WO2021261422A1 - コアネットワークノード、ｍｅｃサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体 - Google Patents

コアネットワークノード、ｍｅｃサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体 Download PDF

Info

Publication number
WO2021261422A1
WO2021261422A1 PCT/JP2021/023324 JP2021023324W WO2021261422A1 WO 2021261422 A1 WO2021261422 A1 WO 2021261422A1 JP 2021023324 W JP2021023324 W JP 2021023324W WO 2021261422 A1 WO2021261422 A1 WO 2021261422A1
Authority
WO
WIPO (PCT)
Prior art keywords
core network
terminal device
processing unit
security
communication processing
Prior art date
Application number
PCT/JP2021/023324
Other languages
English (en)
French (fr)
Inventor
光一 晒谷
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2022531960A priority Critical patent/JPWO2021261422A1/ja
Priority to US18/011,309 priority patent/US20230199499A1/en
Publication of WO2021261422A1 publication Critical patent/WO2021261422A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/08—Access restriction or access information delivery, e.g. discovery data delivery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/08—Mobility data transfer
    • H04W8/082—Mobility data transfer for traffic bypassing of mobility servers, e.g. location registers, home PLMNs or home agents
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/18—Service support devices; Network management devices

Definitions

  • the present invention relates to a core network node, a MEC server, an external server, a communication system, a control method, a program, and a non-transient recording medium on which the program is recorded.
  • 5G 5th generation mobile communication systems
  • 3G / 4G is operated by a specific mobile network operator and provides communication services to mobile terminals such as mobile phones and smartphones.
  • 5G is expected to involve a wide variety of businesses and simultaneously connect from a wide variety of devices (for example, Non-Patent Document 1).
  • intrusion detection system Intrusion Detection System
  • firewall / intrusion prevention system Intrusion Prevention System
  • 5G security it is required to cope with new situations such as an increase in communication traffic and a large number of simultaneous connections as described above.
  • an object of the present invention is a non-transitory recording of a core network node, a MEC server, an external server, a communication system, a control method, a program, and a program capable of realizing appropriate accommodation based on security information.
  • the purpose is to provide a sex recording medium.
  • the core network node is a core network node belonging to a core network forming a plurality of network slices, and is a network slice that should accommodate the terminal device based on security information regarding the security of the terminal device. It is provided with a communication processing unit that transmits a command indicating a parameter relating to the terminal device to the terminal device.
  • the MEC (Mobile Edge Computing) server is a MEC server that belongs to a core network that forms a plurality of network slices or can communicate with a core network that forms a plurality of network slices, and is a terminal device.
  • a communication processing unit for transmitting a message including security information related to security to a core network node belonging to the core network is provided.
  • the external server is an external server capable of communicating with a core network forming a plurality of network slices, and sends a message including security information regarding the security of a terminal device to a core network node belonging to the core network. It is provided with a communication processing unit for transmitting to the user.
  • the communication system is a communication system including a core network node belonging to a core network forming a plurality of network slices, and the core network node is based on security information regarding the security of a terminal device.
  • a communication processing unit for transmitting a command indicating a parameter indicating a network slice to accommodate the terminal device to the terminal device is provided.
  • the communication system is a communication system including a core network node belonging to a core network forming a plurality of network slices and a MEC server belonging to the core network or capable of communicating with the core network.
  • the MEC server includes a communication processing unit that transmits a message including security information regarding the security of the terminal device to the core network node, and the core network node is based on the security information from the MEC server.
  • a communication processing unit for transmitting a command indicating a parameter indicating a network slice to accommodate the terminal device to the terminal device.
  • the communication system is a communication system including a core network node belonging to a core network forming a plurality of network slices and an external server capable of communicating with the core network, wherein the external server is a communication system.
  • the core network node includes a communication processing unit that transmits a message including security information regarding the security of the terminal device to the core network node, and the core network node accommodates the terminal device based on the security information from the external server. It is provided with a communication processing unit that transmits a command indicating parameters related to a network slice to be to be sent to the terminal device.
  • the control method is a control method of a core network node belonging to a core network forming a plurality of network slices, and the terminal device should be accommodated based on security information regarding the security of the terminal device. It comprises transmitting a command indicating a parameter relating to a network slice to the terminal device.
  • the program according to one aspect of the present invention is a core network node belonging to a core network forming a plurality of network slices, and parameters related to the network slice to accommodate the terminal device based on security information regarding the security of the terminal device.
  • the computer functions as a core network node including a communication processing unit that transmits a command indicating the above to the terminal device.
  • the non-transient recording medium is a core network node belonging to a core network forming a plurality of network slices, and accommodates the terminal device based on security information regarding the security of the terminal device.
  • the core network node is a core network node belonging to a core network forming a plurality of network slices, and poses a security threat based on a signal transmitted and received by a node managed by a specific operator. It includes a detection unit for detecting and a communication processing unit for controlling the specific business operator to be accommodated in another network slice based on the detected threat.
  • the MEC server is a MEC (Mobile Edge Computing) server that belongs to a core network that forms a plurality of network slices or can communicate with a core network that forms a plurality of network slices, and is a specific business. Communication between a detector that detects security threats based on signals sent and received by a node managed by a person and a communication that sends a message containing security information indicating the detected threats to a core network node belonging to the core network. It is equipped with a processing unit.
  • MEC Mobile Edge Computing
  • the external server is an external server capable of communicating with a core network forming a plurality of network slices, and poses a security threat based on signals sent and received by a node managed by a specific operator. It includes a detection unit for detecting and a communication processing unit for transmitting a message including security information indicating the detected threat to a core network node belonging to the core network.
  • the communication system is a communication system including core network nodes belonging to a core network forming a plurality of network slices, and the core network nodes are transmitted and received by a node managed by a specific operator.
  • a communication processing unit that controls the specific operator to be accommodated in another network slice based on a security threat detected based on a signal is provided.
  • the control method is a control method of a core network node belonging to a core network forming a plurality of network slices, and is detected based on a signal transmitted and received by a node managed by a specific operator. It comprises controlling the particular operator to be housed in another network slice based on a security threat.
  • the program according to one aspect of the present invention is a core network node belonging to a core network forming a plurality of network slices, and is a security threat detected based on a signal transmitted and received by a node managed by a specific operator.
  • the computer functions as a core network node including a communication processing unit that controls the specific operator to be accommodated in another network slice.
  • the non-transient recording medium is a core network node belonging to a core network forming a plurality of network slices, and is detected based on a signal transmitted and received by a node managed by a specific operator.
  • a program that causes a computer to function as a core network node with a communication processing unit that controls the specific operator to be housed in another network slice is recorded based on the security threat.
  • FIG. 3 is a block diagram schematically illustrating a second configuration of the communication system S1a according to the second embodiment of the present invention.
  • FIG. 3 is a block diagram schematically illustrating a third configuration of the communication system S1a according to the second embodiment of the present invention.
  • 3G / 4G is operated by a specific mobile network operator and provides communication services to mobile terminals such as mobile phones and smartphones.
  • 5G is expected to involve a wide variety of operators and simultaneously connect from a wide variety of devices.
  • the purpose of this embodiment is to realize appropriate accommodation of the terminal device based on the security information.
  • attention is paid to messaging suitable for network slicing defined in 5G network architecture specifications ( ⁇ references> 3GPP TS 23.501, 3GPP TS 23.502, etc.).
  • network slicing the same network physical equipment is logically (virtually) divided, and the divided logical equipment (virtual resources) are combined to form a logical communication network called network slice (or slice). It is a constituent technology.
  • a core network node belonging to a core network forming a plurality of network slices relates to a network slice in which the terminal device should be accommodated based on security information regarding the security of the terminal device.
  • a command indicating the parameter is sent to the above terminal device.
  • the core network node can acquire the above security information by itself.
  • a MEC server that belongs to a core network that forms a plurality of network slices or that can communicate with a core network that forms a plurality of network slices sends a message including security information regarding the security of a terminal device. It is transmitted to the core network node belonging to the above core network.
  • an external server capable of communicating with a core network forming a plurality of network slices transmits a message including security information regarding the security of a terminal device to a core network node belonging to the core network. do.
  • FIG. 1 is an explanatory diagram illustrating a schematic configuration of a communication system S1 according to the present embodiment.
  • the communication system S1 of the present embodiment includes a terminal device 100, a base station 200, a core network 30, a MEC (Mobile Edge Computing) server 400, and an external server 500.
  • the core network 30 includes a plurality of core network nodes 300.
  • the external server 500 is a server device located outside the mobile communication system MCS (core network 30) and is communicably connected to the core network 30.
  • the mobile communication system MCS is, for example, a system compliant with the technical specifications (TS) of 3GPP (3rd Generation Partnership Project). More specifically, the mobile communication system MCS may be a fifth generation mobile communication system conforming to the technical specifications of the fifth generation (5G). Further, the mobile communication system MCS may be a local 5G privately constructed by an individual carrier other than the telecommunications carrier.
  • the mobile communication system MCS is included in the communication system S1. As a matter of course, the configuration of the communication system S1 is not limited to this example.
  • the terminal device 100 is a node that performs wireless communication with the base station 200.
  • the terminal device 100 may be, for example, a mobile phone terminal such as a smartphone, a communication module mounted on an autonomous driving vehicle, or a communication module mounted on an IoT device such as a surveillance camera or a robot. May be. That is, the terminal device 100 may be a node for advanced mobile broadband (enhanced Mobile Broadband, eMBB), and is a node for ultra-reliable and low latency communications (URLLC). It may be a node for large-scale machine type communication (massive Machine Type Communications, mMTC), or it may be a node for vehicle communication (Vehicle to X, V2X).
  • eMBB enhanced Mobile Broadband
  • URLLC ultra-reliable and low latency communications
  • mMTC massive Machine Type Communications
  • FIG. 2 is a block diagram illustrating a schematic configuration of the terminal device 100 according to the present embodiment.
  • the terminal device 100 has a wireless communication unit 110, a storage unit 120, and a processing unit 130.
  • the wireless communication unit 110 is an element that performs wireless communication with the base station 200.
  • the wireless communication unit 110 transmits a wireless signal to the base station 200 and receives the wireless signal from the base station 200.
  • the radio communication unit 110 may be implemented by, for example, an antenna and a radio frequency (RF) circuit.
  • the storage unit 120 is an element that temporarily or permanently stores programs (instructions) and data used to execute various processes in the terminal device 100.
  • the program includes one or more instructions for the operation of the terminal device 100.
  • the storage unit 120 may be mounted by, for example, a storage medium such as a volatile memory, a non-volatile memory, or a magnetic disk, or a combination of two or more thereof. Further, the storage unit 120 may be integrally configured with one or more processors constituting the processing unit 130.
  • the processing unit 130 is an element that provides various functions of the terminal device 100, and has a control unit 131 and a communication processing unit 132 as functional blocks.
  • the control unit 131 controls the processing of the terminal device 100
  • the communication processing unit 132 executes the communication processing with other nodes such as the base station 200.
  • the processing unit 130 may further include components other than the above functional blocks. That is, the processing unit 130 can execute an operation other than the operation by the above functional blocks.
  • the processing unit 130 may be implemented by one or more processors such as a baseband processor.
  • the processing unit 130 may realize the processing of the present embodiment described later by expanding and executing the program stored in the storage unit 120 in the storage unit 120 and / or a system memory (not shown).
  • each functional block (control unit 131 and communication processing unit 132) may be realized by one or more processors different from the processing unit 130.
  • the processing unit 130 may be implemented in the SoC (System on Chip).
  • the base station 200 is a node that performs wireless communication with the terminal device 100, that is, a node of a radio access network (RAN).
  • the base station 200 may be, for example, an eNB (evolved Node B) or a gNB (generation Node B) in 5G.
  • FIG. 3 is a block diagram illustrating a schematic configuration of the base station 200 according to the present embodiment.
  • the base station 200 has a wireless communication unit 210, a network communication unit 220, a storage unit 230, and a processing unit 240.
  • the wireless communication unit 210 is an element that performs wireless communication with the terminal device 100.
  • the wireless communication unit 210 transmits a wireless signal to the terminal device 100 and receives the wireless signal from the terminal device 100.
  • the radio communication unit 210 may be implemented by, for example, an antenna and a radio frequency (RF) circuit.
  • the network communication unit 220 is an element that communicates with the core network 30.
  • the network communication unit 220 transmits a signal to the core network 30 and receives the signal from the core network 30.
  • the network communication unit 220 may be implemented by, for example, a network adapter and / or a network interface card.
  • the storage unit 230 is an element that temporarily or permanently stores programs (instructions) and data used to execute various processes in the base station 200.
  • the program includes one or more instructions for the operation of base station 200.
  • the storage unit 230 may be mounted by, for example, a storage medium such as a volatile memory, a non-volatile memory, or a magnetic disk, or a combination of two or more thereof. Further, the storage unit 230 may be integrally configured with one or more processors constituting the processing unit 240.
  • the processing unit 240 is an element that provides various functions of the base station 200, and has a control unit 241 and a communication processing unit 242 as functional blocks.
  • the control unit 241 controls the processing of the base station 200
  • the communication processing unit 242 executes the communication processing with other nodes such as the terminal device 100 and the core network node 300.
  • the processing unit 240 may further include components other than the above functional blocks. That is, the processing unit 240 can execute an operation other than the operation by the above functional blocks.
  • the processing unit 240 may be implemented by one or more processors such as a baseband processor.
  • the processing unit 240 may realize the processing of the present embodiment described later by expanding and executing the program stored in the storage unit 230 in the storage unit 230 and / or a system memory (not shown).
  • each functional block (control unit 241 and communication processing unit 242) may be realized by one or more processors different from the processing unit 240.
  • the base station 200 may be virtualized. That is, the base station 200 may be implemented as a virtual machine. In the above case, the base station 200 (virtual machine) may operate as a virtual machine on a physical machine (hardware) including a processor, a memory, and the like and a hypervisor.
  • a virtual machine may operate as a virtual machine on a physical machine (hardware) including a processor, a memory, and the like and a hypervisor.
  • the core network 30 is, for example, a 5G core network (5GC) and is partially or wholly configured using Network Function Virtualization (NFV) technology.
  • 5GC 5G core network
  • NFV Network Function Virtualization
  • FIG. 4 is a block diagram illustrating a schematic configuration of the core network 30 according to the present embodiment.
  • the core network 30 has a server device SV, a storage device ST, and a network device NW as hardware.
  • the hardware of the core network 30 described above is virtualized using NFV technology, and a plurality of core network nodes 300 (instances) are configured.
  • a non-limiting list of types of core network nodes 300 -AMF (Access and Mobility Management Function) -SMF (Session Management Function) -PCF (Policy Control Function) -NSSF (Network Slice Selection Function) -AUSF (Authentication Server Function) -UDM (Unified Data Management) -UPF (User Plane Function)
  • the plurality of core network nodes 300 may be realized by a physical device that does not use NFV technology.
  • the resources of the virtualized core network 30 can be divided into a plurality of network slices NS1, NS2, NS3, ... Each of which constitutes a logical (virtual) network. That is, the core network 30 of the present embodiment may form a plurality of network slice NS.
  • the plurality of network slices NS have different network characteristics.
  • Each network slice NS has a plurality of core network nodes 300.
  • the core network node 300 that does not belong to the network slice NS may exist, or one core network node 300 may belong to a plurality of network slice NS.
  • FIG. 5 is an explanatory diagram illustrating the architecture of the core network 30.
  • the C plane of the core network 30 includes the above-mentioned AMF, SMF, PCF, NSSF, AUSF, and UDM as network functions (core network node 300).
  • the U plane of the core network 30 includes one or more UPFs described above as a network function (core network node 300).
  • the UPF can be configured as a connection point with the MEC server 400 and the external server 500, which will be described later.
  • Each of the core network nodes 300 is a functional element that provides a specific network function (service) in the core network 30.
  • FIG. 6 is a block diagram illustrating a schematic configuration of the core network node 300 according to the present embodiment.
  • the core network node 300 has a network communication unit 310, a storage unit 320, and a processing unit 330.
  • the network communication unit 310 is an element that communicates with other nodes inside and outside the core network 30.
  • the network communication unit 310 transmits a signal to another node and receives a signal from the other node.
  • the network communication unit 310 can be implemented by the resources of the core network 30 virtualized using the NFV technology.
  • the storage unit 320 is an element that temporarily or permanently stores programs (instructions) and data used to execute various processes in the core network node 300.
  • the program includes one or more instructions for the operation of the core network node 300.
  • the storage unit 320 can be implemented by the resources of the core network 30 virtualized using the NFV technology.
