(57)【要約】【課題】通信相手の通信装置へのデータの通信遅延が低減される通信装置、暗号化通信システム、プログラム、および暗号化通信方法を提供することを目的とする。【解決手段】中継装置に接続され、通信相手の通信装置と中継装置を介して通信可能な通信装置であって、通信相手の通信装置との間で構築されるＶＰＮを介して、暗号化通信する必要な通信速度が閾値以上か否かを判断する。通信速度が閾値未満と判断された場合、中継装置との間で構築されたＶＰＮを介して、所定のプロトコルのデータの暗号化通信を実行し、通信相手の通信装置との間で構築されたＶＰＮを介して、所定のプロトコル以外のデータの暗号化通信を実行する。【選択図】図９
2013211633.tif 000002
【特許請求の範囲】
【請求項１】
暗号化通信を中継する中継装置に接続され、通信相手の通信装置と前記中継装置を介して通信可能な通信装置であって、
前記中継装置とＶＰＮを構築する第１構築手段と、
前記第１構築手段により構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信手段と、
前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信手段と、
前記受信手段により前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築手段と、
前記第２構築手段により構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断手段と、
前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信手段と、を備え、
前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信手段は、前記所定のプロトコルのデータを暗号化通信すること
を特徴とする通信装置。
【請求項２】
前記判断手段は、前記第２構築手段により構築されたＶＰＮを介して暗号化通信されるデータを暗号化、または復号する処理の処理速度を含む前記必要な通信速度が前記閾値以上か否かを判断すること
を特徴とする請求項１記載の中継装置。
【請求項３】
前記判断手段は、前記第２構築手段により構築されたＶＰＮを介して前記通信相手の通信装置に送信されたデータが前記通信相手の通信装置において受信された時間情報を前記通信相手の通信装置から受信し、前記時間情報に基づき、前記必要な通信速度が前記閾値以上か否かを判断すること
を特徴とする請求項２記載の中継装置
【請求項４】
前記受信手段が、全プロトコルの暗号化データを前記第２構築手段により構築されるＶＰＮを介して暗号化通信させる指示である強制切替指示を含む前記第１要求通知を受信し、前記判断手段により、前記必要な通信速度が閾値未満と判断された場合、
前記第２構築手段により構築されたＶＰＮの暗号化強度よりも暗号化強度が低下するＶＰＮを前記第２構築手段は前記通信相手の通信装置と再度構築し、
前記第２暗号化通信手段は、全プロトコルのデータを前記第２構築手段により再度構築されたＶＰＮを介して暗号化通信すること
を特徴とする請求項３記載の通信装置。
【請求項５】
前記判断手段により前記必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信手段は前記所定のプロトコルとしてリアルタイムプロトコルのデータを暗号化通信し、前記第２暗号化通信手段は、前記所定のプロトコル以外のデータとしてリアルタイムプロトコル以外のデータを暗号化通信すること
を特徴とする請求項１〜４のいずれか記載の通信装置。
【請求項６】
前記第２暗号化通信手段により暗号化通信されるデータのデータ量を検出する検出手段を備え、
前記第１要求通知が受信された後に、前記受信手段が、全プロトコルのデータを前記第１暗号化通信手段により暗号化通信させる要求である第２要求通知を前記中継装置から受信した場合、前記検出手段は、前記第２要求通知が受信される前の受信前データ量と、前記第２要求通知が受信された後の受信後データ量とを検出し、
前記検出手段により検出された前記受信後データ量が前記受信前データ量よりも小さくなった場合に、前記第１暗号化通信手段は全プロトコルのデータを暗号化通信することを特徴とする請求項１〜５のいずれか記載の通信装置。
【請求項７】
暗号化通信を中継する中継装置に接続され、通信相手の通信装置と前記中継装置を介して通信可能な通信装置のコンピュータに、
前記中継装置とＶＰＮを構築する第１構築ステップと、
前記第１構築ステップにより構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信ステップと、
前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信ステップと、
前記受信ステップにより前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築ステップと、
前記第２構築ステップにより構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断ステップと、
前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信ステップと、を実行させ、
前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信ステップは、前記所定のプロトコルのデータを暗号化通信すること
を特徴とするプログラム。
【請求項８】
暗号化通信を中継する中継装置に接続され、通信相手の通信装置と前記中継装置を介して通信可能な通信装置の方法であって、
前記中継装置とＶＰＮを構築する第１構築ステップと、
前記第１構築ステップにより構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信ステップと、
前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信ステップと、
前記受信ステップにより前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築ステップと、
前記第２構築ステップにより構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断ステップと、
前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信ステップと、を備え、
前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信ステップは、前記所定のプロトコルのデータを暗号化通信すること
を特徴とする暗号化通信方法。
【請求項９】
通信装置と、その通信装置および通信相手の通信装置の間の暗号化通信を中継する中継装置とを備える暗号化通信システムであって、
前記通信装置は、
前記中継装置とＶＰＮを構築する第１構築手段と、
前記第１構築手段により構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信手段と、
前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信手段と、
前記受信手段により前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築手段と、
前記第２構築手段により構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断手段と、
前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信手段と、
前記中継装置は、
暗号化データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する中継装置検出手段と、
前記中継装置検出手段により検出された処理負荷が閾値以上か否かを判断する中継装置判断手段と、
前記中継装置判断手段により処理負荷が閾値以上と判断された場合、前記通信装置に前記第１要求通知と前記第１構築情報とを送信する中継装置送信手段と、
を備え、
前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信手段は、前記所定のプロトコルのデータを暗号化通信し、
前記中継装置送信手段により前記第１要求通知を前記通信装置に送信した後に、前記中継装置判断手段は、前記処理負荷が閾値以上か否かを再度判断し、
前記中継装置判断手段により、前記処理負荷が閾値以上と再度判断された場合、前記中継装置送信手段は、前記通信装置と前記通信相手の通信装置との間の暗号化通信以外の暗号化通信を実行する第１対の別の通信装置のうちの少なくともいずれか一方の別の通信装置に、通信相手の別の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第３要求通知と、前記通信相手の別の通信装置とＶＰＮを構築するための第２構築情報とを送信すること
を特徴とする暗号化通信システム。
【請求項１０】
前記中継装置検出手段は、データを復号する処理、およびデータを暗号化する処理の変換処理負荷のうち、前記通信装置、および前記通信相手の通信装置の暗号化通信に起因する処理負荷の次に割合が大きい処理負荷の原因となる暗号化通信を実行する第２対の別の通信装置を特定する特定手段を備え、
前記中継装置送信手段は、前記特定手段により特定された第２対の別の通信装置を前記第１対の別の通信装置として、前記第３要求通知と、前記第２構築情報とを前記第２対の別の通信装置の少なくとも何れか一方の別の通信装置に送信すること
を特徴とする請求項９記載の暗号化通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信相手の通信装置と暗号化通信を行う際に、中継装置の処理負荷に応じて、中継装置を中継するＶＰＮと中継しないＶＰＮとを使い分ける通信装置、暗号化通信システム、プログラム、および暗号化通信方法に関するものである。
【背景技術】
【０００２】
従来、インターネットまたは専用／公衆回線を介して、複数のノードの間において暗号化通信を行う技術が知られている。例えば、特許文献１に開示されている技術では、ＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  ｓｅｃｕｒｉｔｙ）等のプロトコルに準拠して送信側のノードにおいてパケットが暗号化され、受信側のノードで復号される。特許文献１に開示された技術では、ハブ＆スポーク型と呼ばれる形式で、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）が構築され、暗号化通信が行われる。ハブ＆スポーク型でＶＰＮが構築された場合、送信側のノードがパケットを暗号化する。送信側のノードは、暗号化されたパケットを中継ノードへ送信する。中継ノードは暗号化されたパケットを復号し、送信すべき受信側のノードを選択し、再びパケットを暗号化する。次に、中継ノードは、再び暗号化されたパケットを選択された受信側のノードに送信する。
【０００３】
特許文献１に開示された技術では、送信側のノードが、送信側のノードと中継ノードとの間のトラフィック量が閾値を越えたことを検出すると、送信側のノードと受信側のノードとの間に直接ＶＰＮを構築する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００４−１４０４８２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上述した特許文献１に記載された暗号化通信において、送信側のノードが、送信側のノードと中継ノードとの間のトラフィック量を検出する。中継ノードの処理負荷は、送信側ノードとの間のトラフィック量に起因するものの他に、他の受信側ノードとの間のトラフィック量に起因するものが含まれる。従って、中継ノードが接続された複数の送信側ノードとの間のトラフィック量を検出し、送信側のノードと受信側のノードとの間に直接ＶＰＮを構築する指示を送信することが望ましい。この構成では、ＶＰＮの構築指示を受信した送信側ノード、および受信側ノードは、送信側ノードと受信側ノードとの間でＶＰＮを構築し、暗号化通信を実行する。この送信側ノードと受信側ノードとの間の暗号化通信の通信速度は、送信側ノードと受信側ノードとの間の通信環境により、低下する可能性が考えられる。通信速度が低下すると、送信側ノードと受信側ノードとの間の暗号化されたデータの送受信が遅延したり、暗号化されたパケットが送受信できない恐れがある。
