通信システム
【課題】異なる層に接続した機器間で直接通信することを可能とする通信システムを実現する。
【解決手段】第１ネットワークに接続された下位層の機器が、ゲートウェイ装置を介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システムにおいて、前記第１ネットワークと前記第２ネットワークとの間に、前記ゲートウェイ装置をバイパスするトンネル装置を接続する。
【解決手段】第１ネットワークに接続された下位層の機器が、ゲートウェイ装置を介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システムにおいて、前記第１ネットワークと前記第２ネットワークとの間に、前記ゲートウェイ装置をバイパスするトンネル装置を接続する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、第１ネットワークに接続された下位層の機器が、ゲートウェイを介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システム、特に下位層の無線伝送器サブシステムと上位層のアプリケーションを接続する技術に関するものである。
【背景技術】
【０００２】
図５は、従来の通信システムの構成例を示す機能ブロック図である。第１ネットワーク
（バックボーンネットワーク）１０には、バックボーンルータ２０を介して下位層の機器である無線伝送器３１、３２、３３が接続されている。
【０００３】
第１ネットワーク１０には、無線伝送器３１、３２、３３の通信資源を管理するシステム管理装置４０が接続されており、無線伝送器３１、３２、３３からの通信資源要求に対して最適な通信資源割当を配布する。
【０００４】
第２ネットワーク（コントロールネットワーク）５０には、上位層の機器であるアプリケーション６０が接続され、第１ネットワーク１０と第２ネットワーク５０間にはゲートウェイ装置７０が接続されている。
【０００５】
図６は、図５における通信経路を説明する機能ブロック図である。下位層の機器である無線伝送器３１、３２、３３が上位層のアプリケーション６０と通信する場合には、ゲートウェイ装置７０を経由する必要がある。
【０００６】
ゲートウェイ装置７０は、その装置を通過する全ての通信を理解し、必要があればプロトコル変換を行う。異なる層に接続された機器間で暗号化された通信を行う場合、ゲートウェイ装置を経由して通信を行う必要があるため、通信を行う機器間においてEnd to Endセキュリティを確保することができない。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−２６０４５１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来通信システムでは次のような問題がある。
（１）異なる層に接続した機器間では、通信相手が例えばISA100.11a機器の場合には直接通信を行うことができない。また、通信を行う機器間でのEnd to End セキュリティを確保することができない。
【０００９】
（２）異なる層間を中継しているゲートウェイ装置は、その装置を通過する全ての通信を理解し、必要があればプロトコル変換を行う。従って、異なる層に接続された機器間にて新たな通信を行う場合は、ゲートウェイ装置が新しい通信に対応する必要がある。
【００１０】
本発明の目的は、異なる層に接続した機器間で直接通信することを可能とする通信システムを実現することにある。
【００１１】
この仕組みを利用することによって、異なる層に接続された機器間の直接通信を可能とし、End to End のセキュリティを確保する。
【課題を解決するための手段】
【００１２】
このような課題を達成するために、本発明は次の通りの構成になっている。
（１）第１ネットワークに接続された下位層の機器が、ゲートウェイ装置を介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システムにおいて、
前記第１ネットワークと前記第２ネットワークとの間に、前記ゲートウェイ装置をバイパスするトンネル装置を接続したことを特徴とする通信システム。
【００１３】
（２）前記機器は、前記トンネル装置を介して前記アプリケーションと直接通信し、End
to Endセキュリティを確保することを特徴とする（１）に記載の通信システム。
【００１４】
（３）前記トンネル装置は、該トンネル装置と前記アプリケーションとの間の通信に対して暗号化処理と認証処理を実行することを特徴とする（１）または（２）に記載の通信システム。
【００１５】
（４）前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、優先度情報に基づいて優先制御処理を行う優先制御処理部を備えることを特徴とする（１）乃至（３）のいずれかに記載の通信システム。
【００１６】
（５）前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、アクセス許可情報に基づいてアクセス制御処理を行うアクセスコントロール処理部を備えることを特徴とする（１）乃至（４）のいずれかに記載の通信システム。
