(57)【要約】ネットワーク環境内でデータ交換を管理するシステムおよび方法が記載される。ソースデバイス（１１２−１）においてフロータグがデータパケットに割り当てられる。フロータグは、集約装置（２００）のポート（ポート２）に対応するポート識別情報を有する。宛先装置（１１２−２）は、集約装置のポートと通信する。データパケットが、集約装置において認証される。認証されたデータパケットのフロータグ内のポート識別情報によって、データパケットは、ソースデバイスから宛先装置へ集約装置を介して出力される。【選択図】図１
2016502795.tif 000002
【特許請求の範囲】
【請求項１】
フロータグをソースデバイスへ送信することであって、前記フロータグは集約装置のポートに対応するポート識別情報を含むことと、
前記ソースデバイスから前記フロータグを含むデータパケットを受信することと、
前記集約装置において前記データパケットを認証することと、
前記認証されたデータパケットの前記フロータグ内の前記ポート識別情報によって、前記認証されたデータパケットを出力することと、
を含む、ネットワーク環境内のデータ交換を管理する方法。
【請求項２】
前記認証されたデータパケットは、前記集約装置の前記ポートと通信する宛先装置へ出力され、前記ポート識別情報は、前記宛先装置のＭＡＣアドレスにマッピングされる、請求項１に記載の方法。
【請求項３】
前記ソースデバイスはサーバノードを有する、請求項１に記載の方法。
【請求項４】
前記ソースデバイスから前記集約装置へ前記ポート識別情報についての要求を送信することであって、前記要求は宛先装置のＭＡＣアドレスを含むことと、
前記集約装置が、前記受信したＭＡＣアドレスを前記ポート識別情報と関連付ける前記集約装置のマッピングテーブルエントリによって、前記ポート識別情報を前記ソースデバイスへ送信することと、
をさらに含む、請求項１に記載の方法。
【請求項５】
前記集約装置において前記フロータグを生成することと、
前記ポート識別情報を含む前記フロータグを前記ソースデバイスへ転送することと、
前記フロータグを前記ソースデバイスにおいて格納することと、
をさらに含む、請求項４に記載の方法。
【請求項６】
構成の変化を検出することと、
前記集約装置から前記ソースデバイスへ要求を送信することであって、前記要求は前記構成の変化に関連するデータを含むことと、
前記要求に応じて、前記構成の変化に関連する前記データを含むようにフロータグキャッシュを更新することと、
をさらに含む、請求項１に記載の方法。
【請求項７】
前記フロータグを検証することは、
前記ソースデバイスから前記集約装置へルーティング要求メッセージを送信することと、
前記集約装置から前記フロータグをシールする認証情報を受信することと、
前記フロータグおよび前記データパケットを前記ソースデバイスから前記集約装置へ送信することであって、前記フロータグは、前記ルーティングデータおよび前記認証情報を含むことと、
前記集約装置において認証情報を検証することと、
を含む、請求項１に記載の方法。
【請求項８】
前記フロータグは、前記集約装置において生成された複数の認証情報の中で前記認証情報に対応する世代ＩＤを有する、請求項７に記載の方法。
【請求項９】
前記認証情報を検証することは、
前記集約装置において前記認証情報を生成することと、
前記ソースデバイスから送信された前記認証情報を、前記集約装置において再計算された認証情報と比較することと、
比較結果に応じて前記データパケットを処理することと、
を含む、請求項７に記載の方法。
【請求項１０】
前記データパケットを破棄することと、
前記ソースデバイスから送信された前記認証情報が無効であるという判定に応じて、前記検証結果のログを生成することと、
をさらに含む、請求項９に記載の方法。
【請求項１１】
前記集約装置において回転キーセレクタからキーを提供することと、
集約装置において、前記キーを使用して、複数の生成された認証情報から前記認証情報を選択することと、
をさらに含む、請求項９に記載の方法。
【請求項１２】
ソースデバイスにおいてフロータグキャッシュを保持することであって、前記フロータグキャッシュは、装置ＭＡＣアドレスとポート識別情報との間のマッピングに関連する情報を有するフロータグを含むこと、
をさらに有する、請求項１に記載の方法。
【請求項１３】
集約装置において生成されたフロータグおよび認証情報をソースデバイスで受信することであって、前記フロータグはルーティングデータを含むことと、
前記フロータグおよび対応するデータのユニットを含むデータパケットを、前記ソースデバイスから集約装置へ出力することと、
を含む、データパケットの処理方法。
【請求項１４】
前記フロータグ内の前記ルーティングデータは、宛先装置のＭＡＣアドレスに対応する集約装置のポート識別情報を含む、請求項１３に記載の方法。
【請求項１５】
前記フロータグは、前記集約装置において生成された複数の認証情報の中で前記認証情報に対応する世代ＩＤを備える、請求項１３に記載の方法。
【請求項１６】
前記ソースデバイスから送信された前記認証情報の無効の判定に応じて、検証結果のログを生成すること、
をさらに含む、請求項１３に記載の方法。
【請求項１７】
前記集約装置において回転キーセレクタからキーを提供することと、
前記集約装置において、前記キーを用いて、複数の生成された認証情報から前記認証情報を選択することと、
をさらに含む、請求項１３に記載の方法。
【請求項１８】
前記集約装置における前記認証情報の検証により前記データパケットを認証することと、
前記認証情報の検証に応じて、前記フロータグ内の前記ルーティングデータによって前記データのユニットを処理することと、
をさらに含む、請求項１３に記載の方法。
【請求項１９】
データ伝送動作においてフロータグをデータパケットに割り当てるソースデバイスと、
前記データ伝送動作において前記データパケットを受信する宛先装置と、
前記ソースデバイスが通信する第１のポートと、前記宛先装置が通信する第２のポートを有する集約装置と、を備え、
前記集約装置は、フロータグ内のルーティングデータを処理し、フロータグをシールする認証情報を検証するパケット管理装置を有し、前記フロータグ内の前記ルーティングデータが前記第２のポートに対応するポート識別情報を含み、前記フロータグ内の前記ポート識別情報によって、前記集約装置が前記データパケットを前記ソースデバイスから前記宛先装置へ伝送する、
データネットワーク。
【請求項２０】
