(57)【特許請求の範囲】
【請求項１】
通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態としての各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースと、
このセキュリティ処理形態データベースの中から最近利用したセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段と、
このセキュリティ処理形態一時記憶手段に格納した各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定する最新セキュリティ処理形態特定手段と、
送信するパケットに対するセキュリティ処理形態がまず最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別する第１段階セキュリティ処理形態検索手段と、
この第１段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索する第２段階セキュリティ処理形態検索手段と、
この第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態データベースを検索する第３段階セキュリティ処理形態検索手段と、
前記第２段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したとき、このセキュリティ処理形態を前記最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にそのセキュリティ処理形態の参照カウント値を“１”だけカウントアップするカウントアップ手段と、
前記第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したときそのセキュリティ処理形態を参照カウント値の多い順に並べた前記セキュリティ処理形態一時記憶手段の末尾に追加する追加手段と、
前記第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき、前記セキュリティ処理形態一時記憶手段に格納されている各セキュリティ処理形態の参照カウント値をそれぞれ減算する減算手段と、
この減算手段で参照カウント値が“０”となったセキュリティ処理形態を前記セキュリティ処理形態一時記憶手段から削除するセキュリティ処理形態削除手段と、
前記第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を前記最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段
とを具備することを特徴とするセキュリティ処理形態検索管理装置。
【請求項２】
通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態としての各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースと、
このセキュリティ処理形態データベースの中から最近利用したセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段と、
このセキュリティ処理形態一時記憶手段に格納した各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定する最新セキュリティ処理形態特定手段と、
それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のためのアソシエーションデータを格納するアソシエーションデータ格納手段と、
送信するパケットに対するセキュリティ処理形態がまず最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別する第１段階セキュリティ処理形態検索手段と、
この第１段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索する第２段階セキュリティ処理形態検索手段と、
この第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態データベースを検索する第３段階セキュリティ処理形態検索手段と、
前記第２段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したとき、このセキュリティ処理形態を前記最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にそのセキュリティ処理形態の参照カウント値を“１”だけカウントアップするカウントアップ手段と、
前記第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したときそのセキュリティ処理形態を参照カウント値の多い順に並べた前記セキュリティ処理形態一時記憶手段の末尾に追加する追加手段と、
前記第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき、前記セキュリティ処理形態一時記憶手段に格納されている各セキュリティ処理形態の参照カウント値をそれぞれ減算する減算手段と、
この減算手段で参照カウント値が“０”となったセキュリティ処理形態を前記セキュリティ処理形態一時記憶手段から削除するセキュリティ処理形態削除手段と、
前記第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を前記最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段と、
前記第１〜第３段階セキュリティ処理形態検索手段によって該当するセキュリティ処理形態が検索されたとき前記アソシエーションデータ格納手段から対応するアソシエーションデータを検索するアソシエーションデータ検索手段
とを具備することを特徴とするセキュリティ処理形態検索管理装置。
【請求項３】
通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態としての各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースと、
このセキュリティ処理形態データベースの中から最近利用したセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段と、
このセキュリティ処理形態一時記憶手段に格納した各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定する最新セキュリティ処理形態特定手段と、
それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のための各種アソシエーションデータを格納するアソシエーションデータベースと、
このアソシエーションデータベースの中から最近利用したアソシエーションデータを格納したアソシエーションデータ一時記憶手段と、
このアソシエーションデータ一時記憶手段に格納した各種アソシエーションデータの中で直前に利用したアソシエーションデータを特定する最新アソシエーションデータ特定手段と、
送信するパケットに対するセキュリティ処理形態がまず最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別する第１段階セキュリティ処理形態検索手段と、
この第１段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索する第２段階セキュリティ処理形態検索手段と、
この第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態データベースを検索する第３段階セキュリティ処理形態検索手段と、
前記第２段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したとき、このセキュリティ処理形態を前記最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にそのセキュリティ処理形態の参照カウント値を“１”だけカウントアップするカウントアップ手段と、
前記第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したときそのセキュリティ処理形態を参照カウント値の多い順に並べた前記セキュリティ処理形態一時記憶手段の末尾に追加する追加手段と、
前記第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき、前記セキュリティ処理形態一時記憶手段に格納されている各セキュリティ処理形態の参照カウント値をそれぞれ減算する減算手段と、
この減算手段で参照カウント値が“０”となったセキュリティ処理形態を前記セキュリティ処理形態一時記憶手段から削除するセキュリティ処理形態削除手段と、
前記第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致しなかったとき前記セキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を前記最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段と、
前記第１〜第３段階セキュリティ処理形態検索手段によって該当するセキュリティ処理形態が検索されたとき、これにリンクするアソシエーションデータが前記最新アソシエーションデータ特定手段で特定されたアソシエーションデータと一致するかどうかを判別する第１段階アソシエーションデータ検索手段と、
この第１段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったとき前記アソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索する第２段階アソシエーションデータ検索手段と、
この第２段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったとき前記アソシエーションデータベースを検索する第３段階アソシエーションデータ検索手段と、
とを具備することを特徴とするセキュリティ処理形態検索管理装置。
【請求項４】
アソシエーションデータ一時記憶手段に格納されたアソシエーションデータのうち検索により一致しなかった時間が予め定めた値を超過したものをこのアソシエーションデータ一時記憶手段から削除するアソシエーションデータ一時記憶手段管理手段を具備することを特徴とする請求項２または請求項３記載のセキュリティ処理形態検索管理装置。
【請求項５】
前記アソシエーションデータ一時記憶手段は、アソシエーションデータを使用頻度順に格納しており、第２段階アソシエーションデータ検索手段は使用頻度の高い順に検索を行うことを特徴とする請求項２または請求項３記載のセキュリティ処理形態検索管理装置。
【請求項６】
それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のための各種アソシエーションデータを格納するアソシエーションデータベースと、
このアソシエーションデータベースの中から最近利用したアソシエーションデータを格納したアソシエーションデータ一時記憶手段と、
このアソシエーションデータ一時記憶手段に格納した各種アソシエーションデータの中で直前に利用したアソシエーションデータを特定する最新アソシエーションデータ特定手段と、
通信ネットワークから受信したパケットの受信パケット情報を基にして該当するアソシエーションデータが前記最新アソシエーションデータ特定手段で特定したアソシエーションデータであるかどうかを判別する第１段階アソシエーションデータ検索手段と、
この第１段階アソシエーションデータ検索手段による判別ではアソシエーションデータが一致しなかったとき前記アソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索する第２段階アソシエーションデータ検索手段と、
この第２段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったとき前記アソシエーションデータベースを検索する第３段階アソシエーションデータ検索手段と、
