JP7477939B2 - スイッチング装置 - Google Patents

Description

本開示は、スイッチング装置に関し、より特定的には、スイッチング装置におけるフィルタリング技術に関する。

船舶、プラントまたは工場等の閉じたループネットワークを構成するＬＡＮ（Local Area Network）システム等において、ＭＡＣ（Media Access Control）を用いたフィルタリングによる支線ＬＡＮからのサイバー攻撃対策、および、イーサネット（登録商標）上を流れるパケットのヘッダ情報を用いたフィルタリングによる支線ＬＡＮからのサイバー攻撃対策（不正アクセス防止）が考案されている。

セキュリティ技術に関し、例えば、特開平１０－２７１１５４号公報（特許文献１）は、不正アクセス防止システムを開示している。それは、「ゲートウェイのＩＰヘッダチェック部は、ＩＰヘッダに含まれるＴＴＬ（Time To Live：ネットワーク内存続時間）情報およびＩＰアドレス情報に基づいて、不正でない通信パケットのみを通過させる。ＩＰヘッダチェック部のＴＴＬフィルタリング部は、ＩＰヘッダ中に妥当性のあるＴＴＬ情報を有する通信パケットのみを通過させる。妥当性チェック部は、パケット通過時のＴＴＬの値が、予めグループ内で取り決めた初期値から（初期値－最大通過ゲートウェイ数）までの範囲内であることを条件として妥当性をチェックする。フィルタリング処理部はＴＴＬ情報が所定の条件を満足していない通信パケットをパケット廃棄処理部に与える」というものである（［要約］参照）。

また、セキュリティ技術に関する他の技術が、例えば、特開２００４－２８９２５７号公報（特許文献２）に開示されている。

特開平１０－２７１１５４号公報 特開２００４－２８９２５７号公報

ＭＡＣアドレスは第３者に盗み見られる可能性があり、また、イーサネット上を流れるパケットのヘッダ情報は規格化されたものである。そのため、特許文献１および２に開示された技術では、悪意ある第三者からフィルタリングの条件を推測してサイバー攻撃を受けた場合、当該サイバー攻撃を防ぐことが出来ない可能性があった。

本開示は、上記のような背景に鑑みてなされたものであって、ある局面における目的は、ＭＡＣアドレスおよびパケットのヘッダ情報等を用いないフィルタリングにより、サイバー攻撃を防ぐ技術を提供することにある。

ある実施の形態に従うと、スイッチング装置が提供される。スイッチング装置は、パケットをフィルタリングするためのフィルタリング回路と、パケットを転送するための転送部とを備える。フィルタリング回路は、パケットをパケットに含まれるデータ部の構造に基づいてフィルタリングし、データ部の構造が予め定められたフォーマットに準拠する場合、転送部にパケットを出力し、データ部の構造が予め定められたフォーマットに準拠しない場合、パケットを破棄する。

ある実施の形態に従うと、ＭＡＣアドレスおよびパケットのヘッダ情報等を用いないフィルタリングにより、サイバー攻撃を防ぐことが可能である。

この開示内容の上記および他の目的、特徴、局面および利点は、添付の図面と関連して理解される本開示に関する次の詳細な説明から明らかとなるであろう。

ある実施の形態に従うスイッチング装置１００からなるネットワークシステム１０の一例を示す図である。 スイッチング装置１００のハードウェア構成の一例を示す図である。 スイッチング装置１００によりフィルタリングおよび転送されるパケット３００の構成の一例を示す図である。 予め定められたフォーマット４００の一例を示す図である。 スイッチング装置１００の内部処理の手順の一例を示すフローチャートである。

以下、図面を参照しつつ、本開示に係る技術思想の実施の形態について説明する。以下の説明では、同一の部品には同一の符号を付してある。それらの名称および機能も同じである。したがって、それらについての詳細な説明は繰り返さない。

＜Ａ．システム＞
図１は、本実施の形態に従うスイッチング装置１００からなるネットワークシステム１０の一例を示す図である。ある局面において、ネットワークシステム１０は、船舶のネットワークシステムであってもよい。他の局面において、ネットワークシステム１０は、プラントのネットワークシステムであってもよい。また、他の局面において、ネットワークシステム１０は、工場のネットワークシステムであってもよい。さらに、他の局面において、ネットワークシステム１０は、研究所またはオフィス等のその他の任意の閉じた環境におけるネットワークシステムであってもよい。

（ａ．システムの構成）
ネットワークシステム１０は、幹線ＬＡＮ２０と、支線ＬＡＮ２５とを備える。幹線ＬＡＮ２０は、一例として、スイッチング装置１００によって形成されたリングネットワークである。支線ＬＡＮ２５は、スイッチング装置１００および端末１５０によって形成された周辺ネットワークである。

ある局面において、ネットワークシステム１０は、スイッチング装置１００および端末１５０以外の任意の装置を備えていてもよい。例えば、ネットワークシステム１０は、イーサネットケーブル、無線ＬＡＮ装置、スイッチング装置１００以外の任意のネットワーク機器等を含み得る。

図１に示される構成は一例であり、ネットワークシステム１０の構成例はこれに限られない。ある局面において、ネットワークシステム１０は、管理者がネットワーク構造を把握可能な閉じた環境であれば、メッシュ型、スター型等の任意のネットワーク構造であってもよい。

スイッチング装置１００は、幹線ＬＡＮ２０を形成するパケットの転送装置である。スイッチング装置１００は、支線ＬＡＮ２５から幹線ＬＡＮ２０に、または幹線ＬＡＮ２０から支線ＬＡＮ２５に、必要に応じてパケットを転送する機能を備える。パケットは、送信元アドレスおよび送信先アドレス等を含むヘッダ部と、送信されるデータ本体を含むデータ部とからなる。複数のスイッチング装置１００の各々は、イーサネットケーブル等により、互いに接続されてリングネットワークを形成し得る。当該リングネットワークが、幹線ＬＡＮ２０として機能する。スイッチング装置１００は、例えばレイヤ２のスイッチングハブである。ある局面において、スイッチング装置１００は、レイヤ３以上のルータまたはその他の任意の中継装置であってもよい。

