JP5370592B2 - 端末、制御装置、通信方法、通信システム、通信モジュール、プログラムおよび情報処理装置 - Google Patents

Description

（関連出願についての記載）
本発明は、日本国特許出願：特願２０１１−０９２３１９号（２０１１年４月１８日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、端末、制御装置、通信方法、通信システム、通信モジュール、プログラムおよび情報処理装置に関し、制御装置が転送装置を集中制御するネットワークにおける通信技術に関する。

近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（特許文献１、非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、オープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するマッチングルール（ヘッダフィールド）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、の組が定義される（図２４参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチングルール（図２４のヘッダフィールド参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対してエントリ設定の要求、即ち、受信パケットの送信元・送信先に基づいたパケットの経路の決定の要求を送信する。オープンフロースイッチは、要求に対応するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行う。

国際公開第２００８／０９５０１０号 特開２００４−０６４１８２号公報

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名，"ＯｐｅｎＦｌｏｗ：Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ，"［ｏｎｌｉｎｅ］，［平成２３年４月４日検索］，インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ"Ｖｅｒｓｉｏｎ １．０．０．（Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０１）［平成２３年４月４日検索］，インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ〉

以下の分析は、本発明によって与えられたものである。特許文献１や非特許文献１、２に開示されている技術では、コントローラが、スイッチから送信された要求に応じて、パケット処理のためのエントリを決定し、決定したエントリをスイッチに対して設定している。このような集中制御型の通信方式は、コントローラに負荷がかかるという問題点がある。その理由は、コントローラは複数のスイッチを集中制御しており、これら複数のスイッチから送信される要求に対してエントリを計算するため、コントローラの処理負荷が増大するためである。

また、コントローラは、スイッチに対して、パケットのヘッダ内容を書き換える等の処理を規定したエントリを設定する場合もある。このような場合、スイッチにおけるパケット処理に要する負荷の増大が問題となる。

特許文献２には、ゲートウェイを制御するゲートウェイ制御装置が開示されている。しかしながら、特許文献２には、ゲートウェイ制御装置やゲートウェイの負荷を軽減する方策は開示されていない。

本発明の第１の視点によれば、パケット処理に関する指示をパケット転送装置に通知する制御装置を含むネットワークと通信可能な端末であって、前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する通信部と、
送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理部とを含む端末が提供される。

本発明の第２の視点によれば、パケット処理に関する指示をパケット転送装置に通知する制御装置であって、前記制御装置を含むネットワークにアクセスする端末から送信されたアクセス要求を受信する要求受付部と、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を生成する制御部と、送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与することが可能な前記端末に対して、生成された前記処理規則を通知する通信部とを含む制御装置が提供される。

本発明の第３の視点によれば、パケット処理に関する指示をパケット転送装置に通知する制御装置を含むネットワークと通信可能な端末を制御する通信方法であって、前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信し、送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する通信方法が提供される。なお、本方法は、転送装置と制御装置とを含むネットワークと通信する端末という、特定の機械に結びつけられている。

本発明の第４の視点によれば、パケット処理に関する指示をパケット転送装置に通知する制御装置と、前記制御装置を含むネットワークと通信可能な端末とを含む通信システムであって、前記制御装置は、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を決定する制御部を含み、前記端末は、前記制御装置から、前記制御装置が決定した前記処理規則を受信する通信部と、送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理部と、を含む通信システムが提供される。

本発明の第５の視点によれば、パケット処理に関する指示をパケット転送装置に送信する制御装置を含むネットワークと通信可能な端末に搭載する通信モジュールであって、
前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する通信部と、送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理部とを含む通信モジュールが提供される。

本発明の第６の視点によれば、パケット処理に関する指示をパケット転送装置に送信する制御装置を含むネットワークと通信可能な端末に、前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する処理と、送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理とを実行させることを特徴とするプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明の第７の視点によれば、パケット処理に関する指示をパケット転送装置に送信する制御装置を含むネットワークと通信可能な端末に、前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する処理と、送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理とを実行させるプログラムを、前記端末に送信する情報処理装置が提供される。

本発明によれば、制御装置が転送装置を集中制御することで通信を実行する技術において、制御装置や転送装置の負荷を軽減することができる。

本発明の構成の一例を示す図である。 本発明の構成の一例を示す図である。 処理規則を格納するテーブルの一例を示す図である。 本発明の動作の一例を示すフローチャートである。 本発明の動作の一例を示すフローチャートである。 本発明の第１の実施形態の構成の一例を示す図である。 図６の構成をアクセス制御システムに適用した例を示す図である。 認証情報の一例を示す図である。 通信ポリシ情報の一例を示す図である。 リソース情報の一例を示す図である。 通信ポリシの一例を示す図である。 制御装置の構成の一例を示す図である。 第１の実施形態の動作の一例を示すシーケンス図である。 第１の実施形態の動作の一例を示すシーケンス図である。 第１の実施形態の動作の一例を示すシーケンス図である。 第２の実施形態の動作の一例を示すシーケンス図である。 通信ポリシの一例を示す図である。 第３の実施形態の構成の一例を示す図である。 第４の実施形態の構成の一例を示す図である。 第５の実施形態の構成の一例を示す図である。 第６の実施形態の構成の一例を示す図である。 第７の実施形態の構成の一例を示す図である。 第７の実施形態の動作の一例を示すシーケンス図である。 関連技術を説明する図である。

はじめに、本発明の一実施形態の概要を説明する。図１は、通信ネットワークの構成と、端末１の構成とを示す図である。また、図２は、転送ノード２と制御装置３の構成を示す図である。なお、図面に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものである。本発明を図示の態様に限定することを意図するものではない。

転送ノード２は、パケットを受信すると、パケットに対応する処理規則に従ってパケットを処理する。処理規則は、パケットの処理内容を規定するものである。処理規則の構造の一例を、図３に示す。処理規則は、例えば、パケットと処理規則とを照合するための照合規則と、照合規則に合致するパケットの処理内容とを含む。パケットを受信すると、処理部２３は、パケットに対応する処理規則を記憶部２１から検索する。つまり、処理部２３は、記憶部２１に格納された図３に例示された構造のテーブルを検索する。例えば、パケットが“フローＡ”に属するものであれば、照合規則の“フローＡ”に合致する。なお、“フロー”とは、パケットの内容（パケットの送信元や宛先等の情報、パケットに含まれる複数の情報の組み合わせ等）に応じて特定される一連のパケットである。パケットに対応する処理規則が記憶部２１に格納されている場合、処理部２３は検索された処理規則に従ってパケットを処理する。例えば、図３の例において、パケットが“フローＡ”に属するものであれば、処理部２３は、“転送ノードのポートａから転送”という処理内容を実行する。パケットに対応する処理規則が記憶部２１に格納されていない場合、制御装置通信部２２は、制御装置３に対して、処理規則の設定要求を送信する。

制御装置３は、転送ノード２によるパケット処理を制御する。通信部３１が、転送ノード２から、処理規則の設定要求を受信すると、制御部３２は、設定要求に対応する処理規則を決定する。通信部３１は、制御部３２が決定した処理規則を転送ノード２に送信する。処理規則は、例えば、指定ポートからのパケット送信、フラッディング、廃棄、パケットヘッダの書き換え等のパケットの処理内容を規定する。

制御装置３は、転送ノード２のみでなく、転送ノード２と制御装置３を含む通信ネットワークと通信する端末１に対しても処理規則を設定する。また、端末１は、設定された処理規則に従ってパケット処理を実行する。

端末１は、通信部１０を介して、通信ネットワークに対してアクセス要求を送信する。なお、端末１は、パーソナルコンピュータや携帯端末等の通信端末である。端末１の通信方式は、有線・無線のいずれであってもよい。

