知財求人 - 知財ポータルサイト「IP Force」
特許7573692マスター装置、通信制御方法、通信制御プログラム及び通信制御システム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2024-10-17
(45)【発行日】2024-10-25
(54)【発明の名称】マスター装置、通信制御方法、通信制御プログラム及び通信制御システム
(51)【国際特許分類】
H04L 41/044 20220101AFI20241018BHJP
【ＦＩ】
H04L41/044
【請求項の数】
7
(21)【出願番号】P 2023099826
(22)【出願日】2023-06-19
【審査請求日】2023-06-19
(73)【特許権者】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】木村 有佑
(72)【発明者】
【氏名】木村 敏之
【審査官】速水 雄太
(56)【参考文献】
【文献】特開２０２３－０４７９７７（ＪＰ，Ａ）
【文献】特開平０７－１０７０８２（ＪＰ，Ａ）
【文献】特開２０２１－１１１９０５（ＪＰ，Ａ）
【文献】特表２００３－５０２７５７（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ４１／０４４
(57)【特許請求の範囲】
【請求項1】
マスター装置と複数のエッジ装置とを備え、前記複数のエッジ装置それぞれには１つ以上の端末が接続された通信制御システムにおけるマスター装置であり、
前記複数のエッジ装置のうちいずれかのエッジ装置に接続された複数の端末を接続されたエッジ装置とは無関係に複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と、
前記暗号化設定部によって設定された前記ポリシーと、前記１つ以上の端末それぞれが接続されたエッジ装置の識別情報とを複数のエッジ装置それぞれに送信して、前記ポリシーに基づき通信の制御をさせる設定送信部であって、通信の暗号化をすると設定されたグループ間については、宛先の端末が接続されたエッジ装置の識別情報を用いて前記宛先の端末が接続されたエッジ装置が復号を行えるか否かを判定し、前記宛先の端末が接続されたエッジ装置が復号を行える場合には、送信元の端末が接続されたエッジ装置が、前記送信元の端末から受信した通信データを暗号化した上で前記宛先の端末が接続されたエッジ装置に送信し、前記宛先の端末が接続されたエッジ装置が、暗号化された通信データを復号した上で前記宛先の端末に送信するように制御させる設定送信部と
を備えるマスター装置。
【請求項2】
前記暗号化設定部は、通信プロトコルに応じて通信の暗号化をするか否かを示す前記ポリシーを設定する請求項１に記載のマスター装置。
【請求項3】
前記暗号化設定部は、通信プロトコルが指定された場合にポートに応じて通信の暗号化をするか否かを示す前記ポリシーを設定する請求項２に記載のマスター装置。
【請求項4】
前記マスター装置は、さらに、同一のグループ間の通信については許可し、異なるグループ間の通信については許可するか否かの指定を受け付けて前記ポリシーを設定するポリシー設定部
を備え、
前記暗号化設定部は、同一のグループ間を含む、通信を許可するというポリシーが設定されたグループ間について、通信の暗号化をするか否かの設定を前記ポリシーに追加する請求項１に記載のマスター装置。
【請求項5】
マスター装置と複数のエッジ装置とを備え、前記複数のエッジ装置それぞれには１つ以上の端末が接続された通信制御システムにおける通信制御方法であり、
マスター装置が、前記複数のエッジ装置のうちいずれかのエッジ装置に接続された複数の端末を接続されたエッジ装置とは無関係に複数のグループに分類し、
マスター装置が、前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定し、
マスター装置が、前記ポリシーと、前記１つ以上の端末それぞれが接続されたエッジ装置の識別情報とを複数のエッジ装置それぞれに送信して、通信の暗号化をすると設定されたグループ間については、宛先の端末が接続されたエッジ装置の識別情報を用いて前記宛先の端末が接続されたエッジ装置が復号を行えるか否かを判定し、前記宛先の端末が接続されたエッジ装置が復号を行える場合には、送信元の端末が接続されたエッジ装置が、前記送信元の端末から受信した通信データを暗号化した上で前記宛先の端末が接続されたエッジ装置に送信し、前記宛先の端末が接続されたエッジ装置が、暗号化された通信データを復号した上で前記宛先の端末に送信するように制御させる通信制御方法。
【請求項6】
マスター装置と複数のエッジ装置とを備え、前記複数のエッジ装置それぞれには１つ以上の端末が接続された通信制御システムにおける通信制御プログラムであり、
前記複数のエッジ装置のうちいずれかのエッジ装置に接続された複数の端末を接続されたエッジ装置とは無関係に複数のグループに分類する端末分類処理と、
前記端末分類処理によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定処理と、
前記暗号化設定処理によって設定された前記ポリシーと、前記１つ以上の端末それぞれが接続されたエッジ装置の識別情報とを複数のエッジ装置それぞれに送信して、前記ポリシーに基づき通信の制御をさせる設定送信処理であって、通信の暗号化をすると設定されたグループ間については、宛先の端末が接続されたエッジ装置の識別情報を用いて前記宛先の端末が接続されたエッジ装置が復号を行えるか否かを判定し、前記宛先の端末が接続されたエッジ装置が復号を行える場合には、送信元の端末が接続されたエッジ装置が、前記送信元の端末から受信した通信データを暗号化した上で前記宛先の端末が接続されたエッジ装置に送信し、前記宛先の端末が接続されたエッジ装置が、暗号化された通信データを復号した上で前記宛先の端末に送信するように制御させる設定送信処理と
を行うマスター装置としてコンピュータを機能させる通信制御プログラム。
【請求項7】
マスター装置と複数のエッジ装置とを備え、前記複数のエッジ装置それぞれには１つ以上の端末が接続された通信制御システムであり、前記マスター装置は、
前記複数のエッジ装置のうちいずれかのエッジ装置に接続された複数の端末を接続されたエッジ装置とは無関係に複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と
前記暗号化設定部によって設定された前記ポリシーと、前記１つ以上の端末それぞれが接続されたエッジ装置の識別情報とを前記複数のエッジ装置それぞれに送信する設定送信部と
を備え、
前記複数のエッジ装置それぞれは、
前記設定送信部によって送信された前記ポリシーに基づき、端末間の通信を制御する通信制御部であって、前記ポリシーが暗号化することを示すグループ間については、送信元の端末が接続されている場合には、宛先の端末が接続されたエッジ装置の識別情報を用いて前記宛先の端末が接続されたエッジ装置が復号を行えるか否かを判定し、前記宛先の端末が接続されたエッジ装置が復号を行えるなら通信データを暗号化した上で宛先の端末に向けて送信し、前記宛先の端末が接続されている場合には、通信データを復号した上で宛先の端末に向けて送信する通信制御部
を備える通信制御システム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、端末間の通信を制御する技術に関する。
【背景技術】
【0002】
ネットワークセキュリティ機器により、ネットワークセキュリティ機器に接続された端末の通信の制御がされる。この制御は、データの送信元の端末のＩＰ（Ｉｎｔｅｒｎｅｔ
Ｐｒｏｔｏｃｏｌ）アドレスと、データの送信先の端末のＩＰアドレスとの組合せに対して、通信を許可するか否かを事前に設定しておくことにより、実現されている。
Ｐｒｏｔｏｃｏｌ）アドレスと、データの送信先の端末のＩＰアドレスとの組合せに対して、通信を許可するか否かを事前に設定しておくことにより、実現されている。
【0003】
近年、サイバー攻撃等のリスクが高まっている。そのため、企業等の重要情報の流出及び改竄防止のため、通信の暗号化が必須になっている。
【0004】
特許文献１には、ネットワーク内に複数のグループを定義し、グループの識別子を用いてグループ間の通信を制御することが記載されている。
【先行技術文献】
【特許文献】
【0005】
【文献】特開平１１－１１２５５９号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
