(57)【要約】主目的は、ネットワークにおいて不正アクセス、伝送路切断、ノードなどのネットワーク構築部材の破壊に対するセキュリテイを確保することである。フレーム・フォーマットのＡＣＭ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ）部のバイト数が広域伝送路を通過する回数に対応しているネットワークにおいて、受信ノードはＡＣＭ部のバイト数によって、データのアクセスを許すか許さないかを決める。トリガー・トークンを利用してデータ競合を回避するサブネットにおいて、物理的破壊に対するセキュリテイは、トリガー・トークンの到来に対して、直ちにデータ列、トリガー・トークンまたはＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）と称する確認信号を返すこと、および、トリガー・トークン再送用タイマーを起動させることの連携動作で、正常なノードが不良ノードや伝送路不具合を指摘する。
2003092221.tif 000002
【特許請求の範囲】
【請求項１】
多数のサブネットを広域伝送路で接続されたネットワークがあり、
Ａ．フレーム・フォーマットがＡＣＭ部とデータ部から構成されていること
Ｂ．ＡＣＭ部の記載バイト数または通過記号数が、通過する広域伝送路数と対応すること
前記Ａ．およびＢ．の条件を満たすフレーム・フォーマットによって、
データ転送が行われるネットワークにおいて、
転送データの受信に際して、
Ｃ．宛先に指定された受信ノード自身がＡＣＭ部に記載されたバイト数または通過記号数を数え、
数えた個数があらかじめ決められた数値と異なるならば、
データ部の受信を拒否すること、
Ｄ．宛先に指定された受信ノード自身がＡＣＭ部に記載されたバイト数若しくは通過記号数を数え、
Ｄ−１．数えた個数があらかじめ決められた数値と同一ならば、
データ部の受信をすること、
若しくは、
Ｄ−２．数えた個数があらかじめ決められた数値と同一であり、
更に、通過してきたルーティング・アドレスが、
あらかじめ決められたアドレスと異なるならば、
データ部の受信を拒否すること、
Ｄ−３．数えた個数があらかじめ決められた数値と同一であり、
更に、通過してきたルーティング・アドレスが、
あらかじめ決められたアドレスと同一ならば、
データ部の受信をすること、
によって、
不正アクセスとしてデータ部の受信を拒否するか、あるいは、正規アクセスとしてデータ部の受信をするかを、決定する前記Ｃ．Ｄ．Ｄ−１．若しくはＣ．Ｄ．Ｄ−２．Ｄ−３の手段を有するノード。
【請求項２】
トリガー・トークンを利用してデータ競合を避けるネットワークにおいて、
トリガー・トークンを受信したネットワーク構成部材は、
Ａ．直ちに送信するべきデータ列があれば、
データ列を確認信号として送信し、
Ｂ．直ちに送信するべきデータ列が無く、
直ちに送信するべきトリガー・トークンがあれば、
トリガー・トークンを確認信号として送信し、
Ｃ．直ちに送信するべきデータ列が無く、
直ちに送信するべきトリガー・トークンが無ければ、
ＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）信号を確認信号として送出し、
前記Ａ．Ｂ．Ｃ．の優先順位で確認信号を送出する機構を有するネットワークを構成する部材。
【請求項３】
トリガー・トークンを利用してデータ競合を避けるネットワークにおいて、
トリガー・トークンを送出したネットワーク構成部材は、
Ｄ．トリガー・トークン送信時に、
トリガー・トークンを再送すべきタイマーを起動し、
Ｅ．タイマーのタイム・アップ時刻迄に、
確認信号を受信したならば、
トリガー・トークンを再送すべきタイマーを停止させること
Ｆ．タイマーのタイム・アップ時刻迄に、
確認信号を受信していないならば、
トリガー・トークンを再送し前記Ｄ．から繰り返すこと、
によって、
トリガー・トークンを再送すべきタイマーが停止されるまで、
トリガー・トークンの再送を繰り返す前記Ｄ．Ｅ．Ｆ．の機構を有するネットワークを構成する部材。
【請求項４】
請求第２項の部材および請求第３項の部材が、
互いにポイント・ツー・ポイントの伝送路で接続している状態において、
前掲Ｄ．によって、トリガー・トークンを送出し、
前掲Ａ．Ｂ．Ｃ．によって、確認信号を送出し、
前掲Ｆ．によって、トリガー・トークンを再送すること、若しくは、
前掲Ｅ．によって、トリガー・トークン再送タイマーを停止させることによって、
トリガー・トークンの送出、確認信号の送出、トリガー・トークンの再送をすること、若しくは、トリガー・トークンの再送を停止すること、
を行なう一連の方法。
【請求項５】
請求項３に記載のネットワークを構成する部材は、以下の要素を含む；光、音、振動、電圧または電流、若しくは、電磁波の物理媒体によって、前掲Ｆ．を施した部材が、該当部材の外部に、明示させる機構を有する。
【発明の詳細な説明】
技術分野
本発明は、多数のネットワーク構成部材が接続されたネットワークにおいて、部材が送信・中継・受信について決められた条件処理を満たすことによって、ネットワーク外部からの侵入に対し、セキュリテイを確保する機構に関する。
背景技術
ネットワーク外部からの侵入に対するセキュリテイは、ネットワークを構成するノードに対する不正アクセスやデータの改竄（かいざん）などのソフトウェア問題と、ネットワークの物理的破壊のハードウェア問題に分けられる。
データに対する従来のソフトウェア・セキュリテイ問題解決は、公開鍵方式とデータ暗号化に集約される。公開鍵方式は、受信データ列を正規のものとして受信するか、または不正アクセスとして廃棄するかを、受信ヘッダー情報によって決めるものである。また、データ暗号化は、受信データの順番を入れ替えたり、文字列変換を行なったりして、直ちに受信データ文字列から意味を判断できないようにする方式である。これらのセキュリテイ方法は、１回の送信データ量が少ない制御・計測分野のネットワークであれば、実質データ量よりもセキュリテイ用データ量の方が遙に多くなり実用に供すれば多くの無駄が生じる。
