(57)【特許請求の範囲】
【請求項１】
発信源から送信された通信パケットをエンティティ装置に中継するための各中継装置に用いられ、前記エンティティ装置からの追跡要求に応じて前記発信源を追跡するための要求応答側の発信源追跡装置であって、
前記エンティティ装置から受けた追跡要求メッセージから前記発信源を示すアドレス情報を抽出する発信源アドレス抽出手段と、
自己の中継装置本体が中継する通信パケットのうち、前記発信源アドレス抽出手段により抽出されたアドレス情報を送信元アドレスとして含む通信パケットを選択するパケット選択手段と、
前記パケット選択手段により選択された通信パケットを分析し、自己の中継装置本体よりも前記発信源側に配置された他の中継装置のアドレス情報を判別する中継アドレス判別手段と、
前記中継アドレス判別手段により判別されたアドレス情報を含む追跡情報メッセージを生成し、得られた追跡情報メッセージを前記エンティティ装置に送信する追跡情報送信手段と、
を備えたことを特徴とする発信源追跡装置。
【請求項２】
発信源から送信された通信パケットをエンティティ装置に中継するための各中継装置に用いられ、前記エンティティ装置からの追跡要求に応じて前記発信源を追跡するための要求応答側のプログラムであって、
前記各中継装置のコンピュータを、
前記エンティティ装置から受けた追跡要求メッセージから前記発信源を示すアドレス情報を抽出する発信源アドレス抽出手段、
自己の中継装置本体が中継する通信パケットのうち、前記発信源アドレス抽出手段により抽出されたアドレス情報を送信元アドレスとして含む通信パケットを選択するパケット選択手段、
前記パケット選択手段により選択された通信パケットを分析し、自己の中継装置本体よりも前記発信源側に配置された他の中継装置のアドレス情報を判別する中継アドレス判別手段、
前記中継アドレス判別手段により判別されたアドレス情報を含む追跡情報メッセージを生成し、得られた追跡情報メッセージを前記エンティティ装置に送信する追跡情報送信手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、通信パケットの発信源追跡技術を用いる追跡装置及びプログラムに係り、特に、通信パケットの発信源が自己のアドレス情報を詐称した場合でも、発信源を追跡し得る発信源追跡装置及びプログラムに関する。
【０００２】
【従来の技術】
近年、インターネットに代表されるオープンネットワーク等における通信が普及してきている。これに伴い、ネットワーク接続環境下にある装置は各種の攻撃を受け易い状態に常におかれている。
【０００３】
この種の攻撃としては、例えば大量のＩＰパケットを相手装置に送りつけるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed DoS）攻撃といったサービス妨害攻撃が知られている。通常、サービス妨害攻撃は、被害者の処理を飽和状態にさせることに留まらず、ネットワーク全体のリソースを消費させてしまうというように全体への悪影響が大きいので、有効な対策が求められている。
【０００４】
係る有効な対策としては、例えば攻撃に利用されたＩＰパケットの発信源を特定することが考えられている。但し、発信源の特定情報となる始点アドレスを詐称された場合、発信源の特定が困難となる。しかしながら、始点アドレスを詐称されても、ＩＰパケットの発信源を特定可能な技術が発信源追跡技術（以下、ＩＰトレースバック技術という）として開発されている。
【０００５】
ＩＰトレースバック技術の代表的な例としては、ＩＣＭＰトレースバック(Internet Control Message Protocol Traceback）がある。ＩＣＭＰトレースバックは、ＩＥＴＦ（Internet Engineering Task Force）のＩＣＭＰトレースバック（itrace）ワーキンググループにおいて提唱されている。
【０００６】
具体的にはＩＣＭＰトレースバックは、ＩＣＭＰメッセージを利用したＩＰトレースバック技術であり、ＩＰパケットの追跡情報を格納するためのＩＣＭＰメッセージ形式を規定している。例えば途中経路上のルータ装置は、２万分の１程度の一定確率で追跡対象のＩＰパケットを選択し、このＩＰパケットに対する追跡情報を生成する。しかる後、ルータ装置は、この追跡情報をＩＣＭＰメッセージに格納し、ＩＰパケットの宛先アドレスに示されたエンティティ装置に通知する。
エンティティ装置は、このＩＣＭＰメッセージ内の追跡情報を表示する。
【０００７】
【発明が解決しようとする課題】
しかしながら、以上のようなＩＣＭＰトレースバック技術では、通常時にネットワークリソースの消費を抑制する観点から、追跡対象の選択確率が２万分の１程度の低めの値に設定される。このため、サービス妨害攻撃時に、攻撃パケットが選択されずに追跡情報が生成されない場合がある。
