(57)【要約】【課題】試験フレームの利用によらずに、ループ発生による通信ネットワークへの悪影響を軽減することを図る。【解決手段】第２通信ネットワーク１０２と第３通信ネットワーク１０３の間で交換されるデータを伝送する第１通信ネットワーク１０１へ第２通信ネットワーク１０２から流入するデータの中から、特定の送信元アドレスのデータを廃棄するフィルタ１１−１と、第３通信ネットワーク１０３に接続する端末１３−２のＭＡＣアドレスＭａｃ＿ｂを取得し、該取得したＭＡＣアドレスＭａｃ＿ｂを特定の送信元アドレスとしてフィルタ１１−１に設定するフィルタ制御部１２と、を備える。【選択図】図１
2015146484.tif 000002
【特許請求の範囲】
【請求項１】
第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から、特定の送信元アドレスのデータを廃棄するフィルタと、
前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定するフィルタ制御部と、
を備えたことを特徴とする通信防護システム。
【請求項２】
前記フィルタ制御部は、前記第２の通信ネットワークと第３の通信ネットワークの間の所要移動時間の時間間隔で前記端末のアドレスを取得して前記特定の送信元アドレスを更新することを特徴とする請求項１に記載の通信防護システム。
【請求項３】
前記第１の通信ネットワークに接続する試験データ送信部と、
前記第１の通信ネットワークと前記第２の通信ネットワークとの接続箇所および前記第１の通信ネットワークと前記第３の通信ネットワークとの接続箇所にそれぞれ設けられた試験データ監視部と、を備え、
前記試験データ送信部は、前記第１の通信ネットワークを介して、前記第２の通信ネットワーク及び第３の通信ネットワークに対し、試験用の送信元アドレスの試験データを送信し、
各前記試験データ監視部は、各前記接続箇所において、前記第２の通信ネットワークから前記第１の通信ネットワークへ流入するデータ、前記第３の通信ネットワークから前記第１の通信ネットワークへ流入するデータをそれぞれ監視し、前記試験用の送信元アドレスの試験データを検出した場合に該当する前記接続箇所を遮断させる、
ことを特徴とする請求項１又は２のいずれか１項に記載の通信防護システム。
【請求項４】
前記フィルタに設定されている前記特定の送信元アドレスのうち、規定時間内においてデータ廃棄に使用された前記特定の送信元アドレスを前記フィルタの設定に残し、一方、規定時間内においてデータ廃棄に使用されていない前記特定の送信元アドレスを前記フィルタの設定から削除する、
ことを特徴とする請求項１から３のいずれか１項に記載の通信防護システム。
【請求項５】
第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から特定の送信元アドレスのデータを廃棄するフィルタに対して、前記特定の送信元アドレスを設定するフィルタ制御装置であり、
前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定することを特徴とするフィルタ制御装置。
【請求項６】
フィルタとフィルタ制御部を備えた通信防護システムの通信防護方法であり、
前記フィルタが、第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から、特定の送信元アドレスのデータを廃棄するフィルタリングステップと、
前記フィルタ制御部が、前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定するフィルタ制御ステップと、
を含むことを特徴とする通信防護方法。
【請求項７】
コンピュータに、
第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から特定の送信元アドレスのデータを廃棄するフィルタに対して、前記特定の送信元アドレスを設定するフィルタ制御ステップを実行させるためのコンピュータプログラムであり、
前記フィルタ制御ステップは、前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定することを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信防護システム、フィルタ制御装置、通信防護方法およびコンピュータプログラムに関する。
【背景技術】
【０００２】
