JP6526834B2

JP6526834B2 - 複数のネットワーク機能インスタンス化にわたるマルチセキュリティレベル／トラフィック管理

Info

Publication number: JP6526834B2
Application number: JP2017556825A
Authority: JP
Inventors: ジョンハリス; ウママヘスワーカキナダ; ギュンターホルン
Original assignee: ノキアソリューションズアンドネットワークスオサケユキチュア
Priority date: 2015-04-30
Filing date: 2015-04-30
Publication date: 2019-06-05
Anticipated expiration: 2035-04-30
Also published as: US20180295138A1; EP3289748B1; US10362040B2; CN107810623A; WO2016175835A1; JP2018523332A; CN107810623B; EP3289748A1

Description

本発明の規範的な実施形態は、一般的に、これに限定されないが、ユニバーサル移動テレコミュニケーションズシステム（ＵＭＴＳ）地上無線アクセスネットワーク（ＵＴＲＡＮ）、長期進化（ＬＴＥ）、進化型ＵＴＲＡＮ（Ｅ−ＵＴＲＡＮ）、等の移動通信ネットワークに関する。例えば、幾つかの規範的実施形態は、バーチャル化ネットワーク機能インスタンス化を含めて、多数のネットワーク機能インスタンス化にわたるマルチセキュリティレベル／トラフィック管理に関する。

ユニバーサル移動テレコミュニケーションズシステム（ＵＭＴＳ）地上無線アクセスネットワーク（ＵＴＲＡＮ）は、ベースステーション又はＮｏｄｅ−Ｂ、及び無線ネットワークコントローラ（ＲＮＣ）を含む通信ネットワークを指す。ＵＴＲＡＮは、ユーザ装置（ＵＥ）とコアネットワークとの間の接続を許す。ＲＮＣは、１つ以上のＮｏｄｅ−Ｂのための制御機能を与える。ＲＮＣ及びそれに対応するＮｏｄｅ−Ｂは、無線ネットワークサブシステム（ＲＮＳ）と称される。

長期進化（ＬＴＥ）は、改善された効率及びサービス、低いコスト、及び新規スペクトル機会の使用によるＵＭＴＳの改善を指す。特に、ＬＴＥは、少なくとも５０メガビット／秒（Ｍｂｐｓ）のアップリンクピークレート及び少なくとも１００Ｍｂｐｓのダウンリンクピークレートを与える第３世代パートナーシッププロジェクト（３ＧＰＰ）規格である。ＬＴＥは、２０ＭＨｚから１．４ＭＨｚまでの拡張可能な搬送波帯域巾をサポートすると共に、周波数分割デュープレックス（ＦＤＤ）及び時分割デュープレックス（ＴＤＤ）の両方をサポートする。

上述したように、ＬＴＥは、ネットワークのスペクトル効率も改善し、搬送波が所与の帯域巾にわたってより多くのデータ及び音声サービスを提供できるようにする。それ故、ＬＴＥは、大容量音声サポートに加えて、高速データ及びマルチメディアトランスポートのニーズを満足するよう設計される。ＬＴＥの効果は、例えば、高いスループット、低いレイテンシー、同じプラットホームでのＦＤＤ及びＴＤＤサポート、エンドユーザ体験の改善、及び簡単なアーキテクチャーによる低い運転コストを含む。更に、ＬＴＥは、ＩＰｖ４及びＩｐｖ６の両方をサポートする完全インターネットプロトコル（ＩＰ）ベースのネットワークである。

１つの規範的実施形態は、加入者トラフィックを割り当てる方法であって、第１タイプのセキュリティを与えるように第１ネットワーク機能の第１インスタンス化を構成することを含む方法に向けられる。又、この方法は、第１タイプのセキュリティとは異なる第２タイプのセキュリティを与えるように第１ネットワーク機能の第２インスタンス化を構成することも含む。更に、この方法は、加入者トラフィックの少なくとも幾つかを第１インスタンス化に割り当てることも含む。

規範的実施形態において、加入者トラフィックを第１インスタンス化に割り当てることは、第１ネットワーク機能のセキュリティ要求に基づく。別の規範的実施形態では、この方法は、更に、第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの取り扱いのプライオリティを決め、そして第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの取り扱いのプライオリティを決めることも含む。

規範的実施形態によれば、第１タイプのセキュリティ及び第２タイプのセキュリティは、各々、ユーザごと、加入者ごと、又は企業のポリシーごと、特定のセキュリティレベルに対する支払、又は第１及び第２加入者の現在コンテキスト、のうちの少なくとも１つに基づいて構成される。別の規範的実施形態によれば、第１タイプのセキュリティは、移動管理エンティティのネットワーク機能に関連し、そして第２タイプのセキュリティは、ベアラプレーンセキュリティに関連している。

規範的実施形態において、第１ネットワーク機能に関連したセキュリティのレベルは、ネットワーク売主ホワイトリスト／ブラックリストポリシー或いは地理的又は距離的ポリシー、運営者ネットワークの完全に内部で実行されるより高いセキュリティレベル、第１ネットワーク機能と共に同じハードウェアで実行される第三者アプリケーションの数に基づくセキュリティレベルの低下、及びハードウェアプラットホームがそのハードウェアプラットホームの動的な変化に基づいて第１ネットワーク機能をホストするときのセキュリティレベルの低下を含む。別の規範的実施形態では、第１ネットワーク機能に与えられるセキュリティのレベルは、ネットワーク要素への第三者アクセス、運営者ネットワークのバックホール又はサイドホールがワイヤレスであること、ネットワーク要素の無線アクセスネットワーク共有の存在、マルチポイント送信の存在、Ｗｉ−Ｆｉに対応する信頼性レベル、及びネットワーク要素に接続されたユーザ装置の数、の少なくとも１つに基づいて与えられる。

別の規範的実施形態は、加入者トラフィックを割り当てる装置であって、少なくとも１つのプロセッサ、及びコンピュータプログラムコードを含む少なくとも１つのメモリを備えた装置に向けられる。少なくとも１つのメモリ及びコンピュータプログラムコードは、少なくとも１つのプロセッサとで、装置が、少なくとも、第１タイプのセキュリティを与えるように第１ネットワーク機能の第１インスタンス化を構成するようにさせるよう構成される。又、少なくとも１つのメモリ及びコンピュータプログラムコードは、少なくとも１つのプロセッサとで、第１タイプのセキュリティとは異なる第２タイプのセキュリティを与えるように第１ネットワーク機能の第２インスタンス化を構成するよう構成される。更に、少なくとも１つのメモリ及びコンピュータプログラムコードは、少なくとも１つのプロセッサとで、加入者トラフィックの少なくとも幾つかを第１インスタンス化に割り当てるように構成される。

規範的実施形態において、加入者トラフィックを第１インスタンス化に割り当てることは、第１ネットワーク機能のセキュリティ要求に基づく。別の規範的実施形態では、少なくとも１つのメモリ及びコンピュータプログラムコードは、少なくとも１つのプロセッサとで、装置が、少なくとも、第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの取り扱いのプライオリティを決め、そして第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの取り扱いのプライオリティを決めるようにさせるよう構成される。

別の規範的実施形態は、加入者トラフィックを割り当てる装置であって、第１タイプのセキュリティを与えるように第１ネットワーク機能の第１インスタンス化を構成するための構成手段を備えた装置に向けられる。又、この装置は、第１タイプのセキュリティとは異なる第２タイプのセキュリティを与えるように第１ネットワーク機能の第２インスタンス化を構成するための構成手段も備えている。更に、この装置は、加入者トラフィックの少なくとも幾つかを第１インスタンス化に割り当てるための割り当て手段も備えている。

規範的実施形態において、前記装置は、第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの取り扱いのプライオリティを決めるためのプライオリティ手段、及び第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの取り扱いのプライオリティを決めるためのプライオリティ手段を備えている。別の規範的実施形態において、第１タイプのセキュリティ及び第２タイプのセキュリティは、各々、ユーザごと、加入者ごと、又は企業のポリシーごと、特定のセキュリティレベルに対する支払、又は第１及び第２加入者の現在コンテキスト、のうちの少なくとも１つに基づいて構成される。