転送ノード２は、端末１からのアクセス要求を検出すると、そのアクセス要求を制御装置３に対して転送する。例えば、制御装置３は、転送ノード２の記憶部２１に、アクセス要求用のパケット（例えば、認証用パケットやログイン用パケット）に対応する処理規則を予め設定する。図３に例示するように、制御装置３は、照合規則が“アクセス要求用パケット”であり、対応する処理内容が“制御装置に転送”である処理規則を設定する。アクセス要求用のパケットに対応する処理規則は、例えば、アクセス要求用のパケットを制御装置３に対して転送する処理を規定する。転送ノード２の処理部２３は、アクセス要求用のパケットを受信した場合、アクセス要求用のパケットに対応する処理規則に従って、アクセス要求用のパケットを制御装置３に転送する。

制御装置３が転送ノード２から転送されたアクセス要求用のパケットを受信すると、制御装置３の制御部３２は、ポリシ管理部３３を参照し、端末のユーザに対応するポリシを検索する。なお、ポリシ管理部３３は、端末毎に設定されたポリシを格納してもよい。制御部３２は、検索したポリシに基づいて、端末１に設定する処理規則を決定する。通信部３１は、決定された処理規則を、端末１に対して送信する。なお、例えば、制御装置３は、決定した処理規則に有効期限を設定して、端末１に送信してもよい。有効期限が設定されている場合、端末１に設定された処理規則は、有効期限の経過により端末１から消去される。なお、図２では、ポリシ管理部３３は制御装置３に含まれている例を示したが、制御装置３とは異なる装置でポリシを管理してもよい。

また、制御装置３は、ポリシ管理部３３を参照せずに、制御装置３が管理する情報に基づいて、端末１に設定する処理規則を決定してもよい。

また、制御装置３は、例えば、端末に設定した端末用の処理規則に対応する転送ノード用の処理規則を、転送ノード２に設定してもよい。例えば、端末１が、端末１に設定された処理規則に従ってパケットの一部の書き換え処理を実行する場合、制御装置３は、パケット中の書き換えられた内容に合致する処理規則を転送ノード２に設定してもよい。

端末１の通信部１０が制御装置３から処理規則を受信した場合、端末１は処理規則を記憶部１１に設定する。端末１の処理部１２は、通信ネットワークとの間でパケットの送受信をする際、記憶部１１から、送受信するパケットに対応する処理規則を検索する。処理部１２は、送受信するパケットに対応する処理規則が記憶部１１に格納されている場合、その処理規則に従ってパケットを処理する。処理部１２は、処理規則に従って、例えば、パケットの一部を書き換えて送受信する処理やパケットの廃棄処理を実行する。送受信するパケットに対応する処理規則が記憶部１１に格納されていない場合、処理部１２は、パケットに対する処理は実行せずにパケットを送受信してもよいし、パケットを廃棄してもよい。但し、送受信するパケットに対応する処理規則が記憶部１１に格納されていない場合のパケット処理は、これに限定されるものではない。

次に、図４及び図５を参照し、端末１及び制御装置３の動作を説明する。図４は、端末１の動作の一例を示すフローチャートである。端末１は、制御装置３から処理規則を受信した場合（Ｓ１）、受信した処理規則を記憶部１１に格納する（Ｓ２）。

通信ネットワークとの間でパケットの送受信がある場合（Ｓ３のＹｅｓ）、端末１は、送受信するパケットに対応する処理規則を検索する（Ｓ４）。

端末１は、送受信するパケットに対応する処理規則が記憶部１１に格納されている場合、その処理規則に従って、送受信するパケットを処理する（Ｓ５）。

図５は、制御装置３の動作の一例を示すフローチャートである。制御装置３は、端末１からのアクセス要求を受信すると（Ｓ６）、端末のユーザに対応するポリシを、ポリシ管理部３３から検索する（Ｓ７）。

制御装置３は、検索されたポリシに基づいて、端末１に設定する処理規則を決定し（Ｓ８）、端末１に送信する（Ｓ９）。

制御装置３は端末１に対して処理規則を設定し、端末１自らが処理規則に対応するパケット処理を実行する。転送ノード２に代わり、端末１が処理規則に従ってパケットの一部の書き換え等のパケット処理を実行するので、転送ノード２におけるパケット処理の負荷が大幅に軽減される。また、処理装置３は、端末１に対して設定した端末用の処理規則の内容に対応する処理規則を、転送ノード２に予め設定することができるので、転送ノード２に処理規則が設定されていないことにより発生する制御装置３への要求を抑止できる。よって、制御装置３の処理負荷が大幅に軽減される。

［第１の実施形態］
続いて、本発明の第１の実施形態の概要について図面を参照して説明する。図６は、第１の実施形態におけるシステム構成の一例を示す。図６を参照すると、ユーザの端末１００と、複数の転送ノード２００と、ポリシ管理装置３００と、制御装置４００と含んだ構成が示されている。

複数の転送ノード２００は、制御装置４００から設定された処理規則にしたがって、ユーザの端末から送信されたパケットを処理する。

ユーザの端末１００内の端末制御装置１１０は、制御装置４００から設定された処理規則を記憶し、処理規則に基づいてユーザの端末から送信されるパケットを制御する。

より具体的には、端末制御装置１１０は、処理規則判定部４２０から送信されたパケット転送の可否を判別する処理規則を記憶する処理規則記憶部１２０と、処理規則記憶部１２０に格納された処理規則に基づいて、ユーザの端末から発信されるアクセスを許可、または拒否するアクセス制御部１３０とを備える。つまり、アクセス制御部１３０は、端末１００から送信されるパケットに対応する処理規則が処理規則記憶部１２０に格納されているか否かを確認する。アクセス制御部１３０は、端末１００から送信されるパケットに対応する処理規則が格納されていた場合、その処理規則に規定された処理内容を確認する。アクセス制御部１３０は、処理内容がパケットの転送を拒否するものである場合、転送ノード２００により構成される通信ネットワークに対してパケットを転送せず、パケットの破棄等のアクセス制限を実行する。

ポリシ管理装置３００は、通信ポリシを管理し、認証に成功したユーザに付与された通信ポリシを制御装置４００に通知する。

より具体的には、ポリシ管理装置３００は、ユーザに付与されるロールと、各ロールに設定されたアクセス権限とを対応付けた通信ポリシ記憶部３１０を含む。ポリシ管理装置３００は、ユーザ認証の結果に基づき、認証に成功したユーザのロールに対応するアクセス権限に関する情報を制御装置４００に提供する。

制御装置４００は、転送ノード２００に対して、パケットの処理内容を規定した処理規則を設定する。なお、図面に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものである。本発明を図示の態様に限定することを意図するものではない。

より具体的には、制御装置４００は、ポリシ管理装置３００から受信したアクセス権限に関する情報に基づいて、認証に成功したユーザの端末１００と、ユーザがアクセス可能なネットワーク資源５００との間の経路を決定する。制御装置４００は、決定された路上の転送ノード２００に、処理規則を設定する経路制御部４１０を含む。制御装置４００は、経路制御部４１０が転送ノード２００に設定した処理規則について、端末１００からのパケット転送の可否を判別する処理規則をユーザの端末１００の端末制御装置１１０に送信する処理規則判定部４２０を備える。

制御装置４００がユーザの端末１００に送信する処理規則には有効期限を設定してもよい。この場合、端末１００は、有効期限が経過した処理規則を消去する。なお、処理規則判定部４２０が端末１００からのパケット転送を拒否する処理規則を端末制御装置１１０に送信する場合、経路制御部４１０は、転送ノード２００に対して、決定した経路に対応する処理規則を設定しなくてもよい。

以上のように処理規則を設定することにより、ユーザに与えられたロールに応じ、アクセス可能なネットワーク資源５００を判別し、さらに、フロー毎に経路を設定してアクセスを行わせることができる。また、上記処理規則を設定することにより、ユーザから送信されるパケットのフローのうち、該ユーザによるアクセスを拒否するフローについて、ユーザの端末１００にアクセス制限を実行させることが可能になる。

