(57)【要約】【課題】利便性を損なわず且つ利用者に負担をかけずにネットワークの運用コストを低減する。【解決手段】制御部５はネットワークの状況を監視する監視手段でもあって、ネットワークの状況を表すパラメータとして前記単位時間当たりのパケット数を監視し、当該パケット数が第１のしきい値を超えたら、利用者に対して音や光などを使って利用者にネットワークの異常を報知し、第１のしきい値よりも大きい第２のしきい値を当該パケット数が超えたら、通信ポート部２i，３を通るパケットを制限し、さらに第２のしきい値よりも大きい第３のしきい値を当該パケット数が超えたら、通信ポート部２i，３を遮断している。【選択図】図１
2007150613.tif 000002
【特許請求の範囲】
【請求項１】
データ伝送機能を有し少なくとも２つの種類に分類される複数の機器とそれぞれ伝送路を介して接続され、伝送路を介してパケットを受け取ったときに当該パケットに対して処理を行うネットワーク装置において、
伝送路を介して接続された機器の種類を判別する種類判別手段と、種類判別手段で判別された機器の種類を記憶する記憶手段と、ネットワークの状況を監視する監視手段と、記憶手段を参照し送信元又は送信先の機器の種類に応じてパケットに対する処理の方式を変更するとともに監視手段で監視するネットワークの状況に応じてパケットに対する処理の方式を変更するパケット処理手段とを備えたことを特徴とするネットワーク装置。
【請求項２】
パケット処理手段は、特定の機器を送信元又は送信先とするパケット若しくは同種のデータを含むパケットの単位時間当たりの個数が所定のしきい値を超えたときに行うパケットカウントの処理方式と、ＳＰＩ（ステートフル・パケット・インスペクション）の処理方式とを少なくとも行うことを特徴とする請求項１記載のネットワーク装置。
【請求項３】
パケット処理手段は、ＳＰＩのパケット処理中に監視手段によってＳＰＩエラーが検出された場合に処理の方式を変更することを特徴とする請求項２記載のネットワーク装置。
【請求項４】
監視手段は、ネットワークの状況に関する情報を管理するセンタ装置から当該情報を取得することを特徴とする請求項１〜３の何れかに記載のネットワーク装置。
【請求項５】
記憶手段は、ウイルスやワームが動作する可能性の高い特定日を記憶し、監視手段は、前記特定日に基づいてネットワークの状況を監視することを特徴とする請求項１〜４の何れかに記載のネットワーク装置。
【請求項６】
記憶手段は、特定の機器を送信元又は送信先とするパケット若しくは同種のデータを含むパケットを受け取った履歴を記憶し、監視手段は、前記履歴に応じてネットワークの状況を監視することを特徴とする請求項１〜５の何れかに記載のネットワーク装置。
【発明の詳細な説明】
【技術分野】
【０００１】
データ伝送機能を有し少なくとも２つの種類に分類される複数の機器とそれぞれ伝送路を介して接続され、伝送路を介してパケットを受け取ったときに当該パケットに対して何らかの処理を行うネットワーク装置に関するものである。
【背景技術】
【０００２】
近年、インターネットの普及に伴ってウイルスやワームなどの不正なプログラムや、ＤｏＳ（Denial of Services：サービス距離攻撃）と呼ばれる不正なアクセスが急増しており、例えば、インターネットに接続されるパーソナルコンピュータには、ウイルスやワームなどの不正なプログラムを検出する機能（いわゆるウイルスチェック機能）などのセキュリティ機能が必須となっている。また、冷蔵庫やテレビ受像機などの機器にデータ伝送機能を付加して通信ケーブルのような伝送路に各機器を接続し、個々の機器間で伝送路を介したパケット交換を行ったり、あるいは伝送路に接続された外部の通信網（インターネットなど）から各機器を制御するといったことが行われている（例えば、特許文献１参照）。
【０００３】
ところで、コンピュータネットワークにおいては、利用者自らがパケットに対する処理（主にウイルスチェックなどのセキュリティに関する処理）の要否を判断して設定することが一般的に行われているが、上述のような機器を含むネットワークにおいては、パケットに対する処理機能を有する機器と有しない機器とが混在しており、パケット処理機能を有しない機器に代わってパケット処理を行うネットワーク装置が必要となる。
