(57)【要約】【課題】異常通信の遮断率を向上させる。【解決手段】複数のネットワーク装置と接続される制御装置であって、前記ネットワーク装置の通信量のうち、該ネットワーク装置と接続される通信遮断装置で遮断された異常通信の割合を示す遮断率に基づいて、前記通信遮断装置の処理能力のうち、前記ネットワーク装置から転送される通信の処理に割り当てる割合を示す分配割合を算出する分配割合算出部と、前記分配割合算出部により算出された前記分配割合に基づいて、前記ネットワーク装置から前記通信遮断装置への転送量を制御する制御部と、を有する。【選択図】図９
2018133669.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワーク装置と接続される制御装置であって、
前記ネットワーク装置の通信量のうち、該ネットワーク装置と接続される通信遮断装置で遮断された異常通信の割合を示す遮断率に基づいて、前記通信遮断装置の処理能力のうち、前記ネットワーク装置から転送される通信の処理に割り当てる割合を示す分配割合を算出する分配割合算出部と、
前記分配割合算出部により算出された前記分配割合に基づいて、前記ネットワーク装置から前記通信遮断装置への転送量を制御する制御部と、
を有することを特徴とする制御装置。
【請求項２】
前記ネットワーク装置の所定の第１のポートにおける第１の通信量と、所定の第２のポートにおける第２の通信量とを取得する通信量取得部と、
前記通信量取得部により取得された前記第１の通信量と、前記第２の通信量とに基づいて、前記遮断率を算出する遮断率算出部と、を有し、
前記分配割合算出部は、
前記遮断率算出部により算出された前記遮断率に基づいて、前記分配割合を算出する、ことを特徴とする請求項１に記載の制御装置。
【請求項３】
前記分配割合算出部は、
前記複数のネットワーク装置それぞれから受信した前記遮断率に基づいて、前記分配割合を算出する、ことを特徴とする請求項１に記載の制御装置。
【請求項４】
前記制御部は、
前記分配割合に応じた転送量を算出し、算出した転送量の通信を前記通信遮断装置に転送させるための制御信号を前記ネットワーク装置に送信することで、前記ネットワーク装置から前記通信遮断装置への転送量を制御する、ことを特徴とする請求項１乃至３の何れか一項に記載の制御装置。
【請求項５】
複数のネットワーク装置と接続される制御装置に用いられる制御方法であって、
前記ネットワーク装置の通信量のうち、該ネットワーク装置と接続される通信遮断装置で遮断された異常通信の割合を示す遮断率に基づいて、前記通信遮断装置の処理能力のうち、前記ネットワーク装置から転送される通信の処理に割り当てる割合を示す分配割合を算出する分配割合算出手順と、
前記分配割合算出手順により算出された前記分配割合に基づいて、前記ネットワーク装置から前記通信遮断装置への転送量を制御する制御手順と、
を有することを特徴とする制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置及び制御方法に関する。
【背景技術】
【０００２】
ルータやスイッチ、ゲートウェイ等の各種ネットワーク装置（以下、「ＮＷ装置」と表す。）から構成されるネットワーク環境では、様々なゲートウェイセキュリティ製品を用いてセキュリティ対策が施されている（非特許文献１）。このようなゲートウェイセキュリティ製品には、例えば、ＷＡＦ（Web Application Firewall）やＦＷ（Firewall）、ＩＰＳ（Intrusion Prevention System）等が用いられている（非特許文献２）。また、ＷＡＦやＦＷ、ＩＰＳ等の様々な機能が包括的に実装されているＵＴＭ（Unified Threat Management）アプライアンスも知られている。
【０００３】
