(57)【要約】【課題】ネットワークへの不正接続を防止して安全に情報を転送する情報転送装置、情報転送方法及び情報転送プログラムを提供する。【解決手段】第一のネットワークから取得した第一の情報を記憶部７へ記憶する第一の仮想マシン４と、第二のネットワークから取得した第二の情報を記憶部７へ記憶する第二の仮想マシン５と、記憶部７に記憶された第一の情報又は第二の情報を検査する第三の仮想マシン６と、第一の仮想マシン４と記憶部７との接続、第二の仮想マシン５と記憶部７との接続、第三の仮想マシン６と記憶部７との接続を切り替える切替部８とを仮想化により構築する、構築部２と、切替部８の切り替えを制御する、制御部３と、を有する情報転送装置である。【選択図】図１
2019145050.tif 000002
【特許請求の範囲】
【請求項１】
第一のネットワークから取得した第一の情報を記憶部へ記憶する第一の仮想マシンと、第二のネットワークから取得した第二の情報を前記記憶部へ記憶する第二の仮想マシンと、前記記憶部に記憶された前記第一の情報又は前記第二の情報を検査する第三の仮想マシンと、前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える切替部とを仮想化により構築する、構築部と、
前記切替部の切り替えを制御する、制御部と、
を有することを特徴とする情報転送装置。
【請求項２】
請求項１に記載の情報転送装置であって、
前記制御部は、
前記第一の仮想マシンが前記第一のネットワークから取得した情報を前記記憶部に記憶した後、前記切替部を制御して、前記第一の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記切替部を制御して、前記第三の仮想マシンと前記記憶部との接続から、前記第二の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送装置。
【請求項３】
請求項１に記載の情報転送装置であって、
前記制御部は、
前記第二の仮想マシンが前記第二のネットワークから取得した情報を前記記憶部に記憶した後、前記切替部を制御して、前記第二の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記切替部を制御して、前記第三の仮想マシンと前記記憶部との接続から、前記第一の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送装置。
【請求項４】
仮想化を実現するコンピュータは、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶する、ステップと、
（ｂ）第二のネットワークから取得した第二の情報を、第二の仮想マシンを介して前記記憶部へ記憶する、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査する、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える、ステップと、
を実行することを特徴とする情報転送方法。
【請求項５】
請求項４に記載の情報転送方法であって、
前記コンピュータは、前記（ｄ）のステップにおいて、
前記第一の仮想マシンが前記第一のネットワークから取得した情報を前記記憶部に記憶させた後、前記第一の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第二の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送方法。
【請求項６】
請求項４に記載の情報転送方法であって、
前記コンピュータは、前記（ｄ）のステップにおいて、
前記第二の仮想マシンが前記第二のネットワークから取得した情報を前記記憶部に記憶させた後、前記第二の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替え、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第一の仮想マシンと前記記憶部との接続へ切り替える
ことを特徴とする情報転送方法。
【請求項７】
仮想化を実現させるコンピュータに、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶させる、ステップと、
（ｂ）第二のネットワークから取得した第二の情報を、第二の仮想マシンを介して前記記憶部へ記憶させる、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査させる、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替えさせる、ステップと、
を実行させる情報転送プログラム。
