(57)【要約】  複数の通信ノード間で通信の信頼性を提供する方法及びシステムについて説明される。これは、受信データ要素に対して受信パケットが信頼できるか否かを判断する信頼性判断動作を実行するように前記通信ノードのそれぞれを構成することと、前記複数の通信ノードをそれぞれが前記通信ノードのうちの少なくとも２つを含む複数の識別可能なクラスタにグルーピングすることと、各クラスタのいずれかのメンバノードにより送信されたデータ要素の信頼性が前記各クラスタ内で判断可能であるように、前記各クラスタにおいてクラスタ内信頼メカニズムを実現することと、前記クラスタのそれぞれが前記クラスタのうちの少なくとも２つの異なるクラスタに属する１つ以上のマルチクラスタメンバノードを含むように前記クラスタを構成することと、前記マルチクラスタメンバノードを介してクラスタ間トラフィックをルーティングすることとを備える。【選択図】  なし
2011520327.tif 000002
【特許請求の範囲】
【請求項１】
複数の通信ノード間で通信の信頼性を提供する方法であって、
受信データ要素に対して受信データ要素が信頼できるか否かを判断する信頼性判断動作を実行するように前記通信ノードのそれぞれを構成するステップ（Ｓ２１）と、
前記複数の通信ノードをそれぞれが前記通信ノードのうちの少なくとも２つを含む複数の識別可能なクラスタにグルーピングするステップ（Ｓ２２）と、
前記クラスタそれぞれの任意のメンバノードにより送信されたデータ要素の信頼性が前記クラスタそれぞれで判断可能であるように、前記クラスタそれぞれにおいてクラスタ内信頼メカニズムを実現するステップ（Ｓ２３）と、
前記クラスタのそれぞれが、該クラスタのうちの少なくとも２つの異なるクラスタに属する１つ以上のマルチクラスタメンバノードを含むように、前記クラスタを構成するステップと、
前記マルチクラスタメンバノードを介してクラスタ間トラフィックをルーティングするステップ（Ｓ２４）と
を備えることを特徴とする方法。
【請求項２】
前記クラスタのうちの少なくとも１つを複数のサブクラスタに分割するステップを更に備え、
前記サブクラスタのそれぞれは、サブクラスタ間トラフィックをルーティングするために、関連付けられたサブクラスタ内信頼メカニズムを実現し、前記サブクラスタのうちの少なくとも２つの異なるサブクラスタに属する少なくとも１つのマルチサブクラスタメンバノードを有する
ことを特徴とする請求項１に記載の方法。
【請求項３】
前記信頼性判断動作は、前記受信データ要素の信頼性を調査すること及び同一の前記クラスタの指定されたノードにより前記受信データ要素の信頼性の調査を要求することのうちの１つまたは双方を含む
ことを特徴とする請求項１または２に記載の方法。
【請求項４】
前記調査することは、セキュリティタグ、復号化結果及び到来する経路の調査のうちの１つ以上を含む
ことを特徴とする請求項３に記載の方法。
【請求項５】
前記信頼性判断動作は、信頼性を欠くと判断されるデータ要素を削除することを含む
ことを特徴とする請求項１乃至４のいずれか１項に記載の方法。
【請求項６】
前記クラスタ内信頼メカニズムを実現するステップは、前記クラスタそれぞれの任意のメンバノードにより送信されたデータ要素が前記クラスタそれぞれで信頼できるものとして判断されるようにクラスタ内認証メカニズムを実現することを含む
ことを特徴とする請求項１乃至５のいずれか１項に記載の方法。
【請求項７】
前記クラスタ内認証メカニズムは、所定のクラスタの通信ノードそれぞれが前記所定のクラスタに属する別の通信ノードに転送される任意のデータ要素に対して認証動作を実行することを含む
ことを特徴とする請求項６に記載の方法。
【請求項８】
前記認証動作は、セキュリティタグを適用すること、暗号化を実行すること及び信頼できる送信の経路を選択することのうちの１つ以上を含む
ことを特徴とする請求項７に記載の方法。
【請求項９】
前記認証動作は、前記認証動作を実行する前記通信ノードの送信元インジケータにより転送中のデータ要素において送信元インジケータを置換することを含む
ことを特徴とする請求項７または８に記載の方法。
【請求項１０】
前記クラスタのうちの少なくとも最初の１つは、前記信頼性判断動作及び前記第１のクラスタの前記クラスタ内認証メカニズムの双方に使用された対応する第１の鍵と関連付けられている
ことを特徴とする請求項１乃至９のいずれか１項に記載の方法。
【請求項１１】
前記通信ノードは、１より大きい整数であるｎ個のクラスタにグルーピングされ、ｉ＝２、．．．ｎであるｉ番目のクラスタのそれぞれは、前記信頼性判断動作及び前記ｉ番目のクラスタの前記クラスタ内認証メカニズムの双方に使用された対応するｉ番目の鍵セットと関連付けられている
ことを特徴とする請求項１０に記載の方法。
【請求項１２】
前記通信ノードは、仮想ネットワークに属する
ことを特徴とする請求項１乃至１１のいずれか１項に記載の方法。
【請求項１３】
それぞれが受信データ要素に対して受信データ要素が信頼できるか否かを判断する信頼性判断動作を実行するように構成されている複数の通信ノードを含むシステムであって、
前記複数の通信ノードは、複数の識別可能なクラスタにグルーピングされ、
