WO2007141835A1

WO2007141835A1 - 通信管理システム、通信管理方法、及び通信制御装置

Info

Publication number: WO2007141835A1
Application number: PCT/JP2006/311130
Authority: WO
Inventors: Mitsugu Nagoya; Genta Iha; Kimie Katagiri
Original assignee: Duaxes Corporation
Priority date: 2006-06-02
Filing date: 2006-06-02
Publication date: 2007-12-13
Also published as: US8417677B2; JPWO2007141835A1; JP4015690B1; US20100138382A1

Abstract

　Ｐ２Ｐ通信を適切に管理する技術を提供する。　通信管理システム３００において、Ｐ２Ｐネットワーク３２２を構成する各Ｐ２Ｐノード３２０は、別のＰ２Ｐノードとの間でＰ２Ｐ通信を行っている。Ｐ２Ｐノード３５０は、Ｐ２Ｐノード３２０とＰ２Ｐ接続して通信を行う。違法コンテンツ検出装置３５６は、Ｐ２Ｐノード３５０がＰ２Ｐノード３２０から受信したコンテンツの中から、流通を制御すべきコンテンツの識別情報を検出して違法コンテンツデータベース３６２に登録する。ＩＳＰ３３０に設けられた通信制御システム１００は、違法コンテンツデータベース３６２に格納された識別情報を参照して、不適切なコンテンツの流通を制御する。

Description

明細書

通信管理システム、通信管理方法、及び通信制御装置

技術分野

[0001] 本発明は、通信管理技術に関し、特に、ピア 'ツー'ピア (Peer to Peer : P2P)通信などを利用して送受信されるコンテンツの流通を管理する通信管理システム、通信管理方法、及び通信制御装置に関する。

背景技術

[0002] インターネットのインフラが整備され、携帯電話端末、パーソナルコンピュータ、 Vol P (Voice over Internet Protocol)電話端末などの通信端末が広く普及した現在、インターネットの利用者は爆発的に増加している。このような状況下、コンピュータウィルス、ノ、ッキング、スパムメールなど、セキュリティに関する問題が顕在化しており、通信を適切に制御する技術が求められて、る。通信環境の向上に伴つて通信量も膨大になっており、大容量のデータを高速に処理する通信制御装置の必要性が増している特許文献 1：特開平 4— 180425号公報

発明の開示

発明が解決しょうとする課題

[0003] 近年、 P2P通信を利用したファイル共有ネットワークのユーザが増加している。ユーザ同士で、互いに所有するコンテンツを共有することにより、所望のコンテンツを簡単に入手することができるので、急速にユーザが拡大した。しかし、コンテンツの著作権侵害、違法なコンテンツの流通、さらにはファイル共有ネットワークをターゲットにしたコンピュータウィルスの蔓延など問題が次々と顕在化し、社会問題となっている今日、コンテンツの流通を適切に管理する技術の開発が急務である。

[0004] 本発明はこうした状況に鑑みてなされたものであり、その目的は、コンテンツの流通を適切に管理する技術の提供にある。

課題を解決するための手段

[0005] 本発明のある態様は、通信管理システムに関する。この通信管理システムは、ピア' ツー ·ピア通信を行って、る他のノードとの間でピア ·ツー ·ピア接続して通信を行う端末と、前記端末が前記ノード力受信したコンテンツ力流通を制御すべきコンテンツであったときに、そのコンテンツの識別情報を検出するコンテンツ検出装置と、検出された識別情報を参照して、前記流通を制御すべきコンテンツの送受信を制御する通信制御装置と、を備えることを特徴とする。

[0006] 前記コンテンツの識別情報は、前記コンテンツのファイル名、ファイルサイズ、又はハッシュ値を含んでもよ、。

[0007] 前記通信制御装置は、前記コンテンツ検出装置が検出した前記コンテンツの識別情報を格納したデータベースと、コンテンツのデータを取得し、そのコンテンツの識別情報が前記データベース中に存在するか否かを検索する検索回路と、前記検索回路の検索結果に応じて、前記コンテンツの流通を制御するための処理を実行する処理実行回路と、を含んでもよい。

[0008] 通信管理システムは、前記コンテンツ検出装置が検出した前記流通を制御すべきコンテンツの識另 IJ†青報を格糸内するコンテンツデータベースと、前記コンテンツデータベースを参照して、前記通信制御装置の前記データベースを更新するデータベースサーバと、を更に備えてもよい。

[0009] 前記ピア 'ツー'ピア通信において、コンテンツの検索を要求された前記ノードから検索の要求元に送信される回答の中に、前記データベースに登録されたコンテンッの識別情報が含まれていた場合、前記処理実行回路は、そのコンテンツの識別情報を削除してもよい。

[0010] 前記ピア 'ツー'ピア通信において、コンテンツの検索を要求された前記ノードから検索の要求元に送信される回答の中に、前記データベースに登録されたコンテンッの識別情報が含まれていた場合、前記処理実行回路は、そのコンテンツの配布元であるノードのアドレスを、そのコンテンツの流通を制限すべき旨の警告を発する警告コンテンッサーバのアドレスに書き換えてもよ、。

[0011] 前記ピア 'ツー'ピア通信において、前記ノードから他の装置へ送信されるコンテンッの識別情報が、前記データベースに登録された識別情報と一致した場合、前記処理実行回路は、そのコンテンツの送信を遮断してもよい。 [0012] 前記ピア 'ツー'ピア通信において、前記ノードから他の装置へ送信されるコンテンッの識別情報が、前記データベースに登録された識別情報と一致した場合、前記処理実行回路は、そのコンテンツを、そのコンテンツの流通を制限すべき旨の警告を発する警告コンテンツに差し替えてもよ、。

[0013] 前記通信制御装置は、 FPGA (Field Programmable Gate Array)やワイヤードロジック回路により構成されてもよい。

[0014] 本発明の別の態様は、通信管理方法に関する。この通信管理方法は、ピア'ツー- ピア通信を行って、る他のノードとの間でピア ·ツー ·ピア接続して通信を行う端末が前記ノード力受信したコンテンツ力流通を制御すべきコンテンツであったときに、そのコンテンツの識別情報を検出するステップと、検出された識別情報を参照して、前記流通を制御すべきコンテンツの送受信を制御するステップと、を含むことを特徴とする。

[0015] 本発明の更に別の態様は、通信制御装置に関する。この通信制御装置は、ピア- ツー ·ピア通信を行っているノード間で送受信されたコンテンツのうち、流通を制御すべきコンテンツとして検出されたコンテンツの識別情報を格納したデータベースと、コンテンッのデータを取得し、そのコンテンツの識別情報が前記データベース中に存在するか否かを検索する検索回路と、前記検索回路の検索結果に応じて、前記コンテンッの流通を制御するための処理を実行する処理実行回路と、を備えることを特徴とする。

[0016] なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

発明の効果

[0017] 本発明によれば、コンテンツの流通を適切に管理する技術を提供することができる

図面の簡単な説明

[0018] [図 1]前提技術に係る通信制御システムの構成を示す図である。

[図 2]従来の通信制御装置の構成を示す図である。圆 3]前提技術に係る通信制御装置の構成を示す図である。

[図 4]パケット処理回路の構成を示す図である。

圆 5]位置検出回路の構成を示す図である。

圆 6]位置検出回路の別の例を示す図である。

圆 7]位置検出回路の別の例を示す図である。

[図 8]第 1データベースの内部データの例を示す図である。

[図 9]第 1データベースの内部データの別の例を示す図である。

[図 10]第 1データベースの内部データの更に別の例を示す図である。

[図 11]インデックス回路の別の例を示す図である。

圆 12]バイナリサーチ回路に含まれる比較回路の構成を示す図である。

圆 13]バイナリサーチ回路の構成を示す図である。

[図 14]第 1のデータベースの内部データの更に別の例を示す図である。

[図 15]第 2データベースの内部データの例を示す図である。

[図 16]第 2データベースの内部データの別の例を示す図である。

圆 17]前提技術に係る通信制御装置の別の構成例を示す図である。

圆 18]複数の通信制御装置を含む通信制御装置の構成を示す図である。

[図 19]運用監視サーバに設けられた管理テーブルの内部データの例を示す図である。

圆 20]通信制御装置が故障したときの運用方法を説明するための図である。

圆 21]図 21 (a) (b) (c)は、通信制御装置のデータベースを更新する方法を説明するための図である。

圆 22]複数の通信制御装置によりパケットを処理するために設けられた通信経路制御装置の構成を示す図である。

圆 23]第 1の実施の形態に係る通信管理システムの構成を示す図である。

圆 24]第 1の実施の形態に係る通信管理システムの別の構成例を示す図である。圆 25]第 1の実施の形態に係るパケット処理回路の構成を示す図である。

圆 26]第 2の実施の形態に係る通信管理システムの構成を示す図である。

[図 27]不適切なコンテンツの流通を制御する方法の手順を示すシーケンス図である [図 28]不適切なコンテンツの流通を制御する別の方法の手順を示すシーケンス図である。

[図 29]不適切なコンテンツの流通を制御する別の方法の手順を示すシーケンス図である。

[図 30]コンテンツ流通制御のためのパケット処理回路の内部構成を示す図である。

[図 31]図 31 (a)は、ウィルスリストの内部データの例を示す図であり、図 31 (b)は、ホワイトリストの内部データの例を示す図であり、図 31 (c)は、ブラックリストの内部データの例を示す図である。

[図 32]共通カテゴリリストの内部データの例を示す図である。

[図 33]図 33 (a) (b) (c) (d)は、第 2データベースの内部データの例を示す図である。

[図 34]ウィルスリスト、ホワイトリスト、ブラックリスト、及び共通カテゴリリストの優先度を示す図である。

符号の説明

[0019] 10 通信制御装置、 20 パケット処理回路、 30 検索回路、 32 位置検出回路、 3 3 比較回路、 34 インデックス回路、 35 比較回路、 36 バイナリサーチ回路、 36A , 36B, 36C 比較回路、 36Z 制御回路、 40 処理実行回路、 50 第 1データべ一ス、 57 ユーザデータベース、 60 第 2データベース、 70 デコーダ回路、 72 復号鍵、 100 通信制御システム、 110 運用監視サーバ、 120 接続管理サーバ、 130 メッセージ出力サーバ、 140 ログ管理サーバ、 150 データベースサーバ、 161 ウィルスリスト、 162 ホワイトリスト、 163 ブラックリスト、 164 共通カテゴリリスト、 20 0 通信経路制御装置、 300 通信管理システム、 310 ユーザ端末、 320 P2Pノード、 322 P2Pネットワーク、 330 ISP、 340 ノード検出装置、 350 P2Pノード、 35 2 P2Pノード検出用ネットワーク、 354 違法コンテンツ検出用ネットワーク、 356 違法コンテンツ検出装置、 360 P2Pノードデータベース、 362 違法コンテンツデータベース、 364 警告コンテンツサーノ、 390 インターネット。