【請求項８】
請求項７に記載の情報転送プログラムであって、
前記コンピュータに、前記（ｄ）のステップにおいて、
前記第一の仮想マシンが前記第一のネットワークから取得した情報を前記記憶部に記憶させた後、前記第一の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替えさせ、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第二の仮想マシンと前記記憶部との接続へ切り替えさせる
ことを特徴とする情報転送プログラム。
【請求項９】
請求項７に記載の情報転送プログラムであって、
前記コンピュータに、前記（ｄ）のステップにおいて、
前記第二の仮想マシンが前記第二のネットワークから取得した情報を前記記憶部に記憶させた後、前記第二の仮想マシンと前記記憶部との接続から、前記第三の仮想マシンと前記記憶部との接続へ切り替えさせ、
前記第三の仮想マシンの検査により、前記記憶部に記憶されている当該情報が安全であると判定された場合、前記第三の仮想マシンと前記記憶部との接続から、前記第一の仮想マシンと前記記憶部との接続へ切り替えさせる
ことを特徴とする情報転送プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続して用いる情報転送装置、情報転送方法及び情報転送プログラムに関する。
【背景技術】
【０００２】
システムの安全を確保する方法として、（１）システムの外部に設けられた外部ネットワークと、システムの内部に設けられた内部ネットワークとを隔離して、外部ネットワークと内部ネットワークとの不正接続を防止する方法がある。
【０００３】
また、（２）外部ネットワークと内部ネットワークとを一時的又は恒久的に接続して、不正接続防止ソフトウェア（ファイアウォール）を用いて、外部ネットワークと内部ネットワークとの不正接続を防止する方法がある。
【０００４】
更に、（３）データダイオードを用いて、外部ネットワークと内部ネットワークとの不正接続を防止する方法がある。
【０００５】
また、関連する技術として、第一のネットワークに接続された第一のサーバと、第一のネットワークと異なる第二のネットワークに接続された第二のサーバと、第一のサーバと第二のサーバの双方からアクセスができる共有メモリとを有するデータ交換システムが開示されている。特許文献１を参照。
【０００６】
このデータ交換システムによれば、第一のサーバは、第一のネットワークに接続された端末から受信した情報が、適正条件を満たしていると判定した場合、受信した情報を共有メモリに書き込む。また、第二のサーバは、共有メモリに書き込まれた情報を読み込み、読み込んだ情報の内容に基づいて、読み込んだ情報を第二のネットワークに接続された端末へ送信する。このように、開示のデータ交換システムは、システムの安全を確保している。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−２４５０１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、（１）の方法によれば、例えば、内部ネットワークに接続された機器を保守する場合、外部ネットワークと内部ネットワークとが隔離されているため、外部ネットワークに接続された端末は、保守対象の機器へ、修正情報（例えば、パッチファイル）を送信することができない。そのため、現状では、保守担当者が、外部記憶媒体（例えば、ＣＤ−ＲＯＭ（Compact Disc Read only memory）、ＵＳＢ（Universal Serial Bus）メモリなど）に修正情報を記憶し、外部記憶媒体を経由して、保守対象の機器に修正情報を記憶しなければならない。
【０００９】
また、保守対象の機器は、外部ネットワークに接続された端末へ、保守対象の機器に関する状況情報（例えば、ログファイル）を送信することができない。そのため、保守担当者が、外部記憶媒体に状況情報を記憶して取り出さなければならない。このように、（１）の方法では、保守担当者が外部記憶媒体を運搬するため、運搬時間とそれにともなう費用が発生する。
【００１０】
また、（２）の方法によれば、（２）の方法を適用したシステムは、不正接続防止ソフトウェアの脆弱性、又は不正接続防止ソフトウェアの設定ミスにより、システムの安全が確保できない。
【００１１】
更に、（３）の方法によれば、（３）の方法を適用したシステムは、データダイオードを用いて安全を確保しているので、一方向の通信しかできない。そのため、上述した内部ネットワークに接続された機器を保守する場合、（３）の方法を適用したシステムは、状況情報（ログファイル）を、保守対象の機器から取り出すことができない。
【００１２】