【０００９】
本発明は上記実情を考慮してなされたもので、通常時のネットワークリソースの消費を抑制しつつ、サービス妨害攻撃時に攻撃の発信源を追跡し得る発信源追跡装置及びプログラムを提供することを目的とする。
【００１２】
【課題を解決するための手段】
第１の発明は、発信源から送信された通信パケットをエンティティ装置に中継するための各中継装置に用いられ、前記エンティティ装置からの追跡要求に応じて前記発信源を追跡するための要求応答側の発信源追跡装置であって、前記エンティティ装置から受けた追跡要求メッセージから前記発信源を示すアドレス情報を抽出する発信源アドレス抽出手段と、自己の中継装置本体が中継する通信パケットのうち、前記発信源アドレス抽出手段により抽出されたアドレス情報を送信元アドレスとして含む通信パケットを選択するパケット選択手段と、前記パケット選択手段により選択された通信パケットを分析し、自己の中継装置本体よりも前記発信源側に配置された他の中継装置のアドレス情報を判別する中継アドレス判別手段と、前記中継アドレス判別手段により判別されたアドレス情報を含む追跡情報メッセージを生成し、得られた追跡情報メッセージを前記エンティティ装置に送信する追跡情報送信手段と、を備えた発信源追跡装置である。
【００１３】
なお、第１の発明は、発信源アドレス抽出手段を省略し、パケット選択手段を「前記エンティティ装置から受けた追跡要求メッセージに基づいて、自己の中継装置本体が中継する通信パケットのうち、前記エンティティ装置のアドレス情報を宛元アドレスとして含む通信パケットを選択する」内容としてもよい。
【００１４】
従って、第１の発明は以上のような手段を講じたことにより、例えばエンティティ装置が発信源から各中継装置を介してサービス妨害攻撃を受けつつあるときでも、エンティティ装置が中継装置に発信源の追跡要求を行ない、この追跡要求の結果に基づいて、より発信源に近い中継装置を判別し、以下同様に、中継装置への追跡要求と、より発信源に近い中継装置の判別とを繰り返すことにより、発信源を追跡する。
【００１５】
これにより、サービス妨害攻撃時にも、無駄の無い追跡処理を実現することができるので、通常時のネットワークリソースの消費を抑制しつつ、サービス妨害攻撃時に攻撃の発信源を追跡することができる。
【００１７】
【発明の実施の形態】
以下、本発明の一実施形態について図面を参照しながら説明する。
図１は本発明の一実施形態に係る発信源追跡装置の適用されたネットワークシステムの一例を示す模式図である。このネットワークシステムは、クライアント装置１０が例えば５台のルータ装置２０１〜２０５からなるネットワーク３０を介して攻撃者装置４０に接続されている。
【００１８】
ここで、クライアント装置（エンティティ装置）１０は、本来のコンピュータ機能に加え、図２に示すように、要求側の発信源追跡装置（以下、要求側追跡装置という）１１を備えている。なお、要求側追跡装置１１は、ハードウェア構成及び／又はソフトウェア構成により実現可能であるが、ソフトウェア構成により実現される場合、対応する機能を実現させるためのプログラムが予め記憶媒体又はネットワークからクライアント装置１０のコンピュータにインストールされる。このようなハードウェア構成及び／又はソフトウェア構成により実現可能なことは、後述する応答側追跡装置２２でも同様である。
【００１９】
要求側追跡装置１１は、追跡処理を順次、各ルータ装置２０１〜２０５に要求するためのものであり、メッセージ生成部１２、通信部１３、メッセージ受諾部１４、追跡情報解析部１５、制御部１６を備えている。
【００２０】
ここで、メッセージ生成部１２は、追跡要求メッセージを生成するものであり、具体的には制御部１６の制御により、攻撃パケットから抽出した送信元アドレス又は制御部１６から受けた宛先アドレスを追跡対象の宛先アドレスとして追跡要求メッセージを生成し、この追跡要求メッセージを通信部１３に送出する機能をもっている。
【００２１】
但し、追跡要求メッセージは、追跡対象の宛先アドレスを含めなくてもよい。この場合、後述するルータ装置２０１〜２０５において、追跡要求メッセージの送信元のクライアント装置１０を宛先アドレスとする通信パケットを選択するようにフィルタリング条件を設定し、得られた通信パケットに基づいて追跡情報を生成する構成となる。
【００２２】
また、メッセージ生成部１２は、ＩＣＭＰトレースバックで規定された以上の情報を取得する観点から、操作者の指定操作により、制御部１６を介して指定された指定情報をルータ装置２０１〜２０５から取得するための指定情報取得要求を追跡要求メッセージに含めてもよい。
【００２３】
ここで、指定情報としては、例えば、ルータ装置２０１〜２０５のログ情報自体とログ情報から算出される統計データとの組合せ等がある。
