(57)【要約】【課題】  ネットワーク接続機器間の通信において、暗号化の適用／非適用を動的に変更可能にする。【解決手段】    ネットワーク接続機器のセキュリティアソシエーションデータベース部１０２が通信データの属性ごとに、通信データ処理部１０４が通信データの暗号化を適用するか、暗号化を適用しないか、前記通信データを削除するか、前記利用者が前記通信データの暗号化の適用／非適用を選択できるかを示したセキュリティポリシーを記憶する構成とした。【選択図】      図１
2005086381.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して、通信相手のネットワーク接続機器との通信データのＩＰｓｅｃの適用／非適用を動的に変更して通信を行うネットワーク接続機器であって、
ネットワークを介して、通信を行うインターフェース部、
前記通信データの属性ごとに、通信データ処理部が前記通信データのＩＰｓｅｃを適用するか、ＩＰｓｅｃを適用しないか、前記通信データを削除するか、前記利用者が前記通信データのＩＰｓｅｃの適用／非適用を選択できるかを示したセキュリティポリシを記憶するセキュリティポリシデータベース部、
前記ネットワーク接続機器間でＩＰｓｅｃ通信を行うためのコネクションであるセキュリティアソシエーションに関する情報を記憶するセキュリティアソシエーションデータベース部、
前記通信データの属性を示す前記通信データのヘッダ情報を参照して、前記セキュリティポリシデータベース部から前記通信データのセキュリティポリシを検索し、セキュリティアソシエーションデータベース部から前記通信データのセキュリティアソシエーションに関する情報を検索し、これらの検索結果に基づき、前記通信データの処理内容を決定するポリシ管理部、
自動鍵交換プロトコルにより、前記通信相手のネットワーク接続機器とセキュリティアソシエーションの折衝を行い、この折衝結果であるセキュリティアソシエーションに関する情報を前記セキュリティアソシエーションデータベース部へ記憶または削除を行うセキュリティアソシエーション処理部、
前記利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を前記通信データ処理部へ入力する入力部、
前記ネットワーク接続機器の利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を受け付け、前記通信データの生成、削除、取得を行い、前記通信データにＩＰｓｅｃを適用する通信データ処理部、
を備えることを特徴とするネットワーク接続機器。
【請求項２】
前記セキュリティアソシエーションに関する情報は、前記ネットワーク接続機器が自動鍵交換プロトコルにより、前記通信相手のネットワーク接続機器とセキュリティアソシエーションの折衝の始動処理を行ったか否かに関する折衝始動情報をさらに含み、
前記セキュリティアソシエーション処理部は、前記セキュリティアソシエーションデータベース部の折衝始動情報を含んだセキュリティアソシエーションに関する情報を検索して、前記ネットワーク接続機器がセキュリティアソシエーションの始動処理を行った第１のネットワーク接続機器であることが確認されたときに、このセキュリティアソシエーションの通信相手のネットワーク接続機器である第２のネットワーク接続機器からの前記セキュリティアソシエーションの撤回をするための自動鍵交換プロトコルによる折衝、または前記第２のノードからの新たなセキュリティアソシエーションを確立するための自動鍵交換プロトコルによる折衝に応答しない
構成を有することを特徴とする請求項１に記載のネットワーク接続機器。
【請求項３】
前記ポリシ管理部は、前記セキュリティアソシエーションデータベース部から前記折衝始動情報を含んだセキュリティアソシエーションの情報を検索して、前記ネットワーク接続機器が前記第１のネットワーク接続機器である旨の情報を発見した場合、または前記ネットワーク接続機器のセキュリティアソシエーションに関する情報が発見されなかった場合に、前記通信データ処理部に前記利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を受け付けさせる、
構成を有すること特徴とする請求項１または請求項２に記載のネットワーク接続機器。
【請求項４】
請求項１から請求項３のいずれか１項に記載のネットワーク接続機器を用いた通信方法であって、
前記ポリシ管理部で前記セキュリティポリシデータベース部の情報を検索して、前記通信データのセキュリティポリシを決定するステップ、
前記決定したセキュリティポリシが、前記ネットワーク接続機器間で送受信する通信データにＩＰｓｅｃを適用する／しないを選択することができるものであるとき、前記ポリシ管理部で、自己のネットワーク接続機器が、前記通信データにＩＰｓｅｃを適用する／しないを選択することができるかを確認するステップ、
前記確認の結果、自己のネットワーク接続機器がＩＰｓｅｃを適用する／しないを選択することができる場合、
前記ポリシ管理部で、通信データ処理部に自己のネットワーク接続機器の利用者からの、前記通信データにＩＰｓｅｃを適用する／しないの選択情報を受け付けさせるステップ、
前記通信データにＩＰｓｅｃを適用することが選択されたときに、前記通信データ処理部でＩＰｓｅｃを適用して通信データを送受信するステップ、
を実行することを特徴とする通信方法。
【請求項５】
前記ポリシ管理部で、通信データ処理部に自己のネットワーク接続機器の利用者からの、前記通信データにＩＰｓｅｃを適用する／しないの選択情報を受け付けさせるステップで、前記通信データにＩＰｓｅｃを適用することが選択されたときに、前記通信データ処理部でＩＰｓｅｃを適用して通信データを送受信するステップは、
前記ポリシ管理部で、自己のネットワーク接続機器のセキュリティアソシエーションデータベース部の情報を検索して、前記通信データのセキュリティアソシエーションに関する情報が発見されなかった場合、
前記セキュリティアソシエーション処理部で、前記通信データについて、自動鍵交換プロトコルにより前記通信相手のネットワーク接続機器とセキュリティアソシエーションを確立し、このセキュリティアソシエーションに関する情報を自己のネットワーク接続機器セキュリティアソシエーションデータベース部に記憶させるステップ、
をさらに実行することを特徴とする請求項４に記載の通信方法。
【請求項６】
前記ポリシ管理部で、通信データ処理部に自己のネットワーク接続機器の利用者からの、前記通信データにＩＰｓｅｃを適用する／しないの選択情報を受け付けさせるステップで、前記通信データにＩＰｓｅｃを適用しないことが選択されたときは、前記通信データ処理部で前記通信データにＩＰｓｅｃを適用しないで通信データを送受信するステップ、
をさらに実行することを特徴とする請求項４または請求項５に記載の通信方法。
【請求項７】
前記ポリシ管理部で、通信データ処理部に自己のネットワーク接続機器の利用者からの、前記通信データにＩＰｓｅｃを適用する／しないの選択情報を受け付けさせるステップで、前記通信データにＩＰｓｅｃを適用しないことが選択されたときは、前記通信データ処理部で前記通信データにＩＰｓｅｃをしないで送受信するステップは、
前記ポリシ管理部で、前記ネットワーク接続機器のセキュリティアソシエーションデータベース部の情報を検索して、前記通信データのセキュリティアソシエーションに関する情報が発見された場合、
前記セキュリティアソシエーション処理部で、前記通信データについて、自動鍵交換プロトコルにより前記通信相手のネットワーク接続機器へ前記通信相手のネットワーク接続機器との間で確立したセキュリティアソシエーションを撤回する通知を行い、自己のネットワーク接続機器のセキュリティアソシエーションデータベース部から前記確立したセキュリティアソシエーションに関する情報を削除するステップ、
をさらに実行することを特徴とする請求項４から請求項６のいずれか1項に記載の通信方法。
【請求項８】
前記セキュリティアソシエーションに関する情報は、前記ネットワーク接続機器が自動鍵交換プロトコルにより、前記通信相手のネットワーク接続機器とセキュリティアソシエーションの折衝の始動を行ったか否かに関する折衝始動情報をさらに含み、
前記ポリシ管理部で自己のネットワーク接続機器が、前記通信データにＩＰｓｅｃを適用する／しないを選択することができるネットワーク接続機器であるかを確認するステップは、
前記セキュリティアソシエーション処理部で、前記折衝始動情報を含んだセキュリティアソシエーションに関する情報を前記セキュリティアソシエーションデータベース部から検索するステップ、
この検索の結果、前記セキュリティアソシエーション処理部で、自己のネットワーク接続機器がセキュリティアソシエーションの始動処理を行った旨の情報を発見した場合、または自己のネットワーク接続機器のセキュリティアソシエーションに関する情報を発見できなかった場合に、自己のネットワーク接続機器が、前記通信データにＩＰｓｅｃを適用する／しないを選択することができると判断するステップ、
をさらに実行することを特徴とする請求項４から請求項７のいずれか１項に記載の通信方法。
【請求項９】
請求項４から請求項８のいずれか１項に記載の各ステップを、前記ネットワーク接続機器に実行させることを特徴とするプログラム。
【請求項１０】
請求項９に記載のプログラムを記憶したことを特徴とする記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、利用者が通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを選択することができるネットワーク接続機器等に関する。
【背景技術】
【０００２】
従来、インターネット上での通信セキュリティに関する技術としては、インターネットの国際的技術標準化団体であるＩＥＴＦ（Ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）のＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｓｅｃｕｒｉｔｙ）ワーキンググループで議論されている技術、例えばＳｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ（インターネットプロトコルのためのセキュリティアーキテクチャ）やＩＫＥ（自動鍵交換プロトコルＩｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）等が知られている（非特許文献１、非特許文献２参照）。
