(57)【要約】【課題】有害サイトの可能性が疑われるＵＲＬの事前指標に基いた収集を実現し、また、ＵＲＬフィルタの内部データベースを効率よく更新する。【解決手段】ＬＡＮとＷＡＮを相互接続する中継処理部５又はＷｅｂブラウザ７を備える通信装置１，８に、Ｗｅｂリソースの視聴を開始する第一リクエストと、当該Ｗｅｂリソースの視聴を終える第二リクエストとを監視し、当該第一リクエストから当該第二リクエストまでの経過時間を求め、当該経過時間が閾値未満になったＵＲＬを検出する監視部１０，３１と、監視部１０，３１によって検出されたＵＲＬを所定のノード３へ送信する通知部１１とを備え、ノード３は、受信した前記ＵＲＬを記憶し、ＵＲＬごとに受信回数を数える被疑ＵＲＬ管理部１２を有し、有害サイト検出部４は、被疑ＵＲＬ管理部１２に記憶された前記ＵＲＬのうち、前記受信回数の多い順に解析対象とする。【選択図】図１
2014002447.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮとＷＡＮを相互接続する中継処理部（５）、又はＷｅｂブラウザ（７）を備える通信装置（１，８）において、
Ｗｅｂリソースの視聴を開始する第一リクエストと、当該Ｗｅｂリソースの視聴を終える第二リクエストとを監視し、当該第一リクエストから当該第二リクエストまでの経過時間を求め、当該経過時間が閾値未満になったＵＲＬを検出する監視部（１０，３１）と、
前記監視部（１０，３１）によって検出されたＵＲＬを所定のノード（３）へ送信する通知部（１１）とを備えることを特徴とする通信装置。
【請求項２】
前記閾値は１０秒以下の値になっている請求項１に記載の通信装置。
【請求項３】
前記中継処理部（５）を備え、
前記監視部（１０）は、ＨＴＴＰの持続的な接続が確立された状態でＬＡＮ側から受信する上りパケットに含まれた前記第一リクエストと前記第二リクエストを監視し、前記通知部（１１）は、ＷＡＮ側から前記ノード（３）へ送信するようになっており、
前記第一リクエストは、ＨＴＴＰの要求メッセージ中のＧＥＴメソッドであり、
前記第二リクエストは、ＨＴＴＰの要求メッセージ中のＣｌｏｓｅヘッダ、又は前記上りパケット中のＦＩＮフラグである請求項１又は２に記載の通信装置。
【請求項４】
前記中継処理部（５）を備え、
前記監視部（１０）は、ＨＴＴＰの持続的な接続が確立された状態でＬＡＮ側から受信する上りパケットに含まれた前記第一リクエストと前記第二リクエストを監視し、前記通知部（１１）は、ＷＡＮ側から前記ノード（３）へ送信するようになっており、
前記第一リクエストは、ＨＴＴＰの要求メッセージ中のＧＥＴメソッドを送信した前記上りパケットに対応する下りパケット中のＡＣＫフラグであり、
前記第二リクエストは、ＨＴＴＰの要求メッセージ中のＣｌｏｓｅヘッダ、又は前記上りパケット中のＦＩＮフラグである請求項１又は２に記載の通信装置。
【請求項５】
前記中継処理部（５）は、新たなＴＣＰセッションを開始しようとする全ての上りパケットを監視部（１０）に渡し、監視部（１０）は、ＨＴＴＰ通信のためのＴＣＰセッションであった場合のみ前記監視の対象とする請求項３又は４に記載の通信装置。
【請求項６】
請求項１から５のいずれか１項に記載の複数の通信装置（１，８）と、前記複数の通信装置（１，８）とネットワーク（２）を介して接続される前記ノード（３）と、Ｗｅｂサイトを解析して有害性を判断する有害サイト検出部（４）とを備え、
前記ノード（３）は、受信した前記ＵＲＬを記憶し、前記ＵＲＬごとに受信回数を数える被疑ＵＲＬ管理部（１２）を有し、