前記ソースデバイスは複数のエントリを有するフロータグキャッシュを備え、第１のエントリが前記ソースデバイスのＭＡＣアドレスと第１のポートに対応するポート識別情報との間のマッピングを有し、第２のエントリが前記宛先装置のＭＡＣアドレスと第２のポートに対応するポート識別情報との間のマッピングを有する、請求項１９に記載のデータネットワーク。
【請求項２１】
前記パケット管理装置は、前記ソースデバイスから送信された要求に応じて、前記宛先装置のＭＡＣアドレスと前記第２のポートに対応する前記ポート識別情報との間のマッピングを提供するマッピングテーブルを備える、請求項１９に記載のデータネットワーク。
【請求項２２】
前記パケット管理装置は、ポート構成の変化を検出する構成管理モジュールを備え、前記ポート構成の変化に応じて前記マッピングテーブルが更新される、請求項２１に記載のデータネットワーク。
【請求項２３】
前記パケット管理装置は、前記認証情報を生成する認証情報処理エンジンを備える、請求項１９に記載のデータネットワーク。
【請求項２４】
前記パケット管理装置は、前記送信元装置から受信した前記認証情報を検証する認証情報検証モジュールを備える、請求項２３に記載のデータネットワーク。
【請求項２５】
前記パケット管理装置は、複数の認証情報から前記認証情報を選択するキーを提供する回転キーセレクタを備える、請求項２３に記載のデータネットワーク。
【請求項２６】
ソースデバイスと通信する第１のポートと、
宛先装置と通信する第２のポートと、
マッピングテーブルを有するパケット管理装置であって、前記マッピングテーブルは、前記第１のポートと前記ソースデバイスとの間の第１のマッピングと、前記第２のポートと前記宛先装置との間の第２のマッピングを含む、パケット管理装置と、を備え、
前記パケット管理装置は、データのユニットを前記ソースデバイスから受信し、前記データのユニットとともに提供された前記第２のポートに関連する情報によって、前記データを前記宛先装置へルーティングする、
集約装置。
【請求項２７】
前記パケット管理装置は、ポート構成の変化を検出する構成管理モジュールを備え、前記ポート構成の変化に応じて前記マッピングテーブルが更新される、請求項２６に記載の集約装置。
【請求項２８】
前記パケット管理装置は、前記ユニットの認証のための認証情報を生成する認証情報処理エンジンを備える、請求項２７に記載の集約装置。
【請求項２９】
前記パケット管理装置は、前記ソースデバイスから前記フロータグとともに受信した認証情報を検証するように、前記生成された認証情報を使用する認証情報検証モジュールを備える、請求項２８に記載の集約装置。
【請求項３０】
前記パケット管理装置は、前記認証情報を生成するキーを提供する回転キーセレクタを備える、請求項２８に記載の集約装置。
【請求項３１】
コンピュータ可読プログラムコードを有するコンピュータ可読記憶媒体を含むコンピュータプログラム製品であって、前記コンピュータ可読プログラムコードは、
ソースデバイスにおいてフロータグをデータパケットに割り当てるように構成されたコンピュータ可読プログラムコードであって、前記フロータグは集約装置のポートに対応するポート識別情報を有し、宛先装置が前記集約装置の前記ポートと通信する、コンピュータ可読プログラムコードと、
前記集約装置において前記データパケットを認証するように構成されたコンピュータ可読プログラムコードと、
前記認証されたデータパケットの前記フロータグ内の前記ポート識別情報によって、前記ソースデバイスから前記宛先装置へ前記集約装置を介して前記データパケットを出力するように構成されたコンピュータ可読プログラムコードと、を備える、
コンピュータプログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して、データネットワークに関し、より具体的には、データネットワーク装置間のデータフローを制御するシステムおよび方法に関する。
【背景技術】
【０００２】
データセンタなどの大規模ネットワーク環境は、企業および組織をサポートするインターネットおよびイントラネットサービスを提供可能である。一般的なデータセンタは、コンピュータ、ドメインネームシステム（ＤＮＳ）サーバ、ネットワークスイッチ、ルータ、データ記憶装置などの種々のタイプの電子機器を収容可能である。データセンタは、スイッチ、ルータなどを有するスイッチングアーキテクチャを介して互いにおよび外部の装置と通信する何百または何千もの相互接続されたホスト装置（例えばサーバノード）を有し得る。ホスト装置とネットワークスイッチとの間のデータ交換では、ホスト装置は、例えばイーサネット（登録商標）フレーム内でデータペイロードとともに宛先媒体アクセス制御（ＭＡＣ）アドレスをスイッチへ送信する。次に、スイッチは、データペイロードの意図された宛先を判断するために、ＭＡＣアドレスを復号する。従来のネットワークスイッチは、宛先装置ＭＡＣアドレスなどのフレーム転送情報と、宛先装置にデータを出力するためのスイッチポート情報と、を有するコンテンツアドレス可能メモリ（ＣＡＭ）テーブルとともに通常構成される。
【発明の概要】
【課題を解決するための手段】
【０００３】
一態様によれば、ネットワーク環境内でデータ交換を管理する方法が提供される。フロータグがソースデバイスへ送信される。フロータグは、集約装置のポートに対応するポート識別情報を有する。フロータグを含むデータパケットが、ソースデバイスから受信される。データパケットは、集約装置で認証される。認証されたデータパケットは、認証されたデータパケットのフロータグ内のポート識別情報によって出力される。
【０００４】
他の態様によれば、データパケットの処理方法が提供される。ソースデバイスは、フロータグと、集約装置で生成された認証情報と、を受信する。フロータグは、ルーティングデータを有する。データパケットは、フロータグと、ソースデバイスから集約装置への対応するデータのユニットと、を含む。
【０００５】
他の態様によれば、ソースデバイスと、宛先デバイスと、集約装置と、を有するデータネットワークが提供される。ソースデバイスは、データ伝送動作においてフロータグをデータパケットに割り当てる。宛先デバイスは、データ伝送動作においてデータパケットを受信する。集約装置は、ソースデバイスが通信する第１のポートと、宛先デバイスが通信する第２のポートと、を有する。集約装置は、フロータグ内のルーティングデータを処理し、フロータグをシール（ｓｅａｌ）する認証情報を検証するパケット管理デバイスを有する。フロータグ内のルーティングデータは、第２のポートに対応するポート識別情報を含む。集約装置は、フロータグ内のポート識別情報によって、データパケットをソースデバイスから宛先デバイスへ伝送する。