従来、ＭＡＣ（Media Access Control address）アドレスに基づいてデータ伝送を行う通信ネットワークにおいてループが形成されると、通信ネットワークの伝送帯域の逼迫やＭＡＣアドレス学習テーブルの混乱などによって正常な通信が阻害されるため、ループの発見とその対処が通信ネットワークの保守上の重要事項となっている。ＭＡＣアドレスに基づいてデータ伝送を行う通信ネットワークとして、イーサネット（登録商標）と呼ばれるものが一般に知られている。
【０００３】
従来のループ検出技術として、例えば特許文献１、２、３が知られている。これら特許文献１、２，３の従来技術では、試験フレームを通信ネットワークへ送信し、該試験フレームの送信元アドレスの痕跡や、送信した試験フレームと戻ってきた試験フレームとの照合結果に基づいて、ループの検出を行っている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第４６７１２８８号公報
【特許文献２】特許第５０１９５２０号公報
【特許文献３】特許第４３４１９１８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、上述した従来技術では、試験フレームの送出間隔を長くすると、ループ検出間隔も長くなり、その間に発生したループによって通信に支障を来す恐れがある。一方、試験フレームの送出間隔を短くすると、ループ検出間隔を短くできるが、試験フレームの発生数が増大し、試験フレームによって通信ネットワークの伝送帯域を多く消費してしまう。
【０００６】
本発明は、このような事情を考慮してなされたもので、試験フレームの利用によらずに、ループ発生による通信ネットワークへの悪影響を軽減できる通信防護システム、フィルタ制御装置、通信防護方法およびコンピュータプログラムを提供することを課題とする。
【課題を解決するための手段】
【０００７】
（１）本発明に係る通信防護システムは、第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から、特定の送信元アドレスのデータを廃棄するフィルタと、前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定するフィルタ制御部と、を備えたことを特徴とする。
【０００８】
（２）本発明に係る通信防護システムは、上記（１）の通信防護システムにおいて、前記フィルタ制御部は、前記第２の通信ネットワークと第３の通信ネットワークの間の所要移動時間の時間間隔で前記端末のアドレスを取得して前記特定の送信元アドレスを更新することを特徴とする。
【０００９】
（３）本発明に係る通信防護システムは、上記（１）又は（２）の通信防護システムにおいて、前記第１の通信ネットワークに接続する試験データ送信部と、前記第１の通信ネットワークと前記第２の通信ネットワークとの接続箇所および前記第１の通信ネットワークと前記第３の通信ネットワークとの接続箇所にそれぞれ設けられた試験データ監視部と、を備え、前記試験データ送信部は、前記第１の通信ネットワークを介して、前記第２の通信ネットワーク及び第３の通信ネットワークに対し、試験用の送信元アドレスの試験データを送信し、各前記試験データ監視部は、各前記接続箇所において、前記第２の通信ネットワークから前記第１の通信ネットワークへ流入するデータ、前記第３の通信ネットワークから前記第１の通信ネットワークへ流入するデータをそれぞれ監視し、前記試験用の送信元アドレスの試験データを検出した場合に該当する前記接続箇所を遮断させる、ことを特徴とする。
【００１０】
（４）本発明に係る通信防護システムは、上記（１）から（３）のいずれかの通信防護システムにおいて、前記フィルタに設定されている前記特定の送信元アドレスのうち、規定時間内においてデータ廃棄に使用された前記特定の送信元アドレスを前記フィルタの設定に残し、一方、規定時間内においてデータ廃棄に使用されていない前記特定の送信元アドレスを前記フィルタの設定から削除する、ことを特徴とする。
【００１１】
（５）本発明に係るフィルタ制御装置は、第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から特定の送信元アドレスのデータを廃棄するフィルタに対して、前記特定の送信元アドレスを設定するフィルタ制御装置であり、前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定することを特徴とする。
【００１２】
