JPWO2006043327A1 - 中継装置及びネットワークシステム - Google Patents
中継装置及びネットワークシステム Download PDFInfo
- Publication number
- JPWO2006043327A1 JPWO2006043327A1 JP2006542144A JP2006542144A JPWO2006043327A1 JP WO2006043327 A1 JPWO2006043327 A1 JP WO2006043327A1 JP 2006542144 A JP2006542144 A JP 2006542144A JP 2006542144 A JP2006542144 A JP 2006542144A JP WO2006043327 A1 JPWO2006043327 A1 JP WO2006043327A1
- Authority
- JP
- Japan
- Prior art keywords
- packet
- management
- authentication
- unit
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
パケット分類部３９は、入力したパケットを、透過パケット、管理パケット等に分類する。透過パケットは、パケット分類部３９、出力パケット振り分け部４６を介し送信優先度制御部５１に送られる。管理パケットは、パケット認証部４４、出力パケット振り分け部４６を介し、管理パケットを管理制御部４５に送られる。管理制御部４５は管理パケットを解読後、管理通信用送信パケットを出力する。管理通信用送信パケットはパケット振り分け部４６、送信パケット認証処理部４９、認証パケット生成部５０を介して送信優先度制御部５１に送られる。送信優先度制御部５１は透過パケットよりも管理通信用送信パケットを優先して送信する。
Description
この発明は、ネットワークとネットワークとの間でパケットを中継するネットワークシステム及び中継装置に関する。
従来、ウイルスやウァーム等に起因した不正パケットを監視・制御する方策として、侵入検知装置による不正パケットの検知とファイアウォールやルータ等による特定パケットの遮断が行なわれている。また、複数ルータ間の連携で不正パケットの流入口を特定して不正パケットの中継を防止する方策（例えば、特許文献１）やネットワーク監視装置、トラフィック監視装置及び捜査情報収集制御装置により、ネットワークにおける監視対象ホストの重要度、トラフィック量、サービスの重要度に応じた不正パケットの監視・制御を行なう方策（例えば、特許文献２）などが提案されている。
従来は、ウイルスやウァーム等の侵入により、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）内に予期しない不正パケットが蔓延して電子メール等のサービスが継続できなくなった場合、侵入検知装置で不正パケットを即座に特定し、ファイアウォールやルータの設定を変更して遮断することは困難なことから、例えばＬＡＮの建屋レベルの分起点に設けられたファイアウォールやルータで一旦全てのパケットを遮断し、不正パケットの発生がおさまるまで、障害の発生しているサブネットワークを含む広い範囲のネットワークを隔離しなければならないという問題点があった。更に、ネットワークを遮断した結果、管理通信も使用できなくなり、機器の管理や制御が遠隔から集中的に行なえなくなる問題点があった。
また、特許文献１によれば、不正パケットによる攻撃を検知したルータからの情報に基づいて、ルータ間の通信により外部ネットワークから攻撃を受信しているルータで攻撃を遮断することができる。しかし、ルータ間の情報交換に必要な通信の確保が前提となっている。このため、攻撃発生箇所がネットワーク内に広範囲に分散しうるＬＡＮ環境においては、攻撃が発生した瞬間、ルータ間の通信が確保できなくなる。更に、本方式を既存のＬＡＮ環境に適用しようとした場合、攻撃元を特定するために多くのルータを配備する必要があり、ＬＡＮ環境に与える影響が大きく、既存のＬＡＮ環境に容易に適用できる方策が求められる。
また、特許文献２によれば、監視対象の性格や状況に応じて、疑わしい通信を継続的に監視することにより、不正侵入等を検知する方策が述べられている。しかし、大規模なＬＡＮ環境に適用しようとした場合、監視のための通信確保と通信量抑制等の工夫が必要である。
特開２００３−３３３０９２号公報
特開２００２−３４２２７６号公報
この発明は、既存のＬＡＮ内に多数の監視・制御ポイントを容易に追加でき、隔離するネットワークの範囲を狭め、予期しない不正パケットによる攻撃が発生中であっても、ネットワークの監視・制御のための管理通信や正常なサブネットワーク間の通信を確保することを目的とする。
本発明のネットワークシステムは、
複数のネットワークの集合として構成される集合ネットワークを構成する構成ネットワークの間の通信を中継する複数の中継装置を備え、
前記複数の中継装置のそれぞれは、
集合ネットワークで通信されるパケットを自己の接続する構成ネットワークから受信した場合に、内容を解読する解読パケットと自己の装置内を透過させる透過パケットとの少なくともいずれかに分類することを特徴とする。
複数のネットワークの集合として構成される集合ネットワークを構成する構成ネットワークの間の通信を中継する複数の中継装置を備え、
前記複数の中継装置のそれぞれは、
集合ネットワークで通信されるパケットを自己の接続する構成ネットワークから受信した場合に、内容を解読する解読パケットと自己の装置内を透過させる透過パケットとの少なくともいずれかに分類することを特徴とする。
前記ネットワークシステムは、さらに、
前記集合ネットワークに配置されることにより、前記複数の中継装置の少なくともいずれかを指定する指定情報と、指定情報により指定された指定中継装置に対して所定の制御を指示する制御情報とを含む制御パケットを自己に隣接する中継装置に送信する管理装置を備え、
前記複数の中継装置のうち前記管理装置より制御パケットを受信する前記中継装置から前記指定中継装置に隣接する中継装置までのそれぞれの中継装置は、
制御パケットを受信した場合に、受信した制御パケットを解読パケットに分類し、解読パケットに分類した制御パケットの解読結果に基づいて、制御パケットを前記指定中継装置に向けて配信することを特徴とする。
前記集合ネットワークに配置されることにより、前記複数の中継装置の少なくともいずれかを指定する指定情報と、指定情報により指定された指定中継装置に対して所定の制御を指示する制御情報とを含む制御パケットを自己に隣接する中継装置に送信する管理装置を備え、
前記複数の中継装置のうち前記管理装置より制御パケットを受信する前記中継装置から前記指定中継装置に隣接する中継装置までのそれぞれの中継装置は、
制御パケットを受信した場合に、受信した制御パケットを解読パケットに分類し、解読パケットに分類した制御パケットの解読結果に基づいて、制御パケットを前記指定中継装置に向けて配信することを特徴とする。
前記管理装置は、
指定情報として複数の中継装置を指定中継装置に指定し、制御情報として前記複数の指定中継装置に所定の情報を要求する情報要求を制御パケットに含め、
前記複数の指定中継装置のそれぞれは、
前記情報要求を含む制御パケットを受信した場合に、受信した制御パケットを解読パケットに分類し、解読パケットに分類した制御パケットの解読結果に基づいて、前記情報要求に対応する対応情報を含む応答パケットを他の中継装置に送信し、
前記他の中継装置は、
複数の指定中継装置のそれぞれから応答パケットを受信した場合に、それぞれの応答パケットを統合した統合パケットを生成し、生成した統合パケットを前記管理装置に向けて送信することを特徴とする。
指定情報として複数の中継装置を指定中継装置に指定し、制御情報として前記複数の指定中継装置に所定の情報を要求する情報要求を制御パケットに含め、
前記複数の指定中継装置のそれぞれは、
前記情報要求を含む制御パケットを受信した場合に、受信した制御パケットを解読パケットに分類し、解読パケットに分類した制御パケットの解読結果に基づいて、前記情報要求に対応する対応情報を含む応答パケットを他の中継装置に送信し、
前記他の中継装置は、
複数の指定中継装置のそれぞれから応答パケットを受信した場合に、それぞれの応答パケットを統合した統合パケットを生成し、生成した統合パケットを前記管理装置に向けて送信することを特徴とする。
前記他の中継装置は、
前記指定中継装置から応答パケットを受信した場合に、前記指定中継装置から自己への経路を示す経路情報を含む統合パケットを生成することを特徴とする。
前記指定中継装置から応答パケットを受信した場合に、前記指定中継装置から自己への経路を示す経路情報を含む統合パケットを生成することを特徴とする。
前記他の中継装置は、
前記指定中継装置から応答パケットを受信した場合に、前記指定中継装置から自己への経路を示す経路情報を記憶することを特徴とする。
前記指定中継装置から応答パケットを受信した場合に、前記指定中継装置から自己への経路を示す経路情報を記憶することを特徴とする。
前記中継装置のそれぞれは、
所定の管理情報を保有し、自己の接続する構成ネットワークに新たに中継装置が設置された場合に、設置された前記中継装置に前記所定の管理情報を提供することを特徴とする。
所定の管理情報を保有し、自己の接続する構成ネットワークに新たに中継装置が設置された場合に、設置された前記中継装置に前記所定の管理情報を提供することを特徴とする。
本発明の中継装置は、
第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
第１ネットワークからパケットを受信し、受信したパケットを通信の管理に使用する管理パケットと自己の装置内部を透過させる透過パケットとの少なくともいずれかに分類するパケット分類部と、
前記パケット分類部が分類した透過パケットを第２ネットワークへ送信する送信部と、
前記パケット分類部が分類した管理パケットを入力して、管理パケットを解読する管理制御部と
を備えたことを特徴とする。
第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
第１ネットワークからパケットを受信し、受信したパケットを通信の管理に使用する管理パケットと自己の装置内部を透過させる透過パケットとの少なくともいずれかに分類するパケット分類部と、
前記パケット分類部が分類した透過パケットを第２ネットワークへ送信する送信部と、
前記パケット分類部が分類した管理パケットを入力して、管理パケットを解読する管理制御部と
を備えたことを特徴とする。
前記パケット分類部は、
第１ネットワークから所定のフォーマットのパケットを受信パケットとして受信し、
前記送信部は、
前記パケット分類部が受信パケットを透過パケットに分類した場合、透過パケットのフォーマットを受信パケットのフォーマットから変更することなく透過パケットを第２ネットワークへ送信することを特徴とする。
第１ネットワークから所定のフォーマットのパケットを受信パケットとして受信し、
前記送信部は、
前記パケット分類部が受信パケットを透過パケットに分類した場合、透過パケットのフォーマットを受信パケットのフォーマットから変更することなく透過パケットを第２ネットワークへ送信することを特徴とする。
前記パケット分類部は、
第１ネットワークから受信した所定のパケットをモニタの対象であるモニタパケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が分類したモニタパケットの数を測定するモニタパケットカウンタ
を備えたことを特徴とする。
第１ネットワークから受信した所定のパケットをモニタの対象であるモニタパケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が分類したモニタパケットの数を測定するモニタパケットカウンタ
を備えたことを特徴とする。
前記管理制御部は、
前記パケット分類部が分類したモニタパケットを解析することを特徴とする。
前記パケット分類部が分類したモニタパケットを解析することを特徴とする。
前記中継装置は、さらに、
前記パケット分類部が分類した透過パケットの数を測定する透過パケットカウンタを備え、
前記パケット分類部は、
前記透過パケットカウンタの測定数に基づいて、受信するパケットを透過パケットから廃棄の対象である廃棄対象パケットへ分類を変更することを特徴とする。
前記パケット分類部が分類した透過パケットの数を測定する透過パケットカウンタを備え、
前記パケット分類部は、
前記透過パケットカウンタの測定数に基づいて、受信するパケットを透過パケットから廃棄の対象である廃棄対象パケットへ分類を変更することを特徴とする。
前記パケット分類部は、
第１ネットワークからパケットの廃棄を指示する廃棄指示を含む廃棄指示パケットを受信した場合に、受信した廃棄指示パケットを管理パケットに分類し、
前記管理制御部は、
管理パケットに分類した廃棄指示パケットに含まれる廃棄指示に基づいて、前記パケット分類部に対して、前記パケット分類部が受信するパケットを透過パケットから廃棄の対象である廃棄対象パケットへ分類を変更させることを特徴とする。
第１ネットワークからパケットの廃棄を指示する廃棄指示を含む廃棄指示パケットを受信した場合に、受信した廃棄指示パケットを管理パケットに分類し、
前記管理制御部は、
管理パケットに分類した廃棄指示パケットに含まれる廃棄指示に基づいて、前記パケット分類部に対して、前記パケット分類部が受信するパケットを透過パケットから廃棄の対象である廃棄対象パケットへ分類を変更させることを特徴とする。
前記パケット分類部は、
第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを管理パケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が管理パケットに分類した認証情報付加パケットを認証し、認証が成立した場合に、認証が成立した認証情報付加パケットを前記管理制御部に出力するパケット認証部を備えたことを特徴とする。
第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを管理パケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が管理パケットに分類した認証情報付加パケットを認証し、認証が成立した場合に、認証が成立した認証情報付加パケットを前記管理制御部に出力するパケット認証部を備えたことを特徴とする。
前記管理制御部は、
管理パケットの解読結果に基づいて所定の管理情報を含む管理通信用送信パケットを生成し、生成した管理通信用送信パケットを出力し、
前記送信部は、
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットを透過パケットよりも上位の優先順位で第２ネットワークへ送信することを特徴とする。
管理パケットの解読結果に基づいて所定の管理情報を含む管理通信用送信パケットを生成し、生成した管理通信用送信パケットを出力し、
前記送信部は、
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットを透過パケットよりも上位の優先順位で第２ネットワークへ送信することを特徴とする。
前記中継装置は、さらに、
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットに管理通信用送信パケットであることを指標する指標情報を含むヘッダを付加してヘッダ付加パケットとして出力するヘッダ付加部を備え、
前記送信部は、
前記ヘッダ付加部が出力したヘッダ付加パケットを入力し、入力したヘッダ付加パケットを透過パケットよりも上位の優先順位で第２ネットワークへ送信することを特徴とする。
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットに管理通信用送信パケットであることを指標する指標情報を含むヘッダを付加してヘッダ付加パケットとして出力するヘッダ付加部を備え、
前記送信部は、
前記ヘッダ付加部が出力したヘッダ付加パケットを入力し、入力したヘッダ付加パケットを透過パケットよりも上位の優先順位で第２ネットワークへ送信することを特徴とする。
前記中継装置は、さらに、
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットに認証情報を付加して認証情報付加パケットとして出力する認証情報付加部を備え、
前記ヘッダ付加部は、
前記認証情報付加部が出力した認証情報付加パケットを入力し、入力した認証情報付加パケットに管理通信用送信パケットであることを指標する指標情報を含むヘッダを付加してヘッダ付加パケットとして出力することを特徴とする。
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットに認証情報を付加して認証情報付加パケットとして出力する認証情報付加部を備え、
前記ヘッダ付加部は、
前記認証情報付加部が出力した認証情報付加パケットを入力し、入力した認証情報付加パケットに管理通信用送信パケットであることを指標する指標情報を含むヘッダを付加してヘッダ付加パケットとして出力することを特徴とする。
前記管理制御部は、
前記パケット分類部が受信したパケットを管理パケットに分類する管理パケット分類条件を格納するとともに、格納する管理パケット分類条件を前記パケット分類部に通知し、
前記パケット分類部は、
前記管理制御部から通知された管理パケット分類条件に基づいて、受信したパケットを管理パケットに分類することを特徴とする。
前記パケット分類部が受信したパケットを管理パケットに分類する管理パケット分類条件を格納するとともに、格納する管理パケット分類条件を前記パケット分類部に通知し、
前記パケット分類部は、
前記管理制御部から通知された管理パケット分類条件に基づいて、受信したパケットを管理パケットに分類することを特徴とする。
前記管理制御部は、
所定の場合に、所定の管理パケット分類条件を前記パケット分類部に再度通知し、
前記パケット分類部は、
前記管理制御部から再度通知された管理パケット分類条件に基づいて、受信したパケットを管理パケットに分類することを特徴とする。
所定の場合に、所定の管理パケット分類条件を前記パケット分類部に再度通知し、
前記パケット分類部は、
前記管理制御部から再度通知された管理パケット分類条件に基づいて、受信したパケットを管理パケットに分類することを特徴とする。
前記中継装置は、さらに、
前記パケット分類部が分類した管理パケットの数を測定する管理パケットカウンタを備え、
前記管理制御部は、
前記管理パケットカウンタが測定した管理パケットの測定数に基づいて、所定の管理パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
前記パケット分類部が分類した管理パケットの数を測定する管理パケットカウンタを備え、
前記管理制御部は、
前記管理パケットカウンタが測定した管理パケットの測定数に基づいて、所定の管理パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
前記パケット分類部は、
第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを管理パケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が管理パケットに分類した認証情報付加パケットを認証するパケット認証部を備え、
前記管理制御部は、
前記パケット認証部による管理パケットの認証結果に基づいて、所定の管理パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを管理パケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が管理パケットに分類した認証情報付加パケットを認証するパケット認証部を備え、
前記管理制御部は、
前記パケット認証部による管理パケットの認証結果に基づいて、所定の管理パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
本発明の中継装置は、
第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
第２ネットワークに異常が発生している場合に、第１ネットワークから受信した所定のパケットを認証情報を付加する対象である対象パケットに分類するパケット分類部と、
前記パケット分類部が分類した対象パケットに認証情報を付加する認証情報付加部と、
前記認証情報付加部が認証情報を付加した対象パケットを第２ネットワークへ送信する送信部と
を備えたことを特徴とする。