よって、アクセスが制限されるパケットは、転送ノード２００に送信されることなく端末１００でアクセス制限されるので、転送ノード２００における処理負荷が軽減される。また、端末１００によりアクセス制限することで、転送ノード２００から制御装置に対して送信される処理規則の設定要求の契機となるパケットが減るので、制御装置の負荷が大幅に軽減される。

なお、処理規則には、有効期限を設け、転送ノード２００、およびユーザの端末１００のアクセス制御部１３０に設定されてから、または、最後に照合規則に適合するパケットを受信してから、有効期限が経過した場合に、パケットの転送を拒否する処理規則を削除してもよい。

図７は、図６の構成を用いてアクセス制御システムを実現した例を表した図である。図７に示した構成は、システムの一例であって、本発明は図７に開示されたシステム構成に限定されない。図７を参照すると、複数の転送ノード２００と、ユーザの端末１００から送信されるパケットの送信可否を制御する端末制御装置１１０と、これら転送ノード２００と端末制御装置１１０とに処理規則を設定する制御装置４００と、制御装置４００に通信ポリシを通知するポリシ管理装置３００と、ポリシ管理装置３００に認証結果を示す認証情報を提供する認証装置３３０と、を含んだ構成が示されている。

転送ノード２００は、受信パケットと照合する照合規則と、照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する。このような転送ノード２００としては、非特許文献２に開示されたオープンフロースイッチを用いることもできる。但し、転送ノード２００は、オープンフロースイッチに限定されない。

複数の転送ノード２００のうちのある転送ノード２００は、ネットワーク資源５００Ａ、５００Ｂと接続している。なお、図７に示すネットワーク構成は例示であり、転送ノード２００とネットワーク資源５００Ａ、５００Ｂとの接続構成は図７の例に限定されるものではない。

ユーザの端末１００は、転送ノード２００を介して、ネットワーク資源５００Ａ、５００Ｂと通信する。図７の例では、ネットワーク資源５００Ａとネットワーク資源５００Ｂとはそれぞれ異なるリソースグループに属し、それぞれリソースグループＩＤとしてｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２が付与されているものとして説明する。

認証装置３３０は、パスワードや生体認証情報等を用いてユーザの端末１００とユーザ認証手続を行なう認証サーバ等である。認証装置３３０は、ポリシ管理装置３００にユーザの端末１００とのユーザ認証手続の結果を示す認証情報を送信する。

図８は、本実施形態の認証装置３３０に保持される認証情報の一例である。例えば、ユーザＩＤがｕｓｅｒ１であるユーザの認証に成功した場合、認証装置３３０は、ポリシ管理装置３００に対し、ｕｓｅｒ１、ＩＰアドレス：１９２．１６８．１００．１、ＭＡＣアドレス：００−００−００−４４−５５−６６という属性、ロールＩＤ：ｒｏｌｅ＿０００１、ｒｏｌｅ＿０００２というｕｓｅｒ１のエントリを認証情報として送信する。同様に、ユーザＩＤがｕｓｅｒ２であるユーザの認証に成功した場合、ポリシ管理装置３００に対し、ｕｓｅｒ２、ＩＰアドレス：１９２．１６８．１００．２、ＭＡＣアドレス：００−００−００−７７−８８−９９という属性、ロールＩＤ：ｒｏｌｅ＿０００２というｕｓｅｒ２のエントリを認証情報として送信する。

認証情報は、ポリシ管理装置３００がユーザの付与されている通信ポリシを決定可能な情報であればよく、図８の例に限定するものではない。例えば、認証に成功したユーザのユーザＩＤや当該ユーザＩＤから導出したロールＩＤ、ＭＡＣアドレス等のアクセスＩＤ、ユーザの端末１００の位置情報、あるいは、これらの組み合わせを認証情報としてもよい。認証装置３３０は、認証情報として、認証に失敗したユーザの情報をポリシ管理装置３００に送信し、ポリシ管理装置３００が当該ユーザからのアクセスを制限する通信ポリシを制御装置４００に送信してもよい。

ポリシ管理装置３００は、通信ポリシ記憶部３１０、リソース情報記憶部３２０と接続され、認証装置３３０から受信した認証情報に対応する通信ポリシを決定し、決定した通信ポリシを制御装置４００に送信する。

図９は、通信ポリシ記憶部３１０に格納される通信ポリシ情報の一例である。図９の例では、通信ポリシ情報は、ロールＩＤで識別されるロール毎に、リソースのグループに与えられたリソースグループＩＤと、アクセス権限とを有する。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２の双方へのアクセスが許可されている。他方、ロールＩＤ：ｒｏｌｅ＿０００２のユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスは禁止され、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可されている。

図１０は、リソース情報記憶部３２０に格納されるリソース情報の一例である。図１０の例では、リソース情報は、リソースグループＩＤに属するリソースのリソースＩＤやその詳細属性（リソース属性）を対応付けた情報である。例えば、リソース情報は、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループには、ｒｅｓｏｕｒｃｅ＿０００１、ｒｅｓｏｕｒｃｅ＿０００２、ｒｅｓｏｕｒｃｅ＿０００３を持つリソースが含まれ、それぞれのＩＰアドレスやＭＡＣアドレスやサービスに利用するポート番号などを含む。

ポリシ管理装置３００は、通信ポリシ情報およびリソース情報を参照して、認証装置３３０にて認証を受けたユーザの通信ポリシを決定し、制御装置４００に通知する。例えば、ポリシ管理装置３００は、認証装置３３０から受信した認証情報に含まれるロールＩＤに基づいて、図９のポリシ情報から該当するロールＩＤに紐付けられたリソースグループＩＤとそのアクセス権限の内容を特定する。ポリシ管理装置３００は、図１０のリソース情報からリソースグループＩＤに属するリソース情報を特定する。ポリシ管理装置３００は、特定したポリシ情報及びリソース情報を用いて通信ポリシを作成する。

図１１は、図８、図９、図１０に示した情報から作成されるユーザＩＤ：ｕｓｅｒ１を持つユーザの通信ポリシの一例を示す。図１１の送信元フィールドには、図８の認証情報のユーザＩＤ：ｕｓｅｒ１の属性情報の値が設定される。また、宛先フィールドには、図９のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１の内容を元に図１０のリソース情報から抽出したリソース属性が設定される。また、アクセス権限フィールドには、図９のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１のアクセス権限に基づく権限が設定される。また、条件（オプション）フィールドには、図１０のリソース情報のリソース属性フィールドに設定されていた内容（例えば、サービスとポート番号）が設定される。

制御装置４００は、通信ポリシを受信すると、当該通信ポリシを適用するユーザからのパケットに対する処理規則の設定要求を、転送ノードに送信させる処理内容を規定した処理規則を作成し、複数の転送ノード２００のうちの少なくとも１つの転送ノードに設定する。転送ノード２００は、通信ポリシを適用するユーザからのパケットを受信した場合、その処理規則に基づいて、制御装置４００に対して処理規則の設定要求を送信する。制御装置４００は、通信ポリシを適用するユーザからのパケットに対する処理規則の設定要求を受けた場合、その設定要求に含まれるパケット情報に基づいて、パケットの転送経路および該転送経路に対応する処理規則を決定し、当該パケット転送経路上の転送ノード２００に設定する。制御装置４００は、転送ノードに設定した処理規則について、端末１００からのパケット転送の可否を判別する処理規則をユーザの端末１００の端末制御装置１１０に送信する。

図１２は、制御装置４００の詳細構成を表したブロック図である。制御装置４００は、転送ノード２００との通信を行うノード通信部４０と、制御メッセージ処理部４１と、処理規則管理部４２と、処理規則記憶部４３と、転送ノード管理部４４と、経路・アクション計算部４５と、トポロジ管理部４６と、端末位置管理部４７と、通信ポリシ管理部４８と、通信ポリシ記憶部４９と、を備える。

制御メッセージ処理部４１は、転送ノード２００から受信した制御メッセージを解析して、解析結果に応じて、制御装置４００内の対応する機能ブロックに制御メッセージ情報を引き渡す。

