通信システム、制御装置、通信方法
【課題】端末の位置保証機能、位置に応じたアクセス制御機能を持った通信システムの提供。
【解決手段】通信システムは、パケットを転送する複数のノードと、前記複数のノードの少なくとも１つに接続してネットワークにアクセスする端末と、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置とを含む。前記制御装置は、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、を含む。
【解決手段】通信システムは、パケットを転送する複数のノードと、前記複数のノードの少なくとも１つに接続してネットワークにアクセスする端末と、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置とを含む。前記制御装置は、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、を含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、制御装置、通信方法およびプログラムに関し、特に、ネットワークに配置されたノードを集中制御する制御装置を有する通信システム、制御装置、通信方法およびプログラムに関する。
【背景技術】
【０００２】
インターネットなどのネットワークの普及に伴い、利用者は、コンピュータ等の機器をネットワークに接続して、他の機器と通信を行うことや様々なサービスを受けることが可能となっている。
【０００３】
ネットワークに接続された機器同士が互いに通信する際に、各機器は、それぞれの識別情報に基づいて通信を行う。識別情報の一例は、ＩＰアドレスである。ＩＰアドレスは、ネットワークに接続された機器を識別するための識別子（ＩＤ）であると共に、機器のネットワーク中の位置を示す位置情報としての役割を持っている。例えば、ＩＰアドレスのプレフィックスが位置情報になる。機器同士が通信する際、この位置情報を参照して、該位置情報に基づく経路制御を実行することができる。
【０００４】
一方、近年、携帯型の機器（以下、「移動機器」とする。）の増加に伴い、移動機器を識別する識別子と、移動機器の位置を示す位置情報とを分離して管理する手法が普及している。ＩＰアドレスのように、識別子と位置情報の双方を含む識別情報を用いる場合、移動機器の移動に伴って該移動機器とネットワークとの接続ポイントが変化すると、移動機器に割振られる識別情報も変更されてしまう。接続ポイントが変わると、位置情報が変化するためである。識別情報が変更されると、移動機器の識別子も変わるため、移動機器のネットワーク接続を維持することが難しくなる。これが、移動機器の識別子と位置情報とを分離して管理する手法が普及している理由である。
【０００５】
上記のような背景から、特許文献１には、自装置の位置情報を保持し、通信相手の無線通信装置の位置情報を受信する位置受信手段と、通信相手の無線通信装置の位置情報及び自装置の位置情報に基づき、通信相手の無線通信装置との距離を算出する距離算出手段と、通信相手の無線通信装置との距離を測定する距離測定手段と、距離算出手段により算出した通信相手の無線通信装置との距離と距離測定手段により測定した通信相手の無線通信装置との距離に基づき、通信相手の無線通信装置の位置情報が正しいか否かを判定する位置判定手段と、位置判定手段による判定結果に基づき、通信相手の無線通信装置との通信可否を判定する通信可否判定手段とを有する無線通信装置が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−２３６２６２号公報
【非特許文献】
【０００７】
【非特許文献１】Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、“ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成２２年１２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉
【非特許文献２】“ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ” Ｖｅｒｓｉｏｎ １．０．０． （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０１） ［平成２２年１２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ〉
【発明の概要】
【発明が解決しようとする課題】
【０００８】
以下の分析は、本発明によって与えられたものである。上記したように識別子と位置情報とを分離して管理する手法が普及している状況下では、端末の識別子から当該端末の位置を判別することが困難となり、端末が適切な位置からアクセス先に接続しようとしているかを保証できないという問題点がある。また逆に、端末が適切な位置にあることが確認できれば、一定の範囲でアクセスを許容したいというニーズもある。
【０００９】
この点、特許文献１に開示の技術では、移動機器に、それぞれ通信相手との距離測定手段を設けなければならないという問題点がある。
【００１０】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、上記した端末の位置保証機能、位置に応じたアクセス制御機能を持った通信システム、制御装置、通信方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明の第１の視点によれば、パケットを転送する複数のノードと、前記複数のノードの少なくとも１つに接続してネットワークにアクセスする端末と、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置とを含み、前記制御装置は、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、を含む通信システムが提供される。
【００１２】
本発明の第２の視点によれば、端末から送信されたパケットを転送する複数のノードと接続され、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる手段と、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、
前記設定要求を送信したノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、を備える制御装置が提供される。
【００１３】
本発明の第３の視点によれば、端末から送信されたパケットを転送する複数のノードと接続され、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、を備えた制御装置が、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を判定するステップと、前記判定の結果、パケットの転送可と判定した場合に、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせるステップと、を含む通信方法が提供される。本方法は、上記した複数のノードを制御する制御装置という、特定の機械に結びつけられている。
【００１４】
本発明の第４の視点によれば、端末から送信されたパケットを転送する複数のノードと接続され、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、を備えた制御装置に搭載されたコンピュータに、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を判定する処理と、前記判定の結果、パケットの転送可と判定した場合に、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１５】
本発明によれば、ネットワーク側に、端末の位置保証機能、位置に応じたアクセス制御機能を具備させることが可能になる。
【図面の簡単な説明】
【００１６】
【図１】本発明の概要を説明するための図である。
【図２】本発明の第１の実施形態の構成を表わした図である。
【図３】本発明の第１の実施形態のノードの構成を表したブロック図である。
【図４】本発明の第１の実施形態のノードに設定される処理規則の構成を示す図である。
【図５】図４の処理規則のアクションフィールドに設定する処理内容を説明するための図である。
【図６】本発明の第１の実施形態の制御装置の構成を表したブロック図である。
【図７】本発明の第１の実施形態の制御装置のロケーションデータベース（ロケーションＤＢ）に保持されるテーブルの例である。
【図８】本発明の第１の実施形態の制御装置の制約情報データベース（制約情報ＤＢ）に保持されるテーブルの例である。
【図９】本発明の第１の実施形態のノードの動作を表わしたフローチャートである。
【図１０】本発明の第１の実施形態の制御装置の動作を表わしたフローチャートである。
【図１１】本発明の第２の実施形態の構成を表わした図である。
【図１２】本発明の第２の実施形態の制御装置の構成を表したブロック図である。
【図１３】図１１の認証装置の認証情報データベース（認証情報ＤＢ）に保持されるテーブルの例である。
【図１４】本発明の第２の実施形態の制御装置の動作を表わしたフローチャートである。
【図１５】本発明の第２の実施形態の認証装置の動作を表わしたフローチャートである。
【発明を実施するための形態】
【００１７】
はじめに本発明の概要について、図１を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。
【００１８】
本発明は、図１に示すように、パケットを転送する複数のノード１０Ａ〜１０Ｎと、前記複数のノードのうち端末３０が接続されたノード（図１のノード１０Ａやノード１０Ｂ）からの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置２０とを含む構成にて実現できる。
【００１９】
制御装置２０は、複数のノードのそれぞれの位置情報を記憶する手段（ノード位置情報記憶部２２Ａ）と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段（制約情報記憶部２３Ａ）と、端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段（転送可否判断部２６Ａ）と、を含む。
【００２０】
例えば、ノード１０Ａから送信先４０Ｎへは送信不可、ノード１０Ｂから送信先４０Ｎへは送信可であるとの制約情報が設定されている場合において、端末３０が送信先４０Ｎに宛てたパケットを送信し、接続されたノードが制御装置２０に対し、パケットの転送経路の設定を要求した場合を考える。端末３０がノード１０Ａに接続している場合、制御装置２０は、前述のノード１０Ａから送信先４０Ｎへは送信不可との制約情報に従い、例えば、ノード１０Ａに端末３０から受信したパケットの廃棄を指示する。
【００２１】
その後、端末３０が移動し、ノード１０Ｂに接続して送信先４０Ｎ宛てのパケットを送信し、ノード１０Ｂから当該パケットの転送経路の設定要求を受けた場合、制御装置２０は、前述のノード１０Ｂから送信先４０Ｎへは送信可との制約情報に従い、端末３０と送信先４０Ｎ間の経路を設定し、当該経路上のノード１０Ｂ、ノード１０Ａ、ノード１０Ｎにパケット転送を行わせる。
【００２２】
以上のように、パケット転送経路の設定要求を行ったノードにより、端末の位置を把握し、その位置に基づいて、パケットの転送可否を制御することが可能となる。
【００２３】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態の構成を表した図である。図２を参照すると、端末３０と、複数のサーバ４１Ｂ〜４１Ｎと、端末３０とサーバ４１Ｂ〜４１Ｎとの間のパケットを転送する複数のノード１０Ａ〜１０Ｎと、複数のノード１０Ａ〜１０Ｎを制御する制御装置２０とを含む構成が示されている。
