呼制御システム、呼制御方法および呼制御プログラム
【課題】 利便性を高めるとともに、資源の実質的な利用効率や信頼性を高める。
【解決手段】 呼制御システムにおいて、宅内装置と呼制御信号中継部のあいだに介在し、中継処理のため呼制御信号中継部に渡すまえに、プロトコルデータ単位を受信する呼制御前置部と、呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定部と、中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して呼のために利用されている資源を解放する呼処理制御部とを備える。
【解決手段】 呼制御システムにおいて、宅内装置と呼制御信号中継部のあいだに介在し、中継処理のため呼制御信号中継部に渡すまえに、プロトコルデータ単位を受信する呼制御前置部と、呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定部と、中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して呼のために利用されている資源を解放する呼処理制御部とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は呼制御システム、呼制御方法および呼制御プログラムに関し、例えば、ＳＩＰ（セッション・イニシエーション・プロトコル）などの呼制御プロトコルを用いるＩＰ電話システムなどに適用して好適なものである。
【背景技術】
【０００２】
ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワーク上で音声通信を実現するＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）技術を用いて電話サービスを提供するＩＰ電話サービスが広く普及している。
【０００３】
ＩＰネットワークを利用した通信において、送受信されるデータは、定められた方式に則って、パケット（ＩＰパケット）と呼ばれるある一定の大きさをしたデータのかたまりとして扱われる。
【０００４】
ＩＰネットワークでの問題として、ネットワークに接続されたシステムに障害を発生させることを目的に悪意のユーザがパケットを大量に送りつける攻撃があげられる。この攻撃により、パケットを受信したシステムは、処理負荷が異常に上がり、本来の動作を行えない状態に陥る。このような攻撃はＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）と呼ばれる。
【０００５】
また、悪意がなくても、ネットワークに接続された装置の故障などに起因する異常動作で、特定のシステムに対してパケットが送出しつづけられることも起こり得る。パケットを受信するシステムの側からみた場合、この現象もＤｏＳ攻撃に等しいといえるので、以下では、ＤｏＳ攻撃という場合、このような現象をもたらす動作も含むものとする。
【０００６】
このようなＤｏｓ攻撃の対策となり得る従来の技術として、下記の特許文献１，２に記載されたものがある。
【０００７】
特許文献１の技術では、ＩＳＰ（インターネット・サービス・プロバイダ）網に接続されているユーザのサーバを、インターネット上の他のユーザが当該ＩＳＰ網経由で行う攻撃から守るため、同じ送信元から、所定時間内に規定値以上のデータ量が届いた場合、ＩＳＰ網内のルータで、そのデータを破棄する。
【０００８】
また、特許文献２の技術では、サーバとクライアントのあいだに配置されたサーバ計算機保護装置で、不特定のクライアントからサーバへ送信されたデータ要求を、いったん当該サーバ計算機保護装置のデータ要求受付部で受け付け、受け付けたデータ要求のサーバへの転送は、当該サーバ計算機保護装置が備えるデータ要求転送部によって実行される。ただし、必ずしもすべてのデータ要求がサーバに転送されるわけではなく、サーバの処理が遅れている場合には、受け付けたデータ要求の一部だけをサーバへ転送し、残りは破棄される。したがって、サーバの負荷状態が高ければ、破棄の割合が上がり、サーバへ転送するデータ要求の割合は低下する。
【特許文献１】特開２００２−１６６３３号公報
【特許文献２】特開２００４−１６４５５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
ところで、電話端末と電話交換機（例えば、ＩＰ電話機とＳＩＰサーバなど）のあいだ等でやり取りされる呼制御メッセージ（例えば、ＩＰパケットに収容されてＩＰネットワーク上を伝送される呼制御メッセージ）は、呼（セッション（通話））の確立や解放などを実行するために必須の制御信号で、個々のメッセージに異なる意味があり、届けられる順番も決められている。したがって、上述した特許文献１や２の技術によって、一連の呼制御メッセージの一部が欠損すると、本来、実行されるべき呼制御の手順に論理矛盾が生じる。
【００１０】
呼制御メッセージのやり取りを規定する呼制御プロトコル自体や、呼制御プロトコルの下位のプロトコル階層で動作する通信プロトコル（例えば、ＴＣＰやＵＤＰなどのトランスポート層プロトコルなど）が再送制御の機能を持つ場合には、電話端末と電話交換機のあいだなどで再送を行うことによってこの論理矛盾を解消できる可能性もあるが、このような再送が行われた場合、電話端末を利用するユーザには、呼設定などに著しく長時間を要する利便性の低いシステムとして認識され得る。
【００１１】
もちろん、リアルタイム性を重視して再送制御の機能を持たない呼制御プロトコルやトランスポート層プロトコルを用いる場合には、前記論理矛盾を解消することはできない。前記論理矛盾が発生したときどのような問題が生じるかは具体的な電話交換機などの仕様に依存するが、例えば、電話による通話を行わないユーザのために不必要な資源（例えば、記憶資源や処理能力など）を確保しつづけることによる資源の実質的な利用効率の低下が生じる可能性が高く、また、他のユーザからそのユーザへの着信や、そのユーザから他のユーザへの着信が正常に行えなくなって信頼性が低下する可能性も高い。
【００１２】
その一方で、呼制御メッセージを収容したＩＰパケットなどが電話交換機などに送り付けられる形式で前記ＤｏＳ攻撃が実行される可能性もあるため、このようなＤｏＳ攻撃に対して、利便性の低下、資源の実質的な利用効率や信頼性の低下を招かない対策が必要となる。
【課題を解決するための手段】
【００１３】
かかる課題を解決するために、第１の本発明では、電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを有する呼制御システムにおいて、（１）前記宅内装置と呼制御信号中継部のあいだに介在し、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置部と、（２）当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定部と、（３）当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御部とを備えたことを特徴とする。
【００１４】
また、第２の本発明では、電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを用いる呼制御方法において、（１）前記宅内装置と呼制御信号中継部のあいだに呼制御前置部を配置して、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を当該呼制御前置部に受信させ、（２）中継可否判定部が、当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定し、（３）当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、呼処理制御部が、その呼処理を終了して当該呼のために利用されている資源を解放することを特徴とする。
【００１５】
さらに、第３の本発明では、電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置機能と、当該宅内装置機能から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継機能とを有する呼制御プログラムにおいて、コンピュータに、（１）前記宅内装置機能と呼制御信号中継機能のあいだに介在し、前記中継処理のため呼制御信号中継機能に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置機能と、（２）当該呼制御前置機能が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定機能と、（３）当該中継可否判定機能が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置機能から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御機能とを実現させることを特徴とする。
【発明の効果】
【００１６】
本発明によれば、利便性を高めるとともに、資源の実質的な利用効率や信頼性を高めることができる。
【発明を実施するための最良の形態】
【００１７】
（Ａ）実施形態
以下、本発明にかかる呼制御システム、呼制御方法および呼制御プログラムを、ＩＰ電話サービスを提供する通信システムに適用した場合を例に、実施形態について説明する。
【００１８】
（Ａ−１）第１の実施形態の構成
本実施形態にかかる通信システム２０の全体構成例を図１に示す。
【００１９】
図１において、当該通信システム２０は、ＩＰ電話網６と、電話端末８とを備えている。
【００２０】
このうちＩＰ電話網６には、ＩＰ電話交換装置１と、加入者情報データベース（加入者情報ＤＢ）４と、ネットワーク管理システム５と、ＣＰＥ（Ｃｕｓｔｏｍｅｒ Ｐｒｅｍｉｓｅ Ｅｑｕｉｐｍｅｎｔ：加入者宅内装置）７が含まれている。ＩＰ電話網６は特定の通信事業者が運営するＩＰ網であってもよく、インターネットなどであってもよい。いずれにしても、ＩＰ電話網６上では、ＯＳＩ参照モデルのネットワーク層の通信プロトコルとして、ＩＰプロトコルが用いられる。
【００２１】
当該ＩＰ電話交換装置１は、ＩＰ電話網６内で中継交換機能を実現する通信装置である。具体的には、呼制御の過程で中心的な役割を果たすＳＩＰサーバや、Ｈ．３２３ゲートキーパなどが当該ＩＰ電話交換装置１に対応し得る。当該ＩＰ電話交換装置１は、ＩＰ電話交換機能部２と、パケット制御部３とを備えるが、このなかでＳＩＰサーバやＨ．３２３ゲートキーパなどに相当するのは、主としてＩＰ電話交換機能部２である。
【００２２】
パケット制御部３は本実施形態に特徴的な構成要素で、ＩＰ電話網６経由で到来する呼制御メッセージ（パケット）のうち、当該パケット制御部３が中継（転送）すべきものと判定した呼制御メッセージのみが、前記ＩＰ電話交換機能部２に中継され、それ以外の呼制御メッセージは、パケット制御部３内で破棄される。
【００２３】
通信装置である以上、当該ＩＰ電話交換装置１が、ＣＰＵ（中央処理装置）などの処理能力を提供するハードウエア資源や、不揮発性や揮発性の記憶能力を提供するハードウエア資源を備えていることは当然である。
【００２４】
ＣＰＥ７は、加入者Ｕ１の宅内に配置されるネットワーク機器である。具体的には、例えば、ＡＤＳＬモデムやルータなどが当該ＣＰＥ７に該当し得る。
【００２５】
前記電話端末８は加入者Ｕ１によって利用される電話機である。ＩＰ電話機のように当該電話端末８自体がＶｏＩＰ対応機能を搭載していてもよいが、ここでは、ＶｏＩＰ対応機能を持たない一般電話機を想定する。電話端末８が一般電話機の場合、ＣＰＥ７はいわゆるＶｏＩＰゲートウエイの機能を搭載することが必要となり、ＣＰＥ７のＷＡＮ側（ＩＰ電話網６側）のインタフェースに設定されるＩＰアドレスがそのまま当該電話端末８を指定するＩＰ電話網６上の識別子となる。
【００２６】
加入者情報データベース４は加入者（例えば、Ｕ１）に関する情報（加入者情報）を蓄積したデータベースで、前記ＩＰ電話交換装置１によって参照される。加入者情報には様々な情報が含まれ得るが、ここでは、図２に示すように、ＣＰＥ識別子と、ＣＰＥＩＰアドレスを加入者情報とする。
【００２７】
図２において、ＣＰＥ識別子は、通信システム２０内で各ＣＰＥを一意に識別するために呼制御プロトコルで定められた識別情報である。ＣＰＥＩＰアドレスは、その時点でＣＰＥに割り当てられているＩＰアドレスである。当該加入者情報データベース４にＣＰＥ識別子およびＣＰＥＩＰアドレスが登録されているのは、正当な加入者が使用するＣＰＥに限られる。
【００２８】
当該加入者情報データベース４はハードディスクなどの不揮発性の記憶手段を利用することにより、少なくともリブートや電源断などによっては蓄積している加入者情報が消滅しないものとして構成される。もちろん、実際に当該加入者情報データベース４が参照されるときには、作業用の記憶領域を提供するメモリなどの揮発性の記憶手段を介して加入者情報の読み出しが行われるものであってよいことは当然である。
【００２９】
ネットワーク管理システム５は、保守者Ｍ１がＩＰ電話網６上の各ノードを管理するために利用するシステムである。ＩＰ電話交換装置１と同じ通信装置上にネットワーク管理システム５が実装される構成もあり得るが、一般的には、別個の通信装置に実装され、ネットワーク管理システム５と他のノード（例えば、ＩＰ電話交換装置１）は、ＩＰ電話網６経由で通信する。ネットワーク管理システム５側には、ネットワーク管理ソフトのマネージャ機能が搭載され、管理対象となるノード（例えば、ＩＰ電話交換装置１）側にはネットワーク管理ソフトのエージェント機能が搭載されるものであってよい。
【００３０】
ネットワーク管理システム５は、保守者Ｍ１が、管理を行う上で必要な各種の情報を知るための表示装置や、保守者Ｍ１が管理を行うために各種の指示を入力するための入力装置などを有するユーザインタフェースを持つことは当然である。当該表示装置は、例えば、ＧＵＩ（Graphical User Interface）に対応したものであってもよい。保守者Ｍ１は、これらのＨＭＩ（Human Machine Interface）を利用して、後述するパケットを破棄するための条件（破棄条件）などを指定することもできる。
【００３１】
前記パケット制御部３は例えば図１３に示す通りの内部構成を備えている。
【００３２】
（Ａ−１−１）パケット制御部の内部構成例
図１３において、当該パケット制御部３は、通信部３０と、制御部３１と、記憶部３２と、検出用設定受付部３３と、集中検出部３４と、転送制御部３５と、破棄実行部３６と、破棄制御部３７と、検出結果通知部３８と、破棄用設定受付部３９と、破棄通知部４０とを備えている。
【００３３】
このうち通信部３０は、ＩＰ電話交換装置１の内外の構成要素と通信する部分である。すなわち、当該通信部３０は、例えば、ＣＰＥ７が送信したパケットＰＫ７を受信するとともに、当該ＩＰ電話交換装置１内部のＩＰ電話交換機能部２や外部のネットワーク管理システム５との通信も行う。ＩＰ電話網６上で通信する以上、基本的に外部のノードとの通信ではＩＰパケットが用いられるが、内部にあるＩＰ電話交換機能部２との通信はどのような方法で行ってもかまわない。外部のノードとの通信に使用するポートと、内部のノード（例えば、ＩＰ電話交換機能部２）との通信に使用するポートは物理的に別個のものであってよい。
【００３４】
制御部３１は、当該パケット制御部３のＣＰＵ（中央処理装置）に相当する部分である。ＩＰ電話交換装置１がシングルプロセッサ構成を取る場合には、当該制御部３１はハードウエア的にＩＰ電話交換機能部２のＣＰＵと同じプロセッサとなるが、マルチプロセッサ構成を取る場合には、パケット制御部３のＣＰＵとＩＰ電話交換機能部２のＣＰＵが異なるものとなる。ＤｏＳ攻撃への対策としては、マルチプロセッサ構成を取ることが望ましい。
【００３５】
記憶部３２は、揮発性または不揮発性の記憶手段によって構成される記憶資源である。
【００３６】
検出用設定受付部３３は、ＩＰパケットの集中を検出するための条件（集中検出条件）の設定を受け付ける部分である。ここで、ＩＰパケットの集中とは、上述したＤｏＳ攻撃がＩＰ電話交換装置１に対して行われた場合にＩＰ電話交換装置１側で観測できる現象である。この現象には様々なものがあり得るが、ここでは、指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元からＩＰパケットが到来したことをもって、ＩＰパケットの集中とする。この場合、当該指定時間ＤＴ１および指定回数ＤＰ１が前記集中検出条件となる。
【００３７】
前記集中検出部３４は、当該検出用設定受付部３３に設定されている集中検出条件に基づいて、ＩＰパケットの集中を検出する部分である。
【００３８】
