異常事象発生原因特定機能を含む通信システム
【課題】複数の通信装置が自律的にかつ協働して異常事象の発生原因を特定可能にする。
【解決手段】第１の通信装置は、変更処理を施した第１処理後信号及び第１処理後信号に変更処理を施す前の第１処理前信号を、変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存し、前記識別情報の双方を含む第１処理後信号を通信回線に送信する。第２の通信装置は、通信回線を通して受信した第１処理後信号に復元処理を施した第２処理後信号及び第２処理後信号に復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存し、前記識別情報の双方を含む第２処理前信号を第１の通信装置に送信する。第１の通信装置及び第２の通信装置は、異常事象の発生原因が通信回線にあるか、第１の通信装置にあるか、第２の通信装置にあるか、変更処理または復元処理の論理的な再現性異常であるかを特定する。
【解決手段】第１の通信装置は、変更処理を施した第１処理後信号及び第１処理後信号に変更処理を施す前の第１処理前信号を、変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存し、前記識別情報の双方を含む第１処理後信号を通信回線に送信する。第２の通信装置は、通信回線を通して受信した第１処理後信号に復元処理を施した第２処理後信号及び第２処理後信号に復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存し、前記識別情報の双方を含む第２処理前信号を第１の通信装置に送信する。第１の通信装置及び第２の通信装置は、異常事象の発生原因が通信回線にあるか、第１の通信装置にあるか、第２の通信装置にあるか、変更処理または復元処理の論理的な再現性異常であるかを特定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常事象発生原因特定機能を含む通信システムに関する。
【背景技術】
【０００２】
複数のネットワーク装置（例えば、ＶＰＮ（Virtual Private Network）ルータ）がイ
ンターネットなどのネットワークを介して安全な通信を実施するためには、送信側のネットワーク装置は、暗号処理を施した暗号パケットをネットワークの通信回線に送信する。一方、受信側のネットワーク装置は、ネットワークの通信回線を通して受信した暗号パケットに復号処理を施して復号パケットを生成する。
【０００３】
このような複数のネットワーク装置及びネットワークを含む暗号通信システムにおいては、これらネットワーク装置間での暗号パケットの送受信過程で、暗号パケットを正常に復号できない異常事象が発生する場合がある。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
通常、ＶＰＮルータなどのネットワーク装置（通信装置）は通過する送受信対象のパケットを自装置内に保存しないので、ネットワーク運用者は異常事象の発生原因（発生箇所を含む）を早期かつ簡単に特定できない。この結果、一時的に異常事象を放置することになり、この状態で運用を続けていると、異常が顕在化し、システム運用ができなくなることを免れない。
【０００５】
課題は、通信システムにおける複数の通信装置が自律的にかつ協働して異常事象の発生原因を特定可能にする技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、異常事象発生原因特定機能を含む通信システムは、
受信信号に変更処理を施した第１処理後信号及び前記第１処理後信号に前記変更処理を施す前の第１処理前信号を、前記変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存する第１のログ保存手段と、前記識別情報の双方を含む前記第１処理後信号を生成して通信回線に送信させる第１の処理手段とを含む第１の通信装置と；
前記通信回線を通して受信した前記第１処理後信号に前記復元処理を施した第２処理後信号及び前記第２処理後信号に前記復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存する第２のログ保存手段と、前記第２処理後信号を生成するとともに前記識別情報の双方を含む前記第２処理前信号を前記第１の通信装置への通信回線に送信させる第２の処理手段とを含む第２の通信装置とを備え；
前記第２の通信装置の前記第２の処理手段は、
前記受信した第１処理後信号に初回の復元処理を施した前記第２処理後信号の異常復元を検出したときを契機に、
前記第２のログ保存手段と協働して、前記受信した第１処理後信号対応の前記第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の正常復元を検出したときは、異常事象の発生原因が前記第２の通信装置にあることを特定し；
前記第１の通信装置の前記第１の処理手段は、
前記第２の通信装置から前記第１処理後信号対応の前記第２処理前信号を受信したときを契機に、
前記第１のログ保存手段と協働して、前記異常事象の発生原因が、前記通信回線にあるか、前記第１の通信装置にあるか、前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であるかを特定する。
【発明の効果】
【０００７】
開示した通信システムによれば、複数の通信装置は自律的にかつ協働して異常事象の発生原因を特定することができる。
【０００８】
他の課題、特徴及び利点は、図面及び特許請求の範囲とともに取り上げられる際に、以下に記載される発明を実施するための形態を読むことにより明らかになるであろう。
【図面の簡単な説明】
【０００９】
【図１】一実施の形態の暗号通信システムの構成を示すブロック図。
【図２】一実施の形態の暗号通信システムにおける通信装置の構成を示すブロック図。
【図３】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するための図。
【図４】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するためのフローチャート。
【図５】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するための図。