ここで、ＩＰｓｅｃとは、インターネット上でパケットを暗号化して、通信を安全に行うためのプロトコルであり、ＩＫＥとは、通信を始める前に暗号化アルゴリズムや暗号化鍵等の情報を交換・共有するための折衝を自動で行うプロトコルである。
【非特許文献１】IETF、RFC2401、[online]、[2003年8月21日検索]、インターネット、<URL: http://www.ietf.org/rfc/rfc2401.txt?number=2401 >
【非特許文献２】IETF、RFC2409、[online]、[2003年8月21日検索]、インターネット、<URL: ttp://www.ietf.org/rfc/rfc2409.txt?number=2409 >
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、前記した技術のいずれもが、ノード間の通信データのＩＰｓｅｃの適用／非適用のセキュリティポリシを変更するためには通信を行う双方のノードのセキュリティポリシデータベースを書き換える必要があり、通信を行う片方のノードの設定変更のみでＩＰｓｅｃの適用／非適用のセキュリティポリシを変更することはできなかった。
すなわち、例えば、利用者側ノードが相手方のノードから画像データ等の大容量のデータをダウンロードするとき、そのノードの利用者が特にセキュリティを確保する必要がないと判断した場合には、ダウンロード時間の短縮のためにＩＰｓｅｃを適用しないようにして、そのほかのデータを送受信するときにはセキュリティ確保のためＩＰｓｅｃを適用する等、片方のノードの設定変更のみで、ＩＰｓｅｃの適用／非適用のセキュリティポリシを動的にかつ容易に変更することはできなかった。
【０００４】
そこで本発明は、ノード間の通信でＩＰｓｅｃを適用するか否かのセキュリティポリシについて片方のノードの意思のみでも動的に変更（選択）可能なネットワーク接続機器、通信方法等を提供することを目的とする。
【課題を解決するための手段】
【０００５】
ネットワークを介して、通信相手のネットワーク接続機器との通信データのＩＰｓｅｃの適用／非適用を動的に変更して通信を行うネットワーク接続機器であって、ネットワークを介して、通信を行うインターフェース部、前記通信データの属性ごとに、通信データ処理部が前記通信データのＩＰｓｅｃを適用するか、ＩＰｓｅｃを適用しないか、前記通信データを削除するか、前記利用者が前記通信データのＩＰｓｅｃの適用／非適用を選択できるかを示したセキュリティポリシを記憶するセキュリティポリシデータベース部、前記ネットワーク接続機器間でＩＰｓｅｃの適用を行うためのコネクションであるセキュリティアソシエーションに関する情報を記憶するセキュリティアソシエーションデータベース部、前記通信データの属性を示す前記通信データのヘッダ情報を参照して、前記セキュリティポリシデータベース部から前記通信データのセキュリティポリシを検索し、セキュリティアソシエーションデータベース部から前記通信データのセキュリティアソシエーションに関する情報を検索し、これらの検索結果に基づき、前記通信データの処理内容を決定するポリシ管理部、自動鍵交換プロトコルにより、前記通信相手のネットワーク接続機器とセキュリティアソシエーションの折衝を行い、この折衝結果であるセキュリティアソシエーションに関する情報を前記セキュリティアソシエーションデータベース部へ記憶または削除を行うセキュリティアソシエーション処理部、前記利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を前記通信データ処理部へ入力する入力部、前記通信データの生成、削除、取得を行い、前記ネットワーク接続機器の利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を受け付け、前記通信データにＩＰｓｅｃの適用を行う通信データ処理部を備えることを特徴とする。
そのほかの課題解決の手段については、後記する発明を実施するための最良の形態の項で述べる。
【０００６】
なお、各請求項において、ネットワーク接続機器とは、後記する実施の形態のノードに相当し、例えばルータやパーソナルコンピュータ等である。また、セキュリティアソシエーションの始動を行うネットワーク接続機器とは、後記する実施の形態のｉｎｉｔｉａｔｏｒに相当する。なお、このセキュリティアソシエーションの折衝を受ける側（通信相手）はｒｅｓｐｏｎｄｅｒに相当する。ネットワークは、有線または無線のネットワークであり、例えばＩＰネットワークである。ＩＰｓｅｃとは、IPパケットの暗号化処理と認証処理を行なうプロトコルであり、暗号化と認証の両方の処理を行う場合のほか、いずれか一方の処理を行う場合も含まれる。
【発明の効果】
【０００７】
本発明の請求項１、請求項４、請求項６、請求項９および請求項１０に記載の発明によれば、ネットワーク接続機器のセキュリティポリシデータベース部が、通信データにＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）か、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）か、前記通信データを削除（ｄｉｓｃａｒｄ）するかというセキュリティポリシのほかに、通信データにＩＰｓｅｃを適用する／しないを選択できる（ｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃ）というセキュリティポリシを記憶（格納）しているので、通信を行うどちらか一方のネットワーク接続機器の利用者の意思のみでも、通信データのＩＰｓｅｃの適用／非適用を動的に選択（変更）することができる。
【０００８】
本発明の請求項２に記載の発明によれば、セキュリティアソシエーション（以下、ＳＡと略す）に関する情報は、自己のネットワーク接続機器が当該ＳＡの始動処理を行った（始動者）側のネットワーク接続機器（ｉｎｉｔｉａｔｏｒ）であるか否かに関する情報を含み、セキュリティアソシエーション処理部は、自己のネットワーク接続機器がＳＡの始動処理を行った側のネットワーク接続機器（ｉｎｉｔｉａｔｏｒ）である場合には、通信相手（ｒｅｓｐｏｎｄｅｒ）のネットワーク接続機器から自動鍵交換プロトコル（ＩＫＥ）による折衝を受け付けないので、ＳＡの始動者（ｉｎｉｔｉａｔｏｒ）のネットワーク接続機器のみが通信データのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に選択（変更）することができる。
すなわち、通信を行うネットワーク接続機器のうち、ＳＡの始動処理を行う側（ｉｎｉｔｉａｔｏｒ）のネットワーク接続機器がＩＰｓｅｃによる通信の主導権を握り、ＳＡの始動を受けた側（ｒｅｓｐｏｎｄｅｒ）のネットワーク接続機器はこれに従うよう動作するので、双方のネットワーク接続機器でＩＰｓｅｃを適用する／しないの選択が食い違い、ＩＰｓｅｃを適用する／しないのセキュリティポリシの決定ができなくなることを防ぐことができる。
したがって、片方のネットワーク接続機器の意思のみでも、ＩＰｓｅｃを適用する／しないのセキュリティポリシの変更（選択）をすることができる。
【０００９】
本発明の請求項３に記載の発明によれば、ネットワーク接続機器がＳＡの始動者（ｉｎｉｔｉａｔｏｒ）であった場合、またはこれからＳＡの始動者（ｉｎｉｔｉａｔｏｒ）となる場合にのみ、通信データ処理部で利用者からの通信データのＩＰｓｅｃの適用／非適用の選択情報を受け付けさせるので、通信を行うネットワーク接続機器同士でＩＰｓｅｃを適用する／しないの選択が食い違い、ＩＰｓｅｃを適用する／しないのセキュリティポリシの決定ができなくなることを防ぐことができる。したがって、片方のネットワーク接続機器の意思のみでも、ＩＰｓｅｃを適用する／しないのセキュリティポリシの変更（選択）をすることができる。
なお、セキュリティアソシエーションの情報を検索して、前記ネットワーク接続機器（100）のセキュリティアソシエーションに関する情報が発見されなかった場合とは、まだ通信相手のネットワーク接続機器とＳＡが確立されていないこと、すなわち自己のネットワーク接続機器が通信相手のネットワーク接続機器とのＩＰｓｅｃの適用を行えば、自己のネットワーク接続機器がＳＡの始動者（ｉｎｉｔｉａｔｏｒ）となる場合を示す。
【００１０】
本発明の請求項５に記載の発明によれば、ネットワーク接続機器の利用者が通信データにＩＰｓｅｃを適用することを選択したときに、この通信データのＳＡがセキュリティアソシエーションデータベース部に格納されていない場合でも、自動鍵交換プロコトルによりＳＡを確立させるので、通信相手のネットワーク接続機器との間でＩＰｓｅｃが適用された通信データの送受信を行うことができる。
【００１１】
本発明の請求項７に記載の発明によれば、ネットワーク接続機器の利用者が通信データにＩＰｓｅｃを適用しないことを選択したときに、この通信データのＳＡがセキュリティアソシエーションデータベース部に格納されている場合でも、自動鍵交換プロコトルによりＳＡを撤回（削除）するので、通信相手のネットワーク接続機器との間でＩＰｓｅｃを適用していない通信データの送受信を行うことができる。
【００１２】
本発明の請求項８に記載の発明によれば、キュリティアソシエーションに関する情報は、自己のネットワーク接続機器がＳＡの始動者（ｉｎｉｔｉａｔｏｒ）であるか否かに関する情報を含み、セキュリティアソシエーション処理部は、自己がＳＡの始動者（ｉｎｉｔｉａｔｏｒ）であることを確認することができる。
すなわち、通信を行うネットワーク接続機器のうち、ＳＡの始動者側（ｉｎｉｔｉａｔｏｒ）のネットワーク接続機器が通信の主導権を握るので、双方のネットワーク接続機器でＩＰｓｅｃを適用する／しないの選択が食い違い、ＩＰｓｅｃを適用する／しないのセキュリティポリシの決定ができなくなることを防ぐことができる。したがって、片方のネットワーク接続機器の意思のみでも、ＩＰｓｅｃを適用する／しないのセキュリティポリシの変更（選択）をすることができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００１４】
まず、本発明の実施の形態であるネットワーク接続機器（ノード）の基本的構成および基本的処理手順について図１〜図３を用いて説明し、その後、本発明の特徴的構成を説明する。
【００１５】
＜基本的構成＞
