検疫システム、ゲートウェイ装置、設備機器および設備系ＬＡＮ構築方法
【課題】既存の情報系ＬＡＮにも容易に導入可能であり、かつ、管理している設備機器以外の機器が設備系ＬＡＮに接続されても情報系ＬＡＮへの影響を防ぐ。
【解決手段】設備機器は、他の設備機器から発報されたＭＡＣアドレスの解決要求には応じず、ＳＧＷ７は、情報系・設備系共有ＬＡＮ１に接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含む対象物件機器リスト７０２ａを格納する対象物件機器リスト格納部７０２と、ＭＡＣアドレスの解決要求に対して、対象物件機器リスト７０２ａに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部７０８と、解決要求元の設備機器に解決応答を通知するフレーム送信処理部７１１とを備えた。
【解決手段】設備機器は、他の設備機器から発報されたＭＡＣアドレスの解決要求には応じず、ＳＧＷ７は、情報系・設備系共有ＬＡＮ１に接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含む対象物件機器リスト７０２ａを格納する対象物件機器リスト格納部７０２と、ＭＡＣアドレスの解決要求に対して、対象物件機器リスト７０２ａに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部７０８と、解決要求元の設備機器に解決応答を通知するフレーム送信処理部７１１とを備えた。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ビル管理システム（Ｂｕｉｌｄｉｎｇ Ａｕｔｏｍａｔｉｏｎ Ｓｙｓｔｅｍ：ＢＡＳ）を実現する設備系ＬＡＮを情報系ＬＡＮと共有した検疫システム、ゲートウェイ装置、設備機器および設備系ＬＡＮ構築方法に関するものである。
【背景技術】
【０００２】
ＢＡＳを実現する設備系ＬＡＮは、各種設備機器を接続する基幹ＬＡＮと、各種計装機器などを接続するフィールドバスとから構成される。近年の基幹ＬＡＮはオープンな通信規格ＢＡＣｎｅｔ／ＩＰが主流であり、この規格はＥｔｈｅｒｎｅｔ（登録商標／以下記載を省略する）上のＩＰ通信を元とする規格である。
【０００３】
設備系ＬＡＮの工事費用は、ビル物件が小規模であるほど費用対効果が割高になる。このことが、小規模ビルへのＢＡＳの普及を阻害する一因となっている。他方、情報系ＬＡＮは、社員ＰＣを繋ぐためにすべてのビルで確実に導入される。また、情報系ＬＡＮはＥｔｈｅｒｎｅｔにより構築される。よって、設備系ＬＡＮの基幹ＬＡＮ部分を情報系ＬＡＮと共有できれば、設備系ＬＡＮの施工コストを削減することが可能である。
【０００４】
情報系ＬＡＮを設備系ＬＡＮと共有する従来技術の１つとして、図１３に示すように、ＶＬＡＮスイッチとホワイトリストとを併用した通信制御装置１００による解決が考えられる（例えば非特許文献１参照）。すなわち、情報系ＬＡＮと設備系ＬＡＮとをＶＬＡＮスイッチによって論理的に分離すると共に、保守会社（管理センタ１０１）で管理している設備機器（監視端末１０２やローカルコントローラ１０３など）をホワイトリストに登録する。これにより、設備系ＬＡＮに不正な機器が接続された場合でも、ホワイトリストに登録されていない当該機器は隔離され、情報系ＬＡＮ（情報系ＰＣ１０３）への脅威を防ぐことが可能になる。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】是友春樹，“ＶＰＮ／ＶＬＡＮ教科書”、アスキー出版局，（Ｓｅｐ １９９９）．
【発明の概要】
【発明が解決しようとする課題】
【０００６】
非特許文献１に開示された従来技術では、情報系ＬＡＮと設備系ＬＡＮとを共有するために、ＶＬＡＮスイッチを用いている。しかしながら、既存の情報系ＬＡＮにＶＬＡＮスイッチを導入することはネットワーク機器の設定を変えることとなり、作業が煩雑になるという課題がある。
【０００７】
また、情報系ＬＡＮと設備系ＬＡＮとを共有するためには、設備系ＬＡＮが情報系ＬＡＮのサービスを阻害しないことが求められる。この阻害要因の一例としては、第一に、保守会社で管理している設備機器以外の機器が勝手に接続されるという課題がある。これにより、保守会社が維持するＢＡＳの品質が保てなくなったり、悪意のある第三者が設備系ＬＡＮを経由して情報系ＬＡＮに接続するための足掛かりを与えるおそれがある。また、第二に、設備機器に成りすました第三者から情報系ＬＡＮを保護できないという課題もある。
【０００８】
この発明は、上記のような課題を解決するためになされたもので、既存の情報系ＬＡＮに対しても容易に導入可能であり、かつ、保守会社等が管理している設備機器以外の機器が設備系ＬＡＮに接続されても情報系ＬＡＮへの影響を防ぐことができる検疫システム、ゲートウェイ装置、設備機器および設備系ＬＡＮ構築方法を提供することを目的としている。
【課題を解決するための手段】
【０００９】
この発明に係る検疫システムは、所定物件内のＬＡＮに接続された設備機器と、設備機器の検疫を行うゲートウェイ装置とを備え、ＬＡＮは、情報系ＬＡＮおよび設備系ＬＡＮを共有したものであり、設備機器は、ＬＡＮに接続された他の設備機器から発報されたＭＡＣアドレスの解決要求には応じず、ゲートウェイ装置は、ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納部と、ＭＡＣアドレスの解決要求に対して、リスト格納部に格納されたリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部と、ＭＡＣアドレス解決部により解決応答がなされた場合に、解決要求元の設備機器に当該解決応答を通知する通知部とを備えたものである。
【発明の効果】
【００１０】
この発明によれば、上記のように構成したので、既存の情報系ＬＡＮに対しても容易に導入可能であり、かつ、保守会社等が管理している設備機器以外の機器が設備系ＬＡＮに接続されても情報系ＬＡＮへの影響を防ぐことができる。また、設備系ＬＡＮにより構築されるＢＡＳの保守性を向上することができる。さらに、設備系ＬＡＮ施工時のコストを削減することができる。
【図面の簡単な説明】
【００１１】
【図１】この発明の実施の形態１に係る検疫システムの構成を示す図である。
【図２】この発明の実施の形態１に係る検疫システムの動作を示す図である。
【図３】この発明の実施の形態１に係るＳＧＷの内部構成を示す図である。
【図４】この発明の実施の形態１におけるフレーム受信処理部の動作を示すフローチャートである。
【図５】この発明の実施の形態１における機器リスト管理部の動作を示すフローチャートである。
【図６】この発明の実施の形態１における設定情報の内訳を示す図である。
【図７】この発明の実施の形態１における対象物件機器リストのエントリの内訳を示す図である。
【図８】この発明の実施の形態１におけるＭＡＣアドレス解決部の動作を示すフローチャートである。
【図９】この発明の実施の形態１における中継判断部の動作を示すフローチャートである。
【図１０】この発明の実施の形態１におけるフレーム送信処理部の動作を示すフローチャートである。
【図１１】この発明の実施の形態２に係る検疫システムの動作を示す図である。
【図１２】この発明の実施の形態３に係る検疫システムの動作を示す図である。
【図１３】従来の検疫システムの構成を示す図である。
【発明を実施するための形態】
【００１２】
以下、この発明の実施の形態について図面を参照しながら詳細に説明する。
実施の形態１．
図１はこの発明の実施の形態１に係る検疫システムの構成を示す図である。
検疫システムのビル（対象物件）側には、図１に示すように、情報系・設備系（基幹）共有ＬＡＮ１が設けられている。情報系・設備系共有ＬＡＮ１は、このビル内の社員ＰＣ（情報系ＰＣ２）を繋ぐための情報系ＬＡＮと、ＢＡＳを実現するための設備系ＬＡＮの基幹ＬＡＮ部分とを共有したものである。そして、この情報系・設備系共有ＬＡＮ１は、情報系ＬＡＮとして情報系ＰＣ２と接続されている。また、設備系ＬＡＮの基幹ＬＡＮ部分として、ビル内においてＢＡＳを監視する監視端末３や、フィールドバス５を介して接続された計装機器６を管理するローカルコントローラ４などの設備機器と接続されている。
【００１３】
ここで、悪意を持つ不正な機器やユーザは、情報系・設備系共有ＬＡＮ１と接続し、このＬＡＮ１上の機器の接続状態を把握するため、ＭＡＣアドレス解決要求フレームを大量に発報する。こうした攻撃に対処するため、監視端末３やローカルコントローラ４などの設備機器は、ＭＡＣアドレス解決要求に応答しないように構成されている。また、情報系ＰＣ２は、ウイルス対策ソフトを搭載した一般的なＰＣを想定している。ウイルス対策ソフトは通常、ＭＡＣアドレス解決要求に応答しないように構成されている。ただし、本発明を実施する際、情報系ＰＣ２にＭＡＣアドレス解決要求に応答しないウイルス対策ソフトを導入することは必須ではない。
なお、本方式に述べるＭＡＣアドレス解決通信は、ＩＰｖ４であればＡＲＰ通信に対応し、ＩＰｖ６であればＩＣＭＰｖ６通信の近隣要請（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ）および近隣通知（Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ）に対応する。
【００１４】
また、情報系・設備系共有ＬＡＮ１と外部ネットワーク（遠隔管理網９）との接続点には、セキュリティ機能を有するゲートウェイ装置（ＳＧＷ：セキュアゲートウェイ）７が設けられている。ＳＧＷ７は、保守会社がビルの管理者と遠隔管理サービスを締結した後にビル内に設置する機器であり、ＩＰ通信に先立つＭＡＣアドレス解決通信を制御することによって、情報系・設備系共有ＬＡＮ１に接続された設備機器の検疫を実現するものである。このＳＧＷ７の詳細については後述する。
【００１５】
一方、検疫システムのセンタ（保守会社）側には、管理センタ８が設けられている。管理センタ８は、遠隔管理網９を介してＳＧＷ７と接続されるものであり、管理サーバ８０１を有している。管理サーバ８０１は、物件毎に監視端末３およびローカルコントローラ４を管理するための物件別機器リスト８０１ａを有している。そして、管理サーバ８０１は、この物件別機器リスト８０１ａに基づいて、ＳＧＷ７に対して、後述する対象物件機器リスト７０２ａに関する設定情報を提供する。
