特許7470320 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

▶ 国立大学法人　名古屋工業大学の特許一覧

特許7470320ネットワーク管理装置

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3
4
5
6
7
8
9
10
11

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-04-10

(45)【発行日】2024-04-18

(54)【発明の名称】ネットワーク管理装置

(51)【国際特許分類】

H04L 12/46 20060101AFI20240411BHJP

H04L 41/04 20220101ALI20240411BHJP

H04L 41/0895 20220101ALI20240411BHJP

H04L 41/40 20220101ALI20240411BHJP

H04L 43/00 20220101ALI20240411BHJP

H04L 45/42 20220101ALI20240411BHJP

【ＦＩ】

H04L12/46 V

H04L41/04

H04L41/0895

H04L41/40

H04L43/00

H04L45/42

【請求項の数】 6

(21)【出願番号】P 2020001712

(22)【出願日】2020-01-08

(65)【公開番号】P2021111857

(43)【公開日】2021-08-02

【審査請求日】2022-11-24

(73)【特許権者】

【識別番号】304021277

【氏名又は名称】国立大学法人名古屋工業大学

(74)【代理人】

【識別番号】110001128

【氏名又は名称】弁理士法人ゆうあい特許事務所

(72)【発明者】

【氏名】越島一郎

(72)【発明者】

【氏名】橋本芳宏

(72)【発明者】

【氏名】尾川友規

(72)【発明者】

【氏名】西田稜

【審査官】和平悠希

(56)【参考文献】

【文献】特開２０１４－１５４９２５（ＪＰ，Ａ）

【文献】特開２００７－１０４６６８（ＪＰ，Ａ）

【文献】特開２０１６－０８５６６９（ＪＰ，Ａ）

【文献】特表２００９－５１９６６３（ＪＰ，Ａ）

【文献】特開２００３－２０４３４８（ＪＰ，Ａ）

【文献】特開２０１９－０６８３５２（ＪＰ，Ａ）

【文献】特開２０１９－０９６２２３（ＪＰ，Ａ）

【文献】特開２０１７－０３４３０９（ＪＰ，Ａ）

【文献】特開２０１８－１２９７１０（ＪＰ，Ａ）

【文献】国際公開第２０１１／０４３４１６（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ１２／００－１２／６６

Ｈ０４Ｌ４１／００－１０１／６９５

(57)【特許請求の範囲】

【請求項1】

【請求項2】

前記仮想的な中継装置は、複数のポートを有し、前記複数のポートの各々にＩＤが設定可能であり、同じＩＤを有するポート間でパケットを配送し、異なるＩＤを有するポート間でパケットを配送しない仮想的なスイッチであり、
前記ネットワーク変更部は、前記仮想中継テーブルにおいて前記複数のポートの少なくとも一部のＩＤを変更することで、前記仮想ネットワークにおけるパケットの配送形態を変更する請求項１に記載のネットワーク管理装置。

【請求項3】

前記複数の通信装置は、現実の中継装置（５５）に設けられた複数のアクセスポート（６）に接続され、
前記ネットワークインターフェースは、前記現実の中継装置に設けられたトランクポート（５）に接続され、
前記複数のアクセスポートには異なるＩＤが割り当てられており、
前記構成データには、ポート対応テーブルが含まれており、
前記ポート対応テーブルには、前記現実の中継装置の前記複数のアクセスポートに割り当てられたＩＤと、前記アクセスポートの前記仮想ネットワークにおける接続先との対応関係が記述されており、
前記現実の中継装置は、前記複数のアクセスポートのうちいずれか１つのアクセスポートでパケットを受信した場合、当該パケットに、当該１つのアクセスポートに割り当てられたＩＤを追加し、前記トランクポートを介して前記ネットワークインターフェースに送信し、
前記ネットワーク構築部は、前記ネットワークインターフェースから受信したパケット中のタグフレームに含まれるＩＤに対応する前記仮想ネットワーク中の接続先を、前記ポート対応テーブルに基づいて特定し、前記仮想ネットワークにおいて、当該接続先に当該パケットを送信し、
前記ネットワーク構築部は、前記仮想ネットワークの或る接続先から前記仮想ネットワークの外部に送信されるパケットがある場合、前記接続先に対応するＩＤを前記ポート対応テーブルに基づいて特定し、特定したＩＤを含むタグフレームを当該パケットに含めて、前記ネットワークインターフェースから前記トランクポートに送信し、
前記現実の中継装置は、前記トランクポートで受信したパケットにタグフレームが含まれている場合、当該タグフレーム中のＩＤが割り当てられたアクセスポートから、当該パケットを送信する、請求項１または２に記載のネットワーク管理装置。

【請求項4】

産業用制御システムに用いられるネットワーク管理装置であって、
複数の通信装置（３０～３４、８）と通信するためのネットワークインターフェース（５１）と、
前記複数の通信装置の間の通信を媒介する仮想ネットワーク（９０）の構成を記述する構成データ（５２ａ）をメモリ（５２）から読み出し、読み出した前記構成データに記述された前記仮想ネットワークの構成に従った配送形態で、前記複数の通信装置の間で送信および受信されるパケットを配送するネットワーク構築部（５３ａ）と、
所定のイベントの発生に基づいて、前記構成データを書き換えることで、前記仮想ネットワークにおけるパケットの配送形態を変更するネットワーク変更部（５３ｂ）と、を備え、
前記複数の通信装置は、現実の中継装置（５５）に設けられた複数のアクセスポート（６）に接続され、
前記ネットワークインターフェースは、前記現実の中継装置に設けられたトランクポート（５）に接続され、
前記複数のアクセスポートには異なるＩＤが割り当てられており、
前記構成データには、ポート対応テーブルが含まれており、
前記ポート対応テーブルには、前記現実の中継装置の前記複数のアクセスポートに割り当てられたＩＤと、前記アクセスポートの前記仮想ネットワークにおける接続先との対応関係が記述されており、
前記現実の中継装置は、前記複数のアクセスポートのうちいずれか１つのアクセスポートでパケットを受信した場合、当該パケットに、当該１つのアクセスポートに割り当てられたＩＤを追加し、前記トランクポートを介して前記ネットワークインターフェースに送信し、
前記ネットワーク構築部は、前記ネットワークインターフェースから受信したパケット中のタグフレームに含まれるＩＤに対応する前記仮想ネットワーク中の接続先を、前記ポート対応テーブルに基づいて特定し、前記仮想ネットワークにおいて、当該接続先に当該パケットを送信し、
前記ネットワーク構築部は、前記仮想ネットワークの或る接続先から前記仮想ネットワークの外部に送信されるパケットがある場合、前記接続先に対応するＩＤを前記ポート対応テーブルに基づいて特定し、特定したＩＤを含むタグフレームを当該パケットに含めて、前記ネットワークインターフェースから前記トランクポートに送信し、
前記現実の中継装置は、前記トランクポートで受信したパケットにタグフレームが含まれている場合、当該タグフレーム中のＩＤが割り当てられたアクセスポートから、当該パケットを送信する、ネットワーク管理装置。

【請求項5】

【請求項6】

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、産業用制御システムに用いられるネットワーク管理装置に関するものである。

【背景技術】

【0002】

従来、産業用制御システムにおいて、ネットワークの接続形態を動的に変更する技術が記載されている（例えば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１６－１５８１９４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記のような技術を用いる場合、ネットワークの接続形態を変更するためには、複数のハードウェアを用いた複雑な経路設定を行ったり、ネットワークケーブルを付け替えたりする必要がある。本開示は、産業用制御システムにおいて、ネットワークの接続形態を従来よりも簡易に変更できる技術を提供することを目的とする。

【課題を解決するための手段】

【0005】

本開示の第１の観点によれば、産業用制御システムに用いられるネットワーク管理装置は、複数の通信装置（３０～３４、８）と通信するためのネットワークインターフェース（５１）と、前記複数の通信装置の間の通信を媒介する仮想ネットワーク（９０）の構成を記述する構成データ（５２ａ）をメモリ（５２）から読み出し、読み出した前記構成データに記述された前記仮想ネットワークの構成に従った配送形態で、前記複数の通信装置の間で送信および受信されるパケットを配送するネットワーク構築部（５３ａ）と、
所定のイベントの発生に基づいて、前記構成データを書き換えることで、前記仮想ネットワークにおけるパケットの配送形態を変更するネットワーク変更部（５３ｂ）と、を備える。

