JP2016149617A

JP2016149617A - ポリシ制御システムおよびポリシ制御方法

Info

Publication number: JP2016149617A
Application number: JP2015024817A
Authority: JP
Inventors: 千晴森岡; Chiharu Morioka; 司岡本; Tsukasa Okamoto
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2015-02-10
Filing date: 2015-02-10
Publication date: 2016-08-18
Anticipated expiration: 2035-02-10
Also published as: JP6325469B2

Abstract

【課題】リソース重複やリソース消費の増大を解消すること。
【解決手段】ポリシ管理装置１０が、ユーザ毎に、フローが経由する各機能グループと該各機能グループの経由順序を決定し、フローが経由する各機能グループに対して設定するユーザポリシをそれぞれ決定する。また、チェイン設定装置２０が、ＶＮＦ３０の配備情報に基づいて、ポリシ管理装置１０によって決定された経由する機能グループの機能を具備するＶＮＦ３０を特定し、経由するＶＮＦ３０と該ＶＮＦ３０の経由順序を決定する。そして、ポリシ管理装置１０が、チェイン設定装置２０によって決定された経由するＶＮＦ３０が具備する各機能グループに対して、該各機能グループに対応したユーザポリシの設定をそれぞれ指示する。
【選択図】図２

Description

本発明は、ポリシ制御システムおよびポリシ制御方法に関する。

従来、アプリケーションを意識した通信サービスの提供や、プロビジョニングのため、ＩＰ(Internet Protocol)ネットワーク内において、パケットのペイロード部（以下Ｌ７と称する）を分析し、フロー制御を行う技術が提案されている。

このようなフロー制御を行う技術において、ＤＰＩ（Deep Packet Inspection）装置は、３ＧＰＰＴＳ２３．２０３に規定されるＰＣＥＦ（Policy and Charging Enforcement Function）及びＴＤＦ（Traffic Detection Function）機能を具備している（非特許文献１参照）。

また、ポリシ管理装置は、ＤＰＩ装置に対してユーザポリシを管理及び設定するＰＣＲＦ（Policy Control and Charging Rules Function）機能を具備している。このようなポリシ管理装置は、ＤＰＩ装置からユーザの通信開始情報を受信すると、ＤＰＩ装置へユーザポリシの設定を指示する。そして、ＤＰＩ装置は、指示されたユーザポリシを設定し、フロー条件をフローエントリする。その後、ＤＰＩ装置は、入力フローをフロー識別し、条件に合致したフローに対して制御を行う。

また、ＤＰＩ装置が具備するフロー識別機能には、例えばパケットヘッダ情報によるフロー識別や、ペイロード分析によるアプリケーション識別がある。ここで、パケットヘッダ情報による識別は片方向フロー毎に可能だが、アプリケーション識別を適切に行うためには双方向フローを同一ＤＰＩ装置へ入力する必要がある。また、フロー制御機能には、優先制御、最大帯域制限、遮断、フロー転送、通信データ量カウントなどがある。例えば、遮断は制御実施位置を問わないが、優先制御は優先区間の手前で実施する必要がある。また、最大帯域制限は、ＮＷへの入力側エッジノード付近で実施することで網内トラヒックを削減できる。

"3GPP TS 23.203 V13.1.0 (2014-09) "［online］、2014年9月、3GPP、［2014年12月19日検索］、インターネット（http://www.3gpp.org/DynaReport/23203.htm）

しかしながら、上記したＤＰＩ装置は専用ハードウェアとして用意されているが、ＤＰＩ装置が実現する機能によってはリソース重複やリソース消費の増大等が発生する場合があるという課題があった。

例えば、双方向フローを入力させる必要のある識別制御と、ＮＷへの入力側での識別制御を同一フローに対して行う場合には、双方向フローを両エッジノード付近に配備された２つのＤＰＩ装置へ転送して各々でユーザポリシに基づいた識別制御を行う。この場合、両ＤＰＩ装置で同じユーザポリシに基づいた識別制御を行うため処理が重複し、ＮＷ全体での処理量やフローエントリ数が増加することとなる。

上述した課題を解決し、目的を達成するために、本発明のポリシ制御システムは、ネットワークにおいて、ユーザ端末から送受信されるフローを識別または制御する機能のうち、いずれか一つまたは複数の機能をグループ化した機能グループを具備する複数のＶＮＦと、前記ＶＮＦが具備する各機能グループに対して、各フローに対して実行するユーザポリシの設定を指示するポリシ管理装置と、各フローが経由するＶＮＦと該ＶＮＦの経由順序を決定するチェイン設定装置と、を含み、前記ポリシ管理装置は、ユーザ毎に、フローが経由する各機能グループと該各機能グループの経由順序を決定する機能と、前記フローが経由する各機能グループに対して設定するユーザポリシをそれぞれ決定する機能と、前記チェイン設定装置によって決定された経由するＶＮＦが具備する各機能グループに対して、該各機能グループに対応したユーザポリシの設定をそれぞれ指示する機能と、を有し、前記チェイン設定装置は、ＶＮＦの配備情報に基づいて、前記ポリシ管理装置によって決定された経由する機能グループの機能を具備するＶＮＦを特定し、経由するＶＮＦと該ＶＮＦの経由順序を決定する機能とを有することを特徴とする。