前記第２段階アソシエーションデータ検索手段による検索でアソシエーションデータが一致したとき、このアソシエーションデータを前記最新アソシエーションデータ特定手段で特定されたアソシエーションデータとすると共にそのアソシエーションデータの参照カウント値を“１”だけカウントアップするカウントアップ手段と、
前記第３段階アソシエーションデータ検索手段による検索でアソシエーションデータが一致したときそのアソシエーションデータを参照カウント値の多い順に並べた前記アソシエーションデータ一時記憶手段の末尾に追加する追加手段と、
前記第２段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったとき、前記アソシエーションデータ一時記憶手段に格納されている各アソシエーションデータの参照カウント値をそれぞれ減算する減算手段と、
この減算手段で参照カウント値が“０”となったアソシエーションデータを前記アソシエーションデータ一時記憶手段から削除するアソシエーションデータ削除手段と、
前記第３段階アソシエーションデータ検索手段による検索でアソシエーションデータが一致しなかったとき前記セアソシエーションデータ一時記憶手段の先頭に存在するアソシエーションデータを前記最新アソシエーションデータ特定手段で特定されたアソシエーションデータとすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段と、
これら第１〜第３段階のアソシエーションデータ検索手段のいずれかで検索されたアソシエーションデータにリンクするポリシデータを検索するポリシデータ検索手段と、
このポリシデータ検索手段で検索されたポリシデータを基にして前記通信ネットワークから受信したパケットの処理を続行するか否かを判別するパケット処理続行有無判別手段
とを具備することを特徴とするセキュリティ処理形態検索管理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は通信ネットワークに送出したり通信ネットワークから受信するパケットにおけるセキュリティ処理形態の検索処理やその他の管理を行うセキュリティ処理形態検索管理装置に関する。
【０００２】
【従来の技術】
インターネット網を介して通信を行う際に、データ送受信の安全性を確保する必要がある場合が多い。このため、要求されたサービスの提供に必要な暗号鍵を配備して、ＩＰ（internet protocol）層におけるセキュリティ・サービスを提供する公開鍵を使用したＩＰセキュリティサービスが注目されている。
【０００３】
図２１は、従来のネットワークシステムの一例を表わしたものである。インターネット網１０１は、セキュリティの管理を行うためのセキュリティ処理形態検索管理装置１０２1、１０２2、……１０２Nを介して、複数の通信端末１０３からなる通信端末群１０４1、１０４2、…………１０４Nと接続されている他、独自にセキュリティ処理形態検索管理装置と同様の機能を備えた通信端末１０５1、……１０５Mと接続されている。
【０００４】
通信端末群１０４1はセキュリティ処理形態検索管理装置１０２1を有しており、同様のセキュリティ処理形態検索管理装置１０２2、……１０２Nを備えた通信端末群１０４2、…………１０４Nとの間で送受信するパケットについてセキュリティ処理の適用の有無やセキュリティ処理を採用する場合のセキュリティ処理の形態等をこれで指定するようになっている。通信端末１０５1、……１０５Mと通信端末群１０４1、１０４2、…………１０４Nとの間の通信でも、必要に応じてセキュリティサービスを利用することができる。
【０００５】
図２２は従来のネットワークシステムで使用された第１のセキュリティ処理形態検索管理装置の構成を表わしたものである。第１のセキュリティ処理形態検索管理装置１０２1は、パケット送信処理部１１１と、このパケット送信処理部１１１に接続されたセキュリティデータ管理部１１２と、セキュリティデータ管理部１１２に同じく接続されたパケット受信処理部１１３およびセキュリティポリシデータベース１１４ならびにセキュリティアソシエーションデータベース１１５から構成されている。セキュリティデータ管理部１１２内はセキュリティポリシデータを管理するセキュリティポリシデータ管理部１１６と、セキュリティアソシエーションデータを管理するセキュリティアソシエーションデータ管理部１１７によって構成されている。セキュリティポリシデータベース１１４には、セキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態としてのポリシデータが所定の順序で格納されており、セキュリティアソシエーションデータベース１１５には、それぞれのポリシデータ（セキュリティ処理形態）にリンクしたパケットの認証あるいは暗号化のためのアソシエーションデータが同様に所定の順序で格納されている。なお、第２〜第Ｎのセキュリティ処理形態検索管理装置１０２2、……１０２Nも第１のセキュリティ処理形態検索管理装置１０２1と実質的に同一の構成となっているので、これらの説明を省略する。
【０００６】
このような従来の第１のセキュリティ処理形態検索管理装置１０２1では、パケット送信処理部１１１からセキュリティデータ管理部１１２にパケット単位でセキュリティ処理に関する検索依頼がくると、セキュリティポリシデータ管理部１１６はセキュリティポリシデータベース１１４の先頭のポリシデータから登録順に検索を行うようになっている。また、パケット受信処理部１１３からセキュリティデータ管理部１１２に検索依頼がくると、セキュリティアソシエーションデータ管理部１１７はセキュリティアソシエーションデータベース１１５の先頭のアソシエーションデータから登録順に検索を行うようになっている。
【０００７】
【発明が解決しようとする課題】
このような従来のセキュリティ処理形態検索管理装置を使用すると、目的のポリシデータあるいはアソシエーションデータを取得しようとするとき、これらの検索をそれぞれ対応するデータベースで登録順に行う。したがって、セキュリティポリシデータベース１１４の先頭のポリシデータから登録順に検索を行うようになっている。また、パケット受信処理部１１３あるいはセキュリティアソシエーションデータベース１１５の登録が後で行われたポリシデータあるいはアソシエーションデータについては登録順の検索が終了するまでにある程度の時間を要するので、送信または受信時のパケットの処理能力を低下させるといった問題があった。
【０００８】
特に、パケットにセキュリティを施すネットワークおよび個人接続者が増加している現在、セキュリティデータベースの登録が飛躍的に増加しており、パケットの処理の遅延の現象は今後ますます顕著となる可能性がある。
【０００９】
そこで本発明の目的は、セキュリティデータベースの規模が増大しても目的のポリシデータあるいはアソシエーションデータを効率的に検索することのできるセキュリティ処理形態検索管理装置を提供することにある。
【００１０】
【課題を解決するための手段】
請求項１記載の発明では、（イ）通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態としての各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースと、（ロ）このセキュリティ処理形態データベースの中から最近利用したセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段と、（ハ）このセキュリティ処理形態一時記憶手段に格納した各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定する最新セキュリティ処理形態特定手段と、（ニ）送信するパケットに対するセキュリティ処理形態がまず最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別する第１段階セキュリティ処理形態検索手段と、（ホ）この第１段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったときセキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索する第２段階セキュリティ処理形態検索手段と、（へ）この第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったときセキュリティ処理形態データベースを検索する第３段階セキュリティ処理形態検索手段と、（ト）第２段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したとき、このセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にそのセキュリティ処理形態の参照カウント値を“１”だけカウントアップするカウントアップ手段と、（チ）第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したときそのセキュリティ処理形態を参照カウント値の多い順に並べたセキュリティ処理形態一時記憶手段の末尾に追加する追加手段と、（リ）第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき、セキュリティ処理形態一時記憶手段に格納されている各セキュリティ処理形態の参照カウント値をそれぞれ減算する減算手段と、（ヌ）この減算手段で参照カウント値が“０”となったセキュリティ処理形態をセキュリティ処理形態一時記憶手段から削除するセキュリティ処理形態削除手段と、（ル）第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致しなかったときセキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段とをセキュリティ処理形態検索管理装置に具備させる。
【００１１】
すなわち請求項１記載の発明では、各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースだけでなく、これから最近利用されたセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段を用意し、更に最新セキュリティ処理形態特定手段によって各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定するようにしている。したがって、通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等を調べようとするときには、まず第１段階セキュリティ処理形態検索手段によって最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別すれば、直前に通信ネットワークに送出したパケットに続行する同一宛先のパケットのような場合には、直ちにそのセキュリティ処理の内容を判断することができる。また、第１段階セキュリティ処理形態検索手段では一致が検出されなかったような場合には、第２段階セキュリティ処理形態検索手段によってセキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索することにしているので、膨大なセキュリティ処理形態データベースを検索しないでもヒットする場合があり、この場合には必要なセキュリティ処理形態を迅速に見出すことができる。しかも本発明では、セキュリティ処理形態にそれぞれ参照カウント値を導入して、セキュリティ処理形態一時記憶手段に格納されるセキュリティ処理形態の数が多くならないように削除についての管理を行うと共に、セキュリティ処理形態データベースに該当するセキュリティ処理形態が存在せずにエラー処理を行った場合にも次のセキュリティ処理形態の検索を効率的に行えるようにセキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とする工夫を行っている。
【００１２】
