WO2022038781A1 - 通信制御プログラム、通信制御方法および通信制御装置 - Google Patents

通信制御プログラム、通信制御方法および通信制御装置 Download PDF

Info

Publication number
WO2022038781A1
WO2022038781A1 PCT/JP2020/031686 JP2020031686W WO2022038781A1 WO 2022038781 A1 WO2022038781 A1 WO 2022038781A1 JP 2020031686 W JP2020031686 W JP 2020031686W WO 2022038781 A1 WO2022038781 A1 WO 2022038781A1
Authority
WO
WIPO (PCT)
Prior art keywords
service
user terminal
closed network
network
communication control
Prior art date
Application number
PCT/JP2020/031686
Other languages
English (en)
French (fr)
Inventor
浩一 山崎
由紀 藤嶌
Original Assignee
富士通株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 富士通株式会社 filed Critical 富士通株式会社
Priority to PCT/JP2020/031686 priority Critical patent/WO2022038781A1/ja
Publication of WO2022038781A1 publication Critical patent/WO2022038781A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/50—Allocation of resources, e.g. of the central processing unit [CPU]
    • G06F9/5061—Partitioning or combining of resources

Definitions

  • the present invention relates to a communication control program, a communication control method, and a communication control device.
  • a closed network is a network that is separated from the Internet, which allows information to be shared with an unspecified number of people, and is a network that enables limited communication within the company between geographically distant bases.
  • a technology has been proposed in which a binding of a security service is generated from matching between a service requirement and a security service, converted into a security control command, and the security control command is transmitted to the security control means. Also proposed is a technique for retrieving a specific service resource from a service resource pool and using the specific service resource to service packet traffic related to the service level.
  • a communication control program is provided to solve the above problems.
  • the communication control program stores the usage service information including the user terminal and the services that the user terminal can access in the computer, calculates the usage ratio for each service based on the usage service information, and calculates the usage ratio as the usage ratio.
  • the corresponding resources are pooled, and the process of constructing a closed network having resources capable of delivering the service to the user terminal in a disconnected state is executed before the start of the service.
  • a communication control method in which a computer executes the same control as the above-mentioned communication control program. Further, in order to solve the above problems, a communication control device that executes the same control as the above communication control program is provided.
  • FIG. 1 is a diagram for explaining an example of a communication control device.
  • the communication control device 1 includes a control unit 1a and a storage unit 1b.
  • the storage unit 1b stores the usage service information including the user terminal and the service that the user terminal can access.
  • the control unit 1a calculates the usage ratio for each service based on the usage service information. Then, the control unit 1a pools resources according to the usage ratio, and constructs a closed network having resources capable of delivering the service in a state of being disconnected from the user terminal before the start of the service.
  • control unit 1a The function of the control unit 1a is realized by a processor (not shown) included in the communication control device 1 executing a predetermined program. The operation will be described with reference to the example of FIG.
  • the control unit 1a acquires the usage service information from the storage unit 1b.
  • the control unit 1a calculates the usage ratio for each service based on the usage service information. For example, the usage ratio of service A is calculated as 30%, the usage ratio of service B is calculated as 40%, and the usage ratio of service C is calculated as 30% (the calculation of the usage ratio will be described later).
  • the control unit 1a pools resources (communication band, CPU (Central Processing Unit) usage rate, etc.) according to the usage ratio for each service.
  • the control unit 1a constructs a closed network having resources for distributing a predetermined service in a state of being disconnected from the user terminal before the start of the service. For example, it is assumed that the user terminal 4 uses the service A from the service execution server 3.
  • control unit 1a constructs a closed network n1 between the service execution server 3 and the user terminal 4 in advance before the start of the service of the user terminal 4, using 30% of the resources of the service A. ..
  • the control unit 1a keeps the closed network n1 disconnected from the user terminal 4 until the service start is detected from the user terminal 4.
  • the closed network n1 is connected and constructed within a predetermined range from the service execution server 3 to the network device (not shown) in the network N0 (details of the construction of the closed network will be described later).
  • the communication control device 1 calculates the usage ratio of services that can be accessed by the user terminal, and constructs a closed network having resources according to the usage ratio in advance in a state of being disconnected from the user.
  • the closed network is built in advance up to a predetermined range.
  • the waiting time when using the service of the closed network can be shortened, so that it is possible to solve the problem that the user has to wait for a long time to use the service of the closed network.
  • Step S11 The user terminal 4a transmits a service use request using the closed network to the closed network construction device 5.
  • Step S12 The closed network construction device 5 detects a service usage request.
  • Step S13 The closed network construction device 5 deploys the service requested from the user terminal 4a.
  • the closed network construction device 5 constructs a closed network that connects the service 3a and the user terminal 4a.
  • the service 3a and the user terminal 4a are connected via the closed network n20, communication between the service 3a and the user terminal 4a becomes possible, and the user terminal 4a uses a desired service.
  • the closed network n20 is constructed, there is no network connecting the user terminal 4a and the service 3a. Therefore, if the service 3a is accessed from the user terminal 4a before the closed network n20 is constructed, the Network Unreachable message m1 transmitted from the relay device (not shown) located in the physical network is returned to the user terminal 4a. Will come.
  • the closed network is constructed from scratch after detecting the start of use of the service, so that the service can be used after the user terminal 4a sends a service use request. It will take time to become.
  • the present invention has been made in view of these points, and is intended to efficiently construct a closed network and shorten the waiting time until the start of service use.
  • FIG. 4 is a diagram showing an example of a functional block of a closed network construction system.
  • the closed network construction system 1-1 includes a closed network management server 10, a service distribution server 20, a service execution server 30, and a user terminal 40.
  • the closed network management server 10 realizes the function of the communication control device 1 of FIG.
  • the closed network management server 10 includes a control unit 11 and a storage unit 12.
  • the control unit 11 executes the function of the control unit 1a of FIG. 1, and the storage unit 12 executes the function of the storage unit 1b of FIG.
  • the control unit 11 includes a closed network management unit 11a, a service information management unit 11b, and a closed network construction unit 11c.
  • the storage unit 12 includes a usage service information storage unit 12a.
  • the closed network management unit 11a constructs the closed network and manages the entire pool, and determines the upper limit of the number of pools in the closed network.
