(57)【要約】【課題】  複数台用いることによりフィルタリングルール設定が容易なネットワークを構築できるネットワーク中継装置を、提供する。【解決手段】  ネットワーク中継装置を、幾つかのフィルタリングルールが与えられたときに、各フィルタリングルール中の送信元アドレス等と、接続されているネットワークに関するアドレス情報とに基づき、各フィルタリングルールが、どのネットワーク中継装置内に設定されるべきものであるかを判断（Ｓ１０２）し、自装置内に設定されるべきものと判断した各フィルタリングルールを実際に自装置内に設定（Ｓ１０３，Ｓ１０４）すると共に、他装置内に設定されるべきものと判断した各フィルタリングルールを当該他装置内に設定させるための処理を行う（Ｓ１０５，Ｓ１０６）装置として構成しておく。【選択図】  図６
2006025203.tif 000002
【特許請求の範囲】
【請求項１】
異なるネットワークに接続される複数のインタフェースを有するネットワーク中継装置であって、
透過或いは削除するパケットの送信元アドレス及び宛先アドレスを含むフィルタリング処理内容規定情報を複数個記憶可能な情報記憶手段と、
操作者によって前記フィルタリング処理内容規定情報が１個以上指定された場合には、指定された各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、前記複数のインタフェースのそれぞれに接続されているネットワークに関するアドレス情報とに基づき、各フィルタリング処理内容規定情報が、自装置のみが行うべきパケットフィルタリング処理の内容を規定している第１種規定情報，自装置と他のネットワーク中継装置とが行うべきパケットフィルタリング処理の内容を規定している第２種規定情報，他のネットワーク中継装置のみが行うべきパケットフィルタリング処理の内容を規定している第３種規定情報のいずれであるかを判別する手段であると共に、他のネットワーク中継装置から送信されてきた，前記フィルタリング処理内容規定情報が１個以上含まれる所定形式のフィルタリング処理実行指示情報を受信した場合には、当該フィルタリング処理実行指示情報に含まれる各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、前記複数のインタフェースのそれぞれに接続されているネットワークに関する前記アドレス情報とに基づき、各フィルタリング処理内容規定情報が、前記第１種規定情報，前記第２種規定情報，前記第３種規定情報のいずれであるかを判別する手段である判別手段と、
前記判別手段により前記第１種規定情報或いは前記第２種規定情報であると判別された各フィルタリング処理内容規定情報を前記情報記憶手段に記憶する手段であると共に、前記判別手段により前記第２種規定情報或いは前記第３種規定情報であると判別された各フィルタリング処理内容規定情報にてその内容が規定されているパケットフィルタリング処理が当該処理を行うべき他のネットワーク中継装置にて行われるように、前記判別手段により前記第２種規定情報或いは前記第３種規定情報であると判別された各フィルタリング処理内容規定情報に基づき，前記所定形式の幾つかのフィルタリング処理実行指示情報を生成して幾つかのインタフェースより送信する手段である情報処理手段と
を備えることを特徴とするネットワーク中継装置。
【請求項２】
前記判別手段が操作者によって指定された１個以上のフィルタリング処理内容規定情報に対して動作した結果として前記情報処理手段が送信する前記フィルタリング処理実行指示情報が、自装置のアドレスを実行処理内容情報返送先アドレスとして含む情報であり、前記判別手段が他のネットワーク中継装置から送信されてきた前記フィルタリング処理実行指示情報に対して動作した結果として前記情報処理手段が送信する前記フィルタリング処理実行指示情報が、前記判別手段によって受信された前記フィルタリング処理実行指示情報に含まれていた前記実行処理内容情報返送先アドレスが含まれる情報であり、
他のネットワーク中継装置から自装置に宛てて送信されてきた前記実行処理内容情報を、前記操作者にその内容を確認させるために、出力する実行処理内容情報出力手段を、さらに備える
ことを特徴とする請求項１記載のネットワーク中継装置。
【請求項３】
前記情報処理手段が、前記判別手段により前記第１種規定情報或いは前記第２種規定情報であると判別された各フィルタリング処理内容規定情報を前記情報記憶手段に記憶する処理を行わなかった場合には、前記実行処理内容情報を送信しない手段である
ことを特徴とする請求項２記載のネットワーク中継装置。
【請求項４】
前記判別手段が、操作者により指定された各フィルタリング処理内容規定情報、及び、受信したフィルタリング処理実行指示情報に含まれる各フィルタリング処理内容規定情報について、そのフィルタリング処理内容規定情報にてその内容が規定されているパケットフィルタリング処理が、前記第１種規定情報，前記第２種規定情報，前記第３種規定情報，その時点において前記情報記憶手段に記憶されているいずれかのフィルタリング処理内容規定情報と矛盾する内容のパケットフィルタリング処理の実行を指示するフィルタリング処理内容規定情報である内容矛盾規定情報のいずれであるかを判別する手段であり、
前記情報処理手段が、前記判別手段によって或るフィルタリング処理内容規定情報が前記内容矛盾規定情報であると判別された場合、そのフィルタリング処理内容規定情報については、そのフィルタリング処理内容規定情報が前記内容矛盾規定情報であることを示す前記実行処理内容情報を前記実行処理内容情報返送先アドレスを有する他のネットワーク中継装置に宛てて送信する処理のみを行う手段である
ことを特徴とする請求項２記載のネットワーク中継装置。
【請求項５】
前記判別手段に、登録不可規定情報であると判別させるフィルタリング処理内容規定情報を指定する登録不可規定情報指定情報を設定可能な登録不可規定情報指定情報記憶手段を、さらに備え、
前記情報処理手段が、前記判別手段によって或るフィルタリング処理内容規定情報が前記登録不可規定情報であると判別された場合には、そのフィルタリング処理内容規定情報に関しては、そのフィルタリング処理内容規定情報が前記登録不可規定情報であることを示す前記実行処理内容情報を前記実行処理内容情報返送先アドレスを有する他のネットワーク中継装置に宛てて送信する処理のみを行う手段である
ことを特徴とする請求項２記載のネットワーク中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットフィルタリング機能を有するネットワーク中継装置に関する。
【背景技術】