本発明の実施の形態であるノードは、ノード間で相互にデータの送受信（通信）を行うものであるが、ここでは説明のため、送信側ノードをノード１００Ａ、受信側ノード１００をノード１００Ｂとする。
なお、送信側ノード１００Ａも受信側ノード１００Ｂも同様の構成であるので、ノード１００（１００Ａ、１００Ｂ）の構成を送信側ノード１００Ａの構成を示す図１を用いて説明する。
【００１６】
ノード１００（１００Ａ）は、通信の相手方であるノード１００（１００Ｂ）との間で取り決められたセキュリティポリシとセキュリティアソシエーションに基づき通信データのＩＰｓｅｃによる通信を行い、ノード１００（１００Ｂ）との通信データの送受信をする機能を有する。
【００１７】
したがって、ノード１００は、ネットワーク２を介して、通信を行うインターフェース部１０１、ＩＰｓｅｃの適用を行うためのＳＡに関する情報を記憶するセキュリティアソシエーションデータベース（ＳＡＤ）部１０２、通信データの属性ごとに、通信データにＩＰｓｅｃを適用する／しない等のセキュリティポリシを記憶したセキュリティポリシデータベース（ＳＰＤ）部１０３、通信データの生成、削除、取得および通信データのＩＰｓｅｃの適用を行う通信データ処理部１０４、通信データのヘッダ情報を参照して、通信データの処理内容を決定するポリシ管理部１０５、自動鍵交換プロトコルにより通信相手のノード１００とのＳＡを確立するための折衝を行い、この折衝結果であるＳＡに関する情報の生成等を行うセキュリティアソシエーション（ＳＡ）処理部１０６およびノード１００の利用者からの各種情報の入力を受け付ける入力部１０７を含んで構成される。
【００１８】
ここで、本実施の形態におけるＳＡとは、ノード１００（１００Ａ、１００Ｂ）間でＩＰｓｅｃによる通信を行うためのコネクションである。すなわち、ノード１００（１００Ａ、１００Ｂ）間でＩＰｓｅｃによる通信を始める前に、ノード１００（１００Ａ、１００Ｂ）の自動鍵交換プロトコル（ＩＫＥ）により暗号化アルゴリズムや暗号化鍵等の折衝を行い、ノード１００（１００Ａ、１００Ｂ）間で暗号化アルゴリズムや暗号化鍵に関する情報を共有することである。
【００１９】
ノード１００（１００Ａ、１００Ｂ）は、ネットワーク２を介して通信データの送受信を行うネットワーク接続機器であり、ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）でもよいし、ルータであってもよい。
なお、説明のため、図１にはノード１００は、ノード１００Ａとノード１００Ｂの２個しか描いていないが、もちろん３個以上のノード１００間で通信を行ってもよい。
【００２０】
（セキュリティポリシデータベース部）
ＳＰＤ部１０３は、通信データ処理部１０４が通信データパケットを廃棄（ｄｉｓｃａｒｄ）する、ＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）といったノード１００の通信データのセキュリティポリシ（処理内容／処理方針）を記憶（格納）する機能を有する。また、このセキュリティポリシは、通信データ処理部１０４がＩＰｓｅｃを適用する場合のカプセル化モード、暗号化アルゴリズムや認証アルゴリズムに関する情報も含んでいる。
また、ＳＰＤ部１０３は、ノード１００が送信（出力）する通信データパケットのセキュリティポリシを記憶した出力用ＳＰＤと、ノード１００が受信する（入力される）通信データ（通信データパケット）のセキュリティポリシを記憶した入力用ＳＰＤとの２種類のＳＰＤで構成される。
【００２１】
表１にノード１００の出力用ＳＰＤを例示する。ここでノード１００は、ＡＡＡ．ＡＡＡ．ＡＡＡ．１というＩＰアドレスを持つものとする。
表１に例示されるように、出力用ＳＰＤは、各処理内容を適用する優先順位を示す項目と、処理対象である通信データパケットの始点ＩＰアドレスを示す項目と、終点ＩＰアドレスを示す項目と、プロトコルを示す項目と、宛先ポートを示す項目と、これらの項目（セレクタ）に該当する通信データパケットに適用する処理内容に関する情報とを含んで構成される。
【００２２】
例えば、表１の出力用ＳＰＤは、通信データパケットがＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを始点とし、ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４というＩＰアドレスのネットワークを終点とする通信データパケットである場合、プロトコルや、宛先ポート番号を問わず（Ａｎｙ）、ＩＰｓｅｃを適用し（ａｐｐｌｙ  ＩＰｓｅｃ）、ＡＡＡ．ＡＡＡ．ＡＡＡ．１を始点、ＣＣＣ．ＣＣＣ．ＣＣＣ．１を終点としてトンネルモードを適用し、暗号化アルゴリズムはＤＥＳ−ＣＢＣ（Ｄａｔａ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ  −  Ｃｉｐｈｅｒ  Ｂｌｏｃｋ  Ｃｈａｉｎｉｎｇ）で、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１（Ｈａｓｈ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｃｏｄｅｓ−  Ｓｅｃｕｒｅ  Ｈａｓｈ  Ａｌｇｏｒｉｔｈｍ  １）を適用し、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４以外の宛先の通信データパケットにはＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）というセキュリティポリシを示している。
【００２３】
【表１】
2005086381.tif 000003
【００２４】
表２にノード１００の入力用ＳＰＤを例示する。表２に例示されるように、入力用ＳＰＤも、出力用ＳＰＤと同様の項目で構成される。
例えば、表２の入力用ＳＰＤは、通信データパケットがＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４というＩＰアドレスのネットワークを始点とし、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを終点とする通信データパケットである場合、プロトコルや宛先ポート番号を問わず（Ａｎｙ）、ＩＰｓｅｃを適用し（ａｐｐｌｙ  ＩＰｓｅｃ）、ＣＣＣ．ＣＣＣ．ＣＣＣ．１を始点、ＡＡＡ．ＡＡＡ．ＡＡＡ．１を終点としてトンネルモードを適用し、暗号化アルゴリズムはＤＥＳ−ＣＢＣ（Ｄａｔａ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ  −  Ｃｉｐｈｅｒ  Ｂｌｏｃｋ  Ｃｈａｉｎｉｎｇ）で、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１（Ｈａｓｈ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｃｏｄｅｓ−  Ｓｅｃｕｒｅ  Ｈａｓｈ  Ａｌｇｏｒｉｔｈｍ  １）を適用し、ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４以外の宛先の通信データパケットにはＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）というセキュリティポリシを示している。
【００２５】
【表２】
2005086381.tif 000004
【００２６】
なお、後記するポリシ管理部１０５は、通信データパケットのヘッダ情報をセレクタとして、このＳＰＤ部１０３の中のセキュリティポリシを検索し、通信データパケットに適用する処理内容を決定する。
また、ＳＰＤ部１０３の情報は、ノード１００（１００Ａ、１００Ｂ）間のＩＰｓｅｃの適用を行う前に、ノード１００（１００Ａ、１００Ｂ）の利用者が入力部１０７を介して、設定入力を行うものとする。
【００２７】
（セキュリティアソシエーションデータベース部）
ＳＡＤ部１０２は、後記するＳＡ処理部１０６が生成したノード１００（１００Ａ、１００Ｂ）間の通信データのＳＡに関する情報を記憶（格納）する機能を有する。
ＳＡに関する情報には、通信データの終点ＩＰアドレス（宛先ＩＰアドレス）、ＩＰｓｅｃプロトコルの種類、各ＳＡを識別するための値であるＳＰＩ（Ｓｅｃｕｒｔｙ  Ｐａｒａｍｅｔｅｒ  Ｉｎｄｅｘ）値、暗号化アルゴリズム、暗号化鍵に関する情報のほか、様々な情報が記述される。
【００２８】
また、ＳＡＤ部１０２は、ノード１００が送信（出力）する通信データパケットに関するＳＡを記憶した出力用ＳＡＤと、ノード１００が受信する（入力される）通信データパケット）のＳＡを記憶した入力用ＳＡＤとの２種類のＳＡＤで構成される。
【００２９】
表３にノード１００の出力用ＳＡＤを例示する。ここでノード１００は、ＡＡＡ．ＡＡＡ．ＡＡＡ．１というＩＰアドレスを持つものとする。
表３に例示されるように、出力用ＳＡＤは、ＳＡの対象である通信データパケットの、終点ＩＰアドレス、ＩＰｓｅｃのプロトコルやＳＰＩ値といったパラメータを示す項目のほか、カプセル化モード、暗号化アルゴリズム、暗号化鍵、認証アルゴリズムや認証鍵に関する情報等を含んで構成される。
【００３０】
【表３】
2005086381.tif 000005
【００３１】
例えば、表３の出力用ＳＡＤは、ＤＤＤ．ＤＤＤ．ＤＤＤ．ＤＤＤというＩＰアドレスのノードを終点として、ＩＰｓｅｃプロトコルがＥＳＰ（暗号ペイロードＥｎｃａｐｓｕｌａｔｅｄ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）で、ＳＰＩ値が３０００である通信データパケットについては、カプセル化モードはトンネルモードであり、暗号化アルゴリズムはＤＥＳ−ＣＢＣであり、暗号化鍵はＸＸＸであり、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１であり、認証鍵はＹＹＹというＳＡが確立されていることを示している。
【００３２】
入力用ＳＡＤは、ＳＡの対象である通信データパケットの終点ＩＰアドレスを示す項目の代わりに始点ＩＰアドレスの項目を含んでいる他は、出力用ＳＡＤと同様の構成となっている。表４に入力用ＳＡＤを例示する。
【００３３】
【表４】
2005086381.tif 000006
【００３４】