【図６】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するためのフローチャート。
【発明を実施するための形態】
【００１０】
以下、添付図面を参照して、さらに詳細に説明する。図面には好ましい実施形態が示されている。しかし、多くの異なる形態で実施されることが可能であり、本明細書に記載される実施形態に限定されると解釈されてはならない。
【００１１】
［システム構成及び機能］
一実施の形態におけるシステム構成を示す図１を参照すると、異常事象発生原因特定機能を含む暗号通信システムＳＹＳは、平文パケットデータを含む暗号前パケット（原信号）に変更処理として暗号処理を施した暗号後パケットを生成し、暗号文パケットデータを含むこの暗号後パケットを例えばＶＰＮ（Virtual Private Network）であるネットワー
クＮＷの通信回線に送信する第１の通信装置（暗号装置）１０を含む。第１の通信装置１０はルータなどのネットワーク装置である。
【００１２】
この暗号通信システムＳＹＳは、ネットワークＮＷの通信回線を通して受信した暗号後パケット（復号前パケット）に復元処理として復号処理を施した復号後パケットを平文パケットデータを含む原信号として生成する第２の通信装置（復号装置）２０を更に含む。第２の通信装置２０はルータなどのネットワーク装置である。
【００１３】
また、この暗号通信システムＳＹＳは、ネットワーク運用者によって運用され、後に詳述する処理により特定された異常事象の発生原因を収集して対処するためのＳＮＭＰ（簡易ネットワーク管理プロトコル：Simple Network Management Protocol）マネージャとしてのネットワーク管理サーバＳＶを含む。
【００１４】
この暗号通信システムＳＹＳにおいては、第１の通信装置１０及び第２の通信装置２０は、自律的かつ協働して次に示す４つの異常事象の発生原因のいずれかを特定し、ネットワーク管理サーバＳＶに報告（通知）する。
（ａ）異常事象発生原因１：パケットの暗号処理を行う第１の通信装置に一時的または偶発的な異常がある。
（ｂ）異常事象発生原因２：パケットの復号処理を行う第２の通信装置に一時的または偶発的な異常がある。
（ｃ）異常事象発生原因３：第１の通信装置及び第２の通信装置間の通信回線（伝送路）で異常が発生した。
（ｄ）異常事象発生原因４：暗号処理または復号処理に論理的な再現性異常（ロジック異常）がある。
【００１５】
図２に示すように、暗号通信システムＳＹＳにおいては、上記異常事象の発生原因１，２，３，４のいずれかを特定可能にするために、第１の通信装置１０は、パケット受信処理部１１、暗号処理部１２、パケット送信処理部１３、検証処理部１４及び記憶部１５，１６を備える。記憶部１５，１６は、暗号前パケット及び暗号後パケットをログとして保存するログ保存領域をそれぞれ有する。これらの記憶部１５，１６のログ保存領域には、各種識別情報及びパケットデータを含むログ情報が一時的に保存される。このログ情報は暗号前パケット及び暗号後パケットのペイロードデータである。
【００１６】
また、第２の通信装置２０は、パケット受信処理部２１、復号処理部２２、パケット送信処理部２３、検証処理部２４及び記憶部２５，２６を備える。記憶部２５，２６は、復号前パケット及び復号後パケットをログとして保存するログ保存領域をそれぞれ有する。これらの記憶部２５，２６のログ保存領域には、各種識別情報及びパケットデータを含むログ情報が一時的に保存される。このログ情報は復号前パケット及び復号後パケットのペイロードデータである。
【００１７】
なお、第１の通信装置１０の暗号処理部１２及び第２の通信装置２０における復号処理部２２は、共通鍵及び公開鍵を併用する暗号・復号技術を採用可能である。
【００１８】
この暗号通信システムＳＹＳにおいては、暗号装置である第１の通信装置１０と復号装置である第２の通信装置２０との間でネットワーク通信にかかる時間を例えばｐｉｎｇ（Packet Internet Grouper/Groper）で定期的に計測し、ログの保存時間を決定する。また、通信負荷の増大により、予め定めた数のログが保存できない場合は、帯域制御を行って、暗号化パケットフレームの流量を制限する必要がある。
【００１９】
第１の通信装置１０及び第２の通信装置２０における記憶部１５，１６，２５，２６は、各パケットをログとして保存するログ保存領域にリングバッファをそれぞれ使用する。各リングバッファは、最大保存数を超えると、最も古いログ情報を上書きするものとする。通信負荷が増大し、保存時間が満了するよりも前にログ情報が上書きされそうな場合は、帯域制御を実施する。
【００２０】
また、記憶部１５，１６，２５，２６におけるログ保存領域の代替構成として、次のような手法を採ることが可能である。第１の代替構成においては、固定サイズのログファイルを複数保存可能なバッファを設け、各ログファイルにパケットをログとして保存する。保存できるファイル数が最大になった場合は、最も古いファイルを消去する。ファイルを消去する際に、保存時間を確認し、帯域制御の必要性を判断する。
【００２１】
第２の代替構成においては、２つのログファイル０及びログファイル１を実装し、切り替えて使用する。つまり、ログファイル０のパケットのログ保存数が最大になった場合は、ログファイル１に切り替えてログを保存する。また、ログファイル１のログ保存数が最大になった場合は、ログファイル０に切り替えてログ保存を行う。２つのログファイルを切り替える際に、ログ保存時間を確認し、帯域制御の必要性を判断する。
【００２２】
［異常事象発生原因特定処理］
次に、図１及び図２に示す一実施の形態の暗号通信システムＳＹＳにおける動作例について関連図を併せ参照して説明する。
【００２３】
（第２の通信装置における処理）
図１、図３及び図４を参照すると、復号装置である第２の通信装置２０においては、パケット受信処理部２１は、ネットワークＮＷの通信回線を通して暗号後パケットを受信して、復号処理部２２に送出する。また、パケット受信処理部２１は、受信した暗号後パケットを復号前パケットとして記憶部２５のログ保存領域に保存する。この記憶部２５のログ保存領域に保存される復号前パケットのログ情報は、暗号装置識別子（ＩＤ）、復号装置識別子（ＩＤ）、データの順序を示すシーケンス番号、及び復号前データを含む。ここで、暗号装置ＩＤ、復号装置ＩＤ及びシーケンス番号は第１の通信装置１０において付与された識別情報である。