第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
第２ネットワークに異常が発生している場合に、第１ネットワークから受信した所定のパケットを認証情報を付加する対象である対象パケットに分類するパケット分類部と、
前記パケット分類部が分類した対象パケットに認証情報を付加する認証情報付加部と、
前記認証情報付加部が認証情報を付加した対象パケットを第２ネットワークへ送信する送信部と
を備えたことを特徴とする。
本発明の中継装置は、
第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
異常が発生している第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを認証パケットに分類するパケット分類部と、
前記パケット分類部が分類した認証パケットを入力して認証し、認証が成立した場合に、認証の成立した認証パケットを出力するパケット認証部と、
前記パケット認証部が出力した認証パケットを入力して第２ネットワークへ出力する送信部と
を備えたことを特徴とする。
第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
異常が発生している第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを認証パケットに分類するパケット分類部と、
前記パケット分類部が分類した認証パケットを入力して認証し、認証が成立した場合に、認証の成立した認証パケットを出力するパケット認証部と、
前記パケット認証部が出力した認証パケットを入力して第２ネットワークへ出力する送信部と
を備えたことを特徴とする。
前記中継装置は、さらに、
前記パケット分類部が受信した認証情報付加パケットを認証パケットに分類する複数の認証パケット分類条件を格納し、格納した複数の認証パケット分類条件のいずれかを前記パケット分類部に通知する管理制御部を備え、
前記パケット分類部は、
前記管理制御部から通知された認証パケット分類条件に基づいて、受信した認証情報付加パケットを認証パケットに分類することを特徴とする。
前記パケット分類部が受信した認証情報付加パケットを認証パケットに分類する複数の認証パケット分類条件を格納し、格納した複数の認証パケット分類条件のいずれかを前記パケット分類部に通知する管理制御部を備え、
前記パケット分類部は、
前記管理制御部から通知された認証パケット分類条件に基づいて、受信した認証情報付加パケットを認証パケットに分類することを特徴とする。
前記管理制御部は、
所定の場合に、所定の認証パケット分類条件を前記パケット分類部に再度通知し、
前記パケット分類部は、
前記管理制御部から再度通知された認証パケット分類条件に基づいて、受信したパケットを認証パケットに分類することを特徴とする。
所定の場合に、所定の認証パケット分類条件を前記パケット分類部に再度通知し、
前記パケット分類部は、
前記管理制御部から再度通知された認証パケット分類条件に基づいて、受信したパケットを認証パケットに分類することを特徴とする。
前記管理制御部は、
前記パケット認証部による認証パケットの認証結果に基づいて、所定の認証パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
前記パケット認証部による認証パケットの認証結果に基づいて、所定の認証パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
前記中継装置は、さらに、
前記パケット分類部が分類した認証パケットの数を測定する認証パケットカウンタを備え、
前記管理制御部は、
前記認証パケットカウンタが測定した認証パケットの測定数に基づいて、所定の認証パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
前記パケット分類部が分類した認証パケットの数を測定する認証パケットカウンタを備え、
前記管理制御部は、
前記認証パケットカウンタが測定した認証パケットの測定数に基づいて、所定の認証パケット分類条件を前記パケット分類部に再度通知することを特徴とする。
本発明により、ウィルスや予期しない不正パケットにより攻撃された場合にも、ネットワークの監視・制御のための管理通信や正常なサブネットワーク間の通信を確保することができる。また、ウィルスや予期しない不正パケットにより攻撃された場合にも、隔離するネットワークの範囲を狭めることができる。
実施の形態１．
図１〜図１１を用いて実施の形態１を説明する。
図１は、実施の形態１におけるネットワークシステム１０００のネットワーク構成を示す図である。ネットワーク全体は、ＩＰパケットによる通信を行うローカルエリアネットワーク（ＬＡＮ）で構成される。ネットワークシステム１０００は、ＬＡＮ網１５〜１８と、サブネットワーク１９〜２６とから構成される。これらＬＡＮ網１５〜１８、及びサブネットワーク１９〜２６は、図１のネットワークシステムを構成する構成ネットワークである。これらの構成ネットワークは、階層構造を形成している。ＬＡＮ網１５が第１層であり、ＬＡＮ網１６〜１８が第２層であり、サブネットワーク１９〜２６が第３層である階層構造を形成する。
図１〜図１１を用いて実施の形態１を説明する。
図１は、実施の形態１におけるネットワークシステム１０００のネットワーク構成を示す図である。ネットワーク全体は、ＩＰパケットによる通信を行うローカルエリアネットワーク（ＬＡＮ）で構成される。ネットワークシステム１０００は、ＬＡＮ網１５〜１８と、サブネットワーク１９〜２６とから構成される。これらＬＡＮ網１５〜１８、及びサブネットワーク１９〜２６は、図１のネットワークシステムを構成する構成ネットワークである。これらの構成ネットワークは、階層構造を形成している。ＬＡＮ網１５が第１層であり、ＬＡＮ網１６〜１８が第２層であり、サブネットワーク１９〜２６が第３層である階層構造を形成する。
ネットワークシステム１０００は、ＬＡＮ監視・制御装置１〜１３（中継装置の一例）及び管理装置１４を備える。ＬＡＮ監視・制御装置１〜１３は、ネットワーク間おいてパケットを中継するとともに、自己の接続するネットワークを監視する。ＬＡＮ監視・制御装置１〜１３は、ＬＡＮ構成に沿って階層構造となるように配置されている。また、管理装置１４は、ＬＡＮ監視・制御装置１〜１３等を監視、制御する。なお、ＬＡＮ監視・制御装置１等がパケットを入力するネットワークが第１ネットワークであり、パケットを出力するネットワークが第２ネットワークである。
図２は、ＬＡＮ監視・制御装置１の一例を示したブロック図である。ＬＡＮ監視・制御装置２〜ＬＡＮ監視・制御装置１３も同様の構成である。なおＬＡＮ監視・制御装置１の構成の詳細は、実施の形態３で詳述する。このため、実施の形態１では、構成の概要を説明する。
ＬＡＮ監視・制御装置１は、ダウンストリームパケット処理部６３、管理制御部４５、アップストリームパケット処理部６４とを備える。
ダウンストリームパケット処理部６３は、ダウンストリームパケット入力５２を入力し、ダウンストリームパケット出力５３を出力する。また、アップストリームパケット処理部６４は、アップストリームパケット入力６５を入力し、アップストリームパケット出力６６を出力する。ダウンストリームパケット処理部６３とアップストリームパケット処理部６４とは対をなす。図２では、ダウンストリームパケット処理部６３のみ内部構成を示している。アップストリームパケット処理部６４の内部構成もダウンストリームパケット処理部６３と同様である。アップストリームパケット処理部６４の内部構成は、ダウンストリームパケット処理部６３において、ダウンストリームパケット入力５２をアップストリームパケット入力６５に置き換え、ダウンストリームパケット出力５３をアップストリームパケット出力６６に置き換えた構成になっている。図３にアップストリームパケット処理部６４の内部構成を示した。
ＬＡＮ監視・制御装置１の構成を説明する
（１）パケット分類部３９は、受信パケットを透過パケット、廃棄パケット、認証パケット、管理パケット、モニタパケットに分類する。
（２）管理パケットカウンタ８５、透過パケットカウンタ６０、廃棄パケットカウンタ５８、不正パケットカウンタ６１、認証済みパケットカウンタ６２、モニタパケットカウンタ５９等のカウント部は、パケット分類部３９が分類した各パケットの数を積算（測定）する。
（３）パケット認証部４４は、認証パケット及び管理パケットを認証してパケットの正当性を確認する。
（４）出力パケット振り分け部４６は、パケット分類部３９からパケットを入力して、出力先を振り分ける。
（４）送信パケット認証処理部４９は、送信パケットに認証情報を付加する。
（５）認証パケット生成部５０は、送信パケットに認証パケット或いは管理パケットとして分類できるヘッダを付加する。
（６）送信優先度制御部５１（送信部の一例）は、管理パケットを第一位の優先順位とし、認証パケットを第二位の優先順位とし、透過パケットを第三位の優先順位として送信する。
（７）管理制御部４５は、管理パケットを解読し、また、管理通信の授受と処理及びＬＡＮ監視・制御装置１全体の管理や制御を行なう。また、管理制御部４５は、管理パケット分類条件及び認証パケット分類条件を格納する。以上、ＬＡＮ監視・制御装置１の構成を説明した。さらに、詳細は実施の形態３で説明する。
（１）パケット分類部３９は、受信パケットを透過パケット、廃棄パケット、認証パケット、管理パケット、モニタパケットに分類する。
（２）管理パケットカウンタ８５、透過パケットカウンタ６０、廃棄パケットカウンタ５８、不正パケットカウンタ６１、認証済みパケットカウンタ６２、モニタパケットカウンタ５９等のカウント部は、パケット分類部３９が分類した各パケットの数を積算（測定）する。
（３）パケット認証部４４は、認証パケット及び管理パケットを認証してパケットの正当性を確認する。
（４）出力パケット振り分け部４６は、パケット分類部３９からパケットを入力して、出力先を振り分ける。
（４）送信パケット認証処理部４９は、送信パケットに認証情報を付加する。
（５）認証パケット生成部５０は、送信パケットに認証パケット或いは管理パケットとして分類できるヘッダを付加する。
（６）送信優先度制御部５１（送信部の一例）は、管理パケットを第一位の優先順位とし、認証パケットを第二位の優先順位とし、透過パケットを第三位の優先順位として送信する。
（７）管理制御部４５は、管理パケットを解読し、また、管理通信の授受と処理及びＬＡＮ監視・制御装置１全体の管理や制御を行なう。また、管理制御部４５は、管理パケット分類条件及び認証パケット分類条件を格納する。以上、ＬＡＮ監視・制御装置１の構成を説明した。さらに、詳細は実施の形態３で説明する。
ネットワークシステム１０００において、管理装置１４は、ＬＡＮ監視・制御装置１〜１３から監視情報を受信するとともに、ＬＡＮ制御情報をＬＡＮ監視・制御装置１〜１３に送信してＬＡＮを監視・制御する。
ＬＡＮ網１５〜１８は、ルータ、スイッチ及びハブ等の通信機器で構成される。
サブネットワーク１９〜２６は、スイッチやハブ等のネットワーク機器にパソコンやサーバ等の端末装置を含んだ、２７は外部ネットワークとのインターフェースで、従来、ファイアウォールや侵入検知装置が設置される位置である。
次に動作について説明する。まず、ＬＡＮの正常運用時（ネットワークシステム１０００に異常が発生していない場合）における、パケット中継動作を説明する。ＬＡＮ監視・制御装置１〜１３は、パケット分類部３９により受信パケットを透過パケットに分類する。そして、送信優先度制御部５１を通してそのまま装置が接続されている反対側のネットワークに送信することにより、リピータとして動作する。すなわち、ＬＡＮ監視・制御装置１〜１３は、ネットワーク（第１ネットワーク）から受信する受信パケットのフォーマットを変更することなく、そのまま反対側のネットワーク（第２ネットワーク）に送信する。図２に示した構成に基づき説明する。
（１）パケット分類部３９は、ネットワーク（第１ネットワーク）から所定のフォーマットのパケットを受信パケットとして受信する。そして、受信パケットを透過パケットに分類する。パケット分類部３９は、受信パケットを透過パケットに分類する場合、受信パケットのフォーマットをなんら変更しない。パケット分類部３９は、透過パケットを出力パケット振り分け部４６に出力する。
（２）出力パケット振り分け部４６は、パケット分類部３９から透過パケットを入力し、フォーマットを変更することなく、送信先優先度制御部５１に出力する。
（３）送信先優先度制御部５１は、出力パケット振り分け部４６から透過パケットを入力すると、透過パケットのフォーマットを受信パケットのフォーマットから変更することなく反対側のネットワーク（第２ネットワーク）に送信する。従って、ＬＡＮ内（ネットワークシステム１０００内）のその他の機器から、ＬＡＮ監視・制御装置１〜１３は、透過に見える。なお、送信優先度制御部５１は、透過パケットを送信する場合、透過パケットを形成する形成信号を増幅して出力する。
（１）パケット分類部３９は、ネットワーク（第１ネットワーク）から所定のフォーマットのパケットを受信パケットとして受信する。そして、受信パケットを透過パケットに分類する。パケット分類部３９は、受信パケットを透過パケットに分類する場合、受信パケットのフォーマットをなんら変更しない。パケット分類部３９は、透過パケットを出力パケット振り分け部４６に出力する。
（２）出力パケット振り分け部４６は、パケット分類部３９から透過パケットを入力し、フォーマットを変更することなく、送信先優先度制御部５１に出力する。
（３）送信先優先度制御部５１は、出力パケット振り分け部４６から透過パケットを入力すると、透過パケットのフォーマットを受信パケットのフォーマットから変更することなく反対側のネットワーク（第２ネットワーク）に送信する。従って、ＬＡＮ内（ネットワークシステム１０００内）のその他の機器から、ＬＡＮ監視・制御装置１〜１３は、透過に見える。なお、送信優先度制御部５１は、透過パケットを送信する場合、透過パケットを形成する形成信号を増幅して出力する。
次に、図３、図４を用いて、ＬＡＮ監視・制御装置１〜１３の間で行なう「管理パケット」の授受動作について説明する。「管理パケット」は、管理装置１４から所定のＬＡＮ監視・制御装置に送信される。あるいは、いずれかのＬＡＮ監視・制御装置から他のＬＡＮ監視・制御装置、または管理装置１４に送信される。以下では、一例として、図１のネットワークシステム１０００において、ＬＡＮ監視・制御装置１がＬＡＮ監視・制御装置３へ「管理パケット」を送信する場合を説明する。
図３は、ＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３との接続を示すブロック図である。区別のため、ＬＡＮ監視・制御装置１のアップストリームパケット処理部６４の構成要素には「ａ」を付した。また、ＬＡＮ監視・制御装置３のダウンストリームパケット処理部６３ｂには「ｂ」を付し、ＬＡＮ監視・制御装置３のアップストリームパケット処理部６４ｃには「ｃ」を付した。数字の同じ構成要素は、同一である。
また、図４は、ＬＡＮ監視・制御装置１がＬＡＮ監視・制御装置３へ「管理パケット」を送信する過程を説明するフローチャートである。図４をもとに説明する。
（１）ＬＡＮ監視・制御装置１は、送信パケット認証処理部４９により管理通信用送信パケットに認証情報を付加して認証パケット生成部５０に渡す（Ｓ１０１）。
（２）認証パケット生成部５０は、送信パケット認証処理部４９から受け取ったパケットに、ＬＡＮ監視・制御装置３のパケット分類部３９ｂが管理パケットに分類できるヘッダを付加し、送信優先度制御部５１に渡す（Ｓ１０２）。
（３）送信優先度制御部５１は、当該パケットを最優先でダウンストリームパケット出力５３としてＬＡＮ網１５（第２ネットワーク）に送信する。この場合、送信待ちの透過パケットがあっても、送信優先度制御部５１は、それを追い越して、当該管理パケットをＬＡＮ網１５へ送信する（Ｓ１０３）。
（４）ＬＡＮ網１５は、当該管理パケットをあて先ＩＰアドレスにもとづき、ＬＡＮ監視・制御装置３へ送る（Ｓ１０４）。
（５）ＬＡＮ監視・制御装置３は、ダウンストリームパケット入力５２ｂから受信した当該パケットをパケット分類部３９によって管理パケットに分類し、パケット認証部４４ｂに渡す（Ｓ１０５）。パケット分類部３９は、管理制御部４５から管理パケット分類条件をあらかじめ通知される。管理制御部４５は、複数の管理パケット分類条件を格納している。そして、管理制御部４５は、所定の管理パケット分類条件をパケット分類部３９に通知する。パケット分類部３９は、通知された管理パケット分類条件に基づいて受信したパケットを管理パケットに分類する。なお、管理制御部４５は、所定の場合に管理パケット分類条件をパケット分類部３９に再通知する。パケット分類部３９は、再通知された管理パケット分類条件で分類を行う。
（６）パケット認証部４４ｂは、受け取った管理パケットに含まれる認証情報をもとに、当該パケットの正当性を検証する（Ｓ１０６，Ｓ１０７）。検証の結果、正当性が確認された場合は、ＬＡＮ監視・制御装置３は、当該パケットをＬＡＮ監視・制御装置１からの管理パケットとして処理する（Ｓ１０８）。具体的には、管理制御部４５ｂが当該パケット（解読パケットの一例）を出力パケット振り分け部４６ｂを介して入力し、解読する。一方、Ｓ１０７において、認証が成立しない場合は、図４のＳ１０９のステップに進む。詳細は、図５の説明で述べる。
（１）ＬＡＮ監視・制御装置１は、送信パケット認証処理部４９により管理通信用送信パケットに認証情報を付加して認証パケット生成部５０に渡す（Ｓ１０１）。
（２）認証パケット生成部５０は、送信パケット認証処理部４９から受け取ったパケットに、ＬＡＮ監視・制御装置３のパケット分類部３９ｂが管理パケットに分類できるヘッダを付加し、送信優先度制御部５１に渡す（Ｓ１０２）。
（３）送信優先度制御部５１は、当該パケットを最優先でダウンストリームパケット出力５３としてＬＡＮ網１５（第２ネットワーク）に送信する。この場合、送信待ちの透過パケットがあっても、送信優先度制御部５１は、それを追い越して、当該管理パケットをＬＡＮ網１５へ送信する（Ｓ１０３）。
（４）ＬＡＮ網１５は、当該管理パケットをあて先ＩＰアドレスにもとづき、ＬＡＮ監視・制御装置３へ送る（Ｓ１０４）。
（５）ＬＡＮ監視・制御装置３は、ダウンストリームパケット入力５２ｂから受信した当該パケットをパケット分類部３９によって管理パケットに分類し、パケット認証部４４ｂに渡す（Ｓ１０５）。パケット分類部３９は、管理制御部４５から管理パケット分類条件をあらかじめ通知される。管理制御部４５は、複数の管理パケット分類条件を格納している。そして、管理制御部４５は、所定の管理パケット分類条件をパケット分類部３９に通知する。パケット分類部３９は、通知された管理パケット分類条件に基づいて受信したパケットを管理パケットに分類する。なお、管理制御部４５は、所定の場合に管理パケット分類条件をパケット分類部３９に再通知する。パケット分類部３９は、再通知された管理パケット分類条件で分類を行う。
（６）パケット認証部４４ｂは、受け取った管理パケットに含まれる認証情報をもとに、当該パケットの正当性を検証する（Ｓ１０６，Ｓ１０７）。検証の結果、正当性が確認された場合は、ＬＡＮ監視・制御装置３は、当該パケットをＬＡＮ監視・制御装置１からの管理パケットとして処理する（Ｓ１０８）。具体的には、管理制御部４５ｂが当該パケット（解読パケットの一例）を出力パケット振り分け部４６ｂを介して入力し、解読する。一方、Ｓ１０７において、認証が成立しない場合は、図４のＳ１０９のステップに進む。詳細は、図５の説明で述べる。
以上の通信で使用する「認証条件」と「管理パケット分類条件」は、予め、ＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３で共有しておく。これらの条件は、管理制御部４５、管理制御部４５ｂ等が格納している。ここで、「認証条件」としては、例えば、認証用鍵と認証アルゴリズムを共有する。また、管理パケットの管理パケット分類条件としては、パケットヘッダの構成要素であるＩＰアドレス、プロトコル番号、ポート番号等の複数フィールドの値の組み合わせで定義し、ＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３で複数種類共有する。但し、あて先ＩＰアドレスは、ＬＡＮ網１５でのパケット転送が可能なように、ＬＡＮ網１７に配信されるＩＰアドレスを指定する。逆に、ＬＡＮ監視・制御装置３からＬＡＮ監視・制御装置１へ管理パケットを送信する場合は、あて先ＩＰアドレスとして、外部ネットワークインターフェース２７に配信されるＩＰアドレスを指定する。
