特許 6992975 情報転送装置、情報転送方法及び情報転送プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2021-12-13

(45)【発行日】2022-01-13

(54)【発明の名称】情報転送装置、情報転送方法及び情報転送プログラム

(51)【国際特許分類】

   G06F 21/53 20130101AFI20220105BHJP

   H04L 12/22 20060101ALI20220105BHJP

   G06F 13/00 20060101ALI20220105BHJP

   G06F 21/62 20130101ALI20220105BHJP

   G06F 9/455 20060101ALI20220105BHJP

【ＦＩ】

G06F21/53

H04L12/66 B

G06F13/00 351Z

G06F21/62

G06F9/455 150

【請求項の数】 9

(21)【出願番号】P 2018031370

(22)【出願日】2018-02-23

(65)【公開番号】P2019145050

(43)【公開日】2019-08-29

【審査請求日】2021-01-06

(73)【特許権者】

【識別番号】000232092

【氏名又は名称】ＮＥＣソリューションイノベータ株式会社

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】110002044

【氏名又は名称】特許業務法人ブライタス

(72)【発明者】

【氏名】武田 伸悟

【審査官】平井 誠

(56)【参考文献】

【文献】登録実用新案第３２１０４６２（ＪＰ，Ｕ）

【文献】特開２０１３－１３７７４５（ＪＰ，Ａ）

【文献】特表２０１４－５１３８３４（ＪＰ，Ａ）

【文献】国際公開第２００６／０４６６５９（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５３

Ｈ０４Ｌ １２／２２

Ｇ０６Ｆ １３／００

Ｇ０６Ｆ ２１／６２

Ｇ０６Ｆ ９／４５５

(57)【特許請求の範囲】

【請求項1】

第一のネットワークから取得した第一の情報を記憶部へ記憶する第一の仮想マシンと、第二のネットワークから取得した第二の情報を前記記憶部へ記憶する第二の仮想マシンと、前記記憶部に記憶された前記第一の情報又は前記第二の情報を検査する第三の仮想マシンと、前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える切替部とを仮想化により構築する、構築部と、
前記切替部の切り替えを制御する、制御部と、
を有することを特徴とする情報転送装置。

【請求項2】

請求項１に記載の情報転送装置であって、
前記制御部は、
前記第一の仮想マシンが前記第一のネットワークから取得した情報を前記記憶部に記憶した後、前記切替部を制御して、前記第一の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記切替部を制御して、前記第三の仮想マシンと前記記憶部との接続から、前記第二の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送装置。

【請求項3】

請求項１に記載の情報転送装置であって、
前記制御部は、
前記第二の仮想マシンが前記第二のネットワークから取得した情報を前記記憶部に記憶した後、前記切替部を制御して、前記第二の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記切替部を制御して、前記第三の仮想マシンと前記記憶部との接続から、前記第一の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送装置。

【請求項4】

仮想化を実現するコンピュータは、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶する、ステップと、
（ｂ）第二のネットワークから取得した第二の情報を、第二の仮想マシンを介して前記記憶部へ記憶する、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査する、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える、ステップと、
を実行することを特徴とする情報転送方法。

【請求項5】

請求項４に記載の情報転送方法であって、
前記コンピュータは、前記（ｄ）のステップにおいて、
前記第一の仮想マシンが前記第一のネットワークから取得した情報を前記記憶部に記憶させた後、前記第一の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第二の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送方法。

【請求項6】

請求項４に記載の情報転送方法であって、
前記コンピュータは、前記（ｄ）のステップにおいて、
前記第二の仮想マシンが前記第二のネットワークから取得した情報を前記記憶部に記憶させた後、前記第二の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第一の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送方法。

【請求項7】

仮想化を実現させるコンピュータに、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶させる、ステップと、
（ｂ）第二のネットワークから取得した第二の情報を、第二の仮想マシンを介して前記記憶部へ記憶させる、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査させる、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替えさせる、ステップと、
を実行させる情報転送プログラム。

【請求項8】

請求項７に記載の情報転送プログラムであって、
前記コンピュータに、前記（ｄ）のステップにおいて、
前記第一の仮想マシンが前記第一のネットワークから取得した情報を前記記憶部に記憶させた後、前記第一の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替えさせ、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第二の仮想マシンと前記記憶部との接続へ切り替えさせる
ことを特徴とする情報転送プログラム。

