(57)【要約】【課題】本発明は、通信機器の種類や個数が増えたとしても、セキュリティ管理者の通信機器に対するメンテナンスの負荷を軽減できるアクセス制御設定支援システムを提供する。【解決手段】複数の通信機器と、複数の通信機器とネットワークを介して通信可能に形成され、通信機器に対してアクセス制御リストを設定するアクセス制御設定支援装置とを含む。アクセス制御設定支援装置（１）は、アクセス制御リストの構成要素であるルール情報と、前記通信機器に関するポリシー情報とを定型入力形式で設定入力するための設定入力手段（７２・７３）と、設定入力手段により設定入力されたポリシー情報及びルール情報に基づいて、前記複数の通信機器に応じたアクセス制御リストを各々生成し、各前記通信機器に設定登録及び適用する制御を行う制御手段（２０）とを含む。【選択図】図１
2008219419.tif 000002
【特許請求の範囲】
【請求項１】
複数の通信機器と、
前記複数の通信機器とネットワークを介して通信可能に形成され、前記通信機器に対してアクセス制御リストを設定するアクセス制御設定支援装置と、
を含み、
前記アクセス制御設定支援装置は、
前記アクセス制御リストの構成要素であるルール情報と、前記通信機器に関するポリシー情報とを定型入力形式で設定入力するための設定入力手段と、
前記設定入力手段により設定入力された前記ポリシー情報及び前記ルール情報に基づいて、前記複数の通信機器に応じたアクセス制御リストを各々生成し、各前記通信機器に設定登録及び適用する制御を行う制御手段と、
を含むことを特徴とするアクセス制御設定支援システム。  
【請求項２】
請求項１に記載のアクセス制御設定支援システムにおいて、
前記制御手段は、
前記アクセス制御リストを生成する過程にて、前記通信機器に依存しない中間ルールを抽出する中間ルール抽出手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項３】
請求項２に記載のアクセス制御設定支援システムにおいて、
前記通信機器に固有の展開パターンを記述したルール定義情報を蓄積したルール定義情報蓄積処理手段を有し、
前記制御手段は、
前記通信機器に応じた前記ルール定義情報と、前記中間ルールとに基づいて、前記ルール定義情報の展開パターンを記述パターンで修正して適用ルールを生成する適用ルール生成手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項４】
請求項２又は請求項３に記載のアクセス制御設定支援システムにおいて、
前記中間ルールのうち通信機器毎に可変されるべきルール情報の記述を、パラメータ情報に変換する変換テーブルを記憶した変換テーブル情報蓄積処理手段を有し、
前記制御手段は、
前記通信機器に応じた変換テーブルと、前記中間ルールとに基づいて、前記通信機器毎に独自の記述内容であるパラメータ情報を生成するパラメータ情報生成手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項５】
請求項４に記載のアクセス制御設定支援システムにおいて、
前記変換テーブルは、
異なるＩＰプロトコルに応じた各変換テーブルを含むこと特徴とするアクセス制御設定支援システム。  
【請求項６】
請求項４に記載のアクセス制御設定支援システムにおいて、
前記制御手段は、
前記適用ルールに含まれるキーワードを、前記パラメータ情報で展開し、各設定ポリシーの生成を促すパラメータ情報展開手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項７】
請求項２乃至請求項６のうちいずれか一項に記載のアクセス制御設定支援システムにおいて、
各通信機器毎に前記通信機器の関連情報を定義した通信機器情報蓄積処理手段を有し、
前記制御手段は、
前記中間ルールが前記通信機器に適合できるか否かを確認する適合性確認処理手段、
を含むことを特徴とするアクセス制御設定支援システム。  
【請求項８】
請求項７に記載のアクセス制御設定支援システムにおいて、
前記適合性確認処理手段は、
前記中間ルールの形式エラーを判定する形式エラー判定手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項９】
請求項７又は請求項８に記載のアクセス制御設定支援システムにおいて、
前記適合性確認処理手段は、
前記通信機器の機能エラーを判定する機能エラー判定手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項１０】
請求項２に記載のアクセス制御設定支援システムにおいて、
前記ポリシー情報を設定する毎に蓄積処理するポリシー情報蓄積処理手段と、
を有し、
前記中間ルール抽出手段は、
前記ポリシー情報蓄積処理手段を参照して、設定対象となる前記通信機器の識別コードと、設定中か設定済みかを示すポリシー状態とを判定するポリシー状態判定手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項１１】
請求項２又は請求項１０に記載のアクセス制御設定支援システムにおいて、
前記ルール情報を各通信機器に対して設定する毎に蓄積処理するポリシールール情報蓄積処理部と、
前記通信機器に定型的に標準設定されるデフォルトポリシー情報を蓄積処理するデフォルトポリシー情報蓄積処理部と、
を有し、
前記中間ルール抽出手段は、
前記ポリシー情報蓄積処理手段及び前記ポリシールール蓄積処理手段を参照して、設定対象となる前記通信機器に対応する設定済みのポリシーに基づいて、設定済みの第１設定ルールを抽出する第１抽出制御手段と、
前記ポリシー情報蓄積処理手段及び前記ポリシールール蓄積処理手段を参照して、前記通信機器に対応する新たに処理するポリシーに基づいて、新たに処理する第２設定ルールを抽出するとともに、前記第１抽出手段にて抽出された前記第１設定ルールに前記第２設定ルールを追加する処理を行う第２抽出制御手段と、
前記デフォルトポリシー情報蓄積処理手段及び前記ポリシールール蓄積処理手段を参照して、該当する通信機器に対応するデフォルトポリシーに基づいて、デフォルトの第３設定ルールを抽出するとともに、前記第１設定ルールに追加された第２設定ルールにさらに第３設定ルールを追加する処理を行う第３抽出制御手段と、
全て追加された前記第１、第２、第３設定ルールを先頭から判定し、後続の重複した設定ルールの要素を削除する処理を行う判定制御手段と、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項１２】
請求項１乃至請求１１のうちいずれか一項に記載のアクセス制御設定支援システムにおいて、
前記ポリシー情報は、前記通信機器に対するポリシー情報の設定登録を行う設定予定時刻情報を含み、
前記制御手段は、
前記ポリシー情報の設定を行うとともに、設定予定時刻に至るとイベント設定ポリシーとして抽出するポリシー監視手段、
を含むことを特徴とするアクセス制御設定支援システム。  
【請求項１３】
請求項１２に記載のアクセス制御設定支援システムにおいて、  
前記ポリシー情報は、前記通信機器に対するポリシー情報の解除を行う解除予定時刻情報を含み、
前記ポリシー監視手段は、解除予定時刻に至るとイベント解除ポリシーとして抽出することを特徴とするアクセス制御設定支援システム。
【請求項１４】
請求項１乃至請求１３のうちいずれか一項に記載のアクセス制御設定支援システムにおいて、
前記ポリシー情報を設定する毎に蓄積処理するポリシー情報蓄積処理手段を有し、
前記制御手段は、
前記ポリシー情報及び前記ルール情報を含む要求情報を、前記ポリシー情報蓄積処理手段に対して登録する要求情報登録制御手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項１５】
請求項１乃至請求項１４のうちいずれか一項に記載のアクセス制御設定支援システムにおいて、
前記制御手段は、
ルール定義情報から作成した接続コマンドに従い、対象となる通信機器に接続し、前記アクセス制御リストを含む設定ポリシーを前記通信機器に設定登録及び適用する処理を行う設定ポリシー設定登録処理手段、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項１６】
請求項１に記載のアクセス制御設定支援システムにおいて、
前記設定入力手段は、
前記ポリシー情報に関するポリシー設定条件情報を設定入力するための第１の設定条件情報設定入力手段と、
前記アクセス制御リストの構成要素である前記ルール情報に関するルール設定条件情報設定入力するための第２の設定条件情報設定入力手段と、
を含むことを特徴とするアクセス制御設定支援システム。
【請求項１７】
請求項１６に記載のアクセス制御設定支援システムにおいて、  
前記第２の設定条件情報設定入力手段は、
１行１ルールで入力を促す表示設定手段であることを特徴とするアクセス制御設定支援システム。
【請求項１８】
通信機器のアクセス制御リストを設定するアクセス制御設定支援装置であって、
要求された前記通信機器に関するポリシー情報と、前記通信機器に適用済みの適用済みポリシー情報と、前記通信機器に標準設定されているデフォルトポリシー情報とに基づいて、前記アクセス制御リストが生成される過程の前記通信機器に依存しない中間ルールを抽出する中間ルール抽出手段と、
前記通信機器に応じたルール定義情報と、前記中間ルールとに基づいて、前記ルール定義情報の展開パターンを記述パターンで修正して適用ルールを生成する適用ルール生成手段と、
前記通信機器に応じた変換テーブルと、前記中間ルールとに基づいて、前記通信機器に独自の記述内容であるパラメータ情報を生成するパラメータ情報生成手段と、
前記適用ルールに含まれるキーワードを、前記パラメータ情報に基づいて展開し、設定ポリシーの生成を促すパラメータ情報展開手段と、
を含むことを特徴とするアクセス制御設定支援装置。
【請求項１９】
請求項１８に記載のアクセス制御設定支援装置において、  
前記通信機器への前記中間ルールの適合性を確認する適合性確認処理手段を有し、
前記適用ルール生成手段は、
前記適合性確認処理手段にて適合性ありと判定された場合に、前記適用ルールを生成することを特徴とするアクセス制御設定支援装置。
【請求項２０】
請求項１８に記載のアクセス制御設定支援装置において、  
時刻情報を監視するとともに、設定予定時刻に至るとイベント設定ポリシーを前記中間ルール生成手段に対して供給するポリシー監視手段、  
を有することを特徴とするアクセス制御設定支援装置。
【請求項２１】
コンピュータが、設定対象の設定条件情報を設定する設定条件情報設定支援方法であって、
コンピュータが、要求された要求設定条件情報と、設定済み設定条件情報とに基づいて、前記設定対象に依存しない中間設定条件情報を抽出する中間設定条件情報抽出ステップと、
コンピュータが、設定対象に固有の設定条件情報展開パターンを定義した設定条件情報定義情報と、前記中間設定条件情報と、に基づいて、前記設定条件情報展開パターンを前記中間設定条件情報に応じた記述パターンに修正した適用設定条件情報を生成する適用設定条件情報生成ステップと、
を含むことを特徴とする設定条件情報設定支援方法。  
【請求項２２】
請求項２１に記載の設定条件情報設定支援方法において、
コンピュータが、前記設定対象毎の独自のパラメータ情報に変換する変換テーブルと、前記中間設定条件情報とに基づいて、前記中間設定条件情報のうち前記設定対象毎に可変されるべき設定条件情報を前記パラメータ情報に変換して前記パラメータ情報を生成するパラメータ情報生成ステップと、
コンピュータが、前記適用設定条件情報と、前記パラメータ情報と、に基づいて、前記適用設定条件情報のうちパラメータ置換可能な設定条件情報を該当するパラメータ情報で展開し、最終設定条件情報を生成する最終設定条件情報生成ステップと、
を含むことを特徴とする設定条件情報設定支援方法。
【請求項２３】
請求項２１に記載の設定条件情報設定支援方法において、
前記中間設定条件情報抽出ステップは、
前記要求設定条件情報と、前記設定済み設定条件情報と、標準設定条件情報と、に基づいて抽出されることを特徴とする設定条件情報設定支援方法。
【請求項２４】
請求項２１乃至請求項２３のうちいずれか一項に記載の設定条件情報設定支援方法において、
前記中間設定条件情報が前記設定対象に適合できるか否かを確認する適合性確認処理ステップをさらに有することを特徴とする設定条件情報設定方法。
【請求項２５】
請求項２１に記載の設定条件情報設定支援方法において、  
前記中間設定条件情報抽出ステップは、
前記設定対象に対応する設定済みの第１設定条件情報を抽出する第１抽出ステップと、
前記設定対象に対応する新たに処理される第２設定条件情報を抽出するとともに、前記第１抽出ステップにて抽出された第１設定条件情報に前記第２設定条件情報を追加する処理を行う第２抽出ステップと、
前記設定対象に対応する定型的に設定される標準設定の第３設定条件情報を抽出するとともに、前記第１設定条件情報に追加された第２設定条件情報にさらに第３設定条件情報を追加する処理を行う第３抽出ステップと、
全て追加された前記第１、第２、第３設定条件情報を先頭から判定し、後続の重複した設定条件情報の要素を削除する処理を行う判定ステップと、
を含むことを特徴とする設定条件情報設定支援方法。
【請求項２６】
複数の通信機器に対してアクセス制御リストを設定する処理を行うコンピュータが実行可能なプログラムであって、
前記アクセス制御リストの構成要素であるルール情報と、前記通信機器に関するポリシー情報とを定型入力形式により入力を促す表示を行う表示制御手段と、
入力された前記ポリシー情報及び前記ルール情報に基づいて、前記複数の通信機器に応じたアクセス制御リストを各々生成し、各前記通信機器に設定登録及び適用する制御を行う制御手段として、
コンピュータを機能させることを特徴とするプログラム。
【請求項２７】
請求項２６に記載のプログラムにおいて、
前記制御手段は、
前記アクセス制御リストを生成する過程にて、前記通信機器に依存しない中間ルールを抽出することを特徴とするプログラム。
【請求項２８】
請求項２７に記載のプログラムにおいて、
前記通信機器に固有の展開パターンを記述したルール定義情報を蓄積したルール定義情報蓄積処理手段として、
コンピュータを機能させ、
前記制御手段は、
前記通信機器に応じた前記ルール定義情報と、前記中間ルールとに基づいて、前記ルール定義情報の展開パターンを記述パターンで修正して適用ルールを生成することを特徴とするプログラム。
【請求項２９】
請求項２７又は請求項２８に記載のプログラムにおいて、
前記中間ルールのうち通信機器毎に可変されるべきルール情報の記述を、パラメータ情報に変換する変換テーブルを記憶した変換テーブル情報蓄積処理手段として、
コンピュータを機能させ、
前記制御手段は、
前記通信機器に応じた変換テーブルと、前記中間ルールとに基づいて、前記通信機器毎に独自の記述内容であるパラメータ情報を生成することを特徴とするプログラム。
【請求項３０】
請求項２９に記載のプログラムにおいて、
前記変換テーブルは、
異なるＩＰプロトコルに応じた各変換テーブルを含むこと特徴とするプログラム。
【請求項３１】
請求項２９に記載のプログラムにおいて、
前記制御手段は、
前記適用ルールに含まれるキーワードを、前記パラメータ情報で展開し、各設定ポリシーの生成を促すことを特徴とするプログラム。
【請求項３２】
請求項２６乃至請求項３１のうちいずれか一項に記載のプログラムにおいて、
各通信機器毎に前記通信機器の関連情報を定義した通信機器情報蓄積処理手段として、
コンピュータを機能させ、
前記制御手段は、
前記中間ルールが前記通信機器に適合できるか否かを確認することを特徴とするプログラム。  
【請求項３３】
請求項３２に記載プログラムにおいて、
前記制御手段は、
前記中間ルールの形式エラーを判定することを特徴とするプログラム。
【請求項３４】
請求項３２又は請求項３３に記載のプログラムにおいて、
前記制御手段は、
前記通信機器の機能エラーを判定することを特徴とするプログラム。
【請求項３５】
請求項２７に記載のプログラムにおいて、
前記ポリシー情報を設定する毎に蓄積処理するポリシー情報蓄積処理手段として、
コンピュータを機能させ、
前記制御手段は、
前記ポリシー情報蓄積処理手段を参照して、設定対象となる前記通信機器の識別コードと、設定中か設定済みかを示すポリシー状態とを判定することを特徴とするプログラム。
【請求項３６】
請求項２７又は請求項３５に記載のプログラムにおいて、
前記ルール情報を各通信機器に対して設定する毎に蓄積処理するポリシールール情報蓄積処理部と、
