JP2010086121A - セキュア通信装置 - Google Patents

Abstract

【課題】
従来の情報共有を行うゲートウェイ装置では、例えば一方のネットワークに監視用ＰＣ、他方のネットワークに制御用計算機を配した構成において、制御用計算機からの通知データを監視用ＰＣが把握するためには、定期的に通知データをポーリングしにいく必要があった。
【解決手段】
通信装置１は、通信ＩＦ１０，１１と、経路制御部２０，２１と、データアクセス部３０と、記憶部４０とから構成される。データアクセス部３０は、更新検出手段３１と、検出ルール３２，更新通知手段３３，通知先データベース３４を有する。更新検出手段３１は、記憶部４０へ更新する動作が、検出ルール３２の有する条件に該当するか検査する。記憶部４０への操作が検出ルールに該当した場合、更新検出手段３１は検出したことを更新通知手段３３に通知し、更新通知部３３は、通知先ＤＢ３４から該当する通知先を検索し、通知用データを作成して発行する。
【選択図】図１

Description

本発明は、複数の計算機相互で安全にデータを交換する方法とその装置構成に関する。特に、汎用計算機と装置組込み計算機との間でデータ交換する際に、リアルタイム性に優れ安全にデータを交換する方式と装置構成に関する。

複数の計算機相互にデータを交換する技術が〔特許文献１〕に開示されている。

〔特許文献１〕に開示されているゲートウェイは異なるネットワークの間に接続される。このゲートウェイは、二つの計算機と、二つの共有メモリ、各計算機につながる二つのディスクから構成される。共有メモリは、二つの計算機相互を橋渡しするよう構成される。それぞれの共有メモリは、一方の計算機のみから読み書が可能とし、もう一方の計算機からは読み込みのみ可能として構成される。データ転送の方向に応じて異なる共有メモリを介してデータ転送が行われる。そのため、一方のネットワークの端末から他方のネットワーク端末に対してリモートアクセスすることが不可能となり、ネットワーク経由の不法侵入を防止している。

特開平７−２００４３３号公報

近年、汎用のパーソナルコンピュータ（ＰＣ）とＰＣを取り巻く通信技術は、その利便性と導入コストの観点から、これまで独自に構築されていた計算機システム分野に多く導入されつつある。例えば、工場や発・変電所，化学プラントに用いられる制御用計算機システムが例として挙げられる。

これらの制御用計算機は一度設置されると数年から十数年と、オフィスで使用されるＰＣと比べて長く使用される傾向にある。汎用ＰＣ技術が進歩するにつれ、制御用計算機システムにおける技術もさまざまに活用されてきた。たとえば無線ＬＡＮや携帯パケット通信網などの無線通信技術により、遠隔から制御用計算機の動作を確認することが容易となった。

ところで、汎用ＰＣとその応用製品には様々なセキュリティの脅威が存在する。脅威の内容も、ウイルス感染によるＰＣ内部のデータ破壊や使用不能に至らせるものから、ひそかに感染しＰＣを乗っ取るもの、ＰＣ内部データをインターネット上の他ＰＣへ無尽蔵に配布するものなどがある。

尚、ＰＣそのものに権限のない人物が近寄る、あるいはＰＣを分解してハードディスクやメモリを直接読み取ったり、直接破壊したりといった、物理的なセキュリティ（フィジカルセキュリティ）への懸念も存在する。本願で解決する課題は主に情報セキュリティ（サイバーセキュリティ）を対象とする。以降では特に断らない限り「セキュリティ」はサイバーセキュリティを意味する。

さて、ＰＣ周辺技術の制御用計算機システムへの導入が進展するにつれ、ＰＣ環境で発生していたセキュリティの脅威が制御用計算機システムでも同様の問題として浮上している。制御用計算機システムで制御される対象は、不測の動作によって、人命や環境へ大きな影響を与える可能性がある。製造ライン異常や秘密の製造技術情報漏洩などによる経済的な損失も懸念される。

以上より、制御用計算機システムにおけるセキュリティ対策は、今後のＰＣ技術活用を進めるにあたり重点的に対応されるべきテーマとして、産業界が注目している。セキュリティ対策の例として、制御用計算機システムを構成する制御用ネットワークと、それとつながる情報系ネットワークとの間に、ゲートウェイやルータなどを配されるのが一般的である。二つのネットワーク上の計算機装置同士で直接通信をさせず、認める通信プロトコルや認められるユーザのみ通信可能とさせる対策が用いられ、その際、前述の〔特許文献１〕に開示されるゲートウェイも対策技術となりうる。

しかしながら、上述の公知例では次に述べる点で課題がある。

即ち、〔特許文献１〕に開示されるゲートウェイは、一方のネットワークに属する計算機からデータの更新が有った場合でも、他方のネットワークに属する計算機が更新を把握するための技術が開示されていない。このため、例えば一方のネットワークに監視用ＰＣ、他方のネットワークに制御用計算機を配した構成において、制御用計算機からの通知データを監視用ＰＣが把握するためには、定期的に通知データを確認（ポーリング）しにいく必要がある。データ量が多い場合や、監視対象が多数のゲートウェイ装置にまたがる場合には、リアルタイム性を高く監視することが困難である。また、一般のゲートウェイやルータを用いてネットワークを分離する解決方法は、通信プロトコルやユーザの認証に問題が無ければ通信を許可し、それ以外は遮断する技術である。そのため、許可された手順に従った悪意のある通信により、制御用計算機は被害をうけることも想定される。例えば、信頼できるネットワークにつながったウイルスに汚染されたＰＣから、サービス不能攻撃を仕掛けられる可能性がある。

以上を鑑みた本発明の目的は、保護すべき計算機に対して、安全かつリアルタイム性のあるデータ交換方式を開示し、データ交換を実現する方法及びその装置を提示することにある。

上記課題を達成するために、本発明は複数の通信Ｉ／Ｆを有する通信装置において、第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、前記通信データの一部を記憶する記憶部と、前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段とを備えたことを特徴とするものである。

更に、本発明の通信装置において、前記更新検出手段は、前記データアクセス部による前記記憶部へのアクセスパターンの組み合わせを保持する検出ルールデータベースを有し、該検出ルールデータベースに記録されるアクセスパターンに合致の有無を検出することを特徴とするものである。