発明を実施するための最良の形態

[0020] まず、前提技術として、 CPU及び OSを有さず、専用のハードウェア回路によりパケットフィルタリング機能を実現する通信制御システムについて説明する。つづいて、実施の形態として、前提技術の通信制御システムを利用して P2P通信を管理する技術について説明する。

[0021] (前提技術）

図 1は、前提技術に係る通信制御システムの構成を示す。通信制御システム 100は、通信制御装置 10と、通信制御装置 10の動作を支援するために設けられた各種の周辺装置を含む。前提技術の通信制御装置 10は、インターネットサービスプロバイダなどにより提供されるパケットフィルタリング機能を実現する。ネットワークの経路に設けられた通信制御装置 10は、ネットワークを介して送受信されるパケットを取得して、その内容を解析し、通信の許否を判断する。通信が許可される場合は、通信制御装置 10は、そのパケットをネットワークへ送出する。通信が禁止される場合は、通信制御装置 10は、そのパケットを破棄し、必要であれば送信元に対して警告メッセージなどを返信する。

[0022] 前提技術の通信制御システム 100では、複数の通信制御装置 10a、 10b、 10c、 · ·

·、が設けられており、それらを協働させて、 1台の通信制御装置 10として機能させているが、以下、個々の通信制御装置 10a、 10b、 10c、 · · 'も、それらの総称も区別せずに通信制御装置 10と呼ぶ。

[0023] 本前提技術の通信制御システム 100では、それぞれの通信制御装置 10は、バケツトの処理に必要なデータベースの少なくとも一部を分割して保持して、るが、分割して保持するのに必要な台数よりも少なくとも 1台以上余分に設けられる。例えば、データ数が 30万件以上 40万件未満である場合、運用に必要な通信制御装置の台数は 4 台である力いずれかの通信制御装置 10が故障したときに代わって運用させるための待機用として、また、通信制御装置 10に含まれるデータベースを更新するときの待機用として、 1台以上の通信制御装置 10を設け、合計で最低 5台の通信制御装置 1 0を設ける。従来は、フォールトトレラントのために、システム全体を二重化させる必要があったが、本前提技術の技術によれば、分割された単位の通信制御装置 10を余分に設けておけばよいので、コストを低減することができる。これら複数の通信制御装置 10a、 10b、 10c、 · · ·、の運用状況は、運用監視サーバ 110により管理される。本前提技術の運用監視サーバ 110は、通信制御装置の運用状況を管理するための管理テーブルを有する。

[0024] 周辺装置は、運用監視サーバ 110、接続管理サーバ 120、メッセージ出力サーバ 130、ログ管理サーバ 140、及びデータベースサーバ 150を含む。接続管理サーバ 120は、通信制御装置 10に対する接続を管理する。接続管理サーバ 120は、例えば、携帯電話端末力も送出されたパケットを通信制御装置 10で処理する際に、パケットに含まれる携帯電話端末を一意に識別する情報を用いて、通信制御システム 10 0のサービスを享受可能なユーザであることを認証する。いったん認証されると、その携帯電話端末に一時的に付された IPアドレス力も送出されたパケットは、一定の期間は接続管理サーバ 120で認証せずに通信制御装置 10へ送られて処理される。メッセージ出力サーバ 130は、通信制御装置 10により判定された通信の許否の結果に応じて、パケットの送信先又は送信元に対するメッセージを出力する。ログ管理サーノ 140は、通信制御装置 10の運用履歴を管理する。データベースサーバ 150は、外部から最新のデータベースを取得し、通信制御装置 10に入力する。通信制御装置 10の運用を止めずにデータベースを更新するために、通信制御装置 10はバックアップ用のデータベースを有してもよい。運用監視サーバ 110は、通信制御装置 10 と、接続管理サーバ 120、メッセージ出力サーバ 130、ログ管理サーバ 140、データベースサーバ 150などの周辺装置の運用状況を監視する。運用監視サーバ 110は、通信制御システム 100の中で最も優先度が高ぐ通信制御装置 10及び全ての周辺装置の監視制御を行う。通信制御装置 10は、後述するように、専用のハードウア回路により構成されるが、運用監視サーバ 110は、本出願人による特許第 3041340 号などの技術を利用して、バウンダリスキャン回路を利用して監視のためのデータを通信制御装置 10などとの間で入出力することにより、通信制御装置 10の運用中にも運用状況を監視することができる。

[0025] 前提技術の通信制御システム 100は、以下に説明するように、高速ィ匕のために専用のハードウェア回路により構成された通信制御装置 10を、周辺に接続された各種の機能を有するサーバ群により制御する構成とすることにより、サーバ群のソフトゥェァを適当に入れ替えることで、同様の構成により各種の機能を実現することができる。前提技術によれば、このような柔軟性の高、通信制御システムを提供することができる。

[0026] 図 2は、従来の通信制御装置 1の構成を示す。従来の通信制御装置 1は、受信側の通信制御部 2と、パケット処理部 3と、送出側の通信制御部 4とを備える。通信制御部 2及び 4は、それぞれ、パケットの物理層の処理を行う PHY処理部 5a及び 5bと、パケットの MAC層の処理を行う MAC処理部 6a及び 6bとを備える。パケット処理部 3は、 IP (Internet Protocol)のプロトコル処理を行う IP処理部 7、 TCP (Transport Control Protocol)のプロトコル処理を行う TCP処理部 8など、プロトコルに応じた処理を行うプロトコル処理部と、アプリケーション層の処理を行う AP処理部 9とを備える。 AP処理部 9は、パケットに含まれるデータに応じて、フィルタリングなどの処理を実行する。

[0027] 従来の通信制御装置 1では、パケット処理部 3は、汎用プロセッサである CPUと、 C PU上で動作する OSとを利用して、ソフトウェアにより実現されていた。し力しながら、このような構成では、通信制御装置 1の性能は CPUの性能に依存することになり、高速に大容量のパケットを処理可能な通信制御装置を実現しょうとしても、自ずと限界がある。例えば、 64ビットの CPUであれば、一度に同時に処理可能なデータ量は最大で 64ビットであり、それ以上の性能を有する通信制御装置は存在しなかった。また、汎用的な機能を有する OSの存在を前提としていたので、セキュリティホールなどが存在する可能性が絶無ではなぐ OSのバージョンアップなどのメンテナンス作業を必要としていた。

[0028] 図 3は、前提技術に係る通信制御装置の構成を示す。本前提技術の通信制御装置 10は、従来の通信制御装置においては CPU及び OSを含むソフトウェアにより実現されていたパケット処理部に代えて、ワイヤードロジック回路による専用のハードウエアにより構成されたパケット処理回路 20を備える。汎用処理回路である CPUにおいて動作する OSとソフトウェアにより通信データを処理するのではなぐ通信データを処理するための専用のハードウェア回路を設けることにより、 CPUや OSなどに起因する性能の限界を克服し、処理能力の高い通信制御装置を実現することが可能となる。

[0029] 例えば、パケットフィルタリングなどを実行するために、パケットに含まれるデータに、フィルタリングの判断基準となる基準データが含まれるか否かを検索する場合に、 C PUを用いて通信データと基準データを比較すると、一度に高々 64ビットしか比較することができず、処理速度を向上させようとしても CPUの性能で頭打ちになるという問題があった。 CPUでは、通信データから 64ビットをメモリへ読み上げ、基準データとの比較を行い、つづいて、次の 64ビットをメモリへ読み上げる、という処理を何度も繰り返し行う必要があるので、メモリへの読み上げ時間が律速となり、処理速度に限界がある。

[0030] それに対し、本前提技術では、通信データと基準データとを比較するために、ワイヤードロジック回路により構成された専用のハードウェア回路を設ける。この回路は、 64ビットよりも長いデータ長、例えば、 1024ビットのデータ長の比較を可能とするために、並列に設けられた複数の比較器を含む。このように、専用のハードウェアを設けることにより、同時に並列して多数のビットマッチングを実行することができる。従来の CPUを用いた通信制御装置 1では一度に 64ビットしか処理できなかったところを、一度に 1024ビットの処理を可能にすることで、飛躍的に処理速度を向上させることができる。比較器の数を多くすれば処理能力も向上するが、コストやサイズも増大するので、所望の処理性能と、コスト、サイズ、などを考慮して、最適なハードウェア回路を設計すればよい。

[0031] また、本前提技術の通信制御装置 10は、ワイヤードロジック回路による専用のハードウエアにより構成されるので、 OS (Operating System)を必要としない。このため、 O Sのインストール、バグ対応、バージョンアップなどの作業が必要なぐ管理やメンテナンスのためのコストや工数を低減させることができる。また、汎用的な機能が求められる CPUとは異なり、不必要な機能を包含していないので、余計なリソースを用いることがなぐ低コスト化、回路面積の低減、処理速度の向上などが望める。さらに、 OS を利用していた従来の通信制御装置とは異なり、余分な機能を有しないので、セキュリティホールなどが発生する可能性が低く、ネットワークを介した悪意ある第三者からの攻撃に対する耐性に優れている。

[0032] 従来の通信制御装置 1は、 CPUと OSを前提としたソフトウェアによりパケットを処理しており、パケットの全てのデータを受信して力プロトコル処理を行い、データがァプリケーシヨンに渡される。それに対して、本前提技術の通信制御装置 10では、専用のハードウェア回路により処理を行うので、パケットの全てのデータを受信してから処理を開始する必要はなぐ処理に必要なデータを受信すれば、後続のデータの受信を待たずに、任意の時点で処理を開始することができる。例えば、後述する位置検出回路における位置検出処理は、比較対象データの位置を特定するための位置特定データを受信した時点で開始することができる。このように、全てのデータの受信を待たずに様々な処理をフローティングで実行することができるので、パケットのデータを処理するのに要する時間を短縮することができる。

