WO2016143338A1 - ネットワークシステム、制御装置、制御方法及びプログラム記録媒体 - Google Patents

Abstract

仮想ネットワーク間でトラフィック処理規則の衝突を事前に回避するネットワークシステムを提供する。ネットワークシステムは、物理ノードと、第一の制御装置と、第二の制御装置と、を含む。物理ノードは、通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する。第一の制御装置は、物理ノードを用いて複数の仮想ネットワークを構築する。第二の制御装置は、複数の仮想ネットワークの各々に割り当てられる。第一の制御装置は、所定の条件に基づいて、識別条件として使用可能な識別子の集合を複数の仮想ネットワークの各々に割り当て、割り当てた識別子の集合を第二の制御装置に通知する。

Description

ネットワークシステム、制御装置、制御方法及びプログラム記録媒体

　本開示は、ネットワークシステム、制御装置、制御方法及びプログラム記録媒体に関し、特に、制御装置からの指示に従ってパケットを転送する機器によって構成されるネットワークにおけるネットワークシステム、制御装置、制御方法及びプログラム記録媒体に関する。

　特許文献１及び非特許文献１、２に示すとおり、近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散及び最適化を行うものである。転送ノードとして機能するオープンフロースイッチは、オープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するルール（ＦｌｏｗＫｅｙ；マッチングキー）と、処理内容を定義したアクション（Ａｃｔｉｏｎ）と、フロー統計情報（Ｓｔａｔｓ）との組が定義される。

　例えば、オープンフロースイッチは、最初のパケット（ｆｉｒｓｔ　ｐａｃｋｅｔ）を受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するルール（ＦｌｏｗＫｅｙ）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、受信パケットに対して、当該エントリのアクションフィールドに記述された処理を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送する。そして、オープンフロースイッチは、受信パケットの送信元・送信先に基づいたパケットの経路の決定を依頼し、これを実現するフローエントリを受け取ってフローテーブルを更新する。

　また、前述のようにオープンフロースイッチはオープンフローコントローラからのフローエントリ設定によってパケットの処理方法を決定する。特に、指定されたインターフェースへパケットを出力する「ＯＵＴＰＵＴ」が処理方法として多用されるが、この時指定されるポートは物理的なインターフェースに限らない。

　このようにオープンフローは、オープンフローコントローラによるオープンフロースイッチの制御によって、トラフィックの制御をマッチ条件によって規定される処理規則の集合として定義することで実現する。

　また、オープンフローを用いて構成されるネットワークを仮想化し、多様なニーズに対応するための技術が提案されている。

　非特許文献３は複数のオープンフローコントローラによってトラフィック制御を行うスライシング技術について開示しており、共通のオープンフローネットワークを複数の運用者が独立して運用することを可能にしている。非特許文献３では、ＦｌｏｗＶｉｓｏｒと呼ばれる特殊なオープンフローコントローラが一つのオープンフロースイッチと複数のオープンフローコントローラの間の仲介を行う。これにより、非特許文献３では、複数のポリシーによって一つのオープンフロースイッチを制御することが可能になっている。ＦｌｏｗＶｉｓｏｒには各オープンフローコントローラが収容すべきトラフィックの識別情報が登録されている。ポリシー間の衝突は、オープンフロースイッチからの処理規則要求の振り分けや、オープンフローコントローラから指示された処理規則の排他制御をこの識別情報に従って行うことで回避できる。この技術は、共通のオープンフローネットワークから仮想的に複数のネットワークを切り出してユーザーに提供することを可能にする。

　特許文献２はオープンフローコントローラの制御負荷を削減する技術を開示しており、オープンフローネットワークを階層化する技術について記述がある。特許文献２において、一つ以上のオープンフローネットワークが存在する場合、物理的なオープンフローネットワークを制御する各オープンフローコントローラ（以降下位コントローラと記述）をさらに制御する上位のオープンフローコントローラ（以降上位コントローラと記述）を備える構成が記載されている。各下位コントローラは、自身が制御するネットワークを一つの仮想的なスイッチとして上位コントローラに通知する。各下位コントローラは、上位コントローラからのフロー制御を受け取ることによってネットワークの階層化を実現し、複数のオープンフローネットワークを一つのネットワークとして統合し、制御する。

　非特許文献４は、上記非特許文献３、特許文献２に記載のスライシング、階層化を含む複数の仮想化技術を組み合わせてオープンフローネットワークに適用するアーキテクチャーについて開示している。非特許文献４では、ネットワークの仮想化を行うコンポーネントとして、Ａｇｇｒｅｇａｔｏｒ（縮約機能）、Ｓｌｉｃｅｒ（切り出し機能）、Ｆｅｄｅｒａｔｏｒ（結合機能）が定義されている。非特許文献４は、これらを再帰的にネットワークへ適用することで、物理的なオープンフロースイッチで構成されるネットワークを多様な構成に変換し制御するアーキテクチャーを提案している。

　また、非特許文献５は、上記非特許文献４で記述されているアーキテクチャーをオープンフローネットワークだけでなく、ＶＸＬＡＮ（Virtual eXtensible Local Area Network）など他のネットワーク制御技術上で実現する技術を開示している。

　さらに、上記仮想化技術をネットワークに適用する際に問題となる、トラフィック処理規則の検証手段についても提案がなされている。

　非特許文献６は、オープンフローネットワークに設定されたトラフィック処理規則によって対象のトラフィックが指定通り転送されることを検証する技術について開示している。非特許文献６では、トラフィック処理規則中のトラフィック識別条件に該当するパケットヘッダの集合が幾何学的に識別子空間として表現されている。そして転送経路上のオープンフロースイッチに設定されるトラフィック処理規則の識別子空間が一致するか、もしくは共通部分空間を持つかを検査することで想定通りのトラフィック制御が実現されるかの検証が行われている。また、既に設定済みの他のトラフィック処理規則と識別子空間が競合するか否かを同時に検査することによって、ネットワーク全体として意図したトラフィック制御が行われていることが検証される。

　非特許文献７には、仮想ネットワークにおいて設定されたトラフィック処理規則が意図したとおりに設定されているか、他の仮想ネットワークにおけるトラフィック処理規則と衝突を生じないかを検証する技術についての記述がある。トラフィック処理規則の有効性は、トラフィック処理規則に使用できるトラフィック識別条件を二分決定木で表現し、設定済みのトラフィック処理規則中のトラフィック識別条件が使用可能な範囲を逸脱していないかを検査することで行われる。

国際公開第２０１４／１２６０９４号 特表２０１３－５２２９３４号公報

Nick McKeownほか７名、"OpenFlow: Enabling Innovation in Campus Networks"、［online］、［平成26年9月17日検索］、インターネット〈URL：http://archive.openflow.org/documents/openflow-wp-latest.pdf〉 "OpenFlow Switch Specification" Version 1.0.0. (Wire Protocol 0x01) "、[online]、［平成26年9月17日検索］ 、インターネット〈URL：https://www.opennetworking.org/images/stories/downloads/sdn-resources/onf-specifications/openflow/openflow-spec-v1.0.0.pdf〉 Sherwood, Rob, et al. "Carving research slices out of your production networks with OpenFlow." ACM（Association for Computing Machinery） SIGCOMM Computer Communication Review 40.1 (2010): 129-130. 小出俊夫, 芦田優太, and 下西英之. "SDN コントローラ作成のシンプル化を実現するネットワーク抽象化モデル (ICT システムを高度化する SDN 特集)--(NEC SDN Solutions を支える最新技術)." NEC 技報、 日本電気株式会社、 Vol.66 No.2 (2014): p.32-35. 飯澤洋平, 森本昌治, and 下西英之. "ヘテロジニアス網統合制御基盤を実現するマルチレイヤ抽象化技術 (ICT システムを高度化する SDN 特集)--(NEC SDN Solutions を支える最新技術)." NEC 技報、 日本電気株式会社、 Vol.66 No.2 (2014): p.44-47. Kazemian, Peyman, George Varghese, and Nick McKeown. "Header Space Analysis: Static Checking for Networks." 9th USENIX Symposium on Operating Systems Design and Implementation(NSDI). 2012. Al-Shaer, Ehab, and Saeed Al-Haj. "FlowChecker: Configuration analysis and verification of federated OpenFlow infrastructures." Proceedings of the 3rd ACM workshop on Assurable and usable security configuration. ACM, 2010.