【００２４】
復号処理部２２は、パケット受信処理部２１により受信された暗号後パケットに初回の復号処理を施した後、復号後パケットを記憶部２６のログ保存領域に保存する。この記憶部２６のログ保存領域に保存される復号後パケットのログ情報は、暗号装置ＩＤ、復号装置ＩＤ、シーケンス番号、及び復号後データを含む。
【００２５】
検証処理部２４は、復号処理部２２により復号処理を施された復号後パケットの異常をチェックサムに基づく計算により検出したときを契機に、この復号後パケットのログ情報を記憶部２６のログ保存領域から取得する（図４中の処理Ｓ４１，Ｓ４２）。
【００２６】
検証処理部２４は、取得した復号後パケットのログ情報と一致するログ情報、ここでは暗号装置ＩＤ：１０、復号装置ＩＤ：２０、及びシーケンス番号：０ｘ００１００００１に基づいて、受信した暗号後パケット対応の復号前パケット（厳密には、パケットデータのみ）を記憶部２５から取得し、復号処理部２２に再度の復号（再復号）処理を実行させる（Ｓ４３，Ｓ４４）。
【００２７】
検証処理部２４は、再度の復号処理を施された復号後パケットの正常性をチェックサムに基づく計算により検出したときは、上記異常事象の発生原因２と特定し、復号装置である第２の通信装置２０の異常をパケット送信処理部２３を介してネットワーク管理サーバＳＶに通知する（Ｓ４４，Ｓ４５）。
【００２８】
一方、検証処理部２４は、再度の復号処理を施された復号後パケットの異常（再度の異常発生）を検出したときは、この復号後パケットのログ情報を記憶部２６から取得し、取得したログ情報と一致するログ情報に基づいて、受信した暗号後パケット対応の復号前パケットを記憶部２５から取得して、暗号装置である第１の通信装置１０に送信させる（Ｓ４４，Ｓ４６）。このとき、検証処理部２４が記憶部２５から取得した復号前パケットは、復号処理部２２を通過した後、パケット送信処理部２３から第１の通信装置１０に送信される。
【００２９】
なお、検証処理部２４は、処理Ｓ４１において、初回の復号処理を施された復号後パケットの正常性を検出したときは、この復号後パケットを平文パケットデータを含む原信号としてパケット送信処理部２３から所定の宛先の通信端末に送信させる（Ｓ４７）。
【００３０】
（第１の通信装置における処理）
図１、図５及び図６を参照すると、暗号装置である第１の通信装置１０においては、通常処理として、パケット受信処理部１１が送信元の通信端末からの平文パケットデータを
含む暗号前パケット（原信号）を受信する。暗号処理部１２は、受信された暗号前パケットに変更処理として暗号処理を施した暗号後パケットを生成する。パケット送信処理部１３は、暗号文パケットデータを含むこの暗号後パケットをネットワークＮＷの通信回線に送信する。
【００３１】
また、第１の通信装置１０においては、上記異常事象の発生原因１，２，３，４のいずれかを特定可能にするために、パケット受信処理部１１は暗号前パケットのログ情報を記憶部１５のログ保存領域に保存し、暗号処理部１２は暗号後パケットのログ情報を記憶部１６のログ保存領域に保存する。パケット受信処理部１１及び暗号処理部１２は、暗号前パケットのヘッダ情報に基づいて、ログ情報の暗号装置ＩＤ及び復号装置ＩＤを生成可能である。
【００３２】
第１の通信装置１０におけるパケット受信処理部１１が、ネットワークＮＷの通信回線を通して、第２の通信装置２０から送信された暗号後パケット対応の復号前パケットを受信したときを契機に（図６中の処理Ｓ６１）、検証処理部１４は、次の処理手順によって異常事象の発生原因１，３，４のいずれかを特定する。
【００３３】
パケット受信処理部１１が暗号後パケット対応の復号前パケットを受信したことを復号前パケットにログ情報として付加されている識別情報（暗号装置ＩＤ、復号装置ＩＤ、シーケンス番号）に基づいて検出したとき、暗号処理部１２はこの受信状態を検証処理部１４に通知する。
【００３４】
暗号処理部１２からの通知を受けた検証処理部１４は、受信された復号前パケットのログ情報、ここでは暗号装置ＩＤ：１０、復号装置ＩＤ：２０、及びシーケンス番号：０ｘ００１００００１に基づいて、復号前パケット対応の暗号後パケット（厳密には、パケットデータ）を記憶部１６から取得する（Ｓ６２）。
【００３５】
検証処理部１４は、記憶部１６から取得した暗号後パケットと受信した復号前パケットとを比較する（Ｓ６３）。検証処理部１４は、不一致であることを検出したときは、上記異常事象の発生原因３と特定し、第１の通信装置１０及び第２の通信装置２０間の通信回線（伝送路）で異常が発生したことをパケット送信処理部１３を介してネットワーク管理サーバＳＶに通知する（Ｓ６４）。
【００３６】
一方、検証処理部１４は、一致していることを検出したときは、暗号後パケットのログ情報と一致するログ情報に基づいて、暗号前パケットを記憶部１５から取得する（Ｓ６５）。取得されたこの暗号前パケット（厳密には、パケットデータ）は、暗号処理部１２において、再度暗号（再暗号）される（Ｓ６６）。再暗号された暗号後パケットは、検証処理部１４において、記憶部１６から取得した暗号後パケットと比較される（Ｓ６６）。
【００３７】
この結果、不一致であることが検出されたときは、上記異常事象の発生原因１と特定し、パケットの暗号処理を行った第１の通信装置１０の異常がネットワーク管理サーバＳＶに通知される（Ｓ６７）。また、一致していることが検出されたときは、上記異常事象の発生原因４と特定し、第１の通信装置１０における暗号処理または第２の通信装置２０における復号処理に論理的な再現性異常（ロジック異常）があることがネットワーク管理サーバＳＶに通知される（Ｓ６８）。
【００３８】
上述した一実施の形態の暗号通信システムＳＹＳにおいては、第１の通信装置１０及び第２の通信装置２０が自律的にかつ協働して異常事象発生原因特定処理を実行することにより、異常が発生した箇所についての特定情報をネットワーク管理サーバＳＶに通知する。ネットワーク管理サーバＳＶの運用者は、通知された特定情報に基づいて、必要とされ
る対処法を採ることができる。
【００３９】
［変形例］