【０００２】
近年の，一般的なネットワーク中継装置（ルータ，レイヤ３スイッチ等の、ＯＳＩ階層モデルにおけるレイヤ３のデータでパケットの行き先を判断して転送する装置）には、セキュリティ対策を行えるようにするために、パケットフィルタリング機能が付与されている（例えば、特許文献１、特許文献２参照）。ここで、パケットフィルタリング機能とは、ネットワーク中継装置を透過（通過）させるパケットやネットワーク中継装置に遮断（破棄）させるパケットを、送信元アドレスや宛先アドレスで指定するフィルタリングルールを設定しておけば、ネットワーク中継装置に到達した各パケットが当該フィルタリングルールに従って処理されることになる機能のことである。
【０００３】
さて、フィルタリングルールを設定すべきネットワーク中継装置が１台しか存在しない場合（ブロードバンドルータで家庭内ＬＡＮをインターネットに接続している場合等）、当該ネットワーク中継装置に設定すべきフィルタリングルールの内容は比較的に簡単なものとなる。このため、ネットワーク中継装置にフィルタリングルールを設定する作業も比較的に容易なものとなる。
【０００４】
しかしながら、複数台のネットワーク中継装置に対してフィルタリングルールを設定する作業は、極めて大変なものとなっている。何故ならば、複数台のネットワーク中継装置が用いられたネットワークでは、各ネットワーク中継装置がどのようなネットワークに接続されているか等を考慮した上で、各ネットワーク中継装置に対してフィルタリングルールを設定しておかなければ、ネットワーク資源が無駄なパケットの伝送のために使用される（遮断すべきパケットが、当該パケットの送信元に最も近いネットワーク中継装置にて遮断されない）といったことや、送受信を許可するパケットの送受信が行えない（或るパケットに関する透過設定をし忘れているネットワーク中継装置が存在する）といったことが、生じ得るからである。
【特許文献１】特開２００３−３３３０８４号公報
【特許文献２】特開２００３−３３３１０３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
そこで、本発明の課題は、それを複数台用いることにより、フィルタリングルール設定が容易なネットワークを構築できるネットワーク中継装置を、提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明では、異なるネットワークに接続される複数のインタフェースを有するネットワーク中継装置を、透過或いは削除するパケットの送信元アドレス及び宛先アドレスを含むフィルタリング処理内容規定情報を複数個記憶可能な情報記憶手段と、操作者によってフィルタリング処理内容規定情報が１個以上指定された場合には、指定された各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、複数のインタフェースのそれぞれに接続されているネットワークに関するアドレス情報とに基づき、各フィルタリング処理内容規定情報が、自装置のみが行うべきパケットフィルタリング処理の内容を規定している第１種規定情報，自装置と他のネットワーク中継装置とが行うべきパケットフィルタリング処理の内容を規定している第２種規定情報，他のネットワーク中継装置のみが行うべきパケットフィルタリング処理の内容を規定している第３種規定情報のいずれであるかを判別する手段であると共に、他のネットワーク中継装置から送信されてきた，フィルタリング処理内容規定情報が１個以上含まれる所定形式のフィルタリング処理実行指示情報を受信した場合には、当該フィルタリング処理実行指示情報に含まれる各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、複数のインタフェースのそれぞれに接続されているネットワークに関するアドレス情報とに基づき、各フィルタリング処理内容規定情報が、第１種規定情報，第２種規定情報，第３種規定情報のいずれであるかを判別する手段である判別手段と、判別手段により第１種規定情報或いは第２種規定情報であると判別された各フィルタリング処理内容規定情報を情報記憶手段に記憶する手段であると共に、判別手段により第２種規定情報或いは第３種規定情報であると判別された各フィルタリング処理内容規定情報にてその内容が規定されているパケットフィルタリング処理が当該処理を行うべき他のネットワーク中継装置にて行われるように、判別手段により第２種規定情報或いは第３種規定情報であると判別された各フィルタリング処理内容規定情報に基づき，所定形式の幾つかのフィルタリング処理実行指示情報を生成して幾つかのインタフェースより送信する手段である情報処理手段とを備えるものとして構成しておく。
【０００７】
すなわち、本発明のネットワーク中継装置は、操作者によって１個以上のフィルタリング処理内容規定情報が指定された場合、各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、各インタフェースに接続されているネットワークに関するアドレス情報とに基づき、各フィルタリング処理内容規定情報が、どのネットワーク中継装置（自装置のみ、他装置のみ、自装置及び他装置）内の情報記憶手段に記憶されるべきものであるかを判断して、自装置内の情報記憶手段に記憶されるべきものと判断した各フィルタリング処理内容規定情報を実際に情報記憶手段に記憶する機能を有するものとなっている。さらに、ネットワーク中継装置は、他装置内の情報記憶手段に記憶されるべきものと判断した各フィルタリング処理内容規定情報を、当該他装置内の情報記憶手段に記憶させるための処理（幾つかのフィルタリング処理実行指示情報を生成して幾つかのインタフェースより送信する処理）を行う機能を有するものとなっている。
【０００８】
従って、このネットワーク中継装置を複数台用いて構築されたネットワークは、１台のネットワーク中継装置に対して幾つかのフィルタリング処理内容規定情報を指定するだけで（フィルタリングルールを設定する作業相当の作業を行えば）、各ネットワーク中継装置に対するフィルタリングルールの設定作業が全て完了するネットワークとして機能することになる。
【０００９】
本発明のネットワーク中継装置を実現するに際しては、判別手段が操作者によって指定された１個以上のフィルタリング処理内容規定情報に対して動作した結果として送信するフィルタリング処理実行指示情報が、自装置のアドレスを実行処理内容情報返送先アドレスとして含む情報となり、かつ、判別手段が他のネットワーク中継装置から送信されてきたフィルタリング処理実行指示情報に対して動作した結果として情報処理手段が送信するフィルタリング処理実行指示情報が、判別手段によって受信されたフィルタリング処理実行指示情報に含まれていた実行処理内容情報返送先アドレスが含まれる情報となるようにしておくと共に、他のネットワーク中継装置から自装置に宛てて送信されてきた実行処理内容情報を、操作者にその内容を確認させるために出力する実行処理内容情報出力手段を、付加しておくことが望ましい。
