(57)【要約】【課題】  サービスが提供される通信端末の安全性を高め、通信端末の管理や監視などの業務委託をさせることができるサービス提供システムを提供する。【解決手段】  ゲートウェイ装置５０は、サーバ２０との間でセッションを確立させ、確立させたセッションを識別するための識別情報を含むパケットを受信保持し、受信したパケットに含まれるセッションの識別情報と対応するラベルを取得し、識別情報を含むセッションから受信したパケットから得られるデータおよび取得したラベルによって構成されるポケットを、ラベルと対応する通信端末１０に送信する。通信端末１０は、ゲートウェイ装置５０によって送信されたパケットを受信し、通信端末１０によって処理されるプロセス１２は、受信したパケットを構成するラベルにしたがって通信端末１０のリソース１３に対するアクセス制御を行う。【選択図】      図１
2005229288.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワークおよび第２のネットワークに接続されたゲートウェイ装置と、前記第１のネットワークを介して前記ゲートウェイ装置と通信可能に接続された１つ以上のサーバと、前記第２のネットワークを介して前記ゲートウェイ装置と通信可能に接続された１つ以上の通信端末とを備え、前記サーバが前記ゲートウェイ装置を介して前記通信端末にサービスを提供するサービス提供システムであって、
前記ゲートウェイ装置は、
前記サーバとの間でセッションを確立させ、確立させたセッションの識別情報を保持するセッション確立手段と、
前記サーバとの間で確立させたセッションからパケットを受信する第１の通信手段と、
前記第１の通信手段が受信したセッションの識別情報と対応するラベルを取得するラベル取得手段と、
前記セッションから受信したパケットから得られるデータおよび前記ラベル取得手段が取得したラベルによって構成されるパケットを、前記ラベルと対応する通信端末に送信する第２の通信手段とを有し、
前記通信端末は、前記ゲートウェイ装置によって送信されたパケットを受信し、前記通信端末によって処理されるるプロセスは、受信したパケットを構成するラベルにしたがって前記通信端末のリソースに対するアクセス制御を行う、
サービス提供システム。
【請求項２】
前記通信端末によって処理されるプロセスが、ラベルを含むパケットを前記第２のネットワークを介して送信し、
前記第２の通信手段は、前記通信端末から送信されたラベルを含むパケットを受信し、
前記ゲートウェイ装置は、
前記第２の通信手段にょって受信されたパケットに含まれるラベルと前記識別情報とが対応するか否かを判断するラベル判断手段を備え、
前記ラベル判断手段が前記識別情報と対応すると判断したとき、前記第１の通信手段は、前記識別情報と対応したセッションを介して前記受信されたパケットから得られるデータを前記サーバに送信する、
請求項１に記載のサービス提供システム。
【請求項３】
前記ゲートウェイ装置によって処理されるプロセスは、前記第１の通信手段が受信したセッションの識別情報に対応するラベルにしたがって前記ゲートウェイ装置のリソースに対するアクセス制御を行う、
請求項１または請求項２に記載のサービス提供システム。
【請求項４】
前記ゲートウェイ装置によって処理されるプロセスは、前記第２の通信手段が受信したパケットに含まれるラベルにしたがって前記ゲートウェイ装置のリソースに対するアクセス制御を行う、
請求項１または請求項２に記載のサービス提供システム。
【請求項５】
前記サーバによって処理されるプロセスが、ラベルを含むラベルパケットを前記セッションを介して送信し、
前記第１の通信手段は、前記サーバから送信されたラベルパケットを受信し、前記ゲートウエイ装置によって処理されるプロセスは、前記第１の通信手段が受信したラベルパケットに含まれるラベルにしたがって前記ゲートウェイ装置のリソースに対するアクセス制御を行う、
請求項１または請求項２に記載のサービス提供システム。
【請求項６】
前記ゲートウエイ装置は、
各前記通信端末から使用中の前記ラベルを収集するラベル収集手段と、
前記ラベル収集手段が収集したラベルが既に使用済であったとき、他のラベルを使用するように前記通信端末と交渉する交渉手段と
を備えている請求項１から請求項５までのいずれかに記載のサービス提供システム。
【請求項７】
前記ゲートウエイ装置は、
前記通信端末によって使用されるラベルを通知するための通知情報を前記通信端末から受信するラベル通知情報受信手段と、
前記ラベル通知情報受信手段によって受信された通知情報が示すラベルが既に使用済であったとき、他のラベルを使用するように前記通信端末と交渉する交渉手段と
を備えている、請求項１から請求項５までのいずれかに記載のサービス提供システム。
【請求項８】
第１のネットワークを介して１つ以上のサーバと通信可能に接続され、第２のネットワークを介して１つ以上の通信端末と通信可能に接続され、前記サーバが前記通信端末にサービスを提供するためのゲートウェイ装置であって、
前記サーバとの間でセッションを確立させ、確立させたセッションの識別情報を保持するセッション確立手段と、
前記サーバとの間で確立させたセッションからパケットを受信する第１の通信手段と、
前記第１の通信手段が受信したセッションの識別情報と対応するラベルを取得するラベル取得手段と、
前記セッションから受信したパケットから得られるデータおよび前記ラベル取得手段が取得したラベルによって構成されるパケットを、前記ラベルと対応する通信端末に送信する第２の通信手段と
を有するゲートウェイ装置。
【請求項９】
前記第２の通信手段は、前記通信端末から送信された、ラベルを含むパケットを受信し、
前記第２の通信手段にょって受信されたパケットに含まれるラベルと前記識別情報とが対応するか否かを判断するラベル判断手段を備え、
前記ラベル判断手段が前記識別情報と対応すると判断したとき、前記第１の通信手段は、前記識別情報と対応したセッションを介して前記受信されたパケットから得られるデータを前記サーバに送信する、
請求項８に記載のゲートウェイ装置。
【請求項１０】
前記ゲートウエイ装置によって処理されるプロセスは、前記第１の通信手段が受信したセッションの識別情報に対応するラベルにしたがって前記ゲートウェイ装置のリソースに対するアクセス制御を行う、
請求項８または請求項９に記載のゲートウェイ装置。