処理規則管理部４２は、どの転送ノード２００にどのような処理規則が設定されているかを管理する。具体的には、経路・アクション計算部４５にて作成された処理規則を処理規則記憶部４３に登録し、転送ノード２００に設定すると共に、転送ノード２００からの処理規則削除通知などにより、転送ノード２００にて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部４３の登録情報をアップデートする。

転送ノード管理部４４は、制御装置４００によって制御されている転送ノード２００の能力（例えば、ポートの数や種類、サポートする処理内容の種類など）を管理する。

経路・アクション計算部４５は、通信ポリシ管理部４８から通信ポリシを受信すると、当該通信ポリシに従い、当該ユーザが使用する端末から送信されたパケットに対する処理規則の設定要求を実行させる処理規則を作成する。なお、作成した処理規則の設定先とする転送ノード２００は、ユーザの端末１００が接続する可能性のあるすべての転送ノード２００でもよいし、あるいは、通信ポリシに含まれる送信元情報に基づいていずれかの転送ノード２００を選択してもよい。

経路・アクション計算部４５は、ユーザが使用する端末から送信されたパケットに対する処理規則の設定要求を受けると、要求に含まれるパケット情報に基づいて、当該パケットの転送経路および該転送経路に対応する処理規則を決定する。

また、経路・アクション計算部４５は、トポロジ管理部４６にて構築されたネットワークトポロジ情報に基づいて、パケットの転送経路を計算する。なお、経路・アクション計算部４５は、端末位置管理部４７にて管理されている通信端末の位置情報も考慮してパケットの転送経路を計算してもよい。次に、経路・アクション計算部４５は、転送ノード管理部４４から、転送経路上の転送ノード２００のポート情報等を取得して、経路上の転送ノード２００に実行させる処理内容と、当該処理内容を適用するフローを特定するための照合規則を求める。なお、照合規則は、図１１の通信ポリシの送信元ＩＰアドレス、宛先ＩＰアドレス、条件（オプション）等を用いて作成することができる。従って、図１１の通信ポリシの１番目のエントリの場合、経路・アクション計算部４５は、送信元ＩＰアドレス１９２．１６８．１００．１から宛先ＩＰアドレス１９２．１６８．０．１に宛てられたパケットを、転送ノード２００の所定のポートから転送する処理内容等を規定した処理規則が作成される。なお、経路・アクション計算部４５は、処理規則を設定する際、処理規則の設定要求を受けたパケットだけでなく、ユーザ端末がアクセス権を有しているリソースへのパケット転送を実現する処理規則も併せて作成してもよい。

トポロジ管理部４６は、ノード通信部４０を介して収集された転送ノード２００の接続関係に基づいてネットワークトポロジ情報を構築する。

端末位置管理部４７は、通信システムに接続しているユーザ端末の位置を特定するための情報を管理する。本実施形態では、ユーザ端末を識別する情報としてＩＰアドレスを、ユーザ端末の位置を特定するための情報として、ユーザ端末が接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。但し、ユーザ端末やユーザ端末の位置を特定するための情報はこれに限定されない。例えば、認証装置３３０から提供された情報等を用いて、端末とその位置を特定するものとしても良い。

通信ポリシ管理部４８は、ポリシ管理装置３００から通信ポリシ情報を受信すると、通信ポリシ記憶部４９に格納するとともに、経路・アクション計算部４５に送信する。

なお、制御装置４００は、非特許文献１、２のオープンフローコントローラを適用してもよい。つまり、通信ポリシの受信を契機とした処理規則（フローエントリ）の作成機能を、オープンフローコントローラに追加してもよい。

処理規則判定部４２０は、経路・アクション計算部４５によって作成された処理規則のうち、パケット転送の可否を判定するための処理規則（例えば、図１１の表における送信元が「１９２．１６８．１００．１」で、宛先が「１９２．１６８．０．３」で、アクセス権限が「ｄｅｎｙ」の処理規則）を端末制御装置１１０の処理規則記憶部１２０に送信する。制御装置４００から端末制御装置１１０の処理規則記憶部１２０への転送方法は、有線接続であってもよいし、無線接続であってもよいし、他のどのような転送方法であってもよい。

図１２に示した制御装置４００の各部（処理手段）、および経路制御部４１０と、処理規則判定部４２０とは、制御装置４００を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

図７における端末制御装置１１０は、図６と同様、処理規則記憶部１２０と、アクセス制御部１３０とから構成される。処理規則記憶部１２０は、制御装置４００から、パケット転送の可否を判定するための処理規則を受信し、記録する。アクセス制御部１３０は、処理規則記憶部１２０に記録される処理規則に従って、ユーザの端末１００から送信されるパケットのアクセス制御を実行する。つまり、ユーザの端末１００が送信するパケットに対応する処理規則に、アクセスを拒否することが規定されていた場合、アクセス制御部１３０は、当該パケットの送信を制限する。

上記した端末制御装置１１０の処理規則記憶部１２０と、アクセス制御部１３０とは、端末制御装置１１０を構成するユーザ端末のコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

次に、本実施形態の動作について図面を参照して詳細に説明する。図１３、図１４及び図１５は、本実施形態の一連の動作を表したシーケンス図である。図１３を参照すると、ユーザ端末が、認証装置３３０にログイン要求すると、当該ログイン要求に対応するパケットが認証装置３３０へ転送される（図１３のＳ００１）。

認証装置３３０はユーザ認証を行う（図１３のＳ００２）。認証装置３３０は、ポリシ管理装置３００に認証情報を送信する（図１３のＳ００３）。ポリシ管理装置３００は、受信した認証情報に基づいて、通信ポリシ記憶部３１０とリソース情報記憶部３２０とを参照し、通信ポリシを決定する（図１３のＳ００４）。ポリシ管理装置３００は、決定した通信ポリシを制御装置４００に送信する（図１３のＳ００５）。

制御装置４００は、通信ポリシを受信すると、ユーザ端末から送信されたパケットに対応する処理規則の設定要求を制御装置４００に送信する処理内容を規定した処理規則を、転送ノード２００に設定する（図１３のＳ００６）。制御装置４００は、通信ポリシに基づき、パケット転送の可否を判定し、判定結果に対応する処理規則を作成する（図１３のＳ００７）。制御装置４００は、作成した処理規則を端末制御装置１１０に送信する（図１３のＳ００８）。

端末制御装置１１０は、制御装置４００が送信した処理規則を受信すると、処理規則記憶部１２０にその処理規則を登録する（図１３のＳ００９）。

ユーザ端末からパケットの送信が許可される場合、およびパケットの送出が拒否される場合の動作について、それぞれ図１４、および図１５を用いて説明する。

図１４は、端末制御装置１１０がパケットの送出を許可する場合の一連の動作を表したシーケンス図である。ユーザ端末は、ネットワーク資源宛のパケットを送信する（図１４のＳ１０１）。端末制御装置１１０がそのパケットを受け取り、ネットワーク資源宛にパケットを送信するか否かを判定する（図１４のＳ１０２）。端末制御装置１１０は、ユーザ端末から送信されたパケットの宛先ＩＰアドレス等と、処理規則記憶部１２０に登録されている処理規則とを比較する。端末制御装置１１０は、ユーザ端末から送信されたパケットに対応する処理規則に、アクセス許可を示すことが規定されていた場合、転送ノード２００へパケットを送信する（図１４のＳ１０３）。

転送ノード２００は、端末制御装置１１０からパケットを受け取り、制御装置４００によって登録された処理規則にしたがってパケットの転送経路を判定し（図１４のＳ１０４）、パケットを転送する（図１４のＳ１０５）。