【００２４】
端末３０は、計算機、移動機器、テレビ等のユーザが使用する端末である。なお、図２では１台の端末を示しているが、複数の端末があってよい。
【００２５】
サーバ４１Ｂ〜４１Ｎは、アプリケーションプログラムにて動作し、端末３０への情報提供や、各種申込の受付等のサービスを提供する計算機である。なお、図２では３台のサーバを示しているが、３台に限られるものではない。また、各サーバが同一のサービスを提供するものとしてもよいし、各サーバがそれぞれ異なるサービスを提供するものとしてもよい。
【００２６】
ノード１０Ａ〜１０Ｎは、ネットワークスイッチやルータを用いることができるが、以下、本実施形態では、ノード１０Ａ〜１０Ｎとして、非特許文献１、２のオープンフロースイッチを用いるものとして説明する。
【００２７】
図３は、ノード１０Ａ〜１０Ｎ（以下、ノード１０Ａ〜１０Ｎを特に区別する必要のないときはノード１０と記す。）の構成を表したブロック図である。図３を参照すると、ノード１０は、制御装置２０により送信されたフローエントリ（処理規則）を格納するフローエントリ記憶部１２と、フローエントリ記憶部１２から、受信パケットに適合するフローエントリ（処理規則）を検索して、パケットの処理を行うパケット処理部１１とを含んで構成される。
【００２８】
ここで、オープンフロー（ＯｐｅｎＦｌｏｗ）について説明する。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。オープンフロースイッチ（ノード１０Ａ〜１０Ｎに相当）は、オープンフローコントローラ（制御装置２０に相当）との通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示される処理規則（フローエントリ）に従って動作する。
【００２９】
図４は、フローエントリ記憶部１２に格納されるフローエントリ（処理規則）の構成を示す図である。図４の例では、フローエントリ（処理規則）は、受信パケットのパケットヘッダと照合するマッチングルール（照合規則）と、当該マッチングルールに適合するパケットに適用する処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、フロー統計情報（Ｓｔａｔｓ）との組によって構成されている。
【００３０】
図５は、非特許文献２に定義されているアクション名とアクションの内容である。ＯＵＴＰＵＴは、指定ポート（インタフェース）に出力するアクションである。ＳＥＴ＿ＶＬＡＮ＿ＶＩＤからＳＥＴ＿ＴＰ＿ＤＳＴは、パケットヘッダのフィールドを修正するアクションである。また、アクション名を記載しないことで、当該パケットの破棄が行われる。
【００３１】
例えば、ノード１０のパケット処理部１１は、パケットを受信すると、上記のようなフローエントリ（処理規則）を格納したフローエントリ記憶部１２から、受信パケットのヘッダ情報に適合するマッチングルールを持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、ノード１０のパケット処理部１１は、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、ノード１０のパケット処理部１１は、セキュアチャネルを介して、制御装置２０に対して受信パケット（またはフローエントリ（処理規則）の作成に必要な情報を含んだフローエントリ（処理規則）の設定要求）を転送する。制御装置２０が作成したフローエントリ（処理規則）は、フローエントリ記憶部１２に格納される。
【００３２】
図６は、制御装置２０の構成を表わしたブロック図である。図６を参照すると、ノード管理部２１と、ロケーションＤＢ（ロケーションデータベース）２２と、制約情報ＤＢ（制約情報データベース）２３と、トポロジーＤＢ（トポロジーデータベース）２４と、受信部２５と、転送可否判定部２６と、経路生成部２７と、送信部２８とを備えた構成が示されている。
【００３３】
受信部２５は、ノード１０からパケット（またはフローエントリ（処理規則）の作成に必要な情報を含んだフローエントリ（処理規則）の設定要求）を受信すると、ノード管理部２１および転送可否判定部２６に、ノード１０から受信したパケット、当該パケットの送信元のノードおよびその受信ポートの情報等を転送する。
【００３４】
ノード管理部２１は、受信部２５から受信したパケット、当該パケットの送信元のノードおよびその受信ポートの情報に基づいて、トポロジーＤＢ２４に、端末３０が既知の端末として登録されているか否かを確認し、端末３０が既知の端末として登録されていない場合には、ロケーションＤＢ２２およびトポロジーＤＢ２４に、端末の位置情報を登録する。
【００３５】
図７は、ロケーションＤＢ２２に保持されるテーブルの例を示す図である。図７の例では、ノード１０、端末３０、サーバ４０Ｂ〜４０Ｎを一意に識別するためのノードＩＤと、そのノードが設置された場所を示す位置情報とを対応付けたエントリが格納されている。
【００３６】
なお、図７のノードＩＤとしては、ノード１０に付与されたＤａｔａｐａｔｈ ＩＤ（ＤＰＩＤ）や、ＩＰアドレス、ＭＡＣアドレス等を用いることができる。なお、サーバ４０Ｂ〜４０Ｎや端末３０のノードＩＤは、ノード１０から受信したパケットのパケットヘッダから取得することができる。また、所定のルールによりノードＩＤを決定し、その付加情報として、ＩＰアドレス、ＭＡＣアドレスやＤａｔａｐａｔｈ ＩＤ（ＤＰＩＤ）を用いることとしてもよい。
【００３７】
また、図７の位置情報としては、各ノード１０およびサーバ４０Ｂ〜４０Ｎのネットワーク上の位置情報のほか、ヨーロッパ、ユーラシア等の大州名（州名）、国名（領域名）、地方名（地域名）、県、市町村等の行政区画名や、さらに詳細な情報として街路名、番地、建物名等を用いることができる。また、位置情報の記述形態としては、各位置を表す文字列でもよいし、各位置に付与された識別値（郵便番号やＺＩＰコードを含む）でもよい。また、これら位置情報の粒度（階層）は、すべて統一する必要は無く、後記する制約情報ＤＢ２３のエントリ（制約情報）と整合していればよい。例えば、ユーザの位置に応じて、日本国神奈川県川崎市にあるサーバと、日本国神奈川県川崎市以外にあるサーバと、米国にあるサーバとに、それぞれパケット転送可否を設定したい場合、あるノードは、日本国神奈川県川崎市にあり、またあるノードは米国にあることが記述され、日本国神奈川県川崎市以外にあるノードと区別できるようになっていればよい。
【００３８】
図８は、制約情報ＤＢ２３に保持されるテーブルの例を示す図である。図８の例では、送信元の位置情報、送信先の位置情報、許可あるいは拒否を示す値（ａｌｌｏｗ／ｄｅｎｙ）とを対応付けたエントリ（制約情報）が格納されている。送信元や送信先の位置情報は、必ずしも特定のノードを指すものでなくともよく、例えば、送信元の位置情報として、位置的制約を課したい地域等の位置情報を記述することで、当該地域からの送信に制約を課すことができる。
【００３９】
従って、制約情報ＤＢ２３に設定する位置情報も、上記したロケーションＤＢ２２の各ノードの位置情報に基づいて、送信元から送信先へのパケット転送可否を割り出すことができるものであれば種々のものを用いることができる。例えば、各ノード１０およびサーバ４０Ｂ〜４０Ｎのネットワーク上の位置情報のほか、大州名（州名）、国名（領域名）、地方名（地域名）、県、市町村等の行政区画名や、さらに詳細な情報として街路名、番地、建物名等を用いることができる。また、ロケーションＤＢ２２の各ノードの位置情報と、制約情報ＤＢ２３の位置情報の対応関係を定めた対応表などを併用するようにしてもよい。
【００４０】
また、位置情報の粒度（階層）の違いを許容している場合において、各階層に優先順位を設定することも可能である。また、位置情報の粒度が細かく（詳細になる）に従って、優先度が高くなるようにすることができる。例えば、日本国からＡ国へのパケット転送を原則禁止とするエントリ（制約情報）と、日本国神奈川県からＡ国へのパケット転送を許可するエントリ（制約情報）や、日本国からＡ国Ｂ州へのパケット転送を許可するエントリ（制約情報）を重畳的に設けることで、日本国の神奈川県からのみＡ国へのパケット転送を許容したり、Ａ国Ｂ州へのパケット転送のみを許容したりすることができる。
【００４１】
トポロジーＤＢ２４には、ノード１０、サーバ４０Ｂ〜４０Ｎ、端末３０の接続関係を示したネットワークトポロジ情報が格納される。ネットワークトポロジ情報としては、各ノード１０の各ポートに接続されたノード１０、サーバ４０Ｂ〜４０Ｎ、端末３０などのノードＩＤをリスト形式で表わしたものや、各ノードのポートと前記ノードＩＤとの関係をテーブルに格納したものを用いることができる。なお、サーバ４０Ｂ〜４０Ｎや端末３０のノードＩＤとしては、ノード１０から受信したパケットのパケットヘッダから取得したＩＰアドレスやＭＡＣアドレスを用いることができる。
【００４２】
転送可否判定部２６は、受信部２５から転送されたパケットの送信元のノードＩＤ（上記ＩＰアドレスやＭＡＣアドレスである場合を含む。）と、当該パケットの送信先のノードＩＤ（上記ＩＰアドレスやＭＡＣアドレスである場合を含む。）とに対応する位置情報をロケーションＤＢ２２から割り出し、制約情報ＤＢ２３から前記各位置情報に適合するエントリを検索することで、パケットの送信元から送信先へのパケット転送可否を判定する。
【００４３】
前記判定の結果、パケット転送不可と判定した場合、転送可否判定部２６は、送信部２８を介して、パケットの送信元のノード１０に、当該パケットおよび後続するパケットの廃棄を行わせるフローエントリ（処理規則）を設定する。
【００４４】
一方、前記判定の結果、パケット転送可と判定した場合、転送可否判定部２６は、前記パケットを経路生成部２７に転送し、経路の生成と、当該経路に従ったパケット転送を実現するためのフローエントリ（処理規則）の作成・設定を依頼する。
【００４５】
経路生成部２７は、トポロジＤＢ２４を参照して、転送可否判定部２６から転送されたパケットの送信元から送信先に到る経路を生成する。また、経路生成部２７は、前記生成した経路上のノードに、前記経路に従ったパケット転送を行わせるフローエントリ（処理規則）を作成し、送信部２８を介して前記経路上の各ノードに設定する。なお、経路生成部２７における経路算出方法としては、ダイクストラ法等を用いることができる。
【００４６】
なお、上記のような制御装置２０は、非特許文献１、２のオープンフローコントローラをベースに、ロケーションＤＢ２２、制約情報ＤＢ２３、転送可否判定部２６に相当する機能を追加した構成にて実現することが可能である。
【００４７】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図９は、パケット受信時のノード１０の動作を表したフローチャートである。図９を参照すると、まず、ノード１０のパケット処理部１１は、フローエントリ記憶部１２から、受信パケットのパケットヘッダと一致するマッチングルールを持つフローエントリ（処理規則）を検索する（Ｓ１０１）。
【００４８】
前記検索の結果、受信パケットのパケットヘッダと一致するマッチングルールを持つフローエントリ（処理規則）が見つかった場合（ステップＳ１０２のＹｅｓ）、パケット処理部１１は、前記フローエントリ（処理規則）のアクションフィールドに定義された処理内容を実行する（ステップＳ１０３）。
【００４９】
一方、受信パケットのパケットヘッダと一致するマッチングルールを持つフローエントリ（処理規則）が見つからなかった場合（ステップＳ１０２のＮｏ）、パケット処理部１１は、制御装置２０に対し、受信パケットを転送し、フローエントリ（処理規則）の設定を要求する（ステップＳ１０４）。
【００５０】