また、スイッチング装置１００は、支線ＬＡＮ２５を介して１以上の端末１５０とパケットを送受信し得る。一例として、スイッチング装置１００は、支線ＬＡＮ２５を介して１以上の端末１５０からパケットを受信し、当該パケットを他のスイッチング装置１００に転送し得る。さらに、スイッチング装置１００は、支線ＬＡＮ２５からの不正アクセスまたはサイバー攻撃を防ぐために、受信したパケットに含まれるデータ部の構造に基づいて、当該受信したパケットをフィルタリングする機能を備える。詳細については後述する。

端末１５０は、支線ＬＡＮ２５を介して、スイッチング装置１００とパケットを送受信する。一例として、端末１５０は、ＰＬＣ（Programmable Logic Controller）であってもよい。他の局面において、端末１５０は、パーソナルコンピュータ、タブレット、スマートフォン等の任意の情報処理装置であってもよい。船舶または工場等において、１以上の端末１５０は、一般的に、各スイッチング装置１００と固定的に接続されている。また、１以上の端末１５０の各々は、多くの場合、スイッチング装置１００に送信するパケットに毎回同じ構造のデータを含める。ある局面において、１以上の端末１５０の各々は、自装置に接続されたセンサの情報、アクチュエータの情報、その他の任意の情報等をパケットに含め得る。例えば、船舶内の環境情報を取得するための第１のセンサ（アナログセンサ）、第２のセンサ（アナログセンサ）および第３のセンサ（接点出力センサ）を接続された端末１５０は、第１のセンサから取得した第１のアナログデータと、第２のセンサから取得した第２のアナログデータと、第３のセンサから取得した接点状態情報データとをパケットに毎回含め得る。すなわち、船舶または工場等の閉じた環境において、１以上の端末１５０の各々がスイッチング装置１００に送信するパケットのデータ構造は、毎回同じになることが多い。データ構造は、例えば、パケットに含まれる項目の数、各項目のデータ形式、パケットに含まれる項目の順序等の全てまたは一部を含み得る。

（ｂ．スイッチング装置の動作概要）
ある端末１５０が正常なパケットをスイッチング装置１００に送信した場合（不正なパケットが検出されない場合）のネットワークシステム１０の動作と、ある端末１５０が不正なパケットをスイッチング装置１００に送信した場合（不正なパケットが検出される場合）のネットワークシステム１０の動作とについて説明する。

ある端末１５０には、第１のセンサ（アナログセンサ）、第２のセンサ（アナログセンサ）および第３のセンサ（接点出力センサ）が接続されているとする。また、ある端末１５０は、第１のセンサから取得した第１のアナログデータ（２バイト）と、第２のセンサから取得した第２のアナログデータ（２バイト）と、第３のセンサから取得した接点状態情報データ（８バイト）とを第１のアナログデータ、第２のアナログデータ、接点状態情報データの順番で毎回パケット内のデータ部に含めるものとする。

この場合、第１のステップにおいて、ある端末１５０は、第１のセンサ、第２のセンサおよび第３のセンサの各々から、第１のアナログデータ、第２のアナログデータ、および接点状態情報データを取得する。

第２のステップにおいて、ある端末１５０は、第１のアナログデータを第１の数値データに変換し、第２のアナログデータを第２の数値データに変換し、および接点状態情報データをビットデータに変換し、後述のあらかじめ定められた所定のフォーマット４００に従って第１の数値データ、第２の数値データおよびビットデータをパケット内のデータ部に含める。ある局面において、データ部は、チェックビット等をさらに含んでいてもよい。

第３のステップにおいて、ある端末１５０は、支線ＬＡＮ２５を介して、パケットをスイッチング装置１００に送信する。より具体的には、端末１５０は、パケットをフレームに分解し、各フレームを順次スイッチング装置１００に送信する。

第４のステップにおいて、スイッチング装置１００は、パケットを受信する。より具体的には、スイッチング装置１００は、順次フレームを受信し、受信したフレームをバッファ（図示しない）に一時的に保存する。バッファは、支線物理層処理部２１０（図２参照）またはフィルタリング回路２３０（図２参照）のいずれかに含まれていてもよいし、これらとは独立した構成であってもよい。

第５のステップにおいて、スイッチング装置１００は、バッファに格納された複数のフレームから、パケットを復元する。

第６のステップにおいて、スイッチング装置１００は、復元されたパケットに含まれるデータ部の構造が、予め定められたフォーマット４００（図４参照）に準拠しているか否かを判定する。通常、スイッチング装置１００が備える複数の通信ポートの各々は、閉じた環境において、予め定められた端末１５０の各々と通信する。予め定められたフォーマット４００は、パケットに含まれるデータ部の構造を定義したものであり、例えば、データ部に含まれる項目の数、各項目のデータ形式（数値データまたはビットデータ等の種類、ビット数またはバイト数等）、各項目の順番、データ部全体のサイズ、データ部のエンドコード、チェックビットの有無等のデータ部に関する任意の情報の一部または全てを含み得る。

そこで、スイッチング装置１００は、例えば、送信元の情報（端末１５０のＩＰ（Internet Protocol）アドレスおよびＭＡＣアドレス等）に紐付けられたデータ形式を、複数の端末１５０の各々が送信するパケットに含まれるデータ部のフォーマットとして使用し得る。すなわち、予め定められたフォーマット４００は、複数の端末１５０の各々のフォーマットを含み得る。例えば、予め定められたフォーマット４００は、端末１５０（Ａ）のフォーマットと、端末１５０（Ｂ）のフォーマットと、端末１５０（Ｃ）のフォーマットとを含み得る。