【００１７】
（６）前記トンネル装置は、前記第１ネットワークと前記第２ネットワーク間に接続された他のトンネル装置との間で、互いの設定情報を同期して等値化するトンネル装置同期部を備えることを特徴とする（１）乃至（５）のいずれかに記載の通信システム。
【００１８】
（７）前記トンネル装置は、前記ゲートウェイ装置と同一ハードウェア上に実装されていることを特徴とする（１）乃至（６）のいずれかに記載の通信システム。
【００１９】
（８）前記機器は、ISA100.11aの規格に準拠する無線伝送器であることを特徴とする（１）乃至（７）のいずれかに記載の通信システム。
【発明の効果】
【００２０】
本発明によれば、次のような効果を期待することができる。
（１）アプリケーションとトンネル装置との間で仮想トンネルを設定することにより、ゲートウェイ装置以下の下位層のネットワークを仮想的にアプリケーションまで延長することできる。
【００２１】
（２）この結果、アプリケーションは、ゲートウェイ装置配下にある下位層のネットワークに接続された無線伝送器と直接通信することができる。例えば、ISA100.11aネットワークに接続されたアプリケーションは、ISA100.11aの仕組みを用いた無線伝送器とEnd to Endのセキュリティを確保することができる。
【００２２】
（３）トンネル装置を用いることで、ゲートウェイ装置に変更は必要がない。また、この仕組みは特定のアプリケーションに特化したものではないため、新しいアプリケーションを接続する場合でも、ゲートウェイ装置の変更なしに対応することが可能である。
【００２３】
（４）トンネル装置にて、暗号処理・認証処理を行うことによって、認証されたアプリケーションのみが暗号化されたセキュアな通信を行うことが可能である。
【００２４】
（５）トンネル装置を経由して第１ネットワークと第２ネットワーク間で通信するデータに対して、優先度を設定する優先制御処理を実行することにより、センサデータ、制御データ等の処理を優先させ、設定データ、診断情報等の処理の優先度を下げることにより、プロセス制御における重要データの高速処理を可能とするシステムを構築することができる。
【００２５】
（６）トンネル装置を経由して第１ネットワークと第２ネットワーク間で通信するデータに対して、アクセスの可否を設定するアクセスコントロール処理を実行することにより、セキュリティの脅威となる可能性のあるデータの通過をブロックし、トンネル装置を経由する通信を特定の機器のみに限定することができる。
【００２６】
（７）トンネル装置を多重化し、同期処理を実行することにより、トンネル装置の耐障害性を高めることができる。
【００２７】
（８）トンネル装置は、ゲートウェイ装置と物理的に一つのハードウェア上に実装することが可能である。
【図面の簡単な説明】
【００２８】
【図１】本発明を適用した通信システムの一実施例を示す機能ブロック図である。
【図２】図１における通信経路を説明する機能ブロック図である。
【図３】トンネル装置の構成例を示す機能ブロック図である。
【図４】トンネル装置の他の構成例を示す機能ブロック図である。
【図５】従来の通信システムの構成例を示す機能ブロック図である。
【図６】図５における通信経路を説明する機能ブロック図である。
【発明を実施するための形態】
【００２９】
以下本発明を、図面を用いて詳細に説明する。図１は、本発明を適用した通信システムの一実施例を示す機能ブロック図である。図５で説明した従来構成と同一要素には同一符号を付して説明を省略する。
【００３０】
図５に示した従来構成に追加される本発明の特徴部は、第１ネットワーク１０と第２ネットワーク５０間に、ゲートウェイ装置７０をバイパスするトンネル装置１００を接続した構成にある。
【００３１】
図２は、図１における通信経路を説明する機能ブロック図である。アプリケーション６０がトンネル装置１００に対して、ネットワーク接続要求を送信する。トンネル装置１００は、アプリケーション６０との間でトンネルを設定し、ネットワーク接続応答を返答する。
【００３２】
トンネル装置１００からネットワーク接続応答を受信したアプリケーション６０が、トンネル装置１００との間で仮想トンネル２００を設定する。アプリケーション６０は、設定された仮想トンネル２００を用いて、システム管理装置４０に ISA100.11a通信を用いて参加する。その後、アプリケーション６０は無線伝送器３１〜３３と直接ISA100.11a通信を行う。
【００３３】
図３は、トンネル装置の構成例を示す機能ブロック図である。トンネル装置１００は、ISA100.11a通信スタック１０１、第１ネットワーク１０とのインタフェースであるISA100.11aバックボーン通信スタック１０２、第２ネットワーク５０とのインタフェースである上位側通信スタック１０３、トンネル設定管理手段１０４の各機能を持つ。ISA100.11a通信スタック１０１は、ISA100.11a仕様に準拠した通信スタックである。
【００３４】
