JPH09214543A - 通信経路制御方法および通信経路制御装置 - Google Patents

Abstract

(57)【要約】 【課題】 ホームルータを介して通信が行われる計算機
ネットワークシステムにおいて、通信経路の冗長を回避
可能な通信経路制御方法を提供すること。 【解決手段】 自組織ネットワーク内の所定接続位置を
ホームとする計算機の現在位置を管理し転送パケットを
宛先計算機に中継するホームルータを持つシステムにて
計算機間通信経路を制御する方法であって、計算機に固
有の自組織ネットワーク内で一意の第１の位置識別子と
移動中計算機の移動位置を識別可能なネットワーク全体
で一意の第２の位置識別子の対応を記憶し、ホームルー
タで中継されるパケット内の送信元と宛先のアドレスと
前記対応から該パケットを通信する計算機のうち少なく
とも一方が自組織ネットワーク内のホームの接続位置か
ら移動しているものであると判断された場合、少なくと
も該移動している計算機の通信相手に該移動している計
算機に対する前記第２の位置識別子を送信する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、相互接続している
複数のネットワーク間で相互にデータを交換する複数の
計算機により構成される計算機システムにおいて、それ
らの計算機間の通信経路を制御する通信経路制御方法お
よび通信経路制御装置に関する。

【０００２】

【従来の技術】計算機システムの小型化、低価格化やネ
ットワーク環境の充実に伴って、計算機システムの利用
は急速にかつ種々の分野に広く拡大し、また集中型シス
テムから分散型システムへの移行が進んでいる。特に近
年では計算機システム自体の進歩、能力向上に加え、コ
ンピュータ・ネットワーク技術の発達・普及により、オ
フィス内のファイルやプリンタなどの資源共有のみなら
ず、オフィス外あるいは一組織外とのコミュニケーショ
ン（例えば電子メール、電子ニュース、ファイルの転送
など）が可能になり、これらが広く利用されはじめた。
特に近年では、世界最大のコンピュータネットワーク
「インターネット（Ｉｎｔｅｒｎｅｔ）」の利用が普及
しており、インターネットと接続し、公開された情報、
サービスを利用したり、逆にインターネットを通してア
クセスしてくる外部ユーザに対し、情報、サービスを提
供することで、新たなコンピュータビジネスが開拓され
ている。また、インターネット利用に関して、新たな技
術開発、展開がなされている。

【０００３】また、このようなネットワークの普及に伴
い、移動通信（ｍｏｂｉｌｅ ｃｏｍｐｕｔｉｎｇ）に
対する技術開発も行われている。移動通信では、携帯型
の端末、計算機を持ったユーザがネットワーク上を移動
して通信する。ときには通信を行ないながらネットワー
ク上の位置を変えていくこともある。そのような通信に
おいて変化する移動計算機のネットワーク上のアドレス
を管理し、正しく通信内容を到達させるために、ＩＥＴ
Ｆ／Ｍｏｂｉｌｅ−ＩＰ（参考文献：Ｃ．Ｐｅｒｋｉｎ
ｇ（ＩＢＭ）：“ＩＰ Ｍｏｂｉｌｅ Ｓｕｐｐｏｒｔ
（ｄｒａｆｔ−ｉｅｔｆ−ｍｏｂｉｌｅｉｐ−ｐｒｏｔ
ｏｃｏｌ−１２．ｔｘｔ）”，Ｉｎｔｅｒｎｅｔ Ｄｒ
ａｆｔ，１９９５／８．）やＶＩＰ（参考文献：Ｔａｒ
ａｏｋａＦ．ｅｔ ａｌ．“ＶＩＰ：Ａ Ｐｒｏｔｏｃ
ｏｌ Ｐｒｏｖｉｄｉｎｇ Ｈｏｓｔ Ｍｏｂｉｌｉｔ
ｙ，ＣＡＣＭ Ｖｏｌ．３７，Ｎｏ．８（Ａｇｕ．１９
９４）”）などの移動通信プロトコルが提案されてい
る。

【０００４】また、ネットワークが普及し、ネットワー
ク間の自由な接続が実現され、膨大なデータ、サービス
のやりとりがなされる場合、セキュリティ上の問題を考
慮する必要が生じてくる。例えば、組織内部の秘密情報
の外部ネットワークへの漏洩をいかに防ぐか、という問
題や、組織外からの不正な侵入から、組織内ネットワー
クに接続された資源、情報をいかに守るか、という問題
である。インターネットは、当初学術研究を目的に構築
されたため、ネットワークの接続による自由なデータサ
ービスのやりとりを重視しており、このようなセキュリ
ティ上の問題は考慮されていなかったが、近年多くの企
業、団体がインターネットに接続するようになり、セキ
ュリティ上の問題から自組織ネットワークを防衛する機
構が必要となってきた。

【０００５】そこで、複数のネットワークを接続する際
に、それらのネットワークを介して相互にやりとりされ
るデータを監視、チェックし、不正なアクセスが外部か
ら侵入したり、内部データが外部に漏洩することを防止
する機構を配置することが一般に行われている。このよ
うな機構をファイアウォールという。ファイアウォール
を設置することにより、外部への秘密情報の漏洩、外部
からの不正なアクセスを防ぎ、かつ内部から安全に外部
のサービスを受けられるようになる。

