JP7211409B2 - ノード、制御システム、通信制御方法及びプログラム - Google Patents

Description

［関連出願についての記載］
本発明は、日本国特許出願：特願２０１８－０２８６４５号（２０１８年 ２月２１日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、ノード、制御システム、通信制御方法及びプログラムに関する。

加入者宅内の通信機器（ｐＣＰＥ（physical Customer Premises Equipment）と呼ぶ）を、通信事業者側のネットワーク（キャリア側のネットワーク）上に、仮想化機能として実装した、仮想化ＣＰＥ（ｖＣＰＥ；virtual Customer Premises Equipment）の実用化も検討されている。

ｖＣＰＥにおいては、通信事業者側のサーバ装置が、加入者宅内の端末（加入者の宅内ネットワークに接続する端末）を把握し、宅内の端末に応じたサービスを提供する。ここで、サービスとは、例えば、ファイアウォール、ペアレンタルコントロール、ＱｏＳ（Quality of Service）の制御等を含む。

そのため、ｖＣＰＥにおいては、加入者宅内の端末を、適切に把握することが求められる。

特許文献１においては、制御装置が、宅内機器とｖＣＰＥとを介して、ユーザの携帯端末から認証キー払い出し要求を受信した場合、ＭＡＣ（Media Access Control）アドレスに基づいて、前記携帯端末を一意に識別する技術が記載されている。

特許文献２においては、ゲートウェイ装置が、端末識別子とＩＰ（Internet Protocol）アドレスとの変換表を予め保持し、当該変換表に基づいて、パケットに含まれる送信元ＩＰアドレスに対応する端末識別子を特定する技術が記載されている。

特許文献３においては、加入者ＩＤ情報を利用して、端末の契約プロファイルを特定する技術が記載されている。そして、特許文献３に記載された技術においては、契約プロファイルに含まれる契約サービス情報、及びＥＰＣ（Evolved Packet Core）におけるリソース配分等の情報を利用して、仮想化プラットフォーム上の複数のＥＰＣ機能から適切な機能セット、リソース配分を持つＥＰＣコアを選択する技術が記載されている。

特開２０１６－０５７６７２号公報 特開２０１１－０７１８７０号公報 特開２０１５－１５４２７８号公報

なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明の観点からなされたものである。

ネットワーク機能仮想化（ＮＦＶ；Network Function Virtualisation）においては、機能、制御毎の仮想マシンを用いて、仮想ネットワーク機能（ＶＮＦ；Virtual Network Function）を動作させる。

ここで、ネットワークの入り口で端末を特定したとしても、ＶＮＦにおいては、端末を特定する情報が欠落してしまう場合がある。その場合、ＶＮＦにおいて、端末を特定できない。その結果、ｖＣＰＥは、宅内の端末に応じたサービスを提供できない。

特許文献１に記載された技術においては、ＭＡＣアドレスに基づいて、携帯端末を識別する。しかし、加入者の宅内ネットワーク間において、端末のＭＡＣアドレスが重複する場合がある。また、ｖＣＰＥがデータ（パケット）を受信した場合、ＭＡＣアドレスを含むＥｔｈｅｒｎｅｔ（登録商標）ヘッダが除去される場合がある。これらの場合、ｖＣＰＥの内部において、ＭＡＣアドレスに基づいて、携帯端末を識別できない。

特許文献２に記載された技術においては、端末のＩＰアドレスに基づいて、端末を識別する。しかし、ＩＰｖ４（Internet Protocol version 4）アドレスは、加入者の宅内ネットワーク内において利用される、プライベートＩＰアドレスとして利用される場合がある。その場合、加入者の宅内ネットワーク間において、端末のＩＰアドレスが重複する恐れがある。加入者の宅内ネットワーク間において、端末のＩＰアドレスが重複する場合には、ｖＣＰＥは、ＩＰアドレスに基づいて、端末を識別できない恐れがある。

また、ＩＰアドレスとして、ＩＰｖ６（Internet Protocol version 6）アドレスが端末に割り当てられた場合、ＩＰｖ６アドレスは、セキュリティ（匿名性の確保）を目的として、ホストを変更する場合がある。ＩＰアドレスのホストが変更された場合、ｖＣＰＥは、ＩＰアドレスに基づいて、端末を識別できない恐れがある。

特許文献３に記載された技術においては、一の加入者の宅内ネットワークに、２以上の端末が接続する場合、夫々の端末を識別できない。そのため、特許文献３に記載された技術では、一の加入者の宅内ネットワークに、２以上の端末が接続する場合、夫々の端末に対して、異なるサービスを提供することはできない。

そこで、本発明は、仮想化ＣＰＥにおいて、加入者宅内の各端末を区別することに貢献するノード、制御システム、通信制御方法及びプログラムを提供することを目的とする。

第１の視点によれば、第１のノードが提供される。前記第１のノードは、前記仮想ネットワーク機能を制御する制御装置を含んで構成される、制御システムの内部に配置される。
さらに、前記第１のノードは、加入者の宅内ネットワーク内の端末に、端末ＩＤ（identifier）を採番する。
さらに、前記第１のノードは、送信元又は宛先が前記端末であるデータを、前記制御システムの外部から受信した場合、受信したデータの送信元又は宛先の前記端末に対応する前記端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与し、前記端末情報が付与されたデータを、前記制御システムの内部のノードに転送する。

第２の視点によれば、第２のノードが提供される。前記第２のノードは、仮想ネットワーク機能を制御する、制御システムの内部に配置される。
さらに、前記第２のノードは、データの送信元又は宛先の端末に採番された端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤとを含む端末情報が付与されたデータを、前記制御システムの内部から受信した場合、受信したデータから前記端末情報を除去し、前記制御システムの外部に転送する。

第３の視点によれば、制御システムが提供される。前記制御システムは、仮想ネットワーク機能を制御する制御装置を含んで構成される。
前記制御システムは、加入者の宅内ネットワーク内の端末に、端末ＩＤを採番する、第１のノードを含む。
前記第１のノードは、送信元又は宛先が前記端末であるデータを、前記制御システムの外部から受信した場合、受信したデータの送信元又は宛先の前記端末に対応する前記端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与する。
前記制御システムは、前記制御システムの内部においては、前記端末情報が付与されたデータを利用する。

第４の視点によれば、通信制御方法が提供される。前記通信制御方法は、仮想ネットワーク機能を制御する、制御システムを制御する方法である。前記制御システムは、送信元又は宛先が、加入者の宅内ネットワーク内の端末であるデータを、前記制御システムの外部から受信する、第１のノードを含む。
前記通信制御方法は、前記端末に、端末ＩＤを採番する工程を含む。
さらに、前記通信制御方法は、前記端末ＩＤと、受信されたデータの送信元又は宛先の宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を生成する工程を含む。
さらに、前記通信制御方法は、受信されたデータに、前記端末情報を付与する工程を含む。
さらに、前記通信制御方法は、前記端末情報が付与された、前記データを、前記制御システムの内部のノードに転送する工程を含む。
なお、本方法は、仮想ネットワーク機能を制御する、制御システムの内部に配置されるノードという、特定の機械に結び付けられている。

第５の視点によれば、プログラムが提供される。前記プログラムは、仮想ネットワーク機能を制御する、制御システムを制御するコンピュータに制御させるプログラムである。前記制御システムは、送信元又は宛先が、加入者の宅内ネットワーク内の端末であるデータを、前記制御システムの外部から受信する、第１のノードを含む。
前記プログラムは、前記端末に、端末ＩＤを採番する処理を、前記コンピュータに実行させる。
さらに、前記プログラムは、前記端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を生成する処理を、前記コンピュータに実行させる。
さらに、前記プログラムは、受信されたデータに、前記端末情報を付与する処理を、前記コンピュータに実行させる。
さらに、前記プログラムは、前記端末情報が付与された、前記データを、前記制御システムの内部のノードに転送する処理を、前記コンピュータに実行させる。
なお、これらのプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、仮想化ＣＰＥにおいて、加入者宅内の各端末を区別することに貢献するノード、制御システム、通信制御方法及びプログラムが提供される。

