(57)【要約】【課題】通信遅延を抑えることが可能なパケット転送システムを提供する。【解決手段】パケット転送システム１は、転送ルールを記憶する転送ルール記憶部２と、廃棄ルールを記憶する廃棄ルール記憶部３と、受信パケットに該当する転送ルールを検索し、受信パケットに該当する廃棄ルールを検索するルール検索部４と、受信パケットに該当する転送ルールまたは廃棄ルールが存在する場合、受信パケットを転送または廃棄するとともに、受信パケットに該当する転送ルール及び廃棄ルールが存在しない場合、受信パケットに該当するルールを問い合わせるパケット処理部５とを備えるものである。【選択図】図１
2015015669.tif 000002
【特許請求の範囲】
【請求項１】
受信パケットの転送ルールを記憶する転送ルール記憶部と、
前記受信パケットの廃棄ルールを記憶する廃棄ルール記憶部と、
前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索するルール検索部と、
前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを問い合わせるパケット処理部と、
を備えるパケット転送システム。
【請求項２】
前記転送ルール記憶部は、前記廃棄ルール記憶部よりも高速に検索可能な記憶部である、
請求項１に記載のパケット転送システム。
【請求項３】
前記転送ルール記憶部は、連想メモリで構成されている、
請求項１または２に記載のパケット転送システム。
【請求項４】
前記廃棄ルール記憶部に記憶された前記廃棄ルールを所定の関数に入力して得られた値が、要素として登録されたフィルタ記憶部と、
前記フィルタ記憶部に、前記受信パケットに該当する前記廃棄ルールの要素が含まれることを調べるフィルタ検索部と、を備える、
請求項１乃至３のいずれか一項に記載のパケット転送システム。
【請求項５】
前記フィルタ記憶部のデータ構造は、集合的データ構造である、
請求項４に記載のパケット転送システム。
【請求項６】
前記フィルタ検索部が、前記受信パケットに該当する前記廃棄ルールが含まれないと判断した場合、前記パケット処理部は、前記受信パケットに該当するルールを問い合わせる、
請求項４または５に記載のパケット転送システム。
【請求項７】
転送ルール記憶部に受信パケットの転送ルールを記憶し、
廃棄ルール記憶部に前記受信パケットの廃棄ルールを記憶し、
前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索し、
前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを問い合わせる、
パケット転送方法。
【請求項８】
転送ルール記憶部に受信パケットの転送ルールを記憶し、
廃棄ルール記憶部に前記受信パケットの廃棄ルールを記憶し、
前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索し、
前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを問い合わせる、
パケット転送処理をコンピュータに実行させるためのパケット転送プログラム。
【請求項９】
パケット転送装置と、前記パケット転送装置の動作を制御する制御装置とを含むネットワークシステムであって、
前記パケット転送装置は、
受信パケットの転送ルールを記憶する転送ルール記憶部と、
前記受信パケットの廃棄ルールを記憶する廃棄ルール記憶部と、
前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索するルール検索部と、
前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを前記制御装置へ問い合わせるパケット処理部と、を備え、
前記制御装置は、前記パケット転送装置からの問い合わせに応じて、前記受信パケットを含む通信フローに対するアクセス可否を決定する制御決定部を備える、
ネットワークシステム。
【請求項１０】
第１及び第２のパケット転送装置と、前記第１及び第２パケット転送装置の動作を制御する制御装置とを含むネットワークシステムであって、
前記第１のパケット転送装置は、
受信パケットの転送ルールを記憶する転送ルール記憶部と、
前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索する第１のルール検索部と、
前記転送ルールの検索の結果、前記受信パケットに該当する前記転送ルールが存在する場合、前記受信パケットを転送するとともに、前記受信パケットに該当する前記転送ルールが存在しない場合、前記受信パケットを前記第２のパケット転送装置へ送信するパケット処理部と、を備え、
前記第２のパケット転送装置は、
前記受信パケットの廃棄ルールを記憶する廃棄ルール記憶部と、
前記第１のパケット転送装置から前記受信パケットを受信した場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索する第２のルール検索部と、
前記廃棄ルールの検索の結果、前記受信パケットに該当する前記廃棄ルールが存在する場合、前記受信パケットを廃棄するとともに、前記受信パケットに該当する前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを前記制御装置へ問い合わせるパケット処理部と、を備え、
前記制御装置は、前記第２のパケット転送装置からの問い合わせに応じて、前記受信パケットを含む通信フローに対するアクセス可否を決定する制御決定部を備える、
ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット転送システム、パケット転送方法、パケット転送プログラム及びネットワークシステムに関し、特に、受信パケットの転送ルールを記憶するパケット転送システム、パケット転送方法、パケット転送プログラム及びネットワークシステムに関する。
【背景技術】
【０００２】
近年、ネットワークの大規模化及び複雑化が進んでいることから、ネットワークの経路制御や転送制御を柔軟に行う技術が望まれている。
【０００３】
