JP7291732B2 - ホストされた仮想ネットワークへのアクセスをネットワーク識別子を用いて制御するための方法および装置 - Google Patents

Description

優先権の表示

本出願は、２０１８年６月１８日に出願され、その内容がそれらの全体において参照により本明細書に組み込まれる「ホストされた仮想ネットワークへのアクセスをネットワーク識別子を用いて制御するための方法および装置」と題する、米国仮出願第６２／６８６，５７１号の優先権を主張する。

ある実施形態例は、一般に、第５世代（５Ｇ）ネットワークのような、ネットワークにおいてユーザ機器（ＵＥ：ｕｓｅｒ ｅｑｕｉｐｍｅｎｔ）に対して、ホストされた仮想ネットワークへのアクセスをネットワーク識別子を用いることによって制御するための方法、装置、およびコンピュータプログラム製品に関する。

背景

５Ｇネットワークシステムは、モバイル通信サービスを異なる垂直ドメインへ拡張し、それらの異なる垂直ドメインにおいて製造のためのアプリケーションをサポートする。垂直ドメインの例は、産業オートメーション、エネルギーオートメーション、および輸送を含む。異なる垂直ドメインには特定のセキュリティ対策および分離ネットワーク特性が必要とされうる。それゆえに、物理的インフラストラクチャを共通に共有する物理的通信ネットワークが分離された異なるホストされた仮想ネットワークへ分割されてよい。垂直ドメインにおける通信がタイプａ（例えば、排他的）および／またはタイプｂ（例えば、プライベート）のホストされた仮想ネットワークにおいて生じてよい。

第３世代パートナーシップ・プロジェクト（３ＧＰＰ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ））は、物理的ネットワーク中に種々の仮想ネットワークを提供することを可能にするために、ネットワークスライシングのような、技法を提供した。しかしながら、３ＧＰＰによって提供されるネットワークスライシング技法は、所望される分離の度合いを提供しない。例えば、非専用ネットワーキングスライスは、モバイルネットワークオペレーション（ＭＮＯ：ｍｏｂｉｌｅ ｎｅｔｗｏｒｋ ｏｐｅｒａｔｉｏｎ）アクセス認証を最初に必要とせずにネットワーク選択手順を用いてネットワークスライスに直接にアクセスするための能力をＵＥに提供することができない。加えて、ネットワークスライシング技法は、非許可ＵＥがランダムアクセスチャネル（ＲＡＣＨ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｃｈａｎｎｅｌ）を介してネットワークスライスと通信することを禁止できず、結果として、これらの非許可ＵＥからの通信を取り扱うネットワークリソースの浪費につながる。ネットワークスライスは、非許可ＵＥがネットワークスライスにアクセスしようと試みた後に、ネットワークスライスへのアクセスを拒否することが可能でありうるが、通信リソースは、非許可ＵＥによって試みられるリクエストによって依然として消費される。

摘要

通信システムにおいてホストされた仮想ネットワークへのアクセス制御を提供するために、方法、装置およびコンピュータプログラム製品が提供される。

一実施形態例において、ホストされた仮想ネットワークと関連付けられるネットワーク識別子をカバレッジエリアにおける無線アクセスネットワークを介してそのカバレッジエリアにおける１つ以上の許可されたユーザ機器へ送信することを含む方法が提供される。前記ネットワーク識別子は、前記１つ以上のユーザ機器上に格納されるように構成される。前記方法は、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むことも含む。

かかる方法のいくつかの実装において、前記ネットワーク識別子は、モバイルネットワークオペレータによって管理される識別子およびＰＬＭＮ（Ｐｕｂｌｉｃ Ｌａｎｄ Ｍｏｂｉｌｅ Ｎｅｔｗｏｒｋ）識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、ニュートラルホスト前記ネットワーク識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、サービスセット識別子およびＰＬＭＮ識別子を含む。いくつかの実施形態において、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むことは、アクセス識別子をその１つ以上の許可されたユーザ機器に割り当てることと、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークと結合されたブロードキャストチャネルへのアクセスを拒否することとを含む。いくつかの実施形態において、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むことは、ホストされた仮想ネットワークがその１つ以上の許可されたユーザ機器にのみアクセスを認めることを、ブロードキャストチャネルを介し、無線アクセスネットワークを用いることによって、ブロードキャストすることと、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを拒否することとを含む。

別の実施形態例では、ホストされた仮想ネットワークと関連付けられるネットワーク識別子をカバレッジエリアにおける無線アクセスネットワークを介してそのカバレッジエリアにおける１つ以上の許可されたユーザ機器へ送信する手段を備える装置が提供される。前記ネットワーク識別子は、１つ以上のユーザ機器上に格納されるように構成される。前記装置は、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻む手段も備える。

かかる装置のいくつかの実装において、前記ネットワーク識別子は、モバイルネットワークオペレータによって管理される識別子およびＰＬＭＮ識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、ニュートラルホスト前記ネットワーク識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、サービスセット識別子およびＰＬＭＮ識別子を含む。いくつかの実施形態において、前記装置は、アクセス識別子をその１つ以上の許可されたユーザ機器に割り当てる手段、およびその１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークと結合されたブロードキャストチャネルへのアクセスを拒否する手段をさらに備える。いくつかの実施形態において、前記装置は、ホストされた仮想ネットワークがその１つ以上の許可されたユーザ機器にのみアクセスを認めることを、ブロードキャストチャネルを介し、無線アクセスネットワークを用いることによって、ブロードキャストする手段、およびその１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを拒否する手段をさらに備える。