更に、本発明の通信装置において、前記更新通知手段は、更新通知を連絡するあて先を保持する通知先データベースを有し、前記更新検出手段より通知された情報に従い、前記通知先データベースのあて先に更新通知を送信することを特徴とするものである。

更に、本発明の通信装置において、前記記憶部は前記通信装置の外部の記憶素子へデータを送受信するデータインターフェースを備えることを特徴とするものである。

また、上記課題を達成するために、本発明は複数の通信Ｉ／Ｆを有する通信装置において、第１の通信Ｉ／Ｆからの通信において通信相手を認証する第１の認証部と、第２の通信Ｉ／Ｆからの通信において通信相手を認証する第２の認証部と、前記第１の認証部と前記第２の認証部との間で、通信データの交換と遮断，変更を行う経路制御部と、前記通信データの一部を記憶する記憶部と、前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段とを備えたことを特徴とするものである。

また、上記課題を達成するために、本発明は複数の計算機が属する複数のネットワークをつなぐ通信システムにおいて、前記複数のネットワークを接続する通信装置は複数の通信Ｉ／Ｆを有し、第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、前記通信データの一部を記憶する記憶部と、前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段とを備え、前記複数のネットワークに属する少なくとも１つの計算機は所定の時間間隔で前記通信装置へ通信データを送信し、該通信装置は所定の計算機へ前記データ更新の通知を送信することを特徴とするものである。

更に、本発明の通信システムにおいて、前記更新検出手段は、前記データアクセス部による前記記憶部へのアクセスパターンの組み合わせを保持する検出ルールデータベースを有し、該検出ルールデータベースに記録されるアクセスパターンに合致の有無を検出することを特徴とするものである。

更に、本発明の通信システムにおいて、前記更新通知手段は、更新通知を連絡するあて先を保持する通知先データベースを有し、前記更新検出手段より通知された情報に従い、前記通知先データベースのあて先に更新通知を送信することを特徴とするものである。

更に、本発明の通信システムにおいて、前記記憶部は前記通信装置の外部の記憶素子へデータを送受信するデータインターフェースを備えることを特徴とするものである。

また、上記課題を達成するために、本発明は複数の通信Ｉ／Ｆを有する通信装置において、第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、前記通信データの一部を記憶する記憶部と、前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、前記更新検出手段より通知され前記１あるいは２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と、前記記憶部に所定の時間間隔で所定データの書き込みあるいは読み出しを実行するハートビート生成手段とを備えることを特徴とするものである。

更に、本発明の通信装置において、前記ハートビート生成手段の前記記憶部に対するデータアクセスを前記更新検出手段が検知することにより、前記通信装置は所定の計算機へ前記データ更新の通知を送信することを特徴とするものである。

また、上記課題を達成するために、本発明は複数の通信Ｉ／Ｆを有する通信装置において、第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、前記通信データの一部を記憶し、又は記憶を消去する記憶部と、前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、所定の計算機にハートビートを送信するハートビート通知手段とを備え、前記計算機からのハートビートの応答が所定時間以内に得られない場合、前記ハートビート通知手段は前記記憶部へ記憶消去の指示を発行することを特徴とするものである。

更に、本発明の通信装置において、前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、該更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と、前記記憶部に所定の時間間隔で所定データの書き込みあるいは読み出しを実行するハートビート生成手段とを備え、前記計算機からのハートビートの応答が所定時間以内に得られない場合、前記ハートビート通知手段は前記記憶部へ記憶消去の指示を発行することを特徴とするものである。

また、上記課題を達成するために、本発明は複数の計算機が属する複数のネットワークをつなぐ通信システムにおいて、前記複数のネットワークを接続する通信装置は複数の通信Ｉ／Ｆを有し、第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、記憶素子に前記通信データを記憶する記憶手段と、前記記憶素子の内容を消去する記憶消去手段を有する記憶部と、前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、該更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と、前記記憶部に所定の時間間隔で所定データの書き込みあるいは読み出しを実行するハートビート生成手段とを備え、前記計算機からのハートビートの応答が所定時間以内に得られない場合、前記ハートビート通知手段は前記記憶部へ記憶消去の指示を発行することを特徴とするものである。

また、上記課題を達成するために、本発明は複数の通信Ｉ／Ｆを有する通信装置において、第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、複数の記憶素子を有して前記通信データの一部を記憶する記憶部と、前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段とを備え、前記記憶部は、記憶するデータの重要度に応じて前記複数の記憶素子を選択することを特徴とするものである。

更に、本発明の通信装置において、前記記憶部は前記通信装置の外部の記憶素子へデータを送受信するデータインターフェースを備えることを特徴とするものである。

本発明のセキュア通信装置により、一方のネットワークに属するコントローラは適切なタイミングでデータを通信装置に送信し、もう一方のネットワークに属するＰＣは書込みされるなどの条件が整ったことを通知されて通信装置へアクセスすることが可能となるので、コントローラとＰＣとの間で安全かつリアルタイムに情報の共有をすることが可能となる。

また、本発明では上記機能と合わせて通信データのフィルタリングを行うことが可能なので、一方のネットワークからの頻繁なアクセスでもう一方のネットワークにあるコントローラの動作が不安定になるのを防ぐことが可能となる。

また、本発明の別の効果として、コントローラあるいは通信装置が異常により停止した場合、通信装置とは別の管理用サーバが異常を検知することが可能となる点にある。

更に、例えば通信装置が盗難に有った場合でも、通信装置内のデータを消去することが可能となり、重要度の高いデータを安全に保管することが実現出来る。

本発明は、汎用計算機と装置組込み計算機との間でデータ交換する際に、リアルタイム性に優れ安全にデータを交換する方法とその装置に関する。始に、リアルタイム性が高くかつ安全にデータ交換を実現する本発明の装置構成を説明する。その後、安全に通信装置を運用する方法について説明する。

図１は、本発明による第一の実施形態におけるセキュア通信装置の構成を表すブロック構成図と、システムの概要を現したものである。

セキュア通信装置を現す通信装置１は、複数のＰＣ２−１〜２−ｍ（ｍ：ＰＣの台数に対応）とネットワーク３を介して接続する。また、同様に通信装置１は、複数のコントローラ５−１〜５−ｎ（ｎ：コントローラの台数に対応）とネットワーク４を介して接続する。本実施例において、ＰＣ，コントローラと便宜上種類を分けているが、これらはネットワークを介して通信を行う計算機であれば、これら種類に限定されるものではない。また、台数ｎ，ｍがいずれも１台以上で本発明を適用可能である。