【０００６】また、特に機密性の高い重要データを外部
ネットワークを介して通信する場合、外部にデータパケ
ットを送出する前にその内容を暗号化し（必要に応じて
認証コードを付加し）、受信したサイトで（認証コード
を確認し）復号化する、という方法がある。この方法に
よれば、たとえ組織外のユーザが外部ネットワーク上の
データパケットを取り出しても、内容が暗号化されてい
るので、決してその内容を漏洩することがなく、より安
全な通信が確保できる。

【０００７】このような暗号化通信をサポートするファ
イアウォールで守られた（ガードされた）ネットワーク
同士であれば相互に暗号化通信が可能であるが、前述の
移動計算機へのアクセスを考えると、その計算機が移動
前に属していたネットワークと同じ組織に管理されるネ
ットワーク内に移動し、かつその移動先ネットワークが
ファイアウォールにガードされているなら、あたかも同
じネットワーク内の計算機同士で通信するように暗号化
通信ができる。一方、移動計算機が外部組織のネットワ
ーク、または自組織のネットワークであってもファイア
ウォールされていないネットワークに移動した場合、そ
の移動計算機は、外部の計算機として扱われなければな
らず、暗号化通信はできない。

【０００８】ところで、一般に移動通信を行う場合、移
動計算機の移動先データを管理するホスト（例えばホー
ムルータ）を置き、移動計算機への通信はそのホームル
ータを経由して行うことで移動計算機に対するデータの
通信を行う。一般の通信の場合は、ホームルータ経由で
よいが、もし移動計算機とその通信相手がいずれも同じ
組織に管理されるネットワーク内にあり、かつファイア
ウォールでガードされている場合は、ホームルータを介
することで冗長な通信を行ってしまう可能性がある。こ
れは通信の開始時点では、移動計算機がどこのネットワ
ークに移動しているかが未確定であるためである。

【０００９】

【発明が解決しようとする課題】従来は、移動通信にお
いては、移動計算機の移動先データを管理するホームル
ータを置き、移動計算機への通信はそのホームルータを
経由して行っていた。この場合、もし移動計算機とその
通信相手がいずれも同じ組織に管理されるネットワーク
内にあり、かつファイアウォールでガードされていて、
相互に暗号化通信を行う場合、通信の開始時点では、移
動計算機がどこのネットワークに移動しているかが未確
定であるため、ホームルータを介した冗長な通信を行っ
てしまうことがある。この場合、両者が相互の外部ネッ
トワークアドレス（すべてのネットワーク上で一意に定
まっているアドレス）を知っていればホームルータを経
由することなく暗号化通信が可能であり、通信効率も高
い。

【００１０】また、一般にこのような通信を行うネット
ワークの構成は様々あり、例えば移動計算機とその通信
相手とは直接接続されておらず、どのような通信経路を
辿ってもホームルータを経由してしまう、といった場合
もある。また、移動計算機と、その通信相手が同一のネ
ットワーク内にいて、そのネットワークの外部へのゲー
トウェイで暗号化を行う通信を開始して、それらの２計
算機のアドレスが判った場合、直接接続される経路がそ
れまで暗号化していたゲートウェイを通らなくなること
もある。したがって、これらのような状況に対応可能な
制御が必要になる。

【００１１】本発明は、上記事情を考慮してなされたも
のであり、複数の計算機が複数の相互接続された通信ネ
ットワークにより互いに接続されて相互に通信可能に構
成された計算機システムで、移動計算機の位置情報を管
理する装置を介して暗号化通信が行われる際に、冗長な
通信である可能性を検出して移動計算機とその通信相手
双方に通知することで通信の冗長さを回避可能な通信経
路制御方法および通信経路制御装置を提供することを目
的とする。

【００１２】

【課題を解決するための手段】本発明（請求項１）は、
通信網を介して他の計算機ネットワークに接続され、自
組織ネットワーク内の所定の接続位置をホームとする計
算機の現在位置を管理し転送されてきたパケットを宛先
計算機に中継するホームルータ装置を備えた計算機ネッ
トワークシステムにおいて、計算機間の通信経路を制御
するための通信経路制御方法であって、前記計算機に固
有の前記自組織ネットワーク内で一意に定められた第１
の位置識別子と、該計算機のうちホームの接続位置から
移動した計算機について該計算機が移動した位置を識別
可能なネットワーク全体で一意に定められた第２の位置
識別子とを対応付けたアドレス情報を記憶し、前記ホー
ムルータ装置により中継されるパケット内に含まれる前
記第１の位置識別子からなる送信元情報および宛先情報
と前記アドレス情報とに基づいて、前記パケットを通信
する２つの計算機夫々について、前記自組織ネットワー
ク内のホームの接続位置から移動しているものであるか
否かを判断し、前記パケットを通信する２つの計算機の
うち少なくとも一方が前記自組織ネットワーク内のホー
ムの接続位置から移動しているものであると判断された
場合、少なくとも該移動している計算機の通信相手に該
移動している計算機に対する前記第２の位置識別子を送
信することを特徴とする。

【００１３】また、上記判断の後、前記パケットを通信
する２つの計算機が、いずれも前記自組織ネットワーク
内のホームの接続位置から移動しているものであると判
断された場合、前記２つの計算機に互いの通信相手の計
算機に対する前記第２の位置識別子を送信するようにし
ても良い。

