(57)【特許請求の範囲】
【請求項１】
内部ネットワークと外部ネットワークとを物理的に切り離すために、前記内部ネットワーク対応の第１の通信路と前記外部ネットワーク対応の第２の通信路との間にそれぞれ介装されたスイッチサーバ及びスイッチ部を備える通信路のスイッチ接続制御システムであって；
前記スイッチ部は、
前記第１の通信路に接続され前記第１の通信路からのデータを蓄積する第１のスイッチバッファと、
前記第２の通信路に接続され前記第２の通信路からのデータを蓄積する第２のスイッチバッファと、
前記第１のスイッチバッファと前記スイッチサーバとの接続及び前記第２のスイッチバッファと前記スイッチサーバとの接続のいずれかを排他的に実行するスイッチングユニットと、
該スイッチングユニットの排他的接続動作を制御するスイッチ管制部とから構成され；
前記スイッチサーバは、
前記スイッチングユニットを経由したデータの診断部と、
前記診断部の診断結果に基づいて前記スイッチ管制部に対して前記スイッチングユニットの排他的接続動作を制御するためのスイッチング制御信号を出力するオペレーティング部とから構成され；
前記第１のスイッチバッファと前記第２のスイッチバッファとは前記スイッチ管制部を介するダイレクトパスで接続されており、前記第１の通信路からのデータ送信が前記第２の通信路側から要求された応答結果であることが、前記スイッチサーバにおける整合性判断を含む前記診断結果に基づいて検出されたときには、前記スイッチ管制部は、前記第１のスイッチバッファに蓄積されたデータを前記第２の通信路及び前記外部ネットワークに出力させるために、前記ダイレクトパスを介して前記第２のスイッチバッファに転送する
通信路のスイッチ接続制御システム。
【請求項２】
内部ネットワークと外部ネットワークとを物理的に切り離すために、前記内部ネットワーク対応の第１の通信路と前記外部ネットワーク対応の第２の通信路との間にそれぞれ介装されたスイッチサーバ及びスイッチ部を備える通信路のスイッチ接続制御システムであって；
前記スイッチ部は、
前記第１の通信路に接続され前記第１の通信路からのデータを蓄積する第１のスイッチバッファと、
前記第２の通信路に接続され前記第２の通信路からのデータを蓄積する第２のスイッチバッファと、
前記第１のスイッチバッファと前記スイッチサーバとの接続及び前記第２のスイッチバッファと前記スイッチサーバとの接続のいずれかを排他的に実行するスイッチングユニットと、
該スイッチングユニットの排他的接続動作を制御するスイッチ管制部とから構成され；
前記スイッチサーバは、
前記スイッチングユニットを経由したデータの診断部と、
前記診断部の診断結果に基づいて前記スイッチ管制部に対して前記スイッチングユニットの排他的接続動作を制御するためのスイッチング制御信号を出力するオペレーティング部とから構成され；
前記第１のスイッチバッファと前記第２のスイッチバッファとは前記スイッチ管制部を介するダイレクトパスで接続されており、前記第２の通信路からのデータ送信が前記第１通信路側から要求された応答結果であることが、前記スイッチサーバにおける整合性判断を含む前記診断結果に基づいて検出されたときには、前記スイッチ管制部は、前記第２スイッチバッファに蓄積されたデータを前記第１通信路及び前記内部ネットワークに出力させるために、前記ダイレクトパスを介して前記第１スイッチバッファに転送する
通信路のスイッチ接続制御システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークにおけるセキュリティに適用して有効な技術に関する。
【０００２】
【従来の技術】
インターネットの普及は、ビジネス形態を根本から変えるといわれている。
データセンターやプロバイダ事業はおろかエンドユーザまでが、インターネットに常時接続されている昨今、不正なアクセスによる犯罪が盛んになりつつある。いまやセキュリティの導入は政府機構から一個人までその必要性に迫られている。
【０００３】
外部ネットワーク（インターネット等）から内部ネットワーク（イントラネット）へのアクセスを防止するためにファイアウォール技術が知られている。
このような従来技術のセキュリティは、すべての端末およびシステムが物理上あるいは論理上一本のラインで繋がっており、ファイアウォールにより論理的に適正を判断していた。
【０００４】
【発明が解決しようとする課題】
従来のネットワークセキュリティ技術では、すべての端末およびシステムが物理上あるいは論理上一本のラインで繋がっているため、不正な侵入が可能であるという問題点を抱えている。
【０００５】
このためには、外部ネットワークと内部ネットワークとを切り離すことが最も安全である。すなわち、どのような事態（破壊攻撃等）においても一本のラインで繋がることがないため、不正な侵入を防御できる。
【０００６】