前記通信機器に定型的に標準設定されるデフォルトポリシー情報を蓄積処理するデフォルトポリシー情報蓄積処理部として、
コンピュータを機能させ、
前記制御手段は、
前記ポリシー情報蓄積処理手段及び前記ポリシールール蓄積処理手段を参照して、設定対象となる前記通信機器に対応する設定済みのポリシーに基づいて、設定済みの第１設定ルールを抽出する第１抽出制御手段と、
前記ポリシー情報蓄積処理手段及び前記ポリシールール蓄積処理手段を参照して、前記通信機器に対応する新たに処理するポリシーに基づいて、新たに処理する第２設定ルールを抽出するとともに、前記第１抽出手段にて抽出された前記第１設定ルールに前記第２設定ルールを追加する処理を行う第２抽出制御手段と、
前記デフォルトポリシー情報蓄積処理手段及び前記ポリシールール蓄積処理手段を参照して、該当する通信機器に対応するデフォルトポリシーに基づいて、デフォルトの第３設定ルールを抽出するとともに、前記第１設定ルールに追加された第２設定ルールにさらに第３設定ルールを追加する処理を行う第３抽出制御手段と、
全て追加された前記第１、第２、第３設定ルールを先頭から判定し、後続の重複した設定ルールの要素を削除する処理を行う判定制御手段と、
を含むことを特徴とするプログラム。
【請求項３７】
請求項２６乃至請求３６のうちいずれか一項に記載のプログラムにおいて、
前記ポリシー情報は、前記通信機器に対するポリシー情報の設定登録を行う設定予定時刻情報を含み、
前記制御手段は、
前記ポリシー情報の設定を行うとともに、設定予定時刻に至るとイベント設定ポリシーとして抽出することを特徴とするプログラム。  
【請求項３８】
請求項３７に記載のプログラムにおいて、  
前記ポリシー情報は、前記通信機器に対するポリシー情報の解除を行う解除予定時刻情報を含み、
前記制御手段は、
解除予定時刻に至るとイベント解除ポリシーとして抽出することを特徴とするプログラム。
【請求項３９】
請求項２６乃至請求３８のうちいずれか一項に記載のプログラムにおいて、
前記ポリシー情報を設定する毎に蓄積処理するポリシー情報蓄積処理手段として、
コンピュータを機能させ、
前記制御手段は、
前記ポリシー情報及び前記ルール情報を含む要求情報を、前記ポリシー情報蓄積処理手段に対して登録することを特徴とするプログラム。
【請求項４０】
請求項２６乃至請求項３９のうちいずれか一項に記載プログラムにおいて、
前記制御手段は、
ルール定義情報から作成した接続コマンドに従い、対象となる通信機器に接続し、前記アクセス制御リストを含む設定ポリシーを前記通信機器に設定登録及び適用する処理を行うことを特徴とするプログラム。
【請求項４１】
請求項２６に記載のプログラムにおいて、
前記表示制御手段は、
１行１ルールで入力を促す表示制御を行うことを特徴とするプログラム。
【請求項４２】
複数の通信機器に対してアクセス制御リストを設定する処理を行うコンピュータが実行可能なプログラムであって、
要求された前記通信機器に関するポリシー情報と、前記通信機器に適用済みの適用済みポリシー情報と、前記通信機器に標準設定されているデフォルトポリシー情報とに基づいて、前記アクセス制御リストが生成される過程の前記通信機器に依存しない中間ルールを抽出する中間ルール抽出手段と、
前記通信機器に応じたルール定義情報と、前記中間ルールとに基づいて、前記ルール定義情報の展開パターンを記述パターンで修正して適用ルールを生成する適用ルール生成手段と、
前記通信機器に応じた変換テーブルと、前記中間ルールとに基づいて、前記通信機器に独自の記述内容であるパラメータ情報を生成するパラメータ情報生成手段と、
前記適用ルールに含まれるキーワードを、前記パラメータ情報に基づいて展開し、設定ポリシーの生成を促すパラメータ情報展開手段として、
コンピュータに機能させることを特徴とするプログラム。
【請求項４３】
請求項４２に記載のプログラムにおいて、  
前記通信機器への前記中間ルールの適合性を確認する適合性確認処理手段として、
コンピュータを機能させ、
前記適用ルール生成手段は、
前記適合性確認処理手段にて適合性ありと判定された場合に、前記適用ルールを生成することを特徴とするプログラム。
【請求項４４】
請求項４２に記載のプログラムにおいて、  
時刻情報を監視するとともに、設定予定時刻に至るとイベント設定ポリシーを前記中間ルール生成手段に対して供給するポリシー監視手段として、
コンピュータに機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御設定支援システム、アクセス制御設定支援装置、設定条件情報設定支援方法、及びプログラムに関し、より詳細には、定型入力形式により各種通信機器のアクセス制御設定を行うものに関する。
【背景技術】
【０００２】
近年、ネットワークを取り巻く環境は、著しく複雑化しており、ネットワークの規模もきわめて大規模なものとなっている。このような状況の下で、様々な機能を有する通信機器などが著しく発達し、数多く設置される一方、多数の異なる当該通信機器を使いこなすためには、該通信機器に精通した熟練の管理者が必要とされている。
【０００３】
通常、セキュリティの観点から通信機器の設定を行う際に、セキュリティ管理者は、先ず、セキュリティのポリシーを（利用を許可するプロトコルの選択など）をどうやって決定するかを、実際の通信機器に関係なく抽象的に考える。次に、実際に適用するにあたり、そのポリシーを通信機器（例えばルータ等）に認識させる方法を考える、という手続きを必要とする。
【０００４】
より具体的には、通信機器（例えばルータ等）を、パケットフィルタリングのファイヤーウォールとして使用する場合、ネットワークでのセキュリティに関する規則・基準（セキュリティポリシー）に従って、どのようなパケットを通過させ、どのようなパケットを通過させないかという条件を設定する。
【０００５】
パケットフィルタリングは、受け取ったパケットを１つ１つ調べ、パケットのヘッダに記述された送信元アドレス、宛先アドレス、送信元ポート番号、宛先ポート番号、パケットの流れる方向などをチエックして、パケットを通過させるか、パケットを通過させないかを決定する。
【０００６】
このようなパケットフィルタリング機能を有する通信機器例えばルータ等においては、どこのＩＰアドレスからのパケットの通過を許可・不許可とするのか、あるいはどこのＩＰアドレスへパケットを送信するのか、などのアクセス条件を設定するために、ＡＣＬ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｌｉｓｔ：アクセス制御リスト）が用いられる。
【０００７】
例えば「１９２．１６８．１００．０／２４からのｈｔｔｐｓ（ｔｃｐ／４４３）を許可する」というセキュリティーポリシーを具体化するのであれば、ルータに対するアクセス制御リストは、例えば「ａｃｃｅｓｓ−ｌｉｓｔ  １００  ｐｅｒｍｉｔ  ｔｃｐ  １９２．１６８．１００．０  ０．０．０．２５５  ａｎｙ  ｅｑ  ４４３」のように所定の形式に従った構文にて記述し定義される。この記述は、例えばエディタを用いて１行、１行設定していく必要がある。この１行は、ＡＣＥ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｅｎｔｒｙ：アクセス制御エントリ）或いは単にルールといい、通常、ネットワークの規模に応じて、ルールが複数（例えば数十行）形成されることにより、アクセス制御リストが構成される。
【０００８】
また、ある種のルータでは、アクセス制御リストを設定した上で、実際にルータに制御可能にするためには、「適用」コマンドで適用処理を行う必要がある。
【０００９】
なお、ここでいうアクセス制御リストは、ルータなどの通信機器における双方向の経路制御を行うためのアクセス制御リストであって、サーバーなどにログオンするためのユーザＩＤとパスワードを管理するアクセス制御リストとは管理内容や設定内容、利用される機能も本質的に異なる。
【００１０】
ところで、ネットワーク環境においては、通信機器は、ベンダーによって異なり、また、同じベンダーであっても、バージョンの異なる複数の通信機器が混在する環境が増えてきている。１つの通信機器に対して、上記のような煩雑な作業をしいられるアクセス制御リストの設定作業を、複数のしかも異なるポリシーに応じて設定することは、熟練の管理者にとっても非常に困難な作業となっている。
【００１１】
また、アクセス制御リストを直接記述していくのではなく、ファイヤーウォールソフトウエアや、ルータが有するアプリケーションソフトウエアにおいて、ＧＵＩを参照することでポリシーを設定してパケットフィルタリングの設定を行うことができる技術も見受けられるようになってきている。このようなアクセス制御リストないしはポリシーを設定する関連技術として、例えば以下に示す特許文献１乃至特許文献５が挙げられる。
【００１２】
特許文献１は、セキュリティポリシーに含まれる個々のルールを、ネットワークのトポロジに対応したハードウエア及びソフトウエアに対応づける機能マッピング手段を有するシステムである。さらに、同特許文献１では、ルータの「パケットフィルタリング」の設定に関する技術が開示されている（特許文献１の図９）。ここでは、セグメント毎にルールを入力することにより、セキュリティポリシーの入力をし、入力内容に応じてポリシー記述を生成し、そのポリシー記述をファイルとして記憶させる（段落番号０１１２〜０１１４）。
【００１３】
特許文献２では、通信中継装置に、ポリシー設定手段を設けている技術が開示されている。具体的には、ポリシー設定手段は、通信中継装置外からポリシー決定ルールを提示したポリシー決定ルール登録要求を受けると、提示されたポリシー決定ルールをポリシー決定ルール格納手段に格納する。また、ポリシー設定手段は、通信中継装置外からポリシーを提示したポリシー登録要求を受けると、提示されたポリシーをポリシー格納手段に格納する処理を行う（段落番号０１１１〜０１１２）。ポリシー決定ルールは、ポリシー決定条件と、該当するポリシーの取得方法を示すポリシー取得情報とによって規定される。ポリシー決定条件は、例えば、通信元アドレス、通信先アドレス、メッセージ内容、通信中継装置の状態、通信中継装置に接続された他の装置などの通信の環境に対する条件と、その条件を具備したときに使用するポリシーとが対応付けされた情報である（段落番号０１１８〜０１１９）。
【００１４】
なお、特許文献２でいうところのポリシーは、特許文献２の図２０に示す、「暗号任意」、「方式A１」、「鍵A１」や「ログ必須」、「暗号必須」など、暗号やログの必要性や、暗号を使用する場合の暗号方式や使用鍵についての制約を示す（段落番号０２１５、０２０７）。
【００１５】
さらに、特許文献２では、制約計算手段が、ポリシーに含まれる制約の計算を行い、単純制約を導出する点を開示している。単純制約は、複数の制約の全てを満たすように単純化（簡略化）していくことで算出され、「暗号任意」と「暗号必須」とが混在している場合に、「暗号必須」という１つの制約に単純化させる処理を行う（段落番号０２１９）。例えば、「暗号任意、方式A１、鍵B１」、「暗号必須、ログ必須」という２つの制約の場合、「暗号必須で方式A１、鍵B１、ログ必須」という単純制約になる（段落番号０２４４〜０２４５）。
【特許文献１】特開２００４−３４２０７２号公報
【特許文献２】特開２００５−２６０５７１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１６】
従来のような通信機器にアクセス制御リストを設定する手法では、通信機器をネットワーク環境に応じた設定を実施する必要があるため、通信機器の種類や個数が増えると、セキュリティ管理者は、通信機器を理解する時間・個別に設定する時間・操作ミスやそのフォロー時間などでメンテナンスに負荷がかかるという問題があった。
【００１７】
すなわち、セキュリティ管理者は、複数の通信機器を理解しているとは限らない。特に、近年は、ＩＰＶ４対応の第１のタイプの通信機器と、ＩＰＶ４及びＩＰＶ６の双方に対応の第２のタイプの通信機器とが混在するネットワーク環境も増えてきており、習熟していない通信機器を増設したり、習熟していない通信機器に変更したりと、使用環境に変化があると、通信機器の設定を行うために、新たに学習をしなおす必要があるという問題がある。
【００１８】
また、アクセス制御リストのルールを設定した後に、ルールを変更する場合、変更のないルールについても再度設定する必要があるという問題がある。また、複数の通信機器を設定する場合、設定ルールの記述方法が酷似しているケースや、大きく異なるケースがあり、操作ミスや入力ミスが起きやすく、セキュリティ管理者の負担となっていた。
【００１９】
さらに、複数の通信機器にアクセス制御リストを設定する場合、個別に設定するためある程度のメンテナンス時間が必要である。通信機器を個別に処理するため、接続開始から設定処理を経て設定終了に至るまでの処理時間が通信機器の数だけ必要であるという問題がある。
【００２０】
また、特許文献１では、セキュリティポリシーの設計は行えても、各通信機器に対する設定（登録及び適用）が実行できないという問題がある。すなわち、通信機器の機種が異なれば、一方の通信機器に対する一方のアクセス制御リストと、他方の通信機器に対する他方のアクセス制御リストの記述、設定手法は異なることとなるが、特許文献１では、ユーザーインターフェース上で複数の通信機器に対するセキュリティポリシーを設定できたとしても、機種の異なる各通信機器に応じて適用することは困難であった。
【００２１】
仮に、ｈｔｔｐｄ、ｆｔｐなどのプロトコルの種類に応じてパケットの通過を許可・不許可とする設定を設定スクリプトなどによって行えたとしても、それらの設定が通信機器（ルータ）の機種に応じて如何に適用すべきか、という点が一切開示がなく、異なる複数の通信機器に適用ができないという課題があった。従って、特定の通信機器に対しては設定を行うことができても、他の異なる複数の通信機器に対して各々再度設定作業を行う必要があり、設定作業回数が増えるという課題がある。さらに、メンテナンス時間がかかり、上記従来技術と同様の課題が生じる。
【００２２】
さらに、特許文献２では、複数の異なる通信機器に対応していないため、個別に各通信機器に対して設定を行う必要があるという課題がある。従って、設定作業回数が増え、メンテナンスに時間がかかるという課題がある。
【００２３】
本発明は、上記した技術の問題点を解決することを課題としてなされたものであって、その目的とするところは、通信機器の種類や個数が増えたとしても、新たな通信機器に対して学習することを要せずに、再設定を含む複数回の設定作業を不要とし、設定作業回数を減らして、入力ミスや操作ミスを低減し、メンテナンス時間の短縮化を図り、セキュリティ管理者の通信機器に対するメンテナンスの負荷を軽減させることのできるアクセス制御設定支援システム、アクセス制御設定支援装置、設定条件情報設定支援方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【００２４】
上記目的は、独立請求項に記載の特徴の組み合わせにより達成され、また、下位請求項は、発明の更なる有利な具体例を規定する。この発明の概要は、必要な特徴すべてを列挙しているものではなく、よってこれらの特徴群の下位結合（サブコンビネーション）も発明になり得る。
すなわち、本発明のアクセス制御設定支援システムは、複数の通信機器と、前記複数の通信機器とネットワークを介して通信可能に形成され、前記通信機器に対してアクセス制御リストを設定するアクセス制御設定支援装置と、を含む。前記アクセス制御設定支援装置は、設定入力手段と、制御手段と、を含む。設定入力手段は、前記アクセス制御リストの構成要素であるルール情報と、前記通信機器に関するポリシー情報とを定型入力形式で設定入力する。制御手段は、前記設定入力手段により設定入力された前記ポリシー情報及び前記ルール情報に基づいて、前記複数の通信機器に応じたアクセス制御リストを各々生成し、各前記通信機器に設定登録及び適用する制御を行う。
【００２５】
本発明のアクセス制御設定支援装置は、通信機器のアクセス制御リストを設定するアクセス制御設定支援装置であって、中間ルール抽出手段と、適用ルール生成手段と、パラメータ情報生成手段と、パラメータ情報展開手段と、を含む構成とした。中間ルール抽出手段は、要求された前記通信機器に関するポリシー情報と、前記通信機器に適用済みの適用済みポリシー情報と、前記通信機器に標準設定されているデフォルトポリシー情報とに基づいて、前記アクセス制御リストが生成される過程の前記通信機器に依存しない中間ルールを抽出する。適用ルール生成手段は、前記通信機器に応じたルール定義情報と、前記中間ルールとに基づいて、前記ルール定義情報の展開パターンを記述パターンで修正して適用ルールを生成する。パラメータ情報生成手段は、前記通信機器に応じた変換テーブルと、前記中間ルールとに基づいて、前記通信機器に独自の記述内容であるパラメータ情報を生成する。パラメータ情報展開手段は、前記適用ルールに含まれるキーワードを、前記パラメータ情報に基づいて展開し、設定ポリシーの生成を促す。