上述した一実施の形態においては、第１の通信装置１０が暗号処理を施した暗号後パケットを生成し、第２の通信装置２０は受信した暗号後パケットに復号処理を施した復号後パケットを生成している。しかし、第１の通信装置１０が他の変更処理を施した第１処理後信号を生成し、第２の通信装置２０は他の変更処理に応じた復元処理を施した第２処理後信号を生成してもよい。
【００４０】
上述した一実施の形態における処理はコンピュータで実行可能なプログラムとして提供され、ＣＤ−ＲＯＭやフレキシブルディスクなどの非一時的コンピュータ可読媒体（記録媒体）、さらには通信回線を経て提供可能である。
【００４１】
また、上述した一実施の形態における各処理はその任意の複数または全てを選択し組合せて実施することもできる。
【符号の説明】
【００４２】
ＳＹＳ 暗号通信システム
ＮＷ ネットワーク
ＳＶ ネットワーク管理サーバ
１０ 第１の通信装置（暗号装置）
１１ パケット受信処理部
１２ 暗号処理部
１３ パケット送信処理部
１４ 検証処理部
１５ 記憶部
１６ 記憶部
２０ 第２の通信装置（復号装置）
２１ パケット受信処理部
２２ 復号処理部
２３ パケット送信処理部
２４ 検証処理部
２５ 記憶部
２６ 記憶部
【技術分野】
【０００１】
本発明は、異常事象発生原因特定機能を含む通信システムに関する。
【背景技術】
【０００２】
複数のネットワーク装置（例えば、ＶＰＮ（Virtual Private Network）ルータ）がイ
ンターネットなどのネットワークを介して安全な通信を実施するためには、送信側のネットワーク装置は、暗号処理を施した暗号パケットをネットワークの通信回線に送信する。一方、受信側のネットワーク装置は、ネットワークの通信回線を通して受信した暗号パケットに復号処理を施して復号パケットを生成する。
【０００３】
このような複数のネットワーク装置及びネットワークを含む暗号通信システムにおいては、これらネットワーク装置間での暗号パケットの送受信過程で、暗号パケットを正常に復号できない異常事象が発生する場合がある。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
通常、ＶＰＮルータなどのネットワーク装置（通信装置）は通過する送受信対象のパケットを自装置内に保存しないので、ネットワーク運用者は異常事象の発生原因（発生箇所を含む）を早期かつ簡単に特定できない。この結果、一時的に異常事象を放置することになり、この状態で運用を続けていると、異常が顕在化し、システム運用ができなくなることを免れない。
【０００５】
課題は、通信システムにおける複数の通信装置が自律的にかつ協働して異常事象の発生原因を特定可能にする技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、異常事象発生原因特定機能を含む通信システムは、
受信信号に変更処理を施した第１処理後信号及び前記第１処理後信号に前記変更処理を施す前の第１処理前信号を、前記変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存する第１のログ保存手段と、前記識別情報の双方を含む前記第１処理後信号を生成して通信回線に送信させる第１の処理手段とを含む第１の通信装置と；
前記通信回線を通して受信した前記第１処理後信号に前記復元処理を施した第２処理後信号及び前記第２処理後信号に前記復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存する第２のログ保存手段と、前記第２処理後信号を生成するとともに前記識別情報の双方を含む前記第２処理前信号を前記第１の通信装置への通信回線に送信させる第２の処理手段とを含む第２の通信装置とを備え；
前記第２の通信装置の前記第２の処理手段は、
前記受信した第１処理後信号に初回の復元処理を施した前記第２処理後信号の異常復元を検出したときを契機に、
前記第２のログ保存手段と協働して、前記受信した第１処理後信号対応の前記第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の正常復元を検出したときは、異常事象の発生原因が前記第２の通信装置にあることを特定し；
前記第１の通信装置の前記第１の処理手段は、
前記第２の通信装置から前記第１処理後信号対応の前記第２処理前信号を受信したときを契機に、
前記第１のログ保存手段と協働して、前記異常事象の発生原因が、前記通信回線にあるか、前記第１の通信装置にあるか、前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であるかを特定する。
【発明の効果】
【０００７】
開示した通信システムによれば、複数の通信装置は自律的にかつ協働して異常事象の発生原因を特定することができる。
【０００８】
他の課題、特徴及び利点は、図面及び特許請求の範囲とともに取り上げられる際に、以下に記載される発明を実施するための形態を読むことにより明らかになるであろう。
【図面の簡単な説明】
【０００９】
【図１】一実施の形態の暗号通信システムの構成を示すブロック図。
【図２】一実施の形態の暗号通信システムにおける通信装置の構成を示すブロック図。
【図３】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するための図。
【図４】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するためのフローチャート。
【図５】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するための図。
【図６】一実施の形態の暗号通信システムにおける異常事象発生原因特定処理を説明するためのフローチャート。
【発明を実施するための形態】
【００１０】
以下、添付図面を参照して、さらに詳細に説明する。図面には好ましい実施形態が示されている。しかし、多くの異なる形態で実施されることが可能であり、本明細書に記載される実施形態に限定されると解釈されてはならない。
【００１１】
［システム構成及び機能］
一実施の形態におけるシステム構成を示す図１を参照すると、異常事象発生原因特定機能を含む暗号通信システムＳＹＳは、平文パケットデータを含む暗号前パケット（原信号）に変更処理として暗号処理を施した暗号後パケットを生成し、暗号文パケットデータを含むこの暗号後パケットを例えばＶＰＮ（Virtual Private Network）であるネットワー