「認証条件」と「管理パケット分類条件」の共有範囲は、ＬＡＮ監視・制御装置１〜１３のＬＡＮ網１５〜１８に接続されるインターフェース毎に定める。例えば、ＬＡＮ網１５にはＬＡＮ監視・制御装置１〜４が接続されており、互いに直接管理通信を行なう。このため、ＬＡＮ監視・制御装置１〜４は、それそれ相互に一対一で固有の「認証条件」と「管理パケット分類条件」とを共有する。一方、ＬＡＮ監視・制御装置２は、ＬＡＮ網１６にも接続しており、ＬＡＮ監視・制御装置５〜７との間で管理通信を行なう。このため、ＬＡＮ監視・制御装置２は、ＬＡＮ監視・制御装置５〜７とも固有の「認証条件」と「管理パケット分類条件」を一対一で共有する。ＬＡＮ監視・制御装置５は、管理装置１４とも接続しているので、ＬＡＮ監視・制御装置５と管理装置１４も固有の認証条件と管理パケット分類条件を共有する。ＬＡＮ監視・制御装置６、７は、ＬＡＮ網１６と反対側のＬＡＮには認証条件と管理パケット分類条件を共有する相手がいないので、末端の装置としてサブネットワーク１９と２０を監視する。
以上では、ＬＡＮ監視・制御装置１〜１３で管理通信を直接授受する相手毎に「認証条件」と「管理パケット分類条件」を共有することとした。しかし、ＬＡＮ網１５〜１８毎に認証条件と管理パケット分類条件を定義し、そこに接続されるＬＡＮ監視・制御装置１〜１３で共通の認証条件と管理パケット分類条件を共有しても構わない。例えば、ＬＡＮ網１５に接続されるＬＡＮ監視・制御装置１〜４で共通の認証条件と管理パケット分類条件を共有する。また、ＬＡＮ網１６に接続されるＬＡＮ監視・制御装置２、５、６、７で別の認証条件と管理パケット分類条件を共有する。
次に、図５を用いて、管理パケット授受の過程で攻撃等の理由で認証エラーが発生した場合の動作を説明する。図５は、図４のＳ１０９の処理を示す。
（１）例えば、ＬＡＮ監視・制御装置３が受信した管理パケットがパケット認証部４４ｂによる認証により認証エラーとなった場合、ＬＡＮ監視・制御装置３の管理制御部４５ｂは、複数共有している「管理パケット分類条件」の中から、代替の「管理パケット分類条件」を選択し、ＬＡＮ監視・制御装置１へ代替の管理パケット分類条件を通知する（Ｓ２０１）。
（２）当該通知を受けたＬＡＮ監視・制御装置１の管理制御部４５は、以降、代替の分類条件に対応した管理パケットを送るよう制御をおこなう（Ｓ２０２）。
（３）なお、ＬＡＮ監視・制御装置３は、変更前に使用していた「管理パケット分類条件」を透過パケットの分類条件に変更すると同時に、モニタパケットの分類条件に加えて、該当する受信パケットを監視し、必要に応じて、廃棄パケットに変更する。一方、認証エラーとなったパケットは、透過パケットとしてＬＡＮ網１７へ中継するか、廃棄パケットとして廃棄する。いずれの処理を行なうかは、事前にＬＡＮ監視・制御装置３に設定しておく。
（１）例えば、ＬＡＮ監視・制御装置３が受信した管理パケットがパケット認証部４４ｂによる認証により認証エラーとなった場合、ＬＡＮ監視・制御装置３の管理制御部４５ｂは、複数共有している「管理パケット分類条件」の中から、代替の「管理パケット分類条件」を選択し、ＬＡＮ監視・制御装置１へ代替の管理パケット分類条件を通知する（Ｓ２０１）。
（２）当該通知を受けたＬＡＮ監視・制御装置１の管理制御部４５は、以降、代替の分類条件に対応した管理パケットを送るよう制御をおこなう（Ｓ２０２）。
（３）なお、ＬＡＮ監視・制御装置３は、変更前に使用していた「管理パケット分類条件」を透過パケットの分類条件に変更すると同時に、モニタパケットの分類条件に加えて、該当する受信パケットを監視し、必要に応じて、廃棄パケットに変更する。一方、認証エラーとなったパケットは、透過パケットとしてＬＡＮ網１７へ中継するか、廃棄パケットとして廃棄する。いずれの処理を行なうかは、事前にＬＡＮ監視・制御装置３に設定しておく。
以上の管理パケット分類条件の変更手順では、認証エラーを検知するとすぐに管理パケット分類条件を変更した。しかし、認証エラーの発生回数をカウントし、一定時間内に発生する認証エラーの回数が既定の回数を越えた時点で、「管理パケット分類条件」を変更するようにしても構わない。具体的には、不正パケットカウンタ６１を用いて、認証エラーとなった管理パケットの数をカウントする。一定時間のカウンタ数が規定値を超えた時点で、管理制御部４５が、自己の管理パケット分類部３９に、管理パケット分類条件を再通知するとともに相手の装置にも通知する。これにより、ネットワークの品質が悪い場合等、攻撃以外で認証エラーが発生しうる環境に対応できる。
更に、管理パケットの通信量をＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３の間で予め共有しておき、管理パケットカウンタ８５により、一定時間に受信した管理パケットの数が規定値を越えたことを検知した場合、予期しない攻撃が発生しているとみなす。そして、例えば、ＬＡＮ監視・制御装置１の管理制御部４５は、自己のパケット分類部３９に管理パケット分類条件を再通知するとともに、ＬＡＮ監視・制御装置３へ通知する。
次に、図６を用いて、管理装置１４が全ＬＡＮ監視・制御装置１〜１３の監視情報を採取する場合の動作を説明する。図６は、管理装置１４が全ＬＡＮ監視・制御装置１〜１３の監視情報を採取する動作を示すフローチャートである。
（１）管理装置１４はＬＡＮ監視・制御装置５に対し監視情報送信要求（情報要求の一例）を含む管理パケットを送る（制御パケットの一例）（Ｓ３０１）。
（２）この管理パケットを受信したＬＡＮ監視・制御装置５は、ＬＡＮ網１６で接続されているＬＡＮ監視・制御装置２、６、７に管理装置１４からの管理パケットを配信するとともに、ＬＡＮ監視・制御装置２、６、７からの監視情報返信（応答パケットの一例）を待つ（Ｓ３０２）。
（３）ＬＡＮ監視・制御装置２は、ＬＡＮ網１５で接続されているＬＡＮ監視・制御装置１、３、４へＬＡＮ監視・制御装置５から受信した管理パケットを配信するとともに、ＬＡＮ監視・制御装置１、３、４からの監視情報返信を待つ（Ｓ３０３）。
（４）ＬＡＮ監視・制御装置１は、外部ネットワークインターフェース２７への管理パケット送信は行なわず、自身の監視情報（対応情報の一例）をＬＡＮ監視・制御装置２へ返送する（Ｓ３０４）。
（５）ＬＡＮ監視装置３とＬＡＮ監視・制御装置４は、それぞれ、直下のＬＡＮ監視・制御装置８〜１３へ管理パケットを送信し、それらの装置からの監視情報返信を待つ（Ｓ３０５）。
（６）ＬＡＮ監視・制御装置６〜１３は、下位のＬＡＮ監視・制御装置を持たない。このため、ＬＡＮ監視・制御装置６と７は、サブネットワーク１９と２０の監視情報をＬＡＮ監視・制御装置５へ返信する。また、ＬＡＮ監視・制御装置８〜１０は、サブネットワーク２１〜２３の監視情報をＬＡＮ監視・制御装置３へ返信する。また、ＬＡＮ監視・制御装置１１〜１３は、サブネットワーク２４〜２６の監視情報をＬＡＮ監視・制御装置４へ返信する（Ｓ３０６）。
（７）ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１１〜１３により返信される監視情報と自身の監視情報を統合して統合パケットを生成し、統合パケットをＬＡＮ監視・制御装置２へ返信する（Ｓ３０７）。
（８）ＬＡＮ監視・制御装置３は、ＬＡＮ監視・制御装置８〜１０により返信される監視情報と自身の監視情報を統合し、ＬＡＮ監視・制御装置２へ返信する（Ｓ３０８）。
（９）ＬＡＮ監視・制御装置１、３、４から監視情報を受信したＬＡＮ監視・制御装置２は、受信した監視情報及び自身の監視情報を統合し、ＬＡＮ監視・制御装置５へ返信する（Ｓ３０９）。
（１０）ＬＡＮ監視・制御装置５は、ＬＡＮ監視・制御装置２、６、７から受信した監視情報に自身の監視情報を統合して、管理装置１４へ返信する（Ｓ３１０）。
（１）管理装置１４はＬＡＮ監視・制御装置５に対し監視情報送信要求（情報要求の一例）を含む管理パケットを送る（制御パケットの一例）（Ｓ３０１）。
（２）この管理パケットを受信したＬＡＮ監視・制御装置５は、ＬＡＮ網１６で接続されているＬＡＮ監視・制御装置２、６、７に管理装置１４からの管理パケットを配信するとともに、ＬＡＮ監視・制御装置２、６、７からの監視情報返信（応答パケットの一例）を待つ（Ｓ３０２）。
（３）ＬＡＮ監視・制御装置２は、ＬＡＮ網１５で接続されているＬＡＮ監視・制御装置１、３、４へＬＡＮ監視・制御装置５から受信した管理パケットを配信するとともに、ＬＡＮ監視・制御装置１、３、４からの監視情報返信を待つ（Ｓ３０３）。
（４）ＬＡＮ監視・制御装置１は、外部ネットワークインターフェース２７への管理パケット送信は行なわず、自身の監視情報（対応情報の一例）をＬＡＮ監視・制御装置２へ返送する（Ｓ３０４）。
（５）ＬＡＮ監視装置３とＬＡＮ監視・制御装置４は、それぞれ、直下のＬＡＮ監視・制御装置８〜１３へ管理パケットを送信し、それらの装置からの監視情報返信を待つ（Ｓ３０５）。
（６）ＬＡＮ監視・制御装置６〜１３は、下位のＬＡＮ監視・制御装置を持たない。このため、ＬＡＮ監視・制御装置６と７は、サブネットワーク１９と２０の監視情報をＬＡＮ監視・制御装置５へ返信する。また、ＬＡＮ監視・制御装置８〜１０は、サブネットワーク２１〜２３の監視情報をＬＡＮ監視・制御装置３へ返信する。また、ＬＡＮ監視・制御装置１１〜１３は、サブネットワーク２４〜２６の監視情報をＬＡＮ監視・制御装置４へ返信する（Ｓ３０６）。
（７）ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１１〜１３により返信される監視情報と自身の監視情報を統合して統合パケットを生成し、統合パケットをＬＡＮ監視・制御装置２へ返信する（Ｓ３０７）。
（８）ＬＡＮ監視・制御装置３は、ＬＡＮ監視・制御装置８〜１０により返信される監視情報と自身の監視情報を統合し、ＬＡＮ監視・制御装置２へ返信する（Ｓ３０８）。
（９）ＬＡＮ監視・制御装置１、３、４から監視情報を受信したＬＡＮ監視・制御装置２は、受信した監視情報及び自身の監視情報を統合し、ＬＡＮ監視・制御装置５へ返信する（Ｓ３０９）。
（１０）ＬＡＮ監視・制御装置５は、ＬＡＮ監視・制御装置２、６、７から受信した監視情報に自身の監視情報を統合して、管理装置１４へ返信する（Ｓ３１０）。
なお、管理装置１４から全ＬＡＮ監視・制御装置１〜１３へ送った監視情報送信要求への返信に、各ＬＡＮ監視・制御装置１〜１３が返信経路情報（経路情報）を添付することで、管理装置１４はＬＡＮ監視・制御装置の台数や接続関係を把握する。本手続きにより、管理装置１４は、ＬＡＮ監視・制御装置の増減や異常を随時把握するとともに、管理パケットの送信経路指定に必要な情報を入手する。
次に、図７を用いて、管理装置１４が、収集した監視情報からサブネットワーク２６に異常を発見し、サブネットワーク２６をＬＡＮ網１８から遮断する際の動作を説明する。図７は、サブネットワーク２６の遮断を示すフローチャートである。なお、この例は、サブネットワーク２６の異常が通信量の異常増加等であり、攻撃の原因となるパケットの特徴を特定できないケースを想定する。
（１）管理装置１４はＬＡＮ監視・制御装置１３に対するサブネットワーク２６の遮断指示（制御情報の一例）を含む管理パケット（制御パケットの一例）をＬＡＮ監視・制御装置５へ送る。この際、管理装置１４は、管理パケットの転送経路を示す当該管理パケットに含める。この転送経路は、当該管理パケットの次の送り先を示す情報で、ＬＡＮ監視・制御装置２、ＬＡＮ監視・制御装置４、ＬＡＮ監視・制御装置１３（指定情報の一例）の順で指定する（Ｓ４０１）。
（２）このように指定された管理パケットを受信したＬＡＮ監視・制御装置５は、管理パケット内の経路情報から次の送り先として、ＬＡＮ監視・制御装置２を認識し、ＬＡＮ監視・制御装置２へのみ、管理パケットを送信する（Ｓ４０２）。
（３）同様にＬＡＮ監視・制御装置２はＬＡＮ監視・制御装置４へのみ管理パケットを送り、また、ＬＡＮ監視・制御装置４も同様に、受信した管理パケット内の経路情報を元に、管理パケットをＬＡＮ監視・制御装置１３のみに送信する（Ｓ４０３）。
（４）ＬＡＮ監視・制御装置１３は、自身宛の管理パケットであることを認識し、管理装置１４からの遮断指示に従い、サブネットワーク２６から受信した透過パケットをパケット分類部３９で全て廃棄パケットに分類して廃棄することにより、サブネットワーク２６をＬＡＮ網１８から遮断する（Ｓ４０４）。
（１）管理装置１４はＬＡＮ監視・制御装置１３に対するサブネットワーク２６の遮断指示（制御情報の一例）を含む管理パケット（制御パケットの一例）をＬＡＮ監視・制御装置５へ送る。この際、管理装置１４は、管理パケットの転送経路を示す当該管理パケットに含める。この転送経路は、当該管理パケットの次の送り先を示す情報で、ＬＡＮ監視・制御装置２、ＬＡＮ監視・制御装置４、ＬＡＮ監視・制御装置１３（指定情報の一例）の順で指定する（Ｓ４０１）。
（２）このように指定された管理パケットを受信したＬＡＮ監視・制御装置５は、管理パケット内の経路情報から次の送り先として、ＬＡＮ監視・制御装置２を認識し、ＬＡＮ監視・制御装置２へのみ、管理パケットを送信する（Ｓ４０２）。
（３）同様にＬＡＮ監視・制御装置２はＬＡＮ監視・制御装置４へのみ管理パケットを送り、また、ＬＡＮ監視・制御装置４も同様に、受信した管理パケット内の経路情報を元に、管理パケットをＬＡＮ監視・制御装置１３のみに送信する（Ｓ４０３）。
（４）ＬＡＮ監視・制御装置１３は、自身宛の管理パケットであることを認識し、管理装置１４からの遮断指示に従い、サブネットワーク２６から受信した透過パケットをパケット分類部３９で全て廃棄パケットに分類して廃棄することにより、サブネットワーク２６をＬＡＮ網１８から遮断する（Ｓ４０４）。
次に、図８を用いて、遮断における部分復旧と全面復旧の場合を説明する。
（１）サブネットワーク２６の遮断後、原因となるパケットの特徴が判明した場合は（Ｓ５０１，Ｓ５０２）、管理装置１４からＬＡＮ監視・制御装置１３宛に原因となるパケットの分類条件を指示する（Ｓ５０３）。この分類条件の指示により、パケット分類部３９により当該パケットのみを廃棄パケットに分類することで、サブネットワーク２６を部分的にＬＡＮ網１８へ復旧する。（Ｓ５０４）
（２）更に、管理装置１４は、ＬＡＮ監視・制御装置１３の廃棄パケットカウンタ５８を用いて、廃棄パケットの受信数を監視する（Ｓ５０５、Ｓ５０６）。この監視により、サブネットワーク２６内の異常対策が完了し、異常パケットの発生が抑えられたことを確認できた段階で（Ｓ５０７）、ＬＡＮ監視・制御装置１３内のパケット分類部３９の廃棄条件を全て解除する。
（１）サブネットワーク２６の遮断後、原因となるパケットの特徴が判明した場合は（Ｓ５０１，Ｓ５０２）、管理装置１４からＬＡＮ監視・制御装置１３宛に原因となるパケットの分類条件を指示する（Ｓ５０３）。この分類条件の指示により、パケット分類部３９により当該パケットのみを廃棄パケットに分類することで、サブネットワーク２６を部分的にＬＡＮ網１８へ復旧する。（Ｓ５０４）
（２）更に、管理装置１４は、ＬＡＮ監視・制御装置１３の廃棄パケットカウンタ５８を用いて、廃棄パケットの受信数を監視する（Ｓ５０５、Ｓ５０６）。この監視により、サブネットワーク２６内の異常対策が完了し、異常パケットの発生が抑えられたことを確認できた段階で（Ｓ５０７）、ＬＡＮ監視・制御装置１３内のパケット分類部３９の廃棄条件を全て解除する。
ここで、遮断の解除により、サブネットワーク２６からＬＡＮ網１８へ送出されるパケットが急激に増加した場合においても、ＬＡＮ監視・制御装置１３は、送信優先度制御部５１で管理パケットの送信を優先することにより、ＬＡＮ監視・制御装置１３とＬＡＮ監視・制御装置４との管理通信を確保する。
更に、サブネットワーク２４〜２６に異常が発生し、サブネットワーク２４〜２６をＬＡＮ網１８から遮断する場合は、管理装置１４からＬＡＮ監視・制御装置４宛にＬＡＮ監視・制御装置１１〜１３による遮断指示を送る。本指示を受信したＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１１〜１３宛にサブネットワーク２４〜２６の遮断指示を含む管理パケットを配信する。
また、サブネットワーク２１〜２６を遮断する際は、管理装置１４は、ＬＡＮ監視・制御装置８〜１３による遮断指示を含む管理パケットを、ＬＡＮ監視・制御装置２宛に送る。ＬＡＮ監視・制御装置２は、ＬＡＮ監視・制御装置３、４へ当該管理パケットを配信する。ＬＡＮ監視・制御装置３は、ＬＡＮ監視・制御装置８〜１０へ当該管理パケットを配信する。また、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１１〜１３へ当該管理パケットを配信する。当該管理パケットを受け取ったＬＡＮ監視・制御装置８〜１３は、サブネットワーク２１〜２６からの透過パケットをパケット分類部３９で廃棄パケットに分類することによって、サブネットワーク２１〜２６をＬＡＮ網１７、１８から遮断する。
なお、以上では、送り先を指定して管理パケットを配信する場合は、管理装置１４が送り先までの転送経路を指定する方式とした。しかし、これに限ることはなく、以下によっても同等の効果が得られる。
つまり、
（１）管理装置１４が全ＬＡＮ監視・制御装置１〜１３宛に発信する監視情報送信要求への返信から、各ＬＡＮ監視・制御装置１〜１３が当該返信の発信元（経路情報の一例）を記憶しておく。
（２）そして、管理装置１４から送り先（指定情報）を指定した管理パケット（制御パケット）を受信した際、記憶した発信元情報を逆にたどって、転送先のＬＡＮ監視・制御装置１〜１３を決定する。各ＬＡＮ監視・制御装置１〜１３が記憶する経路情報は、管理装置１４が発信する監視情報送信要求への返信を受け取るたびに更新する。これによって、管理装置１４の接続箇所変更やＬＡＮ監視・制御装置１〜１３の増設等による装置構成の変更に対応する。
つまり、
（１）管理装置１４が全ＬＡＮ監視・制御装置１〜１３宛に発信する監視情報送信要求への返信から、各ＬＡＮ監視・制御装置１〜１３が当該返信の発信元（経路情報の一例）を記憶しておく。
（２）そして、管理装置１４から送り先（指定情報）を指定した管理パケット（制御パケット）を受信した際、記憶した発信元情報を逆にたどって、転送先のＬＡＮ監視・制御装置１〜１３を決定する。各ＬＡＮ監視・制御装置１〜１３が記憶する経路情報は、管理装置１４が発信する監視情報送信要求への返信を受け取るたびに更新する。これによって、管理装置１４の接続箇所変更やＬＡＮ監視・制御装置１〜１３の増設等による装置構成の変更に対応する。
次に、ＬＡＮ監視・制御装置１〜１３による自律的な遮断について説明する。
管理装置１４の管理制御部４５は、予め、各ＬＡＮ監視・制御装置１〜１３に透過パケットカウンタ６０による透過パケットの通信量監視を指示する。指示を受けた場合、各ＬＡＮ監視・制御装置１〜１３の管理制御部４５は、一定時間内に発生する透過パケットの通信量が規定値を越えたときには、パケット分類部３９に透過パケットを全て廃棄パケットに分類するよう指示する。これによって、例えば、サブネットワーク２６からＬＡＮ網１８へ送出されるパケットの通信量が規定値を越えた場合は、ＬＡＮ監視・制御装置１３が単独でサブネットワーク２６を遮断する。
管理装置１４の管理制御部４５は、予め、各ＬＡＮ監視・制御装置１〜１３に透過パケットカウンタ６０による透過パケットの通信量監視を指示する。指示を受けた場合、各ＬＡＮ監視・制御装置１〜１３の管理制御部４５は、一定時間内に発生する透過パケットの通信量が規定値を越えたときには、パケット分類部３９に透過パケットを全て廃棄パケットに分類するよう指示する。これによって、例えば、サブネットワーク２６からＬＡＮ網１８へ送出されるパケットの通信量が規定値を越えた場合は、ＬＡＮ監視・制御装置１３が単独でサブネットワーク２６を遮断する。
図９を用いて、アップストリーム方向の透過パケットについての自律遮断について説明する。図９は、透過パケットの中継方向を示す図である。例えば、個々のサブネットワーク２４〜２６からＬＡＮ網１８へ送出される透過パケット８６，８７、８８の通信量が規定値を越えていない場合であっても、ＬＡＮ網１８からＬＡＮ網１５へ送出される透過パケット８９の通信量が規定値を越える場合がある。この場合は、ＬＡＮ監視・制御装置４が、ＬＡＮ監視・制御装置１１〜１３へ遮断指示を送る。ここで、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１１〜１３から送られる監視情報から、サブネットワーク２５、２６からＬＡＮ網１８への透過パケット８７，８８の送出量の変化が大きいことが判明した場合は、ＬＡＮ監視・制御装置１２、１３にのみ遮断指示を送る。なお、ＬＡＮ監視・制御装置１１〜１３から入手した監視情報から、特異な変化が見られない場合は、ＬＡＮ網１８に異常が発生していることが予想される。このため、ＬＡＮ監視・制御装置４は、ＬＡＮ網１８から受信する透過パケット８９を廃棄パケットに変更する。この場合であっても、ＬＡＮ監視・制御装置１１〜１３からの管理パケットをＬＡＮ監視・制御装置４のパケット分類部３９によって管理パケットとして分類することにより、ＬＡＮ監視・制御装置１１〜１３とＬＡＮ監視・制御装置４の間の管理通信を確保する。