  • the processing unit 330 is an element that provides various functions of the core network node 300, and has a control unit 331 and a communication processing unit 333 as functional blocks.
  • the control unit 331 controls the processing of the core network node 300
  • the communication processing unit 333 executes the communication processing with other nodes.
  • the processing unit 330 may further include components other than the above functional blocks. That is, the processing unit 330 can execute an operation other than the operation by the above functional blocks.
  • the processing unit 330 can be implemented by the resources of the core network 30 virtualized using the NFV technology.
  • the access management node 350 is, for example, an AMF (Access and Mobility Management Function) defined in the 3GPP technical specifications (for example, ⁇ Reference> 3GPP TS 23.501).
  • the access management node 350 is a node that terminates the N2 interface of the C plane, and provides a registration management function, a connection management function, and a movement management function.
  • FIG. 7 is a block diagram illustrating a schematic configuration of the access management node 350 according to the present embodiment.
  • the access management node 350 has a network communication unit 310, a storage unit 320, and a processing unit 360.
  • the configurations and functions of the network communication unit 310 and the storage unit 320 are the same as those of the general core network node 300.
  • the processing unit 360 has a control unit 331, a detection unit 332, and a communication processing unit 333.
  • the configuration and function of the control unit 331 and the communication processing unit 333 are the same as those of the general core network node 300.
  • the detection unit 332 generally detects a state and information related to the security of a node such as the terminal device 100.
  • the function of the access management node 350 according to this embodiment may be realized by another network function instance.
  • the MEC server 400 is a server belonging to the core network 30, and provides a predetermined service to the terminal device 100. By arranging the MEC server 400 closer to the terminal device 100 than a general server, it is possible to provide services to the terminal device 100 more efficiently.
  • FIG. 8 is a block diagram illustrating a schematic configuration of the MEC server 400 according to the present embodiment.
  • the MEC server 400 has a network communication unit 410, a storage unit 420, and a processing unit 430.
  • the network communication unit 410 is an element that communicates with the core network 30.
  • the network communication unit 410 transmits a signal to the core network 30 and receives the signal from the core network 30.
  • the network communication unit 410 may be implemented by, for example, a network adapter and / or a network interface card.
  • the storage unit 420 is an element that temporarily or permanently stores programs (instructions) and data used to execute various processes in the MEC server 400.
  • the program includes one or more instructions for the operation of the MEC server 400.
  • the storage unit 420 may be mounted by, for example, a storage medium such as a volatile memory, a non-volatile memory, or a magnetic disk, or a combination of two or more thereof. Further, the storage unit 420 may be integrally configured with one or more processors constituting the processing unit 430.
  • the processing unit 430 is an element that provides various functions of the MEC server 400, and has a control unit 431, a detection unit 432, and a communication processing unit 433 as functional blocks.
  • the control unit 431 controls the processing of the MEC server 400
  • the detection unit 432 detects the state and information related to the security of the node such as the terminal device 100
  • the communication processing unit 433 other than the core network node 300 and the like. Executes communication processing with the node of.
  • the processing unit 430 may further include components other than the above functional blocks. That is, the processing unit 430 can execute an operation other than the operation by the above functional blocks.
  • the processing unit 430 may be implemented by, for example, one or more processors.
  • the processing unit 430 may realize the processing of the present embodiment described later by expanding and executing the program stored in the storage unit 420 in the storage unit 420 and / or a system memory (not shown).
  • each functional block control unit 431, detection unit 432, and communication processing unit 433 may be realized by one or more processors different from the processing unit 430.
  • the MEC server 400 may be implemented by virtualized resources by NFV technology. Further, the MEC server 400 may be configured to communicate with the base station 200 instead of the core network 30. That is, the MEC server 400 may be configured to be able to communicate with the core network 30 via the base station 200.
  • the external server 500 is a server located outside the core network 30.
  • the external server 500 is a device that provides a service to the terminal device 100 via the core network 30 or via another network such as the Internet.
  • FIG. 9 is a block diagram illustrating a schematic configuration of the external server 500 according to the present embodiment.
  • the external server 500 has a network communication unit 510, a storage unit 520, and a processing unit 530.
  • the network communication unit 510 is an element that communicates with the core network 30.
  • the network communication unit 510 transmits a signal to the core network 30 and receives the signal from the core network 30.
  • the network communication unit 510 may be implemented, for example, by a network adapter and / or a network interface card.
  • the storage unit 520 is an element that temporarily or permanently stores programs (instructions) and data used to execute various processes in the external server 500.
  • the program includes one or more instructions for the operation of the external server 500.
  • the storage unit 520 may be mounted by, for example, a storage medium such as a volatile memory, a non-volatile memory, or a magnetic disk, or a combination of two or more thereof. Further, the storage unit 520 may be integrally configured with one or more processors constituting the processing unit 530.
  • the processing unit 530 is an element that provides various functions of the external server 500, and has a control unit 531, a detection unit 532, and a communication processing unit 533 as functional blocks.
  • the control unit 531 controls the processing of the external server 500
  • the detection unit 532 detects the state and information related to the security of the node such as the terminal device 100
  • the communication processing unit 533 is the core network node 300 and the like. Executes communication processing with the node of.
  • the processing unit 530 may further include components other than the above functional blocks. That is, the processing unit 530 can execute an operation other than the operation by the above functional blocks.
  • the processing unit 530 may be implemented by, for example, one or more processors.
  • the processing unit 530 may realize the processing of the present embodiment described later by expanding and executing the program stored in the storage unit 520 in the storage unit 520 and / or a system memory (not shown).
  • each functional block (control unit 531, detection unit 532, and communication processing unit 533) may be realized by one or more processors different from the processing unit 530.
  • Operation example A plurality of operation examples of the present embodiment will be described with reference to FIGS. 10 to 14.
  • the common point in the following operation examples is that the communication processing unit 333 of the access management node 350 issues a command indicating parameters related to the network slice NS to accommodate the terminal device 100 based on the security information SI related to the security of the terminal device 100. It is to transmit to the device 100.
  • the above command may include, for example, slice information that identifies the network slice NS that should accommodate the terminal device 100.
  • the above command may be, for example, a UE Configuration Update Command that updates the configuration of the terminal device 100 (User Equipment, UE).
  • the slice information included in the above command may include, for example, an NSSAI (Network Slice Selection Assistance Information) parameter that specifies a slice / service type (Slice / ServiceType, SST).
  • NSSAI Network Slice Selection Assistance Information
  • the above UE Configuration Update Command may comply with, for example, ⁇ Reference> 3GPPTS 23.502 (for example, 4.2.4.2 UE Configuration Update procedure for access and mobility management related parameters).
  • the NSSAI for example, S-NSSAI
  • the SST is, for example, ⁇ Reference> 3GPP TS 23.003 (for example, 28.4.2 Format of the S-NSSAI) and ⁇ Reference> 3GPP TS 3GPP TS 23.501 (Reference).
  • 5.15.2.2 Standardized SST values may be compliant.
  • the SST may indicate a value (SST Value) that specifies eMBB, URLLC, mMTC (MIoT), V2X, or the like.
  • FIG. 10 is an explanatory diagram illustrating S-NSSAI and SST.
  • the conventional technical specifications only specify SST according to the static characteristics of the network, and correspond to the detected threat or vulnerability (security information). SST (and thus network slice NS) is not specified. In addition, the selection of network slice NS according to the detected threat or vulnerability (security information) is not specified in the conventional technical specifications (for example, ⁇ Reference> 3GPP TS 23.502 4.2.4.2 UE Configuration Update. procedure for access and mobility management related parameters).
  • FIG. 11 corresponds to an example in which the access management node 350 detects a vulnerability based on a control message from the terminal device 100
  • FIG. 12 shows an example in which the access management node 350 detects a threat based on the communication content of the terminal device 100. Corresponds to the example.
  • step S110 the communication processing unit 132 of the terminal device 100 transmits a registration request message (RegistrationRequestMessage) to the access management node 350 via the base station 200.
  • the terminal device 100 may, for example, transmit the above registration request message to the access management node 350 at the time of location registration.
  • the above registration request message may include an N2 parameter indicating the security capability of the terminal device 100.
  • the above registration request message is a C-plane message.
  • step S120 the detection unit 332 of the access management node 350 detects the vulnerability existing in the terminal device 100 based on the security capability of the terminal device 100 shown in the registration request message transmitted by the terminal device 100.
  • the detection unit 332 notifies the communication processing unit 333 of the detected vulnerability as security information SI.
  • step S130 the communication processing unit 333 of the access management node 350 transmits a command indicating parameters related to the network slice NS to accommodate the terminal device 100 to the terminal device 100 based on the security information SI notified from the detection unit 332. do.
  • the command transmitted in step S130 may specify, for example, a quarantine network slice which is a network slice NS having a quarantine function. That is, the communication processing unit 333 may accommodate the terminal device 100 in the quarantine network slice having the quarantine function based on the security information SI.
  • the command transmitted in step S130 may specify a network slice NS having a security level corresponding to the security capability of the terminal device 100. That is, the communication processing unit 333 may accommodate the terminal device 100 in the network slice NS having a security level corresponding to the security information SI.
  • each node including the terminal device 100 executes an operation related to the configuration change of the network slice NS based on the vulnerability detected as described above (that is, the security information SI), so that the terminal device 100 is appropriate. It is housed in the network slice NS.
  • step S112 the communication processing unit 132 of the terminal device 100 transmits a signal on the C plane to the access management node 350 via the base station 200.
  • the signal may be, for example, an authentication-related control message or another control message.
  • the detection unit 332 of the access management node 350 detects a threat to the terminal device 100 based on the signal on the C plane transmitted by the terminal device 100 (that is, the communication content on the C plane of the terminal device 100). ..
  • the detection unit 332 notifies the communication processing unit 333 of the detected threat as security information SI.
  • the detection unit 332 may detect the vulnerability existing in the terminal device 100 based on the communication content on the C plane of the terminal device 100.
  • step S130 as in the example of FIG. 11, the communication processing unit 333 of the access management node 350 sets a parameter regarding the network slice NS to accommodate the terminal device 100 based on the security information SI notified from the detection unit 332.
  • the indicated command is transmitted to the terminal device 100.
  • the operation caused by the command transmitted in step S130 is the same as the example of FIG. That is, the terminal device 100 may be housed in the quarantine network slice having the quarantine function based on the security information SI, or the terminal device 100 may be housed in the network slice NS having the security level corresponding to the security information SI. ..
  • the command transmitted in step S130 may be a command that realizes control such that the attack target indicated by the threat included in the security information SI is separated from the core network 30.
  • each node including the terminal device 100 executes an operation related to the configuration change of the network slice NS based on the threat detected as described above (that is, the security information SI).
  • the terminal device 100 is housed in a suitable network slice NS.
  • FIG. 13 is a sequence diagram showing a second operation example in the present embodiment.
  • FIG. 13 corresponds to an example in which the MEC server 400 detects a vulnerability or a threat based on the communication content from the terminal device 100.
  • step S210 the communication processing unit 132 of the terminal device 100 sends and receives signals on the U plane to and from the MEC server 400 via the UPF node 300.
  • the signal may be, for example, user data constituting a website or other user data.
  • the detection unit 432 of the MEC server 400 has a vulnerability in the terminal device 100 based on the signal on the U plane transmitted and received by the terminal device 100 (that is, the communication content on the U plane of the terminal device 100). Alternatively, a threat to the terminal device 100 is detected.
  • the detection unit 432 can detect, for example, malware contained in the data on the U plane of the terminal device 100 as a threat.
  • step S230 the communication processing unit 433 of the MEC server 400 notifies the access management node 350 via the UPF node 300 of the vulnerability or threat detected by the detection unit 432 as security information SI.
  • the communication processing unit 433 may notify the access management node 350 of the network slice configuration change request including the above security information SI.
  • step S240 the communication processing unit 333 of the access management node 350 should accommodate the terminal device 100 based on the security information SI notified from the MEC server 400, as in the examples of FIGS. 11 and 12.
  • a command indicating the parameters related to the above is transmitted to the terminal device 100.
  • the operation generated by the transmission command in step S240 is the same as the example of FIGS. 11 and 12. That is, the terminal device 100 may be housed in the quarantine network slice having the quarantine function based on the security information SI, or the terminal device 100 may be housed in the network slice NS having the security level corresponding to the security information SI. .. Further, the command transmitted in step S240 may be a command that realizes control such that the attack target indicated by the threat included in the security information SI is separated from the core network 30.
  • each node including the terminal device 100 relates to the configuration change of the network slice NS based on the vulnerability or threat (that is, security information SI) detected as described above.
  • the terminal device 100 is housed in a suitable network slice NS.
  • FIG. 14 is a sequence diagram showing a third operation example in the present embodiment.
  • FIG. 14 corresponds to an example in which the external server 500 detects a vulnerability or a threat based on the communication content from the terminal device 100.
  • step S310 the communication processing unit 132 of the terminal device 100 transmits and receives a signal on the C plane and a signal on the U plane to and from the external server 500.
  • the signal on the C plane may be, for example, log data or other control message.
  • the signal on the U-plane may be, for example, user data constituting a website or other user data.
  • step S320 the detection unit 532 of the external server 500 transmits / receives a signal on the C plane and / or a signal on the U plane (that is, a communication content on the C plane and / or the U plane of the terminal device 100) transmitted / received by the terminal device 100. ), A vulnerability existing in the terminal device 100 or a threat to the terminal device 100 is detected.
  • the detection unit 532 can detect, for example, malware contained in the data on the U plane of the terminal device 100 as a threat.
  • the detection unit 532 can detect a threat by intercepting the communication on the C plane of the terminal device 100, for example.
  • step S330 the communication processing unit 533 of the external server 500 notifies the access management node 350 of the vulnerability or threat detected by the detection unit 532 as security information SI.
  • the communication processing unit 533 may transmit the security information SI as a signal on the U plane to the access management node 350 via the UPF node 300, or transmit the security information SI as a signal on the C plane to the access management node 350. You may.
  • the communication processing unit 533 may notify the access management node 350 of the network slice configuration change request including the above security information SI.
  • step S340 the communication processing unit 333 of the access management node 350 should accommodate the terminal device 100 based on the security information SI notified from the external server 500, as in the examples of FIGS. 11 and 12.
  • a command indicating the parameters related to the above is transmitted to the terminal device 100.
  • the operation generated by the transmission command in step S340 is the same as the example of FIGS. 11 and 12. That is, the terminal device 100 may be housed in the quarantine network slice having the quarantine function based on the security information SI, or the terminal device 100 may be housed in the network slice NS having the security level corresponding to the security information SI. .. Further, the command transmitted in step S340 may be a command that realizes control such that the attack target indicated by the threat included in the security information SI is separated from the core network 30.
  • each node including the terminal device 100 relates to the configuration change of the network slice NS based on the vulnerability or threat (that is, security information SI) detected as described above.
  • the terminal device 100 is housed in a suitable network slice NS.
  • the terminal device 100 can be accommodated in an appropriate network slice.
  • the terminal devices 100 can be dynamically accommodated in an appropriate network slice NS, so that each terminal device 100 or an individual using the terminal device 100 can be used.
  • the burden of managing individual settings for the business operator is avoided.
  • the management load and management cost of the communication system S1 can be reduced.
  • a new network slice NS may be formed based on the detection of the above-mentioned vulnerability or threat. It is preferable that a network slice NS (for example, a network slice NS having a security level according to the level of the vulnerability or threat) conforming to the security information SI indicating the vulnerability or threat is formed.
  • vulnerabilities and threats are detected based on the signals transmitted and received by the terminal device 100 (signals on the C plane or signals on the U plane), and the network slice NS is assigned in units of the terminal device 100. Is executed.
  • control of the network slice NS since the control of the network slice NS is executed for each terminal device 100, the processing particle size (control particle size) may be too fine. Therefore, in this modification, the control of the network slice NS is executed not by the terminal device 100 but by the operator as a unit.
  • the above threat (attack) when a threat (attack) to a specific business operator is detected by the detection unit 332 of the access management node 350, the detection unit 432 of the MEC server 400, or the detection unit 532 of the external server 500, the above threat (attack)
  • the security information SI indicating the above is supplied to the communication processing unit 333 of the access management node 350.
  • the above threats can be detected based on signals (signals on the C plane or signals on the U plane) transmitted and received by a node managed by a specific business operator.
  • the communication processing unit 333 of the access management node 350 is assigned to another network slice NS (for example, a network slice NS other than the network slice NS that is the attack target indicated by the security information SI) based on the supplied security information SI or higher. Control to accommodate a specific operator.
  • Accommodating a business operator in the network slice NS may mean, for example, accommodating all or a part of the nodes managed by a specific business operator in the network slice NS.