物理的破壊に対する従来のハードウェア・セキュリテイ問題解決は、伝送路の二重化またはメインサーバでの監視によって、ネットワークのシステムダウンを防いでいた。しかし、ＰＣＴ／ＪＰ９９／０４２８４（国際公開ＷＯ０１／１１８２９トークンによる調停機構を有するネットワーク）に記載されているネットワークは、ノード番号が不要でありメインサーバも有しないため、伝送路の二重化でセキュリテイを確保する方法しか選択できなかった。
本発明は、ＰＣＴ／ＪＰ００／０７３９４（データ多重化ネットワーク機構）のサブネットを多数接続するネットワークにおけるセキュリテイを開示する。しかしながら、本発明の国際出願時において、前記データ多重化ネットワーク機構が公開されておらず、優先権主張の期間も過ぎているので、〔先行技術の概略〕として説明する。
先行技術の概略
図１は、ＰＣＴ／ＪＰ００／０７３９４の図２を一部変更したネットワークであり、サブネット２６，２７，２８，２９と４０を広域伝送路１６，１７，１８，１９で接続した広域ネットワークである。各サブネットは１１，１２，１３，１４，１５の同一アドレスを持つノードで構成されている。
図２は、ＰＣＴ／ＪＰ００／０７３９４の図５、及び、ＰＣＴ／ＪＰ９５／００６５３（国際公開ＷＯ９６／３１９６８転送識別と調停機構を有するコンピュータ用ネットワーク）の図５を合成させ、更に、詳細を記載した図１のデータ転送用フレーム・フォーマットである。
フレーム２３，２４，２５は、ＡＣＭ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ）部とデータ部で構成されている。ＡＣＭ部はコード部および複数のアドレス部に分けられている。アドレス部は、アドレスの意味を示す記号用ビット列とアドレス用ビット列から構成されている。記号は“＿”“＊”“／”で、各々“ＬＡＮ内宛先＝出口アドレス”“ルーティング処理後または最終宛先”“送信元”を表すものとする。なお、フレーム２４，２５で“＿出口”と記載しているのは、広域伝送路を通過した後に“＊ルート”となって、アドレス用ビット列が動的に変化されるものを示している。
１つのサブネット内でのデータ転送は、フレーム２３を使用して転送する。
例えば、サブネット４０のノード１３からサブネット４０のノード１４へは、
2003092221.tif 000003
同様に、サブネット２９のノード１３からサブネット２９のノード１４へは、
2003092221.tif 000004
となり、同一フレームであっても、送信や受信ノードが異なる場合がある。任意のサブネットから１つの広域伝送路を通過して隣接する他のサブネットへのデータ転送は、フレーム２４を使用して転送する。
2003092221.tif 000005
の場合は、次の３通りのデータ転送がある。
2003092221.tif 000006
任意のサブネットから２つの広域伝送路を通過して、他のサブネットへのデータ転送は、フレーム２５を使用して転送する。
2003092221.tif 000007
このフレームは、２８の１５から２９の１１へのデータ転送する場合に使用する。
2003092221.tif 000008
ルーティングが記載されているフレーム２４や２５において、広域伝送路からデータ列を受信したノードは、ＡＣＭ部のアドレスを左側へシフトさせて、記号付自己アドレスを記入して、ルーティング処理をしたことを示す。
例えば、前記フレーム２５の変遷は、次の様になる。
2003092221.tif 000009
なお、２９の１１が２８の１５への返送は、
受信アドレス部＊１１，＊１２，＊１３，／１５を左側へシフトさせ、“＊”の記号を“＿”に、“／”の記号を“＊”にして、＿１２，＿１３，＊１５とさせてから、自己アドレスを追加させて、「コード，＿１２，＿１３，＊１５，／１１，返送データ列」とする。
すなわち、アドレス部の第２フレームの記号が“＿”ならば、広域伝送路に転送させる。広域伝送路を通して受信した場合はルーティング完了であり、通過アドレスを削除し、通過記号“＊”付自己アドレスを付加する。
しかし、ＡＣＭ部のバイト数は、送信元、中継ノード、宛先ノードのすべてにおいて、変化しないことを明確に示している。
図３は、ＰＣＴ／ＪＰ００／０７３９４の図１１の一部を拡大し、図１のサブネット２９を構成するノード１１，１２，１３，１４に流れるトリガー・トークンとデータ信号を表したタイムチャートである。
ノード１１，１２，１３，１４を接続するサブネット内の伝送路は、物理的にはポイント・ツー・ポイント接続であるが、機能的にはトリガー・トークンの巡回範囲でバス型となっている。
トリガー・トークン６０は、６１，６２，６３，６４，６５，６６，６７，６８，６９，７０の軌跡を描き、ノード間を巡回する。トリガー・トークン６０のノード巡回によって、各ノード間のデータ進行方向が変えられる。例えば、トリガー・トークン６０が６１〜６６の左端→右端→左端の巡回中、データ８１，８２，８３の進行方向はすべて左向きである。また、トリガー・トークン６４〜６９の右端→左端→右端の巡回中、データ８４，８５の進行方向はすべて右向きである。同様に、トリガー・トークン６７〜７０の左端→右端→左端への巡回中、データ８７，８８の進行方向はすべて左向きである。
なお、トークンの信号列は、ＡＣＭのフレーム・フォーマットの前に送信するスタート・デリミタで、汎用データ列と区別すると述べている。しかし、コードが８ビット構成ならば、００Ｈ〜ＦＦＨの２５６種類の区別が可能である。従って、スタート・デリミタを使わないポイント・ツー・ポイントの通信に摘要させるには、２５６種類の内１つをトリガー・トークンとすることによって、他のデータ列と区別させることは、容易に考えられる事項である。