  • the service use information management unit 11b receives the service use start notification transmitted from the user terminal 40, the service use information is acquired from the storage unit 12 and the service available to the user terminal 40 is detected.
  • the closed network construction unit 11c notifies the service distribution server 20 of the service distribution, and notifies the service execution server 30 of the construction of the closed network.
  • the usage service information storage unit 12a stores the usage service information table in which the usage service information is registered (the table configuration will be described later in FIG. 8).
  • the service distribution server 20 includes a service distribution unit 21 and a service storage unit 22.
  • the service distribution unit 21 distributes the service image and instructs the service execution server 30 to execute the service.
  • the service storage unit 22 stores information related to the services available to the user terminal 40.
  • the service execution server 30 includes a service execution unit 31, a closed network setting unit 32, a closed network deployment unit 33, and a closed network information pool unit 34.
  • the service execution unit 31 executes the delivered service image.
  • the closed network setting unit 32 constructs the instructed closed network and pools it together with the executed service.
  • the closed network deployment unit 33 deploys the constructed closed network.
  • the closed network information pool unit 34 pools the closed network information table in which the closed network information is registered (the table configuration will be described later in FIG. 9).
  • the function of the service distribution server 20 may be included in the closed network management server 10.
  • FIG. 5 is a diagram showing an example of the hardware configuration of the closed network management server.
  • the closed network management server 10 is totally controlled by the processor (computer) 100.
  • the processor 100 realizes the function of the control unit 11.
  • the memory 101, the input / output interface 102, and the network interface 104 are connected to the processor 100 via the bus 103.
  • the processor 100 may be a multiprocessor.
  • the processor 100 is, for example, a CPU, an MPU (Micro Processing Unit), a DSP (Digital Signal Processor), an ASIC (Application Specific Integrated Circuit), or a PLD (Programmable Logic Device). Further, the processor 100 may be a combination of two or more elements of the CPU, MPU, DSP, ASIC, and PLD.
  • the memory 101 realizes the function of the storage unit 12 and is used as the main storage device of the closed network management server 10. At least a part of an OS (Operating System) program or an application program to be executed by the processor 100 is temporarily stored in the memory 101. Further, various data required for processing by the processor 100 are stored in the memory 101.
  • OS Operating System
  • the memory 101 is also used as an auxiliary storage device for the closed network management server 10, and stores OS programs, application programs, and various data.
  • the memory 101 may include a semiconductor storage device such as a flash memory or SSD (Solid State Drive) or a magnetic recording medium such as an HDD (Hard Disk Drive) as an auxiliary storage device.
  • Peripheral devices connected to the bus 103 include an input / output interface 102 and a network interface 104.
  • the input / output interface 102 can be connected to an information input device such as a keyboard or a mouse, and transmits a signal transmitted from the information input device to the processor 100.
  • the input / output interface 102 also functions as a communication interface for connecting peripheral devices.
  • the input / output interface 102 can be connected to an optical drive device that reads data recorded on an optical disk by using a laser beam or the like.
  • Optical discs include Blu-rayDisc (registered trademark), CD-ROM (Compact Disc Read Only Memory), CD-R (Recordable) / RW (Rewritable), and the like.
  • the input / output interface 102 can be connected to a memory device or a memory reader / writer.
  • the memory device is a recording medium equipped with a communication function with the input / output interface 102.
  • a memory reader / writer is a device that writes data to or reads data from a memory card.
  • the memory card is a card-type recording medium.
  • the network interface 104 connects to the network and controls the network interface.
  • a network interface 104 for example, a NIC (Network Interface Card), a wireless LAN (Local Area Network) card, or the like can be used.
  • the data received by the network interface 104 is output to the memory 101 and the processor 100.
  • the processing function of the closed network management server 10 can be realized.
  • the closed network management server 10 can perform the processing of the present invention by each processor 100 executing a predetermined program.
  • the closed network management server 10 realizes the processing function of the present invention, for example, by executing a program recorded on a recording medium readable by a computer.
  • the program describing the processing content to be executed by the closed network management server 10 can be recorded on various recording media.
  • a program to be executed by the closed network management server 10 can be stored in the auxiliary storage device.
  • the processor 100 loads at least a part of the program in the auxiliary storage device into the main storage device and executes the program.
  • the program stored in the portable recording medium can be executed after being installed in the auxiliary storage device, for example, under the control of the processor 100.
  • the processor 100 can also read and execute the program directly from the portable recording medium.
  • the closed network is constructed of, for example, a VPN (Virtual Private Network), a VLAN (Virtual LAN), a VXLAN (Virtual extensible LAN), or the like.
  • VPN Virtual Private Network
  • VLAN Virtual LAN
  • VXLAN Virtual extensible LAN
  • the service provided through the closed network is built on the server of the cloud or data center, and the service is built on the container or virtual machine (the service can be built directly on the OS of the server without any problem).
  • the container image and virtual machine image for each service are distributed from the service distribution server 20 to the service execution server 30 as service images.
  • the closed network is constructed between the service (service execution server 30) and the network equipment in the base network to which the user terminal 40 is connected.
  • the service service execution server 30
  • the pooled closed network information is managed in the closed network information table.
  • the service image is a container image or virtual machine image in which the service provided to the user is constructed and set.
  • FIG. 6 is a diagram showing an example of a container image.
  • the server 30a has an OS 30a1, and the OS 30a1 includes the container management software 30a2.
  • the container management software 30a2 has containers c1, c2, and c3, and the containers c1, c2, and c3 include various services. In this way, in container virtualization, one OS kernel is shared, a separated space is constructed on the OS, and services are set.
  • FIG. 7 is a diagram showing an example of a virtual machine image.
  • the server 30b has a hypervisor 30b1, and the hypervisor 30b1 includes VM (Virtual Machine) 3b1, 3b2, and 3b3.
  • VM3b1, 3b2, 3b3 include an OS and services.
  • OS Virtual Machine
  • applications data
  • container virtualization software docker, LXC (Linux Containers), etc.
  • server virtualization software VMware ESXi, Citrix Hypervisor, KVM
  • kernel-based Virtual Machine etc.
  • Kubernetes is used to distribute and execute container images
  • VMware Horizon and OpenStack are used to distribute and execute virtual machine images.
  • FIG. 8 is a diagram showing an example of a usage service information table.
  • the usage service information table T1 has a user (user terminal) and a service as items.