一実施形態の概要を説明するための図である。 本実施形態に係る通信システム１０００の全体構成の一例を示すブロック図である。 加入者端末情報データベース３０５が格納する情報の一例を示す図である。 記憶部３０３２が記憶する情報の一例を示す図である。 記憶部３０４２が記憶する情報の一例を示す図である。 適用ポリシを登録する処理の一例を示すフローチャートである。 加入社宅内の端末６００から制御システム３００を介してデータを送信する処理の一例を示すフローチャートである。 加入社宅内の端末６００から制御システム３００を介してデータを送信する処理の一例を示すフローチャートである。 加入社宅内の端末６００から制御システム３００を介してデータを送信する処理の一例を示すフローチャートである。 制御システム３００が加入社宅内の端末宛にデータを送信する処理の一例を示すフローチャートである。 制御システム３００が加入社宅内の端末宛にデータを送信する処理の一例を示すフローチャートである。 制御システム３００が加入社宅内の端末宛にデータを送信する処理の一例を示すフローチャートである。

初めに、図１を用いて一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各ブロック図のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インターフェイスも同様である。

上述の通り、仮想化ＣＰＥにおいて、加入者宅内の各端末を区別することに貢献する制御システムが望まれる。

そこで、一例として、図１に示す制御システム１０を提供する。制御システムは、第１のノード１と、制御装置２０とを含んで構成される。つまり、第１のノード１は、制御システム１０の内部に配置される。制御装置２０は、ＶＮＦ（仮想ネットワーク機能）（２１、２２）を制御する。なお、図１は、一例として、２つのＶＮＦ（２１、２２）を示すが、これは、ＶＮＦの数を２つに限定する趣旨ではない。制御装置２０が制御するＶＮＦの数は、１又は３以上であってもよい。

第１のノード１は、加入者の宅内ネットワーク３０内の端末（３１、３２、３３）に、端末ＩＤ（identifier）を採番する。

端末ＩＤは、夫々の加入者の宅内ネットワーク内で一意であるものとする。そのため、端末ＩＤは、加入者間で重複してもよい。つまり、一の加入者宅内に存在する端末に対応する、端末ＩＤは、他の加入者宅内に存在する端末に対応する、端末ＩＤと同一であってもよい。

なお、図１は、一例として、３つの端末（３１、３２、３３）を示すが、これは、加入者の宅内ネットワーク内に接続する端末の数を、３つに限定する趣旨ではない。加入者の宅内ネットワークに接続する端末の数は、１又は２、或いは４つ以上であってもよい。

さらに、第１のノード１は、制御システム１０の外部からデータを受信する。ここで、第１のノード１は、送信元又は宛先が、端末（端末３１、３２、３３のうち、いずれかの端末）であるデータを、制御システム１０の外部から受信したとする。つまり、加入者の宅内ネットワーク３０内の端末（端末３１、３２、３３のうち、いずれかの端末）から送信されたデータ、又は、加入者の宅内ネットワーク３０内の端末宛てのデータを、第１のノード１が、制御システム１０の外部から受信したとする。

例えば、第１のノード１が、端末３１から送信されたデータを、制御システム１０の外部から受信したとする。その場合、第１のノード１は、受信したデータの送信元の端末３１に対応する端末ＩＤと、端末３１が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与する。

加入者ＩＤは、加入者を識別する情報である。ここで、加入者とは、通信サービスの提供を受けることに関して、通信事業者と契約した者を意味する。また、加入者ＩＤとは、加入者を識別する情報である。例えば、加入者ＩＤは、通信事業者が加入者に対して割り当てた情報（例えば、契約番号等）であってもよい。

また、例えば、第１のノード１が、端末３１宛てのデータを、制御システム１０の外部から受信したとする。その場合、第１のノード１は、受信したデータの宛先の端末３１に対応する端末ＩＤと、端末３１が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与する。制御システム１０の内部においては、端末情報が付与されたデータを利用する。

従って、ｖＣＰＥ等、ＮＦＶ技術を用いて実現するシステムにおいて、第１のノード１を介してデータを転送することで、ＮＦＶ技術を用いて実現するシステムにおいて、端末を特定する情報を保持することができる。よって、制御システム１０は、仮想化ＣＰＥにおいて、加入者宅内の各端末を区別することに貢献する。

［第１の実施形態］
第１の実施形態について、図面を用いて詳細に説明する。

図２は、本実施形態に係る通信システム１０００の全体構成の一例を示すブロック図である。通信システム１０００は、制御システム３００と、認証サーバ５０１とを含んで構成される。

制御システム３００は、ｖＣＰＥを構成する。つまり、制御システム３００は、加入者宅内の通信機器の機能を、ネットワーク上で仮想化機能として実現する。制御システム３００は、アクセス／集約ネットワーク２０１を介して、１又は２以上の加入者の宅内ネットワークと接続する。以下の説明では、説明の便宜上、加入者の宅内ネットワークに接続する端末６００を、「加入者宅内の端末６００」とも呼ぶ。

制御システム３００は、アクセス／集約ネットワーク２０１を介して、加入者宅内の端末６００から送信されたデータ（パケット）を受信し、インターネット４０１を介して、指定された宛先に当該データを転送する。

図２に示す加入者Ａの宅内ネットワーク１００は、加入者Ａの宅内ネットワークを示す。端末６００ａは、ユーザが使用するＰＣ（Personal Computer）、スマートフォン、タブレット端末等である。端末６００ａは、通信機能を備え、加入者Ａの宅内ネットワーク１００に接続する。ＣＰＥ（Customer Premises Equipment）１０１は、加入者Ａの宅内の通信機器（ルータ等）である。

また、図２に示す加入者Ｂの宅内ネットワーク１１０は、加入者Ｂの宅内のネットワークを示す。端末６００ｂ、６００ｃは、ユーザが使用するＰＣ（Personal Computer）、スマートフォン、タブレット端末等である。端末６００ｂは、通信機能を備え、加入者Ｂの宅内ネットワーク１１０に接続する。ＣＰＥ１１１は、加入者Ｂの宅内の通信機器（ルータ等）である。

アクセス／集約ネットワーク２０１は、各加入者の宅内ネットワーク（加入者Ａの宅内ネットワーク１００、加入者Ｂの宅内ネットワーク１１０）から送信されるデータ（パケット）を収容し、制御システム３００に収容したデータを転送する。さらに、アクセス／集約ネットワーク２０１は、制御システム３００から送信されるデータを収容し、受信したデータの宛先に対応する加入者の宅内ネットワークに転送する。

本実施形態に係る通信システム１０００において、加入者宅内の端末６００（６００ａ、６００ｂ、６００ｃ）は、アクセス／集約ネットワーク２０１と、制御システム３００とを介して、インターネット４０１と接続する。

認証サーバ５０１は、加入者を認証する処理を実行する、サーバ装置である。認証サーバ５０１は、加入者認証の要求に応じて、加入者を認証する。そして、認証サーバ５０１は加入者を認証した場合、認証要求元に加入者ＩＤを応答する。

次に、制御システム３００の内部構成について詳細に説明する。なお、以下の説明では、加入者宅内の端末６００ａ、６００ｂ、６００ｃを、夫々区別する必要がない場合には、端末６００と表記する。

