコードのみを示し、ＵＳＢ用リスト全体については図示していない。

次に、制御部１１ａは、ステップＳ４０５で生成したログ、および、ステップＳ４０６でＵＳＢ用リストに追加したレコード（図３４参照）を、管理サーバ２０に送信する（ステップＳ４０７）。

管理サーバ２０の受信部２１（図２７参照）は、そのログおよびレコードを受信し、記憶部２２に記憶させる。

そして、管理サーバ２０の配信部２３は、受信部２１が受信したレコードを、そのレコードを送信したゲートウェイ１０ａ以外の各ゲートウェイ（本例ではゲートウェイ１０ｂのみ）の制御部１１に配信する（ステップＳ４０８）。

ゲートウェイ１０ｂの制御部１１ｂは、そのレコードを受信すると、制御部１１ｂが保持しているＵＳＢ用リストにそのレコードを追加する。その結果、制御部１１ｂが保持しているリストに、図３４に示すレコードが追加される。

その後、デバイス７２がゲートウェイ１０ａから取り外され、持ち運ばれて、ゲートウェイ１０ｂのＵＳＢインタフェース６３ｂ差し込まれたとする（ステップＳ４０９）。また、このとき、ゲートウェイ１０ｂの制御部１１ｂは、運用モードに設定されているとする。

すると、ゲートウェイ１０ｂの接続部１７ｂは、デバイス７２とゲートウェイ１０ｂとを接続させる（ステップＳ４１０）。また、ステップＳ４１０において、接続部１７ｂは、デバイス７２から、デバイス７２の各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）を取得する。

接続部１７ｂは、その各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）を制御部１１ｂに通知する（ステップＳ４１１）。ステップＳ４０９〜Ｓ４１１の動作は、ステップＳ４０１〜Ｓ４０３の動作と同様である。

制御部１１ｂは、各種識別情報（ＶＩＤ、ＰＩＤ、シリアル番号）の通知を受けると、その識別情報がいずれかのレコードに記述されているか否かを判定する。本例では、通知されたＶＩＤが“00:00:05”であり、通知されたＰＩＤが“00:00:05”である。従って、制御部１１ｂは、通知されたＶＩＰおよびＰＩＤが記述されたレコード（図３４参照）が、ＵＳＢ用リスト内に存在すると判定する（ステップＳ４１２）。従って、制御部１１ｂは、デバイス７２とゲートウェイ１０ｂとの接続を許可する。制御部１１ｂは、接続を許可する場合には接続部１７ｂに通知を行わず、接続部１７ｂは、制御部１１ｂからの通知がないことにより、デバイス７２とゲートウェイ１０ｂとの接続を維持する。

また、制御部１１ｂは、レコードに記述されていた識別情報に合致する識別情報（ＶＩＤ“00:00:05”、および、ＰＩＤ“00:00:05”）と、接続を許可したこととを記述したログを生成し、記憶する（ステップＳ４１３）。

管理態様１によれば、管理サーバ２０は、ゲートウェイ１０ａが学習によってリスト（上記の例ではＵＳＢ用リスト）に追加したレコード（図３４参照）を、ゲートウェイ１０ｂの制御部１１ｂに配信する。従って、デバイス７２が移動して、ゲートウェイ１０ｂのＵＳＢインタフェース６３ｂに差し込まれた場合であっても、ゲートウェイ１０ｂは、レコードを学習せずに、デバイス７２とゲートウェイ１０ｂとの接続を許可することができる。

次に、管理サーバ２０が管理態様２でレコードを管理する場合について説明する。この場合、管理サーバ２０は、図３１に示すブロック図で表すことができるので、図３１を参照して説明する。受信部２１、記憶部２２および削除指示部２４については、既に説明したので、ここでは説明を省略する。

管理サーバ２０が管理態様２でレコードを管理する場合の処理経過の例について説明する。以下に示す例では、ゲートウェイ１０ａが、デバイス７２のＶＩＤおよびＰＩＤを記述したレコードを学習しているものとする。また、ゲートウェイ１０ｂもデバイス７２のＶＩＤおよびＰＩＤを記述したレコードを学習し、そのレコードを管理サーバ２０に送信し、管理サーバ２０が、ゲートウェイ１０ａにそのレコードの削除を指示する動作を説明する。