【請求項9】

請求項７に記載の情報転送プログラムであって、
前記コンピュータに、前記（ｄ）のステップにおいて、
前記第二の仮想マシンが前記第二のネットワークから取得した情報を前記記憶部に記憶させた後、前記第二の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替えさせ、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第一の仮想マシンと前記記憶部との接続へ切り替えさせる
ことを特徴とする情報転送プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークに接続して用いる情報転送装置、情報転送方法及び情報転送プログラムに関する。

【背景技術】

【0002】

システムの安全を確保する方法として、（１）システムの外部に設けられた外部ネットワークと、システムの内部に設けられた内部ネットワークとを隔離して、外部ネットワークと内部ネットワークとの不正接続を防止する方法がある。

【0003】

また、（２）外部ネットワークと内部ネットワークとを一時的又は恒久的に接続して、不正接続防止ソフトウェア（ファイアウォール）を用いて、外部ネットワークと内部ネットワークとの不正接続を防止する方法がある。

【0004】

更に、（３）データダイオードを用いて、外部ネットワークと内部ネットワークとの不正接続を防止する方法がある。

【0005】

また、関連する技術として、第一のネットワークに接続された第一のサーバと、第一のネットワークと異なる第二のネットワークに接続された第二のサーバと、第一のサーバと第二のサーバの双方からアクセスができる共有メモリとを有するデータ交換システムが開示されている。特許文献１を参照。

【0006】

このデータ交換システムによれば、第一のサーバは、第一のネットワークに接続された端末から受信した情報が、適正条件を満たしていると判定した場合、受信した情報を共有メモリに書き込む。また、第二のサーバは、共有メモリに書き込まれた情報を読み込み、読み込んだ情報の内容に基づいて、読み込んだ情報を第二のネットワークに接続された端末へ送信する。このように、開示のデータ交換システムは、システムの安全を確保している。

【先行技術文献】

【特許文献】

【0007】

【文献】特開２００９－２４５０１７号公報

【発明の概要】

【発明が解決しようとする課題】

【0008】

しかしながら、（１）の方法によれば、例えば、内部ネットワークに接続された機器を保守する場合、外部ネットワークと内部ネットワークとが隔離されているため、外部ネットワークに接続された端末は、保守対象の機器へ、修正情報（例えば、パッチファイル）を送信することができない。そのため、現状では、保守担当者が、外部記憶媒体（例えば、ＣＤ－ＲＯＭ（Compact Disc Read only memory）、ＵＳＢ（Universal Serial Bus）メモリなど）に修正情報を記憶し、外部記憶媒体を経由して、保守対象の機器に修正情報を記憶しなければならない。

【0009】

また、保守対象の機器は、外部ネットワークに接続された端末へ、保守対象の機器に関する状況情報（例えば、ログファイル）を送信することができない。そのため、保守担当者が、外部記憶媒体に状況情報を記憶して取り出さなければならない。このように、（１）の方法では、保守担当者が外部記憶媒体を運搬するため、運搬時間とそれにともなう費用が発生する。

【0010】

また、（２）の方法によれば、（２）の方法を適用したシステムは、不正接続防止ソフトウェアの脆弱性、又は不正接続防止ソフトウェアの設定ミスにより、システムの安全が確保できない。

【0011】

更に、（３）の方法によれば、（３）の方法を適用したシステムは、データダイオードを用いて安全を確保しているので、一方向の通信しかできない。そのため、上述した内部ネットワークに接続された機器を保守する場合、（３）の方法を適用したシステムは、状況情報（ログファイル）を、保守対象の機器から取り出すことができない。

【0012】

また、特許文献１に開示のシステムによれば、第一のネットワークと第二のネットワークとは、第一のサーバと第二のサーバとを介して物理的に隔離されていない。そこで、特許文献１に開示のシステムに（２）の方法を適用したシステムが考えられる。しかし、その場合においても、そのシステムは、不正接続防止ソフトウェアの脆弱性、又は不正接続防止ソフトウェアの設定ミスにより安全を確保できない。