クＮＷの通信回線に送信する第１の通信装置（暗号装置）１０を含む。第１の通信装置１０はルータなどのネットワーク装置である。
【００１２】
この暗号通信システムＳＹＳは、ネットワークＮＷの通信回線を通して受信した暗号後パケット（復号前パケット）に復元処理として復号処理を施した復号後パケットを平文パケットデータを含む原信号として生成する第２の通信装置（復号装置）２０を更に含む。第２の通信装置２０はルータなどのネットワーク装置である。
【００１３】
また、この暗号通信システムＳＹＳは、ネットワーク運用者によって運用され、後に詳述する処理により特定された異常事象の発生原因を収集して対処するためのＳＮＭＰ（簡易ネットワーク管理プロトコル：Simple Network Management Protocol）マネージャとしてのネットワーク管理サーバＳＶを含む。
【００１４】
この暗号通信システムＳＹＳにおいては、第１の通信装置１０及び第２の通信装置２０は、自律的かつ協働して次に示す４つの異常事象の発生原因のいずれかを特定し、ネットワーク管理サーバＳＶに報告（通知）する。
（ａ）異常事象発生原因１：パケットの暗号処理を行う第１の通信装置に一時的または偶発的な異常がある。
（ｂ）異常事象発生原因２：パケットの復号処理を行う第２の通信装置に一時的または偶発的な異常がある。
（ｃ）異常事象発生原因３：第１の通信装置及び第２の通信装置間の通信回線（伝送路）で異常が発生した。
（ｄ）異常事象発生原因４：暗号処理または復号処理に論理的な再現性異常（ロジック異常）がある。
【００１５】
図２に示すように、暗号通信システムＳＹＳにおいては、上記異常事象の発生原因１，２，３，４のいずれかを特定可能にするために、第１の通信装置１０は、パケット受信処理部１１、暗号処理部１２、パケット送信処理部１３、検証処理部１４及び記憶部１５，１６を備える。記憶部１５，１６は、暗号前パケット及び暗号後パケットをログとして保存するログ保存領域をそれぞれ有する。これらの記憶部１５，１６のログ保存領域には、各種識別情報及びパケットデータを含むログ情報が一時的に保存される。このログ情報は暗号前パケット及び暗号後パケットのペイロードデータである。
【００１６】
また、第２の通信装置２０は、パケット受信処理部２１、復号処理部２２、パケット送信処理部２３、検証処理部２４及び記憶部２５，２６を備える。記憶部２５，２６は、復号前パケット及び復号後パケットをログとして保存するログ保存領域をそれぞれ有する。これらの記憶部２５，２６のログ保存領域には、各種識別情報及びパケットデータを含むログ情報が一時的に保存される。このログ情報は復号前パケット及び復号後パケットのペイロードデータである。
【００１７】
なお、第１の通信装置１０の暗号処理部１２及び第２の通信装置２０における復号処理部２２は、共通鍵及び公開鍵を併用する暗号・復号技術を採用可能である。
【００１８】
この暗号通信システムＳＹＳにおいては、暗号装置である第１の通信装置１０と復号装置である第２の通信装置２０との間でネットワーク通信にかかる時間を例えばｐｉｎｇ（Packet Internet Grouper/Groper）で定期的に計測し、ログの保存時間を決定する。また、通信負荷の増大により、予め定めた数のログが保存できない場合は、帯域制御を行って、暗号化パケットフレームの流量を制限する必要がある。
【００１９】
第１の通信装置１０及び第２の通信装置２０における記憶部１５，１６，２５，２６は、各パケットをログとして保存するログ保存領域にリングバッファをそれぞれ使用する。各リングバッファは、最大保存数を超えると、最も古いログ情報を上書きするものとする。通信負荷が増大し、保存時間が満了するよりも前にログ情報が上書きされそうな場合は、帯域制御を実施する。
【００２０】
また、記憶部１５，１６，２５，２６におけるログ保存領域の代替構成として、次のような手法を採ることが可能である。第１の代替構成においては、固定サイズのログファイルを複数保存可能なバッファを設け、各ログファイルにパケットをログとして保存する。保存できるファイル数が最大になった場合は、最も古いファイルを消去する。ファイルを消去する際に、保存時間を確認し、帯域制御の必要性を判断する。
【００２１】
第２の代替構成においては、２つのログファイル０及びログファイル１を実装し、切り替えて使用する。つまり、ログファイル０のパケットのログ保存数が最大になった場合は、ログファイル１に切り替えてログを保存する。また、ログファイル１のログ保存数が最大になった場合は、ログファイル０に切り替えてログ保存を行う。２つのログファイルを切り替える際に、ログ保存時間を確認し、帯域制御の必要性を判断する。
【００２２】
［異常事象発生原因特定処理］
次に、図１及び図２に示す一実施の形態の暗号通信システムＳＹＳにおける動作例について関連図を併せ参照して説明する。
【００２３】
（第２の通信装置における処理）
図１、図３及び図４を参照すると、復号装置である第２の通信装置２０においては、パケット受信処理部２１は、ネットワークＮＷの通信回線を通して暗号後パケットを受信して、復号処理部２２に送出する。また、パケット受信処理部２１は、受信した暗号後パケットを復号前パケットとして記憶部２５のログ保存領域に保存する。この記憶部２５のログ保存領域に保存される復号前パケットのログ情報は、暗号装置識別子（ＩＤ）、復号装置識別子（ＩＤ）、データの順序を示すシーケンス番号、及び復号前データを含む。ここで、暗号装置ＩＤ、復号装置ＩＤ及びシーケンス番号は第１の通信装置１０において付与された識別情報である。
【００２４】
復号処理部２２は、パケット受信処理部２１により受信された暗号後パケットに初回の復号処理を施した後、復号後パケットを記憶部２６のログ保存領域に保存する。この記憶部２６のログ保存領域に保存される復号後パケットのログ情報は、暗号装置ＩＤ、復号装置ＩＤ、シーケンス番号、及び復号後データを含む。
【００２５】
検証処理部２４は、復号処理部２２により復号処理を施された復号後パケットの異常をチェックサムに基づく計算により検出したときを契機に、この復号後パケットのログ情報を記憶部２６のログ保存領域から取得する（図４中の処理Ｓ４１，Ｓ４２）。
【００２６】