次に図１０を用いてダウンストリーム方向の透過パケットについての遮断を説明する。図１０は、ダウンストリーム方向の透過パケットについての遮断を示す図である。ＬＡＮ監視・制御装置４は、アップストリーム方向の透過パケットの通信量ばかりでなく、ＬＡＮ網１５からＬＡＮ網１８へ送出されるダウンストリーム方向の透過パケットの通信量も監視している。
（１）ＬＡＮ網１５からの透過パケット９３の通信量が規定値を越えることが判明した場合、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１〜３へ透過パケット９０，９１，９２の遮断指示を送る。なお、この場合も、ＬＡＮ監視・制御装置１〜３から監視情報を入手する。そして、例えば、ＬＡＮ監視・制御装置３における透過パケット９２の通信量増加が特に大きいことが判明した場合は、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置３のみに透過パケット９２の遮断指示を送る。また、ＬＡＮ監視・制御装置１〜３から入手した監視情報に特異な点が見られない場合は、ＬＡＮ網１５に異常が発生していることが予想される。よって、ＬＡＮ監視・制御装置４の管理制御部４５はパケット分類部３９に対して指示を出し、ＬＡＮ網１５から受信する透過パケット９３を廃棄パケットに分類させる。
（２）次に、ＬＡＮ監視・制御装置４がＬＡＮ監視・制御装置１からの監視情報により、外部ネットワークインターフェース２７に異常があると判断した場合を説明する。この場合、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１に、外部ネットワークから透過パケットと受信している透過パケット９０の遮断指示（遮断指示を含む管理パケット）を送信する。遮断指示を受信したＬＡＮ監視・制御装置１は、外部ネットワークに向けた末端に位置することから、外部ネットワークインターフェース２７から受信した透過パケット９０を廃棄パケットに変更する。
（３）次に、ＬＡＮ監視・制御装置２、３からの監視情報により、ＬＡＮ監視・制御装置４が、ＬＡＮ監視・制御装置２、３に遮断指示（遮断指示を含む管理パケット）を送信した場合を説明する。図１０に示すように、ＬＡＮ監視・制御装置２及びＬＡＮ監視・制御装置３は、ＬＡＮ網１６、１７を介して、ＬＡＮ監視・制御装置６、７及びＬＡＮ監視・制御装置８〜１０に接続している。ＬＡＮ監視・制御装置２は、ＬＡＮ監視・制御装置６、７へ遮断指示を転送する。また、ＬＡＮ監視・制御装置３は、ＬＡＮ監視・制御装置８〜１０へ遮断指示を転送する。この場合も、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置６、７及びＬＡＮ監視・制御装置８〜１０から監視情報を入手する。そして、例えば、ＬＡＮ監視・制御装置７とＬＡＮ監視・制御装置９での透過パケットの通信量の変化が特に大きいことが判明した場合は、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置７、９にのみ、透過パケット９４、９５の遮断指示を送る。また、ＬＡＮ監視・制御装置６、７及びＬＡＮ監視・制御装置８〜１０から受信した監視情報に特異な点が見られない場合はＬＡＮ網１６、１７に異常があることが予想される。その場合、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置２に対してＬＡＮ網１６から受信した透過パケット９１を廃棄パケットに変更させる。また、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置３に対してＬＡＮ網１７から受信した透過パケット９２を廃棄パケットに変更させる。
（１）ＬＡＮ網１５からの透過パケット９３の通信量が規定値を越えることが判明した場合、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１〜３へ透過パケット９０，９１，９２の遮断指示を送る。なお、この場合も、ＬＡＮ監視・制御装置１〜３から監視情報を入手する。そして、例えば、ＬＡＮ監視・制御装置３における透過パケット９２の通信量増加が特に大きいことが判明した場合は、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置３のみに透過パケット９２の遮断指示を送る。また、ＬＡＮ監視・制御装置１〜３から入手した監視情報に特異な点が見られない場合は、ＬＡＮ網１５に異常が発生していることが予想される。よって、ＬＡＮ監視・制御装置４の管理制御部４５はパケット分類部３９に対して指示を出し、ＬＡＮ網１５から受信する透過パケット９３を廃棄パケットに分類させる。
（２）次に、ＬＡＮ監視・制御装置４がＬＡＮ監視・制御装置１からの監視情報により、外部ネットワークインターフェース２７に異常があると判断した場合を説明する。この場合、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１に、外部ネットワークから透過パケットと受信している透過パケット９０の遮断指示（遮断指示を含む管理パケット）を送信する。遮断指示を受信したＬＡＮ監視・制御装置１は、外部ネットワークに向けた末端に位置することから、外部ネットワークインターフェース２７から受信した透過パケット９０を廃棄パケットに変更する。
（３）次に、ＬＡＮ監視・制御装置２、３からの監視情報により、ＬＡＮ監視・制御装置４が、ＬＡＮ監視・制御装置２、３に遮断指示（遮断指示を含む管理パケット）を送信した場合を説明する。図１０に示すように、ＬＡＮ監視・制御装置２及びＬＡＮ監視・制御装置３は、ＬＡＮ網１６、１７を介して、ＬＡＮ監視・制御装置６、７及びＬＡＮ監視・制御装置８〜１０に接続している。ＬＡＮ監視・制御装置２は、ＬＡＮ監視・制御装置６、７へ遮断指示を転送する。また、ＬＡＮ監視・制御装置３は、ＬＡＮ監視・制御装置８〜１０へ遮断指示を転送する。この場合も、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置６、７及びＬＡＮ監視・制御装置８〜１０から監視情報を入手する。そして、例えば、ＬＡＮ監視・制御装置７とＬＡＮ監視・制御装置９での透過パケットの通信量の変化が特に大きいことが判明した場合は、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置７、９にのみ、透過パケット９４、９５の遮断指示を送る。また、ＬＡＮ監視・制御装置６、７及びＬＡＮ監視・制御装置８〜１０から受信した監視情報に特異な点が見られない場合はＬＡＮ網１６、１７に異常があることが予想される。その場合、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置２に対してＬＡＮ網１６から受信した透過パケット９１を廃棄パケットに変更させる。また、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置３に対してＬＡＮ網１７から受信した透過パケット９２を廃棄パケットに変更させる。
なお、上記では、遮断指示を送る際、送り先の監視情報を確認する手順を記載した。しかし、これに限定することはなく、以下の手順によっても同様の効果が得られる。例えばＬＡＮ監視・制御装置４は、遮断指示の送り先の監視情報は確認せずに、遮断条件を付加した遮断指示を発行する。「遮断条件」とは、通信量の変化が特異である場合に遮断を指示すような条件である。遮断指示の受信元は、自身の監視情報を確認し、遮断条件が満たされることが判明した場合に遮断指示を実行する。更に、遮断指示の送信元（ＬＡＮ監視・制御装置４）は、発行した遮断指示に対して結果の返信を受信元から受ける。この場合、遮断条件を付加した遮断指示を受信したすべての受信元から、遮断条件が満たされない旨の返信を受けた場合には、各受信元における透過パケットの通信量は適正と予想されるので、送信元自身が遮断を行なう。
次に、図１１を用いて、ＬＡＮ監視・制御装置１〜１３の増設手順について説明する。図１１は、ＬＡＮ監視・制御装置１〜１３の増設手順を示すフローチャートである。例として、ＬＡＮ監視・制御装置１３をＬＡＮ網１８とサブネットワーク２６の間に増設する場合を説明する。
（１）ＬＡＮ監視・制御装置１３には、既存のＬＡＮ監視・制御装置４と管理通信を行うために必要な認証条件と管理パケット分類条件を予め設定する（Ｓ６０１）。
（２）接続先のＬＡＮ監視・制御装置４へも、ＬＡＮ監視・制御装置１３と管理通信を行うに必要な認証条件と管理パケット分類条件を予め設定する（Ｓ６０２）。
（３）以上の事前設定完了後、ＬＡＮ監視・制御装置１３をＬＡＮ網１８とサブネットワーク２６の間に挿入する（Ｓ６０３）。
（４）挿入されたＬＡＮ監視・制御装置１３は、ＬＡＮ監視・制御装置４に対して接続した旨の管理通信を行なう（Ｓ６０４）。
（５）ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１３を新たな接続先として認識する。以降、管理装置１４からの管理パケットの転送等を行う（Ｓ６０５）。
（６）更に、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１３に対して、ＬＡＮ網１８に接続されているＬＡＮ監視・制御装置１１及びＬＡＮ監視・制御装置１２との管理通信に必要な「認証条件と管理パケット分類条件」（管理情報の一例）を通知する（Ｓ６０６）。
（７）同様に、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１１及びＬＡＮ監視・制御装置１２に対してもＬＡＮ監視・制御装置１３との管理通信に必要な認証条件と管理パケット分類条件を通知する。これにより、ＬＡＮ監視・制御装置１３とＬＡＮ監視・制御装置１１及びＬＡＮ監視・制御装置１２との管理通信が可能となる（Ｓ６０７）。
（８）なお、以上のＳ６０１〜Ｓ６０７の手順においては、ＬＡＮ監視・制御装置４とＬＡＮ監視・制御装置１３とに予め認証条件と管理パケット分類条件を直接設定することとした。しかし、管理装置１４からＬＡＮ監視・制御装置４へＬＡＮ監視・制御装置１３との管理通信に必要な認証条件と管理パケット分類条件を予め通知しておくようにしても構わない。
（１）ＬＡＮ監視・制御装置１３には、既存のＬＡＮ監視・制御装置４と管理通信を行うために必要な認証条件と管理パケット分類条件を予め設定する（Ｓ６０１）。
（２）接続先のＬＡＮ監視・制御装置４へも、ＬＡＮ監視・制御装置１３と管理通信を行うに必要な認証条件と管理パケット分類条件を予め設定する（Ｓ６０２）。
（３）以上の事前設定完了後、ＬＡＮ監視・制御装置１３をＬＡＮ網１８とサブネットワーク２６の間に挿入する（Ｓ６０３）。
（４）挿入されたＬＡＮ監視・制御装置１３は、ＬＡＮ監視・制御装置４に対して接続した旨の管理通信を行なう（Ｓ６０４）。
（５）ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１３を新たな接続先として認識する。以降、管理装置１４からの管理パケットの転送等を行う（Ｓ６０５）。
（６）更に、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１３に対して、ＬＡＮ網１８に接続されているＬＡＮ監視・制御装置１１及びＬＡＮ監視・制御装置１２との管理通信に必要な「認証条件と管理パケット分類条件」（管理情報の一例）を通知する（Ｓ６０６）。
（７）同様に、ＬＡＮ監視・制御装置４は、ＬＡＮ監視・制御装置１１及びＬＡＮ監視・制御装置１２に対してもＬＡＮ監視・制御装置１３との管理通信に必要な認証条件と管理パケット分類条件を通知する。これにより、ＬＡＮ監視・制御装置１３とＬＡＮ監視・制御装置１１及びＬＡＮ監視・制御装置１２との管理通信が可能となる（Ｓ６０７）。
（８）なお、以上のＳ６０１〜Ｓ６０７の手順においては、ＬＡＮ監視・制御装置４とＬＡＮ監視・制御装置１３とに予め認証条件と管理パケット分類条件を直接設定することとした。しかし、管理装置１４からＬＡＮ監視・制御装置４へＬＡＮ監視・制御装置１３との管理通信に必要な認証条件と管理パケット分類条件を予め通知しておくようにしても構わない。
以上のように、ＬＡＮ監視・制御装置１〜１３は、リピータとして動作するので、既存のネットワークの設定を変更することなくＬＡＮ監視・制御装置１〜１３を容易に挿入することができる。
ＬＡＮ監視・制御装置１〜１３の間で授受する管理パケットをパケット分類部３９によりパケットヘッダの複数のフィールドで識別し、パケット認証部４４で認証するとともに、認証エラーが発生した際、パケット分類部３９を変更することにより、不正パケットによる管理通信への攻撃を迅速に回避することができる。更に、送信優先度制御部５１によって、管理パケットの送信を優先しているので、予期しない不正パケットによる攻撃の発生中でもＬＡＮ監視・制御装置１〜１３の間の管理通信を確保できる。
また、ＬＡＮ監視・制御装置１〜１３をＬＡＮ構成に沿って階層的に配置し、管理装置１４からの要求をＬＡＮ監視・制御装置１〜１３間で伝播させるとともに、ＬＡＮ監視・制御装置１〜１３からの返信を統合して管理装置１４に返信するようにしているので、管理装置１４がＬＡＮ監視・制御装置１〜１３の配置を意識することなく監視要求を発行できるとともに、ＬＡＮ監視・制御装置１〜１３からの返信結果から、ＬＡＮ監視・制御装置１〜１３の配置を把握することができ、ＬＡＮ監視・制御装置１〜１３の台数増加や管理範囲の大規模化に容易に対応できる。更に、管理装置１４や各ＬＡＮ監視・制御装置１〜１３間の直接的なパケット授受を減らせるため、管理通信による管理装置１４の通信負荷やネットワーク負荷を抑えることができる。
また、ＬＡＮ監視・制御装置１〜１３をＬＡＮ構成に沿って階層的に配置し、各ＬＡＮ監視・制御装置１〜１３で透過パケットを廃棄できるようにしたので、サブネットワーク１９〜２６レベルの小規模な単位で、ネットワークを隔離でき、他の正常なネットワーク間の通信を確保できる。
ＬＡＮ網１５〜１８毎にＬＡＮ監視・制御装置１〜１３の間の認証条件と分類条件を共有し、ＬＡＮ監視・制御装置２〜４がＬＡＮ網１５とＬＡＮ網１６〜１８を橋渡しすることにより、各ＬＡＮ監視・制御装置１〜１３が直接実行する管理通信の範囲を狭め、管理範囲の大規模化を図ることができる。また、ＬＡＮ監視・制御装置１〜１３の増設に際して、例えば、接続先のＬＡＮ網１８に接続されている既存の１台のＬＡＮ監視・制御装置４との管理通信によって、管理通信に必要な情報を得ることができるようにしたので、管理範囲の大規模化に際しても、容易に増設を行なえる。
実施の形態１のネットワークシステム１０００は、複数のＬＡＮ監視・制御装置のそれぞれが、受信したパケットを少なくとも透過パケットと管理パケットのいずれかに分類するので、不正なパケットによる攻撃に迅速に対応することができる。
実施の形態１のネットワークシステム１０００では、管理装置からだされた要求を含むパケットを、各ＬＡＮ監視・制御装置が解読して転送していくので、管理装置の要求を確実に転送することができる。
実施の形態１のネットワークシステム１０００では、ＬＡＮ監視・制御装置からの返信を統合して管理装置に返信するので、パケットの数を減らすことができる。また、管理装置が、ネットワークにおけるＬＡＮ監視・制御装置の配置構成を知ることができる。
実施の形態１のネットワークシステム１０００では、ＬＡＮ監視・制御装置から管理装置へ返信する場合に経路情報を含める。このため、管理装置は、各ＬＡＮ監視・制御装置までの経路を把握することができる。
実施の形態１のネットワークシステム１０００では、ＬＡＮ監視・制御装置が他の管理装置から送られる経路情報を記憶する。このためＬＡＮ監視・制御装置は、他のＬＡＮ監視・制御装置までの経路を把握することができる。
実施の形態１のネットワークシステム１０００では、新たにＬＡＮ監視・制御装置が設置された場合に、既に設置されているＬＡＮ監視・制御装置から管理情報を受信する。このため、ＬＡＮ監視・制御装置を容易に設置することができる。
実施の形態１のＬＡＮ監視・制御装置は、パッケト分類部により受信するパケットを透過パケットと管理パケットとの少なくともいずれかに分類するので、不正な攻撃に迅速に対応することができる。
実施の形態１のＬＡＮ監視・制御装置は、パッケト分類部がパケットをモニタパケットに分類するので、受信するパケットのうち特定のパケットを監視することができる。
実施の形態１のＬＡＮ監視・制御装置は、透過パケットカウンタの測定結果に基づいて透過パケットに分類していたパケットを廃棄パケットに分類するので、不正パケットによる攻撃に迅速に対応できる。
実施の形態１のＬＡＮ監視・制御装置は、遮断指示に基づき透過パケットとして受信していたパケットを廃棄パケットに分類して廃棄するので、不正パケットによる攻撃に迅速に対応できる。
実施の形態１のＬＡＮ監視・制御装置は、認証情報の付加されたパケットを管理パケットに分類して認証するので、不正なパケットによる攻撃を受けた場合にも、管理通信の確保を向上することができる。
実施の形態１のＬＡＮ監視・制御装置は、透過パケットよりも管理通信用送信パケットを優先して送信するので、不正なパケットに攻撃を受けた場合にも、管理通信を確保することができる。
実施の形態１のＬＡＮ監視・制御装置は、管理通信用送信パケットに、管理通信用送信パケットであることを示すヘッダを付加するので、管理通信の確保を向上することができる。
実施の形態１のＬＡＮ監視・制御装置は、管理通信用送信パケットに、認証情報を付加して送信するので、管理通信の確保を向上することができる。
実施の形態１のＬＡＮ監視・制御装置は、管理制御部が管理パケット分類条件を格納し、パケット分類部は、管理制御部から通知された管理パケット分類条件に基づき、受信したパケットを管理パケットに分類する。このため、管理パケット分類条件を自由に設定することができる。
実施の形態１のＬＡＮ監視・制御装置は、管理制御部がパケット分類部に管理パケット分類条件を再度通知し、パケット分類部は再度通知された管理パケット分類条件によりパケットを管理パケットに分類するので、管理パケットの異変に迅速に対応できる。
実施の形態２．
次に図１２〜図１４を用いて、実施の形態２を説明する。以上の実施形態１では、ＬＡＮ監視・制御装置１〜１３を階層的かつ網羅的に配置してＬＡＮを監視・制御するようにした。本実施の形態２では、障害の発生したネットワークを介してＬＡＮ監視・制御装置どうしがパケットの通信を行なう場合を説明する。
次に図１２〜図１４を用いて、実施の形態２を説明する。以上の実施形態１では、ＬＡＮ監視・制御装置１〜１３を階層的かつ網羅的に配置してＬＡＮを監視・制御するようにした。本実施の形態２では、障害の発生したネットワークを介してＬＡＮ監視・制御装置どうしがパケットの通信を行なう場合を説明する。
図１２は、実施形態２におけるＬＡＮ監視・制御装置とネットワークの接続関係を示す図である。また、図１３は、図１２をブロック図とした図である。
図１３に示すＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３とは、図３と同様の構成である。図１２、図１３に示すように、障害の発生している障害サブネットワーク２８には、ＬＡＮ監視・制御装置１と、ＬＡＮ監視・制御装置３と、障害発生の元である障害端末２９とが接続している。
（１）障害端末２９は、ウイルス等に感染し、不正パケットを発信する。障害サブネットワーク２８は、不正パケットが流れる。障害端末２９は、障害サブネットワーク２８へ不正パケット入力３０を入力している。
（２）ＬＡＮ監視・制御装置１は、上位ネットワークからＬＡＮ監視・制御装置１への入力であるダウンストリーム入力３１を入力し、障害サブネットワーク２８を含む下位のネットワークへの出力であるダウンストリーム出力３３を出力する。また、ＬＡＮ監視・制御装置１は、障害サブネットワーク２８を含む下位のネットワークからアップストリーム入力３４を入力し、上位ネットワークへの出力であるアップストリーム出力３２を出力する。
（３）ＬＡＮ監視・制御装置３は、障害サブネットワークを含む上位のサブネットワークからの入力であるダウンストリーム入力３５を入力し、下位のネットワークへの出力であるダウンストリーム出力３７を出力する。またＬＡＮ監視・制御装置３は、上位ネットワークへの入力であるアップストリーム入力３８を入力し、障害サブネットワーク２８を含む上位ネットワークへの出力であるアップストリーム出力３６を出力する。