請求項２記載の発明では、（イ）通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態としての各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースと、（ロ）このセキュリティ処理形態データベースの中から最近利用したセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段と、（ハ）このセキュリティ処理形態一時記憶手段に格納した各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定する最新セキュリティ処理形態特定手段と、（ニ）それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のためのアソシエーションデータを格納するアソシエーションデータ格納手段と、（ホ）送信するパケットに対するセキュリティ処理形態がまず最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別する第１段階セキュリティ処理形態検索手段と、（へ）この第１段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったときセキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索する第２段階セキュリティ処理形態検索手段と、（ト）この第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったときセキュリティ処理形態データベースを検索する第３段階セキュリティ処理形態検索手段と、（チ）第２段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したとき、このセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にそのセキュリティ処理形態の参照カウント値を“１”だけカウントアップするカウントアップ手段と、（リ）第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したときそのセキュリティ処理形態を参照カウント値の多い順に並べたセキュリティ処理形態一時記憶手段の末尾に追加する追加手段と、（ヌ）第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき、セキュリティ処理形態一時記憶手段に格納されている各セキュリティ処理形態の参照カウント値をそれぞれ減算する減算手段と、（ル）この減算手段で参照カウント値が“０”となったセキュリティ処理形態をセキュリティ処理形態一時記憶手段から削除するセキュリティ処理形態削除手段と、（ヲ）第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致しなかったときセキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段と、（ワ）第１〜第３段階セキュリティ処理形態検索手段によって該当するセキュリティ処理形態が検索されたときアソシエーションデータ格納手段から対応するアソシエーションデータを検索するアソシエーションデータ検索手段とをセキュリティ処理形態検索管理装置に具備させる。
【００１３】
すなわち請求項２記載の発明では、各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースだけでなく、これから最近利用されたセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段を用意し、更に最新セキュリティ処理形態特定手段によって各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定するようにしている。したがって、通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等を調べようとするときには、まず第１段階セキュリティ処理形態検索手段によって最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別すれば、直前に通信ネットワークに送出したパケットに続行する同一宛先のパケットのような場合には、直ちにそのセキュリティ処理の内容を判断することができる。また、第１段階セキュリティ処理形態検索手段では一致が検出されなかったような場合には、第２段階セキュリティ処理形態検索手段によってセキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索することにしているので、膨大なセキュリティ処理形態データベースを検索しないでもヒットする場合があり、この場合には必要なセキュリティ処理形態を迅速に見出すことができる。そして、アソシエーションデータ検索手段を用いて、検索で該当したセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のためのアソシエーションデータを検索し、パケットを認証または暗号化して送信することになる。しかも本発明では、セキュリティ処理形態にそれぞれ参照カウント値を導入して、セキュリティ処理形態一時記憶手段に格納されるセキュリティ処理形態の数が多くならないように削除についての管理を行うと共に、セキュリティ処理形態データベースに該当するセキュリティ処理形態が存在せずにエラー処理を行った場合にも次のセキュリティ処理形態の検索を効率的に行えるようにセキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とする工夫を行っている。
【００１４】
請求項３記載の発明では、（イ）通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態としての各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースと、（ロ）このセキュリティ処理形態データベースの中から最近利用したセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段と、（ハ）このセキュリティ処理形態一時記憶手段に格納した各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定する最新セキュリティ処理形態特定手段と、（ニ）それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のための各種アソシエーションデータを格納するアソシエーションデータベースと、（ホ）このアソシエーションデータベースの中から最近利用したアソシエーションデータを格納したアソシエーションデータ一時記憶手段と、（へ）このアソシエーションデータ一時記憶手段に格納した各種アソシエーションデータの中で直前に利用したアソシエーションデータを特定する最新アソシエーションデータ特定手段と、（ト）送信するパケットに対するセキュリティ処理形態がまず最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別する第１段階セキュリティ処理形態検索手段と、（チ）この第１段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったときセキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索する第２段階セキュリティ処理形態検索手段と、（リ）この第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったときセキュリティ処理形態データベースを検索する第３段階セキュリティ処理形態検索手段と、（ヌ）第２段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したとき、このセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にそのセキュリティ処理形態の参照カウント値を“１”だけカウントアップするカウントアップ手段と、（ル）第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致したときそのセキュリティ処理形態を参照カウント値の多い順に並べたセキュリティ処理形態一時記憶手段の末尾に追加する追加手段と、（ヲ）第２段階セキュリティ処理形態検索手段による検索ではセキュリティ処理形態が一致しなかったとき、セキュリティ処理形態一時記憶手段に格納されている各セキュリティ処理形態の参照カウント値をそれぞれ減算する減算手段と、（ワ）この減算手段で参照カウント値が“０”となったセキュリティ処理形態をセキュリティ処理形態一時記憶手段から削除するセキュリティ処理形態削除手段と、（カ）第３段階セキュリティ処理形態検索手段による検索でセキュリティ処理形態が一致しなかったときセキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段と、（ヨ）第１〜第３段階セキュリティ処理形態検索手段によって該当するセキュリティ処理形態が検索されたとき、これにリンクするアソシエーションデータが最新アソシエーションデータ特定手段で特定されたアソシエーションデータと一致するかどうかを判別する第１段階アソシエーションデータ検索手段と、（タ）この第１段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったときアソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索する第２段階アソシエーションデータ検索手段と、（レ）この第２段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったときアソシエーションデータベースを検索する第３段階アソシエーションデータ検索手段とをセキュリティ処理形態検索管理装置に具備させる。
【００１５】
すなわち請求項３記載の発明では、各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースだけでなく、これから最近利用されたセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段を用意し、更に最新セキュリティ処理形態特定手段によって各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定するようにしている。したがって、通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等を調べようとするときには、まず第１段階セキュリティ処理形態検索手段によって最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別すれば、直前に通信ネットワークに送出したパケットに続行する同一宛先のパケットのような場合には、直ちにそのセキュリティ処理の内容を判断することができる。また、第１段階セキュリティ処理形態検索手段では一致が検出されなかったような場合には、第２段階セキュリティ処理形態検索手段によってセキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索することにしているので、膨大なセキュリティ処理形態データベースを検索しないでもヒットする場合があり、この場合には必要なセキュリティ処理形態を迅速に見出すことができる。そして、アソシエーションデータ検索手段を用いて、検索で該当したセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のためのアソシエーションデータを検索し、パケットを認証または暗号化して送信することになる。しかも本発明では、セキュリティ処理形態にそれぞれ参照カウント値を導入して、セキュリティ処理形態一時記憶手段に格納されるセキュリティ処理形態の数が多くならないように削除についての管理を行うと共に、セキュリティ処理形態データベースに該当するセキュリティ処理形態が存在せずにエラー処理を行った場合にも次のセキュリティ処理形態の検索を効率的に行えるようにセキュリティ処理形態一時記憶手段の先頭に存在するセキュリティ処理形態を最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態とする工夫を行っている。
【００１６】
