JPWO2009069178A1 - 通信制御装置及び通信制御方法 - Google Patents

Abstract

通信制御装置１０は、ユーザごとに設けられた第１データベース５０及び第２データベース６０と、ユーザＩＤとユーザの端末に割り当てられているＩＰアドレスとを対応づけて記憶するユーザデータベース５７と、接続管理サーバ１２０から端末のユーザＩＤと端末に付与したＩＰアドレスとを取得してユーザデータベース５７に登録するユーザデータベース更新部４００と、通信データの送信元又は送信先のＩＰアドレスをユーザデータベース５７から検索してユーザＩＤを取得するユーザ識別部と、第１データベース５０の取得したユーザＩＤに該当するレコードを参照して、入力された通信データの中に基準データが含まれているか否かを検索する検索回路３０と、検索結果に基づいて、通信データに対して実行すべき処理の内容を第２データベース６０から読み出して実行する処理実行回路４０とを備える。

Description

本発明は、通信制御技術に関し、特に、通信データを制御する通信制御装置及び通信制御方法に関する。

インターネットのインフラが整備され、携帯電話端末、パーソナルコンピュータ、ＶｏＩＰ（Voice over Internet Protocol）電話端末などの通信端末が広く普及した現在、インターネットの利用者は爆発的に増加している。このような状況下、コンピュータウイルス、ハッキング、スパムメールなど、セキュリティに関する問題が顕在化しており、通信を適切に制御する技術が求められている。

インターネットを利用して、膨大な情報に容易にアクセスすることができるようになったが、有害な情報が氾濫してきているのも事実であり、有害な情報の発信元に対する規制が追いつかない状況にある。誰もが安心して効果的にインターネットを利用する環境を整えるために、有害なコンテンツに対するアクセスを適切に制御する技術が求められる。
国際公開ＷＯ２００６−０８７８３２号パンフレット

ユーザごとに異なる設定で通信制御が可能なサービスに対するニーズも高まっている。しかし、携帯電話端末などでは、インターネットに接続するたびにＩＰアドレスが変わる場合があるので、ユーザを適切に識別する技術が必要である。

本発明はこうした状況に鑑みてなされたものであり、その目的は、ユーザごとに適切な通信制御を行う技術の提供にある。

本発明のある態様は、通信制御装置に関する。この通信制御装置は、ユーザのユーザＩＤと、通信データに対して実行する処理の内容を決定するための基準となる基準データと、前記ユーザの端末が送信元又は送信先である通信データが前記基準データを含むときに実行すべき処理の内容とを対応づけて記憶するデータベースと、ユーザＩＤと、ユーザの端末に割り当てられているＩＰアドレスとを対応づけて記憶するユーザデータベースと、インターネットに接続する端末にＩＰアドレスを動的に付与するサーバから、前記端末のユーザＩＤと、前記端末に付与したＩＰアドレスとを取得し、それらを対応づけて前記ユーザデータベースに登録するユーザデータベース更新部と、通信データを取得したときに、前記通信データの送信元又は送信先のＩＰアドレスを前記ユーザデータベースから検索して、該当するＩＰアドレスに対応するユーザＩＤを取得するユーザ識別部と、前記データベースのうち、前記ユーザ識別部が取得したユーザＩＤに該当するレコードを参照して、入力された通信データの中に前記基準データが含まれているか否かを、前記通信データと前記基準データとを比較することにより検索する検索部と、前記検索部の検索結果に基づいて、前記通信データに対して実行すべき前記処理の内容を前記データベースから読み出し、読み出した処理を前記通信データに対して実行して出力する処理部と、を備えることを特徴とする。

前記ユーザデータベースは、前記サーバが前記端末に付与する可能性のある全てのＩＰアドレスを昇順又は降順にソートして格納してもよい。

本発明の別の態様は、通信制御方法に関する。この通信制御方法は、インターネットに接続する端末にＩＰアドレスを動的に付与するサーバから、前記端末のユーザＩＤと、前記端末に付与したＩＰアドレスとを取得するステップと、ユーザＩＤと、ユーザの端末に割り当てられているＩＰアドレスとを対応づけて記憶するユーザデータベースに、前記取得するステップで取得したユーザＩＤ及びＩＰアドレスを登録するステップと、通信データを取得したときに、前記通信データの送信元又は送信先のＩＰアドレスを前記ユーザデータベースから検索して、該当するＩＰアドレスに対応するユーザＩＤを取得するステップと、ユーザのユーザＩＤと、通信データに対して実行する処理の内容を決定するための基準となる基準データと、前記ユーザの端末が送信元又は送信先である通信データが前記基準データを含むときに実行すべき処理の内容とを対応づけて記憶するデータベースのうち、前記ユーザＩＤを取得するステップで取得したユーザＩＤに該当するレコードを参照して、入力された通信データの中に前記基準データが含まれているか否かを、前記通信データと前記基準データとを比較することにより検索するステップと、前記検索するステップの検索結果に基づいて、前記通信データに対して実行すべき前記処理の内容を前記データベースから読み出し、読み出した処理を前記通信データに対して実行して出力するステップと、を備えることを特徴とする。

前記ユーザデータベースは、前記サーバが前記端末に付与する可能性のある全てのＩＰアドレスを昇順又は降順にソートして格納してもよく、前記ユーザＩＤを取得するステップは、前記ユーザデータベースから前記通信データの送信元又は送信先のＩＰアドレスをバイナリサーチにより検索してもよい。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、ユーザごとに適切な通信制御を行う技術を提供することができる。

前提技術に係る通信制御システムの構成を示す図である。 従来の通信制御装置の構成を示す図である。 前提技術に係る通信制御装置の構成を示す図である。 パケット処理回路の内部構成を示す図である。 位置検出回路の内部構成を示す図である。 第１データベースの内部データの例を示す図である。 第１データベースの内部データの別の例を示す図である。 第１データベースの内部データのさらに別の例を示す図である。 バイナリサーチ回路に含まれる比較回路の構成を示す図である。 第２データベースの内部データの例を示す図である。 第２データベースの内部データの別の例を示す図である。 前提技術に係る通信制御装置の別の構成例を示す図である。 ＵＲＬフィルタリングのためのパケット処理回路の内部構成を示す図である。 図１４（ａ）は、ウイルス／フィッシングサイトリストの内部データの例を示す図であり、図１４（ｂ）は、ホワイトリストの内部データの例を示す図であり、図１４（ｃ）は、ブラックリストの内部データの例を示す図である。 共通カテゴリリストの内部データの例を示す図である。 図１６（ａ）（ｂ）（ｃ）（ｄ）は、第２データベースの内部データの例を示す図である。 ウイルス／フィッシングサイトリスト、ホワイトリスト、ブラックリスト、及び共通カテゴリリストの優先度を示す図である。 実施の形態に係る通信制御装置のパケット処理回路の構成を示す図である。 ユーザデータベースの内部データの例を示す図である。

