(57)【特許請求の範囲】
【請求項１】
通過させるデータを制限する複数の通信装置がメッシュ接続された通信システムであり、
各通信装置は、
自通信装置が通過させる通信データの規則を自通過規則として記憶するとともに、自通信装置が通過させる通信データを通過させる他通信装置の前記規則を他通過規則として記憶する通過規則記憶部と、
新たに接続された新通信装置の前記規則を新通過規則として受信する規則受信部と、
前記規則受信部が新通過規則を受信した場合、前記新通過規則で通過させる通信データを前記通過規則記憶部が記憶した自通過規則が通過させるか否かを判定する規則判定部と、
自通過規則が通過させると前記規則判定部が判定した場合、接続された他通信装置へ前記新通過規則を送信する規則送信部と、
を備え、
前記通過規則記憶部は、通過させると前記規則判定部が判定した場合、前記新通過規則を他通過規則として記憶する
ことを特徴とする通信システム。
【請求項２】
前記規則送信部は、自通信装置が前記新通信装置に直接接続された通信装置であり、かつ、自通過規則が通過させると前記規則判定部が判定した場合、前記通過規則記憶部が記憶した前記自通過規則と前記他通過規則とを前記新通信装置へ送信する
ことを特徴とする請求項１に記載の通信システム。
【請求項３】
前記規則判定部は、前記新通過規則で通過させる通信データを、接続された各他通信装置の他通過規則が通過させるか否かを判定し、
前記規則送信部は、接続された他通信装置のうち、前記規則判定部が通過させると判定した他通信装置へのみ前記新通過規則を送信する
ことを特徴とする請求項１又は２に記載の通信システム。
【請求項４】
前記規則は、前記通信データを通過させるグループを定めており、
前記通信システムは、さらに、
接続された機器から通信データを受信するデータ受信部と、
前記データ受信部が受信した通信データの送信元の機器が属するグループが、自通過規則が通信データを通過させると定めたグループである否かを判定するデータ判定部と、
通過させると定めたグループであると前記データ判定部が判定した場合、前記通信データを送信先へ宛てて、接続された他通信装置へ送信するデータ送信部と
を備えることを特徴とする請求項１から３までのいずれかに記載の通信システム。
【請求項５】
前記データ送信部は、前記送信元の機器が属するグループの識別情報を前記通信データに付与した上で、前記通信データを他通信装置へ送信する
ことを特徴とする請求項４に記載の通信システム。
【請求項６】
接続された機器から通信データを受信した通信装置の前記データ送信部は、送信元の機器が属する第１グループと、送信先の機器が属する第２グループとが異なる通信データを前記データ受信部が受信した場合、前記第１グループと前記第２グループとの両方のグループを通過させると定めた規則を持つ他通信装置へ宛てて、前記通信データを送信し、
前記両方のグループを通過させると定めた規則を持つ通信装置の前記データ送信部は、送信元の機器が属する第１グループと、送信先の機器が属する第２グループとが異なる通信データを他通信装置から受信した場合、前記通信データを送信先へ宛てて、接続された他通信装置へ送信する
ことを特徴とする請求項４又は５に記載の通信システム。
【請求項７】
前記データ送信部は、接続された他通信装置が複数ある場合には、前記通信データを分割して複数の子通信データとし、各子通信データをそれぞれ別の他通信装置へ送信する
ことを特徴とする請求項４から６までのいずれかに記載の通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、通信データの制御技術に関する。
【背景技術】
【０００２】
通信データを制御するためにファイアウォール（以下ＦＷ）やＬ３スイッチ等の通信装置が導入される。特に、複数のテナント（会社等）が接続される通信システムを構築する場合、多数の端末から送信される通信データを制御するために、接続口数が多く処理能力が高い大型の通信装置が導入される。通信システムに接続される端末数に応じて、接続されるサーバ数や必要な処理能力が異なるため、必要な通信装置の規模は異なる。
通信システムの構築当初は少ないテナント数であるが、徐々にテナント数が増えていく場合がある。この場合、通信システムの構築当初は大型の通信装置は不要であるが、テナントが増えた場合には大型の通信装置が必要となる。しかし、一旦設置した通信装置を他の通信装置に置き換えるには手間がかかり、また初めに設置した通信装置が無駄になる恐れがあるため、初めから大型の通信装置を導入してしまうのが一般的である。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特表２００４−５０３０１１号公報
【特許文献２】特開２０１０−２８７１１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
接続されるテナント数が少ないにも関わらず、大型の通信装置を導入するのは、コスト負荷が大きい。また、通信装置に新たなテナントが接続された場合、通信装置の設定を変更する必要があるが、通信装置に接続されているテナント数が多くなるほど、設定の変更作業が多くなり、作業負荷が大きい。
この発明は、接続されるテナント数等に柔軟に対応可能とすることを目的とする。
【課題を解決するための手段】
【０００５】
この発明に係る通信システムは、
通過させるデータを制限する複数の通信装置がメッシュ接続された通信システムであり、
各通信装置は、
自通信装置が通過させる通信データの規則を自通過規則として記憶するとともに、自通信装置が通過させる通信データを通過させる他通信装置の前記規則を他通過規則として記憶する通過規則記憶部と、
新たに接続された新通信装置の前記規則を新通過規則として受信する規則受信部と、
