JP2012060220A - ネットワークアダプタ - Google Patents

Abstract

【課題】従来手法と比較して低コストで、ソフトウェア的な設定や管理を必要としない単純な仕組みで安全な単方向通信環境を実現するネットワークアダプタを実現すること。
【解決手段】 第１の通信機器と第２の通信機器に接続され、これらの機器間で行われる通信の中で、リンクパルスを除き前記第１の通信機器から前記第２の通信機器への方向に送信される通信のみを継続して成立させるネットワークアダプタであって、前記第１の通信機器から受信した通信信号を前記第２の通信機器に転送する転送部と、前記第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを前記第１の通信機器に転送し、前記リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことを特徴とするネットワークアダプタ。
【選択図】図１

Description

本発明は、第１の通信機器と第２の通信機器に接続され、これらの機器間で行われる通信の中で、リンクパルスを除き前記第１の通信機器から前記第２の通信機器への方向に送信される通信のみを継続して成立させるネットワークアダプタに関し、特に、低コストでソフトウェア的な設定や管理を必要としない方法で単方向通信環境を実現するネットワークアダプタに関するものである。

近年、ネットワーク（たとえば、Ethernet（登録商標））上で、単方向接続を実現するための従来技術がある。単方向接続をしては、決められた方向（機器Ａから機器Ｂに送信する方向等）の通信（たとえばＵＤＰ通信）のみを許可するといったものがある。
具体的には、ファイアウォール装置を使用して単方向接続を実現する方法がある。

ファイアウォール装置は、通信選別機能付きの中継装置であり、受信した通信について、あらかじめ設定された条件（プロトコル種別・発信アドレス・宛先アドレスなど）で通信を選別し、許可されている通信のみを再送信する機能を持つ。
このファイウオール装置で決められた方向の通信（たとえばＵＤＰ通信）のみを許可するように設定することで、単方向のＵＤＰ通信を実現する。

図３は、従来のファイアウォール装置を使用して単方向接続を実現したネットワークシステムの一実施例の構成説明図である。図３において、従来のネットワークシステムは、ファイアウォール装置１、ルータ装置２から構成される。図３では通信機器１００から送信されたＵＤＰ通信のみを許可するものとして説明する。

ファイアウォール装置１は、例えば、外部の通信機器から送信された通信に係る電気信号を受信し、ソフトウェアで処理可能なデータに変換し電気回路などのハードウェアにより構成される第１の受信手段１１と、第１の受信手段１１から通信データを受信し、あらかじめ設定されているフィルタ設定のルールに従い通信のフィルタリングを行なうフィルタリング手段１２と、フィルタのルール（通過・破棄の基準）の設定データを記憶する記憶手段１３と、フィルタリング手段１２により通過することとなったＵＤＰ通信を電気信号に変換してルータ装置２へ送信する送信手段１４と、通信機器１００から送信された通信の電気信号を受信し、ソフトウェアで処理可能なデータに変換しフィルタリング手段１２に送信する第２の受信手段１５とを備える。

記憶手段１３が記憶するフィルタのルールには、たとえば、「ルール１：通信機器１００からのＵＤＰ通信を通過させる」、「ルール２：通信機器１００からのＵＤＰ通信以外の通信はすべて破棄する」等がある。

またフィルタリング手段１２は、第２の受信手段１５から通信データを受けとり、あらかじめ設定されているフィルタのルールに従い通信のフィルタリングを行なう。具体的にはすべての受信データの破棄を行なう。

