JP6851698B2

JP6851698B2 - データダイオード

Info

Publication number: JP6851698B2
Application number: JP2017186084A
Authority: JP
Inventors: 隆幸木村; 康之人形; 伴則飯田
Original assignee: 株式会社ワイ・デー・ケー
Priority date: 2017-09-27
Filing date: 2017-09-27
Publication date: 2021-03-31
Anticipated expiration: 2037-09-27
Also published as: JP2019062429A

Description

本発明は、データ通信において、送信されるデータの一方向性を確保する技術に関する。

外部システムからの不正侵入を防ぐとともに、内部システムのデータを外部システムから守る技術は、双方向通信が可能なシステムとしては、重要である。

例えば、特許文献１には、「単方向のデータ転送のみを行い、逆方向からの侵入を防ぐようにした単方向通信装置を得るための技術が開示されている。
そして、逆方向からの侵入を防ぐために論理的な防止機構が採用されている。すなわち、フィルタプログラムをＲＯＭに書き込むことによって、設定変更が難しくなる特定のＩＰアドレスやＭＡＣアドレスなどに対する上位のフィルタプログラムにより、片方向のデータ転送のみを行い、逆方向からの攻撃を防いでいる。

特許文献１に示された技術では、内部システムから外部システムへ論理的な片方向通信を実現した場合でも、実際には通信線が物理的に双方向通信できる状態にある。そのため、フィルタプログラムの改ざんなどにより双方向通信が可能となってしまい、結果的にネットワーク経由での不正侵入などの攻撃が可能となる場合がある。

特許文献２には、「計算機への攻撃に対して、より安全性の高いデータ通信方法を提供できるようにする技術として、物理的な防止機構が採用されている。すなわち、外部システムから内部システムへデータ送信するための信号線を排除することで片方向通信を実現し、内部システムに対する外部の攻撃を防いでいる。

しかし、特許文献２に示された技術では、外部システムから内部システムに向けた通信路が物理的に存在しないので、フィルタプログラムの改ざんなどによる内部システムへの不正侵入などの攻撃を排除することはできる。しかし、通信線において内部システムへデータ送信するための信号線を排除しているため、オート・ネゴシエーション等の通信線における双方向リンクを確立できない。

特許文献３には、特許文献２に開示された技術の問題点を解決するための技術が開示されている。
図１および図２を参照しながら説明すると、一方のネットワークから通信データを受信する第１のポートと、物理層のプロトコル処理を行う第１の物理層回路と、ＭＡＣ層のプロトコル処理を行う第１のＭＡＣ層回路と、前記第１のＭＡＣ層回路と信号線を介して接続される。ＭＡＣ層のプロトコル処理を行う第２のＭＡＣ層回路と、物理層のプロトコル処理を行う第２の物理層回路と、他方のネットワークへ通信データを送信する第２のポートと、を備える。

「ＭＡＣ」とは、ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ（ＭＡＣ）層のプロトコルを処理するＩＣ（チップ）のことである。
前記の信号線は、前記の第１のＭＡＣ層回路から前記の第２のＭＡＣ層回路へ一方向にデータを送信する信号線である。前記の第２のＭＡＣ層回路から前記の第１のＭＡＣ層回路へデータを送信するための信号線は、開放(図２中に「オープン」と表示)されるか、又は、グラウンド(図２中に「ＧＮＤ」と表示）に接続される。グラウンドに接続（プルダウン）することよって、デジタル回路としての電圧を保ち、誤作動を防ぐ。
特許文献３に開示された技術によれば、外部システムからの不正侵入を防ぐとともに、内部システムのデータを外部システムへ安全に提供できる。

特開２００４−１８５４８３号公報特開２０１０−１９９９４３号公報特開２０１６−０７２７１３号公報

特許文献３に開示された技術では、データ（電気信号）の一方向化を実現するため、汎用のＭＡＣ（ＩＣ）を用いている。そして、第一のＭＡＣをグラウンドに接続し、第二のＭＡＣを開放する、という組み立て手順を経る。

本発明が解決すべき課題は、汎用のＭＡＣ（ＩＣ）を特殊な使い方、組み立てをしなくても、データの一方向性を確保できるデータダイオードを提供することにある。

（第一の発明）
第一の発明は、第一の通信機器から送信されてくる電気信号を受信して第二の通信機器へ送信するデータダイオードに係る。
すなわち、前記の第一の通信機器に接続される第一コネクタと、
前記の第二の通信機器に接続される第二コネクタと、
前記の第一コネクタへ送信された電気信号を信号変換処理する第一ＰＨＹと、
その第一ＰＨＹが信号変換処理した論理信号をＭＩＩ経由で一方向化させる一方向通信回路と、
その一方向通信回路によって一方向化の処理が施された論理信号をＭＩＩ経由で受信して信号変換処理する第二ＰＨＹと、を備え、
前記の第一ＰＨＹは、前記の一方向通信回路側にグラウンドへの接続部を備え、
前記の第二ＰＨＹは、前記一方向通信回路側を開放する開放部を備えたデータダイオードである。