ある局面において、スイッチング装置１００は、例えば、送信元の情報（端末１５０のＩＰアドレスおよびＭＡＣアドレス等）と、送信先の情報（スイッチング装置１００のＩＰアドレスおよびＭＡＣアドレス等）との組み合わせに紐付けられたデータ形式を、複数の端末１５０の各々が送信するパケットに含まれるデータ部のフォーマットとして使用してもよい。

より具体的には、スイッチング装置１００は、これらのフォーマットに基づいてフィルタリング処理を実行するためのプログラマブルロジック回路を備え得る。プログラマブルロジック回路は、例えば、ＦＰＧＡ（Field Programmable Gate Array）等である。スイッチング装置１００は、例えば、外部からの操作に基づいて、プログラマブルロジック回路を修正可能に構成され得る。プログラマブルロジック回路は、上記の予め定められたフォーマット４００に基づいてフィルタリングを行うハードウェアとして動作するため、通常のパケットの転送処理に影響を与えることなく高速にフィルタリング処理を実行し得る。

スイッチング装置１００は、復元されたパケットに含まれるデータ部の構造が予め定められたフォーマット４００に準拠していると判定した場合、復元されたパケットを他のスイッチング装置１００に転送し得る。復元されたパケットに含まれるデータ部の構造が予め定められたフォーマット４００に準拠しているとは、パケットに含まれるデータ部の構造が、送信元の端末１５０のフォーマットに準拠していることを意味する。例えば、端末１５０（Ａ）が送信したパケットに含まれるデータ部の構造は、端末１５０（Ａ）のフォーマットに準拠する必要がある。

スイッチング装置１００は、復元されたパケットに含まれるデータ部の構造が予め定められたフォーマット４００に準拠していない判定した場合、復元されたパケットを破棄する。

ある局面において、スイッチング装置１００は、同一の送信元から、不正パケットを予め定められた回数以上受信したことに基づいて、当該送信元の端末１５０との通信を遮断し得る。また、スイッチング装置１００は、監視装置等に、不正パケットおよび不正パケットを送信した端末１５０の情報を含むアラームを通知し得る。

他の局面において、スイッチング装置１００は、パケットに含まれるデータ部の一部の構造に基づいて、パケットをフィルタリングしてもよい。例えば、データ部が第１のデータ部と第２のデータ部とを含むとする。この場合、スイッチング装置１００（Ａ）が、第１のデータ部の構造に基づいてパケットをフィルタリングし、スイッチング装置１００（Ｂ）が、第２のデータ部の構造に基づいてパケットをフィルタリングしてもよい。こうすることで、各スイッチング装置１００のフィルタリング処理の負荷は軽減され、ネットワークシステム１０全体でセキュリティを担保し得る。

上記のように、スイッチング装置１００は、支線ＬＡＮ２５から幹線ＬＡＮ２０にパケットを転送する際に、予め定められたフォーマット４００（データ部のフォーマット）を用いてパケットのデータ部の構造に基づいて、パケットをフィルタリングする。その結果、スイッチング装置１００は、安全と認識したパケットのみを転送し、その他のパケットは廃棄することで、サイバー攻撃（不正パケットの送信）を未然に防ぎ得る。

また、スイッチング装置１００は、予め定められたフォーマット４００に基づいてフィルタリング処理を実行するプログラマブルロジック回路を備える。これにより、スイッチング装置１００は、ＣＰＵ（Central Processing Unit）およびその他のスイッチング回路に過度な負荷をかけず、また伝送遅延を最小限に抑えた状態で、サイバーセキュリティ対策を実現し得る。

また、予め定められたフォーマット４００は、複数の端末１５０の各々が送信するパケットに含まれるデータ部の構造（データ形式（ビット情報入力、数値入力、ビット情報出力、数値出力、積算値、警報設定値等）、データ数）であり、ＭＡＣアドレス等と比較して、第三者に情報が漏れる可能性が低い。さらに、スイッチング装置１００は、予め定められたフォーマットに準拠した構造のデータ部を含むパケットのみを転送することで、予め想定されたデータ通信以外の目的でのパケット送信を抑制し、高い安全性を担保し得る。

さらに、スイッチング装置１００は、不正パケットを予め定められた回数以上受信した場合に、不正パケットを送信する端末１５０との通信を遮断し、さらに管理装置等にアラームを通知することで、不正パケットの原因究明を容易にし得る。

＜Ｂ．スイッチング装置のハードウェア構成＞
図２は、スイッチング装置１００のハードウェア構成の一例を示す図である。図２を参照してスイッチング装置１００のハードウェア構成例および各構成の役割について説明する。ある局面において、スイッチング装置１００は、図２に示されるハードウェア以外の任意のハードウェアをさらに備えていてもよい。

スイッチング装置１００は、主なハードウェア構成として、支線物理層処理部２１０と、ＣＰＵ２２０と、フィルタリング回路２３０と、スイッチング処理部２４０とを備える。また、フィルタリング回路２３０は、フレーム処理回路２３１と、ＣＰＵ２３２とを含む。

支線物理層処理部２１０は、支線ＬＡＮ２５において、端末１５０およびスイッチング装置１００間のフレームを送受信する。支線物理層処理部２１０は、複数の通信ポートを備え得る。複数の通信ポートの各々は、イーサネットケーブル等により、端末１５０と接続される。ある局面において、複数の通信ポートの各々は、他の中継装置等を介して端末１５０と接続されてもよい。