また、本発明のポリシ制御方法は、ポリシ制御システムで実行されるポリシ制御方法であって、前記ポリシ制御システムは、ネットワークにおいて、ユーザ端末から送受信されるフローを識別または制御する機能のうち、いずれか一つまたは複数の機能をグループ化した機能グループを具備する複数のＶＮＦと、前記ＶＮＦが具備する各機能グループに対して、各フローに対して実行するユーザポリシの設定を指示するポリシ管理装置と、各フローが経由するＶＮＦと該ＶＮＦの経由順序を決定するチェイン設定装置と、を含み、前記ポリシ管理装置が、ユーザ毎に、フローが経由する各機能グループと該各機能グループの経由順序を決定し、前記ポリシ管理装置が、前記フローが経由する各機能グループに対して設定するユーザポリシをそれぞれ決定し、前記チェイン設定装置が、ＶＮＦの配備情報に基づいて、前記ポリシ管理装置によって決定された経由する機能グループの機能を具備するＶＮＦを特定し、経由するＶＮＦと該ＶＮＦの経由順序を決定し、前記ポリシ管理装置が、前記チェイン設定装置によって決定された経由するＶＮＦが具備する各機能グループに対して、該各機能グループに対応したユーザポリシの設定をそれぞれ指示する各処理を含むことを特徴とする。

本発明によれば、例えば、リソース重複やリソース消費の増大を解消することができるという効果を奏する。

図１は、第一の実施の形態に係るポリシ制御システムの構成の一例を示す図である。図２は、第一の実施の形態に係るポリシ管理装置の構成を示すブロック図である。図３は、識別制御機能情報テーブルの一例を示す図である。図４は、機能グループ情報テーブルの一例を示す図である。図５は、第一の実施の形態に係るチェイン設定装置の構成を示すブロック図である。図６は、経由するＶＮＦを決定する処理を説明する図である。図７は、上り／下りフローそれぞれに対して、双方向フローの入力が必要なＶＮＦは同一のＶＮＦを経由するようにチェインを決定する処理を説明する図である。図８は、第一の実施の形態に係るポリシ管理装置におけるポリシ決定処理の流れを示すフローチャートである。図９は、第一の実施の形態に係るチェイン設定装置におけるチェイン決定処理の流れを示すフローチャートである。図１０は、第一の実施の形態に係るポリシ管理装置およびチェイン設定装置におけるチェイン変更処理の流れを示すフローチャートである。図１１は、機能グループ情報テーブルの一例を示す図である。図１２は、プログラムが実行されることにより、ポリシ管理装置、チェイン設定装置が実現されるコンピュータの一例を示す図である。

以下に、本願に係るポリシ制御システムおよびポリシ制御方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係るポリシ制御システムおよびポリシ制御方法が限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係るポリシ制御システムの構成、ポリシ管理装置の構成、チェイン設定装置の構成、ポリシ制御システムにおける各装置の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［ポリシ制御システムの構成］
図１は、第一の実施の形態に係るポリシ制御システムの構成の一例を示す図である。第一の実施の形態に係るポリシ制御システム１は、キャリアＮＷ等である。図１に示すように、ポリシ制御システム１は、ポリシ管理装置１０、チェイン設定装置２０、複数のＶＮＦ３０Ａ〜３０Ｄ、複数のエッジノード４０Ａ、４０Ｂ、ユーザ端末５０、他事業者網６０およびＤＢ７０を有する。

ポリシ制御システム１では、従来のＤＰＩ装置の識別制御機能を専用ハードウェアより容易に機能の追加・削除・変更が可能な仮想化し、ＤＰＩ装置の識別制御機能のうち１つ以上の機能を１つのＮＷ機能（ＶＮＦ）として実現して、フローをチェイニングにより複数ＶＮＦ３０Ａ〜３０Ｄを経由させることにより適切な位置で識別制御を実施する。

ポリシ制御システム１では、クラウド上にＶＮＦ３０Ａ〜３０Ｄを配備する。ＶＮＦ３０Ａ〜３０Ｄを配備する際に、配備位置に条件のあるＶＮＦ３０については、条件に合う位置のクラウド（図１では、ネットワーク機能クラウドと記載）へ配備する。なお、図１に示す各装置や機能の数は、あくまで一例であり、これに限られるものではない。また、ＶＮＦ３０Ａ〜３０Ｄおよびエッジノード４０Ａ、４０Ｂについて、特に区別なく説明する場合には、ＶＮＦ３０、エッジノード４０と記載する。

ポリシ管理装置１０は、ＶＮＦ３０Ａ〜３０Ｄが具備する各機能グループに対して、各フローに対して識別制御を実行するユーザポリシの設定を指示する。ここでユーザポリシとは、ユーザ毎の識別制御と、その識別制御を適用するフロー条件である。

チェイン設定装置２０は、フローを識別し、ユーザのサービス契約情報に応じてフロー毎に適切なチェインを割り当てる。チェイン設定装置２０は、割り当てるチェインとして、各フローが経由するＶＮＦと該ＶＮＦの経由順序を決定する。具体的には、チェイン設定装置２０は、ＶＮＦ３０の配備情報及び、ポリシ管理装置１０によって決定された経由する機能グループとその経由順序、各機能グループの配備位置条件と入力フロー条件に基づいて、経由する機能グループの機能を具備するＶＮＦ３０を特定し、経由するＶＮＦ３０と該ＶＮＦ３０の経由順序を決定する。