ISA100.11aバックボーン通信スタック１０２は、対象となるシステムのISA100.11aバックボーンネットワーク（第１ネットワーク１０）にて使用される通信プロトコルのスタックである。IP（Internet Protocol）もしくはIPv6プロトコルスタックがこれにあたる。
【００３５】
上位側通信スタック１０３は、トンネル装置１００の上位側インタフェースに接続されるネットワーク（第２ネットワーク５０）にて使用される通信プロトコルスタックである。この通信スタックはIPもしくはIPv6プロトコルスタックが一般的である。
【００３６】
トンネル設定管理１０４は、アプリケーション６０とトンネル装置１００との間で設定される仮想トンネル２００の設定・管理を行う。アプリケーション６０から送信されるトンネル作成要求を処理し、トンネル装置とアプリケーションとの間でトンネルの設定を行う。
【００３７】
上位側通信スタック１０３は、暗号化・認証処理手段１０５を備える。トンネル装置１００にて、暗号処理・認証処理を行うことによって、認証されたアプリケーションのみが暗号化されたセキュアな通信を行うことが可能である。
【００３８】
図４は、トンネル装置の他の構成例を示す機能ブロック図である。図５で説明した従来構成と同一要素には同一符号を付して説明を省略する。この構成例におけるトンネル装置３００の第１の特徴は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、優先度を設定する優先制御処理を実行する構成にある。
【００３９】
この機能により、センサデータ、制御データ等の処理を優先させ、設定データ、診断情報等の優先度を下げることにより、重要データの高速処理を可能とするシステムを構築することができる。
【００４０】
この構成例におけるトンネル装置３００の第２の特徴は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、アクセスの可否を設定するアクセスコントロール処理を実行する構成にある。
【００４１】
この機能により、セキュリティの脅威となる可能性のあるデータの通過をブロックし、トンネル装置を経由する通信を特定の機器のみに限定することができる。
【００４２】
この構成例におけるトンネル装置３００の第３の特徴は、第１ネットワーク１０と第２ネットワーク５０間に接続された、バックアップのための他のトンネル装置６００との間で、互いの設定情報を同期して等値化処理する構成にある。この機能により、トンネル装置の耐障害性を高めることができる。
【００４３】
この構成例において、第２ネットワーク５０には、２個のアプリケーション６１，６２が接続され、これらアプリケーションとトンネル装置３００との間には、夫々仮想トンネル４００および５００が設定されている。
【００４４】
アプリケーション６１は第１ネットワーク１０の機器３１と通信し、アプリケーション６２は第１ネットワーク１０の機器３２と通信するものとする。第１ネットワーク１０と第２ネットワーク５０間には、トンネル装置３００をバックアップするためのトンネル装置６００が接続されている。
【００４５】
トンネル装置３００は、下位ネットワークインタフェース３０１、上位ネットワークインタフェース３０２、トンネル処理部３０３、トンネル設定部３０４、トンネル暗号・認証処理部３０５、優先制御処理部３０６、データ判定部３０７、優先制御設定部３０８、第１アクセスコントロール処理部３０９、第２アクセスコントロール処理部３１０、アクセスコントロール設定部３１１、トンネル装置同期部３１２を備える。
【００４６】
下位ネットワークインタフェース３０１および上位ネットワークインタフェース３０２は、トンネル装置３００と第１ネットワーク１０及び第２ネットワーク５０との通信をインタフェースする。
【００４７】
トンネル処理部３０３は、トンネル処理の基幹機能であり、第１ネットワーク１０に接続される下位層の機器より、下位ネットワークインタフェース３０１を経由して取得されるメッセージに対し、第２ネットワーク５０で使用される上位層のプロトコルスタックを付与し、上位ネットワークインタフェース３０２を経由して上位層のアプリケーション６１,６２に渡す機能を備える。
【００４８】
逆に、第２ネットワーク５０に接続される上位層の機器より、上位ネットワークインタフェース３０２を経由して取得されるメッセージに対し、上位層のプロトコルスタックを外して下位ネットワークインタフェース３０１を経由して下位層の機器に渡す機能を備える。
【００４９】
トンネル設定部３０４は、アプリケーション６１,６２からの要求に基づき、トンネル処理部３０３に対してアプリケーション６１に対する仮想トンネル４００およびアプリケーション６２に対する仮想トンネル５００を定義して設定する。
【００５０】
トンネル暗号・認証処理部３０５は、トンネル処理部３０３で処理されるメッセージに対して暗号化・認証処理を行う。この処理により、認証されたアプリケーションのみが暗号化されたセキュアな通信を行うことができる。
【００５１】
優先制御処理部３０６は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、優先制御設定部３０８により設定された優先度の順位（優先度情報）とデータ判定部３０７により判別されたデータ種別に基づいて優先制御処理を実行する。この優先処理により、センサデータ、制御データ等の処理を優先させ、設定データ、診断情報等の優先度を下げることでプロセス制御における重要データの高速処理を可能とするシステムを構築することができる。