別の実施形態例では、少なくとも１つのプロセッサおよび１つ以上のプログラムのためのコンピュータプログラムコードを含んだ少なくとも１つのメモリを含む装置が提供される。前記コンピュータプログラムコードは、前記少なくとも１つのプロセッサに実行されると、前記装置に、少なくとも、ホストされた仮想ネットワークと関連付けられるネットワーク識別子をカバレッジエリアにおける無線アクセスネットワークを介してそのカバレッジエリアにおける１つ以上の許可されたユーザ機器へ送信し、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むことを装置に行わせるように構成される。前記ネットワーク識別子は、前記１つ以上の許可されたユーザ機器上に格納されるように構成される。

かかる装置のいくつかの実装において、前記ネットワーク識別子は、モバイルネットワークオペレータによって管理される識別子およびＰＬＭＮ識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、ニュートラルホスト前記ネットワーク識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、サービスセット識別子およびＰＬＭＮ識別子を含む。いくつかの実施形態において、前記コンピュータプログラムコードは、前記少なくとも１つのプロセッサに実行されると、前記装置に、アクセス識別子をその１つ以上の許可されたユーザ機器に割り当て、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークと結合されたブロードキャストチャネルへのアクセスを拒否することを装置に行わせるようにさらに構成される。いくつかの実施形態において、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むことは、ホストされた仮想ネットワークがその１つ以上の許可されたユーザ機器にのみアクセスを認めることを、ブロードキャストチャネルを介し、無線アクセスネットワークを用いることによって、ブロードキャストすることと、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを拒否することとを含む。

別の実施形態では、その中に格納されたコンピュータ実行可能プログラムコード命令を有する少なくとも１つの非一時的コンピュータ可読記憶媒体を含むコンピュータプログラム製品が提供され、コンピュータ実行可能プログラムコード命令は、実行の際に、ホストされた仮想ネットワークと関連付けられるネットワーク識別子をカバレッジエリアにおける無線アクセスネットワークを介してそのカバレッジエリアにおける１つ以上の許可されたユーザ機器へ送信し、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むように構成されるプログラムコード命令を備える。前記ネットワーク識別子は、前記１つ以上の許可されたユーザ機器上に格納されるように構成される。

かかるコンピュータプログラム製品のいくつかの実装において、前記ネットワーク識別子は、モバイルネットワークオペレータによって管理される識別子およびＰＬＭＮ識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、ニュートラルホスト前記ネットワーク識別子を含む。いくつかの実施形態において、前記ネットワーク識別子は、サービスセット識別子およびＰＬＭＮ識別子を含む。いくつかの実施形態において、プログラムコード命令は、実行の際に、アクセス識別子をその１つ以上の許可されたユーザ機器に割り当て、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークと結合されたブロードキャストチャネルへのアクセスを拒否するようにさらに構成される。いくつかの実施形態において、プログラムコード命令は、実行の際に、ホストされた仮想ネットワークがその１つ以上の許可されたユーザ機器にのみアクセスを認めることを、ブロードキャストチャネルを介し、かつ無線アクセスネットワークを用いることによって、ブロードキャストし、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを拒否するようにさらに構成される。

本開示のある一定の実施形態例を一般的な用語でこのように記載したが、縮尺通りには必ずしも描かれていない、添付図面が以下に参照される。

本開示のある実施形態例に従って、本明細書において考察され、企図される手順から利益を享受しうるシステムを描く。

ホストされた仮想ネットワークへのアクセスを制御するためにある実施形態例に従って構成される装置のブロック図である。

本開示のある実施形態例に従って、ホストされた仮想ネットワークへのアクセスを制御するために、例えば、図２の装置によって行われるオペレーションを示す。

本開示のある実施形態例に従って、許可されていないユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むために、例えば、図２の装置によって行われるオペレーションを示す。

本開示のある実施形態例に従って、許可されていないユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むために、例えば、図２の装置によって行われる代わりのオペレーションを示す。

詳細説明

次に、本発明のいくつかの実施形態が、添付図面を参照して以下により詳細に説明される。添付図面には、本発明のいくつかの実施形態が示されるが、全ての実施形態を示してはいない。本発明の様々な実施形態は様々な異なる形態で具現化されてよく、本明細書に述べられる実施形態に限定されると解釈すべきではない。以下の説明はむしろ、本開示が適用可能な法的要件を満たすことになるようにこれらの実施形態が説明される。同様の参照数字は、全体にわたって同様の要素を指す。本明細書では、「データ」、「コンテンツ」、「情報」という用語、および同様の用語は、本開示の実施形態に従って送信される、受信される、および／または格納されることが可能なデータを指すために同義で用いられてよい。従って、いずれかのかかる用語の使用が本開示の実施形態の趣旨および範囲を限定すると捉えるべきではない。