【０００６】
他の態様によれば、ソースデバイスと通信する第１のポートと、宛先デバイスと通信する第２のポートと、マッピングテーブルを有するパケット管理装置と、を備える集約装置が提供される。マッピングテーブルは、第１のポートとソースデバイスとの間の第１のマッピングと、第２のポートと宛先デバイスとの間の第２のマッピングと、を含む。パケット管理装置は、データのユニットをソースデバイスから受信し、データのユニットとともに提供された第２のポートに関連する情報によって、データを宛先デバイスへルーティングする。
【０００７】
他の態様によれば、コンピュータ可読プログラムコードを有するコンピュータ可読記憶媒体を備えるコンピュータプログラム製品が提供される。コンピュータ可読プログラムコードは、ソースデバイスにおいてフロータグをデータパケットに割り当てるように構成されたコンピュータ可読プログラムコードを有する。フロータグは、集約装置のポートに対応するポート識別情報を有する。宛先デバイスは、集約装置のポートと通信する。コンピュータ可読プログラムコードは、集約装置でデータパケットを認証するように構成されたコンピュータ可読プログラムコードと、認証されたデータパケット内のポート識別情報によって、データパケットをソースデバイスから宛先デバイスへ集約装置を介して出力するように構成されたコンピュータ可読なプログラムコードと、をさらに有する。
【０００８】
本発明の上述した利点および更なる利点は、後述の記載を添付の図面と併せて参照することにより、より良く理解され得る。種々の図面においてで、同一の符号は同一の構造上の構成要素および機能を示す。図面は必ずしも縮尺通りではなく、代わりに本発明の原理を示すものとして重点が置かれている。
【図面の簡単な説明】
【０００９】
【図１】本発明の概念の実施形態を実施可能なコンピューティング環境のブロック図である。
【図２】一実施形態による図１の集約システムのパケット管理装置のブロック図である。
【図３】一実施形態によるネットワーク環境内のデータ交換の管理方法のフローチャートである。
【図４】他の実施形態によるネットワーク環境内のデータ交換の管理方法のフローチャートである。
【図５】一実施形態によるパケット認証方法のフローチャートである。
【図６】一実施形態によるサーバノードから集約装置へ出力されるパケットの内容を示す図である。
【図７】一実施形態による検証プロセスを示す詳細なブロック図である。
【発明を実施するための形態】
【００１０】
以下の記載では特定の詳細を記載しているが、当業者は、システムおよび方法を少なくともいくつかの詳細なしに実施可能であることを理解すべきである。一部のケースでは、本発明を不明瞭にしないように、既知の機能またはプロセスを詳細に記載していない。
【００１１】
従来のサーバノードは、データパケットをネットワークスイッチへ送信し、ネットワークスイッチは、データパケットとともに提供される送信元ＭＡＣアドレスおよび宛先ＭＡＣアドレスによって、データパケットを宛先デバイスへ転送する。しかし、スイッチのＣＡＭテーブルの管理は、ロジック集約的なステップのセットを必要とし、それはＭＡＣアドレス検索または関連する復号機能、ＭＡＣアドレス−ポートマッピングなどを含む。このコストがかかる処理は、仮想ネットワーク構成内で広がる可能性があり、そこではネットワークスイッチへの接続ごとに仮想マシン（ＶＭ）が提供され、各ＶＭは１つ以上のＭＡＣアドレスを必要とする。
本発明の概念のいくつかの機能は、データパケット、フレーム、セル、または、データセンタなどのネットワーク環境内の集約装置と通信する１つ以上のサーバノード間で交換される他の固定量または可変量のデータのルーティングを効率的に制御し、データの伝送に関連するセキュリティ関連の特性（例えば、送信元ＭＡＣアドレスの検証、仮想ローカルエリアネットワーク（ＶＬＡＮ）メンバーシップ、宛先ＭＡＣアドレスフィルタリング）を実施するアプローチを有してもよい。集約装置は、ソースデバイスから、集約装置を通して宛先デバイスへデータパケットをルーティングする要求を受信する。集約装置は、宛先デバイスのＭＡＣアドレスにマッピングされたポート識別子などを含むフロータグを生成する。また、集約装置は、フロータグをシールするのに使用可能な認証情報も生成可能である。フロータグは、ソースデバイスにより受信され、フロータグキャッシュ内に格納される。認証情報に加え、フロータグは、データの宛先デバイスへのルーティングのために、ＭＡＣアドレスの代わりに、集約装置が使用するスイッチポート番号または他のルーティング情報を有することが可能である。その後のデータ交換の間、集約装置は、ソースデバイスから受信したパケットを、フロータグ内のポート番号または関連する識別子に対応するポートへ向ける。集約装置は、受信されたフロータグからのポート番号などを、ＭＡＣアドレスの代わりにデータをルーティングするのに使用する。従って、ＭＡＣアドレス検索の必要がない。これは、復号機能などをハードウェア集約的なＣＡＭテーブルの代わりに集約装置でソフトウェア内で実行することを可能にし、それによって、ＭＡＣアドレスの処理時に通常必要とされるハードウェアの労力を減少させる。
【００１２】
また、本発明の概念の関連する付加または代替的な機能は、特に仮想化アプリケーションでのＭＡＣアドレスのなりすましなどへの露出のリスクも減少可能である。これは、パケットを宛先デバイスへルーティングする前にフロータグの内容をシールする認証情報であって、フロータグとともに受信される認証情報を検証する集約装置により得ることができる。認証情報は、集約装置で認証情報を再計算して、再計算した認証情報を、受信した認証情報と比較することによって、検証可能である。
【００１３】
図１は、本発明の概念を実施可能な実施形態のコンピューティング環境１０のブロック図である。コンピューティング環境１０は、データネットワークを有することが可能であり、データは、ネットワークの構成要素間で交換される。コンピューティング環境１０は、複数のサーバノード１１２−１から１１２−Ｎ（総称して１１２）を有しており、Ｎは０より大きい整数である。サーバノード１１２は、集約装置２００と通信パス１１６を確立する周辺構成要素相互接続エクスプレス（ＰＣＩｅ）コネクタなどによって、集約装置２００へ接続されている。サーバノード１１２は、シングルソケットサーバ、または、ＰＣＩｅインタフェースなどによって集約装置２００に装着された関連するマイクロプロセッサを備えることが可能である。他の低電力のホスト装置を、集約装置２００と通信するように構成および配置可能である。サーバノード１１２を、プロセッサクラスタまたは他の既知の配置として構成および配置可能である。１つ以上のサーバノード１１２を、仮想化または非仮想化することが可能である。