ＷＡＦやＦＷ、ＩＰＳ等では、ネットワーク内のＩＴ機器（例えば、ＰＣ等の端末）に悪影響を及ぼす可能性がある通信（以下、「異常通信」と表す。）を検知し、遮断することで、セキュリティの確保を図っている。以降では、異常通信を検知及び遮断するＷＡＦやＦＷ、ＩＰＳ等の装置を「異常通信遮断装置」と表す。なお、異常通信には、サイバー攻撃等を目的とした通信の他、例えば、ＩＴ機器等の故障時に発生する通信等も含まれる。
【０００４】
また、異常通信を検知及び遮断する機能を有するＮＷ装置（以下「異常検知機能付きＮＷ装置」と表す。）も知られている（非特許文献３、非特許文献４）。このような異常検知機能付きＮＷ装置には、例えば、スイッチにセキュリティ機能を追加したものや、ＵＴＭアプライアンスにネットワーク機能を追加したもの等がある。
【０００５】
ここで、例えば通信キャリア等の大規模なネットワークでは、図１に示すように、複数の異常検知機能付きＮＷ装置１０を用いてネットワーク環境が構築されている場合が多い。図１に示す各異常検知機能付きＮＷ装置１０は、異常通信を遮断すると共に、異常でない通信（すなわち、正常通信）を通過させる。
【０００６】
また、図２に示すように、ＮＷ装置２０と異常通信遮断装置３０とを１台ずつ組み合わせることで、図１と同様に異常通信を遮断するネットワーク環境を構築することもできる。図２に示すネットワーク環境では、各ＮＷ装置２０は、自身が利用する異常通信遮断装置３０に通信を転送する。異常通信遮断装置３０は、ＮＷ装置２０から転送された通信のうち、異常通信を遮断すると共に、正常通信を当該ＮＷ装置２０に転送する。これにより、異常な通信が遮断され、正常通信を通過させることができる。
【０００７】
しかしながら、異常検知機能付きＮＷ装置や異常通信遮断装置は、通常のＮＷ装置と比べて価格が高いという問題があった。また、各異常検知機能付きＮＷ装置間（又は各異常通信遮断装置間）で異常通信の通信量に偏りがある場合、異常検知機能（又は異常通信遮断装置）のリソースが無駄になり、コストパフォーマンスが低下するという問題があった。
【０００８】
例えば、図１に示す３台の異常検知機能付きＮＷ装置１０のうち、１台の異常検知機能付きＮＷ装置１０が他の異常検知機能付きＮＷ装置１０と比べて異常通信の通信量が少ないものとする。このような場合、当該１台の異常検知機能付きＮＷ装置１０では、他の異常検知機能付きＮＷ装置１０と比べて異常検知機能のリソースが無駄になり、コストパフォーマンスが低下していた。
【０００９】
これらの問題に対して、図３に示すように、１台の異常通信遮断装置３０を複数のＮＷ装置２０（図３に示す例では、ＮＷ装置２０１及びＮＷ装置２０２の２台）で利用することが考えられる。ただし、この場合、ネットワークのスループットやレイテンシの低下を防止するため、各ＮＷ装置２０は、異常通信遮断装置３０への転送量を制限する必要がある（すなわち、各ＮＷ装置２０は、全ての通信を転送するのではなく、一部の通信のみを異常通信遮断装置３０に転送する）。これは、異常通信遮断装置３０には、単位時間あたりに処理可能な通信量が決まっているためである。
【先行技術文献】
【非特許文献】
【００１０】
【非特許文献１】"ゲートウェイセキュリティ製品の位置づけと分類"、［online］、インターネット＜ＵＲＬ：http://www.symantec.com/content/ja/jp/enterprise/brochures/b-gateway_security-ja.pdf＞
【非特許文献２】"WAF、IPS/IDS、F/W(ファイアウォール)との違い"、［online］、インターネット＜ＵＲＬ：https://www.symantec.com/ja/jp/page.jsp?id=waf-ips-ids＞
【非特許文献３】"セキュリティスイッチ TiFRONT"、［online］、インターネット＜ＵＲＬ：http://it.ampere.co.jp/network/security_switch/＞
【非特許文献４】"SG SERIES"、［online］、インターネット＜ＵＲＬ：http://www.security-switch.com/＞
【発明の概要】
【発明が解決しようとする課題】