　なお、上記先行技術文献の各開示を、本明細書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

　上述の通り、オープンフローのようなネットワーク制御技術を用い、ネットワークを仮想化することで複数のユーザーの要求に応じたトラフィックの処理規則を設定することができる。しかしながら、これらのトラフィック処理規則は最終的に共通の物理ネットワークへ設定されることになるが、各仮想ネットワークの処理規則が矛盾する規則であった場合、トラフィックが意図しない制御を受けてしまうことが考えられる。非特許文献４のようにネットワークを複雑に仮想化していった場合、設定されるトラフィック処理規則が多様になるため処理規則間の矛盾が発生する確率が高まる。

　非特許文献３に記載の技術を用いることで、ユーザーごとに許可したトラフィック種別のみを制御するよう制約を付けることができる。許可範囲を逸脱するようなトラフィック処理規則の設定が指示された場合には、物理ネットワークに設定する前に修正もしくは拒否することによってトラフィック処理規則の排他制御が実現される。しかしながら、非特許文献３に記載の技術は、このトラフィック種別情報そのものの検証手段を持たず、ユーザーごとの使用可能トラフィック種別設定が衝突している場合、意図した制御が実行できない。また、トラフィック処理規則の排他制御はオープンフローコントローラからの設定指示送信を契機に行われるため、事前に他の規則と衝突を起こさない処理規則を計算することができない。

　非特許文献６、７に記載の技術を用いることで、設定されたトラフィック処理規則が仮想ネットワーク間で矛盾を発生させていないか、意図した制御が実現可能かを検証することが可能である。しかし、本技術も非特許文献３と同様に、登録情報の検証や、衝突を回避する処理規則の事前計算を行うことができない。

　以上から、本開示は、仮想ネットワーク間でトラフィック処理規則の衝突を事前に回避するために必要な、使用可能なトラフィック識別条件の計算及び情報開示手段を提供することを目的とする。

　本開示の第１の視点によれば、通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードと、前記物理ノードを用いて複数の仮想ネットワークを構築する第一の制御装置と、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置と、を含み、前記第一の制御装置は、所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、割り当てた前記識別子の集合を前記第二の制御装置に通知する、ネットワークシステムが提供される。

　本開示の第２の視点によれば、通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを用いて複数の仮想ネットワークを構築し、所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する、制御装置が提供される。

　本開示の第３の視点によれば、通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを用いて複数の仮想ネットワークを構築し、所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する制御方法が提供される。

　本開示の第４の視点によれば、通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを制御する制御装置に搭載されたコンピュータに、前記物理ノードを用いて複数の仮想ネットワークを構築する処理と、所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当てる処理と、割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する処理と、を実行させるためのプログラムが提供される。

　なお、このプログラムは、コンピュータが読み取り可能な記録媒体に記録することができる。記録媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本開示は、コンピュータプログラム製品として具現することも可能である。

　本開示の各視点によれば、仮想ネットワーク間でトラフィック処理規則の衝突を事前に回避することに寄与するネットワークシステム、制御装置、制御方法及びプログラムが提供される。

図１は、一実施形態の概要を説明するための図である。 図２は、第一の実施形態におけるシステム構成の一例を示している。 図３は、第一の実施形態における第一の制御装置の構成例を示している。 図４は、第一の実施形態における第二の制御装置の構成例を示している。 図５は、第一の実施形態における第三の制御装置の構成例を示している。 図６は、第一の実施形態における第四の制御装置の構成例を示している。 図７は、第一の実施形態において第一の制御装置によって計算される識別子空間を例示している。 図８は、第一の実施形態における収容トラフィック条件を例示している。 図９は、第一の実施形態における収容トラフィック条件の重複を例示している。 図１０は、第一の実施形態において第二の制御装置によって計算される識別子空間を例示している。 図１１は、第一の実施形態において第三の制御装置に開示される二つのネットワークの識別子空間を例示している。 図１２は、第一の実施形態において、第三の制御装置によって計算される識別子空間を例示している。 図１３は、第二の実施形態において、第二の制御装置によって計算される識別子空間を例示している。 図１４は、第二の実施形態において、第二の制御装置によって修正された識別子空間を例示している。 図１５は、第二の実施形態において、第三の制御装置によって修正された識別子空間を例示している。 図１６は、第三の実施形態における第一の制御装置の構成を例示している。 図１７は、第三の実施形態における第二の制御装置の構成を例示している。 図１８は、第三の実施形態における第三の制御装置の構成を例示している。 図１９は、第三の実施形態において、第四の制御装置に開示される識別子空間を例示している。 図２０は、第三の実施形態において、第四の制御装置によって設定されるトラフィック処理規則に含まれるトラフィック識別条件を例示している。 図２１は、第三の実施形態において、第三の制御装置によって修正されたトラフィック識別条件を例示している。 図２２は、第四の実施形態において、第三の制御装置に開示される識別子空間を例示している。 図２３は、第四の実施形態において、第三の制御装置によって計算される識別子空間を例示している。 図２４は、制御装置を実現するコンピュータの構成の一例を示す。

　初めに、一実施形態の概要について説明する。なお、この概要に付記した参照符号は、理解を助けるための一例として各要素に便宜上付記したものである。この概要の記載は、なんらの限定を意図するものではない。また、構成要素間に記載された矢印は、情報の流れの一例を示すにすぎず、情報の流れを特定の方向に限定することを意図するものではない。

　図１を参照すると、一実施形態に係るネットワークシステムは、物理ノード１００と、第一の制御装置１０１と、第二の制御装置１０２と、を含む。物理ノード１００は、通信トラヒックを処理するための処理規則に基づいて、当該処理規則に含まれる識別条件により識別される通信トラヒックを処理する。第一の制御装置１０１は、物理ノード１００を用いて複数の仮想ネットワークを構築する。第二の制御装置１０２は、複数の仮想ネットワークの各々に割り当てられる。第一の制御装置１０１は、所定の条件に基づいて、識別条件として使用可能な識別子の集合を複数の仮想ネットワークの各々に割り当て、割り当てた識別子の集合を第二の制御装置１０２に通知する。

　図１のネットワークシステムにおいて、第一の制御装置１０１は、複数の仮想ネットワークを構築すると共に、それぞれの仮想ネットワークにて使用可能な識別子の集合（後述する識別子空間）を割り当てる。当該割り当てられた識別子の集合は、各仮想ネットワークを制御する第二の制御装置１０２に提供される。第二の制御装置１０２は、提供された識別子の集合に適合するようにトラフィック制御指示（フロー設定指示）を行い、又は、識別子の集合に適合しない第二の制御装置１０２の上位装置から指示されたトラフィック制御指示を拒否することで、識別条件の衝突が回避できる。

　一実施形態に係るネットワークシステムは、ネットワークを多様に仮想化する場合に、それぞれの仮想ネットワークにおいて許容されるトラフィック識別条件を他の仮想ネットワークとの衝突を防止するよう計算し、トラフィック処理規則を計算する機器を提供できる。

　以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。

[第一の実施形態]

　図２は、第一の実施形態に係るシステム全体の構成例を示す図である。図２を参照すると、ノード１－１～１－３から構成されるネットワーク３－１と、ノード１－４～１－６から構成されるネットワーク３－２と、が相互に接続されている。さらに、ノード１－１、１－２、１－５及び１－６のそれぞれには、端末２が接続されている。また、ネットワーク３－１は、制御装置１０－１によって直接に管理されている。ネットワーク３－２は、制御装置１０－２によって直接に管理されている。