以上が先行技術の概略である。本発明のセキュリテイ機構は、前記図１〜図３を基にして説明する。なお、小さな長方形に○が記載されているデータ５０については、本発明の構成をなすデータであり、〔発明の開示〕で説明する。また、ネットワーク部材として、上記ノードの他、分岐器、終端器がある。
発明の開示
ネットワーク外部からの侵入に対するソフトウェア的なセキュリテイ問題は、ネットワークを構成するノードへの不正アクセスを防止することで解決する。
サブネットは、近隣のノードが接続されたネットワークである。広域なる接続を利用しないため、ネットワークを経由して侵入する不正アクセスを考慮する必要はないが、泥棒や強盗による侵入検出が必要である。
サブネットを１つの広域伝送路で接続した中規模ネットワークは、外部からの不正アクセスの危険性がある。
サブネットを２つ以上の広域伝送路で接続した大規模ネットワークは、外部からの不正アクセスの危険性が更に高まる。
通信ノード間の広域性と不正侵入の危険性は、正比例の関係である。この比例関係は、広域ネットワークの任意のノードについて普遍である。
〔先行技術の概略〕で示したように、宛先で受信したフレーム・フォーマットのＡＣＭ部のバイト数または通過記号“＊”の数は、通信ノード間の広域性と正比例する関係がある。
本発明は、フレーム・フォーマットのＡＣＭ部のバイト数または通過記号“＊”の数と通信ノード間の広域性の比例関係、通信ノード間の広域性と不正侵入の危険性の比例関係を利用する。すなわち、受信ノードが受信フレーム・フォーマットのＡＣＭ部のバイト数または通過記号“＊”の数を調べることによって、不正侵入の危険性に応じて、データの受信拒否を調整可能にする機構である。
フレーム・フォーマットのＡＣＭ部のバイト数または通過記号“＊”の数が多ければ受信拒否をし、数が少なければ受信することをノード毎に、設定することによって、強固な絶対的な不正侵入のセキュリテイを確立する。
更に、受信ＡＣＭ部のバイト数または通過記号“＊”の数によるソフトウェア的なセキュリテイ問題解決に、ノードを区別する絶対アドレスに相当するルーティング・アドレス、すなわち、通過記号“＊”に続くアドレスのビット列を受信拒否または受信受入の判断に追加すれば、階層ネットワークの従属状態に応じ、詳細に正常アクセスデータとみなすか、不正アクセスデータとみなすかを判定できる。この詳細な判定方法は、ネットワークの利用状態に応じて、詳細で強固な不正侵入のセキュリテイが実現する手段となる。
任意の１つのサブネット内だけに限れば、近隣のノードが接続されたネットワークであり、広域ネットワークを経由して到来する不正侵入は無い。しかし、泥棒や強盗による物理的破壊を検出する必要がある。泥棒などによる物理的破壊に対するハードウェア的なセキュリテイ問題は、ネットワークを構成するノード、分岐器、終端器となる部材間をポイント・ツー・ポイントで接続している伝送路が破壊されても、また、任意の１つのネットワーク構成部材が破壊されてもネットワークのシステムダウンが生じない対策方法を提示する。
ノード番号が不要であり集中ネットワーク・サーバを有しないトリガー・トークンを利用した機能的なバス型ネットワークは、物理的には、ポイント・ツー・ポイントの伝送路で構築されている。
ネットワーク外部からの物理的破壊は、ポイント・ツー・ポイント伝送路の破壊、または、ノード、分岐器、終端器と称する部材の破壊である。従って、物理的破壊が為されていてもデータ転送が行われ、物理的破壊が復旧されるとトリガー・トークンが自動的に巡回復旧する方法を施せば、機能的なバス型伝送路が破壊されたことにはならず、ネットワークの完全なるシステムダウンではない。
本発明は、伝送路を構築するトリガー・トークンの巡回を消滅させる物理的破壊が為されたならば、トリガー・トークン信号を必要なノードが再送し続け、ネットワークの自動復旧が為されるシステムである。
ポイント・ツー・ポイントの両端の部材が相互に、トリガー・トークンの送出、トリガー・トークンの受取、トリガー・トークン受信確認データ送出、トリガー・トークン受信確認データ受取について、一連のシーケンスを極短時間で施すことで、物理的破壊の有無を知る。
トリガー・トークン受信確認データは、トリガー・トークンに続いて同一伝送路に流れる信号である。例えば、図３においては、トリガー・トークン６１に対してはデータ８１が相当する。同様に、６２に８２、６３に８３、６４に８４、６５に８５、６６に６７、６７に８７、６８に８８、６９に７０、となる信号である。これらのトリガー・トークン受信確認データ信号は、従来の表現で述べると、８１，８２，８３，８４はデータ列であり、６７，７０は直ちに返送するトリガー・トークンである。なお、８５，８７，８８はトリガー・トークン受信を確認する特殊なデータ信号５０の軌跡であり、従来の概念にない信号である。以後、特殊なデータ信号５０をＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）信号と呼ぶことにする。また、前記３種類のトリガー・トークン受信確認データ信号をまとめて、確認信号と呼ぶことにし、以下で説明する。
本発明は、トリガー・トークンの送出時にタイマーを起動させ、確認信号を受信すれば、タイマーを停止させる。タイマーを停止させる確認信号の受信がなければ、トリガー・トークンを再送出しタイマーも再起動させる。更に、再送出トリガー・トークンの送出端子を、ＬＥＤやブザーによって明示させる。これらの一連のシーケンスによって、物理的破壊の有無を知るだけでなく、伝送路にトリガー・トークンが不正に注入されても、１巡回以内に、只一つのトリガー・トークンのみ残存する効果も生じる。また、正常なネットワーク構築部材が、破壊された構築部材の接続方向をＬＥＤやブザーによって明示しているため、破壊された構築部材を特定するのが容易になり、該当する構築部材の交換・修理・撤去、または、伝送路バイパス接続などで信号を迂回させることで、トリガー・トークンが継続して巡回を続けられる。