ところが、外部ネットワークから内部ネットワークに対してのアクセス、あるいは内部ネットワークから外部ネットワークへのアクセスが完全に遮断されてしまうと、ネットワーク相互の柔軟な運用が不可能となってしまう。
【０００７】
つまり、外部ネットワークと内部ネットワークとを物理的に切り離すことはリアルタイム性や双方向性が損なわれる恐れがある。
【０００８】
本発明は、外部ネットワークからのアクセスに対し、物理的手段によって内部ネットワーク内への直接的な侵入を防ぎつつ、内部ネットワークと外部ネットワークとの柔軟な連携を可能とすることを技術的課題とする。
【０００９】
【課題を解決するための手段】
本発明は、通信路に介在され、一方側の通信路との接続と、他方の通信路との接続とを排他的に選択する通信路のスイッチ接続制御装置である。
すなわち、目的別に分散した端末およびシステムに、シーソー式のスイッチング技術を用い不正侵入を防ぐセキュリティシステムを提供する。
【００１０】
シーソー式のスイッチング技術により、物理的に外部ネットワークと内部ネットワークとを目的に応じたアクセス要求の制御信号によって切り離すため、不正行為から確実にデータを守ることが可能となる。
【００１１】
【発明の実施の形態】
【実施例１】
以下、図面に基づいて、本発明の実施の形態を説明する。
図１は、本発明の概念を示す機能ブロック図である。
図1に示すように、目的別の端末およびシステムを以下の３つに分類・分散する。
【００１２】
同図中、１は、重要なデータやシステムを保有する内部ネットワークであり、コンピュータシステムを通信回線で接続した汎用のネットワークで構成されている。ここで、内部ネットワークとは、上記に示す有線あるいは無線を含めた外線と繋がっていない端末あるいはネットワークを有するシステムを内部ネットワークという。
【００１３】
図中２は外部ネットワークである。ここで外部ネットワークとは、インターネット網あるいは公衆網あるいは専用線等の有線あるいは無線を含めた外線と繋がっているネットワークあるいはネットワークを有するシステムあるいは端末あるいはモジュラージャック等のネットワーク構成部品を外部ネットワークという。
【００１４】
３は、本発明の最も重要な要素となる、内部ネットワークと外部ネットワークとを制御するための制御端末（シーソー式スイッチングセキュリティシステム）である。
【００１５】
制御端末３は、さらに、スイッチサーバ３１、スイッチ管制部３２、バッファ３３、バッファ３４およびシーソースイッチングボックス（ＳＳＷＢ）３５とで構成されている。これらの各機能部については後で詳述する。
【００１６】
このシステムにおいて、制御端末３は、図２に示すように、外部ネットワークからの要求を受信し、内部ネットワークへ送信する機能を有している。また、内部ネットワークのデータを受信し、外部ネットワークへ送信する機能を有している。同図において、シーソースイッチングボックス（ＳＳＷＢ）３５は、外部ネットワーク２からの要求信号を内部ネットワーク１に伝えるために、バッファ３４をバッファ３３と接続した状態となっている。
【００１７】
また、制御端末３は、図３に示すように、内部ネットワークからの要求を受信し、外部ネットワークへ送信する機能を有している。また、外部ネットワークのデータを受信し、内部ネットワークへ送信する機能を有している。同図において、シーソースイッチングボックス（ＳＳＷＢ）５は、内部ネットワーク１からの要求信号を外部ネットワーク２に伝えるために、内部ネットワーク１とスイッチサーバ３１とを接続した状態となっている。
【００１８】
制御端末３はまた、図４に示すように、内部ネットワーク１または外部ネットワーク２の双方において、要求信号、データ信号を双方向に送受信することも可能である。
【００１９】
このような双方向のモードで使用する場合には、スイッチサーバ３１とシーソースイッチングボックス（ＳＳＷＢ）３５との間にバッファ３７を介装し、さらに内部ネットワーク１とシーソースイッチングボックス（ＳＳＷＢ）３５との間にもバッファ３６を介装して、制御端末３内が内部ネットワーク１、外部ネットワーク２に対して左右対称構成となるようにしてもよい。この場合、バッファ３６は、内部ネットワークからの要求を外部側スイッチ（ＳＷ２）が閉じるまで、保持する。また、内部ネットワークからの要求に不正なデータがないかを判断し、不正データが検出されるとその要求を破棄するフィルタリングの機能を有する。
【００２０】
バッファ３７は、外部ネットワーク２からのデータをスイッチサーバ３１が受け、適正処理されたデータを内部側スイッチ（ＳＷ２）が閉じるまで、保持する機能を有している。
【００２１】
その他の制御端末３の動作については、前述の図２乃至３で説明したものと同様であるので説明は省略する。
【００２２】
なお、制御端末３内を左右対称構造としたものは図４だけで示したが、このような構造は制御端末３をいずれのモードで使用した場合にも適用可能である。
【００２３】