上記の場合と同様に、デバイス７２のＶＩＤが“00:00:05”であり、デバイス７２のＰＩＤが“00:00:05”であるものとする。

図３５は、管理サーバ２０が管理態様２でレコードを管理する場合の処理経過の例を示すシーケンス図である。

ゲートウェイ１０ａの制御部１１ａは、学習モードにおいて、デバイス７２がＵＳＢインタフェース６３ａに差し込まれたことにより、図３４に示すレコードを既に学習し、そのレコードをＵＳＢ用リストに追加しているものとする。この動作は、図３３に示すステップＳ４０１〜Ｓ４０６の動作と同様であり、ここでは、説明を省略する。

制御部１１ａが保持するＵＳＢ用リストには、図３４に示すレコードが追加されている。従って、制御部１１ａが運用モードに設定されると、制御部１１ａは、デバイス７２がＵＳＢインタフェース６３ａに差し込まれた場合、デバイス７２とゲートウェイ１０ａとの接続を許可する（ステップＳ５０１〜Ｓ５０５）。ステップＳ５０１〜Ｓ５０５の動作は、図３３に示すステップＳ４０９〜Ｓ４１３の動作と同様であり、ここでは、説明を省略する。

また、ゲートウェイ１０ｂの制御部１１ｂに、図２２に示すＵＳＢ用学習項目設定テーブルが設定されているものとする。すなわち、３種類の識別情報のうち、ＶＩＤおよびＰＩＤが学習対象として指定されているものとする。また、制御部１１ｂは、ＵＳＢ用リストのレコードのみを学習することが指定され、学習モードに設定されたことによって、ＵＳＢ用リスト（図２０参照）に、初期追加レコード（全ての項目をany としたレコード）を追加しているものとする。

学習モードにおいて、デイバス７２がゲートウェイ１０ｂのＵＳＢインタフェース６３ｂに差し込まれることによって、ゲートウェイ１０ｂの制御部１１ｂは、図３４に示すレコードを学習し、制御部１１ｂが保持しているＵＳＢ用リストに追加する（ステップＳ５０６〜Ｓ５１１）。ステップＳ５０６〜Ｓ５１１の動作は、図３３に示すステップＳ４０１〜Ｓ４０６の動作と同様であり、ここでは、説明を省略する。この結果、制御部１１ｂが保持しているＵＳＢ用リストにも、図３４に示すレコードが追加される。

制御部１１ｂは、ステップＳ５１０で生成したログ、および、ステップＳ５１１でＵＳＢ用リストに追加したレコード（図３４参照）を、管理サーバ２０に送信する（ステップＳ５１２）。

管理サーバ２０の受信部２１（図３１参照）は、そのログおよびレコードを受信し、記憶部２２に記憶させる。

そして、管理サーバ２０の削除指示手段２４（図３１参照）は、そのレコードを送信したゲートウェイ１０ｂ以外の各ゲートウェイ（本例ではゲートウェイ１０ａのみ）の制御部１１ａに対して、そのレコードに記述されているデバイス７２のＶＩＤ“00:00:05”およびＰＩＤ“00:00:05”が記述されているレコードを削除するように指示する（ステップＳ５１３）

制御部１１ａは、その指示に従って、デバイス７２のＶＩＤ“00:00:05”およびＰＩＤ“00:00:05”が記述されているレコードを、制御部１１ａが保持しているＵＳＢ用リストの中から削除する。制御部１１ａが保持しているＵＳＢ用リストには、図３４に示すレコードが含まれていて、そのレコードには、デバイス７２のＶＩＤ“00:00:05”およびＰＩＤ“00:00:05”が記述されている。従って、制御部１１ａは、保持しているＵＳＢ用リストの中から、図３４に示すレコードを削除する。

デバイス７２がゲートウェイ１０ａから取り外され、ゲートウェイ１０ｂの配置場所まで持ち運ばれて、ゲートウェイ１０ｂのＵＳＢインタフェース６３ｂに接続されると、ゲートウェイ１０ａでは、デバイス７２がＵＳＢインタフェース６３ａに差し込まれことに基づいて学習したレコードは不要になる。管理態様２では、管理サーバ２０がそのレコードの削除をゲートウェイ１０ａに指示し、ゲートウェイ１０ａはそのレコードを削除する。従って、リスト内のレコード数が減少するので、セキュリティの脆弱性を抑えたり、メンテナンスの容易性を向上させたりすることができる。また、レコードの検索処理速度を向上させることができる。

