(57)【特許請求の範囲】
【請求項１】
運用系と予備系を備えた冗長構成によりセキュリティ機能を提供するセキュリティ通信装置であって、
セキュリティ機能により暗号化したパケットに送信順序を示すシーケンスナンバーを付与して対向装置に送信し、次に付与すべきシーケンスナンバーを所定の時間間隔で予備系に通知する運用系装置と、
前記運用系装置のセキュリティ機能を引き継ぐとき、該運用系装置から通知された、前記シーケンスナンバーに所定値を加算した値を、シーケンスナンバーの初期値として、前記対向装置に送信するパケットへの付与を開始する予備系装置とを有するセキュリティ通信装置。
【請求項２】
セキュリティ機能を提供する系となった前記運用系装置または前記予備系装置は、前記対向装置から受信したパケットに付与されているシーケンスナンバーが１つ前に受信したパケットのシーケンスナンバーより所定の閾値以上小さいとき、前記対向装置から受信した該パケットを廃棄し、前記対向装置から受信したパケットに付与されているシーケンスナンバーが１つ前に受信したパケットのシーケンスナンバーより所定の閾値以上小さくないとき、前記対向装置から受信した該パケットを取得する、請求項１に記載のセキュリティ通信装置。
【請求項３】
前記運用系装置は、次に付与すべきシーケンスナンバーをそのまま前記予備系装置に通知し、
前記予備系装置は、前記運用系装置から通知された前記シーケンスナンバーに前記所定値を加算して保持しておき、該運用系装置のセキュリティ機能を引き継ぐときに用いる、請求項１または２に記載のセキュリティ通信装置。
【請求項４】
前記運用系装置は、次に付与すべきシーケンスナンバーに前記所定値を加算して前記予備系装置に通知し、
前記予備系装置は、前記運用系装置から通知された、前記所定値の加算された前記シーケンスナンバーを、該運用系装置のセキュリティ機能を引き継ぐときに用いる、請求項１または２に記載のセキュリティ通信装置。
【請求項５】
前記運用系装置は、単位時間当たりに前記対向装置に送信するパケット数をカウントし、そのカウント値に基づいて、前記シーケンスナンバーに加算する前記所定値を制御する、請求項４に記載のセキュリティ通信装置。
【請求項６】
運用系装置と予備系装置でセキュリティ機能の冗長構成を提供するセキュリティ通信装置にて用いるためのシーケンスナンバー管理方法であって、
前記運用系装置にて、セキュリティ機能により暗号化したパケットに送信順序を示す前記シーケンスナンバーを付与して対向装置に送信するステップと、
前記運用系装置から、次に付与すべきシーケンスナンバーを所定の時間間隔で前記予備系装置に通知するステップと、
前記予備系装置により前記運用系装置のセキュリティ機能を引き継ぐとき、該運用系装置から通知された、前記シーケンスナンバーに所定値を加算した値を、シーケンスナンバーの初期値として、前記対向装置に送信するパケットへの付与を開始するステップとを有するシーケンスナンバー管理方法。
【請求項７】
前記対向装置にて、前記運用系装置または前記予備系装置から受信したパケットに付与されているシーケンスナンバーが１つ前に受信したパケットのシーケンスナンバーより所定の閾値以上小さいとき、前記運用系装置または前記予備系装置から受信した該パケットを廃棄し、前記運用系装置または前記予備系装置から受信した受信したパケットに付与されているシーケンスナンバーが１つ前に受信したパケットのシーケンスナンバーより所定の閾値以上小さくないとき、前記運用系装置または前記予備系装置から受信した該パケットを取得する、請求項６に記載のシーケンスナンバー管理方法。
【請求項８】
前記運用系装置にて、次に付与すべきシーケンスナンバーをそのまま前記予備系装置に通知し、
前記予備系装置にて、前記運用系装置から通知された前記シーケンスナンバーに前記所定値を加算して保持しておき、該運用系装置のセキュリティ機能を引き継ぐときに用いる、請求項６または７に記載のシーケンスナンバー管理方法。
【請求項９】
前記運用系装置にて、次に付与すべきシーケンスナンバーに前記所定値を加算して前記予備系装置に通知し、
前記予備系装置にて、前記運用系装置から通知された、前記所定値の加算された前記シーケンスナンバーを、該運用系装置のセキュリティ機能を引き継ぐときに用いる、請求項６または７に記載のシーケンスナンバー管理方法。