ルータ装置２は、ファイアウォール装置１の送信手段１４から通信の電気信号を受信してソフトウェアで処理可能なデータに変換して送信し、また、ルーティング手段２１から通信データを受信して電気信号に変換し、ファイアウォール装置２内の受信手段１５に送信する第１の送受信手段２１と、第１の送受信手段２１から通信データを受け取り、通信データに含まれる宛先アドレスを参照し、あらかじめルート設定で設定されたルーティング情報に応じた送受信手段（送受信ポート）にデータを送信するルーティング手段２２と、ルータ装置内の送受信手段で受信された通信を、どの送受信手段に出力するかを決めるルールの設定データである「ルーティング設定情報」を記憶する記憶手段２３と、ルーティング手段２２から通信データを受け取り、電気信号に変換して接続された各ネットワーク宛てに送信し、各ネットワーク１０１〜１０３から受信した電気信号をソフトウェアで処理可能なデータに変換し、ルーティング手段２２に送出する第２の送受信手段２４、第３の送受信手段２５、第４の送受信手段２６から構成される。

記憶手段２３が記憶するルーティング設定情報には、たとえば、「ルール１：第１の送受信手段２１からのブロードキャストパケットは全ての送受信ポート宛てに送信する」、「ルール２：通信機器１００」宛ての通信パケットは「第１の送受信ポート２１」へ送信する」、「ルール３：第２の送受信手段２３、第３の送受信手段、第４の送受信手段は相互に通信を行なわせない」等がある

また、図３では、この例では、通信機器１００は、ＮＴＰサーバであってＵＤＰ通信を行う装置であるものとする。ルータ装置２に接続される各ネットワーク１０１〜１０３には通信機器１００から送出される時刻同期情報を受信するＮＴＰクライアントが接続されている。

このような構成で、従来のネットワークシステムは、次の動作を行う。
（１）通信機器１００（ＮＴＰサーバ）が時刻同期情報を含んだ通信信号を送信する。
（２）ファイアウォール装置１は、図示しないネットワークを介して通信機器１００から通信信号を受信する。
（３）ファイアウォール装置１のフィルタリング手段１２は、記憶手段１３のフィルタのルールに基づいて、通信機器１００からの通信信号をルータ装置２に転送する。
（４）ルータ装置２のルーティング手段２２は、記憶手段２３のルーティング設定情報に基づいて、ファイアウォール装置１から受信した通信信号を、第２の送受信手段２４、第３の送受信手段２５、第４の送受信手段２６を介してネットワーク１０１、ネットワーク１０２、ネットワーク１０３に送信する。
（５）一方、図示しない通信機器１５０が、通信機器１００宛の通信信号をネットワーク１０１を介してルータ装置２に送信する。
（６）ルータ装置２のルーティング手段２２は、記憶手段２３のルーティング設定情報に基づいて、受信した通信信号を、第１の送受信手段２１を介してファイアウォール装置１に送信する。
（７）ファイアウォール装置１のフィルタリング手段１２は、記憶手段１３のフィルタのルール中「ルール２：通信機器１００からのＵＤＰ通信以外の通信はすべて破棄する」のルールに基づいて、通信機器１５０からの通信信号を破棄する。

また、ルータ装置２内のルーティング手段２２の働きにより、ネットワーク１０１、ネットワーク１０２、ネットワーク１０３間では相互に通信が行なえない。

また、ネットワーク１０１、ネットワーク１０２、ネットワーク１０３から通信機器１００宛てに送信された通信は、ファイアウォール装置１内のフィルタリング手段１２の働きによりファイアウォール装置１内で破棄される。

この結果、従来のネットワークシステムでは、通信機器１００からネットワーク１０１、ネットワーク１０２、ネットワーク１０３への単方向のＵＤＰ通信のみを可能とする形で通信を継続することができる。

たとえば、従来のファイアウォール装置を使用して単方向接続を実現したネットワークシステムに関連する先行技術文献として下記の特許文献１がある。

特表２００４−５２８７４８号公報

しかしながら、従来のファイアウォール装置を使用して単方向接続を実現したネットワークシステムは、ファイアウォール装置、ルータ装置は本来、単方向通信の実現を目的としたものではないので、単純な目的に対してコストが高いという問題があった。