制御システム３００は、端末情報生成装置３０１と、転送中継装置３０２と、アドレス変換装置３０３と、ポリシ適用装置（制御装置）３０４と、加入者端末情報データベース３０５と、を含んで構成される。なお、以下の説明では、制御システム３００が、制御システム３００の外部から受信したデータを、受信データと呼ぶ。

端末情報生成装置３０１は、端末情報生成部３０１１を含んで構成される。

端末情報生成部３０１１は、端末情報生成装置３０１を構成する、プロセッサ（ＣＰＵ（Central Processing Unit））で実行させるプログラムにより、その処理を実現するようにしても良い。この場合、該プログラムを記憶した、コンピュータ読み出し可能な媒体（半導体メモリ、ＨＤＤ（Hard Disk Drive）等）から、プログラムを読み出し、該サーバ装置を構成するプロセッサで各処理を実行する。

端末情報生成装置３０１は、制御システム３００とアクセス／集約ネットワーク２０１間の境界となるノード（第１のノード）である。

端末情報生成部３０１１は、加入者の宅内ネットワーク内の端末６００に、端末ＩＤを採番する。

また、端末情報生成部３０１１は、制御システム３００の外部（アクセス／集約ネットワーク２０１）からデータ（パケット）を受信する。

端末情報生成装置３０１は、送信元又は宛先が端末６００であるデータを、制御システム３００の外部から受信したとする。その場合、端末情報生成装置３０１は、受信したデータの送信元又は宛先の端末６００に対応する端末ＩＤと、その端末６００が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与する。

具体的には、端末情報生成部３０１１は、加入者ＩＤと端末ＩＤとを含む、端末情報を生成する。そして、端末情報生成部３０１１は、加入者宅内の端末６００から送信されたデータに、生成した端末情報を付与する。

端末情報生成装置３０１は、端末情報が付与されたデータを、制御システム３００の内部のノード（例えば、転送中継装置３０２）に転送する。制御システム３００は、制御システム３００の内部において、端末情報が付与されたデータを利用するものとする。

また、端末情報生成装置３０１は、データの送信元又は宛先の端末６００に採番された端末ＩＤと、端末６００が接続する宅内ネットワークに対応する、加入者の加入者ＩＤとを含む端末情報が付与されたデータを、制御システム３００の内部から受信したとする。その場合、端末情報生成装置３０１は、受信したデータから端末情報を除去し、制御システム３００の外部（加入者宅内の端末６００）に転送する。

加入者端末情報データベース３０５は、加入者を特定する加入者ＩＤと、加入者の宅内ネットワーク内の端末６００に対応する端末ＩＤと、端末ＩＤに対応する端末６００のＭＡＣ（Media Access Control）アドレスと、を対応付けて予め保持する。例えば、加入者端末情報データベース３０５は、加入者ＩＤと、端末ＩＤと、端末６００のＭＡＣアドレスとを対応付けたテーブルを格納してもよい。

加入者端末情報データベース３０５は、磁気ディスク装置や光ディスク装置、半導体メモリを用いて実現される。

図３は、加入者端末情報データベース３０５が格納する情報の一例を示す図である。図３は、加入者ＩＤと、ＭＡＣアドレスと、端末ＩＤとを対応づけたテーブルを示す。

ここで、加入者Ａの加入者ＩＤが「１００」であるとする。また、加入者Ｂの加入者ＩＤが、「２００」であるとする。また、端末６００ａのＭＡＣアドレス及び端末ＩＤが、ＭＡＣアドレス「AA:BB:CC:12:34:56」であり、端末ＩＤ「１」であるとする。また、端末６００ｃのＭＡＣアドレス及び端末ＩＤが、ＭＡＣアドレス「BB:CC:DD:34:56:78」、端末ＩＤ「１」であるとする。また、端末６００ｂのＭＡＣアドレス及び端末ＩＤが、ＭＡＣアドレス「CC:DD:EE:56:78:90」であり、端末ＩＤ「２」であるとする。

図３は、加入者Ａの宅内ネットワーク１００に接続する、端末６００ａに関して、加入者ＩＤ「１００」と、ＭＡＣアドレス「AA:BB:CC:12:34:56」と、端末ＩＤ「１」とを対応付けて、加入者端末情報データベース３０５が格納することを示す。また、図３は、加入者Ｂの宅内ネットワーク１１０に接続する、端末６００ｂに関して、加入者ＩＤ「２００」と、ＭＡＣアドレス「BB:CC:DD:34:56:78」と、端末ＩＤ「１」とを対応付けて、加入者端末情報データベース３０５が格納することを示す。また、図３は、加入者Ｂの宅内ネットワーク１１０に接続する、端末６００ｃに関して、加入者ＩＤ「２００」と、ＭＡＣアドレス「CC:DD:EE:56:78:90」と、端末ＩＤ「２」とを対応付けて、加入者端末情報データベース３０５が格納することを示す。

なお、図３に示すように、異なる宅内ネットワークに接続する端末（端末６００ａ、端末６００ｂ）に対して、同一の端末ＩＤ（端末ＩＤ「１」）が割り振られても良い。

転送中継装置３０２は、端末情報生成装置３０１とポリシ適用装置３０４間において、データの転送処理を中継する。さらに、転送中継装置３０２は、アドレス変換装置３０３とポリシ適用装置３０４間において、データの転送処理を中継する。転送対象のデータには、端末情報が付与されているものとする。

アドレス変換装置３０３は、アドレス変換部３０３１と、記憶部（フロー情報記憶部）３０３２と、を含んで構成される。

アドレス変換部３０３１は、アドレス変換装置３０３を構成する、プロセッサ（ＣＰＵ）で実行させるプログラムにより、その処理を実現するようにしても良い。この場合、該プログラムを記憶した、コンピュータ読み出し可能な媒体（半導体メモリ、ＨＤＤ等）から、プログラムを読み出し、該サーバ装置を構成するプロセッサで各処理を実行する。

記憶部３０３２は、磁気ディスク装置や光ディスク装置、半導体メモリを用いて実現される。

アドレス変換装置３０３は、制御システム３００とインターネット４０１間の境界となるノード（第２のノード）である。アドレス変換装置３０３は、ＮＡＴ（Network Address Translations）として実現されてもよい。

アドレス変換装置３０３は、送信元又は宛先が端末６００であるデータを、制御システム３００の外部から受信したとする。その場合、アドレス変換装置３０３は、受信したデータの送信元又は宛先の端末６００に対応する端末ＩＤと、端末６００が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与する。そして、アドレス変換装置３０３は、端末情報が付与されたデータを、制御システム３００の内部のノード（例えば、転送中継装置３０２）に転送する。

また、アドレス変換装置３０３は、データの送信元又は宛先の端末６００に採番された端末ＩＤと、端末６００が接続する宅内ネットワークに対応する、加入者の加入者ＩＤとを含む端末情報が付与されたデータを、制御システム３００の内部から受信したとする。その場合、アドレス変換装置３０３は、受信したデータから端末情報を除去し、制御システム３００の外部（インターネット４０１）に転送する。つまり、アドレス変換装置３０３は、端末情報が付与されたデータを受信した場合、受信したデータから端末情報を除去し、端末情報を除去したデータを、データの宛先に転送する。

より具体的には、アドレス変換装置３０３は、加入者の宅内ネットワーク内の端末６００から送信されたデータであって、端末情報が付与されたデータを受信したとする。その場合、アドレス変換装置３０３は、受信したデータに付与された端末情報を、フロー情報に対応付けて、フロー情報と端末情報とを、記憶部３０３２に保存する。そして、アドレス変換装置３０３は、受信したデータから端末情報を除去し、端末情報を除去したデータを、データの宛先に転送する。