通信部１３は、追跡情報を含むメッセージを送受信するものであり、具体的にはメッセージ生成部１３から受けた追跡要求メッセージを送信する機能と、各ルータ装置２０１〜２０５から受けた追跡情報送信メッセージをメッセージ受諾部１４に送出する機能とをもっている。
【００２４】
メッセージ受諾部１４は、メッセージを受諾および理解するためのものであり、具体的には、通信部１３から受けた追跡情報送信メッセージから追跡情報を抽出し、得られた追跡情報を追跡情報解析部１５に転送する機能をもっている。
【００２５】
追跡情報解析部１５は、追跡情報を解析するものであり、具体的には、メッセージ受諾部１４から転送された追跡情報を分析し、追跡情報の送信元のルータ装置２０ｉより先にあるどのネットワークから攻撃パケットが送信されているかを判別する機能と、判別結果に基づいて追跡可能か否かを判定する機能と、判定結果を制御部１６に転送する機能をもっている。
【００２６】
制御部１６は、追跡要求処理のための各機能部１２〜１５を制御するものであり、特に、要求側追跡装置１１が起動された時、又は追跡情報解析部１５から受けた判別結果により「追跡可能」と判定した時に、メッセージ生成部１２に追跡要求メッセージを生成させることにより、各ルータ装置２０１，２０２，…毎の追跡処理を開始する機能をもっている。
【００２７】
また、クライアント装置１０は、一般的なパーソナルコンピュータなどのクライアント機器に限らず、サーバ装置など、任意の種別の機器が使用可能となっている。
【００２８】
各ルータ装置（中継装置）２０１〜２０５は、主にＩＰデータグラムを転送するデバイスを想定しており、図３に示すように、通常のルータ機能（経路制御機能及び転送機能など）を有するルータ部２１に加え、応答側の発信源追跡装置（以下、応答側追跡装置という）２２を備えている。
【００２９】
応答側追跡装置２２は、追跡要求に応じて追跡処理を実行するためのものであり、通信部２３、メッセージ受諾部２４、制御部２５、パケットフィルタリング部２６、追跡情報生成部２７及びメッセージ生成部２８を備えている。
【００３０】
通信部２３は、追跡情報に関する情報を送受信するものであり、具体的には、クライアント装置１０から受信した追跡要求メッセージをメッセージ受諾部２４に送出する機能と、メッセージ生成部２８から受けた追跡情報送信メッセージをクライアント装置に送信する機能とをもっている。
【００３１】
メッセージ受諾部２４は、メッセージを受諾および理解するためのものであり、具体的には、通信部２３から受けた追跡要求メッセージから追跡対象の宛先アドレスを抽出し、得られた宛先アドレスを制御部２５に転送する機能をもっている。また、メッセージ受諾部２４は、追跡要求メッセージに指定情報取得要求が含まれる場合、この指定情報取得要求を追跡情報生成部２７に与えるために制御部２５に送出する機能をもっている。
【００３２】
なお、前述したように、追跡要求メッセージが追跡対象の宛先アドレスを含まない場合、メッセージ受諾部２４は、追跡要求メッセージの送信元であるクライアント装置１０のアドレス情報を制御装置２５に転送し、追跡対象の調査を依頼する機能をもっている。
【００３３】
制御部２５は、追跡応答処理のための各機能部２３〜２８を制御するものであり、特に、メッセージ受諾部２４から受けた追跡対象の宛先アドレスを送信元アドレスとして含むＩＰパケット（又はクライアント装置１０のアドレス情報を宛先アドレスとして含むＩＰパケット）を選択するようにパケットフィルタリング部２６のフィルタリング条件を設定する機能と、追跡情報生成部２７から追跡情報の生成完了が通知されたとき、パケットフィルタリング部２６のフィルタリング条件の設定を解除する機能と、パケットフィルタリング部２６から転送されたＩＰパケットを追跡情報生成部２７に転送する機能と、メッセージ受諾部２４から受けた指定情報取得要求を追跡情報生成部２７に転送する機能とをもっている。
【００３４】
パケットフィルタリング部２６は、追跡対象パケットをフィルタリングするものであり、具体的には、制御部２５により設定されたフィルタリング条件に基づいて、該当する受信パケットを制御部２５に転送する機能をもっている。
【００３５】
追跡情報生成部２７は、追跡対象パケットに対する追跡情報を生成するものであり、具体的には、制御部２５から受けたＩＰパケットを分析して追跡情報を生成し、得られた追跡情報をメッセージ生成部２８に転送する機能と、追跡情報の生成完了を制御部２６に通知する機能とをもっている。ここで、追跡情報としては、例えば、直近のリンクの情報（自ルータ装置２０ｉや対向ルータ装置２０i+1のインタフェースやネットワークアドレスなどのアドレス割当情報）やログ情報などが好適に使用される。
【００３６】