規範的実施形態によれば、第１タイプのセキュリティは、移動管理エンティティのネットワーク機能に関連し、そして第２タイプのセキュリティは、ベアラプレーンセキュリティに関連している。別の規範的実施形態によれば、第１ネットワーク機能に関連したセキュリティのレベルは、ネットワーク売主ホワイトリスト／ブラックリストポリシー或いは地理的又は距離的ポリシー、運営者ネットワークの完全に内部で実行されるより高いセキュリティレベル、第１ネットワーク機能と共に同じハードウェアで実行される第三者アプリケーションの数に基づくセキュリティレベルの低下、及びハードウェアプラットホームがそのハードウェアプラットホームの動的な変化に基づいて第１ネットワーク機能をホストするときのセキュリティレベルの低下を含む。

規範的実施形態において、第１ネットワーク機能に与えられるセキュリティのレベルは、ネットワーク要素への第三者アクセス、運営者ネットワークのバックホール又はサイドホールがワイヤレスであること、ネットワーク要素の無線アクセスネットワーク共有の存在、マルチポイント送信の存在、Ｗｉ−Ｆｉに対応する信頼性レベル、及びネットワーク要素に接続されたユーザ装置の数、の少なくとも１つに基づいて与えられる。

別の規範的実施形態は、非一時的コンピュータ読み取り可能な媒体で実施されるコンピュータプログラムであって、上述した方法のいずれか１つを遂行するようにプロセッサを制御するように構成されたコンピュータプログラムに向けられる。

本発明を適切に理解するために、添付図面を参照する。

ある規範的実施形態による規範的システム図である。ある実施形態により複数の値を各々有する異なるタイプ又は次元のセキュリティをもつ一例を示す。ある規範的実施形態によるシステムを示す。ある規範的実施形態による装置を示す。ある規範的実施形態による方法の規範的フローチャートである。

本明細書全体を通して記述する本発明の特徴、構造又は特性は、１つ以上の規範的実施形態において適当な仕方で結合することができる。例えば、本明細書全体にわたり「ある規範的実施形態」、「幾つかの規範的実施形態」という句又は他の同様の表現を使用することは、その規範的実施形態に関連して述べる特定の特徴、構造又は特性が本発明の少なくとも１つの規範的実施形態に含まれることを指す。

従って、本明細書全体にわたり「ある規範的実施形態において」、「幾つかの規範的実施形態において」、「他の規範的実施形態において」という句、又は他の同様の表現が現れることは、必ずしも、全てが同じグループの規範的実施形態を指すものではなく、そこに述べる特徴、構造又は特性は、１つ以上の規範的実施形態において適当な仕方で結合されてもよい。更に、要望があれば、以下に述べる異なる機能を異なる順序で及び／又は互いに同時に遂行してもよい。更に、要望があれば、ここに述べる機能の１つ以上は、任意であり、又は結合されてもよい。従って、以下の説明は、本発明の原理、教示及び規範的実施形態を単に例示するものに過ぎず、それに限定されるものではない。

最も適したレベルのセキュリティを与えると同時にクラウドにおけるネットワーク機能バーチャル化の最大の利益を利用できることが望ましい。これは、例えば、クラウド環境内で考えられる多重化利得の利用を含む。しかしながら、加入者のニーズを満たすセキュリティをどのように決定しつつ、ネットワーク機能がクラウドにおけるネットワーク機能バーチャル化に向かって益々接近するときに利益及び効率を最大にする上で問題が生じる。あるユーザは、おそらく、他のユーザより高いセキュリティ要求を有している。

例えば、セキュリティが比較的重要で且つ通信サービスのコストがあまり重要でない第１のユーザグループがある。逆に、セキュリティがあまり重要でなく且つ通信サービスのコストが比較的重要な第２のユーザグループがある。

別の例では、単一のユーザに対して、ある状況では（例えば、特に機密又は私的な情報が通信リンクを経て交換されるときには）、セキュリティがそのとき比較的重要となる。対照的に、他のとき又は他の状況では、セキュリティがあまり重要でなく、ネットワーク効率がより重要となる。

セルラーネットワークがクラウド及びネットワーク機能バーチャル化に向けて移行するときは、多数の独特の機会が生じる。例えば、第１ネットワーク機能（例えば、移動管理エンティティ（ＭＭＥ）又はサービングゲートウェイ（ＳＧＷ）機能）において、おそらく、例えば、適度なレイテンシーで所与の加入者にサービスできるそのネットワーク機能の複数のインスタンス化があるが、第１のインスタンス化は、ネットワーク／クラウド容量の観点から最も効率的である（対応的に運営者に対して低いコストで提供される）が、セキュリティのレベルは低い。これとは対照的に、第２のインスタンス化は、ネットワーク／クラウド容量の観点からあまり効率的でなく（若干コストが高く）、より高いレベルのセキュリティを与える。この状況では、適度なレベルのセキュリティを与えると同時に、クラウドにおけるネットワーク機能バーチャル化の利益を最大限利用し、例えば、クラウド環境内で考えられる多重化利得を利用できる独占的及び／又は規格ベースのメカニズムが必要とされる。

本発明の幾つかの規範的実施形態は、第１ネットワーク機能の少なくとも２つのインスタンス化がある独占的及び／又は標準的メカニズムに向けられる。第１のインスタント化は、同じネットワーク機能の第２のインスタンス化より高いレベルのセキュリティを与え、そして第１加入者が第２加入者より高いセキュリティ要求を有することを検出する第１通信ネットワーク要素／第３ネットワーク機能に応答して、第１のインスタンス化による第１加入者のトラフィックの取り扱いのプライオリティ決めを遂行する。

クラウド及びクラウド使用環境にわたるセキュリティ要求を含む多数の異なるセキュリティレベルの知識を利用し及びレバレッジする解決策が要望される。これを銘記して、本発明のある規範的実施形態は、この一般的領域内で動作する。より詳細には、ある規範的実施形態は、広いが特定的でもある解決策を与えることができ、そして規格対処の規範的実施形態は、最も適したセキュリティレベルを与えると同時にクラウドにおけるネットワーク機能バーチャル化の利益を最大限利用する。又、その利用は、クラウド環境内で考えられる多重化利得を利用することも含む。

本発明の規範的実施形態により扱われる支配的問題は、加入者のニーズを最良に満足するセキュリティをどのように可能にしつつ、ネットワーク機能がクラウドにおけるネットワーク機能バーチャル化に向かって益々接近するときに利益及び効率を最大にする課である。より詳細には、クラウド及びネットワーク機能バーチャル化をレバレッジする利益を益々捕えることは、移動ネットワーク運営者の装置が特殊目的で構築されたハードウェア解決策を含むそれらの制御内に完全にあるという慣習的なケースよりも広い範囲のセキュリティレベルを必然的に生成する。例えば、共有環境では、露出のセキュリティ境界を劇的に増加できるマルチテナンシーの結果として、より多数の「タッチポイント」が存在する。動的なプロビジョニングでは、このレベル露出は、多数の異なる次元にわたって更に変化させることができる。

上述したように、問題は、正しいレベルのセキュリティを与えつつ、クラウド／ネットワーク機能バーチャル化に向かうシフトの絶対的最大利益を達成できることである。更に高いレベルのセキュリティを与えることができるが、最高レベルは、一般的に、追加コストを伴い、多くの場合、クラウド／ネットワーク機能バーチャル化の利益をある程度失うことになる。例えば、高いレベルのセキュリティは、更に高いレベルのアクセス制御及び監視を通して、又はいたずら防止ハードウェア、信頼のあるプラットホームモジュール（ＴＰＭ）の使用による公式の承認プロセスを受けるハードウェア又はソフトウェアの使用を通して、又は物理的に制御される環境における位置決めサービスを通して、達成することができる。

しかしながら、この分野では、全てのトラフィックが同じニーズを有するのではない。例えば、高いレベルのセキュリティを要求しないビデオ／オーディオストリーミングトラフィック（例えば、商業的通信ネットワークにおいて大半のトラフィックをしばしばコンポーズするＮｅｔｆｌｉｘ（登録商標）、Ｐａｎｄｏｒａ（登録商標）、Ｓｐｏｔｉｆｙ（登録商標））について考える。その結果、トラフィックのこの大きな部分に対する容量の影響をより顕著に減少しながら、他の比較的機密性のトラフィックに与えられるセキュリティレベルに影響を与えないようにすることができる。