  • the user is the identifier of the user terminal, and the service is the identifier of the service executed through the closed network.
  • the user # 1 can access the service A
  • the user # 2 can access the services A and B.
  • FIG. 9 is a diagram showing an example of a closed network information table.
  • the closed network information table T2 includes closed network ID, service ID, source address, destination address, network device address, and user ID as items.
  • the closed network ID is an identifier of the closed network, and may be assigned from 1 in the order of construction, for example.
  • the service ID is an ID of a container or a virtual machine, and is identifiable information such as an IP (Internet Protocol) address.
  • the source address, destination address, and network device address in the closed network information are the source address, destination address, and the address of the network device located in the base network of the packet passing through the closed network.
  • the user ID is an identifier of a user terminal indicating for which user the closed network is constructed and pooled.
  • FIG. 10 is a diagram showing an example of determining the ratio of the number of pools.
  • the control unit 11 acquires the usage service information composed of the user terminal 40 and the services that the user terminal 40 can access.
  • the control unit 11 pools the resources required to construct one closed network including one service from the acquired service information.
  • the services registered in the usage service information are aggregated for each service, and the ratio (usage ratio) for pooling resources for each service is calculated and determined.
  • the ratio of the number of pools of service A is 30%
  • the number of pools of service B is 40%
  • the number of pools of service C is 30%.
  • FIG. 11 is a diagram showing an example of construction of a closed network.
  • the control unit 11 determines the upper limit of the number of pools (the upper limit is 100% in the example of FIG. 11) for the closed network, and the services A, B, and the service A, B, at the ratio determined by step S22 within the range not exceeding the upper limit.
  • Build a closed network for each C The closed network constructed for each of the services A, B, and C is not connected to the user terminal 40 that can access each service at this point.
  • the resource (CPU usage rate, communication bandwidth, etc.) of the server on which the service is deployed to be a predetermined value (for example, XX%), or deploy the service. It can be decided in consideration of the usage fee of the cloud to be used.
  • FIG. 12 is a diagram showing an example of deployment of a closed network.
  • the control unit 11 detects the start of service use from the user terminal 40, and when the user terminal 40 accesses the service B, the control unit 11 dynamically deploys the closed network nb constructed in the resource pool of the service B. do.
  • FIG. 13 is a diagram showing an example of recovery of a closed network.
  • Step S25 When the control unit 11 detects the end of service use from the user terminal 40, it collects the deployed closed network nb. In this case, the control unit 11 releases the closed network nb and returns to the state of step S23 (the closed network is constructed and is not connected to the user terminal 40). The recovery of the closed network will be further described with reference to FIG. 19 described later.
  • FIG. 14 is a diagram for explaining how to obtain the ratio of the number of pools.
  • the control unit 11 calculates the ratio of the number of pools of resources when constructing a closed network for each service based on the information registered in the used service information table T1a as follows.
  • the control unit 11 totals the number of users who use each service. In the example of FIG. 14, since the service A is used by the users # 1, # 3, # 6, # 8, and # 10, the number of users of the service A is 5. In the same way, the number of users from service B to service H is totaled.
  • the control unit 11 calculates the ratio of the number of pools after totaling the number of users who use each service.
  • the ratio of the number of pools from service B to service H is calculated.
  • (A, B, C, D, E, F, G, H) (15%, 10%, 12%, 15%, 10%, 12%, 12%, 12%) is obtained.
  • 15 and 16 are flowcharts showing an example of the overall operation of the closed network construction system.
  • Step S31 The control unit 11 determines the upper limit of the number of pools of resources when constructing a closed network.
  • Step S32 The control unit 11 authenticates the user terminal 40 and determines the legitimacy. If the user terminal 40 is valid, the process proceeds to step S33, and if it is not valid, the process of step S32 is repeated.
  • Step S33 The control unit 11 acquires the service information to be used.
  • Step S34 The control unit 11 determines whether or not all the resources required for constructing the closed network of the service accessible to the connected user terminal 40 have been pooled. If all are pooled, the process proceeds to step S40, and if not, the process proceeds to step S35.
  • Step S35 The control unit 11 determines whether or not the number of pools of resources of the closed network to be constructed has reached the upper limit. If it is reached, the process returns to step S34, and if it is not reached, the process proceeds to step S36.
  • Step S36 The control unit 11 notifies the service distribution server 20 and the service execution server 30 of the construction of the closed network.
  • the service distribution server 20 instructs the service execution server 30 to distribute and execute the service image.
  • the service execution server 30 pools the delivered service images.
  • the service execution server 30 sets the closed network and the service image.
  • Step S40 The control unit 11 determines whether or not the start of service use from the user terminal 40 has been detected. If the start of service use is detected, the process proceeds to step S41, and if not detected, the process of step S40 is repeated.
  • Step S41 The control unit 11 instructs the service distribution server 20 to distribute the service.
  • Step S42 The control unit 11 determines whether or not the user terminal 40 can access the service. If the service can be accessed, the process proceeds to step S43, and if it is not possible, the process ends.
  • Step S43 The control unit 11 provides a service by deploying a closed network connecting the user terminal 40 and the service (service execution server 30).
  • FIG. 17 is a flowchart showing an example of the flow from the network connection to the disconnection of the user terminal.
  • Step S51 The control unit 11 authenticates when the user terminal 40 is connected to the network, and if the authentication is successful, the control unit 11 acquires the service information used at the same time as the network connection of the user terminal 40.
  • Step S52 The control unit 11 pools resources for constructing a closed network of all services that can be used by the user terminal 40 connected based on the service information used. If the upper limit of the pool is exceeded, the closed networks having the same service in the pool are searched, and among the closed networks in the pool, the closed network with the smaller number of closed networks of the service to be constructed is pooled.
  • Step S53 When the control unit 11 detects the connection from the user terminal 40 to the service, the control unit 11 deploys the corresponding closed network in the user environment.
  • Step S54 When the control unit 11 detects the end of the service, the control unit 11 recovers the closed network from the user environment.
  • FIG. 18 is a diagram for explaining the construction of a closed network.
  • the network N0 is connected to a server 30c that executes a service and a user terminal 40 that can access the service, and includes a network device 6 that relays the server 30c and the user terminal 40 in the network N0.
  • the control unit 11 constructs a closed network n10 that can access the service provided by the server 30c for the network N0 in advance before the service of the user terminal 40 starts.