次に、図５を用いて、本実施例のオブジェクト分散型ユニット（目的別によって分散されたユニット）における各ユニットの構成、機能およびその動作を説明する。
【００２４】
スイッチサーバ３１は、コンピュータシステムにより構成されており、バスを中心に中央処理装置（ＣＰＵ）、メモリ、外部記憶装置、インターフェース（Ｉ／Ｏ）等で構成されている。外部記憶装置にはプログラムがインストールされており、中央処理装置（ＣＰＵ）は当該プログラムをメモリにロードして順次実行することによって、スイッチ管制部３２に対してシーソースイッチングボックス（ＳＳＷＢ）３５の制御指示信号を出力するようになっている。
【００２５】
つまり、スイッチサーバ３１は、外部ネットワークからの要求により、内部ネットワークへ必要なデータを要求したり、内部ネットワークから受け取ったデータと外部ネットワークからの要求の整合性を図る等、目的に応じた処理を行う。また、要求やデータ等の信号をもとに外部ネットワーク側と内部ネットワーク側のそれぞれのゲート（ＳＷ１およびＳＷ２）を排他的に切り替えるための制御信号をスイッチ管制部３２に送る。
【００２６】
スイッチ管制部３２は、中央処理装置（ＣＰＵ）およびメモリを中心に複数のインターフェース（Ｉ／Ｏ）で構成されている。すなわち、スイッチサーバ３１からの制御指示信号に基づいてシーソースイッチングボックス（ＳＳＷＢ）３５を制御するようになっている。
【００２７】
ここで、スイッチ管制部３２は、ネットワーク上のデータ信号経路にまったく接触しておらず、スイッチサーバ３１、バッファ３４、バッファ３３、シーソースイッチングボックス（ＳＳＷＢ）をそれぞれ監視することで、ユニットの状態を管理する役割を有している。
【００２８】
そして、バッファ３４、バッファ３３に対しては、スイッチサーバ３１等からの情報をもとに各々のモード変更の制御信号を送る。（図１３乃至１４を参照）
【００２９】
また、スイッチサーバ３１に対しては、上記のバッファ３４，３３のモード状態信号を送る。また、スイッチサーバ３１からシーソースイッチングボックス（ＳＳＷＢ）３５へのスイッチ切り替え制御信号を受け、バッファ３４，３３のモード状態との適正を判断し、シーソースイッチングボックス（ＳＳＷＢ）に対してスイッチ切り替え制御信号を送る機能を有している。
【００３０】
バッファ３３および３４はほぼ同様の構成を有しているが、バッファ３４は外部ネットワークに直接接続されている点、バッファ３３はシーソースイッチングボックス（ＳＳＷＢ）３５とスイッチサーバ３１との間に介装されている点が異なる。
【００３１】
バッファ３４は、外部ネットワークからの要求を外部側スイッチ（ＳＷ２）が閉じるまで、保持する。また、外部ネットワークからの要求に不正なデータがないかを判断し、不正データが検出されるとその要求を破棄するフィルタリングの機能を有する。
【００３２】
バッファ３３は、内部ネットワークからのデータをスイッチサーバ３１が受け、適正処理されたデータを外部側スイッチ（ＳＷ２）が閉じるまで、保持する機能を有している。
【００３３】
シーソースイッチングボックス（ＳＳＷＢ）３５は、フリップフロップ素子（ＦＦ）と、スイッチ（ＳＷ１，ＳＷ２）とで構成されており、フリップフロップ素子（ＦＦ）に入力されるスイッチ管制部３２からの指示信号Ｔの値によって、スイッチ１または２のいずれかのスイッチを短絡状態に制御するようになっている。
【００３４】
つまり、シーソースイッチングボックス（ＳＳＷＢ）３５は、スイッチ管制部３２からの制御信号を受け、フリップフロップ（ＦＦ）の動作により、外部ネットワーク２側と内部ネットワーク１側のスイッチ（ＳＷ１およびＳＷ２）を排他的に切り替える機能を有している。この点については、図６に真理値表を示してシーソースイッチングボックス（ＳＳＷＢ）の動作アルゴリズムを説明している。
【００３５】
このように、本実施例では、上記に示す各ユニットが、各々明確な役割を持ち、独立・分散していることで、クラッキング行為や不正侵入から大切なデータを守ることができる。特に、スイッチ管制部３２がネットワーク上のデータ信号経路にまったく接触していないため、スイッチサーバ３１やバッファ３３，３４がクラックされたとしても、それを察知し、シーソースイッチングボックス（ＳＳＷＢ）を制御することができる。
【００３６】
この制御方法を利用して、スイッチサーバ３１やバッファ３３，３４をデュープレックス構造にすれば、クラッキングされたユニットを予備のユニットに自動的に切り替える強化型セキュリティシステムを構築できる。
【００３７】
なお、実際の運用に際してスイッチサーバ３１が運用モード切替指示（図１５のタイミングチャート）を出力するタイミングとしては、以下のようなパターンが考えられる。
【００３８】
（１）スイッチサーバへの要求が少ない時間帯に切り替える。
スイッチサーバ３１へのアクセス状況を基に要求の少ない時間帯を調べ、その時間帯にスイッチサーバへ外部の要求を受け付けられないと、ユーザには知らせ、その間に内部ネットワークとの通信を行う。