【０００６】
本発明は、上述した問題点を解決するためになされたものであり、通信相手の通信装置への暗号化データの通信遅延が低減される通信装置、暗号化通信システム、暗号化通信プログラム、および暗号化通信方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、請求項１記載の本発明は、暗号化通信を中継する中継装置に接続され、通信相手の通信装置と前記中継装置を介して通信可能な通信装置であって、前記中継装置とＶＰＮを構築する第１構築手段と、前記第１構築手段により構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信手段と、前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信手段と、前記受信手段により前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築手段と、前記第２構築手段により構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断手段と、前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信手段と、を備え、前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信手段は、前記所定のプロトコルのデータを暗号化通信することを特徴とするものである。
【０００８】
請求項１記載の通信装置によれば、必要な通信速度が閾値未満と判断された場合、第１暗号化通信手段は、所定のプロトコルのデータの暗号化通信を実行し、第２暗号化通信手段は、所定のプロトコル以外のデータの暗号化通信を実行する。これにより、所定のプロトコル以外のデータが、第２暗号化通信手段により暗号化通信されるので、そのデータの処理速度の低下が低減される。また、第１暗号化通信手段が、所定のプロトコルの暗号化データの暗号化通信を実行するので、中継装置の処理負荷が低減される。従って、通信相手の通信装置への暗号化データの通信遅延を低減することができる。
【０００９】
上記目的を達成するために、請求項２記載の本発明は、請求項１記載の通信装置であって、前記判断手段は、前記第２構築手段により構築されたＶＰＮを介して暗号化通信されるデータを暗号化、または復号する処理の処理速度を含む前記必要な通信速度が前記閾値以上か否かを判断することを特徴とするものである。
【００１０】
請求項２記載の通信装置によれば、第２構築手段により構築されたＶＰＮを介して暗号化通信されるデータを暗号化、または復号する処理の処理速度を含む通信速度が閾値以上か判断される。この結果、より正確に必要な通信速度が閾値以上か否かが判断される。従って、中継装置の処理負荷が低減される可能性、および通信相手の通信装置へのデータの通信遅延が低減される可能性を高くすることができる。
【００１１】
上記目的を達成するために、請求項３記載の本発明は、請求項２記載の通信装置であって、前記判断手段は、前記第２構築手段により構築されたＶＰＮを介して前記通信相手の通信装置に送信されたデータが前記通信相手の通信装置において受信された時間情報を前記通信相手の通信装置から受信し、前記時間情報に基づき、前記必要な通信速度が前記閾値以上か否かを判断することを特徴とするものである。
【００１２】
請求項３記載の通信装置によれば、時間情報に基づき、必要な通信速度が前記閾値を超えたか否かが判断される。この結果、より正確に必要な通信速度が閾値以上か否かが判断される。従って、中継装置の処理負荷が低減される可能性、および通信相手の通信装置へのデータの通信遅延が低減される可能性を高くすることができる。
【００１３】
上記目的を達成するために、請求項４記載の本発明は、請求項３記載の通信装置であって、前記受信手段が、全プロトコルのデータを前記第２構築手段により構築されるＶＰＮを介して暗号化通信させる指示である強制切替指示を含む前記第１要求通知を受信し、前記判断手段により、前記必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮの暗号化強度よりも暗号化強度が低下するＶＰＮを前記第２構築手段は、前記通信相手の通信装置と再度構築し、前記第２暗号化通信手段は、全プロトコルのデータを前記第２構築手段により再度構築されたＶＰＮを介して暗号化通信することを特徴とするものである。
【００１４】
請求項４記載の通信装置によれば、強制切替指示が第１要求通知に含められている場合、第２構築手段により構築されたＶＰＮの暗号化強度よりも暗号化強度が低下するＶＰＮが構築される。これにより、暗号化強度が低下する分だけ、第２暗号化通信手段により暗号化通信されるデータの処理速度の低下が低減される。従って、第２暗号化通信手段が全プロトコルのデータを暗号化通信した場合においても、通信相手の通信装置への暗号化データの通信遅延を低減することができる。
【００１５】
上記目的を達成するために、請求項５記載の本発明は、請求項１〜４のいずれか記載の通信装置であって、前記判断手段により前記必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信手段は前記所定のプロトコルとしてリアルタイムプロトコルのデータを暗号化通信し、前記第２暗号化通信手段は、前記所定のプロトコル以外のデータとしてリアルタイムプロトコル以外のデータを暗号化通信することを特徴とするものである。
【００１６】
請求項５記載の通信装置によれば、通信速度が閾値未満と判断された場合、第１暗号化通信手段は、リアルタイムプロトコルのデータの暗号化通信を実行し、第２暗号化通信手段は、リアルタイムプロトコル以外のデータの暗号化通信を実行する。これにより、リアルタイムプロトコル以外のデータの暗号化通信が第２暗号化通信手段により実行される分だけ中継装置の処理負荷が低減する。この中継装置の処理負荷が低減された状態で、リアルタイム性が要求されるリアルタイムプロトコルのデータが、第１暗号化通信手段により暗号化通信されるので、リアルタイム性が要求されるデータの通信遅延を低減することができる。
【００１７】
上記目的を達成するために、請求項６記載の本発明は、請求項１〜５いずれか記載の通信装置であって、前記第２暗号化通信手段により暗号化通信されるデータのデータ量を検出する検出手段を備え、前記第１要求通知が受信された後に、前記受信手段が、全プロトコルの暗号化データを前記第１暗号化通信手段により暗号化通信させる要求である第２要求通知を前記中継装置から受信した場合、前記検出手段は、前記第２要求通知が受信される前の受信前データ量と、前記第２要求通知が受信された後の受信後データ量とを検出し、前記検出手段により検出された前記受信後データ量が前記受信前データ量よりも小さくなった場合に、前記第１暗号化通信手段は全プロトコルの暗号化データを暗号化通信することを特徴とするものである。
【００１８】
請求項６記載の通信装置によれば、第２検出手段により検出された受信後データ量が受信前データ量よりも小さくなった場合に、第１暗号化通信手段は全プロトコルのデータを暗号化通信する。これにより、第１暗号化通信手段が全プロトコルのデータを暗号化通信した場合の中継装置の処理負荷が、第１切替指示を受信した状態における中継装置の処理負荷よりも小さくなる。従って、第１暗号化通信手段が全プロトコルのデータの暗号化通信を実行した場合においても、通信相手の通信装置へのデータの通信遅延を低減することができる。
【００１９】
上記目的を達成するために、請求項７記載の本発明は、暗号化通信を中継する中継装置に接続され、通信相手の通信装置と前記中継装置を介して通信可能な通信装置のコンピュータに、前記中継装置とＶＰＮを構築する第１構築ステップと、前記第１構築ステップにより構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信ステップと、前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信ステップと、前記受信ステップにより前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築ステップと、前記第２構築ステップにより構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断ステップと、前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信ステップと、を実行させ、前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信ステップは、前記所定のプロトコルのデータを暗号化通信することを特徴とするプログラムである。
【００２０】
上記目的を達成するために、請求項８記載の本発明は、暗号化通信を中継する中継装置に接続され、通信相手の通信装置と前記中継装置を介して通信可能な通信装置の方法であって、前記中継装置とＶＰＮを構築する第１構築ステップと、前記第１構築ステップにより構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信ステップと、前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信ステップと、前記受信ステップにより前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築ステップと、前記第２構築ステップにより構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断ステップと、前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信ステップと、を備え、前記判断ステップにより必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信ステップは、前記所定のプロトコルのデータを暗号化通信することを特徴とする方法である。
【００２１】