符号の説明

１０ 通信制御装置、１２ 通信制御ユニット、１４ 切替制御部、２０ パケット処理回路、３０ 検索回路、３２ 位置検出回路、３３ 比較回路、３４ インデックス回路、３５ 比較回路、３６ バイナリサーチ回路、４０ 処理実行回路、５０ 第１データベース、５７ ユーザデータベース、６０ 第２データベース、１００ 通信制御システム、１１０ 運用監視サーバ、１２０ 接続管理サーバ、１３０ メッセージ出力サーバ、１４０ ログ管理サーバ、１５０ データベースサーバ、１６０ ＵＲＬデータベース、１６１ ウイルス／フィッシングサイトリスト、１６２ ホワイトリスト、１６３ ブラックリスト、１６４ 共通カテゴリリスト、４００ ユーザデータベース更新部。

（前提技術）
まず、前提技術として、通信制御装置と、その周辺装置の構成及び動作の概要について説明し、更に、通信制御装置を用いたＵＲＬフィルタリング技術について説明する。

図１は、前提技術に係る通信制御システムの構成を示す。通信制御システム１００は、通信制御装置１０と、通信制御装置１０の動作を支援するために設けられた各種の周辺装置を含む。前提技術の通信制御装置１０は、インターネットサービスプロバイダなどにより提供されるＵＲＬフィルタリング機能を実現する。ネットワークの経路に設けられた通信制御装置１０は、コンテンツに対するアクセス要求を取得して、その内容を解析し、コンテンツに対するアクセスの許否を判断する。コンテンツに対するアクセスが許可される場合は、通信制御装置１０は、そのアクセス要求を、コンテンツを保持するサーバへ送出する。コンテンツに対するアクセスが禁止される場合は、通信制御装置１０は、そのアクセス要求を破棄し、要求元に対して警告メッセージなどを返信する。前提技術では、通信制御装置１０は、ＨＴＴＰ（HyperText Transfer Protocol）の「ＧＥＴ」リクエストメッセージ等のアクセス要求を受信し、アクセス先のコンテンツのＵＲＬが、アクセスの許否を判断するための基準データのリストに合致するか否かを検索して、コンテンツに対するアクセスの許否を判断する。

周辺装置は、運用監視サーバ１１０、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、及びデータベースサーバ１５０を含む。接続管理サーバ１２０は、通信制御装置１０に対する接続を管理する。接続管理サーバ１２０は、例えば、携帯電話端末から送出されたパケットを通信制御装置１０で処理する際に、パケットに含まれる携帯電話端末を一意に識別する情報を用いて、通信制御装置１０のユーザであることを認証する。いったん認証されると、その携帯電話端末に一時的に付されたＩＰアドレスから送出されたパケットは、一定の期間は接続管理サーバ１２０で認証せずに通信制御装置１０へ送られて処理される。メッセージ出力サーバ１３０は、通信制御装置１０により判定されたアクセスの許否の結果に応じて、アクセスの要求先又は要求元に対するメッセージを出力する。ログ管理サーバ１４０は、通信制御装置１０の運用履歴を管理する。データベースサーバ１５０は、ＵＲＬデータベース１６０から最新のデータベースを取得し、通信制御装置１０に入力する。通信制御装置１０の運用を止めずにデータベースを更新するために、通信制御装置１０はバックアップ用のデータベースを有してもよい。運用監視サーバ１１０は、通信制御装置１０と、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、データベースサーバ１５０などの周辺装置の運用状況を監視する。運用監視サーバ１１０は、通信制御システム１００の中で最も優先度が高く、通信制御装置１０及び全ての周辺装置の監視制御を行う。通信制御装置１０は、後述するように、専用のハードウェア回路により構成されるが、運用監視サーバ１１０は、本出願人による特許第３０４１３４０号などの技術を利用して、バウンダリスキャン回路を利用して監視のためのデータを通信制御装置１０などとの間で入出力することにより、通信制御装置１０の運用中にも運用状況を監視することができる。

前提技術の通信制御システム１００は、以下に説明するように、高速化のために専用のハードウェア回路により構成された通信制御装置１０を、周辺に接続された各種の機能を有するサーバ群により制御する構成とすることにより、サーバ群のソフトウェアを適当に入れ替えることで、同様の構成により各種の機能を実現することができる。前提技術によれば、このような柔軟性の高い通信制御システムを提供することができる。

図２は、従来の通信制御装置１の構成を示す。従来の通信制御装置１は、受信側の通信制御部２と、パケット処理部３と、送出側の通信制御部４とを備える。通信制御部２及び４は、それぞれ、パケットの物理層の処理を行うＰＨＹ処理部５ａ及び５ｂと、パケットのＭＡＣ層の処理を行うＭＡＣ処理部６ａ及び６ｂとを備える。パケット処理部３は、ＩＰ（Internet Protocol）のプロトコル処理を行うＩＰ処理部７、ＴＣＰ（Transport Control Protocol）のプロトコル処理を行うＴＣＰ処理部８など、プロトコルに応じた処理を行うプロトコル処理部と、アプリケーション層の処理を行うＡＰ処理部９とを備える。ＡＰ処理部９は、パケットに含まれるデータに応じて、フィルタリングなどの処理を実行する。

従来の通信制御装置１では、パケット処理部３は、汎用プロセッサであるＣＰＵと、ＣＰＵ上で動作するＯＳとを利用して、ソフトウェアにより実現されていた。しかしながら、このような構成では、通信制御装置１の性能はＣＰＵの性能に依存することになり、高速に大容量のパケットを処理可能な通信制御装置を実現しようとしても、自ずと限界がある。例えば、６４ビットのＣＰＵであれば、一度に同時に処理可能なデータ量は最大で６４ビットであり、それ以上の性能を有する通信制御装置は存在しなかった。また、汎用的な機能を有するＯＳの存在を前提としていたので、セキュリティホールなどが存在する可能性が絶無ではなく、ＯＳのバージョンアップなどのメンテナンス作業を必要としていた。

図３は、前提技術の通信制御装置の構成を示す。通信制御装置１０は、図２に示した従来の通信制御装置１においてはＣＰＵ及びＯＳを含むソフトウェアにより実現されていたパケット処理部３に代えて、ワイヤードロジック回路による専用のハードウェアにより構成されたパケット処理回路２０を備える。汎用処理回路であるＣＰＵにおいて動作するＯＳとソフトウェアにより通信データを処理するのではなく、通信データを処理するための専用のハードウェア回路を設けることにより、ＣＰＵやＯＳなどに起因する性能の限界を克服し、処理能力の高い通信制御装置を実現することが可能となる。

例えば、パケットフィルタリングなどを実行するために、パケットに含まれるデータに、フィルタリングの判断基準となる基準データが含まれるか否かを検索する場合に、ＣＰＵを用いて通信データと基準データを比較すると、一度に高々６４ビットしか比較することができず、処理速度を向上させようとしてもＣＰＵの性能で頭打ちになるという問題があった。ＣＰＵでは、通信データから６４ビットをメモリへ読み上げ、基準データとの比較を行い、つづいて、次の６４ビットをメモリへ読み上げる、という処理を何度も繰り返し行う必要があるので、メモリへの読み上げ時間が律速となり、処理速度に限界がある。