【００１４】好ましくは、前記第２の位置識別子ととも
に、該第２の位置識別子を用いて直接通信を確立すべき
旨の制御情報を通信する。前記第２の位置識別子を受信
した前記２つの計算機は、受信した前記第２の位置識別
子を用いて前記ホームルータ装置を介さない直接通信の
確立を試みる。

【００１５】本発明によれば、移動計算機とその通信相
手の位置情報を検出し、該通信相手に該移動計算機の第
２の位置識別子を通知し、ホームルータを経由すること
なく直接接続を行って通信する旨の制御情報を返信する
ので、従来ホームルータ装置を経由してのみ可能であっ
た移動計算機とその通信相手とのデータ通信について、
両者が直結可能であればそれ以降の通信効率を高くする
ことが可能である。これは、特に、両者がいずれも同じ
組織に管理されるネットワーク内にあり、かつファイア
ウォールでガードされていて相互に暗号化通信が可能で
ある場合に有効である。

【００１６】本発明（請求項２）は、請求項１におい
て、前記第２の位置識別子を送信した後に、前記自組織
ネットワーク内の前記ホームルータ装置を前記２つの計
算機間にて通信されるパケットが再度通過したことが検
出された場合、前記第２の位置識別子の送信先の計算機
に前記自組織ネットワーク内の前記ホームルータ装置を
経由した通信を行なう旨の制御情報を送信することを特
徴とする。

【００１７】前記第２の位置識別子を受信した前記計算
機が、受信した前記第２の位置識別子を用いて前記ホー
ムルータ装置を介さない直接通信の確立を試みた結果、
直接通信が確立できなかった場合、該当パケットは前記
ホームルータ装置に送られて来るので、前記計算機に前
記自組織ネットワーク内の前記ホームルータ装置を経由
した通信を行なう旨の制御情報を送信することで、元の
転送形態に戻す。

【００１８】本発明によれば、移動計算機とその通信相
手とは直接接続されておらず、どのような通信経路を辿
ってもホームルータを経由してしまう、といった場合、
通知後、再度それらに計算機同士の通信データを受け取
った場合は、元の転送形態に戻すようにするので、通信
は何ら影響を受けず元の状態で再開できる。

【００１９】本発明（請求項３）は、請求項１におい
て、前記判断にあたって、前記送信元情報に対応する前
記第２の位置識別子と前記宛先情報に対応する前記第２
の位置識別子とを比較して、前記２つの計算機夫々が同
一のネットワーク内に存在するか否かを判定し、前記２
つの計算機夫々が同一のネットワーク内に存在すると判
定された場合、通信データに対するデータ加工処理（例
えば、認証データなどのデータ付加処理や暗号化処理な
ど）を行わず最短の経路で直接通信するよう通信経路を
変更することを指示する制御情報をも送信することを特
徴とする。

【００２０】本発明（請求項４）は、請求項３におい
て、前記判定にあたって、前記２つの計算機間で通信さ
れる通信データに対するデータ加工処理の内容が変更さ
れるか否かをも併せて判定し、直接通信を確立させると
変更が生じる場合、前記第２の位置識別子及び前記制御
情報を双方に返信しないことを特徴とする。

【００２１】本発明（請求項５）は、請求項３におい
て、前記判断にあたって、前記２つの計算機間で通信さ
れる通信データに対するデータ加工処理の内容が変更さ
れるか否かをも併せて判定し、直接通信を確立させると
変更が生じる場合、前記制御情報に通信データのデータ
加工処理の内容を変更させる指示情報を含めることを特
徴とする。

【００２２】本発明によれば、移動計算機と、その通信
相手が同一のネットワーク内にいて、そのネットワーク
の一部で暗号化を行う通信を開始した際、それらの２計
算機を直結する経路がそれまで暗号化していた部分を通
らない場合は、（ポリシー１）既に暗号化のための制御
情報を相互に交換しているので、それをそのまま使用す
るため、経路を変更しない、（ポリシー２）同一組織で
あることが判明したので全く暗号化を行わない通信に切
替える、（ポリシー３）直結経路で別の暗号化部分で暗
号化通信できるなら、その暗号化部分を用いる暗号化通
信を行うように切替える、といった３種類の柔軟な処理
方法を適宜選択して処理を行うことができる。

【００２３】本発明（請求項６）は、通信網を介して他
の計算機ネットワークに接続され、自組織ネットワーク
内の所定の接続位置をホームとする計算機の現在位置を
管理し転送されてきたパケットを宛先計算機に中継する
ホームルータ装置を備えた計算機ネットワークシステム
において、該自組織ネットワーク内の所定の接続位置を
ホームとする計算機間の通信経路を制御するための通信
経路制御装置であって、前記計算機に固有の前記自組織
ネットワーク内で一意に定められた第１の位置識別子
と、該計算機のうちホームの接続位置から移動した計算
機について該計算機が移動した位置を識別可能なネット
ワーク全体で一意に定められた第２の位置識別子とを対
応付けたアドレス情報を記憶する手段と、前記ホームル
ータ装置により中継されるパケット内に含まれる前記第
１の位置識別子からなる送信元情報および宛先情報と前
記アドレス情報とに基づいて、前記パケットを通信する
２つの計算機夫々について、前記自組織ネットワーク内
のホームの接続位置から移動しているものであるか否か
を判断する手段と、前記パケットを通信する２つの計算
機のうち少なくとも一方が前記自組織ネットワーク内の
ホームの接続位置から移動しているものであると判断さ
れた場合、少なくとも該移動している計算機の通信相手
に該移動している計算機に対する前記第２の位置識別子
を送信する手段とを備えたことを特徴とする。

