JP5377009B2 - 情報処理装置、通信システム、情報処理装置の制御方法、プログラム - Google Patents

Description

本発明は、ネットワークインターフェース装置を介してネットワークに接続され、当該ネットワーク上の外部装置と通信可能な情報処理装置、または該ネットワークインターフェース装置に関する。

従来、待機時の消費電力を抑えるための省電力モードを備える情報処理システムが知られている。このような情報処理システムの一例として、メインＣＰＵを備える本体側の情報処理装置と、サブＣＰＵを備えるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）装置とから構成される通信システムがある。このような通信システムでは、省電力モード中は本体側の情報処理装置を省電力モードに移行させ、消費電力が小さいＮＩＣ装置側の各モジュールには通常の電力供給を行ったままの状態で待機することが一般的である。

また、特許文献１には、省電力モードへ移行しメインＣＰＵに対する電力供給が停止されるときに、メインＣＰＵがサブＣＰＵに対して、応答すべきマルチキャストパケットのアドレスを通知しておくことが示されている。これにより、メインＣＰＵに対する電力供給が停止されている状態でマルチキャストパケットを受信したときに、メインＣＰＵの代わりにサブＣＰＵが応答することが可能となり、メインＣＰＵを起動させる必要がなくなる。つまり、メインＣＰＵに対する電力供給の停止をより長く継続させることができるため、省電力の効果が高まる。

ところで近年、機密情報を保護するために、ネットワーク経路を暗号化して通信するための技術として、ＩＰＳｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）やＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）等の暗号化方式が知られている。これらの技術を用いれば、データを暗号化した状態でネットワークを介して送受信することができ、情報の漏洩を防止することができる。

また、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続する時に使用する認証の規格として８０２．１Ｘが知られている。これは予め決められた端末機器以外がコンピュータ・ネットワークに接続することを防ぐために、認証によって接続を制限するものである。

特開２００６−２５９９０６号公報

上述したように、本体側の情報処理装置が省電力モードに移行したときに、応答すべきパケットの情報をＮＩＣ装置に登録しておくことにより、ＮＩＣ装置が本体側の情報処理装置の代わりに受信パケットに対する応答を行うことができる。

しかしながら、ＮＩＣ装置が本体側の情報処理装置の代理で応答する場合に、ネットワーク介して送信されてくるパケットが暗号化されていると、ＮＩＣ装置による応答をうまく行うことができない場合がある。

つまり、本体側の情報処理装置の代わりとしてＮＩＣ装置に応答を行わせようとする場合、ＮＩＣ装置が応答すべきパケットのパターンと、そのパターンにマッチするパケットに対する応答として送信すべきパケットとを登録しておく。そして、登録されたパターンにマッチするパケットを受けたＮＩＣ装置がそのパターンに対応するパケットを送信することになる。このとき、ＮＩＣ装置が受けるパケットが暗号化されていると、たとえそのパケットの内容が登録されたパターンにマッチするものであったとしても、暗号化されたままのパケットと登録されたパターンとを比較すると、マッチしないものと判定してしまう。

この場合、本体側の情報処理装置を省電力モードから復帰させて、ＮＩＣ装置が受けたパケットを本体側の情報処理装置に転送する必要がある。従って、本体側の情報処理装置を通常電力モードに復帰させる回数が増加し、省電力の効果が小さくなってしまう。

また、ＮＩＣ装置にも本体側の情報処理装置と同様の暗号化／復号化の処理を行うための構成を備えさせることも考えられるが、この場合は次のような問題が生じる。

即ち、本体側の情報処理装置が暗号化通信を実行する場合は、前もって暗号化通信の相手となる外部装置との間でネゴシエーションを行って暗号化通信を実行するために必要な情報を取得し、保持している。そして、本体側の情報処理装置が暗号化通信を実行する際には、この保持している情報を使用する。

しかしながら、本体側の情報処理装置が省電力モードに移行して、ＮＩＣ装置が外部装置との間で暗号化通信を実行しようとすると、ＮＩＣ装置が外部装置との間で改めて上述したネゴシエーションの処理を行わなければならない。このような処理は、ＮＩＣ装置と外部装置の双方にとって余計な負荷がかかってしまう点や、ネゴシエーションのために時間がかかり通信効率が低下してしまう点で問題がある。

更には、一般的にＮＩＣ装置のハードウェア構成（ＣＰＵの処理能力やメモリ容量）は、本体側の情報処理装置よりも乏しいことが多い。このため、暗号化／復号化の処理を行うための構成だけでなく、外部装置とネゴシエーションを行うための構成をもＮＩＣ装置に備えさせるようにすることが難しい場合がある。

また、８０２．１Ｘ等の認証方式についても同様である。つまり、本体側の情報処理装置が省電力モードに移行して、本体側の情報処理装置の代わりにＮＩＣ装置が外部装置と通信しようとすると、ＮＩＣ装置が外部装置との間で認証のためのネゴシエーションをやり直さなければならない。従って、やはり暗号化通信の場合と同様に上述したような問題が生じる。

本発明は、上記の問題点に鑑みなされたものである。即ち、情報処理装置が外部装置とネゴシエートすることにより得られた通信に必要な情報を、情報処理装置がネットワークインターフェース装置に通知し、そして通知された情報に基づいてネットワークインターフェース装置が通信を実行する仕組みを提供することを目的とする。

上記の目的を達成するために本発明の情報処理装置は、ネットワーク上の外部装置とネットワークインターフェース装置を介して通信可能な情報処理装置であって、暗号化通信を実行するために必要な通信情報を取得するためのネゴシエーション処理を前記外部装置との間で実行するネゴシエーション手段と、前記情報処理装置が第１の電力モードである場合に、前記ネゴシエーション処理によって取得された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行する通信手段と、前記ネゴシエーション処理によって取得された前記通信情報を前記ネットワークインターフェース装置に通知する通知手段とを備え、前記ネットワークインターフェース装置は、前記情報処理装置が前記第１の電力モードよりも消費電力が小さい第２の電力モードである場合に、前記通知手段によって通知された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行することを特徴とする。