【００１１】
しかしながら、１台の異常通信遮断装置３０を複数のＮＷ装置２０が利用する場合、各ＮＷ装置２０の転送量（異常通信遮断装置３０への転送量）には、これら各ＮＷ装置２０が受信する異常通信の通信量の偏りが考慮されていなかった。
【００１２】
例えば、図４に示すように、ＮＷ装置２０１が受信する異常通信の通信量は多い一方で、ＮＷ装置２０２では異常通信を受信していない場合、ＮＷ装置２０２では、異常通信遮断装置３０への不必要な転送が発生していた。この場合、ＮＷ装置２０２の転送量を減らし、かつ、ＮＷ装置２０１の転送量を増やすことで、ネットワーク全体で遮断可能な異常通信の通信量を増やすことができるようになる。
【００１３】
このように、各ＮＷ装置２０が受信する異常通信の偏りを考慮して、これら各ＮＷ装置２０の転送量を制御することで、ネットワーク全体における異常通信の遮断率を向上させることができる。
【００１４】
本発明では、上記の点に鑑みてなされたものであって、異常通信の遮断率を向上させることを目的とする。
【課題を解決するための手段】
【００１５】
そこで、上記課題を解決するため、複数のネットワーク装置と接続される制御装置であって、前記ネットワーク装置の通信量のうち、該ネットワーク装置と接続される通信遮断装置で遮断された異常通信の割合を示す遮断率に基づいて、前記通信遮断装置の処理能力のうち、前記ネットワーク装置から転送される通信の処理に割り当てる割合を示す分配割合を算出する分配割合算出部と、前記分配割合算出部により算出された前記分配割合に基づいて、前記ネットワーク装置から前記通信遮断装置への転送量を制御する制御部と、を有する。
【発明の効果】
【００１６】
異常通信の遮断率を向上させることができる。
【図面の簡単な説明】
【００１７】
【図１】従来のネットワーク環境の構成例（その１）を説明する図である。
【図２】従来のネットワーク環境の構成例（その２）を説明する図である。
【図３】複数のＮＷ装置が異常通信遮断装置を利用する場合の一例を説明する図である。
【図４】複数のＮＷ装置が異常通信遮断装置を利用する場合における課題を説明する図である。
【図５】本発明の実施の形態におけるネットワーク環境の構成例を示す図である。
【図６】本発明の実施の形態における制御装置のハードウェア構成例を示す図である。
【図７】本発明の実施の形態における制御処理部の機能構成例を示す図である。
【図８】本発明の実施の形態における転送量制御処理の一例を示すフローチャートである。
【図９】異常通信遮断装置の単位時間あたりの総処理能力の分配の一例を説明する図である。
【図１０】本発明の実施の形態におけるネットワーク環境の他の構成例を示す図である。
【発明を実施するための形態】
【００１８】
以下、本発明の実施の形態について、図面を参照しながら説明する。
【００１９】
＜ネットワーク環境Ｎの構成＞
まず、本発明の実施の形態におけるネットワーク環境Ｎの構成例について、図５を参照しながら説明する。図５は、本発明の実施の形態におけるネットワーク環境Ｎの構成例を示す図である。
【００２０】
図５に示すように、本発明の実施の形態におけるネットワーク環境Ｎには、制御装置１００と、複数のＮＷ装置２０と、異常通信遮断装置３０とが含まれる。ネットワーク環境Ｎは、例えば、ＬＡＮ（Local Area Network）等である。
【００２１】
制御装置１００は、制御処理部１１０を有する１以上のコンピュータである。制御装置１００は、制御処理部１１０により、各ＮＷ装置２０が異常通信遮断装置３０に転送する通信量（転送量）を制御する。
【００２２】
制御処理部１１０は、各ＮＷ装置２０から状態信号を受信することで、これら各ＮＷ装置２０の通信量の状態（すなわち、入口側ポートの通信量及び出口側ポートの通信量）を取得する。そして、制御処理部１１０は、入口側ポートの通信量と、出口側ポートの通信量とに応じて、異常通信遮断装置３０の単位時間あたりの総処理能力のうち、各ＮＷ装置２０に分配する割合（以下、「分配割合」という。）を算出する。その後、制御処理部１１０は、分配割合に応じた転送量を示す制御信号を各ＮＷ装置２０に送信する。制御信号を受信したＮＷ装置２０では、当該制御信号に応じて、異常通信遮断装置３０への転送量が設定（更新）される。