前記有害サイト検出部（４）は、前記被疑ＵＲＬ管理部（１２）に記憶された前記ＵＲＬのうち、前記受信回数の多い順に解析対象とするＵＲＬ評価システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ＨＴＴＰ通信の中継又はＷｅｂサイトの閲覧を行う通信装置、及びＵＲＬフィルタを更新するためにＷｅｂサイトの解析を行うＵＲＬ評価システムに関する。
【背景技術】
【０００２】
ＨＴＴＰ通信でアクセス可能なＵＲＬを制限するＵＲＬフィルタサービスが広く利用されている。ブラックリスト方式、ホワイトリスト方式、レイティング方式といった内部データベース参照型のＵＲＬフィルタでは、Ｗｅｂサイトを解析し、その解析結果に応じて内部データベースの構築が行われている。例えば、ＷＷＷ上の各サイトを巡回し、テキストや画像などを解析して有害リソースかどうかを識別する方法が広く利用されている。また、ＷｅｂサイトのＩＰアドレスが次々変わる、同一ホスト名のＩＰアドレスが複数存在する等の状況から有害サイトではないかと判断する方法もある（例えば、特許文献１〜３）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−３７４２０号公報
【特許文献２】特開２０１１−１５４５５７号公報
【特許文献３】特開２００７−２７７１５６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、インターネットが爆発的に普及している現状では、Ｗｅｂサイトを構成するＷｅｂページが日々加速度的に増加し、また、頻繁に更新されている。このため、ＷＷＷを巡回し、特許文献１〜３のような適宜の解析技術で有害性を判断し、ＵＲＬフィルタの内部データベースを更新管理することが困難になっている。
【０００５】
そこで、この発明が解決しようとする第一の課題は、有害サイトの可能性が疑われるＵＲＬの事前指標に基いた収集を実現することであり、第二の課題は、ＵＲＬフィルタの内部データベースを効率よく更新することである。
【課題を解決するための手段】
【０００６】
上記第一の課題を解決するため、この発明は、ユーザのＷｅｂ（World Wide Web）の視聴において、Ｗｅｂリソースが視聴された後、速やかに閉じられたＷｅｂページについては、ユーザにとって好ましくない情報を含むＷｅｂページであった可能性が疑われる点に注目した。すなわち、Ｗｅｂサーバ・クライアント端末の接続経路上で生じるリクエスト（操作、処理又はメッセージ）で考えれば、Ｗｅｂリソースの視聴を開始することに相当した第一リクエストから、当該Ｗｅｂリソースの視聴を終えることに相当した第二リクエストまでの経過時間が短い場合、そのＷｅｂリソースのＵＲＬは、有害サイトの可能性を疑ってよいものである。そこで、この発明は、有害サイトの可能性が疑われるＵＲＬ（Uniform Resource Locator）を検出するための事前指標として、第一リクエストから第二リクエストまでの経過時間が閾値未満になるか否かを採用する。この経過時間は、Ｗｅｂサーバ、クライアント端末、これらの接続経路上にある中継装置において監視することが可能である。ここで、中継装置は、ＬＡＮ（Local Area Network）とＷＡＮ（Wide Area Network）を相互接続する中継処理部を備える通信装置のことをいう。クライアント端末は、Ｗｅｂブラウザを備える通信装置のことをいう。有害サイトの可能性が疑われるＵＲＬを収集する目的上、Ｗｅｂサーバ上での監視は期待できない。そこで、この発明は、中継装置又はクライアント端末となる通信装置に、当該経過時間が閾値未満になったＵＲＬを検出する監視部と、監視部によって検出されたＵＲＬを所定のノードへ送信する通知部とを備えることにした。有害サイトの可能性が疑われるＵＲＬを収集する者は、当該所定のノードを管理すると共に、この発明に係る通信装置を自己で使用し、又は協力者となるユーザに提供すれば、監視部で検出されたＵＲＬ（すなわち、有害サイトの可能性が疑われるＵＲＬ）を所定のノードへ収集することができる。