ここでアソシエーションデータの検索について請求項３記載の発明では、それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のための各種アソシエーションデータを格納するアソシエーションデータベースの他に、このアソシエーションデータベースの中から最近利用したアソシエーションデータを格納したアソシエーションデータ一時記憶手段と、このアソシエーションデータ一時記憶手段に格納した各種アソシエーションデータの中で直前に利用したアソシエーションデータを特定する最新アソシエーションデータ特定手段とを用意している。したがって、第１〜第３段階セキュリティ処理形態検索手段によって該当するセキュリティ処理形態が検索されたとき、まず第１段階アソシエーションデータ検索手段によって最新アソシエーションデータ特定手段で特定されたアソシエーションデータと一致するかどうかを判別し、この第１段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったとき第２段階アソシエーションデータ検索手段でアソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索するので、膨大なアソシエーションデータベースをいきなり検索する場合に比べて検索の効率を高めることができ、受信パケットの処理がそれだけ高速化する。
【００１９】
請求項４記載の発明では、請求項２または請求項３記載のセキュリティ処理形態検索管理装置で、アソシエーションデータ一時記憶手段に格納されたアソシエーションデータのうち検索により一致しなかった時間が予め定めた値を超過したものをこのアソシエーションデータ一時記憶手段から削除するアソシエーションデータ一時記憶手段管理手段を具備することを特徴としている。
【００２０】
すなわち請求項４記載の発明では、アソシエーションデータ一時記憶手段管理手段を設けることによって、アソシエーションデータベースからアソシエーションデータ一時記憶手段に追加的に格納されるアソシエーションデータが多くなりすぎることによる検索処理の非効率化を防止することができる。
【００２１】
請求項５記載の発明では、請求項２または請求項３記載のセキュリティ処理形態検索管理装置で、アソシエーションデータ一時記憶手段は、アソシエーションデータを使用頻度順に格納しており、第２段階アソシエーションデータ検索手段は使用頻度の高い順に検索を行うことを特徴としている。
【００２２】
すなわち請求項５記載の発明では、アソシエーションデータ一時記憶手段は、アソシエーションデータを使用頻度順に格納しているので、第２段階アソシエーションデータ検索手段は使用頻度の高い順に検索を行うことができ、それだけ検索が早期にヒットする可能性が高くなるので、パケットの処理の効率化を図ることができる。
【００２３】
請求項６記載の発明では、（イ）それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のための各種アソシエーションデータを格納するアソシエーションデータベースと、（ロ）このアソシエーションデータベースの中から最近利用したアソシエーションデータを格納したアソシエーションデータ一時記憶手段と、（ハ）このアソシエーションデータ一時記憶手段に格納した各種アソシエーションデータの中で直前に利用したアソシエーションデータを特定する最新アソシエーションデータ特定手段と、（ニ）通信ネットワークから受信したパケットの受信パケット情報を基にして該当するアソシエーションデータが最新アソシエーションデータ特定手段で特定したアソシエーションデータであるかどうかを判別する第１段階アソシエーションデータ検索手段と、（ホ）この第１段階アソシエーションデータ検索手段による判別ではアソシエーションデータが一致しなかったときアソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索する第２段階アソシエーションデータ検索手段と、（へ）この第２段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったときアソシエーションデータベースを検索する第３段階アソシエーションデータ検索手段と、（ト）第２段階アソシエーションデータ検索手段による検索でアソシエーションデータが一致したとき、このアソシエーションデータを最新アソシエーションデータ特定手段で特定されたアソシエーションデータとすると共にそのアソシエーションデータの参照カウント値を“１”だけカウントアップするカウントアップ手段と、（チ）第３段階アソシエーションデータ検索手段による検索でアソシエーションデータが一致したときそのアソシエーションデータを参照カウント値の多い順に並べたアソシエーションデータ一時記憶手段の末尾に追加する追加手段と、（リ）第２段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったとき、アソシエーションデータ一時記憶手段に格納されている各アソシエーションデータの参照カウント値をそれぞれ減算する減算手段と、（ヌ）この減算手段で参照カウント値が“０”となったアソシエーションデータをアソシエーションデータ一時記憶手段から削除するアソシエーションデータ削除手段と、（ル）第３段階アソシエーションデータ検索手段による検索でアソシエーションデータが一致しなかったときセアソシエーションデータ一時記憶手段の先頭に存在するアソシエーションデータを最新アソシエーションデータ特定手段で特定されたアソシエーションデータとすると共にエラーが生じたことを通知して処理を終了させるエラー時処理終了手段と、（ヲ）これら第１〜第３段階のアソシエーションデータ検索手段のいずれかで検索されたアソシエーションデータにリンクするポリシデータを検索するポリシデータ検索手段と、（ワ）このポリシデータ検索手段で検索されたポリシデータを基にして通信ネットワークから受信したパケットの処理を続行するか否かを判別するパケット処理続行有無判別手段とをセキュリティ処理形態検索管理装置に具備させる。
【００２４】
すなわち請求項６記載の発明では、通信ネットワークからパケットを受信し、その受信パケット情報を基にして該当するアソシエーションデータを検索するとき、膨大な数のアソシエーションデータを格納したセキュリティ処理形態データベースだけでなく、これから最近利用されたアソシエーションデータを抜き出して格納したアソシエーションデータ一時記憶手段を用意し、更に最新アソシエーションデータ特定手段によって各種のアソシエーションデータの中で直前に利用したアソシエーションデータを特定するようにしている。したがって、受信したそれぞれのパケットの処理方法について調べるときに、まず第１段階アソシエーションデータ検索手段によって最新アドレス情報特定手段で特定されたアドレス情報と一致するかどうかを判別すれば、直前に受信したパケットに続行する同一発信元のパケットのような場合には、直ちにその処理の内容を判断することができる。また、第１段階アソシエーションデータ検索手段では一致が検出されなかったような場合には、第２段階アドレス情報検索手段によってアソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索することにしているので、膨大なアソシエーションデータベースを検索しないでもヒットする場合があり、この場合には必要なアソシエーションデータを迅速に見出すことができる。従って、受信したパケットの処理が高速化する。しかも本発明では、アソシエーションデータにそれぞれ参照カウント値を導入して、アソシエーションデータ一時記憶手段に格納されるアソシエーションデータの数が多くならないように削除についての管理を行うと共に、アソシエーションデータベースに該当するアソシエーションデータが存在せずにエラー処理を行った場合にも次のアソシエーションデータの検索を効率的に行えるようにアソシエーションデータ一時記憶手段の先頭に存在するアソシエーションデータを最新アソシエーションデータ特定手段で特定されたアソシエーションデータとする工夫を行っている。
【００２５】
【発明の実施の形態】
【００２６】
【実施例】
以下実施例につき本発明を詳細に説明する。
【００２７】
図１は本発明のセキュリティ処理形態検索管理装置を使用したネットワークシステムの一例を表わしたものである。この図１で図２１と同一部分には同一の符号を付しており、これらの説明は適宜省略する。インターネット網１０１には、セキュリティの管理を行うための本実施例のセキュリティ処理形態検索管理装置２０２1、２０２2、……２０２Nを介して、複数の通信端末１０３からなる通信端末群１０４1、１０４2、…………１０４Nが接続されている他、独自にセキュリティ処理形態検索管理装置と同様の機能を備えた通信端末２０５1、……２０５Mが接続されている。
【００２８】
通信端末群１０４1はセキュリティ処理形態検索管理装置２０２1を有しており、同様のセキュリティ処理形態検索管理装置２０２2、……２０２Nを備えた通信端末群１０４2、…………１０４Nとの間で送受信するパケットについてセキュリティ処理の適用の有無やセキュリティ処理を採用する場合のセキュリティ処理の形態等をこれで指定するようになっている。通信端末２０５1、……２０５Mと通信端末群１０４1、１０４2、…………１０４Nとの間の通信でも、必要に応じてセキュリティサービスを利用することができる。
【００２９】
図２は、本実施例における第１のセキュリティ処理形態検索管理装置の構成を表わしたものである。第２〜第Ｎのセキュリティ処理形態検索管理装置２０２2、……２０２Nも第１のセキュリティ処理形態検索管理装置２０２1と実質的に同一の装置構成となっているので、これらの説明は省略する。
【００３０】
第１のセキュリティ処理形態検索管理装置２０２1は、図１における通信端末群１０４1の通信端末１０３からパケットの送信の受け付けを行って、後に説明するセキュリティ処理に関する検索処理を行った結果得られたセキュリティアソシエーションデータに基づいてパケットを認証・暗号化して送信を行うパケット送信処理部２１１と、このパケット送信処理部２１１に接続されセキュリティデータの参照管理を行うセキュリティデータ参照管理部２１２と、このセキュリティデータ参照管理部２１２と接続され、受信したパケットの処理を行うパケット受信処理部２１３と、セキュリティポリシデータの管理を行うセキュリティポリシデータ管理部２１４およびセキュリティアソシエーションデータの管理を行うセキュリティアソシエーションデータ管理部２１５の２つの管理部を備えている。セキュリティデータ参照管理部２１２内には、一度参照したセキュリティポリシデータを管理する参照済みセキュリティポリシデータ管理手段２１６と、同じく一度参照したセキュリティアソシエーションデータを管理する参照済みセキュリティアソシエーションデータ管理手段２１７が備えられており、ポリシデータおよび認証・暗号化データとしてのアソシエーションデータの管理を行うようになっている。セキュリティポリシデータ管理部２１４には、ポリシデータの管理を行うポリシデータ管理手段２２１とポリシデータの検索を行うポリシデータ検索手段２２２が備えられており、セキュリティアソシエーションデータ管理部２１５にはアソシエーションデータの管理を行うアソシエーションデータ管理手段２２３とアソシエーションデータの検索を行うアソシエーションデータ検索手段２２４が備えられている。
【００３１】
参照済みセキュリティポリシデータ管理手段２１６内には、最近使用した複数のポリシデータのリストを格納するセキュリティポリシリスト２２５が配置されており、一番最近使用されたポリシデータにはフラグ２２６が立っている。参照済みセキュリティアソシエーションデータ管理手段２１７には、認証用の同様の認証データリスト２２７と、暗号用の暗号データリスト２２８が配置されている。これらについても一番最近使用されたものについてそれぞれのフラグ２２９、２３０が立っている。セキュリティポリシデータ管理部２１４には各種のポリシデータを格納するセキュリティポリシデータベース２３２が配置されており、セキュリティアソシエーションデータ管理部２１５には各種のアソシエーションデータを格納するセキュリティアソシエーションデータベース２３４が配置されている。
【００３２】
装置の動作の概要
【００３３】
ところで、ポリシデータとは送信しようとしているパケットについてセキュリティ処理の適用の有無等の採用しうるセキュリティ処理の形態を定義しているデータである。定義内容としては、宛先ＩＰアドレス、自ＩＰアドレス、宛先ポート番号、自ポート番号、プロトコル番号認証・暗号化を行うまたは行わないことを示す情報、適用するアソシエーションデータの指定等がある。セキュリティアソシエーションデータとは、送信するパケットにどのようなセキュリティサービスを提供するかを定義したデータである。定義内容としては、セキュリティアソシエーションインデックス値、認証・暗号化の指定、認証・暗号化のアルゴリズムの指定、ポリシデータとのリンケージ等がある。
【００３４】