【００３９】
（２）定期的に切り替える。
要求の途切れる時間帯がない場合、あらかじめ指定した時間毎に接続を外部から内部へ切り替える。切り替える回数を増やすことで１回あたりの内部との通信にかかる時間を減らして、ユーザの外部ネットワークから要求の遅延を減らすことができる。
【００４０】
（３）ユーザの要求毎に切り替える。
たとえば、内部ネットワークに蓄積している個人情報のうち、ある特定個人の情報を見たい、というアプリケーションのときに、個人情報の問い合わせの都度接続を切り替える。必要最低限の情報のみを外部ネットワーク側へ流すことで、情報を守ることができる。
【００４１】
以上のような（１）乃至（３）の制御は、スイッチサーバ１の記憶装置にインストールされたプログラムに基づいて行われる。
【００４２】
次に、図７乃至図１０を用いて、本システムの動作を説明する。
本システム（ＳＷＳＥＣ）内は、物理的に外部ネットワーク２側のスイッチ（ＳＷ２）または内部ネットワーク１側のスイッチ（ＳＷ１）のいずれか一方しか閉じない（短絡しない構造の）ため、たとえＳＷＳＥＣシステムのスイッチングを制御するスイッチ制御指令または情報受発信サーバ（ここではスイッチサーバ３１）がクラッキングされても、内部ネットワークと外部ネットワークが電気的に導通することはない。
【００４３】
また、ネットワーク上のデータ信号経路にまったく接触していない各ユニット（スイッチサーバ３１、バッファ３４、バッファ３３の）制御および監視機構（ここではスイッチ管制部３２）を配置し、スイッチ制御を行うことでクラッキングによる外部からの制御を受け付けないようにしている。
【００４４】
ここでは、スイッチ３５を制御するタイミングを、ＳＷＳＥＣシステムが自律的にスイッチングする訳ではなく、スイッチサーバ３１が制御指令を出すことにより、外部ネットワーク２から要求のないときにもスイッチングを行うことができる。スイッチングによって、外部ネットワーク２と切断されている間に要求があった場合は、バッファ３４に当該要求が蓄積され、ＳＷＳＥＣシステムの接続が外部ネットワーク２側に切り替わった際に当該要求がバッファ３４からスイッチサーバ３１に伝送される。
【００４５】
スイッチサーバ３１と外部ネットワーク２の伝送が途切れなく続く場合は、定期的に内部ネットワーク１に接続する時間を設け、守るべきデータを内部ネットワーク１に伝送する。伝送中にスイッチサーバ３１から発信すべきデータは、バッファ３３に蓄積される。また、伝送量が多い場合は、守るべき情報以外がはいっている情報サーバ（図示せず）を外部ネットワーク側に設けることで、守らなくてよい情報に対するリクエストを常時受け付けることができる。
【００４６】
次に動作を説明する。
外部ネットワーク２側から内部ネットワーク１に対して要求があるとその要求信号は、バッファ３４に蓄積される。
【００４７】
ここで、要求が不正なものか正当なものかをバッファ３４内の中央処理装置（ＣＰＵ）が外部記憶装置にインストールされたフィルタプログラムを用いて判断し、不正なものであればその要求を破棄する。
【００４８】
次に、シーソースイッチングボックス（ＳＳＷＢ）のスイッチ（ＳＷ２）が切断（開放）されている状態（内部ネットワーク１とスイッチサーバ３１とがデータ通信を行っている状態）を示すパケットバッファモードであれば、要求はバッファ３４に蓄積され、シーソースイッチングボックス（ＳＳＷＢ）のスイッチ（ＳＷ２）が接続される状態（内部ネットワーク１とスイッチサーバ３１がデータ通信を終了している状態）を示すパケットスルーモードになるまで待機する。
【００４９】
内部ネットワーク１とスイッチサーバ３１がデータ通信を終了するとスイッチサーバ３１がスイッチ管制部３２にシーソースイッチングボックス（ＳＳＷＢ）３５のスイッチの接続をスイッチ（ＳＷ１）からスイッチ（ＳＷ２）に切り替えるための制御信号を送出する。この制御信号を受け取ったスイッチ管制部３２は、バッファ３４およびバッファ３３の状態がパケットバッファモードになっているかパケットスルーモードになっているかを監視し、パケットバッファモードになっていれば、パケットスルーモードにするための制御信号を各々バッファ３４、３３に送出する。
【００５０】
そして、パケットバッファモードに変更した通知を示す制御信号を各々バッファ３４，３３から受け取ると、シーソースイッチングボックス（ＳＳＷＢ）に対してスイッチの接続をＳＷ１からＳＷ２に切り替えるための制御信号を送出する。また、パケットスルーモードになっていれば、シーソースイッチングボックス（ＳＳＷＢ）３５にスイッチの接続をＳＷ１からＳＷ２に切り替えるための制御信号を送出する。
【００５１】
前記要求は、シーソースイッチングボックス（ＳＳＷＢ）のスイッチ（ＳＷ２）およびバッファ３３を経由して、スイッチサーバ３１（スイッチング制御および情報受発信サーバ）に入力される。