【０００４】
しかしながら、従来のネットワーク装置においてはパケット処理の要否やパケット処理の内容等を機器の種類（例えば、パケット処理機能を有する機器と有しない機器など）に応じて変更するように利用者が設定しなければならず、個々の機器の機能やネットワークに関する知識が必要となるために利用者に大きな負担を強いるという問題があった。
【０００５】
このような問題を解決するため、伝送路を介して接続された機器の種類を判別し、送信元又は送信先の機器の種類に応じてパケットに対する処理の方式を自動的に変更すれば、伝送路を介して接続される機器の種類毎に利用者がパケット処理の方式を判断して設定する必要がなく、利用者に負担をかけずに機器の種類に応じたパケット処理を行うことができる。
【特許文献１】特開２００１−３５０６７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、時々刻々と変化するネットワークの状況、例えば、ウイルスやワームの感染率が急激に上昇する等の状況に対応するために、上述のように機器の種類に応じたパケット処理の変更のみでは対処し得ず、専門知識を有するオペレータがネットワークの状況を常時監視して対処する必要があるために運用コストが大きくなったり、あるいは、オペレータによる常時監視ができない一般家庭ではネットワークの運用そのものが不可能であった。また、オペレータによる常時監視ができない場合にセキュリティのレベルを高くすると、ネットワークの自由度が損なわれ、利用者にとって不便が生じてしまう。
【０００７】
本発明は上記事情に鑑みて為されたものであり、その目的は、利便性を損なわず且つ利用者に負担をかけずにネットワークの運用コストが低減できるネットワーク装置を提供することにある。
【課題を解決するための手段】
【０００８】
請求項１の発明は、上記目的を達成するために、データ伝送機能を有し少なくとも２つの種類に分類される複数の機器とそれぞれ伝送路を介して接続され、伝送路を介してパケットを受け取ったときに当該パケットに対して処理を行うネットワーク装置において、伝送路を介して接続された機器の種類を判別する種類判別手段と、種類判別手段で判別された機器の種類を記憶する記憶手段と、ネットワークの状況を監視する監視手段と、記憶手段を参照し送信元又は送信先の機器の種類に応じてパケットに対する処理の方式を変更するとともに監視手段で監視するネットワークの状況に応じてパケットに対する処理の方式を変更するパケット処理手段とを備えたことを特徴とする。
【０００９】
請求項２の発明は、請求項１の発明において、パケット処理手段は、特定の機器を送信元又は送信先とするパケット若しくは同種のデータを含むパケットの単位時間当たりの個数が所定のしきい値を超えたときに行うパケットカウントの処理方式と、ＳＰＩ（ステートフル・パケット・インスペクション）の処理方式とを少なくとも行うことを特徴とする。
【００１０】
請求項３の発明は、請求項２の発明において、パケット処理手段は、ＳＰＩのパケット処理中に監視手段によってＳＰＩエラーが検出された場合に処理の方式を変更することを特徴とする。
【００１１】
請求項４の発明は、請求項１〜３の何れかの発明において、監視手段は、ネットワークの状況に関する情報を管理するセンタ装置から当該情報を取得することを特徴とする。
【００１２】
請求項５の発明は、請求項１〜４の何れかの発明において、記憶手段は、ウイルスやワームが動作する可能性の高い特定日を記憶し、監視手段は、前記特定日に基づいてネットワークの状況を監視することを特徴とする。
【００１３】
請求項６の発明は、請求項１〜５の何れかの発明において、記憶手段は、特定の機器を送信元又は送信先とするパケット若しくは同種のデータを含むパケットを受け取った履歴を記憶し、監視手段は、前記履歴に応じてネットワークの状況を監視することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、パケット処理手段が、記憶手段を参照し送信元又は送信先の機器の種類に応じてパケットに対する処理の方式を変更するとともに監視手段で監視するネットワークの状況に応じてパケットに対する処理の方式を変更するので、利便性を損なわず且つ利用者に負担をかけずにネットワークの運用コストが低減できる。