　制御装置１０－１、１０－２は、自身の管理するネットワークの情報を他の制御装置に提供し、制御下に入る。制御装置２０は、制御装置１０－１の情報から二つの仮想ネットワークを構築し、制御装置４０－１及び制御装置３０に仮想ネットワーク情報を提供する。

　制御装置２０は、制御装置４０－１からの制御指示と制御装置３０からの制御指示を制御装置１０－１へ受け渡すとともに、制御装置１０－１からの情報を条件によって制御装置４０－１、制御装置３０に振り分ける機能を持つ。

　制御装置３０は、制御装置１０－２及び制御装置２０からのネットワーク情報を結合し、単一のネットワーク情報を制御装置４０－２へ提供する。また、制御装置３０は、制御装置４０－２からの制御指示を分割し、制御装置１０－２及び制御装置２０へ分配する機能を持つ。

　制御装置４０は、受け取ったネットワーク情報から該当ネットワークへ設定すべきフローを計算し、下位の制御装置へ送信する。

　次に、図３～６を用いて、制御装置１０、２０、３０、４０の構成例について説明する。

　図３を参照すると、制御装置１０は、ノード通信部１１と、ノード制御メッセージ処理部１２と、処理規則計算部１３と、ネットワーク情報管理部１４と、識別子空間計算部１５と、制御装置間メッセージ処理部１６と、制御装置通信部１７と、で構成されている。

　ノード通信部１１は、ノード１と接続し通信を行う。

　ノード制御メッセージ処理部１２は、ノード１から受信した情報を解析し、他の機能部へ振り分ける。ノード制御メッセージ処理部１２は、他の機能部からの情報をノード１の制御用メッセージへ変換し、ノード通信部１１へ送信する。

　処理規則計算部１３は、ネットワーク情報管理部１４からの情報に基づいてノード１に設定指示する処理規則を計算し、ノード制御メッセージ処理部１２へ送信する。

　ネットワーク情報管理部１４は、制御装置１０の管理するネットワークの情報を管理し、ノード１からの情報や、制御装置２０もしくは３０からの情報に基づき情報を更新する。ネットワーク情報管理部１４は、更新情報を制御装置２０、３０やノード１へ通知する。

　識別子空間計算部１５は、ネットワーク情報管理部１４の保持しているネットワーク情報に基づき、制御装置１０の管理するネットワークで、フローのトラフィック識別条件として使用可能な識別子の空間を計算し、保持する。識別子空間計算部１５は、フローのトラフィック識別条件として使用可能な識別子の空間をネットワーク情報管理部１４に通知する。

　制御装置間メッセージ処理部１６は、他の機能部からの要請に基づき、制御装置２０、３０へ情報を送信するメッセージを作成する。制御装置間メッセージ処理部１６は、制御装置２０、３０から受信した情報を解析し、他の機能部へ振り分ける。

　制御装置通信部１７は、制御装置２０、３０との通信を管理する。

　また、処理規則計算部１３は、自身が計算済みの処理規則と、その計算のもとになったフロー情報を記憶するフローデータベース（フローＤＢ；Data Base）１３１を含む。ネットワーク情報管理部１４は、制御装置１０が管理するネットワークの情報、すなわち、ネットワークトポロジやノード１の情報、ネットワークに設定すべきフローの情報などを記憶するネットワークデータベース（ネットワークＤＢ）１４１を含む。識別子空間計算部１５は、自身の計算した識別子空間を記憶する識別子空間データベース（識別子空間ＤＢ）１５１を含む。

　図４を参照すると、制御装置２０は、ネットワークスライス部２１と、識別子空間計算部２２と、ネットワーク情報管理部２３と、制御装置間メッセージ処理部２４と、制御装置通信部２５と、で構成されている。

　ネットワークスライス部２１は、制御装置１０より受信したネットワーク情報（すなわち、仮想化の基となる下位ネットワーク情報）と、仮想ネットワークに収容すべきトラフィックの識別条件と、に基づき、複数の仮想ネットワーク情報を計算する。さらに、ネットワークスライス部２１は、下位ネットワークからの情報を、該当する仮想ネットワーク情報を管理するネットワーク情報管理部２３に伝達する、あるいは制御装置３０もしくは４０からの情報を制御装置間メッセージ処理部２４に伝達する。

　識別子空間計算部２２は、下位ネットワーク情報とそれに含まれる識別子空間に基づき、各仮想ネットワークにおいてフローのトラフィック識別条件として使用可能な識別子空間を計算し、仮想ネットワークの識別子空間として保存する。識別子空間計算部２２は、仮想ネットワークの識別子空間を、該当する仮想ネットワークの情報を管理するネットワーク情報管理部２３へ通知する。

　ネットワーク情報管理部２３は、下位ネットワーク情報と、仮想ネットワークに対応するネットワーク情報を管理する。

　制御装置間メッセージ処理部２４は、他の機能部からの要請に基づき、制御装置１０、３０、４０へ情報を送信するメッセージを作成する。制御装置間メッセージ処理部２４は、制御装置１０、３０、４０から受信した情報を解析し、他の機能部へ振り分ける。

　制御装置通信部２５は、制御装置１０、３０、４０との通信を管理する。

　また、ネットワークスライス部２１は、情報振り分け部２１１と、収容トラフィック条件データベース（収容トラフィック条件ＤＢ）２１２と、を含む。情報振り分け部２１１は、収容トラフィック条件データベース２１２の情報に基づいて、制御装置１０、３０、４０からの情報を該当するネットワーク情報を管理するネットワーク情報管理部２３へ振り分ける。収容トラフィック条件データベース２１２は、仮想ネットワークに収容すべきトラフィックの識別条件を保存（記憶）する。

　さらに、識別子空間計算部２２は、自身の計算した識別子空間を記憶する識別子空間データベース２２１を含む。ネットワーク情報管理部２３は、下位のネットワーク情報や仮想ネットワーク情報を保存するネットワークデータベース２３１を含む。

　なお、ネットワーク情報管理部２３は、下位のネットワーク及び仮想ネットワーク毎に独立に存在してもよい。また、ネットワーク情報管理部２３は単一であるがネットワークデータベース２３１はネットワーク毎に独立に存在してもよい。あるいは、ネットワークデータベース２３１が単一であって、ネットワークデータベース２３１の内部の独立した領域にネットワーク情報を管理してもよい。さらに、ネットワーク情報管理部２３は、下位ネットワーク情報を持たず、必要に応じて下位ネットワークの制御装置から取得する方法や、下位ネットワークの制御装置から通知される情報を用いる方法を採用してもよい。

　収容トラフィック条件データベース２１２に記憶する情報は、運用者やユーザーによって外部より登録されてもよいし、起動時に設定するなど任意の情報登録手段を用いることができる。即ち、制御装置２０は、仮想ネットワークに収容すべき通信トラヒックを識別する識別条件（収容トラフィック識別条件）を予め保持し、当該予め保持する識別条件に基づいて、仮想ネットワークにおいて使用可能な識別子の集合を管理できる。

　図５を参照すると、制御装置３０は、ネットワーク結合部３１と、識別子空間計算部３２と、ネットワーク情報管理部３３と、制御装置間メッセージ処理部３４と、制御装置通信部３５と、で構成されている。

　ネットワーク結合部３１は、複数の下位ネットワーク情報を結合して単一の仮想ネットワーク情報を計算する。詳細には、ネットワーク結合部３１は、制御装置１０、２０より受信したネットワーク情報（仮想化の基となる下位ネットワーク情報）と、ネットワーク境界データベース３１２に記憶されている下位ネットワーク同士の境界情報とに基づいて計算を実行する。さらに、ネットワーク結合部３１は、下位ネットワークからの情報を、該当する仮想ネットワーク情報を管理するネットワーク情報管理部３３に伝達する。あるいは、ネットワーク結合部３１は、制御装置４０からの情報を制御装置間メッセージ処理部３４に伝達する。