【００１０】
何故ならば、本発明のネットワーク中継装置をこのような形で実現しておけば、操作者（フィルタリング処理内容規定情報を指定した者）が各ネットワーク中継装置にて実際に行われた処理内容を把握できることになるからである。
【００１１】
なお、実行処理内容情報出力手段を付加した形でネットワーク中継装置を実現する際には、情報処理手段を、判別手段により第１種規定情報或いは第２種規定情報であると判別された各フィルタリング処理内容規定情報を情報記憶手段に記憶する処理を行わなかった場合には、実行処理内容情報を送信しない手段としておいても良い。
【００１２】
また、実行処理内容情報出力手段を付加した形でネットワーク中継装置を実現する際には、判別手段を、操作者により指定された各フィルタリング処理内容規定情報、及び、受信したフィルタリング処理実行指示情報に含まれる各フィルタリング処理内容規定情報について、そのフィルタリング処理内容規定情報にてその内容が規定されているパケットフィルタリング処理が、第１種規定情報，第２種規定情報，第３種規定情報，その時点において情報記憶手段に記憶されているいずれかのフィルタリング処理内容規定情報と矛盾する内容のパケットフィルタリング処理の実行を指示するフィルタリング処理内容規定情報である内容矛盾規定情報のいずれであるかを判別する手段としておくと共に、情報処理手段を、判別手段によって或るフィルタリング処理内容規定情報が内容矛盾規定情報であると判別された場合、そのフィルタリング処理内容規定情報については、そのフィルタリング処理内容規定情報が内容矛盾規定情報であることを示す実行処理内容情報を実行処理内容情報返送先アドレスを有する他のネットワーク中継装置に宛てて送信する処理のみを行う手段としておくことも、出来る。
【００１３】
すなわち、一旦、幾つかのフィルタリング処理内容規定情報が指定された後、矛盾した内容のフィルタリング処理内容規定情報が指定された場合、当該フィルタリング処理内容規定情報に基づく設定が行われないように（かつ、指定されたフィルタリング処理内容規定情報が過去に指定されたものと矛盾したものであることが操作者に通知されるように）、ネットワーク中継装置を構成しておくことも、出来る。
【００１４】
また、実行処理内容情報出力手段を付加した形でネットワーク中継装置を実現する際には、判別手段に、登録不可規定情報であると判別させるフィルタリング処理内容規定情報を指定する登録不可規定情報指定情報を設定可能な登録不可規定情報指定情報記憶手段を付加しておくと共に、情報処理手段を、判別手段によって或るフィルタリング処理内容規定情報が登録不可規定情報であると判別された場合には、そのフィルタリング処理内容規定情報に関しては、そのフィルタリング処理内容規定情報が登録不可規定情報であることを示す実行処理内容情報を実行処理内容情報返送先アドレスを有する他のネットワーク中継装置に宛てて送信する処理のみを行う手段としておいても良い。
【００１５】
すなわち、指定可能なフィルタリング処理内容規定情報を予め制限できるように、ネットワーク中継装置を構成しておいても良い。
【発明の効果】
【００１６】
本発明のネットワーク中継装置を複数台用いれば、１台のネットワーク中継装置に対してフィルタリングルールを設定する作業相当の作業を行えば、各ネットワーク中継装置に対するフィルタリングルールの設定作業が全て完了するネットワークを構築することが出来る。
【発明を実施するための最良の形態】
【００１７】
以下、本発明を実施するための最良の形態を、図面を参照して詳細に説明する。
【００１８】
まず、図１乃至図５を用いて、本発明の一実施形態に係るネットワーク中継装置１０の概要を、説明する。
【００１９】
図２に模式的に示してあるように、本実施形態に係るネットワーク中継装置（図では、ＮＷ中継装置）１０は、複数台のネットワーク中継装置１０により複数個のネットワークが相互に接続されたネットワークを構築するために使用される装置（いわゆるルータ）である。また、図１に模式的に示してあるように、ネットワーク中継装置１０は、構成情報テーブル１１，経路情報テーブル１２，フィルタリングルールテーブル１３，フィルタリングルール登録拒否条件情報テーブル１４等を備えた装置（その記憶装置上に各種テーブルが形成されている装置）となっている。
【００２０】
なお、本ネットワーク中継装置１０は、既存のルータ（汎用ＣＰＵを備え、ソフトウエア処理でルーティングを行う装置）のファームウェアを改良することにより製造されたものであるため、本ネットワーク中継装置１０のハードウェア構成の説明は省略することにする。
【００２１】
ネットワーク中継装置１０が備えている構成情報テーブル１１は、図３に模式的に示してあるように、ネットワーク中継装置１０が有している各インタフェース（ネットワークと接続するためのハードウェア）のＭＡＣアドレスや，各インタフェースが接続されているネットワークのアドレス等を記憶しているテーブルである。
【００２２】
経路情報テーブル１２は、受信したパケットの転送先（パケットの宛先機器自体，或いは，他のネットワーク中継装置１０）を特定するために、ネットワーク中継装置１０が利用するテーブルである。この経路情報テーブル１２は、図４に模式的に示したように、アドレスから、そのアドレスを有する機器と接続されているインタフェースや、そのアドレスを有する機器が自装置に直接されたネットワーク上の機器であるか否か（"Gateway"の値が、"direct"であるか否か）や、そのアドレスを有する機器に対するパケットを転送すべきネットワーク中継装置１０のアドレス（"192.168.2.1"等）が分かるテーブルとなっている。
【００２３】
フィルタリングルールテーブル１３は、遮断／透過させるパケットを、その送信元アドレス，宛先アドレス、ポート番号等にて指定する情報（以下、フィルタリングルールと表記する）を複数個記憶可能なテーブルである。このフィルタリングルールテーブル１３は、図５に模式的に示したように、フィルタリングルール（"deny  192.168.1.5/32:TCP80  172.16.2.0/24"等）が、関連するインタフェースの識別情報（"IF0"等）と対応付けられた形で記憶されるテーブルとなっている。