【０００７】
この発明は、有害サイトを発見するための巡回解析の負担軽減が目的であって、前記所定のノードを管理する収集者側で有害サイトか否かの最終判断を別途に行うため、監視部で検出するＵＲＬの精度（有害サイトに該当するか否か）は、統計的な傾向として有害サイトとの関連性が認められる程度であればよく、前記の閾値をどの程度短い秒数に設定するかは、収集者側で適宜に決定することができる。収集者は、所定の閾値をユーザに指定したり、所定の閾値を入力済みの実装品を協力者となるユーザに配布したりすればよい。第一リクエストからＷｅｂリソースがユーザに視聴されるまでの時間は、通信環境、Ｗｅｂリソースの種類（画像ファイル，動画ファイル）、クライアント端末の処理能力等の影響を受け、その視聴からユーザが有害と判断するまでの時間を経てから第二リクエストを発するユーザ操作がなされるので、前記の経過時間として数秒を見込むことが妥当であるが、大きく見込み過ぎると、検出するＵＲＬの精度が低下しかねない。したがって、閾値は、１０秒以下の値にすることが好ましい。光ファイバ網をアクセス網とする通信装置の場合、閾値は、１〜５秒に定めることができる。視聴を即座に止めたＷｅｂリソースのＵＲＬのみがノードへ通知されるので、ユーザのプライバシー不安を抑え、通信装置の普及を促進することも期待できる。
【０００８】
この発明において、「Ｗｅｂリソースの視聴を開始する第一リクエスト」とは、中継装置又はクライアント端末で得られる操作、処理又はメッセージであって、Ｗｅｂブラウザがある１つのＷｅｂリソースの取得処理を開始するトリガとなるユーザ操作から、当該Ｗｅｂリソースの出力を開始するまでの時期において、１度だけ発生するものをいう。また、「Ｗｅｂリソースの視聴を終える第二リクエスト」とは、中継装置又はクライアント端末で得られる操作、処理又はメッセージであって、Ｗｅｂブラウザが第一リクエストで接続されたセッションの切断又は当該Ｗｅｂリソースの出力を終える処理を開始するトリガとなるユーザ操作から、当該セッションの切断又はＷｅｂリソースの出力ページを閉じるまでの時期において、１度だけ発生するものをいう。
【０００９】
例えば、この発明を中継装置に適用する場合、前記監視部は、ＨＴＴＰ（HyperText Transfer Protocol）の持続的な接続が確立された状態でＬＡＮ側から受信する上りパケットに含まれた前記第一リクエストと前記第二リクエストを監視し、前記通知部は、ＷＡＮ側から前記ノードへ送信すればよい。ＨＴＴＰ／１．１以降のＨＴＴＰ通信の場合、一般にＴＣＰ（Transmission Control Protocol）の持続的接続がなされることを利用し、中継装置のＬＡＮ側に接続された配下の各クライアント端末のＷｅｂ視聴を対象に、セッション単位で経過時間の監視を行い、ＷＡＮ側の前記ノードへ収集することができる。
【００１０】
具体的には、Ｗｅｂリソースを指定するユーザ操作により、先ず、ＨＴＴＰのＧＥＴメソッドを含む要求メッセージがＷｅｂサーバへ１度だけ送信される。したがって、ＧＥＴメソッドは、Ｗｅｂリソースの視聴を開始する第一リクエストとして採用することができる。ＨＴＴＰの持続的な接続が確立された条件下なので、同じセッションにおけるＨＴＴＰの要求メッセージ中のＣｌｏｓｅヘッダ、又は前記上りパケット中のＦＩＮフラグは、第一リクエストで接続されたＨＴＴＰ又はＴＣＰセッションを切断するユーザ操作により、１度だけ送信されるので、Ｗｅｂリソースの視聴を終える第二リクエストとして採用することができる。監視部は、上りパケットのペイロード中に含まれたＧＥＴメソッド、Ｃｌｏｓｅヘッダ、上りパケットのヘッダ中のＦＩＮフラグを調べるだけで経過時間を求められるので、ダウンロードの中継速度の低下を避けることができる。