【００１４】
サーバノード１１２は、例えばＮＩＣなどの１つ以上のネットワークインタフェースを有する。仮想化されたサーバノードおよび／または集約装置２００は、複数の仮想ネットワークインタフェースカード（ｖＮＩＣ）を有することが可能である。
【００１５】
サーバノード１１２はプロセッサ１０２を有し、プロセッサ１０２は、１つ以上のマイクロプロセッサ、中央処理装置（ＣＰＵ）、グラフィック処理ユニット（ＧＰＵ）、デジタル信号プロセッサ（ＤＳＰ）、特定用途集積回路（ＡＳＩＣ）、メモリコントローラ、マルチコアプロセッサもしくは他のタイプのデータ処理装置、または、これらの装置の一部および組み合わせを有することが可能である。
【００１６】
また、サーバノード１１２は、メモリ（図示せず）を有する。メモリは、例えば、ＤＲＡＭまたはスタティックＲＡＭ（ＳＲＡＭ）などの不揮発性または揮発性メモリであってよい。メモリに格納されるものには、オペレーティングシステムのプログラムコード、１つ以上のアプリケーション、または、プロセッサ１０２により実行される他のソフトウェアプログラムが含まれる。また、メモリに格納されるものには、ノードインタフェース１２２のいくつかまたは全て、装置ドライバ１２４、フロータグキャッシュ１２６、および、ネットワークスタック１２８が含まれ得る。
【００１７】
ノードインタフェース１２２は、ＰＣＩｅポートまたは関連するネットワークコネクタを有し、集約装置２００との間で通信パス１１６を確立する装置ドライバ１２４と通信することが可能である。
【００１８】
フロータグキャッシュ１２６は、ＭＡＣアドレス−ルーティング情報マップデータを格納する。ルーティング情報は、出口ポートまたは宛先デバイスに対応する他の識別子を含み得る。実施形態では、フロータグキャッシュ１２６は、例えば、｛宛先ＭＡＣアドレス，ＶＬＡＮタグ（存在する場合）｝などのタプル（ｔｕｐｌｅ）を可変長のフロータグにマッピングする。例えば、フロータグキャッシュ１２６は、サーバノード１１２−２のＭＡＣアドレスを集約装置２００のポート２とマッピングすることが可能である。フロータグを、イーサネット（登録商標）フレームまたは例えば、セル、パケットなどのデータの他のユニットで集約装置２００へ送信されるヘッダ内に挿入することが可能である。
【００１９】
ホストドライバとも呼ばれるドライバ１２４は、フロータグキャッシュ１２６を管理可能である。実施形態では、ドライバ１２４は、仮想キューと通信する仮想キューインタフェース１３２、または、集約装置２００でｖＮＩＣによってサポートされた仮想キュー２１８を有する。
【００２０】
ネットワークスタック１２８は、ネットワーク通信のための複数レイヤのソフトウェアスタックを有することが可能である。ネットワークスタック１２８は、送信制御プロトコル（ＴＣＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、または、インターネットプロトコル（ＩＰ）一式に含まれる関連するプロトコルを有することが可能である。ネットワークスタック１２８は、他のネットワーク、移送および／もしくはリンクレイヤ、または、例えばオープンシステム相互接続（ＯＳＩ）モデルに準拠する他の抽象化レイヤを有することが可能である。例えば、ネットワークスタック１２８のリンクレイヤは、送信元ＭＡＣアドレスおよび宛先ＭＡＣアドレスをおき、データパケットをサーバノード１１２−１の特定のネットワークインタフェース（例えば、インタフェース１２２）に向けることを可能にする。
【００２１】
上述したように、サーバノード１１２−１を仮想化することが可能である。仮想化されたサーバノード１１２−１は、１つ以上の仮想マシン（図示せず）、または、ゲスト、ハイパーバイザおよび／もしくは他の仮想化構成要素を有することができ、サーバノード１１２−１が、例えば、物理ＮＩＣ２４２および／もしくはＢＩＯＳ、ＨＢＡまたは集約装置２００と通信する他のハードウェア装置などのハードウェアを共用することを可能にする。
【００２２】
サーバノード１１２が１つ以上のリモート電子装置１５２と通信可能となるように、集約装置２００を、サーバノード１１２と、１つ以上のネットワークインタフェースカード（ＮＩＣ）２４２または関連するネットワークアダプタと、の間に接続することが可能である。集約装置２００をサーバノード１１２に対する接続構造として使用可能であり、それをクラスタに組織化して、従来のサーバラックで使用される従来のイーサネット（登録商標）スイッチング要求のいくつかまたは全てと置き換えることが可能である。
【００２３】
集約装置２００は、スイッチファブリック２０２と、入力／出力（Ｉ／Ｏ）プロセッサ２０４と、パケット管理装置２１０と、複数のポート１〜Ｎと、対応する複数のポートプロセッサ２１６−１〜２１６−Ｎと、を有することが可能である。ここで、Ｎは１より大きい整数である。
【００２４】
ポート１〜Ｎは、入力ポートおよび／または出力ポートであってよい。ポートプロセッサ２１６は、サーバノード１１２と通信パス１１６を形成するＰＣＩｅリンクなどを提供可能である。ポートプロセッサ２１６は、サーバノード１１２から入ってくるパケットを処理する送信および／または受信制御ロジックと、復号ロジックとを有することが可能である。
【００２５】
スイッチファブリック２０２は、サーバノード１１２間のデータプレーン相互接続を提供し、サーバノード１１２および／または１つ以上のＮＩＣ２４２を介して集約システム２００と通信する１つ以上のリモート電子装置１５２の間でデータを交換する。
【００２６】