  • the node housed in the network slice NS may include a core network node 300 managed by a specific business operator.
  • the network slice NS is controlled for each operator, so that more efficient accommodation processing can be realized.
  • FIG. 15 is a block diagram illustrating a schematic configuration of the access management node 350a according to the second embodiment of the present invention.
  • the access management node 350a is a core network node belonging to the core network 30a forming a plurality of network slices.
  • the communication processing unit 333a of the access management node 350a transmits a command indicating parameters related to the network slice to accommodate the terminal device to the terminal device based on the security information regarding the security of the terminal device.
  • the access management node 350a and the communication processing unit 333a may be implemented by the resources of the core network 30a virtualized using the NFV technology. Further, the access management node 350a is realized by a physical device that does not use NFV technology, and the communication processing unit 333a has one or more processors, a memory (for example, a non-volatile memory and / or a volatile memory), and / or a hard disk. It may be implemented by.
  • the memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the communication processing unit 333a included in the access management node 350a according to the second embodiment executes the operation of the communication processing unit 333 included in the access management node 350 according to the first embodiment. You may. In the above case, the description of the first embodiment can be applied to the second embodiment. The second embodiment is not limited to the above examples.
  • FIG. 16 is a block diagram illustrating a schematic configuration of the MEC server 400a according to the second embodiment of the present invention.
  • the MEC server 400 belongs to the core network 30a forming a plurality of network slices.
  • the MEC server 400a may be provided outside the core network 30a so as to be able to communicate with the core network 30a.
  • the communication processing unit 433a of the MEC server 400a transmits a message including security information regarding the security of the terminal device to the core network node belonging to the core network 30a.
  • the MEC server 400a and the communication processing unit 433a may be implemented by the resources of the core network 30a virtualized using the NFV technology. Further, the MEC server 400a is realized by a physical device that does not use NFV technology, and the communication processing unit 433a includes one or more processors, a memory (for example, a non-volatile memory and / or a volatile memory), and / or a hard disk. May be implemented by. The memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the communication processing unit 433a included in the MEC server 400a according to the second embodiment executes the operation of the communication processing unit 433 included in the MEC server 400 according to the first embodiment. good.
  • the description of the first embodiment can be applied to the second embodiment.
  • the second embodiment is not limited to the above examples.
  • FIG. 17 is a block diagram illustrating a schematic configuration of the external server 500a according to the second embodiment of the present invention. As shown in FIG. 17, the external server 500 is provided so as to be able to communicate with the core network 30a forming a plurality of network slices.
  • the communication processing unit 533a of the external server 500a transmits a message including security information regarding the security of the terminal device to the core network node belonging to the core network 30a.
  • the external server 500a may be realized by a physical device such as a server device.
  • the communication processing unit 533a may be implemented by one or more processors and a memory (for example, a non-volatile memory and / or a volatile memory) and / or a hard disk.
  • the memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the communication processing unit 533a included in the external server 500a according to the second embodiment executes the operation of the communication processing unit 533 included in the external server 500 according to the first embodiment. good.
  • the description of the first embodiment can be applied to the second embodiment.
  • the second embodiment is not limited to the above examples.
  • FIG. 18 is a block diagram schematically illustrating a first configuration of the communication system S1a according to the second embodiment of the present invention.
  • the communication system S1a includes an access management node 350 as a core network node.
  • the access management node 350a belongs to the core network 30a forming a plurality of network slices.
  • the communication processing unit 333a of the access management node 350a transmits a command indicating parameters related to the network slice to accommodate the terminal device to the terminal device based on the security information regarding the security of the terminal device.
  • the access management node 350a and the communication processing unit 333a may be implemented by the resources of the core network 30a virtualized using the NFV technology. Further, the access management node 350a is realized by a physical device that does not use NFV technology, and the communication processing unit 333a has one or more processors, a memory (for example, a non-volatile memory and / or a volatile memory), and / or a hard disk. It may be implemented by.
  • the memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the communication processing unit 333a included in the access management node 350a according to the second embodiment executes the operation of the communication processing unit 333 included in the access management node 350 according to the first embodiment. You may. In the above case, the description of the first embodiment can be applied to the second embodiment. The second embodiment is not limited to the above examples.
  • FIG. 19 is a block diagram schematically illustrating a second configuration of the communication system S1a according to the second embodiment of the present invention.
  • the communication system S1a includes an access management node 350 as a core network node and a MEC server 400a.
  • the access management node 350a and the MEC server 400 belong to the core network 30a forming a plurality of network slices.
  • the MEC server 400a may be provided outside the core network 30a so as to be able to communicate with the core network 30a.
  • the communication processing unit 433a of the MEC server 400a transmits a message including security information regarding the security of the terminal device to the access management node 350 (core network node).
  • the communication processing unit 333a of the access management node 350a transmits a command indicating parameters related to the network slice to accommodate the terminal device to the terminal device based on the security information from the MEC server 400a.
  • the access management node 350a, the communication processing unit 333a, the MEC server 400a, and the communication processing unit 433a may be implemented by the resources of the core network 30a virtualized using the NFV technology. Further, the access management node 350a and / or the MEC server 400a is realized by a physical device that does not use NFV technology, and the communication processing unit 333a and / or the communication processing unit 433a has one or more processors and a memory (for example, non-volatile). It may be implemented by a sex memory and / or a volatile memory) and / or a hard disk. The memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the communication processing unit 333a included in the access management node 350a according to the second embodiment executes the operation of the communication processing unit 333 included in the access management node 350 according to the first embodiment. You may.
  • the communication processing unit 433a included in the MEC server 400a according to the second embodiment may execute the operation of the communication processing unit 433 included in the MEC server 400 according to the first embodiment.
  • the description of the first embodiment can be applied to the second embodiment.
  • the second embodiment is not limited to the above examples.
  • FIG. 20 is a block diagram schematically illustrating a third configuration of the communication system S1a according to the second embodiment of the present invention.
  • the communication system S1a includes an access management node 350 as a core network node and an external server 500a.
  • the access management node 350a belongs to the core network 30a forming a plurality of network slices.
  • the external server 500a is provided so as to be able to communicate with the core network 30a.
  • the communication processing unit 533a of the external server 500a transmits a message including security information regarding the security of the terminal device to the access management node 350 (core network node).
  • the communication processing unit 333a of the access management node 350a transmits a command indicating parameters related to the network slice to accommodate the terminal device to the terminal device based on the security information from the external server 500a.
  • the access management node 350a and the communication processing unit 333a may be implemented by the resources of the core network 30a virtualized using the NFV technology. Further, the access management node 350a is realized by a physical device that does not use NFV technology, and the communication processing unit 333a includes one or more processors, a memory (for example, a non-volatile memory and / or a volatile memory), and / or a hard disk. May be implemented by.
  • the memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the external server 500a may be realized by a physical device such as a server device.
  • the communication processing unit 533a may be implemented by one or more processors and a memory (for example, a non-volatile memory and / or a volatile memory) and / or a hard disk.
  • the memory may be contained in the one or more processors, or may be outside the one or more processors.
  • the communication processing unit 333a included in the access management node 350a according to the second embodiment executes the operation of the communication processing unit 333 included in the access management node 350 according to the first embodiment. You may.
  • the communication processing unit 533a included in the external server 500a according to the second embodiment may execute the operation of the communication processing unit 433 included in the MEC server 400 according to the first embodiment.
  • the description of the first embodiment can be applied to the second embodiment.
  • the second embodiment is not limited to the above examples.
  • the steps in the process described herein do not necessarily have to be performed in chronological order in the order described in the sequence diagram.
  • the steps in the process may be executed in a different order from the order described in the sequence diagram, or may be executed in parallel.
  • some of the steps in the process may be deleted, and additional steps may be added to the process.
  • a device including components (for example, a control unit, a detection unit, and / or a communication processing unit) of a terminal device, a base station, a core network node, a MEC server, and an external server described in the present specification (for example, the above).
  • One or more devices (or units) among the plurality of devices (or units) constituting any of the above entities, or modules for one of the plurality of devices (or units) described above) are provided. May be good.
  • a method including the processing of the above components may be provided, and a program for causing the processor to execute the processing of the above components may be provided.
  • a non-transitory computer readable medium may be provided that can be read by the computer on which the program is recorded.
  • a core network node that belongs to a core network that forms multiple network slices.
  • a communication processing unit for transmitting a command indicating a parameter indicating a network slice for accommodating the terminal device to the terminal device based on security information regarding the security of the terminal device is provided.
  • Core network node Core network node.
  • the command includes slice information identifying the network slice that should contain the terminal device.
  • the command is a UE Configuration Update Command that updates the configuration of the terminal device.
  • the core network node according to Appendix 1 or Appendix 2.
  • the slice information includes an NSSAI (Network Slice Selection Assistance Information) parameter that identifies a slice / service type.
  • NSSAI Network Slice Selection Assistance Information
  • the communication processing unit accommodates the terminal device in a quarantine network slice having a quarantine function.
  • the core network node according to any one of Supplementary note 1 to Supplementary note 4.
  • the communication processing unit accommodates the terminal device in a network slice having a security level corresponding to the security information.
  • the core network node according to any one of Supplementary note 1 to Supplementary note 4.
  • the communication processing unit disconnects the attack target indicated by the security information from the core network.
  • the core network node according to any one of Supplementary note 1 to Supplementary note 4.
  • the detection unit detects the vulnerability based on the security capability of the terminal device indicated in the registration request message transmitted by the terminal device.
  • the registration request message is transmitted from the terminal device at the time of location registration, and includes an N2 parameter indicating the security capability.
  • the detection unit detects the vulnerability based on the communication content on the C plane of the terminal device.
  • the core network node according to any one of Supplementary note 8 to Supplementary note 10.
  • the detection unit detects the threat based on the communication content on the C plane of the terminal device.
  • the core network node according to Appendix 12.
  • the communication processing unit receives as security information a vulnerability existing in the terminal device or a threat to the terminal device detected by a MEC (Mobile Edge Computing) server that belongs to the core network or can communicate with the core network.
  • MEC Mobile Edge Computing
  • the core network node according to any one of Supplementary note 1 to Supplementary note 7.
  • the security information indicates the vulnerability or the threat detected by the MEC server based on the communication content on the U plane of the terminal device.
  • the communication processing unit receives, as the security information, a vulnerability existing in the terminal device or a threat to the terminal device detected by an external server located outside the core network.
  • the core network node according to any one of Supplementary note 1 to Supplementary note 7.
  • the security information indicates the vulnerability or the threat detected by the external server based on the communication content on the C plane and / or the U plane of the terminal device.
  • the core network node according to Appendix 16.
  • a MEC server that belongs to a core network that forms multiple network slices or is capable of communicating with a core network that forms multiple network slices.
  • a communication processing unit for transmitting a message including security information regarding the security of a terminal device to a core network node belonging to the core network is provided. MEC server.
  • Appendix 20 It is provided with a detection unit that detects a vulnerability existing in the terminal device or a threat to the terminal device and notifies the communication processing unit of the detected vulnerability or the threat as the security information.
  • the MEC server according to Appendix 19.
  • An external server that can communicate with the core network that forms multiple network slices.
  • a communication processing unit for transmitting a message including security information regarding the security of a terminal device to a core network node belonging to the core network is provided.
  • External server External server.
  • Appendix 22 It is provided with a detection unit that detects a vulnerability existing in the terminal device or a threat to the terminal device and notifies the communication processing unit of the detected vulnerability or the threat as the security information.
  • a communication system having core network nodes belonging to a core network forming a plurality of network slices.
  • the core network node is A communication processing unit for transmitting a command indicating a parameter indicating a network slice for accommodating the terminal device to the terminal device based on security information regarding the security of the terminal device is provided. Communications system.
  • a communication system including a MEC server that belongs to or can communicate with the core network.
  • the MEC server is It is equipped with a communication processing unit that sends a message containing security information regarding the security of the terminal device to the core network node.
  • the core network node is A communication processing unit for transmitting a command indicating a parameter indicating a network slice for accommodating the terminal device to the terminal device based on the security information from the MEC server is provided. Communications system.
  • a communication system including an external server capable of communicating with the core network.
  • the external server is It is equipped with a communication processing unit that sends a message containing security information regarding the security of the terminal device to the core network node.
  • the core network node is A communication processing unit for transmitting a command indicating a parameter indicating a network slice for accommodating the terminal device to the terminal device based on the security information from the external server is provided. Communications system.
  • Appendix 26 A method of controlling core network nodes that belong to a core network that forms multiple network slices. It comprises transmitting a command indicating a parameter indicating a network slice to accommodate the terminal device to the terminal device based on security information regarding the security of the terminal device. Control method.
  • a core network node that belongs to a core network that forms multiple network slices.
  • a computer functions as a core network node including a communication processing unit that sends a command indicating a parameter indicating a network slice to accommodate the terminal device to the terminal device based on security information regarding the security of the terminal device. program.
  • a core network node that belongs to a core network that forms multiple network slices.
  • a computer functions as a core network node including a communication processing unit that sends a command indicating a parameter indicating a network slice to accommodate the terminal device to the terminal device based on security information regarding the security of the terminal device.
  • a core network node that belongs to a core network that forms multiple network slices.
  • a detector that detects security threats based on signals sent and received by nodes managed by a specific operator,
  • a communication processing unit that controls the specific business operator to be accommodated in another network slice based on the detected threat.
  • Core network node
  • a MEC (Mobile Edge Computing) server that belongs to a core network that forms multiple network slices or can communicate with a core network that forms multiple network slices.
  • a detector that detects security threats based on signals sent and received by nodes managed by a specific operator,
  • a communication processing unit that transmits a message including security information indicating the detected threat to a core network node belonging to the core network.
  • MEC server Mobile Edge Computing server.
  • An external server that can communicate with the core network that forms multiple network slices.
  • a detector that detects security threats based on signals sent and received by nodes managed by a specific operator,
  • a communication processing unit that transmits a message including security information indicating the detected threat to a core network node belonging to the core network.
  • External server External server.
  • a communication system having core network nodes belonging to a core network forming a plurality of network slices.
  • the core network node is A communication processing unit that controls the specific operator to be accommodated in another network slice based on a security threat detected based on a signal transmitted and received by a node managed by the specific operator. Communications system.
  • Appendix 33 A method of controlling core network nodes that belong to a core network that forms multiple network slices. It comprises controlling the specific operator to be accommodated in another network slice based on a security threat detected based on a signal transmitted and received by a node managed by a specific operator. Control method.
  • a core network node that belongs to a core network that forms multiple network slices.
  • a core network including a communication processing unit that controls the specific operator to be accommodated in another network slice based on a security threat detected based on a signal transmitted and received by a node managed by a specific operator. Make your computer function as a node, program.
  • a core network node that belongs to a core network that forms multiple network slices.
  • a core network including a communication processing unit that controls the specific operator to be accommodated in another network slice based on a security threat detected based on a signal transmitted and received by a node managed by a specific operator. Make your computer function as a node, A non-transient recording medium on which a program is recorded.
  • the terminal device 100 in an appropriate network slice based on the security information SI (vulnerability or threat) detected by the access management node 350, the MEC server 400, or the external server 500.
  • SI security information
  • S1 Communication system 30 Core network 100 Terminal equipment 200 Base station 300 Core network node 350 Access management node 400 MEC server 500 External server