それに対し、前提技術では、通信データと基準データとを比較するために、ワイヤードロジック回路により構成された専用のハードウェア回路を設ける。この回路は、６４ビットよりも長いデータ長、例えば、１０２４ビットのデータ長の比較を可能とするために、並列に設けられた複数の比較器を含む。このように、専用のハードウェアを設けることにより、同時に並列して多数のビットマッチングを実行することができる。従来のＣＰＵを用いた通信制御装置１では一度に６４ビットしか処理できなかったところを、一度に１０２４ビットの処理を可能にすることで、飛躍的に処理速度を向上させることができる。比較器の数を多くすれば処理能力も向上するが、コストやサイズも増大するので、所望の処理性能と、コスト、サイズ、などを考慮して、最適なハードウェア回路を設計すればよい。専用のハードウェア回路は、ＦＰＧＡ（Field Programmable Gate Array）などを用いて実現されてもよい。

また、前提技術の通信制御装置１０は、ワイヤードロジック回路による専用のハードウェアにより構成されるので、ＯＳ（Operating System）を必要としない。このため、ＯＳのインストール、バグ対応、バージョンアップなどの作業が必要なく、管理やメンテナンスのためのコストや工数を低減させることができる。また、汎用的な機能が求められるＣＰＵとは異なり、不必要な機能を包含していないので、余計なリソースを用いることがなく、低コスト化、回路面積の低減、処理速度の向上などが望める。さらに、ＯＳを利用していた従来の通信制御装置とは異なり、余分な機能を有しないので、セキュリティホールなどが発生する可能性が低く、ネットワークを介した悪意ある第三者からの攻撃に対する耐性に優れている。

従来の通信制御装置１は、ＣＰＵとＯＳを前提としたソフトウェアによりパケットを処理しており、パケットの全てのデータを受信してからプロトコル処理を行い、データがアプリケーションに渡される。それに対して、本前提技術の通信制御装置１０では、専用のハードウェア回路により処理を行うので、パケットの全てのデータを受信してから処理を開始する必要はなく、処理に必要なデータを受信すれば、後続のデータの受信を待たずに、任意の時点で処理を開始することができる。例えば、後述する位置検出回路における位置検出処理は、比較対象データの位置を特定するための位置特定データを受信した時点で開始することができる。このように、全てのデータの受信を待たずに様々な処理をフローティングで実行することができるので、パケットのデータを処理するのに要する時間を短縮することができる。

図４は、パケット処理回路の内部構成を示す。パケット処理回路２０は、通信データに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１データベース５０と、受信された通信データの中に基準データが含まれているか否かを、通信データと基準データとを比較することにより検索する検索回路３０と、検索回路３０による検索結果と通信データに対して実行する処理の内容とを対応づけて記憶する第２データベース６０と、検索回路３０による検索結果と第２データベース６０に記憶された条件とに基づいて通信データを処理する処理実行回路４０とを含む。

検索回路３０は、通信データの中から基準データと比較すべき比較対象データの位置を検出する位置検出回路３２と、第１データベース５０に記憶された基準データを３以上の範囲に分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路の一例であるインデックス回路３４と、判定された範囲の中で比較対象データと合致する基準データを検索するバイナリサーチ回路３６とを含む。比較対象データを基準データの中から検索する方法としては、任意の検索技術を利用可能であるが、前提技術ではバイナリサーチ法を用いる。

図５は、位置検出回路の内部構成を示す。位置検出回路３２は、比較対象データの位置を特定するための位置特定データと通信データとを比較するための複数の比較回路３３ａ〜３３ｆを含む。ここでは、６個の比較回路３３ａ〜３３ｆが設けられているが、後述するように、比較回路の個数は任意でよい。それぞれの比較回路３３ａ〜３３ｆには、通信データが、所定のデータ長、例えば、１バイトずつずらして入力される。そして、これら複数の比較回路３３ａ〜３３ｆにおいて、同時に並列して、検出すべき位置特定データと通信データとの比較がなされる。

前提技術においては、通信制御装置１０の動作を説明するための例として、通信データ中に含まれる「Ｎｏ． ＃＃＃」という文字列を検出し、その文字列中に含まれる数字「＃＃＃」を基準データと比較して、基準データに合致した場合はパケットの通過を許可し、合致しなかった場合はパケットを破棄する処理を行う場合について説明する。

図５の例では、通信データの中から、数字「＃＃＃」の位置を特定するための位置特定データ「Ｎｏ．」を検出するために、通信データ「０１Ｎｏ． ３６１・・・」を、１文字ずつずらして比較回路３３ａ〜３３ｆに入力している。すなわち、比較回路３３ａには「０１Ｎ」が、比較回路３３ｂには「１Ｎｏ」が、比較回路３３ｃには「Ｎｏ．」が、比較回路３３ｄには「ｏ． 」が、比較回路３３ｅには「． ３」が、比較回路３３ｆには「 ３６」が、それぞれ入力される。ここで、比較回路３３ａ〜３３ｆが同時に位置特定データ「Ｎｏ．」との比較を実行する。これにより、比較回路３３ｃがマッチし、通信データの先頭から３文字目に「Ｎｏ．」という文字列が存在することが検出される。こうして、位置検出回路３２により検出された位置特定データ「Ｎｏ．」の次に、比較対象データである数字のデータが存在することが検出される。

ＣＰＵにより同様の処理を行うならば、まず、文字列「０１Ｎ」を「Ｎｏ．」と比較し、続いて、文字列「１Ｎｏ」を「Ｎｏ．」と比較する、というように、先頭から順に１つずつ比較処理を実行する必要があるため、検出速度の向上は望めない。これに対し、前提技術の通信制御装置１０では、複数の比較回路３３ａ〜３３ｆを並列に設けることにより、ＣＰＵではなしえなかった同時並列的な比較処理が可能となり、処理速度を格段に向上させることができる。比較回路は多ければ多いほど同時に比較可能な位置が多くなるので、検出速度も向上するが、コスト、サイズ、などを考慮の上、所望の検出速度を得られるのに十分な数の比較回路を設ければよい。

位置検出回路３２は、位置特定データを検出するためだけでなく、汎用的に文字列を検出する回路として利用されてもよい。また、文字列だけでなく、ビット単位で位置特定データを検出するように構成されてもよい。

図６は、第１データベースの内部データの例を示す。第１データベース５０には、パケットのフィルタリング、ルーティング、スイッチング、置換などの処理の内容を決定するための基準となる基準データが、何らかのソート条件にしたがってソートされて格納されている。図６の例では、１０００個の基準データが記憶されている。

第１データベース５０の先頭のレコードには、通信データ中の比較対象データの位置を示すオフセット５１が格納されている。例えば、ＴＣＰパケットにおいては、パケット内のデータ構成がビット単位で定められているため、パケットの処理内容を決定するためのフラグ情報などの位置をオフセット５１として設定しておけば、必要なビットのみを比較して処理内容を決定することができるので、処理効率を向上させることができる。また、パケットのデータ構成が変更された場合であっても、オフセット５１を変更することで対応することができる。第１データベース５０には、比較対象データのデータ長を格納しておいてもよい。これにより、必要な比較器のみを動作させて比較を行うことができるので、検索効率を向上させることができる。

