(57)【要約】【課題】トラフィックが集中する被攻撃サーバを停止させることなく、正規のトラフィックを最大限に疎通させ、攻撃時においても最大限にサービス提供を継続する。【解決手段】単位時間毎に一定レートで発行され、予め決められたデータ量のパケット送出を許可するトークンを蓄積し、パケット送出時にパケットデータ量の分だけトークン蓄積手段に蓄積されているトークンを消費してトークンの残量を計算し、優先パケットの送出時にはトークンが不足していても優先パケットを送出してマイナス値となるトークン残量の計算を行い、計算の結果をトークン残量としてトークン蓄積装置に蓄え、トークン蓄積装置にて蓄積しているトークンの残量で送出許可できるパケットデータ量と送出したい非優先パケットのデータ量を比較して、等しいか前者が大きい場合に非優先パケットの送出を許可する。【選択図】図４
2007243298.tif 000002
【特許請求の範囲】
【請求項１】
供給される複数種別のパケットに対して非優先パケットの帯域を制御する帯域制御方法であって、
単位時間毎に一定レートで発行され、予め決められたデータ量のパケット送出を許可するトークンをトークン蓄積手段に蓄積し、
供給されるパケットのパケット種別を、優先パケットと非優先パケットに識別し、
パケット送出時にパケットデータ量の分だけ前記トークン蓄積手段に蓄積されているトークンを消費してトークンの残量を計算し、前記優先パケットの送出時にはトークンが不足していても前記優先パケットを送出してマイナス値となるトークン残量の計算を行い、計算の結果をトークン残量として前記トークン蓄積手段に蓄え、
前記トークン蓄積手段に蓄積されているトークンの残量で送出許可できるパケットデータ量と、送出したい前記非優先パケットのデータ量を比較して、等しいか前者が大きい場合に前記非優先パケットの送出を許可することを特徴とする帯域制御方法。
【請求項２】
前記非優先パケットを送出しないときに、前記非優先パケットを非優先パケット蓄積手段に蓄積し、
前記トークン蓄積手段にトークンが補給されて、前記トークン蓄積手段に前記非優先パケットの送出を許可できるだけトークンが蓄積された時点で、前記非優先パケットを順次送出することを特徴とする請求項１に記載の帯域制御方法。
【請求項３】
前記優先パケット、前記非優先パケットの他に中立パケットを定義し、
供給されるパケットのパケット種別を、前記優先パケットと、前記非優先パケット、前記中立パケットに識別し、
前記中立パケットを送出する場合についてはトークンを消費しないで送出を行うことを特徴とする請求項１または請求項２に記載の帯域制御方法。
【請求項４】
供給される複数種別のパケットに対して非優先パケットの帯域を制御する帯域制御装置であって、
供給されるパケットのパケット種別を優先パケットと非優先パケットに識別するパケット種別識別装置と、
予め決められたデータ量のパケット送出を許可するトークンを単位時間毎に一定レートで発行するトークン発行装置と、
トークン発行装置により発行されたトークンを蓄積するトークン蓄積装置と、
パケット送出時にパケットデータ量の分だけ前記トークン蓄積手段に蓄積されているトークンを消費してトークンの残量を計算し、前記優先パケットの送出時にはトークンが不足していても前記優先パケットを送出してマイナス値となるトークン残量の計算を行い、計算の結果をトークン残量として前記トークン蓄積装置に蓄えるトークン残量計算装置と、
前記トークン蓄積装置に蓄積されているトークンの残量で送出許可できるパケットデータ量と送出したい前記非優先パケットのデータ量を比較して、等しいか前者が大きい場合に前記非優先パケットの送出を許可する非優先パケット送出判断装置とを有することを特徴とする帯域制御装置。
【請求項５】
前記非優先パケットを送出しないときに前記非優先パケットを蓄積し、前記トークン蓄積手段にトークンが補給されて、前記トークン蓄積手段に前記非優先パケットの送出を許可できるだけトークンが蓄積された時点で、前記非優先パケットを順次送出するための非優先パケット蓄積装置とを有することを特徴とする請求項４に記載の帯域制御装置。
【請求項６】
前記優先パケット、前記非優先パケットの他に中立パケットを定義し、
前記パケット種別識別装置は、供給されるパケットのパケット種別を、前記優先パケットと、前記非優先パケット、前記中立パケットに識別し、