検証処理部２４は、取得した復号後パケットのログ情報と一致するログ情報、ここでは暗号装置ＩＤ：１０、復号装置ＩＤ：２０、及びシーケンス番号：０ｘ００１００００１に基づいて、受信した暗号後パケット対応の復号前パケット（厳密には、パケットデータのみ）を記憶部２５から取得し、復号処理部２２に再度の復号（再復号）処理を実行させる（Ｓ４３，Ｓ４４）。
【００２７】
検証処理部２４は、再度の復号処理を施された復号後パケットの正常性をチェックサムに基づく計算により検出したときは、上記異常事象の発生原因２と特定し、復号装置である第２の通信装置２０の異常をパケット送信処理部２３を介してネットワーク管理サーバＳＶに通知する（Ｓ４４，Ｓ４５）。
【００２８】
一方、検証処理部２４は、再度の復号処理を施された復号後パケットの異常（再度の異常発生）を検出したときは、この復号後パケットのログ情報を記憶部２６から取得し、取得したログ情報と一致するログ情報に基づいて、受信した暗号後パケット対応の復号前パケットを記憶部２５から取得して、暗号装置である第１の通信装置１０に送信させる（Ｓ４４，Ｓ４６）。このとき、検証処理部２４が記憶部２５から取得した復号前パケットは、復号処理部２２を通過した後、パケット送信処理部２３から第１の通信装置１０に送信される。
【００２９】
なお、検証処理部２４は、処理Ｓ４１において、初回の復号処理を施された復号後パケットの正常性を検出したときは、この復号後パケットを平文パケットデータを含む原信号としてパケット送信処理部２３から所定の宛先の通信端末に送信させる（Ｓ４７）。
【００３０】
（第１の通信装置における処理）
図１、図５及び図６を参照すると、暗号装置である第１の通信装置１０においては、通常処理として、パケット受信処理部１１が送信元の通信端末からの平文パケットデータを
含む暗号前パケット（原信号）を受信する。暗号処理部１２は、受信された暗号前パケットに変更処理として暗号処理を施した暗号後パケットを生成する。パケット送信処理部１３は、暗号文パケットデータを含むこの暗号後パケットをネットワークＮＷの通信回線に送信する。
【００３１】
また、第１の通信装置１０においては、上記異常事象の発生原因１，２，３，４のいずれかを特定可能にするために、パケット受信処理部１１は暗号前パケットのログ情報を記憶部１５のログ保存領域に保存し、暗号処理部１２は暗号後パケットのログ情報を記憶部１６のログ保存領域に保存する。パケット受信処理部１１及び暗号処理部１２は、暗号前パケットのヘッダ情報に基づいて、ログ情報の暗号装置ＩＤ及び復号装置ＩＤを生成可能である。
【００３２】
第１の通信装置１０におけるパケット受信処理部１１が、ネットワークＮＷの通信回線を通して、第２の通信装置２０から送信された暗号後パケット対応の復号前パケットを受信したときを契機に（図６中の処理Ｓ６１）、検証処理部１４は、次の処理手順によって異常事象の発生原因１，３，４のいずれかを特定する。
【００３３】
パケット受信処理部１１が暗号後パケット対応の復号前パケットを受信したことを復号前パケットにログ情報として付加されている識別情報（暗号装置ＩＤ、復号装置ＩＤ、シーケンス番号）に基づいて検出したとき、暗号処理部１２はこの受信状態を検証処理部１４に通知する。
【００３４】
暗号処理部１２からの通知を受けた検証処理部１４は、受信された復号前パケットのログ情報、ここでは暗号装置ＩＤ：１０、復号装置ＩＤ：２０、及びシーケンス番号：０ｘ００１００００１に基づいて、復号前パケット対応の暗号後パケット（厳密には、パケットデータ）を記憶部１６から取得する（Ｓ６２）。
【００３５】
検証処理部１４は、記憶部１６から取得した暗号後パケットと受信した復号前パケットとを比較する（Ｓ６３）。検証処理部１４は、不一致であることを検出したときは、上記異常事象の発生原因３と特定し、第１の通信装置１０及び第２の通信装置２０間の通信回線（伝送路）で異常が発生したことをパケット送信処理部１３を介してネットワーク管理サーバＳＶに通知する（Ｓ６４）。
【００３６】
一方、検証処理部１４は、一致していることを検出したときは、暗号後パケットのログ情報と一致するログ情報に基づいて、暗号前パケットを記憶部１５から取得する（Ｓ６５）。取得されたこの暗号前パケット（厳密には、パケットデータ）は、暗号処理部１２において、再度暗号（再暗号）される（Ｓ６６）。再暗号された暗号後パケットは、検証処理部１４において、記憶部１６から取得した暗号後パケットと比較される（Ｓ６６）。
【００３７】
この結果、不一致であることが検出されたときは、上記異常事象の発生原因１と特定し、パケットの暗号処理を行った第１の通信装置１０の異常がネットワーク管理サーバＳＶに通知される（Ｓ６７）。また、一致していることが検出されたときは、上記異常事象の発生原因４と特定し、第１の通信装置１０における暗号処理または第２の通信装置２０における復号処理に論理的な再現性異常（ロジック異常）があることがネットワーク管理サーバＳＶに通知される（Ｓ６８）。
【００３８】
上述した一実施の形態の暗号通信システムＳＹＳにおいては、第１の通信装置１０及び第２の通信装置２０が自律的にかつ協働して異常事象発生原因特定処理を実行することにより、異常が発生した箇所についての特定情報をネットワーク管理サーバＳＶに通知する。ネットワーク管理サーバＳＶの運用者は、通知された特定情報に基づいて、必要とされ
る対処法を採ることができる。
【００３９】
［変形例］
上述した一実施の形態においては、第１の通信装置１０が暗号処理を施した暗号後パケットを生成し、第２の通信装置２０は受信した暗号後パケットに復号処理を施した復号後パケットを生成している。しかし、第１の通信装置１０が他の変更処理を施した第１処理後信号を生成し、第２の通信装置２０は他の変更処理に応じた復元処理を施した第２処理後信号を生成してもよい。
【００４０】
上述した一実施の形態における処理はコンピュータで実行可能なプログラムとして提供され、ＣＤ−ＲＯＭやフレキシブルディスクなどの非一時的コンピュータ可読媒体（記録媒体）、さらには通信回線を経て提供可能である。
【００４１】
また、上述した一実施の形態における各処理はその任意の複数または全てを選択し組合せて実施することもできる。
【符号の説明】
【００４２】
ＳＹＳ 暗号通信システム
ＮＷ ネットワーク
ＳＶ ネットワーク管理サーバ
１０ 第１の通信装置（暗号装置）
１１ パケット受信処理部
１２ 暗号処理部
１３ パケット送信処理部
１４ 検証処理部
１５ 記憶部