例えば、通信フロー毎に経路制御装置が経路を設定することで、通信フロー毎に経路を設定できるネットワークが存在する。これに関連する非特許文献１では、ＯｐｅｎＦｌｏｗプロトコルを用いたネットワークの経路制御手法が開示されている。この手法ではパケットを経路制御装置に転送し、経路制御装置が経路を設定する。パケットはこの経路制御装置の設定した経路に基づき転送が行われる。このＯｐｅｎＦｌｏｗでは、スイッチにおいてフローテーブルに記述されていないフローの１ｓｔパケット（最初に受信したパケット）は経路制御装置に転送される。経路制御装置ではこの１ｓｔパケットのフローの経路を制御、決定し、各スイッチのフローテーブルにこのフローにマッチするルールと、どのような処理を行うかというアクションを記述した、フローエントリーを書き込むことにより、フローレベルでの経路制御を行う。
【０００４】
また、通信ネットワーク上で通信のアクセス制御を行う技術が存在する。これに関連する特許文献１では、ルータ内のラインカード上のメモリにアクセス制御リストを作成し、アクセス制御を実施する手法が開示されている。
【０００５】
その他、関連する技術として、特許文献２〜４などが知られている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】Nick McKeown、ほか７名、“OpenFlow: Enabling Innovation in Campus Networks”、［online］、２００８年３月１４日、［平成２３年６月２４日検索］、インターネット〈URL：http://www.openflowswitch.org/documents/openflow-wp-latest.pdf〉
【特許文献】
【０００７】
【特許文献１】特開２００５−１３０４８９号公報
【特許文献２】国際公開第２０１２／１４４５８３号
【特許文献３】特開２００９−０７７０３０号公報
【特許文献４】特開２００７−２２８４４９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
非特許文献１などのように、通信フロー毎に経路の制御を行うネットワークでは、通信フロー毎にアクションを定義することができるため、特定のフローのみを対象とするなどの粒度の細かいアクセス制御の実施が可能である。
【０００９】
一般的に通信装置では、通信遅延を最小化するためＣＡＭ（Content Addressable Memory）やＴＣＡＭ（Ternary Content Addressable Memory）などの特殊な構造を有した高速な連想メモリをフローテーブルに利用することで、フローエントリーの検索コストを最小化し、ワイヤーレートでの通信制御を実施している。しかしながら、連想メモリは製造コストや消費電力などの観点から、メモリの搭載容量を最小に保つことが好ましい。
【００１０】
上述した特許文献１では、ＴＣＡＭ上に重複を排除したアクセス制御リストを作成し、小さなＴＣＡＭで効率良くアクセス制御する手法が開示されている。しかしながら、通信フロー毎に経路の制御を行うネットワークにおいて特定のフローのみを対象とするなどの粒度の細かいアクセス制御を実施するためには、フロー毎のアクセス制御ルールを個別にフローテーブルに記述する必要があるため、通信量が増えるに従い、必然的にフローやルールの数が多くなり アクセス制御ルール数が不足するという課題が発生する。
【００１１】
一方、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）、ＭＲＡＭ（Magnetoresistive Random Access Memory）などの汎用メモリをフローテーブルに利用することで 比較的大きな容量を確保することが可能である。しかしながら、この手法では投入したルール数に応じて検索が遅くなるため、ここに大量のアクセス制御ルールを投入すると通信遅延が大きくなるという課題があった。
【００１２】
そこで、本発明は、上述関連技術の問題点に鑑み、通信遅延を抑えることが可能なパケット転送システム、パケット転送方法、パケット転送プログラム及びネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明に係るパケット転送システムは、受信パケットの転送ルールを記憶する転送ルール記憶部と、前記受信パケットの廃棄ルールを記憶する廃棄ルール記憶部と、前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索するルール検索部と、前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを問い合わせるパケット処理部と、を備えるものである。
【００１４】
本発明に係るパケット転送方法は、転送ルール記憶部に受信パケットの転送ルールを記憶し、廃棄ルール記憶部に前記受信パケットの廃棄ルールを記憶し、前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索し、前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを問い合わせるものである。
【００１５】
本発明に係るパケット転送プログラムは、転送ルール記憶部に受信パケットの転送ルールを記憶し、廃棄ルール記憶部に前記受信パケットの廃棄ルールを記憶し、前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索し、前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを問い合わせる、パケット転送処理をコンピュータに実行させるためのものである。
【００１６】
本発明に係るネットワークシステムは、パケット転送装置と、前記パケット転送装置の動作を制御する制御装置とを含むネットワークシステムであって、前記パケット転送装置は、受信パケットの転送ルールを記憶する転送ルール記憶部と、前記受信パケットの廃棄ルールを記憶する廃棄ルール記憶部と、前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索し、前記該当する転送ルールが存在しない場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索するルール検索部と、前記転送ルール及び前記廃棄ルールの検索の結果、前記受信パケットに該当する前記転送ルールまたは前記廃棄ルールが存在する場合、前記受信パケットを転送または廃棄するとともに、前記受信パケットに該当する前記転送ルール及び前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを前記制御装置へ問い合わせるパケット処理部と、を備え、前記制御装置は、前記パケット転送装置からの問い合わせに応じて、前記受信パケットを含む通信フローに対するアクセス可否を決定する制御決定部を備えるものである。
