JP6569924B2 - 仮想ネットワーク制御方法、提供者端末、登録更新制御装置およびそのプログラム - Google Patents

Description

本発明は、仮想ネットワーク制御方法、提供者端末、登録更新制御装置およびそのプログラムに関する。

ＳＤＮ(Software-Defined Network)等の普及に伴い、ネットワークを仮想化する技術がより注目されており、特に、ＮＦＶ(Network Functions Virtualisation)と呼ばれる、キャリアネットワークのネットワークアプライアンスの機能を仮想化する技術の検討が進んでいる。

上記技術分野において、特許文献１には、仮想化装置が、専用アプライアンスごとに、仮想マシン上に仮想アプライアンスを構築する技術が開示されている。

特開２０１１−０３４４０３号公報

上述のＮＦＶ環境下では、キャリアに対して、ある特定のベンダが、ルータ、スイッチ、ゲートウェイ等のキャリアネットワーク向け製品を開発して生産し、さらに汎用サーバ上にソフト化された仮想アプライアンス(＝ＶＮＦ:Virtual Network Function）を実装して納入するという、いわゆるシステムインテグレーションまで行うことが予測される。

ある特定のベンダ１社が、キャリアネットワークを構成する全ての仮想アプライアンスまで開発するとは考え難く、ある特定の機能に関しては、サードパーティーのソフトウェアを納入するようなことが考えられる。このように、サードパーティー製のＶＮＦをシステムに組み込もうとする場合、ネットワークを運用するキャリアとしては、サードパーティー製のＶＮＦの正当性（妥当性）を考慮する必要がある。

しかしながら、上記特許文献１に記載の技術は、仮想マシン上に仮想アプライアンスを構築し、専用アプライアンスと同様のサービスを、仮想的に提供するための技術に過ぎず、システム全体を構築するベンダとは異なるサードパーティーが参入することまでは想定されていない。したがって、上記特許文献１に記載の技術では、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合、不正登録や改ざん、あるいは誤登録の発生を防止することができなかった。

本発明の目的は、上述の課題を解決する技術を提供することにある。

上記目的を達成するため、本発明に係る仮想ネットワーク制御方法は、
仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能との入力を受け付け、
前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証し、
前記仮想ネットワーク機能を登録する場合には、
前記提供者が正当な提供者であることが認証された場合に、前記提供者に対して、前記登録の対象となる仮想ネットワーク機能の登録完了を通知し、
前記仮想ネットワーク機能を更新する場合には、
前記提供者が正当な提供者であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能が正当かどうかを、前記仮想ネットワーク機能の認証情報に基づき認証し、
前記更新の対象となる仮想ネットワーク機能が正当であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を前記提供者に対して通知する、 ことを特徴とする。

上記目的を達成するため、本発明に係る登録更新制御装置は、
仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能との入力を受け付ける受付部と、
前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証する提供者認証部と、
前記提供者が正当な提供者であることを認証された場合に、前記仮想ネットワーク機能の登録または更新を制御する登録更新制御部と、
を備え、
前記登録更新制御部は、
前記仮想ネットワーク機能を登録する場合には、
前記提供者に対して、前記登録の対象となる仮想ネットワーク機能の登録完了を通知し、
前記仮想ネットワーク機能を更新する場合には、
前記更新の対象となる仮想ネットワーク機能が正当かどうかを、前記仮想ネットワーク機能の認証情報に基づき認証し、
前記更新の対象となる仮想ネットワーク機能が正当であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を、前記提供者に対して通知する、
ことを特徴とする。

上記目的を達成するため、本発明に係る登録更新制御装置のプログラムは、
仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能の入力を受け付ける処理と、
前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証する処理と、
前記提供者が正当な提供者であることを認証された場合に、前記仮想ネットワーク機能の登録または更新を制御する処理と、
前記仮想ネットワーク機能を登録する場合には、
前記提供者が正当な提供者であることが認証された場合に、前記提供者に対して、前記登録の対象となる仮想ネットワーク機能の登録完了を通知し、
前記仮想ネットワーク機能を更新する場合には、
前記提供者が正当な提供者であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能が正当かどうかを、前記仮想ネットワーク機能の認証情報に基づき認証し、
前記更新の対象となる仮想ネットワーク機能が正当であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を前記提供者に対して通知する処理と、
を登録更新制御装置のコンピュータに実行させることを特徴とする。

上記目的を達成するため、本発明に係る提供者端末は、
仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能との入力を受け付け、登録更新制御装置に送信する送信部、
前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証した結果を、前記登録更新制御装置から受信する受信部と、
前記提供者が正当な提供者であることを認証された場合に、前記登録更新制御装置から受信した、前記仮想ネットワーク機能の認証結果を提供者に通知する通知部と、
を備え、
前記通知部は、
前記仮想ネットワーク機能を登録する場合には、前記登録の対象となる仮想ネットワーク機能の登録完了を前記認証結果として受信して、提供者に通知し、
前記仮想ネットワーク機能を更新する場合には、前記更新の対象となる仮想ネットワーク機能が正当であることが、前記仮想ネットワーク機能の認証情報に基づき認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を前記認証結果として受信して、前記提供者に通知する、
ことを特徴とする。

本発明によれば、サードパーティー製あるいはシステムベンダー製の仮想ネットワーク機能を登録する場合において、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

本発明の第１実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第２実施形態に係る仮想ネットワークシステムの動作概要を示す図である。 本発明の第２実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第２実施形態に係る仮想ネットワークサービスのサービスチェインを示す図である。 本発明の第２実施形態に係る仮想ネットワークサービスの他のサービスチェインを示す図である。 本発明の第２実施形態に係る仮想ネットワークサービスのさらに他のサービスチェインを示す図である。 本発明の第２実施形態に係る仮想ネットワークシステムの動作手順を示すシーケンス図である。 本発明の第２実施形態に係る仮想ネットワークシステムの他の動作手順を示すシーケンス図である。 本発明の第２実施形態に係る制御装置の機能構成を示すブロック図である。 本発明の第２実施形態に係る物理サーバを制御する制御部の機能構成を示すブロック図である。 本発明の第２実施形態に係る管理データベースの構成を示す図である。 本発明の第２実施形態に係る運用管理装置の機能構成を示すブロック図である。 本発明の第２実施形態に係る管理テーブルの構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る認証データの他の構成を示す図である。 本発明の第２実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。 本発明の第２実施形態に係る制御装置のＶＮＦ起動・変更処理の手順を示すフローチャートである。 本発明の第２実施形態に係る電子署名の正当／不当判定処理の手順を示すフローチャートである。 本発明の第３実施形態に係る仮想ネットワークシステムの動作概要を示す図である。 本発明の第３実施形態に係る仮想ネットワークシステムの動作概要を示す図である。 本発明の第３実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第３実施形態に係る仮想ネットワークシステムの登録動作手順を示すシーケンス図である。 本発明の第３実施形態に係る仮想ネットワークシステムの他の登録動作手順を示すシーケンス図である。 本発明の第３実施形態に係る仮想ネットワークシステムの更新動作手順を示すシーケンス図である。 本発明の第３実施形態に係る制御装置の機能構成を示すブロック図である。 本発明の第３実施形態に係る登録更新装置の機能構成を示すブロック図である。 本発明の第３実施形態に係る登録更新可能判定テーブルの構成を示す図である。 本発明の第３実施形態に係る制御装置のＶＮＦ登録・更新処理の手順を示すフローチャートである。 本発明の第３実施形態に係るＶＮＦ更新処理の手順を示すフローチャートである。 本発明の第３実施形態に係るＶＮＦ登録処理の手順を示すフローチャートである。 本発明の第４実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第４実施形態に係る仮想ネットワークシステムの動作手順を示すシーケンス図である。 本発明の第４実施形態に係る制御装置の機能構成を示すブロック図である。 本発明の第４実施形態に係る登録更新可能判定テーブルの構成を示す図である。 本発明の第４実施形態に係る制御装置のＶＮＦ登録・更新処理の手順を示すフローチャートである。 本発明の第４実施形態に係るＶＮＦ提供者認証処理の手順を示すフローチャートである。 本発明の第５実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第５実施形態に係る仮想ネットワークシステムの動作手順を示すシーケンス図である。 本発明の第５実施形態に係る統合制御装置の機能構成を示すブロック図である。 本発明の第５実施形態に係る統合制御テーブルの構成を示す図である。 本発明の第５実施形態に係る統合制御装置の処理手順を示すフローチャートである。 本発明の第６実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。 本発明の第６実施形態に係る統合制御装置の機能構成を示すブロック図である。 本発明の第６実施形態に係る仮想ネットワークシステムの他の構成を示すブロック図である。 本発明の第７実施形態に係る仮想ネットワーク機能の有効期間を設定する場合を示す図である。 本発明の第７実施形態に係る仮想ネットワーク機能の相性を考慮する場合を示す図である。

以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素は単なる例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。

［第１実施形態］
本発明の第１実施形態としての仮想ネットワークシステム１００について、図１を用いて説明する。仮想ネットワークシステム１００は、仮想ネットワークサービスを管理するシステムである。

図１に示すように、仮想ネットワークシステム１００は、受付部１０１と、第１認証部１０２と、登録部１０３と、を含む。受付部１０１は、仮想ネットワークサービスの機能の１つを提供する仮想ネットワーク機能（ＶＮＦ）と、仮想ネットワーク機能を提供する提供者に関する提供者情報とを、提供者から受け付ける。第１認証部１０２は、仮想ネットワーク機能と提供者情報とに基づいて、提供者が正当な提供者であることを認証する。登録部１０３は、第１認証部１０２により正当な提供者であることを認証された場合に、仮想ネットワーク機能を登録する。

本実施形態によれば、サードパーティー製あるいはシステムベンダー製の仮想ネットワーク機能を登録する場合に、提供者が登録可能な仮想ネットワーク機能に基づいて認証するので、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第２実施形態］
次に、本発明の第２実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、オペレータ端末から、既に登録済みの仮想ネットワーク機能の起動または変更が指示された場合に、対象の仮想ネットワーク機能が不正登録や改ざん、あるいは誤登録で無いことを確認するための認証を行なう。ここで、仮想ネットワーク機能の起動とは、既に登録済みの仮想ネットワーク機能を対象の仮想ネットワークで新たに起動することである。また、仮想ネットワーク機能の変更とは、対象の仮想ネットワークサービスに使用されている仮想ネットワーク機能を入れ替えることである。

本実施形態において、仮想ネットワークサービスとは、例えば、ネットワークシステムを使用するオペレータごとに定義されていてもよいし、オペレータがユーザに提供するサービス単位で定義されてもよい。

なお、本実施形態においては、認証を、仮想ネットワーク機能を供給した提供者（サードパーティーとも記載する）の電子署名に基づいて行なうが、認証方法が電子署名に限定されない。仮想ネットワーク機能の不正登録や改ざん、あるいは誤登録の発生を防止する認証方法が利用でき、例えば、暗号化と復号との組み合わせなどであってもよい。また、仮想ネットワーク機能（ＶＮＦ）としては、ＧＷ(gateway)、ＦＷ(Firewall)、ＬＢ(Load Balancer)、ＤＰＩ(Deep Packet Inspection)などが知られるが、キャリアネットワークを構築するあらゆる機能を含んでよい。また、ＶＮＦは、ＧＷ、ＦＷ等の一般的なネットワークにおける専用アプライアンス単位で定義されてもよいし、専用アプライアンスの有する各機能単位にて定義されてもよい。さらに、本実施形態の装置は、ハードウェアとして１つにまとまったものであっても、各機能を実現するソフトウェアで実現されるものであってもよい。その場合には、各装置とはハードウェアとしての境界を意味しなくてよい。

《仮想ネットワークシステム》
以下、図２乃至図４を参照して、本実施形態の仮想ネットワークシステムについて、詳細に説明する。

（動作概要）
図２は、本実施形態に係る仮想ネットワークシステム２００の動作概要を示す図である。図２は、仮想ネットワーク機能の起動あるいは変更を指示するオペレータ２０１が操作するオペレータ端末２１０の、本実施形態の操作中の表示例を示す。

表示画面２１１は、本実施形態の仮想ネットワークシステム２００を操作する権限をオペレータ２０１が有しているか否かの認証を行なう画面である。オペレータ２０１は、オペレータＩＤおよびパスワードを入力して認証を受ける。

オペレータ２０１の認証がされると、次に、表示画面２１２において、オペレータ２０１は、ＶＮＦの起動あるいは変更の対象となるサービスＩＤ（あるいは、キャリアＩＤ）
と、起動あるいは変更の対象となる機能（ＶＮＦ）と、ＶＮＦを接続する経路の設定と、を入力する。なお、ＶＮＦを接続する経路の設定は、オペレータ２０１が入力しなくても、その機能間の関係から自動的に設定されてもよい。

ここで、本実施形態に基づく、対象のＶＮＦを対象の仮想ネットワークサービスにおいて起動あるいは変更してもよいか、すなわち、対象のＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦでないかを認証情報に基づいて認証する。本実施形態においては、認証情報として、ＶＮＦを提供者情報に基づいて認証する電子署名を使用する。あらかじめ登録された対象の電子署名付ＶＮＦを仮想ネットワーク機能データベース（以下、ＶＮＦデータベース）から読み出して、認証サーバに保存された対応する検証鍵（公開鍵）を用いて、電子署名の認証を行なう。