以下、アドレス変換装置３０３に関してより詳細に説明する。

アドレス変換部３０３１は、制御システム３００の外部（インターネット４０１）からデータ（パケット）を受信する。そして、アドレス変換部３０３１は、加入者の宅内ネットワーク内で利用するプライベートＩＰアドレスと、グローバルＩＰアドレス間の変換処理を実行する。

具体的には、端末情報生成装置３０１が、加入者宅内の端末６００から送信されたデータを受信した場合、アドレス変換部３０３１は、当該データの送信元ＩＰアドレス（プライベートＩＰアドレス）を、グローバルＩＰアドレスに変換する。

また、アドレス変換部３０３１は、フロー情報を生成する。フロー情報は、通信の流れを特定する情報である。具体的には、アドレス変換部３０３１は、制御システム３００が、加入者宅内の端末６００から送信されたデータを受信した場合、フロー情報を生成する。例えば、フロー情報は、送信元ＩＰアドレス、送信元ポート、宛先ＩＰアドレス、宛先ポート、プロトコル等を含む。

アドレス変換部３０３１は、端末情報をフロー情報に対応付けて、端末情報とフロー情報とを、記憶部３０３２に記憶させる。

一方、制御システム３００が、加入者宅内の端末６００宛のデータを受信した場合、アドレス変換部３０３１は、当該データの宛先ＩＰアドレス（グローバルＩＰアドレス）を、プライベートＩＰアドレスに変換する。

制御システム３００が、インターネット４０１からデータを受信した場合、記憶部３０３２が記憶するフロー情報に基づいて、当該データが、加入者宅内の端末６００から送信されたデータに対する応答であるか否かを、アドレス変換部３０３１は判断する。

インターネット４０１から受信したデータが、加入者宅内の端末６００から送信されたデータに対する応答である場合には、アドレス変換部３０３１は、当該加入者を特定し、当該加入者宅内の端末６００に、当該応答を送信する。

一方、インターネット４０１から受信したデータが、加入者宅内の端末６００から送信されたデータに対する応答ではない場合には、アドレス変換部３０３１は、インターネット４０１から受信したデータを廃棄する。

記憶部３０３２は、フロー情報を記憶する。ここで、記憶部３０３２が記憶するフロー情報は、端末情報が対応付けられているものとする。つまり、記憶部３０３２が記憶するフロー情報は、加入者ＩＤと端末ＩＤとが対応付けられているものとする。

図４は、記憶部３０３２が記憶する情報の一例を示す図である。図４は、記憶部３０３２が、加入者ＩＤと、端末ＩＤと、送信元を特定する情報と、宛先を特定する情報と、プロトコルとを対応付けて記憶することを示す。図４に示すように、送信元を特定する情報は、送信元ＩＰアドレス及びポート番号であってもよい。同様に、宛先を特定する情報は、宛先ＩＰアドレス及びポート番号であってもよい。

図４は、加入者ＩＤ「２００」及び端末ＩＤ「２」である端末６００から送信されたデータに関して、送信元のＩＰアドレスが「192.168.1.1」であり、送信元のポート番号が「1234」であることを示す。さらに、図４は、加入者ＩＤ「２００」及び端末ＩＤ「２」である端末６００から送信されたデータに関して、宛先のＩＰアドレスが「8.8.8.8」であり、宛先のポート番号が「53」であることを示す。さらに、図４は、加入者ＩＤ「２００」及び端末ＩＤ「２」である端末６００から送信されたデータが、プロトコル「ＵＤＰ（User Datagram Protocol）」を利用して送信されることを示す。

ポリシ適用装置３０４は、ポリシ適用部３０４１と、記憶部（ポリシ記憶部）３０４２と、ＶＮＦ（３０４３、３０４４）を含んで構成される。なお、図２は、一例として、２つのＶＮＦ（３０４３、３０４４）を示すが、これは、ＶＮＦの数を２つに限定する趣旨ではない。ポリシ適用装置３０４が制御するＶＮＦの数は、１又は３以上であってもよい。

ポリシ適用部３０４１は、ポリシ適用装置３０４を構成する、プロセッサ（ＣＰＵ）で実行させるプログラムにより、その処理を実現するようにしても良い。この場合、該プログラムを記憶した、コンピュータ読み出し可能な媒体（半導体メモリ、ＨＤＤ等）から、プログラムを読み出し、該サーバ装置を構成するプロセッサで各処理を実行する。

記憶部３０４２は、磁気ディスク装置や光ディスク装置、半導体メモリを用いて実現される。

ポリシ適用装置３０４は、１又は２以上の仮想マシンを含んで構成される。仮想マシンは、仮想ネットワーク機能を制御するノード（第３のノード）である。

ポリシ適用部３０４１は、加入者宅内の端末６００であって、制御システム３００が受信したデータに対応する端末６００に応じた、所定の適用ポリシを適用する。

具体的には、ポリシ適用部３０４１は、データに付与された端末情報に基づいて、加入者端末情報データベース３０５を検索し、データに付与された端末情報に対応する、ＭＡＣアドレスを特定する。そして、ポリシ適用部３０４１は、特定したＭＡＣアドレスに基づいて、記憶部３０４２を検索し、データに適用する適用ポリシを特定する。ポリシ適用部３０４１は、特定した適用ポリシに基づいて、処理を実行する。

適用ポリシとは、加入者宅内の端末６００に対する、サービス提供のポリシである。例えば、適用ポリシとは、当該適用ポリシを適用対象の端末６００に対して、特定のＷｅｂサイトへの通信を禁止することであってもよい。また、適用ポリシは、当該適用ポリシを適用対象の端末６００に対して、インターネット４０１への接続時間帯を制限することであってもよい。なお、本書に例示する適用ポリシは一例であり、適用ポリシを、本書に例示する処理に限定する趣旨ではない。

記憶部３０４２は、加入者ＩＤと、端末６００のＭＡＣアドレスと、端末６００に適用する適用ポリシとを対応付けて、予め保持する。例えば、記憶部３０４２は、加入者ＩＤと、ＭＡＣアドレスと、当該ＭＡＣアドレスに対応する端末６００に適用する適用ポリシと、を対応付けたテーブルを記憶してもよい。

図５は、記憶部３０４２が記憶する情報の一例を示す図である。図５は、加入者ＩＤと、ＭＡＣアドレスと、適用ポリシとを対応付けたテーブルを示す。

図５は、加入者ＩＤ「２００」の加入者の宅内ネットワークに接続する、ＭＡＣアドレス「BB:CC:DD:34:56:78」の端末６００が送信元又は宛先であるデータに対して、「ウィルスチェック」が対応付けられていることを示す。例えば、加入者ＩＤ「２００」の加入者の宅内ネットワークに接続する、ＭＡＣアドレス「BB:CC:DD:34:56:78」の端末が端末６００ｃであるとする。その場合、ポリシ適用部３０４１は、図５に示すテーブルを参照する場合、端末６００ｃが送信元又は宛先であるデータに対して、「ウィルスチェック」との適用ポリシを適用する。

同様に、図５は、加入者ＩＤ「２００」の加入者の宅内ネットワークに接続する、ＭＡＣアドレス「CC:DD:EE:56:78:90」の端末６００が送信元又は宛先であるデータに対して、「ウィルスチェック」及び「有害サイトアクセス制限」が対応付けられていることを示す。例えば、加入者ＩＤ「２００」の加入者の宅内ネットワークに接続する、ＭＡＣアドレス「CC:DD:EE:56:78:90」の端末が、端末６００ｂであるとする。その場合、ポリシ適用部３０４１は、図５に示すテーブルを参照する場合、端末６００ｂが送信元又は宛先であるデータに対して、「ウィルスチェック」及び「有害サイトアクセス制限」との適用ポリシを適用する。

