JP4554675B2 - 通信制御装置及び通信制御システム - Google Patents

Description

本発明は、通信制御技術に関し、特に、ネットワークを介してアクセス可能な位置に保持されたコンテンツに対するアクセスの許否を制御する通信制御装置及び通信制御システムに関する。

インターネットのインフラが整備され、携帯電話端末、パーソナルコンピュータ、ＶｏＩＰ（Voice over Internet Protocol）電話端末などの通信端末が広く普及した現在、インターネットの利用者は爆発的に増加している。このような状況下、コンピュータウイルス、ハッキング、スパムメールなど、セキュリティに関する問題が顕在化しており、通信を適切に制御する技術が求められている。

インターネットを利用して、膨大な情報に容易にアクセスすることができるようになったが、有害な情報が氾濫してきているのも事実であり、有害な情報の発信元に対する規制が追いつかない状況にある。誰もが安心して効果的にインターネットを利用する環境を整えるために、有害なコンテンツに対するアクセスを適切に制御する技術が求められる。

例えば、アクセス許可サイトのリスト、アクセス禁止サイトのリスト、禁止語キーワード、有益語キーワードなどのデータベースを用意し、インターネットを介して外部情報へアクセスする際に、これらのデータベースを参照して、アクセスを制御する技術が提案されている（例えば、特許文献１参照）。
特開２００１−２８２７９７号公報

特許文献１に開示されたような通信制御を実現する場合、近年では通信環境の向上に伴って通信量が膨大になっているため、アクセスの許否を判定するためのデータベースとのマッチング処理が律速となって、アクセスに要する時間が増大する恐れがある。このような事態を回避するためには、大容量のデータを高速に処理することが可能な通信制御装置が必要となる。

本発明はこうした状況に鑑みてなされたものであり、その目的は、高速な通信制御装置を実現する技術の提供にある。

本発明のある態様は、通信制御装置に関する。この通信制御装置は、ネットワークを介してアクセス可能な位置に保持されたコンテンツに対するアクセスの許否を決定するための基準となる基準データを記憶する記憶部と、前記コンテンツに対するアクセスを要求するための通信データを取得し、前記通信データの中に前記基準データが含まれているか否かを検索する検索部と、前記検索結果に基づいて、前記コンテンツに対するアクセスを制御する処理部と、を含み、前記検索部は、ワイヤードロジック回路により構成されることを特徴とする。

アクセスの許否を判定するための処理を行う検索部を、ワイヤードロジック回路により構成された専用のハードウェア回路として設けることにより、処理速度を向上させることができる。したがって、トラフィックに与える影響を最小限に抑えつつ、適切にアクセスの制御を行うことができる。

前記検索部は、前記通信データに含まれるアクセス先のコンテンツの位置を示す情報の中に前記基準データが含まれるか否かを検索してもよい。コンテンツの位置を示す情報は、例えば、ＵＲＬ（Uniform Resource Locator）であってもよい。

前記記憶部は、前記基準データを格納したデータベースを複数含んでもよく、前記検索部は、複数の前記データベースのそれぞれに対して、前記通信データの中に、そのデータベースに格納された前記基準データが含まれているか否かを検索する検索回路を含んでもよく、複数の前記検索回路が並列して、複数の前記データベースの検索を実行してもよい。これにより、検索速度を向上させることができる。

前記複数のデータベースに対して優先度が設定されてもよく、複数の前記検索回路が並列して複数の前記データベースの検索を実行した結果、複数のデータベースの基準データと合致した場合は、優先度の高い検索結果が採用されてもよい。優先度が設定されている場合であっても、同時に並列して検索を実行することができるので、検索速度を向上させることができる。

前記データベースは、アクセスを許可するコンテンツの位置を示すデータを格納してもよい。前記データベースは、アクセスを禁止するコンテンツの位置を示すデータを格納してもよい。前記データベースは、コンピュータウイルスを含み、アクセスが禁止されるコンテンツの位置を示すデータを格納してもよい。前記データベースは、カテゴリごとに、そのカテゴリに属するコンテンツに対するアクセスを許可するか禁止するかをユーザが個別に設定したデータを格納してもよい。

本発明の別の態様は、通信制御システムに関する。この通信制御システムは、上記のいずれかの通信制御装置と、前記通信制御装置に接続され、前記通信制御装置の動作を制御するサーバ装置と、を含むことを特徴とする。ワイヤードロジック回路により構成された通信制御装置を、周辺のサーバ装置により制御することで、通信制御装置に各種の機能を実現させることができ、柔軟性の高いシステムを提供することができる。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、高速な処理が可能な通信制御装置を実現する技術を提供することができる。

実施の形態に係る通信制御システムの構成を示す図である。 従来の通信制御装置の構成を示す図である。 実施の形態に係る通信制御装置の構成を示す図である。 パケット処理回路の内部構成を示す図である。 位置検出回路の内部構成を示す図である。 第１データベースの内部データの例を示す図である。 第１データベースの内部データの別の例を示す図である。 第１データベースの内部データのさらに別の例を示す図である。 バイナリサーチ回路に含まれる比較回路の構成を示す図である。 第２データベースの内部データの例を示す図である。 第２データベースの内部データの別の例を示す図である。 実施の形態に係るパケット処理回路の内部構成を示す図である。 図１３（ａ）は、ウイルスリストの内部データの例を示す図であり、図１３（ｂ）は、ホワイトリストの内部データの例を示す図であり、図１３（ｃ）は、ブラックリストの内部データの例を示す図である。 共通カテゴリリストの内部データの例を示す図である。 図１５（ａ）、（ｂ）、（ｃ）、及び（ｄ）は、第２データベースの内部データの例を示す図である。 ウイルスリスト、ホワイトリスト、ブラックリスト、及び共通カテゴリリストの優先度を示す図である。