【0006】

このようにすることで、ネットワーク管理装置が、所定のイベントの発生に応じて、構成データを書き換えることで、複数の通信装置間の通信経路を一元的に柔軟に変更することができる。すなわち、ネットワークの接続形態を簡易に変更できる。

【0007】

また、第２の観点によれば、前記構成データは、前記仮想ネットワークにおいてパケットの中継を行う仮想的な中継装置（９１、９２、９３）におけるパケットの転送先を規定する仮想中継テーブルを含み、前記ネットワーク変更部は、前記仮想的な中継装置の作動を継続させながら前記仮想中継テーブルを書き換えることで、前記仮想ネットワークにおけるパケットの配送形態を変更する。

【0008】

このように、仮想的な中継装置の作動を継続させながら仮想中継テーブルを書き換えることで、仮想的な中継装置を起動し直す場合に比べ、より迅速に仮想ネットワークにおけるパケットの配送形態を変更することができる。

【0009】

また、第３の観点によれば、前記仮想的な中継装置は、複数のポートを有し、前記複数のポートの各々にＩＤが設定可能であり、同じＩＤを有するポート間でパケットを配送し、異なるＩＤを有するポート間でパケットを配送しない仮想的なスイッチであり、前記ネットワーク変更部は、前記仮想中継テーブルにおいて前記複数のポートの少なくとも一部のＩＤを変更することで、前記仮想ネットワークにおけるパケットの配送形態を変更する。

【0010】

このように、仮想的に構成されたスイッチのポートのＩＤを変更するという簡易な処理で、仮想ネットワークにおけるパケットの配送形態を変更することができる。

【0011】

また、第４の観点によれば、前記複数の通信装置は、現実の中継装置（５５）に設けられた複数のアクセスポート（６）に接続され、前記ネットワークインターフェースは、前記現実の中継装置に設けられたトランクポート（５）に接続され、前記複数のアクセスポートには異なるＩＤが割り当てられており、前記構成データには、ポート対応テーブルが含まれており、前記ポート対応テーブルには、前記現実の中継装置の前記複数のアクセスポートに割り当てられたＩＤと、前記アクセスポートの前記仮想ネットワークにおける接続先との対応関係が記述されており、前記現実の中継装置は、前記複数のアクセスポートのうちいずれか１つのアクセスポートでパケットを受信した場合、当該パケットに、当該１つのアクセスポートに割り当てられたＩＤを追加し、前記トランクポートを介して前記ネットワークインターフェースに送信し、前記ネットワーク構築部は、前記ネットワークインターフェースから受信したパケット中のタグフレームに含まれるＩＤに対応する前記仮想ネットワーク中の接続先を、前記ポート対応テーブルに基づいて特定し、前記仮想ネットワークにおいて、当該接続先に当該パケットを送信し、前記ネットワーク構築部は、前記仮想ネットワークの或る接続先から前記仮想ネットワークの外部に送信されるパケットがある場合、前記接続先に対応するＩＤを前記ポート対応テーブルに基づいて特定し、特定したＩＤを含むタグフレームを当該パケットに含めて、前記ネットワークインターフェースから前記トランクポートに送信し、前記現実の中継装置は、前記トランクポートで受信したパケットにタグフレームが含まれている場合、当該タグフレーム中のＩＤが割り当てられたアクセスポートから、当該パケットを送信する。

【0012】

このように、ネットワーク管理装置における１つのネットワークインターフェースに、現実の中継装置を介して、複数の通信装置を接続させることで、ネットワーク管理装置側で設けるネットワークインターフェースの数を減らすことができる。また、ネットワーク管理装置５０における１つのネットワークインターフェースに、複数の通信装置からパケットが届いても、現実の中継装置によってそれらパケットに含められたＩＤとポート対応テーブルに基づいて、仮想ネットワーク９０内における適切な配送が実現する。

【0013】

また、ネットワーク管理装置５０における１つのネットワークインターフェースに、複数の通信装置からパケットが届いても、現実の中継装置によってそれらパケットに含められたＩＤとポート対応テーブルに基づいて、仮想ネットワーク９０内における適切な配送が実現する。

【0014】

また、仮想ネットワークの或る接続先から仮想ネットワークの外部に送信されるパケットがある場合でも、当該接続先とポート対応テーブルに基づいて当該パケットにＩＤが付与されることで、仮想ネットワーク内から仮想ネットワーク外への適切な配送が実現する。

【0015】

また、第５の観点によれば、前記ネットワーク変更部は、前記仮想ネットワークの外部において、前記仮想ネットワーク中を配送されるパケットの内容に基づいて、前記所定のイベントが発生したか否かを判定する。このようにすることで、ネットワーク変更部を仮想ネットワーク内において仮想ネットワークを介してネットワーク変更部に対してパケットを送信するという複雑な構成を採用する必要がない。

【0016】

また、第６の観点によれば、前記ネットワーク変更部は、前記所定のイベントの発生に基づいて、前記仮想ネットワーク内において第１のサブネット（ＶＬ２）に属する通信端末のうち一部（７ｄ、７ｅ）を前記第１のサブネットから第２のサブネット（ＶＬ３）に移動させ、前記第２のサブネットと前記仮想ネットワーク中の他のサブネット（ＶＬ１）との間のパケットの配送を中継する中継装置（９ｂ）を生成する。このようにすることで、一部の通信端末を第１のサブネットから第２のサブネットに移動させて移動先の第２のサブネットと他のサブネットとの間を中継する中継装置を生成するという、ダイナミックな配送経路の切り替えが可能となる。

【0017】

なお、各構成要素等に付された括弧付きの参照符号は、その構成要素等と後述する実施形態に記載の具体的な構成要素等との対応関係の一例を示すものである。

【図面の簡単な説明】

【0018】

【図1】第１実施形態に係る通信ネットワークの構成図である。

【図2】仮想ネットワークの構成等を示す図である。

【図3】ポート対応テーブルの構成を示す図である。

【図4】パケットを外部から受信するときのネットワーク構築部の処理内容を示すフローチャートである。

【図5】パケットを外部に送信受信するときのネットワーク構築部の処理内容を示すフローチャートである。

【図6】仮想スイッチの各ポートのＶＬＡＮＩＤを示す図である。

【図7】ネットワーク変更部５３ｂが実行する処理のフローチャートである。

【図8】仮想スイッチの各ポートのＶＬＡＮＩＤを示す図である。

【図9】他の実施形態に係る仮想ネットワークの一部の変更前の状態を示す図である。

【図10】他の実施形態に係る仮想ネットワークの一部の変更後の状態を示す図である。

【図11】他の実施形態に係る仮想ネットワークの一部の変更後の状態を示す図である。

【発明を実施するための形態】

【0019】

以下、実施形態について説明する。図１に示すように、本実施形態にかかる通信システムは、ルータ１１を介してインターネット等の広域ネットワーク１に接続されている。この通信システムは、例えば、企業等の団体に属して地理的に離れた複数の拠点Ｌ１、Ｌ２に配置されたローカルエリアネットワーク（以下、ＬＡＮという）が互いに接続されて構成される。図１の例では、通信システムを構成するＬＡＮが配置された拠点の数は２個であるが、３個以上であってもよい。

【0020】

拠点Ｌ１は、例えば団体の本部機能を有する拠点である。拠点Ｌ１には、ＬＡＮ２０、３０が配置されている。ＬＡＮ２０は、非武装ゾーンとも呼ばれるネットワークである。拠点Ｌ１内にあってＬＡＮ２０に接続される装置としては、ルータ１１、２１、端末２２、２３等がある。ルータ１１、２１以外でＬＡＮ２０に接続される端末２２、２３等は、ルータ１１の設定により、広域ネットワークからの接続が許可される。しかし、ルータ２１の設定により、ＬＡＮ３０およびその先の拠点Ｌ２のネットワーク内の装置への接続は許可されない。端末２２、２３は、例えば、外部向けのＷｅｂサーバであってもよい。

【0021】

ＬＡＮ３０は、団体内のタスクを効率化したり団体の構成員間で情報のやり取りをしたりするために設置されている、エンタープライズゾーンとも呼ばれるネットワークである。拠点Ｌ２内にあってＬＡＮ３０に接続される装置としては、ルータ２１、３１、端末３２、３３、３４等がある。

【0022】

拠点Ｌ２は、例えば工場等の生産機能を有する拠点である。拠点Ｌ２には、ネットワーク管理装置５０、スイッチ５５、および複数の通信装置８が配置されている。拠点Ｌ２に配置されるこれら機器は、全体として、産業用制御システムを構成する。そして、これら機器を接続するネットワークは、産業用制御ネットワークである。