本発明が適用可能なネットワークとして特に制限されるものはなく、Ethernet（登録商標）をはじめとして、ＦＤＤＩやＲＳ４８５，ＩＥＥＥ８０２.１１ａ／ｂ／ｇに準拠する無線ＬＡＮ，ＣＡＮ（Controller Area Network），Fibre Channelなど、各種ネットワーク物理層に適用可能である。各ネットワークにおいて利用されるプロトコルも制限は無く、ＴＣＰ／ＵＤＰ／ＩＰ，ｉＳＣＳＩなど、物理層に応じたプロトコルに対応可能である。本実施例では、ネットワークにEthernet、プロトコルにＩＰを前提して説明するが、本発明の適用範囲はこれらに限定されるものではない。

図１を用いて通信装置１の構成を説明する。通信装置１は、通信インターフェース（以下、インターフェースはＩＦと称す）１０，１１と、経路制御部２０，２１と、データアクセス部３０と、記憶部４０とから構成される。

通信ＩＦ１０，１１は、それぞれネットワーク３，４とのデータ送受信を行う。経路制御部２０は、通信ＩＦ１０に関する送受信データの経路制御を行う。また、経路制御部２１は、通信ＩＦ１１に関する送受信データの経路制御を行う。

例えばネットワーク３から受信したデータは、通信ＩＦ１０を介して通信装置１に取り込まれる。通信ＩＦ１０から入力された受信データは、経路制御部２０によってネットワーク４にあるコントローラに転送するか、通信装置１自身によって利用されるか、あるいは破棄するかを受信データに応じて判別する。具体的には例えば受信データに記載されたあて先ＩＰアドレスとＴＣＰあるいはＵＤＰのポート番号によって判別する。

当該受信データをコントローラに転送する場合、経路制御部２０は受信データを経路制御部２１に送信することで、通信ＩＦ１１を介してネットワーク４に出力され、あて先のコントローラに配送される。当該受信データを通信装置１自身で利用する場合、経路制御部２０はデータアクセス部３０に転送する。当該受信データを破棄する場合は、経路制御部２０はどこにも転送せず、受信データを消去する。経路制御部２０は、受信データを転送する際に、必要に応じて受信データの一部を変更することが可能であるが詳細は後述する。

そして、経路制御部２１の構成、及び動作は経路制御部２０と同様であるため説明は省略する。

記憶部４０は、データアクセス部３０からの要求に応じて、データの書込み，読み出し，消去，書込み・読み出し禁止などの保護を行う記憶手段である。データに対するこれらの操作は記憶素子４１に対して行われる。記憶素子４１は揮発性でも不揮発性でもよい。記憶素子４１として、ハードディスクドライブで採用される磁気ディスク，ＣＤ−ＲＯＭのような光磁気ディスク，フラッシュメモリ，ＥＥＰＲＯＭ，ＳＲＡＭ，ＤＲＡＭ，ＭＲＡＭ，ＦｅＲＡＭ，フリップフロップなど各種記憶素子が本発明において適用可能である。

データアクセス部３０は、経路制御部２０，２１からの要求に応じて、記憶部４０に対してデータに対する操作を要求する。データアクセス部３０は、更新検出手段３１と、検出ルール３２，更新通知手段３３，通知先データベース（以下、データベースをＤＢと称す）３４を有する。更新検出手段３１は、記憶部４０へ更新する動作が、検出ルール３２の有する条件に該当するか検査する機能を有する。記憶部４０への操作が検出ルール３２に該当した場合、更新検出手段３１は検出したことを更新通知手段３３に通知する。更新通知手段３３は、更新検出手段３１より通知を受けると、通知先ＤＢ３４から該当する通知先を検索し、通知用データを作成して、適切な経路制御部２０，２１に送信する機能を有する。次に図１を用いて本発明によるデータ交換システムの動作を説明する。

本システムでは、コントローラ５−１〜ｎに対して、各コントローラ自身が定期的に所定のデータを通信装置１へ送信するよう設定する。また、ＰＣ２−１〜ｍを利用するユーザは、通信装置１に対してデータを要求する。

このとき、例えばあるＰＣ上で、コントローラの監視画面を閲覧するアプリケーションを考える。コントローラからはそれぞれのタイミングでデータを通信装置１に対して送信する。通信装置１は、通信ＩＦ１１を介してデータを受信し、経路制御部２１に転送する。経路制御部２１は、当該データが通信装置１自身あてのデータであると判定して、データアクセス部３０に転送する。データアクセス部３０は、当該データを記憶部４０に書き込み指示と共に転送する。このとき、更新検出手段３１は検出ルール３２に合致したアクセスか否か検査する。

ルールに合致した場合、更新通知手段３３は通知先ＤＢ３４に従いあて先を指定し、通知データを作成して、経路制御部２０へ送信する。経路制御部２０は、通信ＩＦ１０を介してネットワーク３のあて先ＰＣ（図示なし）へ通知データを送信する。通知データを受信したあて先ＰＣは、必要な条件が整ったことを知り、通信装置１の所定のデータへアクセスする。

別の例として、ＰＣがコントローラへ直接操作をする場合を説明する。コントローラの動作条件や設定を変更するために、ＰＣから直接操作する状況を想定する。ＰＣからの操作要求パケットを通信装置１は受信する。通信ＩＦ１０は受信したパケットを経路制御２０に転送する。経路制御２０は、コントローラへ転送すべきパケットと判断し、経路制御２１へ転送する。経路制御２１は操作要求パケットを、通信ＩＦ１１を介してネットワーク４に送出する。以上より、最終あて先のコントローラは当該操作要求パケットを受信することが可能となる。

以上のように構成することにより、コントローラは自身で制御可能な適切なタイミングでデータを通信装置１に送信し、ＰＣは書込みされるなどの条件が整ったことを通知されて通信装置１へアクセスすることが可能となる。