例えば、ネットワーク機能に対する最もセキュアなクラウド環境を与えることで、トラフィックごと又は加入者ごとのそのネットワーク機能のコストが倍になる場合には、最もセキュアなネットワーク機能を、それを要求するトラフィックに対してのみ使用することにより、全体的な容量或いはネットワーク機能に対するクラウド解決策のコストを著しく改善することができる。例えば、全体的な容量又はコストは、ビデオ／オーディオストリーミングが典型的にワイヤレスネットワークにより今日搬送されるトラフィック量の大半である場合には、５０％以上減少することができる。

あるユーザは、おそらく、他のユーザよりも高いセキュリティ要求を有する。例えば、セキュリティが比較的重要で且つ通信サービスのコストがあまり重要でない第１のユーザグループがある。逆に、セキュリティがあまり重要でなく且つ通信サービスのコストが比較的重要な第２のユーザグループがある。別の例では、単一のユーザに対して、ある状況では（例えば、特に機密又は私的な情報が通信リンクを経て交換されるときには）、セキュリティがそのとき比較的重要となる。対照的に、他のとき又は他の状況では、セキュリティがあまり重要でなく、ネットワーク効率がより重要となる。

セルラーネットワークがクラウド及びネットワーク機能バーチャル化に向けて移行するときは、多数の独特の機会が生じる。特に、共有ハードウェア環境に関してクラウドに分離を生成するための努力がなされるが、クラウドから絶対的に最大の利益を達成すること（上述したように、容量、資本支出（ＣＡＰＥＸ）、運営支出（ＯＰＥＸ）等に関する）と、例えば、そのような共有ハードウェア環境に関して分離のための最も頑健な解決策で最高レベルのセキュリティ及び信頼性を与えることとの間にトレードオフがあることも明らかである。

例えば、第１ネットワーク機能（例えば、ＭＭＥ又はサービングゲートウェイ又はディープパケットインスペクション（ＤＰＩ）又はアプリケーション最適化機能）に関して、おそらく、例えば、適度なレイテンシーで所与の加入者にサービスできるそのネットワーク機能の複数のインスタンス化がある。運営者の慣習的なネットワーク内には、例えば、慣習的なネットワーク売主のハードウェアで実行される１つのインスタンス化がある。

第１ネットワーク機能の第２インスタンス化は、「信頼のある」ハードウェア売主により提供されるハードウェアにおいてクラウドで実行され、ここでは、そのハードウェアにおける全ての計算ソフトウェアが「既知」でもある。第１ネットワーク機能の第３インスタンス化は、信頼性のない第三者により提供されるハードウェアにおいてクラウドで実行され、ここでは、その同じハードウェアが、第三者アプリケーションプロバイダーの未知の、信頼性のないセットにより生成される更に多数の他の計算ソフトウェアも実行する。このケースでは、予想されるセキュリティレベルが、第１インスタンス化において最高で、第２インスタンス化においてより低く、且つ第３インスタンス化において最低である。しかしながら、この例では、多重化利得が大きいために、第３インスタンス化は、ネットワーク／クラウド容量の観点で最も効率的であり（そして対応的に低いコストで運営者に提供され）、第２インスタンス化は、ネットワーク／クラウド容量の観点で効率的が低く（そしてコストが若干高く）、そして第１インスタンス化は、おそらく、効率的なネットワークであり、コストが最も高い。

ハードウェアの地理的位置が問題である例は、合法的傍受（ＬＩ）である。傍受ポイントは、特定の権限が適用されるエリア内に位置されることが重要である。別の関連する例は、特定の国又は地域に存在するサーバーのみによりサービスが実行されることをプロバイダーが加入者に「保証」するサービスである。これは、例えば、ある国の２つの住居間のｅ−メールがその国の中に留まることを「保証」するｅ−メールプロバイダー又はウェブホストサービスを含む。

この状況では、適切なレベルのセキュリティ及び信頼性を与えると同時に、例えば、基礎的リソースを越えるパワーがほとんど又は全くないようなクラウド環境内で考えられる多重化利得を利用することを含めて、クラウド内のネットワーク機能バーチャル化の最大利益を利用することをネットワーク運営者に許すための特定のイネーブラー及びメカニズムが必要とされる。

図１は、ある規範的な実施形態による規範的システム図である。このシステムは、第１及び第２のＵＥ、ＵＴＲＡＮ、移動通信用グローバルシステム（ＧＳＭ（登録商標））、エンハンストデータレート・フォー・ＧＳＭエボルーション（ＥＤＧＥ）無線アクセスネットワーク（ＧＥＲＡＮ）、及びサービング汎用パケット無線サービスサポートノード（ＳＧＳＮ）を備えている。又、このシステムは、運営者プライベートクラウドコアのネットワーク要素、及び電話会社のセキュリティダッシュボードと相互作用するアプリケーションサーバーのパブリッククラウドも備えている。更に、システムは、脅威予報モジュール、運営者ポリシー、及び自動アクションエンジンが接続される電話会社のセキュリティダッシュボードも備えている。

規範的実施形態によれば、ネットワーク機能インスタンス化への加入者トラフィックの指定を管理するための方法が提供される。この管理／選択機能は、ＭＭＥにおいて実行され、これは、特定のインスタンス化「サービング／パケットデータネットワークゲートウェイ（Ｓ／Ｐ−ＧＷ）」ネットワーク機能を選択し、そして加入者の異なるユーザプレーンストリーム又は所与の加入者の全てのトラフィックに対する必要なセキュリティを与えるためにインターネットアクセスルータ／オフロードポイントを識別することができる。従って、これは、例えば、セキュリティの必要性に基づいて、加入者又はそれらのデータストリームをネットワーク機能のあるインスタンス化に指定するために、現在利用できる選択フレームワークと組み合わせて、ネットワーク機能のセキュリティポリシー／認識性を使用することができる。このケースでは、選択は、更に、ホーム加入者サーバー（ＨＳＳ）からの加入者プロフィールに基づいて行われ、装置のタイプ情報、装置及び／又はアプリケーションソフトウェアバージョン、装置のセキュリティ能力、装置のセキュリティ必要性（例えば、セキュリティモードコマンドに基づく）、及び／又は国際移動装置アイデンティティ（ＩＭＥＩ）及びＩＭＥＩソフトウェアバージョン（ＩＭＥＩＳＶ）が、ＭＭＥにより使用される。これは、次いで、Ｓ／Ｐ−ＧＷの選択に影響する。別の規範的実施形態では、ｅＮＢが管理／選択機能を遂行し、検討された基準を使用して、使用すべきＭＭＥネットワーク機能のインスタンス化を選択する。

規範的実施形態において、第１ネットワーク機能の少なくとも２つのインスタンス化がある。規範的実施形態において、加入者トラフィックの管理は、ネットワーク機能又はセキュリティオーケストラにより遂行される。ここで使用するネットワーク機能とは、これに限定されないが、例えば、ＭＭＥ、ＳＧＷ、ポリシーチャージルール機能（ＰＣＲＦ）、ＤＰＩ又はアプリケーション最適化機能、又はＬＴＥのＳＧｉ基準ポイント（ＰＤＮＧＷとパケットデータネットワークとの間の３ＧＰＰ基準ポイント）、或いは他の同様の又は類似の要素を含む。

第１インスタンス化は、同じネットワーク機能の第２インスタンス化とは異なるタイプのセキュリティを与える。例えば、規範的実施形態において、第１ネットワーク機能の第１インスタンス化は、第１タイプのセキュリティを与え、一方、第１ネットワーク機能の第２インスタンス化は、第２タイプのセキュリティを与える。例えば、第１インスタンス化は、同じネットワーク機能の第２インスタンス化より高いレベルのセキュリティを有し、ネットワーク機能の第２インスタンス化は、第２タイプ（例えば、低い又はベストエフォートレベルの）セキュリティを与える。