ＩＰアドレスの組合せ毎に通信を許可するか否かを設定する作業は、煩雑で時間がかかる。特許文献１には、グループ間の通信を制御することは記載されているものの、グループ間の通信の制御をどのように設定するかについては記載されていない。グループの組合せ毎に通信を許可するか否かを設定する作業は、ＩＰアドレスの組合せ毎に通信を許可するか否かを設定する作業ほどではないものの、時間がかかる。
【0007】
ＩＰアドレスの組合せ毎に暗号化通信を設定する作業は、通信を許可するか否かを設定する作業と同様に、煩雑で時間がかかる。また、暗号化通信を設定する作業は、ユーザにある程度の知識がないと難しく、知識があるユーザがＩＰアドレスの全ての組合せについて作業を行うことは時間的に困難な場合がある。
なお、製造業をはじめとした工場の端末は、工場の稼働を優先すること、又は、古いＯＳを使用していること等の理由から、新たに暗号化のためのソフトウェアを導入することが難しい。そのため、各端末に対して暗号化通信の設定を行うことができない場合もある。
本開示は、暗号化通信の設定に係る作業負担を軽減可能にすることを目的とする。
なお、製造業をはじめとした工場の端末は、工場の稼働を優先すること、又は、古いＯＳを使用していること等の理由から、新たに暗号化のためのソフトウェアを導入することが難しい。そのため、各端末に対して暗号化通信の設定を行うことができない場合もある。
本開示は、暗号化通信の設定に係る作業負担を軽減可能にすることを目的とする。
【課題を解決するための手段】
【0008】
本開示に係るマスター装置は、
ネットワークに接続された複数の端末を複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と
を備える。
ネットワークに接続された複数の端末を複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と
を備える。
【発明の効果】
【0009】
本開示では、端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する。これにより、暗号化通信の設定に係る作業負担を軽減可能である。
【図面の簡単な説明】
【0010】
【図1】実施の形態１に係る通信制御システム１の構成図。
【図2】実施の形態１に係るマスター装置１０の構成図。
【図3】実施の形態１に係るエッジ装置２０の構成図。
【図4】実施の形態１に係る通信制御システム１の全体的な動作を示すフローチャート。
【図5】実施の形態１に係るアドレス４１及び端末情報４２の説明図。
【図6】実施の形態１に係るポリシー４５の説明図。
【図14】実施の形態１に係る通信制御処理のフローチャート。
【図15】実施の形態１に係る暗号化処理の説明図。
【発明を実施するための形態】
【0011】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る通信制御システム１の構成を説明する。
通信制御システム１は、マスター装置１０と、複数のエッジ装置２０とを備える。マスター装置１０と、各エッジ装置２０とはネットワーク機器９０を介して接続されている。
マスター装置１０は、管理センター等に設置され、通信制御システム１を管理するためのコンピュータである。各エッジ装置２０は、工場及びオフィスといった現場に設置され、１つ以上の端末３０が接続されるコンピュータである。端末３０は、工場等に設置され、製造機器等を制御する装置である。端末３０としては、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ
Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０と、ＯＴ（Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０とのように、複数の種別の端末３０が存在する。
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る通信制御システム１の構成を説明する。
通信制御システム１は、マスター装置１０と、複数のエッジ装置２０とを備える。マスター装置１０と、各エッジ装置２０とはネットワーク機器９０を介して接続されている。
マスター装置１０は、管理センター等に設置され、通信制御システム１を管理するためのコンピュータである。各エッジ装置２０は、工場及びオフィスといった現場に設置され、１つ以上の端末３０が接続されるコンピュータである。端末３０は、工場等に設置され、製造機器等を制御する装置である。端末３０としては、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ
Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０と、ＯＴ（Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０とのように、複数の種別の端末３０が存在する。
【0012】
図２を参照して、実施の形態１に係るマスター装置１０の構成を説明する。
マスター装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
マスター装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【0013】
マスター装置１０は、機能構成要素として、アドレス受信部１１１と、端末抽出部１１２と、端末分類部１１３と、ポリシー設定部１１４と、暗号化設定部１１５と、設定送信部１１６とを備える。マスター装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、マスター装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、マスター装置１０の各機能構成要素の機能が実現される。
ストレージ１３には、マスター装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、マスター装置１０の各機能構成要素の機能が実現される。
【0014】
図３を参照して、実施の形態１に係るエッジ装置２０の構成を説明する。
エッジ装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
エッジ装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【0015】
エッジ装置２０は、機能構成要素として、アドレス取得部２１１と、アドレス送信部２１２と、設定受信部２１３と、通信制御部２１４と、ログ取得部２１５とを備える。エッジ装置２０の各機能構成要素の機能はソフトウェアにより実現される。通信制御部２１４は、可否判定部２１６と、暗号化判定部２１７と、暗号化部２１８と、送信部２１９とを備える。
ストレージ２３には、エッジ装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、エッジ装置２０の各機能構成要素の機能が実現される。
ストレージ２３には、エッジ装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、エッジ装置２０の各機能構成要素の機能が実現される。
【0016】
プロセッサ１１，２１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１，２１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ
Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
【0017】
メモリ１２，２２は、データを一時的に記憶する記憶装置である。メモリ１２，２２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
【0018】
ストレージ１３，２３は、データを保管する記憶装置である。ストレージ１３，２３は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、ストレージ１３，２３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記録媒体であってもよい。
【0019】
通信インタフェース１４，２４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４，２４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。
【0020】
＊＊＊動作の説明＊＊＊
図４から図１５を参照して、実施の形態１に係る通信制御システム１の動作を説明する。
実施の形態１に係る通信制御システム１の動作手順は、実施の形態１に係る通信制御方法に相当する。また、実施の形態１に係る通信制御システム１の動作を実現するプログラムは、実施の形態１に係る通信制御プログラムに相当する。