電子署名の認証で提供者本人であると受理されると、ＶＮＦデータベースから読み出されたＶＮＦが対象の仮想ネットワークに設定されて、オペレータ端末２１０の表示画面２１３には、ＶＮＦ起動完了あるいはＶＮＦ変更完了が表示される。一方、電子署名の認証で提供者本人でないと棄却されると、ＶＮＦデータベースから読み出されたＶＮＦには不正登録や改ざん、あるいは誤登録の恐れがあるとする。その結果、ＶＮＦ起動あるいはＶＮＦ変更は中止され、オペレータ端末２１０の表示画面２１４には、起動エラーあるいは変更エラーが発生し、その原因が電子署名の不当であることが示される。

（システム構成）
図３Ａは、本実施形態に係る仮想ネットワークシステム２００の構成を示すブロック図である。なお、仮想ネットワークシステム２００には、ＶＮＦ起動あるいはＶＮＦ変更に関連する構成が示されており、ＶＮＦは既にＶＮＦデータベースに登録されているものとして、ＶＮＦ登録あるいはＶＮＦ更新に関連する構成は示されていない。

仮想ネットワークシステム２００において、制御装置３１０は本実施形態のＶＮＦ起動あるいはＶＮＦ変更における認証と、その結果によるＶＮＦの設定とを制御する。認証サーバ３２０は、本実施形態のＶＮＦ起動あるいはＶＮＦ変更における認証のための認証情報を保持する。なお、認証サーバ３２０は、制御装置３１０の内部に設けられていてもよい。ＶＮＦデータベース３３０は、あらかじめ登録された電子署名付ＶＮＦを提供者情報やＶＮＦ識別子などで検索可能に格納する。検索キーは、提供者情報やＶＮＦ識別子に限定されず、ＶＮＦの不正登録や改ざん、あるいは誤登録の発生を防止するために種々に選択される。ここで、制御装置３１０、認証サーバ３２０およびＶＮＦデータベース３３０が、図１における認証部１０２および設定部１０３として機能する。

仮想ネットワークサービス３４０は、本実施形態に係る仮想ネットワークシステム２００に複数のＶＮＦを接続して提供されるサービスである。なお、仮想ネットワークサービス３４０は１つに限定されず、複数の異なるネットワークサービスが提供されてもよい。仮想ネットワークサービス３４０は、ＶＮＦを仮想マシン(ＶＭ：Virtual Machine)で実行する物理サーバ３４１と、物理サーバ３４１とのパケット転送をスイッチングする物理スイッチ３４３とを有する。そして、物理サーバ３４１は、種々の処理を実行する複数のＶＭと、複数のＶＮＦを経路に従って設定して仮想ネットワークサービス３４０を実現する制御部３４２とを有する。制御部３４２としては、“Ｏｐｅｎ ｖＳｗｉｔｃｈ”や“ＶＭＭ(Virtual Machine Manager)”などが用いられるが、詳細な説明は省略する。

運用管理装置３５０は、オペレータ端末２１０と接続され、ＶＮＦの起動または変更の指示を制御装置３１０に伝達する。ここで、運用管理装置３５０、あるいは、運用管理装置３５０およびオペレータ端末２１０が図１の指示部１０１として機能する。

図３Ａの構成において、ＶＮＦデータベース３３０には電子署名付ＶＮＦが検索可能に格納され、認証サーバ３２０には電子署名付ＶＮＦに対応する検証鍵（公開鍵）が保持されている。システムに認証されたオペレータによりオペレータ端末２１０からＶＮＦデータベース３３０に格納されたＶＮＦの起動あるいは変更が指示されると、運用管理装置３５０は、そのＶＮＦの起動あるいは変更の指示を制御装置３１０に送る。ＶＮＦの起動あるいは変更の指示にはＶＮＦを識別する識別子（例えば、ＩＤ：123やＩＤ：abcなど）が付加される。

ＶＮＦを識別する識別子は、オペレータ端末２１０や運用管理装置３５０において、オペレータが入力あるいは選択した機能名（例えば、ファイアウォール(Firewall)など）から変換されるのが望ましい。すなわち、オペレータ端末２１０からは、例えば、ファイアウォール(Firewall)、ロードバランサや負荷分散(Load Balancer)、ＤＰＩ(Deep Packet Inspection)などのオペレータが機能を把握し易い名前を、オペレータが入力あるいは選択する。そして、これら入力あるいは選択された名前が、オペレータ端末２１０や運用管理装置３５０でＶＮＦを識別する識別子（例えば、ＩＤ：123やＩＤ：abcなど）に変換されるのが望ましい。

制御装置３１０は、ＶＮＦの起動あるいは変更の指示を受けて、ＶＮＦデータベース３３０から対象の電子署名付ＶＮＦを検索すると共に、認証サーバ３２０から対応する検証鍵（公開鍵）を読み出す。そして、電子署名を認証する。なお、本実施形態においては、電子署名の認証のための演算などを制御装置３１０が行なうように構成しているが、認証に係る処理は全て認証サーバ３２０で行ない、その結果を制御装置３１０に返す構成であってもよい。

電子署名の認証がＯＫであるいわゆる受理された場合、制御装置３１０は、ＶＮＦデータベース３３０から検索したＶＮＦの設定を物理サーバ３４１の制御部３４２に指示することで、ＶＮＦの起動あるいは変更を実現する。なお、制御部３４２における起動あるいは変更されたＶＮＦの経路は、オペレータがオペレータ端末２１０から入力してもよいし、運用管理装置３５０や制御装置３１０で自動的に設定されてもよい。

一方、電子署名の認証がＯＫでないいわゆる棄却された場合、制御装置３１０は、ＶＮＦの起動あるいは変更を中止して、オペレータ端末２１０からオペレータにＶＮＦの起動エラーあるいは変更エラーを通知する。

（サービスチェイン例）
以下、図３Ｂ〜図３Ｄを参照して、仮想ネットワークサービス３４０のサービスチェインの例を示す。なお、サービスチェインは図３Ｂ〜図３Ｄの例に限定されず、図３Ｂ〜図３Ｄの構成要素を組み合わせたものであってもよい。

図３Ｂは、本実施形態に係る仮想ネットワークサービス３４０のサービスチェインを示す図である。図３Ｂにおいては、１つの物理サーバ３４１においてＶＮＦがＶＭにより実行される。なお、物理サーバ３４１が提供可能なＶＮＦとしては、ＭＭＥ(Mobility Management Entity)、異なるＧＷ−ＡとＧＷ−Ｂ、ＤＰＩ、異なるＦＷ−ＡとＦＷ−Ｂ、ＬＢなどが含まれる。図３Ｂには、２つの異なるサービスチェイン（実線と破線）が示されている。これらは個々のユーザへのサービスであっても、キャリアへのサービスであってもよい。

実線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１に転送されたパケットに対して、制御部３４２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＧＷ−ＢとＤＰＩとＦＷ−Ｂとが順次に制御部３４２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

破線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１に転送されたパケットに対して、制御部３４２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＭＭＥとＧＷ−ＡとＦＷ−Ａとが順次に制御部３４２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

本実施形態においては、制御装置３１０による認証が正当な場合に、制御装置３１０から制御部３４２にＶＮＦの起動や変更が指示され設定される。

図３Ｃは、本実施形態に係る仮想ネットワークサービス３４０の他のサービスチェインを示す図である。図３Ｃにおいては、複数の物理サーバ３４１−１および３４１−２においてＶＮＦがＶＭにより実行される。なお、物理サーバ３４１−１が提供可能なＶＮＦとしては、ＭＭＥ、異なるＧＷ−ＡとＧＷ−Ｂ、ＤＰＩなどが含まれる。物理サーバ３４１−２が提供可能なＶＮＦとしては、異なるＦＷ−ＡとＦＷ−Ｂ、ＬＢなどが含まれる。図３Ｃには、２つの異なるサービスチェイン（実線と破線）が示されている。これらは個々のユーザへのサービスであっても、キャリアへのサービスであってもよい。

実線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１−１に転送されたパケットに対して、制御部３４２−１に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＧＷ−ＢとＤＰＩとが順次に制御部３４２−１で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−１から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１−２に転送されたパケットに対して、制御部３４２−２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＦＷ−Ｂが制御部３４２−２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−２から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

破線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１−１に転送されたパケットに対して、制御部３４２−１に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＭＭＥとＧＷ−Ａが順次に制御部３４２−１で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−２から物理スイッチ３４３に戻される。物理スイッチ３４３から物理サーバ３４１−２に転送されたパケットに対して、制御部３４２−２に制御装置３１０から設定されたＶＮＦ情報とパス制御情報に基づいて、ＦＷ−Ａが制御部３４２−２で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−２から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

本実施形態においては、制御装置３１０による認証が正当な場合に、制御装置３１０から制御部３４２−１および制御部３４２−２にＶＮＦの機能や変更が指示され設定される。

図３Ｄは、本実施形態に係る仮想ネットワークサービス３４０のさらに他のサービスチェインを示す図である。図３Ｄにおいては、複数の物理サーバ３４１−３〜３４１−６において、それぞれ１つのＶＮＦがＶＭにより実行される。なお、物理サーバ３４１−３が提供可能なＶＮＦとしてはＭＭＥ、物理サーバ３４１−４が提供可能なＶＮＦとしてはＧＷ、物理サーバ３４１−５が提供可能なＶＮＦとしてはＤＰＩ、物理サーバ３４１−６が提供可能なＶＮＦとしてＦＷが設定されている。図３Ｄには、２つの異なるサービスチェイン（実線と破線）が示されている。これらは個々のユーザへのサービスであっても、キャリアへのサービスであってもよい。

実線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１−４に転送されたパケットに対して、制御部３４２−４に制御装置３１０から設定されたＧＷが制御部３４２−４で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−４から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１−５に転送されたパケットに対して、制御部３４２−５に制御装置３１０から設定されたＤＰＩが制御部３４２−５で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−５から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１−６に転送されたパケットに対して、制御部３４２−６に制御装置３１０から設定されたＦＷが制御部３４２−６で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−６から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

破線のサービスチェインでは、物理スイッチ３４３から物理サーバ３４１−３に転送されたパケットに対して、制御部３４２−３に制御装置３１０から設定されたＭＭＥが制御部３４２−３で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−３から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１−４に転送されたパケットに対して、制御部３４２−４に制御装置３１０から設定されたＧＷが制御部３４２−４で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−４から物理スイッチ３４３に戻される。次に、物理スイッチ３４３から物理サーバ３４１−６に転送されたパケットに対して、制御部３４２−６に制御装置３１０から設定されたＦＷが制御部３４２−６で管理されたＶＭにより実行される。実行結果のパケットは、物理サーバ３４１−６から物理スイッチ３４３に戻されて、仮想ネットワークサービス３４０が提供される。

本実施形態においては、制御装置３１０による認証が正当な場合に、制御装置３１０から制御部３４２−３乃至制御部３４２−６にＶＮＦの機能や変更が指示され設定される。

（動作手順）
図４Ａは、本実施形態に係る仮想ネットワークシステム２００の動作手順を示すシーケンス図である。図４Ａのシーケンスでは、制御装置３１０が電子署名生成や正当／不当の判定を行なう。

ステップＳ４０１において、オペレータ端末２１０と運用管理装置３５０との間でオペレータの認証処理が行なわれる。オペレータ認証がＯＫであれば、ステップＳ４０３において、オペレータ端末２１０から運用管理装置３５０に対して、対象の仮想ネットワークサービスに対して所望のＶＮＦの起動あるいは変更が指示される。

運用管理装置３５０は、ステップＳ４０９において、対象のＶＮＦの起動あるいは変更を制御装置３１０に指示する。オペレータが経路設定を行なう場合には、このＶＮＦの起動あるいは変更の指示には、ＶＮＦの経路を示すネットワーキングの情報も含まれてもよい。対象のＶＮＦの起動あるいは変更の指示は、制御装置３１０から認証サーバ３２０およびＶＮＦデータベース３３０にも伝達される。

ステップＳ４１１において、ＶＮＦデータベース３３０は、対象のＶＮＦの電子署名付ＶＮＦデータを抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ４１３において、電子署名付ＶＮＦデータを取得する。また、ステップＳ４１５において、認証サーバ３２０は、対象のＶＮＦまたはＶＮＦ提供者（１提供者が１ＶＮＦを提供する場合）に対応する検証鍵（公開鍵）を抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ４１７において、検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ４１９において、取得した電子署名付ＶＮＦデータと検証鍵（公開鍵）とを用いて、電子署名が正当か不当かを判定する。

電子署名付ＶＮＦデータの電子署名が正当と判定された場合、制御装置３１０は、ステップＳ４２１において、取得したＶＮＦを物理サーバ３４１の制御部３４２に設定し、オペレータ端末２１０にＶＮＦの起動完了あるいは変更完了を通知する。物理サーバ３４１の制御部３４２は、ステップＳ４２３において、設定されたＶＮＦの起動処理あるいは変更処理を実行する。また、オペレータ端末２１０は、ステップＳ４２５において、オペレータのＶＮＦの起動あるいは変更が完了したことを画面に表示してオペレータに報知する。一方、電子署名付ＶＮＦデータの電子署名が不当と判定された場合、制御装置３１０は、ステップＳ４２７において、取得したＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦの恐れがあるとして、起動あるいは変更を中止してエラーをオペレータ端末２１０に通知する。オペレータ端末２１０は、ステップＳ４２９において、ＶＮＦの起動エラーあるいは変更エラーを画面に表示してオペレータに報知する。