【００５２】
データ判定部３０７は、優先処理部３０６に入力されるデータを取得し、その種別を判定して優先処理部３０６に返す。優先制御設定部３０８は、優先処理部３０６に対して優先処理の順位を設定する。
【００５３】
優先処理部３０６を挟んで上位層側に設けられた第１アクセスコントロール処理部３０９および下位層側に設けられた第２アクセスコントロール処理部３１０は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、アクセスの可否を設定するアクセスコントロール処理を実行する。
【００５４】
このアクセスコントロール処理により、セキュリティの脅威となる可能性のあるデータのトンネル装置３００の通過をブロックし、トンネル装置を経由する通信を特定の機器のみに限定する（例えば、アプリケーション６１は機器３１のみと通信可能、アプリケーション６１は機器３１のみと通信可能）ことができる。
【００５５】
アクセスコントロール設定部３１１は、第１アクセスコントロール処理部３０９および第２アクセスコントロール処理部３１０に対して、アクセスを許可する機器（許可情報）を設定する。なお、許可されない機器へのアクセスは拒否する。
【００５６】
トンネル装置同期部３１２は、第１ネットワーク１０と第２ネットワーク５０間に接続されたバックアップ用の他のトンネル装置６００との間で、互いの設定情報を同期して等値化処理する。この機能により、トンネル装置の耐障害性を高めることができる。
【００５７】
以上説明した実施例において、トンネル装置１００,３００,６００は、ゲートウェイ装置７０の内部（例えば同一の筐体内）に設けられ、同一のハードウェア上に実装することが可能である。
【００５８】
実施例では、下位層の機器としてISA100.11a規格に準拠する無線伝送器を示したが、本発明の適用対象はこれに限定されるものではなく、ワイヤレス・ハート規格などの他の規格に準拠する機器にも本発明を有効に適用することが可能である。
【符号の説明】
【００５９】
１０ 第１ネットワーク
２０ バックボーンルータ
３１、３２、３３ 無線伝送器
４０ システム管理装置
５０ 第２ネットワーク
６０、６１、６２ アプリケーション
７０ ゲートウェイ装置
１００ トンネル装置
１０１ ISA100.11a通信スタック
１０２ ISA100.11aバックボーン通信スタック
１０３ 上位側通信スタック
１０４ トンネル設定管理手段
１０５ 暗号化・認証処理手段
２００ 仮想トンネル
３００ トンネル装置
３０１ 下位ネットワークインタフェース
３０２ 上位ネットワークインタフェース
３０３ トンネル処理部
３０４ トンネル設定部
３０５ トンネル暗号・認証処理部
３０６ 優先制御処理部
３０７ データ判定部
３０８ 優先制御設定部
３０９ 第１アクセスコントロール処理部
３１０ 第２アクセスコントロール処理部
３１１ アクセスコントロール設定部
３１２ トンネル装置同期部
４００、５００ 仮想トンネル
６００ トンネル装置
【技術分野】
【０００１】
本発明は、第１ネットワークに接続された下位層の機器が、ゲートウェイを介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システム、特に下位層の無線伝送器サブシステムと上位層のアプリケーションを接続する技術に関するものである。
【背景技術】
【０００２】
図５は、従来の通信システムの構成例を示す機能ブロック図である。第１ネットワーク
（バックボーンネットワーク）１０には、バックボーンルータ２０を介して下位層の機器である無線伝送器３１、３２、３３が接続されている。
【０００３】
第１ネットワーク１０には、無線伝送器３１、３２、３３の通信資源を管理するシステム管理装置４０が接続されており、無線伝送器３１、３２、３３からの通信資源要求に対して最適な通信資源割当を配布する。
【０００４】
第２ネットワーク（コントロールネットワーク）５０には、上位層の機器であるアプリケーション６０が接続され、第１ネットワーク１０と第２ネットワーク５０間にはゲートウェイ装置７０が接続されている。
【０００５】
図６は、図５における通信経路を説明する機能ブロック図である。下位層の機器である無線伝送器３１、３２、３３が上位層のアプリケーション６０と通信する場合には、ゲートウェイ装置７０を経由する必要がある。
【０００６】
ゲートウェイ装置７０は、その装置を通過する全ての通信を理解し、必要があればプロトコル変換を行う。異なる層に接続された機器間で暗号化された通信を行う場合、ゲートウェイ装置を経由して通信を行う必要があるため、通信を行う機器間においてEnd to Endセキュリティを確保することができない。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−２６０４５１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来通信システムでは次のような問題がある。