【請求項１１】
前記ゲートウェイ装置によって処理されるプロセスは、前記第２の通信手段が受信したパケットに含まれるラベルにしたがって前記ゲートウェイ装置のリソースに対するアクセス制御を行う、
請求項８または請求項９に記載のゲートウェイ装置。
【請求項１２】
前記第１の通信手段は、前記サーバから送信された、ラベルを含むラベルパケットを受信し、前記ゲートウェイ装置によって処理されるプロセスは、前記第１の通信手段が受信したラベルパケットに含まれるラベルにしたがって前記ゲートウェイ装置のリソースに対するアクセス制御を行う、
請求項８または請求項９に記載のゲートウェイ装置。
【請求項１３】
各前記通信端末から使用中の前記ラベルを収集するラベル収集手段と、
前記ラベル収集手段が収集したラベルが既に使用済であったとき、他のラベルを使用するように前記通信端末と交渉する交渉手段と
をさらに備えている請求項８から請求項１２までのいずれかに記載のゲートウェイ装置。
【請求項１４】
前記通信端末によって使用されるラベルを通知するための通知情報を前記通信端末から
受信するラベル通知情報受信手段と、
前記ラベル通知情報受信手段によって受信された通知情報が示すラベルが既に使用済であったとき、他のラベルを使用するように前記通信端末と交渉する交渉手段と
をさらに備えている、請求項８から請求項１２までのいずれかに記載のゲートウェイ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバがゲートウェイ装置を介して通信端末にサービスを提供するサービス提供システムに関する。
【背景技術】
【０００２】
従来、ホームゲートウェイ装置を介して住宅内に設置された各家電機器に係るサービス情報を提供するサービス提供システムとしては、ローカルネットワークに接続されたそれぞれの家電機器と、インターネットに接続され、各家電機器に関するサービス情報を提供するサービスプロバイダと、ローカルネットワークとインターネットを接続するホームゲートウェイ装置とを備えたものが知られている。
【０００３】
従来のサービス提供システムの動作において、まず、サービスプロバイダは、サービスプログラムをホームゲートウェイ装置や家電機器にダウンロードする。ダウンロードされたサービスプログラムは、ローカルネットワークを介し、家電機器の運転状態や、家電機器によって計測された宅内の状態に関する情報を収集する。収集された情報は、インターネットを介してサービスプロバイダに送信される。サービスプロバイダは、送信された情報をもとに、機器のメンテナンスや効率的な運転アドバイスなどのサービス情報を作成し、これをインターネットを介してホームゲートウエイ装置に返信する。返信されたサービス情報は、ホームゲートウェイ装置によってローカルネットワークを介し、個々の機器に提供される。よって、従来のサービス提供システムは、家電機器の所有者が家電機器の管理や監視を行う手間を省き、サービスプロバイダに家電機器の管理や監視などの業務委託をさせることができる（例えば特許文献１参照）。
【特許文献１】特開２００２―２９０４７４号公報（２段落目―３段落目）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述のサービス提供システムでは、サービスプロバイダに家電機器のアクセス権限を与えてしまうため、悪意があれば、家電機器を乗っ取ることができ、家電機器に格納されたデータの破壊や個人情報などの漏洩が行われてしまうという問題があった。また、サービス提供の対象となる所定の家電機器以外の家電機器も、サービスプロバイダによって乗っ取られてしまうという問題がある。
【０００５】
本発明は、上記の従来の課題を解決するためになされたもので、その目的はサービスが提供される通信端末の安全性を高め、通信端末の所有者が通信端末の管理や監視を行う手間を省き、サービスプロバイダに通信端末の管理や監視などの業務委託をさせることができるサービス提供システムおよびゲートウェイ装置を提供するにある。
【課題を解決するための手段】
【０００６】
本発明のサービス提供システムは、第１のネットワークおよび第２のネットワークに接続されたゲートウェイ装置と、第１のネットワークを介してゲートウェイ装置と通信可能に接続された１つ以上のサーバと、前記第２のネットワークを介してゲートウェイ装置と通信可能に接続された１つ以上の通信端末とを備え、サーバがゲートウェイ装置を介して通信端末にサービスを提供するサービス提供システムであって、ゲートウェイ装置は、サーバとの間でセッションを確立させ、確立させたセッションの識別情報を保持するセッション確立手段と、サーバとの間で確立させたセッションからパケットを受信する第１の通信手段と、第１の通信手段が受信したセッションの識別情報と対応するラベルを取得するラベル取得手段と、前記セッションから受信したパケットから得られるデータおよびラベル取得手段が取得したラベルによって構成されるパケットを、前記ラベルと対応する通信端末に送信する第２の通信手段とを有し、通信端末は、ゲートウエイ装置によって送信されたパケットを受信し、通信端末によって処理されるプロセスは、受信したパケットを構成するラベルにしたがって通信端末のリソースに対するアクセス制御を行う。
【０００７】
この構成により、通信端末によって処理されるプロセスは、セッションを識別するための識別情報と対応するラベルにしたがって通信端末のリソースに対するアクセス制御を行うため、通信端末のリソースに対するサーバのアクセスを制御させ、サービスが提供される通信端末の安全性を高めることができる。
【０００８】
本発明の実施態様によれば、通信端末によって処理されるプロセスが、ラベルを含むパケットを第２のネットワークを介して送信し、第２の通信手段は、通信端末から送信されたラベルを含むパケットを受信し、ゲートウェイ装置は、第２の通信手段によって受信されたパケットに含まれるラベルと識別情報とが対応するか否かを判断するラベル判断手段を備え、ラベル判断手段が識別情報と対応すると判断したとき、第１の通信手段は、識別情報と対応したセッションを介して前記受信されたパケットから得られるデータをサーバに送信する。
【０００９】