（用語説明）
「ＰＨＹ（外部トランシーバ）」とは、物理層のプロトコルを処理するＩＣである。ＭＩＩを持つノードとケーブルとを接続する場合に使用される。衝突検出機能（ＰＨＹが送出したパケットがコリジョンを発生させた場合に、送信端末へコリジョンが発生した旨を知らせる機能）、ジャパー保護機能（ＰＨＹに接続されているノードが何らかの障害によって異常に長い（２０ｍｓ以上）信号を送信しようとした場合に、強制的に送信を中断する機能）、コード変換機能（ノードから送信される符号コードと、ケーブル城野符号コードを変換する機能）、シリアル・パラレル変換機能（ノードから送信されるパラレル信号とケーブル上のシリアル信号を変換する機能）、を備える。
「ＭＩＩ」とは、Media Independent Interface の略である。使用するメディア（ケーブル）によって符号化方式を変更する機能を、端末から分離することで、別のメディアとの接続を可能にする。その場合におけるＰＨＹ以外の部分（端末との接続インタフェイス部）が、ＭＩＩとなる。ＭＩＩは機器の内部に組み込まれていることが一般的だが、ＭＩＩコネクタを装備することでＰＨＹとの接続が可能となる。

（作用）
第一ＰＨＹは、一方向通信回路側に設けられた接続部をグラウンドへ接続する。そのため、第一ＰＨＹが受信したデータがあっても第一の通信機器へは伝送されない。
また、第二ＰＨＹが送信するＭＩＩは、どのデバイスとも接続されずに開放された状態となっているので、第二の通信機器からの送信データがあっても遮断される。

（第一の発明のバリエーション１）
第一の発明は、以下のように形成してもよい。
すなわち、前記の一方向通信回路は、
前記の第一ＰＨＹが信号変換処理した論理信号を受信するデータ受信部と、
そのデータ受信部にて受信した論理信号に対してデータ伝送エラーを抑止するためのエラー抑止部（たとえば、ＦＩＦＯ送信制御部）と、
そのエラー抑止部によるデータ伝送エラー抑止が施された論理信号を前記の第二ＰＨＹへ送信するデータ送信部と、を備える。

（作用）
一方向通信回路は、第一の通信機器の側にはデータ受信部のみが、第二の通信機器の側にはデータ送信部のみが備えられている。したがって、第二の通信機器の側から一方向通信回路へデータ(電気信号)が入ることがない。
よって、データの一方向性をより強固にすることができる。

（第一の発明のバリエーション２）
第一の発明は、以下のように形成してもよい。
すなわち、前記の一方向通信回路は、
前記の第一ＰＨＹが信号変換処理した論理信号を受信する受信用ＭＡＣと、
その受信用ＭＡＣが受信した論理信号を受信するとともに前記の第二ＰＨＹへ送信する送信用ＭＡＣと、を備える。

（作用）
受信用ＭＡＣも送信用ＭＡＣも、汎用品を用いることができる。

（第一の発明のバリエーション２の更なるバリエーション）
第一の発明のバリエーション２は、以下のように形成すると、より好ましい。
すなわち、前記の受信用ＭＡＣには、前記の送信用ＭＡＣ側にグラウンドへの接続部を備え、
前記の送信用ＭＡＣには、前記の受信用ＭＡＣ側を開放する開放部を備えるのである。

（作用）
受信用ＭＡＣおよび送信用ＭＡＣにてデータの一方向性を確保しているので、データの一方向性をより強固にすることができる。

本願では、以下の三点に構成上の特徴を有する。
第一に、ＭＡＣ送信(ＭＡＣ＿１)とＭＡＣ受信(ＭＡＣ＿２)を一体型の構成とし、データ送信の一方向性を確保した。
第二に、一体型ＭＡＣにＰＨＹ＿１およびＰＨＹ＿２を接続し、片方向の回路構成（一方をオープンとしつつ他方を終端とする）とし、データ送信の一方向を確保した。
第三に、独立した装置として、データ送信の一方向性を確保した。すなわち、現時点で運営中のシステムに対しても、所定の場所へ組み込むだけで、データ送信の一方向性を確保できる。