（１）異なる層に接続した機器間では、通信相手が例えばISA100.11a機器の場合には直接通信を行うことができない。また、通信を行う機器間でのEnd to End セキュリティを確保することができない。
【０００９】
（２）異なる層間を中継しているゲートウェイ装置は、その装置を通過する全ての通信を理解し、必要があればプロトコル変換を行う。従って、異なる層に接続された機器間にて新たな通信を行う場合は、ゲートウェイ装置が新しい通信に対応する必要がある。
【００１０】
本発明の目的は、異なる層に接続した機器間で直接通信することを可能とする通信システムを実現することにある。
【００１１】
この仕組みを利用することによって、異なる層に接続された機器間の直接通信を可能とし、End to End のセキュリティを確保する。
【課題を解決するための手段】
【００１２】
このような課題を達成するために、本発明は次の通りの構成になっている。
（１）第１ネットワークに接続された下位層の機器が、ゲートウェイ装置を介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システムにおいて、
前記第１ネットワークと前記第２ネットワークとの間に、前記ゲートウェイ装置をバイパスするトンネル装置を接続したことを特徴とする通信システム。
【００１３】
（２）前記機器は、前記トンネル装置を介して前記アプリケーションと直接通信し、End
to Endセキュリティを確保することを特徴とする（１）に記載の通信システム。
【００１４】
（３）前記トンネル装置は、該トンネル装置と前記アプリケーションとの間の通信に対して暗号化処理と認証処理を実行することを特徴とする（１）または（２）に記載の通信システム。
【００１５】
（４）前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、優先度情報に基づいて優先制御処理を行う優先制御処理部を備えることを特徴とする（１）乃至（３）のいずれかに記載の通信システム。
【００１６】
（５）前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、アクセス許可情報に基づいてアクセス制御処理を行うアクセスコントロール処理部を備えることを特徴とする（１）乃至（４）のいずれかに記載の通信システム。
【００１７】
（６）前記トンネル装置は、前記第１ネットワークと前記第２ネットワーク間に接続された他のトンネル装置との間で、互いの設定情報を同期して等値化するトンネル装置同期部を備えることを特徴とする（１）乃至（５）のいずれかに記載の通信システム。
【００１８】
（７）前記トンネル装置は、前記ゲートウェイ装置と同一ハードウェア上に実装されていることを特徴とする（１）乃至（６）のいずれかに記載の通信システム。
【００１９】
（８）前記機器は、ISA100.11aの規格に準拠する無線伝送器であることを特徴とする（１）乃至（７）のいずれかに記載の通信システム。
【発明の効果】
【００２０】
本発明によれば、次のような効果を期待することができる。
（１）アプリケーションとトンネル装置との間で仮想トンネルを設定することにより、ゲートウェイ装置以下の下位層のネットワークを仮想的にアプリケーションまで延長することできる。
【００２１】
（２）この結果、アプリケーションは、ゲートウェイ装置配下にある下位層のネットワークに接続された無線伝送器と直接通信することができる。例えば、ISA100.11aネットワークに接続されたアプリケーションは、ISA100.11aの仕組みを用いた無線伝送器とEnd to Endのセキュリティを確保することができる。
【００２２】
（３）トンネル装置を用いることで、ゲートウェイ装置に変更は必要がない。また、この仕組みは特定のアプリケーションに特化したものではないため、新しいアプリケーションを接続する場合でも、ゲートウェイ装置の変更なしに対応することが可能である。
【００２３】
（４）トンネル装置にて、暗号処理・認証処理を行うことによって、認証されたアプリケーションのみが暗号化されたセキュアな通信を行うことが可能である。
【００２４】
（５）トンネル装置を経由して第１ネットワークと第２ネットワーク間で通信するデータに対して、優先度を設定する優先制御処理を実行することにより、センサデータ、制御データ等の処理を優先させ、設定データ、診断情報等の処理の優先度を下げることにより、プロセス制御における重要データの高速処理を可能とするシステムを構築することができる。
【００２５】
（６）トンネル装置を経由して第１ネットワークと第２ネットワーク間で通信するデータに対して、アクセスの可否を設定するアクセスコントロール処理を実行することにより、セキュリティの脅威となる可能性のあるデータの通過をブロックし、トンネル装置を経由する通信を特定の機器のみに限定することができる。
【００２６】
（７）トンネル装置を多重化し、同期処理を実行することにより、トンネル装置の耐障害性を高めることができる。
【００２７】
（８）トンネル装置は、ゲートウェイ装置と物理的に一つのハードウェア上に実装することが可能である。