【００１７】
本発明に係るネットワークシステムは、第１及び第２のパケット転送装置と、前記第１及び第２のパケット転送装置の動作を制御する制御装置とを含むネットワークシステムであって、前記第１のパケット転送装置は、受信パケットの転送ルールを記憶する転送ルール記憶部と、前記転送ルール記憶部を参照して前記受信パケットに該当する前記転送ルールを検索する第１のルール検索部と、前記転送ルールの検索の結果、前記受信パケットに該当する前記転送ルールが存在する場合、前記受信パケットを転送するとともに、前記受信パケットに該当する前記転送ルールが存在しない場合、前記受信パケットを前記第２のパケット転送装置へ送信するパケット処理部と、を備え、前記第２のパケット転送装置は、前記受信パケットの廃棄ルールを記憶する廃棄ルール記憶部と、前記第１のパケット転送装置から前記受信パケットを受信した場合、前記廃棄ルール記憶部を参照して前記受信パケットに該当する前記廃棄ルールを検索する第２のルール検索部と、前記廃棄ルールの検索の結果、前記受信パケットに該当する前記廃棄ルールが存在する場合、前記受信パケットを廃棄するとともに、前記受信パケットに該当する前記廃棄ルールが存在しない場合、前記受信パケットに該当するルールを前記制御装置へ問い合わせるパケット処理部と、を備え、前記制御装置は、前記第２のパケット転送装置からの問い合わせに応じて、前記受信パケットを含む通信フローに対するアクセス可否を決定する制御決定部を備えるものである。
【発明の効果】
【００１８】
本発明によれば、通信遅延を抑えることが可能なパケット転送システム、パケット転送方法、パケット転送プログラム及びネットワークシステムを提供することができる。
【図面の簡単な説明】
【００１９】
【図１】本発明の実施の形態に係るパケット転送システムの概要構成を示すブロック図である。
【図２】本発明の実施の形態１に係るネットワーク制御システムの構成例を示す構成図である。
【図３】本発明の実施の形態１に係るパケット転送装置の構成例を示すブロック図である。
【図４】本発明の実施の形態１に係る制御装置の構成例を示すブロック図である。
【図５】本発明の実施の形態１に係る受信パケットの処理方法を示すフローチャートである。
【図６】本発明の実施の形態１に係るパケット通知の処理方法を示すフローチャートである。
【図７】本発明の実施の形態２に係るネットワーク制御システムの構成例を示す構成図である。
【図８】本発明の実施の形態２に係る第１のパケット転送装置の構成例を示すブロック図である。
【図９】本発明の実施の形態２に係る第２のパケット転送装置の構成例を示すブロック図である。
【図１０】本発明の実施の形態２に係る受信パケットの処理方法を示すフローチャートである。
【図１１】本発明の実施の形態２に係るパケット通知の処理方法を示すフローチャートである。
【発明を実施するための形態】
【００２０】
（実施の形態の概要）
実施の形態の説明に先立って、実施の形態の特徴についてその概要を説明する。図１は、実施の形態に係るパケット転送システムの主要な構成を示している。
【００２１】
図１に示すように、実施の形態に係るパケット転送システム１は、転送ルール記憶部２、廃棄ルール記憶部３、ルール検索部４、パケット処理部５を備えている。パケット転送システム１は、例えば、実施の形態１のように１台のパケット転送装置から構成してもよいし、実施の形態２のように２台以上のパケット転送装置から構成してもよい。
【００２２】
転送ルール記憶部２は、受信パケットの転送ルールを記憶する。廃棄ルール記憶部３は、受信パケットの廃棄ルールを記憶する。ルール検索部４は、転送ルール記憶部２を参照して受信パケットに該当する転送ルールを検索し、該当する転送ルールが存在しない場合、廃棄ルール記憶部３を参照して受信パケットに該当する廃棄ルールを検索する。
【００２３】
パケット処理部５は、ルール検索部４による検索の結果、受信パケットに該当する転送ルールまたは廃棄ルールが存在する場合、受信パケットを転送または廃棄するとともに、受信パケットに該当する転送ルール及び廃棄ルールが存在しない場合、受信パケットに該当するルールを問い合わせる。パケット処理部５は、パケットを送信するパケット送信部や、問い合わせの通知を行うパケット通知部から構成してもよい。
【００２４】
このように、実施の形態では、転送ルールを記憶する記憶部と廃棄ルールを記憶する記憶部とを別々の記憶部とすることにより、通信遅延を抑えることができる。特に、通信フロー毎に経路制御が可能なネットワークにおいて、通信遅延を大きくすることなく、きめ細かいアクセス制御を実施することができる。
【００２５】
例えば、転送ルール記憶部と廃棄ルール記憶部とを異なる種類のメモリとしてもよい。異なる種類のメモリを組み合わせて、アクセス制御ルールのアクションに応じて各メモリを別々に利用することにより、大量のアクセス制御ルールを投入した場合にも、大きな通信遅延を発生させることなく通信することができる。
【００２６】
（実施の形態１）
以下、図面を参照して本発明の実施の形態１について説明する。
【００２７】
＜実施の形態１の構成＞
図２は、本発明の実施の形態１に係るネットワーク制御システムのシステム構成を示している。本実施の形態に係るネットワーク制御システム（ネットワークシステム）は、図２に示した通り、少なくとも、登録された処理規則に従ってパケットを処理するパケット転送装置１００と、パケット転送装置１００にパケットの処理規則を登録する制御装置２００とを備えている。パケット転送装置１００と制御装置２００は、通信ネットワークに接続されており、通信ネットワークを介してお互いに通信可能に接続されている。ここでパケット転送装置１００は、図２の構成では説明の便宜上一台で記述したが、パケット転送装置１００の機能を複数のパケット転送装置１００に分け、複数台のパケット転送装置１００として実施しても良い。すなわち、複数台のパケット転送装置１００からパケット転送システムを構成しても良い。