前記クラスタのそれぞれは、前記通信ノードのうちの少なくとも２つを含み、
前記クラスタのそれぞれは、前記クラスタの任意のメンバノードにより送信されたデータ要素の信頼性が前記クラスタそれぞれで判断可能であるようなクラスタ内信頼メカニズムを前記クラスタのそれぞれが実現するように構成され、
前記クラスタのそれぞれは、前記クラスタのうちの少なくとも２つの異なるクラスタに属する１つ以上のマルチクラスタメンバノードを含むように構成され、
前記複数の通信ノードは、前記マルチクラスタメンバノードを介してクラスタ間トラフィックのルーティングを実行するように構成されている
ことを特徴とするシステム。
【請求項１４】
前記通信ノードは、仮想ネットワークに属する
ことを特徴とする請求項１３に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のパケット通信ノード間での通信の信頼性を提供する方法及びシステムに関するものである。
【背景技術】
【０００２】
パケット通信において、データ量は部分に分割され、これらの部分は、パケット通信ノードのシステムを介して送信元から宛先に通信するためにパケットに配置される。そのようなノードのシステムは、例えば、いくつかの異なるネットワークを相互接続して、インターネットまたは相互接続されたネットワークを形成することによって、多くの異なる方法で提供される。
【０００３】
パケット通信ネットワークのシステムにおいて継続的に発生する問題の１つは、通信の信頼性の問題である。当然、特定の端末ノード間での通信用の固定経路を使用せずに、パケットがあるノードから次のノードに送信され、かつ送信元から宛先への行程において多数のノードを通過する可能性があるパケット指向通信の特性のため、原則的にパケットが悪意のある目的でシステムに導入されるという危険性がある。このため、例えば、セキュリティ機能（デジタル署名、あるいはより一般には、セキュリティタグ等）を正当なノードによって送信されたまたは転送されたパケットに追加すること及び特定のネットワークポイントにおいてこれらの機能を検証することによって、パケットを監視する及びフィルタリングするメカニズムを追加することが知られている。必要なセキュリティ機能の存在が検証される場合、パケットは信頼できると考えられ、かつ、例えば、パケットにおいて示された宛先に転送される等の、規則的に処理される。セキュリティ機能が検証されない場合、パケットは、正当な送信元からのものではないとみなされ、削除または隔離される等のそれに応じた処理がされる。
【０００４】
そのような信頼性のテストを実行するシステムポイントは、個々の管理ドメイン間のゲートウェイ、例えば、種々の自律システム（ＡＳ）であってもよい。各管理ドメインのノードは、インターネットサービスプロバイダ（ＩＳＰ）等の１つのエンティティの物理制御下にあるため、不当なパケットは外部からのみ発生する。従って、例えば、ファイアウォール機能により提供された監視及びフィルタリング機能は、所定のドメインを他のドメインと接続するゲートウェイノードにおいて実現される。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
そのような概念は、説明された環境下で、すなわち、別個の管理ドメインが存在する場合に適切に動作する。しかしながら、この概念は、ノードの物理制御及びゲートウェイが保証されない場合等、全ての場合に適用可能ではない。これは、例えば、一部の仮想ネットワークまたはアドホックネットワークの場合にも当てはまる。物理ノード及び物理リンクを含む１つの物理インフラストラクチャが、それぞれが仮想ノード間に自身の仮想ノード及び仮想リンクを有する複数の仮想ネットワークを提供できるように、仮想ネットワークは仮想ノードにより形成される。すなわち、各仮想ノードはいくつかの仮想ノードをホストできる物理ノード上のインスタンスである。従って、物理インフラストラクチャが物理ノードを制御できない複数の仮想ネットワークオペレータ（ＶＮＯ）によって共有されるため、例えば、ある仮想ネットワークからのパケットは、当該２つの仮想ネットワークの仮想ノードをホストする物理ノードにおける構成設定誤り（mis-configuration）のために別の仮想ネットワークに漏れる。
【課題を解決するための手段】
【０００６】
本発明の目的は、複数の通信ノード間で通信の信頼性を提供する新しい概念を提供することであり、特に、種々の大きさのノードシステムに一般に適用可能でありかつ更にスケーラブルであるのが好ましく、柔軟に実現可能である概念を提供することである。
【０００７】
従って、本発明は、複数の通信ノード間で通信の信頼性を提供する方法を提案する。この方法は、受信データ要素に対して受信データ要素が信頼できるか否かを判断する信頼性判断動作を実行するように前記通信ノードのそれぞれを構成すること（Ｓ２１）と、前記複数の通信ノードをそれぞれが前記通信ノードのうちの少なくとも２つを含む複数の識別可能なクラスタにグルーピングすること（Ｓ２２）と、クラスタそれぞれの任意のメンバノードにより送信されたデータ要素の信頼性が前記クラスタそれぞれで判断可能であるように、前記クラスタそれぞれにおいてクラスタ内信頼メカニズムを実現すること（Ｓ２３）と、前記クラスタのそれぞれが前記クラスタのうちの少なくとも２つの異なるクラスタに属する１つ以上のマルチクラスタメンバノードを含むように前記クラスタを構成することと、前記マルチクラスタメンバノードを介してクラスタ間トラフィックをルーティングすること（Ｓ２４）を備える。