【請求項１０】
前記運用系装置にて、単位時間当たりに前記対向装置に送信するパケット数をカウントし、そのカウント値に基づいて、前記シーケンスナンバーに加算する前記所定値を制御する、請求項９に記載のシーケンスナンバー管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ機能の構成を２重化したセキュリティ通信装置に関する。
【背景技術】
【０００２】
インターネットに代表されるネットワークを介した通信では盗聴や攻撃に対する防御手段としてセキュリティ技術が用いられる。この種のセキュリティ技術としてＩＰセキュリティ（ＩＰｓｅｃ）が知られている。
【０００３】
ＩＰｓｅｃを用いた通信システムでは、ＩＰｓｅｃを終端して暗号化ＩＰパケットと非暗号化ＩＰパケットの相互変換を行なう装置（ＩＰｓｅｃ終端装置）が用いられる。ＩＰｓｅｃ終端装置は、同じくＩＰｓｅｃを終端する対向装置との間にＩＰｓｅｃトンネルを確立し、ＩＰｓｅｃトンネルを通じて暗号化ＩＰパケットを送受信する。通信システムの信頼性に対する要求が高い企業等では、このＩＰｓｅｃ終端装置を２重化することが要求される場合がある。
【０００４】
図７は、従来のＩＰｓｅｃ終端装置の構成を示すブロック図である。図７に示す従来のＩＰｓｅｃ終端装置８１は２重化されており、運用系装置９１と予備系装置９２を有している。運用系装置９１および予備系装置９２の各々は、一方でＬＡＮのようなＩＰ網８３と接続され、他方でＩＰｓｅｃトンネル８６を介して対向装置８２と接続されている。
【０００５】
ＩＰｓｅｃ終端装置８１は、非暗号化ＩＰパケット８８と暗号化ＩＰパケット８７の相互変換を行い、ＩＰｓｅｃトンネル８６上では暗号化パケット８７を送受信し、ＩＰ網８３に接続されたＬＡＮケーブル８５上では非暗号化ＩＰパケット８８を送受信する。ここではＩＰｓｅｃトンネル８６はレイヤ２スイッチ（Ｌ２ＳＷ）８４を経由する経路に確立されている。
【０００６】
ＩＰｓｅｃ終端装置８１において、運用系装置９１と予備系装置９２は互いに独立した構成であり、それぞれが対向装置８２との間でＩＰｓｅｃトンネル８６を確立して暗号化ＩＰパケットの送受信することができる。
【０００７】
ＩＰｓｅｃ終端装置８１は、運用系装置９１が動作可能な状態では、運用系装置９１がＩＰｓｅｃを終端してＩＰパケットを変換するＩＰｓｅｃの処理を行なう。運用系装置９１が故障等により動作不可能になると、予備系装置９２が運用系装置９１のＩＰｓｅｃ処理を引き継いで実行する。
【０００８】
運用系装置９１または予備系装置９２は、ＩＰｓｅｃ処理として、ＩＰ網８３から受信した非暗号化ＩＰパケット８８を暗号化し、暗号化ＩＰパケット８７として対向装置８２に送信する。非暗号化ＩＰパケット８８を暗号化する際、運用系装置９１または予備系装置９２は暗号化ＩＰパケット８７のヘッダに３２ビットのシーケンスナンバーを付与する。シーケンスナンバーは、暗号化ＩＰパケット毎に＋１される値である。
【０００９】
対向装置８２もＩＰｓｅｃを終端する機能を有しており、暗号化ＩＰパケット８７を受信すると、そのヘッダにあるシーケンスナンバーをチェックし、１つ前に受信した暗号化ＩＰパケット８７のシーケンスナンバーより所定値以上小さければリプレイ攻撃であると判断する。リプレイ攻撃とは、悪意者が盗聴したＩＰパケットを保存しておき、そのＩＰパケットのコピーを送信してくる攻撃である。例えば、商品注文のＩＰパケットを盗聴し、そのコピーを送信することにより不正な発注をする場合が想定される。
【００１０】
対向装置８２は、リプレイ攻撃と判断した暗号化ＩＰパケット８７を破棄する。このシーケンスナンバーの付与およびチェックの機能によりリプレイ攻撃による被害を防ぐことができる。
【００１１】
また、運用系装置９１または予備系装置９２は、ＩＰｓｅｃ処理として、対向装置８２から受信した暗号化ＩＰパケット８７を非暗号化ＩＰパケット８８に復号し、その非暗号化ＩＰパケット８８をＩＰ網８３へ送信する。その際、上述した対向装置８２と同様に、運用系装置９１または予備系装置９２は、受信した暗号化ＩＰパケット８７のシーケンスナンバーを確認し、１つ前に受信した暗号化パケット８７のシーケンスナンバーより所定値以上小さければ、その暗号化ＩＰパケットを破棄する。
【００１２】