第一の発明によれば、汎用のＭＡＣ（ＩＣ）を特殊な使い方、組み立てをしなくても、データの一方向性を確保できるデータダイオードを提供することができた。

従来技術を示す図である。従来技術を示す図である。第一の実施形態を示すブロック図である。第一の実施形態における主要な処理手順を示すフローチャートである。第二の実施形態を示すブロック図である。第二の実施形態における主要な処理手順を示すフローチャートである。第三の実施形態を示すブロック図である。

以下、本発明を実施形態に基づいて説明する。ここで使用する図面は、図３から図７である。また、必要に応じて図１および図２を比較参照する。

（図３）
図３には、第一の通信機器（たとえば電子計算機）から送信されてくる電気信号を受信して第二の通信機器（パソコン）へ送信するデータダイオードを示す。
このデータダイオードは、前記の第一の通信機器に接続される第一コネクタと、前記の第二の通信機器に接続される第二コネクタと、前記の第一コネクタへ送信された電気信号を信号変換処理する第一ＰＨＹと、その第一ＰＨＹが信号変換処理した論理信号をＭＩＩ経由で一方向化させる一方向通信回路と、その一方向通信回路によって一方向化の処理が施された論理信号をＭＩＩ経由で受信して信号変換処理する第二ＰＨＹと、を備える。

前記の第一ＰＨＹは、前記の一方向通信回路側にグラウンドへの接続部を備える。
また、前記の第二ＰＨＹは、前記一方向通信回路側を開放する開放部を備える。

前記の一方向通信回路は、前記の第一ＰＨＹが信号変換処理した論理信号を受信するデータ受信部と、そのデータ受信部にて受信した電気信号に対してデータ伝送エラーを抑止するためのエラー抑止部と、そのエラー抑止部によるデータ伝送エラー抑止が施された論理信号を前記の第二ＰＨＹへ送信するデータ送信部と、を備えている。

（図４）
図４に基づいて、図３に示したデータダイオードの作用について説明する。
Ｅｔｈｅｒｎｅｔケーブル＿１に接続された通信機器からコネクタ＿１を介して、第一ＰＨＹが電気信号を受信する（Ｓ１）。第一ＰＨＹが受信した電気信号は、ＭＩＩを介して受信部（データ受信部）へ伝送される（Ｓ２）。

第一ＰＨＹに受信されるＭＩＩは、グランドへ接続されているので、第二ＰＨＹが受信したデータがあっても、Ｅｔｈｅｒｎｅｔ_１へは伝送されない。ここにおいて、Ｅｔｈｅｒｎｅｔ_１におけるデータ（電気信号）の一方向化が確保される。

受信部へ伝送された電気信号は、ＦＩＦＯ送信制御部を介して、クロック・ドメイン・クロッシング処理を実行する。この処理によって、データ伝送のエラーが抑止され、送信部に送られる（Ｓ３）。
受信部、ＦＩＦＯ送信制御部、送信部からなる一方向通信回路は、受信部側から送信部側への一方向性が確保されている。

送信部と第二ＰＨＹは、ＭＩＩにて接続される。第二ＰＨＹが送信するＭＩＩは、どのデバイスとも接続されず、開放された状態となっているので、Ｅｔｈｅｒｎｅｔ_２からの送信データがあっても遮断される。ここにおいて、Ｅｔｈｅｒｎｅｔ_２におけるデータ（電気信号）の一方向化が確保される（Ｓ４）。

第二ＰＨＹからコネクタ_２を介して、Ｅｔｈｅｒｎｅｔ_２へ電気信号が送信される（Ｓ５）。
本実施形態に係るデータダイオードは、Ｅｔｈｅｒｎｅｔ_１およびＥｔｈｅｒｎｅｔ_２に接続された通信機器に対して、データの一方向性を確保できる。
電気信号（データ）の一方向性は、第一ＰＨＹ、第二ＰＨＹの段階で確保されているが、一方向通信回路においても一方向性が確保されているので、通信機器＿１のセキュリティは高いレベルで確保されていると言える。

（図５）
図５に示すデータダイオードは、図３に示したデータダイオードにおける一方向通信回路に、２つのＭＡＣ（受信用ＭＡＣおよび送信用ＭＡＣ）を採用した実施形態である。
受信用ＭＡＣにおいては、Ｅｔｈｅｒｎｅｔ_１からコネクタ＿１、第一ＰＨＹを介して接続される側のポートは受信用ポートしか存在せず、送信用ＭＡＣ側のポートは、送信用ポートしか存在しない。
送信用ＭＡＣにおいては、第二ＰＨＹ側のポートは送信用ポートしか存在せず、受信用ＭＡＣ側は受信用ポートしか存在しない。
以上のような受信用ＭＡＣおよび送信用ＭＡＣから構成される一方向通信回路は、電気信号（データ）の一方向性を確保している。