検出結果通知部３８は、当該集中検出部３４がＩＰパケットの集中を検出した場合、その事実と、そのパケットの送信元（送信元ＩＰアドレス）を示す情報（検出通知情報）を所定の通知先に通知する部分である。通知先としては、ＩＰ電話交換機能部２と、ネットワーク管理システム５がある。なお、送信元ＩＰアドレスとは、パケットの送信元を特定するため、送信元の通信装置（例えば、ＣＰＥ７）によって自動的かつ強制的にＩＰヘッダの該当するフィールドに記述される伝送制御情報である。同様に、宛先ＩＰアドレスは、パケットの宛先を特定するため、送信元の通信装置によって自動的かつ強制的にＩＰヘッダの該当するフィールドに記述される伝送制御情報である。例えば、前記ＣＰＥ７に割り当てられているＩＰアドレスがＩＡ１で、パケット制御部３に割り当てられているＩＰアドレスがＩＡ２であり、ＣＰＥ７からパケット制御部３宛て（すなわち、ＩＰ電話交換装置１宛て）のパケットＰＫ１を送信するものとすると、そのパケットＰＫ７のＩＰヘッダの該当する各フィールドには、宛先ＩＰアドレスとしてＩＡ２が、送信元ＩＰアドレスとしてＩＡ１がそれぞれ記述される。
【００３９】
転送制御部３５は、ＩＰパケット（または、ＩＰパケットに収容されている呼制御メッセージ）のＩＰ電話交換機能部２への転送を制御する部分である。ＩＰ電話網１１上でパケット制御部３まで届けられるパケットは、基本的にすべて、呼制御メッセージを収容したパケットであるから、通常、ＣＰＥ７などから送信されＩＰ電話網６経由でパケット制御部３に受信されたパケットはすべて、ＩＰ電話交換機能部４へ転送される。ただし、ＩＰパケットの集中が検出された場合や、保守者Ｍ１などから破棄の指示が行われた場合などには、該当するパケットは転送されることなく、当該パケット制御部３内で破棄される。
【００４０】
多数のパケットのなかから該当するパケットを特定する方法には様々なものがあり得るが、ここでは、送信元ＩＰアドレスを用いるものとする。送信元ＩＰアドレスとともに別の情報（例えば、ＩＰヘッダに記述されるプロトコル番号など）を用いて該当するパケットを特定してもよいことは当然である。
【００４１】
破棄用設定受付部３９は、パケットを破棄するための条件（破棄条件）の設定を受け付ける部分である。前記集中検出条件を満たすと集中検出部３４が判定したパケットは破棄するように指定したり、保守者Ｍ１などが、個別の送信元ＩＰアドレスや破棄を継続する時間（破棄時間）などを指定したりするとき、この破棄条件を用いることができる。保守者Ｍ１などが指定した場合には、前記集中検出部３４が集中検出条件を満たすと判定しなくても、該当するパケットが破棄されることになる。もちろん、前記集中検出条件を満たすと集中検出部３４が判定したパケットを破棄するときにも、予め設定された破棄時間などの破棄条件にしたがって破棄するようにすることができる。
【００４２】
破棄実行部３６は、パケットの破棄を実行する部分である。具体的な破棄の操作がどのようなものとなるかは実装に依存するが、例えば、受信バッファ（受信バッファは、例えば、前記記憶部３２内の揮発性記憶手段上に確保された記憶領域であってよい）内に一時的に記憶されている該当するパケットを削除することをもって破棄としてもよい。破棄は、パケット制御部３が特定のパケットに対して実行することのできる最も資源消費量の少ない最終的な処理である。
【００４３】
破棄制御部３７は、当該破棄実行部３６による破棄の実行を制御する部分である。破棄制御部３７は、前記破棄用設定受付部３９に設定された破棄条件にしたがって、この制御を実行する。
【００４４】
予め指定された前記破棄時間が経過した場合、保守者Ｍ１などから該当する破棄条件が削除された場合、または、保守者Ｍ１などから該当するパケットを破棄しないように指示が出された場合などに、該当するパケットの破棄は停止される。該当するパケットの破棄が停止されたことや、破棄が実行されたこと等、破棄に関連する情報（破棄関連情報）は、破棄通知部４０により、保守者Ｍ１に通知される。
【００４５】
当該パケット制御部３とともに前記ＩＰ電話交換装置１を構成するＩＰ電話交換機能部２の内部構成は、例えば、図１４に示す通りである。
【００４６】
（Ａ−１−２）ＩＰ電話交換機能部の内部構成例
図１４において、当該ＩＰ電話交換機能部２は、通信部５０と、制御部５１と、記憶部５２と、加入者情報対応部５３と、通常交換部５４と、呼開放実行部５５と、検出結果受付部５６とを備えている。
【００４７】
このうち通信部５０は前記通信部３０に対応し、制御部５１は前記制御部３１に対応し、記憶部５２は前記記憶部３２に対応するので、その詳しい説明は省略する。
【００４８】
ただし、本実施形態の構成上、当該通信部５０が、直接、ＣＰＥ７などが送信したパケットを受信することはない。当該通信部５０がこのパケットを受信する場合、必ず、パケット制御部３経由で受信することになる。
【００４９】
前記通常交換部５４は、通常のＳＩＰサーバや、Ｈ．３２３ゲートキーパなどに相当する機能を持つ部分である。
【００５０】
検出結果受付部５６は、前記パケット制御部３の検出結果通知部３８が前記検出通知情報を通知してきたとき、それを受け付ける部分である。
【００５１】
加入者情報対応部５３は、前記加入者情報データベース４の検索の結果などに基づいた処理を実行する部分である。例えば、パケット制御部３が、前記ＩＰパケットの集中を検出し、前記検出結果通知部３８が当該ＩＰパケットの集中を発生させたＩＰパケットの送信元ＩＰアドレスなどを前記検出通知情報として当該検出結果受付部５６に通知してきた場合、当該加入者情報対応部５３は、その送信元ＩＰアドレスを検索キーとして前記加入者情報データベース４を検索することができる。
【００５２】
もちろん、単に、パケット制御部３経由で転送されてきたパケットの送信元ＩＰアドレスをもとに、前記加入者情報データベース４を検索することもできる。
【００５３】
これらの検索によってその送信元ＩＰアドレスが加入者情報データベース４に登録されていることが確認できれば、そのＩＰパケットが正当な加入者のＣＰＥから送信されたものである可能性が高いことが推定できる。ＩＰアドレスが詐称されたものである可能性がゼロではないとしても、通常、一般のユーザ（加入者）は、加入者情報データベース４に登録され正当な加入者のＣＰＥに割り当てられているＩＰアドレスを知ることができないからである。正当で悪意のない加入者のＣＰＥであっても、障害によって、あるいは、コンピュータウイルスなどに感染することによって、ＩＰ電話交換装置１にＤｏＳ攻撃を仕掛ける可能性がないわけではないし、また、正当な加入者（正規の加入手続などを行った加入者）であるからといって、意図的にＩＰ電話交換装置１にＤｏＳ攻撃を仕掛ける可能性がないともいいきれないが、正当な加入者である以上、ＩＰ電話交換装置１を運営する事業者は基本的に当該ＩＰ電話交換装置１の利用を許し、ＩＰ電話サービスを提供する義務がある。したがって、そのＣＰＥを隔離するとしても、限定的なものになる可能性が高い。この場合、隔離とは、ＩＰ電話交換機能部２へのアクセスを拒否し、ＩＰ電話サービスの提供を少なくとも一時的に停止することを意味する。具体的には、該当する送信元ＩＰアドレスを持つパケットを破棄することにより、当該隔離が実現される。
【００５４】
反対に、その送信元ＩＰアドレスが加入者情報データベース４に登録されていないものであることが確認できた場合、正当な加入者のものではない通信装置（例えば、ＣＰＥ）から送信されたパケットであることが明らかであり、なおかつ、ＩＰ電話サービスを提供する義務もないから、完全に隔離して差し支えない。ただし、後述するように、正当な加入者のＣＰＥに割り当てられるＩＰアドレスが動的に変動する可能性がある点には配慮する必要がある。
【００５５】
例えば、正当な加入者のものではない通信装置を隔離するケースでは、加入者情報対応部５３が、前記パケット制御部３に、その送信元ＩＰアドレスを持つパケットが届いた場合、破棄すべきとの指示を出す。
【００５６】
呼解放実行部５５は、前記隔離を行う際、隔離の対象となる通信装置（ＣＰＥ）が関係する進行中の呼があれば、その呼を特定し、完全に解放する処理を実行する部分である。ＩＰ電話交換機能部２の観点からみた呼制御（呼処理）は、通常、呼の設定を要求する呼設定メッセージ（例えば、ＳＩＰの場合、ＩＮＶＩＴＥメッセージ）が発呼側の通信装置（例えば、ＣＰＥ）から前記パケット制御部３経由でＩＰ電話交換機能部２に届けられることによって開始され、周知の各呼制御メッセージが届けられたあと、最後は、呼の切断を確認する確認メッセージ（例えば、ＳＩＰの場合、２００ ＯＫメッセージ）が発呼側または着呼側の通信装置から前記パケット制御部３経由でＩＰ電話交換機能部２に届けられることによって終了する。
【００５７】
実装にも依存するが、この開始から終了までのあいだ、何らかの形で、ＩＰ電話交換機能部２内の資源（例えば、記憶資源や処理能力など）が確保され、そのときの当該呼の状態を示す情報が保存されているはずである。このような資源の確保や呼の状態を示す情報が進行途中の状態でＩＰ電話交換機能部２内に残っていると、上述した論理矛盾を招くことになるため、呼解放実行部５５は、それらの資源を完全に解放し、その呼に関する限り、呼制御の開始前の状態に戻す処理を行う。
【００５８】
なお、該当する送信元ＩＰアドレスからＤｏＳ攻撃が行われたことを示す情報などは、その呼を解放したあとでも、例えば、ログファイルなどの形式で保存しておいてよいことは当然である。このようなログファイルは、前記パケット制御部３，当該ＩＰ電話交換機能部２，ネットワーク管理システム５などに保存されるものであってよい。ログファイルは、後で解析され、ＤｏＳ攻撃の詳細を調べるため等に利用され得る。
【００５９】
以下、上記のような構成を有する本実施形態の動作について、図３と図４ののフローチャートを参照しながら説明する。
【００６０】
図３はパケット制御部３の動作を示すフローチャートで、Ｓ１〜Ｓ３の動作状態と、Ｆ１１〜Ｆ２５の処理から構成される。
【００６１】
図４はＩＰ電話交換機能部２の動作を示すフローチャートで、Ｆ３１〜Ｆ３６の処理から構成される。
【００６２】
図３および図４では、呼制御メッセージをパケット制御部３からＩＰ電話交換機能部２に転送する場合、ＩＰパケットに収容された状態で転送するものとしている。
【００６３】
（Ａ−２）第１の実施形態の動作
図３に示すように、パケット制御部３が起動した直後は、ＩＰパケット転送状態Ｓ１にある。パケット制御部３はこのＩＰパケット転送状態Ｓ１を含め、３つの動作状態Ｓ１〜Ｓ３を取り得る。第１は当該ＩＰパケット転送状態Ｓ１であり、第２はＩＰパケット集中状態Ｓ２であり、第３はＩＰパケット破棄状態Ｓ３である。ただしこれらの動作状態Ｓ１〜Ｓ３は、パケット制御部３が受信するパケットの送信元ＩＰアドレスごとに決まるものである。したがって、ＩＰ電話交換装置１を運用中の任意の一時点でみた場合、例えば、ある送信元ＩＰアドレスに対してはＩＰパケット集中状態Ｓ２であり、別な送信元ＩＰアドレスに対してはＩＰパケット破棄状態Ｓ３であり、なおかつ、他のすべての送信元ＩＰアドレスに対しては、ＩＰパケット転送状態Ｓ１であるということも起こり得る。
【００６４】
前記ＩＰパケット転送状態Ｓ１は、ＩＰ電話網６経由でパケット制御部３が受け取った該当送信元ＩＰアドレスのパケットすべてをＩＰ電話交換機能部２に転送する状態であり、ＩＰパケット集中状態Ｓ２は、パケット制御部３内の集中検出部３４がＩＰパケットの集中を検出し、自動的に、該当送信元ＩＰアドレスを持つパケットを破棄する状態であり、ＩＰパケット破棄状態Ｓ３は、前記保守者Ｍ１などからの指示（破棄指示）に応じて、該当送信元ＩＰアドレスを持つパケットを破棄する状態である。
【００６５】
なお、明示的に指定した送信元ＩＰアドレスに対してのみＩＰアドレス集中状態Ｓ２やＩＰアドレス破棄状態Ｓ３を取る場合、特に指定されない他のすべての送信元ＩＰアドレスに対してＩＰアドレス転送状態Ｓ１を取るようにしてもよいことは当然である。
【００６６】
いずれにしても、予め保守者Ｍ１から指示がない限り、起動直後のパケット制御部３はすべての送信元ＩＰアドレスに対してパケット転送状態Ｓ１である。
【００６７】
ＩＰパケット転送状態Ｓ１において、パケット制御部３はパケットを受信するたびに（Ｆ１１）、ＩＰパケットの集中を検出するための検査を行う（Ｆ１２）。この検査では、前記集中検出条件で指定された指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元（同じ送信元ＩＰアドレス）からＩＰパケットが受信されたか否かを検査する。検査の結果、指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元ＩＰアドレスからＩＰパケットが受信されていない場合には、そのパケットをＩＰ電話交換機能部２に転送して（Ｆ１３）、ＩＰパケット転送状態Ｓ１を維持し、そうでない場合には、前記検出通知情報を、ＩＰ電話交換機能部２とネットワーク管理システム５に通知し（Ｆ１４）、該当するパケットを破棄する（Ｆ１５）。
【００６８】
ここからは、該当送信元ＩＰアドレスに対して、前記ＩＰパケット転送状態Ｓ１からＩＰパケット集中状態Ｓ２へ移行する。
【００６９】
ＩＰパケット集中状態Ｓ２では、予め設定された破棄条件にしたがって、パケット制御部３が自動的にパケットの破棄を実行する。Ｓ２，Ｆ１６，Ｆ１７のループは、該当送信元ＩＰアドレスからパケットが受信されるたびに繰り返し実行されるが、破棄条件で定めた破棄時間が経過したことが処理Ｆ１８で検出されると、動作状態は再び、パケット転送状態Ｓ１に戻る。これは、主として、上述したＩＰ電話サービスを提供する義務を果たすために実行されるものであってよい。
【００７０】
ただし、保守者Ｍ１やＩＰ電話交換機能部２から破棄指示が届いた場合（Ｆ１９）、その指示にしたがってＩＰパケット破棄状態Ｓ３に移行し、破棄を継続する。これは、すでにパケット制御部３自身の検査によってＩＰパケットの集中を検出し、該当送信元ＩＰアドレスを持つパケットを受信するたびに破棄している状態で、破棄指示が届くケースである。
【００７１】
破棄指示は、ＩＰ電話交換機能部２から届くこともあり、保守者Ｍ１の指示にしたがってネットワーク管理システム５から届くこともあり、ＩＰ電話交換機能部２とネットワーク管理システム５からほぼ同時に届く可能性もある。
【００７２】
このうち破棄指示がＩＰ電話交換機能部２から届くのは次のようなケースである。
【００７３】
すなわち、上述したように、指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元ＩＰアドレスからＩＰパケットが受信されたか否かをもとにＩＰパケットの集中を検出する方法によれば、後でＩＰパケットの集中が検出される送信元から送信されたパケット群に含まれるパケットであっても、最初の１または数パケット（前記指定回数ＤＰ１未満の数のパケット）は破棄されることなく、そのままＩＰ電話交換機能部２へ転送されるが、このＩＰパケットが持つ送信元ＩＰアドレスをもとに、ＩＰ電話交換機能部２が前記加入者情報データベース４を検索し、検索の結果、その送信元ＩＰアドレスが加入者情報データベース４に登録されていないことが判明すると、ＩＰ電話交換機能部２がその送信元の通信装置を隔離するために、当該破棄指示を出すケースである。
【００７４】
この場合、ＩＰ電話交換機能部２から破棄指示が届くタイミングと、パケット制御部３がＩＰパケットの集中を検出するタイミングのいずれが先になるかは、前記指定時間ＤＴ１、指定回数ＤＰ１の具体値、ＩＰ電話交換機能部２の処理能力や負荷状態、ＩＰ電話交換機能部２が持つ受信バッファのサイズなどの各種条件によって変動し得るが、前記ＩＰパケット転送状態Ｓ１から前記処理Ｆ１１、Ｆ１２，Ｆ１４，Ｆ１５を経てＩＰパケット集中状態Ｓ２に移行するのは、パケット制御部３がＩＰパケットの集中を検出するタイミングのほうが早かったケースである。
【００７５】
もしも、ＩＰ電話交換機能部２から破棄指示が届くタイミングのほうが早ければ、ＩＰパケット集中状態Ｓ２を経由することなく、前記ＩＰパケット転送状態Ｓ１から処理Ｆ２１，Ｆ２２を経て、ＩＰパケット破棄状態Ｓ３に移行することになる。
【００７６】
なお、場合によっては、ＩＰパケット転送状態Ｓ１からＩＰパケット集中状態Ｓ２に移行し、さらに、当該ＩＰパケット集中状態Ｆ２から元のＩＰパケット転送状態Ｓ１に復帰したあとで、ＩＰ電話交換機能部２から破棄指示が届く可能性もある。
【００７７】
また、前記破棄指示が、保守者Ｍ１の指示にしたがってネットワーク管理システム５から届くのは、保守者Ｍ１がその旨の指示を出したときであるから、そのタイミングは、保守者Ｍ１が指示を出すタイミングなどに依存して決まることになる。したがって、ＩＰ電話交換機能部２から破棄指示が届く場合と同様、ネットワーク管理システム５から破棄指示が届くタイミングは、パケット制御部２がＩＰパケットの集中を検出するタイミングより早くなることもあり、遅くなることもある。また、保守者Ｍ１がその旨の指示を出さなければ、ネットワーク管理システム５からの破棄指示は、当然、届かない。
【００７８】
いずれにしても、前記処理Ｆ１９につづく処理Ｆ２０では、パケット制御部３からＩＰ電話交換機能部２と、ネットワーク管理システム５に、破棄指示の対象となった送信元ＩＰアドレス（すなわち、隔離された通信装置のＩＰアドレス）などを通知している。破棄指示を出していないノードへ通知を行うことは必要であるが、破棄指示を出したノードへ通知を行うことは省略できる可能性がある。