また、特許文献１に開示のシステムによれば、第一のネットワークと第二のネットワークとは、第一のサーバと第二のサーバとを介して物理的に隔離されていない。そこで、特許文献１に開示のシステムに（２）の方法を適用したシステムが考えられる。しかし、その場合においても、そのシステムは、不正接続防止ソフトウェアの脆弱性、又は不正接続防止ソフトウェアの設定ミスにより安全を確保できない。
【００１３】
本発明の目的の一例は、ネットワークへの不正接続を防止して安全に情報を転送する情報転送装置、情報転送方法及び情報転送プログラムを提供することにある。
【課題を解決するための手段】
【００１４】
上記目的を達成するため、本発明の一側面における情報転送装置は、
第一のネットワークから取得した第一の情報を記憶部へ記憶する第一の仮想マシンと、第二のネットワークから取得した第二の情報を前記記憶部へ記憶する第二の仮想マシンと、前記記憶部に記憶された前記第一の情報又は前記第二の情報を検査する第三の仮想マシンと、前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える切替部とを仮想化により構築する、構築部と、
前記切替部の切り替えを制御する、制御部と、
を有することを特徴とする。
【００１５】
また、上記目的を達成するため、本発明の一側面における情報転送方法は、
仮想化を実現するコンピュータは、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶する、ステップと、
（ｂ）前記第二のネットワークから取得した第二の情報を、前記第二の仮想マシンを介して前記記憶部へ記憶する、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査する、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替える、ステップと、
を実行することを特徴とする。
【００１６】
更に、上記目的を達成するため、本発明の一側面における情報転送プログラムは、
仮想化を実現させるコンピュータに、
（ａ）第一のネットワークから取得した第一の情報を、第一の仮想マシンを介して記憶部へ記憶させる、ステップと、
（ｂ）前記第二のネットワークから取得した第二の情報を、前記第二の仮想マシンを介して前記記憶部へ記憶させる、ステップと、
（ｃ）前記記憶部に記憶された前記第一の情報又は前記第二の情報を、第三の仮想マシンを用いて検査させる、ステップと、
（ｄ）前記第一の仮想マシンと前記記憶部との接続、前記第二の仮想マシンと前記記憶部との接続、前記第三の仮想マシンと前記記憶部との接続を切り替えさせる、ステップと、
を実行させる。
【発明の効果】
【００１７】
以上のように本発明によれば、ネットワークへの不正接続を防止して安全に情報を転送することができる。
【図面の簡単な説明】
【００１８】
【図１】図１は、情報転送装置の一例を示す図である。
【図２】図２は、情報転送装置を具体的に示す図である。
【図３】図３は、コンピュータの一例を示す図である。
【図４】図４は、情報転送装置における、情報を外部ネットワークから内部ネットワークへ転送する動作の一例を示す図である。
【図５】図５は、情報転送装置を有するシステムの一例を示す図である。
【図６】図６は、情報転送装置における、情報を内部ネットワークから外部ネットワークへ転送する動作の一例を示す図である。
【発明を実施するための形態】
【００１９】
（実施の形態）
以下、本発明の実施の形態における情報転送装置、情報転送方法及び情報転送プログラムについて、図１から図６を参照しながら説明する。
【００２０】
［装置構成］
最初に、図１を用いて、本実施の形態における情報転送装置の構成について説明する。図１は、情報転送装置の一例を示す図である。
【００２１】
図１に示す本実施の形態における情報転送装置１は、ネットワークへの不正接続を防止して安全に情報を転送するための装置である。また、情報転送装置１は、仮想化により仮想マシンを構築する構築部２と、構築部２により実現された仮想マシン、切替部を制御する制御部３とを有する。
【００２２】
このうち、仮想マシンは、少なくとも外部用仮想マシン４（第一の仮想マシン）と、内部用仮想マシン５（第二の仮想マシン）と、検査用仮想マシン６（第三の仮想マシン）とを有する。外部用仮想マシン４は、外部ネットワーク（第一のネットワーク）から取得した情報（第一の情報）を記憶部７へ記憶する。また、内部用仮想マシン５は、内部ネットワーク（第二のネットワーク）から取得した情報（第二の情報）を記憶部７へ記憶する。検査用仮想マシン６は、記憶部７に記憶された情報（第一の情報又は第二の情報）を検査する。
【００２３】
更に、構築部２は切替部８を構築する。切替部８は、外部用仮想マシン４と記憶部７との接続、内部用仮想マシン５と記憶部７との接続、検査用仮想マシン６と記憶部７との接続を切り替える。また、制御部３は、外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８とを制御する。