また、物理的破壊によってトリガー・トークンが消滅しても、機能的なバス型伝送路が破壊されたことにはならない。なぜならば、物理的破壊が為された部材を使用しないデータ転送は中断することなく行われており、ネットワークの全システムダウンが起こったことにはならない。
しかし、物理的破壊が為された部材を通過しなければならないデータは転送されず、ネットワークの運営上支障を来たすことがある。データ転送が長時間に渡って行なわれなければ支障を来たすノードまたはノードの利用者は、トリガー・トークンの到来時間間隔計測により、自己判断によって部材取替え警報を発することが可能となる。正常な部材が破壊された部材を明示しているため、運営者が伝送路の切断、取替、または、部材の撤去、交換などによって、物理的破壊を復旧するだけでトリガー・トークンが巡回を再開し、機能的なバス型伝送路の全面復旧がなされる。なお、物理的破壊の復旧を電子的な方法によって自動で行えば、ネットワークの全面復旧が自動的に短時間になされる。
発明を実施するための最良の形態
〔発明の開示〕では、ネットワーク外部からの侵入に対するセキュリテイについて、ソフトウェア問題、ハードウェア問題の順に説明した。〔発明を実施するための最良の形態〕では、説明の都合上、ハードウェア問題、ソフトウェア問題の順に述べる。
ハードウェア問題の解決には、トリガー・トークンを利用したポイント・ツー・ポイント伝送路におけるデータ競合を避けるネットワーク構築部材が必要である。ネットワーク構築部材は、機能別に３種類に分けられ、データ送受信が可能なノード、伝送路を分岐するための分岐器、ネットワークの終端を明確にする終端器である。なお、本発明で述べるネットワーク構築部材としては、単体部材である３種類の他、ノードと終端器を組み合わせた終端ノード、ノードと分岐器を組み合わせたスター型ノード、終端器と分岐器を組み合わせた分岐終端器、すべてを組み合わせたスター型終端ノードを含める。
本発明を実施するためには、トリガー・トークンと伝送路の関係を明確な状態にする必要があるが、機能別に分類する必要がないため、ノードをネットワーク構築部材の代表として、以下に説明する。
本発明において、トリガー・トークンを受信したノードは、必ず、トリガー・トークンを送出したノードに対して、確認信号を直ちに返送する必要がある。トリガー・トークンを送出したノードは、確認信号によって、トリガー・トークンが正しく受信されたとみなす。すなわち、トリガー・トークンを送出したノードは、直ちに正常な信号を受信したならば、確認信号を受信したことになる。
従来のトリガー・トークンを利用したネットワークにおいて、正常な信号は、データ列信号、トリガー・トークン信号であり、両方の正常な信号を１つの伝送路に送出する場合、データ列信号を先に送出している。例えば、図３のノード１４がトリガー・トークン６９を受信すれば、トリガー・トークン７０を直ちに送出する。しかし、データ信号を送出する希望がある場合は、トリガー・トークン６３の受信後にデータ列８３を送出した後、トリガー・トークン６４を送出する。
送出するデータ列信号がない場合、トリガー・トークン信号を受信するまで、従来のトリガー・トークンを利用したネットワークにおいては、何も返送しない。ハードウェアのセキュリテイ問題を解決する方法を実施するためには、確認信号を直ちに返送する必要がある。従来はトリガー・トークンが到来しても、何も返送しない場合があったが、本発明ではＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）信号を送出する。
ＡＣＫ信号は図３〜図６において、小さな長方形の中に○を記載し引用符号５０として、図示した。
図３で、ＡＣＫ信号軌跡は８５，８７，８８である。トリガー・トークン６０の軌跡６５，６６，６７，６８は、ＡＣＫ信号５０の送出受信の有無に拘わらず、同じ軌跡を通過する。この様にＡＣＫが短時間の信号であれば、伝送路の効率に影響がない。
〔先行技術の概略〕でトリガー・トークンは、図２のコード部のみなど、非常に短い信号であると述べている。ＡＣＫ信号も同様に、コードを８ビット構成とした場合、２５６種類の１つをＡＣＫ信号とすることが可能であり、伝送路の効率に影響がないようにできる。
図３でノード１３から１２へのデータ列８２を記載したが、もし、このデータ列８２が存在しなければ、ノード１３は確認信号としてＡＣＫ信号５０を送出し、ＡＣＫ信号軌跡９２が存在する。この状態を図４〜図６に記載した。
図４は、物理的破壊としてノイズ発生器をノード１２と１３間の伝送路に、泥棒などが設置し、ネットワーク外部ノイズにより、トリガー・トークン軌跡６５が在るにも関わらず、ノード１２はトリガー・トークン６５の到来を認識できなかった場合である。従って、ノード１２はトリガー・トークン軌跡６５に対応したＡＣＫ信号を送出できず、図３で記載したＡＣＫ信号軌跡８５が存在しない。
ノード１３は、トリガー・トークン送出時にタイマー作動をさせる。トリガー・トークン６５に対応する確認信号８５が到来しないため、タイマーのタイム・アップＴｓによって、トリガー・トークンを再送し、軌跡３５が描かれる。ノード１２は、トリガー・トークン３５に対応した確認信号を送出しなければならないが、直ちにデータ列の送出希望がないため、ＡＣＫ信号９５を送出する。
ノード１３は、トリガー・トークン３５の再送時にタイマーを再作動させ、対応した確認信号の到来を待っていた。ＡＣＫ信号９５がＴｃ時間後にＡＣＫ信号が到来したことにより、ノード１３のタイマーを停止させる。
ＴｓとＴｃの時間関係は、自明のことであるが［式１］に示す。
Ｔｓ＞Ｔｃ・・・・・［式１］
Ｔｓ：タイム・アップ時間  Ｔｃ：タイマー解除時間