【００２６】
本発明の設定条件情報支援方法は、コンピュータが、設定対象の設定条件情報を設定する設定条件情報設定支援方法であって、中間設定条件情報抽出ステップと、適用設定条件情報生成ステップとを含む手順とした。中間設定条件情報抽出ステップは、コンピュータが、要求された要求設定条件情報と、設定済み設定条件情報とに基づいて、前記設定対象に依存しない中間設定条件情報を抽出する。適用設定条件情報生成ステップは、コンピュータが、設定対象に固有の設定条件情報展開パターンを定義した設定条件情報定義情報と、前記中間設定条件情報と、に基づいて、前記設定条件情報展開パターンを前記中間設定条件情報に応じた記述パターンに修正した適用設定条件情報を生成する。
【００２７】
本発明のプログラムは、複数の通信機器に対してアクセス制御リストを設定する処理を行うコンピュータが実行可能なプログラムであって、表示制御手段と、制御手段としてコンピュータを機能させることを特徴としている。表示制御手段は、前記アクセス制御リストの構成要素であるルール情報と、前記通信機器に関するポリシー情報とを定型入力形式により入力を促す表示を行う。制御手段は、入力された前記ポリシー情報及び前記ルール情報に基づいて、前記複数の通信機器に応じたアクセス制御リストを各々生成し、各前記通信機器に設定登録及び適用する制御を行う。
【発明の効果】
【００２８】
本発明によれば、ユーザは通信機器を意識せずに、ユーザの簡易な要求入力から、複数の異なる各通信機器にあった各アクセス制御リストを各々生成、設定登録及び適用を行うことができる。このため、新たな通信機器に対する学習が不要となり、複数の異なる機種の通信機器に対しても設定作業回数も１回で済み、再設定も不要となる。さらに、これによって、入力ミスや操作ミスを低減して、メンテナンス時間の短縮化を図り、セキュリティー管理者のメンテナンスの負担を低減することができる。
【発明を実施するための最良の形態】
【００２９】
以下、本発明の好適な実施の形態の一例について、図面を参照して具体的に説明する。
〔第１の実施の形態〕
（本実施の形態の概要）
先ず、本発明のアクセス制御設定支援システムのハードウエア構成及びソフトウエア構成の説明に先立って、前記アクセス制御設定支援システムに内在する「（アクセス制御リストを含む）ポリシー生成モデル」の基本的な概要について、図２を用いて説明する。図２は、本実施の形態の概要であるポリシー生成モデルを説明するための説明図である。
【００３０】
図２に示す、「ポリシー生成モデル」において、本実施の形態のアクセス制御設定支援システムは、「アクセス制御に関する処理部」（アクセス制御リストの抽出に関する処理部）と、「通信機器に応じた設定に関する処理部」（通信機器に応じた設定に関する処理部）とから構成される。
【００３１】
「アクセス制御（リストの抽出）に関する処理部」では、要求情報登録制御手段２２、ポリシー監視手段２３、ベースルール抽出手段２４、ポリシーＤＢ群５１などを含む。「通信機器に応じた設定処理に関する処理部」では、適合性確認処理手段３２、ルール作成処理手段３３、パラメータ変換手段３４、パラメータ展開手段３５、設定ポリシー生成手段３６、設定登録処理手段４２、通信機器情報蓄積処理手段（通信機器ＤＢ）６２、ルール定義情報蓄積処理手段６３、変換テーブル蓄積処理手段６４などを含む。
【００３２】
「アクセス制御（リストの抽出）に関する処理部」では、装置使用者は、定型入力形式により要求情報を作成すると、要求情報蓄積処理手段５２（図２では、単に「要求」と表記）に要求情報の一部が記憶されるとともに、要求情報登録制御手段２２は、要求情報に含まれるポリシー情報及びルール情報の中のいくつかの情報をポリシーＤＢ群５１に登録する。ポリシー監視手段２３は、ポリシーＤＢ群５１の予定時刻を監視する。予定時刻に到達した場合、ベースルール抽出手段２４は、ポリシーＤＢ群５１に登録されている「既に適用済のポリシー情報」と「今回処理すべきポリシー情報」、デフォルトポリシー５５から対象となる通信機器の「デフォルトポリシー」とから各ルールを各々抽出して、後述する所定の処理をすることで「ベースルール」を生成する。
【００３３】
「通信機器に応じた設定処理に関する処理部」では、適合性確認処理手段３２は、「ベースルール」が、通信機器に適合できるか否か、形式エラーの判定と、通信機器に応じた機能情報を格納した通信機器情報蓄積処理手段（通信機器ＤＢ）４０に基づく機能エラーの判定とにより、適合性の確認を行う。「ベースルール」が通信機器に適用可能な場合、ルール作成処理手段３３は、通信機器に応じたルール定義情報蓄積処理手段６３（図２では、単に「ルール定義」と表記）により、「適用ルール」を作成する。また、「ベースルール」が、通信機器に適用可能な場合、パラメータ変換手段３４で通信機器に応じた変換テーブル情報蓄積処理手段６４（図２では、単に「変換テーブル」と表記）とベースルールを突合せ、「パラメータ情報」を作成する。パラメータ展開手段３５は、「適用ルール」に含まれるキーワードを対応する「パラメータ情報」で展開する。そして、最終的に設定ポリシー生成手段３６（図２では、単に「設定ポリシー」と表記）によって設定ポリシーが作成される。（設定ポリシー）設定登録処理手段４２（図２では、「設定ポリシー」を省略して単に設定登録処理手段と表記）は、作成された設定ポリシーの情報を通信機器に「適用」する。
【００３４】
このようにして、本実施の形態のアクセス制御設定支援システムは、各種通信機器の設定ポリシー（ポリシー情報及びそのポリシー情報に対応する＜関連する＞ルール情報）を定型入力形式により情報処理装置に設定入力することにより、所望の時間に前記設定ポリシーに基づくルール情報を要素とするアクセス制御リストを、指定した各通信機器に設定できる。  
【００３５】
なお、最終的に生成されるのは、アクセス制御リストのみだけではなく、アクセス制御リストに加えて、アクセス制御リストの構成要素である各ルールを、各通信装置に対して「登録」及び「適用」するコマンド群をも付加されることから、実質アクセス制御リスト部と適用などのコマンド群とを合わせた最終生成情報を便宜的に本実施の形態では「設定ポリシー」と称呼している（図２の符号３６）。
【００３６】
以上の「ポリシー生成モデル」の全体的な概要（処理内容）を踏まえた上で、請求項に記載の構成要件をサポートするため、本実施の形態のアクセス制御設定支援システムのより詳細で具体的なハードウエア及びソフトウエア構成について、以下に、説明する。
【００３７】
（アクセス制御設定支援システムの全体構成）
本発明のアクセス制御設定支援システムの全体構成について、図１を参照して説明する。図１は、本実施の形態によるアクセス制御設定支援システムの全体の概略構成を示すブロック図である。
【００３８】
本実施の形態のアクセス制御設定支援システム１は、ネットワークに接続された複数の通信機器に対して、ポリシーに応じたアクセス制御リストを設定するものであり、図１に示すように、装置使用者が利用するアクセス制御設定支援装置１０と、このアクセス制御設定支援装置１０とネットワークＮを介して通信可能に形成された複数の通信機器１００（１００−１、・・・・、１００−ｍ）と、を含んで構成される。
【００３９】
アクセス制御設定支援装置１０は、プログラム制御により動作する情報処理装置であり、ネットワーク関連の機能を有していれば、デスクトップ、ラップトップコンピュータその他無線・有線通信機能を有する情報機器、またはこれに類するコンピュータなどいかなるコンピュータでもよく、移動式・固定式を問わない。
【００４０】
通信機器１００は、例えばルータ等にて形成されることが好ましい。或いはルーティング機能、パケットフィルタリング機能を有する情報処理装置であってよい。
【００４１】
アクセス制御設定支援装置１０のハードウエア構成は、種々の情報等を表示するための表示手段７０（例えばスクリーン等）、この表示手段７０の表示画面上（の各種入力欄等）にデータを操作入力するための操作入力手段８０（例えばキーボード・マウス等）、各種信号・データを送受信するための通信手段９０、各種プログラム・各種データを記憶することで蓄積処理する蓄積処理手段５０（例えばメモリ、ハードディスク等に蓄積処理機能や管理機能を加えたもの）、これらの制御を司る制御手段２０（例えばＣＰＵ等）などを有している。  
【００４２】
（表示手段）
表示手段７０は、ポリシー情報を定型入力形式により設定するためのポリシー情報表示設定手段７２と、ルール情報を定型入力形式により設定するためのルール情報表示設定手段７３と、これらの各部を制御するとともに、各ポリシー毎あるいは各ルール毎に表示設定画面を画面展開させて表示制御を行う表示制御手段７４と、を含んで構成される。
【００４３】
なお、本実施の形態の「表示手段７０」と「操作入力手段８０」とで、本発明にいう「設定入力手段」を構成できる。さらに、本実施の形態の「ポリシー情報表示設定手段７２」と「操作入力手段８０」とで、本発明にいう「第１の設定条件情報設定入力手段」を構成できる。さらに、本実施の形態の「ルール情報表示設定手段７３」と「操作入力手段８０」とで、本発明にいう「第２の設定条件情報設定入力手段」を構成できる。
【００４４】
「ポリシー情報」を設定入力するための構成は、例えば図４に示すような構成が挙げられる。「ポリシー情報」は、イベント、設定予定時刻等の情報を含む。「ルール情報」を設定入力するための構成は、例えば図５に示すような構成が挙げられる。この際、「ルール情報」を設定入力する際には、「どこから」、「どこへ」、「なにを」、「どのように」、「どうする」の順に、１ルール１行で記述する。「ルール情報」は、ＩＰアドレスを基に、ルールの件数分、どこからどこへ等の情報を含む。これら設定入力された「ポリシー情報」と「ルール情報」とにより要求情報が形成される。なお、「ルール情報」は、通信機器１００のアクセス制御リストの構成要素であることから設定条件情報ということもできる。さらに、「ポリシー情報」は、通信機器に対するポリシーを設定するための設定条件情報ということもできる。このため、「ルール情報」及び「ポリシー情報」を区別せずにとらえた場合には、ともに「設定条件情報」ということができるし、区別する場合には、「ルール情報」は「ルール設定条件情報」とし、「ポリシー情報」は、「ポリシー設定条件情報」ということもできる。
【００４５】
また、表示制御手段７４は、アクセス制御リストの構成要素であるルール情報と、通信機器１００に関するポリシー情報とを定型入力形式により入力を促す表示を行うように表示制御する。
【００４６】
（制御手段）
制御手段２０は、図１に示すように、要求情報登録制御手段２２、ポリシー監視手段２３、ベースルール抽出手段２４（本発明にいう「中間ルール抽出手段」）、適合性確認処理手段３２、ルール作成処理手段３３（本発明にいう「適用ルール生成手段」）、パラメータ変換手段３４（本発明にいう「パラメータ情報生成手段」）、パラメータ展開手段３５（本発明にいう「パラメータ情報展開手段」）、設定ポリシー生成手段３６、設定ポリシー設定登録処理手段４２、その他の各部４３、ポリシー生成モデル制御手段４４、を含んで構成される。
【００４７】
ここで、「アクセス制御リスト」とは、ＩＰアドレスやプロトコルやパケットにもとづき、通信を許可するかどうか等のアクセス権を記録したリストをいう。「ポリシー」とは、どのようなアクセス制御リストを通信機器に設定するか、具体的な実施手順や実施内容の規約をいう。「設定ルール」とは、設定されたアクセス制御リストを構成する要素。一般的に、リスト内で最初に適合した設定ルールが実行され、それ以降の設定ルールは無視されるため、設定ルールの順序が重要になる。「ベースルール」とは、アクセス制御リストを生成する途中の段階で、機器依存が存在しない中間ルールをいう。
【００４８】
さらに、「ベースパターン」とは、ベースルールからアクセス制御リストを生成する際に利用する、機器固有の展開パターンをいう。「記述パターン」とは、指定された条件に沿った矛盾しない記述のパターンをいう。例えば、ＰＯＲＴ指定とＩＣＭＰタイプ指定のように、オプションには相反する項目がある。その他、プロトコルやＩＰアドレスも同様である。「ＰＯＲＴ」とは、トランスポート層で利用されるアドレス。アプリケーション層のサービスの指定にも用いられる。「ＩＣＭＰタイプ」とは、ＩＣＭＰメッセージの機能や種類を表す番号をいう。
【００４９】
図１に示すブロック図における各ブロック（例えば符号２２、２３、２４、３２、３３、３４、３５、３６、４２、４３、４４等）は、コンピュータが適宜なメモリに格納された各種プログラムを実行することにより、該プログラムにより機能化された状態を示すソフトウエアモジュール構成である。すなわち、物理的構成は例えばＣＰＵ（或いはＣＰＵとメモリ）等ではあるが、各手段によるソフトウエア構成は、プログラムの制御によってＣＰＵが発揮する複数の機能を、それぞれ複数の手段による構成要素として表現したものである。ＣＰＵがプログラムによって実行されている動的状態（プログラムを構成する各手順を実行している状態）を機能表現した場合、ＣＰＵ内に各手段が構成されることになる。プログラムが実行されていない静的状態にあっては、各手段の構成を実現するプログラム全体（或いは各手段の構成に含まれるプログラム各部）は、メモリなどの記憶領域に記憶されている。以下に示す各手段の説明は、プログラムにより機能化されたコンピュータをプログラムの機能と共に説明したものと解釈することも出来るし、また、固有のハードウエアにより恒久的に機能化された複数の電子回路ブロックからなる装置を説明したものとも解釈することが出来ることは、当然である。したがって、これらの機能ブロックがハードウエアのみ、ソフトウエアのみ、またはそれらの組合せによっていろいろな形で実現でき、いずれかに限定されるものではない。  
【００５０】
要求情報登録制御手段２２は、ポリシー情報表示設定手段７２からのポリシー情報と、ルール情報表示設定手段７３からのルール情報とからなる要求情報を一元管理する為、要求情報をポリシーＤＢ群５１に格納する。
【００５１】
さらに、要求情報登録制御手段２２は、図３に示すように、予定時刻昇順並べ替え手段２２ａと、ＩＤ付与手段２２ｂと、を含んで構成される。
【００５２】
ポリシー監視手段２３は、予定時刻を指定した場合は指定時刻で、指定しない場合は入力時に即時でポリシーの設定・解除を行う。この設定・解除のイベントがスケジューリングされているので、要求情報蓄積処理手段５２（要求＜リクエスト＞ＤＢ）に保持されている予定時刻と稼働時刻（システム時刻）を比較し、予定時刻に到達したイベントを設定・解除対象ポリシーとして抽出する。
【００５３】
さらに、ポリシー監視手段２３は、図３に示すように、予定時刻監視手段２３ａと、予定時刻比較手段２３ｂと、設定・解除対象ポリシーを抽出する設定・解除対象ポリシー抽出手段２３ｃと、を含んで構成される。
【００５４】
ベースルール抽出手段２４は、設定・解除対象ポリシーのルールを新たに処理する。また、ベースルール抽出手段２４は、この他、既に設定済のポリシーや定型的に設定するポリシーに関する処理も行う。
【００５５】
ベースルール抽出には、以下の示す２つの手法が考えられる。第１の手法では、先ず、ベースルール抽出手段２４に含まれるポリシー設定優先順位割り当て手段２４ａ（図３）が、設定するポリシーに優先順位をつける。これは、ある種の通信機器（例えばルータ等）のＯＳの機能として、ルール適用が「アクセス制御リスト内で最初に適合したルールを優先する」という原則に基づいて処理を行うことを利用するものである。
前記ポリシーの優先順位は、第１番目に「既に設定済のポリシー」、第２番目に「新たに処理するポリシー」、第３番目に「定型的に設定するポリシー」とするのが好ましい。
【００５６】
ベースルール抽出手段２４に含まれるルール抽出手段２４ｂ（図３）は、ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４を参照して、「新たに処理するポリシー」に対応する「新たに処理するルール」（本発明にいう「要求設定条件情報」）、「既に設定済のポリシー」に対応する「既に設定済のルール」（本発明にいう「設定済み設定条件情報」）、「定型的に設定するポリシー」に対応する「定型的に設定するルール」（本発明にいう「標準設定条件情報」）、を各々抽出する。なお、これら各々の各抽出機能を、第１抽出制御手段、第２抽出制御手段、第３抽出制御手段として構成してもよい。