別の規範的実施形態によれば、加入者トラフィックの幾つか又は全部を第１ネットワーク機能の所与のインスタンス化に割り当てる判断機能を含む第２ネットワーク機能がある。規範的実施形態において、第２ネットワーク機能は、管理機能を含む。所与のインスタンス化への機能の割り当ては、例えば、ＬＩのケースでは加入者プロフィールに全く依存せず、傍受は、特定の（合法的）権限が適用される（地理的）エリア内に位置され、従って、指定されるネットワーク機能は、傍受されるコールに対応する物理的位置に基づいて判断される。

規範的実施形態によれば、第２ネットワーク機能の判断は、低いセキュリティ要求のような第２タイプの要求をもつ第２加入者より高いセキュリティ要求のような第１タイプのセキュリティ要求を第１加入者が有することを検出する第３ネットワーク機能による応答に依存する。更に、第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの取り扱いのプライオリティが決められる。更に、第１ネットワーク機能の第２インスタンス化による第２加入者の取り扱いのプライオリティも決められる。

規範的実施形態によれば、第１加入者は、例えば、第２加入者に対して高いレベルである第１タイプのセキュリティでサービスを受ける。更に、第１加入者は、多数のファクタの少なくとも１つに基づいて（又はその結果として）サービスを受ける。

第１に、第１加入者は、ユーザごと又は加入者ごと或いは企業のポリシーごとに第１タイプのセキュリティでサービスを受ける。第２に、第１加入者は、高いレベルのセキュリティに対して支払をする第１加入者（又は第１加入者の企業）に基づいて第１タイプのセキュリティでサービスを受ける。例えば、第１加入者は、第２加入者に対して高いレベルのセキュリティでサービスを受けるために高いレベルのサービスに対して支払をする。

第３に、第１加入者は、第１加入者のトラフィックが、少なくとも一部分は、加入者の現在コンテキストの関数として第１タイプのセキュリティを必要とすることを決定するポリシーに基づいて第１タイプのセキュリティでサービスを受ける。加入者の現在コンテキストは、例えば、アプリケーション／サービスのタイプ、ａｐｐ、位置又は被呼者に基づく。例えば、機密性のワークコンタクトへの電話コールは、家族又は友人への電話コールとは異なる／より高いレベルのセキュリティを要求する。

別の例において、金融取引又は「プライベート」Ｆａｃｅｂｏｏｋ（登録商標）ビデオメッセージは、Ｎｅｔｆｌｉｘ（登録商標）、Ｐａｎｄｏｒａ（登録商標）又はＳｐｏｔｉｆｙ（登録商標）からのストリーミング音楽／ビデオ、或いは全世界でアクセス可能なブロードキャストＦａｃｅｂｏｏｋ（登録商標）メッセージ又はＹｏｕＴｕｂｅ（登録商標）アップロード又はダウンロードを伴うデータセッションとは異なるレベルのセキュリティを要求する。各アプリケーションは、それに関連した異なるセキュリティレベル属性（ａｐｐ、オペレーティングシステム（ＯＳ）、アプリケーションサーバー及び／又はユーザにより与えられ／設定可能である）を有する。更に、媒体の各断片は、それに関連した異なるセキュリティレベル属性を、例えば、前記Ｆａｃｅｂｏｏｋ（登録商標）例を含むメタデータに有するか、或いは「プライベート」なフラグ付きカレンダーアイテムについて考える。

別の規範的実施形態では、次の３つのレベルがある：（１）運営者によって提供されるＷｉ−Ｆｉである信頼性のあるＷｉ−Ｆｉ；（２）信頼性のないＷｉ−Ｆｉ；及び（３）セルラー。

規範的実施形態によれば、ネットワーク機能インスタンス化への加入者トラフィックの指定の管理は、異なるタイプのセキュリティを区別するための以下の規範的実施形態の１つ以上により可能とされる。

規範的実施形態では、セキュリティのタイプは、次のうちの少なくとも１つを含む。例えば、コール制御シグナリング、ＵＥ（訪問先セル）履歴へのアクセス、等を含めて、ＭＭＥネットワーク機能に関連した第１タイプのセキュリティ。

又、セキュリティのタイプは、例えば、サービングゲートウェイ選択を含めて、ベアラプレーンセキュリティで行うべき第２タイプのセキュリティも含む。セキュリティのタイプは、ゲートウェイの選択に影響を及ぼすが、ＭＭＥ機能選択は、要求されるセキュリティのタイプによる影響を受けない。この例では、シグナリングは、先ず、ＭＭＥへ進み、その後、要求されるセキュリティのタイプがベアラプレーン取り扱い／ゲートウェイ選択に影響を及ぼす。更に、各ネットワーク機能の「プロフィール」があり、例えば、コール制御及び位置を含めて、どんなタイプのセキュリティリスクが生じ得るかを示す。

図２は、ある実施形態により複数の値を各々有する異なるタイプ又は次元のセキュリティをもつ一例を示す。特に、図２は、シナリオＡ−Ｄと、各シナリオの対応するセキュリティタイプを、ＭＭＥ／制御プレーン、ベアラプレーン、ＳＧｉ、及び規範的な使用ケースに対して示している。

規範的実施形態によれば、ネットワーク機能インスタンス化への加入者トラフィックの指定の管理は、種々の要素をレバレッジする以下の規範的実施形態の１つ以上により可能とされる。

１つの規範的実施形態では、専用の３ＧＰＰコアをレバレッジする専用コア規範的実施形態があり、各専用コアネットワークは、幾つかの特徴を共有するＵＥ専用のものである。専用コアネットワークは、マシンタイプ装置の異なるニーズ及び特徴をサポートする。本発明のある規範的実施形態の状況では、これは、セキュリティ要求基準を可能にして、加入者／トラフィックを、適切なセキュリティレベルをもつ大型コアネットワークの適切なサブセットに関連付けるのに使用される。又、これは、異なる次元及び観点のセキュリティを含むように装置タイプ属性のリストを拡張することも含む。

ネットワーク機能インスタンス化への加入者トラフィックの指定を管理する解決策は、ある規範的実施形態によれば、サービスクオリティ（ＱｏＳ）に基づいて拡張してセキュリティクオリティ（ＱｏＳｅｃ）を与える規範的実施形態をレバレッジする。このレバレッジは、例えば、（装置ごとにより静的ではなく）フローごとにより動的なレベルを更に可能にするためのＰＣＲＦのレバレッジを含む。それに加えて、レバレッジは、図２に示して上述したもののような異なる次元及び観点のセキュリティを含むためのＱｏＳ属性のリストの拡張も含む。

ネットワーク機能インスタンス化への加入者トラフィックの指定を管理する解決策は、ある規範的実施形態によれば、要求されるセキュリティレベル及び／又は信頼性を決定し且つ良好に推定するためにＤＰＩを更にレバレッジする。別の規範的実施形態では、その解決策は、異なるタイプのセキュリティに対して個別のアクセスポイント名（ＡＰＮ）を使用する規範的実施形態をレバレッジする。更に別の規範的実施形態では、その解決策は、例えば、加入者プロフィールの一部分として要求されるセキュリティのタイプがＳＧＷ選択に影響を及ぼす規範的実施形態をレバレッジする。

規範的実施形態によれば、その解決策は、異なる公衆地上移動ネットワーク（ＰＬＭＮ）が異なるタイプ又はレベルのセキュリティに対応するような規範的実施形態をレバレッジする。換言すれば、その解決策は、例えば、ネットワークの部分的重畳部分へマッピングするＰＬＭＮ値で無線アクセスネットワーク（ＲＡＮ）共有技術をレバレッジすることにより可能とされる。更に、ＥｎｏｄｅＢ（ｅＮＢ）は、複数のコアアクセスを有し、ルート／コア選択は、ＰＬＭＮ（又は装置タイプ）に基づく。

規範的実施形態によれば、その解決策は、ネットワークのサービング部分が高いセキュリティに関連することを装置が認証（及び検証）するような規範的実施形態をレバレッジする。認証（及び検証）は、セキュリティ証明書、又はリストを伴うＵＥの事前構成、の少なくとも１つを使用するか、或いは、おそらく、上述した専用コアワークアイテムに関してコアの適切なサブセットを識別するために付加的な装置タイプ識別（ＩＤ）／マシンタイプ通信（ＭＴＣ）装置タイプ能力をレバレッジする。