ファイアウォール装置とルータ装置のソフトウェア的な設定により単方向通信を実現している。つまり、ハードウェア的には双方向通信が可能な状態であり、設定ミス等によって双方向通信が行なわれてしまう恐れがあるという問題点があった。
このため、単方向通信の機能が維持されているかを常に監査する必要があった。しかし、監査では許可した所定の単方向通信（ＵＤＰ通信）以外の全ての通信が遮断されていることを確認しなくてはならず容易ではないという問題点があった。

また、従来技術で使用しているルータ装置やファイアウォール装置の設定には、これらの機器に関する知識が必要となり、設置や保守にはこの知識を持った技術者が必要となるという問題点があった。

また、従来技術で使用しているルータ装置は、複数のネットワークに接続されており、セキュリティ上の弱点になる恐れがあるという問題点があった。このため、単方向通信の仕組みを構築する手法は、セキュリティ向上の対策として適していない。

本発明は、このような問題点を解決するものであり、その目的は、従来手法と比較して低コストで、ソフトウェア的な設定や管理を必要としない単純な仕組みで安全な単方向通信環境を実現するネットワークアダプタを実現することにある。

上記目的を達成するために、本発明のうち請求項１に記載の発明は、
１の通信機器と第２の通信機器に接続され、これらの機器間で行われる通信の中で、リンクパルスを除き前記第１の通信機器から前記第２の通信機器への方向に送信される通信のみを継続して成立させるネットワークアダプタであって、
前記第１の通信機器から受信した通信信号を前記第２の通信機器に転送する転送部と、
前記第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを前記第１の通信機器に転送し、前記リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことを特徴とするネットワークアダプタである。

請求項２記載の発明は、請求項１に記載のネットワークアダプタにおいて、
前記転送部は、
前記第１の通信機器から受信した通信信号を前記第２の通信機器に転送する転送手段と、
前記第１の通信機器からの受信する通信信号に基づき、所定の単位時間における通過パルス数を計数し、ある単位時間内において計数された通過パルス数が予め定められた制限値を超えると、当該単位時間内のそれ以降の通信信号を遮断する帯域制限フィルタ手段とから構成されることを特徴とする。

請求項３記載の発明は、請求項１または２に記載のネットワークアダプタにおいて、
前記第１の通信機器からの通信信号を受信し、または、前記リンクパルスフィルタ手段からのリンクパルスを前記第２の通信機器に送信する第１の送受信手段と、
前記転送部からの通信信号を前記第２の通信機器に送信し、または、前記第２の通信機器からの通信信号を受信する第２の送受信手段と、を備えたことを特徴とする。

請求項４記載の発明は、請求項１〜３のいずれかに記載のネットワークアダプタにおいて、
前記第１の送受信手段は、第１のネットワークケーブルを介して前記第１の通信機器と接続され、前記第２の送受信手段は、第２のネットワークケーブルを介して前記第２の通信機器と接続されることを特徴とする。

請求項５記載の発明は、請求項２〜４のいずれかに記載のネットワークアダプタにおいて、
前記帯域制限フィルタ手段により、前記第１の通信機器から受信する通信信号に基づき、ある単位時間内において計数された通過パルス数が予め定められた制限値を超えると判断され当該単位時間内のそれ以降の通信信号が遮断されると点灯する帯域超過時発光手段を備えたことを特徴とする。

請求項６記載の発明は、請求項１〜５のいずれかに記載のネットワークアダプタにおいて、
前記リンクパルスフィルタ手段により、前記第２の通信機器からの前記リンクパルスが前記第１の通信機器に転送されると点灯するリンク確立時発光手段を備えたことを特徴とする。

本発明によれば、第１の通信機器から受信した通信信号を第２の通信機器に転送する転送部と、第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを第１の通信機器に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことにより、第１の通信機器から第２の通信機器への単方向のＵＤＰ通信のみを可能とする形で通信を継続することができる。
すなわち、発明のネットワークアダプタは、第１の送受信手段から第２の送受信手段方向への通信は通過させるが、逆方向の通信は遮断する方向性結合器としての機能を実現できる。このとき、逆方向の通信であっても通信リンクの維持に必要なリンクパルスは通過させるため、本発明のネットワークアダプタに接続された機器からはリンクが確立しているものと認識される。