【００２３】
なお、入口側ポートとは、例えば、ＮＷ装置２０がルータである場合、他のネットワーク環境からネットワーク環境Ｎへの通信を受信するポートである。一方で、出口側ポートとは、例えば、ＮＷ装置２０がルータである場合、他のネットワーク環境からの通信をネットワーク環境Ｎ内に送信するポートである。言い換えれば、例えば、ＮＷ装置２０がルータである場合、入口側ポートはＬＡＮ側のポート、出口側のポートはＷＡＮ（Wide Area Network）側のポートである。
【００２４】
制御処理部１１０は、各ＮＷ装置２０について、入口側ポートの通信量に比べて出口側ポートの通信量が少ないものほど分配割合が多くなるように分配割合を算出する。すなわち、制御処理部１１０は、入口側ポートの通信量のうち、異常通信遮断装置３０で遮断された通信量の割合（以下、「遮断率」という。）が高いほど分配割合が多くなるように分配割合を算出する。
【００２５】
これにより、制御処理部１１０は、各ＮＷ装置２０について、正常通信の通信量に比べて異常通信の通信量の割合が多いＮＷ装置２０ほど異常通信遮断装置３０への転送量が多くなるように制御することができる。
【００２６】
なお、異常通信とは、上述したように、ネットワーク環境Ｎ内のＩＴ機器（例えば、ＰＣ等の端末）に悪影響を及ぼす可能性がある通信のことである。異常通信には、サイバー攻撃等を目的とした通信の他、例えば、ＩＴ機器等の故障時に発生する通信等も含まれる。一方、正常通信とは、異常通信以外の通信のことである。
【００２７】
ＮＷ装置２０は、上述したように、例えば、ルータやスイッチ、ゲートウェイ等の機器である。ＮＷ装置２０は、入口側ポートで受信した通信（正常通信又は異常通信）のうち、設定された転送量を異常通信遮断装置３０に転送する。
【００２８】
また、ＮＷ装置２０は、異常通信遮断装置３０から受信した通信（正常通信）を出口側ポートから送信する。なお、ＮＷ装置２０は、入口側ポートで受信した通信のうち、異常通信遮断装置３０に転送していない通信も出口側ポートから送信する。
【００２９】
異常通信遮断装置３０は、上述したように、ＷＡＦやＦＷ、ＩＰＳ等の装置（又は、これらの機能を有する装置）である。異常通信遮断装置３０は、ＮＷ装置２０から転送された通信のうち、異常通信を遮断（除去）した上で、当該ＮＷ装置２０に送信する。
【００３０】
なお、ネットワーク環境Ｎには、複数の異常通信遮断装置３０が含まれていても良い。この場合、ネットワーク環境Ｎには、例えば、これら複数の異常通信遮断装置３０それぞれへの転送量をそれぞれ制御する複数の制御装置１００が含まれていても良い。ただし、１台の制御装置１００が、これら複数の異常通信遮断装置３０への転送量を制御しても良い。
【００３１】
＜制御装置１００のハードウェア構成＞
次に、本発明の実施の形態における制御装置１００のハードウェア構成例について、図６を参照しながら説明する。図６は、本発明の実施の形態における制御装置１００のハードウェア構成例を示す図である。
【００３２】
図６に示すように、制御装置１００は、外部Ｉ／Ｆ１０１と、ＲＡＭ（Random Access Memory）１０２と、ＲＯＭ（Read Only Memory）１０３と、ＣＰＵ（Central Processing Unit）１０４と、通信Ｉ／Ｆ１０５と、補助記憶装置１０６とを有する。これら各ハードウェアは、それぞれがバスＢを介して通信可能に接続されている。
【００３３】
外部Ｉ／Ｆ１０１は、外部装置とのインタフェースである。外部装置には、記録媒体１０１ａ等がある。制御装置１００は、外部Ｉ／Ｆ１０１を介して記録媒体１０１ａ等の読み取りや書き込みを行うことができる。
【００３４】
