(57)【特許請求の範囲】
【請求項１】
ネットワーク間を流れるデータをフローエントリに従って廃棄する複数のファイアウォール装置のそれぞれにおいて廃棄されたデータ量の情報と前記廃棄されたデータの送信元情報とを含む廃棄データ情報を、前記複数のファイアウォール装置のそれぞれから受信する受信部と、
前記廃棄データ情報に基づいて、同じ送信元情報の廃棄データ量が閾値を超えるデータフローを検出し、当該データフローのデータを廃棄する廃棄フローエントリを、当該データフローの前記送信元情報が含まれる送信元ネットワークに接続された送信元ファイアウォール装置に設定する制御部と、
を備えた、ファイアウォールコントローラ。
【請求項２】
前記制御部は、
複数のファイアウォール装置にそれぞれ設定された前記フローエントリの情報を記憶する記憶部を備え、
前記記憶部において前記廃棄フローエントリと競合するフローエントリが存在すると、前記競合するフローエントリの送信元情報を前記検出したデータフローの送信元情報に修正したフローエントリを、前記送信元ファイアウォール装置に設定する、請求項１に記載のファイアウォールコントローラ。
【請求項３】
前記廃棄データ情報には、前記廃棄されたデータの宛先情報が含まれ、
前記制御部は、
前記廃棄データ情報を前記送信元情報及び前記宛先情報の別に集計した結果において廃棄データ量が前記閾値を超えるとして検出されたデータフローに対するフローエントリ数と、前記廃棄データ情報を前記送信元情報の別に集計した結果において廃棄データ量が前記閾値を超えるとして検出されたデータフローに対するフローエントリ数と、のうち、フローエントリ数の少ない方のデータフローのデータを廃棄する廃棄フローエントリを、前記送信元ファイアウォール装置に設定する、請求項１又は２に記載のファイアウォールコントローラ。
【請求項４】
前記廃棄フローエントリの情報を含むエントリ設定要求メッセージを生成し、前記エントリ設定要求メッセージを、前記送信元ネットワークに接続された前記ファイアウォール装置宛に送信する送信部を備えた、請求項１〜３のいずれか１項に記載のファイアウォールコントローラ。
【請求項５】
ネットワーク間を流れるデータをフローエントリに従って廃棄するファイアウォール装置であって、
廃棄したデータ量の情報と前記廃棄したデータの送信元情報とを含む廃棄データ情報を収集する収集部と、
前記廃棄データ情報を、前記ファイアウォール装置を含む複数のファイアウォール装置を制御するファイアウォールコントローラ宛に送信する送信部と、
前記ファイアウォールコントローラが前記廃棄データ情報に基づいて検出したデータフローであって、同じ送信元情報の廃棄データ量が閾値を超えるデータフローのデータを廃棄する廃棄フローエントリの情報を、前記ファイアウォールコントローラから受信する受信部と、
を備えた、ファイアウォール装置。
【請求項６】
ネットワーク間を流れるデータをフローエントリに従って廃棄する複数のファイアウォール装置のそれぞれにおいて廃棄されたデータ量の情報と前記廃棄されたデータの送信元情報とを含む廃棄データ情報を、前記複数のファイアウォール装置から、前記複数のファイアウォール装置を制御するファイアウォールコントローラへ送信し、
前記ファイアウォールコントローラは、
前記廃棄データ情報に基づいて、同じ送信元情報の廃棄データ量が閾値を超えるデータフローを検出し、
当該データフローのデータを廃棄する廃棄フローエントリを、当該データフローの前記送信元情報が含まれる送信元ネットワークに接続された送信元ファイアウォール装置に設定する、ファイアウォール制御方法。
【請求項７】
前記ファイアウォールコントローラは、
前記ファイアウォール装置のいずれかに対して特定のフローの転送を許可するフローエントリが設定されたことに応じて、前記特定のフローの送信元に相当するファイアウォール装置に対して、前記特定のフローの転送を許可するフローエントリを設定する、請求項６に記載のファイアウォール制御方法。
【請求項８】
前記ファイアウォールコントローラは、
前記ファイアウォール装置のいずれかに対して特定のフローの転送を拒否するフローエントリが設定されたことに応じて、前記特定のフローの送信元に相当するファイアウォール装置に対して、前記特定のフローの転送を拒否するフローエントリを設定する、請求項６又は７に記載のファイアウォール制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書に記載する技術は、ファイアウォールコントローラ、ファイアウォール装置、及び、ファイアウォール制御方法に関する。
【背景技術】
【０００２】
ネットワーク間を流れるトラフィックの通過及び遮断を制御するために、ネットワーク間の接続ポイントにファイアウォール（ＦＷ）が備えられることがある。
【０００３】
例えば、広域ネットワーク（「コアネットワーク」と称してもよい。）に接続された企業拠点等のサブネットワークに、ＦＷが備えられることがある。ＦＷにて、コアネットワークからサブネットワークへ必要なトラフィックだけを通し、他のトラフィックを廃棄することで、サブネットワークのセキュリティを高めることができる。なお、「トラフィック」は、「データフロー」又は単に「フロー」と称されてもよい。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−９１１０６号公報
【特許文献２】特開２０１４−２３６４６１号公報
【特許文献３】特表２００８−５０８８０５号公報
【特許文献４】特開２００６−２５４１３７号公報
【特許文献５】特開２０１４−２３０１５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
トラフィックの受信側に相当するサブネットワークに備えられたＦＷで廃棄されるトラフィックは、コアネットワークにとってみれば不要なトラフィックである。ＦＷは、トラフィックの送信側に相当するサブネットワークにも備えられることもあるから、送信側のＦＷで不要なトラフィックを遮断することも考えられる。
【０００６】
しかし、ＦＷの管理者がネットワーク毎に異なる等の理由で、送信側及び受信側のＦＷに対して通過及び遮断するトラフィックの設定が個別になされていることがある。そうすると、受信側ＦＷで遮断される不要なトラフィックが、送信側のＦＷを通過してコアネットワークへ流れてしまい、コアネットワークの伝送帯域が不要なトラフィックに浪費される結果になる。
【０００７】
また、或る送信者が、複数の受信者宛に不要なトラフィックを送信することがある。この場合、１箇所のＦＷで廃棄されるトラフィック量は少なかったとしても、コアネットワークには、複数のＦＷで廃棄されるトラフィック量の合計が不要なトラフィックとして流れていることになる。
【０００８】
１つの側面では、本明細書の記載する技術の目的の１つは、受信側ＦＷで廃棄される不要なデータを送信元ＦＷで廃棄させて、両ＦＷ間に介在するネットワークに不要なデータが流れることを抑止できるようにすることにある。
【課題を解決するための手段】
【０００９】
１つの側面において、ファイアウォールコントローラは、受信部と、制御部と、を備えてよい。受信部は、ネットワーク間を流れるデータをフローエントリに従って廃棄する複数のファイアウォール装置のそれぞれにおいて単位時間当たりに廃棄されたデータ量の情報と前記廃棄されたデータの送信元情報とを含む廃棄データ情報を、前記複数のファイアウォール装置のそれぞれから受信してよい。制御部は、前記廃棄データ情報に基づいて、同じ送信元情報の廃棄データ量が閾値を超えるデータフローを検出し、当該データフローのデータを廃棄する廃棄フローエントリを、当該データフローの前記送信元情報が含まれる送信元ネットワークに接続された送信元ファイアウォール装置に設定してよい。
【００１０】
また、１つの側面において、ファイアウォール装置は、ネットワーク間を流れるデータをフローエントリに従って廃棄するファイアウォール装置であって、収集部と、送信部と、受信部と、を備えてよい。収集部は、単位時間当たりに廃棄したデータ量の情報と前記廃棄したデータの送信元情報とを含む廃棄データ情報を収集してよい。送信部は、前記廃棄データ情報を、前記ファイアウォール装置を含む複数のファイアウォール装置を制御するファイアウォールコントローラ宛に送信してよい。受信部は、前記ファイアウォールコントローラが前記廃棄データ情報に基づいて検出したデータフローであって、同じ送信元情報の廃棄データ量が閾値を超えるデータフローのデータを廃棄する廃棄フローエントリの情報を、前記ファイアウォールコントローラから受信してよい。
【００１１】
更に、１つの側面において、ファイアウォール制御方法は、以下の送信、検出、及び、設定の各処理を含んでよい。「送信」は、ネットワーク間を流れるデータをフローエントリに従って廃棄する複数のファイアウォール装置のそれぞれにおいて単位時間当たりに廃棄されたデータ量の情報と前記廃棄されたデータの送信元情報とを含む廃棄データ情報を、前記複数のファイアウォール装置から、前記複数のファイアウォール装置を制御するファイアウォールコントローラへ送信することであってよい。「検出」は、前記ファイアウォールコントローラが、前記廃棄データ情報に基づいて、同じ送信元情報の廃棄データ量が閾値を超えるデータフローを検出することであってよい。「設定」は、前記ファイアウォールコントローラが、当該データフローのデータを廃棄する廃棄フローエントリを、当該データフローの前記送信元情報が含まれる送信元ネットワークに接続された送信元ファイアウォール装置に設定することであってよい。
【発明の効果】
【００１２】
１つの側面として、受信側ファイアウォール装置で廃棄される不要なデータを、送信元ファイアウォール装置で廃棄させることができ、両ファイアウォール装置間に介在するネットワークに不要なデータが流れることを抑止できる。
【図面の簡単な説明】