前記中立パケットを送出する場合については、トークンを消費しないで送出を行うことを特徴とする請求項４または請求項５に記載の帯域制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、帯域制御方法および帯域制御装置に係り、特に、優先パケットの利用による余剰帯域を非優先パケットが利用する際の、非優先パケットの帯域を制御するための帯域制御方法および帯域制御装置に関する。
【背景技術】
【０００２】
多くの端末から特定のｗｅｂサイト等にサーバの処理能力を超えるトラフィックを集中させてサービスの停止を引き起こす分散サービス停止（ＤＤｏＳ;Distributed Denial of Service）攻撃が増加しつつある。ＤＤｏＳ攻撃対策では、攻撃を検出し、これに基づいて行うトラフィック制御が考えられる。
攻撃検出系にて、各パケットに対し、正規トラフィックフロー（Ｌフロー）、攻撃トラフィックフロー（Ｍフロー）、いずれかの判定が出来ない容疑トラフィックフロー（Ｓフロー）を判定してパケットヘッダ等により区別できるようにした後、制御系において各パケットヘッダによりパケットがどのフローに属するかを識別して各フローに応じたトラフィック制御を行う。
ＤＤｏＳ攻撃時の対策の目標は、トラフィックが集中する被攻撃サーバを停止させることなく、正規のトラフィックを最大限に疎通させ、攻撃時においても最大限にサービス提供を継続できるようにすることである。
攻撃時にはネットワーク、サーバ等において相対的に設備量の小さな部分から輻輳するが、通常は被攻撃サーバがネックとなる。
【０００３】
このため、被攻撃サーバに向かうパケットのうち、Ｌフローに属するパケットは可能な限り疎通を確保し、Ｍフローのパケットは遮断する制御を行う。
Ｓフローのパケットについては、正規か攻撃かの判断がつかないパケットであるため、正規のパケットについて最大限の疎通を確保するために、被攻撃サーバの処理能力（Ｃｂｐｓ）についてＬフローに属するパケット処理の余剰処理能力分だけの疎通を確保するように帯域制御を行うことが必要となる。
すなわち、Ｌフローのトラフィック量をＬｂｐｓとすると（Ｃ−Ｌ）ｂｐｓのレートを実現する帯域制御が必要となる。このためには、Ｌフローのトラフィック量Ｌｂｐｓを測定し、これに応じて（Ｃ−Ｌ）ｂｐｓのレートを時々刻々調整する必要がある。
トラフィック量を実際に測定することなく容易に帯域制御を行う方式としてトークンバケット方式がある。
トークンバケット方式は、単位時間毎に一定レートのパケットの送出を許可するトークンを発行してパケットを送出させる毎にトークンを消費する方式である。トークンバケットを応用した様々な帯域制御が提案されている（下記、特許文献１参照）。
【０００４】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【特許文献１】特開２００４−３３６５４９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
トラフィックを測定してレートを時々刻々調整する煩雑さを回避するため、実際に測定することなく容易に帯域制御を行うトークンバケット方式の応用が考えられる。
しかしながら、前述の特許文献１などの従来の提案は、ネットワーク上でのサービス品質保証、トラフィックフロー間の公平性、余剰帯域の活用を目的としたもので、ＤＤｏＳ攻撃時の対策を目的とするものではない。
また、トラフィックを測定してトークン量を調整する方法、余ったトークンの再配置などを提案するもので方法も異なり、ＤＤｏＳ攻撃時の対策を可能とするものではない。
ＤＤｏＳ攻撃時の対策として、トラフィックが集中する被攻撃サーバを停止させることなく、正規のトラフィックを最大限に疎通させ、攻撃時においても最大限にサービス提供を継続できるようにすることを目標に、実際にトラフィック測定を行う煩雑さを伴わない帯域制御方法、帯域制御装置が要望される。
本課題に対する方法、装置として、優先キューと非優先キューとを設け、優先キューにＬフローに属する優先パケットを、非優先キューにＳフローに属する非優先パケットを入れ、両者から吐き出されるパケットを区別することなくまとめてトークンパケット方式などの絞り込み方式にて被攻撃サーバの処理能力Ｃのレートで絞り込む方法が考えられる。この場合には、優先キューと非優先キュー、即ち、キュー機能とこれに優先度を持たせるための機能を設ける必要がある。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、トラフィックが集中する被攻撃サーバを停止させることなく、正規のトラフィックを最大限に疎通させ、攻撃時においても最大限にサービス提供を継続可能とする技術として、優先、非優先キュー、即ち、キュー機能とこれに優先度を持たせるための機能を設けることなく実現する帯域制御方法、帯域制御装置を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００６】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