よって、コントローラとＰＣとの間で情報の共有が可能となる。コントローラはランダムにアクセスされることがなくなるため、自身の制御を乱されることがなくなり、安全な運用をすることが可能となる。ＰＣは対象とするデータの更新をリアルタイムに通知されるので、情報更新有無を確認するための過剰な負荷をコントローラにかけることなく、迅速にデータを受信可能となる。また、必要に応じて直接通信をすることも可能であり、柔軟にシステムを構築すること実現できる。

図２に、通信装置１の構成例を示す。通信装置１は、ＣＰＵ５０，ＲＡＭ５２，通信ＩＦ１０，通信ＩＦ１１，記憶素子４１，不揮発メモリ５３などの要素を有する。これら要素は内部バス５１により結合して相互にデータを交換する。ＣＰＵ５０は、不揮発メモリ５３に保持されているＯＳ５４や、経路制御部２０，２１，記憶部４０，データアクセス部３０などを実現するプログラムの命令や定数を読み出し、これら命令や定数を必要に応じてＲＡＭ５２へ格納し、読み出しあるいは書き出しを行い、ソフトウェア処理を実行する。不揮発メモリ５３として、電気的に消去や書き込み可能なＥＥＰＲＯＭやフラッシュメモリ，ハードディスク装置やＣＤ−ＲＯＭなどの光磁気メディアが例として挙げられる。

通信ＩＦ１０，１１は、内部バス５１を介してＣＰＵ５０から要求されたデータをネットワーク３，４へ送信する処理や、ネットワーク３，４から受信した処理をＣＰＵ５０へ報告する処理を行う。ネットワーク３，４として利用するネットワーク技術により、本発明は制限されない。

通信ＩＦ１０，１１は、自身の状態変化や処理要求が発生したことをＣＰＵ５０へ割込み信号（図示なし）で通知する。ＣＰＵ５０は、上記ソフトウェアの実行、通信ＩＦ１０，１１からの割込みの処理を行い、目的とする機能を実現する。図３に、経路制御部２０の動作のフローチャートを示す。

尚、経路制御部２１の動作についても、図３中記述の通信ＩＦ１０と１１を入れ替え、経路動作部２０と２１を入れ替えることで、図３の動作風呂チャートと同様に説明できる。

図３のフローチャートに従い、各ステップの動作を説明する。

はじめに、経路制御部２０へ転送されてきた入力データがどの経路から入力されてきたか判断する（ステップ１００）。

ステップ１００において経路制御部２１からと判定した場合、送信元アドレスを必要に応じて変更する（ステップ１１０）。これは、Source ＮＡＴ（Network Address Translation）と呼ばれる技術であり、ＩＰプロトコルで送信元のＩＰアドレスを変更することを意味する。ステップ１１０の処理は、Source ＮＡＴが不要、あるいは入力データがＩＰプロトコルに基づいてなければ省略可能である。ステップ１１０の後、通信ＩＦ１０へ入力データを転送（ステップ１１１）し、経路制御を終了する。

ステップ１００においてデータアクセス部３０からと判定した場合、あて先アドレスを必要に応じて変更する（ステップ１０１）。これは、Destination ＮＡＴと呼ばれる技術であり、ＩＰプロトコルであて先のＩＰアドレスを変更することを意味する。Destination ＮＡＴが不要、あるいは入力データがＩＰプロトコルに基づいてなければ、ステップ１０１は省略可能である。次に、データの破棄を判定する（ステップ１０８）。これは、送信すべきでないデータを、経路制御部２０にてフィルタリングすることを意味する。経路制御部２０には、予めデータの通過可否を判定するルールを設定しておくものとする。データ破棄しないと判定した場合、ステップ１１０に遷移する。データ破棄すると判定した場合、データを破棄（ステップ１０９）し、経路制御を終了する。

ステップ１００において通信ＩＦ１０からと判定した場合、必要があればDestination ＮＡＴを実行する（ステップ１０２）。本ステップは、ステップ１０１の場合と同様に省略可能である。次に、入力データのあて先を判定する（ステップ１０３）。

ステップ１０３においてあて先をデータアクセス部３０と判定した場合、次にデータの破棄を判定する（ステップ１０５）。データを破棄する場合、ステップ１０９に遷移する。データを破棄しない場合、データアクセス部３０に入力データを転送（ステップ１０７）し、経路制御を終了する。

ステップ１０３においてあて先を経路制御部２１と判定した場合、次にデータの破棄を判定する（ステップ１０４）。データを破棄する場合、ステップ１０９に遷移する。データを破棄しない場合、経路制御部２１に入力データを転送（ステップ１０６）し、経路制御を終了する。

図４に、検出ルール３２のＤＢの構成を示す。

検出ルール３２は、入力データのソースアドレス２００，データ更新先エリア２０１，アクセスタイプ２０２，アクション２０３という属性を持つＤＢである。図４では、これらの属性を有するタプル２０５，２０６，２０７の例を示す。

タプル２０５は、「ＩＰアドレスが“１９２.１６８.０.１”の計算機から、更新先エリアが“Area−Ａ”に対してデータの“ライト”が有った場合には、アクションＮo.“１”」を実行することを意味する。ここで、アクションＮo.は、後述する通知先ＤＢ３４のインデックスを表す。

タプル２０６において、アクション２０３に複数のインデックス記述があるが、これは通知先ＤＢ３４の複数のインデックスを実行することを意図する。

また、タプル２０７は、ソースアドレスは１９２.１６８.１０.０（サブネットマスク２４ビット）のサブネットを持つ複数の計算機を指定していることを意味する。

図５に、通知先ＤＢ３４のデータベースの構成を示す。

通知先ＤＢ３４は、アクション２２０，通知先ＩＰアドレス２２１，メッセージ２２２という属性を持つデータベースである。図５では、これらの属性を持つタプル２２３〜２２６の例を示す。

タプル２２３は、「アクションＮo.”１”では、あて先のＩＰアドレス“１９２.１６８.１００.１”の計算機に、メッセージ“Area−Ａ is updated”というメッセージ」を送信することを意味する。タプル２２４から２２６も同様である。

更新通知手段３３は、要求されたインデックスに対応したデータから、あて先のＩＰアドレスと送信する内容のメッセージを構築する。

本実施例ではメッセージ２２２を固定のメッセージとしたが、メッセージ内により詳細なデータを含めることも可能である。その場合には、例えばＣ言語のprintf（）関数の書式に従い、メッセージや引数を設計するのが好適である。