【００２４】
このように、本実施の形態では、仮想化によりハードウェア上で独立した外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８とを用いることで、外部ネットワークと内部ネットワークとが直接接続できない構成としている。すなわち、記憶部の情報を入出力するポートを一つにし、外部用仮想マシン４と内部用仮想マシン５とが同時に接続できないようにすることで、外部ネットワークと内部ネット
ワークとが直接接続できないようにしている。更に、検査用仮想マシン６は、外部ネットワーク又は内部ネットワークから取得した情報が、不正情報（例えば、悪意のあるプログラムなど）である場合、外部ネットワーク又は内部ネットワークへ不正情報を転送できないようにしている。このようにすることで、ネットワークへの不正接続を防止して安全に情報を転送することができる。
【００２５】
図２、図３を用いて、本実施の形態における情報転送装置１について具体的に説明する。図２は、情報転送装置を具体的に示す図である。図３は、コンピュータの一例を示す図である。
【００２６】
情報転送装置１の構成について説明する。情報転送装置１は、例えば、コンピュータを用いて構成される。図３に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics
Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていてもよい。
【００２７】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態における仮想化を実現するプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。
【００２８】
メインメモリ１１２は、例えば、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置である。また、本実施の形態における仮想化を実現するプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態における仮想化を実現するプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通させてもよい。
【００２９】
記憶装置１１３は、例えば、ハードディスクドライブの他、フラッシュメモリなどの半導体記憶装置があげられる。
【００３０】
入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【００３１】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００３２】
記録媒体１２０は、例えば、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）などの汎用的な半導体記憶装置、フレキシブルディスク（Flexible Disk）などの磁気記録媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。
【００３３】
また、本実施の形態において、コンピュータは、例えば、ハイパーバイザ型、ホスト型、コンテナ型などの仮想化方式を用いて、仮想化を実現する。なお、上述した構築部２は、コンピュータのハードウェアと、仮想化を実現するソフトウェアとを用いて、仮想化を実現する。なお、複数のコンピュータを利用して、仮想化を実現してもよい。
【００３４】
制御部３について具体的に説明する。制御部３は、外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８との制御を、切替制御部２１を用い実行する。なお、制御部３は、コンピュータのハードウェア、又はハードウェア上のオペレーティングシステム、又は仮想マシンのいずれかに設ける。
【００３５】
切替制御部２１は、本実施の形態においては、外部用仮想マシン４が外部ネットワークから情報を取得すると、切替部８を制御して、外部用仮想マシン４と記憶部７とを接続する。すなわち、切替制御部２１は、外部用仮想マシン４から、情報を取得したことを示す取得通知を受信すると、切替部８の接点Ｐ０と接点Ｐ１とを接続状態にする。続いて、切替制御部２１は、情報が記憶部７に記憶されると、切替部８を制御して、外部用仮想マシン４と記憶部７との接続から、検査用仮想マシン６と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ２とを接続状態にする。
【００３６】