図１５は、端末制御装置１１０がパケットの送信を拒否する場合の一連の動作を表したシーケンス図である。ユーザ端末が、ネットワーク資源宛のパケットを送信すると（図１５のＳ２０１）、端末制御装置１１０がそのパケットを受け取り、ネットワーク資源宛にパケットを送信するか否かを判定する（図１５のＳ２０２）。端末制御装置１１０は、ユーザ端末から送出されたパケットの宛先ＩＰアドレス等と、処理規則記憶部１２０に登録されている処理規則とを比較する。端末制御装置１１０は、ユーザ端末から送信されたパケットに対応する処理規則に、アクセスを拒否することを示す内容が規定されていた場合、そのパケットの送信を制限（パケットの廃棄等）する（図１５のＳ２０３）。

なお、制御装置４００が端末に対して処理規則を設定してもよいし、端末が制御装置４００を定期的に参照し、端末が処理規則を取得してもよい。また、両方の仕組みを組み合わせてもよい。

また、アクセス制御部１３０がパケットの転送を許可、または拒否する仕組みは、転送ノードで行われている方法と同様の仕組みであってもよいし、ｉｐｔａｂｌｅｓのようなパケットフィルタリング技術を用いてもよい。また、端末制御装置１１０のアクセス制御部１３０は、パケットの転送を許可、または拒否する処理規則をユーザ端末内の物理的なＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）に対して適用することもできるし、ユーザ端末内で稼働する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）が持つそれぞれの仮想的なＮＩＣに対して適用することもできるし、ユーザ端末内で稼働する複数の仮想スイッチに対して適用することもできる。このように、アクセス制御部１３０は、ユーザ端末内におけるアクセス制御を実行する場所を自由に指定することが可能である。

以上のようにして、ユーザ端末から送信されたパケットは、ユーザ端末内の端末制御装置１１０によって、転送ノード２００に送出されることなく、ユーザ端末内でアクセス制限することができる。よって、処理規則の設定要求に伴う制御装置の負荷、および転送ノードの転送処理の負荷が大幅に削減される。

［第２の実施形態］
続いて、上記した第１の実施形態のポリシ管理装置の動作に変更を加えた本発明の第２の実施形態について説明する。本実施形態は、上記した第１の実施形態と同等の構成にて実現可能であるため、以下、その動作上の相違点を中心に説明する。

図１６は、本発明の第２の実施形態の一連の動作を表したシーケンス図である。ユーザ端末が、認証装置３３０にログイン要求する（図１６のＳ３０１）。認証装置３３０がユーザ認証を行う（図１６のＳ３０２）。認証装置３３０は、ユーザ認証結果に基づいて認証情報をポリシ管理装置３００に送信する（図１６のＳ３０３）。

ポリシ管理装置３００は、認証装置３３０から受け取った認証情報を元にしてユーザの通信ポリシを決定する（図１６のＳ３０４）。ポリシ管理装置３００は、決定した通信ポリシを制御装置４００に送信する（図１６のＳ３０５）。

制御装置４００は、ポリシ管理装置３００から受け取った通信ポリシを元にして処理規則を生成、転送ノード２００に設定する（図１６のＳ３０６）。これらの動作は、第１の実施形態と同様である。本実施形態では、制御装置４００が転送ノード２００に処理規則を設定した後、その処理規則の内容を参照し、パケット転送の可否を判定するための処理規則をポリシ管理装置３００に送信する（図１６のＳ３０７）。

パケット転送の可否を判定するための処理規則を受け取ったポリシ管理装置３００は、通信ポリシ記憶部３１０と、リソース情報記憶部３２０との情報を用いて、その処理規則が適用される別のユーザを選出する（図１６のＳ３０９）。

図１７は、パケットの転送を拒否する処理規則を受け取ったポリシ管理装置３００がその処理規則が適用される別のユーザを選出する一例を表す図である。例えば、図１７を参照すると、送信元が「ＩＰ：１９２．１６８．１００．０／２４」で宛先が「１９２．１６８．０．３」であるアクセスを拒否（ｄｅｎｙ）する、という処理規則（以下、処理規則（ａ）とする）がある。この場合、ポリシ管理装置３００は、処理規則（ａ）に合致する別のユーザ（リソースＩＤやリソースグループＩＤ）を検索し、合致した別のユーザ（例えば、送信元が「１９２．１６８．１００．１０」でその他の条件が処理規則（ａ）のユーザと同じリソースＩＤ、およびリソースグループＩＤ）を選出する。以降の説明では、図１６のログイン処理（Ｓ３０１）を行ったユーザをＡとし、ユーザＡが使うユーザ端末をユーザ端末Ａとし、ユーザ端末Ａが持つ端末制御装置を端末制御装置Ａとする。また、図１６のポリシ管理装置３００が制御装置４００から受け取った処理規則を元に選出したユーザをＢとし、ユーザＢが使うユーザ端末をユーザ端末Ｂとし、ユーザ端末Ｂが持つ端末制御装置を端末制御装置Ｂとする。

ポリシ管理装置３００は、制御装置４００からユーザＡに対してパケット転送の可否を判定する処理規則（ａ）を受け取り、処理規則（ａ）に合致するユーザＢを選出した後、ユーザ端末Ａの端末制御装置Ａと、ユーザ端末Ｂの端末制御装置Ｂとにそれぞれ処理規則を設定する（図１６のＳ３１０、およびＳ３１２）。なお、制御装置４００が端末制御装置Ａ、および端末制御装置Ｂへ処理規則を送信する順番は、どのような順番であってもよい。

端末制御装置Ａは、制御装置４００が送信した処理規則を受け取り、端末制御装置Ａの処理規則記憶部にその処理規則を登録する（図１６のＳ３１１）。同様に、端末制御装置Ｂは、制御装置４００が送信した処理規則を受け取り、端末制御装置Ｂの処理規則記憶部にその処理規則を登録する（図１６のＳ３１３）。

その後、ユーザ端末Ａと、ユーザ端末Ｂとからパケットの送出が許可される場合、およびパケットの送出が拒否される場合の動作は、図１４、および図１５を使って説明した第１の実施形態と同様である。

以上の一連の動作の結果、あるユーザの端末に対して設定する処理規則が別のユーザに対しても適用される場合、あらかじめその別ユーザの端末制御装置にも処理規則を登録しておくことで、処理規則の設定要求に伴う制御装置の負荷、および転送ノードの転送処理の負荷を低減することが可能となる。

［第３の実施形態］
次に、図１８を参照して本発明の第３の実施形態を説明する。図１８中の各要素は、図中の番号が他の実施形態の要素と同じ場合、他の実施形態で説明した内容と同等である。以下、本実施形態では、構成上の詳細な説明は省略する。

制御装置４００は、端末１００に対して、端末の識別子をパケットに書込むことを規定した処理規則を設定する。なお、制御装置４００が端末１００に対して処理規則を設定する契機は任意でよい。例えば、制御装置４００が、端末１００が送信したアクセス要求用のパケット（例えば、認証用パケットやログイン用パケット）を受信した場合に、端末１００に対して処理規則を設定してもよい。また、制御装置４００が、任意のタイミングで、端末１００に対して処理規則を設定してもよい。

制御装置４００は、端末の識別子を書込む処理の対象となるパケットを照合するための照合規則を処理規則に含めて、端末１００に設定する。

端末１００は、設定された処理規則に従って、パケットの任意の領域（例えば、ヘッダの所定の領域）に端末に識別子を書込む。端末１００は、識別子を書込んだパケットを、転送ノード２００で構成されるネットワークへ送信する。

転送ノード２００は、端末１００から、端末の識別子を含むパケットを受信し、自身が保持する処理規則から、端末の識別子に対応する処理規則の有無を調べる。端末の識別子に対応する処理規則がない場合、転送ノード２００は、制御装置４００に対して端末の識別子に対応する処理規則の設定要求を送信する。

転送ノード２００から要求を受信した制御装置４００は、端末の識別子に対応する転送経路を決定し、該転送経路に対応する処理規則を転送ノード２００に対して送信する。転送ノード２００に設定される処理規則は、照合規則に端末の識別子が設定され、処理内容に識別子に対応するパケットの処理が設定される。処理規則が設定された後は、転送ノード２００は、パケットに含まれる端末の識別子に合致する処理規則に従って、端末の識別子を含むパケットを処理する。