前記規則受信部が新通過規則を受信した場合、前記新通過規則で通過させる通信データを前記通過規則記憶部が記憶した自通過規則が通過させるか否かを判定する規則判定部と、
自通過規則が通過させると前記規則判定部が判定した場合、接続された他通信装置へ前記新通過規則を送信する規則送信部と、
を備え、
前記通過規則記憶部は、通過させると前記規則判定部が判定した場合、前記新通過規則を他通過規則として記憶する
ことを特徴とする。
【０００６】
前記規則送信部は、自通信装置が前記新通信装置に直接接続された通信装置であり、かつ、自通過規則が通過させると前記規則判定部が判定した場合、前記通過規則記憶部が記憶した前記自通過規則と前記他通過規則とを前記新通信装置へ送信する
ことを特徴とする。
【０００７】
前記規則判定部は、前記新通過規則で通過させる通信データを、接続された各他通信装置の他通過規則が通過させるか否かを判定し、
前記規則送信部は、接続された他通信装置のうち、前記規則判定部が通過させると判定した他通信装置へのみ前記新通過規則を送信する
ことを特徴とする。
【０００８】
前記規則は、前記通信データを通過させるグループを定めており、
前記通信システムは、さらに、
接続された機器から通信データを受信するデータ受信部と、
前記データ受信部が受信した通信データの送信元の機器が属するグループが、自通過規則が通信データを通過させると定めたグループである否かを判定するデータ判定部と、
通過させると定めたグループであると前記データ判定部が判定した場合、前記通信データを送信先へ宛てて、接続された他通信装置へ送信するデータ送信部と
を備えることを特徴とする。
【０００９】
前記データ送信部は、前記送信元の機器が属するグループの識別情報を前記通信データに付与した上で、前記通信データを他通信装置へ送信する
ことを特徴とする。
【００１０】
接続された機器から通信データを受信した通信装置の前記データ送信部は、送信元の機器が属する第１グループと、送信先の機器が属する第２グループとが異なる通信データを前記データ受信部が受信した場合、前記第１グループと前記第２グループとの両方のグループを通過させると定めた規則を持つ他通信装置へ宛てて、前記通信データを送信し、
前記両方のグループを通過させると定めた規則を持つ通信装置の前記データ送信部は、送信元の機器が属する第１グループと、送信先の機器が属する第２グループとが異なる通信データを他通信装置から受信した場合、前記通信データを送信先へ宛てて、接続された他通信装置へ送信する
ことを特徴とする。
【００１１】
前記データ送信部は、接続された他通信装置が複数ある場合には、前記通信データを分割して複数の子通信データとし、各子通信データをそれぞれ別の他通信装置へ送信する
ことを特徴とする。
【発明の効果】
【００１２】
この発明に係る通信システムは、複数の通信装置がメッシュ接続され構成されている。そのため、テナント数が増えた場合には、新たな通信装置を接続することにより、規模の拡大が可能である。したがって、接続されるテナント数が少ない場合に大型の通信装置を導入する必要がなく、コスト負担が小さい。また、新たな通信装置が接続された場合、その通信装置の通過規則が他の通信装置へ順次コピーされていく。したがって、その通信装置に関する設定だけを行えばよく、作業負荷が小さい。
【図面の簡単な説明】
【００１３】
【図１】実施の形態１に係る通信システム１００の構成図。
【図２】実施の形態１に係る通信システム１００が構成するネットワークシステムの概念図。
【図３】実施の形態１に係る通信装置１０の構成図。
【図４】通過規則記憶部１１が他通過規則を記憶する範囲を示す図。
【図５】実施の形態１に係る通信システム１００に新たに通信装置１０が接続された場合の通信システム１００の動作を示すフローチャート。
【図６】実施の形態１に係る通信システム１００における通信データの送信時の処理を示すフローチャート。
【図７】サービスの種類と会社との組合せにより通信データを通過させるか否かを決定する場合の通過規則を示す図。
【図８】図７に示すように通過規則を規定した場合に通信システム１００が構成するネットワークシステムの概念図。
【図９】実施の形態２に係る通過規則を示す図。
【図１０】図９に示すように通過規則を規定した場合に通信システム１００が構成するネットワークシステムの概念図。
【図１１】実施の形態２に係る通信システム１００における通信データの送信時の処理を示すフローチャート。
【図１２】実施の形態３に係る通信データの転送ルートを示す図。
【図１３】通信装置１０のハードウェア構成の一例を示す図。
【発明を実施するための形態】
【００１４】
実施の形態１．
図１は、実施の形態１に係る通信システム１００の構成図である。
通信システム１００は、複数の通信装置１０がメッシュ接続（多点接続の網形接続）されている。ここでは、ＩＤ０１１からＩＤ０５５までの２５台の通信装置１０がメッシュ接続されている。また、ここでは、上下左右に配置された通信装置１０同士が接続されている。例えば、ＩＤ０２２の通信装置１０であれば、上側のＩＤ０２１、下側のＩＤ０２３、左側のＩＤ０１２、右側のＩＤ０３２と接続されている。なお、簡単のため、上下左右に配置された通信装置１０同士が接続されているとするが、斜めに配置された通信装置１０同士が接続されていても、離れた位置の通信装置１０同士が接続されていてもよい。
一部の通信装置１０には、サーバ２０−２５や、端末３０−３２が接続されている。サーバ２０は、Ａ社用のメールサーバであり、サーバ２１は、Ａ社用のウェブサーバであり、サーバ２２は、Ｂ社用のメールサーバであり、サーバ２３は、Ｂ社用のウェブサーバであり、サーバ２４は、Ｃ社用のメールサーバであり、サーバ２５は、Ｃ社用のウェブサーバである。また、端末３０は、Ａ社の端末であり、端末３１は、Ｂ社の端末であり、端末３２は、Ｃ社の端末である。