　識別子空間計算部３２は、下位ネットワーク情報と、それに含まれる識別子空間に基づき、仮想ネットワークにおいてフローのトラフィック識別条件として使用可能な識別子空間を計算し、仮想ネットワークの識別子空間として保存する。識別子空間計算部３２は、仮想ネットワークの識別子空間を、該当する仮想ネットワークの情報を管理するネットワーク情報管理部３３へ通知する。

　ネットワーク情報管理部３３は、下位ネットワーク情報と、仮想ネットワークに対応するネットワーク情報を管理する。

　制御装置間メッセージ処理部３４は、他の機能部からの要請に基づき、制御装置１０、２０、４０へ情報を送信するメッセージを作成する。制御装置間メッセージ処理部３４は、制御装置１０、２０、４０から受信した情報を解析し、他の機能部へ振り分ける。

　制御装置通信部３５は、制御装置１０、２０、４０との通信を管理する。

　また、ネットワーク結合部３１は、制御指示分解部３１１と、ネットワーク境界データベース（ネットワーク境界ＤＢ）３１２と、を含む。制御指示分解部３１１は、ネットワーク境界データベース３１２の情報に基づいて、制御装置４０からの情報を分解し、該当するネットワーク情報を管理するネットワーク情報管理部３３へ分配する。ネットワーク境界データベース３１２は、下位ネットワークを結合する境界に関する情報、すなわちネットワーク間リンクなどの情報を保存（記憶）する。

　識別子空間計算部３２は、自身の計算した識別子空間を記憶する識別子空間データベース（識別子空間ＤＢ）３２１を含む。ネットワーク情報管理部３３は、下位のネットワーク情報や仮想ネットワーク情報を保存するネットワークデータベース（ネットワークＤＢ）３３１を含む。

　ネットワーク情報管理部３３は、下位ネットワーク情報を持たず、必要に応じて下位ネットワークの制御装置から取得する方法や、下位ネットワークの制御装置から通知される情報を用いる方法を採用してもよい。あるいは、ネットワーク境界データベース３１２に記憶する情報は、運用者やユーザーによって外部より登録されてもよいし、起動時に設定するなど任意の情報登録手段を用いることができる。

　図６を参照すると、制御装置４０は、フロー計算部４１と、ネットワーク情報管理部４２と、制御装置間メッセージ処理部４３と、制御装置通信部４４と、で構成されている。

　フロー計算部４１は、制御装置２０、３０より受信したネットワーク情報（すなわち、フロー制御の対象となる下位ネットワーク情報）をネットワーク情報管理部４２より取得し、下位ネットワークに設定すべきフローを計算する。

　ネットワーク情報管理部４２は、下位ネットワーク情報を管理する。

　制御装置間メッセージ処理部４３は、他の機能部からの要請に基づき、制御装置２０、３０へ情報を送信するメッセージを作成する機能、および制御装置２０、３０から受信した情報を解析し、他の機能部へ振り分ける機能を持つ。

　制御装置通信部４４は、制御装置２０、３０との通信を管理する。

　また、フロー計算部４１は、自身の計算したフローを記憶するフローデータベース（フローＤＢ）４１１を含む。ネットワーク情報管理部４２は、下位のネットワーク情報や仮想ネットワーク情報を保存するネットワークデータベース（ネットワークＤＢ）４２１を含む。

　ネットワーク情報管理部４２は、下位ネットワーク情報を持たず、必要に応じて下位ネットワークの制御装置から取得する方法や、下位ネットワークの制御装置から通知される情報を用いる方法を採用してもよい。

　なお、制御装置１０、２０、３０、４０に含まれるネットワークデータベース１４１、２３１、３３１、４２１は、ネットワーク情報だけでなく端末２に関する情報を保持してもよい。また、ネットワーク情報管理部１４、２３、３３、４２は、制御装置１０、２０、３０、４０の内部でなく、任意の情報通信手段によって接続される外部装置として別個に存在してもよい。

　図３～６に記載の、制御装置１０、２０、３０、４０の接続先となる制御装置は、図２のシステム構成に従ったものであり、制御装置の接続関係を変更する場合はそれに準じた接続先となる。

　図３～６に記載の構成を持つ制御装置によって図２に示される通信システムを構成する場合、トラフィックの処理方法であるフローを計算する装置は、最上位に接続された制御装置４０である。従って、制御装置４０が計算し、設定を指示したフローは、制御の媒介をする各制御装置においてフローに含まれるトラフィック識別条件が許容可能であるか検査される。

　制御装置１０、２０、３０は、それぞれ上位に接続されている制御装置２０、３０、４０が制御指示を行うことが可能なトラフィックの識別条件の集合（以降、識別子空間と記述する）を保持しており、制御装置２０、３０、４０へ開示（提供）している。制御装置１０、２０、３０は、上記識別子空間に該当しないトラフィック制御指示（以降、フロー設定指示と記述する）が制御装置２０、３０、４０より送信された場合、許容可能なフロー設定指示ではない旨を含むエラー通知を返答する。制御装置１０、２０、３０は、エラー通知を返答することで、各制御装置からのフロー設定が衝突しないことを保証する。

　あるいは、制御装置４０が、直下の制御装置である制御装置２０、３０により規定される識別子空間を事前に取得し、その空間に適合するようなフロー設定指示を計算し、制御装置２０、３０へ送信することでフロー設定衝突の回避を保証してもよい。制御装置２０、３０が開示する識別子空間には、それより下位の制御装置における識別子空間が反映されているため、最下位の制御装置１０に至るまで許容されることが保証できる。

　以降、制御装置１０、２０、３０における識別子空間の計算方法について説明する。

　第一の実施形態において、識別子空間は、ノードに対応する物理機器が使用可能なトラフィック識別条件に基づいて計算される。オープンフロー（スペック１．０）を例にすると、送信元ＭＡＣ（Media Access Control）アドレス、宛先ＭＡＣアドレス、ＶＬＡＮ（Virtual Local Area Network）　ＩＤ、ＶＬＡＮプライオリティ、Ｌ２フレームタイプ、ＩＰ　ＴｏＳ（Internet Protocol　Type of Service）、ＩＰプロトコル番号、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元Ｌ４ポート番号及び宛先Ｌ４ポート番号の１１種のパケットヘッダ情報とパケットの入力ポートの１２種のフィールドが基となる。複数の機種が混在している場合は、各機種が対応可能な識別条件から識別子空間が計算される。以降、送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＩＰアドレスに限定した例を説明する。

　制御装置１０においては、ノードに対応する装置がトラフィック処理規則として利用可能な識別条件の集合が識別子空間となる。本実施形態では、識別子空間に入力ポート及び入力ノードの情報を含まず、場所によらずネットワーク全体で一つの識別子空間を共有する方法を示す。そのため、制御装置１０における識別子空間計算は、各フィールドにおいて許容される最小値から最大値までの全ての値を含む識別子空間となる。

　図７に制御装置１０によって計算される識別子空間表現の例を示す。図７では、仕様上使用可能なすべての値を「ａｎｙ」として表現している。なお、異種の機器が混在している場合、各機器で使用可能な識別条件の積集合を計算し、識別子空間とする。仮に、送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、送信元ＩＰアドレス及び送信先ＩＰアドレスが識別可能なノードと、送信元ＭＡＣアドレス及び宛先ＭＡＣアドレスが識別可能なノードとが混在している場合、両者の積である送信元ＭＡＣアドレス、宛先ＭＡＣアドレスフィールドの任意の値集合がネットワークの識別子空間となる。