（６）本発明に係る通信防護方法は、フィルタとフィルタ制御部を備えた通信防護システムの通信防護方法であり、前記フィルタが、第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から、特定の送信元アドレスのデータを廃棄するフィルタリングステップと、前記フィルタ制御部が、前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定するフィルタ制御ステップと、を含むことを特徴とする。
【００１３】
（７）本発明に係るコンピュータプログラムは、コンピュータに、第２の通信ネットワークと第３の通信ネットワークの間で交換されるデータを伝送する第１の通信ネットワークへ前記第２の通信ネットワークから流入するデータの中から特定の送信元アドレスのデータを廃棄するフィルタに対して、前記特定の送信元アドレスを設定するフィルタ制御ステップを実行させるためのコンピュータプログラムであり、前記フィルタ制御ステップは、前記第３の通信ネットワークに接続する端末のアドレスを取得し、該取得したアドレスを前記特定の送信元アドレスとして前記フィルタに設定することを特徴とするコンピュータプログラムでることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、試験フレームの利用によらずに、ループ発生による通信ネットワークへの悪影響を軽減できるという効果が得られる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係る通信防護システム１の構成を示すブロック図である。
【図２】本発明の一実施形態に係る廃棄アドレス設定テーブルの構成例である。
【図３】本発明の一実施形態に係るフィルタ制御手順を示すフローチャートである。
【図４】本発明に係る通信防護システム１の実施例１の概略構成図である。
【図５】本発明に係る通信防護システム１の実施例２の構成を示すブロック図である。
【発明を実施するための形態】
【００１６】
以下、図面を参照し、本発明の実施形態について説明する。
図１は、本発明の一実施形態に係る通信防護システム１の構成を示すブロック図である。図１において、通信防護システム１は、フィルタ１１−１、１１−２とフィルタ制御部１２を備える。
【００１７】
第１通信ネットワーク１０１は、第２通信ネットワーク１０２と第３通信ネットワーク１０３の間で交換されるデータを伝送する。第２通信ネットワーク１０２および第３通信ネットワーク１０３は、ＭＡＣアドレスに基づいてデータ伝送を行う通信ネットワークである。第２通信ネットワーク１０２には端末１３−１が接続されている。また、第３通信ネットワーク１０３には端末１３−２が接続されている。端末１３−１はＭＡＣアドレスＭａｃ＿ａを有する。端末１３−２はＭＡＣアドレスＭａｃ＿ｂを有する。端末１３−１から送信されるデータには送信元アドレスＭａｃ＿ａが付与される。端末１３−２から送信されるデータには送信元アドレスＭａｃ＿ｂが付与される。
【００１８】
フィルタ１１−１は、第２通信ネットワーク１０２から第１通信ネットワーク１０１へ流入するデータの中から、特定の送信元アドレスのデータを廃棄する。フィルタ１１−２は、第３通信ネットワーク１０３から第１通信ネットワーク１０１へ流入するデータの中から、特定の送信元アドレスのデータを廃棄する。
【００１９】
フィルタ制御部１２は、フィルタ１１−１、１１−２のそれぞれに対して、廃棄する対象のデータの送信元アドレス（以下、廃棄アドレスと称する）を設定する。フィルタ制御部１２は、第３通信ネットワーク１０３に接続する端末１３−２のＭＡＣアドレスＭａｃ＿ｂを取得し、該取得したＭＡＣアドレスＭａｃ＿ｂを廃棄アドレスとしてフィルタ１１−１に設定する。また、フィルタ制御部１２は、第２通信ネットワーク１０２に接続する端末１３−１のＭＡＣアドレスＭａｃ＿ａを取得し、該取得したＭＡＣアドレスＭａｃ＿ａを廃棄アドレスとしてフィルタ１１−２に設定する。
【００２０】
図２は、本実施形態に係る廃棄アドレス設定テーブルの構成例である。図２（１）には、フィルタ１１−１の廃棄アドレス設定テーブルの構成例が示されている。このフィルタ１１−１の廃棄アドレス設定テーブルには、廃棄アドレスとして、第３通信ネットワーク１０３に接続される端末１３−２のＭＡＣアドレスＭａｃ＿ｂが格納されている。フィルタ１１−１は、第２通信ネットワーク１０２から第１通信ネットワーク１０１へ流入するデータの中から、自己の廃棄アドレス設定テーブルに格納されている廃棄アドレスのデータを廃棄する。