符号の説明

１０ 通信制御装置、２０ パケット処理回路、３０ 検索回路、３２ 位置検出回路、３３ 比較回路、３４ インデックス回路、３５ 比較回路、３６ バイナリサーチ回路、４０ 処理実行回路、５０ 第１データベース、５７ ユーザデータベース、６０ 第２データベース、１００ 通信制御システム、１１０ 運用監視サーバ、１２０ 接続管理サーバ、１３０ メッセージ出力サーバ、１４０ ログ管理サーバ、１５０ データベースサーバ、１６０ ＵＲＬデータベース、１６１ ウイルスリスト、１６２ ホワイトリスト、１６３ ブラックリスト、１６４ 共通カテゴリリスト。

図１は、実施の形態に係る通信制御システムの構成を示す。通信制御システム１００は、通信制御装置１０と、通信制御装置１０の動作を支援するために設けられた各種の周辺装置を含む。本実施の形態の通信制御装置１０は、インターネットサービスプロバイダなどにより提供されるＵＲＬフィルタリング機能を実現する。ネットワークの経路に設けられた通信制御装置１０は、コンテンツに対するアクセス要求を取得して、その内容を解析し、コンテンツに対するアクセスの許否を判断する。コンテンツに対するアクセスが許可される場合は、通信制御装置１０は、そのアクセス要求を、コンテンツを保持するサーバへ送出する。コンテンツに対するアクセスが禁止される場合は、通信制御装置１０は、そのアクセス要求を破棄し、要求元に対して警告メッセージなどを返信する。本実施の形態では、通信制御装置１０は、ＨＴＴＰ（HyperText Transfer Protocol）の「ＧＥＴ」リクエストメッセージを受信し、アクセス先のコンテンツのＵＲＬが、アクセスの許否を判断するための基準データのリストに合致するか否かを検索して、コンテンツに対するアクセスの許否を判断する。

周辺装置は、運用監視サーバ１１０、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、及びデータベースサーバ１５０を含む。接続管理サーバ１２０は、通信制御装置１０に対する接続を管理する。接続管理サーバ１２０は、例えば、携帯電話端末から送出されたパケットを通信制御装置１０で処理する際に、パケットに含まれる携帯電話端末を一意に識別する情報を用いて、通信制御装置１０のユーザであることを認証する。いったん認証されると、その携帯電話端末に一時的に付されたＩＰアドレスから送出されたパケットは、一定の期間は接続管理サーバ１２０で認証せずに通信制御装置１０へ送られて処理される。メッセージ出力サーバ１３０は、通信制御装置１０により判定されたアクセスの許否の結果に応じて、アクセスの要求先又は要求元に対するメッセージを出力する。ログ管理サーバ１４０は、通信制御装置１０の運用履歴を管理する。データベースサーバ１５０は、ＵＲＬデータベース１６０から最新のデータベースを取得し、通信制御装置１０に入力する。通信制御装置１０の運用を止めずにデータベースを更新するために、通信制御装置１０はバックアップ用のデータベースを有してもよい。運用監視サーバ１１０は、通信制御装置１０と、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、データベースサーバ１５０などの周辺装置の運用状況を監視する。運用監視サーバ１１０は、通信制御システム１００の中で最も優先度が高く、通信制御装置１０及び全ての周辺装置の監視制御を行う。通信制御装置１０は、後述するように、専用のハードウェア回路により構成されるが、運用監視サーバ１１０は、本出願人による特許第３０４１３４０号などの技術を利用して、バウンダリスキャン回路を利用して監視のためのデータを通信制御装置１０などとの間で入出力することにより、通信制御装置１０の運用中にも運用状況を監視することができる。

本実施の形態の通信制御システム１００は、以下に説明するように、高速化のために専用のハードウェア回路により構成された通信制御装置１０を、周辺に接続された各種の機能を有するサーバ群により制御する構成とすることにより、サーバ群のソフトウェアを適当に入れ替えることで、同様の構成により各種の機能を実現することができる。本実施の形態によれば、このような柔軟性の高い通信制御システムを提供することができる。

以下、まず通信制御装置１０の概要について説明した後、本実施の形態に特徴的なＵＲＬフィルタリング技術について説明する。

図２は、従来の通信制御装置１の構成を示す。従来の通信制御装置１は、受信側の通信制御部２と、パケット処理部３と、送出側の通信制御部４とを備える。通信制御部２及び４は、それぞれ、パケットの物理層の処理を行うＰＨＹ処理部５ａ及び５ｂと、パケットのＭＡＣ層の処理を行うＭＡＣ処理部６ａ及び６ｂとを備える。パケット処理部３は、ＩＰ（Internet Protocol）のプロトコル処理を行うＩＰ処理部７、ＴＣＰ（Transport Control Protocol）のプロトコル処理を行うＴＣＰ処理部８など、プロトコルに応じた処理を行うプロトコル処理部と、アプリケーション層の処理を行うＡＰ処理部９とを備える。ＡＰ処理部９は、パケットに含まれるデータに応じて、フィルタリングなどの処理を実行する。