図１０は、ノード１０からフローエントリ（処理規則）の設定要求を受けた制御装置２０の動作を表したフローチャートである。図１０を参照すると、まず、受信部２５から受信パケットとその送信元のノード、受信ポート等を受け取ったノード管理部２１が、受信パケットの送信元の端末３０がトポロジーＤＢ２４の該当位置（フローエントリ（処理規則）の設定要求元のノードとその受信ポート）に登録されているか否かを確認する（ステップＳ２０１）。具体的には、受信パケットの送信元ＩＰアドレスや送信元ＭＡＣアドレスが、トポロジーＤＢ２４の該当ノード１０のポートに接続されている機器のＩＰアドレスとＭＡＣアドレスと一致するか否かを確認する。
【００５１】
ここで、受信パケットの送信元の端末３０がトポロジーＤＢ２４に登録されていないことが判明した場合（ステップＳ２０１のＹｅｓ）、ノード管理部２１は、当該端末３０をトポロジーＤＢ２４の該当位置（フローエントリ（処理規則）の設定要求元のノードとその受信ポート）に登録するとともに、フローエントリ（処理規則）の設定要求元のノード１０の位置をロケーションＤＢ２２から検索し、当該端末３０の位置情報としてロケーションＤＢ２２に登録する（ステップＳ２０２）。
【００５２】
他方、受信パケットの送信元の端末３０がトポロジーＤＢ２４に登録されていた場合（ステップＳ２０１のＮｏ）、転送可否判定部２６は、受信パケットの送信元ＩＰアドレスや送信元ＭＡＣアドレス等を用いてロケーションＤＢ２２を検索し、送信元機器の位置を特定する。また、転送可否判定部２６は、受信パケットの送信先ＩＰアドレスや送信先ＭＡＣアドレス等を用いてロケーションＤＢ２２を検索し送信先機器の位置を特定する（ステップＳ２０３）。
【００５３】
次に、転送可否判定部２６は、制約情報ＤＢ２３から、前記特定した送信元と送信先の位置に適合するエントリ（制約情報）を検索する（ステップＳ２０４）。
【００５４】
前記検索の結果、得られたエントリ（制約情報）の送信可否が接続許可（ａｌｌｏｗ）であった場合（ステップＳ２０５のＹｅｓ）、転送可否判定部２６は、経路生成部２７に対して経路の生成を依頼する。経路生成部２７は、トポロジーＤＢ２４を参照して、受信パケットの送信元ＩＰアドレスおよびＭＡＣアドレスを持つノードから、送信先ＩＰアドレスおよびＭＡＣアドレスを持つノードに到る経路を算出する（ステップＳ２０６）。
【００５５】
次いで、経路生成部２７は、前記算出した経路上のノード１０に設定すべきフローエントリ（処理規則）を生成し、送信部２８を介して、各ノード１０のフローエントリ記憶部１２に設定する（ステップＳ２０７）。具体的には、前記経路上の各ノードについて、受信パケットの送信ＩＰアドレス、受信ＩＰアドレスを指定し、残りのタプルはｗｉｌｄカードとしたマッチングルールを持ち、前記算出した経路の次のノードと接続しているポートからパケットを転送させるアクションを定めたフローエントリ（処理規則）が作成される。
【００５６】
次いで、経路生成部２７は、送信部２８を介して、受信パケットの送信元のノード１０に対し、ステップＳ２０１で受信したパケットを送信し、前記経路に従ったポートから転送するよう指示する（ステップＳ２０８）。
【００５７】
一方、ステップＳ２０４の検索の結果、得られたエントリ（制約情報）の送信可否情報が接続拒否（ｄｅｎｙ）であった場合（ステップＳ２０５のＮｏ）、転送可否判定部２６は、受信パケットに後続するパケットを破棄する処理を行わせるフローエントリ（処理規則）を生成し、送信部２８を介して、受信パケットの送信元のノード１０のフローエントリ記憶部１２に設定する（ステップＳ２０９）。
【００５８】
以上のように、本実施形態によれば、上記した制約情報ＤＢ２３に設定した内容に従って、端末の位置に応じたパケット転送可否を制御することが可能となる。また、上記のようにステップＳ２０９で、パケット破棄を行わせるフローエントリ（処理規則）を設定することにより、端末３０が接続されているノードにおいて、同一のパケットヘッダを持つパケットが破棄されるため、制御装置２０のフローエントリ（処理規則）の設定要求に対する応答負荷が低減される。その一方で、ユーザは、端末３０を移動して目的とするサーバへのパケット転送が認められたノードに接続し再度パケットを送信することで、制御装置２０にパケットの転送経路を設定させることができる。
【００５９】
なお、上記した実施形態では、受信パケットの送信元のノードの位置を、端末３０の位置として取り扱ったが、ノードの各ポートを位置情報として取り扱うこともできる。このようにすることで、ノード１０に、無線ＬＡＮのアクセスポイントやオープンフロースイッチ以外のスイッチが接続されているような構成においても、その詳細な位置によるパケット転送可否を制御することが可能となる。
【００６０】
また、上記した実施形態では、受信パケットの送信元のノード１０に対し、受信パケットを返送し、前記経路に従ったポートから転送するよう指示するものとして説明したが、制御装置２０が、前記算出した経路の終点に当たるノード１０にパケットを転送することも可能である。
【００６１】
また、上記した実施形態では、ノード１０からパケットの受信を契機に、端末３０の位置をロケーションＤＢ２２およびトポロジーＤＢ２４に登録するものとして説明したが、ノード１０のポートがリンクアップし、ステータス更新のメッセージが来たことを契機に、ロケーションＤＢ２２およびトポロジーＤＢ２４に端末の位置を登録してもよい。
【００６２】
また、上記した実施形態では、ロケーションＤＢ２２およびトポロジーＤＢ２４からの端末の位置情報の削除のタイミングについては触れなかったが、端末３０が接続されたノード１０からの当該端末３０が接続したポートのリンクダウンの通知を契機に行うことができる。具体的には、トポロジーＤＢ２４から、該当ノード１０の該当ポートに接続されていたノードＩＤ（ＩＤ、ＩＰアドレス、ＭＡＣアドレス等）を削除し、ロケーションＤＢ２２から、前記ノードＩＤ（ＩＤ、ＩＰアドレス、ＭＡＣアドレス等）を持つエントリを削除する処理が行われる。
【００６３】
［第２の実施形態］
続いて、認証装置と連携動作により、上記ロケーションＤＢ２２と制約情報ＤＢ２３とを更新するようにした本発明の第２の実施形態について図面を参照して詳細に説明する。
【００６４】
図１１は、本発明の第２の実施形態の構成を表わした図である。図２に示した第１の実施形態との構成上の相違点は、制御装置２０Ｂに、認証情報データベース（認証情報ＤＢ）５１を備えた認証装置５０が接続されている点である。また、本実施形態では、第１の実施形態と制御装置の構成および動作が異なっているので、これら相違点を中心に説明する。
【００６５】
図１２は、本発明の第２の実施形態の制御装置の構成を表したブロック図である。図１２を参照すると、ロケーションＤＢ２２と、制約情報ＤＢ２３と、トポロジーＤＢ２４と、受信部２５Ａと、転送可否判定部２６と、経路生成部２７と、送信部２８とを備えた構成が示されている。第１の実施形態との構成上の大きな相違は、ノード管理部２１が省略され、代わりに認証装置５０と情報のやり取りを行う構成となっている点である。
【００６６】
受信部２５Ａは、ノード１０から認証用パケットを受信すると、認証装置５０に、認証用パケットを転送する。また、受信部２５Ａは、ノード１０からパケット（またはフローエントリ（処理規則）の作成に必要な情報を含んだフローエントリ（処理規則）の設定要求）を受信すると、転送可否判定部２６に端末３０から受信したパケット、当該パケットの送信元のノードおよびその受信ポートの情報等を転送する。
【００６７】
認証装置５０は、受信部２５Ａから受信した認証用パケットに基づいて端末３０とユーザ認証処理を行う。そして、ユーザ認証に成功した場合、認証装置５０は、ロケーションＤＢ２２から取得した当該端末３０の位置と、認証情報ＤＢ５１の内容とに基づいて、制約情報ＤＢ２３に登録するエントリ（制約情報）を生成し、制約情報ＤＢ２３に登録する動作を行う。
【００６８】
図１３は、認証装置５０の認証情報ＤＢ５１に保持されるテーブルの例を示す図である。図１３の例では、個々のユーザ毎に、送信元の位置情報、送信先の位置情報、許可あるいは拒否を示す値（ａｌｌｏｗ／ｄｅｎｙ）とを対応付けたエントリが格納されている。
【００６９】
認証情報ＤＢ５１に設定する位置情報も、制約情報ＤＢに登録するエントリ（制約情報）を生成可能なものであればよく種々のものを用いることができる。例えば、各ノード１０およびサーバ４０Ｂ〜４０Ｎのネットワーク上の位置情報のほか、ヨーロッパ、ユーラシア等の大州名（州名）、国名（領域名）、地方名（地域名）、県、市町村等の行政区画名や、さらに詳細な情報として街路名、番地、建物名等を用いることができる。また、ロケーションＤＢ２２や制約情報ＤＢ２３の各ノードの位置情報と、認証情報ＤＢ５１の位置情報の対応関係を定めた対応表などを併用するようにしてもよい。
【００７０】
その他各構成要素の動作は、第１の実施形態と同様であり、転送可否判定部２６が、ロケーションＤＢ２２および制約情報ＤＢ２３に基づいて、送信元と送信先へのパケットの転送可否を判定し、パケット転送可と判定した場合、経路生成部２７にて、経路の生成とフローエントリ（処理規則）の設定が行われる。
【００７１】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図１４は、ノード１０から、パケットを受信した制御装置２０Ｂの動作を表したフローチャートである。図１４を参照すると、まず、受信部２５Ａは、ノード１０から受信したパケットが認証用のパケットであるか否かを判定する（ステップＳ３００）。例えば、認証規格としてＩＥＥＥ８０２．１ｘを用いる場合、認証用パケットか否かの判定は、パケットのＥｔｈｅｒ ｔｙｐｅフィールドが、０ｘ８８８Ｅ（ＥＡＰｏＬ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ ＬＡＮ）フレーム）であるか否かにより識別できる。
【００７２】
ノード１０から受信したパケットが認証用パケットである場合（ステップＳ３００のＹｅｓ）、受信部２５Ａは、認証装置５０に認証用パケットを転送する（ステップＳ３０１）。また、認証装置５０と端末３０間でメッセージのやり取りが必要な場合には、認証用パケットの送信元のノード（例えば、図１１のノード１０Ａ）に、認証装置５０からの応答を端末３０に転送させるフローエントリ（処理規則）の設定が行われる。具体的には、マッチングルールとして、送信元ＭＡＣアドレスを認証装置５０のＭＡＣアドレスとし、送信先ＭＡＣアドレスとして端末３０のＭＡＣアドレスを指定し、アクションとして、端末３０が接続されたポートへ転送するフローエントリ（処理規則）が設定される。
【００７３】
以降、図１４のステップＳ２０１からＳ２０９の制御装置の動作は、上記した第１の実施形態と同様であるので説明を省略する。
【００７４】
続いて、上記制御装置２０Ｂの受信部２５Ａから認証用パケットの転送を受けた認証装置５０の動作について図面を参照して詳細に説明する。図１５は、認証用パケットの転送を受けた認証装置５０の動作を表したフローチャートである。
【００７５】
図１５を参照すると、まず、認証装置５０は、端末３０から受信した認証用パケットに基づいてユーザ認証処理を行う（ステップＳ４０１）。ここで、ユーザ認証処理に失敗した場合（ステップＳ４０２のＮｏ）、以降の処理は行われない。この場合において、認証装置５０が、制御装置２０にその旨を通知し、当該端末３０からのパケットを破棄するフローエントリ（処理規則）を設定するようにしてもよい。
【００７６】
一方、ユーザ認証に成功した場合（ステップＳ４０２のＹｅｓ）、認証装置５０は、制御装置の２０のロケーションＤＢ２２から当該端末３０の位置情報を取得する（ステップＳ４０３）。
【００７７】
次に、認証装置５０は、認証情報ＤＢ５１のテーブル（図１３参照）と、前記取得した端末３０の位置情報およびＭＡＣアドレスやＩＰアドレス等を用いて、制御装置２０の制約情報ＤＢ２３に登録するエントリ（制約情報）を生成し、制御装置２０の制約情報ＤＢ２３に登録する（ステップＳ４０４、Ｓ４０５）。
【００７８】
具体的には、認証装置５０は、認証情報ＤＢ５１のテーブル（図１３参照）から、認証したユーザと一致し、かつ、送信元あるいは送信先のいずれかが、ステップＳ４０３で取得した位置の一部に合致するものを抽出する。
【００７９】