図１３に示すＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３とは、図３と同様の構成である。図１２、図１３に示すように、障害の発生している障害サブネットワーク２８には、ＬＡＮ監視・制御装置１と、ＬＡＮ監視・制御装置３と、障害発生の元である障害端末２９とが接続している。
（１）障害端末２９は、ウイルス等に感染し、不正パケットを発信する。障害サブネットワーク２８は、不正パケットが流れる。障害端末２９は、障害サブネットワーク２８へ不正パケット入力３０を入力している。
（２）ＬＡＮ監視・制御装置１は、上位ネットワークからＬＡＮ監視・制御装置１への入力であるダウンストリーム入力３１を入力し、障害サブネットワーク２８を含む下位のネットワークへの出力であるダウンストリーム出力３３を出力する。また、ＬＡＮ監視・制御装置１は、障害サブネットワーク２８を含む下位のネットワークからアップストリーム入力３４を入力し、上位ネットワークへの出力であるアップストリーム出力３２を出力する。
（３）ＬＡＮ監視・制御装置３は、障害サブネットワークを含む上位のサブネットワークからの入力であるダウンストリーム入力３５を入力し、下位のネットワークへの出力であるダウンストリーム出力３７を出力する。またＬＡＮ監視・制御装置３は、上位ネットワークへの入力であるアップストリーム入力３８を入力し、障害サブネットワーク２８を含む上位ネットワークへの出力であるアップストリーム出力３６を出力する。
なお、ダウンストリーム入力３１とアップストリーム出力３２が接続される上位ネットワークと、ダウンストリーム出力３７とアップストリーム入力３８が接続される下位ネットワークは正常であるとする。
次に、動作について説明する。
ＬＡＮ監視・制御装置１は、障害サブネットワーク２８の異常発生を知ると、障害サブネットワーク２８を経由して障害端末２９から発信される不正パケット入力３０を遮断するため、障害サブネットワーク２８からアップストリーム入力３４で受信した透過パケットを、パケット分類部３９ａで廃棄パケットに分類し廃棄する。
また、ＬＡＮ監視・制御装置３も、障害サブネットワーク２８を経由して障害端末２９から発信される不正パケットを遮断するため、障害サブネットワーク２８からの入力であるダウンストリーム入力３５で受信した透過パケットをパケット分類部３９ｂで廃棄パケットに分類し、廃棄する。以上によって、障害サブネットワーク２８はＬＡＮ監視・制御装置１の上位ネットワーク及びＬＡＮ監視・制御装置３の下位ネットワークと遮断される。
ＬＡＮ監視・制御装置１は、障害サブネットワーク２８の異常発生を知ると、障害サブネットワーク２８を経由して障害端末２９から発信される不正パケット入力３０を遮断するため、障害サブネットワーク２８からアップストリーム入力３４で受信した透過パケットを、パケット分類部３９ａで廃棄パケットに分類し廃棄する。
また、ＬＡＮ監視・制御装置３も、障害サブネットワーク２８を経由して障害端末２９から発信される不正パケットを遮断するため、障害サブネットワーク２８からの入力であるダウンストリーム入力３５で受信した透過パケットをパケット分類部３９ｂで廃棄パケットに分類し、廃棄する。以上によって、障害サブネットワーク２８はＬＡＮ監視・制御装置１の上位ネットワーク及びＬＡＮ監視・制御装置３の下位ネットワークと遮断される。
次に、図１４を用いて、認証パケットのやり取りについて説明する。図１４は、認証パケットのやり取りを示すフローチャートである。
（１）このようなアップストリーム入力３４及びダウンストリーム入力３５を遮断した状態において、ＬＡＮ監視・制御装置１は、ダウンストリーム入力３１からＬＡＮ監視・制御装置３のダウンストリーム出力３７に接続される下位ネットワーク宛のパケットを受信すると、パケット分類部３９で「透過パケット」（対象パケット） に分類するとともに、出力パケット振り分け部４６を介して、送信パケット認証処理部４９に渡す（Ｓ７０１）。
（２）送信パケット認証処理部４９は、受け取ったパケットにＬＡＮ監視・制御装置３に向けた認証パケット用認証情報を付加し、認証パケット生成部５０に渡す（Ｓ７０２）。
（３）認証パケット生成部５０は、受け取った認証情報付パケットにＬＡＮ監視・制御装置３向けの認証パケット用ヘッダをつけ、認証パケットとして送信優先度制御部５１に渡す（Ｓ７０３）。
（４）送信優先度制御部５１は、受け取った認証パケットを第二位の優先度でダウンストリーム出力３３へ出力し、障害サブネットワーク２８を経由してＬＡＮ監視・制御装置３へ送る（Ｓ７０４）。
（５）ＬＡＮ監視・制御装置３は、ダウンストリーム入力３５から当該認証パケットを受信すると、パケット分類部３９ｂで認証パケットに分類し、パケット認証部４４ｂに渡す（Ｓ７０５）。この認証パケットに分類する認証パケット分類条件は、ＬＡＮ監視・制御装置３の管理制御部４５ｂがパケット分類部３９ｂに通知する。パケット分類部３９ｂは、通知を受けた認証パケット分類条件により分類する。なお、管理制御部４５ｂは、所定の場合にパケット分類部３９ｂに認証パケット分類条件を再通知する。パケット分類部３９ｂは、再通知の条件で分類をする。
（６）パケット認証部４４ｂは、受け取ったパケットの認証情報を検証し、パケットの正当性を確認する（Ｓ７０６）。
（７）パケット認証部４４ｂは、正しい認証パケットであることを確認したうえで、当該パケットを透過パケットとして出力パケット振り分け部４６ｂを介して、送信優先度制御部５１ｂに渡す（Ｓ７０７）。なお、認証が成立しない場合については後述する。
（８）送信優先度制御部５１ｂは、受け取ったパケットを透過パケットとして、第三位の優先度でダウンストリーム出力３７へ出力する（Ｓ７０８）。
（９）以上の手順により、ＬＡＮ監視・制御装置１のダウンストリーム入力３１に送られた正常な透過パケットは、障害サブネットワーク２８を介してＬＡＮ監視・制御装置３へ送られ、ＬＡＮ監視・制御装置３のダウンストリーム出力３７へ中継される。
（１）このようなアップストリーム入力３４及びダウンストリーム入力３５を遮断した状態において、ＬＡＮ監視・制御装置１は、ダウンストリーム入力３１からＬＡＮ監視・制御装置３のダウンストリーム出力３７に接続される下位ネットワーク宛のパケットを受信すると、パケット分類部３９で「透過パケット」（対象パケット） に分類するとともに、出力パケット振り分け部４６を介して、送信パケット認証処理部４９に渡す（Ｓ７０１）。
（２）送信パケット認証処理部４９は、受け取ったパケットにＬＡＮ監視・制御装置３に向けた認証パケット用認証情報を付加し、認証パケット生成部５０に渡す（Ｓ７０２）。
（３）認証パケット生成部５０は、受け取った認証情報付パケットにＬＡＮ監視・制御装置３向けの認証パケット用ヘッダをつけ、認証パケットとして送信優先度制御部５１に渡す（Ｓ７０３）。
（４）送信優先度制御部５１は、受け取った認証パケットを第二位の優先度でダウンストリーム出力３３へ出力し、障害サブネットワーク２８を経由してＬＡＮ監視・制御装置３へ送る（Ｓ７０４）。
（５）ＬＡＮ監視・制御装置３は、ダウンストリーム入力３５から当該認証パケットを受信すると、パケット分類部３９ｂで認証パケットに分類し、パケット認証部４４ｂに渡す（Ｓ７０５）。この認証パケットに分類する認証パケット分類条件は、ＬＡＮ監視・制御装置３の管理制御部４５ｂがパケット分類部３９ｂに通知する。パケット分類部３９ｂは、通知を受けた認証パケット分類条件により分類する。なお、管理制御部４５ｂは、所定の場合にパケット分類部３９ｂに認証パケット分類条件を再通知する。パケット分類部３９ｂは、再通知の条件で分類をする。
（６）パケット認証部４４ｂは、受け取ったパケットの認証情報を検証し、パケットの正当性を確認する（Ｓ７０６）。
（７）パケット認証部４４ｂは、正しい認証パケットであることを確認したうえで、当該パケットを透過パケットとして出力パケット振り分け部４６ｂを介して、送信優先度制御部５１ｂに渡す（Ｓ７０７）。なお、認証が成立しない場合については後述する。
（８）送信優先度制御部５１ｂは、受け取ったパケットを透過パケットとして、第三位の優先度でダウンストリーム出力３７へ出力する（Ｓ７０８）。
（９）以上の手順により、ＬＡＮ監視・制御装置１のダウンストリーム入力３１に送られた正常な透過パケットは、障害サブネットワーク２８を介してＬＡＮ監視・制御装置３へ送られ、ＬＡＮ監視・制御装置３のダウンストリーム出力３７へ中継される。
次に、認証パケットの認証がエラーの場合（Ｓ７０６でＮＧの場合）を説明する。
（１）ＬＡＮ監視・制御装置３のパケット認証部４４ｂによる検証で認証エラーとなった場合（Ｓ７０６でＮＧ）、ＬＡＮ監視・制御装置３は、当該パケットを廃棄する（Ｓ７０９）。
（２）ＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３は、認証パケットの認証パケット分類条件を予め複数の種類を共有しておき、認証エラーが生じた場合に切り替える。認証エラーを検知した受信側のＬＡＮ監視・制御装置３は、複数種類共有している認証パケット分類条件の中から代替の認証パケット分類条件を選択し、ＬＡＮ監視・制御装置１へ代替の認証パケット分類条件を通知する（Ｓ７１０）。
具体的には、ＬＡＮ監視・制御装置１の管理制御部４５と、ＬＡＮ監視・制御装置３の管理制御部４５ｂとが、それぞれ複数の認証パケット分類条件を格納し、共有している。そして、管理制御部４５ｂは、認証エラーが生じた場合、代替の認証パケット分類条件を選択し、自己のパケット分類部３９ｂに代替の認証パケット分類条件を通知するとともに、ＬＡＮ監視・制御装置１へ代替の認証パケット分類条件を通知する。ＬＡＮ監視・制御装置１は、以降、代替の認証パケット分類条件に対応する認証パケットを送る。この認証パケット分類条件の代替は、ＬＡＮ監視・制御装置１では、例えば、認証パケット生成部５０の付加するヘッダの内容を変更することで行なう。また、ＬＡＮ監視・制御装置３の管理制御部４５ｂは、認証エラーが発生した際の認証パケット分類条件を廃棄パケット分類条件に変更するように、パケット分類部３９ｂに指示する。また、この他、ＬＡＮ監視・制御装置３の管理制御部４５ｂは、認証済みパケットカウンタ６２ｂによる認証エラーのカウント数に基づき認証パケット分類条件を変更してもよい。管理制御部４５ｂは、認証済みパケットカウンタ６２ｂのエラーカウント数に基づき、認証パケット分類条件をパケット分類部３９ｂへ再度通知する。パケット分類部３９ｂは、再び通知された条件により、パケットを分類する。
（１）ＬＡＮ監視・制御装置３のパケット認証部４４ｂによる検証で認証エラーとなった場合（Ｓ７０６でＮＧ）、ＬＡＮ監視・制御装置３は、当該パケットを廃棄する（Ｓ７０９）。
（２）ＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３は、認証パケットの認証パケット分類条件を予め複数の種類を共有しておき、認証エラーが生じた場合に切り替える。認証エラーを検知した受信側のＬＡＮ監視・制御装置３は、複数種類共有している認証パケット分類条件の中から代替の認証パケット分類条件を選択し、ＬＡＮ監視・制御装置１へ代替の認証パケット分類条件を通知する（Ｓ７１０）。
具体的には、ＬＡＮ監視・制御装置１の管理制御部４５と、ＬＡＮ監視・制御装置３の管理制御部４５ｂとが、それぞれ複数の認証パケット分類条件を格納し、共有している。そして、管理制御部４５ｂは、認証エラーが生じた場合、代替の認証パケット分類条件を選択し、自己のパケット分類部３９ｂに代替の認証パケット分類条件を通知するとともに、ＬＡＮ監視・制御装置１へ代替の認証パケット分類条件を通知する。ＬＡＮ監視・制御装置１は、以降、代替の認証パケット分類条件に対応する認証パケットを送る。この認証パケット分類条件の代替は、ＬＡＮ監視・制御装置１では、例えば、認証パケット生成部５０の付加するヘッダの内容を変更することで行なう。また、ＬＡＮ監視・制御装置３の管理制御部４５ｂは、認証エラーが発生した際の認証パケット分類条件を廃棄パケット分類条件に変更するように、パケット分類部３９ｂに指示する。また、この他、ＬＡＮ監視・制御装置３の管理制御部４５ｂは、認証済みパケットカウンタ６２ｂによる認証エラーのカウント数に基づき認証パケット分類条件を変更してもよい。管理制御部４５ｂは、認証済みパケットカウンタ６２ｂのエラーカウント数に基づき、認証パケット分類条件をパケット分類部３９ｂへ再度通知する。パケット分類部３９ｂは、再び通知された条件により、パケットを分類する。
以上のように、ＬＡＮ監視・制御装置１とＬＡＮ監視・制御装置３は、正常なネットワーク間で中継すべきパケットを認証パケットに変更し、遮断している障害サブネットワーク２８を介して中継するようにしたので、正常なサブネットワーク間の通信を確保できる
実施の形態２のＬＡＮ監視・制御装置は、管理制御部が認証パケット分類条件を格納し、パケット分類部は、管理制御部から通知された認証パケット分類条件に基づき、受信したパケットを認証パケットに分類する。このため、認証パケット分類条件を自由に設定することができる。
実施の形態２のＬＡＮ監視・制御装置は、管理制御部がパケット分類部に認証パケット分類条件を再度通知し、パケット分類部は再度通知された認証パケット分類条件によりパケットを認証パケットに分類するので、正常なネットワーク間のパケット通信を確保できる。
実施の形態３．
次に図２及び図１５〜図１７を用いて、実施の形態３を説明する。
実施の形態３は、図２で説明したＬＡＮ監視・制御装置１を、さらに詳しく説明する。
次に図２及び図１５〜図１７を用いて、実施の形態３を説明する。
実施の形態３は、図２で説明したＬＡＮ監視・制御装置１を、さらに詳しく説明する。
実施の形態１でも述べたように、ＬＡＮ監視・制御装置１は、ダウンストリームパケット処理部６３、管理制御部４５、アップストリームパケット処理部６４とを備える。
図２を参照して、ダウンストリームパケット処理部６３の構成を説明する。
ダウンストリームパケット処理部６３は、パケット分類部３９、パケット認証部４４、出力パケット振り分け部４６、送信パケット認証処理部４９（認証情報付加部）、認証パケット生成部５０（ヘッダ付加部の一例）、送信優先度制御部５１（送信部の一例）を備える。なお、パケット分類部３９は、管理パケットとして分類したパケットの数を測定する管理パケットカウンタ８５を備える。ダウンストリームパケット処理部６３は、さらに、下記の５つのパケットカウンタを備える。透過パケットの数をカウントする透過パケットカウンタ６０、廃棄パケットの数をカウントする廃棄パケットカウンタ５８、認証の結果、不正とされた不正パケットの数をカウントする不正パケットカウンタ６１、認証の済んだパケットの数をカウントする認証済みパケットカウンタ６２、モニタパケットの数をカウントするモニタパケットカウンタ５９である。なお、前述のようにアップストリームパケット処理部６４は、ダウンストリームパケット処理部６３と同様の構成である。
ダウンストリームパケット処理部６３は、パケット分類部３９、パケット認証部４４、出力パケット振り分け部４６、送信パケット認証処理部４９（認証情報付加部）、認証パケット生成部５０（ヘッダ付加部の一例）、送信優先度制御部５１（送信部の一例）を備える。なお、パケット分類部３９は、管理パケットとして分類したパケットの数を測定する管理パケットカウンタ８５を備える。ダウンストリームパケット処理部６３は、さらに、下記の５つのパケットカウンタを備える。透過パケットの数をカウントする透過パケットカウンタ６０、廃棄パケットの数をカウントする廃棄パケットカウンタ５８、認証の結果、不正とされた不正パケットの数をカウントする不正パケットカウンタ６１、認証の済んだパケットの数をカウントする認証済みパケットカウンタ６２、モニタパケットの数をカウントするモニタパケットカウンタ５９である。なお、前述のようにアップストリームパケット処理部６４は、ダウンストリームパケット処理部６３と同様の構成である。
次に、各構成要素の機能及び入出力するパケットについて説明する。
（１）パケット分類部３９は、入力パケットを透過パケット、廃棄パケット、管理パケット、認証パケット及びモニタパケットに分類する。
（２）透過パケット出力４０は、パケット分類部３９の透過パケットの出力である。
（３）廃棄パケット出力４１は、パケット分類部３９の廃棄パケットの出力である。
（４）認証パケット出力４２は、パケット分類部３９によって管理パケットあるいは認証パケットに分類されたパケットの出力である。
（５）モニタパケット出力４３は、パケット分類部３９が分類したモニタパケットの出力である。
（６）パケット認証部４４は、管理パケット或いは認証パケットを認証する。
（７）管理制御部４５は、管理パケットを解読し、また、管理通信の授受と処理及びＬＡＮ監視・制御装置１全体の管理や制御を行なう。また、管理制御部４５は、後述のように、管理パケット分類条件及び認証パケット分類条件を格納する。
（８）出力パケット振り分け部４６は、パケット分類部３９、パケット認証部４４及び管理制御部４５への出力を、パケットの属性に合わせて振り分ける。
（９）透過用パケット出力４７は、出力パケット振り分け部４６からの透過パケットの出力である。
（１０）認証用パケット出力４８は、出力パケット振り分け部４６からの認証パケットの出力である。
（１１）送信パケット認証処理部４９は、管理パケット或いは認証パケットの出力に必要な認証情報を付加する。
（１２）認証パケット生成部５０は認証情報を付加したパケットに管理パケット或いは認証パケットとしてのヘッダを付加する。
（１３）送信優先度制御部５１は、管理パケットを第一位の優先度、認証パケットを第二位の優先度、透過パケットを第三位の優先度で送信する。
（１４）ダウンストリームパケット入力５２は、ＬＡＮ監視・制御装置１において、上位システムから下位システム向かうパケットの入力である。
（１５）ダウンストリームパケット出力５３は、ＬＡＮ監視・制御装置１において、上位システムから下位システム向かうパケットの入力である。
（１６）不正パケット出力５４は、パケット認証部４４で不正と判定されたパケットの出力である。
（１７）認証済みパケット出力５５は、パケット認証部４４による認証の結果、正当と判定されたパケットの出力である。
（１８）ダウンストリーム入力５６は、ダウンストリームパケット入力５２から管理パケット等を入力する管理制御部４５への入力である。
（１９）ダウンストリーム出力５７は、ダウンストリームパケット出力５３へ管理パケット等を出力する管理制御部４５の出力である。
（２０）廃棄パケットカウンタ５８は、廃棄パケット出力４１に出力される廃棄パケットの数を積算する。
（２１）モニタパケットカウンタ５９は、モニタパケット出力４３に出力されるモニタパケットの数を積算する。
（２２）透過パケットカウンタ６０は、透過パケット出力４０に出力される透過パケットの数を積算する。
（２３）不正パケットカウンタ６１は不正パケット出力５４に出力される認証エラーの要因となった不正パケットの数を積算する。
（２４）認証済みパケットカウンタ６２は、認証済みパケット出力５５に出力される認証済みパケットの数を積算する。
（２５）ダウンストリームパケット処理部６３は、ダウンストリームパケット入力から入力されるパケットを処理する全体構成である。
（２６）アップストリームパケット処理部６４は、ダウンストリームパケット処理部６３と対をなし、アップストリームパケットを処理する。
（２７）アップストリームパケット入力６５は、下位のシステムから上位のシステムに向かうパケットの入力である。
（２８）アップストリームパケット出力６６は、下位のシステムから上位のシステムに向かうパケットの出力である。
（２９）管理制御部アップストリーム入力６７は、管理パケット等の管理制御部４５への入力である。
（３０）管理制御部アップストリーム出力６８は、管理制御部４５からアップストリームパケット処理部への出力である。
（１）パケット分類部３９は、入力パケットを透過パケット、廃棄パケット、管理パケット、認証パケット及びモニタパケットに分類する。
（２）透過パケット出力４０は、パケット分類部３９の透過パケットの出力である。
（３）廃棄パケット出力４１は、パケット分類部３９の廃棄パケットの出力である。
（４）認証パケット出力４２は、パケット分類部３９によって管理パケットあるいは認証パケットに分類されたパケットの出力である。
（５）モニタパケット出力４３は、パケット分類部３９が分類したモニタパケットの出力である。
（６）パケット認証部４４は、管理パケット或いは認証パケットを認証する。
（７）管理制御部４５は、管理パケットを解読し、また、管理通信の授受と処理及びＬＡＮ監視・制御装置１全体の管理や制御を行なう。また、管理制御部４５は、後述のように、管理パケット分類条件及び認証パケット分類条件を格納する。
（８）出力パケット振り分け部４６は、パケット分類部３９、パケット認証部４４及び管理制御部４５への出力を、パケットの属性に合わせて振り分ける。
（９）透過用パケット出力４７は、出力パケット振り分け部４６からの透過パケットの出力である。