支線物理層処理部２１０は、端末１５０とパケットを送受信する。パケットは、フレームという単位に分割されて送受信される。支線物理層処理部２１０は、フレームを受信すると、一旦、支線物理層処理部２１０内のバッファ（図示せず）にフレームを格納する。次に、支線物理層処理部２１０は、フィルタリング回路２３０にフレームを出力する。フィルタリング回路２３０に出力されたフレームは、フィルタリング回路２３０内のメモリ（バッファであってもよい）（図示せず）に格納される。ある局面において、次に支線物理層処理部２１０は、バッファ内の複数のフレームからパケットを復元し、当該パケットをフィルタリング回路２３０に出力してもよい。

ＣＰＵ２２０は、スイッチング装置１００全体を制御する。ＣＰＵ２２０は、スイッチング装置１００内のＲＡＭ（図示せず）上に展開されたプログラムに基づいてパケットの転送処理のための指令または設定を支線物理層処理部２１０、フィルタリング回路２３０、および、スイッチング処理部２４０に出力し得る。ある局面において、支線物理層処理部２１０、フィルタリング回路２３０、および、スイッチング処理部２４０の一部または全ては、ＣＰＵ２２０からの指令または設定を受信せずに独立して動作してもよい。

フィルタリング回路２３０は、支線物理層処理部２１０から受信したパケットのフィルタリング処理およびフィルタリングに関連する処理を実行する。フレーム処理回路２３１は、主にパケットのフィルタリング処理を実行する。ＣＰＵ２３２は、フレーム処理回路２３１のフィルタリング設定、フィルタリング結果に基づく処理（パケットの転送、パケットの破棄、不正パケットのアラームの通知等）、フレームの復元等を実行する。

ＣＰＵ２３２は、支線物理層処理部２１０から取得した複数のフレームの各々からパケットを復元する。ある局面において、支線物理層処理部２１０がパケット復元処理機能を備える場合、ＣＰＵ２３２は、パケットを復元する代わりに、支線物理層処理部２１０からパケットを取得してもよい。ＣＰＵ２３２は、復元したパケットをフレーム処理回路２３１に出力する。ある局面において、フレーム処理回路２３１がパケット復元処理機能を備えていてもよい。

また、ＣＰＵ２３２は、フレーム処理回路２３１にフィルタリング設定を行う。より具体的には、フレーム処理回路２３１は、ＦＰＧＡ等のプログラマブルロジック回路により実現され得る。ＣＰＵ２３２は、プログラムをプログラマブルロジック回路に書き込むことでフレーム処理回路２３１を実現し、さらに、フレーム処理回路２３１のフィルタリング設定を変更し得る。ある局面において、ＣＰＵ２３２は、スイッチング装置１００のシリアルポートまたはＵＳＢ（Universal Serial Bus）ポート等を介して、外部装置からプログラムを受信してもよい。他の局面において、ＣＰＵ２３２は、支線ＬＡＮ２５に接続された外部装置からプログラムを受信してもよい。他の局面において、ＣＰＵ２３２は、パケットのフィルタリングの結果に基づいて、パケットの転送、パケットの破棄、不正パケットのアラームの通知等を実行し得る。

フレーム処理回路２３１は、複数のフレームの各々から復元されたパケットをフィルタリングする。より具体的には、フレーム処理回路２３１は、復元されたパケットに含まれるデータ部の構造が、予め定められたフォーマット４００に準拠しているか否かを判定する。予め定められたフォーマット４００は、送信元の各端末１５０のフォーマット（以降、単に「各端末１５０のフォーマット」と呼ぶこともある）を含む。また、各端末１５０のフォーマットは、各端末１５０が送信するパケットのデータ部に含まれる項目の数、各項目のデータ形式（フォーマット：バイト数、数値データ、ビットデータ、テキストデータ等）、各項目の順序（項目１、項目２、項目３の順番でデータ部に格納されている等）等の情報を含み得る。

一例として、フレーム処理回路２３１は、端末１５０（Ａ）からパケットを受信した場合、予め定められたフォーマット４００内の端末１５０（Ａ）のフォーマットを参照する。フレーム処理回路２３１は、端末１５０（Ａ）から受信したパケットが、端末１５０（Ａ）のフォーマットに準拠するか否かを判定する。フレーム処理回路２３１は、端末１５０（Ａ）から受信したパケットが、端末１５０（Ａ）のフォーマットに準拠すると判定した場合、パケットをスイッチング処理部２４０に出力する。そうでない場合、フレーム処理回路２３１は、パケットを破棄する。ある局面において、ＣＰＵ２３２がパケットの転送および破棄を実行してもよい。

ある局面において、ＣＰＵ２３２は、各端末１５０から受信したパケットが何回破棄されたかをカウントしてもよい。この場合、ＣＰＵ２３２は、予め定められた回数以上、同一の端末１５０から不正パケットを受信したことを検出した場合（同一の端末１５０からのパケットを破棄したことを検出した場合）、不正パケットの送信元の端末１５０との通信を遮断し得る。そして、ＣＰＵ２３２は、監視装置等に、不正パケットの送信元の端末１５０の情報および不正パケットの情報を含むアラームを通知し得る。

スイッチング処理部２４０（転送部）は、受信したパケットの宛先に応じて、当該パケットを他のスイッチング装置１００、または、支線物理層処理部２１０の各ポートのいずれかに転送する。通信の方向は、端末１５０から、支線ＬＡＮ２５およびスイッチング装置１００を介して、幹線ＬＡＮ２０に向かう第１の方向を含む。また、通信の方向は、幹線ＬＡＮ２０から、スイッチング装置１００および支線ＬＡＮ２５を介して端末１５０に向かう第２の方向を含む。スイッチング装置１００は、フィルタリング回路２３０を備えることにより、例えば、第１の方向の通信において、端末１５０から幹線ＬＡＮ２０への不正パケットの流入を防止し得る。