図４Ｂは、本実施形態に係る仮想ネットワークシステム２００の他の動作手順を示すシーケンス図である。図４Ｂのシーケンスでは、認証サーバ３２０が電子署名生成や正当／不当の判定を行なう。なお、図４Ｂにおいて、図４Ａと同様のステップには同じステップ番号を付して、説明を省略する。

ＶＮＦの起動や変更の指示を受けた場合に、制御装置３１０は、ステップＳ４５１において、かかるＶＮＦが正当か不当かの判定を認証サーバ３２０に要求する。認証サーバ３２０は、ステップＳ４５３において、ＶＮＦデータベース３３０から電子署名付ＶＮＦを取得する。また、認証サーバ３２０は、ステップＳ４５５において、ＶＮＦまたはＶＮＦ提供者に対応する検証鍵（公開鍵）を抽出する。そして、認証サーバ３２０は、ステップＳ４５７において、電子署名付ＶＮＦを検証鍵により正当／不当を判定し、判定結果を制御装置３１０に返信する。

制御装置３１０は、ステップＳ４５９において、ＶＮＦの正当／不当の判定結果を取得して、正当であればステップＳ４２１、また不当であればＳ４２７を実行する。

《制御装置の機能構成》
図５Ａは、本実施形態に係る制御装置３１０の機能構成を示すブロック図である。

制御装置３１０は、インタフェース５１１と、経路管理部５１２と、ＶＮＦ管理部５１３と、起動・変更制御部５１４と、管理データベース５１５とを備える。なお、管理データベース５１５は制御装置３１０の外部に設けられてもよい。

インタフェース５１１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、認証サーバ３２０と接続して検証鍵（公開鍵）
の通信を行ない、ＶＮＦデータベース３３０と通信して電子署名付ＶＮＦの通信を行なう。また、運用管理装置３５０を介してオペレータ端末２１０からのＶＮＦ情報を含むＶＮＦの起動指示あるいは変更指示を受信する。また、物理サーバ３４１の制御部３４２と接続して、ＶＮＦ制御情報およびパス情報を送信する。また、物理スイッチ３４３と接続して、経路制御情報を送信する。

経路管理部５１２は、インタフェース５１１を介して物理サーバ３４１の制御部３４２に対して経路制御を行なう。例えば、物理サーバ３４１の制御部３４２に対して、電子署名の認証結果が正当の場合に、取得したＶＮＦに対応する経路設定を指示する。経路管理部５１２としては、例えば、ＯｐｅｎＳｔａｃｋにおいて仮想ハイパーバイザ経由で仮想ネットワークを制御するＮｅｕｔｒｏｎなどが使用される。なお、経路管理部５１２は、経路管理情報に従って、物理サーバ３４１の外部の物理スイッチ３４３に対して経路設定を指示するようにしてもよい。また、ＶＮＦ管理部５１３は、運用管理装置３５０によるＶＮＦ管理情報も参照して、インタフェース５１１を介して物理サーバ３４１の制御部３４２に対してＶＭの制御を行なう。例えば、物理サーバ３４１の制御部３４２に対して、電子署名の認証結果が正当の場合に、取得したＶＮＦに対応するＶＭの設定を指示する。ここで、ＶＭの設定とは、例えば、ＶＭの立ち上げ、変更、削除を含む。ＶＮＦ管理部５１３としては、例えば、ＯｐｅｎＳｔａｃｋにおいて仮想ハイパーバイザ経由で仮想マシン（ＶＭ）の可動を制御するＮＯＶＡ Ｃｏｍｐｕｔｅなどが使用される。

起動・変更制御部５１４は、ＶＮＦの起動または変更の指示に基づいて、認証によりＶＮＦが正当か不当かの判定結果に基づいて、ＶＮＦの起動または変更を制御する。管理データベース５１５は、経路管理部５１２およびＶＮＦ管理部５１３により物理サーバ３４１の制御部３４２および物理スイッチ３４３を管理するための情報を格納する。

《物理サーバの制御部》
図５Ｂは、本実施形態に係る物理サーバ３４１を制御する制御部３４２の機能構成を示すブロック図である。

制御部３４２は、インタフェース５２１と、パス制御部５２２と、ＶＭ制御部５２３と、を備える。

インタフェース５２１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、制御装置３１０と接続され、ＶＮＦ制御情報およびパス制御情報を受信する。また、物理スイッチ３４３と接続され、パケット情報を送受信する。また、ＶＮＦデータベース３３０から認証されたＶＮＦを受信する。

パス制御部５２２は、制御装置３１０から受信したパス制御情報に基づいて、ＶＮＦをＶＭで実行するパスを制御する。ＶＭ制御部５２３は、制御装置３１０から受信したＶＮＦ制御情報に基づいて、ＶＮＦおよびＶＮＦを実行するＶＭを制御する。

なお、起動あるいは変更のためのＶＮＦのインストールは、ＶＮＦデータベース３３０から直接、インストールしても、制御装置３１０を経由してインストールしてもよい。

（管理データベース）
図５Ｃは、本実施形態に係る管理データベース５１５の構成を示す図である。管理データベース５１５は、経路管理部５１２およびＶＮＦ管理部５１３により物理サーバ３４１の制御部３４２および物理スイッチ３４３を管理するために使用される。なお、管理データベース５１５の構成は図５Ｃに限定されない。

管理データベース５１５は、物理サーバ３４１の制御部３４２を管理するための管理テーブル５３０と、物理スイッチ３４３を管理するための管理テーブル５４０と、を含む。

管理テーブル５３０は、仮想ネットワークサービスを識別するための識別条件５３１と、各識別条件５３１に対応するＶＮＦ制御情報およびパス制御情報５３２と、を記憶する。識別条件５３１としては、例えば、キャリアを識別するキャリアＩＤやパケットを識別するパケットヘッダなどが含まれる。また、ＶＮＦ制御情報およびパス制御情報５３２には、ＶＮＦとそのパス順序（経路）とが含まれる。

管理テーブル５４０は、仮想ネットワークサービスを識別するための識別条件５４１と、各識別条件５４１に対応する経路制御情報５４２を記憶する。識別条件５４１としては、例えば、キャリアを識別するキャリアＩＤやパケットを識別するパケットヘッダなどが含まれる。また、経路制御情報５４２には、物理サーバとその経路とが含まれる。

《運用管理装置の機能構成》
図６Ａは、本実施形態に係る運用管理装置３５０の機能構成を示すブロック図である。

運用管理装置３５０は、インタフェース６１１と、オペレータ管理部６１２と、ＶＮＦ管理部６１３と、を備える。

インタフェース６１１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、オペレータ端末２１０と接続して、オペレータが入力したＶＮＦの起動指示または変更指示とＶＮＦ情報やオペレータ認証情報とを受信し、ＶＮＦの起動結果または変更結果をオペレータ端末２１０に送信する。また、制御装置３１０と接続して、ＶＮＦの起動および変更の要求を送信し、電子署名の認証結果に対応したＶＮＦの起動結果または変更結果を制御装置３１０から受信する。

オペレータ管理部６１２は、オペレータを登録して、オペレータ端末２１０からのオペレータのアクセス承認の認証処理を行なう。ＶＮＦ管理部６１３は、ＶＮＦを管理するための管理テーブル６３０を有し、オペレータ端末２１０からのＶＮＦ情報、あるいは、制御装置３１０によるＶＮＦの起動・変更などのＶＮＦ制御情報などに基づいて、現在のＶＮＦの登録状態を管理する。

（管理テーブル）
図６Ｂは、本実施形態に係る管理テーブル６３０の構成を示す図である。管理テーブル６３０は、オペレータ端末２１０からのＶＮＦに関する操作のために使用される。なお、管理テーブル６３０の構成は、図６Ｂに限定されない。

管理テーブル６３０は、ＶＮＦの識別子であるＶＮＦ−ＩＤ６３１に対応付けて、ＶＮＦ名６３２、ＶＮＦの機能６３３、バージョン６３４、登録者６４５、登録日６３６、有効期間６３７、などを記憶する。

《認証データおよびＶＮＦデータ》
以下、図７Ａ乃至図７Ｇを参照して、本実施形態における、認証データおよびＶＮＦデータベースに保持されるＶＮＦデータについて、種々の構成を示す。しかしながら、認証データおよびＶＮＦデータの構成は、これらに限定されない。仮想ネットワーク機能の不正登録や改ざん、あるいは誤登録の発生を防止するために、仮想ネットワーク機能の提供者情報に他の情報を付加することができる。なお、図７Ａ乃至図７Ｇは組み合わせて認証を行なってもよい。なお、本実施形態の認証データである電子署名の算出については、ＶＮＦデータから算出してもよく、より機密性を高めるためにＶＮＦデータに検索用データを付加して算出してもよい。

（ＶＮＦによる認証）
図７Ａは、本実施形態に係る認証データおよびＶＮＦデータの構成を示す図である。図７Ａは、１つのＶＮＦ提供者（サードパーティー）に対して１つの機能提供が契約されている簡単な場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、各ＶＮＦ情報７０１に対応付けて検証鍵（公開鍵）７０２を記憶する。なお、各ＶＮＦ情報７０１は、オペレータが入力する機能情報（図中の機能Ａや機能Ｂ）であっても、ＶＮＦ提供者が入力する提供者情報（図中のＸ社製やＹ社製）であってもよい。

ＶＮＦデータベース３３０は、各ＶＮＦ情報７０５に対応付けて電子署名付ＶＮＦデータ７０６を記憶する。なお、各ＶＮＦ情報７０５は、オペレータが入力する機能情報（図中の機能Ａや機能Ｂ）であっても、ＶＮＦ提供者が入力する提供者情報（図中のＸ社製やＹ社製）であってもよい。

図７Ａの場合には、提供機能またはＶＮＦ提供者に対応付けて電子署名が生成され、検証される。

（ＶＮＦおよび提供者による認証）
図７Ｂは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｂは、１つのＶＮＦ提供者（サードパーティー）に対して複数の機能提供が契約されている場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、各ＶＮＦ情報７１１に対応付けて検証鍵（公開鍵）７１２を記憶する。なお、各ＶＮＦ情報７１１は、機能情報およびＶＮＦ提供者情報を含む。

ＶＮＦデータベース３３０は、各ＶＮＦ情報７１５に対応付けて電子署名付ＶＮＦ７１６を記憶する。なお、各ＶＮＦ情報７１５は、機能情報およびＶＮＦ提供者情報を含む。

図７Ｂの場合には、異なる提供機能およびＶＮＦ提供者に対応付けて電子署名が生成され、検証される。

（同じＶＮＦを複数の提供者が提供する場合の認証）
図７Ｃは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｃは、１つの機能に対して複数のＶＮＦ提供者（サードパーティー）の機能提供が契約されている場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、各ＶＮＦ情報７２１に対応付けて検証鍵（公開鍵）７２２を記憶する。なお、各ＶＮＦ情報７２１は、機能情報およびＶＮＦ提供者情報を含み、複数のＶＮＦ提供者が１つの機能を提供してもよい。

ＶＮＦデータベース３３０は、各ＶＮＦ情報７２５に対応付けて電子署名付ＶＮＦ７２６を記憶する。なお、各ＶＮＦ情報７２５は、機能情報およびＶＮＦ提供者情報を含み、複数のＶＮＦ提供者が１つの機能を提供してもよい。

図７Ｃの場合には、１つの提供機能および複数のＶＮＦ提供者に対応付けて電子署名が生成され、検証される。

（起動あるいは変更を指示したオペレータを考慮する認証）
図７Ｄは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｄは、ＶＮＦの起動あるいは変更を指示するオペレータを考慮した場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、オペレータ７３１および各ＶＮＦ情報７３２に対応付けて検証鍵（公開鍵）７３３を記憶する。

ＶＮＦデータベース３３０は、オペレータ７３５および各ＶＮＦ情報７３６に対応付けて電子署名付ＶＮＦ７３７を記憶する。

図７Ｄの場合には、ＶＮＦの起動あるいは変更を指示するオペレータを考慮した電子署名が生成され、検証される。

（ＶＮＦのバージョンを考慮した認証）
図７Ｅは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｅは、同じＶＮＦのバージョンの違いを考慮した場合の、認証サーバ３２０に保持される認証データおよびＶＮＦデータベース３３０に格納されるＶＮＦデータの構成である。

認証サーバ３２０は、バージョン７４１および各ＶＮＦ情報７４２に対応付けて検証鍵（公開鍵）７４３を記憶する。

ＶＮＦデータベース３３０は、バージョン７４５および各ＶＮＦ情報７４６に対応付けて電子署名付ＶＮＦ７４７を記憶する。

図７Ｅの場合には、同じＶＮＦのバージョンの違いを考慮した電子署名が生成され、検証される。

（ランダム識別子により保護された認証）
図７Ｆは、本実施形態に係る認証データの他の構成を示す図である。図７Ｆは、図７Ａ乃至図７Ｅのように、認証サーバ３２０の認証データにおいて、各ＶＮＦと検証鍵（公開鍵）とが直接、関連付いているのに対して、秘匿性を高めるためにランダム識別子により間接に関連付けられたものである。なお、検証鍵（公開鍵）の秘匿性を高める方法はこれに限定されない。