ＶＮＦ３０Ａ〜３０Ｄは、ポリシ制御システム１において、ユーザ端末５０から送受信されるフローを識別または制御する機能のうち、いずれか一つまたは複数の機能をグループ化した機能グループを具備する。また、所定の機能グループを具備するＶＮＦ３０は、エッジルータの近傍に配備される。例えば、最大帯域制限を行う機能グループを具備するＶＮＦ３０は、入力側エッジルータの近傍に配備される。

また、ポリシ制御システム１においては、同一の機能グループを有するＶＮＦが、１つ以上存在するものとする。つまり、ポリシ制御システム１では、例えば、機能グループＡを具備する１つ以上のＶＮＦが配備されており、また、機能グループＢを具備する１つ以上のＶＮＦが配備されているものとする。

エッジノード４０Ａ、４０Ｂは、チェインに対する経路情報を保持している。また、エッジノード４０Ａ、４０Ｂは、フローを識別し、フロー毎に適用するチェインに応じた経路を設定する機能を具備している。エッジノード４０Ａ、４０Ｂは、チェイン設定装置２０からチェインとそのチェインを割り当てるフロー情報を受信した場合には、受信したチェインとフロー情報を設定する。そして、エッジノード４０Ａ、４０Ｂは、入力されたフローを識別し、フロー毎に適用するチェインに応じた経路を設定する。また、エッジノード４０Ａ、４０Ｂは、ユーザの通信開始を契機として、チェイン設定装置２０へ通信開始情報を送信する。なお、通信開始情報には、ユーザ識別情報及び接続先情報、フロー情報が含まれているものとする。

ＤＢ７０は、ポリシ管理装置１０およびチェイン設定装置２０がアクセス可能なデータを記憶する。例えば、ＤＢ７０は、ユーザ毎に、ユーザ情報とユーザポリシ情報を記憶する。

［ポリシ管理装置の構成］
次に、図２を用いて、図１に示したポリシ管理装置１０の構成を説明する。図２は、第一の実施の形態に係るポリシ管理装置の構成を示すブロック図である。図２に示すように、このポリシ管理装置１０は、通信処理部１１、制御部１２、記憶部１３を有する。以下にこれらの各部の処理を説明する。

通信処理部１１は、チェイン設定装置２０やＶＮＦ３０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、フローが経由するＶＮＦ３０とそのＶＮＦ３０が具備する機能グループの情報をチェイン設定装置２０から受信する。また、例えば、通信処理部１１は、機能グループに対応したユーザポリシの設定をＶＮＦ３０に対して送信する。

記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、識別制御機能情報テーブル１３ａ、機能グループ情報テーブル１３ｂおよびサービス情報テーブル１３ｃを記憶する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

識別制御機能情報テーブル１３ａは、識別制御機能毎の入力フロー条件及び配備位置条件が登録されている。例えば、識別制御機能情報テーブル１３ａは、図３に例示するように、識別制御機能を一意に識別する情報である「識別制御機能」と、片方向フローでフロー識別制御が可能であるか双方向フローでフロー識別制御が可能であるかを示す「入力フロー条件」と、識別制御機能を具備するＶＮＦ３０の配備位置の条件を示す「配備位置条件」とを対応付けて記憶する。なお、配備位置条件として、例えば、条件なしであるか、もしくは、ユーザ端末５０側のエッジノード付近または他事業者網６０側のエッジノード付近に配備されることを示す情報を記憶する。

図３の例を挙げて説明すると、識別制御機能情報テーブル１３ａは、識別制御機能「ａ」と、入力フロー条件「１（双方向）」と、配備位置条件「０（条件なし）」とを対応付けて記憶する。これは、識別制御機能「ａ」について、フロー識別制御のために双方向フローの入力が必要であり、該識別制御機能を具備するＶＮＦ３０の配備位置の条件はないことを意味している。

また、例えば、図３の例では、識別制御機能情報テーブル１３ａは、識別制御機能「ｄ」と、入力フロー条件「０（片方向可）」と、配備位置条件「１（エッジ：ユーザ端末側）」とを対応付けて記憶する。これは、識別制御機能「ｄ」について、片方向フローの入力でフロー識別制御が可能であり、該識別制御機能を具備するＶＮＦ３０の配備位置の条件としてユーザ端末５０側のエッジノードに配備されるべきであることを意味している。なお、ここでは、配備位置条件として、ユーザ端末５０側のエッジノード付近または他事業者網６０側のエッジノード付近に配備されることを示す情報を記憶してもよい。

機能グループ情報テーブル１３ｂは、各機能グループを構成する識別制御機能が登録されている。例えば、機能グループ情報テーブル１３ｂは、図４に例示するように、機能グループを一意に識別する情報である「機能グループ」と識別制御機能を一意に識別する情報である「識別制御機能」とを対応付けて記憶する。