【００１６】
次に、ＳＧＷ７の概要について説明する。
ＳＧＷ７は、図２に示すように、対象物件機器リスト７０２ａを有している。この対象物件機器リスト７０２ａには、情報系・設備系共有ＬＡＮ１に接続された所定の設備機器（保守対象機器）のＭＡＣアドレスおよびＩＰアドレスの組を示すリスト（設備系ＬＡＮリスト）と、情報系・設備系共有ＬＡＮ１に接続された情報系ＰＣ２のうちＳＧＷ７の透過を許可する情報系ＰＣ２（透過許可対象機器）のＭＡＣアドレスおよびＩＰアドレスの組を示すリスト（情報系ＬＡＮリスト）とが含まれている。
設備系ＬＡＮリストは、管理サーバ８０１から提供された対象物件機器リスト７０２ａに関する設定情報に基づいて設定・更新を行う。他方、情報系ＬＡＮリストは、保守会社が関知するものではないため、物件毎に現地にて設定・更新を行う。なお、情報系ＰＣ２毎に設定を行うことは煩雑であるため、通常は情報系ＰＣ２が情報系ＬＡＮからインターネットに接続するためのＷｅｂアクセス用のＰｒｏｘｙサーバなどの設定を行う。
【００１７】
ＳＧＷ７は、この対象物件機器リスト７０２ａを用いて情報系・設備系共有ＬＡＮ１に接続された機器のアドレスを確認することによって、不正な機器が外部ネットワークと通信することを防止する。そのため、情報系ＰＣ２のウイルス対策ソフトがＭＡＣアドレスの解決要求に応答してしまう場合や対策ソフトを導入していない場合など、万が一情報系ＰＣ２が不正な機器などに検出された場合であっても、検出したＭＡＣアドレスが外部に通知され流出することを防ぐことできる。
【００１８】
ここで、ＩＰｖ６ではＭＡＣアドレスを元にグローバルアドレスが生成される場合が一般的である。そのため、ＭＡＣアドレスの流出を防ぐことはセキュリティ上、重要である。
また、不正な機器の遠隔管理網９との通信を阻止する機能は、情報系・設備系共有ＬＡＮ１内から機密情報が漏えいすることを防ぐ効果をも有している。
【００１９】
そして、ＳＧＷ７は、プロミスキャス動作を行い（情報系・設備系共有ＬＡＮ１上の全ての通信を受信し）、ＭＡＣアドレスの解決に関与して以下のように動作する。
まず、図２の矢印Ａに示すように、情報系・設備系共有ＬＡＮ１上の任意の設備機器（図２では監視端末３）がＭＡＣアドレス解決要求フレームを発報する。なお、ＭＡＣアドレス解決要求フレームには、送信元のＭＡＣアドレスおよびＩＰアドレスと、宛先（解決要求先）のＩＰアドレスとが含まれている。
【００２０】
次いで、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの送信元ＭＡＣアドレスを精査する。そして、送信元アドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレス（管理センタ８が管理している設備機器のＭＡＣアドレス）ではない場合、このＭＡＣアドレス解決要求フレームを廃棄する。
【００２１】
一方、送信元ＭＡＣアドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスである場合、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの宛先である設備機器に代理して、対象物件機器リスト７０２ａの情報を用いてＭＡＣアドレスの解決応答を行う。そして、矢印Ｂに示すように、ＭＡＣアドレス解決要求フレームの送信元である設備機器にＭＡＣアドレス解決応答フレームを通知する。
次いで、矢印Ｃに示すように、送信元である設備機器は、ＭＡＣアドレスが解決された設備機器（図２ではローカルコントローラ４）との間で通常の通信を開始する。
【００２２】
次に、ＳＧＷ７の内部構成について図３を参照しながら説明する。
ＳＧＷ７は、図３に示すように、現地設定入出力部７０１、対象物件機器リスト格納部７０２、ＬＡＮ側ポート７０３、ＷＡＮ側ポート７０４、受信調停処理部７０５、フレーム受信処理部７０６、機器リスト管理部７０７、ＭＡＣアドレス解決部７０８、中継判断部７０９、送信調停処理部７１０およびフレーム送信処理部（通知部）７１１から構成されている。
【００２３】
現地設定入出力部７０１は、管理端末１０から対象物件機器リスト７０２ａに関する設定情報を受け取り、機器リスト管理部７０７に渡すものである。なお、管理端末１０は、ＳＧＷ７が設置されたビルにおいて、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａのうちＳＧＷ７の透過を許可するエントリを設定するものである。
【００２４】
ＬＡＮ側ポート７０３は、情報系・設備系共有ＬＡＮ１と接続され、情報系ＰＣ２や設備機器との間で通信フレームの送受信を行うものである。そして、ＬＡＮ側ポート７０３は、情報系・設備系共有ＬＡＮ１から受け取った通信フレームを受信調停処理部７０５を経由してフレーム受信処理部７０６に渡す。
【００２５】
ＷＡＮ側ポート７０４は、遠隔管理網９と接続され、管理センタ８やその他の外部機器との間で通信フレームの送受信を行うものである。そして、ＷＡＮ側ポート７０４は、遠隔管理網９から受け取った通信フレームを受信調停処理部７０５を経由してフレーム受信処理部７０６に渡す。
【００２６】
受信調停処理部７０５は、ＬＡＮ側ポート７０３またはＷＡＮ側ポート７０４から受け取った通信フレームに対して、ラウンドロビン動作にて調停処理を行った上でフレーム受信処理部７０６に渡すものである。
【００２７】
フレーム受信処理部７０６は、受信調停処理部７０５から受け取った通信フレームを解釈するものである。ここで、フレーム受信処理部７０６は、通信フレームが管理サーバ８０１からの対象物件機器リスト７０２ａに関する設定情報であると判断した場合には、この通信フレームを機器リスト管理部７０７に渡す。また、ＭＡＣアドレス解決要求フレームであると判断した場合には、この通信フレームをＭＡＣアドレス解決部７０８に渡す。また、それ以外であると判断した場合には、この通信フレームを中継判断部７０９に渡す。
【００２８】
機器リスト管理部７０７は、現地設定入出力部７０１またはフレーム受信処理部７０６から受け取った対象物件機器リスト７０２ａに関する設定情報に基づいて、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａを更新するものである。
【００２９】
ＭＡＣアドレス解決部７０８は、フレーム受信処理部７０６から受け取った通信フレーム（ＭＡＣアドレス解決要求フレーム）に対して、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａに基づいて応答するかを判断した上で、解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うものである。ここで、ＭＡＣアドレス解決部７０８は、ＭＡＣアドレス解決応答フレームを作成した場合には、送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す。
【００３０】
中継判断部７０９は、フレーム受信処理部７０６から受け取った通信フレームに対して、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａに基づいてＳＧＷ７を透過してもよいフレームであるかを判断するものである。ここで、中継判断部７０９は、ＳＧＷ７を透過してもよいと判断した場合には、この通信フレームを送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す。
【００３１】
送信調停処理部７１０は、ＭＡＣアドレス解決部７０８または中継判断部７０９から受け取った通信フレームに対して、ラウンドロビン動作にて調停処理を行った上でフレーム送信処理部７１１に渡すものである。
【００３２】
フレーム送信処理部７１１は、送信調停処理部７１０から受け取った通信フレームに対する送信処理を行うものである。ここで、通信フレームがＭＡＣアドレス解決応答フレームであると判断した場合には、この通信フレームをＬＡＮ側ポート７０３に送信する。また、ＭＡＣアドレス解決応答フレームではないと判断した場合には、この通信フレームをＬＡＮ側ポート７０３およびＷＡＮ側ポート７０４の両方に送信する。
【００３３】
次に、上記のように構成されたＳＧＷ７内の各機能部の動作について説明する。
まず、フレーム受信処理部７０６の動作について図４を参照しながら説明する。
フレーム受信処理部７０６の動作では、図４に示すように、まず、受信調停処理部７０５を経由してＬＡＮ側ポート７０３またはＷＡＮ側ポート７０４から受け取った通信フレームが、管理サーバ８０１からの対象物件機器リスト７０２ａに関する設定情報であるかを判断する（ステップＳＴ４０１）。
このステップＳＴ４０１において、通信フレームが対象物件機器リスト７０２ａに関する設定情報であると判断した場合には、この通信フレームを機器リスト管理部７０７に渡す（ステップＳＴ４０２）。
【００３４】
一方、ステップＳＴ４０１において、通信フレームが対象物件機器リスト７０２ａに関する設定情報ではないと判断した場合には、ＭＡＣアドレス解決要求フレームであるかを判断する（ステップＳＴ４０３）。
このステップＳＴ４０３において、通信フレームがＭＡＣアドレス解決要求フレームであると判断した場合には、この通信フレームをＭＡＣアドレス解決部７０８に渡す（ステップＳＴ４０４）。
【００３５】
一方、ステップＳＴ４０３において、通信フレームがＭＡＣアドレス解決要求フレームではないと判断した場合には、この通信フレームを中継判断部７０９に渡す（ステップＳＴ４０５）。
【００３６】
次に、機器リスト管理部７０７の動作（機器リスト管理ステップ）について図５を参照しながら説明する。なお、機器リスト管理部７０７が扱う対象物件機器リスト７０２ａに関する設定情報には、図６に示すように、処理フラグ（対象物件機器リスト７０２ａへのエントリ設定：０、対象物件機器リスト７０２ａからのエントリ削除：１）、エントリ分類（設備系ＬＡＮの保守対象機器に関するエントリ：０、情報系ＬＡＮの透過許可対象機器に関するエントリ：１）、ＭＡＣアドレスおよびＩＰアドレスの組が含まれている。
【００３７】
機器リスト管理部７０７の動作では、図５に示すように、まず、対象物件機器リスト７０２ａ内に、設定情報のＭＡＣアドレスおよびＩＰアドレスの組と同一のアドレスの組を持つエントリが存在するかを判断する（ステップＳＴ５０１）。
