不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む通信システム。前記サーバは、前記定義パタンとの照合の結果、不正パケットであると判断した場合、該不正パケットを廃棄するとともに、前記通信装置に対し、不正パケットと同一の特徴を持つパケットを廃棄する処理内容を通知する請求項1の通信システム。前記通信装置は、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える請求項1または2の通信システム。前記流入制御部は、前記所定の措置として、当該パケットの転送を中止する請求項3の通信システム。前記流入制御部は、前記所定の管理装置に対し、前記パケット流入量が所定の閾値を超えたことを通知する請求項3の通信システム。前記通信装置において、少なくとも前記流入監視部および前記流入制御部を含む第1の制御部と、前記サーバから通知された処理内容に従って動作する第2の制御部とが、互いに独立して動作するよう構成されている請求項3から5いずれか一の通信システム。不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと接続され、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置。さらに、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える請求項7の通信装置。サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、接続され、不正パケットであるか否かを判別するための定義パタンと前記通信装置から送信された前記未知のパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては前記通信装置に対し該パケットに適用する処理内容を通知するサーバ。不正パケットであるか否かを判別するための定義パタンを用いて、通信装置から処理内容の問い合わせを受けたパケットのうち不正パケットを廃棄するステップと、前記通信装置に対し、その他のパケットに適用する処理内容を通知するステップと、前記通知された処理内容に基づいて、受信パケットを処理するステップと、を含む通信方法。以下の分析は、本発明によって与えられたものである。特許文献2、非特許文献1、2のオープンフロースイッチのように、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置では、DoS攻撃DenyofServiceAttackのような不正パケットを大量に受信すると、負荷が上昇してしまい、その他の不正でないパケットの処理に影響を与えてしまうという問題点がある。一般のルータ装置等では、MACアドレスやIPアドレス等といった予め用意した条件によるフィルタリング処理を行うことで、不正な受信を防御するといった方法が知られている。しかしながら、この方法では、パケット受信の都度、通信装置の運用メモリ領域に展開されたフィルタ条件を参照して検索を行うことになり、上記したタイプの通信装置の負荷を低減することにはつながらない。加えて、防御性を高めるために、細かく、複雑、大量のフィルタ条件を登録すると、相応の運用系メモリ領域が占有され、負荷も増大してしまうことになる。本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置のDoS攻撃等への耐性を高めつつ、その負荷の上昇を抑えることのできる通信システム、通信装置、サーバ、通信方法およびプログラムを提供することにある。本発明の第1の視点によれば、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置と、を含む通信システムが提供される。本発明の第2の視点によれば、不正パケットであるか否かを判別するための定義パタンとパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては送信元に対し該パケットに適用する処理内容を通知するサーバと接続され、前記サーバに対し未知のパケットを転送し、前記サーバから通知された処理内容に基づいて、受信パケットを処理する通信装置が提供される。本発明の第3の視点によれば、上記した通信装置と、接続され、不正パケットであるか否かを判別するための定義パタンと前記通信装置から送信された前記未知のパケットとを照合することにより不正パケットを廃棄し、その他のパケットについては前記通信装置に対し該パケットに適用する処理内容を通知するサーバが提供される。本発明の第4の視点によれば、不正パケットであるか否かを判別するための定義パタンを用いて、通信装置から処理内容の問い合わせを受けたパケットのうち不正パケットを廃棄するステップと、前記通信装置に対し、その他のパケットに適用する処理内容を通知するステップと、前記通知された処理内容に基づいて、受信パケットを処理するステップと、を含む通信方法が提供される。本方法は、通信装置に対し処理内容を通知するサーバという、特定の機械に結びつけられている。