インデックス回路３４は、第１データベース５０に格納されている基準データを３以上の範囲５２ａ〜５２ｄに分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する。図６の例では、１０００個の基準データは、２５０個ずつ４つの範囲５２ａ〜５２ｄに分割されている。インデックス回路３４は、範囲の境界の基準データと比較対象データとを比較する複数の比較回路３５ａ〜３５ｃを含む。比較回路３５ａ〜３５ｃにより比較対象データと境界の基準データとを同時に並列して比較することにより、比較対象データがいずれの範囲に属するかを１度の比較処理で判定することができる。

インデックス回路３４の比較回路３５ａ〜３５ｃに入力される境界の基準データは、通信制御装置１０の外部に設けられた装置により設定されてもよいし、予め第１データベース５０の所定位置の基準データが自動的に入力されるようにしてもよい。後者の場合、第１データベース５０を更新しても、自動的に第１データベース５０の所定位置の基準データが比較回路３５ａ〜３５ｃに入力されるので、初期設定などを必要とせず、直ちに通信制御処理を実行させることができる。

前述したように、ＣＰＵによりバイナリサーチを実行する場合は、同時に複数の比較を実行することができないが、前提技術の通信制御装置１０では、複数の比較回路３５ａ〜３５ｃを並列に設けることにより、同時並列的な比較処理を可能とし、検索速度を格段に向上させることができる。

インデックス回路３４により範囲が判定されると、バイナリサーチ回路３６がバイナリサーチ法により検索を実行する。バイナリサーチ回路３６は、インデックス回路３４により判定された範囲をさらに２分割し、その境界位置にある基準データと比較対象データとを比較することにより、いずれの範囲に属するかを判定する。バイナリサーチ回路３６は、基準データと比較対象データとをビット単位で比較する比較回路を複数個、例えば前提技術では１０２４個含んでおり、１０２４ビットのビットマッチングを同時に実行する。２分割された範囲のいずれに属するかが判定されると、さらに、その範囲を２分割して境界位置にある基準データを読み出し、比較対象データと比較する。以降、この処理を繰り返すことにより範囲をさらに限定し、最終的に比較対象データと合致する基準データを検索する。

前述した例を用いてさらに詳細に動作を説明する。図５に示した通信データにおいて、位置特定データ「Ｎｏ．」につづく比較対象データは「３６１」という数字である。位置特定データ「Ｎｏ．」と比較対象データ「３６１」との間には１文字分のスペースが存在しているので、このスペースを比較対象データから除くために、オフセット５１が「８」ビットに設定されている。バイナリサーチ回路３６は、位置特定データ「Ｎｏ．」につづく通信データから、「８」ビット、すなわち１バイト分をスキップし、さらにつづく「３６１」を比較対象データとして読み込む。

インデックス回路３４の比較回路３５ａ〜３５ｃには、比較対象データとして「３６１」が入力され、基準データとして、比較回路３５ａには、範囲５２ａと５２ｂの境界にある基準データ「３７８」が、比較回路３５ｂには、範囲５２ｂと５２ｃの境界にある基準データ「７０４」が、比較回路３５ｃには、範囲５２ｃと５２ｄの境界にある基準データ「９３７」が、それぞれ入力される。比較回路３５ａ〜３５ｃにより同時に比較が行われ、比較対象データ「３６１」が範囲５２ａに属することが判定される。以降、バイナリサーチ回路３６が基準データの中に比較対象データ「３６１」が存在するか否かを検索する。

図７は、第１データベースの内部データの別の例を示す。図７に示した例では、基準データのデータ数が、第１データベース５０に保持可能なデータ数、ここでは１０００個よりも少ない。このとき、第１データベース５０には、最終データ位置から降順に基準データが格納される。そして、残りのデータには０が格納される。データベースのローディング方法として、先頭からデータを配置せずにローディングエリアの後方から配置し、ローディングエリア先頭に空きが生じた場合は全ての空きをゼロサプレスすることで、データーベースは常にフルの状態になり、バイナリー検索する場合の最大時間を一定にすることができる。また、バイナリサーチ回路３６は、検索中に基準データとして「０」を読み込んだときには、比較結果が自明であるから、比較を行わずに範囲を特定して、次の比較にうつることができる。これにより、検索速度を向上させることができる。

ＣＰＵによるソフトウェア処理においては、第１データベース５０に基準データを格納する際に、最初のデータ位置から昇順に基準データが格納される。残りのデータには、例えば最大値が格納されることになるが、この場合、バイナリサーチにおいて、上述したような比較処理の省略はできない。上述した比較技術は、専用のハードウェア回路により検索回路３０を構成したことにより実現される。

図８は、第１データベースの内部データのさらに別の例を示す。図８に示した例では、基準データを均等に３以上の範囲に分割するのではなく、範囲５２ａは５００個、範囲５２ｂは１００個というように、範囲に属する基準データの数が不均一になっている。これらの範囲は、通信データ中における基準データの出現頻度の分布に応じて設定されてもよい。すなわち、それぞれの範囲に属する基準データの出現頻度の和がほぼ同じになるように範囲が設定されてもよい。これにより、検索効率を向上させることができる。インデックス回路３４の比較回路３５ａ〜３５ｃに入力される基準データは、外部から変更可能になっていてもよい。これにより、範囲を動的に設定することができ、検索効率を最適化することができる。

図９は、バイナリサーチ回路に含まれる比較回路の構成を示す。前述したように、バイナリサーチ回路３６は、１０２４個の比較回路３６ａ、３６ｂ、・・・、を含む。それぞれの比較回路３６ａ、３６ｂ、・・・、には、基準データ５４と比較対象データ５６が１ビットずつ入力され、それらの大小が比較される。インデックス回路３４の各比較回路３５ａ〜３５ｃの内部構成も同様である。このように、専用のハードウェア回路で比較処理を実行することにより、多数の比較回路を並列して動作させ、多数のビットを同時に比較することができるので、比較処理を高速化することができる。

図１０は、第２データベースの内部データの例を示す。第２データベース６０は、検索回路３０による検索結果を格納する検索結果欄６２と、通信データに対して実行する処理の内容を格納する処理内容欄６４とを含み、検索結果と処理内容とを対応づけて保持する。図１０の例では、通信データに基準データが含まれている場合は、そのパケットの通過を許可し、含まれていない場合は、そのパケットを破棄するという条件が設定されている。処理実行回路４０は、検索結果に基づいて第２データベース６０から処理内容を検索し、通信データに対して処理を実行する。処理実行回路４０も、ワイヤードロジック回路により実現されてもよい。

図１１は、第２データベースの内部データの別の例を示す。図１１の例では、基準データごとに、処理内容が設定されている。パケットの置換を行う場合、置換先のデータを第２データベース６０に格納しておいてもよい。パケットのルーティングやスイッチングを行う場合、経路に関する情報を第２データベース６０に格納しておいてもよい。処理実行回路４０は、検索回路３０による検索結果に応じて、第２データベース６０に格納された、フィルタリング、ルーティング、スイッチング、置換などの処理を実行する。図１１のように、基準データごとに処理内容を設定する場合、第１データベース５０と第２データベース６０とを統合してもよい。