【０００８】
同様に、それぞれが受信データ要素に対して受信データ要素が信頼できるか否かを判断する信頼性判断動作を実行するように構成されている複数の通信ノードを含むシステムが提案される。前記複数の通信ノードは、複数の識別可能なクラスタにグルーピングされ、前記クラスタのそれぞれは、前記通信ノードのうちの少なくとも２つを含み、前記クラスタのそれぞれは、前記クラスタの任意のメンバノードにより送信されたデータ要素の信頼性が前記クラスタそれぞれで判断可能であるようなクラスタ内信頼メカニズムを前記クラスタのそれぞれが実現するように構成され、前記クラスタのそれぞれは、前記クラスタのうちの少なくとも２つの異なるクラスタに属する１つ以上のマルチクラスタメンバノードを含むように構成され、前記複数の通信ノードは、前記マルチクラスタメンバノードを介してクラスタ間トラフィックのルーティングを実行するように構成されている。
【０００９】
提案された概念に従うと、通信ノードのシステムは、ノードのそれぞれが受信データ要素に対して信頼性判断動作を実行するように構成される。データ要素は、パケット（例えば、プロトコルデータユニット、サービスデータユニット、フレーム等、異なる状況において異なる名前を有してもよい）またはデータストリーム（例えば、ビットストリームまたはバイトストリーム）等、通信される特定可能で、かつ識別可能な任意の構成のデータであってもよい。従って、本発明はパケット通信システムに限定されないことに注意されたい。
【００１０】
信頼性判断動作は、任意の適切な方法または所望の方法で実現され、例えば、デジタル署名等のセキュリティタグが検証され得る。換言すると、ノードのそれぞれが所望の形態のパケット監視を実行することにより、下層のネットワーク環境に関係なく信頼できる通信が可能になる。管理ドメイン等において共通の物理制御下にある特定のノードを有する必要はなく、主な制限もない。従って、本発明の概念は一般に適用可能である。
【００１１】
また、ノードは、それぞれが少なくとも２つのノードを有する複数のクラスタにグルーピングされる。クラスタ内信頼メカニズムは、各クラスタの任意のメンバノードにより送信されたデータ要素の信頼性がその各クラスタ内で判断可能であるように、クラスタそれぞれにおいて実現される。換言すると、信頼性はクラスタ毎に確立される。これは、例えば所定のクラスタの全てのノードに対して共通鍵（対称暗号化用）または共通鍵のペア（非対称暗号化または署名用）を使用することにより、任意の適切な方法または所望の方法で行われる。
【００１２】
クラスタそれぞれは、少なくとも１つのマルチクラスタメンバノード、すなわち、３つ以上のクラスタに同時に属するノードを含んでいる。また、システムのノードは、例えばノードにおいてルーティングテーブルを適切に配置することにより、クラスタ間トラフィックがマルチクラスタメンバノードを介してルーティングされるように制御される。クラスタそれぞれにおいて実現されたクラスタ間信頼メカニズムにより、マルチクラスタメンバノードは、一方のクラスタから受信したデータ要素をマルチクラスタメンバノードが属する他方のクラスタに転送でき、受信側のクラスタはパケットを信頼できるものと判断できることになる。このように、信頼できる通信は、全てのノードに対して共通なメカニズムを実現する必要はなく、通信ノードのシステム全体に渡ってあるクラスタから次のクラスタに対して確立される。換言すると、例えば、システムの全てのノードに対して単一の鍵セットを使用することは、セキュリティの観点からも望ましくないことであり、これを回避できる。同様に、全てのノードの鍵を全ての他のノードと共有しなければならないことは、明らかにスケーラブルではなくかつ管理が非常に困難なことであり、これを回避できる。これに対して、本発明で提案された概念は、クラスタ毎に信頼関係を確立する。これは、実質的に、信頼関係の管理が異なるクラスタ間で切り離され、それによりノードのシステムに渡ってスケーラブルになりかつ全てのノードの全体のシステムにおける管理と比較して非常に簡略化されることを意味する。
【００１３】
クラスタそれぞれが少なくとも１つのマルチクラスタメンバノードを有するという条件が満たされる限り、クラスタは、所定のノードのシステムに対して任意の適切な方法または所望の方法でグルーピングされることが指摘される。いずれかの一方のノードからいずれかの他方のノードにパケットを送信できるようにするために、ノードのそれぞれは少なくとも１つのクラスタに属し、かつ全てのクラスタは接続されるように定義されなければならない。従って、大規模システムにおいて、クラスタの数及びどのノードがどのクラスタと関連付けられるかを選択する可能性が非常に多くある。提案された概念が特定のネットワーク技術に関係なく、かつ考えられるほぼ全てのノードのトポロジーに適用されるため、これにより、この概念の優れた柔軟性及び一般的な適用性が強調される。この概念は、通信される任意の種類のデータ、すなわち、音声通信、シグナリング通信、ファイル交換等に更に適用される。