また、本発明の通信システムは、ネットワークインターフェース装置と、ネットワーク上の外部装置と当該ネットワークインターフェース装置を介して通信可能な情報処理装置とを備える通信システムであって、前記情報処理装置は、暗号化通信を実行するために必要な通信情報を取得するためのネゴシエーション処理を前記外部装置との間で実行するネゴシエーション手段と、前記情報処理装置が第１の電力モードである場合に、前記ネゴシエーション処理によって取得された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行する第１の通信手段と、前記ネゴシエーション処理によって取得された前記通信情報を前記ネットワークインターフェース装置に通知する通知手段とを備え、前記ネットワークインターフェース装置は、前記情報処理装置が前記第１の電力モードよりも消費電力が小さい第２の電力モードである場合に、前記通知手段によって通知された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行する第２の通信手段と、を備えることを特徴とする。

本発明によれば、情報処理装置が外部装置とネゴシエートすることにより得られた通信に必要な情報を、情報処理装置がネットワークインターフェース装置に通知することができる。また、ネットワークインターフェース装置は、通知された情報に基づいて通信を実行することができる。

通信システム１００を含むネットワークの全体図である。 通信システム１００のハードウェア構成を示すブロック図である。 通信システム１００のソフトウェア構成を示す図である。 ＩＰｓｅｃ通信で使用されるＳＡ情報の一例を示す図である。 情報処理装置２１０の動作を説明するためのフローチャートである。 情報処理装置２１０の動作を説明するためのフローチャートである。 ＮＩＣ２２０の動作を説明するためのフローチャートである。 ＮＩＣ２２０の動作を説明するためのフローチャートである。 ＮＩＣ２２０の動作を説明するためのフローチャートである。 ＮＩＣ２２０の動作を説明するためのフローチャートである。 通信システム１００を含むネットワークの全体図である。 通信システム１００のソフトウェア構成を示す図である。 情報処理装置２１０の動作を説明するためのフローチャートである。 ＮＩＣ２２０の動作を説明するためのフローチャートである。 ＮＩＣ２２０の動作を説明するためのフローチャートである。 ＮＩＣ２２０の動作を説明するためのフローチャートである。

以下、図面を参照して本発明の実施の形態を詳しく説明する。尚、以下の実施の形態は特許請求の範囲に係る発明を限定するものでなく、また実施の形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。

（第１の実施形態）
第１の実施形態では、通信システムが暗号化通信を実行する場合の処理について説明する。なお、ここでは暗号化通信の一例としてＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）を用いて通信する場合を説明する。

ＩＰｓｅｃは、特定の認証アルゴリズムや暗号アルゴリズムを用いて、ネットワーク上を流れるデータの盗聴や改ざんを防ぐためのプロトコルである。ＩＰｓｅｃは、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）とＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）の２つのプロトコルで構成され、ＡＨでは認証のみを、ＥＳＰでは認証と暗号化を行う。どちらのプロトコルを利用するか、また、その際利用する認証アルゴリズムの種別や暗号アルゴリズムの種別は、ＩＰｓｅｃ通信を開始する前のネゴシエーションで決定される。さらに、暗号アルゴリズムで使用する鍵についても、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）を利用する事によって、ＩＰｓｅｃ通信を開始する前に、通信端末間で交換することが定義されている。パケットフォーマットを含むＩＰｓｅｃ及びＩＫＥの詳細については、ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）に定義されている。

図１は、通信システム１００を含むネットワークの全体図である。通信システム１００とＰＣ１１０とがＬＡＮ１２０を介して接続され、相互に通信可能となっている。通信システム１００及びＰＣ１１０には、それぞれＩＰｓｅｃ通信を実行するための構成が備えられており、通信システム１００とＰＣ１１０との通信は、全てＩＰｓｅｃが適用されているものとする。

図２は、通信システム１００のハードウェア構成を示すブロック図である。通信システム１００は、情報処理装置２１０及びＮＩＣ２２０を含む。情報処理装置２１０は、ＮＩＣ２２０を介してＬＡＮ１２０に接続されている。

ＣＰＵ２１１は、情報処理装置２１０のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＡＭ２１４は、ランダムアクセスメモリであり、ＣＰＵ２１１が装置を制御する際に、一時的なデータの格納などに使用される。ＲＯＭ２１３は、リードオンリーメモリであり、装置のブートプログラムや固定パラメータ等が格納されている。

ＨＤＤ２１５は、ハードディスクドライブであり、様々なデータの格納に使用される。ＮＶＲＡＭ２１６は、不揮発性のメモリであり、情報処理装置２１０の各種設定値を保存するためのものである。操作部Ｉ／Ｆ（インターフェース）２１７は、操作部２３０を制御し、操作部２３０に備えられた液晶パネルに各種操作画面を表示させるとともに、操作画面を介して入力されるユーザからの指示をＣＰＵ２１１に伝達する。

スキャナＩ／Ｆ２１８は、スキャナ２４０を制御する。スキャナ２４０は、原稿上の画像を読み取って画像データを生成する。プリンタＩ／Ｆ２１９は、プリンタ２５０を制御する。プリンタ２５０は、画像データに基づく画像を記録媒体上に印刷する。拡張Ｉ／Ｆ２１２は、ＮＩＣ２２０側の拡張Ｉ／Ｆ２２２と接続され、ＮＩＣ２２０を介してＬＡＮ１２０上の外部装置（ＰＣ１１０）とのデータ通信を制御する。

ＣＰＵ２２１は、ＮＩＣ２２０のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＡＭ２２４は、ランダムアクセスメモリであり、ＣＰＵ２２１が装置を制御する際に、一時的なデータの格納などに使用される。ＲＯＭ２２３は、リードオンリーメモリであり、装置のブートプログラムや固定パラメータ等が格納されている。

拡張Ｉ／Ｆ２２２は、情報処理装置２１０側の拡張Ｉ／Ｆ２１２と接続され、情報処理装置２１０とＮＩＣ２２０との間のデータ通信を制御する。ＮｅｔｗｏｒｋＩ／Ｆ２２５は、ＬＡＮ１２０に接続され、ＮＩＣ２２０（情報処理装置２１０、通信システム１００）とＬＡＮ１２０上の外部装置（ＰＣ１１０）との間のデータ通信を制御する。

情報処理装置２１０は、通常電力モードと、通常電力モードよりも消費電力が小さい省電力モードのいずれかを切り替えて動作することができる。通常電力モードから省電力モードに移行する場合は、ＣＰＵ２１１、ＨＤＤ２１５、ＮＶＲＡＭ２１６などに対する電力供給が停止される。一方、ＮＩＣ２２０側は、情報処理装置２１０とは別のＡＣＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で動作している。このため、情報処理装置２１０が省電力モードに移行した状態においてもＮＩＣ２２０に対しては電力供給が継続され、後述する代理応答機能を実現する。