本発明の第１、２の帯域制御方法（本発明の請求項１、請求項２に係る帯域制御方法）の要点を図１で説明する。
トークンを被攻撃サーバなど制御対象の処理能力Ｃのレートで単位時間毎に補給する。パケット送出時に、該パケットのデータ量分だけトークンを消費する。但し、優先パケットについては、トークン不足時でもトークンを消費しトークン借りを認める。
非優先パケットでは、トークン不足時にはパケットを破棄する、あるいは、非優先パケット蓄積機能を設ける場合については、当該機能に並べ、トークンが補給されてパケット転送を許容できるだけ貯まった時点で順次送出する。
これにより、キュー機能とこれに優先度を持たせるための機能を設けることなく、かつ、優先パケットのフロー（Ｌ）を実際に測定することなく、（Ｃ−Ｌ）のレートで非優先パケットの帯域制御が可能となる。
即ち、本発明の第１、２の帯域制御方法は、単位時間毎に一定レートで発行され、予め決められたデータ量のパケット送出を許可するトークンをトークン蓄積手段に蓄積し、供給されるパケットのパケット種別を、優先パケットと非優先パケットに識別し、パケット送出時にパケットデータ量の分だけ前記トークン蓄積手段に蓄積されているトークンを消費してトークンの残量を計算し、前記優先パケットの送出時にはトークンが不足していても前記優先パケットを送出してマイナス値となるトークン残量の計算を行い、計算の結果をトークン残量として前記トークン蓄積手段に蓄え、前記トークン蓄積手段に蓄積されているトークンの残量で送出許可できるパケットデータ量と、送出したい前記非優先パケットのデータ量を比較して、等しいか前者が大きい場合に前記非優先パケットの送出を許可し、前記非優先パケットを送出しないときにパケットを破棄する、あるいは、前記非優先パケットを非優先パケット蓄積手段に蓄積し、前記トークン蓄積手段にトークンが補給されて、前記トークン蓄積手段に前記非優先パケットの送出を許可できるだけトークンが蓄積された時点で、前記非優先パケットを順次送出する。
これにより、キュー機能とこれに優先度を持たせるための機能を設けることなく、かつ、優先パケットのフロー（Ｌ）を実際に測定することなく、（Ｃ−Ｌ）のレートで非優先パケットの帯域を制御することが可能となる。
【０００７】
本発明の第３の帯域制御方法（本発明の請求項３に係る帯域制御方法）の要点を図２で説明する。
本発明の第３の帯域制御方法では、優先でもなく非優先でもない中立パケットに対する方式を示すものである。この中立パケットに対してはトークンを消費せずにパケットを送出する。
このため、本発明の第３の帯域制御方法では、供給されるパケットのパケット種別を、前記優先パケットと、前記非優先パケット、前記中立パケットに識別し、中立パケットを送出する場合についてはトークンを消費しないこととする。
本発明の請求項４〜請求項６に係わる帯域制御装置は、前述の本発明の請求項１〜請求項３に係わる帯域制御方法を実施するための帯域制御装置である。
【発明の効果】
【０００８】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、トラフィックが集中する被攻撃サーバを停止させることなく、正規のトラフィックを最大限に疎通させ、攻撃時においても最大限にサービス提供を継続することが可能となる。
【発明を実施するための最良の形態】
【０００９】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
［実施例１］
図３は、本発明の実施例１の帯域制御装置が適用されるネットワーク環境を示す図である。
図３に示すように、ユーザ網３とネットワーク事業者網４がアクセスリンクで接続され、ＤＤｏＳ攻撃を被る被攻撃サーバ１がユーザ網内にあり、ネットワーク事業者が該網のエッジにあたるエッジ装置２にて、本実施例の帯域制御装置を使用してＤＤｏＳ攻撃対策のための制御を行うケースを想定する。
エッジ装置２は、通常ルータ装置が考えられ、ルータが帯域制御方法を実施することになるが、ルータに付加する外部制御装置でもよい。
【００１０】
図４は、本発明の実施例１の帯域制御装置の概略構成を示すブロック図である。