なお、「ウィルスチェック」との適用ポリシは、ポリシ適用部３０４１が、ウィルスと判断されるデータを廃棄する処理(一般的には、ウィルス情報の記録されたDBと同じ通信パターンが加入者の通信に含まれる場合はデータを廃棄する)を、送受信対象のデータに対して適用することを意味する。また、「有害サイトアクセス制限」との適用ポリシは、送信対象のデータが、子供に有害であると判断される通信に関するデータである場合、ポリシ適用部３０４１が通信を遮断する(一般的には、有害サイト情報の記録されたDBに存在するURLへアクセスした場合に加入者の通信を遮断する)ことを意味する。

次に、制御システム３００の動作について詳細に説明する。

まず、図６を参照しながら、端末６００に適用する適用ポリシを登録する処理に関して説明する。図６においては、端末６００ｃが、適用ポリシの登録を要求する処理を例示して説明するが、これは、適用ポリシの登録要求元の端末を、端末６００ｃに限定する趣旨ではない。

ステップＡ１において、端末６００ｃは、加入者ＩＤと、登録対象の適用ポリシと、登録対象の適用ポリシに対応する端末６００のＭＡＣアドレスとを、ポリシ適用部３０４１に送信する。

例えば、制御システム３００を管理する通信事業者が、適用ポリシの登録に利用可能なＷｅｂサイトを提供しているとする。その場合、加入者Ｂは、加入者Ｂの宅内の端末６００ｃを用いて、適用ポリシの登録に利用可能なＷｅｂサイトにログインする。そして、加入者Ｂは、当該Ｗｅｂサイトに、加入者Ｂの加入者ＩＤと、登録対象の適用ポリシと、登録対象の適用ポリシに対応する端末６００のＭＡＣアドレスとを、適用ポリシの登録に利用可能なＷｅｂサイトに入力する。

ここで、加入者Ｂが、加入者Ｂの宅内ネットワーク１１０に接続する、端末６００ｂに対応する適用ポリシを、端末６００ｃを用いて設定するとする。登録対象の適用ポリシは、「ウィルスチェック」及び「有害サイトアクセス制限」との適用ポリシであるとする。その場合、加入者Ｂは、端末６００ｃを用いて、加入者Ｂの加入者ＩＤと、「ウィルスチェック」及び「有害サイトアクセス制限」との適用ポリシと、端末６００ｂのＭＡＣアドレスとを、適用ポリシの登録に利用可能なＷｅｂサイトに入力する。

ステップＡ２において、ポリシ適用部３０４１は、受信した加入者ＩＤと、登録対象の適用ポリシと、登録対象の適用ポリシに対応する端末６００のＭＡＣアドレスとを対応付けて登録する。ポリシ適用部３０４１は、受信した加入者ＩＤと、登録対象の適用ポリシと、登録対象の適用ポリシに対応する端末６００のＭＡＣアドレスとを対応付けて、記憶部３０４２に記憶させる。

ステップＡ３において、ポリシ適用部３０４１は、端末６００ｃに登録完了を応答する。端末６００ｃは、登録完了の通知を受信する（ステップＡ４）。

次に、図７、図８、図９を参照しながら、端末６００ｂから制御システム３００を介してデータを送信する処理に関して説明する。

まず、図７を参照しながら、端末６００ｂから制御システム３００を介してデータを送信する処理に関して説明する。以下の説明では、端末６００ｂは、子供が使用する端末６００（例えば、子供が使用するスマートフォン等）であるものとする。また、端末６００ｂに対して、「ウィルスチェック」及び「有害サイトアクセス制限」との適用ポリシが、予め対応付けられているものとする。つまり、端末６００ｂのＭＡＣアドレスと、端末６００ｂに対応する加入者ＩＤと、「ウィルスチェック」及び「有害サイトアクセス制限」との適用ポリシとを対応付けた情報を、記憶部３０４２が記憶しているものとする。

端末６００ｂは、制御システム３００を介したパケット通信処理を開始する。端末６００ｂは、制御システム３００にデータを送信する（ステップＢ１）。端末情報生成部３０１１は、端末６００ｂからデータを受信する。

受信データの送信元の端末６００ｂに対応する、加入者を認証済みであるか否かを、端末情報生成部３０１１は確認する（ステップＢ２）。具体的には、加入者に対応する加入者コンテクストを作成済みであるか否かを、端末情報生成部３０１１は判断する。端末情報生成部３０１１は、加入者に対応する加入者コンテクストを作成済みである場合には、当該加入者を認証済みであると判断する。端末情報生成部３０１１は、加入者に対応する加入者コンテクストを作成していない場合には、当該加入者が認証されていないと判断する。

受信データの送信元の端末６００ｂに対応する、加入者を認証済みである場合（ステップＢ２のＹｅｓ分岐）には、ステップＢ８に遷移する。

一方、データの送信元の端末６００ｂに対応する、加入者を認証済みではない場合（ステップＢ２のＮｏ分岐）には、端末情報生成部３０１１は、受信データに基づいて、加入者を特定する（ステップＢ３）。具体的には、端末情報生成部３０１１は、受信データのＩＰカプセリングヘッダ等に含まれる情報に基づいて、当該受信データを送信した加入者を特定する。ここで、受信データのＩＰカプセリングヘッダ等に含まれる情報とは、ＶＬＡＮ（Virtual Local Area Network） ＩＤ、ＧＲＥ（Generic Routing Encapsulation） Ｋｅｙ ＩＤ、ＰＰＰ（Point-to-Point Protocol）のＵｓｅｒ ＩＤ等であってもよい。

端末情報生成部３０１１は、特定した加入者の認証を、認証サーバ５０１に要求する（ステップＢ４）。認証サーバ５０１は、端末情報生成部３０１１から認証要求を受信すると、認証対象の加入者を認証する（ステップＢ５）。認証サーバ５０１は、加入者を認証した場合、加入者ＩＤを、端末情報生成部３０１１に応答する（ステップＢ６）。端末情報生成部３０１１は、認証サーバ５０１から、加入者ＩＤを受信する。

端末情報生成部３０１１は、受信した加入者ＩＤを含む、加入者コンテクストを作成する（ステップＢ７）。

ステップＢ８において、受信データの送信元の端末６００ｂに対応する、加入者の加入者ＩＤが、加入者端末情報データベース３０５に登録されているか否かを、端末情報生成部３０１１は判断する。例えば、端末情報生成部３０１１は、受信データのＥｔｈｅｒｎｅｔ（登録商標）ヘッダを参照し、当該ヘッダに含まれるＭＡＣアドレスに基づいて、加入者宅内の端末６００ｂを特定してもよい。

データの送信元の端末６００ｂに対応する加入者の加入者ＩＤが、加入者端末情報データベース３０５に登録されている場合（ステップＢ８のＹｅｓ分岐）には、図８に示すステップＢ２３に遷移する。一方、データの送信元の端末６００ｂに対応する加入者の加入者ＩＤが、加入者端末情報データベース３０５に登録されていない場合（ステップＢ８のＮｏ分岐）には、Ｂ９に遷移する。

ステップＢ９において、端末情報生成部３０１１は、受信データの送信元の端末６００ｂに対応する、端末ＩＤを採番する。具体的には、端末情報生成部３０１１は、当該端末６００ｂに対応するとともに、加入者Ｂの宅内ネットワーク１１０内で一意になる端末ＩＤを採番する。

そして、端末情報生成部３０１１は、受信データに対応する加入者ＩＤと、端末ＩＤと、ＭＡＣアドレスとを、加入者端末情報データベース３０５に通知する（ステップＢ１０）。具体的には、端末情報生成部３０１１は、受信データに対応する加入者ＩＤと、端末ＩＤと、ＭＡＣアドレスとを、加入者端末情報データベース３０５に登録するように要求する。そして、図８に示すＢ２１に遷移する。