従来の通信制御装置１では、パケット処理部３は、汎用プロセッサであるＣＰＵと、ＣＰＵ上で動作するＯＳとを利用して、ソフトウェアにより実現されていた。しかしながら、このような構成では、通信制御装置１の性能はＣＰＵの性能に依存することになり、高速に大容量のパケットを処理可能な通信制御装置を実現しようとしても、自ずと限界がある。例えば、６４ビットのＣＰＵであれば、一度に同時に処理可能なデータ量は最大で６４ビットであり、それ以上の性能を有する通信制御装置は存在しなかった。また、汎用的な機能を有するＯＳの存在を前提としていたので、セキュリティホールなどが存在する可能性が絶無ではなく、ＯＳのバージョンアップなどのメンテナンス作業を必要としていた。

図３は、本実施の形態の通信制御装置の構成を示す。通信制御装置１０は、図２に示した従来の通信制御装置１においてはＣＰＵ及びＯＳを含むソフトウェアにより実現されていたパケット処理部３に代えて、ワイヤードロジック回路による専用のハードウェアにより構成されたパケット処理回路２０を備える。汎用処理回路であるＣＰＵにおいて動作するＯＳとソフトウェアにより通信データを処理するのではなく、通信データを処理するための専用のハードウェア回路を設けることにより、ＣＰＵやＯＳなどに起因する性能の限界を克服し、処理能力の高い通信制御装置を実現することが可能となる。

例えば、パケットフィルタリングなどを実行するために、パケットに含まれるデータに、フィルタリングの判断基準となる基準データが含まれるか否かを検索する場合に、ＣＰＵを用いて通信データと基準データを比較すると、一度に高々６４ビットしか比較することができず、処理速度を向上させようとしてもＣＰＵの性能で頭打ちになるという問題があった。ＣＰＵでは、通信データから６４ビットをメモリへ読み上げ、基準データとの比較を行い、つづいて、次の６４ビットをメモリへ読み上げる、という処理を何度も繰り返し行う必要があるので、メモリへの読み上げ時間が律速となり、処理速度に限界がある。

それに対し、本実施の形態では、通信データと基準データとを比較するために、ワイヤードロジック回路により構成された専用のハードウェア回路を設ける。この回路は、６４ビットよりも長いデータ長、例えば、１０２４ビットのデータ長の比較を可能とするために、並列に設けられた複数の比較器を含む。このように、専用のハードウェアを設けることにより、同時に並列して多数のビットマッチングを実行することができる。従来のＣＰＵを用いた通信制御装置１では一度に６４ビットしか処理できなかったところを、一度に１０２４ビットの処理を可能にすることで、飛躍的に処理速度を向上させることができる。比較器の数を多くすれば処理能力も向上するが、コストやサイズも増大するので、所望の処理性能と、コスト、サイズ、などを考慮して、最適なハードウェア回路を設計すればよい。専用のハードウェア回路は、ＦＰＧＡ（Field Programmable Gate Array）などを用いて実現されてもよい。

また、本実施の形態の通信制御装置１０は、ワイヤードロジック回路による専用のハードウェアにより構成されるので、ＯＳ（Operating System）を必要としない。このため、ＯＳのインストール、バグ対応、バージョンアップなどの作業が必要なく、管理やメンテナンスのためのコストや工数を低減させることができる。また、汎用的な機能が求められるＣＰＵとは異なり、不必要な機能を包含していないので、余計なリソースを用いることがなく、低コスト化、回路面積の低減、処理速度の向上などが望める。さらに、ＯＳを利用していた従来の通信制御装置とは異なり、余分な機能を有しないので、セキュリティホールなどが発生する可能性が低く、ネットワークを介した悪意ある第三者からの攻撃に対する耐性に優れている。

図４は、パケット処理回路の内部構成を示す。パケット処理回路２０は、通信データに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１データベース５０と、受信された通信データの中に基準データが含まれているか否かを、通信データと基準データとを比較することにより検索する検索回路３０と、検索回路３０による検索結果と通信データに対して実行する処理の内容とを対応づけて記憶する第２データベース６０と、検索回路３０による検索結果と第２データベース６０に記憶された条件とに基づいて通信データを処理する処理実行回路４０とを含む。

検索回路３０は、通信データの中から基準データと比較すべき比較対象データの位置を検出する位置検出回路３２と、第１データベース５０に記憶された基準データを３以上の範囲に分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路の一例であるインデックス回路３４と、判定された範囲の中で比較対象データと合致する基準データを検索するバイナリサーチ回路３６とを含む。比較対象データを基準データの中から検索する方法としては、任意の検索技術を利用可能であるが、本実施の形態ではバイナリサーチ法を用いる。