（１０）認証用パケット出力４８は、出力パケット振り分け部４６からの認証パケットの出力である。
（１１）送信パケット認証処理部４９は、管理パケット或いは認証パケットの出力に必要な認証情報を付加する。
（１２）認証パケット生成部５０は認証情報を付加したパケットに管理パケット或いは認証パケットとしてのヘッダを付加する。
（１３）送信優先度制御部５１は、管理パケットを第一位の優先度、認証パケットを第二位の優先度、透過パケットを第三位の優先度で送信する。
（１４）ダウンストリームパケット入力５２は、ＬＡＮ監視・制御装置１において、上位システムから下位システム向かうパケットの入力である。
（１５）ダウンストリームパケット出力５３は、ＬＡＮ監視・制御装置１において、上位システムから下位システム向かうパケットの入力である。
（１６）不正パケット出力５４は、パケット認証部４４で不正と判定されたパケットの出力である。
（１７）認証済みパケット出力５５は、パケット認証部４４による認証の結果、正当と判定されたパケットの出力である。
（１８）ダウンストリーム入力５６は、ダウンストリームパケット入力５２から管理パケット等を入力する管理制御部４５への入力である。
（１９）ダウンストリーム出力５７は、ダウンストリームパケット出力５３へ管理パケット等を出力する管理制御部４５の出力である。
（２０）廃棄パケットカウンタ５８は、廃棄パケット出力４１に出力される廃棄パケットの数を積算する。
（２１）モニタパケットカウンタ５９は、モニタパケット出力４３に出力されるモニタパケットの数を積算する。
（２２）透過パケットカウンタ６０は、透過パケット出力４０に出力される透過パケットの数を積算する。
（２３）不正パケットカウンタ６１は不正パケット出力５４に出力される認証エラーの要因となった不正パケットの数を積算する。
（２４）認証済みパケットカウンタ６２は、認証済みパケット出力５５に出力される認証済みパケットの数を積算する。
（２５）ダウンストリームパケット処理部６３は、ダウンストリームパケット入力から入力されるパケットを処理する全体構成である。
（２６）アップストリームパケット処理部６４は、ダウンストリームパケット処理部６３と対をなし、アップストリームパケットを処理する。
（２７）アップストリームパケット入力６５は、下位のシステムから上位のシステムに向かうパケットの入力である。
（２８）アップストリームパケット出力６６は、下位のシステムから上位のシステムに向かうパケットの出力である。
（２９）管理制御部アップストリーム入力６７は、管理パケット等の管理制御部４５への入力である。
（３０）管理制御部アップストリーム出力６８は、管理制御部４５からアップストリームパケット処理部への出力である。
なお、パケット分類部３９、パケット認証部４４、出力パケット振り分け部４６、送信パケット認証処理部４９、認証パケット生成部５０及び送信優先度制御部５１で構成されるダウンストリームパケット処理部６３、及びダウンストリームパケット処理部６３と対を成すアップストリームパケット処理部６４は、ハードウェアロジックのみで実現することが可能である。ダウンストリームパケット処理部６３、アップストリームパケット処理部６４は、ＬＡＮの伝送スピードでパケットの分類、認証、中継、廃棄等の処理を行なう。一方、管理制御部４５は、プログラムで制御され、ネットワークの監視、遮断の判断、認証条件や分類条件の設定・変更、管理通信の処理等、より複雑な処理を行なう。
次に、図１５を用いて、ＬＡＮ（ネットワークシステム１０００）の通常動作時を説明する。図１５は、通常の中継動作を示すフローチャートである。
通常動作時では、ＬＡＮ監視・制御装置１のパケット分類部３９は、中継するべきパケットを受信すると、受信したパケットを透過パケットに分類し、自己の装置内を透過させる。ＬＡＮ監視・制御装置１がパケットを中継する動作を説明する。
（１）ＬＡＮ監視・制御装置１は、ダウンストリームパケット入力５２から中継すべきパケットを受信すると、当該パケットをパケット分類部３９で透過パケットに分類し、透過パケット出力４０経由で出力パケット振り分け部４６へ送る（Ｓ８０１）。
（２）出力パケット振り分け部４６は、透過パケット出力４０から受け取った透過パケットを透過用パケット出力４７経由で送信優先度制御部５１へ送る（Ｓ８０２）。
（３）送信優先度制御部５１は、透過用パケット出力４７から受け取った透過パケットを第三位の優先度でダウンストリームパケット出力５３へ出力する（Ｓ８０３）。
（４）このように、ＬＡＮ監視・制御装置１は、ダウンストリームパケット入力５２から受信したパケットをダウンストリームパケット出力５３へ透過中継する。
通常動作時では、ＬＡＮ監視・制御装置１のパケット分類部３９は、中継するべきパケットを受信すると、受信したパケットを透過パケットに分類し、自己の装置内を透過させる。ＬＡＮ監視・制御装置１がパケットを中継する動作を説明する。
（１）ＬＡＮ監視・制御装置１は、ダウンストリームパケット入力５２から中継すべきパケットを受信すると、当該パケットをパケット分類部３９で透過パケットに分類し、透過パケット出力４０経由で出力パケット振り分け部４６へ送る（Ｓ８０１）。
（２）出力パケット振り分け部４６は、透過パケット出力４０から受け取った透過パケットを透過用パケット出力４７経由で送信優先度制御部５１へ送る（Ｓ８０２）。
（３）送信優先度制御部５１は、透過用パケット出力４７から受け取った透過パケットを第三位の優先度でダウンストリームパケット出力５３へ出力する（Ｓ８０３）。
（４）このように、ＬＡＮ監視・制御装置１は、ダウンストリームパケット入力５２から受信したパケットをダウンストリームパケット出力５３へ透過中継する。
一方、ＬＡＮ監視・制御装置１が、アップストリームパケット入力６５から中継すべきパケットを受信した際は、図３に示した構成からもわかるように、アップストリームパケット処理部６４がダウンストリームパケット処理部６３の上記処理と同等の処理を行なうことにより、アップストリームパケット入力６５から受信したパケットをアップストリームパケット出力６６へ透過中継する。以上の動作により、ＬＡＮ監視・制御装置１は、外部からはリピータとして透過に見える。
次に、図１６を用いて、ＬＡＮ監視・制御装置１が管理パケットを受信した場合の動作を説明する。図１６は、ＬＡＮ監視・制御装置１が管理パケットを受信した場合の動作を示す。
（１）ＬＡＮ監視・制御装置１が、ダウンストリームパケット入力５２から管理パケットを受信した場合、ＬＡＮ監視・制御装置１は、当該入力パケットをパケット分類部３９で管理パケットに分類し、認証処理のため、認証パケット出力４２を経由してパケット認証部４４へ送る（Ｓ９０１）。
（２）パケット認証部４４は、受信した管理パケットを検証し（Ｓ９０２）、正しいことを確認した場合、認証済みパケット出力５５経由で出力パケット振り分け部４６へ送る（Ｓ９０３）。
（３）出力パケット振り分け部４６は、当該パケットが管理パケットであることを知り、管理制御部ダウンストリーム入力５６経由で管理制御部４５へ送る（Ｓ９０４）。
（４）管理制御部４５は当該パケットの指定に対応した監視・制御の処理を行なう（Ｓ９０５）。
（１）ＬＡＮ監視・制御装置１が、ダウンストリームパケット入力５２から管理パケットを受信した場合、ＬＡＮ監視・制御装置１は、当該入力パケットをパケット分類部３９で管理パケットに分類し、認証処理のため、認証パケット出力４２を経由してパケット認証部４４へ送る（Ｓ９０１）。
（２）パケット認証部４４は、受信した管理パケットを検証し（Ｓ９０２）、正しいことを確認した場合、認証済みパケット出力５５経由で出力パケット振り分け部４６へ送る（Ｓ９０３）。
（３）出力パケット振り分け部４６は、当該パケットが管理パケットであることを知り、管理制御部ダウンストリーム入力５６経由で管理制御部４５へ送る（Ｓ９０４）。
（４）管理制御部４５は当該パケットの指定に対応した監視・制御の処理を行なう（Ｓ９０５）。
一方、ＬＡＮ監視・制御装置１が、アップストリームパケット入力６５から管理パケットを受信した場合は、アップストリームパケット処理部６４がダウンストリームパケット処理部６３の上記処理と同様の処理を行なうことにより、アップストリームパケット入力６５から受信した管理パケットを管理制御部アップストリーム入力６７経由で管理制御部４５へ送る。
次に、図１７を用いて、ＬＡＮ監視・制御装置１が管理パケットを送信する場合の動作を説明する。図１７は、ＬＡＮ監視・制御装置１が管理パケットを送信する過程を示すフローチャートである。図３の場合を想定する。
（１）ＬＡＮ監視・制御装置１からダウンストリームパケット出力５３へ管理パケットを送信（出力）する場合、管理制御部４５は、管理通信用パケットを、管理制御部ダウンストリーム出力５７として出力パケット振り分け部４６に管理パケットとして送る（Ｓ１００１）。
（２）出力パケット振り分け部４６は、受け取った管理通信用パケットに認証情報を付加するため、送信パケット認証処理部４９へ当該パケットを管理パケットとして送る（Ｓ１００２）。
（３）送信パケット認証処理部４９は、受け取ったパケットに管理通信用の認証情報を付加し、管理パケットとして認証パケット生成部５０へ送る（Ｓ１００３）。
（４）認証パケット生成部５０は、受け取ったパケットに管理通信用ヘッダを付加し、送信優先度制御部５１へ管理パケットとして送る（Ｓ１００４）。
（５）送信優先度制御部５１は、当該パケットが管理パケットであることを知り、第一位の優先度でダウンストリームパケット出力５３へ送信する（Ｓ１００５）。
（１）ＬＡＮ監視・制御装置１からダウンストリームパケット出力５３へ管理パケットを送信（出力）する場合、管理制御部４５は、管理通信用パケットを、管理制御部ダウンストリーム出力５７として出力パケット振り分け部４６に管理パケットとして送る（Ｓ１００１）。
（２）出力パケット振り分け部４６は、受け取った管理通信用パケットに認証情報を付加するため、送信パケット認証処理部４９へ当該パケットを管理パケットとして送る（Ｓ１００２）。
（３）送信パケット認証処理部４９は、受け取ったパケットに管理通信用の認証情報を付加し、管理パケットとして認証パケット生成部５０へ送る（Ｓ１００３）。
（４）認証パケット生成部５０は、受け取ったパケットに管理通信用ヘッダを付加し、送信優先度制御部５１へ管理パケットとして送る（Ｓ１００４）。
（５）送信優先度制御部５１は、当該パケットが管理パケットであることを知り、第一位の優先度でダウンストリームパケット出力５３へ送信する（Ｓ１００５）。
一方、ＬＡＮ監視・制御装置１からアップストリームパケット出力６６へ管理パケットを送信する場合、管理制御部４５は、管理制御部アップストリーム出力６８からアップストリームパケット処理部６４へ管理通信用パケットを管理パケットとして送る。アップストリームパケット処理部６４は上記のダウンストリームパケット処理部６３と同様の処理を行って、アップストリームパケット出力６６に管理パケットを出力する。
（１）なお、ＬＡＮ監視・制御装置１が、ダウンストリームパケット入力５２から管理パケットを受信し、パケット認証部４４での検証の結果（Ｓ９０２）、不正パケットと判定された場合（Ｓ９０２のＮＧ）、パケット認証部４４は、当該パケットを不正パケット出力５４へ出力する（Ｓ９０６）。
（２）不正パケットカウンタ６１は、不正パケット出力５４へ出力された不正パケットをカウントする（Ｓ９０７）。
（３）管理制御部４５は、このカウント結果を監視する。管理制御部４５は、不正パケットカウンタ６１の値がカウントアップしたことを検知すると、認証エラーが発生した旨を当該管理パケットの送信元へ通知するため、管理制御部アップストリーム出力６８からアップストリームパケット処理部６４へ管理用パケットを送る（Ｓ９０８）。
（４）この管理用パケットを受け取ったアップストリームパケット処理部６４は、認証情報と管理パケット用ヘッダをつけ、管理パケットとしてアップストリームパケット出力６６へ出力する（Ｓ９０９）。
（１）なお、ＬＡＮ監視・制御装置１が、ダウンストリームパケット入力５２から管理パケットを受信し、パケット認証部４４での検証の結果（Ｓ９０２）、不正パケットと判定された場合（Ｓ９０２のＮＧ）、パケット認証部４４は、当該パケットを不正パケット出力５４へ出力する（Ｓ９０６）。
（２）不正パケットカウンタ６１は、不正パケット出力５４へ出力された不正パケットをカウントする（Ｓ９０７）。
（３）管理制御部４５は、このカウント結果を監視する。管理制御部４５は、不正パケットカウンタ６１の値がカウントアップしたことを検知すると、認証エラーが発生した旨を当該管理パケットの送信元へ通知するため、管理制御部アップストリーム出力６８からアップストリームパケット処理部６４へ管理用パケットを送る（Ｓ９０８）。
（４）この管理用パケットを受け取ったアップストリームパケット処理部６４は、認証情報と管理パケット用ヘッダをつけ、管理パケットとしてアップストリームパケット出力６６へ出力する（Ｓ９０９）。
次に、ＬＡＮ監視・制御装置１がネットワークを遮断する際の動作を説明する。図３を参照して説明する。ＬＡＮ監視・制御装置１が、例えば、管理装置１４からの指示等により、アップストリーム側ネットワークをダウンストリーム側ネットワークから遮断する場合を説明する。図３において、ダウンストリームパケット入力５２からのパケットの入力を遮断する場合に相当する。
管理制御部４５は、パケット分類部３９の透過パケット分類条件を廃棄パケットの分類条件に変更する。この変更により、以降、パケット分類部３９は、ダウンストリームパケット入力５２で受信した透過中継すべきパケットを全て廃棄パケットに分類して、廃棄する。以上により、ＬＡＮ監視・制御装置１は、アップストリーム側ネットワークからダウンストリーム側へのパケットを遮断し、アップストリーム側ネットワークをダウンストリーム側ネットワークから遮断する。逆に、ダウンストリーム側のネットワークをアップストリーム側のネットワークから遮断する場合は、管理制御部４５が、アップストリームパケット処理部６４のパケット分類部３９ａに対して、透過パケット分類条件を廃棄パケット分類条件に変更させる。これにより、アップストリームパケット処理部６４がダウンストリームパケット処理部６３の上記動作と同様の処理を行って、アップストリームパケット入力６５から受信した中継すべきパケットを全て廃棄し、ダウンストリーム側ネットワークをアップストリーム側ネットワークから遮断する。
管理制御部４５は、パケット分類部３９の透過パケット分類条件を廃棄パケットの分類条件に変更する。この変更により、以降、パケット分類部３９は、ダウンストリームパケット入力５２で受信した透過中継すべきパケットを全て廃棄パケットに分類して、廃棄する。以上により、ＬＡＮ監視・制御装置１は、アップストリーム側ネットワークからダウンストリーム側へのパケットを遮断し、アップストリーム側ネットワークをダウンストリーム側ネットワークから遮断する。逆に、ダウンストリーム側のネットワークをアップストリーム側のネットワークから遮断する場合は、管理制御部４５が、アップストリームパケット処理部６４のパケット分類部３９ａに対して、透過パケット分類条件を廃棄パケット分類条件に変更させる。これにより、アップストリームパケット処理部６４がダウンストリームパケット処理部６３の上記動作と同様の処理を行って、アップストリームパケット入力６５から受信した中継すべきパケットを全て廃棄し、ダウンストリーム側ネットワークをアップストリーム側ネットワークから遮断する。
ＬＡＮ監視・制御装置１は、実施の形態２で説明したように、認証パケットを中継する。これについては実施の形態２において図１３、図１４を用いて説明したので、詳しい説明は省略する。
次に、ＬＡＮ監視・制御装置１における受信パケットの監視機能について説明する。管理制御部４５は、管理パケットカウンタ８５、透過パケットカウンタ６０、廃棄パケットカウンタ５８、不正パケットカウンタ６１、認証済みパケットカウンタ６２及びモニタパケットカウンタ５９を観測し、各パケットの通信量を監視する。
また、管理制御部４５は、パケット分類部３９のモニタパケット分類条件を設定することで、監視したいパケットの写しをモニタパケット出力４３に出力し、モニタパケットカウンタ５９で発生頻度を監視する。さらに、管理制御部４５は、必要に応じてモニタパケットを出力パケット振り分け部４６から管理制御部ダウンストリーム入力５６として入力し、入力したモニタパケットを解析する。アップストリームパケット入力６５についても、ダウンストリームパケット処理部６３と同様に、管理制御部４５は、アップストリームパケット処理部６４を制御し、各パケットの発生頻度を監視するとともに、管理制御部アップストリーム入力６７からモニタパケットを取り込み、解析する。
なお、パケット分類部３９で使用するパケット分類条件、パケット認証部４４で使用する管理パケットと認証パケットの認証条件、送信パケット認証処理部４９で使用する管理パケットと認証パケットの認証条件及び認証パケット生成部５０で生成する管理パケットと認証パケットのヘッダ生成条件は、予め、管理制御部４５が各処理部に設定するとともに、攻撃等に対応するため、実施形態１及び実施形態２で説明したタイミングで管理制御部４５が変更する。
ＬＡＮ監視・制御装置１は以上のように構成されているので、予期しない不正パケットによる攻撃が発生中であっても、不正パケットを遮断しつつ、正常なネットワーク間の通信を確保できる。
実施の形態４．
次に図１８〜図２１を用いて実施の形態４を説明する。実施形態３では、一対の入出力を持つＬＡＮ監視・制御装置１の構成を示したが、複数の入出力をもち、スイッチとしても利用できる装置の、一実施形態を示す。
次に図１８〜図２１を用いて実施の形態４を説明する。実施形態３では、一対の入出力を持つＬＡＮ監視・制御装置１の構成を示したが、複数の入出力をもち、スイッチとしても利用できる装置の、一実施形態を示す。
図１８は、このようなスイッチ型ＬＡＮ監視・制御装置８０の一例を示したブロック図である。また、図１９は、このようなスイッチ型ＬＡＮ監視・制御装置８０を用いたネットークの構成例を示す。上記実施形態１〜実施の形態３と同じ番号の部位は、同一機能の部位であることを示す。
スイッチ型ＬＡＮ監視・制御装置８０の構成を説明する。スイッチ型ＬＡＮ監視・制御装置８０は、パケットを入力する複数の入力パケット処理部７２ａ、７２ｂ、・・・７２ｎ等と、パケットを出力する複数の出力パケット処理部７３ａ、７３ｂ、・・・７３ｎ等と、パケットスイッチ部７０と、管理制御部４５とを備える。
入力パケット処理部７２ａ等の構成は、ＬＡＮ監視・制御装置１のダウンストリームパケット処理部６３を、出力パケット振り分け部４６を基準に入力側（パケット分類部３９側）と出力側（送信優先度制御部側）に分けた場合における、入力側の構成に類似である。入力パケット処理部７２ａ等は、さらに、パケット入力スイッチインターフェース部６９を備える。同様に、出力パケット処理部７３ａ等の構成は、出力パケット振り分け部４６を基準に出力側の構成に類似である。出力パケット処理部７３ａ等は、さらに、パケット出力スイッチインターフェース部７１を備える。
各要素の機能を説明する。
（１）パケット入力スイッチインターフェース部６９は、パケット分類部３９で分類した受信パケットを送信先に振り分ける。
（２）パケットスイッチ部７０は、スイッチ型ＬＡＮ監視・制御装置８０の内部におけるパケットを転送する。
（３）パケット出力スイッチインターフェース部７１は、パケットスイッチ部７０から送信用パケットを受け取る。
（４）入力パケット処理部７２ａは、ダウンストリームパケット入力５２で受信したパケットを分類、認証し、送信先を決定する１番目の入力パケット処理部である。
（５）出力パケット処理部７３ａは、送信用パケットに認証情報と分類条件にあったヘッダを付加し、パケットの属性に応じて優先度制御しながら、パケットをダウンストリームパケット出力５３へ送信する１番目の出力パケット処理部である。
（６）入力パケット処理部７２ｂは、アップストリームパケット入力６５からの受信パケットを処理する２番目の入力パケット処理部である。
（７）出力パケット処理部７３ｂは、アップストリームパケット出力６６へ送り出す送信パケットを処理する、２番目の出力パケット処理部である。
（８）入力パケット処理部７２ｎは、その他の入力パケットを処理するｎ番目の入力パケット処理部である。
（９）出力パケット処理部７３ｎは、その他の出力パケットを処理するｎ番目の出力パケット処理部である。
（１０）管理制御部統合入力７８は、各入力パケット処理部７２ａ、７２ｂ、・・・７２ｎから管理制御部４５へ送られるパケットの入力である。
（１１）管理制御部統合出力７９は、各出力パケット処理部７３ａ、７３ｂ、・・・７３ｎへ管理制御部４５から送りだす送信用パケットの出力である。
（１）パケット入力スイッチインターフェース部６９は、パケット分類部３９で分類した受信パケットを送信先に振り分ける。