上述した第１のネットワークインスタンス化は、例えば、合法的傍受を遂行するに充分な高いセキュリティとしての分類に基づき適切なネットワークセキュリティタイプを有するとして識別されたネットワークインスタンス化である。

規範的実施形態によれば、クラウドの特定のネットワークハードウェアプラットホームで実行される特定のネットワーク機能に関連したセキュリティのレベルは、ネットワーク売主のホワイトリスト／ブラックリストポリシー、或いは地理的又は距離的ポリシーを含む。例えば、第１加入者又は加入者の企業は、特定の売主（例えば、ブラックリストに載せられた売主、又はその国の加入者がセキュリティにリスクがあると考えている売主）からのハードウェアで実行されるネットワーク機能の使用を除外するか又は好ましくは回避することを要求する。

同じシステムにおける２つの異なる加入者が２つの異なるブラックリストを有していることがある。例えば、第１加入者は、第１国により提供されるハードウェアのネットワーク機能をトラフィックが通過するのを回避することを希望し（例えば、Ｘ国からの加入者は、ＵＳからの売主により提供されるハードウェアをトラフィックが通過するのを回避することを希望し）、一方、第２加入者は、第２国により提供されるネットワーク機能をトラフィックが通過するのを回避することを希望する（例えば、Ｙ国からの加入者は、中国を基点とする売主により提供されるハードウェアをトラフィックが通過するのを回避することを希望する）。これらの国々の例は、例示に過ぎず、特定の国々のリストを何ら推奨するものではない。

更に、ハードウェアが、例えば、ネットワーク機能の潜在的なホストである場合を含めて、クラウドのハードウェア要素ごとにプロフィールがある。このハードウェアプロフィールは、ハードウェア売主に関する特定の（認定可能な）情報を与え、種々のセキュリティ関連ポリシーを評価できるようにする。

規範的実施形態によれば、第１ネットワーク機能インスタンス化は、それが完全に運営者ネットワークの内部で実行されるという高いレベルのセキュリティを与える。他の規範的実施形態では、ネットワーク機能バーチャル化インスタンスは、短期メモリストレージの暗号化をレバレッジする他の戦略を通して、セキュリティを高め、容量を失うことがある。

規範的実施形態によれば、特定のネットワーク機能に関連したセキュリティ及び／又は信頼性レベルが低下し、それと共に同じハードウェアで実行される第三者アプリケーションの数が、マルチテナンシー増加のように増加し、セキュリティ／信頼性レベルメカニズムが高いほど、マルチテナンシーでそれと共に存在するそのようなアプリケーションの最大数の限界が低くなる。

規範的実施形態によれば、セキュリティ及び／又は信頼性レベルは、それを収容するハードウェアプラットホームが動的に変化するときに更に低下する。例えば、ハードウェアプラットホームが動的に変化し、高いセキュリティ／信頼性レベルメカニズムは、そのような動的な変化が生じるところの最大レートを上限として働くようになる。

規範的実施形態において、ワイヤレスプロバイダーによって与えられるセキュリティのレベルも（例えば、セルラーサービスオファーを与えるように一緒に働く全てのネットワーク機能を考慮して）、種々のファクタに基づいてセットされる。

第１に、ｅＮＢへの多数の、例えば、第三者の物理的アクセスがある場合には、あまりセキュアでないと考えられる。例えば、これは、ｅＮＢが、フェムトセル又は閉じた／開いた加入者グループシナリオと同様に、他の加入者の家のケーブルボックス内に本質的にある場合に該当する。ここで直感することは、この場合、ハードウェアを容易に変更でき又はおそらく変更できることがＵＥに分かるので、セキュリティリスクが生じ得る。

第２に、バックホール又はサイドホールがワイヤレスである場合には、あまりセキュアでないと考えられる。例えば、これは、ワイヤレスバックホールをもつ小型セルの場合である。又、これは、上述したように誰かの家／ケーブルボックス内にｅＮＢがある場合に該当する。その理由は、それがあまりセキュアでないことである。というのは、適用される暗号保護が不充分であるときは、それが、光ファーバーバックホールではなくて、例えば、ワイヤレスでアクセスし易い場合、バックホールでの盗聴又は侵入のリスクが大きいからである。

第３に、ＲＡＮの共有がある場合には、あまりセキュアでないと考えられる。例えば、２つの異なる運営者が同じｅＮＢを共有している場合には、これは、大きなセキュリティリスクを招く。同様に、より多くの運営者が特定のセルラー電話塔を共有している場合にも、あまりセキュアでないと考えられ、これは、マクロセルの場合にしばしばそうであるが、小型セルでは、そうでもない。

第４に、ワイヤレス装置が整合型マルチポイント送信（ＣＯＭＰ）を使用する場合にはあまりセキュアでないと考えられる。その理由は、ユーザとの通信に含まれるｅＮＢが多いほど、潜在的な侵入ポイントが多いほど、従って、セキュリティが高いほど、潜在的に質低下が生じるからである。更に、ワイヤレス装置がＷｉ−Ｆｉ及びＬＴＥを経て同時に接続される場合には、あまりセキュアでないと考えられる。直感的には、いつでも、ある程度のトラフィックは、Ｗｉ−Ｆｉを経て進み、大きなセキュリティリスクを招き得る。

第５に、別の規範的実施形態において、接続に対して次の３つの異なる信頼性レベルがある：（１）信頼性のないＷｉ−Ｆｉ；（２）信頼性のあるＷｉ−Ｆｉ（例えば、運営者により提供されるＷｉ−Ｆｉ）；及び（３）セルラー。更に、複数のセルラー信頼性レベルがあり、ホームオペレータは、信頼性が高く、そして例えば、特定の外国を訪問しているときのローミングセルラーオペレータは、信頼性が低い。

第６に、ＵＥ高周波（ＲＦ）送信をより「広く」観察できる場合には、あまりセキュアでないと考えられる。より多くの他のＵＥがキャンピングし又はその特定のｅＮＢを経て接続される場合には、あまりセキュアでないと考えられる。ここで直感的に、同じｅＮＢを共有しているより多くの他の装置は、増分的により多くのセキュリティリスクを招く。又、これは、ＵＥがそのサービング塔から遠く離れている場合にはＵＥ送信電力（ｅＮＢへの）が高くなるという更に大きなセキュリティ／信頼性の問題を招く。ここで、セキュリティ／信頼性について直感的に、より少ない他の装置は、ＵＥが塔に接近しているために移動装置が低い電力で送受信する場合には、潜在的にそのトラフィックを観察することができる。このように、サービングセル塔に接近して及び／又は比較的軽い負荷のセルにおいてワイヤレストラフィックを交換するときには、高いＲＦ及びエネルギー効率と、高いセキュリティとの両方になる。

規範的実施形態によれば、ネットワーク機能インスタンス化への加入者トラフィックの指定の管理は、上述した第１及び第２の両ネットワーク機能インスタンス化が、例えば、遅延要件の観点から加入者（一人／複数）の他の要件を満足するように遂行される。換言すれば、本発明の幾つかの規範的実施形態は、両インスタンス化が、例えば、加入者への接近性又はレイテンシーに関して加入者のニーズを満足するが、２つのインスタンス化が上述した異なるレベル又はタイプのセキュリティを与えるようにネットワーク機能インスタンス化への指定をプライオリティ決めするように働く。

図３は、ある規範的実施形態によるシステムの一例を示す。１つの規範的実施形態において、システムは、例えば、少なくとも装置３１０、３２０及び３３０のような複数のデバイスを備えている。

装置３１０は、ＵＥ、セルラーホン、スマートホン、パーソナルデジタルアシスタント、テーブルトップコンピュータ、パーソナルコンピュータ、ラップトップコンピュータ、ミニタブレットコンピュータ、タブレットコンピュータ等のターミナルデバイスである。装置３２０は、ＭＭＥ、ＳＧＷ、ＰＣＲＦ、ＤＰＩ、又はアプリケーション最適化機能ＳＧｉ、等の任意のタイプのネットワーク機能である。更に、装置３３０は、通信ネットワークにおけるノード、ホスト又はサーバーであり、又はそのようなネットワークにサービスする。例えば、ある規範的実施形態では、装置３３０は、ネットワーク要素、無線アクセスネットワークのためのアクセスノード、例えば、ＵＭＴＳにおけるベースステーション、或いはＬＴＥ又はＬＴＥ−ＡにおけるｅＮＢである。しかしながら、他の規範的実施形態では、装置３３０は、無線アクセスネットワーク内の他のコンポーネントでもよい。