図４の例を挙げて説明すると、機能グループ情報テーブル１３ｂは、機能グループ「Ａ」と、識別制御機能「ａ，ｂ」とを対応付けて記憶する。これは、機能グループ「Ａ」が、識別制御機能「ａ」と識別制御機能「ｂ」との組合せからなる機能グループであることを意味する。なお、機能グループは、例えば所定のサービスの実現に必要な機能や、入力フロー条件や配備位置条件が一致する機能など、関連の高い機能で構成されるものとする。なお、上述したように、ポリシ制御システム１においては、同一の機能グループを有するＶＮＦが、１つ以上存在するものとする。つまり、機能グループＡを具備する１つ以上のＶＮＦは、それぞれ識別制御機能「ａ」と識別制御機能「ｂ」とを有しているものとする。

サービス情報テーブル１３ｃには、サービス毎に、経由する機能グループと経由順序、各機能グループの配備位置条件と入力フロー条件、各機能グループで適用するフロー識別・制御情報が登録されている。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、機能決定部１２ａ、ポリシ決定部１２ｂおよびポリシ設定部１２ｃを有する。

機能決定部１２ａは、ユーザ毎に、フローが経由する各機能グループと該各機能グループの経由順序を決定する。具体的には、機能決定部１２ａは、ユーザ情報とサービス情報テーブル１３ｃに基づいて、ユーザ毎に、対象フローと、当該フローが経由する機能グループと、各機能グループの配備位置条件と入力フロー条件と、経由順序を決定する。この情報をＤＢ７０に保持する。ここで、ユーザ情報とは、ユーザの契約情報等である。なお、以下では、対象フローと、当該フローが経由する機能グループと、各機能グループの配備位置条件と入力フロー条件と、経由順序との情報の組を「対象フロー経由機能グループ情報」と適宜記載する。

ポリシ決定部１２ｂは、フローが経由する各機能グループに対して設定するユーザポリシをそれぞれ決定する。具体的には、ポリシ決定部１２ｂは、ユーザ情報とサービス情報テーブル１３ｃに基づいて、ユーザ毎に、対象フローが経由する機能グループの機能を具備するＶＮＦ３０へ設定するユーザポリシ（当該ＶＮＦ３０において実施する識別制御と、その識別制御を適用するフロー条件）を決定し、上述の機能決定部１２ａにおいて決定した対象フロー経由機能グループ情報と関連付けて、ユーザポリシ情報としてＤＢ７０に保持する。

ポリシ設定部１２ｃは、チェイン設定装置２０によって決定された経由するＶＮＦ３０が具備する各機能グループに対して、該各機能グループに対応したユーザポリシの設定をそれぞれ指示する。具体的には、ポリシ設定部１２ｃは、経由するＶＮＦ３０とそのＶＮＦ３０が具備する機能グループの情報をチェイン設定装置２０から受信すると、機能グループに対応したユーザポリシの設定を各ＶＮＦ３０へ指示する。その後、指示を受け付けたＶＮＦ３０は、ポリシ管理装置１０から指示されたユーザポリシを設定し、条件に合致したフローに対して識別制御を実施する。

つまり、従来のＤＰＩ装置はポリシ制御の全識別制御機能を具備しているため、ポリシ管理装置は、ユーザ毎にサービス契約情報に基づいて作成したユーザポリシを保持し、ＤＰＩ装置からの要求に応じてユーザポリシの設定を指示していた。しかし、本実施形態では、ＶＮＦ３０はポリシ制御の識別制御機能のうち１つ以上の機能のみを具備し、ＶＮＦ３０によって具備する機能の機能グループが異なる。そのため、ポリシ管理装置１０は、ユーザのサービス契約情報や機能グループ情報などに基づいて各フローが経由すべきＶＮＦ３０の機能グループと、当該機能グループの機能を具備したＶＮＦ３０へ設定するユーザポリシを決定し、ユーザフローが経由する各ＶＮＦ３０へ適切なユーザポリシの設定を指示する必要がある。

［チェイン設定装置の構成］
次に、図５を用いて、図１に示したチェイン設定装置２０の構成を説明する。図５は、第一の実施の形態に係るチェイン設定装置の構成を示すブロック図である。図５に示すように、このチェイン設定装置２０は、通信処理部２１、制御部２２、記憶部２３を有する。以下にこれらの各部の処理を説明する。

通信処理部２１は、ポリシ管理装置１０やエッジノード４０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部２１は、フローが経由するＶＮＦ３０とそのＶＮＦ３０が具備する機能グループの情報をポリシ管理装置１０に送信する。また、通信処理部２１は、チェインとそのチェインを割り当てるフロー情報を送信元のエッジノード４０へ送信する。また、通信処理部２１は、エッジノード４０から通信開始情報を受信する。

記憶部２３は、制御部２２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、キャッシュテーブル２３ａを記憶する。例えば、記憶部２３は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。キャッシュテーブル２３ａは、通信開始情報を送信したエッジノードの情報及び通信開始情報を一時的に記憶する。

制御部２２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部２２ａ、チェイン決定部２２ｂおよび通知部２２ｃを有する。

取得部２２ａは、エッジノード４０から通信開始情報を受信すると、送信元のエッジノードの情報及び通信開始情報をキャッシュテーブル２３ａに保持する。そして、取得部２２ａは、通信開始情報から、ＤＢ７０においてユーザ毎に記憶された対象フロー経由機能グループ情報、及びユーザポリシ情報を参照し、当該ユーザの対象フロー、当該フローが経由する機能グループ及び経由順序、その機能グループの配備位置条件と入力フロー条件の情報を取得する。