また、第３の実施形態では、ゲートウェイ１０の制御部１１が、学習モードに設定されているときに、レコードをリストに追加する場合を例に説明した。第１の実施形態や第２の実施形態で説明したように、制御部１１は、学習モードが解除されたとき（すなわち、学習モードから運用モードに切り替えられたとき）に、新たなレコードをリストに追加する動作を実行してもよい。この動作は、第１の実施形態や第２の実施形態で既に説明しているので、ここでは、説明を省略する。

また、本発明において、スイッチ部１２が受信したパケットが新規パケットであった場合、スイッチ部１２は、受信したパケットのヘッダ情報を通知する。この動作は、以下のような動作であってもよい。

スイッチ部１２は、受信した新規パケットのコピーを制御部１１に送ることによって、制御部１１にヘッダ情報を通知する。そして、スイッチ部１２は、受信したそのパケットを保持する。そのパケットのヘッダ情報に応じた制御情報が設定されると、スイッチ部１２は、保持しているパケットを、その制御情報に従って処理する。

あるいは、スイッチ部１２は、受信した新規パケットを保持することなく、そのパケット全体を制御部１１に送ることによって、そのパケットのヘッダ情報を制御部１１に通知してもよい。この場合、制御部１１は、そのパケットのヘッダ情報に応じた制御情報をスイッチ部１２に設定する際に、そのパケットをスイッチ部１２に返す。スイッチ部１２は、制御部１１から返されたパケットを、その制御情報に従って処理する。

このように、スイッチ部１２が受信したパケットのヘッダ情報を制御部１１に通知する方法は、１つの方法に限定されない。

次に、本発明の概要について説明する。

図３６は、本発明の通信装置の概要の例を示すブロック図である。本発明の通信装置１１０は、パケット転送手段１１２と、制御手段１１１とを備える。

パケット転送手段１１２（例えば、スイッチ部１２）は、パケットを転送する。

制御手段１１１（例えば、第１の実施形態における制御部１１）は、パケットのヘッダ情報に応じたパケット転送手段１１２の動作を規定した制御情報をパケット転送手段１１２に対して設定する。

パケット転送手段１１２は、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段１１１に通知する。

制御手段１１１は、通信を許可する条件を記述可能な複数の項目を含むレコードであって、その複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持する。そして、制御手段１１１は、パケット転送手段１１２からヘッダ情報が通知されたときに、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれかのレコードで記述されている場合、新規パケットによる通信の許可を示す制御情報をパケット転送手段１１２に設定する。また、制御手段１１１は、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれのレコードにも記述されていない場合、新規パケットによる通信の不許可を示す制御情報をパケット転送手段１１２に設定する。

制御手段１１１は、条件を学習すべき項目としてＩＰアドレスから特定可能な条件に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、パケット転送手段１１２から新規パケットのヘッダ情報が通知されると、新規パケットによる通信の許可を示す制御情報をパケット転送手段１１２に設定する。そして、制御手段１１１は、指定された項目にヘッダ情報内のＩＰアドレスから特定した条件を記述したレコードをリストに追加する。

そのような構成により、パケットによる通信を許可するか、不許可にするかの判定に用いるリストを、管理者にとって分かり易い条件も含められるようにして、生成することができる。

図３７は、本発明の通信装置の概要の他の例を示すブロック図である。本発明の通信装置２１０は、デバイスの接続インタフェース２６０（例えば、ＵＳＢインタフェース６３やＢＬＥインタフェース６４）を備える。さらに、通信装置２１０は、接続手段２１７と、制御手段２１１とを備える。

接続手段２１７（例えば、接続部１７）は、接続インタフェース２６０に差し込まれたデバイスと当該通信装置２１０とを接続させる。

制御手段２１１（例えば、第２の実施形態における制御部１１）は、接続手段２１７を制御する。

接続手段２１７は、接続インタフェース２６０にデバイスが差し込まれると、そのデバイスと当該通信装置２１０とを接続させ、そのデバイスの識別情報を制御手段２１１に通知する。

制御手段２１１は、デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持する。そして、制御手段２１１は、接続手段２１７からデバイスの識別情報が通知されたときに、その識別情報がリストのいずれかのレコードで記述されている場合、デバイスと当該通信装置２１０との接続を許可する。また、制御手段２１１は、その識別情報がリストのいずれのレコードにも記述されていない場合、デバイスと当該通信装置２１０との接続を不許可とする。