また、運用系装置９１は、ＩＰｓｅｃ処理を実行している間、送信暗号化ＩＰパケットに付与するシーケンスナンバーをカウントしており、定期的にそのカウント値を予備系装置９２に通知する。予備系装置９２は、運用系装置９１から通知されたシーケンスナンバーを格納しており、運用系装置９１のＩＰｓｅｃ処理を引き継ぐとき、そのシーケンスナンバーから暗号化ＩＰパケット８７に付与し始める。
【００１３】
次に他の従来例について説明する。特許文献１に開示された例は、上述したＩＰｓｅｃ終端装置とはシーケンスナンバー管理の方法が異なる。本従来例は、シーケンスナンバーをチェックする側の装置において、シーケンスナンバーを通信相手となる装置毎に管理するものである。これによれば、シーケンスナンバーを付与する側の運用系装置が故障し、予備系装置に切り替わったとき、シーケンスナンバーをチェックする側の装置は予備系装置に関して管理しているシーケンスナンバーでチェックを開始することとなる。
【特許文献１】特開２００４−３２８５６３号公報
【発明の開示】
【発明が解決しようとする課題】
【００１４】
図８は、図７に示した従来のＩＰｓｅｃ終端装置の動作を説明するためのシーケンス図である。図８を参照すると、動作可能な状態の運用系装置９１はシーケンスナンバーを付与した暗号化ＩＰパケットを対向装置８２に送信している。シーケンスナンバーは、暗号化パケット毎に＋１されている。運用系装置９１は、送信暗号化ＩＰパケットに付与するシーケンスナンバーをカウントして管理している。
【００１５】
また、運用系装置９１は、カウントして管理しているシーケンスナンバーを定期的に予備系装置９２に通知する。図８では通知周期がＴ秒である。
【００１６】
運用系装置９１は、シーケンスナンバー＝４の暗号化ＩＰパケットを対向装置８２に送信した後、シーケンスナンバーのカウント値＝５を予備系装置９２に通知している。また、シーケンスナンバー＝７の暗号化ＩＰパケットを対向装置８２に送信した後、運用系装置９１は、シーケンスナンバーのカウント値＝８を予備系装置９２に通知している。
【００１７】
予備系装置９２は、運用系装置９１から通知されたシーケンスナンバーのカウント値を保持している。
【００１８】
ここで、運用系装置９１がシーケンスナンバー＝１１の暗号化ＩＰパケットを送信した後に故障したとする。その故障の発生を契機に、予備系装置９２がＩＰｓｅｃ処理を引き継ぎ、保持していたシーケンスナンバー＝８を使用して暗号化ＩＰパケットを対向装置８２に送信する。
【００１９】
対向装置１０２では、シーケンスナンバー＝１１の暗号化ＩＰパケットの次にシーケンスナンバー＝８の暗号化ＩＰパケットを受信することとなり、そのためシーケンスナンバー＝８の暗号化ＩＰパケットをリプライ攻撃と判断して破棄する。その結果、予備系装置８２は、運用系装置８１の故障時にその通信を正常に継続できないこととなる。
【００２０】
図９は、図７に示した従来のＩＰｓｅｃ終端装置の他の動作を説明するためのシーケンス図である。図８に示した問題の対策として、運用系装置９１が暗号化ＩＰパケットを対向装置８２に送信する毎に、予備系装置９２にシーケンスナンバーのカウント値を通知することとすればよい。
【００２１】
図９を参照すると、運用系装置９１は、暗号化ＩＰパケットを対向装置８２に送信する毎に、予備系装置９２にシーケンスナンバーのカウント値を通知している。そして、シーケンスナンバー＝８の暗号化ＩＰパケットを対向装置８２に送信し、シーケンスナンバーのカウント値＝９を予備系装置９２に通知した後、運用系装置８１に故障が発生している。そのとき、予備系装置９２は、保持していたシーケンスナンバー＝９を使用して暗号化ＩＰパケットを対向装置８２に送信する。これにより、予備系装置８２は、運用系装置８１のＩＰｓｅｃ処理を継続させることができる。
【００２２】
しかし、実際のＩＰｓｅｃ終端装置が終端すべきＩＰｓｅｃのトンネル数は数千から数万という数である。そのため、運用系装置８１が暗号化ＩＰパケットを対向装置８２に送信する毎に、運用系装置８１から予備系装置９２にシーケンスナンバーのカウント値を通知するのは非常に重たい処理であり実現が困難である。
【００２３】