Ｉ／Ｏプロセッサ２０４は、集約システム２００と、サーバノード１１２および／またはリモート計算装置２５２との間で伝送されたデータを処理する。Ｉ／Ｏプロセッサ２０４は、サーバノード１１２および／または１つ以上のリモート計算装置１５２の間のデータパケットの伝送を監視可能である。実施形態では、Ｉ／Ｏプロセッサ２０４は、サーバノード１１２および／またはリモート電子装置１５２の間のデータ交換のためのネットワークプロセッサを有する。別の実施形態では、Ｉ／Ｏプロセッサ２０４は、例えば複数のｖＮＩＣを提供可能な制御プレーンプロセッサ（図示せず）によって、スイッチファブリック２０２へ、および、スイッチファブリック２０２からのデータ伝送を実行するマルチプレクサおよび他のロジックを有する。ここで、Ｉ／Ｏプロセッサ２０４は、例えば２つ以上のサーバノード１１２間、または、サーバノード１１２とリモート計算装置１５２との間などの集約装置２００内外へデータを送信するステージングエリアとしてサービスを提供可能である。
【００２７】
図２は、実施形態による図１の集約システムのパケット管理装置２１０のブロック図である。パケット管理装置２１０は、マッピングテーブル２２２と、構成管理モジュール２２４と、認証情報処理エンジン２２６と、認証情報検証モジュール２２８と、回転キーセレクタ２３２と、を有する。
【００２８】
マッピングテーブル２２２は、集約装置２００と通信するソースサーバノードのＭＡＣアドレスと集約システムポート１〜Ｎとのマッピングのセットを有する。マッピングテーブル２２２は、サーバノード１１２および／または集約装置２００と通信する他の装置のＭＡＣアドレスと、サーバノード１１２および／または他の装置がつながるポートと、を追跡および管理するソフトウェアアプリケーションの一部であることが可能である。例えば図２を参照すると、サーバノード２１２Ａ，２１２Ｂのそれぞれに割り当てられたＭＡＣアドレスを、スイッチポート１〜Ｎのスイッチポートにそれぞれ関連付けることが可能であり、ハードウェア集約的なＣＡＭテーブルと比較して必要とする処理が少ない。
【００２９】
構成管理モジュール２２４は、ＭＡＣアドレスに関連する構成の変化を検出可能である。例えば構成管理モジュール２２４は、デバイスが集約装置２００の異なるポートに変更した場合に、検出可能である。ここで、外部のコントローラなどの管理装置は、装置のＭＡＣアドレスと新たなポートとの間のマッピングを用いて、マッピングテーブル２２２を更新可能である。
【００３０】
認証情報処理エンジン２２６は、集約装置２００とサーバノード１１２との間の交換におけるポート番号などのルーティング情報を保護するのに使用可能な認証情報を生成する。これは、例えばＭＡＣアドレスなどのフロータグおよびヘッダ情報などのようなデータパケットの認証情報シール要素によって得られ得る。認証情報処理エンジン２２６は、仮想マシン毎またはポート毎のベースで認証情報を生成することが可能である。認証情報のキャッシュは、ホストドライバ１２４によって保持され得る。認証情報は、フロータグおよび関連するヘッダ情報の１方向ハッシュ（例えば｛ポートシード，ポート番号，リンク番号、仮想キュータグ毎｝）を計算することによって、認証情報処理エンジン２２６により構成可能である。認証情報を複数回使用できるように、認証情報処理エンジン２２６は、仮想キュー（ＶＱ）タグ、ＶＬＡＮメンバシップ、および／もしくは現在アクティブなキー、または、ポートシードもしくは認証情報の回転に使用される認証情報の回転値に基づき、１つ以上の認証情報を割り当て可能である。
【００３１】
フロータグデータを認証する認証情報検証モジュール２２８は、集約装置２００の入口ポートで、生成または再計算されたコピーに対し、フロータグとともに受信した認証情報を検証可能である。認証情報が検証されると、パケットを適切な宛先仮想キュー２１８へルーティングするために、フロータグの内容を使用可能である。
【００３２】
本明細書に記載したように、認証情報を集約装置２００で再利用可能である。回転キーセレクタ２３２は、予め定められた基準で認証情報を再利用可能であり、認証情報のステータスを保持可能である。これは、例えば、認証情報を破壊することを防ぎ、または認証情報を破壊することからの許可されていないホストまたは他の覗き見する装置のリスクを減少するための、例えば回転キーセレクタ２３２により周期的に回転されるＶＱ毎のキーなどのキーにより得ることができる。
【００３３】
図３は、実施形態によるネットワーク環境でデータ交換を管理する方法３００のフローチャートである。方法３００の記述では、図１および図２の構成要素を参照する。
【００３４】
ブロック３０２では、フロータグキャッシュマップが作成される。フロータグキャッシュマップは、サーバノードのＭＡＣアドレスと集約装置２００の装置ポートとの間のマッピングを含むことが可能である。例えば図１を参照すると、キャッシュ１２６のフロータグキャッシュマップは、サーバノード１１２−１のＭＡＣアドレスと集約装置２００のポート１との間の第１のマッピングと、サーバノード１１２−２のＭＡＣアドレスと集約装置２００のポート２との間の第２のマッピングと、を有することが可能である。例えば集約装置２００に接続された新たな装置などのＭＡＣアドレス−ポートマッピングに関連する集約装置２００で収集されたデータを、フロータグキャッシュマップに追加投入することが可能である。
【００３５】
判定ブロック３０４では、例えばサーバノード１１２−１のドライバ１２４などのソースノードドライバが、例えば宛先サーバノード１１２−２のＭＡＣアドレスなどの宛先ＭＡＣアドレスと、例えば宛先サーバノード１１２−２が通信中のポート２などの出口ポート識別情報（ＩＤ）との間のマッピングを識別可能か否かの判定がなされる。ソースドライバ１２４が、宛先サーバノード１１２−２のＭＡＣアドレスと、宛先サーバノード１１２−２と通信する集約装置２００のポート（すなわちポート２）との間のマッピングを判断する場合には、方法３００はブロック３１２に進み、集約装置２００は、宛先ＭＡＣアドレスの代わりに宛先サーバノード１１２−２のポートＩＤ（すなわちポート２）によって、ソースサーバノード１１２−１から宛先サーバノード１１２−２へ送信されたパケットを処理する。
【００３６】
ソースドライバ１２４が、宛先サーバノード１１２−２のＭＡＣアドレスと宛先ポート（すなわちポート２）との間のマッピングを識別しない場合には、方法３００はブロック３０６に進み、宛先ＭＡＣアドレスがパケット管理装置２１０に転送される。
【００３７】
ブロック３０８では、パケット管理装置２１０は、ポート番号または関連する識別子を、受信される宛先ＭＡＣアドレスに対応するソースサーバノード１１２−１に送信可能である。ポート番号は、宛先ＭＡＣアドレスを有する宛先サーバノード１１２−２が通信する出口ポートに関連するのが望ましい。ポート番号または関連する識別子は、パケット管理装置で生成されるフロータグの一部であることが可能で、要求に応えてソースサーバノード１１２−１へ送信される。フロータグを、フロータグキャッシュ１２６で格納可能である。