【0023】

ネットワーク管理装置５０は、上述のエンタープライズゾーンに接続する端末および拠点Ｌ２にある通信装置を合わせた複数の通信装置の間の通信を媒介する装置である。ネットワーク管理装置５０は、その内部に仮想的にネットワークを構成し、その構成に従った配送形態で、これら複数の通信装置の間で送信および受信されるパケットを配送する。そしてネットワーク管理装置５０は、所定のイベントの発生に応じてその仮想的なネットワークの構成を変更する。ネットワーク管理装置５０の構成および作動については後述する。

【0024】

スイッチ５５は、タグＶＬＡＮに対応する現実の、すなわち、仮想的に生成されたのではない、中継装置であり、例えばレイヤ２スイッチである。スイッチ５５には、イーサネットケーブルを介してネットワーク管理装置５０に接続する１つのトランクポート５が設けられている。

【0025】

また、スイッチ５５には、ｎ個のアクセスポート６が設けられている。ｎは、２以上でもよいし、５０以上でもよいし、１０００以上でもよい。アクセスポート６のうち１つには、イーサネットケーブル等を介して拠点Ｌ１のルータ３１が接続される。また、アクセスポート６には、通信装置８が、現実のイーサネットケーブルを介して、接続される。

【0026】

通信装置８の数は、２個以上でも、５個以上でも、１０個以上でも、５０個以上でも、１０００個以上でもよい。通信装置８は、端末装置でもよいし、ゲートウウェイ、スイッチ等の中継装置でもよい。通信装置８は、拠点Ｌ２に設置された製造ラインで製品を製造するためのアクチュエータを制御する制御装置を含む。また、通信装置８は、ＳＣＡＤＡ（Supervisory Control And Data Acquisition）およびＯＰＣサーバ(異なる製造元の各種制御機器間でリアルタイムでデータ通信を行うためのOPC:OLE for Process Controlプロトコルを用いたデータ管理サーバ)を含む。

【0027】

通信装置８のうち中継装置は、図１に示すように、２つ以上のアクセスポート６に接続されていてもよい。また、図１に示すように、複数の通信装置８が中継装置である１つの通信装置８を介してアクセスポート６に接続されてもよい。

【0028】

アクセスポート６の各々には、ＶＬＡＮＩＤが設定可能である。同じＶＬＡＮＩＤを有するアクセスポート間は、スイッチ５５内部においてパケットが配送可能である。異なるＶＬＡＮＩＤを有するポート間は、スイッチ５５内部においてはパケットが配送できず、ネットワーク管理装置５０を介してしかパケットが配送されない。トランクポート５は、どのＶＬＡＮＩＤのパケットも送受信できる。

【0029】

アクセスポート６の各々には、他のアクセスポート６とは異なるＶＬＡＮＩＤが割り当てられている。つまり、アクセスポート６に割り当てられたＶＬＡＮＩＤはすべて異なる。このようにすることで、スイッチ５５内においてアクセスポート６から他のアクセスポート６にパケットが転送されることがなくなる。そして、アクセスポート６間の通信は、必ずネットワーク管理装置５０で中継される。なお、構成によってはアクセスポート６に同じＶＬＡＮＩＤを付加しても良く、この場合は複数のアクセスポート６がグループとして管理される。

【0030】

また、トランクポート５からネットワーク管理装置５０に送信されるパケットは、ＩＥＥＥ８０２．１Ｑで規定されるタグフレーム付きのイーサネットフレームである。タグフレームにはＶＬＡＮＩＤを示すデータが含まれる。

【0031】

スイッチ５５は、通信装置８からまたはルータ３１から送信されて或るアクセスポート６でパケットを受信した場合、当該パケットに、当該アクセスポート６に割り当てられたＶＬＡＮＩＤを含むタグフレームを追加し、トランクポート５を介してネットワークインターフェース５１に送信する。

【0032】

また、スイッチ５５は、ネットワーク管理装置５０から送信されてトランクポート５で受信したパケットにタグフレームが含まれている場合、当該タグフレーム中のＶＬＡＮＩＤが割り当てられたアクセスポート６から、当該パケットを送信する。このときスイッチ５５は、当該パケットからタグフレームを削除してもよい。

【0033】

ここで、ネットワーク管理装置５０の詳細について説明する。ネットワーク管理装置５０は、ネットワークインターフェースと、メモリ５２と、ＣＰＵ５３と、を有している。

【0034】

ネットワークインターフェース５１は、イーサネットケーブルを介してスイッチ５５のトランクポート５に接続される。

【0035】

メモリ５２は、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の各種メモリを含む。ＲＡＭは、書き込み可能な揮発性記憶媒体である。ＲＯＭは、書き込み不可能な不揮発性記憶媒体である。フラッシュメモリは、書き込み可能な不揮発性記憶媒体である。ＲＡＭ、ＲＯＭ、フラッシュメモリは、いずれも非遷移的実体的記憶媒体である。ＣＰＵ５３は、ＲＯＭまたはフラッシュメモリに記憶された不図示のプログラムを実行し、その実行の際にＲＡＭを作業領域として用いることで、後述する種々の処理を実現する。

【0036】

本実施形態においては、ＣＰＵ５３は、ＲＯＭまたはフラッシュメモリに記憶された不図示のネットワーク構築プログラムを実行することで、図２に示すネットワーク構築部５３ａとして機能する。またＣＰＵ５３は、ＲＯＭまたはフラッシュメモリに記憶された不図示のネットワーク変更プログラムを実行することで、図３に示すネットワーク変更部５３ｂとして機能する。

【0037】

ＣＰＵ５３は、マルチタスク機能により同時並行的にネットワーク構築部５３ａおよびネットワーク変更部５３ｂとして機能する。以下、簡単のため、ＣＰＵ５３がネットワーク構築プログラムを実行する処理を、単にネットワーク構築部５３ａが実行する処理として説明する。そして、ＣＰＵ５３がネットワーク変更プログラムを実行する処理を、単にネットワーク変更部５３ｂが実行する処理として説明する。

【0038】

まず、ネットワーク構築部５３ａについて説明する。ネットワーク構築部５３ａは、図２に示すように、メモリ５２にあらかじめ記録された構成データ５２ａを読み出し、読み出した構成データ５２ａの内容に従って、仮想ネットワーク９０を生成およびエミュレートする。仮想ネットワークは、ＣＰＵ５３およびメモリ５２のリソースを用いて仮想化技術によってソフトウェア的に生成された仮想環境である。

【0039】

仮想ネットワーク９０においては、複数個の仮想的な通信装置が生成される。それら複数個の仮想的な通信装置は、複数個の仮想的な中継装置を含む。これら仮想的な中継装置は、仮想ネットワーク９０内において仮想的にパケットを中継する機能を有する。仮想的な中継装置としては、例えば、仮想的なルータ、仮想的なスイッチ、仮想的なリピータ等がある。また、仮想ネットワーク９０においては、これら複数の仮想的な通信装置間のパケットの配送経路、および、これら複数の仮想的な通信装置と外部の現実の通信装置８との間の配送経路が、仮想的に生成される。これら複数の仮想的な通信装置の構成および機能、ならびに、上記の仮想的な配送経路を示す情報は、構成データ５２ａに記述される。

【0040】

ネットワーク構築部５３ａを実現するためのネットワーク構築プログラムとしては、例えば、Ｌｉｎｕｘ（登録商標）に用いられるＫＶＭ（Kernel-based Virtual Machine）が利用可能である。また、ソフトウェア定義型ネットワーク（ＳＤＮ）を構築するＫＶＭ以外のアプリケーションも利用可能である。また、仮想的な中継装置およびそれによるパケットの配送形態を実現するためのプログラムとしては、ＯｐｅｎｖＳｗｉｔｃｈ、ＯｐｅｎＦｌｏｗ等が利用可能である。

【0041】

本実施形態においては、仮想環境において、中継装置に該当する複数個の仮想スイッチ９１、９２、９３が仮想的に生成される。仮想スイッチ９１およびそれに接続する通信装置は、スーパーバイザリゾーンに属する。スーパーバイザリゾーンは、拠点Ｌ２の最上位に設置されており、拠点Ｌ２内の制御機器すべてのデータを集中させ、状態を一元的に監視するための通信装置が接続されている。また、スーパーバイザリゾーンでは、一段下のコントロールゾーンと通信するため、ＯＰＣ－ＤＡプロトコルやＯＰＣ－ＵＡプロトコルが用いられ、ＳＣＡＤＡのヒューマンマシンインターフェース用の端末が接続される。