【００２１】
図２（２）には、フィルタ１１−２の廃棄アドレス設定テーブルの構成例が示されている。このフィルタ１１−２の廃棄アドレス設定テーブルには、廃棄アドレスとして、第２通信ネットワーク１０２に接続される端末１３−１のＭＡＣアドレスＭａｃ＿ａが格納されている。フィルタ１１−２は、第３通信ネットワーク１０３から第１通信ネットワーク１０１へ流入するデータの中から、自己の廃棄アドレス設定テーブルに格納されている廃棄アドレスのデータを廃棄する。
【００２２】
次に図３を参照して、図１に示すフィルタ制御部１２の動作を説明する。図３は、本実施形態に係るフィルタ制御手順を示すフローチャートである。
【００２３】
（ステップＳ１）フィルタ制御部１２は、廃棄アドレスの更新タイミングを判断する。この判断の結果、廃棄アドレスの更新タイミングである場合にはステップＳ２に進み、廃棄アドレスの更新タイミングではない場合にはステップＳ１に戻る。
【００２４】
（ステップＳ２）フィルタ制御部１２は、第２通信ネットワーク１０２および第３通信ネットワーク１０３にそれぞれ接続する端末のＭＡＣアドレスを取得する。
【００２５】
（ステップＳ３）フィルタ制御部１２は、フィルタ１１−１に対して、ステップＳ２で取得された「第３通信ネットワーク１０３に接続する端末のＭＡＣアドレス」を通知し、廃棄アドレス設定テーブルを更新させる。これにより、フィルタ１１−１の廃棄アドレス設定テーブルに格納される廃棄アドレスは、ステップＳ２で取得された「第３通信ネットワーク１０３に接続する端末のＭＡＣアドレス」に変更される。
【００２６】
また、フィルタ制御部１２は、フィルタ１１−２に対して、ステップＳ２で取得された「第２通信ネットワーク１０２に接続する端末のＭＡＣアドレス」を通知し、廃棄アドレス設定テーブルを更新させる。これにより、フィルタ１１−２の廃棄アドレス設定テーブルに格納される廃棄アドレスは、ステップＳ２で取得された「第２通信ネットワーク１０２に接続する端末のＭＡＣアドレス」に変更される。
【００２７】
（ステップＳ４）フィルタ制御部１２は、自己の動作の終了を判断する。この判断の結果、自己の動作の終了である場合には図３の処理を終了する。一方、自己の動作の終了ではない場合にはステップＳ１に戻る。
【００２８】
本実施形態によれば、試験フレームの利用によらずに、ループ発生による通信ネットワークへの悪影響を軽減できる。この効果を具体的に説明する。図１において、第２通信ネットワーク１０２においてループが形成されたとする。すると、端末１３−２から端末１３−１宛てに送信されたデータは、第３通信ネットワーク１０３から第１通信ネットワーク１０１を経由して第２通信ネットワーク１０２に到達した後、第２通信ネットワーク１０２のループによって再び第１通信ネットワーク１０１へ戻ってくる。この戻りデータが第１通信ネットワーク１０１に流入すると、第１通信ネットワーク１０１の伝送帯域を浪費することになる。さらには、該戻りデータが第３通信ネットワーク１０３に流入すると、第３通信ネットワーク１０３におけるＭＡＣアドレス学習テーブルに混乱を来すことになる。
【００２９】
しかし、本実施形態によれば、フィルタ１１−１が、該戻りデータの送信元アドレス（端末１３−２のＭＡＣアドレスＭａｃ＿ｂ）と自己の廃棄アドレス設定テーブル内の廃棄アドレスＭａｃ＿ｂとの一致によって、該戻りデータを廃棄する。これにより、該戻りデータが第１通信ネットワーク１０１へ流入しないので、第１通信ネットワーク１０１の伝送帯域の浪費や第３通信ネットワーク１０３におけるＭＡＣアドレス学習テーブルの混乱を防ぐことができる。
【００３０】
［ＭＡＣアドレス取得方法］
フィルタ制御部１２が第２通信ネットワーク１０２および第３通信ネットワーク１０３にそれぞれ接続する端末のＭＡＣアドレスを取得する方法として、第２通信ネットワーク１０２および第３通信ネットワーク１０３にそれぞれ設けられているＭＡＣアドレス学習テーブルから、該ＭＡＣアドレス学習テーブルに格納されているＭＡＣアドレスを取得することが挙げられる。
【００３１】
［廃棄アドレス更新タイミング決定方法］
フィルタ制御部１２が廃棄アドレスを更新するタイミングとして、第２通信ネットワーク１０２と第３通信ネットワーク１０３の間の所要移動時間の時間間隔が挙げられる。この点について以下に具体的に説明する。
【００３２】