【図面の簡単な説明】
【００２８】
【図１】本発明を適用した通信システムの一実施例を示す機能ブロック図である。
【図２】図１における通信経路を説明する機能ブロック図である。
【図３】トンネル装置の構成例を示す機能ブロック図である。
【図４】トンネル装置の他の構成例を示す機能ブロック図である。
【図５】従来の通信システムの構成例を示す機能ブロック図である。
【図６】図５における通信経路を説明する機能ブロック図である。
【発明を実施するための形態】
【００２９】
以下本発明を、図面を用いて詳細に説明する。図１は、本発明を適用した通信システムの一実施例を示す機能ブロック図である。図５で説明した従来構成と同一要素には同一符号を付して説明を省略する。
【００３０】
図５に示した従来構成に追加される本発明の特徴部は、第１ネットワーク１０と第２ネットワーク５０間に、ゲートウェイ装置７０をバイパスするトンネル装置１００を接続した構成にある。
【００３１】
図２は、図１における通信経路を説明する機能ブロック図である。アプリケーション６０がトンネル装置１００に対して、ネットワーク接続要求を送信する。トンネル装置１００は、アプリケーション６０との間でトンネルを設定し、ネットワーク接続応答を返答する。
【００３２】
トンネル装置１００からネットワーク接続応答を受信したアプリケーション６０が、トンネル装置１００との間で仮想トンネル２００を設定する。アプリケーション６０は、設定された仮想トンネル２００を用いて、システム管理装置４０に ISA100.11a通信を用いて参加する。その後、アプリケーション６０は無線伝送器３１〜３３と直接ISA100.11a通信を行う。
【００３３】
図３は、トンネル装置の構成例を示す機能ブロック図である。トンネル装置１００は、ISA100.11a通信スタック１０１、第１ネットワーク１０とのインタフェースであるISA100.11aバックボーン通信スタック１０２、第２ネットワーク５０とのインタフェースである上位側通信スタック１０３、トンネル設定管理手段１０４の各機能を持つ。ISA100.11a通信スタック１０１は、ISA100.11a仕様に準拠した通信スタックである。
【００３４】
ISA100.11aバックボーン通信スタック１０２は、対象となるシステムのISA100.11aバックボーンネットワーク（第１ネットワーク１０）にて使用される通信プロトコルのスタックである。IP（Internet Protocol）もしくはIPv6プロトコルスタックがこれにあたる。
【００３５】
上位側通信スタック１０３は、トンネル装置１００の上位側インタフェースに接続されるネットワーク（第２ネットワーク５０）にて使用される通信プロトコルスタックである。この通信スタックはIPもしくはIPv6プロトコルスタックが一般的である。
【００３６】
トンネル設定管理１０４は、アプリケーション６０とトンネル装置１００との間で設定される仮想トンネル２００の設定・管理を行う。アプリケーション６０から送信されるトンネル作成要求を処理し、トンネル装置とアプリケーションとの間でトンネルの設定を行う。
【００３７】
上位側通信スタック１０３は、暗号化・認証処理手段１０５を備える。トンネル装置１００にて、暗号処理・認証処理を行うことによって、認証されたアプリケーションのみが暗号化されたセキュアな通信を行うことが可能である。
【００３８】
図４は、トンネル装置の他の構成例を示す機能ブロック図である。図５で説明した従来構成と同一要素には同一符号を付して説明を省略する。この構成例におけるトンネル装置３００の第１の特徴は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、優先度を設定する優先制御処理を実行する構成にある。
【００３９】
この機能により、センサデータ、制御データ等の処理を優先させ、設定データ、診断情報等の優先度を下げることにより、重要データの高速処理を可能とするシステムを構築することができる。
【００４０】
この構成例におけるトンネル装置３００の第２の特徴は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、アクセスの可否を設定するアクセスコントロール処理を実行する構成にある。
【００４１】
この機能により、セキュリティの脅威となる可能性のあるデータの通過をブロックし、トンネル装置を経由する通信を特定の機器のみに限定することができる。
【００４２】
この構成例におけるトンネル装置３００の第３の特徴は、第１ネットワーク１０と第２ネットワーク５０間に接続された、バックアップのための他のトンネル装置６００との間で、互いの設定情報を同期して等値化処理する構成にある。この機能により、トンネル装置の耐障害性を高めることができる。
【００４３】
この構成例において、第２ネットワーク５０には、２個のアプリケーション６１，６２が接続され、これらアプリケーションとトンネル装置３００との間には、夫々仮想トンネル４００および５００が設定されている。
【００４４】
アプリケーション６１は第１ネットワーク１０の機器３１と通信し、アプリケーション６２は第１ネットワーク１０の機器３２と通信するものとする。第１ネットワーク１０と第２ネットワーク５０間には、トンネル装置３００をバックアップするためのトンネル装置６００が接続されている。