　次に、制御装置２０における識別子空間の計算方法について説明する。

　制御装置２０は、ネットワークを複数の仮想ネットワークに切り出すため、仮想ネットワーク間で識別子空間が独立となるように計算することで、トラフィック制御の衝突回避を保証する。

　例えば、図２の構成において、ネットワーク３－１は制御装置１０－１によって等価なネットワークに仮想化され、制御装置１０－１におけるネットワークデータベース１４１にネットワーク情報が保存される。制御装置２０は、このネットワーク情報をもとに二つの仮想ネットワークを生成し、制御装置４０－１と制御装置３０に提供する。その際、制御装置２０は、制御装置４０－１及び制御装置３０に提供するネットワークに収容すべきトラフィックの識別条件に基づき、識別子空間を計算する。

　トラフィック識別条件は、例えば、システム構成時に運用者やユーザーによって設定され、制御装置２０における収容トラフィック条件データベース２１２に保存される。

　図８にトラフィック収容条件の例を示す。図８では、宛先ＭＡＣアドレスが「００：００：００：００：００：０１」から「００：００：００：００：００：０ｆ」のトラフィックが制御装置４０－１に提供される仮想ネットワーク１に収容されるように設定されている。また、送信先ＩＰアドレスが「１９２．１６８．０．１」から「１９２．１６８．０．９」のトラフィックが制御装置３０に提供される仮想ネットワーク２に収容されるよう設定されている。また、仮想ネットワーク１への振り分けが高優先度（１）、仮想ネットワーク２への振り分けが低優先度（２）となっている。

　制御装置２０は、この収容トラフィック条件をもとに識別子空間を計算する。例えば、この収容トラフィック条件をそのまま仮想ネットワーク１、２の識別子空間にした場合、宛先ＭＡＣアドレスが「００：００：００：００：００：０１」から「００：００：００：００：００：０ｆ」、且つ、送信先ＩＰアドレスが「１９２．１６８．０．１」から「１９２．１６８．０．９」の範囲であるトラフィック識別条件は、衝突することになる。

　上記の衝突を引き起こす識別子空間の重複を図９に示す。図９において、横軸が宛先IPアドレスの値、縦軸が宛先ＭＡＣアドレスの値を表しており、送信元ＩＰアドレス、送信元ＭＡＣアドレスは省略されている。黒で塗りつぶされた領域が仮想ネットワーク１の識別子空間を、白抜きの領域が仮想ネットワーク２の識別子空間を示しており、両者が重なっている部分が識別子空間の重複である。このような重複を回避するため、制御装置２０は、優先度が低い仮想ネットワーク２の識別子空間を削減し、仮想ネットワーク２の識別子空間において禁止領域として表現する。

　制御装置２０によって計算される識別子空間を図１０に示す。なお、φは空集合を示す。仮想ネットワーク１の識別子空間は、図８の収容トラフィック条件と同一の許可領域をもち、禁止領域はすべて空集合である。仮想ネットワーク２の識別子空間は、許可空間として収容トラフィック条件と同一の範囲を持つが、禁止領域として仮想ネットワーク１と共通（重複）する部分である宛先ＭＡＣアドレスが「００：００：００：００：００：０１」から「００：００：００：００：００：０ｆ」を持つ。この計算によって、互いに独立な識別子空間が制御装置４０－１、３０に開示される。

　最後に、制御装置３０における識別子空間計算について説明する。

　制御装置３０では、制御装置２０と制御装置１０－２に対応する下位ネットワークを結合し、一つの上位ネットワークとすることで複数のネットワークを統合して制御することを可能にする。そのため、制御装置３０は、二つの下位ネットワークの識別子空間を統合して上位ネットワークの識別子空間とする。

　図１１に制御装置２０と１０－２がそれぞれ開示する識別子空間を示す。図１１において、仮想ネットワーク２の識別子空間は、許可領域として送信先ＩＰアドレスが「１９２．１６８．０．１」から「１９２．１６８．０．９」を持つ。また、仮想ネットワーク２の識別子空間は、禁止領域として宛先ＭＡＣアドレスが「００：００：００：００：００：０１」から「００：００：００：００：００：０ｆ」を持つ。仮想ネットワーク３（制御装置１０－２に提供されるネットワーク）の識別子空間は、許可領域として宛先ＭＡＣアドレスが「００：００：００：００：００：１１」から「００：００：００：００：００：１ｆ」を持ち、禁止領域として空集合を持つ。

　制御装置３０は、これらの識別子空間を結合するため、本実施形態では二つの空間で許可領域では積を、禁止領域では和を計算して制御装置４０－２に提供される仮想ネットワーク４の識別子空間とする。

　図１２に仮想ネットワーク４の識別子空間を示す。図１２のように許可領域として仮想ネットワーク２の許可領域と仮想ネットワーク３の許可領域の積である、送信先ＩＰアドレスが「１９２．１６８．０．１」から「１９２．１６８．０．９」の範囲、且つ、宛先ＭＡＣアドレスが「００：００：００：００：００：１１」から「００：００：００：００：００：１ｆ」の範囲が計算される。また、禁止領域として仮想ネットワーク２の禁止領域と仮想ネットワーク３の禁止領域（空集合）の和である宛先ＭＡＣアドレスが「００：００：００：００：００：０１」から「００：００：００：００：００：０ｆ」の範囲が計算される。

　以上のように、第一の実施形態では、上記の識別子空間計算において、許可領域の積と禁止領域の和を取ることで、下位では別個のネットワークであるような結合ネットワークにおいてエンドツーエンドで共通して使用可能な識別子空間を計算及び開示する。これにより、第一の実施形態では、ネットワークを跨ってもフローが有効となるトラフィック識別条件の領域を示している。また、各制御装置が識別子空間を計算することによって、各仮想ネットワークにおいて他のネットワークと衝突せずに使用可能な識別子空間が定義され、各制御装置へ提供される。

　さらに、トラフィック識別条件を受け取った制御装置が、この識別子空間を用いて照合し、許容不可である場合はその旨をエラーとして通知する（拒否通知を送信する）ことで、トラフィック識別条件の衝突が最終的に回避される。より具体的には、各制御装置の制御装置間メッセージ処理部が、上位の制御装置から処理規則の設定の要求を受信した場合に、設定を要求された当該処理規則に用いる識別子が当該処理規則の識別条件として使用可能な識別子の集合に含まれないことに応じて、当該処理規則を設定できない旨を示す拒否通知を送信する。あるいは、制御装置が事前に識別子空間を取得し、それに対応するトラフィック識別条件を計算することで、トラフィック識別条件の衝突を最終的に回避してもよい。

［第二の実施形態］
　続いて、第二の実施形態について述べる。

　始めに、本実施形態における制御装置２０の動作について説明する。本実施形態において、制御装置２０は第一の実施形態と同様に、図８のような収容トラフィック条件を保持している。制御装置２０はこの条件に基づき制御装置４０－１に提供される仮想ネットワーク１、制御装置３０に提供される仮想ネットワーク２に対する識別子空間を図１３のように計算する。

　図１３を参照すると、第二の実施形態において、制御装置２０は、禁止領域を計算せず、収容トラフィック条件の重複領域である宛先ＭＡＣアドレスが「００：００：００：００：００：０１」から「００：００：００：００：００：０ｆ」、且つ、送信先ＩＰアドレスが「１９２．１６８．０．１」から「１９２．１６８．０．９」の範囲は仮想ネットワーク１、２ともに許可領域として扱われ、制御装置４０－１、３０に開示される。

　しかしながら、このままでは、仮想ネットワーク１と２の間でフローの衝突が発生し得る。そのため、制御装置２０は先に使用されたトラフィック識別条件を他の仮想ネットワークにおける禁止領域とすることによって、使用順序に基づく衝突回避を行う。