第１のデータベース及び第２のデータベースは、外部から書き換え可能に設けられる。これらのデータベースを入れ替えることにより、同じ通信制御装置１０を用いて、さまざまなデータ処理や通信制御を実現することができる。また、検索対象となる基準データを格納したデータベースを２以上設けて、多段階の検索処理を行ってもよい。このとき、検索結果と処理内容とを対応づけて格納したデータベースを２以上設けて、より複雑な条件分岐を実現してもよい。このように、データベースを複数設けて多段階の検索を行う場合に、位置検出回路３２、インデックス回路３４、バイナリサーチ回路３６などを複数設けてもよい。

上述した比較に用いられるデータは、同じ圧縮ロジックにより圧縮されてもよい。比較に際して、比較元のデータと比較先のデータが同じ方式で圧縮されていれば、通常と同様の比較が可能である。これにより、比較の際にローディングするデータ量を低減することができる。ローディングするデータ量が少なくなれば、メモリからデータを読み出すのに要する時間が短縮されるので、全体の処理時間も短縮することができる。また、比較器の量を削減することができるので、装置の小型化、軽量化、低コスト化に寄与することができる。比較に用いられるデータは、圧縮された形式で格納されていてもよいし、メモリから読み出した後、比較の前に圧縮されてもよい。

図１２は、前提技術の通信制御装置の別の構成例を示す。本図に示した通信制御装置１０は、図３に示した通信制御装置１０と同様の構成を備える通信制御ユニット１２を２つ有している。また、それぞれの通信制御ユニット１２の動作を制御する切替制御部１４が設けられている。それぞれの通信制御ユニット１２は、２つの入出力インタフェース１６を有しており、それぞれの入出力インタフェース１６を介して、上流側、下流側の２つのネットワークに接続されている。通信制御ユニット１２は、いずれか一方のネットワークから通信データを入力し、処理したデータを他方のネットワークに出力する。切替制御部１４は、それぞれの通信制御ユニット１２に設けられた入出力インタフェース１６の入出力を切り替えることにより、通信制御ユニット１２における通信データの流れの方向を切り替える。これにより、一方向だけではなく、双方向の通信制御が可能となる。

切替制御部１４は、通信制御ユニット１２の一方がインバウンド、他方がアウトバウンドのパケットを処理するように制御してもよいし、双方がインバウンドのパケットを処理するように制御してもよいし、双方がアウトバウンドのパケットを処理するように制御してもよい。これにより、例えばトラフィックの状況や目的などに応じて、制御する通信の方向を可変とすることができる。

切替制御部１４は、各通信制御ユニット１２の動作状況を取得し、その動作状況に応じて通信制御の方向を切り替えてもよい。例えば、一方の通信制御ユニット１２を待機状態として、他方の通信制御ユニット１２を動作させている場合に、その通信制御ユニット１２が故障などにより停止したことを検知したときに、代替として待機中の通信制御ユニット１２を動作させてもよい。これにより、通信制御装置１０のフォールトトレランスを向上させることができる。また、一方の通信制御ユニット１２に対して、データベースの更新などのメンテナンスを行うときに、他方の通信制御ユニット１２を代替として動作させてもよい。これにより、通信制御装置１０の運用を停止させずに、適切にメンテナンスを行うことができる。

通信制御装置１０に３以上の通信制御ユニット１２が設けられてもよい。切替制御部１４は、例えば、トラフィックの状況を取得して、通信量の多い方向の通信制御処理に、より多くの通信制御ユニット１２を割り当てるように、各通信制御ユニット１２の通信の方向を制御してもよい。これにより、ある方向の通信量が増加しても、通信速度の低下を最小限に抑えることができる。

なお、複数の通信制御ユニット１２の間で、通信制御部２又は４の一部が共用されてもよい。また、パケット処理回路２０の一部が共用されてもよい。

上述のデータ処理装置として、以下のような態様が考えられる。
［態様１］
取得したデータに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１記憶部と、
前記データの中に前記基準データが含まれているか否かを、前記データと前記基準データとを比較することにより検索する検索部と、
前記検索部による検索結果と前記処理の内容とを対応づけて記憶する第２記憶部と、
前記検索結果に基づいて、前記検索結果に対応づけられた処理を前記データに対して実行する処理部と、を含み、
前記検索部は、ワイヤードロジック回路により構成される
ことを特徴とするデータ処理装置。

［態様２］
上記態様１のデータ処理装置において、前記ワイヤードロジック回路は、前記データと前記基準データとをビット単位で比較する第１比較回路を複数含むことを特徴とするデータ処理装置。

［態様３］
上記態様１のデータ処理装置において、前記検索部は、前記データの中から前記基準データと比較すべき比較対象データの位置を検出する位置検出回路を含むことを特徴とするデータ処理装置。

［態様４］
上記態様３のデータ処理装置において、前記位置検出回路は、前記比較対象データの位置を特定するための位置特定データと前記データとを比較する第２比較回路を複数含み、前記複数の第２比較回路に前記データを所定のデータ長ずつ位置をずらして入力し、前記位置特定データと同時に並列して比較することを特徴とするデータ処理装置。

［態様５］
上記態様１から態様２のいずれかのデータ処理装置において、前記検索部は、バイナリサーチにより前記データの中に前記基準データが含まれているか否かを検索するバイナリサーチ回路を含むことを特徴とするデータ処理装置。

［態様６］
上記態様５のデータ処理装置において、前記第１記憶部に保持可能なデータ数よりも前記基準データのデータ数の方が少ない場合、前記第１記憶部の最終データ位置から降順に前記基準データを格納し、残りのデータに０を格納することを特徴とするデータ処理装置。

［態様７］
上記態様１から態様６のいずれかのデータ処理装置において、前記検索部は、前記第１記憶部に記憶された複数の基準データを３以上の範囲に分割したとき、前記基準データと比較すべき比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路を含むことを特徴とするデータ処理装置。

［態様８］
上記態様７のデータ処理装置において、前記判定回路は、前記範囲の境界の基準データと前記比較対象データとを比較する第３比較回路を複数含み、前記複数の第３比較回路により前記比較対象データが前記３以上の範囲のいずれに属するかを同時に並列して判定することを特徴とするデータ処理装置。

［態様９］
上記態様８のデータ処理装置において、前記第１記憶部の所定位置に記憶された前記基準データが、前記境界の基準データとして前記第３の比較回路に入力されることを特徴とするデータ処理装置。

［態様１０］
上記態様７又は態様８のデータ処理装置において、前記範囲は、前記データ中における前記基準データの出現頻度の分布に応じて設定されることを特徴とするデータ処理装置。

［態様１１］
上記態様１から態様１０のいずれかのデータ処理装置において、前記第１記憶部は、前記データ中の比較対象データの位置を示す情報を更に記憶し、前記検索部は、前記位置を示す情報に基づいて前記比較対象データを抽出することを特徴とするデータ処理装置。