【００１３】
【図１】一実施形態に係る通信システムの構成例を示すブロック図である。
【図２】一実施形態に係るエントリ設定（又は削除）要求メッセージのフォーマット例を示す図である。
【図３】図１に例示したファイアウォール（ＦＷ）コントローラ（ＦＷＣ）における全ＦＷエントリ情報記憶部に記憶される全ＦＷエントリテーブルの一例を示す図である。
【図４】図１に例示した通信システムにおいて管理者がＦＷＣ経由でＦＷに対してフローエントリを設定する手順の一例を示すシーケンス図である。
【図５】図１に例示した通信システムにおいて管理者がＦＷに対して直接にフローエントリを設定する手順の一例を示すシーケンス図である。
【図６】図１に例示した通信システムにおいて送信側ＦＷに対してフローエントリを設定する方法の一例を説明するための図である。
【図７】図１に例示したＦＷＣに備えられたＦＷ構成情報記憶部を説明するための図である。
【図８】図１に例示した通信システムの動作例を説明するための図である。
【図９】一実施形態に係る廃棄パケット情報の集計結果の一例を示す図である。
【図１０】図１に例示したＦＷＣが、廃棄パケット情報の集計及び解析処理を実施する例を説明するためのフローチャートである。
【図１１】図１に例示したＦＷが、廃棄パケット情報の集計及び解析処理を実施する例を説明するためのフローチャートである。
【図１２】一実施形態の第１変形例を説明するための図である。
【図１３】第１変形例の動作例を説明するためのシーケンス図である。
【図１４】第１変形例における廃棄パケット情報の集計結果の一例を示す図である。
【図１５】第１変形例において送信元ＦＷに設定される廃棄エントリの一例を示す図である。
【図１６】一実施系形態の第２変形例を説明するための図である。
【図１７】第２変形例において宛先アドレスにサブネットワークアドレスが指定されてよいことを説明するための図である。
【図１８】第２変形例におけるＦＷＣの動作例を説明するためのフローチャートである。
【図１９】図１８に例示したエントリリストの生成処理を説明するためのフローチャートである。
【図２０】第２変形例における廃棄パケット情報の集計結果の一例を示す図である。
【図２１】（Ａ）は第２変形例におけるエントリ候補リストＡの一例を示す図であり、（Ｂ）は第２変形例におけるエントリ候補リストＢの一例を示す図であり、（Ｃ）は第２変形例におけるエントリリストＡの一例を示す図である。
【図２２】一実施形態の第３変形例に係るオートスケールを説明するための模式図である。
【図２３】一実施形態の第４変形例に係るオートスケールを説明するための模式図である。
【図２４】一実施形態の第５変形例に係るオートスケールを説明するための模式図である。
【図２５】前記各変形例を含む実施形態におけるＦＷの機能的な構成例を示すブロック図である。
【図２６】前記各変形例を含む実施形態におけるＦＷＣの機能的な構成例を示すブロック図である。
【図２７】図２５及び図２６に例示したＦＷ及びＦＷＣのハードウェア構成例を示すブロック図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照して実施の形態を説明する。ただし、以下に説明する実施形態は、あくまでも例示であり、以下に明示しない種々の変形や技術の適用を排除する意図はない。また、以下に説明する各種の例示的態様は、適宜に組み合わせて実施しても構わない。なお、以下の実施形態で用いる図面において、同一符号を付した部分は、特に断らない限り、同一若しくは同様の部分を表す。
【００１５】
図１は、一実施形態に係る通信システムの構成例を示すブロック図である。図１に示す通信システム１は、例示的に、コアネットワーク２と、コアネットワーク２に接続された複数のサブネットワーク３−１〜３−Ｎ（＃１〜＃Ｎ）と、を備えてよい。「Ｎ」は、例示的に、２以上の整数であり、図１の例ではＮ＝４である。
【００１６】
サブネットワーク３−１〜３−Ｎを区別しなくてよい場合は、「サブネットワーク３−ｉ」（ｉ＝１〜Ｎのいずれか）、あるいは、「サブネットワーク３」と略記することがある。サブネットワーク３に割り当てられているネットワークアドレスは、便宜的に、「サブネットアドレス」と略称してもよい。
【００１７】
コアネットワーク２は、広域ネットワーク（wide area network, WAN）と称されてもよい。サブネットワーク３は、例示的に、企業拠点において構築されたＬＡＮ（Local Area Network）等のネットワークであってよい。コアネットワーク２及びサブネットワーク３は、いずれも通信ネットワークの一例である。
【００１８】
いずれかのサブネットワーク３−ｉに接続された通信機器は、コアネットワーク２経由で、他のサブネットワーク３−ｊ（ｊは１〜Ｎのいずれかであって、ｉ≠ｊを満たす整数である。）に接続された通信機器と通信することが可能である。
【００１９】
「通信機器」は、「通信ノード」あるいは単に「ノード」と称されてもよいし、ネットワークエレメント（ＮＥ）と称されてもよい。サブネットワーク３に属するノードの一例は、エンドユーザが利用する通信端末である。
【００２０】
コアネットワーク２とサブネットワーク３との接続点には、ファイアウォール（ＦＷ）５−ｘ（＃ｘ）が提供されてよい。「ｘ」は、例示的に、２以上の整数である。図１の例では、ｘ＝１〜４のいずれかであり、コアネットワーク２と４つのサブネットワーク３−１〜３−４との接続点に、それぞれ、ＦＷ５−１〜５−４（＃１〜＃４）が提供されているＦＷ５−ｘを区別しなくてよい場合は「ＦＷ５」と略記することがある。
【００２１】
ただし、ＦＷ５は、サブネットワーク３内に提供されてもよいし、コアネットワーク２内に提供されてもよい。また、ＦＷ機能５は、１つのサブネットワーク３に対して２以上提供されてもよいし、２以上のサブネットワーク３に対して１つ提供されてもよい。
【００２２】
ＦＷ５は、例示的に、コアネットワーク２とサブネットワーク３とを接続するＮＥに備えられてよい。コアネットワーク２とサブネットワーク３とを接続するＮＥは、ゲートウェイ（ＧＷ）やルータ、ブリッジ、スイッチでもよいし、通信機能を具備したコンピュータであってもよい。
【００２３】
以下、ＦＷ５を備えた通信機器を、便宜的に、「ＦＷ機器５」あるいは「ＦＷ装置５」と称することがある。
【００２４】
ＦＷ５は、例示的に、ＦＷＣ７に通信可能に接続されてＦＷＣ７によって集中的に管理、制御されてよい。ＦＷ５とＦＷＣ７とを備えた通信システム１は、便宜的に、「ＦＷシステム１」と称してもよい。
【００２５】
ＦＷＣ７は、ＦＷ５の管理、制御に専用の装置として実現されてもよいし、汎用サーバ等のコンピュータにおいて、当該コンピュータをＦＷＣ７として機能させるソフトウェアが実行されることによって実現されてもよい。
【００２６】
なお、ＦＷ５は、ＮＥに固定的に組み込まれていてもよいし、例示的に、仮想マシン（ＶＭ）として生成及び削除可能に提供されてもよい。例えば、ＦＷＣ７において、複数のＦＷ５の一部又は全部がＶＭとして生成されてもよい。
【００２７】
ＦＷ５に限らず、ＦＷＣ７も、ＶＭとして生成及び削除可能に提供されてよい。例えば、汎用サーバ等のコンピュータにおいて、ＦＷＣ７のＶＭと、ＦＷ５のＶＭと、が生成されてよい。この場合、ＦＷＣ７とＦＷ５とは、ＶＭどうしの通信によって互いに通信することが可能である。
【００２８】
別言すると、ＦＷＣ７及びＦＷ５の一部又は全部は、実機でもよいしＶＭでもよい。
【００２９】
ＦＷ５は、例示的に、コアネットワーク２とサブネットワーク３との間を通過させてよいトラフィックと遮断するトラフィックとを登録した情報あるいはデータを記憶する。「トラフィック」は、「データフロー」あるいは単に「フロー」と称してもよい。フローの通過及び遮断（「廃棄」と称してもよい。）を制御する情報あるいはデータは、便宜的に、「フローエントリ」あるいは単に「エントリ」と称してよい。
【００３０】
ＦＷ５は、エントリに基づいて、当該ＦＷ５を通過させてよいフローと、当該ＦＷ５で遮断するフローと、を識別して、通過させるフローのデータは通過させ、遮断するフローのデータは廃棄してよい。フローエントリの内容は、例示的に、サブネットワーク３におけるＦＷに関してのポリシー（「ＦＷポリシー」と称してよい。）に従って決定されてよい。
【００３１】
なお、通過又は遮断されるフローのデータは、例示的に、パケットデータでもよいしフレームデータであってもよい。パケットデータは、単に「パケット」と略称してよく、フレームデータは、単に「フレーム」と略称してよい。「フレーム」は、例示的に、イーサネットフレームであってよい。「イーサネット」は登録商標である。
【００３２】
各ＦＷ５におけるフローエントリの設定方法には、２つの方法が考えられる。
第１の方法は、ＦＷ５の管理者が、ＦＷＣ７に設定情報を入力することで、ＦＷＣ７から各ＦＷ５に対してフローエントリを設定する方法である。ＦＷ５の管理者は、ＦＷシステム１の管理者と同じでもよいし異なってもよい。なお、「管理者」は、「オペレータ」あるいは「ユーザ」と称されてもよい。
【００３３】
例えば、ＦＷ５の管理者は、ＦＷＣ７に対して、フローエントリ設定対象のＦＷ５と、設定するフローエントリの内容と、を指定してよい。ＦＷＣ７は、指定されたＦＷ５と通信してフローエントリの内容を当該ＦＷ５に設定、登録する。
【００３４】
ＦＷＣ７からＦＷ５に対するフローエントリの設定、登録（又は削除）には、例示的に、エントリ設定（又は削除）要求メッセージが用いられてよい。エントリ設定（又は削除）要求メッセージは、ＦＷ５宛に送信される制御メッセージの一例である。「制御メッセージ」は、「制御信号」の一例である。
【００３５】
図２に、エントリ設定（又は削除）要求メッセージのフォーマット例を示す。図２に例示するように、エントリ設定（又は削除）要求メッセージは、パケットヘッダ、ＴＣＰ（Transmission Control Protocol）ヘッダ、及び、ペイロードの各フィールドを有してよい。