このステップＳＴ５０１において、対象物件機器リスト７０２ａ内に、設定情報のＭＡＣアドレスおよびＩＰアドレスの組と同一のアドレスの組を持つエントリが存在すると判断した場合には、設定情報の処理フラグの値が１であるかを判断する（ステップＳＴ５０２）。
【００３８】
このステップＳＴ５０２において、設定情報の処理フラグの値が１であると判断した場合には、対象物件機器リスト７０２ａ内の該当エントリを削除する（ステップＳＴ５０３）。
一方、ステップＳＴ５０２において、設定情報の処理フラグの値が１ではないと判断した場合には、シーケンスは終了する。
【００３９】
一方、ステップＳＴ５０１において、対象物件機器リスト７０２ａ内に、設定情報のＭＡＣアドレスおよびＩＰアドレスの組と同一の組を持つエントリが存在しないと判断した場合には、設定情報の処理フラグの値が０であるかを判断する（ステップＳＴ５０４）。
【００４０】
このステップＳＴ５０４において、設定情報の処理フラグの値が０であると判断した場合には、設定情報に基づいて、対象物件機器リスト７０２ａに新たなエントリを書き込む（ステップＳＴ５０５）。ここで、対象物件機器リスト７０２ａに書き込まれるエントリには、図７に示すように、番号、エントリ分類（設備系ＬＡＮの保守対象機器に関するエントリ：０、情報系ＬＡＮの透過許可対象機器に関するエントリ：１）、ＭＡＣアドレスおよびＩＰアドレスの組が含まれる。
一方、ステップＳＴ５０４において、設定情報の処理フラグの値が０ではないと判断した場合には、シーケンスは終了する。
【００４１】
次に、ＭＡＣアドレス解決部７０８の動作（ＭＡＣアドレス解決ステップ）について図８を参照しながら説明する。なお、ＭＡＣアドレス解決部７０８が扱うＭＡＣアドレス解決要求フレームには、送信元のＭＡＣアドレスおよびＩＰアドレスと、宛先（解決要求先）のＩＰアドレスとが含まれている。
【００４２】
ＭＡＣアドレス解決部７０８の動作では、まず、ＭＡＣアドレス解決要求フレームから送信元ＭＡＣアドレスを取得する（ステップＳＴ８０１）。
次いで、対象物件機器リスト７０２ａ内から１つのエントリを読み出して（ステップＳＴ８０２）、このエントリのエントリ分類の値が０であるかを判断する（ステップＳＴ８０４）。すなわち、読み出したエントリが、設備系ＬＡＮの保守対象機器に関するエントリであるかを判断する。
【００４３】
このステップＳＴ８０４において、エントリ分類の値が０ではないと判断した場合には、シーケンスはステップＳＴ８０２に戻り、次のエントリの精査に移行する。
一方、ステップＳＴ８０４において、エントリ分類の値が０であると判断した場合には、送信元ＭＡＣアドレスがエントリのＭＡＣアドレスと一致するかを判断する（ステップＳＴ８０５）。
【００４４】
このステップＳＴ８０５において、送信元ＭＡＣアドレスがエントリのＭＡＣアドレスとは一致しないと判断した場合には、シーケンスはステップＳＴ８０２に戻り、次のエントリの精査に移行する。
なお、ステップＳＴ８０３において、対象物件機器リスト７０２ａ内におけるエントリの終端に達したと判断した場合には、ＭＡＣアドレス解決要求フレームを廃棄する（ステップＳＴ８０６）。すなわち、ＭＡＣアドレス解決要求フレームの送信元である設備機器が、保守対象機器（管理センタ８が管理している設備機器）以外の機器であると判断できるため、このＭＡＣアドレス解決要求フレームを廃棄する。
【００４５】
一方、ステップＳＴ８０５において、送信元ＭＡＣアドレスがエントリのＭＡＣアドレスと一致すると判断した場合には、ＭＡＣアドレス解決要求フレームから宛先ＩＰアドレスを取得する（ステップＳＴ８０７）。
次いで、対象物件機器リスト７０２ａ内から１つのエントリを読み出して（ステップＳＴ８０８）、このエントリのエントリ分類の値が０であるかを判断する（ステップＳＴ８１０）。
【００４６】
このステップＳＴ８１０において、エントリ分類の値が０ではないと判断した場合には、シーケンスはステップＳＴ８０８に戻り、次のエントリの精査に移行する。
一方、ステップＳＴ８１０において、エントリ分類の値が０であると判断した場合には、宛先ＩＰアドレスがエントリのＩＰアドレスと一致するかを判断する（ステップＳＴ８１１）。
【００４７】
このステップＳＴ８１１において、宛先ＩＰアドレスがエントリのＩＰアドレスとは一致しないと判断した場合には、シーケンスはステップＳＴ８０８に戻り、次のエントリの精査に移行する。
なお、ステップＳＴ８０９において、対象物件機器リスト７０２ａ内におけるエントリの終端に達したと判断した場合には、ＭＡＣアドレス解決要求フレームを廃棄する（ステップＳＴ８１２）。すなわち、対象物件機器リスト７０２ａ内に該当ＩＰアドレスが存在しない場合、ＭＡＣアドレス解決応答フレームを作成することができず、また解決応答を行う必要もないため、ＭＡＣアドレス解決要求フレームを廃棄する。
【００４８】
一方、ステップＳＴ８１１において、宛先ＩＰアドレスがエントリのＩＰアドレスと一致すると判断した場合には、ＭＡＣアドレス解決応答フレームを作成して、送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す（ステップＳＴ８１３）。
【００４９】
次に、中継判断部７０９の動作について図９を参照しながら説明する。
中継判断部７０９の動作では、まず、通信フレームから送信元のＭＡＣアドレスおよびＩＰアドレスの組を取得する（ステップＳＴ９０１）。
次いで、対象物件機器リスト７０２ａ内から１つのエントリを読み出して（ステップＳＴ９０２）、このエントリのエントリ分類の値が１であるかを判断する（ステップＳＴ９０４）。すなわち、このエントリが情報系ＬＡＮの透過許可対象機器に関するエントリであるかを判断する。
【００５０】
このステップＳＴ９０４において、エントリ分類の値が１ではないと判断した場合には、シーケンスはステップＳＴ９０２に戻り、次のエントリの精査に移行する。
一方、ステップＳＴ９０４において、エントリ分類の値が１であると判断した場合には、エントリのＭＡＣアドレスおよびＩＰアドレスの組が、送信元のアドレスの組と一致するかを判断する（ステップＳＴ９０５）。
【００５１】
このステップＳＴ９０５において、エントリのＭＡＣアドレスおよびＩＰアドレスの組が、送信元のアドレスの組とは一致しないと判断した場合には、シーケンスはステップＳＴ９０２に戻り、次のエントリの精査に移行する。
なお、ステップＳＴ９０３において、対象物件機器リスト７０２ａ内におけるエントリの終端に達したと判断した場合には、当該通信フレームを廃棄する（ステップＳＴ９０６）。すなわち、通信フレームの送信元機器が、透過許可対象機器以外の機器であると判断できるため、この通信フレームをＳＧＷ７の外部に流出させないように廃棄する。
【００５２】
一方、ステップＳＴ９０５において、エントリのＭＡＣアドレスおよびＩＰアドレスの組が、送信元のアドレスの組と一致すると判断した場合には、通信フレームを送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す（ステップＳＴ９０７）。
【００５３】
次に、フレーム送信処理部７１１の動作（通知ステップ）について図１０を参照しながら説明する。
フレーム送信処理部７１１の動作では、まず、通信フレームがＭＡＣアドレス解決応答フレームであるかを判断する（ステップＳＴ１００１）。
このステップＳＴ１００１において、通信フレームがＭＡＣアドレス解決応答フレームであると判断した場合には、この通信フレームをＬＡＮ側ポート７０３に送信する（ステップＳＴ１００２）。
一方、ステップＳＴ１００１において、通信フレームがＭＡＣアドレス解決応答フレームではないと判断した場合には、この通信フレームをＬＡＮ側ポート７０３およびＷＡＮ側ポート７０４に送信する（ステップＳＴ１００３）。
【００５４】
以上のように、この実施の形態１によれば、対象物件機器リスト７０２ａに基づいて、保守対象機器（管理センタ８が管理している設備機器）以外の機器が情報系・設備系共有ＬＡＮ１に接続された場合に、他の設備機器との通信が確立できないように構成したので、保守会社が管理する設備機器以外の機器が設備系ＬＡＮに接続されても、設備系ＬＡＮが情報系ＬＡＮのサービスを阻害する要因を排除することができる。また、設備系ＬＡＮにより構築される検疫システムの保守性を向上することができる。また、偽装コントローラが情報系・設備系共有ＬＡＮ１に設置されても、ＳＧＷ７を越えて情報系・設備系共有ＬＡＮ１内の機密情報を外部に通知することができず、情報系ＬＡＮの保護に繋がる。
【００５５】
また、施工面で導入の容易な方式を可能とする。すなわち、設備系ＬＡＮの無いビルに後からＢＡＳを構築することを容易とすることから、アドオン性の高いＢＡＳを構築できる。さらに、コスト面で導入の容易な方式を可能とする。すなわち、設備系ＬＡＮ施工時のコスト（新設ビルの施工コスト、設備系ＬＡＮの無い既設ビルにおいてＢＡＳを構築する際の施行コスト）を削減することができる。
【００５６】
また、図３に示すＳＧＷ７の現地設定入出力部７０１において、現地毎の設定をもネットワーク経由で可能とする方式も考えられる。その際、現地設定入出力部７０１の一例として、設定画面をＷｅｂ画面などで提供することが考えられる。
【００５７】
実施の形態２．
実施の形態１では、ＳＧＷ７自身が、ＭＡＣアドレスの解決要求先である設備機器に代理して、解析応答を行う場合について示した。それに対して、実施の形態２では、ＳＧＷ７がＭＡＣアドレス解決要求フレームの送信元を精査した後、解決要求先である設備機器に対してＭＡＣアドレスの解決応答を行うよう指示し、設備機器に、解決応答を行うエージェント機能を搭載する場合について示す。なお、ＳＧＷ７の内部構成は、図３に示す実施の形態１に係るＳＧＷ７と同様である。
【００５８】
この場合、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は以下のように動作する。
まず、図１１の矢印Ａに示すように、情報系・設備系共有ＬＡＮ１上の任意の設備機器（図１１では監視端末３）がＭＡＣアドレス解決要求フレームを発報する。
【００５９】
次いで、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの送信元ＭＡＣアドレスを精査する。そして、送信元ＭＡＣアドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスではない場合には、このＭＡＣアドレス解決要求フレームを廃棄する。