本実施形態によれば、制御装置４００は、パケットのフローを端末単位で柔軟に制御することができる。また、制御装置４００や転送ノード２００が端末の識別子を認識している必要がないので、制御装置４００や転送ノード２００による端末の識別子の収集等に要する処理負荷が大幅に軽減される。更に、処理装置４００は、端末の識別子に対応する処理規則を、転送ノード２００に予め設定することができるので、転送ノード２００に処理規則が設定されていないことにより発生する制御装置４００への要求を抑止できる。よって、制御装置４００の処理負荷が大幅に軽減される。

［第４の実施形態］
次に、図１９を参照して本発明の第４の実施形態を説明する。図１９中の各要素は、図中の番号が他の実施形態の要素と同じ場合、他の実施形態で説明した内容と同等である。以下、本実施形態では、構成上の詳細な説明は省略する。

制御装置４００は、所定の端末１００に対して、ＱｏＳに関する処理規則を設定する。なお、制御装置４００が端末１００に対して処理規則を設定する契機は任意でよい。例えば、制御装置４００が、端末１００が送信したアクセス要求用のパケット（例えば、認証用パケットやログイン用パケット）を受信した場合に、端末１００に対して処理規則を設定してもよい。また、制御装置４００が、任意のタイミングで、端末１００に対して処理規則を設定してもよい。また、制御装置４００は、所定の条件から抽出される所定の端末１００のみに対して、ＱｏＳ情報を送信してもよい。

ＱｏＳに関する処理規則は、例えば、所定の端末１００から送信されるパケットに、該パケットのＱｏＳ情報を書込む処理を規定する。なお、ＱｏＳ情報は、例えば、優先度に応じてクラス分けしたＱｏＳクラスである。制御装置４００は、ＱｏＳクラスが高いパケットについては、帯域等を融通するように、転送ノード２００を制御する。また、制御装置４００は、端末１００に対して、低いＱｏＳクラスをパケットに書込むことを規定した処理規則を設定し、通信頻度が高いヘビーユーザからのトラフィックを、一時的に狭帯域の経路に隔離するように、転送ノード２００を制御してもよい。また、制御装置４００は、端末１００の通信記録や位置情報に基づいて、端末１００に設定する処理規則を決定してもよい。

制御装置４００は、ＱｏＳ情報を書込む処理の対象となるパケットを照合するための照合規則を処理規則に含めて、端末１００に設定する。

端末１００は、設定された処理規則に従って、パケットの任意の領域（例えば、ヘッダの所定の領域）にＱｏＳ情報を書込む。端末１００は、ＱｏＳ情報を書込んだパケットを、転送ノード２００で構成されるネットワークへ送信する。

転送ノード２００は、端末１００から、ＱｏＳ情報を含むパケットを受信し、自身が保持する処理規則から、ＱｏＳ情報に対応する処理規則の有無を調べる。ＱｏＳ情報に対応する処理規則がない場合、転送ノード２００は、制御装置４００に対してパケットに含まれるＱｏＳ情報に対応する処理規則の設定要求を送信する。但し、制御装置４００は、予め、ＱｏＳ情報に対応する処理規則を転送ノード２００に対して設定してもよい。この場合、制御装置４００に対する処理規則の設定要求が大幅に削減される。

転送ノード２００から要求を受信した制御装置４００は、ＱｏＳ情報に対応する転送経路を決定し、該転送経路に対応する処理規則を転送ノード２００に対して送信する。転送ノード２００に設定される処理規則は、照合規則にＱｏＳ情報が設定され、処理内容としてＱｏＳ情報に対応するパケットの処理が設定される。処理規則が設定された後は、転送ノード２００は、パケットに含まれるＱｏＳ情報に合致する処理規則に従って、ＱｏＳ情報を含むパケットを処理する。

本実施形態によれば、制御装置４００を運営するネットワークオペレータ主導で、端末のＱｏＳ制御を実行することができる。また、制御装置４００が、ＱｏＳ情報に対応する処理規則を予め転送ノード２００に設定しておくことができるので、転送ノード２００からの処理規則の設定要求を大幅に削減できる。よって、制御装置４００の処理負荷も大きく削減される。更に、転送ノード２００においてＱｏＳ情報を書き込む処理を実行する必要がないので、転送ノード２００におけるパケット処理の負荷も大幅に削減される。

［第５の実施形態］
次に、図２０を参照して本発明の第５の実施形態を説明する。図２０中の各要素は、図中の番号が他の実施形態の要素と同じ場合、他の実施形態で説明した内容と同等である。以下、本実施形態では、構成上の詳細な説明は省略する。

制御装置４００は、端末１００に対して、端末１００のアクセス要求のリダイレクトを指示する処理規則を設定する。制御装置４００は、例えば、端末１００のユーザを、特定の広告サイトに導きたい場合等に、アクセス要求のリダイレクトを指示する処理規則を設定する。例えば、端末１００が、あるｅコマースを運営するサイトにアクセス要求をする場合に、制御装置４００は、割引等の特別イベントを実施している関連サイトへアクセス要求をリダイレクトするように、端末１００に対して処理規則を設定する。なお、制御装置４００は、端末１００の初回アクセス要求時のみをリダイレクトするように、端末１００に対して処理規則を設定してもよい。制御装置４００は、端末１００に通信をリダイレクトさせる処理規則に有効期限を付加して、端末１００に処理規則を設定してもよい。また、制御装置４００は、端末１００の通信記録を参照し、リダイレクト先を決定してもよい。例えば、制御装置４００は通信記録に基づいてユーザの嗜好を分析し、その嗜好に対応する広告サイト等にリダイレクトする処理規則を端末１００に対して設定してもよい。また、制御装置４００は、端末１００の位置に基づいてリダイレクト先を決定してもよい。制御装置４００は、例えば、端末１００から送信された位置情報（ＧＰＳ等）や、端末１００がネットワークにアクセスしたアクセスポイントの位置情報等に基づいて、端末１００の位置を認識する。制御装置４００は、端末１００の位置に基づいて、その位置に関連する所定のウェブサイト等に宛先をリダイレクトすることを規定した処理規則を、端末１００に設定する。

制御装置４００は、例えば、端末１００から送信されるアクセス要求パケットのヘッダの“宛先”領域の書き換えを実行する処理規則を、端末１００に送信する。また、制御装置４００は、リダイレクトする宛先に対応する転送経路を決定し、決定した経路に対応する処理規則を、転送ノード２００に設定する。制御装置４００は、予め、リダイレクトする宛先に対応する処理規則を転送ノード２００に対して設定してもよい。この場合、制御装置４００に対する処理規則の設定要求が大幅に削減される。

制御装置４００は、リダイレクトの対象となるパケットを照合するための照合規則を処理規則に含めて、端末１００に設定する。

端末１００は、設定された処理規則に従って、パケットヘッダの宛先領域を、処理規則に設定されたリダイレクト先に書き換える。端末１００は、宛先領域を書き換えたパケットを、転送ノード２００で構成されるネットワークへ送信する。

転送ノード２００は、リダイレクトされた宛先に対応する処理規則に従って、パケットを転送する。

本実施形態によれば、制御装置４００を利用して、ネットワーク上のサービス提供者が、端末のユーザを特定のサイトに誘導することができる。また、制御装置４００が、リダイレクトされた宛先に対応する処理規則を予め転送ノード２００に設定しておくことができるので、転送ノード２００からの処理規則の設定要求を大幅に削減できる。よって、制御装置４００の処理負荷も大きく削減される。更に、転送ノード２００においてパケットの宛先を書き換える処理を実行する必要がないので、転送ノード２００におけるパケット処理の負荷も大幅に削減される。

［第６の実施形態］
次に、図２１を参照して本発明の第６の実施形態を説明する。図２１中の各要素は、図中の番号が他の実施形態の要素と同じ場合、他の実施形態で説明した内容と同等である。以下、本実施形態では、構成上の詳細な説明は省略する。