【００４５】
トンネル装置３００は、下位ネットワークインタフェース３０１、上位ネットワークインタフェース３０２、トンネル処理部３０３、トンネル設定部３０４、トンネル暗号・認証処理部３０５、優先制御処理部３０６、データ判定部３０７、優先制御設定部３０８、第１アクセスコントロール処理部３０９、第２アクセスコントロール処理部３１０、アクセスコントロール設定部３１１、トンネル装置同期部３１２を備える。
【００４６】
下位ネットワークインタフェース３０１および上位ネットワークインタフェース３０２は、トンネル装置３００と第１ネットワーク１０及び第２ネットワーク５０との通信をインタフェースする。
【００４７】
トンネル処理部３０３は、トンネル処理の基幹機能であり、第１ネットワーク１０に接続される下位層の機器より、下位ネットワークインタフェース３０１を経由して取得されるメッセージに対し、第２ネットワーク５０で使用される上位層のプロトコルスタックを付与し、上位ネットワークインタフェース３０２を経由して上位層のアプリケーション６１,６２に渡す機能を備える。
【００４８】
逆に、第２ネットワーク５０に接続される上位層の機器より、上位ネットワークインタフェース３０２を経由して取得されるメッセージに対し、上位層のプロトコルスタックを外して下位ネットワークインタフェース３０１を経由して下位層の機器に渡す機能を備える。
【００４９】
トンネル設定部３０４は、アプリケーション６１,６２からの要求に基づき、トンネル処理部３０３に対してアプリケーション６１に対する仮想トンネル４００およびアプリケーション６２に対する仮想トンネル５００を定義して設定する。
【００５０】
トンネル暗号・認証処理部３０５は、トンネル処理部３０３で処理されるメッセージに対して暗号化・認証処理を行う。この処理により、認証されたアプリケーションのみが暗号化されたセキュアな通信を行うことができる。
【００５１】
優先制御処理部３０６は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、優先制御設定部３０８により設定された優先度の順位（優先度情報）とデータ判定部３０７により判別されたデータ種別に基づいて優先制御処理を実行する。この優先処理により、センサデータ、制御データ等の処理を優先させ、設定データ、診断情報等の優先度を下げることでプロセス制御における重要データの高速処理を可能とするシステムを構築することができる。
【００５２】
データ判定部３０７は、優先処理部３０６に入力されるデータを取得し、その種別を判定して優先処理部３０６に返す。優先制御設定部３０８は、優先処理部３０６に対して優先処理の順位を設定する。
【００５３】
優先処理部３０６を挟んで上位層側に設けられた第１アクセスコントロール処理部３０９および下位層側に設けられた第２アクセスコントロール処理部３１０は、トンネル装置を経由して第１ネットワーク１０と第２ネットワーク５０間で通信するデータに対して、アクセスの可否を設定するアクセスコントロール処理を実行する。
【００５４】
このアクセスコントロール処理により、セキュリティの脅威となる可能性のあるデータのトンネル装置３００の通過をブロックし、トンネル装置を経由する通信を特定の機器のみに限定する（例えば、アプリケーション６１は機器３１のみと通信可能、アプリケーション６１は機器３１のみと通信可能）ことができる。
【００５５】
アクセスコントロール設定部３１１は、第１アクセスコントロール処理部３０９および第２アクセスコントロール処理部３１０に対して、アクセスを許可する機器（許可情報）を設定する。なお、許可されない機器へのアクセスは拒否する。
【００５６】
トンネル装置同期部３１２は、第１ネットワーク１０と第２ネットワーク５０間に接続されたバックアップ用の他のトンネル装置６００との間で、互いの設定情報を同期して等値化処理する。この機能により、トンネル装置の耐障害性を高めることができる。
【００５７】
以上説明した実施例において、トンネル装置１００,３００,６００は、ゲートウェイ装置７０の内部（例えば同一の筐体内）に設けられ、同一のハードウェア上に実装することが可能である。
【００５８】
実施例では、下位層の機器としてISA100.11a規格に準拠する無線伝送器を示したが、本発明の適用対象はこれに限定されるものではなく、ワイヤレス・ハート規格などの他の規格に準拠する機器にも本発明を有効に適用することが可能である。
【符号の説明】
【００５９】
１０ 第１ネットワーク
２０ バックボーンルータ
３１、３２、３３ 無線伝送器
４０ システム管理装置
５０ 第２ネットワーク
６０、６１、６２ アプリケーション
７０ ゲートウェイ装置
１００ トンネル装置
１０１ ISA100.11a通信スタック
１０２ ISA100.11aバックボーン通信スタック
１０３ 上位側通信スタック
１０４ トンネル設定管理手段
１０５ 暗号化・認証処理手段
２００ 仮想トンネル
３００ トンネル装置
３０１ 下位ネットワークインタフェース
３０２ 上位ネットワークインタフェース