【図面の簡単な説明】
【００１４】
【図１ａ】関連付けられたリンクにより接続された通信ノードのシステムの一例を示す概略図である。
【図１ｂ】図１ａに示されたノードのシステムに対して定義された複数のクラスタの第１の例を示す図である。
【図１ｃ】図１ａに示されたノードのシステムに対して定義された複数のクラスタの第２の例を示す図である。
【図２】本発明の方法の実施形態を示すフローチャートである。
【図３】通信ノードのシステムにおけるクラスタ化の一例を示す概略図である。
【図４】本発明の一実施形態に従うパケット通信ルータにおけるパケットの処理を示す決定図である。
【発明を実施するための形態】
【００１５】
次に、図面を参照して、上述された本発明の基本概念の例を説明する。尚、この例は単に理解を深めるためのものであるため、この例を説明することにより、添付の請求の範囲によって定義される本発明を限定することを意図するものでないことに注意されたい。例えば、以下の説明は、多くの場合、本発明の概念が適用されるパケット通信ノードのシステムを参照する。しかし、この概念は一般に任意のデータ要素の通信、例えば、データストリームにも適用されるため、以下の説明は一例にすぎない。
【００１６】
図１ａは、所定のプロトコルに準拠するデータパケットを送信し、受信し及び処理するために配置されたノードであり、例えば、インターネットプロトコル（ＩＰ）パケットを処理するように配置されたノード等である、パケット通信ノードのシステムの簡単な一例を示している。これらのノードは、図１ａにおいてドットで示される。これらのノードはリンクにより接続され、図１ａにおいて線で示される。
【００１７】
図１ｂは、第１の例に従って、本発明の概念を図１ａのシステムに適用した結果を示している。これらのノードは、３つのクラスタＣ１、Ｃ２及びＣ３にグルーピングされており、２つのマルチクラスタメンバノード１１及び１３が示される。尚、ノード１１はクラスタＣ１及びＣ２のメンバであり、ノード１３はクラスタＣ２及びＣ３のメンバである。３つのクラスタのそれぞれは、クラスタ内信頼メカニズムを実現する。更に、図示されたシステムのノードのそれぞれは、受信パケット上で信頼性判断動作を実行する。例えば、クラスタ内信頼メカニズムは、各クラスタの任意のメンバノードにより送信されたデータ要素がその各クラスタ内で信頼できるものとして判断されるように配置された認証メカニズムにより実現されてもよい。例えば、そのような認証メカニズムは、所定のクラスタＣｉ（ｉ＝１、２、３）の各ノードが同一のクラスタに属する別のパケット通信ノードに転送中の任意のパケットに対して認証動作を実行することを含み、例えば、クラスタＣｉと関連付けられた鍵Ｋｉ、すなわち、クラスタＣｉの全てのメンバノードにより使用された鍵Ｋｉでパケットを暗号化することを含んでいる。クラスタＣｉのノードにおいて実行された信頼性判断動作は、受信パケットが鍵Ｋｉで暗号化されたかを調査することから構成される。パケットは、暗号化された場合は信頼され、暗号化されなかった場合は信頼できないと考えられ、削除等それに対応して処理される。
【００１８】
当然、これは一例にすぎない。ノードにより実行された信頼性判断動作は、当該ノードが自ら信頼性を調査することを含み、かつ／あるいは同一のクラスタの別のノード、例えば、このタスクに対して指定されたノードによるこのような信頼性の調査を要求することを含んでもよい。別のノードから調査が要求された場合、これは、例えば、データ要素をその他のノードに転送することにより、かつノードが信頼できるか否かを実際に判断して更なる処理（転送及び放置）を実行する手順を他のノードに完了させることにより行われる。選択的にはまたはこれに加えて、別のノードから調査を要求することは、調査の結果に依存する更なる処理を自ら実行するために、要求ノードが調査ノードからの回答を待機することを更に含んでいる。後者の場合、要求ノードは、データ要素の一部分、例えば、残りのデータ要素に関係なく調査されるセキュリティタグのみを転送できる。
【００１９】
ノードにより実行された調査は、セキュリティタグ（デジタル署名等）、復号結果の調査及び到来する経路の調査のうちの１つ以上を含んでもよい。
【００２０】
上記において、鍵はパケットを認証するための手段として使用された。対称暗号化における認証（暗号化）及び信頼性の判断（復号化）のために１つの鍵を使用する代わりにまたはそれを補完して、認証（暗号化または署名）及び信頼性の判断（復号化または署名の解析）のために、非対称暗号化／署名において公開鍵及び秘密鍵を含む鍵のペアを使用することもできる。認証及び信頼性判断手順に対する暗号化または署名等、鍵による手順を使用する場合、クラスタＣｉの１つ、いくつかまたは全てを対応する各鍵セットＫＳｉと関連付けることが可能である。各鍵セットＫＳｉは、認証及び信頼性の判断のために、関連付けられたクラスタＣｉ内で使用される１つ以上の鍵を含んでいる。