図５は、トリガー・トークンに対するＡＣＫ信号が破壊された場合を示す。
最初に、ＡＣＫ信号９２が破壊されたが、続いて、データ列８３が到来した場合について説明する。ノード１２は、トリガー・トークンの送出時にタイマー作動をさせる。トリガー・トークン６２に対応する確認信号９２が到来しない。しかし、ノード１２は、データ列８３の信号がＴｃ１時間後に到来したので、確認信号の到来と認識し、［式１］によりトリガー・トークン再送用タイマーを停止させる。
次に、ＡＣＫ信号８５が破壊され、続いてデータ列が到来しない場合について説明する。ノード１３は、トリガー・トークンの送出時にタイマー作動をさせる。トリガー・トークン６５に対応する確認信号８５が到来しない。従って、ノード１３は、ＡＣＫ信号８５が到来しないので、Ｔｓ時間後に、トリガー・トークン３５をノード１２へ再送する。しかし、ノード１２は正常なる動作と認識していたため、〔先行技術の概略〕で示したように、ノード１２は、ノード１３に対してデータ進行方向が右向としての出力状態である。故に、ノード１２はトリガー・トークン３５の受付状態でないため、トリガー・トークン３５はノード１２で消滅する。ノード１２は、正常なトリガー・トークン６８をノード１３に送出する。ノード１３は、トリガー・トークン３５を再送出した後、タイマーを再作動させ、トリガー・トークン３５に対応した確認信号が到来するのを待っていた。図４で、確認信号はＡＣＫ信号９５であったが、図５で、確認信号はトリガー・トークン６８であり、ノード１３のトリガー・トークン再送出タイマーがＴｃ時間後に停止する。
図６は、伝送路またはノードに対して、外部から連続して破壊があった場合である。連続破壊でもネットワークのシステムダウンが生じないことを説明する。
最初に、ノード１２からノード１３への確認信号の送出時刻Ｔ１に伝送路が切断され、Ｔ２時刻に伝送路が復旧した場合について説明する。
トリガー・トークン軌跡６５に対する確認信号ＡＣＫ８５が消滅する。しかし、ノード１２、ノード１１は、時刻Ｔ１で伝送路切断がされたのを検出していないため、通常の正常動作でトリガー・トークンを送出し、軌跡６６，６７，６８となる。ノード１１と１２間の伝送路が切断されているので軌跡６８が消滅する。従って、ノード１２は、トリガー・トークン６８に対する確認信号が到来しないので、Ｔｓ１時間後に、トリガー・トークン４８をノード１３へ再送する。
一方、ノード１３は、トリガー・トークン６５に対する確認信号８５が到来しないため、Ｔｓ時間後に、トリガー・トークン３５をノード１２へ再送する。しかし、トリガー・トークン３５を送出したが伝送路が切断されているため、ノード１２は、トリガー・トークン３５の到来が認識できず、確認信号を送出できないため、ノード１３は、トリガー・トークン３５に対応する確認信号が到来しないため、更に、Ｔｓ時間後に、トリガー・トークン４５をノード１２へ再送する。
ノード１２、１３間の伝送路が切断されているＴ１〜Ｔ２の時間に、〔先行技術の概略〕で示したデータ列“＊１１＊１２＊１３／１５Ｄａｔａ”および“＊１４／１３Ｄａｔａ”は、データ進行方向が、ノード１２→１１およびノード１３→１４であるが故に、何らの障害もなく転送データ軌跡３７および転送データ軌跡３８が描かれる。
時刻Ｔ２で伝送路が復旧した時点では、トリガー・トークンが巡回していないが、ノード１２および１３は、トリガー・トークンを再送するタイマーを各々作動させている。
非常に稀であるが、２つのトリガー・トークン４５、４８が１つの伝送路で正面衝突することがある。正面衝突したトリガー・トークンは、信号波形が正常でないため、ノード１２および１３は、確認信号の到来と認識されない。しかし、ノード１２はＴｓ１時間後にトリガー・トークンを再送する準備中である。同様に、ノード１３はＴｓ時間後にトリガー・トークンを再送する準備中である。
正面衝突後、ノード１２のタイマー時間Ｔｓ１とノード１３のタイマー時間Ｔｓとが異なっていれば、必ず短時間タイマー側のノードが発する再送トリガー・トークンが生き残り、長時間タイマー側のノードが発するトリガー・トークンが消滅する。例を挙げて説明する。
ノード１３は、トリガー・トークン４５を送出後、Ｔｓ時間後にトリガー・トークン５５を再送する。ノード１２は、トリガー・トークン４８を送出後、Ｔｓ１時間より短いＴｃ１時間に確認信号５５が到来したため、タイマーを停止させ、トリガー・トークン５５の到来により、確認信号９５およびトリガー・トークン５６を送出し、以後、５６，５７，５８，６９，７０，…と、トリガー・トークンが正常に巡回する。なお、ノード１３は、Ｔｃ時間にトリガー・トークン５５に対する確認信号９５が到来するので、自己のタイマーを停止させる。
もしも、ネットワーク外部からトリガー・トークンが任意の伝送路に注入されたならば、トリガー・トークンがノード１１と１４を往復運動しているため、必ず、複数のトリガー・トークンは、図６の４５，４８の如く正面衝突するか、若しくは、図５の３５の如く出力状態の端子に送出され、只一つのトリガー・トークンに淘汰される。
次に、ノード１２がノード１３への確認信号９１を送出中の時刻Ｔ３に、ノード１２が破壊され、Ｔ４時刻に復旧した場合について説明する。
ノード１３は、トリガー・トークン７１を送出した後、確認信号９１の到来を待っていたが、ノード１２が破壊されたため正常な確認信号であると認識できなかった。ノード１３は、Ｔｓ時間後にトリガー・トークン７６および７８を再送する。
ノード１１は、トリガー・トークン７３を送出した後、確認信号の到来を待っているが、ノード１２が破壊されたため確認信号が到来しないので、Ｔｓ時間後にトリガー・トークン７７および７９を再送する。
ノード１２は、破壊から復旧した時刻Ｔ４以降にトリガー・トークン７９を受信したので、確認信号９９を送出し、トリガー・トークンの巡回のため、トリガー・トークン７４を送出し、以後、トリガー・トークン７５となり、正常に巡回する。