＜Ｃ．フィルタリングに使用するフォーマット＞
次に、図３および図４を参照して、スイッチング装置１００がフィルタリングするパケットの構成および予め定められたフォーマット４００について説明する。以降の説明では、パケットは、イーサネット上を流れるパケットであることを前提に説明するが、本開示の技術によりフィルタリング（フィルタリング）できるパケットはイーサネット上を流れるパケットに限られない。本開示の技術は、データ部（ヘッダ以外の送信されるデータ本体）を含む任意のフォーマットのパケットに適用可能である。

図３は、スイッチング装置１００によりフィルタリングおよび転送されるパケット３００の構成の一例を示す図である。図３を参照して、スイッチング装置１００によりフィルタリングおよび転送されるパケット３００の構成について説明する。

パケット３００は、ヘッダ３１０と、データ部３２０とを含む。ヘッダ３１０は、送信元のＩＰアドレスおよびＭＡＣアドレスと、送信先のＩＰアドレスおよびＭＡＣアドレスとを含み得る。一例として、パケット３００が端末１５０（Ａ）からスイッチング装置１００に送信されたとする。この場合、フィルタリング回路２３０は、送信元のＩＰアドレスおよびＭＡＣアドレスのいずれかまたは両方に基づいて、送信元が端末１５０（Ａ）であることを識別し得る。端末１５０（Ａ）からのパケットはフレーム処理回路２３１に入力される。フレーム処理回路２３１は、パケットが端末１５０（Ａ）のフォーマットに準拠するか否かを判定する。

データ部３２０は、フォーマット番号３２１と、数値・ビットデータ部３２２とを含む。ある局面において、データ部３２０は、２以上の数値・ビットデータ部３２２を含んでいてもよい。

フォーマット番号３２１は、予め定められたフォーマット４００内のいずれのフォーマットに準拠するかを示す。フィルタリング回路２３０は、データ部３２０に含まれるフォーマット番号３２１を参照することで、予め定められたフォーマット４００からフィルタリングに使用するフォーマットを選択し得る。ある局面において、フィルタリング回路２３０は、フォーマット番号３２１を参照せずに、数値・ビットデータ部３２２の構造と、予め定められたフォーマット４００内の各フォーマットとを直接比較してもよい。また、他の局面において、予め定められたフォーマット４００内の各フォーマットは、複数の端末１５０に紐付けられていてもよい。例えば、フォーマット（Ａ）は、端末１５０（Ａ）、端末１５０（Ｂ）、または端末１５０（Ｃ）に紐付けられていてもよい。

数値・ビットデータ部３２２は、送信されるデータの本体である。例えば、端末１５０は、端末１５０に接続された各種センサの値、端末１５０が制御する機器の状態情報等を数値・ビットデータ部３２２に含め得る。数値・ビットデータ部３２２は、数値データ、ビットデータ、テキストデータ等の任意のフォーマットのデータを含み得る。また、数値・ビットデータ部３２２は、チェックビット等を含んでいてもよい。

図４は、予め定められたフォーマット４００の一例を示す図である。図４を参照して、予め定められたフォーマット４００について説明する。フレーム処理回路２３１は、プログラマブルロジック回路にプログラムを書き込むことで、予め定められたフォーマット４００に基づいてパケットをフィルタリングするように構成される。予め定められたフォーマット４００は、送信元のＭＡＣアドレス４０１と、送信元のＩＰアドレス４０２と、送信先のＭＡＣアドレス４０３と、送信先のＩＰアドレス４０４と、データ長４０５と、フォーマット番号４０６と、数値・ビットデータ部４０７と、エンドコード４０８とを含む。

送信元のＭＡＣアドレス４０１は、ＯＳＩ（Open Systems Interconnection）参照モデルにおけるデータリンク層において、または、ＴＣＰ（Transmission Control Protocol）／ＩＰのネットワークインターフェイス層において送信元の装置を特定するために使用される。一例として、フィルタリング回路２３０は、受信したパケットの送信元のＭＡＣアドレス４０１を参照することにより、送信元の端末１５０を判別し得る。この場合、フィルタリング回路２３０は、受信したパケットの送信元のＭＡＣアドレス４０１に紐付けられたデータ長４０５と、データ形式（フォーマット番号４０６、数値・ビットデータ部４０７、エンドコード４０８）とを取得する。

送信元のＩＰアドレス４０２は、ＯＳＩ参照モデルにおけるネットワーク層において、または、ＴＣＰ／ＩＰのインターネット層において送信元の装置を特定するために使用される。一例として、フィルタリング回路２３０は、受信したパケットの送信元のＩＰアドレス４０２を参照することにより、送信元の端末１５０を判別し得る。この場合、フィルタリング回路２３０は、受信したパケットの送信元のＩＰアドレス４０２に紐付けられたデータ長４０５と、データ形式とを取得する。

ある局面において、フィルタリング回路２３０は、送信元のＭＡＣアドレス４０１、および送信元のＩＰアドレス４０２の両方を参照することにより、送信元の端末１５０を判別してもよい。この場合、フィルタリング回路２３０は、受信したパケットの送信元のＭＡＣアドレス４０１および送信元のＩＰアドレス４０２の組み合わせに紐付けられたデータ長４０５と、データ形式とを取得する。

送信先のＭＡＣアドレス４０３は、ＯＳＩ参照モデルにおけるデータリンク層において、または、ＴＣＰ（Transmission Control Protocol）／ＩＰのネットワークインターフェイス層において送信先の装置を特定するために使用される。スイッチング装置１００は、例えば、レイヤ２スイッチングハブであり、パケットの送信先のＭＡＣアドレスを参照することで、送信先の装置を特定し得る。

送信先のＩＰアドレス４０４は、ＯＳＩ参照モデルにおけるネットワーク層において、または、ＴＣＰ／ＩＰのインターネット層において送信先の装置を特定するために使用される。ある局面において、フィルタリング回路２３０は、送信元のＭＡＣアドレス４０１、送信元のＩＰアドレス４０２、送信先のＭＡＣアドレス４０３および送信先のＩＰアドレス４０４の全てまたは一部の組み合わせに紐付けられたデータ長４０５、データ形式とを取得してもよい。