１６ 記憶部
２０ 第２の通信装置（復号装置）
２１ パケット受信処理部
２２ 復号処理部
２３ パケット送信処理部
２４ 検証処理部
２５ 記憶部
２６ 記憶部
【特許請求の範囲】
【請求項１】
異常事象発生原因特定機能を含む通信システムであって；
受信信号に変更処理を施した第１処理後信号及び前記第１処理後信号に前記変更処理を施す前の第１処理前信号を、前記変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存する第１のログ保存手段と、前記識別情報の双方を含む前記第１処理後信号を生成して通信回線に送信させる第１の処理手段とを含む第１の通信装置と；
前記通信回線を通して受信した前記第１処理後信号に前記復元処理を施した第２処理後信号及び前記第２処理後信号に前記復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存する第２のログ保存手段と、前記第２処理後信号を生成するとともに前記識別情報の双方を含む前記第２処理前信号を前記第１の通信装置への通信回線に送信させる第２の処理手段とを含む第２の通信装置とを備え；
前記第２の通信装置の前記第２の処理手段は、
前記受信した第１処理後信号に初回の復元処理を施した前記第２処理後信号の異常復元を検出したときを契機に、
前記第２のログ保存手段と協働して、前記受信した第１処理後信号対応の前記第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の正常復元を検出したときは、異常事象の発生原因が前記第２の通信装置にあることを特定し；
前記第１の通信装置の前記第１の処理手段は、
前記第２の通信装置から前記第１処理後信号対応の前記第２処理前信号を受信したときを契機に、
前記第１のログ保存手段と協働して、前記異常事象の発生原因が、前記通信回線にあるか、前記第１の通信装置にあるか、前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であるかを特定する；
ことを特徴とする通信システム。
【請求項２】
前記第２の通信装置の前記第２の処理手段は、
前記契機に、前記第２のログ保存手段から取得した前記第２処理後信号の前記識別情報に基づいて、前記受信した第１処理後信号対応の前記第２処理前信号を取得し、この第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の異常復元を検出したときは、前記受信した第１処理後信号対応の前記第２処理前信号を前記第１の通信装置への通信回線に送信させる
請求項１記載の通信システム。
【請求項３】
前記第１の通信装置の前記第１の処理手段は、
前記契機に、前記受信した第２処理前信号に含まれている識別情報に基づいて、前記第２処理前信号対応の前記第１処理後信号を前記第１のログ保存手段から取得し、
取得した前記第１処理後信号と前記受信した第２処理前信号とを比較し、不一致であるときは、前記異常事象の発生原因が前記通信回線にあることを特定し、一致しているときは、前記第１処理後信号の識別情報と一致する識別情報を含む前記第１処理前信号を前記第１のログ保存手段から取得して再度の変更処理を施し、
前記再度の変更処理を施した前記第１処理後信号と前記第１のログ保存手段から取得した前記第１処理後信号とを比較し、不一致であるときは、前記異常事象の発生原因が前記第１の通信装置にあると特定し、一致しているときは、前記異常事象の発生原因が前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であることを特定する
請求項１または２記載の通信システム。
【請求項４】
前記第１のログ保存手段は、前記第１処理前信号及び前記第１処理後信号を、前記変更処理を行う通信装置識別情報及び前記復元処理を行う通信装置識別情報をそれぞれ含むログとして一時的に保存し、
前記第２のログ保存手段は、前記第２処理前信号及び前記第２処理後信号を、前記変更処理を行う通信装置識別情報及び前記復元処理を行う通信装置識別情報をそれぞれ含むログとして一時的に保存し、
前記各ログは、シーケンス番号を更に含む
請求項１記載の通信システム。
【請求項５】
受信信号に変更処理を施した第１処理後信号及び前記第１処理後信号に前記変更処理を施す前の第１処理前信号を、前記変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存する第１のログ保存手段と、前記識別情報の双方を含む前記第１処理後信号を生成して通信回線に送信させる第１の処理手段とを含む第１の通信装置と；
前記通信回線を通して受信した前記第１処理後信号に前記復元処理を施した第２処理後信号及び前記第２処理後信号に前記復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存する第２のログ保存手段と、前記第２処理後信号を生成するとともに前記識別情報の双方を含む前記第２処理前信号を前記第１の通信装置への通信回線に送信させる第２の処理手段とを含む第２の通信装置とを備える通信システムにおける異常事象発生原因特定方法であって；
前記第２の通信装置の前記第２の処理手段は、
前記受信した第１処理後信号に初回の復元処理を施した前記第２処理後信号の異常復元を検出したときを契機に、
前記第２のログ保存手段と協働して、前記受信した第１処理後信号対応の前記第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の正常復元を検出したときは、異常事象の発生原因が前記第２の通信装置にあることを特定し；
前記第１の通信装置の前記第１の処理手段は、
前記第２の通信装置から前記第１処理後信号対応の前記第２処理前信号を受信したときを契機に、
前記第１のログ保存手段と協働して、前記異常事象の発生原因が、前記通信回線にあるか、前記第１の通信装置にあるか、前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であるかを特定する；
ことを特徴とする異常事象発生原因特定方法。
【請求項１】
異常事象発生原因特定機能を含む通信システムであって；