【発明を実施するための最良の形態】
【００１５】
本実施形態のネットワーク装置１は、いわゆるハブとして構成されており、それぞれに伝送路となる通信ケーブル（例えば、カテゴリー５ｅ又は６のＬＡＮケーブルなど）を介してデータ伝送機能を有する機器Ｍ１j，Ｍ２k（ｊ＝１，２，…，ｍ、ｋ＝１，２，…，ｌ）が接続される複数の通信ポート部２i（ｉ＝１，２，…，ｎ−１，ｎ）と、同じく伝送路となる通信ケーブルを介して上位のネットワーク機器であるルータＲと接続される通信ポート部３と、通信ポート部２i，３間の伝送経路を切り換えるパケット交換部４と、ＣＰＵを主構成要素としパケット交換部４を制御して伝送経路を切り換えさせる機能（経路切換機能）を有する制御部５と、通信ケーブルを介して各通信ポート部２i，３に接続されている複数の機器Ｍ１j，Ｍ２k並びにルータＲのＭＡＣ（Media Access Conrol：媒体アクセス制御）アドレスや後述する機器Ｍ１j，Ｍ２kの種類を記憶するための記憶部６とを備えている。このネットワーク装置１の例としてあげたハブ（集線装置）は、通信のセキュリティを管理するためにＭＩＢ（Management Information Base）と称する情報を利用する。ＭＩＢとは、ＳＮＭＰ（Simple Network Management Protocol）で管理されるノードが、自分の状態を外部に知らせるために公開する情報のことであり、ＲＦＣ  １１５６として規定されているＭＩＢ１以外に、ＲＦＣ  １２１３で規定されていて現在では一般的に広く使用されているＭＩＢ２が有る。このようなＭＩＢは、ネットワーク経路を通じてネットワーク装置１に収集されて利用可能となったり、予めネットワーク装置１に記録媒体経由で記憶更新されて使用される。なお、ルータＲは光ファイバケーブルや電話回線等の伝送媒体を介してインターネットと接続されており、同じくインターネットに接続されたセンタ装置（サーバＳ）等から機器Ｍ１j，Ｍ２kへのパケット及び機器Ｍ１j，Ｍ２kからサーバＳ等へのパケットは全てルータＲを経由して伝送される。
【００１６】
通信ポート部２i，３は、通信ケーブルの先端に設けられているＲＪ−４５のモジュラプラグが挿抜自在に接続されるモジュラジャックを具備している。また、パケット交換部４は多数のスイッチ要素を具備し、制御部５の制御下でスイッチ要素を駆動することにより任意の１つの通信ポート部２i又は３と他の１乃至複数の通信ポート部２i又は３との間の伝送経路を切り換えるものである。記憶部６は不揮発性メモリからなり、各通信ポート部２iに接続されている機器Ｍ１j，Ｍ２k並びに通信ポート部３に接続されているルータＲのＭＡＣアドレスを各通信ポート部２i，３と対応させて記憶している。但し、通信ポート部２i，３に接続されている機器Ｍ１j，Ｍ２kやルータＲのＭＡＣアドレスを取得する方法については従来周知であるから詳細な説明は省略する。
【００１７】
制御部５は、通信ポート部２i，３からパケット交換部４に入ってくるパケットの送信先のアドレス（ＭＡＣアドレス）を監視しており、例えば、通信ポート部３から入ってきたパケットの送信先のアドレスを記憶部６に記憶しているＭＡＣアドレスと照合し、送信先のアドレスと一致するＭＡＣアドレスの機器（例えば、Ｍ１1）が接続されている通信ポート部２1と通信ポート部３との間にのみ伝送経路が形成されるようにパケット交換部４を制御し、形成された伝送経路を介してパケットを通信ポート部２1に送り出させている。なお、上述のパケット交換処理はハブの一般的な機能である。
【００１８】
ところで、本実施形態のネットワーク装置１に接続される機器Ｍ１j，Ｍ２kには２つの種類がある。１つは、パーソナルコンピュータやテレビ受像機等の家電機器であって、以下、これらを第１グループの機器Ｍ１jと呼ぶ。もう１つは、照明器具を制御する照明用コントローラやインターホン機器等の設備機器であって、以下、これらを第２グループの機器Ｍ２kと呼ぶ。第１グループの機器Ｍ１jは、電子メール等の文字データの他に音声と映像の一方又は双方を含むマルチメディア伝送などを行うものであり、特にパーソナルコンピュータでは、利用者が新しいプログラムを導入することでデータ伝送のプロトコル（通信プロトコル）が変更される場合があるため、通常、自由度の高いネットワーク運用が必要となる。