加えて、本明細書では、「回路構成（Ｃｉｒｃｕｉｔｒｙ）」という用語は、（ａ）ハードウェアのみの回路実装（例えば、アナログ回路構成および／またはデジタル回路構成での実装）、（ｂ）本明細書に記載される１つ以上の機能を装置に行わせるために一緒に作動する、回路と、１つ以上のコンピュータ可読メモリ上に格納されたソフトウェアおよび／またはファームウェア命令を備えるコンピュータプログラム製品との組み合わせ、ならびに（ｃ）ソフトウェアまたはファームウェアがたとえ物理的に存在しないとしても、オペレーションのためにはソフトウェアまたはファームウェアを必要とする回路、例えば、マイクロプロセッサ（単数または複数）またはマイクロプロセッサ（単数または複数）の一部分などを指す。「回路構成」のこの定義は、いずれかの請求項におけるものを含めて、本明細書におけるこの用語のすべての使用に当てはまる。さらなる例として、本明細書では、「回路構成」という用語は、１つ以上のプロセッサおよび／またはそれらの部分（単数または複数）を備え、かつソフトウェアおよび／またはファームウェアを伴う実装も含む。別の例として、「回路構成」という用語は、本明細書では、例えば、モバイルフォンのためのベースバンド集積回路もしくはアプリケーションプロセッサ集積回路、あるいはサーバ中の同様の集積回路、セルラネットワークデバイス、他のネットワークデバイス、フィールドプログラマブルゲートアレイ、および／または他のコンピューティングデバイスも含む。

本明細書に定義されるように、物理的記憶媒体（例えば、揮発性または不揮発性メモリデバイス）を指す「コンピュータ可読記憶媒体」は、電磁信号を指す「コンピュータ可読伝送媒体」と区別されてよい。

本明細書に定義されるように、「プライベートネットワーク」または「排他的ネットワーク」のための「ネットワーク識別子」は、５Ｇ通信システムのような、通信システムにおいてホストされた仮想ネットワークと関連付けられ、すべてのサブスクライバに利用可能なパブリックネットワークに割り当てられるのではないネットワーク識別子（ＩＤ：ｉｄｅｎｔｉｆｉｅｒ）を指す。ネットワーク識別子の例は、パブリックネットワークの識別子とパブリックネットワーク内のホストされた仮想ネットワークの識別子、例えば、共有ＰＬＭＮ（Ｐｕｂｌｉｃ Ｌａｎｄ Ｍｏｂｉｌｅ Ｎｅｔｗｏｒｋ）ＩＤとＭＮＯによって管理される識別子との組み合わせ、ＰＬＭＮ ＩＤに加えてホストされた仮想ネットワークに割り当てられた集中管理されるユニークＩＤ（例えば、規制機関によって割り当てられた集中管理されるユニークＩＤ）（国内でユニーク）、あるネットワークに割り当てられたグローバルユニークＩＤ、サービスセットＩＤ（ＳＳＩＤ：ｓｅｒｖｉｃｅ ｓｅｔ ＩＤ）に加えてＰＬＭＮ ＩＤ、ニュートラルホストネットワークＩＤ、または同様のものを含む。ネットワーク識別子は、ホストされた仮想ネットワークの少なくともカバレッジエリアではホストされた仮想ネットワークに対してユニークである。ＰＬＭＮ ＩＤは、ネットワーク識別子の一部であってよいが、ネットワーク識別子における唯一のＩＤであることはできない。ネットワーク選択を許可するために、ネットワーク識別子がそのカバレッジエリアにおける無線アクセスネットワーク（ＲＡＮ：ｒａｄｉｏ ａｃｃｅｓｓ ｎｅｔｗｏｒｋ）によって１つ以上の許可ＵＥへブロードキャストされてよい。

５Ｇ通信システムのような、通信システムにおいてホストされた仮想ネットワークへのアクセス制御を提供するために、方法、装置およびコンピュータプログラム製品が提供される。異なる垂直ドメインに必要とされる特定のセキュリティ対策および分離ネットワーク特性のゆえに、各ホストされた仮想ネットワークが分離され、すなわち、互いから離れ、同じ物理的通信ネットワークにおけるＰＬＭＮ通信から離れて、各ホストされた仮想ネットワークにおけるデータフロー通信は、分離される。それゆえに、ＵＥは、これらのホストされた仮想ネットワークの位置を特定してアクセスするためにネットワーク選択を用いる。加えて、潜在的な輻輳問題およびセキュリティ課題のゆえに、ある実施形態例のホストされた仮想ネットワークは、ホストされた仮想ネットワークに属していないＵＥがホストされた仮想ネットワークのセルを選択／再選択すること、またはランダムアクセスチャネル（ＲＡＣＨ、「ブロードキャストチャネル」とも呼ばれる）を介してチャネルリクエストを送ることによってアクセスしようと試みることを禁止できる必要がある。

ホストされた仮想ネットワークは、共通の物理的ネットワークインフラストラクチャを共有する（例えば、互いから離れ、ＰＬＭＮ通信から離れた）分離された仮想ネットワークである。各ホストされた仮想ネットワークにおけるデータフロー通信は、分離される。ＵＥは、これらのホストされた仮想ネットワークの位置を特定してアクセスするためにネットワーク選択を用いることを許可される。ホストされた仮想ネットワークは、ホストされた仮想ネットワークにアクセスすることを許可されていないＵＥがホストされた仮想ネットワークのセルを選択／再選択すること、または、例えば、ＲＡＣＨを介して、チャネルリクエストを送ることによってホストされた仮想ネットワークにアクセスしようと試みることを禁止するように構成されてよい。

ある実施形態例では、各ホストされた仮想ネットワークが特定の垂直ドメインと関連付けられてよい。垂直ドメインは、同様の製品もしくはサービスが開発され、製造されて、提供される個別の産業または企業の群である。垂直ドメインの例は、鉄道大量輸送、ビル自動化、未来の工場、スマートシティ、配電、中央発電、特殊イベント、スマート農業、および／または同様のものを含む。

