(57)【要約】【課題】安価にイーサネットのセキュリティを確保する技術を提供する。【解決手段】イーサネットスイッチ２０は、複数のポート３０〜３６と、記憶部５０と、通信管理部４０と、を備えている。複数のポート３０〜３６には端末装置６０、７０〜７４が接続する。記憶部５０は、端末装置のうちポートを介してイーサネット（登録商標）における通信を許可された正規装置６０、７２、７４を登録する登録用ＭＡＣアドレステーブル５２、ならびに正規装置であるか否かを判定するためにポートに接続された端末装置を仮に登録する認証用ＭＡＣアドレステーブル５４を記憶する。通信管理部４０は、記憶部５０に記憶された登録用ＭＡＣアドレステーブル５２と認証用ＭＡＣアドレステーブル５４との登録内容に基づいて、ブロードキャストフレームおよびマルチキャストフレームの転送および遮断を制御する。【選択図】図１
2016163245.tif 000002
【特許請求の範囲】
【請求項１】
端末装置（６０、７０〜７４）を接続する複数のポート（３０〜３６）と、
前記端末装置のうち前記ポートを介してイーサネット（登録商標）における通信を許可された正規装置（６０、７２、７４）を登録する登録用ＭＡＣアドレステーブル（５２）、ならびに前記正規装置であるか否かを判定するために前記ポートに接続された前記端末装置を登録する認証用ＭＡＣアドレステーブル（５４）を記憶する記憶部（５０）と、
前記記憶部に記憶された前記登録用ＭＡＣアドレステーブルと前記認証用ＭＡＣアドレステーブルとの登録内容に基づいて、ブロードキャストフレームおよびマルチキャストフレームの転送および遮断を制御する通信管理部（４０）と、
を備えることを特徴とするイーサネットスイッチ（２０）。
【請求項２】
請求項１に記載のイーサネットスイッチであって、
前記通信管理部は、前記登録用ＭＡＣアドレステーブルに登録されている前記正規装置が送信するブロードキャストフレームおよびマルチキャストフレームを、前記登録用ＭＡＣアドレステーブルに登録されている他の前記正規装置に転送する、
ことを特徴とするイーサネットスイッチ。
【請求項３】
請求項１または２に記載のイーサネットスイッチであって、
前記通信管理部は、前記登録用ＭＡＣアドレステーブルと前記認証用ＭＡＣアドレステーブルとの両方に登録されていない前記端末装置（７０）からブロードキャストフレームおよびマルチキャストフレームが送信されると、送信元の前記端末装置を前記認証用ＭＡＣアドレステーブルに登録する、
ことを特徴とするイーサネットスイッチ。
【請求項４】
請求項１から３のいずれか一項に記載のイーサネットスイッチであって、
前記通信管理部は、前記認証用ＭＡＣアドレステーブルに登録されている前記端末装置が送信するブロードキャストフレームおよびマルチキャストフレームを、前記登録用ＭＡＣアドレステーブルに登録されている前記正規装置のうち、送信元の前記端末装置を認証する通信制御装置（６０）に転送する、
ことを特徴とするイーサネットスイッチ。
【請求項５】
請求項１から４のいずれか一項に記載のイーサネットスイッチ（２０）と、
前記イーサネットスイッチを介した通信を制御する通信制御装置（６０）と、
を備えることを特徴とするゲートウェイ装置（１０）。
【請求項６】
請求項５に記載のゲートウェイ装置であって、
前記通信制御装置は、前記登録用ＭＡＣアドレステーブルの登録内容を書換える、
ことを特徴とするゲートウェイ装置。
【請求項７】
請求項５または６に記載のゲートウェイ装置であって、
前記通信制御装置は、前記認証用ＭＡＣアドレステーブルに登録されている前記端末装置が前記正規装置であるか否かを判定する、
ことを特徴とするゲートウェイ装置。
【請求項８】
請求項７に記載のゲートウェイ装置であって、
前記通信制御装置は、前記認証用ＭＡＣアドレステーブルに登録されている前記端末装置が前記正規装置であると認証すると、認証した前記端末装置の登録を前記認証用ＭＡＣアドレステーブルから前記登録用ＭＡＣアドレステーブルに移動する、
ことを特徴とするゲートウェイ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、イーサネットスイッチを介してイーサネット（登録商標）で通信する技術に関する。
【背景技術】
【０００２】
従来のイーサネットスイッチは、イーサネットスイッチに接続している端末装置からブロードキャストされるイーサネットフレーム（以下、「ブロードキャストフレーム」とも言う。）、ならびにマルチキャストされるイーサネットフレーム（以下、「マルチキャストフレーム」とも言う。）を、送信元の端末装置を除きイーサネットスイッチに接続している全ての端末装置に転送する。