【００６０】
一方、送信元ＭＡＣアドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスである場合には、矢印Ｂに示すように、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの宛先ＩＰアドレスと同一のＩＰアドレスを有する設備機器（図１１ではローカルコントローラ４）内のエージェントに対して、ＭＡＣアドレス解決要求に応答するよう指示する。
【００６１】
次いで、ＳＧＷ７から指示を受けた設備機器内のエージェントは、ＭＡＣアドレスの解決応答を行う。そして、矢印Ｃに示すように、ＭＡＣアドレス解決要求フレームの送信元である設備機器にＭＡＣアドレス解決応答フレームを通知する。
次いで、矢印Ｄに示すように、送信元である設備機器は、ＭＡＣアドレスが解決された設備機器（ローカルコントローラ４）との間で通常の通信を開始する。
【００６２】
以上のように、この実施の形態２によれば、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は、ＭＡＣアドレスの解決応答に代えて、解決要求先である設備機器にＭＡＣアドレスの解決応答を行うよう指示し、指示された設備機器は、解決応答を行って解決要求元である設備機器に通知するように構成したので、実施の形態１と同様に、保守会社の管理センタ８が管理している機器でなければ他の設備機器と通信が確立できないため、保守性が向上し、情報系ＬＡＮの保護も図ることができる。
【００６３】
実施の形態３．
実施の形態１，２では、不正な機器がＬＡＮ１に接続されてＭＡＣアドレス解決要求フレームが発報された場合に、このフレームを廃棄する場合について示した。それに対して、実施の形態３では、不正な機器を情報系・設備系共有ＬＡＮ１とは異なるおとりＬＡＮ１１に誘導する場合について示す。なお、ＳＧＷ７の内部構成は、図３に示す実施の形態１に係るＳＧＷ７と同様である。
【００６４】
この場合、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は以下のように動作する。なお、ＳＧＷ７が有する対象物件機器リスト７０２ａには、予め、おとりＬＡＮ１１に接続されたおとりＰＣ（おとり機器）１１０１のＭＡＣアドレスおよびＩＰアドレスの組が設定されている。
まず、図１２の矢印Ａに示すように、情報系・設備系共有ＬＡＮ１に接続された不正な機器（図１２では偽装コントローラ）がＭＡＣアドレス解決要求フレームを発報する。
【００６５】
次いで、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの送信元ＭＡＣアドレスを精査する。ここで、この送信元ＭＡＣアドレスは、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスではないため、矢印Ｂに示すように、おとりＰＣ１１０１のＭＡＣアドレスを解決応答として返す。
これにより、矢印Ｃに示すように、偽装コントローラは、おとりＰＣ１１０１との間で通信を開始する。
【００６６】
以上のように、この実施の形態３によれば、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は、対象物件機器リスト７０２ａ内の設備系ＬＡＮリストに、解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在しない場合に、おとりＰＣ１１０１のＭＡＣアドレスを解決応答とするように構成したので、実施の形態１と同様の保守性の向上・情報系ＬＡＮの保護に加えて、不正と疑わしい機器からの通信をおとりＬＡＮ１１に引き込むことができる。これにより、不正な機器かどうかを詳細に調査することや、不正者の挙動の解析などが可能になる。
【００６７】
実施の形態４．
実施の形態１では、ＳＧＷ７が外部に設けられた管理サーバ８０１からの設定情報に基づいて対象物件機器リスト７０２ａを設定する場合について示した。それに対して、実施の形態４では、検疫システムの保守作業員や対象物件の管理者が、管理端末１０を経由して、対象物件機器リスト７０２ａに関する設定情報を現地にて設定する場合について示す。なお、対象物件機器リスト７０２ａに関する設定情報が現地にて設定可能であることは、実施の形態１のみならず、他の全ての実施の形態に対しても同様であるとする。
【００６８】
この場合、管理センタ８から独立して対象物件機器リスト７０２ａが更新されるため、保守会社の管理センタ８が管理している設備機器以外の機器も他の設備機器と通信が確立できるという効果が得られる。一方、その弊害として、対象物件機器リスト７０２ａに関する設定情報を現地にて設定できる人員を限定する必要がある。限定する方法の一例としては、ＳＧＷ７の対象物件機器リスト７０２ａを更新するためのパスワードを設ける方法などが考えられる。
また、この実施の形態４によれば、ＳＧＷ７を運用する際に管理センタ８との接続が不要になるため、外部ネットワークと独立したビルであっても情報系ＬＡＮと設備系ＬＡＮとを共有することが可能になるという効果が得られる。
【００６９】
なお、本願発明はその発明の範囲内において、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
【符号の説明】
【００７０】
１ 情報系・設備系共有ＬＡＮ、２ 情報系ＰＣ、３ 監視端末、４ ローカルコントローラ、５ フィールドバス、６ 計装機器、７ ＳＧＷ（ゲートウェイ装置）、８ 管理センタ、９ 遠隔管理網、１０ 管理端末、１１ おとりＬＡＮ、７０１ 現地設定入出力部、７０２ 対象物件機器リスト格納部、７０２ａ 対象物件機器リスト、７０３ ＬＡＮ側ポート、７０４ ＷＡＮ側ポート、７０５ 受信調停処理部、７０６ フレーム受信処理部、７０７ 機器リスト管理部、７０８ ＭＡＣアドレス解決部、７０９ 中継判断部、７１０ 送信調停処理部、７１１ フレーム送信処理部（通知部）、８０１ 管理サーバ、８０１ａ 物件別機器リスト、１１０１ おとりＰＣ（おとり機器）。
【技術分野】
【０００１】
この発明は、ビル管理システム（Ｂｕｉｌｄｉｎｇ Ａｕｔｏｍａｔｉｏｎ Ｓｙｓｔｅｍ：ＢＡＳ）を実現する設備系ＬＡＮを情報系ＬＡＮと共有した検疫システム、ゲートウェイ装置、設備機器および設備系ＬＡＮ構築方法に関するものである。
【背景技術】
【０００２】
ＢＡＳを実現する設備系ＬＡＮは、各種設備機器を接続する基幹ＬＡＮと、各種計装機器などを接続するフィールドバスとから構成される。近年の基幹ＬＡＮはオープンな通信規格ＢＡＣｎｅｔ／ＩＰが主流であり、この規格はＥｔｈｅｒｎｅｔ（登録商標／以下記載を省略する）上のＩＰ通信を元とする規格である。
【０００３】
設備系ＬＡＮの工事費用は、ビル物件が小規模であるほど費用対効果が割高になる。このことが、小規模ビルへのＢＡＳの普及を阻害する一因となっている。他方、情報系ＬＡＮは、社員ＰＣを繋ぐためにすべてのビルで確実に導入される。また、情報系ＬＡＮはＥｔｈｅｒｎｅｔにより構築される。よって、設備系ＬＡＮの基幹ＬＡＮ部分を情報系ＬＡＮと共有できれば、設備系ＬＡＮの施工コストを削減することが可能である。
【０００４】
情報系ＬＡＮを設備系ＬＡＮと共有する従来技術の１つとして、図１３に示すように、ＶＬＡＮスイッチとホワイトリストとを併用した通信制御装置１００による解決が考えられる（例えば非特許文献１参照）。すなわち、情報系ＬＡＮと設備系ＬＡＮとをＶＬＡＮスイッチによって論理的に分離すると共に、保守会社（管理センタ１０１）で管理している設備機器（監視端末１０２やローカルコントローラ１０３など）をホワイトリストに登録する。これにより、設備系ＬＡＮに不正な機器が接続された場合でも、ホワイトリストに登録されていない当該機器は隔離され、情報系ＬＡＮ（情報系ＰＣ１０３）への脅威を防ぐことが可能になる。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】是友春樹，“ＶＰＮ／ＶＬＡＮ教科書”、アスキー出版局，（Ｓｅｐ １９９９）．
【発明の概要】
【発明が解決しようとする課題】
【０００６】
非特許文献１に開示された従来技術では、情報系ＬＡＮと設備系ＬＡＮとを共有するために、ＶＬＡＮスイッチを用いている。しかしながら、既存の情報系ＬＡＮにＶＬＡＮスイッチを導入することはネットワーク機器の設定を変えることとなり、作業が煩雑になるという課題がある。
【０００７】
また、情報系ＬＡＮと設備系ＬＡＮとを共有するためには、設備系ＬＡＮが情報系ＬＡＮのサービスを阻害しないことが求められる。この阻害要因の一例としては、第一に、保守会社で管理している設備機器以外の機器が勝手に接続されるという課題がある。これにより、保守会社が維持するＢＡＳの品質が保てなくなったり、悪意のある第三者が設備系ＬＡＮを経由して情報系ＬＡＮに接続するための足掛かりを与えるおそれがある。また、第二に、設備機器に成りすました第三者から情報系ＬＡＮを保護できないという課題もある。
【０００８】
この発明は、上記のような課題を解決するためになされたもので、既存の情報系ＬＡＮに対しても容易に導入可能であり、かつ、保守会社等が管理している設備機器以外の機器が設備系ＬＡＮに接続されても情報系ＬＡＮへの影響を防ぐことができる検疫システム、ゲートウェイ装置、設備機器および設備系ＬＡＮ構築方法を提供することを目的としている。
【課題を解決するための手段】
【０００９】
この発明に係る検疫システムは、所定物件内のＬＡＮに接続された設備機器と、設備機器の検疫を行うゲートウェイ装置とを備え、ＬＡＮは、情報系ＬＡＮおよび設備系ＬＡＮを共有したものであり、設備機器は、ＬＡＮに接続された他の設備機器から発報されたＭＡＣアドレスの解決要求には応じず、ゲートウェイ装置は、ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納部と、ＭＡＣアドレスの解決要求に対して、リスト格納部に格納されたリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部と、ＭＡＣアドレス解決部により解決応答がなされた場合に、解決要求元の設備機器に当該解決応答を通知する通知部とを備えたものである。
【発明の効果】
【００１０】