ホストされた仮想ネットワークと関連付けられる識別子がカバレッジエリアにおけるＲＡＮを介してそのカバレッジエリアにおける１つ以上の許可ＵＥへ送信されてよい。ネットワーク識別子は、１つ以上のユーザ機器上に格納されるように構成される。ホストされた仮想ネットワークへのアクセスは、ネットワーク識別子を有さないＵＥに対して阻まれるであろう。いくつかの実施形態において、カバレッジエリアにおけるＲＡＮは、ホストされた仮想ネットワークに対するアクセスが非許可ＵＥに対して阻まれることを示す情報をブロードキャストしてよく、非許可ＵＥは、例えば、ＲＡＣＨを介して、ホストされた仮想ネットワークと通信することを禁止されるであろう。いくつかの実施形態において、ホストされた仮想ネットワークは、特殊アクセス識別子またはアクセスクラスを許可ＵＥに割り当てる。特殊アクセス識別子のないＵＥは、例えば、ＲＡＣＨを介して、ホストされた仮想ネットワークへ向かってアクセスを開始することが可能ではない。本発明の実施形態例は、５Ｇ通信と併せて記載されるが、本方法、装置およびコンピュータプログラムがＬＴＥ（ロングタームエボリューション：Ｌｏｎｇ－Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）通信システム、ＵＭＴＳ（ユニバーサルモバイル通信システム：ｕｎｉｖｅｒｓａｌ ｍｏｂｉｌｅ ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｓｙｓｔｅｍ）、または同様のものなど、他の通信システムに展開されてもよい。

ある実施形態例の方法、装置およびコンピュータプログラム製品が種々の異なるシステムに展開されてよいが、本開示のある実施形態例に従って本明細書において考察され、企図される手順から利益を享受してよいシステムの一例が図１に描かれる。図１におけるシステム環境１００の描写は、本明細書において記載され、企図される実施形態を要素またはシステムのいずれかの個別の構成に限定し、もしくは別様で制限することは意図されず、本開示の実施形態と関連して用いることができる構成およびシステムのセットに対するいずれかの代わりの構成またはシステムを除外することも意図されない。むしろ、図１、および本明細書に開示されるシステム環境１００は、本明細書において開示され、企図される方法、装置、およびコンピュータプログラム製品の特徴、側面、および使用のいくつかを促進すべく、基礎および文脈の例を提供するために単に提示される。図１に提示された態様およびコンポーネントの多くが離散的な、離れた要素として示されるが、態様および／または構成要素を組み合わせ、省略し、および／または追加する構成を含めて、本明細書に記載される方法、装置、およびコンピュータプログラムと関連して他の構成が用いられてよいことが理解されるであろう。

図１に示されるように、システム環境は、例えば、アクセスネットワークを介して、物理的ネットワーク１０６と無線通信するように構成される１つ以上のユーザ機器１０２を含む。ユーザ機器は、様々な異なる仕方で構成されてよいが、ユーザ機器は、モバイル端末、例えば、ポータブルデジタルアシスタント（ＰＤＡ：ｐｏｒｔａｂｌｅ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）、モバイルフォン、スマートフォン、ページャ、モバイルテレビ、ゲーミングデバイス、ラップトップコンピュータ、カメラ、タブレットコンピュータ、コミュニケータ、パッド、ヘッドセット、タッチサーフェス、ビデオレコーダ、オーディオ／ビデオプレーヤ、ラジオ、電子ブック、測位デバイス（例えば、全地球測位システム（ＧＰＳ：ｇｌｏｂａｌ ｐｏｓｉｔｉｏｎｉｎｇ ｓｙｓｔｅｍ）デバイス）、または前述のもののいずれかの組み合わせ、ならびに、他のタイプの音声およびテキストならびにマルチモーダル通信システムとして具現されてよい。

与えられたシステム環境内に存在しうるより従来型のユーザ機器１０２に加えて、システム環境１００は、ＩｏＴデバイスと呼ばれてよい、１つ以上のインターネットオブシングス（ＩｏＴ：Ｉｎｔｅｒｎｅｔ－ｏｆ－Ｔｈｉｎｇｓ）ユーザ機器デバイス１１０も随意的に含む。ＩｏＴデバイスは、様々な異なる仕方で構成されてよいが、ＩｏＴデバイス１１０は、以下には限定されないが、ネットワーク環境との通信および／または他の相互作用を許可するように構成される車両、電気製品、機械設備、ウェアラブルデバイスおよび／または他のデバイスを含めて、セルラＩｏＴ（Ｃ－ＩｏＴ：ｃｅｌｌｕｌａｒ ＩｏＴ）デバイス、狭帯域ＩｏＴ（ＮＢ－ＩｏＴ：ｎａｒｒｏｗｂａｎｄ ＩｏＴ）デバイス、および／または他のＩｏＴデバイスとして具現されてよい。

システム環境１００は、図１に描かれるように、基地局（例えば、ｎｏｄｅ Ｂ、ｅｖｏｌｖｅｄ Ｎｏｄｅ Ｂ（ｅＮＢ）、または同様のものなど）のような、１つ以上のアクセスポイント１０４ａおよび１０４ｂも含む。セルラアクセスポイント、例えば、基地局は、１つ以上のセルを定義して、サービスを提供してよい。アクセスポイントは、セルラ無線アクセスネットワークを確立し、それによってユーザ機器１０２および／またはＩｏＴデバイス１１０がそのネットワークと通信しうるように、次には、ゲートウェイを介して、物理的ネットワーク１０６、例えば、コアネットワークと通信してよい。図１のシステム環境１００は、例えば、５Ｇ無線アクセスネットワーク、ＬＴＥ無線アクセスネットワーク、ＵＭＴＳ無線アクセスネットワークなどを含む複数の異なるセルラ無線アクセスネットワークを含んでよい。いくつかの実装例では、複数の異なるセルラ無線アクセスネットワークと結合された機器および他のインフラストラクチャが、アクセスポイント１０４ａおよび１０４ｂのような、個別のアクセスポイントと結合された構造および／または他の機器に、またはその近くに配置されてよい。