図４から図１５を参照して、実施の形態１に係る通信制御システム１の動作を説明する。
実施の形態１に係る通信制御システム１の動作手順は、実施の形態１に係る通信制御方法に相当する。また、実施の形態１に係る通信制御システム１の動作を実現するプログラムは、実施の形態１に係る通信制御プログラムに相当する。
【0021】
図４を参照して、実施の形態１に係る通信制御システム１の全体的な動作を説明する。
（ステップＳ１１：アドレス取得処理）
各エッジ装置２０のアドレス取得部２１１は、エッジ装置２０と同じネットワーク内に接続された端末３０のアドレス４１を取得する。同じネットワークとは、同じネットワークアドレスを持つネットワークを指す。この際、アドレス取得部２１１は、ポート毎に、接続された端末３０のアドレス４１を取得してもよい。
ここでは、アドレス取得部２１１は、図５に示すように、端末３０のアドレス４１として、ＩＰアドレス及びＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを取得する。
（ステップＳ１１：アドレス取得処理）
各エッジ装置２０のアドレス取得部２１１は、エッジ装置２０と同じネットワーク内に接続された端末３０のアドレス４１を取得する。同じネットワークとは、同じネットワークアドレスを持つネットワークを指す。この際、アドレス取得部２１１は、ポート毎に、接続された端末３０のアドレス４１を取得してもよい。
ここでは、アドレス取得部２１１は、図５に示すように、端末３０のアドレス４１として、ＩＰアドレス及びＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを取得する。
【0022】
各エッジ装置２０のアドレス送信部２１２は、端末情報４２を付加したアドレス４１をマスター装置１０に送信する。
ここでは、アドレス送信部２１２は、図５に示すように、端末情報４２として、グループ名と、端末名称と、エッジ装置名と、備考とを付加する。グループ名は、端末３０が属するグループの識別名称であり、ここでは未分類と設定される。端末名称は、端末３０を特定し易くするための名称であり、ここではＭＡＣアドレスが設定される。エッジ装置名は、端末３０が接続されたネットワークに接続されているエッジ装置２０の識別名称であり、ここではアドレス送信部２１２を備えるエッジ装置２０の名称が設定される。備考は、端末３０を特定し易くするための情報であり、ここではメーカ情報が設定される。メーカ情報は、ＭＡＣアドレスの企業コードから特定される製造メーカのメーカ名といったメーカを識別可能な情報である。
ここでは、アドレス送信部２１２は、図５に示すように、端末情報４２として、グループ名と、端末名称と、エッジ装置名と、備考とを付加する。グループ名は、端末３０が属するグループの識別名称であり、ここでは未分類と設定される。端末名称は、端末３０を特定し易くするための名称であり、ここではＭＡＣアドレスが設定される。エッジ装置名は、端末３０が接続されたネットワークに接続されているエッジ装置２０の識別名称であり、ここではアドレス送信部２１２を備えるエッジ装置２０の名称が設定される。備考は、端末３０を特定し易くするための情報であり、ここではメーカ情報が設定される。メーカ情報は、ＭＡＣアドレスの企業コードから特定される製造メーカのメーカ名といったメーカを識別可能な情報である。
【0023】
（ステップＳ１２：分類処理）
マスター装置１０のアドレス受信部１１１は、ステップＳ１１で送信された、端末情報４２が付加されたアドレス４１を受信する。複数のエッジ装置２０から同じ端末３０のアドレス４１が送信される場合がある。この場合には、アドレス受信部１１１は、重複がなくなるように同じ端末３０のアドレス４１を１つだけ残し、残りは削除する。
すると、マスター装置１０の端末抽出部１１２は、受信されたアドレス４１のうち、各グループ４３に属するアドレス４１を示すグループリスト４４に存在しないアドレスが示す端末３０を未分類端末３１として抽出する。そして、マスター装置１０の端末分類部１１３は、未分類端末３１に関する情報を表示して、未分類端末３１が属するグループ４３を指定させる。
これにより、未分類端末３１がいずれかのグループに分類され、グループリスト４４が更新される。
マスター装置１０のアドレス受信部１１１は、ステップＳ１１で送信された、端末情報４２が付加されたアドレス４１を受信する。複数のエッジ装置２０から同じ端末３０のアドレス４１が送信される場合がある。この場合には、アドレス受信部１１１は、重複がなくなるように同じ端末３０のアドレス４１を１つだけ残し、残りは削除する。
すると、マスター装置１０の端末抽出部１１２は、受信されたアドレス４１のうち、各グループ４３に属するアドレス４１を示すグループリスト４４に存在しないアドレスが示す端末３０を未分類端末３１として抽出する。そして、マスター装置１０の端末分類部１１３は、未分類端末３１に関する情報を表示して、未分類端末３１が属するグループ４３を指定させる。
これにより、未分類端末３１がいずれかのグループに分類され、グループリスト４４が更新される。
【0024】
（ステップＳ１３：ポリシー設定処理）
マスター装置１０のポリシー設定部１１４は、図６に示すように、グループ間の通信を制御するためのポリシー４５を設定する。この際、ポリシー設定部１１４は、同一のグループ間の通信については自動的に許可し、異なるグループ間の通信については許可するか否かの指定を受け付けてポリシー４５を設定する。なお、ポリシー設定部１１４は、同一のグループ間の通信についても、許可するか否かの指定を受け付けてポリシー４５を設定してもよい。また、ポリシー設定部１１４は、異なるグループ間の通信についてはログを取得するか否かの指定を受け付けてポリシー４５を設定する。
また、マスター装置１０の暗号化設定部１１５は、通信を許可するポリシーが設定されたグループ間について、通信の暗号化をするか否かの指定を受け付けて、通信の暗号化をするか否かの設定を前記ポリシーに追加する。
マスター装置１０の設定送信部１１６は、ポリシー４５を複数のエッジ装置２０それぞれに送信する。
マスター装置１０のポリシー設定部１１４は、図６に示すように、グループ間の通信を制御するためのポリシー４５を設定する。この際、ポリシー設定部１１４は、同一のグループ間の通信については自動的に許可し、異なるグループ間の通信については許可するか否かの指定を受け付けてポリシー４５を設定する。なお、ポリシー設定部１１４は、同一のグループ間の通信についても、許可するか否かの指定を受け付けてポリシー４５を設定してもよい。また、ポリシー設定部１１４は、異なるグループ間の通信についてはログを取得するか否かの指定を受け付けてポリシー４５を設定する。
また、マスター装置１０の暗号化設定部１１５は、通信を許可するポリシーが設定されたグループ間について、通信の暗号化をするか否かの指定を受け付けて、通信の暗号化をするか否かの設定を前記ポリシーに追加する。
マスター装置１０の設定送信部１１６は、ポリシー４５を複数のエッジ装置２０それぞれに送信する。
【0025】
（ステップＳ１４：通信制御処理）
各エッジ装置２０の設定受信部２１３は、ステップＳ１３で送信されたポリシー４５を受信する。各エッジ装置２０の通信制御部２１４は、ポリシー４５に基づき、端末３０間の通信を制御する。また、ログ取得部２１５は、ポリシー４５でログを取得することが設定されている場合には、通信のログを取得する。
ポリシー４５に基づき、端末３０間の通信を制御する際、通信制御部２１４は、暗号化すると設定されている場合には、通信データを暗号化した上で、通信する。具体的には、通信制御部２１４は、暗号化すると設定されている場合には、送信元の端末３０が接続されたエッジ装置２０と、宛先の端末３０が接続されたエッジ装置２０との間で、通信データを暗号化した上で通信する。つまり、暗号化すると設定されている場合には、端末３０間で通信データが暗号化されるのではなく、送信元の端末３０が接続されたエッジ装置２０と、宛先の端末３０が接続されたエッジ装置２０との間で、通信データが暗号化される。
各エッジ装置２０の設定受信部２１３は、ステップＳ１３で送信されたポリシー４５を受信する。各エッジ装置２０の通信制御部２１４は、ポリシー４５に基づき、端末３０間の通信を制御する。また、ログ取得部２１５は、ポリシー４５でログを取得することが設定されている場合には、通信のログを取得する。
ポリシー４５に基づき、端末３０間の通信を制御する際、通信制御部２１４は、暗号化すると設定されている場合には、通信データを暗号化した上で、通信する。具体的には、通信制御部２１４は、暗号化すると設定されている場合には、送信元の端末３０が接続されたエッジ装置２０と、宛先の端末３０が接続されたエッジ装置２０との間で、通信データを暗号化した上で通信する。つまり、暗号化すると設定されている場合には、端末３０間で通信データが暗号化されるのではなく、送信元の端末３０が接続されたエッジ装置２０と、宛先の端末３０が接続されたエッジ装置２０との間で、通信データが暗号化される。