続いて、切替制御部２１は、検査用仮想マシン６の検査により、記憶部７に記憶されている当該情報が安全であると判定された場合、切替部８を制御して、検査用仮想マシン６と記憶部７との接続から、内部用仮想マシン５と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ３とを接続状態にする。なお、切替制御部２１は、内部用仮想マシン５が情報を取得すると、切替部８を制御して、オープン状態にする。
【００３７】
また、切替制御部２１は、本実施の形態においては、内部用仮想マシン５が内部ネットワークから情報を取得すると、切替部８を制御して、内部用仮想マシン５と記憶部７とを接続する。すなわち、切替制御部２１は、内部用仮想マシン５から、情報を取得したことを示す取得通知を受信すると、切替部８の接点Ｐ０と接点Ｐ３とを接続状態にする。続いて、切替制御部２１は、情報が記憶部７に記憶されると、切替部８を制御して、内部用仮想マシン５と記憶部７との接続から、検査用仮想マシン６と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ２とを接続状態にする。
【００３８】
続いて、切替制御部２１は、検査用仮想マシン６の検査により、記憶部７に記憶されている当該情報が安全であると判定された場合、切替部８を制御して、検査用仮想マシン６と記憶部７との接続から、外部用仮想マシン４と記憶部７との接続へ切り替える。すなわち、切替制御部２１は、切替部８の接点Ｐ０と接点Ｐ１とを接続状態にする。なお、切替制御部２１は、外部用仮想マシン４が情報を取得すると、切替部８を制御して、オープン状態にする。
【００３９】
外部用仮想マシン４について具体的に説明する。外部用仮想マシン４は取得部２３を有する。取得部２３は、例えば、情報を取得するウェブインターフェイスを用いて、外部ネットワークから情報を取得する。続いて、取得部２３は、情報を取得したことを示す取得通知を、切替制御部２１へ送信する。その後、取得部２３は、切替部８の接点Ｐ０と接点Ｐ１とが接続されると、取得部２３から記憶部７へ情報を転送する。
内部用仮想マシン５について具体的に説明する。内部用仮想マシン５は取得部２５を有する。取得部２５は、例えば、情報を取得するウェブインターフェイスを用いて、内部ネットワークから情報を取得する。続いて、取得部２５は、情報を取得したことを示す取得通知を、切替制御部２１へ送信する。その後、取得部２５は、切替部８の接点Ｐ０と接点Ｐ３とが接続されると、取得部２５から記憶部７へ情報を転送する。
【００４０】
変形例として、制御部３に操作制御部２２を設け、外部用仮想マシン４に停止依頼部２４を設け、内部用仮想マシン５に停止依頼部２６を設けた場合について説明する。
【００４１】
操作制御部２２は、外部用仮想マシン４又は内部用仮想マシン５により記憶部７に情報が記憶された後、外部用仮想マシン４又は内部用仮想マシン５が停止したことを検出する。
【００４２】
停止依頼部２４は、例えば、外部用仮想マシン４を停止させるウェッブインターフェイスを有する。保守担当者は、外部ネットワークに接続された端末などを用いて、停止依頼部２４が有するウェッブインターフェイスを操作して外部用仮想マシン４を停止させる。
【００４３】
停止依頼部２６は、例えば、内部用仮想マシン５を停止させるウェッブインターフェイスを有する。保守担当者は、外部ネットワークに接続される端末から、停止依頼部２６が有するウェッブインターフェイスを、ＫＶＭ（Keyboard video mouse）などを用いて操作し、内部用仮想マシン５を停止させる。又は、保守担当者は、内部ネットワークに接続された端末などを用いて、停止依頼部２６が有するウェッブインターフェイスを操作して内部用仮想マシン５を停止させる。
【００４４】
具体的に説明する。まず、外部用仮想マシン４又は内部用仮想マシン５により記憶部７に情報が記憶された後、保守担当者が、端末を用いて外部用仮想マシン４又は内部用仮想マシン５を停止させる。すると、操作制御部２２は、外部用仮想マシン４又は内部用仮想マシン５の停止を検出する。次に、操作制御部２２は、外部用仮想マシン４又は内部用仮想マシン５が停止させられたこと、すなわち記憶部７に情報が記憶されたことを、切替制御部２１へ送信する。切替制御部２１は、通知を受信すると、切替部８を制御して、検査用仮想マシン６と記憶部７との接続へと切り替える。このようにすることで、制御部３と外部用仮想マシン４又は内部用仮想マシン５と通信をせず、検査用仮想マシン６に記憶部７に記憶されている情報を検査させることができる。
【００４５】
検査用仮想マシン６について具体的に説明する。検査用仮想マシン６は、検査部２７と証拠記録部２８とを有する。検査部２７は、記憶部７に記憶されている情報を検査する。検査は、例えば、ウイルス感染、電子署名、チェックサムなどの検査を実行し、記憶部７に記憶されている情報が不正情報であるか否かを判定する。検査部２７は、不正情報でないと判定した場合、不正でないことを示す検査結果を制御部３に送信する。また、検査部２７が不正情報であると判定した場合、不正であることを示す検査結果を制御部３に送信する。