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

【課題】セキュリティ情報に基づいた端末装置の適切な収容を実現する。 【解決手段】複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノード３５０が、端末装置１００のセキュリティに関するセキュリティ情報に基づいて、端末装置１００を収容すべきネットワークスライスに関するパラメータを示すコマンドを端末装置１００に送信する通信処理部を備える。

Description

コアネットワークノード、ＭＥＣサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体
　本発明は、コアネットワークノード、ＭＥＣサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体に関する。
　近年、様々な「モノ（Things）」がインターネットに接続されるＩｏＴ（Internet of Things）が広まり、ネットワークを介して提供されるサービスの多様化に伴う通信トラヒックが増大している。以上のような状況に対処するため、第５世代移動通信システム（以下、５Ｇ）の導入が各国において進展している。
　従来の３Ｇ／４Ｇは、特定のモバイルネットワーク事業者によって運用され、携帯電話及びスマートフォン等の移動端末に通信サービスを提供する。他方、５Ｇは、３Ｇ／４Ｇと比較して、多種多様な事業者の参画と多種多様なデバイスからの同時接続とが想定されている（例えば、非特許文献１）。
3GPP TR 38.913 - Technical Specification Group Radio Access Network; Study on Scenarios and Requirements for Next Generation Access Technologies
　従来、サイバー攻撃に対応するために、侵入検知システム（Intrusion Detection System）、ファイアウォール（Firewall）／侵入防止システム（Intrusion Prevention System）等のネットワークセキュリティ技術が用いられている。しかしながら、５Ｇのセキュリティに関しては、上記したような通信トラヒックの増大や多数同時接続等の新たな状況に対応することが要求されている。
　そのため、５Ｇでは、従来よりも多くのネットワーク設備をシステム内に保持する必要があると共に、システムに接続される多種多様なデバイスや事業者を適切に管理する必要がある。現在、以上のような特性を有する５Ｇ等の無線通信システムに適したセキュリティ技術の開発が求められている。
　以上の事情に鑑み、本発明の目的は、セキュリティ情報に基づいた適切な収容を実現可能なコアネットワークノード、ＭＥＣサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体を提供することにある。
　本発明の一態様に係るコアネットワークノードは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える。
　本発明の一態様に係るＭＥＣ（Mobile Edge Computing）サーバは、複数のネットワークスライスを形成するコアネットワークに属する又は複数のネットワークスライスを形成するコアネットワークと通信可能なＭＥＣサーバであって、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部を備える。
　本発明の一態様に係る外部サーバは、複数のネットワークスライスを形成するコアネットワークと通信可能な外部サーバであって、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部を備える。
　本発明の一態様に係る通信システムは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードを備える通信システムであって、前記コアネットワークノードは、端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える。
　本発明の一態様に係る通信システムは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードと、前記コアネットワークに属する又は前記コアネットワークと通信可能なＭＥＣサーバと、を備える通信システムであって、前記ＭＥＣサーバは、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークノードに対して送信する通信処理部を備え、前記コアネットワークノードは、前記ＭＥＣサーバからの前記セキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える。
　本発明の一態様に係る通信システムは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードと、前記コアネットワークと通信可能な外部サーバと、を備える通信システムであって、前記外部サーバは、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークノードに対して送信する通信処理部を備え、前記コアネットワークノードは、前記外部サーバからの前記セキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える。
　本発明の一態様に係る制御方法は、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードの制御方法であって、端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信することを備える。
　本発明の一態様に係るプログラムは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる。
　本発明の一態様に係る非一過性の記録媒体は、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させるプログラムを記録する。
　本発明の一態様に係るコアネットワークノードは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、検知された前記脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部と、を備える。
　本発明の一態様に係るＭＥＣサーバは、複数のネットワークスライスを形成するコアネットワークに属する又は複数のネットワークスライスを形成するコアネットワークと通信可能なＭＥＣ（Mobile Edge Computing）サーバであって、特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、検知された前記脅威を示すセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部と、を備える。
　本発明の一態様に係る外部サーバは、複数のネットワークスライスを形成するコアネットワークと通信可能な外部サーバであって、特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、検知された前記脅威を示すセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部と、を備える。
　本発明の一態様に係る通信システムは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードを備える通信システムであって、前記コアネットワークノードは、特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備える。
　本発明の一態様に係る制御方法は、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードの制御方法であって、特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御することを備える。
　本発明の一態様に係るプログラムは、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる。
　本発明の一態様に係る非一過性の記録媒体は、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させるプログラムを記録する。
　本発明によれば、セキュリティ情報に基づいた適切なネットワークスライスへの収容処理を実現することが可能である。なお、本発明により、当該効果の代わりに、又は当該効果とともに、他の効果が奏されてもよい。
本発明の第１実施形態に係る通信システムＳ１の概略的な構成を例示する説明図である。 本発明の第１実施形態に係る端末装置１００の概略的な構成を例示するブロック図である。 本発明の第１実施形態に係る基地局２００の概略的な構成を例示するブロック図である。 本発明の第１実施形態に係るコアネットワーク３０の概略的な構成を例示するブロック図である。 本発明の第１実施形態に係るコアネットワーク３０のアーキテクチャを例示する説明図である。 本発明の第１実施形態に係るコアネットワークノード３００の概略的な構成を例示するブロック図である。 本発明の第１実施形態に係るアクセス管理ノード３５０の概略的な構成を例示するブロック図である。 本発明の第１実施形態に係るＭＥＣサーバ４００の概略的な構成を例示するブロック図である。 本発明の第１実施形態に係る外部サーバ５００の概略的な構成を例示するブロック図である。 従来のＳ－ＮＳＳＡＩ及びＳＳＴを例示する説明図である。 本発明の第１実施形態における第１の動作例を示すシーケンス図である。 本発明の第１実施形態における別の第１の動作例を示すシーケンス図である。 本発明の第１実施形態における第２の動作例を示すシーケンス図である。 本発明の第１実施形態における第３の動作例を示すシーケンス図である。 本発明の第２実施形態に係るアクセス管理ノード３５０ａの概略的な構成を例示するブロック図である。 本発明の第２実施形態に係るＭＥＣサーバ４００ａの概略的な構成を例示するブロック図である。 本発明の第２実施形態に係る外部サーバ５００ａの概略的な構成を例示するブロック図である。 本発明の第２実施形態に係る通信システムＳ１ａの第１の構成を概略的に例示するブロック図である。 本発明の第２実施形態に係る通信システムＳ１ａの第２の構成を概略的に例示するブロック図である。 本発明の第２実施形態に係る通信システムＳ１ａの第３の構成を概略的に例示するブロック図である。
　以下、添付の図面を参照して本発明の実施形態を詳細に説明する。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複した説明が省略され得る。
　以下に説明される各実施形態は、本発明を実現可能な構成の一例に過ぎない。以下の各実施形態は、本発明が適用される装置の構成や各種の条件に応じて適宜に修正又は変更することが可能である。以下の各実施形態に含まれる要素の組合せの全てが本発明を実現するに必須であるとは限られず、要素の一部を適宜に省略することが可能である。したがって、本発明の範囲は、以下の各実施形態に記載される構成によって限定されるものではない。相互に矛盾のない限りにおいて、実施形態内に記載された複数の構成を組み合わせた構成も採用可能である。
　本発明に係る説明は、以下の順序で行われる。
　１．　本発明の実施形態の概要
　２．　第１実施形態
　　２．１．　通信システムＳ１の構成
　　２．２．　端末装置１００の構成
　　２．３．　基地局２００の構成
　　２．４．　コアネットワーク３０の構成
　　　２．４．１．　一般的なコアネットワークノード３００の構成
　　　２．４．２．　アクセス管理ノード３５０の構成
　　２．５．　ＭＥＣサーバ４００の構成
　　２．６．　外部サーバ５００の構成
　　２．７．　動作例
　　　２．７．１．　第１の動作例
　　　２．７．２．　第２の動作例
　　　２．７．３．　第３の動作例
　　２．８．　変形例
　３．　第２実施形態
　　３．１．　アクセス管理ノード３５０ａの構成と動作例
　　３．２．　ＭＥＣサーバ４００ａの構成と動作例
　　３．３．　外部サーバ５００ａの構成と動作例
　　３．４．１．　通信システムＳ１ａの第１の構成と動作例
　　３．４．２．　通信システムＳ１ａの第２の構成と動作例
　　３．４．３．　通信システムＳ１ａの第３の構成と動作例
　４．　他の実施形態
＜＜１．　本発明の実施形態の概要＞＞
　まず、本発明の実施形態の概要を説明する。
　（１）技術的課題
　近年、様々な「モノ（Things）」がインターネットに接続されるＩｏＴ（Internet of Things）が広まり、ネットワークを介して提供されるサービスの多様化に伴う通信トラヒックが増大している。以上のような状況に対処するため、第５世代移動通信システム（以下、５Ｇ）の導入が各国において進展している。
　従来の３Ｇ／４Ｇは、特定のモバイルネットワーク事業者によって運用され、携帯電話及びスマートフォン等の移動端末に通信サービスを提供する。他方、５Ｇは、３Ｇ／４Ｇと比較して、多種多様な事業者の参画と多種多様なデバイスからの同時接続とが想定されている。
　従来、侵入検知システム（Intrusion Detection System）、ファイアウォール（Firewall）／侵入防止システム（Intrusion Prevention System）等のネットワークセキュリティ技術が用いられている。しかしながら、５Ｇのセキュリティに関しては、上記したような通信トラヒックの増大や多数同時接続等の新たな状況に対応することが要求されている。
　そのため、５Ｇでは、従来よりも多くのネットワーク設備をシステム内に保持する必要があると共に、システムに接続される多種多様なデバイスを適切に管理する必要がある。現在、以上のような特性を有する５Ｇ等の無線通信システムに適したセキュリティ技術の開発が求められている。
　以上の事情に鑑み、本実施形態では、セキュリティ情報に基づいた端末装置の適切な収容を実現することを目的とする。特に、本実施形態では、５Ｇのネットワークアーキテクチャ仕様（＜参考文献＞3GPP TS 23.501, 3GPP TS 23.502等）に規定されるネットワークスライス化（Network Slicing）に適したメッセージングに着目する。ネットワークスライス化は、同一のネットワーク物理設備を論理的（仮想的）に分割することにより、分割した論理的な設備（仮想資源）を組み合わせてネットワークスライス（又は、スライス）という論理的な通信網を構成する技術である。
　（２）技術的特徴
　本発明の実施形態では、複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードが、端末装置のセキュリティに関するセキュリティ情報に基づいて、上記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを上記端末装置に送信する。コアネットワークノードは、上記セキュリティ情報を自ら取得し得る。
　本発明の実施形態の一態様では、複数のネットワークスライスを形成するコアネットワークに属する又は複数のネットワークスライスを形成するコアネットワークと通信可能なＭＥＣサーバが、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを上記コアネットワークに属するコアネットワークノードに対して送信する。
　本発明の実施形態の一態様では、複数のネットワークスライスを形成するコアネットワークと通信可能な外部サーバが、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを上記コアネットワークに属するコアネットワークノードに対して送信する。
　以上の構成によれば、セキュリティ情報に基づいた適切なネットワークスライスへの収容処理を実現することが可能である。
　なお、本実施形態により、当該効果の代わりに、又は当該効果とともに、他の効果が奏されてもよい。なお、上述した技術的特徴は本発明の実施形態の具体的な一例であり、当然ながら、本発明の実施形態は上述した技術的特徴に限定されない。
＜＜２．　第１実施形態＞＞
　次いで、図１から図１４を参照して、本発明の第１実施形態を説明する。
＜＜２．１．　通信システムＳ１の構成＞＞
　図１は、本実施形態に係る通信システムＳ１の概略的な構成を例示する説明図である。図１に示すように、本実施形態の通信システムＳ１は、端末装置１００、基地局２００、コアネットワーク３０、ＭＥＣ（Mobile Edge Computing）サーバ４００、及び外部サーバ５００を有する。コアネットワーク３０は、複数のコアネットワークノード３００を含む。外部サーバ５００は、移動通信システムＭＣＳ（コアネットワーク３０）外に位置するサーバ装置であって、コアネットワーク３０と通信可能に接続されている。
　移動通信システムＭＣＳは、例えば、３ＧＰＰ（3rd Generation Partnership Project）の技術仕様（Technical Specification，ＴＳ）に準拠したシステムである。より具体的には、移動通信システムＭＣＳは、第５世代（５Ｇ）の技術仕様に準拠した第５世代移動通信システムであってよい。また、移動通信システムＭＣＳは、通信事業者ではない個別の事業者がプライベートに構築するローカル５Ｇであってもよい。移動通信システムＭＣＳは通信システムＳ１に内包される。当然ながら、通信システムＳ１の構成は本例に限定されない。
＜＜２．２．　端末装置１００の構成＞＞
　端末装置１００は、基地局２００と無線通信を行うノードである。端末装置１００は、例えば、スマートフォン等の携帯電話端末であってもよいし、自動運転車に搭載される通信モジュールであってもよいし、監視カメラやロボット等のＩｏＴデバイスに搭載される通信モジュールであってもよい。すなわち、端末装置１００は、高度化モバイルブロードバンド（enhanced Mobile Broadband，ｅＭＢＢ）向けのノードであってもよく、超高信頼性・低遅延通信（Ultra-Reliable and Low Latency Communications，ＵＲＬＬＣ）向けのノードであってもよく、大規模マシンタイプ通信（massive Machine Type Communications，ｍＭＴＣ）向けのノードであってもよく、車両通信（Vehicle to X，Ｖ２Ｘ）向けのノードであってもよい。