チェイン決定部２２ｂは、ＶＮＦ３０の配備情報及び、ポリシ管理装置１０によって決定された対象フロー経由機能グループ情報に基づいて、経由する機能グループの機能を具備するＶＮＦ３０を特定し、経由するＶＮＦ３０と該ＶＮＦ３０の経由順序を決定する。また、チェイン決定部２２ｂは、所定の機能グループを具備するＶＮ３０Ｆが配備される配備位置条件に基づいて、経由するＶＮＦ３０を決定するとともに、該ＶＮＦ３０の経由順序を決定する。具体的には、チェイン決定部２２ｂは、ユーザの対象フロー経由機能グループ情報と送信元のエッジノード情報、ユーザの通信開始情報から、ＤＢ７０のＮＷトポロジ情報、各機能グループの機能を具備するＶＮＦ３０の配備情報及びリソース情報を参照し、フロー毎に割り当てるチェイン（経由するＶＮＦ３０と経由順序）を決定する。

ここで、図６を用いて、経由するＶＮＦ３０を決定する処理について説明する。図６は、経由するＶＮＦを決定する処理を説明する図である。ここでの説明では、例えば、ポリシ管理装置１０によって決定された経由する機能グループが「Ａ」および「Ｄ」であり、経由する順序が「Ａ」→「Ｄ」である場合を例として説明する。また、図６に例示するように、４つのＶＮＦ３０Ａ〜３０Ｄが配備されているものとし、ＶＮＦ３０Ａが機能グループＡを具備し、ＶＮＦ３０Ｂが機能グループＢを具備し、ＶＮＦ３０Ｃが機能グループ３０Ｃを具備し、ＶＮＦ３０Ｄが機能グループ３０Ｄを具備しているものとする。

このような場合に、図６に例示するように、チェイン決定部２２ｂは、フローが経由する機能グループ「Ａ」、「Ｄ」を具備するＶＮＦ３０ＡとＶＮＦ３０Ｄを経由するＶＮＦ３０として決定するとともに、機能グループの経由する順序が「Ａ」→「Ｄ」であることから、「ＶＮＦ３０Ａ」→「ＶＮＦ３０Ｄ」を経由順序として決定する。なお、図６では、各機能グループＡ、Ｂ、Ｃ、Ｄを具備する各ＶＮＦ３０Ａ、３０Ｂ、３０Ｃ、３０Ｄを１つずつ図示しており、他のＶＮＦ３０の図示を省略しているが、実際には、ポリシ制御システム１において各機能グループＡ、Ｂ、Ｃ、Ｄを具備するＶＮＦ３０が１つ以上配備されているものとする。

また、チェイン決定部２２ｂは、ＤＢ７０に記憶された機能グループの入力フロー条件の情報を参照し、双方向フローの入力が必要な機能グループのＶＮＦ３０を経由するフローに対しては、上り／下りフローそれぞれに対して同一のＶＮＦ３０を経由するようチェインを決定する。

ここで、図７の例を用いて、上り／下りフローそれぞれに対して同一のＶＮＦを経由するようにチェインを決定する処理について説明する。図７は、上り／下りフローそれぞれに対して、双方向フローの入力が必要なＶＮＦは同一のＶＮＦを経由するようにチェインを決定する処理を説明する図である。例えば、図７に例示するように、上りフローが上記の例で決定された経由順序「ＶＮＦ３０Ａ→ＶＮＦ３０Ｄ」で転送され、ＶＮＦ３０Ａが具備する機能グループＡは双方向フローの入力が必要な機能グループであり、下りフローが経由する機能グループの順序が「Ｂ」→「Ａ」である場合に、下りフローについても、同一のＶＮＦ３０Ａを経由するように決定されるとともに、経由順序「ＶＮＦ３０Ｂ」→「ＶＮＦ３０Ａ」をチェインとして決定する。

ここで、下りフローのチェインを決定するタイミングとして、上りフローのチェインを決定する際に下りフローのチェインも決定する場合と、他事業者網側のエッジノード４０Ｂから通信開始情報を受信した際に下りフローのチェインを決定する場合とがある。例えば、上りフローのチェインを決定する際に下りフローのチェインも決定する処理として、チェイン設定装置２０は、ユーザ端末側のエッジノード４０Ａから通信開始情報を受信した場合に、ユーザの対象フローが経由する機能グループが、双方向フローの入力が必要な機能グループのＶＮＦ３０を経由する場合には、下りフローのチェインも同一のＶＮＦ３０を経由するように事前に決定する。

また、例えば、他事業者網側のエッジノード４０Ｂから通信開始情報を受信した際に下りフローのチェインを決定する処理として、チェイン設定装置２０は、他事業者網側のエッジノード４０Ｂから通信開始情報を受信して下りフローのチェインを決定する際、双方向フローの入力が必要な機能グループのＶＮＦ３０を経由する必要がある場合には、上りフローのチェイン情報を参照し、下りフローのチェインも同一のＶＮＦ３０を経由するように決定する。