【００２４】好ましくは、前記第２の位置識別子ととも
に、該第２の位置識別子を用いて直接通信を確立すべき
旨の制御情報を通信する。前記第２の位置識別子を受信
した前記計算機は、受信した前記第２の位置識別子を用
いて直接通信の確立を試みる。

【００２５】

【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。図１に、本発明の一実施形態に
係る計算機ネットワークシステムの基本構成を示す。図
１のように、自組織ネットワーク１ａ、外部の自組織ネ
ットワーク１ｂと１ｃが外部ネットワーク１ｄにより相
互に接続されており、自組織ネットワーク１ａには、接
続位置の固定されたホスト計算機や移動可能なホスト計
算機が接続可能である。

【００２６】自組織ネットワーク１ａ，１ｂ，１ｃに
は、それらが管理する計算機間でデータ内容を（暗号化
などにより）秘匿して通信を行うためのデータパケット
処理装置４ａ，４ｂ，４ｃがぞれぞれ設置されており、
自組織の管理する計算機間の暗号化通信を達成する。な
お、データパケット処理装置を持たない外部のネットワ
ーク（図示せず）に移動した移動ホスト計算機内にデー
タパケット処理機能が搭載されている場合も同様に暗号
化通信可能である。

【００２７】自組織ネットワーク１ａ内には、該自組織
ネットワーク１ａ内の所定の接続位置をホームとする各
ホスト計算機の位置情報を管理するホームルータＨＲが
接続されている。

【００２８】図２は、ホスト計算機のアドレス管理のた
めにホームルータＨＲ内に設けるアドレス管理テーブル
の一構成例を示す。アドレス管理テーブルは具体的には
２つのアドレスを連結したテーブルとして実現される。
ここで、ホームアドレスは移動ホスト計算機に固有の自
組織のネットワーク内で一意に定められたアドレスを示
し、移動先アドレスは移動ホスト計算機がネットワーク
上で移動した現在位置を示すネットワーク全体で一意に
定められたアドレスを示す。なお、移動先アドレスは、
使用する移動通信プロトコルによっては、当該移動ホス
ト計算機の移動先ネットワーク内にて当該移動ホスト計
算機をホームアドレスで管理する外部管理装置の位置を
示すネットワーク全体で一意に定められたアドレスとな
る。

【００２９】図１では自組織ネットワーク１ａをホーム
とする移動ホスト計算機Ｈ２とＨ３がそれぞれ外部の自
組織ネットワーク１ｂと１ｃに移動中の場合を示してい
るが、これに対応して図２のアドレス管理テーブルに
は、ホスト計算機Ｈ２についてはホームアドレスＨＡ２
と移動先アドレスＣＡ２が、ホスト計算機Ｈ３について
はホームアドレスＨＡ３と移動先アドレスＣＡ３が、そ
れぞれ対応付けられて登録されている様子が示されてい
る。また、ホスト計算機Ｈ１は、移動先アドレスを持た
ず、自組織ネットワーク１ａ内のホームの位置ＨＡ１に
存在することが示されている。

【００３０】移動ホスト計算機の第２の識別子の登録
は、例えば、移動ホスト計算機が移動先でネットワーク
に接続したときに、移動ホスト計算機からホームルータ
ＨＲに第２の識別子を登録するための制御パケットを送
信することでなされる。

【００３１】なお、このアドレス管理テーブルは、シス
テム構成に応じて、パケット管理装置４上や他の図示し
ないサーバ計算機上など、ホームルータＨＲが参照可能
な様々な場所に置くことが可能である。

【００３２】本実施形態では、自組織ネットワーク１ａ
をホームとする移動ホスト計算機間の通信経路を制御す
るための経路制御装置１２を備えている。この経路制御
装置１２は、ホームルータＨＲ内に設けるものとしてい
る。なお、経路制御装置１２は、ホームルータＨＲを経
由するパケットを監視できればどのような位置に存在し
ても良く、例えば、データパケット処理装置４ａ内に設
けても良いし、バス２０上に独立したノードとして接続
しても良い。

【００３３】以下、自組織ネットワーク１ａをホームと
する移動ホスト計算機間の通信と、経路制御装置１２の
働きについて説明する。図３には経路制御装置１２の処
理手順の流れを、図４には通信および制御の様子を示
す。

【００３４】まず、本実施形態では、移動ホスト計算機
Ｈ２とＨ３が、それぞれ外部の自組織ネットワーク１ｂ
と１ｃに移動中の場合を考える。ホスト計算機Ｈ２とそ
の通信相手のホスト計算機Ｈ３とが相互に暗号化通信を
行う場合、両ホスト計算機は、互いの現在位置が未確定
であるので、ホームアドレスＨＡ２やＨＡ３で宛先を指
定したデータパケットを、ホームルータＨＲに届くよう
に（図４の場合にはホームルータＨＲについてネットワ
ーク全体で一意に定められたアドレスＣＡ０を使用し
て）暗号化カプセル化し、両者が移動前に接続されてい
た自組織ネットワーク１ａのホームルータＨＲに向けて
送り出す（図４の）。