上記目的を達成するために、請求項９記載の本発明は、通信装置と、その通信装置および通信相手の通信装置の間の暗号化通信を中継する中継装置とを備える暗号化通信システムであって、前記通信装置は、前記中継装置とＶＰＮを構築する第１構築手段と、前記第１構築手段により構築されたＶＰＮ、および前記中継装置を介して前記通信相手の通信装置と暗号化通信する第１暗号化通信手段と、前記中継装置の処理負荷が閾値よりも大きくなった場合、前記通信相手の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第１要求通知と、前記通信相手の通信装置とＶＰＮを構築するための構築情報とを前記中継装置から受信する受信手段と、前記受信手段により前記第１要求通知を受信した場合、前記構築情報に基づき、前記通信相手の通信装置とＶＰＮを構築する第２構築手段と、前記第２構築手段により構築されたＶＰＮを介してデータが暗号化通信されるのに必要な通信速度が閾値以上か否かを判断する判断手段と、前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第２構築手段により構築されたＶＰＮを介して所定のプロトコル以外のデータを前記通信相手の通信装置と暗号化通信する第２暗号化通信手段と、前記中継装置は、暗号化データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する中継装置検出手段と、前記中継装置検出手段により検出された処理負荷が閾値以上か否かを判断する中継装置判断手段と、前記中継装置判断手段により処理負荷が閾値以上と判断された場合、前記通信装置に前記第１要求通知と前記第１構築情報とを送信する中継装置送信手段と、を備え、前記判断手段により必要な通信速度が閾値未満と判断された場合、前記第１暗号化通信手段は、前記所定のプロトコルのデータを暗号化通信し、前記中継装置送信手段により前記第１要求通知を前記通信装置に送信した後に、前記中継装置判断手段は、前記処理負荷が閾値以上か否かを再度判断し、前記中継装置判断手段により、前記処理負荷が閾値以上と再度判断された場合、前記中継装置送信手段は、前記通信装置と前記通信相手の通信装置との間の暗号化通信以外の暗号化通信を実行する第１対の別の通信装置のうちの少なくともいずれか一方の別の通信装置に、通信相手の別の通信装置と前記中継装置を中継せずに暗号化通信させる要求である第３要求通知と、前記通信相手の別の通信装置とＶＰＮを構築するための第２構築情報とを送信すること
を特徴とするものである。
【００２２】
請求項９記載の暗号化通信システムによれば、中継装置判断手段により再度検出された処理負荷が閾値以上と判断された場合、中継装置送信手段は、前記第１対の別の通信装置のうちの少なくともいずれか一方の別の通信装置に、第３切替指示と第２構築情報とを送信する。これにより、第３切替指示を受信した通信装置と通信相手の通信装置との暗号化通信処理において、通信相手の通信装置へのデータの通信遅延を低減することができる。この通信遅延の低減と共に、切替完了通知を受信した中継装置において処理負荷をさらに低減できる。
【００２３】
上記目的を達成するために、請求項１０記載の本発明は、請求項９記載の暗号化通信システムであって、前記中継装置検出手段は、データを復号する処理、およびデータを暗号化する処理の変換処理負荷のうち、前記通信装置、および前記通信相手の通信装置の暗号化通信に起因する処理負荷の次に割合が大きい処理負荷の原因となる暗号化通信を実行する第２対の別の通信装置を特定する特定手段を備え、前記中継装置送信手段は、前記特定手段により特定された第２対の別の通信装置を前記第１対の別の通信装置として、前記第３要求通知と、前記第２構築情報とを前記第２対の別の通信装置の少なくとも何れか一方の別の通信装置に送信することを特徴とするものである。
【００２４】
請求項１０記載の暗号化通信システムによれば、中継装置判断手段により再度検出された処理負荷が大きいと判断された場合、中継装置送信手段は、中継装置の処理負荷に占める割合の大きい２つの通信装置から、中継装置を介さずに暗号化通信を実行させる。これにより、中継装置の処理負荷をさらに低減できる。
【図面の簡単な説明】
【００２５】
【図１】本実施形態に係る暗号化通信システム１の概要構成を示す図である。
【図２】暗号化通信システム１におけるルータ２のハードウェア図である。
【図３】ＳＰＤの内容を表す模式図である。
【図４】ＳＡＤの内容を表す模式図である。
【図５】ルータ６の処理負荷が大きい場合の、暗号化パケットがＩＰ電話機２１からＩＰ電話機３１へ送信される処理を表すシーケンス図である。
【図６】ＶＰＮがメインモードで構築される際の処理を表すシーケンス図である。
【図７】ＶＰＮがアグレッシブモードで構築される際の処理を表すシーケンス図である
【図８】暗号化パケットの内容を表す模式図である。
【図９】ルータ２のメイン処理を示すフローチャートである。
【図１０】ルータ２、およびルータ３が、ダミーパケットを暗号化、および復号する処理と、ダミーパケットを送受信する時刻とを表す図である。
【図１１】ルータ６のメイン処理を示すフローチャートである。
【発明を実施するための形態】
【００２６】
図１を参照して本発明の一実施形態に係る暗号化通信システム１について説明する。図１は、暗号化通信システム１の概要構成を示す図である。
【００２７】
暗号化通信システム１は、ルータ２〜６と、ＩＰ電話機２１、３１、４１、５１と、パーソナルコンピュータ（ＰＣ）２２、３２、４２、５２とを備える。ＩＰ電話機２１、３１、４１、５１、およびＰＣ２２、３２、４２、５２は、ルータ２〜５とＬＡＮを介して接続する。ルータ２〜５は、ルータ６とＶＰＮを構築する。ＶＰＮは、ＩＰ網に構成される仮想的な私設網である。すなわち、ルータ２〜６はＶＰＮゲートウェイである。ルータ２〜５が、本発明の通信装置の一例である。ルータ６が本発明の中継装置の一例である。
【００２８】
ルータ２〜５は、それぞれＩＰ電話機２１、３１、４１、５１、およびＰＣ２２、３２、４２、５２から送信されたパケットを暗号化する。次に、ルータ２〜５は、暗号化されたパケットをルータ６に送信する。ルータ６は、暗号化されたパケットを受信すると、この暗号化されたパケットを復号する。次に、ルータ６は、復号されたパケットを暗号化し、受信元のルータとは異なるルータ２〜５に送信する。ルータ２〜５は、暗号化されたパケットを復号する。ルータ２〜５は、復号したパケットを、ＩＰ電話機２１、３１、４１、５１、およびＰＣ２２、３２、４２、５２に送信する。すなわち、ＩＰ電話機２１、３１、４１、５１、およびＰＣ２２、３２、４２、５２から送信されたパケットはルータ６を介してＩＰ電話機２１、３１、４１、５１、およびＰＣ２２、３２、４２、５２に送信される。この暗号化通信の形態はハブ＆スポーク型と呼ばれ、ルータ２〜５がスポーク、ルータ６がハブに相当する。
【００２９】
インターネットに構築されるＶＰＮを介して暗号化通信される際に、本実施形態では、例えば、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）が採用される。ＩＰｓｅｃは、ネットワーク層においてデータを暗号化するプロトコルである。ＩＰｓｅｃはＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ）、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｅｄ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）、ＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）などの複数のプロトコルから構成される。これらのプロトコルは公知であるので簡単に説明する。
【００３０】
ＡＨは認証機能を有するセキュリティプロトコルである。ＥＳＰは、ペイロード部に対して暗号化するセキュリティプロトコルである。ＩＫＥは鍵交換を行うプロトコルである。
【００３１】
[ルータのハードウェア構成]
図２を参照して、ルータ２のハードウェア構成を説明する。ルータ３〜６のハードウェア構成は、ルータ２のハードウェア構成と同等であるので、説明を省略する。ルータ２は、ＣＰＵ１１、フラッシュメモリ１２、ＲＡＭ１３、ＷＡＮ側の通信インタフェース１４、およびＬＡＮ側の通信インタフェース１５を備える。ＣＰＵ１１、フラッシュメモリ１２、ＲＡＭ１３、ＷＡＮ側の通信インタフェース１４、およびＬＡＮ側の通信インタフェース１５はバスを介して接続される。フラッシュメモリ１２は、ＣＰＵ１１により処理される後述のメイン処理などの制御プログラムを記憶する。フラッシュメモリ１２は後述するＳＡＤ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  Ｄａｔａｂａｓｅ）として、ＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）を記憶する。フラッシュメモリ１２は、ＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）として、ＳＰ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ）を記憶する。ＲＡＭ１２は、ＣＰＵ１１が制御プログラムを実行する際の一時的なデータを記憶する。ＷＡＮ側の通信インタフェース１４は、ＬＡＮケーブルが接続されるポートを含み、ルータ６との間でＩＰ網に構築されたＶＰＮを介して暗号化されたパケットの送受信を行う。ＬＡＮ側の通信インタフェース１５は、ＬＡＮケーブルが接続されるポートを含み、ＬＡＮケーブルを介してＰＣ７との間で暗号化されていないパケットの送受信を行う。ルータ６のＬＡＮ側の通信インタフェースは、ＬＡＮケーブルを介してプライベートネットワークに接続される。図示しないＳＩＰサーバがプライベートネットワークに接続されており、ルータ６とＳＩＰサーバとは、プライベートネットワークを介して接続される。ＣＰＵ１１が本発明のコンピュータの一例である。
【００３２】
図３を参照して、ＳＰＤを説明する。ＳＰＤはＳＰを記憶するデータベースである。ＳＰは、暗号化通信が可能な２つのルータとの間で暗号化通信するか否かを示す情報である。ＳＰは、送信元アドレス、宛先アドレス、上位層プロトコル、および動作などを１レコードに関連付けて記憶している。送信元アドレスは、パケットの送信元のＩＰ電話機、またはＰＣのＩＰアドレスである。宛先アドレスは、パケットの宛先のＩＰ電話機、またはＰＣのＩＰアドレスである。上位層プロトコルは、ペイロード部に含まれるパケットのプロトコルである。動作は、暗号化通信するか否かの情報である。図３では、暗号化通信せずに通信させる場合、動作の欄にＡｃｃｅｐｔが記憶され、ＩＰｓｅｃにより暗号化通信する場合、動作の欄にＩＰｓｅｃが記憶される。
【００３３】
図４を参照して、ＳＡＤを説明する。ＳＡＤはＳＡを記憶するデータベースである。ＳＡは、暗号化通信する２つのルータとの間で確立されるコネクションである。ＳＡは、送信元アドレス、宛先アドレス、始点アドレス、終点アドレス、セキュリティプロトコル、上位層プロトコル、ＳＰＩ（Ｓｅｃｕｒｉｔｙ  Ｐａｒａｍｅｔｅｒ  Ｉｎｄｅｘ）、暗号鍵、および暗号化アルゴリズムなどを１レコードに関連付けて記憶する。始点アドレスは、暗号化されたパケットを送信するルータのＩＰアドレスである。終点アドレスは、暗号化されたパケットを受信するルータのＩＰアドレスである。セキュリティプロトコルとしては、ＡＨ、またはＥＳＰが指定される。ＳＰＩはＳＡを識別する情報である。暗号鍵は、２つのルータが暗号化通信する際に、パケットの暗号化に使用される鍵である。暗号化アルゴリズムは、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣなどのアルゴリズムである。
【００３４】
図５を参照して、ＩＰ電話機２１からＩＰ電話機３１にパケットが送信される際のシーケンスを説明する。
【００３５】
［ルータ６の処理負荷が小さい場合の動作］
Ｓ１において、ルータ２とルータ６とがＶＰＮを構築する。次に、Ｓ２においてルータ６とルータ３とがＶＰＮを構築する。Ｓ１の処理を実行するルータ２のＣＰＵ１１が本発明の第１構築手段の一例である。Ｓ１の処理が本発明の第１構築ステップの一例である。
【００３６】
Ｓ１、およびＳ２におけるＶＰＮの構築について、図６、および図７を参照して説明する。図６、および図７は、ルータ２とルータ６との間にＶＰＮが構築されるＳ１の処理の一例を示す。ＶＰＮが構築されるには、暗号化通信する２つのルータの間において、ＳＡが生成されなければならない。ＳＡはＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）により、動的に生成される。このＳＡの生成過程において、ルータ２、およびルータ６はフェーズ１とフェーズ２と呼ばれる公知の処理を実行する。フェーズ１は、メインモードとアグレッシブモードとのどちらか一方のモードにより処理される。フェーズ１、およびフェーズ２の処理の実行が完了すると、ルータ２とルータ６との間にＶＰＮが構築される。図６はメインモードでフェーズ１の処理が実行されるシーケンス図である。図７はアグレッシブモードでフェーズ１の処理が実行されるシーケンス図である。