認証サーバ３２０は、各ＶＮＦ情報７５１に対応付けてランダム識別子７５２を記憶する。そして、ランダム識別子７６１に対応付けて検証鍵（公開鍵）７６２を記憶する。なお、かかるランダム識別子をオペレータやＶＮＦ提供者による認証に使用してもよい。

（暗号化と復号とによる認証）
図７Ｇは、本実施形態に係る認証データおよびＶＮＦデータの他の構成を示す図である。図７Ｇは、電子署名とは異なる認証方法に使用される認証サーバ３２０に保持される認証データの構成である。

認証サーバ３２０は、各ＶＮＦ情報７７１に対応付けて復号鍵７７２を記憶する。ＶＮＦデータベース３３０は、各ＶＮＦ情報７７５に対応付けて暗号化ＶＮＦ７７６を記憶する。

図７Ｇの場合には、ＶＮＦ情報に対応する暗号化が行なわれ、復号される。

《制御装置のＶＮＦ起動・変更処理の手順》
図８Ａは、本実施形態に係る制御装置３１０の仮想ネットワーク制御としてのＶＮＦ起動・変更処理の手順を示すフローチャートである。

制御装置３１０は、ステップＳ８０１において、オペレータ端末２１０からのＶＮＦの起動指示あるいは変更指示か否かを判定する。ＶＮＦの起動指示あるいは変更指示の場合、制御装置３１０は、ステップＳ８０３において、オペレータ端末２１０から入力された機能情報に対応するＶＮＦ識別子を受信する。なお、上述の図７Ａの場合、機能情報はＶＮＦ提供者情報として受信されてもよい。次に、制御装置３１０は、ステップＳ８０５において、オペレータの指示がＶＮＦの起動か変更かを受信する。受信する場合は、オペレータによるＶＮＦの起動か変更かの選択入力、あるいは、運用管理装置３５０における対象の仮想ネットワークサービスと対象のＶＮＦとに基づいた決定結果を受信する。また、制御装置３１０は、ステップＳ８０５において、自身で、対象の仮想ネットワークサービスと対象のＶＮＦとに基づいてＶＮＦの起動か変更かを決定してもよい。ＶＮＦの起動か変更かの決定は、対象の仮想ネットワークサービスとして現在稼働しているＶＮＦやその経路などを参照して、新たなＶＮＦの起動かＶＮＦの変更（入れ替え）かを決定する。

制御装置３１０は、ステップＳ８０７において、ＶＮＦ識別子またはＶＮＦ提供者識別子を、認証サーバ３２０およびＶＮＦデータベース３３０に送信して以下のデータ送信を要求する。ＶＮＦ識別子またはＶＮＦ提供者識別子の送信の応答として、制御装置３１０は、ステップＳ８０９において、ＶＮＦデータベース３３０からＶＮＦ識別子またはＶＮＦ提供者識別子に対応付いた電子署名付ＶＮＦを取得する。また、ＶＮＦ識別子またはＶＮＦ提供者識別子の送信の応答として、制御装置３１０は、ステップＳ８１１において、認証サーバ３２０からＶＮＦ識別子またはＶＮＦ提供者識別子に対応付いた検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ８１３において、取得した電子署名付ＶＮＦと検証鍵（公開鍵）とに基づいて、電子署名が正当か不当かの判定処理を実行する。

制御装置３１０は、ステップＳ８１５において、電子署名が正当か不当かの判定結果から処理を分岐する。電子署名が正当の場合、制御装置３１０は、ステップＳ８１７において、ＶＮＦデータベース３３０から取得したＶＮＦを対象の物理サーバ３４１の制御部３４２に設定する。そして、制御装置３１０は、ステップＳ８１９において、オペレータ端末２１０へ対象のＶＮＦの対象の仮想ネットワークサービスにおける起動あるいは変更の完了通知を行なう。一方、電子署名が不当の場合、制御装置３１０は、ステップＳ８２１において、ＶＮＦデータベース３３０から取得したＶＮＦを不正登録や改ざん、あるいは誤登録の可能性ありとして破棄し、オペレータ端末２１０にＶＮＦの起動あるいは変更のエラー通知を行なう。

なお、オペレータ端末２１０からのＶＮＦの起動指示あるいは変更指示でないと判定された場合、制御装置３１０は、ステップＳ８２３において、ＶＮＦの起動あるいは変更ではない他の処理を行なう。他の処理には、後述のＶＮＦの登録や更新の処理や、ＶＮＦの起動あるいは変更を含まないパス制御や経路制御なども含まれる。

（正当／不当判定処理）
図８Ｂは、本実施形態に係る電子署名の正当／不当判定処理（Ｓ８１３）の手順を示すフローチャートである。なお、図８Ｂは電子署名の一例における正当／不当判定処理を示すものであり、他の電子署名が同様に適用されてよい。

制御装置３１０は、ステップＳ８３１において、ＶＮＦデータベース３３０から取得した電子署名付ＶＮＦのＶＮＦデータに基づいてハッシュ値を算出する。次に、制御装置３１０は、ステップＳ８３３において、電子署名付ＶＮＦの電子署名を認証サーバ３２０から取得した検証鍵（公開鍵）で復号する。そして、制御装置３１０は、ステップＳ８３５において、ＶＮＦデータに基づくハッシュ値と、電子署名の復号値とが等しいか否かを判定する。

ＶＮＦデータに基づくハッシュ値と、電子署名の復号値とが等しい場合、制御装置３１０は、ステップＳ８３７において、電子署名の正当フラグをＯＮにする。一方、ＶＮＦデータに基づくハッシュ値と、電子署名の復号値とが等しくない場合、制御装置３１０は、ステップＳ８３９において、電子署名の不当フラグをＯＮにする。

なお、本実施形態においては、電子署名の正当／不当判定処理を制御装置３１０で実行するようにしたが、秘匿性を考慮した場合には、電子署名の正当／不当判定処理を認証サーバ３２０に委ねるのが望ましい。

本実施形態によれば、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合であっても、仮想ネットワーク機能が提供者情報の電子署名で保護されているので、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第３実施形態］
次に、本発明の第３実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第２実施形態と比べると、サードパーティーが仮想ネットワーク機能を登録または更新する場合に、電子署名付仮想ネットワーク機能と検証鍵（公開鍵）とを生成して登録する処理を含む点で異なる。その他の構成および動作は、第２実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。すなわち、オペレータによる仮想ネットワーク機能の起動指示または変更指示における電子署名による認証処理は第２実施形態と同様であるため、本実施形態では説明を省略する。

《仮想ネットワークシステム》
以下、図９Ａ乃至図１１Ｂを参照して、本実施形態の仮想ネットワークシステムを詳細に説明する。なお、本実施形態では仮想ネットワーク機能の登録または更新に限定して説明するため、仮想ネットワークシステムおよび制御装置において、仮想ネットワーク機能の起動または変更の関連する構成は省かれている。

（登録の動作概要）
図９Ａは、本実施形態に係る仮想ネットワークシステム９００の動作概要を示す図である。図９Ａは、仮想ネットワーク機能の登録あるいは更新を指示するＶＮＦ提供者（サードパーティー）９０１が操作するサードパーティー端末９１０の、本実施形態の操作中の表示例を示す。

表示画面９１１は、ＶＮＦの登録あるいは更新をする権限をＶＮＦ提供者９０１が有しているか否かの認証を行なう画面である。ＶＮＦ提供者９０１は、供給元会社名、提供者ＩＤおよびパスワードを入力して認証を受ける。

ＶＮＦ提供者９０１の認証がされると、次に、表示画面９１２において、ＶＮＦの登録を指示する。なお、ＶＮＦの登録か更新かの選択は、ＶＮＦデータベース３３０のＶＮＦ格納状態から行なってもよいが、条件が複雑になるため本実施形態においてはＶＮＦ提供者９０１が入力するものとする。

次に、ＶＮＦ提供者９０１は、表示画面９１３から登録の対象とする機能（ＶＮＦ）と、オプションとしてそのバージョン情報を入力する。ここで、本実施形態に基づく、対象のＶＮＦを登録してもよいか、すなわち、対象のＶＮＦが不正登録や改ざん、あるいは誤登録されることを防止するための認証情報を生成して登録する。本実施形態においては、認証情報として、ＶＮＦを提供者情報に基づいて認証する電子署名を使用する。ＶＮＦ情報や提供者情報に基づく署名鍵（秘密鍵）を用いて電子署名を生成して、電子署名付ＶＮＦをＶＮＦデータベースに格納し、認証サーバに対応して生成した検証鍵（公開鍵）を保存する。

正常に電子署名付ＶＮＦと検証鍵（公開鍵）とが保持されると、サードパーティー端末９１０の表示画面９１４には、ＶＮＦ登録完了が表示される。一方、正常に電子署名付ＶＮＦと検証鍵（公開鍵）とが保持されない場合、サードパーティー端末９１０の表示画面９１５には、ＶＮＦ登録エラー（例えば、その原因としてＶＮＦ提供者には許可されてないＶＮＦ登録などの理由）が表示される。

（更新の動作概要）
図９Ｂは、本実施形態に係る仮想ネットワークシステム９００の動作概要を示す図である。図９Ｂは、仮想ネットワーク機能の登録あるいは更新を指示するＶＮＦ提供者（サードパーティー）９０１が操作するサードパーティー端末９１０の、本実施形態の操作中の表示例を示す。

表示画面９１５は、図９Ａと同様の、ＶＮＦの登録あるいは更新をする権限をＶＮＦ提供者９０１が有しているか否かの認証を行なう画面である。ＶＮＦ提供者９０１は、供給元会社名、提供者ＩＤおよびパスワードを入力して認証を受ける。ＶＮＦ提供者９０１の認証がされると、次に、表示画面９１６において、ＶＮＦの更新を指示する。

次に、ＶＮＦ提供者９０１は、表示画面９１７から登録の対象とする機能（ＶＮＦ）と、オプションとしてそのバージョン情報を入力する。ここで、本実施形態に基づく、更新対象のＶＮＦを読み出して更新してもよいか、すなわち、更新対象のＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦでないかを認証情報に基づいて認証する。本実施形態においては、認証情報として、ＶＮＦを提供者情報に基づいて認証する電子署名を使用する。あらかじめ登録された対象の電子署名付ＶＮＦをＶＮＦデータベースから読み出して、認証サーバに保存された対応する検証鍵（公開鍵）を用いて、電子署名の認証を行なう。なお、既存のＶＮＦを読み出すこと無しに、ＶＮＦの更新を新たなバージョンの追加で行なう場合には、図９Ａの登録と同様な手順となる。

電子署名の認証で提供者本人であると受理されると、ＶＮＦデータベースから読み出されたＶＮＦが更新対象のＶＮＦとして読み出されて、サードパーティー端末９１０の表示画面９１８には、ＶＮＦ更新開始が表示される。一方、電子署名の認証で提供者本人でないと棄却されると、ＶＮＦデータベースから読み出されたＶＮＦには不正登録や改ざん、あるいは誤登録の恐れがあるとする。その結果、ＶＮＦ更新は中止され、サードパーティー端末９１０の表示画面９１９には、更新エラーが発生し、その原因が電子署名の不当であることが示される。

なお、既存のＶＮＦを読み出して更新した後のＶＮＦは、新たに電子署名がされて電子署名付ＶＮＦが格納される。新たな電子署名付ＶＮＦの格納は、旧いＶＮＦを上書きしても、新たなバーションとして別途に格納してもよい。かかる、新たなＶＮＦの電子署名生成および電子署名付ＶＮＦの格納は、図９ＡのＶＮＦの登録処理と同様なので、図示および説明を省略する。

（システム構成）
図１０は、本実施形態に係る仮想ネットワークシステム９００の構成を示すブロック図である。なお、図１０において、図３Ａと同様の機能構成部には同じ参照番号を付して、同様の処理の説明を省略する。また、仮想ネットワークシステム２００には、ＶＮＦ登録あるいはＶＮＦ更新に関連する構成が示されており、図３のＶＮＦ起動あるいはＶＮＦ変更に関連する構成は示されていない。

仮想ネットワークシステム２００において、制御装置３１０は本実施形態のＶＮＦ登録における電子署名付ＶＮＦの生成、あるいは、ＶＮＦ更新のための認証と、その結果によるＶＮＦの更新とを制御する。認証サーバ３２０は、本実施形態のＶＮＦ登録における認証のために生成された認証情報を取得する。また、ＶＮＦ更新における認証のための認証情報を保持する。なお、認証サーバ３２０は、制御装置３１０の内部に設けられていてもよい。ＶＮＦデータベース３３０は、電子署名付ＶＮＦを提供者情報やＶＮＦ識別子などで検索可能に格納する。検索キーは、図７Ａ乃至図７Ｇのように、提供者情報やＶＮＦ識別子に限定されず、ＶＮＦの不正登録や改ざん、あるいは誤登録の発生を防止するために種々に選択される。