【００１１】
また、第一リクエストとして、前記のＧＥＴメソッドに代えて、ＧＥＴメソッドを送信した前記上りパケットに対応する下りパケット中のＡＣＫフラグを採用することもできる。この場合、Ｗｅｂリソースのデータ返信がなされる前にセッションが切断（Ｃｌｏｓｅヘッダ又はＴＣＰのＦＩＮ送信）された例外事態を監視部で検出しないようにすることができる。
【００１２】
上りパケットだけを監視対象にする簡素な実装にしたい場合、第一リクエストとして前記ＧＥＴメソッドを採用し、Ｗｅｂリソースの返信時間を含まない経過時間として監視部で検出されるＵＲＬの精度を優先する実装にしたい場合、第一リクエストとして前記ＡＣＫフラグを採用すればよい。
【００１３】
前記中継処理部が新たなＴＣＰセッションを開始しようとする全ての上りパケットを前記監視部に渡すようにしておけば、有害サイトの可能性が疑われるＵＲＬを漏らさず監視部で検出することができる。監視部がＨＴＴＰ通信のためのＴＣＰセッションであった場合のみ前記監視の対象とするようにしておけば、ＨＴＴＰ通信以外の通信での監視処理を無くし、スループット低下を回避することができる。
【００１４】
上記第二の課題を解決するため、この発明は、前記監視部及び通知部を備える複数の通信装置と、前記複数の通信装置とネットワークを介して接続される前記ノードと、Ｗｅｂサイトを解析して有害性を判断する有害サイト検出部とを備え、前記ノードは、受信した前記ＵＲＬを記憶し、前記ＵＲＬごとに受信回数を数える被疑ＵＲＬ管理部を有し、前記有害サイト検出部は、前記被疑ＵＲＬ管理部に記憶された前記ＵＲＬのうち、前記受信回数の多い順に解析するＵＲＬ評価システムを構成した。有害サイトの可能性が疑われるＵＲＬがネットワークを介して様々な通信装置からノードへ集まるので、統計的な信頼性を保つことが容易である。ノードに送信されたＵＲＬは、被疑ＵＲＬ管理部でＵＲＬごとに受信回数が管理され、有害サイト検出部が受信回数の多い順、すなわち有害サイトの可能性が高い順に解析対象とするため、ＵＲＬフィルタの内部データベースを効率よく更新することができる。
【発明の効果】
【００１５】
上述のように、この発明は、ＬＡＮとＷＡＮを相互接続する中継処理部、又はＷｅｂブラウザを備える通信装置において、Ｗｅｂリソースの視聴を開始する第一リクエストと、当該Ｗｅｂリソースの視聴を終える第二リクエストとを監視し、当該第一リクエストから当該第二リクエストまでの経過時間を求め、当該経過時間が閾値未満になったＵＲＬを検出する監視部と、前記監視部によって検出されたＵＲＬを所定のノードへ送信する通知部とを備える構成の採用により、有害サイトの可能性が疑われるＵＲＬの事前指標に基いた収集を実現することができる。
また、この発明は、前記監視部及び通知部を備える複数の通信装置と、前記複数の通信装置とネットワークを介して接続される前記ノードと、Ｗｅｂサイトを解析して有害性を判断する有害サイト検出部とを備え、前記ノードは、受信した前記ＵＲＬを記憶し、前記ＵＲＬごとに受信回数を数える被疑ＵＲＬ管理部を有し、前記有害サイト検出部は、前記被疑ＵＲＬ管理部に記憶された前記ＵＲＬのうち、前記受信回数の多い順に解析対象とするＵＲＬ評価システムを構成したことにより、ＵＲＬフィルタの内部データベースを効率よく更新することができる。