このように、本発明によれば、第１の通信機器から受信した通信信号を第２の通信機器に転送する転送部と、第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを第１の通信機器に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことにより、低コストでソフトウェア的な設定や管理を必要としない方法で単方向通信環境を実現できる。いいかえれば、高価なファイアウォール装置やルータ装置を用いることなく、短方向通信環境が構築できる点で有効である。

本発明によれば、リンクパルスフィルタ手段の機能により、第１の通信機器と第２の通信機器のリンクを維持したまま、第２の通信機器から第１の通信機器への通信を遮断し、通信の単方向性を確保できる。
すなわち、リンクパルスフィルタ手段の機能により、本発明のネットワークアダプタに接続している第１の通信機器からは、通常のネットワークと同じリンク状態であると認識されるため、第１の通信機器側で（プロミスキャスモードなどの）特殊な設定を行う必要がない。このため、特殊な設定機能をもたない機器も接続して利用できる。

また、本発明によれば、物理的な設置のみで利用でき、設置の際、利用者がルータやファイアウォールなどの機器の設定についての知識は不要な点でも有効である。
また、ソフトウェア的な設定やメンテナンスの必要がないため、設定ミスによるセキュリティ低下の危険が無い点でも有効である。
また、ハードウェア的な機構で実現されていることにより、設定について監査をする必要がないため、従来技術のようにルータやファイアウォールなどの監視にかかるランニングコストを低く抑えられる点で有効である。

また、請求項２によれば、帯域制限フィルタ手段は、受信した通信信号に基づき、単位時間あたりの通過パルス数を計数して、あらかじめハードウェア的に設定された制限値を超えた場合、その単位時間内のそれ以降の通信を遮断することにより、ネットワークアダプタに接続されたサーバ機器が攻撃者に乗っ取られた場合でもＤｏＳ攻撃に悪用される恐れが無い点で有効である。

また、請求項５によれば、帯域超過時発光手段の点灯状態に応じて、利用者が帯域状態を確認することができる。
また、請求項６によれば、リンク確立時発光手段の点灯状態に応じて、利用者がリンク状態を確認することができる。

本発明のネットワークアダプタの一実施例の構成説明図である。 本発明のネットワークアダプタはＮＴＰ時刻同期システムに応用した場合の実施例の構成説明図である。 従来のファイアウォール装置を使用して単方向接続を実現したネットワークシステムの一実施例の構成説明図である。

＜第１の実施例＞
本発明は、単方向通信環境を実現する（第１の通信機器から第２の通信機器への方向に送信される通信のみを継続して成立させる）ネットワークアダプタに関するものである。 特に、第１の通信機器から受信した通信信号を第２の通信機器に転送する転送部と、第２の通信機器から受信した通信信号のうち通信維持に必要なリンクパルスを第１の通信機器に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことを特徴とするものである。
これにより低コストでソフトウェア的な設定や管理を必要としない方法で単方向通信環境を実現することができる。

（構成の概要）
以下、図面を参照して本発明を詳細に説明する。
図１は本発明のネットワークアダプタの一実施例の構成説明図であり、図３と共通する部分には同一の符号を付けて適宜説明を省略する。

図３との相違点は、主に、ネットワークケーブルの接続端または通信機器の通信インタフェースに装着して電気的に接続されるネットワークアダプタであって、従来のようにファイアウォール装置、ルータ装置により構成されていない点が相違する。
また本発明は、第１の通信機器から受信した通信信号を第２の通信機器に転送する転送部と、第２の通信機器から受信した通信信号のうち通信維持に必要なリンクパルスを第１の通信機器に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段を備えたことによりハードウェアにより単方向通信環境を実現する（第１の通信機器から第２の通信機器への方向に送信される通信のみを継続して成立させる）点でも相違する。