接続手段２１７は、デバイスと当該通信装置２１０との接続が不許可とされた場合には、デバイスと当該通信装置２１０との接続を断つ。

制御手段２１１は、学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、接続手段２１７からデバイスの識別情報が通知されると、デバイスと当該通信装置２１０との接続を許可する。そして、制御手段２１１は、指定された項目に、当該項目に対応する識別情報を記述したレコードを、リストに追加する。

そのような構成により、他のデバイスの接続を許可するか、不許可にするのかの判定に用いるリストを生成することができる。

図３８は、本発明の通信システムの概要の例を示すブロック図である。本発明の通信システムは、複数の通信装置１１０（例えば、ゲートウェイ１０）と、その複数の通信装置１１０を管理する管理サーバ３００とを備える。

個々の通信装置１１０は、パケット転送手段１１２と、制御手段１１１とを備える。

パケット転送手段１１２（例えば、スイッチ部）は、パケットを転送する。

制御手段１１１（例えば、第１の実施形態における制御部１１）は、パケットのヘッダ情報に応じたパケット転送手段１１２の動作を規定した制御情報をパケット転送手段１１２に対して設定する。

パケット転送手段１１２は、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段１１１に通知する。

制御手段１１１は、通信を許可する条件を記述可能な複数の項目を含むレコードであって、その複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持する。そして、制御手段１１１は、パケット転送手段１１２からヘッダ情報が通知されたときに、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれかのレコードで記述されている場合、新規パケットによる通信の許可を示す制御情報をパケット転送手段１１２に設定する。また、制御手段１１１は、ヘッダ情報に含まれる情報、または、ヘッダ情報に含まれるＩＰアドレスから特定される情報が、リストのいずれのレコードにも記述されていない場合、新規パケットによる通信の不許可を示す制御情報をパケット転送手段１１２に設定する。

制御手段１１１は、条件を学習すべき項目としてパケットの送信元のデバイスの識別情報に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、パケット転送手段１１２から新規パケットのヘッダ情報が通知されると、新規パケットによる通信の許可を示す制御情報をパケット転送手段１１２に設定する。そして、制御手段１１１は、指定された項目に新規パケットの送信元のデバイスの識別情報を記述したレコードをリストに追加し、レコードを管理サーバ３００に送信する。

管理サーバ３００（例えば、管理サーバ２０）は、受信手段３０１と、記憶手段３０２とを備える。

受信手段３０１（例えば、受信部２１）は、レコードを受信する。記憶手段３０２（例えば、記憶部２２）は、そのレコードを記憶する。

そのような構成によれば、パケットによる通信を許可するか、不許可にするかの判定に用いるリストが複数の通信装置で生成される場合に、そのリストを管理することができる。

図３９は、本発明の通信システムの概要の他の例を示すブロック図である。本発明の通信システムは、複数の通信装置２１０（例えば、ゲートウェイ１０）と、その複数の通信装置２１０を管理する管理サーバ３００とを備える。

個々の通信装置２１０は、デバイスの接続インタフェース２６０と、接続手段２１７と、制御手段２１１とを備える。個々の通信装置２１０に設けられる接続インタフェース２６０、接続手段２１７および制御手段２１１は、図３７に示す接続インタフェース２６０、接続手段２１７および制御手段２１１と同様であり、ここでは説明を省略する。ただし、制御手段２１１は、リストの追加したレコードを管理サーバ３００に送信する。

管理サーバ３００（例えば、管理サーバ２０）は、受信手段３０１と、記憶手段３０２とを備える。

受信手段３０１（例えば、受信部２１）は、レコードを受信する。記憶手段３０２（例えば、記憶部２２）は、そのレコードを記憶する。

そのような構成によれば、他のデバイスの接続を許可するか、不許可にするのかの判定に用いるリストが複数の通信装置で生成される場合に、そのリストを管理することができる。

上記の本発明の実施形態は、以下の付記のようにも記載され得るが、以下に限定されるわけではない。

（付記１）
パケットを転送するパケット転送手段と、
パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを備え、
前記パケット転送手段は、
ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
前記制御手段は、
通信を許可する条件を記述可能な複数の項目を含むレコードであって、前記複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持し、前記パケット転送手段から前記ヘッダ情報が通知されたときに、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれかのレコードで記述されている場合、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれのレコードにも記述されていない場合、前記新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、
前記制御手段は、
条件を学習すべき項目としてＩＰアドレスから特定可能な条件に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
指定された項目に前記ヘッダ情報内のＩＰアドレスから特定した条件を記述したレコードを前記リストに追加する
ことを特徴とする通信装置。