各通信装置１０は、いずれかの会社（グループの一例）に割り当てられている。一部の通信装置１０は、複数の会社に割り当てられている。具体的には、部分システム４０に含まれる通信装置１０は、Ａ社に割り当てられており、部分システム４１に含まれる通信装置１０は、Ｂ社に割り当てられており、部分システム４２に含まれる通信装置１０は、Ｃ社に割り当てられている。複数の部分システムに含まれる通信装置１０は、複数の会社に割り当てられている。
【００１５】
図２は、実施の形態１に係る通信システム１００が構成するネットワークシステムの概念図である。
通信システム１００は、部分システム４０，４１，４２の３つのネットワークシステムを構成する。そして、これら３つのネットワークシステムは、図１の例では、一部は物理的に共有されているが、全体として仮想的に分離されており、それぞれ異なるセキュリティの層を形成する。
つまり、部分システム４０を流れる通信データは、部分システム４１，４２を流れることはなく、部分システム４１を流れる通信データは、部分システム４０，４２を流れることはなく、部分システム４２を流れる通信データは、部分システム４０，４１を流れることはない。
【００１６】
図３は、実施の形態１に係る通信装置１０の構成図である。
通信装置１０は、通過規則記憶部１１、規則受信部１２、規則判定部１３、規則送信部１４、データ受信部１５、データ判定部１６、データ送信部１７を備える。
【００１７】
通過規則記憶部１１は、通信装置１０が通過させる通信データの通過規則を記憶する記憶装置である。通過規則記憶部１１は、自身（自通信装置１０）の通過規則を自通過規則として記憶するとともに、他の通信装置１０（他通信装置１０）の通過規則を他通過規則として記憶する。
ここでは、通過規則は、通信データの送信元及び送信先として同一の会社が指定されており、かつ、送信元及び送信先が自身が割り当てられた会社の端末及びサーバである場合には、通信データを通過させるものとする。
【００１８】
図４は、通過規則記憶部１１が他通過規則を記憶する範囲を示す図である。なお、図４では、ＩＤ００５３の通信装置１０が備える通過規則記憶部１１が記憶する範囲を例として示す。
他通過規則が記憶される範囲は、自通過規則で通過させる通信データが通過できる範囲である。つまり、自身が割り当てられた会社が割り当てられている通信装置１０の規則が、他通過規則として記憶される。図４の例では、ＩＤ００５３の通信装置１０は、会社Ａに割り当てられているため、会社Ａに割り当てられた他の通信装置１０の規則を、他通過規則として記憶する。
【００１９】
図５は、実施の形態１に係る通信システム１００に新たに通信装置１０（新通信装置１０）が接続された場合の通信システム１００の動作を示すフローチャートである。
なお、新通信装置１０が通信システム１００に接続される前に、新通信装置１０は管理者等によって、ＩＤが割り当てられるとともに、いずれかの会社に割り当てられる。そして、新通信装置１０が備える通過規則記憶部１１は、通信データの送信元及び送信先として同一の会社が指定されており、かつ、送信元及び送信先が、割り当てられた会社の端末及びサーバである場合には、通信データを通過させるという規則（新通過規則）を記憶する。
新通信装置１０は、新端末の設置タイミングに合わせて、新端末と一緒に設置され、新端末と接続される。
【００２０】
（Ｓ１１：認証処理）
新通信装置１０が接続された通信装置１０の規則受信部１２は、新通信装置１０から新通過規則を受信する。すると、その通信装置１０の規則判定部１３は、新通過規則で通過させる通信データを、自通過規則が通過させるか否かを判定する。
自通過規則が通過させると判定した場合、新通信装置１０の認証がとれたとして（Ｓ１１でＹＥＳ）、処理をＳ１２へ進める。一方、自通過規則が通過させないと判定した場合、新通信装置１０の認証はとれないとして（Ｓ１１でＮＯ）、処理を終了させる。
【００２１】
（Ｓ１２：規則交換処理）
新通過規則を受信した通信装置１０の通過規則記憶部１１は、受信した新通過規則を、他通過規則として記憶する。
また、新通信装置１０が接続された通信装置１０の規則送信部１４は、通過規則記憶部１１が記憶した規則（自通過規則及び他通過規則）を新通信装置１０へ送信する。すると、新通信装置１０の通過規則記憶部１１は、受信した規則を他通過規則として記憶する。
【００２２】
（Ｓ１３：接続装置判定処理）
新通過規則を受信した通信装置１０の規則判定部１３は、新通過規則の送信元以外に、直接接続された他通信装置１０があるか否かを判定する。
他通信装置１０があると判定した場合（Ｓ１３でＹＥＳ）、処理をＳ１４へ進める。一方、他通信装置１０がないと判定した場合（Ｓ１３でＮＯ）、処理を終了する。
【００２３】
（Ｓ１４：規則送信処理）
新通過規則を受信した規則送信部１４は、直接接続された他通信装置１０へ新通過規則を送信する。
【００２４】
（Ｓ１５：規則判定処理）
新通過規則を受信した他通信装置１０は、新通過規則で通過させる通信データを、自通過規則が通過させるか否かを判定する。
自通過規則が通過させると判定した場合（Ｓ１５でＹＥＳ）、処理をＳ１６へ進める。一方、自通過規則が通過させないと判定した場合（Ｓ１５でＮＯ）、処理を終了させる。
【００２５】
（Ｓ１６：規則記憶処理）
新通過規則を受信した他通信装置１０の通過規則記憶部１１は、新通過規則を他通過規則として記憶する。
そして、処理をＳ１３へ戻し、新通過規則を受信した他通信装置１０の規則判定部１３は、直接接続された他通信装置１０があるか否かを判定する。
【００２６】
例えば、図１に示すＩＤ０５１の通信装置１０に、ＩＤ０６１の通信装置１０が新通信装置１０として、新端末と合わせて接続された場合の動作は以下のようになる。