図５は、位置検出回路の内部構成を示す。位置検出回路３２は、比較対象データの位置を特定するための位置特定データと通信データとを比較するための複数の比較回路３３ａ〜３３ｆを含む。ここでは、６個の比較回路３３ａ〜３３ｆが設けられているが、後述するように、比較回路の個数は任意でよい。それぞれの比較回路３３ａ〜３３ｆには、通信データが、所定のデータ長、例えば、１バイトずつずらして入力される。そして、これら複数の比較回路３３ａ〜３３ｆにおいて、同時に並列して、検出すべき位置特定データと通信データとの比較がなされる。

本実施の形態においては、通信制御装置１０の動作を説明するための例として、通信データ中に含まれる「Ｎｏ． ＃＃＃」という文字列を検出し、その文字列中に含まれる数字「＃＃＃」を基準データと比較して、基準データに合致した場合はパケットの通過を許可し、合致しなかった場合はパケットを破棄する処理を行う場合について説明する。

図５の例では、通信データの中から、数字「＃＃＃」の位置を特定するための位置特定データ「Ｎｏ．」を検出するために、通信データ「０１Ｎｏ． ３６１・・・」を、１文字ずつずらして比較回路３３ａ〜３３ｆに入力している。すなわち、比較回路３３ａには「０１Ｎ」が、比較回路３３ｂには「１Ｎｏ」が、比較回路３３ｃには「Ｎｏ．」が、比較回路３３ｄには「ｏ． 」が、比較回路３３ｅには「． ３」が、比較回路３３ｆには「 ３６」が、それぞれ入力される。ここで、比較回路３３ａ〜３３ｆが同時に位置特定データ「Ｎｏ．」との比較を実行する。これにより、比較回路３３ｃがマッチし、通信データの先頭から３文字目に「Ｎｏ．」という文字列が存在することが検出される。こうして、位置検出回路３２により検出された位置特定データ「Ｎｏ．」の次に、比較対象データである数字のデータが存在することが検出される。

ＣＰＵにより同様の処理を行うならば、まず、文字列「０１Ｎ」を「Ｎｏ．」と比較し、続いて、文字列「１Ｎｏ」を「Ｎｏ．」と比較する、というように、先頭から順に１つずつ比較処理を実行する必要があるため、検出速度の向上は望めない。これに対し、本実施の形態の通信制御装置１０では、複数の比較回路３３ａ〜３３ｆを並列に設けることにより、ＣＰＵではなしえなかった同時並列的な比較処理が可能となり、処理速度を格段に向上させることができる。比較回路は多ければ多いほど同時に比較可能な位置が多くなるので、検出速度も向上するが、コスト、サイズ、などを考慮の上、所望の検出速度を得られるのに十分な数の比較回路を設ければよい。

位置検出回路３２は、位置特定データを検出するためだけでなく、汎用的に文字列を検出する回路として利用されてもよい。また、文字列だけでなく、ビット単位で位置特定データを検出するように構成されてもよい。

図６は、第１データベースの内部データの例を示す。第１データベース５０には、パケットのフィルタリング、ルーティング、スイッチング、置換などの処理の内容を決定するための基準となる基準データが、何らかのソート条件にしたがってソートされて格納されている。図６の例では、１０００個の基準データが記憶されている。

第１データベース５０の先頭のレコードには、通信データ中の比較対象データの位置を示すオフセット５１が格納されている。例えば、ＴＣＰパケットにおいては、パケット内のデータ構成がビット単位で定められているため、パケットの処理内容を決定するためのフラグ情報などの位置をオフセット５１として設定しておけば、必要なビットのみを比較して処理内容を決定することができるので、処理効率を向上させることができる。また、パケットのデータ構成が変更された場合であっても、オフセット５１を変更することで対応することができる。第１データベース５０には、比較対象データのデータ長を格納しておいてもよい。これにより、必要な比較器のみを動作させて比較を行うことができるので、検索効率を向上させることができる。

インデックス回路３４は、第１データベース５０に格納されている基準データを３以上の範囲５２ａ〜５２ｄに分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する。図６の例では、１０００個の基準データは、２５０個ずつ４つの範囲５２ａ〜５２ｄに分割されている。インデックス回路３４は、範囲の境界の基準データと比較対象データとを比較する複数の比較回路３５ａ〜３５ｃを含む。比較回路３５ａ〜３５ｃにより比較対象データと境界の基準データとを同時に並列して比較することにより、比較対象データがいずれの範囲に属するかを１度の比較処理で判定することができる。

前述したように、ＣＰＵによりバイナリサーチを実行する場合は、同時に複数の比較を実行することができないが、本実施の形態の通信制御装置１０では、複数の比較回路３５ａ〜３５ｃを並列に設けることにより、同時並列的な比較処理を可能とし、検索速度を格段に向上させることができる。

インデックス回路３４により範囲が判定されると、バイナリサーチ回路３６がバイナリサーチ法により検索を実行する。バイナリサーチ回路３６は、インデックス回路３４により判定された範囲をさらに２分割し、その境界位置にある基準データと比較対象データとを比較することにより、いずれの範囲に属するかを判定する。バイナリサーチ回路３６は、基準データと比較対象データとをビット単位で比較する比較回路を複数個、例えば本実施の形態では１０２４個含んでおり、１０２４ビットのビットマッチングを同時に実行する。２分割された範囲のいずれに属するかが判定されると、さらに、その範囲を２分割して境界位置にある基準データを読み出し、比較対象データと比較する。以降、この処理を繰り返すことにより範囲をさらに限定し、最終的に比較対象データと合致する基準データを検索する。