【００７９】
例えば、ＩＰ電話交換機能部２側で破棄指示を出すと同時に、該当する呼を解放するようにすれば、ＩＰ電話交換機能部２が前記通知を受ける必要性は低いからである。ただし、この通知で確認を行うことにより、パケット制御部３側で行うパケットの破棄と、ＩＰ電話交換機能部２側で行う呼の解放の整合（同期）を取りやすくなる可能性がある。
【００８０】
処理Ｆ２０につづき、動作状態がＩＰパケット集中状態Ｓ２からＩＰパケット破棄状態Ｓ３へ移行する。ただし、ＩＰパケット破棄状態Ｓ３への以降は、必ずしもＩＰパケット集中状態Ｓ２を経由して行われる必要はなく、ＩＰパケット転送状態Ｓ１から行われることも起こり得ることはすでに説明した通りである。
【００８１】
ＩＰパケット転送状態Ｓ１からＩＰパケット破棄状態Ｓ３へ移行する場合、処理Ｆ２１とＦ２２を経由することになる。このうち処理Ｆ２１は前記処理Ｆ１９に対応し、処理Ｆ２２は前記処理Ｆ２０に対応するので、その詳しい説明は省略する。
【００８２】
ＩＰパケット破棄状態Ｓ３は、前記処理Ｆ２１で受信した破棄指示に、前記破棄条件として、破棄を継続する破棄時間などが指定されている場合には、破棄時間の経過後、自動的に、ＩＰパケット転送状態Ｓ１に移行することになるが、そのような指定がない場合には、処理Ｆ２３のＩＰパケット破棄解除指示が届くまで維持される。ＩＰパケット破棄状態Ｓ３が維持される限り、パケット制御部３は、該当する送信元ＩＰアドレスを持つパケットを受信するたびに、そのパケットを破棄する動作を繰り返す（Ｆ２４，Ｆ２５、Ｓ３）。
【００８３】
前記処理Ｆ２３のＩＰパケット破棄解除指示は、ネットワーク管理システム５から届く場合と、ＩＰ電話交換機能部２から届く場合があり得る。
【００８４】
ネットワーク管理システム５から届くのは、保守者Ｍ１が個別の事情を考慮して破棄を解除してよいと判断した場合であり、ＩＰ電話交換機能部２から届くのは、例えばパケットを破棄することによって隔離していた通信装置のＩＰアドレスが、前記加入者情報データベース４に登録された場合である。ＣＰＥ７などに対するＩＰアドレスの割り当ては、固定的なものではなく、動的に変動することが多いが、動的に変動する場合、ＣＰＥ７などを例えば再起動するたびに異なるＩＰアドレスが割り当てられるため、ＣＰＥ７などの再起動により、それまで加入者情報データベース４に登録されていなかったＩＰアドレス（ＣＰＥＩＰアドレス）が、新たに、正当な加入者が利用するＣＰＥ７に割り当てられ、加入者情報データベース４に登録されるということも起こり得るからである。
【００８５】
それまで正当な加入者のものではない通信装置に割り当てられ、完全な隔離の対象とされていた送信元ＩＰアドレスと同じＩＰアドレスが、正当な加入者Ｕ１のＣＰＥ７に割り当てられる可能性もある。
【００８６】
一方、前記ＩＰ電話交換機能部２の動作は図４に示す通りであってよい。
【００８７】
図４において、前記パケット制御部３から転送されてきたパケットを受信すると（Ｆ３１）、ＩＰ電話交換機能部２は、当該パケットが呼制御メッセージを収容したパケットであるか否かを検査する（Ｆ３２）。ここでは、パケット制御部３からＩＰ電話交換機能部２に届けられるパケットは、呼制御メッセージを収容したパケットと、前記処理Ｆ２０の通知のために届けられる、破棄指示の対象となった送信元ＩＰアドレスなどを収容したパケットの２種類しかないものと仮定している。
【００８８】
したがって、呼制御メッセージを収容していないパケットは、破棄指示の対象となった送信元ＩＰアドレスなどを収容していることになり、当該パケットから当該送信元ＩＰアドレスなどを抽出することができるから、処理Ｆ３２がＮｏ側に分岐した場合、ＩＰ電話交換機能部２は、前記呼解放実行部５５に、当該パケットから抽出した送信元ＩＰアドレスに対応する呼を完全に解放する処理を実行させることが可能となる（Ｆ３３）。これにより、トランスポート層プロトコルや呼制御プロトコルが再送制御の機能を持たない場合でも、前記論理矛盾の発生を防止することができる。
【００８９】
また、この処理では、隔離すべき送信元ＩＰアドレスを持つ通信装置のみを隔離し、ＩＰ電話交換装置１に対してＤｏＳ攻撃を仕掛けていない正当な加入者のＣＰＥ７から送信されたパケットは、少なくともＩＰ電話交換装置１上では失われることがないから、呼設定などに要する時間も十分に短い。
【００９０】
反対に、前記処理Ｆ３２がＹｅｓ側に分岐した場合には、送信元ＩＰアドレスが、前記加入者情報データベース４に登録されているか否かを検査する（Ｆ３５）。登録されている場合、処理Ｆ３５はＹｅｓ側に分岐するので、ＩＰ電話交換機能部２は通常の呼処理（呼制御）を実行するが、Ｎｏ側に分岐した場合には、パケット制御部３に対しその送信元ＩＰアドレスを持つパケットを受信したときには破棄するように指示（前記破棄指示）を出す（Ｆ３４）。
【００９１】
この破棄指示は、前記処理Ｆ１９またはＦ２１で、パケット制御部３に受信されたものである。
【００９２】
図４と同様な動作は、新たなパケットがパケット制御部３から転送されてくるたびに実行される。
【００９３】
（Ａ−３）第１の実施形態の効果
本実施形態によれば、上述した論理矛盾が生じないため、信頼性が高く、利便性および資源の実質的な利用効率も高い。
【００９４】
（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。
【００９５】
本実施形態が第１の実施形態と相違する点は、第１の実施形態でＩＰ電話交換機能部２が行っていた加入者情報データベース４の検索を、パケット制御部３が実行する点にある。
【００９６】
したがって、本実施形態が第１の実施形態と相違する点は、図５および図６のフローチャートに関する点に限られる。
【００９７】
（Ｂ−１）第２の実施形態の構成および動作
図５は、すでに説明した図３と同様、パケット制御部３の動作を示すフローチャートで、動作状態Ｓ１〜Ｓ３と、処理Ｆ１１〜Ｆ２５およびＦ４０〜Ｆ４２を備えている。
【００９８】
このうち図３と同じ符号を付与した動作状態Ｓ１〜Ｓ３や処理Ｆ１１〜Ｆ２５の内容は基本的に第１の実施形態と同じなので、その詳しい説明は省略する。
【００９９】
図５において、処理Ｆ１１につづく処理Ｆ４０では、パケット制御部３が、受信したパケットの送信元ＩＰアドレスをもとに前記加入者情報データベース４を検索する。検索の結果、当該送信元ＩＰアドレスが加入者情報データベース４に登録されていれば、処理Ｆ４０はＹｅｓ側に分岐するため、処理は前記Ｆ１２に進むが、登録されていない場合には、Ｎｏ側に分岐して処理はＦ４１に進む。
【０１００】
処理Ｆ４１では、その送信元ＩＰアドレスＦ４１をネットワーク管理システム５に通知する。この通知により、正当な加入者のものではない通信装置からパケットが届いていることを保守者Ｍ１に伝え、注意を促す。まだこの時点ではＩＰパケットの集中が生じている必要はない。
【０１０１】
当該処理Ｆ４１につづく処理Ｆ４２では、その送信元ＩＰアドレスを持つパケットを、パケット制御部３内で破棄する。
【０１０２】
この処理Ｆ４１〜Ｆ４２が実行されるあいだ、ＩＰ電話交換機能部２の機能を必要としないから、本実施形態では、ＩＰ電話交換機能部２の処理能力にかかる負荷は第１の実施形態よりも小さい。
【０１０３】
本実施形態のＩＰ電話交換機能部２の動作は図６のフローチャートに示した通りである。
【０１０４】
図６は第１の実施形態の図４に相当するフローチャートで、Ｆ３１，Ｆ３３，Ｆ３６の各処理を備えている。
【０１０５】
図６中で、図４と同じ符号を付与した処理Ｆ３１〜Ｆ３３，Ｆ３６は第１の実施形態と同じなので、その詳しい説明は省略する。
【０１０６】
図４と対比すれば明らかなように、図６は、図４から処理Ｆ３５とＦ３４を除去したものとなっている。本実施形態では、ＩＰ電話交換機能部２が加入者情報データベース４を検索する必要もなく、加入者情報データベース４の検索結果に基づいて破棄指示を出す必要もないからである。
【０１０７】
（Ｂ−２）第２の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【０１０８】
加えて、本実施形態では、ＩＰ電話交換機能部（２）の処理能力にかかる負荷を第１の実施形態よりも軽減することが可能である。
【０１０９】
（Ｃ）第３の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。
【０１１０】
本実施形態が第１の実施形態と相違する点は、ＣＰＥ７自体に、ネットワーク管理システム５からの指示に応じて、パケットの送信を強制的に停止させる機能を搭載している点にある。
【０１１１】
（Ｃ−１）第３の実施形態の構成および動作
本実施形態にかかる通信システム２０の全体構成例を図１に示す通りで、第１の実施形態と同じである。
【０１１２】
ただし、本実施形態のネットワーク管理システム５の内部構成は例えば図１５に示す通りである。
【０１１３】
図１５において、当該ネットワーク管理システム５は、通信部６０と、制御部６１と、記憶部６２と、操作部６３と、表示部６４と、初期化指示部６５と、初期化応答受信部６６と、指示反復部６７と、初期化制御部６８とを備えている。
【０１１４】
このうち通信部６０は、図１３に示した前記通信部３０に対応し、制御部６１は前記制御部３１に対応し、記憶部６２は前記記憶部３２に対応するので、その詳しい説明は省略する。
【０１１５】
ただし通信部６０は、検出通知情報などの通知を受け取ったり、破棄指示などの指示を送信したりするときに前記ＩＰ電話交換装置１と通信するほか、ＣＰＥ側のシステムを初期化する際、ＣＰＥ７などの各ＣＰＥと制御情報を送受する。
【０１１６】
表示部６４は、保守者Ｍ１に対して情報を伝えるために画面表示を行う表示装置に相当する部分である。
【０１１７】
操作部６３は保守者Ｍ１が操作することにより、ネットワーク管理システム５に指示を出すための入力装置に相当する部分で、例えば、キーボードやマウスなどによって構成される。
【０１１８】
なお、図１５に示した各構成要素６０〜６８のうち、構成要素６０〜６４は、本実施形態以外の実施形態（例えば、第１の実施形態や第２の実施形態など）で用いるネットワーク管理システム５にも設けられ得るもので、本実施形態のネットワーク管理システム５に特徴的なものは構成要素６５〜６８である。
【０１１９】
構成要素６５〜６８のうち初期化制御部６８は、保守者Ｍ１の指示に応じて、ＣＰＥ側のシステムを初期化するために当該ネットワーク管理システム５内の各構成要素６５〜６７を制御する部分である。
【０１２０】
ＣＰＥ７など、ＣＰＥ側のシステムの初期化は、当該ＣＰＥがＩＰ電話交換装置１に対して実行しているＤｏＳ攻撃を停止させるために実行される処理である。したがって、ＤｏＳ攻撃の停止につながる様々な処理がこのシステムの初期化に該当し得るが、例えば、単なる再起動を行うことをもって、システムの初期化としてもよい。また、必要に応じて、システムの初期化として、ＣＰＥの各種の設定値の変更や、ＣＰＥのファームウエアの入れ替えなどを行ってもよい。
【０１２１】
初期化指示部６５は、該当するＣＰＥ（例えば、７）に対して、システムの初期化を指示するための初期化指示信号を送信する部分である。この初期化指示信号は、ＣＰＥ側に搭載されているエージェント機能ＡＧ１が受け取ることになる。実際にＣＰＥ側でシステムの初期化を制御するのは、当該エージェント機能ＡＧ１である。このエージェント機能ＡＧ１は、当該ＣＰＥ側でシステムの初期化を試行した場合、ネットワーク管理システム５に宛てて所定の初期化応答信号を返送し、システムの初期化を試行したことを伝える。
【０１２２】
試行した結果、初期化に成功した場合も失敗した場合も当該初期化応答信号を返送することになる。したがって、初期化応答信号には成功応答と失敗応答がある。
【０１２３】
初期化応答受信部６６は、ＣＰＥ７へ初期化指示信号を送信してから所定の設定時間内に当該ＣＰＥ７から初期化応答信号が返送されてくるか否かを検査する部分である。
【０１２４】
指示反復部６７は、当該設定時間内に初期化応答信号が返送されてこない場合、返送されてくるまで初期化指示信号を送信する動作を前記初期化指示部６５に繰り返し実行させる部分である。このような初期化指示信号の送信は自動的に繰り返され、保守者Ｍ１が停止を指示することによって停止されるものであってよい。
【０１２５】
当該ネットワーク管理システム５の動作は図７のフローチャートに示す通りである。図７のフローチャートはＦ６１〜Ｆ６８の各処理を備えている。
【０１２６】
図７において、ネットワーク管理システム５はまず最初に、パケット制御部５から前記検出通知情報を受信する（Ｆ６１）。検出通知情報には、ＩＰパケットの集中を検出した事実と、そのパケットの送信元（送信元ＩＰアドレス）を示す情報が含まれているため、ネットワーク管理システム５内の初期化指示部６５は、その送信元ＩＰアドレスを宛先ＩＰアドレスとするパケットに、初期化指示信号を収容して送信することができる（Ｆ６２）。
【０１２７】
ここでは、前記ＣＰＥ７に当該エージェント機能ＡＧ１が搭載されているものと仮定し、当該エージェント機能ＡＧ１に宛てて初期化指示信号を送信する場合を例に説明を進める。この例では、このパケットの宛先ＩＰアドレスは、前記ＩＡ１である。
【０１２８】
この送信のあと、予め定めた設定時間内に、当該ＣＰＥ７から返送されてくるはずの初期化応答信号を受信したか否かを検査する（Ｆ６３）。
【０１２９】
設定時間内に受信されない場合は、上述したように、初期化指示信号を送信する動作を繰り返す。この繰り返しは、ＩＰ電話網６の輻輳などによって初期化指示信号を収容したパケットがＩＰ電話網６上で失われた場合や、ＣＰＥ７の一時的な障害発生などで初期化指示信号を収容したパケット等がＣＰＥ７側で正常に処理できなかった場合などに備えるための処理である。
【０１３０】
繰り返しを行っているあいだに、保守者Ｍ１から停止の指示があれば、処理Ｆ６４はＹｅｓ側に分岐して、この結果を前記表示部６４に画面表示し（Ｆ６６）、一連の処理を終える。保守者Ｍ１からの停止の指示がない場合には、処理Ｆ６４はＮｏ側に分岐し、所定の手順にしたがって、結果が表示部６４に画面表示される。ただしこの場合、一連の処理は進行中であるため、その進行に応じて処理Ｆ６２〜Ｆ６５によって構成されるループが繰り返し処理され、繰り返しのたびに表示部６４の画面表示の内容が変更され得る。
【０１３１】
予め定めた設定時間内にＣＰＥ７から初期化応答信号を受信した場合には、処理Ｆ６３は、Ｙｅｓ側に分岐し、受信した初期化応答信号が成功応答であるか失敗応答であるかを検査する（Ｆ６７）。失敗応答である場合、当該処理Ｆ６７は、Ｎｏ側に分岐し、処理は前記処理Ｆ６４に進む。したがって、この場合、処理Ｆ６２、Ｆ６３，Ｆ６７，Ｆ６４、Ｆ６５によって構成されるループが繰り返し処理され得る。この繰り返しは、ＣＰＥ７側の一時的な障害発生などの原因でシステムの初期化に失敗した場合に備えるための処理である。
【０１３２】
受信した初期化応答信号が成功応答である場合、前記処理Ｆ６７はＹｅｓ側に分岐して、結果を表示部６４に画面表示して一連の処理を終える。
【０１３３】
一方、前記エージェント機能ＡＧ１の動作は図８のフローチャートに示す通りである。図８のフローチャートは、Ｆ５１〜Ｆ５６の各処理を備えている。
【０１３４】
図８において、ネットワーク管理システム５から送信された前記初期化指示信号を、ＩＰ電話網６経由でＣＰＥ７に搭載されたエージェント機能ＡＧ１が受信すると（Ｆ５１）、当該エージェント機能ＡＧ１がＣＰＥ７上でシステムの初期化を試行する（Ｆ５２）。
【０１３５】
システムの初期化を試行した場合、当該エージェント機能ＡＧ１は、初期化応答信号を返送するとともに（Ｆ５３）、システムの初期化に成功したか否かを検査する（Ｆ５４）。上述したように、初期化応答信号に成功応答と失敗応答の２通りを設けるには、実際は、処理Ｆ５４の検査のほうを処理Ｆ５３よりも先に行い、システムの初期化が成功であったか不成功であったかを初期化応答信号に記述して送信することになる。
【０１３６】
図８では、ＣＰＥ７のシステムの初期化に失敗した場合、当該処理Ｆ５４は、Ｎｏ側に分岐して、エージェント機能ＡＧ１は、当該ＣＰＥ７の呼制御メッセージを送出するためのポートを強制的に閉塞し（Ｆ５５）、当該ＣＰＥ７の状態を加入者Ｕ１に知らせる（Ｆ５６）。
【０１３７】
システムの初期化に成功した場合には、処理Ｆ５４は、Ｙｅｓ側に分岐して、一連の処理は終了する。
【０１３８】
実際には、システムの初期化によってＣＰＥ７が行っているＤｏＳ攻撃が停止する場合もあり、停止しない場合もあり得るが、停止しない場合のため、例えば、ネットワーク管理システム５からＣＰＥ７のエージェント機能ＡＧ１に対し、前記処理Ｆ５５の実行を指示できるようにすることも望ましい。
【０１３９】
なお、エージェント機能ＡＧ１を搭載したＣＰＥと、搭載していないＣＰＥが同じ通信システム内に混在していてもかまわない。
【０１４０】
本実施形態におけるパケット制御部３，ＩＰ電話交換機能部２の動作は、第１の実施形態と同様であってよい。
【０１４１】