図３は、通信システム１００のソフトウェア構成を示すブロック図である。スリープ制御部３１０は、通常電力モードと省電力モードの切り替え制御を行う。ＩＰｓｅｃ処理部３０９は、ＩＰｓｅｃ通信の実行に必要な情報を取得するためのネゴシエーション処理や、外部装置との間で送受信するパケットの暗号化／復号化処理を行う。

ＩＰｓｅｃ制御部３０８は、ＩＰｓｅｃ処理部３０９を制御するとともに、ＩＰｓｅｃ処理部３０９がＩＰｓｅｃに関する処理を行う際に必要となる情報を保持する。ＣＰＵ間通信部３０７は、拡張Ｉ／Ｆ２１２及び拡張Ｉ／Ｆ２２２を介して、ＮＩＣ２２０上で動作するソフトウェアとのデータ送受信を行う。また、ＣＰＵ間通信部３０６は、拡張Ｉ／Ｆ２２２及び拡張Ｉ／Ｆ２１２を介して、情報処理装置２１０上で動作するソフトウェアとのデータ送受信を行う。

ＩＰｓｅｃ処理部３０４は、外部装置との間で送受信するパケットの暗号化／復号化処理を行う。なお、ここでは、ＩＰｓｅｃ処理部３０４は、ＩＰｓｅｃ処理部３０９とは異なり、ＩＰｓｅｃ通信の実行に必要な情報を取得するためのネゴシエーションを行う構成は備えていないものとするが、ＩＰｓｅｃ処理部３０９と同一の構成であっても構わない。ＩＰｓｅｃ制御部３０３は、ＩＰｓｅｃ処理部３０４を制御するとともに、ＩＰｓｅｃ処理部３０４がＩＰｓｅｃに関する処理を行う際に必要となる情報を保持する。

ネットワークＩ／Ｆ制御部３０５は、ＮｅｔｗｏｒｋＩ／Ｆ２２５によるパケットの送受信を制御する。なお、ネットワークＩ／Ｆ制御部３０５は、情報処理装置２１０が通常電力モードと省電力モードのどちらで動作しているかを常に把握している。そして、ネットワークＩ／Ｆ制御部３０５は、情報処理装置２１０が通常電力モードで動作している場合は、ＬＡＮ１２０から受信するパケットを情報処理装置２１０に転送する。また、情報処理装置２１０が省電力モードで動作している場合は、ＬＡＮ１２０から受信するパケットをＩＰｓｅｃ処理部３０４に転送する。

代理応答処理部３０１は、ＩＰｓｅｃ処理部３０４から転送される受信パケットを受け取る。ＩＰｓｅｃ処理部３０４がパケットを受信するのは、情報処理装置２１０が省電力モードで動作している場合のみであるため、代理応答処理部３０１も、この場合にのみ動作する。

代理応答処理部３０１は、受信したパケットを３種類に分類する。この３種類とは、「破棄すべきパケット」、「情報処理装置２１０に転送すべきパケット」及び「代理で応答すべきパケット」である。「破棄すべきパケット」とは、自装置宛てのパケットではない場合など、無視してもよい（応答する必要がない）パケットであり、これに分類された場合、受信したパケットは破棄される。

「情報処理装置２１０に転送すべきパケット」とは、受信したパケットに対して何らかの処理が必要であるが、ＮＩＣ２２０だけでは必要な処理を行うことができないパケットである。このようなパケットを受信した場合、代理応答処理部３０１は、情報処理装置２１０を省電力モードから通常電力モードに復帰させ、受信したパケットを情報処理装置２１０に転送する。

「代理で応答すべきパケット」とは、情報処理装置２１０の代わりにＮＩＣ２２０が応答を行うパケットである。この場合、代理応答処理部３０１は、ＩＰｓｅｃ送信処理ライブラリ３０２を利用して、応答として送信するパケットを暗号化してから送信する。

ＩＰｓｅｃ送信処理ライブラリ３０２は、ＡＰＩを提供するモジュールであり、代理応答処理部３０１からインパラメータとして渡されたパケットに対して、必要に応じて暗号化処理を施す。そして、暗号化したパケットをＡＰＩ返り値とともにアウトパラメータとして出力する。

図４は、情報処理装置２１０のＲＡＭ２１４上及びＮＩＣ２２０のＲＡＭ２２４上に保存されるＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）を示す。ＳＡＤは、ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報を保持するデータベースであり、ＳＡ情報とは、ＩＰｓｅｃ通信の単方向トラフィックの情報を示す。ＳＡＤは、各ＩＰｓｅｃ制御部によって生成され、ＩＰｓｅｃ制御部が外部装置とネゴシエーションを行うことによって決定されたＳＡ情報が設定される。

ＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒ Ｉｎｄｅｘ）４０１は、ＳＡを識別するための値である。暗号アルゴリズム４０２は、このトラフィックで利用する暗号アルゴリズムの種別を示す。認証アルゴリズム４０３は、このトラフィックで利用する認証アルゴリズムの種別を示す。暗号化鍵４０４は、このトラフィックを暗号化する際に利用する鍵情報を示す。認証鍵４０５は、このトラフィックの認証を行う際に利用する鍵情報を示す。ライフタイム種別４０６は、ＳＡの有効期間として、ＳＡを作成してからの時間（秒単位）もしくは、送信するデータ量（キロバイト単位）のどちらを利用するかを示している。ライフタイム４０７は、ＳＡライフタイムの実値を示す。

ＳＡ作成時刻４０８は、ＳＡが作成された時刻（システム起動からの秒）を示し、ＳＡライフタイム種別４０６に時間が設定された際、ＳＡの有効性を判断するために用いる。送信データ量４０９は、ＳＡ生成から送信したデータ量を示し、ＳＡライフタイム種別４０６にデータ量が設定された際、ＳＡの有効性を判断するために用いる。シーケンス番号４１０は、リプレイ攻撃から防御するための値で、ＩＰｓｅｃヘッダに設定され、パケットを送信するたびに、１ずつ加算される。