【0042】

仮想スイッチ９２、９３およびそれに接続する通信装置は、コントロールゾーンに属する。コントロールゾーンは、スーパーバイザリゾーンより狭い単位で設置され、ＰＬＣ、ＳＬＣ等の制御機器と接続されている。ベンダーや制御機器ごとに通信方式は異なるが、それらを一つの汎用プロトコルに集約するＯＰＣサーバがコントロールゾーンに設置される。コントロールゾーンでは、制御機器間の情報がやり取りされ、生産情報をリアルタイムで把握しコントロールできる。

【0043】

構成データ５２ａは、生成対象の仮想ネットワーク９０の構成を記述するデータである。ネットワーク構築プログラムとしてＫＶＭ、ＯｐｅｎｖＳｗｉｔｃｈおよびＯｐｅｎＦｌｏｗコントローラが用いられる場合、構成データは、仮想環境内の仮想マシンのイメージデータ、定義ファイル、ＯｐｅｎｖＳｗｉｔｃｈの各種設定ファイル、ＯｐｅｎＦｌｏｗのフローテーブル等が、構成データを構成する。ネットワーク管理装置５０においては、メモリ５２のフラッシュメモリに、この構成データが、作成されて記録されている。構成データは、あらかじめ他のコンピュータで作業者の操作に基づいて作成されたものであってもよい。あるいは、ＣＰＵ５３が、ＫＶＭ、Ｏｐｅｎｖｓｗｉｔｃｈ、ＯｐｅｎＦｌｏｗを実行する時に、ネットワーク管理装置５０に対するユーザの設定操作に基づいて、これら構成データを作成してもよい。

【0044】

本実施形態においては、ネットワーク構築部５３ａによって構築された仮想ネットワーク９０において、上述の仮想スイッチ９１、９２、９３が、上述のルータ３１および通信装置８に接続されている。仮想スイッチ９１、９２、９３、ルータ３１、通信装置８間の接続形態も、構成データ５２ａに記述されている。ネットワーク構築部５３ａは、この構成データ５２ａの記述内容に従って、パケットを配送する。

【0045】

構成データ５２ａには、ポート対応テーブルが含まれる。このポート対応テーブルは、スイッチ５５の各アクセスポート６に割り当てられたＶＬＡＮＩＤを、当該アクセスポート６の仮想ネットワーク９０における接続先との対応関係を示すものである。本実施形態では、仮想ネットワーク９０における接続先は、仮想ネットワーク９０内において仮想的に生成される仮想スイッチ９１、９２、９３等の通信機器および当該通信機器の通信ポートに対応する。

【0046】

例えば、ポート対応テーブルは、図３に示すように、複数のレコードを含み、各レコードは、アクセスポート６のＶＬＡＮＩＤと、当該ＶＬＡＮＩＤに対応する通信機器およびポートと、を含んでいる。なお、図３では、参考のため、各レコードの左側に、当該レコードに対応する現実の通信装置８を示している。図３では、複数個のＶＬＡＮＩＤと、複数組の通信機器およびポートの組との間で、１対１の対応関係が規定される。

【0047】

図３のポート対応テーブルにおいては、ルータ３１が現実に接続しているスイッチ５５のアクセスポート６に割り当てられたＶＬＡＮＩＤである「１」が、仮想スイッチ９１のポート９１ａに対応付けられている。

【0048】

また、端末８ａ、８ｂ、８ｃが現実に接続しているスイッチ５５のアクセスポート６にそれぞれ割り当てられたＶＬＡＮＩＤである「２」、「３」、「４」が、それぞれ、仮想スイッチ９１のポート９１ｂ、仮想スイッチ９２のポート９２ａ、仮想スイッチ９３のポート９３ａに、対応付けられている。

【0049】

また、仮想スイッチ９１と仮想スイッチ９２の間を繋ぐルータ８ｄが現実に接続しているスイッチ５５の２つのアクセスポート６に割り当てられたＶＬＡＮＩＤである「５」、「６」が、それぞれ、仮想スイッチ９１のポート９１ｃ、仮想スイッチ９２のポート９２ｂに、対応付けられている。つまり、スイッチ５５において「５」のＶＬＡＮＩＤが割り当てられたアクセスポート６は、ルータ８ｄの仮想スイッチ９１側に対応するポートとなる。また、スイッチ５５において「６」のＶＬＡＮＩＤが割り当てられたアクセスポート６は、ルータ８ｄの仮想スイッチ９２側に対応するポートとなる。

【0050】

また、仮想スイッチ９１と仮想スイッチ９３の間を繋ぐルータ８ｅが現実に接続しているスイッチ５５の２つのアクセスポート６に割り当てられたＶＬＡＮＩＤである「７」、「８」が、それぞれ、仮想スイッチ９１のポート９１ｄ、仮想スイッチ９３のポート９３ｂに、対応付けられている。つまり、スイッチ５５において「７」のＶＬＡＮＩＤが割り当てられたアクセスポート６は、ルータ８ｅの仮想スイッチ９１側に対応するポートとなる。また、スイッチ５５において「８」のＶＬＡＮＩＤが割り当てられたアクセスポート６は、ルータ８ｅの仮想スイッチ９３側に対応するポートとなる。

【0051】

また、通信装置８ｆが現実に接続しているスイッチ５５のアクセスポート６に割り当てられたＶＬＡＮＩＤである「９」が、仮想スイッチ９２のポート９２ｃに、対応付けられている。なお、通信装置８は、現実のスイッチ８ｇを介して、現実の制御機器８ｈ、８ｉ、８ｊと接続されている。制御機器には、制御対象であるアクチュエータが接続されている。これらアクチュエータは、製造ラインにおいて製品を生産するために使用される装置であり、例えば、ロボットアームである。

【0052】

また、後述する通信装置であるハニーポット８ｋが現実に接続しているスイッチ５５のアクセスポート６に割り当てられたＶＬＡＮＩＤである「１０」が、仮想スイッチ９３のポート９３ｃに、対応付けられている。

【0053】

ネットワーク構築部５３ａは、このポート対応テーブルに基づいて、仮想ネットワーク９０内におけるパケットの配送を行う。具体的には、ネットワーク構築部５３ａは、図４の処理を常時行っている。ネットワーク構築部５３ａは、図４の処理において、まずステップＳ１１０で、自機外部から、すなわちスイッチ５５から、パケットを受信するまで待機する。外部からパケットを受信すると、続いてステップＳ１２０に進み、受信したパケットに含まれるタグフレーム中のＶＬＡＮＩＤを読み出す。このタグフレームおよびその中のＶＬＡＮＩＤは、スイッチ５５によってパケットに付与されている。

【0054】

続いてネットワーク構築部５３ａは、ステップＳ１３０で、読み出したＶＬＡＮＩＤに対応する仮想スイッチとポートを、ポート対応テーブルに基づいて特定する。例えば、図３の例では、ステップＳ１２０で読み出したＶＬＡＮＩＤが１であれば、仮想スイッチ９１およびそのポート９１ａが、ステップＳ１３０で特定される。

【0055】

続いてステップＳ１４０では、ステップＳ１１０で受信したパケットから、タグフレームを除去する。続いてＳ１５０では、ステップＳ１４０でタグフレームが除去された後のパケットを、ステップＳ１３０で特定した当該仮想スイッチの当該ポートに、仮想ネットワーク９０内で送信する。これにより、当該仮想スイッチは、当該仮想スイッチについて構成データ５２ａで規定された作動に従い、パケットの中継を行う。ネットワーク構築部５３ａは、ステップＳ１５０の後、ステップＳ１１０に戻る。

【0056】

以上の通り、ネットワーク構築部５３ａは、ネットワークインターフェース５１から受信したパケット中のタグフレームに含まれるＩＤに対応する仮想ネットワーク９０中の接続先を、ポート対応テーブルに基づいて特定する。そして、ネットワーク構築部５３ａは、仮想ネットワーク９０において、上記のように特定した接続先に当該パケットを送信する。

【0057】

このようにすることで、ネットワーク構築部５３ａは、ポート対応テーブルに規定された形態で、ネットワークインターフェース５１を介して外部から受信したパケットを、仮想ネットワーク９０内で配送することができる。したって、仮想ネットワーク９０のネットワーク構成通りに、データが配送される。

【0058】

したがって、ネットワーク管理装置５０におけるネットワークインターフェース５１に、複数の通信装置８からパケットが届いても、スイッチ５５によってそれらパケットに含められたＩＤとポート対応テーブルに基づいて、仮想ネットワーク９０内における適切な配送が実現する。