【００２４】
そして、本ネットワーク中継装置１０は、図２に示してあるような形で使用されている場合（他の何台かのネットワーク中継装置１０と共に使用されている場合）、１台のネットワーク中継装置１０に対して各種フィルタリングルールを設定する作業を行えば、全てのネットワーク中継装置１０内のフィルタリングルールテーブル１３に適切な内容のフィルタリングルールが記憶される（全てのネットワーク中継装置１０に対するフィルタリングルールの設定作業が完了する）装置となっている。また、ネットワーク中継装置１０は、その際に、フィルタリングルール登録拒否条件情報テーブル１４（詳細は後述）を利用する装置となっている。
【００２５】
以上のことを前提に、以下、本実施形態に係るネットワーク中継装置１０の構成及び動作をさらに具体的に説明する。
【００２６】
本ネットワーク中継装置１０は、フィルタリングルール設定指示情報を受信したときに、フィルタリングルール設定・配信処理を実行するように、構成されている。
【００２７】
ここで、フィルタリングルール設定指示情報とは、複数のフィルタリングルールを含む情報のことである。このフィルタリングルール設定指示情報としては、ネットワーク中継装置１０とネットワーク接続されているコンピュータが送信するもの（ネットワーク管理者がコンピュータに送信させるもの）と、他のネットワーク中継装置１０が送信するものとが存在しており、後者のフィルタリングルール設定指示情報は、情報返送先アドレス（ネットワーク中継装置１０のＩＰアドレス；詳細は後述）を含むものとなっている。
【００２８】
そして、フィルタリングルール設定指示情報を受信したときにネットワーク中継装置１０が実行するフィルタリングルール設定・配信処理は、図６に示した手順の処理となっている。
【００２９】
すなわち、フィルタリングルール設定指示情報を受信したことによりフィルタリングルール設定・配信処理を開始したネットワーク中継装置１０は、受信したフィルタリングルール設定指示情報がコンピュータからのものであった場合には、自装置のＩＰアドレスを情報返送先アドレスとして記憶し、受信したフィルタリングルール設定指示情報が他のネットワーク中継装置１０からのものであった場合には、当該フィルタリングルール設定指示情報に含まれる情報返送先アドレスをそのまま情報返送先アドレスとして記憶する処理(ステップＳ１０１)を、行う。次いで、ネットワーク中継装置１０は、設定指示情報解析処理(ステップＳ１０２)を行う。
【００３０】
この設定指示情報解析処理は、基本的には、受信されたフィルタリングルール設定指示情報に含まれる各フィルタリングルールを、自装置内のフィルタリングルールテーブル１３だけに記憶されるべき第１種ルール、自装置内のフィルタリングルールテーブル１３，及び，他の何台かの（１台以上の）ネットワーク中継装置１０内のフィルタリングテーブル１３に記憶されるべき第２種ルール、他の何台かのネットワーク中継装置１０内のフィルタリングテーブル１３だけに記憶されるべき第３種ルール、いずれの装置内のフィルタリングルールテーブル１３にも記憶されない第４種ルールのいずれかに分類する処理である。
【００３１】
より具体的には、設定指示情報解析処理は、図７に示した手順の処理となっている。
【００３２】
すなわち、設定指示情報解析処理を開始したネットワーク中継装置１０は、まず、処理すべきフィルタリングルール設定指示情報に含まれる最初のフィルタリングルールを注目ルール（処理対象とするフィルタリングルール）として特定する(ステップＳ２０１)。そして、ネットワーク中継装置１０は、注目ルールが登録不可ルールであるか否かを判断する(ステップＳ２０２)。
【００３３】
この判断のために用意されているテーブルが、フィルタリングルール登録拒否条件情報テーブル１４である。このフィルタリングルール登録拒否条件情報テーブル１４は、図８に模式的に示してあるように、フィルタリングルールテーブル１３への登録（記憶）を拒否するフィルタリングルールを指定する情報（以下、登録拒否条件情報と表記する）を複数個記憶可能なテーブルとなっている。なお、図８のフィルタリングルール登録拒否条件情報テーブル１４内に示してある"IF0 deny any any"という登録拒否条件情報は、IF0により伝送される全てのパケットが遮断されることになるフィルタリングルールを、フィルタリングルールテーブル１３への登録（記憶）を拒否するフィルタリングルールとして指定する情報である。
【００３４】
そして、ステップＳ２０２（図７）の処理は、注目ルールが、フィルタリングルール登録拒否条件情報テーブル１４内のいずれかの登録拒否条件情報にてフィルタリングルールテーブル１３への登録（記憶）が拒否されているフィルタリングルールに相当するものであった場合に、当該注目ルールを登録不可ルールであると判断する処理となっている。
【００３５】
注目ルールが登録不可ルールであった場合(ステップＳ２０２；ＹＥＳ)、ネットワーク中継装置１０は、注目ルールが第４種ルール（この場合、登録不可ルール）に分類されるものであることを示す情報を、当該注目ルールに関するものとして記憶する処理(ステップＳ２０４)を行う。要するに、ネットワーク中継装置１０は、注目ルールに関する解析結果を記憶しておくための処理を、行う。
【００３６】
その後、ネットワーク中継装置１０は、フィルタリングルール設定指示情報中の全てのフィルタリングルールに対する処理が完了したか否かを判断(ステップＳ２１０)し、全てのフィルタリングルールに対する処理が完了していなかった場合(ステップＳ２１０；ＮＯ)には、ステップＳ２０１以降の処理を開始する。すなわち、ネットワーク中継装置１０は、フィルタリングルール設定指示情報中の次のフィルタリングルールを注目ルールとして特定(ステップＳ２０１)した後、その注目ルールが登録不可ルールであるか否かを判断する(ステップＳ２０２)。
【００３７】
注目ルールが登録不可ルールではなかった場合(ステップＳ２０２；ＮＯ)、ネットワーク中継装置１０は、注目ルールが内容矛盾ルールであるか否かを判断する(ステップＳ２０３)。ここで、内容矛盾ルールとは、フィルタリングルールテーブル１３にその時点において記憶されているいずれかのフィルタリングルール、第１種ルール或いは第２種ルールに既に分類されているいずれかのフィルタリングルール（図６のステップＳ１０４にてフィルタリングルールテーブル１３に記憶されることになるフィルタリングルール）と内容が矛盾しているフィルタリングルール（或るフィルタリングルールにて透過が指示されているパケットの遮断を指示するようなフィルタリングルール）のことである。