なお、ＩＤ０６１の通信装置１０は、会社Ａに割り当てられているとする。また、ＩＤ０６１の通信装置１０の通過規則記憶部１１は、通信データの送信元及び送信先として会社Ａが指定されており、かつ、送信元及び送信先が会社Ａの端末及びサーバである場合には、通信データを通過させるという通過規則（新通過規則）を記憶しているとする。
【００２７】
まず、ＩＤ０５１の通信装置１０は、ＩＤ０６１の通信装置１０から新通過規則を受信し、新通過規則で通過させる通信データを、自通過規則が通過させるか否かを判定する（Ｓ１１）。ここでは、ＩＤ０５１の通信装置１０は会社Ａに属しており、自通過規則が通過させるため（Ｓ１１でＹＥＳ）、受信した新通過規則を、他通過規則として記憶し、ＩＤ０６１の通信装置１０は、ＩＤ０５１の通信装置１０が記憶していた通過規則を他通過規則として記憶する（Ｓ１２）。
次に、ＩＤ０５１の通信装置１０は、ＩＤ０６１の通信装置１０以外に、直接接続された通信装置１０があるか否かを判定する（Ｓ１３）。ここでは、ＩＤ０４１，ＩＤ０５２の通信装置１０が接続されているため（Ｓ１３でＹＥＳ）、ＩＤ０５１の通信装置１０は、ＩＤ０４１，ＩＤ０５２の通信装置１０へ新通過規則を送信する（Ｓ１４）。すると、ＩＤ０４１，ＩＤ０５２の通信装置１０は、新通過規則で通過させる通信データを、自通過規則が通過させるか否かを判定する（Ｓ１５）。ここでは、ＩＤ０４１，ＩＤ０５２の通信装置１０はいずれも会社Ａに属しており、自通過規則が通過させるため（Ｓ１５でＹＥＳ）、受信した新通過規則を、他通過規則として記憶する（Ｓ１６）。
【００２８】
次に、ＩＤ０４１，ＩＤ０５２の通信装置１０はそれぞれ、ＩＤ０５１の通信装置１０以外に、直接接続された通信装置１０があるか否かを判定する（Ｓ１３）。
ここでは、ＩＤ０４１の通信装置１０には、ＩＤ０３１，ＩＤ０４２の通信装置１０が接続されており、ＩＤ０５２の通信装置１０には、ＩＤ０４２，ＩＤ０５３の通信装置１０が接続されている（Ｓ１３でＹＥＳ）。そのため、ＩＤ０４１の通信装置１０は、ＩＤ０３１，ＩＤ０４２の通信装置１０へ新通過規則を送信し、ＩＤ０５２の通信装置１０は、ＩＤ０４２，ＩＤ０５３の通信装置１０へ新通過規則を送信する（Ｓ１４）。
すると、ＩＤ０３１，ＩＤ０４２，ＩＤ０５３の通信装置１０は、新通過規則で通過させる通信データを、自通過規則が通過させるか否かを判定する（Ｓ１５）。なお、ＩＤ０４２の通信装置１０には、ＩＤ０４１とＩＤ０５２との２つの通信装置１０から新通過規則を受信するので、いずれか一方については破棄してよい。ここでは、ＩＤ０３１，ＩＤ０４２，ＩＤ０５３の通信装置１０はいずれも、自通過規則が通過させるため（Ｓ１５でＹＥＳ）、受信した新通過規則を、他通過規則として記憶する（Ｓ１６）。
【００２９】
次に、ＩＤ０３１，ＩＤ０４２，ＩＤ０５３の通信装置１０はそれぞれ、新通過規則の送信元の通信装置１０以外に、直接接続された通信装置１０があるか否かを判定する（Ｓ１３）。なお、新通過規則の送信元の通信装置１０とは、ＩＤ０３１の通信装置１０であれば、ＩＤ０４１の通信装置１０であり、ＩＤ０４２の通信装置１０であれば、ＩＤ０４１，ＩＤ０５２の通信装置１０であり、ＩＤ０５３の通信装置１０であれば、ＩＤ０５２の通信装置１０である。
ここでは、ＩＤ０３１の通信装置１０には、ＩＤ０２１，ＩＤ０３２の通信装置１０が接続されており、ＩＤ０４２の通信装置１０には、ＩＤ０３２，ＩＤ０４３の通信装置１０が接続されており、ＩＤ０５３の通信装置１０には、ＩＤ０４３，ＩＤ０５４の通信装置１０が接続されている。そのため、ＩＤ０３１の通信装置１０は、ＩＤ０２１，ＩＤ０３２の通信装置１０へ新通過規則を送信し、ＩＤ０４２の通信装置１０は、ＩＤ０３２，ＩＤ０４３の通信装置１０へ新通過規則を送信し、ＩＤ０５３の通信装置１０は、ＩＤ０４３，ＩＤ０５４の通信装置１０へ新通過規則を送信する（Ｓ１４）。
すると、ＩＤ０２１，ＩＤ０３２，ＩＤ０４３，ＩＤ０５４の通信装置１０は、新通過規則で通過させる通信データを、自通過規則が通過させるか否かを判定する（Ｓ１５）。なお、ＩＤ０３２，ＩＤ０４３の通信装置１０には、複数の通信装置１０から新通過規則を受信するので、１つだけ残し他は破棄してよい。ここでは、ＩＤ０２１，ＩＤ０３２，ＩＤ０４３の通信装置１０は、自通過規則が通過させるため（Ｓ１５でＹＥＳ）、受信した新通過規則を、他通過規則として記憶する（Ｓ１６）。一方、ＩＤ０５４の通信装置１０は、自通過規則が通過させないため（Ｓ１５でＮＯ）、受信した新通過規則を記憶せず、ＩＤ０５４の通信装置１０についての処理は終了する。
【００３０】
以上の処理を全ての通信装置１０についての処理が終了するまで繰り返すことにより、新通過規則は、部分システム４０に属する全ての通信装置１０に記憶される。
つまり、図５に示す処理を行うことにより、新通過規則で通過させる通信データを、同様に通過させる通信装置１０に新通過規則が記憶されるとともに、新通過規則で通過させる通信データを、同様に通過させる通信装置１０の通過規則が新通信装置１０に記憶される。
【００３１】
図６は、実施の形態１に係る通信システム１００における通信データの送信時の処理を示すフローチャートである。
（Ｓ２１：データ受信処理）
端末が直接接続された通信装置１０のデータ受信部１５は、端末から通信データを受信する。
【００３２】
（Ｓ２２：データ判定処理）
端末が直接接続された通信装置１０（入口の通信装置１０）のデータ判定部１６は、自通過規則が通信データを通過させるか否かを判定する。つまり、データ判定部１６は、通信データの送信元及び送信先として同一の会社が指定されており、かつ、送信元及び送信先が、自通信装置１０に割り当てられた会社の端末及びサーバであるか否かを判定する。