【００３６】
ペイロードに、フローエントリの設定（又は削除）の対象であるＦＷ＃ｘの識別子（「ＦＷ識別子」と称してよい。）と、設定（又は削除）するフローエントリの内容と、が設定されてよい。便宜的に、「＃ｘ」がＦＷ識別子に相当すると捉えてもよい。
【００３７】
第２の方法は、ＦＷ５の管理者が、ＦＷ５にフローエントリの情報を入力して設定する方法である。第２の方法では、フローエントリの更新に応じて、ＦＷ５は、フローエントリにおいて更新された内容を、ＦＷＣ７宛に送信してよい。
【００３８】
第１及び第２の方法のいずれにおいても、ＦＷＣ７は、新規に設定するフローエントリの入力を受け付けると、既存のフローエントリとの競合チェックを実施してよい。なお、新規に設定するフローエントリは、「新規エントリ」と略称してよい。また、既存のフローエントリは、「既存エントリ」と略称してよい。
【００３９】
競合チェックは、例示的に、新規エントリと既存エントリとで、同一フローのパケットに対して異なる（別言すると、矛盾する）ルールが適用される結果になるフローエントリが存在するか否かをチェックすることである。
【００４０】
例えば、ＦＷＣ７は、記憶部７２（図１参照）を参照して、新規エントリの設定によって、同一フローのパケットに対して「転送」と「廃棄」との異なるルールが適用される結果になる既存エントリが存在するか否かを調査してよい。
【００４１】
記憶部７２には、ＦＷＣ７の管理対象である全てのＦＷ５のフローエントリの情報７２１（便宜的に、「全ＦＷエントリテーブル７２１」と称してよい。）が記憶されてよい（例えば図３参照）。そのため、記憶部７２は、便宜的に、「全ＦＷエントリ情報記憶部７２」と称してよい。
【００４２】
フローエントリは、ＦＷ５の管理者によって設定されるケースもあるし、後述するようにＦＷＣ７によって自律的に設定されるケースもある。両ケースを識別できるように、記憶部７２には、フローエントリの設定元が管理者であるかＦＷＣ７であるかを示す情報（「設定元情報」と称してよい。）が、フローエントリと併せて記憶されてよい。例えば図３に示すように、全ＦＷエントリテーブル７２１に設定元情報が登録されてよい。
【００４３】
新規エントリに競合する既存エントリの存在が確認された場合、ＦＷＣ７は、「設定元情報」に基づいて、競合する既存エントリの設定元を確認してよい。
【００４４】
競合する既存エントリの設定元がＦＷ５の管理者であれば、ＦＷＣ７は、例えば、ＦＷ５の管理者に対して設定エラーを通知して、新規エントリの入力情報は破棄してよい。
【００４５】
競合する既存エントリの設定元がＦＷＣ７であれば、ＦＷＣ７は、競合する既存エントリを削除して、新規エントリを全ＦＷエントリテーブル７２１に設定、登録してよい。
【００４６】
以下、第１及び第２の方法の具体例について説明する。
（第１の方法）
まず、図１の構成例において、ＦＷ＃２の管理者が新規のフローエントリをＦＷＣ７経由でＦＷ＃２に対して設定する手順について、図４を参照して説明する。
【００４７】
例えば、ＦＷ＃２に対して、当該ＦＷ＃２に接続されたサブネットワーク＃２宛の、ＴＣＰポート番号が「８０」のフローのパケットは通過し、当該フロー以外のパケットは廃棄する設定を行なうことを想定する。ただし、各ＦＷ＃１〜＃４には、初期設定として、全てのフローについてパケットを廃棄するフローエントリが設定されていると仮定する。
【００４８】
まず、ＦＷ＃２の管理者は、ＦＷ＃２の識別子と、宛先アドレス＝（サブネットワーク＃２のネットワークアドレス）でＴＣＰポート番号＝８０のフローの通過を許可するフローエントリの内容と、を、ＦＷＣ７に入力する（処理Ｐ１１）。なお、「通過を許可」することは「転送」と言い換えてもよい。「宛先アドレス」は、パケットの宛先を示す宛先情報の一例である。
【００４９】
ＦＷＣ７は、当該入力を受けて、記憶部７２の全ＦＷエントリテーブル７２１を参照して、ＦＷ＃２に既に設定されている既存エントリに、新規エントリの内容に競合するエントリが無いかをチェックしてよい（処理Ｐ１２）。
【００５０】
競合する既存エントリが存在した場合（処理Ｐ１２でＹＥＳ）、ＦＷＣ７は、例えば全ＦＷエントリテーブル７２１の「設定元情報」を参照して、当該既存エントリの設定元を確認してよい（処理Ｐ１３）。
【００５１】
確認の結果、競合する既存エントリの設定元が管理者であれば（処理Ｐ１３でＹＥＳ）、ＦＷＣ７は、ＦＷ＃２の管理者に設定エラーを通知して、ＦＷ＃２に対する新規エントリの設定を破棄してよい（処理Ｐ１４）。
【００５２】
一方、競合する既存エントリの設定元がＦＷＣ７であれば（処理Ｐ１３でＮＯ）、ＦＷＣ７は、競合する既存エントリを削除して、ＦＷ＃２に対する新規エントリの設定処理を実施してよい（処理Ｐ１５）。
【００５３】
競合する既存エントリが無かった場合（処理Ｐ１２でＮＯの場合）も、ＦＷＣ７は、ＦＷ＃２に対する新規エントリの設定処理を実施してよい（処理Ｐ１５）。
【００５４】
新規エントリの設定処理（Ｐ１５）では、ＦＷＣ７は、例えば、記憶部７２の全ＦＷエントリテーブル７２１に、ＦＷ＃２に対する新規エントリを記憶する。そして、ＦＷＣ７は、新規エントリの内容を、例えば図２に示したエントリ設定要求メッセージに含めて、ＦＷ＃２の管理者が指定したＦＷ＃２宛に送信する（処理Ｐ１６）。
【００５５】
ＦＷ＃２は、エントリ設定要求メッセージの受信（処理Ｐ１７）に応じて、当該メッセージに含まれるＦＷエントリの内容を記憶する（処理Ｐ１８）。例えば、ＦＷ＃２は、エントリテーブル５４（図２４にて後述）を内部の記憶部に記憶しており、当該エントリテーブル５４に、エントリ設定要求メッセージに含まれるフローエントリの内容を登録してよい。
【００５６】
上述した例では、宛先アドレス＝（サブネットワーク＃２のネットワークアドレス）でＴＣＰポート番号が「８０」のフローを転送するフローエントリが、ＦＷ＃２のエントリテーブル５４に設定、登録される。
【００５７】
ＦＷ＃３及び＃４に対しても、上記と同様にして、エントリ設定要求メッセージを用いてフローエントリを設定、登録することが可能である。
【００５８】
図３に、上述したようなフローエントリ設定完了後の全ＦＷエントリテーブル７２１の一例を示す。
【００５９】
図３の例では、ＦＷ＃ｘに対して、宛先アドレス＝（サブネットワーク＃ｘのネットワークアドレス）でＴＣＰポート番号＝８０のフローを転送するフローエントリ（エントリ番号＝２）が、全ＦＷエントリテーブル７２１に登録されている。
【００６０】
なお、図３の例において、エントリ番号＝１のフローエントリは、ＦＷ＃ｘにおいて、エントリ番号＝２以外のフローのパケットは遮断（deny）され廃棄されることを示している。ＦＷ＃ｘのエントリテーブル５４には、図３においてＦＷ識別子で識別されるフローエントリが登録されていると捉えてよい。
【００６１】
（第２の方法）
次に、図１に例示した構成例において、ＦＷ５の管理者が、ＦＷ５に対してフローエントリを直接設定する手順について、図５を参照して説明する。例示的に、ＦＷ＃２に対してフローエントリを設定することを想定する。
【００６２】
例えば、ＦＷ＃２の管理者は、ＦＷ＃２に対して、宛先アドレス＝（サブネットワーク＃２のネットワークアドレス）でＴＣＰポート番号が「８０」のフローを転送するフローエントリの情報を入力する（処理Ｐ２１）。
【００６３】
ＦＷ＃２は、当該入力を受けて、内部に記憶しているエントリテーブル５４を参照して、ＦＷＣ７での競合チェックと同様に、新規エントリに競合する既存エントリが無いかチェックしてよい（処理Ｐ２２）。
【００６４】
新規エントリに競合する既存エントリが存在すれば（処理Ｐ２２でＹＥＳ）、ＦＷ＃２は、「設定元情報」を基に、競合する既存エントリが管理者の入力したフローエントリであるかを確認してよい（処理Ｐ２３）。
【００６５】
確認の結果、競合する既存エントリが管理者の入力したフローエントリであれば（処理Ｐ２３でＹＥＳ）、ＦＷ＃２は、管理者に設定エラーを通知して、新規エントリの設定は破棄してよい（処理Ｐ２４）。
【００６６】
競合する既存エントリが管理者の入力したフローエントリでなければ（処理Ｐ２３でＮＯ）、ＦＷ＃２は、競合する既存エントリを削除して、エントリテーブル５４に、管理者の入力に応じた新規エントリを設定、登録してよい（処理Ｐ２５）。
【００６７】
競合する既存エントリが無かった場合（処理Ｐ２２でＮＯの場合）も、ＦＷ＃２は、ＦＷエントリテーブル５４に、管理者の入力に応じた新規エントリを設定、登録してよい（処理Ｐ２５）。
【００６８】
エントリテーブル５４の更新に応じて、ＦＷ＃２は、更新されたフローエントリの情報をＦＷＣ７宛に送信してよい（処理Ｐ２６）。ＦＷＣ７は、ＦＷ＃２から受信した、フローエントリの更新情報に応じて記憶部７２の全ＦＷエントリテーブル７２１を更新してよい（処理Ｐ２７）。
【００６９】
これにより、ＦＷ＃２が記憶するエントリテーブル５４の内容と、ＦＷＣ７が記憶する全ＦＷエントリテーブル７２１の内容と、の同期を図ることができる。
【００７０】
（送信側ＦＷに対するフローエントリの設定方法例）
次に、管理者が、或るフローを受信するＦＷ５（便宜的に「受信ＦＷ５」と表記する。）に対して設定されたフローエントリに基づいて、当該フローの送信側に相当するＦＷ５（便宜的に「送信元ＦＷ５」と表記する。）に設定する方法の一例について説明する。
【００７１】
例えば図６に示すように、ＦＷ＃４に対して、図４又は図５に例示した手順に従って、ＴＣＰポート番号＝「８０」のフローの転送を許可する新規エントリが設定されたと仮定する。また、当該新規エントリにおいて、送信元アドレス及び宛先アドレスは未指定であると仮定する。なお、「送信元アドレス」は、パケットの送信元を示す送信元情報の一例である。
【００７２】