（Ｃ−２）第３の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【０１４２】
加えて、本実施形態では、ＣＰＥ（例えば、７）に搭載したエージェント機能（ＡＧ１）に応じてＣＰＥからの呼制御メッセージの送信（ＤｏＳ攻撃など）を強制的に停止させることもできるため、パケット制御部（３）の処理能力にかかる負荷や、ＩＰ電話網（６）の伝送帯域の消費量も軽減され、資源の実質的な利用効率を高めることが可能性である。
【０１４３】
（Ｄ）第４の実施形態
以下では、本実施形態が第１〜第３の実施形態と相違する点についてのみ説明する。
【０１４４】
本実施形態は、第１〜第３の実施形態のなかでは第３の実施形態に最も近いとみることができる。ただし本実施形態の場合、エージェント機能を搭載し、パケットの送信を停止するのは、中継装置であるエッジルータに搭載されたエージェント機能ＡＧ２の役割である。
【０１４５】
エッジルータは、ＩＰ電話網６の網端に設置されてＣＰＥ（例えば、７）を収容するルータである。したがって、ＣＰＥから送信されるパケットは、呼制御メッセージを収容したものも含め、すべてが当該エッジルータによる中継を経て、ＩＰ電話交換装置１に届けられることになる。
【０１４６】
（Ｄ−１）第４の実施形態の構成および動作
本実施形態にかかる通信システム２１の全体構成例は図９に示す通りである。
【０１４７】
図９において、当該通信システム２１は、ＩＰ電話網６と、電話端末８とを備えている。
【０１４８】
このうちＩＰ電話網６には、ＩＰ電話交換装置１と、加入者情報データベース（加入者情報ＤＢ）４と、ネットワーク管理システム５と、ＣＰＥ７が含まれている。
【０１４９】
図９上で、図１と同じ符号を付与した各構成要素１〜８の機能は基本的に第１の実施形態と同じであるので、その詳しい説明は省略する。
【０１５０】
ネットワーク構成データベース（ネットワーク構成ＤＢ）９の構成は図９に示す通りである。
【０１５１】
すなわち、ネットワーク構成データベース９は、ＣＰＥ識別子と、ＣＰＥＩＰアドレスと、該当ＣＰＥ収容エッジルータ識別情報との対応関係を登録してある。
【０１５２】
このうちＣＰＥ識別子と、ＣＰＥＩＰアドレスの意味は、すでに説明した図２と同じである。
【０１５３】
また、ＣＰＥ収容エッジルータ識別情報は、通信システム２１内でエッジルータを一意に識別するための識別情報である。一例としては、エッジルータのインタフェースに設定されているＩＰアドレスを当該ＣＰＥ収容エッジルータ識別情報として利用することもできる。
【０１５４】
本実施形態のネットワーク管理システム５の動作は図１１のフローチャートに示す通りであり、エッジルータ１０の動作は図１２のフローチャートに示す通りである。図１１のフローチャートはＦ７１〜Ｆ７３の各処理を備え、図１２のフローチャートはＦ８１〜Ｆ８４の各処理を備えている。
【０１５５】
図１１に示すように、例えば前記検出通知情報でＩＰ電話交換装置１にＤｏＳ攻撃を仕掛けてきているＣＰＥ（ここでも、７とする）のＩＰアドレス（ここでは、ＩＡ１）が伝えられると、ネットワーク管理システム５は、そのＩＰアドレスを検索キーとしてネットワーク構成データベース９を検索することにより、そのＣＰＥが収容されているエッジルータを特定することができる（Ｆ７１，Ｆ７２）。図９上、エッジルータ１０は１つだけ設けられているが、実際には、複数のエッジルータが存在し得る。
【０１５６】
複数のエッジルータのなかからエッジルータ１０が特定できれば、そのエッジルータ１０に搭載されているエージェント機能ＡＧ２に対して、送信元ＩＰアドレスがＩＡ１のパケットを破棄するように指示を出すことができる（Ｆ７３）。
【０１５７】
一方、エッジルータ１０は、図１２に示すように、ネットワーク管理システム５から指示を受信した場合（Ｆ８１）、その指示が、パケットの破棄を指示するものであるか否かを検査する（Ｆ８２）。ここでは、ネットワーク管理システム５からエッジルータ１０への指示は、該当する送信元ＩＰアドレスを持つパケットの破棄を指示する場合と、すでに実行されている当該パケットの破棄の停止を指示する場合とがあるものとする。
【０１５８】
検査の結果、破棄の指示である場合、処理Ｆ８２はＹｅｓ側に分岐し、エッジルータ１０は、指定された送信元ＩＰアドレスＩＡ１を持つパケットを破棄するが（Ｆ８３）、破棄の停止の指示である場合には、その時点で実行している例えば送信元ＩＰアドレスＩＡ１のパケットに対する破棄の動作を停止する（Ｆ８４）。
【０１５９】
なお、ＣＰＥ７自体に障害が発生した結果としてＤｏＳ攻撃を仕掛けている場合やコンピュータウイルスに感染してＤｏＳ攻撃を仕掛けている場合など、障害や感染の態様や程度によっては、第３の実施形態で行ったようなシステムの初期化で障害を復旧することができなかったり、呼制御メッセージを送出するポートを強制的に閉塞することさえできないことも起こり得る。
【０１６０】
これに対し、エッジルータ１０自体には障害が発生しているわけではないため、中継するパケットの破棄を確実に実行することが可能である。もちろん、エッジルータ１０自体に障害が発生してＤｏＳ攻撃を仕掛けることもあり得るが、エッジルータ１０は、ＩＰ電話網６を運営する通信事業者などの管理下にあるため、加入者の宅内に設置されるＣＰＥに比べると、適正な管理を行いやすく、障害等によってＤｏＳ攻撃を仕掛けることなどはＣＰＥに比べて起こりにくいといえる。
【０１６１】
（Ｅ−２）第４の実施形態の効果
本実施形態によれば、第３の実施形態の効果とほぼ同等な効果を得ることができる。
【０１６２】
加えて、本実施形態では、ＣＰＥでの動作に依存することなく、適正な管理を行うことが容易なエッジルータ（１０）の機能でパケットの破棄などを行うため、ＤｏＳ攻撃をいっそう確実に阻止することが可能である。
【０１６３】
（Ｆ）他の実施形態
上記第１〜第４の実施形態の特徴は上述したものと異なる組み合わせで複合してもかまわない。例えば、上記第３の実施形態では、第３の実施形態の特徴と第１の実施形態の特徴を組み合わせたが、第３の実施形態の特徴（ＣＰＥにエージェント機能ＡＧ１を配置すること等）は第２の実施形態の特徴（パケット制御部３側で加入者情報データベース４の検索を行うこと等）と組み合わせることもできる。また、第３の実施形態のようにＣＰＥ７上にエージェント機能ＡＧ１を搭載する構成と、第４の実施形態のようにエッジルータ１０にエージェント機能ＡＧ２を搭載する構成を同一の通信システム内で併用してもよい。
【０１６４】
なお、上記第１〜第４の実施形態で、同一の装置内に配置した機能は複数の装置に分けて配置してもよいし、複数の装置に分けて配置した機能は１つの装置にまとめて配置してもよい。
【０１６５】
例えば、図１などにおいて、同じＩＰ電話交換装置１内に配置されたパケット制御部３とＩＰ電話交換機能部２とは、別個の装置としてＩＰ電話網６上に配置することができる。
【０１６６】
また、前記加入者情報データベース４と、ネットワーク構成データベース９とは、同一のデータベースサーバの配下に配置するようにしてもよい。
【０１６７】
なお、加入者情報データベース４のデータは、ＩＰ電話交換装置のリブート後は、ＩＰ電話交換装置１のメインメモリ上にあっても、逐一加入者情報データベース４（ハードディスク上などにあるものとする）をアクセスする形態でもよい。同じくネットワーク構成データベース９のデータは、ネットワーク管理システム５のリブート後は、ネットワーク管理システム５のメインメモリ上にあっても、逐一ネットワーク構成データベース９をアクセスする形態でもよい。
【０１６８】
さらに、前記ＣＰＥ７にはスプリッタ機能、モデム機能、ＶｏＩＰゲートウエイ機能などが実装され得るが、これらの各機能は別の装置で構成されてもよい。
【０１６９】
また、上記第１〜第４の実施形態で、保守者Ｍ１が出すものとした指示などを情報処理装置の処理に基づいて自動的に出すようにすることも可能である。
【０１７０】
なお、上記第１〜第４の実施形態で使用したフローチャートは変更できる可能性がある。
【０１７１】
例えば、図３などに含まれる処理Ｆ１２は、指定時間内に指定回数、同じ送信元からＩＰパケットが到来したことをもってＩＰパケットの集中と判定しているが、この判定は、ＤｏＳ攻撃を検出するためのものであるから、ＤｏＳ攻撃を検出することさえできれば、他の方法に置換できる可能性がある。
【０１７２】
例えば、ＣＰＥなどがコンピュータウイルスに感染したことに起因してＤｏＳ攻撃を仕掛けてきている場合、コンピュータウイルスの検出に利用されることの多いパターンマッチング法や、ＩＤＳ（侵入検知システム）などで用いられるシグネチャを利用した検出方法などを用いることができる可能性がある。
【０１７３】
例えば、パターンマッチング法などを用いる場合、最初に受信された１パケットだけでＤｏＳ攻撃を検出できる可能性もある。例えば、この１パケットに、特定のワームなどが実行するＤｏＳ攻撃に特有のパターンが含まれていることが検出できれば、その時点で（すなわち、実際にＩＰパケットの集中が発生する前に）、ＤｏＳ攻撃の開始を検出することができるからである。
【０１７４】
さらに、上記第１〜第４の実施形態で使用した通信プロトコルは他の通信プロトコルに置換可能である。
【０１７５】
例えば、ＩＰプロトコルは、ＯＳＩ参照モデルのネットワーク層またはその他の階層に位置する他の通信プロトコルに置換可能である。一例として、ＩＰＸプロトコルなどを利用できる可能性もある。
【０１７６】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することが可能であり、ソフトウエア的に実現した機能のほとんど全ては、ハードウエア的に実現することが可能である。
【図面の簡単な説明】
【０１７７】
【図１】第１〜第３の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図２】第１〜第４の実施形態で使用する加入者情報データベースの構成例を示す概略図である。
【図３】第１、第３、第４の実施形態で使用するパケット制御部の動作例を示すフローチャートである。
【図４】第１，第３、第４の実施形態で使用するＩＰ電話交換機能部の動作例を示すフローチャートである。
【図５】第２の実施形態で使用するパケット制御部の動作例を示すフローチャートである。
【図６】第２の実施形態で使用するＩＰ電話交換機能部の動作例を示すフローチャートである。
【図７】第３の実施形態で使用するネットワーク管理システムの動作例を示すフローチャートである。
【図８】第３の実施形態で使用するＣＰＥの動作例を示すフローチャートである。
【図９】第４の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図１０】第４の実施形態で使用するネットワーク構成データベースの構成例を示す概略図である。
【図１１】第４の実施形態で使用するネットワーク管理システムの動作例を示すフローチャートである。
【図１２】第４の実施形態で使用するエッジルータの動作例を示すフローチャートである。
【図１３】第１，第３、第４の実施形態で使用するパケット制御部の内部構成例を示す概略図である。
【図１４】第１、第３、第４の実施形態で使用するＩＰ電話交換機能部の内部構成例を示す概略図である。
【図１５】第１の実施形態で使用するネットワーク管理システム５の内部構成例を示す概略図である。
【符号の説明】
【０１７８】
１…ＩＰ電話交換装置、２…ＩＰ電話交換機能部、３…パケット制御部、４…加入者情報データベース、５…ネットワーク管理システム、６…ＩＰ電話網、７…ＣＰＥ、８…電話端末、９…ネットワーク構成データベース、１０…エッジルータ、２０，２１…通信システム、３０、５０，６０…通信部、３１，５１，６１…制御部、３２，５２，６２…記憶部、３３…検出用設定受付部、３４…集中検出部、３５…転送制御部、３６…破棄実行部、３７…破棄制御部、３８…検出結果通知部、３９…破棄用設定受付部、４０…破棄通知部、５３…加入者情報対応部、５４…通常交換部、５５…呼解放実行部、５６…検出結果受付部、６３…操作部、６４…表示部、６５…初期化指示部、６６…初期化応答受信部、６７…指示反復部、６８…初期化制御部、ＡＧ１，ＡＧ２…エージェント機能、ＩＡ１…ＩＰアドレス。
【技術分野】
【０００１】
本発明は呼制御システム、呼制御方法および呼制御プログラムに関し、例えば、ＳＩＰ（セッション・イニシエーション・プロトコル）などの呼制御プロトコルを用いるＩＰ電話システムなどに適用して好適なものである。
【背景技術】
【０００２】
ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワーク上で音声通信を実現するＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）技術を用いて電話サービスを提供するＩＰ電話サービスが広く普及している。
【０００３】
ＩＰネットワークを利用した通信において、送受信されるデータは、定められた方式に則って、パケット（ＩＰパケット）と呼ばれるある一定の大きさをしたデータのかたまりとして扱われる。
【０００４】
ＩＰネットワークでの問題として、ネットワークに接続されたシステムに障害を発生させることを目的に悪意のユーザがパケットを大量に送りつける攻撃があげられる。この攻撃により、パケットを受信したシステムは、処理負荷が異常に上がり、本来の動作を行えない状態に陥る。このような攻撃はＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）と呼ばれる。
【０００５】
また、悪意がなくても、ネットワークに接続された装置の故障などに起因する異常動作で、特定のシステムに対してパケットが送出しつづけられることも起こり得る。パケットを受信するシステムの側からみた場合、この現象もＤｏＳ攻撃に等しいといえるので、以下では、ＤｏＳ攻撃という場合、このような現象をもたらす動作も含むものとする。
【０００６】
このようなＤｏｓ攻撃の対策となり得る従来の技術として、下記の特許文献１，２に記載されたものがある。
【０００７】
特許文献１の技術では、ＩＳＰ（インターネット・サービス・プロバイダ）網に接続されているユーザのサーバを、インターネット上の他のユーザが当該ＩＳＰ網経由で行う攻撃から守るため、同じ送信元から、所定時間内に規定値以上のデータ量が届いた場合、ＩＳＰ網内のルータで、そのデータを破棄する。
【０００８】
また、特許文献２の技術では、サーバとクライアントのあいだに配置されたサーバ計算機保護装置で、不特定のクライアントからサーバへ送信されたデータ要求を、いったん当該サーバ計算機保護装置のデータ要求受付部で受け付け、受け付けたデータ要求のサーバへの転送は、当該サーバ計算機保護装置が備えるデータ要求転送部によって実行される。ただし、必ずしもすべてのデータ要求がサーバに転送されるわけではなく、サーバの処理が遅れている場合には、受け付けたデータ要求の一部だけをサーバへ転送し、残りは破棄される。したがって、サーバの負荷状態が高ければ、破棄の割合が上がり、サーバへ転送するデータ要求の割合は低下する。
【特許文献１】特開２００２−１６６３３号公報
【特許文献２】特開２００４−１６４５５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
ところで、電話端末と電話交換機（例えば、ＩＰ電話機とＳＩＰサーバなど）のあいだ等でやり取りされる呼制御メッセージ（例えば、ＩＰパケットに収容されてＩＰネットワーク上を伝送される呼制御メッセージ）は、呼（セッション（通話））の確立や解放などを実行するために必須の制御信号で、個々のメッセージに異なる意味があり、届けられる順番も決められている。したがって、上述した特許文献１や２の技術によって、一連の呼制御メッセージの一部が欠損すると、本来、実行されるべき呼制御の手順に論理矛盾が生じる。
【００１０】
呼制御メッセージのやり取りを規定する呼制御プロトコル自体や、呼制御プロトコルの下位のプロトコル階層で動作する通信プロトコル（例えば、ＴＣＰやＵＤＰなどのトランスポート層プロトコルなど）が再送制御の機能を持つ場合には、電話端末と電話交換機のあいだなどで再送を行うことによってこの論理矛盾を解消できる可能性もあるが、このような再送が行われた場合、電話端末を利用するユーザには、呼設定などに著しく長時間を要する利便性の低いシステムとして認識され得る。
【００１１】
もちろん、リアルタイム性を重視して再送制御の機能を持たない呼制御プロトコルやトランスポート層プロトコルを用いる場合には、前記論理矛盾を解消することはできない。前記論理矛盾が発生したときどのような問題が生じるかは具体的な電話交換機などの仕様に依存するが、例えば、電話による通話を行わないユーザのために不必要な資源（例えば、記憶資源や処理能力など）を確保しつづけることによる資源の実質的な利用効率の低下が生じる可能性が高く、また、他のユーザからそのユーザへの着信や、そのユーザから他のユーザへの着信が正常に行えなくなって信頼性が低下する可能性も高い。
【００１２】