【００５２】
スイッチサーバ３１では、前記で入力された要求の適正および目的を、中央処理装置（ＣＰＵ）がフィルタプログラムを用いて判断し、不正なものであればその要求を破棄する。
【００５３】
要求が適正である場合には、シーソースイッチングボックス（ＳＳＷＢ）３５のスイッチの接続をＳＷ２からＳＷ１に切り替えるための制御信号をスイッチ管制部３２に送る。
【００５４】
この制御信号を受信したスイッチ管制部３２は、バッファ３４およびバッファ３３の状態をパケットバッファモードにするための制御信号を各々バッファ３４、３３に送出する。そして、パケットバッファモードに変更した通知を示す制御信号を各々バッファ３４，３３から受け取ると、シーソースイッチングボックス（ＳＳＷＢ）３５に対してスイッチの接続をＳＷ２からＳＷ１に切り替えるための制御信号を送出する。
【００５５】
次に、スイッチ管制部３２から送られてきた制御信号をシーソースイッチングボックス（ＳＳＷＢ）３５が受け取るとフリップフロップ（ＦＦ）の動作により、スイッチの接続をＳＷ２からＳＷ１に切り替える（図８参照）。
スイッチサーバ３１は、内部ネットワーク１側に目的に合った要求を送出する。
【００５６】
次に、内部ネットワーク１は、図９に示すように、スイッチサーバ３１より送られてきた要求により、データを送出する。
当該データは、シーソースイッチングボックス（ＳＳＷＢ）の短絡状態のスイッチ（ＳＷ１）を経由して、スイッチサーバ３１に送られる。
【００５７】
スイッチサーバ３１は、そのデータを目的に合った適正な形式に形成する。この成形は外部記憶装置にインストールされたプログラムに基づいて中央処理装置（ＣＰＵ）が行う。
【００５８】
次に、スイッチサーバ３１は、シーソースイッチングボックス（ＳＳＷＢ）のスイッチの接続をＳＷ１からＳＷ２に切り替えるための制御信号をスイッチ管制部３２に送ると同時に、パケットバッファモードになっているバッファ３３に前記で成形されたデータを送出する。
【００５９】
スイッチサーバ３１からの制御信号を受け取ったスイッチ管制部３２は、シーソースイッチングボックス（ＳＳＷＢ）３５にスイッチの接続をＳＷ１からＳＷ２に切り替えるための制御信号を送出する。続いて、バッファ３３の状態をパケットスルーモードにするための制御信号をバッファ３３に送出し、パケットスルーモードに変更した通知を示す制御信号をバッファ３３から受け取る。
【００６０】
次に、図１０に示すように、データがバッファ３３からシーソースイッチングボックス（ＳＳＷＢ）３５のスイッチ（ＳＷ２）を経由して、パケットバッファモードになっているバッファ３４に入力される。
【００６１】
バッファ３３は、データを送信し終わるとその通知信号（バッファエンプティ信号）をスイッチ管制部３２に送出する。バッファエンプティ信号を受け取ったスイッチ管制部３２は、パケットバッファモードになっているバッファ３４に対してパケットスルーモードにするための制御信号を送出する。
【００６２】
この制御信号を受け取ったバッファ３４は、自身の状態をパケットスルーモードにし、パケットスルーモードに変更した通知を示す制御信号をスイッチ管制部３２に返信する。
【００６３】
このようにしてデータが外部ネットワーク２に伝送される。
【００６４】
次に、本実施例の適用例を図１１を用いて説明する。
同図では、たとえば、インターネットショッピングにおける個人ＩＤとユーザ属性の認証行為をプロバイダに置いているウェブサーバ１１０２から企業内に設置されたデータサーバ（内部ネットワーク１）へ要求された場合を想定している。
【００６５】
外部ネットワーク２は、インターネット２１に接続されており、当該インターネット２１は、ルータ１１０１を介してプロバイダのウェブサーバ１１０２に接続されている。このウェブサーバ１１０２は、ルータ１１０３を介してインターネット２２に接続され、当該インターネット２２にはユーザ端末１１０４が接続されている。
【００６６】
同図の場合、外部ネットワーク２からの認証要求に基づいて内部ネットワーク１から認証結果をデータとして出力する動作を行うが、この動作は前述の図７乃至図１０の説明で実現される。
【００６７】
図１２は、個人の家庭内に設置された端末装置２１が内部ネットワークに該当し、外部ネットワークであるプロバイダのウェブサーバ１２０３に対して楽曲データのダウンロード要求を送信し、これに対してウェブサーバ１２０３から楽曲データを受信する場合の構成である。
【００６８】
同図において、ルータやモジュラージャック２１を介して、インターネット１２０１に接続されており、当該インターネット１２０１は、ルータ１２０２を経由してプロバイダのウェブサーバ１２０３に接続されている。ウェブサーバ１２０３には音楽配信用の楽曲データが蓄積されている。
【００６９】