データ長４０５は、データ部３２０のサイズ（ビット数またはバイト数）を示す。図３に示される例において、データ長は、フォーマット番号３２１および数値・ビットデータ部３２２の合計サイズである。ある局面において、データ長は、データ部３２０に含まれるチェックビット等の任意の項目を含むサイズであってもよい。なお、データ部３２０は暗号化されていてもよい。

フォーマット番号４０６は、データ形式（フォーマット）の種類を識別する。図４に示される例では、フォーマット番号４０６「１１０１」は、数値（６バイト）、数値（６バイト）およびビット（２バイト）を含む数値・ビットデータ部３２２またはデータ部３２０のデータ形式を示す。

数値・ビットデータ部４０７は、実際に転送されるデータ本体である。例えば、端末１５０がセンサ情報をパケット３００に格納する場合、センサ情報は数値・ビットデータ部３２２に格納される。数値・ビットデータ部４０７は、データ本体の各項目（または項目数）および各項目のフォーマットを含む。

エンドコード４０８は、データの終わりを示すコードである。
上記の実施の形態では、予め定められたフォーマット４００が送信元の各端末１５０のフォーマットを含む構成が説明されたが、他の局面において、フォーマット４００は、送信元の機器（端末１５０またはスイッチング装置１００）および送信先の機器の組み合わせのフォーマットを含んでいてもよい。この場合、フィルタリング回路２３０は、送信元の機器および送信先の機器の組み合わせに紐付けられたフォーマットに基づいて、パケットをフィルタリングし得る。すなわち、スイッチング装置１００は、送信元の機器ごとだけでなく、パケットの通信経路（送信元の機器および送信先の機器の組み合わせ）に紐付けられたフォーマットに基づいて、パケットをフィルタリングし得る。フィルタリング回路２３０は、送信元のＭＡＣアドレス４０１および送信先のＭＡＣアドレス４０３により、パケットの通信経路を判別し得る。または、フィルタリング回路２３０は、送信元のＭＡＣアドレス４０１、送信元のＩＰアドレス４０２、送信先のＭＡＣアドレス４０３および送信先のＩＰアドレス４０４により、パケットの通信経路を判別してもよい。

また、他の局面において、各スイッチング装置１００は、数値・ビットデータ部３２２の一部の構造に基づいて、パケットをフィルタリングしてもよい。例えば、スイッチング装置１００（Ａ）は、数値・ビットデータ部３２２の１番目の項目を検査し、スイッチング装置１００（Ｂ）は、数値・ビットデータ部３２２の２番目の項目を検査し、スイッチング装置１００（Ｃ）は、数値・ビットデータ部３２２の３番目の項目を検査してもよい。こうすることで、各スイッチング装置１００の負荷を分散し、ネットワークシステム１０全体として幹線ＬＡＮ２０への不正パケットの流入を防止し得る。

さらに、他の局面において、複数のスイッチング装置１００の各々は、個別の予め定められたフォーマット４００に基づいて、パケット３００をフィルタリングしてもよい。例えば、スイッチング装置１００（Ａ）は、スイッチング装置１００（Ａ）に接続される複数の端末１５０の各々のフォーマットを含むスイッチング装置１００（Ａ）用の予め定められたフォーマット４００（Ａ）に基づいて、パケット３００をフィルタリングする。また、スイッチング装置１００（Ｂ）は、スイッチング装置１００（Ｂ）に接続される複数の端末１５０の各々のフォーマットを含むスイッチング装置１００（Ｂ）用の予め定められたフォーマット４００（Ｂ）に基づいて、パケット３００をフィルタリングする。なお、スイッチング装置１００（Ａ）用のフォーマット４００（Ａ）および、スイッチング装置１００（Ｂ）用のフォーマット４００（Ｂ）は、送信元の機器に紐付くフォーマット、または、送信元の機器および送信先の機器の組み合わせ（通信経路）に紐付くフォーマットのいずれを含んでいてもよい。

＜Ｄ．フローチャート＞
次に、図５を参照して、スイッチング装置１００の内部処理の手順について説明する。図５は、スイッチング装置１００の内部処理の手順の一例を示すフローチャートである。図５に示される各処理は、図２に示される各構成が協業することにより実現される。ある局面において、ＣＰＵ２２０が全体を管理し他の構成に対して各ステップの少なくとも一部を実行するための指令を出力してもよい。なお、他の局面において、フィルタリング回路２３０は、ＣＰＵ２２０のリソースを使用することなく、独立してフィルタリング処理を実行し得る。また、さらに他の局面において、図５の各ステップの処理の順番は必要に応じて任意に入れ替えてもよい。

ステップＳ５０５において、支線物理層処理部２１０は、支線ＬＡＮ２５を介していずれかの端末１５０からパケットを受信し、当該パケットを支線物理層処理部２１０のバッファに蓄積する。ある局面において、バッファは、フィルタリング回路２３０内に設けられていてもよい。他の局面において、バッファは、支線物理層処理部２１０およびフィルタリング回路２３０のいずれからも独立してスイッチング装置１００内に設けられていてもよい。

ステップＳ５１０において、支線物理層処理部２１０は、フレームをフィルタリング回路２３０内のメモリ（バッファであってもよい）にコピーする。ある局面において、ＣＰＵ２３２が定期的に支線物理層処理部２１０のバッファを参照してフレームを読み出し、読み出したフレームをフィルタリング回路２３０内のメモリにコピーしてもよい。他の局面において、フィルタリング回路２３０内のメモリは、ＦＰＧＡにより実現されてもよい。