【００３８】
注目ルールが内容矛盾ルールであった場合(ステップＳ２０３；ＹＥＳ)、ネットワーク中継装置１０は、注目ルールに関する情報として、当該注目ルールが第４種ルール（この場合、内容矛盾ルール）に分類されるものであることを示す情報を記憶(ステップＳ２０４)してから、ステップＳ２０１以降の処理を行う。
【００３９】
注目ルールが内容矛盾ルールでなかった場合(ステップＳ２０３；ＮＯ)、ネットワーク中継装置１０は、注目ルールに含まれる送信元アドレス及び宛先アドレス，構成情報テーブル１１内の情報、及び、経路情報テーブル１２内の情報に基づき、注目ルールが適用されるパケット（以下、注目ルール適用パケットと表記する）を中継するネットワーク中継装置１０が、自装置のみであるか、自装置と他の１台以上のネットワーク中継装置１０であるか、他の１台以上のネットワーク中継装置１０のみであるかを判別すると共に、注目ルール適用パケットを転送する他の各ネットワーク中継装置１０のＩＰアドレスを特定する処理（ステップＳ２０５)を行う。なお、この処理は、フィルタリングルール設定指示情報の送信元ネットワーク中継装置１０が、注目ルール適用パケットを転送するネットワーク中継装置１０と見なされない処理（フィルタリングルール設定指示情報の送信元ネットワーク中継装置１０のＩＰアドレスが、注目ルール適用パケットを転送するネットワーク中継装置１０のＩＰアドレスとして特定されない処理）となっている。また、この処理は、経路情報テーブル１２に、そのＩＰアドレスが記憶されているネットワーク中継装置１０のみを対象として、注目ルール適用パケットの中継を行うネットワーク中継装置１０のＩＰアドレスを特定する処理となっている。
【００４０】
ステップＳ２０５の処理を終えたネットワーク中継装置１０は、注目ルール適用パケットを中継する装置が自装置のみであった場合(ステップＳ２０６；自装置のみ)には、注目ルールが第１種ルールに分類されるものであることを示す情報を当該注目ルールに関する情報として記憶する処理(ステップＳ２０７）を、行う。
【００４１】
また、注目ルール適用パケットを中継する装置が自装置と他の何台かのネットワーク中継装置１０であった場合(ステップＳ２０６；自・他)、ネットワーク中継装置１０は、注目ルールに関する情報として、当該注目ルールが第２種ルールに分類されるものであることを示す情報と、当該注目ルールに関して特定した各ネットワーク中継装置１０のＩＰアドレスとを記憶する処理(ステップＳ２０８)を行う。そして、ネットワーク中継装置１０は、注目ルール適用パケットを中継する装置が他の１台以上のネットワーク中継装置１０のみであった場合(ステップＳ２０６；他装置のみ)には、注目ルールに関する情報として、注目ルールが第３種ルールに分類されるものであることを示す情報と、当該注目ルールに関して特定した各ネットワーク中継装置１０のＩＰアドレスとを記憶する処理(ステップＳ２０９)を、行う。
【００４２】
このような処理（注目ルールに関する解析結果を記憶しておくための処理）をステップＳ２０７〜Ｓ２０９のいずれかにて行ったネットワーク中継装置１０は、ステップＳ２１０以降の処理を開始する。そして、ネットワーク中継装置１０は、全てフィルタリングルールに対する処理が完了した場合(ステップＳ２１０；ＹＥＳ)には、この設定指示情報解析処理を終了する。
【００４３】
図６に戻って、フィルタリングルール設定・配信処理の説明を続ける。
【００４４】
設定指示情報解析処理（ステップＳ１０２）を終えたネットワーク中継装置１０は、設定指示情報解析処理の結果（ステップＳ２０４，ステップＳ２０７〜Ｓ２０９の処理にて記憶した情報群）に基づき、以下の処理を行う。
【００４５】
ネットワーク中継装置１０は、設定指示情報解析処理にて第１種ルール或いは第２種ルールに分類されたフィルタリングルールが１個以上存在していた場合(ステップＳ２０３；ＹＥＳ)には、第１種ルール或いは第２種ルールに分類された各フィルタリングルールをフィルタリングルールテーブル１３に記憶する(ステップＳ１０４)。次いで、ネットワーク中継装置１０は、設定指示情報解析処理にて第２種ルール或いは第３種ルールに分類されたフィルタリングルールが１個以上存在しているか否かを判断する(ステップＳ１０５)。
【００４６】
一方、設定指示情報解析処理にて第１種ルール或いは第２種ルールに分類されたフィルタリングルールが１個以上存在していなかった場合(ステップＳ１０３；ＮＯ)、ネットワーク中継装置１０は、ステップＳ１０４の処理を行うことなく、ステップＳ１０５の判断を行う。
【００４７】
そして、ネットワーク中継装置１０は、設定指示情報解析処理にて第２種ルール或いは第３種ルールに分類されたフィルタリングルールが１個以上存在していなかった場合(ステップＳ１０５；ＮＯ)には、ステップＳ１０７の処理（詳細は後述）を行う。
【００４８】
一方、設定指示情報解析処理にて第２種ルール或いは第３種ルールに分類されたフィルタリングルールが１個以上存在していた場合(ステップＳ１０５；ＹＥＳ)、ネットワーク中継装置１０は、第２種ルール或いは第３種ルールに分類されている各フィルタリングルールと、各フィルタリングルールに関するものとして記憶している各ネットワーク中継装置１０のＩＰアドレスとに基づき、何台かのネットワーク中継装置１０に対するフィルタリングルール設定指示情報（ステップＳ１０１で記憶した情報返送先アドレスを含むもの）を生成して各ネットワーク中継装置１０に宛てて送信する処理(ステップＳ１０６)を行う。
【００４９】
具体的な手順の説明は省略するが、このステップＳ１０６で行われる処理は、フィルタリングルール設定指示情報を送信すべき各ネットワーク中継装置（第２種ルール或いは第３種種ルールに分類されているフィルタリングルールに関するものとして、フィルタリングルール設定・配信処理を行っているネットワーク中継装置内に記憶されている各ＩＰアドレスにて特定される各ネットワーク中継装置）１０に、そのネットワーク中継装置１０に渡すことが必要なフィルタリングルールのみを含む（そのネットワーク中継装置１０に渡すことが必要ではないフィルタリングルールを含まない）フィルタリングルール設定指示情報を送信する処理となっている。
【００５０】
要するに、ステップＳ１０６の処理は、フィルタリングルールαとフィルタリングルールβとが、第２種ルール或いは第３種ルールに分類されているものであり、フィルタリングルールαに関するものとしてＩＰアドレスＡとＩＰアドレスＢとが記憶されており、フィルタリングルールβに関するものとしてＩＰアドレスＡが記憶されていた場合、フィルタリングルールαとフィルタリングルールβとを含むフィルタリングルール設定指示情報を生成してＩＰアドレスＡを有するネットワーク中継装置１０に送信すると共に、フィルタリングルールαのみを含むフィルタリングルール設定指示情報を生成してＩＰアドレスＢを有するネットワーク中継装置１０に送信する処理となっている。