登録更新装置１０６０は、サードパーティー端末９１０と接続され、ＶＮＦの登録または更新の指示を制御装置３１０に伝達する。なお、本実施形態においては、登録更新装置１０６０が図１の受付部１０１と第１認証部１０２との機能を果たす。

図１０において、認証されたサードパーティー端末９１０からＶＮＦの登録が要求されると、ＶＮＦ提供者情報に基づいて擬似ランダム数を用いた所定アルゴリズムで署名鍵（秘密鍵）と検証鍵（公開鍵）とのペアが生成される。そして、署名鍵（秘密鍵）を用いて電子署名が生成され、電子署名付ＶＮＦがＶＮＦデータベース３３０に機能あるいは提供者により検索可能に格納される。また、対応する検証鍵（公開鍵）が機能あるいは提供者により検索可能に認証サーバ３２０に保存される。

一方、認証されたサードパーティー端末９１０からＶＮＦの更新が要求されると、ＶＮＦの起動や変更で行なわれた、不正登録や改ざん、あるいは誤登録を検出するための電子署名による認証が実行される。この認証処理は、ＶＮＦの起動や変更で行なわれた認証処理と同様なので、説明を省略する。電子署名による認証結果が正当である場合には、ＶＮＦデータベース３３０のＶＮＦを読み出して、サードパーティー端末９１０から更新指示をし、再度、更新後のＶＮＦに電子署名を付与してＶＮＦデータベース３３０への登録処理をする。

一方、電子署名の認証がＯＫでないいわゆる棄却された場合、ＶＮＦの更新を中止して、登録更新装置１０６０を介してサードパーティー端末９１０から提供者にＶＮＦの更新エラーを通知する。

（登録動作手順）
図１１Ａは、本実施形態に係る仮想ネットワークシステム９００の登録動作手順を示すシーケンス図である。図１１Ａは図４Ａに対応する。

ステップＳ１１１１において、サードパーティー端末９１０と登録更新装置１０６０との間でＶＮＦ提供者の認証処理が行なわれる。ＶＮＦ提供者認証がＯＫであれば、ステップＳ１１１３において、サードパーティー端末９１０から登録更新装置１０６０に対して、ＶＮＦの登録が指示される。

登録更新装置１０６０は、ステップＳ１１１５において、登録対象のＶＮＦがＶＮＦ提供者により登録してよいＶＮＦか否かを判定する。ＶＮＦ提供者により登録してよいＶＮＦと判定した場合、登録更新装置１０６０は、ステップＳ１１１７において、登録対象のＶＮＦと提供者情報とを制御装置３１０に送信して、ＶＮＦの登録を要求する。そして、制御装置３１０は、ＶＮＦの登録要求を認証サーバ３２０にも送信する。一方、ＶＮＦ提供者により登録してよいＶＮＦでないと判定した場合、登録更新装置１０６０は、ステップＳ１１１９において、サードパーティー端末９１０にエラー通知をする。サードパーティー端末９１０は、ステップＳ１１２１において、登録不可を表示して提供者に報知する。

認証サーバ３２０は、ステップＳ１１２３において、ＶＮＦの登録要求を受信すると電子署名生成のアルゴリズム（あるいは、アプリケーションプログラム）を制御装置３１０に送信する。なお、あらかじめ決められたアルゴリズムであれば、あるいは、認証サーバ３２０において電子署名を生成する構成の場合には、ステップＳ１１２３のアルゴリズム送信は必要でない。

制御装置３１０は、ステップＳ１１２５において、受信したアルゴリズムに従って、提供者情報に基づいて署名鍵（秘密鍵）と検証鍵（公開鍵）とのペアを生成する。そして、制御装置３１０は、ステップＳ１１２７において、生成した検証鍵（公開鍵）を認証サーバ３２０に送信する。認証サーバ３２０は、ステップＳ１１２９において、受信した検証鍵（公開鍵）を提供者情報（または機能情報）により検索可能に保持する。

制御装置３１０は、ステップＳ１１３１において、登録対象のＶＮＦと提供者情報と署名鍵（秘密鍵）とに基づいて電子署名を生成する。そして、制御装置３１０は、ステップＳ１１３３において、生成された電子署名付ＶＮＦの格納をＶＮＦデータベース３３０に指示する。ＶＮＦデータベース３３０は、ステップＳ１１３５において、電子署名付ＶＮＦをＶＮＦ提供者（または機能情報）により検索可能に蓄積する。

制御装置３１０は、ステップＳ１１３７において、ＶＮＦの登録完了をサードパーティー端末９１０に通知する。サードパーティー端末９１０は、ステップＳ１１３９において、ＶＮＦの登録完了を表示する。

図１１Ｂは、本実施形態に係る仮想ネットワークシステム９００の他の登録動作手順を示すシーケンス図である。図１１Ｂは、図４Ｂに対応する。なお、図１１Ｂにおいて、図１１Ａと同様のステップには同じステップ番号を付して、説明を省略する。

ＶＮＦの登録の指示を受けた場合に、制御装置３１０は、ステップＳ１１７１において、登録するＶＮＦの電子署名を認証サーバ３２０に要求する。認証サーバ３２０は、ステップＳ１１７３において、提供者情報に基づいて、署名鍵（秘密鍵）と検証鍵（公開鍵）とを生成する。次に、認証サーバ３２０は、ステップＳ１１７５において、検証鍵（公開鍵）を提供者情報により検索可能に保持する。そして、認証サーバ３２０は、ステップＳ１１７７において、ＶＮＦと提供者情報とに基づく電子署名を生成する。

制御装置３１０は、ステップＳ１１７９において、ＶＮＦの電子署名を認証サーバ３２０から取得する。

（更新動作手順）
図１１Ｃは、本実施形態に係る仮想ネットワークシステム９００の更新動作手順を示すシーケンス図である。なお、図１１Ａと同様のステップには同じステップ番号を付して、説明を省略する。なお、以下の更新動作手順は、図４Ａの起動・変更動作手順に対応する手順であるが、図４Ｂに対応する手順については図示および説明を省略する。

サードパーティー認証がＯＫであれば、サードパーティー端末９１０は、ステップＳ１１４３において、登録更新装置１０６０に対して、ＶＮＦの更新を指示する。

登録更新装置１０６０は、ステップＳ１１４５において、認証されたＶＮＦ提供者（サードパーティー）により更新可能なＶＮＦであるか否かを判定する。更新可能なＶＮＦである場合、登録更新装置１０６０は、ステップＳ１１４７において、ＶＮＦ提供者が提供者情報あるいはＶＮＦ識別子を制御装置３１０に送信して、更新対象のＶＮＦの取得を要求する。更新対象のＶＮＦの取得要求は、認証サーバ３２０およびＶＮＦデータベース３３０にも送信される。一方、ＶＮＦ提供者が更新可能なＶＮＦでない場合、登録更新装置１０６０は、ステップＳ１１４９において、サードパーティー端末９１０に対して更新不可のエラー通知を行なう。サードパーティー端末９１０は、ステップＳ１１５１において、更新不可のＶＮＦであるとのエラー表示を行なう。

ステップＳ１１５３において、ＶＮＦデータベース３３０は、対象のＶＮＦの電子署名付ＶＮＦデータを抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ１１５５において、電子署名付ＶＮＦデータを取得する。また、ステップＳ１１５７において、認証サーバ３２０は、対象のＶＮＦまたはＶＮＦ提供者（１提供者が１ＶＮＦを提供する場合）に対応する検証鍵（公開鍵）を抽出して、制御装置３１０に送信する。制御装置３１０は、ステップＳ１１５９において、検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ１１６１において、取得した電子署名付ＶＮＦデータと検証鍵（公開鍵）とを用いて、電子署名が正当か不当かを判定する。

電子署名付ＶＮＦデータの電子署名が正当と判定された場合、制御装置３１０は、ステップＳ１１６３において、取得したＶＮＦを更新対象のＶＮＦとしてサードパーティー端末９１０に送信する。サードパーティー端末９１０は、ステップＳ１１６５において、更新対象のＶＮＦを取得する。なお、更新対象のＶＮＦは、サードパーティー端末９１０で更新されても、サードパーティー端末９１０の指示に基づいて制御装置３１０で行なわれてもよい。一方、電子署名付ＶＮＦデータの電子署名が不当と判定された場合、制御装置３１０は、ステップＳ１１６７において、取得したＶＮＦが不正登録や改ざん、あるいは誤登録されたＶＮＦの恐れがあるとして、ＶＮＦの取得を中止してエラーをサードパーティー端末９１０に通知する。サードパーティー端末９１０は、ステップＳ１１６９において、不正登録や改ざん、あるいは誤登録された恐れがあるＶＮＦの取得エラーを画面に表示してＶＮＦ提供者に報知する。

以下、更新後のＶＮＦの登録は、図１１Ａの登録動作と同様なので、図示および説明を省略する。

《制御装置の機能構成》
図１２は、本実施形態に係る制御装置３１０の機能構成を示すブロック図である。なお、図１２において、図５と同様の機能構成部には同じ参照番号を付して、説明を省略する。

制御装置３１０は、さらに、登録更新制御部１２１４を備える。また、インタフェース５１１には、さらに、登録更新制御部１２１４と登録更新装置１０６０とが接続される。登録更新制御部１２１４は、登録更新装置１０６０を介してサードパーティー端末９１０から受信したＶＮＦの登録あるいは更新の指示に基づいて、ＶＮＦの登録処理と更新処理を制御する。また、ＶＮＦの登録処理と更新処理の処理結果が、インタフェース５１１から登録更新装置１０６０を介して、サードパーティー端末９１０に通知される。

《登録更新装置の機能構成》
図１３Ａは、本実施形態に係る登録更新装置１０６０の機能構成を示すブロック図である。

登録更新装置１０６０は、インタフェース１３１１と、サードパーティー認証部１３１２と、登録更新可能判定部１３１３と、を備える。

インタフェース１３１１は、仮想ネットワークシステム２００を構成する他の構成要素との通信を行なう。本実施形態においては、サードパーティー端末９１０と接続して、ＶＮＦ提供者が入力したＶＮＦの登録指示または更新指示とＶＮＦ情報や提供者情報とを受信し、ＶＮＦの登録結果または更新結果をサードパーティー端末９１０に送信する。また、制御装置３１０と接続して、本実施形態においては、サードパーティー端末９１０から受信したＶＮＦ情報や提供者情報とを制御装置３１０に送信する。

サードパーティー認証部１３１２は、サードパーティー端末９１０およびサードパーティー端末９１０を用いて仮想ネットワークシステム２００を操作するＶＮＦ提供者を認証する。登録更新可能判定部１３１３は、登録更新可能判定テーブル１３３０を有し、ＶＮＦ提供者が登録あるいは更新の対象とするＶＮＦに対するＶＮＦ提供者の操作が許可されているか否かを判定する。

（登録更新可能判定テーブル）
図１３Ｂは、本実施形態に係る登録更新可能判定テーブル１３３０の構成を示す図である。登録更新可能判定テーブル１３３０は、ＶＮＦ提供者が登録あるいは更新の対象とするＶＮＦに対するＶＮＦ提供者の操作が許可されているか否かを判定するために使用される。

登録更新可能判定テーブル１３３０は、提供者情報（サードパーティー）１３３１に対応付けて、操作が許されているＶＮＦ（図では登録更新可能な機能）１３３２を記憶する。

《制御装置のＶＮＦ登録・更新処理の手順》
図１４Ａは、本実施形態に係る制御装置３１０のＶＮＦ登録・更新処理の手順を示すフローチャートである。

制御装置３１０は、ステップＳ１４０１において、ＶＮＦの登録または更新の指示であるか否かを判定する。ＶＮＦの登録指示または更新指示であれば、制御装置３１０は、ステップＳ１４０３において、登録指示か更新指示かを判定する。更新指示であれば、制御装置３１０は、ステップＳ１４０５において、ＶＮＦ更新処理を実行する。更新処理後、制御装置３１０は、ステップＳ１４０７において、ＶＮＦ登録処理を実行する。一方、登録処理であれば、制御装置３１０は、ステップＳ１４０７において、ＶＮＦ登録処理を実行する。また、ＶＮＦの登録指示または更新指示でなければ、制御装置３１０は、ステップＳ１４０９において、ＶＮＦの登録あるいは更新ではない他の処理を行なう。他の処理には、前述のＶＮＦの起動や変更の処理や、ＶＮＦの起動あるいは変更を含まないパス制御や経路制御なども含まれる。

（ＶＮＦ更新処理）
図１４Ｂは、本実施形態に係るＶＮＦ更新処理（Ｓ１４０５）の手順を示すフローチャートである。

制御装置３１０は、ステップＳ１４１１において、登録対象のＶＮＦ識別子と提供者情報とを登録更新装置１０６０から受信する。次に、制御装置３１０は、ステップＳ１４１３において、登録対象のＶＮＦ識別子と提供者情報とを認証サーバ３２０およびＶＮＦデータベース３３０に送信する。そして、制御装置３１０は、ステップＳ１４１５において、ＶＮＦデータベース３３０から電子署名付ＶＮＦを取得する。また、制御装置３１０は、ステップＳ１４１７において、認証サーバ３２０から対応する検証鍵（公開鍵）を取得する。そして、制御装置３１０は、ステップＳ８１３において、取得した電子署名付ＶＮＦと検証鍵（公開鍵）とに基づいて、電子署名が正当か不当かの判定処理を実行する。なお、ステップＳ８１３は、図８Ｂと同様のアルゴリズムである。