【0026】
通信制御システム１を導入する際には、ステップＳ１１からステップＳ１４までの処理が順に実行される。
その後は、ステップＳ１４の処理が継続して実行され、端末３０間の通信が制御される。また、ステップＳ１４の処理が実行されている際にも、ステップＳ１１の処理は定期的に実行される。そして、ステップＳ１１でアドレス４１が送信される度、あるいは、一定時間毎にステップＳ１２の処理が実行される。ステップＳ１３の処理は、必要に応じて実行される。
その後は、ステップＳ１４の処理が継続して実行され、端末３０間の通信が制御される。また、ステップＳ１４の処理が実行されている際にも、ステップＳ１１の処理は定期的に実行される。そして、ステップＳ１１でアドレス４１が送信される度、あるいは、一定時間毎にステップＳ１２の処理が実行される。ステップＳ１３の処理は、必要に応じて実行される。
【0027】
図７を参照して、実施の形態１に係る分類処理（図４のステップＳ１２）を説明する。
（ステップＳ２１：アドレス受信処理）
アドレス受信部１１１は、ステップＳ１１で各エッジ装置２０から送信された、端末情報４２が付加されたアドレス４１を受信する。図８に示すように、各エッジ装置２０で収集されたアドレス４１及び端末情報４２がマスター装置１０に集約される。
（ステップＳ２１：アドレス受信処理）
アドレス受信部１１１は、ステップＳ１１で各エッジ装置２０から送信された、端末情報４２が付加されたアドレス４１を受信する。図８に示すように、各エッジ装置２０で収集されたアドレス４１及び端末情報４２がマスター装置１０に集約される。
【0028】
（ステップＳ２２：端末抽出処理）
端末抽出部１１２は、ステップＳ２１で受信されたアドレス４１のうち、グループリスト４４に存在しないアドレス４１が示す端末３０を未分類端末３１として抽出する。グループリスト４４は、複数のエッジ装置２０のうちのいずれかのエッジ装置２０に接続された端末３０を分類したグループ４３であって、通信の制御を行うためのグループ４３を示す。この際、端末抽出部１１２は、過去に受信したアドレス４１に分類がされていないアドレス４１がある場合には、このアドレス４１が示す端末３０についても未分類端末３１として抽出する。
端末抽出部１１２は、ステップＳ２１で受信されたアドレス４１のうち、グループリスト４４に存在しないアドレス４１が示す端末３０を未分類端末３１として抽出する。グループリスト４４は、複数のエッジ装置２０のうちのいずれかのエッジ装置２０に接続された端末３０を分類したグループ４３であって、通信の制御を行うためのグループ４３を示す。この際、端末抽出部１１２は、過去に受信したアドレス４１に分類がされていないアドレス４１がある場合には、このアドレス４１が示す端末３０についても未分類端末３１として抽出する。
【0029】
ここでは、図９の（Ａ）に示すアドレス４１が受信されたとする。また、図９の（Ｂ）に示すグループリスト４４がストレージ１３に記憶されているとする。すると、図９の（Ｃ）のように未分類端末３１が抽出される。
つまり、グループリスト４４に存在しない、又は、分類がされていない２つの端末３０が未分類端末３１として抽出される。
つまり、グループリスト４４に存在しない、又は、分類がされていない２つの端末３０が未分類端末３１として抽出される。
【0030】
（ステップＳ２３：一覧表示処理）
図１０に示すように、端末分類部１１３は、未分類端末３１に関する情報を一覧表示する。ここでは、未分類端末３１に関する情報は、アドレス４１と、端末情報４２のうちの端末名称とエッジ装置名と備考とである。つまり、未分類端末３１に関する情報として、未分類端末３１のアドレス４１の受信元のエッジ装置２０の識別情報であるエッジ装置名が表示される。また、未分類端末３１に関する情報として、ＭＡＣアドレスから特定される未分類端末３１の製造メーカを示すメーカ情報が表示される。
なお、アドレス４１と端末名称とエッジ装置名と備考とのうち、一部の情報だけを一覧表示しておき、カーソルが合わせられるといった操作がされた場合に、残りの情報を表示するようにしてもよい。
図１０に示すように、端末分類部１１３は、未分類端末３１に関する情報を一覧表示する。ここでは、未分類端末３１に関する情報は、アドレス４１と、端末情報４２のうちの端末名称とエッジ装置名と備考とである。つまり、未分類端末３１に関する情報として、未分類端末３１のアドレス４１の受信元のエッジ装置２０の識別情報であるエッジ装置名が表示される。また、未分類端末３１に関する情報として、ＭＡＣアドレスから特定される未分類端末３１の製造メーカを示すメーカ情報が表示される。
なお、アドレス４１と端末名称とエッジ装置名と備考とのうち、一部の情報だけを一覧表示しておき、カーソルが合わせられるといった操作がされた場合に、残りの情報を表示するようにしてもよい。
【0031】
（ステップＳ２４：端末分類処理）
端末分類部１１３は、未分類端末３１が属するグループ４３をユーザに指定させる。ユーザは、例えば通信制御システム１の管理者等である。具体的には、図１０に示すグループ４３の指定欄でラジオボタンを選択させることにより、未分類端末３１が属するグループ４３を指定させる。指定欄による選択はユーザによって行われる。つまり、端末分類部１１３は、指定可能な前記グループを表示して選択的に指定させる。これにより、端末分類部１１３は、グループリスト４４を更新する。
この際、端末分類部１１３は、グループ４３の指定だけでなく、未分類端末３１の端末名称と、未分類端末３１に関連する関連情報が登録される備考との少なくともいずれかの情報の変更を受け付けてもよい。未分類端末３１の端末名称及び備考は、未分類端末３１を識別するために利用される。ここで適切な情報が入力されることにより、後日グループ４３の分類を見直す際等に、作業を容易に行うことが可能になる。
端末分類部１１３は、未分類端末３１が属するグループ４３をユーザに指定させる。ユーザは、例えば通信制御システム１の管理者等である。具体的には、図１０に示すグループ４３の指定欄でラジオボタンを選択させることにより、未分類端末３１が属するグループ４３を指定させる。指定欄による選択はユーザによって行われる。つまり、端末分類部１１３は、指定可能な前記グループを表示して選択的に指定させる。これにより、端末分類部１１３は、グループリスト４４を更新する。
この際、端末分類部１１３は、グループ４３の指定だけでなく、未分類端末３１の端末名称と、未分類端末３１に関連する関連情報が登録される備考との少なくともいずれかの情報の変更を受け付けてもよい。未分類端末３１の端末名称及び備考は、未分類端末３１を識別するために利用される。ここで適切な情報が入力されることにより、後日グループ４３の分類を見直す際等に、作業を容易に行うことが可能になる。
【0032】
図１１を参照して、実施の形態１に係るポリシー設定処理（図４のステップＳ１３）を説明する。
（ステップＳ３１：一覧表示処理）
図１２に示すように、ポリシー設定部１１４は、グループ間の通信について設定済のポリシー４５を一覧表示する。
（ステップＳ３１：一覧表示処理）
図１２に示すように、ポリシー設定部１１４は、グループ間の通信について設定済のポリシー４５を一覧表示する。
【0033】
（ステップＳ３２：ポリシー設定処理）
ポリシー設定部１１４は、グループ間のポリシー４５の追加、変更、削除等の入力を受け付ける。ポリシー４５の追加、変更、削除等の入力はユーザによって行われる。具体的には、ポリシー設定部１１４は、図１２の追加ボタン又は変更ボタンが押下されると、ポリシー４５を追加するための入力画面を表示する。図１３に示すように、この入力画面では、データの送信元のグループ及びデータの送信先のグループと、通信プロトコル及び送信先のポート番号と、通信を許可するか否かと、ログを取得するか否かとの指定ができるようになっている。通信を許可するか否かは、アクションの欄で許可又は拒否を選択することにより指定される。また、この入力画面では、ポリシー４５を有効にするか否かの指定ができるようになっている。
図１２の追加ボタンが押下された場合には、図１３に示す入力画面が、デフォルト値が示された状態で表示される。図１２の変更ボタンが押下された場合には、図１３に示す入力画面が、変更前のポリシー４５の設定が示された状態で表示される。
ポリシー設定部１１４は、入力画面に入力された情報に従い、ポリシー４５を設定する。入力画面では通信プロトコルの指定が可能になっているため、グループ間の通信について、通信プロトコルに応じて通信を許可するか否かを指定してポリシー４５が設定可能である。通信プロトコルとは、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ
Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）等である。また、入力画面では通信プロトコルが指定されたときに、ポート単位に通信を許可するか否かの指定が可能になっているため、グループ間の通信について、ポートに応じて通信を許可するか否かを指定してポリシー４５が設定可能である。また、入力画面ではログを取得するか否かの指定が可能になっているため、通信の制御とは別に、グループ間の通信について、通信のログを取得するか否かの指定を受け付けてポリシー４５が設定可能である。
ポリシー設定部１１４は、グループ間のポリシー４５の追加、変更、削除等の入力を受け付ける。ポリシー４５の追加、変更、削除等の入力はユーザによって行われる。具体的には、ポリシー設定部１１４は、図１２の追加ボタン又は変更ボタンが押下されると、ポリシー４５を追加するための入力画面を表示する。図１３に示すように、この入力画面では、データの送信元のグループ及びデータの送信先のグループと、通信プロトコル及び送信先のポート番号と、通信を許可するか否かと、ログを取得するか否かとの指定ができるようになっている。通信を許可するか否かは、アクションの欄で許可又は拒否を選択することにより指定される。また、この入力画面では、ポリシー４５を有効にするか否かの指定ができるようになっている。
図１２の追加ボタンが押下された場合には、図１３に示す入力画面が、デフォルト値が示された状態で表示される。図１２の変更ボタンが押下された場合には、図１３に示す入力画面が、変更前のポリシー４５の設定が示された状態で表示される。
ポリシー設定部１１４は、入力画面に入力された情報に従い、ポリシー４５を設定する。入力画面では通信プロトコルの指定が可能になっているため、グループ間の通信について、通信プロトコルに応じて通信を許可するか否かを指定してポリシー４５が設定可能である。通信プロトコルとは、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ
Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）等である。また、入力画面では通信プロトコルが指定されたときに、ポート単位に通信を許可するか否かの指定が可能になっているため、グループ間の通信について、ポートに応じて通信を許可するか否かを指定してポリシー４５が設定可能である。また、入力画面ではログを取得するか否かの指定が可能になっているため、通信の制御とは別に、グループ間の通信について、通信のログを取得するか否かの指定を受け付けてポリシー４５が設定可能である。
【0034】
図１３に示す画面では、暗号化をするか否かを指定できるようになっている。暗号化設定部１１５は、暗号化をするか否かの指定を受け付ける。そして、通信の暗号化をするか否かの設定をポリシー４５に追加する。これにより、グループ間のポリシー４５に対して、暗号化するか否かが設定される。ポリシー設定部１１４によって、通信プロトコルが設定されている場合には、通信プロトコルに応じて通信の暗号化をするか否かが設定される。また、ポリシー設定部１１４によって、ポートが指定された場合には、ポートに応じて通信の暗号化をするか否かが設定される。
なお、暗号化をするか否かは、通信を許可すると設定された場合に設定できるようになるように設定されていてもよい。この場合には、暗号化設定部１１５は、ポリシー設定部１１４によって通信を許可すると設定された場合に、暗号化をするか否かの指定を受け付ける。
ここでは、暗号化設定部１１５は、暗号化するか否かの指定だけを受け付けた。しかし、暗号化設定部１１５は、暗号化するか否かに加えて、暗号化強度の指定も受け付け、ポリシー４５に追加してもよい。暗号化強度は、例えば、暗号化方式と、暗号鍵のビット数といったものである。
なお、暗号化をするか否かは、通信を許可すると設定された場合に設定できるようになるように設定されていてもよい。この場合には、暗号化設定部１１５は、ポリシー設定部１１４によって通信を許可すると設定された場合に、暗号化をするか否かの指定を受け付ける。
ここでは、暗号化設定部１１５は、暗号化するか否かの指定だけを受け付けた。しかし、暗号化設定部１１５は、暗号化するか否かに加えて、暗号化強度の指定も受け付け、ポリシー４５に追加してもよい。暗号化強度は、例えば、暗号化方式と、暗号鍵のビット数といったものである。
【0035】
なお、ポリシー設定部１１４は、ポリシー４５について設定した設定データを読み込んで、ポリシー４５の設定をしてもよい。設定データを読み込んでポリシー４５の設定をした上で、ポリシー設定部１１４は、ポリシー４５の追加、変更、削除等の入力を受け付けてもよい。
【0036】
（ステップＳ３３：ポリシー送信処理）
設定送信部１１６は、ステップＳ３２で設定されたポリシー４５を、各エッジ装置２０に送信する。
設定送信部１１６は、ステップＳ３２で設定されたポリシー４５を、各エッジ装置２０に送信する。
【0037】
図１４を参照して、実施の形態１に係る通信制御処理（図４のステップＳ１４）を説明する。図１４に示す処理は、各エッジ装置２０において実行される。
（ステップＳ４１：ポリシー受信処理）
設定受信部２１３は、ステップＳ１３で送信されたポリシー４５を受信する。設定受信部２１３は、受信されたポリシー４５をストレージ１３に書き込む。
（ステップＳ４１：ポリシー受信処理）
設定受信部２１３は、ステップＳ１３で送信されたポリシー４５を受信する。設定受信部２１３は、受信されたポリシー４５をストレージ１３に書き込む。
【0038】
（ステップＳ４２：メッセージ受信処理）
通信制御部２１４は、通信メッセージを受信する。
通信メッセージには、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、通信プロトコルを識別可能なプロトコル情報と、通信データとが含まれる。通信メッセージを受信すると、ステップＳ４３の処理とステップＳ４７の処理とが並列に実行される。
通信制御部２１４は、通信メッセージを受信する。
通信メッセージには、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、通信プロトコルを識別可能なプロトコル情報と、通信データとが含まれる。通信メッセージを受信すると、ステップＳ４３の処理とステップＳ４７の処理とが並列に実行される。
【0039】
（ステップＳ４３：通信可否判定処理）
通信制御部２１４の可否判定部２１６は、ステップＳ４２で受信した通信メッセージについて、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、プロトコル情報とから、通信の可否を判定する。
具体的には、可否判定部２１６は、送信元の端末３０のＩＰアドレスが示すグループと、宛先の端末３０のＩＰアドレスが示すグループと、プロトコル情報が示す通信プロトコルとの組合せについて、ストレージ１３に記憶されたポリシー４５で通信が許可されているか否かを判定する。可否判定部２１６は、許可されている場合には、処理をステップＳ４４に進める。一方、可否判定部２１６は、許可されていない場合には、ステップＳ４４からステップＳ４６まで処理をスキップする。
通信制御部２１４の可否判定部２１６は、ステップＳ４２で受信した通信メッセージについて、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、プロトコル情報とから、通信の可否を判定する。
具体的には、可否判定部２１６は、送信元の端末３０のＩＰアドレスが示すグループと、宛先の端末３０のＩＰアドレスが示すグループと、プロトコル情報が示す通信プロトコルとの組合せについて、ストレージ１３に記憶されたポリシー４５で通信が許可されているか否かを判定する。可否判定部２１６は、許可されている場合には、処理をステップＳ４４に進める。一方、可否判定部２１６は、許可されていない場合には、ステップＳ４４からステップＳ４６まで処理をスキップする。
【0040】
（ステップＳ４４：暗号化判定処理）
通信制御部２１４の暗号化判定部２１７は、ステップＳ４２で受信した通信メッセージについて、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、プロトコル情報とから、暗号化処理の要否を判定する。