【図面の簡単な説明】
【００１６】
【図１】この発明に係る第一実施形態の全体構成を示す機能ブロック図
【図２】第一実施形態に係る監視部の処理内容を示すフローチャート図
【図３】第一実施形態に係る被疑ＵＲＬ管理部の管理テーブルの概念図
【図４】第二実施形態に係る監視部の処理内容を示すフローチャート図
【図５】この発明に係る第三実施形態の全体構成を示す機能ブロック図
【発明を実施するための形態】
【００１７】
以下、この発明に係る第一実施形態を添付図面に基づいて説明する。第一実施形態に係るＵＲＬ評価システムは、図１に示すように、複数の通信装置１と、複数の通信装置１とネットワーク２を介して接続されるノード３と、Ｗｅｂサイトを解析して有害性を判断する有害サイト検出部４とを備えている。
【００１８】
通信装置１は、ＬＡＮとＷＡＮを相互接続する中継処理部５を備えている。図示例の通信装置１は、ユーザ宅６内に設置されるホームゲートウェイ装置になっている。通信装置１は、中継処理部５のＬＡＮ側には、Ｗｅｂブラウザ７を備えるクライアント端末８が接続されている。中継処理部５は、宅内ＬＡＮにおける通信プロトコルと、ＷＡＮの通信プロトコルを変換した上で相互接続する。
【００１９】
なお、通信装置１は、ホームゲートウェイ装置のようなＰＣＥ（顧客宅内機器）に限定されず、ホームゲートウェイ装置からのアクセス回線を集線するネットワークエッジルータ装置、ＨＴＴＰ通信を中継するＨＴＴＰプロキシゲートウェイ装置にすることもできる。この場合、通信装置１は、複数のユーザ宅６からのＨＴＴＰ通信を中継しつつ、以下で説明の処理を実施する。
【００２０】
通信装置１は、インターネットに属するＷｅｂサーバ９に保持されたＷｅｂリソースの視聴を開始する第一リクエストと、当該Ｗｅｂリソースの視聴を終える第二リクエストとを監視し、当該第一リクエストから当該第二リクエストまでの経過時間を求め、当該経過時間が閾値未満になったＵＲＬを検出する監視部１０と、監視部１０によって検出されたＵＲＬを所定のノード３へ送信する通知部１１とをさらに備えている。
【００２１】
中継処理部５は、新たなＴＣＰセッションが開始される際、上りパケットを監視部１０に送信する。また、中継処理部５は、ファストパステーブルに登録されていないＴＣＰセッションの上りパケットについて監視部１０へ送信する。中継処理部５は、下りパケットについて特別な処理はせず、高速転送処理の対象を特定するためのファストパステーブルに下りリンクを登録する。
【００２２】
監視部１０は、中継処理部５より渡された上りパケットをセッション単位で管理し、個々のＴＣＰセッションに関して、ＨＴＴＰ／１．１の持続的な接続が確立された状態でＬＡＮ側から受信する上りパケットに含まれた第一リクエストと第二リクエストを監視する。
【００２３】
第一リクエストは、上りパケットのペイロードに格納されたＨＴＴＰ／１．１の要求メッセージ中のリクエスト行領域に記述されたＧＥＴメソッドである。第二リクエストは、上りパケットのペイロードに格納されたＨＴＴＰ／１．１の要求メッセージ中の一般ヘッダ領域に記述されたＣｌｏｓｅヘッダ、又は前記上りパケット中のＦＩＮフラグである。ＦＩＮフラグは、上りパケットのヘッダ領域に、ＴＣＰのアクティブ・クローズを意味するフラグとして記述されたものをいう。
【００２４】
通信装置１のアクセス網であるＷＡＮは、光ファイバ網になっている。この通信環境を考慮すると、閾値は、１０秒以下を定め、好ましくは１〜５秒に定めることができる。
【００２５】
監視部１０は、経過時間が閾値未満となったＵＲＬを検出し、通知部１１に送信する。
【００２６】