受信信号に変更処理を施した第１処理後信号及び前記第１処理後信号に前記変更処理を施す前の第１処理前信号を、前記変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存する第１のログ保存手段と、前記識別情報の双方を含む前記第１処理後信号を生成して通信回線に送信させる第１の処理手段とを含む第１の通信装置と；
前記通信回線を通して受信した前記第１処理後信号に前記復元処理を施した第２処理後信号及び前記第２処理後信号に前記復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存する第２のログ保存手段と、前記第２処理後信号を生成するとともに前記識別情報の双方を含む前記第２処理前信号を前記第１の通信装置への通信回線に送信させる第２の処理手段とを含む第２の通信装置とを備え；
前記第２の通信装置の前記第２の処理手段は、
前記受信した第１処理後信号に初回の復元処理を施した前記第２処理後信号の異常復元を検出したときを契機に、
前記第２のログ保存手段と協働して、前記受信した第１処理後信号対応の前記第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の正常復元を検出したときは、異常事象の発生原因が前記第２の通信装置にあることを特定し；
前記第１の通信装置の前記第１の処理手段は、
前記第２の通信装置から前記第１処理後信号対応の前記第２処理前信号を受信したときを契機に、
前記第１のログ保存手段と協働して、前記異常事象の発生原因が、前記通信回線にあるか、前記第１の通信装置にあるか、前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であるかを特定する；
ことを特徴とする通信システム。
【請求項２】
前記第２の通信装置の前記第２の処理手段は、
前記契機に、前記第２のログ保存手段から取得した前記第２処理後信号の前記識別情報に基づいて、前記受信した第１処理後信号対応の前記第２処理前信号を取得し、この第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の異常復元を検出したときは、前記受信した第１処理後信号対応の前記第２処理前信号を前記第１の通信装置への通信回線に送信させる
請求項１記載の通信システム。
【請求項３】
前記第１の通信装置の前記第１の処理手段は、
前記契機に、前記受信した第２処理前信号に含まれている識別情報に基づいて、前記第２処理前信号対応の前記第１処理後信号を前記第１のログ保存手段から取得し、
取得した前記第１処理後信号と前記受信した第２処理前信号とを比較し、不一致であるときは、前記異常事象の発生原因が前記通信回線にあることを特定し、一致しているときは、前記第１処理後信号の識別情報と一致する識別情報を含む前記第１処理前信号を前記第１のログ保存手段から取得して再度の変更処理を施し、
前記再度の変更処理を施した前記第１処理後信号と前記第１のログ保存手段から取得した前記第１処理後信号とを比較し、不一致であるときは、前記異常事象の発生原因が前記第１の通信装置にあると特定し、一致しているときは、前記異常事象の発生原因が前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であることを特定する
請求項１または２記載の通信システム。
【請求項４】
前記第１のログ保存手段は、前記第１処理前信号及び前記第１処理後信号を、前記変更処理を行う通信装置識別情報及び前記復元処理を行う通信装置識別情報をそれぞれ含むログとして一時的に保存し、
前記第２のログ保存手段は、前記第２処理前信号及び前記第２処理後信号を、前記変更処理を行う通信装置識別情報及び前記復元処理を行う通信装置識別情報をそれぞれ含むログとして一時的に保存し、
前記各ログは、シーケンス番号を更に含む
請求項１記載の通信システム。
【請求項５】
受信信号に変更処理を施した第１処理後信号及び前記第１処理後信号に前記変更処理を施す前の第１処理前信号を、前記変更処理を行う通信装置識別情報及び復元処理を行う通信装置識別情報をそれぞれ含むログとして保存する第１のログ保存手段と、前記識別情報の双方を含む前記第１処理後信号を生成して通信回線に送信させる第１の処理手段とを含む第１の通信装置と；
前記通信回線を通して受信した前記第１処理後信号に前記復元処理を施した第２処理後信号及び前記第２処理後信号に前記復元処理を施す前の第２処理前信号を、前記識別情報の双方をそれぞれ含むログとして保存する第２のログ保存手段と、前記第２処理後信号を生成するとともに前記識別情報の双方を含む前記第２処理前信号を前記第１の通信装置への通信回線に送信させる第２の処理手段とを含む第２の通信装置とを備える通信システムにおける異常事象発生原因特定方法であって；
前記第２の通信装置の前記第２の処理手段は、
前記受信した第１処理後信号に初回の復元処理を施した前記第２処理後信号の異常復元を検出したときを契機に、
前記第２のログ保存手段と協働して、前記受信した第１処理後信号対応の前記第２処理前信号に再度の復元処理を施し、
前記再度の復元処理を施した前記第２処理後信号の正常復元を検出したときは、異常事象の発生原因が前記第２の通信装置にあることを特定し；
前記第１の通信装置の前記第１の処理手段は、
前記第２の通信装置から前記第１処理後信号対応の前記第２処理前信号を受信したときを契機に、
前記第１のログ保存手段と協働して、前記異常事象の発生原因が、前記通信回線にあるか、前記第１の通信装置にあるか、前記第１の通信装置における変更処理または前記第２の通信装置における復元処理の論理的な再現性異常であるかを特定する；
ことを特徴とする異常事象発生原因特定方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１３−３２０３（Ｐ２０１３−３２０３Ａ）
【公開日】平成２５年１月７日（２０１３．１．７）
【国際特許分類】
【出願番号】特願２０１１−１３１３０６（Ｐ２０１１−１３１３０６）
【出願日】平成２３年６月１３日（２０１１．６．１３）
【出願人】（０００２３７１５６）株式会社富士通アドバンストエンジニアリング (100)
【Ｆターム（参考）】
【公開日】平成２５年１月７日（２０１３．１．７）
【国際特許分類】
【出願日】平成２３年６月１３日（２０１１．６．１３）
【出願人】（０００２３７１５６）株式会社富士通アドバンストエンジニアリング (100)
【Ｆターム（参考）】
[ Back to top ]