【００５７】
ベースルール抽出手段２４に含まれる設定順並べ替え手段２４ｃ（図３）は、前記ポリシー設定優先順位割り当て手段２４ａにて割り当てられた優先順位情報に基づいて、前記ルール抽出手段２４ｂにて抽出された「新たに処理するルール」、「既に設定済のルール」、「定型的に設定するルール」を並べ替える（ソーティング）。本実施の形態では、例えば、先頭に「既に設定済のルール」、次に「新たに処理するルール」、その次に、「定型的に設定するルール」が並ぶこととなる。
【００５８】
ベースルール抽出手段２４に含まれる重複削除処理手段２４ｄ（図３）（本発明にいう「判定制御手段」）は、「既に設定済のルール」、「新たに処理するルール」、及び「定型的に設定するルール」が全て並んだ設定ルールを先頭から検索判定し、後続の重複したルールを削除する。
【００５９】
この結果、ベースルールが生成される。作成されたベースルールは、後工程にて利用されるよう、ベースルール情報一時記憶手段５６に記憶される。
【００６０】
ベースルール抽出の第２の手法では、優先順位を予め決めておき、「第１抽出制御手段」、「第２抽出制御手段」、「第３抽出制御手段」（いずれも不図示）を用いる方法である。前記第１の手法では、ポリシー設定優先順位割り当て手段２４ａにより優先順位に設定は任意であった。今後開発されるルータ等の通信機器のＯＳによっては、その方が好ましい場合が想定されるからである。これに対し、第２の手法では、既に決められた順番に従って抽出及びルールの追加処理が行われるので、ソーティングの必要がない。
【００６１】
すなわち、先ず、ベースルール抽出手段２４に含まれる「ポリシー状態判定手段」（図示せず）により、予定時刻に該当するポリシーから、ポリシーＤＢ群５１の「ポリシー情報蓄積処理手段（ポリシーＤＢ）５３」より、設定対象とポリシー状態（設定時、設定中、設定済みのいずれか）を判定する。
【００６２】
そして、ベースルール抽出手段２４に含まれる第１抽出制御手段（不図示）は、該当する通信機器で設定済のポリシーのポリシーＤＢ群２０「ポリシールールＤＢ」から設定ルールを抽出する。すなわち、ポリシー情報蓄積処理手段５４から設定対象となる前記通信機器に対応する設定済みのポリシーを抽出し、ポリシールール蓄積処理手段５４を参照して、設定済みのポリシーに基づいて、設定済みのルール（第１設定ルールあるいは第３設定条件情報）を抽出する。
【００６３】
ベースルール抽出手段２４に含まれる第２抽出制御手段（不図示）は、予定時刻に該当するポリシーの、ポリシーＤＢ群５１の「ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４」から新たに処理される設定ルール（第２設定ルールあるいは第２設定条件情報）を追加する。すなわち、前記ポリシー情報蓄積処理手段５３及び前記ポリシールール蓄積処理手段５４を参照して、前記通信機器に対応する新たに処理するポリシーに基づいて、新たに処理する第２設定ルールを抽出するとともに、前記第１抽出手段にて抽出された前記第１設定ルールに前記第２設定ルールを追加する処理を行う。
【００６４】
さらに、ベースルール抽出手段２４に含まれる第３抽出制御手段（不図示）は、デフォルトポリシー情報蓄積処理手段５５から、該当する通信機器の「デフォルトルール」（第３設定ルールあるいは第３設定条件情報）を抽出し、設定ルールを追加する。「デフォルトポリシー」は、標準設定時のポリシーである。すなわち、前記デフォルトポリシー情報蓄積処理手段５５及び前記ポリシールール蓄積処理手段５４を参照して、該当する通信機器に対応するデフォルトポリシーに基づいて、デフォルトの第３設定ルールを抽出するとともに、第１設定ルールに追加された第２設定ルールにさらに第３設定ルールを追加する処理を行う  
【００６５】
そして、判定制御手段は、全て追加された第１、第２、第３設定ルールからなる設定ルールを、先頭から検索判定し、後続の重複した設定ルールの要素を削除する処理を行う。
【００６６】
この結果、ベースルールが生成される。作成されたベースルールは、後工程にて利用されるよう、ベースルール情報一時記憶手段５６に記憶される。  
【００６７】
なお、ルール適用が「アクセス制御リスト内で最初に適合したルールを優先する」とならない場合に、任意に優先順位を設定してもよい（優先順位設定手段）。
【００６８】
適合性確認処理手段３２は、設定内容が機能的に適合するか、入力ミスの判定も含めてチェックを実施する機能を有する。使用者は、要求情報を設定する通信機器を意識しないで作成するため、ベースルールが通信機器の機能を超えた内容になっている場合があるからである。適合性確認処理手段３２は、図３に示すように、形式エラー判定手段３２ａと、機能エラー判定手段３２ｂとを含んで構成される。
【００６９】
先ず、適合性確認処理手段３２の形式エラー判定手段３２ａは、「ベースルール」の形式エラーを判定する。形式エラーの判定項目は、例えば図９に示すような項目が挙げられる。図９に示すように、適合性確認処理手段３２の形式エラー判定手段は、「送信元アドレスのマスク長がアドレス長を超えている」か否かを判定する第１形式エラー判定部と、「送信先アドレスのマスク長がアドレス長を超えている」か否かを判定する第２形式エラー判定部と、「ＡＣＴＩＯＮに、パケット通過／パケット遮断／帯域制御以外の指定をした」か否かを判定する第３エラー判定部と、「ログに、ＮＯＮＥ／ＬＯＧ／ＡＬＥＲＴ以外が指定された」か否かを判定する第４エラー判定部と、「ポートがあるプロトコル（ＴＣＰ／ＵＤＰ）で０ポートが単一指定された」か否かを判定する第５エラー判定部と、「タイプがあるプロトコル（ＩＣＭＰ）で２５５以上が指定された」か否かを判定する第６エラー判定部と、「プロトコル番号が２５５を超えている」か否かを判定する第７エラー判定部と、「ポート／タイプの範囲指定で『開始指定値＞終了指定値』である」か否かを判定する第８エラー判定部と、を含んで構成される。これにより、「ベースルール」の各種の形式エラーを判定することができる。
【００７０】
さらに、適合性確認処理手段３２の機能エラー判定手段３２ｂは、図１０に示すように、「『ＩＰＶ６』をサポートしていない機器のネットワークに、ＩＰＶ６を指定している」か否かを判定する第１機能エラー判定部と、「『帯域制御』をサポートしていない機器の要求に、帯域制御をしている」か否かを判定する第２機能エラー判定部と、「『ＡＬＥＲＴログ』をサポートしていない機器のログに、ＡＬＥＲＴログを指定している」か否かを判定する第３機能エラー判定部と、「『ＩＣＭＰタイプに数字』をサポートしていない機器のログに、ＩＣＭＰタイムテーブルで変換できないタイプを指定している」か否かを判定する第４機能エラー判定部と、「ＡＣＴＩＯＮテーブルで変換できないＡＣＴＩＯＮ（パケット通過／パケット遮断／帯域制御）を指定している」か否かを判定する第５機能エラー判定部と、を含んで構成される。これにより、「ベースルール」の各種の機能エラーを判定することができる。  
【００７１】
ルール作成処理手段３３にて処理される前に、予め、作成するルール情報の記述内容が通信機器毎で異なるので、通信機器のベースパターンをルール定義情報蓄積処理手段６３に予め記述しておく。
【００７２】
ルール作成処理手段３３は、図３に示すように、ルール情報取得手段３３ａと、記述パターン修正手段３３ｂとを含んで構成される。
【００７３】
ルール作成処理手段３３のルール情報取得手段３３ａは、予めベースパターンが記述されたルール定義情報のうち、設定対象となる通信機器に対応するルール定義情報の展開パターンであるベースパターンを読込んで取得する。そして、ルール作成処理手段３３の記述パターン修正手段３３ｂは、ベースパターンを、「ベースルール」に応じて記述パターンで修正して適用ルールを作成する。作成された適用ルールは、適用ルール情報一時記憶手段６６に一時記憶される。
【００７４】
パラメータ変換手段３４は、通信機器に応じた変換テーブル６４とベースルールを突合せ、「パラメータ情報」を作成する。「変換テーブル」は、通信機器毎に独自なパラメータとして保持している。変換テーブル情報６４のデータ構造は、例えば図１３に示すような構成が挙げられる。：キー、記述内容を含む。構成は図１１の表を参照する。
【００７５】
なお、「プロトコル」・「プロトコルタイプ」・「ＩＣＭＰタイプ」・「パケット通過」・「パケット遮断」の、記述は通信機器毎で異なる。よって、ベースルールは同じでも設定する通信機器に応じて可変にする必要がある。  
【００７６】
パラメータ展開手段３５は、「適用ルール」に含まれるキーワードを対応する「パラメータ情報」で展開し、設定ポリシー３６の作成を促す。作成したルールで「プロトコル」「ＩＣＭＰタイプ」の記述がパラメータ置換が可能（図１０の表を参照）であれば、該当するパラメータを展開する。また、「ＡＣＴＩＯＮ記述」はパラメータ展開が前提（図１３のテーブルを参照）なので、パラメータに展開する。
【００７７】
設定ポリシー生成手段３６は、設定ポリシーを作成する。設定ポリシーのデータ構造は、例えば図１４に示す構成が挙げられる。設定ポリシーは、例えばＩＰｖ４ルールの登録及び適用をするためのコマンド群等を含む。
【００７８】
設定ポリシー設定登録処理手段４２は、ルール定義情報（図１２を参照）から作成した接続コマンドに従い、対象となる通信機器に接続し、作成したルールを登録及び適用する制御を行う。ここで、ルールの設定登録処理は、図１７乃至図１９の設定フローチャートを参照する。図１７のＳ３０２、Ｓ３０４、図１８のＳ３０７、Ｓ３０９、図１９のＳ３１２、Ｓ３１４は、図２０の送信フローチャートを参照する。
【００７９】
さらにまた、設定ポリシー設定登録処理手段４２は、アクセス制御リストを登録するためのアクセス制御リスト登録処理部と、通信機器に適用するための適用処理部とを含んでよい。また、その他の各部４３は、各種処理を行う。
【００８０】
ポリシーモデル制御手段４４は、各部の実行順序を制御する。実行順序に従って各部に実行指示を与え、各部に処理を実行させる機能を有する。
【００８１】
（蓄積処理手段）
蓄積処理手段５０は、要求情報蓄積処理手段（要求＜リクエスト＞ＤＢ）５２と、ポリシー情報蓄積処理手段（ポリシーＤＢ）５３と、ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４と、デフォルトポリシー情報蓄積処理手段５５と、ベースルール情報一時記憶手段５６と、通信機器関連情報蓄積処理手段（通信機器ＤＢ）６２と、ルール定義情報蓄積処理手段６３と、変換テーブル情報蓄積処理手段６４と、適用ルール情報一時記憶手段６６と、パラメータ情報一時記憶手段６７と、設定ポリシー情報一時記憶手段６８と、情報蓄積処理管理手段６９と、を含んで構成される。
【００８２】
（要求＜リクエスト＞ＤＢのデータ構造）  
要求情報蓄積処理手段（要求＜リクエスト＞ＤＢ）５２は、要求ＩＤ、イベント等の情報を含む。要求情報蓄積処理手段（要求＜リクエスト＞ＤＢ）５２のデータ構造は、例えば図８のような構成が挙げられる。
【００８３】
要求情報蓄積処理手段５２の一例である要求＜リクエスト＞ＤＢ（データベース）は、図８に示すように、「要求ＩＤ」、「イベント」、「問合せ内容」、「ポリシーＩＤ」、「機器の識別コード」、「実行予定時刻」、「残りリトライ回数」、「リトライ間隔」、「レスポンスの返却先コード」、「終了番号」、「ログ識別コード」、「帯域制御値」などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。
【００８４】
「イベント」は、「ポリシー登録」、「ポリシー削除」、「ポリシー問い合わせ」、「ルール削除」のいずれかの状態のイベントとして設定される。「実行予定時刻」は、ＵＴＣ（１９７０／１／１からの通算秒数）で表される。これらの各項目が、要求ＩＤ毎に、蓄積処理されるデータ構造となっている。
【００８５】
（ポリシーＤＢのデータ構造）    
ポリシー情報蓄積処理手段（ポリシーＤＢ）５３は、ポリシーＩＤ、通信機器の識別コード等を含む。ポリシー情報蓄積処理手段（ポリシーＤＢ）５３のデータ構造は、例えば図６のような構成が挙げられる。
【００８６】
ポリシー情報蓄積処理手段５３の一例であるポリシーＤＢ（データベース）は、図６に示すように、「ポリシーＩＤ」、「機器の識別コード」、「ルール情報の件数」、「ＮＥＴＷＯＲＫ」、「ポリシーキャンセル」、「ポリシー状態」、「設定予定時刻」、「解除予定時刻」、「要求ＩＤ」、「ポリシー削除状態」、などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。
【００８７】
「ＮＥＴＷＯＲＫ」は、「ＩＰＶ４」か「ＩＰＶ６」に設定できるようになっている。「ポリシー状態」は、「設定時」、「設定中」、「設定済」のうちのいずれかの状態となる。「設定予定時刻」及び「解除予定時刻」は、ＵＴＣ（１９７０／１／１からの通算秒数）で表される。「要求ＩＤ」は、ポリシー状態が設定済みの場合には「０」となるように設定される。
【００８８】
（ポリシールールＤＢのデータ構造）
ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４は、ポリシーＩＤ、ルール通番等を含む。ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４のデータ構造は、例えば図７のような構成が挙げられる。尚、これらの各ＤＢは、予定時刻で昇順にソートされている。
【００８９】
ポリシールール情報蓄積処理手段５４の一例であるポリシールールＤＢ（データベース）は、図７に示すように、「ポリシーＩＤ」、「ルール通番」、「ＡＣＴＩＯＮ」、「送信元ＩＰアドレス」、「送信元ネットワークマスク長」、「宛先ＩＰアドレス」、「宛先ネットワークマクス長」、「プロトコル」、「開始番号」、「終了番号」、「ログ識別コード」、「帯域制御値」などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。
【００９０】
「ＡＣＴＩＯＮ」は、「パケット通過」、「パケット遮断」、「帯域制御によるパケット通過」のいずれかの状態が想定されうる。「プロトコル」は、プロトコル番号で表される。「開始番号」は、ポート、ＩＣＭＰタイプ、ＩＣＭＰｖ６タイプの番号範囲開始番号で表される。「終了番号」は、ポート、ＩＣＭＰタイプ、ＩＣＭＰｖ６タイプの番号範囲狩猟番号で表される。これらの各項目が、ポリシーＩＤ毎に、蓄積処理されるデータ構造となっている。  
【００９１】
デフォルトポリシー情報蓄積処理手段５５は、各種通信機器の各デフォルトポリシー情報（標準ポリシー設定条件情報）が各々記憶されることによって蓄積処理されている。
【００９２】
なお、要求情報蓄積処理手段（要求＜リクエスト＞ＤＢ）５２、ポリシー情報蓄積処理手段（ポリシーＤＢ）５３、ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４、デフォルトポリシー情報蓄積処理手段５５とでポリシーＤＢ群５１を構成する。
【００９３】
ベースルール情報一時記憶手段５６は、ベースルール抽出手段２４にて作成されたベースルール情報を記憶しておく。
【００９４】
（通信機器ＤＢのデータ構造）  
通信機器情報蓄積処理手段（通信機器ＤＢ）６２は、予め各種通信機器の各関連情報を記憶することによって蓄積処理される。
【００９５】
通信機器情報蓄積処理手段６２の一例である通信機器ＤＢ（データベース）は、図１１に示すように、「処理関連」、「ＬＯＧ関連」、「機能関連」、「オプション」、「番号関連」、「通信関連」、「機器固有」などの大項目を有しており、この大項目毎にデータが読み出し及び書き込みされるデータ構造となっている。
【００９６】
より詳細には、「処理関連」の項目では、さらに、「ルール定義ファイルの名称」、「変換定義ファイルの内容」などの項目毎に、データが読み出し及び書き込みされるデータ構造となっている。「ＬＯＧ関連」の項目では、「ＬＯＧに記述する内容」などに関するデータが読み出し及び書き込みされるデータ構造となっている。
【００９７】
「機能関連」の項目では、「ＩＰＶ６が対応か否か」、「帯域制御が可能か否か」、  「ＡＲＥＲＴログの指定が可能か否か」、「ＩＣＭＰタイムテーブルに未登録の場合は、数値指定が可能か否か」などに関する各可否データが読み出し及び書き込みされるデータ構造となっている。
【００９８】