システム環境１００のいくつかの実装においては、ユーザ機器１０２および／またはＩｏＴデバイス１１０がアクセスポイント１０４ａによってサービスされるエリアからアクセスポイント１０４ｂによってサービスされるエリアへ移動するにつれて、ユーザ機器１０２および／またはＩｏＴデバイス１１０は、複数のアクセスポイントにわたって同じベンダによって提供された無線アクセスネットワークを介して物理的ネットワーク１０６にアクセスできるという意味で、与えられたエリアにおいてアクセスポイント１０４ａ、１０４ｂ、およびいずれかの他のアクセスポイントによってサービスされるセルラ無線アクセスネットワークは、全く同じである。いくつかのホストされた仮想ネットワーク１１２Ａおよび１１２Ｂが物理的ネットワーク１０６上にホストされてよい。示されないが、システムは、アクセスポイントのオペレーション、およびそれらと通信するユーザ機器１０２および／またはＩｏＴデバイス１１０の管理を促進するために、（例えば、基地局のような）、セルラアクセスポイントのうちの１つ以上と結合されたコントローラも含んでよい。

ホストされた仮想ネットワーク１１２Ａおよび１１２Ｂへのアクセス制御を提供するために、例えば、図２に示されるように装置２０が提供される。装置は、様々な異なるコンポーネントのいずれかによって具現されてよく、一つの実施形態では、５Ｇ通信システムにおいてインフラストラクチャを制御する仮想ネットワークによって具現される。図２に示されるように、ある実施形態例の装置は、プロセッサ２２、関連するメモリ２４および通信インターフェース２６を含むか、それらと結合されるか、または別の状況ではそれらと通信する。

プロセッサ２２（および／またはコプロセッサ、あるいはプロセッサを支援し、もしくは別様でそれと結合されたいずれかの他の回路構成）は、装置２０のコンポーネント間で情報を伝えるためにバスを介してメモリデバイス２４と通信してよい。メモリデバイスは、非一時的であってよく、例えば、１つ以上の揮発性および／または不揮発性メモリを含んでよい。言い換えれば、例えば、メモリデバイスは、マシン（例えば、プロセッサのようなコンピューティングデバイス）によってリトリーブ可能でありうるデータ（例えば、ビット）を格納するように構成されるゲートを備える電子記憶デバイス（例えば、コンピュータ可読記憶媒体）であってよい。メモリデバイスは、本開示のある実施形態例に従って装置が様々な機能を実施することを可能にするための情報、データ、コンテンツ、アプリケーション、命令、または同様のものを格納するように構成されてよい。例えば、プロセッサによって処理するための入力データをバッファするようにメモリデバイスを構成できるであろう。加えてまたは代わりに、プロセッサによる実行のための命令を格納するようにメモリデバイスを構成できるであろう。

装置２０は、いくつかの実施形態では、先に記載されたような様々なコンピューティングデバイス中に具現されてよい。しかしながら、いくつかの実施形態では、装置は、チップまたはチップセットとして具現されてよい。言い換えれば、装置は、構造アセンブリ（例えば、ベースボード）上に材料、コンポーネントおよび／またはワイヤを含む１つ以上の物理的パッケージ（例えば、チップ）を備えてよい。構造アセンブリは、その上に含まれるコンポーネント回路構成に物理的強度、サイズの維持、および／または電気的相互作用の制限を提供してよい。装置は、それゆえに、いくつかのケースでは、本開示のある実施形態を単一のチップ上に、また単一の「システムオンチップ」として実装するように構成されてよい。かくして、いくつかのケースでは、チップまたはチップセットが本明細書に記載される機能を提供するように１つ以上のオペレーションを行う手段を構成してよい。

プロセッサ２２は、いくつかの異なるやり方で具現されてよい。例えば、プロセッサは、コプロセッサ、マイクロプロセッサ、コントローラ、デジタル信号プロセッサ（ＤＳＰ：ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ）、付随するＤＳＰ有りまたは無しの処理要素など、様々なハードウェア処理手段、あるいは、例えば、ＡＳＩＣ（特定用途向け集積回路：ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）、ＦＰＧＡ（フィールドプログラマブルゲートアレイ：ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ）、マイクロコントローラユニット（ＭＣＵ：ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ ｕｎｉｔ）、ハードウェアアクセラレータ、専用コンピュータチップ、または同様のものなどの集積回路を含んだ、様々な他の回路構成のうちの１つ以上として具現されてよい。かくして、いくつかの実施形態において、プロセッサは、独立して実行するように構成される１つ以上の処理コアを含んでよい。マルチコアプロセッサが単一の物理的パッケージ内のマルチ処理を可能にしてもよい。加えてまたは代わりに、命令の独立した実行、パイプライニングおよび／またはマルチスレッディングを可能にするために、プロセッサがバスを介してタンデムに構成される１つ以上のプロセッサを含んでもよい。