制御装置４００は、所定の端末１００に対して、端末ユーザの課金情報をパケットに書込むことを指示する処理規則を設定する。課金情報は、例えば、端末ユーザが通信サービスの品質等に応じてネットワークオペレータと契約した課金クラスである。なお、制御装置４００が端末１００に対して処理規則を設定する契機は任意でよい。例えば、制御装置４００が、端末１００が送信したアクセス要求用のパケット（例えば、認証用パケットやログイン用パケット）を受信した場合に、端末１００に対して処理規則を設定してもよい。また、制御装置４００が、任意のタイミングで、端末１００に対して処理規則を設定してもよい。

制御装置４００は、課金情報を書込む処理の対象となるパケットを照合するための照合規則を処理規則に含めて、端末１００に設定する。

制御装置４００は、課金クラスが高いパケットについては、低い課金クラスのパケットよりも高いサービス品質（帯域を優先する等）を提供するように、転送ノード２００を制御する。

端末１００は、設定された処理規則に従って、パケットの任意の領域（例えば、ヘッダの所定の領域）に課金情報を書込む。端末１００は、課金情報を書込んだパケットを、転送ノード２００で構成されるネットワークへ送信する。

転送ノード２００は、端末１００から、課金情報を含むパケットを受信し、自身が保持する処理規則から、課金情報に対応する処理規則の有無を調べる。課金情報に対応する処理規則がない場合、転送ノード２００は、制御装置４００に対してパケットに含まれる課金情報に対応する処理規則の設定要求を送信する。但し、制御装置４００は、予め、課金情報に対応する処理規則を転送ノード２００に対して設定してもよい。この場合、制御装置４００に対する処理規則の設定要求が大幅に削減される。

転送ノード２００から要求を受信した制御装置４００は、課金情報に対応する転送経路を決定し、該転送経路に対応する処理規則を転送ノード２００に対して送信する。転送ノード２００に設定される処理規則は、照合規則に課金情報が設定され、処理内容として課金情報に対応するパケットの処理が設定される。処理規則が設定された後は、転送ノード２００は、パケットに含まれる課金情報に合致する処理規則に従って、課金情報を含むパケットを処理する。

なお、本実施形態と第５の実施形態を組み合わせてもよい。制御装置４００は、課金クラスが低く、通信サービスの品質が所定の閾値以下の状態が一定期間継続したユーザの端末１００に対して、課金クラスのアップグレードを促すサイトへのリダイレクトを指示する処理規則を設定してもよい。

本実施形態によれば、制御装置４００を運営するネットワークオペレータ主導で、端末ユーザの課金情報に応じた通信サービス品質をコントロールできる。また、制御装置４００が、課金情報に対応する処理規則を予め転送ノード２００に設定しておくことができるので、転送ノード２００からの処理規則の設定要求を大幅に削減できる。よって、制御装置４００の処理負荷も大きく削減される。更に、転送ノード２００において課金情報を書き込む処理を実行する必要がないので、転送ノード２００におけるパケット処理の負荷も大幅に削減される。

［第７の実施形態］
次に、第７の実施形態について説明する。図２２は、本発明の第７の実施形態の構成の一例を表した図である。第７の実施形態では、制御装置４００Ａが改ざん判定部６１０を含むことが上述の実施形態と異なる。改ざん判定部６１０は、処理規則判定部４２０によって決定された、端末１００に設定される処理規則のハッシュ値を保持する。

改ざん判定部６１０は、端末制御装置１１０の処理規則記憶部１２０に記録される処理規則のハッシュ値と、自身が保持するハッシュ値を比較する。改ざん判定部６１０は、ハッシュ値が異なる場合、端末１００に設定された処理規則が改ざんされたと判定する。改ざん判定部６１０は、通信システムのセキュリティを確保するため、その端末１００からのアクセスを拒否する処理規則を転送ノード２００に登録する。なお、改ざん判定部６１０は、アクセスを拒否する処理規則を転送ノード２００に設定する際、その処理規則に有効期限を設定してもよい。

次に、第７の実施形態の動作について説明する。上述の実施形態と同等の動作については、その説明を省略する。以下、動作上の相違点を中心に説明する。

図２３は、本発明の第７の実施形態の一連の動作を表したシーケンス図である。ユーザ端末が、認証装置３３０にログイン要求する（図２３のＳ４０１）。認証装置３３０がユーザ認証を行う（図２３のＳ４０２）。認証装置３３０は、ユーザ認証結果に基づいて認証情報をポリシ管理装置３００に送信する（図２３のＳ４０３）。

ポリシ管理装置３００は認証装置３３０から受け取った認証情報を元にしてユーザの通信ポリシを決定する（図２３のＳ４０４）。ポリシ管理装置３００は、決定した通信ポリシを制御装置４００に送信する（図２３のＳ４０５）。

制御装置４００は、ポリシ管理装置３００から受け取った通信ポリシを元にして処理規則を決定し、転送ノード２００に設定する。制御装置４００は、通信ポリシを受信すると、ユーザ端末からのパケットについての処理規則の設定要求を行わせる処理規則を転送ノード２００に設定する（図２３のＳ４０６）。制御装置４００は、端末１００に設定する処理規則を決定する（図２３のＳ４０７）。制御装置４００は、決定した処理規則を端末制御装置１１０に送信する（図２３のＳ４０８）。

端末制御装置１１０は、制御装置４００が送信した前記処理規則を受信すると、処理規則記憶部１２０にその処理規則を登録する（図２３のＳ４０９）。

制御装置４００の改ざん判定部６１０は、端末１００に対して設定した処理規則から求めたハッシュ値を生成する（図２３のＳ４１０）。

端末制御装置１１０は、制御装置４００から設定された処理規則から求めたハッシュ値を生成し（図２３のＳ４１１）、そのハッシュ値を制御装置４００の改ざん判定部６１０に送信する（図２３のＳ４１２）。

制御装置４００の改ざん判定部６１０は、改ざん判定部６１０が生成したハッシュ値と、端末制御装置１１０から送信されたハッシュ値とを照合する（図２３のＳ４１３）。制御装置４００の改ざん判定部６１０は、ハッシュ値の照合の結果、同一の値であれば正常とみなし、一連の処理を終了する。一方、ハッシュ値の照合の結果、異なる値であれば、端末１００のユーザにより処理規則が改ざんされたと判定し、その端末１００からのアクセスを拒否する処理規則を生成し、その処理規則を転送ノード２００に設定する（図２３のＳ４１４）。なお、改ざん判定部６１０は、端末１００からのアクセスを拒否する処理規則に有効期限を設定してもよい。

以上の一連の動作の結果、あるユーザが自身のユーザ端末に保持される処理規則を改ざんした場合、制御装置がその改ざんを検知して、そのユーザの全てのアクセスを拒否する処理規則を転送ノードに設定することで、本アクセス制御システムがユーザに意図的に制御されることを防ぐことが可能となる。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態では、制御装置４００、認証装置３３０、ポリシ管理装置３００、通信ポリシ記憶部３１０、リソース情報記憶部３２０をそれぞれ独立して設けるものとして説明したが、これらを適宜統合した構成も採用可能である。

また、上記した実施形態では、図８〜図１１を示してユーザにロールＩＤを付与してアクセス制御を行うものとして説明したが、ユーザ毎に付与されているユーザＩＤや、ＭＡＣアドレス等のアクセスＩＤ、ユーザの端末１００の位置情報などを用いてアクセス制御を行うことも可能である。

また、上記した実施形態では、ユーザの端末１００が、転送ノード２００を介して、認証装置３３０と認証手続を行うものとして説明したが、ユーザの端末１００が直接認証装置３３０と通信し、認証手続を実施する構成も採用可能である。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。