「オプション」の項目では、「通信をタイムアウトする時間」などに関する時間情報のデータが読み出し及び書き込みされるデータ構造となっている。「番号関連」の項目では、「アクセスリスト設定番号１」、「アクセスリスト設定番号２」、「アクセス作業番号」、「ＩＰＶ６用アクセスリスト設定番号１」、「ＩＰＶ６用アクセスリスト設定番号２」、「ＩＰＶ６用アクセスリスト作業番号」などに関するデータが読み出し及び書き込みされるデータ構造となっている。
【００９９】
「通信関連」の項目では、「起動しているＩＰアドレス」、「設定対象機器のＩＰアドレス」、「アクセスリスト作業番号」などに関するデータが読み出し及び書き込みされるデータ構造となっている。「機器固有」の項目では、「ユーザＩＤ」、「パスワード」、「接続ポート」、「特権権限パスード」などに関するデータが読み出し及び書き込みされるデータ構造となっている。    
【０１００】
（ルール定義ファイルのデータ構造）  
ルール定義情報蓄積処理手段６３は、予め各種通信機器の各ルール定義情報を記憶することによって蓄積処理される。
【０１０１】
ルール定義情報蓄積処理手段６３の一例であるルール定義ファイルは、図１２に示すように、「ＩＰＶ４：ルール登録」、「ＩＰＶ４：ルール適用」、「ＩＰＶ６：ルール登録」、「ＩＰＶ６：ルール適用」、「正常終了時のルール保存」、「異常終了時のルール保存」、「ＩＰＶ４：送信先ＩＰアドレス」、「ＩＰＶ６：送信元ＩＰアドレス」、「ＩＰＶ４：送信元ＩＰアドレス」、「ＩＰＶ４：送信先ＩＰアドレス」、「ＩＰＶ６：送信元ＩＰアドレス」、「ＩＰＶ６：送信先ＩＰアドレス」、「ＩＰＶ４：プロトコル」、「ＩＰＶ４：ＩＣＭＰタイプ」、「ＩＰＶ４：ＰＯＲＴ」、「ＩＰＶ６：プロトコル」、「ＩＰＶ６：ＩＣＭＰタイプ」、「ＩＰＶ６：ＰＯＲＴ」、「帯域制御値」、「ＬＯＧ記述」、などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。
【０１０２】
「ＩＰＶ４：プロトコル」は、「ＡＮＹの記述パターン」、「パラメータ変換が可能な記述パターン」、「パラメータ変換が不可能な記述パターン」、などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。「ＩＰＶ４：ＩＣＭＰタイプ」は、「ＡＮＹの記述パターン」、「単一指定で、パラメータ変換が可能ない記述パターン」、「範囲指定で、パラメータ変換が可能な記述パターン」、「ＩＣＭＰタイプがないプロトコル以外の記述パターン」、などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。  
【０１０３】
「帯域制御値」は、「パケット通過の記述パターン」、「パケット遮断の記述パターン」、「帯域制御でパケット通過の記述パターン」などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。「ＬＯＧ記述」は、「ＮＯＮＥの記述パターン」、「ＬＯＧの記述パターン」、「ＡＬＥＲＴの記述パターン」、などの項目毎にデータが読み出し及び書き込みされるデータ構造となっている。
【０１０４】
図１２の例では、ベースパターンを、記述パターンで修正できる部分については修正したルール定義情報を示している。このように、ルール定義情報は、ベースパターン、記述パターンを含んで構成される。
【０１０５】
（変換テーブルのデータ構造）  
変換テーブル情報蓄積処理手段６４は、予め各種通信機器に独自の各パラメータ情報を有する各変換テーブル情報を記憶することによって蓄積処理される。変換テーブル情報では、キーと記述内容であるパラメータ情報とが対応して記憶される。
【０１０６】
変換テーブル情報蓄積処理手段６４は、図１３に示すように、「ＩＰＶ４：プロトコルテーブル」、「ＩＰＶ４：ＰＯＲＴ／ＴＹＰＥテーブル」、「ＩＰＶ４：ＩＣＭＰテーブル」、「ＩＰＶ６：プロトコルテーブル」、「ＩＰＶ６：ＰＯＲＴ／ＴＹＰＥテーブル」、「ＩＰＶ６：ＩＣＭＰテーブル」、「ＡＣＴＩＯＮ識別コード」の各変換テーブルを有するデータ構造となっている。
【０１０７】
「ＩＰＶ４：プロトコルテーブル」は、キーとなる「プロトコル番号」とその記述内容との対応関係が規定された情報格納部を構成している。そして、項目（プロトコル番号）毎にデータが読み出し及び書き込みされるデータ構造となっている。
【０１０８】
「ＩＰＶ４：ＰＯＲＴ／ＴＹＰＥテーブル」は、キーとなる「プロトコル番号」とその識別コードとの対応関係が規定された情報格納部を構成している。識別コードとしては、例えば、「１」であれば「ＰＯＲＴが指定可能」であり、「２」であれば「ＩＣＭＰタイプが指定可能」となるように識別される。そして、項目（プロトコル番号）毎にデータが読み出し及び書き込みされるデータ構造となっている。
【０１０９】
「ＩＰＶ４：ＩＣＭＰテーブル」は、キーとなる「タイプ番号」とその記述内容との対応関係が規定された情報格納部を構成している。そして、項目（タイプ番号）毎にデータが読み出し及び書き込みされるデータ構造となっている。
【０１１０】
「ＩＰＶ６：プロトコルテーブル」は、キーとなる「プロトコル番号」とその記述内容との対応関係が規定された情報格納部を構成している。そして、項目（プロトコル番号）毎にデータが読み出し及び書き込みされるデータ構造となっている。
【０１１１】
「ＩＰＶ６：ＰＯＲＴ／ＴＹＰＥテーブル」は、キーとなる「プロトコル番号」とその識別コードとの対応関係が規定された情報格納部を構成している。識別コードとしては、例えば、「１」であれば「ＰＯＲＴが指定可能」であり、「２」であれば「ＩＣＭＰタイプが指定可能」となるように識別される。そして、項目（プロトコル番号）毎にデータが読み出し及び書き込みされるデータ構造となっている。
【０１１２】
「ＩＰＶ６：ＩＣＭＰテーブル」は、キーとなる「タイプ番号」とその記述内容との対応関係が規定された情報格納部を構成している。そして、項目（タイプ番号）毎にデータが読み出し及び書き込みされるデータ構造となっている。  
【０１１３】
「ＡＣＴＩＯＮ識別コード」は、キーとなる「ＡＣＴＩＯＮ識別コード」とその記述内容との対応関係が規定された情報格納部を構成している。そして、項目（ＡＣＴＩＯＮ識別コード）毎にデータが読み出し及び書き込みされるデータ構造となっている。  
【０１１４】
適用ルール情報一時記憶手段６６は、ルール作成処理手段３３にて作成された適用ルールを記憶している。パラメータ情報一時記憶手段６７は、パラメータ変換手段３４にて変換されたパラメータ情報を記憶している。
【０１１５】
（設定ポリシーのデータ構造）  
設定ポリシー情報一時記憶手段６８は、パラメータ展開手段３５にて展開された適用ルール情報を、設定ポリシー生成手段３６にて設定ポリシとした上で、設定ポリシー生成手段３６により設定ポリシー情報が記憶される。
【０１１６】
設定ポリシーは、図１４に示すように、「ＩＰＶ４：ルール登録」、「ＩＰＶ４：ルール適用」、「ＩＰＶ６：ルール登録」、「ＩＰＶ６：ルール適用」、「正常終了時の保存コマンド」、「異常終了時の保存コマンド」の各項目を有するデータ構造となっている。
【０１１７】
「ＩＰＶ４：ルール登録」は、ＩＰＶ４用のアクセスリスト（アクセス制御リスト）を登録するコマンドがセットされている。「ＩＰＶ４：ルール適用」は、ＩＰＶ４用のアクセスリスト（アクセス制御リスト）を適用するコマンドがセットされている。
【０１１８】
「ＩＰＶ６：ルール登録」は、ＩＰＶ６用のアクセスリスト（アクセス制御リスト）を登録するコマンドがセットされている。「ＩＰＶ６：ルール適用」は、ＩＰＶ６用のアクセスリスト（アクセス制御リスト）を適用するコマンドがセットされている。
【０１１９】
「正常終了時の保存コマンド」は、登録、適用したルールを恒久的に保存するコマンドがセットされている。「異常終了時の保存コマンド」は、登録中のルールを廃棄するコマンドがセットされている。  
【０１２０】
情報蓄積処理管理手段６９は、要求情報蓄積処理手段（要求＜リクエスト＞ＤＢ）５２、ポリシー情報蓄積処理手段（ポリシーＤＢ）５３、ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４、デフォルトポリシー情報蓄積処理手段５５、ベースルール情報一時記憶手段５６、通信機器関連情報蓄積処理手段（通信機器ＤＢ）６２、ルール定義情報蓄積処理手段６３、変換テーブル情報蓄積処理手段６４、適用ルール情報一時記憶手段６６、パラメータ情報一時記憶手段６７、設定ポリシー情報一時記憶手段６８などを総合的に管理する。なお、各部が自発的に対応する情報を取得する機能を備えてもよい。また、その機能を情報蓄積処理管理手段６９が持つようにしてもよい。  
【０１２１】
（設定入力画面について）
次に、アクセス制御設定支援装置におけるポリシー情報、ルール情報を設定入力するための設定入力画面より入力される情報の要素について、図４及び図５を参照しつつ説明する。
【０１２２】
第１の設定条件情報設定手段であるポリシー情報設定入力画面は、図４に示すように、「イベント」、「設定予定時刻」、「解除予定時刻」、「設定対象（通信機器の種別）」  、「ＮＥＴＷＯＲＫ（ネットワークのタイプ）」の各項目毎に設定入力が可能となっている。図４の例では、「イベント」（第１ポリシー設定条件情報）は、ポリシーを登録するのか、あるいは、ポリシーを削除するのかを指定するための項目であり、ポリシー登録、ポリシー削除等を選択できるようになっている。
【０１２３】
「設定予定時刻」（第２ポリシー設定条件情報）は、予定時刻にポリシーを設定する処理を開始するよう、設定予定時間情報を設定入力できるようになっている。なお、直ちに設定処理を行う場合には、即時指定とすることができる。
【０１２４】
「解除予定時刻」（第３ポリシー設定条件情報）は、予定時刻にポリシーの設定を解除する処理を開始するよう、解除予定時間情報を設定入力できるようになっている。なお、直ちに解除処理を行う場合には、即時指定とすることができる。
【０１２５】
「設定対象（通信機器の種別）」（第４ポリシー設定条件情報）は、通信機器の識別コードを設定入力することにより、複数の通信機器のうちどの通信機器にポリシーを設定するのか、を決定することができる。
【０１２６】
「ＮＥＴＷＯＲＫ（ネットワークのタイプ）」（第５ポリシー設定条件情報）は、通信機器と通信されるネットワークがＩＰＶ６のプロトコルのタイプを利用するのか、ＩＰＶ４のプロトコルのタイプを利用するのかを、通信機器に応じて選択設定できるようになっている。
【０１２７】
なお、図４は、設定入力画面から入力される情報ということもできるし、入力されてポリシーＤＢ群に情報が登録されるまでの設定入力データ構造ということもできる。
【０１２８】
第２の設定条件情報設定手段であるルール情報設定入力画面は、図５に示すように、「どこから」、「どこへ」、「なにを」、「どのように」、「どうする」の各項目毎に設定入力が可能となっている。図５の例では、「どこから」の設定項目（第１ルール設定条件情報）  は、送信元のＩＰアドレス、マスク長などを設定入力できるようになっている。
【０１２９】
「どこへ」の設定項目（第２ルール設定条件情報）は、送信元のＩＰアドレス、マスク長などを設定入力できるようになっている。
【０１３０】
「なにを」の設定項目（第３ルール設定条件情報）は、プロトコル、ポート・タイプなどを設定入力できるようになっている。  
【０１３１】
「どのように」の設定項目（第４ルール設定条件情報）は、帯域制御値、ログなどを設定入力できるようになっている。  
【０１３２】
「どうする」の設定項目（第５ルール設定条件情報）は、パケット通過、パケット遮断などを設定入力できるようになっている。  
【０１３３】
なお、図５は、設定入力画面から入力される情報ということもできるし、入力されてポリシールールＤＢに情報が登録されるまでの設定入力データ構造ということもできる。
【０１３４】
以上のようなユーザーインターフェースを利用して、ポリシー情報及びルール情報の設定入力を行うことにより、装置使用者は、アクセス制御リストを意識せずに、通信機器のアクセス制御リストの設定を行うことができる。
【０１３５】
（アクセス制御設定支援システムのブロック図の動作）
以上のような構成からなる本実施の形態のアクセス制御設定支援システムの図１のブロク図における動作は、以下のように行われる。この動作は、図１のブロック図の各構成要素が如何に作用するかを説明するためのものである。
【０１３６】
すなわち、表示手段７０の表示制御手段７４は、ユーザ（使用者）の操作指示に基づいて、表示手段７０にポリシー情報を設定するためのポリシー情報設定表示画面（ポリシー情報表示設定手段７２）を表示させ、ユーザーに対してポリシー情報の設定入力を促す。
使用者は、ポリシー情報表示設定手段７２にてポリシー情報を設定する。
【０１３７】
この際、図４に示す定型入力形式の各項目に従って設定入力を行う。ポリシー情報は、ポリシーを登録するのか、ポリシーを削除するのかを示す「イベント」情報、「設定予定時刻」情報、「解除予定時刻」情報、設定対象の通信機器の識別コードを示す「設定対象」情報、ネットワークのＩＰプロトコルの種別を示す「ＮＥＴＷＯＲＫ」ＩＰプロトコル識別情報を含む。
【０１３８】
次に、表示制御手段７４は、ポリシー情報の設定入力が終了すると、表示手段７０にルール情報を設定するためのルール情報設定表示画面（ルール情報表示設定手段７３）を表示させ、ユーザーに対してルール情報の設定入力を促す。
【０１３９】
使用者は、ルール情報表示設定手段７３にてルール情報を設定する。この際、図５に示す定型入力形式の各項目に従って設定入力を行う。ルール情報は、送信元のＩＰアドレス情報及び送信元ネットワークマスク長情報（第１ルール設定条件情報）、送信先のＩＰアドレス情報及び送信先ネットワークマスク長情報（第２ルール設定条件情報）、プロトコル情報及びポート・タイプ情報（第３ルール設定条件情報）、帯域制御値情報及びログ情報（第４ルール設定条件情報）、パケット通過又はパケット遮断に関する情報（第５ルール設定条件情報）を含む。
【０１４０】
そして、図１に示すように、制御手段２０のポリシー生成モデル制御手段４４は、表示制御手段７４からの指示により、要求情報登録制御手段２２を動作させ、設定入力されたポリシー情報とルール情報とを要求情報とし、該要求情報に要求ＩＤ情報を対応させた上で、要求情報蓄積処理手段５２に記憶蓄積させる。この際、要求情報登録制御手段２２は、要求情報のうち、要求ＩＤ情報やイベント情報、ポリシーＩＤ情報、通信機器の識別コード情報、実行予定時刻情報などの各情報を要求情報蓄積処理手段５２に記憶蓄積させるとともに、要求情報登録制御手段２２は、その他、問合せ内容に関する情報、残りリトライ回数に関する情報、リトライ間隔に関する情報、レスポンスの返却先コードに関する情報なども各々対応づけて（図８）、要求情報蓄積処理手段５２に蓄積処理するように制御する。
【０１４１】
さらに、要求情報登録制御手段２２は、要求情報に含まれる各情報を、要求情報蓄積処理手段５２のみならず、ポリシー情報蓄積処理手段５３やポリシールール情報蓄積処理手段５４などにも記憶蓄積する制御を行う。
【０１４２】
具体的には、要求情報のうち通信機器の識別コード情報、ルール情報の件数、ＮＥＴＷＯＲＫのＩＰプロトコルの種別に関する情報、ポリシーをキャンセルしたかを示す情報、ポリシー状態を示すポリシー状態情報、設定予定時刻情報、解除予定時刻情報、要求ＩＤ情報、ポリシーの削除状態を示す削除状態情報などは、ポリシーＩＤ情報と対応づけられて、ポリシー情報蓄積処理手段５３に記憶蓄積される。
【０１４３】
また、要求情報のうち、送信元ＩＰアドレス情報、送信元ネットワークマスク長情報、宛先ＩＰアドレス情報、宛先ネットワークマスク長情報、プロトコル番号情報、ポート・ＩＣＭＰタイプ・ＩＣＭＰｖ６タイプ番号範囲開始番号情報、ポート・ＩＣＭＰタイプ・ＩＣＭＰｖ６タイプ番号範囲終了番号情報、ログ識別コード情報、帯域制御値情報、パケット通過又はパケット遮断或いは帯域制御によるパケット通過を示すＡＣＴＩＯＮ情報などは、ルール通番情報及びポリシーＩＤ情報と対応づけられて、ポリシールール情報蓄積処理手段５４に記憶蓄積される。
【０１４４】
なお、要求情報に含まれる各情報に、要求ＩＤ情報、ポリシーＩＤ情報を付与するのは、要求情報登録制御手段２２のＩＤ付与手段２２ｂ（図３）によって行うことが好ましい。
【０１４５】
さらに、要求情報登録制御手段２２は、予定時刻昇順並べ替え手段２２ａ（図３）によって、要求情報蓄積処理手段５２、ポリシー情報蓄積処理手段５３、ポリシールール情報蓄積処理手段５４を各々予定時刻順に並べ替えておく。
【０１４６】
次に、制御手段２０のポリシー生成モデル制御手段４４は、ポリシー監視手段２３に指示を出し、ポリシー監視手段２３の予定時刻監視手段２３ａ（図３）は、要求情報蓄積処理手段５２の予定時刻を監視する。予定時刻比較手段２３ｂは、要求情報蓄積処理手段５２に保持されている予定時刻と、稼働時刻（システム時刻）を比較する。設定・解除対象ポリシー抽出手段２３ｃは、予定時刻に到達したイベントを設定・解除対象ポリシーとして抽出する。