（２）パケットスイッチ部７０は、スイッチ型ＬＡＮ監視・制御装置８０の内部におけるパケットを転送する。
（３）パケット出力スイッチインターフェース部７１は、パケットスイッチ部７０から送信用パケットを受け取る。
（４）入力パケット処理部７２ａは、ダウンストリームパケット入力５２で受信したパケットを分類、認証し、送信先を決定する１番目の入力パケット処理部である。
（５）出力パケット処理部７３ａは、送信用パケットに認証情報と分類条件にあったヘッダを付加し、パケットの属性に応じて優先度制御しながら、パケットをダウンストリームパケット出力５３へ送信する１番目の出力パケット処理部である。
（６）入力パケット処理部７２ｂは、アップストリームパケット入力６５からの受信パケットを処理する２番目の入力パケット処理部である。
（７）出力パケット処理部７３ｂは、アップストリームパケット出力６６へ送り出す送信パケットを処理する、２番目の出力パケット処理部である。
（８）入力パケット処理部７２ｎは、その他の入力パケットを処理するｎ番目の入力パケット処理部である。
（９）出力パケット処理部７３ｎは、その他の出力パケットを処理するｎ番目の出力パケット処理部である。
（１０）管理制御部統合入力７８は、各入力パケット処理部７２ａ、７２ｂ、・・・７２ｎから管理制御部４５へ送られるパケットの入力である。
（１１）管理制御部統合出力７９は、各出力パケット処理部７３ａ、７３ｂ、・・・７３ｎへ管理制御部４５から送りだす送信用パケットの出力である。
次に、図２０を参照して、動作について説明する。図２０は、スイッチ型ＬＡＮ監視・制御装置８０とネットワークとの接続を示す図である。
（１）スイッチ型ＬＡＮ監視・制御装置８０は、ダウンストリームパケット入力５２とアップストリームパケット出力６６でアップストリーム側ネットワークと接続し、アップストリームパケット入力６５とダウンストリームパケット出力５３でダウンストリーム側ネットワークと接続する。この接続により、ＬＡＮ監視・制御装置１と同様、アップストリーム側ネットワークとダウンストリーム側ネットワークとの間のパケットを中継する。
（２）これに加え、入力パケット処理部７２ａ、７２ｂ以外の複数の入力パケット処理部７２ｃ、７２ｄ、・・・７２ｎ等と、出力パケット処理部７３ａ、７３ｂ以外の複数の出力パケット処理部７３ｃ、７３ｂｄ、・・・７３ｎ等を複数のサブネットワークに接続し、パケットスイッチ部７０で各処理部間の接続を切り替えてパケット配信をすることにより、スイッチとして動作する。
（３）例えば、サブネットワークから入力パケット処理部７２ｎを介して受信したパケットを透過パケットとして分類し、あて先ＩＰアドレスがアップストリーム側ネットワークであった場合、当該パケットをパケットスイッチ部７０経由で、出力パケット処理部７３ｂへ送り、アップストリームパケット出力６６へ出力する。これにより、アップストリーム側ネットワークへ中継する。また、あて先ＩＰアドレスがダウンストリーム側ネットワークであった場合は、当該パケットをパケットスイッチ部７０経由で、出力パケット処理部７３ａへ送り、ダウンストリームパケット出力５３へ出力する。これにより、ダウンストリーム側ネットワークへパケットを中継する。
（１）スイッチ型ＬＡＮ監視・制御装置８０は、ダウンストリームパケット入力５２とアップストリームパケット出力６６でアップストリーム側ネットワークと接続し、アップストリームパケット入力６５とダウンストリームパケット出力５３でダウンストリーム側ネットワークと接続する。この接続により、ＬＡＮ監視・制御装置１と同様、アップストリーム側ネットワークとダウンストリーム側ネットワークとの間のパケットを中継する。
（２）これに加え、入力パケット処理部７２ａ、７２ｂ以外の複数の入力パケット処理部７２ｃ、７２ｄ、・・・７２ｎ等と、出力パケット処理部７３ａ、７３ｂ以外の複数の出力パケット処理部７３ｃ、７３ｂｄ、・・・７３ｎ等を複数のサブネットワークに接続し、パケットスイッチ部７０で各処理部間の接続を切り替えてパケット配信をすることにより、スイッチとして動作する。
（３）例えば、サブネットワークから入力パケット処理部７２ｎを介して受信したパケットを透過パケットとして分類し、あて先ＩＰアドレスがアップストリーム側ネットワークであった場合、当該パケットをパケットスイッチ部７０経由で、出力パケット処理部７３ｂへ送り、アップストリームパケット出力６６へ出力する。これにより、アップストリーム側ネットワークへ中継する。また、あて先ＩＰアドレスがダウンストリーム側ネットワークであった場合は、当該パケットをパケットスイッチ部７０経由で、出力パケット処理部７３ａへ送り、ダウンストリームパケット出力５３へ出力する。これにより、ダウンストリーム側ネットワークへパケットを中継する。
管理通信について説明する。
（１）管理パケットは、複数の入力パケット処理部７２ａ、７２ｂ、・・・７２ｎ等が受信し、接続先のネットワーク毎に独立した管理パケット分類条件と認証条件を元に、管理パケットへの分類と、管理パケットの認証を行ない、パケットスイッチ部７０経由で全て管理制御部統合入力７８へ送られる。
（２）管理制御部４５は，受け取った管理パケットを処理するとともに、必要に応じて、返信や配信等のための送信パケットを管理制御部統合出力７９に出力し、パケットスイッチ部７０経由で送信先ネットワークに接続されている出力パケット処理部７３ａ、７３ｂ，・・・７３ｎ等へ送る。当該パケットを受信した出力パケット処理部７３ａ、７３ｂ、７３ｎ等は、送信先に対応した認証情報とヘッダを付加し、ダウンストリームパケット出力５３やアップストリームパケット出力６６等に第一位の優先度で送信する。
（１）管理パケットは、複数の入力パケット処理部７２ａ、７２ｂ、・・・７２ｎ等が受信し、接続先のネットワーク毎に独立した管理パケット分類条件と認証条件を元に、管理パケットへの分類と、管理パケットの認証を行ない、パケットスイッチ部７０経由で全て管理制御部統合入力７８へ送られる。
（２）管理制御部４５は，受け取った管理パケットを処理するとともに、必要に応じて、返信や配信等のための送信パケットを管理制御部統合出力７９に出力し、パケットスイッチ部７０経由で送信先ネットワークに接続されている出力パケット処理部７３ａ、７３ｂ，・・・７３ｎ等へ送る。当該パケットを受信した出力パケット処理部７３ａ、７３ｂ、７３ｎ等は、送信先に対応した認証情報とヘッダを付加し、ダウンストリームパケット出力５３やアップストリームパケット出力６６等に第一位の優先度で送信する。
図２１は、図１９に示すスイッチ型ＬＡＮ監視・制御装置８０の接続状態を示す図である。サブネットワーク１５の出力は入力パケット処理部７２ａに接続するとともに出力が出力パケット処理部７３ａに接続している。また、管理装置１４の出力は入力パケット処理部７２ｂに接続するとともに出力が出力パケット処理部７３ｂに接続している。また、サブネットワーク１９の出力は入力パケット処理部７２ｃに接続するとともに出力が出力パケット処理部７３ｃに接続している。また、サブネットワーク２０の出力は入力パケット処理部７２ｄに接続するとともに出力が出力パケット処理部７３ｄに接続している。パケットスイッチ部７０は、入力パケット処理部７２ａ、７２ｂ，７２ｃ、７２ｂのそれぞれからパケットが出力された場合に接続を切り替えて、出力されたパケットを出力パケット処理部７３ａ、７３ｂ，７３ｃ、７３ｄのうちのいずれかに出力する。
スイッチ型ＬＡＮ監視・制御装置８０は、以上のように構成されているので、複数のサブネットワークに直接接続し、きめ細かい監視・制御をより少ない装置台数で実現できる。
以上の実施の形態では、以下の（ａ）〜（ｆ）を備えたＬＡＮ監視・制御装置をＬＡＮ内に分散配置して相互通信させることにより、障害が発生しているネットワークからのパケットを遮断しつつ、正常なサブネットワーク間の通信を確保するＬＡＮ監視・制御方式を説明した。
（ａ）受信パケットを、パケットヘッダ内の複数フィールドの組み合わせにより、透過パケット、廃棄パケット、認証パケット、管理パケット、モニタパケットのいずれかに分類するパケット分類部３９
（ｂ）分類された各パケットの数を積算するカウント部（カウンタ）
（ｃ）認証パケット及び管理パケットを認証してパケットの正当性を確認するパケット認証部
（ｄ）送信パケットに認証情報を付加する送信パケット認証処理部
（ｅ）送信パケットに認証パケットあるいは管理パケットへの分類に用いるパケットヘッダをつける認証パケット生成部
（ｆ）管理パケットを第一位の優先順位とし、認証パケットを第二位の優先順位とし、透過パケットを第三位の優先順位として送信する送信優先度制御部
（ａ）受信パケットを、パケットヘッダ内の複数フィールドの組み合わせにより、透過パケット、廃棄パケット、認証パケット、管理パケット、モニタパケットのいずれかに分類するパケット分類部３９
（ｂ）分類された各パケットの数を積算するカウント部（カウンタ）
（ｃ）認証パケット及び管理パケットを認証してパケットの正当性を確認するパケット認証部
（ｄ）送信パケットに認証情報を付加する送信パケット認証処理部
（ｅ）送信パケットに認証パケットあるいは管理パケットへの分類に用いるパケットヘッダをつける認証パケット生成部
（ｆ）管理パケットを第一位の優先順位とし、認証パケットを第二位の優先順位とし、透過パケットを第三位の優先順位として送信する送信優先度制御部
以上の実施の形態では、ＬＡＮ監視・制御装置をリピータとして動作させる場合を説明した。
以上の実施の形態では、ＬＡＮを介して互いに接続されたＬＡＮ監視・制御装置は、管理パケット分類条件、認証パケット分類条件及びそれらパケットの認証条件を共有する場合を説明した。
また、共有方法として、以下の２種類を説明した。
（１）接続先毎に個別の分類条件と認証条件を持つ。
（２）ＬＡＮで直接接続された複数のＬＡＮ監視・制御装置をグループとして同一の分類条件と認証条件を共有する。ＬＡＮ監視・制御装置を階層的に配置した場合は、階層毎に共通の分類条件と認証条件を共有する。
また、共有方法として、以下の２種類を説明した。
（１）接続先毎に個別の分類条件と認証条件を持つ。
（２）ＬＡＮで直接接続された複数のＬＡＮ監視・制御装置をグループとして同一の分類条件と認証条件を共有する。ＬＡＮ監視・制御装置を階層的に配置した場合は、階層毎に共通の分類条件と認証条件を共有する。
以上の実施の形態では、受信した管理パケットあるいは認証パケットが認証の結果不正と判定された場合、互いに管理通信を行なっているＬＡＮ監視・制御装置は、互いに共有している管理パケット或いは認証パケットの分類条件を変更する場合を説明した。
以上の実施の形態では、互いに接続されたＬＡＮ監視・制御装置は、認証パケット及び管理パケットの複数の分類条件を共有し、受信側のＬＡＮ監視・制御装置が認証エラーを検知した場合、受信側のＬＡＮ監視・制御装置が送信側のＬＡＮ監視・制御装置に代替の分類条件を通知することにより、以降の通信で使用する分類条件を切り替えることを説明した。なお、同一の分類条件を複数のＬＡＮ監視・制御装置で共有する場合は、認証エラーを検知したＬＡＮ監視・制御装置が、関係する全ＬＡＮ監視・制御装置に代替の分類条件を通知することで、グループ全体で分類条件を切り替える場合を説明した。
以上の実施の形態では、前記受信パケットの認証不正判定に際し、一定時間内に発生する不正判定が既定の回数を越えたことを条件に、管理パケット或いは認証パケットの分類条件を変更する場合を説明した。
以上の実施の形態では、管理パケット及び認証パケットを授受するＬＡＮ監視・制御装置間で、一定時間内に授受する当該パケット数の上限値を予め共有しておき、受信側ＬＡＮ監視・制御装置で、受信する管理パケット及び認証パケットの数が上限値を越えた場合、対応する管理パケット或いは認証パケットの分類条件を変更する場合を説明した。
以上の実施の形態では、ＬＡＮ監視・制御装置をＬＡＮの階層構造に沿って階層的に配置する場合を説明した。
以上の実施の形態では、管理装置から全ＬＡＮ監視・制御装置へ管理情報（管理パケット）を送信する場合は、管理装置から直接管理指示を受信したＬＡＮ監視・制御装置が起点となり、送信先として隣接して配置された全ＬＡＮ監視・制御装置に当該管理情報を配信することを説明した。また、当該管理情報を受信したＬＡＮ監視・制御装置も送信先として隣接して配置された全ＬＡＮ監視・制御装置に当該管理情報を配信することを説明した。そして、以上の配信処理を末端のＬＡＮ監視・制御装置に到達するまで繰り返す場合を説明した。
以上の実施の形態では、ＬＡＮ監視・制御装置から管理装置に管理情報（管理パケット）を返信する際、末端に配置されたＬＡＮ監視・制御装置からの管理情報を中間に配置されたＬＡＮ監視・制御装置が一旦集積し、ひとつの管理パケットとして上流のＬＡＮ監視・制御装置へ返信する場合を説明した。
以上の実施の形態では、中間に配置されたＬＡＮ監視・制御装置が、末端から返信された管理情報と自身の管理情報を集積した結果、予め定めた遮断条件に合致することが判明した場合、当該ＬＡＮ監視・制御装置の下流に配置された全ＬＡＮ監視・制御装置に管理パケットと認証パケットを除く全ての受信パケットを廃棄パケットに分類するよう指示するとともに、管理装置に警報を発する場合を説明した。
以上の実施の形態では、各ＬＡＮ監視・制御装置から返信される管理情報（管理パケット）に受け渡ししたＬＡＮ監視・制御装置の経路情報を含め、管理装置が分散配置されたＬＡＮ監視・制御装置の数と接続関係を把握する場合を説明した。
以上の実施の形態では、管理装置から特定のＬＡＮ監視・制御装置へ管理情報を送る際には、前記の手順で把握した経路情報を元に、あて先までの経路情報を管理パケットに含めることで、各ＬＡＮ監視・制御装置が当該管理パケットを目的のＬＡＮ監視・制御装置まで受け渡し、配信する場合を説明した。更に、特定のＬＡＮ監視・制御装置までの経路情報と全装置向け管理情報配信指示を含む管理パケットを送ることにより、特定のＬＡＮ監視・制御装置の下流に接続されている全てのＬＡＮ監視・制御装置に管理情報を配信する場合を説明した。これは、特定のＬＡＮ監視・制御装置以下の全装置に対して一気に遮断指示を発行する際に有効である。
以上の実施の形態では、各ＬＡＮ監視・制御装置から管理装置宛への返信パケットを転送する際、各ＬＡＮ監視・制御装置が転送関係を記憶しておき、管理装置から発信された特定のＬＡＮ監視・制御装置宛パケットを受信した際、自動的に、送り先のＬＡＮ監視・制御装置を判定して、当該パケットを転送する場合を説明した。なお、記憶情報は、管理装置から全ＬＡＮ監視・制御装置宛の管理パケット転送のたびに更新する。これは、装置に増設や管理装置に接続位置変更に動的に対応するためである。
以上の実施の形態では、障害のため遮断しているサブネットワークを介して互いに接続しているＬＡＮ監視・制御装置間で正常なサブネットワーク側から受信したパケットを認証パケットに変更して授受することにより、遮断しているサブネットワークを介して正常なパケットを転送する場合を説明した。
以上の実施の形態では、ＬＡＮ監視・制御装置を増設する際、当該装置が既設の隣接する１台のＬＡＮ監視・制御装置との間の管理通信によって、監視・制御に必要な情報を得る場合を説明した。接続先の既設の装置と増設する装置との管理通信は以下のいずれかにいより可能にする場合を説明した。
（１）既設の装置に直接、分類と認証に必要な情報を設定する。
（２）管理装置から接続先の装置に予め分類と認証に必要な情報を送っておく。
（１）既設の装置に直接、分類と認証に必要な情報を設定する。
（２）管理装置から接続先の装置に予め分類と認証に必要な情報を送っておく。
以上の実施の形態では、最初の接続先となったＬＡＮ監視・制御装置は、増設された装置に更に接続可能な装置の接続情報を供給するとともに、接続可能な他の装置に、増設された装置の接続情報を配信する場合を説明した。ＬＡＮを介して直接管理通信を行なえる範囲で自律的に接続範囲を拡大することができる。
１〜１３ ＬＡＮ監視・制御装置、１４ 管理装置、１５〜１８ ＬＡＮ網、１９〜２６ サブネットワーク、２７ 外部ネットワークインターフェース、２８ 障害サブネットワーク、２９ 障害端末、３０ 不正パケット入力、３１ ダウンストリーム入力、３２ アップストリーム出力、３３ ダウンストリーム出力、３４ アップストリーム入力、３５ ダウンストリーム入力、３６ アップストリーム出力、３７ ダウンストリーム出力、３８ アップストリーム入力、３９ パケット分類部、４０ 透過パケット出力、４１ 廃棄パケット出力、４２ 認証パケット出力、４３ モニタパケット出力、４４ パケット認証部、４５ 管理制御部、４６ 出力パケット振り分け部、４７ 透過用パケット出力、４８ 認証用パケット出力、４９ 送信パケット認証処理部、５０ 認証パケット生成部、５１ 送信優先度制御部、５２ ダウンストリームパケット入力、５３ ダウンストリームパケット出力、５４ 不正パケット出力、５５ 認証済みパケット出力、５６ 管理制御部ダウンストリーム入力、５７ 管理制御部ダウンストリーム出力、５８ 廃棄パケットカウンタ、５９ モニタパケットカウンタ、６０ 透過パケットカウンタ、６１ 不正パケットカウンタ、６２ 認証済みパケットカウンタ、６３ ダウンストリームパケット処理部、６４ アップストリームパケット処理部、６５ アップストリームパケット入力、６６ アップストリームパケット出力、６７ 管理制御部アップストリーム入力、６８ 管理制御部アップストリーム出力、６９ パケット入力スイッチインターフェース部、７０ パケットスイッチ部、７１ パケット出力スイッチインターフェース部、７２ａ 入力パケット処理部、７３ａ 出力パケット処理部、７２ｂ 入力パケット処理部、７３ｂ 出力パケット処理部、７２ｎ 入力パケット処理部、７３ｎ 出力パケット処理部、７８ 管理制御部統合入力、７９ 管理制御部統合出力、８０ スイッチ型ＬＡＮ監視・制御装置、８１ スイッチ型ＬＡＮ監視・制御装置、８２ スイッチ型ＬＡＮ監視・制御装置、８５ 管理パケットカウンタ、８６，８７，８８，８９，９０，９１，９２，９３，９４，９５ 透過パケット、１０００ ネットワークシステム。
Claims (26)
- 複数のネットワークの集合として構成される集合ネットワークを構成する構成ネットワークの間の通信を中継する複数の中継装置を備え、
前記複数の中継装置のそれぞれは、
集合ネットワークで通信されるパケットを自己の接続する構成ネットワークから受信した場合に、内容を解読する解読パケットと自己の装置内を透過させる透過パケットとの少なくともいずれかに分類することを特徴とするネットワークシステム。 - 前記ネットワークシステムは、さらに、
前記集合ネットワークに配置されることにより、前記複数の中継装置の少なくともいずれかを指定する指定情報と、指定情報により指定された指定中継装置に対して所定の制御を指示する制御情報とを含む制御パケットを自己に隣接する中継装置に送信する管理装置を備え、
前記複数の中継装置のうち前記管理装置より制御パケットを受信する前記中継装置から前記指定中継装置に隣接する中継装置までのそれぞれの中継装置は、
制御パケットを受信した場合に、受信した制御パケットを解読パケットに分類し、解読パケットに分類した制御パケットの解読結果に基づいて、制御パケットを前記指定中継装置に向けて配信することを特徴とする請求項１記載のネットワークシステム。 - 前記管理装置は、
指定情報として複数の中継装置を指定中継装置に指定し、制御情報として前記複数の指定中継装置に所定の情報を要求する情報要求を制御パケットに含め、
前記複数の指定中継装置のそれぞれは、
前記情報要求を含む制御パケットを受信した場合に、受信した制御パケットを解読パケットに分類し、解読パケットに分類した制御パケットの解読結果に基づいて、前記情報要求に対応する対応情報を含む応答パケットを他の中継装置に送信し、
前記他の中継装置は、
複数の指定中継装置のそれぞれから応答パケットを受信した場合に、それぞれの応答パケットを統合した統合パケットを生成し、生成した統合パケットを前記管理装置に向けて送信することを特徴とする請求項２記載のネットワークシステム。 - 前記他の中継装置は、
前記指定中継装置から応答パケットを受信した場合に、前記指定中継装置から自己への経路を示す経路情報を含む統合パケットを生成することを特徴とする請求項３記載のネットワークシステム。 - 前記他の中継装置は、
前記指定中継装置から応答パケットを受信した場合に、前記指定中継装置から自己への経路を示す経路情報を記憶することを特徴とする請求項３記載のネットワークシステム。 - 前記中継装置のそれぞれは、
所定の管理情報を保有し、自己の接続する構成ネットワークに新たに中継装置が設置された場合に、設置された前記中継装置に前記所定の管理情報を提供することを特徴とする請求項１記載のネットワークシステム。 - 第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