図２に監視部１０がＴＣＰセッション単位で実行する処理の詳細フローを示す。同図に示すように、監視部１０は、通信装置１の動作中、常時、待機している（開始）。監視部１０は、中継処理部５から渡された全ての上りパケットのペイロードを解析し、上位プロトコルメッセージを再構成する（Ｓ１）。この際、監視部１０は、必要に応じて複数の上りパケットのペイロードをバッファし、上位プロトコルメッセージを再構成する。
【００２７】
次に、監視部１０は、代数「ｆｌａｇ」を参照し、この値が「０」か否かを判別する（Ｓ２）。代数「ｆｌａｇ」の値（０又は１）が「０」の場合、ＨＴＴＰ／１．１通信のＴＣＰセッションか否かを判別する（Ｓ３）。ＨＴＴＰ／１．１通信のＴＣＰセッションでない場合、当該ＴＣＰセッションの上りリンクもファストパステーブルに登録し（Ｓ４）、当該ＴＣＰセッションの上りパケットに対する監視処理を終了する（Ｓ５）。
【００２８】
（Ｓ３）において、ＨＴＴＰ／１．１通信のＴＣＰセッションである場合、代数「ｆｌａｇ」の値を「１」に変更し（Ｓ６）、ペイロードのＨＴＴＰメッセージを解析する（Ｓ７）。（Ｓ６）により、後続の上りパケットの監視処理においては、（Ｓ１），（Ｓ２）から（Ｓ７）に進むようになるので、（Ｓ３）の判別処理が省略される。
【００２９】
（Ｓ１）〜（Ｓ４），（Ｓ６），及び（Ｓ７）の処理により、中継処理部５で受信した全ての上りパケットについて監視部１０が監視の対象か否かを判断することが実現されている。
【００３０】
（Ｓ７）の解析後、ＨＴＴＰ／１．１のＧＥＴリクエスト（リクエスト行にＧＥＴメソッドが記述された要求メッセージ）を受信したか否かを判断する（Ｓ８）。（Ｓ８）において未受信と判断した場合、ＨＴＴＰ／１．１の「Ｃｏｎｎｅｃｔｉｏｎ：Ｃｌｏｓｅ」を受信したか否か、また、ＴＣＰのＦＩＮフラグを受信したか否かを判断する（Ｓ９）。（Ｓ９）において未受信と判断した場合、（Ｓ１）に戻る。
【００３１】
（Ｓ８）においてＧＥＴリクエスト受信と判断した場合、この受信時刻を代数「ｔ１」に入力し、また、ＧＥＴリクエストで指定されているＵＲＬ情報を代数「ｕ１」に入力し（Ｓ１０）、（Ｓ９）に進む。
【００３２】
（Ｓ９）において「Ｃｏｎｎｅｃｔｉｏｎ：Ｃｌｏｓｅ」又はＦＩＮフラグを受信したと判断した場合、この受信時刻を代数「ｔ２」に入力する（Ｓ１１）。この後、「ｔ２」−「ｔ１」の演算によって経過時刻を求め、閾値として入力されている代数「Ｔ」と経過時刻を比較し、経過時刻が「Ｔ」未満か否かを判断する（Ｓ１２）。
【００３３】
（Ｓ１２）において経過時刻が「Ｔ」未満と判断した場合、代数「ｕ１」に保持しているＵＲＬを通知部１１へ入力し（Ｓ１３）、当該ＴＣＰセッションの上りパケットに対する監視処理を終了する（Ｓ５）。
【００３４】
通知部１１は、ノード３に送信するためのアドレスを予め保持している。通知部１１は、監視部１０で検出されたＵＲＬをノード３宛てのパケットのペイロードに格納し、中継処理部５に渡す。中継処理部５は、当該パケットをＷＡＮ側から出力することにより、ネットワーク２を介してノード３へ送信する。
【００３５】
なお、監視部１０，通知部１１は、それぞれ通信装置１の記憶装置に保持されたプログラムを、通信装置１の演算処理装置で実行することにより通信装置１のハードウェア資源上で実現することができ、また、監視部１０は、ファストパス処理の演算処理装置と内部バスで接続された専用の演算処理装置として設けることもできる。
【００３６】