認証装置５０は、前記抽出したエントリ群のそれぞれから、ユーザ情報を削除し、送信先あるいは送信元のうち、ステップＳ４０３で取得した位置情報に合致した方を、端末３０のＭＡＣアドレスやＩＰアドレス等の端末情報に置き換える処理を行う。
【００８０】
以上の結果、下記のようなエントリ（制約情報）が生成される。
【００８１】
端末情報、位置、許可（ａｌｌｏｗ）ｏｒ拒否（ｄｅｎｙ）
位置、端末情報、許可（ａｌｌｏｗ）ｏｒ拒否（ｄｅｎｙ）
上記のようなエントリ（制約情報）を制御装置２０の制約情報ＤＢ２３に登録することで、上記した第１の実施形態と同様に、制御装置２０Ａの転送可否判定部２６による送信元と送信先の位置関係に基づいた転送可否の判定と、その結果を受けた経路生成部２７による経路算出、フローエントリ（処理規則）の設定が行われる。
【００８２】
以上のように、本発明は、認証装置と連携した構成にて実現することも可能である。
【００８３】
なお、上記した実施形態では、認証装置５０による制約情報ＤＢ２３へのエントリ（制約情報）の登録処理を説明したが、認証装置５０に、制約情報ＤＢ２３からのエントリ（制約情報）の削除を行わせることも可能である。
【００８４】
例えば、（１）予め定められたエントリ（制約情報）の有効期限の到来、（２）端末３０の移動を検出（端末３０が異なるノード１０に接続）、（３）ユーザのログアウト（接続終了）等を契機として制約情報ＤＢ２３からのエントリ（制約情報）を削除することができる。もちろん、フローエントリ（処理規則）自体に、タイムアウト値を設定し、一定期間、該当するパケットを受信できなかった場合や、フローエントリ（処理規則）の設定から一定期間経過した場合に、ノード１０が当該フローエントリ（処理規則）を削除するようにしてもよい。
【００８５】
また、上記した実施形態では、ノード１０におけるフローエントリ（処理規則）の検索処理については第１の実施形態と同様であるものとして説明したが、受信パケットに適合するフローエントリ（処理規則）が複数検出された場合、フローエントリ（処理規則）に付与された優先度情報に基づいて、フローエントリ（処理規則）を選択するノードを用いることも好ましい。例えば、認証用パケット以外はパケット破棄するというマッチングルールと、処理内容を定めたフローエントリ（処理規則）を低優先度としてノード１０のフローエントリ記憶部１２に記憶させておくことで、認証を経ないで送られたユーザパケットをノート１０に破棄させることができる。
【００８６】
また、ノード１０の各ポート毎に、認証用パケット以外のパケットを破棄するフローエントリ（処理規則）を設定することも可能である。また、認証成功後の当該ユーザのためのフローエントリ（処理規則）の設定時に、これらユーザパケットを破棄させるフローエントリ（処理規則）を削除するようにしてもよい。そしてまた、ユーザ認証の有効期限が到来した際には、前記特定のポートからの認証用パケット以外のパケットを破棄するフローエントリ（処理規則）を設定するようにしてもよい。
【００８７】
また上記した実施形態では、認証装置５０が直接制約情報ＤＢ２３を更新するものとして説明したが、認証装置５０が制御装置２０に認証結果のみを通知し、制御装置がこれに基づいて、制約情報ＤＢ２３を更新する構成も採用可能である。もちろん、制御装置２０自体に上記認証装置５０相当の機能を設けてもよい。
【００８８】
以上、本発明の好適な実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。
【００８９】
例えば、上記した第１、第２の実施形態では、送信元から送信先へのパケット転送が認められていない場合に、当該端末からのパケットを破棄する処理を行わせるフローエントリ（処理規則）を設定するものとして説明したが、当該位置からパケット転送が禁じられている旨のメッセージや、当該送信先にパケットを転送可能な位置を知らせるメッセージを送信するサーバに接続する経路を設定してもよい。このようにすることで、ユーザに、パケットを転送できない理由やパケットを転送できるようにするための対象方法を知らせることが可能となる。
【００９０】
また同様に、送信元から送信先へのパケット転送が認められていない場合に、認証装置、輸出手続サーバ（データの送信（輸入）手続サーバ）、ユーザ登録サーバに接続する経路を設定するようにしてもよい。これらのサーバが、第２の実施形態の認証装置５０と同様の動作を行って、制御装置２０の制約情報ＤＢ２３に、当該端末から送信先へのパケット転送を許可するエントリを追加するようにすればよい。
【００９１】
また、これらの処理を使い分けることも可能である。例えば、制御装置２０の制約情報ＤＢ２３の送信可否情報として、許可（ａｌｌｏｗ）または拒否（ｄｅｎｙ）の２値だけでなく、前記メッセージの送信や、認証装置への接続等の具体的な処理内容を定めた制御情報を設定し、制御装置２０がこれに従って動作するようにしてもよい。
【００９２】
最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点による通信システム参照）
［第２の形態］
第１の形態の通信システムにおいて、
前記制御装置は、
前記複数のノードのそれぞれの位置情報と、前記複数のノードの接続関係とに基づいて、パケットの転送経路を決定する通信システム。
［第３の形態］
第１または第２の形態の通信システムにおいて、
さらに、端末とユーザ認証を行なう認証装置を含み、
前記制約情報は、ユーザ認証の結果に基づいて更新される通信システム。
［第４の形態］
第１から第３いずれか一の形態の通信システムにおいて、
前記制約情報は、前記送信先の位置的制約を課すノードの位置情報と、送信先の位置情報と、前記送信元から前記送信先への送信可否を示す送信可否情報と、を対応付けたテーブルによって構成されている通信システム。
［第５の形態］
第１から第４いずれか一の形態の通信システムにおいて、
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する通信システム。
［第６の形態］
第１から第５いずれか一の形態の通信システムにおいて、
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記制御装置は、前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する通信システム。
［第７の形態］
（上記第２の視点による制御装置参照）
［第８の形態］
第７の形態の制御装置において、
前記複数のノードのそれぞれの位置情報と、前記複数のノードの接続関係とに基づいて、パケットの転送経路を決定する手段をさらに備える制御装置。
［第９の形態］
第７または第８の形態の制御装置において、
前記端末とユーザ認証を行なう認証装置から受信したユーザ認証の結果に基づいて前記制約情報を更新する制御装置。
［第１０の形態］
第７から第９のいずれか一の形態の制御装置において、
前記制約情報は、前記送信先の位置的制約を課すノードの位置情報と、送信先の位置情報と、前記送信元から前記送信先への送信可否を示す送信可否情報と、を対応付けたテーブルによって構成されている制御装置。
［第１１の形態］
第７から第１０のいずれか一の形態の制御装置において、
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する制御装置。
［第１２の形態］
第７から第１１のいずれか一の形態の制御装置において、
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する制御装置。
［第１３の形態］
（上記第３の視点による通信方法参照）
［第１４の形態］
（上記第４の視点によるプログラム参照）
【００９３】
なお、上記の特許文献及び非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【産業上の利用可能性】
【００９４】
本発明は、位置に応じたアクセス制御システムのほか、国家間、地域間、企業間といった各種レベルで、データの移動やコンテンツの輸出入を制御するシステムとして利用することができる。
【符号の説明】
【００９５】
１０、１０Ａ〜１０Ｎ ノード
１１ パケット処理部
１２ フローエントリ記憶部
２０、２０Ａ、２０Ｂ 制御装置
２１ ノード管理部
２２ ロケーションＤＢ（ロケーションデータベース）
２２Ａ ノード位置情報記憶部
２３ 制約情報ＤＢ（制約情報データベース）
２３Ａ 制約情報記憶部
２４ トポロジーＤＢ（トポロジーデータベース）
２５、２５Ａ 受信部
２６ 転送可否判定部
２６Ａ 転送可否判断部
２７ 経路生成部
２８ 送信部
３０ 端末
４０Ｂ〜４０Ｎ 送信先
４１Ｂ〜４１Ｎ サーバ
５０ 認証装置
５１ 認証情報ＤＢ
【技術分野】
【０００１】
本発明は、通信システム、制御装置、通信方法およびプログラムに関し、特に、ネットワークに配置されたノードを集中制御する制御装置を有する通信システム、制御装置、通信方法およびプログラムに関する。
【背景技術】
【０００２】
インターネットなどのネットワークの普及に伴い、利用者は、コンピュータ等の機器をネットワークに接続して、他の機器と通信を行うことや様々なサービスを受けることが可能となっている。
【０００３】
ネットワークに接続された機器同士が互いに通信する際に、各機器は、それぞれの識別情報に基づいて通信を行う。識別情報の一例は、ＩＰアドレスである。ＩＰアドレスは、ネットワークに接続された機器を識別するための識別子（ＩＤ）であると共に、機器のネットワーク中の位置を示す位置情報としての役割を持っている。例えば、ＩＰアドレスのプレフィックスが位置情報になる。機器同士が通信する際、この位置情報を参照して、該位置情報に基づく経路制御を実行することができる。
【０００４】
一方、近年、携帯型の機器（以下、「移動機器」とする。）の増加に伴い、移動機器を識別する識別子と、移動機器の位置を示す位置情報とを分離して管理する手法が普及している。ＩＰアドレスのように、識別子と位置情報の双方を含む識別情報を用いる場合、移動機器の移動に伴って該移動機器とネットワークとの接続ポイントが変化すると、移動機器に割振られる識別情報も変更されてしまう。接続ポイントが変わると、位置情報が変化するためである。識別情報が変更されると、移動機器の識別子も変わるため、移動機器のネットワーク接続を維持することが難しくなる。これが、移動機器の識別子と位置情報とを分離して管理する手法が普及している理由である。
【０００５】
上記のような背景から、特許文献１には、自装置の位置情報を保持し、通信相手の無線通信装置の位置情報を受信する位置受信手段と、通信相手の無線通信装置の位置情報及び自装置の位置情報に基づき、通信相手の無線通信装置との距離を算出する距離算出手段と、通信相手の無線通信装置との距離を測定する距離測定手段と、距離算出手段により算出した通信相手の無線通信装置との距離と距離測定手段により測定した通信相手の無線通信装置との距離に基づき、通信相手の無線通信装置の位置情報が正しいか否かを判定する位置判定手段と、位置判定手段による判定結果に基づき、通信相手の無線通信装置との通信可否を判定する通信可否判定手段とを有する無線通信装置が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−２３６２６２号公報
【非特許文献】
【０００７】
【非特許文献１】Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、“ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成２２年１２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉
【非特許文献２】“ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ” Ｖｅｒｓｉｏｎ １．０．０． （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０１） ［平成２２年１２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ〉