【0013】

本発明の目的の一例は、ネットワークへの不正接続を防止して安全に情報を転送する情報転送装置、情報転送方法及び情報転送プログラムを提供することにある。

【課題を解決するための手段】

【0014】

上記目的を達成するため、本発明の一側面における情報転送装置は、
第一のネットワークから取得した第一の情報を記憶部へ記憶する第一の仮想マシンと、第二のネットワークから取得した第二の情報を前記記憶部へ記憶する第二の仮想マシンと、前記記憶部に記憶された前記第一の情報又は前記第二の情報を検査する第三の仮想マシンと、前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える切替部とを仮想化により構築する、構築部と、
前記切替部の切り替えを制御する、制御部と、
を有することを特徴とする。

【0015】

また、上記目的を達成するため、本発明の一側面における情報転送方法は、
仮想化を実現するコンピュータは、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶する、ステップと、
（ｂ）前記第二のネットワークから取得した第二の情報を、前記第二の仮想マシンを介して前記記憶部へ記憶する、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査する、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える、ステップと、
を実行することを特徴とする。

【0016】

更に、上記目的を達成するため、本発明の一側面における情報転送プログラムは、
仮想化を実現させるコンピュータに、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶させる、ステップと、
（ｂ）前記第二のネットワークから取得した第二の情報を、前記第二の仮想マシンを介して前記記憶部へ記憶させる、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査させる、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替えさせる、ステップと、
を実行させる。

【発明の効果】

【0017】

以上のように本発明によれば、ネットワークへの不正接続を防止して安全に情報を転送することができる。

【図面の簡単な説明】

【0018】

【図1】図１は、情報転送装置の一例を示す図である。

【図2】図２は、情報転送装置を具体的に示す図である。

【図3】図３は、コンピュータの一例を示す図である。

【図4】図４は、情報転送装置における、情報を外部ネットワークから内部ネットワークへ転送する動作の一例を示す図である。

【図5】図５は、情報転送装置を有するシステムの一例を示す図である。

【図6】図６は、情報転送装置における、情報を内部ネットワークから外部ネットワークへ転送する動作の一例を示す図である。

【発明を実施するための形態】

【0019】

（実施の形態）
以下、本発明の実施の形態における情報転送装置、情報転送方法及び情報転送プログラムについて、図１から図６を参照しながら説明する。

【0020】

［装置構成］
最初に、図１を用いて、本実施の形態における情報転送装置の構成について説明する。図１は、情報転送装置の一例を示す図である。

【0021】

図１に示す本実施の形態における情報転送装置１は、ネットワークへの不正接続を防止して安全に情報を転送するための装置である。また、情報転送装置１は、仮想化により仮想マシンを構築する構築部２と、構築部２により実現された仮想マシン、切替部を制御する制御部３とを有する。

【0022】

このうち、仮想マシンは、少なくとも外部用仮想マシン４（第一の仮想マシン）と、内部用仮想マシン５（第二の仮想マシン）と、検査用仮想マシン６（第三の仮想マシン）とを有する。外部用仮想マシン４は、外部ネットワーク（第一のネットワーク）から取得した情報（第一の情報）を記憶部７へ記憶する。また、内部用仮想マシン５は、内部ネットワーク（第二のネットワーク）から取得した情報（第二の情報）を記憶部７へ記憶する。検査用仮想マシン６は、記憶部７に記憶された情報（第一の情報又は第二の情報）を検査する。

【0023】

更に、構築部２は切替部８を構築する。切替部８は、外部用仮想マシン４と記憶部７との接続、内部用仮想マシン５と記憶部７との接続、検査用仮想マシン６と記憶部７との接続を切り替える。また、制御部３は、外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８とを制御する。

【0024】

このように、本実施の形態では、仮想化によりハードウェア上で独立した外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８とを用いることで、外部ネットワークと内部ネットワークとが直接接続できない構成としている。すなわち、記憶部の情報を入出力するポートを一つにし、外部用仮想マシン４と内部用仮想マシン５とが同時に接続できないようにすることで、外部ネットワークと内部ネット
ワークとが直接接続できないようにしている。更に、検査用仮想マシン６は、外部ネットワーク又は内部ネットワークから取得した情報が、不正情報（例えば、悪意のあるプログラムなど）である場合、外部ネットワーク又は内部ネットワークへ不正情報を転送できないようにしている。このようにすることで、ネットワークへの不正接続を防止して安全に情報を転送することができる。