  • a closed network n10 connected from the server 30c to the network device 6 is constructed, and the user terminal 40 is not connected to the closed network n10 at this point.
  • FIG. 19 is a diagram for explaining the deployment and recovery of the closed network.
  • the control unit 11 acquires route information from the user terminal 40 to the service from the closed network information table, thereby constructing a closed network connected only to the service used from the user terminal 40.
  • control unit 11 when the control unit 11 detects the start of use of the service from the user terminal 40, the control unit 11 further connects the closed network n10 from the network device 6 to the user terminal 40 to form the closed network n10-1. It is deployed so that the user terminal 40 and the server 30c can communicate with each other, and the service can be used for the user terminal 40.
  • the closed network n10-1 connected to the user terminal 40 may be deleted from the data managed in the closed network information table, or may be managed by adding a tag indicating that it is being deployed.
  • control unit 11 when the control unit 11 detects the end of use of the service from the user terminal 40, the control unit 11 collects the closed network. In the example of FIG. 19, the control unit 11 releases the closed network n10-1 that connects the server 30c and the user terminal 40. At this time, the control unit 11 may reconstruct the closed network n10 that connects the server 30c to the network device 6 after the closed network n10-1 is released.
  • FIG. 20 is a diagram for explaining the extraction of a similar closed network.
  • the number of pools of resources in the closed network has reached the upper limit, and it may not be possible to newly construct / pool the closed network for the new user terminal 40a.
  • the first combination of the first service pooled for the existing user terminal and the closed network performing the first service is the second service that could not be pooled for the new user terminal. If the first combination is similar to the second combination with the closed network providing the second service and the first combination is not used in the existing user terminal, the new user terminal will be pooled for the existing user terminal. The first combination of the first service provided and the closed network providing the first service can be used.
  • the services provided by a similar closed network are similar to the services provided by the closed network that you want to newly build and pool.
  • the base network of a similar closed network is the same as the base network to which the new user terminal connects.
  • a plurality of closed networks existing closed network group g1 in which the service B can access the service M for each of the user terminals 40-1 to the user terminal 40-m.
  • the new user terminal 40a wants to use the service Ba, but the number of pools of resources of the closed network has reached the upper limit, and a new closed network cannot be constructed (state st1).
  • the existing user terminal 40-1 is accessing the service B in the existing closed network group g1.
  • the service B + closed network combination c11 pooled for the user terminal 40-1 is similar to the service Ba + closed network combination c12 that could not be pooled for the new user terminal 40a. , And it is detected that the combination c11 is not used in the user terminal 40-1.
  • control unit 11 sets the combination c11 of the service B + closed network pooled for the user terminal 40-1 for the new user terminal 40a (state st2). By extracting such a similar closed network, it becomes possible to provide a service even when the number of pools of resources of the closed network has reached the upper limit.
  • the closed network to be released is selected from those in which the unused deployment time is longer than a predetermined time, those in which there are many similar closed networks, and the like.
  • the difference between a closed network to be newly constructed / pooled and a similar closed network is determined by, for example, the source / destination IP address when communicating in the closed network. Therefore, the control unit 11 can use a similar closed network by changing the IP address of the user terminal to the IP address of the new user (for example, the IP address of the source).
  • the control unit 11 can detect an attack (incident) on the server executing the service against the service used by the user terminal 40 via the closed network.
  • an attack for example, malware such as SQL (Structured Query Language) injection and XSS (cross site scripting) can be detected.
  • SQL Structured Query Language
  • XSS cross site scripting
  • control unit 11 collects the closed network in which the service is performed, disconnects the network connection of the user terminal 40, and releases the closed network from the pool. Further, when the user terminal is disconnected from the closed network, the control unit 11 deletes the route information used when connecting the user terminal to the closed network. As a result, it is possible to secure a storage capacity for storing route information when constructing a new closed network.
  • the service is executed by delivering a service image from the control unit 11 when pooling the closed network. Also, since the service image is supposed to be saved after confirming that it is not infected with malware, it is unlikely that it is infected with malware at the time of pooling.
  • the communication control device 1 and the closed network management server 10 of the present invention described above can be realized by a computer.
  • a program describing the processing contents of the functions that the communication control device 1 and the closed network management server 10 should have is provided.
  • the above processing function is realized on the computer.
  • the program that describes the processing content can be recorded on a computer-readable recording medium.
  • the recording medium that can be read by a computer includes a magnetic storage unit, an optical disk, a photomagnetic recording medium, a semiconductor memory, and the like.
  • the magnetic storage unit includes a hard disk device (HDD), a flexible disk (FD), a magnetic tape, and the like.
  • Optical discs include CD-ROM / RW and the like.
  • the magneto-optical recording medium includes MO (Magneto Optical disk) and the like.
  • a portable recording medium such as a CD-ROM in which the program is recorded is sold. It is also possible to store the program in the storage of the server computer and transfer the program from the server computer to another computer via the network.
  • the computer that executes the program stores, for example, the program recorded on the portable recording medium or the program transferred from the server computer in its own storage unit. Then, the computer reads the program from its own storage unit and executes the processing according to the program. The computer can also read the program directly from the portable recording medium and execute the processing according to the program.
  • the computer can also sequentially execute processing according to the received program each time the program is transferred from the server computer connected via the network. Further, at least a part of the above processing functions can be realized by an electronic circuit such as a DSP, ASIC, or PLD.