また、アプリケーション識別には双方向フローを入力する必要があるが、アプリケーション識別結果に応じて実施する制御は片方向フロー毎に実施可能な場合がある。また、各方向フローに対してＮＷの入口で制御する方がよい場合もある。そこで、アプリケーション識別機能を具備しているＮＷ機能からアプリケーション識別結果及びフロー情報をポリシ管理装置１０へ送信し、フロー情報に基づいたパケットヘッダによるフロー識別で当該制御を実施する方法を説明する。

アプリケーション識別機能を具備しているＮＷ機能に対して、所定のアプリケーションを識別した場合はアプリケーションフロー検出情報（フロー情報、アプリケーション情報）をポリシ管理装置１０へ送信する設定を行う。ポリシ管理装置１０では、アプリケーションフロー検出情報を受信すると、当該アプリケーションフローへのチェイン設定要求をチェイン設定装置２０へ通知する。チェイン設定要求には、アプリケーションフロー検出情報が含まれる。チェイン設定装置２０ではチェイン設定要求を受信すると、ＤＢ７０に保持されている当該ユーザの当該アプリケーションフローの経由機能グループ情報、および、当該フローが経由する機能グループの機能を具備するＶＮＦ３０へ設定するユーザポリシの情報及び、キャッシュテーブル２３ａに保持されている送信元のエッジノードの情報及び通信開始情報を参照し、その後は、前記したチェイン決定処理と同様の処理を行ってチェインを決定し、送信元エッジノード４０へ、チェインとそのチェインを割り当てるフロー情報を通知する。ポリシ管理装置１０は、各ＶＮＦ３０へ機能グループに対応したユーザポリシの設定を指示する。

通知部２２ｃは、送信元のエッジノード４０へ、チェインとそのチェインを割り当てるフロー情報を通知する。また、通知部２２ｃは、ポリシ管理装置１０へ、フローが経由するＶＮＦ３０とそのＶＮＦ３０が具備する機能グループの情報を通知する。

その後、ポリシ管理装置１０では、経由するＶＮＦ３０とそのＶＮＦ３０が具備する機能グループの情報をチェイン設定装置２０から受信すると、機能グループに対応したユーザポリシの設定を各ＶＮＦ３０へ指示する。また、ＶＮＦ３０は、ポリシ管理装置１０から指示されたユーザポリシを設定し、条件に合致したフローに対して識別制御を実施する。また、エッジノード４０は、チェイン設定装置２０からチェインとそのチェインを割り当てるフロー情報を受信すると設定し、入力されたフローを識別し、フロー毎に適用するチェインに応じた経路を設定する。

［各装置の処理流れ］
まず、図８を用いて、第一の実施の形態に係るポリシ管理装置におけるポリシ決定処理について説明する。図８は、第一の実施の形態に係るポリシ管理装置におけるポリシ決定処理の流れを示すフローチャートである。

図８に示すように、ポリシ管理装置１０は、ユーザ情報をＤＢ７０から読み出し、サービス情報テーブル１３ｃを記憶部１３から読み出す（ステップＳ１０１）。そして、ポリシ管理装置１０は、ユーザ情報とサービス情報テーブルに基づいて、ユーザ毎に、対象フロー経由機能グループ情報、および、当該対象フロー経由機能グループ情報に含まれる機能グループの機能を具備するＶＮＦ３０へ設定するユーザポリシ（当該ＶＮＦにおいて実施する識別制御と、その識別制御を適用するフロー条件）を決定する（ステップＳ１０２）。そして、ポリシ管理装置１０は、決定した情報をＤＢ７０に保持する（ステップＳ１０３）。具体的には、ポリシ管理装置１０は、決定した対象フロー経由機能グループ情報とユーザポリシとを関連付けてユーザ毎にＤＢ７０に保持する。

次に、図９を用いて、チェイン設定装置２０の処理について説明する。図９は、第一の実施の形態に係るチェイン設定装置におけるチェイン決定処理の流れを示すフローチャートである。

図９に示すように、チェイン設定装置２０は、エッジノード４０から通信開始情報を受信すると（ステップＳ２０１肯定）、送信元のエッジノードの情報及び通信開始情報をキャッシュテーブル２３ａに保持する（ステップＳ２０２）。そして、チェイン設定装置２０は、通信開始情報から、ＤＢ７０においてユーザ毎に記憶された対象フロー経由機能グループ情報およびユーザポリシ情報を参照し、当該ユーザの対象フロー、当該フローが経由する機能グループ及び経由順序、その機能グループの配備位置条件と入力フロー条件の情報を取得する（ステップＳ２０３）。

チェイン設定装置２０は、ユーザの対象フロー経由機能グループ情報と送信元のエッジノードの情報から、ＤＢ７０のＮＷトポロジ情報、各機能グループの機能を具備するＶＮＦ３０の配備情報及びリソース情報を参照し、フロー毎に割り当てるチェイン（経由するＶＮＦ３０と経由順序）を決定する（ステップＳ２０４）。

チェイン設定装置２０は、チェインとそのチェインを割り当てるフロー情報を送信元のエッジノード４０へ通知する（ステップＳ２０５）。また、通知部２２ｃは、フローが経由するＶＮＦ３０とそのＶＮＦ３０が具備する機能グループの情報をポリシ管理装置１０へ通知する（ステップＳ２０６）。