【0025】

図２、図３を用いて、本実施の形態における情報転送装置１について具体的に説明する。図２は、情報転送装置を具体的に示す図である。図３は、コンピュータの一例を示す図である。

【0026】

情報転送装置１の構成について説明する。情報転送装置１は、例えば、コンピュータを用いて構成される。図３に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics
Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていてもよい。

【0027】

ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態における仮想化を実現するプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。

【0028】

メインメモリ１１２は、例えば、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置である。また、本実施の形態における仮想化を実現するプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態における仮想化を実現するプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通させてもよい。

【0029】

記憶装置１１３は、例えば、ハードディスクドライブの他、フラッシュメモリなどの半導体記憶装置があげられる。

【0030】

入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。

【0031】

データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。

【0032】

記録媒体１２０は、例えば、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）などの汎用的な半導体記憶装置、フレキシブルディスク（Flexible Disk）などの磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。

【0033】

また、本実施の形態において、コンピュータは、例えば、ハイパーバイザ型、ホスト型、コンテナ型などの仮想化方式を用いて、仮想化を実現する。なお、上述した構築部２は、コンピュータのハードウェアと、仮想化を実現するソフトウェアとを用いて、仮想化を実現する。なお、複数のコンピュータを利用して、仮想化を実現してもよい。

【0034】

制御部３について具体的に説明する。制御部３は、外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８との制御を、切替制御部２１を用い実行する。なお、制御部３は、コンピュータのハードウェア、又はハードウェア上のオペレーティングシステム、又は仮想マシンのいずれかに設ける。

【0035】

切替制御部２１は、本実施の形態においては、外部用仮想マシン４が外部ネットワークから情報を取得すると、切替部８を制御して、外部用仮想マシン４と記憶部７とを接続する。すなわち、切替制御部２１は、外部用仮想マシン４から、情報を取得したことを示す取得通知を受信すると、切替部８の接点Ｐ０と接点Ｐ１とを接続状態にする。続いて、切替制御部２１は、情報が記憶部７に記憶されると、切替部８を制御して、外部用仮想マシン４と記憶部７との接続から、検査用仮想マシン６と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ２とを接続状態にする。

【0036】

続いて、切替制御部２１は、検査用仮想マシン６の検査により、記憶部７に記憶されている当該情報が安全であると判定された場合、切替部８を制御して、検査用仮想マシン６と記憶部７との接続から、内部用仮想マシン５と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ３とを接続状態にする。なお、切替制御部２１は、内部用仮想マシン５が情報を取得すると、切替部８を制御して、オープン状態にする。

【0037】

また、切替制御部２１は、本実施の形態においては、内部用仮想マシン５が内部ネットワークから情報を取得すると、切替部８を制御して、内部用仮想マシン５と記憶部７とを接続する。すなわち、切替制御部２１は、内部用仮想マシン５から、情報を取得したことを示す取得通知を受信すると、切替部８の接点Ｐ０と接点Ｐ３とを接続状態にする。続いて、切替制御部２１は、情報が記憶部７に記憶されると、切替部８を制御して、内部用仮想マシン５と記憶部７との接続から、検査用仮想マシン６と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ２とを接続状態にする。

【0038】

続いて、切替制御部２１は、検査用仮想マシン６の検査により、記憶部７に記憶されている当該情報が安全であると判定された場合、切替部８を制御して、検査用仮想マシン６と記憶部７との接続から、外部用仮想マシン４と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ１とを接続状態にする。なお、切替制御部２１は、外部用仮想マシン４が情報を取得すると、切替部８を制御して、オープン状態にする。