【００１９】
一方、第２グループの機器Ｍ２kは、予め設定されている特定の通信プロトコルを用いて遠隔地に設置されているサーバＳを介して動作制御や動作監視が行われ、また、利用者が自由にプログラムを更新できる機能を備えていないから、第１グループの機器Ｍ１jに比べてセキュリティを重視したネットワーク運用が必要となる。
【００２０】
そこで本実施形態のネットワーク装置１においては、第１グループの機器Ｍ１ｊに対しては可能な限り自由度の高いネットワーク運用を可能とするパケット処理を行うとともに、第２グループの機器Ｍ２kに対してはセキュリティを高めるためのパケット処理を行っている。そのために制御部５では、各通信ポート部２i，３に接続されている機器の種類（第１グループ及び第２グループとその他）を判別し、判別した機器の種類を各通信ポート部２i，３と対応させて記憶部６に記憶させている。ここで、制御部５が機器の種類を判別する方法としては、例えば、パケットの送信元のアドレスに含まれるＭＡＣアドレスに基づいて当該送信元の機器の製造者（メーカー）や型番等から判別する方法や、あるいはＵＰｎＰ（ユニバーサル・プラグ・アンド・プレイ）の機能が本実施形態のネットワーク装置１と機器の双方に搭載されていれば当該ＵＰｎＰ機能を使うという方法がある。
【００２１】
次に、図２に示すフローチャートを参照しながら制御部５によるパケット処理の手順を説明する。
【００２２】
まず、何れかの通信ポート部２i又は３にパケットを受信すると（Ｓ１）、制御部５は当該パケットの送信元のアドレスを記憶部６の記憶内容と照合することで送信元の機器の種類を判別する（Ｓ２）。そして、送信元の機器が第２グループの機器Ｍ２kであれば、制御部５は何らパケット処理を行わず、パケット交換部４を制御して当該パケットを送信先のアドレスを有する機器が接続されている通信ポート部２i又は３にのみ転送させる（Ｓ３）。つまり、第２グループの機器Ｍ２kから送信されるデータ（パケット）は特定の通信プロトコルを用いた動作監視用の情報であるから、特にパケット処理を行わずに通過させても支障がないものである。
【００２３】
また、送信元の機器が第１グループの機器Ｍ２jであれば、制御部５は当該パケットの送信先のアドレスを記憶部６の記憶内容と照合することで送信先の機器の種類を判別する（Ｓ４）。そして、送信先の機器が第１グループの機器Ｍ１jであれば、制御部５は何らパケット処理を行わず、パケット交換部４を制御して当該パケットを送信先のアドレスを有する機器（第１のグループの機器Ｍ１j）が接続されている通信ポート部２iにのみ転送させる（Ｓ３）。つまり、第１グループの機器Ｍ１j同士が授受するデータ（パケット）については、自由度の高いネットワーク運用を可能とするために何らパケット処理を行わずに通過させることが望ましい。一方、送信先の機器が第２グループの機器Ｍ２kであれば、制御部５が予め決められたパケット処理（例えば、ウイルスチェックやＳＰＩなど）を当該パケットに対して実行し（Ｓ５）、パケット交換部４を制御してパケット処理後の当該パケットを送信先のアドレスを有する機器（第２のグループの機器Ｍ２k）が接続されている通信ポート部２iにのみ転送させる（Ｓ３）。つまり、第１グループの機器Ｍ１jから第２グループの機器Ｍ２kへ送信されたデータ（パケット）については、第２グループの機器Ｍ２kがウイルスチェック機能やＳＰＩ等のセキュリティに関する機能を有していないことから、ネットワーク装置１においてウイルスチェックやＳＰＩ等のパケット処理を代行する必要がある。
【００２４】