一方、特許文献１に開示されたシーケンスナンバー管理の方法によれば、シーケンスナンバーを付与する側の運用系装置が故障し、予備系装置に切り替わったとき、シーケンスナンバーをチェックする側の装置は予備系装置に関して管理しているシーケンスナンバーでチェックを開始することとなる。そのため暗号化ＩＰパケットを不必要に破棄してしまうことがなくなる。
【００２４】
しかし、この方法では、チェック側の装置は、送信側の運用系装置と予備系装置のそれぞれについてシーケンスナンバーを管理する必要があり管理情報のサイズが大きくなる。また、運用系装置から予備系装置への切り替えをチェック側の装置と同期して行なうために生存監視の処理が必要となる。また、例えばタイマを用いて生存監視をするとすれば、故障検知に時間がかかることとなる。
【００２５】
本発明の目的は、セキュリティ機能の２重化構成における切り替えを容易な処理で良好に行なうことのできるセキュリティ通信装置を提供することである。
【課題を解決するための手段】
【００２６】
上記目的を達成するために、本発明のセキュリティ通信装置は、運用系と予備系を備えた冗長構成によりセキュリティ機能を提供するセキュリティ通信装置であって、
セキュリティ機能により暗号化したパケットに送信順序を示すシーケンスナンバーを付与して対向装置に送信し、次に付与すべきシーケンスナンバーを所定の時間間隔で予備系に通知する運用系装置と、
前記運用系装置のセキュリティ機能を引き継ぐとき、該運用系装置から通知された、前記シーケンスナンバーに所定値を加算した値を、シーケンスナンバーの初期値として、前記対向装置に送信するパケットへの付与を開始する予備系装置とを有している。
【００２７】
本発明によれば、運用系装置から予備系装置に、次に付与すべきシーケンスナンバーを通知し、予備系装置は、処理を引き継ぐとき、通知されたシーケンスナンバーに所定値を加算した値を初期値として用いる。そのため、運用系装置から予備系装置にシーケンスナンバーを頻繁に通知しなくても、対向装置にてパケットを誤って廃棄してしまうことがなく、その結果、大きな記憶容量や重たい処理を要することなく、セキュリティ機能の２重化構成における良好な切り替えによる通信の継続が可能なセキュリティ通信装置を提供することができる。
【００２８】
また、セキュリティ機能を提供する系となった前記運用系装置または前記予備系装置は、前記対向装置から受信したパケットに付与されているシーケンスナンバーが１つ前に受信したパケットのシーケンスナンバーより所定の閾値以上小さいとき、前記対向装置から受信した該パケットを廃棄し、前記対向装置から受信したパケットに付与されているシーケンスナンバーが１つ前に受信したパケットのシーケンスナンバーより所定の閾値以上小さくないとき、前記対向装置から受信した該パケットを取得することとしてもよい。
【００２９】
また、前記運用系装置は、次に付与すべきシーケンスナンバーをそのまま前記予備系装置に通知し、
前記予備系装置は、前記運用系装置から通知された前記シーケンスナンバーに前記所定値を加算して保持しておき、該運用系装置のセキュリティ機能を引き継ぐときに用いることとしてもよい。
【００３０】
また、前記運用系装置は、次に付与すべきシーケンスナンバーに前記所定値を加算して前記予備系装置に通知し、
前記予備系装置は、前記運用系装置から通知された、前記所定値の加算された前記シーケンスナンバーを、該運用系装置のセキュリティ機能を引き継ぐときに用いることとしてもよい。
【００３１】
また、前記運用系装置は、単位時間当たりに前記対向装置に送信するパケット数をカウントし、そのカウント値に基づいて、前記シーケンスナンバーに加算する前記所定値を制御することとしてもよい。
【００３２】
これによれば、トラヒック量に応じて加算値を適切に選択することができるので、トラヒック量が大きく変化する場合でも、対向装置にてパケットを廃棄してしまうことがない。
【発明の効果】
【００３３】
本発明によれば、大きな記憶容量や重たい処理を要することなく、セキュリティ機能の２重化構成における良好な切り替えによる通信の継続が可能なセキュリティ通信装置を提供することができる。
【発明を実施するための最良の形態】
【００３４】
本発明を実施するための形態について図面を参照して詳細に説明する。
【００３５】