第１のセキュリティ処理形態検索管理装置２０２1内のパケット送信処理部２１１は、図１に示した複数の通信端末１０３からなる通信端末群１０４1から送信データを受信しパケット送信のための処理を開始すると、セキュリティデータ参照管理部２１２に対してセキュリティポリシデータの検索要求を行うようになっている。セキュリティデータ参照管理部２１２はこの検索要求を受けると、パケット送信処理部２１１からのセレクタデータに対するセキュリティポリシデータの検索を行う。ここでセレクタデータとは、そのパケットを特定するためのデータである。セレクタデータは、宛先ＩＰアドレス、自ＩＰアドレス、宛先ポート番号、プロトコル番号等を定義している。
【００３５】
検索には参照済みセキュリティポリシデータ管理手段２１６が使用される。参照済みセキュリティポリシデータ管理手段２１６はパケット送信処理部２１１から検索依頼を受けると、依頼されたセレクタデータとセキュリティポリシリスト２２５におけるフラグ２２６が立った最新参照ポリシデータ２４１とを比較する。これは、相次いで同一の送信元の通信端末１０３からパケットの送信を依頼される可能性が高いためである。この比較作業で最新参照ポリシデータ２４１が依頼されたセレクタデータと一致する場合には、その最新参照ポリシデータ２４１で指定されたセキュリティアソシエーションデータを参照済みセキュリティアソシエーションデータ管理手段２１７から読み出してパケット送信処理部２１１に通知する。
【００３６】
もし、依頼されたセレクタデータと最新参照ポリシデータ２４１とが一致しなかった場合には、セキュリティポリシリスト２２５内の他のポリシデータについて検索が行われる。一致するポリシデータがあった場合にはそのポリシデータで指定されたセキュリティアソシエーションデータを参照済みセキュリティアソシエーションデータ管理手段２１７から読み出してパケット送信処理部２１１に通知すると共に、これを最新参照ポリシデータ２４１に変更する。これは、次回の同様の検索をより効率的にするためである。
【００３７】
セキュリティポリシリスト２２５内にセレクタデータと一致するポリシデータがなかった場合、セキュリティデータ参照管理部２１２はセキュリティポリシデータ管理部２１４に対して検索を依頼する。セキュリティポリシデータ管理部２１４は、この依頼を受けるとセキュリティポリシデータベース２３２内を同様に検索する。ただしこのときにはセキュリティポリシリスト２２５ですでに検索したポリシデータの検索を省略する。検索結果は、セキュリティデータ参照管理部２１２に通知される。セキュリティデータ参照管理部２１２は、セレクタデータと一致するポリシデータがあるとする検索結果の場合にはそのポリシデータをセキュリティポリシリスト２２５に登録し、そのポリシデータで指定されているアソシエーションデータをパケット送信処理部２１１に通知する。
【００３８】
また、セキュリティデータ参照管理部２１２はパケット受信処理部２１３からアイソレーション特定データを指定してセキュリティアソシエーションデータの検索要求を受けるようになっている。ここでアイソレーション特定データとは、そのパケットに提供されているセキュリティサービスを特定するためのデータである。アイソレーション特定データは、宛先ＩＰアドレス、プロトコル番号、セキュリティアイソレーションインデックス値等を定義している。セキュリティアソシエーションデータの検索の要求を受けると、セキュリティデータ参照管理部２１２はこの検索を行うためにこれが認証に関するものであるか、あるいは暗号化に関するものであるかを分析する。
【００３９】
この検索が認証に関するものであれば、フラグ２２９が立っている最新参照認証アソシエーションデータ２３６と比較を行う。この結果、両者が一致すればそのアソシエーションデータをパケット受信処理部２１３に通知する。両者が一致しないならば、認証データリスト２２７内の検索を行う。そして、一致するアソシエーションデータがあればこれを最新参照認証アソシエーションデータ２３６に変更すると共に、そのアソシエーションデータをパケット受信処理部２１３に通知する。
【００４０】
認証データリスト２２７内に一致するアソシエーションデータがなかった場合、セキュリティデータ参照管理部２１２はセキュリティアソシエーションデータ管理部２１５に検索を依頼する。セキュリティアソシエーションデータ管理部２１５はこの依頼を受けるとセキュリティアソシエーションデータベース２３４内を検索し、検索結果をセキュリティデータ参照管理部２１２に通知する。この検索時には認証データリスト２２７ですでに比較を行ったアソシエーションデータの検索は省略する。セキュリティデータ参照管理部２１２は、検索結果が一致した旨の通知があった場合にはそのアソシエーションデータを認証データリスト２２７に登録すると共にこれをパケット受信処理部２１３に通知する。
【００４１】
一方、検索が暗号に関するものであれば、フラグ２３０が立っている最新参照暗号アソシエーションデータ２３７と比較を行う。この結果、両者が一致すればそのアソシエーションデータをパケット受信処理部２１３に通知する。両者が一致しないならば、暗号データリスト２２８内の検索を行う。そして、一致するアソシエーションデータがあればこれを最新参照暗号アソシエーションデータ２３７に変更すると共に、そのアソシエーションデータをパケット受信処理部２１３に通知する。
【００４２】
暗号データリスト２２８内に一致するアソシエーションデータがなかった場合、セキュリティデータ参照管理部２１２はセキュリティアソシエーションデータ管理部２１５に検索を依頼する。セキュリティアソシエーションデータ管理部２１５はこの依頼を受けるとセキュリティアソシエーションデータベース２３４内を検索し、検索結果をセキュリティデータ参照管理部２１２に通知する。この検索時には暗号データリスト２２８ですでに比較を行ったアソシエーションデータの検索は省略する。セキュリティデータ参照管理部２１２は、検索結果が一致した旨の通知があった場合にはそのアソシエーションデータを暗号データリスト２２８に登録すると共にこれをパケット受信処理部２１３に通知する。
【００４３】
以上説明した手順によって、アクセスが多いポリシデータやアソシエーションデータについては優先して検索処理が行われることになる。このため、頻繁に送受信されるパケットについてはセキュリティデータベースの検索処理時間が短縮され、パケットの処理能力を向上させることができる。
【００４４】
パケット送信処理部に対する制御
【００４５】
図３は、セキュリティポリシデータの検索要求が行われた際のセキュリティデータ参照管理部の制御を具体的に表わしたものである。セキュリティデータ参照管理部２１２は図示しないＣＰＵ（中央処理装置）を備えており、同じく図示しないハードディスク等の記憶媒体に格納した制御用のプログラムを実行することでセキュリティポリシデータの検索等の所定の制御を行うようになっている。
【００４６】
まずセキュリティデータ参照管理部２１２は参照済みセキュリティポリシデータ管理手段２１６内における最新参照ポリシデータ２４１を読み出して、これがパケット送信処理部２１１から送られてきたセレクタデータと一致するかどうかを判別する（ステップＳ３０１）。両者が一致すれば（Ｙ）、最新参照ポリシデータ２４１の参照カウント値を“１”だけカウントアップする（ステップＳ３０２）。そして、セキュリティポリシリスト２２５におけるそれより１つ前のポリシデータについての参照カウント値よりも大きいかどうかを判別する（ステップＳ３０３）。大きければ（Ｙ）、セキュリティポリシリスト２２５内におけるこれらの位置を入れ替える（ステップＳ３０４）。すなわち、これによりその最新参照ポリシデータ２４１は１つだけその格納位置を上位に繰り上げる。ステップＳ３０３の判断がこれ以外の場合には（Ｎ）、このような位置の入れ替えを行うことなく次のステップに進む。
【００４７】
ステップＳ３０５では、このようにしてセレクタデータと一致したポリシデータからセキュリティアイソレーションデータを抽出する。そしてこのセキュリティアイソレーションデータをパケット送信処理部２１１に通知する（ステップＳ３０６）。
【００４８】
一方、ステップＳ３０１で最新参照ポリシデータ２４１とセレクタデータが一致しないと判断された場合には（Ｎ）、セキュリティポリシリスト２２５の先頭から順次ポリシデータを検索する（ステップＳ３０７）。このとき、検索した段階で検索フラグをオンにするようにしている。次にセレクタデータと一致するポリシデータが見つかったかまたは検索自体が終了したかどうかを判別する（ステップＳ３０８）。ポリシデータが見つからなく、まだセキュリティポリシリスト２２５の検索が終了していない場合には（Ｎ）、検索フラグがオフになっているまだ検索されていないポリシデータの検索が１つずつ行われることになる。
【００４９】
このようにしてセキュリティポリシリスト２２５の中に一致するポリシデータが存在した場合には（ステップＳ３０９：Ｙ）、検索処理のためにオンにした検索フラグをすべてオフに戻し（ステップＳ３１０）、一致したポリシデータを最新参照ポリシデータ２４１に設定する（ステップＳ３１１）。以後、ステップＳ３０２に進んで最新参照ポリシデータ２４１の参照カウントを“１”だけカウントアップする（ステップＳ３０２）。そして、セキュリティポリシリスト２２５におけるそれより１つ前のポリシデータについての参照カウント値よりも大きいかどうかを判別し（ステップＳ３０３）、大きければ（Ｙ）、セキュリティポリシリスト２２５内におけるこれらの位置を入れ替える。すなわち、これによりその最新参照ポリシデータ２４１は１つだけその格納位置を上位に繰り上げられる。ステップＳ３０３の判断がこれ以外の場合には（Ｎ）、このような位置の入れ替えを行うことなく次のステップに進む。ステップＳ３０５では、このようにしてセレクタデータと一致したポリシデータからセキュリティアイソレーションデータを抽出する（ステップＳ３０５）。そしてこのセキュリティアイソレーションデータをパケット送信処理部２１１に通知する（ステップＳ３０６）。
【００５０】
図４は、セキュリティポリシリストの中に一致するポリシデータが存在しなかった場合の処理の様子を表わしたものである。図３のステップＳ３０９でセキュリティポリシリスト２２５の中に一致するポリシデータが存在しなかった場合には、図２に示したセキュリティポリシデータ管理部２１４に対して検索依頼が行われる（ステップＳ３３１）。この検索処理の詳細については後に説明する。
【００５１】
検索の結果、セキュリティポリシデータ管理部２１４内に一致するポリシデータが存在した場合には（ステップＳ３３２：Ｙ）、このポリシデータをセキュリティポリシリスト２２５の最後に追加する（ステップＳ３３３）。次にセキュリティデータ参照管理部２１２の前記したＣＰＵはセキュリティポリシデータ管理部２１４内で一致したこのポリシデータを最新参照ポリシデータ２４１に設定する（ステップＳ３３４）。そして前記した場合と同様にこの最新参照ポリシデータ２４１の参照カウント値を“１”だけカウントアップする（ステップＳ３３５）。この場合にはカウント値を初期値から“１”だけカウントアップすることになる。したがって、たとえば初期値が“０”であればカウント値は“１”となる。
【００５２】
次に前記したＣＰＵはセキュリティポリシリスト２２５における検索フラグをすべてオフに初期化し（ステップＳ３３６）、セキュリティポリシデータ管理部２１４内で一致したこのポリシデータからセキュリティアソシエーションデータを抽出する（ステップＳ３３７）。そしてこのセキュリティアソシエーションデータをパケット送信処理部２１１に通知することで（ステップＳ３３８）、処理を終了させる（エンド）。
【００５３】
一方、ステップＳ３３２でセキュリティポリシデータ管理部２１４内にも一致するポリシデータが存在しなかった場合には（Ｎ）、セキュリティポリシリスト２２５における先頭のポリシデータを最新参照ポリシデータ２４１に設定する（ステップＳ３３９）。該当するポリシデータが存在しなかったので、最も多く使用されたポリシデータを次回の検索の際に最初に検索対象となる最新参照ポリシデータ２４１に擬制させるためである。そして、ＣＰＵはセキュリティポリシリスト２２５における検索フラグをすべてオフに初期化し（ステップＳ３４０）、エラーが生じたことをパケット送信処理部２１１に通知して（ステップＳ３４１）、処理を終了させる（エンド）。
【００５４】
図５は、図４のステップＳ３３１で示したセキュリティポリシデータ管理部の検索処理の流れを具体的に表わしたものである。セキュリティポリシデータ管理部２１４はセキュリティデータ参照管理部２１２と共通のあるいは独自のＣＰＵおよび記憶媒体（共に図示せず）を備えており、記憶媒体に格納された制御プログラムに従って検索制御等の所定の制御を行うようになっている。図２に示したセキュリティアソシエーションデータ管理部２１５についても同様である。