前述した例を用いてさらに詳細に動作を説明する。図５に示した通信データにおいて、位置特定データ「Ｎｏ．」につづく比較対象データは「３６１」という数字である。位置特定データ「Ｎｏ．」と比較対象データ「３６１」との間には１文字分のスペースが存在しているので、このスペースを比較対象データから除くために、オフセット５１が「８」ビットに設定されている。バイナリサーチ回路３６は、位置特定データ「Ｎｏ．」につづく通信データから、「８」ビット、すなわち１バイト分をスキップし、さらにつづく「３６１」を比較対象データとして読み込む。

インデックス回路３４の比較回路３５ａ〜３５ｃには、比較対象データとして「３６１」が入力され、基準データとして、比較回路３５ａには、範囲５２ａと５２ｂの境界にある基準データ「３７８」が、比較回路３５ｂには、範囲５２ｂと５２ｃの境界にある基準データ「７０４」が、比較回路３５ｃには、範囲５２ｃと５２ｄの境界にある基準データ「９３７」が、それぞれ入力される。比較回路３５ａ〜３５ｃにより同時に比較が行われ、比較対象データ「３６１」が範囲５２ａに属することが判定される。以降、バイナリサーチ回路３６が基準データの中に比較対象データ「３６１」が存在するか否かを検索する。

図７は、第１データベースの内部データの別の例を示す。図７に示した例では、基準データのデータ数が、第１データベース５０に保持可能なデータ数、ここでは１０００個よりも少ない。このとき、第１データベース５０には、最終データ位置から降順に基準データが格納される。そして、残りのデータには０が格納される。データベースのローディング方法として、先頭からデータを配置せずにローディングエリアの後方から配置し、ローディングエリア先頭に空きが生じた場合は全ての空きをゼロサプレスすることで、データーベースは常にフルの状態になり、バイナリー検索する場合の最大時間を一定にすることができる。また、バイナリサーチ回路３６は、検索中に基準データとして「０」を読み込んだときには、比較結果が自明であるから、比較を行わずに範囲を特定して、次の比較にうつることができる。これにより、検索速度を向上させることができる。

ＣＰＵによるソフトウェア処理においては、第１データベース５０に基準データを格納する際に、最初のデータ位置から昇順に基準データが格納される。残りのデータには、例えば最大値が格納されることになるが、この場合、バイナリサーチにおいて、上述したような比較処理の省略はできない。上述した比較技術は、専用のハードウェア回路により検索回路３０を構成したことにより実現される。

図８は、第１データベースの内部データのさらに別の例を示す。図８に示した例では、基準データを均等に３以上の範囲に分割するのではなく、範囲５２ａは５００個、範囲５２ｂは１００個というように、範囲に属する基準データの数が不均一になっている。これらの範囲は、通信データ中における基準データの出現頻度の分布に応じて設定されてもよい。すなわち、それぞれの範囲に属する基準データの出現頻度の和がほぼ同じになるように範囲が設定されてもよい。これにより、検索効率を向上させることができる。インデックス回路３４の比較回路３５ａ〜３５ｃに入力される基準データは、外部から変更可能になっていてもよい。これにより、範囲を動的に設定することができ、検索効率を最適化することができる。

図９は、バイナリサーチ回路に含まれる比較回路の構成を示す。前述したように、バイナリサーチ回路３６は、１０２４個の比較回路３６ａ、３６ｂ、・・・、を含む。それぞれの比較回路３６ａ、３６ｂ、・・・、には、基準データ５４と比較対象データ５６が１ビットずつ入力され、それらの大小が比較される。インデックス回路３４の各比較回路３５ａ〜３５ｃの内部構成も同様である。このように、専用のハードウェア回路で比較処理を実行することにより、多数の比較回路を並列して動作させ、多数のビットを同時に比較することができるので、比較処理を高速化することができる。

図１０は、第２データベースの内部データの例を示す。第２データベース６０は、検索回路３０による検索結果を格納する検索結果欄６２と、通信データに対して実行する処理の内容を格納する処理内容欄６４とを含み、検索結果と処理内容とを対応づけて保持する。図１０の例では、通信データに基準データが含まれている場合は、そのパケットの通過を許可し、含まれていない場合は、そのパケットを破棄するという条件が設定されている。処理実行回路４０は、検索結果に基づいて第２データベース６０から処理内容を検索し、通信データに対して処理を実行する。処理実行回路４０も、ワイヤードロジック回路により実現されてもよい。

図１１は、第２データベースの内部データの別の例を示す。図１１の例では、基準データごとに、処理内容が設定されている。パケットの置換を行う場合、置換先のデータを第２データベース６０に格納しておいてもよい。パケットのルーティングやスイッチングを行う場合、経路に関する情報を第２データベース６０に格納しておいてもよい。処理実行回路４０は、検索回路３０による検索結果に応じて、第２データベース６０に格納された、フィルタリング、ルーティング、スイッチング、置換などの処理を実行する。図１１のように、基準データごとに処理内容を設定する場合、第１データベース５０と第２データベース６０とを統合してもよい。