この構成により、ゲートウェイ装置が通信端末によって送信されたパケットに含まれるラベルと識別情報とが対応すると判断したとき、受信されたパケットから得られるデータをサーバに送信するため、通信端末が送信したデータをサーバと接続されるネットワークに流出することを制限し、通信端末に関わる情報および通信端末の利用者に関わる情報の漏洩を防止することができる。
【００１０】
本発明の実施態様によれば、ゲートウェイ装置によって処理されるプロセスは、第１の通信手段が受信したセッションの識別情報に対応するセキュリティラベルにしたがってゲートウェイ装置のリソースに対するアクセス制御を行う。
【００１１】
この構成により、ゲートウェイ装置によって処理されるプロセスは、受信したセッションの識別情報に対応するセキュリティラベルにしたがってゲートウェイ装置のリソースに対するアクセス制御を行うため、ゲートウェイ装置のリソースに対するアクセスを制限させ、ゲートウェイ装置の安全性を高めることができる。
【００１２】
本発明の実施態様によれば、ゲートウェイ装置によって処理されるプロセスは、第２の通信手段が受信したパケットに含まれるラベルにしたがってゲートウェイ装置のリソースに対するアクセス制御を行う。
【００１３】
この構成により、ゲートウェイ装置によって処理されるプロセスは、受信したパケットに含まれるラベルにしたがってゲートウェイ装置のリソースに対するアクセス制御を行うため、ゲートウェイ装置のリソースに対するアクセスを制限させ、ゲートウェイ装置の安全性を高めることができる。
【００１４】
本発明の実施態様によれば、サーバによって処理されるプロセスが、ラベルを含むラベルパケットをセッションを介して送信し、第１の通信手段は、サーバから送信されたラベルパケットを受信し、ゲートウェイ装置によって処理されるプロセスは、第１の通信手段が受信したラベルパケットに含まれるラベルにしたがってゲートウェイ装置のリソースに対するアクセス制御を行う。
【００１５】
この構成により、サーバによって処理されるプロセスがセッションを介してラベルパケットを転送することにより、ゲートウェイ装置によって処理されるプロセスが、サーバによって処理されるプロセス毎に、ゲートウェイ装置のリソースに対してよりきめ細かいアクセス制御を行うことができる。
【００１６】
本発明の実施態様によれば、ゲートウェイ装置は、各通信端末から使用中の前記ラベルを収集するラベル収集手段と、ラベル収集手段が収集したラベルが既に使用済であったとき、他のラベルを使用するように通信端末と交渉する交渉手段とを有している。
【００１７】
この構成により、ゲートウェイ装置が各通信端末から使用中のラベルを収集し、収集したラベルが既に使用済であったとき、他のラベルを使用するように通信端末と交渉するため、各通信端末が使用するラベルの重複を避けることができ、各通信端末でラベルを分散管理することができる。
【００１８】
本発明の実施態様によれば、ゲートウェイ装置は、通信端末によって使用されるラベルを通知するための通知情報を通信端末から受信するラベル通知情報受信手段と、ラベル通知情報受信手段によって受信された通知情報が示すラベルが既に使用済であったとき、他のラベルを使用するように通信端末と交渉する交渉手段とを有している。
【００１９】
この構成により、ゲートウェイ装置が通信端末によって使用されるラベルを通知するための通知情報を通信端末から受信し、受信された通知情報が示すラベルが既に使用済であったとき、他のラベルを使用するように通信端末と交渉するため、各通信端末が使用するラベルの重複を避けることができ、ゲートウェイ装置でラベルを集中管理することができる。
【発明の効果】
【００２０】
本発明は、サービスプロバイダがゲートウェイ装置を介して家電機器などの通信端末にサービスを提供するサービス提供システムにおいて、サービスが提供される通信端末の安全性を高め、通信端末の所有者が通信端末の管理や監視を行う手間を省き、サービスプロバイダに通信端末の管理や監視などの業務委託をさせることができるという効果を奏する。
【発明を実施するための最良の形態】
【００２１】
以下、本発明の実施の態様の形態について図面を参照して詳細に説明する。
【００２２】
［第１の実施の形態］
図１は、本発明の第１の実施の形態によるサービス提供システムのブロック構成図である。図１に示すように、サービス提供システム１は、ネットワーク３０およびネットワーク４０に接続されたゲートウェイ装置５０と、ネットワーク３０を介してゲートウェイ装置５０と通信可能に接続された１つ以上のサーバ２０と、ネットワーク４０を介してゲートウェイ装置５０と通信可能に接続された１つ以上の通信端末１０とを備え、サーバ２０がゲートウェイ装置５０を介して通信端末１０にサービスを提供するようになっている。
【００２３】
ネットワーク３０はインターネットなどであり、ネットワーク４０は、家庭内用、データセンタ内、または企業内のネットワークなどである。また、通信端末１０は情報家電などを含む。以下、図示した通信端末１０の各々を区別する場合には、通信端末１０をそれぞれ通信端末１０―１、通信端末１０―２、通信端末１０―３と記載する。例えば、サービス提供システム１は、通信端末１０―１がセットトップボックス、通信端末１０―２がIP電話、通信端末１０―３がウェブサーバであるような構成を有する。また、各通信端末１０はPC (Personal Computer) でもよい。
【００２４】
通信端末１０は、ネットワーク４０を介してゲートウェイ装置５０と通信する通信部１１を有している。また、通信端末１０には、SE Linux などのセキュアOSがインストールされている。
【００２５】
ところで、セキュアOSの代表的な機能には、強制アクセス制御などがある。アクセス制御を行う通信端末１０には、プロセス１２が、電子ファイルなどのリソース１３に対してアクセスすることを許容するか否かを記述したセキュリティポリシ１４が格納されている。セキュアOSをインストールした通信端末１０内で生じたプロセス１２は、セキュリティポリシ１４にしたがって処理される。
【００２６】
より詳細には、セキュアOSが、プロセス１２の属性を示したラベルをプロセス１２に付与するようになっている。セキュアOSは、付与されたラベルがリソース１３にアクセスを許容するか否かを判断してアクセス制御するようになっている。
【００２７】