これらデバイスの各々は、情報を処理しそしてインストラクション又はオペレーションを実行するための少なくとも１つのプロセッサ、３１４、３２４及び３３４で各々示す、を備えている。プロセッサ３１４、３２４及び３３４は、任意のタイプの汎用又は特殊目的プロセッサである。図３には、デバイスごとに単一のプロセッサ３１４、３２４及び３３４が示されているが、他の規範的実施形態ではデバイスごとに複数のプロセッサが使用されてもよい。実際に、プロセッサ３１４、３２４及び３３４は、汎用コンピュータ、特殊目的コンピュータ、マイクロプロセッサ、中央処理ユニット（ＣＰＵ）、デジタル信号プロセッサ（ＤＳＰ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、及び例えば、マルチコアプロセッサアーキテクチャーに基づくプロセッサ、又は他の同等のデバイスを含む。

プロセッサは、単一のコントローラとして、或いは複数のコントローラ又はプロセッサとして実施することができる。又、プロセッサは、これに限定されないが、アンテナ利得／位相パラメータの事前コード化、通信メッセージを構成する個々のビットのエンコード及びデコード、情報のフォーマット化、並びに通信リソースの管理に関連したプロセスを含むシステムの全体的な制御を含めて、システムのオペレーションに関連した機能も遂行することができる。

各デバイスには少なくとも１つのメモリ（内部又は外部）が設けられ、３１５、３２５及び３３５で各々示されている。メモリには、コンピュータプログラムインストラクション又はコンピュータコードが含まれる。プロセッサ３１４、３２４及び３３４、並びにメモリ３１５、３２５及び３３５、又はそのサブセットは、図１及び５に示す種々のブロック及びプロセスに対応する手段を与えるように構成できる。

メモリ３１５、３２５及び３３５は、独立した適当なストレージデバイス、例えば、非一時的コンピュータ読み取り可能な媒体である。ハードディスクドライブ（ＨＤＤ）、ランダムアクセスメモリ（ＲＡＭ）、フラッシュメモリ又は他の適当なメモリを使用することができる。メモリは、単一の集積回路上にプロセッサとして結合することもできるし、或いは１つ以上のプロセッサとは個別のものでもよい。更に、メモリに記憶されてプロセッサにより処理されるコンピュータプログラムインストラクションは、適当な形態のコンピュータプログラムコード、例えば、適当なプログラミング言語で書かれたコンパイル型又は解釈型コンピュータプログラムである。

メモリ及びコンピュータプログラムインストラクションは、特定デバイスのプロセッサとで、装置３１０、３２０及び３３０のようなハードウェア装置が、ここに述べるいずれのプロセス（例えば、図１及び５を参照）も遂行するようにさせるよう構成される。それ故、ある規範的実施形態では、非一時的なコンピュータ読み取り可能な媒体は、ハードウェアで実行されたときに、ここに述べるプロセスの１つのようなプロセスを遂行するコンピュータインストラクションでエンコードされる。或いは又、本発明のある規範的実施形態は、完全にハードウェアで遂行することもできる。

図３に示すように、トランシーバ３１６、３２６及び３３６が設けられ、各デバイスは、３１７、３２７及び３３７で各々示すアンテナも備えている。例えば、それらデバイスの他の構成も考えられる。

トランシーバ３１６、３２６及び３３６は、各々、独立した送信器、受信器又は送受信器であるか或いは送信及び受信の両方のために構成されたユニット又はデバイスである。例えば、トランシーバ３１６、３２６及び３３６は、アンテナ３１７、３２７及び３３７により送信するために搬送波に情報を変調し、及び図３に示すシステムの他の要素により更に処理するためにアンテナ３１７、３２７及び３３７を経て受信した情報を復調するように構成される。他の規範的実施形態では、トランシーバ３１６、３２６及び３３６は、信号又はデータを直接的に送信及び受信することができる。

図３は、装置３１０、３２０及び３３０を備えたシステムを示すが、本発明の規範的実施形態は、他の構成、及び付加的な要素を伴う構成にも適用可能である。例えば、図示されていないが、図１に示す付加的なＵＥ、ｅＮＢ、ＭＭＥ及び／又は要素が存在してもよい。

上述したように、１つの規範的実施形態によれば、図３に示すシステムは、例えば、ネットワーク機能である装置３２０を備えている。規範的実施形態では、装置３２０は、上述した種々の機能を遂行するためメモリ３２５及びプロセッサ３２４により制御される。

規範的実施形態において、装置３２０は、第１タイプのセキュリティを与えるように第１ネットワーク機能の第１インスタンス化を構成するためにメモリ３２５及びプロセッサ３２４により制御される。又、装置３２０は、第１タイプのセキュリティとは異なる第２タイプのセキュリティを与えるように第１ネットワーク機能の第２インスタンス化を構成するためにメモリ３２５及びプロセッサ３２４により制御される。更に、装置３２０は、加入者トラフィックの少なくとも幾つかを第１インスタンス化に割り当てるためにメモリ３２５及びプロセッサ３２４により制御される。

規範的実施形態によれば、加入者トラフィックを第１インスタンス化に割り当てることは、第１ネットワーク機能のセキュリティ要求に基づく。別の規範的実施形態によれば、第１ネットワーク機能の第１インスタンス化は、第１ネットワーク機能の第２インスタンス化よりセキュリティレベルが高い。

又、規範的実施形態において、装置３２０は、第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの取り扱いのプライオリティを決め、及び第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの取り扱いのプライオリティを決めるためにメモリ３２５及びプロセッサ３２４により制御される。規範的実施形態によれば、前記プライオリティ決めは、第２タイプのセキュリティ要求を伴う第２加入者よりも高い第１タイプのセキュリティ要求を伴う第１加入者に基づく。

規範的実施形態によれば、第１タイプのセキュリティ及び第２タイプのセキュリティは、各々、ユーザごと、加入者ごと、又は企業のポリシーごと、特定のセキュリティレベルに対する支払、又は第１及び第２加入者の現在コンテキスト、のうちの少なくとも１つに基づき構成される。規範的実施形態において、第２加入者のコンテキストは、実施されるアプリケーション／サービスのタイプ、使用されるアプリケーションのタイプ、第２加入者の位置、又は第２加入者が到達を試みる被呼者に基づく。

規範的実施形態によれば、第１タイプのセキュリティは、例えば、コール制御シグナリング及びＵＥ履歴へのアクセスを含めて、移動管理エンティティネットワーク機能に関連している。更に、第２タイプのセキュリティは、例えば、ＳＧＷ選択を含めて、ベアラプレーンセキュリティに関連している。更に、セキュリティのタイプ及び／又はレベルに対して種々の必要性を有する複数の加入者がいる。例えば、第１、第２、第３、及び第４の加入者が存在することがある。第１加入者は、高いレベルの移動管理セキュリティを必要とし、第２加入者は、高いレベルのベアラプレーンセキュリティを必要とし、第３加入者は、高いレベルの移動管理及びベアラプレーンの両セキュリティを必要とし、そして第４加入者は、通常レベルのセキュリティしか必要としない。

規範的実施形態において、第１ネットワーク機能に関連したセキュリティのレベルは、ネットワーク売主ホワイトリスト／ブラックリストポリシー或いは地理的又は距離的ポリシー、運営者ネットワークの完全に内部で実行されるより高いセキュリティレベル、第１ネットワーク機能と共に同じハードウェアで実行される第三者アプリケーションの数に基づくセキュリティレベルの低下、及びハードウェアプラットホームがそのハードウェアプラットホームの動的な変化に基づいて前記第１ネットワーク機能をホストするときのセキュリティレベルの低下、を含む。