【００３７】
［メインモード］
図６に示すＳ１０１において、ルータ２は、ＩＳＡＫＭＰ  ＳＡ生成要求をルータ６に送信する。このＩＳＡＫＭＰ  ＳＡ生成要求は、ルータ２とルータ６との間でＩＳＡＫＭＰ  ＳＡの生成を提案するパケットである。ＩＳＡＫＭＰ  ＳＡは、ＩＫＥによりＳＡが自動的に生成される場合のＩＫＥの制御用チャネルである。この提案パケットをルータ６に送信すると、Ｓ１０２に処理を移行する。
【００３８】
提案パケットは、ＩＳＡＫＭＰ  ＳＡを確立するためのパラメータを含む。このパラメータは、暗号化アルゴリズム、ハッシュアルゴリズム、認証方式、およびＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換に使用されるパラメータなどである。
【００３９】
暗号化アルゴリズムは、ＩＳＡＫＭＰ  ＳＡが暗号化される際のアルゴリズムである。この暗号化アルゴリズムは、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣなどから後述するＳ１０２において１つ指定される。ハッシュアルゴリズムは、ＩＳＡＫＭＰ  ＳＡの確立過程において認証に使用されるアルゴリズムである。このハッシュアルゴリズムはＳＨＡ−１、ＭＤ５などから１つ指定される。認証方式は、通信先のルータを認証する際の方式である。認証方式は、ＰＳＫ（Ｐｒｅ−Ｓｈａｒｅｄ  Ｋｅｙ）認証、公開鍵認証から１つ指定される。以降の記載では、ＰＳＫ認証がパラメータとして指定されたとする。Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換に使用されるパラメータは、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換により共通鍵が生成される際に使用されるパラメータである。
【００４０】
Ｓ１０２において、ルータ６は、受信されたＩＳＡＫＭＰ  ＳＡの生成要求に含まれるパラメータの認証を行う。パラメータの認証を行うと、ＩＳＡＫＭＰ  ＳＡの生成を受諾すると判断し、ＩＳＡＫＭＰ  ＳＡの生成の受諾を通知するパケットをルータ２に送信する。この通知パケットをルータ２に送信すると、Ｓ１０３、およびＳ１０４に処理を移行する。
【００４１】
Ｓ１０３、およびＳ１０４において、ルータ２、およびルータ６は乱数を生成する。乱数の生成を終了すると、Ｓ１０５、およびＳ１０６に処理を移行する。
【００４２】
Ｓ１０５、およびＳ１０６において、ルータ２、およびルータ６は、生成された乱数を他方のルータ２、６に送信する。この乱数の送受信は、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換と呼ばれる。乱数の送信が終了すると、Ｓ１０７、およびＳ１０８に処理を移行する。
【００４３】
Ｓ１０７において、ルータ２はＳ１０３で発生した乱数と、Ｓ１０６で受信した乱数とから共通鍵を生成する。Ｓ１０８において、ルータ６はＳ１０４で発生した乱数と、Ｓ１０５で受信した乱数とから共通鍵を生成する。すなわち、ルータ２とルータ６とは、同じ共通鍵を生成する。共通鍵の生成が終了すると、Ｓ１０９に処理を移行する。
【００４４】
Ｓ１０９において、ルータ２は、ルータ２とルータ６との間で予め設定されるＰＳＫからハッシュ値を生成する。このＰＳＫは、ルータ２、およびルータ６のＩＰアドレスと対応付けてルータ２、およびルータ６のフラッシュメモリ１２に記憶される。ルータ２は、生成されたハッシュ値をルータ６に送信する。このハッシュ値は、Ｓ１０７において生成された共通鍵により暗号化されてルータ６に送信される。ハッシュ値の送信が終了すると、Ｓ１１０に処理を移行する。
【００４５】
Ｓ１１０において、ルータ６は、Ｓ１０８において生成された共通鍵を用いて、ハッシュ値を復号する。復号されたハッシュ値と、送信元のアドレスに付与されたルータ２のＩＰアドレスとから、Ｓ１０１〜Ｓ１０９の処理において、通信しているルータがルータ２であることを認証する。通信しているルータがルータ２であると判断すると、Ｓ１１１に処理を移行する。すなわち、ＰＳＫはＶＰＮを構築するための、通信相手の認証に用いられる。
【００４６】
Ｓ１１１において、ルータ６は、ルータ２とルータ６との間で予め設定されるＰＳＫからハッシュ値を生成する。このハッシュ値は、Ｓ１０８において生成された共通鍵により暗号化されてルータ６に送信される。ハッシュ値の送信が終了すると、Ｓ１１２に処理を移行する。
【００４７】
Ｓ１１２において、ルータ２は、Ｓ１０７において生成された共通鍵からハッシュ値を復号する。復号されたハッシュ値と送信元のアドレスに付与されたルータ６のＩＰアドレスとに基づき、Ｓ１０１〜Ｓ１０９の処理において、通信しているルータがルータ６であることを認証する。通信しているルータがルータ６であると判断すると、Ｓ１１３に処理を移行する。
【００４８】
Ｓ１０１〜Ｓ１１２の処理は、フェーズ１と呼ばれる。Ｓ１０１〜Ｓ１１２の処理により、ＩＳＡＫＭＰ  ＳＡが確立される。以降のＳ１１３〜Ｓ１１６において、ルータ２とルータ６との間で送受信されるパケットはＩＳＡＫＭＰ  ＳＡの確立過程において生成された共通鍵により暗号化される。
【００４９】
Ｓ１１３において、ルータ２は、ＩＰｓｅｃ  ＳＡ生成要求をルータ６に送信する。このＩＰｓｅｃ  ＳＡ生成要求は、ルータ２とルータ６との間でＩＰｓｅｃ  ＳＡの生成を提案するパケットである。ルータ２は、乱数、暗号化アルゴリズム、およびセキュリティプロトコルを提案パケットに付与する。Ｓ１１３において、提案パケットに付与される乱数は、ルータ２、およびルータ６に接続されたＰＣとの間で通信が実行される際に、パケットの暗号化に使用される暗号鍵を生成するための乱数である。暗号化アルゴリズムは、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣ、ＡＥＳなどのアルゴリズムである。セキュリティプロトコルとしては、ＡＨ、またはＥＳＰが指定される。この提案パケットをルータ６に送信すると、Ｓ１１４に処理を移行する。
【００５０】
Ｓ１１４において、ルータ６は、ルータ２とルータ６との間でＩＰｓｅｃ  ＳＡの生成を受諾すると、ルータ６は、受信した提案パケットに付与された乱数から暗号鍵を生成する。鍵の生成が終了すると、Ｓ１１５に処理を移行する。
【００５１】
Ｓ１１３、およびＳ１１４において送受信される暗号化アルゴリズムについて説明する。ルータ２は、Ｓ１１３においてルータ６へ複数の暗号化アルゴリズムを送信する。ルータ６はＳ１１４において提案パケットを受信すると、提案パケットに含まれる暗号化アルゴリズムのうち、ルータ６のフラッシュメモリ１２に記憶されている暗号化アルゴリズムを抽出する。抽出された暗号化アルゴリズムから暗号化強度が一番高い暗号化アルゴリズムを選択する。暗号化アルゴリズムの暗号化強度は、ＡＥＳ、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣの順に高くなる。暗号化強度が高いアルゴリズムを選択すると、ＩＰｓｅｃ  ＳＡの生成を受諾する。
【００５２】
Ｓ１１５において、ルータ６は、ＩＰｓｅｃ  ＳＡの生成の受諾を通知するパケットをルータ２に送信する。ルータ６はこの通知パケットに乱数を付与する。この通知パケットをルータ２に送信すると、Ｓ１１６に処理を移行する。
【００５３】
Ｓ１１６において、ルータ２は通知パケットに付与された乱数から暗号鍵を生成する。暗号鍵の生成が終了すると、ＩＰｓｅｃ  ＳＡが確立されたこと通知する確立通知パケットをルータ６に送信する。
【００５４】
Ｓ１１３〜Ｓ１１６の処理は、フェーズ２と呼ばれる。ＶＰＮは、Ｓ１０１〜Ｓ１１２の処理であるフェーズ１と、Ｓ１１３〜Ｓ１１６の処理であるフェーズ２とが実行されることにより構築される。すなわち、２つのルータ間でＶＰＮが構築されるためには、ルータ２とルータ６との間でＰＳＫが設定されていなければならない。ＶＰＮが構築されると、ルータ２とルータ６とのフラッシュメモリ１２に記憶されたＳＡの始点アドレス、および終点アドレスと対応付けて、セキュリティプロトコル、暗号鍵、および暗号化アルゴリズムが記憶される。この際、ＳＡを識別するＳＰＩがＳＡに付与される。ルータ２からルータ６へ送信される暗号化パケットのＳＡと、ルータ６からルータ２へ送信される暗号化パケットのＳＡとの２つのＳＡが作成される。
【００５５】
［アグレッシブモード］
図７を参照して、アグレッシブモードを説明する。Ｓ２０１において、ルータ２は乱数を生成する。乱数の生成が終了すると、Ｓ２０２に処理を移行する。
【００５６】
Ｓ２０２において、ルータ２は、ＩＳＡＫＭＰ  ＳＡ生成要求を送信する。このＩＳＡＫＭＰ  ＳＡ生成要求は、Ｓ２０１において生成された乱数を含む。ＩＳＡＫＭＰ  ＳＡ生成要求を送信すると、Ｓ２０３に処理を移行する。
【００５７】
Ｓ２０３において、ルータ６は、乱数を生成する。乱数を生成すると、Ｓ２０４に処理を移行する。
【００５８】
Ｓ２０４において、ルータ６は、ＩＳＡＫＭＰ  ＳＡの生成要求に含まれるパラメータを認証する。このパラメータを認証すると判断すると、ＩＳＡＫＭＰ  ＳＡの生成の受諾を通知するパケットをルータ２に送信する。この通知パケットは、Ｓ２０３において生成された乱数と、ルータ２とルータ６との間で予め設定されるＰＳＫから生成されるハッシュ値とを含む。通知パケットをルータ２に送信すると、Ｓ２０５に処理を移行する。
【００５９】
Ｓ２０５において、ルータ２は、受信された通知パケットに含まれるハッシュ値と、送信元のアドレスに付与されたルータ６のＩＰアドレスとに基づき、Ｓ２０１〜Ｓ２０４の処理において、通信しているルータがルータ６であることを認証する。通信しているルータがルータ６であると判断すると、Ｓ２０６に処理を移行する。
【００６０】
Ｓ２０６において、ルータ２は、受信された通知パケットに含まれる乱数から共通鍵を生成する。共通鍵の生成が終了すると、Ｓ２０７に処理を移行する。
【００６１】
Ｓ２０７において、ルータ２は、ルータ２とルータ６との間で予め設定されるＰＳＫから生成されるハッシュ値を含む認証パケットをルータ６に送信する。認証パケットの送信が終了すると、Ｓ２０８に処理を移行する。このハッシュ値は、Ｓ２０６において生成された共通鍵により暗号化される。
【００６２】
Ｓ２０８において、ルータ６は認証パケットに含まれるハッシュ値と、送信元のアドレスに付与されたルータ２のＩＰアドレスとに基づき、Ｓ２０１〜Ｓ２０４の処理において、通信しているルータがルータ２であることを認証する。通信しているルータがルータ６であると判断すると、アグレッシブモードにおけるフェーズ１を終了し、フェーズ２の処理に移行する。
【００６３】
図５に戻り、説明を続ける。以下の記載において、パケットの内容を示す図８を参照して説明する。Ｓ３において、ルータ２は、ＩＰ電話機２１から暗号化されていないパケットを受信する。このパケットは、図８（ａ）に示す暗号化されていないパケットの内容に示されるように、ＩＰ電話機３１のＩＰアドレスが宛先のＩＰアドレスに指定され、ＩＰ電話機２１のＩＰアドレスが送信元のＩＰアドレスに指定されているパケットである。このパケットのペイロード部にリアルタイムプロトコル（Ｒｅａｌ−ｔｉｍｅ  Ｔｒａｎｓｐｏｒｔ  Ｐｒｏｔｏｃｏｌ）に従うデータが含まれているとして説明する。以降の記載において、リアルタイムプロトコルをＲＴＰと記載する。
【００６４】