通過させると判定した場合（Ｓ２２でＹＥＳ）、処理をＳ２３へ進める。一方、通過させないと判定した場合（Ｓ２２でＮＯ）、通信データを破棄して、処理を終了する。
【００３３】
（Ｓ２３：再構成処理）
入口の通信装置１０のデータ送信部１７は、送信先のサーバが割り当てられた会社ＩＤと、送信元の端末が割り当てられた会社ＩＤとを通信データに追加して、通信データを再構成する。
【００３４】
（Ｓ２４：データ送信処理）
入口の通信装置１０のデータ送信部１７は、送信先のサーバへのルーティングを行い、ルーティングに従い、次の通信装置１０へ再構成した通信データを送信する。この際、データ送信部１７は、通信データとともに、ルーティングにより得られたルート情報も送信する。
なお、ルーティングでは、他通過規則に基づき、Ｓ２１で受信した通信データを通過させる通信装置１０のみを通るルートを特定する。
【００３５】
（Ｓ２５：データ転送処理）
通信データを受信した通信装置１０は、ルート情報に従い、通信データを次の通信装置１０へ送信する。
Ｓ２５を繰り返すことにより、最終的に、送信先のサーバに通信データが辿り着く。
【００３６】
例えば、図１に示すＩＤ０５３の通信装置１０に接続された端末３０が、サーバ２１へ通信データを送信する場合の動作は以下のようになる。
まず、ＩＤ０５３の通信装置１０は、送信元が端末３０であり、送信先がサーバ２１である通信データを端末３０から受信する（Ｓ２１）。すると、ＩＤ０５３の通信装置１０は、自通過規則が通信データを通過させるか否かを判定する（Ｓ２２）。ここでは、送信元及び送信先は同一の会社Ａであり、ＩＤ０５３の通信装置１０の自通過規則は送信元及び送信先が会社Ａの通信データを通過させるため（Ｓ２２でＹＥＳ）、通信データの再構成を行う（Ｓ２３）。
【００３７】
そして、ＩＤ０５３の通信装置１０は、ルーティングを行い（ここでは、ルーティングの結果、ＩＤ０５３，ＩＤ０５２，ＩＤ０４２，ＩＤ０３２，ＩＤ０２２，ＩＤ０１２，サーバ２１のルートが得られたとする）、次のＩＤ０５２の通信装置１０へ通信データを送信する（Ｓ２４）。
すると、ルーティングの結果に従い、ＩＤ０５２，ＩＤ０４２，ＩＤ０３２，ＩＤ０２２，ＩＤ０１２の順に通信データが送信され、最終的にサーバ２１に通信データが送信される（Ｓ２５）。
【００３８】
図６に示す処理を行うことにより、入口の通信装置１０が通過させると判定した通信データは、送信先のサーバまで送られ、入口の通信装置１０が通過させないと判定した通信データは、通信システム１００内を流れることなく、破棄される。
図６に示したフローチャートのＳ２３で入口の通信装置１０のデータ送信部１７は、送信先のサーバが割り当てられた会社ＩＤと、送信元の端末が割り当てられた会社ＩＤとを通信データに追加して、通信データを再構成している。しかし、Ｓ２３の処理は全ての通信装置１０で実施するように構成してもよい。そのときは、各通信装置１０で会社ＩＤが都度上書きされることになる。また端末にて、通信データに送信先のサーバが割り当てられた会社ＩＤと、送信元の端末が割り当てられた会社ＩＤとを通信データに追加して通信データを構成するようにしてもよい。
【００３９】
以上のように、実施の形態１に係る通信システム１００は、複数の通信装置１０をメッシュ接続して構成され、通信データを通過させるか否かを入口の通信装置１０が判断する。そのため、接続される端末数が増え、処理負荷が増えた場合には、通信装置１０を増設することにより、対応可能である。
したがって、システム構築時には、少ない通信装置１０で通信システム１００を構成しておき、テナント数（端末数）の増加に応じて通信装置１０を追加することが可能である。これにより、システムの初期コストを抑えつつ、テナント数（端末数）の増加にも対応可能となる。
【００４０】
また、通信システム１００では、通信装置１０を追加する場合、追加する通信装置１０に新通過規則を設定すれば、必要な他の通信装置１０へも自動的にコピーされる。そのため、大型のＦＷ等にありがちな複雑な設定作業は必要なく、必要最低限の設定作業のみ行えばよいので、設定に係る作業負荷を減らすことが可能である。
なお、各通信装置１０が自通過規則で通過させる通信データを、同様に通過させる他通信装置１０の他通過規則を記憶している。そのため、通信データを受信した場合に、送信先へのルーティングが可能となる。
【００４１】
各通信装置１０が割り当てられた会社の通信データのみ通過させるため、会社毎のネットワークを物理的に分離することもでき、逆に会社間でネットワークを物理的に共有しつつ、仮想的に分離することもできる。
これにより、セキュリティを高めることにも、コストを抑えることにも柔軟に対応可能である。
【００４２】
また、通信システム１００では、通過規則が必要な他の通信装置１０へも自動的にコピーされている。そのため、仮に１台の通信装置１０が故障した場合、他の通信装置１０で故障した通信装置１０の代替が可能である。そのため、単純にケーブルの接続を直すだけで、一時的な障害復旧が可能である。
仮に入口の通信装置１０が故障した場合、Ｓ２３に記した、送信先のサーバが割り当てられた会社ＩＤと、送信元の端末が割り当てられた会社ＩＤとを通信データに追加して、通信データを再構成する処理は、端末に接続される新たな入り口の通信装置１０が実施することになる。通信装置１０は、ケーブルを接続するポートにより接続されている機器が端末であるか、または他の通信装置１０であるかを判別できる。そのためポート位置を確認することにより、Ｓ２３の処理を実施するかしないかを判定することで、いずれの通信装置１０でも入口の通信装置１０に代替可能となる。
また、一部の通信装置１０を冗長構成とすることも可能であり、故障した通信装置１０によっては、通信システム１００全体には影響がでない場合もある。