図１は、本発明の実施形態によるＩＰｓｅｃ終端装置を含むシステムの構成を示すブロック図である。図１を参照すると、ＩＰｓｅｃ終端装置１１は２重化されており、運用系装置２１と予備系装置２２を有している。運用系装置２１および予備系装置２２の各々は、一方でＬＡＮのようなＩＰ網１３と接続され、他方でＩＰｓｅｃトンネル１６を介して対向装置１２と接続されている。
【００３６】
ＩＰｓｅｃ終端装置１１は、非暗号化ＩＰパケット１８と暗号化ＩＰパケット１７の相互変換を行い、ＩＰｓｅｃトンネル１６上では暗号化パケット１７を送受信し、ＩＰ網１３に接続されたＬＡＮケーブル１５上では非暗号化ＩＰパケット１８を送受信する。ここではＩＰｓｅｃトンネル１６はレイヤ２スイッチ（Ｌ２ＳＷ）１４を経由する経路に確立されている。
【００３７】
ＩＰｓｅｃ終端装置１１において、運用系装置１１と予備系装置１２は互いに独立した構成であり、それぞれが対向装置１２との間でＩＰｓｅｃトンネル１６を確立して暗号化ＩＰパケットの送受信することができる。
【００３８】
ＩＰｓｅｃ終端装置１１は、運用系装置２１が動作可能な状態では、運用系装置２１がＩＰｓｅｃを終端してＩＰパケットを変換するＩＰｓｅｃの処理を行なう。運用系装置２１が故障等により動作不可能になると、予備系装置２２が運用系装置２１のＩＰｓｅｃ処理を引き継いで実行する。
【００３９】
運用系装置２１または予備系装置２２は、ＩＰｓｅｃ処理として、ＩＰ網１３から受信した非暗号化ＩＰパケット１８を暗号化し、暗号化ＩＰパケット１７として対向装置１２に送信する。非暗号化ＩＰパケット１８を暗号化する際、運用系装置２１または予備系装置２２は暗号化ＩＰパケット１７のヘッダに３２ビットのシーケンスナンバーを付与する。シーケンスナンバーは、暗号化ＩＰパケット毎に＋１される値である。
【００４０】
対向装置１２もＩＰｓｅｃを終端する機能を有しており、暗号化ＩＰパケット１７を受信すると、そのヘッダにあるシーケンスナンバーをチェックし、１つ前に受信した暗号化ＩＰパケット１７のシーケンスナンバーより所定値以上小さければリプレイ攻撃であると判断する。リプレイ攻撃とは、悪意者が盗聴したＩＰパケットを保存しておき、そのＩＰパケットのコピーを送信してくる攻撃である。例えば、商品注文のＩＰパケットを盗聴し、そのコピーを送信することにより不正な発注をする場合が想定される。
【００４１】
対向装置１２は、リプレイ攻撃と判断した暗号化ＩＰパケット１７を破棄する。このシーケンスナンバーの付与およびチェックの機能によりリプレイ攻撃による被害を防ぐことができる。
【００４２】
また、運用系装置２１または予備系装置２２は、ＩＰｓｅｃ処理として、対向装置１２から受信した暗号化ＩＰパケット１７を非暗号化ＩＰパケット１８に復号し、その非暗号化ＩＰパケット１８をＩＰ網１３へ送信する。その際、上述した対向装置１２と同様に、運用系装置２１または予備系装置２２は、受信した暗号化ＩＰパケット１７のシーケンスナンバーを確認し、１つ前に受信した暗号化パケット１７のシーケンスナンバーより所定値以上小さければ、その暗号化ＩＰパケットを破棄する。
【００４３】
また、運用系装置２１は、ＩＰｓｅｃ処理を実行している間、送信暗号化ＩＰパケットに付与するシーケンスナンバーをカウントしており、定期的にそのカウント値を予備系装置２２に通知する。本実施形態では従来と異なり、予備系装置２２は、運用系装置２１から通知されたシーケンスナンバーに所定の値（α）を加算した修正シーケンスナンバーを格納しており、運用系装置２１のＩＰｓｅｃ処理を引き継ぐとき、その修正シーケンスナンバーから暗号化ＩＰパケット１７に付与し始める。
【００４４】
図２は、本実施形態のＩＰｓｅｃ終端装置の構成を示すブロック図である。図２を参照すると、ＩＰｓｅｃ終端装置１１は運用系装置２１と予備系装置２２を有している。運用系装置２１は、送信シーケンスナンバー管理部２３および受信シーケンスナンバー確認部２４を有している。予備系装置２２は、送信シーケンスナンバー管理部２５および受信シーケンスナンバー確認部２６を有している。
【００４５】
運用系装置２１の送信シーケンスナンバー管理部２３は、対向装置１２へ送信すべき暗号化ＩＰパケット１７があると、その暗号化ＩＰパケット１７に、１つ前の暗号化ＩＰパケット８７のシーケンスナンバーに＋１した値のシーケンスナンバーを付与する。
【００４６】