記録媒体１０１ａには、例えば、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。
【００３５】
ＲＡＭ１０２は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１０３は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。ＲＯＭ１０３には、例えば、ＯＳ（Operating System）設定やネットワーク設定等が格納されている。
【００３６】
ＣＰＵ１０４は、ＲＯＭ１０３や補助記憶装置１０６等からプログラムやデータをＲＡＭ１０２上に読み出して処理を実行する演算装置である。通信Ｉ／Ｆ１０５は、制御装置１００をネットワークに接続するためのインタフェースである。
【００３７】
補助記憶装置１０６は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等であり、プログラムやデータを格納している不揮発性の記憶装置である。補助記憶装置１０６に格納されているプログラムやデータには、例えば、ＯＳ、当該ＯＳ上において各種機能を実現するアプリケーションソフトウェア、制御処理部１１０を実現するプログラム等がある。
【００３８】
なお、制御装置１００は、上記の各ハードウェアに加えて、例えば、ディスプレイ等の表示装置と、キーボードやマウス等の入力装置とを有していても良い。
【００３９】
本実施形態に係る制御装置１００は、図６に示すハードウェア構成を有することにより、後述する各種処理を実現することができる。
【００４０】
＜制御処理部１１０の機能構成＞
次に、本発明の実施の形態における制御処理部１１０の機能構成例について、図７を参照しながら説明する。図７は、本発明の実施の形態における制御処理部１１０の機能構成例を示す図である。
【００４１】
図７に示すように、制御処理部１１０は、通信量取得部１１１と、遮断率算出部１１２と、分配割合算出部１１３と、転送量制御部１１４とを有する。これら各機能部は、制御処理部１１０を実現するプログラムが、ＣＰＵ１０４に実行させる処理により実現される。
【００４２】
通信量取得部１１１は、各ＮＷ装置２０から受信した状態信号から通信量（すなわち、各ＮＷ装置２０の入口側ポートの通信量及び出口側ポートの通信量）を取得する。
【００４３】
なお、状態信号は、例えば、通信量取得部１１１が所定の時間毎に状態信号の送信要求を各ＮＷ装置２０に送信し、当該送信要求に対する応答として各ＮＷ装置２０から送信される。すなわち、通信量取得部１１１は、各ＮＷ装置２０の入口側ポート及び出口側ポートの通信量の状態を監視することで、これら入口側ポート及び出口側ポートの通信量を取得する。
【００４４】
ただし、これに限られず、状態信号は、例えば、所定の時間毎に各ＮＷ装置２０から制御装置１００に送信されても良い。また、通信量取得部１１１は、例えば、各ＮＷ装置２０から送信された状態信号を所定の記憶領域に保存した上で、所定の時間毎に、当該記憶領域から状態信号を読み出すことで通信量を取得しても良い。
【００４５】
遮断率算出部１１２は、通信量取得部１１１により取得された通信量（各ＮＷ装置２０の入口側ポートの通信量及び出口側ポートの通信量）から遮断率を算出する。
【００４６】
分配割合算出部１１３は、遮断率算出部１１２により算出された遮断率から分配割合を算出する。
【００４７】
転送量制御部１１４は、分配割合算出部１１３により算出された分配割合に応じた転送量を示す制御信号を各ＮＷ装置２０に送信する。
【００４８】
＜転送量制御処理＞
次に、制御装置１００の制御処理部１１０が、各ＮＷ装置２０の転送量を制御する処理（転送量制御処理）について、図８を参照しながら説明する。図８は、本発明の実施の形態における転送量制御処理の一例を示すフローチャートである。図８に示す転送量制御処理は、例えば、所定の時間毎に実行される。
【００４９】