送信元アドレス４１１は、このＳＡに対応付けられるＩＰｓｅｃトラフィックの送信元ＩＰ（ＩＰｖ６）アドレスを示す。送信先アドレス４１２は、このＳＡに対応付けられるＩＰｓｅｃトラフィックの送信先ＩＰ（ＩＰｖ６）アドレスを示す。送信元ポート番号４１３は、このＳＡに対応付けられるＩＰｓｅｃトラフィックの送信元ポート番号を示す。送信先ポート番号４１４は、このＳＡに対応付けられるＩＰｓｅｃトラフィックの送信先ポート番号を示す。プロトコル種別４１５は、このＳＡに対応付けられるＩＰｓｅｃトラフィックのプロトコル種別を示す。

図５乃至図１０は、情報処理装置２１０がＰＣ１１０とネゴシエートすることにより得られたＳＡ情報を、情報処理装置２１０が省電力モードに移行する際に、ＮＩＣ２２０に通知する処理を説明するためのフローチャートである。

図５及び図６のフローチャートに示す各動作（ステップ）は、情報処理装置２１０のＣＰＵ２１１が制御プログラムを実行することにより実現される。また、図７乃至図１０のフローチャートに示す各動作（ステップ）は、ＮＩＣ２２０のＣＰＵ２２１が制御プログラムを実行することにより実現される。

まず、図５を用いてスリープ制御部３１０の動作について説明する。スリープ制御部３１０は、情報処理装置２１０が省電力モードに移行するための条件を満たしたことを検知した場合に、図５のフローチャートに示す各処理を実行する。

ステップＳ５０１では、予め登録されているソフトウェアモジュールがスリープ状態へ移行しても問題ないかを確認するために、各モジュールに対してスリープ移行の可否を問い合わせる。本実施形態では、ＩＰｓｅｃ制御部３０９が、スリープ移行可否の問い合わせ対象として登録されているものとする。ここで、スリープ移行“不可”となる場合とは、例えばＩＰｓｅｃ処理部３０９が外部装置とネゴシエーションを行っている場合である。

なお、上述したように、通信システム１００では、ＮＩＣ２２０側のＩＰｓｅｃ処理部３０４には、外部装置との間でネゴシエーションを行うための構成は備えられていない。これは、情報処理装置２１０が省電力モードに移行した場合であっても、ＮＩＣ２２０に対する電力の供給は継続されるため、ＮＩＣ２２０内の構成をよりシンプルなものにすることにより、待機時の消費電力を小さくすることを目的としている。

スリープ制御部３１０は、ステップＳ５０２において、スリープ移行可否の問い合わせに対する応答に基づいて、スリープに移行することが可能であるか否かを判断する。そして、スリープに移行することが可能である場合は、ステップＳ５０４に進み、そうでない場合はステップＳ５０３に進む。ステップＳ５０３では、一定時間が経過するまで待機し、再びステップＳ５０１に戻る。

ステップＳ５０４では、ＩＰｓｅｃ制御部３０８に対して、スリープに移行することを通知する。そして、スリープ制御部３１０は、スリープに移行することを通知したモジュール（ＩＰｓｅｃ制御部３０８）からの応答を受信するまで待機する（ステップＳ５０５）。そして、ＩＰｓｅｃ制御部３０８からの応答を受けた場合に、ステップＳ５０６で情報処理装置２１０をスリープ（省電力モード）に移行させて処理を終了する。

次に、図６を用いてＩＰｓｅｃ制御部３０８の動作について説明する。ＩＰｓｅｃ制御部３０８は、まずステップＳ６０１で、スリープ制御部３１０によりスリープに移行することが通知されるまで待機する。

スリープ制御部３１０によりスリープに移行することが通知された場合、ステップＳ６０２に進み、ＳＤＡ更新済みフラグをＯＦＦに設定する。ＳＡＤ更新済みフラグとは、ＲＡＭ２１４上に確保された領域に格納されており、ＩＰｓｅｃ処理部３０９は、このフラグを参照し、ＯＦＦになっている場合には、ＯＮになるまで処理を停止する。

ステップＳ６０３では、ＲＡＭ２１４に格納されているＳＡ情報を取得する。そして、ステップＳ６０４では、ステップＳ６０３で取得した情報に有効なＳＡ情報が存在するかを判断する。ここで、有効なＳＡ情報が存在する場合、ステップＳ６０５に進み、ＣＰＵ間通信部３０７を経由してＳＡ情報をＮＩＣ２２０に対して通知する。

その後、ステップＳ６０６において、スリープ制御部３１０に対して応答を送信する。この後、情報処理装置２１０がスリープモードに移行するため、ＩＰｓｅｃ制御部３０８の動作は停止する。

ステップＳ６０７では、情報処理装置２１０が省電力モードから通常電力モードに復帰したかどうかを判定し、情報処理装置２１０が通常電力モードに復帰した場合は、ステップＳ６０８でＮＩＣ２２０からＳＡ情報を受信したかどうかを判定する。

ＮＩＣ２２０からＳＡ情報を受信した場合、ステップＳ６０９に進み、受信したＳＡ情報を用いてＲＡＭ２１４に格納されているＳＡ情報を更新する。また、ステップＳ６１０において、ＳＡ情報の更新が完了したことを示す、ＳＡＤ更新済みフラグをＯＮに設定する。

図７は、ＮＩＣ２２０側のＩＰｓｅｃ制御部３０３の動作を示す。ＩＰｓｅｃ制御部３０３は、ステップＳ７０１で、ＳＡ情報受信済みフラグをＯＦＦに設定する。ＳＡ情報受信済みフラグとは、ＲＡＭ２２４上に確保された領域に格納されており、ＩＰｓｅｃ処理部３０４から参照されるものである。

ステップＳ７０２では、情報処理装置２１０からのＳＡ情報の受信待ちを行う。そして、ＳＡ情報を受信した場合、ステップＳ７０３に進み、ＲＡＭ２２４上にＳＡＤ領域を確保し、受信したＳＡ情報を保存する。その後、ステップＳ７０４に進み、ステップＳ７０１でＯＦＦにしたＳＡ情報受信済みフラグをＯＮに設定する。そして、ステップＳ７０５では、ＳＡ情報送信依頼を受けるまで待機する。

このＳＡ情報送信依頼とは、情報処理装置２１０の動作モード（通常電力モードまたは省電力モード）を常に把握しているネットワークＩ／Ｆ制御部３０５が、情報処理装置２１０が通常電力モードに復帰することを認識したとき送信するものである。ステップＳ７０５において、ＳＡ情報送信依頼を受けたと判断した場合、ステップＳ７０６に進み、ＲＡＭ２２４に保存しているＳＡ情報を、ＣＰＵ間通信部３０６を経由して情報処理装置２１０に送信する。