利用者が、第２通信ネットワーク１０２に接続している端末１３−１の該第２通信ネットワーク１０２への接続を止めて、該端末１３−１を第３通信ネットワーク１０３に接続を変えることを想定する。この場合、フィルタ１１−２の廃棄アドレス設定テーブルには廃棄アドレスとして端末１３−１のＭＡＣアドレスＭａｃ＿ａが格納されているので、第３通信ネットワーク１０３に接続を変えた端末１３−１から送信されたデータがフィルタ１１−２で廃棄されてしまう。したがってそのままでは、第３通信ネットワーク１０３に接続し直した端末１３−１は、第２通信ネットワーク１０２に接続する端末との間で通信を行うことができない。
【００３３】
このため、各フィルタ１１−１、１１−２の廃棄アドレス設定テーブルを定期的に更新することが考えられるが、その更新間隔をどのようにして決定するのかが課題となる。廃棄アドレス設定テーブルの更新間隔を長くすると、第３通信ネットワーク１０３に接続を変える端末１３−１の通信に支障を来す可能性が高まる。一方、廃棄アドレス設定テーブルの更新間隔を短くすると、廃棄アドレス設定テーブルの更新にかかる負荷が増える。
【００３４】
そこで、本発明者は、第２通信ネットワーク１０２への接続場所と第３通信ネットワーク１０３への接続場所が地理的に離れている場合には、少なくとも、第２通信ネットワーク１０２への接続場所から第３通信ネットワーク１０３への接続場所へ移動するために必要な移動時間（所要移動時間）がかかることに着目し、該所要移動時間の時間間隔で各フィルタ１１−１、１１−２の廃棄アドレス設定テーブルの更新を行うことを着想した。
【００３５】
第２通信ネットワーク１０２と第３通信ネットワーク１０３の間の所要移動時間の時間間隔で各フィルタ１１−１、１１−２の廃棄アドレス設定テーブルの更新を行うことにより、利用者が端末１３−１の第２通信ネットワーク１０２への接続を止めてから直ぐに第３通信ネットワーク１０３への接続場所へ移動して端末１３−１を第３通信ネットワーク１０３へ接続しても、該第３通信ネットワーク１０３への接続時には、所要移動時間が経過しているので、各フィルタ１１−１、１１−２の廃棄アドレス設定テーブルは更新済みとなっている。この更新により、フィルタ１１−２の廃棄アドレス設定テーブルに廃棄アドレスとして格納されていた端末１３−１のＭＡＣアドレスＭａｃ＿ａは該廃棄アドレス設定テーブルから削除される。したがって、第３通信ネットワーク１０３に接続を変えた端末１３−１から送信されたデータがフィルタ１１−２で廃棄されることはないので、該端末１３−１は第２通信ネットワーク１０２に接続する端末との間で通信を行うことができる。さらに、廃棄アドレス設定テーブルの更新にかかる負荷を抑えることができる。
【００３６】
次に本実施形態に係る通信防護システム１の実施例を以下に説明する。
【実施例１】
【００３７】
図４は本発明に係る通信防護システム１の実施例１の概略構成図である。図４において、ＭＰＬＳ（Multi-Protocol Label Switching）ネットワーク１１１は、各ブロックの通信ネットワーク１１２、１１３、１１４の間で交換されるデータを伝送する。図４の例では、日本・中国ブロックとして日本や中国などの東アジア地域に設けられた通信ネットワーク１１２、北アメリカブロックとしてカナダや米国などの北アメリカ地域に設けられた通信ネットワーク１１３、南アメリカブロックとしてブラジルやアルゼンチンなどの南アメリカ地域に設けられた通信ネットワーク１１４が存在している。各ブロックの通信ネットワーク１１２、１１３、１１４は、ＭＡＣアドレスに基づいてデータ伝送を行う通信ネットワークである。
【００３８】
ＭＰＬＳネットワーク１１１には、ブロック毎にエッジスイッチ２０−１、２０−２、２０−３が設けられている。日本・中国ブロックの通信ネットワーク１１２に対してエッジスイッチ２０−１、北アメリカブロックに対してエッジスイッチ２０−２、南アメリカブロックに対してエッジスイッチ２０−３がそれぞれ設けられている。
【００３９】
各エッジスイッチ２０−１、２０−２、２０−３は、本実施形態に係るフィルタ１１−１，１１−２と同様のフィルタ機能を有する。フィルタ制御部１２は、各エッジスイッチ２０−１、２０−２、２０−３に対して、廃棄アドレスを設定する。この廃棄アドレス設定を以下に具体的に説明する。
【００４０】