図１において、説明を簡単にするために、本発明のネットワークアダプタは、第１の通信機器２００から第２の通信機器２０１への方向に送信される通信のみを継続して成立させる（単方向通信環境を実現する）場合を例として以下説明する。

本発明のネットワークアダプタ３は、主に、第１の通信機器２００から受信した通信信号を第２の通信機器２０１に転送する転送手段３１ａと、第１の通信機器２００からの受信する通信信号に基づき、所定の単位時間における通過パルス数を計数し、ある単位時間内において計数された通過パルス数が予め定められた制限値を超えると、当該単位時間内のそれ以降の通信信号を遮断する帯域制限フィルタ手段３１ｂと、第２の通信機器２０１から受信した通信信号のうち通信維持に必要なリンクパルスを第１の通信機器２００に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段３２と、第１の通信機器２００からの通信信号を受信し、または、リンクパルスフィルタ手段３２からのリンクパルスを第２の通信機器２０１に送信するＲＪ−４５コネクタなどの第１の送受信手段３３と、転送部３１からの通信信号を第２の通信機器２０１に送信し、または、第２の通信機器２０１からの通信信号を受信するＲＪ−４５コネクタなどの第２の送受信手段３４とを備える。

ここで、転送手段３１ａと帯域制限フィルタ手段３１ｂとは、第１の通信機器２００から第１の送受信手段３３を介して受信した通信信号を第２の通信機器２０１に転送する転送部３１を構成する。

また、本発明のネットワークアダプタ３は、帯域制限フィルタ手段３１ｂにより、通信信号が遮断されている間は点灯（発光）する帯域超過時発光手段３５と、リンクパルスフィルタ手段３３により、第２の通信機器２０１からのリンクパルスが第１の通信機器２００に転送されると点灯（発光）するリンク確立時発光手段３６も備える。

（主な構成要素の説明）
図１において、第１の通信機器２００は、たとえばＵＤＰ通信などの単方向の送信する機器であり、ＮＴＰサーバが例として挙げられる。第１の通信機器２００は、たとえば、単方向のＵＤＰブロードキャストパケットを送信することでＮＴＰクライアントに時刻同期情報を提供する。
第２の通信機器２０１は、ハブなどのネットワーク装置、または、第１の通信機器２００から送出される時刻同期情報を受信するＮＴＰクライアントなどの装置などが一例として挙げられる。

第１の送受信手段３３は、たとえばＲＪ−４５規格のコネクタであって、第１のネットワークケーブル３００を介して第１の通信機器２００と接続される。
第２の送受信手段３４は、たとえばＲＪ−４５規格のコネクタであって、第２のネットワークケーブル３０１を介して第２の通信機器２０１と接続される。

なお、ネットワークアダプタ３は、第１の送受信手段３３が、第１のネットワークケーブル３００を介さずに第１の通信機器２００の通信インタフェースに直接接続する構成とするものでもよい。また第２の送受信手段３４が、第２のネットワークケーブル３０１を介さずに第２の通信機器２０１の通信インタフェースに直接接続する構成とするものでもよい。

転送手段３１ａは、第１の送受信手段３３から通信信号（ＴＤ）を受信し、第２の送受信手段３４、第２のネットワーク３０１を介して第２の通信機器２０１に出力する（ＲＤ）。主に電子回路などのハードウェアにより本機能を実現する。

帯域制限フィルタ手段３１ｂは、本発明装置を介した大量パケット送信攻撃（ＤｏＳ攻撃）を防止する目的で単位時間あたりに通過する通信パルスの数を制限する。主に電子回路などのハードウェアにより本機能を実現する。
具体的には、帯域制限フィルタ手段３１ｂは、受信した通信信号に基づき、単位時間あたりの通過パルス数を計数して、あらかじめハードウェア的に設定された制限値（たとえば１分間あたり１万パルス）を超えた場合、その単位時間内のそれ以降の通信を遮断（パルスを破棄）する。
このため、本発明のネットワークアダプタ３に接続されたサーバ機器（たとえばＮＴＰサーバ）が攻撃者に乗っ取られた場合でもＤｏＳ攻撃に悪用される恐れが無い。