その一方で、呼制御メッセージを収容したＩＰパケットなどが電話交換機などに送り付けられる形式で前記ＤｏＳ攻撃が実行される可能性もあるため、このようなＤｏＳ攻撃に対して、利便性の低下、資源の実質的な利用効率や信頼性の低下を招かない対策が必要となる。
【課題を解決するための手段】
【００１３】
かかる課題を解決するために、第１の本発明では、電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを有する呼制御システムにおいて、（１）前記宅内装置と呼制御信号中継部のあいだに介在し、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置部と、（２）当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定部と、（３）当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御部とを備えたことを特徴とする。
【００１４】
また、第２の本発明では、電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを用いる呼制御方法において、（１）前記宅内装置と呼制御信号中継部のあいだに呼制御前置部を配置して、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を当該呼制御前置部に受信させ、（２）中継可否判定部が、当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定し、（３）当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、呼処理制御部が、その呼処理を終了して当該呼のために利用されている資源を解放することを特徴とする。
【００１５】
さらに、第３の本発明では、電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置機能と、当該宅内装置機能から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継機能とを有する呼制御プログラムにおいて、コンピュータに、（１）前記宅内装置機能と呼制御信号中継機能のあいだに介在し、前記中継処理のため呼制御信号中継機能に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置機能と、（２）当該呼制御前置機能が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定機能と、（３）当該中継可否判定機能が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置機能から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御機能とを実現させることを特徴とする。
【発明の効果】
【００１６】
本発明によれば、利便性を高めるとともに、資源の実質的な利用効率や信頼性を高めることができる。
【発明を実施するための最良の形態】
【００１７】
（Ａ）実施形態
以下、本発明にかかる呼制御システム、呼制御方法および呼制御プログラムを、ＩＰ電話サービスを提供する通信システムに適用した場合を例に、実施形態について説明する。
【００１８】
（Ａ−１）第１の実施形態の構成
本実施形態にかかる通信システム２０の全体構成例を図１に示す。
【００１９】
図１において、当該通信システム２０は、ＩＰ電話網６と、電話端末８とを備えている。
【００２０】
このうちＩＰ電話網６には、ＩＰ電話交換装置１と、加入者情報データベース（加入者情報ＤＢ）４と、ネットワーク管理システム５と、ＣＰＥ（Ｃｕｓｔｏｍｅｒ Ｐｒｅｍｉｓｅ Ｅｑｕｉｐｍｅｎｔ：加入者宅内装置）７が含まれている。ＩＰ電話網６は特定の通信事業者が運営するＩＰ網であってもよく、インターネットなどであってもよい。いずれにしても、ＩＰ電話網６上では、ＯＳＩ参照モデルのネットワーク層の通信プロトコルとして、ＩＰプロトコルが用いられる。
【００２１】
当該ＩＰ電話交換装置１は、ＩＰ電話網６内で中継交換機能を実現する通信装置である。具体的には、呼制御の過程で中心的な役割を果たすＳＩＰサーバや、Ｈ．３２３ゲートキーパなどが当該ＩＰ電話交換装置１に対応し得る。当該ＩＰ電話交換装置１は、ＩＰ電話交換機能部２と、パケット制御部３とを備えるが、このなかでＳＩＰサーバやＨ．３２３ゲートキーパなどに相当するのは、主としてＩＰ電話交換機能部２である。
【００２２】
パケット制御部３は本実施形態に特徴的な構成要素で、ＩＰ電話網６経由で到来する呼制御メッセージ（パケット）のうち、当該パケット制御部３が中継（転送）すべきものと判定した呼制御メッセージのみが、前記ＩＰ電話交換機能部２に中継され、それ以外の呼制御メッセージは、パケット制御部３内で破棄される。
【００２３】
通信装置である以上、当該ＩＰ電話交換装置１が、ＣＰＵ（中央処理装置）などの処理能力を提供するハードウエア資源や、不揮発性や揮発性の記憶能力を提供するハードウエア資源を備えていることは当然である。
【００２４】
ＣＰＥ７は、加入者Ｕ１の宅内に配置されるネットワーク機器である。具体的には、例えば、ＡＤＳＬモデムやルータなどが当該ＣＰＥ７に該当し得る。
【００２５】
前記電話端末８は加入者Ｕ１によって利用される電話機である。ＩＰ電話機のように当該電話端末８自体がＶｏＩＰ対応機能を搭載していてもよいが、ここでは、ＶｏＩＰ対応機能を持たない一般電話機を想定する。電話端末８が一般電話機の場合、ＣＰＥ７はいわゆるＶｏＩＰゲートウエイの機能を搭載することが必要となり、ＣＰＥ７のＷＡＮ側（ＩＰ電話網６側）のインタフェースに設定されるＩＰアドレスがそのまま当該電話端末８を指定するＩＰ電話網６上の識別子となる。
【００２６】
加入者情報データベース４は加入者（例えば、Ｕ１）に関する情報（加入者情報）を蓄積したデータベースで、前記ＩＰ電話交換装置１によって参照される。加入者情報には様々な情報が含まれ得るが、ここでは、図２に示すように、ＣＰＥ識別子と、ＣＰＥＩＰアドレスを加入者情報とする。
【００２７】
図２において、ＣＰＥ識別子は、通信システム２０内で各ＣＰＥを一意に識別するために呼制御プロトコルで定められた識別情報である。ＣＰＥＩＰアドレスは、その時点でＣＰＥに割り当てられているＩＰアドレスである。当該加入者情報データベース４にＣＰＥ識別子およびＣＰＥＩＰアドレスが登録されているのは、正当な加入者が使用するＣＰＥに限られる。
【００２８】
当該加入者情報データベース４はハードディスクなどの不揮発性の記憶手段を利用することにより、少なくともリブートや電源断などによっては蓄積している加入者情報が消滅しないものとして構成される。もちろん、実際に当該加入者情報データベース４が参照されるときには、作業用の記憶領域を提供するメモリなどの揮発性の記憶手段を介して加入者情報の読み出しが行われるものであってよいことは当然である。
【００２９】
ネットワーク管理システム５は、保守者Ｍ１がＩＰ電話網６上の各ノードを管理するために利用するシステムである。ＩＰ電話交換装置１と同じ通信装置上にネットワーク管理システム５が実装される構成もあり得るが、一般的には、別個の通信装置に実装され、ネットワーク管理システム５と他のノード（例えば、ＩＰ電話交換装置１）は、ＩＰ電話網６経由で通信する。ネットワーク管理システム５側には、ネットワーク管理ソフトのマネージャ機能が搭載され、管理対象となるノード（例えば、ＩＰ電話交換装置１）側にはネットワーク管理ソフトのエージェント機能が搭載されるものであってよい。
【００３０】
ネットワーク管理システム５は、保守者Ｍ１が、管理を行う上で必要な各種の情報を知るための表示装置や、保守者Ｍ１が管理を行うために各種の指示を入力するための入力装置などを有するユーザインタフェースを持つことは当然である。当該表示装置は、例えば、ＧＵＩ（Graphical User Interface）に対応したものであってもよい。保守者Ｍ１は、これらのＨＭＩ（Human Machine Interface）を利用して、後述するパケットを破棄するための条件（破棄条件）などを指定することもできる。
【００３１】
前記パケット制御部３は例えば図１３に示す通りの内部構成を備えている。
【００３２】
（Ａ−１−１）パケット制御部の内部構成例
図１３において、当該パケット制御部３は、通信部３０と、制御部３１と、記憶部３２と、検出用設定受付部３３と、集中検出部３４と、転送制御部３５と、破棄実行部３６と、破棄制御部３７と、検出結果通知部３８と、破棄用設定受付部３９と、破棄通知部４０とを備えている。
【００３３】
このうち通信部３０は、ＩＰ電話交換装置１の内外の構成要素と通信する部分である。すなわち、当該通信部３０は、例えば、ＣＰＥ７が送信したパケットＰＫ７を受信するとともに、当該ＩＰ電話交換装置１内部のＩＰ電話交換機能部２や外部のネットワーク管理システム５との通信も行う。ＩＰ電話網６上で通信する以上、基本的に外部のノードとの通信ではＩＰパケットが用いられるが、内部にあるＩＰ電話交換機能部２との通信はどのような方法で行ってもかまわない。外部のノードとの通信に使用するポートと、内部のノード（例えば、ＩＰ電話交換機能部２）との通信に使用するポートは物理的に別個のものであってよい。
【００３４】
制御部３１は、当該パケット制御部３のＣＰＵ（中央処理装置）に相当する部分である。ＩＰ電話交換装置１がシングルプロセッサ構成を取る場合には、当該制御部３１はハードウエア的にＩＰ電話交換機能部２のＣＰＵと同じプロセッサとなるが、マルチプロセッサ構成を取る場合には、パケット制御部３のＣＰＵとＩＰ電話交換機能部２のＣＰＵが異なるものとなる。ＤｏＳ攻撃への対策としては、マルチプロセッサ構成を取ることが望ましい。
【００３５】
記憶部３２は、揮発性または不揮発性の記憶手段によって構成される記憶資源である。
【００３６】
検出用設定受付部３３は、ＩＰパケットの集中を検出するための条件（集中検出条件）の設定を受け付ける部分である。ここで、ＩＰパケットの集中とは、上述したＤｏＳ攻撃がＩＰ電話交換装置１に対して行われた場合にＩＰ電話交換装置１側で観測できる現象である。この現象には様々なものがあり得るが、ここでは、指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元からＩＰパケットが到来したことをもって、ＩＰパケットの集中とする。この場合、当該指定時間ＤＴ１および指定回数ＤＰ１が前記集中検出条件となる。
【００３７】
前記集中検出部３４は、当該検出用設定受付部３３に設定されている集中検出条件に基づいて、ＩＰパケットの集中を検出する部分である。
【００３８】
検出結果通知部３８は、当該集中検出部３４がＩＰパケットの集中を検出した場合、その事実と、そのパケットの送信元（送信元ＩＰアドレス）を示す情報（検出通知情報）を所定の通知先に通知する部分である。通知先としては、ＩＰ電話交換機能部２と、ネットワーク管理システム５がある。なお、送信元ＩＰアドレスとは、パケットの送信元を特定するため、送信元の通信装置（例えば、ＣＰＥ７）によって自動的かつ強制的にＩＰヘッダの該当するフィールドに記述される伝送制御情報である。同様に、宛先ＩＰアドレスは、パケットの宛先を特定するため、送信元の通信装置によって自動的かつ強制的にＩＰヘッダの該当するフィールドに記述される伝送制御情報である。例えば、前記ＣＰＥ７に割り当てられているＩＰアドレスがＩＡ１で、パケット制御部３に割り当てられているＩＰアドレスがＩＡ２であり、ＣＰＥ７からパケット制御部３宛て（すなわち、ＩＰ電話交換装置１宛て）のパケットＰＫ１を送信するものとすると、そのパケットＰＫ７のＩＰヘッダの該当する各フィールドには、宛先ＩＰアドレスとしてＩＡ２が、送信元ＩＰアドレスとしてＩＡ１がそれぞれ記述される。
【００３９】
転送制御部３５は、ＩＰパケット（または、ＩＰパケットに収容されている呼制御メッセージ）のＩＰ電話交換機能部２への転送を制御する部分である。ＩＰ電話網１１上でパケット制御部３まで届けられるパケットは、基本的にすべて、呼制御メッセージを収容したパケットであるから、通常、ＣＰＥ７などから送信されＩＰ電話網６経由でパケット制御部３に受信されたパケットはすべて、ＩＰ電話交換機能部４へ転送される。ただし、ＩＰパケットの集中が検出された場合や、保守者Ｍ１などから破棄の指示が行われた場合などには、該当するパケットは転送されることなく、当該パケット制御部３内で破棄される。
【００４０】
多数のパケットのなかから該当するパケットを特定する方法には様々なものがあり得るが、ここでは、送信元ＩＰアドレスを用いるものとする。送信元ＩＰアドレスとともに別の情報（例えば、ＩＰヘッダに記述されるプロトコル番号など）を用いて該当するパケットを特定してもよいことは当然である。
【００４１】
破棄用設定受付部３９は、パケットを破棄するための条件（破棄条件）の設定を受け付ける部分である。前記集中検出条件を満たすと集中検出部３４が判定したパケットは破棄するように指定したり、保守者Ｍ１などが、個別の送信元ＩＰアドレスや破棄を継続する時間（破棄時間）などを指定したりするとき、この破棄条件を用いることができる。保守者Ｍ１などが指定した場合には、前記集中検出部３４が集中検出条件を満たすと判定しなくても、該当するパケットが破棄されることになる。もちろん、前記集中検出条件を満たすと集中検出部３４が判定したパケットを破棄するときにも、予め設定された破棄時間などの破棄条件にしたがって破棄するようにすることができる。
【００４２】
破棄実行部３６は、パケットの破棄を実行する部分である。具体的な破棄の操作がどのようなものとなるかは実装に依存するが、例えば、受信バッファ（受信バッファは、例えば、前記記憶部３２内の揮発性記憶手段上に確保された記憶領域であってよい）内に一時的に記憶されている該当するパケットを削除することをもって破棄としてもよい。破棄は、パケット制御部３が特定のパケットに対して実行することのできる最も資源消費量の少ない最終的な処理である。
【００４３】
破棄制御部３７は、当該破棄実行部３６による破棄の実行を制御する部分である。破棄制御部３７は、前記破棄用設定受付部３９に設定された破棄条件にしたがって、この制御を実行する。
【００４４】
予め指定された前記破棄時間が経過した場合、保守者Ｍ１などから該当する破棄条件が削除された場合、または、保守者Ｍ１などから該当するパケットを破棄しないように指示が出された場合などに、該当するパケットの破棄は停止される。該当するパケットの破棄が停止されたことや、破棄が実行されたこと等、破棄に関連する情報（破棄関連情報）は、破棄通知部４０により、保守者Ｍ１に通知される。
【００４５】
当該パケット制御部３とともに前記ＩＰ電話交換装置１を構成するＩＰ電話交換機能部２の内部構成は、例えば、図１４に示す通りである。
【００４６】
（Ａ−１−２）ＩＰ電話交換機能部の内部構成例
図１４において、当該ＩＰ電話交換機能部２は、通信部５０と、制御部５１と、記憶部５２と、加入者情報対応部５３と、通常交換部５４と、呼開放実行部５５と、検出結果受付部５６とを備えている。
【００４７】
このうち通信部５０は前記通信部３０に対応し、制御部５１は前記制御部３１に対応し、記憶部５２は前記記憶部３２に対応するので、その詳しい説明は省略する。
【００４８】
ただし、本実施形態の構成上、当該通信部５０が、直接、ＣＰＥ７などが送信したパケットを受信することはない。当該通信部５０がこのパケットを受信する場合、必ず、パケット制御部３経由で受信することになる。
【００４９】
前記通常交換部５４は、通常のＳＩＰサーバや、Ｈ．３２３ゲートキーパなどに相当する機能を持つ部分である。
【００５０】
検出結果受付部５６は、前記パケット制御部３の検出結果通知部３８が前記検出通知情報を通知してきたとき、それを受け付ける部分である。
【００５１】
加入者情報対応部５３は、前記加入者情報データベース４の検索の結果などに基づいた処理を実行する部分である。例えば、パケット制御部３が、前記ＩＰパケットの集中を検出し、前記検出結果通知部３８が当該ＩＰパケットの集中を発生させたＩＰパケットの送信元ＩＰアドレスなどを前記検出通知情報として当該検出結果受付部５６に通知してきた場合、当該加入者情報対応部５３は、その送信元ＩＰアドレスを検索キーとして前記加入者情報データベース４を検索することができる。
【００５２】
もちろん、単に、パケット制御部３経由で転送されてきたパケットの送信元ＩＰアドレスをもとに、前記加入者情報データベース４を検索することもできる。
【００５３】