第１ネットワークからパケットを受信し、受信したパケットを通信の管理に使用する管理パケットと自己の装置内部を透過させる透過パケットとの少なくともいずれかに分類するパケット分類部と、
前記パケット分類部が分類した透過パケットを第２ネットワークへ送信する送信部と、
前記パケット分類部が分類した管理パケットを入力して、管理パケットを解読する管理制御部と
を備えたことを特徴とする中継装置。 - 前記パケット分類部は、
第１ネットワークから所定のフォーマットのパケットを受信パケットとして受信し、
前記送信部は、
前記パケット分類部が受信パケットを透過パケットに分類した場合、透過パケットのフォーマットを受信パケットのフォーマットから変更することなく透過パケットを第２ネットワークへ送信することを特徴とする請求項７記載の中継装置。 - 前記パケット分類部は、
第１ネットワークから受信した所定のパケットをモニタの対象であるモニタパケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が分類したモニタパケットの数を測定するモニタパケットカウンタ
を備えたことを特徴とする請求項７記載の中継装置。 - 前記管理制御部は、
前記パケット分類部が分類したモニタパケットを解析することを特徴とする請求項９記載の中継装置。 - 前記中継装置は、さらに、
前記パケット分類部が分類した透過パケットの数を測定する透過パケットカウンタを備え、
前記パケット分類部は、
前記透過パケットカウンタの測定数に基づいて、受信するパケットを透過パケットから廃棄の対象である廃棄対象パケットへ分類を変更することを特徴とする請求項７記載の中継装置。 - 前記パケット分類部は、
第１ネットワークからパケットの廃棄を指示する廃棄指示を含む廃棄指示パケットを受信した場合に、受信した廃棄指示パケットを管理パケットに分類し、
前記管理制御部は、
管理パケットに分類した廃棄指示パケットに含まれる廃棄指示に基づいて、前記パケット分類部に対して、前記パケット分類部が受信するパケットを透過パケットから廃棄の対象である廃棄対象パケットへ分類を変更させることを特徴とする請求項７記載の中継装置。 - 前記パケット分類部は、
第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを管理パケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が管理パケットに分類した認証情報付加パケットを認証し、認証が成立した場合に、認証が成立した認証情報付加パケットを前記管理制御部に出力するパケット認証部を備えたことを特徴とする請求項７記載の中継装置。 - 前記管理制御部は、
管理パケットの解読結果に基づいて所定の管理情報を含む管理通信用送信パケットを生成し、生成した管理通信用送信パケットを出力し、
前記送信部は、
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットを透過パケットよりも上位の優先順位で第２ネットワークへ送信することを特徴とする請求項７記載の中継装置。 - 前記中継装置は、さらに、
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットに管理通信用送信パケットであることを指標する指標情報を含むヘッダを付加してヘッダ付加パケットとして出力するヘッダ付加部を備え、
前記送信部は、
前記ヘッダ付加部が出力したヘッダ付加パケットを入力し、入力したヘッダ付加パケットを透過パケットよりも上位の優先順位で第２ネットワークへ送信することを特徴とする請求項１４記載の中継装置。 - 前記中継装置は、さらに、
前記管理制御部が出力した管理通信用送信パケットを入力し、入力した管理通信用送信パケットに認証情報を付加して認証情報付加パケットとして出力する認証情報付加部を備え、
前記ヘッダ付加部は、
前記認証情報付加部が出力した認証情報付加パケットを入力し、入力した認証情報付加パケットに管理通信用送信パケットであることを指標する指標情報を含むヘッダを付加してヘッダ付加パケットとして出力することを特徴とする請求項１５記載の中継装置。 - 前記管理制御部は、
前記パケット分類部が受信したパケットを管理パケットに分類する管理パケット分類条件を格納するとともに、格納する管理パケット分類条件を前記パケット分類部に通知し、
前記パケット分類部は、
前記管理制御部から通知された管理パケット分類条件に基づいて、受信したパケットを管理パケットに分類することを特徴とする請求項７記載の中継装置。 - 前記管理制御部は、
所定の場合に、所定の管理パケット分類条件を前記パケット分類部に再度通知し、
前記パケット分類部は、
前記管理制御部から再度通知された管理パケット分類条件に基づいて、受信したパケットを管理パケットに分類することを特徴とする請求項１７記載の中継装置。 - 前記中継装置は、さらに、
前記パケット分類部が分類した管理パケットの数を測定する管理パケットカウンタを備え、
前記管理制御部は、
前記管理パケットカウンタが測定した管理パケットの測定数に基づいて、所定の管理パケット分類条件を前記パケット分類部に再度通知することを特徴とする請求項１８記載の中継装置。 - 前記パケット分類部は、
第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを管理パケットに分類し、
前記中継装置は、さらに、
前記パケット分類部が管理パケットに分類した認証情報付加パケットを認証するパケット認証部を備え、
前記管理制御部は、
前記パケット認証部による管理パケットの認証結果に基づいて、所定の管理パケット分類条件を前記パケット分類部に再度通知することを特徴とする請求項１８記載の中継装置。 - 第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
第２ネットワークに異常が発生している場合に、第１ネットワークから受信した所定のパケットを認証情報を付加する対象である対象パケットに分類するパケット分類部と、
前記パケット分類部が分類した対象パケットに認証情報を付加する認証情報付加部と、
前記認証情報付加部が認証情報を付加した対象パケットを第２ネットワークへ送信する送信部と
を備えたことを特徴とする中継装置。 - 第１ネットワークから第２ネットワークへパケットを中継する中継装置において、
異常が発生している第１ネットワークから認証情報が付加された認証情報付加パケットを受信した場合に、受信した認証情報付加パケットを認証パケットに分類するパケット分類部と、
前記パケット分類部が分類した認証パケットを入力して認証し、認証が成立した場合に、認証の成立した認証パケットを出力するパケット認証部と、
前記パケット認証部が出力した認証パケットを入力して第２ネットワークへ出力する送信部と
を備えたことを特徴とする中継装置。 - 前記中継装置は、さらに、
前記パケット分類部が受信した認証情報付加パケットを認証パケットに分類する複数の認証パケット分類条件を格納し、格納した複数の認証パケット分類条件のいずれかを前記パケット分類部に通知する管理制御部を備え、
前記パケット分類部は、
前記管理制御部から通知された認証パケット分類条件に基づいて、受信した認証情報付加パケットを認証パケットに分類することを特徴とする請求項２２記載の中継装置。 - 前記管理制御部は、
所定の場合に、所定の認証パケット分類条件を前記パケット分類部に再度通知し、
前記パケット分類部は、
前記管理制御部から再度通知された認証パケット分類条件に基づいて、受信したパケットを認証パケットに分類することを特徴とする請求項２３記載の中継装置。 - 前記管理制御部は、
前記パケット認証部による認証パケットの認証結果に基づいて、所定の認証パケット分類条件を前記パケット分類部に再度通知することを特徴とする請求項２４記載の中継装置。 - 前記中継装置は、さらに、
前記パケット分類部が分類した認証パケットの数を測定する認証パケットカウンタを備え、
前記管理制御部は、
前記認証パケットカウンタが測定した認証パケットの測定数に基づいて、所定の認証パケット分類条件を前記パケット分類部に再度通知することを特徴とする請求項２４記載の中継装置。
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/JP2004/015689 WO2006043327A1 (ja) | 2004-10-22 | 2004-10-22 | 中継装置及びネットワークシステム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPWO2006043327A1 true JPWO2006043327A1 (ja) | 2008-05-22 |
Family
ID=36202752
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006542144A Withdrawn JPWO2006043327A1 (ja) | 2004-10-22 | 2004-10-22 | 中継装置及びネットワークシステム |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US20080117918A1 (ja) |
| EP (1) | EP1804431A1 (ja) |
| JP (1) | JPWO2006043327A1 (ja) |
| CN (1) | CN101044719A (ja) |
| WO (1) | WO2006043327A1 (ja) |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8619557B2 (en) * | 2005-12-02 | 2013-12-31 | Blackberry Limited | System and method for managing network traffic load upon outage of a network node |
| US20070127364A1 (en) * | 2005-12-02 | 2007-06-07 | Research In Motion Limited | System and method for managing network traffic load upon outage of a network node |
| JP4597102B2 (ja) * | 2006-08-25 | 2010-12-15 | アラクサラネットワークス株式会社 | パケット交換装置 |
| US7941382B2 (en) * | 2007-10-12 | 2011-05-10 | Microsoft Corporation | Method of classifying and active learning that ranks entries based on multiple scores, presents entries to human analysts, and detects and/or prevents malicious behavior |
| CN101478551B (zh) * | 2009-01-19 | 2011-12-28 | 清华大学 | 基于多核处理器的多域网包分类方法 |
| US8767758B2 (en) * | 2009-11-03 | 2014-07-01 | Intel Corporation | Apparatus, system and method of prioritizing a management frame of a wireless network |
| JP2016018384A (ja) * | 2014-07-08 | 2016-02-01 | 富士通株式会社 | ストレージ制御装置、ストレージシステム、及びプログラム |
| JP6693210B2 (ja) | 2016-03-24 | 2020-05-13 | 日本電気株式会社 | 通信処理システム、通信処理方法、通信処理装置、通信管理装置およびそれらの制御方法と制御プログラム |
| JP7111125B2 (ja) | 2020-04-15 | 2022-08-02 | 日本電気株式会社 | 通信処理システム、通信処理装置およびその制御方法と制御プログラム |
Family Cites Families (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4769811A (en) * | 1986-12-31 | 1988-09-06 | American Telephone And Telegraph Company, At&T Bell Laboratories | Packet switching system arranged for congestion control |
| US5999612A (en) * | 1997-05-27 | 1999-12-07 | International Business Machines Corporation | Integrated telephony and data services over cable networks |
| JP3259724B2 (ja) * | 1999-11-26 | 2002-02-25 | 三菱電機株式会社 | 暗号装置、暗号化器および復号器 |
| JP2002063084A (ja) * | 2000-08-21 | 2002-02-28 | Toshiba Corp | パケット転送装置、パケット転送方法、及びそのプログラムが格納された記憶媒体 |
| JP2002335246A (ja) * | 2001-05-10 | 2002-11-22 | Nippon Telegr & Teleph Corp <Ntt> | ネットワークベース侵入検査方法及び装置並びにネットワークベース侵入検査用プログラム及びその記録媒体 |
| US7657934B2 (en) * | 2002-01-31 | 2010-02-02 | Riverbed Technology, Inc. | Architecture to thwart denial of service attacks |
| US7155658B2 (en) * | 2002-12-20 | 2006-12-26 | Intel Corporation | CRC calculation for data with dynamic header |
| WO2004073264A1 (de) * | 2003-02-14 | 2004-08-26 | Siemens Aktiengesellschaft | Zugangskontrolle für ein paketorientiertes netz unter berücksichtigung von resilience anforderungen |
| JP3966231B2 (ja) * | 2003-06-11 | 2007-08-29 | 日本電信電話株式会社 | ネットワークシステムと不正アクセス制御方法およびプログラム |
| US20050243814A1 (en) * | 2004-04-16 | 2005-11-03 | Vieo, Inc. | Method and system for an overlay management system |
-
2004
- 2004-10-22 US US11/663,745 patent/US20080117918A1/en not_active Abandoned
- 2004-10-22 CN CNA2004800442020A patent/CN101044719A/zh active Pending
- 2004-10-22 WO PCT/JP2004/015689 patent/WO2006043327A1/ja active Application Filing
- 2004-10-22 JP JP2006542144A patent/JPWO2006043327A1/ja not_active Withdrawn
- 2004-10-22 EP EP04792831A patent/EP1804431A1/en not_active Withdrawn
Also Published As
| Publication number | Publication date |
|---|---|
| US20080117918A1 (en) | 2008-05-22 |
| CN101044719A (zh) | 2007-09-26 |
| WO2006043327A1 (ja) | 2006-04-27 |
| EP1804431A1 (en) | 2007-07-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11190491B1 (en) | Method and apparatus for maintaining a resilient VPN connection | |
| EP2523403B1 (en) | Network system and network redundancy method | |
| JP5062967B2 (ja) | ネットワークアクセス制御方法、およびシステム | |
| CN101411156B (zh) | 对网络入侵者的自动阻止 | |
| US6345299B2 (en) | Distributed security system for a communication network | |
| US9813448B2 (en) | Secured network arrangement and methods thereof | |
| JP2017506846A (ja) | 公開鍵を基礎とするデジタル署名を使用してソースルーティングを保全するためのシステムおよび方法 | |
| JP4938135B2 (ja) | スパニングツリープロトコルによりセットアップされたネットワーク構成を保護するための方法 | |
| US9369490B2 (en) | Method for the secure exchange of data over an ad-hoc network implementing an Xcast broadcasting service and associated node | |
| WO2017073089A1 (ja) | 通信装置及びシステム及び方法 | |
| US9306959B2 (en) | Dual bypass module and methods thereof | |
| CN112822103B (zh) | 一种信息上报方法和信息处理方法及设备 | |
| JP2020510337A (ja) | 時間認識型エンドツーエンドパケットフローネットワークのサイバーセキュリティを提供する方法および装置 | |
| JP2007039166A (ja) | エレベータの遠隔監視システム | |
| JPWO2006043327A1 (ja) | 中継装置及びネットワークシステム | |
| JP3651612B1 (ja) | 通信制御システム | |
| KR20180028742A (ko) | 모드 변경이 가능한 양방향 통신 장치 및 방법 | |
| WO2017163665A1 (ja) | 通信処理システム、通信処理方法、通信処理装置、通信管理装置およびそれらの制御方法と制御プログラム | |
| US20070058654A1 (en) | Arrangement and coupling device for securing data access | |
| KR102587055B1 (ko) | 인공지능 기반 컴퓨터 이상 탐지 시스템 | |
| JP5879223B2 (ja) | ゲートウェイ装置、ゲートウェイシステムおよび計算機システム | |
| KR102247621B1 (ko) | 손상된 스위치와 우회 공격을 탐지하는 네트워크 환경 관리 시스템 및 방법 | |
| KR102094923B1 (ko) | 서비스 메쉬가 적용되는 클라우드 서비스 시스템 | |
| WO2022180690A1 (ja) | 通信システム、通信装置、データ配信方法、及びプログラム | |
| WO2022180691A1 (ja) | 通信システム、通信装置、不正判定方法、及びプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A761 | Written withdrawal of application |
Free format text: JAPANESE INTERMEDIATE CODE: A761 Effective date: 20090316 |