ノード３は、自己のＬＡＮ側でネットワーク２と接続され、自己のＷＡＮ側でインターネットと接続されている。ネットワーク２は、複数のＩＳＰ網間を繋ぐ通信回線となっている。ノード３には、様々なＩＳＰ網経由でインターネットに接続する通信装置１から、ＵＲＬが送信されるので、統計的取扱いのためのＵＲＬ収集に好適である。ここで、通信装置１がノード３に送信するＵＲＬは、Ｗｅｂブラウザを操作するユーザの個人情報といえるので、より秘匿性の高い回線経由で送信することが好ましい。このため、ネットワーク２は、出願人が提供するＮＧＮのように、閉域網にすることが好ましい。
【００３７】
ノード３は、全ての通信装置１から送信された当該パケットを、ネットワーク２を介して受信する。ノード３は、受信したパケットのペイロードから取り出した前記ＵＲＬを管理するための被疑ＵＲＬ管理部１２と、有害サイト検出部４と、ＵＲＬフィルタの内部データベース１３とを配下に有している。
【００３８】
被疑ＵＲＬ管理部１２は、受信したＵＲＬを記憶し、ＵＲＬごとに受信回数を数え、記憶するＵＲＬと受信回数を管理するデータベースシステムになっている。受信したＵＲＬを漏らさず記憶し、記憶しているＵＲＬを最初に送信した通信装置１以外の他の通信装置１から新たに受信すると、当該ＵＲＬの受信回数をカウントアップし、図３に概念的に示すように、当該ＵＲＬと受信回数を対応付けたレコードで管理するようになっている。
【００３９】
有害サイト検出部４は、所定のサイト巡回開始時期になると、対象とすべきＵＲＬを被疑ＵＲＬ管理部１２に問い合わせる。被疑ＵＲＬ管理部１２は、問い合わせ時点で受信回数の多いＵＲＬから順に有害サイト検出部４へ応答する。有害サイト検出部４は、被疑ＵＲＬ管理部１２に対して解析を終えたＵＲＬレコードの削除を要求する。したがって、有害サイト検出部４は、常に、被疑ＵＲＬ管理部１２に記憶されたＵＲＬのうち、受信回数の多い順にＷｅｂサイトを巡回し、解析対象とする。したがって、有害サイト検出部４は、解析結果に応じて、内部データベース１３を効率よく更新することができる。
【００４０】
なお、有害サイト検出部４が有害サイトか否かを判断するＵＲＬの解析手段は、限定されず、例えば、特許文献１〜３に開示されているような適宜の解析手段で行う。内部データベース１３は、ブラックリスト方式のＵＲＬフィルタとして機能するようになっているが、他の方式のものにすることもできる。有害サイト検出部４，内部データベース１３は、ノード３と共にＵＲＬフィルタリング装置を構成すればよく、ノード３と外部接続することもできる。
【００４１】
上述のように、第一実施形態（図１，図２参照のこと）によれば、Ｗｅｂリソースの視聴開始を示すＧＥＴメソッドの受信時刻「ｔ１」から当該ＨＴＴＰ通信又はＴＣＰセッションを切断するＣｌｏｓｅヘッダ又はＦＩＮフラグの受信時刻「ｔ２」までの経過時刻と、閾値：Ｔの大小関係という単純な事前指標を用い（（Ｓ８）〜（Ｓ１３））、各家庭の通信装置１から大量に、有害サイトの可能性が疑われるＵＲＬをノード３へ収集することができる。有害サイト検出部４は、多数の通信装置１からノード３が受信した全ＵＲＬの中で、受信回数の多いＵＲＬ順にＷｅｂサイトを巡回して解析するため、ＵＲＬフィルタの内部データベース１３を効率よく更新することができる。
【００４２】
また、第一実施形態によれば、中継処理部５が全てのＴＣＰセッションの下りリンクをファストパステーブルに登録し、監視部１０が上りリンクのみＨＴＴＰを解析するため（（Ｓ１）〜（Ｓ４），（Ｓ６），及び（Ｓ７））、Ｗｅｂリソースのダウンロードの中継速度の低下を招かない。
【００４３】
また、第一実施形態によれば、中継処理部５が新たなＴＣＰセッションを開始しようとする全ての上りパケットを監視部１０に渡し（Ｓ１）、監視部１０が監視対象とすべきＨＴＴＰ通信以外のＴＣＰセッションをファストパステーブルに登録するため（Ｓ２〜Ｓ４）、無駄な監視が生じず、スループット低下を回避することができる。