[0033] 図 4は、パケット処理回路の内部構成を示す。パケット処理回路 20は、通信データに対して実行する処理の内容を決定するための基準となる基準データを記憶する第 1データベース 50A、 50B、及び 50C (これらを総称して「第 1データベース 50」という )と、受信された通信データの中に基準データが含まれているか否かを、通信データと基準データとを比較することにより検索する検索回路 30と、検索回路 30による検索結果と通信データに対して実行する処理の内容とを対応づけて記憶する第 2データベース 60と、検索回路 30による検索結果と第 2データベース 60に記憶された条件とに基づいて通信データを処理する処理実行回路 40とを含む。

[0034] 検索回路 30は、通信データの中から基準データと比較すべき比較対象データの位置を検出する位置検出回路 32と、第 1データベース 50に記憶された基準データを 3以上の範囲に分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路の一例であるインデックス回路 34と、判定された範囲の中で比較対象データと合致する基準データを検索するバイナリサーチ回路 36とを含む。比較対象データを基準データの中から検索する方法としては、任意の検索技術を利用可能であるが、本前提技術ではバイナリサーチ法を用いる。本前提技術では、後述するように、改良されたバイナリサーチ法を用いるので、そのために第 1データべ一ス 50を 3つ設けている。第 1データベース 50A、 50B、及び 50Cには、同じ基準データが格納されている。

[0035] 図 5は、位置検出回路の内部構成を示す。位置検出回路 32は、比較対象データの位置を特定するための位置特定データと通信データとを比較するための複数の比較回路 33a〜33fを含む。ここでは、 6個の比較回路 33a〜33fが設けられているが、後述するように、比較回路の個数は任意でよい。それぞれの比較回路 33a〜33fには、通信データが、所定のデータ長、例えば、 1バイトずつずらして入力される。そして、これら複数の比較回路 33a〜33fにおいて、同時に並列して、検出すべき位置特定データと通信データとの比較がなされる。

[0036] 本前提技術においては、通信制御装置 10の動作を説明するための例として、通信データ中に含まれる「No. # # #」という文字列を検出し、その文字列中に含まれる数字「# # #」を基準データと比較して、基準データに合致した場合はパケットの通過を許可し、合致しなカゝつた場合はパケットを破棄する処理を行う場合にっヽて説明する。

[0037] 図 5の例では、通信データの中から、数字「# # #」の位置を特定するための位置特定データ「No.」を検出するために、通信データ「01No. 361 · · ·」を、 1文字ずつずらして比較回路 33a〜33fに入力している。すなわち、比較回路 33aには「01N 」力比較回路 33bには「1Νο」力比較回路 33cには「No.」が、比較回路 33dには「o. 」が、比較回路 33eには「. 3」が、比較回路 33fには「 36」力それぞれ入力される。ここで、比較回路 33a〜33fが同時に位置特定データ「No.」との比較を実行する。これにより、比較回路 33cがマッチし、通信データの先頭から 3文字目に「No .」という文字列が存在することが検出される。こうして、位置検出回路 32により検出された位置特定データ「No.」の次に、比較対象データである数字のデータが存在することが検出される。

[0038] CPUにより同様の処理を行うならば、まず、文字列「0 ^」を「?^0.」と比較し、続いて、文字列「1Νο」を「No.」と比較する、というように、先頭力順に 1つずつ比較処理を実行する必要があるため、検出速度の向上は望めない。これに対し、本前提技術の通信制御装置 10では、複数の比較回路 33a〜33fを並列に設けることにより、 C PUではなしえな力つた同時並列的な比較処理が可能となり、処理速度を格段に向上させることができる。比較回路は多ければ多いほど同時に比較可能な位置が多くなるので、検出速度も向上する力コスト、サイズ、などを考慮の上、所望の検出速度を得られるのに十分な数の比較回路を設ければよい。 [0039] 位置検出回路 32は、位置特定データを検出するためだけでなぐ汎用的に文字列を検出する回路として利用されてもよい。また、文字列だけでなぐビット単位で位置特定データを検出するように構成されてもょヽ。

[0040] 図 6は、位置検出回路の別の例を示す。図 6に示した例では、位置検出回路 32に設けられたそれぞれの比較回路 33a〜33fのデータ長よりも位置特定データの方が短い場合は、位置特定データの後に所定のデータ、例えば、「OOH」又は「01H」などをパディングする。また、位置特定データと比較する通信データについても、位置特定データと同じデータ長のみを抜き出して、その後に、位置特定データにパディングしたデータと同じデータをパディングする。このとき、通信データ自身を改変しないために、通信データをワークとしてコピーし、コピーしたデータをカ卩ェして比較回路 3 3a〜33fに入力してもよい。これにより、位置特定データのデータ長によらず、位置検出回路 32を汎用的に用いることができる。

[0041] 図 7は、位置検出回路の更に別の例を示す。図 7に示した例では、図 6に示した例と同様に、位置特定データの後に所定のデータをパディングする力このデータをヮィルドカードとして扱う。すなわち、比較回路 33a〜33fは、ワイルドカードであるデータが入力されると、比較対象のデータが何であっても無条件に合致したと判定する。これにより、位置特定データのデータ長によらず、位置検出回路 32を汎用的に用いることがでさる。

[0042] 図 8は、第 1データベースの内部データの例を示す。第 1データベース 50には、ノケットのフィルタリング、ルーティング、スイッチング、置換などの処理の内容を決定するための基準となる基準データが、何らかのソート条件にしたがって昇順又は降順にソートされて格納されている。図 8の例では、 1000個の基準データが記憶されている

[0043] インデックス回路 34は、第 1データベース 50に格納されている基準データを 3以上の範囲 52a〜52dに分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する。図 8の例では、 1000個の基準データは、 250個ずつ 4つの範囲 52a〜52dに分割されている。インデックス回路 34は、範囲の境界の基準データと比較対象データとを比較する複数の比較回路 35a〜35cを含む。比較回路 35a〜3 5cにより比較対象データと境界の基準データとを同時に並列して比較することにより、比較対象データがいずれの範囲に属するかを 1度の比較処理で判定することができる。

[0044] インデックス回路 34の比較回路 35a〜35cに入力される境界の基準データは、通信制御装置 10の外部に設けられた装置により設定されてもよいし、予め第 1データベース 50の所定位置の基準データが自動的に入力されるようにしてもよ!、。後者の場合、第 1データベース 50を更新しても、自動的に第 1データベース 50の所定位置の基準データが比較回路 35a〜35cに入力されるので、初期設定などを必要とせず、直ちに通信制御処理を実行させることができる。

[0045] 前述したように、 CPUによりバイナリサーチを実行する場合は、同時に複数の比較を実行することができないが、本前提技術の通信制御装置 10では、複数の比較回路 35a〜35cを並列に設けることにより、同時並列的な比較処理を可能とし、検索速度を格段に向上させることができる。

[0046] インデックス回路 34により範囲が判定されると、バイナリサーチ回路 36がバイナリサーチ法により検索を実行する。バイナリサーチ回路 36は、インデックス回路 34により判定された範囲をさらに 2ⁿ個に分割し、その境界位置にある基準データと比較対象データとを比較することにより、いずれの範囲に属するかを判定する。バイナリサーチ回路 36は、基準データと比較対象データとをビット単位で比較する比較器を複数個、例えば本前提技術では 1024個含んでおり、 1024ビットのビットマッチングを同時に実行する。 2ⁿ分割された範囲のいずれに属するかが判定されると、さらに、その範囲を 2ⁿ分割して境界位置にある基準データを読み出し、比較対象データと比較する。以降、この処理を繰り返すことにより範囲をさらに限定し、最終的に比較対象データと合致する基準データを検索する。

[0047] 前述した例を用いてさらに詳細に動作を説明する。インデックス回路 34の比較回路 35a〜35cには、比較対象データとして「361」が入力され、基準データとして、比較回路 35aには、範囲 52aと 52bの境界にある基準データ「378」が、比較回路 35bには、範囲 52bと 52cの境界にある基準データ「704」力比較回路 35cには、範囲 52c と 52dの境界にある基準データ「937」が、それぞれ入力される。比較回路 35a〜35c により同時に比較が行われ、比較対象データ「361」が範囲 52aに属することが判定される。以降、バイナリサーチ回路 36が基準データの中に比較対象データ「361」が存在するか否かを検索する。

[0048] 図 9は、第 1データベースの内部データの別の例を示す。図 9に示した例では、基準データのデータ数が、第 1データベース 50に保持可能なデータ数、ここでは 1000 個よりも少ない。このとき、第 1データベース 50には、最終データ位置から降順に基準データが格納される。そして、残りのデータには 0が格納される。データベースの口ーデイング方法として、先頭力データを配置せずにローデイングエリアの後方から配置し、ローデイングエリア先頭に空きが生じた場合は全ての空きをゼロサプレスすることで、データーベースは常にフルの状態になり、バイナリー検索する場合の検索時間を一定にすることができる。また、バイナリサーチ回路 36は、検索中に基準データとして「0」を読み込んだときには、比較結果が自明であるから、比較を行わずに範囲を特定して、次の比較にうつることができる。これにより、検索速度を向上させることができる。

[0049] CPUによるソフトウェア処理においては、第 1データベース 50に基準データを格納する際に、最初のデータ位置力昇順に基準データが格納される。残りのデータには、例えば最大値が格納されることになる力この場合、バイナリサーチにおいて、上述したような比較処理の省略はできない。上述した比較技術は、専用のハードウェア回路により検索回路 30を構成したことにより実現される。

[0050] 図 10は、第 1データベースの内部データのさらに別の例を示す。図 10に示した例では、基準データを均等に 3以上の範囲に分割するのではなぐ範囲 52aは 500個、範囲 52bは 100個というように、範囲に属する基準データの数が不均一になっている。これらの範囲は、通信データ中における基準データの出現頻度の分布に応じて設定されてもよい。すなわち、それぞれの範囲に属する基準データの出現頻度の和がほぼ同じになるように範囲が設定されてもよい。これにより、検索効率を向上させることができる。インデックス回路 34の比較回路 35a〜35cに入力される基準データは、外部から変更可能になっていてもよい。これにより、範囲を動的に設定することができ、検索効率を最適化することができる。 [0051] 図 11は、インデックス回路の別の例を示す。図 8〜10に示した例では、インデックス回路 34は、 3つの比較回路 35a〜35cを用いて、比較対象データが第 1データべ一ス 50の 4つの範囲 52a〜52dのいずれに属するかを判定した力図 11の例では、ィンデッタス回路 34には、比較対象データが、 4つの範囲 52a〜52dのそれぞれに含まれる力否かを判定するための 4つの比較回路 35d〜35gが設けられて、る。例えば、比較回路 35dには、第 1データベース 50の 0件目の基準データと、 250件目の基準データと、比較対象データとが入力され、それぞれの基準データと比較対象データとを比較することにより、基準データが範囲 52aに含まれるか否かを判定する。それぞれの比較回路 35c！〜 35gの比較結果は判定回路 35zに入力され、判定回路 35z から、基準データがいずれの範囲に含まれているかが出力される。比較回路 35d〜3 5gは、基準データが入力された 2つの基準データの間に含まれる力否かを出力してもよいし、範囲よりも大きい、範囲に含まれる、範囲よりも小さい、のいずれかを出力してもよい。比較対象データが、範囲 52a〜52dのいずれにも含まれないと判定された場合は、比較対象データが第 1データベース 50中に存在しないことが分力るので、以降のバイナリサーチを行うまでもなぐ検索を終了することができる。