帯域超過時発光手段３５は、外部から視認可能な位置に設置されたＬＥＤなどのランプにより構成され、帯域制限フィルタ手段３１ｂにより通信信号が遮断されると送信される制御信号に基づき点灯する。
すなわち、帯域超過時発光手段３５は、帯域制限フィルタ手段３１ｂにより、第１の通信機器２００から受信する通信信号に基づき、ある単位時間内において計数された通過パルス数が予め定められた制限値を超えると判断され、当該単位時間内のそれ以降の通信信号が遮断されると（帯域制限フィルタ手段３１ｂからの制御信号を受信して）点灯する。

リンクパルスフィルタ手段３２は、通信の単方向性を確保する目的で、通信機器２０１からの通信信号のうち、通信リンク維持に必要なリンクパルス以外の通信を遮断する。主に電子回路などのハードウェアにより本機能を実現する。

具体的には、リンクパルスフィルタ手段３２は、第２の送受信手段３４から通信信号（ＴＤ）を受信すると、通信リンクのネゴシエーションおよび通信リンクの維持のために１６ｍｓ（ミリ秒）ごとに送信される通信リンクパルスを検出して、通信リンクパルスのみを第１の送受信手段３３に出力（ＲＤ）する。また、リンクパルスフィルタ手段３２は、通信リンクパルス以外の信号はすべて遮断（破棄）する。

リンクパルスフィルタ手段３２の機能により、通信機器２００と通信機器２０１のリンクを維持したまま、第２の通信機器２０１から第１の通信機器２００への通信を遮断し、通信の単方向性を確保できる。
すなわち、リンクパルスフィルタ手段３２の機能により、本発明のネットワークアダプタ３に接続している第１の通信機器２００からは、通常のネットワークと同じリンク状態であると認識されるため、第１の通信機器２００側で（プロミスキャスモードなどの）特殊な設定を行う必要がない。このため、特殊な設定機能をもたない機器も接続して利用できる。

リンク確立時発光手段３６は、外部から視認可能な位置に設置されたＬＥＤなどのランプにより構成され、リンクパルスフィルタ手段３３により、リンクパルスが検出されリンクが確立している時に送信される制御信号に基づき点灯する。
すなわち、リンク確立時発光手段３６は、リンクパルスフィルタ手段３３により、通信リンクパルスが検出され、通信リンクパルスのみが第１の送受信手段３３に出力（ＲＤ）されると（リンクパルスフィルタ手段３３からの制御信号を受信して）点灯する。
このため、リンク確立時発光手段３６の点灯状態に応じて、利用者がリンク状態を確認することができる。

（動作の説明）
このような構成により、本発明のネットワークアダプタ３は以下の動作を行う。
（１）第１の通信機器２００（ＮＴＰサーバ）が時刻同期情報を含んだ通信信号を送信する。
（２）ネットワークアダプタ３は、第１のネットワークケーブル３００、第１の送受信手段３３を介して第１の通信機器２００から通信信号を受信する。
（３）ネットワークアダプタ３の転送手段３１ａは、第１の送受信手段３３から通信信号を受信し、第２の送受信手段３４、第２のネットワーク３０１を介して第２の通信機器２０１に出力する。
（４）ネットワークアダプタ３の帯域制限フィルタ手段３１ｂは、第１の通信機器２００から受信した通信信号に基づき、単位時間あたりの通過パルス数を計数して、あらかじめハードウェア的に設定された制限値（たとえば１分間あたり１万パルス）を超えた場合、その単位時間内のそれ以降の通信を遮断（パルスを破棄）する。
（５）帯域超過時発光手段３５は、帯域制限フィルタ手段３１ｂにより通信信号が遮断されると送信される制御信号に基づき点灯する。
（６）一方、第２の通信機器２０１が、第１の通信機器２００宛の通信信号を第２のネットワーク２０１を介してネットワークアダプタ３に送信する。ネットワークアダプタ３は第２の送受信手段３４を介して通信信号を受信する。
（７）ネットワークアダプタ３のリンクパルスフィルタ手段３２は、第２の送受信手段３４から通信信号（ＴＤ）を受信すると、通信リンクのネゴシエーションおよび通信リンクの維持のために１６ｍｓごとに送信される通信リンクパルスを検出して、通信リンクパルスのみを第１の送受信手段３３に出力（ＲＤ）する。また、リンクパルスフィルタ手段３２は、通信リンクパルス以外の信号はすべて遮断（破棄）する。
（８）リンク確立時発光手段３６は、リンクパルスフィルタ手段３３により、リンクパルスが検出されリンクが確立している時に送信される制御信号に基づき点灯する。