　図２は、本実施形態に係る端末装置１００の概略的な構成を例示するブロック図である。図２に示すように、端末装置１００は、無線通信部１１０と記憶部１２０と処理部１３０とを有する。
　無線通信部１１０は、基地局２００と無線通信を行う要素である。無線通信部１１０は、基地局２００に対して無線信号を送信し、基地局２００から無線信号を受信する。無線通信部１１０は、例えば、アンテナ及び高周波（Radio Frequency，ＲＦ）回路によって実装され得る。
　記憶部１２０は、端末装置１００における種々の処理を実行するのに用いられるプログラム（命令）及びデータを一時的又は恒久的に格納する要素である。上記プログラムは、端末装置１００の動作のための１つ以上の命令を含む。記憶部１２０は、例えば、揮発性メモリ、不揮発性メモリ、若しくは磁気ディスク等の記憶媒体又はこれらの２種以上の組合せによって実装され得る。また、記憶部１２０が処理部１３０を構成する１以上のプロセッサと一体的に構成されてもよい。
　処理部１３０は、端末装置１００の種々の機能を提供する要素であって、制御部１３１と通信処理部１３２とを機能ブロックとして有する。概略的には、制御部１３１が端末装置１００の処理を制御し、通信処理部１３２が基地局２００等の他のノードとの通信処理を実行する。なお、処理部１３０は、以上の機能ブロック以外の構成要素を更に含んでよい。即ち、処理部１３０は、以上の機能ブロックによる動作以外の動作を実行できる。
　処理部１３０は、例えば、ベースバンドプロセッサ等の１以上のプロセッサによって実装され得る。処理部１３０は、記憶部１２０に記憶されたプログラムを記憶部１２０及び／又は不図示のシステムメモリに展開し実行することによって、後述される本実施形態の処理を実現してよい。なお、各機能ブロック（制御部１３１及び通信処理部１３２）が、処理部１３０とは別の１以上のプロセッサによって実現されてもよい。処理部１３０がＳｏＣ（System on Chip）内で実装されてもよい。
＜＜２．３．　基地局２００の構成＞＞
　基地局２００は、端末装置１００と無線通信を行うノードであって、すなわち、無線アクセスネットワーク（Radio Access Network，ＲＡＮ）のノードである。基地局２００は、例えば、ｅＮＢ（evolved Node B）であってもよいし、５ＧにおけるｇＮＢ（generation Node B）であってもよい。
　図３は、本実施形態に係る基地局２００の概略的な構成を例示するブロック図である。図３に示すように、基地局２００は、無線通信部２１０とネットワーク通信部２２０と記憶部２３０と処理部２４０とを有する。
　無線通信部２１０は、端末装置１００と無線通信を行う要素である。無線通信部２１０は、端末装置１００に対して無線信号を送信し、端末装置１００から無線信号を受信する。無線通信部２１０は、例えば、アンテナ及び高周波（Radio Frequency，ＲＦ）回路によって実装され得る。
　ネットワーク通信部２２０は、コアネットワーク３０と通信する要素である。ネットワーク通信部２２０は、コアネットワーク３０に対して信号を送信し、コアネットワーク３０から信号を受信する。ネットワーク通信部２２０は、例えば、ネットワークアダプタ及び／又はネットワークインターフェースカードによって実装され得る。
　記憶部２３０は、基地局２００における種々の処理を実行するのに用いられるプログラム（命令）及びデータを一時的又は恒久的に格納する要素である。上記プログラムは、基地局２００の動作のための１つ以上の命令を含む。記憶部２３０は、例えば、揮発性メモリ、不揮発性メモリ、若しくは磁気ディスク等の記憶媒体又はこれらの２種以上の組合せによって実装され得る。また、記憶部２３０が処理部２４０を構成する１以上のプロセッサと一体的に構成されてもよい。
　処理部２４０は、基地局２００の種々の機能を提供する要素であって、制御部２４１と通信処理部２４２とを機能ブロックとして有する。概略的には、制御部２４１が基地局２００の処理を制御し、通信処理部２４２が端末装置１００やコアネットワークノード３００等の他のノードとの通信処理を実行する。なお、処理部２４０は、以上の機能ブロック以外の構成要素を更に含んでよい。即ち、処理部２４０は、以上の機能ブロックによる動作以外の動作を実行できる。
　処理部２４０は、例えば、ベースバンドプロセッサ等の１以上のプロセッサによって実装され得る。処理部２４０は、記憶部２３０に記憶されたプログラムを記憶部２３０及び／又は不図示のシステムメモリに展開し実行することによって、後述される本実施形態の処理を実現してよい。なお、各機能ブロック（制御部２４１及び通信処理部２４２）が、処理部２４０とは別の１以上のプロセッサによって実現されてもよい。
　なお、基地局２００が仮想化されていてもよい。すなわち、基地局２００が仮想マシンとして実装されてもよい。以上の場合、基地局２００（仮想マシン）は、プロセッサ及びメモリ等を含む物理マシン（ハードウェア）及びハイパーバイザ上で仮想マシンとして動作してよい。
＜＜２．４．　コアネットワーク３０の構成＞＞
　コアネットワーク３０は、例えば、５Ｇコアネットワーク（５ＧＣ）であって、一部又は全部がネットワーク機能仮想化（Network Function Virtualization，ＮＦＶ）技術を用いて構成される。
　図４は、本実施形態に係るコアネットワーク３０の概略的な構成を例示するブロック図である。図４に示すように、コアネットワーク３０は、サーバ装置ＳＶとストレージ装置ＳＴとネットワーク装置ＮＷとをハードウェアとして有する。
　以上のコアネットワーク３０のハードウェアはＮＦＶ技術を用いて仮想化され、複数のコアネットワークノード３００（インスタンス）が構成される。コアネットワークノード３００のタイプを非限定的に列挙する。
　－ＡＭＦ（Access and Mobility Management Function）
　－ＳＭＦ（Session Management Function）
　－ＰＣＦ（Policy Control Function）
　－ＮＳＳＦ（Network Slice Selection Function）
　－ＡＵＳＦ（Authentication Server Function）
　－ＵＤＭ（Unified Data Management）
　－ＵＰＦ（User Plane Function）
　なお、複数のコアネットワークノード３００の少なくとも一部が、ＮＦＶ技術を用いない物理装置によって実現されてもよい。
　仮想化されたコアネットワーク３０のリソースは、図４に示すように、各々が論理的（仮想的）なネットワークを構成する複数のネットワークスライスＮＳ１，ＮＳ２，ＮＳ３，…に分割され得る。すなわち、本実施形態のコアネットワーク３０は、複数のネットワークスライスＮＳを形成し得る。複数のネットワークスライスＮＳは、それぞれ異なるネットワーク特性を有する。各ネットワークスライスＮＳは、複数のコアネットワークノード３００を有する。なお、ネットワークスライスＮＳに属さないコアネットワークノード３００が存在してもよいし、１つのコアネットワークノード３００が複数のネットワークスライスＮＳに属してもよい。
　図５は、コアネットワーク３０のアーキテクチャを例示する説明図である。コアネットワーク３０のＣプレーンには、上記したＡＭＦ、ＳＭＦ、ＰＣＦ、ＮＳＳＦ、ＡＵＳＦ、ＵＤＭがネットワーク機能（コアネットワークノード３００）として含まれる。コアネットワーク３０のＵプレーンには、上記した１以上のＵＰＦがネットワーク機能（コアネットワークノード３００）として含まれる。ＵＰＦは、後述されるＭＥＣサーバ４００及び外部サーバ５００との接続点として構成され得る。
＜＜２．４．１．　一般的なコアネットワークノード３００の構成＞＞
　コアネットワークノード３００の各々は、コアネットワーク３０における特定のネットワーク機能（サービス）を提供する機能的な要素である。
　図６は、本実施形態に係るコアネットワークノード３００の概略的な構成を例示するブロック図である。図６に示すように、コアネットワークノード３００は、ネットワーク通信部３１０と記憶部３２０と処理部３３０とを有する。
　ネットワーク通信部３１０は、コアネットワーク３０内外の他ノードと通信する要素である。ネットワーク通信部３１０は、他ノードに対して信号を送信し、他ノードから信号を受信する。ネットワーク通信部３１０は、前述のように、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０のリソースによって実装され得る。
　記憶部３２０は、コアネットワークノード３００における種々の処理を実行するのに用いられるプログラム（命令）及びデータを一時的又は恒久的に格納する要素である。上記プログラムは、コアネットワークノード３００の動作のための１つ以上の命令を含む。記憶部３２０は、前述のように、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０のリソースによって実装され得る。
　処理部３３０は、コアネットワークノード３００の種々の機能を提供する要素であって、制御部３３１と通信処理部３３３とを機能ブロックとして有する。概略的には、制御部３３１がコアネットワークノード３００の処理を制御し、通信処理部３３３が他のノードとの通信処理を実行する。なお、処理部３３０は、以上の機能ブロック以外の構成要素を更に含んでよい。即ち、処理部３３０は、以上の機能ブロックによる動作以外の動作を実行できる。処理部３３０は、前述のように、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０のリソースによって実装され得る。
＜＜２．４．２．　アクセス管理ノード３５０の構成＞＞
　アクセス管理ノード３５０は、例えば、３ＧＰＰ技術仕様（例えば、＜参考文献＞3GPP TS 23.501）に規定されるＡＭＦ（Access and Mobility Management Function）である。アクセス管理ノード３５０は、ＣプレーンのＮ２インタフェースを終端するノードであって、登録管理機能、接続管理機能、及び移動管理機能を提供する。
　図７は、本実施形態に係るアクセス管理ノード３５０の概略的な構成を例示するブロック図である。図７に示すように、アクセス管理ノード３５０は、ネットワーク通信部３１０と記憶部３２０と処理部３６０とを有する。ネットワーク通信部３１０及び記憶部３２０の構成及び機能は、一般的なコアネットワークノード３００と同様である。
　処理部３６０は、制御部３３１と検知部３３２と通信処理部３３３とを有する。制御部３３１及び通信処理部３３３の構成及び機能は、一般的なコアネットワークノード３００と同様である。検知部３３２は、概略的には、端末装置１００等のノードのセキュリティに関する状態や情報を検知する。
　なお、本実施形態によるアクセス管理ノード３５０の機能が、他のネットワーク機能インスタンスによって実現されてもよい。
＜＜２．５．　ＭＥＣサーバ４００の構成＞＞
　ＭＥＣサーバ４００は、コアネットワーク３０に属するサーバであって、端末装置１００に所定のサービスを提供する。ＭＥＣサーバ４００は、一般的なサーバよりも端末装置１００に近接して配置されることによって、端末装置１００に対してより効率的にサービスを提供することが可能となる。
　図８は、本実施形態に係るＭＥＣサーバ４００の概略的な構成を例示するブロック図である。図８に示すように、ＭＥＣサーバ４００は、ネットワーク通信部４１０と記憶部４２０と処理部４３０とを有する。
　ネットワーク通信部４１０は、コアネットワーク３０と通信する要素である。ネットワーク通信部４１０は、コアネットワーク３０に対して信号を送信し、コアネットワーク３０から信号を受信する。ネットワーク通信部４１０は、例えば、ネットワークアダプタ及び／又はネットワークインターフェースカードによって実装され得る。
　記憶部４２０は、ＭＥＣサーバ４００における種々の処理を実行するのに用いられるプログラム（命令）及びデータを一時的又は恒久的に格納する要素である。上記プログラムは、ＭＥＣサーバ４００の動作のための１つ以上の命令を含む。記憶部４２０は、例えば、揮発性メモリ、不揮発性メモリ、若しくは磁気ディスク等の記憶媒体又はこれらの２種以上の組合せによって実装され得る。また、記憶部４２０が処理部４３０を構成する１以上のプロセッサと一体的に構成されてもよい。
　処理部４３０は、ＭＥＣサーバ４００の種々の機能を提供する要素であって、制御部４３１と検知部４３２と通信処理部４３３とを機能ブロックとして有する。概略的には、制御部４３１がＭＥＣサーバ４００の処理を制御し、検知部４３２が端末装置１００等のノードのセキュリティに関する状態や情報を検知し、通信処理部４３３がコアネットワークノード３００等の他のノードとの通信処理を実行する。なお、処理部４３０は、以上の機能ブロック以外の構成要素を更に含んでよい。即ち、処理部４３０は、以上の機能ブロックによる動作以外の動作を実行できる。
　処理部４３０は、例えば、１以上のプロセッサによって実装され得る。処理部４３０は、記憶部４２０に記憶されたプログラムを記憶部４２０及び／又は不図示のシステムメモリに展開し実行することによって、後述される本実施形態の処理を実現してよい。なお、各機能ブロック（制御部４３１、検知部４３２、及び通信処理部４３３）が、処理部４３０とは別の１以上のプロセッサによって実現されてもよい。
　なお、ＭＥＣサーバ４００（ネットワーク通信部４１０、記憶部４２０、及び処理部４３０）がＮＦＶ技術による仮想化されたリソースによって実装されてもよい。また、ＭＥＣサーバ４００は、コアネットワーク３０ではなく基地局２００と通信するように構成されてもよい。すなわち、ＭＥＣサーバ４００が基地局２００を介してコアネットワーク３０と通信可能に構成されてよい。
＜＜２．６．　外部サーバ５００の構成＞＞
　外部サーバ５００は、コアネットワーク３０外に位置するサーバである。外部サーバ５００は、コアネットワーク３０を介して、又はインターネット等の他のネットワークを介して、端末装置１００にサービスを提供する装置である。
　図９は、本実施形態に係る外部サーバ５００の概略的な構成を例示するブロック図である。図９に示すように、外部サーバ５００は、ネットワーク通信部５１０と記憶部５２０と処理部５３０とを有する。
　ネットワーク通信部５１０は、コアネットワーク３０と通信する要素である。ネットワーク通信部５１０は、コアネットワーク３０に対して信号を送信し、コアネットワーク３０から信号を受信する。ネットワーク通信部５１０は、例えば、ネットワークアダプタ及び／又はネットワークインターフェースカードによって実装され得る。
　記憶部５２０は、外部サーバ５００における種々の処理を実行するのに用いられるプログラム（命令）及びデータを一時的又は恒久的に格納する要素である。上記プログラムは、外部サーバ５００の動作のための１つ以上の命令を含む。記憶部５２０は、例えば、揮発性メモリ、不揮発性メモリ、若しくは磁気ディスク等の記憶媒体又はこれらの２種以上の組合せによって実装され得る。また、記憶部５２０が処理部５３０を構成する１以上のプロセッサと一体的に構成されてもよい。
　処理部５３０は、外部サーバ５００の種々の機能を提供する要素であって、制御部５３１と検知部５３２と通信処理部５３３とを機能ブロックとして有する。概略的には、制御部５３１が外部サーバ５００の処理を制御し、検知部５３２が端末装置１００等のノードのセキュリティに関する状態や情報を検知し、通信処理部５３３がコアネットワークノード３００等の他のノードとの通信処理を実行する。なお、処理部５３０は、以上の機能ブロック以外の構成要素を更に含んでよい。即ち、処理部５３０は、以上の機能ブロックによる動作以外の動作を実行できる。
　処理部５３０は、例えば、１以上のプロセッサによって実装され得る。処理部５３０は、記憶部５２０に記憶されたプログラムを記憶部５２０及び／又は不図示のシステムメモリに展開し実行することによって、後述される本実施形態の処理を実現してよい。なお、各機能ブロック（制御部５３１、検知部５３２、及び通信処理部５３３）が、処理部５３０とは別の１以上のプロセッサによって実現されてもよい。
＜＜２．７．　動作例＞＞
　図１０から図１４を参照して、本実施形態の複数の動作例を説明する。以下の動作例における共通点は、アクセス管理ノード３５０の通信処理部３３３が、端末装置１００のセキュリティに関するセキュリティ情報ＳＩに基づいて、端末装置１００を収容すべきネットワークスライスＮＳに関するパラメータを示すコマンドを端末装置１００に送信することである。
　上記コマンドは、例えば、端末装置１００を収容すべきネットワークスライスＮＳを特定するスライス情報を含んでよい。上記コマンドは、例えば、端末装置１００（User Equipment，ＵＥ）の構成を更新するUE Configuration Update Commandであってよい。上記コマンドに含まれるスライス情報は、例えば、スライス／サービスタイプ（Slice/Service Type，ＳＳＴ）を特定するＮＳＳＡＩ（Network Slice Selection Assistance Information）パラメータを含んでよい。
　上記UE Configuration Update Commandは、例えば、＜参考文献＞3GPP TS 23.502（例えば、4.2.4.2 UE Configuration Update procedure for access and mobility management related parameters）に準拠してよい。また、上記ＳＳＴを特定するＮＳＳＡＩ（例えば、Ｓ－ＮＳＳＡＩ）は、例えば、＜参考文献＞3GPP TS 23.003（例えば、28.4.2 Format of the S-NSSAI）及び＜参考文献＞3GPP TS 3GPP TS 23.501（例えば、5.15.2.2 Standardised SST values）に準拠してよい。上記ＳＳＴは、ｅＭＢＢ、ＵＲＬＬＣ、ｍＭＴＣ（ＭＩｏＴ）、Ｖ２Ｘ等を特定する値（SST Value）を示してよい。図１０は、Ｓ－ＮＳＳＡＩ及びＳＳＴを例示する説明図である。
　ここで、図１０に示すように、従来の技術仕様では、ネットワークの静的な特性に応じたＳＳＴが規定されているのみであって、検知された脅威や脆弱性（セキュリティ情報）に応じたＳＳＴ（ひいては、ネットワークスライスＮＳ）は規定されていない。また、検知された脅威や脆弱性（セキュリティ情報）に応じたネットワークスライスＮＳの選択も、従来の技術仕様には規定されていない（例えば、＜参考文献＞3GPP TS 23.502の4.2.4.2 UE Configuration Update procedure for access and mobility management related parameters）。