[0052] 図 12は、バイナリサーチ回路に含まれる比較回路の構成を示す。前述したように、バイナリサーチ回路 36に含まれる比較回路は、 1024個の比較器 36a、 36b、 · · ·、を含む。それぞれの比較器 36a、 36b、 · · ·、には、基準データ 54と比較対象データ 56が 1ビットずつ入力され、それらの大小が比較される。インデックス回路 34の各比較回路 35a〜35cの内部構成も同様である。このように、専用のハードウェア回路で比較処理を実行することにより、多数の比較回路を並列して動作させ、多数のビットを同時に比較することができるので、比較処理を高速ィ匕することができる。

[0053] 図 13は、バイナリサーチ回路の構成を示す。ノイナリサーチ回路 36は、図 12に示した 1024個の比較器 36a、 36b、 · · ·を含む比較回路 36A、 36B、及び 36Cと、それらの比較回路を制御する制御回路 36Zを含む。

[0054] 従来のバイナリサーチ法では、まず 1回目は、データが昇順又は降順に整列されたデータベースの探索対象範囲の 1Z2の位置にあるデータを読み出して比較対象データと比較する。データが昇順に並べられている場合、比較対象データの方が小さければ、比較対象データは探索対象範囲の前半に存在するので、 2回目は前半を探索対象範囲としてその 1Z2、すなわち最初の探索対象範囲の 1Z4の位置にあるデータを読み出して比較対象データと比較する。逆に、比較対象データの方が大きければ、比較対象データは探索対象範囲の後半に存在するので、 2回目は後半を探索対象範囲としてその 1Z2、すなわち最初の探索対象範囲の 3Z4の位置にあるデータを読み出して比較対象データと比較する。このように、探索対象範囲を半分ずつ絞っていき、最終的に対象データに到達する。

[0055] 本前提技術では、バイナリサーチのための比較回路を 3つ設けて、るので、 1回目の探索のために探索対象範囲の 1Z2の位置にあるデータと比較対象データとを比較させるときに、同時に並行して、 2回目の探索のために探索対象範囲の 1Z4及び 3Z4の位置にあるデータと比較対象データとを比較させる。これにより、 2回分の探索を一度に行うことができるので、データベース力データを読み上げる時間を短縮することができる。また、 3つの比較回路を同時に並列して動作させることにより、比較の回数を半分に抑え、探索に要する時間を短縮することができる。

[0056] 図 13の例では、 2回分の探索を同時に行うために、 3つの比較回路を設けたが、一般に、 n回分の探索を同時に並行して行うためには、 2ⁿ— 1個の比較回路を設ければよい。制御回路 36Zは、探索対象範囲の lZ2ⁿ、 2/2\ · · ·、（2ⁿ— l)Z2ⁿの位置のデータを、 2ⁿ— 1個の比較回路のそれぞれに入力させ、それらを同時に並列して動作させて比較対象データと比較させる。制御回路 36Zは、それぞれの比較回路の比較結果を取得して、比較対象データが探索されたか否かを判定する。制御回路 36Zは、いずれかの比較回路が、データが一致した旨の信号を出力した場合、比較対象データが探索されたと判定して、ノイナリサーチを終了する。一致した旨の信号が出力されな力つた場合、次回の探索に移る。比較対象データがデータベースに存在するならば、 2ⁿ— 1個の比較回路の比較結果が反転する範囲に存在するはずである。例えば、 15個の比較回路が設けられているときに、 5Z16の位置のデータが比較対象データより小さぐ 6Z16の位置のデータが比較対象データより大きければ、 5 Z16力も 6Z16の間の範囲に比較対象データがある。したがって、制御回路 36Zは、各比較回路の比較結果を取得して、比較結果が反転した範囲を次回の探索対象範囲と決定し、決定された次回の探索対象範囲の lZ2ⁿ、 2/2\ · · ·、 (2ⁿ- l) /2ⁿ の位置のデータをそれぞれの比較回路へ入力させる。

[0057] 本前提技術では、第 1データベース 50を 3つ設けており、第 1データベース 50Aは比較回路 36Aに接続されて探索対象範囲の 1Z4の位置にあるデータを比較回路 3 6Aに供給し、第 2データベース 50Bは比較回路 36Bに接続されて探索対象範囲の 2Z4の位置にあるデータを比較回路 36Bに供給し、第 1データベース 50Cは比較回路 36Cに接続されて探索対象範囲の 3Z4の位置にあるデータを比較回路 36Cに供給する。これにより、それぞれの比較回路にデータを同時に並行して読み上げることができるので、データの読み上げに要する時間を更に短縮し、バイナリサーチを高速ィ匕することができる。

[0058] 比較回路は多ければ多いほど探索速度も向上するが、コスト、サイズなどを考慮の上、所望の探索速度を得られるのに十分な数の比較回路を設ければよい。また、比較回路の数と同じだけ第 1データベースを設けるのが好ましいが、コスト、サイズなどを考慮の上、 V、くつかの比較回路でデータベースを共用してもょ、。

[0059] 図 14は、第 1データベースの内部データの更に別の例を示す。図 14に示した第 1 データベース 50は、フィルタリングの対象となるコンテンツの URLを格納している。第 1データベース 50に格納されるデータは、ワイルドカードとして認識される所定のデータ、例えば、「OOH」又は「01H」などを含んでもよい。図 14に示した例において、「 http://www.xx.xx/********* Jは、「*********」力 Sワイノレドカードとして認識され、比較器 36a、 36b、 · "において、比較対象データが何であっても合致すると判定される。したがって、「http：〃 www.xx.xx/」で始まる文字列は全てバイナリサーチ回路 36 により検出される。これにより、例えば、ドメイン「http：〃 www.xx.xx/」の配下にあるコンテンッの全てにフィルタリングをかける処理などを容易に行うことができる。

[0060] 図 15は、第 2データベースの内部データの例を示す。第 2データベース 60は、検索回路 30による検索結果を格納する検索結果欄 62と、通信データに対して実行する処理の内容を格納する処理内容欄 64とを含み、検索結果と処理内容とを対応づけて保持する。図 15の例では、通信データに基準データが含まれている場合は、そのパケットの通過を許可し、含まれていない場合は、そのパケットを破棄するといぅ条件が設定されている。処理実行回路 40は、検索結果に基づいて第 2データベース 6 0から処理内容を検索し、通信データに対して処理を実行する。処理実行回路 40も、ワイヤードロジック回路により実現されてもよい。

[0061] 図 16は、第 2データベースの内部データの別の例を示す。図 16の例では、基準データごとに、処理内容が設定されている。パケットの置換を行う場合、置換先のデータを第 2データベース 60に格納してお!、てもよ!/、。パケットのルーティングやスィッチングを行う場合、経路に関する情報を第 2データベース 60に格納しておいてもよい。処理実行回路 40は、検索回路 30による検索結果に応じて、第 2データベース 60に格納された、フィルタリング、ルーティング、スイッチング、置換などの処理を実行する。図 16のように、基準データごとに処理内容を設定する場合、第 1データベース 50と第 2データベース 60とを統合してもよ、。

[0062] 第 1のデータベース及び第 2のデータベースは、外部力書き換え可能に設けられる。これらのデータベースを入れ替えることにより、同じ通信制御装置 10を用いて、さまざまなデータ処理や通信制御を実現することができる。また、検索対象となる基準データを格納したデータベースを 2以上設けて、多段階の検索処理を行ってもよ!、。このとき、検索結果と処理内容とを対応づけて格納したデータベースを 2以上設けて、より複雑な条件分岐を実現してもよい。このように、データベースを複数設けて多段階の検索を行う場合に、位置検出回路 32、インデックス回路 34、バイナリサーチ回路 36などを複数設けてもょ、。

[0063] 上述した比較に用いられるデータは、同じ圧縮ロジックにより圧縮されてもよい。比較に際して、比較元のデータと比較先のデータが同じ方式で圧縮されていれば、通常と同様の比較が可能である。これにより、比較の際にローデイングするデータ量を低減することができる。ローデイングするデータ量が少なくなれば、メモリからデータを読み出すのに要する時間が短縮されるので、全体の処理時間も短縮することができる。また、比較器の量を削減することができるので、装置の小型化、軽量化、低コスト化に寄与することができる。比較に用いられるデータは、圧縮された形式で格納されていてもよいし、メモリから読み出した後、比較の前に圧縮されてもよい。

[0064] 図 17は、前提技術の通信制御装置の別の構成例を示す。本図に示した通信制御装置 10は、図 4に示した通信制御装置 10と同様の構成を備える通信制御ユニット 1 2を 2つ有している。また、それぞれの通信制御ユニット 12の動作を制御する切替制御部 14が設けられている。それぞれの通信制御ユニット 12は、 2つの入出力インタフエース 16を有しており、それぞれの入出力インタフェース 16を介して、上流側、下流側の 2つのネットワークに接続されている。通信制御ユニット 12は、いずれか一方のネットワーク力も通信データを入力し、処理したデータを他方のネットワークに出力する。切替制御部 14は、それぞれの通信制御ユニット 12に設けられた入出力インタフエース 16の入出力を切り替えることにより、通信制御ユニット 12における通信データの流れの方向を切り替える。これにより、一方向だけではなぐ双方向の通信制御が可能となる。