【００４４】
また、第一実施形態によれば、中継装置として通信装置１を協力者となるユーザに配布することができるので、クライアント端末８へのツールインストールやユーザ操作、あるいはｐｒｏｘｙの経由が不要である。
【００４５】
また、第一実施形態によれば、閾値を１０秒以下に定めるので、ユーザが視聴するＵＲＬを全て監視するのではなく、視聴を即座に止めたＷｅｂリソースのＵＲＬのみがノード３へ通知されるので、ユーザのプライバシ不安を抑えることができる。
【００４６】
第一実施形態の監視部１０による処理のみを変更した第二実施形態を説明する。以下、第一実施形態との相違点を述べるに留める。第二実施形態は、第一リクエストとして、ＨＴＴＰの要求メッセージ中のＧＥＴメソッドを送信した上りパケットに対応する下りパケット中のＡＣＫフラグを採用している点で相違している。ＡＣＫフラグは、ＧＥＴリクエストを送信するＴＣＰの上りパケットの応答に該当するＡＣＫ番号を意味するフラグとして記述されたものをいう。
【００４７】
具体的には、図２の（Ｓ１０）に代えて、図４の（Ｓ２０）を採用した点で相違している。中継処理部５は、無条件に下りリンクをファストパステーブルに登録せず、下りパケットも監視部１０に送信する。監視部１０は、（Ｓ８）においてＧＥＴリクエストを受信したと判断すると、下りパケットの監視を開始し、ＡＣＫフラグを含む下りパケットを中継処理部５から受信すると、その受信時刻を代数「ｔ１’」に入力する。（Ｓ１２）においては、「ｔ２」−「ｔ１’」によって経過時刻が求められる。このため、第二実施形態によれば、Ｗｅｂリソースのデータ返信がなされる前に当該ＨＴＴＰ通信又はＴＣＰセッションが切断された例外事態を除外したＵＲＬの検出を実施することができる。
【００４８】
第三実施形態を図５に基いて説明する。第三実施形態は、Ｗｅｂブラウザ７を備える通信装置であるクライアント端末８に、監視部３１、通知部１１を備えている点で第一実施形態と相違している。監視部３１は、Ｗｅｂブラウザ７の動作状態を直接に監視する。すなわち、第一リクエストとして、Ｗｅｂブラウザ７がウインドウ内へＷｅｂリソースの出力を開始する処理（この処理タイミングをｔ３と呼ぶ）を採用し、第二リクエストとして、当該ウインドウがｃｌｏｓｅされた処理、又はＷｅｂブラウザ７が終了された処理（いずれか早い方の処理タイミングをｔ４と呼ぶ）を採用する。ｔ４−ｔ３によって経過時刻を求め、閾値Ｔと比較するようになっている。第三実施形態によれば、クライアント端末８へのツールインストールを要するが、その代わり、監視部３１でＷｅｂブラウザ７の動作を直接に監視するため、ユーザの意思（Ｗｅｂリソースの視聴開始、視聴中止）とｔ３，ｔ４のずれを第一実施形態，第二実施形態よりも少なくし、比較的に精度のよい検出を図ることができる。この発明の技術的範囲は、上述の実施形態に限定されず、特許請求の範囲の記載に基く技術的思想の範囲内での全ての変更を含むものである。
【符号の説明】
【００４９】
１  通信装置
２  ネットワーク
３  ノード
４  有害サイト検出部
５  中継処理部
６  ユーザ宅
７  Ｗｅｂブラウザ
８  クライアント端末
９  Ｗｅｂサーバ
１０，３１  監視部
１１  通知部
１２  被疑ＵＲＬ管理部
１３  内部データベース
【図１】
2014002447.tif 000003
【図２】
2014002447.tif 000004
【図３】
2014002447.tif 000005
【図４】
2014002447.tif 000006
【図５】
2014002447.tif 000007