＜＜２．７．１．　第１の動作例＞＞
　図１１及び図１２は、本実施形態における第１の動作例を示すシーケンス図である。図１１は、端末装置１００からの制御メッセージに基づいてアクセス管理ノード３５０が脆弱性を検知する例に対応し、図１２は、端末装置１００の通信内容に基づいてアクセス管理ノード３５０が脅威を検知する例に対応する。
　図１１に示すように、ステップＳ１１０において、端末装置１００の通信処理部１３２が、登録要求メッセージ（Registration Request Message）を基地局２００を介してアクセス管理ノード３５０に送信する。端末装置１００は、例えば、位置登録時に以上の登録要求メッセージをアクセス管理ノード３５０に送信してよい。以上の登録要求メッセージは、端末装置１００のセキュリティ能力を示すＮ２パラメータを含んでよい。以上の登録要求メッセージはＣプレーンのメッセージである。
　ステップＳ１２０において、アクセス管理ノード３５０の検知部３３２が、端末装置１００が送信する登録要求メッセージに示される端末装置１００のセキュリティ能力に基づいて端末装置１００に存在する脆弱性を検知する。検知部３３２は、検知した脆弱性をセキュリティ情報ＳＩとして通信処理部３３３に通知する。
　ステップＳ１３０において、アクセス管理ノード３５０の通信処理部３３３が、検知部３３２から通知されたセキュリティ情報ＳＩに基づいて、端末装置１００を収容すべきネットワークスライスＮＳに関するパラメータを示すコマンドを端末装置１００に送信する。
　ステップＳ１３０において送信されるコマンドは、例えば、検疫機能を有するネットワークスライスＮＳである検疫ネットワークスライスを特定してよい。すなわち、通信処理部３３３は、セキュリティ情報ＳＩに基づいて、検疫機能を有する検疫ネットワークスライスに端末装置１００を収容させてよい。
　また、例えば、ステップＳ１３０において送信されるコマンドは、端末装置１００のセキュリティ能力に応じたセキュリティレベルを有するネットワークスライスＮＳを特定してよい。すなわち、通信処理部３３３は、セキュリティ情報ＳＩに応じたセキュリティレベルを有するネットワークスライスＮＳに端末装置１００を収容させてよい。
　以降、端末装置１００を含む各ノードが、以上のように検知された脆弱性（すなわち、セキュリティ情報ＳＩ）に基づいてネットワークスライスＮＳの構成変更に関する動作を実行することによって、端末装置１００が適切なネットワークスライスＮＳに収容される。
　次いで、図１２の例について説明する。図１２に示すように、ステップＳ１１２において、端末装置１００の通信処理部１３２が、基地局２００を介してアクセス管理ノード３５０にＣプレーン上の信号を送信する。上記信号は、例えば、認証関連の制御メッセージであってもよいし、その他の制御メッセージであってもよい。
　ステップＳ１２２において、アクセス管理ノード３５０の検知部３３２が、端末装置１００が送信するＣプレーン上の信号（すなわち、端末装置１００のＣプレーン上の通信内容）に基づいて端末装置１００に対する脅威を検知する。検知部３３２は、検知した脅威をセキュリティ情報ＳＩとして通信処理部３３３に通知する。なお、検知部３３２は、端末装置１００のＣプレーン上の通信内容に基づいて端末装置１００に存在する脆弱性を検知してもよい。
　ステップＳ１３０において、図１１の例と同様に、アクセス管理ノード３５０の通信処理部３３３が、検知部３３２から通知されたセキュリティ情報ＳＩに基づいて、端末装置１００を収容すべきネットワークスライスＮＳに関するパラメータを示すコマンドを端末装置１００に送信する。
　ステップＳ１３０において送信されるコマンドによって生じる動作は、図１１の例と同様である。すなわち、セキュリティ情報ＳＩに基づいて、検疫機能を有する検疫ネットワークスライスに端末装置１００が収容されてもよく、セキュリティ情報ＳＩに応じたセキュリティレベルを有するネットワークスライスＮＳに端末装置１００が収容されてもよい。
　また、例えば、ステップＳ１３０において送信されるコマンドは、セキュリティ情報ＳＩに含まれる脅威が示す攻撃対象をコアネットワーク３０から切り離すような制御を実現するコマンドであってもよい。
　以降、図１１の例と同様に、端末装置１００を含む各ノードが、以上のように検知された脅威（すなわち、セキュリティ情報ＳＩ）に基づいてネットワークスライスＮＳの構成変更に関する動作を実行することによって、端末装置１００が適切なネットワークスライスＮＳに収容される。
＜＜２．７．２．　第２の動作例＞＞
　図１３は、本実施形態における第２の動作例を示すシーケンス図である。図１３は、端末装置１００からの通信内容に基づいてＭＥＣサーバ４００が脆弱性又は脅威を検知する例に対応する。
　ステップＳ２１０において、端末装置１００の通信処理部１３２が、ＵＰＦノード３００を介してＭＥＣサーバ４００とＵプレーン上の信号を送受信する。上記信号は、例えば、Ｗｅｂサイトを構成するユーザデータであってもよいし、その他のユーザデータであってもよい。
　ステップＳ２２０において、ＭＥＣサーバ４００の検知部４３２が、端末装置１００が送受信するＵプレーン上の信号（すなわち、端末装置１００のＵプレーン上の通信内容）に基づいて、端末装置１００に存在する脆弱性又は端末装置１００に対する脅威を検知する。検知部４３２は、例えば、端末装置１００のＵプレーン上のデータに含まれるマルウェアを脅威として検知できる。
　ステップＳ２３０において、ＭＥＣサーバ４００の通信処理部４３３が、検知部４３２が検知した脆弱性又は脅威をセキュリティ情報ＳＩとしてＵＰＦノード３００を介してアクセス管理ノード３５０に通知する。なお、通信処理部４３３は、以上のセキュリティ情報ＳＩを含むネットワークスライス構成の変更要求をアクセス管理ノード３５０に通知してよい。
　ステップＳ２４０において、図１１及び図１２の例と同様に、アクセス管理ノード３５０の通信処理部３３３が、ＭＥＣサーバ４００から通知されたセキュリティ情報ＳＩに基づいて、端末装置１００を収容すべきネットワークスライスＮＳに関するパラメータを示すコマンドを端末装置１００に送信する。
　ステップＳ２４０において送信コマンドによって生じる動作は、図１１及び図１２の例と同様である。すなわち、セキュリティ情報ＳＩに基づいて、検疫機能を有する検疫ネットワークスライスに端末装置１００が収容されてもよく、セキュリティ情報ＳＩに応じたセキュリティレベルを有するネットワークスライスＮＳに端末装置１００が収容されてもよい。また、ステップＳ２４０において送信されるコマンドは、セキュリティ情報ＳＩに含まれる脅威が示す攻撃対象をコアネットワーク３０から切り離すような制御を実現するコマンドであってもよい。
　以降、図１１及び図１２の例と同様に、端末装置１００を含む各ノードが、以上のように検知された脆弱性又は脅威（すなわち、セキュリティ情報ＳＩ）に基づいてネットワークスライスＮＳの構成変更に関する動作を実行することによって、端末装置１００が適切なネットワークスライスＮＳに収容される。
＜＜２．７．３．　第３の動作例＞＞
　図１４は、本実施形態における第３の動作例を示すシーケンス図である。図１４は、端末装置１００からの通信内容に基づいて外部サーバ５００が脆弱性又は脅威を検知する例に対応する。
　ステップＳ３１０において、端末装置１００の通信処理部１３２が、外部サーバ５００とＣプレーン上の信号及びＵプレーン上の信号を送受信する。上記Ｃプレーン上の信号は、例えば、ログデータであってもよいし、その他の制御メッセージであってもよい。上記Ｕプレーン上の信号は、例えば、Ｗｅｂサイトを構成するユーザデータであってもよいし、その他のユーザデータであってもよい。
　ステップＳ３２０において、外部サーバ５００の検知部５３２が、端末装置１００が送受信するＣプレーン上の信号及び／又はＵプレーン上の信号（すなわち、端末装置１００のＣプレーン及び／又はＵプレーン上の通信内容）に基づいて、端末装置１００に存在する脆弱性又は端末装置１００に対する脅威を検知する。検知部５３２は、例えば、端末装置１００のＵプレーン上のデータに含まれるマルウェアを脅威として検知できる。他に、検知部５３２は、例えば、端末装置１００のＣプレーン上の通信をインターセプトすることで脅威を検知できる。
　ステップＳ３３０において、外部サーバ５００の通信処理部５３３が、検知部５３２が検知した脆弱性又は脅威をセキュリティ情報ＳＩとしてアクセス管理ノード３５０に通知する。通信処理部５３３は、セキュリティ情報ＳＩをＵプレーン上の信号としてＵＰＦノード３００を介してアクセス管理ノード３５０に送信してもよいし、セキュリティ情報ＳＩをＣプレーン上の信号としてアクセス管理ノード３５０に送信してもよい。なお、通信処理部５３３は、以上のセキュリティ情報ＳＩを含むネットワークスライス構成の変更要求をアクセス管理ノード３５０に通知してよい。
　ステップＳ３４０において、図１１及び図１２の例と同様に、アクセス管理ノード３５０の通信処理部３３３が、外部サーバ５００から通知されたセキュリティ情報ＳＩに基づいて、端末装置１００を収容すべきネットワークスライスＮＳに関するパラメータを示すコマンドを端末装置１００に送信する。
　ステップＳ３４０において送信コマンドによって生じる動作は、図１１及び図１２の例と同様である。すなわち、セキュリティ情報ＳＩに基づいて、検疫機能を有する検疫ネットワークスライスに端末装置１００が収容されてもよく、セキュリティ情報ＳＩに応じたセキュリティレベルを有するネットワークスライスＮＳに端末装置１００が収容されてもよい。また、ステップＳ３４０において送信されるコマンドは、セキュリティ情報ＳＩに含まれる脅威が示す攻撃対象をコアネットワーク３０から切り離すような制御を実現するコマンドであってもよい。
　以降、図１１及び図１２の例と同様に、端末装置１００を含む各ノードが、以上のように検知された脆弱性又は脅威（すなわち、セキュリティ情報ＳＩ）に基づいてネットワークスライスＮＳの構成変更に関する動作を実行することによって、端末装置１００が適切なネットワークスライスＮＳに収容される。
　上記した本実施形態の構成によれば、アクセス管理ノード３５０、ＭＥＣサーバ４００、又は外部サーバ５００が検知したセキュリティ情報ＳＩに基づいて、適切なネットワークスライスへの収容処理を実現することが可能である。すなわち、上記した本実施形態の構成によって、端末装置１００を適切なネットワークスライスに収容することが可能である。
　特に、多種多様な端末装置１００がコアネットワーク３０に接続されても、適切なネットワークスライスＮＳに端末装置１００を動的に収容できるので、個々の端末装置１００や、端末装置１００を使用する個々の事業者に対して、個別の設定管理をする負荷が回避される。ひいては、通信システムＳ１の管理負荷や管理コストを低減することができる。
　加えて、検知された脆弱性や脅威に応じてネットワークスライスＮＳの動的な割当てが実現できるので、通信トラヒックが増大してもハードウェア増設の規模（ひいては、設備投資コスト）を低減することができる。
＜＜２．８．　変形例＞＞
　上記した本実施形態は多様に変形される。具体的な変形の態様を以下に例示する。以上の実施形態及び以下の例示から任意に選択された２以上の態様は、相互に矛盾しない限り適宜に併合され得る。
　上記した脆弱性又は脅威が検知されたことに基づいて、新たなネットワークスライスＮＳが形成されてもよい。脆弱性又は脅威を示すセキュリティ情報ＳＩに適合したネットワークスライスＮＳ（例えば、脆弱性又は脅威のレベルに応じたセキュリティレベルを有するネットワークスライスＮＳ）が形成されると好適である。
　上記した本実施形態においては、端末装置１００が送受信する信号（Ｃプレーン上の信号又はＵプレーン上の信号）に基づいて脆弱性や脅威が検知され、端末装置１００を単位としてネットワークスライスＮＳの割当てが実行される。
　しかしながら、以上の構成では、個々の端末装置１００ごとにネットワークスライスＮＳの制御が実行されるので、処理粒度（制御粒度）が微細に過ぎる可能性がある。そこで、本変形例においては、端末装置１００ではなく事業者を単位としてネットワークスライスＮＳの制御が実行される。
　例えば、アクセス管理ノード３５０の検知部３３２、ＭＥＣサーバ４００の検知部４３２、又は外部サーバ５００の検知部５３２によって、特定の事業者に対する脅威（攻撃）が検知されると、以上の脅威（攻撃）を示すセキュリティ情報ＳＩがアクセス管理ノード３５０の通信処理部３３３に供給される。以上の脅威は、特定の事業者が管理するノードが送受信する信号（Ｃプレーン上の信号又はＵプレーン上の信号）に基づいて検知され得る。
　アクセス管理ノード３５０の通信処理部３３３は、供給された以上のセキュリティ情報ＳＩに基づいて、他のネットワークスライスＮＳ（例えば、セキュリティ情報ＳＩが示す攻撃対象であるネットワークスライスＮＳ以外のネットワークスライスＮＳ）に特定の事業者を収容するように制御する。
　「ネットワークスライスＮＳに事業者を収容する」とは、例えば、特定の事業者が管理する全部又は一部のノードを、上記ネットワークスライスＮＳに収容することを意味し得る。上記ネットワークスライスＮＳに収容される上記ノードには、特定の事業者が管理するコアネットワークノード３００が含まれ得る。
　以上の本変形例の構成によれば、事業者を単位としてネットワークスライスＮＳの制御が実行されるので、より効率的な収容処理を実現することが可能である。
＜＜３．　第２実施形態＞＞
　次いで、図１５から図２０を参照して、本発明の第２実施形態を説明する。上述した第１実施形態は具体的な実施形態であるが、第２実施形態はより一般化された実施形態である。以下の第２実施形態によれば、第１実施形態と同様の技術的効果が奏される。
＜＜３．１．　アクセス管理ノード３５０ａの構成と動作例＞＞
　図１５は、本発明の第２実施形態に係るアクセス管理ノード３５０ａの概略的な構成を例示するブロック図である。図１５に示すように、アクセス管理ノード３５０ａは、複数のネットワークスライスを形成するコアネットワーク３０ａに属するコアネットワークノードである。
　アクセス管理ノード３５０ａの通信処理部３３３ａは、端末装置のセキュリティに関するセキュリティ情報に基づいて、上記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを上記端末装置に送信する。
　アクセス管理ノード３５０ａ及び通信処理部３３３ａは、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０ａのリソースによって実装されてよい。また、アクセス管理ノード３５０ａが、ＮＦＶ技術を用いない物理装置によって実現され、通信処理部３３３ａが、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　－第１実施形態との関係
　一例として、第２実施形態に係るアクセス管理ノード３５０ａが備える通信処理部３３３ａが、第１実施形態に係るアクセス管理ノード３５０が備える通信処理部３３３の動作を実行してもよい。以上の場合、第１実施形態についての説明が第２実施形態にも適用可能である。なお、第２実施形態は以上の例に限定されるものではない。
＜＜３．２．　ＭＥＣサーバ４００ａの構成と動作例＞＞
　図１６は、本発明の第２実施形態に係るＭＥＣサーバ４００ａの概略的な構成を例示するブロック図である。図１６に示すように、ＭＥＣサーバ４００は、複数のネットワークスライスを形成するコアネットワーク３０ａに属する。なお、ＭＥＣサーバ４００ａが、上記コアネットワーク３０ａの外部に上記コアネットワーク３０ａと通信可能なように設けられてもよい。
　ＭＥＣサーバ４００ａの通信処理部４３３ａは、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを上記コアネットワーク３０ａに属するコアネットワークノードに対して送信する。
　ＭＥＣサーバ４００ａ及び通信処理部４３３ａは、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０ａのリソースによって実装されてよい。また、ＭＥＣサーバ４００ａが、ＮＦＶ技術を用いない物理装置によって実現され、通信処理部４３３ａが、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　－第１実施形態との関係
　一例として、第２実施形態に係るＭＥＣサーバ４００ａが備える通信処理部４３３ａが、第１実施形態に係るＭＥＣサーバ４００が備える通信処理部４３３の動作を実行してもよい。以上の場合、第１実施形態についての説明が第２実施形態にも適用可能である。なお、第２実施形態は以上の例に限定されるものではない。
＜＜３．３．　外部サーバ５００ａの構成と動作例＞＞
　図１７は、本発明の第２実施形態に係る外部サーバ５００ａの概略的な構成を例示するブロック図である。図１７に示すように、外部サーバ５００は、複数のネットワークスライスを形成するコアネットワーク３０ａと通信可能に設けられる。
　外部サーバ５００ａの通信処理部５３３ａは、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを上記コアネットワーク３０ａに属するコアネットワークノードに対して送信する。
　外部サーバ５００ａは、サーバ装置等の物理装置によって実現されてよい。通信処理部５３３ａは、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　－第１実施形態との関係
　一例として、第２実施形態に係る外部サーバ５００ａが備える通信処理部５３３ａが、第１実施形態に係る外部サーバ５００が備える通信処理部５３３の動作を実行してもよい。以上の場合、第１実施形態についての説明が第２実施形態にも適用可能である。なお、第２実施形態は以上の例に限定されるものではない。
＜＜３．４．１．　通信システムＳ１ａの第１の構成と動作例＞＞
　図１８は、本発明の第２実施形態に係る通信システムＳ１ａの第１の構成を概略的に例示するブロック図である。図１８に示すように、通信システムＳ１ａは、アクセス管理ノード３５０をコアネットワークノードとして備える。アクセス管理ノード３５０ａは、複数のネットワークスライスを形成するコアネットワーク３０ａに属する。