　例えば、制御装置４０－１が、送信元ＭＡＣアドレス＝００：００：００：００：００：２１、宛先ＭＡＣアドレス＝００：００：００：００：００：０１、送信元ＩＰアドレス＝１９２．１６８．１０．１、送信先ＩＰアドレス＝１９２．１６８．０．１のトラフィック識別条件をもつフローを制御装置２０へ設定指示したとする。この場合、制御装置２０は、フローが重複領域に該当するか検査し、該当する場合、重複領域を構成するフィールド、すなわち宛先ＭＡＣアドレスと送信先ＩＰアドレスの値を他の仮想ネットワークである仮想ネットワーク２の禁止領域に追加する。上記禁止領域への追加の結果、図１４のような識別子空間へ書き換えられることになる。

　さらに、制御装置３０は、制御装置２０により書き換えられた識別子空間に基づき、自身が計算し制御装置４０－２へ開示済みの識別子空間を、図１５のように更新する。

　以上のように、第二の実施形態では、重複する識別子空間を利用状況に応じて禁止領域として伝播させることによって、システム全体でトラフィック識別条件の衝突が発生することを回避しながら、禁止領域が必要以上に増大することを防止する。

［第三の実施形態］
　続いて、第三の実施形態について述べる。

　図１６は、第三の実施形態における制御装置１０の構成を例示している。図１６において、制御装置１０の構成は、第一及び第二の実施形態と一部を除いて同様であり、処理規則計算部１３が第一、第二の実施形態と異なる。

　処理規則計算部１３は、フローデータベース（フローＤＢ）１３１と、識別条件修正部１３２と、を含む。フローデータベース１３１は、自身（処理規則計算部１３）が計算済みの処理規則と、その計算のもとになったフロー情報を記憶する。識別条件修正部１３２は、識別子空間計算部１５に含まれる識別子空間データベース１５１の情報に合わせて、制御装置２０、３０から指示されたフローのトラフィック識別条件を修正する。

　図１７は、第三の実施形態における制御装置２０の構成を例示している。図１７において、制御装置２０の構成は第一及び第二の実施形態と一部を除いて同様であり、ネットワークスライス部２１が第一、第二の実施形態と異なる。

　ネットワークスライス部２１は、情報振り分け部２１１と、収容トラフィック条件データベース（収容トラフィック条件ＤＢ）２１２と、識別条件修正部２１３と、を含む。情報振り分け部２１１は、収容トラフィック条件データベース２１２の情報に基づいて、制御装置１０、３０、４０からの情報を該当するネットワーク情報を管理するネットワーク情報管理部２３へ振り分ける。収容トラフィック条件データベース２１２は、仮想ネットワークに収容すべきトラフィックの識別条件を保存する。識別条件修正部２１３は、識別子空間計算部２２に含まれる識別子空間データベース２２１の情報に合わせて、制御装置３０、４０から指示されたフローのトラフィック識別条件を修正する。

　図１８は、第三の実施形態における制御装置３０の構成を例示している。図１８において、制御装置３０の構成は第一及び第二の実施形態と一部を除いて同様であり、ネットワーク結合部３１が第一、第二の実施形態と異なる。

　ネットワーク結合部３１は、制御指示分解部３１１と、ネットワーク境界データベース（ネットワーク境界ＤＢ）３１２と、識別条件修正部２１３と、を含む。制御指示分解部３１１は、ネットワーク境界データベース３１２の情報に基づいて、制御装置４０からの情報を分解し、該当するネットワーク情報を管理するネットワーク情報管理部３３へ分配する。ネットワーク境界データベース３１２は、下位ネットワークを結合する境界に関する情報、すなわちネットワーク間リンクなどの情報を保存する。識別条件修正部３１３は、識別子空間計算部３２に含まれる識別子空間データベース３２１の情報に合わせて、制御装置４０から指示されたフローのトラフィック識別条件を修正する。

　第三の実施形態では、制御装置１０、２０、３０は識別条件修正部１３２、２１３、３１３を有することにより、上位の制御装置より指示されたフローのうち、該当する識別子空間と一致しないものの一部を修正し、識別子空間と適合させる処理を行う。当該適合処理では、トラフィック識別条件を構成するフィールドに任意の値を取り得るように指定され、且つ、その部分を限定することによって識別子空間と適合するフローのみが対象となる。

　例えば、制御装置３０が、制御装置４０－２に提供される仮想ネットワーク４の識別子空間を図１９のように提示している場合に、図２０のようなトラフィック識別条件を持つフローが制御装置４０－２より指定されたとする。

　図２０に示すフローは、送信先ＩＰアドレスのフィールドにおいて、図１９の識別子空間と適合せず、識別子空間が指定する領域を超えた値を持っている。このようなフローに対して、制御装置３０は、図１９の識別子空間に従って送信先ＩＰアドレスのフィールドを限定する。当該処理により、図２０のフローは、図２１のように修正される。この処理によって下位の制御装置２０、１０－２には識別子空間に適合したフローが指示されることになる。

　なお、図２１のフローはＩＰアドレス値として、範囲表現を用いているが、制御装置１０、２０、３０、４０が範囲表現を許容する場合は範囲表現のまま用いればよいし、許容されない場合は範囲表現のフローを、ただ一つの値を持つ複数のフローへ分割して表現すればよい。また、制御装置１０は、範囲表現であるフローを受け取った際、ノードが範囲表現を許容しない場合には、上記と同様に、一つの値を持つ複数のフローに分割して設定してもよい。あるいは、この場合、制御装置１０は、いったんフローデータベース１３１にフローを記憶し、この範囲表現に適合する処理規則要求をノードより受信した際に、処理規則要求に含まれるパケットヘッダの値に合わせて一つずつ設定してもよい。

　以上のように、第三の実施形態では、フローのトラフィック識別条件の修正手段が提供されるため、識別子空間に適合しないフローであっても可能な限り設定可能とする運用が可能となる。

［第四の実施形態］
　続いて、第四の実施形態について述べる。

　第四の実施形態における制御装置の構成は、第一の実施形態もしくは第三の実施形態と同様の構成が可能である。第四の実施形態において、ネットワークの識別子空間は、ポートと対応付けて保持される。

　図２２に、制御装置３０に開示される識別子空間の例が示されている。なお、入力ポートのフィールドに記載されているｐ１～ｐ１４は、図２のシステム構成におけるポートのＩＤと一致している。

　第四の実施形態において、制御装置３０が計算する識別子空間は、図２３のようになり、入力ポートの値によって異なる識別子空間が指定されることになる。但し、制御装置２０における識別子空間の計算は第一の実施形態と同様である。

　第四の実施形態において、フローが識別子空間に適合しているかどうかは、フロー中のトラフィック識別条件における入力ポートを含めて検証される。そのため、例えば、ポートｐ１から入力され、ポートｐ１４へ出力されるようなトラフィックを制御するフローは、転送経路の途中で異なる識別子空間を通ることとなる。具体的には、ポートｐ１から入力され、ポートｐ７へ出力されるまで（すなわち、図２のシステム構成におけるネットワーク３－１内）の転送を制御するフローは、図２３中の入力ポートフィールドがポートｐ１～ｐ７となっている許可領域および禁止領域に従って識別条件の検証が行われる。一方、ポートｐ８から入力され、ポートｐ１４に出力されるまで（すなわち、図２のネットワーク３－２内）の転送を制御するフローは、図２３中の入力ポートフィールドがポートｐ８～ｐ１４となっている許可領域および禁止領域に従って検証される。なお、第四の実施形態では説明上、全てのポートのＩＤは、システム全体で一意であるという前提であるため入力ポートフィールドを識別子空間に含んでいる。一方、ポートＩＤが一意でない場合、ノードのＩＤと組み合わせて表現することで一意に識別することも可能である。

　第四の実施形態では、ポート単位で識別子空間を規定できるため、識別子空間を表現するための情報量が増加するが、トラフィック識別条件を転送経路途中で変更する余地が生じ、フロー制御の自由度が向上する。