【００３８】
ブロック３１０では、ソースサーバノード１１２−１は、その宛先へのルーティングのため、フロータグを含むデータパケットを集約装置２００へ出力する。データパケットは、イーサネット（登録商標）パケットなどであってよい。
【００３９】
ブロック３１２では、集約装置２００は、宛先サーバノード１１２−２のポート番号または関連する識別子（すなわちポート２）によって、ソースサーバノード１１２−１から宛先サーバノード１１２−２へ送信されたデータパケットを処理する。ポート番号によってルーティングが起こるので、ＭＡＣアドレスによってルーティングが発生する構成と比較して、必要とされる処理が少ない。
【００４０】
図４は、他の実施形態による電子通信環境でデータ交換を管理する方法４００のフローチャートである。方法４００の説明では、図１〜図３の構成要素を参照する。
【００４１】
ブロック４０２では、構成の変化が検出される。構成の変化は、サーバノード１１２による異なるポートへの変更を含み得る。サーバノード１１２または外部の装置１５２を異なるＭＡＣアドレスで再構成可能であり、または、ＭＡＣアドレスを異なるサーバノード１１２または外部の装置１５２に再配置可能である。ここで、ソースサーバノード１１２−１のキャッシュ１２６は、集約装置２００のポート２にマッピングされたＭＡＣアドレスを指すエントリを有してもよい。しかし、集約装置２００、より具体的にはパケット管理装置２１０の構成マネジャ２２８は、異なるＭＡＣアドレスがポート２と通信していること、または、キャッシュ１２６に格納されたＭＡＣアドレスが異なるＭＡＣアドレスに変更されたことを検出可能である。他の例では、集約装置２００は、サーバノード１１２の仮想マシンが異なるＭＡＣアドレスを割り当てられたことを検出する。
【００４２】
ブロック４０４では、パケット管理装置２１０は、要求をソースサーバノード１１２−１へ送信する。要求は宛先ＭＡＣアドレスとポート２の以前のマッピングがもう有効でないことをソースサーバノード１１２−１へ示す無効化要求を含むことが可能である。別の実施形態では、要求は、ソースサーバノード１１２−１に対する更新要求を含む。ソースサーバノード１１２−１は、フロータグキャッシュ１２６内の以前のマッピング情報を消去し、新たなマッピング情報を処理する。従って、フロータグキャッシュ１２６の以前のマッピングを無効化するようパケット管理装置２１０が要求を送信可能であり、または代替として、マッピングの無効化およびその後の更新を実行するようインジケータをソースサーバノード１１２−１へ送信可能である。
【００４３】
ブロック４０６では、ブロック４０２で検出された構成の変化を反映するＭＡＣアドレス−ポートマッピング情報を有するように、フロータグキャッシュ１２６が更新される。ＭＡＣアドレス−ポートマッピング情報は、パケット管理装置２１０のマッピングテーブル２２２から提供される。
【００４４】
図５は、実施形態によるパケットデータ検証の方法５００のフローチャートである。方法５００の説明では、図１〜図４の構成要素を参照する。例えば仮想化されたサーバノードのゲストドライバのＭＡＣアドレスなどのルーティング情報が、なりすましのため取得されうる。または、他の無認可または不正な使用がされがちであるなどのセキュリティ関連の問題に対処するため、例えば他者がデータを取得するためサーバノードへのアクセスを回避することを防ぐように、方法５００を適用可能である。
【００４５】
ブロック５０２では、ソースサーバノード１１２−１は、ルーティング要求メッセージを集約装置２００へ送信可能である。ルーティング要求メッセージは、宛先ＭＡＣアドレスまたは他のルーティングデータについての要求を含むことが可能である。
【００４６】
ブロック５０４では、集約装置２００のパケット管理装置２１０は、ブロック５０２でなされた要求に応えてルーティングデータを送信可能である。実施形態では、集約装置２００は、マッピングテーブル２２２のマッピング情報によって、要求された宛先ＭＡＣアドレスの代わりに認証情報とフロータグを送信する。
【００４７】
また、集約装置２００は、認証情報および／またはＶＬＡＮメンバシップデータなどの他の情報を、ルーティングデータとともに要求するソースサーバノード１１２−１に送信可能である。認証情報を、認証情報処理エンジン２２６により生成可能である。認証情報を、フロータグデータおよび／またはパケットヘッダ情報（例えば、ポート毎のシード、ポート番号、リンク番号、仮想キュー識別子もしくはタグ、および／または、世代識別情報（後述するように、認証情報の再利用に使用可能）など）の１方向ハッシュを計算することによって構成可能である。実施形態では、認証情報は、サーバノード１１２のそれぞれの仮想マシンについて生成される。別の実施形態で、認証情報は、サーバノード１１２または他の電子装置が接続されたそれぞれのポート１〜Ｎについて生成される。仮想キュータグ、送信元についてのＶＬＡＮメンバシップ、および／または、図７に関連して後述する現在アクティブなキーに基いて、認証情報処理エンジン２２６は認証情報を割り当て可能である。
【００４８】
ブロック５０６では、サーバノード１１２は、フロータグを含むパケットまたは関連するデータのユニットを送信する。フロータグは、宛先ポート、ＶＬＡＮデータ、および／または、例えば本明細書に記載された他のルーティングデータに関連するデータを含むことが可能である。フロータグは、ブロック５０４で記載された集約装置２００により提供される認証情報および／もしくは世代識別情報、または、フェーズ識別情報を含むことが可能である。フロータグが付いて提供されるパケットは、イーサネット（登録商標）パケットなどであってよい。
【００４９】
ブロック５０８では、パケット管理装置２１０は、フロータグとともに受信された認証情報を検証する。認証情報検証モジュール２２８は、例えば１方向ハッシュの実行などの認証情報の再計算によって、入口ポートで生成されたコピーに対して受信された認証情報を検証可能である。実施形態では、認証情報検証モジュール２２８は、ゲストがデータバッファを指す記述子をサーバノード１１２へ通知し、サーバノード１１２が再使用のためゲストへ記述子をリリースするのを可能にする集約装置２００の１つ以上の仮想キューと通信する。ここで、集約装置２００を通してフロータグおよびパケットを移動するため、要求するサーバノード仮想マシンのＮＩＣとフローパスを確立可能である。