【発明の概要】
【発明が解決しようとする課題】
【０００８】
以下の分析は、本発明によって与えられたものである。上記したように識別子と位置情報とを分離して管理する手法が普及している状況下では、端末の識別子から当該端末の位置を判別することが困難となり、端末が適切な位置からアクセス先に接続しようとしているかを保証できないという問題点がある。また逆に、端末が適切な位置にあることが確認できれば、一定の範囲でアクセスを許容したいというニーズもある。
【０００９】
この点、特許文献１に開示の技術では、移動機器に、それぞれ通信相手との距離測定手段を設けなければならないという問題点がある。
【００１０】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、上記した端末の位置保証機能、位置に応じたアクセス制御機能を持った通信システム、制御装置、通信方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明の第１の視点によれば、パケットを転送する複数のノードと、前記複数のノードの少なくとも１つに接続してネットワークにアクセスする端末と、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置とを含み、前記制御装置は、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、を含む通信システムが提供される。
【００１２】
本発明の第２の視点によれば、端末から送信されたパケットを転送する複数のノードと接続され、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる手段と、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、
前記設定要求を送信したノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、を備える制御装置が提供される。
【００１３】
本発明の第３の視点によれば、端末から送信されたパケットを転送する複数のノードと接続され、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、を備えた制御装置が、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を判定するステップと、前記判定の結果、パケットの転送可と判定した場合に、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせるステップと、を含む通信方法が提供される。本方法は、上記した複数のノードを制御する制御装置という、特定の機械に結びつけられている。
【００１４】
本発明の第４の視点によれば、端末から送信されたパケットを転送する複数のノードと接続され、前記複数のノードのそれぞれの位置情報を記憶する手段と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、を備えた制御装置に搭載されたコンピュータに、前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を判定する処理と、前記判定の結果、パケットの転送可と判定した場合に、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１５】
本発明によれば、ネットワーク側に、端末の位置保証機能、位置に応じたアクセス制御機能を具備させることが可能になる。
【図面の簡単な説明】
【００１６】
【図１】本発明の概要を説明するための図である。
【図２】本発明の第１の実施形態の構成を表わした図である。
【図３】本発明の第１の実施形態のノードの構成を表したブロック図である。
【図４】本発明の第１の実施形態のノードに設定される処理規則の構成を示す図である。
【図５】図４の処理規則のアクションフィールドに設定する処理内容を説明するための図である。
【図６】本発明の第１の実施形態の制御装置の構成を表したブロック図である。
【図７】本発明の第１の実施形態の制御装置のロケーションデータベース（ロケーションＤＢ）に保持されるテーブルの例である。
【図８】本発明の第１の実施形態の制御装置の制約情報データベース（制約情報ＤＢ）に保持されるテーブルの例である。
【図９】本発明の第１の実施形態のノードの動作を表わしたフローチャートである。
【図１０】本発明の第１の実施形態の制御装置の動作を表わしたフローチャートである。
【図１１】本発明の第２の実施形態の構成を表わした図である。
【図１２】本発明の第２の実施形態の制御装置の構成を表したブロック図である。
【図１３】図１１の認証装置の認証情報データベース（認証情報ＤＢ）に保持されるテーブルの例である。
【図１４】本発明の第２の実施形態の制御装置の動作を表わしたフローチャートである。
【図１５】本発明の第２の実施形態の認証装置の動作を表わしたフローチャートである。
【発明を実施するための形態】
【００１７】
はじめに本発明の概要について、図１を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。
【００１８】
本発明は、図１に示すように、パケットを転送する複数のノード１０Ａ〜１０Ｎと、前記複数のノードのうち端末３０が接続されたノード（図１のノード１０Ａやノード１０Ｂ）からの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置２０とを含む構成にて実現できる。
【００１９】
制御装置２０は、複数のノードのそれぞれの位置情報を記憶する手段（ノード位置情報記憶部２２Ａ）と、前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段（制約情報記憶部２３Ａ）と、端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段（転送可否判断部２６Ａ）と、を含む。
【００２０】
例えば、ノード１０Ａから送信先４０Ｎへは送信不可、ノード１０Ｂから送信先４０Ｎへは送信可であるとの制約情報が設定されている場合において、端末３０が送信先４０Ｎに宛てたパケットを送信し、接続されたノードが制御装置２０に対し、パケットの転送経路の設定を要求した場合を考える。端末３０がノード１０Ａに接続している場合、制御装置２０は、前述のノード１０Ａから送信先４０Ｎへは送信不可との制約情報に従い、例えば、ノード１０Ａに端末３０から受信したパケットの廃棄を指示する。
【００２１】
その後、端末３０が移動し、ノード１０Ｂに接続して送信先４０Ｎ宛てのパケットを送信し、ノード１０Ｂから当該パケットの転送経路の設定要求を受けた場合、制御装置２０は、前述のノード１０Ｂから送信先４０Ｎへは送信可との制約情報に従い、端末３０と送信先４０Ｎ間の経路を設定し、当該経路上のノード１０Ｂ、ノード１０Ａ、ノード１０Ｎにパケット転送を行わせる。
【００２２】
以上のように、パケット転送経路の設定要求を行ったノードにより、端末の位置を把握し、その位置に基づいて、パケットの転送可否を制御することが可能となる。
【００２３】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態の構成を表した図である。図２を参照すると、端末３０と、複数のサーバ４１Ｂ〜４１Ｎと、端末３０とサーバ４１Ｂ〜４１Ｎとの間のパケットを転送する複数のノード１０Ａ〜１０Ｎと、複数のノード１０Ａ〜１０Ｎを制御する制御装置２０とを含む構成が示されている。
【００２４】
端末３０は、計算機、移動機器、テレビ等のユーザが使用する端末である。なお、図２では１台の端末を示しているが、複数の端末があってよい。
【００２５】
サーバ４１Ｂ〜４１Ｎは、アプリケーションプログラムにて動作し、端末３０への情報提供や、各種申込の受付等のサービスを提供する計算機である。なお、図２では３台のサーバを示しているが、３台に限られるものではない。また、各サーバが同一のサービスを提供するものとしてもよいし、各サーバがそれぞれ異なるサービスを提供するものとしてもよい。
【００２６】
ノード１０Ａ〜１０Ｎは、ネットワークスイッチやルータを用いることができるが、以下、本実施形態では、ノード１０Ａ〜１０Ｎとして、非特許文献１、２のオープンフロースイッチを用いるものとして説明する。
【００２７】
図３は、ノード１０Ａ〜１０Ｎ（以下、ノード１０Ａ〜１０Ｎを特に区別する必要のないときはノード１０と記す。）の構成を表したブロック図である。図３を参照すると、ノード１０は、制御装置２０により送信されたフローエントリ（処理規則）を格納するフローエントリ記憶部１２と、フローエントリ記憶部１２から、受信パケットに適合するフローエントリ（処理規則）を検索して、パケットの処理を行うパケット処理部１１とを含んで構成される。
【００２８】
ここで、オープンフロー（ＯｐｅｎＦｌｏｗ）について説明する。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。オープンフロースイッチ（ノード１０Ａ〜１０Ｎに相当）は、オープンフローコントローラ（制御装置２０に相当）との通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示される処理規則（フローエントリ）に従って動作する。
【００２９】
図４は、フローエントリ記憶部１２に格納されるフローエントリ（処理規則）の構成を示す図である。図４の例では、フローエントリ（処理規則）は、受信パケットのパケットヘッダと照合するマッチングルール（照合規則）と、当該マッチングルールに適合するパケットに適用する処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、フロー統計情報（Ｓｔａｔｓ）との組によって構成されている。
【００３０】
図５は、非特許文献２に定義されているアクション名とアクションの内容である。ＯＵＴＰＵＴは、指定ポート（インタフェース）に出力するアクションである。ＳＥＴ＿ＶＬＡＮ＿ＶＩＤからＳＥＴ＿ＴＰ＿ＤＳＴは、パケットヘッダのフィールドを修正するアクションである。また、アクション名を記載しないことで、当該パケットの破棄が行われる。
【００３１】
例えば、ノード１０のパケット処理部１１は、パケットを受信すると、上記のようなフローエントリ（処理規則）を格納したフローエントリ記憶部１２から、受信パケットのヘッダ情報に適合するマッチングルールを持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、ノード１０のパケット処理部１１は、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、ノード１０のパケット処理部１１は、セキュアチャネルを介して、制御装置２０に対して受信パケット（またはフローエントリ（処理規則）の作成に必要な情報を含んだフローエントリ（処理規則）の設定要求）を転送する。制御装置２０が作成したフローエントリ（処理規則）は、フローエントリ記憶部１２に格納される。
【００３２】
図６は、制御装置２０の構成を表わしたブロック図である。図６を参照すると、ノード管理部２１と、ロケーションＤＢ（ロケーションデータベース）２２と、制約情報ＤＢ（制約情報データベース）２３と、トポロジーＤＢ（トポロジーデータベース）２４と、受信部２５と、転送可否判定部２６と、経路生成部２７と、送信部２８とを備えた構成が示されている。
【００３３】
受信部２５は、ノード１０からパケット（またはフローエントリ（処理規則）の作成に必要な情報を含んだフローエントリ（処理規則）の設定要求）を受信すると、ノード管理部２１および転送可否判定部２６に、ノード１０から受信したパケット、当該パケットの送信元のノードおよびその受信ポートの情報等を転送する。
【００３４】