また、サービスプロバイダは、サーバ２０を有し、サーバ２０は、各通信端末１０に対するプログラムの導入または更新、もしくは通信端末１０のメンテナンスなどに関わるサービスをゲートウェイ装置５０を介して行うことができるようになっている。以下、図示したサーバ２０の各々を区別する場合には、サーバ２０をそれぞれサーバ２０―１、サーバ２０―２と記載する。例えば、サービス提供システム１は、サーバ２０―１がサービスプロバイダA社のサーバであり、サーバ２０―２がサービスプロバイダB社のサーバである構成を有する。
【００２８】
また、本発明の実施の形態のサーバ２０とゲートウェイ装置５０との間においては、IP secに準拠した通信サービスに関わるサービス情報を送受信する。なお、サーバ２０とゲートウエイ装置５０との間の通信路は、MPLS (Multiprotocol Label Switching) のLSP (Label Switched Path)、その他、L2T P(Layer 2 Tunneling Protocol)、SSL (Secure Sockets Layer)などの通信プロトコルに準拠した論理的な通信路でもよい。以下、通信プロトコルに準拠した装置間の論理的な通信路をセッションと呼ぶ。サービス情報は、サーバ２０とゲートウェイ装置５０との間のセッションを介して送受される。
【００２９】
図２は、本発明の第１の実施の形態におけるゲートウェイ装置５０のブロック構成図である。 図２に示すように、ゲートウェイ装置５０は、ラベルデータベース５１、セッション確立部５２、通信部５３、ラベル取得部５４、通信部５５、およびラベル判断部５６を含むように構成されている。
【００３０】
なお、ラベルデータベース５１は、ハードディスクなどの記憶手段を備えて構成されている。通信部５３および通信部５５は、ネットワーク３０、４０と接続するためのネットワーク接続デバイスなどを備えて構成されている。また、セッション確立部５２、通信部５３、ラベル取得部５４、通信部５５、およびラベル判断部５６は、CPUなどの制御手段によって処理されるプログラムのモジュールを備えて構成されている。
【００３１】
ラベルデータベース５１は、セッションを識別するための識別情報とラベルとを対応させるラベル対応情報を格納するようになっている。ラベル対応情報の一例を表１に示す。また、この例では、識別情報を、IPsecで規定されているSA（セキュリティアソシエーション）から得られる鍵とする。なお、鍵およびラベルは、数値で表せるものである。
【００３２】
【表１】
2005229288.tif 000003
【００３３】
ここでは、識別情報をSA（セキュリティアソシエーション）から得られる鍵としているが、サーバ２０とゲートウェイ装置５０との間のセッションを識別可能な識別情報であればいかなるものでもよい。また、ラベル対応情報において、鍵xはラベルaに対応し、鍵yはラベルbに対応し、鍵zはラベルcに対応することを表している。
【００３４】
また、ラベルデータベース５１に格納される他のラベル対応情報の一例を表２に示す。なお、本実施の形態において、ラベルaは、通信端末１０―１をメンテナンスするためのサービスに対応、ラベルbは、通信端末１０―１を監視するためのサービスに対応、ラベルcは、通信端末１０―２をメンテナンスするためのサービスに対応している。
【００３５】
【表２】
2005229288.tif 000004
【００３６】
セッション確立部５２は、サーバ２０との間でセッションを確立させるようになっている。例えば、セッション確立部５２は、サービスを提供させるための要求を表す要求情報を通信端末１０から受付けて、IP secに準拠して、サーバ２０の認証を行うと共に、互いの鍵をサーバ２０と交換するなどしてセキュアなセッションを確立させるようになっている。なお、ラベルデータベース５１には、ラベル対応情報が予め格納されていてもよく、セッション確立部５２は、表１に示したラベル対応情報の鍵をサーバ２０と交換するようにしてもよい。
【００３７】
また、通信端末１０が使用するラベルが要求情報に含まれていた場合、セッション確立部５２は、セッションを確立させ、確立させたセッションを識別するための識別情報と通信端末１０が使用するラベルとを対応させてラベルデータベース５１に格納させるようにしてもよい。
【００３８】
通信部５３は、セッション確立部５２がサーバ２０との間で確立したセッションから、サービス情報を含むパケットを受信するようになっている。例えば、IP secに準拠したセッションが確立した後には、サーバ２０がIP secに準拠したIPパケットをゲートウェイ装置５０に送信し、通信部５３は、サーバ２０から送信されたIPパケットを受信するようになっている。
【００３９】
ラベル取得部５４は、通信部５３が受信したセッションの識別情報と対応するラベルを取得するようになっている。例えば、ラベル取得部５４は、IP secのSA（セキュリティアソシエーション）から得られる鍵が鍵xであった場合、表１に示したラベル対応情報が格納されているラベルデータベース５１から、鍵xと対応するラベルaを取得するようになっている。
【００４０】
通信部５５は、識別情報を含むパケットから得られるデータおよびラベル取得部５４が取得したラベルによって構成されるパケットを、ラベルと対応する通信端末１０に送信するようになっている。
【００４１】
例えば、通信部５５は、IPパケットの暗号化されたペイロードの部分を復号して得られたデータと、ラベル取得部５４が取得したラベルとを含むパケットを生成し、生成されたパケットを、表２に示したラベル対応情報に基づいて、ラベルと対応する通信端末１０に送信するようになっている。
【００４２】
通信端末１０は、ゲートウェイ装置５０によって送信されたパケットを受信し、通信端末１０によって処理されるプロセス１２は、受信したパケットを構成するラベルにしたがって通信端末１０のリソース１３に対するアクセス制御を行うようになっている。
【００４３】
例えば、パケットを構成するラベルがラベルaであった場合、通信端末１０―１をメンテナンスするためのサービスを処理するプロセス１２は、ラベルaにしたがって通信端末１０のリソース１３（メンテナンス用のリソース）に対するアクセス制御を行うようになっている。換言すれば、このプロセス１２は、ラベルaと関係のない通信端末１０のリソース１３にアクセスすることができない。
【００４４】