図６に、データアクセス部３０の動作のフローチャートを示し、各ステップの動作を説明する。

はじめに、データアクセス部３０は受信した入力データの内容を解釈して、記憶部４０に発行する（ステップ１２０）。ここで、データアクセス部３０は、入力データ内容を記憶部４０が解することのできる命令列に変換する。例えば、外部からの要求内容に具体的な記憶素子名まで含まれていない場合、通信装置１に実装されている記憶素子名（例えば／ｄｅｖ／ｓｄ０）を追加する。また、データを格納しにくる計算機に応じた記憶領域を事前に割り当てておき、入力データの送信元に応じて記憶領域へのアクセスに変換しても良い。

記憶部４０は、本実施例においては、指示された領域に指示されたデータアクセス（読み込みまたは書き込み）を実施する。

記憶部４０からの応答が得られた後に、当該データアクセス内容が、更新検出ルールに該当するか検査するために、更新検出手段３１は検出ルール３２から検出ルールを取得する（ステップ１２１）。その後、更新検出手段３１は当該データアクセスが取得したルールと一致するか検査する（ステップ１２２）。本実施例では、図４に示されたソースアドレス２００とデータ更新先エリア２０１，アクセスタイプ２０２の三つについて、当該データアクセスの内容を検査する。

その後、当該データアクセスが検査ルールと該当するか判定する（ステップ１２３）。該当した場合、検出ルール３２に応じて、更新通知手段３３は通知先を通知先ＤＢ３４から取得する（ステップ１２４）。そして、更新通知手段３３は通知先ＤＢ３４で取得したメッセージ内容を、通知先ＤＢ３４で指定されたあて先に発行する（ステップ１２５）。その後ステップ１２６に遷移する。

ステップ１２３で該当しなかった場合、検出ルール３２で検査すべき残りの更新検出ルールがあるか確認する（ステップ１２６）。もし有ればステップ１２１に遷移し、無ければデータアクセス部３０の処理は終了する。

図７に、本発明による通信装置の動作を表すシーケンス図を示す。ここでは、コントローラからデータの格納要求が発せられた場合の動作を説明する。

コントローラ５から、データの格納要求が発行される（ステップ２４０）。通信ＩＦ１１は格納要求を受信し、経路制御部２１へ転送する（ステップ２４１）。その後、通信ＩＦ１１はコントローラ５へ格納要求を受理したと応答する（ステップ２５０）。

格納要求を受信した経路制御部２１は、格納要求のあて先を図３のフローに従い判定し、データアクセス部３０へ格納要求を転送する（ステップ２４２）。データアクセス部は、図６のフローに従い、記憶部４０に格納要求を発行する（ステップ２４３）。その後、記憶部４０から完了通知を受信（ステップ２４４）したデータアクセス部３０は、更新検査を行い、検査ルールに該当したか判定する（ステップ２４５）。その結果、該当した場合には、データアクセス部は更新通知手段３３により経路制御部２０に更新通知を発行する（ステップ２４６）。データアクセス部３０から更新通知を受信した経路制御部２０は、図３のフローに従って通信ＩＦ１０に転送する（ステップ２４７）。

最後に通信ＩＦ１０は、更新通知をＰＣ２へ転送して、処理を終了する（ステップ２４８）。

上述のフローの通り、データアクセス部３０における更新検出手段３１と更新通知手段３３により、コントローラから格納要求されたデータから当該データと関連付けられたＰＣへの更新通知が発行されることが分かる。すなわち、ＰＣはデータの更新をポーリングせずとも、データの更新を知ることが可能となる。

また、経路制御部２０，２１により、通信データのフィルタリングを行うことが可能となる。例えば、コントローラが属するネットワーク４からのアクセスは通過させ、ＰＣが属するネットワーク３からのアクセスを遮断させる設定を経路制御部２０，２１に施すことにより、ＰＣ２からコントローラ５へのアクセスを通信装置１にてブロックすることが可能となる。その効果として、ＰＣからの頻繁なアクセスでコントローラの動作が不安定になるのを防ぐことが可能となる。また、本発明により、ウイルスやワームのような悪意のあるアクセスや、サービス不能攻撃（ＤｏＳ；Denial of Service）からコントローラを守ることが可能となる。

図８は、本発明による第二の実施の形態におけるセキュア通信装置の構成例である。

実施例に使用する符号が同一である機能や要素等は、特に断りのない限り、実施例１で説明した機能や要素等と同一であることを意味する。

実施例１と比べて、本実施例における通信装置は、記憶素子４１を有さず、代わりにデータＩＦ５５を有する。記憶素子４１は、通信装置１′とは別の記憶装置６の中に構成される。

データＩＦ５５として、記憶装置６と接続するためのインターフェースを選択する。例えば、記憶装置６としてＵＳＢ（Universal Serial Bus）によりアクセス可能なＵＳＢメモリやＵＳＢハードディスクを用いるのであれば、データＩＦ５５はＵＳＢ−ＩＦとするのが適切である。また、データＩＦ５５にSerial ＡＴＡ（ＳＡＴＡ）−ＩＦを用いれば、外部のＳＡＴＡハードディスクを利用することが可能である。データＩＦ５５にEthernet−ＩＦを用いることにより、外部のＮＡＳ（Network Attached Storage）を記憶装置６として利用することが可能となる。

データＩＦ５５を適切に構成することにより、Compact Flash（登録商標）や各種メモリカードを利用することも可能となる。

本実施例では、記憶部４０はデータＩＦ５５へアクセスする機能を有する。記憶部４０は、上記で示したような様々な記憶装置６を通信装置から記憶装置として一意に扱うことができるように、インターフェースの抽象化を行う。そのようにすることにより、実施例１に述べた各種構成をそのまま本実施例にて適用可能となる。

本発明により、実施例１の効果に加えて、様々な記憶素子を利用可能となる。例えばハードディスクのような記憶素子の場合、長期間の利用で機械的に磨耗する事故が発生しうる。また、フラッシュメモリを用いた記憶素子も書込み回数に制限があるため、保守により交換することが望ましい。以上のような場合にも、データＩＦ５５により、記憶装置６が交換可能であれば保守性が向上する。

記憶装置６を外付けとすることによるリスクとして、データの盗難が考えられる。しかしながら、例えば本通信装置を盗難が困難な場所に設置するのであれば、本実施例の構成の適用に問題は無い。