パケット受信装置１０は、複数種別のパケットを受信し、パケット種別識別装置１１ヘパケットを転送する。
パケット種別識別装置１１は、パケットが優先パケットか非優先パケットを識別する。識別のための情報は図示していないが、別に設けてある攻撃検出系から予め受け取っておく。例えば、ＴＣＰのＳｙｎ−ｆｌｏｏｄ攻撃を想定すると、ＴＣＰのＳｙｎフラグが立ったパケットを非優先パケット、ＴＣＰのそれ以外のパケットは優先パケットとして識別するケースがありえる。
尚、このケースでは、背景技術にて説明した正規トラフィックフロー（Ｌフロー）が優先パケット（ＴＣＰのＳｙｎフラグの立たないパケット）、容疑トラフィックフロー（Ｓフロー）が非優先パケット（ＴＣＰのＳｙｎフラグの立ったパケット）に相当する。
Ｓｙｎ−ｆｌｏｏｄ攻撃の場合、攻撃パケットは全てＴＣＰのＳｙｎフラグの立ったパケットであるが、正規なパケットでもＴＣＰのＳｙｎフラグが立ったパケットがあるからである。
また、攻撃検出系にて攻撃パケットの発アドレスを特定した場合など攻撃トラフィックフロー（Ｍフロー）が検出できた場合は、図１の制御ポイントで攻撃パケットを遮断する制御を行うが、本発明には直接関係しないため以降説明はしない。
【００１１】
パケット種別識別装置１１において、優先パケットと識別されたパケットはトークン残量計算装置１３に転送される。
非優先パケットと識別されたパケットは、非優先パケット蓄積装置１５を設けない場合については、非優先パケット送出判断装置１２に転送される。非優先パケット蓄積装置１５を設ける場合については、非優先パケット蓄積装置１５が空きでなければ、非優先パケット蓄積装置１５に転送され、非優先パケット蓄積装置１５が空きであれば、非優先パケット送出判断装置１２に転送される。
トークン発行装置１６では、パケットの送出を許可するトークンを、単位時間毎に一定レートで発行する。例えば、被攻撃サーバ１など流入するトラフィックの総量を制御したい制御対象について、その処理能力をパケットの総量制限値Ｃｂｐｓとして制御する場合は、１秒間にＣビットのパケット送出を許可するトークンを一定レートで発行する。
トークン蓄積装置１７は、トークン発行装置１６が発行したトークンを蓄積する。
トークン残量計算装置１３は、優先パケット、または、非優先パケットの送出時に該パケットのデータ量の分だけ、トークン蓄積装置１７に蓄積されているトークンを消費してトークンの残量を計算し、その結果をトークン蓄積装置１７に蓄える。
ここで、優先パケットの送出時には、トークンが不足していても優先パケットを送出してトークン残量をマイナス値として計算し、計算の結果をトークン蓄積装置１７に蓄える。この処理のあと、優先パケットは、パケット送出装置１４に転送される。
【００１２】
非優先パケット送出判断装置１２は、トークン蓄積装置１７にて蓄積しているトークンの残量で、送出許可できるパケットデータ量と送出したい非優先パケットのデータ量を比較して、等しいか前者が大きい場合に非優先パケットの送出を許可する。
この比較は、パケット種別識別装置１１から、非優先パケットを受け取ったときには、非優先パケットとトークン残量を比較する。または、非優先パケット蓄積装置１５を設けるケースでは、トークン発行装置１６がトークンを発行したときに、非優先パケット蓄積装置１５の中で、例えば、最も時間が経過しているパケットなど次に送出すべきパケットとトークン残量を比較する。
送出を許可した非優先パケットは、トークン残量計算装置１３に転送される。送出を許可できない場合は、非優先パケット蓄積装置１５に該パケットを蓄積する。
パケット送出装置１４では、受信したパケットを本実施例の帯域制御装置から送出する。
【００１３】
図５−１は、本実施例の帯域制御装置の処理手順として、非優先パケット蓄積装置１５を設けたケースにおける処理手順を示すフローチャートである。
まず、本制御装置がパケットをパケット受信装置によりパケットを受信すると（ステップＳ１）、パケット種別識別装置１１は、該パケットを優先パケットか非優先パケットかを識別する（ステップＳ２）。
ステップＳ２におけるパケット識別結果が優先パケットであれば、優先パケットのデータ量だけトークンを消費する。即ち、トークン残量計算装置１３にて、トークン残量を計算して残量値をトークン蓄積装置１７に蓄積する（ステップＳ３）。このとき、計算結果としてマイナス値を許容する。その後、優先パケットを送出する（ステップＳ４）。