制御装置３１０は、ステップＳ１４１９において、電子署名が正当か不当かの判定結果から処理を分岐する。電子署名が正当の場合、制御装置３１０は、ステップＳ１４２１において、ＶＮＦデータベース３３０から取得したＶＮＦに対する更新を許可する。制御装置３１０は、ステップＳ１４２３において、ＶＮＦ提供者によるＶＮＦ更新の終了を待つ。ＶＮＦ更新が終了すればリターンする。一方、電子署名が不当の場合、制御装置３１０は、ステップＳ１４２５において、サードパーティー端末９１０にＶＮＦの更新エラーを通知して、リターンする。

（ＶＮＦ登録処理）
図１４Ｃは、本実施形態に係るＶＮＦ登録処理（Ｓ１４０７）の手順を示すフローチャートである。

制御装置３１０は、ステップＳ１４３１において、電子署名生成のアルゴリズムを認証サーバ３２０から取得する。制御装置３１０は、ステップＳ１４３３において、提供者情報に基づいて、署名鍵（秘密鍵）と検証鍵（公開鍵）とのペアを生成する。そして、制御装置３１０は、ステップＳ１４３５において、生成された検証鍵（公開鍵）を提供者情報と共に認証サーバ３２０に送信して、提供者情報（または機能）により検索可能な保存を指示する。

制御装置３１０は、ステップＳ１４３７において、登録するＶＮＦと提供者情報と署名鍵（秘密鍵）とに基づいて電子署名を生成する。そして、制御装置３１０は、ステップＳ１４３９において、ＶＮＦデータベース３３０に対して、生成した電子署名付ＶＮＦを提供者情報（または機能）により検索可能に保存するよう指示する。

制御装置３１０は、ステップＳ１４４１において、ＶＮＦ登録の場合は登録完了をサードパーティー端末９１０に通知し、ＶＮＦ更新の場合は更新完了をサードパーティー端末９１０に通知する。

本実施形態によれば、オペレータがサードパーティー製の仮想ネットワーク機能を入れて仮想ネットワークシステムを構築しようとした場合であっても、仮想ネットワーク機能を提供者情報の電子署名で保護するので、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第４実施形態］
次に、本発明の第４実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第３実施形態と比べると、サードパーティーを含む仮想ネットワーク機能の提供者が仮想ネットワーク機能を登録または更新する場合に、制御装置が、提供者が正当であることを認証する点で異なる。その他の構成および動作は、第３実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。なお、オペレータによる仮想ネットワーク機能の起動指示または変更指示における電子署名による認証処理は第２実施形態と同様であるため、本実施形態においても説明を省略する。

《仮想ネットワークシステム》
以下、図１５および図１６を参照して、本実施形態の仮想ネットワークシステムを詳細に説明する。なお、本実施形態では仮想ネットワーク機能の登録または更新に限定して説明するため、仮想ネットワークシステムおよび制御装置において、仮想ネットワーク機能の起動または変更の関連する構成は省かれている。また、サードパーティー端末９１０におけるＶＮＦ提供者の操作や画面表示などは、第３実施形態の図９Ａおよび図９Ｂと同様であるので、説明を省略する。

（システム構成）
図１５は、本実施形態に係る仮想ネットワークシステム１５００の構成を示すブロック図である。なお、図１５において、図３Ａまたは図１０と同様の機能構成部には同じ参照番号を付して、同様の処理の説明を省略する。また、仮想ネットワークシステム１５００には、ＶＮＦ登録あるいはＶＮＦ更新に関連する構成が示されており、図３ＡのＶＮＦ起動あるいはＶＮＦ変更に関連する構成は示されていない。

仮想ネットワークシステム１５００において、制御装置１５１０は本実施形態のＶＮＦ登録における電子署名付ＶＮＦの生成、あるいは、ＶＮＦ更新のための認証と、その結果によるＶＮＦの更新とを制御する。また、制御装置１５１０はサードパーティー端末９１０と接続され、ＶＮＦの登録または更新の指示をしたＶＮＦ提供者が正当であるかを認証する。

図１５において、ログイン認証されたサードパーティー端末９１０（システムベンダーを含む）からＶＮＦの登録が要求されると、ＶＮＦ提供者情報と登録するＶＮＦ情報とに基づいて、ＶＮＦ提供者が正当であるかが認証される。認証されれば、以降の電子署名の生成と、電子署名付ＶＮＦのＶＮＦデータベース３３０への格納とが実行される。
一方、ログイン認証されたサードパーティー端末９１０からＶＮＦの更新が要求されると、ＶＮＦ提供者情報と更新するＶＮＦ情報とに基づいて、ＶＮＦ提供者が正当であるかが認証される。認証されれば、以降、ＶＮＦの起動や変更で行なわれた、不正登録や改ざん、あるいは誤登録を検出するための電子署名による認証が実行され、サードパーティー端末９１０からの更新指示が実行される。

一方、ＶＮＦ提供者の正当性が認証されなければ、ＶＮＦの登録あるいは更新を中止して、サードパーティー端末９１０から提供者にＶＮＦの登録エラーあるいは更新エラーを通知する。

（ＶＮＦ提供者の認証手順）
図１６は、本実施形態に係る仮想ネットワークシステム１５００の登録または更新におけるＶＮＦ提供者の認証手順を示すシーケンス図である。なお、図１６におけるＶＮＦ提供者の認証手順に続いて、図１１Ａ乃至図１１Ｃの登録または更新の処理手順が実行されるが、重複を避けるために図示および説明を省略する。

ステップＳ１６０１において、サードパーティー端末９１０からのログイン処理に応答して制御装置１５１０によるサードパーティー認証処理を行なう。かかるサードパーティー認証処理では端末あるいは操作者のＩＤやパスワードなどに基づく、アクセスを許可するための認証が実行される。

次に、アクセス許可されたサードパーティーによるＶＮＦの登録または更新の指示に応答して、制御装置１５１０は、ステップＳ１６０３において、サードパーティーがＶＮＦ提供者として正当であるかを認証する。ＶＮＦ提供者として正当であると認証すれば、制御装置１５１０は、ＶＮＦ提供者の指示に対応して以降のＶＮＦの登録または更新を実行する（不図示）。

上記ステップＳ１６０３の詳細は、次のような手順となる。ステップＳ１６１３において、サードパーティー端末９１０からＶＮＦの登録または更新の指示が入力されると、制御装置１５１０は、ステップＳ１６１５において、ＶＮＦ提供者情報とＶＮＦ情報とに基づいてＶＮＦ提供者が正当か／不当かを判定する。そして、ＶＮＦ提供者が正当であれば、制御装置１５１０は、ステップＳ１６１７において、以降のＶＮＦの登録または更新のため、ＶＮＦと提供者情報を認証サーバ３２０やＶＮＦデータベース３３０に送信する。一方、ＶＮＦ提供者が不当であれば、制御装置１５１０は、ステップＳ１６１９において、サードパーティー端末９１０にエラーを報知する。サードパーティー端末９１０は、ステップＳ１６２１において、登録更新不可であることを表示してＶＮＦ提供者に通知する。

《制御装置の機能構成》
図１７Ａは、本実施形態に係る制御装置１５１０の機能構成を示すブロック図である。なお、図１７Ａにおいて、図５または図１２と同様の機能構成部には同じ参照番号を付して、説明を省略する。

制御装置１５１０は、さらに、ログイン時にサードパーティーを認証するサードパーティー認証部１７１６と、ＶＮＦの登録または更新指示時にサードパーティーを認証するサードパーティー認証部１７１７と、を備える。また、インタフェース５１１には、サードパーティー端末９１０が接続される。ここで、サードパーティー認証部１７１７が第１認証部１０２に相当する。

サードパーティー認証部１７１６は、ログイン時にＩＤやパスワードによってサードパーティー端末９１０およびサードパーティー端末９１０を用いて仮想ネットワークシステム２００を操作するＶＮＦ提供者を認証する。サードパーティー認証部１７１７は、登録更新可能判定テーブル１７７０を有し、ＶＮＦ提供者が登録あるいは更新の対象とするＶＮＦに対するＶＮＦ提供者の登録操作または更新操作が許可する否かを認証する。ＶＮＦ提供者の登録操作または更新操作が許可されれば、登録更新制御部１２１４は、サードパーティー端末９１０から受信したＶＮＦの登録または更新の指示に基づいて、ＶＮＦの登録処理と更新処理を制御する。また、ＶＮＦの登録処理と更新処理の処理結果が、インタフェース５１１からサードパーティー端末９１０に通知される。ここで、サードパーティー端末９１０とインタフェース５１１とが受付部１０１に相当し、登録更新制御部１２１４とＶＮＦデータベース３３０とが登録部１０３に相当する。さらに、インタフェース５１１が制御装置１５１０の受信部として機能する。

（登録更新可能判定テーブル）
図１７Ｂは、本実施形態に係る登録更新可能判定テーブル１７７０の構成を示す図である。登録更新可能判定テーブル１７７０は、ＶＮＦ提供者が登録あるいは更新の対象とするＶＮＦに対するＶＮＦ提供者の登録操作または更新操作が許可されているか否かを判定するために使用される。なお、登録更新可能判定テーブル１７７０の構成は図１７Ｂに限定されない。

登録更新可能判定テーブル１７７０は、提供者情報（サードパーティー）１７７１に対応付けて、操作が許されているＶＮＦ（図では登録更新可能な機能）１７７２を記憶する。かかる提供者情報（サードパーティー）１７７１と登録更新可能な機能１７７２との関係は、例えば、ＶＮＦ提供者（サードパーティーやシステムベンダー）と、ネットワーク管理者やネットワークサービス提供者との契約により登録される。提供者情報（サードパーティー）１７７１は、提供者の属性などを含んでもよい。登録更新可能判定テーブル１７７０は、さらに、現在のバージョンを考慮した登録更新可能なバージョン１７７３や、契約有効期間１７７４などを記憶して、ＶＮＦ提供者の認証に使用してもよい。

《制御装置のＶＮＦ登録・更新処理の手順》
図１８Ａは、本実施形態に係る制御装置１５１０のＶＮＦ登録・更新処理の手順を示すフローチャートである。なお、図１８Ａにおいて、図１４Ａと同様のステップには同じステップ番号を付して、説明を省略する。

制御装置１５１０は、ステップ１８００において、サードパーティー端末９１０からのログイン操作を受けて、ＶＮＦ提供者（サードパーティー）の認証を行なう。そして、ステップＳ１４０１においてＶＮＦの登録指示または更新指示であれば、制御装置３１０は、ステップＳ１８０２において、ＶＮＦの登録または更新を許可するための認証処理を実行する。

（ＶＮＦ提供者認証処理）
図１８Ｂは、本実施形態に係るＶＮＦ提供者認証処理（Ｓ１８０２）の手順を示すフローチャートである。

制御装置１５１０は、ステップ１８１１において、ＶＮＦ提供者がサードパーティー端末９１０から入力した、提供者情報と、登録更新対象のＶＮＦ情報とを受信する。また、制御装置１５１０は、ステップ１８１３において、登録更新可能判定テーブル１７７０の契約情報などを取得する。そして、制御装置１５１０は、ステップ１８１５において、ＶＮＦ提供者が登録更新対象のＶＮＦ情報を登録または更新する正当性があるか否かを判定する。

登録または更新する正当性があれば、認証したとしてリターンする。登録または更新する正当性がなければ、制御装置１５１０は、ステップ１８１７において、登録または更新不可をサードパーティー端末９１０に通知して、処理を終了する。

本実施形態によれば、サードパーティー製あるいはシステムベンダー製の仮想ネットワーク機能を登録する場合に、提供者が登録可能な仮想ネットワーク機能、バージョン、契約有効期限などに基づいて認証するので、不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第５実施形態］
次に、本発明の第５実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第２実施形態乃至第４実施形態と比べると、複数の仮想ネットワークシステムを統合して管理する仮想ネットワークシステムにおける仮想ネットワーク機能の不正登録や改ざん、あるいは誤登録の発生を防止する点で異なる。その他の構成および動作は、第２実施形態から第４実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。

《仮想ネットワークシステム》
以下、図１９および図２０を参照して、本実施形態の仮想ネットワークシステムを詳細に説明する。なお、個々の仮想ネットワークシステムにおける機能要素、例えば、制御装置などの構成および動作は、第２実施形態から第４実施形態と同様である。

（システム構成）
図１９は、本実施形態に係る仮想ネットワークシステム１９００の構成を示すブロック図である。なお、図１９において、図３Ａと同様の機能構成部には同じ参照番号を付して、説明を省略する。

仮想ネットワークシステム１９００は、図３Ａの仮想ネットワークシステム２００に相当する複数の仮想ネットワークシステムあるいは異なるネットワークシステムを有する。例えば、制御装置１９３０により制御される他の仮想ネットワークシステムが図示されている。これらの複数の仮想ネットワークシステムあるいは異なるネットワークシステムと接続し、それらを統合的に制御する統合制御装置１９２０を備える。統合制御装置１９２０は、オペレータ端末群およびサードパーティー端末群が接続された運用管理装置１９１０を介して、ＶＮＦの登録・更新やＶＮＦの起動・変更の指示を受信して、複数の仮想ネットワークシステムあるいは異なるネットワークシステムを統合的に管理する。ここで、統合制御装置１９２０が制御する複数のネットワークシステムの各ネットワークシステムは、例えば、キャリアネットワーク、データセンター、トランスポートネットワーク等であり、それらを仮想的に実現したネットワークであってもよい。