これらの検索によってその送信元ＩＰアドレスが加入者情報データベース４に登録されていることが確認できれば、そのＩＰパケットが正当な加入者のＣＰＥから送信されたものである可能性が高いことが推定できる。ＩＰアドレスが詐称されたものである可能性がゼロではないとしても、通常、一般のユーザ（加入者）は、加入者情報データベース４に登録され正当な加入者のＣＰＥに割り当てられているＩＰアドレスを知ることができないからである。正当で悪意のない加入者のＣＰＥであっても、障害によって、あるいは、コンピュータウイルスなどに感染することによって、ＩＰ電話交換装置１にＤｏＳ攻撃を仕掛ける可能性がないわけではないし、また、正当な加入者（正規の加入手続などを行った加入者）であるからといって、意図的にＩＰ電話交換装置１にＤｏＳ攻撃を仕掛ける可能性がないともいいきれないが、正当な加入者である以上、ＩＰ電話交換装置１を運営する事業者は基本的に当該ＩＰ電話交換装置１の利用を許し、ＩＰ電話サービスを提供する義務がある。したがって、そのＣＰＥを隔離するとしても、限定的なものになる可能性が高い。この場合、隔離とは、ＩＰ電話交換機能部２へのアクセスを拒否し、ＩＰ電話サービスの提供を少なくとも一時的に停止することを意味する。具体的には、該当する送信元ＩＰアドレスを持つパケットを破棄することにより、当該隔離が実現される。
【００５４】
反対に、その送信元ＩＰアドレスが加入者情報データベース４に登録されていないものであることが確認できた場合、正当な加入者のものではない通信装置（例えば、ＣＰＥ）から送信されたパケットであることが明らかであり、なおかつ、ＩＰ電話サービスを提供する義務もないから、完全に隔離して差し支えない。ただし、後述するように、正当な加入者のＣＰＥに割り当てられるＩＰアドレスが動的に変動する可能性がある点には配慮する必要がある。
【００５５】
例えば、正当な加入者のものではない通信装置を隔離するケースでは、加入者情報対応部５３が、前記パケット制御部３に、その送信元ＩＰアドレスを持つパケットが届いた場合、破棄すべきとの指示を出す。
【００５６】
呼解放実行部５５は、前記隔離を行う際、隔離の対象となる通信装置（ＣＰＥ）が関係する進行中の呼があれば、その呼を特定し、完全に解放する処理を実行する部分である。ＩＰ電話交換機能部２の観点からみた呼制御（呼処理）は、通常、呼の設定を要求する呼設定メッセージ（例えば、ＳＩＰの場合、ＩＮＶＩＴＥメッセージ）が発呼側の通信装置（例えば、ＣＰＥ）から前記パケット制御部３経由でＩＰ電話交換機能部２に届けられることによって開始され、周知の各呼制御メッセージが届けられたあと、最後は、呼の切断を確認する確認メッセージ（例えば、ＳＩＰの場合、２００ ＯＫメッセージ）が発呼側または着呼側の通信装置から前記パケット制御部３経由でＩＰ電話交換機能部２に届けられることによって終了する。
【００５７】
実装にも依存するが、この開始から終了までのあいだ、何らかの形で、ＩＰ電話交換機能部２内の資源（例えば、記憶資源や処理能力など）が確保され、そのときの当該呼の状態を示す情報が保存されているはずである。このような資源の確保や呼の状態を示す情報が進行途中の状態でＩＰ電話交換機能部２内に残っていると、上述した論理矛盾を招くことになるため、呼解放実行部５５は、それらの資源を完全に解放し、その呼に関する限り、呼制御の開始前の状態に戻す処理を行う。
【００５８】
なお、該当する送信元ＩＰアドレスからＤｏＳ攻撃が行われたことを示す情報などは、その呼を解放したあとでも、例えば、ログファイルなどの形式で保存しておいてよいことは当然である。このようなログファイルは、前記パケット制御部３，当該ＩＰ電話交換機能部２，ネットワーク管理システム５などに保存されるものであってよい。ログファイルは、後で解析され、ＤｏＳ攻撃の詳細を調べるため等に利用され得る。
【００５９】
以下、上記のような構成を有する本実施形態の動作について、図３と図４ののフローチャートを参照しながら説明する。
【００６０】
図３はパケット制御部３の動作を示すフローチャートで、Ｓ１〜Ｓ３の動作状態と、Ｆ１１〜Ｆ２５の処理から構成される。
【００６１】
図４はＩＰ電話交換機能部２の動作を示すフローチャートで、Ｆ３１〜Ｆ３６の処理から構成される。
【００６２】
図３および図４では、呼制御メッセージをパケット制御部３からＩＰ電話交換機能部２に転送する場合、ＩＰパケットに収容された状態で転送するものとしている。
【００６３】
（Ａ−２）第１の実施形態の動作
図３に示すように、パケット制御部３が起動した直後は、ＩＰパケット転送状態Ｓ１にある。パケット制御部３はこのＩＰパケット転送状態Ｓ１を含め、３つの動作状態Ｓ１〜Ｓ３を取り得る。第１は当該ＩＰパケット転送状態Ｓ１であり、第２はＩＰパケット集中状態Ｓ２であり、第３はＩＰパケット破棄状態Ｓ３である。ただしこれらの動作状態Ｓ１〜Ｓ３は、パケット制御部３が受信するパケットの送信元ＩＰアドレスごとに決まるものである。したがって、ＩＰ電話交換装置１を運用中の任意の一時点でみた場合、例えば、ある送信元ＩＰアドレスに対してはＩＰパケット集中状態Ｓ２であり、別な送信元ＩＰアドレスに対してはＩＰパケット破棄状態Ｓ３であり、なおかつ、他のすべての送信元ＩＰアドレスに対しては、ＩＰパケット転送状態Ｓ１であるということも起こり得る。
【００６４】
前記ＩＰパケット転送状態Ｓ１は、ＩＰ電話網６経由でパケット制御部３が受け取った該当送信元ＩＰアドレスのパケットすべてをＩＰ電話交換機能部２に転送する状態であり、ＩＰパケット集中状態Ｓ２は、パケット制御部３内の集中検出部３４がＩＰパケットの集中を検出し、自動的に、該当送信元ＩＰアドレスを持つパケットを破棄する状態であり、ＩＰパケット破棄状態Ｓ３は、前記保守者Ｍ１などからの指示（破棄指示）に応じて、該当送信元ＩＰアドレスを持つパケットを破棄する状態である。
【００６５】
なお、明示的に指定した送信元ＩＰアドレスに対してのみＩＰアドレス集中状態Ｓ２やＩＰアドレス破棄状態Ｓ３を取る場合、特に指定されない他のすべての送信元ＩＰアドレスに対してＩＰアドレス転送状態Ｓ１を取るようにしてもよいことは当然である。
【００６６】
いずれにしても、予め保守者Ｍ１から指示がない限り、起動直後のパケット制御部３はすべての送信元ＩＰアドレスに対してパケット転送状態Ｓ１である。
【００６７】
ＩＰパケット転送状態Ｓ１において、パケット制御部３はパケットを受信するたびに（Ｆ１１）、ＩＰパケットの集中を検出するための検査を行う（Ｆ１２）。この検査では、前記集中検出条件で指定された指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元（同じ送信元ＩＰアドレス）からＩＰパケットが受信されたか否かを検査する。検査の結果、指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元ＩＰアドレスからＩＰパケットが受信されていない場合には、そのパケットをＩＰ電話交換機能部２に転送して（Ｆ１３）、ＩＰパケット転送状態Ｓ１を維持し、そうでない場合には、前記検出通知情報を、ＩＰ電話交換機能部２とネットワーク管理システム５に通知し（Ｆ１４）、該当するパケットを破棄する（Ｆ１５）。
【００６８】
ここからは、該当送信元ＩＰアドレスに対して、前記ＩＰパケット転送状態Ｓ１からＩＰパケット集中状態Ｓ２へ移行する。
【００６９】
ＩＰパケット集中状態Ｓ２では、予め設定された破棄条件にしたがって、パケット制御部３が自動的にパケットの破棄を実行する。Ｓ２，Ｆ１６，Ｆ１７のループは、該当送信元ＩＰアドレスからパケットが受信されるたびに繰り返し実行されるが、破棄条件で定めた破棄時間が経過したことが処理Ｆ１８で検出されると、動作状態は再び、パケット転送状態Ｓ１に戻る。これは、主として、上述したＩＰ電話サービスを提供する義務を果たすために実行されるものであってよい。
【００７０】
ただし、保守者Ｍ１やＩＰ電話交換機能部２から破棄指示が届いた場合（Ｆ１９）、その指示にしたがってＩＰパケット破棄状態Ｓ３に移行し、破棄を継続する。これは、すでにパケット制御部３自身の検査によってＩＰパケットの集中を検出し、該当送信元ＩＰアドレスを持つパケットを受信するたびに破棄している状態で、破棄指示が届くケースである。
【００７１】
破棄指示は、ＩＰ電話交換機能部２から届くこともあり、保守者Ｍ１の指示にしたがってネットワーク管理システム５から届くこともあり、ＩＰ電話交換機能部２とネットワーク管理システム５からほぼ同時に届く可能性もある。
【００７２】
このうち破棄指示がＩＰ電話交換機能部２から届くのは次のようなケースである。
【００７３】
すなわち、上述したように、指定時間ＤＴ１内に指定回数ＤＰ１以上、同じ送信元ＩＰアドレスからＩＰパケットが受信されたか否かをもとにＩＰパケットの集中を検出する方法によれば、後でＩＰパケットの集中が検出される送信元から送信されたパケット群に含まれるパケットであっても、最初の１または数パケット（前記指定回数ＤＰ１未満の数のパケット）は破棄されることなく、そのままＩＰ電話交換機能部２へ転送されるが、このＩＰパケットが持つ送信元ＩＰアドレスをもとに、ＩＰ電話交換機能部２が前記加入者情報データベース４を検索し、検索の結果、その送信元ＩＰアドレスが加入者情報データベース４に登録されていないことが判明すると、ＩＰ電話交換機能部２がその送信元の通信装置を隔離するために、当該破棄指示を出すケースである。
【００７４】
この場合、ＩＰ電話交換機能部２から破棄指示が届くタイミングと、パケット制御部３がＩＰパケットの集中を検出するタイミングのいずれが先になるかは、前記指定時間ＤＴ１、指定回数ＤＰ１の具体値、ＩＰ電話交換機能部２の処理能力や負荷状態、ＩＰ電話交換機能部２が持つ受信バッファのサイズなどの各種条件によって変動し得るが、前記ＩＰパケット転送状態Ｓ１から前記処理Ｆ１１、Ｆ１２，Ｆ１４，Ｆ１５を経てＩＰパケット集中状態Ｓ２に移行するのは、パケット制御部３がＩＰパケットの集中を検出するタイミングのほうが早かったケースである。
【００７５】
もしも、ＩＰ電話交換機能部２から破棄指示が届くタイミングのほうが早ければ、ＩＰパケット集中状態Ｓ２を経由することなく、前記ＩＰパケット転送状態Ｓ１から処理Ｆ２１，Ｆ２２を経て、ＩＰパケット破棄状態Ｓ３に移行することになる。
【００７６】
なお、場合によっては、ＩＰパケット転送状態Ｓ１からＩＰパケット集中状態Ｓ２に移行し、さらに、当該ＩＰパケット集中状態Ｆ２から元のＩＰパケット転送状態Ｓ１に復帰したあとで、ＩＰ電話交換機能部２から破棄指示が届く可能性もある。
【００７７】
また、前記破棄指示が、保守者Ｍ１の指示にしたがってネットワーク管理システム５から届くのは、保守者Ｍ１がその旨の指示を出したときであるから、そのタイミングは、保守者Ｍ１が指示を出すタイミングなどに依存して決まることになる。したがって、ＩＰ電話交換機能部２から破棄指示が届く場合と同様、ネットワーク管理システム５から破棄指示が届くタイミングは、パケット制御部２がＩＰパケットの集中を検出するタイミングより早くなることもあり、遅くなることもある。また、保守者Ｍ１がその旨の指示を出さなければ、ネットワーク管理システム５からの破棄指示は、当然、届かない。
【００７８】
いずれにしても、前記処理Ｆ１９につづく処理Ｆ２０では、パケット制御部３からＩＰ電話交換機能部２と、ネットワーク管理システム５に、破棄指示の対象となった送信元ＩＰアドレス（すなわち、隔離された通信装置のＩＰアドレス）などを通知している。破棄指示を出していないノードへ通知を行うことは必要であるが、破棄指示を出したノードへ通知を行うことは省略できる可能性がある。
【００７９】
例えば、ＩＰ電話交換機能部２側で破棄指示を出すと同時に、該当する呼を解放するようにすれば、ＩＰ電話交換機能部２が前記通知を受ける必要性は低いからである。ただし、この通知で確認を行うことにより、パケット制御部３側で行うパケットの破棄と、ＩＰ電話交換機能部２側で行う呼の解放の整合（同期）を取りやすくなる可能性がある。
【００８０】
処理Ｆ２０につづき、動作状態がＩＰパケット集中状態Ｓ２からＩＰパケット破棄状態Ｓ３へ移行する。ただし、ＩＰパケット破棄状態Ｓ３への以降は、必ずしもＩＰパケット集中状態Ｓ２を経由して行われる必要はなく、ＩＰパケット転送状態Ｓ１から行われることも起こり得ることはすでに説明した通りである。
【００８１】
ＩＰパケット転送状態Ｓ１からＩＰパケット破棄状態Ｓ３へ移行する場合、処理Ｆ２１とＦ２２を経由することになる。このうち処理Ｆ２１は前記処理Ｆ１９に対応し、処理Ｆ２２は前記処理Ｆ２０に対応するので、その詳しい説明は省略する。
【００８２】
ＩＰパケット破棄状態Ｓ３は、前記処理Ｆ２１で受信した破棄指示に、前記破棄条件として、破棄を継続する破棄時間などが指定されている場合には、破棄時間の経過後、自動的に、ＩＰパケット転送状態Ｓ１に移行することになるが、そのような指定がない場合には、処理Ｆ２３のＩＰパケット破棄解除指示が届くまで維持される。ＩＰパケット破棄状態Ｓ３が維持される限り、パケット制御部３は、該当する送信元ＩＰアドレスを持つパケットを受信するたびに、そのパケットを破棄する動作を繰り返す（Ｆ２４，Ｆ２５、Ｓ３）。
【００８３】
前記処理Ｆ２３のＩＰパケット破棄解除指示は、ネットワーク管理システム５から届く場合と、ＩＰ電話交換機能部２から届く場合があり得る。
【００８４】
ネットワーク管理システム５から届くのは、保守者Ｍ１が個別の事情を考慮して破棄を解除してよいと判断した場合であり、ＩＰ電話交換機能部２から届くのは、例えばパケットを破棄することによって隔離していた通信装置のＩＰアドレスが、前記加入者情報データベース４に登録された場合である。ＣＰＥ７などに対するＩＰアドレスの割り当ては、固定的なものではなく、動的に変動することが多いが、動的に変動する場合、ＣＰＥ７などを例えば再起動するたびに異なるＩＰアドレスが割り当てられるため、ＣＰＥ７などの再起動により、それまで加入者情報データベース４に登録されていなかったＩＰアドレス（ＣＰＥＩＰアドレス）が、新たに、正当な加入者が利用するＣＰＥ７に割り当てられ、加入者情報データベース４に登録されるということも起こり得るからである。
【００８５】
それまで正当な加入者のものではない通信装置に割り当てられ、完全な隔離の対象とされていた送信元ＩＰアドレスと同じＩＰアドレスが、正当な加入者Ｕ１のＣＰＥ７に割り当てられる可能性もある。
【００８６】
一方、前記ＩＰ電話交換機能部２の動作は図４に示す通りであってよい。
【００８７】
図４において、前記パケット制御部３から転送されてきたパケットを受信すると（Ｆ３１）、ＩＰ電話交換機能部２は、当該パケットが呼制御メッセージを収容したパケットであるか否かを検査する（Ｆ３２）。ここでは、パケット制御部３からＩＰ電話交換機能部２に届けられるパケットは、呼制御メッセージを収容したパケットと、前記処理Ｆ２０の通知のために届けられる、破棄指示の対象となった送信元ＩＰアドレスなどを収容したパケットの２種類しかないものと仮定している。
【００８８】
したがって、呼制御メッセージを収容していないパケットは、破棄指示の対象となった送信元ＩＰアドレスなどを収容していることになり、当該パケットから当該送信元ＩＰアドレスなどを抽出することができるから、処理Ｆ３２がＮｏ側に分岐した場合、ＩＰ電話交換機能部２は、前記呼解放実行部５５に、当該パケットから抽出した送信元ＩＰアドレスに対応する呼を完全に解放する処理を実行させることが可能となる（Ｆ３３）。これにより、トランスポート層プロトコルや呼制御プロトコルが再送制御の機能を持たない場合でも、前記論理矛盾の発生を防止することができる。
【００８９】
また、この処理では、隔離すべき送信元ＩＰアドレスを持つ通信装置のみを隔離し、ＩＰ電話交換装置１に対してＤｏＳ攻撃を仕掛けていない正当な加入者のＣＰＥ７から送信されたパケットは、少なくともＩＰ電話交換装置１上では失われることがないから、呼設定などに要する時間も十分に短い。
【００９０】
反対に、前記処理Ｆ３２がＹｅｓ側に分岐した場合には、送信元ＩＰアドレスが、前記加入者情報データベース４に登録されているか否かを検査する（Ｆ３５）。登録されている場合、処理Ｆ３５はＹｅｓ側に分岐するので、ＩＰ電話交換機能部２は通常の呼処理（呼制御）を実行するが、Ｎｏ側に分岐した場合には、パケット制御部３に対しその送信元ＩＰアドレスを持つパケットを受信したときには破棄するように指示（前記破棄指示）を出す（Ｆ３４）。
【００９１】
この破棄指示は、前記処理Ｆ１９またはＦ２１で、パケット制御部３に受信されたものである。
【００９２】
図４と同様な動作は、新たなパケットがパケット制御部３から転送されてくるたびに実行される。
【００９３】
（Ａ−３）第１の実施形態の効果
本実施形態によれば、上述した論理矛盾が生じないため、信頼性が高く、利便性および資源の実質的な利用効率も高い。
【００９４】
（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。
【００９５】
本実施形態が第１の実施形態と相違する点は、第１の実施形態でＩＰ電話交換機能部２が行っていた加入者情報データベース４の検索を、パケット制御部３が実行する点にある。
【００９６】
したがって、本実施形態が第１の実施形態と相違する点は、図５および図６のフローチャートに関する点に限られる。
【００９７】
（Ｂ−１）第２の実施形態の構成および動作
図５は、すでに説明した図３と同様、パケット制御部３の動作を示すフローチャートで、動作状態Ｓ１〜Ｓ３と、処理Ｆ１１〜Ｆ２５およびＦ４０〜Ｆ４２を備えている。
【００９８】
このうち図３と同じ符号を付与した動作状態Ｓ１〜Ｓ３や処理Ｆ１１〜Ｆ２５の内容は基本的に第１の実施形態と同じなので、その詳しい説明は省略する。
【００９９】