【0039】

外部用仮想マシン４について具体的に説明する。外部用仮想マシン４は取得部２３を有する。取得部２３は、例えば、情報を取得するウェブインターフェイスを用いて、外部ネットワークから情報を取得する。続いて、取得部２３は、情報を取得したことを示す取得通知を、切替制御部２１へ送信する。その後、取得部２３は、切替部８の接点Ｐ０と接点Ｐ１とが接続されると、取得部２３から記憶部７へ情報を転送する。
内部用仮想マシン５について具体的に説明する。内部用仮想マシン５は取得部２５を有する。取得部２５は、例えば、情報を取得するウェブインターフェイスを用いて、内部ネットワークから情報を取得する。続いて、取得部２５は、情報を取得したことを示す取得通知を、切替制御部２１へ送信する。その後、取得部２５は、切替部８の接点Ｐ０と接点Ｐ３とが接続されると、取得部２５から記憶部７へ情報を転送する。

【0040】

変形例として、制御部３に操作制御部２２を設け、外部用仮想マシン４に停止依頼部２４を設け、内部用仮想マシン５に停止依頼部２６を設けた場合について説明する。

【0041】

操作制御部２２は、外部用仮想マシン４又は内部用仮想マシン５により記憶部７に情報が記憶された後、外部用仮想マシン４又は内部用仮想マシン５が停止したことを検出する。

【0042】

停止依頼部２４は、例えば、外部用仮想マシン４を停止させるウェッブインターフェイスを有する。保守担当者は、外部ネットワークに接続された端末などを用いて、停止依頼部２４が有するウェッブインターフェイスを操作して外部用仮想マシン４を停止させる。

【0043】

停止依頼部２６は、例えば、内部用仮想マシン５を停止させるウェッブインターフェイスを有する。保守担当者は、外部ネットワークに接続される端末から、停止依頼部２６が有するウェッブインターフェイスを、ＫＶＭ（Keyboard video mouse）などを用いて操作し、内部用仮想マシン５を停止させる。又は、保守担当者は、内部ネットワークに接続された端末などを用いて、停止依頼部２６が有するウェッブインターフェイスを操作して内部用仮想マシン５を停止させる。

【0044】

具体的に説明する。まず、外部用仮想マシン４又は内部用仮想マシン５により記憶部７に情報が記憶された後、保守担当者が、端末を用いて外部用仮想マシン４又は内部用仮想マシン５を停止させる。すると、操作制御部２２は、外部用仮想マシン４又は内部用仮想マシン５の停止を検出する。次に、操作制御部２２は、外部用仮想マシン４又は内部用仮想マシン５が停止させられたこと、すなわち記憶部７に情報が記憶されたことを、切替制御部２１へ送信する。切替制御部２１は、通知を受信すると、切替部８を制御して、検査用仮想マシン６と記憶部７との接続へと切り替える。このようにすることで、制御部３と外部用仮想マシン４又は内部用仮想マシン５と通信をせず、検査用仮想マシン６に記憶部７に記憶されている情報を検査させることができる。

【0045】

検査用仮想マシン６について具体的に説明する。検査用仮想マシン６は、検査部２７と証拠記録部２８とを有する。検査部２７は、記憶部７に記憶されている情報を検査する。検査は、例えば、ウイルス感染、電子署名、チェックサムなどの検査を実行し、記憶部７に記憶されている情報が不正情報であるか否かを判定する。検査部２７は、不正情報でないと判定した場合、不正でないことを示す検査結果を制御部３に送信する。また、検査部２７が不正情報であると判定した場合、不正であることを示す検査結果を制御部３に送信する。

【0046】

また、検査部２７には、管理者が検査結果を確認するためのウェッブインターフェイスを設けてもよい。更に、検査部２７には、管理者に検査結果を承認させるためのウェッブインターフェイスを設けてもよい。

【0047】

更に、検査用仮想マシン６に証拠記録部２８を設けてもよい。証拠記録部２８は、修正情報、状況情報などの転送した情報、又は検査結果を記憶する。検査結果は、例えば、ウイルス感染、電子署名、チェックサムなどの検査を、時系列に記憶する、ログファイルなどである。

【0048】

記憶部７について具体的に説明する。記憶部７は、例えば、仮想ボリューム、又はハードディスク、又はＲＡＩＤ（Redundant Array of Inexpensive Disks）、又はＳＳＤ（Solid State Drive）、又はＲＡＭ（Random Access Memory）などの半導体記憶装置を用いる。また、記憶部７は、本実施の形態におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築してもよい。更に、記憶部７から情報の転送が完了すると、制御部３は、記憶部７を制御して、記憶部７に記憶されている情報を削除する。