【００２８】
さらに、図２のネットワーク制御システムは、パケットの転送元もしくはパケットの転送先となるノード３０１、３０２（第１のノード及び第２のノード）を含んだ構成となっている。ノード３０１、３０２はユーザ端末やサーバなどのホストでもよい。ノード３０１、３０２は、通信ネットワークに接続されており、通信ネットワークを介してそれぞれパケット転送装置１００と通信可能に接続されている。例えば、ノード３０１がパケットを送信すると、パケット転送装置１００は、ノード３０２から受信したパケットをノード３０２へ転送または廃棄し、また、ノード３０２がパケットを送信すると、パケット転送装置１００は、ノード３０２から受信したパケットをノード３０１へ転送または廃棄する。
【００２９】
パケット転送装置１００は、受信パケットの制御ルール（ルールもしくは処理規則ともいう）を参照し、適合するパケットの処理規則にしたがって受信パケットを処理するスイッチング装置である。また、パケット転送装置１００は、受信パケットに適合するルールがない場合、 制御装置２００に問い合わせる機能と、制御装置２００からパケットの処理規則を受け取り、受信パケットの制御ルールの処理規則を変更する機能と、を有する。このようなパケット転送装置１００としては、例えば、非特許文献１のＯｐｅｎＦｌｏｗスイッチを用いてもよい。すなわち、パケット転送装置１００は、フローの条件と処理（アクション）を記述したフローエントリ（ルール）を制御装置２００から取得してフローテーブルに記憶し、記憶したフローエントリーに従って受信パケットを処理してもよい。なお、パケット転送装置１００の数は、１つに限られず複数あっても良い。
【００３０】
制御装置２００は、パケット転送装置１００から問い合わせのあったパケットに対して処理規則を決定し、決定した処理規則をパケット転送装置１００の制御ルールに登録する機能を有する。このような制御装置２００としては、例えば、非特許文献１のＯｐｅｎＦｌｏｗコントローラを用いてもよい。すなわち、制御装置２００は、パケット転送装置１００からのパケット通知に適用するフローエントリーを生成し、生成したフローエントリーをパケット転送装置１００に登録してもよい。
【００３１】
図３、図４は本実施の形態に係るパケット転送装置及び制御装置の構成例を示す機能ブロック図である。図３に示すように、本実施の形態に係るパケット転送装置１００は、パケット受信部１０、ルール検索部１１、パケット送信部１２、パケット通知部１３、ルール更新部１４、転送ルール記憶部２０、廃棄ルール記憶部２１、フィルタ検索部３０、フィルタ記憶部３１を備えている。
【００３２】
転送ルール記憶部２０は、パケットを転送する転送ルールを登録する記憶部であり、ＣＡＭやＴＣＡＭなどの特殊な構造を有した連想メモリで構成される。転送ルールとは、パケットを処理するルールのうち、アクション（処理）にパケットを転送すること（転送先など）が記述されたルールである。廃棄ルール記憶部２１は、パケットを廃棄する廃棄ルールを登録する記憶部であり、ＤＲＡＭなどの容量の大きな汎用メモリで構成される。廃棄ルールとは、パケットを処理するルールのうち、アクション（処理）にパケットを廃棄（破棄）することが記述されたルールである。本実施の形態では、転送ルール記憶部２０は、廃棄ルール記憶部２１よりも高速に検索可能なメモリである。
【００３３】
パケット受信部１０は、通信ネットワークを介してノード３０１や３０２からパケットを受信する。ルール検索部１１は、転送ルール記憶部２０及び廃棄ルール記憶部２１を参照し、パケット受信部１０が受信したパケットに適用するルールを検索する。本実施の形態では、ルール検索部１１は、転送ルール記憶部２０の転送ルールを検索した後、すなわち、転送ルール記憶部２０に該当する転送ルールが存在しない場合に、廃棄ルール記憶部２１の廃棄ルールを検索する。
【００３４】
パケット送信部１２は、ルール検索部１１の検索結果、受信したパケットに該当する転送ルールが存在する場合に、転送ルールに従いパケットを送信（転送）する。ルール検索部１１の検索結果、受信したパケットに該当する廃棄ルールが存在する場合、廃棄ルールに従い、ルール検索部１１がパケットを廃棄してもよいし、パケット廃棄部などその他のブロックで廃棄してもよい。
【００３５】
フィルタ記憶部３１は、廃棄ルール記憶部２１に記憶された廃棄ルールを高速に検索するためのフィルタを記憶する。ここでは、フィルタ記憶部３１は、廃棄ルールを所定の関数に入力して得られた値が、フィルタの要素として登録されている。フィルタ検索部３０は、フィルタ記憶部３１を参照し、受信したパケットに該当する廃棄ルールの要素を検索する。フィルタ検索部３０は、ルール検索部１１の検索により転送ルール記憶部２０に該当する転送ルールが存在しない場合に、フィルタ記憶部３１のフィルタを検索する。後述するように、フィルタ検索部３０によりフィルタ記憶部３１に該当する要素が存在した場合に、ルール検索部１１が、廃棄ルール記憶部２１の廃棄ルールを検索する。
【００３６】
パケット通知部１３は、ルール検索部１１の検索結果、受信したパケットに該当する転送ルール及び廃棄ルールが存在しない場合や、フィルタ検索部３０の検索結果、受信したパケットに該当する要素が存在しない場合に、制御装置２００へパケットを通知し（パケット通知を送信し）、受信したパケットに適用するルールを問い合わせる。ルール更新部１４は、パケット通知部１３の問い合わせの結果、制御装置２００から更新する転送ルールまたは廃棄ルールを受信すると、受信した転送ルールまたは廃棄ルールを、転送ルール記憶部２０、廃棄ルール記憶部２１に記憶する。
【００３７】
図４に示すように、制御装置２００は、通知受信部５０、制御決定部５１、アクセス制御ルール記憶部５２、通知送信部５３を備えている。
【００３８】
通知受信部５０は、通信ネットワークを介して、パケット転送装置１００から問い合わせのためのパケットの通知（パケット通知）を受信する。
【００３９】