ルータ２は、ＩＰ電話機２１から送信されたパケットを受信すると、ルータ２のフラッシュメモリ１２に記憶されたＳＰＤを参照する。ＩＰ電話機２１から送信されたパケットの宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部に含まれるデータのプロトコルに一致するＳＰがあるか否かを判断する。ルータ２は、ＳＰがあると判断すると、そのＳＰの動作に示される通信方法で宛先のＩＰ電話機３１にパケットを送信すると判断する。ＳＰが無い場合、ルータ２は、宛先のＩＰ電話機３１にパケットを送信しないと判断する。以降の記載では、ＳＰの動作にＩＰＳｅｃが記憶されているとして、暗号化通信でパケットが送信される場合を説明する。ルータ２は、暗号化通信でパケットを送信すると判断すると、ＳＡＤを参照する。次に、ルータ２は、パケットに付与された宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のデータプロトコルと一致し、始点アドレスが、ルータ２のＩＰアドレスであるＳＡから、暗号鍵、および暗号化アルゴリズムを抽出する。ルータ２は、この暗号鍵、および暗号化アルゴリズムによりＩＰ電話機２１から送信されたパケットを暗号化する。ルータ２は、暗号化されたパケットに、宛先のルータのＩＰアドレス、送信元のルータのＩＰアドレス、およびＳＡに指定されたＳＰＩを付与する。宛先のルータのアドレスには、終点アドレスであるルータ６のＩＰアドレスが付与される。送信元のルータのアドレスには、始点アドレスであるルータ２のＩＰアドレスが付与される。図８（ｂ）に示す暗号化されたパケットの内容に示されるように、終点アドレス、始点アドレス、およびＳＰＩが、この暗号化されたパケットに付与される。以降の記載において、ルータ２とルータ６との間で使用される暗号鍵、暗号化方式をそれぞれ第１暗号鍵、第１暗号化アルゴリズムとする。宛先のルータのアドレスは、予めＳＡの終点アドレスとしてフラッシュメモリ１２に記憶されている。すなわち、宛先のルータのＩＰアドレスがフラッシュメモリ１２に記憶されていないと、そのルータと暗号化通信が行われない。
【００６５】
次に、ルータ２は、暗号化されたパケットをルータ６に送信する。この暗号化されたパケットは、Ｓ１において構築されたＶＰＮを介して、ルータ６に送信される。以降の記載において、暗号化されたパケットを暗号化パケットと記載する。ルータ６は、ルータ２から送信された暗号化パケットを受信する。ルータ６は、暗号化パケットを受信すると、暗号化パケットに付与されたＳＰＩを参照し、第１暗号鍵、および第１暗号化アルゴリズムをルータ６のフラッシュメモリ１２に記憶されたＳＡＤから抽出する。この第１暗号鍵、および第１暗号化アルゴリズムにより、ルータ６は、暗号化パケットを復号する。復号されたパケットの内容は、図８（ａ）に示すＩＰ電話機２１から送信される暗号化されていないパケットの内容と同じである。Ｓ３の処理を実行するルータ２のＣＰＵ１１が本発明の第１暗号化通信手段の一例である。ルータ２のＳ３の処理が本発明の第１暗号化通信ステップの一例である。
【００６６】
次に、ルータ６は、復号されたパケットに含まれる送信元アドレス、宛先アドレス、プロトコル、およびパケットサイズをルータ６のフラッシュメモリ１２に記憶する。後述するが、ＩＰ電話機２１のＩＰアドレスが送信元アドレス、ＩＰ電話機３１のＩＰアドレスが宛先アドレス、ペイロード部に含まれるデータのプロトコルであるＲＴＰがプロトコル、およびペイロード部に含まれるデータのサイズがパケットサイズである。フラッシュメモリ１２への記憶が終了すると、ルータ６は、ルータ６のフラッシュメモリ１２に記憶されたＳＰＤを参照する。ルータ６は、ＩＰ電話機２１から送信されたパケットの宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部に含まれるデータのプロトコルに一致するＳＰがあるか否かを判断する。ＳＰがあると判断すると、ルータ６は、そのＳＰの動作に示される通信方法で宛先のＩＰ電話機３１にパケットを送信すると判断する。ＳＰが無いと、ルータ６は、宛先のＩＰ電話機３１にパケットを送信しないと判断する。暗号化通信でパケットを送信すると判断すると、ＳＡＤを参照する。次に、ルータ６は、パケットに付与された宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のプロトコルと一致し、始点アドレスが、ルータ６のＩＰアドレスであるＳＡから、暗号鍵、および暗号化アルゴリズムを抽出する。この暗号鍵、および暗号化アルゴリズムにより、ルータ６は、ＩＰ電話機２１から送信されたパケットを暗号化する。ルータ６は、復号されたパケットに付与された宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のプロトコルと一致し、始点アドレスが、ルータ６のＩＰアドレスであるＳＡから、終点アドレスに記憶されたルータのＩＰアドレスを抽出する。ルータ６は、暗号化されたパケットに、宛先のルータのＩＰアドレス、送信元のルータのＩＰアドレス、およびＳＡに指定されたＳＰＩを付与する。宛先のルータのアドレスは、抽出された終点アドレスであるルータ３のＩＰアドレスであり、送信元のルータのアドレスは、始点アドレスであるルータ６のＩＰアドレスである。暗号化が終了すると、ルータ６は、暗号化パケットをルータ３に送信する。以降の記載において、ルータ６とルータ３との間で使用される暗号鍵、暗号化アルゴリズムをそれぞれ第２暗号鍵、第２暗号化アルゴリズムとする。
【００６７】
次に、ルータ６から送信された暗号化パケットを受信したルータ３は、暗号化パケットに付与されたＳＰＩを参照し、第２暗号鍵、および第２暗号化アルゴリズムをルータ３のフラッシュメモリ１２に記憶されたＳＡＤから抽出する。この第２暗号鍵、および第２暗号化アルゴリズムにより、ルータ３は、暗号化パケットを復号する。復号が終了すると、ルータ３は、復号されたパケットのヘッダーに含まれる宛先アドレスを参照して、ＩＰ電話機３１にパケットを送信する。
【００６８】
［ルータ６の処理負荷が大きい場合の動作］
上述したＳ１〜Ｓ３の処理において暗号化パケットを中継するルータ６は、定期的に処理負荷の検出を行う。ルータ６は、フラッシュメモリ１２に記憶されているパケットサイズに基づき、現在の処理負荷を検出する。Ｓ４において、ルータ６は、処理負荷が閾値よりも大きいか否かを判断する。この閾値は、予め設定されて、ルータ６のフラッシュメモリ１２に記憶される。以降の説明において、処理負荷が大きいと判断された場合の処理を説明する。
【００６９】
Ｓ５において、ルータ６は、ルータ６を介さずに暗号化通信させる切替対象のルータを選択する。ルータ６は、高負荷状態になると、暗号化通信している２つのルータ毎に暗号化パケットのパケットサイズを算出する。ルータ６は、この２つのルータ毎のパケットサイズが一番大きいデータに対応する２つのルータを切替対象として選択する。具体的に、始点アドレス、および終点アドレスを切替対象の情報として抽出する。以降の記載において、この一番大きいパケットサイズの暗号化通信している２つのルータをルータ２とルータ３として説明する。切替対象を選択すると、Ｓ６に処理を移行する。
【００７０】
Ｓ６において、ルータ６はＰＳＫを生成する。このＰＳＫは、ルータ２とルータ３との間でＶＰＮを構築するために使用される。具体的には、Ｓ１０９、およびＳ２０７において使用される。このＰＳＫは、Ｓ１、およびＳ２におけるＶＰＮ構築処理のＰＳＫと異なる。ＰＳＫの生成が終了すると、Ｓ７に処理を移行する。
【００７１】
Ｓ７において、ルータ６は、２つの構築情報パケットを生成する。構築情報パケットは、作成されたＰＳＫと、ルータ２、およびルータ３のＩＰアドレスとをペイロード部に含む。構築情報パケットの生成が終了すると、Ｓ８に処理を移行する。構築情報パケットが本発明の第１要求通知の一例である。構築情報パケットに含まれるＰＳＫと、ルータ２、およびルータ３のＩＰアドレスとが本発明の構築情報の一例である。
【００７２】
Ｓ８において、ルータ６は、フラッシュメモリ１２に記憶されたＳＡを参照し、構築情報パケットを暗号化する。一方の構築情報パケットは、第１暗号鍵、および第１暗号化アルゴリズムで暗号化される。他方の構築情報パケットは、第２暗号鍵、および第２暗号化アルゴリズムで暗号化される。構築情報パケットの暗号化が終了すると、ルータ６は、第１暗号鍵、および第１暗号化アルゴリズムで暗号化された構築情報パケットに、ルータ２のＩＰアドレス、およびＳＰＩを付与する。ルータ６は、ルータ２のＩＰアドレス、およびＳＰＩが付与された構築情報パケットをルータ２との間に構築されたＶＰＮを介して、ルータ２に送信する。ルータ６は、第２暗号鍵、および第２暗号化方式で暗号化された構築情報パケットにルータ３のＩＰアドレス、およびＳＰＩを付与する。ルータ６は、ルータ３のＩＰアドレス、およびＳＰＩが付与された構築情報パケットをルータ３との間に構築されたＶＰＮを介して、ルータ３に送信する。構築情報パケットの送信が終了すると、Ｓ９に処理を移行する。Ｓ８において、構築情報を受信するルータ２のＣＰＵ１１が本発明の受信手段の一例である。Ｓ８において、構築情報を受信するルータ２の処理が本発明の受信ステップの一例である。Ｓ８において、構築情報を送信するルータ６のＣＰＵ１１が本発明の中継装置送信手段の一例である。ルータ２、およびルータ３に送信される構築情報パケットが、ＶＰＮ構築通知である。
【００７３】
Ｓ９において、暗号化された構築情報パケットを受信したルータ２、およびルータ３は、ルータ２とルータ３との間でＶＰＮを構築する。このＶＰＮの構築処理は、後述する。ＶＰＮの構築処理が終了すると、Ｓ１０に処理を移行する。
【００７４】
Ｓ１０において、ルータ２は、構築完了通知をルータ６、およびにルータ３にＩＰ網を介して送信する。この構築完了通知は、ルータ２とルータ３との間でＶＰＮが構築されたことを示す通知である。構築完了通知は、詳細な説明は後述する。構築完了通知を送信するとＳ１１に処理を移行する。
【００７５】
Ｓ１１において、ルータ６は、構築完了通知を受信すると、切替対象をフラッシュメモリ１２に記憶し、ＳＡＤを更新する。すなわち、ルータ６は、構築情報パケットを送信したルータを示す情報をフラッシュメモリ１２に記憶する。具体的には、ルータ６は、始点アドレス、または終点アドレスにルータ２、およびルータ３のＩＰアドレスが付与されているＳＡに切替済みフラグを付与する。切替済みフラグは、暗号化通信の経路が切り替えられたことを示す。具体的なＳＡＤの更新処理については、後述する。切替済みフラグを付与すると、Ｓ１２に処理を移行する。
【００７６】
Ｓ１２において、ルータ２は、ＩＰ電話機２１から暗号化されていないパケットを受信する。ルータ２は、この受信された暗号化されてないパケットのペイロード部に含まれるデータのプロトコルにより、Ｓ１において構築されたＶＰＮ、または、Ｓ９において構築されたＶＰＮを介して、ルータ３と暗号化通信する。詳細は後述する。
【００７７】
Ｓ１３において、ルータ２は、ルータ３との間で構築されたＶＰＮを介して暗号化通信されるデータ量を測定する。通信データ量の測定処理は、後述する。通信データ量の測定が終了すると、Ｓ１４に処理を移行する。
【００７８】
Ｓ１４において、ルータ６は、フラッシュメモリ１２に記憶されているパケットサイズに基づき、現在の処理負荷を検出する。この処理はＳ４と同様である。ルータ６は、処理負荷が閾値よりも大きいか否かを判断する。以降の説明において、処理負荷が閾値よりも小さいと判断された場合の処理を説明する。処理負荷が閾値よりも小さいと判断されると、ルータ６は、切替対象を取得する。具体的には、切替済みフラグが付与されたＳＡを抽出する。この抽出されたＳＡの始点アドレス、および終点アドレスの２つのルータが切替対象である。以降の説明では、ルータ２、およびルータ３が切替対象として説明する。切替対象の取得が終了すると、Ｓ１５に処理を移行する。
【００７９】
Ｓ１５において、ルータ６は、切替通知をルータ２とルータ３とに送信する。切替通知は、全プロトコルの暗号化データを、ルータ６を介して実行させる通知である。切替通知の送信が終了すると、Ｓ１６に処理を移行する。切替通知が本発明の第２要求通知の一例である。
【００８０】
Ｓ１６において、切替通知を受信したルータ２は、通信データ量を測定する。この通信データ量の測定処理は、Ｓ１３の処理と同様である。すなわち、切替通知を受信した直後に、ルータ６との間に構築されたＶＰＮにより暗号化パケットをルータ３に送信しない。通信データ量の測定が終了すると、Ｓ１７に処理を移行する。