また、送信シーケンスナンバー管理部２３は、次の暗号化ＩＰパケット８７に付与しようとして保持しているシーケンスナンバーの値を定期的に予備系装置２２に送信する。
【００４７】
運用系装置２１がＩＰｓｅｃ処理を行っている間、その受信シーケンスナンバー確認部２４は、暗号化ＩＰパケット１７を受信すると、そのヘッダにあるシーケンスナンバーをチェックする。そのシーケンスナンバーが１つ前に受信した暗号化ＩＰパケット１７のシーケンスナンバーより所定値以上小さければ、受信シーケンスナンバー確認部２４は、その暗号化ＩＰパケット１７をリプレイ攻撃によるものであると判断して破棄する。一方、そのシーケンスナンバーが１つ前に受信した暗号化ＩＰパケット１７のシーケンスナンバーより所定値以上小さいものでなければ、受信シーケンスナンバー確認部２４は、その暗号化ＩＰパケット１７をリプレイ攻撃によるものでないと判断して取得する。その際、受信シーケンスナンバー確認部２４は、取得した暗号化ＩＰパケット１７に付与されていたシーケンスナンバーを、次のパケットのシーケンスナンバーを確認するときに用いるために保持する。
【００４８】
一方、予備系装置２２の送信シーケンスナンバー管理部２５は、運用系装置２１からシーケンスナンバーの通知を受けると、その値にαを加算して修正シーケンスナンバーとして保持する。
【００４９】
また、送信シーケンスナンバー管理部２５は、運用系装置２１の故障等で運用系装置２１から予備系装置２２への切り替えが起こると、それまで運用系装置２１の送信シーケンスナンバー管理部２３が行っていたＩＰｓｅｃ処理における送信シーケンスナンバーの管理を引き継ぐ。ＩＰｓｅｃ処理を引き継いだ送信シーケンスナンバー管理部２５は、対向装置１２への暗号化ＩＰパケットに対するシーケンスナンバーの付与を、保持していた修正シーケンスナンバーを初期値として、開始する。
【００５０】
予備系装置２２がＩＰｓｅｃ処理を行っている間、その受信シーケンスナンバー確認部２６は、暗号化ＩＰパケット１７を受信すると、そのヘッダにあるシーケンスナンバーをチェックする。そのシーケンスナンバーが１つ前に受信した暗号化ＩＰパケット１７のシーケンスナンバーより所定値以上小さければ、受信シーケンスナンバー確認部２６は、その暗号化ＩＰパケット１７をリプレイ攻撃によるものであると判断して破棄する。一方、そのシーケンスナンバーが１つ前に受信した暗号化ＩＰパケット１７のシーケンスナンバーより所定値以上小さいものでなければ、受信シーケンスナンバー確認部２６は、その暗号化ＩＰパケット１７をリプレイ攻撃によるものでないと判断して取得する。その際、受信シーケンスナンバー確認部２６は、取得した暗号化ＩＰパケット１７に付与されていたシーケンスナンバーを、次のパケットのシーケンスナンバーを確認するときに用いるために保持する。
【００５１】
図３は、本実施形態によるＩＰｓｅｃ終端装置の運用系装置の送信シーケンスナンバー管理動作を示すフローチャートである。図３を参照すると、運用系装置２１の送信シーケンスナンバー管理部２３は、シーケンスナンバーを予備系装置２２に通知するタイミングを管理するためのタイマーをリセットし、時間計測を開始する（ステップ１０１）。このタイマーは、シーケンスナンバーを通知する周期Ｔでタイムアップとなる。
【００５２】
次に、送信シーケンスナンバー管理部２３は、対向装置１２に送信すべき暗号化ＩＰパケット１７があるか否か判定する（ステップ１０２）。送信すべき暗号化ＩＰパケット１７があれば、送信シーケンスナンバー管理部２３は、次に付与するために保持していたシーケンスナンバーを暗号化ＩＰパケット１７に付与して送信する（ステップ１０３）。そして、次に付与するためのシーケンスナンバーに＋１を加算する（ステップ１０４）。
【００５３】
ステップ１０４の後、またはステップ１０２の判定にて、送信すべき暗号化ＩＰパケット１７がなければ、送信シーケンスナンバー管理部２３は、タイマーがタイムアウトしているか否か判定する（ステップ１０５）。タイムアウトしていなければ、送信シーケンスナンバー管理部２３はステップ１０２に戻る。
【００５４】
一方、タイマーがタイムアウトしていれば、送信シーケンスナンバー管理部２３は、次の暗号化ＩＰパケット１７に付与するために保持しているシーケンスナンバーを予備系装置２２の送信シーケンスナンバー管理部２５に通知し（ステップ１０６）、ステップ１０１に戻る。