　アクセス管理ノード３５０ａの通信処理部３３３ａは、端末装置のセキュリティに関するセキュリティ情報に基づいて、上記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを上記端末装置に送信する。
　アクセス管理ノード３５０ａ及び通信処理部３３３ａは、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０ａのリソースによって実装されてよい。また、アクセス管理ノード３５０ａが、ＮＦＶ技術を用いない物理装置によって実現され、通信処理部３３３ａが、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　－第１実施形態との関係
　一例として、第２実施形態に係るアクセス管理ノード３５０ａが備える通信処理部３３３ａが、第１実施形態に係るアクセス管理ノード３５０が備える通信処理部３３３の動作を実行してもよい。以上の場合、第１実施形態についての説明が第２実施形態にも適用可能である。なお、第２実施形態は以上の例に限定されるものではない。
＜＜３．４．２．　通信システムＳ１ａの第２の構成と動作例＞＞
　図１９は、本発明の第２実施形態に係る通信システムＳ１ａの第２の構成を概略的に例示するブロック図である。図１９に示すように、通信システムＳ１ａは、アクセス管理ノード３５０をコアネットワークノードとして備えると共に、ＭＥＣサーバ４００ａを備える。アクセス管理ノード３５０ａ及びＭＥＣサーバ４００は、複数のネットワークスライスを形成するコアネットワーク３０ａに属する。なお、ＭＥＣサーバ４００ａが、上記コアネットワーク３０ａの外部に上記コアネットワーク３０ａと通信可能なように設けられてもよい。
　ＭＥＣサーバ４００ａの通信処理部４３３ａは、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを上記アクセス管理ノード３５０（コアネットワークノード）に対して送信する。
　アクセス管理ノード３５０ａの通信処理部３３３ａは、ＭＥＣサーバ４００ａからのセキュリティ情報に基づいて、上記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを上記端末装置に送信する。
　アクセス管理ノード３５０ａ及び通信処理部３３３ａ並びにＭＥＣサーバ４００ａ及び通信処理部４３３ａは、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０ａのリソースによって実装されてよい。また、アクセス管理ノード３５０ａ及び／又はＭＥＣサーバ４００ａが、ＮＦＶ技術を用いない物理装置によって実現され、通信処理部３３３ａ及び／又は通信処理部４３３ａが、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　－第１実施形態との関係
　一例として、第２実施形態に係るアクセス管理ノード３５０ａが備える通信処理部３３３ａが、第１実施形態に係るアクセス管理ノード３５０が備える通信処理部３３３の動作を実行してもよい。同様に、第２実施形態に係るＭＥＣサーバ４００ａが備える通信処理部４３３ａが、第１実施形態に係るＭＥＣサーバ４００が備える通信処理部４３３の動作を実行してもよい。以上の場合、第１実施形態についての説明が第２実施形態にも適用可能である。なお、第２実施形態は以上の例に限定されるものではない。
＜＜３．４．３．　通信システムＳ１ａの第３の構成と動作例＞＞
　図２０は、本発明の第２実施形態に係る通信システムＳ１ａの第３の構成を概略的に例示するブロック図である。図２０に示すように、通信システムＳ１ａは、アクセス管理ノード３５０をコアネットワークノードとして備えると共に、外部サーバ５００ａを備える。アクセス管理ノード３５０ａは、複数のネットワークスライスを形成するコアネットワーク３０ａに属する。外部サーバ５００ａは、上記コアネットワーク３０ａと通信可能に設けられる。
　外部サーバ５００ａの通信処理部５３３ａは、端末装置のセキュリティに関するセキュリティ情報を含むメッセージを上記アクセス管理ノード３５０（コアネットワークノード）に対して送信する。
　アクセス管理ノード３５０ａの通信処理部３３３ａは、外部サーバ５００ａからのセキュリティ情報に基づいて、上記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを上記端末装置に送信する。
　アクセス管理ノード３５０ａ及び通信処理部３３３ａは、ＮＦＶ技術を用いて仮想化されたコアネットワーク３０ａのリソースによって実装されてよい。また、アクセス管理ノード３５０ａがＮＦＶ技術を用いない物理装置によって実現され、通信処理部３３３ａが、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてもよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　外部サーバ５００ａは、サーバ装置等の物理装置によって実現されてよい。通信処理部５３３ａは、１つ以上のプロセッサと、メモリ（例えば、不揮発性メモリ及び／若しくは揮発性メモリ）並びに／又はハードディスクとにより実装されてよい。上記メモリは、上記１つ以上のプロセッサ内に含まれていてもよく、又は、上記１つ以上のプロセッサ外にあってもよい。
　－第１実施形態との関係
　一例として、第２実施形態に係るアクセス管理ノード３５０ａが備える通信処理部３３３ａが、第１実施形態に係るアクセス管理ノード３５０が備える通信処理部３３３の動作を実行してもよい。同様に、第２実施形態に係る外部サーバ５００ａが備える通信処理部５３３ａが、第１実施形態に係るＭＥＣサーバ４００が備える通信処理部４３３の動作を実行してもよい。以上の場合、第１実施形態についての説明が第２実施形態にも適用可能である。なお、第２実施形態は以上の例に限定されるものではない。
　＜＜４．　他の実施形態＞＞
　以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。
　例えば、本明細書に記載されている処理におけるステップは、必ずしもシーケンス図に記載された順序に沿って時系列に実行されなくてよい。例えば、処理におけるステップは、シーケンス図として記載した順序と異なる順序で実行されても、並列的に実行されてもよい。また、処理におけるステップの一部が削除されてもよく、さらなるステップが処理に追加されてもよい。
　また、本明細書において説明した端末装置、基地局、コアネットワークノード、ＭＥＣサーバ、及び外部サーバの構成要素（例えば、制御部、検知部、及び／又は通信処理部）を備える装置（例えば、以上のいずれかのエンティティを構成する複数の装置（又はユニット）のうちの１つ以上の装置（又はユニット）、又は上記複数の装置（又はユニット）のうちの１つのためのモジュール）が提供されてもよい。
　また、上記構成要素の処理を含む方法が提供されてもよく、上記構成要素の処理をプロセッサに実行させるためのプログラムが提供されてもよい。また、当該プログラムを記録したコンピュータに読み取り可能な非一時的記録媒体（Non-transitory computer readable medium）が提供されてもよい。当然ながら、このような装置、モジュール、方法、プログラム、及びコンピュータに読み取り可能な非一時的記録媒体も本発明に含まれる。
　上記実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
（付記１）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
　コアネットワークノード。
（付記２）
　前記コマンドは、前記端末装置を収容すべき前記ネットワークスライスを特定するスライス情報を含む、
　付記１に記載のコアネットワークノード。
（付記３）
　前記コマンドは、前記端末装置の構成を更新するUE Configuration Update Commandである、
　付記１又は付記２に記載のコアネットワークノード。
（付記４）
　前記スライス情報は、スライス／サービスタイプ（Slice/Service Type）を特定するＮＳＳＡＩ（Network Slice Selection Assistance Information）パラメータを含む、
　付記２に記載のコアネットワークノード。
（付記５）
　前記通信処理部は、前記セキュリティ情報に基づいて、検疫機能を有する検疫ネットワークスライスに前記端末装置を収容させる、
　付記１から付記４のいずれか１項に記載のコアネットワークノード。
（付記６）
　前記通信処理部は、前記セキュリティ情報に応じたセキュリティレベルを有するネットワークスライスに前記端末装置を収容させる、
　付記１から付記４のいずれか１項に記載のコアネットワークノード。
（付記７）
　前記通信処理部は、前記セキュリティ情報が示す攻撃対象を前記コアネットワークから切り離す、
　付記１から付記４のいずれか１項に記載のコアネットワークノード。
（付記８）
　前記端末装置に存在する脆弱性を検知し、検知した前記脆弱性を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
　付記１から付記７のいずれか１項に記載のコアネットワークノード。
（付記９）
　前記検知部は、前記端末装置が送信する登録要求メッセージに示される当該端末装置のセキュリティ能力に基づいて前記脆弱性を検知する、
　付記８に記載のコアネットワークノード。
（付記１０）
　前記登録要求メッセージは、位置登録時に前記端末装置から送信され、前記セキュリティ能力を示すＮ２パラメータを含む、
　付記９に記載のコアネットワークノード。
（付記１１）
　前記検知部は、前記端末装置のＣプレーン上の通信内容に基づいて前記脆弱性を検知する、
　付記８から付記１０のいずれか１項に記載のコアネットワークノード。
（付記１２）
　前記端末装置に対する脅威を検知し、検知した前記脅威を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
　付記１から付記７のいずれか１項に記載のコアネットワークノード。
（付記１３）
　前記検知部は、前記端末装置のＣプレーン上の通信内容に基づいて前記脅威を検知する、
　付記１２に記載のコアネットワークノード。
（付記１４）
　前記通信処理部は、前記コアネットワークに属する又は前記コアネットワークと通信可能なＭＥＣ（Mobile Edge Computing）サーバが検知した前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を、前記セキュリティ情報として受信する、
　付記１から付記７のいずれか１項に記載のコアネットワークノード。
（付記１５）
　前記セキュリティ情報は、前記端末装置のＵプレーン上の通信内容に基づいて前記ＭＥＣサーバが検知した前記脆弱性又は前記脅威を示す、
　付記１４に記載のコアネットワークノード。
（付記１６）
　前記通信処理部は、前記コアネットワーク外に位置する外部サーバが検知した前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を、前記セキュリティ情報として受信する、
　付記１から付記７のいずれか１項に記載のコアネットワークノード。
（付記１７）
　前記セキュリティ情報は、前記端末装置のＣプレーン及び／又はＵプレーン上の通信内容に基づいて前記外部サーバが検知した前記脆弱性又は前記脅威を示す、
　付記１６に記載のコアネットワークノード。
（付記１８）
　Access and Mobility Management Functionである、付記１から付記１７のいずれか１項に記載のコアネットワークノード。
（付記１９）
　複数のネットワークスライスを形成するコアネットワークに属する又は複数のネットワークスライスを形成するコアネットワークと通信可能なＭＥＣサーバであって、
　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部を備える、
　ＭＥＣサーバ。
（付記２０）
　前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を検知し、検知した前記脆弱性又は前記脅威を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
　付記１９に記載のＭＥＣサーバ。
（付記２１）
　複数のネットワークスライスを形成するコアネットワークと通信可能な外部サーバであって、
　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部を備える、
　外部サーバ。
（付記２２）
　前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を検知し、検知した前記脆弱性又は前記脅威を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
　付記２１に記載の外部サーバ。
（付記２３）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードを備える通信システムであって、
　前記コアネットワークノードは、
　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
　通信システム。
（付記２４）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードと、
　前記コアネットワークに属する又は前記コアネットワークと通信可能なＭＥＣサーバと、を備える通信システムであって、
　前記ＭＥＣサーバは、
　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークノードに対して送信する通信処理部を備え、
　前記コアネットワークノードは、
　前記ＭＥＣサーバからの前記セキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
　通信システム。
（付記２５）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードと、
　前記コアネットワークと通信可能な外部サーバと、を備える通信システムであって、
　前記外部サーバは、
　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークノードに対して送信する通信処理部を備え、
　前記コアネットワークノードは、
　前記外部サーバからの前記セキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
　通信システム。
（付記２６）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードの制御方法であって、
　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信することを備える、
　制御方法。
（付記２７）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
　プログラム。
（付記２８）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
　プログラムを記録した非一過性の記録媒体。
（付記２９）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
　特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、
　検知された前記脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部と、を備える、
　コアネットワークノード。
（付記３０）
　複数のネットワークスライスを形成するコアネットワークに属する又は複数のネットワークスライスを形成するコアネットワークと通信可能なＭＥＣ（Mobile Edge Computing）サーバであって、
　特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、
　検知された前記脅威を示すセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部と、を備える、
　ＭＥＣサーバ。
（付記３１）
　複数のネットワークスライスを形成するコアネットワークと通信可能な外部サーバであって、
　特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、
　検知された前記脅威を示すセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部と、を備える、
　外部サーバ。
（付記３２）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードを備える通信システムであって、
　前記コアネットワークノードは、
　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備える、
　通信システム。
（付記３３）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードの制御方法であって、
　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御することを備える、
　制御方法。
（付記３４）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
　プログラム。
（付記３５）
　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
　プログラムを記録した非一過性の記録媒体。
　この出願は、２０２０年６月２６日に出願された日本出願特願２０２０－１１００５９を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　アクセス管理ノード３５０、ＭＥＣサーバ４００、又は外部サーバ５００が検知したセキュリティ情報ＳＩ（脆弱性又は脅威）に基づいて、端末装置１００を適切なネットワークスライスに収容することが可能である。
　　Ｓ１　　通信システム
　　３０　　コアネットワーク
　１００　　端末装置
　２００　　基地局
　３００　　コアネットワークノード
　３５０　　アクセス管理ノード
　４００　　ＭＥＣサーバ
　５００　　外部サーバ