図８は、ＮＩＣ２２０側のＩＰｓｅｃ処理部３０４の動作を示す。まず、ステップＳ８０１で、ＬＡＮ１２０から受信したパケットがネットワークＩ／Ｆ制御部３０５から転送されてくるまで待機する。そして、パケットを受信した場合、ステップＳ８０２に進み、受信したパケットのイーサフレーム部分を参照し、自装置のＭＡＣアドレス宛てかどうかを判断する。

ステップＳ８０２の判断の結果、受信したパケットが自装置のＭＡＣアドレス宛てではない場合、ステップＳ８０９に進み、受信したパケットを破棄して処理を終了する。

一方、受信したパケットが自装置のＭＡＣアドレス宛てである場合、ステップＳ８０３に進み、受信したパケットがＩＰｓｅｃパケットかどうか（暗号化されているかどうか）を判断する。ＩＰｓｅｃパケットかどうかは、イーサフレームの次ヘッダがＩＰｓｅｃヘッダ（ＥＳＰヘッダもしくはＡＨヘッダ）であるかどうかに基づいて判断される。この判断の結果、受信したパケットがＩＰｓｅｃパケットではない場合、ステップＳ８０８で、受信したパケットを代理応答処理部３０１に転送して処理を終了する。

一方、受信したパケットがＩＰｓｅｃパケットの場合、ステップＳ８０４に進み、ＳＡ情報を受信しているかどうかを判断する。この判断は、ＲＡＭ２２４上のＳＡ受信情報受信済みフラグを参照することにより行う。

ＳＡ情報を受信していない場合、ステップＳ８０８で受信したパケットを代理応答処理部３０１に転送して処理を終了する。これは、ＩＰｓｅｃ通信に必要なＳＡ情報がない場合、ＩＰｓｅｃのネゴシエーションを行う必要があるが、上述した通り、この処理はＮＩＣ２２０では実行できない（サポートしていない）ためである。

ステップＳ８０４の判断の結果、ＳＡ情報を受信している場合、ステップＳ８０５において、ＲＡＭ２２４上に保存されたＳＡ情報に基づいて、ＩＰｓｅｃパケットに対して復号化処理を行う。ただし、ＩＰｓｅｃヘッダとしてＡＨヘッダが付与されている場合、パケットの暗号化は行われていないため、この処理は必要ない。

更に、ステップＳ８０６では、復号化されたパケットに対してＲＡＭ２２４上に保存されたＳＡ情報を元に、認証処理を行う。そして、ステップＳ８０７において、この認証処理の結果を判断し、処理結果がＮＧの場合、受信したパケットは不正であると判断し、ステップＳ８０９で受信パケットを破棄して処理を終了する。一方、処理結果がＯＫの場合は、ＩＰｓｅｃヘッダ及び認証データを削除した平文の受信パケットを代理応答処理部３０１に転送へ転送し（ステップＳ８０８）、処理を終了する。

図９は、代理応答処理部３０１の動作を示す。ステップＳ９０１では、ＩＰｓｅｃ処理部３０４から転送されてくるパケットを受信するまで待機する。ＩＰｓｅｃ処理部３０４からパケットが転送されてきた場合は、ステップＳ９０２に進み、受信したパケットが「代理で応答すべきパケット」であるかどうかを判断する。

なお、この判断は、情報処理装置２１０が省電力モードに移行する前にＮＩＣ２２０に通知したパケットパターン情報に基づいて行われる。すなわち、情報処理装置２１０は、情報処理装置２１０が省電力モードで動作している間にＮＩＣ２２０が応答すべきパケットを特定するための受信パケットパターンと、応答として送信する送信パケットとをＮＩＣ２２０に通知して登録しておく。そして、この受信パケットパターンに一致するパケットをＮＩＣ２２０が受信した場合は、「代理で応答すべきパケット」であるものと判断し、ステップＳ９０６に進む。

受信したパケットが「代理で応答すべきパケット」でないと判断した場合は、ステップＳ９０３に進み、「情報処理装置２１０に転送すべきパケット」であるかどうかを判断する。この判断も、ステップＳ９０２での判断と同様に、情報処理装置２１０が省電力モードに移行する前にＮＩＣ２２０に通知したパケットパターン情報に基づいて行われる。

ステップＳ９０３の判断の結果、「情報処理装置２１０に転送すべきパケット」であると判断した場合はステップＳ９０５に進み、受信したパケットを情報処理装置２１０に転送する。一方、「情報処理装置２１０に転送すべきパケット」でないと判断した場合は、ステップＳ９０４に進み、受信したパケットを破棄する。

ステップＳ９０６では、受信したパケットに対する応答として送信する応答パケットを生成する。そして、ステップＳ９０７に進み、ＩＰｓｅｃ送信処理ライブラリ３０２をコールし、受信したパケットをインパラメータとして渡す。

ステップＳ９０８では、ＩＰｓｅｃ送信処理ライブラリ３０２からのＡＰＩ返り値が“要転送”であるかどうかを判断し、ＡＰＩ返り値が“要転送”であればステップＳ９０５に進み、受信したパケットを情報処理装置２１０に転送する。一方、ＡＰＩ返り値が“要転送”でなければ、ステップＳ９０９に進み、ＩＰｓｅｃ送信処理ライブラリ３０２からのＡＰＩ返り値が“ＯＫ”であるかどうかを判断する。

ステップＳ９０９の判断の結果、ＡＰＩ返り値が“ＯＫ”である場合はステップＳ９１０で応答パケットを外部装置に送信し、そうでなければステップＳ９０４に進み、受信したパケットを破棄する。

図１０は、ＮＩＣ２２０のＩＰｓｅｃ送信処理ライブラリ３０２の処理フローを示す。ＩＰｓｅｃ送信処理部ライブラリ３０２は、代理応答処理部３０１へＡＰＩを提供しており、本フローは、このＡＰＩがコールされた場合の処理を示す。

代理応答処理部３０１は、上述したように、応答パケットのＩＰｓｅｃ処理を行う（応答パケットを暗号化する）ために、生成した応答パケットをＡＰＩのインパラメータとして渡す。