（付記２）
制御手段は、
学習モードに設定されている間に、パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定するとともに、指定された項目に前記ヘッダ情報内のＩＰアドレスから特定した条件を記述したレコードを前記リストに追加する
付記１に記載の通信装置。

（付記３）
制御手段は、
学習モードに設定されている間に、前記パケット転送手段から新規パケットのヘッダ情報が通知され、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定すると、前記ヘッダ情報内のＩＰアドレスから特定した条件を記述したログを生成し、
学習モードの設定が解除されたときに、前記ログに基づいて、指定された項目に前記ヘッダ情報内のＩＰアドレスから特定した条件を記述したレコードを前記リストに追加する
付記１に記載の通信装置。

（付記４）
制御手段は、
パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、前記ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶し、
条件を学習すべき項目としてドメイン名に対応する項目が指定され、かつ、学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
指定された項目に前記ヘッダ情報内のＩＰアドレスから特定したドメイン名を記述したレコードをリストに追加する
付記１から付記３のうちのいずれかに記載の通信装置。

（付記５）
制御手段は、
条件を学習すべき項目としてプロセス名に対応する項目が指定され、かつ、学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
指定された項目に前記ヘッダ情報内のＩＰアドレスから特定したプロセス名を記述したレコードをリストに追加する
付記１から付記４のうちのいずれかに記載の通信装置。

（付記６）
制御手段は、
条件を学習すべき項目としてプロセスのユーザ名に対応する項目が指定され、かつ、学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
指定された項目に前記ヘッダ情報内のＩＰアドレスから特定したユーザ名を記述したレコードをリストに追加する
付記１から付記５のうちのいずれかに記載の通信装置。

（付記７）
デバイスの接続インタフェースを備える通信装置であって、
前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、
前記接続手段を制御する制御手段とを備え、
前記接続手段は、
前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、
前記制御手段は、
デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、
前記接続手段は、前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、
前記制御手段は、
学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、
指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加する
ことを特徴とする通信装置。

（付記８）
制御手段は、
学習モードに設定されている間に、接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可するとともに、指定された項目に、当該項目に対応する識別情報を記述したレコードを、リストに追加する
付記７に記載の通信装置。

（付記９）
制御手段は、
学習モードに設定されている間に、接続手段からデバイスの識別情報が通知され、前記デバイスと当該通信装置との接続を許可すると、前記識別情報を記述したログを生成し、
学習モードの設定が解除されたときに、前記ログに基づいて、指定された項目に、当該項目に対応する識別情報を記述したレコードを、リストに追加する
付記７に記載の通信装置。

（付記１０）
複数の通信装置と、
前記複数の通信装置を管理する管理サーバとを備え、
個々の通信装置は、
パケットを転送するパケット転送手段と、
パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを含み、
前記パケット転送手段は、
ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
前記制御手段は、
通信を許可する条件を記述可能な複数の項目を含むレコードであって、前記複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持し、前記パケット転送手段から前記ヘッダ情報が通知されたときに、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれかのレコードで記述されている場合、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれのレコードにも記述されていない場合、前記新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、
前記制御手段は、
条件を学習すべき項目としてパケットの送信元のデバイスの識別情報に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
指定された項目に前記新規パケットの送信元のデバイスの識別情報を記述したレコードをリストに追加し、前記レコードを前記管理サーバに送信し、
前記管理サーバは、
前記レコードを受信する受信手段と、
前記レコードを記憶する記憶手段とを含む
ことを特徴とする通信システム。

（付記１１）
管理サーバは、
受信手段が受信したレコードを、当該レコードを送信した通信装置以外の各通信装置の制御手段に配信する配信手段を含む
付記１０に記載の通信システム。

（付記１２）
管理サーバは、
受信手段がレコードを受信した場合、当該レコードを送信した通信装置以外の各通信装置の制御手段に対して、前記レコードに記述されているデバイスの識別情報が記述されているレコードの削除を指示する削除指示手段を含む
付記１０に記載の通信システム。