[0065] 切替制御部 14は、通信制御ユニット 12の一方がインバウンド、他方がアウトバウンドのパケットを処理するように制御してもよ、し、双方がインバウンドのパケットを処理するように制御してもよ、し、双方がアウトバウンドのパケットを処理するように制御してもよい。これにより、例えばトラフィックの状況や目的などに応じて、制御する通信の方向を可変とすることができる。

[0066] 切替制御部 14は、各通信制御ユニット 12の動作状況を取得し、その動作状況に応じて通信制御の方向を切り替えてもよい。例えば、一方の通信制御ユニット 12を待機状態として、他方の通信制御ユニット 12を動作させている場合に、その通信制御ユニット 12が故障などにより停止したことを検知したときに、代替として待機中の通信制御ユニット 12を動作させてもよい。これにより、通信制御装置 10のフォールトトレランスを向上させることができる。また、一方の通信制御ユニット 12に対して、データべースの更新などのメンテナンスを行うときに、他方の通信制御ユニット 12を代替として動作させてもよい。これにより、通信制御装置 10の運用を停止させずに、適切にメンテナンスを行うことができる。

[0067] 通信制御装置 10に 3以上の通信制御ユニット 12が設けられてもよい。切替制御部 14は、例えば、トラフィックの状況を取得して、通信量の多い方向の通信制御処理に、より多くの通信制御ユニット 12を割り当てるように、各通信制御ユニット 12の通信の方向を制御してもよい。これにより、ある方向の通信量が増加しても、通信速度の低下を最小限に抑えることができる。

[0068] 図 18は、複数の通信制御装置 10a、 10b、 10c、 · · ·、を含む通信制御装置 10の構成を示す。第 1データベース 50は、データ数に比例して大きな容量を必要とするので、分割して通信制御装置 10a、 10b、 10c、 · · ·、に保持させる。後述するように、本前提技術の通信制御システム 100では、処理すべき通信パケットを、運用中の全ての通信制御装置 10a、 10b、 10c、 · · ·、に供給し、それぞれの通信制御装置 10が受け取ったパケットを処理する。例えば、通信制御装置 10aは、データ ID力 00000 1」力ら「100000」まで、通信制御装置 10bは、データ IDが「100001」から「20000 0」まで、通信制御装置 10cは、データ IDが「200001」から「300000」までのデータを保持しており、それぞれが保持するデータを参照してパケットを処理する。

[0069] 図 19は、運用監視サーバ 110に設けられた管理テーブル 111の内部データの例を示す。管理テーブル 111には、装置 ID欄 112、運用状況欄 113、データ ID欄 114 が設けられている。装置 ID欄 112には、通信制御装置 10a、 10b、 · · ·、の装置 IDが格納され、運用状況欄 113には、その通信制御装置の運用状況が格納され、データ ID欄 114には、その通信制御装置が担当すべきデータ IDの範囲が格納される。運用状況には、例えば、「運用中」、「スタンバイ」、「故障中」、「データ更新中」などがある。運用状況欄 113は、通信制御装置 10a、 10b、 · · ·、の運用状況が変更されるたびに、運用監視サーバ 110により更新される。図 19に示した例では、「465183」件のデータが第 1データベース 50に格納されるので、装置 ID「1」〜「5」の 5台の通信制御装置 10が運用されており、装置 ID「6」の通信制御装置 10はスタンバイ状態となつている。

[0070] 運用監視サーバ 110は、複数の通信制御装置 10の運用状況を監視し、いずれかの通信制御装置 10にお、てトラブルが発生して運用不可能な状態になつたことを検知したときには、スタンバイ状態となっている通信制御装置 10に、運用が停止した通信制御装置 10と同じデータを格納し、その通信制御装置 10に運用を切り替える。例えば、図 20に示すように、装置 ID「2」の通信制御装置 10が故障により運用停止した場合、スタンバイ状態であった装置 ID「6」の通信制御装置 10に、データ ID「10000 1〜200000」のデータを格納して運用を開始させる。これにより、何らかのトラブルで通信制御装置 10が停止されるような状況になっても、適切に運用を継続することができる。スタンバイ中の通信制御装置 10には、予めいずれかのデータを格納しておき、ホットスタンバイ状態にしておいてもよいし、コールドスタンバイ状態にしておいてちょい。

[0071] 次に、通信制御装置 10に含まれるデータベースを更新する手順について説明する。データベースサーバ ₁₅₀は、所定のタイミングで外部のデータベースから最新のデータベースを取得して保持する。運用監視サーバ 110は、所定のタイミングで、データベースサーバ 150に保持された最新のデータベースを通信制御装置 10に反映させるために、データベースサーバ 150から通信制御装置 10にデータを転送して格納させる。

[0072] 図 21 (a) (b) (c)は、データベースを更新する様子を説明するための図である。図 2 1 (a)は、図 19と同様に、装置 ID「1」〜「5」の通信制御装置 10が運用中であり、装置 ID「6」の通信制御装置 10がスタンノィ中である状況を示す。運用監視サーバ 11 0は、データベースを更新するタイミングが到来すると、現在スタンノィ状態である通信制御装置 10を特定し、その通信制御装置 10に対してデータを格納するようデータベースサーバ 150に指示する。図 21 (a)の例では、装置 ID「6」の通信制御装置 10 がスタンバイ中であるから、この通信制御装置 10にデータベースサーバ 150からデータが格納される。このとき、運用監視サーバ 110は、装置 ID「6」の運用状況欄 113 を「データ更新中」に変更する。

[0073] 図 21 (b)は、通信制御装置 10のデータベースが更新中である状況を示す。データベースサーバ 150は、運用中の通信制御装置 10のいずれかが担当するデータを、スタンバイ中であった装置 ID「6」の通信制御装置 10の第 1データベース 50に格納する。図 21 (b)の例では、装置 ID「1」の通信制御装置 10が担当していた、データ ID 「000001〜100000」のデータを、装置 ID「6」の通信制御装置 10に格納している。

[0074] 図 21 (c)は、装置 ID「6」の通信制御装置 10のデータベースが更新されて運用が開始され、代わって装置 ID「1」の通信制御装置 10がスタンバイ状態となった状況を示す。運用監視サーバ 110は、装置 ID「6」の通信制御装置 10に対するデータの格納が終了すると、更新後のデータベースを保持する装置 ID「6」の通信制御装置 10 の運用を開始すると同時に、更新前のデータベースを保持する装置 ID「1」の通信制御装置 10の運用を停止してスタンバイ状態にする。これにより、データベースが更新された通信制御装置 10に運用が切り替えられる。つづいて、装置 ID「1」の通信制御装置 10に、データ ID「100001〜200000」のデータを格納した後、装置 ID「1」の通信制御装置 10を運用開始し、装置 ID「2」の通信制御装置 10の運用を停止する。以降、同様に、巡回的にデータベースを更新していくことで、通信制御システム 100の運用を停止することなぐ全ての通信制御装置 10のデータベースを背後で更新することができる。

[0075] このように、本前提技術の通信制御装置 10では、各通信制御装置 10に格納されているデータは固定的ではなぐあるデータがいずれの通信制御装置 10に格納されているかは、時間によって移り変わる。各通信制御装置 10にパケットを送る前に、いずれの通信制御装置 10にそのユーザのデータが存在するかを判定する処理を行うと、その処理に要する時間が余分にかかる。そのため、本実施の形態では、受信したパケットを全ての通信制御装置 10へ供給し、各通信制御装置 10がパケットを処理する。以下、このような仕組みを実現するための技術について説明する。

[0076] 図 22は、複数の通信制御装置 10によりパケットを処理するために設けられた通信経路制御装置の構成を示す。通信経路制御装置 200は、スィッチ 210、データ供給ユニットの一例である光スプリッタ 220、及びスィッチ 230を備える。スィッチ 210は、受信したパケットを通信制御装置 10へ送信する。ここで、スィッチ 210と通信制御装置 10の間には、複数の通信制御装置 10a、 10b、 10cにパケットを並行して供給するための光スプリッタ 220が設けられており、スィッチ 210は、実際には光スプリッタ 220 へパケットを送信し、光スプリッタ 220が各通信制御装置へパケットを並行して送信する。

[0077] 複数の通信制御装置 10a、 10b、 10cへパケットを送信するために、パケットをブロードキャストに変換すると、例えばヘッダにタイムスタンプを追加するなどの余分な処理が発生し、処理速度が低下してしまう。そのため、パケットに変更をカ卩えずに、光スプリッタ 220により分割して、ュ-キャストのまま複数の通信制御装置 10a、 10b、 10c へパケットを送信する。この方式を、本明細書では「パラレルキャスト」と呼ぶ。 [0078] 各通信制御装置は、自装置の MACアドレス宛のパケットのみを受信するモードではなぐ宛先の MACアドレスに関係なく全てのパケットを受信するプロミスキャスモードに設定される。各通信制御装置は、光スプリッタ 220からパラレルキャストされたパケットを受信すると、 MACアドレスのマッチング処理を省き、全てのパケットを取得して処理する。

[0079] 通信制御装置 10cは、通信が禁止された場合など、送信元宛にパケットを返信する場合には、光スプリッタ 220を介さずにスィッチ 210へ応答パケットを送信する。通信制御装置 10cは、パケットを処理した結果、通信が許可された場合は、そのパケットをネットワークへ送出する。ここで、通信制御装置 10と上流の通信回線の間には、複数の通信制御装置 10a、 10b、 10cから送出されるパケットを集約するためのスィッチ 2 30が設けられており、通信制御装置 10cは、実際にはスィッチ 230へパケットを送信し、スィッチ 230が上流の通信回線へパケットを送出する。

[0080] パケットの送信先力も返信されたパケットをスィッチ 230が受信したときに、返信されたパケットが通信制御装置 10による処理を必要としない場合は、スィッチ 230のポート 232力らスィッチ 210のポート 212へ送信され、スィッチ 210から送信元に向けて送出される。通常、インターネットでは、パケットに対する応答パケットが確実に送信元に返信されるよう、返信経路を確保するために、送信時の経路がパケットに記録される。しかし、本実施の形態では、通信経路制御装置 200内における返信経路が予め用意されているので、経路を記録せずに、すなわち、パケットを加工せずに装置間の通信を行う。これにより、無駄な処理を省き、処理速度を向上させることができる。

[0081] 図 22の例では、送信元から発信されたパケットを送信先へ送出する場合にのみパケットを処理し、送信先から送信元へ送出された応答パケットは処理せずに通過させる場合の構成を示して、るが、通信制御装置 10が両方向のパケットを処理するように構成してもよい。この場合、通信制御装置 10の両側に光スプリッタ 220を設ければよい。また、スィッチ 230からスィッチ 210へのバイパス経路は設けなくてもよい。