この場合、送信元アドレスが未指定であるため、全てのサブネットワーク３から、新規エントリに該当するフローのパケットがＦＷ＃４宛に送信される可能性がある。そこで、ＦＷＣ７は、受信ＦＷ＃４に対する新規エントリの設定に応じて、受信ＦＷ＃４へパケットを送信し得る他のＦＷ（送信元ＦＷ）＃１〜＃３に対して、受信ＦＷ＃４に設定された新規エントリに基づいて、新規エントリを設定、登録してよい。
【００７３】
例えば、ＦＷＣ７は、送信元アドレスが、送信元ＦＷ＃ｘに対応するサブネットワーク＃ｘのネットワークアドレスＳｘであり、宛先アドレスが、受信ＦＷ＃４に対応するサブネットワークアドレスＳ４である新規エントリを送信元ＦＷ＃ｘに設定してよい。
【００７４】
図６の例では、ＦＷＣ７は、ＦＷ＃１に対しては、送信元アドレス＝Ｓ１、宛先アドレス=Ｓ４でＴＣＰポート番号＝８０のパケットの転送を許可する新規エントリを設定してよい。
【００７５】
同様に、ＦＷＣ７は、ＦＷ＃２に対しては、送信元アドレス＝Ｓ２、宛先アドレス=Ｓ４でＴＣＰポート番号＝８０のパケットの転送を許可する新規エントリを設定してよい。
【００７６】
また、ＦＷＣ７は、ＦＷ＃３に対しては、送信元アドレス＝Ｓ３、宛先アドレス=Ｓ４でＴＣＰポート番号＝８０のパケットの転送を許可する新規エントリを設定してよい。
【００７７】
なお、送信元ＦＷ＃ｘに対する新規エントリの設定、登録には、既述のエントリ設定要求メッセージ（図２参照）が用いられてよい。
【００７８】
以上のように、ＦＷＣ７は、ＦＷ＃４に対して特定のフローの転送を許可するエントリが設定されると、当該フローの送信元に相当するＦＷ＃１〜＃３に対して、当該フローの転送を許可する新規エントリを設定してよい。
【００７９】
これにより、受信ＦＷ＃４において転送を許可されたパケットだけが、送信元ＦＷ＃１〜＃３においても転送が許可されるように設定することができる。
【００８０】
なお、受信ＦＷ５に対して、特定のフローのパケットを廃棄する（別言すると、特定のフローの転送を拒否する）新規エントリが設定された場合も、ＦＷＣ７は、上記と同様にして送信元ＦＷ５に対して新規エントリの設定、登録を実施してよい。
【００８１】
また、受信ＦＷ５に設定された新規エントリにおいて、送信元アドレスが指定されていることがある。この場合、ＦＷＣ７は、指定された送信元アドレスを基に、新規エントリを設定する対象の送信元ＦＷ５を特定してよい。
【００８２】
例えば図７に示すように、ＦＷＣ７は、ＦＷ構成情報記憶部７４を備えてよい。
【００８３】
ＦＷ構成情報記憶部７４には、例示的に、コアネットワーク２に接続されたサブネットワーク３又はノードのアドレス情報と、当該アドレス情報に対するＦＷ５の識別子と、を含む情報が記憶されてよい。
【００８４】
図７の例では、サブネットワーク＃１のアドレス情報に対してＦＷ＃１の識別子が登録され、サブネットワーク＃２及び＃３のアドレス情報に対してＦＷ＃２の識別子が登録されている。また、ノードＢのアドレス情報ＩＰ＃Ｂ及びノードＣのアドレス情報ＩＰ＃Ｃに対してＦＷ＃３の識別子が登録されている。
【００８５】
このようなサブネットワーク３又はノードのアドレス情報とＦＷ識別子とを対応付けた情報７４１は、便宜的に、「ＦＷ構成情報」７４１あるいは「ＦＷ構成情報テーブル」７４１と称してよい。
【００８６】
なお、サブネットワーク３のアドレス情報は、当該サブネットワーク３に属するノードのアドレス情報に含まれてよい。別言すると、ノードのアドレス情報は、当該ノードが属するサブネットワーク３のアドレス情報を含んで表現されてよい。例えば、サブネットワーク＃２に属するノードＡのアドレス情報（ＩＰ＃Ａ）は、サブネットワーク＃２のアドレス情報を用いて表現されてよい。
【００８７】
ＦＷＣ７は、例示的に、新規エントリにおいて指定された送信元アドレスが含まれるエントリを、ＦＷ構成情報テーブル７４１においてサーチして、当該送信元アドレスに対応するＦＷ５を特定する。特定したＦＷ５が、新規エントリ設定対象の送信元ＦＷ５である。
【００８８】
例えば図７において、ノードＡのアドレス情報ＩＰ＃Ａが送信元アドレスに指定されたと仮定すると、ＦＷＣ７は、ＦＷ構成情報テーブル７４１において当該ＩＰ＃Ａが含まれるエントリをサーチする。
【００８９】
ノードＡのＩＰ＃Ａが含まれるサブネットワーク３は、サブネットワーク＃２であるため、ＦＷＣ７は、ＦＷ構成情報テーブル７４１において、サブネットワーク＃２に対応するＦＷ＃２が新規エントリ設定対象の送信元ＦＷ５であることを特定する。
【００９０】
ＦＷＣ７は、特定した送信元ＦＷ＃２に対して、図６にて説明したように、受信ＦＷ５に設定された新規エントリに応じた新規エントリの設定を行なう。
【００９１】
以上のように、受信ＦＷ５に対して、送信元アドレスを指定したフローエントリが設定されたとしても、ＦＷＣ７は、指定された送信元アドレスを基に適切な送信元ＦＷ５を特定して、特定した送信元ＦＷ５に対して適切な新規エントリを設定できる。
【００９２】
（ＦＷシステム１の動作例）
次に、上述したように各ＦＷ＃ｘに対してフローエントリが設定されたＦＷシステム１の動作例について、図８〜図１１を参照して説明する。以下に説明する動作例によって、コアネットワーク２を流れる不要なトラフィックを削減することができる。
【００９３】
図８に例示するように、サブネットワーク＃１に属するノード＃１から、ＦＷ＃１を経由して、サブネットワーク＃４に属するノード＃４宛にフローＡが流れており、当該フローＡがＦＷ＃４で廃棄されている状況を想定する。
【００９４】
また、サブネットワーク＃２に属するノード＃２から、ＦＷ＃２を経由して、サブネットワーク＃４に属するノード＃４宛にフローＢが流れており、当該フローＢもＦＷ＃４で廃棄されている状況を想定する。
【００９５】
このような状況において、ＦＷ＃４は、或る設定時間（「単位時間」あるいは「測定時間」と称してもよい。）においてフローＡ及びＢのそれぞれについてフローエントリに従って廃棄したパケットの情報（「廃棄パケット情報」と略称してよい。）を収集する。
【００９６】
廃棄パケット情報には、例示的に、廃棄されたパケットのヘッダ情報が含まれてよい。ヘッダ情報には、送信元アドレス、サービス識別子、及び、宛先アドレスが含まれてよい。送信元アドレス、サービス識別子、及び、宛先アドレスは、パケットヘッダに設定され得るパラメータの一例である。
【００９７】
サービス識別子は、通信のサービス種別を識別することが可能なパラメータの一例である。サービス識別子は、例示的に、パケットのプロトコル種別とポート番号との組み合わせで表されてよい。ただし、サービス識別子は、他のパラメータに置き換えられてもよい。
【００９８】
送信元アドレス及び宛先アドレスは、例示的に、ＩＰアドレスであってよいが、他の通信プロトコルのアドレスであってもよい。
【００９９】
廃棄パケット情報は、例示的に、送信元アドレス、宛先アドレス、及び、サービス識別子（例示的に、プロトコル種別及びポート番号）が同一のパケット毎に集計されてよい。図９に、廃棄パケット情報の集計結果の一例を示す。
【０１００】
図９の例では、送信元アドレス＝ＩＰ＃１（フローＡ）、プロトコル種別＝ＴＣＰ、ポート番号＝５６、宛先アドレス＝ＩＰ＃４のパケットが測定時間に１１６８パケットだけ廃棄されたことを示す。
【０１０１】
また、送信元アドレス＝ＩＰ＃２（フローＢ）、プロトコル種別＝ＵＤＰ（User Datagram Protocol）、ポート番号＝３２、宛先アドレス＝ＩＰ＃４のパケットが測定時間に４８９パケットだけ廃棄されたことを示す。
【０１０２】
ここで、廃棄パケット数の閾値が仮に「１０００」であったとすると、図９の例において、フローＡの廃棄パケット数が閾値を超えている。なお、廃棄パケット数の閾値は、例示的に、ＦＷシステム１の管理者によって適宜に設定あるいは変更されてよい。廃棄パケット数は、ＦＷ５において廃棄されたデータ量の指標の一例である。
【０１０３】
ＦＷＣ７は、廃棄パケット数が閾値を超えているフローＡのパケットを廃棄するフローエントリ（便宜的に「廃棄エントリ」又は「ＦＷエントリ」と称してよい。）を、フローＡの送信元ＦＷ＃１に対して設定してよい。
【０１０４】
例えば、ＦＷＣ７は、フローＡの送信元アドレス＝「ＩＰ＃１」を含むサブネットワーク＃１に対応するＦＷ＃１を特定する。そして、ＦＷＣ７は、当該ＦＷ＃１に対して、送信元アドレス＝ＩＰ＃１、宛先アドレス＝ＩＰ＃４、プロトコル種別＝ＴＣＰ、ポート番号＝５６のパケットを廃棄する廃棄エントリを追加設定する。ＦＷ＃１に対する廃棄エントリの追加設定にも、既述のエントリ設定要求メッセージ（図２参照）が用いられてよい。
【０１０５】
なお、廃棄パケット情報の集計は、ＦＷＣ７で実施してもよいし、個々のＦＷ＃ｘで実施してもよい。また、集計結果の解析処理についても、ＦＷＣ７で実施してもよいし、個々のＦＷ＃ｘで実施してもよい。
【０１０６】
解析処理には、例示的に、廃棄パケット情報の閾値判定処理や、当該閾値判定処理の結果に基づく廃棄エントリ情報の生成処理が含まれてよい。閾値判定処理及び廃棄エントリ情報の生成処理の一方又は双方が、ＦＷＣ７及びＦＷ＃ｘのいずれかで実施されてもよい。
【０１０７】
廃棄パケット情報の集計をＦＷＣ７で実施する場合は、ＦＷＣ７が、各ＦＷ＃ｘで収集された廃棄パケット情報を各ＦＷ＃ｘから受信、収集する。例えば、各ＦＷ＃ｘは、収集した廃棄パケット情報を定期又は不定期にＦＷＣ７宛に送信してよい。廃棄パケット情報の送信に応じて、ＦＷ＃ｘは、収集した廃棄パケット情報を削除してよい。
【０１０８】
一方、廃棄パケット情報の集計をＦＷ＃ｘで実施する場合は、集計結果、あるいは、当該集計結果の解析処理結果を、ＦＷ＃ｘがＦＷＣ７宛に送信してよい。集計結果あるいは解析処理結果の送信に応じて、ＦＷ＃ｘは、集計結果あるいは解析処理に用いた情報を削除してよい。
【０１０９】