（付記１３）
複数の通信装置と、
前記複数の通信装置を管理する管理サーバとを備え、
個々の通信装置は、
デバイスの接続インタフェースと、
前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、
前記接続手段を制御する制御手段とを含み、
前記接続手段は、
前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、
前記制御手段は、
デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、
前記接続手段は、
前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、
前記制御手段は、
学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、
指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加し、前記レコードを前記管理サーバに送信し、
前記管理サーバは、
前記レコードを受信する受信手段と、
前記レコードを記憶する記憶手段とを含む
ことを特徴とする通信システム。

（付記１４）
管理サーバは、
受信手段が受信したレコードを、当該レコードを送信した通信装置以外の各通信装置の制御手段に配信する配信手段を含む
付記１３に記載の通信システム。

（付記１５）
管理サーバは、
受信手段がレコードを受信した場合、当該レコードを送信した通信装置以外の各通信装置の制御手段に対して、前記レコードに記述されているデバイスの識別情報が記述されているレコードの削除を指示する削除指示手段を含む
付記１３に記載の通信システム。

（付記１６）
パケットを転送するパケット転送手段と、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを備える通信装置に適用される通信制御方法であって、
前記パケット転送手段が、
ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
前記制御手段が、
通信を許可する条件を記述可能な複数の項目を含むレコードであって、前記複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持し、前記パケット転送手段から前記ヘッダ情報が通知されたときに、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれかのレコードで記述されている場合、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれのレコードにも記述されていない場合、前記新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、
前記制御手段が、
条件を学習すべき項目としてＩＰアドレスから特定可能な条件に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
指定された項目に前記ヘッダ情報内のＩＰアドレスから特定した条件を記述したレコードを前記リストに追加する
ことを特徴とする通信制御方法。

（付記１７）
デバイスの接続インタフェースを備える通信装置であって、前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、前記接続手段を制御する制御手段とを備える通信装置に適用されるデバイス接続制御方法において、
前記接続手段が、
前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、
前記制御手段が、
デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、
前記接続手段が、前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、
前記制御手段が、
学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、
指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加する
ことを特徴とするデバイス接続制御方法。

（付記１８）
複数の通信装置と、前記複数の通信装置を管理する管理サーバとを備え、個々の通信装置が、パケットを転送するパケット転送手段と、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを含む通信システムに適用される通信装置管理方法であって、
前記パケット転送手段が、
ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
前記制御手段が、
通信を許可する条件を記述可能な複数の項目を含むレコードであって、前記複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持し、前記パケット転送手段から前記ヘッダ情報が通知されたときに、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれかのレコードで記述されている場合、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれのレコードにも記述されていない場合、前記新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、
前記制御手段が、
条件を学習すべき項目としてパケットの送信元のデバイスの識別情報に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
指定された項目に前記新規パケットの送信元のデバイスの識別情報を記述したレコードをリストに追加し、前記レコードを前記管理サーバに送信し、
前記管理サーバが、
前記レコードを受信し、前記レコードを記憶する
ことを特徴とする通信装置管理方法。

（付記１９）
複数の通信装置と、前記複数の通信装置を管理する管理サーバとを備え、個々の通信装置が、デバイスの接続インタフェースと、前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、前記接続手段を制御する制御手段とを含む通信システムに適用される通信装置管理方法であって、
前記接続手段が、
前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、
前記制御手段が、
デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、
前記接続手段が、
前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、
前記制御手段が、
学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、
指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加し、前記レコードを前記管理サーバに送信し、
前記管理サーバが、
前記レコードを受信し、前記レコードを記憶する
ことを特徴とする通信装置管理方法。

（付記２０）
パケットを転送するパケット転送手段と、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを備えるコンピュータに搭載される通信プログラムであって、
前記コンピュータに、
前記パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知する通知処理、
前記制御手段が、通信を許可する条件を記述可能な複数の項目を含むレコードであって、前記複数の項目のうち少なくとも一部の項目に条件が記述されたレコードのリストを保持し、前記パケット転送手段から前記ヘッダ情報が通知されたときに、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれかのレコードで記述されている場合、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれる情報、または、前記ヘッダ情報に含まれるＩＰアドレスから特定される情報が、前記リストのいずれのレコードにも記述されていない場合、前記新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定する制御情報設定処理、
前記制御手段が、条件を学習すべき項目としてＩＰアドレスから特定可能な条件に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記パケット転送手段から新規パケットのヘッダ情報が通知されると、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定する学習モード時制御情報設定処理、および、
前記制御手段が、指定された項目に前記ヘッダ情報内のＩＰアドレスから特定した条件を記述したレコードを前記リストに追加するレコード追加処理
を実行させるための通信プログラム。