ステップＳ５１５において、ＣＰＵ２３２は、パケットの復元に必要なフレームがそろったか否かを判定する。ＣＰＵ２３２は、パケットの復元に必要なフレームがそろったと判定した場合（ステップＳ５１５にてＹＥＳ）、制御をステップＳ５２０に移す。そうでない場合（ステップＳ５１５にてＮＯ）、ＣＰＵ２３２は、制御をステップＳ５０５に移す。

ステップＳ５２０において、ＣＰＵ２３２は、パケットの復元が必要か否かを判定する。例えば、パケットが複数のフレームに分割されていない場合には、パケットの復元は不要となる。ＣＰＵ２３２は、パケットの復元が必要であると判定した場合（ステップＳ５２０にてＹＥＳ）、制御をステップＳ５２５に移す。そうでない場合（ステップＳ５２０にてＮＯ）、ＣＰＵ２３２は、制御をステップＳ５３０に移す。

ステップＳ５２５において、ＣＰＵ２３２は、フィルタリング回路２３０のメモリにコピーされた複数のフレームからパケットを復元する。ＣＰＵ２３２は、復元したパケットをフレーム処理回路２３１に出力する。

ステップＳ５３０において、フレーム処理回路２３１は、入力されたパケットのフィルタリング判定を行い、入力されたパケットが正常パケットであるか否かを判定する。なお、フレーム処理回路２３１は、データ部３２０が暗号化されている場合、データ部３２０の復号を行う。より具体的には、フレーム処理回路２３１は、予め定められたフォーマット４００に基づいて、入力されたパケットの構造を検証する。フレーム処理回路２３１は、入力されたパケットの構造が予め定められたフォーマット４００に準拠する場合、入力されたパケットは正常パケットであると判定する。例えば、フレーム処理回路２３１は、データ部３２０のフォーマット番号３２１を読み取る。フレーム処理回路２３１は、読み取ったフォーマット番号３２１とフォーマット４００のフォーマット番号４０６とを照合し、フォーマット番号３２１と同じフォーマット番号４０６が示すフォーマットを選択する。次に、フレーム処理回路２３１は、入力されたパケットのヘッダ３１０の情報と、選択されたフォーマット（フォーマット番号３２１と同じフォーマット番号４０６が示すフォーマット）の情報とを比較する。ここでの比較対象は、例えば、送信元アドレス（ＭＡＣアドレスおよび／またはＩＰアドレス）、送信先のアドレス（ＭＡＣアドレスおよび／またはＩＰアドレス）、データ長、および数値・ビットデータ部の構成等である。フレーム処理回路２３１は、比較の結果、上記の比較対象が一致した場合、入力されたパケットは正常パケットであると判定し、そうでない場合、入力されたパケットは不正パケットであると判定する。ある局面において、数値・ビットデータ部の構成のチェックにおいて、データの区切り毎あるいは複数のデータの区切り単位にチェックビットを設けるようにしてもよい。また、他の局面において、フォーマット番号毎の各数値データに下限と上限を決めておき、その範囲を逸脱するパケットを不正パケットと判断してもよい。さらに、他の局面において、正常なパケットであるか否かのチェックは、ステップＳ５３０にて説明された上記の方法の全てを実行してもよいし、上記の方法の一部を実行してもよい。また、方法の一部を実行する場合、定期的あるいはランダムに実行する方法を変更してもよい。

一例として、端末１５０（Ａ）がスイッチング装置１００（Ａ）に対してパケット（Ａ）を送信したとする。この場合、スイッチング装置１００（Ａ）は、パケット（Ａ）が予め定められたフォーマット４００（Ａ）に含まれる端末１５０（Ａ）のフォーマットに準拠するか否かを判定する。予め定められたフォーマット４００（Ａ）は、スイッチング装置１００（Ａ）に接続される全ての端末のフォーマットを含み得る。

他の例として、端末１５０（Ｂ）がスイッチング装置１００（Ｂ）に対してパケット（Ｂ）を送信したとする。この場合、スイッチング装置１００（Ｂ）は、パケット（Ｂ）が予め定められたフォーマット４００（Ｂ）に含まれる端末１５０（Ｂ）のフォーマットに準拠するか否かを判定する。予め定められたフォーマット４００（Ｂ）は、スイッチング装置１００（Ｂ）に接続される全ての端末のフォーマットを含み得る。

上記のように、スイッチング装置１００（Ａ）およびスイッチング装置１００（Ｂ）の各々は、異なるフォーマットである予め定められたフォーマット４００（Ａ）および予め定められたフォーマット４００（Ｂ）の各々に基づいて入力されたパケットの構造を検証し得る。

フレーム処理回路２３１は、入力されたパケットが正常パケットであると判定した場合（ステップＳ５３０にてＹＥＳ）、制御をステップＳ５３５に移す。そうでない場合（ステップＳ５３０にてＮＯ）、フレーム処理回路２３１は、制御をステップＳ５４５に移す。

ステップＳ５３５において、フレーム処理回路２３１は、入力されたパケットの送信を許可する。ある局面において、フレーム処理回路２３１は、送信許可の後に、支線物理層処理部２１０のバッファ内のパケットをスイッチング処理部２４０に出力してもよい。他の局面において、ＣＰＵ２３２は、フレーム処理回路２３１からの送信許可を示す信号を入力されたことに基づいて、支線物理層処理部２１０のバッファ内のパケットをスイッチング処理部２４０に出力してもよい。

ステップＳ５４０において、スイッチング処理部２４０は、支線物理層処理部２１０のバッファ内のパケット（またはパケットを構成する複数のフレーム）を宛先に送信する。送信されたパケットは、幹線ＬＡＮ２０を介して、他のスイッチング装置１００に転送される。