【００５５】
さて、セキュリティポリシデータ管理部２１４はセキュリティデータ参照管理部２１２から検索を依頼されるとそのポリシデータ検索手段２２２がセキュリティポリシデータベース２３２の先頭からポリシデータを１つ取り出してセレクタデータとの一致の有無を判別する（ステップＳ３６１）。このとき、検索フラグがオフとなっているものが検索の対象となる。一致するポリシデータがなく検索がまだ終了していない場合には（ステップＳ３６２：Ｎ）、再びステップＳ３６１の処理に戻って次のポリシデータについてセレクタデータとの一致の有無を判別する。このようにして一致するポリシデータが検索された場合には（ステップＳ３６２：Ｙ、Ｓ３６３：Ｙ）、そのポリシデータをセキュリティデータ参照管理部２１２に通知することになる（ステップＳ３６４）。
【００５６】
一方、セキュリティポリシデータベース２３２内をすべて検索したにも係わらず一致するポリシデータが存在しなかった場合には（ステップＳ３６２：Ｙ、Ｓ３６３：Ｎ）、何らかのエラーが発生した可能性がある。そこで、エラーの発生をセキュリティデータ参照管理部２１２に通知して（ステップＳ３６５）、処理を終了することになる（エンド）。
【００５７】
パケット受信処理部に対する制御
【００５８】
図６は、図２に示したパケット受信処理部からセキュリティアソシエーションデータ管理手段が検索依頼を受けた場合の処理の流れを表わしたものである。セキュリティデータ参照管理部２１２内の参照済みセキュリティアソシエーションデータ管理手段２１７がパケット受信処理部２１３から検索依頼を受けると、検索対象のアイソレーション特定データからプロトコル番号の抽出が行われる（ステップＳ３８１）。既に説明したようにアイソレーション特定データは、そのパケットに提供されているセキュリティサービスを特定するためのデータであり、宛先ＩＰアドレス、プロトコル番号、セキュリティアイソレーションインデックス値等を定義している。セキュリティアソシエーションデータの検索の要求を受けると、セキュリティデータ参照管理部２１２はそのプロトコル番号によってこれが図２に示した認証データリスト２２７の検索に関するものであるか、あるいは暗号データリスト２２８に関するものであるかを判別する（ステップＳ３８２）。
【００５９】
認証データリスト２２７の検索の場合には（ステップＳ３８２：Ｙ）、認証データリスト２２７を使用した検索処理が実行される（ステップＳ３８３）。また、これ以外の場合には（ステップＳ３８２：Ｎ）、暗号データリスト２２８を使用した検索処理が実行される（ステップＳ３８４）。これらの詳細については後に説明する。以上の検索処理の実行によって、一致するアソシエーションデータがあった場合には（ステップＳ３８５：Ｙ）、そのアソシエーションデータをパケット受信処理部２１３に通知して（ステップＳ３８６）、処理を終了させる（エンド）。
【００６０】
一方、ステップＳ３８５で一致するアソシエーションデータが存在しないと判別された場合には（Ｎ）、図２に示したセキュリティアソシエーションデータ管理部２１５に検索が依頼される（ステップＳ３８７）。この処理についても後で具体的に説明する。セキュリティアソシエーションデータ管理部２１５の検索の結果として一致するアソシエーションデータが存在した場合には（ステップＳ３８８：Ｙ）、認証データリスト２２７の検索の場合には認証データリスト２２７をアップデートする。またステップＳ３８４で示した暗号データリスト２２８の検索の場合には暗号データリスト２２８をアップデートする（ステップＳ３８９）。この処理についても後に説明する。そしてこの後にセキュリティアソシエーションデータをパケット受信処理部２１３に通知して（ステップＳ３９０）、処理を終了する（エンド）。
【００６１】
ステップＳ３８８でセキュリティアソシエーションデータ管理部２１５内にも一致するアソシエーションデータが存在しないと判別された場合には（Ｎ）、認証データリスト２２７の検索の場合には認証データリスト２２７を初期化する。暗号データリスト２２８の検索の場合には暗号データリスト２２８を初期化することになる（ステップＳ３９１）。この処理についても後に具体的に説明する。そしてこの初期化の後にエラーをパケット受信処理部２１３に通知して（ステップＳ３９２）、処理を終了する（エンド）。
【００６２】
図７は、図６のステップＳ３８３で示した認証データリストの検索処理の様子を具体的に表わしたものである。参照済みセキュリティアソシエーションデータ管理手段２１７は認証データリスト２２７を使用した検索処理が要求されたら最新参照認証アソシエーションデータ２３６とアイソレーション特定データが一致するかをまず判別する（ステップＳ４１１）。これが一致すれば（Ｙ）、最新参照認証アソシエーションデータ２３６についての参照カウント値を“１”だけカウントアップする（ステップＳ４１２）。そして、認証データリスト２２７におけるこの最新参照認証アソシエーションデータ２３６の格納位置よりも１つ上のアソシエーションデータの参照カウント値よりもこれが大きくなったかどうかを判別する（ステップＳ４１３）。大きくなった場合には（Ｙ）、この最新参照認証アソシエーションデータ２３６の格納位置を１つ上に繰り上げる（ステップＳ４１４）。これ以外の場合には（ステップＳ４１３：Ｎ）、認証データリスト２２７内の順位は変更しない。
【００６３】
ステップＳ４１１で最新参照認証アソシエーションデータ２３６とアイソレーション特定データが一致しなかた場合には（Ｎ）、カウント値の高い順に、すなわち認証データリスト２２７の先頭（一番上）から順に１つずつアソシエーションデータを読み出す（ステップＳ４１５）。この読み出しの際には検索フラグがオフになっているものを対象にして、読み出したものは検索フラグをオンにする。読み出したアソシエーションデータについてはアイソレーション特定データと一致するか、あるいは一致しない状態で検索が最後まで終了したかどうかの判別が行われる（ステップＳ４１６）。検索が終了しておらず、かつ一致しなかった場合には（Ｎ）、ステップＳ４１５に戻って同様の処理が繰り返される。
【００６４】
この結果として認証データリスト２２７内にアイソレーション特定データと一致するアソシエーションデータが存在した場合には（ステップＳ４１７：Ｙ）、このリスト内の検索フラグをすべてオフに初期化する（ステップＳ４１８）。そして一致したアソシエーションデータを最新参照認証アソシエーションデータ２３６に設定する（ステップＳ４１９）。そしてステップＳ４１２に進んでこの最新参照認証アソシエーションデータ２３６の参照カウント値を“１”だけカウントアップする。次に、認証データリスト２２７におけるこの最新参照認証アソシエーションデータ２３６の格納位置よりも１つ上のアソシエーションデータの参照カウント値よりもこれが大きくなったかどうかを判別し（ステップＳ４１３）、大きくなった場合には（Ｙ）、この最新参照認証アソシエーションデータ２３６の格納位置を１つ上に繰り上げる（ステップＳ４１４）。これ以外の場合には（ステップＳ４１３：Ｎ）、認証データリスト２２７内の順位は変更しない。
【００６５】
図８は、図６のステップＳ３８４で示した暗号データリストの検索処理の様子を具体的に表わしたものである。参照済みセキュリティアソシエーションデータ管理手段２１７は暗号データリスト２２８を使用した検索処理が要求されたら最新参照暗号アソシエーションデータ２３７とアイソレーション特定データが一致するかをまず判別する（ステップＳ４３１）。これが一致すれば（Ｙ）、最新参照暗号アソシエーションデータ２３７についての参照カウント値を“１”だけカウントアップする（ステップＳ４３２）。そして、暗号データリスト２２８におけるこの最新参照暗号アソシエーションデータ２３７の格納位置よりも１つ上のアソシエーションデータの参照カウント値よりもこれが大きくなったかどうかを判別する（ステップＳ４３３）。大きくなった場合には（Ｙ）、この最新参照暗号アソシエーションデータ２３７の格納位置を１つ上に繰り上げる（ステップＳ４３４）。これ以外の場合には（ステップＳ４３３：Ｎ）、暗号データリスト２２８内の順位は変更しない。
【００６６】
ステップＳ４３１で最新参照暗号アソシエーションデータ２３７とアイソレーション特定データが一致しなかった場合には（Ｎ）、カウント値の高い順に、すなわち暗号データリスト２２８の先頭（一番上）から順に１つずつアソシエーションデータを読み出す（ステップＳ４３５）。この読み出しの際には検索フラグがオフになっているものを対象にして、読み出したものは検索フラグをオンにする。読み出したアソシエーションデータについてはアイソレーション特定データと一致するか、あるいは一致しない状態で検索が最後まで終了したかどうかの判別が行われる（ステップＳ４３６）。検索が終了しておらず、かつ一致しなかった場合には（Ｎ）、ステップＳ４３５に戻って同様の処理が繰り返される。
【００６７】
この結果として暗号データリスト２２８内にアイソレーション特定データと一致するアソシエーションデータが存在した場合には（ステップＳ４３７：Ｙ）、このリスト内の検索フラグをすべてオフに初期化する（ステップＳ４３８）。そして一致したアソシエーションデータを最新参照暗号アソシエーションデータ２３７に設定する（ステップＳ４３９）。そしてステップＳ４３２に進んでこの最新参照暗号アソシエーションデータ２３７の参照カウント値を“１”だけカウントアップする。次に、暗号データリスト２２８におけるこの最新参照暗号アソシエーションデータ２３７の格納位置よりも１つ上のアソシエーションデータの参照カウント値よりもこれが大きくなったかどうかを判別し（ステップＳ４３３）、大きくなった場合には（Ｙ）、この最新参照暗号アソシエーションデータ２３７の格納位置を１つ上に繰り上げる（ステップＳ４３４）。これ以外の場合には（ステップＳ４３３：Ｎ）、暗号データリスト２２８内の順位は変更しない。
【００６８】
図９は、図６のステップＳ３８７の処理を具体的に示したもので、検索が依頼されたセキュリティアソシエーションデータ管理部の処理の流れを示している。図２に示したセキュリティアソシエーションデータ管理部２１５は検索が依頼されると、セキュリティアソシエーションデータベース２３４の先頭から、検索フラグがオフとなっているデータのみを１つずつ読み出してアソシエーションデータの検索を行う（ステップＳ４５１）。検索対象となったアソシエーションデータについては検索フラグがオンに変更される。一致するアソシエーションデータがない場合には、セキュリティアソシエーションデータベース２３４の検索が終了しない限り（ステップＳ４５２：Ｎ）、再びステップＳ４５１に戻って同様の検索処理が続行される。
【００６９】
検索の結果として一致するアソシエーションデータがあった場合には（ステップＳ４５２：Ｙ、Ｓ４５３：Ｙ）、そのアソシエーションデータをセキュリティデータ参照管理部２１２に通知して（ステップＳ４５４）、処理を終了する（エンド）。
【００７０】
これに対して、セキュリティアソシエーションデータベース２３４内に一致するアソシエーションデータがなかった場合には（ステップＳ４５２：Ｙ、Ｓ４５３：Ｎ）、何らかのエラーが発生したことになる。そこでエラーをセキュリティデータ参照管理部２１２に通知して（ステップＳ４５５）、処理を終了する（エンド）。
【００７１】
図１０は、図６のステップＳ３８９の処理として、認証データリストあるいは暗号データリストのアップデートの様子を表わしたものである。まず抽出したプロトコル番号が認証を示すものであるかどうかを判別して（ステップＳ４７１）、認証を示すものであれば認証データリスト２２７の最後に、一致したアソシエーションデータを追加する（ステップＳ４７２）。
【００７２】
次に、認証データリスト２２７に追加したアソシエーションデータを最新参照認証アソシエーションデータ２３６に設定する（ステップＳ４７３）。そしてこの最新参照認証アソシエーションデータ２３６の参照カウント値を“１”だけカウントアップする（ステップＳ４７４）。最後に認証データリスト２２７のアソシエーションデータの各検索フラグをすべてオフに初期化して（ステップＳ４７５）、処理を終了する（エンド）。
【００７３】
ステップＳ４７１でプロトコル番号が認証を示すものでなく暗号化を示すものであった場合には（Ｎ）、暗号データリスト２２８の最後に、一致したアソシエーションデータを追加する（ステップＳ４７６）。
【００７４】