この発明によれば、上記のように構成したので、既存の情報系ＬＡＮに対しても容易に導入可能であり、かつ、保守会社等が管理している設備機器以外の機器が設備系ＬＡＮに接続されても情報系ＬＡＮへの影響を防ぐことができる。また、設備系ＬＡＮにより構築されるＢＡＳの保守性を向上することができる。さらに、設備系ＬＡＮ施工時のコストを削減することができる。
【図面の簡単な説明】
【００１１】
【図１】この発明の実施の形態１に係る検疫システムの構成を示す図である。
【図２】この発明の実施の形態１に係る検疫システムの動作を示す図である。
【図３】この発明の実施の形態１に係るＳＧＷの内部構成を示す図である。
【図４】この発明の実施の形態１におけるフレーム受信処理部の動作を示すフローチャートである。
【図５】この発明の実施の形態１における機器リスト管理部の動作を示すフローチャートである。
【図６】この発明の実施の形態１における設定情報の内訳を示す図である。
【図７】この発明の実施の形態１における対象物件機器リストのエントリの内訳を示す図である。
【図８】この発明の実施の形態１におけるＭＡＣアドレス解決部の動作を示すフローチャートである。
【図９】この発明の実施の形態１における中継判断部の動作を示すフローチャートである。
【図１０】この発明の実施の形態１におけるフレーム送信処理部の動作を示すフローチャートである。
【図１１】この発明の実施の形態２に係る検疫システムの動作を示す図である。
【図１２】この発明の実施の形態３に係る検疫システムの動作を示す図である。
【図１３】従来の検疫システムの構成を示す図である。
【発明を実施するための形態】
【００１２】
以下、この発明の実施の形態について図面を参照しながら詳細に説明する。
実施の形態１．
図１はこの発明の実施の形態１に係る検疫システムの構成を示す図である。
検疫システムのビル（対象物件）側には、図１に示すように、情報系・設備系（基幹）共有ＬＡＮ１が設けられている。情報系・設備系共有ＬＡＮ１は、このビル内の社員ＰＣ（情報系ＰＣ２）を繋ぐための情報系ＬＡＮと、ＢＡＳを実現するための設備系ＬＡＮの基幹ＬＡＮ部分とを共有したものである。そして、この情報系・設備系共有ＬＡＮ１は、情報系ＬＡＮとして情報系ＰＣ２と接続されている。また、設備系ＬＡＮの基幹ＬＡＮ部分として、ビル内においてＢＡＳを監視する監視端末３や、フィールドバス５を介して接続された計装機器６を管理するローカルコントローラ４などの設備機器と接続されている。
【００１３】
ここで、悪意を持つ不正な機器やユーザは、情報系・設備系共有ＬＡＮ１と接続し、このＬＡＮ１上の機器の接続状態を把握するため、ＭＡＣアドレス解決要求フレームを大量に発報する。こうした攻撃に対処するため、監視端末３やローカルコントローラ４などの設備機器は、ＭＡＣアドレス解決要求に応答しないように構成されている。また、情報系ＰＣ２は、ウイルス対策ソフトを搭載した一般的なＰＣを想定している。ウイルス対策ソフトは通常、ＭＡＣアドレス解決要求に応答しないように構成されている。ただし、本発明を実施する際、情報系ＰＣ２にＭＡＣアドレス解決要求に応答しないウイルス対策ソフトを導入することは必須ではない。
なお、本方式に述べるＭＡＣアドレス解決通信は、ＩＰｖ４であればＡＲＰ通信に対応し、ＩＰｖ６であればＩＣＭＰｖ６通信の近隣要請（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ）および近隣通知（Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ）に対応する。
【００１４】
また、情報系・設備系共有ＬＡＮ１と外部ネットワーク（遠隔管理網９）との接続点には、セキュリティ機能を有するゲートウェイ装置（ＳＧＷ：セキュアゲートウェイ）７が設けられている。ＳＧＷ７は、保守会社がビルの管理者と遠隔管理サービスを締結した後にビル内に設置する機器であり、ＩＰ通信に先立つＭＡＣアドレス解決通信を制御することによって、情報系・設備系共有ＬＡＮ１に接続された設備機器の検疫を実現するものである。このＳＧＷ７の詳細については後述する。
【００１５】
一方、検疫システムのセンタ（保守会社）側には、管理センタ８が設けられている。管理センタ８は、遠隔管理網９を介してＳＧＷ７と接続されるものであり、管理サーバ８０１を有している。管理サーバ８０１は、物件毎に監視端末３およびローカルコントローラ４を管理するための物件別機器リスト８０１ａを有している。そして、管理サーバ８０１は、この物件別機器リスト８０１ａに基づいて、ＳＧＷ７に対して、後述する対象物件機器リスト７０２ａに関する設定情報を提供する。
【００１６】
次に、ＳＧＷ７の概要について説明する。
ＳＧＷ７は、図２に示すように、対象物件機器リスト７０２ａを有している。この対象物件機器リスト７０２ａには、情報系・設備系共有ＬＡＮ１に接続された所定の設備機器（保守対象機器）のＭＡＣアドレスおよびＩＰアドレスの組を示すリスト（設備系ＬＡＮリスト）と、情報系・設備系共有ＬＡＮ１に接続された情報系ＰＣ２のうちＳＧＷ７の透過を許可する情報系ＰＣ２（透過許可対象機器）のＭＡＣアドレスおよびＩＰアドレスの組を示すリスト（情報系ＬＡＮリスト）とが含まれている。
設備系ＬＡＮリストは、管理サーバ８０１から提供された対象物件機器リスト７０２ａに関する設定情報に基づいて設定・更新を行う。他方、情報系ＬＡＮリストは、保守会社が関知するものではないため、物件毎に現地にて設定・更新を行う。なお、情報系ＰＣ２毎に設定を行うことは煩雑であるため、通常は情報系ＰＣ２が情報系ＬＡＮからインターネットに接続するためのＷｅｂアクセス用のＰｒｏｘｙサーバなどの設定を行う。
【００１７】
ＳＧＷ７は、この対象物件機器リスト７０２ａを用いて情報系・設備系共有ＬＡＮ１に接続された機器のアドレスを確認することによって、不正な機器が外部ネットワークと通信することを防止する。そのため、情報系ＰＣ２のウイルス対策ソフトがＭＡＣアドレスの解決要求に応答してしまう場合や対策ソフトを導入していない場合など、万が一情報系ＰＣ２が不正な機器などに検出された場合であっても、検出したＭＡＣアドレスが外部に通知され流出することを防ぐことできる。
【００１８】
ここで、ＩＰｖ６ではＭＡＣアドレスを元にグローバルアドレスが生成される場合が一般的である。そのため、ＭＡＣアドレスの流出を防ぐことはセキュリティ上、重要である。
また、不正な機器の遠隔管理網９との通信を阻止する機能は、情報系・設備系共有ＬＡＮ１内から機密情報が漏えいすることを防ぐ効果をも有している。
【００１９】
そして、ＳＧＷ７は、プロミスキャス動作を行い（情報系・設備系共有ＬＡＮ１上の全ての通信を受信し）、ＭＡＣアドレスの解決に関与して以下のように動作する。
まず、図２の矢印Ａに示すように、情報系・設備系共有ＬＡＮ１上の任意の設備機器（図２では監視端末３）がＭＡＣアドレス解決要求フレームを発報する。なお、ＭＡＣアドレス解決要求フレームには、送信元のＭＡＣアドレスおよびＩＰアドレスと、宛先（解決要求先）のＩＰアドレスとが含まれている。
【００２０】
次いで、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの送信元ＭＡＣアドレスを精査する。そして、送信元アドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレス（管理センタ８が管理している設備機器のＭＡＣアドレス）ではない場合、このＭＡＣアドレス解決要求フレームを廃棄する。
【００２１】
一方、送信元ＭＡＣアドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスである場合、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの宛先である設備機器に代理して、対象物件機器リスト７０２ａの情報を用いてＭＡＣアドレスの解決応答を行う。そして、矢印Ｂに示すように、ＭＡＣアドレス解決要求フレームの送信元である設備機器にＭＡＣアドレス解決応答フレームを通知する。
次いで、矢印Ｃに示すように、送信元である設備機器は、ＭＡＣアドレスが解決された設備機器（図２ではローカルコントローラ４）との間で通常の通信を開始する。
【００２２】
次に、ＳＧＷ７の内部構成について図３を参照しながら説明する。
ＳＧＷ７は、図３に示すように、現地設定入出力部７０１、対象物件機器リスト格納部７０２、ＬＡＮ側ポート７０３、ＷＡＮ側ポート７０４、受信調停処理部７０５、フレーム受信処理部７０６、機器リスト管理部７０７、ＭＡＣアドレス解決部７０８、中継判断部７０９、送信調停処理部７１０およびフレーム送信処理部（通知部）７１１から構成されている。
【００２３】
現地設定入出力部７０１は、管理端末１０から対象物件機器リスト７０２ａに関する設定情報を受け取り、機器リスト管理部７０７に渡すものである。なお、管理端末１０は、ＳＧＷ７が設置されたビルにおいて、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａのうちＳＧＷ７の透過を許可するエントリを設定するものである。
【００２４】
ＬＡＮ側ポート７０３は、情報系・設備系共有ＬＡＮ１と接続され、情報系ＰＣ２や設備機器との間で通信フレームの送受信を行うものである。そして、ＬＡＮ側ポート７０３は、情報系・設備系共有ＬＡＮ１から受け取った通信フレームを受信調停処理部７０５を経由してフレーム受信処理部７０６に渡す。
【００２５】
ＷＡＮ側ポート７０４は、遠隔管理網９と接続され、管理センタ８やその他の外部機器との間で通信フレームの送受信を行うものである。そして、ＷＡＮ側ポート７０４は、遠隔管理網９から受け取った通信フレームを受信調停処理部７０５を経由してフレーム受信処理部７０６に渡す。
【００２６】
受信調停処理部７０５は、ＬＡＮ側ポート７０３またはＷＡＮ側ポート７０４から受け取った通信フレームに対して、ラウンドロビン動作にて調停処理を行った上でフレーム受信処理部７０６に渡すものである。
【００２７】
フレーム受信処理部７０６は、受信調停処理部７０５から受け取った通信フレームを解釈するものである。ここで、フレーム受信処理部７０６は、通信フレームが管理サーバ８０１からの対象物件機器リスト７０２ａに関する設定情報であると判断した場合には、この通信フレームを機器リスト管理部７０７に渡す。また、ＭＡＣアドレス解決要求フレームであると判断した場合には、この通信フレームをＭＡＣアドレス解決部７０８に渡す。また、それ以外であると判断した場合には、この通信フレームを中継判断部７０９に渡す。