【0049】

切替部８について具体的に説明する。切替部８は、例えば、仮想スイッチなどである。
切替部８が有するスイッチは、接点Ｐ０、Ｐ１、Ｐ２、Ｐ３を有する。また、切替部８は、制御部３から受信した切替指示に基づいて、接点Ｐ０を支点に接続点Ｐ１、Ｐ２、Ｐ３と接続する。接点Ｐ０は記憶部７のポートに接続される。また、切替部８の接点Ｐ１は外部用仮想マシン４のポートに接続される。また、切替部８の接点Ｐ２は検査用仮想マシン６のポートに接続される。また、切替部８の接点Ｐ３は内部用仮想マシン５のポートに接続される。

【0050】

［装置動作］
次に、本発明の実施の形態における情報転送装置１の動作について図２、図４から図６を用いて説明する。また、本実施の形態では、情報転送装置１を動作させることにより、情報転送方法が実施される。よって、本実施の形態における情報転送方法の説明は、以下の情報転送装置１の動作説明に代える。

【0051】

最初に、図４を用いて、情報転送装置１が情報を外部ネットワークから内部ネットワークへ転送する動作について説明をする。図４は、情報転送装置における、情報を外部ネットワークから内部ネットワークへ転送する動作の一例を示す図である。

【0052】

情報転送装置１において、外部用仮想マシン４は、外部ネットワーク５４を介して、修正情報を取得する（ステップＡ１）。続いて、制御部３は、切替部８を制御して、外部用仮想マシン４と記憶部７とを接続する（ステップＡ２）。続いて、外部用仮想マシン４は、修正情報を記憶部７へ記憶する（ステップＡ３）。続いて、制御部３は、切替部８を制御して、検査用仮想マシン６と記憶部７とを接続する（ステップＡ４）。続いて、検査用仮想マシン６は、修正情報を検査する（ステップＡ５）。修正情報に異常がない場合（ステップＡ６：Ｙｅｓ）、制御部３は、切替部８を制御して、内部用仮想マシン５と記憶部７とを接続する（ステップＡ７）。内部用仮想マシン５は、記憶部７から修正情報を取得する（ステップＡ８）。また、修正情報に異常がない場合（ステップＡ６：Ｎｏ）、制御部３は、記憶部７から修正情報を削除する（ステップＡ９）。

【0053】

次に、図２、図５を用いて、ステップＡ１からＡ９について説明する。具体的には、端末５６から機器５１へ修正情報（パッチファイル：第一の情報）を転送する場合について説明する。図５は、情報転送装置を有するシステムの一例を示す図である。

【0054】

図５に示す施設５０は、例えば、データセンタ、又は原子力発電所などの施設である。また、施設５０には、情報転送装置１、機器５１、端末５２などが設けられている。情報転送装置１と機器５１とは、施設５０内に設けられた内部ネットワーク５３に接続される。機器５１は、例えば、保守対象の機器である。端末５２は、情報転送装置１を管理する端末である。更に、施設５０内には、外部ネットワーク５４が設けられている。外部ネットワーク５４は、無線、又は有線、又は電力線、又は光ファイバ、又はそれらを組み合わせて構築されたネットワーク５５（施設外に設けられた外部ネットワーク）と接続される。図５の例では、ネットワーク５５に接続される端末５６は、機器５１を保守するために用いる。

【0055】

ステップＡ１において、外部用仮想マシン４の取得部２３は、端末５６からネットワーク５５及び外部ネットワーク５４を介して、修正情報を取得する。また、取得部２３は、修正情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。

【0056】

ステップＡ２において、制御部３の切替制御部２１は、取得通知を受信すると、切替部８を制御して、切替部８の接点Ｐ１と接点Ｐ０とを接続し、外部用仮想マシン４と記憶部７とを接続状態にする。

【0057】

ステップＡ３において、外部用仮想マシン４の取得部２３は、外部用仮想マシン４と記憶部７とが接続状態になると、記憶部７へ修正情報を転送する。記憶部７は、修正情報を記憶する。なお、外部用仮想マシン４の取得部２３は、修正情報が記憶部７に記憶されると、外部用仮想マシン４から修正情報を削除する。