具体的には、暗号化判定部２１７は、送信元の端末３０のＩＰアドレスが示すグループと、宛先の端末３０のＩＰアドレスが示すグループと、プロトコル情報が示す通信プロトコルとの組合せについて、ストレージ１３に記憶されたポリシー４５で暗号化することになっているか否かを判定する。暗号化判定部２１７は、暗号化することになっている場合には、処理をステップＳ４５に進める。一方、暗号化判定部２１７は、暗号化することになっていない場合には、処理をステップＳ４６に進める。
通信制御部２１４の暗号化判定部２１７は、ステップＳ４２で受信した通信メッセージについて、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、プロトコル情報とから、暗号化処理の要否を判定する。
具体的には、暗号化判定部２１７は、送信元の端末３０のＩＰアドレスが示すグループと、宛先の端末３０のＩＰアドレスが示すグループと、プロトコル情報が示す通信プロトコルとの組合せについて、ストレージ１３に記憶されたポリシー４５で暗号化することになっているか否かを判定する。暗号化判定部２１７は、暗号化することになっている場合には、処理をステップＳ４５に進める。一方、暗号化判定部２１７は、暗号化することになっていない場合には、処理をステップＳ４６に進める。
【0041】
（ステップＳ４５：暗号化処理）
通信制御部２１４の暗号化部２１８は、ステップＳ４２で受信した通信メッセージに含まれる通信データのうち、ステップＳ４４で暗号化判定部２１７が暗号化要と判定した通信データに対して暗号化処理を行う。具体的には、暗号化部２１８が、送信元の端末３０が接続されたエッジ装置２０における暗号化部２１８である場合には、通信データを暗号化する。つまり、暗号化要のグループ間の組み合わせである送信元の端末３０が接続されたエッジ装置２０である場合には、当該エッジ装置２０の暗号化部２１８は、通信データを暗号化する。一方、暗号化部２１８が、宛先の端末３０が接続されたエッジ装置２０における暗号化部２１８である場合には、通信データを復号する。つまり、暗号化要のグループ間の組み合わせである送信先の端末３０が接続されたエッジ装置２０である場合には、当該エッジ装置２０の暗号化部２１８は通信データを復号する。
ここで、送信元の端末３０が接続されたエッジ装置２０とは、エッジ装置２０が送信元の端末３０と同じネットワークアドレスを持つということである。同様に、宛先の端末３０が接続されたエッジ装置２０とは、エッジ装置２０が宛先の端末３０と同じネットワークアドレスを持つということである。
通信制御部２１４の暗号化部２１８は、ステップＳ４２で受信した通信メッセージに含まれる通信データのうち、ステップＳ４４で暗号化判定部２１７が暗号化要と判定した通信データに対して暗号化処理を行う。具体的には、暗号化部２１８が、送信元の端末３０が接続されたエッジ装置２０における暗号化部２１８である場合には、通信データを暗号化する。つまり、暗号化要のグループ間の組み合わせである送信元の端末３０が接続されたエッジ装置２０である場合には、当該エッジ装置２０の暗号化部２１８は、通信データを暗号化する。一方、暗号化部２１８が、宛先の端末３０が接続されたエッジ装置２０における暗号化部２１８である場合には、通信データを復号する。つまり、暗号化要のグループ間の組み合わせである送信先の端末３０が接続されたエッジ装置２０である場合には、当該エッジ装置２０の暗号化部２１８は通信データを復号する。
ここで、送信元の端末３０が接続されたエッジ装置２０とは、エッジ装置２０が送信元の端末３０と同じネットワークアドレスを持つということである。同様に、宛先の端末３０が接続されたエッジ装置２０とは、エッジ装置２０が宛先の端末３０と同じネットワークアドレスを持つということである。
【0042】
なお、暗号化部２１８は、送信元の端末３０と宛先の端末３０との両方が接続されたエッジ装置２０における暗号化部２１８である場合には、通信データに対する暗号化処理を省略する。つまり、暗号化部２１８は、通信データに対して暗号化及び復号を行わない。
【0043】
（ステップＳ４６：送信処理）
通信制御部２１４の送信部２１９は、通信メッセージを宛先の端末３０に向けて送信する。
通信制御部２１４の送信部２１９は、通信メッセージを宛先の端末３０に向けて送信する。
【0044】
（ステップＳ４７：ログ判定処理）
通信制御部２１４は、ステップＳ４２で受信した通信メッセージについて、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、プロトコル情報とから、ログ取得の要否を判定する。
具体的には、通信制御部２１４は、送信元の端末３０のＩＰアドレスが示すグループと、宛先の端末３０のＩＰアドレスが示すグループと、プロトコル情報が示す通信プロトコルとの組合せについて、ストレージ１３に記憶されたポリシー４５でログ取得が有と設定されているか否かを判定する。通信制御部２１４は、有と設定されている場合には、処理をステップＳ４８に進める。一方、通信制御部２１４は、有と設定されていない場合には、ステップＳ４８の処理をスキップする。
通信制御部２１４は、ステップＳ４２で受信した通信メッセージについて、送信元の端末３０のＩＰアドレスと、宛先の端末３０のＩＰアドレスと、プロトコル情報とから、ログ取得の要否を判定する。
具体的には、通信制御部２１４は、送信元の端末３０のＩＰアドレスが示すグループと、宛先の端末３０のＩＰアドレスが示すグループと、プロトコル情報が示す通信プロトコルとの組合せについて、ストレージ１３に記憶されたポリシー４５でログ取得が有と設定されているか否かを判定する。通信制御部２１４は、有と設定されている場合には、処理をステップＳ４８に進める。一方、通信制御部２１４は、有と設定されていない場合には、ステップＳ４８の処理をスキップする。
【0045】
（ステップＳ４８：ログ取得処理）
通信制御部２１４は、ステップＳ４２で受信した通信メッセージについてのログをストレージ１３に書き込む。
通信制御部２１４は、ステップＳ４２で受信した通信メッセージについてのログをストレージ１３に書き込む。
【0046】
ステップＳ４６とステップＳ４８の処理の後、処理がステップＳ４２に戻され、通信の制御が継続される。また、マスター装置１０からポリシー４５が新たに送信された場合には、処理がステップＳ４１に戻され、ポリシー４５を受信した上で、通信の制御が継続される。
【0047】
図１５を参照して暗号化処理（図１４のステップＳ４５）を説明する。ここでは、図６に示すポリシー４５が設定されているとする。
エッジ装置２０が、送信元の端末３０のＩＰアドレスがＩＴグループに属するものであり、宛先の端末３０のＩＰアドレスがＤＭＺグループに属するものであり、通信プロトコルがＸＸＸである通信データを受信したとする。この場合には、ステップＳ４３で通信制御部２１４は、ポリシー１に合致すると判定して、通信を許可し、処理をステップＳ４４に進める。また、ステップＳ４４で暗号化をするという設定になっているため、通信制御部２１４は、処理をステップＳ４５に進める。
ここで、送信元の端末３０が端末３０Ｘであり、宛先の端末３０が端末３０Ｙであるとする。この場合には、端末３０Ｘが接続されたエッジ装置２０Ｖは、ステップＳ４５で通信データを暗号化する。そして、エッジ装置２０Ｖは、ステップＳ４６で端末３０Ｙに向けて通信メッセージを送信する。端末３０Ｙが接続されたエッジ装置２０Ｗは、ステップＳ４５で通信データを復号する。そして、エッジ装置２０Ｗは、ステップＳ４６で端末３０Ｙに向けて通信メッセージを送信する。これにより、端末３０Ｘと端末３０Ｙとの間で通信する場合には、エッジ装置２０Ｖとエッジ装置２０Ｗとの間で通信データが暗号化された状態になる。
エッジ装置２０が、送信元の端末３０のＩＰアドレスがＩＴグループに属するものであり、宛先の端末３０のＩＰアドレスがＤＭＺグループに属するものであり、通信プロトコルがＸＸＸである通信データを受信したとする。この場合には、ステップＳ４３で通信制御部２１４は、ポリシー１に合致すると判定して、通信を許可し、処理をステップＳ４４に進める。また、ステップＳ４４で暗号化をするという設定になっているため、通信制御部２１４は、処理をステップＳ４５に進める。
ここで、送信元の端末３０が端末３０Ｘであり、宛先の端末３０が端末３０Ｙであるとする。この場合には、端末３０Ｘが接続されたエッジ装置２０Ｖは、ステップＳ４５で通信データを暗号化する。そして、エッジ装置２０Ｖは、ステップＳ４６で端末３０Ｙに向けて通信メッセージを送信する。端末３０Ｙが接続されたエッジ装置２０Ｗは、ステップＳ４５で通信データを復号する。そして、エッジ装置２０Ｗは、ステップＳ４６で端末３０Ｙに向けて通信メッセージを送信する。これにより、端末３０Ｘと端末３０Ｙとの間で通信する場合には、エッジ装置２０Ｖとエッジ装置２０Ｗとの間で通信データが暗号化された状態になる。
【0048】
＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る通信制御システム１は、グループリスト４４に存在しないアドレス４１が示す端末３０を未分類端末３１として抽出して、属するグループを指定させる。そして、端末が分類されたグループ間の通信の暗号化をするか否かを設定する。グループ間について通信の暗号化をするか否かを設定するため、暗号化通信の設定に係る作業負担を軽減可能である。
以上のように、実施の形態１に係る通信制御システム１は、グループリスト４４に存在しないアドレス４１が示す端末３０を未分類端末３１として抽出して、属するグループを指定させる。そして、端末が分類されたグループ間の通信の暗号化をするか否かを設定する。グループ間について通信の暗号化をするか否かを設定するため、暗号化通信の設定に係る作業負担を軽減可能である。
【0049】
また、実施の形態１に係る通信制御システム１は、グループ間の通信について許可するか否かが設定され、通信を許可すると設定されたグループ間について、通信の暗号化をするか否かが設定される。これにより、暗号化通信の設定対象を減らすことができ、暗号化通信の設定に係る作業負荷を軽減可能である。
運用前にグループ間の通信制御のポリシー４５を作成することにより、通信制御の設定に時間を割くことなく運用開始できる。また、ポリシー４５が複雑化しないため、管理が容易になり、セキュアなネットワークを構築し易くなる。
運用前にグループ間の通信制御のポリシー４５を作成することにより、通信制御の設定に時間を割くことなく運用開始できる。また、ポリシー４５が複雑化しないため、管理が容易になり、セキュアなネットワークを構築し易くなる。
【0050】
製造業をはじめとした工場の機器は、工場の稼働を優先すること、又は、古いＯＳを使用していること等の理由から、新たに暗号化のためのソフトウェアを導入することが難しい。そのため、全ての端末３０が暗号化を行えるようにすることは難しい場合がある。しかし、実施の形態１に係る通信制御システム１は、端末３０間で通信データを暗号化するのではなく、端末３０が接続されたエッジ装置２０間で通信データを暗号化する。これにより、端末３０を暗号化処理できるようにすることなしに、セキュリティが低くなり易い通信経路上で通信データを暗号化した状態で通信するようにできる。
【0051】
＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、マスター装置１０とエッジ装置２０とを異なる機能を有する装置として説明した。しかし、マスター装置１０の機能とエッジ装置２０の機能との両方を備える装置を複数用意しておき、いずれか１つをマスター装置１０とし、残りをエッジ装置２０として通信制御システム１を構成してもよい。
また、マスター装置１０がエッジ装置２０の機能を有していてもよい。マスター装置１０がエッジ装置２０の機能を有する場合には、マスター装置１０が同じネットワークに接続された端末３０のアドレス４１を取得する。マスター装置１０がアドレス４１を取得した場合には、エッジ装置名としてマスター装置１０の装置名が付加される。また、マスター装置１０がエッジ装置２０の機能を有する場合には、マスター装置１０は、エッジ装置２０と同様に、ポリシー４５に基づき、端末３０間の通信を制御する。
＜変形例１＞
実施の形態１では、マスター装置１０とエッジ装置２０とを異なる機能を有する装置として説明した。しかし、マスター装置１０の機能とエッジ装置２０の機能との両方を備える装置を複数用意しておき、いずれか１つをマスター装置１０とし、残りをエッジ装置２０として通信制御システム１を構成してもよい。
また、マスター装置１０がエッジ装置２０の機能を有していてもよい。マスター装置１０がエッジ装置２０の機能を有する場合には、マスター装置１０が同じネットワークに接続された端末３０のアドレス４１を取得する。マスター装置１０がアドレス４１を取得した場合には、エッジ装置名としてマスター装置１０の装置名が付加される。また、マスター装置１０がエッジ装置２０の機能を有する場合には、マスター装置１０は、エッジ装置２０と同様に、ポリシー４５に基づき、端末３０間の通信を制御する。
【0052】
＜変形例２＞
実施の形態１では、全てのエッジ装置２０が暗号化処理を行えることを前提としていた。しかし、一部のエッジ装置２０が暗号化処理を行えない場合も考えられる。この場合には、送信元の端末３０が接続されたエッジ装置２０は、宛先の端末３０が接続されたエッジ装置２０が復号を行えるエッジ装置２０であるかを確認した上で、通信データを暗号化する必要がある。
実施の形態１では、全てのエッジ装置２０が暗号化処理を行えることを前提としていた。しかし、一部のエッジ装置２０が暗号化処理を行えない場合も考えられる。この場合には、送信元の端末３０が接続されたエッジ装置２０は、宛先の端末３０が接続されたエッジ装置２０が復号を行えるエッジ装置２０であるかを確認した上で、通信データを暗号化する必要がある。
【0053】
この場合には、図１１のステップＳ３３で設定送信部１１６は、ポリシー４５を送信する際、あわせて各端末３０について接続されたエッジ装置２０の識別情報を送信する。端末３０が接続されたエッジ装置２０の識別情報は、図４のステップＳ１１で特定されている。エッジ装置２０の識別情報を参照して、送信元の端末３０が接続されたエッジ装置２０では、暗号化判定部２１７は、宛先の端末３０が接続されたエッジ装置２０が復号を行えるエッジ装置２０であるか否かを判定する。そして、暗号化部２１８は、復号を行えるエッジ装置２０である場合に、通信データを暗号化した上で、送信する。一方、暗号化部２１８は、復号を行えないエッジ装置２０である場合には、通信データを暗号化せずに、送信する。
【0054】
ここで、複数のエッジ装置２０から同じ端末３０のアドレス４１が送信される場合がある。つまり、１つの端末３０が複数のエッジ装置２０に接続されている場合がある。この場合には、少なくとも１つのエッジ装置２０が暗号化処理を行える場合には、暗号化判定部２１７は、宛先の端末３０が接続されたエッジ装置２０が復号を行えるエッジ装置２０であるか否かを判定する。
【0055】
なお、送信元の端末３０が接続されたエッジ装置２０が暗号化処理を行えないエッジ装置２０である場合には、宛先の端末３０が接続されたエッジ装置２０が受信した通信データは暗号化されていない。つまり、この場合には、たとえポリシー４５が暗号化するように設定されている場合であっても、通信データは暗号化されていない。宛先の端末３０が接続されたエッジ装置２０の暗号化判定部２１７は、送信元の端末３０が接続されたエッジ装置２０の識別情報から、送信元の端末３０が接続されたエッジ装置２０が暗号化処理を行ったか否かを判定してもよいし、通信データから暗号化されたデータであるか否かを判定してもよい。
【0056】
これにより、暗号化処理を行えるエッジ装置２０と、暗号化処理を行えないエッジ装置２０とが混在している場合であっても、適切に処理を行うことが可能である。
【0057】
＜変形例３＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例３として、各機能構成要素はハードウェアで実現されてもよい。この変形例３について、実施の形態１と異なる点を説明する。
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例３として、各機能構成要素はハードウェアで実現されてもよい。この変形例３について、実施の形態１と異なる点を説明する。
【0058】
各機能構成要素がハードウェアで実現される場合には、マスター装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
同様に、各機能構成要素がハードウェアで実現される場合には、エッジ装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ２２と、ストレージ２３との機能とを実現する専用の回路である。
同様に、各機能構成要素がハードウェアで実現される場合には、エッジ装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ２２と、ストレージ２３との機能とを実現する専用の回路である。
【0059】
電子回路１５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。
【0060】
＜変形例４＞
変形例４として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
変形例４として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
【0061】
プロセッサ１１とメモリ１２とストレージ１３と電子回路１５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