この結果、本発明のネットワークアダプタは、第１の通信機器から受信した通信信号を第２の通信機器に転送する転送部と、第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを第１の通信機器に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことにより、第１の通信機器２００から第２の通信機器２０１への単方向のＵＤＰ通信のみを可能とする形で通信を継続することができる。
すなわち、発明のネットワークアダプタは、第１の送受信手段３３から第２の送受信手段３４方向への通信は通過させるが、逆方向の通信は遮断する方向性結合器としての機能を実現できる。このとき、逆方向の通信であっても通信リンクの維持に必要なリンクパルスは通過させるため、本発明のネットワークアダプタに接続された機器からはリンクが確立しているものと認識される。

このように、本発明のネットワークアダプタは、第１の通信機器から受信した通信信号を第２の通信機器に転送する転送部と、第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを第１の通信機器に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことにより、低コストでソフトウェア的な設定や管理を必要としない方法で単方向通信環境を実現できる。いいかえれば、高価なファイアウォール装置やルータ装置を用いることなく、短方向通信環境が構築できる点で有効である。

また、本発明のネットワークアダプタであれば、物理的な設置のみで利用でき、設置の再利用者がルータやファイアウォールなどの機器の設定についての知識は不要な点でも有効である。
また、本発明のネットワークアダプタの運用にあっては、すべてハードウェアにより構成されているので、ソフトウェア的な設定やメンテナンスの必要がないため、設定ミスによるセキュリティ低下の危険が無い点でも有効である。
また、本発明のネットワークアダプタは、ハードウェア的な機構で実現されていることにより、設定について監査をする必要がないため、従来技術のようにルータやファイアウォールなどの監視にかかるランニングコストを低く抑えられる点で有効である。

なお、本発明のネットワークアダプタはＮＴＰ時刻同期システムに応用するものでもよい。図２は本発明のネットワークアダプタはＮＴＰ時刻同期システムに応用した場合の実施例の構成説明図である。

図２において、ＮＴＰサーバ４０から送信されたＵＤＰブロードキャストによるＮＴＰ時刻同期情報はネットワークアダプタ３を介してハブなどのネットワーク機器４１に入力される。

ＮＴＰ時刻同期情報は、ネットワーク機器４１により転送され、ネットワークアダプタ４、ネットワークアダプタ５、ネットワークアダプタ６を介してそれぞれネットワーク機器４２、ネットワーク機器４３、ネットワーク機器４４に出力される。

そして、ＮＴＰ時刻同期情報は、ネットワーク機器４２〜４４からそれぞれ接続されるネットワーク４０１〜４０３にブロードキャストされる。
このとき、本発明のネットワークアダプタの上述の機能により、ネットワーク４０１〜４０３からＮＴＰサーバ４０向きの通信はすべて遮断される。また、ネットワーク４０１〜４０３がネットワーク機器４１を介して相互に通信行うこともできない。