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

閉域ネットワークのサービス利用時の待ち時間を短縮する。　制御部（１ａ）は、記憶部（１ｂ）から利用サービス情報を取得し、利用サービス情報にもとづいてサービス毎の利用比率として、例えば、サービス（Ａ）の利用比率を３０％、サービス（Ｂ）の利用比率を４０％、サービス（Ｃ）の利用比率を３０％の比率と算出する。制御部（１ａ）は、利用比率に応じたリソースをプールする。また、ユーザ端末（４）がサービス実行サーバ（３）からサービス（Ａ）を利用する場合、制御部（１ａ）は、サービス（Ａ）の３０％のリソースを使用してサービス実行サーバ（３）とユーザ端末（４）との間に閉域ネットワーク（ｎ１）を、ユーザ端末（４）のサービスの開始前にあらかじめ構築しておく。この場合、制御部（１ａ）は、ユーザ端末（４）からサービス開始を検出するまでは、閉域ネットワーク（ｎ１）はユーザ端末（４）に対して非接続状態にしておく。

Description

通信制御プログラム、通信制御方法および通信制御装置
　本発明は、通信制御プログラム、通信制御方法および通信制御装置に関する。
　近年、企業のネットワークとして閉域ネットワークの利用が増えてきている。閉域ネットワークは、不特定多数を相手に情報共有可能なインターネットとは分離されたネットワークであり、社内で限定された通信を地理的に離れた拠点間で行うことが可能なネットワークである。
　関連技術としては、例えば、サービス要求事項とセキュリティサービスとのマッチングからセキュリティサービスのバインディングを生成してセキュリティ制御コマンドに変換し、セキュリティ制御手段にセキュリティ制御コマンドを送信する技術が提案されている。また、サービスリソースプールから特定のサービスリソースを取得し、サービスレベルに関連するパケットトラフィックをサービスするために特定のサービスリソースを使用する技術が提案されている。
特開２０１７－０３４６５９号公報 米国特許出願公開第２０１３／０３０１６５２号明細書
　しかし、従前では、サービスの利用開始を検出してから閉域ネットワークが構築されるため、利用者が閉域ネットワークのサービスを利用できるまで時間がかかり待たされるという問題がある。
　１つの側面では、本発明は、閉域ネットワークのサービス利用時の待ち時間の短縮化を図った通信制御プログラム、通信制御方法および通信制御装置を提供することを目的とする。
　上記課題を解決するために、通信制御プログラムが提供される。通信制御プログラムは、コンピュータに、ユーザ端末と、ユーザ端末がアクセスしうるサービスと、を含む利用サービス情報をメモリに記憶し、利用サービス情報にもとづいてサービス毎の利用比率を算出し、利用比率に応じたリソースをプールし、サービスを配信しうるリソースを有する閉域ネットワークをサービスの開始前にユーザ端末に対して非接続の状態で構築する処理を実行させる。
　また、上記課題を解決するために、コンピュータが上記通信制御プログラムと同様の制御を実行する通信制御方法が提供される。
　さらに、上記課題を解決するために、上記通信制御プログラムと同様の制御を実行する通信制御装置が提供される。
　１側面によれば、閉域ネットワークのサービス利用時の待ち時間を短縮することが可能になる。
　本発明の上記および他の目的、特徴および利点は本発明の例として好ましい実施の形態を表す添付の図面と関連した以下の説明により明らかになるであろう。
通信制御装置の一例を説明するための図である。 閉域ネットワークの構築からサービス開始までの流れの一例を示す図である。 閉域ネットワークの構築からサービス開始までの流れの一例を示す図である。 閉域ネットワーク構築システムの機能ブロックの一例を示す図である。 閉域ネットワーク管理サーバのハードウェア構成の一例を示す図である。 コンテナイメージの一例を示す図である。 仮想マシンイメージの一例を示す図である。 利用サービス情報テーブルの一例を示す図である。 閉域ネットワーク情報テーブルの一例を示す図である。 プール数の比率の決定の一例を示す図である。 閉域ネットワークの構築の一例を示す図である。 閉域ネットワークの配備の一例を示す図である。 閉域ネットワークの回収の一例を示す図である。 プール数の比率の求め方を説明するための図である。 閉域ネットワーク構築システムの全体動作の一例を示すフローチャートである。 閉域ネットワーク構築システムの全体動作の一例を示すフローチャートである。 ユーザ端末のネットワーク接続から切断までの流れの一例を示すフローチャートである。 閉域ネットワークの構築を説明するための図である。 閉域ネットワークの配備および回収を説明するための図である。 類似の閉域ネットワークの抽出を説明するための図である。
　以下、本実施の形態について図面を参照して説明する。
　図１は通信制御装置の一例を説明するための図である。通信制御装置１は、制御部１ａおよび記憶部１ｂを備える。
　記憶部１ｂは、ユーザ端末と、ユーザ端末がアクセスしうるサービスとを含む利用サービス情報を記憶する。制御部１ａは、利用サービス情報にもとづいてサービス毎の利用比率を算出する。そして、制御部１ａは、利用比率に応じたリソースをプールし、サービスを配信しうるリソースを有する閉域ネットワークをサービスの開始前にユーザ端末に対して非接続の状態で構築する。
　なお、制御部１ａの機能は、通信制御装置１が備える図示しないプロセッサが、所定のプログラムを実行することによって実現される。
　図１の例を用いて動作について説明する。
　〔ステップＳ１〕制御部１ａは、記憶部１ｂから利用サービス情報を取得する。
　〔ステップＳ２〕制御部１ａは、利用サービス情報にもとづいてサービス毎の利用比率を算出する。例えば、サービスＡの利用比率を３０％、サービスＢの利用比率を４０％、サービスＣの利用比率を３０％の比率と算出する（利用比率の算出については後述する）。
　〔ステップＳ３〕制御部１ａは、サービス毎の利用比率に応じたリソース（通信帯域、ＣＰＵ（Central Processing Unit）使用率等）をプールする。
　〔ステップＳ４〕制御部１ａは、所定サービスを配信する際のリソースを有する閉域ネットワークを、サービスの開始前にユーザ端末に対して非接続の状態で構築しておく。例えば、ユーザ端末４は、サービス実行サーバ３からサービスＡを利用するものとする。
　この場合、制御部１ａは、サービスＡの３０％のリソースを使用してサービス実行サーバ３とユーザ端末４との間に閉域ネットワークｎ１を、ユーザ端末４のサービスの開始前にあらかじめ構築しておく。なお、制御部１ａは、ユーザ端末４からサービス開始を検出するまでは、閉域ネットワークｎ１はユーザ端末４に対して非接続状態にしておく。