【００２１】
上述したように、信頼性を判断することは、一般に、データ要素を伴うセキュリティタグを調査することを更に含んでもよい。セキュリティタグの一例は、デジタル署名、すなわち、データ要素の少なくとも一部から（例えば、パケットの１つ以上のフィールドのコンテンツから）生成された１つのデータ、鍵及びアルゴリズムである。しかしながら、そのようなセキュリティタグは、データ要素のコンテンツに関係なく、例えば、乱数、鍵及びアルゴリズムに基づいて更に生成されてもよい。セキュリティタグを検証できるノードは、要求された構成要素を所有していなければならない。
【００２２】
更に、クラスタ内信頼メカニズム及び信頼性判断のために上述された例の代わりにまたはそれを補完して、信頼性のために到来する経路を調査でき、かつ認証の手段として信頼できる経路を選択できる。すなわち、パケットが暗号化トンネル等の安全な経路を介して送信される場合、これは通信の信頼性を保証するために更に利用される。
【００２３】
当然、図示された３つのクラスタも一例にすぎず、また、クラスタの数は、一般に１より大きい任意の整数ｎであってもよい。このｎ個のクラスタのうちの少なくとも１つは、信頼性判断動作及びそのクラスタのクラスタ内認証メカニズムの双方に使用された対応する鍵セットと関連付けられる。あるいは、ｉ＝２、．．．ｎであるｉ番目のクラスタＣｉのそれぞれが、信頼性判断動作及びｉ番目のクラスタＣｉのクラスタ内認証メカニズムの双方に使用された対応するｉ番目の鍵セットＫＳｉと関連付けられるのが好ましい。これまでに既に上述されたように、本発明の概念の一般的な利点は、異なるクラスタ間の信頼関係を消滅させることにある。今説明した鍵セットＫＳｉと関連付けられたクラスタＣｉの例において、これは、所定のクラスタの鍵セットに欠陥が生じている場合、これは影響を受けたクラスタに対してのみ影響を及ぼし、システムの残りのノードは影響を受けないことを意味する。換言すると、システム全体の全てのノードに対して鍵または鍵セットを変更するのではなく、影響を受けたクラスタの鍵セットを変更することのみが必要である。これにより、信頼関係及びシステムにおけるセキュリティの管理が非常に簡略化される。
【００２４】
上記において、所定のクラスタの各ノードが、同一のクラスタに属する別のパケット通信ノードに転送中の任意のパケットに対して認証動作を実行することを含むクラスタ内認証メカニズムの一例を挙げた。しかしながら、クラスタにおいてクラスタ内認証メカニズムを提供することは、クラスタの各ノードによる認証動作は必ずしも必要ではない。例えば、クラスタの範囲内での鍵を含むデジタル署名が使用される場合、信頼性判断動作を通すことは、パケットが同一の署名と共に（署名は、転送中に変更されないパケットの一部に基づいて算出されると仮定する）転送されることを可能にするための十分条件であり、すなわち、更なる認証動作は必要ない。換言すると、クラスタの初期ノード（例えば、クラスタにおける送信元ノードまたはパケットを外部からクラスタ内を通過するマルチクラスタメンバノード）のみが署名またはより一般的にはタグ付け動作を実際に実行するだろう。
【００２５】
尚、同様に、クラスタにおいて実現された一般化された信頼メカニズムは、各ノードが互いのノードと信頼関係を有することを要求しないことに注意されたい。本発明の概念に従えば、判断能力がクラスタのレベルで存在すること、すなわち、データ要素が信頼できるか否かを実際に立証する少なくとも１つのノードが存在することのみが要求される。これは、例えば、この判断ができないノードにデータ要素を有能なノード、好ましくは、マルチクラスタメンバノードに転送させることにより行われる。これにより、判断がなされ、データ要素の更なる運命を決定する。
【００２６】
図１ｂの例に戻ると、ここで、パケットが送信元Ｓから宛先Ｄに送信されると仮定する。送信されたパケットがクラスタＣ１のクラスタ内信頼メカニズム、例えば、パケットが対応する鍵Ｋ１で暗号化される認証メカニズムに準拠するように、送信元ＳはクラスタＣ１にある。図１ｂから分かるように、ノード１１は、クラスタＣ１及びＣ２に属するマルチクラスタメンバノードである。本発明の概念に従うと、Ｃ１からＣ２へのトラフィックは、ノード１１を介してルーティングされる。これは、例えば、システムのノードまたはシステムのノード間のパケットのルーティングを制御するための他の任意の適切な手段により使用されたルーティングテーブルを適切に設定することにより行われる。この例では、ノード１１は、パケットがＣ１のクラスタ内認証メカニズムに準拠し、かつノード１１がＣ１に属するという事実のために、受信パケットを信頼できるものとして判断する。ノード１１が更にＣ２に属するため、ノード１１は、パケットをＣ２の別のメンバ、例えば、ノード１３に直接転送する前に、パケットを対応する鍵Ｋ２で暗号化する等、パケットをＣ２のクラスタ内認証メカニズムに準拠させる。ルーティングは、パケットがノード１２を介してノード１３にルーティングされるように更に構成されてもよい。この例では、ノード１３は、宛先Ｄが存在するクラスタＣ３にパケットを転送するための、クラスタＣ２とＣ３との間のマルチクラスタメンバノードである。ノード１１の動作と同様に、ノード１３は、Ｃ２のクラスタ内認証メカニズムのためパケットを信頼できるものと判断し、パケットをＣ３の別のメンバ、例えば、ノード１４に転送する前にパケットを対応する鍵Ｋ３で暗号化する等、パケットをＣ３のクラスタ内認証メカニズムに準拠させる。次に、ノード１４は、パケットを信頼し、宛先ノードＤに転送する。ノード１４は、そのパケットが、同一のクラスタ内認証メカニズムを使用する同一のクラスタＣ３の別のメンバから到来するものであるため、そのパケットを再度信頼することができる。