本発明の第5の視点によれば、上記した通信装置およびサーバにそれぞれ実行させるコンピュータプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。外部装置に対して受信パケットに適用する処理内容を問い合わせて学習するタイプの通信装置において、DoS攻撃等への耐性を高め、かつ、その負荷の上昇を抑えることが可能となる。はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。本発明は、その一実施形態において、サーバ20と、サーバ20に対し未知のパケットを転送し、サーバ20から通知された処理内容に基づいて、受信パケットを処理する通信装置10と、を含む構成にて実現できる。ここで、未知のパケットとは、通信装置10が、その内部の転送テーブルや非特許文献2のフローテーブル等に、当該パケットの処理内容を規定したエントリがないパケットをいうものとする。前記サーバ20は、通信装置10から未知のパケットを受信すると、不正パケットであるか否かを判別するための定義パタン図1の不正パケット定義パタン21とを照合する。前記照合の結果、不正パケットであると判定した場合、サーバ20は不正パケットを廃棄する。一方、前記照合の結果、不正パケットでないと判断した場合、サーバ20は、送信元の通信装置10に対し該パケットその他のパケットに適用する処理内容を通知する。不正パケット定義パタン21は、例えば、不正な送信元あるいは正規の送信元を判別するためのMACアドレスやIPアドレス等を含んだ構成とすることができる。上記構成を備えることにより、図2に示すように、例えば、DoS攻撃のような不正パケットが通信装置に送られると、通信装置10においてはフィルタ条件等の照合が行われることはない。そして、サーバ20が不正パケット定義パタン21との照合を行い、不正パケットとして廃棄が行われる。このため、サーバ20における不正パケット定義パタン21を細かく複雑なものにしても、通信装置の負荷が上昇することはない。[第1の実施形態]続いて、本発明の第1の実施形態について図面を参照して詳細に説明する。図3は、本発明の第1の実施形態の通信装置スイッチの構成を表わしたブロック図である。図3を参照すると、インタフェース部11-1、11-2と、サーバ通信部12と、共通制御部13と、照合部14と、処理規則管理部15と、パケット処理部16と、を備えたスイッチ10Aが示されている。インタフェース部11-1、11-2は、他の装置とパケットを送受信する物理ポートによって構成される。なお、図3の例では、2つのインタフェース部を示しているが、インタフェース部は、3つ以上あってもよい。サーバ通信部12は、図1に示したサーバ20と通信するためのout-bandポートによって構成される。なお、サーバ通信部12は、インタフェース部のポートをサーバ用に割り当てることでもよい。処理規則管理部15は、テーブルなどを用いて、パケットを特定するためのマッチングキーと、前記マッチングキーに適合するパケットに適用する処理内容転送、ヘッダ書き換え、廃棄等と、を対応付けた処理規則を管理する。なお、このような処理規則としては、非特許文献2のフローエントリを用いることもできる。また、この処理規則は、非特許文献2のフローテーブルのようなテーブルに格納して管理することもできる。共通制御部13は、照合部14からの要求に応じて、サーバ20に対し、未知のパケットを送信する。また、共通制御部13は、サーバ20から、前記未知のパケットを特定するためのマッチングキーと、このマッチングキーに適合する処理内容を受信すると、これらを用いて処理規則を生成し、処理規則管理部15に送信する。また、共通制御部13は、サーバ20から送信指示を受けたパケット未知のパケットをパケット処理部16に送信し、サーバ20から指示されたポート例えば、インタフェース部11-2から送信させる。なお、サーバ20が非特許文献2に記載のオープンフロープロトコルに、共通制御部13とサーバ20間のこれらのやり取りは、非特許文献2に記載のオープンフロープロトコルのPacket-Inメッセージ、FlowModメッセージ、Packet-Outメッセージを用いることができる。照合部14は、インタフェース部11-1から受信されたパケットのヘッダ等と、処理規則管理部15に記憶されている処理規則のマッチングキーとを照合する。前記照合の結果、受信パケットに適合するマッチングキーを持つ処理規則が見つかった場合、照合部14は、受信パケットとともに、当該処理規則に定められた処理内容をパケット処理部16に送信する。一方、前記照合の結果、受信パケットに適合するマッチングキーを持つ処理規則が見つからなかった場合、照合部14は、受信パケットを共通制御部13に送信し、受信パケットに対応する処理規則の設定を要求する。パケット処理部16は、照合部14から指示された処理内容に従って、受信パケットを処理する。例えば、照合部14から指示された処理内容が特定ポート例えば、インタフェース部11-2からの転送である場合、受信パケットをインタフェース部11-2から送信する処理を行う。また、パケット処理部16は、サーバ20から指示に応じて、指定されたポート例えば、インタフェース部11-2からパケットを送信する処理を行う。