次に、暗号データリスト２２８に追加したアソシエーションデータを最新参照暗号アソシエーションデータ２３７に設定する（ステップＳ４７７）。そしてこの最新参照暗号アソシエーションデータ２３７の参照カウント値を“１”だけカウントアップする（ステップＳ４７８）。最後に暗号データリスト２２８のアソシエーションデータの各検索フラグをすべてオフに初期化して（ステップＳ４７９）、処理を終了する（エンド）。
【００７５】
図１１は、図６のステップＳ３９１の処理として、認証データリストあるいは暗号データリストの初期化の様子を表わしたものである。まず抽出したプロトコル番号が認証を示すものであるかどうかを判別して（ステップＳ４９１）、認証を示すものであれば、一致するアソシエーションデータが無かった場合なので、認証データリスト２２７の先頭のアソシエーションデータを最新参照認証アソシエーションデータ２３６に設定する（ステップＳ４９２）。そして、認証データリスト２２７のアソシエーションデータの各検索フラグをすべてオフに初期化して（ステップＳ４９３）、処理を終了する（エンド）。
【００７６】
ステップＳ４９１でプロトコル番号が認証を示すものでなく暗号化を示すものであった場合には（Ｎ）、同様に一致するアソシエーションデータが無かった場合なので、暗号データリスト２２８の先頭のアソシエーションデータを最新参照暗号アソシエーションデータ２３７に設定する（ステップＳ４９４）。そして、暗号データリスト２２８のアソシエーションデータの各検索フラグをすべてオフに初期化して（ステップＳ４９５）、処理を終了する（エンド）。
【００７７】
図１２および図１３は各データベースとリストとの関係を示したものである。このうち図１２は、セキュリティポリシリスト２２５とセキュリティポリシデータベース２３２の関係およびセキュリティポリシデータベース２３２とセキュリティアソシエーションデータベース２３４の関係を示している。また、図１３は認証データリスト２２７と暗号データリスト２２８のセキュリティアソシエーションデータベース２３４との関係を示している。
【００７８】
図１２で、セキュリティポリシデータベース２３２に格納されているそれぞれのポリシデータ５０１の宛先ＩＰアドレスがセキュリティポリシリスト２２５にポリシデータアドレスとして格納される。セキュリティポリシリスト２２５に格納された各ポリシデータは、このポリシデータアドレスと参照カウント値から構成されており、更に最新参照ポリシデータ２４１の位置にはこれを示すフラグが立っている。セキュリティポリシリスト２２５における各ポリシデータの格納位置はカウント値が大きいほど上になるようになっている。
【００７９】
セキュリティアソシエーションデータベース２３４にはアソシエーションデータ５０２が格納されている。認証データリスト２２７および暗号データリスト２２８には、宛先ＩＰアドレスがそれぞれアソシエーションデータアドレスとして格納されるようになっている。認証データリスト２２７および暗号データリスト２２８には先のセキュリティポリシリスト２２５の場合と同様に参照カウント値を示すデータが収納され、また最新参照認証アソシエーションデータ２３６あるいは最新参照暗号アソシエーションデータ２３７の位置を示すフラグが配置されるようになっている。
【００８０】
本発明の変形例
【００８１】
図１４は、本発明の変形例におけるセキュリティ処理形態検索管理装置の構成を表わしたものである。この図１４で図２と同一部分には同一の符号を付しており、これらの説明を適宜省略する。この変形例のセキュリティ処理形態検索管理装置では、セキュリティデータ参照管理部２１２Ａが新たに参照データ有効管理手段６０１を備えている。参照データ有効管理手段６０１は、セキュリティデータ参照管理部２１２Ａで管理しているセキュリティポリシリスト２２５Ａ、認証データリスト２２７Ａおよび暗号データリスト２２８Ａに対する登録データの増殖を防ぐために登録されているデータの管理を行うようになっている。セキュリティポリシリスト２２５Ａ、認証データリスト２２７Ａおよび暗号データリスト２２８Ａは、先の実施例におけるセキュリティポリシリスト２２５、認証データリスト２２７および暗号データリスト２２８と異なり、個々のポリシデータあるいはアソシエーションデータの管理のためのタイマ情報も格納するようになっている。
【００８２】
図１５は、この参照データ有効管理手段の要部の構成を表わしたものである。参照データ有効管理手段６０１は、タイマ管理テーブル６１１を備えている。タイマ管理テーブル６１１は、この図ではセキュリティポリシリスト２２５Ａを構成する個々のポリシデータのタイマ６１２による管理を行うようになっている。図示しない認証データリスト２２７Ａおよび暗号データリスト２２８Ａについても同様である。すなわち、個々のポリシデータにはタイマ値としての登録期間制限が設定されており、タイマ管理テーブル６１１でこれらの管理を行っている。タイマ値が順次減算された結果として“０”となることで期間が過ぎたポリシデータあるいはアソシエーションデータについては、参照済みセキュリティポリシデータ管理手段２１６あるいは参照済みセキュリティアソシエーションデータ管理手段２１７に期限切れの旨の通知が行われ、これらの削除処理が行われるようになっている。
【００８３】
図１６は、この変形例におけるセキュリティポリシリストのタイマ管理の様子を表わしたものである。まずセキュリティデータ参照管理部２１２Ａは参照済みセキュリティポリシデータ管理手段２１６内における最新参照ポリシデータ２４１を読み出して、これがパケット送信処理部２１１から送られてきたセレクタデータと一致するかどうかを判別する（ステップＳ７０１）。両者が一致すれば（Ｙ）、最新参照ポリシデータ２４１の参照カウント値を“１”だけカウントアップする（ステップＳ７０２）。そして、セキュリティポリシリスト２２５Ａにおけるそれより１つ前のポリシデータについての参照カウント値よりも大きいかどうかを判別する（ステップＳ７０３）。大きければ（Ｙ）、セキュリティポリシリスト２２５Ａ内におけるこれらの位置を入れ替える（ステップＳ７０４）。すなわち、これによりその最新参照ポリシデータ２４１は１つだけその格納位置を上位に繰り上げる。ステップＳ７０３の判断がこれ以外の場合には（Ｎ）、このような位置の入れ替えを行うことなく次のステップに進む。
【００８４】
ステップＳ７０５では、このようにしてセレクタデータと一致したポリシデータからセキュリティアイソレーションデータを抽出する。そしてこのセキュリティアイソレーションデータをパケット送信処理部２１１に通知する（ステップＳ７０６）。以上の処理が終了したら、参照データ有効管理手段６０１に対してタイマ管理登録依頼が行われる（ステップＳ７０７）。
【００８５】
一方、ステップＳ７０１で最新参照ポリシデータ２４１とセレクタデータが一致しないと判断された場合には（Ｎ）、セキュリティポリシリスト２２５Ａの先頭から順次ポリシデータを検索する（ステップＳ７０８）。このとき、検索した段階で検索フラグをオンにするようにしている。次にセレクタデータと一致するポリシデータが見つかったかまたは検索自体が終了したかどうかを判別する（ステップＳ７０９）。ポリシデータが見つからなく、まだセキュリティポリシリスト２２５Ａの検索が終了していない場合には（Ｎ）、検索フラグがオフになっているまだ検索されていないポリシデータの検索が１つずつ行われることになる。
【００８６】
このようにしてセキュリティポリシリスト２２５Ａの中に一致するポリシデータが存在した場合には（ステップＳ７１０：Ｙ）、検索処理のためにオンにした検索フラグをすべてオフに戻し（ステップＳ７１１）、一致したポリシデータを最新参照ポリシデータ２４１に設定する（ステップＳ７１２）。以後、ステップＳ７０２に進んで最新参照ポリシデータ２４１の参照カウントを“１”だけカウントアップする（ステップＳ７０２）。そして、セキュリティポリシリスト２２５Ａにおけるそれより１つ前のポリシデータについての参照カウント値よりも大きいかどうかを判別し（ステップＳ７０３）、大きければ（Ｙ）、セキュリティポリシリスト２２５Ａ内におけるこれらの位置を入れ替える。すなわち、これによりその最新参照ポリシデータ２４１は１つだけその格納位置を上位に繰り上げられる。ステップＳ７０３の判断がこれ以外の場合には（Ｎ）、このような位置の入れ替えを行うことなく次のステップに進む。ステップＳ７０５では、このようにしてセレクタデータと一致したポリシデータからセキュリティアイソレーションデータを抽出する。そしてこのセキュリティアイソレーションデータをパケット送信処理部２１１に通知する（ステップＳ７０６）。
【００８７】
図１７は、セキュリティポリシリストの中に一致するポリシデータが存在しなかった場合の処理の様子を表わしたものである。なお、セキュリティポリシリスト２２５Ａ以外での処理、すなわち認証データリスト２２７Ａおよび暗号データリスト２２８Ａにおけるタイマ管理はこれと共通しているので、それらの説明は省略する。
【００８８】
図１６のステップＳ７１０でセキュリティポリシリスト２２５Ａの中に一致するポリシデータが存在しなかった場合には、図２に示したセキュリティポリシデータ管理部２１４に対して検索依頼が行われる（ステップＳ７３１）。この検索処理については先の実施例で説明したのでその詳細な説明は省略する。
【００８９】
さて、検索の結果、セキュリティポリシデータ管理部２１４内に一致するポリシデータが存在した場合には（ステップＳ７３２：Ｙ）、このポリシデータをセキュリティポリシリスト２２５Ａの最後に追加する（ステップＳ７３３）。次にセキュリティデータ参照管理部２１２の前記したＣＰＵはセキュリティポリシデータ管理部２１４内で一致したこのポリシデータを最新参照ポリシデータ２４１に設定する（ステップＳ７３４）。そして前記した場合と同様にこの最新参照ポリシデータ２４１の参照カウント値を“１”だけカウントアップする（ステップＳ７３５）。この場合にはカウント値を初期値から“１”だけカウントアップすることになる。したがって、たとえば初期値が“０”であればカウント値は“１”となる。
【００９０】
次に前記したＣＰＵはセキュリティポリシリスト２２５Ａにおける検索フラグをすべてオフに初期化し（ステップＳ７３６）、セキュリティポリシデータ管理部２１４内で一致したこのポリシデータからセキュリティアソシエーションデータを抽出する（ステップＳ７３７）。そしてこのセキュリティアソシエーションデータをパケット送信処理部２１１に通知する（ステップＳ７３８）。この後、参照データ有効管理手段６０１に対してタイマ管理登録を依頼して（ステップＳ７３９）、処理を終了させる（エンド）。参照データ有効管理手段６０１に対するタイマ管理登録の詳細については後に説明する。
【００９１】
一方、ステップＳ７３２でセキュリティポリシデータ管理部２１４内にも一致するポリシデータが存在しなかった場合には（Ｎ）、セキュリティポリシリスト２２５Ａにおける先頭のポリシデータを最新参照ポリシデータ２４１に設定する（ステップＳ７４０）。該当するポリシデータが存在しなかったので、最も多く使用されたポリシデータを次回の検索の際に最初に検索対象となる最新参照ポリシデータ２４１に擬制させるためである。そして、ＣＰＵはセキュリティポリシリスト２２５Ａにおける検索フラグをすべてオフに初期化し（ステップＳ７４１）、エラーが生じたことをパケット送信処理部２１１に通知して（ステップＳ７４２）、処理を終了させる（エンド）。
【００９２】
図１８は、図１６のステップＳ７０７に示した参照データ有効管理手段のタイマ管理登録依頼処理の流れを表わしたものである。参照データ有効管理手段６０１は、通知されたポリシデータがタイマ管理テーブル６１１にタイマ管理登録済であるかの判別を行う（ステップＳ７６１）。登録済みであれば（Ｙ）、周期的なタイマ減算処理によって減算されたカウント値を、通知された新たなカウント値に再設定する（ステップＳ７６２）。これにより、カウント値が“０”に近づいている場合であってもセキュリティポリシリスト２２５Ａからの削除の時期が遅延されることになる。通知されたポリシデータがタイマ管理登録済でない場合には（ステップＳ７６１：Ｎ）、その通知されたカウント値でタイマ管理テーブル６１１に対して登録が行われる（ステップＳ７６３）。
【００９３】
図１９は、参照データ有効管理手段によるセキュリティポリシリスト内の各ポリシデータのタイマ処理の様子を表わしたものである。参照データ有効管理手段６０１は、セキュリティポリシリスト２２５Ａ内に登録されたポリシデータを順に１つずつ読み出してタイマ処理を行う。まず、登録数分のポリシデータについてタイマ処理が行われたかどうかのチェックが行われる（ステップＳ７８１）。まだ全部の処理が終了していない場合には（Ｎ）、現在処理中のポリシデータについてのタイマ値が“０”になっているか否かを判別する（ステップＳ７８２）。“０”になっていれば（Ｙ）、そのポリシデータがタイムアウトした旨を参照済みセキュリティポリシデータ管理手段２１６に通知する（ステップＳ７８３）。そして、図１５に示したタイマ管理テーブル６１１からそのポリシデータを削除する（ステップＳ７８４）。