アクセス制御ルール記憶部５２は、パケット転送装置１００の通信フローのアクセス可否を決定するためのアクセス制御ルールを記憶する。例えば、アクセス制御ルールは、アクセス制御ポリシーでもあり、通信フロー（トラフィック）の条件と、該当する通信フローに対する処理が記述されている。アクセス制御ルールの処理としては、アクセスの可否、転送の可否、転送先のネットワークやインタフェースなどを含んでいてもよい。
【００４０】
制御決定部５１は、アクセス制御ルール記憶部５２を参照し、受信したパケットの通知に該当するアクセス制御ルールを検索し、該当するアクセス制御ルールに従って、パケット転送装置１００に設定するルール（転送ルールまたは廃棄ルール）を生成する。通知送信部５３は、制御決定部５１が生成したルールを、パケット転送装置１００へ送信する。
【００４１】
＜実施の形態１の処理＞
以下、本実施の形態に係るパケット転送装置１００と制御装置２００の動作を詳しく説明する。通信フローが新たに発生し、パケット転送装置１００に最初のパケットが到着した場合における、本実施の形態に係る通信フローの制御処理を、図５および既出の図面を参照して詳しく説明する。
【００４２】
図５に示すように、まず、通信ネットワークを通じて、新たに発生した通信フローの最初のパケット（１ｓｔパケット）を、パケット転送装置１００のパケット受信部１０で受信する（ステップＳ１０）。
【００４３】
続いて、ステップＳ１０でパケットを受け取ったパケット転送装置１００は、ルール検索部１１にて、転送ルール記憶部２０から転送ルールを検索し、パケットに一致する転送ルールを確認する（ステップＳ２０）。
【００４４】
続いて、パケット転送装置１００は、ステップＳ２０の転送ルールの検索結果を判定する（ステップＳ３０）。すなわち、パケット転送装置１００は、転送ルール記憶部２０からパケットに一致する転送ルールが見つかった場合（含まれる場合）、そのルールに記載されたアクションに従い、パケット送信部１２からパケットを転送し（ステップＳ３１）、処理を完了する。
【００４５】
また、パケット転送装置１００は、転送ルール記憶部２０からパケットに一致するルールが見つからなかった場合（含まれない場合）、次のステップＳ４０を実行する。例えば、転送ルール記憶部２０に「送信元ＭＡＣアドレスが１０:００:Ｄ４:００:００:０１のパケットは、次のノード３０２に転送する」というルールのみが登録されていた場合、送信元ＭＡＣアドレスが１０:００:Ｄ４:００:００:０１のパケットはノード３０２に転送し（ステップＳ３１）、処理を完了する。それ以外のパケットについては、次のステップＳ４０を実行する。
【００４６】
続いて、フィルタ検索部３０は、廃棄ルール記憶部２１上のルールを要素として予め登録したデータ構造であるフィルタ記憶部３１から、ＢｌｏｏｍＦｉｌｔｅｒなどのアルゴリズムを用いてパケットに一致する要素を検索する（ステップＳ４０）。なお、ここでフィルタ記憶部３１のデータ構造は、ＢｌｏｏｍＦｉｌｔｅｒやＣｏｕｎｔｉｎｇ ｆｉｌｔｅｒ、Ｂｌｏｏｍｉｅｒ ｆｉｌｔｅｒなど、要素が集合のメンバであることをテストすることが可能である構造をもつ空間効率の良い集合的データ構造であればよい。
【００４７】
例えば、受信したパケットの送信元ＭＡＣアドレスが０８:００:５Ａ:００:００:０１で、あるハッシュ関数に入力して得られた値が００１００１０００００００００、廃棄ルール記憶部２１に「送信元ＭＡＣアドレスが０８:００:０７:００:００:０１のパケットを廃棄する」というルールが登録されており、これのＢｌｏｏｍＦｉｌｔｅｒのデータ構造が００００００１１０００００００であったとき、受信したパケットをハッシュ関数に入力して得られた値のすべてのビットが、ＢｌｏｏｍＦｉｌｔｅｒのデータ構造に含まれていないため、廃棄ルール記憶部２１に受信したパケットに対するルールが存在しないと判断する。
【００４８】
一方、廃棄ルール記憶部２１のＢｌｏｏｍＦｉｌｔｅｒのデータ構造が００１０００１１０００００００であったとき、受信したパケットをハッシュ関数に入力して得られた値のすべてのビットが、ＢｌｏｏｍＦｉｌｔｅｒのデータ構造に含まれており、パケットに一致する要素が検出されたと判断する。
【００４９】
続いて、パケット転送装置１００は、ステップＳ４０のフィルタの検索結果を判定する（ステップＳ５０）。すなわち、フィルタ検索部３０のフィルタ検索処理において、パケットに一致する要素が検出されなかった場合（含まれない場合）、ルール検索部１１は、パケット通知部１３から制御装置２００にパケットを通知し（ステップＳ５１）、処理を制御装置２００に委任する。また、パケット転送装置１００は、フィルタ検索部３０のフィルタ検索処理において、パケットに一致する要素が検出された場合は（含まれる場合）、次のステップＳ６０を実行する。
【００５０】
続いて、ルール検索部１１は、廃棄ルール記憶部２１からパケットに一致する廃棄ルールを検索する（ステップＳ６０）。
【００５１】
続いて、パケット転送装置１００は、ステップＳ６０の廃棄ルールの検索結果を判定する（ステップＳ７０）。すなわち、パケット転送装置１００は、廃棄ルール記憶部２１からパケットに一致する廃棄ルールが見つかった場合（含まれる場合）、そのフローエントリーに記載されたアクションに従い、パケットの廃棄を行い（ステップＳ７１）、処理を完了する。また、パケット転送装置１００は、パケットに一致するルールが見つからなかった場合（含まれない場合）、制御装置２００にパケットを通知し（ステップＳ５１）、処理を制御装置２００に委任する。
【００５２】
例えば、廃棄ルール記憶部２１に「送信元ＭＡＣアドレスが０８:００:０７:００:００:０１のパケットは、廃棄する」というルールのみが登録されていた場合、送信元ＭＡＣアドレスが０８:００:０７:００:００:０１のパケットを廃棄し、処理を完了する。それ以外のパケットについては、制御装置２００にパケットを通知する。
【００５３】
次に、制御装置２００にパケット転送装置１００からパケットが到着した際の処理手順について、図６および既出の図面を参照して詳しく説明する。
【００５４】
図６に示すように、まず、制御装置２００は、通知受信部５０において、パケット転送装置１００のパケット通知部１３が送信したパケットの通知を受信する（ステップＳ１００）。
【００５５】
続いて、制御決定部５１は、ステップＳ１００で受信したパケットのアクセス制御ルールを、アクセス制御ルール記憶部５２から参照し、ここでパケット転送の許可／禁止を決定する（ステップＳ１１０）。
【００５６】