（付記２１）
デバイスの接続インタフェースを備えるコンピュータであって、前記接続インタフェースに差し込まれたデバイスと当該コンピュータとを接続させる接続手段と、前記接続手段を制御する制御手段とを備えるコンピュータに搭載されるデバイス接続制御プログラムであって、
前記コンピュータに、
前記接続手段が、前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該コンピュータとを接続させ、前記デバイスの識別情報を前記制御手段に通知する通知処理、
前記制御手段が、デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該コンピュータとの接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該コンピュータとの接続を不許可とする接続制御処理、
前記接続手段が、前記デバイスと当該コンピュータとの接続が不許可とされた場合には、前記デバイスと当該コンピュータとの接続を断つ接続切断処理、
前記制御手段が、学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該コンピュータとの接続を許可する学習モード時接続制御処理、および、
前記制御手段が、指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加するレコード追加処理
を実行させるためのデバイス接続制御プログラム。

本発明は、ゲートウェイ等の通信装置に好適に適用可能である。

１０ ゲートウェイ（通信装置）
１１ 制御部
１２ スイッチ部
１７ 接続部
２０ 管理サーバ
２１ 受信部
２２ 記憶部
２３ 配信部
２４ 削除指示部
６３ ＵＳＢインタフェース
６４ ＢＬＥインタフェース

Claims (2)

1. 複数の通信装置と、
   前記複数の通信装置を管理する管理サーバとを備え、
   個々の通信装置は、
   デバイスの接続インタフェースと、
   前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、
   前記接続手段を制御する制御手段とを含み、
   前記接続手段は、
   前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、
   前記制御手段は、
   デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、
   前記接続手段は、
   前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、
   前記制御手段は、
   学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、
   指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加し、前記レコードを前記管理サーバに送信し、
   前記管理サーバは、
   前記レコードを受信する受信手段と、
   前記レコードを記憶する記憶手段とを含み、
   前記管理サーバは、
   前記受信手段が前記レコードを受信した場合、当該レコードを送信した通信装置以外の各通信装置の制御手段に対して、前記レコードに記述されているデバイスの識別情報が記述されているレコードの削除を指示する削除指示手段を含む
   ことを特徴とする通信システム。
2. 複数の通信装置と、前記複数の通信装置を管理する管理サーバとを備え、個々の通信装置が、デバイスの接続インタフェースと、前記接続インタフェースに差し込まれたデバイスと当該通信装置とを接続させる接続手段と、前記接続手段を制御する制御手段とを含む通信システムに適用される通信装置管理方法であって、
   前記接続手段が、
   前記接続インタフェースにデバイスが差し込まれると、前記デバイスと当該通信装置とを接続させ、前記デバイスの識別情報を前記制御手段に通知し、
   前記制御手段が、
   デバイスの識別情報を記述可能な１以上の項目を含むレコードであって、少なくとも１つの項目にデバイスの識別情報が記述されたレコードのリストを保持し、前記接続手段からデバイスの識別情報が通知されたときに、前記識別情報が前記リストのいずれかのレコードで記述されている場合、前記デバイスと当該通信装置との接続を許可し、前記識別情報が前記リストのいずれのレコードにも記述されていない場合、前記デバイスと当該通信装置との接続を不許可とし、
   前記接続手段が、
   前記デバイスと当該通信装置との接続が不許可とされた場合には、前記デバイスと当該通信装置との接続を断ち、
   前記制御手段が、
   学習すべき識別情報の種類に対応する項目が指定され、かつ、新たなレコードを学習する学習モードに設定された場合、前記接続手段からデバイスの識別情報が通知されると、前記デバイスと当該通信装置との接続を許可し、
   指定された項目に、当該項目に対応する識別情報を記述したレコードを、前記リストに追加し、前記レコードを前記管理サーバに送信し、
   前記管理サーバが、
   前記レコードを受信し、前記レコードを記憶し、
   前記レコードを受信した場合、当該レコードを送信した通信装置以外の各通信装置の制御手段に対して、前記レコードに記述されているデバイスの識別情報が記述されているレコードの削除を指示する
   ことを特徴とする通信装置管理方法。

Images