また、通信端末１０が、ラベルを含むパケットをゲートウェイ装置５０にネットワーク４０を介して送信するようになっており、通信部５５は、通信端末１０から送信されたラベルを含むパケットを受信するようになっている。
【００４５】
ラベル判断部５６は、通信部５５によって受信されたパケットに含まれるラベルと識別情報とが対応するか否かを判断するようになっている。例えば、ラベル判断部５６は、表１に示したラベル対応情報に基づいてラベルと対応する識別情報が存在するか否かを判断するようになっている。
【００４６】
通信部５３は、ラベルと識別情報とが対応すると判断したとき、識別情報と対応したセッションを介して受信されたパケットから得られるデータをサーバ２０に送信するようになっている。
【００４７】
次に、本発明の第１の実施の形態によるサービス提供システム１の動作について、図３を参照して説明する。図３は、本発明の第１の実施の形態におけるセッション確立の動作の流れを示すフローチャートである。
【００４８】
まず、通信端末１０からの要求情報に応じて、サーバ２０とゲートウェイ装置５０との間でIPsecなどに準拠してセキュアなセッションが確立される（ステップ１０１、ステップ１０２）。セッションが確立したとき、ラベルと識別情報とを対応させたラベル対応情報がラベルデータベース５１に格納される（ステップ１０３）。なお、ラベルデータベース５１にラベル対応情報が予め格納されている場合には、ステップ１０３は省略される。
【００４９】
図４は、本発明の第１の実施の形態において、サーバ２０から通信端末１０にパケットが中継される動作の流れを示すフローチャートである。まず、サービスを提供するためのパケットが、確立されたセッションによってサーバ２０からゲートウェイ装置５０に送信される（ステップ１０４）。
【００５０】
次に、サーバ２０から送信されたパケットは、通信部５３によって受信され（ステップ１０５）、受信したセッションの識別情報と対応するラベルが、ラベル取得部５４によって取得される（ステップ１０６）。受信した識別情報を含むパケットのペイロードの部分を取り出して得られたデータと、ラベル取得部５４によって取得されたラベルを含むパケットが生成される（ステップ１０７）。生成されたパケットは、通信部５５によって通信端末１０に送信される（ステップ１０８）。
【００５１】
ゲートウェイ装置５０から送信されたパケットは、通信端末１０によって受信され（ステップ１０９）、通信端末１０内のプロセス１２は、受信されたパケットに含まれるラベルにしたがってリソース１３に対応するアクセス制御を行う（ステップ１１０）。
【００５２】
図５は、本発明の第１の実施の形態において、通信端末１０からサーバ２０にパケットが中継される動作の流れを示すフローチャートである。まず、ラベルを含むパケットは、通信端末１０によってゲートウェイ装置５０に送信される（ステップ１１１）。
【００５３】
次に、通信端末１０から送信されたパケットが、通信部５５によって受信され（ステップ１１２）、受信されたパケットに含まれるラベルと識別情報とが対応するか否かが、ラベル判断部５６によって判断される（ステップ１１３）。ラベルと識別情報とが対応すると判断されたとき、識別情報と対応したセッションを介して、パケットから得られるデータが、通信部５３によってサーバ２０に送信される。
【００５４】
以上説明したように、本発明の第１の実施の形態によるサービス提供システム１は、通信端末１０によって処理されるプロセス１２は、セッションを識別するための識別情報と対応するラベルにしたがって通信端末１０のリソース１３に対するアクセス制御を行うため、通信端末１０のリソース１３に対するアクセスをサーバ２０に制限させ、サービスが提供される通信端末１０の安全性を高めることができる。また、通信端末１０の所有者が通信端末１０の管理や監視を行う手間を省き、サービスプロバイダに通信端末１０の管理や監視などの業務委託をさせることができる。
【００５５】
また、ゲートウェイ装置５０が通信端末１０によって送信されたパケットに含まれるラベルと識別情報とが対応すると判断したとき、受信されたパケットから得られるデータをサーバ２０に送信するため、通信端末１０が送信したデータをサーバ２０と接続されるネットワーク３０に流出することを制限し、通信端末１０に関わる情報および通信端末１０の利用者に関わる情報の漏洩を防止することができる。
【００５６】
［第２の実施の形態］
図６は、本発明の第２の実施の形態によるサービス提供システムのブロック構成図である。図６に示すように、サービス提供システム２は、ネットワーク３０およびネットワーク４０に接続されたゲートウェイ装置６０と、ネットワーク３０を介してゲートウェイ装置６０と通信可能に接続された１つ以上のサーバ２０と、ネットワーク４０を介してゲートウェイ装置６０と通信可能に接続された１つ以上の通信端末１０とを備え、サーバ２０がゲートウェイ装置６０を介して通信端末１０にサービスを提供するようになっている。
【００５７】
なお、本発明の第２の実施の形態によるサービス提供システム２を構成する構成要素のうち、本発明の第１の実施の形態によるサービス提供システム１を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
【００５８】
図７は、本発明の第２の実施の形態におけるゲートウェイ装置６０のブロック構成図である。図７に示すように、ゲートウェイ装置６０は、ラベルデータベース５１、セッション確立部５２、通信部５３、ラベル取得部５４、通信部５５、ラベル判断部５６、およびセキュアオペレーション部５７を含むように構成されている。
【００５９】
なお、本発明の第２の実施の形態によるゲートウェイ装置６０を構成する構成要素のうち、本発明の第１の実施の形態によるゲートウェイ装置５０を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
【００６０】
セキュアオペレーション部５７は、SE LinuxなどのセキュアOSで構成されている。また、セキュアオペレーション部５７は、ゲートウェイ装置６０によって処理される各プロセス１２を制御し、各プロセス１２は、通信部５３が受信したセッションの識別情報と対応するセキュリティラベルにしたがってリソース１３にアクセスすることを許容するか否かを判断するようになっている。なお、セキュリティラベルおよび第１の実施の形態で説明したラベルは、同等のものである。
【００６１】