図５において、処理Ｆ１１につづく処理Ｆ４０では、パケット制御部３が、受信したパケットの送信元ＩＰアドレスをもとに前記加入者情報データベース４を検索する。検索の結果、当該送信元ＩＰアドレスが加入者情報データベース４に登録されていれば、処理Ｆ４０はＹｅｓ側に分岐するため、処理は前記Ｆ１２に進むが、登録されていない場合には、Ｎｏ側に分岐して処理はＦ４１に進む。
【０１００】
処理Ｆ４１では、その送信元ＩＰアドレスＦ４１をネットワーク管理システム５に通知する。この通知により、正当な加入者のものではない通信装置からパケットが届いていることを保守者Ｍ１に伝え、注意を促す。まだこの時点ではＩＰパケットの集中が生じている必要はない。
【０１０１】
当該処理Ｆ４１につづく処理Ｆ４２では、その送信元ＩＰアドレスを持つパケットを、パケット制御部３内で破棄する。
【０１０２】
この処理Ｆ４１〜Ｆ４２が実行されるあいだ、ＩＰ電話交換機能部２の機能を必要としないから、本実施形態では、ＩＰ電話交換機能部２の処理能力にかかる負荷は第１の実施形態よりも小さい。
【０１０３】
本実施形態のＩＰ電話交換機能部２の動作は図６のフローチャートに示した通りである。
【０１０４】
図６は第１の実施形態の図４に相当するフローチャートで、Ｆ３１，Ｆ３３，Ｆ３６の各処理を備えている。
【０１０５】
図６中で、図４と同じ符号を付与した処理Ｆ３１〜Ｆ３３，Ｆ３６は第１の実施形態と同じなので、その詳しい説明は省略する。
【０１０６】
図４と対比すれば明らかなように、図６は、図４から処理Ｆ３５とＦ３４を除去したものとなっている。本実施形態では、ＩＰ電話交換機能部２が加入者情報データベース４を検索する必要もなく、加入者情報データベース４の検索結果に基づいて破棄指示を出す必要もないからである。
【０１０７】
（Ｂ−２）第２の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【０１０８】
加えて、本実施形態では、ＩＰ電話交換機能部（２）の処理能力にかかる負荷を第１の実施形態よりも軽減することが可能である。
【０１０９】
（Ｃ）第３の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。
【０１１０】
本実施形態が第１の実施形態と相違する点は、ＣＰＥ７自体に、ネットワーク管理システム５からの指示に応じて、パケットの送信を強制的に停止させる機能を搭載している点にある。
【０１１１】
（Ｃ−１）第３の実施形態の構成および動作
本実施形態にかかる通信システム２０の全体構成例を図１に示す通りで、第１の実施形態と同じである。
【０１１２】
ただし、本実施形態のネットワーク管理システム５の内部構成は例えば図１５に示す通りである。
【０１１３】
図１５において、当該ネットワーク管理システム５は、通信部６０と、制御部６１と、記憶部６２と、操作部６３と、表示部６４と、初期化指示部６５と、初期化応答受信部６６と、指示反復部６７と、初期化制御部６８とを備えている。
【０１１４】
このうち通信部６０は、図１３に示した前記通信部３０に対応し、制御部６１は前記制御部３１に対応し、記憶部６２は前記記憶部３２に対応するので、その詳しい説明は省略する。
【０１１５】
ただし通信部６０は、検出通知情報などの通知を受け取ったり、破棄指示などの指示を送信したりするときに前記ＩＰ電話交換装置１と通信するほか、ＣＰＥ側のシステムを初期化する際、ＣＰＥ７などの各ＣＰＥと制御情報を送受する。
【０１１６】
表示部６４は、保守者Ｍ１に対して情報を伝えるために画面表示を行う表示装置に相当する部分である。
【０１１７】
操作部６３は保守者Ｍ１が操作することにより、ネットワーク管理システム５に指示を出すための入力装置に相当する部分で、例えば、キーボードやマウスなどによって構成される。
【０１１８】
なお、図１５に示した各構成要素６０〜６８のうち、構成要素６０〜６４は、本実施形態以外の実施形態（例えば、第１の実施形態や第２の実施形態など）で用いるネットワーク管理システム５にも設けられ得るもので、本実施形態のネットワーク管理システム５に特徴的なものは構成要素６５〜６８である。
【０１１９】
構成要素６５〜６８のうち初期化制御部６８は、保守者Ｍ１の指示に応じて、ＣＰＥ側のシステムを初期化するために当該ネットワーク管理システム５内の各構成要素６５〜６７を制御する部分である。
【０１２０】
ＣＰＥ７など、ＣＰＥ側のシステムの初期化は、当該ＣＰＥがＩＰ電話交換装置１に対して実行しているＤｏＳ攻撃を停止させるために実行される処理である。したがって、ＤｏＳ攻撃の停止につながる様々な処理がこのシステムの初期化に該当し得るが、例えば、単なる再起動を行うことをもって、システムの初期化としてもよい。また、必要に応じて、システムの初期化として、ＣＰＥの各種の設定値の変更や、ＣＰＥのファームウエアの入れ替えなどを行ってもよい。
【０１２１】
初期化指示部６５は、該当するＣＰＥ（例えば、７）に対して、システムの初期化を指示するための初期化指示信号を送信する部分である。この初期化指示信号は、ＣＰＥ側に搭載されているエージェント機能ＡＧ１が受け取ることになる。実際にＣＰＥ側でシステムの初期化を制御するのは、当該エージェント機能ＡＧ１である。このエージェント機能ＡＧ１は、当該ＣＰＥ側でシステムの初期化を試行した場合、ネットワーク管理システム５に宛てて所定の初期化応答信号を返送し、システムの初期化を試行したことを伝える。
【０１２２】
試行した結果、初期化に成功した場合も失敗した場合も当該初期化応答信号を返送することになる。したがって、初期化応答信号には成功応答と失敗応答がある。
【０１２３】
初期化応答受信部６６は、ＣＰＥ７へ初期化指示信号を送信してから所定の設定時間内に当該ＣＰＥ７から初期化応答信号が返送されてくるか否かを検査する部分である。
【０１２４】
指示反復部６７は、当該設定時間内に初期化応答信号が返送されてこない場合、返送されてくるまで初期化指示信号を送信する動作を前記初期化指示部６５に繰り返し実行させる部分である。このような初期化指示信号の送信は自動的に繰り返され、保守者Ｍ１が停止を指示することによって停止されるものであってよい。
【０１２５】
当該ネットワーク管理システム５の動作は図７のフローチャートに示す通りである。図７のフローチャートはＦ６１〜Ｆ６８の各処理を備えている。
【０１２６】
図７において、ネットワーク管理システム５はまず最初に、パケット制御部５から前記検出通知情報を受信する（Ｆ６１）。検出通知情報には、ＩＰパケットの集中を検出した事実と、そのパケットの送信元（送信元ＩＰアドレス）を示す情報が含まれているため、ネットワーク管理システム５内の初期化指示部６５は、その送信元ＩＰアドレスを宛先ＩＰアドレスとするパケットに、初期化指示信号を収容して送信することができる（Ｆ６２）。
【０１２７】
ここでは、前記ＣＰＥ７に当該エージェント機能ＡＧ１が搭載されているものと仮定し、当該エージェント機能ＡＧ１に宛てて初期化指示信号を送信する場合を例に説明を進める。この例では、このパケットの宛先ＩＰアドレスは、前記ＩＡ１である。
【０１２８】
この送信のあと、予め定めた設定時間内に、当該ＣＰＥ７から返送されてくるはずの初期化応答信号を受信したか否かを検査する（Ｆ６３）。
【０１２９】
設定時間内に受信されない場合は、上述したように、初期化指示信号を送信する動作を繰り返す。この繰り返しは、ＩＰ電話網６の輻輳などによって初期化指示信号を収容したパケットがＩＰ電話網６上で失われた場合や、ＣＰＥ７の一時的な障害発生などで初期化指示信号を収容したパケット等がＣＰＥ７側で正常に処理できなかった場合などに備えるための処理である。
【０１３０】
繰り返しを行っているあいだに、保守者Ｍ１から停止の指示があれば、処理Ｆ６４はＹｅｓ側に分岐して、この結果を前記表示部６４に画面表示し（Ｆ６６）、一連の処理を終える。保守者Ｍ１からの停止の指示がない場合には、処理Ｆ６４はＮｏ側に分岐し、所定の手順にしたがって、結果が表示部６４に画面表示される。ただしこの場合、一連の処理は進行中であるため、その進行に応じて処理Ｆ６２〜Ｆ６５によって構成されるループが繰り返し処理され、繰り返しのたびに表示部６４の画面表示の内容が変更され得る。
【０１３１】
予め定めた設定時間内にＣＰＥ７から初期化応答信号を受信した場合には、処理Ｆ６３は、Ｙｅｓ側に分岐し、受信した初期化応答信号が成功応答であるか失敗応答であるかを検査する（Ｆ６７）。失敗応答である場合、当該処理Ｆ６７は、Ｎｏ側に分岐し、処理は前記処理Ｆ６４に進む。したがって、この場合、処理Ｆ６２、Ｆ６３，Ｆ６７，Ｆ６４、Ｆ６５によって構成されるループが繰り返し処理され得る。この繰り返しは、ＣＰＥ７側の一時的な障害発生などの原因でシステムの初期化に失敗した場合に備えるための処理である。
【０１３２】
受信した初期化応答信号が成功応答である場合、前記処理Ｆ６７はＹｅｓ側に分岐して、結果を表示部６４に画面表示して一連の処理を終える。
【０１３３】
一方、前記エージェント機能ＡＧ１の動作は図８のフローチャートに示す通りである。図８のフローチャートは、Ｆ５１〜Ｆ５６の各処理を備えている。
【０１３４】
図８において、ネットワーク管理システム５から送信された前記初期化指示信号を、ＩＰ電話網６経由でＣＰＥ７に搭載されたエージェント機能ＡＧ１が受信すると（Ｆ５１）、当該エージェント機能ＡＧ１がＣＰＥ７上でシステムの初期化を試行する（Ｆ５２）。
【０１３５】
システムの初期化を試行した場合、当該エージェント機能ＡＧ１は、初期化応答信号を返送するとともに（Ｆ５３）、システムの初期化に成功したか否かを検査する（Ｆ５４）。上述したように、初期化応答信号に成功応答と失敗応答の２通りを設けるには、実際は、処理Ｆ５４の検査のほうを処理Ｆ５３よりも先に行い、システムの初期化が成功であったか不成功であったかを初期化応答信号に記述して送信することになる。
【０１３６】
図８では、ＣＰＥ７のシステムの初期化に失敗した場合、当該処理Ｆ５４は、Ｎｏ側に分岐して、エージェント機能ＡＧ１は、当該ＣＰＥ７の呼制御メッセージを送出するためのポートを強制的に閉塞し（Ｆ５５）、当該ＣＰＥ７の状態を加入者Ｕ１に知らせる（Ｆ５６）。
【０１３７】
システムの初期化に成功した場合には、処理Ｆ５４は、Ｙｅｓ側に分岐して、一連の処理は終了する。
【０１３８】
実際には、システムの初期化によってＣＰＥ７が行っているＤｏＳ攻撃が停止する場合もあり、停止しない場合もあり得るが、停止しない場合のため、例えば、ネットワーク管理システム５からＣＰＥ７のエージェント機能ＡＧ１に対し、前記処理Ｆ５５の実行を指示できるようにすることも望ましい。
【０１３９】
なお、エージェント機能ＡＧ１を搭載したＣＰＥと、搭載していないＣＰＥが同じ通信システム内に混在していてもかまわない。
【０１４０】
本実施形態におけるパケット制御部３，ＩＰ電話交換機能部２の動作は、第１の実施形態と同様であってよい。
【０１４１】
（Ｃ−２）第３の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【０１４２】
加えて、本実施形態では、ＣＰＥ（例えば、７）に搭載したエージェント機能（ＡＧ１）に応じてＣＰＥからの呼制御メッセージの送信（ＤｏＳ攻撃など）を強制的に停止させることもできるため、パケット制御部（３）の処理能力にかかる負荷や、ＩＰ電話網（６）の伝送帯域の消費量も軽減され、資源の実質的な利用効率を高めることが可能性である。
【０１４３】
（Ｄ）第４の実施形態
以下では、本実施形態が第１〜第３の実施形態と相違する点についてのみ説明する。
【０１４４】
本実施形態は、第１〜第３の実施形態のなかでは第３の実施形態に最も近いとみることができる。ただし本実施形態の場合、エージェント機能を搭載し、パケットの送信を停止するのは、中継装置であるエッジルータに搭載されたエージェント機能ＡＧ２の役割である。
【０１４５】
エッジルータは、ＩＰ電話網６の網端に設置されてＣＰＥ（例えば、７）を収容するルータである。したがって、ＣＰＥから送信されるパケットは、呼制御メッセージを収容したものも含め、すべてが当該エッジルータによる中継を経て、ＩＰ電話交換装置１に届けられることになる。
【０１４６】
（Ｄ−１）第４の実施形態の構成および動作
本実施形態にかかる通信システム２１の全体構成例は図９に示す通りである。
【０１４７】
図９において、当該通信システム２１は、ＩＰ電話網６と、電話端末８とを備えている。
【０１４８】
このうちＩＰ電話網６には、ＩＰ電話交換装置１と、加入者情報データベース（加入者情報ＤＢ）４と、ネットワーク管理システム５と、ＣＰＥ７が含まれている。
【０１４９】
図９上で、図１と同じ符号を付与した各構成要素１〜８の機能は基本的に第１の実施形態と同じであるので、その詳しい説明は省略する。
【０１５０】
ネットワーク構成データベース（ネットワーク構成ＤＢ）９の構成は図９に示す通りである。
【０１５１】
すなわち、ネットワーク構成データベース９は、ＣＰＥ識別子と、ＣＰＥＩＰアドレスと、該当ＣＰＥ収容エッジルータ識別情報との対応関係を登録してある。
【０１５２】
このうちＣＰＥ識別子と、ＣＰＥＩＰアドレスの意味は、すでに説明した図２と同じである。
【０１５３】
また、ＣＰＥ収容エッジルータ識別情報は、通信システム２１内でエッジルータを一意に識別するための識別情報である。一例としては、エッジルータのインタフェースに設定されているＩＰアドレスを当該ＣＰＥ収容エッジルータ識別情報として利用することもできる。
【０１５４】
本実施形態のネットワーク管理システム５の動作は図１１のフローチャートに示す通りであり、エッジルータ１０の動作は図１２のフローチャートに示す通りである。図１１のフローチャートはＦ７１〜Ｆ７３の各処理を備え、図１２のフローチャートはＦ８１〜Ｆ８４の各処理を備えている。
【０１５５】
図１１に示すように、例えば前記検出通知情報でＩＰ電話交換装置１にＤｏＳ攻撃を仕掛けてきているＣＰＥ（ここでも、７とする）のＩＰアドレス（ここでは、ＩＡ１）が伝えられると、ネットワーク管理システム５は、そのＩＰアドレスを検索キーとしてネットワーク構成データベース９を検索することにより、そのＣＰＥが収容されているエッジルータを特定することができる（Ｆ７１，Ｆ７２）。図９上、エッジルータ１０は１つだけ設けられているが、実際には、複数のエッジルータが存在し得る。
【０１５６】
複数のエッジルータのなかからエッジルータ１０が特定できれば、そのエッジルータ１０に搭載されているエージェント機能ＡＧ２に対して、送信元ＩＰアドレスがＩＡ１のパケットを破棄するように指示を出すことができる（Ｆ７３）。
【０１５７】
一方、エッジルータ１０は、図１２に示すように、ネットワーク管理システム５から指示を受信した場合（Ｆ８１）、その指示が、パケットの破棄を指示するものであるか否かを検査する（Ｆ８２）。ここでは、ネットワーク管理システム５からエッジルータ１０への指示は、該当する送信元ＩＰアドレスを持つパケットの破棄を指示する場合と、すでに実行されている当該パケットの破棄の停止を指示する場合とがあるものとする。
【０１５８】
検査の結果、破棄の指示である場合、処理Ｆ８２はＹｅｓ側に分岐し、エッジルータ１０は、指定された送信元ＩＰアドレスＩＡ１を持つパケットを破棄するが（Ｆ８３）、破棄の停止の指示である場合には、その時点で実行している例えば送信元ＩＰアドレスＩＡ１のパケットに対する破棄の動作を停止する（Ｆ８４）。
【０１５９】
なお、ＣＰＥ７自体に障害が発生した結果としてＤｏＳ攻撃を仕掛けている場合やコンピュータウイルスに感染してＤｏＳ攻撃を仕掛けている場合など、障害や感染の態様や程度によっては、第３の実施形態で行ったようなシステムの初期化で障害を復旧することができなかったり、呼制御メッセージを送出するポートを強制的に閉塞することさえできないことも起こり得る。
【０１６０】
これに対し、エッジルータ１０自体には障害が発生しているわけではないため、中継するパケットの破棄を確実に実行することが可能である。もちろん、エッジルータ１０自体に障害が発生してＤｏＳ攻撃を仕掛けることもあり得るが、エッジルータ１０は、ＩＰ電話網６を運営する通信事業者などの管理下にあるため、加入者の宅内に設置されるＣＰＥに比べると、適正な管理を行いやすく、障害等によってＤｏＳ攻撃を仕掛けることなどはＣＰＥに比べて起こりにくいといえる。
【０１６１】
（Ｅ−２）第４の実施形態の効果
本実施形態によれば、第３の実施形態の効果とほぼ同等な効果を得ることができる。
【０１６２】
加えて、本実施形態では、ＣＰＥでの動作に依存することなく、適正な管理を行うことが容易なエッジルータ（１０）の機能でパケットの破棄などを行うため、ＤｏＳ攻撃をいっそう確実に阻止することが可能である。
【０１６３】
（Ｆ）他の実施形態
上記第１〜第４の実施形態の特徴は上述したものと異なる組み合わせで複合してもかまわない。例えば、上記第３の実施形態では、第３の実施形態の特徴と第１の実施形態の特徴を組み合わせたが、第３の実施形態の特徴（ＣＰＥにエージェント機能ＡＧ１を配置すること等）は第２の実施形態の特徴（パケット制御部３側で加入者情報データベース４の検索を行うこと等）と組み合わせることもできる。また、第３の実施形態のようにＣＰＥ７上にエージェント機能ＡＧ１を搭載する構成と、第４の実施形態のようにエッジルータ１０にエージェント機能ＡＧ２を搭載する構成を同一の通信システム内で併用してもよい。