【０１４７】
なお、ポリシー監視手段２３は、予定時刻を指定した場合は指定時刻で、指定しない場合は入力時に即時でポリシーの設定・解除を行う。
【０１４８】
次に、制御手段２０のポリシー生成モデル制御手段４４は、ベースルール抽出手段２４に処理を実行するよう指示する。
ベースルール抽出手段２４は、先ず、ポリシー監視手段２３にて抽出された予定時刻に該当するポリシーから、ポリシーＤＢ群５１の「ポリシー情報蓄積処理手段（ポリシーＤＢ）５３」より、設定対象とポリシー状態（設定時、設定中、設定済みのいずれか）を判定する。
【０１４９】
そして、ベースルール抽出手段２４に含まれる第１抽出制御手段（不図示）は、該当する通信機器で設定済のポリシーのポリシーＤＢ群２０の「ポリシー情報蓄積処理手段５４（ポリシールールＤＢ）」から設定ルールを抽出する。すなわち、ポリシー情報蓄積処理手段５４から設定対象となる前記通信機器に対応する設定済みのポリシーを抽出し、ポリシールール蓄積処理手段５４を参照して、設定済みのポリシーに基づいて、設定済みのルール（第１設定ルールあるいは第３設定条件情報）を抽出する。
【０１５０】
ベースルール抽出手段２４に含まれる第２抽出制御手段（不図示）は、予定時刻に該当するポリシーの、ポリシーＤＢ群５１の「ポリシールール情報蓄積処理手段（ポリシールールＤＢ）５４」から新たに処理される設定ルール（第２設定ルールあるいは第３設定条件情報）を追加する。すなわち、前記ポリシー情報蓄積処理手段５３及び前記ポリシールール蓄積処理手段５４を参照して、前記通信機器に対応する新たに処理するポリシーに基づいて、新たに処理する第２設定ルールを抽出するとともに、前記第１抽出手段にて抽出された前記第１設定ルールに前記第２設定ルールを追加する処理を行う。
【０１５１】
さらに、ベースルール抽出手段２４に含まれる第３抽出制御手段（不図示）は、デフォルトポリシー情報蓄積処理手段５５から、該当する通信機器の「デフォルトルール」を抽出し、設定ルールを追加する。「デフォルトポリシー」は、標準設定時のポリシーである。すなわち、デフォルトポリシー情報蓄積処理手段５５及び前記ポリシールール蓄積処理手段５３を参照して、該当する通信機器に対応するデフォルトポリシーに基づいて、デフォルトのデフォルトルール（第３設定ルールあるいは第３設定条件情報）を抽出するとともに、前記第１設定ルールに追加された第２設定ルールにさらに第３設定ルールを追加する処理を行う。
【０１５２】
そして、ベースルール抽出手段２４に含まれる判定制御手段（不図示）は、全て追加された第１、第２、第３設定ルールからなる設定ルールを、先頭から検索判定し、後続の重複した設定ルールの要素を削除する処理を行う。
【０１５３】
この結果、ベースルールが生成される。作成されたベースルールは、後工程にて利用されるよう、ベースルール情報一時記憶手段５６に記憶される。  
【０１５４】
次に、制御手段２０のポリシー生成モデル制御手段４４は、適合性確認処理手段３２に処理を実行するよう指示する。適合性確認処理手段３２の形式エラー判定手段３２ａ（図３）は、「ベースルール」の形式エラーを判定する。適合性確認処理手段３２の機能エラー判定手段３２ｂ（図３）は、「ベースルール」の機能エラーを判定する。２つの各判定にて適合性ありと判定された場合には、制御手段２０のポリシー生成モデル制御手段４４は、ルール作成処理手段３３に処理を実行するよう指示する。
【０１５５】
ルール作成処理手段３３のルール情報取得手段３３ａ（図３）は、ルール定義情報蓄積処理手段６３を参照し、予めベースパターンが記述されたルール定義情報のうち、設定対象となる通信機器に対応するルール定義情報の展開パターンであるベースパターンを取得する。
【０１５６】
そして、ルール作成処理手段３３の記述パターン修正手段３３ｂ（図３）は、ベースパターンを、「ベースルール」に応じた記述パターンで修正して適用ルールを作成する。
作成された適用ルールは、適用ルール情報一時記憶手段６６に一時記憶される。
【０１５７】
次に、制御手段２０のポリシー生成モデル制御手段４４は、パラメータ変換手段３４に処理を実行するよう指示する。パラメータ変換手段３４は、通信機器に応じた変換テーブル情報蓄積処理手段６４とベースルールを突合せ、「パラメータ情報」を作成する。
【０１５８】
次に、制御手段２０のポリシー生成モデル制御手段４４は、パラメータ展開手段３２に処理を実行するよう指示する。パラメータ展開手段３５は、「適用ルール」に含まれるキーワードを対応する「パラメータ情報」で展開する。すなわち、作成したルールで例えば「プロトコル」「ＩＣＭＰタイプ」の記述がパラメータ置換が可能であれば、該当するパラメータを展開する。また、「ＡＣＴＩＯＮ記述」はパラメータ展開が前提（図１３のテーブルを参照）なので、パラメータに展開する。
このようにして、設定ポリシー生成手段４２は、設定ポリシーを生成して、設定ポリシー情報一時記憶手段６８に記憶させる。
【０１５９】
設定ポリシー設定登録処理手段４２は、ルール定義情報（図１２を参照）から作成した接続コマンドに従い、対象となる通信機器に接続し、作成したルールを設定登録するとともに、通信機器に適用する制御を行う。
【０１６０】
（処理手順について）
次に、本発明の方法クレームをサポートするため、上述のような構成を有するアクセス制御設定システムにおける各種の処理手順について、図１５乃至図２０を参照しつつ説明する。図１５は、本発明の第１の実施の形態によるアクセス制御設定システムにおいて、ポリシーを生成する過程の処理手順の一例を示すフローチャートである。
【０１６１】
先ず、ポリシーを生成する過程の処理手順について、「要求情報登録制御処理」、「ポリシー監視処理」、「ベースルール抽出処理」、「適合性確認処理」、「ルール作成処理」、「パラメータ変換処理」、「パラメータ展開処理」の順に説明する。
【０１６２】
（ポリシーを生成する過程の処理）
（要求情報登録制御処理）
まず、入力された要求情報（ポリシー情報、ルール情報）をポリシーＤＢ群に蓄積する処理を行う（ステップＳ１０１）。要求情報は「ポリシー情報」と「ルール情報」から構成される。
【０１６３】
（ポリシー監視処理）
ポリシーＤＢ群の予定時刻を監視する処理を行う（ステップＳ１０２）＜予定時刻監視ステップないしは予定時刻監視処理あるいは予定時刻監視機能＞。次いで、要求＜リクエスト＞ＤＢに保持されている予定時刻と、システム時刻とを比較し、システム時刻が予定時刻に到達したか否かを判定する処理を行う（ステップＳ１０３）＜予定時刻判定ステップないしは予定時刻判定処理あるいは予定時刻判定機能＞。予定時刻に到達したイベントを、設定・解除ポリシーとして抽出する処理を行う（ステップＳ１０４）＜設定ポリシー抽出ステップないしは設定ポリシー抽出処理あるいは設定ポリシー抽出機能／解除ポリシー抽出ステップないしは解除ポリシー抽出処理あるいは解除ポリシー抽出機能＞。
【０１６４】
これによって、要求情報は、予定時刻を指定した場合は指定時刻で、指定しない場合は入力時に即時でポリシーの設定・解除を行う。したがって、この設定・解除のイベントがスケジューリングされているので、ポリシーＤＢ群の「要求＜リクエスト＞ＤＢ」に保持されている予定時刻と稼働時刻（システム時刻）を比較し、予定時刻に到達したイベントを設定・解除対象ポリシーとして抽出している。
【０１６５】
（ベースルール抽出処理）
ポリシーＤＢを参照して、予定時刻に該当するポリシーに関して、設定対象となる通信機器の識別コードと、ポリシー状態とを判定する処理を行う（ステップＳ１０５）＜ポリシー状態判定ステップないしはポリシー状態判定処理あるいはポリシー状態判定機能＞。  
【０１６６】
次に、該当する通信機器に対応する設定済のポリシーに関して、ポリシー情報蓄積処理手段５３（ポリシールールＤＢ）を参照して対応する設定済みの設定ルール（第１設定ルール）を抽出する処理を行う（ステップＳ１０６）。このステップＳ１０５は、本発明にいう「第１抽出ステップ」を構成できる。この第１抽出ステップは、通信機器（設定対象）に対応する設定済みの設定ルール（第１設定条件情報）を抽出する。或いは、第１抽出制御処理、第１抽出制御機能、第１抽出制御手段を構成できる。
【０１６７】
そして、予定時刻に該当するポリシー（新たに処理するポリシー）の設定ルールを、ポリシールールＤＢを参照して抽出し、新たに処理する設定ルール（第２設定ルール）を前記設定済みの設定ルールに追加する処理を行う（ステップＳ１０７）。このステップＳ１０７は、本発明にいう「第２抽出ステップ」を構成できる。この第２抽出ステップは、設定対象に対応する新たに処理される（新たに処理する設定ルール）第２設定条件情報を抽出するとともに、第１抽出ステップにて抽出された（設定済み設定ルール）第１設定条件情報に（新たに処理する設定ルール）第２設定条件情報を追加する処理を行う。或いは、第２抽出制御処理、第２抽出制御機能、第２抽出制御手段を構成できる。
【０１６８】
さらに、デフォルトポリシー情報蓄積処理手段５５（デフォルトポリシーＤＢ）を参照して、該当する通信機器のデフォルトルールを抽出し、デフォルトルール（第３設定ルール）を、追加された前記設定ルールにさらに追加する処理を行う（ステップＳ１０８）。このステップＳ１０８は、本発明にいう「第３抽出ステップ」を構成できる。この第３抽出ステップは、設定対象に対応する定型的に設定される標準設定の（デフォルトルール）第３設定条件情報を抽出するとともに、（設定済みの設定ルール）第１設定条件情報に追加された（新たに処理するルール）第２設定条件情報にさらに第３設定条件情報を追加する処理を行う。或いは、第３抽出制御処理、第３抽出制御機能、第３抽出制御手段を構成できる。
【０１６９】
次いで、全て追加された設定ルール（第１、第２、第３設定ルール又は第１、第２、第３設定条件情報）を、先頭から判定し、後続の重複した設定ルールを削除する処理を行う（ステップＳ１０９）。このステップＳ１０９は、本発明にいう「判定ステップ」を構成できる。この判定ステップは、全て追加された前記第１、第２、第３設定条件情報を先頭から判定し、後続の重複した設定条件情報の要素を削除する処理を行う。或いは、判定制御処理、判定制御機能、判定制御手段を構成できる。これにより、ベースルール（中間ルール）の生成が完了する（ステップＳ１１０）＜中間ルール生成完了ステップ＞。
【０１７０】
以上のステップＳ１０５〜ステップＳ１１０により、本発明にいう「中間設定条件情報抽出ステップ」を構成できる。この中間設定条件情報抽出ステップは、要求設定条件情報と、設定済み設定条件情報と、標準設定条件情報と、に基づいて、設定対象に依存しない中間設定条件情報を抽出する。なお、ここにおいて、抽出は、少なくとも、要求された要求設定条件情報と、設定済み設定条件情報とに基づいて行ってもよい。
【０１７１】
設定・解除対象ポリシーのルールを新たに処理するが、この他に既に設定済のポリシーや定型的に設定するポリシーもある。また、ルール適用が「アクセス制御リスト内で最初に適合したルールを優先する」ため、設定するポリシーの優先順位は、「既に設定済のポリシー」→「新たに処理するポリシー」→「定型的に設定するポリシー」に従って、各ポリシーのルールを抽出し、これらのアクセス制御リストのルール（ベースルール）を作成する。
【０１７２】
（適合性確認処理）
次に、図１５に示すように、ベースルールの形式エラーを判定する処理を行う（ステップＳ１１１）＜形式エラー判定ステップないしは形式エラー判定処理＞。さらに、通信機器ＤＢの該当する通信機器の機能関連から通信機器の機能を決定し、ベースルールが適用可能か否かを判定する処理を行う（ステップＳ１１２）＜機能エラー判定ステップないしは機能エラー判定処理＞。
【０１７３】
これによって、使用者は、要求を設定する通信機器を意識しないで作成するため、ベースルールが通信機器の機能を超えた内容になっている場合がある。よって、設定内容が機能的に適合するか、入力ミスの判定も含めてチェックを実施する。
【０１７４】
以上のステップＳ１１１〜ステップＳ１１２により、本発明にいう「適合性確認処理ステップ」を構成できる。この適合性確認処理ステップは、ベースルール（中間設定条件情報）が通信機器（設定対象）に適合できるか否かを確認する。
【０１７５】
（ルール作成処理）
次いで、予めベースパターンが記述された通信機器毎のルール定義情報の中から対応する通信機器のパターンを取得する処理を行う（Ｓ１１３）＜ルール定義情報展開パターン取得ステップないしはルール定義情報展開パターン取得処理＞。すなわち、作成するルールの記述内容が通信機器毎で異なるので、通信機器のベースパターンをルール定義情報に予め記述しておく。予めベースパターンが記述されたルール定義情報のうち、設定対象となる通信機器に対応するルール定義情報の展開パターンであるベースパターンを読込むのである。
【０１７６】
さらに、展開パターン（ベースパターン）を、ベースルールに応じて、記述パターンで修正して適用ルールを作成する処理を行う（ステップＳ１１４）。
【０１７７】
以上のステップＳ１１３〜ステップＳ１１４により、本発明にいう「適用設定条件情報生成ステップ」を構成できる。この適用設定条件情報生成ステップでは、通信機器（設定対象）に固有の設定条件情報展開パターンを定義したルール定義情報（設定条件情報定義情報）と、ベースルール（中間設定条件情報）と、に基づいて、設定条件情報展開パターンを中間設定条件情報に応じた記述パターンに修正した適用ルール（適用設定条件情報）を生成する。
【０１７８】
（パラメータ変換処理）
次に、ベースルールのうち通信機器毎に可変されるべき記述内容（プロトコル、プロトコルタイプ、ＩＣＭＰタイプ、パケット通過、パケット遮断などの項目）を、通信機器毎の独自のパラメータに変換する変換テーブルを用いて、パラメータ情報に変換してパラメータ情報を作成するパラメータ情報作成処理を行う（ステップＳ１１５）。
【０１７９】
このステップＳ１１５は、本発明にいう「パラメータ情報生成ステップ」に該当する。このパラメータ情報生成ステップは、通信機器（設定対象）毎の独自のパラメータ情報に変換する変換テーブルと、ベースルール（中間設定条件情報）とに基づいて、中間設定条件情報のうち設定対象毎に可変されるべきルールの内容（設定条件情報）をパラメータ情報に変換してパラメータ情報を生成する。
【０１８０】
すなわち、「プロトコル」・「プロトコルタイプ」・「ＩＣＭＰタイプ」・「パケット通過」・「パケット遮断」の記述は、通信機器毎で異なる。よって、ベースルールは同じでも設定する通信機器に応じて可変にする必要があり、本実施の形態のアクセス制御設定支援システムでは、「変換テーブル」を用いて、通信機器毎に独自なパラメータとして保持する。そして、通信機器に応じた変換テーブルとベースルールとを突合せ、パラメータ情報を作成するのである。
【０１８１】
（パラメータ展開処理）
プロトコル、ＩＣＭＰタイプの記述内容がパラメータ変換可能であれば、該当するパラメータを展開するパラメータ情報展開処理を行う（Ｓ１１６）＜パラメータ情報展開ステップないしはパラメータ情報展開処理＞。すなわち、作成したルールで「プロトコル」「ＩＣＭＰタイプ」の記述がパラメータ置換が可能（図１２を参照）であれば、該当するパラメータを展開する。また、「ＡＣＴＩＯＮ記述」はパラメータ展開が前提（図１０を参照）なので、パラメータに展開する。
【０１８２】
これによって、設定ポリシーの作成が完了する（Ｓ１１７）。なお、設定ポリシーは、例えばＩＰｖ４ルールの登録の実行（設定登録処理）や適用を実行（適用処理）するためのコマンド群等を含む。
【０１８３】
以上のステップＳ１１６〜ステップＳ１１７により、本発明にいう「最終設定条件情報生成ステップ」を構成できる。この最終設定条件情報生成ステップは、適用ルール（適用設定条件情報）と、パラメータ情報と、に基づいて、適用設定条件情報のうちパラメータ置換可能な設定条件情報を該当するパラメータ情報で展開し、設定ポリシー（最終設定条件情報）を生成する。
【０１８４】
（設定ポリシー設定登録処理）
次に、ルール定義情報から作成した接続コマンドに従い、対象となる通信機器に接続する処理を行う（Ｓ１１７）。そして、作成したルールを登録する（Ｓ１１８）。
【０１８５】
（設定ポリシー設定登録処理の設定処理について）
次に、設定登録処理の詳細について、図１７乃至図１９を参照しつつ説明する。なお、図１７乃至図１９は、一つのフローチャートであるが、都合上３つに分図されている。
【０１８６】