【００５５】
図４は、本実施形態によるＩＰｓｅｃ終端装置の予備系装置の送信シーケンスナンバー管理動作を示すフローチャートである。図４を参照すると、予備系装置２２の送信シーケンスナンバー管理部２５は、まず運用系装置２１の送信シーケンスナンバー管理部２３からシーケンスナンバーの通知があったか否か判定する（ステップ２０１）。
【００５６】
シーケンスナンバーの通知があれば、送信シーケンスナンバー管理部２５は、そのシーケンスナンバーにαを加算し（ステップ２０２）、修正シーケンスナンバーとして保持する（ステップ２０３）。
【００５７】
ステップ２０３の後、またはステップ２０１の判定にてシーケンスナンバーの通知がなければ、送信シーケンスナンバー管理部２５は、２重化構成の切り替え要求があるか否か判定する（ステップ２０４）。切り替え要求がなければ、送信シーケンスナンバー管理部２５はステップ２０１に戻る。
【００５８】
一方、切り替え要求があれば、送信シーケンスナンバー管理部２５は、保持していた修正シーケンスナンバーを、暗号化ＩＰパケット１７に付与するシーケンスナンバーの初期値として、ＩＰｓｅｃ処理を開始する（ステップ２０５）。
【００５９】
図５は、本実施形態のＩＰｓｅｃ終端装置における運用系装置または予備系装置の受信シーケンスナンバー管理動作を示すフローチャートである。図５を参照すると、受信シーケンスナンバー確認部２４または受信シーケンスナンバー確認部２６は、対向装置１２からの暗号化ＩＰパケット１７の受信があったか否か判定する（ステップ３０１）。暗号化ＩＰパケット１７の受信がなければ、受信シーケンスナンバー確認部２４または受信シーケンスナンバー確認部２６はステップ３０１の動作を繰り返す。
【００６０】
暗号化ＩＰパケットの受信があると、受信シーケンスナンバー確認部２４または受信シーケンスナンバー確認部２６は、そのパケットに付与されているシーケンスナンバーが正常か否か判定する（ステップ３０２）。１つ前に受信した暗号化ＩＰパケット１７のシーケンスナンバーよりも所定値以上小さければ正常でないと判定し、所定値以上小さくなければ正常であると判定する。
【００６１】
受信シーケンスナンバーが正常であれば、受信シーケンスナンバー確認部２４または受信シーケンスナンバー確認部２６は、そのシーケンスナンバーを保持し（ステップ３０３）、その暗号化ＩＰパケットを取り込み（ステップ３０４）、ステップ３０１に戻る。
【００６２】
一方、受信シーケンスナンバーが正常でなければ、受信シーケンスナンバー確認部２４または受信シーケンスナンバー確認部２６は、その暗号化ＩＰパケットを破棄し（ステップ３０５）、ステップ３０１に戻る。
【００６３】
図６は、本実施形態によるＩＰｓｅｃ終端装置の動作を説明するためのシーケンス図である。図６を参照すると、動作可能な状態の運用系装置２１はシーケンスナンバーを付与した暗号化ＩＰパケットを対向装置１２に送信している。シーケンスナンバーは、暗号化パケット毎に＋１されている。運用系装置２１は、送信暗号化ＩＰパケットに付与するシーケンスナンバーをカウントして管理している。
【００６４】
また、運用系装置２１は、カウントして管理しているシーケンスナンバーを定期的に予備系装置２２に通知する。図６では通知周期がＴ秒である。
【００６５】
運用系装置２１は、シーケンスナンバー＝４の暗号化ＩＰパケットを対向装置１２に送信した後、シーケンスナンバーのカウント値＝５を予備系装置２２に通知している。また、シーケンスナンバー＝７の暗号化ＩＰパケットを対向装置１２に送信した後、運用系装置２１は、シーケンスナンバーのカウント値＝８を予備系装置２２に通知している。
【００６６】
予備系装置２２は、運用系装置２１から通知されたシーケンスナンバーのカウント値に所定値α＝１０を加算して修正シーケンスナンバーとして保持している。αの値は、通知周期Ｔの間に、ＩＰｓｅｃ終端装置１１が対向装置１２に送信する暗号化ＩＰパケット１７の数より大きい値にしておく必要がある。そのため、周期Ｔと、ＩＰｓｅｃ終端装置１１が対向装置１２に送信する暗号化ＩＰパケット１７の最大数とから予めαの値を定めて予備系装置２２に格納しておく。
【００６７】