次に、図１０を用いて、第一の実施の形態に係るポリシ管理装置およびチェイン設定装置におけるチェイン変更処理について説明する。図１０は、第一の実施の形態に係るポリシ管理装置およびチェイン設定装置におけるチェイン変更処理の流れを示すフローチャートである。

図１０に示すように、ポリシ管理装置１０では、アプリケーションフロー検出情報を所定のＶＮＦ３０から受信すると（ステップＳ３０１肯定）、当該フローへのチェイン設定要求をチェイン設定装置２０へ通知する（ステップＳ３０２）。

そして、チェイン設定装置２０は、チェイン設定要求を受信すると、ＤＢ７０に保持されている当該ユーザの当該フローの対象フロー経由機能グループ情報、および、当該フローが経由する機能グループの機能を具備するＶＮＦ３０へ設定するユーザポリシの情報及び、キャッシュテーブル２３ａに保持されている送信元のエッジノードの情報及び通信開始情報を取得する（ステップＳ３０３）。

続いて、チェイン設定装置２０は、ユーザの当該フローの対象フロー経由機能グループ情報と送信元のエッジノード情報から、ＤＢ７０のＮＷトポロジ情報、各機能グループの機能を具備するＶＮＦ３０の配備情報及びリソース情報を参照し、当該フローに割り当てるチェイン（経由するＶＮＦ３０と経由順序）を変更する（ステップＳ３０４）。

そして、チェイン設定装置２０は、チェインとそのチェインを割り当てるフロー情報を送信元のエッジノード４０へ通知する（ステップＳ３０５）。また、通知部２２ｃは、フローが経由するＶＮＦ３０とそのＶＮＦ３０が具備する機能グループの情報をポリシ管理装置１０へ通知する（ステップＳ３０６）。

［第一の実施形態の効果］
このように、第一の実施形態に係るポリシ制御システム１では、従来のＤＰＩ装置のフロー識別・制御機能の一部を、所定のサービスの実現や、入力フロー条件、配備位置条件などが同じとなる機能を組み合わせて１つのＮＷ機能（ＶＮＦ）とし、ユーザ毎に経由するＮＷ機能及び各ＮＷ機能へ設定するユーザポリシを管理して設定することにより、リソース消費の削減が可能となる。

つまり、例えば、従来のＤＰＩ装置が有する多くの識別制御機能のうち、所定のサービスを実現するのに必要な機能のみを１つのＮＷ機能に集約して実装することにより、ＤＰＩ装置の全機能を１つのＮＷ機能に実装する場合よりもフローエントリ数や処理量などのリソース消費を削減できる。

また、例えば、従来のＤＰＩ装置の識別制御機能をそれぞれ１つのＮＷ機能として実装した場合よりもフローが経由するＮＷ機能数を削減できる。また、例えば、従来のＤＰＩ装置が具備する識別制御機能のうち、アプリケーション識別機能に用いるシグネチャ更新など特定の機能のみに必要な保守を、当該機能を具備しているＮＷ機能にのみ実施すればよいため、コスト削減可能となる。

［その他の実施形態］
上記の第一の実施の形態では、ポリシ管理装置１０が、決定した経由する機能グループとともに、その機能グループの配備条件や入力フロー条件もＤＢへ記憶し、チェイン設定装置２０が、ポリシ管理装置１０によって決定された経由する機能グループとその経由順序、各機能グループの配備位置条件と入力フロー条件に基づいて、経由する機能グループの機能を具備するＶＮＦ３０を特定し、経由するＶＮＦ３０と該ＶＮＦ３０の経由順序を決定する場合について説明した。

しかしながら、本発明はこれに限定されるものではなく、機能グループ毎に、配備位置条件や入力フロー条件が一意に決まっており、機能グループ情報テーブルにおいて機能グループ毎に、配備位置条件や入力フロー条件を予め記憶しておき、チェイン設定装置２０がチェインを決定する際に、どの配備位置のＶＮＦを経由するか決定できるようにしてもよい。そこで、以下では、機能グループ毎に、配備位置条件や入力フロー条件が一意に決まっている場合について、その他の実施形態として説明する。なお、第一の実施の形態と同様の構成および処理については説明を省略する。

ポリシ管理装置１０の機能グループ情報テーブル１３ｂは、機能グループ毎に、配備位置条件や入力フロー条件を予め記憶する。例えば、機能グループ情報テーブル１３ｂは、図１１に例示するように、機能グループを一意に識別する情報である「機能グループ」と識別制御機能を一意に識別する情報である「識別制御機能」と、片方向フローでフロー識別制御が可能であるか双方向フローでフロー識別制御が可能であるかを示す「入力フロー条件」と、識別制御機能を具備するＶＮＦ３０の配備位置の条件を示す「配備位置条件」とを対応付けて記憶する。

図１１の例を挙げて説明すると、機能グループ情報テーブル１３ｂは、機能グループ「Ａ」と、識別制御機能「ａ，ｂ」と、入力フロー条件「１（双方向）」と、配備位置条件「０（条件なし）」とを対応付けて記憶する。これは、機能グループ「Ａ」が、識別制御機能「ａ」と識別制御機能「ｂ」との組合せからなる機能グループであり、フロー識別制御のために双方向フローの入力が必要であり、該機能グループ「Ａ」を具備するＶＮＦ３０の配備位置の条件はないことを意味している。