先ず、図１７に示すように、設定ポリシーの中に、ＩＰＶ４ルール登録があるか否かを判定する処理を行う（ステップＳ３０１）＜ＩＰＶ４ルール登録判定ステップないしはＩＰＶ４ルール登録判定機能）＞。この判定処理において、ＩＰＶ４登録がないと判定された場合には、ステップＳ３０６（図１８）に進む。
【０１８７】
一方、前記判断処理において、ＩＰＶ４登録があると判定された場合には、ＩＰＶ４ルール登録を送信する処理を行う（ステップＳ３０２）＜ＩＰＶ４ルール登録処理（ＩＰＶ４ルール登録処理ステップないしはＩＰＶ４ルール登録処理機能）＞。
【０１８８】
さらに、登録処理中にエラーがあるか否かを判定する処理を行う（ステップＳ３０３）＜ＩＰＶ４ルール登録エラー判定処理＞。この判定処理において、登録処理中にエラーがあると判定された場合には、ステップＳ３１４（図１９）に進む。
【０１８９】
一方、前記判定処理において、登録処理中にエラーがないと判定された場合には、ＩＰＶ４ルール適用を送信する処理を行う（ステップＳ３０４）＜ＩＰＶ４ルール適用処理（ＩＰＶ４ルール適用処理ステップないしはＩＰＶ４ルール適用録処理機能）＞。
【０１９０】
次いで、適用処理中にエラーがあるか否かを判定する処理を行う（ステップＳ３０５）＜ＩＰＶ４ルール適用エラー判定処理＞。この判定処理において、適用処理中にエラーがあると判定された場合には、ステップＳ３１４（図１９）に進む。
【０１９１】
一方、前記判定処理において、適用処理中にエラーがないと判定された場合には、図１８に示すように、設定ポリシーの中に、ＩＰＶ６ルール登録があるか否かを判定する処理を行う（ステップＳ３０６）＜ＩＰＶ６ルール登録判定ステップないしはＩＰＶ６ルール登録判定機能）＞。この判定処理において、ＩＰＶ６登録がないと判定された場合には、ステップＳ３１１（図１９）に進む。
【０１９２】
一方、前記判断処理において、ＩＰＶ６登録があると判定された場合には、ＩＰＶ６ルール登録を送信する処理を行う（ステップＳ３０７）＜ＩＰＶ６ルール登録処理（ＩＰＶ６ルール登録処理ステップないしはＩＰＶ６ルール登録処理機能）＞。
【０１９３】
さらに、登録処理中にエラーがあるか否かを判定する処理を行う（ステップＳ３０８）＜ＩＰＶ６ルール登録エラー判定ステップないしはＩＰＶ６ルール登録エラー判定機能＞。この判定処理において、登録処理中にエラーがあると判定された場合には、ステップＳ３１４（図１９）に進む。
【０１９４】
一方、前記判定処理において、登録処理中にエラーがないと判定された場合には、ＩＰＶ６ルール適用を送信する処理を行う（ステップＳ３０９）＜ＩＰＶ６ルール適用処理（ＩＰＶ６ルール適用処理ステップないしはＩＰＶ６ルール適用録処理機能）＞。
【０１９５】
次いで、適用処理中にエラーがあるか否かを判定する処理を行う（ステップＳ３１０）＜ＩＰＶ６ルール適用エラー判定ステップないしはＩＰＶ６ルール適用エラー判定機能＞。この判定処理において、適用処理中にエラーがあると判定された場合には、ステップＳ３１４（図１９）に進む。
【０１９６】
一方、適用処理中にエラーがないと判定された場合には、図１９に示すように、登録処理をしたか否かを判定する処理を行う（ステップＳ３１１）。この判定処理において、登録処理をしていないと判定された場合には、処理を終了する。一方、前記判定処理において、登録処理をしていると判定された場合には、既存コマンドを送信する処理を行う（ステップＳ３１２）。
【０１９７】
さらに、登録処理中にエラーがあるか否かを判定する処理を行う（ステップＳ３１３）。この判定処理において、登録処理中にエラーがないと判定された場合には、処理を終了する。一方、前記判定処理において、登録処理中にエラーがあると判定された場合には、ＩＰＶ４ルール適用を送信する処理を行い（ステップＳ３１４）、処理を終了する。
【０１９８】
なお、以上のステップＳ３０２とステップＳ３０７とで、「登録処理ステップないしは登録処理機能」を構成できる。また、以上のステップＳ３０４、ステップＳ３０９、及びステップＳ３１４とで、「適用処理ステップないしは適用処理機能」を構成できる。
【０１９９】
（設定ポリシー設定登録処理の各送信処理について）  
次に、上述の図１７のステップＳ３０２、ステップＳ３０４、図１８のステップＳ３０７、ステップＳ３０９、図１９のステップＳ３１２、ステップＳ３１４にて各々処理されるコマンドの送信処理の詳細な処理手順について、図２０を参照しつつ説明する。図２０は、本実施の形態によるアクセス制御設定支援システムにおいて、通信機器に対する送信処理を行う過程の処理手順の一例を示すフローチャートである。
【０２００】
先ず、図２０に示すように、機器（通信機器）に接続する処理を行う（ステップＳ４０１）＜通信機器接続処理ステップないしは通信機器接続処理機能＞。そして、接続したか否かの判定処理を行う（ステップＳ４０２）＜通信機器接続判定処理ステップないしは通信機器接続判定処理機能＞。この判定処理において、接続していないものと判定された場合には、異常終了とする（Ｓ４０８）。一方、前記判定処理において、接続したものと判定された場合には、コマンドを送信する処理を行う（ステップＳ４０３）＜コマンド送信処理ステップないしはコマンド送信処理機能＞。
【０２０１】
さらに、コマンド送信処理において、エラーがあるか否かを判定する処理を行う（ステップＳ４０４）＜コマンド送信処理エラー判定ステップないしはコマンド送信処理エラー判定機能＞。この判定処理において、コマンド送信にエラーがあると判定された場合には、異常終了とする（ステップＳ４０８）。
【０２０２】
一方、前記判定処理において、コマンド送信にエラーがないものと判定された場合には、次のコマンドがあるか否かを判定する処理を行う（ステップＳ４０５）＜コマンド有無判定処理ステップないしはコマンド有無判定処理機能＞。この判定処理において、次のコマンドがないものと判定された場合には、正常終了とする（ステップＳ４０７）。
【０２０３】
一方、前記判定処理において、次のコマンドがあるものと判定された場合には、次のコマンドを送信する処理を行い（ステップＳ４０６）、ステップＳ４０４に戻る。
【０２０４】
以上のように本実施の形態によれば、ユーザは通信機器を意識せずに、ユーザの簡易な要求入力から、複数の異なる各通信機器にあった各アクセス制御リストを各々作成、設定登録及び適用を行うことができる。このため、新たな通信機器に対する学習が不要となり、複数の異なる機種の通信機器に対しても設定作業回数も１回で済み、再設定も不要となる。さらに、これによって、入力ミスや操作ミスを低減して、メンテナンス時間の短縮化を図り、セキュリティー管理者のメンテナンスの負担を低減することができる。
【０２０５】
具体的には、セキュリティー管理者などの使用者は、複数の通信機器を意識しなくても設定ができることにある。その理由は、通信機器に関する知識ベースとして、仕様に関する項目は、通信機器情報蓄積処理手段（通信機器ＤＢ）に格納され、設定ルールに関する項目は、ルール定義情報蓄積処理手段及び変換テーブル情報蓄積処理手段を持ち、必要に応じてこれらを利用するためである。
【０２０６】
また、設定したいルールのみを、通信機器に依存しない表現で、ポリシーの設定ができることである。その理由は、設定したルールをポリシーＤＢ群５１にポリシー情報（ポリシー情報蓄積処理手段＜ポリシーＤＢ＞）、ルール情報（ポリシールール情報蓄積処理手段＜ポリシールールＤＢ＞）として、ＤＢに保存する機能を持たせ、これらのＤＢを利用することにより、設定済みルールの入力を省略が図れるためである。
【０２０７】
加えて、設定時に、通信機器を意識しなくて良いため、記述方法が酷似しているケースや、大きく異なるケースが存在しない。  
【０２０８】
さらに、通信機器の設定が１度で、短時間に設定可能となる。その理由は、入力された設定ルールを、必要な通信機器の数だけ展開することで、設定を１度ですませることが可能になり、接続ルールであるルール定義情報蓄積処理手段を利用することで、通信機器に接続を自動で行うことが可能となるためである。  
【０２０９】
このように、通信機器に必須のアクセス制御リストを意識しないで、使用者は設定するポリシーの設定が可能である。また、目的に応じたＤＢを保持しているので、メンテナンス効率が向上する。さらに、ポリシーを蓄積して管理しているので、通信機器に問合せしなくても設定したいルールのみの入力で設定が容易である。さらにまた、設定される通信機器に合わせた処理モジュールの実行が可能である。また、入力件数が減少することで、設定ミスを防止できる。さらに、通信機器の設定が１度で可能である。また、指定した通信機器に対して、設定が可能である。  
【０２１０】
また、従来は、通信機器をネットワークで使用する際は環境に応じた設定を実施する必要があるので、通信機器の種類や個数が増えると、通信機器を理解する時間・個別に設定する時間・操作ミスやそのフォロー時間などでメンテナンスに負荷がかかるっていた。これに対して本実施の形態では、単一定型の入力で必要最低限を入力することにより、指定した通信機器の設定を、自動的に実行して、メンテナンスの負荷を軽減させることができる。
【０２１１】
［第２の実施の形態］
次に、本発明にかかる第２の実施の形態について、図２１に基づいて説明する。なお、以下には、前記第１の実施の形態の実質的に同様の構成に関しては説明を省略し、異なる部分についてのみ述べる。図２１は、本発明のアクセス制御設定支援システムの第２の実施の形態の一例を示すブロック図である。
【０２１２】
上述の第１の実施の形態では、アクセス制御設定支援装置にてポリシー情報及びルール情報を含む要求情報の設定入力を行うとともに通信機器に対する設定登録処理を行う構成としたが、本実施の形態では、情報端末からポリシー情報及びルール情報を含む要求情報の設定入力を行い、アクセス制御設定支援装置は、前記要求情報に基づいて通信機器に対する設定登録処理を行う構成としている。
【０２１３】
具体的には、本実施の形態のアクセス制御設定支援システム２００は、図２１に示すように、使用者がポリシー情報及びルール情報を含む要求情報の設定入力を行うための一又は複数の情報端末２７０（２７０−１〜２７０−ｎ）と、この情報端末２７０（２７０−１〜２７０−ｎ）とネットワークＮ１を介して通信可能に形成され、前記要求情報に基づいて、アクセス制御リストを含むポリシー情報の設定登録処理を行うアクセス制御設定支援装置２１０と、アクセス制御設定支援装置２１０とネットワークＮ２を介して通信可能に形成され、設定対象となる複数の通信機器３００（３００−１〜３００−ｍ）と、を含んで構成される。
【０２１４】
情報端末２７０は、前記第１の実施の形態におけるアクセス制御設定支援装置１の表示手段７０（図１）とほぼ同様の機能を有する。さらに、情報端末２７０は、プログラム制御により動作する情報処理装置であり、ネットワーク関連の機能を有していれば、デスクトップ、ラップトップコンピュータその他無線・有線通信機能を有する情報機器、またはこれに類するコンピュータなどいかなるコンピュータでもよく、移動式・固定式を問わない。
【０２１５】
情報端末２７０のハードウエア構成は、図示しないが、種々の情報等を表示するための表示手段（例えばスクリーン等）、この表示手段の表示画面上（の各種入力欄等）にデータを操作入力するための操作入力手段（例えばキーボード・マウス等）、各種信号・データを送受信するための通信手段、各種プログラム・各種データを記憶することで蓄積処理する蓄積処理手段（例えばメモリ、ハードディスク等に蓄積処理機能や管理機能を加えたもの）、これらの制御を司る制御手段（例えばＣＰＵ等）などを有している。  
【０２１６】
アクセス制御設定支援装置２１０は、前記第１の実施の形態におけるアクセス制御設定支援装置１の制御手段２０及び蓄積処理手段５０（図１）とほぼ同様の構成並びに機能を有する。
【０２１７】
以上のような構成によれば、情報端末から設定入力することができ、セキュリティ管理者の利便性が向上する。
【０２１８】
［第３の実施の形態］
次に、本発明にかかる第３の実施の形態について、図２２に基づいて説明する。なお、以下には、前記第１の実施の形態の実質的に同様の構成に関しては説明を省略し、異なる部分についてのみ述べる。図２２は、本発明のアクセス制御設定支援システムの第３の実施の形態の一例を示すブロック図である。
【０２１９】
本実施の形態では、上述の第１の実施の形態でのアクセス制御設定支援装置のハードウエア構成のうち、制御手段及び表示手段をアクセス制御設定支援装置とし、蓄積処理手段の各部を専用のデータベースとした場合を示している。つまり、ＤＢは、それぞれアクセス制御設定支援装置と物理的に分離し、専用のデータベースとしている。なお、専用のデータベースは、サーバでもよい。
【０２２０】
具体的には、本実施の形態のアクセス制御設定支援システム４００は、図２２に示すように、アクセス制御設定支援装置４１０と、このアクセス制御設定支援装置４１０とネットワークＮ２を介して通信可能に形成された通信機器５００（５００−１〜５００−ｍ）と、前記アクセス制御設定支援装置４１０とネットワークを介して通信可能に形成された各ＤＢ群（すなわち、要求ＤＢ４５２、ポリシーＤＢ４５３、ポリシールールＤＢ４５４、通信機器ＤＢ４６２、ルール定義ＤＢ４６３、変換テーブルを格納した変換ＤＢ４６４）と、を含んで構成される。
【０２２１】
以上のように本実施の形態によれば、前記第１の実施の形態と同様の作用効果を奏しながらも、目的に応じたＤＢを保持しているので、メンテナンス効率が向上し、各ＤＢ群のメンテナンスが容易となる。
【０２２２】
（各種変形例）
なお、本発明にかかるアクセス制御設定支援システム、アクセス制御設定支援方法は、そのいくつかの特定の実施の形態に従って説明してきたが、本発明の主旨および範囲から逸脱することなく本発明の本文に記述した実施の形態に対して種々の変形が可能である。例えば、前記実施の形態においては、アクセス制御設定支援装置を構成する場合を例に挙げたがこれに限らず、アクセス制御設定支援装置の機能を一つのサーバーとして構成しても構わない。
【０２２３】
さらに、「アクセス制御設定支援装置ないしはアクセス制御設定支援システム」を構成する各種ＤＢには、データベースなどのＳＱＬサーバーのみならず、ｗｅｂサーバー、電子メールを送受信するためのＰＯＰ及びＳＭＴＰサーバーやその他ＤＮＳサーバーなどの各種サーバーを含んで構成され、これらを含むシステムの総称として機能してもよい。また、アクセス制御設定支援システムの各構成要素を複数のサーバ群で構成してもよい。
この場合、例えば、アクセス制御設定支援サーバー、要求（リクエスト）サーバー、ポリシーサーバー、ポリシールールサーバー、デフォルトポリシーサーバー、通信機器サーバー、ルール定義サーバー、変換テーブルサーバー、適用ルールサーバー、パラメータ情報サーバー、設定ポリシー情報サーバーなどを構成してよい。また、これらは、専用の情報機器であってもよい。さらに、通信機器をファイアーウォール機能サーバーとして構成してよい。加えて、このファイアーウォール機能サーバーとアクセス制御設定支援サーバーとを一つにして、アクセス制御設定支援装置を形成してよい。
【０２２４】
また、前記実施の形態における「システム」とは、複数の装置が論理的に集合した物をいい、各構成の装置が同一筐体中にあるか否かは問わない。このため、本発明は、複数の情報機器から構成されるシステムに適用しても良いし、また、一つの情報機器からなる装置に適用しても良い。
【０２２５】
なお、ネットワークとしては、例えば携帯電話回線網（基地局及び交換システムを含む）、公衆電話回線網、ＩＰ電話網、ＩＳＤＮ回線網などこれに類する各種回線網、インターネット（乃ち、ＴＣＰ・ＩＰプロトコルを用いた通信態様）やイントラネット、ＬＡＮ（イーサネット：登録商標、やギガビットイーサネットなどを含む）、ＷＡＮ、光ファイバー通信網、電力線通信網、ブロードバンド対応可能な各種専用回線網などいずれのハードウエア構成でもよい。さらに、ネットワークは、ＴＣＰ・ＩＰプロトコルの他、種々の通信プロトコルを用いたネットワークあるいはソフトウエア的に構築された仮想ネットワークやこれに類するあらゆるネットワークを含むネットワークなどいかなる通信プロトコルであってもよい。また、ネットワークは、有線に限らず、無線（衛星通信、各種高周波通信手段等を含む）ネットワーク（例えば、簡易電話システムや携帯電話のようなシングルキャリア通信システム、Ｗ―ＣＤＭＡやＩＥＥＥ８０２．１１ｂに準拠した無線ＬＡＮのようなスペクトラム拡散通信システム、ＩＥＥＥ８０２．１１ａやＨｉｐｅｒＬＡＮ／２のようなマルチキャリア通信システム、などを含むネットワーク）であっても構わず、これらの組み合わせを利用してもよく、他のネットワークと接続されたシステムであってもよい。さらに、ネットワークは、ポイントツーポイント、ポイントツーマルチポイント、マルチポイントツーマルチポイントなど如何なる形態でもよい。