【００３５】ホスト計算機Ｈ２からのデータが到着する
と、ホームルータＨＲは、暗号化されたデータを復号
し、ヘッダ内に書かれたホームアドレスＨＡ３から、該
パケットが移動中のホスト計算機Ｈ３宛てであることを
知る。そして、ホームルータＨＲ内で管理されている図
２のようなアドレス管理テーブルを参照し、移動ホスト
計算機Ｈ３の現在位置情報を求める。この場合、移動先
アドレスＣＡ３が現在の位置情報となるので、ホスト計
算機Ｈ３の現在位置を示すネットワーク全体で一意なア
ドレスＣＡ３に転送先を変えて、ホスト計算機Ｈ３にデ
ータパケットを送る（図４の）。

【００３６】ホスト計算機Ｈ３からホスト計算機Ｈ２へ
の通信も同様で、ホームルータＨＲ宛てに一度送られた
（図４の）データを復号し、ホスト計算機Ｈ２の現在
位置情報に基づいて、ホスト計算機Ｈ２の現在位置を示
すネットワーク全体で一意なアドレスＣＡ２に転送先を
変えて、ホスト計算機Ｈ２にデータパケットを送る（図
４の）。

【００３７】ここで、ホームルータＨＲは、通信する２
つの移動ホスト計算機Ｈ２，Ｈ３のネットワーク全体で
一意であるアドレス情報を得られるので、そのアドレス
情報を２つの移動ホスト計算機Ｈ２，Ｈ３に通知すれ
ば、もし２つの移動ホスト計算機Ｈ２，Ｈ３間に直結す
るルートがある場合、ホームルータＨＲを通らない最適
化された経路で通信させることが可能となる。

【００３８】そこで、本実施形態の経路制御装置１２
は、次のような制御を行う。経路制御装置１２は、ホー
ムルータＨＲを経由するデータパケット内の送信元アド
レスと宛先アドレス（例えば上記したＨＡ２とＨＡ３）
を元に、図２のようなアドレス管理テーブルを参照し
て、両計算機が移動中のものであるか調べる（ステップ
Ｓ１１）。

【００３９】例えば、該当移動計算機についてアドレス
管理テーブルに移動先アドレスが登録されている場合
は、移動中であると判断する。あるいは、アドレス管理
テーブル内に設けた移動中フラグを参照する。

【００４０】そして、自身を中継点とする移動中計算機
間の暗号化通信を検出すると（ステップＳ１２）、その
通信を行う２つの移動ホスト計算機Ｈ２，Ｈ３に通信相
手の現在位置を示すネットワーク全体で一意であるアド
レスを通知し（ステップＳ１３）、両者に直結する最適
化ルートで暗号化通信を再度セットアップする旨の制御
コマンドを送付する。

【００４１】この例では、移動ホスト計算機Ｈ２に対し
ては通信相手である移動ホスト計算機Ｈ３の移動先アド
レスＣＡ３を通知し、移動ホスト計算機Ｈ３に対しては
通信相手である移動ホスト計算機Ｈ２の移動先アドレス
ＣＡ２を通知する（図４の）。

【００４２】なお、上記のアドレスの送信のときに、暗
号化通信を継続する旨の制御情報などを併せて送信して
も良い。この制御コマンドを受けた移動ホスト計算機Ｈ
２，Ｈ３により最適化経路による暗号化通信が達成され
れば、以降その経路に沿って通信を行う（図４の）。

【００４３】ところで、ネットワーク構成によっては、
移動ホスト計算機Ｈ２と移動ホスト計算機Ｈ３の間をホ
ームルータＨＲを通過せずに結ぶルートが存在しないこ
ともある。そのような場合に対処するため、ホームルー
タＨＲが制御コマンドを送信した後で、直接通信が成立
したか否かを監視する（ステップＳ１４）ことが望まし
い。直接通信が成立しなかった場合には、再度２台のホ
スト計算機の通信をホームルータＨＲで受け取ることに
なるので、この監視により直接通信の成否を判断するこ
とができる。

【００４４】もし直接通信が成立しなかった場合（ステ
ップＳ１５）、今までのサービスの継続、すなわちホー
ムルータＨＲ経由の通信の提供のために必要な処理を行
う（ステップＳ１６）。

【００４５】例えば、 （１）そのままホームルータＨＲ経由で直結通信させる
（いままでの経路を有効として維持する） あるいは、 （２）先に送った制御コマンドを無効とし、再度ホーム
ルータＨＲ宛から双方のホスト計算機宛への２つの転送
で通信させる といった方法で対処できる。この２つの方法のいずれを
選択するかは、要求される通信の速度、品質やネットワ
ーク構成を考慮して決定すれば良い。

【００４６】このように本実施形態によれば、移動計算
機とその通信相手の位置情報を検出し、両者にお互いの
外部ネットワークアドレス（すべてのネットワーク上で
一意に定まっている）を通知し、従来ホームルータを経
由してのみ可能であった移動計算機とその通信相手との
データ通信を、ホームルータを経由することなく直接接
続を行う旨の制御情報を双方に返信するので、両者が直
結可能であればそれ以降の通信効率を高くすることが可
能である。これは、特に、両者がいずれも同じ組織に管
理されるネットワーク内にあり、かつファイアウォール
でガードされていて相互に暗号化通信が可能であると判
断した場合に有効である。