もしも、ノード１２において、ノード１１およびノード１３から、同時刻に２つのトリガー・トークンを受信したとしても、前述の同一伝送路におけるトリガー・トークン４５，４８の正面衝突と異なり、ノード１２は２つのトリガー・トークンが両方共に、正常なる信号と認識する。この場合、ノード１２は、一方のトリガー・トークンに対する確認信号としてＡＣＫ信号を返送し、他方のトリガー・トークンに対する確認信号としてトリガー・トークンを返送することで、只一つのトリガー・トークンに淘汰され、１つのトリガー・トークンだけが巡回する。
ここで、ＴｓとＴｓ１の時間関係を［式２］に示して、説明する。
Ｔｓ１＞Ｔｓ＋α・・・［式２］
Ｔｓ１，Ｔｓ：伝送路両端ノードのタイム・アップ時間  α：コード転送時間
１つの伝送路は、ポイント・ツー・ポイントであるが故に、伝送路両端に部材として、必ずノード、分岐器、または、終端器が接続されている。伝送路両端の２つの部材は、トリガー・トークンを再送するためのタイマーを有し、各々の部材のタイム・アップ時間がＴｓ１、Ｔｓである。Ｔｓ１とＴｓの時間差がα時間以上必要である。α時間は、確認信号が各々の部材で送出・受取に要する時間である。確認信号が、トリガー・トークン信号またはＡＣＫ信号であるならば、前述の如く、図２のコードの転送時間となる。確認信号がデータ列の場合、データ列は図２の様に転送時間が不定である。しかし、確認信号と認識するためには、データ列すべてを受け取ってから判断しなくとも、データ列のＡＣＭ部、最小はＡＣＭ部のコードの受取で確認信号到来の判断が可能である。なお、［式２］のタイマーＴｓ１，Ｔｓは、伝送路の両端部材の関係である。従って、複数個の伝送路端子を有する１つのノードや１つの分岐器に内在する複数のタイマーを、すべてＴｓ１やＴｓのタイマーにしても、Ｔｓ１とＴｓを混在させても構わない。
［式１］と［式２］を組み合わせると、［式３］が得られる。
Ｔｓ１＞Ｔｃ１＞Ｔｓ＋α＞Ｔｓ＞Ｔｃ・・・［式３］
図３〜図６において、すべてのノードはトリガー・トークンを送出すると、タイマーを起動させ、確認信号が時間Ｔｃ１またはＴｃ以内であれば、タイマーが停止する。すべてのタイマーの起動と停止を、図３〜図６に記載すれば、煩雑になるため、記載を省略した。
図４の３５、図５の３５、図６の３５，４５，４８，５５，７６，７７，７８および７９は、再送したトリガー・トークンである。
再送トリガー・トークンは、ネットワーク構成部材に接続している伝送路に送出し、該当伝送路にネットワーク構成部材が接続されている。例えば、再送トリガー・トークン３５ではノード１２である。
トリガー・トークンを再送する際に、該当伝送路を明示させるＬＥＤを光らせたり、ブザーを鳴らせてネットワーク管理者に警告を発する。目視またはブザーにより、不具合が発生しているのは、該当伝送路あるいはその先に接続されているネットワーク構成部材であるのが明示される。例えば、図６の４５によってノード１３はノード１２方向が不具合を示し、図６の４８によってノード１２はノード１３方向が不具合を示している。従って、ノード１２と１３を接続している伝送路に不具合が発生しているのが示される。また、図６の７６によってノード１３はノード１２方向が不具合を示し、図６の７７によってノード１１はノード１２方向が不具合を示を示している。従って、ノード１２に不具合が発生しているのが示される。
不具合がある伝送路やノードの方向を、正常なトリガー・トークンを再送した部材の外部に明示させるには、光、音、振動、電圧または電流、電磁波などの物理媒体が用いられる。具体例を挙げれば、ＬＥＤを光らせたり、ブザーを鳴らせたり、振動を発したり、電子部品端子の電圧や電荷状態を変えたり、電波を発信させることなどであり、タイムアップ時刻Ｔｓ時またはＴｓ１時に情報を伝達する機構は、電子技術の専門家であれば容易に実現できる技術である。従って、ネットワーク管理者や電子装置が明示された構築部材の交換・修理・撤去・伝送路バイパス接続などを行なえば、短時間にシステム復旧ができる。
図６で、データ列“＊１１＊１２＊１３／１５Ｄａｔａ”および“＊１４／１３Ｄａｔａ”は、ノード１２→１１およびノード１３→１４でハードウェアに外部から破壊があっても、転送可能であることを示した。しかし、これらのデータ列が、ネットワーク外部からの不正アクセスの場合もある。
データ列“＊１４／１３Ｄａｔａ”は、１つのサブネット内のデータ列であり、ネットワーク全体から見れば、ノード１３が隣接しているノード１４に送信したデータ列である。ノード１４は、至近距離である自己サブネット内のデータ列通信であり、不正アクセスと考えられないため、受信する。
データ列“＊１１＊１２＊１３／１５Ｄａｔａ”を受け取ったノード１１が分析すると、ＡＣＭのアドレスが＊１１＊１２＊１３／１５と４フレーム分あるので、図２のフレーム２５であることが判る。ノード１１に接続されている物が汎用コンピュータであれば、データ内容により、更に、不正アクセスであるか否かを判定可能なため、ノード１１は受信する。しかし、ノード１１に接続されている物がクーラーや電灯であれば、＊１１＊１２＊１３／１５によって、２つの広域伝送路を通過してきたデータであり、クーラーや電灯の制御は不正アクセスであるとして、受信の拒否をする。
ノード１１に接続されている物がクーラーや電灯であっても、＊１１＊１２＊１３／１５を分析すれば、〔先行技術の概略〕に示した如く、ＡＣＭ部によって、返送が、
サブネット２９内の１２→サブネット４０内の１３→サブネット２８内の１５と、サブネット２９，４０，２８を通過するデータであり、送信元を特定することが可能である。従って、ノード１１に接続されている物がクーラーや電灯であれば、遠隔操作を許しているサブネットであるか、または、特定のノードであるかを判定し、受信するか受信拒否するか、受信ノード毎に詳細に決められる。