ある実施形態例では、プロセッサ２２は、メモリデバイス２４に格納されるか、または別様でプロセッサへアクセス可能である命令を実行するように構成されてよい。代わりにまたは加えて、プロセッサは、ハードコードされた機能を実行するように構成されてもよい。かくして、ハードウェアもしくはソフトウェア手法によって、またはそれらの組み合わせによって構成されるかのいずれにせよ、プロセッサは、適宜に構成される一方で、本開示のある実施形態によるオペレーションを行うことが可能な（例えば、回路構成中に物理的に具現される）エンティティを表してよい。従って、例えば、プロセッサがＡＳＩＣ、ＦＰＧＡまたは同様のものとして具現されるときに、プロセッサは、本明細書に記載されるオペレーションを実施するために特別に構成されるハードウェアであってよい。代わりに、別の例として、プロセッサが命令の実行者として具現されるときには、命令が実行されるときに本明細書に記載されるアルゴリズムおよび／またはオペレーションを行うように命令がプロセッサを特別に構成してよい。しかしながら、いくつかのケースでは、プロセッサは、本明細書に記載されるアルゴリズムおよび／またはオペレーションを行うための命令によりプロセッサをさらに構成することによって本開示のある実施形態を採用するように構成される特定デバイスのプロセッサであってよい。プロセッサは、とりわけ、プロセッサのオペレーションをサポートするように構成されるクロック、算術論理演算ユニット（ＡＬＵ：ａｒｉｔｈｍｅｔｉｃ ｌｏｇｉｃ ｕｎｉｔ）および論理ゲートを含んでよい。

通信インターフェース２６は、ネットワークから／へデータを受信および／または送信するように構成されるハードウェア、あるいはハードウェアとソフトウェアとの組み合わせで具現されたいずれかの手段、例えば、デバイスまたは回路構成であってよい。この点に関して、通信インターフェースは、例えば、ワイヤレス通信ネットワークとの通信を可能にするためのアンテナ（または複数のアンテナ）ならびに支援ハードウェアおよび／またはソフトウェアを含んでよい。加えてまたは代わりに、通信インターフェースは、アンテナ（単数または複数）を介して信号の送信をもたらすため、またはアンテナ（単数または複数）を介して受信される信号の受信を取り扱うためにアンテナ（単数または複数）と相互作用するための回路構成を含んでよい。いくつかの環境において、通信インターフェースは、代わりにまたは同様に有線通信をサポートしてよい。かくして、例えば、通信インターフェースは、ケーブル、デジタル・サブスクライバ・ライン（ＤＳＬ：ｄｉｇｉｔａｌ ｓｕｂｓｃｒｉｂｅｒ ｌｉｎｅ）、ユニバーサルシリアルバス（ＵＳＢ：ｕｎｉｖｅｒｓａｌ ｓｅｒｉａｌ ｂｕｓ）または他のメカニズムを介した通信をサポートするための通信モデムおよび／または他のハードウェア／ソフトウェアを含んでよい。

ホストされた仮想ネットワーク１１２Ａ、１１２Ｂへのアクセス制御を提供するために装置２０によって行われるオペレーションが図３のフローチャートに描かれ、非許可ＵＥに対してアクセスを阻むことに関する具体的な詳細が図４および図５のフローチャートと併せて記載される。

ブロック３０に示されるように、装置は、ホストされた仮想ネットワークと関連付けられるネットワーク識別子をカバレッジエリアにおける無線アクセスネットワークを介してそのカバレッジエリアにおける１つ以上の許可されたユーザ機器へ送信する手段、例えば、プロセッサ２２、通信インターフェース２６または同様のものを含む。ネットワーク識別子は、１つ以上のユーザ機器上に格納されるように構成される。

ネットワーク識別子は、５Ｇ通信システムのような、通信システムにおいてホストされた仮想ネットワークと関連付けられ、すべてのサブスクライバに利用可能なパブリックネットワークに割り当てられるのではないネットワーク識別子である。ネットワーク識別子の例は、ＭＮＯによって管理される識別子とＰＬＭＮ ＩＤとのパッケージ、ＰＬＭＮ ＩＤと集中管理されるＩＤ（例えば、規制機関によって割り当てられた集中管理されるＩＤ）とのパッケージ、ＳＳＩＤ、ニュートラルホストネットワークＩＤ、または同様のものを含む。ホストされた仮想ネットワークと関連付けられるネットワーク識別子は、ネットワーク選択を許可するためにそのカバレッジエリアにおけるＲＡＮによって１つ以上の許可ＵＥへブロードキャストされてよい。いくつかの実施形態において、ネットワーク識別子は、ＰＬＭＮ ＩＤに加えて別のプライベートにまたは集中的に管理される識別子を含んでよい。ホストされた仮想ネットワークは、５Ｇ通信システムのような、通信システムにおけるタイプａ（例えば、排他的）またはタイプｂ（例えば、プライベート）ネットワークであってよい。

いくつかの実施形態において、ホストされた仮想ネットワークは、以下のフォーマット、すなわち、１）ＰＬＭＮ ＩＤとＭＮＯによって管理される識別子との組み合わせ、２）ＰＬＭＮ ＩＤと、ホストされた仮想ネットワークと関連付けられる垂直ドメインにおける規制機関など、規制機関によって割り当てられた集中管理されるＩＤとの組み合わせ、３）ニュートラルホストネットワークＩＤのようなグローバルユニークＩＤ、または４）ＰＬＭＮ ＩＤとＳＳＩＤとの組み合わせのいずれかをとるネットワーク識別子として識別されてよい。ニュートラルホストネットワークＩＤは、３ＧＰＰによって管理されてよい。ＳＳＩＤは、集中管理されて、ネットワークのカバレッジエリア内でローカルにユニークであることを保証されてよい。例えば、ある産業がミュンヘンにあり、ドイツ地域がプライベートにホストされた仮想ネットワークを提供する場合には、選択されたＳＳＩＤと、同じカバレッジエリアにおけるネットワークによって提供されたＳＳＩＤとがコンフリクトしないことをその産業が保証すべきである。