[0082] このように、複数の通信制御装置のうち、パケットを処理すべき通信制御装置を予め特定しなくても、全ての通信制御装置に同じパケットをパラレルキャストすることにより、処理すべき通信制御装置に適切にパケットを処理させることができる。 [0083] これらの通信制御装置は、上述したように、通信経路制御装置 200からパラレルキャストされる全てのパケットを受信して処理又は破棄するので、インターネット上で装置を一意に識別するための IPアドレスを付与しておく必要がない。サーバ装置などにより、上述したようなパケット処理を実行する場合は、サーバ装置に対する攻撃を考慮する必要があるが、本実施の形態の通信制御装置は、インターネットを介して悪意ある第三者力も直接攻撃を受けることがな、ので、安全に通信制御を行うことができる。

[0084] (第 1の実施の形態）

図 23は、第 1の実施の形態に係る通信管理システムの構成を示す。通信管理システム 300は、パケットフィルタリングなどの機能を有する通信制御システム 100を用いて、 P2Pノード 320間の不適切な通信を遮断又は劣後させるなど、 P2P通信を管理する。

[0085] パーソナルコンピュータなどのユーザ端末 310は、通常、公衆電話網、携帯電話網、 LAN, WANなど（図示せず）を介してインターネットサービスプロバイダ（Internet S ervice Provider:以下、「ISP」と表記する） 330に接続し、 ISP330を介してインターネット 390に接続している。ファイル共有ソフトなどの P2Pアプリケーションを実行している P2Pノード 320は、互いに P2P接続し、 P2Pネットワーク 322を形成している。フアイル共有アプリケーションにお、て、ファイル検索機能などを提供するサーバ又はホストの役割を果たす装置なども「P2Pノード 320」に含む。

[0086] サーバ'クライアントモデルにおいては、サーバに情報が蓄積され、クライアントはィンターネットを介してサーバに接続して情報を入手するので、違法なコンテンツの流通が検出された場合は、そのコンテンツを提供しているサーバを摘発して停止させればよい。し力し、 P2Pネットワーク 322では、 P2Pノード 320間で直接通信が行われるので、違法なコンテンツの流通を検出するのが難しぐまた、検出できたとしても、いずれの P2Pノード 320が発信源となって、るのかを特定することが難し、。

[0087] また、 P2Pネットワーク 322に、ファイル共有のためのファイル検索サーバが設けられる形態ではなぐ P2Pノード 320間で直接ファイルの有無を問、合わせて検索する形態の場合は、 P2Pノード 320が増加すると加速度的に通信が増加してネットワークが混雑し、 ISP330を利用する他のユーザ端末 310に影響を与える可能性がある。

[0088] さらに、 P2Pネットワーク 322では、 P2Pノード 320は他の P2Pノード 320との間で直接通信を行うので、悪意ある P2Pノード 320による攻撃に対して脆弱であり、ウィルス蔓延の温床となっている。コンピュータセキュリティに無知又は無関心なユーザがフアイル共有アプリケーションを利用してウィルスに感染し、重要な情報が流出するなど、社会的な問題となっている。

[0089] このような状況下、 P2P通信を適切に管理する技術が切に求められている力従来は、 P2Pノード 320間のデータの送受信を規制することが困難であった。本実施の形態では、 P2Pノード 320を検出して、検出した P2Pノード 320との間の通信を適切にフィルタリングする技術を提案する。この技術により、上記のような問題が解決されることが期待されるため、本発明の社会的な貢献度は非常に高いと言える。

[0090] 本実施の形態では、図 23に示すように、ユーザ端末 310と P2Pネットワーク 322の P2Pノード 320との間に、前提技術で説明した通信制御システム 100を設ける。また、 P2Pノード 320の IPアドレスなどを検出するための P2Pノード検出用ネットワーク 35 2を設け、ノード検出装置 340が検出した P2Pノード 320の IPアドレスなどの識別情報を通信制御システム 100へ通知し、 P2Pノード 320との間の通信を検出するために用いる。通信制御システム 100は、ネットワーク上の任意の位置に設けられてもよい力図 23では、 ISP330が通信制御システム 100を設ける例を示している。ほとんどの P2Pノード 320は、 V、ずれかの ISP330を介してインターネット 390に接続して!/、るので、各 ISP330が通信制御システム 100を導入すれば、より適切に P2P通信を管理することができる。

[0091] P2Pノード 350は、レイヤ 2スィッチ 344及びルータ 342を介してインターネット 390 に接続されており、 P2Pアプリケーションを実行して、 P2Pノード 320との間で P2P接続して通信を行う。ノード検出装置 340は、 P2Pノード 350と P2Pネットワーク 322の間に設けられ、 P2Pノード 350と P2Pネットワーク 322の P2Pノード 320との間の通信パケットを取得して解析し、 P2Pノード 320の IPアドレスと TCP又は UDPのポート番号などの識別情報を検出する。ノード検出装置 340は、 DNSへの問い合わせなど、 P2Pノード 350の P2Pアプリケーション以外のアプリケーションによる通信相手は記録せず、 P2Pアプリケーションによる通信の相手を検出して記録する。ノード検出装置 340は、 P2Pノード 350が送受信するパケットを解析する力レイヤ 2透過型であり、パケットをフィルタリングせずに透過させる。また、図 23に示したノード検出装置 34 0は、レイヤ 2透過型としての構成のほかに、ルータ型の装置として実装することも可能である。この場合、ノード検出装置 340は、あた力も通常のルータ型装置のようにルーティングを行うが、 P2Pアプリケーションによる通信の相手を検出して記録する動作を行う。ノード検出装置 340により検出された P2Pノード 320の IPアドレス及び TC PZUDPポート番号は、 P2Pノードデータベース 360に登録される。 P2Pノードデータベース 360に登録されたデータは、前提技術で説明したように、所定のタイミングで、通信制御システム 100のデータベースサーバ 150により、通信制御装置 10の第 1 データベース 50に反映される。

[0092] 通信制御装置 10は、インデックス回路 34及びバイナリサーチ回路 36により、 ISP3 30を通過するパケットの送信元又は送信先の IPアドレス及び TCPZUDPポート番号が第 1データベース 50に登録されて、るか否かを検索する。第 1データベース 50 に登録されていれば、 P2Pノード 320による P2P通信のパケットであるから、処理実行回路 40によりパケットを破棄して P2P通信を遮断する力、又は、パケットの送信を遅延させて他の通信に比して劣後させる。第 1データベース 50に登録されて、なければ、 P2P通信ではないので、処理実行回路 40はパケットを破棄せずにネットワークへ送出する。これにより、 P2P通信を検出して規制することができる。

[0093] 上記の例では、ノード検出装置 340が P2Pノード 320の IPアドレスと TCPZUDP ポート番号を検出して収集したが、 P2P通信が別のプロトコルを利用している場合は、そのプロトコルに合わせて、 P2P通信を検出することが可能な P2Pノード 320の識別情報を収集すればよい。

[0094] ユーザ端末 310が新たに P2Pアプリケーションを起動して P2Pノード 350と通信を行うと、ノード検出装置 340により IPアドレスと TCPZUDPポート番号が検出され、 P 2Pノードデータベース 360に登録される。したがって、 P2Pノードデータベース 360 を通信制御システム 100に反映させる間隔を短くすることにより、 P2Pノード 320が新たに出現して力も短時間で P2Pノード 320の P2P通信を規制することができる。 [0095] V、つたん P2P通信を行って P2Pノードデータベース 360に登録された P2Pノード 3 20であっても、長期間 P2P通信を行っていない場合は、 P2Pノードデータベース 36 0から削除してもよい。例えば、 P2Pアプリケーションを利用していたユーザ力 P2P アプリケーションをユーザ端末 310からアンインストールし、 P2Pアプリケーションが通信に利用していたポート番号を別の通信に利用する場合、 P2Pノードデータベース 3 60に IPアドレスとポート番号が登録されているので、 P2P通信でないにもかかわらず通信が規制されることになる。したがって、 P2Pノードデータベース 360に最終検出日時を記録しておき、最終検出日時力も所定の期間が経過した P2Pノード 320の情報は P2Pノードデータベース 360から削除してもよい。このユーザ端末 310が再び P 2P通信を開始した場合は、ノード検出装置 340により検出され、再び P2Pノードデータベース 360に登録されて、そのノードとの間の P2P通信が遮断又は劣後される。

[0096] 図 24は、通信管理システムの別の構成例を示す。図 24に示した通信管理システム 300では、図 23に示した通信管理システム 300に比べ、 P2Pノード検出用ネットヮーク 352の構成が異なる。具体的には、ノード検出装置 340力ルータ 342とレイヤ 2スイッチ 344の間ではなぐレイヤ 2スィッチ 344の後段に接続されている。この例では、レイヤ 2スィッチ 344のポートミラーリング機能を利用して、レイヤ 2スィッチ 344を通過する全てのパケットを複製してノード検出装置 340に送る。ノード検出装置 340は、取得したパケットを解析して P2Pノード 320の識別情報を収集し、パケットを破棄する。その他の構成及び動作は、図 23に示した通信管理システム 300と同様である。

[0097] 図 25は、本実施の形態のパケット処理回路 20の構成を示す。パケット処理回路 20 は、図 4に示した前提技術のパケット処理回路 20の構成に加えて、デコーダ回路 70 及び復号鍵 72を更に備える。

[0098] P2Pアプリケーションが利用するプロトコルには、特徴的な文字列が含まれる場合が多い。例えば、 TCPパケットのヘッダに P2Pアプリケーションの名称などの識別情報がセットされている場合、その文字列を検出することにより、パケットが P2P通信のパケットであるか否かを判定することができる。したがって、本実施の形態では、前提技術で説明した位置検出回路 32を利用して、パケットに含まれる P2P通信に特有の文字列を検出し、 P2P通信である力否かを判定する。 P2P通信に特有の文字列を含むパケットは、インデックス回路 34及びバイナリサーチ回路 36により第 1データべ一ス 50と照合するまでもなぐ処理実行回路 40によりパケットを破棄又は劣後させる。これにより、効率よく P2P通信を検知してフィルタリングすることができる。