【0058】

ステップＡ４において、制御部３の切替制御部２１は、記憶部７に修正情報が記憶されると、切替部８を制御して、切替部８の接点Ｐ２と接点Ｐ０とを接続し、検査用仮想マシン６と記憶部７とを接続状態にする。

【0059】

ステップＡ５において、検査用仮想マシン６の検査部２７は、記憶部７の修正情報に対して、例えば、ウイルス感染、電子署名、チェックサムなどの検査をする。

【0060】

ステップＡ６において、検査用仮想マシン６の検査部２７は、修正情報に異常がないか否かを判定する。検査部２７は、異常がない場合、修正情報に異常がないことを示す検査結果を、制御部３の切替制御部２１に送信する。また、検査部２７は、異常がある場合、修正情報に異常があることを示す検査結果を、制御部３の切替制御部２１に送信する。なお、検査結果の確認及び承認を、管理者が端末５２を用いて行えるようにし、管理者が承認をした場合、検査部２７が、修正情報に異常がないことを示す検査結果を、切替制御部２１へ送信してもよい。

【0061】

ステップＡ７において、制御部３の切替制御部２１は、修正情報に異常がないことを示す検査結果を取得すると、切替部８を制御して、切替部８の接点Ｐ３と接点Ｐ０とを接続し、内部用仮想マシン５と記憶部７とを接続状態にする。

【0062】

ステップＡ８において、内部用仮想マシン５の取得部２５は、記憶部７から修正情報を取得し、取得した修正情報を機器５１へ送信する。また、取得部２５は、修正情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。なお、内部用仮想マシン５の取得部２５は、修正情報が機器５１へ送信された場合、内部用仮想マシン５から修正情報を削除する。更に、切替制御部２１は、切替部８を制御して、スイッチの接続状態をオープン状態にする。

【0063】

ステップＡ９において、制御部３の切替制御部２１は、修正情報に異常があることを示す検査結果を取得すると、記憶部７を制御して、記憶部７から修正情報を削除する。

【0064】

次に、図２、図６を用いて、ステップＢ１からＢ９について説明する。具体的には、機器５１から端末５６へ状況情報（ログファイル:第二の情報）を転送する場合について説明する。図６は、情報転送装置における、情報を内部ネットワークから外部ネットワークへ転送する動作の一例を示す図である。

【0065】

情報転送装置１において、内部用仮想マシン５は、内部ネットワーク５３を介して、状況情報を取得する（ステップＢ１）。続いて、制御部３は、切替部８を制御して、内部用仮想マシン５と記憶部７とを接続する（ステップＢ２）。続いて、内部用仮想マシン５は、状況情報を記憶部７へ記憶する（ステップＢ３）。続いて、制御部３は、切替部８を制御して、検査用仮想マシン６と記憶部７とを接続する（ステップＢ４）。続いて、検査用仮想マシン６は、状況情報を検査する（ステップＢ５）。状況情報に異常がない場合（ステップＢ６：Ｙｅｓ）、制御部３は、切替部８を制御して、外部用仮想マシン４と記憶部７とを接続する（ステップＢ７）。外部用仮想マシン４は、記憶部７から状況情報を取得する（ステップＢ８）。また、状況情報に異常がない場合（ステップＢ６：Ｎｏ）、制御部３は、記憶部７から状況情報を削除する（ステップＢ９）。

【0066】

ステップＢ１において、内部用仮想マシン５の取得部２５は、機器５１から内部ネットワーク５３を介して、状況情報を取得する。また、取得部２５は、状況情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。なお、取得部２５は、対象とする機器以外から、情報が転送されてきた場合、情報を取得しないようにしてもよい。

【0067】

ステップＢ２において、制御部３の切替制御部２１は、取得通知を受信すると、切替部８を制御して、切替部８の接点Ｐ３と接点Ｐ０とを接続し、内部用仮想マシン５と記憶部７とを接続状態にする。