（ＰＬＭＮ ＩＤを含んでよい）ネットワーク識別子は、許可されたユーザ機器によって格納されるように構成されてよい。許可ＵＥは、ネットワーク識別子をそのホームネットワーク情報の一部として格納してよい。いくつかの実施形態では、ホームネットワーク情報がＨｏｍｅ ＰＬＭＮ（ＨＰＬＭＮ）またはＥｑｕｉｖａｌｅｎｔ ＨＰＬＭＮ（ＥＨＰＬＭＮ）リストと同様に実装されてよい。ネットワーク識別子を用いたネットワーク選択をサポートするために、ネットワーク選択アルゴリズム、例えば、３ＧＰＰによって出版された技術仕様２３．１１２におけるＰＬＭＮ ＩＤのみに基づくネットワーク選択のためのネットワーク選択アルゴリズムが利用されてよい。

ブロック３２に示されるように、装置は、許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻む手段、例えば、プロセッサ２２、通信インターフェース２６または同様のものも含む。許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを阻むための２つの技術例が、限定ではなく、例として図４および５と併せて記載される。

図４を次に参照するとブロック４０に示されるように、装置は、アクセス識別子またはアクセスクラスをその１つ以上の許可されたユーザ機器に割り当てる手段、例えば、プロセッサ２２、通信インターフェース２６または同様のものを含む。アクセス識別子またはアクセスクラスを割り当てられたＵＥは、ホストされた仮想ネットワークへアクセスするために、例えば、ＲＡＣＨを介して、ホストされた仮想ネットワークに向かってアクセスを開始することを許可される。特殊アクセス識別子のないＵＥは、例えば、ＲＡＣＨを介して、ホストされた仮想ネットワークに向かってアクセスを開始することが可能でない。

ブロック４２に示されるように、装置は、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークと結合された（ＲＡＣＨのような）ブロードキャストチャネルへのアクセスを拒否する手段、例えば、プロセッサ２２、通信インターフェース２６または同様のものを含む。それゆえに、アクセス識別子またはアクセスクラスのないＵＥは、例えば、ＲＡＣＨを介して、ホストされた仮想ネットワークに向かってアクセスを開始することが可能でない。それゆえに、ネットワークリソースは、許可ＵＥではないＵＥによって不必要に消費されないであろう。いくつかの実施形態では、アクセス識別子またはアクセスクラスがＭＮＯを介して割り当てられてよい。代わりにまたは加えて、アクセス識別子またはアクセスクラスがホストされた仮想ネットワークのオペレータから直接に割り当てられてもよい。この実施形態は、ＵＡＣの一部として指定された既存のアクセス制御フレームワークを活用する。この実施形態の１つの欠点は、ホストされた仮想ネットワークのオペレータがＭＮＯの干渉なしにそれ自体のアクセスカテゴリを定義できないであろうということである。

図５を次に参照するとブロック５０に示されるように、装置は、ホストされた仮想ネットワークがその１つ以上の許可されたユーザ機器にのみアクセスを認めることをＲＡＮを介してブロードキャストする手段、例えば、プロセッサ２２、通信インターフェース２６または同様のものを含む。ブロック５２に示されるように、装置は、その１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、ホストされた仮想ネットワークへのアクセスを拒否する手段、例えば、プロセッサ２２、通信インターフェース２６または同様のものも含む。例えば、デフォルト設定は、格納されたネットワーク識別子をもつ許可されたユーザ機器のみがホストされた仮想ネットワークにアクセスすることを許可される設定であってよい。いくつかの実施形態においては、垂直ドメインおよび／またはホストされた仮想ネットワークのオペレータの具体的なニーズまたは必要条件に応じて、追加のアクセス制御カテゴリが許可されたユーザ機器に導入されてよい。新しいアクセス識別子を新しいアクセス制御フレームワークの下で割り当てることによって、この実施形態は、ホストされた仮想ネットワークが追加のアクセス制御カテゴリを割り当てることを許可する。

コンピュータプログラム製品は、コンピュータプログラム命令、例えば、コンピュータ可読プログラムコード部分が、少なくとも１つの非一時的コンピュータ可読記憶媒体によって格納され、コンピュータプログラム命令、例えば、そのコンピュータ可読プログラムコード部分が、実行の際に、例えば、図３～５のフローチャートと併せて先に記載された機能を行うように構成されるそれらの事例において定義される。他の実施形態では、コンピュータプログラム命令、例えば、コンピュータ可読プログラムコード部分が、非一時的コンピュータ可読記憶媒体によって格納され、または別様で具現される必要はないが、その代わりに、コンピュータプログラム命令、例えば、そのコンピュータ可読プログラムコード部分は、実行の際に、先に記載された機能を行うように依然として構成される一時的媒体によって具現されてよい。