　具体的には、サービス実行サーバ３からネットワークＮ０内のネットワーク機器（図示せず）までの所定範囲に閉域ネットワークｎ１を接続して構築しておく（閉域ネットワークの構築の詳細については後述する）。
　このように、通信制御装置１では、ユーザ端末がアクセスしうるサービスの利用比率を算出し、利用比率に応じたリソースを有する閉域ネットワークをユーザに対して非接続の状態であらかじめ構築しておく。
　従前のように、サービス利用開始を検出してから閉域ネットワークを最初から構築するのではなく、あらかじめ所定範囲まで閉域ネットワークが事前に構築されている。これにより、閉域ネットワークのサービス利用時の待ち時間を短縮することができるので、利用者が閉域ネットワークのサービスを利用できるまで時間がかかり待たされるといった問題を解消することができる。
　（閉域ネットワークの一般的な構築動作およびその課題）
　次に本発明の詳細を説明する前に、閉域ネットワークの一般的な構築動作およびその課題について図２、図３を用いて説明する。
　図２、図３は閉域ネットワークの構築からサービス開始までの流れの一例を示す図である。
　〔ステップＳ１１〕ユーザ端末４ａは、閉域ネットワーク構築装置５に対して、閉域ネットワークを用いたサービスの利用要求を送信する。
　〔ステップＳ１２〕閉域ネットワーク構築装置５は、サービスの利用要求を検出する。
　〔ステップＳ１３〕閉域ネットワーク構築装置５は、ユーザ端末４ａから要求されたサービスを配備する。
　〔ステップＳ１４〕閉域ネットワーク構築装置５は、サービス３ａとユーザ端末４ａとを接続する閉域ネットワークを構築する。
　〔ステップＳ１５〕サービス３ａとユーザ端末４ａは、閉域ネットワークｎ２０を介して接続され、サービス３ａとユーザ端末４ａとの通信が可能になって、ユーザ端末４ａは所望のサービスを利用する。
　ここで、閉域ネットワークｎ２０が構築されるまでは、ユーザ端末４ａとサービス３ａとをつなぐネットワークは存在しない。このため、閉域ネットワークｎ２０の構築前にユーザ端末４ａからサービス３ａにアクセスすると、物理ネットワーク内に配置されている中継機器（図示せず）から送信されるNetwork Unreachableのメッセージｍ１がユーザ端末４ａに返ってくることになる。
　上記のように、従前の閉域ネットワークの構築処理では、サービスの利用開始を検出した後、一から閉域ネットワークが構築されるので、ユーザ端末４ａがサービス利用要求を送信してからサービスの利用が可能になるまで時間がかかってしまう。本発明はこのような点に鑑みてなされたものであり、閉域ネットワークの構築を効率よく行って、サービス利用開始までの待ち時間の短縮化を図るものである。
　＜機能ブロック＞
　以降、本発明の構成および動作について詳しく説明する。図４は閉域ネットワーク構築システムの機能ブロックの一例を示す図である。閉域ネットワーク構築システム１－１は、閉域ネットワーク管理サーバ１０、サービス配信サーバ２０、サービス実行サーバ３０およびユーザ端末４０を備える。閉域ネットワーク管理サーバ１０は、図１の通信制御装置１の機能を実現する。
　閉域ネットワーク管理サーバ１０は、制御部１１および記憶部１２を含む。制御部１１は、図１の制御部１ａの機能を実行し、記憶部１２は、図１の記憶部１ｂの機能を実行する。
　制御部１１は、閉域ネットワーク管理部１１ａ、利用サービス情報管理部１１ｂおよび閉域ネットワーク構築部１１ｃを含む。記憶部１２は、利用サービス情報保存部１２ａを含む。
　閉域ネットワーク管理部１１ａは、閉域ネットワークの構築・プールの全体管理を行い、閉域ネットワークのプール数の上限を決定する。利用サービス情報管理部１１ｂは、ユーザ端末４０から送信されるサービス利用開始通知を受信すると記憶部１２から利用サービス情報を取得し、ユーザ端末４０が利用可能なサービスを検出する。
　閉域ネットワーク構築部１１ｃは、サービス配信サーバ２０にサービス配信を通知し、サービス実行サーバ３０に閉域ネットワークの構築を通知する。利用サービス情報保存部１２ａは、利用サービス情報が登録された利用サービス情報テーブルを保存する（テーブル構成は図８で後述）。
　サービス配信サーバ２０は、サービス配信部２１およびサービス保存部２２を含む。サービス配信部２１はサービスイメージの配信を行い、サービス実行サーバ３０にサービスの実行を指示する。サービス保存部２２は、ユーザ端末４０が利用可能なサービスに関連する情報を保存する。
　サービス実行サーバ３０は、サービス実行部３１、閉域ネットワーク設定部３２、閉域ネットワーク配備部３３および閉域ネットワーク情報プール部３４を含む。サービス実行部３１は、配信されたサービスイメージを実行する。
　閉域ネットワーク設定部３２は、指示された閉域ネットワークを構築し、実行されたサービスと合わせてプールする。閉域ネットワーク配備部３３は、構築した閉域ネットワークを配備する。閉域ネットワーク情報プール部３４は、閉域ネットワーク情報が登録された閉域ネットワーク情報テーブルをプールする（テーブル構成は図９で後述）。
　なお、上記では、閉域ネットワーク管理サーバ１０とサービス配信サーバ２０とを分離した構成を示したが、サービス配信サーバ２０の機能が閉域ネットワーク管理サーバ１０内に含まれる構成であってもよい。
　＜ハードウェア＞
　図５は閉域ネットワーク管理サーバのハードウェア構成の一例を示す図である。閉域ネットワーク管理サーバ１０は、プロセッサ（コンピュータ）１００によって全体制御されている。プロセッサ１００は、制御部１１の機能を実現する。
　プロセッサ１００には、バス１０３を介して、メモリ１０１、入出力インタフェース１０２およびネットワークインタフェース１０４が接続されている。
　プロセッサ１００は、マルチプロセッサであってもよい。プロセッサ１００は、例えば、ＣＰＵ、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、またはＰＬＤ（Programmable Logic Device）である。またプロセッサ１００は、ＣＰＵ、ＭＰＵ、ＤＳＰ、ＡＳＩＣ、ＰＬＤのうちの２以上の要素の組み合わせであってもよい。
　メモリ１０１は、記憶部１２の機能を実現し、閉域ネットワーク管理サーバ１０の主記憶装置として使用される。メモリ１０１には、プロセッサ１００に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０１には、プロセッサ１００による処理に要する各種データが格納される。