【００２８】
機器リスト管理部７０７は、現地設定入出力部７０１またはフレーム受信処理部７０６から受け取った対象物件機器リスト７０２ａに関する設定情報に基づいて、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａを更新するものである。
【００２９】
ＭＡＣアドレス解決部７０８は、フレーム受信処理部７０６から受け取った通信フレーム（ＭＡＣアドレス解決要求フレーム）に対して、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａに基づいて応答するかを判断した上で、解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うものである。ここで、ＭＡＣアドレス解決部７０８は、ＭＡＣアドレス解決応答フレームを作成した場合には、送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す。
【００３０】
中継判断部７０９は、フレーム受信処理部７０６から受け取った通信フレームに対して、対象物件機器リスト格納部７０２に格納された対象物件機器リスト７０２ａに基づいてＳＧＷ７を透過してもよいフレームであるかを判断するものである。ここで、中継判断部７０９は、ＳＧＷ７を透過してもよいと判断した場合には、この通信フレームを送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す。
【００３１】
送信調停処理部７１０は、ＭＡＣアドレス解決部７０８または中継判断部７０９から受け取った通信フレームに対して、ラウンドロビン動作にて調停処理を行った上でフレーム送信処理部７１１に渡すものである。
【００３２】
フレーム送信処理部７１１は、送信調停処理部７１０から受け取った通信フレームに対する送信処理を行うものである。ここで、通信フレームがＭＡＣアドレス解決応答フレームであると判断した場合には、この通信フレームをＬＡＮ側ポート７０３に送信する。また、ＭＡＣアドレス解決応答フレームではないと判断した場合には、この通信フレームをＬＡＮ側ポート７０３およびＷＡＮ側ポート７０４の両方に送信する。
【００３３】
次に、上記のように構成されたＳＧＷ７内の各機能部の動作について説明する。
まず、フレーム受信処理部７０６の動作について図４を参照しながら説明する。
フレーム受信処理部７０６の動作では、図４に示すように、まず、受信調停処理部７０５を経由してＬＡＮ側ポート７０３またはＷＡＮ側ポート７０４から受け取った通信フレームが、管理サーバ８０１からの対象物件機器リスト７０２ａに関する設定情報であるかを判断する（ステップＳＴ４０１）。
このステップＳＴ４０１において、通信フレームが対象物件機器リスト７０２ａに関する設定情報であると判断した場合には、この通信フレームを機器リスト管理部７０７に渡す（ステップＳＴ４０２）。
【００３４】
一方、ステップＳＴ４０１において、通信フレームが対象物件機器リスト７０２ａに関する設定情報ではないと判断した場合には、ＭＡＣアドレス解決要求フレームであるかを判断する（ステップＳＴ４０３）。
このステップＳＴ４０３において、通信フレームがＭＡＣアドレス解決要求フレームであると判断した場合には、この通信フレームをＭＡＣアドレス解決部７０８に渡す（ステップＳＴ４０４）。
【００３５】
一方、ステップＳＴ４０３において、通信フレームがＭＡＣアドレス解決要求フレームではないと判断した場合には、この通信フレームを中継判断部７０９に渡す（ステップＳＴ４０５）。
【００３６】
次に、機器リスト管理部７０７の動作（機器リスト管理ステップ）について図５を参照しながら説明する。なお、機器リスト管理部７０７が扱う対象物件機器リスト７０２ａに関する設定情報には、図６に示すように、処理フラグ（対象物件機器リスト７０２ａへのエントリ設定：０、対象物件機器リスト７０２ａからのエントリ削除：１）、エントリ分類（設備系ＬＡＮの保守対象機器に関するエントリ：０、情報系ＬＡＮの透過許可対象機器に関するエントリ：１）、ＭＡＣアドレスおよびＩＰアドレスの組が含まれている。
【００３７】
機器リスト管理部７０７の動作では、図５に示すように、まず、対象物件機器リスト７０２ａ内に、設定情報のＭＡＣアドレスおよびＩＰアドレスの組と同一のアドレスの組を持つエントリが存在するかを判断する（ステップＳＴ５０１）。
このステップＳＴ５０１において、対象物件機器リスト７０２ａ内に、設定情報のＭＡＣアドレスおよびＩＰアドレスの組と同一のアドレスの組を持つエントリが存在すると判断した場合には、設定情報の処理フラグの値が１であるかを判断する（ステップＳＴ５０２）。
【００３８】
このステップＳＴ５０２において、設定情報の処理フラグの値が１であると判断した場合には、対象物件機器リスト７０２ａ内の該当エントリを削除する（ステップＳＴ５０３）。
一方、ステップＳＴ５０２において、設定情報の処理フラグの値が１ではないと判断した場合には、シーケンスは終了する。
【００３９】
一方、ステップＳＴ５０１において、対象物件機器リスト７０２ａ内に、設定情報のＭＡＣアドレスおよびＩＰアドレスの組と同一の組を持つエントリが存在しないと判断した場合には、設定情報の処理フラグの値が０であるかを判断する（ステップＳＴ５０４）。
【００４０】
このステップＳＴ５０４において、設定情報の処理フラグの値が０であると判断した場合には、設定情報に基づいて、対象物件機器リスト７０２ａに新たなエントリを書き込む（ステップＳＴ５０５）。ここで、対象物件機器リスト７０２ａに書き込まれるエントリには、図７に示すように、番号、エントリ分類（設備系ＬＡＮの保守対象機器に関するエントリ：０、情報系ＬＡＮの透過許可対象機器に関するエントリ：１）、ＭＡＣアドレスおよびＩＰアドレスの組が含まれる。
一方、ステップＳＴ５０４において、設定情報の処理フラグの値が０ではないと判断した場合には、シーケンスは終了する。
【００４１】
次に、ＭＡＣアドレス解決部７０８の動作（ＭＡＣアドレス解決ステップ）について図８を参照しながら説明する。なお、ＭＡＣアドレス解決部７０８が扱うＭＡＣアドレス解決要求フレームには、送信元のＭＡＣアドレスおよびＩＰアドレスと、宛先（解決要求先）のＩＰアドレスとが含まれている。
【００４２】
ＭＡＣアドレス解決部７０８の動作では、まず、ＭＡＣアドレス解決要求フレームから送信元ＭＡＣアドレスを取得する（ステップＳＴ８０１）。
次いで、対象物件機器リスト７０２ａ内から１つのエントリを読み出して（ステップＳＴ８０２）、このエントリのエントリ分類の値が０であるかを判断する（ステップＳＴ８０４）。すなわち、読み出したエントリが、設備系ＬＡＮの保守対象機器に関するエントリであるかを判断する。
【００４３】
このステップＳＴ８０４において、エントリ分類の値が０ではないと判断した場合には、シーケンスはステップＳＴ８０２に戻り、次のエントリの精査に移行する。
一方、ステップＳＴ８０４において、エントリ分類の値が０であると判断した場合には、送信元ＭＡＣアドレスがエントリのＭＡＣアドレスと一致するかを判断する（ステップＳＴ８０５）。
【００４４】
このステップＳＴ８０５において、送信元ＭＡＣアドレスがエントリのＭＡＣアドレスとは一致しないと判断した場合には、シーケンスはステップＳＴ８０２に戻り、次のエントリの精査に移行する。
なお、ステップＳＴ８０３において、対象物件機器リスト７０２ａ内におけるエントリの終端に達したと判断した場合には、ＭＡＣアドレス解決要求フレームを廃棄する（ステップＳＴ８０６）。すなわち、ＭＡＣアドレス解決要求フレームの送信元である設備機器が、保守対象機器（管理センタ８が管理している設備機器）以外の機器であると判断できるため、このＭＡＣアドレス解決要求フレームを廃棄する。
【００４５】
一方、ステップＳＴ８０５において、送信元ＭＡＣアドレスがエントリのＭＡＣアドレスと一致すると判断した場合には、ＭＡＣアドレス解決要求フレームから宛先ＩＰアドレスを取得する（ステップＳＴ８０７）。
次いで、対象物件機器リスト７０２ａ内から１つのエントリを読み出して（ステップＳＴ８０８）、このエントリのエントリ分類の値が０であるかを判断する（ステップＳＴ８１０）。
【００４６】
このステップＳＴ８１０において、エントリ分類の値が０ではないと判断した場合には、シーケンスはステップＳＴ８０８に戻り、次のエントリの精査に移行する。
一方、ステップＳＴ８１０において、エントリ分類の値が０であると判断した場合には、宛先ＩＰアドレスがエントリのＩＰアドレスと一致するかを判断する（ステップＳＴ８１１）。
【００４７】
このステップＳＴ８１１において、宛先ＩＰアドレスがエントリのＩＰアドレスとは一致しないと判断した場合には、シーケンスはステップＳＴ８０８に戻り、次のエントリの精査に移行する。
なお、ステップＳＴ８０９において、対象物件機器リスト７０２ａ内におけるエントリの終端に達したと判断した場合には、ＭＡＣアドレス解決要求フレームを廃棄する（ステップＳＴ８１２）。すなわち、対象物件機器リスト７０２ａ内に該当ＩＰアドレスが存在しない場合、ＭＡＣアドレス解決応答フレームを作成することができず、また解決応答を行う必要もないため、ＭＡＣアドレス解決要求フレームを廃棄する。
【００４８】
一方、ステップＳＴ８１１において、宛先ＩＰアドレスがエントリのＩＰアドレスと一致すると判断した場合には、ＭＡＣアドレス解決応答フレームを作成して、送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す（ステップＳＴ８１３）。
【００４９】
次に、中継判断部７０９の動作について図９を参照しながら説明する。
中継判断部７０９の動作では、まず、通信フレームから送信元のＭＡＣアドレスおよびＩＰアドレスの組を取得する（ステップＳＴ９０１）。
次いで、対象物件機器リスト７０２ａ内から１つのエントリを読み出して（ステップＳＴ９０２）、このエントリのエントリ分類の値が１であるかを判断する（ステップＳＴ９０４）。すなわち、このエントリが情報系ＬＡＮの透過許可対象機器に関するエントリであるかを判断する。
【００５０】
このステップＳＴ９０４において、エントリ分類の値が１ではないと判断した場合には、シーケンスはステップＳＴ９０２に戻り、次のエントリの精査に移行する。