【００８１】
Ｓ１７において、ルータ２は、切替判定処理を実行する。具体的には、ルータ２は、Ｓ１６において測定された通信データ量が、Ｓ１３において測定された通信データ量よりも減少したか否かを判断する。以下、減少したと判断した場合について説明する。減少したと判断した場合、Ｓ１８に処理を移行する。
【００８２】
Ｓ１８において、ルータ２は、始点アドレスまたは終点アドレスが、ルータ３のＩＰアドレスであるＳＡに切替済みフラグを付与する。次に、ルータ２は、切替済みフラグが付与されたＳＡから切替済みフラグを削除する。切替済みフラグを削除し、ＳＡＤの更新が終了すると、Ｓ１９に処理を移行する。
【００８３】
Ｓ１９において、ルータ２は、切替完了通知をルータ６、およびルータ３に送信する。切替完了通知を受信したルータ６は、Ｓ２０において、始点アドレス、および終点アドレスが、ルータ２、およびルータ３のＩＰアドレスであり、切替済みフラグが付与されたＳＡから切替済みフラグを削除する。切替済みフラグを削除し、ＳＡＤの更新が終了すると、Ｓ２１に処理を移行する。Ｓ２１の処理は、Ｓ３と同様なので、説明を省略する。
【００８４】
図９を参照して、ルータ２のメイン処理を説明する。このルータ２のメイン処理は、ルータ２のＣＰＵ１１により実行される。このメイン処理のプログラムは、フラッシュメモリ１２に記憶される。このメイン処理のプログラムは、図示しないサーバに記憶され、ルータ２のダウンロード要求に応じて、ルータ２に送信される。
【００８５】
Ｓ３１において、ＶＰＮ構築通知を受信したか否かを判断する。このＶＰＮ構築通知は、図５のＳ８においてルータ２に送信される構築情報パケットである。ＶＰＮ構築通知を受信したと判断すると、Ｓ３２に処理を移行する。ＶＰＮ構築通知を受信していないと判断すると、Ｓ４４に処理を移行する。
【００８６】
Ｓ３２において、ルータ３とＶＰＮを構築する。具体的には、Ｓ３１において受信された暗号化された構築情報パケットに付与されたＳＰＩを参照し、第１暗号鍵、および第１暗号化アルゴリズムを、フラッシュメモリ１２に記憶されたＳＡから抽出する。この第１暗号鍵、および第１暗号化アルゴリズムにより、暗号化された構築情報パケットを復号する。構築情報パケットの復号が終了すると、終点アドレスが、ルータ６のＩＰアドレスであるＳＡを抽出する。抽出されたＳＡの終点アドレスを、復号された構築情報パケットに含まれるルータ３のＩＰアドレスに書き換えたＳＡを新たに作成する。次に、ルータ２は、抽出されたＳＡに切替済みフラグを付与する。一方、ルータ３は、終点アドレスが、ルータ６のＩＰアドレスであるＳＡを抽出する。抽出されたＳＡの終点アドレスを、復号された構築情報パケットに含まれるルータ２のＩＰアドレスに書き換えたＳＡを新たに作成する。次に、ルータ３は、抽出されたＳＡに切替済みフラグを付与する。新たなＳＡの作成、および切替済みフラグの付与が終了すると、ルータ２は、構築情報パケットに含まれるＰＳＫを使用して、ルータ２とルータ３との間でＶＰＮを構築する。ＰＳＫは構築情報パケットに含まれ、ルータ２、およびルータ３のＩＰアドレスと対応付けてフラッシュメモリ１２に記憶される。このＶＰＮ構築処理は、Ｓ１の処理と同様である。ＶＰＮの構築が終了すると、Ｓ３３に処理を移行する。Ｓ３２において、ルータ３とＶＰＮを構築するルータ２のＣＰＵ１１が本発明の第２構築手段の一例である。Ｓ３２において、ルータ３とＶＰＮを構築するルータ２の処理が本発明の第２構築ステップの一例である。
【００８７】
Ｓ３３において、ルータ３との間のＶＰＮの構築過程において作成された暗号鍵、暗号化アルゴリズム、およびＳＰＩを、Ｓ３２において新たに作成されたＳＡに付与し、ＳＡＤを更新する。暗号鍵、暗号化アルゴリズム、およびＳＰＩの付与が終了すると、Ｓ３４に処理を移行する。以降の記載において、Ｓ３３においてＳＡに付与された暗号鍵、および暗号化アルゴリズムを第３暗号鍵、および第３暗号化アルゴリズムとする。
【００８８】
Ｓ３４において、ダミーパケットをルータ３との間に構築されたＶＰＮを介して、ルータ３に送信する。図１０を参照してＳ３４の処理を具体的に説明する。暗号化が開始された時刻Ｔ０である現在の時刻において、ペイロード部に含まれるダミーパケットを第３暗号鍵、および第３暗号化アルゴリズムにより暗号化する動作を開始する。この暗号化が開始された時刻Ｔ０がペイロード部に含まれる。暗号化されたダミーパケットに、ルータ３のＩＰアドレスと、ルータ２のＩＰアドレスと、第３暗号鍵、および第３暗号化アルゴリズムに関連付けられるＳＰＩと、ルータ２がダミーパケットをルータ３に送信する時刻Ｔ１である現在の時刻と、ダミーパケットを示す識別データとを付与する。付与が完了した暗号化されたダミーパケットをルータ３に送信する。この暗号化されたダミーパケットを受信したルータ３は、ダミーパケットを示す識別データを検出し、受信されたパケットがダミーパケットであると判断する。ルータ３は、ダミーパケットであると判断すると、ダミーパケットを受信した時刻Ｔ２をＲＡＭ１３に記憶する。時刻Ｔ２の記憶が終了すると、ルータ３は、暗号化されたダミーパケットに付与されたＳＰＩに基づき、第３暗号鍵、および第３暗号化アルゴリズムをＳＡＤから抽出する。抽出された第３暗号鍵、および第３暗号化アルゴリズムに基づき、ルータ３は、暗号化されたダミーパケットを復号する。復号が完了すると、時刻Ｔ０、時刻Ｔ１、および時刻Ｔ２をペイロード部に含むダミーパケットを第３暗号鍵、および第３暗号化アルゴリズムにより暗号化する。暗号化されたダミーパケットに、ルータ２のＩＰアドレスと、ルータ３のＩＰアドレスと、第３暗号鍵、および第３暗号化アルゴリズムに関連付けられるＳＰＩと、ルータ３がダミーパケットをルータ２に送信する時刻Ｔ３である現在の時刻と、ダミーパケットを示す識別データとを付与する。付与が完了した暗号化されたダミーパケットをルータ２に送信する。この暗号化されたダミーパケットを受信したルータ２は、ダミーパケットを示す識別データを検出し、受信されたパケットがダミーパケットであると判断する。ルータ２は、ダミーパケットであると判断すると、ダミーパケットを受信した時刻Ｔ４をＲＡＭ１３に記憶する。時刻Ｔ４の記憶が終了すると、ルータ２は、暗号化されたダミーパケットに付与されたＳＰＩに基づき、第３暗号鍵、および第３暗号化アルゴリズムをＳＡＤから抽出する。抽出された第３暗号鍵、および第３暗号化アルゴリズムに基づき、ルータ３は、暗号化されたダミーパケットを復号する。復号が完了すると、ルータ２は復号が完了した時刻Ｔ５、および時刻Ｔ０〜Ｔ４をＲＡＭ１３に記憶する。時刻Ｔ０〜Ｔ５を記憶すると、Ｓ３５に処理を移行する。ルータ３から受信した時刻Ｔ２、および時刻Ｔ３のうち少なくとも時刻Ｔ２が本発明の時間情報の一例である。
【００８９】
図９を参照して説明を続ける。Ｓ３５において、ルータ２は、ＲＡＭ１３に記憶された時刻Ｔ０〜Ｔ５から通信速度と処理速度とを検出する。通信速度は、時刻Ｔ２から時刻Ｔ１を引いた時間で定義される。処理速度は、時刻Ｔ５から時刻Ｔ４を引いた時間と時刻Ｔ３から時刻Ｔ２を引いた時間と時刻Ｔ１から時刻Ｔ０を引いた時間との和で定義される。通信速度、および処理速度の検出が終了すると、Ｓ３６に処理を移行する。
【００９０】
Ｓ３６において、通信速度が、閾値以上か否かを判断する。閾値は、予めルータ２のフラッシュメモリ１２に記憶される。通信速度が閾値以上であると判断すると、Ｓ３７に処理を移行する。通信速度が閾値未満であると、Ｓ４０に処理に移行する。通信速度が閾値未満である場合、ルータ２からＶＰＮを介して送信されたデータがルータ３に受信されるまでの時間が遅いことになる。この結果、ルータ３との間で構築されたＶＰＮを介して暗号化通信されるデータの通信遅延が発生する確率が高くなる。Ｓ３６において、通信速度が閾値以上か否かを判断するルータ２のＣＰＵ１１が本発明の判断手段の一例である。Ｓ３６において、通信速度が閾値以上か否かを判断するルータ２の処理が本発明の判断ステップの一例である。
【００９１】
Ｓ３７において、処理速度が、閾値以上か否かを判断する。閾値は、予めルータ２のフラッシュメモリ１２に記憶される。処理速度が閾値以上であると判断すると、全プロトコルのパケットをルータ３との間で構築されたＶＰＮを介して暗号化通信すると判断し、Ｓ３８に処理を移行する。処理速度が閾値未満であると、Ｓ４０に処理に移行する。処理速度が閾値未満である場合、ルータ２、およびルータ３のデータを暗号化、および復号する処理の処理速度が遅いといえる。処理速度が閾値未満である場合、ルータ３との間で構築されたＶＰＮを介して暗号化通信されるデータの通信遅延が発生する確率が高くなる。処理速度が閾値以上であると判断すると、ＳＡＤを更新しない。この結果、処理速度が閾値以上である状態で、図５のＳ１２において、ルータ２は、ＩＰ電話機２１から送信されたパケットをＩＰ電話機３１へ送信する場合、Ｓ３２において構築されたＶＰＮを介してこのパケットを暗号化してルータ３へ送信する。
【００９２】
一方、Ｓ３６において、通信速度が閾値未満と判断された、またはＳ３７において処理速度が閾値未満と判断された場合、Ｓ４０において、強制切替通知がＶＰＮ構築通知に含まれるか否かを判断する。強制切替通知については、後述する。強制切替通知が含まれると判断すると、Ｓ４１に処理を移行する。強制切替通知が含まれないと判断すると、Ｓ４３に処理を移行する。
【００９３】
Ｓ４１において、ルータ３との間で再度ＶＰＮを構築する。この再度構築されるＶＰＮの暗号化強度は、Ｓ３２においてルータ３との間に構築されたＶＰＮの暗号化強度より低い。具体的には、ルータ３との間で再度ＶＰＮを構築する際、図６のＳ１１３において、ルータ２は、Ｓ３２においてルータ３との間にＶＰＮを構築した時の暗号化アルゴリズム以外の暗号化アルゴリズムを含むＩＰｓｅｃ  ＳＡ生成要求をルータ６に送信する。すなわち第３暗号化アルゴリズム以外の暗号化アルゴリズムを含むＩＰｓｅｃ  ＳＡ生成要求をルータ６に送信する。例えば、Ｓ３２において構築されたＶＰＮの暗号化アルゴリズムが、ＡＥＳである場合、再度構築されるＶＰＮの暗号化アルゴリズムは、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣが考えられる。再度ＶＰＮを構築すると、Ｓ４２に処理を移行する。
【００９４】
Ｓ４２において、ＳＡＤを更新する。全プロトコルのパケットが再度構築されたＶＰＮを介して暗号化通信される。Ｓ３３において、終点アドレスがルータ２、またはルータ３のＩＰアドレスに書き換えられたＳＡを抽出する。抽出されたＳＡの暗号鍵、暗号化アルゴリズム、およびＳＰＩを、Ｓ４１においてルータ３との間で再度ＶＰＮが構築された時の暗号鍵、暗号化アルゴリズム、およびＳＰＩに書き換え、ＳＡＤを更新する。この結果、図５のＳ１２において、ルータ２は、ＩＰ電話機２１から送信されたパケットをＩＰ電話機３１へ送信する場合、Ｓ４１において再度構築されたＶＰＮを介してこのパケットを暗号化してルータ３へ送信する。ＳＡＤの更新が終了すると、Ｓ３８に処理を移行する。
【００９５】