　第一乃至第四の実施形態で説明した制御装置１０、２０、３０及び４０は、各制御装置に搭載されたコンピュータに、上記説明した各部の処理を実行させるためのコンピュータプログラムにより実現することもできる。

　図２４は、本開示に係る制御装置を実現するコンピュータ４００のハードウェア構成を例示するブロック図である。コンピュータ４００は、ＣＰＵ（Central Processing Unit）４０１と、ＲＯＭ（Read Only Memory）４０２と、ＲＡＭ（Random Access Memory）４０３と、記憶装置４０４と、ドライブ装置４０５と、通信インターフェース４０６と、入出力インターフェース４０７とを有する。本開示に係る制御装置は、図２４に示される構成（又はその一部）によって実現され得る。

　ＣＰＵ４０１は、ＲＡＭ４０３を用いてプログラム４０８を実行する。プログラム４０８は、ＲＯＭ４０２に記憶されていてもよい。また、プログラム４０８は、フラッシュメモリなどの記録媒体４０９に記録され、ドライブ装置４０５によって読み出されてもよいし、外部装置からネットワーク４１０を介して送信されてもよい。通信インターフェース４０６は、ネットワーク４１０を介して外部装置とデータをやり取りする。入出力インターフェース４０７は、周辺機器（入力装置、表示装置など）とデータをやり取りする。通信インターフェース４０６及び入出力インターフェース４０７は、データを取得又は出力する手段として機能することができる。

　なお、本開示に係る制御装置は、単一の回路（プロセッサ等）によって構成されてもよいし、複数の回路の組み合わせによって構成されてもよい。ここでいう回路（circuitry）は、専用又は汎用のいずれであってもよい。

　第一乃至四の実施形態で説明した構成及び動作は例示であって、制御装置等の構成及び動作を限定する趣旨ではない。

　例えば、制御装置２０は、物理ノード１を含む少なくとも１つの通信ネットワーク（例えば、ネットワーク３－１）を管理し、管理する通信ネットワークに含まれる物理ノードの通信インターフェースのうち、管理外の通信ネットワーク（例えば、ネットワーク３－２）と接続する通信インターフェース（ノード１－３のポート７）において使用可能な識別子の集合を算出し、算出した識別子の集合を所定の通信インターフェースと関連付けて管理してもよい。即ち、制御装置２０、３０等は、エッジのポートにおいて使用可能な識別子空間のみを計算し、当該計算した識別子空間をエッジポートに関連付けて保持してもよい。

　制御装置２０は、複数の通信ネットワークの各々に含まれる物理ノードの通信インターフェースにおいて使用可能な識別子の集合の積集合に基づいて、当該物理ノードを用いて構築される仮想ネットワークにおいて使用可能な識別子の集合を算出し、算出した識別子の集合を、複数の通信ネットワークと関連付けて管理してもよい。即ち、制御装置２０、３０等は、通信ネットワークに含まれる全てのノードにおいて共通して使用可能な識別子空間を計算し、当該計算された識別子空間と仮想ネットワークと関連付けて保持するだけでなく、通信ネットワークと関連付けて管理してもよい。

　上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。

［付記１］
　通信トラヒックを処理するための処理規則に基づいて、当該処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードと、
　前記物理ノードを用いて複数の仮想ネットワークを構築する第一の制御装置（例えば、図２の制御装置２０）と、
　前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置（例えば、図２の制御装置４０－１、３０）と、を含み、
　前記第一の制御装置は、
　　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、
　　割り当てた前記識別子の集合を前記第二の制御装置に通知する、ネットワークシステム。
［付記２］
　前記第一又は第二の制御装置は、
　　前記物理ノードに含まれる通信インターフェースごとに、当該通信インターフェースにおいて使用可能な前記識別子の集合を算出し、
　　算出した前記識別子の集合を前記通信インターフェースに関連付けて管理する、付記１に記載のネットワークシステム。
［付記３］
　前記第一又は第二の制御装置は、
　　前記物理ノードの通信インターフェースにおいて使用可能な前記識別子に基づいて、当該物理ノードを用いて構築される仮想ネットワークにおいて使用可能な前記識別子の集合を算出し、
　　算出した前記識別子の集合を、前記物理ノードを用いて構築された前記仮想ネットワークに関連付けて管理する、付記１又は２に記載のネットワークシステム。
［付記４］
　前記第一又は第二の制御装置は、
　　前記物理ノードの通信インターフェースにおいて使用可能な前記識別子の集合の和集合又は積集合に基づいて、当該物理ノードを用いて構築される仮想ネットワークにおいて使用可能な前記識別子の集合を算出する、付記３に記載のネットワークシステム。
［付記５］
　前記第一又は第二の制御装置は、
　　前記仮想ネットワークに対応する第一の通信ネットワークに含まれる物理ノードの通信インターフェースのうち、第二の通信ネットワークと接続する所定の通信インターフェースにおいて使用可能な前記識別子の集合を算出し、
　　算出した前記識別子の集合を前記所定の通信インターフェースと関連付けて管理する、付記２に記載のネットワークシステム。
［付記６］
　前記第一又は第二の制御装置は、
　　前記第一の通信ネットワークに含まれる物理ノードの所定の通信インターフェースにおいて使用可能な前記識別子の集合の和集合又は積集合に基づいて、当該物理ノードを用いて構築される仮想ネットワークにおいて使用可能な前記識別子の集合を算出する、付記５に記載のネットワークシステム。
［付記７］
　前記第一の制御装置は、
　　前記仮想ネットワークに収容すべき通信トラヒックを識別する前記識別条件を予め保持し、
　　予め保持する前記識別条件に基づいて、前記仮想ネットワークにおいて使用可能な前記識別子の集合を管理する、付記１乃至６のいずれか一に記載のネットワークシステム。
［付記８］
　前記第一の制御装置は、
　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合が互いに重複する場合に、前記重複する当該識別子の集合を、当該複数の仮想ネットワークの各々が当該識別子として使用できない使用禁止の識別子の集合として設定する、付記１乃至７のいずれか一に記載のネットワークシステム。
［付記９］
　前記第一の制御装置は、
　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合が互いに重複する場合に、前記重複する集合に含まれる所定の識別子を、前記複数の仮想ネットワークのうち優先度の高い仮想ネットワークにおいて使用可能な識別子として設定する、付記１乃至８のいずれか一に記載のネットワークシステム。
［付記１０］
　前記第一の制御装置は、
　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合が互いに重複する場合に、前記重複する集合に含まれる所定の識別子を、当該所定の識別子を含む前記処理規則が最初に割り当てられた仮想ネットワークにおいて使用可能な識別子として設定する、付記１乃至９のいずれか一に記載のネットワークシステム。
［付記１１］
　前記第一の制御装置は、
　　前記所定の識別子を、当該所定の識別子を含む前記処理規則が割り当てられた前記仮想ネットワーク以外の仮想ネットワークが使用できない識別子として設定する、付記９又は１０に記載のネットワークシステム。
［付記１２］
　前記第一の制御装置は、
　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合を、前記複数の仮想ネットワークごとに独立するように算出する、付記１乃至１１のいずれか一に記載のネットワークシステム。
［付記１３］
　前記第一又は第二の制御装置は、
　　前記処理規則の設定の要求を受信した場合に、設定を要求された当該処理規則に含まれる識別子が当該処理規則の識別条件として使用可能な識別子の集合に含まれないことに応じて、当該処理規則を設定できない旨を示す拒否通知を送信する、付記１乃至１２のいずれか一に記載のネットワークシステム。
［付記１４］
　前記第一又は第二の制御装置は、
　　前記処理規則の設定の要求を受信した場合に、設定を要求された当該処理規則に含まれる識別子を、当該処理規則の識別条件として使用可能な識別子の集合に含まれる識別子に変更する、付記１乃至１３のいずれか一に記載のネットワークシステム。
［付記１５］
　通信トラヒックを処理するための処理規則に基づいて、当該処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを制御する制御装置であって、
　前記物理ノードを用いて複数の仮想ネットワークを構築し、
　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、
　割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する、制御装置。
［付記１６］
　通信トラヒックを処理するための処理規則に基づいて、当該処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードの制御方法であって、
　前記物理ノードを用いて複数の仮想ネットワークを構築するステップと、
　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当てるステップと、
　割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知するステップと、
　を含む制御方法。
［付記１７］
　通信トラヒックを処理するための処理規則に基づいて、当該処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを制御する制御装置に搭載されたコンピュータに実行させるプログラムであって、
　前記物理ノードを用いて複数の仮想ネットワークを構築する処理と、
　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当てる処理と、
　割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する処理と、
　を実行させるプログラム。