日本・中国ブロックの通信ネットワーク１１２に接続する端末１３は、エッジスイッチ２０−１を介して、北アメリカブロックの通信ネットワーク１１３に接続する端末１３や南アメリカブロックの通信ネットワーク１１４に接続する端末１３との間でデータの送受を行う。したがって、日本・中国ブロックの通信ネットワーク１１２でループが形成されると、北アメリカブロックの通信ネットワーク１１３に接続する端末１３や南アメリカブロックの通信ネットワーク１１４に接続する端末１３から日本・中国ブロックの通信ネットワーク１１２に接続する端末１３宛てに送信されたデータが、該ループによって、エッジスイッチ２０−１を介してＭＰＬＳネットワーク１１１へ流入することになる。これを防止するために、日本・中国ブロックに対応するエッジスイッチ２０−１には、北アメリカブロックの通信ネットワーク１１３に接続する端末１３のＭＡＣアドレスおよび南アメリカブロックの通信ネットワーク１１４に接続する端末１３のＭＡＣアドレスを廃棄アドレスとして設定する。
【００４１】
このため、フィルタ制御部１２は、北アメリカブロックの通信ネットワーク１１３に接続する端末１３のＭＡＣアドレスおよび南アメリカブロックの通信ネットワーク１１４に接続する端末１３のＭＡＣアドレスを取得してエッジスイッチ２０−１へ通知する。エッジスイッチ２０−１は、該通知されたＭＡＣアドレスを自己の廃棄アドレス設定テーブルに格納する。そして、エッジスイッチ２０−１は、日本・中国ブロックの通信ネットワーク１１２からＭＰＬＳネットワーク１１１へ流入するデータの中から、自己の廃棄アドレス設定テーブルに格納されている廃棄アドレスのデータを廃棄する。
【００４２】
北アメリカブロックの通信ネットワーク１１３に接続する端末１３は、エッジスイッチ２０−２を介して、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３や南アメリカブロックの通信ネットワーク１１４に接続する端末１３との間でデータの送受を行う。したがって、北アメリカブロックの通信ネットワーク１１３でループが形成されると、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３や南アメリカブロックの通信ネットワーク１１４に接続する端末１３から北アメリカブロックの通信ネットワーク１１３に接続する端末１３宛てに送信されたデータが、該ループによって、エッジスイッチ２０−２を介してＭＰＬＳネットワーク１１１へ流入することになる。これを防止するために、北アメリカブロックに対応するエッジスイッチ２０−２には、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３のＭＡＣアドレスおよび南アメリカブロックの通信ネットワーク１１４に接続する端末１３のＭＡＣアドレスを廃棄アドレスとして設定する。
【００４３】
このため、フィルタ制御部１２は、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３のＭＡＣアドレスおよび南アメリカブロックの通信ネットワーク１１４に接続する端末１３のＭＡＣアドレスを取得してエッジスイッチ２０−２へ通知する。エッジスイッチ２０−２は、該通知されたＭＡＣアドレスを自己の廃棄アドレス設定テーブルに格納する。そして、エッジスイッチ２０−２は、北アメリカブロックの通信ネットワーク１１３からＭＰＬＳネットワーク１１１へ流入するデータの中から、自己の廃棄アドレス設定テーブルに格納されている廃棄アドレスのデータを廃棄する。
【００４４】
南アメリカブロックの通信ネットワーク１１４に接続する端末１３は、エッジスイッチ２０−３を介して、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３や北アメリカブロックの通信ネットワーク１１３に接続する端末１３との間でデータの送受を行う。したがって、南アメリカブロックの通信ネットワーク１１４でループが形成されると、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３や北アメリカブロックの通信ネットワーク１１３に接続する端末１３から南アメリカブロックの通信ネットワーク１１４に接続する端末１３宛てに送信されたデータが、該ループによって、エッジスイッチ２０−３を介してＭＰＬＳネットワーク１１１へ流入することになる。これを防止するために、南アメリカブロックに対応するエッジスイッチ２０−３には、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３のＭＡＣアドレスおよび北アメリカブロックの通信ネットワーク１１３に接続する端末１３のＭＡＣアドレスを廃棄アドレスとして設定する。
【００４５】