［態様１２］
上記態様１から態様１１のいずれかのデータ処理装置において、前記第１記憶部又は前記第２記憶部は、外部から書き換え可能に設けられることを特徴とするデータ処理装置。

［態様１３］
上記態様１から１２のいずれかのデータ処理装置において、前記検索部は、通信パケットの全てのデータの取得を待たずに、前記基準データと比較すべきデータを取得した時点で、そのデータと前記基準データの比較を開始することを特徴とするデータ処理装置。

［態様１４］
上記態様１から１３のいずれかのデータ処理装置を複数備え、それぞれの前記データ処理装置は、通信回線との間でデータを入出力するインタフェースを２つ備えており、それぞれの前記インタフェースの入力と出力を切り替えることにより、前記データを処理する方向を可変に制御されることを特徴とするデータ処理装置。

つづいて、上述した通信制御装置１０を利用したＵＲＬフィルタリング技術について説明する。

図１３は、ＵＲＬフィルタリングのためのパケット処理回路２０の内部構成を示す。パケット処理回路２０は、第１データベース５０として、ユーザデータベース５７、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４を備える。ユーザデータベース５７は、通信制御装置１０を利用するユーザの情報を格納する。通信制御装置１０は、ユーザからユーザを識別する情報を受け付け、検索回路３０により受け付けた情報をユーザデータベース５７とマッチングして、ユーザを認証する。ユーザを識別する情報として、ＴＣＰ／ＩＰパケットのＩＰヘッダに格納されたソースアドレスを利用してもよいし、ユーザからユーザＩＤとパスワードなどを受け付けてもよい。前者の場合、パケット中のソースアドレスの格納位置は決まっているので、検索回路３０においてユーザデータベース５７とマッチングするときに、位置検出回路３２により位置を検出する必要はなく、オフセット５１として、ソースアドレスの格納位置を指定すればよい。ユーザデータベース５７に登録されたユーザであることが認証されると、続いて、コンテンツに対するアクセスの許否を判断するために、コンテンツのＵＲＬが、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４に照合される。ホワイトリスト１６２及びブラックリスト１６３はユーザごとに設けられているので、ユーザが認証されてユーザＩＤが一意に決まると、そのユーザのホワイトリスト１６２及びブラックリスト１６３が検索回路３０に与えられる。

ウイルス／フィッシングサイトリスト１６１は、コンピュータウイルスを含むコンテンツのＵＲＬのリストと、フィッシング詐欺に用いられる「罠」のサイトのＵＲＬのリストとを格納する。ウイルス／フィッシングサイトリスト１６１に格納されたＵＲＬのコンテンツに対するアクセス要求は拒否される。これにより、ユーザが気づかずに、又は騙されて、ウイルスサイトやフィッシングサイトにアクセスしようとする場合であっても、適切にアクセスを禁止し、ウイルスやフィッシング詐欺の被害からユーザを保護することができる。また、ユーザの端末にウイルスサイトやフィッシングサイトのリストを格納させて端末側でアクセス制限を行うのではなく、通信経路に設けられた通信制御装置１０で一元的にアクセス制限を行うので、より確実かつ効率的にアクセス制限を行うことができる。通信制御装置１０は、ウイルスサイトやフィッシングサイトではない正当なサイトであることが認証機関により証明された認証済みサイトのリストを取得して保持し、そのリストに格納されたＵＲＬに対するアクセスを許可するようにしてもよい。また、正当なサイトがハッキングなどにより乗っ取られて、ウイルスが組み込まれたり、フィッシング詐欺に利用されたりする事態が生じた場合、正当なサイトの運営者などがウイルス／フィッシングサイトリスト１６１に乗っ取られたサイトのＵＲＬを登録し、サイトが正常な状態に回復するまでの間、一時的にアクセスを禁止できるようにしてもよい。また、ＵＲＬのリストとともに、ＩＰ番号、ＴＣＰ番号、ＭＡＣアドレス等の情報を組み合わせてチェックしてもよい。これにより、更に精度の高い禁止条件を設定することができるので、より確実にウイルスサイトやフィッシングサイトをフィルタリングすることができる。

ホワイトリスト１６２は、ユーザごとに設けられ、アクセスを許可するコンテンツのＵＲＬのリストを格納する。ブラックリスト１６３は、ユーザごとに設けられ、アクセスを禁止するコンテンツのＵＲＬのリストを格納する。図１４（ａ）は、ウイルス／フィッシングサイトリスト１６１の内部データの例を示し、図１４（ｂ）は、ホワイトリスト１６２の内部データの例を示し、図１４（ｃ）は、ブラックリスト１６３の内部データの例を示す。ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、及びブラックリスト１６３には、それぞれ、カテゴリ番号欄１６５、ＵＲＬ欄１６６、及びタイトル欄１６７が設けられている。ＵＲＬ欄１６６には、アクセスが許可される、又は禁止されるコンテンツのＵＲＬが格納される。カテゴリ番号欄１６５には、コンテンツのカテゴリの番号が格納される。タイトル欄１６７には、コンテンツのタイトルが格納される。

共通カテゴリリスト１６４は、ＵＲＬで示されるコンテンツを複数のカテゴリに分類するためのリストを格納する。図１５は、共通カテゴリリスト１６４の内部データの例を示す。共通カテゴリリスト１６４にも、カテゴリ番号欄１６５、ＵＲＬ欄１６６、及びタイトル欄１６７が設けられている。

通信制御装置１０は、「ＧＥＴ」リクエストメッセージ等の中に含まれるＵＲＬを抽出し、そのＵＲＬが、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、又は共通カテゴリリスト１６４に含まれるか否かを検索回路３０により検索する。このとき、例えば、位置検出回路３２により「http://」という文字列を検出し、その文字列に続くデータ列を対象データとして抽出してもよい。抽出されたＵＲＬは、インデックス回路３４及びバイナリサーチ回路３６により、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４の基準データとマッチングされる。

図１６（ａ）、（ｂ）、（ｃ）、及び（ｄ）は、ＵＲＬフィルタリングのための第２データベース６０の内部データの例を示す。図１６（ａ）は、ウイルス／フィッシングサイトリスト１６１に対する検索結果と処理内容を示す。ＧＥＴリクエスト等に含まれるＵＲＬが、ウイルス／フィッシングサイトリスト１６１に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは禁止される。図１６（ｂ）は、ホワイトリスト１６２に対する検索結果と処理内容を示す。ＧＥＴリクエスト等に含まれるＵＲＬが、ホワイトリスト１６２に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは許可される。図１６（ｃ）は、ブラックリスト１６３に対する検索結果と処理内容を示す。ＧＥＴリクエスト等に含まれるＵＲＬが、ブラックリスト１６３に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは禁止される。