図９は、本発明による第三の実施の形態におけるセキュア通信装置の構成を表すブロック図である。実施例に使用する符号が同一である機能や要素等は、特に断りのない限り、実施例１乃至実施例２で説明した機能や要素等と同一であることを意味する。

本実施例による通信装置７は、実施例１，２と比べて、新たに認証部１２，１３を有する。

認証部１２，１３は、通信装置７と接続して通信をするＰＣやコントローラなどの通信機器について、ネットワークを介して真正性を確認する機能を有する。本実施例では、真正性が認められた機器のみ、通信装置７と通信可能とする。

ネットワークを介して接続される機器が信頼の置ける機器であるか確認することで、信頼の度合いに応じたデータの提供が可能となる。例えば、管理者権限を有するＰＣからのデータ要求であれば全てのデータを開示するが、通常オペレータ権限のＰＣからのデータ要求であれば監視データの一部を開示し、権限を認めないＰＣからのデータ要求は拒絶することが可能となる。

通信機器の真正性を確認する手段として、様々な認証技術が存在する。たとえば、公開鍵暗号による認証や、事前共通鍵による認証である。本発明では、それらも含めた公知の認証技術を適用できる。また、真正性を確認する通信プロトコルの実装として、IPsec（Security Architecture for Internet Protocol）を利用することが可能である。

本実施例による、通信動作について説明する。基本的な動作フローは図７に示したとおりである。本実施例が実施例１と異なるのは、定常的な通信処理に入る前に、認証処理を行う点である。すなわち「コントローラと通信装置７との間」と「ＰＣと通信装置７との間」との双方で認証処理を事前に終えるよう処理する。

本発明により、実施例１と実施例２の効果に加え、接続する機器を認証することにより、データの開示範囲を制限できるようになる。信頼の置けない機器に対しては、データを開示しないことが可能となる。

一方、既存のコントローラとの接続を考えると、IPsecによる認証は困難な場合が多い。その場合、通信装置７とコントローラとの間は物理的にセキュリティを保てるように設置し、外部から接続を変更できないようにすることで、認証部１２のみ有効にし認証部１３を無効にして運用しても安全にデータ交換を行うことができる。

図１０は、本発明による第四の実施の形態におけるセキュア通信装置の構成を表すブロック図である。実施例に使用する符号が同一である機能や要素等は、特に断りのない限り、実施例１乃至実施例３で説明した機能や要素等と同一であることを意味する。

本実施例の特徴は、通信装置８から特定の計算機、望ましくは管理用サーバ（図示なし）へ、自身が正常に動作していることを示すハートビートを送信することにある。ハートビートを受信している限り、管理用サーバは通信装置８の動作は健全であると判定できる。ハートビートを生成する方式によっては、通信装置８のみならず、通信装置８がサポートするコントローラ５の健全性をも確認できる。

ハートビートを生成する方式について、２つの例を説明する。第１例はコントローラからハートビートを生成する方式、第２例は通信装置８自身からハートビートを生成する方式である。図１０は第２例を実現するための構成例であり、その内容の詳細は後述する。

はじめに、第１例より説明する。第１例は、コントローラが定期的に特定エリアをアクセスするように設定し、さらに通信装置１において特定エリアへのアクセスを監視するように検出ルール３２と通知先ＤＢ３４を設定することで実現する。

例えば、コントローラ５−１（ＩＰアドレスは１９２.１６８.０.１０）に対して、定期的にArea−Ｘを読み込み（Read）アクセスするよう設定する。

このとき、通信装置１の検出ルール３２について、ソースアドレス２００＝“１９２.１６８.０.１０”、データ更新先エリア２０１＝“Area−Ｘ”，アクセスタイプ２０２＝“Read”，アクション２０３＝“１０”と設定する。

さらに、通知先ＤＢ３４について、アクション２２０＝“１０”，通知先ＩＰアドレス２２１＝“管理用サーバのＩＰアドレス”，メッセージ２２２＝“HeartBeat from ＣＮＴ５：Time＝現在時刻”と設定する。

以上のように構成することで、コントローラが正常に動作し設定通りにArea−Ｘへ読み込みアクセスを続ける限り、通信装置１は当該エリアへのアクセスを検知し、管理用サーバへタイムスタンプ付きのハートビートを送信し続けることが可能となる。

本実施例の第１例の効果として、コントローラ５あるいは通信装置１が異常により停止した場合、管理用サーバが異常を検知することが可能となる点にある。この為、本発明によれば迅速に異常を検知することが可能となるため、システムの可用性を向上することができる。

次に、第二例を、図１０を用いて説明する。

図１０の通信装置８は、図１の通信装置１と比べて、データアクセス部３０がハートビート生成手段３５を有する点で異なる。

ハートビート生成手段３５は、設定された時間間隔で、設定されたエリアを設定されたアクセスタイプでアクセスすることが可能となるよう構成される。

さらに、検出ルール３２と通知先ＤＢ３４を次の例の通り設定することで、管理用サーバにハートビートを通知することが可能となる。

通信装置８の検出ルール３２において、ソースアドレス２００＝“自分自身（例えば１２７.０.０.１）”、データ更新先エリア２０１＝“Area−Ｙ”，アクセスタイプ２０２＝“Read”，アクション２０３＝“１１”と設定する。

通知先ＤＢ３４においては、アクション２２０＝“１１”，通知先ＩＰアドレス２２１＝“管理用サーバのＩＰアドレス”，メッセージ２２２＝“HeartBeat from ＳＥＣ−ＲＴ：Time＝現在時刻”と設定する。

以上の通り設定することで、ハートビート生成手段が設定間隔通りに記憶部４０に対するアクセスを生成するたびに、更新検出手段３１が当該アクセスを検出し、更新通知手段３３が管理用サーバにハートビートに該当する更新通知を発行することが可能となる。

このように、ハートビート生成手段３５を通信装置８が持つことにより、コントローラ５を変更せず、負荷をかけることなくハートビートを管理用サーバに通知することが可能となる。