産業上の利用可能性
〔発明を実施する最良の形態〕で、ノードに接続する物により、不正アクセスから守るセキュリテイについて簡単に述べた。
〔産業上の利用可能性〕では、図７を使用して、詳細な場合分けをして、不正アクセスについて述べる。
図７は、階層構造でサブネットを多数接続した広域ネットワークである。最下層はサブネット２１，２２、その上の層はサブネット３１，３２、更にその上の層はサブネット４１，４２，４３、最上層はサブネット５１であり、各々のサブネットを広域伝送路で接続している。各々のサブネットは、ノード０１，０２，０３，…，１４，１５で構成され、ＰＣＴ／ＪＰ９５／００６５３（国際公開ＷＯ９６／３１９６８転送識別と調停機構を有するコンピュータ用ネットワーク）に基き、ノード・アドレスを４ビット構成とした。従って、下位層のノード・アドレス１５と上位層のノード・アドレス１５を除くノードとの接続伝送路は、広域伝送路と呼ばれ、異なるサブネットに属するノード・アドレス１５を除くノード同士の接続伝送路は、Ｈｏｔ−Ｌｉｎｅと呼ばれる。
サブネット３２を個人住宅内のサブネットとすれば、３２内のノードに接続されている物として電灯がある。個人住宅内３２の電灯１４は、個人住宅内３２の各人が点灯、消燈の制御ができれば便利であるが故に、セキュリテイとして、図２のフレーム２３であれば、すべて受信し、広域伝送路を通過して到来する制御データを受信しない。しかし、個人住宅３２に離れ住宅２１や２２を建設したならば、離れ住宅２１や２２の制御により、個人住宅内３２の電灯が点灯、消燈できれば、更に利便性が増す。更に、個人住宅３２は、離れたところの作業場４１、町内サブネット４２と接続したとする。個人住宅３２のノードが作業場４１、離れ住宅２１、離れ住宅２２、町内サブネット４２からの到来データ列を受信すれば、ＡＣＭ部はＡＣＭが“＊１４＊０１／ｏｏ”“＊１４＊０２／ｏｏ”“＊１４＊０３／ｏｏ”若しくは“＊１４＊１５／ｏｏ”であり、通過印“＊”は２個である。個人住宅３２を中心に見た場合、町内サブネット４２は上位層であり“＊１４＊１５／ｏｏ”のＡＣＭであり、“＊１５”が受信したＡＣＭに存在することは、上位層から到来したデータ列であることを示している。
ネットワーク全体のアドレス構成を４ビットとするならば、“＊１５”の存在、すなわち“＊最大数字”は、必ず、上位層から到来したデータ列であり、ＰＣＴ／ＪＰ９５／００６５３に明示されているネットワークである。
図７は、１つのビル内ネットワークとして、構築されたと仮定する。
サブネット５１は、ビル全体の給水、冷暖房の機器である。サブネット４３はビル全体の制御をつかさどり、サブネット４１は、１つの小さな会社内ネットワークであり、残りの４２，３１，３２，２１，２２は、大きな会社内ネットワークとする。例えば、総務部３１、事業部３２が役員室４２に従属するネットワーク、購買部２１、出荷部２２が事業部３２に属するネットワークとして構築なされている場合、各々のサブネットを外部からの不正アクセスを防止するには、図２のフレーム２３のみ受信データを通過させれば済む。しかし、更に、総務部３１は役員室４２に従属しているので“＊１５”の上位層からのアクセスはすべて拒否しない。また、事業部３２の各ノードにおいては、上位層の役員室３２および下位層の購買部２１、出荷部２２からのアクセスも拒否しないように設定する。もしも、役員室４２のコンピュータを使い、総務部３１または事業部３２のコンピュータにアクセスすると、総務部３１または事業部３２のコンピュータが反応し返送する。役員室４２のコンピュータは、自らアクセスした下位層のコンピュータの返答に相当する短時間だけ、受信拒否を解除すれば、役員室４２のコンピュータは、総務部３１または事業部３２のコンピュータを自由に閲覧することが可能になるだけでなく、役員室４２以外のコンピュータが役員室４２のコンピュータへのアクセスをすべて不正アクセスとして拒否するセキュリテイが確保できる。なお、サブネット５１のビルの冷暖房機器を、出荷部２２の製品に合わせて遠隔操作をするには、事業部３２や役員室４２のサブネットを通過させる必要があるが、事業部３２や役員室４２に属するノードは、遠隔操作をする制御データを通過させるだけであり、自己のコンピュータにアクセスしているのではない。
以上の様に、個人住宅３２では“＊最大数字”以外を受信し、役員室４２は“＊”があれば受信を拒否し、総務部３１や事業部３２は“＊最大数字”であれば受信する。この様に従属するサブネットから到来したデータ列を、一義的に、受取または拒否を決めることができない。しかし、本発明の不正アクセス拒否機構は、個別のノードに施すため、ノード毎の詳細なるセキュリテイが設定可能である。
本発明のトリガー・トークンを再送させる機構によって、物理的な伝送路の破壊やノード、分岐器、終端器の部材が破壊されても、正常なネットワーク構築部材が、破壊された構築部材を指摘するため、該当する構築部材の交換・修理・撤去などをするだけで、システムは自動復旧する。
このことは、破壊を目的とした泥棒や強盗からセキュリテイを確保するだけでなく、ネットワークの保守点検を目的として、伝送路やネットワーク部材の取り替えに際して、何らの手順が不要であることを示している。
また、ネットワークのノードの追加に際しては、追加する位置にある伝送路を撤去し、“新設伝送路＋追加ノード＋新設伝送路”を、撤去した伝送路と入れ替えれば、何等の障害もなくノードを追加できる。
ネットワークのノードの撤去に際しては、撤去すべきノードに接続されていない遠くの伝送路を外すことで、その外した伝送路に接続されているノードの両端で、トリガー・トークンを再送する機構が働くため、自由にノードを撤去できる。例えば、図３〜図６において、ノード１３とノード１４間の伝送路を外すならば、ノード１３またはノード１４において、トリガー・トークンを再送する機構が働く。従って、ノード１１やノード１２を撤去して、ノード１３とノード１４間の伝送路を復旧させれば、トリガー・トークンが何等の障害もなく巡回する。