　なお、付記１５～１７の形態は、付記１の形態と同様に、付記２の形態～付記１４の形態に展開することが可能である。

　なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本開示は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

　この出願は、２０１５年３月１２日に出願された日本出願特願２０１５－０４９８７０を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１、１－１～１－６　ノード
２　端末
３－１、３－２　ネットワーク
１０－１、１０－２、２０、３０、４０－１、４０－２　制御装置
１１　ノード通信部
１２　ノード制御メッセージ処理部
１３　処理規則計算部
１４、２３、３３、４２　ネットワーク情報管理部
１５、２２、３２　識別子空間計算部
１６、２４、３４、４３　制御装置間メッセージ処理部
１７、２５、３５、４４　制御装置通信部
２１　ネットワークスライス部
３１　ネットワーク結合部
４１　フロー計算部
１００　物理ノード
１０１　第一の制御装置
１０２　第二の制御装置
１３１、４１１　フローデータベース（フローＤＢ）
１３２、２１３、３１３　識別条件修正部
１４１、２３１、３３１、４２１　ネットワークデータベース（ネットワークＤＢ）
１５１、２２１、３２１　識別子空間データベース（識別子空間ＤＢ）
２１１　情報振り分け部
２１２　収容トラフィック条件データベース（収容トラフィック条件ＤＢ）
３１１　制御指示分解部
３１２　ネットワーク境界データベース（ネットワーク境界ＤＢ）

Claims (17)

1. 　通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードと、
   　前記物理ノードを用いて複数の仮想ネットワークを構築する第一の制御装置と、
   　前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置と、を含み、
   　前記第一の制御装置は、
   　　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、
   　　割り当てた前記識別子の集合を前記第二の制御装置に通知する、ネットワークシステム。
2. 　前記第一の制御装置又は前記第二の制御装置は、
   　　前記物理ノードの通信インターフェースごとに、当該通信インターフェースにおいて使用可能な前記識別子の集合を算出し、
   　　算出した前記識別子の集合を前記通信インターフェースに関連付けて管理する、請求項１に記載のネットワークシステム。
3. 　前記第一の制御装置又は前記第二の制御装置は、
   　　前記物理ノードの通信インターフェースにおいて使用可能な前記識別子に基づいて、当該物理ノードを用いて構築される仮想ネットワークにおいて使用可能な前記識別子の集合を算出し、
   　　算出した前記識別子の集合を、前記物理ノードを用いて構築された前記仮想ネットワークに関連付けて管理する、請求項１又は２に記載のネットワークシステム。
4. 　前記第一の制御装置又は前記第二の制御装置は、
   　　前記物理ノードの通信インターフェースにおいて使用可能な前記識別子の集合の和集合又は積集合に基づいて、当該物理ノードを用いて構築される仮想ネットワークにおいて使用可能な前記識別子の集合を算出する、請求項３に記載のネットワークシステム。
5. 　前記第一の制御装置又は前記第二の制御装置は、
   　　前記仮想ネットワークに対応する第一の通信ネットワークに含まれる物理ノードの通信インターフェースのうち、第二の通信ネットワークと接続する所定の通信インターフェースにおいて使用可能な前記識別子の集合を算出し、
   　　算出した前記識別子の集合を前記所定の通信インターフェースと関連付けて管理する、請求項２に記載のネットワークシステム。
6. 　前記第一の制御装置又は前記第二の制御装置は、
   　　前記第一の通信ネットワークに含まれる物理ノードの所定の通信インターフェースにおいて使用可能な前記識別子の集合の和集合又は積集合に基づいて、当該物理ノードを用いて構築される仮想ネットワークにおいて使用可能な前記識別子の集合を算出する、請求項５に記載のネットワークシステム。
7. 　前記第一の制御装置は、
   　　前記仮想ネットワークに収容する通信トラヒックを識別する前記識別条件を予め保持し、
   　　予め保持する前記識別条件に基づいて、前記仮想ネットワークにおいて使用可能な前記識別子の集合を管理する、請求項１乃至６のいずれか一項に記載のネットワークシステム。
8. 　前記第一の制御装置は、
   　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合が互いに重複する場合に、当該重複する識別子の集合を、当該複数の仮想ネットワークの各々が前記識別子として使用できない使用禁止の識別子の集合として設定する、請求項１乃至７のいずれか一項に記載のネットワークシステム。
9. 　前記第一の制御装置は、
   　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合が互いに重複する場合に、当該重複する集合に含まれる所定の識別子を、前記複数の仮想ネットワークのうち優先度の高い仮想ネットワークにおいて使用可能な識別子として設定する、請求項１乃至８のいずれか一項に記載のネットワークシステム。
10. 　前記第一の制御装置は、
    　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合が互いに重複する場合に、当該重複する集合に含まれる所定の識別子を、当該所定の識別子を含む前記処理規則が最初に割り当てられた仮想ネットワークにおいて使用可能な識別子として設定する、請求項１乃至９のいずれか一項に記載のネットワークシステム。
11. 　前記第一の制御装置は、
    　　前記所定の識別子を、当該所定の識別子を含む前記処理規則が割り当てられた前記仮想ネットワーク以外の仮想ネットワークが使用できない識別子として設定する、請求項９又は１０に記載のネットワークシステム。
12. 　前記第一の制御装置は、
    　　前記複数の仮想ネットワークの各々において使用可能な前記識別子の集合を、前記複数の仮想ネットワークごとに独立するように算出する、請求項１乃至１１のいずれか一項に記載のネットワークシステム。
13. 　前記第一の制御装置又は前記第二の制御装置は、
    　　前記処理規則を設定する要求を受信した場合に、当該処理規則に含まれる識別子が当該処理規則の識別条件として使用可能な識別子の集合に含まれないことに応じて、当該処理規則を設定できない旨を示す拒否通知を送信する、請求項１乃至１２のいずれか一項に記載のネットワークシステム。
14. 　前記第一の制御装置又は前記第二の制御装置は、
    　　前記処理規則を設定する要求を受信した場合に、当該処理規則に含まれる識別子を、当該処理規則の識別条件として使用可能な識別子の集合に含まれる識別子に変更する、請求項１乃至１３のいずれか一項に記載のネットワークシステム。
15. 　通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを用いて複数の仮想ネットワークを構築し、
    　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、
    　割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する、制御装置。
16. 　通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを用いて複数の仮想ネットワークを構築し、
    　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当て、
    　割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する、
    　を含む制御方法。
17. 　通信トラヒックを処理するための処理規則に含まれる識別条件により識別される通信トラヒックを処理する物理ノードを制御する制御装置に搭載されたコンピュータに、
    　前記物理ノードを用いて複数の仮想ネットワークを構築する処理と、
    　所定の条件に基づいて、前記識別条件として使用可能な識別子の集合を前記複数の仮想ネットワークの各々に割り当てる処理と、
    　割り当てた前記識別子の集合を、前記複数の仮想ネットワークの各々に割り当てられる第二の制御装置に通知する処理と、
    　を実行させるためのプログラムを記録したプログラム記録媒体。

Images