それに応じて、フローチャートのブロックは、指定された機能を行う手段の組み合わせおよび指定された機能を行うためのオペレーションの組み合わせをサポートする。フローチャートの１つ以上のブロック、およびフローチャートにおけるブロックの組み合わせは、指定された機能を行う専用ハードウェアベース・コンピュータシステム、または専用ハードウェアとコンピュータ命令との組み合わせによって実装されてよいことも理解されるであろう。

いくつかの実施形態では、上記のオペレーションのうちのある一定のオペレーションが変更され、またはさらに増強されてもよい。さらに、いくつかの実施形態では、追加の随意的なオペレーションが含まれてもよい。上記のオペレーションに対する変更、追加、または増強がいずれかの順序およびいずれの組み合わせで行われてもよい。

先の説明および関連する図面に提示された教示の恩恵を受ける、これらの発明に関わる分野における当業者には、本明細書に述べられた本発明の多くの変更および他の実施形態が想起されるであろう。それゆえに、理解すべきは、本発明が開示される具体的な実施形態には限定されないこと、および変更および他の実施形態が添付される請求項の範囲内に含まれるべく意図されることである。そのうえ、先の説明および関連する図面は、実施形態例を要素および／または機能のある一定の組み合わせの例の文脈で記載するが、当然のことながら、添付される請求項の範囲から逸脱することなく、代わりの実施形態によって要素および／または機能の異なる組み合わせが提供されてもよい。この点に関して、添付される請求項のいくつかに述べられるように、例えば、先に明示的に記載されたものとは異なる要素および／または機能の組み合わせも企図される。本明細書では特定の用語が採用されるが、それらは、限定のためではなく、一般的な記述的意味においてのみ用いられる。

Claims (10)

1. ユーザ機器に通信サービスを提供するネットワーク要素の動作方法であって、
   通信の観点で互いに分離された複数の仮想ネットワークをホストする物理的ネットワークにホストされた仮想ネットワークと関連付けられるネットワーク識別子をカバレッジエリアにおける無線アクセスネットワークを介して前記カバレッジエリアにおける１つ以上の許可されたユーザ機器へ送信することと；
   許可されたユーザ機器ではない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークへのアクセスを阻むことと；
   を含み、前記ネットワーク識別子は、前記１つ以上の許可されたユーザ機器上に格納されるように構成される、方法において、
   許可されたユーザ機器ではない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークへのアクセスを阻むことは、
   アクセス識別子又はアクセスクラスを前記１つ以上の許可されたユーザ機器に割り当てることと；
   前記アクセス識別子又は前記アクセスクラスが割り当てられていない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークと結合されたブロードキャストチャネルを介して前記ホストされた仮想ネットワークへアクセスしようと試みることを禁止することと；
   をさらに含む、方法。
2. 前記ネットワーク識別子は、ローカルに管理される識別子およびＰＬＭＮ識別子を備える、請求項１に記載の方法。
3. 前記ネットワーク識別子は、集中管理される識別子およびＰＬＭＮ識別子を備える、請求項１に記載の方法。
4. 許可されたユーザ機器ではない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークへのアクセスを阻むことは、
   前記ホストされた仮想ネットワークが前記１つ以上の許可されたユーザ機器にのみアクセスを認めることを、ブロードキャストチャネルを介し、前記無線アクセスネットワークを用いることによって、ブロードキャストすることと；
   前記１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークへのアクセスを拒否することと；
   をさらに含む、請求項１から３のいずれか一項に記載の方法。
5. 通信の観点で互いに分離された複数の仮想ネットワークをホストする物理的ネットワークにホストされた仮想ネットワークと関連付けられるネットワーク識別子をカバレッジエリアにおける無線アクセスネットワークを介して前記カバレッジエリアにおける１つ以上の許可されたユーザ機器へ送信する手段と；
   許可されたユーザ機器ではない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークへのアクセスを阻む手段と；
   を備え、前記ネットワーク識別子は、前記１つ以上の許可されたユーザ機器上に格納されるように構成される、装置であって、
   アクセス識別子又はアクセスクラスを前記１つ以上の許可されたユーザ機器に割り当てる手段と；
   前記アクセス識別子又は前記アクセスクラスが割り当てられていない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークと結合されたブロードキャストチャネルを介して前記ホストされた仮想ネットワークへアクセスしようと試みることを禁止する手段と；
   をさらに備える、装置。
6. 前記ネットワーク識別子は、ローカルに管理される識別子およびＰＬＭＮ識別子を備える、請求項５に記載の装置。
7. 前記ネットワーク識別子は、集中管理される識別子およびＰＬＭＮ識別子を備える、請求項５に記載の装置。
8. 前記ホストされた仮想ネットワークが前記１つ以上の許可されたユーザ機器にのみアクセスを認めることを、ブロードキャストチャネルを介し、前記無線アクセスネットワークを用いることによって、ブロードキャストする手段と；
   前記１つ以上の許可されたユーザ機器ではない１つ以上のユーザ機器に対して、前記ホストされた仮想ネットワークへのアクセスを拒否する手段と；
   をさらに備える、請求項５から７のいずれか一項に記載の装置。
9. 処理手段及び記憶手段を備える装置であって、前記記憶手段はコンピュータプログラム命令を格納し、前記コンピュータプログラム命令は、前記処理手段に実行されると、前記装置に、請求項１から４のいずれかに記載の方法を遂行させるように構成される、装置。
10. 装置の処理手段に実行されると、前記装置に、請求項１から４のいずれかに記載の方法を遂行させるように構成されるコンピュータプログラム命令を備える、コンピュータプログラム。

Images