ステップＳ５４５において、フレーム処理回路２３１は、フィルタリング回路２３０内のメモリに格納された不正パケットを破棄する。

ステップＳ５５０において、フレーム処理回路２３１は、支線物理層処理部２１０のバッファ内の対応するパケット（ステップＳ５４５にて破棄されたパケットに対応する不正パケット）を破棄する。ある局面において、ＣＰＵ２３２は、フレーム処理回路２３１からパケット破棄要求の信号を入力されたことに基づいて、支線物理層処理部２１０のバッファ内の対応するパケット（不正パケットまたは不正パケットを構成するフレームの集合）を破棄してもよい。

ステップＳ５５５において、ＣＰＵ２３２は、特定の端末１５０（不正パケットを送信した端末１５０）に対応する不正パケットカウントをインクリメントする。ある局面において、ＣＰＵ２２０が特定の端末１５０（不正パケットを送信した端末１５０）に対応する不正パケットカウントをインクリメントする機能を備えていてもよい。

ステップＳ５６０において、ＣＰＵ２３２は、特定の端末１５０の不正パケット数（特定の端末１５０が送信した不正パケットの数）が予め定められた上限数に達したか否かを判定する。ＣＰＵ２３２は、特定の端末１５０の不正パケット数が予め定められた上限数に達したと判定した場合（ステップＳ５６０にてＹＥＳ）、制御をステップＳ５６５に移す。そうでない場合（ステップＳ５６０にてＮＯ）、ＣＰＵ２３２は、処理を終了する。ある局面において、ＣＰＵ２２０が、特定の端末１５０の不正パケット数が予め定められた上限数に達したか否かを判定する機能を備えていてもよい。

ステップＳ５６５において、ＣＰＵ２３２は、特定の端末１５０からのパケットを遮断してネットワーク監視装置にアラームを出力する。ある局面において、ＣＰＵ２２０が、特定の端末１５０からのパケットを遮断してネットワーク監視装置にアラームを出力する機能を備えていてもよい。

以上説明した通り、本実施の形態に従うスイッチング装置１００は、予め定められたフォーマット４００を用いて、パケットの構造に基づいて、パケットをフィルタリングする。これにより、スイッチング装置１００は、ＭＡＣアドレスおよびＩＰアドレス等を用いたフィルタリングよりもさらにセキュアなパケットフィルタリング機能を提供し得る。

また、予め定められたフォーマット４００は、個別のスイッチング装置１００に設定可能であり、各スイッチング装置１００に接続される複数の端末１５０の各々のフォーマットを含み得る。これにより、ネットワーク管理者は、ネットワークシステム１０を構成する複数のスイッチング装置１００の各々に柔軟なフィルタリング設定を行い得る。

今回開示された実施の形態は全ての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内で全ての変更が含まれることが意図される。また、実施の形態および各変形例において説明された開示内容は、可能な限り、単独でも、組合わせても、実施することが意図される。

１０ ネットワークシステム、２０ 幹線ＬＡＮ、２５ 支線ＬＡＮ、１００ スイッチング装置、１５０ 端末、２１０ 支線物理層処理部、２２０，２３２ ＣＰＵ、２３０ フィルタリング回路、２３１ フレーム処理回路、２４０ スイッチング処理部、３００ パケット、３１０ ヘッダ、３２０ データ部、３２１，４０６ フォーマット番号、３２２，４０７ 数値・ビットデータ部、４００ フォーマット、４０１ 送信元のＭＡＣアドレス、４０２ 送信元のＩＰアドレス、４０３ 送信先のＭＡＣアドレス、４０４ 送信先のＩＰアドレス、４０５ データ長、４０８ エンドコード。

Claims (7)

1. パケットをフィルタリングするためのフィルタリング回路と、
   前記パケットを転送するための転送部とを備え、
   前記フィルタリング回路は、
   前記パケットを前記パケットに含まれるデータ部の構造に基づいてフィルタリングし、
   前記データ部の構造が予め定められたフォーマットに準拠する場合、前記転送部に前記パケットを出力し、
   前記データ部の構造が前記予め定められたフォーマットに準拠しない場合、前記パケットを破棄し、
   前記予め定められたフォーマットは、
   前記データ部に含まれる１以上の項目と、
   前記１以上の項目の各々のデータ形式とを含む、スイッチング装置。
2. 前記予め定められたフォーマットは、前記スイッチング装置が通信する１以上の端末の各々のフォーマットを含む、請求項１に記載のスイッチング装置。
3. 前記フィルタリング回路は、
   ある装置から、不正なパケットを予め定められた回数以上受信したことに基づいて、前記ある装置との通信を遮断し、
   監視装置にアラームを通知する、請求項２に記載のスイッチング装置。
4. 前記スイッチング装置がネットワークを構成する複数のスイッチング装置の１つである場合、前記予め定められたフォーマットは前記複数のスイッチング装置の各々に個別に設定可能に構成される、請求項１～３のいずれかに記載のスイッチング装置。
5. 前記データ部が第１のデータ部と第２のデータ部とを含む場合に、他のスイッチング装置が前記第１のデータ部の構造に基づいて前記パケットをフィルタリングするとき、前記フィルタリング回路は前記第２のデータ部の構造に基づいて前記パケットをフィルタリングするように構成可能である、請求項４に記載のスイッチング装置。
6. 前記フィルタリング回路は、プログラマブルロジック回路を含み、
   前記プログラマブルロジック回路は、前記予め定められたフォーマットに基づく判定処理を実行可能に構成される、請求項１～５のいずれかに記載のスイッチング装置。
7. 前記パケットを構成するフレームを送受信する通信部と、
   前記フレームを一時的に格納するバッファとをさらに備え、
   前記通信部は、受信した前記フレームを順次前記バッファに格納し、
   前記フィルタリング回路は、前記パケットを前記データ部の構造に基づいてフィルタリングするために、前記バッファに格納された複数の前記フレームから前記パケットを復元する、請求項１～６のいずれかに記載のスイッチング装置。

Images