以下、廃棄パケット情報の集計及び解析処理をＦＷＣ７で実施する例について、図１０を参照して説明し、廃棄パケット情報の集計及び解析処理を個々のＦＷ＃ｘで実施する例について、図１１を参照して説明する。
【０１１０】
（ＦＷＣでの集計、解析処理例）
図１０に例示するように、ＦＷＣ７は、各ＦＷ５から送信される廃棄パケット情報を受信、収集して（処理Ｐ３１）、記憶部７３（図１及び図８参照）に記憶する。当該記憶部７３は、廃棄パケット情報を記憶するから、便宜的に、「廃棄パケット情報記憶部７３」と称してよい。
【０１１１】
ＦＷＣ７は、破棄パケット情報記憶部７３に記憶した廃棄パケット情報を、図９に例示したように、送信元アドレス、宛先アドレス、プロトコル種別、及び、ポート番号が同一の廃棄パケット毎に集計してよい（処理Ｐ３２）。
【０１１２】
そして、ＦＷＣ７は、集計結果において閾値（図９の例では、１０００パケット）を超える廃棄パケット数のフローが存在するか否かをチェックする（処理Ｐ３３）。当該チェックを容易化するために、ＦＷＣ７は、集計結果を例えば廃棄パケット数の多い順でソートしてもよい。
【０１１３】
チェックの結果、閾値を超える廃棄パケット数のフローが存在しなければ（処理Ｐ３３でＮＯ）、ＦＷＣ７は、処理Ｐ３１へ処理を移行してよい。
【０１１４】
閾値を超える廃棄パケット数のフローが存在すれば（処理Ｐ３３でＹＥＳ）、ＦＷＣ７は、当該フローのパケットを廃棄する廃棄エントリを求めて全ＦＷエントリテーブル７２１に登録する（処理Ｐ３４）。
【０１１５】
また、ＦＷＣ７は、廃棄パケット数が閾値を超えたフローの送信元サブネットワーク３に対応するＦＷ＃ｘに対して、求めた廃棄エントリを設定する（処理Ｐ３５）。
【０１１６】
例えば、既述のように、ＦＷＣ７は、廃棄エントリの情報をエントリ設定要求メッセージに設定して対象ＦＷ＃ｘ宛に送信してよい。
【０１１７】
図８及び図９の例では、ＦＷ＃４において、送信元アドレス＝「ＩＰ＃１」からのフローＡの廃棄パケット数が閾値（１０００パケット）を超えている。
【０１１８】
そのため、ＦＷＣ７は、送信元アドレス＝「ＩＰ＃１」が含まれる送信元サブネットワーク＃１に対応するＦＷ＃１を廃棄エントリ設定対象として特定する。送信元ＦＷ＃１の特定は、例えば図７にて説明したようにＦＷ構成情報７４１に基づいて行なわれてよい。
【０１１９】
そして、ＦＷＣ７は、特定した送信元ＦＷ＃１宛に、フローＡの受信ＦＷ＃４から受信した廃棄エントリの情報を含むエントリ設定要求メッセージを送信する。
【０１２０】
当該エントリ設定要求メッセージが送信元ＦＷ＃１で受信されて、ＦＷ＃１のエントリテーブル５４に廃棄エントリが登録されると、以降、フローＡのパケットがＦＷ＃１で廃棄されるようになる。
【０１２１】
（ＦＷでの集計、解析処理例）
一方、廃棄パケット情報の集計及び解析処理を個々のＦＷ＃ｘで実施する場合は、図１１に例示するように、ＦＷ＃ｘのそれぞれは、測定時間における廃棄パケット情報を収集する（処理Ｐ４１）。
【０１２２】
そして、ＦＷ＃ｘは、図９に例示したように、廃棄パケットの送信元アドレス、宛先アドレス、プロトコル種別、及び、ポート番号の組み合わせ毎に集計する（処理Ｐ４２）。
【０１２３】
ＦＷ＃ｘは、集計結果において、廃棄パケット数が閾値を超えるフローが存在するか否かをチェックし（処理Ｐ４３）、存在しなければ（処理Ｐ４３でＮＯ）、処理Ｐ４１へ処理を移行してよい。
【０１２４】
廃棄パケット数が閾値を超えるフローが存在すれば（処理Ｐ４３でＹＥＳ）、ＦＷ＃ｘは、当該フローのパケットを廃棄する廃棄エントリを求め、当該廃棄エントリの設定をＦＷＣ７に要求してよい（処理Ｐ４４）。当該廃棄エントリの設定要求には、既述のエントリ設定要求メッセージが用いられてよい。
【０１２５】
図８及び図９の例では、ＦＷ＃４において、送信元アドレス＝「ＩＰ＃１」からのフローＡの廃棄パケット数が閾値（１０００パケット）を超えている。
【０１２６】
そのため、ＦＷ＃４は、フローＡの送信元アドレス、宛先アドレス、プロトコル種別、及び、ポート番号を、エントリ設定要求メッセージに含めてＦＷＣ７宛に送信してよい（処理Ｐ４４）。
【０１２７】
なお、ＦＷ＃４は、エントリ設定要求メッセージの送信に応じて、廃棄パケット情報及び集計結果は削除してよい。したがって、ＦＷ＃ｘにおいて廃棄パケット情報及び集計結果を記憶するために用意する容量を低減できる。
【０１２８】
ＦＷＣ７は、ＦＷ＃４からエントリ設定要求メッセージを受信すると、当該メッセージに含まれている、廃棄パケットの送信元アドレスを基に、廃棄エントリ設定対象の送信元ＦＷ＃１を特定する。送信元ＦＷ＃１の特定は、例えば図７にて説明したようにＦＷ構成情報７４１に基づいて行なわれてよい。
【０１２９】
そして、ＦＷＣ７は、特定した送信元ＦＷ＃１宛に、フローＡの受信ＦＷ＃４から受信した廃棄エントリの情報を含むエントリ設定要求メッセージを送信する。
【０１３０】
当該エントリ設定要求メッセージが送信元ＦＷ＃１で受信されて、ＦＷ＃１のエントリテーブル５４に廃棄エントリが登録されると、以降、フローＡのパケットがＦＷ＃１で廃棄されるようになる。
【０１３１】
以上のようにして、ＦＷ＃４で廃棄数が閾値を超えるフローＡのパケットを、当該フローＡの送信元サブネットワーク＃１に対応するＦＷ＃１にて廃棄することができるので、コアネットワーク２に不要なパケットが流れることを抑止できる。
【０１３２】
また、閾値設定によって、コアネットワーク２におけるトラフィック削減効果のより高いフローを確実に検出できるから、送信元ＦＷ５に設定する廃棄エントリ数を抑制しながら大きなトラフィック削減効果を得ることができる。
【０１３３】
なお、廃棄パケット情報の集計のキーに用いる送信元アドレス及び宛先アドレスの一方又は双方は、通信機器のアドレスでもよいし当該通信機器が属するサブネットワーク３のネットワークアドレスでもよい。「通信機器」は、「通信ノード」あるいは単に「ノード」と称してもよい。
【０１３４】
ＦＷＣ７は、廃棄パケット情報の集計結果において、廃棄パケット数が閾値を超えたフローの全ての要素パケットに対して、宛先アドレスがサブネットアドレスに含まれているか否かを判定してよい。
【０１３５】
そして、ＦＷＣ７は、集計結果において、サブネットアドレスに含まれている宛先アドレスについての廃棄パケット数の割合が閾値を超えた場合、当該サブネットアドレスを「宛先アドレス」とするフローのパケットを廃棄する廃棄エントリを求めてよい。当該廃棄エントリにおいて、「宛先アドレス」以外のパラメータ、例えば、送信元アドレス、プロトコル種別、及び、ポート番号は、廃棄パケット情報の集計に用いたパラメータであってよい。
【０１３６】
（第１変形例）
次に、図１２〜図１５を参照して第１変形例について説明する。
図１２及び図１３に例示するように、或る時点において、サブネットワーク＃１に属するノード＃１から、サブネットワーク＃２〜＃４にそれぞれに属するノード＃２〜＃４宛に、それぞれ、フローＡ〜Ｃが流れていることを想定する。また、これらのフローＡ〜Ｃのパケットは、それぞれ、ＦＷ＃２〜＃４のエントリテーブル５４に設定されているフローエントリに従ってＦＷ＃２〜ＦＷ＃４で廃棄されると仮定する。
【０１３７】
ＦＷ＃２〜＃４では、それぞれ、上述した実施形態と同様にして、或る測定時間においてフローＡ〜Ｃについて、フローエントリに従って廃棄したパケットの情報（廃棄パケット情報）を収集する。
【０１３８】
ＦＷ＃１〜＃４は、それぞれ、収集した廃棄パケット情報をＦＷＣ７宛に送信する（図１３の処理Ｐ６１）。ＦＷＣ７は、各ＦＷ＃２〜＃４から受信した廃棄パケット情報を基に、送信元アドレス、プロトコル種別、及び、ポート番号毎に廃棄パケット数を集計する（図１３の処理Ｐ６２）。
【０１３９】
集計結果の一例を図１４に示す。図１４の例では、宛先アドレスは、異なるフローＡ〜Ｃの「ＩＰ＃２」、「ＩＰ＃３」及び「ＩＰ＃４」であるが、送信元アドレスが「ＩＰ＃１」で同じあるため、３つのフローＡ〜Ｃの廃棄パケット数が合計されている。
【０１４０】
非限定的な一例として、ＦＷ＃２でのフローＡの廃棄パケット数は「３５６」であり、ＦＷ＃３でのフローＢの廃棄パケット数は「４２３」であり、ＦＷ＃４でのフローＣの廃棄パケット数は「３８９」であったと仮定する。この場合、３つのフローの廃棄パケット数の合計は、「１１６８」となる。
【０１４１】
既述の実施形態では、例えば図１０の処理Ｐ３２において、送信元アドレス、プロトコル種別、ポート番号、及び、宛先アドレスが同一のパケット毎に廃棄パケット情報が集計された。
【０１４２】
これに対し、第１変形例において、ＦＷＣ７は、例えば図１０の処理Ｐ３２において、送信元アドレス、プロトコル種別、ポート番号、及び、宛先アドレスのうち、「宛先アドレス」をワイルドカード（＊）に設定して廃棄パケット情報を集計してよい。
【０１４３】
「宛先アドレス」をワイルドカードに設定することは、「宛先アドレス」を集計のキーには指定しないこと、と捉えてもよい。これにより、「宛先アドレス」の異同に関わらず、送信元アドレス、プロトコル種別、及び、ポート番号の各パラメータが同一であれば、当該パラメータを有するパケットの廃棄数が合計されることになる。
【０１４４】
ここで、廃棄パケット数の閾値が、既述の実施形態と同様に、「１０００」パケットに設定されていると仮定する。この場合、図１４の例では、送信元アドレス＝ＩＰ＃１、プロトコル種別＝ＵＤＰ、及び、ポート番号＝３５の廃棄パケット数が「１１６８」パケットであり「１０００」パケットを超えている。
【０１４５】
同じ送信元アドレスのフローＡ〜Ｃについて、個々のＦＷ＃２〜ＦＷ＃４で廃棄されたパケット数は、「３５６」（ＦＷ＃２）、「４２３」（ＦＷ＃３）、及び、「３８９」（ＦＷ＃４）であり、いずれも、閾値の「１０００」パケットを超えていない。
【０１４６】