更に、各々のノードに、トリガー・トークンの送出時にＬＥＤ（発光ダイオード）を光らすなどを施せば、正常なトリガー・トークンの巡回状況と再送トリガー．トークンをしている状況が目視点検できる。
【図面の簡単な説明】
図１は、サブネットを多数接続した広域ネットワークである。
図２は、図１の広域ネットワークに流れるフレーム・フォーマットである。
図３は、トリガー・トークンとデータ信号を表したタイムチャートである。
図４は、トリガー・トークンが消滅した時の自動復帰を示す。
図５は、ＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）信号が消滅した時の自動復帰を示す。
図６は、連続障害復旧後のトリガー・トークンの自動復帰を示す。
図７は、階層構造でサブネットを多数接続した広域ネットワークである。
符号の説明
２１，２２，２６，２７，２８，２９，３１，３２，４０，４１，４２，４３，５１：サブネット
１６，１７，１８，１９：広域伝送路
０１，０２，０３，１１，１２，１３，１４，１５：サブネットを構成するノード
５０：ＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）信号
６０：サブネットを巡回するトリガー・トークン
６１〜６９，７０〜７５：正常なトリガー・トークンの移動軌跡
３５，４５，４８，５５，７６，７７，７８，７９：再送したトリガー・トークンの移動軌跡
８１，８２，８３，８４，８６：確認信号とするデータ列の移動軌跡
８５，８７，８８，９０，９１，９２，９５，９７，９８，９９：確認信号とするＡＣＫの移動軌跡
３７，３８：伝送路破壊中における転送データ軌跡
【図１】
2003092221.tif 000010
【図２】
2003092221.tif 000011
【図３】
2003092221.tif 000012
【図４】
2003092221.tif 000013
【図５】
2003092221.tif 000014
【図６】
2003092221.tif 000015
【図７】
2003092221.tif 000016
【手続補正書】
【提出日】平成15年9月30日(2003.9.30)
【手続補正００１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】多数のサブネットを広域伝送路で接続されたネットワークがあり、
Ａ．フレーム・フォーマットがＡＣＭ部とデータ部から構成されていること
Ｂ．ＡＣＭ部の記載バイト数または通過記号数が、通過する広域伝送路数と
対応すること
前記Ａ．およびＢ．の条件を満たすフレーム・フォーマットによって、
データ転送が行われるネットワークにおいて、
転送データの受信に際して、
Ｃ．宛先に指定された受信ノード自身がＡＣＭ部に記載されたバイト数
または通過記号数を数え、
数えた個数があらかじめ決められた数値と異なるならば、
データ部の受信を拒否すること、
Ｄ．宛先に指定された受信ノード自身がＡＣＭ部に記載されたバイト数
若しくは通過記号数を数え、
Ｄ−１．数えた個数があらかじめ決められた数値と同一ならば、
データ部の受信をすること、
若しくは、
Ｄ−２．数えた個数があらかじめ決められた数値と同一であり、
更に、通過してきたルーティング・アドレスが、
あらかじめ決められたアドレスと異なるならば、
データ部の受信を拒否すること、
Ｄ．３．数えた個数があらかじめ決められた数値と同一であり、
更に、通過してきたルーティング・アドレスが、
あらかじめ決められたアドレスと同一ならば、
データ部の受信をすること、
によって、
不正アクセスとしてデータ部の受信を拒否するか、あるいは、正規アクセスとしてデータ部の受信をするかを、決定する前記Ｃ．Ｄ．Ｄ−１．若しくはＣ．Ｄ．Ｄ−２．Ｄ−３の手段を有するノード。
【請求項２】トリガー・トークンを利用してデータ競合を避けるネットワークにおいて、トリガー・トークンを受信したネットワーク構成部材は、
Ａ．直ちに送信するべきデータ列があれば、
データ列を確認信号として送信し、
Ｂ．直ちに送信するべきデータ列が無く、
直ちに送信するべきトリガー・トークンがあれば、
トリガー・トークンを確認信号として送信し、
Ｃ．直ちに送信するべきデータ列が無く、
直ちに送信するべきトリガー・トークンが無ければ、
ＡＣＫ（ａｃｋｎｏｗｌｅｄｇｅ）信号を確認信号として送出し、
前記Ａ．Ｂ．Ｃ．の優先順位で確認信号を送出する機構を有するネットワークを構成する部材。
【請求項３】トリガー・トークンを利用してデータ競合を避けるネットワークにおいて、
トリガー・トークンを送出したネットワーク構成部材は、
Ａ．トリガー・トークン送信時に、
トリガー・トークンを再送すべきタイマーを起動し、
Ｂ．タイマーのタイム・アップ時刻迄に、
データ列、トリガー・トークン、若しくはＡＣＫ信号、
のいずれかを受信したならば、
タイマーを停止させることによって、トリガー・トークン再送
の動作を停止させ、
Ｃ．タイマーのタイム・アップ時刻迄に、
データ列、トリガー・トークン、若しくはＡＣＫ信号、
のいずれも受信していないならば、
トリガー・トークンを再送し前記Ａ．から繰り返すこと、
によって、
トリガー・トークン消滅時のトリガー・トークン自動復帰効果、及び、複数のトリガー・トークン巡回から只一つのトリガー・トークンのみを残存させる効果が生じる前記Ａ．Ｂ．Ｃ．の機構を有するネットワークを構成する部材。




【国際調査報告】
2003092221.tif 000017
2003092221.tif 000018
2003092221.tif 000019
2003092221.tif 000020