また、追跡情報生成部２７は、制御部２５から受けた指定情報取得要求に基づいて指定情報を取得し、この指定情報を追跡情報に含めてメッセージ生成部２８に転送する機能をもっている。
【００３７】
メッセージ生成部２８は、追跡情報送信メッセージを生成するものであり、具体的には、追跡情報生成部２７から追跡情報を受けると、この追跡情報を含む追跡情報送信メッセージを生成し、得られた追跡情報送信メッセージを通信部２３に転送する機能をもっている。なお、追跡情報の通信手段は、任意であるが、信頼実績などの観点からＩＣＭＰ(Internet Control Message Protocol)メッセージが好ましい。
【００３８】
また、ルータ装置２０１〜２０５は、ネットワーク３０の全てを必ずしも構成しなくてもよく、少なくともネットワーク３０の一部を構成していればよい。また、応答側追跡装置２２は、パケットの中継装置に用いるものなので、ルータ装置２０１〜２０５に限らず、ゲートウェイ装置に用いてもよい。
【００３９】
攻撃者装置（発信源）４０は、通常のコンピュータ機能を有するものであり、ここでは、攻撃者の操作により、自装置４０の送信元アドレスを詐称した大量のＩＰパケットをクライアント装置１０に送信する、いわゆるＤｏＳ攻撃を実行するものである。
【００４０】
次に、以上のように構成された追跡装置が適用されたネットワークシステムの動作を図４のフローチャートを用いて説明する。
いま、クライアント装置１０は、攻撃者装置４０から大量のＩＰパケットを送りつけられるＤｏＳ攻撃を受けつつあるとする。このとき、ＩＰパケットは、クライアント装置１０からｉ番目（ｉ≧１）に近いルータ装置２０ｉから転送されていると推測されるとする。
【００４１】
このとき、クライアント装置１０においては、管理者の操作又は図示しないＩＤＳ(Intrusion Detection System: 侵入検出システム)の処理などにより、要求側追跡装置１１が起動される。
【００４２】
要求側追跡装置１１は、制御部１６の制御により、メッセージ生成部１２が攻撃パケット内の送信元アドレスを抽出し、この送信元アドレスを追跡対象の宛先アドレスとして追跡要求メッセージを生成し（ＳＴ１）、この追跡要求メッセージを通信部１３を介して、追跡処理を要求したいルータ装置２０ｉに送信する（ＳＴ２）。なお、追跡要求メッセージは、追跡対象の宛先アドレスを含まなくてもよく、また、指定情報取得要求を含んでもよい。
【００４３】
ルータ装置２０ｉにおいては、応答側追跡装置２２が通信部２３により追跡要求メッセージを受信すると（ＳＴ３）、メッセージ受諾部２４により追跡要求メッセージから追跡対象の宛先アドレスを抽出し、制御部２５により、この宛先アドレスを送信元アドレスとして含むＩＰパケットを選択するようにパケットフィルタリング部２６のフィルタリング条件が設定される。
【００４４】
これにより、パケットフィルタリング部２６は、ルータ装置２０ｉが受信する各ＩＰパケットから追跡対象の宛先アドレスを含むＩＰパケットを選択し（ＳＴ４）、この追跡対象のＩＰパケットを制御部２５を介して追跡情報生成部２７に転送する。なお、追跡要求メッセージ内に指定情報取得要求があった場合、この指定情報取得要求も制御部２５を介して追跡情報生成部２７に転送される。
【００４５】
追跡情報生成部２７は、まず、追跡対象のＩＰパケットを集中的に収集・分析して自己のルータ装置２０ｉよりも攻撃者装置４０側のいずれのネットワーク（；ルータ装置２０i+1）から攻撃パケットが送信されているかを判別し、判別したルータ装置i+1のアドレス情報を含む追跡情報を生成し（ＳＴ５）、得られた追跡情報をメッセージ生成部２８に転送すると共に、制御部２６を介してパケットフィルタリング部２６の設定を解除させる。なお、追跡情報生成部２７は、指定情報取得要求を受けていた場合、この指定情報取得要求に対応する指定情報を含めた追跡情報をメッセージ生成部２８に転送する。
【００４６】
メッセージ生成部２８は、転送された追跡情報を含む追跡情報送信メッセージを生成し、得られた追跡情報送信メッセージを通信部２３を介してクライアント装置１０に送信する（ＳＴ６）。
【００４７】
クライアント装置１０においては、要求側追跡装置１１が通信部１３により追跡情報送信メッセージを受信すると（ＳＴ７）、メッセージ受諾部２４により追跡情報送信メッセージから追跡情報を抽出して追跡情報解析部１５に転送する。
【００４８】
次に、追跡情報解析部１５は、追跡情報を分析し（ＳＴ８）、追跡情報送信メッセージを送信したルータ装置２０ｉよりも攻撃者装置４０側のいずれのネットワーク（；ルータ装置２０i+1）から攻撃パケットが送信されているかを判別し、判別結果を制御部１６に転送する。
【００４９】