ステップＳ１００１では、ＡＰＩの引数として渡されたパケットの送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号、プロトコル種別に該当するＳＡ情報がＲＡＭ２２４上のＳＡＤに存在するかを判断する。該当するＳＡ情報が存在しない場合、ステップＳ１００７では、ＡＰＩの返り値として“要転送”を設定し、ＡＰＩを終了する。この返り値を得た場合、代理応答処理部３０１は、情報処理装置２１０を省電力モードから復帰させ、受信したパケットを情報処理装置２１０に転送することになる。

一方、該当するＳＡ情報が存在する場合、ステップＳ１００２において、ＳＡ情報が有効であるかどうかを判断する。ここでは、ＳＡ情報のライフタイムが超過していない場合に有効であるものと判断する。

そして、ＳＡ情報が有効でないと判断した場合は、ステップＳ１００７に進み、ＡＰＩの返り値として“要転送”を設定し、ＡＰＩを終了する。一方、ＳＡ情報が有効であると判断した場合は、ステップＳ１００３及びＳ１００４に進み、ＳＡ情報に従って、送信パケットの暗号化・認証処理を実施し、ＡＰＩのアウトパラメータとして設定する。

その後、ステップＳ１００５では、ＳＡＤを更新する。ここで更新されるＳＡＤ情報としては、送信データ量４０９、シーケンス番号４１０が考えられる。さらに、ステップＳ１００６では、ＡＰＩ返り値として、ＩＰｓｅｃ処理が正常に終了した旨を示す“ＯＫ”を設定し、ＡＰＩを終了する。なお、ここでは図示していないが、ＩＰｓｅｃ処理が正常に終了しなかった場合は、ＡＰＩ返り値に“ＯＫ”は設定されない。

以上の通り、情報処理装置２１０が外部装置（ＰＣ１１０）とネゴシエートすることにより得られた通信に必要な情報（ＳＡ情報）を、情報処理装置が省電力モードに移行する際に、ネットワークインターフェース装置（ＮＩＣ２２０）に通知することができる。

これにより、情報処理装置２１０が省電力モードに移行した状態で、外部装置から暗号化されたパケットが送信されてきたとしても、ＮＩＣ２２０が外部装置とのネゴシエーションをやり直すことを必要とせずに、受信したパケットを復号化することができる。つまり、受信したパケットが暗号化されていたとしても、情報処理装置２１０を省電力モードから復帰させることなくＮＩＣ２２０が代理で応答することができる。

（第２の実施形態）
次に本発明の第２の実施形態について説明する。第２の実施形態では、通信システムがＩＥＥＥ８０２．１Ｘを用いた認証処理を行ってＬＡＮ１２０に接続する場合の処理について説明する。なお、ここでは認証方式の一例として８０２．１Ｘを説明するが、他の認証方式を採用した場合に適用しても構わない。なお、上述した第１の実施形態と同様の構成については同じ符号を付し、詳細な説明は省略する。

ＩＥＥＥ８０２．１Ｘは、認証の対象となるサプリカント、認証結果に基づいて端末のアクセス制御を行うオーセンティケータ、認証情報を管理する認証サーバ（ＲＡＤＵＩＳサーバ）の３つの構成要素が連携して動作を行う。つまり、認証サーバで認証されたサプリカントのみがオーセンティケータに通信を許可されるセキュリティの仕組みである。

図１１は、通信システム１００を含むネットワークの全体図である。通信システム１００、ＬＡＮスイッチ１１０１、及び認証サーバ１１０２がそれぞれＬＡＮ１２０を介して接続され、相互に通信可能となっている。ここでは、通信システム１００、ＬＡＮスイッチ１１０１、認証サーバ１１０２は、それぞれＩＥＥＥ８０２．１Ｘにおけるサプリカント、オーセンティケータ、認証サーバ（ＲＡＤＵＩＳサーバ）の役割を担う。

通信システム１００は、ＬＡＮ１２０に物理回線レベルで接続した際に、ＩＥＥＥ８０２．１Ｘ認証を実施し、認証サーバ１１０２からの認証を受けて、ＬＡＮスイッチ１１０１との通信を許可される。認証サーバ１００２、初期認証後も、通信システム１００に対して一定間隔でＩＥＥＥ８０２．１Ｘ再認証要求を行う。この一定間隔とは、認証サーバ１１０２に対して管理者が設定した値に基づくものである。

図１２は、通信システム１００のソフトウェア構成を示すブロック図である。スリープ制御部１２１０は、通常電力モードと省電力モードの切り替え制御を行う。ＩＥＥＥ８０２．１Ｘ処理部３０９は、ＩＥＥＥ８０２．１Ｘ認証処理を実行するために認証サーバ１１０２との間でネゴシエーションを行って、認証結果を得る。ＩＥＥＥ８０２．１Ｘ制御部１２０８は、ＩＥＥＥ８０２．１Ｘ処理部１２０９を制御する。

ＣＰＵ間通信部１２０７は、拡張Ｉ／Ｆ２１２及び拡張Ｉ／Ｆ２２２を介して、ＮＩＣ２２０上で動作するソフトウェアとのデータ送受信を行う。また、ＣＰＵ間通信部１２０６は、拡張Ｉ／Ｆ２２２及び拡張Ｉ／Ｆ２１２を介して、情報処理装置２１０上で動作するソフトウェアとのデータ送受信を行う。

ＩＥＥＥ８０２．１Ｘ処理部１２０４は、ＩＥＥＥ８０２．１Ｘ認証処理を実行するために認証サーバ１１０２との間でネゴシエーションを行って、認証結果を得る。ＩＥＥＥ８０２．１Ｘ制御部１２０３は、ＩＥＥＥ８０２．１Ｘ処理部１２０４を制御する。

ネットワークＩ／Ｆ制御部１２０５は、ＮｅｔｗｏｒｋＩ／Ｆ２２５によるパケットの送受信を制御する。なお、ネットワークＩ／Ｆ制御部１２０５は、情報処理装置２１０が通常電力モードと省電力モードのどちらで動作しているかを常に把握している。そして、ネットワークＩ／Ｆ制御部１２０５は、情報処理装置２１０が通常電力モードで動作している場合は、ＬＡＮ１２０から受信するパケットを情報処理装置２１０に転送する。また、情報処理装置２１０が省電力モードで動作している場合は、ＬＡＮ１２０から受信するパケットをＩＥＥＥ８０２．１Ｘ処理部１２０４に転送する。