第１のデータベース及び第２のデータベースは、外部から書き換え可能に設けられる。これらのデータベースを入れ替えることにより、同じ通信制御装置１０を用いて、さまざまなデータ処理や通信制御を実現することができる。また、検索対象となる基準データを格納したデータベースを２以上設けて、多段階の検索処理を行ってもよい。このとき、検索結果と処理内容とを対応づけて格納したデータベースを２以上設けて、より複雑な条件分岐を実現してもよい。このように、データベースを複数設けて多段階の検索を行う場合に、位置検出回路３２、インデックス回路３４、バイナリサーチ回路３６などを複数設けてもよい。

上述した比較に用いられるデータは、同じ圧縮ロジックにより圧縮されてもよい。比較に際して、比較元のデータと比較先のデータが同じ方式で圧縮されていれば、通常と同様の比較が可能である。これにより、比較の際にローディングするデータ量を低減することができる。ローディングするデータ量が少なくなれば、メモリからデータを読み出すのに要する時間が短縮されるので、全体の処理時間も短縮することができる。また、比較器の量を削減することができるので、装置の小型化、軽量化、低コスト化に寄与することができる。比較に用いられるデータは、圧縮された形式で格納されていてもよいし、メモリから読み出した後、比較の前に圧縮されてもよい。

上述のデータ処理装置として、以下のような態様が考えられる。
［態様１］
取得したデータに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１記憶部と、
前記データの中に前記基準データが含まれているか否かを、前記データと前記基準データとを比較することにより検索する検索部と、
前記検索部による検索結果と前記処理の内容とを対応づけて記憶する第２記憶部と、
前記検索結果に基づいて、前記検索結果に対応づけられた処理を前記データに対して実行する処理部と、を含み、
前記検索部は、ワイヤードロジック回路により構成される
ことを特徴とするデータ処理装置。

［態様２］
上記態様１のデータ処理装置において、前記ワイヤードロジック回路は、前記データと前記基準データとをビット単位で比較する第１比較回路を複数含むことを特徴とするデータ処理装置。

［態様３］
上記態様１のデータ処理装置において、前記検索部は、前記データの中から前記基準データと比較すべき比較対象データの位置を検出する位置検出回路を含むことを特徴とするデータ処理装置。

［態様４］
上記態様３のデータ処理装置において、前記位置検出回路は、前記比較対象データの位置を特定するための位置特定データと前記データとを比較する第２比較回路を複数含み、前記複数の第２比較回路に前記データを所定のデータ長ずつ位置をずらして入力し、前記位置特定データと同時に並列して比較することを特徴とするデータ処理装置。

［態様５］
上記態様１から態様２のいずれかのデータ処理装置において、前記検索部は、バイナリサーチにより前記データの中に前記基準データが含まれているか否かを検索するバイナリサーチ回路を含むことを特徴とするデータ処理装置。

［態様６］
上記態様５のデータ処理装置において、前記第１記憶部に保持可能なデータ数よりも前記基準データのデータ数の方が少ない場合、前記第１記憶部の最終データ位置から降順に前記基準データを格納し、残りのデータに０を格納することを特徴とするデータ処理装置。

［態様７］
上記態様１から態様６のいずれかのデータ処理装置において、前記検索部は、前記第１記憶部に記憶された複数の基準データを３以上の範囲に分割したとき、前記基準データと比較すべき比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路を含むことを特徴とするデータ処理装置。

［態様８］
上記態様７のデータ処理装置において、前記判定回路は、前記範囲の境界の基準データと前記比較対象データとを比較する第３比較回路を複数含み、前記複数の第３比較回路により前記比較対象データが前記３以上の範囲のいずれに属するかを同時に並列して判定することを特徴とするデータ処理装置。

［態様９］
上記態様７又は態様８のデータ処理装置において、前記範囲は、前記データ中における前記基準データの出現頻度の分布に応じて設定されることを特徴とするデータ処理装置。

［態様１０］
上記態様１から態様９のいずれかのデータ処理装置において、前記第１記憶部は、前記データ中の比較対象データの位置を示す情報を更に記憶し、前記検索部は、前記位置を示す情報に基づいて前記比較対象データを抽出することを特徴とするデータ処理装置。

［態様１１］
上記態様１から態様１０のいずれかのデータ処理装置において、前記第１記憶部又は前記第２記憶部は、外部から書き換え可能に設けられることを特徴とするデータ処理装置。

つづいて、上述した通信制御装置１０を利用したＵＲＬフィルタリング技術について説明する。

図１２は、本実施の形態のパケット処理回路２０の内部構成を示す。本実施の形態のパケット処理回路２０は、第１データベース５０として、ユーザデータベース５７、ウイルスリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４を備える。ユーザデータベース５７は、通信制御装置１０を利用するユーザの情報を格納する。通信制御装置１０は、ユーザからユーザを識別する情報を受け付け、検索回路３０により受け付けた情報をユーザデータベース５７とマッチングして、ユーザを認証する。ユーザを識別する情報として、ＴＣＰ／ＩＰパケットのＩＰヘッダに格納されたソースアドレスを利用してもよいし、ユーザからユーザＩＤとパスワードなどを受け付けてもよい。前者の場合、パケット中のソースアドレスの格納位置は決まっているので、検索回路３０においてユーザデータベース５７とマッチングするときに、位置検出回路３２により位置を検出する必要はなく、オフセット５１として、ソースアドレスの格納位置を指定すればよい。ユーザデータベース５７に登録されたユーザであることが認証されると、続いて、コンテンツに対するアクセスの許否を判断するために、コンテンツのＵＲＬが、ウイルスリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４に照合される。ホワイトリスト１６２及びブラックリスト１６３はユーザごとに設けられているので、ユーザが認証されてユーザＩＤが一意に決まると、そのユーザのホワイトリスト１６２及びブラックリスト１６３が検索回路３０に与えられる。