【００５０】
ブロック５１０で、検証が完了すると、集約装置の出口ポート番号のようなフロータグの内容を、パケットをその宛先へルーティングするのに使用可能である。パケットを、例えばデータバッファリングのため、集約装置２００の宛先の仮想キュー２１８へルーティング可能である。他の実施形態では、宛先サーバノード１１２またはリモート装置へ出力するため、パケットは、出口ポート１〜Ｎへ直接ルーティングされる。
【００５１】
図６は、実施形態によるサーバノード１１２から集約装置２００へ出力されるパケット６００の内容を示す図である。
【００５２】
データ６００のユニットは、パケット、フレーム、セルなどであってよい。データのユニット６００は、フロータグ６０２、ヘッダ６０４およびデータペイロード６０６を含む。フロータグ６０２は、本明細書の実施形態により記載されたものと同一または同様であり得る。ヘッダ６０４は、イーサネット（登録商標）ヘッダなどであってよく、プリアンブル、送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、ＶＬＡＮ  ＩＤおよび／またはイーサネット（登録商標）タイプのフィールドであってよい。
【００５３】
フロータグ６０２は、ポートＩＤフィールド、認証情報フィールドおよび／または世代ＩＤフィールドを含むことが可能である。ポートＩＤフィールドは、宛先ポート番号を有することが可能である。ポートＩＤフィールドのポート番号を、ネットワークパケット６０４を宛先装置へルーティングするのに使用可能である。認証情報フィールドは、例えば本明細書に記載された方法によって、データ交換の間に集約装置２００により生成され、サーバノード１１２−１に提供される認証情報を含むことが可能である。
【００５４】
世代ＩＤフィールドは、世代識別情報またはポートシードを含むことが可能であり、それらを覗き見するものが徐々に情報を集めること、または、ハッシュを弱体化することを防ぐように使用可能である。世代ＩＤは、集約装置２００が生成された認証情報のステータスを保持することを可能にし、例えば認証情報を追跡することにより認証情報を周期的に再利用することを可能にする。
【００５５】
図７は、実施形態によるパケット検証フローを示す詳細なブロック図である。パケット検証フローの説明では、図１〜図６の構成要素、特に図５のブロック５０８に記載された認証情報検証ステップを参照する。
【００５６】
サーバノード１１２は、パケット７０２などを集約装置２００へ送信する。パケット７０２は、フロータグ７１２、イーサネット（登録商標）ヘッダ７１４およびペイロード７１６を含む。フロータグ７１２は、図６に記載のフロータグ６０２と同様であり得る。他の実施形態では、図７に示されるように、フロータグ７１２は、キー選択フィールド７２２、認証情報フィールド７２４およびＶＱ＿ＤｅｓｔＴａｇフィールド７２６を含む。
【００５７】
キー選択フィールド７２２は、有効な暗号化キー（キー０、キー１）を選択するため回転キーセレクタ７０４により使用されるキー選択値（世代識別情報（ＩＤ）とも呼ばれる）を含む。検証プロセス中にフロータグ７１２内の認証情報７２４と比較される認証情報が生成される場合、選択された暗号化キー７３４を使用可能である。キー（キー０、キー１）を、集約装置２００で格納することが可能であり、覗き見するものなどの無認可の集団が認証情報の生成および検証のメカニズムを破壊するリスクを減少するため、例えば４秒毎などのように予め定められた基準で認証情報処理エンジン２２６により交替可能である。
【００５８】
本明細書に記載された実施形態によると、認証情報７２４を（例えば認証情報処理エンジン２２６により）生成し、フロータグ７１２内に挿入することが可能である。認証情報７２４は、認証情報検証モジュール２２８により検証され、一部はイーサネット（登録商標）ヘッダ７１４のＶＬＡＮメンバシップ識別情報（ＶＬＡＮ＿ＩＤ）７３０などの入ってくるパケット７０２から受信されたデータ７４０を使用して認証情報を再計算する認証情報処理エンジン２２６により検証される。
【００５９】
ＶＱ＿ＤｅｓｔＴａｇ７２６は、パケットデータを受信するため宛先装置を識別する仮想キューに関する。ＶＱ＿ＤｅｓｔＴａｇ７２６を、ＭＭＩＯメールボックス書込アドレス、および、宛先装置による受信のため集約装置２００のバッファなどにパケットデータを格納するのに関連するデータを復号することにより生成可能である。
【００６０】
イーサネット（登録商標）ヘッダ７１４は、プリアンブル、送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、ＶＬＡＮ  ＩＤおよびイーサネット（登録商標）タイプフィールドなどの当業者に公知の１つ以上のフィールドを有することが可能である。
【００６１】
パケット検証動作の間、認証情報検証モジュール２２８は、パケット７０２の認証情報７２４と比較される認証情報を生成する。ＶＱ＿ＤｅｓｔＴａｇ７２６およびイーサネット（登録商標）ヘッダ７１４のＶＬＡＮ  ＩＤを、ＶＱ＿ＳｒｃＴａｇおよび回転キーセレクタ２３２から出力されたキー（キー０、キー１）と組み合わせて認証情報を生成することが可能であり、認証情報を受信されたフロータグの認証情報７２４と比較して検証結果を出すことが可能である。検証が失敗した場合、それからパケットを廃棄可能であり、結果のログを生成可能である。検証が成功した場合、パケットプロセッサは受信されたデータを処理可能である。
【００６２】
当業者が理解するように、本発明の態様を、システム、方法またはコンピュータプログラム製品として実施してもよい。従って、本発明の態様は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）、または、本明細書で「回路」、「モジュール」もしくは「システム」と全て一般的に呼ぶソフトウェアおよびハードウェアの態様を組み合わせた実施形態の形態をとってもよい。さらに、本発明の態様は、コンピュータ可読プログラムコードを有する１つ以上のコンピュータ可読媒体内で実現されるコンピュータプログラム製品の形態をとってもよい。
【００６３】