ステップＳ２におけるパケット識別結果が非優先パケットの場合であれば、非優先パケット蓄積装置１５が空きか否かを判断し（ステップＳ５）、ステップＳ５において非優先パケット蓄積装置１５が空きでなければ、非優先パケットを非優先パケット蓄積装置１５に入れる（ステップＳ９）。
ステップＳ５において非優先パケット蓄積装置１５が空きであれば、非優先パケットのデータ量とトークン蓄積装置１７に蓄積されたトークン残量を比較し（ステップＳ６）、トークン残量が等しいか多ければ、非優先パケットのデータ量だけトークンを消費、即ち、トークン残量計算装置１３にて、トークン残量を計算して残量値をトークン蓄積装置１７に蓄積する（ステップＳ７）。その後、非優先パケットを送出する（ステップＳ８）。
【００１４】
ステップＳ６において、トークン残量が非優先パケットのデータ量よりも少なければ、非優先パケットを非優先パケット蓄積装置１５に入れる（ステップＳ９）。
さらに、トークン発行装置１６により、トークンが所望の送出レートに合わせて一定時間間隔で発行され、トークン蓄積装置１７に蓄積されるが、トークンが発行されたときに（ステップＳ１１）、発行されたトークンをトークン蓄積装置１７に蓄積し（ステップＳ１２）、その後、非優先パケット送出判断装置１２が、非優先パケット蓄積装置１５において、次に送出すべき非優先パケットのデータ量と、トークン蓄積装置１７にあるトークン残量を比較し（ステップＳ１３）、トークン残量が等しいか多ければ、非優先パケットのデータ量だけトークンを消費、即ち、トークン残量計算装置１３にてトークン残量を計算して残量値をトークン蓄積装置１７に蓄積する（ステップＳ７）。その後、非優先パケットを送出する（ステップＳ８）。ステップＳ１３にてトークン残量が少なければ何もしない。
図５−２は、本実施例の帯域制御装置の処理手順として、非優先パケット蓄積装置１５を設けないケースにおける処理手順を示すフローチャートである。図５−２のフローチャートは、ステップＳ５、ステップＳ９、ステップＳ１３が省略され、ステップＳ９に代えてステップＳ９−１が追加される点で、図５−１のフローチャートと相異する。
非優先パケット蓄積装置１５を設けないケースでは、図５−１のステップＳ５の処理はなく、これに続くステップＳ９の処理もない。また、ステップＳ６において、非優先パケットのデータ量がトークン残量よりも大きければ、当該非優先パケットは破棄される（ステップＳ９−１）。さらに、トークン発行時（ステップＳ１１）に、特に、パケットに関する処理を行うことはなく、発行されたトークンをトークン蓄積装置１７に蓄積する（ステップＳ１２）。
以上説明したように、本実施例の帯域制御装置により、キュー機能とこれに優先度を持たせるための機能を設けることなく、かつ、優先パケットのトラフィック量を測定することなく、制御対象における優先パケットの余剰帯域を非優先パケットが最大限に利用できる帯域制御が可能となる。
【００１５】
［実施例２］
図６は、本発明の実施例２の帯域制御装置が適用されるネットワーク環境を示す図である。
前述の図３のケースにおいて、ユーザ網３に被攻撃サーバ１とは、別のサーバ５が存在するケースである。別のサーバ５は単数であっても複数であってもよい。
ネットワーク事業者が該網のエッジにあたるエッジ装置２にて、本実施例の帯域制御装置を使用してＤＤｏＳ攻撃対策のための制御を行うが、エッジ装置２に別のサーバ５へ向かうパケット（中立パケット）の通過があるため、本実施例の帯域制御装置では、中立パケットについて優先、非優先の制御に係らないように取り扱う必要がある。
図７は、本発明の実施例２の帯域制御装置の概略構成を示すブロック図である。
図７に示すブロック図の各装置において、図４に示すブロック図の各装置と機能が異なるのは、パケット種別識別装置１１である。
【００１６】
パケット種別識別装置１１は、パケットが優先パケットか非優先パケットか中立パケットかを識別する。識別のための情報は図示していないが別に設けてある攻撃検出系から予め受け取っておく。
中立パケットは、本実施例では、別のサーバ５ヘ向かうパケットである。攻撃検出系が被攻撃サーバ１を検出し、その宛先をパケット種別識別装置１１に知らせる。中立パケットは該宛先ではないパケットが相当するので、パケット種別識別装置１１は宛先を確認して中立パケットを識別する。
また、被攻撃サーバ１宛のパケットについては、例えば、ＴＣＰのステップＳｙｎ−ｆｌｏｏｄ攻撃を想定すると、ＴＣＰのステップＳｙｎフラグが立ったパケットを非優先パケット、ＴＣＰのそれ以外のパケットは優先パケットとして識別する。
