(57)【特許請求の範囲】
【請求項１】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記複数の暗号化転送装置の制御を行う転送制御装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記分割転送装置は、前記送信パケットの許容遅延時間を前記送信端末から受信すると、前記許容遅延時間を前記転送制御装置に通知し、
前記転送制御装置は、前記分割転送装置から前記許容遅延時間を受信すると、前記送信パケットから生成される前記断片パケットの伝送経路を、前記許容遅延時間内の伝達が可能な経路に決定する、
データ転送システム。
【請求項２】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記複数の暗号化転送装置の制御を行う転送制御装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記暗号化転送装置は、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片データを暗号化する仮想暗号化処理部と、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片パケットの出力経路の制御を行う仮想暗号化スイッチ処理部と、
受信した前記断片パケットを前記仮想暗号化処理部に転送し、前記仮想暗号化処理部からの暗号化済みの断片パケットを前記仮想暗号化スイッチ処理部に転送する仮想暗号化インタフェースと、
を備えるデータ転送システム。
【請求項３】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
前記暗号化転送装置が前記断片データを暗号化した暗号鍵を保持する転送制御装置と、
端末から前記元データの復号要求を受信すると、復号要求のあった元データを復元するための暗号鍵を前記転送制御装置から取得し、当該暗号鍵又は復号後の断片データを当該端末へ転送する復号化転送装置と、
を備え、
前記復号化転送装置は、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片データの復号処理を行う仮想復号化処理部と、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片パケットの出力経路の制御を行う仮想復号化スイッチ処理部と、
受信した前記断片パケットを前記仮想復号化処理部に転送し、前記仮想復号化処理部からの復号化済みの断片パケットを前記仮想復号化スイッチ処理部に転送する仮想復号化インタフェースと、
を備えるデータ転送システム。
【請求項４】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
前記暗号化転送装置が前記断片データを暗号化した暗号鍵を保持する転送制御装置と、
端末から前記元データの復号要求を受信すると、復号要求のあった元データを復元するための暗号鍵を前記転送制御装置から取得し、当該暗号鍵又は復号後の断片データを当該端末へ転送する復号化転送装置と、
を備え、
前記暗号化転送装置は、自己の識別子を暗号化後の前記断片データのデータパケットに記載し、
前記復号化転送装置は、前記断片データのデータパケットに記載された前記暗号化転送装置の識別子に対応付けて記憶されている暗号鍵を、前記転送制御装置から取得する、
データ転送システム。
【請求項５】
前記暗号化転送装置は、前記断片パケットの宛先に近い経路から転送された前記断片パケットを破棄し、前記断片パケットの宛先から遠い経路から転送された前記断片パケットを、前記断片パケットの宛先に近い出力経路に転送する、
請求項４に記載のデータ転送システム。
【請求項６】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記複数の暗号化転送装置の構成するネットワークトポロジは、各々のネットワークグループがトーラスネットワークを形成する１つ以上のネットワークグループを備え、
各ネットワークグループに所属する複数の前記暗号化転送装置が、同一の断片パケットに載せられている断片データを異なる暗号処理で暗号化する、
データ転送システム。
【請求項７】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記分割転送装置は、１つの元データから生成された全ての断片データの排他的論理和の演算結果を、全ての断片データの転送に用いた伝送経路とは異なる伝送経路を用いて前記受信端末転送装置へ転送する、
データ転送システム。
【請求項８】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記分割転送装置は、暗号化した前記断片データを複製し、複製後の断片データごとにパケット化して断片パケットを生成し、
前記暗号化転送装置は、同じ断片データがパケット化された断片パケットを、予め定められた一定時間内に予め定められた一定数以上受信すると、当該断片パケットの少なくとも一部を廃棄する、
データ転送システム。
【請求項９】
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記複数の暗号化転送装置のうちの第１の暗号化転送装置は、前記複数の暗号化転送装置のうちの第２の暗号化転送装置から前記断片パケットを受信すると、伝送誤り訂正が行えるか否かを判定し、伝送誤り訂正が行えない場合、前記第２の暗号化転送装置に対し、断片パケットの生成を再度行う旨の指示と共に伝送誤り訂正が行えない断片パケットを送信し、
前記第２の暗号化転送装置は、断片パケットの生成を再度行う旨の指示を受信すると、指示のあった断片パケットの暗号処理を再度行う、
データ転送システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データを転送するデータ転送システムに関する。
【背景技術】
【０００２】
ソフトウェア制御が可能なネットワーク（ＳＤＮ：Ｓｏｆｔｗａｒｅ  Ｄｅｆｉｎｅｄ  Ｎｅｔｗｏｒｋ）の一つの技術要素として、ネットワークノードの機能をネットワークルーチング機構（ノードのデータ転送機能）とコントローラ機構（ノードでの制御ソフトウェア・ルーチング制御機能）とに、分離できるようにインタフェースを公開し、ネットワーク制御をプログラマブルにすることにより、柔軟な経路制御や構成変更、ならびに新しい通信サービス等を実現可能とするネットワーク制御機構が注目されている。一方で、ネットワーク機器を専用のアプライアンス機器ではなく汎用サーバ上にソフトウェアとして実現するＮＦＶ（Ｎｅｔｗｏｒｋ  Ｆｕｎｃｔｉｏｎ  Ｖｉｒｔｕａｌｉｚａｔｉｏｎ）が、ネットワーク機器の構成変更、機能変更を高速に低価格で実現する方式として着目されている。
【０００３】
ＳＤＮではコントローラがネットワーク内の全情報を集め、一元的に定義し、ソフトウェアを活用した集中制御処理に基づいて、ネットワーク全体を制御できる特徴を持つ。コントローラは、スイッチ制御用のソフトウェアを配備することにより、スイッチの動作を制御できる。ＳＤＮの実現方法の１つとして、オープンフロー（ＯｐｅｎＦｌｏｗ）と呼ばれるネットワークプラットフォームの標準化が進められ、オープンソースによる実装と同時に企業によるシステムが普及しつつある。ＳＤＮを実現するスイッチやコントローラに関しては既に製品開発が進められており、これらの技術を基盤としてセキュリティを一層高めるためのネットワーク制御技術も開示されている（特許文献１及び２参照。）。
【０００４】
一方で、ネットワーク内にデータを安全に保存するために、高速暗号化技術と超分散技術等を用いたネットワーク制御技術が既に開示（特許文献３及び４参照）されている。しかし、特許文献３及び４では、ＳＤＮスイッチが考慮されていない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特願２０１３−１７２９０９号
【特許文献２】特願２０１３−２４２４７０号
【特許文献３】特許第４２９６３０４号公報
【特許文献４】特許第４３８５１１１号公報
【非特許文献】
【０００６】
【非特許文献１】大内他、「エンド・ツー・エンドの遅延時間保証が可能なネットワークアーキテクチャの検討（その１：コア網制御方式）」、電子情報通信学会  ２０１３年ソサイエティ大会、Ｂ−６−９２
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、データ転送システムにおいて安全性と経済性を高めることを目的とする。
【課題を解決するための手段】
【０００８】
具体的には、本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記複数の暗号化転送装置の制御を行う転送制御装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記分割転送装置は、前記送信パケットの許容遅延時間を前記送信端末から受信すると、前記許容遅延時間を前記転送制御装置に通知し、
前記転送制御装置は、前記分割転送装置から前記許容遅延時間を受信すると、前記送信パケットから生成される前記断片パケットの伝送経路を、前記許容遅延時間内の伝達が可能な経路に決定する。
【０００９】
本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記複数の暗号化転送装置の制御を行う転送制御装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記暗号化転送装置は、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片データを暗号化する仮想暗号化処理部と、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片パケットの出力経路の制御を行う仮想暗号化スイッチ処理部と、
受信した前記断片パケットを前記仮想暗号化処理部に転送し、前記仮想暗号化処理部からの暗号化済みの断片パケットを前記仮想暗号化スイッチ処理部に転送する仮想暗号化インタフェースと、
を備える。
【００１０】
本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
前記暗号化転送装置が前記断片データを暗号化した暗号鍵を保持する転送制御装置と、
端末から前記元データの復号要求を受信すると、復号要求のあった元データを復元するための暗号鍵を前記転送制御装置から取得し、当該暗号鍵又は復号後の断片データを当該端末へ転送する復号化転送装置と、
を備え、
前記復号化転送装置は、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片データの復号処理を行う仮想復号化処理部と、