【0059】

また、ネットワーク構築部５３ａは、図５の処理を図４の処理および他の処理と同時並行的に常時行っている。ネットワーク構築部５３ａは、この図５の処理において、まずステップＳ２１０で、仮想ネットワーク９０において、仮想スイッチのポートから仮想ネットワーク９０の外部に送信されるパケットを取得する。このパケットは、当該仮想スイッチが他のポートから受信されたパケットなので、メモリ５２のＲＡＭに記録されている。

【0060】

続いてネットワーク構築部５３ａは、ステップＳ２２０で、特定した仮想スイッチおよびポートに対応するＶＬＡＮＩＤを、ポート対応テーブルに基づいて特定する。続いてステップＳ２３０では、ステップＳ２２０で特定したＶＬＡＮＩＤを含むタグフレームを、ステップＳ２１０で取得したパケットに追加する。

【0061】

続いてステップＳ２４０では、ステップＳ２３０でタグフレームが追加されたパケットを、ネットワークインターフェース５１を用いて、外部の装置すなわちスイッチ５５に、送信する。ステップＳ２４０の後、ステップＳ２１０に戻る。

【0062】

このようにしてネットワークインターフェース５１から送信されたパケットは、スイッチ５５のトランクポート５で受信される。スイッチ５５は、受信したパケット中のＶＬＡＮＩＤが割り当てられたアクセスポート６を特定し、当該パケットからタグフレームを除去し、除去後のパケットを特定したアクセスポート６から送信する。

【0063】

以上の通り、ネットワーク構築部５３ａは、仮想ネットワーク９０の或る接続先から仮想ネットワーク９０の外部に送信されるパケットがある場合、当該接続先に対応するＩＤをポート対応テーブルに基づいて特定する。そして、特定したＩＤを含むタグフレームを当該パケットに含めて、ネットワークインターフェース５１からスイッチ５５のトランクポート５に送信する。

【0064】

このようにすることで、ネットワーク構築部５３ａは、ポート対応テーブルに規定された形態で、仮想ネットワーク９０内部で仮想スイッチから現実の通信装置８へパケットを送信する。したって、仮想ネットワーク９０のネットワーク構成通りに、データが配送される。

【0065】

そして、仮想ネットワーク９０の或る接続先（例えば、特定の仮想スイッチの特定のポート）から仮想ネットワーク９０の外部に送信されるパケットがある場合でも、当該接続先とポート対応テーブルに基づいて当該パケットにＩＤが付与されることで、仮想ネットワーク９０内から仮想ネットワーク９０外への適切な配送が実現する。

【0066】

また、ネットワーク管理装置５０における１つのネットワークインターフェース５１に、現実の中継装置であるスイッチ５５を介して、複数の通信装置８を接続させても、図４、図５の処理により、ネットワーク管理装置５０側で設けるネットワークインターフェースの数を減らすことができる。

【0067】

なお、仮想ネットワーク９０においては、仮想スイッチ９１がルータ８ｄを介して仮想スイッチ９２に接続され、ルータ８ｅを介して仮想スイッチ９３に接続される。それ以外の仮想スイッチ９１、９２、９３間のパケット配送経路はない。

【0068】

次に、ネットワーク変更部５３ｂについて説明する。ネットワーク変更部５３ｂは、ネットワーク構築部５３ａによって構成された仮想ネットワーク９０に対して、構成データ５２ａを変更することで、仮想ネットワーク９０の構成を変更する。仮想ネットワーク９０の構成の変更は、具体的には、仮想スイッチのポートのＶＬＡＮＩＤを変更することで実現する。

【0069】

仮想スイッチ９１、９２、９３のポートの各々には、ＶＬＡＮＩＤを設定することができる。各ポートのＶＬＡＮＩＤは、構成データ５２ａ中の仮想中継テーブルに記述されている。具体的には、仮想中継テーブルには、仮想スイッチ９１、９２、９３が有する複数のポートの各々について、当該ポートに割り当てられるＶＬＡＮＩＤが、記述されている。

【0070】

そして、ネットワーク構築部５３ａは、この仮想中継テーブルに基づいて、仮想スイッチ９１、９２、９３に届けられたパケットの配送形態を制御する。すなわち、ある仮想スイッチのあるポートがパケットを受信した場合、同じ仮想スイッチにおいて当該ポートと同じＶＬＡＮＩＤが仮想中継テーブルにて割り当てられているポートから、当該パケットを送信させる。そして、同じ仮想スイッチにおいて当該ポートと異なるＶＬＡＮＩＤが仮想中継テーブルにて割り当てられているポートからは、当該パケットを送信させない。したがって、仮想スイッチのポートへのＶＬＡＮＩＤを割り当てることは、仮想スイッチにおけるパケットの転送先を規定することに該当する。

【0071】

なお、ネットワーク変更部５３ｂの作動について説明するため、図２で示した仮想ネットワーク９０において、仮想スイッチ９１、９２、９３の各ポートのＶＬＡＮＩＤは、図６に示すようなものになっていたとする。図６において、四角い枠のみ記載されたポートにはＶＬＡＮＩＤとして１００が割り当てられ、四角く塗りつぶされたポートにはＶＬＡＮＩＤとして２００が割り当てられる。

【0072】

したがって、仮想スイッチ９２の各ポートにはＶＬＡＮＩＤとして１００が割り当てられ、仮想スイッチ９３の各ポートにはＶＬＡＮＩＤとして２００が割り当てられている。そして、仮想スイッチ９１のポートのうち、ルータ８ｅに接続されるポート９１ｄ以外のすべてのポートにはＶＬＡＮＩＤとして１００が割り当てられ、ポート９１ｄにはＶＬＡＮＩＤとして２００が割り当てられている。

【0073】

このような状態では、仮想スイッチ９１と仮想スイッチ９２とを介したパケットの送受信は可能となるが、仮想スイッチ９１と仮想スイッチ９３とを介したパケットの送受信ができなくなる。これは、仮想スイッチ９１と仮想スイッチ９２の各ポートに割り当てられたＶＬＡＮＩＤが同じで、仮想スイッチ９３に割り当てられたＶＬＡＮＩＤがそれらと異なっているからである。

【0074】

また、仮想スイッチ９３には、通信装置８ｆと同じＩＰアドレスおよび同じＭＡＣアドレスが設定されたハニーポット８ｋが接続されている。ハニーポット８ｋは、通信装置８ｆに対して悪意のパケットを送信する攻撃者を欺瞞するための通信装置である。

【0075】

そして、ネットワーク変更部５３ｂは、図７に示す処理を常時実行している。この処理において、ネットワーク変更部５３ｂは、まずステップＳ３１０で、所定のイベントが発生したか否かを判定する。所定のイベントは、例えば、仮想スイッチ９１ｆに、所定の通信許可条件を満たさない通信装置８ｆ宛のパケットが届いたというイベントであってもよい。

【0076】

所定の通信許可条件は、例えば、メモリ５２のフラッシュメモリにあらかじめ不図示のホワイトリストとして記録されていてもよい。例えば、ホワイトリストは、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルのうち１つまたは複数のパラメータから成るレコードが、複数個記録されている。

【0077】

そして、ネットワーク変更部５３ｂは、仮想スイッチ９１ｆに届いた通信装置８ｆ宛のパケットの特徴が、これら複数のレコードのいずれか１つの記載内容に完全一致した場合、当該パケットが所定の通信許可条件を満たすと判定する。この場合、ネットワーク変更部５３ｂは、所定のイベントが発生しないと判定する。

【0078】

また、ネットワーク変更部５３ｂは、仮想スイッチ９１ｆに届いた通信装置８ｆ宛のパケットの特徴が、これら複数のレコードのうちどのレコードの記載内容にも完全一致しない場合、当該パケットが所定の通信許可条件を満たさないと判定する。この場合、ネットワーク変更部５３ｂは、所定のイベントが発生したと判定する。通信許可条件を満たさないパケットは、ポートスキャン、マルウェア送信等のための、すなわち、通信装置８ｆを攻撃するための、パケットである可能性が高い。このパケットは、広域ネットワーク１を介して届いく場合もあれば、拠点Ｌ１において悪意の攻撃者に乗っ取られた通信装置から発信される場合もある。