例えば、表４の入力用ＳＡＤは、ＤＤＤ．ＤＤＤ．ＤＤＤ．ＤＤＤというＩＰアドレスのノードを始点として、ＩＰｓｅｃプロトコルがＥＳＰ（暗号ペイロードＥｎｃａｐｓｕｌａｔｅｄ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）であり、ＳＰＩ値が３０００である通信データパケットについては、カプセル化モードはトンネルモードであり、暗号化アルゴリズムはＤＥＳ−ＣＢＣであり、暗号化鍵はＸＸＸであり、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１であり、認証鍵はＹＹＹというＳＡが確立されていることを示している。
【００３５】
なお、後記するポリシ管理部１０５は、ＳＰＤ部１０３から検索されたセキュリティポリシと、このＳＡＤ部１０２から検索されたＳＡに関する情報とを参照して、後記するＳＡ処理部１０６へ新たなＳＡの生成依頼や、ＳＡの削除依頼を行う。
【００３６】
また、ＳＡＤ部１０２の情報は、ＳＡ処理部１０６がＩＫＥを使用して自動で設定（書き換え）をするが、ノード１００（１００Ａ、１００Ｂ）の利用者が入力部１０７を介して手動で設定（書き換え）することもできる。
【００３７】
（通信データ処理部）
通信データ処理部１０４は、入力部１０７から入力された各種情報に基づき通信データの生成を行う機能を有する。また、この生成した通信データやインターフェース部１０１から出力された通信データの処理内容（処理方法）をポリシ管理部１０５へ問い合わせて、ポリシ管理部１０５から出力された通信データの処理内容（方法）に従って、通信データの削除またはＩＰｓｅｃを適用する機能を有する。
【００３８】
ここで、通信データの処理内容とは、例えば通信データパケットを廃棄（ｄｉｓｃａｒｄ）する、ＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）といった内容であり、さらにＩＰｓｅｃを適用する場合は暗号化アルゴリズムや認証アルゴリズム等も含む。
【００３９】
（ポリシ管理部）
ポリシ管理部１０５は、通信データの処理内容を決定する機能を有する。
具体的には、ポリシ管理部１０５が通信データ処理部１０４から、通信データの処理方法に関する問い合わせを受信すると、この通信データの属性を示すヘッダ情報を参照して、前記したＳＰＤ部１０３の出力用セキュリティポリシデータベースからこの通信データのセキュリティポリシを検索し、前記したＳＡＤ部１０２から、この通信データのＳＡに関する情報を検索する。そして、この検索結果（セキュリティポリシおよびＳＡ）に基づいて、ポリシ管理部１０５は、通信データの処理内容を決定する。
ポリシ管理部１０５の処理手順の詳細については、後記するノード１００（１００Ａ、１００Ｂ）の処理手順の説明の項で述べる。
【００４０】
（ＳＡ処理部）
ＳＡ処理部１０６は、ポリシ管理部１０５から、相手方ノード１００（１００Ｂ）への通信データに関するＳＡの生成依頼を受信すると、この通信データのＳＡを作成し、自動鍵交換プロトコル（ＩＫＥ）により通信の相手方ノード１００（１００Ｂ）との間でＳＡの折衝を行なう。そして、この折衝結果であるＳＡに関する情報を、ＳＡＤ部１０２に記憶させる（登録する）機能を有する。
【００４１】
また、ＳＡ処理部１０６は、相手方ノード１００（１００Ｂ）との通信データについて、ポリシ管理部１０５からＳＡの削除（撤回）依頼を受信すると、自動鍵交換プロトコルによりノード１００（１００Ｂ）との間で確立したＳＡを撤回する通知をノード１００（１００Ｂ）へ行い、ノード１００（１００Ａ）のＳＡＤ部１０２から、相手方ノード１００（１００Ｂ）との通信データのＳＡに関する情報を削除する機能を有する。
【００４２】
次に、図１〜図３を用いてノード１００（１００Ａ、１００Ｂ）の各構成要素の処理手順を説明する。ここでは、送信側ノード１００Ａが、受信側ノード１００Ｂへ通信データを送信する場合を例として説明する。
【００４３】
図１は、送信側ノードの構成を示す図である。
図２は、送信側ノードの処理手順を示すフローチャート図である。
図３は、受信側ノードの処理手順を示すフローチャート図である。
まず、図１を参照しつつ図２を用いて、ノード１００Ａが通信データパケットを送信する際の処理手順について説明する。
【００４４】
（ステップＳ１０１）
ステップＳ１０１では、ノード１００Ａの通信データ処理部１０４が、入力部１０７からへ出力された情報に基づき、ノード１００Ｂへ送信する通信データパケットを生成する。
そして、通信データ処理部１０４は、この通信データパケットの処理内容をポリシ管理部１０５へ問い合わせる。具体的には、通信データ処理部１０４は、ノード１００Ａの通信データパケットのヘッダ情報をポリシ管理部１０５へ出力する。
【００４５】
（ステップＳ１０２）
ポリシ管理部１０５は、ステップＳ１０１で生成した通信データパケットのヘッダ情報の始点ＩＰアドレス、終点ＩＰアドレス、上位層プロトコル等の情報をセレクタとして、ノード１００ＡのＳＰＤ部１０３の出力用ＳＰＤからセキュリティポリシ（処理内容）を検索する。検索されたセキュリティポリシ（処理内容）が、ＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）であった場合は、ステップＳ１０３へ進む。
検索されたセキュリティポリシが、通信データパケットにＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）であった場合には、ステップＳ１０６へ進み、ＩＰｓｅｃを適用せずにインターフェース部１０１からノード１００Ｂへ通信データパケットを送信する。検索されたセキュリティポリシが通信データパケットを廃棄（ｄｉｓｃａｒｄ）であった場合には、ステップＳ１０７へ進み、通信データ処理部１０４で生成した通信データパケットを廃棄する。すなわち、ノード１００Ｂへ通信データパケットを送信しない。
【００４６】
（ステップＳ１０３）
ステップＳ１０３では、ポリシ管理部１０５が、ステップＳ１０２で検索されたセキュリティポリシと、通信データパケットのヘッダ情報を参照して、これをセレクタとして、ノード１００ＡのＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。ここで、出力用ＳＡＤにこの通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ１０３の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ無し）、ＳＡ処理部１０６へ、この通信データパケットのヘッダ情報を含む通信データパケットのＳＡの生成を依頼するデータを出力し、ステップＳ１０４へ進む。出力用ＳＡＤに、この通信データパケットのＳＡに関する情報が発見された場合（Ｓ１０３該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ有り）、ステップＳ１０５へ進む。
【００４７】
（ステップＳ１０４）
ステップＳ１０４では、ポリシ管理部１０５から通信データパケットのＳＡの生成を依頼するデータを受信したＳＡ処理部１０６が、このデータに含まれる通信データパケットのヘッダ情報を参照して、ＩＫＥによりこの通信データパケットに関する受信側（通信相手）ノード１００ＢとのＳＡを生成する。
具体的には、ＳＡ処理部１０６がＩＫＥを始動して、インターフェース部１０１を介して、ノード１００Ｂへ送信予定の通信データパケットのＳＡ確立のための各種データ（暗号化アルゴリズム、暗号化鍵）の送受信を行う。すなわち、ノード１００ＢとＳＡ確立のための折衝を始動する。
そして、ノード１００ＡのＳＡＤ部１０２が、ノード１００Ｂと折衝した結果、当該通信データパケットのＳＡを確立させると、このＳＡに関する情報を生成し、この情報をＳＡＤ部１０２に記憶させ、ステップＳ１０５へ進む。
【００４８】
（ステップＳ１０５）
ステップＳ１０５では、ポリシ管理部１０５が、ＳＰＤ部１０３の出力用ＳＰＤに記憶された当該通信データパケットのセキュリティポリシと、ＳＡＤ部１０２に記憶された当該通信データパケットのＳＡに関する情報に基づき、この通信データパケットの処理内容（暗号化アルゴリズム等）を決定する。そして、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４は、この処理内容を受信すると、これに基づき通信データパケットにＩＰｓｅｃを適用してインターフェース部１０１を介してノード１００Ｂへ送信する。
【００４９】
次に、図１を参照しつつ図３を用いて、受信側ノード１００Ｂが通信データを受信する際の処理手順を説明する。
【００５０】
（ステップＳ２０１）
ステップＳ２０１では、ノード１００Ｂの通信データ処理部１０４が、インターフェース部１０１を介して、ノード１００Ａからの通信データパケットを受信する。
【００５１】
（ステップＳ２０２）
ステップＳ２０２では、通信データ処理部１０４が、ステップＳ２０１で受信した通信データパケットのヘッダ情報等を参照して、この通信データのＩＰｓｅｃ適用・非適用（ＩＰｓｅｃが適用されているか、適用されていないか）を検証する。この通信データパケットにＩＰｓｅｃが適用されている場合には、通信データ処理部１０４は、この通信データパケットのヘッダ情報をポリシ管理部１０５へ出力し、ステップＳ２０３へ進む（ステップＳ２０２のＩＰｓｅｃ適用有り）。ＩＰｓｅｃが適用されていない場合は（ステップＳ２０２のＩＰｓｅｃ適用無し）、この通信データパケットのヘッダ情報をポリシ管理部１０５へ出力し、ステップＳ２０７へ進む。
【００５２】
（ステップＳ２０３）
ステップＳ２０３では、ポリシ管理部１０５は、ステップＳ２０１で受信した通信データパケットのヘッダ情報に含まれる始点ＩＰアドレス、終点ＩＰアドレス、上位層プロトコル等の情報をパラメータとして、ノード１００ＢのＳＡＤ部１０２の入力用ＳＡＤからこの通信データパケットに関するＳＡを検索する。検索した結果、ポリシ管理部１０５がこの通信データパケットのＳＡを発見した場合（Ｓ２０３の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ有り）、この通信データパケットに関するＳＡを通信データ処理部１０４へ出力し、ステップＳ２０６へ進む。当該通信データパケットのＳＡを発見できなかった場合（Ｓ２０３の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ無し）、ステップＳ２０４へ進む。
【００５３】
（ステップＳ２０４）