【００４６】
また、検査部２７には、管理者が検査結果を確認するためのウェッブインターフェイスを設けてもよい。更に、検査部２７には、管理者に検査結果を承認させるためのウェッブインターフェイスを設けてもよい。
【００４７】
更に、検査用仮想マシン６に証拠記録部２８を設けてもよい。証拠記録部２８は、修正情報、状況情報などの転送した情報、又は検査結果を記憶する。検査結果は、例えば、ウイルス感染、電子署名、チェックサムなどの検査を、時系列に記憶する、ログファイルなどである。
【００４８】
記憶部７について具体的に説明する。記憶部７は、例えば、仮想ボリューム、又はハードディスク、又はＲＡＩＤ（Redundant Array of Inexpensive Disks）、又はＳＳＤ（Solid State Drive）、又はＲＡＭ（Random Access Memory）などの半導体記憶装置を用いる。また、記憶部７は、本実施の形態におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築してもよい。更に、記憶部７から情報の転送が完了すると、制御部３は、記憶部７を制御して、記憶部７に記憶されている情報を削除する。
【００４９】
切替部８について具体的に説明する。切替部８は、例えば、仮想スイッチなどである。
切替部８が有するスイッチは、接点Ｐ０、Ｐ１、Ｐ２、Ｐ３を有する。また、切替部８は、制御部３から受信した切替指示に基づいて、接点Ｐ０を支点に接続点Ｐ１、Ｐ２、Ｐ３と接続する。接点Ｐ０は記憶部７のポートに接続される。また、切替部８の接点Ｐ１は外部用仮想マシン４のポートに接続される。また、切替部８の接点Ｐ２は検査用仮想マシン６のポートに接続される。また、切替部８の接点Ｐ３は内部用仮想マシン５のポートに接続される。
【００５０】
［装置動作］
次に、本発明の実施の形態における情報転送装置１の動作について図２、図４から図６を用いて説明する。また、本実施の形態では、情報転送装置１を動作させることにより、情報転送方法が実施される。よって、本実施の形態における情報転送方法の説明は、以下の情報転送装置１の動作説明に代える。
【００５１】
最初に、図４を用いて、情報転送装置１が情報を外部ネットワークから内部ネットワークへ転送する動作について説明をする。図４は、情報転送装置における、情報を外部ネットワークから内部ネットワークへ転送する動作の一例を示す図である。
【００５２】
情報転送装置１において、外部用仮想マシン４は、外部ネットワーク５４を介して、修正情報を取得する（ステップＡ１）。続いて、制御部３は、切替部８を制御して、外部用仮想マシン４と記憶部７とを接続する（ステップＡ２）。続いて、外部用仮想マシン４は、修正情報を記憶部７へ記憶する（ステップＡ３）。続いて、制御部３は、切替部８を制御して、検査用仮想マシン６と記憶部７とを接続する（ステップＡ４）。続いて、検査用仮想マシン６は、修正情報を検査する（ステップＡ５）。修正情報に異常がない場合（ステップＡ６：Ｙｅｓ）、制御部３は、切替部８を制御して、内部用仮想マシン５と記憶部７とを接続する（ステップＡ７）。内部用仮想マシン５は、記憶部７から修正情報を取得する（ステップＡ８）。また、修正情報に異常がない場合（ステップＡ６：Ｎｏ）、制御部３は、記憶部７から修正情報を削除する（ステップＡ９）。
【００５３】
次に、図２、図５を用いて、ステップＡ１からＡ９について説明する。具体的には、端末５６から機器５１へ修正情報（パッチファイル：第一の情報）を転送する場合について説明する。図５は、情報転送装置を有するシステムの一例を示す図である。
【００５４】
図５に示す施設５０は、例えば、データセンタ、又は原子力発電所などの施設である。また、施設５０には、情報転送装置１、機器５１、端末５２などが設けられている。情報転送装置１と機器５１とは、施設５０内に設けられた内部ネットワーク５３に接続される。機器５１は、例えば、保守対象の機器である。端末５２は、情報転送装置１を管理する端末である。更に、施設５０内には、外部ネットワーク５４が設けられている。外部ネットワーク５４は、無線、又は有線、又は電力線、又は光ファイバ、又はそれらを組み合わせて構築されたネットワーク５５（施設外に設けられた外部ネットワーク）と接続される。図５の例では、ネットワーク５５に接続される端末５６は、機器５１を保守するために用いる。
【００５５】
ステップＡ１において、外部用仮想マシン４の取得部２３は、端末５６からネットワーク５５及び外部ネットワーク５４を介して、修正情報を取得する。また、取得部２３は、修正情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。