【００２７】
図１ｃは、図１ａに示したノードのシステムとは異なるクラスタタリングの一例を示している。図１ｃにおいて、５つのクラスタＣ１〜Ｃ５が定義され、ノード１２はクラスタＣ１とＣ２との間のマルチクラスタメンバノードであり、ノード１４はクラスタＣ２とＣ３との間のマルチクラスタメンバノードである。従って、パケットは、Ｃ１からＣ２に遷移するためのノード１２を介して及びＣ２とＣ３との間を遷移するためのノード１４を介して送信元ノードＳから宛先ノードＤにルーティングされるため、図１ｃの例において図１ｂとは異なるルーティング制御が行われる。図示された例において、ノード１１とノード１３との間にリンクがあるが、ノード１１と１３との間にクラスタ内信頼関係が存在しないため、図示された構成において、このリンクを介してルーティングされるトラフィックはない。すなわち、ノード１１及びノード１３は異なるクラスタ内信頼メカニズムに準拠するため、トラフィックは、この例において、ノード１２を通過しなければならない。
【００２８】
図示されたクラスタリングの例において、２つのクラスタ間に１つのマルチクラスタメンバノードのみが示された。これは説明を簡単にするための一例にすぎず、一般に、２つのクラスタは、より多くのマルチクラスタメンバノードを共有できる。例えば、クラスタＣ１及びＣ２は、ノード１１及び１２の双方がＣ１及びＣ２に対するマルチクラスタメンバノードであることにより、ルーティングにおいて更なる柔軟性を与えるように更に定義されてもよい。
【００２９】
図１ｃから分かるように、ノード１３がクラスタＣ２、Ｃ４及びＣ５に対するマルチクラスタメンバノードとして動作するため、ノードは３つ以上のクラスタに対するマルチクラスタメンバノードであってもよい。また、送信中のパケットに対してノードが実行する動作が、そのパケットに適用されるルーティングに依存してもよいことが分かる。すなわち、パケットがノード１３からノード１４に送信される場合、ノード１３は、クラスタＣ２の内部ノードとして動作するが、ノード１３がパケットをクラスタＣ５のノードに送信する場合、ノード１３は、Ｃ２からＣ５またはＣ４からＣ５等、２つのクラスタ間を遷移するように動作する。
【００３０】
マルチクラスタメンバノードは、パケットが一方のクラスタから他方のクラスタに遷移できるようにする場合、クラスタの代表として動作すると言える。複数のノードが効率的にマルチクラスタメンバノードになるように、この役割は複数のノード間で共有される。例えば、図１ｃに示した構成において、ノード１２は、例えば、安全なリンクを介して接続されることによりノード１１との特別に安全な関係を認識すること及びクラスタＣ２のクラスタ内認証メカニズムを実現するために必要な情報を共有することができ、それにより、クラスタＣ１からクラスタＣ２への信頼できる遷移を実行するためにノード１１をノード１２に代わって一種の「代理」として動作することができるマルチクラスタメンバノードにすることができる。
【００３１】
図１ａ〜図１ｃに示したシステムは、本発明において提案された概念の基本的な態様を説明するための簡単な一例である。本発明の概念は、２０、５０、１００または１０００を超えるノードを有するシステム等、より多くのノードを有するシステムに十分に適用できる。同様に、クラスタの数は更に多くてもよく、例えば、１０、５０または１００を超えてもよい。
【００３２】
また、クラスタは少なくとも２つのノードを含めば基本的に十分であるが、少なくとも３つのノードがクラスタに存在しなければならないこと、あるいは、ｋが、例えば、３、４、５、１０、１５、２５である場合に一般に少なくとも整数がｋ＞１であることがクラスタを定義するルールであるように本発明の概念を適用することも可能である。
【００３３】
図２は、複数の（例えば、パケット）通信ノード間で通信の信頼性を提供する本発明の方法の実施形態を示すフローチャートである。ステップＳ２１において、各通信ノードは、受信データ要素に対して受信データ要素が信頼できるか否かを判断する信頼性判断動作を実行するように制御される。ステップＳ２２において、複数の通信ノードは、それぞれがそれらの通信ノードのうちの少なくとも２つ及び少なくとも２つの異なるクラスタに属する１つ以上のマルチクラスタメンバノードを含む複数の識別可能なクラスタにグルーピングされる。ステップＳ２３において、クラスタ内信頼メカニズムは、各クラスタ内で判断可能な各クラスタの任意のメンバノードにより送信されたデータ要素のクラスタ信頼性のそれぞれにおいて実現される。最後に、ステップＳ２４に従うと、システムにおけるルーティング制御は、クラスタ間トラフィック（すなわち、一方のクラスタから他方のクラスタに向かうトラフィック）がマルチクラスタメンバノードを介してルーティングされるように行われる。これは、例えば、システムノードのルーティングテーブルを適切に設定することにより行われる。