【0062】
以下、本開示の諸態様を付記としてまとめて記載する。
（付記１）
ネットワークに接続された複数の端末を複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と
を備えるマスター装置。
（付記２）
前記暗号化設定部は、通信プロトコルに応じて通信の暗号化をするか否かを示す前記ポリシーを設定する
付記１に記載のマスター装置。
（付記３）
前記暗号化設定部は、通信プロトコルが指定された場合にポートに応じて通信の暗号化をするか否かを示す前記ポリシーを設定する
付記２に記載のマスター装置。
（付記４）
前記マスター装置は、さらに、
同一のグループ間の通信については許可し、異なるグループ間の通信については許可するか否かの指定を受け付けて前記ポリシーを設定するポリシー設定部
を備え、
前記暗号化設定部は、同一のグループ間を含む、通信を許可するというポリシーが設定されたグループ間について、通信の暗号化をするか否かの設定を前記ポリシーに追加する付記１から３までのいずれか１項に記載のマスター装置。
（付記５）
前記マスター装置は、さらに、
前記暗号化設定部によって設定された前記ポリシーを複数のエッジ装置それぞれに送信して、前記ポリシーに基づき通信の制御をさせる設定送信部
を備える付記１から４までのいずれか１項に記載のマスター装置。
（付記６）
前記マスター装置は、通信の暗号化をすると設定されたグループ間については、送信元の端末が接続されたエッジ装置が、前記送信元の端末から受信した通信データを暗号化した上で宛先の端末が接続されたエッジ装置に送信し、前記宛先の端末が接続されたエッジ装置が、暗号化された通信データを復号した上で前記宛先の端末に送信する通信制御システムにおいて前記ポリシーを設定する
付記５に記載のマスター装置。
（付記７）
マスター装置が、ネットワークに接続された複数の端末を複数のグループに分類し、
マスター装置が、前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する通信制御方法。
（付記８）
ネットワークに接続された複数の端末を複数のグループに分類する端末分類処理と、
前記端末分類処理によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定処理と
を行うマスター装置としてコンピュータを機能させる通信制御プログラム。
（付記９）
マスター装置と複数のエッジ装置とを備える通信制御システムであり、
前記マスター装置は、
ネットワークに接続された複数の端末を複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と
前記暗号化設定部によって設定された前記ポリシーを前記複数のエッジ装置それぞれに送信する設定送信部と
を備え、
前記複数のエッジ装置それぞれは、
前記設定送信部によって送信された前記ポリシーに基づき、端末間の通信を制御する通信制御部であって、前記ポリシーが暗号化することを示すグループ間については、送信元の端末が接続されている場合には、通信データを暗号化した上で宛先の端末に向けて送信し、宛先の端末が接続されている場合には、通信データを復号した上で宛先の端末に向けて送信する通信制御部
を備える通信制御システム。
（付記１）
ネットワークに接続された複数の端末を複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と
を備えるマスター装置。
（付記２）
前記暗号化設定部は、通信プロトコルに応じて通信の暗号化をするか否かを示す前記ポリシーを設定する
付記１に記載のマスター装置。
（付記３）
前記暗号化設定部は、通信プロトコルが指定された場合にポートに応じて通信の暗号化をするか否かを示す前記ポリシーを設定する
付記２に記載のマスター装置。
（付記４）
前記マスター装置は、さらに、
同一のグループ間の通信については許可し、異なるグループ間の通信については許可するか否かの指定を受け付けて前記ポリシーを設定するポリシー設定部
を備え、
前記暗号化設定部は、同一のグループ間を含む、通信を許可するというポリシーが設定されたグループ間について、通信の暗号化をするか否かの設定を前記ポリシーに追加する付記１から３までのいずれか１項に記載のマスター装置。
（付記５）
前記マスター装置は、さらに、
前記暗号化設定部によって設定された前記ポリシーを複数のエッジ装置それぞれに送信して、前記ポリシーに基づき通信の制御をさせる設定送信部
を備える付記１から４までのいずれか１項に記載のマスター装置。
（付記６）
前記マスター装置は、通信の暗号化をすると設定されたグループ間については、送信元の端末が接続されたエッジ装置が、前記送信元の端末から受信した通信データを暗号化した上で宛先の端末が接続されたエッジ装置に送信し、前記宛先の端末が接続されたエッジ装置が、暗号化された通信データを復号した上で前記宛先の端末に送信する通信制御システムにおいて前記ポリシーを設定する
付記５に記載のマスター装置。
（付記７）
マスター装置が、ネットワークに接続された複数の端末を複数のグループに分類し、
マスター装置が、前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する通信制御方法。
（付記８）
ネットワークに接続された複数の端末を複数のグループに分類する端末分類処理と、
前記端末分類処理によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定処理と
を行うマスター装置としてコンピュータを機能させる通信制御プログラム。
（付記９）
マスター装置と複数のエッジ装置とを備える通信制御システムであり、
前記マスター装置は、
ネットワークに接続された複数の端末を複数のグループに分類する端末分類部と、
前記端末分類部によって前記複数の端末が分類されたグループ間について、通信の暗号化をするか否かの指定を受け付けてポリシーを設定する暗号化設定部と
前記暗号化設定部によって設定された前記ポリシーを前記複数のエッジ装置それぞれに送信する設定送信部と
を備え、
前記複数のエッジ装置それぞれは、
前記設定送信部によって送信された前記ポリシーに基づき、端末間の通信を制御する通信制御部であって、前記ポリシーが暗号化することを示すグループ間については、送信元の端末が接続されている場合には、通信データを暗号化した上で宛先の端末に向けて送信し、宛先の端末が接続されている場合には、通信データを復号した上で宛先の端末に向けて送信する通信制御部
を備える通信制御システム。
【0063】
なお、以上の説明における「部」を、「回路」、「工程」、「手順」、「処理」又は「処理回路」に読み替えてもよい。
【0064】
以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。
【符号の説明】
【0065】
１ 通信制御システム、１０ マスター装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１５ 電子回路、１１１ アドレス受信部、１１２ 端末抽出部、１１３ 端末分類部、１１４ ポリシー設定部、１１５ 設定送信部、２０ エッジ装置、２１ プロセッサ、２２ メモリ、２３ ストレージ、２４ 通信インタフェース、２５ 電子回路、２１１ アドレス取得部、２１２ アドレス送信部、２１３ 設定受信部、２１４ 通信制御部、２１５ ログ取得部、３０ 端末、３１ 未分類端末、４１ アドレス、４２ 端末情報、４３ グループ、４４ グループリスト、４５ ポリシー、４６ 検査用ポリシー。
【要約】
【課題】暗号化通信の設定に係る作業負担を軽減可能にする。
【解決手段】マスター装置１０は、ネットワークに接続された複数の端末３０を複数のグループに分類する。マスター装置１０は、複数の端末１０が分類されたグループ間の通信について、許可するか否かの指定を受け付けてポリシーを設定する。マスター装置１０は、グループ間について、通信の暗号化をするか否かをポリシーに追加で設定する。マスター装置１０は、ポリシーを各エッジ装置２０に送信して、ポリシーに従い通信を制御させる。
【選択図】図１
【解決手段】マスター装置１０は、ネットワークに接続された複数の端末３０を複数のグループに分類する。マスター装置１０は、複数の端末１０が分類されたグループ間の通信について、許可するか否かの指定を受け付けてポリシーを設定する。マスター装置１０は、グループ間について、通信の暗号化をするか否かをポリシーに追加で設定する。マスター装置１０は、ポリシーを各エッジ装置２０に送信して、ポリシーに従い通信を制御させる。
【選択図】図１
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】