前記転送制御装置から制御可能なソフトウェアを用いて、前記断片パケットの出力経路の制御を行う仮想復号化スイッチ処理部と、
受信した前記断片パケットを前記仮想復号化処理部に転送し、前記仮想復号化処理部からの復号化済みの断片パケットを前記仮想復号化スイッチ処理部に転送する仮想復号化インタフェースと、
を備える。
【００１１】
本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
前記暗号化転送装置が前記断片データを暗号化した暗号鍵を保持する転送制御装置と、
端末から前記元データの復号要求を受信すると、復号要求のあった元データを復元するための暗号鍵を前記転送制御装置から取得し、当該暗号鍵又は復号後の断片データを当該端末へ転送する復号化転送装置と、
を備え、
前記暗号化転送装置は、自己の識別子を暗号化後の前記断片データのデータパケットに記載し、
前記復号化転送装置は、前記断片データのデータパケットに記載された前記暗号化転送装置の識別子に対応付けて記憶されている暗号鍵を、前記転送制御装置から取得する。
ここで、前記暗号化転送装置は、前記断片パケットの宛先に近い経路から転送された前記断片パケットを破棄し、前記断片パケットの宛先から遠い経路から転送された前記断片パケットを、前記断片パケットの宛先に近い出力経路に転送してもよい。
【００１２】
本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記複数の暗号化転送装置の構成するネットワークトポロジは、各々のネットワークグループがトーラスネットワークを形成する１つ以上のネットワークグループを備え、
各ネットワークグループに所属する複数の前記暗号化転送装置が、同一の断片パケットに載せられている断片データを異なる暗号処理で暗号化する。
【００１３】
本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記分割転送装置は、１つの元データから生成された全ての断片データの排他的論理和の演算結果を、全ての断片データの転送に用いた伝送経路とは異なる伝送経路を用いて前記受信端末転送装置へ転送する。
【００１４】
本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記分割転送装置は、暗号化した前記断片データを複製し、複製後の断片データごとにパケット化して断片パケットを生成し、
前記暗号化転送装置は、同じ断片データがパケット化された断片パケットを、予め定められた一定時間内に予め定められた一定数以上受信すると、当該断片パケットの少なくとも一部を廃棄する。
【００１５】
本発明のデータ転送システムは、
送信端末から送信パケットを受信すると、前記送信パケットに含まれる元データを複数の断片データに分割し、断片データごとにパケット化して断片パケットを生成し、当該断片パケットを転送する分割転送装置と、
前記断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の前記断片パケットを転送する複数の暗号化転送装置と、
前記暗号化転送装置の転送した前記断片パケットを受信端末へ転送する受信端末転送装置と、
を備え、
前記複数の暗号化転送装置のうちの第１の暗号化転送装置は、前記複数の暗号化転送装置のうちの第２の暗号化転送装置から前記断片パケットを受信すると、伝送誤り訂正が行えるか否かを判定し、伝送誤り訂正が行えない場合、前記第２の暗号化転送装置に対し、断片パケットの生成を再度行う旨の指示と共に伝送誤り訂正が行えない断片パケットを送信し、
前記第２の暗号化転送装置は、断片パケットの生成を再度行う旨の指示を受信すると、指示のあった断片パケットの暗号処理を再度行う。
【００１９】
なお、上記各発明は、可能な限り組み合わせることができる。
【発明の効果】
【００２０】
本発明によれば、データ転送システムにおいて安全性と経済性を高めることができる。
【図面の簡単な説明】
【００２１】
【図１】第１の実施形態に係るデータ転送システムの構成例を示す。
【図２】認証対象ノードを含めたネットワークアーキテクチャの一例を示す。
【図３】認証手順の一例を示す。
【図４】ＯＦＳノードの実行する暗号化方法の一例を示す。
【図５】ＥＳノード１１の実行する復号化方法の一例を示す。
【図６】ＥＳノード１０の処理フローを示す。
【図７】経路フィールド使用時のＯＦＳノードにおけるデータ暗号化処理フローの一例を示す。
【図８】ＯＦＳノード内のフィールドデータと利用方法の例を示す。
【図９】ＥＳノード１１のデータ処理フローを示す。
【図１０】断片データの復号化のシーケンスを示す。
【図１１】ＯＦＣのＥＳノード制御に関わる処理フローを示す。
【図１２】ＯＦＣ内のメタデータの管理方法の第１例を示す。
【図１３】ＯＦＣ内のメタデータの管理方法の第２例を示す。
【図１４】ＯＦＣ内のメタデータの管理方法の第３例を示す。
【図１５】ＯＦＣ内データベースの内容の一例を示す。
【図１６】ＯＦＣ内データベースの分割例を示す。
【図１７】データバックアップ利用時のホスト端末１におけるデータの暗号化および断片パケット生成に関わる配信データの処理フローを示す。
【図１８】第２の実施形態に係るデータ転送システムの構成例を示す。
【図１９】仮想ポートの一例を示す。
【図２０】ＯＦＣ管理情報に含まれる各リンクの使用状況及び転送遅延時間の一例を示す。
【図２１】ＯＦＣ管理情報に含まれる各ノードの処理遅延時間及び負荷状況の一例を示す。
【図２２】第４の実施形態に係るデータ転送システムの構成例を示す。
【図２３】第５の実施形態に係るデータ転送システムの構成例を示す。
【図２４】第６の実施形態に係るデータ転送システムの構成例を示す。
【図２５】第６の実施形態に係るデータ転送システムの第２の構成例を示す。
【図２６】第７の実施形態に係るデータ転送システムの構成例を示す。
【図２７】第７の実施形態に係るデータ転送システムの第２の構成例を示す。
【図２８】複製されたパケットを再暗号化する場合のコーディングの一例を示す。
【図２９】第８の実施形態に係るデータ転送システムの構成例を示す。
【発明を実施するための形態】
【００２２】
以下、本発明の実施形態について、図面を参照しながら詳細に説明する。なお、本発明は、以下に示す実施形態に限定されるものではない。これらの実施の例は例示に過ぎず、本発明は当業者の知識に基づいて種々の変更、改良を施した形態で実施することができる。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。
【００２３】
本発明は、特許文献１及び２のネットワーク制御技術と特許文献３及び４のＳＤＮ技術の融合化を図ることにより、より一層の安全性と経済性を追求し、データセンタ内又はデータセンタ間等において、高信頼ネットワークサービスを実現する手段を提供することにある。更にＳＤＮとＮＦＶを統合的に用いることにより、ＳＤＮスイッチに対する所望のセキュリティ機能の追加を、ＳＤＮ標準の変更を伴わずに、実施可能となる。
【００２４】
さらに本発明では、ネットワークコーディング技術を活用し、複数の断片化したデータの排他的論理和をとったデータを配信元のノードで生成し、当該データを、ＳＤＮ技術の活用を前提としたネットワークと冗長接続することにより、中継転送用の経路数を抑制すると共に、経済的でかつセキュアなデータ転送、保管サービスが実現可能となることを示す。また、ネットワークをトーラス構造とすることにより、更に経路制御を単純化しながらも、セキュリティの高いデータ転送、保管サービスが実現できる。また、非特許文献１に記載のＳＤＮ技術を活用した低遅延保証ネットワークに対しても、上述の暗号化と冗長化を付加することで、高い安全性を保証しながらも低遅延通信を実現でき、今後の実現が期待される遠隔手術等の医療分野や、更なる厳密性が追及される株の売買等のシステムにおいて活用できる。
【００２５】
（第１の実施形態）
実施形態１では、複数の経路を用いて、セキュアなデータ配信を保証する場合に、ネットワーク内の加入者収容ノード、および中継ノードにおける暗号化処理機能を活用して、送信元のホスト端末１からの送信パケットに含まれる元データを、宛先のホスト端末２に安全にデータ配信するためのネットワーク制御メカニズムを述べる。
【００２６】
図１に、本実施形態に係るデータ転送システムの構成例を示す。本実施形態に係るデータ転送システムは、分割転送装置として機能するＥＳ（Ｅｄｇｅ  Ｓｗｉｔｃｈ）ノード１０と、受信端末転送装置として機能するＥＳ１１と、暗号化転送装置として機能するＯＦＳ（ＯｐｅｎＦｌｏｗ  Ｓｗｉｔｃｈ）ノード１０１，１０２，２０１，２０２と、転送制御装置として機能するＯＦＣ（ＯｐｅｎＦｌｏｗ  Ｃｏｎｔｒｏｌｌｅｒ）ノード６１を備える。
【００２７】
ＳＤＮ内のＥＳ１０は、ホスト端末１のアドレス及び属性とホスト端末２の識別を用いて認証を実施し、認証終了後に、データパケットに含まれる元データ分割した断片データの断片パケットを生成し、第１段目のＯＦＳ１０１又は１０２に送信する。ＯＦＳ１０１又は１０２は、断片パケットに含まれる元データを次段のＯＦＳ２０１又は２０２に転送する。この際に、ＯＦＳ１０１又は１０２に特有の暗号処理を更に行い、ＯＦＳ２０１又は２０２は当該データの受信後に、更に第２の暗号化を行い、最終的に第ｎ段のＯＦＳまで、ｎ個の種別の暗号化を施す。ＥＳ１１は、データパケットの復号が必要ない場合、暗号化されたままのパケットをホスト端末２に送信する。ＥＳ１１は、復号が必要な場合、復号に必要な鍵をＯＦＣ６１から取得し復号する。本発明により、データ保管を高い安全性のもとで実現するために必要となるネットワーク制御技術を開示する。本技術により、高い安全性を保証できるデータ保管を、サービス利用端末の暗号化処理の負荷量を増やすこと無く実現することができる。以下に、本発明を詳細に説明する。
【００２８】
各ＯＦＳノードは、ＳＤＮ内のＯＦＳノード１０１又はＯＦＳノード１０２に転送されたパケットに対して、それぞれノード番号に対応した特有の暗号鍵を用いて暗号化処理を行う。例えば、ＯＦＳノード１０１は、ＥＳノード１０から断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の断片パケットを転送する。ＯＦＳノード２０１は、ＯＦＳノード１０１から断片パケットを受信すると、当該断片パケットに載せられている断片データを暗号化し、暗号化後の断片パケットを転送する。断片パケットの転送経路は、共通の元データから分割された各断片パケットで共通であってもよいし、異なっていてもよい。例えば、第１の断片パケットはＯＦＳノード１０１及び２０１を通過し、第２の断片パケットはＯＦＳノード１０２及び２０２を通過する。
【００２９】