このため、フィルタ制御部１２は、日本・中国ブロックの通信ネットワーク１１２に接続する端末１３のＭＡＣアドレスおよび北アメリカブロックの通信ネットワーク１１３に接続する端末１３のＭＡＣアドレスを取得してエッジスイッチ２０−３へ通知する。エッジスイッチ２０−３は、該通知されたＭＡＣアドレスを自己の廃棄アドレス設定テーブルに格納する。そして、エッジスイッチ２０−３は、南アメリカブロックの通信ネットワーク１１４からＭＰＬＳネットワーク１１１へ流入するデータの中から、自己の廃棄アドレス設定テーブルに格納されている廃棄アドレスのデータを廃棄する。
【００４６】
［ＭＡＣアドレス取得方法］
フィルタ制御部１２による端末のＭＡＣアドレスの取得方法として、各ブロックの通信ネットワーク１１２、１１３、１１４にそれぞれ設けられているＭＡＣアドレス学習テーブルから、該ＭＡＣアドレス学習テーブルに格納されているＭＡＣアドレスを取得することが挙げられる。
【００４７】
なお、各ブロックの通信ネットワーク１１２、１１３、１１４は、単独の通信ネットワークとして構成されてもよく、又は、複数のサブ通信ネットワークから構成されてもよい。一ブロックの通信ネットワークが複数のサブ通信ネットワークから構成される場合には、フィルタ制御部１２は全てのサブ通信ネットワークに接続する端末のＭＡＣアドレスを取得する。具体的には、フィルタ制御部１２は、各サブ通信ネットワークに設けられているＭＡＣアドレス学習テーブルから、それぞれに該ＭＡＣアドレス学習テーブルに格納されているＭＡＣアドレスを取得する。
【００４８】
［廃棄アドレス更新タイミング決定方法］
フィルタ制御部１２が廃棄アドレスを更新するタイミングとして、各ブロックの間の所要移動時間の時間間隔が挙げられる。日本・中国ブロックに対応するエッジスイッチ２０−１に対しては、日本・中国ブロックと北アメリカブロック間の所要移動時間と、日本・中国ブロックと南アメリカブロック間の所要移動時間との内、短い方の所要移動時間の時間間隔で、廃棄アドレス設定テーブルの更新を行う。これにより、利用者が、日本・中国ブロックと、北アメリカブロック又は南アメリカブロックとの間で移動して端末１３の接続先の通信ネットワークを変えたとしても、該変更先の通信ネットワークに接続された端末１３の通信に支障を来すことはない。さらに、廃棄アドレス設定テーブルの更新にかかる負荷を抑えることができる。
【００４９】
北アメリカブロックに対応するエッジスイッチ２０−２に対しては、北アメリカブロックと日本・中国ブロック間の所要移動時間と、北アメリカブロックと南アメリカブロック間の所要移動時間との内、短い方の所要移動時間の時間間隔で、廃棄アドレス設定テーブルの更新を行う。これにより、利用者が、北アメリカブロックと、日本・中国ブロック又は南アメリカブロックとの間で移動して端末１３の接続先の通信ネットワークを変えたとしても、該変更先の通信ネットワークに接続された端末１３の通信に支障を来すことはない。さらに、廃棄アドレス設定テーブルの更新にかかる負荷を抑えることができる。
【００５０】
南アメリカブロックに対応するエッジスイッチ２０−３に対しては、南アメリカブロックと日本・中国ブロック間の所要移動時間と、南アメリカブロックと北アメリカブロック間の所要移動時間との内、短い方の所要移動時間の時間間隔で、廃棄アドレス設定テーブルの更新を行う。これにより、利用者が、南アメリカブロックと、日本・中国ブロック又は北アメリカブロックとの間で移動して端末１３の接続先の通信ネットワークを変えたとしても、該変更先の通信ネットワークに接続された端末１３の通信に支障を来すことはない。さらに、廃棄アドレス設定テーブルの更新にかかる負荷を抑えることができる。
【実施例２】
【００５１】
図５は本発明に係る通信防護システム１の実施例２の構成を示すブロック図である。この図５において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。
【００５２】
図５に示される通信防護システム１は、図１に示される構成に対して、さらに試験データ送信部３０および試験データ監視部３１−１、３１−２を備える。試験データ送信部３０は、第１通信ネットワーク１０１に接続している。試験データ監視部３１−１は、第１通信ネットワーク１０１と第２通信ネットワーク１０２との接続箇所に設けられている。試験データ監視部３１−２は、第１通信ネットワーク１０１と第３通信ネットワーク１０３との接続箇所に設けられている。
【００５３】