　また、メモリ１０１は、閉域ネットワーク管理サーバ１０の補助記憶装置としても使用され、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。メモリ１０１は、補助記憶装置として、フラッシュメモリやＳＳＤ（Solid State Drive）等の半導体記憶装置やＨＤＤ（Hard Disk Drive）等の磁気記録媒体を含んでもよい。
　バス１０３に接続されている周辺機器としては、入出力インタフェース１０２およびネットワークインタフェース１０４がある。入出力インタフェース１０２は、キーボードやマウス等の情報入力装置を接続可能であって、情報入力装置から送られてくる信号をプロセッサ１００に送信する。
　さらにまた、入出力インタフェース１０２は、周辺機器を接続するための通信インタフェースとしても機能する。例えば、入出力インタフェース１０２は、レーザ光等を利用して、光ディスクに記録されたデータの読み取りを行う光学ドライブ装置を接続することができる。光ディスクには、Ｂｌｕ－ｒａｙＤｉｓｃ（登録商標）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（Rewritable）等がある。
　また、入出力インタフェース１０２は、メモリ装置やメモリリーダライタを接続することができる。メモリ装置は、入出力インタフェース１０２との通信機能を搭載した記録媒体である。メモリリーダライタは、メモリカードへのデータの書き込み、またはメモリカードからのデータの読み出しを行う装置である。メモリカードは、カード型の記録媒体である。
　ネットワークインタフェース１０４は、ネットワークに接続してネットワークインタフェース制御を行う。ネットワークインタフェース１０４には、例えば、ＮＩＣ（Network Interface Card）、無線ＬＡＮ（Local Area Network）カード等を使用することもできる。ネットワークインタフェース１０４で受信されたデータは、メモリ１０１やプロセッサ１００に出力される。
　以上のようなハードウェア構成によって、閉域ネットワーク管理サーバ１０の処理機能を実現することができる。例えば、閉域ネットワーク管理サーバ１０は、プロセッサ１００がそれぞれ所定のプログラムを実行することで本発明の処理を行うことができる。
　閉域ネットワーク管理サーバ１０は、例えば、コンピュータで読み取り可能な記録媒体に記録されたプログラムを実行することにより、本発明の処理機能を実現する。閉域ネットワーク管理サーバ１０に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。
　例えば、閉域ネットワーク管理サーバ１０に実行させるプログラムを補助記憶装置に格納しておくことができる。プロセッサ１００は、補助記憶装置内のプログラムの少なくとも一部を主記憶装置にロードし、プログラムを実行する。
　また、光ディスク、メモリ装置、メモリカード等の可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えば、プロセッサ１００からの制御により、補助記憶装置にインストールされた後、実行可能となる。またプロセッサ１００が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。
　＜閉域ネットワークの構築およびリソースのプール＞
　次に閉域ネットワークの構築およびリソースのプールについて説明する。制御部１１では、上述したように１つのサービスを１つの閉域ネットワークで構築して、その閉域ネットワークのリソースをプールする。閉域ネットワークは、例えば、ＶＰＮ（Virtual Private Network）、ＶＬＡＮ（Virtual LAN）およびＶＸＬＡＮ（Virtual extensible LAN）等で構築される。
　また、閉域ネットワークを通じて提供されるサービスは、クラウドやデータセンタのサーバ上に構築され、サービスはコンテナや仮想マシンで構築される（サービスをサーバのＯＳ上で直接構築しても問題ない）。なお、サービス毎のコンテナイメージおよび仮想マシンイメージがサービスイメージとしてサービス配信サーバ２０からサービス実行サーバ３０に配信される。
　閉域ネットワークは、サービス（サービス実行サーバ３０）と、ユーザ端末４０が接続する拠点ネットワーク内のネットワーク機器と、の間で構築される。閉域ネットワークのリソースのプール時においては、ユーザ端末４０は閉域ネットワークには接続せず、この状態における閉域ネットワークのリソースがプールされる。なお、プールされる閉域ネットワークの情報は、閉域ネットワーク情報テーブルで管理される。
　＜サービスイメージ＞
　次にサービスイメージについて説明する。サービスイメージは、利用者に提供するサービスが構築・設定されたコンテナイメージまたは仮想マシンイメージである。
　図６はコンテナイメージの一例を示す図である。サーバ３０ａは、ＯＳ３０ａ１を有し、ＯＳ３０ａ１にはコンテナ管理ソフトウェア３０ａ２が含まれる。コンテナ管理ソフトウェア３０ａ２は、コンテナｃ１、ｃ２、ｃ３を有し、コンテナｃ１、ｃ２、ｃ３には各種のサービスが含まれる。このようにコンテナ仮想化では、１つのＯＳカーネルを共有し、ＯＳ上に分離された空間が構築されてサービスが設定される。
　図７は仮想マシンイメージの一例を示す図である。サーバ３０ｂは、ハイパーバイザ３０ｂ１を有し、ハイパーバイザ３０ｂ１にはＶＭ（Virtual Machine）３ｂ１、３ｂ２、３ｂ３が含まれる。ＶＭ３ｂ１、３ｂ２、３ｂ３には、ＯＳおよびサービスが含まれる。このようにサーバ仮想化では、サーバ上に複数の仮想サーバ（ＯＳ、アプリケーション、データ）が構築される。
　なお、上記において、コンテナイメージの実行には、コンテナ仮想化ソフトウェア（dockerやＬＸＣ（Linux Containers）等）が利用され、仮想マシンイメージの実行には、サーバ仮想化ソフトウェア（VMware ESXi、Citrix Hypervisor、ＫＶＭ（Kernel-based Virtual Machine）等）が利用される。また、コンテナイメージの配信・実行にはKubernetes、仮想マシンイメージの配信・実行には、VMware HorizonやOpenStack等がある。
　＜テーブル構成＞
　図８は利用サービス情報テーブルの一例を示す図である。利用サービス情報テーブルＴ１は、項目として利用者（ユーザ端末）およびサービスを有する。利用者は、ユーザ端末の識別子であり、サービスは、閉域ネットワークを通じて実行されるサービスの識別子である。図８の例では、利用者＃１はサービスＡにアクセス可能であり、利用者＃２はサービスＡ、Ｂにアクセス可能であることが示されている。