ステップＳ２０４では、通信データ処理部１０４が、ポリシ管理部１０５で検索された通信データパケットに関するＳＡに基づき、通信データパケットのＩＰｓｅｃを外す処理（通信データパケットの復号化・認証処理）を行う。そして、この通信データパケットのヘッダ情報を、ポリシ管理部１０５へ出力する。
【００５４】
（ステップＳ２０５）
ステップＳ２０５では、ポリシ管理部１０５が、通信データ処理部１０４から出力された当該通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。そして、この検索されたセキュリティポリシに基づく当該通信データパケットの処理内容を決定し、この処理内容を通信データ処理部１０４へ出力する。
ここで、ＳＰＤ部１０３から検索されたセキュリティポリシが、ＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）であった場合は、ステップＳ２０８へ進む。検索されたセキュリティポリシが、通信データパケットを廃棄（ｄｉｓｃａｒｄ）またはＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）であった場合には、ステップＳ２０６へ進む。
【００５５】
（ステップＳ２０６）
ステップＳ２０６では、通信データ処理部１０４が、ポリシ管理部１０５から送信された通信データパケットの処理内容（通信データパケットの廃棄）を受信すると、これに基づき、当該通信データパケットの廃棄をする。
【００５６】
（ステップＳ２０７）
ノード１００Ｂが受信した通信データパケットがＩＰｓｅｃを適用していない場合であるステップＳ２０７では、ポリシ管理部１０５が、当該通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。ここで、ＳＰＤ部１０３から検索されたセキュリティポリシが、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）であった場合は、ステップＳ２０８へ進む。検索されたセキュリティポリシが、通信データパケットを廃棄（ｄｉｓｃａｒｄ）またはＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）であった場合には、ステップＳ２０９へ進む。
【００５７】
（ステップＳ２０８）
ステップＳ２０８では、ポリシ管理部１０５で検索されたセキュリティポリシ（ＩＰｓｅｃ非適用）に基づく当該通信データパケットの処理内容（通信データパケットの受信完了）を決定し、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４が、ポリシ管理部１０５から送信された当該通信データパケットの処理内容（通信データパケットの受信完了）を受信すると、これに基づき、当該通信データパケットを受信する。
【００５８】
（ステップＳ２０９）
ステップＳ２０９では、ポリシ管理部１０５で検索されたセキュリティポリシに基づく当該通信データパケットの処理内容（通信データパケット廃棄）を決定し、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４が、ポリシ管理部１０５から送信された当該通信データパケットの処理内容を受信すると、これに基づき、当該通信データパケットの廃棄をする。
【００５９】
以上、送信側ノード１００Ａが受信側ノード１００Ｂへ通信データを送信する場合を例として、ノード１００の基本的構成要素および基本的処理手順を説明した。
ノード１００がこのような処理手順を実行することにより、ノード１００はＳＰＤ部１０３に格納されたセキュリティポリシに基づき、通信データパケットへのＩＰｓｅｃの適用／非適用を実行する。
【００６０】
＜特徴的構成＞
次に、本発明の本実施の形態の特徴的構成について説明する。なお、前記した基本的構成と同様の構成要素は、同じ符号を付して説明を省略する。
本実施の形態の特徴的構成は、ノード１００が通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更できることを特徴とする。
【００６１】
したがって、前記した基本的構成におけるノード１００のＳＰＤ部１０３の出力用ＳＰＤおよび入力用ＳＰＤは、通信データ処理部１０４が通信データパケットを廃棄（ｄｉｓｃａｒｄ）する、ＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）といったセキュリティポリシ（処理内容）のほかに、ノード１００の利用者が通信データパケットへのＩＰｓｅｃの適用／非適用を動的に選択しうるｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃというセキュリティポリシを含んで構成される。
【００６２】
表５は、本実施の形態におけるノード１００のＳＰＤ部１０３の出力用ＳＰＤを例示した表である。表５に例示されるように、本実施の形態の出力用ＳＰＤは、基本的構成の出力用ＳＰＤとセレクタの項目は同じであるが、適用する処理の項目にノード１００の利用者が通信データパケットへのＩＰｓｅｃの適用／非適用を動的に変更できるｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃというセキュリティポリシを加えた構成となっている。
【００６３】
例えば、表５に例示されるＳＰＤ部１０３の出力用ＳＰＤは、通信データパケットが、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを始点とし、ＢＢＢ．ＢＢＢ．ＢＢＢ．０／２４というＩＰアドレスのネットワークを終点とする通信データパケットである場合、プロトコルや、宛先ポート番号を問わず（Ａｎｙ）、通信データパケットへのＩＰｓｅｃの適用／非適用を動的に選択（変更）でき（ｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃ）、通信データパケットがＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを始点とし、ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４というアドレスのネットワークを終点とする通信データパケットである場合、ＩＰｓｅｃを適用し（ａｐｐｌｙ  ＩＰｓｅｃ）、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４以外の宛先の通信データパケットにはＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）というセキュリティポリシを示している。
【００６４】
【表５】
2005086381.tif 000007
【００６５】
以上、ＳＰＤ部１０３の出力用ＳＰＤを例として説明したが、入力用ＳＰＤも、出力用ＳＰＤと同様にｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃという処理内容を含むことを特徴とする。
【００６６】
ＳＡＤ部１０２も、基本的構成で説明した通り、出力用ＳＡＤおよび入力用ＳＡＤの２種類のＳＡＤから構成されるが、ＳＡに関する情報は、自己のノード１００がＩＫＥにより、通信相手のノード１００とＳＡの折衝の始動を行ったか否か、すなわち自己のノード１００がＳＡ確立のｉｎｉｔｉａｔｏｒであるか否かに関する情報（折衝始動情報）をさらに含むことを特徴とする。
【００６７】
表６に本実施の形態におけるノード１００の出力用ＳＡＤを例示する。表６に例示されるように、出力用ＳＡＤは、ＳＡの対象である通信データパケットごとに、終点ＩＰアドレス、ＩＰｓｅｃのプロトコル、ＳＰＩ値やカプセル化モードや暗号化アルゴリズムといったパラメータに関する情報を記憶するが、これに加えて各ＳＡごとに自己のノード１００がｉｎｉｔｉａｔｏｒであるが、ｒｅｓｐｏｎｄｅｒ（折衝を受ける側、通信相手）であるかに関する情報も記憶している。
【００６８】
【表６】
2005086381.tif 000008
【００６９】
例えば、表６の出力用ＳＡＤは、ＤＤＤ．ＤＤＤ．ＤＤＤ．ＤＤＤというＩＰアドレスのノードを終点として、ＩＰｓｅｃプロトコルがＥＳＰであり、ＳＰＩ値が３０００である通信データパケットについては、自らのノード１００がｉｎｉｔｉａｔｏｒであることを示している。
また、ＥＥＥ．ＥＥＥ．ＥＥＥ．ＥＥＥというＩＰアドレスのノードを終点として、ＩＰｓｅｃプロトコルがＥＳＰであり、ＳＰＩ値が３０１０である通信データパケットについては、自らのノード１００がｒｅｓｐｏｎｄｅｒであることを示している。すなわち、前記したＳＡは、通信相手のノード１００がｉｎｉｔｉａｔｏｒとなって確立したものであることを示している。
【００７０】
なお、入力用ＳＡＤも、出力用ＳＡＤと同様に、基本的構成で述べた構成要素に加えて、各ＳＡごとに自己のノード１００がｉｎｉｔｉａｔｏｒであるか、ｒｅｓｐｏｎｄｅｒであるかに関する情報も含んで構成される。
【００７１】
ＳＡ処理部１０６は、相手側ノード１００とのＳＡを成立（確立）させると、このＳＡに関する情報（暗号化アルゴリズム等）に加えて、このＳＡにおいて自己のノード１００がｉｎｉｔｉａｔｏｒであるか、ｒｅｓｐｏｎｄｅｒであるかに関する情報をＳＡＤ部１０２に記憶させる機能を有する。
また、ＳＡ処理部１０６は、ＩＫＥによりＳＡを確立させる機能のほか、前記したＳＡＤ部１０２の情報を検索（参照）して、自らのノード１００がｉｎｉｔｉａｔｏｒであることを確認すると、ｒｅｓｐｏｎｄｅｒ側のノード１００からＳＡの確立またはＳＡ撤回（削除）のＩＫＥによる折衝を始動されても、これを受け付けない（応答しない）機能を有する。
すなわち、ｒｅｓｐｏｎｄｅｒ側のノード１００からＳＡの確立またはＳＡ撤回（削除）のＩＫＥによる折衝のためのデータを受信してもこのデータを廃棄して、ｒｅｓｐｏｎｄｅｒ側のノードへその後の応答をしない。
【００７２】
また、基本的構成の項で述べたとおり、ＳＰＤ部１０３の出力用ＳＰＤおよび入力用ＳＰＤは、ノード１００間において通信を行う前に、ノード１００の利用者が入力部１０７を介して、設定入力を行うものとする。
【００７３】
したがって、例えば、ノード１００の利用者が、ノード１００のＳＰＤ部１０３の出力用ＳＰＤおよび入力用ＳＰＤのｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃのセレクタの項目に、ＩＰｓｅｃの適用／非適用のセキュリティポリシを固定的にしたくないネットワークの情報を設定することで、設定したネットワークへデータを送信するときＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更（選択）することができる。