このような音楽配信サービスにおいて、個人の端末装置１１からウェブサーバ１２０３に対して楽曲データの送信を要求する。当該要求がウェブサーバ１２０３で受信されこれが図示しない方法で認証されると、ウェブサーバ１２０３から楽曲データがインターネット１２０１を介してルータおよびモジュラージャック２１を経由して制御端末３に受信される。このときの要求の発信からデータの受信の手順については、前述の図７乃至図１０の説明で同様に実現することができる。ただし、前述の図７乃至図１０の説明において、「要求」を「データ」、「データ」を「要求」と読み替える必要がある。
【００７０】
また、以上の適用例以外にも、企業内ＬＡＮやプロバイダ内、データセンター事業、個人用ＰＣ端末などにおいても本システムを介在させることが可能である。すなわち、本発明は、前述の実施例およびその適用例に限定されるものではなく、ネットワーク上の如何なる部分にも介在させることができ、ネットワーク毎の内部セキュリティを維持することが可能である。
【００７１】
【実施例２】
次に、本発明の第２の実施例について説明する。
本実施例２のシステム構成は図１６に示す通りである。
同図において、実施例１で説明したシステム（図１参照）と同じ符号部分は同一の機能部であるため、説明を省略する。なお、説明の便宜上、図１６は内部ネットワークと外部ネットワークの配置が実施例１の構成（図１乃至図１０）とは左右が逆になっている。
【００７２】
また、本実施例２では、スイッチサーバ１６０１をスイッチ部１６０９と分離し、サーバとして独立させた点が実施例１とは異なる。
このように、スイッチサーバ１６０１を独立させることによって汎用のコンピュータシステムでサーバを構成させることができ、スイッチ部１６０９の部品点数を低減させることができ低コスト化を図れるとともに、メンテナンスを容易化することもできる。
【００７３】
スイッチサーバ１６０１は、外部ネットワーク２からの不正侵入の検出を行い、スイッチング制御信号を送出する機能を有している。
【００７４】
当該スイッチサーバ１６０１は中央処理装置（ＣＰＵ）、メモリ、記憶装置等を備えた汎用の情報処理装置で構築されており、内部ネットワーク１と外部ネットワーク２の双方の通信路側にバッファ（１６１１，１６１２）が設けられている。
【００７５】
当該情報処理装置に設けられた記憶装置内には診断プログラムが格納されており、これが診断部１６０２を構成している。
また、同じく記憶装置内には、スイッチ管制部３２に対するオペレーティングプログラムが格納されており、これがオペレーティング部１６０３を構成している。
【００７６】
診断プログラムは、ＩＰフィルタ（パケットフィルタリングソフト）、ＩＤＳ（Intrution Ditection System：侵入検知システム）、認証ソフト等で構成されており、外部ネットワーク２から内部ネットワーク１へのアクセスに対して診断を行う。また、Ｖａｃｃｉｎｅアプリケーション等のウィルスワクチンプログラムも含まれており、外部ネットワーク２からのデータ中からウィルスのパターン検出を行う。
【００７７】
一方、オペレーティングプログラムは、前述のＩＤＳやＶａｃｃｉｎｅアプリケーション等による診断結果をもとにスイッチ管制部３２に対してスイッチング制御信号を送出する機能を有していると同時に、診断プログラムの実行状態を監視し、異常を検知したときに、診断部（診断プログラム）に対して実行処理を強制的に終了させるリセット信号をＯＳに対して出力し、診断プログラムを初期化する。
【００７８】
内部側スイッチバッファ（ＩＳＥＢ：In Side Entrance Buffer）は、内部ネットワーク１とシーソースイッチングボックス（ＳＳＷＢ）３５との間に介装されており、中継機として機能する。
【００７９】
すなわち、内部ネットワーク１側からのパケットデータ（データグラム）を受信し、該データをシーソースイッチングボックス（ＳＳＷＢ）３５を経由してスイッチサーバ１６０１へフォワーディングする機能を有する。
【００８０】
その際に、シーソースイッチングボックス（ＳＳＷＢ）５３のスイッチが閉じるまで（内部側の通信路が開放されている間）パケットを一時的に格納する働きを持つ。
【００８１】
一方、外部スイッチバッファ（ＯＳＥＢ：Out Side Entrance Buffer）は、外部ネットワーク２とシーソースイッチングボックス（ＳＳＷＢ）３５との間に介装されており、中継機として機能する。
【００８２】
すなわち、外部ネットワーク２側からのパケットデータ（データグラム）を受信し該データをシーソースイッチングボックス（ＳＳＷＢ）３５を介してスイッチサーバ１６０１へフォワーディングする機能を有する。
【００８３】
その際、スイッチサーバ１６０１と外部スイッチバッファ（ＯＳＥＢ）との間のスイッチが閉じるまでパケットを一時的に格納する機能を有する。
【００８４】
外部スイッチバッファ（ＯＳＥＢ）では、簡易パケットフィルタ機能（ＴＣＰ/ＩＰプロトコルのＯＳＩ参照モデルの第３層：ネットワーク層までの低レイヤレベルで実現するパケットフィルタ）を有し、フラグメント化された６４バイト以下のパケット等の侵入を防ぐ機能を有している。