ＥＳノード１１は、ＯＦＳノード２０１からの断片パケットをホスト端末２に転送する。ホスト端末２は、断片パケットを受信する。このとき、ＳＤＮ上で断片データに紛失が生じる場合でも、少なくとも１つは目的の配信先に届くように、ＥＳノード１１は、予め断片データを配信先の端末へ送出後も，予め定められた時間は断片パケットを保持することが好ましい。ＥＳノード１１は、断片データの再送要求メッセージを配信先のホスト端末２から受信すると、予め定められた時間内であれば保持している断片パケットを再送し、予め定められた時間を経過した後は断片パケットを廃棄する。
【００３０】
ＳＤＮ上で断片データに紛失が生じる場合でも、少なくとも１つは目的の配信先に届くように、ＥＳ１０及びＥＳ１１の両方が断片パケットの保持を行ってもよい。この場合、ＥＳ１０及びＥＳ１１は、断片データを配信先のホスト端末２へ送出後も、それぞれ異なる予め定められた時間は当該バッファデータを保持する。配信先のホスト端末２が断片データの再送要求メッセージを送信した場合、ＥＳ１０及びＥＳ１１のどちらかが断片データを再送する。それぞれのエッジスイッチで予め定められた時間を経過した場合には，発側および出側のエッジスイッチにおける当該バッファを解放する。
【００３１】
本実施形態では、ＥＳノード１０は全ての入力パケットに対して、適切にＯＦＳノードを経由して、最終段のＥＳノード１１へルーチングされる。このとき、データを配信する各ルーチングスイッチは、前段のスイッチから受信したデータを自スイッチよりも配信先に近い中継段に位置する任意の上位スイッチへ独自の暗号鍵で構成されるメタデータにより暗号化した後に自身のＩＤ番号あるいは相当のタグデータを付与して次段のスイッチへ送信することが好ましい。また、ＯＦＳノードは、次ホップ先につながる全ての経路の帯域を監視し、スイッチＩＤ固有の暗号化処理を実施した後、空き帯域の大きい方路を信頼度の高い最適な経路として選択し、断片データをルーチングすることが好ましい。各ＯＦＳノードに設定されるルーチング用のフローテーブルの内容は、パケットデータの配信とは独立したセキュアな制御経路８０を用いることにより、ＯＦＣ６１から設定・保持されることが好ましい。各ＯＦＳノードはデータの中継を行う各時点での処理内容に対応するメタデータをＯＦＣ６１に予め定められた手順で送信する。
【００３２】
さらに、ＥＳノード１０は、ホスト端末１から受信したパケットの複製を適切に行うことが好ましい。この場合、複製されたパケットは、経路４０の中から、複数の異なるＯＦＳノードに転送されることが好ましい。ホスト端末１から送出されるパケットはＥＳノード１０に到着後、経路４０を通過する間は、複製された場合においてもパケット内の（バイナリ）ペイロード情報は同じであるが、異なるＯＦＳノードに到着後は、当該のペイロードの（バイナリ）情報はＯＦＳノードのノード番号に基づいて変換処理がなされる。その後、宛先のホスト端末２に到着する。
【００３３】
なお、ＥＳノード１０で複製を行う場合には、複製前は同じパケットであったとしても、通過するＯＦＳノードが異なれば、ペイロード内のバイナリ情報は変換処理がなされるため、よりセキュアな通信が実現できる。ＥＳノード１０で複製を行う場合には、ＥＳノード１１で重複パケットの選択を行い、元のパケットのみホスト端末２に転送する。
【００３４】
ＥＳノード１０は、同一の断片データの複製を、データの回収確率が当該サービスの実施に当って要求される閾値に達する値になるまで繰り返して送信することが好ましい。この場合、宛先となるホスト端末２又は中継ノードは、同一の断片データを複数正常に受信したことを認識し、予め決められた一定の時間以内に受信した複製データの数が予め定められた必要数以上である場合には、当該の断片データを廃棄する。このとき、宛先となるホスト端末２又は中継ノードは、受信した断片パケットリストの履歴を用いて、予め設定された回収確率の閾値に正しく設定されるように断片データの複製数を判定し、当該複製数をＯＦＣ６１に通知する。
【００３５】
ＯＦＳノードは、このような複製を、ＥＳ１０の代わりに行ってもよい。この場合、ＯＦＳノードは、個別の暗号鍵により受信したデータを暗号処理後に、任意の数に複製する手段を備える。ＯＦＳノードは、複製データを複数のルートへ分配し、その旨をＯＦＣ６１に通知する。複製データは、それぞれ異なるホスト端末２に格納される。ホスト端末１から送信された元データを複数のホスト端末２に分散して格納することができる。
【００３６】
宛先であるホスト端末２をクラウドリソース等のデータストレージとすることで、安全なバックアップデータを配信、保存、回収することも可能である。この場合、ＥＳノード１０で複製を行う場合、複製データをそのままホスト端末２に転送し、ホスト端末２で保存する。上記の説明では、パケットをＥＳノード１０で複製する例を示したが、この例に限定されないことはいうまでもない。例えばＥＳノード１０では複製を行わず、その代わりにＥＳノード１１で複製を行うことも同様に可能である。ＥＳノード１１のみで複製を行う場合には、ＯＦＣ６１で管理する暗号鍵等を含んだメタデータ量は少なくなる。
【００３７】
各ＯＦＳノードにおける暗号化処理は、それぞれ異なる暗号化鍵を用いて暗号化することができる。例えば、ＯＦＳノード１０１、１０２ではそれぞれ異なる暗号鍵を用いてペイロード部分の暗号化を行う。各ＯＦＳごとに異なる暗号化処理を実施するため、同じパケットであっても、異なる経路かつ異なる暗号化処理を実施することができる。
【００３８】
本実施形態のシステムは、ホスト端末１が元データを送信する前に、認証手順を行う。ユーザ端末１は、バックアップを要求する場合、ＯＦＣ６１による認証を受け、認証が成功した場合にバックアップを行う元データをＥＳノード１０へ送信する。ユーザ端末１は、元データを回復する際にも、ＯＦＣ６１による認証を受け、認証が成功した場合に、ホスト端末２に格納されている断片データを取得する。ユーザ端末１は、認証要求を行うメッセージをＥＳノード１０に送信し、ＥＳノード１０は当該の呼設定情報をＯＦＣ６１へ制御用の経路８０を用いて転送する。ＯＦＣ６１は、認証処理を適切に行なう必要がある。
【００３９】
図２に認証対象ノードを含めたネットワークアーキテクチャを、図３に認証手順の一例を示す。認証は、例えば、チャレンジ及びレスポンスを用いて行う。この場合、ＯＦＣ６１及びホスト端末１は共通のパスワードＳを事前に知っている。
ホスト端末１は、ＥＳノード１０に対して認証要求を行う（Ｓ１０１）。ＥＳノード１０は、認証要求をＯＦＣ６１に転送する（Ｓ１０１）。
ＯＦＣ６１は、ＥＳノード１０を介してチャレンジをホスト端末１に送信する（Ｓ１０２）。ＯＦＣ６１は毎回、相異なる乱数としてチャレンジＣをホスト端末１へＥＳ１０を介して送出する。ホスト端末１は、パスワードＳ及びチャレンジＣを一方向関数ｆに適用してレスポンスＲ＝ｆ（Ｃ，Ｓ）を作成する。ホスト端末１は、このようにして作成したレスポンスＲをチャレンジＣに対して返送する（Ｓ１０３）。
ここで、一方向関数ｆは事前にホスト端末１とＯＦＣ６１とで共用されており、ＯＦＣ６１は、予めｆ（Ｃ，Ｓ）を作成しておき、ＥＳノード１０から受信したレスポンスＲと、すでに作成したｆ（Ｃ，Ｓ）とを比較することにより、認証を行うことができる（Ｓ１０４）。
ＯＦＣ６１は、認証応答をＥＳノード１０に送信する（Ｓ１０５）。ＥＳノード１０は、認証応答をホスト端末１に転送する（Ｓ１０５）。
ホスト端末１は、ＥＳノード１０から認証を受けると、暗号化処理手順の実行が可能になる（Ｓ１０６）。
【００４０】
ＯＦＳノードは、暗号化処理を行うために、例えば、仮想的なＯＦＳ（Ｖｉｒｔｕａｌ  ＯＦＳ）と、暗号化処理を実施する専用の仮想マシン（ＶＭ）から構成する。図４に、ＯＦＳノードの実行する暗号化手順の一例を示す。パケットが実インタフェースからＯＦＳノードに到着すると、ＯＦＳノード内の仮想インタフェース（Ｖｉｒｔｕａｌ  Ｉｎｔｅｒｆａｃｅ）を介して暗号化処理用の仮想マシンに転送される。暗号化処理用の仮想マシンは、暗号化処理を実施し、仮想インタフェースを通してＶｉｒｕｔｕａｌ  ＯＦＳに返す。Ｖｉｒｔｕａｌ  ＯＦＳは実インタフェースに対して転送を行う。暗号化機能を仮想マシンに外出しすることにより、Ｖｉｒｔｕａｌ  ＯＦＳは、ＯｐｅｎＦｌｏｗ  Ｓｗｉｔｃｈの機能拡張を行うことなく暗号化を実施できる。また、暗号化機能を仮想マシンではなく、仮想インタフェース上で動作するアプリケーションとして実現できることは言うまでもない。
【００４１】
ＥＳノード１１は、復号化処理を行うために、仮想復号化スイッチ処理部として機能する仮想的なＯＦＳ（Ｖｉｒｔｕａｌ  ＯＦＳ）と、復号化処理を実施する仮想復号化処理部として機能する専用の仮想マシンと、仮想復号化インタフェースとして機能する仮想インタフェースを備える。仮想マシンは、ＯＦＣ６１から制御可能なソフトウェアを用いて、断片データの復号処理を行う。仮想的なＯＦＳは、ＯＦＣ６１から制御可能なソフトウェアを用いて、断片パケットに付されたサービス識別子に基づき、断片パケットの出力経路の制御を行う。仮想インタフェースは、受信した断片パケットを仮想マシンに転送し、仮想マシンからの復号化済みの断片パケットを仮想的なＯＦＳに転送する。
【００４２】
図５に、ＥＳノード１１の実行する復号化手順の一例を示す。パケットが実インタフェースからＥＳノード１１に到着すると、ＯｐｅｎＦｌｏｗ  Ｓｗｉｔｃｈの機能を持つ仮想的なＯＦＳがパケットを処理し、ＥＳノード１１内の仮想インタフェースを介して復号化処理用の仮想マシンに転送する。復号化処理用の仮想マシンは、復号化処理を実施し、仮想インタフェースを通して復号化済みのパケットを仮想的なＯＦＳに転送する。
復号化用の仮想マシンは、仮想インタフェースから受信したパケットに対してＯＦＣ６１から転送された復号化用の鍵を用いて復号化を実施した後、仮想インタフェースに転送する。仮想的なＯＦＳは、仮想インタフェースから復号化済みのパケットを受信し、実インタフェースを通してホスト端末２に向けてパケットを転送する。
【００４３】
ＯＦＳの暗号化機能と同様に、ＥＳノード１１の復号化機能を仮想マシンに移譲することにより、仮想的なＯＦＳは、ＯｐｅｎＦｌｏｗ  Ｓｗｉｔｃｈの機能拡張を行うことなく復号化を行うことができる。ここで、復号化機能を仮想マシンではなく、仮想インタフェース上で動作するアプリケーションとして実現できることは言うまでもない。
【００４４】
ＥＳノード１０において判断対象となるサービス識別子の一例を示す。ＥＳノード１０では入力パケットのＩＰヘッダを拡張したオプションフィールドに付与されたサービス識別子を認識する。例えば、データバックアップ処理要求の場合は０ｘ８０００００００とし、セキュアデータ通信要求の場合は０ｘ４０００００００とし、データ復旧処理要求の場合は０ｘ２０００００００とし、暗号化処理実施（配信）の場合は０ｘ１００００００とすることが考えられるが、これらの符号化形式に限定されるものではない。また、ＴＣＰヘッダやＵＤＰヘッダのアプリケーションの送信元／宛先ポート番号をサービス識別子として使用する方法もある。必要に応じてパケットの種類の判別処理を拡張するために、ヘッダ内容を拡張して識別子を追加できることはいうまでもない。