図１９の仮想ネットワークシステム１９００においては、各仮想ネットワークシステムは図３Ａの仮想ネットワークシステム２００と同様の構成を有し、自身でＶＮＦの登録・更新やＶＮＦの起動・変更の指示を制御し、ＶＮＦ管理や経路管理を行なう構成である。

（動作手順）
図２０は、本実施形態に係る仮想ネットワークシステム１９００の動作手順を示すシーケンス図である。

サードパーティー端末群が、ステップＳ２００１において、ＶＮＦの登録指示あるいは更新指示をすると、運用管理装置１９１０は、ステップＳ２００３において、ＶＮＦ提供者（サードパーティー）の認証を行なう。認証ＯＫであれば、統合制御装置１９２０は、ステップＳ２００５において、ＶＮＦの登録指示あるいは更新指示に基づいて、ＶＮＦの登録先の仮想ネットワークシステムあるいはＶＮＦ更新先の仮想ネットワークシステムを選択する。そして、それぞれの仮想ネットワークシステムを制御する制御装置３１０…１９３０に、ＶＮＦの登録指示あるいは更新指示を伝達する。

ＶＮＦの登録指示あるいは更新指示を受信した制御装置３１０…１９３０は、ステップＳ２００７において、ＶＮＦの登録あるいは更新処理として、本実施形態の以下の処理を実行する。１つ目は、署名鍵（秘密鍵）および検証鍵（公開鍵）の生成である。２つ目は、署名鍵（秘密鍵）を用いた電子署名の生成と電子署名付ＶＮＦの格納である。３つ目は、生成された検証鍵（公開鍵）の保存である。それぞれの仮想ネットワークシステムでＶＮＦの登録あるいは更新が完了すると、制御装置３１０…１９３０から統合制御装置１９２０に通知される。統合制御装置１９２０は、ステップＳ２００９において、ＶＮＦの登録あるいは更新の完了を、運用管理装置１９１０を経由して、ＶＮＦの登録あるいは更新を要求したサードパーティー端末に通知する。通知を受けたサードパーティー端末は、ステップＳ２０１１において、ＶＮＦの登録完了あるいは更新完了を表示する。なお、エラーの場合は図示していない。

また、オペレータ端末群が、ステップＳ２０２１において、ＶＮＦの起動指示あるいは変更指示をすると、運用管理装置１９１０は、ステップＳ２０２３において、オペレータの認証を行なう。認証ＯＫであれば、統合制御装置１９２０は、ステップＳ２０２５において、ＶＮＦの起動指示あるいは変更指示に基づいて、ＶＮＦの起動先の仮想ネットワークシステムあるいはＶＮＦ変更先の仮想ネットワークシステムを選択する。そして、それぞれの仮想ネットワークシステムを制御する制御装置３１０…１９３０に、ＶＮＦの起動指示あるいは変更指示を伝達する。

ＶＮＦの起動指示あるいは変更指示を受信した制御装置３１０…１９３０は、ステップＳ２０２７において、ＶＮＦの起動あるいは変更処理として、本実施形態の以下の処理を実行する。すなわち、電子署名付ＶＮＦの検証鍵（公開鍵）による検証を行なう。そして、制御装置３１０…１９３０は、ステップＳ２０２９において、起動あるいは変更するＶＮＦを仮想ネットワークシステムに設定する。それぞれの仮想ネットワークシステムでＶＮＦの起動あるいは変更が完了すると、制御装置３１０…１９３０から統合制御装置１９２０に通知される。統合制御装置１９２０は、ステップＳ２０３１において、ＶＮＦの起動あるいは変更の完了を、運用管理装置１９１０を経由して、ＶＮＦの起動あるいは変更を要求したオペレータ端末に通知する。オペレータ端末は、ステップＳ２０３３において、ＶＮＦの起動完了あるいは変更完了を表示する。なお、エラーの場合は図示していない。

《統合制御装置の機能構成》
図２１は、本実施形態に係る統合制御装置１９２０の機能構成を示すブロック図である。

統合制御装置１９２０は、インタフェース２１０１と、各機能処理部とを備える。機能処理部としては、登録・更新あるいは起動・変更を指示されたＶＮＦを処理する仮想ネットワークシステムを選択するＶＮＦ操作先選択部２１０２を有する。また、ＶＮＦの機能や変更の原因となるスケールアウトを処理するスケールアウト制御部２１０３やマイグレーションを処理するマイグレーション制御部２１０４を有する。また、新たな仮想ネットワークサービスを生成する仮想ネットワークサービス生成部２１０５や既存の仮想ネットワークサービスを削除する仮想ネットワークサービス削除部２１０６を有する。図２１に図示した機能処理部は一例であって、仮想ネットワークシステム１９００を統合処理するための他の機能制御部が接続されてもよい。

インタフェース２１０１は、運用管理装置１９１０を介して、オペレータ端末群やサードパーティー端末群からの指示に付随する、ＶＮＦ情報、ＶＮＦ操作情報、オペレータ情報、提供者情報などを受信して、処理結果をオペレータ端末群やサードパーティー端末群に送信する。また、インタフェース２１０１は、制御装置群に対して、仮想ネットワークサービスあるいはＶＮＦの操作をするための、ＶＮＦ情報、ＶＮＦ操作情報、オペレータ情報、提供者情報などを送信し、処理結果を制御装置群から受信する。

（統合制御テーブル）
図２２は、本実施形態に係る統合制御テーブル２２００の構成を示す図である。統合制御テーブル２２００は、統合制御装置１９２０が仮想ネットワークシステム１９００を統合的に管理するために使用される。なお、統合制御テーブル２２００の内容は図２２に限定されない。統合制御装置１９２０の処理内容に対応して拡張が可能である。

統合制御テーブル２２００は、仮想ネットワークサービスＩＤ２２０１に対応付けて、その仮想ネットワークサービスを制御する制御装置ＩＤ２２０２と、その仮想ネットワークサービスで使用中のＶＮＦ２２０３と、接続可能なＶＮＦ２２０４と、交換可能なＶＮＦ２２０５とを記憶する。統合制御テーブル２２００は、さらに、接続（あるいは交換）
可能な経路位置２２０６と、接続不可のＶＮＦ２２０７と、を記憶する。

《統合制御装置の処理手順》
図２３は、本実施形態に係る統合制御装置１９２０の処理手順を示すフローチャートである。

統合制御装置１９２０は、ステップＳ２３０１において、ＶＮＦの操作指示を受信したか否かを判定する。ＶＮＦの操作指示を受信した場合、統合制御装置１５２０は、ステップＳ２３０３において、操作指示がＶＮＦの登録・更新か起動・変更かを判定する。

操作指示がＶＮＦの登録・更新の場合、統合制御装置１９２０は、ステップＳ２３１１において、提供者情報、ＶＮＦ情報を操作先の制御装置に送信して、ＶＮＦの登録あるいは更新を指示する。統合制御装置１９２０は、ステップＳ２３１３において、ＶＮＦの登録あるいは更新が正常に完了したか否かを判定する。ＶＮＦの登録あるいは更新が正常に完了した場合、統合制御装置１９２０は、ステップＳ２３１５において、ＶＮＦの登録あるいは更新が正常に完了したことを提供者端末（サードパーティー端末）に通知する。ＶＮＦの登録あるいは更新が正常に完了しなかった場合、統合制御装置１９２０は、ステップＳ２３１７において、ＶＮＦの登録エラーあるいは更新エラーが発生したことを提供者端末（サードパーティー端末）に通知する。

一方、操作指示がＶＮＦの起動・変更の場合、統合制御装置１９２０は、ステップＳ２３２１において、オペレータ情報、提供者情報、ＶＮＦ情報を操作先の制御装置に送信して、ＶＮＦの起動あるいは変更を指示する。統合制御装置１９２０は、ステップＳ２３２３において、ＶＮＦの起動あるいは変更が正常に完了したか否かを判定する。ＶＮＦの起動あるいは変更が正常に完了した場合、統合制御装置１９２０は、ステップＳ２３２５において、ＶＮＦの起動あるいは変更が正常に完了したことをオペレータ端末に通知する。ＶＮＦの起動あるいは変更が正常に完了しなかった場合、統合制御装置１９２０は、ステップＳ２３２７において、ＶＮＦの起動エラーあるいは変更エラーをオペレータ端末に通知する。

本実施形態によれば、オーケストレーションを実現する仮想ネットワークシステムにおいて、オペレータがサードパーティー製の仮想ネットワーク機能に基づいて仮想ネットワークサービスを提供しようとした場合であっても、各仮想ネットワークサービスにおいて不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第６実施形態］
次に、本発明の第６実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第５実施形態と比べると、各制御装置が仮想ネットワーク機能の認証をするのではなく、統合制御装置が全体の仮想ネットワーク機能の認証をする点で異なる。その他の構成および動作は、第２実施形態から実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。

《仮想ネットワークシステム》
図２４は、本実施形態に係る仮想ネットワークシステム２４００の構成を示すブロック図である。なお、図２４において、図１９と同様の機能構成部には同じ参照番号を付して、説明を省略する。

仮想ネットワークシステム２４００においては、統合制御装置２４２０が認証サーバ２４３０を有して、仮想ネットワークシステム２４００の仮想ネットワークサービス全体のＶＮＦの操作を認証する。したがって、仮想ネットワークシステム２４００の各仮想ネットワークシステム２４１０は、各々の認証サーバを有していない。

《統合制御装置の機能構成》
図２５は、本実施形態に係る統合制御装置２４２０の機能構成を示すブロック図である。図２５において、図２１と同様の機能構成部には同じ参照番号を付して、説明を省略する。

統合制御装置２４２０は、操作する対象のＶＮＦを認証するための電子署名を生成し、かつ、電子署名を検証する電子署名生成検証部２５０６を有する。また、インタフェース２１０１を介して、認証サーバ２４３０が接続される。なお、認証サーバ２４３０は、統合制御装置２４２０の内部にあってもよい。

なお、認証サーバ２４３０の構成は、対象となる仮想ネットワークシステムやサービスを選択するための情報が追加されるのみで、図７Ａ乃至図７Ｇに示した認証サーバ３２０から想定できるので、詳細な図示や説明を省略する。

《他の仮想ネットワークシステム》
図２６は、本実施形態に係る仮想ネットワークシステム２６００の構成を示すブロック図である。図２６は、複数の仮想ネットワークシステム２００と２６０１とが、認証サーバ２６２０を共有する構成を示したものである。なお、ＶＮＦデータベースを複数の仮想ネットワークシステム２００と２６０１とで共有する構成もありえる。また、図２６において、図１９と同様の機能構成部には同じ参照番号を付して、説明を省略する。

仮想ネットワークシステム２６０１は、制御装置２６１０と、ＶＮＦデータベース２６３０と、仮想ネットワークサービス２６４０と、を備え、認証サーバ２６２０については、仮想ネットワークシステム２００と共有している。

なお、共有する認証サーバ２６２０の構成は、対象となる仮想ネットワークシステムやサービスを選択するための情報が追加されるのみで、図７Ａ乃至図７Ｇに示した認証サーバ３２０から想定できるので、詳細な図示や説明を省略する。

本実施形態によれば、オーケストレーションを実現する仮想ネットワークシステムにおいて、オペレータがサードパーティー製の仮想ネットワーク機能に基づいて仮想ネットワークサービスを提供しようとした場合であっても、少ない構成によって不正登録や改ざん、あるいは誤登録の発生を防止することができる。

［第７実施形態］
次に、本発明の第７実施形態に係る仮想ネットワークシステムについて説明する。本実施形態に係る仮想ネットワークシステムは、上記第２実施形態乃至第６実施形態と比べると、仮想ネットワーク機能について特殊な管理をする点で異なる。その他の構成および動作は、第２実施形態から第６実施形態と同様であるため、同じ構成および動作については同じ符号を付してその詳しい説明を省略する。

（仮想ネットワーク機能の有効期間）
図２７は、本実施形態に係る仮想ネットワーク機能の有効期間を設定する場合を示す図である。図２７において、図７Ａと同様の構成要素には同じ参照番号を付して、説明を省略する。

認証サーバ３２０には、検証鍵（公開鍵）７０２の有効期間２７０３が設定されている。また、ＶＮＦデータベース３３０には、電子署名付ＶＮＦデータ７０６の有効期間２７０７が設定されている。

かかる有効期間が終了すると、検証鍵（公開鍵）７０２および電子署名付ＶＮＦデータ７０６は削除あるいは使用不可となる。有効期間の終了は、ＶＮＦ提供者に通知され、新たなＶＮＦが登録されることになる。

（仮想ネットワーク機能の相性）
図２８は、本実施形態に係る仮想ネットワーク機能の相性を考慮する場合を示す図である。

各ＶＮＦ２８０１には、そのＶＮＦに接続可能なＶＮＦ２８０２と、そのＶＮＦに接続不可のＶＮＦ２８０３と、を記憶する。かかるテーブルを使用することによって、電子署名による不正登録や改ざん、あるいは誤登録の発生を防止するのに加えて、ＶＮＦが接続可能か否かに基づく仮想ネットワークサービスの誤動作を防止することができる。