一方、ステップＳＴ９０４において、エントリ分類の値が１であると判断した場合には、エントリのＭＡＣアドレスおよびＩＰアドレスの組が、送信元のアドレスの組と一致するかを判断する（ステップＳＴ９０５）。
【００５１】
このステップＳＴ９０５において、エントリのＭＡＣアドレスおよびＩＰアドレスの組が、送信元のアドレスの組とは一致しないと判断した場合には、シーケンスはステップＳＴ９０２に戻り、次のエントリの精査に移行する。
なお、ステップＳＴ９０３において、対象物件機器リスト７０２ａ内におけるエントリの終端に達したと判断した場合には、当該通信フレームを廃棄する（ステップＳＴ９０６）。すなわち、通信フレームの送信元機器が、透過許可対象機器以外の機器であると判断できるため、この通信フレームをＳＧＷ７の外部に流出させないように廃棄する。
【００５２】
一方、ステップＳＴ９０５において、エントリのＭＡＣアドレスおよびＩＰアドレスの組が、送信元のアドレスの組と一致すると判断した場合には、通信フレームを送信調停処理部７１０を経由してフレーム送信処理部７１１に渡す（ステップＳＴ９０７）。
【００５３】
次に、フレーム送信処理部７１１の動作（通知ステップ）について図１０を参照しながら説明する。
フレーム送信処理部７１１の動作では、まず、通信フレームがＭＡＣアドレス解決応答フレームであるかを判断する（ステップＳＴ１００１）。
このステップＳＴ１００１において、通信フレームがＭＡＣアドレス解決応答フレームであると判断した場合には、この通信フレームをＬＡＮ側ポート７０３に送信する（ステップＳＴ１００２）。
一方、ステップＳＴ１００１において、通信フレームがＭＡＣアドレス解決応答フレームではないと判断した場合には、この通信フレームをＬＡＮ側ポート７０３およびＷＡＮ側ポート７０４に送信する（ステップＳＴ１００３）。
【００５４】
以上のように、この実施の形態１によれば、対象物件機器リスト７０２ａに基づいて、保守対象機器（管理センタ８が管理している設備機器）以外の機器が情報系・設備系共有ＬＡＮ１に接続された場合に、他の設備機器との通信が確立できないように構成したので、保守会社が管理する設備機器以外の機器が設備系ＬＡＮに接続されても、設備系ＬＡＮが情報系ＬＡＮのサービスを阻害する要因を排除することができる。また、設備系ＬＡＮにより構築される検疫システムの保守性を向上することができる。また、偽装コントローラが情報系・設備系共有ＬＡＮ１に設置されても、ＳＧＷ７を越えて情報系・設備系共有ＬＡＮ１内の機密情報を外部に通知することができず、情報系ＬＡＮの保護に繋がる。
【００５５】
また、施工面で導入の容易な方式を可能とする。すなわち、設備系ＬＡＮの無いビルに後からＢＡＳを構築することを容易とすることから、アドオン性の高いＢＡＳを構築できる。さらに、コスト面で導入の容易な方式を可能とする。すなわち、設備系ＬＡＮ施工時のコスト（新設ビルの施工コスト、設備系ＬＡＮの無い既設ビルにおいてＢＡＳを構築する際の施行コスト）を削減することができる。
【００５６】
また、図３に示すＳＧＷ７の現地設定入出力部７０１において、現地毎の設定をもネットワーク経由で可能とする方式も考えられる。その際、現地設定入出力部７０１の一例として、設定画面をＷｅｂ画面などで提供することが考えられる。
【００５７】
実施の形態２．
実施の形態１では、ＳＧＷ７自身が、ＭＡＣアドレスの解決要求先である設備機器に代理して、解析応答を行う場合について示した。それに対して、実施の形態２では、ＳＧＷ７がＭＡＣアドレス解決要求フレームの送信元を精査した後、解決要求先である設備機器に対してＭＡＣアドレスの解決応答を行うよう指示し、設備機器に、解決応答を行うエージェント機能を搭載する場合について示す。なお、ＳＧＷ７の内部構成は、図３に示す実施の形態１に係るＳＧＷ７と同様である。
【００５８】
この場合、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は以下のように動作する。
まず、図１１の矢印Ａに示すように、情報系・設備系共有ＬＡＮ１上の任意の設備機器（図１１では監視端末３）がＭＡＣアドレス解決要求フレームを発報する。
【００５９】
次いで、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの送信元ＭＡＣアドレスを精査する。そして、送信元ＭＡＣアドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスではない場合には、このＭＡＣアドレス解決要求フレームを廃棄する。
【００６０】
一方、送信元ＭＡＣアドレスが、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスである場合には、矢印Ｂに示すように、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの宛先ＩＰアドレスと同一のＩＰアドレスを有する設備機器（図１１ではローカルコントローラ４）内のエージェントに対して、ＭＡＣアドレス解決要求に応答するよう指示する。
【００６１】
次いで、ＳＧＷ７から指示を受けた設備機器内のエージェントは、ＭＡＣアドレスの解決応答を行う。そして、矢印Ｃに示すように、ＭＡＣアドレス解決要求フレームの送信元である設備機器にＭＡＣアドレス解決応答フレームを通知する。
次いで、矢印Ｄに示すように、送信元である設備機器は、ＭＡＣアドレスが解決された設備機器（ローカルコントローラ４）との間で通常の通信を開始する。
【００６２】
以上のように、この実施の形態２によれば、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は、ＭＡＣアドレスの解決応答に代えて、解決要求先である設備機器にＭＡＣアドレスの解決応答を行うよう指示し、指示された設備機器は、解決応答を行って解決要求元である設備機器に通知するように構成したので、実施の形態１と同様に、保守会社の管理センタ８が管理している機器でなければ他の設備機器と通信が確立できないため、保守性が向上し、情報系ＬＡＮの保護も図ることができる。
【００６３】
実施の形態３．
実施の形態１，２では、不正な機器がＬＡＮ１に接続されてＭＡＣアドレス解決要求フレームが発報された場合に、このフレームを廃棄する場合について示した。それに対して、実施の形態３では、不正な機器を情報系・設備系共有ＬＡＮ１とは異なるおとりＬＡＮ１１に誘導する場合について示す。なお、ＳＧＷ７の内部構成は、図３に示す実施の形態１に係るＳＧＷ７と同様である。
【００６４】
この場合、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は以下のように動作する。なお、ＳＧＷ７が有する対象物件機器リスト７０２ａには、予め、おとりＬＡＮ１１に接続されたおとりＰＣ（おとり機器）１１０１のＭＡＣアドレスおよびＩＰアドレスの組が設定されている。
まず、図１２の矢印Ａに示すように、情報系・設備系共有ＬＡＮ１に接続された不正な機器（図１２では偽装コントローラ）がＭＡＣアドレス解決要求フレームを発報する。
【００６５】
次いで、ＳＧＷ７は、ＭＡＣアドレス解決要求フレームの送信元ＭＡＣアドレスを精査する。ここで、この送信元ＭＡＣアドレスは、対象物件機器リスト７０２ａのうち設備系ＬＡＮリストに登録されたＭＡＣアドレスではないため、矢印Ｂに示すように、おとりＰＣ１１０１のＭＡＣアドレスを解決応答として返す。
これにより、矢印Ｃに示すように、偽装コントローラは、おとりＰＣ１１０１との間で通信を開始する。
【００６６】
以上のように、この実施の形態３によれば、ＳＧＷ７（ＭＡＣアドレス解決部７０８）は、対象物件機器リスト７０２ａ内の設備系ＬＡＮリストに、解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在しない場合に、おとりＰＣ１１０１のＭＡＣアドレスを解決応答とするように構成したので、実施の形態１と同様の保守性の向上・情報系ＬＡＮの保護に加えて、不正と疑わしい機器からの通信をおとりＬＡＮ１１に引き込むことができる。これにより、不正な機器かどうかを詳細に調査することや、不正者の挙動の解析などが可能になる。
【００６７】
実施の形態４．
実施の形態１では、ＳＧＷ７が外部に設けられた管理サーバ８０１からの設定情報に基づいて対象物件機器リスト７０２ａを設定する場合について示した。それに対して、実施の形態４では、検疫システムの保守作業員や対象物件の管理者が、管理端末１０を経由して、対象物件機器リスト７０２ａに関する設定情報を現地にて設定する場合について示す。なお、対象物件機器リスト７０２ａに関する設定情報が現地にて設定可能であることは、実施の形態１のみならず、他の全ての実施の形態に対しても同様であるとする。
【００６８】
この場合、管理センタ８から独立して対象物件機器リスト７０２ａが更新されるため、保守会社の管理センタ８が管理している設備機器以外の機器も他の設備機器と通信が確立できるという効果が得られる。一方、その弊害として、対象物件機器リスト７０２ａに関する設定情報を現地にて設定できる人員を限定する必要がある。限定する方法の一例としては、ＳＧＷ７の対象物件機器リスト７０２ａを更新するためのパスワードを設ける方法などが考えられる。
また、この実施の形態４によれば、ＳＧＷ７を運用する際に管理センタ８との接続が不要になるため、外部ネットワークと独立したビルであっても情報系ＬＡＮと設備系ＬＡＮとを共有することが可能になるという効果が得られる。
【００６９】
なお、本願発明はその発明の範囲内において、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
【符号の説明】
【００７０】
１ 情報系・設備系共有ＬＡＮ、２ 情報系ＰＣ、３ 監視端末、４ ローカルコントローラ、５ フィールドバス、６ 計装機器、７ ＳＧＷ（ゲートウェイ装置）、８ 管理センタ、９ 遠隔管理網、１０ 管理端末、１１ おとりＬＡＮ、７０１ 現地設定入出力部、７０２ 対象物件機器リスト格納部、７０２ａ 対象物件機器リスト、７０３ ＬＡＮ側ポート、７０４ ＷＡＮ側ポート、７０５ 受信調停処理部、７０６ フレーム受信処理部、７０７ 機器リスト管理部、７０８ ＭＡＣアドレス解決部、７０９ 中継判断部、７１０ 送信調停処理部、７１１ フレーム送信処理部（通知部）、８０１ 管理サーバ、８０１ａ 物件別機器リスト、１１０１ おとりＰＣ（おとり機器）。
【特許請求の範囲】
【請求項１】