一般に、大型のＦＷ等に比べ、小型のＦＷ等は汎用品であり、障害が発生する可能性も低い安定した製品である。したがって、障害発生頻度を少なくできる。
【００４３】
また、通信システム１００には、複数の会社の端末が接続されている。一般に、各会社では、ＩＰアドレスとしてグローバルアドレスではなくプライベートアドレスを端末に割り当てており、会社間でＩＰアドレスが重複している場合がある。しかし、通信システム１００では、Ｓ２３で入口の通信装置１０が通信データの再構成を行い、通信データに会社ＩＤを付与している。そのため、会社間でＩＰアドレスが重複していたとしても、端末を一意に特定することが可能である。
例えば、図１において、ＩＤ０２１，ＩＤ０２２，ＩＤ０３１，ＩＤ０３２の通信装置１０は、会社Ａ，Ｂの両方の通信データを通過させる。ここで、ＩＤ０５２に接続された端末３０と、ＩＤ０２１に接続された端末３１とに同じＩＰアドレスが割り当てられていたとする。この場合、ＩＤ０２１，ＩＤ０２２，ＩＤ０３１，ＩＤ０３２の通信装置１０では、ＩＰアドレスだけでは、ＩＤ０５２に接続された端末３０と、ＩＤ０２１に接続された端末３１とのどちらから送信された通信データであるか特定できない。しかし、入口の通信装置１０が通信データの再構成を行い、通信データに会社ＩＤを付与することで、どちらから送信された通信データであるか特定可能となる。
【００４４】
なお、図５に示すＳ１１では、新通信装置１０から新通過規則を受信し、受信した新通過規則に基づき、新通信装置１０の認証を行った。しかし、この場合、不正な通信装置１０が接続される恐れがある。
そこで、新通過規則等を新通信装置１０に設定する際、合わせて公開鍵暗号方式における秘密鍵を設定おき、新通信装置１０が、認証時に秘密鍵に基づき署名を作成して、接続された通信装置１０へ送信する。そして、署名を受信した通信装置１０は、秘密鍵に対応する公開鍵で署名を検証し、署名の確認ができた場合に、新通過規則に基づく認証を行うようにしてもよい。
【００４５】
また、図６に示す処理では、入口の通信装置１０でのみ、通信データを通過させるか否かの判定を行った。しかし、通信データが通過する各通信装置１０で通信データを通過させるか否かを判定してもよい。
【００４６】
また、上記説明では、通信データの送信元及び送信先の会社により、通信データを通過させるか否かを決定した。しかし、通信データのサービスの種類と、通信データの送信元及び送信先の会社との組合せにより、通信データを通過させるか否かを決定してもよい。
【００４７】
図７は、サービスの種類と会社との組合せにより通信データを通過させるか否かを決定する場合の通過規則を示す図である。図７では、ＩＤ０２１，ＩＤ０２２，ＩＤ０３１，ＩＤ０３２の通信装置１０の通過規則を一例として示す。
ＩＤ０２１，ＩＤ０２２，ＩＤ０３１，ＩＤ０３２の通信装置１０は、会社Ａ，Ｂに属するとした。そのため、通過規則には、通過させる会社として会社Ａ，Ｂが含まれている。ここで、通過規則では、会社Ａについては、サービスとしてメール及びウェブについては通過させるとし、会社Ｂについては、サービスとしてウェブのみ通過させるとしている。
つまり、通信データの送信元及び送信先が会社Ａであり、サービスがメール又はウェブである場合と、通信データの送信元及び送信先が会社Ｂであり、サービスがウェブである場合とは、通信データを通過させることが規定されている。
このように、サービスの種類と会社との組合せにより通信データを通過させるか否かを決定することで、より細かな通信データの制御が可能である。
【００４８】
図８は、図７に示すように通過規則を規定した場合に通信システム１００が構成するネットワークシステムの概念図である。
通信システム１００は、部分システム４０，４１，４２の３つのネットワークシステムを構成する。そして、各部分システム４０，４１，４２が、さらにサービス毎に仮想的に分離されたネットワークシステムに分かれている。
【００４９】
また、図５で説明した通過規則の送信処理と、図６で説明した通信データの送信処理は、非同期に実施される。また通過規則と通信データとは１つのケーブル内で通信されるが、データは識別情報を有し、通過規則の方が通信データより優先されて通信されるように構成してもよい。そのように構成することにより、通信装置１０間の制御が優先される。
【００５０】
実施の形態２．
実施の形態１では、通信データの送信元及び送信先に同じ会社が指定されていることを、通信データを通過させる条件とした。しかし、会社を跨いで通信データを送信する場合も考えられる。実施の形態２では、会社を跨いで通信データを送信する場合の処理について説明する。
実施の形態２に係る通信システム１００について、実施の形態１に係る通信システム１００と異なる部分を中心に説明する。
【００５１】
図９は、実施の形態２に係る通過規則を示す図である。図９では、ＩＤ０４３の通信装置１０の通過規則を一例として示す。
ＩＤ０４３の通信装置１０は、会社Ａ，Ｃに属するとした。そのため、通過規則には、通過させる会社として会社Ａ，Ｃが含まれている。ここで、通過規則では、会社Ａ，Ｃのどちらについても、サービスとしてメール及びウェブについては通過させるとしている。つまり、通信データの送信元が会社Ａ又は会社Ｃであり、サービスがメール又はウェブである場合、通信データを通過させるとしている。
また、Ａ社の規則におけるウェブについては、トンネル先としてＣ社が規定されている。トンネル先は、通信データを転送する先の会社を示す。つまり、通信データの送信元が会社Ａであり、サービスがウェブである場合、通信データを会社Ｃのサーバへ転送可能であるとしている。
【００５２】
図１０は、図９に示すように通過規則を規定した場合に通信システム１００が構成するネットワークシステムの概念図である。