１ 端末
２ 転送ノード
３ 制御装置
１０ 通信部
１１ 記憶部
１２ 処理部
２１ 記憶部
２２ 制御装置通信部
２３ 処理部
３１ 通信部
３２ 制御部
３３ ポリシ管理部
４０ ノード通信部
４１ 制御メッセージ処理部
４２ 処理規則管理部
４３ 処理規則記憶部
４４ 転送ノード管理部
４５ 経路・アクション計算部
４６ トポロジ管理部
４７ 端末位置管理部
４８ 通信ポリシ管理部
４９ 通信ポリシ記憶部
１００ 端末
１１０ 端末制御装置
１２０ 処理規則記憶部
１３０ アクセス制御部
２００ 転送ノード
３００ ポリシ管理装置
３１０ 通信ポリシ記憶部
３２０ リソース情報記憶部
３３０ 認証装置
４００、４００Ａ 制御装置
４１０ 経路制御部
４２０ 処理規則判定部
５００、５００Ａ、５００Ｂ ネットワーク資源
６１０ 改ざん判定部

Claims (32)

1. パケット処理に関する指示をパケット転送装置に通知する制御装置を含むネットワークと通信可能な端末であって、
   前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する通信部と、
   送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理部とを含むことを特徴とする端末。
2. 前記通信部は、前記制御装置が所定の条件に基づいて決定した処理規則を受信することを特徴とする請求項１に記載の端末。
3. 前記通信部は、前記端末のユーザに対応するポリシに基づいて前記制御装置が決定した処理規則を受信することを特徴とする請求項１に記載の端末。
4. 前記通信部は、前記端末の通信記録に基づいて前記制御装置が決定した処理規則を受信することを特徴とする請求項１に記載の端末。
5. 前記通信部は、前記端末の位置に関する情報に基づいて前記制御装置が決定した処理規則を受信することを特徴とする請求項１に記載の端末。
6. さらに、前記ネットワークにアクセス要求を送信する要求送信機能を含み、
   前記通信部は、前記アクセス要求に応じて前記制御装置が決定した処理規則を受信することを特徴とする請求項１から５いずれか一に記載の端末。
7. さらに、前記ネットワークにアクセス要求を送信する要求送信機能を含み、
   前記通信部は、前記転送装置を介して転送された前記アクセス要求に応じて前記制御装置が決定した処理規則を受信することを特徴とする請求項１から５いずれか一に記載の端末。
8. 前記通信部が前記制御装置から受信した前記処理規則は、前記制御装置が前記パケット転送装置に対して設定した転送装置用の処理規則に対応することを特徴とする請求項１から７いずれか一に記載の端末。
9. 前記処理部は、前記処理規則から求められる第１の情報を生成し、前記制御装置が前記第１の情報と前記制御装置が決定した処理規則から求められる第２の情報とを照合するために、前記第１の情報を前記ネットワークに送信することを特徴とする請求項１から８いずれか一に記載の端末。
10. パケット処理に関する指示をパケット転送装置に通知する制御装置であって、
    前記制御装置を含むネットワークにアクセスする端末から送信されたアクセス要求を受信する要求受付部と、
    ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を生成する制御部と、
    送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与することが可能な前記端末に対して、生成された前記処理規則を通知する通信部とを含むことを特徴とする制御装置。
11. 前記制御部は、所定の条件に基づいて処理規則を決定することを特徴とする請求項１０に記載の制御装置。
12. 前記制御部は、前記端末のユーザに対応するポリシに基づいて処理規則を決定することを特徴とする請求項１０に記載の制御装置。
13. 前記制御部は、前記端末の通信記録に基づいて処理規則を決定することを特徴とする請求項１０に記載の制御装置。
14. 前記制御部は、前記端末の位置に関する情報に基づいて処理規則を決定することを特徴とする請求項１０に記載の制御装置。
15. 前記制御部は、前記転送装置を介して転送されたアクセス要求に応じて処理規則を決定することを特徴とする請求項１０から１４いずれか一に記載の制御装置。
16. 前記制御部が決定した前記処理規則は、前記転送装置に対して設定された転送装置用の処理規則に対応し、
    前記通信部は、前記制御部により決定された前記処理規則を前記端末に送信することを特徴とする請求項１０から１５いずれか一に記載の制御装置。
17. 前記制御部は、前記端末に設定するための処理規則を決定し、該処理規則から求められる第１の情報を生成し、前記端末から受信した第２の情報と前記第１の情報とを照合することを特徴とする請求項１０から１６いずれか一に記載の制御装置。
18. 前記通信品質に関する品質情報は、前記端末のユーザの課金情報であることを特徴とする請求項１０から１７いずれか一に記載の制御装置。
19. パケット処理に関する指示をパケット転送装置に通知する制御装置を含むネットワークと通信可能な端末を制御する通信方法であって、
    前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信し、
    送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する
    ことを特徴とする通信方法。
20. 所定の条件に基づいて前記制御装置が決定した処理規則を受信する
    ことを特徴とする請求項１９に記載の通信方法。
21. 端末のユーザに対応するポリシに基づいて前記制御装置が決定した処理規則を受信する
    ことを特徴とする請求項１９に記載の通信方法。
22. 端末の通信記録に基づいて前記制御装置が決定した処理規則を受信する
    ことを特徴とする請求項１９に記載の通信方法。
23. 端末の位置に関する情報に基づいて前記制御装置が決定した処理規則を受信する
    ことを特徴とする請求項１９に記載の通信方法。
24. 前記ネットワークにアクセス要求を送信し、
    前記アクセス要求に応じて前記制御装置が決定した処理規則を受信する
    ことを特徴とする請求項１９に記載の通信方法。
25. 前記ネットワークにアクセス要求を送信し、
    前記転送装置を介して転送された前記アクセス要求に応じて前記制御装置が決定した処理規則を受信する
    ことを特徴とする請求項１９に記載の通信方法。
26. 前記処理規則から求められる第１の情報を生成し、前記制御装置に前記第１の情報と前記制御装置が決定した処理規則から求められる第２の情報とを照合させるために、前記第１の情報を前記ネットワークに送信する
    ことを特徴とする請求項１９から２５いずれか一に記載の通信方法。
27. パケット処理に関する指示をパケット転送装置に通知する制御装置と、前記制御装置を含むネットワークと通信可能な端末とを含む通信システムであって、
    前記制御装置は、
    ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を決定する制御部を含み、
    前記端末は、
    前記制御装置から、前記制御装置が決定した前記処理規則を受信する通信部と、
    送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理部と、
    を含むことを特徴とする通信システム。
28. パケット処理に関する指示をパケット転送装置に送信する制御装置を含むネットワークと通信可能な端末に搭載する通信モジュールであって、
    前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する通信部と、
    送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理部とを含むことを特徴とする通信モジュール。
29. パケット処理に関する指示をパケット転送装置に送信する制御装置を含むネットワークと通信可能な端末に、
    前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する処理と、
    送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理とを実行させることを特徴とするプログラム。
30. パケット処理に関する指示をパケット転送装置に送信する制御装置を含むネットワークと通信可能な端末に、前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する処理と、送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理とを実行させるプログラムを、前記端末に送信する情報処理装置。
31. パケット処理に関する指示をネットワークスイッチに通知する制御装置を含むネットワークと通信可能な端末であって、
    前記制御装置と、所定の制御プロトコルに従って通信可能な仮想スイッチを含み、
    前記仮想スイッチは、
    前記制御装置から、ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を受信する通信部と、
    送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与する処理部と、
    を含むことを特徴とする端末。
32. ネットワークスイッチに対してパケット処理に関する指示を送信する制御装置であって、
    前記制御装置を含むネットワークと通信可能であり、仮想スイッチを有する端末と、所定の制御プロトコルに従って通信可能な制御部を含み、
    前記制御部は、
    ヘッダ情報と比較するための照合規則と、該照合規則に対応するヘッダ情報を有するパケットに通信品質に関する品質情報を付与する処理ルールとを含む処理規則を生成し、
    送信パケットのヘッダ情報に対応する照合規則を有する処理規則に従って、前記送信パケットに前記品質情報を付与することが可能な前記仮想スイッチに対して、生成した処理規則を送信する
    ことを特徴とする制御装置。