図１６（ｄ）は、共通カテゴリリスト１６４に対する検索結果と処理内容を示す。図１６（ｄ）に示すように、共通カテゴリリスト１６４に対する検索結果に対して、ユーザは、カテゴリごとに、そのカテゴリに属するコンテンツに対するアクセスを許可するか禁止するかを、個別に設定することができる。共通カテゴリリスト１６４に関する第２データベース６０には、ユーザＩＤ欄１６８及びカテゴリ欄１６９が設けられている。ユーザＩＤ欄１６８には、ユーザを識別するためのＩＤが格納される。カテゴリ欄１６９には、５７種に分類されたカテゴリのそれぞれについて、カテゴリに属するコンテンツに対するアクセスをユーザが許可するか否かを示す情報が格納される。ＧＥＴリクエストに含まれるＵＲＬが、共通カテゴリリスト１６４に含まれるＵＲＬに合致した場合、そのＵＲＬのカテゴリと、ユーザＩＤに基づいて、そのＵＲＬに対するアクセスの許否が判定される。なお、図１６（ｄ）では、共通カテゴリの数が５７であるが、それ以外であってもよい。

図１７は、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４の優先度を示す。前提技術では、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、共通カテゴリリスト１６４の順に優先度が高く、例えば、ホワイトリスト１６２に格納されたアクセスが許可されるコンテンツのＵＲＬであったとしても、そのＵＲＬがウイルス／フィッシングサイトリスト１６１に格納されていれば、コンピュータウイルスを含むコンテンツ、又はフィッシング詐欺に用いられるコンテンツであるとしてアクセスが禁止される。

従来、ソフトウェアを用いて、このような優先度を考慮したマッチングを行うときは、例えば、優先度の高いリストから順にマッチングを行って最初にヒットしたものを採用するか、優先度の低いリストから順にマッチングを行って後からヒットしたものを上書きするか、いずれかの方法がとられていた。しかしながら、前提技術では、専用のハードウェア回路により構成された通信制御装置１０を利用することにより、ウイルス／フィッシングサイトリスト１６１のマッチングを行う検索回路３０ａと、ホワイトリスト１６２のマッチングを行う検索回路３０ｂと、ブラックリスト１６３のマッチングを行う検索回路３０ｃと、共通カテゴリリスト１６４のマッチングを行う検索回路３０ｄとを設けて、それぞれの検索回路３０において同時に並列してマッチングを行う。そして、複数のリストでヒットした場合は、優先度の高いものを採用する。これにより、複数のデータベースが設けられ、それらに優先度が設定されている場合であっても、検索時間を大幅に短縮することができる。

ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４のいずれを優先してアクセスの許否を判断するかは、例えば、第２データベース６０に設定されていてもよい。いずれのリストを優先するかに応じて第２データベース６０の条件を書き換えてもよい。

このように、複数のデータベースを利用してＵＲＬに基づいたフィルタリングを行う際に、データベースに優先度を設定して優先度に応じたフィルタリング処理を行うことができるように構成し、かつ、ウイルス／フィッシングサイトリスト１６１によるフィルタリングを最優先することで、ユーザによるホワイトリスト１６２などの設定状況にかかわらず、ウイルスサイトやフィッシングサイトへのアクセスを確実に禁止することができる。これにより、ウイルスやフィッシング詐欺の被害からユーザを適切に保護することができる。

コンテンツに対するアクセスが許可された場合は、処理実行回路４０は、メッセージ出力サーバ１３０にその旨を通知するための信号を出力する。メッセージ出力サーバ１３０は、コンテンツを保持するサーバに向けて「ＧＥＴ」リクエストメッセージを送出する。コンテンツに対するアクセスが禁止された場合は、処理実行回路４０が、メッセージ出力サーバ１３０にその旨を通知するための信号を出力すると、メッセージ出力サーバ１３０は、アクセス先のサーバに「ＧＥＴ」リクエストメッセージを送信せずに破棄する。このとき、アクセスが禁止された旨の応答メッセージを要求元に送信してもよい。また、強制的に別のウェブページに転送させてもよい。この場合、処理実行回路４０は、デスティネーションアドレスとＵＲＬを転送先のものに書き換えて送出する。応答メッセージや転送先のＵＲＬなどの情報は、第２データベース６０やメッセージ出力サーバ１３０などに格納されていてもよい。

メッセージ出力サーバ１３０は、ｐｉｎｇコマンドなどを用いて、要求元が実際に存在することを確認し、また、存在する場合はその状態を確認してから、要求元に対してメッセージを出力してもよい。メッセージ出力サーバ１３０から要求元へ送信されるメッセージは、ユーザごとに設定可能としてもよいし、アクセス先のコンテンツごとに、カテゴリごとに、又は、ホワイトリスト１６２やブラックリスト１６３などのデータベースごとに、設定可能としてもよい。例えば、アクセスが禁止されたときに表示される画面をユーザがカスタマイズしてメッセージ出力サーバ１３０に登録できるようにしてもよい。また、上述したように、正当なサイトがハッキングされてアクセスを一時的に制限しているときに、正当なサイトのミラーサイトへ誘導するメッセージを出力するようにしてもよい。

メッセージ出力サーバ１３０は、メッセージの送出履歴を管理し、そのメッセージ送出履歴情報を各種制御に利用してもよい。例えば、同一の要求元から短時間に多数のアクセス要求が発信されている場合、サービス妨害攻撃（Denial of Service attack：ＤｏＳアタック）などである可能性があるので、その要求元をアクセス拒否リストに登録し、その要求元からのパケットを要求先へ送らずに遮断してもよい。また、メッセージの送出履歴を統計処理し、ウェブサイトの管理者などへ提供してもよい。これにより、ユーザのアクセス履歴をマーケティングに利用したり、通信状況の制御などに活用したりすることができる。また、状況に応じてメッセージの送出回数を少なくしたり、逆に増やしたりする事もできる。たとえば特定のＩＰ番号からアクセス要求が発信された場合に、その１通のリクエストメッセージに対して、何倍ものメッセージを送ることもできる。

以上の構成及び動作により、不適切なコンテンツに対するアクセスを禁止することができる。また、検索回路３０がＦＰＧＡなどにより構成された専用のハードウェア回路であるから、上述したように高速な検索処理が実現され、トラフィックに与える影響を最小限に抑えつつ、フィルタリング処理を実行することができる。インターネットサービスプロバイダなどが、このようなフィルタリングのサービスを提供することにより、付加価値が高まり、より多くのユーザを集めることができる。

ホワイトリスト１６２又はブラックリスト１６３は、全てのユーザに対して共通に設けられてもよい。

（実施の形態）
つづいて、上述した通信制御装置１０において、ユーザの端末を識別する技術について説明する。インターネットサービスプロバイダにダイアルアップ接続している端末や、携帯電話端末などは、インターネットに接続するときに、接続を管理するサーバからＩＰアドレスを付与されるので、接続のたびにＩＰアドレスが変化する。そのため、ＩＰアドレスのみではユーザの端末を一意に識別することができない。本実施の形態では、端末の接続を管理するサーバから、端末に付与したＩＰアドレスを取得して、端末を一意に識別する技術について説明する。

図１８は、実施の形態に係る通信制御装置のパケット処理回路の構成を示す。図１８に示したパケット処理回路２０は、図４に示した前提技術の通信制御装置１０のパケット処理回路２０の構成に加えて、ユーザデータベース更新部４００を更に備える。その他の構成及び動作は、前提技術と同様である。