別の規範的実施形態において、第１ネットワーク機能に与えられるセキュリティのレベルは、ネットワーク要素への第三者アクセス、運営者ネットワークのバックホール又はサイドホールがワイヤレスであること、ネットワーク要素の無線アクセスネットワーク共有の存在、マルチポイント送信の存在、Ｗｉ−Ｆｉに対応する信頼性レベル、及びネットワーク要素に接続されたユーザ装置の数、の少なくとも１つに基づいて与えられる。

図４は、ある規範的実施形態による装置４１０を示す。１つの規範的実施形態では、装置４１０は、図３に関連して上述したネットワーク機能である。当業者であれば、装置４１０は、図４に示されていない他のコンポーネント又は特徴を含むことが理解されよう。更に、装置４１０は、信号及び／又はデータを装置４１０から送信しそして装置４１０へ受信するための１つ以上のアンテナ４２０を備えている。

図４に示すように、装置４１０は、第１タイプのセキュリティを与えるように第１ネットワーク機能の第１インスタンス化を構成し、及び第１タイプのセキュリティとは異なる第２タイプのセキュリティを与えるように第１ネットワーク機能の第２インスタンス化を構成するように構成された構成ユニット４３０を備えている。又、装置４１０は、加入者トラフィックの少なくとも幾つかを第１インスタンス化に割り当てるように構成された割り当てユニット４４０も備えている。更に、装置４１０は、第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの取り扱いのプライオリティを決め及び第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの取り扱いのプライオリティを決めるように構成されたプライオリティ決めユニット４５０も備えている。

図５は、ある規範的実施形態による方法の規範的フローチャートである。ある規範的実施形態では、図５の方法は、上述したようなネットワーク機能により遂行される。この方法は、５１０において、第１タイプのセキュリティを与えるように第１ネットワーク機能の第１インスタンス化を構成することを含む。又、この方法は、５２０において、第１タイプのセキュリティとは異なる第２タイプのセキュリティを与えるように第１ネットワーク機能の第２インスタンス化を構成することも含む。更に、この方法は、５３０において、加入者トラフィックの少なくとも幾つかを第１インスタンス化に割り当てることも含む。又、この方法は、５４０において、第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの取り扱いのプライオリティを決めることも含む。更に、この方法は、５５０において、第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの取り扱いのプライオリティを決めることも含む。

本発明の規範的実施形態は、いくつかの技術的改善を提供する。例えば、最大レベルのクラウド／ネットワーク機能バーチャル化を達成すると同時に、その最高レベルのセキュリティをそれらの特殊なケースに与えることができる。この最高レベルのセキュリティを全てのトラフィックに常時与えると、ネットワーク機能バーチャル化で達成できる容量及び多重化利得が著しく低下する。さもなければ、セキュリティオーバーレイをここに請求するように合体せずにクラウドをネットワーク機能バーチャル化で使用する解決策で進むと、全ての顧客のニーズが満足されない結果となる。

更に、ビデオ／オーディオストリーミングトラフィックが高いレベルのセキュリティを要求しない場合は、トラフィックのこの大きな部分の容量の影響が著しく低下する一方、他の重要タイプのトラフィックに与えられるセキュリティレベルの低下はない。例えば、ネットワーク機能のための最もセキュアなクラウド環境を与えることで、トラフィックごと又は加入者ごとのそのネットワーク機能のコストが倍増する場合には、それを要求するトラフィックのみに対して最もセキュアなネットワーク機能を使用することにより、ネットワーク機能に対するクラウド解決策の全容量又はコストを５０％以上改善することができ、これは、ビデオ／オーディオストリーミングが、典型的に、例えば、今日のワイヤレスネットワークにより搬送されるトラフィック量の大部分である場合を含む。

更に、本発明のある規範的実施形態によれば、適切なレベルのセキュリティを与えると同時に、クラウドにおけるネットワーク機能バーチャル化の利点を最大限利用し、例えば、クラウド環境内で考えられる多重化利得を利用することができる。更に、メカニズムは、標準的な変更を伴い及び伴わずに実施されてもよい。

更に、１つの重要な領域の利点は、容量的に「過剰投資」する必要性を回避しつつ収益損失を防止するために必要容量をリアルタイムでマッチングさせるという非常に良好なジョブをクラウドベースの解決策で実行できるので、低い利用率（リソース、エネルギー、容量及び収益浪費）を回避するようにクラウドをレバレッジできることである。換言すれば、クラウドベース付与に向かう大きな動機は、多重化利得の改善／そうでなければアイドル状態となる装置を使用できることである。例えば、これは、ピーク時間及び他の更に珍しい且つ予想できないネットワーク「イベント」に対する設計によりシステムの容量を確保する必要性を軽減する。マルチテナンシー及び相対的ピーク負荷の平坦化は、この「共有環境」において共有インフラストラクチャー上で非常に多数の組織及びユーザがサービスを受ける場合に利益を生み出す。動的なプロビジョニングは、実際の需要に良好にマッチングしたリソース及びサーバーを計算する際に浪費を更に減少する。又、これは、改善された冷却及び電力コンディショニングを通して電力損失を減少する設計を可能にするので、データセンターの効率も改善できる。

更に、バーチャル化ネットワーク機能の１つの焦点は、コアにおけるネットワーク機能である。例えば、１時間当りのユーザ装置当りのメッセージに関して移動ネットワーク運営者の広い機能組内のＭＭＥ、ＰＤＮ／ＳＧＷ及び他のネットワーク要素にわたるネットワーク利用変動を見ることができる。長期間にわたり、クラウドは、ｅＮＢまでずっと延びる機能に対して益々大きな影響を及ぼし、特定のセルが他のセルよりも著しく混雑する状態で、ネットワーク利用の非均一な空間的密度分布から更に大きな浪費が生じる。例えば、ある規範的システムでは、ネットワークの重負荷セルの１５％がセルシステムの容量限界を決定する。

更に、ネットワークの弾力性及び柔軟性において、クラウドベースの解決策は、局所的なハードウェア故障に直面してネットワーク弾力性に関して更に付加的な利益を生み出すことができる。加えて、アップグレード及び新規特徴の展開間隔は、クラウドベースの解決策では短いことが予想される。更に、エネルギー効率の場において著しい機会がある。

当業者であれば、上述した本発明は、異なる順序のステップで、及び／又はここに開示されたものとは異なる構成のハードウェア要素で実施されてもよいことが容易に理解されよう。それ故、本発明は、規範的実施形態に基づいて述べたが、本発明の精神及び範囲から逸脱せずに、幾つかの修正、変更及び代替的構造が当業者に明らかであろう。それ故、本発明の限界及び境界を決定するためには、特許請求の範囲を参照されたい。

用語
３ＧＰＰ：第３世代パートナーシッププロジェクト
ＡＳＩＣ：特定用途向け集積回路
ＣＡＰＥＸ：資本支出
ＣＯＭＰ：整合型マルチポイント送信
ＣＰＵ：中央処理ユニット
ＤＳＰ：デジタル信号プロセッサ
ＥＤＧＥ：エンハンストデータレート・フォー・ＧＳＭエボルーション
ｅＮＢ：進化型ＮｏｄｅＢ
Ｅ−ＵＴＲＡＮ：進化型ＵＴＲＡＮ
ＦＤＤ：周波数分割デュープレックス
ＦＰＧＡ：フィールドプログラマブルゲートアレイ
ＨＤＤ：ハードディスクドライブ
ＧＥＲＡＮ：ＧＳＭＥＤＧＥ無線アクセスネットワーク
ＧＳＭ：移動通信用グローバルシステム
ＨＳＳ：ホーム加入者サーバー
ＩＰ：インターネットプロトコル
ＩＭＥＩ：国際移動装置アイデンティティ
ＩＭＥＩＳＶ：ＩＭＥＩソフトウェアバージョン
ＬＩ：合法的傍受
ＬＴＥ：長期進化
Ｍｂｐｓ：メガビット／秒
ＭＭＥ：移動管理エンティティ
ＭＴＣ：マシンタイプ通信
ＯＰＥＸ：運転支出
ＯＳ：オペレーティングシステム
ＰＬＭＮ：公衆地上移動ネットワーク
ＰＤＮＧＷ：パケットデータネットワークゲートウェイ
ＱｏＳ：サービスクオリティ
ＱｏＳｅｃ：セキュリティクオリティ
ＲＡＮ：無線アクセスネットワーク
ＲＡＭ：ランダムアクセスメモリ
ＲＦ：高周波
ＲＮＣ：無線ネットワークコントローラ
ＲＮＳ：無線ネットワークサブシステム
ＲＯＭ：リードオンリメモリ
ＳＧＳＮ：サービング汎用パケット無線サービスサポートノード
ＳＧＷ：サービングゲートウェイ
Ｓ／Ｐ−ＧＷ：サービング／パケットデータネットワークゲートウェイ
ＴＤＤ：時分割デュープレックス
ＴＰＭ：信頼型プラットホームモジュール
ＵＥ：ユーザ装置
ＵＭＴＳ：ユニバーサル移動テレコミュニケーションシステム
ＵＴＲＡＮ：ユニバーサル移動テレコミュニケーションシステム
ＲＡＮ：無線アクセスネットワーク