さらに、送信元の機器がルータＲであれば、制御部５は当該パケットの送信先のアドレスを記憶部６の記憶内容と照合することで送信先の機器の種類を判別する（Ｓ６）。そして、送信先の機器が第１グループの機器Ｍ１jであれば、制御部５は何らパケット処理を行わず、パケット交換部４を制御して当該パケットを送信先のアドレスを有する機器（第１のグループの機器Ｍ１j）が接続されている通信ポート部２iにのみ転送させる（Ｓ３）。つまり、ルータＲ（インターネット）から第１グループの機器Ｍ１jへのデータ（パケット）については、自由度の高いネットワーク運用を可能とするために何らパケット処理を行わずに通過させることが望ましい。一方、送信先の機器が第２グループの機器Ｍ２kであれば、制御部５が予め決められたパケット処理（例えば、ウイルスチェックやＳＰＩなど）を当該パケットに対して実行し（Ｓ５）、パケット交換部４を制御してパケット処理後の当該パケットを送信先のアドレスを有する機器（第２のグループの機器Ｍ２k）が接続されている通信ポート部２iにのみ転送させる（Ｓ３）。つまり、ルータＲ（インターネット）から第２グループの機器Ｍ２kへ送信されたデータ（パケット）についても、上述のようにネットワーク装置１においてウイルスチェックやＳＰＩ等のパケット処理を代行する必要がある。なお、ＳＰＩ（ステートフル・パケット・インスペクション）とは、通信プロトコルのシーケンスを含めてパケットをチェックする処理、例えば、同一の伝送経路を介して相互に転送されたパケットの間に矛盾がないかを確認する処理であって、不正なアクセスから端末を保護するためのセキュリティ機能の一つである。
【００２５】
上述のように、伝送路（通信ケーブル）を介して接続された機器の種類を種類判別手段たる制御部５で判別し、送信元又は送信先の機器の種類に応じてパケット処理手段たる制御部５がパケットに対して行う処理の方式、すなわち、パケット処理を行わずに通過させる方式と、ウイルスチェックやＳＰＩ等のセキュリティに関するパケット処理を行った後に転送する方式とが自動的に変更されるので、伝送路を介して接続される機器の種類（第１グループ又は第２グループ）毎に利用者がパケット処理の方式を判断して設定する必要がなく、利用者に負担をかけずに機器の種類に応じたパケット処理を行うことができる。
【００２６】
ここで本実施形態においては、各通信ポート部２i，３毎、並びに交換したパケットの種類毎に、パケット交換部４で単位時間当たりに交換したパケットの個数（パケット数）を制御部５でカウントするとともに、そのカウント値を記憶部６に記憶している。つまり、制御部５はネットワークの状況を監視する監視手段でもあって、ネットワークの状況を表すパラメータとして前記単位時間当たりのパケット数を監視し、当該パケット数が第１のしきい値を超えたら、利用者に対して音や光などを使って利用者にネットワークの異常を報知し、第１のしきい値よりも大きい第２のしきい値を当該パケット数が超えたら、通信ポート部２i，３を通るパケットを制限し、さらに第２のしきい値よりも大きい第３のしきい値を当該パケット数が超えたら、通信ポート部２i，３を遮断している。例えば、第１グループの機器Ｍ１jに属するパーソナルコンピュータがウイルスに感染して大量のパケットを送出した場合においても、本実施形態のネットワーク装置１においてパケットの量を自動的に制限してネットワークへの影響を最小限にとどめることが可能となり、その結果、利便性を損なわず且つ利用者に負担をかけずにネットワークの運用コストが低減できるものである。
【００２７】
また、制御部５で実行するＳＰＩのパケット処理においてエラーが発生した場合、例えば、ルータＲを経由して通信ポート部３から受信したパケットと、直前に通信ポート部３からルータＲへ伝送されたパケットとの間に矛盾があった場合、制御部５ではルータＲを経由して通信ポート部３から受信した前記パケットを破棄するとともに、上述の第１乃至第３のしきい値を下げることでネットワークのセキュリティレベルを引き上げる。但し、第１乃至第３のしきい値を下げた時点から所定時間が経過するまでの間に新たにエラーが発生しなければ、制御部５は第１乃至第３のしきい値を初期値に戻してセキュリティレベルを引き下げる。
【００２８】
さらに、上述のように記憶部６には単位時間当たりのパケット数が時系列で記憶されており、制御部５においては前記パケット数の履歴を監視し、パケット数が急激に増加すれば、第１グループの機器Ｍ１jに属するパーソナルコンピュータがウイルスに感染して大量のパケットを送出し始めた可能性があるため、上述の第１乃至第３のしきい値を下げることでネットワークのセキュリティレベルを引き上げる。