【0079】

なお、このような方法で所定のイベントが発生したか否かを判定するため、仮想ネットワーク９０の外部にあるネットワーク変更部５３ｂが、仮想ネットワーク９０内において仮想スイッチ９１ｆに届いたパケットの内容を、読み取る。これは、仮想スイッチ９１ｆとネットワーク変更部５３ｂとの間の仮想ネットワーク９０を用いないデータ交換によって実現される。仮想ネットワーク９０を用いないデータ交換としては、記憶領域の共有、プロセス間通信がある。

【0080】

このように、ネットワーク変更部５３ｂは、仮想ネットワーク９０の外部において、仮想ネットワーク９０中を配送されるパケットの内容に基づいて、所定のイベントが発生したか否かを判定する。このように、仮想ネットワーク９０の外部においても仮想ネットワーク９０中を配送されるパケットに基づいた判定をネットワーク変更部５３ｂが行えるようにすることで、ネットワーク変更部５３ｂを仮想ネットワーク９０内において仮想ネットワーク９０を介してネットワーク変更部５３ｂに対してパケットを送信するという複雑な構成を採用する必要がない。

【0081】

ネットワーク変更部５３ｂは、ステップＳ３１で所定のイベントが発生したと判定した場合、ステップＳ３２０に進み、所定のイベントが発生していないと判定した場合、ステップＳ３１０の判定を再度行う。

【0082】

ネットワーク変更部５３ｂは、ステップＳ３２０では、仮想ネットワーク９０のネットワーク構成を変更する。具体的には、構成データ５２ａ中の仮想中継テーブルを書き換えることで、仮想スイッチ９１、９２、９３の各ポートのＶＬＡＮＩＤを図８に示すような形態に変更する。

【0083】

すなわち、仮想スイッチ９２、９３の各ポートのＶＬＡＮＩＤは変更せず、仮想スイッチ９１の各ポートのＶＬＡＮＩＤを変更する。具体的には、仮想スイッチ９１のポートのうち、ルータ８ｄ、８ｅに接続されるポート９１ｃ、９１ｄ以外のすべてのポートのＶＬＡＮＩＤを、１００から２００に変更し、ポート９１ｃ、９１ｄのＶＬＡＮＩＤは変更しない。これにより、仮想スイッチ９１のポートのうち、ルータ８ｄに接続されるポート９１ｃ以外のすべてのポートにはＶＬＡＮＩＤとして２００が割り当てられ、ポート９１ｃにはＶＬＡＮＩＤとして１００が割り当てられる。

【0084】

このような状態では、仮想スイッチ９１と仮想スイッチ９３とを介したパケットの送受信は可能となるが、仮想スイッチ９１と仮想スイッチ９２とを介したパケットの送受信ができなくなる。これは、仮想スイッチ９１と仮想スイッチ９３の各ポートに割り当てられたＶＬＡＮＩＤが同じで、仮想スイッチ９２に割り当てられたＶＬＡＮＩＤがそれらと異なっているからである。

【0085】

そして、ハニーポット８ｋは、通信装置８ｆと同じＩＰアドレスおよびＭＡＣアドレスを有しているので、仮想スイッチ９１に届いた通信装置８ｆ宛のパケットは、仮想スイッチ９３を介してハニーポット８ｋに届けられる。なお、ハニーポット８ｋは、スイッチ５５に接続された現実の通信装置であってもよいし、仮想ネットワーク９０内に仮想的に生成されたバーチャルマシンであってもよい。ハニーポット８ｋは、受信したパケットを自機の記憶媒体に記録し、更に、攻撃者から送られるマルウェアを自機の記憶媒体に記録する。このようになっていることで、通信装置８ｆに対する攻撃を防ぐことができると共に、ハニーポット８ｋがネットワークの切り替えに気付かれる事なく攻撃者の情報を取得することができる。

【0086】

ネットワーク変更部５３ｂは、ステップＳ３２０の後、ステップＳ３１０に戻り、所定のイベントが発生したか否かを判定する。例えば、パケットが所定の通信許可条件を満たさないと判定された後は、通信許可条件を満たさないパケットが最後に送信されてから所定時間（例えば１時間）以上経過することが、所定のイベントであってもよい。

【0087】

この場合、通信許可条件を満たさないパケットが最後に送信されてから所定時間以上経過した場合、ネットワーク変更部５３ｂは、ステップＳ３１０からステップＳ３２０に進み、仮想中継テーブルを書き換えることで、仮想スイッチ９１、９２、９３の各ポートのＶＬＡＮＩＤを図６に示すような形態に戻す。

【0088】

すなわち、仮想スイッチ９２、９３の各ポートのＶＬＡＮＩＤは変更せず、仮想スイッチ９１の各ポートのＶＬＡＮＩＤを変更する。具体的には、仮想スイッチ９１のポートのうち、ルータ８ｄ、８ｅに接続されるポート９１ｃ、９１ｄ以外のすべてのポートのＶＬＡＮＩＤを、２００から１００に変更し、ポート９１ｃ、９１ｄのＶＬＡＮＩＤは変更しない。これにより、仮想スイッチ９１のポートのうち、ルータ８ｅに接続されるポート９１ｄ以外のすべてのポートにはＶＬＡＮＩＤとして１００が割り当てられ、ポート９１ｄにはＶＬＡＮＩＤとして２００が割り当てられている。

【0089】

このようにすることで、仮想スイッチ９１と仮想スイッチ９２とを介したパケットの送受信は可能となるが、仮想スイッチ９１と仮想スイッチ９３とを介したパケットの送受信ができなくなる。つまり、通信装置８ｆ等の仮想スイッチ９２に接続された通信装置が、再び仮想スイッチ９１を介して通信可能となる。

【0090】

以上説明したとおり、ネットワーク変更部５３ｂは、所定のイベントの発生に基づいて、構成データ５２ａを書き換えることで、仮想ネットワーク９０におけるパケットの配送形態を変更する。このように、所定のイベントの発生に応じて、構成データを書き換えることで、複数の通信装置間の通信経路を一元的に柔軟に変更することができる。すなわち、ネットワークの接続形態を簡易に変更できる。

【0091】

もしこのようになっておらず、拠点Ｌ２において複数の現実の通信装置８を複数の現実のネットワークケーブルおよび複数の現実の中継装置で接続してネットワークを構成した場合、複数の現時の中継装置の各々で設定を変更したり、複数のネットワークケーブルの接続先を手作業で変更したりしなければならない。すなわち、通信経路を一元的に変更することも、柔軟に変更することも、困難である。

【0092】

また、ネットワーク変更部５３ｂは、仮想スイッチ９１、９２、９３の作動を継続させながら仮想中継テーブルを書き換えることで、前記仮想ネットワークにおけるパケットの配送形態を変更する。

【0093】

このように、中継装置の作動を継続させながら仮想中継テーブルすることで、中継装置を仮想的に起動し直す場合に比べ、より迅速に仮想ネットワークにおけるパケットの配送形態を変更することができる。

【0094】

また、ネットワーク変更部５３ｂは、仮想中継テーブルにおいて複数のポートの少なくとも一部のＩＤを変更することで、仮想ネットワークにおけるパケットの配送形態を変更するこのように、仮想スイッチのポートのＩＤを変更するという簡易な処理で、仮想ネットワーク９０におけるパケットの配送形態を変更することができる。

【0095】

（他の実施形態）
なお、本開示は上記した実施形態に限定されるものではなく、適宜変更が可能である。また、上記実施形態において、実施形態を構成する要素は、特に必須であると明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではない。また、上記実施形態において、実施形態の構成要素の個数、数値、量、範囲等の数値が言及されている場合、特に必須であると明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではない。特に、ある量について複数個の値が例示されている場合、特に別記した場合および原理的に明らかに不可能な場合を除き、それら複数個の値の間の値を採用することも可能である。また、上記実施形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に特定の形状、位置関係等に限定される場合等を除き、その形状、位置関係等に限定されるものではない。また、本開示は、上記実施形態に対する以下のような変形例および均等範囲の変形例も許容される。なお、以下の変形例は、それぞれ独立に、上記実施形態に適用および不適用を選択できる。すなわち、以下の変形例のうち明らかに矛盾する組み合わせを除く任意の組み合わせを、上記実施形態に適用することができる。

【0096】

（変形例１）
上記実施形態では、ネットワーク変更部５３ｂは、仮想スイッチ９１、９２、９３の作動を継続させながら構成データ５２ａ中の仮想中継テーブルを書き換えることで、仮想ネットワーク９０におけるパケットの配送形態を変更する。しかし、必ずしもこのようになっておらずともよい。