【００４７】また、本発明によれば、移動計算機とその
通信相手とは直接接続されておらず、どのような通信経
路を辿ってもホームルータを経由してしまう、といった
場合、通知後、再度それらに計算機同士の通信データを
受け取った場合は、元の転送形態に戻すようにするの
で、通信は何ら影響を受けず元の状態で再開できる。

【００４８】次に、他の移動形態の通信例について図３
を参照しながら説明する。この例は、移動ホスト計算機
Ｈ２が移動した結果、その通信相手のホスト計算機３と
同一のネットワークに入った場合である。この場合、ま
ず、ネットワークの入口に置かれたデータパケット処理
装置４ａでデータパケットが暗号化され（図５中の１０
１）、その後、ネットワーク内のホームルータＨＲに転
送され（１０２）、ホームルータＨＲが移動ホスト計算
機Ｈ２の現在位置を識別し転送する（１０３）。データ
パケットは移動ホストＨ２に附属するデータパケット処
理装置４ｄで復号化される。

【００４９】ここで、経路制御装置１２は、ホームルー
タＨＲ内にて管理されているホスト計算機Ｈ３と移動ホ
スト計算機Ｈ２の位置情報を参照することにより、両ホ
スト計算機が現在同じネットワーク内にあることを判断
できる。２つの計算機が同一のネットワーク内に位置す
るか否かの判定は、例えば、計算機のネットワークアド
レスの比較により実現できる。

【００５０】そこで、前記経路制御装置１２は、以下の
ような制御を行うと良い。すなわち、図６に示すよう
に、ホームルータＨＲを経由するデータパケット内の送
信元アドレスと宛先アドレスを解析し（ステップＳ２
１）、もし両者が元々同一組織に属している計算機であ
り、外部ネットワークを通らずに通信できることがわか
れば（ステップＳ２２）、暗号化／復号化が不要である
と判断して、双方に互いの現在のアドレスを通知すると
共に暗号化通信が不要である旨を通知する制御コマンド
を発行し（ステップＳ２３）、暗号化せずかつ両者を直
結する経路（図５中の１０４）でのより高速な通信を行
わせる。

【００５１】ところで、２つのホスト計算機のうち少な
くとも一方が外部から移動してそのネットワークに入っ
たものであり、同一ネットワーク上にあっても暗号化通
信が必要である場合もありうる。このような場合、前述
のように直ちに双方に互いの現在位置を示し、直結ルー
トで通信をセットアップすべき旨の制御コマンドを送
り、別の直結ルートを使用させると、暗号化を行うデー
タパケット処理装置４ａ（ホームルータＨＲに附属して
いる）を通過しなくなるための不具合が生じることがあ
る。

【００５２】この不具合とは、 （１）もし直結ルート（図５中の１０４）に別のデータ
パケット処理装置（図５中の４ｅ）があれば、暗号化通
信可能であるが、直結ルートに別のデータパケット処理
装置がなければ、暗号化通信は行えない。 あるいは、 （２）直結ルート（図５中の１０４）に別のデータパケ
ット処理装置（図５中の４ｅ）があっても、データパケ
ット処理装置４ａからデータパケット処理装置４ｅに替
えた場合、暗号化鍵の交換などを再度やり直さなければ
ならない。 などの問題である。

【００５３】従ってこのような場合を想定して、経路制
御装置１２は、以下のような制御を行うと良い。すなわ
ち、図７のように、直接通信させて良いかを判断し（ス
テップＳ３３）、直接通信させると判断した場合にのみ
（ステップＳ３４）、双方に互いの現在のアドレスを通
知すると共に両者に直結する最適化ルートで暗号化通信
を再度セットアップする旨の制御コマンドを発行し（ス
テップＳ３５）、両者を直結する経路でのより高速な通
信を行わせる。

【００５４】上記の判断とは、例えば、 （１）もし直結ルートに別にデータパケット処理装置が
あれば、通信経路の変更を促す制御コマンドを双方に発
行し、なければ経路変更はしない。 あるいは、 （２）経路変更によりデータパケット処理装置が変わる
ことがありうる場合、経路変更はしない。これはネット
ワーク構成をホームルータＨＲにより検査してもよい
し、双方に仮に直結ルートでの送受信を行わせ、暗号化
を行うデータパケット処理装置の識別子をデータに付記
したものをチェックしてもよい。 といった方法で処理を行う。いずれを選択するかは、要
求される通信の速度、質やネットワーク構成を考慮して
決定すれば良い。

【００５５】なお、通信データに対する認証処理などの
内容が変更されるかどうかを判定する機構は、それら２
つの計算機間の直結経路が、認証を行うルーター、ファ
イアウォールを経由するかの判定を行う機構として実現
できる。

【００５６】本発明によれば、移動計算機と、その通信
相手が同一のネットワーク内にいて、そのネットワーク
の一部で暗号化を行う通信を開始した際、それらの２つ
の計算機を直結する経路がそれまで暗号化していた部分
を通らない場合は、（ポリシー１）既に暗号化のための
制御情報を相互に交換しているので、それをそのまま使
用するため、経路を変更しない、（ポリシー２）同一組
織であることが判明したので全く暗号化を行わない通信
に切替える、（ポリシー３）直結経路で別の暗号化部分
で暗号化通信できるなら、その暗号化部分を用いる暗号
化通信を行うように切替える、といった３種類の柔軟な
処理方法を適宜選択して処理を行うことができる。