続いて、制御決定部５１は、ステップＳ１１０で決定したアクセス制御ルールに基づき、パケット転送装置１００へ設定するルールを生成し、通知送信部５３からパケット転送装置１００のルール更新部１４へ送信する（ステップＳ１２０）。例えば、アクセス制御ルールにおいて、転送許可となったパケットについては、次のノードもしくは宛先までパケットを転送する転送ルールを生成し、また、アクセス制御ルールにおいて、転送禁止となったパケットについては、パケットの転送を禁止する廃棄ルールを生成する。
【００５７】
続いて、パケット転送装置１００のルール更新部１４は、制御装置２００から受信したルールに応じて、転送ルール記憶部２０、廃棄ルール記憶部２１、フィルタ記憶部３１の更新を行う（ステップＳ１３０）。受信したルールがパケットの転送を含むルールだった場合には、転送ルール記憶部２０にルールを記述する。受信したルールがパケットの廃棄ルールだった場合には、廃棄ルール記憶部２１に廃棄ルールの記述と、フィルタ記憶部３１のデータ構造に対して新たな廃棄ルール要素の追加処理を行う。新たな廃棄ルール要素の追加処理は、新たな廃棄ルールをハッシュ関数に入力して得られた値と、従来のフィルタ記憶部３１のデータとの論理和を計算することにより行う。
【００５８】
例えば、受信したルールが「送信元ＭＡＣアドレスが０８:００:０７:００:００:０１のパケットを廃棄する」というルールで、これをハッシュ関数に入力して得られた値が００１００１０００００００００であり、元のＢｌｏｏｍＦｉｌｔｅｒが００００００１１０００００００であった場合には、廃棄ルール記憶部２１に前記ルールの記述と、受信したルールをハッシュ関数に入力して得られた値と元のＢｌｏｏｍＦｉｌｔｅｒの論理和を計算した００１００１１１０００００００を新たな廃棄ルールのＢｌｏｏｍＦｉｌｔｅｒとすることで、フィルタ記憶部３１のデータ構造に対して新たな廃棄ルール要素の追加処理を行う。
【００５９】
なお、ここでは、ルール更新部１４が廃棄ルールの要素を追加したデータを作成し、フィルタ記憶部３１に対して行なっているが、フィルタ記憶部３１へ記憶するデータの作成処理は、ステップＳ１２０の制御決定部５１で作成してもよい。この場合、ステップＳ１２０のルール更新部１４への送信時にフィルタの内容を含めて送信する。
【００６０】
＜実施の形態１の効果＞
以上に説明されたように、実施の形態１によれば、通信遅延を大きくすることなく大規模にアクセス制御を実施することが可能となる。これは、パケットの転送ルールを記述するメモリとパケットの廃棄ルールを記述するメモリに異なる種類のメモリを利用し、パケット廃棄ルールを検索する前に、パケット転送ルールの検索をＴＣＡＭなどの高速なメモリ上で行うことにより、廃棄ルールの数に囚われずに、パケットの転送処理をワイヤーレートで行えるためである。
【００６１】
さらに、ルールのフィルタを利用することで新規パケットと廃棄パケットの区別を、全廃棄ルールをサーチする前に判定することが可能となるため、制御装置に新規パケットを通知する時間を短縮し新規パケットにおける通信遅延も短縮することが可能となる。
【００６２】
また、フィルタの偽陽性により誤って廃棄ルールにあると判定した場合にも、その後、廃棄ルールのサーチを行うため、サーチ結果から偽陽性が発生したことが確認でき、制御装置への新規パケットの問い合わせを行うため偽陽性が発生したとしても意図しないパケット廃棄といった誤動作が発生しないことが保証される。
【００６３】
（実施の形態２）
以下、図面を参照して本発明の実施の形態２について説明する。実施の形態１では、パケットのルール記憶部を同一のパケット転送装置内に実装するという関係で説明したが、各ルール記憶部を別々のパケット転送装置上に実現しても良い。本発明の実施の形態２では、ルール記憶部を複数のパケット転送装置で構成する点が実施の形態１と異なっている。その他については実施の形態１と同様であるため、適宜説明を省略する。
【００６４】
＜実施の形態２の構成＞
図７は、本発明の実施の形態２に係るネットワーク制御システムのシステム構成を示している。本実施の形態に係るネットワーク制御システムは、図７に示した通り、第１のパケット転送装置３００と、第２のパケット転送装置４００と、制御装置２００と、パケットの転送元もしくはパケットの転送先となるノード３０１、３０２とにより構成される。この例では、第１のパケット転送装置３００は、転送ルールを含むパケット転送装置、すなわち、転送ルールを検索し転送処理を行う装置（転送装置）であり、第２のパケット転送装置４００は、廃棄ルールを含むパケット転送装置、すなわち、廃棄ルールを検索し廃棄処理を行う装置（廃棄装置）である。
【００６５】
第１のパケット転送装置３００と第２のパケット転送装置４００は、互いに通信可能に接続されている。また、第１のパケット転送装置３００と第２のパケット転送装置４００は、制御装置２００、ノード３０１、３０２とそれぞれ通信可能に接続されている。本実施の形態では、第１のパケット転送装置３００が、ノード３０１、３０２のパケットを受信する例について説明するが、第２のパケット転送装置４００が、ノード３０１、３０２のパケットを受信してもよい。例えば、第２のパケット転送装置４００が、ノード３０１、３０２のパケットを受信し、転送ルールを検索するために、第１のパケット転送装置３００へパケットを転送してもよい。
【００６６】
図８、図９は本実施の形態に係る第１及び第２のパケット転送装置の構成例を示す機能ブロック図である。図８に示すように、第１のパケット転送装置３００は、パケット受信部（第１のパケット受信部）１０ａ、ルール検索部（第１のルール検索部）１１ａ、パケット送信部１２、ルール更新部（第１のルール更新部）１４ａ、転送ルール記憶部２０を備えている。
【００６７】
第１のパケット転送装置３００は、実施の形態１のパケット転送装置と異なり廃棄ルール記憶部（及びフィルタ記憶部）を有していない。このため、ルール検索部１１ａは、転送ルール記憶部２０を参照し転送ルールのみを検索する。
【００６８】
パケット送信部１２は、ルール検索部１１ａの検索結果、受信したパケットに該当する転送ルールが存在する場合に、転送ルールに従いパケットを送信（転送）し、また、受信したパケットに該当する転送ルールが存在しない場合、廃棄ルールを検索するため第２のパケット転送へパケットを送信（転送）する。