【００５１】
そして、ステップＳ１０６の処理を終えたネットワーク中継装置１０は、ステップＳ１０７にて、実行処理内容情報を送信する必要があるか否かを判断する。
【００５２】
このステップＳ１０７において、ネットワーク中継装置１０は、（ａ）処理したフィルタリングルール設定指示情報がコンピュータから受信したものであった場合と、（ｂ）処理したフィルタリングルール設定指示情報が他のネットワーク中継装置１０から受信したものであり、かつ、ステップＳ１０４の処理が行われておらず、かつ、当該フィルタリングルール設定指示情報中のいずれのフィルタリングルールも設定指示情報解析処理にて第４種ルールに分類されなかった場合とに、実行処理内容情報を送信する必要がないと判断し、それら以外の場合には、実行処理内容情報を送信する必要があると判断とする。
【００５３】
そして、ネットワーク中継装置１０は、実行処理内容情報を送信する必要があると判断した場合(ステップＳ１０７；ＹＥＳ)には、フィルタリングルール設定指示情報に含まれていた各フィルタリングルールと、各フィルタリングルールがどのように処理されたかを示す情報（第１種〜第４種ルールのいずれとして取り扱われたかを示す情報相当の情報）とを含む実行処理内容情報を生成して、情報返送先アドレスで特定される他のネットワーク中継装置（要するに、コンピュータからフィルタリングルール設定指示情報を受信したネットワーク中継装置）１０に送信する処理(ステップＳ１０８)を行ってから、フィルタリングルール設定・配信処理を終了する。なお、ステップＳ１０８の処理で送信された実行処理内容情報は、それを受信したネットワーク中継装置１０内に、コンピュータを利用して、その内容を確認できる形で保持される。
【００５４】
また、ネットワーク中継装置１０は、実行処理内容情報を送信する必要がないと判断した場合(ステップＳ１０７；ＮＯ)には、特に処理を行うことなく、フィルタリングルール設定・配信処理を終了する。
【００５５】
本実施形態に係るネットワーク中継装置１０は、上記のように動作する装置であるため、このネットワーク中継装置１０が複数台用いられたネットワークは、１台のネットワーク中継装置１０に対して各種フィルタリングルールを設定する作業を行えば（コンピュータに、１台のネットワーク中継装置１０に対してフィルタリングルール設定指示情報を送信させれば）、全てのネットワーク中継装置１０内のフィルタリングルールテーブル１３に適切な内容のフィルタリングルールが記憶されるものとなる。
【００５６】
具体的には、例えば、３台のネットワーク中継装置１０ａ，１０ｂ及び１０ｃを用いて図９に示した構成のネットワークが構築されており、ネットワーク中継装置１０ａ，１０ｂ，１０ｃがそれぞれ備える経路情報テーブル１２ａ，１２ｂ，１２ｃの内容が図示したもの（インタフェースを省略してある）であるときに、図１０に示した内容のフィルタリングルール設定指示情報２０をコンピュータからネットワーク中継装置１０ａに対して送信した場合を考える。
【００５７】
この場合、フィルタリングルール設定指示情報２０に対する設定指示情報解析処理（図７）がネットワーク中継装置１０ａにて行われる。
【００５８】
そして、設定指示情報解析処理が完了すると、ネットワーク中継装置１０ａは、フィルタリングルール設定指示情報２０中の"deny  192.168.1.5  172.16.2.0/24"というフィルタリングルール（以下、ルール＃１と表記する）、"deny  192.168.2.0/24  172.16.2.0/24"というフィルタリングルール（以下、ルール＃２と表記する）のいずれについても、そのルールが第２種ルールに分類されるものであることを示す情報と、"172.16.1.254"とを記憶している状態となる。
【００５９】
何故ならば、経路情報テーブル１２ａ（図９）が、"172.16.2.0/24"に対して"direct"が記憶されており、かつ、"192.168.1.0/24"("192.168.1.5"は"192.168.1.0/24"に含まれるアドレス)、"192.168.2.0/24"のいずれに対しても"172.16.1.254"が記憶されているものとなっているからである。
【００６０】
そして、上記状態で、フィルタリングルール設定・配信処理（図６）のステップＳ１０３以降の処理が行われるため、結局、コンピュータからフィルタリングルール設定指示情報２０を受信したネットワーク中継装置１０ａは、図１１に模式的に示したように、ルール＃１、ルール＃２が適用された状態に移行すると共に、フィルタリングルール設定指示情報２０と本質的には同内容のフィルタリングルール設定指示情報２１（ルール＃１、ルール＃２と、情報返送先アドレスを含む情報）を、ネットワーク中継装置１０ｂに対して送信することになる。
【００６１】
このフィルタリングルール設定指示情報２１を受信したネットワーク中継装置１０ｂでは、フィルタリングルール設定指示情報２１に対する設定指示情報解析処理が行われる。そして、経路情報テーブル１２ｂが図９に示した内容のものであるため、設定指示情報解析処理完了後のネットワーク中継装置１０ｂは、ルール＃１については、そのルールが第１種ルールに分類されるものであることを示す情報を記憶しており、ルール＃２については、そのルールが第２種ルールに分類されるものであることを示す情報と、"192.168.2.1"とを記憶している状態となる。
【００６２】
そして、当該状態で、フィルタリングルール設定・配信処理のステップＳ１０３以降の処理が行われるので、ネットワーク中継装置１０ａからフィルタリングルール設定指示情報２１を受信したネットワーク中継装置１０ｂは、図１２に模式的に示したように、ルール＃１、ルール＃２が適用された状態に移行すると共に、ルール＃１のみを含むフィルタリングルール設定指示情報２２を、ネットワーク中継装置１０ｃに対して送信することになる。また、図示は省略してあるが、ネットワーク中継装置１０ｂは、実行処理内容情報をネットワーク中継装置１０ａに対して送信することにもなる。
【００６３】
フィルタリングルール設定指示情報２２を受信したネットワーク中継装置１０ｃでは、フィルタリングルール設定指示情報２２に対する設定指示情報解析処理が行われる。そして、経路情報テーブル１２ｃの内容が図９に示してあるものであるため、設定指示情報解析処理完了後のネットワーク中継装置１０ｃは、ルール＃１について、そのルールが第１種ルールに分類されるものであることを示す情報を記憶している状態となる。