【００７４】
なお、ＳＡＤ部１０２の入力用ＳＡＤおよび出力用ＳＡＤも、それぞれのＳＡに関する情報ごとに、自らのノード１００がｉｎｉｔｉａｔｏｒとなるかｒｅｓｐｏｎｄｅｒとなるかを利用者が入力部１０７を介して手動で設定してもよい。
【００７５】
また、ポリシ管理部１０５でＳＡＤ部１０２を検索した結果、自らのノード１００が通信主体（ｉｎｉｔｉａｔｏｒ）となる場合（ＳＡＤ部１０２に該当するＳＡが無かった場合）および自らのノード１００がｉｎｉｔｉａｔｏｒであった場合（ＳＡＤ部１０２のＳＡに関する情報に自己のノード１００がｉｎｉｔｉａｔｏｒである旨が記述されていた場合）のみ、通信データ処理部１０４でノード１００の利用者から通信データパケットのＩＰｓｅｃの適用／非適用の選択情報を受付けさせる機能を有する。
このように通信を行うノード１００間でＩＰｓｅｃを適用する／しないの選択の主導権を握るノード１００が決めることで、ＩＰｓｅｃを適用する／しないの決定ができなくなることを防ぐことができる。
【００７６】
次に、本実施の形態における、各構成要素の処理手順を、図１〜図３を参照しつつ、図４〜図７を用いて説明する。
図４は、本実施の形態における、ノードの通信データ送信の処理手順を示した図である。
図５は、本実施の形態における、ｒｅｓｐｏｎｄｅｒ側ノードの通信データ送信の処理手順を示した図である。
図６は、本実施の形態におけるノードの通信データの受信前の処理手順を示した図である。
図７は、本実施の形態における、ノードの通信データ受信後の処理手順を示した図である。
【００７７】
まず、図４を用いて、ノード１００が通信データを送信する処理手順を説明する。ステップＳ３０１は、前記した基本的処理手順の図２のステップＳ１０１と同様の処理動作であるので説明を省略し、ステップＳ３０２から説明する。
【００７８】
（ステップＳ３０２）
ステップＳ３０２では、ポリシ管理部１０５は、ステップＳ３０１で生成した通信データパケットのヘッダ情報に含まれる始点ＩＰアドレス、終点ＩＰアドレス、上位層プロトコル等の情報をセレクタとして、ノード１００のＳＰＤ部１０３の出力用ＳＰＤからセキュリティポリシを検索する。
【００７９】
ここで、検索されたセキュリティポリシが、ＩＰｓｅｃの適用／非適用を選択することができる（ｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃ）であった場合、ステップＳ３０３へ進む。検索されたセキュリティポリシが通信データパケットを廃棄する（ｄｉｓｃａｒｄ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓ  ＩＰｓｅｃ）またはＩＰｓｅｃを適用する（ａｐｐｌｙ  ＩＰｓｅｃ）であった場合には、ステップＳ３１１へ進み、前記した基本的構成における通信データの送信手順（基本的処理手順）と同様の処理手順を行う。
【００８０】
（ステップＳ３０３）
ステップＳ３０３では、ポリシ管理部１０５が、ＳＡＤ部１０２の出力用ＳＡＤを参照して、当該通信データパケットについて自らのノード１００が通信主体（ｉｎｉｔｉａｔｏｒ）か通信相手（ｒｅｓｐｏｎｄｅｒ）かを確認する。
【００８１】
具体的には、ポリシ管理部１０５で、ＳＡＤ部１０２を検索した結果、ＳＡＤ部１０２に該当するＳＡが有り、かつそのＳＡに自己のノード１００がｒｅｓｐｏｎｄｅｒである旨が記述されていた場合（またはｉｎｉｔｉａｔｏｒである旨の記述がなかった場合）、ポリシ管理部１０５は、自らのノード１００をｒｅｓｐｏｎｄｅｒと判断する。
そして、それ以外の場合は、ポリシ管理部１０５は自らのノード１００をｉｎｉｔｉａｔｏｒと判断する。すなわち、ポリシ管理部１０５で当該通信データパケットに関するＳＡについてＳＡＤ部１０２を検索した結果、ＳＡＤ部１０２に該当するＳＡが無かった場合およびＳＡＤ部１０２に該当するＳＡが有り、かつそのＳＡに関する情報に自己のノード１００がｉｎｉｔｉａｔｏｒである旨が記述されていた場合、ポリシ管理部１０５は、自らのノード１００はｉｎｉｔｉａｔｏｒであると判断する。
つまり、ここで通信主体（ｉｎｉｔｉａｔｏｒ）と判断される場合とは、既に自己のノード１００が通信相手のノード１００との間でＳＡを確立している場合のほか、まだ自己のノード１００は通信相手となるノード１００との間でＳＡを確立していないが、このあと通信相手となるノード１００へＩＫＥを始動すればｉｎｉｔｉａｔｏｒとなる場合を含むものとする。
【００８２】
ここで、自らノード１００がｉｎｉｔｉａｔｏｒであった場合は、ポリシ管理部１０５は自らのノード１００がｉｎｉｔｉａｔｏｒである旨を通信データ処理部１０４へ出力し、ステップＳ３０４へ進む。自らのノード１００がｒｅｓｐｏｎｄｅｒであった場合には、後記する図５（ｒｅｓｐｏｎｄｅｒ側ノード１００の送信処理手順）のステップＳ４０１へ進む。
【００８３】
（ステップＳ３０４）
ステップＳ３０４では、ステップＳ３０３で自らのノード１００がｉｎｉｔｉａｔｏｒであることを確認した通信データ処理部１０４が、入力部１０７を介してノード１００の利用者から当該通信データパケットに対するＩＰｓｅｃの適用／非適用の選択情報を受け付ける。
【００８４】
例えば、ここでＩＰｓｅｃの適用／非適用の選択情報の受付は、図示しない出力部（モニタ画面等）に、利用者へＩＰｓｅｃの適用／非適用の選択を促す画面を出力するようにしてもよい。そして、利用者がＩＰｓｅｃの適用／非適用の選択情報を、入力部１０７を介して入力し、この選択情報を通信データ処理部１０４で受け付ける。ノード１００の利用者が、当該通信データパケット（送信パケット）に対してＩＰｓｅｃを適用することを選択した場合は、ステップＳ３０５へ進む。ＩＰｓｅｃを適用しないことを選択した場合は、ステップＳ３０８へ進む。
【００８５】
（ステップＳ３０５）
ステップＳ３０５では、通信データ処理部１０４が、ステップＳ３０４で入力された選択情報（ＩＰｓｅｃ適用）と、ノード１００の通信データパケットのヘッダ情報とをポリシ管理部１０５へ出力し、通信データパケットの処理内容をポリシ管理部１０５へ問い合わせる。そして、ポリシ管理部１０５は、ステップＳ３０３で出力された選択情報（ＩＰｓｅｃ適用）と、通信データパケットのヘッダ情報を受信し、当該通信データパケットのヘッダ情報を参照して、この情報をパラメータとして、ノード１００のＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。ここで、出力用ＳＡＤから、この通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ３０４の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ無し）は、ポリシ管理部１０５が、ＳＡ処理部１０６へこの通信データパケットのヘッダ情報とともに当該通信データパケットのＳＡの生成を依頼するデータを出力し、ステップＳ３０６へ進む。
出力用ＳＡＤにこの通信データパケットのＳＡに関する情報が発見された場合（Ｓ３０４の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ有り）は、ステップＳ３０７へ進む。
【００８６】
（ステップＳ３０６）
ステップＳ３０６では、ＳＡ処理部１０６が、ポリシ管理部１０５から通信データパケットのＳＡの生成を依頼するデータを受信すると、このデータに含まれる通信データパケットのヘッダ情報を参照して、ＩＫＥにより当該通信データパケットについて通信相手側ノード１００とのＳＡを生成する。
【００８７】
具体的には、ＳＡ処理部１０６がＩＫＥを始動して、ノード１００へ送信予定の通信データパケットのＳＡ確立のための各種データ（暗号化アルゴリズム、暗号化鍵）の送受信を、インターフェース部１０１を介して行う。すなわち、ノード１００とＳＡ確立のための折衝を始動する。
【００８８】
そして、ノード１００のＳＡ処理部１０６が、ノード１００と折衝後、当該通信データパケットのＳＡを確立させ、このＳＡに関する情報を生成し、この情報をＳＡＤ部１０２に記憶させ、ステップＳ３０７へ進む。
【００８９】
（ステップＳ３０７）
ステップＳ３０７では、ポリシ管理部１０５が、ＳＰＤ部１０３の出力用ＳＰＤに記憶された当該通信データパケットのセキュリティポリシと、ＳＡＤ部１０２に記憶された当該通信データパケットのＳＡに関する情報に基づき、この通信データパケットの処理内容（暗号化アルゴリズム等）を決定する。そして、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４は、この処理内容に基づきＩＰｓｅｃを適用した通信データパケットを、インターフェース部１０１を介して通信相手のノード１００へ送信する。
【００９０】
ノード１００が、このような処理手順を実行することで、通信データパケットがＩＰｓｅｃの適用／非適用を利用者が選択可能なｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃであり、この通信データパケットについてｉｎｉｔｉａｔｏｒであるノード１００の利用者がＩＰｓｅｃを適用することを選択した場合には、通信相手のノード１００へＩＰｓｅｃを適用した通信データパケットを送信することができる。
【００９１】
（ステップＳ３０８）
ノード１００の利用者が、当該通信データパケットにＩＰｓｅｃを適用しないことを選択したステップＳ３０７では、ステップＳ３０３で出力された選択情報（ＩＰｓｅｃを適用しない）と、通信データパケットのヘッダ情報を受信する。そして、ステップＳ３０４と同様に、当該通信データパケットのヘッダ情報を参照して、この情報をパラメータとして、ノード１００のＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。
【００９２】
ここで、出力用ＳＡＤにこの通信データパケットのＳＡに関する情報が発見された場合（Ｓ３０７の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ有り）は、ＳＡ処理部１０６へ、この通信データパケットのヘッダ情報とともに当該通信データパケットのＳＡの撤回（削除）を依頼するデータを出力し、ステップＳ３０９へ進む。