【００５７】次に、これまで説明してきた実施形態を変
形した形態について説明する。以上の説明では、ホーム
ルータＨＲ経由で通信する両方の計算機がともにホーム
の位置から移動中のものであった場合に、両者に互いの
通信相手の現在位置を示すネットワーク全体で一意であ
るアドレスを通知することとした。その代わりに、一方
の計算機がホームの位置から移動中のものであった場合
にも、該移動中の計算機の通信相手に該移動中計算機の
現在位置を示すネットワーク全体で一意であるアドレス
を通知するようにしても良い。この場合、該通信相手か
ら送り出される該移動中計算機宛のパケットを、ホーム
ルータＨＲを経由せずに転送させることが可能になる。

【００５８】例えば、図１において、図示しない外部組
織のネットワークに接続されている計算機Ｈｘと外部の
自組織ネットワーク１ｂに移動中の計算機Ｈ２の通信に
ついて考えてみる。ここで、計算機Ｈｘの現在位置を示
すネットワーク全体で一意であるアドレスをＣＡｘとす
る。

【００５９】通信初期においては、計算機Ｈｘは計算機
Ｈ２のネットワーク全体で一意であるアドレス（すなわ
ち移動先アドレスＣＡ２）を知らないので、計算機Ｈ２
のホームアドレスＨＡ２で宛先を指定したデータパケッ
トを、計算機Ｈ２が移動前に接続されていた自組織ネッ
トワーク１ａのホームルータＨＲに届くように送り出
す。そして、先に説明したのと同様に、ホームルータＨ
Ｒは、計算機Ｈｘからのパケットをホスト計算機Ｈ２に
転送する。ここで、計算機Ｈｘはパケット内に書き込む
送信元アドレスとして上記のＣＡｘを使用するものとす
る。

【００６０】一方、計算機Ｈ２は、計算機Ｈｘから転送
されてきたパケットのヘッダ情報から、計算機Ｈｘのネ
ットワーク全体で一意であるアドレス（すなわちＣＡ
ｘ）を知ることができるので、計算機Ｈ２から計算機Ｈ
ｘへのパケット転送は、ホームルータＨＲを介さずに行
うことができる。

【００６１】ここで、経路制御装置１２は、ホームルー
タＨＲを経由するデータパケット内の送信元アドレスと
宛先アドレス（例えば上記したＨＡ２とＣＡｘ）から、
両計算機のうち一方の計算機Ｈ２がホームの位置から移
動中のものであることが分かる。これは、アドレスＣＡ
ｘに位置する計算機Ｈｘは、計算機Ｈ２の現在位置を示
すネットワーク全体で一意であるアドレスを知らないと
いうことを意味する。そこで、計算機Ｈｘに、計算機Ｈ
２の現在位置を示すネットワーク全体で一意であるアド
レスＣＡ２を通知する。

【００６２】このようにすれば、計算機Ｈｘは、計算機
Ｈ２宛のパケットの宛先アドレスとして、該計算機Ｈ２
のネットワーク全体で一意であるアドレスＣＡ２を指定
することができるようになるので、計算機Ｈｘから計算
機Ｈ２への通信経路も、ホームルータＨＲを経由せず、
冗長のないものにすることができる。

【００６３】なお、上記のような外部組織のネットワー
クに接続された計算機は、自組織ネットワークに対する
セキュリティー上の観点から、自組織ネットワークをホ
ームとする移動計算機の移動先アドレスを通知すること
が好ましくないものである場合がある。そこで、上記の
ように外部組織のネットワークに接続された計算機に自
組織ネットワークをホームとする移動計算機の移動先ア
ドレスを通知するにあたっては、例えば計算機Ｈｘが予
め登録されたものであることが確認されたことを条件と
するなど、所定のポリシーに従った条件を課すようにし
ても良い。

【００６４】本発明は、現在様々提案されている移動通
信プロトコルに対して、本発明の構成要素を適宜組み合
わせることで容易に実現が可能である。また、本発明
は、上述した実施の形態に限定されるものではなく、そ
の技術的範囲において種々変形して実施することができ
る。特に、本発明は、様々な移動通信プロトコルに対し
て上述した実施の形態を適宜修正することで容易に実現
が可能である。

【００６５】

【発明の効果】本発明によれば、移動計算機とその通信
相手の位置情報を検出し、該通信相手に該移動計算機の
位置を識別可能なネットワーク全体で一意に定められた
位置識別子を通知し、従来ホームルータ装置を経由して
のみ可能であった移動計算機とその通信相手とのデータ
通信について、ホームルータ装置を経由することなく直
接接続を行わせるよう制御するので、両者が直結可能で
あればそれ以降の通信効率を高くすることが可能であ
る。