なお、図3に示したスイッチ10Aの各部処理手段は、スイッチ10Aを構成するコンピュータに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。続いて、本実施形態の動作について図面を参照して詳細に説明する。図4に示すように、インタフェース部11-1よりパケットを受信すると、照合部14は、処理規則管理部15を参照して、受信パケットに対応するマッチングキーを持つ処理規則を検索する。ここでは、スイッチ10Aが学習していない、即ち、処理規則管理部15に対応する処理規則が記憶されていないパケットを受信したため、照合部14は、共通制御部13に対して受信パケットを送信する。前記受信パケットを受信した共通制御部13は、サーバ通信部12を介してサーバ20に、受信パケットを送信し、前記受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを要求する。サーバ20は、スイッチ10Aからパケットを受信すると、不正パケットであるか否かを判別するための定義パタン図1の不正パケット定義パタン21を参照して、受信パケットが不正パケットであるか否かを判定する。前記判定の結果、受信パケットが不正パケットであると判定した場合、サーバ20は、受信パケットを廃棄する。一方、前記判定の結果、受信パケットが不正パケットでないと判定した場合、サーバ20は、受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを生成し、スイッチ10Aにこれらを送信する。また、サーバ20は、スイッチ10Aに対し、指定したポートから、前記受信パケットを送信するよう指示する。前記受信パケットを特定するためのマッチングキーと、このマッチングキーに適合するパケットに適用すべき処理内容とを受信した共通制御部13は、前記マッチングキーと処理内容を用いて処理規則を生成し、処理規則管理部15に送信する。これにより、前記マッチングキーに適合する後続パケットは、前記処理規則に従って処理されることになる。前記受信パケットの送信指示するを受信した共通制御部13は、パケット処理部16に、受信パケットとサーバ20から指示された指示内容を送信する。パケット処理部16は、前記指示内容に従って、受信パケットを処理する。例えば、サーバ20からの指示内容が、特定のポート例えば、インタフェース部11-2から受信パケットの送信を指示するものであった場合、パケット処理部16は、前記特定のポート例えば、インタフェース部11-2から受信パケットを送信する。その後、図5に示すように、インタフェース部11-1より、後続パケットを受信すると、照合部14は、処理規則管理部15を参照して、受信パケットに対応するマッチングキーを持つ処理規則を検索する。ここでは、スイッチ10Aが学習済みの、即ち、処理規則管理部15に対応する処理規則が記憶されているパケットを受信したため、受信パケットに対応するマッチングキーを持つ処理規則が抽出される。照合部14は、パケット処理部16に対して受信パケットと、前記抽出した処理規則に定められた処理内容を送信する。パケット処理部16は、前記処理内容に従って、受信パケットを処理する。例えば、照合部14から送信された処理内容が、特定のポート例えば、インタフェース部11-2から受信パケットの送信を指示するものであった場合、パケット処理部16は、前記特定のポート例えば、インタフェース部11-2から受信パケットを送信する。以上のように、本実施形態によれば、不正パケットに対するフィルタリングを、サーバ20に依頼し、スイッチ10Aの負荷を軽減させることが可能となる。また、サーバ20に設定する不正パケット定義パタンを、適宜更新することにより、防御性を向上させることも可能となっている。[第2の実施形態]続いて、スイッチに機能を追加した本発明の第2の実施形態について図面を参照して詳細に説明する。図6は、本発明の第2の実施形態の通信装置スイッチの構成を表わしたブロック図である。図3に示した第1の実施形態のスイッチ10Aとの相違点は、スイッチ10Bのサーバ通信部12と共通制御部13との間に、パケット流入量監視部流入監視部17と、流入制御部18とが追加されている点である。その他の構成は、上記第1の実施形態と略同様であるので、以下、相違点を中心に説明する。パケット流入量監視部17は、サーバ20によって不正なパケットでないと判定されたパケットについて、単位時間当たりの流入量を計算する。前記単位時間当たりの流入量が所定の閾値を超えた場合、パケット流入量監視部17は、サーバ20からの処理規則やパケット送信指示を、共通制御部13ではなく、流入制御部18に転送する。また、パケット流入量監視部17は、前記単位時間当たりの流入量が所定の閾値を超えた場合、所定の監視装置へ通知を行う。流入制御部18は、サーバ20からの処理規則やパケット送信指示を廃棄する動作を行う。より好ましくは、流入制御部18が、単位時間当たりの流入量が所定の閾値を超えたパケットを廃棄する処理規則を処理規則管理部15に設定するよう、共通制御部13に要求するようにしてもよい。続いて、本実施形態の動作について図面を参照して詳細に説明する。