【００５６】
ステップＡ２において、制御部３の切替制御部２１は、取得通知を受信すると、切替部８を制御して、切替部８の接点Ｐ１と接点Ｐ０とを接続し、外部用仮想マシン４と記憶部７とを接続状態にする。
【００５７】
ステップＡ３において、外部用仮想マシン４の取得部２３は、外部用仮想マシン４と記憶部７とが接続状態になると、記憶部７へ修正情報を転送する。記憶部７は、修正情報を記憶する。なお、外部用仮想マシン４の取得部２３は、修正情報が記憶部７に記憶されると、外部用仮想マシン４から修正情報を削除する。
【００５８】
ステップＡ４において、制御部３の切替制御部２１は、記憶部７に修正情報が記憶されると、切替部８を制御して、切替部８の接点Ｐ２と接点Ｐ０とを接続し、検査用仮想マシン６と記憶部７とを接続状態にする。
【００５９】
ステップＡ５において、検査用仮想マシン６の検査部２７は、記憶部７の修正情報に対して、例えば、ウイルス感染、電子署名、チェックサムなどの検査をする。
【００６０】
ステップＡ６において、検査用仮想マシン６の検査部２７は、修正情報に異常がないか否かを判定する。検査部２７は、異常がない場合、修正情報に異常がないことを示す検査結果を、制御部３の切替制御部２１に送信する。また、検査部２７は、異常がある場合、修正情報に異常があることを示す検査結果を、制御部３の切替制御部２１に送信する。なお、検査結果の確認及び承認を、管理者が端末５２を用いて行えるようにし、管理者が承認をした場合、検査部２７が、修正情報に異常がないことを示す検査結果を、切替制御部２１へ送信してもよい。
【００６１】
ステップＡ７において、制御部３の切替制御部２１は、修正情報に異常がないことを示す検査結果を取得すると、切替部８を制御して、切替部８の接点Ｐ３と接点Ｐ０とを接続し、内部用仮想マシン５と記憶部７とを接続状態にする。
【００６２】
ステップＡ８において、内部用仮想マシン５の取得部２５は、記憶部７から修正情報を取得し、取得した修正情報を機器５１へ送信する。また、取得部２５は、修正情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。なお、内部用仮想マシン５の取得部２５は、修正情報が機器５１へ送信された場合、内部用仮想マシン５から修正情報を削除する。更に、切替制御部２１は、切替部８を制御して、スイッチの接続状態をオープン状態にする。
【００６３】
ステップＡ９において、制御部３の切替制御部２１は、修正情報に異常があることを示す検査結果を取得すると、記憶部７を制御して、記憶部７から修正情報を削除する。
【００６４】
次に、図２、図６を用いて、ステップＢ１からＢ９について説明する。具体的には、機器５１から端末５６へ状況情報（ログファイル:第二の情報）を転送する場合について説明する。図６は、情報転送装置における、情報を内部ネットワークから外部ネットワークへ転送する動作の一例を示す図である。
【００６５】
情報転送装置１において、内部用仮想マシン５は、内部ネットワーク５３を介して、状況情報を取得する（ステップＢ１）。続いて、制御部３は、切替部８を制御して、内部用仮想マシン５と記憶部７とを接続する（ステップＢ２）。続いて、内部用仮想マシン５は、状況情報を記憶部７へ記憶する（ステップＢ３）。続いて、制御部３は、切替部８を制御して、検査用仮想マシン６と記憶部７とを接続する（ステップＢ４）。続いて、検査用仮想マシン６は、状況情報を検査する（ステップＢ５）。状況情報に異常がない場合（ステップＢ６：Ｙｅｓ）、制御部３は、切替部８を制御して、外部用仮想マシン４と記憶部７とを接続する（ステップＢ７）。外部用仮想マシン４は、記憶部７から状況情報を取得する（ステップＢ８）。また、状況情報に異常がない場合（ステップＢ６：Ｎｏ）、制御部３は、記憶部７から状況情報を削除する（ステップＢ９）。
【００６６】
ステップＢ１において、内部用仮想マシン５の取得部２５は、機器５１から内部ネットワーク５３を介して、状況情報を取得する。また、取得部２５は、状況情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。なお、取得部２５は、対象とする機器以外から、情報が転送されてきた場合、情報を取得しないようにしてもよい。
【００６７】
ステップＢ２において、制御部３の切替制御部２１は、取得通知を受信すると、切替部８を制御して、切替部８の接点Ｐ３と接点Ｐ０とを接続し、内部用仮想マシン５と記憶部７とを接続状態にする。
【００６８】
ステップＢ３において、内部用仮想マシン５の取得部２５は、内部用仮想マシン５と記憶部７とが接続状態になると、記憶部７へ状況情報を転送する。記憶部７は、状況情報を記憶する。なお、内部用仮想マシン５の取得部２５は、状況情報が記憶部７に記憶されると、内部用仮想マシン５から状況情報を削除する。