３１０、３２０、３３０：装置
３１４、３２４、３３４：プロセッサ
３１５、３２５、３３５：メモリ
３１６、３２６、３３６：トランシーバ
３１７、３２７、３３７：アンテナ
４１０：装置
４２０：アンテナ
４３０：構成ユニット
４４０：割り当てユニット
４５０：プライオリティ決めユニット

Claims

移動管理エンティティ又はサービングゲートウェイによって加入者トラフィックを割り当てる方法において、
第１タイプのセキュリティレベルを与えるように前記移動管理エンティティ又は前記サービングゲートウェイの第１ネットワーク機能の第１インスタンス化を構成し、
前記第１タイプのセキュリティレベルとは異なる第２タイプのセキュリティレベルを与えるように前記第１ネットワーク機能の第２インスタンス化を構成し、及び
前記加入者トラフィックの少なくとも幾つかを前記第１インスタンス化に割り当て、
前記第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの処理のプライオリティを決め、及び
前記第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの処理のプライオリティを決める、ことを含む方法。
前記加入者トラフィックを第１インスタンス化に割り当てることは、前記第１ネットワーク機能のセキュリティ要求に基づく、請求項１に記載の方法。
前記第１タイプのセキュリティレベル及び第２タイプのセキュリティレベルは、各々、
ユーザごと、加入者ごと、又は企業のポリシーごと、
特定のセキュリティレベルに対する支払、又は
第１及び第２加入者の現在コンテキスト、
のうちの少なくとも１つに基づいて構成される、請求項１から２のいずれか１項に記載の方法。
前記第１タイプのセキュリティレベルは、移動管理エンティティネットワーク機能に関連し、及び
前記第２タイプのセキュリティレベルは、ベアラプレーンに関連している、請求項１から３のいずれか１項に記載の方法。
前記第１ネットワーク機能によって与えられるセキュリティのレベルは、
ネットワーク売主ホワイトリスト／ブラックリストポリシー或いは地理的又は距離的ポリシー、及び
運営者ネットワークの完全に内部で実行されるより高いセキュリティレベル、を含む、請求項１から４のいずれか１項に記載の方法。
前記第１ネットワーク機能によって与えられるセキュリティのレベルは、
ネットワーク要素への第三者アクセス、
運営者ネットワークのバックホール又はサイドホールがワイヤレスであること、
ネットワーク要素の無線アクセスネットワーク共有の存在、
マルチポイント送信の存在、
Ｗｉ−Ｆｉに対応する信頼性レベル、及び
ネットワーク要素に接続されたユーザ装置の数、
の少なくとも１つに基づいて与えられる、請求項１から５のいずれか１項に記載の方法。
加入者トラフィックを割り当てる装置であって、
少なくとも１つのプロセッサ、及び
コンピュータプログラムコードを含む少なくとも１つのメモリを備えた装置において、少なくとも１つのメモリ及びコンピュータプログラムコードは、少なくとも１つのプロセッサとで、装置が、少なくとも、
第１タイプのセキュリティレベルを与えるように前記装置の第１ネットワーク機能の第１インスタンス化を構成し、
第１タイプのセキュリティレベルとは異なる第２タイプのセキュリティレベルを与えるように第１ネットワーク機能の第２インスタンス化を構成し、及び
加入者トラフィックの少なくとも幾つかを前記第１インスタンス化に割り当て、
前記第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの処理のプライオリティを決め、及び
前記第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの処理のプライオリティを決める、
ようにさせるよう構成された装置。
前記加入者トラフィックを第１インスタンス化に割り当てることは、前記第１ネットワーク機能のセキュリティ要求に基づく、請求項７に記載の装置。
前記第１タイプのセキュリティレベル及び第２タイプのセキュリティレベルは、各々、
ユーザごと、加入者ごと、又は企業のポリシーごと、
特定のセキュリティレベルに対する支払、又は
第１及び第２加入者の現在コンテキスト、
のうちの少なくとも１つに基づいて構成される、請求項７から８のいずれか１項に記載の装置。
前記第１タイプのセキュリティレベルは、移動管理エンティティのネットワーク機能に関連し、及び
前記第２タイプのセキュリティレベルは、ベアラプレーンに関連している、請求項７から９のいずれか１項に記載の装置。
前記第１ネットワーク機能によって与えられるセキュリティのレベルは、
ネットワーク売主ホワイトリスト／ブラックリストポリシー或いは地理的又は距離的ポリシー、
運営者ネットワークの完全に内部で実行されるより高いセキュリティレベル、を含む、請求項７から１０のいずれか１項に記載の装置。
前記第１ネットワーク機能によって与えられるセキュリティのレベルは、
ネットワーク要素への第三者アクセス、
運営者ネットワークのバックホール又はサイドホールがワイヤレスであること、
ネットワーク要素の無線アクセスネットワーク共有の存在、
マルチポイント送信の存在、
Ｗｉ−Ｆｉに対応する信頼性レベル、及び
ネットワーク要素に接続されたユーザ装置の数、
の少なくとも１つに基づき与えられる、請求項７から１１のいずれか１項に記載の装置。
加入者トラフィックを割り当てる装置において、
第１タイプのセキュリティレベルを与えるように前記装置の第１ネットワーク機能の第１インスタンス化を構成するための構成手段、
前記第１タイプのセキュリティレベルとは異なる第２タイプのセキュリティレベルを与えるように前記第１ネットワーク機能の第２インスタンス化を構成するための構成手段、
前記加入者トラフィックの少なくとも幾つかを前記第１インスタンス化に割り当てるための割り当て手段、
前記第１ネットワーク機能の第１インスタンス化による第１加入者のトラフィックの処理のプライオリティを決めるためのプライオリティ手段、及び
前記第１ネットワーク機能の第２インスタンス化による第２加入者のトラフィックの処理のプライオリティを決めるためのプライオリティ手段、
を備えた装置。
前記第１タイプのセキュリティレベル及び第２タイプのセキュリティレベルは、各々、
ユーザごと、加入者ごと、又は企業のポリシーごと、
特定のセキュリティレベルに対する支払、又は
第１及び第２加入者の現在コンテキスト、
のうちの少なくとも１つに基づいて構成される、請求項１３に記載の装置。
前記第１タイプのセキュリティレベルは、移動管理エンティティのネットワーク機能に関連し、及び
前記第２タイプのセキュリティレベルは、ベアラプレーンに関連している、請求項１３から１４のいずれか１項に記載の装置。
前記第１ネットワーク機能によって与えられるセキュリティのレベルは、
ネットワーク売主ホワイトリスト／ブラックリストポリシー或いは地理的又は距離的ポリシー、及び
運営者ネットワークの完全に内部で実行されるより高いセキュリティレベル、を含む、請求項１３から１５のいずれか１項に記載の装置。
前記第１ネットワーク機能によって与えられるセキュリティのレベルは、
ネットワーク要素への第三者アクセス、
運営者ネットワークのバックホール又はサイドホールがワイヤレスであること、
ネットワーク要素の無線アクセスネットワーク共有の存在、
マルチポイント送信の存在、
Ｗｉ−Ｆｉに対応する信頼性レベル、及び
ネットワーク要素に接続されたユーザ装置の数、
の少なくとも１つに基づいて与えられる、請求項１３から１６のいずれか１項に記載の装置。