また、別の効果として、第１例と第２例を組み合わせて実行することで、異常発生時にコントローラ５または通信装置８のいずれで異常が発生したか切り分けることが可能となる。例えば、ハートビート生成手段３５から生成されるハートビートが到達するのに、コントローラ５から生成されるハートビートが到達しない場合、通信装置８は正常でコントローラ５が異常であると判別できる。そのため異常診断を迅速に行うことが可能となり、システムの可用性向上に貢献できる。

図１１は、本発明による第五の実施の形態におけるセキュア通信装置の構成を表すブロック図である。実施例に使用する符号が同一である機能や要素等は、特に断りのない限り、実施例１乃至実施例４で説明した機能や要素等と同一であることを意味する。

本実施例の特徴は、記憶部４０における記憶素子を複数に分割しレベル分けをしたことと、記憶部４０に記憶消去手段４２を設けたことにある。本実施例により、格納するデータの重要度に応じて記憶素子を変えて格納可能となり、通信装置９の盗難などの場合でも重要度の高いデータを消去することが可能となる。

図１２に、記憶部４０の回路例を示す。記憶素子４３−１は記憶消去手段４２により記憶素子への電源を遮断できるよう構成される。記憶消去手段４２へ記憶消去指示が与えられると、記憶消去手段４２は、ＦＥＴやリレーなどのスイッチ手段により、記憶素子４３−１への電源を遮断する。記憶素子４３−１には揮発性の高いメモリ、例えばＳＲＡＭやＤＲＡＭなどを用いる。また、記憶素子４３−ｋは常時電源が供給されている記憶素子とする。

図１２のように構成することで、記憶消去手段４２は記憶消去指示により、特定の記憶素子への電源供給を停止し、記憶素子の記憶内容を確実に消去することが可能となる。

この為、運用する際には、重要度の高いデータを記憶消去可能な記憶素子４３−１に格納し、内容が揮発しては不便なデータや重要度の低いデータを常時電源供給される４３−１以外の記憶素子に格納するのが望ましい。

次に、本実施例による記憶消去動作について、図１３のシーケンス図を用いて説明する。

はじめに、管理用サーバ（ＰＣ２）から通信装置９の認証部１２に対して認証要求が到達する（ステップ２６０）。認証部１２は管理用サーバの真正性を確認する処理を行った後、通信装置が認める装置であると確認できた場合に認証応答を発行する（ステップ２６１）。管理用サーバを認証する処理を行うことで、「なりすまし」による盗難検知不能を回避することが可能となる。

通信装置９が定常動作状態となった際に、データアクセス部３０はハートビートを発行するために、実施例４に従ってハートビートアクセスを記憶部４０に発行する（ステップ２７０）。記憶部４０からの正常応答（ステップ２７１）の後、データアクセス部３０の更新検出手段３１によりアクセスがあったことを検知する（ステップ２７２）。その後、更新通知手段３３はハートビート通知を管理用サーバへ発行する（ステップ２７３）。

このとき、更新通知手段３３は、ハートビートを発行してから、それに対する応答までの時間を計測するタイマ（図示なし）をセットする。タイマが一定時間を計時する前に、管理用サーバからの応答が得られなかった場合、管理用サーバ停止あるいは盗難などの異常と認識する。

ステップ２７３の応答に対しては、ハートビート応答がステップ２７４で得られたので、更新通知手段３３はタイマを初期化して処理は終了する。

次に、ハートビート異常の例を示す。

データアクセス部３０は実施例４に従ってハートビートアクセスを記憶部４０に発行する（ステップ２８０）。記憶部４０からの正常応答（ステップ２８１）の後、データアクセス部３０の更新検出手段３１によりアクセスがあったことを検知する（ステップ２８３）。その後、更新通知手段３３はハートビート通知を管理用サーバへ発行する（ステップ２８４）。

更新通知手段３３は、ハートビートを発行してから、一定時間以内の応答を待つ。このとき、ネットワーク途中でネットワークパケットが欠損することも考えられるので、数回はハートビートを発行することが望ましい。その上で応答が得られなかった場合、更新通知手段３３は異常と判定する。更新通知手段３３は記憶消去指示を記憶部４０に発行し（ステップ２８５）、記憶部４０は記憶消去を実行する（ステップ２８６）。

以上により、管理サーバとの通信が途絶するような場合、例えば通信装置９が盗難に有った場合でも、通信装置９内のデータを消去することが可能となり、重要度の高いデータを安全に保管することが可能となる。

仮に盗難者が管理用サーバとの接続を偽装しながら通信装置９を持ち出そうとしても、認証されていない管理用サーバからの応答は受信できないよう構成するため、やはり通信装置９の重要なデータを消去することが可能となる。

尚、ハートビート生成手段３５と更新通知手段３３を一体としてハートビート通知手段としても良い。その場合にハートビート通知手段は、更新検出手段３１によらずにハートビートを所定の時間間隔で送出し、ハートビートへの応答が所定時間内に得られない場合には、上述した実施例と同様記憶消去を記憶部４０へ指示することが可能となる。

本発明による第一の実施の形態におけるセキュア通信装置の構成を表すブロック図と、システムの概要を示す。 実施例１による通信装置の構成例を示す。 実施例１による経路制御部２０の動作のフローチャートを示す。 実施例１による検出ルールのデータベースの構成を示す。 実施例１による通知先ＤＢのデータベースの構成を表す。 実施例１によるデータアクセス部３０の動作のフローチャートを示す。 実施例１による通信装置の動作を表すシーケンス図を示す。 本発明による第二の実施の形態におけるセキュア通信装置の構成例を示す。 本発明による第三の実施の形態におけるセキュア通信装置の構成を表すブロック図を示す。 本発明による第四の実施の形態におけるセキュア通信装置の構成を表すブロック図を示す。 本発明による第五の実施の形態におけるセキュア通信装置の構成を表すブロック図を示す。 実施例５による記憶部４０の回路例を示す。 実施例５による通信装置の動作のシーケンス図を示す。

符号の説明

１，１′，７，８，９ 通信装置
２ ＰＣ
３，４ ネットワーク
５ コントローラ
６ 記憶装置
１０，１１ 通信ＩＦ
１２，１３ 認証部
２０，２１ 経路制御部
３０ データアクセス部
３１ 更新検出手段
３２ 検出ルール
３３ 更新通知手段
３４ 通知先ＤＢ
３５ ハートビート生成手段
４０ 記憶部
４１，４３ 記憶素子
４２ 記憶消去手段
５０ ＣＰＵ
５１ 内部バス
５２ ＲＡＭ
５３ 不揮発メモリ
５４ ＯＳ
５５ データＩＦ