通信システム１００は、部分システム４０，４１，４２の３つのネットワークシステムを構成する。そして、各部分システム４０，４１，４２が、さらにサービス毎に仮想的に分離されたネットワークシステムに分かれている。
そして、ＩＤ０４３の通信装置１０により、部分システム４０（会社Ａ）のウェブサービスの層から、部分システム４２（会社Ｃ）のウェブサービスの層へのパスが形成されている。このパスを用いて通信データを部分システム４０のウェブサービスの層から部分システム４２のウェブサービスの層へ流すことが可能である。
【００５３】
図１１は、実施の形態２に係る通信システム１００における通信データの送信時の処理を示すフローチャートである。
（Ｓ３１：データ受信処理）
端末が直接接続された通信装置１０のデータ受信部１５は、端末から通信データを受信する。ここでは、通信データの送信元の端末が属する会社（以下、第１グループ）と、通信データの送信先のサーバが属する会社（以下、第２グループ）とが異なる会社であるとする。
【００５４】
（Ｓ３２：データ判定処理）
入口の通信装置１０のデータ判定部１６は、自通過規則が通信データを通過させるか否かを判定する。つまり、データ判定部１６は、送信元が自通信装置１０に割り当てられた会社の端末であるか否かを判定する。
通過させると判定した場合（Ｓ３２でＹＥＳ）、処理をＳ３３へ進める。一方、通過させないと判定した場合（Ｓ３２でＮＯ）、通信データを破棄して、処理を終了する。
【００５５】
（Ｓ３３：再構成処理）
入口の通信装置１０のデータ送信部１７は、送信先のサーバが割り当てられた会社ＩＤと、送信元の端末が割り当てられた会社ＩＤとを通信データに追加して、通信データを再構成する。
【００５６】
（Ｓ３４：データ送信処理）
入口の通信装置１０のデータ送信部１７は、通信データで指定したサービスについて、第１グループから第２グループへの転送を行う中継通信装置１０へのルーティングを行い、ルーティングに従い、次の通信装置１０へ再構成した通信データを送信する。この際、データ送信部１７は、通信データとともに、ルーティングにより得られたルート情報も送信する。
なお、ルーティングでは、他通過規則に基づき、第１グループを送信元とした通信データを通過させる通信装置１０のみを通るルートを特定する。
【００５７】
（Ｓ３５：データ転送処理）
通信データを受信した通信装置１０は、ルート情報に従い、通信データを次の通信装置１０へ送信する。
Ｓ３５を繰り返すことにより、最終的に、中継通信装置１０に通信データが辿り着く。
【００５８】
（Ｓ３６：データ中継処理）
中継通信装置１０のデータ送信部１７は、送信先のサーバへのルーティングを行い、次の通信装置１０へ通信データを送信する。なお、データ送信部１７は、通信データとともに、ルーティングにより得られたルート情報も送信する。
なお、ルーティングでは、他通過規則に基づき、第２グループを送信元とした通信データを通過させる通信装置１０のみを通るルートを特定する。
【００５９】
（Ｓ３７：データ転送処理）
通信データを受信した通信装置１０は、ルート情報に従い、通信データを次の通信装置１０へ送信する。
Ｓ３７を繰り返すことにより、最終的に、送信先のサーバに通信データが辿り着く。
【００６０】
例えば、図１に示すＩＤ０５２の通信装置１０に接続された端末３０が、会社Ｃのサーバ２５（ウェブサーバ）へ通信データを送信する場合の動作は以下のようになる。
まず、ＩＤ０５２の通信装置１０は、送信元が端末３０であり、送信先がサーバ２５である通信データを端末３０から受信する（Ｓ３１）。すると、ＩＤ０５２の通信装置１０は、自通過規則が通信データを通過させるか否かを判定する（Ｓ３２）。ここでは、ＩＤ０５２の通信装置１０の自通過規則は送信元が会社Ａの通信データを通過させるため（Ｓ３２でＹＥＳ）、通信データの再構成を行う（Ｓ３３）。
【００６１】
そして、ＩＤ０５３の通信装置１０は、ウェブサービスについて会社Ａから会社Ｃへの転送を行うＩＤ０４３の通信装置１０へのルーティングを行い（ここでは、ルーティングの結果、ＩＤ０５３，ＩＤ０４３のルートが得られたとする）、次のＩＤ０５３の通信装置１０へ通信データを送信する（Ｓ３４）。
すると、ルーティングの結果に従い、ＩＤ０５３，ＩＤ０４３の順に通信データが送信される（Ｓ３５）。
【００６２】
ＩＤ０４３の通信装置１０は、サーバ２５へのルーティングを行い（ここでは、ルーティングの結果、ＩＤ０４４，ＩＤ０４５，ＩＤ０３５，サーバ２５のルートが得られたとする）、次のＩＤ０４４の通信装置１０へ通信データを送信する（Ｓ３６）。
すると、ルーティングの結果に従い、ＩＤ０４４，ＩＤ０４５，ＩＤ０３５の順に通信データが送信され、最終的にサーバ２５に通信データが送信される（Ｓ３７）。
【００６３】
以上のように、通信システム１００では、会社を跨いで通信データを送信する場合、２つの会社のどちらを送信元とした通信データも通過させる中継通信装置１０を経由させて、送信先へ通信データを送信する。
そのため、通信データを送信する端末は、特に会社を跨ぐことを意識する必要はなく、単に送信先を指定すればよい。
【００６４】
なお、図１１に示すＳ３２では、自通過規則が通信データを通過させるか否かのみ判定した。しかし、通信データで指定されたサービスについて、第１グループから第２グループへの転送を行う中継通信装置１０が存在するか否かも、併せて判定してもよい。そして、中継通信装置１０が存在しない場合にも、通信データを破棄して、処理を終了してもよい。
【００６５】
また、図１１に示す処理では、入口の通信装置１０でのみ、通信データを通過させるか否かの判定を行った。しかし、通信データが通過する各通信装置１０で通信データを通過させるか否かを判定してもよい。