そのため、図９に例示した集計方法では、フローＡ〜Ｃのいずれも廃棄エントリの設定候補にならない。これに対し、図１４に例示した集計方法によれば、同じ送信元アドレスの異なるフローの廃棄パケット数を合計するため、ＦＷＣ７は、同じ送信元アドレスから複数の宛先アドレスへ同じデータをばらまくような「分散目標型」のフローを検出できる（図１３の処理Ｐ６２）。
【０１４７】
「分散目標型」のフローでは、個々のＦＷ＃２，ＦＷ＃３及びＦＷ＃４で廃棄されるパケット数は少なかったとしても、コアネットワーク２全体としては、各ＦＷ＃２〜＃４で廃棄されるパケット数の合計が流れる。
【０１４８】
第１変形例によれば、そのような「分散目標型」のフローを確実に検出できる。ＦＷＣ７は、検出した「分散目標型」のフローのパケットを廃棄する廃棄エントリを生成する（図１３の処理Ｐ６３）。図１４の例であれば、ＦＷＣ７は、送信元アドレス＝ＩＰ＃１、プロトコル種別＝ＵＤＰ、ポート番号＝３５のパケットを廃棄する廃棄エントリを生成する。当該廃棄エントリは、例示的に、図１５に示すエントリ番号＝２のフローエントリに相当する。
【０１４９】
また、ＦＷＣ７は、例えば、検出した「分散目標型」のフローのパケットの送信元アドレス＝ＩＰ＃１を基に、送信元サブネットワーク＃１を特定し、特定したサブネットワーク＃１に対応する送信元ＦＷ＃１を特定する（図１３の処理Ｐ６４）。
【０１５０】
そして、ＦＷＣ７は、特定した送信元ＦＷ＃１に対して、生成した廃棄エントリを設定する（図１３の処理Ｐ６５）。廃棄エントリの設定には、既述のエントリ設定要求メッセージを用いてよい。
【０１５１】
ＦＷ＃１は、ＦＷＣ７から受信したエントリ設定要求メッセージに含まれる廃棄エントリをエントリテーブル５４に設定、登録する（図１３の処理Ｐ６６）。
【０１５２】
これにより、図１２中に点線で例示するように、コアネットワーク２に「分散目標型」のフローのパケットが流れることを抑止できる。したがって、不要なパケットの伝送にコアネットワーク２の伝送帯域が浪費されることを抑止できる。
【０１５３】
なお、ＦＷＣ７は、ＦＷ＃１宛のエントリ設定要求メッセージの送信前に、全ＦＷエントリテーブル７２１を参照して、ＦＷ＃１に設定する廃棄エントリに競合する既存エントリが存在するか否かをチェックしてよい。
【０１５４】
例えば、図１２の例において、サブネットワーク＃５に接続されたＦＷ＃５に対して、プロトコル種別＝ＵＤＰ及びポート番号＝３５のパケットの転送を許可するフローエントリが設定済みであると仮定する。
【０１５５】
この場合、ノード＃１からサブネットワーク＃５へ、プロトコル種別＝ＵＤＰ及びポート番号＝３５のパケットの転送は許可してよいので、ＦＷＣ７は、ＦＷ＃１に対して、当該パケットの転送は許可するフローエントリを追加設定してよい。
【０１５６】
ＦＷ＃１に設定するフローエントリの一例を図１５に示す。図１５は、全ＦＷエントリテーブル７２１に登録されたフローエントリのうち、ＦＷ＃１に設定されるフローエントリに着目した情報の一例を示す。
【０１５７】
フローエントリは、例示的に、エントリ番号の小さい上位エントリから順番に参照される。そのため、図１５に例示するように、既述のエントリ番号＝２の廃棄エントリよりも上位（例えば、エントリ番号＝１）に、プロトコル種別＝ＵＤＰ、及び、ポート番号＝３５のパケットの転送を許可するフローエントリが追加設定される。
【０１５８】
図１５に例示するエントリ番号＝１及び２のフローエントリがＦＷ＃１に設定されることで、送信元アドレス＝ＩＰ＃１で宛先アドレスがサブネットワーク＃５のアドレスのパケットは、エントリ番号＝１のフローエントリによってＦＷ＃１の通過が許可される。
【０１５９】
送信元アドレスが同じ「ＩＰ＃１」であっても他の宛先アドレスのパケットは、エントリ番号＝２のフローエントリによってＦＷ＃１で廃棄される。これにより、宛先アドレスがサブネットワーク＃５のアドレスとは異なる宛先アドレスへの「分散目標型」のフローＡ〜ＣはＦＷ＃１において遮断される。
【０１６０】
このように、ＦＷＣ７は、ＦＷ＃ｘに対して新たに設定しようとする廃棄エントリに競合する既存エントリの検出に応じて、廃棄エントリを修正してＦＷ＃ｘに設定するので、通過を許可してよいフローが誤って遮断されてしまうことを回避できる。
【０１６１】
（第２変形例）
ＦＷ＃ｘに設定可能なフローエントリ数には上限がある。そのため、不要なトラフィックを廃棄するエントリをむやみに追加しない方がよい。第２変形例では、送信元ＦＷ＃ｘに対して設定するフローエントリ数を、既述の実施形態及び第１変形例よりも削減する例について説明する。
【０１６２】
例えば図１６に示すように、サブネットワーク＃１に属するノード＃１から、サブネットワーク＃２〜＃４に属するノード＃２〜＃４宛に、ＵＤＰのポート番号＝３５のフローＡ〜Ｃがコアネットワーク２に流れていることを想定する。
【０１６３】
また、ノード＃２宛のフローＡのパケットはＦＷ＃２で廃棄され、ノード＃３宛のフローＢのパケットはＦＷ＃３で廃棄され、ノード＃４宛のフローＣのパケットは、ＦＷ＃４の通過が許可されていると仮定する。
【０１６４】
ＦＷＣ７は、各ＦＷ＃１〜＃４の廃棄パケット情報を収集してよい（図１８の処理Ｐ５１）。そして、ＦＷＣ７は、例示的に、送信元アドレスと、宛先アドレス、プロトコル種別、及び、ポート番号のうちの任意のパラメータの組み合わせと、が同一のパケット毎に、収集した廃棄パケット情報を集計してよい（図１８の処理Ｐ５２）。
【０１６５】
なお、集計に用いるパケットヘッダのパラメータは、ＦＷシステム１の管理者によって設定、変更されてよい。また、集計のキーに用いる送信元アドレス及び宛先アドレスの一方又は双方は、ノードのアドレスでもよいし当該ノードが属するサブネットワーク３のアドレス（例えば図１７のサブネットアドレス＝Ｓ４）でもよい。
【０１６６】
処理Ｐ５２による集計結果の一例を図２０に示す。図２０の例では、フローＡ及びＢにおける、送信元アドレス＝ＩＰ＃１、プロトコル種別＝ＵＤＰ、及び、ポート番号＝３５の廃棄パケット数が合計されている。また、廃棄パケット数の閾値は、「１０００」パケットに設定されている。
【０１６７】
ＦＷＣ７は、集計結果において、廃棄パケット数の合計が閾値を超えるフローが存在するか否かをチェックする（図１８の処理Ｐ５３）。閾値を超えるフローが無ければ（処理Ｐ５３でＮＯ）、ＦＷＣ７は、処理Ｐ５１に処理を移行してよい。
【０１６８】
閾値を超えるフローが存在すれば（処理Ｐ５３でＹＥＳ）、ＦＷＣ７は、エントリ候補リストＡを生成してよい（図１８の処理Ｐ５４）。図２０の例では、フローＡ及びＢの廃棄パケット数の合計が、「１１６８」パケットであり、閾値の「１０００」パケットを超えているので、ＦＷＣ７は、エントリ候補リストＡを生成してよい。
【０１６９】
例えば、ＦＷＣ７は、全ＦＷエントリテーブル７２１を参照して、フローＡ（フローＢでも同じ。）と同じ送信元アドレス、プロトコル種別、及び、ポート番号のパケットを廃棄するエントリ＃１を、エントリ候補リストＡに登録してよい（図１８の処理Ｐ５４）。
【０１７０】
別言すると、ＦＷＣ７は、宛先アドレスをワイルドカード（＊）に設定して、送信元アドレス＝ＩＰ＃１、プロトコル種別＝ＵＤＰ、ポート番号＝３５のパケットを廃棄するエントリ＃１をテーブル７２１において検索し、エントリ候補リストＡに追加してよい。
【０１７１】
図１６の例であれば、ＦＷ＃２においてフローＡを廃棄するエントリと、ＦＷ＃３においてフローＢを廃棄するエントリと、の２つのエントリが、宛先アドレスをワイルドカードにすると、１つの廃棄エントリ＃１に集約されてエントリ候補リストＡに登録される。例えば図２０の集計結果において、宛先アドレスをワイルドカードにすると、異なる宛先アドレス（ＩＰ＃２及びＩＰ＃３）毎の２つの廃棄エントリ＃１は、１つのエントリに集約される。
【０１７２】
また、ＦＷＣ７は、全ＦＷエントリテーブル７２１において、廃棄エントリ＃１と競合するエントリ、例えば、廃棄エントリ＃１の全部又は一部に該当するパケットの転送を許可するエントリを検索してよい。当該検索において競合するエントリがヒットすれば、ＦＷＣ７は、例示的に、競合を解消あるいは回避するフローエントリを生成するために、当該エントリをエントリ候補リストＡに登録してよい（図１８の処理Ｐ５４）。
【０１７３】
図１６の例では、ＦＷ＃４に設定されている、宛先アドレス＝ＩＰ＃４、送信元アドレス＝＊、プロトコル種別＝ＵＤＰ、及び、ポート番号＝３５のパケットの転送を許可するエントリが、廃棄エントリ＃１に競合するエントリに相当する。
【０１７４】
したがって、図１６の例において、エントリ候補リストＡには、例えば図２１（Ａ）に示すように、１つの廃棄エントリ＃１と、廃棄エントリ＃１に競合する１つのエントリと、の合計２つのエントリが登録される。
【０１７５】
また、ＦＷＣ７は、フローＡにおいてパケットヘッダのパラメータの値が異なるパケット毎に、当該パケットを廃棄するエントリ＃２を、エントリ候補リストＢに登録してよい（図１８の処理Ｐ５５）。
【０１７６】
例えば、送信元アドレス、宛先アドレス、プロトコル種別、及び、ポート番号が異なるパケット毎に、当該パケットを廃棄するエントリ＃２が、エントリ候補リストＢに登録されてよい。
【０１７７】
別言すると、図１８の処理Ｐ５５において、ＦＷＣ７は、宛先アドレスをワイルドカードには設定しない。宛先アドレスをワイルドカードに設定しないと、異なる宛先アドレス毎に、廃棄エントリ＃２が得られることになる。
【０１７８】
例えば図２０の集計結果であれば、２つの宛先アドレス（ＩＰ＃２及びＩＰ＃３）毎に、同じ送信元アドレス＝ＩＰ＃１、プロトコル種別＝ＵＤＰ、及び、ポート番号＝３５のパケットを廃棄する２つの廃棄エントリ＃２が得られる。
【０１７９】