【００８５】
なお、内部スイッチバッファ（ＩＳＥＢ）とスイッチ管制部３２との間、およびスイッチ管制部３２と外部スイッチバッファ（ＯＳＥＢ）との間にはダイレクトパス（直接通信路）１６０４，１６０５が設けられており、内部ネットワーク１側からのデータが外部からの要求に対する応答結果を送出するのか、または内部側からの要求を送出するのかを判断し、前者であれば、シーソースイッチングボックス（ＳＳＷＢ）３５を介さずに外部スイッチバッファ（ＯＳＥＢ）にデータを直接フォワーディングし、後者であれば、シーソースイッチングボックス（ＳＳＷＢ）を介してスイッチサーバ１６０１へフォワーディングする機能を有している。
つまり、内部ネットワーク１が意図しないパケットデータの送出を防ぐようになっている。このような意図しないパケットデータとは、「トロイの木馬」等と呼ばれる内部データ自動送出ウィルスプログラムにより作り出された不正パケット：フラグメント化された６４バイト以下のパケットや連続した同一ＩＰアドレスへのパケット（ＤｏＳ攻撃）をいう。
【００８６】
以上で説明した図１６における本システム（ＳＷＳＥＣ）を構成する外部スイッチバッファ（ＯＳＥＢ）、内部スイッチバッファ（ＩＳＥＢ）およびシーソースイッチングボックス（ＳＳＷＢ）３５の回路構成をより詳細に示したものが図１９である。
同図において、外部スイッチバッファ（ＯＳＥＢ）は、ＮＩＣ（Network Interface Circuit）を中心に構成されており、送信用バッファ、受信用バッファおよびＰＨＹ(PHYsical Layer Protocol）がこれに接続されている。このＰＨＹは、通信プロトコルであるＴＣＰ／ＩＰのための物理デバイスであり、直接外部ネットワークと接続されている。
また、ＮＩＣはバッファ中のコンピュータシステムのバスに接続されており、このコンピュータシステムは、中央処理装置（ＣＰＵ）と、メモリ（ＳＤＲＡＭおよびＦＬＡＳＨ）を有している。また、バスにはインターフェース回路（ＩＮ）を介してディップスイッチ（ＤＩＰＳＷ）が接続されている。
【００８７】
一方、内部スイッチバッファ（ＩＳＥＢ）も同様の構成を有している。
スイッチ管制部３２は、中央処理装置（ＣＰＵ）と、メモリ（ＳＤＲＡＭおよびＦＬＡＳＨ）とスイッチコントローラ（ＳＷＣＮＴ）とで構成されている。具体的にはこのスイッチコントローラ（ＳＷＣＮＴ）が、シーソースイッチングボックス（ＳＳＷＢ）を構成する２つのゲートを択一的に選択するようになっており、各々のゲートにバッファ（ＢＵＦＦ）が直結している。これらのバッファ（ＢＵＦＦ）は、それぞれ外部バッファ（ＯＳＥＢ）と内部バッファ（ＩＳＥＢ）のバスに接続されており、データの受け渡しが可能となっている。
なお、この回路システム（ＳＷＳＥＣ）は外部の商用交流電源を電源ユニット（ＰＯＷ）により３．３Ｖ程度の直流電圧に変換して回路の作動電源としている。
【００８８】
次に、診断部１６０２（診断プログラム）の機能を図１７に基づいて説明する。
まず、スイッチサーバの中央処理装置（ＣＰＵ）は、外部ネットワーク２からのアクセスデータ（パケット）をスイッチサーバ１６０１のバッファ１６１２に格納すると、診断プログラム（ＩＰフィルタプログラム、ＩＤＳ、認証プログラム、ワクチンプログラム）により、以下のようなアクセス解析を行う
［ 取り扱いレイヤ（ＴＣＰ／ＩＰのＯＳＩ参照モデル）による解析・診断種別 ］
（ｉ）Ｌ３レベル・・・ＩＰフィルタ（ＩＰ層での解析・診断）
（ｉｉ）Ｌ４レベル・・・認証ソフト（ＴＣＰ層でのコネクション解析・診断）
（ｉｉｉ）Ｌ７レベル・・・ＩＤＳ、ワクチンプログラム
【００８９】
なおＩＤＳの機能によっては、低レイヤレベルでの侵入検知が可能であり、ワクチンプログラムも低レイヤレベル（ＩＰ層）でのウィルス検出が可能である。
【００９０】
なお、ここでＩＤＳ(Intrution Ditection System)による侵入検知方法について説明すると、既知の不正攻撃のパターンを記憶しておきアクセスデータをこのパターンと対比して検査するミスユース検出方式と、正常な振る舞い情報のパターンを記憶しておき、このパターンと対比するアノマリー検出方式等が知られている。
【００９１】
オペレーティング部１６０３（オペレーティングプログラム）は、前述の診断プログラムの実行を監視し、外部ネットワーク２からのアクセスの解析結果を評価する（１７０１）。
【００９２】
この評価は、侵入を許可する場合（ＯＫ）と、侵入を不許可とする場合（ＮＧ）と、診断不能の場合とに分かれる。
【００９３】
すなわち、ウィルスの発見等によりＮＧと判定された場合には、当該アクセス破棄（１７０２）、すなわち当該パケットを破棄する。
【００９４】