この場合、Ｓ３６で、中継通信装置１０のデータ送信部１７は、通信データの送信元を送信先の会社に一時的に置き換える。これにより、中継通信装置１０から送信先のサーバまでに経由する通信装置１０を通信データが通過できる。なお、通信データの送信元を置き換える場合、本来の送信元を通信データに残しておく。これにより、例えば、サーバからの返信データの送信先を本来の送信元にすることができる。
【００６６】
また、上記説明では、例えば、会社Ａの端末３０が会社Ａのサーバ２１へ通信データを送信する場合、会社Ａの部分システム４０の通信装置１０のみを通信データが通るようにした。しかし、上述した会社を跨ぐという考え方を応用して、会社Ａの部分システム４０の２つの通信装置１０間を、他の会社の通信装置１０を介して仮想的に接続することも可能である。
【００６７】
実施の形態３．
実施の形態３では、実施の形態１，２で説明した通信システム１００において、通信データを効率的に送信先へ送信する方法について説明する。
【００６８】
実施の形態１では、図６のＳ２４で送信先のサーバへのルーティングを行い、ルーティングに従い、次の通信装置１０へ再構成した通信データを送信するとした。そして、実施の形態１では、ルーティングにより、１つのルートが特定されるものとして説明した。
しかし、入口の通信装置１０から送信先のサーバへのルートは、複数存在する場合がある。そこで、データを分割して各ルートへ流すことにより、各ルートのトラフィックを分散させる。
【００６９】
図１２は、実施の形態３に係る通信データの転送ルートを示す図である。図１２では、ＩＤ０５３の通信装置１０に接続された端末３０から、サーバ２１へ通信データを送信する場合を一例として示す。
図６のＳ２１からＳ２３まで実行され、Ｓ２４でＩＤ０５３の通信装置１０からサーバ２１へのルーティングがされる。ここでは、ＩＤ０５３，ＩＤ０５２，ＩＤ０４２，ＩＤ０３２，ＩＤ０２２，ＩＤ０２１，サーバ２１のルートＲ１と、ＩＤ０５３，ＩＤ０５２，ＩＤ０５１，ＩＤ０４１，ＩＤ０３１，ＩＤ０２１，ＩＤ０１１，ＩＤ０１２，サーバ２１のルートＲ２とが特定されたとする。つまり、ＩＤ０５２で分岐する２つのルートＲ１，Ｒ２が特定されたとする。
この場合、ＩＤ０５３の通信装置１０からＩＤ０５２の通信装置１０へは、通信データ全体を送信する。そして、ＩＤ０５２の通信装置１０で、通信データを２つに分け、一方をＩＤ０４２（ルートＲ１）へ送信し、他方をＩＤ０５１（ルートＲ２）へ送信する。そして、ＩＤ０４２へ送信された通信データは、ルートＲ１を通ってサーバ２１へ到達し、ＩＤ０５１へ送信された通信データは、ルートＲ２を通ってサーバ２１へ到達する。
【００７０】
以上のように、実施の形態３に係る通信システム１００では、送信先へのルートが複数存在する場合に、通信データを分割して各ルートへ流す。これにより、各通信装置１０に係る負荷を分散させることが可能である。
【００７１】
なお、通信装置１０は、送信先までの複数のルートのうち、トラフィックが所定値以下の空いているルートを特定するとしてもよい。そして、特定されたルートが複数ある場合には、通信データを分割して各ルートへ流し、１つだけしか特定されない場合には、そのルートへ全ての通信データを流す。トラフィックが所定値以下のルートがない場合には、最もトラフィックの少ないルートを１つ特定するとしてもよい。
【００７２】
また、通信データの分割の仕方は、データ量が均等になるように分割してもよいし、各ルートのトラフィックに応じてデータ量を調整してもよい。
【００７３】
次に、実施の形態における通信装置１０、通信サーバ２０のハードウェア構成について説明する。
図１３は、通信装置１０のハードウェア構成の一例を示す図である。
図１３に示すように、通信装置１０は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ  Ｃｒｙｓｔａｌ  Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
【００７４】
ＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
【００７５】
プログラム群９２３には、上記の説明において「規則受信部１２」、「規則判定部１３」、「規則送信部１４」、「データ受信部１５」、「データ判定部１６」、「データ送信部１７」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「通過規則」、「通信データ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００７６】
また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。
【符号の説明】
【００７７】
１０  通信装置、１１  通過規則記憶部、１２  規則受信部、１３  規則判定部、１４  規則送信部、１５  データ受信部、１６  データ判定部、１７  データ送信部、２０−２５  サーバ、３０−３２  端末、１００  通信システム。
【図１】
0005307264.tif 000002
【図２】
0005307264.tif 000003
【図３】
0005307264.tif 000004
【図４】
0005307264.tif 000005
【図５】
0005307264.tif 000006
【図６】
0005307264.tif 000007
【図７】
0005307264.tif 000008
【図８】
0005307264.tif 000009
【図９】
0005307264.tif 000010
【図１０】
0005307264.tif 000011
【図１１】
0005307264.tif 000012
【図１２】
0005307264.tif 000013
【図１３】
0005307264.tif 000014