ノード管理部２１は、受信部２５から受信したパケット、当該パケットの送信元のノードおよびその受信ポートの情報に基づいて、トポロジーＤＢ２４に、端末３０が既知の端末として登録されているか否かを確認し、端末３０が既知の端末として登録されていない場合には、ロケーションＤＢ２２およびトポロジーＤＢ２４に、端末の位置情報を登録する。
【００３５】
図７は、ロケーションＤＢ２２に保持されるテーブルの例を示す図である。図７の例では、ノード１０、端末３０、サーバ４０Ｂ〜４０Ｎを一意に識別するためのノードＩＤと、そのノードが設置された場所を示す位置情報とを対応付けたエントリが格納されている。
【００３６】
なお、図７のノードＩＤとしては、ノード１０に付与されたＤａｔａｐａｔｈ ＩＤ（ＤＰＩＤ）や、ＩＰアドレス、ＭＡＣアドレス等を用いることができる。なお、サーバ４０Ｂ〜４０Ｎや端末３０のノードＩＤは、ノード１０から受信したパケットのパケットヘッダから取得することができる。また、所定のルールによりノードＩＤを決定し、その付加情報として、ＩＰアドレス、ＭＡＣアドレスやＤａｔａｐａｔｈ ＩＤ（ＤＰＩＤ）を用いることとしてもよい。
【００３７】
また、図７の位置情報としては、各ノード１０およびサーバ４０Ｂ〜４０Ｎのネットワーク上の位置情報のほか、ヨーロッパ、ユーラシア等の大州名（州名）、国名（領域名）、地方名（地域名）、県、市町村等の行政区画名や、さらに詳細な情報として街路名、番地、建物名等を用いることができる。また、位置情報の記述形態としては、各位置を表す文字列でもよいし、各位置に付与された識別値（郵便番号やＺＩＰコードを含む）でもよい。また、これら位置情報の粒度（階層）は、すべて統一する必要は無く、後記する制約情報ＤＢ２３のエントリ（制約情報）と整合していればよい。例えば、ユーザの位置に応じて、日本国神奈川県川崎市にあるサーバと、日本国神奈川県川崎市以外にあるサーバと、米国にあるサーバとに、それぞれパケット転送可否を設定したい場合、あるノードは、日本国神奈川県川崎市にあり、またあるノードは米国にあることが記述され、日本国神奈川県川崎市以外にあるノードと区別できるようになっていればよい。
【００３８】
図８は、制約情報ＤＢ２３に保持されるテーブルの例を示す図である。図８の例では、送信元の位置情報、送信先の位置情報、許可あるいは拒否を示す値（ａｌｌｏｗ／ｄｅｎｙ）とを対応付けたエントリ（制約情報）が格納されている。送信元や送信先の位置情報は、必ずしも特定のノードを指すものでなくともよく、例えば、送信元の位置情報として、位置的制約を課したい地域等の位置情報を記述することで、当該地域からの送信に制約を課すことができる。
【００３９】
従って、制約情報ＤＢ２３に設定する位置情報も、上記したロケーションＤＢ２２の各ノードの位置情報に基づいて、送信元から送信先へのパケット転送可否を割り出すことができるものであれば種々のものを用いることができる。例えば、各ノード１０およびサーバ４０Ｂ〜４０Ｎのネットワーク上の位置情報のほか、大州名（州名）、国名（領域名）、地方名（地域名）、県、市町村等の行政区画名や、さらに詳細な情報として街路名、番地、建物名等を用いることができる。また、ロケーションＤＢ２２の各ノードの位置情報と、制約情報ＤＢ２３の位置情報の対応関係を定めた対応表などを併用するようにしてもよい。
【００４０】
また、位置情報の粒度（階層）の違いを許容している場合において、各階層に優先順位を設定することも可能である。また、位置情報の粒度が細かく（詳細になる）に従って、優先度が高くなるようにすることができる。例えば、日本国からＡ国へのパケット転送を原則禁止とするエントリ（制約情報）と、日本国神奈川県からＡ国へのパケット転送を許可するエントリ（制約情報）や、日本国からＡ国Ｂ州へのパケット転送を許可するエントリ（制約情報）を重畳的に設けることで、日本国の神奈川県からのみＡ国へのパケット転送を許容したり、Ａ国Ｂ州へのパケット転送のみを許容したりすることができる。
【００４１】
トポロジーＤＢ２４には、ノード１０、サーバ４０Ｂ〜４０Ｎ、端末３０の接続関係を示したネットワークトポロジ情報が格納される。ネットワークトポロジ情報としては、各ノード１０の各ポートに接続されたノード１０、サーバ４０Ｂ〜４０Ｎ、端末３０などのノードＩＤをリスト形式で表わしたものや、各ノードのポートと前記ノードＩＤとの関係をテーブルに格納したものを用いることができる。なお、サーバ４０Ｂ〜４０Ｎや端末３０のノードＩＤとしては、ノード１０から受信したパケットのパケットヘッダから取得したＩＰアドレスやＭＡＣアドレスを用いることができる。
【００４２】
転送可否判定部２６は、受信部２５から転送されたパケットの送信元のノードＩＤ（上記ＩＰアドレスやＭＡＣアドレスである場合を含む。）と、当該パケットの送信先のノードＩＤ（上記ＩＰアドレスやＭＡＣアドレスである場合を含む。）とに対応する位置情報をロケーションＤＢ２２から割り出し、制約情報ＤＢ２３から前記各位置情報に適合するエントリを検索することで、パケットの送信元から送信先へのパケット転送可否を判定する。
【００４３】
前記判定の結果、パケット転送不可と判定した場合、転送可否判定部２６は、送信部２８を介して、パケットの送信元のノード１０に、当該パケットおよび後続するパケットの廃棄を行わせるフローエントリ（処理規則）を設定する。
【００４４】
一方、前記判定の結果、パケット転送可と判定した場合、転送可否判定部２６は、前記パケットを経路生成部２７に転送し、経路の生成と、当該経路に従ったパケット転送を実現するためのフローエントリ（処理規則）の作成・設定を依頼する。
【００４５】
経路生成部２７は、トポロジＤＢ２４を参照して、転送可否判定部２６から転送されたパケットの送信元から送信先に到る経路を生成する。また、経路生成部２７は、前記生成した経路上のノードに、前記経路に従ったパケット転送を行わせるフローエントリ（処理規則）を作成し、送信部２８を介して前記経路上の各ノードに設定する。なお、経路生成部２７における経路算出方法としては、ダイクストラ法等を用いることができる。
【００４６】
なお、上記のような制御装置２０は、非特許文献１、２のオープンフローコントローラをベースに、ロケーションＤＢ２２、制約情報ＤＢ２３、転送可否判定部２６に相当する機能を追加した構成にて実現することが可能である。
【００４７】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図９は、パケット受信時のノード１０の動作を表したフローチャートである。図９を参照すると、まず、ノード１０のパケット処理部１１は、フローエントリ記憶部１２から、受信パケットのパケットヘッダと一致するマッチングルールを持つフローエントリ（処理規則）を検索する（Ｓ１０１）。
【００４８】
前記検索の結果、受信パケットのパケットヘッダと一致するマッチングルールを持つフローエントリ（処理規則）が見つかった場合（ステップＳ１０２のＹｅｓ）、パケット処理部１１は、前記フローエントリ（処理規則）のアクションフィールドに定義された処理内容を実行する（ステップＳ１０３）。
【００４９】
一方、受信パケットのパケットヘッダと一致するマッチングルールを持つフローエントリ（処理規則）が見つからなかった場合（ステップＳ１０２のＮｏ）、パケット処理部１１は、制御装置２０に対し、受信パケットを転送し、フローエントリ（処理規則）の設定を要求する（ステップＳ１０４）。
【００５０】
図１０は、ノード１０からフローエントリ（処理規則）の設定要求を受けた制御装置２０の動作を表したフローチャートである。図１０を参照すると、まず、受信部２５から受信パケットとその送信元のノード、受信ポート等を受け取ったノード管理部２１が、受信パケットの送信元の端末３０がトポロジーＤＢ２４の該当位置（フローエントリ（処理規則）の設定要求元のノードとその受信ポート）に登録されているか否かを確認する（ステップＳ２０１）。具体的には、受信パケットの送信元ＩＰアドレスや送信元ＭＡＣアドレスが、トポロジーＤＢ２４の該当ノード１０のポートに接続されている機器のＩＰアドレスとＭＡＣアドレスと一致するか否かを確認する。
【００５１】
ここで、受信パケットの送信元の端末３０がトポロジーＤＢ２４に登録されていないことが判明した場合（ステップＳ２０１のＹｅｓ）、ノード管理部２１は、当該端末３０をトポロジーＤＢ２４の該当位置（フローエントリ（処理規則）の設定要求元のノードとその受信ポート）に登録するとともに、フローエントリ（処理規則）の設定要求元のノード１０の位置をロケーションＤＢ２２から検索し、当該端末３０の位置情報としてロケーションＤＢ２２に登録する（ステップＳ２０２）。
【００５２】
他方、受信パケットの送信元の端末３０がトポロジーＤＢ２４に登録されていた場合（ステップＳ２０１のＮｏ）、転送可否判定部２６は、受信パケットの送信元ＩＰアドレスや送信元ＭＡＣアドレス等を用いてロケーションＤＢ２２を検索し、送信元機器の位置を特定する。また、転送可否判定部２６は、受信パケットの送信先ＩＰアドレスや送信先ＭＡＣアドレス等を用いてロケーションＤＢ２２を検索し送信先機器の位置を特定する（ステップＳ２０３）。
【００５３】
次に、転送可否判定部２６は、制約情報ＤＢ２３から、前記特定した送信元と送信先の位置に適合するエントリ（制約情報）を検索する（ステップＳ２０４）。
【００５４】
前記検索の結果、得られたエントリ（制約情報）の送信可否が接続許可（ａｌｌｏｗ）であった場合（ステップＳ２０５のＹｅｓ）、転送可否判定部２６は、経路生成部２７に対して経路の生成を依頼する。経路生成部２７は、トポロジーＤＢ２４を参照して、受信パケットの送信元ＩＰアドレスおよびＭＡＣアドレスを持つノードから、送信先ＩＰアドレスおよびＭＡＣアドレスを持つノードに到る経路を算出する（ステップＳ２０６）。
【００５５】
次いで、経路生成部２７は、前記算出した経路上のノード１０に設定すべきフローエントリ（処理規則）を生成し、送信部２８を介して、各ノード１０のフローエントリ記憶部１２に設定する（ステップＳ２０７）。具体的には、前記経路上の各ノードについて、受信パケットの送信ＩＰアドレス、受信ＩＰアドレスを指定し、残りのタプルはｗｉｌｄカードとしたマッチングルールを持ち、前記算出した経路の次のノードと接続しているポートからパケットを転送させるアクションを定めたフローエントリ（処理規則）が作成される。
【００５６】
次いで、経路生成部２７は、送信部２８を介して、受信パケットの送信元のノード１０に対し、ステップＳ２０１で受信したパケットを送信し、前記経路に従ったポートから転送するよう指示する（ステップＳ２０８）。
【００５７】
一方、ステップＳ２０４の検索の結果、得られたエントリ（制約情報）の送信可否情報が接続拒否（ｄｅｎｙ）であった場合（ステップＳ２０５のＮｏ）、転送可否判定部２６は、受信パケットに後続するパケットを破棄する処理を行わせるフローエントリ（処理規則）を生成し、送信部２８を介して、受信パケットの送信元のノード１０のフローエントリ記憶部１２に設定する（ステップＳ２０９）。
【００５８】
以上のように、本実施形態によれば、上記した制約情報ＤＢ２３に設定した内容に従って、端末の位置に応じたパケット転送可否を制御することが可能となる。また、上記のようにステップＳ２０９で、パケット破棄を行わせるフローエントリ（処理規則）を設定することにより、端末３０が接続されているノードにおいて、同一のパケットヘッダを持つパケットが破棄されるため、制御装置２０のフローエントリ（処理規則）の設定要求に対する応答負荷が低減される。その一方で、ユーザは、端末３０を移動して目的とするサーバへのパケット転送が認められたノードに接続し再度パケットを送信することで、制御装置２０にパケットの転送経路を設定させることができる。
【００５９】
なお、上記した実施形態では、受信パケットの送信元のノードの位置を、端末３０の位置として取り扱ったが、ノードの各ポートを位置情報として取り扱うこともできる。このようにすることで、ノード１０に、無線ＬＡＮのアクセスポイントやオープンフロースイッチ以外のスイッチが接続されているような構成においても、その詳細な位置によるパケット転送可否を制御することが可能となる。
【００６０】