代理応答処理部１２０１は、ＩＥＥＥ８０２．１Ｘ処理部１２０４から転送される受信パケットを受け取る。ＩＥＥＥ８０２．１Ｘ処理部１２０４がパケットを受信するのは、情報処理装置２１０が省電力モードで動作している場合のみであるため、代理応答処理部１２０１も、この場合にのみ動作する。

代理応答処理部１２０１は、受信したパケットを３種類に分類する。この３種類とは、「破棄すべきパケット」、「情報処理装置２１０に転送すべきパケット」及び「代理で応答すべきパケット」である。なお、「破棄すべきパケット」、「情報処理装置２１０に転送すべきパケット」及び「代理で応答すべきパケット」については、第１の実施形態で説明したものと同様である。

図１３乃至図１６は、情報処理装置２１０が認証サーバ１１０２とネゴシエートすることにより得られた認証情報を、情報処理装置２１０が省電力モードに移行する際に、ＮＩＣ２２０に通知する処理を説明するためのフローチャートである。

図１３のフローチャートに示す各動作（ステップ）は、情報処理装置２１０のＣＰＵ２１１が制御プログラムを実行することにより実現される。また、図１４乃至図１６のフローチャートに示す各動作（ステップ）は、ＮＩＣ２２０のＣＰＵ２２１が制御プログラムを実行することにより実現される。

なお、情報処理装置２１０のスリープ制御部１２１０の動作は、第１の実施形態の図５で説明したものと同様であるため説明は省略する。但し、図５のステップＳ５０１では、ＩＰｓｅｃ制御部３０８に対してスリープ移行可否を問い合わせているのに対して、ここではＩＥＥＥ８０２．１Ｘ制御部１２０８に対して問い合わせを行う。また、図５のステップＳ５０４では、ＩＰｓｅｃ制御部３０８に対してスリープ移行を通知しているのに対して、ここではＩＥＥＥ８０２．１Ｘ制御部１２０８に対して通知を行う。また、図５のステップＳ５０５では、ＩＰｓｅｃ制御部３０８からの応答を待つのに対して、ここではＩＥＥＥ８０２．１Ｘ制御部１２０８からの応答を待つ。

図１３は、ＩＥＥＥ８０２．１Ｘ制御部１２０８の動作を示す。ＩＥＥＥ８０２．１Ｘ制御部１２０８は、まずステップＳ１３０１で、スリープ制御部１２１０によりスリープに移行することが通知されるまで待機する。

スリープ制御部１２１０によりスリープに移行することが通知された場合、ステップＳ１３０２に進み、ＲＡＭ２１４に格納されているＩＥＥＥ８０２．１Ｘの認証情報を取得する。そして、ステップＳ１３０３では、ステップＳ１３０２で取得した認証情報を、ＣＰＵ間通信部１２０７を経由してＮＩＣ２２０に対して通知する。

その後、ステップＳ１３０４において、スリープ制御部１２１０に対して応答を送信する。この後、情報処理装置２１０がスリープモードに移行するため、ＩＥＥＥ８０２．１Ｘ制御部１２０８の動作は停止する。

図１４は、ＮＩＣ２２０側のＩＥＥＥ８０２．１Ｘ制御部１２０３の動作を示す。ＩＥＥＥ８０２．１Ｘ制御部１２０３は、ステップＳ１４０１で、認証情報受信済みフラグをＯＦＦに設定する。認証情報受信済みフラグとは、ＲＡＭ２２４上に確保された領域に格納されており、ＩＥＥＥ８０２．１Ｘ処理部１２０４から参照されるものである。

ステップＳ１４０２では、情報処理装置２１０からの認証情報の受信待ちを行う。そして、認証情報を受信した場合、ステップＳ１４０３に進み、ＲＡＭ２２４上に必要な領域を確保し、受信した認証情報を保存する。その後、ステップＳ１４０４に進み、ステップＳ１４０１でＯＦＦにした認証情報受信済みフラグをＯＮに設定する。

図１５は、ＮＩＣ２２０側のＩＥＥＥ８０２．１Ｘ処理部１２０４の動作を示す。まず、ステップＳ１５０１で、ＬＡＮ１２０から受信したパケットがネットワークＩ／Ｆ制御部１２０５から転送されてくるまで待機する。そして、パケットを受信した場合、ステップＳ１５０２に進み、受信したパケットのイーサフレーム部分を参照し、自装置のＭＡＣアドレス宛てかどうかを判断する。

ステップＳ１５０２の判断の結果、受信したパケットが自装置のＭＡＣアドレス宛てではない場合、ステップＳ１５０９に進み、受信したパケットを破棄して処理を終了する。

一方、受信したパケットが自装置のＭＡＣアドレス宛てである場合、ステップＳ１５０３に進み、受信したパケットがＩＥＥＥ８０２．１Ｘ再認証要求パケットかどうかを判断する。この判断の結果、受信したパケットがＩＥＥＥ８０２．１Ｘ再認証要求パケットではない場合、ステップＳ１５０７で、受信したパケットを代理応答処理部１２０１に転送して処理を終了する。

一方、受信したパケットがＩＥＥＥ８０２．１Ｘ再認証要求パケットの場合、ステップＳ１５０４に進み、認証情報を受信しているかどうかを判断する。この判断は、ＲＡＭ２２４上の認証受信情報受信済みフラグを参照することにより行う。

認証情報を受信していない場合、ステップＳ１５０７で、受信したパケットを代理応答処理部１２０１に転送して処理を終了する。

ステップＳ１５０４の判断の結果、認証情報を受信している場合、ステップＳ１５０５において、ＲＡＭ２２４上に保存された認証情報に基づいて、応答パケットを生成する。そして、ステップＳ１５０６で、生成した応答パケットを送信して処理を終了する。

図１６は、代理応答処理部１２０１の動作を示す。ステップＳ１６０１では、ＩＥＥＥ８０２．１Ｘ処理部１２０４から転送されてくるパケットを受信するまで待機する。ＩＥＥＥ８０２．１Ｘ処理部１２０４からパケットが転送されてきた場合は、ステップＳ１６０２に進み、受信したパケットが「代理で応答すべきパケット」であるかどうかを判断する。