例えば、セキュアオペレーション部５７は、下記の表３に示すようなセキュリティラベル対応情報を有している。鍵は識別情報の一例であり、通信部５３が受信したIP secに準拠したパケットに含まれるSA（セキュリティアソシエーション）から得られたものである。また、セキュリティラベルは、例えば、サーバ２０との間のセッションを介して受信したパケットを処理するプロセスに対応したラベルである。
【００６２】
【表３】
2005229288.tif 000005
【００６３】
また、セキュリティラベル対応情報において、鍵xはセキュリティラベルαに対応し、鍵yはセキュリティラベルβに対応し、鍵zはセキュリティラベルγに対応することを表している。
【００６４】
受信したパケットのペイロード部が暗号化されていた場合、暗号化されたペイロード部を復号するためのプロセスは、鍵と対応するセキュリティラベルにしたがってリソースにアクセスすることを許容するか否かを判断しながら動作するようになっている。
【００６５】
例えば、受信したパケットが鍵xで暗号化されていた場合、復号するためのプロセスは、セキュリティラベルαにしたがって、鍵xで暗号化されたパケットのペイロード部を復号でき、鍵yで暗号化されたパケットのペイロード部を復号することはできない。
【００６６】
また、プロセス１２は、復号するためのプロセスだけではなく、映像音声などのコンテンツをデコードするためのプロセスや、ログを収集するためのプロセスなど、ゲートウェイ装置６０内で処理されるプロセスを含む。
【００６７】
なお、ゲートウェイ装置６０と通信端末１０との間の通信は、従来のセキュアOS間の通信方法に準拠してもよく、例えば、セキュアオペレーション部５７は、通信部５５が受信したパケットに含まれるラベルと対応するセキュリティラベルにしたがってリソース１３にアクセスすることを許容するか否かを判断するようにしてもよい。
【００６８】
また、サーバ２０にSE LinuxなどのセキュアOSがインストールされている場合には、サーバ２０によって処理されるプロセスが、ラベルを含むラベルパケットをセッションを介して送信するようになっている。この場合、通信部５３は、サーバ２０から送信されたラベルパケットを受信し、ゲートウェイ装置６０によって処理されるプロセス１２は、通信部５３が受信したラベルパケットに含まれるラベルにしたがってゲートウェイ装置６０のリソースに対するアクセス制御を行うようにしてもよい。
【００６９】
以上説明したように、本発明の第２の実施の形態によるサービス提供システム２は、ゲートウェイ装置６０によって処理されるプロセス１２は、受信したセッションの識別情報やパケットに含まれるラベルと対応するセキュリティラベルにしたがってゲートウェイ装置６０のリソース１３に対するアクセス制御を行うため、ゲートウェイ装置６０のリソース１３に対するアクセスを制限させ、ゲートウェイ装置６０の安全性を高めることができる。
【００７０】
また、サーバ２０によって処理されるプロセスがセッションを介してラベルパケットを転送することにより、ゲートウェイ装置６０によって処理されるプロセス１２が、サーバ２０によって処理されるプロセス毎に、ゲートウェイ装置６０のリソースに対してよりきめ細かいアクセス制御を行うことができる。
【００７１】
［第３の実施の形態］
図８は、本発明の第３の実施の形態によるサービス提供システムのブロック構成図である。図８に示すように、サービス提供システム３は、ネットワーク３０およびネットワーク４０に接続されたゲートウェイ装置７０と、ネットワーク３０を介してゲートウェイ装置７０と通信可能に接続された１つ以上のサーバ２０と、ネットワーク４０を介してゲートウェイ装置７０と通信可能に接続された１つ以上のサーバ２０と、ネットワーク４０を介してゲートウェイ装置７０と通信可能に接続された１つ以上の通信端末５０とを備え、サーバ２０がゲートウェイ装置７０を介して通信端末５０にサービスを提供するようになっている。
【００７２】
なお、本発明の第３の実施の形態によるサービス提供システム３を構成する構成要素のうち、本発明の第２の実施の形態によるサービス提供システム２を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
【００７３】
通信端末５０は、情報家電など含み、以下、図示した通信端末５０の各々を区別する場合には、通信端末５０をそれぞれ通信端末５０―１、通信端末５０―２、通信端末５０―３と記載する。例えば、サービル提供システム３は、通信端末５０―１がセットトップボックス、通信端末５０―２がIP電話、通信端末５０―３がウェブサーバであるような構成を有する。また、各通信端末５０はPC (Personal Computer)でもよい。
【００７４】
通信端末５０は、ネットワーク４０を介してゲートウェイ装置７０と通信する通信部１１およびラベルに関する情報を制御するラベル情報制御部１６を有している。また、通信端末５０には、SE LinuxなどのセキュアOSがインストールされている。サーバ２０からサービスを提供させる場合には、セキュアOSが、サービス提供用のプロセス生成し、生成されたプロセスが送受するパケットに対するラベルを割当てるようになっている。
【００７５】
図９は、本発明の第３の実施の形態におけるゲートウェイ装置７０のブロック構成図である。図９に示すように、ゲートウェイ装置７０は、ラベルデータベース５１、セッション確立部５２、通信部５３、ラベル取得部５４、通信部５５、ラベル判断部５６、セキュアオペレーション部５７、およびラベル情報制御部５８を含むように構成されている。
【００７６】
なお、本発明の第３の実施の形態によるゲートウェイ装置７０を構成する構成要素のうち、本発明の第２の実施の形態によるゲートウェイ装置６０を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
【００７７】
ラベル情報制御部５８は、ラベルに関する情報を制御するようになっており、CPUなどの制御手段によって処理されるプログラムのモジュールを備えて構成されている。また、ラベル情報制御部５８はラベル収集部５８aと交渉部５８bを有する。
【００７８】