次に、図８を参照しながら、端末６００ｂから制御システム３００を介してデータを送信する処理に関して、引き続き説明する。

ステップＢ２１において、加入者端末情報データベース３０５は、受信した加入者ＩＤと、端末ＩＤと、ＭＡＣアドレスとを登録する（ステップＢ２１）。そして、加入者端末情報データベース３０５は、登録完了を端末情報生成部３０１１に応答する（ステップＢ２２）。

ステップＢ２３において、端末情報生成部３０１１は、加入者ＩＤと、端末ＩＤとを含む、端末情報を生成する。

ステップＢ２４において、端末情報生成部３０１１は、生成した端末情報を、受信データに付与する。例えば、端末情報生成部３０１１は、ＧＲＥヘッダの中に、ＮＳＨ（Next Service Header）として、端末情報を付与してもよい。なお、端末情報の使用範囲は、制御システム３００の内部である。そのため、端末情報生成部３０１１が端末情報を付与する方法は、ＮＳＨとして端末情報を付与する方法に限定されない。

ステップＢ２５において、端末情報生成部３０１１は、端末情報が付与された受信データを、転送中継装置３０２に転送する。転送中継装置３０２は、端末情報が付与された受信データを、ポリシ適用部３０４１に転送する（ステップＢ２６）。

ポリシ適用部３０４１は、加入者ＩＤと端末ＩＤとに対応するＭＡＣアドレスを、加入者端末情報データベース３０５に要求する（ステップＢ２７）。加入者端末情報データベース３０５は、加入者ＩＤと端末ＩＤとに対応するＭＡＣアドレスを検索する（ステップＢ２８）。加入者端末情報データベース３０５は、加入者ＩＤと端末ＩＤとに対応するＭＡＣアドレスを、ポリシ適用部３０４１に応答する（ステップＢ２９）。

ポリシ適用部３０４１は、受信したＭＡＣアドレスに対応する、適用ポリシを特定する（ステップＢ３０）。つまり、ポリシ適用部３０４１は、受信データの送信元の端末６００ｂに対応する、適用ポリシを特定する。そして、ポリシ適用部３０４１は、特定した適用ポリシに対応する処理を実行する（ステップＢ３１）。

例えば、記憶部３０４２が、図５に示す加入者ＩＤと、ＭＡＣアドレスと、適用ポリシとを対応付けて記憶しているとする。ここで、端末６００ｂのＭＡＣアドレスが、「CC:DD:EE:56:78:90」であるとする。その場合、ポリシ適用部３０４１は、「ウィルスチェック」及び「有害サイトアクセス制限」との適用ポリシを、端末６００ｂに対応する適用ポリシとして特定する。

そして、端末６００ｂから送信された受信データが、ウィルスと判断されるデータを含む場合には、ポリシ適用部３０４１は、受信データを廃棄し、通信を終了する。または、端末６００ｂから送信された受信データが、子供に有害であると判断される通信に関するデータである場合、ポリシ適用部３０４１は、受信データを廃棄し、通信を終了する。ここで、子供に有害であると判断される通信とは、受信データの宛先が、子供に有害であるＷｅｂサイトである場合等である。

なお、受信データの送信元が、端末６００ｃであるとする。そして、端末６００ｃのＭＡＣアドレスが、「BB:CC:DD:34:56:78」であるとする。その場合、ポリシ適用部３０４１は、「ウィルスチェック」との適用ポリシを、端末６００ｃに対応する適用ポリシとして特定する。

そのため、端末６００ｃから送信された受信データが、ウィルスと判断されるデータを含む場合には、ポリシ適用部３０４１は、受信データを廃棄し、通信を終了する。しかし、端末６００ｃから送信された受信データが、子供に有害であると判断される通信に関するデータであっても、ポリシ適用部３０４１は通信を継続する。

ステップＢ３２において、ポリシ適用部３０４１は、端末情報が付与された受信データを、転送中継装置３０２に転送する。転送中継装置３０２は、端末情報が付与された受信データを、アドレス変換部３０３１に転送する（ステップＢ３３）。そして、図９に示すステップＢ４１に遷移する。

次に、図９を参照しながら、端末６００ｂから制御システム３００を介してデータを送信する処理に関して、引き続き説明する。

ステップＢ４１において、アドレス変換部３０３１は、ＩＰアドレス変換処理を実行する。具体的には、アドレス変換部３０３１は、加入者Ｂの宅内ネットワーク１１０で利用するプライベートＩＰアドレスを、グローバルＩＰアドレスに変換する。なお、上記の通り、アドレス変換装置３０３は、ＮＡＴとして実現されてもよい。

アドレス変換部３０３１は、通信の流れを特定する情報を、フロー情報として、記憶部３０３２に記憶する。

ステップＢ４２において、アドレス変換部３０３１は、受信データに付与された端末情報を、フロー情報に対応付けて、記憶部３０３２に記憶する。

ステップＢ４３において、アドレス変換部３０３１は、受信データから端末情報を除去する。アドレス変換部３０３１は、指定された宛先に受信データを転送する（ステップＢ４４）。具体的には、アドレス変換部３０３１は、受信データを、インターネット４０１に転送する。

次に、図１０、図１１、図１２を参照しながら、制御システム３００が端末６００ｂにデータを送信する処理に関して説明する。

まず、図１０を参照しながら、制御システム３００が端末６００ｂにデータを送信する処理に関して説明する。

ステップＣ１において、アドレス変換部３０３１は、インターネット４０１からデータを受信する。

ステップＣ２において、受信データに対応するフロー情報が記憶されているか否かを、アドレス変換部３０３１は判断する。受信データに対応するフロー情報が記憶されていない場合（ステップＣ２のＮｏ分岐）には、アドレス変換部３０３１は受信データを廃棄する（ステップＣ３）。つまり、受信データが、加入者宅内の端末６００から送信されたデータに対する応答ではない場合には、アドレス変換部３０３１は、当該受信データを廃棄する。そして、制御システム３００が端末６００ｂにデータを送信する処理を終了する。

一方、受信データに対応するフロー情報が記憶されている場合（ステップＣ２のＹｅｓ分岐）には、アドレス変換部３０３１は、受信データに対応するフロー情報を特定する（ステップＣ４）。例えば、アドレス変換部３０３１は、記憶部３０３２を参照し、受信データに対応するフロー情報を特定する。

ステップＣ５において、アドレス変換部３０３１は、ＩＰアドレス変換処理を実行する。具体的には、アドレス変換部３０３１は、受信データに対応するグローバルＩＰアドレスを、加入者Ｂの宅内ネットワーク１１０において利用する、プライベートＩＰアドレスに変換する。

ステップＣ６において、アドレス変換部３０３１は、特定したフロー情報に対応付けられた、端末情報を特定する。そして、アドレス変換部３０３１は、特定した端末情報を、受信データに付与する（ステップＣ７）。

ステップＣ８において、アドレス変換部３０３１は、端末情報が付与された受信データを、転送中継装置３０２に転送する。転送中継装置３０２は、端末情報が付与された受信データを、ポリシ適用部３０４１に転送する（ステップＣ９）。そして、図１１に示すステップＣ２１に遷移する。

次に、図１１を参照しながら、制御システム３００が端末６００ｂにデータを送信する処理に関して、引き続き説明する。

ステップＣ２１において、ポリシ適用部３０４１は、加入者ＩＤと端末ＩＤとに対応するＭＡＣアドレスを、加入者端末情報データベース３０５に要求する。加入者端末情報データベース３０５は、加入者ＩＤと端末ＩＤとに対応するＭＡＣアドレスを検索する（ステップＣ２２）。加入者端末情報データベース３０５は、加入者ＩＤと端末ＩＤとに対応するＭＡＣアドレスを、ポリシ適用部３０４１に応答する（ステップＣ２３）。