【０００３】
従来のイーサネットスイッチは、ブロードキャストフレームおよびマルチキャストフレームを送信する端末装置が、イーサネットスイッチがイーサネットフレームを転送する範囲内において通信が許可されている正規の端末装置であるか、通信が許可されていない非正規の端末装置であるかは考慮しない。
【０００４】
これにより、例えば、非正規の端末装置からＡＲＰ（Address Resolution Protocol）要求がイーサネットフレームでブロードキャストされると、他の正規の端末装置にＡＲＰ要求が転送されるので、非正規の端末装置が正規の端末装置のＭＡＣアドレスを取得できる。その結果、非正規の端末装置は、取得したＭＡＣアドレスを使用して正規の端末装置の情報を読み出すことができるので、イーサネットのセキュリティを確保できないという問題が生じる。
【０００５】
このような情報の流出を防止するため、イーサネットスイッチのポートを複数のＶＬＡＮに分類することが知られている（例えば、特許文献１参照。）。これにより、悪意のある非正規の端末装置が属するＶＬＡＮから他のＶＬＡＮに通信できないようにする。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１０−１３６０１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
イーサネットスイッチのポートを複数のＶＬＡＮに分類してイーサネットを構成する場合、イーサネットを構成する全ての装置がＶＬＡＮに対応している必要がある。全ての端末装置をＶＬＡＮに対応したものにすると、コストの増加を招くという問題がある。
【０００８】
本発明は、上記課題を解決するためになされたものであり、安価にイーサネットのセキュリティを確保する技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明のイーサネットスイッチは、複数のポートと、記憶部と、通信管理部とを備えている。
複数のポートには端末装置が接続する。記憶部は、端末装置のうちポートを介してイーサネット（登録商標）における通信を許可された正規装置を登録する登録用ＭＡＣアドレステーブル、ならびに正規装置であるか否かを判定するためにポートに接続された端末装置を登録する認証用ＭＡＣアドレステーブルを記憶する。
【００１０】
通信管理部は、記憶部に記憶された登録用ＭＡＣアドレステーブルと認証用ＭＡＣアドレステーブルとの登録内容に基づいて、ブロードキャストフレームおよびマルチキャストフレームの転送および遮断を制御する。
【００１１】
この構成によれば、登録用ＭＡＣアドレステーブルと認証用ＭＡＣアドレステーブルとの登録内容に基づいて、イーサネットスイッチは、イーサネットスイッチに接続されている端末装置が正規装置であるか否かを判定できる。これにより、イーサネットスイッチに接続された端末装置が非正規装置の場合、イーサネットスイッチは、非正規装置から送信されるブロードキャストフレームおよびマルチキャストフレームを遮断することができる。
【００１２】
このように、イーサネットスイッチに、イーサネットスイッチに持続する端末装置が正規装置であるか否かを判定する機能を持たせることにより、イーサネットスイッチに接続する端末装置にイーサネットのセキュリティを確保するための機能を持たせる必要がない。これにより、イーサネットのセキュリティを安価に確保できる。
【００１３】
尚、イーサネットスイッチに接続する特定の端末装置を通信制御装置として、この通信制御装置にイーサネットスイッチを介した通信を制御する機能を持たせてもよい。
尚、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。
【図面の簡単な説明】
【００１４】
【図１】本実施形態のゲートウェイ装置を示すブロック図。
【図２】イーサネットスイッチによる通信管理処理を示すフローチャート。
【図３】マイコンによる通信制御処理を示すフローチャート。
【発明を実施するための形態】
【００１５】
以下、本発明が適用された実施形態を図に基づいて説明する。
［１．構成］
図１に示すゲートウェイ装置１０は、イーサネットスイッチ２０と、マイクロコンピュータ（以下、マイコンとも言う。）６０とを備える電子制御装置（ＥＣＵ）である。
【００１６】