１つ以上のコンピュータ可読媒体のあらゆる組み合わせを使用してもよい。コンピュータ可読媒体は、コンピュータ可読信号媒体またはコンピュータ可読記憶媒体であってもよい。コンピュータ可読記憶媒体は、限定されないが、例えば電子、磁気、光学、電磁、赤外線もしくは半導体システム、機器もしくは装置、または、上記の任意の適切な組み合わせであってもよい。コンピュータ可読記憶媒体のより特定の例（網羅的リストではない）は、１つ以上の電線を有する電気接続、持ち運び可能なコンピュータフロッピー（登録商標）ディスク、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能プログラム可能読出専用メモリ（ＥＰＲＯＭまたはフラッシュメモリ）、光ファイバ、持ち運び可能なコンパクトディスク読み出し専用メモリ（ＣＤ−ＲＯＭ）、光記憶装置、磁気記憶装置、または、上記の任意の適切な組み合わせを含むであろう。この文書の文脈では、コンピュータ可読記憶媒体は、命令実行システム、機器もしくは装置が使用する有形の媒体、または、命令実行システム、機器もしくは装置に接続するプログラムを有しもしくは格納することが可能な有形の媒体であってもよい。
【００６４】
コンピュータ可読信号媒体は、例えばベースバンドまたは搬送波の一部として内部に実現されたコンピュータ可読プログラムコードを伴う伝搬データ信号を有してもよい。そのような伝搬信号は、限定されないが、電磁、光学またはそれらの任意の適切な組み合わせを含む様々な形態の何れかをとってもよい。コンピュータ可読信号媒体は、コンピュータ可読記憶媒体ではなく、命令実行システム、機器もしくは装置が使用するコンピュータ可読媒体、または、命令実行システム、機器もしくは装置と通信するプログラムを通信、伝搬もしくは移送可能なコンピュータ可読媒体であってもよい。コンピュータ可読媒体上で実現されるプログラムコードを、限定されないが、無線、有線、光ファイバケーブル、ＲＦなど、または、上記の任意の適切な組み合わせを含む適切な媒体を用いて送信してもよい。
【００６５】
本発明の態様の動作を実行するコンピュータプログラムコードを、Ｊａｖａ（登録商標）、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、および、「Ｃ」プログラミング言語または同様のプログラミング言語などの従来の手続型プログラミング言語を含む１つ以上のプログラミング言語の組み合わせで記述してもよい。プログラムコードを、全体をユーザのコンピュータ上で実行してもよいし、スタンドアロンソフトウェアパッケージとして一部をユーザのコンピュータ上で実行してもよいし、一部をユーザのコンピュータ上で、一部をリモートコンピュータ上で、または、全体をリモートコンピュータまたはサーバ上で実行してもよい。後者のシナリオでは、リモートコンピュータを、ローカルエリアネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）を含むあらゆるタイプのネットワークを通してユーザのコンピュータに接続してもよいし、（例えばインターネットサービスプロバイダを用いてインターネットを通して）外部のコンピュータへ接続してもよい。
【００６６】
本発明の態様を、本発明の実施形態によるフローチャートの例示および／または方法、機器（システム）ならびにコンピュータプログラム製品のブロック図を参照して本明細書に記載した。フローチャートの例示および／またはブロック図のそれぞれのブロック、ならびに、フローチャートの例示および／またはブロック図のブロックの組み合わせを、コンピュータプログラム命令により実行可能であることが理解される。コンピュータまたは他のプログラム可能なデータ処理機器のプロセッサにより実行する命令が、フローチャートおよび／またはブロック図のブロックに規定された機能／作用を実行する手段を生成するように、これらのコンピュータプログラム命令を、汎用コンピュータ、特殊用途コンピュータ、または、機械を製造する他のプログラム可能なデータ処理機器のプロセッサに提供してもよい。
【００６７】
コンピュータ可読な媒体に格納された命令が、フローチャートおよび／またはブロック図のブロックに規定された機能／作用を実行する命令を有する製造の物品を製造するように、これらのコンピュータプログラム命令を、コンピュータ、他のプログラム可能なデータ処理機器、または、特定の方法で機能する他の装置を指示可能なコンピュータ可読な媒体に格納してもよい。コンピュータまたは他のプログラム可能な機器上で実行する命令が、フローチャートおよび／またはブロック図のブロックに規定された機能／作用を実行するプロセスを提供するように、コンピュータプログラム命令を、コンピュータ、他のプログラム可能なデータ処理機器または他の装置上にロードして、一連の演算ステップを、コンピュータ、他のプログラム可能なデータ処理機器または他の装置に実行させ、コンピュータが実行するプロセスを生成してもよい。
【００６８】
図中のフローチャートおよびブロック図は、種々の本発明の実施形態によるシステム、方法およびコンピュータプログラム製品の基本設計概念、機能および可能な実行の動作を示す。この点で、フローチャートまたはブロック図内のそれぞれのブロックは、特定の論理的機能を実行する１つ以上の実行可能な命令を有するモジュール、セグメントまたはコードの部分を示し得る。いくつかの代替的な実施では、ブロック内に記された機能は、図中に記された順序以外で起こり得ることも留意すべきである。例えば、連続して示された２つのブロックを、実際に実質的に同時に実行してもよく、または、関与する機能に応じてブロックをときどき逆の順に実行してもよい。ブロック図および／またはフローチャートの例示のそれぞれのブロック、ならびに、ブロック図および／またはフローチャートの例示のブロックの組み合わせを、特定の機能もしくは作用を実行する特殊用途ハードウェアベースのシステム、または、特殊用途ハードウェアおよびコンピュータ命令の組み合わせにより実行可能であることも留意すべきである。
【００６９】
本発明を特定の実施形態に関連して示し記載したが、本明細書内で形態および詳細において種々の変更を本発明の趣旨および範囲から逸脱することなく成し得ることを、当業者は理解すべきである。
【図１】
2016502795.tif 000003
【図２】
2016502795.tif 000004
【図３】
2016502795.tif 000005
【図４】
2016502795.tif 000006
【図５】
2016502795.tif 000007
【図６】
2016502795.tif 000008
【図７】
2016502795.tif 000009
【国際調査報告】
2016502795.tif 000010
2016502795.tif 000011
2016502795.tif 000012