まず、通信量取得部１１１は、各ＮＷ装置２０から受信した状態信号から、通信量（各ＮＷ装置２０の入口側ポートの通信量及び出口側ポートの通信量）を取得する（ステップＳ１０１）。なお、状態信号は、例えば、通信量取得部１１１が状態信号の送信要求を各ＮＷ装置２０に送信することで、当該送信要求の応答として各ＮＷ装置２０から送信される。
【００５０】
ここで、以降では、ネットワーク環境Ｎには、ｍ台のＮＷ装置２０（「ＮＷ装置２０１」、「ＮＷ装置２０２」、・・・、「ＮＷ装置２０ｍ」）が含まれるものとする。このとき、ＮＷ装置２０ｉ（ｉ＝１，・・・，ｍ）の入口側ポートの通信量をａｉ、出口側ポートの通信量をｂｉとする。
【００５１】
次に、遮断率算出部１１２は、通信量取得部１１１により取得された通信量ａｉ及びｂｉ（ｉ＝１，・・・，ｍ）から、各ＮＷ装置２０の遮断率ｒｉ（ｉ＝１，・・・，ｍ）を算出する（ステップＳ１０２）。なお、遮断率算出部１１２は、各ｉ＝１，・・・，ｍに対し、ｒｉ＝（ａｉ−ｂｉ）／ａｉにより遮断率ｒｉ（ｉ＝１，・・・，ｍ）を算出すれば良い。
【００５２】
次に、分配割合算出部１１３は、遮断率算出部１１２により算出された遮断率ｒｉから各ＮＷ装置２０の分配割合Ｓｉ（ｉ＝１，・・・，ｍ）を算出する（ステップＳ１０３）。分配割合Ｓｉ（ｉ＝１，・・・，ｍ）は、異常通信遮断装置３０の単位時間あたりの総処理能力を「１．０」であるとすれば、以下の数１に示す式で算出される。
【００５３】
【数１】
2018133669.tif 000003
なお、上記の数１に示す式においてαは、ハイパーパラメータである。αとしては、例えば、ＮＷ装置２０の最低分配割合（各ＮＷ装置２０の分配割合の下限）とすれば良い。このようなαの値は、例えば、ネットワーク環境Ｎの管理者等により予め設定される。
【００５４】
次に、転送量制御部１１４は、分配割合算出部１１３により算出された分配割合Ｓｉ（ｉ＝１，・・・，ｍ）に応じた転送量を示す制御信号を各ＮＷ装置２０に送信する（ステップＳ１０４）。
【００５５】
すなわち、転送量制御部１１４は、例えば、分配割合Ｓｉ（ｉ＝１，・・・，ｍ）に応じた転送量Ｔｉ（ｉ＝１，・・・，ｍ）を算出する。そして、転送量制御部１１４は、転送量Ｔｉ（ｉ＝１，・・・，ｍ）を示す制御信号（すなわち、転送量Ｔｉの通信量を異常通信遮断装置３０に転送させるための制御信号）を各ＮＷ装置２０ｉにそれぞれ送信する。
【００５６】
ＮＷ装置２０ｉ（ｉ＝１，・・・，ｍ）は、制御装置１００から制御信号を受信すると、受信した制御信号が示す転送量Ｔｉに設定を更新する。これにより、ＮＷ装置２０ｉ（ｉ＝１，・・・，ｍ）は、入口側ポートが受信した通信のうち、設定された転送量Ｔｉの通信を異常通信遮断装置３０に転送することができる。
【００５７】
なお、図８に示す転送量制御処理では、通信量取得部１１１がＮＷ装置２０ｉから通信量ａｉ及びｂｉを取得した後、遮断率算出部１１２が通信量ａｉ及びｂｉから遮断率ｒｉを算出したが、これに限られない。例えば、制御装置１００は、各ＮＷ装置２０ｉ（ｉ＝１，・・・，ｍ）から遮断率ｒｉを取得しても良い。又は、制御装置１００は、各ＮＷ装置２０ｉ（ｉ＝１，・・・，ｍ）から「遮断率ｒｉ」又は「通信量ａｉ及びｂｉ」のいずれかを取得しても良い。
【００５８】
以上のように、本発明の実施の形態における制御装置１００は、例えば所定の時間毎に、各ＮＷ装置２０の遮断率に応じた分配割合を算出する。そして、本発明の実施の形態における制御装置１００は、算出した分配割合に応じた転送量を示す制御信号を各ＮＷ装置２０に送信する。これにより、本発明の実施の形態における制御装置１００は、異常通信の遮断率に応じて、各ＮＷ装置２０の転送量を動的に制御することができる。
【００５９】
＜異常通信遮断装置３０の単位時間あたりの総処理能力の分配＞
ここで、分配割合算出部１１３により算出された分配割合Ｓｉ（ｉ＝１，・・・，ｍ）から、異常通信遮断装置３０の単位時間あたりの総処理能力が分配される場合について、図９を参照しながら説明する。図９は、異常通信遮断装置３０の単位時間あたりの総処理能力の分配の一例を説明する図である。