【００６９】
図９に示すように、第２のパケット転送装置４００は、パケット受信部（第２のパケット受信部）１０ｂ、ルール検索部（第２のルール検索部）１１ｂ、パケット通知部１３、ルール更新部（第２のルール更新部）１４ｂ、廃棄ルール記憶部２１、フィルタ検索部３０、フィルタ記憶部３１を備えている。
【００７０】
第２のパケット転送装置４００は、実施の形態１のパケット転送装置と異なる転送ルール記憶部を有していない。このため、ルール検索部１１ｂは、廃棄ルール記憶部２１を参照し廃棄ルールのみを検索する。
【００７１】
＜実施の形態２の処理＞
通信フローが新たに発生し、パケット転送装置に最初のパケット到着した場合における、本実施の形態に係る通信フローの制御処理を、図１０および既出の図面を参照して詳しく説明する。図１０では、実施の形態１の図５と比べて、主に、ステップＳ３２が追加されている。
【００７２】
図１０に示すように、まず、通信ネットワークを通じて、新たに発生した通信フローの最初のパケットを、第１のパケット転送装置３００のパケット受信部１０ａで受信する（ステップＳ１０）。
【００７３】
続いて、ステップＳ１０でパケットを受け取った第１のパケット転送装置３００は、ルール検索部１１ａにて、転送ルール記憶部２０から転送ルールを検索し、パケットに一致する転送ルールを確認する（ステップＳ２０）。
【００７４】
続いて、第１のパケット転送装置３００は、転送ルール記憶部２０の検索結果を判定する（ステップＳ３０）。すなわち、第１のパケット転送装置３００は、転送ルール記憶部２０からパケットに一致する転送ルールが見つかった場合（含まれる場合）、そのルールに記載されたアクションに従い、パケット送信部１２からパケットを転送し（ステップＳ３１）、処理を完了する。
【００７５】
また、第１のパケット転送装置３００は、転送ルール記憶部２０からパケットに一致するルールが見つからなかった場合（含まれない場合）、パケット送信部１２から、第２のパケット転送装置へパケットを送信する（ステップＳ３２）。第２のパケット転送装置のパケット受信部１０ｂが、このパケットを受信する。
【００７６】
続いて、第１のパケット転送装置３００からパケットを受信した第２のパケット転送装置４００は、フィルタ検索部３０において、廃棄ルール記憶部２１上のルールを要素として予め登録したデータ構造であるフィルタ記憶部３１から、ＢｌｏｏｍＦｉｌｔｅｒなどのアルゴリズムを用いてパケットに一致する要素を検索する（ステップＳ４０）。
【００７７】
続いて、第２のパケット転送装置４００は、ステップＳ４０のフィルタの検索結果を判定する（ステップＳ５０）。すなわち、フィルタ検索部３０の処理において、パケットに一致する要素が検出されなかった場合（含まれない場合）、ルール検索部１１ｂは、パケット通知部１３から制御装置２００にパケットを通知し（ステップＳ５１）、処理を制御装置２００に委任する。また、第２のパケット転送装置４００は、フィルタ検索部３０の処理において、パケットに一致する要素が検出された場合は（含まれる）、次のステップＳ６０を実行する。
【００７８】
続いて、第２のパケット転送装置４００のルール検索部１１ｂは、廃棄ルール記憶部２１からパケットに一致するルール（廃棄ルール）を検索する（ステップＳ６０）。
【００７９】
続いて、第２のパケット転送装置４００は、ステップＳ６０の廃棄ルールの検索結果を判定する（ステップＳ７０）。すなわち、第２のパケット転送装置４００は、廃棄ルール記憶部２１からパケットに一致する廃棄ルールが見つかった場合（含まれる場合）、そのフローエントリーに記載されたアクションに従い、パケットの廃棄を行い（ステップＳ７１）、処理を完了する。また、第２のパケット転送装置４００は、パケットに一致するルールが見つからなかった場合（含まれない場合）、制御装置２００にパケットを通知し（ステップＳ５１）、処理を制御装置２００に委任する。
【００８０】
次に、制御装置２００に第２のパケット転送装置４００からパケットが到着した際の処理手順について、図１１および既出の図面を参照して詳しく説明する。図１１では、実施の形態１の図６と比べて、主に、更新ルールの送信先が異なっている。
【００８１】
図１１に示すように、まず、制御装置２００は、通知受信部５０において、第２のパケット転送装置４００のパケット通知部１３が送信したパケットの通知を受信する（ステップＳ１００）。
【００８２】
続いて、制御決定部５１は、ステップＳ１００で受信したパケットのアクセス制御ルールを、アクセス制御ルール記憶部５２から参照し、ここでパケット転送の許可/禁止を決定する（ステップＳ１１０）。
【００８３】
続いて、制御決定部５１は、ステップＳ１１０で決定したアクセス制御ルールに基づき、各パケット転送装置へ設定するルールを生成し、通知送信部５３から各パケット転送装置のルール更新部へ送信する（ステップＳ１２０）。制御決定部５１は、生成したルール（転送ルールまたは廃棄ルール）に応じて、送信先のパケット転送装置（ルールを記憶するパケット転送装置）を決定する。例えば、アクセス制御ルールにおいて、転送許可となったパケットについては、次のノードもしくは宛先までパケットを転送する転送ルールを生成し、生成した転送ルールを第２のパケット転送装置３００に送信する。また、アクセス制御ルールにおいて、転送禁止となったパケットについては、パケットの転送を禁止する廃棄ルールを生成し、生成した廃棄ルールを第２のパケット転送装置４００に送信する。
【００８４】
続いて、第１のパケット転送装置３００のルール更新部１４ａおよび第２のパケット転送装置４００のルール更新部１４ｂは、制御装置２００から受信したルールに応じて、転送ルール記憶部２０、廃棄ルール記憶部２１、フィルタ記憶部３１に更新を行う（ステップＳ１３０）。第１のパケット転送装置３００のルール更新部１４ａは、パケットの転送を含む転送ルールを受信し、転送ルール記憶部２０に受信した転送ルールを記述する。第２のパケット転送装置４００のルール更新部１４ｂは、パケットの廃棄を含む廃棄ルールを受信し、廃棄ルール記憶部２１に受信した廃棄ルールの記述と、フィルタ記憶部３１のデータ構造に対して新たな廃棄ルール要素の追加処理を行う。
【００８５】
＜実施の形態２の効果＞