イーサネットスイッチ２０は、ポート３０、３２、３４、３６と、通信管理部４０と、記憶部５０とを備えている。ポート３０には、ゲートウェイ装置１０に搭載されている端末装置であるマイコン６０が接続している。ポート３２、３４、３６には、それぞれ他の端末装置７０、７２、７４が接続している。
【００１７】
記憶部５０はＲＡＭ等で構成され、登録用ＭＡＣアドレステーブル５２と、認証用ＭＡＣアドレステーブル５４とを記憶する。登録用ＭＡＣアドレステーブル５２には、イーサネットスイッチ２０のポート３０、３２、３４、３６を介してイーサネットにおける通信を許可された正規装置である端末装置のＭＡＣアドレスとポート番号との対応が登録される。
【００１８】
図１では、ポート３０、３４、３６に接続されているマイコン６０と、端末装置７２、７４とが正規装置である。ポート３０に接続しているのはマイコン６０であるが、登録用ＭＡＣアドレステーブル５２に登録されるのは、マイコン６０を搭載しているゲートウェイ装置１０のＭＡＣアドレス（ＥＣＵ−Ａ）になっている。
【００１９】
認証用ＭＡＣアドレステーブル５４には、ポート３２、３４、３６に新たに端末装置が接続される場合に、その端末装置のＭＡＣアドレスと接続するポート番号とが仮に登録される。マイコン６０が接続するポート３０には他の端末装置が接続しないものとする。
【００２０】
マイコン６０は、ポート３２、３４、３６に新たに接続される端末装置に基づいて、登録用ＭＡＣアドレステーブル５２と、認証用ＭＡＣアドレステーブル５４とを書換える。
端末装置７０、７２、７４は、図示しないマイコンと、イーサネット規格で通信する通信インタフェース部とを備えるＥＣＵである。
【００２１】
［２．処理］
（１）イーサネットスイッチ２０が実行する通信管理処理について、図２のフローチャートに基づいて説明する。
【００２２】
イーサネットスイッチ２０は、ポート３０、３２、３４、３６のいずれかからブロードキャストフレームを受信すると（Ｓ４００）、登録用ＭＡＣアドレステーブル５２を参照する（Ｓ４０２）。Ｓ４００において、ブロードキャストフレームの代わりにマルチキャストフレームを受信する場合も、以下の処理は同じである。
【００２３】
Ｓ４０４において、イーサネットスイッチ２０は、ブロードキャストフレームを送信してきた送信元の端末装置のＭＡＣアドレスが登録用ＭＡＣアドレステーブル５２に登録されているか否かを判定する。
【００２４】
送信元の端末装置のＭＡＣアドレスが登録用ＭＡＣアドレステーブル５２に登録されている場合（Ｓ４０４：Ｙｅｓ）、イーサネットスイッチ２０は、送信元の端末装置は正規装置であると判断する。
【００２５】
そして、イーサネットスイッチ２０は、登録用ＭＡＣアドレステーブル５２に登録されている他のすべての正規の端末装置に送信元の端末装置から送信されたブロードキャストフレームを転送する（Ｓ４０６）。イーサネットスイッチ２０は、登録用ＭＡＣアドレステーブル５２に登録されていない端末装置にはブロードキャストフレームを転送しない。
【００２６】
例えば、図１において、端末装置７２からブロードキャストフレームが送信される場合について説明する。端末装置７２のＭＡＣアドレスは登録用ＭＡＣアドレステーブル５２に登録されているので、イーサネットスイッチ２０は、端末装置７２からブロードキャストフレームが送信されると、登録用ＭＡＣアドレステーブル５２に登録されているマイコン６０と他の端末装置７４とに、端末装置７２が送信するブロードキャストフレームを転送する。
【００２７】
端末装置７０は登録用ＭＡＣアドレステーブル５２に登録されていないので、イーサネットスイッチ２０は、端末装置７２が送信するブロードキャストフレームを端末装置７０に転送しない。
【００２８】
送信元の端末装置のＭＡＣアドレスが登録用ＭＡＣアドレステーブル５２に登録されていない場合（Ｓ４０４：Ｎｏ）、イーサネットスイッチ２０は、認証用ＭＡＣアドレステーブル５４を参照する（Ｓ４０８）。そして、イーサネットスイッチ２０は、ブロードキャストフレームを送信してきた送信元の端末装置のＭＡＣアドレスが認証用ＭＡＣアドレステーブル５４に登録されているか否かを判定する（Ｓ４１０）。
【００２９】
送信元の端末装置のＭＡＣアドレスが認証用ＭＡＣアドレステーブル５４に登録されていない場合（Ｓ４１０：Ｎｏ）、イーサネットスイッチ２０は、送信元の端末装置が正規
装置であるか否かを判定するために、送信元の端末装置のＭＡＣアドレスと、送信元の端末装置が接続されているポート番号とを認証用ＭＡＣアドレステーブル５４に仮に登録する（Ｓ４１２）。