【００２９】
ところで、インターネットにおいてウイルスやワーム等の感染率が上昇している状況においては、ルータＲを介してインターネットと接続されている第１グループの機器Ｍ１jがそれらのウイルスやワーム等に感染する危険性が当然に高くなる。そこで、上述のようなウイルスやワーム等の発生状況に関する情報をサーバＳに蓄積しておき、例えば、１日に一度、あるいは１週間に一度というように定期的に制御部５が前記情報をサーバＳから取得して記憶部６に記憶し、当該情報に基づいてウイルスやワーム等に感染する危険性が高まっていると判断される場合に上述の第１乃至第３のしきい値を下げることでネットワークのセキュリティレベルを引き上げるようにしても構わない。
【００３０】
また、ウイルスやワームの中には特定の日付、例えば、１２月２５日（クリスマス）や１月１日（元旦）などに動作して障害を引き起こすものが存在しており、この種のウイルスやワームが動作する可能性の高い特定の日（予想日）に関する情報をサーバＳから取得して記憶部６に記憶しておき、制御部５が記憶部６に記憶した特定日の情報を監視し、当該特定日若しくはその前後数日間だけ上述の第１乃至第３のしきい値を下げることでネットワークのセキュリティレベルを引き上げるようにしても構わない。
【００３１】
ここで、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology）)と称する機器組み込み型ネットワーク技術（機器に簡単にミドルウェアを組み込んでネットワークに接続できる機能を備えるネットワーク技術、以降、ＥＭＩＴ技術と称する。）を用いることで、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal  Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）から様々な設備機器（照明装置、空調装置、動力装置、センサ、電気錠、ウェブカメラ等、以降、ＥＭＩＴ端末と称する。）＜図示せず＞にアクセスして、ＥＭＩＴ端末を遠隔監視・制御することができる。
【００３２】
尚、ＥＭＩＴ端末は、マイコン搭載の組み込み機器であり、機器組み込み型のネット接続用ミドルウェアでありＥＭＩＴ技術を実現するＥＭＩＴソフトウェアが搭載されている。例えば、本実施形態における第２グループの機器Ｍ２kにＥＭＩＴソフトウェアを搭載し、ＥＭＩＴ端末として用いることができる。
【図面の簡単な説明】
【００３３】
【図１】本発明の実施形態を示すブロック図である。
【図２】同上の動作説明用のフローチャートである。
【符号の説明】
【００３４】
１  ネットワーク装置
２1〜２n  通信ポート部
３  通信ポート部
４  パケット交換部
５  制御部
６  記憶部
Ｍ１1，Ｍ１2  第１グループの機器
Ｍ２1，Ｍ２2  第２グループの機器
Ｒ  ルータ
Ｓ  サーバ
【図１】
2007150613.tif 000003
【図２】
2007150613.tif 000004
【手続補正書】
【提出日】平成19年1月26日(2007.1.26)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００２
【補正方法】変更
【補正の内容】
【０００２】
近年、インターネットの普及に伴ってウイルスやワームなどの不正なプログラムや、ＤｏＳ（Denial of Services：サービス拒否攻撃）と呼ばれる不正なアクセスが急増しており、例えば、インターネットに接続されるパーソナルコンピュータには、ウイルスやワームなどの不正なプログラムを検出する機能（いわゆるウイルスチェック機能）などのセキュリティ機能が必須となっている。また、冷蔵庫やテレビ受像機などの機器にデータ伝送機能を付加して通信ケーブルのような伝送路に各機器を接続し、個々の機器間で伝送路を介したパケット交換を行ったり、あるいは伝送路に接続された外部の通信網（インターネットなど）から各機器を制御するといったことが行われている（例えば、特許文献１参照）。