[0099] P2Pアプリケーションによっては、通信データを暗号化して送受信する場合がある。

デコーダ回路 70は、 P2Pアプリケーションにより暗号ィ匕された通信データを復号するための復号鍵 72で、取得したパケットの通信データを復号する。例えば、 P2Pアプリケーシヨンが共通鍵暗号方式で通信データを暗号ィ匕して、る場合は、その共通鍵を復号鍵 72として用い、暗号化された通信データを復号する。デコーダ回路 70は、前提技術で説明したように、 CPU及び OSを用いず、ワイヤードロジック回路により形成された専用のハードウェア回路として実現されるが、復号鍵 72は外部力も書き換え可能に設けられてもよい。これにより、 P2Pアプリケーションの復号鍵が変わった場合であっても、柔軟に対応させることができる。また、異なる P2Pアプリケーションが出現した場合にも汎用的に利用することができる。

[0100] この場合も、位置検出回路 32が、復号された通信データ力 P2P通信に特有の文字列を検出するが、 P2P通信でないパケットの場合は、デコーダ回路 70での復号処理により意味のないデータ列になっているので、 P2P通信に特有の文字列は検出されない。したがって、 P2P通信に特有の文字列の有無により、 P2P通信のパケットである力否かを判定することができる。

[0101] (第 2の実施の形態）

図 26は、実施の形態に係る通信管理システムの構成を示す。この通信管理システム 300は、 P2Pノード 320から配布されるコンテンツの流通を管理する。

[0102] 本実施の形態の通信管理システム 300は、図 23に示した第 1の実施の形態の通信管理システム 300に比べて、 P2Pノード検出用ネットワーク 352に代えて違法コンテンッ検出用ネットワーク 354を、 P2Pノードデータベース 360に代えて違法コンテンツデータベース 362を備え、更に、警告コンテンツサーバ 364を備える。違法コンテンッ検出用ネットワーク 354は、図 23に示した第 1の実施の形態の P2Pノード検出用ネットワーク 352が備えていたノード検出装置 340に代えて違法コンテンツ検出装置 35 6を備える。その他の構成及び動作は第 1の実施の形態と同様である。 [0103] 違法コンテンツ検出装置 356は、 P2Pノード 350が P2Pノード 320から受信したコンテンッが、流通を制御すべきコンテンツであったときに、そのコンテンツの識別情報を検出して違法コンテンツデータベース 362に登録する。違法コンテンツ検出装置 356 は、例えば、ウィルスに感染したコンテンツを検出するためのウィルス検出プログラムを備え、ウィルスに感染したコンテンツの識別情報を検出してもよい。また、画像や動画などのコンテンツに、流通を制御すべき不適切な画像が含まれている場合に、そのコンテンツの識別情報を検出してもよい。このように、違法コンテンツ検出装置 356 は、流通させることが違法であるコンテンツだけでなぐ暴力的な映像を含む動画や公序良俗に反する画像など、流通を制御すべきコンテンツの識別情報を検出する。違法コンテンッ検出装置 356は、コンテンッを確認して不適切なコンテンッを検出するオペレータから、不適切なコンテンツの指定を受け付け、そのコンテンツの識別情報を検出してもよい。識別情報は、コンテンツのファイル名、ファイルサイズ、 MD5などのハッシュ値を含んでもよい。検出された識別情報は、専用線又は VPNなどの技術を利用して、違法コンテンツデータベース 362に格納される。

[0104] 違法コンテンツデータベース 362に登録されたデータは、前提技術で説明したように、所定のタイミングで、通信制御システム 100のデータベースサーバ 150により、通信制御装置 10の第 1データベース 50に反映される。違法コンテンツデータベース 36 2に新たなレコードが追加されるたびに、第 1データベース 50を更新することもでき、ウィルスや違法なコンテンツの流通を迅速に制御することができる。

[0105] 通信制御装置 10は、インデックス回路 34及びバイナリサーチ回路 36により、 ISP3 30を通過するパケットに、不適切なコンテンツのデータ又は不適切なコンテンツの送信要求などが含まれている力否かを第 1データベース 50から検索する。第 1データべース 50にコンテンツの識別情報が登録されていれば、不適切なコンテンツであるから、処理実行回路 40によりパケットを破棄して送受信を遮断したり、送信要求の要求先を警告コンテンツサーバ 364に変更したりするなど、コンテンツの流通を制御するための処理を実行する。第 1データベース 50に登録されていなければ、処理実行回路 40は流通を制御するための処理を施さずにパケットをネットワークへ送出する。これにより、不適切なコンテンツの流通を検出して適切に制御することができる。 [0106] つづいて、不適切なコンテンツの流通を制御するための具体的な方法について説明する。図 27は、不適切なコンテンツの流通を制御する方法の手順を示すシーケンス図である。 P2Pネットワーク 322で用いられるファイル共有プロトコルでは、あるノード、例えばユーザ端末 310がコンテンツの検索要求を発すると（S10)、検索要求を受け取った P2Pノード 320は、検索により抽出されたコンテンツのファイル名、フアイルサイズ、ノ、ッシュ値を含むファイル要約情報 380、 382を応答する（S12)。このとき、自由に流通可能なコンテンツのファイル要約情報 380だけでなぐ流通を制御すベき不適切なコンテンツのファイル要約情報 382が含まれて、る場合は、通信制御システム 100は、不適切なコンテンツのファイル要約情報 382を検出し、そのファイル要約情報を削除する（S14)。不適切なコンテンツのファイル要約情報 382が削除された応答パケットは、ユーザ端末 310へ送出される（S16)。これにより、 P2Pノード 320 が不適切なコンテンツを所有していて配布可能であったとしても、ユーザ端末 310から見ると、検索応答力不適切なコンテンツのファイル要約情報 382が削除されているので、 P2Pノード 320が所有していないことになり、受信することができない。これにより、不適切なコンテンツの流通を制限することができる。

[0107] 図 28は、不適切なコンテンツの流通を制御する別の方法の手順を示すシーケンス図である。ユーザ端末 310がコンテンツの検索要求を発すると（S30)、検索要求を受け取った P2Pノード 320は、検索により抽出されたコンテンツのファイル要約情報 3 80、 382を応答する（S32)。このとき、流通を制御すべき不適切なコンテンツのファィル要約情報 382が含まれている場合は、通信制御システム 100は、不適切なコンテンッのファイル要約情報 382を検出し、そのファイル要約情報に含まれるファイル配布ノード、ここでは P2Pノード 320の IPアドレスを、警告コンテンツを配布する警告コンテンツサーバ 364の IPアドレスに変更して（S34)、検索応答としてユーザ端末 3 10へ送出する（S36)。検索応答を受け取ったユーザ端末 310は、流通を制限されないコンテンツをダウンロードするときは、 P2Pノード 320へダウンロードを要求する（ S38)。 P2Pノード 320は、要求されたコンテンツを送信する（S40)。し力し、流通を制限されるコンテンツは、ダウンロードの要求先の IPアドレスが警告コンテンツサーバ 364に変更されているので、ユーザ端末 310は、警告コンテンツサーバ 364へダウンロードを要求する（S42)。警告コンテンツサーバ 364は、要求されたコンテンツが不適切で流通を制限されている旨を警告する警告コンテンツをユーザ端末 310へ送信する（S44)。これにより、 P2Pノード 320が不適切なコンテンツを所有していて配布可能であったとしても、ユーザ端末 310は P2Pノード 320へ送信を要求することができない。これにより、不適切なコンテンツの流通を制限することができる。

[0108] 図 29は、不適切なコンテンツの流通を制御する別の方法の手順を示すシーケンス図である。ユーザ端末 310力P2Pノード 320にコンテンツのダウンロードを要求し（S5 0)、 P2Pノード 320がユーザ端末 310へ要求されたコンテンツを送信したときに（S5 2)、自由に流通可能なコンテンツ 386だけでなぐ流通を制御すべき不適切なコンテンッ 388が含まれている場合は、通信制御システム 100は、不適切なコンテンツ 388 を、要求されたコンテンツが不適切で流通を制限されている旨を警告する警告コンテンッ 389に差し替えて（S54)、ユーザ端末 310へ送出する（S56)。

[0109] 図 30は、本実施の形態の通信制御装置 10のパケット処理回路 20の内部構成を示す。パケット処理回路 20は、第 1データベース 50として、ユーザデータベース 57、ゥィルスリスト 161、ホワイトリスト 162、ブラックリスト 163、及び共通カテゴリリスト 164を備える。ユーザデータベース 57は、通信制御装置 10を利用するユーザの情報を格納する。通信制御装置 10は、ユーザ力ユーザを識別する情報を受け付け、検索回路 30により受け付けた情報をユーザデータベース 57とマッチングして、ユーザを認証する。ユーザデータベース 57に登録されたユーザであることが認証されると、続いて、コンテンツに対するアクセスの許否を判断するために、コンテンツの識別情報力ウィルスリスト 161、ホワイトリスト 162、ブラックリスト 163、及び共通カテゴリリスト 164 に照合される。ホワイトリスト 162及びブラックリスト 163はユーザごとに設けられているので、ユーザが認証されてユーザ IDがー意に決まると、そのユーザのホワイトリスト 1 62及びブラックリスト 163が検索回路 30に与えられる。

[0110] ウィルスリスト 161は、コンピュータウィルスを含むコンテンツの識別情報のリストを格納する。ウィルスリスト 161に格納された識別情報のコンテンツの流通は遮断される。これにより、ユーザが気づかずにウィルスをダウンロードしょうとする場合であっても、適切にアクセスを禁止し、ウィルスの被害カゝらユーザを保護することができる。 [0111] ホワイトリスト 162は、ユーザごとに設けられ、流通を許可するコンテンツの識別情報のリストを格納する。ブラックリスト 163は、ユーザごとに設けられ、流通を禁止するコンテンッの識別情報のリストを格納する。図 31 (a)は、ウィルスリスト 161の内部データの例を示し、図 31 (b)は、ホワイトリスト 162の内部データの例を示し、図 31 (c)は、ブラックリスト 163の内部データの例を示す。ウィルスリスト 161、ホワイトリスト 162、及びブラックリスト 163には、それぞれ、カテゴリ番号欄 165、ファイル名欄 166、サイズ欄 167、及びハッシュ値欄 170が設けられて、る。

[0112] 共通カテゴリリスト 164は、コンテンツを複数のカテゴリに分類して流通を制御するためのリストを格納する。図 32は、共通カテゴリリスト 164の内部データの例を示す。共通カテゴリリスト 164にも、カテゴリ番号欄 165、ファイル名欄 166、サイズ欄 167、及びハッシュ値欄 170が設けられて!/、る。