このように機能グループ毎に、配備位置条件や入力フロー条件が一意に決まっていることを前提としており、ポリシ管理装置１０の機能決定部１２ａは、各機能グループの配備位置条件と入力フロー条件を決定する必要がなく、ユーザ情報とサービス情報テーブル１３ｃに基づいて、ユーザ毎に、対象フローと、当該フローが経由する機能グループと、経由順序とを決定すればよい。

また、チェイン設定部２０のチェイン決定部２２ｂは、ＶＮＦ３０の配備情報、及び機能グループ毎に予め一意に決まっている配備位置条件や入力フロー条件に基づいて、経由する機能グループの機能を具備するＶＮＦ３０を決定する。そして、チェイン設定部２０のチェイン決定部２２ｂは、ポリシ管理装置１０の機能決定部１２ａによって決定された機能グループの経由順序に従って、経由するＶＮＦ３０の経由順序を決定する。

このように、機能グループ毎に、配備位置条件や入力フロー条件が一意に決まっており、機能グループ情報テーブルにおいて機能グループ毎に、配備位置条件や入力フロー条件を記憶しているので、各機能グループの配備位置条件と入力フロー条件を決定する必要がなくなるため、処理負荷が軽減されることとなる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図１２は、ポリシ管理装置１０やチェイン設定装置２０における各処理がコンピュータを用いて具体的に実現される一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ（Central Processing Unit）１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。

ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ポリシ管理装置１０やチェイン設定装置２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０３１に記憶される。例えば、ポリシ管理装置１０やチェイン設定装置２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。なお、ハードディスクドライブ１０３１は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１ポリシ制御システム
１０ポリシ管理装置
１１、２１通信処理部
１２、２２制御部
１２ａ機能決定部
１２ｂポリシ決定部
１２ｃポリシ設定部
１３、２３記憶部
１３ａ識別制御機能情報テーブル
１３ｂ機能グループ情報テーブル
１３ｃサービス情報テーブル
２０チェイン設定装置
２２ａ取得部
２２ｂチェイン決定部
２２ｃ通知部
３０Ａ、３０Ｂ、３０Ｃ、３０ＤＶＮＦ
４０Ａ、４０Ｂエッジノード
５０ユーザ端末
６０他事業者網
７０ＤＢ

Claims

ネットワークにおいて、ユーザ端末から送受信されるフローを識別または制御する機能のうち、いずれか一つまたは複数の機能をグループ化した機能グループを具備する複数のＶＮＦと、
前記ＶＮＦが具備する各機能グループに対して、各フローに対して実行するユーザポリシの設定を指示するポリシ管理装置と、
各フローが経由するＶＮＦと該ＶＮＦの経由順序を決定するチェイン設定装置と、
を含み、
前記ポリシ管理装置は、
ユーザ毎に、フローが経由する各機能グループと該各機能グループの経由順序を決定する機能と、
前記フローが経由する各機能グループに対して設定するユーザポリシをそれぞれ決定する機能と、
前記チェイン設定装置によって決定された経由するＶＮＦが具備する各機能グループに対して、該各機能グループに対応したユーザポリシの設定をそれぞれ指示する機能と、
を有し、
前記チェイン設定装置は、
ＶＮＦの配備情報に基づいて、前記ポリシ管理装置によって決定された経由する機能グループの機能を具備するＶＮＦを特定し、経由するＶＮＦと該ＶＮＦの経由順序を決定する機能と
を有することを特徴とするポリシ制御システム。
前記チェイン設定装置は、双方向フローの入力が必要な機能グループのＶＮＦを経由するフローに対しては、上りフローおよび下りフローそれぞれに対して同一のＶＮＦを経由するようチェインを決定することを特徴とする請求項１に記載のポリシ制御システム。
前記チェイン設定装置は、所定の機能グループを具備するＶＮＦが配備される配備位置条件に基づいて、前記ＶＮＦを決定するとともに、該ＶＮＦの経由順序を決定することを特徴とする請求項１または２に記載のポリシ制御システム。
ポリシ制御システムで実行されるポリシ制御方法であって、
前記ポリシ制御システムは、
ネットワークにおいて、ユーザ端末から送受信されるフローを識別または制御する機能のうち、いずれか一つまたは複数の機能をグループ化した機能グループを具備する複数のＶＮＦと、
前記ＶＮＦが具備する各機能グループに対して、各フローに対して実行するユーザポリシの設定を指示するポリシ管理装置と、
各フローが経由するＶＮＦと該ＶＮＦの経由順序を決定するチェイン設定装置と、
を含み、
前記ポリシ管理装置が、ユーザ毎に、フローが経由する各機能グループと該各機能グループの経由順序を決定し、
前記ポリシ管理装置が、前記フローが経由する各機能グループに対して設定するユーザポリシをそれぞれ決定し、
前記チェイン設定装置が、ＶＮＦの配備情報に基づいて、前記ポリシ管理装置によって決定された経由する機能グループの機能を具備するＶＮＦを特定し、経由するＶＮＦと該ＶＮＦの経由順序を決定し、
前記ポリシ管理装置が、前記チェイン設定装置によって決定された経由するＶＮＦが具備する各機能グループに対して、該各機能グループに対応したユーザポリシの設定をそれぞれ指示する
各処理を含むことを特徴とするポリシ制御方法。