本実施形態によれば、有効期間が来れば仮想ネットワーク機能が更新されて認証情報も更新され、また、相性の悪い仮想ネットワーク機能はそもそも使用できないようにするので、不正登録や改ざん、あるいは誤登録への遭遇を防止することができる。

［他の実施形態］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステムまたは装置も、本発明の範疇に含まれる。

また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する制御プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされるプログラム、あるいはそのプログラムを格納した媒体、そのプログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。特に、少なくとも、上述した実施形態に含まれる処理ステップをコンピュータに実行させるプログラムを格納した非一時的コンピュータ可読媒体（non-transitory computer readable medium）
は本発明の範疇に含まれる。

［実施形態の他の表現］
上記の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
仮想ネットワークサービスの機能の１つを提供する仮想ネットワーク機能と、前記仮想ネットワーク機能を提供する提供者に関する提供者情報とを、前記提供者から受け付ける受付手段と、
前記仮想ネットワーク機能と前記提供者情報とに基づいて、前記提供者が正当な提供者であることを認証する第１認証手段と、
前記第１認証手段により正当な提供者であることを認証された場合に、前記仮想ネットワーク機能を登録する登録手段と、
を備える仮想ネットワークシステム。
（付記２）
前記受付手段は、サードパーティーとシステムベンダーとの少なくともいずれかを含む複数の提供者から、前記仮想ネットワーク機能と前記提供者情報とを受け付ける、付記１に記載の仮想ネットワークシステム。
（付記３）
前記第１認証手段は、複数の提供者の各提供者に応じた仮想ネットワーク機能を受け付けた場合に、正当な提供者であることを認証する、付記１または２に記載の仮想ネットワークシステム。
（付記４）
前記登録手段は、前記仮想ネットワーク機能と、前記仮想ネットワーク機能の提供者を認証するために前記仮想ネットワーク機能の登録時に生成された認証情報とを対応付けて登録し、
あらかじめ登録された前記仮想ネットワーク機能の起動または変更を指示する指示手段と、
前記起動または変更を指示された仮想ネットワーク機能が正当に登録または更新されたことを、前記認証情報に基づき認証する第２認証手段と、
前記第２認証手段により正当に登録または更新されたことが認証された場合に、前記指示された仮想ネットワーク機能を前記仮想ネットワークサービスの機能の１つとして設定する設定手段と、
をさらに備える、付記１乃至３のいずれか１項に記載の仮想ネットワークシステム。
（付記５）
前記登録手段は、電子署名を前記認証情報として登録し、
前記第２認証手段は、前記電子署名に基づいて、前記仮想ネットワーク機能が正当に登録または更新されたことを認証する付記４に記載の仮想ネットワークシステム。
（付記６）
少なくとも、前記第１認証手段、前記第２認証手段、前記設定手段および前記登録手段を制御する制御装置を備える付記４または５に記載の仮想ネットワークシステム。
（付記７）
前記指示手段の指示に基づき、前記仮想ネットワークサービスを提供する前記仮想ネットワーク機能の起動または変更を管理する運用管理装置を備える付記４乃至６のいずれか１項に記載の仮想ネットワークシステム。
（付記８）
複数の前記制御装置を備え、複数の前記制御装置の制御を統合的に制御するための統合制御手段をさらに備える付記６に記載の仮想ネットワークシステム。
（付記９）
仮想ネットワークサービスの機能の１つを提供する仮想ネットワーク機能と、前記仮想ネットワーク機能を提供する提供者に関する提供者情報とを、前記提供者から受け付ける受付ステップと、
前記仮想ネットワーク機能と前記提供者情報とに基づいて、前記提供者が正当な提供者であることを認証する第１認証ステップと、
前記第１認証ステップにおいて正当な提供者であることを認証された場合に、前記仮想ネットワーク機能を登録手段に登録する登録ステップと、
を含む仮想ネットワーク制御方法。
（付記１０）
仮想ネットワークサービスの機能の１つを提供する仮想ネットワーク機能と、前記仮想ネットワーク機能を提供する提供者に関する提供者情報とを、前記提供者の端末から受信する受信手段と、
前記仮想ネットワーク機能と前記提供者情報とに基づいて、前記提供者が正当な提供者であることを認証する第１認証手段と、
前記第１認証手段により正当な提供者であることを認証された場合に、前記仮想ネットワーク機能を登録手段に登録するよう指示する登録指示手段と、
を備える制御装置。
（付記１１）
仮想ネットワークサービスの機能の１つを提供する仮想ネットワーク機能と、前記仮想ネットワーク機能を提供する提供者に関する提供者情報とを、前記提供者の端末から受信する受信ステップと、
前記仮想ネットワーク機能と前記提供者情報とに基づいて、前記提供者が正当な提供者であることを認証する第１認証ステップと、
前記第１認証ステップにおいて正当な提供者であることを認証された場合に、前記仮想ネットワーク機能を登録手段に登録するよう指示する登録指示ステップと、
を含む制御装置の制御方法。
（付記１２）
仮想ネットワークサービスの機能の１つを提供する仮想ネットワーク機能と、前記仮想ネットワーク機能を提供する提供者に関する提供者情報とを、前記提供者の端末から受信する受信ステップと、
前記仮想ネットワーク機能と前記提供者情報とに基づいて、前記提供者が正当な提供者であることを認証する第１認証ステップと、
前記第１認証ステップにおいて正当な提供者であることを認証された場合に、前記仮想ネットワーク機能を登録手段に登録するよう指示する登録指示ステップと、
をコンピュータに実行させる制御装置の制御プログラム。
（付記１３）
複数の仮想ネットワークサービスと、サードパーティー端末とに接続するインタフェースと、
前記サードパーティー端末からの、前記仮想ネットワークサービスの機能の１つを提供する仮想ネットワーク機能の登録または更新の指示に応じて、前記複数の仮想ネットワークサービスから対象となる仮想ネットワークサービスを選択し、少なくとも、登録する仮想ネットワーク機能と前記登録する仮想ネットワーク機能の提供者の識別子とを、前記提供者を認証するための情報として送信する送信手段と、
前記仮想ネットワーク機能の提供者の認証結果を前記対象となる仮想ネットワークサービスから取得して、前記サードパーティー端末に通知する通知手段と、
を備える統合制御装置。

この出願は、２０１５年２月２０日に出願された日本国特許出願 特願２０１５−０３１６３８号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (20)

1. 仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能との入力を受け付け、
   前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証し、
   前記仮想ネットワーク機能を登録する場合には、
   前記提供者が正当な提供者であることが認証された場合に、前記提供者に対して、前記登録の対象となる仮想ネットワーク機能の登録完了を通知し、
   前記仮想ネットワーク機能を更新する場合には、
   前記提供者が正当な提供者であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能が正当かどうかを、前記仮想ネットワーク機能の認証情報に基づき認証し、
   前記更新の対象となる仮想ネットワーク機能が正当であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を前記提供者に対して通知する、 ことを特徴とする仮想ネットワーク制御方法。
2. 前記仮想ネットワーク機能の認証情報は、前記仮想ネットワーク機能の登録時または更新時に生成されることを特徴とする請求項１に記載の仮想ネットワーク制御方法。
3. 前記提供者情報の入力時に生成された前記認証情報の検証鍵を用いて、前記提供者が正当な提供者であることを認証することを特徴とする請求項１または２に記載の仮想ネットワーク制御方法。
4. 前記提供者が正当でない場合に、前記仮想ネットワークが登録不可または更新不可であることを、前記提供者に対して通知することを特徴とする請求項１から３のいずれか１項に記載の仮想ネットワーク制御方法。
5. 前記提供者から、前記仮想ネットワーク機能の登録または更新の選択指示を受け付けることを特徴とする請求項１から４のいずれか１項に記載の仮想ネットワーク制御方法。
6. 仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能との入力を受け付ける受付部と、
   前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証する提供者認証部と、
   前記提供者が正当な提供者であることを認証された場合に、前記仮想ネットワーク機能の登録または更新を制御する登録更新制御部と、
   を備え、
   前記登録更新制御部は、
   前記仮想ネットワーク機能を登録する場合には、
   前記提供者に対して、前記登録の対象となる仮想ネットワーク機能の登録完了を通知し、
   前記仮想ネットワーク機能を更新する場合には、
   前記更新の対象となる仮想ネットワーク機能が正当かどうかを、前記仮想ネットワーク機能の認証情報に基づき認証し、
   前記更新の対象となる仮想ネットワーク機能が正当であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を、前記提供者に対して通知する、
   ことを特徴とする登録更新制御装置。
7. 前記登録更新制御部は、前記仮想ネットワーク機能の認証情報を、前記仮想ネットワーク機能の登録時に生成することを特徴とする請求項６に記載の登録更新制御装置。
8. 前記登録更新制御部は、前記提供者情報の入力時に生成された前記認証情報の検証鍵を用いて、前記提供者が正当な提供者であることを認証することを特徴とする請求項６または７に記載の登録更新制御装置。
9. 前記提供者認証部は、前記提供者が正当でない場合に、前記仮想ネットワークが登録不可または更新不可であることを、前記提供者に対して通知することを特徴とする請求項６から８のいずれか１項に記載の登録更新制御装置。
10. 前記受付部は、前記提供者から、前記仮想ネットワーク機能の登録または更新の選択指示を受け付けることを特徴とする請求項６から９のいずれか１項に記載の登録更新制御装置。
11. 仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能との入力を受け付け、登録更新制御装置に送信する送信部、
    前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証した結果を、前記登録更新制御装置から受信する受信部と、
    前記提供者が正当な提供者であることを認証された場合に、前記登録更新制御装置から受信した、前記仮想ネットワーク機能の認証結果を提供者に通知する通知部と、
    を備え、
    前記通知部は、
    前記仮想ネットワーク機能を登録する場合には、前記登録の対象となる仮想ネットワーク機能の登録完了を前記認証結果として受信して、提供者に通知し、
    前記仮想ネットワーク機能を更新する場合には、前記更新の対象となる仮想ネットワーク機能が正当であることが、前記仮想ネットワーク機能の認証情報に基づき認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を前記認証結果として受信して、前記提供者に通知する、
    ことを特徴とする提供者端末。
12. 前記仮想ネットワーク機能の認証情報は、前記仮想ネットワーク機能の登録時または更新時に生成されることを特徴とする請求項１１に記載の提供者端末。
13. 前記通知部は、前記提供者が正当でない場合に、前記仮想ネットワークが登録不可または更新不可であることを、前記提供者に対して通知することを特徴とする請求項１１または１２に記載の提供者端末。
14. 前記送信部は、前記提供者から、前記仮想ネットワーク機能の登録または更新の選択指示を受け付けて、前記登録更新制御装置に送信することを特徴とする請求項１１から１３のいずれか１項に記載の提供者端末。
15. 前記更新の対象となる仮想ネットワーク機能を前記登録更新制御装置から受信して、前記提供者の指示に従って前記更新の対象となる仮想ネットワーク機能を更新する更新部をさらに備える請求項１１から１４のいずれか１項に記載の提供者端末。
16. 仮想ネットワーク機能を提供する提供者から、提供者情報と、登録または更新の対象となる仮想ネットワーク機能の入力を受け付ける処理と、
    前記仮想ネットワーク機能と前記提供者情報とに基づき、前記提供者が正当な提供者であることを認証する処理と、
    前記提供者が正当な提供者であることを認証された場合に、前記仮想ネットワーク機能の登録または更新を制御する処理と、
    前記仮想ネットワーク機能を登録する場合には、
    前記提供者が正当な提供者であることが認証された場合に、前記提供者に対して、前記登録の対象となる仮想ネットワーク機能の登録完了を通知し、
    前記仮想ネットワーク機能を更新する場合には、
    前記提供者が正当な提供者であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能が正当かどうかを、前記仮想ネットワーク機能の認証情報に基づき認証し、
    前記更新の対象となる仮想ネットワーク機能が正当であることが認証された場合に、前記更新の対象となる仮想ネットワーク機能の更新許可を前記提供者に対して通知する処理と、
    を登録更新制御装置のコンピュータに実行させることを特徴とするプログラム。
17. 前記仮想ネットワーク機能の認証情報は、前記仮想ネットワーク機能の登録時または更新時に生成されることを特徴とする請求項１６に記載のプログラム。
18. 前記提供者が正当な提供者であることを認証する前記処理においては、前記提供者情報の入力時に生成された前記認証情報の検証鍵を用いて、前記提供者が正当な提供者であることを認証することを特徴とする請求項１６または１７に記載のプログラム。
19. 前記提供者が正当な提供者であることを認証する前記処理においては、前記提供者が正当でない場合に、前記仮想ネットワークが登録不可または更新不可であることを、前記提供者に対して通知することを特徴とする請求項１６から１８のいずれか１項に記載のプログラム。
20. 入力を受け付ける前記処理においては、前記提供者から、前記仮想ネットワーク機能の登録または更新の選択指示を受け付けることを特徴とする請求項１６から１９のいずれか１項に記載のプログラム。

Images