このため、ネットワークアダプタが、第１の通信機器から受信した通信信号を第２の通信機器に転送する転送部と、第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを第１の通信機器に転送し、リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことにより、一方向だけに通信信号を流すことができるため、ＮＴＰ時刻同期配信のための接続によるセキュリティ低下が防止できる。

なお、本発明のネットワークアダプタは、Ethernet（登録商標）上で単方向通信のみを行う機器全般に応用できる。
たとえば、１台のＮＴＰサーバ装置と複数のネットワークの間に、本発明のネットワークアダプタを挿入することにより、ＮＴＰサーバの時刻同期情報を安全に複数ネットワークに配信できる。
また、１台のログサーバと複数のログクライアントの間に、本発明のネットワークアダプタを挿入することにより、各ログクライアントからのログ情報を安全にログサーバに集約できる。
また、複数の電子投票端末と電子投票サーバの間に本発明のネットワークアダプタを挿入することにより、 投票端末から投票結果を閲覧することが原理的に不可能となり、システムのセキュリティを向上させることができる。

３ ネットワークアダプタ
３１ 転送部
３１ａ 転送手段
３１ｂ 帯域制限フィルタ手段
３２ リンクパルスフィルタ手段
３３ 第１の送受信手段
３４ 第２の送受信手段
３５ 帯域超過時発光手段
３６ リンク確立時発光手段
２００ 第１の通信機器
２０１ 第２の通信機器
３００ 第１のネットワークケーブル
３０１ 第２のネットワークケーブル

Claims (6)

1. 第１の通信機器と第２の通信機器に接続され、これらの機器間で行われる通信の中で、リンクパルスを除き前記第１の通信機器から前記第２の通信機器への方向に送信される通信のみを継続して成立させるネットワークアダプタであって、
   前記第１の通信機器から受信した通信信号を前記第２の通信機器に転送する転送部と、
   前記第２の通信機器からの通信信号のうち通信維持に必要なリンクパルスを前記第１の通信機器に転送し、前記リンクパルス以外の通信は遮断するリンクパルスフィルタ手段、を備えたことを特徴とするネットワークアダプタ。
2. 前記転送部は、
   前記第１の通信機器から受信した通信信号を前記第２の通信機器に転送する転送手段と、
   前記第１の通信機器からの受信する通信信号に基づき、所定の単位時間における通過パルス数を計数し、ある単位時間内において計数された通過パルス数が予め定められた制限値を超えると、当該単位時間内のそれ以降の通信信号を遮断する帯域制限フィルタ手段とから構成されることを特徴とする請求項１記載のネットワークアダプタ。
3. 前記第１の通信機器からの通信信号を受信し、または、前記リンクパルスフィルタ手段からのリンクパルスを前記第２の通信機器に送信する第１の送受信手段と、
   前記転送部からの通信信号を前記第２の通信機器に送信し、または、前記第２の通信機器からの通信信号を受信する第２の送受信手段と、を備えたことを特徴とする請求項１または２記載のネットワークアダプタ。
4. 前記第１の送受信手段は、第１のネットワークケーブルを介して前記第１の通信機器と接続され、前記第２の送受信手段は、第２のネットワークケーブルを介して前記第２の通信機器と接続されることを特徴とする請求項１〜３のいずれかに記載のネットワークアダプタ。
5. 前記帯域制限フィルタ手段により、前記第１の通信機器から受信する通信信号に基づき、ある単位時間内において計数された通過パルス数が予め定められた制限値を超えると判断され当該単位時間内のそれ以降の通信信号が遮断されると点灯する帯域超過時発光手段を備えたことを特徴とする請求項２〜４のいずれかに記載のネットワークアダプタ。
6. 前記リンクパルスフィルタ手段により、前記第２の通信機器からの前記リンクパルスが前記第１の通信機器に転送されると点灯するリンク確立時発光手段を備えたことを特徴とする請求項１〜５のいずれかに記載のネットワークアダプタ。

Images