更に、ＦＷＣ７は、全ＦＷエントリテーブル７２１において、廃棄エントリ＃２と競合するエントリ、例えば、廃棄エントリ＃２の全部又は一部に該当するパケットの転送を許可するエントリを検索する。当該検索において競合するエントリがヒットすれば、ＦＷＣ７は、例示的に、競合を解消あるいは回避するエントリリストを生成するために、当該エントリをエントリ候補リストＢに追加する（図１８の処理Ｐ５５）。
【０１８０】
図１６の例であれば、例えば図２１（Ｂ）に示すように、フローＡ及びＢを廃棄する２つの廃棄エントリ＃２と、ＦＷ＃４に設定されている、廃棄エントリ＃２に競合する１つのエントリと、の３つのエントリが、エントリ候補リストＢに登録される。
【０１８１】
ＦＷＣ７は、エントリ候補リストＡのエントリ数と、エントリ候補リストＢのエントリ数と、を比較して大小判定を行なう（図１８の処理Ｐ５６）。
【０１８２】
エントリ候補リストＡのエントリ数が、エントリ候補リストＢのエントリ数よりも少なければ（図１８の処理Ｐ５６でＹＥＳ）、ＦＷＣ７は、エントリ候補リストＡを基に、エントリリストＡを生成してよい（図１８の処理Ｐ５７）。エントリリストＡは、例示的に、フローＡ（及びＢ）の送信元サブネットワーク＃１に対応するＦＷ＃１に設定するフローエントリのリストである。
【０１８３】
図１６の例であれば、図２１（Ａ）及び図２１（Ｂ）に例示したように、エントリ候補リストＡのエントリ数は「２」であるのに対し、エントリ候補リストＢのエントリ数は「３」であるから、処理Ｐ５６においてＹＥＳと判定される。
【０１８４】
エントリ候補リストＡを基にエントリリストＡを生成する処理の一例を図１９に示す。図１９に例示するように、ＦＷＣ７は、フローＡ（及びＢ）（送信元アドレス＝ＩＰ＃１、宛先アドレス＝＊、プロトコル種別＝ＵＤＰ、ポート番号＝３５）を廃棄するエントリ＃１を、エントリリストＡに登録する（処理Ｐ５７１）。
【０１８５】
そして、ＦＷＣ７は、エントリ＃１と競合するエントリの送信元アドレスをエントリ＃１で指定されている送信元アドレスに変更したエントリを、エントリリストＡにおいてエントリ＃１よりも上位に追加、登録する（処理Ｐ５７２）。
【０１８６】
図１６の例であれば、例えば図２１（Ｃ）に示すように、競合エントリの送信元アドレス＝＊を廃棄エントリ＃１の送信元アドレス＝ＩＰ＃１に変更した、フローＣのパケット転送を許可するエントリが、エントリリストＡの上位に登録される。
【０１８７】
そして、ＦＷＣ７は、エントリリストＡを、フローＡ（及びＢ）の送信元サブネットワーク＃１に対応する送信元ＦＷ＃１に、設定する（図１８の処理Ｐ５８）。エントリリストＡの設定にも、既述のエントリ設定要求メッセージ（図２参照）が用いられてよい。
【０１８８】
これにより、ＦＷ＃１において、図２１（Ｃ）に例示したエントリリストＡが、エントリテーブル５４に設定、登録される。その結果、図１６の例において、フローＡ〜Ｃのうち、フローＡ及びＢのパケットはＦＷ＃１で廃棄され、フローＣのパケットはＦＷ＃１及び＃４を通過して、サブネットワーク＃４に属するノード＃４へ転送される。
【０１８９】
なお、図１８の処理Ｐ５６において、エントリ候補リストＡのエントリ数が、エントリ候補リストＢのエントリ数以上（ＮＯ）であれば、ＦＷＣ７は、エントリ候補リストＢを、フローＡ（及びＢ）の送信元ＦＷ＃１に設定してよい（図１８の処理Ｐ５９）。
【０１９０】
以上のように、第２変形例によれば、既述の実施形態及び第１変形例と同様の作用効果を得ることができるほか、廃棄エントリを集約してエントリ数のより少ないエントリリストを送信元ＦＷ＃ｘに設定することができる。
【０１９１】
したがって、ＦＷ＃ｘに設定するフローエントリ数を抑制して、エントリテーブル５４の記憶のためにＦＷ＃ｘに用意する記憶容量を低減できる。
【０１９２】
（第３変形例）
次に、ＦＷ５の処理負荷に応じてＦＷ５の数を変更する「オートスケール」について説明する。なお、第３変形例において、ＦＷ５は、例示的に、ＶＭであってよい。
【０１９３】
ＦＷ５は、処理負荷の上昇を検出すると、例示的に、ＦＷＣ７宛に、処理負荷の上昇を示すアラームメッセージ等の制御メッセージを送信してよい。
【０１９４】
ＦＷ５の処理負荷の上昇は、例示的に、ＦＷ５に転送されるトラフィック量が閾値を超えた場合、例えば、ＦＷ５が単位時間当たりに受信するパケット数が閾値を超えた場合に検出されてよい。
【０１９５】
代替的あるいは追加的に、ＦＷ５の処理負荷の上昇は、例示的に、ＦＷ５に搭載されたＣＰＵ等の演算装置の使用率やメモリ使用率が閾値を超えた場合に検出されてもよい。なお、ＣＰＵは、「Central Processing Unit」の略称である。
【０１９６】
ＦＷＣ７は、ＦＷ５からアラームメッセージを受信すると、１又は複数の追加のＦＷ５と、負荷分散機能と、を、例えばＶＭとして生成してよい。
【０１９７】
例えば、ＦＷ＃１からアラームメッセージを受信すると、ＦＷＣ７は、図２２に模式的に示すように、１又は複数の追加のＦＷ＃ｍ（ｘは２以上の整数）と、負荷分散機能＃１及び＃２と、をＶＭとして生成してよい。
【０１９８】
追加のＦＷ＃ｍを含む複数のＦＷ５は、例示的に、負荷分散機能＃１及び＃２の間において、負荷分散機能＃１及び＃２に対して並列に接続されてよい。なお、負荷分散機能＃１及び＃２に対して並列に接続されるＦＷ５は、便宜的に、「並列ＦＷ」５と称してよい。
【０１９９】
第１の負荷分散機能＃１は、例示的に、追加のＦＷ＃ｍを含む複数の並列ＦＷ５に、受信パケットを振り分ける。
【０２００】
また、第２の負荷分散機能＃２は、第１の負荷分散機能＃１に入力されるパケットとは逆方向に出伝送されるパケットを受信し、受信パケットを、追加のＦＷ＃ｍを含む複数の並列ＦＷ５に振り分ける。
【０２０１】
追加のＦＷ＃ｍのエントリテーブル５４には、アラームメッセージを送信したＦＷ＃１におけるエントリテーブル５４と同一内容のフローエントリが設定されてよい。
【０２０２】
これにより、負荷分散機能＃１及び＃２のいずれかに入力されたパケットが、同じエントリテーブル５４を有する複数の並列ＦＷ５に振り分けられるので、ＦＷ５の負荷分散を実現できる。
【０２０３】
なお、オートスケールによって追加されたＦＷ５及び負荷分散機能に割り当てられるアドレスは、ＦＷシステム１における既存のアドレス設定に影響しない形で設定されてよい。
【０２０４】
（第４変形例）
ＦＷ５のオートスケールは、上述した処理負荷に限らず、エントリテーブル５４におけるエントリ数が閾値を超えた場合に実施されてもよい。
【０２０５】
例えば、ＦＷＣ７は、全ＦＷエントリテーブル７２１を参照して、いずれかのＦＷ５のエントリテーブル５４に設定されているフローエントリのエントリ数が閾値を超えている否かを判定してよい。エントリ数の閾値は、ＦＷシステム１の管理者によって設定、変更されてよい。
【０２０６】
閾値を超えるエントリ数のＦＷ５が存在する場合、ＦＷＣ７は、追加のＦＷ＃ｍを生成してよい。追加のＦＷ＃ｍは、例えば図２３に模式的に示すように、エントリ数が閾値を超えたＦＷ＃１に対して直列に接続されてよい。或るＦＷ５に対して直列に接続されるＦＷ５は、便宜的に、「直列ＦＷ」５と称してよい。
【０２０７】
追加の直列ＦＷ＃ｍのエントリテーブル５４には、エントリ数が閾値を超えたＦＷ＃１のエントリテーブル５４に登録されているフローエントリの一部が新規に設定、登録されてよい。別言すると、追加のＦＷ＃ｍを含む複数の直列ＦＷ５に対して、複数のフローエントリが分散的に設定されてよい。したがって、追加のＦＷ＃ｍを含む複数の直列ＦＷ５は、互いに異なる内容のエントリテーブル５４を備えてよい。
【０２０８】
このように、フローエントリ数の増加に応じて、ＦＷ５の数を増加して複数の直列ＦＷ５にフローエントリを分散的に設定することができるので、ＦＷ５の１つ当たりに用意しておくエントリテーブル５４のサイズを削減できる。したがって、１つのＦＷ５に用意する記憶容量を削減できる。
【０２０９】
（第５変形例）
なお、上述した第３変形例と第４変形例とは組み合わせて実施されてもよい。例えば図２４に模式的に示すように、ＦＷＣ７は、いずれかのＦＷ５の処理負荷上昇に応じて、並列ＦＷ５と負荷分散機能＃１及び＃２とを追加的に生成し、かつ、いずれかのＦＷ５のフローエントリ数の増加に応じて直列ＦＷ５を追加的に生成してよい。
【０２１０】
これにより、上述した第３変形例と第４変形例との複合的な作用効果を得ることができ、ＦＷ５の処理負荷分散と、１つのＦＷ５あたりのエントリテーブルサイズ（別言すると、記憶容量）の抑制と、を図ることができる。
【０２１１】
（ＦＷの構成例）
図２５は、上述した各変形例を含む実施形態におけるＦＷ５の機能的な構成例を示すブロック図である。
【０２１２】
図２５に示すように、ＦＷ５は、例示的に、制御通信処理部５１と、パケット受信処理部５２と、パケット送信処理部５３と、エントリテーブル５４と、廃棄パケット収集部５５と、を備えてよい。また、ＦＷ５は、処理負荷監視部５６を備えてよい。
【０２１３】
制御通信処理部５１は、例示的に、ＦＷＣ７との間で、当該ＦＷ５の制御に関わる通信（便宜的に「制御通信」と称してよい。）を行なってよい。
【０２１４】
制御通信には、例示的に、破棄パケット収集部５５で収集された廃棄パケット情報、廃棄パケット情報の集計結果又は解析結果をＦＷＣ７宛に送信することが含まれてよい。また、制御通信には、ＦＷＣ７からエントリ設定要求メッセージ等の制御メッセージを受信することが含まれてよい。更に、制御通信には、ＦＷＣ７宛に既述のアラームメッセージを送信することが含まれてよい。
【０２１５】
制御通信処理部５１は、送信処理に着目すれば送信部の一例であり、受信処理に着目すれば受信部の一例である。
【０２１６】
パケット受信処理部５２は、例示的に、コアネットワーク２やサブネットワーク３からパケットを受信する処理を担当する。例えば、パケット受信処理部５２は、エントリテーブル５４に設定されたフローエントリに従って、転送が許可されたパケットをパケット送信処理部５３へ出力し、転送が許可されていないパケットは廃棄してよい。