【００４５】
図６にＥＳ１０の処理フローを示す。ＥＳ１０は、入力パケットの種別を識別し、暗号化や冗長化の処理が必要なデータパケットであるか否かを判定する（Ｓ４００）。種別の識別は、例えば、オプションフィールドに付与されたサービス識別子を認識し、さらに当該のサービスの実施を要求するフラグを識別する。暗号化／冗長化処理が必要なデータパケットであればＳ４０１へ移行し、それ以外の制御パケットであればＳ４０４へ移行する。Ｓ４０１〜Ｓ４０３では、データ転送経路４０に接続されたＯＦＳノード１０１もしくはＯＦＳノード１０２に当該の入力パケットを適切にルーチングする。ここで、複数のＥＳ＊＊はＯＦＣによって制御されるノード群であり、入力パケットに対して実施する処理はパケットのルーチング制御のみである。一方、ＯＦＳ＃＃は暗号化処理を行うノード群である。ＥＳ１０は、宛先となるホスト端末２へのルーチングを行うための経路候補となるルーチング情報を複数保持することが好ましい。ＥＳ１０は、時々刻々変化する複数のルーチング経路の空き帯域を監視し、最も空き帯域が大きくなる経路をダイナミックに選択することが好ましい。
【００４６】
図７に経路フィールド使用時のＯＦＳノードにおけるデータ暗号化処理フローの一例を示す。断片パケットを受信すると（Ｓ５０１）、経路フィールド内に記載されている暗号化回数を確認する（Ｓ５０３）。暗号化回数がしきい値以下の場合はステップＳ５０４に移行し、暗号化回数がしきい値より大きい場合はステップＳ５０８に移行する。
【００４７】
ステップＳ５０４では、ＯＦＳノードが、暗号化処理を行う。
ステップＳ５０５では、ＯＦＳノードが、ＯＦＣ６１から通知された経路を決定する。
ステップＳ５０６では、ＯＦＳノードが、経路フィールドに自ノードＩＤ番号を書き込む。
ステップＳ５０７では、ＯＦＳノードが、決定した経路に断片パケットを転送する。
【００４８】
図７における閾値は以下のように定めることができる。本発明において各ノードで、暗号化処理がなされる断片化ファイルは、後続する次段の中継ノードで再暗号化されるが、万が一のネットワーク機器の誤動作やネットワークの運用障害等により、特定の断片化された暗号化パケットの中継段数が、不必要に増加する事態が生じる場合の対応策を設ける必要がある。すなわち、このような不必要に多い暗号化処理回数に対して、上限となる値を予め定め、この上限値を閾値として活用することが望ましい。図７で示すＯＦＳノードには、この閾値を用いて暗号化回数のチェックを行う機構を取り込んでいる。
【００４９】
図８にＯＦＳノード内のフィールドデータと利用手順の例を示す。経路フィールドへのＩＤの書き込み処理に先立ち、ＯＦＳノードのＩＤのビット長を適切に決め、当該のビット長単位で、逐次、中継ＯＦＳノードのＩＤ情報を追記できるように運用することが好ましい。このように、各段のスイッチは、自身のスイッチ番号を受信データに付与した形態で複数の最終の宛先端末まで届ける。
【００５０】
各ＯＦＳノードは入力された断片パケット毎に伝送誤り等のチェックを行い、伝送誤りを検出し、受信側で誤り訂正が出来ない場合には、前段のＯＦＳノードへその旨を通知することが好ましい。この場合、前段のＯＦＳノードは、出側の伝送容量の空き状況に応じて、後続して入力されるパケットと、伝送誤りのあったパケットとを一緒に、後段のＯＦＳノードへ伝達し、ＯＦＣ６１から受信した時系列情報を含む暗号鍵を用いて暗号化を受信データに対して行い、複数の最終の宛先端末まで届ける。
【００５１】
図９にＥＳノード１１のデータ処理フローを示す。最終段のＥＳノード１１は入力パケットのサービス識別子を識別し（Ｓ７００）、サービス識別子に応じた種々の処理を行う。本発明で規定する特定のサービスを実施すべきことを判別した場合には、中継ＯＦＳノードが自身のＩＤ番号を付与した経路フィールドと、チェックサム値等を含む情報のハッシュ値をメタデータ（固有値）として、セキュアな制御経路８２を通してＯＦＣ６１に転送する。
【００５２】
図１０に、断片データの復号化のシーケンスを示す。
ホスト端末１は、ストレージとして機能するホスト端末２からデータを回収するとき、ＯＦＣ６１との間での認証に先立ち、ＥＳノード１０に対してデータ回収要求メッセージを送信する（Ｓ２０１）。ＥＳノード１０は受信したデータ回収要求メッセージをＯＦＣ６１に転送する（Ｓ２０２）。
【００５３】
ＯＦＣ６１による認証を終えた後は、ＯＦＣ６１はホスト端末２に対して保存している断片パケットをＥＳノード１１への転送を要求するメッセージを送信する（Ｓ２０３）。ホスト端末２は当該のメッセージを受信した後、保存している断片パケットのうちのデータ回復に必要となるものをＥＳノード１１に送信する（Ｓ２０４）。ＯＦＣ６１は、データベースを更新する（Ｓ２０５）。更新する内容は、例えば、各断片パケットが通過するノード番号等である。送信する断片パケットは、データ回復に必要となる必要最小限の断片パケットであることが好ましい。
【００５４】
ＥＳノード１１は、断片パケットをホスト端末２から受信し、暗号化鍵を取得していない場合は、ＯＦＣ６１に対して断片パケットのメタデータ（固有値等）を送信し、暗号化鍵を要求する（Ｓ２０４）。ＯＦＣ６１は、ＥＳノード１１から暗号化鍵の要求を受信すると、復号化処理に必要な鍵とメタデータ（固有値など）をＥＳノード１１に転送する（Ｓ２０６）。
【００５５】
ＥＳノード１１はＯＦＣ６１より受信したメタデータ（固有値を含む）と鍵情報を参照し、ホスト端末２より受信したパケットを復号化（Ｓ２０７）する。復号化されたパケットは、順次ホスト端末１へと送信される（Ｓ２０８）。当該の断片パケットを受信したホスト端末１は端末内で断片パケットの組み立てを行い、元データを復元できる。ＥＳノード１１からホスト端末１に復号化済みのパケットを送信する際に、セキュアデータ通信を用いて再度ＯＦＳノードで暗号化を行い、ＥＳノード１０にて復号化を行うことで、更なるセキュリティの向上が可能であることは言うまでもない。
【００５６】
セキュアデータ通信時は、ＥＳノード１１に各ＯＦＳノードで暗号化済みのホスト端末２宛のパケットが到着すると、ＯＦＣ６１に対して断片パケットのメタデータ（固有値等）を送信し、暗号化鍵を要求する（Ｓ７２１）。ＯＦＣ６１は、ＥＳノード１１から暗号化鍵の要求を受信すると、復号化処理に必要な鍵とメタデータ（固有値など）をＥＳノード１１に転送する。ＥＳノード１１はＯＦＣ６１より受信したメタデータ（固有値を含む）と鍵情報を参照し、ＯＦＳノードより受信したパケットを復号化（Ｓ７４１）する。復号化されたパケットは、ホスト端末１へと送信される（Ｓ７４２）。
【００５７】
図１１に、ＯＦＣのＥＳノード制御に関わる処理フローを示す。ＯＦＣ６１は、入力パケットの種別を識別する（Ｓ８００）。種別がＥＳ１０からのデータバックアップ要求またはセキュアデータ通信要求であれば、認証応答メッセージを送信する（Ｓ８０１）。種別がデータバックアップ時のＥＳ１１からのメタデータと経路フィールドであれば、Ｓ８１１〜Ｓ８１３を実行する。種別がＥＳ１１からの暗号化鍵要求であれば、Ｓ８２１〜Ｓ８２２を実行する。種別がＥＳ１０からのデータ回収要求であれば、Ｓ８３１を実行する。
【００５８】
ペイロードの一部には、図８に示すように、各ＯＦＳノード固有のＩＤもしくは相当するタグ情報等が記述され、どの番号のＯＦＣを経由して伝達されたかに関する経路フィールド情報として活用する。経路フィールドはペイロード内にある場合を示したが、この場合に限定されることはない。例えば、経路フィールドがレイヤ３のオプションフィールド内にある場合も可能であることはいうまでもない。
【００５９】
図１２にＯＦＣ内のメタデータの管理手順（例１）を示す。図１２では断片データＡの時間を示す固有値として、（２０１４＿１＿１）を持つ場合は、ＯＦＣ内で１段目の中継（ＯＦＣ１０１を使用）時に、暗号鍵０ｘａｂｃが使用され、２段目（ＯＦＣ２０１）、３段目（ＯＦＣ３０２）の中継経路上では暗号鍵０ｘｅｆ８、０ｘ９ａｃを使用して暗号化されていることを示す。
【００６０】
ここでＯＦＣ６１は以下の２つの機能を保持することに留意する必要がある。１つはセキュアな制御経路８１を用い、全てのＯＦＳノードに定期的に暗号鍵の配布を行う機能である。例えば、ＯＦＣ６１は、暗号鍵を配布後の時間経過が閾値以上になったとき、ＯＦＣ６１に暗号鍵を配布する。そして、ＯＦＳノード番号に固有な値と暗号鍵を共にＤＢに保存する。この時に配布される暗号鍵は、時系列情報などを含め、利用する時間帯を指定することも可能である。その際には、配布した暗号鍵と配布した時間帯および配布したＯＦＳノード番号等を対応づけてデータベース（ＤＢ１００，Ｓ８１２）に保持）することが好ましい。
【００６１】
ＯＦＣ６１の保持するもう１つの機能は、セキュアな経路８０，８２を用いてＥＳノード１１より送出された断片パケットのヘッダ情報と経路フィールドを受け取りデータベース（Ｓ８１１，ＤＢ２００））等に保持する機能である。ＯＦＣ６１は、ＤＢ１００とＤＢ２００のＤＢを統合する（Ｓ８１２）。このとき、ＯＦＣ６１は、断片パケットの固有値をキーとし、１段目暗号鍵、２段目暗号鍵等を属性とするＤＢを更新・作成する。
【００６２】
図１２，図１３，図１４に示すように、例えば、ＲＤＢ（Ｒｅｌａｔｉｏｎａｌ  Ｄａｔａ  Ｂａｓｅ）を使用する場合、ＤＢ１００とＤＢ２００を関連付けし、ハッシュ値を主キーとして１段目の暗号キー、２段目の暗号キーの様な属性を持つデータベースを作成（Ｓ８１２）することが必要となる。図１３にＯＦＣ内のメタデータの管理手順（例２）を示す。
【００６３】
図１３では断片データＡの時間を示す固有値として、（２０１４＿１＿１）および（２０１４＿２＿１）がＤＢ１００内に記録されている場合を示す。この場合は、暗号鍵の更新時間が１ヶ月後である場合を示すが、この更新時間に限らないことはいうまでもない。
【００６４】
図１４にＯＦＣ内のメタデータの管理手順（例３）を示す。図１４では同一ファイルからの異なる断片データＡ、断片データＢが、１月１日と２月１日では、異なるデータ配信用の経路を用いて、異なる暗号鍵により暗号化された時のＤＢ１００における追記処理された場合の格納情報の例を示す。
【００６５】