【0097】

例えば、ネットワーク変更部５３ｂは、所定のイベントの発生に起因して、仮想スイッチ９１、９２、９３と通信装置８との接続の組み合わせを変更してもよい。例えば、上記実施形態において、イベントが発生したことに基づいて、仮想スイッチ９２のポート９１ｅに接続する現実の通信装置を、通信装置８ｆからハニーポット８ｋに置き換えてもよい。このようにするためには、ネットワーク変更部５３ｂは、構成データ５２ａのうち、図３に示したポート対応テーブルにおいて、ＶＬＡＮＩＤの８と１０を入れ替える。

【0098】

あるいは、ネットワーク変更部５３ｂは、所定のイベントの発生に起因して、仮想ネットワーク９０内の中継装置群を他の中継装置群に置き換えてもよい。このようにするためには、ネットワーク変更部５３ｂは、構成データ５２ａを書き換えることで、仮想ネットワーク９０内の中継装置群を新たなものに置き換え、更に、ネットワーク構築部５３ａを再起動させる。これにより、ネットワーク構築部５３ａは、書き換えられたネットワーク構築部５３ａに従って、新たな中継装置群を有する仮想ネットワーク９０を構成する。この置き換えによって、仮想ネットワーク９０内の中継装置の数が増えてもよいし減ってもよい。また、仮想ネットワーク９０内の同じ中継装置に接続されていた複数の通信装置が、この置き換えによって、仮想ネットワーク９０内の異なる中継装置に接続されるようになってもよい。また逆に、仮想ネットワーク９０内の異なる中継装置に接続されていた複数の通信装置が、この置き換えによって、仮想ネットワーク９０内の同じ中継装置に接続されるようになってもよい。

【0099】

このような中継装置の置き換えの具体例について、図９、図１０、図１１を用いて説明する。この例では、ある時点において、仮想ネットワーク９０の一部を仮想的なサブネットＶＬ１、ＶＬ２が構成する。

【0100】

サブネットＶＬ１には通信端末７ａが接続され、サブネットＶＬ２には通信端末７ｂ、７ｃ、７ｄ、７ｅが接続されている。これら通信端末７ａ－７ｅは、ＳＣＡＤＡでもよいしＯＰＣサーバでもよいし、あるいは他の機能を有するコンピュータであってもよい。

【0101】

通信端末７ａ－７ｅの各々は、現実の装置であってもよいし、仮想ネットワーク９０内における仮想的な装置であってもよい。通信端末７ａ－７ｅの各々は、それが現実の装置である場合は、上記実施形態のように、スイッチ５５のアクセスポート６に接続され、ポート対応テーブルによってサブネットＶＬ１またはサブネットＶＬ２に接続されることが規定される。通信端末７ａ－７ｅの各々は、それが仮想的に構成された装置である場合は、上記実施形態のように、ネットワーク構築部５３ａによって構成データ５２ａに基づき仮想化技術によってソフトウェア的に生成およびエミュレートされる。例えば、図９に示すように、通信端末７ａ、７ｂ、７ｅが現実の装置で、通信端末７ｃ、７ｄが仮想的に構成された装置であってもよい。

【0102】

また、サブネットＶＬ１、ＶＬ２には、仮想的な中継装置９ａが接続されている。中継装置９ａは、サブネットＶＬ１からサブネットＶＬ２へ流れるパケットおよびその逆に流れるパケットを中継するルータまたはゲートウェイとして、仮想的に構成されている。すなわち、中継装置９ａは、上記実施形態のように、ネットワーク構築部５３ａによって構成データ５２ａに基づき仮想化技術によってソフトウェア的に生成およびエミュレートされる。

【0103】

サブネットＶＬ１のネットワークアドレスは、１９２．１６８．１．０であり、サブネットマスクは２５５．２５５．２５５．０である。サブネットＶＬ２のネットワークアドレスは、１９２．１６８．２．０であり、サブネットマスクは２５５．２５５．２５５．０である。また、中継装置９ａのサブネットＶＬ１側のネットワークインターフェースのＩＰアドレスは１９２．１６８．１．１であり、サブネットＶＬ２側のネットワークインターフェースのＩＰアドレスは１９２．１６８．２．１である。

【0104】

通信端末７ａ－７ｅのＩＰアドレスは、図９に示す通りである。具体的には、通信端末７ａのＩＰアドレスは、サブネットＶＬ１に割り当てられたＩＰアドレスであり、通信端末７ｂ－７ｅのＩＰアドレスは、サブネットＶＬ２に割り当てられたＩＰアドレスである。

【0105】

このような構成において、ネットワーク変更部５３ｂは、図７に示す処理において、ステップＳ３１０で、所定のイベントが発生したと判定したとする。所定のイベントが発生したか否かの判定基準は、上記実施形態と同様である。この場合、ネットワーク変更部５３ｂは、続いてステップＳ３２０に進み、仮想ネットワーク９０のネットワーク構成を変更する。具体的には、図１０に示すように、構成データ５２ａを書き換えることで、サブネットＶＬ１、ＶＬ２とは異なる新たな仮想的なサブネットＶＬ３を生成し、通信端末７ｄ、７ｅの接続先を、サブネットＶＬ２からサブネットＶＬ３に切り替える。

【0106】

このとき生成されるサブネットＶＬ３のネットワークアドレスは、１９２．１６８．２．０であり、サブネットマスクは２５５．２５５．２５５．０である。そして、通信端末７ｄ、７ｅのＩＰアドレスは変更されない。

【0107】

また、サブネットＶＬ３とサブネットＶＬ１との間のデータの配送を中継する中継装置も、サブネットＶＬ３とサブネットＶＬ２との間のデータの配送を中継する中継装置も、生成されない。したがって、サブネットＶＬ３は、仮想ネットワーク９０内の他のサブネットから完全に切り離された状態となる。すなわち、サブネットＶＬ３内の通信端末７ｄ、７ｅは、仮想ネットワーク９０内の他のサブネットに接続された通信装置と通信できなくなる。つまり、元々サブネットＶＬ２内にあった通信端末７ｄ、７ｅを、ゾーンとして切り離すことができる。このようになっていることで、仮想ネットワーク９０が外部から攻撃された結果イベントが発生した場合に、通信端末７ｄ、７ｅを攻撃から守ることができる。

【0108】

なお、通信端末７ｄ、７ｅをゾーンとして切り離す方法として、他の方法を用いてもよい。例えば、サブネットＶＬ２に属する中継装置９ａおよび通信端末７ｂ－７ｅのそれぞれは、仮想的に構成された不図示の仮想スイッチの各ポートに接続されていてもよい。この仮想スイッチは、上記実施形態の仮想スイッチ９１－９３と同様、ネットワーク構築部５３ａによって構成データ５２ａに基づき仮想化技術によってソフトウェア的に生成およびエミュレートされる。またこの仮想スイッチの各ポートには、上記実施形態の仮想スイッチ９１－９３と同様、仮想中継テーブルによってＶＬＡＮＩＤを設定することができる。

【0109】

この場合、ネットワーク変更部５３ｂは、ステップＳ３２０で、それまで、この仮想スイッチの全ポートに同じＶＬＡＮＩＤが割り当てられていたところに、通信端末７ｄ、７ｅが接続されたポートのＶＬＡＮＩＤのみ別のＶＬＡＮＩＤに割り当てる。このＶＬＡＮＩＤの切り替えは、仮想中継テーブルの書き換えによって実現される。これにより、通信端末７ｄ、７ｅをゾーンとして切り離すことができる。このとき、通信端末７ｄが接続されたポートの変更後のＶＬＡＮＩＤと、通信端末７ｅが接続されたポートの変更後のＶＬＡＮＩＤとは、同じであってもよいし、異なっていてもよい。

【0110】

あるいは、ネットワーク変更部５３ｂは、ステップＳ３２０で、通信端末７ｄ、７ｅの接続先を元のサブネットＶＬ２から新たなサブネットＶＬ３に置き換えるのみならず、図１１に示すように、新たな仮想的な中継装置９ｂを生成してもよい。この中継装置９ｂは、上記実施形態のように、ネットワーク構築部５３ａによって構成データ５２ａに基づき仮想化技術によってソフトウェア的に生成およびエミュレートされる。中継装置９ｂを生成する際、必要であれば、上記実施形態と同様に、ネットワーク構築部５３ａを再起動させる。