ウイルスリスト１６１は、コンピュータウイルスを含むコンテンツのＵＲＬのリストを格納する。ウイルスリスト１６１に格納されたＵＲＬのコンテンツに対するアクセス要求は拒否される。ホワイトリスト１６２は、ユーザごとに設けられ、アクセスを許可するコンテンツのＵＲＬのリストを格納する。ブラックリスト１６３は、ユーザごとに設けられ、アクセスを禁止するコンテンツのＵＲＬのリストを格納する。図１３（ａ）は、ウイルスリスト１６１の内部データの例を示し、図１３（ｂ）は、ホワイトリスト１６２の内部データの例を示し、図１３（ｃ）は、ブラックリスト１６３の内部データの例を示す。ウイルスリスト１６１、ホワイトリスト１６２、及びブラックリスト１６３には、それぞれ、カテゴリ番号欄１６５、ＵＲＬ欄１６６、及びタイトル欄１６７が設けられている。ＵＲＬ欄１６６には、アクセスが許可される、又は禁止されるコンテンツのＵＲＬが格納される。カテゴリ番号欄１６５には、コンテンツのカテゴリの番号が格納される。タイトル欄１６７には、コンテンツのタイトルが格納される。

共通カテゴリリスト１６４は、ＵＲＬで示されるコンテンツを複数のカテゴリに分類するためのリストを格納する。図１４は、共通カテゴリリスト１６４の内部データの例を示す。共通カテゴリリスト１６４にも、カテゴリ番号欄１６５、ＵＲＬ欄１６６、及びタイトル欄１６７が設けられている。

通信制御装置１０は、「ＧＥＴ」リクエストメッセージの中に含まれるＵＲＬを抽出し、そのＵＲＬが、ウイルスリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、又は共通カテゴリリスト１６４に含まれるか否かを検索回路３０により検索する。このとき、例えば、位置検出回路３２により「http://」という文字列を検出し、その文字列に続くデータ列を対象データとして抽出してもよい。抽出されたＵＲＬは、インデックス回路３４及びバイナリサーチ回路３６により、ウイルスリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４の基準データとマッチングされる。

図１５（ａ）、（ｂ）、（ｃ）、及び（ｄ）は、本実施の形態の第２データベース６０の内部データの例を示す。図１５（ａ）は、ウイルスリスト１６１に対する検索結果と処理内容を示す。ＧＥＴリクエストに含まれるＵＲＬが、ウイルスリスト１６１に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは禁止される。図１５（ｂ）は、ホワイトリスト１６２に対する検索結果と処理内容を示す。ＧＥＴリクエストに含まれるＵＲＬが、ホワイトリスト１６２に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは許可される。図１５（ｃ）は、ブラックリスト１６３に対する検索結果と処理内容を示す。ＧＥＴリクエストに含まれるＵＲＬが、ブラックリスト１６３に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは禁止される。

図１５（ｄ）は、共通カテゴリリスト１６４に対する検索結果と処理内容を示す。図１５（ｄ）に示すように、共通カテゴリリスト１６４に対する検索結果に対して、ユーザは、カテゴリごとに、そのカテゴリに属するコンテンツに対するアクセスを許可するか禁止するかを、個別に設定することができる。共通カテゴリリスト１６４に関する第２データベース６０には、ユーザＩＤ欄１６８及びカテゴリ欄１６９が設けられている。ユーザＩＤ欄１６８には、ユーザを識別するためのＩＤが格納される。カテゴリ欄１６９には、５７種に分類されたカテゴリのそれぞれについて、カテゴリに属するコンテンツに対するアクセスをユーザが許可するか否かを示す情報が格納される。ＧＥＴリクエストに含まれるＵＲＬが、共通カテゴリリスト１６４に含まれるＵＲＬに合致した場合、そのＵＲＬのカテゴリと、ユーザＩＤに基づいて、そのＵＲＬに対するアクセスの許否が判定される。なお、図１５（ｄ）では、共通カテゴリの数が５７であるが、それ以外であってもよい。

図１６は、ウイルスリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４の優先度を示す。本実施の形態では、ウイルスリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、共通カテゴリリスト１６４の順に優先度が高く、例えば、ホワイトリスト１６２に格納されたアクセスが許可されるコンテンツのＵＲＬであったとしても、そのＵＲＬがウイルスリスト１６１に格納されていれば、コンピュータウイルスを含むコンテンツであるとしてアクセスが禁止される。