Ｓ４０において、強制切替通知がＶＰＮ構築通知に含まれないと判断された場合、Ｓ４３において、Ｓ１において構築されたＶＰＮを介してリアルタイムパケットの暗号化通信を行い、Ｓ３２において構築されたＶＰＮを介してリアルタイムパケット以外の暗号化通信を行うと判断する。すなわち、Ｓ３３において、終点アドレスがルータ２、またはルータ３のＩＰアドレスに書き換えられ、上位層プロトコルがＲＴＰ、ＲＴＳＰ（Ｒｅａｌ  Ｔｉｍｅ  Ｓｔｒｅａｍｉｎｇ  Ｐｒｏｔｏｃｏｌ）、ＲＴＣＰ（Ｒｅａｌ−ｔｉｍｅ  Ｔｒａｎｓｐｏｒｔ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）であるＳＡを抽出する。抽出されたＳＡを削除する。次に、切替済みフラグが付与されたＳＡのうち、上位層プロトコルがＲＴＰ、ＲＴＳＰ、ＲＴＣＰであるＳＡを抽出する。抽出されたＳＡに付与された切替済みフラグを削除し、ＳＡＤを更新する。この結果、図５のＳ１２において、ルータ２は、ＩＰ電話機２１から送信されたパケットをＩＰ電話機３１へ送信する場合、このパケットのプロトコルがＲＴＰ、ＲＴＳＰ、ＲＴＣＰのいずれかであると判断すると、このパケットをＳ１において構築されたＶＰＮを介してルータ６に送信する。ＩＰ電話機２１から送信されたパケットのプロトコルがＲＴＰ、ＲＴＳＰ、ＲＴＣＰでないと判断すると、このパケットをＳ３２において構築されたＶＰＮを介してルータ３に送信する。ＳＡＤの更新が終了すると、Ｓ３８に処理を移行する。ペイロード部に含まれるデータのプロトコルが、ＲＴＰ、ＲＴＳＰ、ＲＴＣＰのいずれかである場合、パケットをリアルタイムパケットと記載する。Ｓ４３の処理により、リアルタイムプロトコルの暗号化通信は、ルータ６を介して実行される。ルータ２とルータ３との暗号化通信のうち、リアルタイムプロトコル以外のプロトコルについては、ルータ６を介さずに通信されるので、ルータ６の処理負荷は減少する。ルータ２とルータ３との暗号化通信の通信速度が低下している、または暗号化、復号の処理速度が低下しているので、リアルタイムプロトコルのデータが、ルータ２とルータ３との間に構築されたＶＰＮを介して暗号化通信されると、このデータが遅延してルータ２、またはルータ３に受信される。これに対し、リアルタイムプロトコルのデータが、ルータ６を介して暗号化通信されるので、このリアルタイムプロトコルのデータの遅延が低減される。
【００９６】
Ｓ３７において、通信速度が閾値以上と判断される、またはＳ４２、およびＳ４３において、ＳＡＤの更新が終了すると、Ｓ３８において、構築完了通知をルータ６、およびルータ３に送信する。Ｓ３７において通信速度が閾値以上と判断された場合、Ｓ３２において構築されたＶＰＮを介して、全プロトコルの暗号化通信を行う通知をルータ６、およびルータ３に送信する。Ｓ４２においてＳＡＤが更新された場合、Ｓ４１において再度構築されたＶＰＮを介して、全プロトコルの暗号化通信を行う通知をルータ６、およびルータ３に送信する。Ｓ４３においてＳＡＤが更新された場合、Ｓ１において構築されたＶＰＮを介してリアルタイムパケットの暗号化通信を行い、Ｓ３２において構築されたＶＰＮを介してリアルタイムパケット以外の暗号化通信を行う通知をルータ６、およびルータ３に送信する。ルータ６、およびルータ３はこの構築完了通知を受信すると、ＳＡＤを更新する。ルータ２のＣＰＵ１１は、構築完了通知の送信が終了すると、Ｓ３９に処理を移行する。
【００９７】
Ｓ３９において、ルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータ量を検出する。この処理は、図５に示すＳ１３の処理である。具体的には、一定期間においてルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータを抽出する。抽出された暗号化通信される各々のデータのペイロード部に含まれるデータのパケットサイズを集計する。集計されたパケットサイズを通信データ量としてフラッシュメモリ１２に記憶する。通信データ量の記憶が終了すると、Ｓ３１に処理を移行する。Ｓ３９において、ルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータ量を検出するルータ２のＣＰＵ１１が本発明の検出手段の一例である。Ｓ３９において、ルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータ量を検出するルータ２の処理が本発明の検出ステップの一例である。Ｓ３９において記憶される通信データ量が、本発明の受信前データ量の一例である。
【００９８】
Ｓ３１において、ＶＰＮ構築通知を受信していないと判断された場合、Ｓ４４において、ＶＰＮ切替通知を受信したか否かを判断する。ＶＰＮ切替通知は、図５のＳ１５において、ルータ６から送信される通知である。ＶＰＮ切替通知を受信したと判断するとＳ４５に処理を移行する。ＶＰＮ切替通知を受信していないと判断すると、Ｓ３１に処理を移行する。
【００９９】
Ｓ４５において、ルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータ量を検出する。この検出処理は、図５に示すＳ１６の処理である。また、この検出処理は、Ｓ３９と同様の処理である。測定されたデータ量を通信データ量としてフラッシュメモリ１２に記憶すると、Ｓ４６に処理を移行する。Ｓ４５において、ルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータ量を検出するルータ２のＣＰＵ１１が本発明の検出手段の一例である。Ｓ４５において、ルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータ量を検出するルータ２の処理が本発明の検出ステップの一例である。Ｓ４５において記憶される通信データ量が、本発明の受信後データ量の一例である。
【０１００】
Ｓ４６において、ルータ３との間に構築されたＶＰＮを介して暗号化通信されるデータ量が減少したか否かを判断する。この判断は、Ｓ４５において測定された通信データ量がＳ３９において測定された通信データ量よりも減少したか否かで判断される。減少したと判断すると、Ｓ４７に処理を移行する。減少していないと判断すると、Ｓ４５に処理を移行する。
【０１０１】
Ｓ４７において、ＳＡＤを更新する。始点アドレスまたは終点アドレスが、ルータ３のＩＰアドレスであるＳＡに切替済みフラグを付与する。次に、切替済みフラグが付与されたＳＡから切替済みフラグを削除する。この結果、ルータ２からルータ３への暗号化データは、図５のＳ１、およびＳ２において構築されたＶＰＮを介して暗号化通信される。切替済みフラグを削除し、ＳＡＤの更新が終了すると、Ｓ４８に処理を移行する。
【０１０２】
Ｓ４８において、切替完了通知をルータ６、およびルータ３に送信する。この切替完了通知の送信処理は、図５のＳ１９と同様の処理である。切替完了通知を送信すると、Ｓ３１に処理を移行する。
【０１０３】
図１１を参照して、ルータ６のメイン処理を説明する。このメイン処理は、ルータ６のＣＰＵ１１により実行される。このメイン処理のプログラムは、フラッシュメモリ１２に記憶される。このメイン処理のプログラムは、図示しないサーバに記憶され、ルータ６のダウンロード要求に応じて、ルータ６に送信される。
【０１０４】
Ｓ５１において、処理負荷を検出する。図５のＳ３においてルータ６に受信された暗号化パケットは、ルータ６のＣＰＵ１１により、復号される。次に、復号されたパケットは、ＣＰＵ１１により、暗号化される。この復号、および暗号化の変換処理の負荷を検出する。処理負荷の検出が終了すると、Ｓ５２に処理を移行する。ルータ６のＣＰＵ１１が、受信された暗号化パケットを復号、暗号化する変換処理が、本発明のデータを復号する処理、およびデータを暗号化する変換処理である。この変換処理によりルータ６のＣＰＵ１１にかかる負担が、本発明の変換処理負荷の一例である。Ｓ５１において、処理負荷を検出するルータ６のＣＰＵ１１が本発明の中継装置検出手段の一例である。
【０１０５】
Ｓ５２において、処理負荷が閾値以上か否かを判断する。処理負荷が閾値以上と判断すると、Ｓ５３に処理を移行する。処理負荷が閾値未満と判断すると、Ｓ６２に処理を移行する。Ｓ５２において、処理負荷が閾値以上か否かを判断するルータ６のＣＰＵ１１が本発明の中継装置判断手段の一例である。
【０１０６】
Ｓ５３〜Ｓ５５は、図５のＳ５〜Ｓ７と同様なので、簡単に説明する。Ｓ５３において、切替対象を取得するが、この切替対象は、切替済みフラグが付与されていないＳＡから抽出される。すなわち、構築情報パケットを既にルータ２、およびルータ３に送信している場合は、これら２つのルータ間の暗号化通信以外の暗号化通信が実行されている２つのルータのＩＰアドレスが抽出される。従って、抽出された２つのルータのＩＰアドレスの一方は、ルータ２またはルータ３のＩＰアドレスでも良い。抽出されたアドレスを有する２つのルータが、本発明の第１対の別の通信装置の一例である。２つのルータ毎のパケットサイズが一番大きいデータに対応する２つのルータが切替対象として選択される。この結果、切替済みフラグが付与されていないＳＡから抽出された始点アドレス、および終点アドレスを有する２つのルータは、切替済みフラグが付与されたＳＡの始点アドレス、および終点アドレスを有するルータにより暗号化通信されたデータによる処理負荷の次に割合が大きい処理負荷の原因となる暗号化通信を実行するルータである。すなわち、抽出されたアドレスを有する２つのルータが、本発明の第２対の別の通信装置の一例である。Ｓ５３において、切替対象を取得するルータ６のＣＰＵ１１が本発明の特定手段の一例である。以降の説明において抽出された２つのルータをルータ４、およびルータ５として説明する。
【０１０７】
Ｓ５４において、ＰＳＫが生成される。このＰＳＫは、切替済みフラグが付与されたＳＡの始点アドレス、及び終点アドレスを有するルータに送信したＰＳＫと異なる。抽出された２つのルータが、ルータ４とルータ５とである場合、Ｓ５５において、ルータ６は、この異なるＰＳＫ、ルータ４のアドレス、ルータ５のアドレスをペイロード部に含む構築情報パケットを生成する。構築情報パケットの生成が終了すると、Ｓ５６に処理を移行する。異なるＰＳＫ、ルータ４のアドレス、ルータ５のアドレスをペイロード部に含む構築情報パケットが本発明の第３要求通知の一例である。構築情報パケットに含まれる異なるＰＳＫと、ルータ４、およびルータ５のＩＰアドレスとが本発明の第２構築情報の一例である。
【０１０８】
構築情報パケットの生成が終了すると、Ｓ５６において、処理負荷の大幅な増加の原因となる暗号化通信があるか否かを判断する。具体的には、Ｓ５１において検出された処理負荷のうち、切替対象となる２つのルータの暗号化通信のパケットサイズが、Ｓ５１において検出された処理負荷の５０％以上か否かを判断する。５０％以上であると判断した場合、処理負荷の大幅な増加の原因となる暗号化通信があると判断し、Ｓ５８に処理を移行する。５０％未満であると判断した場合、処理負荷の大幅な増加の原因となる暗号化通信がないと判断し、Ｓ５７に処理を移行する。
【０１０９】
Ｓ５７において、切替対象の２つのルータにより暗号化通信されるパケットは、リアルタイムパケットのみか否かを判断する。リアルタイムパケットのみと判断すると、Ｓ５８に処理を移行する。リアルタイムパケットのみでないと判断すると、Ｓ５９に処理を移行する。また、リアルタイムパケットのみでないと判断された場合、ルータ６との間に構築されたＶＰＮを介して暗号化通信するルータが切替対象のルータ以外のルータが存在するか否かを判断してもよい。この場合、切替対象のルータ以外のルータが存在すると判断した場合、Ｓ５９に処理を移行する。切替対象のルータ以外のルータが存在しないと判断した場合、Ｓ５８に処理を移行する。
【０１１０】
Ｓ５８において、強制切替通知をＳ５５において作成された構築情報パケットに付与する。強制切替通知は、構築情報パケットを受信したルータに、全プロトコルのデータを、ルータ６を介さずに暗号化通信させる通知である。切替対象のルータの暗号化通信をルータ６を介さずに実行させないと、ルータ６の処理負荷が低減されないので、強制切替通知が構築情報パケットに付与される。強制切替通知の付与が終了すると、Ｓ５９に処理を移行する。
【０１１１】
Ｓ５９において、構築情報パケットを、Ｓ５３において抽出された２つのルータにＶＰＮを介して送信する。抽出された２つのルータがルータ２、およびルータ３の場合、Ｓ１、およびＳ２において構築されたＶＰＮを介してルータ２、およびルータ３に構築情報パケットを送信する。抽出された２つのルータがルータ４、およびルータ５の場合、ルータ４との間で構築されたＶＰＮ、およびルータ５との間で構築されたＶＰＮを介して構築情報パケットを送信する。構築情報パケットの送信が終了すると、Ｓ６０に処理を移行する。Ｓ５９において、構築情報パケットをルータ２に送信するルータ６のＣＰＵ１１が本発明の中継装置送信手段の一例である。