【００９３】
出力用ＳＡＤから、この通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ３０７の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ無し）は、ポリシ管理部１０５は、当該通信データパケットの処理内容（ＩＰｓｅｃを適用せず送信）を決定し、この処理内容を通信データ処理部１０４へ出力し、ステップＳ３１０へ進む。
【００９４】
（ステップＳ３０９）
ステップＳ３０９では、ＳＡ処理部１０６が、ポリシ管理部１０５から通信データパケットのＳＡの撤回（削除）を依頼するデータを受信すると、このデータに含まれる通信データパケットのヘッダ情報を参照して、ＩＫＥにより当該通信データパケットについて相手側ノード１００との間で確立されたＳＡを撤回（削除）する。
【００９５】
具体的には、ＳＡ処理部１０６がＩＫＥを始動して、通信相手のノード１００と通信データパケットのＳＡ撤回（削除）のための各種データ（ＳＰＩ値等）の送受信を、インターフェース部１０１を介して行う。すなわち、通信相手のノード１００とＳＡ撤回（削除）のための折衝を始動する。
【００９６】
そして、ノード１００のＳＡ処理部１０６が、ノード１００間のＳＡを削除（撤回）する通知を行う。そして、ＳＡ処理部１０６は、自己のノード１００のＳＰＤ部１０３から、このＳＡに関する情報を削除する。
【００９７】
（ステップＳ３１０）
ステップＳ３１０では、ポリシ管理部１０５が、再度当該通信データパケットのＳＡに関する情報をＳＡＤ部１０２から検索し、この検索結果（該当するＳＡ無し）に基づき当該通信データパケットの処理内容（ＩＰｓｅｃを適用せず送信）を決定する。そして、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４は、ポリシ管理部１０５から処理内容を受信すると、これに基づき当該通信データパケットにＩＰｓｅｃを適用せず送信する。
ノード１００が、このような処理手順を実行することで、通信データパケットがＩＰｓｅｃの適用／非適用を利用者が選択可能なｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃであり、この通信データパケットについてｉｎｉｔｉａｔｏｒであるノード１００の利用者がＩＰｓｅｃを適用しないことを選択した場合には、通信相手のノード１００へＩＰｓｅｃを適用しないで通信データパケットを送信することができる。
【００９８】
次に、図１〜図３を参照しつつ、図５を用いて、ｒｅｓｐｏｎｄｅｒ側ノード１００が通信データパケットを送信する手順について説明する。
【００９９】
（ステップＳ４０１）
ステップＳ４０１では、ステップＳ３０１で受信した通信データパケットのヘッダ情報を参照して、この情報をパラメータとして、ノード１００のＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。ここで、出力用ＳＡＤからこの通信データパケットのＳＡに関する情報が発見された場合（Ｓ４０１の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ有り）は、ステップＳ４０２へ進む。出力用ＳＡＤから、この通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ４０１の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ無し）は、ステップＳ４０３へ進む。
【０１００】
（ステップＳ４０２）
ステップＳ４０２では、ポリシ管理部１０５が、図４のステップＳ３０７と同様の手順によりＩＰｓｅｃを適用した通信データパケットを、インターフェース部１０１を介して通信相手のノード１００へ送信する。
【０１０１】
（ステップＳ４０３）
ステップＳ４０３では、ポリシ管理部１０５が、図４のステップＳ３１０と同様の手順によりＩＰｓｅｃを適用せず通信データパケットを、インターフェース部１０１を介して通信相手のノード１００へ送信する。
【０１０２】
次に、図６、図７を用いて、ノード１００が通信データを受信するまでの処理手順について説明する。まず、図１〜図３を参照しつつ、図６を用いて、ノード１００が通信データを受信する前の処理手順について説明する。
【０１０３】
（ステップＳ５０１）
ステップＳ５０１では、ノード１００の利用者が、受信予定の通信データパケットに関する情報（例えば、始点ＩＰアドレス、終点ＩＰｓｅｃや上位層プロトコル等）をノード１００の入力部１０７を介して通信データ処理部１０４へ入力する。そして、通信データ処理部１０４は、この通信データパケットの処理内容をポリシ管理部１０５へ問い合わせる。具体的には、通信データ処理部１０４へ入力された情報をノード１００の通信データパケットの処理内容をポリシ管理部１０５へ出力する。
【０１０４】
（ステップＳ５０２）
ステップＳ５０２では、ステップＳ５０１で通信データ処理部１０４へ入力された通信データパケットに関する情報をセレクタとして、ノード１００のＳＰＤ部１０３の出力用ＳＰＤからセキュリティポリシを検索する。検索されたセキュリティポリシが、ｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃであった場合には、ステップＳ５０３へ進む。検索されたセキュリティポリシがａｐｐｌｙ  ＩＰｓｅｃ、ｄｉｓｃａｒｄまたはｂｙｐａｓｓ  ＩＰｓｅｃであった場合には、ステップＳ５１１へ進み、図３に示した基本的処理手順（受信）と同様の処理を行う。
【０１０５】
（ステップＳ５０３）
ステップＳ５０３では、ポリシ管理部１０５が、図４のステップＳ３０３と同様の処理手順により、自らのノード１００がｉｎｉｔｉａｔｏｒかｒｅｓｐｏｎｄｅｒかを確認する。
ここで、自らノード１００がｉｎｉｔｉａｔｏｒであった場合には、ポリシ管理部１０５は自らのノード１００がｉｎｉｔｉａｔｏｒである旨を通信データ処理部１０４へ出力し、ステップＳ５０４へ進む。自らのノード１００がｒｅｓｐｏｎｄｅｒであった場合には、後記する図７（通信データ受信後の処理手順）のステップＳ６０１へ進む。
【０１０６】
ステップＳ５０４からステップＳ５０５は、図４のステップＳ３０４からステップＳ３０５の処理手順と同様であるので説明を省略し、ノード１００の利用者が受信予定の通信データパケットにＩＰｓｅｃを適用することを選択したが、ＳＡＤ部１０２に該当するＳＡが無かった場合であるステップＳ５０６から説明する。
【０１０７】
（ステップＳ５０６）
ステップＳ５０６では、図４のステップＳ３０６と同様に、ＩＫＥによるＳＡの生成を行う。具体的には、ノード１００のＳＡ処理部１０６がＩＫＥを始動してｉｎｉｔｉａｔｏｒとなり、ｒｅｓｐｏｎｄｅｒである送信側ノード１００との間でＳＡを確立する。
【０１０８】
（ステップＳ５０７）
ステップＳ５０７では、インターフェース部１０１を介してｒｅｓｐｏｎｄｅｒである送信側ノード１００からＩＰｓｅｃが適用された通信データパケットを受信する。
【０１０９】
ステップＳ５０８は、図４のステップＳ３０８と同様であるので、説明を省略し、利用者が受信予定の通信データパケットにＩＰｓｅｃを適用しないことを選択したが、ＳＡＤ部１０２に、該当するＳＡが有った場合であるステップＳ５０９から説明する。
【０１１０】
（ステップＳ５０９）
ステップＳ５０９では、図４のステップＳ３０９の処理手順と同様に、ＩＫＥによりＳＡの削除を行う。具体的には、ｉｎｉｔｉａｔｏｒ側のノード１００のＳＡ処理部１０６がＩＫＥを始動して、送信側（ｒｅｓｐｏｎｄｅｒ側）のノード１００からｉｎｉｔｉａｔｏｒ側のノード１００へＩＰｓｅｃが適用されていない通信データパケットを送信するよう、送信側ｒｅｓｐｏｎｄｅｒ側のノード１００との間で確立されたＳＡを撤回する。
【０１１１】
（ステップＳ５１０）
ステップＳ５１０では、インターフェース部１０１を介して送信側（ｒｅｓｐｏｎｄｅｒ側）のノード１００からＩＰｓｅｃが適用されていない通信データパケットを受信する。
【０１１２】
次に、図７を用いて、ノード１００が通信データを受信した後の処理手順について説明する。
【０１１３】
（ステップＳ６０１）
ノード１００のインターフェース部１０１を介して、送信側ノード１００から通信データパケットを受信する。
【０１１４】
ステップＳ６０２とステップＳ６０３の処理手順は、それぞれ図３のステップＳ２０２とステップＳ２０３の処理手順と同様であり、ステップＳ６０４の処理手順は、図３のステップＳ２０４の処理手順と同様であり、ステップＳ６０７の処理手順は図３のステップＳ２０６の処理手順と同様であるので説明を省略し、ノード１００の利用者が受信した通信データパケットにＩＰｓｅｃが適用されており、この通信データパケットをＳＡＤ部１０２から検索されたＳＡに基づき、入力処理（復号化・認証処理）を行ったあとの処理手順であるステップＳ６０５から説明する。
【０１１５】
（ステップＳ６０５）
ステップＳ６０５では、ポリシ管理部１０５が、ステップＳ６０４で通信データ処理部１０４から出力された通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。そして、この検索されたセキュリティポリシに基づき当該通信データパケットの処理内容を決定し、この処理内容を通信データ処理部１０４へ出力する。ここで、ＳＰＤ部１０３から検索されたセキュリティポリシが、ｄｉｓｃａｒｄ、ｂｙｐａｓｓ  ＩＰｓｅｃ  またはａｐｐｌｙ  ＩＰｓｅｃであった場合は、ステップＳ６０６へ進む。検索されたセキュリティポリシが、ｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃであった場合は、ステップＳ６１０へ進む。
【０１１６】
（ステップＳ６０６）
ステップＳ６０６では、ポリシ管理部１０５が、図３の基本的処理手順と同じ処理を行う。具体的には、図３のステップＳ２０５以降の処理手順と同様の処理手順（ＳＰＤ部１０３から検索されたセキュリティポリシに応じた処理）を実行する。
【０１１７】
（ステップＳ６０８）
通信データパケットにＩＰｓｅｃが適用されていなかったステップＳ６０８では、ポリシ管理部１０５が、ステップＳ６０４で通信データ処理部１０４から出力された通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。ここで、検索されたセキュリティポリシが、ｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃであった場合は、ステップＳ６０９へ進む。