なお、この判断は、情報処理装置２１０が省電力モードに移行する前にＮＩＣ２２０に通知したパケットパターン情報に基づいて行われる。すなわち、情報処理装置２１０は、情報処理装置２１０が省電力モードで動作している間にＮＩＣ２２０が応答すべきパケットを特定するための受信パケットパターンと、応答として送信する送信パケットとをＮＩＣ２２０に通知して登録しておく。そして、この受信パケットパターンに一致するパケットをＮＩＣ２２０が受信した場合は、「代理で応答すべきパケット」であるものと判断し、ステップＳ１６０６に進む。

受信したパケットが「代理で応答すべきパケット」でないと判断した場合は、ステップＳ１６０３に進み、「情報処理装置２１０に転送すべきパケット」であるかどうかを判断する。この判断も、ステップＳ１６０２での判断と同様に、情報処理装置２１０が省電力モードに移行する前にＮＩＣ２２０に通知したパケットパターン情報に基づいて行われる。

ステップＳ１６０３の判断の結果、「情報処理装置２１０に転送すべきパケット」であると判断した場合はステップＳ１６０５に進み、受信したパケットを情報処理装置２１０に転送する。一方、「情報処理装置２１０に転送すべきパケット」でないと判断した場合は、ステップＳ１６０４に進み、受信したパケットを破棄する。

ステップＳ１６０６では、受信したパケットに対する応答として送信する応答パケットを生成する。そして、ステップＳ１６０７に進み、応答パケットを外部装置に送信して処理を終了する。

以上の通り、情報処理装置２１０が外部装置（認証サーバ１１０２）とネゴシエートすることにより得られた情報（認証情報）を、情報処理装置が省電力モードに移行する際に、ネットワークインターフェース装置（ＮＩＣ２２０）に通知することができる。

これにより、情報処理装置２１０が省電力モードに移行したときに、ＮＩＣ２２０が外部装置とのネゴシエーションをやり直すことを必要とせずに、ＮＩＣ２２０がネットワークを介して通信することができる。

なお、本発明の目的は、以下の処理を実行することによっても達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）が記憶媒体に格納されたプログラムコードを読み出す処理である。

この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。

Claims (9)

1. ネットワーク上の外部装置とネットワークインターフェース装置を介して通信可能な情報処理装置であって、
   暗号化通信を実行するために必要な通信情報を取得するためのネゴシエーション処理を前記外部装置との間で実行するネゴシエーション手段と、
   前記情報処理装置が第１の電力モードである場合に、前記ネゴシエーション処理によって取得された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行する通信手段と、
   前記ネゴシエーション処理によって取得された前記通信情報を前記ネットワークインターフェース装置に通知する通知手段とを備え、
   前記ネットワークインターフェース装置は、前記情報処理装置が前記第１の電力モードよりも消費電力が小さい第２の電力モードである場合に、前記通知手段によって通知された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行することを特徴とする情報処理装置。
2. 前記情報処理装置が前記第１の電力モードから前記第２の電力モードに移行するための移行条件を満たしたことを検知する検知手段を更に備え、
   前記通知手段は、前記検知手段が前記移行条件を検知した場合に、前記ネゴシエーション処理によって取得された前記通信情報を前記ネットワークインターフェース装置に通知することを特徴とする請求項１に記載の情報処理装置。
3. 前記ネゴシエーション処理によって取得された前記通信情報を保持する保持手段と、
   前記情報処理装置が前記第２の電力モードから前記第１の電力モードに移行した場合に、前記通知手段により前記ネットワークインターフェース装置に通知された通信情報であって、当該ネットワークインターフェース装置が実行した前記暗号化通信の結果に基づいて更新された通信情報を前記ネットワークインターフェース装置から取得する取得手段と、
   前記取得手段が取得した通信情報に基づいて、前記保持手段に保持されている通信情報を更新する更新手段を更に備えることを特徴とする請求項１または２に記載の情報処理装置。
4. 前記暗号化通信はＩＰｓｅｃ通信であり、前記通信情報はＳＡ（ｓｅｃｕｒｉｔｙ ａｓｓｏｃｉａｔｉｏｎ）情報であることを特徴とする請求項１から３のいずれか１項に記載の情報処理装置。
5. ネットワーク上の外部装置とネットワークインターフェース装置を介して通信可能な情報処理装置の制御方法であって、
   暗号化通信を実行するために必要な通信情報を取得するためのネゴシエーション処理を前記外部装置との間で実行するネゴシエーション工程と、
   前記情報処理装置が第１の電力モードである場合に、前記ネゴシエーション処理によって取得された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行する通信工程と、
   前記ネゴシエーション処理によって取得された前記通信情報を、前記ネットワークインターフェース装置に通知する通知工程とを備え、
   前記ネットワークインターフェース装置は、前記情報処理装置が前記第１の電力モードよりも消費電力が小さい第２の電力モードである場合に、前記通知工程で通知された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行することを特徴とする情報処理装置の制御方法。
6. 請求項５に記載の情報処理装置の制御方法をコンピュータに実行させるためのプログラム。
7. ネットワークインターフェース装置と、ネットワーク上の外部装置と当該ネットワークインターフェース装置を介して通信可能な情報処理装置とを備える通信システムであって、
   前記情報処理装置は、
   暗号化通信を実行するために必要な通信情報を取得するためのネゴシエーション処理を前記外部装置との間で実行するネゴシエーション手段と、
   前記情報処理装置が第１の電力モードである場合に、前記ネゴシエーション処理によって取得された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行する第１の通信手段と、
   前記ネゴシエーション処理によって取得された前記通信情報を前記ネットワークインターフェース装置に通知する通知手段とを備え、
   前記ネットワークインターフェース装置は、
   前記情報処理装置が前記第１の電力モードよりも消費電力が小さい第２の電力モードである場合に、前記通知手段によって通知された前記通信情報に基づいて前記外部装置との間で前記暗号化通信を実行する第２の通信手段と、
   を備えることを特徴とする通信システム。
8. 前記情報処理装置は、
   前記情報処理装置が前記第１の電力モードから前記第２の電力モードに移行するための移行条件を満たしたことを検知する検知手段を更に備え、
   前記通知手段は、前記検知手段が前記移行条件を検知した場合に、前記ネゴシエーション処理によって取得された前記通信情報を前記ネットワークインターフェース装置に通知することを特徴とする請求項７に記載の通信システム。
9. 前記暗号化通信はＩＰｓｅｃ通信であり、前記通信情報はＳＡ（ｓｅｃｕｒｉｔｙ ａｓｓｏｃｉａｔｉｏｎ）情報であることを特徴とする請求項７または８に記載の通信システム。