ここで、同じ断片パケットの場合でも中継されるノード番号によって使用される暗号鍵は異なることに着目し、この暗号鍵をキー（属性名：固有値）として検索に活用することが好ましい。また暗号鍵はセキュリティ上、一定の周期で変更されることが好ましい。例えば、ＯＦＣ６１は、各中継段のスイッチ番号に特有の暗号鍵を管理し、予め秘密に規定された時刻を基にランダムに変更することが好ましい。ただし、同一ユーザに対してはサービスを継続中は、周期的に暗号鍵を変えることは、ＯＦＣ６１における処理量の増大化を来たすため、サービス上の運用条件に配慮して、適切に判断する必要がある。図１４に示す統合されたデータベースの内容は、最新の配布暗号鍵のデータベース（ＤＢ１００）とエッジスイッチ（ＥＳノード１１）へ伝達されるデータベース情報（ＤＢ２００）と対応付けて作成される。なお、メタデータの管理手法についてこの例に限定されないことは言うまでもない。
【００６６】
ここでＯＦＣ内のデータベースは図１５に示すＯＦＣ内データベースの内容の例のように記述される。図１６はこのデータベースを論理的に分割して用いる場合の例を示す。
【００６７】
本実施形態に係るデータ転送システムは、伝搬経路によって異なる暗号化を断片データに施しているため、高い安全性を保証できるデータ保管を実現することができる。また、元データの分割機能と暗号化機能を異なるノードに分散させているため、ホスト端末１の暗号化処理の負荷量を増やすこと無く実現することができる。なお、本実施形態では、ＥＳ１０が元データを分割して断片データを生成する例を示したが、断片データの生成はホスト端末１が行っても良いことはいうまでもない。
【００６８】
図１７に、データバックアップ利用時の利用端末（ホスト端末１）におけるデータの暗号化および断片パケット生成に関わる配信データの処理フローを示す。ホスト端末１は、暗号化処理Ｓ１、一体化処理Ｓ２、分割処理Ｓ３及び複製処理Ｓ４を順に行い、これらの処理で生成された断片データを暗号化し、元データを生成する（Ｓ５）。ホスト端末１から送信された元データがＥＳノード１０に入力される。なお、図１７に示す一体化処理は特許文献３で説明したものと同様である。
【００６９】
（第２の実施形態）
図１８に、本実施形態に係るデータ転送システムの構成例を示す。本実施形態に係るデータ転送システムは、ＯＦＣ６１が各サービスに割り当てた経路を管理する。ＯＦＣ６１は、ＥＳノード１０、ＯＦＳノード間の全ての経路を管理する。この場合、ＯＦＣ６１は、各ＯＦＳノードが暗号化に用いた鍵を導出する。そして、ＥＳノード１１又はストレージ２０は、復号化に用いる暗号鍵をＯＦＣ６１から取得する。ＯＦＣ６１が、ＭＰＬＳ等のラベルにより経路を管理する方法を以下に示す。
【００７０】
ＥＳノード１０は、ポートＰＴ１０３、ＰＴ１０１、ＰＴ１０２を有する。ＰＴ１０３はホスト端末１を接続され、ＰＴ１０１はＯＦＳノード１０１と接続され、ＰＴ１０２はＯＦＳノード１０２と接続される。ＯＦＳノード１０１は、ポートＰＴ１０１１、ＰＴ１０１２、ＰＴ１０１３を有する。ＯＦＳノード１０２は、ポートＰＴ１０２１、ＰＴ１０２２、ＰＴ１０２３を有する。ＯＦＳノード２０１は、ポートＰＴ２０１１、ＰＴ２０１２，ＰＴ２０１３を有する。ＯＦＳノード２０２は、ポートＰＴ２０２１、ＰＴ２０２２、ＰＴ２０２３を有する。ＥＳノード１１は、ポートＰＴ１１１、ＰＴ１１２、ＰＴ１１３を有する。
【００７１】
本実施形態では、隣接するノード（ＯＦＳ、ＥＳ、ホスト端末、ストレージ等）と接続される。ＯＦＣ６１は、全ての管理下のＥＳノード及びＯＦＳノードの接続関係（接続ポート）を把握している。ＯＦＣ６１は、ＥＳ１０からＥＳ１１までの任意本数の経路の重複度の少ない最短経路を定期的に算出し、データ通信サービスに対して経路を割り当てることが好ましい。
【００７２】
各ＯＦＳノード内では、暗号化用の仮想マシンへ入力するための仮想ポートと出力するための仮想ポートが存在する。図１９に、仮想ポートの一例を示す。ＯＦＳノード１０１はＶＰＴ１０１１及びＶＰＴ１０１２を備え、ＯＦＳノード１０２はＶＰＴ１０２１及びＶＯＰＴ１０２２を備え、ＯＦＳノード２０１はＶＰＴ２０１１及びＶＰＴ２０１２を備え、ＯＦＳノード２０２はＶＰＴ２０２１及びＶＰＴ２０２２を備える。ＥＳノード１１は、ＶＰＴ１１１及びＶＰＴ１１２を備える。ＶＰＴ１１１は、暗号化用の仮想マシンへ入力するための仮想ポートである。ＶＰＴ１１２は、暗号化用の仮想マシンから出力するための仮想ポートである。
【００７３】
ホスト端末１からの入力データパケットに対して、ＯＦＣ６１が割り当てた経路を通るようにルーチングさせる仕組みを、図１８及び図１９を用いて説明する。第１の実施形態と同様に、サービス開始前にホスト端末１はＯＦＣ６１に対してサービス（データバックアップ、データ回収、セキュアデータ通信等）要求を実施し、認証を行う。サービス識別子として、送信元／宛先ＩＰアドレス、送信元／宛先ポート番号を使用し、セキュアデータ通信を行う場合を例に挙げて説明する。
【００７４】
上記認証時に、ホスト端末１はＯＦＣ６１に対してサービス識別子とサービス種別（セキュアデータ通信）を伝達する。ＯＦＣ６１は認証が完了すると、サービスに対して経路を割り当てる。ＯＦＣ６１は、ラベルにより目的のパケットが決定した経路を通るよう、入側スイッチ、出側スイッチ、各ＯＦＳノードのフローエントリを設定する。
【００７５】
具体的なサービスに対する経路の決定方法は、第３の実施形態に記載の方式を用いることが可能である。例えば、特定のサービス識別子に対して特定の経路を割り当てる。特定のサービス識別子は、例えば、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号及び宛先ポート番号が、それぞれＩＰ１、ＩＰ２、ＵＤＰ１及びＵＤＰ２である場合である。特定の経路は、例えば、ＥＳノード１０のＰＴ１０１、ＯＦＳノード１０１のＰＴ１０１３及びＰＴ１０１２、ＯＦＳノード２０２のＰＴ２０２１及びＰＴ２０２３、ＥＳノード１１のＰＴ１１２である。
【００７６】
ＯＦＳノードでは暗号化を、ＥＳノード１１では復号化を実施することができるように、当該の暗号化・復号化用の鍵データを含むメタデータの送信がＯＦＣ６１により実施される。また、当該の中継経路に従って、パケットが通過し、暗号化が実施されるように、ＯＦＣ６１から経路上のＥＳノードおよびＯＦＳノードに対してフローテーブルの設定を行う。また、ＥＳノード１１に対して復号用の鍵を配布する。フローテーブルの設定が完了すると、認証完了のメッセージをホスト端末１に送信する。フローテーブルは、マッチフィールド及び命令群を含む。
【００７７】
ＥＳノード１０のフローテーブルは、マッチフィールド（ＤＰ送信元ポート番号＝ＵＤＰ１、ＵＤＰ宛先ポート番号＝ＵＤＰ２、送信元ＩＰアドレス＝ＩＰ１、宛先ＩＰアドレス＝ＩＰ２）及び命令群（ＭＰＬＳタグ挿入、ＭＰＬＳセット：Ｌａｂｅｌ１、アウトプット：ＰＴ１０１）を含む。
ＯＦＳ１０１のフローテーブルは、マッチフィールド（ＭＰＬＳラベル＝Ｌａｂｅｌ１，入力ポート＝ＰＴ１０１３）及び命令群（アウトプット：ＶＰＴ１０１１）と、マッチフィールド（ＭＰＬＳラベル：Ｌａｂｅｌ１，入力ポート＝ＶＰＴ１−１２）及び命令群（アウトプット：ＰＴ１０１２）を含む。
ＯＦＳ２０２のフローテーブルは、マッチフィールド（ＭＰＬＳラベル＝Ｌａｂｅｌ１，入力ポート＝ＰＴ２０２１）及び命令群（アウトプット：ＶＰＴ２０２１）と、マッチフィールド（ＭＰＬＳラベル＝Ｌａｂｅｌ１，入力ポート＝ＶＰＴ２０２２）及び命令群（アウトプット：ＰＴ２０２３）を含む。
ＥＳ１１のフローテーブルは、マッチフィールド（ＭＰＬＳラベル：Ｌａｂｅｌ１、入力ポートＰＴ１１２）及び命令群（アウトプット：ＶＰＴ１１１）と、マッチフィールド（ＭＰＬＳラベル：Ｌａｂｅｌ１、入力ポート＝ＶＰＴ１１２，ＵＤＰ送信元ポート番号＝ＵＤＰ１，ＵＤＰ宛先ポート番号＝ＵＤＰ２，送信元ＩＰアドレス＝ＩＰ１，宛先ＩＰアドレス＝ＩＰ２）及び命令群（ＭＰＬＳタグ削除、アウトプット：ＰＴ１１３）を含む。
【００７８】
ホスト端末１は、データパケットをＥＳノード１０に対して送信を開始する。ＥＳノード１０に当該サービスのパケットが到着すると、サービス識別子に対してＭＰＬＳラベルＬａｂｅｌ１を付加し、ＰＴ１０１に転送するフローエントリにマッチし、当該の処理が実行される。ＥＳノード１０のＰＴ１０１から送信されたパケットは、ＯＦＳノード１０１のＰＴ１０１３に到着する。
【００７９】
ＯＦＳノード１０１は、仮想暗号化処理部と、仮想暗号化スイッチ処理部と、仮想暗号化インタフェースと、を備える。仮想暗号化処理部は、ＯＦＣ６１から制御可能なソフトウェアを用いて、断片データを暗号化する。仮想暗号化スイッチ処理部は、ＯＦＣ６１から制御可能なソフトウェアを用いて、断片パケットの出力経路の制御を行う。仮想暗号化インタフェースは、受信した断片パケットを仮想暗号化処理部に転送し、仮想暗号化処理部からの暗号化済みの断片パケットを仮想スイッチ処理部に転送する。
【００８０】
ＯＦＳノード１０１は、当該サービスのパケットがＭＰＬＳラベル：Ｌａｂｅｌ１に対してＶＰＴ１０１１に転送するエントリにマッチし、暗号化用の仮想マシンにパケットが転送される。ＯＦＳノード１０１内の暗号化用の仮想マシンでは暗号化を実施し、ＶＰＴ１０１２に転送する。ＶＰＴ１０１２から入力された当該サービスのパケットは、ＭＰＬＳラベル：Ｌａｂｅｌ１に対してＰＴ１０１２に転送するエントリにマッチし、当該の処理が実行される。
【００８１】
ＯＦＳノード１０１のＰＴ１０１２から送信されたパケットは、ＯＦＳノード２０２のＰＴ２０２１に到着する。ＯＦＳノード２０２では、当該サービスのパケットがＭＰＬＳラベル：Ｌａｂｅｌ１に対してＶＰＴ２０２１に転送するフローエントリにマッチし、暗号化用の仮想マシンにパケットが転送される。ＯＦＳノード２０２内の暗号化用の仮想マシンでは、暗号化を実施し、ＶＰＴ２０２２に対してパケットが転送する。ＯＦＳノード２０２内のＶＰＴ２０２２から入力された当該サービスのパケットは、ＭＰＬＳラベル：Ｌａｂｅｌ１に対してＰＴ２０２３に転送するエントリにマッチし、実行される。
【００８２】
ＯＦＳノード２０２のＰＴ２０２３から送信されたパケットは、ＥＳノード１１のＰＴ１１２に到着する。ＥＳノード１１は、当該サービスのパケットがＭＰＬＳラベル：Ｌａｂｅｌ１に対してＶＰＴ１１１に転送するエントリにマッチし、復号化用の仮想マシンにパケットが転送される。ＥＳノード１１内の復号化用の仮想マシンでは復号化を実施し、ＶＰＴ１１２に転送する。復号は、例えば、受信データ列とＯＦＣ６１から受信した暗号鍵列から成る時系列情報を用いて行う。ＶＰＴ１１２から入力された当該サービスのパケットは、ＭＰＬＳラベル：Ｌａｂｅｌ１サービス識別子に対してＭＰＬＳラベルを削除し、ＰＴ１１３に転送するエントリにマッチし実行される。復号化済みのパケットはＥＳノード１１のＰＴ１１３からホスト端末２に到着する。
【００８３】
ＥＳノード１１は、復号化転送装置として機能する。具体的には、ＥＳノード１１は、仮想復号化処理部と、仮想復号化スイッチ処理部と、仮想復号化インタフェースと、を備える。仮想復号化処理部は、ＯＦＣ６１から制御可能なソフトウェアを用いて、断片データの復号処理を行う。仮想復号化スイッチ処理部は、ＯＦＣ６１から制御可能なソフトウェアを用いて、断片パケットの出力経路の制御を行う。仮想復号化インタフェースは、受信した断片パケットを仮想復号化処理部に転送し、仮想復号化処理部からの復号化済みの断片パケットを仮想スイッチ処理部に転送する。