一方、ＯＫの場合には、スイッチ制御信号をスイッチ管制部３２に対して出力し（１７０３）、バッファ１６１２のモード状態を検査して（１７０４）、シーソースイッチングボックス（ＳＳＷＢ）３５のスイッチ切替を指示する（１７０５）。
【００９５】
なお、診断不能、すなわち設定された時間内に診断できなかった場合には、診断プログラムを強制的にリセットし、パケットを破棄する。このとき、スイッチ管制部３２に対してスイッチ制御信号を出力しないので、スイッチサーバ１６０１と内部ネットワークとは接続されない。
【００９６】
このような診断不能となる場合には、外的要因と内的要因とがあり得る。
「外的要因」とは、「トロイの木馬」や「ワーム」と呼ばれるスプリクト形のウィルスによって外部から診断機能を停止させられるケースをいい、「内的要因」とは、諸条件が偶発的に重なったことにより自ら診断機能がハングアップしてしまうケースをいう。
【００９７】
このように、本実施例では診断不能の場合に診断プログラムを強制的にリセットし、パケットを破棄すると同時に、未知のウィルスデータの侵入も確実に防止できる。
【００９８】
すなわち、従来のシステムでは未知のセキュリティホールが発見されてから、修正モジュールの作成→修正モジュールの提供→修正モジュールの配布→修正モジュールのインストールという段階を経て対応するため、この間は最も危険な期間となっていた。しかし、本実施例によれば、物理的に通信路を遮断するシステムであるため、より確実に不正データの侵入を防止できる。
【発明の効果】
本発明によれば、外部ネットワークと内部ネットワークとを目的に応じたアクセス要求の制御信号によって切り離すため、リアルタイム性や双方向性が損なわれることなくデータのやり取りが可能となる。
【図面の簡単な説明】
【図１】  本発明の原理構成を示すブロック図（１）
【図２】  本発明の原理構成を示すブロック図（２）
【図３】  本発明の原理構成を示すブロック図（３）
【図４】  本発明の原理構成を示すブロック図（４）
【図５】  実施例１の詳細な機能ブロック図
【図６】  実施例１のシーソースイッチングボックス（ＳＳＷＢ）の構成および真理値表
【図７】  実施例１の接続制御装置動作説明図（１）
【図８】  実施例１の接続制御装置動作説明図（２）
【図９】  実施例１の接続制御装置動作説明図（３）
【図１０】  実施例１の接続制御装置動作説明図（４）
【図１１】  実施例１の適用例を示すシステム図（１）
【図１２】  実施例１の適用例を示すシステム図（２）
【図１３】  実施例１において外部通信モードから内部通信モードへの移行手順を示すフロー図
【図１４】  実施例１において内部通信モードから外部通信モードへの移行手順を示すフロー図
【図１５】  実施例１の接続制御装置のタイミングチャート
【図１６】  実施例２の原理構成を示すブロック図
【図１７】  実施例２のスイッチングサーバの処理フロー図
【図１８】  実施例２のオペレーティング部の処理を示す表図
【図１９】  実施例２のより詳細な回路図
【符号の説明】
１  内部ネットワーク
２  外部ネットワーク
２１  インターネット
２２  インターネット
３  制御端末（制御装置）
３１  スイッチサーバ
３２  スイッチ管制部
３３  バッファ（第２バッファ）
３４  バッファ（第１バッファ）
３５  シーソースイッチングボックス（ＳＳＷＢ）
１１０１  ルータ
１１２０  ウェブサーバ
１１０３  ルータ
１１０４  ユーザ端末
１２０１  インターネット
１２０３  ウェブサーバ
１６０１  スイッチサーバ
１６０２  診断部
１６０３  オペレーティング部
１６０４・１６０５  ダイレクトパス
１６１１，１６１２  サーバ内バッファ
ＩＳＥＢ  内部側スイッチングバッファ
ＯＳＥＢ  外部側スイッチングバッファ
【図１】
0003859490.tif 000002
【図２】
0003859490.tif 000003
【図３】
0003859490.tif 000004
【図４】
0003859490.tif 000005
【図５】
0003859490.tif 000006
【図６】
0003859490.tif 000007
【図７】
0003859490.tif 000008
【図８】
0003859490.tif 000009
【図９】
0003859490.tif 000010
【図１０】
0003859490.tif 000011
【図１１】
0003859490.tif 000012
【図１２】
0003859490.tif 000013
【図１３】
0003859490.tif 000014
【図１４】
0003859490.tif 000015
【図１５】
0003859490.tif 000016
【図１６】
0003859490.tif 000017
【図１７】
0003859490.tif 000018
【図１８】
0003859490.tif 000019
【図１９】
0003859490.tif 000020