接続管理サーバ１２０は、インターネットに接続しようとするユーザの端末を認証し、認証に成功した端末にＩＰアドレスを付与する。接続管理サーバ１２０は、ユーザの端末に付与可能なＩＰアドレスのテーブルを有しており、空いているＩＰアドレスを端末に動的に付与する。接続管理サーバ１２０は、端末の認証及びアカウンティングを行うＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバであってもよいし、ＲＡＤＩＵＳサーバにユーザの端末の認証を要求するＲＡＤＩＵＳクライアントであってもよい。接続管理サーバ１２０は、認証に成功したユーザの端末に付与したＩＰアドレスと、その端末のユーザのユーザＩＤとを通信制御装置１０へ通知する。ユーザデータベース更新部４００は、接続管理サーバ１２０から取得したユーザのＩＤとＩＰアドレスの組をユーザデータベース５７に登録する。

図１９は、ユーザデータベース５７の内部データの例を示す。ユーザデータベース５７には、ＩＰアドレス欄４０１及びユーザＩＤ欄４０２が設けられている。ＩＰアドレス欄４０１には、ユーザの端末に割り当てられる可能性のある全てのＩＰアドレスが昇順又は降順にソートして格納されている。ユーザデータベース更新部４００は、接続管理サーバ１２０から、ユーザのユーザＩＤと、ユーザの端末に現在割り当てられているＩＰアドレスとを取得すると、該当するＩＰアドレスのレコードに、ユーザＩＤを登録する。これにより、以降は、ＩＰアドレスからユーザを識別することが可能となる。

通信制御装置１０は、通信データを受信すると、まず、検索回路３０により、通信データの送信元又は送信先のＩＰアドレスをユーザデータベース５７のＩＰアドレス欄４０１から検索し、該当するＩＰアドレスに対応するユーザＩＤを取得する。ユーザデータベース５７のＩＰアドレス欄４０１が昇順又は降順にソートされている場合は、検索回路３０は、バイナリサーチにより送信元又は送信先のＩＰアドレスを検索する。このとき、検索回路３０は、通信データの送信元又は送信先の端末のユーザを識別するユーザ識別部として機能する。

つづいて、検索回路３０は、通信データに含まれる基準データを第１データベース５０から検索し、検索結果に応じて第２データベース６０から実行すべき処理の内容を読み出して通信データを制御する。このとき、第２データベース６０の共通カテゴリリストなど、ユーザごとにデータベースが設けられていて、ユーザＩＤが対応づけてデータベースに格納されている場合は、該当するユーザＩＤのレコードを参照して検索を実行する。これにより、ユーザごとに設定された制御を適切に実行することができる。

通信制御装置１０は、ＩＰアドレスを検索するための検索回路３０を更に備えてもよい。この場合、ＩＰアドレスの検索と、通信データに含まれる基準データの検索を、同時に並行して実行することができるので、より高速な通信制御を実現することができる。

上記のように、本実施の形態に係る技術によれば、ＩＰ電話においても、発呼した端末を一意に識別することができる。固定加入電話網においては、電話交換機と加入者端末が直接電気的に接続されているので、発呼した端末を確実に識別することができるという特性を有していた。固定加入電話網からＩＰ電話網への切り替えに際して、この特性が喪われてしまうことに大きな危惧がもたれていたが、本実施の形態の技術を利用することにより、ＩＰ電話網においても同様に、電話のライフラインとしての特性を維持することができる。例えば、緊急通報において、通報者が落ち着いて名乗れなかったり、発声に障害があったり、危険な状況に陥ってうまく発声できない状態になっていたりしても、緊急通報機関側で発呼した端末を特定することができる。また、発呼者が特定されるので、迷惑電話を防止する技術としても重要である。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

本発明は、通信を制御する通信制御装置に適用することができる。

Claims (4)

1. ユーザのユーザＩＤと、通信データに対して実行する処理の内容を決定するための基準となる基準データと、前記ユーザの端末が送信元又は送信先である通信データが前記基準データを含むときに実行すべき処理の内容とを対応づけて記憶するデータベースと、
   ユーザＩＤと、ユーザの端末に割り当てられているＩＰアドレスとを対応づけて記憶するユーザデータベースと、
   インターネットに接続する端末にＩＰアドレスを動的に付与するサーバから、前記端末のユーザＩＤと、前記端末に付与したＩＰアドレスとを取得し、それらを対応づけて前記ユーザデータベースに登録するユーザデータベース更新部と、
   通信データを取得したときに、前記通信データの送信元又は送信先のＩＰアドレスを前記ユーザデータベースから検索して、該当するＩＰアドレスに対応するユーザＩＤを取得するユーザ識別部と、
   前記データベースのうち、前記ユーザ識別部が取得したユーザＩＤに該当するレコードを参照して、入力された通信データの中に前記基準データが含まれているか否かを、前記通信データと前記基準データとを比較することにより検索する検索部と、
   前記検索部の検索結果に基づいて、前記通信データに対して実行すべき前記処理の内容を前記データベースから読み出し、読み出した処理を前記通信データに対して実行して出力する処理部と、
   を備えることを特徴とする通信制御装置。
2. 前記ユーザデータベースは、前記サーバが前記端末に付与する可能性のある全てのＩＰアドレスを昇順又は降順にソートして格納することを特徴とする請求項１に記載の通信制御装置。
3. インターネットに接続する端末にＩＰアドレスを動的に付与するサーバから、前記端末のユーザＩＤと、前記端末に付与したＩＰアドレスとを取得するステップと、
   ユーザＩＤと、ユーザの端末に割り当てられているＩＰアドレスとを対応づけて記憶するユーザデータベースに、前記取得するステップで取得したユーザＩＤ及びＩＰアドレスを登録するステップと、
   通信データを取得したときに、前記通信データの送信元又は送信先のＩＰアドレスを前記ユーザデータベースから検索して、該当するＩＰアドレスに対応するユーザＩＤを取得するステップと、
   ユーザのユーザＩＤと、通信データに対して実行する処理の内容を決定するための基準となる基準データと、前記ユーザの端末が送信元又は送信先である通信データが前記基準データを含むときに実行すべき処理の内容とを対応づけて記憶するデータベースのうち、前記ユーザＩＤを取得するステップで取得したユーザＩＤに該当するレコードを参照して、入力された通信データの中に前記基準データが含まれているか否かを、前記通信データと前記基準データとを比較することにより検索するステップと、
   前記検索するステップの検索結果に基づいて、前記通信データに対して実行すべき前記処理の内容を前記データベースから読み出し、読み出した処理を前記通信データに対して実行して出力するステップと、
   を備えることを特徴とする通信制御方法。
4. 前記ユーザデータベースは、前記サーバが前記端末に付与する可能性のある全てのＩＰアドレスを昇順又は降順にソートして格納し、
   前記ユーザＩＤを取得するステップは、前記ユーザデータベースから前記通信データの送信元又は送信先のＩＰアドレスをバイナリサーチにより検索することを特徴とすることを特徴とする請求項３に記載の通信制御方法。

Images