３０３ トンネル処理部
３０４ トンネル設定部
３０５ トンネル暗号・認証処理部
３０６ 優先制御処理部
３０７ データ判定部
３０８ 優先制御設定部
３０９ 第１アクセスコントロール処理部
３１０ 第２アクセスコントロール処理部
３１１ アクセスコントロール設定部
３１２ トンネル装置同期部
４００、５００ 仮想トンネル
６００ トンネル装置
【特許請求の範囲】
【請求項１】
第１ネットワークに接続された下位層の機器が、ゲートウェイ装置を介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システムにおいて、
前記第１ネットワークと前記第２ネットワークとの間に、前記ゲートウェイ装置をバイパスするトンネル装置を接続したことを特徴とする通信システム。
【請求項２】
前記機器は、前記トンネル装置を介して前記アプリケーションと直接通信し、End to Endセキュリティを確保することを特徴とする請求項１に記載の通信システム。
【請求項３】
前記トンネル装置は、該トンネル装置と前記アプリケーションとの間の通信に対して暗号化処理と認証処理を実行することを特徴とする請求項１または２に記載の通信システム。
【請求項４】
前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、優先度情報に基づいて優先制御処理を行う優先制御処理部を備えることを特徴とする請求項１乃至３のいずれかに記載の通信システム。
【請求項５】
前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、アクセス許可情報に基づいてアクセス制御処理を行うアクセスコントロール処理部を備えることを特徴とする請求項１乃至４のいずれかに記載の通信システム。
【請求項６】
前記トンネル装置は、前記第１ネットワークと前記第２ネットワーク間に接続された他のトンネル装置との間で、互いの設定情報を同期して等値化するトンネル装置同期部を備えることを特徴とする請求項１乃至５のいずれかに記載の通信システム。
【請求項７】
前記トンネル装置は、前記ゲートウェイ装置と同一ハードウェア上に実装されていることを特徴とする請求項１乃至６のいずれかに記載の通信システム。
【請求項８】
前記機器は、ISA100.11aの規格に準拠する無線伝送器であることを特徴とする請求項１乃至７のいずれかに記載の通信システム。
【請求項１】
第１ネットワークに接続された下位層の機器が、ゲートウェイ装置を介して第２ネットワークに接続された上位層のアプリケーションと通信する通信システムにおいて、
前記第１ネットワークと前記第２ネットワークとの間に、前記ゲートウェイ装置をバイパスするトンネル装置を接続したことを特徴とする通信システム。
【請求項２】
前記機器は、前記トンネル装置を介して前記アプリケーションと直接通信し、End to Endセキュリティを確保することを特徴とする請求項１に記載の通信システム。
【請求項３】
前記トンネル装置は、該トンネル装置と前記アプリケーションとの間の通信に対して暗号化処理と認証処理を実行することを特徴とする請求項１または２に記載の通信システム。
【請求項４】
前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、優先度情報に基づいて優先制御処理を行う優先制御処理部を備えることを特徴とする請求項１乃至３のいずれかに記載の通信システム。
【請求項５】
前記トンネル装置は、該トンネル装置を経由して前記第１ネットワークと前記第２ネットワーク間で通信するデータに対して、アクセス許可情報に基づいてアクセス制御処理を行うアクセスコントロール処理部を備えることを特徴とする請求項１乃至４のいずれかに記載の通信システム。
【請求項６】
前記トンネル装置は、前記第１ネットワークと前記第２ネットワーク間に接続された他のトンネル装置との間で、互いの設定情報を同期して等値化するトンネル装置同期部を備えることを特徴とする請求項１乃至５のいずれかに記載の通信システム。
【請求項７】
前記トンネル装置は、前記ゲートウェイ装置と同一ハードウェア上に実装されていることを特徴とする請求項１乃至６のいずれかに記載の通信システム。
【請求項８】
前記機器は、ISA100.11aの規格に準拠する無線伝送器であることを特徴とする請求項１乃至７のいずれかに記載の通信システム。
【図３】
【図４】
【図５】
【図１】
【図２】
【図６】
【図４】
【図５】
【図１】
【図２】
【図６】
【公開番号】特開２０１２−２５３７４３（Ｐ２０１２−２５３７４３Ａ）
【公開日】平成２４年１２月２０日（２０１２．１２．２０）
【国際特許分類】
【出願番号】特願２０１２−５４３４１（Ｐ２０１２−５４３４１）
【出願日】平成２４年３月１２日（２０１２．３．１２）
【出願人】（０００００６５０７）横河電機株式会社 (4,443)
【Ｆターム（参考）】
【公開日】平成２４年１２月２０日（２０１２．１２．２０）
【国際特許分類】
【出願日】平成２４年３月１２日（２０１２．３．１２）
【出願人】（０００００６５０７）横河電機株式会社 (4,443)
【Ｆターム（参考）】
[ Back to top ]