【００９４】
ステップＳ７８２で該当のポリシデータのタイマ値が“０”になっていない場合には（Ｎ）、現在のカウント値をタイマ処理の１周期分に対応する値だけ減算する（ステップＳ７８５）。
【００９５】
以上のようにしてセキュリティポリシリスト２２５Ａ内に登録されたポリシデータの処理を最後まで行うと（ステップＳ７８１：Ｙ）、１周期分の処理が終了する（リターン）。この図１９に示した処理は、所定時間間隔で起動される。これにより、新たなカウント値に再設定されないままのポリシデータについては、時間の経過と共にそのタイマ値が減算されていって終いにはその値が“０”となり、次の図２０で説明するようにセキュリティポリシリスト２２５Ａから削除される。このようにしてセキュリティポリシリスト２２５Ａに登録されるポリシデータの数が次第に多くなる事態の発生を防止することができる。
【００９６】
図２０は、タイムアウトを通知されたポリシデータの削除処理の流れを表わしたものである。参照済みセキュリティポリシデータ管理手段２１６は所定時間間隔で、過去にタイムアウトを通知されたポリシデータを検索する（ステップＳ８０１）。そして該当するポリシデータがあれば（ステップＳ８０２：Ｙ）、これをセキュリティポリシリスト２２５Ａから削除する（ステップＳ８０３）。該当するポリシデータが無い場合には（ステップＳ８０２：Ｎ）、削除処理を実行することなく当面の処理を終了することになる（エンド）。
【００９７】
【発明の効果】
以上説明したように請求項１記載の発明によれば、各種のセキュリティ処理形態を格納したセキュリティ処理形態データベースだけでなく、これから最近利用されたセキュリティ処理形態を抜き出して格納したセキュリティ処理形態一時記憶手段を用意し、更に最新セキュリティ処理形態特定手段によって各種のセキュリティ処理形態の中で直前に利用したセキュリティ処理形態を特定するようにしたので、通信ネットワークに送出するそれぞれのパケットについてセキュリティ処理の適用の有無等を調べようとするときに、まず第１段階セキュリティ処理形態検索手段によって最新セキュリティ処理形態特定手段で特定されたセキュリティ処理形態と一致するかどうかを判別すれば、直前に通信ネットワークに送出したパケットに続行する同一宛先のパケットのような場合には、直ちにそのセキュリティ処理の内容を判断することができる。また、第１段階セキュリティ処理形態検索手段では一致が検出されなかったような場合には、第２段階セキュリティ処理形態検索手段によってセキュリティ処理形態一時記憶手段に格納された残りのセキュリティ処理形態を検索することにしているので、膨大なセキュリティ処理形態データベースを検索しないでもヒットする場合があり、この場合には必要なセキュリティ処理形態を迅速に見出すことができる。
【００９８】
また、請求項２記載の発明によれば、請求項１記載の発明と同様の効果を得ることができるだけでなく、アソシエーションデータ検索手段を用いて、検索で該当したセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のためのアソシエーションデータを検索し、パケットを認証または暗号化して送信することができる。
【００９９】
更に請求項３記載の発明によれば、請求項１記載の発明と同様の効果を得ることができるだけでなく、それぞれのセキュリティ処理形態にリンクしたパケットの認証あるいは暗号化のための各種アソシエーションデータを格納するアソシエーションデータベースの他に、このアソシエーションデータベースの中から最近利用したアソシエーションデータを格納したアソシエーションデータ一時記憶手段と、このアソシエーションデータ一時記憶手段に格納した各種アソシエーションデータの中で直前に利用したアソシエーションデータを特定する最新アソシエーションデータ特定手段とを用意した。このため、第１〜第３段階セキュリティ処理形態検索手段によって該当するセキュリティ処理形態が検索されたとき、まず第１段階アソシエーションデータ検索手段によって最新アソシエーションデータ特定手段で特定されたアソシエーションデータと一致するかどうかを判別し、この第１段階アソシエーションデータ検索手段による検索ではアソシエーションデータが一致しなかったとき第２段階アソシエーションデータ検索手段でアソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索することができる。したがって、膨大なアソシエーションデータベースをいきなり検索する場合に比べて検索の効率を高めることができ、受信パケットの処理がそれだけ高速化するという効果がある。
【０１０１】
更に請求項４記載の発明によれば、請求項２または請求項３記載のセキュリティ処理形態検索管理装置で、アソシエーションデータ一時記憶手段に格納されたアソシエーションデータのうち検索により一致しなかった時間が予め定めた値を超過したものをアソシエーションデータ一時記憶手段管理手段によって削除することにしているので、時間経過と共にアソシエーションデータの検索が非効率になるといった問題が発生しない。
【０１０２】
また請求項５記載の発明によれば、請求項２または請求項３記載のセキュリティ処理形態検索管理装置で、アソシエーションデータ一時記憶手段は、アソシエーションデータを使用頻度順に格納しているので、第２段階アソシエーションデータ検索手段が使用頻度の高い順に検索を行うことで、同様にパケット処理の高速化を図ることができる。
【０１０３】
更に請求項６記載の発明によれば通信ネットワークからパケットを受信し、その受信パケット情報を基にして該当するアソシエーションデータを検索するとき、膨大な数のアソシエーションデータを格納したセキュリティ処理形態データベースだけでなく、これから最近利用されたアソシエーションデータを抜き出して格納したアソシエーションデータ一時記憶手段を用意し、更に最新アソシエーションデータ特定手段によって各種のアソシエーションデータの中で直前に利用したアソシエーションデータを特定するようにした。したがって、受信したそれぞれのパケットの処理方法について調べるときに、まず第１段階アソシエーションデータ検索手段によって最新アドレス情報特定手段で特定されたアドレス情報と一致するかどうかを判別すれば、直前に受信したパケットに続行する同一発信元のパケットのような場合には、直ちにその処理の内容を判断することができる。また、第１段階アソシエーションデータ検索手段では一致が検出されなかったような場合には、第２段階アドレス情報検索手段によってアソシエーションデータ一時記憶手段に格納された残りのアソシエーションデータを検索することにしているので、膨大なアソシエーションデータベースを検索しないでもヒットする場合があり、この場合には必要なアソシエーションデータを迅速に見出すことができる。従って、受信したパケットの処理が高速化する。
【図面の簡単な説明】
【図１】本発明のセキュリティ処理形態検索管理装置を使用したネットワークシステムの一例を表わしたシステム構成図である。
【図２】本実施例における第１のセキュリティ処理形態検索管理装置の構成を示したブロック図である。
【図３】本実施例でセキュリティポリシデータの検索要求が行われた際のセキュリティデータ参照管理部の制御を具体的に表わした流れ図である。
【図４】本実施例でセキュリティポリシリストの中に一致するポリシデータが存在しなかった場合の処理の様子を表わした流れ図である。
【図５】図４のステップＳ３３１で示したセキュリティポリシデータ管理部の検索処理の流れを具体的に表わした流れ図である。
【図６】図２に示したパケット受信処理部からセキュリティアソシエーションデータ管理手段が検索依頼を受けた場合の処理の流れを表わした流れ図である。
【図７】図６のステップＳ３８３で示した認証データリストの検索処理の様子を具体的に表わした流れ図である。
【図８】図６のステップＳ３８４で示した暗号データリストの検索処理の様子を具体的に表わした流れ図である。
【図９】図６のステップＳ３８７の処理として、検索が依頼されたセキュリティアソシエーションデータ管理部の処理の流れを示した流れ図である。
【図１０】図６のステップＳ３８９の処理として、認証データリストあるいは暗号データリストのアップデートの様子を表わした流れ図である。
【図１１】図６のステップＳ３９１の処理として、認証データリストあるいは暗号データリストの初期化の様子を表わした流れ図である。
【図１２】本実施例でセキュリティポリシリストとセキュリティポリシデータベースおよびセキュリティアソシエーションデータベースの関係を示した説明図である。
【図１３】本実施例で認証データリストおよび暗号データリストとセキュリティアソシエーションデータベースとの関係を示した説明図である。
【図１４】本発明の変形例におけるセキュリティ処理形態検索管理装置の構成を表わしたブロック図である。
【図１５】変形例における参照データ有効管理手段の要部の構成を表わしたブロック図である。
【図１６】変形例におけるセキュリティポリシリストのタイマ管理の様子を表わした流れ図である。
【図１７】変形例におけるセキュリティポリシリストの中に一致するポリシデータが存在しなかった場合の処理の様子を表わした流れ図である。
【図１８】図１６のステップＳ７０７に示した参照データ有効管理手段のタイマ管理登録依頼処理の流れを表わした流れ図である。
【図１９】変形例の参照データ有効管理手段によるセキュリティポリシリスト内の各ポリシデータのタイマ処理の様子を表わした流れ図である。
【図２０】変形例でタイムアウトを通知されたポリシデータの削除処理を示す流れ図である。
【図２１】従来におけるセキュリティ処理形態検索管理装置を使用したネットワークシステムの一例を表わしたシステム構成図である。
【図２２】従来のネットワークシステムで使用された第１のセキュリティ処理形態検索管理装置の構成を表わしたブロック図である。
【符号の説明】
１０１  インターネット網
２０２  セキュリティ処理形態検索管理装置
２１１  パケット送信処理部
２１２、２１２Ａ  セキュリティデータ参照管理部
２１３  パケット受信処理部
２１４  セキュリティポリシデータ管理部
２１５  セキュリティアソシエーションデータ管理部
２２５、２２５Ａ  セキュリティポリシリスト（セキュリティ処理形態一時記憶手段）
２２６、２２９、２３０  フラグ
２２７、２２７Ａ  認証データリスト（アソシエーションデータ一時記憶手段）
２２８、２２８Ａ  暗号データリスト（アソシエーションデータ一時記憶手段）
２３２  セキュリティポリシデータベース（セキュリティ処理形態データベース）
２３４  セキュリティアソシエーションデータベース（アソシエーションデータベース）
２３６  最新参照認証アソシエーションデータ（最新アソシエーションデータ特定手段）
２３７  最新参照暗号アソシエーションデータ（最新アソシエーションデータ特定手段）
２４１  最新参照ポリシデータ（最新セキュリティ処理形態特定手段）
６１１  タイマ管理テーブル
【図１】
0003637857.tif 000002
【図２】
0003637857.tif 000003
【図３】
0003637857.tif 000004
【図４】
0003637857.tif 000005
【図５】
0003637857.tif 000006
【図６】
0003637857.tif 000007
【図７】
0003637857.tif 000008
【図８】
0003637857.tif 000009
【図９】
0003637857.tif 000010
【図１０】
0003637857.tif 000011
【図１１】
0003637857.tif 000012
【図１２】
0003637857.tif 000013
【図１３】
0003637857.tif 000014
【図１４】
0003637857.tif 000015
【図１５】
0003637857.tif 000016
【図１６】
0003637857.tif 000017
【図１７】
0003637857.tif 000018
【図１８】
0003637857.tif 000019
【図１９】
0003637857.tif 000020
【図２０】
0003637857.tif 000021
【図２１】
0003637857.tif 000022
【図２２】
0003637857.tif 000023