【００８４】
ＥＳノード１１内の復号化を行う仮想マシンは、仮想復号化処理部として機能する際に、ＭＰＬＳラベル（経路）ごとに異なる暗号鍵を用いる必要がある。復号化処理時にＭＰＬＳフィールドを見て鍵を識別する方法や、鍵ごとに復号化用の仮想マシンを生成し、転送する仮想ポート（ＶＰＴ）をフローテーブルのエントリで操作することにより適切な鍵を用いることができる。
【００８５】
ＯＦＣノード６１が管理する情報の一例を示す。ＯＦＣノード６１内には、サービス識別子及びラベル値が格納される。サービス識別子は、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号及び宛先ポート番号を含む。例えば、サービス識別子（ＩＰ１，ＩＰ２，ＵＤＰ１，ＵＤＰ２）のラベル値はＬａｂｅｌ１であり、サービス識別子（ＩＰ３，ＩＰ４，ＵＤＰ３，ＵＤＰ４）のラベル値はＬａｂｅｌ２である。ラベル値は経路を示す。例えば、ラベル１はＥＳ１０（ＰＴ１０１），（ＰＴ１０１３）ＯＦＳ１０１（ＰＴ１０１２），（ＰＴ２０２１）ＯＦＳ２０２（ＰＴ２０２３），（ＰＴ１１２）ＥＳ１１で特定される経路である。ラベル２は、ＥＳ１０（ＰＴ１０２），（ＰＴ１０２３）ＯＦＳ１０２（ＰＴ１０２２），（ＰＴ２０２２）ＯＦＳ２０２（ＰＴ２０２３），（ＰＴ１１２）ＥＳ１１で特定される経路である。
【００８６】
第１の実施形態ではパケット内に経路フィールドに経路情報が含まれていたために、ＯＦＣ６１で管理する必要がなかったが、本実施形態ではＯＦＣ６１で経路情報を管理することで、パケットに経路を埋め込まない。パケット内に経路情報を埋め込まないことで、盗聴に対してより解読困難なネットワークサービスを提供することが可能となる。サービスに対して割り当てた経路を、サービス識別子に対応付けて経路情報とラベル値を保持・管理することで、サービス識別子から経路が導出でき、復号化に必要な鍵の導出と、ラベルによる経路制御が実施できる。
【００８７】
（第３の実施形態）
本実施形態に係るデータ転送システムは、第２の実施形態に機能追加することで、セキュア通信やデータバックアップ、データ復旧サービスに対してネットワークの伝送遅延時間保証を実施することができる。第２の実施形態では、ＯＦＣ６１が経路を管理し、サービスに対して経路の割り当てを行った。これに対し、第３の実施形態では、ホスト端末１がＯＦＣ６１に対してサービス要求及び認証時を行う時に、合わせて遅延時間保証に対する要求と使用帯域も伝達する。一例として、ＥＳノード間の遅延時間の要求値が１０ｍｓ以内、要求使用帯域が１００Ｍｂｐｓのセキュアデータ通信を要求する場合を説明する。この際には、ＯＦＣで、要求を満たす経路を探索する。
【００８８】
図２０及び図２１に、経路探索に必要なＯＦＣ管理情報の例を示す。本例では、ＥＳノード１０からＥＳノード１１への経路の候補は４つある。
１つ目の経路候補ＥＳノード１０（ＰＴ１０１）−（ＰＴ１０１３）ＯＦＳノード１０１（ＰＴ１０１１）−（ＰＴ２０１１）ＯＦＳノード２０１（ＰＴ２０１３）−（ＰＴ１１１）ＥＳノード１１の経路のリンクの転送時間の合計は、１．５ミリ秒＋２．２ミリ秒＋１．５ミリ秒＝５．２ミリ秒となる。また、ＥＳノード１０における転送処理、ＯＦＳノード１０１、ＯＦＳノード２０１における転送処理と暗号化処理、ＥＳノード１１における転送処理と復号化処理に要する時間は、２０マイクロ秒＋１０マイクロ秒＋５マイクロ秒＋１０マイクロ秒＋５マイクロ秒＋１０マイクロ秒＋１０マイクロ秒＝７０マイクロ秒となる。ノードの処理とリンクの処理の合計が５．２７ミリ秒となり、要求の１０ｍｓを満たしている。また、各リンクの使用状況は要求帯域の１００Ｍｂｐｓを使用状況に加算しても余裕がある。具体的には、リンクＩＤ１：５．６Ｇｂｐｓ／１０Ｇｂｐｓ、リンクＩＤ３：４．３Ｇｂｐｓ／１０Ｇｂｐｓ、リンクＩＤ７：４．６Ｇｂｐｓ／１０Ｇｂｐｓとなる。また、ＥＳノード１０、ＯＦＳノード１０１、ＯＦＳノード１０２、ＥＳノード１１の負荷状況を確認しても余裕があるため、当該要求に対してこの経路は使用可能である。
【００８９】
２つ目の経路候補ＥＳノード１０（ＰＴ１０１）−（ＰＴ１０１３）ＯＦＳノード１０１（ＰＴ１０１２）−（ＰＴ２０２１）ＯＦＳノード２０２（ＰＴ２０２３）−（ＰＴ１１２）ＥＳノード１１の経路のリンクの転送時間の合計は、１．５ミリ秒＋５．５ミリ秒＋３．８ミリ秒＝１０．８ミリ秒となり、この時点で要求遅延時間を超過しているため、当該要求に対してこの経路は使用できない。
【００９０】
３つ目の経路候補ＥＳノード１０（ＰＴ１０２）−（ＰＴ１０２３）ＯＦＳノード１０２（ＰＴ１０２２）−（ＰＴ２０２２）ＯＦＳノード２０２（ＰＴ２０２３）−（ＰＴ１１２）ＥＳノード１１の経路のリンク転送時間の合計も同様に、１．８ミリ秒＋４．５ミリ秒＋３．８ミリ秒＝１０．１ミリ秒となり、この経路は使用できない。
【００９１】
４つ目の経路候補ＥＳノード１０（ＰＴ１０２）−（ＰＴ１０２３）ＯＦＳノード１０２（ＰＴ１０２２）−（ＰＴ２０２２）ＯＦＳノード２０２（ＰＴ２０２３）−（ＰＴ１１２）ＥＳノード１１の経路のリンク転送時間の合計は、１．８ミリ秒＋１．８ミリ秒＋１．５ミリ秒＝５．１ミリ秒となる。また、ＥＳノード１０における転送処理、ＯＦＳノード１０２、ＯＦＳノード２０１における転送処理と暗号化処理、ＥＳノード１１における復号化処理に要する時間は、２０マイクロ秒＋１０マイクロ秒＋５マイクロ秒＋１０マイクロ秒＋５マイクロ秒＋１０マイクロ秒＋１０マイクロ秒＝７０マイクロ秒となる。ノードの処理とリンクの処理の合計が５．１７ミリ秒となり、要求の１０ｍｓを満たしている。しかし、各リンクの使用状況に要求帯域の１００Ｍｂｐｓを加算すると、リンクＩＤ５：１０．０５Ｇｂｐｓ／１０Ｇｂｐｓとなり容量を超過しているため、この経路は使用できない。
【００９２】
このように使用状況と遅延時間をＯＦＣが管理し、要求を満たす経路を選択し使用させることで、遅延時間保証サービスを高セキュリティで提供可能となる。
【００９３】
次に、ＯＦＣの経路探索の方式として、ｋ−ｓｈｏｒｔｅｓｔ  ｐａｔｈ法を基にしたアルゴリズムを用いる方式を例として説明する。任意のＥＳノード間を繋ぐ任意本数の経路（ｋ本）を、既存トラフィックを考慮して定期的に計算しておき、通信要求に応じて要求遅延時間を満たす経路をｋ本の中から割り当てる。定期的に計算しておく経路は、低遅延時間かつ低リンク重複度を同時に満たす組み合わせとしており、要求遅延時間に応じつつトラフィックの分散化も実現する。
【００９４】
例えば、ｋ＝２本とした場合、ホスト端末１とホスト端末２間の経路として、経路ＥＳノード１０（ＰＴ１０１）−（ＰＴ１０１３）ＯＦＳノード１０１（ＰＴ１０１１）−（ＰＴ２０１１）ＯＦＳノード２０１（ＰＴ２０１３）−（ＰＴ１１１）ＥＳノード１１およびＥＳノード１０（ＰＴ１０２）−（ＰＴ１０２３）ＯＦＳノード１０２（ＰＴ１０２２）−（ＰＴ２０２２）ＯＦＳノード２０２（ＰＴ２０２３）−（ＰＴ１１２）ＥＳノード１１が算出される。これらの経路は、当該時点におけるトラフィック状況により別経路へ更新される場合もある。ＯＦＣは、要求遅延時間に応じて、要求に対してどちらかの経路を割り当てる事になる。
【００９５】
本方法は、要求毎に経路探索を実施する必要が無く、高速な探索を提供する。また、探索によって算出される経路のリンク重複度が低く抑えられることにより、トラフィックが分散され、障害発生時の影響範囲を抑制する事が可能となり、高品質な低遅延保証サービスへの寄与を実現する。
【００９６】
本経路探索方式例は、遅延時間保証を実現する方法として説明したが、特に遅延時間は考慮せずに、サービスに割り当てる経路を高速に求める方式として、第２の実施形態にて利用できる。また、更に、重複の少ない経路の探索方式として用いることで、後述する実施形態における経路探索方式としても使用できる。
【００９７】
（第４の実施形態）
図２２に、本実施形態に係るデータ転送システムの構成例を示す。上述した第１の実施形態では、全てのパケットが発信側のエッジノード（ＥＳノード１０）に送信された後、着信側のエッジノード（ＥＳノード１１）へ伝達される。一方、本実施形態に係るデータ転送システムは、ＥＳノード１０、ＥＳノード１１が、２組で構成される。これらのどちらかのエッジノードへ入力されたパケットは、Ａ面ＬＳＡのＥＳノード１０、またはＢ面ＬＳＢのＥＳノード１０の、どちらかから、経路群４３の中の一つの回線に接続されている適切なＯＦＳノードの一つへルーチングされる。
【００９８】
このルーチングに当たっては、適切な負荷分散制御がされることが好ましい。また、当該のパケットがエッジノードへ入力後に、どちらのＥＳノード１０にルーチングされるかは、空き帯域を常時監視するＯＦＣノード６２またはＯＦＣノード６３より、セキュアな制御経路群８３を用いて決定されることが好ましい。
【００９９】
また、Ａ面ＬＳＡのＯＦＳノード群とＢ面ＬＳＢのＯＦＳノード群のノード間では経路は直接には接続されず、独立に、制御されることが好ましい。Ａ面ＬＳＡのＯＦＳノード群にルーチングされたパケットは、Ｂ面ＬＳＢのＯＦＳノード群へルーチングされることは無い。例えば、ＯＦＳノード群を制御するＯＦＣノード６２は、Ａ面ＬＳＡのＥＳノード１０、１１およびＡ面ＬＳＡ内のＯＦＳノード群のみを制御し、Ｂ面ＬＳＢに属するＯＦＳノード群の制御は行わない。
【０１００】
また、パケットが経路４４を用いて転送され、ＥＳノード１１に入力された場合の当該ＯＦＣノードへのメタデータの送信処理に関しては、Ａ，Ｂどちらの面のＯＦＳノード群から転送されたかを識別し、当該のＯＦＳノードを制御しているＯＦＣノードへとセキュアな制御経路８４を用いて転送する。Ａ面ＬＳＡとＢ面ＬＳＢが独立して運用されることにより、ＯＦＳノードやＥＳノードで構成される各種ノードの故障等に対しても、より安定したセキュアな通信が可能となる。ＯＦＳノード内での暗号化処理やＯＦＣノードでのメタデータ管理の方法などに関しては、第１の実施形態と同様である。
【０１０１】
（第５の実施形態）
図２３に、本実施形態に係るデータ転送システムの構成例を示す。本実施形態では、ルーチング対象となるネットワークトポロジを１つまたは複数のネットワークグループに分割し、各々のネットワークグループがトーラス構造を備える。本実施形態に係るデータ転送システムは、この構成を備えるため、経由するスイッチ数で決まる暗号化されるスイッチ段数を最小化してルーチングを行うと共に、トーラス上のどの経路を使用するかについての情報により、相異なる暗号化を施し、第３者の解読を困難とする。
【０１０２】