検索されたセキュリティポリシがｄｉｓｃａｒｄ、ｂｙｐａｓｓ  ＩＰｓｅｃ  またはａｐｐｌｙ  ＩＰｓｅｃであった場合は、ステップＳ６１２へ進む。
ステップＳ６１２では、ポリシ管理部１０５が、図３の基本的処理手順と同じ処理を行う。具体的には、図３のステップＳ２０７以降の処理手順と同様の処理手順（ＳＰＤ部１０３から検索されたセキュリティポリシに応じた処理）を実行する。
【０１１８】
（ステップＳ６０９）
ステップＳ６０９では、ポリシ管理部１０５がステップＳ６０１で受信した通信データパケットのヘッダ情報をパラメータとして、ノード１００のＳＡＤ部１０２の入力用ＳＡＤから当該通信データパケットのＳＡを検索する。検索した結果、当該通信データパケットのＳＡを発見できなかった場合（Ｓ６０９の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ無し）、ステップＳ６１０へ進む。ポリシ管理部１０５が当該通信データパケットのＳＡを発見した場合（Ｓ６０９の該当Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ有り）、この通信データパケットのＳＡを通信データ処理部１０４へ出力し、ステップＳ６１１へ進む。
【０１１９】
ステップＳ６１０は図３のステップＳ２０８と同様に通信データパケットの受信を完了するステップＳ６１１は、図３のステップＳ２０９と同様に通信データパケットの廃棄を行う。
【０１２０】
ノード１００が以上のような処理手順を実行することで、ｉｎｉｔｉａｔｏｒ側のノード１００は、ｄｙｎａｍｉｃａｌｌｙ  ａｐｐｌｙ  ＩＰｓｅｃというセキュリティポリシの通信において、ｉｎｉｔｉａｔｏｒ側のノード１００の利用者がＩＰｓｅｃを適用することを選択すると、ｒｅｓｐｏｎｄｅｒである送信側のノード１００から、ＩＰｓｅｃが適用された通信データパケットを受信することができる。また、ｉｎｉｔｉａｔｏｒ側のノード１００の利用者がＩＰｓｅｃを適用しないことを選択すると、ｒｅｓｐｏｎｄｅｒである送信側のノード１００から、ＩＰｓｅｃが適用されていない通信データパケットを受信することができる。
【０１２１】
したがって、以上のような構成および処理手順によれば利用者（ｉｎｉｔｉａｔｏｒ側ノードの利用者）は、通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更することができる。
【０１２２】
このように利用者が通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更することができれば、例えば、情報端末（パーソナルコンピュータ）等でインターネット接続する際にＩＰｓｅｃが必要な場合にのみＩＰｓｅｃを適用することで必要十分なセキュリティを確保しつつ、通信データパケットに付加するＩＰｓｅｃヘッダの数を抑えることによるデータ転送の効率化等を図ることができる。特に、移動端末等で、移動先により様々な通信形態や通信環境となる場合にも、必要十分なセキュリティを確保しつつ、データの効率化や、通信遅延時間の削減が可能となるので、移動端末の利用者にとって便利である。
【０１２３】
ここで、前記したノード１００の構成および処理手段を、Ｍｏｂｉｌｅ  ＩＰｖ６通信における移動端末（ＭＮ）と所定のノード（ＣＮ）に適用した場合の実施の形態を、図８を用いて説明する。
【０１２４】
Ｍｏｂｉｌｅ  ＩＰｖ６とは、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｖｅｒｓｉｏｎ  ６）のアドレスの自動生成の機能を利用し、移動端末（ＭＮ）が予めホームエージェント（ＨｏｍｅＡｇｅｎｔ：ＨＡ）から自分のネットワーク（ホームネットワーク）におけるＩＰアドレス（ホームアドレス  ＨｏｍｅＡｄｄｒｅｓｓ：ＨｏＡ）を受信しておき、これを様々なネットワークに移動した際にも自己のアドレスとして使う通信方法である。
【０１２５】
すなわち、移動端末（ＭＮ）は移動先で新たなＩＰアドレス（気付けアドレスＣａｒｅ  ｏｆ  Ａｄｄｒｅｓｓ：  ＣｏＡ）を取得するが、ＨＡや、ＨＡと似た働きをするモビリティアンカーポイント（Ｍｏｂｉｌｉｔｙ  Ａｎｃｈｏｒ  Ｐｏｉｎｔ）等がＨｏＡとＣｏＡとの対応情報を持つことにより、ＭＮは移動先でも同一のアドレスで通信を続けられる方法である。
【０１２６】
図８は、移動端末（ＭＮ）が同一の通信相手（ＣＮ）とＭｏｂｉｌｅ  ＩＰｖ６により通信を行う際の様々な通信形態を示した図である。
【０１２７】
図８の通信形態＜１＞は、移動端末（ＭＮ）が、移動先のネットワークでのアドレスであるＭＮの気付けアドレス（ＣｏＡ）をホームエージェント（ＨＡ）に登録したした後で、ＭＮとＣＮとがＭＮのＣｏＡを管理するＨＡを経由して通信を行う場合のネットワークの構成図である。
図８の通信形態＜２＞は、ＭＮが、自分のＣｏＡをＨＡに登録した後で、さらにＭＮがＣＮとの間の通信経路を最適化（ＭＮがＣＮとＨＡを経由しないで通信する）するＲｅｔｕｒｎ  Ｒｏｕｔａｂｉｌｉｔｙ  Ｐｒｏｃｅｄｕｒｅを実施して、ＭＮとＣＮとがＨＡを経由しないで直接通信する場合のネットワーク構成図である。
図８の通信形態＜３＞は、ＭＮが、自分のＬＣｏＡをＭＡＰに登録し、さらに現在ＭＮが存在しているネットワーク（ＭＡＰドメイン）の位置情報（Ｒｅｇｉｏｎａｌ  Ｃａｒｅ  ｏｆ  Ａｄｄｒｅｓｓ：ＲＣｏＡ）をＨＡに登録した後で、ＭＮとＣＮがＭＮの実際の位置（Ｌｏｃａｌ  Ｃａｒｅ  ｏｆ  Ａｄｄｒｅｓｓ：ＬＣｏＡ）を管理するＭＡＰと、ＭＮが存在しているネットワーク（ＭＡＰドメイン）の位置を管理するＨＡを経由して通信する場合のネットワーク構成図である。
図８の通信形態＜４＞は、ＭＮが、自分の位置（ＬＣｏＡ）をＭＡＰに登録し、ＭＮが、自分が存在しているネットワーク（ＭＡＰドメイン）の位置（ＲＣｏＡ）をＨＡに登録した後で、さらにＭＮがＣＮとの間の通信経路を最適化する（ＭＮがＣＮとの間でＨＡを経由しないで通信する）ために、ＭＮとＣＮとの間で、Ｒｅｔｕｒｎ  Ｒｏｕｔａｂｉｌｉｔｙ  Ｐｒｏｃｅｄｕｒｅを実施し、ＭＮとＣＮがＨＡを経由しないで直接通信する場合のネットワーク構成図である。
【０１２８】
以上のような通信形態＜１＞〜＜４＞において、図８に示す通信区間（１）〜（３）の通信環境（セキュリティが確保されているかどうか）に応じて、ＭＮ３００とＣＮ４００との間で交換する通信データパケットに対して必要とされるセキュリティ（ＩＰｓｅｃ適用の必要／不要）を表７に示す。
【０１２９】
【表７】
2005086381.tif 000009
【０１３０】
Ｍｏｂｉｌｅ  ＩＰｖ６による通信においては、表７に示すように、ＭＮ３００が同一のノードＣＮ４００と通信する場合でも、通信経路上の各区間ＣＮ−ＭＮ、ＨＡ−ＭＮ、ＭＡＰ−ＭＮにおけるＩＰｓｅｃ適用の必要性が変化するが、従来の技術では、表７に示す特定の通信形態／通信環境を想定して、ＣＮ−ＭＮ間、ＨＡ−ＭＮ間、ＭＡＰ−ＭＮ間のＩＰｓｅｃ適用／非適用を事前に決めて固定するか、表７に示すすべての通信形態／通信環境においてもセキュリティを確保するために、既にセキュリティが確保されている／されていないにかかわらず常にＣＮ−ＭＮ間、ＨＡ−ＭＮ間、ＭＡＰ−ＭＮ間にＩＰｓｅｃを適用するといった運用しか行えない。
しかし、各ノード（ＭＮ３００、ＣＮ４００、ＨＡ５００、ＭＡＰ６００）間の通信において本実施の形態の構成を適用し、処理手順を実行することにより、例えば、表７の通信形態＜３＞において、通信環境がＣの場合には、通信主体（ｉｎｉｔｉａｔｏｒ側ノード）であるＭＮ３００が、ＣＮ−ＭＮ間はＩＰｓｅｃを適用しない、ＨＡ一ＭＮ間はＩＰｓｅｃを適用する、ＭＡＰ−ＭＮ間はＩＰｓｅｃを適用しないというセキュリティポリシを選択し、必要な通信区間にのみＩＰｓｅｃを適用することで、必要十分なセキュリティレベルを確保しつつ、通信データパケットに付加するＩＰｓｅｃヘッダの数を必要最低限に抑えるのでデータ転送を効率的に行い、またＭＮ、ＣＮ、ＨＡ、ＭＡＰにおける暗号化／復号化処理回数を必要最低限に抑えるので、通信遅延時間の削減することができる。
【０１３１】
以上本発明の好適な実施の形態を示したが、この実施の形態に限定されず発明の趣旨を変更しない範囲で広く応用可能である。また、本発明の実施の形態に係るノード１００は、コンピュータ及びプログラムによって実現することができ、そのプログラムをコンピュータによる読み取り可能な記録媒体に記録することでその記録媒体によって提供することが可能である。また、そのプログラムを、ネットワークを通して提供することも可能である。
【図面の簡単な説明】
【０１３２】
【図１】本発明の実施の形態におけるノードの構成を示す図である。
【図２】図１のノードの処理手順を示すフローチャート図である。
【図３】図１の受信側ノードの処理手順を示すフローチャート図である。
【図４】本発明の実施の形態におけるノードの通信データ送信の処理手順を示した図である。
【図５】本実施の形態におけるｒｅｓｐｏｎｄｅｒ側ノードの通信データ送信の処理手順を示した図である。
【図６】本実施の形態におけるノードの通信データの受信前の処理手順を示した図である。
【図７】本実施の形態におけるノードの通信データの受信後の処理手順を示した図である。
【図８】移動端末（ＭＮ）が同一の通信相手（ＣＮ）とＭｏｂｉｌｅ  ＩＰｖ６により通信を行う際の様々な通信形態を示した図である。
【符号の説明】
【０１３３】
２      ネットワーク
１００（１００Ａ、１００Ｂ）  ノード（ネットワーク接続機器）
１０１  インターフェース部
１０２  ＳＡＤ（セキュリティアソシエーションデータベース）部
１０３  ＳＰＤ（セキュリティポリシデータベース）部
１０４  通信データ処理部
１０５  ポリシ管理部
１０６  ＳＡ（セキュリティアソシエーション）処理部
１０７  入力部
【図１】
2005086381.tif 000010
【図２】
2005086381.tif 000011
【図３】
2005086381.tif 000012
【図４】
2005086381.tif 000013
【図５】
2005086381.tif 000014
【図６】
2005086381.tif 000015
【図７】
2005086381.tif 000016
【図８】
2005086381.tif 000017