所定物件内のＬＡＮに接続された設備機器と、前記設備機器の検疫を行うゲートウェイ装置とを備えた検疫システムにおいて、
前記ＬＡＮは、情報系ＬＡＮおよび設備系ＬＡＮを共有したものであり、
前記設備機器は、前記ＬＡＮに接続された他の設備機器から発報されたＭＡＣアドレスの解決要求には応答せず、
前記ゲートウェイ装置は、
前記ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納部と、
前記ＭＡＣアドレスの解決要求に対して、前記リスト格納部に格納されたリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部と、
前記ＭＡＣアドレス解決部により解決応答がなされた場合に、前記解決要求元の設備機器に当該解決応答を通知する通知部とを備えた
ことを特徴とする検疫システム。
【請求項２】
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在し、かつ、当該解決要求先のＩＰアドレスと同一のＩＰアドレスを有するエントリが存在する場合に、解決応答を行う
ことを特徴とする請求項１記載の検疫システム。
【請求項３】
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在せず、または、当該解決要求先のＩＰアドレスと同一のＩＰアドレスを有するエントリが存在しない場合に、当該解決要求を示すフレームを廃棄する
ことを特徴とする請求項１または請求項２記載の検疫システム。
【請求項４】
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在し、かつ、当該解決要求先のＩＰアドレスと同一のＩＰアドレスを有するエントリが存在する場合に、解決応答に代えて当該ＩＰアドレスを有する設備機器に解決応答を行うよう指示し、
前記設備機器は、前記ＭＡＣアドレス解決部から解決応答を行うよう指示された場合に、解決応答を行い前記解決要求元の設備機器に通知する
ことを特徴とする請求項１記載の検疫システム。
【請求項５】
おとりＬＡＮと、
前記おとりＬＡＮに接続されたおとり機器とを備え、
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在しない場合に、前記おとり機器のＭＡＣアドレスを解決応答とする
ことを特徴とする請求項１記載の検疫システム。
【請求項６】
前記ゲートウェイ装置は、
外部に設けられた管理センタからの設定情報に基づいて、前記リスト格納部に格納されたリストを更新する機器リスト管理部を備えた
ことを特徴とする請求項１から請求項５のうちのいずれか１項記載の検疫システム。
【請求項７】
前記ゲートウェイ装置は、
前記物件に設けられた管理端末からの設定情報に基づいて、前記リスト格納部に格納されたリストを更新する機器リスト管理部を備えた
ことを特徴とする請求項１から請求項５のうちのいずれか１項記載の検疫システム。
【請求項８】
所定物件内の情報系ＬＡＮおよび設備系ＬＡＮを共有したＬＡＮに接続された設備機器の検疫を行うゲートウェイ装置において、
前記ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納部と、
前記ＬＡＮに接続された設備機器から発報されたＭＡＣアドレスの解決要求に対して、前記リスト格納部に格納されたリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部と、
前記ＭＡＣアドレス解決部により解決応答がなされた場合に、前記解決要求元の設備機器に当該解決応答を通知する通知部と
を備えたことを特徴とするゲートウェイ装置。
【請求項９】
所定物件内の情報系ＬＡＮおよび設備系ＬＡＮを共有したＬＡＮに接続され、ゲートウェイ装置により検疫される設備機器において、
前記設備機器は、前記ＬＡＮに接続された他の設備機器から発報されたＭＡＣアドレスの解決要求には応答しない
ことを特徴とする設備機器。
【請求項１０】
所定物件内の情報系ＬＡＮおよび設備系ＬＡＮを共有したＬＡＮに接続された設備機器と、前記設備機器の検疫を行うゲートウェイ装置とを備えた検疫システムによる設備系ＬＡＮ構築方法において、
前記ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納ステップと、
前記ＬＡＮに接続された設備機器から発報されたＭＡＣアドレスの解決要求に対して、前記リスト格納ステップにおいて格納したリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決ステップと、
前記ＭＡＣアドレス解決ステップにおいて解決応答がなされた場合に、前記解決要求元の設備機器に当該解決応答を通知する通知ステップと
を有することを特徴とする設備系ＬＡＮ構築方法。
【請求項１】
所定物件内のＬＡＮに接続された設備機器と、前記設備機器の検疫を行うゲートウェイ装置とを備えた検疫システムにおいて、
前記ＬＡＮは、情報系ＬＡＮおよび設備系ＬＡＮを共有したものであり、
前記設備機器は、前記ＬＡＮに接続された他の設備機器から発報されたＭＡＣアドレスの解決要求には応答せず、
前記ゲートウェイ装置は、
前記ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納部と、
前記ＭＡＣアドレスの解決要求に対して、前記リスト格納部に格納されたリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部と、
前記ＭＡＣアドレス解決部により解決応答がなされた場合に、前記解決要求元の設備機器に当該解決応答を通知する通知部とを備えた
ことを特徴とする検疫システム。
【請求項２】
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在し、かつ、当該解決要求先のＩＰアドレスと同一のＩＰアドレスを有するエントリが存在する場合に、解決応答を行う
ことを特徴とする請求項１記載の検疫システム。
【請求項３】
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在せず、または、当該解決要求先のＩＰアドレスと同一のＩＰアドレスを有するエントリが存在しない場合に、当該解決要求を示すフレームを廃棄する
ことを特徴とする請求項１または請求項２記載の検疫システム。
【請求項４】
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在し、かつ、当該解決要求先のＩＰアドレスと同一のＩＰアドレスを有するエントリが存在する場合に、解決応答に代えて当該ＩＰアドレスを有する設備機器に解決応答を行うよう指示し、
前記設備機器は、前記ＭＡＣアドレス解決部から解決応答を行うよう指示された場合に、解決応答を行い前記解決要求元の設備機器に通知する
ことを特徴とする請求項１記載の検疫システム。
【請求項５】
おとりＬＡＮと、
前記おとりＬＡＮに接続されたおとり機器とを備え、
前記ＭＡＣアドレス解決部は、前記リスト内に、前記解決要求元のＭＡＣアドレスと同一のＭＡＣアドレスを有するエントリが存在しない場合に、前記おとり機器のＭＡＣアドレスを解決応答とする
ことを特徴とする請求項１記載の検疫システム。
【請求項６】
前記ゲートウェイ装置は、
外部に設けられた管理センタからの設定情報に基づいて、前記リスト格納部に格納されたリストを更新する機器リスト管理部を備えた
ことを特徴とする請求項１から請求項５のうちのいずれか１項記載の検疫システム。
【請求項７】
前記ゲートウェイ装置は、
前記物件に設けられた管理端末からの設定情報に基づいて、前記リスト格納部に格納されたリストを更新する機器リスト管理部を備えた
ことを特徴とする請求項１から請求項５のうちのいずれか１項記載の検疫システム。
【請求項８】
所定物件内の情報系ＬＡＮおよび設備系ＬＡＮを共有したＬＡＮに接続された設備機器の検疫を行うゲートウェイ装置において、
前記ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納部と、
前記ＬＡＮに接続された設備機器から発報されたＭＡＣアドレスの解決要求に対して、前記リスト格納部に格納されたリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決部と、
前記ＭＡＣアドレス解決部により解決応答がなされた場合に、前記解決要求元の設備機器に当該解決応答を通知する通知部と
を備えたことを特徴とするゲートウェイ装置。
【請求項９】
所定物件内の情報系ＬＡＮおよび設備系ＬＡＮを共有したＬＡＮに接続され、ゲートウェイ装置により検疫される設備機器において、
前記設備機器は、前記ＬＡＮに接続された他の設備機器から発報されたＭＡＣアドレスの解決要求には応答しない
ことを特徴とする設備機器。
【請求項１０】
所定物件内の情報系ＬＡＮおよび設備系ＬＡＮを共有したＬＡＮに接続された設備機器と、前記設備機器の検疫を行うゲートウェイ装置とを備えた検疫システムによる設備系ＬＡＮ構築方法において、
前記ＬＡＮに接続された所定の設備機器のＭＡＣアドレスおよびＩＰアドレスを含むリストを格納するリスト格納ステップと、
前記ＬＡＮに接続された設備機器から発報されたＭＡＣアドレスの解決要求に対して、前記リスト格納ステップにおいて格納したリストに基づいて応答するかを判断した上で、当該解決要求先の設備機器に代理してＭＡＣアドレスの解決応答を行うＭＡＣアドレス解決ステップと、
前記ＭＡＣアドレス解決ステップにおいて解決応答がなされた場合に、前記解決要求元の設備機器に当該解決応答を通知する通知ステップと
を有することを特徴とする設備系ＬＡＮ構築方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１３−４６２１４（Ｐ２０１３−４６２１４Ａ）
【公開日】平成２５年３月４日（２０１３．３．４）
【国際特許分類】
【出願番号】特願２０１１−１８２５５３（Ｐ２０１１−１８２５５３）
【出願日】平成２３年８月２４日（２０１１．８．２４）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２５年３月４日（２０１３．３．４）
【国際特許分類】
【出願日】平成２３年８月２４日（２０１１．８．２４）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]