【００６９】
ステップＢ４において、制御部３の切替制御部２１は、記憶部７に状況情報が記憶されると、切替部８を制御して、切替部８の接点Ｐ２と接点Ｐ０とを接続し、検査用仮想マシン６と記憶部７とを接続状態にする。
【００７０】
ステップＢ５において、検査用仮想マシン６の検査部２７は、記憶部７の状況情報に対して、例えば、ウイルス感染、電子署名、チェックサムなどの検査をする。
【００７１】
ステップＢ６において、検査用仮想マシン６の検査部２７は、状況情報に異常がないか否かを判定する。検査部２７は、異常がない場合、状況情報に異常がないことを示す検査結果を、制御部３の切替制御部２１に送信する。また、検査部２７は、異常がある場合、状況情報に異常があることを示す検査結果を、制御部３の切替制御部２１に送信する。なお、検査結果の確認及び承認を、管理者が端末５２を用いて行えるようにし、管理者が承認をした場合、検査部２７が、状況情報に異常がないことを示す検査結果を、切替制御部２１へ送信してもよい。
【００７２】
ステップＢ７において、制御部３の切替制御部２１は、状況情報に異常がないことを示す検査結果を取得すると、切替部８を制御して、切替部８の接点Ｐ１と接点Ｐ０とを接続し、外部用仮想マシン４と記憶部７とを接続状態にする。
【００７３】
ステップＢ８において、外部用仮想マシン４の取得部２３は、記憶部７から状況情報を取得し、取得した状況情報を端末５６へ送信する。また、取得部２３は、状況情報を取得すると、取得通知を制御部３の切替制御部２１へ送信する。なお、外部用仮想マシン４の取得部２３は、状況情報が端末５６へ送信された場合、外部用仮想マシン４から状況情報を削除する。更に、切替制御部２１は、切替部８を制御して、スイッチの接続状態をオープン状態にする。
【００７４】
ステップＢ９において、制御部３の切替制御部２１は、状況情報に異常があることを示す検査結果を取得すると、記憶部７を制御して、記憶部７から状況情報を削除する。
【００７５】
［本実施の形態の効果］
以上のように、本実施の形態では、仮想化によりハードウェア上で独立した外部用仮想マシン４と、内部用仮想マシン５と、検査用仮想マシン６と、記憶部７と、切替部８とを用いることで、外部ネットワークと内部ネットワークとが直接接続できない構成としている。
【００７６】
言い換えれば、記憶部の情報を入出力するポートを一つにし、外部用仮想マシン４と内
部用仮想マシン５とが同時に接続できないようにすることで、外部ネットワークと内部ネットワークとが直接接続できないようにしている。
【００７７】
更に、検査用仮想マシン６を用いて、外部ネットワーク又は内部ネットワークから取得した情報が、不正情報（例えば、悪意のあるプログラムなど）である場合、外部ネットワーク又は内部ネットワークへ不正情報を転送できないようにしている。
【００７８】
このようにすることで、ネットワークへの不正接続を防止して安全に情報を転送することができる。
【００７９】
［プログラム］
本発明の実施の形態におけるプログラムは、コンピュータに、図４に示すステップＡ１からＡ９、図６に示すステップＢ１からＢ９を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報転送装置１と情報転送方法とを実現することができる。この場合、コンピュータのプロセッサは、構築部２、制御部３として機能し、処理を行なう。
【００８０】
また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、構築部２、制御部３のいずれかとして機能してもよい。
【産業上の利用可能性】
【００８１】
以上のように本発明によれば、ネットワークへの不正接続を防止して安全に情報を転送することができる。本発明は、情報転送が必要な分野において有用である。
【符号の説明】
【００８２】
１  情報転送装置
２  構築部
３  制御部
４  外部用仮想マシン
５  内部用仮想マシン
６  検査用仮想マシン
７  記憶部
８  切替部
２１  切替制御部
２２  操作制御部
２３、２５  取得部
２４、２６  停止依頼部
２７  検査部
２８  証拠記録部
５０  システム
５１  機器
５２、５６  端末
５３  内部ネットワーク
５４  外部ネットワーク
５５  ネットワーク
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
2019145050.tif 000003
【図２】
2019145050.tif 000004
【図３】
2019145050.tif 000005
【図４】
2019145050.tif 000006
【図５】
2019145050.tif 000007
【図６】
2019145050.tif 000008