制御部１６は、この判別結果に基づいて追跡可能か否かを判定し（ＳＴ９）、判定結果が「追跡不可」を示すときには処理を終了するが、「追跡可能」を示すときには、メッセージ生成部１２を制御し、今のルータ装置２０２よりも先のネットワークにあるルータ装置２０i+1に対する追跡要求メッセージをメッセージ生成部１２に生成させることにより、前述同様にステップＳＴ１〜ＳＴ９からなる追跡処理を開始する（ＳＴ１０）。
【００５０】
以下同様に、追跡要求を送るルータ装置２０i+1を、ルータ装置２０i+2，２０i+3，…というように１台ずつ攻撃者装置４０に近づけていくことにより、攻撃パケットの送信元アドレスが改ざんされていたとしても、攻撃者装置４０をネットワークの１ホップ毎に追跡することができる。
【００５１】
上述したように本実施形態によれば、クライアント装置１０が攻撃者装置４０から各ルータ装置２０１〜２０５を介してサービス妨害攻撃を受けつつあるときでも、クライアント装置１０がルータ装置２０ｉに攻撃者装置４０の追跡要求を行ない、この追跡要求の結果に基づいて、より発信源に近いルータ装置２０i+1を判別し、以下同様に、ルータ装置２０i+1，…への追跡要求と、より攻撃者装置４０に近いルータ装置２０i+2，…の判別とを繰り返すことにより、発信源を追跡する。
【００５２】
これにより、サービス妨害攻撃時にも、無駄の無い追跡処理を実現することができるので、通常時のネットワークリソースの消費を抑制しつつ、サービス妨害攻撃時に攻撃の発信源を追跡することができる。
【００５３】
詳しくは、ルータ装置２０５毎に追跡することにより、攻撃者の最寄りのルータ装置２０５までネットワーク単位で探索でき、最寄りのルータから攻撃者まではルータのログ情報やアドレス割当情報などを利用してＩＰパケットの発信元を追跡することができる。
【００５４】
また、クライアント装置１０が、指定情報を取得するための情報取得要求を追跡要求メッセージに含めることにより、ＩＣＭＰトレースバックで規定された情報以上の情報を取得することができ、詳細なＩＰトレースバックを実現することができる。
【００５５】
また、追跡要求メッセージが追跡対象の宛先アドレスを含まない場合でも、ルータ装置２０ｉの制御部２５が、クライアント装置１０のアドレス情報を宛先アドレスにもつ通信パケットを選択するようにフィルタリング条件を設定することにより、前述同様に追跡情報を生成できるので、利便性の高い発信源追跡技術を実現することができる。
【００５６】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００５７】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００５８】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【００５９】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【００６０】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００６１】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【００６２】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００６３】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【００６４】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【００６５】
【発明の効果】
以上説明したように本発明によれば、通常時のネットワークリソースの消費を抑制しつつ、サービス妨害攻撃時に攻撃の発信源を追跡できる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係る発信源追跡装置の適用されたネットワークシステムの一例を示す模式図
【図２】同実施形態におけるクライアント装置の一例を示す機能ブロック図
【図３】同実施形態におけるルータ装置の一例を示す機能ブロック図
【図４】同実施形態における動作を説明するためのフローチャート
【符号の説明】
１０…クライアント装置
１１…要求側追跡装置
１２，２８…メッセージ生成部
１３，２３…通信部
１４，２４…メッセージ受諾部
１５…追跡情報解析部
１６，２５…制御部
２０１〜２０５…ルータ装置
２１…ルータ部
２２…応答側追跡装置
２６…パケットフィルタリング部
２７…追跡情報生成部
３０…ネットワーク
４０…攻撃者装置
【図１】
0003920668.tif 000002
【図２】
0003920668.tif 000003
【図３】
0003920668.tif 000004
【図４】
0003920668.tif 000005