（図６）
図６に基づいて、図５に示したデータダイオードの作用について説明する。
Ｅｔｈｅｒｎｅｔケーブル_１に接続された通信機器から、コネクタ_１を介して第一ＰＨＹが電気信号を受信する（Ｓ１１）。
第一ＰＨＹが受信した電気信号は、ＭＩＩを介して受信用ＭＡＣへ伝送される。第一ＰＨＹに受信されるＭＩＩは、グランドへ接続されているので、第二ＰＨＹが受信したデータがあっても、Ｅｔｈｅｒｎｅｔ_１へは伝送されない（Ｓ１２）。

受信用ＭＡＣへ伝送されてきた論理信号は、データ伝送のエラーが抑止され、送信用ＭＡＣへ送られる（Ｓ１３）。
送信用ＭＡＣと第二ＰＨＹは、ＭＩＩで接続される。第二ＰＨＹが送信するＭＩＩは、どのデバイスとも接続されず、開放された状態となっているので、Ｅｔｈｅｒｎｅｔ_２からの送信データがあっても遮断される（Ｓ１４）。
第二ＰＨＹからコネクタ_２を介して、Ｅｔｈｅｒｎｅｔ_２へ電気信号が送信される（Ｓ１５）。

この実施形態においても、電気信号（データ）の一方向性は、第一ＰＨＹ、第二ＰＨＹの段階で確保されているが、一方向通信回路においても一方向性が確保されているので、通信機器＿１のセキュリティは高いレベルで確保されていると言える。

（図７）
図７は、図５に示したデータダイオードにおける一方向通信回路について、２つのＭＡＣによるデータの一方向性を、より確実とした実施形態を示す。
図５に示した一方向通信回路との相違点は、受信用ＭＡＣ、送信用ＭＡＣといった専用品ではなく、汎用のＭＡＣを用いた点である。そのため、製造がしやすい。

第一ＰＨＹ側のＭＡＣにおいては、第二ＰＨＹ側のＭＡＣへの送信ポートを使っているものの、受信用ポートは、グラウンドに接続する。
また、第二ＰＨＹ側のＭＡＣにおいては、第一ＰＨＹ側のＭＡＣへの受信ポートを使っているものの、送信用ポートは、開放している。
以上のように構成することで、一方向通信回路においてもデータの一方向性を確保している。

図３，５，７に示した実施形態に係るデータダイオードによれば、Ｅｔｈｅｒｎｅｔ_１およびＥｔｈｅｒｎｅｔ_２に接続される通信機器＿１および通信機器＿２の間におけるデータ（電気信号）の一方向性を確保できる。
換言すれば、通信機器＿１および通信機器＿２は、図３，５，７に示した実施形態に係るデータダイオードへ接続するのみで、データ（電気信号）の一方向性を確保できる。

本発明は、情報通信機器の製造業、情報通信サービス業などにおいて利用可能性を有する。

Claims

第一の通信機器から送信されてくる電気信号を受信して第二の通信機器へ送信するデータダイオードであって、
前記の第一の通信機器に接続される第一コネクタと、
前記の第二の通信機器に接続される第二コネクタと、
前記の第一コネクタへ送信された電気信号を信号変換処理する第一ＰＨＹと、
その第一ＰＨＹが信号変換処理した論理信号をＭＩＩ経由で一方向化させる一方向通信回路と、
その一方向通信回路によって一方向化の処理が施された論理信号をＭＩＩ経由で受信して信号変換処理する第二ＰＨＹと、を備え、
前記の第一ＰＨＹは、前記の一方向通信回路側にグラウンドへの接続部を備え、
前記の第二ＰＨＹは、前記の一方向通信回路側を開放する開放部を備えたデータダイオード。
前記の一方向通信回路は、
前記の第一ＰＨＹが信号変換処理した論理信号を受信するデータ受信部と、
そのデータ受信部にて受信した電気信号に対してデータ伝送エラーを抑止するためのエラー抑止部と、
そのエラー抑止部によるデータ伝送エラー抑止が施された論理信号を前記の第二ＰＨＹへ送信するデータ送信部と、
を備えた請求項１に記載のデータダイオード。
前記の一方向通信回路は、
前記の第一ＰＨＹが信号変換処理した論理信号を受信する受信用ＭＡＣと、
その受信用ＭＡＣが受信した論理信号を受信するとともに前記の第二ＰＨＹへ送信する送信用ＭＡＣと、
を備えた請求項１に記載のデータダイオード。
前記の受信用ＭＡＣには、前記の送信用ＭＡＣ側にグラウンドへの接続部を備え、
前記の送信用ＭＡＣには、前記の受信用ＭＡＣ側を開放する開放部を備えた
請求項３に記載のデータダイオード。