また、上記した実施形態では、受信パケットの送信元のノード１０に対し、受信パケットを返送し、前記経路に従ったポートから転送するよう指示するものとして説明したが、制御装置２０が、前記算出した経路の終点に当たるノード１０にパケットを転送することも可能である。
【００６１】
また、上記した実施形態では、ノード１０からパケットの受信を契機に、端末３０の位置をロケーションＤＢ２２およびトポロジーＤＢ２４に登録するものとして説明したが、ノード１０のポートがリンクアップし、ステータス更新のメッセージが来たことを契機に、ロケーションＤＢ２２およびトポロジーＤＢ２４に端末の位置を登録してもよい。
【００６２】
また、上記した実施形態では、ロケーションＤＢ２２およびトポロジーＤＢ２４からの端末の位置情報の削除のタイミングについては触れなかったが、端末３０が接続されたノード１０からの当該端末３０が接続したポートのリンクダウンの通知を契機に行うことができる。具体的には、トポロジーＤＢ２４から、該当ノード１０の該当ポートに接続されていたノードＩＤ（ＩＤ、ＩＰアドレス、ＭＡＣアドレス等）を削除し、ロケーションＤＢ２２から、前記ノードＩＤ（ＩＤ、ＩＰアドレス、ＭＡＣアドレス等）を持つエントリを削除する処理が行われる。
【００６３】
［第２の実施形態］
続いて、認証装置と連携動作により、上記ロケーションＤＢ２２と制約情報ＤＢ２３とを更新するようにした本発明の第２の実施形態について図面を参照して詳細に説明する。
【００６４】
図１１は、本発明の第２の実施形態の構成を表わした図である。図２に示した第１の実施形態との構成上の相違点は、制御装置２０Ｂに、認証情報データベース（認証情報ＤＢ）５１を備えた認証装置５０が接続されている点である。また、本実施形態では、第１の実施形態と制御装置の構成および動作が異なっているので、これら相違点を中心に説明する。
【００６５】
図１２は、本発明の第２の実施形態の制御装置の構成を表したブロック図である。図１２を参照すると、ロケーションＤＢ２２と、制約情報ＤＢ２３と、トポロジーＤＢ２４と、受信部２５Ａと、転送可否判定部２６と、経路生成部２７と、送信部２８とを備えた構成が示されている。第１の実施形態との構成上の大きな相違は、ノード管理部２１が省略され、代わりに認証装置５０と情報のやり取りを行う構成となっている点である。
【００６６】
受信部２５Ａは、ノード１０から認証用パケットを受信すると、認証装置５０に、認証用パケットを転送する。また、受信部２５Ａは、ノード１０からパケット（またはフローエントリ（処理規則）の作成に必要な情報を含んだフローエントリ（処理規則）の設定要求）を受信すると、転送可否判定部２６に端末３０から受信したパケット、当該パケットの送信元のノードおよびその受信ポートの情報等を転送する。
【００６７】
認証装置５０は、受信部２５Ａから受信した認証用パケットに基づいて端末３０とユーザ認証処理を行う。そして、ユーザ認証に成功した場合、認証装置５０は、ロケーションＤＢ２２から取得した当該端末３０の位置と、認証情報ＤＢ５１の内容とに基づいて、制約情報ＤＢ２３に登録するエントリ（制約情報）を生成し、制約情報ＤＢ２３に登録する動作を行う。
【００６８】
図１３は、認証装置５０の認証情報ＤＢ５１に保持されるテーブルの例を示す図である。図１３の例では、個々のユーザ毎に、送信元の位置情報、送信先の位置情報、許可あるいは拒否を示す値（ａｌｌｏｗ／ｄｅｎｙ）とを対応付けたエントリが格納されている。
【００６９】
認証情報ＤＢ５１に設定する位置情報も、制約情報ＤＢに登録するエントリ（制約情報）を生成可能なものであればよく種々のものを用いることができる。例えば、各ノード１０およびサーバ４０Ｂ〜４０Ｎのネットワーク上の位置情報のほか、ヨーロッパ、ユーラシア等の大州名（州名）、国名（領域名）、地方名（地域名）、県、市町村等の行政区画名や、さらに詳細な情報として街路名、番地、建物名等を用いることができる。また、ロケーションＤＢ２２や制約情報ＤＢ２３の各ノードの位置情報と、認証情報ＤＢ５１の位置情報の対応関係を定めた対応表などを併用するようにしてもよい。
【００７０】
その他各構成要素の動作は、第１の実施形態と同様であり、転送可否判定部２６が、ロケーションＤＢ２２および制約情報ＤＢ２３に基づいて、送信元と送信先へのパケットの転送可否を判定し、パケット転送可と判定した場合、経路生成部２７にて、経路の生成とフローエントリ（処理規則）の設定が行われる。
【００７１】
続いて、本実施形態の動作について図面を参照して詳細に説明する。図１４は、ノード１０から、パケットを受信した制御装置２０Ｂの動作を表したフローチャートである。図１４を参照すると、まず、受信部２５Ａは、ノード１０から受信したパケットが認証用のパケットであるか否かを判定する（ステップＳ３００）。例えば、認証規格としてＩＥＥＥ８０２．１ｘを用いる場合、認証用パケットか否かの判定は、パケットのＥｔｈｅｒ ｔｙｐｅフィールドが、０ｘ８８８Ｅ（ＥＡＰｏＬ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ ＬＡＮ）フレーム）であるか否かにより識別できる。
【００７２】
ノード１０から受信したパケットが認証用パケットである場合（ステップＳ３００のＹｅｓ）、受信部２５Ａは、認証装置５０に認証用パケットを転送する（ステップＳ３０１）。また、認証装置５０と端末３０間でメッセージのやり取りが必要な場合には、認証用パケットの送信元のノード（例えば、図１１のノード１０Ａ）に、認証装置５０からの応答を端末３０に転送させるフローエントリ（処理規則）の設定が行われる。具体的には、マッチングルールとして、送信元ＭＡＣアドレスを認証装置５０のＭＡＣアドレスとし、送信先ＭＡＣアドレスとして端末３０のＭＡＣアドレスを指定し、アクションとして、端末３０が接続されたポートへ転送するフローエントリ（処理規則）が設定される。
【００７３】
以降、図１４のステップＳ２０１からＳ２０９の制御装置の動作は、上記した第１の実施形態と同様であるので説明を省略する。
【００７４】
続いて、上記制御装置２０Ｂの受信部２５Ａから認証用パケットの転送を受けた認証装置５０の動作について図面を参照して詳細に説明する。図１５は、認証用パケットの転送を受けた認証装置５０の動作を表したフローチャートである。
【００７５】
図１５を参照すると、まず、認証装置５０は、端末３０から受信した認証用パケットに基づいてユーザ認証処理を行う（ステップＳ４０１）。ここで、ユーザ認証処理に失敗した場合（ステップＳ４０２のＮｏ）、以降の処理は行われない。この場合において、認証装置５０が、制御装置２０にその旨を通知し、当該端末３０からのパケットを破棄するフローエントリ（処理規則）を設定するようにしてもよい。
【００７６】
一方、ユーザ認証に成功した場合（ステップＳ４０２のＹｅｓ）、認証装置５０は、制御装置の２０のロケーションＤＢ２２から当該端末３０の位置情報を取得する（ステップＳ４０３）。
【００７７】
次に、認証装置５０は、認証情報ＤＢ５１のテーブル（図１３参照）と、前記取得した端末３０の位置情報およびＭＡＣアドレスやＩＰアドレス等を用いて、制御装置２０の制約情報ＤＢ２３に登録するエントリ（制約情報）を生成し、制御装置２０の制約情報ＤＢ２３に登録する（ステップＳ４０４、Ｓ４０５）。
【００７８】
具体的には、認証装置５０は、認証情報ＤＢ５１のテーブル（図１３参照）から、認証したユーザと一致し、かつ、送信元あるいは送信先のいずれかが、ステップＳ４０３で取得した位置の一部に合致するものを抽出する。
【００７９】
認証装置５０は、前記抽出したエントリ群のそれぞれから、ユーザ情報を削除し、送信先あるいは送信元のうち、ステップＳ４０３で取得した位置情報に合致した方を、端末３０のＭＡＣアドレスやＩＰアドレス等の端末情報に置き換える処理を行う。
【００８０】
以上の結果、下記のようなエントリ（制約情報）が生成される。
【００８１】
端末情報、位置、許可（ａｌｌｏｗ）ｏｒ拒否（ｄｅｎｙ）
位置、端末情報、許可（ａｌｌｏｗ）ｏｒ拒否（ｄｅｎｙ）
上記のようなエントリ（制約情報）を制御装置２０の制約情報ＤＢ２３に登録することで、上記した第１の実施形態と同様に、制御装置２０Ａの転送可否判定部２６による送信元と送信先の位置関係に基づいた転送可否の判定と、その結果を受けた経路生成部２７による経路算出、フローエントリ（処理規則）の設定が行われる。
【００８２】
以上のように、本発明は、認証装置と連携した構成にて実現することも可能である。
【００８３】
なお、上記した実施形態では、認証装置５０による制約情報ＤＢ２３へのエントリ（制約情報）の登録処理を説明したが、認証装置５０に、制約情報ＤＢ２３からのエントリ（制約情報）の削除を行わせることも可能である。
【００８４】
例えば、（１）予め定められたエントリ（制約情報）の有効期限の到来、（２）端末３０の移動を検出（端末３０が異なるノード１０に接続）、（３）ユーザのログアウト（接続終了）等を契機として制約情報ＤＢ２３からのエントリ（制約情報）を削除することができる。もちろん、フローエントリ（処理規則）自体に、タイムアウト値を設定し、一定期間、該当するパケットを受信できなかった場合や、フローエントリ（処理規則）の設定から一定期間経過した場合に、ノード１０が当該フローエントリ（処理規則）を削除するようにしてもよい。
【００８５】
また、上記した実施形態では、ノード１０におけるフローエントリ（処理規則）の検索処理については第１の実施形態と同様であるものとして説明したが、受信パケットに適合するフローエントリ（処理規則）が複数検出された場合、フローエントリ（処理規則）に付与された優先度情報に基づいて、フローエントリ（処理規則）を選択するノードを用いることも好ましい。例えば、認証用パケット以外はパケット破棄するというマッチングルールと、処理内容を定めたフローエントリ（処理規則）を低優先度としてノード１０のフローエントリ記憶部１２に記憶させておくことで、認証を経ないで送られたユーザパケットをノート１０に破棄させることができる。
【００８６】
また、ノード１０の各ポート毎に、認証用パケット以外のパケットを破棄するフローエントリ（処理規則）を設定することも可能である。また、認証成功後の当該ユーザのためのフローエントリ（処理規則）の設定時に、これらユーザパケットを破棄させるフローエントリ（処理規則）を削除するようにしてもよい。そしてまた、ユーザ認証の有効期限が到来した際には、前記特定のポートからの認証用パケット以外のパケットを破棄するフローエントリ（処理規則）を設定するようにしてもよい。
【００８７】
また上記した実施形態では、認証装置５０が直接制約情報ＤＢ２３を更新するものとして説明したが、認証装置５０が制御装置２０に認証結果のみを通知し、制御装置がこれに基づいて、制約情報ＤＢ２３を更新する構成も採用可能である。もちろん、制御装置２０自体に上記認証装置５０相当の機能を設けてもよい。
【００８８】
以上、本発明の好適な実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。
【００８９】
例えば、上記した第１、第２の実施形態では、送信元から送信先へのパケット転送が認められていない場合に、当該端末からのパケットを破棄する処理を行わせるフローエントリ（処理規則）を設定するものとして説明したが、当該位置からパケット転送が禁じられている旨のメッセージや、当該送信先にパケットを転送可能な位置を知らせるメッセージを送信するサーバに接続する経路を設定してもよい。このようにすることで、ユーザに、パケットを転送できない理由やパケットを転送できるようにするための対象方法を知らせることが可能となる。
【００９０】
また同様に、送信元から送信先へのパケット転送が認められていない場合に、認証装置、輸出手続サーバ（データの送信（輸入）手続サーバ）、ユーザ登録サーバに接続する経路を設定するようにしてもよい。これらのサーバが、第２の実施形態の認証装置５０と同様の動作を行って、制御装置２０の制約情報ＤＢ２３に、当該端末から送信先へのパケット転送を許可するエントリを追加するようにすればよい。
【００９１】