【0068】

ステップＢ３において、内部用仮想マシン５の取得部２５は、内部用仮想マシン５と記憶部７とが接続状態になると、記憶部７へ状況情報を転送する。記憶部７は、状況情報を記憶する。なお、内部用仮想マシン５の取得部２５は、状況情報が記憶部７に記憶されると、内部用仮想マシン５から状況情報を削除する。

【0069】

ステップＢ４において、制御部３の切替制御部２１は、記憶部７に状況情報が記憶されると、切替部８を制御して、切替部８の接点Ｐ２と接点Ｐ０とを接続し、検査用仮想マシン６と記憶部７とを接続状態にする。

【0070】

ステップＢ５において、検査用仮想マシン６の検査部２７は、記憶部７の状況情報に対して、例えば、ウイルス感染、電子署名、チェックサムなどの検査をする。

【0071】

ステップＢ６において、検査用仮想マシン６の検査部２７は、状況情報に異常がないか否かを判定する。検査部２７は、異常がない場合、状況情報に異常がないことを示す検査結果を、制御部３の切替制御部２１に送信する。また、検査部２７は、異常がある場合、状況情報に異常があることを示す検査結果を、制御部３の切替制御部２１に送信する。なお、検査結果の確認及び承認を、管理者が端末５２を用いて行えるようにし、管理者が承認をした場合、検査部２７が、状況情報に異常がないことを示す検査結果を、切替制御部２１へ送信してもよい。

【0072】

ステップＢ７において、制御部３の切替制御部２１は、状況情報に異常がないことを示す検査結果を取得すると、切替部８を制御して、切替部８の接点Ｐ１と接点Ｐ０とを接続し、外部用仮想マシン４と記憶部７とを接続状態にする。

【0073】

ステップＢ８において、外部用仮想マシン４の取得部２３は、記憶部７から状況情報を取得し、取得した状況情報を端末５６へ送信する。また、取得部２３は、状況情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。なお、外部用仮想マシン４の取得部２３は、状況情報が端末５６へ送信された場合、外部用仮想マシン４から状況情報を削除する。更に、切替制御部２１は、切替部８を制御して、スイッチの接続状態をオープン状態にする。

【0074】

ステップＢ９において、制御部３の切替制御部２１は、状況情報に異常があることを示す検査結果を取得すると、記憶部７を制御して、記憶部７から状況情報を削除する。

【0075】

［本実施の形態の効果］
以上のように、本実施の形態では、仮想化によりハードウェア上で独立した外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８とを用いることで、外部ネットワークと内部ネットワークとが直接接続できない構成としている。

【0076】

言い換えれば、記憶部の情報を入出力するポートを一つにし、外部用仮想マシン４と内
部用仮想マシン５とが同時に接続できないようにすることで、外部ネットワークと内部ネットワークとが直接接続できないようにしている。

【0077】

更に、検査用仮想マシン６を用いて、外部ネットワーク又は内部ネットワークから取得した情報が、不正情報（例えば、悪意のあるプログラムなど）である場合、外部ネットワーク又は内部ネットワークへ不正情報を転送できないようにしている。

【0078】

このようにすることで、ネットワークへの不正接続を防止して安全に情報を転送することができる。

【0079】

［プログラム］
本発明の実施の形態におけるプログラムは、コンピュータに、図４に示すステップＡ１からＡ９、図６に示すステップＢ１からＢ９を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報転送装置１と情報転送方法とを実現することができる。この場合、コンピュータのプロセッサは、構築部２、制御部３として機能し、処理を行なう。

【0080】

また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、構築部２、制御部３のいずれかとして機能してもよい。

【産業上の利用可能性】

【0081】

以上のように本発明によれば、ネットワークへの不正接続を防止して安全に情報を転送することができる。本発明は、情報転送が必要な分野において有用である。

【符号の説明】

【0082】

１ 情報転送装置
２ 構築部
３ 制御部
４ 外部用仮想マシン
５ 内部用仮想マシン
６ 検査用仮想マシン
７ 記憶部
８ 切替部
２１ 切替制御部
２２ 操作制御部
２３、２５ 取得部
２４、２６ 停止依頼部
２７ 検査部
２８ 証拠記録部
５０ システム
５１ 機器
５２、５６ 端末
５３ 内部ネットワーク
５４ 外部ネットワーク
５５ ネットワーク
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】