【０２１７】
パケット送信処理部５３は、例示的に、コアネットワーク２やサブネットワーク３へパケットを送信する処理を担当する。例えば、パケット送信処理部５３は、エントリテーブル５４に設定されたフローエントリに従って、パケット受信処理部５２から転送されたパケットをコアネットワーク２又はサブネットワーク３へ送信する。
【０２１８】
エントリテーブル５４には、既述のとおり、パケット転送の許可や拒否を示すフローエントリが登録される。エントリテーブル５４に対するエントリの設定、登録は、例示的に、制御通信処理部５１によって行なわれてよい。
【０２１９】
廃棄パケット収集部５５は、例示的に、パケット受信処理部５３にて廃棄されたパケットの情報（廃棄パケット情報）を収集してよい。また、廃棄パケット収集部５５は、収集した廃棄パケット情報を、既述のとおり、パケットヘッダのパラメータに基づいて集計してよく、更に、集計結果を解析して廃棄パケット数が閾値を超えるフローを検出してもよい。
【０２２０】
処理負荷監視部５６は、例示的に、既述の第３変形例で説明したとおり、ＦＷ５の処理負荷を監視して、ＦＷ５の負荷上昇を検出してよい。負荷上昇の検出に応じて、既述のアラームメッセージが、処理負荷監視部５６にて生成されて、制御通信処理部５１からＦＷＣ７宛に送信されてよい。
【０２２１】
（ＦＷＣの構成例）
図２６は、上述した各変形例を含む実施形態におけるＦＷＣ７の機能的な構成例を示すブロック図である。
【０２２２】
図２６に示すように、ＦＷＣ７は、例示的に、入力処理部７１、全ＦＷエントリ情報記憶部７２、廃棄パケット情報記憶部７３、ＦＷ構成情報記憶部７４、ＦＷエントリ計算部７５、及び、制御通信処理部７６を備えてよい。
【０２２３】
入力処理部７１は、例示的に、ＦＷシステム１の管理者によって入力された情報を処理する。管理者による入力情報には、フローエントリの情報や、廃棄パケット数に関する閾値、フローエントリ数に関する閾値、ＦＷ構成情報７４１（図７参照）が含まれてよい。
【０２２４】
全ＦＷエントリ情報記憶部７２は、例示的に、既述の全ＦＷエントリテーブル７２１を記憶する。
【０２２５】
廃棄パケット情報記憶部７３は、例示的に、ＦＷＣ７が制御、管理の対象とする各ＦＷ５で収集された廃棄パケット情報を記憶する。廃棄パケット情報と共に、あるいは、廃棄パケット情報に代えて、廃棄パケット情報の集計結果や解析結果が、廃棄パケット情報記憶部７３に記憶されてもよい。
【０２２６】
ＦＷ構成情報記憶部７４は、例示的に、既述のＦＷ構成情報７４１を記憶する。
【０２２７】
ＦＷエントリ計算部７５は、各記憶部７２〜７４の記憶情報を基に、送信元ＦＷ５に設定するフローエントリを計算する。例示的に、図１０、図１２〜図２０、及び、図２１（Ａ）〜図２１（Ｃ）にて説明した処理は、当該ＦＷエントリ計算部７５によって実施されると捉えてよい。
【０２２８】
各記憶部７２〜７４及びＦＷエントリ計算部７５は、制御部７７の一例を成すと捉えてよい。制御部７７は、既述のように、廃棄パケット情報に基づいて、同じ送信元情報の廃棄データ量が閾値を超えるデータフローを検出することができる。また、制御部７７は、検出したデータフローのデータを廃棄する廃棄エントリを、当該データフローの送信元ＦＷ５（例えば、ＦＷ＃１）に設定することができる。
【０２２９】
制御通信処理部７６は、例示的に、ＦＷＣ７が管理、制御の対象とする各ＦＷ５との間で制御通信を行なう。制御通信には、例示的に、廃棄パケット情報や、廃棄パケット情報の集計結果又は解析結果の受信、ＦＷ５宛のエントリ設定（又は削除）要求メッセージ等の制御メッセージの送信、ＦＷ５からのアラームメッセージの受信等が含まれてよい。
【０２３０】
制御通信処理部７６は、送信処理に着目すれば送信部の一例であり、受信処理に着目すれば受信部の一例である。
【０２３１】
（ＦＷ及びＦＷＣのハードウェア構成例）
図２７は、ＦＷ５及びＦＷＣ７のハードウェア構成例を示すブロック図である。図２７に例示するハードウェア構成は、ＦＷ５及びＦＷＣ７のいずれに適用されてもよい。
【０２３２】
ＦＷ５及びＦＷＣ７は、例示的に、ＣＰＵ９１、メモリ９２、ハードディスクドライブ（ＨＤＤ）、及び、複数のネットワークインタフェース９４を備えてよい。ＣＰＵ９１、メモリ９２、ＨＤＤ９３、及び、ネットワークインタフェース９４は、相互通信可能に通信バス９５によって接続されてよい。
【０２３３】
ＣＰＵ９１は、演算能力を備えたプロセッサの一例である。プロセッサは、プロセッサ回路又はプロセッサデバイスと称されてもよいし、「コンピュータ」と称されてもよい。ＣＰＵ９１は、ＤＳＰに代替されてもよい。ＤＳＰは、「Digital Signal Processor」の略称である。
【０２３４】
ＣＰＵ９１は、例示的に、ＨＤＤ９３に記憶されたプログラムやデータを適宜にメモリ９２に読み出し、読み出したプログラムやデータに基づいて動作することで、ＦＷ５又はＦＷＣ７として動作することが可能である。
【０２３５】
メモリ９２は、例示的に、ＣＰＵ９１のワークメモリであってよく、ＲＡＭ等の半導体メモリが適用されてよい。ＲＡＭは、「Random Access Memory」の略称である。
【０２３６】
ＨＤＤ９３は、ＣＰＵ９１が読み取って動作する、上述したプログラムやデータを記憶する。プログラムには、ＣＰＵ９１をＦＷ５又はＦＷＣ７として動作させることが可能なプログラムが含まれてよい。データには、ＣＰＵ９１の動作に用いられるデータやＣＰＵ９１の動作に応じて生成されるデータが含まれてよい。
【０２３７】
メモリ９２及びＨＤＤ９３は、いずれも記憶装置又は記憶媒体の一例である。ＨＤＤ９３に追加で、あるいは、代替で、ソリッドステートドライブ（ＳＳＤ）等の他の記憶装置や記憶媒体が用いられてもよい。メモリ９２及びＨＤＤ９３は、「記憶部」と総称してもよい。
【０２３８】
ＦＷ５に搭載されたＣＰＵ９１の動作に応じて、図２５に例示した廃棄パケット収集部５５及び処理負荷監視部５６の各機能が具現されてよい。図２５に例示したエントリテーブル５４は、例示的に、ＦＷ５のＨＤＤ９３に記憶されてよい。
【０２３９】
また、ＦＷＣ７に搭載されたＣＰＵ９１の動作に応じて、図２６に例示した入力処理部７１及びＦＷエントリ計算部７５の各機能が具現されてよい。図２６に例示した記憶部７２〜７４は、例示的に、ＦＷＣ７のＨＤＤ９３によって具現されてよい。例えば、記憶部７２〜７４の一部又は全部は、複数のＨＤＤ９３のいずれかに相当してもよいし、１つのＨＤＤ９３の記憶領域を複数に分割した領域のいずれかに相当してもよい。
【０２４０】
ネットワークインタフェース９４は、例示的に、コアネットワーク２又はサブネットワーク３との通信を可能にする通信インタフェース又は接続インタフェースの一例である。
【０２４１】
ＦＷ５に搭載されたネットワークインタフェース９４のいずれかによって、図２５に例示した、制御通信処理部５１、パケット受信処理部５２、及び、パケット送信処理部５３のいずれかが具現されてよい。
【０２４２】
また、ＦＷＣ７に搭載されたネットワークインタフェース９４のいずれかによって、図２６に例示した制御通信処理部７６が具現されてよい。
【０２４３】
なお、ＦＷ５やＦＷＣ７がＶＭとして生成される場合には、汎用サーバ等のコンピュータに搭載されたＣＰＵ９１、メモリ９２及びＨＤＤ９３の協働した動作に応じて、図２５に例示したＦＷ５や図２６に例示したＦＷＣ７が、ＶＭとして生成されると捉えてよい。
【符号の説明】
【０２４４】
１  通信システム（ＦＷシステム）
２  コアネットワーク
３−１〜３−Ｎ  サブネットワーク
５−ｘ  ファイアウォール（ＦＷ）
５１  制御通信処理部（送信部、受信部）
５２  パケット受信処理部
５３  パケット送信処理部
５４  エントリテーブル
５５  廃棄パケット収集部
５６  処理負荷監視部
７  ファイアウォールコントローラ（ＦＷＣ）
７１  入力処理部
７２  全ＦＷエントリ情報記憶部
７３  廃棄パケット情報記憶部
７４  ＦＷ構成情報記憶部
７５  ＦＷエントリ計算部
７６  制御通信処理部（送信部、受信部）
９１  ＣＰＵ
９２  メモリ
９３  ＨＤＤ
９４  ネットワークインタフェース
【図１】
0006520612.tif 000002
【図２】
0006520612.tif 000003
【図３】
0006520612.tif 000004
【図４】
0006520612.tif 000005
【図５】
0006520612.tif 000006
【図６】
0006520612.tif 000007
【図７】
0006520612.tif 000008
【図８】
0006520612.tif 000009
【図９】
0006520612.tif 000010
【図１０】
0006520612.tif 000011
【図１１】
0006520612.tif 000012
【図１２】
0006520612.tif 000013
【図１３】
0006520612.tif 000014
【図１４】
0006520612.tif 000015
【図１５】
0006520612.tif 000016
【図１６】
0006520612.tif 000017
【図１７】
0006520612.tif 000018
【図１８】
0006520612.tif 000019
【図１９】
0006520612.tif 000020
【図２０】
0006520612.tif 000021
【図２１】
0006520612.tif 000022
【図２２】
0006520612.tif 000023
【図２３】
0006520612.tif 000024
【図２４】
0006520612.tif 000025
【図２５】
0006520612.tif 000026
【図２６】
0006520612.tif 000027
【図２７】
0006520612.tif 000028