ここで、運用系装置２１がシーケンスナンバー＝８の暗号化ＩＰパケットを送信した後に故障したとする。その故障の発生を契機に、予備系装置２２がＩＰｓｅｃ処理を引き継ぎ、保持していた修正シーケンスナンバー１８（８＋１０）から暗号化ＩＰパケットに付与し始める。
【００６８】
対向装置１２は、シーケンスナンバー＝８の暗号化ＩＰパケットの次にシーケンスナンバー＝１８の暗号化ＩＰパケットを受信することとなり、正常な暗号化パケットとして受信を継続することができる。予備系装置２２は、運用系装置２１の故障時にその通信を正常に継続できる。
【００６９】
以上説明したように、本実施形態によれば、運用系装置２１から予備系装置２２に定期的に、次に付与すべきシーケンスナンバーを通知している。予備系装置２２は、通知されたシーケンスナンバーに所定値αを加算して修正シーケンスナンバーを保持している。そして、予備系装置２２は、ＩＰｓｅｃ処理を引き継ぐとき、保持しておいた修正シーケンスナンバーを初期値として暗号化ＩＰパケットに付与し始める。そのため、運用系装置２１から予備系装置２２にシーケンスナンバーを頻繁に通知しなくても、対向装置１２にて暗号化ＩＰパケットを誤って廃棄してしまうことがなく、その結果、大きな記憶容量や重たい処理を要することなく、セキュリティ機能の２重化構成における良好な切り替えによる通信の継続が可能なＩＰｓｅｃ終端装置を提供することができる。
【００７０】
なお、本実施形態では、予備系装置２２が、運用系装置２１から通知されたシーケンスナンバーにαを加算することとしたが、本発明はこれに限定されるものではない。他の例として、αの加算を運用系装置２１にて行なうこととし、運用系装置２１から予備系装置２２に、すでにαの加算された、修正シーケンスナンバーを通知することとしてもよい。
【００７１】
また、その場合、運用系装置２１は、一定時間当たりに対向装置１２に送信する暗号化ＩＰパケット数（トラヒック量）をカウントしており、そのカウント数に基づいてαの値を可変制御することとしてもよい。
【００７２】
これによれば、トラヒック量に応じてαの値を適切に選択することができるので、トラヒック量が大きく変化する場合でも、対向装置１２にて暗号化ＩＰパケットを廃棄してしまうことがない。
【図面の簡単な説明】
【００７３】
【図１】本発明の実施形態によるＩＰｓｅｃ終端装置を含むシステムの構成を示すブロック図である。
【図２】本実施形態のＩＰｓｅｃ終端装置の構成を示すブロック図である。
【図３】本実施形態によるＩＰｓｅｃ終端装置の運用系装置の送信シーケンスナンバー管理動作を示すフローチャートである。
【図４】本実施形態によるＩＰｓｅｃ終端装置の予備系装置の送信シーケンスナンバー管理動作を示すフローチャートである。
【図５】本実施形態のＩＰｓｅｃ終端装置における運用系装置または予備系装置の受信シーケンスナンバー管理動作を示すフローチャートである。
【図６】本実施形態によるＩＰｓｅｃ終端装置の動作を説明するためのシーケンス図である。
【図７】従来のＩＰｓｅｃ終端装置の構成を示すブロック図である。
【図８】図７に示した従来のＩＰｓｅｃ終端装置の動作を説明するためのシーケンス図である。
【図９】図７に示した従来のＩＰｓｅｃ終端装置の他の動作を説明するためのシーケンス図である。
【符号の説明】
【００７４】
１１    ＩＰｓｅｃ終端装置
１２    対向装置
１３    ＩＰ網
１４    Ｌ２ＳＷ
１５    ＬＡＮケーブル
１６    ＩＰｓｅｃトンネル
１７    暗号化ＩＰパケット
１８    非暗号化ＩＰパケット
２１    運用系装置
２２    予備系装置
２３、２５    送信シーケンスナンバー管理部
２４、２６    受信シーケンスナンバー確認部
１０１〜１０６、２０１〜２０５、３０１〜３０５    ステップ
【図１】
0004645839.tif 000002
【図２】
0004645839.tif 000003
【図３】
0004645839.tif 000004
【図４】
0004645839.tif 000005
【図５】
0004645839.tif 000006
【図６】
0004645839.tif 000007
【図７】
0004645839.tif 000008
【図８】
0004645839.tif 000009
【図９】
0004645839.tif 000010