[0113] 通信制御装置 10は、位置検出回路 32により、ファイル共有プロトコルにおいて送受信されるファイル要約情報や、コンテンツ自身に含まれるコンテンツの識別情報を抽出し、その識別情報が、ウィルスリスト 161、ホワイトリスト 162、ブラックリスト 163、又は共通カテゴリリスト 164に含まれるか否かを、インデックス回路 34及びバイナリサーチ回路 36により検索する。

[0114] 図 33 (a)、（b)、（c)、及び (d)は、コンテンツ流通制御のための第 2データベース 6 0の内部データの例を示す。図 33 (a)は、ウィルスリスト 161に対する検索結果と処理内容を示す。コンテンツの識別情報が、ウィルスリスト 161に含まれる識別情報に合致した場合、そのコンテンツの流通は禁止される。図 33 (b)は、ホワイトリスト 162に対する検索結果と処理内容を示す。コンテンツの識別情報力ホワイトリスト 162に含まれる識別情報に合致した場合、そのコンテンツの流通は許可される。図 33 (c)は、ブラックリスト 163に対する検索結果と処理内容を示す。コンテンツの識別情報が、ブラックリスト 163に含まれる識別情報に合致した場合、そのコンテンツの流通は禁止される。

[0115] 図 33 (d)は、共通カテゴリリスト 164に対する検索結果と処理内容を示す。図 33 (d )に示すように、共通カテゴリリスト 164に対する検索結果に対して、ユーザは、カテゴリごとに、そのカテゴリに属するコンテンツに対するアクセスを許可する力禁止するかを、個別に設定することができる。共通カテゴリリスト 164に関する第 2データベース 6 0には、ユーザ ID欄 168及びカテゴリ欄 169が設けられている。ユーザ ID欄 168には、ユーザを識別するための IDが格納される。カテゴリ欄 169には、 57種に分類されたカテゴリのそれぞれにつ、て、カテゴリに属するコンテンツに対するアクセスをユーザが許可するか否かを示す情報が格納される。コンテンツの識別情報が、共通カテゴリリスト 164に含まれる識別情報に合致した場合、そのコンテンツのカテゴリと、ユーザ IDに基づいて、そのコンテンツに対するアクセスの許否が判定される。なお、図 33 (d)では、共通カテゴリの数が 57であるが、それ以外であってもよい。

[0116] 図 34は、ウィルスリスト 161、ホワイトリスト 162、ブラックリスト 163、及び共通カテゴリリスト 164の優先度を示す。本実施の形態では、ウィルスリスト 161、ホワイトリスト 16 2、ブラックリスト 163、共通カテゴリリスト 164の順に優先度が高ぐ例えば、ホワイトリスト 162に格納されたアクセスが許可されるコンテンツの識別情報であったとしても、その識別情報がウィルスリスト 161に格納されていれば、コンピュータウィルスを含むコンテンツであるとしてアクセスが禁止される。

[0117] 従来、ソフトウェアを用いて、このような優先度を考慮したマッチングを行うときは、例えば、優先度の高いリストから順にマッチングを行って最初にヒットしたものを採用する力、優先度の低、リストから順にマッチングを行って後からヒットしたものを上書きする力、いずれかの方法がとられていた。しかしながら、本実施の形態では、専用のハ一ドウエア回路により構成された通信制御装置 10を利用することにより、ウィルスリスト 161のマッチングを行う検索回路 30aと、ホワイトリスト 162のマッチングを行う検索回路 30bと、ブラックリスト 163のマッチングを行う検索回路 30cと、共通カテゴリリスト 164のマッチングを行う検索回路 30dとを設けて、それぞれの検索回路 30において同時に並列してマッチングを行う。そして、複数のリストでヒットした場合は、優先度の高いものを採用する。これにより、複数のデータベースが設けられ、それらに優先度が設定されている場合であっても、検索時間を大幅に短縮することができる。

[0118] ウィルスリスト 161、ホワイトリスト 162、ブラックリスト 163、及び共通カテゴリリスト 16 4のいずれを優先してアクセスの許否を判断するかは、例えば、第 2データベース 60 に設定されて、てもよ、。 V、ずれのリストを優先するかに応じて第 2データベース 60 の条件を書き換えてもよ、。

[0119] このように、複数のデータベースを利用してコンテンツの流通制御を行う際に、データベースに優先度を設定して優先度に応じた処理を行うことができるように構成し、かつ、ウィルスリスト 161によるフィルタリングを最優先することで、ユーザによるホワイトリスト 162などの設定状況にかかわらず、ウィルスを含むコンテンツの流通を確実に禁止することができる。これにより、ウィルスなどの被害カゝらユーザを適切に保護することができる。

[0120] 流通を制御しないコンテンツの場合は、処理実行回路 40は、パケットをそのままネットワークへ送出する。流通を制限すべきコンテンツである場合は、処理実行回路 40 力上述した処理を実行する。例えば、図 27に示した流通制御を行う場合は、処理実行回路 40は、検索回路 30により検出されたコンテンツのファイル要約情報をパケットから削除してから、パケットをネットワークへ送出する。図 28に示した流通制御を行う場合は、処理実行回路 40は、検索回路 30により検出されたコンテンツのファイル要約情報に含まれるファイル配布ノードの IPアドレスを、予め第 2データベース 60などに設定されていた警告コンテンツサーバ 364の IPアドレスに書き換えてから、パケットをネットワークへ送出する。図 29に示した流通制御を行う場合は、処理実行回路 40は、検索回路 30により検出されたコンテンツを、第 2データベース 60などに設定されていた警告コンテンツに差し替えてから、パケットをネットワークへ送出する。この警告コンテンツは、警告コンテンツサーバ 364から通信制御装置 10へ与えられてもよい

[0121] 以上の構成及び動作により、不適切なコンテンツに対するアクセスを禁止することができる。また、検索回路 30が FPGAなどにより構成された専用のハードウェア回路であるから、上述したように高速な検索処理が実現され、トラフィックに与える影響を最小限に抑えつつ、流通制御を実行することができる。 ISP330など力このようなフィルタリングのサービスを提供することにより、付加価値が高まり、より多くのユーザを集めることができる。

[0122] ホワイトリスト 162又はブラックリスト 163は、全てのユーザに対して共通に設けられてもよい。また、ユーザ認証を行わず、全てのパケットに対して上述したコンテンツ流通制御を行ってもよい。この場合、ユーザデータベース 57を設けなくてもよい。

[0123] 以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せに、ろ、ろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。産業上の利用可能性

[0124] 本発明は、コンテンツの流通を管理する通信管理システムに利用することができる

Claims

請求の範囲

[1] ピア ·ツー ·ピア通信を行って、る他のノードとの間でピア ·ツー ·ピア接続して通信を行う端末と、

前記端末が前記ノードから受信したコンテンツ力流通を制御すべきコンテンツであつたときに、そのコンテンツの識別情報を検出するコンテンツ検出装置と、検出された識別情報を参照して、前記流通を制御すべきコンテンツの送受信を制御する通信制御装置と、

を備えることを特徴とする通信管理システム。

[2] 前記コンテンツの識別情報は、前記コンテンツのファイル名、ファイルサイズ、又はノ、ッシュ値を含むことを特徴とする請求項 1に記載の通信管理システム。

[3] 前記通信制御装置は、

前記コンテンツ検出装置が検出した前記コンテンツの識別情報を格納したデータベースと、

コンテンツのデータを取得し、そのコンテンツの識別情報が前記データベース中に存在するか否かを検索する検索回路と、

前記検索回路の検索結果に応じて、前記コンテンツの流通を制御するための処理を実行する処理実行回路と、

を含むことを特徴とする請求項 1又は 2に記載の通信管理システム。

[4] 前記コンテンツ検出装置が検出した前記流通を制御すべきコンテンツの識別情報を格糸内するコンテンツデータベースと、

前記コンテンツデータベースを参照して、前記通信制御装置の前記データベースを更新するデータベースサーバと、

を更に備えることを特徴とする請求項 3に記載の通信管理システム。

[5] 前記ピア 'ツー'ピア通信において、コンテンツの検索を要求された前記ノードから検索の要求元に送信される回答の中に、前記データベースに登録されたコンテンッの識別情報が含まれていた場合、前記処理実行回路は、そのコンテンツの識別情報を削除することを特徴とする請求項 3又は 4に記載の通信管理システム。

[6] 前記ピア 'ツー'ピア通信において、コンテンツの検索を要求された前記ノードから検索の要求元に送信される回答の中に、前記データベースに登録されたコンテンッの識別情報が含まれていた場合、前記処理実行回路は、そのコンテンツの配布元であるノードのアドレスを、そのコンテンツの流通を制限すべき旨の警告を発する警告コンテンッサーバのアドレスに書き換えることを特徴とする請求項 3から 5のいずれかに記載の通信管理システム。

[7] 前記ピア 'ツー'ピア通信において、前記ノードから他の装置へ送信されるコンテンッの識別情報が、前記データベースに登録された識別情報と一致した場合、前記処理実行回路は、そのコンテンツの送信を遮断することを特徴とする請求項 3から 6の V、ずれかに記載の通信管理システム。

[8] 前記ピア 'ツー'ピア通信において、前記ノードから他の装置へ送信されるコンテンッの識別情報が、前記データベースに登録された識別情報と一致した場合、前記処理実行回路は、そのコンテンツを、そのコンテンツの流通を制限すべき旨の警告を発する警告コンテンツに差し替えることを特徴とする請求項 3から 7のいずれかに記載の通信管理システム。

[9] 前記通信制御装置は、ワイヤードロジック回路により構成されることを特徴とする請求項 1から 8のいずれかに記載の通信管理システム。

[10] ピア ·ツー ·ピア通信を行って、る他のノードとの間でピア ·ツー ·ピア接続して通信を行う端末が前記ノード力受信したコンテンツ力流通を制御すべきコンテンツであつたときに、そのコンテンツの識別情報を検出するステップと、

検出された識別情報を参照して、前記流通を制御すべきコンテンツの送受信を制御するステップと、

を含むことを特徴とする通信管理方法。

[11] ピア 'ツー'ピア通信を行っているノード間で送受信されたコンテンツのうち、流通を制御すべきコンテンッとして検出されたコンテンッの識別情報を格納したデータべ一スと、

を備えることを特徴とする通信制御装置。