【０２２６】
また、通信機器とアクセス制御設定支援装置との間の通信構造、或いはアクセス制御設定支援装置と情報端末との間の通信構造、さらには、各ＤＢ間の通信構造に際し、いずれか一方又は双方に形成されるインタフェースの種類は、例えばパラレルインタフェース、ＵＳＢインタフェース、ＩＥＥＥ１３９４、ＬＡＮやＷＡＮ等のネットワークやその他これに類するもの、もしくは今後開発される如何なるインタフェースであっても構わない。
【０２２７】
（プログラム）
また、前述した実施形態の機能を実現する本発明のソフトウエアのプログラム（アクセス制御設定支援プログラム）は、前述した各実施の形態における図１、図２、及び図３等に示す各種ブロック図などに示される処理手段、機能などに対応したプログラムや、図１５、図１６、図１７、図１８、図１９、及び図２０等に示すフローチャートに示される処理手順、工程、機能などに対応したプログラムや、さらには、図４、図５、図６、図７、図８、図９、図１０、図１１、図１２、図１３、及び図１４の各種説明図などに示された情報を含むデータ構造、（上述の各実施の形態のアクセス制御設定支援システム、それに用いるアクセス制御設定支援装置、情報端末、通信機器など）において各々処理される各処理プログラム、本明細書で全般的に記述される方法（ステップ）、説明された処理、データ（例えば、設定入力用の表示画面に表示される画面データ、各種テーブル、データ構造等）、各種ＤＢ（データベース）のデータの全体もしくは各部を含む。
【０２２８】
プログラムは、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等、プログラムの形態を問わない。プログラムは、高水準プロシージャ型またはオブジェクト指向プログラミング言語で、あるいは必要に応じてアセンブリまたはマシン言語で実装することができる。いずれの場合も、言語はコンパイラ型またはインタープリタ型言語であってもよい。上述のアクセス制御設定支援プログラムを、一般のパソコンや携帯型情報端末などで動作可能なアプリケーションソフトに組み込んだものも含む。
【０２２９】
アクセス制御設定支援プログラムを供給する手法としては、電気通信回線（有線、無線を問わない）によってコンピュータと通信可能に接続された外部の機器から前記電気通信回線を通じて提供することも可能である。例えば、コンピュータのブラウザを用いてインターネットのホームページに接続し、該ホームページからプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードすることによっても供給できる。また、プログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるサーバも、本発明の範囲に含まれるものである。
【０２３０】
（情報記録媒体）
また、アクセス制御設定支援プログラムを、情報記録媒体に記録した構成であってもよい。情報記録媒体には、アクセス制御設定支援プログラムを含むアプリケーションプログラムが格納されており、コンピュータが当該情報記録媒体からアプリケーションプログラムを読み出し、当該アプリケーションプログラムをハードディスクにインストールすることが可能である。これにより、上述のプログラムは、磁気記録媒体、光記録媒体あるいはＲＯＭなどの情報記録媒体に記録してプログラムを提供することができる。そのようなプログラムが記録された情報記録媒体を、コンピュータにおいて使用することは、好都合な情報処理装置を構成する。
【０２３１】
プログラムを供給するための情報記録媒体としては、例えばＲＯＭ、ＲＡＭ、フラッシュメモリやＳＲＡＭ等の半導体メモリ並びに集積回路、あるいはそれらを含むＵＳＢメモリやメモリカード、光ディスク、光磁気ディスク、磁気記録媒体等を用いてよく、さらに、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ―Ｒ、ＣＤ―ＲＷ、ＦＤ、ＤＶＤＲＡＭ、ＤＶＤＲＯＭ、ＤＶＤ―Ｒ、ＤＶＤ―ＲＷ、ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ、ＭＯ、ＺＩＰ、磁気カード、磁気テープ、ＳＤカード、メモリスティック、不揮発性メモリカード、ＩＣカード、等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置、等に記録して構成して用いてよい。
【０２３２】
さらに「情報記録媒体」は、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの（伝送媒体ないしは伝送波）、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。
【０２３３】
また、コンピュータ上で稼働しているＯＳ、端末（例えば携帯電話など）上のＲＴＯＳ等が処理の一部又は全部を行う場合にも、上記実施の形態と同等の機能を実現できると共に、同等の効果を得ることができる。
【０２３４】
さらに、プログラムを暗号化してＣＤ−ＲＯＭ等の記録媒体に格納してユーザに配布し、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせ、その鍵情報を使用することにより暗号化されたプログラムを実行してコンピュータにインストールさせて実現することも可能である。この場合、本発明の構成は、アクセス制御設定支援プログラムの各構成要素（各種の手段、ステップ及びデータ）と、前記アクセス制御設定支援プログラム（各種の手段、ステップ及びデータ）を暗号化する暗号化手段と、を含んでよい。
【０２３５】
また、上述の実施の形態の「アクセス制御設定支援システム」を、他の「情報処理システム」と統合したシステムとして、これら全体を本発明の「アクセス制御設定支援システム」として構成することも一向に構わない。「情報処理システム」には、ＯＳや周辺機器等のハードウェアを含むものとする。
【０２３６】
さらに、上述のアクセス制御設定支援プログラム、クライアントプログラム、サーバプログラムなどが搭載される情報処理装置としては、例えばパーソナルコンピュータに限らず、各種サーバー、ＥＷＳ（エンジニアリングワークステーション）、中型コンピュータ、メインフレームなどが挙げられる。以上の例に加えて、携帯型情報端末、各種モバイル端末、ＰＤＡ、携帯電話機、ウエアラブル情報端末、種々のテレビ・ビデオ・ＤＶＤレコーダ・各種音響機器及びそのリモコン、各種情報通信機能を搭載した家電機器、ネットワーク機能を有するゲーム機器等からも利用できる構成としても構わない。あるいは、これらの端末に表示されるアプリケーションとして改良されたものも本発明の範囲に含めることができる。
【０２３７】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【０２３８】
なお、本明細書において、フローチャートに示されるステップは、記載された手順に従って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理を含むものである。また、実装では、プログラム手順（ステップ）が実行される順序を変更することができる。さらに、実装の必要に応じて、本明細書で説明した特定の手順（ステップ）を、組み合わされた手順（ステップ）として実装、除去、追加、または再配置することができる。
【０２３９】
さらに、アクセス制御設定支援装置の各手段、各機能、各ステップの手順の機能などのプログラムの機能を、専用のハードウエア（例えば専用の半導体回路等）によりその機能を達成してもよく、プログラムの全機能のうち一部の機能をハードウエアで処理し、全機能のうちさらに他の機能をソフトウエアで処理するようにしてもよい。専用のハードウエアの場合、各部を集積回路例えばＬＳＩにて形成されてもよい。これらは個別に１チップ化されても良いし、一部または全部を含むように１チップ化されても良い。また、ＬＳＩには、ストリーミングエンジンなど他の機能ブロックが含まれていても良い。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセサで実現してもよい。さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。
【０２４０】
さらに、上記各実施の形態には種々の段階が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。つまり、上述の各実施の形態同士、あるいはそれらのいずれかと各変形例のいずれかとの組み合わせによる例をも含むことは言うまでもない。この場合において、本実施形態において特に記載しなくとも、各実施の形態及びそれらの変形例に開示した各構成から自明な作用効果については、当然のことながら本例においても当該作用効果を奏することができる。また、実施の形態に示される全構成要件から幾つかの構成要件が削除された構成であってもよい。
【０２４１】
そして、これまでの記述は、本発明の理解を容易にするために、本発明の実施の形態の一例のみを開示しており、各実施の形態及びそれらの変形例は、何れも本発明を実施するにあたっての具体化の例を示したものに過ぎず、例証するものであり、制限するものではなく、所定の範囲内で適宜変形及び／又は変更が可能である。本発明は、その技術思想、またはその主要な特徴から逸脱することなく、様々な形で実施することができ、各実施の形態及びその変形例によって本発明の技術的範囲が限定的に解釈されてはならないものである。従って、上記の実施の形態に開示された各要素は、本発明の技術的範囲に属する全ての設計変更や均等物を含む趣旨である。
【産業上の利用可能性】
【０２４２】
本発明は、通信業界、コンピュータ産業、データ処理産業、その他これに類する情報処理サービス産業に適用可能であり、必ずしも特定の基準に準拠していない可能性のあるコンピュータソフトウェアアプリケーションにも適用可能である。より詳細には、通信機器に対するアクセス制御リストの設定支援を行う分野の用途に適用できる。
【図面の簡単な説明】
【０２４３】
【図１】本発明の第１の実施の形態によるアクセス制御設定支援システムの全体構成の一例を示すブロック図である。
【図２】本発明の第１の実施の形態によるアクセス制御設定支援システムのポリシー生成モデルの概要を説明するための説明図である。
【図３】図１のアクセス制御設定支援システムにおいて、各部のさらに詳細な構成の一例を示すブロック図である。
【図４】図１のアクセス制御設定支援システムにおいて、ポリシー情報を設定入力するための設定入力画面の一例を示す説明図である。
【図５】図１のアクセス制御設定支援システムにおいて、ルール情報を設定入力するための設定入力画面の一例を示す説明図である。
【図６】図１のアクセス制御設定支援システムのポリシー情報蓄積処理手段（ポリシーＤＢ）のデータ構造の一例を示す説明図である。
【図７】図１のアクセス制御設定支援システムのポリシールール情報蓄積処理手段（ポリシールールＤＢ）のデータ構造の一例を示す説明図である。
【図８】図１のアクセス制御設定支援システムの要求情報蓄積処理手段（要求＜リクエスト＞ＤＢ）のデータ構造の一例を示す説明図である。
【図９】図１のアクセス制御設定支援システムの適合性確認処理手段にて判定される形式エラーの判定条件の一例を示す説明図である。
【図１０】図１のアクセス制御設定支援システムの適合性確認処理手段にて判定される機能エラーの判定条件の一例を示す説明図である。
【図１１】図１のアクセス制御設定支援システムの通信機器情報蓄積処理手段（通信機器ＤＢ）のデータ構造の一例を示す説明図である。
【図１２】図１のアクセス制御設定支援システムのルール定義情報蓄積処理手段のデータ構造の一例を示す説明図である。
【図１３】図１のアクセス制御設定支援システムの変換テーブル情報蓄積処理手段のデータ構造の一例を示す説明図である。
【図１４】図１のアクセス制御設定支援システムの設定ポリシー生成手段にて生成される設定ポリシーのデータ構造の一例を示す説明図である。
【図１５】本発明の第１の実施の形態によるアクセス制御設定支援システムにおいて、ポリシーを生成する過程の処理手順の一例を示すフローチャートである。
【図１６】本発明の第１の実施の形態によるアクセス制御設定支援システムにおいて、ポリシーを生成する過程の処理手順の一例を示すフローチャートであって、図１５の続きを示す。
【図１７】本発明の第１の実施の形態によるアクセス制御設定支援システムにおいて、通信機器に対するアクセス制御リスト（設定ポリシー）を設定登録を行う過程の処理手順の一例を示すフローチャートである。
【図１８】本発明の第１の実施の形態によるアクセス制御設定支援システムにおいて、通信機器に対するアクセス制御リスト（設定ポリシー）を設定登録を行う過程の処理手順の一例を示すフローチャートであって、図１７の続きを示す。
【図１９】本発明の第１の実施の形態によるアクセス制御設定支援システムにおいて、通信機器に対するアクセス制御リスト（設定ポリシー）を設定登録を行う過程の処理手順の一例を示すフローチャートであって、図１８の続きを示す。
【図２０】本発明の第１の実施の形態によるアクセス制御設定支援システムにおいて、通信機器に対する送信処理を行う過程の処理手順の一例を示すフローチャートである。
【図２１】本発明の第２の実施の形態によるアクセス制御設定支援システムの全体構成の一例を示す説明図である。
【図２２】本発明の第３の実施の形態によるアクセス制御設定支援システムの全体構成の一例を示すブロック図である。
【符号の説明】
【０２４４】
１  アクセス制御設定支援システム  
１０  アクセス制御設定支援装置
２０  制御手段
２２  要求情報登録制御手段
２３  ポリシー監視手段
２４  ベースルール抽出手段
３２  適合性確認処理手段
３３  ルール作成処理手段
３４  パラメータ変換手段
３５  パラメータ展開手段
３６  設定ポリシー生成手段
４２  設定ポリシー設定登録処理手段
５０  蓄積処理手段
５２  要求情報蓄積処理手段（要求＜リクエスト＞ＤＢ）
５３  ポリシー情報蓄積処理手段（ポリシーＤＢ）
５４  ポリシールール情報蓄積処理手段（ポリシールールＤＢ）
５５  デフォルトポリシー情報蓄積処理手段
６２  通信機器情報蓄積処理手段  
６３  ルール定義情報蓄積処理手段
６４  変換テーブル情報蓄積処理手段
６６  適用ルール情報一時記憶手段
６７  パラメータ情報一時記憶手段
６８  設定ポリシー情報一時記憶手段
６９  情報蓄積処理管理手段
７０  表示手段
７２  ポリシー情報表示設定手段
７３  ルール情報表示設定手段
７４  表示制御手段
８０  操作入力手段
９０  通信手段
１００（１００−１〜１００−ｍ）  通信機器
２００  アクセス制御設定支援システム  
２１０  アクセス制御設定支援装置
２７０（２７０−１〜２７０−ｎ）  情報端末（ポリシー設定入力用端末）
３００（３００−１〜３００−ｍ）  通信機器  
４００  アクセス制御設定支援システム  
４１０  アクセス制御設定支援装置
４５２  要求（リクエスト）ＤＢ
４５３  ポリシーＤＢ
４５４  ポリシールールＤＢ
４６２  通信機器ＤＢ
４６３  ルール定義ＤＢ
４６４  変換ＤＢ
５００（５００−１〜５００−ｍ）  通信機器    
【図１】
2008219419.tif 000003
【図２】
2008219419.tif 000004
【図３】
2008219419.tif 000005
【図４】
2008219419.tif 000006
【図５】
2008219419.tif 000007
【図６】
2008219419.tif 000008
【図７】
2008219419.tif 000009
【図８】
2008219419.tif 000010
【図９】
2008219419.tif 000011
【図１０】
2008219419.tif 000012
【図１１】
2008219419.tif 000013
【図１２】
2008219419.tif 000014
【図１３】
2008219419.tif 000015
【図１４】
2008219419.tif 000016
【図１５】
2008219419.tif 000017
【図１６】
2008219419.tif 000018
【図１７】
2008219419.tif 000019
【図１８】
2008219419.tif 000020
【図１９】
2008219419.tif 000021
【図２０】
2008219419.tif 000022
【図２１】
2008219419.tif 000023
【図２２】
2008219419.tif 000024