【００６４】
そして、当該状態で、フィルタリングルール設定・配信処理のステップＳ１０３以降の処理が行われるので、ネットワーク中継装置１０ｂからフィルタリングルール設定指示情報２２を受信したネットワーク中継装置１０ｃは、ルール＃１が適用された状態に移行するための処理と、実行処理内容情報をネットワーク中継装置１０ａに対して送信する処理のみを行う（フィルタリングルール設定指示情報を送信する処理を行わない）ことになる。
【００６５】
以上、詳細に説明したように、本実施形態に係るネットワーク中継装置１０は、幾つかのフィルタリングルールを含むフィルタリングルール設定指示情報を受信した場合、それに含まれる各フィルタリングルール中の送信元アドレス及び宛先アドレスと、各インタフェースに接続されているネットワークに関するアドレス情報とに基づき、各フィルタリングルールが、どのネットワーク中継装置（自装置のみ、他装置のみ、自装置及び他装置）内のフィルタリングルールテーブル１３に記憶されるべきものであるかを判断して、自装置内のフィルタリングルールテーブル１３に記憶されるべきものと判断した各フィルタリングルールを実際にフィルタリングルールテーブル１３に記憶する機能を有するものとなっている。さらに、ネットワーク中継装置は、他装置内のフィルタリングルールテーブル１３に記憶されるべきものと判断した各フィルタリングルールを、当該他装置内のフィルタリングルールテーブル１３に記憶させるための処理（幾つかのフィルタリングルール設定指示情報を生成して何台かのネットワーク中継装置に対して送信する処理）を行う機能を有するものとなっている。
【００６６】
このため、複数台のネットワーク中継装置１０を用いれば、フィルタリングルールの設定が極めて容易に行えるネットワークを構築できることになる。
【００６７】
＜変形形態＞
上記したネットワーク中継装置１０は、各種の変形を行うことが出来る。例えば、フィルタリングルール登録拒否条件テーブル１４に、登録を許可するフィルタリングルールを指定する情報も記憶できるように、ネットワーク中継装置１０を変形することが出来る。また、フィルタリングルール登録拒否条件テーブル１４を備えないものに、ネットワーク中継装置１０を変形することも出来る。
【００６８】
また、ネットワーク中継装置１０が送受信するフィルタリングルール設定指示情報や、ネットワーク中継装置が備える各テーブルの具体的な構成を、上記したものとは異なるもおとしても良いことや、ネットワーク中継装置１０相当の装置をルータではなく、レイヤ３スイッチとして実現しておいてもよいことは、当然のことである。
【００６９】
（付記１）  異なるネットワークに接続される複数のインタフェースを有するネットワーク中継装置であって、
透過或いは削除するパケットの送信元アドレス及び宛先アドレスを含むフィルタリング処理内容規定情報を複数個記憶可能な情報記憶手段と、
操作者によって前記フィルタリング処理内容規定情報が１個以上指定された場合には、指定された各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、前記複数のインタフェースのそれぞれに接続されているネットワークに関するアドレス情報とに基づき、各フィルタリング処理内容規定情報が、自装置のみが行うべきパケットフィルタリング処理の内容を規定している第１種規定情報，自装置と他のネットワーク中継装置とが行うべきパケットフィルタリング処理の内容を規定している第２種規定情報，他のネットワーク中継装置のみが行うべきパケットフィルタリング処理の内容を規定している第３種規定情報のいずれであるかを判別する手段であると共に、他のネットワーク中継装置から送信されてきた，前記フィルタリング処理内容規定情報が１個以上含まれる所定形式のフィルタリング処理実行指示情報を受信した場合には、当該フィルタリング処理実行指示情報に含まれる各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、前記複数のインタフェースのそれぞれに接続されているネットワークに関する前記アドレス情報とに基づき、各フィルタリング処理内容規定情報が、前記第１種規定情報，前記第２種規定情報，前記第３種規定情報のいずれであるかを判別する手段である判別手段と、
前記判別手段により前記第１種規定情報或いは前記第２種規定情報であると判別された各フィルタリング処理内容規定情報を前記情報記憶手段に記憶する手段であると共に、前記判別手段により前記第２種規定情報或いは前記第３種規定情報であると判別された各フィルタリング処理内容規定情報にてその内容が規定されているパケットフィルタリング処理が当該処理を行うべき他のネットワーク中継装置にて行われるように、前記判別手段により前記第２種規定情報或いは前記第３種規定情報であると判別された各フィルタリング処理内容規定情報に基づき，前記所定形式の幾つかのフィルタリング処理実行指示情報を生成して幾つかのインタフェースより送信する手段である情報処理手段と
を備えることを特徴とするネットワーク中継装置。（１）
（付記２）  前記判別手段が操作者によって指定された１個以上のフィルタリング処理内容規定情報に対して動作した結果として前記情報処理手段が送信する前記フィルタリング処理実行指示情報が、自装置のアドレスを実行処理内容情報返送先アドレスとして含む情報であり、前記判別手段が他のネットワーク中継装置から送信されてきた前記フィルタリング処理実行指示情報に対して動作した結果として前記情報処理手段が送信する前記フィルタリング処理実行指示情報が、前記判別手段によって受信された前記フィルタリング処理実行指示情報に含まれていた前記実行処理内容情報返送先アドレスが含まれる情報であり、
他のネットワーク中継装置から自装置に宛てて送信されてきた前記実行処理内容情報を、前記操作者にその内容を確認させるために、出力する実行処理内容情報出力手段を、さらに備える
ことを特徴とする付記１記載のネットワーク中継装置。（２）
（付記３）  前記情報処理手段が、前記判別手段により前記第１種規定情報或いは前記第２種規定情報であると判別された各フィルタリング処理内容規定情報を前記情報記憶手段に記憶する処理を行わなかった場合には、前記実行処理内容情報を送信しない手段である
ことを特徴とする付記２記載のネットワーク中継装置。（３）