 

Claims (35)

  1. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
    　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
    　コアネットワークノード。
  2. 　前記コマンドは、前記端末装置を収容すべき前記ネットワークスライスを特定するスライス情報を含む、
    　請求項１に記載のコアネットワークノード。
  3. 　前記コマンドは、前記端末装置の構成を更新するUE Configuration Update Commandである、
    　請求項１又は請求項２に記載のコアネットワークノード。
  4. 　前記スライス情報は、スライス／サービスタイプ（Slice/Service Type）を特定するＮＳＳＡＩ（Network Slice Selection Assistance Information）パラメータを含む、
    　請求項２に記載のコアネットワークノード。
  5. 　前記通信処理部は、前記セキュリティ情報に基づいて、検疫機能を有する検疫ネットワークスライスに前記端末装置を収容させる、
    　請求項１から請求項４のいずれか１項に記載のコアネットワークノード。
  6. 　前記通信処理部は、前記セキュリティ情報に応じたセキュリティレベルを有するネットワークスライスに前記端末装置を収容させる、
    　請求項１から請求項４のいずれか１項に記載のコアネットワークノード。
  7. 　前記通信処理部は、前記セキュリティ情報が示す攻撃対象を前記コアネットワークから切り離す、
    　請求項１から請求項４のいずれか１項に記載のコアネットワークノード。
  8. 　前記端末装置に存在する脆弱性を検知し、検知した前記脆弱性を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
    　請求項１から請求項７のいずれか１項に記載のコアネットワークノード。
  9. 　前記検知部は、前記端末装置が送信する登録要求メッセージに示される当該端末装置のセキュリティ能力に基づいて前記脆弱性を検知する、
    　請求項８に記載のコアネットワークノード。
  10. 　前記登録要求メッセージは、位置登録時に前記端末装置から送信され、前記セキュリティ能力を示すＮ２パラメータを含む、
    　請求項９に記載のコアネットワークノード。
  11. 　前記検知部は、前記端末装置のＣプレーン上の通信内容に基づいて前記脆弱性を検知する、
    　請求項８から請求項１０のいずれか１項に記載のコアネットワークノード。
  12. 　前記端末装置に対する脅威を検知し、検知した前記脅威を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
    　請求項１から請求項７のいずれか１項に記載のコアネットワークノード。
  13. 　前記検知部は、前記端末装置のＣプレーン上の通信内容に基づいて前記脅威を検知する、
    　請求項１２に記載のコアネットワークノード。
  14. 　前記通信処理部は、前記コアネットワークに属する又は前記コアネットワークと通信可能なＭＥＣ（Mobile Edge Computing）サーバが検知した前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を、前記セキュリティ情報として受信する、
    　請求項１から請求項７のいずれか１項に記載のコアネットワークノード。
  15. 　前記セキュリティ情報は、前記端末装置のＵプレーン上の通信内容に基づいて前記ＭＥＣサーバが検知した前記脆弱性又は前記脅威を示す、
    　請求項１４に記載のコアネットワークノード。
  16. 　前記通信処理部は、前記コアネットワーク外に位置する外部サーバが検知した前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を、前記セキュリティ情報として受信する、
    　請求項１から請求項７のいずれか１項に記載のコアネットワークノード。
  17. 　前記セキュリティ情報は、前記端末装置のＣプレーン及び／又はＵプレーン上の通信内容に基づいて前記外部サーバが検知した前記脆弱性又は前記脅威を示す、
    　請求項１６に記載のコアネットワークノード。
  18. 　Access and Mobility Management Functionである、請求項１から請求項１７のいずれか１項に記載のコアネットワークノード。
  19. 　複数のネットワークスライスを形成するコアネットワークに属する又は複数のネットワークスライスを形成するコアネットワークと通信可能なＭＥＣサーバであって、
    　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部を備える、
    　ＭＥＣサーバ。
  20. 　前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を検知し、検知した前記脆弱性又は前記脅威を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
    　請求項１９に記載のＭＥＣサーバ。
  21. 　複数のネットワークスライスを形成するコアネットワークと通信可能な外部サーバであって、
    　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部を備える、
    　外部サーバ。
  22. 　前記端末装置に存在する脆弱性又は前記端末装置に対する脅威を検知し、検知した前記脆弱性又は前記脅威を前記セキュリティ情報として前記通信処理部に通知する検知部を備える、
    　請求項２１に記載の外部サーバ。
  23. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードを備える通信システムであって、
    　前記コアネットワークノードは、
    　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
    　通信システム。
  24. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードと、
    　前記コアネットワークに属する又は前記コアネットワークと通信可能なＭＥＣサーバと、を備える通信システムであって、
    　前記ＭＥＣサーバは、
    　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークノードに対して送信する通信処理部を備え、
    　前記コアネットワークノードは、
    　前記ＭＥＣサーバからの前記セキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
    　通信システム。
  25. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードと、
    　前記コアネットワークと通信可能な外部サーバと、を備える通信システムであって、
    　前記外部サーバは、
    　端末装置のセキュリティに関するセキュリティ情報を含むメッセージを前記コアネットワークノードに対して送信する通信処理部を備え、
    　前記コアネットワークノードは、
    　前記外部サーバからの前記セキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備える、
    　通信システム。
  26. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードの制御方法であって、
    　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信することを備える、
    　制御方法。
  27. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
    　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
    　プログラム。
  28. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
    　端末装置のセキュリティに関するセキュリティ情報に基づいて、前記端末装置を収容すべきネットワークスライスに関するパラメータを示すコマンドを前記端末装置に送信する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
    　プログラムを記録した非一過性の記録媒体。
  29. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
    　特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、
    　検知された前記脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部と、を備える、
    　コアネットワークノード。
  30. 　複数のネットワークスライスを形成するコアネットワークに属する又は複数のネットワークスライスを形成するコアネットワークと通信可能なＭＥＣ（Mobile Edge Computing）サーバであって、
    　特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、
    　検知された前記脅威を示すセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部と、を備える、
    　ＭＥＣサーバ。
  31. 　複数のネットワークスライスを形成するコアネットワークと通信可能な外部サーバであって、
    　特定の事業者が管理するノードが送受信する信号に基づいてセキュリティ上の脅威を検知する検知部と、
    　検知された前記脅威を示すセキュリティ情報を含むメッセージを前記コアネットワークに属するコアネットワークノードに対して送信する通信処理部と、を備える、
    　外部サーバ。
  32. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードを備える通信システムであって、
    　前記コアネットワークノードは、
    　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備える、
    　通信システム。
  33. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードの制御方法であって、
    　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御することを備える、
    　制御方法。
  34. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
    　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
    　プログラム。
  35. 　複数のネットワークスライスを形成するコアネットワークに属するコアネットワークノードであって、
    　特定の事業者が管理するノードが送受信する信号に基づいて検知されたセキュリティ上の脅威に基づいて、前記特定の事業者を他のネットワークスライスに収容するように制御する通信処理部を備えるコアネットワークノードとしてコンピュータを機能させる、
    　プログラムを記録した非一過性の記録媒体。
     

     
PCT/JP2021/023324 2020-06-26 2021-06-21 コアネットワークノード、ｍｅｃサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体 WO2021261422A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2022531960A JPWO2021261422A1 (ja) 2020-06-26 2021-06-21
US18/011,309 US20230199499A1 (en) 2020-06-26 2021-06-21 Core network node, mec server, external server, communication system, control method, program, and non-transitory recording medium having recorded thereon program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020-110059 2020-06-26
JP2020110059 2020-06-26

Publications (1)

Publication Number Publication Date
WO2021261422A1 true WO2021261422A1 (ja) 2021-12-30

Family

ID=79281392

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/023324 WO2021261422A1 (ja) 2020-06-26 2021-06-21 コアネットワークノード、ｍｅｃサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体

Country Status (3)

Country Link
US (1) US20230199499A1 (ja)
JP (1) JPWO2021261422A1 (ja)
WO (1) WO2021261422A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7420986B1 (ja) 2023-02-08 2024-01-23 Kddi株式会社 移動通信ネットワークの制御システム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018235836A1 (en) * 2017-06-23 2018-12-27 Nec Corporation CONFIDENTIALITY CONSIDERATIONS IN A NETWORK WAFER SELECTION
JP2019536305A (ja) * 2017-01-05 2019-12-12 ホアウェイ・テクノロジーズ・カンパニー・リミテッド アプリケーションフレンドリなプロトコルデータユニット（ｐｄｕ）セッション管理のためのシステムおよび方法
WO2020068521A1 (en) * 2018-09-27 2020-04-02 Palo Alto Networks, Inc. Network slice-based security in mobile networks

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019536305A (ja) * 2017-01-05 2019-12-12 ホアウェイ・テクノロジーズ・カンパニー・リミテッド アプリケーションフレンドリなプロトコルデータユニット（ｐｄｕ）セッション管理のためのシステムおよび方法
WO2018235836A1 (en) * 2017-06-23 2018-12-27 Nec Corporation CONFIDENTIALITY CONSIDERATIONS IN A NETWORK WAFER SELECTION
WO2020068521A1 (en) * 2018-09-27 2020-04-02 Palo Alto Networks, Inc. Network slice-based security in mobile networks

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7420986B1 (ja) 2023-02-08 2024-01-23 Kddi株式会社 移動通信ネットワークの制御システム

Also Published As

Publication number Publication date
US20230199499A1 (en) 2023-06-22
JPWO2021261422A1 (ja) 2021-12-30

Similar Documents

Publication Publication Date Title
CN109842906B (zh) 一种通信的方法、装置及系统
US11864092B2 (en) Performance measurements related to application triggering and SMS over NAS
EP4190006A1 (en) User plane optimizations using network data analytics
US11812496B2 (en) User group session management method and apparatus
US20200296142A1 (en) User Group Establishment Method and Apparatus
CN109756951B (zh) 用于网络选择的方法和用户设备
EP3761679B1 (en) Location method and related device
CN112566164B (zh) 一种通信系统及服务质量控制方法
US20210127265A1 (en) Communication system
US20240137746A1 (en) Method and apparatus for providing user consent in wireless communication system
WO2022073213A1 (en) Mechanism for dynamic authorization
EP3681182A1 (en) Method, apparatus and device for determining state of terminal device
WO2021261422A1 (ja) コアネットワークノード、ｍｅｃサーバ、外部サーバ、通信システム、制御方法、プログラム、及びプログラムを記録した非一過性の記録媒体
US20220046443A1 (en) Channel state information-reference signal based measurement
CN114339948A (zh) 一种通信方法及通信装置
CN116648900A (zh) 对边缘启用服务器和边缘配置服务器生命周期管理的支持
US20220232347A1 (en) Apparatus and method to indicate whether a node is tracking the location of a user equipment
US20230246767A1 (en) Method, apparatus and computer program for enabling a communication session
US20240147355A1 (en) Technologies for signal level enhanced network selection
US20230379687A1 (en) Network slice local switching at a distributed unit
US20230284111A1 (en) Communication system, first user apparatus, second user apparatus, core network node, control method, program, and non-transitory recording medium storing program
US20230345223A1 (en) Methods, systems, and computer readable media for identifying roaming messages
US20220308863A1 (en) Cloud-based computer with runtime-mapped software versions
WO2022120709A9 (en) Apparatus, methods and computer programs for edge services
EP4320834A1 (en) Methods and apparatus to support the registration of edge application server (eas) and multi-access edge computing (mec) applications to edge enabler servers (ees) and mec platforms

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21828929

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022531960

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21828929

Country of ref document: EP

Kind code of ref document: A1