ポリシ適用部３０４１は、受信したＭＡＣアドレスに対応する、適用ポリシを特定する（ステップＣ２４）。つまり、ポリシ適用部３０４１は、受信データの宛先の端末６００ｂに対応する、適用ポリシを特定する。そして、ポリシ適用部３０４１は、特定した適用ポリシに対応する処理を実行する（ステップＣ２５）。

例えば、記憶部３０４２が、図５に示す加入者ＩＤと、ＭＡＣアドレスと、適用ポリシとを対応付けて記憶しているとする。ここで、端末６００ｂのＭＡＣアドレスが、「CC:DD:EE:56:78:90」であるとする。その場合、ポリシ適用部３０４１は、「ウィルスチェック」及び「有害サイトアクセス制限」との適用ポリシを、端末６００ｂに対応する適用ポリシとして特定する。

そして、端末６００ｂ宛ての受信データが、ウィルスと判断されるデータを含む場合には、ポリシ適用部３０４１は、受信データを廃棄し、通信を終了する。または、端末６００ｂ宛ての受信データが、子供に有害であると判断される通信に関するデータである場合、ポリシ適用部３０４１は、受信データを廃棄し、通信を終了する。ここで、子供に有害であると判断される通信とは、受信データの送信元が、子供に有害であるＷｅｂサイトである場合等である。

なお、受信データの宛先が、端末６００ｃであるとする。そして、端末６００ｃのＭＡＣアドレスが、「BB:CC:DD:34:56:78」であるとする。その場合、ポリシ適用部３０４１は、「ウィルスチェック」との適用ポリシを、端末６００ｃに対応する適用ポリシとして特定する。

そのため、端末６００ｃ宛ての受信データが、ウィルスと判断されるデータを含む場合には、ポリシ適用部３０４１は、受信データを廃棄し、通信を終了する。しかし、端末６００ｃ宛ての受信データが、子供に有害であると判断される通信に関するデータであっても、ポリシ適用部３０４１は通信を継続する。

ステップＣ２６において、ポリシ適用部３０４１は、端末情報が付与された受信データを転送中継装置３０２に転送する。転送中継装置３０２は、端末情報が付与された受信データを、端末情報生成部３０１１に転送する。そして、図１２に示すステップＣ４１に転送する。

次に、図１２を参照しながら、制御システム３００が端末６００ｂにデータを送信する処理に関して説明する。

ステップＣ４１において、端末情報生成部３０１１は、受信データに付与された端末情報に基づいて、加入者を特定する。

ステップＣ４２において、端末情報生成部３０１１は、受信データから端末情報を除去する。端末情報生成部３０１１は、特定した加入者の端末６００（端末６００ｂ）に、受信データを転送する（ステップＣ４３）。そして、制御システム３００は、端末６００ｂにデータを送信する処理を終了する。

［変形例１］
本実施形態に係る制御システム３００の変形例１として、ポリシ適用部３０４１は、キャッシュメモリを備えてもよい。そして、ポリシ適用部３０４１のキャッシュメモリが、加入者端末情報データベース３０５を格納してもよい。その場合、ポリシ適用部３０４１が加入者端末情報データベース３０５からＭＡＣアドレスを取得する際に、通信速度に対するオーバーヘッドを軽減することに貢献する。

［変形例２］
本実施形態に係る制御システム３００の変形例２として、ポリシ適用装置３０４がＩＰカプセリングのヘッダを解釈できない場合には、転送中継装置３０２が、ＩＰカプセリングのヘッダとは異なる形式を用いて、端末６００を識別する情報を、ポリシ適用装置３０４に通知してもよい。

例えば、転送中継装置３０２が、端末情報生成部３０１１又はアドレス変換部３０３１から、ＩＰカプセリングのヘッダとして端末情報を付与された、データを受信したとする。その場合、転送中継装置３０２は、受信したデータに付与されたＩＰカプセリングのヘッダを除去して、ポリシ適用部３０４１にデータを転送してもよい。その場合、転送中継装置３０２は、端末６００毎に異なる、一時的な送信元ＩＰアドレスを決定し、決定した送信元ＩＰアドレスを、ポリシ適用部３０４１に通知してもよい。その後、転送中継装置３０２は、ポリシ適用部３０４１からデータを受信した場合には、受信したデータに端末情報を再び付与し、指示された転送先（端末情報生成部３０１１又はアドレス変換部３０３１）に、受信したデータを転送してもよい。

［変形例３］
本実施形態に係る制御システム３００の変形例３として、制御システム３００は、ルータを含んで構成されてもよい。例えば、制御システム３００は、端末情報生成装置３０１、転送中継装置３０２、アドレス変換装置３０３、ポリシ適用装置３０４間に、ルータを含んで構成されてもよい。制御システム３００は、ＩＰカプセリングヘッダに、端末情報を含ませることで、制御システム３００が、ルータを含んで構成される場合であっても、制御システム３００の内部において、端末情報を付与したデータを利用することが可能になる。

［変形例４］
本実施形態に係る制御システム３００の変形例４として、アドレス変換装置３０３は、端末６００毎に異なるアドレス変換の規則を、記憶部３０３２に記憶してもよい。その場合、アドレス変換部３０３１は、受信データに付与された端末情報に基づいて、予め登録されたアドレス変換の規則から、受信データに対応するアドレス変換の規則を選択してもよい。そして、アドレス変換部３０３１は、選択した、アドレス変換の規則に基づいて、アドレス変換を実行してもよい。

以上のように、本実施形態に係る制御システム３００は、加入者ＩＤと端末ＩＤとを含む、端末情報を、制御システム３００の外部から受信したデータに付与し、制御システム３００の内部においては、端末情報を付与したデータを利用する。従って、本実施形態に係る制御システム３００は、制御システム３００の内部において、加入者の宅内ネットワークに接続する、各端末６００を識別する情報を保持することができる。よって、本実施形態に係る制御システム３００は、ＮＦＶ技術を用いて実現するシステム内において、加入者宅内の各端末６００を適切に識別することに貢献する。

さらに、本実施形態に係る制御システム３００は、端末６００に応じた適用ポリシを予め保持し、加入者宅内の端末６００に対応するデータを受信した場合、当該端末６００に応じた適用ポリシを適用する。従って、本実施形態に係る制御システム３００は、加入者宅内の各端末６００に応じた、サービスを適切に提供することに貢献する。

上述の実施形態の一部又は全部は、以下の形態のようにも記載され得るが、以下には限られない。

（形態１）上記第１の視点に係るノードの通りである。

（形態２）上記第２の視点に係るノードの通りである。

（形態３）上記第３の視点に係る制御システムの通りである。

（形態４）加入者の加入者ＩＤと、加入者の宅内ネットワーク内の端末に対応する端末ＩＤと、前記端末ＩＤに対応する前記端末のＭＡＣ（Media Access Control）アドレスと、を対応付けて予め保持する、加入者端末情報データベースをさらに含み、前記加入者ＩＤと、前記端末のＭＡＣアドレスと、前記端末に適用する適用ポリシとを対応付けて、予め保持する、ポリシ記憶部と、データに付与された前記端末情報に基づいて、前記加入者端末情報データベースを検索し、データに付与された前記端末情報に対応する、ＭＡＣアドレスを特定し、特定したＭＡＣアドレスに基づいて、前記ポリシ記憶部を検索し、データに適用する前記適用ポリシを特定する、ポリシ適用部と、を備える、第３のノードをさらに含み、前記ポリシ適用部は、特定した前記適用ポリシに基づいて、処理を実行する、好ましくは形態３に記載の制御システム。