従来、ソフトウェアを用いて、このような優先度を考慮したマッチングを行うときは、例えば、優先度の高いリストから順にマッチングを行って最初にヒットしたものを採用するか、優先度の低いリストから順にマッチングを行って後からヒットしたものを上書きするか、いずれかの方法がとられていた。しかしながら、本実施の形態では、専用のハードウェア回路により構成された通信制御装置１０を利用することにより、ウイルスリスト１６１のマッチングを行う検索回路３０ａと、ホワイトリスト１６２のマッチングを行う検索回路３０ｂと、ブラックリスト１６３のマッチングを行う検索回路３０ｃと、共通カテゴリリスト１６４のマッチングを行う検索回路３０ｄとを設けて、それぞれの検索回路３０において同時に並列してマッチングを行う。そして、複数のリストでヒットした場合は、優先度の高いものを採用する。これにより、複数のデータベースが設けられ、それらに優先度が設定されている場合であっても、検索時間を大幅に短縮することができる。

ウイルスリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４のいずれを優先してアクセスの許否を判断するかは、例えば、第２データベース６０に設定されていてもよい。いずれのリストを優先するかに応じて第２データベース６０の条件を書き換えてもよい。

コンテンツに対するアクセスが許可された場合は、処理実行回路４０は、メッセージ出力サーバ１３０にその旨を通知するための信号を出力する。メッセージ出力サーバ１３０は、コンテンツを保持するサーバに向けて「ＧＥＴ」リクエストメッセージを送出する。コンテンツに対するアクセスが禁止された場合は、処理実行回路４０が、メッセージ出力サーバ１３０にその旨を通知するための信号を出力すると、メッセージ出力サーバ１３０は、アクセス先のサーバに「ＧＥＴ」リクエストメッセージを送信せずに破棄する。このとき、アクセスが禁止された旨の応答メッセージを要求元に送信してもよい。また、強制的に別のウェブページに転送させてもよい。この場合、処理実行回路４０は、デスティネーションアドレスとＵＲＬを転送先のものに書き換えて送出する。応答メッセージや転送先のＵＲＬなどの情報は、第２データベース６０などに格納されていてもよい。

以上の構成及び動作により、不適切なコンテンツに対するアクセスを禁止することができる。また、検索回路３０がＦＰＧＡなどにより構成された専用のハードウェア回路であるから、上述したように高速な検索処理が実現され、トラフィックに与える影響を最小限に抑えつつ、フィルタリング処理を実行することができる。インターネットサービスプロバイダなどが、このようなフィルタリングのサービスを提供することにより、付加価値が高まり、より多くのユーザを集めることができる。

ホワイトリスト１６２又はブラックリスト１６３は、全てのユーザに対して共通に設けられてもよい。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

本発明は、コンテンツに対するアクセスを制御する通信制御装置に適用することができる。

Claims (8)

1. ネットワークを介してアクセス可能な位置に保持されたコンテンツに対するアクセスの許否を決定するための基準となる基準データを記憶する記憶部と、
   前記コンテンツに対するアクセスを要求するための通信データを取得し、前記通信データに含まれるアクセス先のコンテンツの位置を示す情報の中に前記基準データが含まれているか否かを検索する検索部と、
   前記検索の結果に基づいて、前記コンテンツに対するアクセスを制御する処理部と、を含み、
   前記記憶部は、前記基準データを格納したデータベースを複数含み、
   前記検索部は、複数の前記データベースのそれぞれに対して、前記通信データの中に、そのデータベースに格納された前記基準データが含まれているか否かを検索する、ワイヤードロジック回路により構成された検索回路を複数含み、
   複数の前記データベースに対して優先度が設定され、
   複数の前記検索回路が並列して複数の前記データベースの検索を実行した結果、複数のデータベースの基準データと合致した場合は、優先度の高いデータベースの検索結果が採用され、
   前記検索回路は、バイナリサーチにより前記データの中に前記基準データが含まれているか否かを検索するバイナリサーチ回路を含み、
   前記データベースに保持可能なデータ数よりも前記基準データのデータ数の方が少ない場合、前記データベースの最終データ位置から降順に前記基準データを格納し、残りのデータに０を格納する
   ことを特徴とする通信制御装置。
2. 前記検索回路は、前記データベースに記憶された複数の基準データを３以上の範囲に分割したとき、前記基準データと比較すべき比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路を含むことを特徴とする請求項１に記載の通信制御装置。
3. 前記判定回路は、前記範囲の境界の基準データと前記比較対象データとを比較する第３比較回路を複数含み、複数の第３前記比較回路により前記比較対象データが前記３以上の範囲のいずれに属するかを同時に並列して判定することを特徴とする請求項２に記載の通信制御装置。
4. 前記データベースは、アクセスを許可するコンテンツの位置を示すデータを格納することを特徴とする請求項１から３のいずれかに記載の通信制御装置。
5. 前記データベースは、アクセスを禁止するコンテンツの位置を示すデータを格納することを特徴とする請求項１から３のいずれかに記載の通信制御装置。
6. 前記データベースは、コンピュータウイルスを含み、アクセスが禁止されるコンテンツの位置を示すデータを格納することを特徴とする請求項１から３のいずれかに記載の通信制御装置。
7. 前記データベースは、カテゴリごとに、そのカテゴリに属するコンテンツに対するアクセスを許可するか禁止するかをユーザが個別に設定したデータを格納することを特徴とする請求項１から３のいずれかに記載の通信制御装置。
8. 請求項１から７のいずれかに記載の通信制御装置と、
   前記通信制御装置に接続され、前記通信制御装置の動作を制御するサーバ装置と、
   を含むことを特徴とする通信制御システム。

Images