試験データ送信部３０は、第１通信ネットワーク１０１を介して、第２通信ネットワーク１０２及び第３通信ネットワーク１０３に対し、試験用の送信元アドレス（ＭＡＣアドレスＭａｃ＿ｔｓｔ）の試験データを送信する。試験用の送信元アドレス（ＭＡＣアドレスＭａｃ＿ｔｓｔ）として、割り当てられていないマルチキャストアドレスを使用する。また、試験データの宛先アドレスには、割り当てられていないマルチキャストアドレスを使用する。
【００５４】
第２通信ネットワーク１０２にループが形成されている場合、該試験データは、第２通信ネットワーク１０２に流入した後に該ループによって第１通信ネットワーク１０１へと戻ってくる。また、第３通信ネットワーク１０３にループが形成されている場合、該試験データは、第３通信ネットワーク１０３に流入した後に該ループによって第１通信ネットワーク１０１へと戻ってくる。
【００５５】
試験用の送信元アドレス（ＭＡＣアドレスＭａｃ＿ｔｓｔ）は、各試験データ監視部３１−１、３１−２に対して、事前に設定されている。試験データ監視部３１−１は、第２通信ネットワーク１０２から第１通信ネットワーク１０１へ流入するデータを監視する。そして、試験データ監視部３１−１は、その監視の結果、試験用の送信元アドレス（ＭＡＣアドレスＭａｃ＿ｔｓｔ）の試験データを検出した場合に、第１通信ネットワーク１０１と第２通信ネットワーク１０２との接続箇所を遮断させる。これにより、第２通信ネットワーク１０２に流入した後に該ループによって第１通信ネットワーク１０１へと戻ってくる戻りデータが第１通信ネットワーク１０１へ流入することを防ぐことができる。
【００５６】
試験データ監視部３１−２は、第３通信ネットワーク１０３から第１通信ネットワーク１０１へ流入するデータを監視する。そして、試験データ監視部３１−２は、その監視の結果、試験用の送信元アドレス（ＭＡＣアドレスＭａｃ＿ｔｓｔ）の試験データを検出した場合に、第１通信ネットワーク１０１と第３通信ネットワーク１０３との接続箇所を遮断させる。これにより、第３通信ネットワーク１０３に流入した後に該ループによって第１通信ネットワーク１０１へと戻ってくる戻りデータが第１通信ネットワーク１０１へ流入することを防ぐことができる。
【００５７】
本実施例２によれば、フィルタ１１−１、１１−２による廃棄アドレスのデータのフィルタリングに加えて、試験データを用いたループ検出を行うことにより、ループ発生による通信ネットワークへの悪影響の軽減をより確実にできる。なお、通常は、フィルタ１１−１、１１−２による廃棄アドレスのデータのフィルタリングによって、ループ発生による通信ネットワークへの悪影響を軽減できるので、試験データを用いたループ検出は、必要に応じて適宜に実施されればよい。例えば、フィルタ１１−１、１１−２の初期状態（まだ廃棄アドレスが設定されていない状態）時や、第２通信ネットワーク１０２又は第３通信ネットワーク１０３の構成変更時等の廃棄アドレス更新過渡期などに、試験データを用いたループ検出を実施することが挙げられる。
【００５８】
以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【００５９】
例えば、フィルタ１１−１，１１−２に設定されている廃棄アドレスのうち、規定時間内においてデータ廃棄に使用された廃棄アドレスを当該フィルタの設定に残し、一方、規定時間内においてデータ廃棄に使用されていない廃棄アドレスを当該フィルタの設定から削除するようにしてもよい。
【００６０】
また、上述したフィルタ制御部１２の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
【００６１】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
【００６２】
さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【符号の説明】
【００６３】
１…通信防護システム、１１−１，１１−２…フィルタ、１２…フィルタ制御部、１３，１３−１，１３−２…端末、１０１…第１通信ネットワーク、１０２…第２通信ネットワーク、１０３…第３通信ネットワーク、１１１…ＭＰＬＳネットワーク、１１２，１１３，１１４…通信ネットワーク、２０−１，２０−２，２０−３…エッジスイッチ、３０…試験データ送信部、３１−１，３１−２…試験データ監視部
【図１】
2015146484.tif 000003
【図２】
2015146484.tif 000004
【図３】
2015146484.tif 000005
【図４】
2015146484.tif 000006
【図５】
2015146484.tif 000007