以上に説明されたように、実施の形態２によれば、大規模なアクセス制御を容易に実現することが可能となる。これは、ルール記憶部を、転送ルールを含むパケット転送装置と、廃棄ルールを含むパケット転送装置に分離することで両方の機能を備えた専用のパケット転送装置が必要なくなり、実装が容易になるためである。例えば、転送処理を行う第１のパケット転送装置を、廃棄処理を行う第２のパケット転送装置よりも高速動作（処理）可能な装置とすることで、転送処理をさらに高速化してもよい。
【００８６】
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
【００８７】
上述の実施形態における各構成は、ハードウェア又はソフトウェア、もしくはその両方によって構成され、１つのハードウェア又はソフトウェアから構成してもよいし、複数のハードウェア又はソフトウェアから構成してもよい。パケット転送装置や制御装置の各機能（各処理）を、ＣＰＵやメモリ等を有するコンピュータにより実現してもよい。例えば、記憶装置に実施形態におけるパケット転送方法（パケット転送処理）や制御方法（制御処理）を行うためのパケット転送プログラムや制御プログラムを格納し、各機能を、記憶装置に格納されたパケット転送プログラムや制御プログラムをＣＰＵで実行することにより実現してもよい。
【００８８】
これらのプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【００８９】
上記の実施形態の一部または全部は、以下の付記のようにも記載され得るが、以下には限られない。
【００９０】
（付記１）
ネットワーク中のパケットを転送するパケット転送装置と、通信フローの制御装置から構成されるネットワークシステムであって、
前記パケット転送装置は、
パケットの転送に用いる制御ルールと、パケットの廃棄に用いる制御ルールとを分けて記憶する複数の制御ルール記憶部と、
前記制御ルール記憶部に記憶されたパケットの廃棄に用いる制御ルールの参照を、パケットの転送に用いる制御ルールを参照した後に行うルール検索部と、
受信したパケットに該当する制御ルールが複数の制御ルール記憶部全てに無いと判断した場合に通信フローの制御装置にパケットを問い合わせるパケット通知部とを備え、
前記通信フローの制御装置は、前記パケット転送装置のパケット通知部から受け取った通知を基に通信フローに対してアクセス可否を判断する制御決定部を備えることを特徴としたネットワークシステム。
（付記２）
【００９１】
付記１記載のネットワークシステムであって、前記パケット転送装置上のルール記憶部において、パケットの転送に用いる制御ルールの記憶に連想メモリを用いることを特徴としたネットワークシステム。
【００９２】
（付記３）
付記１または２記載のネットワークシステムであって、
前記パケット転送装置は、
前記ルール記憶部に含まれている前記制御ルールを、関数に入力して得られた値を要素として登録するフィルタ記憶部と、
前記フィルタ記憶部の集合に受信したパケットに該当するルールが要素として含まれることを調べるフィルタ検索部と、を備えることを特徴としたネットワークシステム。
【００９３】
（付記４）
付記３記載のネットワークシステムであって、フィルタ記憶部のデータ構造に集合的データ構造を用いることを特徴としたネットワークシステム。
【００９４】
（付記５）
付記３または４記載のネットワークシステムであって、前記パケット転送装置上の前記フィルタ検索部において、受信したパケットが前記フィルタ記憶部上のルールとして含まないと判断した場合に受信したパケットの情報を制御装置に通知するパケット通知部を備えることを特徴としたネットワークシステム。
【００９５】
（付記６）
付記３、４または５記載のネットワークシステムであって、パケットの廃棄ルールを要素として登録するフィルタ記憶部を備えることを特徴としたネットワークシステム。
【００９６】
（付記７）
ネットワーク中を流れるパケットの制御を行う装置であって、
パケットの転送に用いる制御ルールを記憶するルール記憶部と、
パケットの廃棄に用いる制御ルールを記憶するルール記憶部と、
パケットの受信時に各記憶部からパケットに該当するルールを検索する検索部と、
パケットの制御ルールを前記転送に用いる制御ルールを記憶するルール記憶部と前記廃棄に用いる制御ルールを記憶するルール記憶部のどちらのルール記憶部に記憶するかを判断する判断部と、を備えるパケット制御装置。
【００９７】
（付記８）
パケットの情報を基に通信の制御が可能な通信ネットワーク中で、フローの通信を制御するネットワーク制御手法であって、
パケットの転送に用いる制御ルールを記憶するルール記憶部からパケットの転送ルールを検索するステップと、
転送ルールを検索した後にパケットの廃棄に用いる制御ルールを記憶するルール記憶部からパケットの廃棄ルールを検索するステップと、を含むネットワーク制御手法。
【符号の説明】
【００９８】
１      パケット転送システム
２      転送ルール記憶部
３      廃棄ルール記憶部
４      ルール検索部
５      パケット処理部
１０、１０ａ、１０ｂ  パケット受信部
１１、１１ａ、１１ｂ  ルール検索部
１２    パケット送信部
１３    パケット通知部
１４、１４ａ、１４ｂ  ルール更新部
２０    転送ルール記憶部
２１    廃棄ルール記憶部
３０    フィルタ検索部
３１    フィルタ記憶部
５０    通知受信部
５１    制御決定部
５２    アクセス制御ルール記憶部
５３    通知送信部
１００  パケット転送装置
２００  制御装置
３００  第１のパケット転送装置
３０１、３０２  ノード
４００  第２のパケット転送装置
【図１】
2015015669.tif 000003
【図２】
2015015669.tif 000004
【図３】
2015015669.tif 000005
【図４】
2015015669.tif 000006
【図５】
2015015669.tif 000007
【図６】
2015015669.tif 000008
【図７】
2015015669.tif 000009
【図８】
2015015669.tif 000010
【図９】
2015015669.tif 000011
【図１０】
2015015669.tif 000012
【図１１】
2015015669.tif 000013