【００３０】
そして、イーサネットスイッチ２０は、登録用ＭＡＣアドレステーブル５２に登録されている特定の端末装置である通信制御装置だけに、送信元の端末装置が送信するブロードキャストフレームを転送し、他の端末装置には転送しない（Ｓ４１４）。本実施形態では、登録用ＭＡＣアドレステーブル５２に登録されている通信制御装置のＭＡＣアドレスはＥＣＵ−Ａであるが、通信制御装置として機能するのはマイコン６０である。
【００３１】
例えば、図１において、端末装置７０からブロードキャストフレームが送信される場合について説明する。端末装置７０のＭＡＣアドレスは登録用ＭＡＣアドレステーブル５２と認証用ＭＡＣアドレステーブル５４との両方に登録されていないので、イーサネットスイッチ２０は、端末装置７２が正規装置であるか否かを判定するために、端末装置７０のＭＡＣアドレス（ＥＣＵ−Ｄ）と端末装置７０が接続するポート３２の番号（ポート＃２）とを認証用ＭＡＣアドレステーブル５４に登録する。
【００３２】
図１において、認証用ＭＡＣアドレステーブル５４に登録されている端末装置７０の登録情報が括弧で囲まれているのは、Ｓ４１２において仮に登録されたことを表わしている。
【００３３】
そして、イーサネットスイッチ２０は、端末装置７０が送信するブロードキャストフレームを、通信制御装置であるマイコン６０だけに転送し、他の端末装置７２、７４には転送しない。
【００３４】
送信元の端末装置のＭＡＣアドレスが認証用ＭＡＣアドレステーブル５４に既に登録されている場合（Ｓ４１０：Ｙｅｓ）、イーサネットスイッチ２０は本処理を終了する。つまり、イーサネットスイッチ２０は、送信元の端末装置が送信するブロードキャストフレームをどこにも転送せずに無視する。
【００３５】
（２）ゲートウェイ装置１０の通信制御装置としても機能するマイコン６０が実行する通信制御処理について、図３に基づいて説明する。
マイコン６０は、イーサネットスイッチ２０から認証用のブロードキャストフレームを受信すると（Ｓ４２０）、ブロードキャストフレームの送信元の端末装置が正規装置であるか否かを判定する（Ｓ４２２）。
【００３６】
マイコン６０は、例えば正規装置の一覧をテーブルとして記憶しており、このテーブルに登録されているか否かに基づいて、ブロードキャストフレームの送信元の端末装置が正規装置であるか否かを判定する。
【００３７】
ブロードキャストフレームの送信元の端末装置が正規装置であれば（Ｓ４２２：Ｙｅｓ）、マイコン６０は、イーサネットスイッチ２０が認証用ＭＡＣアドレステーブル５４に仮に登録した送信元の端末装置のＭＡＣアドレスを、登録用ＭＡＣアドレステーブル５２に移動して登録する（Ｓ４２４）。
【００３８】
これにより、今回登録用ＭＡＣアドレステーブル５２に登録された端末装置が次回からブロードキャストフレームを送信すると、登録用ＭＡＣアドレステーブル５２に登録されている他の端末装置にブロードキャストフレームが転送される。
【００３９】
ブロードキャストフレームの送信元の端末装置が正規装置ではない場合（Ｓ４２２：Ｎ
ｏ）、マイコン６０は本処理を終了する。つまり、マイコン６０は、認証用ＭＡＣアドレステーブル５４に仮に登録されている送信元の端末装置のＭＡＣアドレスを、登録用ＭＡＣアドレステーブル５２に移動せず、認証用ＭＡＣアドレステーブル５４に登録したままにする。
【００４０】
これにより、認証用ＭＡＣアドレステーブル５４に登録された端末装置が次回からブロードキャストフレームを送信しても、イーサネットスイッチ２０は、そのブロードキャストフレームを他のいずれの端末装置にも転送せずに無視する。
【００４１】
例えば、図１において、端末装置７０が送信するブロードキャストフレームがイーサネットスイッチ２０からマイコン６０に転送される場合について説明する。
端末装置７０のＭＡＣアドレスはマイコン６０の正規装置の一覧テーブルに登録されていないので、マイコン６０は、端末装置７０は非正規装置であると判定する。この場合、端末装置７０は登録用ＭＡＣアドレステーブル５２に登録されず、認証用ＭＡＣアドレステーブル５４に登録されたままになる。
【００４２】
これにより、端末装置７０が次回からブロードキャストフレームを送信しても、イーサネットスイッチ２０は、そのブロードキャストフレームを他のいずれの端末装置にも転送せずに無視する。
【００４３】
［３．効果］
以上説明した上記実施形態によれば、以下の効果（１）〜（３）を得ることができる。