【0111】

中継装置９ｂは、サブネットＶＬ１からサブネットＶＬ３へ流れるパケットおよびその逆に流れるパケットを中継するルータまたはゲートウェイとして、仮想的に構成されている。中継装置９ｂのサブネットＶＬ１側のネットワークインターフェースのＩＰアドレスは、中継装置９ａとは異なるよう、１９２．１６８．１．２に設定される。中継装置９ｂのサブネットＶＬ３側のネットワークインターフェースのＩＰアドレスは、通信端末７ｄ、７ｅと同じサブネットに属する１９２．１６８．２．１である。これにより、通信端末７ｄ、７ｅのＩＰアドレスを変更しなくても、中継装置９ｂと通信端末７ｄ、７ｅとが同じサブネット内で通信可能となる。

【0112】

このように、ネットワーク変更部５３ｂは、仮想ネットワーク９０内においてサブネットＶＬ２に属する通信端末７ｄ、７ｅをサブネットＶＬ２からサブネットＶＬ３に移動させる。そしてネットワーク変更部５３ｂは、サブネットＶＬ３と仮想ネットワーク９０中の他のサブネットＶＬ１との間のパケットの配送を中継する中継装置９ｂを生成する。このようにすることで、一部の通信端末をサブネットＶＬ２からサブネットＶＬ３に移動させて移動先のサブネットＶＬ３と他のサブネットＶＬ１との間を中継する中継装置９ｂを生成するという、ダイナミックな配送経路の切り替えが可能となる。そして、そのような切り替えにより、当該一部の通信端末の安全性の確保と通信経路の確保とが両立する。

【0113】

また、生成される中継装置９ｂの設定を中継装置９ａとは異なるものとすることで、より攻撃に強い通信環境が実現される。中継装置９ａとは異ならせる中継装置９ｂの設定としては、例えば、オペレーティングシステム（例えば、Ｌｉｎｕｘ、ＢＳＤ／ＯＳ）、ディストリビューション（例えば、ＣｅｎｔＯＳ、Ｆｅｄｒａ）、管理者アカウント（例えばｒｏｏｔ）のログインパスワード等がある。また、中継装置９ａ、９ｂがファイアーウォール機能を有していてもよい。なお、サブネットＶＬ２が第１のサブネットに対応し、サブネットＶＬ３が第２のサブネットに対応する。

【0114】

なお、中継装置９ａのサブネットＶＬ２側のＩＰアドレスと、中継装置９ｂのサブネットＶＬ３側のＩＰアドレスが同じになるが、これはパケットの配送上の問題にならない。サブネットＶＬ２内の装置から見れば中継装置９ｂのＩＰアドレスは１９２．１６８．１．２であって中継装置９ａのＩＰアドレス１９２．１６８．２．１とは異なるからである。そして、サブネットＶＬ３内の装置から見れば中継装置９ａのＩＰアドレスは１９２．１６８．１．１であって中継装置９ｂのＩＰアドレス１９２．１６８．２．１とは異なるからである。

【0115】

また、必要であれば、中継装置９ａ、９ｂがＩＰマスカレード機能を有することで、サブネットＶＬ２、ＶＬ３内のＩＰアドレスをそれぞれの外部から隠してもよい。つまり、サブネットＶＬ２、ＶＬ３内のＩＰアドレスをプライベートＩＰアドレスとして使用してもよい。また、中継装置９ａ、９ｂはＮＡＴ（Network Address Translation）機能を有していてもよい。

【0116】

また、ネットワーク変更部５３ｂは、ステップＳ３２０で、発生したイベントの種類に応じて、図１０のように仮想ネットワーク９０を変更する場合と、図１１のように仮想ネットワーク９０を変更する場合とを切り替えてもよい。例えば、危険度がより高い攻撃があった場合は図１０のように仮想ネットワーク９０を変更し、危険度がより低い攻撃があった場合は図１０のように仮想ネットワーク９０を変更してもよい。つまり、ネットワーク変更部５３ｂは、発生したイベントの内容に応じて、パケットの配送形態の変更内容を切り替えてもよい。

【0117】

（変形例２）
上記実施形態では、ネットワーク変更部５３ｂは、イベントの発生に基づいて、仮想スイッチ９１、９２、９３のポートのうち、仮想スイッチ９１の一部のポートのみのＶＬＡＮＩＤを変更している。しかし、必ずしもこのようになっておらずともよい。

【0118】

例えば、ネットワーク変更部５３ｂは、イベントの発生に基づいて、仮想スイッチ９１、９２、９３のポートのうち、仮想スイッチ９１の一部のポートに加え、仮想スイッチ９２、９３の一部のポートのＶＬＡＮＩＤを変更してもよい。

【0119】

（変形例３）
上記実施形態では、ネットワーク変更部５３ｂが構成データ５２ａを書き換える起因である所定のイベントの例として、「所定の通信許可条件を満たさない通信装置８ｆ宛のパケットが届いたというイベント」および、「通信許可条件を満たさないパケットが最後に送信されてから所定時間以上経過するというイベント」が、挙げられている。

【0120】

しかし、所定のイベントとしては、このようなものに限られない。例えば、所定のイベントは、仮想ネットワーク９０内に特定の種類のパケットが送信されたというイベントであってもよい。あるいは、所定のイベントは、仮想ネットワーク９０外の現実の通信装置に故障が発生したちというイベントであってもよい。あるいは、所定のイベントは、あらかじめ指定された時刻になったというイベントであってもよい。

【0121】

そして、ネットワーク変更部５３ｂは、上記実施形態では、悪意の攻撃者に対して欺瞞を行って攻撃者の情報を取得する目的で、構成データ５２ａを書き換えているが、構成データ５２ａを書き換える目的は、このようなものに限られない。単に通信装置の負荷を軽減する目的であってもよいし、製造する製品の変化に対応する目的であってもよい。

【0122】

（変形例４）
上記実施形態では、複数の通信装置８はスイッチ５５を介してネットワーク管理装置５０に接続されている。しかし、上記実施形態に対してスイッチ５５が廃され、複数の通信装置８の各々がネットワーク管理装置５０のポートにイーサネットケーブルを介して直接接続されてもよい。この場合、ネットワーク管理装置５０は複数のポートを有する。その場合、ポート対応テーブルには、ネットワーク管理装置５０の複数のポートに固有に割り当てられたＩＤと、当該ポートの仮想ネットワーク９０における接続先との対応関係が記述される。

【0123】

（変形例５）
上記実施形態において、タグＶＬＡＮに対応するレイヤ２スイッチであるスイッチ５５は、現実の中継装置の一例として記載されている。しかし、現実の中継装置は、ルータでもよいし、レイヤ３スイッチでもよい。

【0124】

（変形例６）
上記実施形態において、仮想的な中継装置の例として、仮想スイッチ９１、９２、９３が例示されている。しかし、仮想的な中継装置は、スイッチに限らず、ルータであってもよい。

【0125】

（変形例７）
上記実施形態では、ネットワーク管理装置５０は、ネットワーク管理装置５０は単一のネットワークインターフェース５１を有している。しかし、ネットワーク管理装置５０は、ネットワークインターフェース５１以外のネットワークインターフェースを有していてもよい。

【0126】

（変形例８）
上記実施形態では、スイッチ５５のアクセスポート６に対する仮想ネットワーク９０における接続先は、仮想スイッチ９１、９２、９３である。しかし、必ずしもそのようになっておらずともよい。スイッチ５５のアクセスポート６に対する仮想ネットワーク９０における接続先は、仮想スイッチ以外の仮想的な通信装置であってもよい。

【0127】

（変形例９）
上記実施形態において、ネットワーク構築部５３ａは、仮想ネットワーク９０におけるファイアーウォール機能を実現してもよい。例えば、ネットワーク構築部５３ａは、仮想スイッチ９１、９２、９３に届いたパケットが、所定のプロトコル（例えば、ＯＰＣ－ＵＡに規定されるプロトコル）に従ったパケットである場合に、仮想スイッチ９１、９２、９３による当該パケットの転送を許可してもよい。そして、仮想スイッチ９１、９２、９３に届いたパケットが、当該所定のプロトコルに従わないパケットである場合に、仮想スイッチ９１、９２、９３による当該パケットの転送を禁止してもよい。

【符号の説明】

【0128】

１…広域ネットワーク、５…トランクポート、６…アクセスポート、８…通信装置、５０…ネットワーク管理装置、５１…ネットワークインターフェース、５２ａ…構成データ、５３ａ…ネットワーク構築部、５３ｂ…ネットワーク変更部、５５…スイッチ、９１、９２、９３…仮想スイッチ、Ｌ１、Ｌ２…拠点。

【図1】