（形態５）前記ポリシ適用部は、キャッシュメモリを備え、前記キャッシュメモリに、前記加入者端末情報データベースを格納する、好ましくは形態４に記載の制御システム。

（形態６）前記制御システムの外部にデータを転送する、第２のノードをさらに含み、前記第２のノードは、前記端末情報が付与されたデータを受信した場合、受信したデータから前記端末情報を除去し、前記端末情報を除去したデータを、データの宛先に転送する、好ましくは形態３乃至５のいずれか一に記載の制御システム。

（形態７）フロー情報記憶部をさらに含み、前記第２のノードは、加入者の宅内ネットワーク内の端末から送信されたデータであって、前記端末情報が付与されたデータを受信した場合、受信したデータに付与された前記端末情報を、フロー情報に対応付けて、前記フロー情報と前記端末情報とを、前記フロー情報記憶部に保存し、受信したデータから前記端末情報を除去し、前記端末情報を除去したデータを、データの宛先に転送する、好ましくは形態６に記載の制御システム。

（形態８）前記第２のノードは、加入者の宅内ネットワーク内の端末宛のデータを受信した場合、受信したデータに対応する前記フロー情報に基づいて、前記端末情報を特定し、特定した前記端末情報を、受信したデータに付与する、好ましくは形態７に記載の制御システム。

（形態９）前記第２のノードは、加入者の宅内ネットワーク内の端末宛のデータを受信した場合、受信したデータに、特定した前記端末情報を付与し、前記端末情報が付与されたデータを前記第１のノードに転送し、前記第１のノードは、前記第２のノードから転送された、データを受信した場合、受信したデータから前記端末情報を除去し、前記端末情報を除去したデータを、データの宛先に転送する、好ましくは形態８に記載の制御システム。

（形態１０）上記第４の視点に係る通信制御方法の通りである。

（形態１１）上記第５の視点に係るプログラムの通りである。

なお、上記の特許文献の開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。本発明で、アルゴリズム、ソフトウェア、ないしフローチャート或いは自動化されたプロセスステップが示された場合、コンピュータが用いられることは自明であり、またコンピュータにはプロセッサ及びメモリないし記憶装置が付設されることも自明である。よってその明示を欠く場合にも、本願には、これらの要素が当然記載されているものと解される。

１ 第１のノード
１０ 制御システム
２０ 制御装置
２１、２２ ＶＮＦ
３０ 加入者の宅内ネットワーク
３１、３２、３３、６００、６００ａ、６００ｂ、６００ｃ 端末
１００ 加入者Ａの宅内ネットワーク
１０１、１１１ ＣＰＥ
１１０ 加入者Ｂの宅内ネットワーク
２０１ アクセス／集約ネットワーク
３００ 制御システム
３０１ 端末情報生成装置
３０２ 転送中継装置
３０３ アドレス変換装置
３０４ ポリシ適用装置
３０５ 加入者端末情報データベース
４０１ インターネット
５０１ 認証サーバ
１０００ 通信システム
３０１１ 端末情報生成部
３０３１ アドレス変換部
３０３２、３０４２ 記憶部
３０４１ ポリシ適用部

Claims (10)

1. 仮想ネットワーク機能を制御する制御装置を含んで構成される、制御システムの内部に配置され、
   加入者の宅内ネットワーク内の端末に、端末ＩＤ（identifier）を採番し、
   送信元又は宛先が前記端末であるデータを、前記制御システムの外部から受信した場合、受信したデータの送信元又は宛先の前記端末に対応する前記端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与し、前記端末情報が付与されたデータを、前記制御システムの内部のノードに転送する、ノード。
2. 仮想ネットワーク機能を制御する、制御システムの内部に配置され、
   データの送信元又は宛先の端末に採番された端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤとを含む端末情報が付与されたデータを、前記制御システムの内部から受信した場合、受信したデータから前記端末情報を除去し、前記制御システムの外部に転送する、ノード。
3. 仮想ネットワーク機能を制御する制御装置を含んで構成される、制御システムであって、
   加入者の宅内ネットワーク内の端末に、端末ＩＤを採番する、第１のノードを含み、
   前記第１のノードは、送信元又は宛先が前記端末であるデータを、前記制御システムの外部から受信した場合、受信したデータの送信元又は宛先の前記端末に対応する前記端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を、受信したデータに付与し、
   前記制御システムの内部においては、前記端末情報が付与されたデータを利用する、制御システム。
4. 加入者の加入者ＩＤと、加入者の宅内ネットワーク内の端末に対応する端末ＩＤと、前記端末ＩＤに対応する前記端末のＭＡＣ（Media Access Control）アドレスと、を対応付けて予め保持する、加入者端末情報データベースをさらに含み、
   前記加入者ＩＤと、前記端末のＭＡＣアドレスと、前記端末に適用する適用ポリシとを対応付けて、予め保持する、ポリシ記憶部と、
   データに付与された前記端末情報に基づいて、前記加入者端末情報データベースを検索し、データに付与された前記端末情報に対応する、ＭＡＣアドレスを特定し、特定したＭＡＣアドレスに基づいて、前記ポリシ記憶部を検索し、データに適用する前記適用ポリシを特定する、ポリシ適用部と、
   を備える、第３のノードをさらに含み、
   前記ポリシ適用部は、特定した前記適用ポリシに基づいて、処理を実行する、請求項３に記載の制御システム。
5. 前記ポリシ適用部は、キャッシュメモリを備え、
   前記キャッシュメモリに、前記加入者端末情報データベースを格納する、請求項４に記載の制御システム。
6. 前記制御システムの外部にデータを転送する、第２のノードをさらに含み、
   前記第２のノードは、前記端末情報が付与されたデータを受信した場合、受信したデータから前記端末情報を除去し、前記端末情報を除去したデータを、データの宛先に転送する、請求項３乃至５のいずれか一に記載の制御システム。
7. フロー情報記憶部をさらに含み、
   前記第２のノードは、加入者の宅内ネットワーク内の端末から送信されたデータであって、前記端末情報が付与されたデータを受信した場合、受信したデータに付与された前記端末情報を、フロー情報に対応付けて、前記フロー情報と前記端末情報とを、前記フロー情報記憶部に保存し、受信したデータから前記端末情報を除去し、前記端末情報を除去したデータを、データの宛先に転送する、請求項６に記載の制御システム。
8. 前記第２のノードは、加入者の宅内ネットワーク内の端末宛のデータを受信した場合、受信したデータに対応する前記フロー情報に基づいて、前記端末情報を特定し、特定した前記端末情報を、受信したデータに付与する、請求項７に記載の制御システム。
9. 仮想ネットワーク機能を制御する、制御システムを制御する通信制御方法であって、前記制御システムは、送信元又は宛先が、加入者の宅内ネットワーク内の端末であるデータを、前記制御システムの外部から受信する、第１のノードを含み、
   前記端末に、端末ＩＤを採番する工程と、
   前記端末ＩＤと、受信されたデータの送信元又は宛先の宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を生成する工程と、
   受信されたデータに、前記端末情報を付与する工程と、
   前記端末情報が付与された、前記データを、前記制御システムの内部のノードに転送する工程と、
   を含む、通信制御方法。
10. 仮想ネットワーク機能を制御する、制御システムを制御するコンピュータに制御させるプログラムであって、
    前記制御システムは、送信元又は宛先が、加入者の宅内ネットワーク内の端末であるデータを、前記制御システムの外部から受信する、第１のノードを含み、
    前記端末に、端末ＩＤを採番する処理と、
    前記端末ＩＤと、前記端末が接続する宅内ネットワークに対応する、加入者の加入者ＩＤと、を含む端末情報を生成する処理と、
    受信されたデータに、前記端末情報を付与する処理と、
    前記端末情報が付与された、前記データを、前記制御システムの内部のノードに転送する処理と、
    を前記コンピュータに実行させるプログラム。

Images