ラベル収集部５８aは、各通信端末５０から使用中のラベルを収集するようになっている。例えば、ラベル収集部５８aは、使用中のラベルを通信端末５０に問い合わせるための問い合せ情報をそれぞれの通信端末５０に送信し、問い合せ情報に対する応答情報を受信して、受信したそれぞれの応答情報に含まれるラベルを収集し、収集したラベルに関する情報をラベルデータベース５１に格納するようになっている。
【００７９】
なお、ラベル収集部５８aは、IP secやSSLなどのセキュアなセッションを通信端末５０と確立させた状態で、セキュアなセッションを介してラベルを収集するようにしてもよい。
【００８０】
交渉部５８bは、ラベル収集部５８aが収集したラベルが既に使用済であったとき、他のラベルを使用するように通信端末５０のいずれかと交渉するようになっている。
【００８１】
例えば、ラベル収集部５８aは、通信端末５０―１が使用しているラベルを収集し、収集したラベルをラベルデータベース５１に格納し、次に、通信端末５０―２が使用しているラベルを収集して、通信端末５０―２が使用しているラベルと、通信端末５０―１が使用しているラベルと同じであったとき、交渉部５８bは、同じであったラベルから他のラベルに変更させるための変更情報を通信端末５０―２に送信することにより、通信端末５０―２と交渉するようになっている。なお、このとき、交渉部５８bは、変更情報を通信端末５０―１に送信することにより、通信端末５０―２に代えて通信端末５０―１と交渉してもよい。
【００８２】
また、ラベル収集部５８aがラベルデータベース５１に格納したラベルに関する情報の一例としては、表２に示した情報のようになる。なお、表２に示した情報では通信端末１０としているが、ここでは、通信端末５０と読み替える。
【００８３】
以下、本発明の第３の実施の形態によるサービス提供システム３の動作について、図１０を参照して説明する。図１０は、本発明の第３の実施の形態によるサービス提供システム３の動作の流れを示すフローチャートである。
【００８４】
まず、問い合せ情報は、ラベル収集部５８aによって通信端末５０に送信される（ステップ３０１）。次に、ゲートウェイ装置７０から送信された問い合せ情報が、ラベル情報制御部１６によって受信される（ステップ３０２）。受信された問い合せ情報に応じて使用中のラベルは、応答情報に含められ、この応答情報が、ラベル情報制御部１６によってゲートウェイ装置７０に送信される（ステップ３０３）。
【００８５】
通信端末５０から送信された応答情報は、ラベル収集部５８aによって受信され、応答情報に含まれる使用中のラベルがラベルデータベース５１に格納される（ステップ３０４）。
【００８６】
また、応答情報に含まれる使用中のラベルが、既に他の通信端末５０に使用されているか否か、交渉部５８bによって確認される（ステップ３０５）。ラベルが既に他の通信端末５０に使用されていたとき、交渉部５８bは、使用中のラベルから他のラベルに変更するように通信端末５０のラベル情報制御部１６と交渉する（ステップ３０６、ステップ３０７）。
【００８７】
この他、ラベル収集部５８aが、各通信端末５０の使用中のラベルを定期的に収集して、同じラベルが使用されないように各通信端末５０との交渉が、交渉部５８bによって行われるようにしてもよい。
【００８８】
以上説明したように、本発明の第３の実施の形態によるサービス提供システム３は、ゲートウェイ装置７０が各通信端末５０から使用中のラベルを収集し、収集したラベルが既に使用済であったとき、他のラベルを使用するように通信端末５０と交渉するため、各通信端末５０が使用するラベルの重複を避けることができ、各通信端末５０でラベルを分散管理することができる。
【００８９】
［第４の実施の形態］
図１１は、本発明の第４の実施の形態によるサービス提供システムのブロック構成図である。図１１に示すように、サービス提供システム４は、ネットワーク３０およびネットワーク４０に接続されたゲートウェイ装置８０と、ネットワーク３０を介してゲートウェイ装置８０と通信可能に接続された１つ以上のサーバ２０と、ネットワーク４０を介してゲートウェイ装置８０と通信可能に接続された１つ以上の通信端末６０とを備え、サーバ２０がゲートウェイ装置８０を介して通信端末６０にサービスを提供するようになっている。
【００９０】
なお、本発明の第４の実施の形態によるサービス提供システム４を構成する構成要素のうち、本発明の第２の実施の形態によるサービス提供システム２を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
【００９１】
通信端末６０は情報家電など含み、以下、図示した通信端末６０の各々を区別する場合には、通信端末６０をそれぞれ通信端末６０―１、通信端末６０―２、通信端末６０―３と記載する。例えば、サービス提供システム４は、通信端末６０―１がセットトップボックス、通信端末６０―２がIP電話、通信端末６０―３がウェブサーバであるような構成を有する。また、各通信端末５０はPC (Personal Computer)でもよい。
【００９２】
通信端末６０は、ネットワーク４０を介してゲートウェイ装置８０と通信する通信部１１およびラベルに関する情報を制御するラベル情報制御部１７を有している。また、通信端末６０には、SE LinuxなどのセキュアOSがインストールされている。サーバ２０からサービスを提供させる場合には、セキュアOSが、サービス提供用のプロセスを生成し、生成されたプロセスが送受するパケットに対するラベルを割当てるようになっている。通信端末６０は、割当てたラベルを通知するための通知情報をゲートウェイ装置８０に送信するようになっている。なお、通信端末６０は、IPsecやSSLなどのセキュアなセッションをゲートウェイ装置８０と確立させた状態で、セキュアなセッションを介して通知情報をゲートウェイ装置８０に送信するようにしてもよい。
【００９３】
図１２は、本発明の第４の実施の形態におけるゲートウェイ装置８０のブロック構成図である。図１２に示すように、ゲートウェイ装置８０は、ラベルデータベース５１、セッション確立部５２、通信部５３、ラベル取得部５４、通信部５５、ラベル判断部５６、セキュアオペレーション部５７、およびラベル情報制御部５９を含むように構成されている。
【００９４】
なお、本発明の第４の実施の形態におけるゲートウエイ装置８０を構成する構成要素のうち、本発明の第２の実施の形態におけるゲートウエイ装置６０を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれ説明を省略する。