【００６０】
図９に示すように、異常通信遮断装置３０の単位時間あたりの総処理能力「１．０」のうち、所定の時間毎に各ＮＷ装置２０に動的に割り当てられる第１の範囲を「１−ｍα」、各ＮＷ装置２０の最低分配割合が割り当てられる第２の範囲「ｍα」とする。このとき、各分配割合Ｓｉ（ｉ＝１，・・・，ｍ）は、第１の範囲に割り当てられた「Ｓｉ−α」と、最第２の範囲に割り当てられた「α」との和で表される。このように、各分配割合Ｓｉ（ｉ＝１，・・・，ｍ）を割り当てることで、例えば、あるＮＷ装置２０ｋについて遮断率ｒｋ＝０となる場合には、分配割合Ｓｋを、第２の範囲に割り当てられた最低分配割合「α」で表すことができる。
【００６１】
＜ネットワーク環境の他の構成＞
ここで、本発明の実施の形態では、制御装置１００と異常通信遮断装置３０とが異なる装置である場合について説明したが、これに限られない。本発明の実施の形態は、例えば、図１０に示すように、異常通信遮断装置３０が制御処理部１１０を有していても良い。この場合、異常通信遮断装置３０が、制御処理部１１０により、各ＮＷ装置２０の転送量を制御する。これにより、ネットワーク環境Ｎを構成する装置の台数を削減することができ、例えば、ネットワーク環境Ｎのコスト削減や保守性の向上等を図ることができる。
【００６２】
＜まとめ＞
以上のように、本発明の実施の形態における制御装置１００は、各ＮＷ装置２０について、入口側ポートが受信した通信のうち、異常通信遮断装置３０で遮断された割合（遮断率）に応じて、各ＮＷ装置２０の分配割合を動的に更新する。これにより、本発明の実施の形態における制御装置１００は、各ＮＷ装置２０の転送量（異常通信遮断装置３０への転送量）を動的に変更することができる。
【００６３】
しかも、本発明の実施の形態における制御装置１００は、各ＮＷ装置２０のうち、遮断率が高いＮＷ装置２０ほど分配割合を高くする。このため、入口側ポートの通信量に比して出口側ポートの通信量が少ないＮＷ装置２０（すなわち、異常通信が多いＮＷ装置２０）ほど異常通信遮断装置３０への転送量を多くすることができる。したがって、本発明の実施の形態における制御装置１００によれば、ネットワーク環境Ｎ全体における異常通信の遮断率を向上させることができる。
【００６４】
また、異常通信の遮断率が向上することで、本発明の実施の形態における制御装置１００が無い場合と比較して、ネットワーク環境Ｎ全体における堅牢性を向上させることができる。更に、本発明の実施の形態における制御装置１００を用いることで、１台の異常通信遮断装置３０を複数のＮＷ装置２０で利用することができるため、設備費等のコストを削減することもできる。
【００６５】
なお、本発明の実施の形態における制御装置１００は、上記の数１で示す式以外にも、例えば、人工知能（ＡＩ：Artificial Intelligence）等の技術を用いて各ＮＷ装置２０の分配割合を算出することもできる。
【００６６】
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。
【符号の説明】
【００６７】
２０        ＮＷ装置
３０        異常通信遮断装置
１００      制御装置
１１０      制御処理部
１１１      通信量取得部
１１２      遮断率算出部
１１３      分配割合算出部
１１４      転送量制御部
【図１】
2018133669.tif 000004
【図２】
2018133669.tif 000005
【図３】
2018133669.tif 000006
【図４】
2018133669.tif 000007
【図５】
2018133669.tif 000008
【図６】
2018133669.tif 000009
【図７】
2018133669.tif 000010
【図８】
2018133669.tif 000011
【図９】
2018133669.tif 000012
【図１０】
2018133669.tif 000013