また、これらの処理を使い分けることも可能である。例えば、制御装置２０の制約情報ＤＢ２３の送信可否情報として、許可（ａｌｌｏｗ）または拒否（ｄｅｎｙ）の２値だけでなく、前記メッセージの送信や、認証装置への接続等の具体的な処理内容を定めた制御情報を設定し、制御装置２０がこれに従って動作するようにしてもよい。
【００９２】
最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点による通信システム参照）
［第２の形態］
第１の形態の通信システムにおいて、
前記制御装置は、
前記複数のノードのそれぞれの位置情報と、前記複数のノードの接続関係とに基づいて、パケットの転送経路を決定する通信システム。
［第３の形態］
第１または第２の形態の通信システムにおいて、
さらに、端末とユーザ認証を行なう認証装置を含み、
前記制約情報は、ユーザ認証の結果に基づいて更新される通信システム。
［第４の形態］
第１から第３いずれか一の形態の通信システムにおいて、
前記制約情報は、前記送信先の位置的制約を課すノードの位置情報と、送信先の位置情報と、前記送信元から前記送信先への送信可否を示す送信可否情報と、を対応付けたテーブルによって構成されている通信システム。
［第５の形態］
第１から第４いずれか一の形態の通信システムにおいて、
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する通信システム。
［第６の形態］
第１から第５いずれか一の形態の通信システムにおいて、
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記制御装置は、前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する通信システム。
［第７の形態］
（上記第２の視点による制御装置参照）
［第８の形態］
第７の形態の制御装置において、
前記複数のノードのそれぞれの位置情報と、前記複数のノードの接続関係とに基づいて、パケットの転送経路を決定する手段をさらに備える制御装置。
［第９の形態］
第７または第８の形態の制御装置において、
前記端末とユーザ認証を行なう認証装置から受信したユーザ認証の結果に基づいて前記制約情報を更新する制御装置。
［第１０の形態］
第７から第９のいずれか一の形態の制御装置において、
前記制約情報は、前記送信先の位置的制約を課すノードの位置情報と、送信先の位置情報と、前記送信元から前記送信先への送信可否を示す送信可否情報と、を対応付けたテーブルによって構成されている制御装置。
［第１１の形態］
第７から第１０のいずれか一の形態の制御装置において、
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する制御装置。
［第１２の形態］
第７から第１１のいずれか一の形態の制御装置において、
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する制御装置。
［第１３の形態］
（上記第３の視点による通信方法参照）
［第１４の形態］
（上記第４の視点によるプログラム参照）
【００９３】
なお、上記の特許文献及び非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【産業上の利用可能性】
【００９４】
本発明は、位置に応じたアクセス制御システムのほか、国家間、地域間、企業間といった各種レベルで、データの移動やコンテンツの輸出入を制御するシステムとして利用することができる。
【符号の説明】
【００９５】
１０、１０Ａ〜１０Ｎ ノード
１１ パケット処理部
１２ フローエントリ記憶部
２０、２０Ａ、２０Ｂ 制御装置
２１ ノード管理部
２２ ロケーションＤＢ（ロケーションデータベース）
２２Ａ ノード位置情報記憶部
２３ 制約情報ＤＢ（制約情報データベース）
２３Ａ 制約情報記憶部
２４ トポロジーＤＢ（トポロジーデータベース）
２５、２５Ａ 受信部
２６ 転送可否判定部
２６Ａ 転送可否判断部
２７ 経路生成部
２８ 送信部
３０ 端末
４０Ｂ〜４０Ｎ 送信先
４１Ｂ〜４１Ｎ サーバ
５０ 認証装置
５１ 認証情報ＤＢ
【特許請求の範囲】
【請求項１】
パケットを転送する複数のノードと、
前記複数のノードの少なくとも１つに接続してネットワークにアクセスする端末と、
前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置とを含み、
前記制御装置は、
前記複数のノードのそれぞれの位置情報を記憶する手段と、
前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、
前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、
を含むことを特徴とする通信システム。
【請求項２】
さらに、前記端末とユーザ認証を行なう認証装置を含み、
前記制約情報は、前記ユーザ認証の結果に基づいて更新される請求項１の通信システム。
【請求項３】
前記制約情報は、前記送信先の位置的制約を課すノードの位置情報と、送信先の位置情報と、前記送信元から前記送信先への送信可否を含む制御情報と、を対応付けたテーブルによって構成されている請求項１または２の通信システム。
【請求項４】
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する請求項１から３いずれか一の通信システム。
【請求項５】
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記制御装置は、前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する請求項１から４いずれか一の通信システム。
【請求項６】
端末から送信されたパケットを転送する複数のノードと接続され、
前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる手段と、
前記複数のノードのそれぞれの位置情報を記憶する手段と、
前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、
前記設定要求を送信したノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、
を備える制御装置。
【請求項７】
前記端末とユーザ認証を行なう認証装置から受信したユーザ認証の結果に基づいて前記制約情報を更新する請求項６の制御装置。
【請求項８】
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する請求項６または７の制御装置。
【請求項９】
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する請求項６から８いずれか一の制御装置。
【請求項１０】
端末から送信されたパケットを転送する複数のノードと接続され、
前記複数のノードのそれぞれの位置情報を記憶する手段と、
前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、を備えた制御装置が、
前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を判定するステップと、
前記判定の結果、パケットの転送可と判定した場合に、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせるステップと、を含む通信方法。
【請求項１】
パケットを転送する複数のノードと、
前記複数のノードの少なくとも１つに接続してネットワークにアクセスする端末と、
前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる制御装置とを含み、
前記制御装置は、
前記複数のノードのそれぞれの位置情報を記憶する手段と、
前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、
前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、
を含むことを特徴とする通信システム。
【請求項２】
さらに、前記端末とユーザ認証を行なう認証装置を含み、
前記制約情報は、前記ユーザ認証の結果に基づいて更新される請求項１の通信システム。
【請求項３】
前記制約情報は、前記送信先の位置的制約を課すノードの位置情報と、送信先の位置情報と、前記送信元から前記送信先への送信可否を含む制御情報と、を対応付けたテーブルによって構成されている請求項１または２の通信システム。
【請求項４】
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する請求項１から３いずれか一の通信システム。
【請求項５】
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記制御装置は、前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する請求項１から４いずれか一の通信システム。
【請求項６】
端末から送信されたパケットを転送する複数のノードと接続され、
前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせる手段と、
前記複数のノードのそれぞれの位置情報を記憶する手段と、
前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、
前記設定要求を送信したノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を決定する手段と、
を備える制御装置。
【請求項７】
前記端末とユーザ認証を行なう認証装置から受信したユーザ認証の結果に基づいて前記制約情報を更新する請求項６の制御装置。
【請求項８】
前記制約情報は、階層を持った位置情報によって記述され、
複数の制約情報が競合する場合、予め定められた階層間の優先順位に従って、パケットの転送可否を決定する請求項６または７の制御装置。
【請求項９】
前記制約情報の位置情報は、大州名、国名、地方名、地域名、行政区画名のいずれか一種以上によって記述され、
前記端末から送信されたパケットが、前記端末が接続されたノードから送信可能な位置を宛先としているか否かにより、パケットの転送可否を決定する請求項６から８いずれか一の制御装置。
【請求項１０】
端末から送信されたパケットを転送する複数のノードと接続され、
前記複数のノードのそれぞれの位置情報を記憶する手段と、
前記端末が接続されるノードのうち、送信先の位置的制約を課すノードについて、当該ノードから送信可能又は不可能な送信先を定義した制約情報を記憶する手段と、を備えた制御装置が、
前記複数のノードのうち前記端末が接続されたノードからの要求に応じて、前記端末が接続されたノードの位置情報と、前記制約情報とに基づいて、パケットの転送可否を判定するステップと、
前記判定の結果、パケットの転送可と判定した場合に、前記複数のノードのうち、前記端末から送信されたパケットの転送経路上のノードを制御してパケット転送を行わせるステップと、を含む通信方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２０１２−１６５３３５（Ｐ２０１２−１６５３３５Ａ）
【公開日】平成２４年８月３０日（２０１２．８．３０）
【国際特許分類】
【出願番号】特願２０１１−２６２５９（Ｐ２０１１−２６２５９）
【出願日】平成２３年２月９日（２０１１．２．９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２４年８月３０日（２０１２．８．３０）
【国際特許分類】
【出願日】平成２３年２月９日（２０１１．２．９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]