（１）イーサネットスイッチ２０の記憶部５０に記憶された登録用ＭＡＣアドレステーブル５２と認証用ＭＡＣアドレステーブル５４との登録内容に基づいて、イーサネットスイッチ２０の通信管理部４０は、ポート３０、３２、３４、３６にそれぞれ接続されたマイコン６０、端末装置７０、７２、７４が正規装置であるか否かを判定する。
【００４４】
イーサネットスイッチ２０に、イーサネットスイッチ２０に持続する端末装置が正規装置であるか否かを判定する機能を持たせることにより、イーサネットスイッチ２０に接続するマイコン６０以外の端末装置にイーサネットのセキュリティを確保するための機能を持たせる必要がない。これにより、イーサネットのセキュリティを安価に確保できる。
【００４５】
（２）登録用ＭＡＣアドレステーブル５２と認証用ＭＡＣアドレステーブル５４との両方に登録されていない端末装置からブロードキャストフレームおよびマルチキャストフレームが送信されると、イーサネットスイッチ２０は、マイコン６０だけにブロードキャストフレームおよびマルチキャストフレームを転送する。これにより、マイコン６０以外の端末装置の通信負荷を低減できる。
【００４６】
（３）認証用ＭＡＣアドレステーブル５４に既に登録されている端末装置からブロードキャストフレームおよびマルチキャストフレームが送信されると、イーサネットスイッチ２０は、マイコン６０を含む端末装置にブロードキャストフレームおよびマルチキャストフレームを転送しない。これにより、通信制御装置であるマイコン６０の通信負荷を低減できる。
【００４７】
［４．他の実施形態］
以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されることなく、以下の種々の形態を取り得る。
【００４８】
（１）上記実施形態では、ゲートウェイ装置１０にイーサネットスイッチ２０と通信制御装置であるマイコン６０とを搭載した。これに対し、イーサネットスイッチ２０と通信
制御装置であるマイコン６０とを独立した別装置として構成してもよい。
【００４９】
（２）上記実施形態では、認証のために認証用ＭＡＣアドレステーブル５４に仮に登録された端末装置が非正規装置であるとマイコン６０が判定すると、認証用ＭＡＣアドレステーブル５４に非正規装置を登録したままにした。これに対し、マイコン６０は、認証用ＭＡＣアドレステーブル５４に仮に登録された端末装置が非正規装置であると判定すると、認証用ＭＡＣアドレステーブル５４から登録を削除してもよい。
【００５０】
（３）記憶部５０をＲＡＭで構成する場合、ゲートウェイ装置１０の電源がオフになると、登録用ＭＡＣアドレステーブル５２と認証用ＭＡＣアドレステーブル５４とに登録されている情報は消失する。この場合、ゲートウェイ装置１０の電源がオフになる前に、登録用ＭＡＣアドレステーブル５２と認証用ＭＡＣアドレステーブル５４とに登録された情報をマイコン６０がフラッシュメモリ等の不揮発性記憶装置に退避してもよい。
【００５１】
そして、ゲートウェイ装置１０の電源がオンになると、マイコン６０が不揮発性記憶装置に退避しておいた情報をインターネットスイッチ２０に送信し、登録用ＭＡＣアドレステーブル５２と認証用ＭＡＣアドレステーブル５４とに登録してもよい。
【００５２】
（４）上記実施形態における一つの構成要素が有する機能を複数の構成要素として分散させたり、複数の構成要素が有する機能を一つの構成要素に統合させたりしてもよい。また、上記実施形態の構成の少なくとも一部を、同様の機能を有する公知の構成に置き換えてもよい。また、上記実施形態の構成の一部を省略してもよい。尚、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。
【００５３】
（５）上述したイーサネットスイッチおよびゲートウェイ装置の他、当該イーサネットスイッチおよびゲートウェイ装置を構成要素とする通信システム、通信処理方法など、種々の形態で本発明を実現することもできる。
【符号の説明】
【００５４】
１０：ゲートウェイ装置、２０：イーサネットスイッチ、３０、３２、３４、３６：ポート、４０：通信管理部、５０：記憶部、５２：登録用ＭＡＣアドレステーブル、５４：認証用ＭＡＣアドレステーブル、６０：マイコン（端末装置、正規装置、通信制御装置）、７０：端末装置（非正規装置）、７２、７４：端末装置（正規装置）
【図１】
2016163245.tif 000003
【図２】
2016163245.tif 000004
【図３】
2016163245.tif 000005