ＥＳノード１０は、全てのＯＦＳノード群のノード及びＥＳノード１１へ転送可能なフローテーブルを保持し、ＯＦＳノード群のノードはＥＳノード１０の後段の全てＯＦＳノード群のノードとＥＳノード１１へ転送するためのフローテーブルを保持する。ＥＳノード１０、ＥＳノード１１およびＯＦＳノード群はトーラス型のトポロジーで構成される経路により接続されている。経路トポロジーがトーラス構造を持つ場合には、ＯＦＳノードは、自ノードと同じレベルの中継段にあるＯＦＳノードを含めて、後段にあるＯＦＳノードへの転送できる必要がある。
【０１０３】
自ノードのスイッチの後段に位置するＯＦＳノードに対して、この例ではトーラス構造の経路５１を用い、最大で２段の中継数で、最後段にある任意のＯＦＳノード２０１，２０２，２０３へ転送することが可能なＳＤＮを構成している。このように、本実施形態に係るデータ転送システムは、トーラス構造５１を活用することにより、中継段数が短縮されることに加え、暗号化処理を行うノード間の選択経路が第三者から容易には判別が困難となる。このため、本実施形態に係るデータ転送システムは、よりセキュアな通信サービスを経済的に実現できる。ＥＳノード１０へパケットが入力され、ＥＳノード１１からストレージ２２または宛先となるホスト端末２（不図示）へ伝達され、保存されるメカニズム、ＯＦＳノード内での暗号化処理、並びにＯＦＣノードでのメタデータ管理の方法に関しては、第１の実施形態の例と同様である。図２３では、データバックアップ・復旧について記載しているが、ストレージ２２がホスト端末２となりセキュアデータ通信を行う場合も同様であることは言うまでもない。
【０１０４】
ＯＦＣノード内のメタデータ管理は、トーラス構造のネットワークを活用する場合、ＯＦＳノードの“段”の位置づけが、第１の実施形態とは異なり、同一中継段の中でのルーチングを実施できる融通性を備える。例えば、Ｔｉｍｅ＝２０１４＿１＿１におけるＯＦＳノード１０１，１０２，２０１，２０２の暗号化する鍵情報が、それぞれ、０ｘａｂｃ，０ｘｅｅ０，０ｘｅｆ８，０ｘａａａであるとする。ＥＳノード１０、ＯＦＳノード１０１、ＯＦＳノード１０２、ＥＳノード１１の順で転送した場合、２０１４＿１＿１における断片データＡの暗号化は、１回目は０ｘａｂｃとし、２回目は０ｘｅｅ０とする。このように、同じ１段目の別のＯＦＳで暗号化する。ＥＳノード１０、ＯＦＳノード２０１、ＯＦＳノード２０２、ＥＳノード１１の順で転送した場合、２０１４＿１＿１における断片データＢの暗号化は、１回目は０ｘｅｆ８とし、２回目は０ｘａｂｃとする。このように、２段目のなかの別のＯＦＳで暗号化する。
【０１０５】
（第６の実施形態）
図２４に、本実施形態に係るデータ転送システムの構成例を示す。本実施形態に係るデータ転送システムは、ＳＤＮ３１の中継段に複数のＯＦＳノード２１１，２１２，２１３，２１４を備え、暗号処理の回数を、強制的に増やすことにより、安全性を高めるためのトーラス構造の例を示している。例えば、ＥＳノード１０が分割したパケットを、ＯＦＳノード２１２が暗号化した後に、さらにＯＦＳノード２１４が暗号化し、ＥＳ１１へ転送する。この構成により、どの中継ノードがＥＳノード１０に最初に接続された場合においても、最少２段の中継段数を確保することにより、安全性を確保することができる。図２４では、データバックアップ・復旧について記載しているが、ストレージ２２がホスト端末２となりセキュアデータ通信を行う場合も同様であることは言うまでもない。
【０１０６】
図２５に、本実施形態に係るデータ転送システムの第２例を示す。本実施形態に係るデータ転送システムの第２例は、ＳＤＮの規模を拡大し、拠点間ネットワークを考慮した場合のネットワーク構成となっている。例えば、ＳＤＮ３１Ａは、拠点Ａにあるデータセンタ内の拠点内ネットワークであり、ＳＤＮ３２Ｂは、拠点Ｂにあるータセンタ内の拠点内ネットワークであり、拠点間は中継回線９０によって接続されている。
【０１０７】
ＥＳノード１１Ａは、拠点Ａ内で暗号化処理が施された断片パケットを受信すると、パケットの保存先を判定する。ＥＳノード１１Ａは、保存先が拠点Ｂ内のストレージ２２Ｂである場合、経路９０を用いてストレージ２２Ｂまで転送する。ＥＳノード１１Ａは、保存先が拠点Ａ内のストレージ２２Ａである場合、ストレージ２２Ａに転送する。このように、ＳＤＮ３２内のＥＳノード１０Ａの生成した断片パケットは、実施形態１と同様の処理を施されストレージ２２Ｂに保存される。
【０１０８】
ここで、１つのＳＤＮで暗号化処理が施される回数は、トーラス型の経路トポロジーを用いることにより抑制されると共に、各ＳＤＮ内のＯＦＳノード群で行う暗号化に関わる処理負荷も削減できる。拠点間が広域に跨る場合においては、各々のＳＤＮがトーラス型の経路トポロジーを持つ複数のＳＤＮを従属接続することにより、各ＳＤＮ内のＯＦＳノード群で分散させて処理することが可能となり、第三者による暗号解読を極めて困難することができる。
【０１０９】
なお、各々のＳＤＮ内でのＥＳノードの処理やＯＦＳノードの暗号化処理に関しては、それぞれの拠点ノード内のＯＦＣノードにより、当該のメタデータ管理が行われ、各拠点内を制御するＯＦＣノードはセキュアな別の経路で相互接続され、データベースは共用化されることが望ましい。この例では、２つのＳＤＮ３１Ａ及び３１Ｂを用いて広域ネットワークサービスを実施する例を示したが、ＳＤＮの数を３以上に拡大しても同様の効果が得られることはいうまでもない。また、図２５では、データバックアップ・復旧について記載しているが、ストレージ２２Ａ及びストレージ２２Ｂがホスト端末１及びホスト端末２となりセキュアデータ通信を行う場合も同様であることは言うまでもない。
【０１１０】
（第７の実施形態）
図２６に、本実施形態に係るデータ転送システムの構成例を示す。本実施形態に係るデータ転送システムは、ＳＤＮ３１内のＯＦＳノード群により、ＥＳノード１０に入力されるｍ種類のパケットＡ１〜Ａｍの暗号化処理を施すことができる。ここで、トーラス構造のＳＤＮは、Ａ１〜Ａｍのパケットを任意の一つのＯＦＳノードを経由して、一度だけ、暗号化されることを想定する。その際、Ａ１〜Ａｍは暗号化されて、Ａ１１，Ａ２１，Ａ３１，…Ａｍ１に変換される。Ａ１１，Ａ２１，Ａ３１，…．Ａｍ１を作成するために使用した暗号鍵は、ＯＦＣで一律的に管理され、容易にもとのＡ１〜Ａｍに逆変換できる。
【０１１１】
また、ＥＳノード１１はホスト端末から伝達された、複数個のパケットをバッファリングした後、バッファリングされた全てのパケットの排他的論理和をとったパケットを新規に生成し、そのパケットを新たな経路を含めてＥＳノード１１へ伝達され、ＥＳノード１１経由で全ての伝達されたパケットはストレージ２５〜２９に転送され、保存することができる。ＥＳノード１１は、断片パケットが各ストレージ２５〜２９に分散するように転送することが好ましい。
【０１１２】
ここで、排他的論理和（＝Ａ１（ＥＸＯＲ）Ａ２（ＥＸＯＲ）………（ＥＸＯＲ）Ａｍ）の特性を活用することにより、断片パケット群の中で、１つの要素が紛失した場合においても、（一つの要素が欠如したＡ１１，Ａ２１，Ａ３１，…．Ａｍ１を用いて）全てのパケットを復元することが可能である。例えば、ＥＳノード１０は、２以上の断片データの排他的論理和を演算し、ＳＤＮ３１とは異なる回線を用いてＥＳノード１１へ転送する。そして、ＥＳノード１１は、断片データの排他的論理和の演算結果を、ストレージ２５〜２９のいずれかへ転送する。ＥＳノード１１が排他的論理和の演算を行ってもよい。
【０１１３】
このように、断片データの排他的論理和の演算結果を格納することで、Ａ１〜Ａｍのデータを運ぶ回線の中で任意の１つの回線が故障になった場合、当該回線を除いて、ＥＸＯＲ演算されたデータを運ぶ回線９１とのＥＸＯＲ演算を実施することにより、当該故障回線データを復元することができる。しかしながら、２つ以上の紛失があった場合、復元することは不可能である。この状態を回避するためには、Ａ１〜Ａｍ（またはこれらのパケットデータを暗号化した回線）を冗長化することが必要である。なお、ＥＳノード１０がバッファリングするパケットの個数は、利用可能な回線数を考慮して、適切な値を考慮して決定することが必要である。
【０１１４】
図２６において、ｍ種類のパケットＡ１〜Ａｍを（ｎ−１）冗長化することが考えられる。この場合、（ｎ−１）冗長化されたｍ種類のパケット（Ａ１，Ａ２，…．Ａｍ）にネットワークコ−ディングされた回線を１本追加する。この場合には、特定の一つの要素の（ｎ−１）冗長化された回線群が全て故障になった場合でも、元のデータの回復が可能である。しかしながら、この場合には、特定の２つ以上の要素の（ｎ−１）冗長化された回線群が全て故障になった場合には、元データの復元は不可能である。この状態を回避するためには、Ａ１〜Ａｍ（またはこれらのパケットデータを暗号化した回線）を冗長化することが必要である。
【０１１５】
図２７に、本実施形態に係るデータ転送システムの第２の構成例を示す。本実施形態に係るデータ転送システムは、Ａ１，Ａ２，……Ａｍのｍ種類の断片パケットを２複製する。２重化（冗長化、複製）されたｍ種類のパケット（Ａ１，Ａ２，…．Ａｍ）にネットワークコ−ディングされた回線を１本ずつ追加した構成である。この場合には、任意の２つの回線が故障になった場合でも、元のデータの回復が可能である。
【０１１６】
図２８に、ｎ複製（ｎ重化）されたｍ種類のパケット（Ａ１，Ａ２，…．Ａｍ）が、ｎ回、再暗号化される場合のデータ表記法を示す。これまで説明した複製、およびコーディング回線の追加手段を一般化すると、Ａ１，Ａ２，…．Ａｍの断片パケットは、トーラス構造のＳＤＮにより、一段中継で出側のエッジノードに伝達される場合には、出側の回線ではＡ１１，Ａ２１，…．Ａｍ１に再暗号化され、同様に、ｎ番目の冗長回線では、Ａ１ｎ，Ａ２ｎ，…．Ａｍｎに再暗号化される。さらに、Ａ１１，Ａ２１，…．Ａｍ１のデータ群に対して、Ａ１１（ＥＸＯＲ）Ａ２１（ＥＸＯＲ）…．（ＥＸＯＲ）Ａｍ１の演算結果を伝達する１番目のネットワークコーディング回線から、Ａ１ｎ（ＥＸＯＲ）Ａ２ｎ（ＥＸＯＲ）…．（ＥＸＯＲ）Ａｍｎの演算結果を伝達するｎ番目のネットワークコーディング回線を追加して使用することにより、セキュアなデータ配信サービスが可能である場合を示す。
【０１１７】
図２７に示すデータ転送システムを多段中継してもよい。例えば、Ａ１，Ａ２，…．Ａｍのｍ種類のパケットを２複製後、２段中継する。この場合、第１段目のＥＳ１１は、第１段目のＳＤＮ３３で暗号化されたパケットを複製する。第２段目のＳＤＮ３３は、第１段目のＥＳ１１から取得したパケットを再度暗号化し、第２段目のＥＳ１１へ転送する。この場合、各々のＯＦＳノードは、パケットデータの転送とは独立にセキュアな制御経路を用いて、全てのＯＦＳノードは当該のルーチング制御用のフローテーブルのメタデータは通知されている必要がある。
【０１１８】