（付記４）    前記判別手段が、操作者により指定された各フィルタリング処理内容規定情報、及び、受信したフィルタリング処理実行指示情報に含まれる各フィルタリング処理内容規定情報について、そのフィルタリング処理内容規定情報にてその内容が規定されているパケットフィルタリング処理が、前記第１種規定情報，前記第２種規定情報，前記第３種規定情報，その時点において前記情報記憶手段に記憶されているいずれかのフィルタリング処理内容規定情報と矛盾する内容のパケットフィルタリング処理の実行を指示するフィルタリング処理内容規定情報である内容矛盾規定情報のいずれであるかを判別する手段であり、
前記情報処理手段が、前記判別手段によって或るフィルタリング処理内容規定情報が前記内容矛盾規定情報であると判別された場合、そのフィルタリング処理内容規定情報については、そのフィルタリング処理内容規定情報が前記内容矛盾規定情報であることを示す前記実行処理内容情報を前記実行処理内容情報返送先アドレスを有する他のネットワーク中継装置に宛てて送信する処理のみを行う手段である
ことを特徴とする付記２記載のネットワーク中継装置。（４）
（付記５）  前記判別手段に、登録不可規定情報であると判別させるフィルタリング処理内容規定情報を指定する登録不可規定情報指定情報を設定可能な登録不可規定情報指定情報記憶手段を、さらに備え、
前記情報処理手段が、前記判別手段によって或るフィルタリング処理内容規定情報が前記登録不可規定情報であると判別された場合には、そのフィルタリング処理内容規定情報に関しては、そのフィルタリング処理内容規定情報が前記登録不可規定情報であることを示す前記実行処理内容情報を前記実行処理内容情報返送先アドレスを有する他のネットワーク中継装置に宛てて送信する処理のみを行う手段である
ことを特徴とする付記２記載のネットワーク中継装置。（５）
（付記６）  複数のネットワークが、複数のインタフェースを有する複数台のネットワーク中継装置によって相互に接続されたネットワークシステムであって、
前記複数台のネットワーク中継装置のそれぞれが、
透過或いは削除するパケットの送信元アドレス及び宛先アドレスを含むフィルタリング処理内容規定情報を複数個記憶可能な情報記憶手段と、
他のネットワーク中継装置から送信されてきた，前記フィルタリング処理内容規定情報が１個以上含まれる所定形式のフィルタリング処理実行指示情報を受信した場合には、当該フィルタリング処理実行指示情報に含まれる各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、前記複数のインタフェースのそれぞれに接続されているネットワークに関する前記アドレス情報とに基づき、各フィルタリング処理内容規定情報が、自装置のみが行うべきパケットフィルタリング処理の内容を規定している第１種規定情報，自装置と他のネットワーク中継装置とが行うべきパケットフィルタリング処理の内容を規定している第２種規定情報，他のネットワーク中継装置のみが行うべきパケットフィルタリング処理の内容を規定している第３種規定情報のいずれであるかを判別する判別手段と、
前記判別手段により前記第１種規定情報或いは前記第２種規定情報であると判別された各フィルタリング処理内容規定情報を前記情報記憶手段に記憶する手段であると共に、前記判別手段により前記第２種規定情報或いは前記第３種規定情報であると判別された各フィルタリング処理内容規定情報にてその内容が規定されているパケットフィルタリング処理が当該処理を行うべき他のネットワーク中継装置にて行われるように、前記判別手段により前記第２種規定情報或いは前記第３種規定情報であると判別された各フィルタリング処理内容規定情報に基づき，前記所定形式の幾つかのフィルタリング処理実行指示情報を生成して幾つかのインタフェースより送信する手段である情報処理手段と
を備えた装置であり、
前記複数台のネットワーク中継装置の中の少なくとも１台のネットワーク中継装置が、
前記判別手段として、操作者によって前記フィルタリング処理内容規定情報が１個以上指定された場合には、指定された各フィルタリング処理内容規定情報中の送信元アドレス及び宛先アドレスと、前記複数のインタフェースのそれぞれに接続されているネットワークに関する前記アドレス情報とに基づき、各フィルタリング処理内容規定情報が、前記第１種規定情報，前記第２種規定情報，前記第３種規定情報のいずれであるかを判別する手段
を備えた装置である
ことを特徴とするネットワークシステム。
【図面の簡単な説明】
【００７０】
【図１】本発明の一実施形態に係るネットワーク中継装置の構成図。
【図２】実施形態に係るネットワーク中継装置の使用形態の説明図。
【図３】実施形態に係るネットワーク中継装置が備える構成情報テーブルの説明図。
【図４】実施形態に係るネットワーク中継装置が備える経路情報テーブルの説明図。
【図５】実施形態に係るネットワーク中継装置が備えるフィルタリングルールテーブルの説明図。
【図６】実施形態に係るネットワーク中継装置が実行するフィルタリングルール設定・配信処理の流れ図。
【図７】実施形態に係るネットワーク中継装置が実行する設定指示情報解析処理の流れ図。
【図８】実施形態に係るネットワーク中継装置が備えるフィルタリングルール登録拒否条件情報テーブルの説明図。
【図９】実施形態に係るネットワーク中継装置が用いられたネットワークの動作を説明するための図。
【図１０】フィルタリングルール設定指示情報の説明図。
【図１１】実施形態に係るネットワーク中継装置が用いられたネットワークの動作を説明するための図。
【図１２】実施形態に係るネットワーク中継装置が用いられたネットワークの動作を説明するための図。
【符号の説明】
【００７１】
１０，１０ａ，１０ｂ，１０ｃ  ネットワーク中継装置
１１  構成情報テーブル
１２，１２ａ，１０ｂ，１０ｃ  経路情報テーブル
１３  フィルタリングルールテーブル
１４  フィルタリングルール登録拒否条件情報テーブル
【図１】
2006025203.tif 000003
【図２】
2006025203.tif 000004
【図３】
2006025203.tif 000005
【図４】
2006025203.tif 000006
【図５】
2006025203.tif 000007
【図６】
2006025203.tif 000008
【図７】
2006025203.tif 000009
【図８】
2006025203.tif 000010
【図９】
2006025203.tif 000011
【図１０】
2006025203.tif 000012
【図１１】
2006025203.tif 000013
【図１２】
2006025203.tif 000014