【００９５】
ラベル制御部５９は、ラベルに関する情報を制御するようになっており、CPUなどの制御手段によって処理されるプログラムのモジュールを備えて構成されている。また、ラベル情報制御部５９はラベル通知情報受信部５９aと交渉部５９bを有する。
【００９６】
ラベル通知情報受信部５９aは、通信端末６０によって使用されるラベルを通知するための通知情報を通信端末６０から受信するようになっている。例えば、通信端末６０のプロセス１２が起動したとき、ラベル通知情報受信部５９aは、プロセス１２と対応するラベルを表す通知情報を通信端末６０から受信し、受信した通知情報が示すラベルをラベルデータベース５１に格納するようになっている。
【００９７】
また、ラベル通知情報受信部５９aがラベルデータベース５１に格納したラベルに関する情報の一例としては、表２に示した情報のようになる。なお、表２に示した情報では通信端末１０としているが、ここでは、通信端末６０と読み替える。
【００９８】
ラベル通知情報受信部５９aによって受信された通知情報が示すラベルが既に使用済であったとき、交渉部５９bは、他のラベルを使用するように、通知情報を送信した通信端末６０と交渉するようになっている。例えば、ラベルが、既にラベルデータベース５１に格納されたラベルと同一であったとき、交渉部５９bは、使用済であったラベルから他のラベルに変更させるための変更情報を、通信端末６０に送信することにより、通信端末６０と交渉するようになっている。
【００９９】
以下、本発明の第４の実施の形態によるサービス提供システム４の動作について、図１３を参照して説明する。図１３は、本発明の第４の実施の形態によるサービス提供システム４の動作の流れを示すフローチャートである。
【０１００】
まず、通信端末６０によって割当てられたラベルを通知するための通知情報が、ラベル情報制御部１７によってゲートウェイ装置７０に送信される（ステップ４０１）。通信端末６０から送信された通知情報は、ラベル通知情報受信部５９aによって受信され、ラベルデータベース５１に格納される（ステップ４０２）。
【０１０１】
また、ラベル通知情報受信部５９aによって受信された通知情報が示すラベルが、既に使用済であるか否かが確認され（ステップ４０３）、既に使用済であったとき、交渉部５９bは、同じであったラベルから他のラベルに変更するように、通信端末６０のラベル情報制御部１７と交渉する（ステップ４０４、ステップ４０５）。
【０１０２】
以上説明したように、本発明の第４の実施の形態によるサービス提供システム４は、ゲートウェイ装置８０が、通信端末６０によって使用されるラベルを通知するための通知情報を通信端末６０から受信し、受信された通知情報が示すラベルが既に使用済であったとき、他のラベルを使用するように通信端末６０と交渉するため、各通信端末６０が使用するラベルの重複を避けることができ、ゲートウェイ装置８０でラベルを集中管理することができる。
【０１０３】
なお、以上説明したゲートウェイ装置の機能は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、CD―ROM等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【図面の簡単な説明】
【０１０４】
【図１】本発明の第１の実施の形態によるサービス提供システムのブロック構成図である。
【図２】本発明の第１の実施の形態におけるゲートウェイ装置のブロック図である。
【図３】本発明の第１の実施の形態によるセッション確立の動作の流れを示すフローチャートである。
【図４】本発明の第１の実施の形態において、サーバから通信端末にパケットが中継される動作の流れを示すフローチャートである。
【図５】本発明の第１の実施の形態において、通信端末からサーバにパケットが中継される動作の流れを示すフローチャートである。
【図６】本発明の第２の実施の形態によるサービス提供システムのブロック構成図である。
【図７】本発明の第２の実施の形態におけるゲートウェイ装置のブロック図である。
【図８】本発明の第３の実施の形態によるサービス提供システムのブロック構成図である。
【図９】本発明の第３の実施の形態におけるゲートウェイ装置のブロック構成図である。
【図１０】本発明の第３の実施の形態によるサービス提供システムの動作の流れを示すフローチャートである。
【図１１】本発明の第４の実施の形態によるサービス提供システムのブロック構成図である。
【図１２】本発明の第４の実施の形態におけるゲートウェイ装置のブロック構成図である。
【図１３】本発明の第４の実施の形態によるサービス提供システムの動作の流れを示すフローチャートである。
【符号の説明】
【０１０５】
１、２、３、４    サービス提供システム
１０、５０、６０    通信端末
１１    通信部
１２    プロセス
１３    リソース
１４    セキュリティポリシ
２０    サーバ
３０、４０    ネットワーク
１６、１７    ラベル情報制御部
５０、６０、７０、８０    ゲートウェイ装置
５１    ラベルデータベース
５２    セッション確立部
５３、５５    通信部
５４    ラベル取得部
５６    ラベル判断部
５７    セキュアオペレーション部
５８、５９    ラベル情報制御部
５８a    ラベル収集部
５８b、５９b    交渉部
５９a    ラベル通知情報受信部
１０１〜１１４、３０１〜３０７、４０１〜４０５    ステップ
【図１】
2005229288.tif 000006
【図２】
2005229288.tif 000007
【図３】
2005229288.tif 000008
【図４】
2005229288.tif 000009
【図５】
2005229288.tif 000010
【図６】
2005229288.tif 000011
【図７】
2005229288.tif 000012
【図８】
2005229288.tif 000013
【図９】
2005229288.tif 000014
【図１０】
2005229288.tif 000015
【図１１】
2005229288.tif 000016
【図１２】
2005229288.tif 000017
【図１３】
2005229288.tif 000018