図２６では、トーラス構造のＳＤＮを用いて断片パケットを伝送し、ＳＤＮとは異なる回線９１を用いてＥＸＯＲ演算されたデータを伝送したが、これに限定されない。例えば、トーラス構造のＳＤＮに代えてＯＦＣがＭＰＬＳ等のラベルを用いて経路を管理するネットワークを用いてもよい。この場合、冗長化されたｍ種類のパケット（Ａ１，Ａ２，…．Ａｍ）にコ−ディング用経路を１本追加したｍ＋１本の経路を有するＳＤＮ３１とすることができる。
【０１１９】
ＯＦＣ６１によりネットワークの経路制御をＭＰＬＳ等のラベルにより実現する場合の、ｍ種類のパケット（Ａ１，Ａ２，…．Ａｍ）にネットワークコ−ディングされたデータ（Ａ１１（ＥＸＯＲ）Ａ２１（ＥＸＯＲ）…．（ＥＸＯＲ）Ａｍ１）を流す経路を１本追加した構成を実施形態３の第５の実施形態として示す。ＯＦＣ６１はホスト端末１からのサービス要求後、ｍ種類のパケットをそれぞれ別の経路を通すように、サービスに対して経路を導出する。また、ネットワークコーディング（ｍ種類のデータの排他的論理和）を施したパケットを流す経路もｍ種類のパケットとは別経路を導出する。導出した経路を通るよう、各ＥＳノード、ＯＦＳノードに対してフローエントリの追加を実施する。この例では、ｍ種類の経路のうち１種類のパケットが不達の場合も、そのほかのｍ−１の経路から得られるパケットと、ｍ種類のデータの排他的論理和を転送する経路からのパケットにより、損失したパケットが復元できる。実施形態３の第２の実施形態の様に、更にｍ種類のパケットをｎ−１冗長化し、異なる経路を割り当てることでパケット損失の際のデータ復元率を高めることができることは言うまでもない。
また、第１の実施形態で示した低遅延保証サービスと本制御方式を組み合わせる事により、より障害耐久性のあるセキュアな低遅延保証サービスが実現可能となる。この際、経路探索で算出しておく経路本数はｍ＋１以上の必要がある。
【０１２０】
（第８の実施形態）
図２９に、本実施形態に係るデータ転送システムの構成例を示す。本実施形態に係るデータ転送システムは、ネットワークコーディングを有効に活用する。ノード１２からノード１３への転送時において、ｍ種類の分割パケットを単純にｎ重化伝送すると、伝送回線数はｍ×ｎである。１本のネットワークエンコーディング用の回線を追加し、ｍ種類の分割パケットをｎ−１重化伝送すると、伝送回線数はｍ（ｎ−１）＋１となる。
【０１２１】
ｍ種類の断片パケットをｎ重化伝送した場合の所要伝送回線数をｆｍ（ｎ）で表す。ｎ＝１の場合、ｆｍ（１）＝ｍである。１本のネットワークエンコーディング用の回線を追加した場合、前述のとおり、ｆｍ（ｎ）＝ｍ（ｎ−１）＋１である。そうすると、所要伝送回線数ｆｍ（ｎ）は次式で表される。
（数１）
ｆｍ（ｎ）＝ｆｍ（ｎ−１）＋１
＝｛ｆｍ（ｎ−２）＋１｝＋１
＝ｆｍ（１）＋１＋（ｎ−２）
＝ｍ＋ｎ−１
【０１２２】
各々の回線を単純にｎ冗長化せず、代わりにネットワークコーディング回線９２を（ｎ−１）本、追加して冗長回線として用いる場合、所要回線数の合計は、（ｍ＋ｎ−１）本に削減できる。この場合、ｍ＞＞ｎ＞＞１であれば、（ｍ＋ｎ−１）／ｍｎ≒１／ｎであるから、所要回線数を１／ｎに圧縮することができる。ｎ＞＞ｍ＞＞１であれば、（ｍ＋ｎ−１）／ｍｎ≒１／ｍであるから、所要回線数を１／ｍに圧縮することができる。
【０１２３】
特に、図２９では、ネットワークエンコーディング用の回線９２を（ｍ−１）本追加している。各回線９２の伝送する情報は異なる。例えば、回線９２１はａ１∨ａ２を伝送し、回線９２２はａ１∨ａ２∨ａ３を伝送し、・・・回線９２ｍ−２はａ１∨ａ２∨ａ３…∨ａｍ−１を伝送し、回線９２ｍ−１はａ１∨ａ２∨ａ３…∨ａｍを伝送する。ここで、「∨」は排他的論理和（ＥＸ−ＯＲ）を表す。このように、（ｍ−１）本のネットワークエンコーディング用の回線を用いることで、伝送回線数が（ｍ＋（ｍ−１））である（２ｍ−１）であっても、信頼度上はｍ種類の断片化データのｍ重化伝送と等価となる。したがって、本実施形態に係るデータ転送システムは、セキュリティ上の安全性を維持し、所望の回復確率を達成できると同時に、経路本数を削減することができる。
【０１２４】
各回線９２の伝送する情報の演算は排他的論理和のみで演算する形態に限定されない。前述の、冗長回線数（ｍ−１）本より、１本多いｍ本の冗長回線数を、充当することが許容される場合には、例えば、すべての断片パケットの排他的論理和Ａ＝ａ１∨ａ２∨ａ３…∨ａｍを用いて、以下のように表現してもよい。この場合、回線９２１はＡ−ａ１を伝送し、回線９２２はＡ−ａ２を伝送し、・・・回線９２ｍ−１はＡ−ａｍ−１を伝送し、回線９２ｍはＡ−ａｍを伝送する。このように、ネットワークエンコーディング用の回線９２をｍ本追加して、全体の回線群を構成してもよい。
【０１２５】
ノード１２からノード１３への断片パケットａ１の転送時において、ノード１２は、断片パケットａ１を複製して断片パケットａ１１及びａ１２を生成し、これらの両方を再度暗号化してもよい。この場合、ノード１２は、各断片パケットａ１１及びａ１２の排他的論理和を算出し、断片パケットａ１１及びａ１２並びにこれらの排他的論理和を、それぞれ異なる経路でノード１３へ転送する。同一の断片パケットに対してネットワークコーディングを行うことにより、ａ１１またはａ１２のどちらかかが、故障によってノード１２からノード１３に到達しない場合でも、信頼性上は、同等のレベルを維持できる。
【０１２６】
ノード１２からノード１３への断片パケットａ１及びａ２の転送時において、ノード１２は、断片パケットａ１を複製して断片パケットａ１１及びａ１２を生成し、断片パケットａ２を複製して断片パケットａ２１及びａ２２を生成し、これらの全てを再度暗号化してもよい。この場合、ノード１２は、断片パケットａ１１及びａ２１の排他的論理和を算出し、断片パケットａ１１、ａ１２、ａ２１及びａ２２並びに排他的論理和を、それぞれ異なる経路でノード１３へ転送する。各断片パケットが異なる場合において、伝送路を複数本使用して断片パケットａ１１、ａ１２、ａ２１及びａ２２を伝送すると同時に、排他的論理和用の回線を１本設ける。
【０１２７】
排他的論理和用の回線は１本に限らず、２本以上であってもよい。この場合、ノード１２は、断片パケットａ１１及びａ２１の排他的論理和に加え、断片パケットａ２１及びａ２２の排他的論理和を算出する。そして、ノード１２は、断片パケットａ１１、ａ１２、ａ２１及びａ２２並びに２つの排他的論理和を、それぞれ異なる経路でノード１３へ転送する。
【０１２８】
ノード１２からノード１３へ転送される断片パケットが３以上の場合であっても、断片パケットａ１及びａ２の転送時と同様に、各断片パケットを複製して再度暗号化し、それぞれの排他的論理和を算出し、経路でノード１３へ転送してもよい。この場合、排他的論理和の転送経路は断片パケットと異なることが好ましいが、各断片パケットについては必ずしも異なる経路とならなくてもよい。
【産業上の利用可能性】
【０１２９】
以上、説明したように、本発明は、大容量のデータコンテンツを安全に、宛先端末あるいは宛先ストレージに転送する上で、端末の暗号化処理および、ネットワーク内のルータ等の転送機器あるいは転送装置の暗号化等の処理負荷を抑制する技術に活用することができる。また、高いセキュリティが要求されるデータ通信、更には短い通信遅延時間を保証するリアルタイム通信サービスにおいても、高セキュリティを実現すると共に、端末やネットワーク内の転送機器の、暗号化、鍵管理の処理負荷を削減できる。
本発明は、安全にファイルをバックアップするディザスタリカバリを実現するに当たって、当該の通信サービス要求の識別を、ＳＤＮ技術を効果的に活用することにより実現でき、今後の情報通信産業の発展に貢献できる。具体的には、ＳＤＮ技術を適用し、端末が処理する暗号化等の負荷の大きさをネットワークに、公平かつ効率的に分配することにより、高信頼なファイルバックアップを実現するための端末の処理負荷を軽減させ、更にネットワークの冗長構成をダイナミックにセキュアな形態に再編成してサービスを経済的に実現できるようになる。また、ネットワーク内の複数のノードでは、それぞれが制御ノードからの指示に従って、独自の暗号化処理を同時に行うことにより、第三者に対しては、ネットワーク内で、いつ、どのよう暗号鍵で暗号化処理を実施したかを、容易には解読困難にさせ、より高い安全性・信頼性を持つバックアップサービス、データ通信サービス、遅延時間保証型データ通信サービスが実現可能となる。さらに、ネットワークのトーラス構成を有効に活用して、ネットワークコーディング技術と組み合わせて運用することにより、従来とは全く異なる形態で、より安全性の高い秘密通信がネットワーク回線を効率的に活用して実現できる特徴を有する。
【符号の説明】
【０１３０】
１、２：ホスト端末
１０、１１、１０Ａ、１０Ｂ、１１Ａ、１１Ｂ：ＥＳノード
１２、１３：ノード
２２、２２Ａ、２２Ｂ、２３〜２９：ストレージ
３１、３２：ＳＤＮ
４０、４３、４４、８１、９０：転送経路
５１：トーラス構造の経路
６１、６２、６３、６４：ＯＦＣノード
８０、８２、８３：制御経路
９０：中継回線
１０１、１０２、２０１、２０２、２０３：ＯＦＳノード
【図１】
0006474072.tif 000002
【図２】
0006474072.tif 000003
【図３】
0006474072.tif 000004
【図４】
0006474072.tif 000005
【図５】
0006474072.tif 000006
【図６】
0006474072.tif 000007
【図７】
0006474072.tif 000008
【図８】
0006474072.tif 000009
【図９】
0006474072.tif 000010
【図１０】
0006474072.tif 000011
【図１１】
0006474072.tif 000012
【図１２】
0006474072.tif 000013
【図１３】
0006474072.tif 000014
【図１４】
0006474072.tif 000015
【図１５】
0006474072.tif 000016
【図１６】
0006474072.tif 000017
【図１７】
0006474072.tif 000018
【図１８】
0006474072.tif 000019
【図１９】
0006474072.tif 000020
【図２０】
0006474072.tif 000021
【図２１】
0006474072.tif 000022
【図２２】
0006474072.tif 000023
【図２３】
0006474072.tif 000024
【図２４】
0006474072.tif 000025
【図２５】
0006474072.tif 000026
【図２６】
0006474072.tif 000027
【図２７】
0006474072.tif 000028
【図２８】
0006474072.tif 000029
【図２９】
0006474072.tif 000030