【０１１２】
Ｓ６０において、構築完了通知を受信したか否かを判断する。構築完了通知を受信したと判断すると、Ｓ６１に処理を移行する。構築完了通知を受信していないと判断すると、Ｓ６０に移行する。
【０１１３】
Ｓ６１において、ＳＡＤを更新する。この処理は、図５に示すＳ１１と同様なので、説明を省略する。ＳＡＤの更新が終了すると、Ｓ５１に処理を移行する。
【０１１４】
Ｓ５２において、処理負荷が閾値未満と判断すると、Ｓ６２において、切替済みフラグがＳＡに付与されているか否かを判断する。切替済みフラグがあると判断すると、Ｓ６３に処理を移行する。切替済みフラグが付与されていないと判断すると、Ｓ５１に処理を移行する。
【０１１５】
Ｓ６３において、切替通知を送信する。切替通知の送信処理は、図５のＳ１５の処理と同様である。切替通知の送信が終了すると、Ｓ６４に処理を移行する。Ｓ６４において、切替完了通知を受信したか否かを判断する。切替完了通知を受信したと判断すると、Ｓ６５に処理を移行する。切替済み通知を受信していないと判断すると、Ｓ６４に処理を移行する。
【０１１６】
Ｓ６５において、ＳＡＤを更新する。この更新処理は図５のＳ２０と同様である。ＳＡＤの更新が終了すると、Ｓ５１に処理を移行する。
【０１１７】
［実施形態の効果］
本実施形態のルータ２によれば、Ｓ３６において検出された処理速度が閾値未満と判断された場合、Ｓ４３において、ルータ２のＣＰＵ１１は、Ｓ１において構築されたＶＰＮを介してリアルタイムパケットの暗号化通信を行い、Ｓ３２において構築されたＶＰＮを介してリアルタイムパケット以外の暗号化通信を行うと判断する。これにより、リアルタイムパケット以外の暗号化データが、Ｓ３２において構築されたＶＰＮを介して暗号化通信されるので、リアルタイムパケット以外の暗号化データの処理速度の低下が低減される。また、ルータ２のＣＰＵ１１は、Ｓ１において構築されたＶＰＮを介してリアルタイムパケットの暗号化通信を実行するので、ルータ６の処理負荷が低減される。従って、ルータ３への、リアルタイムパケットの暗号化通信、リアルタイムパケット以外の暗号化通信の通信遅延を低減することができる。特に、リアルタイムプロトコル以外の暗号化データの暗号化通信がＳ３２において構築されたＶＰＮを介して実行される分だけルータ６の処理負荷が低減する。このルータ６の処理負荷が低減された状態で、リアルタイム性が要求されるリアルタイムプロトコルの暗号化データが、Ｓ１において構築されたＶＰＮを介して暗号化通信されるので、リアルタイム性が要求される暗号化データの通信遅延を低減することができる。
【０１１８】
本実施形態のルータ２によれば、Ｓ３２において構築されたＶＰＮを介してダミーパケットを暗号化、または復号する処理の処理速度が閾値以上かＳ３７において判断される。すなわち、Ｓ３６において通信速度が閾値以上か否かが判断され、Ｓ３７において処理速度が閾値以上か否かを判断することは、ＶＰＮを介して暗号化通信されるデータを暗号化、または復号する処理の処理速度を含む通信速度が閾値以上であるか否かが判断されたことになる。この結果、より正確にＶＰＮを介する暗号化通信に必要な通信速度が閾値以上か否かが判断される。従って、ルータ６の処理負荷が低減される可能性、およびルータ３への暗号化データの通信遅延が低減される可能性を高くすることができる。
【０１１９】
本実施形態のルータ２によれば、ルータ３から受信した時刻Ｔ２に基づき、通信速度が閾値を超えたか否かが判断される。この結果、より正確にＶＰＮを介して暗号化通信するのに必要な通信速度が閾値以上か否かが判断される。従って、ルータ６の処理負荷が低減される可能性、およびルータ３への暗号化データの通信遅延が低減される可能性を高くすることができる。
【０１２０】
本実施形態のルータ２によれば、Ｓ４５において検出された受信前データ量が、Ｓ３９において検出された通信データ量よりも小さくなった場合に、ルータ２のＣＰＵ１１は、ルータ２からルータ３への全プロトコルの暗号化データを、Ｓ１において構築されたＶＰＮを介して暗号化通信する。これにより、Ｓ２１において全プロトコルの暗号化データが暗号化通信された場合のルータ６の処理負荷が、Ｓ８においてＶＰＮ構築通知を受信した状態におけるルータ６の処理負荷よりも小さくなる。従って、Ｓ２１において全プロトコルの暗号化データが暗号化通信されても、ルータ３への暗号化データの通信遅延を低減することができる。
【０１２１】
本実施形態のルータ２によれば、Ｓ５６において、処理負荷に大幅に寄与する暗号化通信があると判断された場合、またはＳ５７においてルータ２とルータ３との間で暗号化通信される暗号化パケットがＲＴＰのみと判断された場合に、強制切替指示がＶＰＮ構築通知に含められる。Ｓ４０において、この強制切替通知がＶＰＮ構築通知に含められていると判断された場合、ルータ２は、Ｓ４１において、再度、ルータ３との間でＶＰＮを構築する。この再度構築されたＶＰＮは、Ｓ３２において構築されたＶＰＮを介して、暗号化データが暗号化通信される時の暗号化アルゴリズムよりも暗号化強度が低下する暗号化アルゴリズムが使用される。これにより、暗号化強度が低下する分だけ、Ｓ４１において構築されたＶＰＮを介して暗号化通信される暗号化データの処理速度の低下が低減される。従って、Ｓ４１において構築されたＶＰＮを介して、全プロトコルの暗号化データを暗号化通信される場合においても、ルータ３への暗号化データの通信遅延を低減することができる。
【０１２２】
本実施形態の暗号化通信システム１によれば、Ｓ６０においてルータ６が構築完了通知を受信したと判断し、Ｓ５２において、再度検出された処理負荷が閾値以上と判断された場合、ルータ２、およびルータ３とは別のルータ４、およびルータ５とに、ＰＳＫ、ルータ４のアドレス、およびルータ５のアドレスをペイロード部に含む構築情報パケットが送信される。これにより、構築情報パケットを受信したルータ４とルータ５との暗号化通信処理において、ルータ５への暗号化データの通信遅延を低減することができる。この通信遅延の低減と共に、切替完了通知を受信したルータ６の処理負荷がさらに低減される。特に、ルータ６の処理負荷に占める割合のうち、ルータ４とルータ５との暗号化通信による処理負荷は、ルータ２とルータ３との暗号化通信による処理負荷の次に大きい。この次に大きい処理負荷の原因となるルータ４とルータ５との暗号化通信がルータ６を介さずに実行されるので、ルータ６の処理負荷がさらに低減される。
【０１２３】
［変形例１］
ＩＰ電話機２１、３１、４１、５１は、スマートフォン、携帯電話、タブレット、アナログ電話機などでもよい。アナログ電話機の場合、ルータ２〜５は、アナログ電話機からの信号をデジタルデータに変換してもよい。このデジタルデータがパケットを構成する。
【０１２４】
［変形例２］
本実施形態では、Ｓ６の処理においてＰＳＫが生成されたが、新たにＰＳＫを生成しなくても良い。Ｓ６において、ルータ６は、ルータ２、およびルータ３のＩＰアドレス、およびＳ２の処理において、ルータ３とルータ６との認証に使用されたＰＳＫを含む構築情報パケットを生成しても良い。ルータ６は、Ｓ７において、この構築情報パケットを暗号化し、ルータ２に送信する。ルータ２は、ルータ３のＩＰアドレスに基づいて、ＩＳＡＫＭＰ  ＳＡ生成要求をルータ３に送信し、ルータ３とルータ６との間でＶＰＮが構築された時のＰＳＫに基づきＶＰＮを構築する。これにより、ルータ６が構築情報パケットをルータ３に送信しなくても、ルータ２とルータ３との間でＶＰＮが構築される。また、Ｓ１において認証に使用されたＰＳＫ、およびルータ２のＩＰアドレスを含む構築情報パケットをルータ３にのみ送信してもよい。
【０１２５】
［変形例３］
本実施形態では、ＰＳＫはルータのＩＰアドレスと関連付けられて、各ルータに記憶されたが、ＦＱＤＮ（Ｆｕｌｌｙ  Ｑｕａｌｉｆｉｅｄ  Ｄｏｍａｉｎ  Ｎａｍｅ）など、ルータを特定する情報であればよい。メインモードでフェーズ１の処理が行われる場合は、ＰＳＫから生成されたハッシュ値は暗号化される。従って、ルータを特定する情報は、ＩＰアドレスでしかない。よって、このＩＰアドレスが動的ＩＰアドレスである場合は、認証を行うことが出来ない。すなわち、ルータのＩＰアドレスが動的ＩＰアドレスである場合は、ＩＰアドレス以外のルータを特定する情報が用いられる。ＩＰアドレス以外のルータを特定する情報として、ＦＱＤＮなどの特定情報が用いられれば良い。よって、ＦＱＤＮなどの特定情報が構築情報パケットに含められる。アグレッシブモードで認証が実行される場合は、ＩＰアドレスが動的ＩＰでもよい。アグレッシブモードで認証が実行され、ルータを特定する情報がＩＰアドレスであれば、ＦＱＤＮなどの特定情報は構築情報パケットに含められなくてよい。
【０１２６】
[変形例４]
本実施形態のルータ２によれば、Ｓ３６において通信速度が閾値未満であると判断された場合、またはＳ３７において処理速度が、閾値未満であると判断された場合に、Ｓ１において構築されたＶＰＮを介してリアルタイムパケットの暗号化通信を行い、Ｓ３２、またはＳ４１において構築されたＶＰＮを介してリアルタイムパケット以外の暗号化通信を行うと判断したが、これに限られない。すなわち、Ｓ３６において通信速度が閾値未満であると判断された場合、またはＳ３７において処理速度が、閾値未満であると判断された場合に、Ｓ１において構築されたＶＰＮを介してＴＣＰに従うデータの暗号化通信を行い、Ｓ３２、またはＳ４１において構築されたＶＰＮを介してＴＣＰ以外のプロトコルに従うデータの暗号化通信を行うと判断してもよい。この場合、ＴＣＰが、本発明の所定のプロトコルの一例である。同様に、Ｓ１において構築されたＶＰＮを介してリアルタイムパケット以外のプロトコルに従うデータの暗号化通信を行い、Ｓ３２、またはＳ４１において構築されたＶＰＮを介してリアルタイムパケットのプロトコルに従うデータの暗号化通信を行うと判断してもよい。Ｓ１において構築されたＶＰＮを介して所定のプロトコルの暗号化通信を行い、Ｓ３２、またはＳ４１において構築されたＶＰＮを介して所定のプロトコル以外の暗号化通信を行うと判断してもよい。
【０１２７】
[変形例５]
本実施形態では、ルータ６の処理負荷に占める割合のうち、ルータ２とルータ３との暗号化通信による処理負荷の次に大きい処理負荷の原因となる暗号化通信を実行するルータ４とルータ５とが切替対象とされたが、これに限られず、ルータ６を介して暗号化通信する２つのルータが切替対象とされてもよい。
【０１２８】
[変形例６]
Ｓ３６の処理において時刻Ｔ５から時刻Ｔ０を引いた時間で定義される通信速度が閾値以上か否かが判定してもよい。時刻Ｔ５から時刻Ｔ０を引いた時間は、ルータ３との間でＶＰＮを介した暗号化通信するのに必要な通信速度を定義する。この通信速度が閾値以上であれば、Ｓ３８に処理を移行する。通信速度が閾値未満と判断するとＳ４０に処理を移行する。
【符号の説明】
【０１２９】
１                                  暗号化通信システム
２〜６                              ルータ
１１                                ＣＰＵ
１２                                フラッシュメモリ
２１、３１、４１、５１              ＩＰ電話機
２２、３２、４２、５２              ＰＣ
【図２】
2013211633.tif 000003
【図１】
2013211633.tif 000004
【図３】
2013211633.tif 000005
【図４】
2013211633.tif 000006
【図５】
2013211633.tif 000007
【図６】
2013211633.tif 000008
【図７】
2013211633.tif 000009
【図８】
2013211633.tif 000010
【図９】
2013211633.tif 000011
【図１０】
2013211633.tif 000012
【図１１】
2013211633.tif 000013