【００３４】
これまでに既に説明したように、クラスタを選択し、それらにノードを割り当てる自由度が高いため、本発明の概念は非常に柔軟性がある。例えば、個々のマルチクラスタメンバノードは、いくつかのマルチクラスタメンバノードを再度クラスタにグルーピングすることによりランク付けされた階層を形成するように配置される３つ以上のクラスタに属する。この一例を、図３の概略的なシステム図に示している。各黒丸はノードを示し、各十字形はクラスタ３０（４つのノードを含む）を示している。破線の楕円で示されたクラスタ３４を除いて、例は、クラスタの階層を示している。１つのクラスタに属するノードは、ランク０のみを有する。クラスタ３１は２つのクラスタに属するノードをグルーピングし、ランク１を有すると言うことができる。クラスタ３２は３つのクラスタに属するノードをグルーピングし、ランク２を有すると言うとことができる。クラスタ３３は４つのクラスタに属するノードをグルーピングし、ランク３を有すると言うことができる。更なる階層レベルが導入されてもよい。当然、これは、ノードをクラスタにグルーピングする１つの可能性にすぎず、決して必要条件ではない。破線の楕円３４により示されたようなクラスタは更に定義され、このクラスタのノードのうちのいずれかは場合によってはマルチクラスタメンバノードであり得る。
【００３５】
また、クラスタからクラスタへの信頼関係の解消のため、本発明の概念は固有のスケーラビリティを提供する。すなわち、いずれか１つのクラスタにおけるクラスタ内信頼メカニズムは、他のクラスタにおけるクラスタ内信頼メカニズムに関係なく選択及び管理され得る。本発明において提案されたような信頼できる通信を提供するためのクラスタリングの概念は、異なるレベルのスケールに同時に適用され得る。換言すると、クラスタのうちの少なくとも１つにおけるクラスタ内信頼メカニズムは、そのクラスタを複数のサブクラスタに分割することを含んでいる。各サブクラスタは、サブクラスタ間トラフィックをルーティングするために、関連付けられたサブクラスタ内信頼メカニズムを順次実現し、このサブクラスタのうちの少なくとも２つの異なるサブクラスタに属する少なくとも１つのマルチサブクラスタメンバノードを有する。当然、サブクラスタは、同一の原理を再度適用するためにサブサブクラスタに分割され得る。
【００３６】
図４は、パケット通信ノードのシステムにおいてルータノードにより実行される決定手順の一例を示すフローチャートである。この例において、実行されるルーティング（例えば、パケットの宛先及びルーティングテーブル）に依存して、ルータノードがクラスタ内部のノードとして動作するかまたは受信パケットを別のクラスタに渡すためのクラスタの代表として動作するかが決定されなければならないため、ルータノードはマルチクラスタメンバノードであると仮定される。更に、実行されるルーティングに依存して適切な決定がなされなければならないため、クラスタ内信頼メカニズムは、暗号化、セキュリティタグ（例えば、暗号署名）及び安全な経路を使用することを含むと仮定される。図は、各分岐点がＹｅｓまたはＮｏの結果を含む決定ステップであり、右への分岐がＮｏの結果を示し、左への分岐がＹｅｓの結果を示すように理解される。矩形のボックスは処理ステップを示している。用語ｄｓｔ’は受信パケット（Ｐｋｔ）において示された近接した宛先を示し、ｄｓｔは受信パケットにおいて示された最後の宛先を示し、ｓｒｃ’は受信パケットにおいて示された近接した送信元を示している。用語ａｄｒ（ｘ）はエンティティｘのアドレスを表し、ｒｔｒはルータを表し、ｒｅｐは代表を表し、すなわち、クラスタの代表として動作するノードを示し、ｄｅｐは代理を表し、すなわち、代表の代理として動作するノードを示し、ｄｅｐｃｌは代理が存在する場合に最近接の代理を示している。
【００３７】
最初の決定４００において、ルータがパケットを送信している先行ノードを信頼するかが決定される。パケットが信頼された経路（例えば、暗号化トンネル）を介して到達している場合、パケットは信頼される。すなわち、信頼性判断動作はパケットを信頼できるものと判断する。手順は動作の次の部分に分岐し、転送／ルーティングを決定する。決定４０１は、近接した送信元アドレスｓｒｃ’及び近接した宛先アドレスｄｓｔ’が再設定され、パケットがクラスタ内認証メカニズムに従って認証され、かつ宛先に転送される場合（ステップ４０１の左側の結果を参照）、最後の宛先ｄｓｔが同一のクラスタ内にあるかを判定する。ステップ４０１の結果がＮｏである場合、当該ルータが提示するクラスタ及びパケットが送信されるクラスタに対するマルチクラスタメンバノードであるか、すなわち、ルータが代表または代理として動作するかをステップ４０２が決定するように、パケットは異なるクラスタに転送されなければならない。ルータが代表または代理として動作しない場合、パケットは、代表として動作するノードまたはルータにアドレス指定されかつ送信される（４０２の右側の結果）。ルータが代表または代理として動作する場合、パケットは新しいクラスタのクラスタ内信頼メカニズムに従って適切に処理され、安全な経路を使用するか、あるいは暗号化または暗号署名の形態で認証を実行するかのルーティング経路に依存する決定を伴う（４０２の左側の結果）。