【図面の簡単な説明】

【図１】本発明の実施の形態に係るネットワーク構成を
示す基本構成図

【図２】アドレス管理テーブルの一例を示す図

【図３】経路制御装置による制御の一例を示すフローチ
ャート

【図４】本発明の実施の形態に係る経路最適化の制御コ
マンドの流れを示す図

【図５】本発明の実施の形態に係る他のネットワーク構
成を示す基本構成図

【図６】経路制御装置による制御の一例を示すフローチ
ャート

【図７】経路制御装置による制御の一例を示すフローチ
ャート

【符号の説明】

１ａ…自組織ネットワーク １ｂ，１ｃ…外部の自組織ネットワーク １ｄ…外部ネットワーク ４ａ〜４ｅ…データパケット処理装置 ＨＲ…ホームルータ Ｈ１〜Ｈ３…ホスト計算機 １２…経路制御装置 ２０…バス

───────────────────────────────────────────────────── フロントページの続き (72)発明者 新保 淳 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 (72)発明者 岡本 利夫 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内

Claims (6)

【特許請求の範囲】
1. 【請求項１】通信網を介して他の計算機ネットワークに
   接続され、自組織ネットワーク内の所定の接続位置をホ
   ームとする計算機の現在位置を管理し転送されてきたパ
   ケットを宛先計算機に中継するホームルータ装置を備え
   た計算機ネットワークシステムにおいて、計算機間の通
   信経路を制御するための通信経路制御方法であって、 前記計算機に固有の前記自組織ネットワーク内で一意に
   定められた第１の位置識別子と、該計算機のうちホーム
   の接続位置から移動した計算機について該計算機が移動
   した位置を識別可能なネットワーク全体で一意に定めら
   れた第２の位置識別子とを対応付けたアドレス情報を記
   憶し、 前記ホームルータ装置により中継されるパケット内に含
   まれる前記第１の位置識別子からなる送信元情報および
   宛先情報と前記アドレス情報とに基づいて、前記パケッ
   トを通信する２つの計算機夫々について、前記自組織ネ
   ットワーク内のホームの接続位置から移動しているもの
   であるか否かを判断し、 前記パケットを通信する２つの計算機のうち少なくとも
   一方が前記自組織ネットワーク内のホームの接続位置か
   ら移動しているものであると判断された場合、少なくと
   も該移動している計算機の通信相手に該移動している計
   算機に対する前記第２の位置識別子を送信することを特
   徴とする通信経路制御方法。
2. 【請求項２】前記第２の位置識別子を送信した後に、前
   記自組織ネットワーク内の前記ホームルータ装置を前記
   ２つの計算機間にて通信されるパケットが再度通過した
   ことが検出された場合、前記第２の位置識別子の送信先
   の計算機に前記自組織ネットワーク内の前記ホームルー
   タ装置を経由した通信を行なう旨の制御情報を送信する
   ことを特徴とする請求項１に記載の通信経路制御方法。
3. 【請求項３】前記判断にあたって、前記送信元情報に対
   応する前記第２の位置識別子と前記宛先情報に対応する
   前記第２の位置識別子とを比較して、前記２つの計算機
   夫々が同一のネットワーク内に存在するか否かを判定
   し、 前記２つの計算機夫々が同一のネットワーク内に存在す
   ると判定された場合、通信データに対するデータ加工処
   理を行わず最短の経路で直接通信するよう通信経路を変
   更することを指示する制御情報をも送信することを特徴
   とする請求項１に記載の通信経路制御方法。
4. 【請求項４】前記判定にあたって、前記２つの計算機間
   で通信される通信データに対するデータ加工処理の内容
   が変更されるか否かをも併せて判定し、直接通信を確立
   させると変更が生じる場合、前記第２の位置識別子及び
   前記制御情報を双方に返信しないことを特徴とする請求
   項３に記載の通信経路制御方法。
5. 【請求項５】前記判断にあたって、前記２つの計算機間
   で通信される通信データに対するデータ加工処理の内容
   が変更されるか否かをも併せて判定し、直接通信を確立
   させると変更が生じる場合、前記制御情報に通信データ
   のデータ加工処理の内容を変更させる指示情報を含める
   ことを特徴とする請求項３に記載の通信経路制御方法。
6. 【請求項６】通信網を介して他の計算機ネットワークに
   接続され、自組織ネットワーク内の所定の接続位置をホ
   ームとする計算機の現在位置を管理し転送されてきたパ
   ケットを宛先計算機に中継するホームルータ装置を備え
   た計算機ネットワークシステムにおいて、該自組織ネッ
   トワーク内の所定の接続位置をホームとする計算機間の
   通信経路を制御するための通信経路制御装置であって、 前記計算機に固有の前記自組織ネットワーク内で一意に
   定められた第１の位置識別子と、該計算機のうちホーム
   の接続位置から移動した計算機について該計算機が移動
   した位置を識別可能なネットワーク全体で一意に定めら
   れた第２の位置識別子とを対応付けたアドレス情報を記
   憶する手段と、 前記ホームルータ装置により中継されるパケット内に含
   まれる前記第１の位置識別子からなる送信元情報および
   宛先情報と前記アドレス情報とに基づいて、前記パケッ
   トを通信する２つの計算機夫々について、前記自組織ネ
   ットワーク内のホームの接続位置から移動しているもの
   であるか否かを判断する手段と、 前記パケットを通信する２つの計算機のうち少なくとも
   一方が前記自組織ネットワーク内のホームの接続位置か
   ら移動しているものであると判断された場合、少なくと
   も該移動している計算機の通信相手に該移動している計
   算機に対する前記第２の位置識別子を送信する手段とを
   備えたことを特徴とする通信経路制御装置。