サーバ20によって不正なパケットでないと判定されたパケットの処理規則や送信指示が受信されると、パケット流入量監視部17は、前記単位時間当たりの流入量を更新する。ここで、単位時間当たりの流入量が、前記所定の閾値以下である場合、パケット流入量監視部17は、第1の実施形態と同様に、パケットの処理規則や送信指示を共通制御部13に転送する図7参照。一方、単位時間当たりの流入量が、前記所定の閾値超えている場合、パケット流入量監視部17は、図8に示すように、パケットの処理規則や送信指示を流入制御部18に転送するとともに、管理装置に送信する図8参照。以上のように、本実施形態によれば、サーバ20によって不正なパケットでないと判定されたパケットであっても、単位時間当たりの流入量が所定の閾値よりも大きいパケットの転送を抑止することができる。その理由は、パケット流入量監視部17にて不正なパケットでないと判定されたパケットの流入量を監視し、その値が異常である場合には、転送しないように構成したためである。[第3の実施形態]続いて、スイッチの共通制御部を冗長化した本発明の第3の実施形態について図面を参照して詳細に説明する。図9は、本発明の第3の実施形態の通信装置スイッチの構成を表わしたブロック図である。図6に示した第2の実施形態のスイッチ10Bとの相違点は、共通制御部13が共通制御部非運用系;第1の制御部13-1と共通制御部運用系;第2の制御部13-2とに分離され、互いに独立して動作可能となっている点である。その他の構成は、上記第2の実施形態と略同様であるので、以下、相違点を中心に説明する。共通制御部非運用系13-1は、未知のパケットのサーバ20側の転送等を行う処理規則要求部19と、上述したパケット流入量監視部17、流入制御部18とを備えている。また、共通制御部運用系13-2は、サーバ20からの応答に基づいて処理規則幹部部15への処理規則の送信やパケット処理部16へのパケット送信指示等を行う。本実施形態のスイッチ10Cの基本的な動作は、上記した第2の実施形態と同様である。以上のように、本実施形態によれば、不用意な未知のパケットの処理やパケット流入量の監視処理を共通制御部13-1非運用系に委ねる構成となっているため、大量の不正パケットが送信された場合であっても、共通制御部運用系13-2が影響を受けないようにすることが可能になる。以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形置換調整を加えることができる。例えば、上記した各実施形態で示したスイッチ、サーバの構成は、本発明を簡単に説明するために示したものであり、適宜変更することが可能である。各実施形態は関連技術であるオープンフローを参照しているが、本発明はオープンフローを用いることに限定されない。例えば、オープンフローに限らず、パケットの転送経路を制御装置が集中制御する通信アーキテクチャを、本発明に適用できる。例えば、上記した実施形態では、スイッチがサーバに対し、受信パケットが不正パケットであるか否かの判定と、処理内容の決定を依頼するものとしているが、ユーザ側の機器に同様に仕組みを設けてもよい。このようにすることで、ネットワーク内に不正パケットが流れることを防ぐとともに、ユーザに近い側でのフロー制御パケット転送、パケット廃棄、ヘッダ書き換え等を行わせることが可能になる。最後に、本発明の好ましい形態を要約する。[第1の形態]上記第1の視点による通信システム参照[第2の形態]第1の形態において、前記サーバは、前記定義パタンとの照合の結果、不正パケットであると判断した場合、該不正パケットを廃棄するとともに、前記通信装置に対し、不正パケットと同一の特徴を持つパケットを廃棄する処理内容を通知する通信システム。[第3の形態]第1または第2の形態において、前記通信装置は、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える通信システム。[第4の形態]第3の形態において、前記流入制御部は、前記所定の措置として、当該パケットの転送を中止する通信システム。[第5の形態]第3の形態において、前記流入制御部は、前記所定の管理装置に対し、前記パケット流入量が所定の閾値を超えたことを通知する通信システム。[第6の形態]第3~第5いずれか一の形態において、前記通信装置の、少なくとも前記流入監視部および前記流入制御部を含む第1の制御部と、前記サーバから通知された処理内容に従って動作する第2の制御部とが、互いに独立して動作するよう構成されている通信システム。[第7の形態]上記第2の視点による通信装置参照[第8の形態]第7の形態において、さらに、所定時間内に、同一の送信元から受信したパケット流入量を監視する流入監視部を備え、前記所定のサーバから不正パケットでないと判別されたパケットであっても前記パケット流入量が所定の閾値を超えている送信元からのパケットである場合、所定の措置を講ずる流入制御部を備える通信装置。[第9の形態]上記第3の視点によるサーバ参照[第10の形態]上記第4の視点による通信方法参照[第11の形態]上記第5の視点によるプログラム参照なお、上記した第7、第9から第11の形態は、上記した第1の形態と同様に、第2~第6の形態に展開することが可能である。