【００３８】
決定４００の結果がＮｏの場合、信頼性判断動作が継続される。決定４０３において、ルータのアドレスがパケットにおいて示された近接した宛先ｄｓｔ’であるかが判断される。Ｙｅｓの場合、ステップ４０４は、ルータがパケットの最後の宛先ｄｓｔであるかを判定した。Ｙｅｓの場合、パケットは信用できるものであれば受け入れられ、そうでない場合は削除される。これについては、決定４０４の左側の分岐を参照されたい。ステップ４０４の結果がＮｏである場合、パケットは、クラスタ内のノードまたは異なるクラスタのいずれか一方に適切に転送されるか、あるいは信用できるものではないと判定される場合は削除される。これについては、ステップ４０４の右側の結果を参照されたい。
【００３９】
ステップ４０３の否定の結果を示す分岐は、クラスタの全てのメンバ間に信頼関係が存在しない状況に関連する。換言すると、少なくともいくつかのクラスタメンバが自身で決定を行うことができないパケットがあってもよく、これらは決定を行うことができる代表に転送される。従って、パケットは、受信するルータのアドレスではない、だれかのｄｓｔ’において存在できる。決定４０５に後続するステップは、パケットが適切に処理される、すなわち、転送または削除されることを保証する。
【００４０】
上記において既に指摘されたように、本発明の基本概念は多くの利点を実現できる。例えば、本発明は、信頼できない場所にあるネットワークへの物理アクセスが防止できない場合であっても、スケーラブルな方法でネットワークへのアクセスを制限するために使用することができる。ネットワーク仮想化の状況では、本発明は、インフラストラクチャが完全に信頼されない場合であっても同一の物理インフラストラクチャを共有する仮想ネットワークを分離するために使用することができる。本発明は、仮想ネットワークに限定されず、例えば、ポイントツーポイント（Ｐ２Ｐ）、アドホックネットワーク及びファイアウォールが適切でないかまたは十分でない任意のネットワークにおいて更に使用されてもよい。
【００４１】
信頼関係がどのように確立されなければならないかに関する特定の要件はない。クラスタ内信頼メカニズム及び信頼性判断動作が行われる方法は非常に柔軟であり、クラスタ毎に個別に決定される。それが所定のクラスタの内部で行われる方法は、外部のクラスタに影響を及ぼさない。また、代理の選択はオプションであり、それらの場所に対する要件もない。これらの態様は各クラスタに高い柔軟性を与え、例えば、クラスタが大きくなりすぎている等の場合に、残りのネットワークに影響を及ぼすことなく各クラスタをサブクラスタに細分できる。
【００４２】
提案された概念は、例えば、パケットが認証される場合に発信ノードの送信元アドレスを削除し、かつ認証者のアドレスに置換することにより、プライバシーを強化するように更に構成されてもよい。換言すると、ネットワークにおいてノードにより実行された認証動作は、認証動作を実行する通信ノードの送信元インジケータにより転送中のデータ要素（例えば、パケット）において送信元インジケータ（例えば、送信元アドレス）を置換することを更に含んでもよい。全ての認証者が認証後に送信元アドレスを削除する場合、プライバシーはクラスタの外部において強化されることになる。クラスタの外部の潜在的なスニファ（sniffer）は、データ要素が正確にどこに発生するか分からない。しかしながら、トレーサビリティ（追跡可能性）のために、認証者におけるタグ付けまたは修正の記録が採用されてもよい。
【００４３】
更なる利点として、不正行為（例えば、攻撃またはノードから発生する不当なデータ要素）が検出される場合、不正行為をするノードのクラスタは、そのクラスタのマルチクラスタメンバノードの信用証明書を無効にすることにより隔離され得る。それにより、ネットワークの他のクラスタが影響を受けることなく、そのクラスタに対する不正行為を制限する。
【００４４】
本発明は、特定の例を参照して説明している。この説明は、添付の請求の範囲により定義される本発明を限定することを意図するものではない。請求の範囲における参照番号及び参照表示は、請求の範囲を読み易くするのに役立つものであるが、任意の制限効果を有することを更に意図されるものではない。
【図１ａ】
2011520327.tif 000003
【図１ｂ】
2011520327.tif 000004
【図１ｃ】
2011520327.tif 000005
【図２】
2011520327.tif 000006
【図３】
2011520327.tif 000007
【図４】
2011520327.tif 000008
【国際調査報告】
2011520327.tif 000009
2011520327.tif 000010