【０１６４】
なお、上記第１〜第４の実施形態で、同一の装置内に配置した機能は複数の装置に分けて配置してもよいし、複数の装置に分けて配置した機能は１つの装置にまとめて配置してもよい。
【０１６５】
例えば、図１などにおいて、同じＩＰ電話交換装置１内に配置されたパケット制御部３とＩＰ電話交換機能部２とは、別個の装置としてＩＰ電話網６上に配置することができる。
【０１６６】
また、前記加入者情報データベース４と、ネットワーク構成データベース９とは、同一のデータベースサーバの配下に配置するようにしてもよい。
【０１６７】
なお、加入者情報データベース４のデータは、ＩＰ電話交換装置のリブート後は、ＩＰ電話交換装置１のメインメモリ上にあっても、逐一加入者情報データベース４（ハードディスク上などにあるものとする）をアクセスする形態でもよい。同じくネットワーク構成データベース９のデータは、ネットワーク管理システム５のリブート後は、ネットワーク管理システム５のメインメモリ上にあっても、逐一ネットワーク構成データベース９をアクセスする形態でもよい。
【０１６８】
さらに、前記ＣＰＥ７にはスプリッタ機能、モデム機能、ＶｏＩＰゲートウエイ機能などが実装され得るが、これらの各機能は別の装置で構成されてもよい。
【０１６９】
また、上記第１〜第４の実施形態で、保守者Ｍ１が出すものとした指示などを情報処理装置の処理に基づいて自動的に出すようにすることも可能である。
【０１７０】
なお、上記第１〜第４の実施形態で使用したフローチャートは変更できる可能性がある。
【０１７１】
例えば、図３などに含まれる処理Ｆ１２は、指定時間内に指定回数、同じ送信元からＩＰパケットが到来したことをもってＩＰパケットの集中と判定しているが、この判定は、ＤｏＳ攻撃を検出するためのものであるから、ＤｏＳ攻撃を検出することさえできれば、他の方法に置換できる可能性がある。
【０１７２】
例えば、ＣＰＥなどがコンピュータウイルスに感染したことに起因してＤｏＳ攻撃を仕掛けてきている場合、コンピュータウイルスの検出に利用されることの多いパターンマッチング法や、ＩＤＳ（侵入検知システム）などで用いられるシグネチャを利用した検出方法などを用いることができる可能性がある。
【０１７３】
例えば、パターンマッチング法などを用いる場合、最初に受信された１パケットだけでＤｏＳ攻撃を検出できる可能性もある。例えば、この１パケットに、特定のワームなどが実行するＤｏＳ攻撃に特有のパターンが含まれていることが検出できれば、その時点で（すなわち、実際にＩＰパケットの集中が発生する前に）、ＤｏＳ攻撃の開始を検出することができるからである。
【０１７４】
さらに、上記第１〜第４の実施形態で使用した通信プロトコルは他の通信プロトコルに置換可能である。
【０１７５】
例えば、ＩＰプロトコルは、ＯＳＩ参照モデルのネットワーク層またはその他の階層に位置する他の通信プロトコルに置換可能である。一例として、ＩＰＸプロトコルなどを利用できる可能性もある。
【０１７６】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することが可能であり、ソフトウエア的に実現した機能のほとんど全ては、ハードウエア的に実現することが可能である。
【図面の簡単な説明】
【０１７７】
【図１】第１〜第３の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図２】第１〜第４の実施形態で使用する加入者情報データベースの構成例を示す概略図である。
【図３】第１、第３、第４の実施形態で使用するパケット制御部の動作例を示すフローチャートである。
【図４】第１，第３、第４の実施形態で使用するＩＰ電話交換機能部の動作例を示すフローチャートである。
【図５】第２の実施形態で使用するパケット制御部の動作例を示すフローチャートである。
【図６】第２の実施形態で使用するＩＰ電話交換機能部の動作例を示すフローチャートである。
【図７】第３の実施形態で使用するネットワーク管理システムの動作例を示すフローチャートである。
【図８】第３の実施形態で使用するＣＰＥの動作例を示すフローチャートである。
【図９】第４の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図１０】第４の実施形態で使用するネットワーク構成データベースの構成例を示す概略図である。
【図１１】第４の実施形態で使用するネットワーク管理システムの動作例を示すフローチャートである。
【図１２】第４の実施形態で使用するエッジルータの動作例を示すフローチャートである。
【図１３】第１，第３、第４の実施形態で使用するパケット制御部の内部構成例を示す概略図である。
【図１４】第１、第３、第４の実施形態で使用するＩＰ電話交換機能部の内部構成例を示す概略図である。
【図１５】第１の実施形態で使用するネットワーク管理システム５の内部構成例を示す概略図である。
【符号の説明】
【０１７８】
１…ＩＰ電話交換装置、２…ＩＰ電話交換機能部、３…パケット制御部、４…加入者情報データベース、５…ネットワーク管理システム、６…ＩＰ電話網、７…ＣＰＥ、８…電話端末、９…ネットワーク構成データベース、１０…エッジルータ、２０，２１…通信システム、３０、５０，６０…通信部、３１，５１，６１…制御部、３２，５２，６２…記憶部、３３…検出用設定受付部、３４…集中検出部、３５…転送制御部、３６…破棄実行部、３７…破棄制御部、３８…検出結果通知部、３９…破棄用設定受付部、４０…破棄通知部、５３…加入者情報対応部、５４…通常交換部、５５…呼解放実行部、５６…検出結果受付部、６３…操作部、６４…表示部、６５…初期化指示部、６６…初期化応答受信部、６７…指示反復部、６８…初期化制御部、ＡＧ１，ＡＧ２…エージェント機能、ＩＡ１…ＩＰアドレス。
【特許請求の範囲】
【請求項１】
電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを有する呼制御システムにおいて、
前記宅内装置と呼制御信号中継部のあいだに介在し、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置部と、
当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定部と、
当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御部とを備えたことを特徴とする呼制御システム。
【請求項２】
請求項１の呼制御システムにおいて、
前記中継可否判定部は、
同じ宅内装置から所定時間内に所定数以上、前記プロトコルデータ単位が呼制御前置部に到来した場合、その呼制御信号を中継すべきでないと判定するか、または、所定のネットワーク管理マネージャ部から指定された宅内装置から送信されたプロトコルデータ単位に収容された呼制御信号を中継すべきでないと判定することを特徴とする呼制御システム。
【請求項３】
請求項１の呼制御システムにおいて、
前記中継可否判定部が中継すべきでないと判定した呼制御信号およびその呼制御信号を収容しているプロトコルデータ単位は、前記呼制御前置部内で破棄させ、
前記宅内装置自体に、前記中継可否判定部が中継すべきでないと判定したときに出す指示に応じて、前記呼制御信号を収容したプロトコルデータ単位の送信を強制的に停止させる送信制御部を設けてある場合には、当該送信制御部に、当該プロトコルデータ単位の送信を停止させ、
前記宅内装置自体に、前記中継可否判定部が中継すべきでないと判定したときに出す指示に応じて、当該宅内装置を再起動させる再起動実行部を設けてある場合には、当該再起動実行部に再起動させることにより、当該プロトコルデータ単位の送信を停止させ、または、
前記宅内装置と呼制御前置部とのあいだに、前記プロトコルデータ単位の中継を行うデータ単位中継装置を配置し、当該データ単位中継装置に、前記中継可否判定部からの指示に応じて該当する宅内装置から送信されたプロトコルデータ単位の中継を停止する中継制御部を設けてある場合には、当該中継制御部に、当該プロトコルデータ単位の中継を停止させることによって、破棄すべき呼制御信号が少なくとも前記呼制御信号中継部まで届けられることがないようにすることを特徴とする呼制御システム。
【請求項４】
請求項１の呼制御システムにおいて、
前記プロトコルデータ単位に対応する通信プロトコルで、当該プロトコルデータ単位の送信元または宛先となる宅内装置を識別するために使用されるプロトコルアドレスが、動的に、前記各宅内装置に割り当てられる場合、各宅内装置を識別する所定の装置識別子と、各宅内装置に割り当てられている前記プロトコルアドレスとを対応付けて登録したアドレス対応テーブル部を備え、
前記中継可否判定部は、当該アドレス対応テーブル部に登録されていないプロトコルアドレスを割り当てられた宅内装置から到来したプロトコルデータ単位に収容された呼制御信号は、中継すべきでないと判定することを特徴とする呼制御システム。
【請求項５】
電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを用いる呼制御方法において、
前記宅内装置と呼制御信号中継部のあいだに呼制御前置部を配置して、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を当該呼制御前置部に受信させ、
中継可否判定部が、当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定し、
当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、呼処理制御部が、その呼処理を終了して当該呼のために利用されている資源を解放することを特徴とする呼制御方法。
【請求項６】
電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置機能と、当該宅内装置機能から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継機能とを有する呼制御プログラムにおいて、コンピュータに、
前記宅内装置機能と呼制御信号中継機能のあいだに介在し、前記中継処理のため呼制御信号中継機能に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置機能と、
当該呼制御前置機能が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定機能と、
当該中継可否判定機能が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置機能から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御機能とを実現させることを特徴とする呼制御プログラム。
【請求項１】
電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを有する呼制御システムにおいて、
前記宅内装置と呼制御信号中継部のあいだに介在し、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置部と、
当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定部と、
当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御部とを備えたことを特徴とする呼制御システム。
【請求項２】
請求項１の呼制御システムにおいて、
前記中継可否判定部は、
同じ宅内装置から所定時間内に所定数以上、前記プロトコルデータ単位が呼制御前置部に到来した場合、その呼制御信号を中継すべきでないと判定するか、または、所定のネットワーク管理マネージャ部から指定された宅内装置から送信されたプロトコルデータ単位に収容された呼制御信号を中継すべきでないと判定することを特徴とする呼制御システム。
【請求項３】
請求項１の呼制御システムにおいて、
前記中継可否判定部が中継すべきでないと判定した呼制御信号およびその呼制御信号を収容しているプロトコルデータ単位は、前記呼制御前置部内で破棄させ、
前記宅内装置自体に、前記中継可否判定部が中継すべきでないと判定したときに出す指示に応じて、前記呼制御信号を収容したプロトコルデータ単位の送信を強制的に停止させる送信制御部を設けてある場合には、当該送信制御部に、当該プロトコルデータ単位の送信を停止させ、
前記宅内装置自体に、前記中継可否判定部が中継すべきでないと判定したときに出す指示に応じて、当該宅内装置を再起動させる再起動実行部を設けてある場合には、当該再起動実行部に再起動させることにより、当該プロトコルデータ単位の送信を停止させ、または、
前記宅内装置と呼制御前置部とのあいだに、前記プロトコルデータ単位の中継を行うデータ単位中継装置を配置し、当該データ単位中継装置に、前記中継可否判定部からの指示に応じて該当する宅内装置から送信されたプロトコルデータ単位の中継を停止する中継制御部を設けてある場合には、当該中継制御部に、当該プロトコルデータ単位の中継を停止させることによって、破棄すべき呼制御信号が少なくとも前記呼制御信号中継部まで届けられることがないようにすることを特徴とする呼制御システム。
【請求項４】
請求項１の呼制御システムにおいて、
前記プロトコルデータ単位に対応する通信プロトコルで、当該プロトコルデータ単位の送信元または宛先となる宅内装置を識別するために使用されるプロトコルアドレスが、動的に、前記各宅内装置に割り当てられる場合、各宅内装置を識別する所定の装置識別子と、各宅内装置に割り当てられている前記プロトコルアドレスとを対応付けて登録したアドレス対応テーブル部を備え、
前記中継可否判定部は、当該アドレス対応テーブル部に登録されていないプロトコルアドレスを割り当てられた宅内装置から到来したプロトコルデータ単位に収容された呼制御信号は、中継すべきでないと判定することを特徴とする呼制御システム。
【請求項５】
電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置と、当該宅内装置から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継部とを用いる呼制御方法において、
前記宅内装置と呼制御信号中継部のあいだに呼制御前置部を配置して、前記中継処理のため呼制御信号中継部に渡すまえに、前記プロトコルデータ単位を当該呼制御前置部に受信させ、
中継可否判定部が、当該呼制御前置部が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定し、
当該中継可否判定部が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、呼処理制御部が、その呼処理を終了して当該呼のために利用されている資源を解放することを特徴とする呼制御方法。
【請求項６】
電話通信で、呼制御信号を収容した所定のプロトコルデータ単位の送信元または宛先となり得る宅内装置機能と、当該宅内装置機能から送信された前記プロトコルデータ単位の中継処理を行う呼制御信号中継機能とを有する呼制御プログラムにおいて、コンピュータに、
前記宅内装置機能と呼制御信号中継機能のあいだに介在し、前記中継処理のため呼制御信号中継機能に渡すまえに、前記プロトコルデータ単位を受信する呼制御前置機能と、
当該呼制御前置機能が受信したプロトコルデータ単位に収容された呼制御信号を中継すべきか否か判定する中継可否判定機能と、
当該中継可否判定機能が中継すべきでないと判定した呼制御信号を収容したプロトコルデータ単位の送信元である前記宅内装置機能から到来した呼制御信号に基づいて、現時点で、進行中の呼処理がある場合には、その呼処理を終了して当該呼のために利用されている資源を解放する呼処理制御機能とを実現させることを特徴とする呼制御プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００６−１６５６７３（Ｐ２００６−１６５６７３Ａ）
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願番号】特願２００４−３５００６２（Ｐ２００４−３５００６２）
【出願日】平成１６年１２月２日（２００４．１２．２）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【出願人】（５９５１２５４２１）沖通信システム株式会社 (131)
【Ｆターム（参考）】
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願日】平成１６年１２月２日（２００４．１２．２）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【出願人】（５９５１２５４２１）沖通信システム株式会社 (131)
【Ｆターム（参考）】
[ Back to top ]