パケット種別識別装置１１において、優先パケットと識別したパケットは、トークン残量計算装置１３に転送する。非優先パケットと識別したパケットは非優先パケット送出判断装置１２に転送する。中立パケットと識別したパケットはパケット送出装置１４へ転送する。パケット種別識別装置１１以外の装置は、図４に示す装置と同様の機能を有する。
【００１７】
図８は、本発明の実施例２の帯域制御装置として、非優先パケット蓄積装置１５を設けかつ、中立パケットの通過があるケースにおける処理手順を示すフローチャートである。
図８のフローチャートは、図５−１のステップＳ２で、パケット種別識別装置１１が中立パケットと識別した場合の処理を追加したもので、他の部分は図５−１と同様である。
ステップＳ２において、パケット種別識別装置１１が中立パケットと識別した場合は、パケット種別識別装置１１が、パケット送出装置１４に中立パケットを転送し、パケット送出装置１４が中立パケットを送出する（ステップＳ２１）。
以上により、被攻撃サーバ１と同じユーザ網３に位置する別のサーバ５に向かう中立パケットについては、トークンによる帯域制御を行わないように処理することができ、キュー機能とこれに優先度を持たせるための機能を設けることなく、かつ、優先パケットのトラフィック量を測定することなく、制御対象における優先パケットの余剰帯域を非優先パケットが最大限に利用できる帯域制御が可能となる。
なお、図示は省略するが、非優先パケット蓄積装置１５を設けないケースでの処理手順を示す図５−２のフローチャートのステップＳ２において、パケット種別識別装置１１が中立パケットと識別した場合に、パケット種別識別装置１１が、パケット送出装置１４に中立パケットを転送し、パケット送出装置１４が中立パケットを送出するようにしてもよい。
【００１８】
以上説明したように、本実施例によれば、キュー機能とこれに優先度を持たせるための機能を設けることなく、かつ、優先パケットのトラフィック量を測定することなく、制御対象における優先パケットの余剰帯域を非優先パケットが最大限に利用できる帯域制御が可能となる。
本実施例の帯域制御装置により、ＤＤｏＳ攻撃時において、その目標である、トラフィックが集中する被攻撃サーバを停止させることなく、正規のトラフィックを最大限に疎通させ、攻撃時においても最大限にサービス提供を継続することが可能となる。
さらに、被攻撃サーバ１に向かわないパケットが、本実施例の帯域制御装置を通過するケースにて必要となる中立パケットの疎通を妨げない対処も可能となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００１９】
【図１】本発明の第１、第２の帯域制御方法の要点を説明するための図である。
【図２】本発明の第３の帯域制御方法の要点を説明するための図である。
【図３】本発明の実施例１の帯域制御装置が適用されるネットワーク環境を示す図である。
【図４】本発明の実施例１の帯域制御装置の概略構成を示すブロック図である。
【図５−１】本発明の実施例１帯域制御装置の処理手順として、非優先パケット蓄積装置を設けたケースにおける処理手順を示すフローチャートである。
【図５−２】本発明の実施例１の帯域制御装置の処理手順として、非優先パケット蓄積装置を設けないケースにおける処理手順を示すフローチャートである。
【図６】本発明の実施例２の帯域制御装置が適用されるネットワーク環境を示す図である。
【図７】本発明の実施例２の帯域制御装置の概略構成を示すブロック図である。
【図８】本発明の実施例２の帯域制御装置として、非優先パケット蓄積装置を設けかつ、中立パケットの通過があるケースにおける処理手順を示すフローチャートである。
【符号の説明】
【００２０】
１  被攻撃サーバ
２  エッジ装置
３  ユーザ網
４  ネットワーク事業者網
５  別のサーバ
１０  パケット受信装置
１１  パケット種別識別装置
１２  非優先パケット送出判断装置
１３  トークン残量計算装置
１４  パケット送出装置
１５  非優先パケット蓄積装置
１６  トークン発行装置
１７  トークン蓄積装置
【図１】
2007243298.tif 000003
【図２】
2007243298.tif 000004
【図３】
2007243298.tif 000005
【図４】
2007243298.tif 000006
【図５−１】
2007243298.tif 000007
【図５−２】
2007243298.tif 000008
【図６】
2007243298.tif 000009
【図７】
2007243298.tif 000010
【図８】
2007243298.tif 000011