Claims (16)

1. 複数の通信Ｉ／Ｆを有する通信装置において、
   第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、
   前記通信データの一部を記憶する記憶部と、
   前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、
   前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、
   前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と
   を備えたことを特徴とする通信装置。
2. 請求項１の通信装置において、
   前記更新検出手段は、
   前記データアクセス部による前記記憶部へのアクセスパターンの組み合わせを保持する検出ルールデータベースを有し、
   該検出ルールデータベースに記録されるアクセスパターンに合致の有無を検出することを特徴とする通信装置。
3. 請求項１又は請求項２の通信装置において、
   前記更新通知手段は、
   更新通知を連絡するあて先を保持する通知先データベースを有し、
   前記更新検出手段より通知された情報に従い、前記通知先データベースのあて先に更新通知を送信する
   ことを特徴とする通信装置。
4. 請求項１から請求項３のうちの１つの通信装置において、
   前記記憶部は前記通信装置の外部の記憶素子へデータを送受信するデータインターフェースを備えることを特徴とする通信装置。
5. 複数の通信Ｉ／Ｆを有する通信装置において、
   第１の通信Ｉ／Ｆからの通信において通信相手を認証する第１の認証部と、
   第２の通信Ｉ／Ｆからの通信において通信相手を認証する第２の認証部と、
   前記第１の認証部と前記第２の認証部との間で、通信データの交換と遮断，変更を行う経路制御部と、
   前記通信データの一部を記憶する記憶部と、
   前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、
   前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、
   前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と
   を備えたことを特徴とする通信装置。
6. 複数の計算機が属する複数のネットワークをつなぐ通信システムにおいて、
   前記複数のネットワークを接続する通信装置は複数の通信Ｉ／Ｆを有し、
   第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、
   前記通信データの一部を記憶する記憶部と、
   前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、
   前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、
   前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段とを備え、
   前記複数のネットワークに属する少なくとも１つの計算機は所定の時間間隔で前記通信装置へ通信データを送信し、
   該通信装置は所定の計算機へ前記データ更新の通知を送信する
   ことを特徴とする通信システム。
7. 請求項６の通信システムにおいて、
   前記更新検出手段は、
   前記データアクセス部による前記記憶部へのアクセスパターンの組み合わせを保持する検出ルールデータベースを有し、
   該検出ルールデータベースに記録されるアクセスパターンに合致の有無を検出することを特徴とする通信システム。
8. 請求項６又は請求項７の通信システムにおいて、
   前記更新通知手段は、
   更新通知を連絡するあて先を保持する通知先データベースを有し、
   前記更新検出手段より通知された情報に従い、前記通知先データベースのあて先に更新通知を送信する
   ことを特徴とする通信システム。
9. 請求項６から請求項８のうちの１つの通信システムにおいて、
   前記記憶部は前記通信装置の外部の記憶素子へデータを送受信するデータインターフェースを備えることを特徴とする通信システム。
10. 複数の通信Ｉ／Ｆを有する通信装置において、
    第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、
    前記通信データの一部を記憶する記憶部と、
    前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、
    前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、
    前記更新検出手段より通知され前記１あるいは２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と、
    前記記憶部に所定の時間間隔で所定データの書き込みあるいは読み出しを実行するハートビート生成手段と
    を備えることを特徴とする通信装置。
11. 請求項１０の通信装置において、
    前記ハートビート生成手段の前記記憶部に対するデータアクセスを前記更新検出手段が検知することにより、
    前記通信装置は所定の計算機へ前記データ更新の通知を送信する
    ことを特徴とする通信装置。
12. 複数の通信Ｉ／Ｆを有する通信装置において、
    第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、
    前記通信データの一部を記憶し、又は記憶を消去する記憶部と、
    前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、
    所定の計算機にハートビートを送信するハートビート通知手段とを備え、
    前記計算機からのハートビートの応答が所定時間以内に得られない場合、前記ハートビート通知手段は前記記憶部へ記憶消去の指示を発行する
    ことを特徴とする通信装置。
13. 請求項１２の通信装置において、
    前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、
    該更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と、
    前記記憶部に所定の時間間隔で所定データの書き込みあるいは読み出しを実行するハートビート生成手段とを備え、
    前記計算機からのハートビートの応答が所定時間以内に得られない場合、前記ハートビート通知手段は前記記憶部へ記憶消去の指示を発行する
    ことを特徴とする通信装置。
14. 複数の計算機が属する複数のネットワークをつなぐ通信システムにおいて、
    前記複数のネットワークを接続する通信装置は複数の通信Ｉ／Ｆを有し、
    第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、
    記憶素子に前記通信データを記憶する記憶手段と、前記記憶素子の内容を消去する記憶消去手段を有する記憶部と、
    前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、
    前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、
    該更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段と
    前記記憶部に所定の時間間隔で所定データの書き込みあるいは読み出しを実行するハートビート生成手段とを備え、
    前記計算機からのハートビートの応答が所定時間以内に得られない場合、前記ハートビート通知手段は前記記憶部へ記憶消去の指示を発行する
    ことを特徴とする通信システム。
15. 複数の通信Ｉ／Ｆを有する通信装置において、
    第１の通信Ｉ／Ｆと第２の通信Ｉ／Ｆとの間で、通信データの交換と遮断，変更を行う経路制御部と、
    複数の記憶素子を有して前記通信データの一部を記憶する記憶部と、
    前記経路制御部からの通信データを解釈して前記通信データの一部を前記記憶部への書き込みあるいは読み出しに変換するデータアクセス部と、
    前記記憶部に対するデータの書き込みあるいは読み出しを検出する更新検出手段と、
    前記更新検出手段より通知され前記第１あるいは第２の通信Ｉ／Ｆを介して所定の計算機にデータ更新の有無を通知する更新通知手段とを備え、
    前記記憶部は、記憶するデータの重要度に応じて前記複数の記憶素子を選択することを特徴とする通信装置。
16. 請求項１５の通信装置において、
    前記記憶部は前記通信装置の外部の記憶素子へデータを送受信するデータインターフェースを備える
    ことを特徴とする通信装置。

Images