　図９は閉域ネットワーク情報テーブルの一例を示す図である。閉域ネットワーク情報テーブルＴ２は、項目として、閉域ネットワークＩＤ、サービスＩＤ、送信元アドレス、送信先アドレス、ネットワーク機器アドレスおよび利用者ＩＤを含む。
　閉域ネットワークＩＤは、閉域ネットワークの識別子であり、例えば、構築した順に１から割り当ててもよい。サービスＩＤは、コンテナや仮想マシンのＩＤであり、ＩＰ（Internet Protocol）アドレス等の識別可能な情報である。
　閉域ネットワーク情報内の送信元アドレス、送信先アドレスおよびネットワーク機器アドレスは、閉域ネットワークを通すパケットの送信元アドレス、送信先アドレスおよび拠点ネットワークに配置されているネットワーク機器のアドレスである。
　利用者ＩＤは、どの利用者用に構築・プールしている閉域ネットワークかを示すユーザ端末の識別子である。
　＜閉域ネットワークの構築動作＞
　次に図１０から図１３を用いて、本発明の閉域ネットワークの構築の流れの一例について説明する。
　図１０はプール数の比率の決定の一例を示す図である。
　〔ステップＳ２１〕制御部１１は、ユーザ端末４０と、ユーザ端末４０がアクセスしうるサービスとから構成される利用サービス情報を取得する。
　〔ステップＳ２２〕制御部１１は、取得した利用サービス情報から、１つのサービスを含む１つの閉域ネットワークを構築するために要するリソースをプールする。この場合、利用サービス情報に登録されたサービスについて、サービス毎に集計し、サービス毎にリソースをプールする比率（利用比率）を算出して決定する。例えば、サービスＡのプール数を３０％、サービスＢのプール数を４０％、サービスＣのプール数を３０％の比率に決定する。
　図１１は閉域ネットワークの構築の一例を示す図である。
　〔ステップＳ２３〕制御部１１は、閉域ネットワークについて、プール数の上限（図１１の例では上限は１００％）を決定し、上限を超えない範囲でステップＳ２２により決定した比率でサービスＡ、Ｂ、Ｃ毎の閉域ネットワークを構築する。サービスＡ、Ｂ、Ｃ毎に構築される閉域ネットワークは、この時点においては各サービスにアクセスしうるユーザ端末４０に対して非接続状態である。
　なお、プール数の上限を決定する際は、サービスを展開するサーバのリソース（ＣＰＵ使用率、通信帯域等）の所定値（例えば、○○%）となるように決定したり、またはサービスを展開するクラウドの利用料金を考慮して決定したりすることができる。
　図１２は閉域ネットワークの配備の一例を示す図である。
　〔ステップＳ２４〕制御部１１は、ユーザ端末４０からのサービス利用開始を検出し、ユーザ端末４０がサービスＢにアクセスする場合、サービスＢのリソースプールで構築されている閉域ネットワークｎｂを動的に配備する。
　閉域ネットワークｎｂが配備されることでユーザ端末４０はサービスＢにアクセスが可能になる。なお、閉域ネットワークの配備については後述の図１９でさらに説明する。
　図１３は閉域ネットワークの回収の一例を示す図である。
　〔ステップＳ２５〕制御部１１は、ユーザ端末４０からサービス利用終了を検出すると配備した閉域ネットワークｎｂを回収する。この場合、制御部１１は、閉域ネットワークｎｂを解放してステップＳ２３の状態（閉域ネットワークが構築されユーザ端末４０に非接続の状態）に戻す。なお、閉域ネットワークの回収については後述の図１９でさらに説明する。
　＜プール数の比率算出＞
　図１４はプール数の比率の求め方を説明するための図である。制御部１１は、利用サービス情報テーブルＴ１ａに登録された情報にもとづいて、サービス毎に閉域ネットワークを構築する際のリソースのプール数の比率を以下のように算出する。
　制御部１１は、各サービスを利用する利用者数を集計する。図１４の例では、サービスＡは、利用者＃１、＃３、＃６、＃８、＃１０が利用するので、サービスＡの利用者数＝５である。同様にして、サービスＢからサービスＨまでの利用者数を集計する。
　制御部１１は、各サービスを利用する利用者数の集計後、プール数の比率を算出する。図１４の例では、サービスＡからサービスＨまでの各利用者数の総和は３２（＝５＋３＋４＋５＋３＋４＋４＋４）である。したがって、サービスＡのプール数の比率は（５／３２）×１００≒１５％となる。同様にしてサービスＢからサービスＨまでのプール数の比率が算出される。結果として（Ａ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆ、Ｇ、Ｈ）＝（１５％、１０％、１２％、１５％、１０％、１２％、１２％、１２％）と求められる。
　＜フローチャート＞
　次にフローチャートを用いて動作について説明する。
　図１５、図１６は閉域ネットワーク構築システムの全体動作の一例を示すフローチャートである。
　〔ステップＳ３１〕制御部１１は、閉域ネットワークを構築する際のリソースのプール数の上限を決定する。
　〔ステップＳ３２〕制御部１１は、ユーザ端末４０の認証を行って正当性を判定する。ユーザ端末４０が正当な場合はステップＳ３３に処理が進み、正当でない場合はステップＳ３２の処理を繰り返す。
　〔ステップＳ３３〕制御部１１は、利用サービス情報を取得する。
　〔ステップＳ３４〕制御部１１は、接続するユーザ端末４０がアクセスしうるサービスの閉域ネットワークの構築に要するリソースをすべてプールしたか否かを判定する。すべてプールした場合はステップＳ４０に処理が進み、そうでない場合はステップＳ３５に処理が進む。
　〔ステップＳ３５〕制御部１１は、構築する閉域ネットワークのリソースのプール数が上限に達したか否かを判定する。達した場合はステップＳ３４に処理が戻り、達していない場合はステップＳ３６に処理が進む。
　〔ステップＳ３６〕制御部１１は、閉域ネットワークの構築をサービス配信サーバ２０およびサービス実行サーバ３０に通知する。
　〔ステップＳ３７〕サービス配信サーバ２０は、サービスイメージの配信および実行をサービス実行サーバ３０に指示する。
　〔ステップＳ３８〕サービス実行サーバ３０は、配信されたサービスイメージをプールする。
　〔ステップＳ３９〕サービス実行サーバ３０は、閉域ネットワークおよびサービスイメージを設定する。
　〔ステップＳ４０〕制御部１１は、ユーザ端末４０からのサービス利用開始を検出したか否かを判定する。サービス利用開始を検出した場合はステップＳ４１に処理が進み、未検出の場合はステップＳ４０の処理を繰り返す。
　〔ステップＳ４１〕制御部１１は、サービス配信をサービス配信サーバ２０に指示する。
　〔ステップＳ４２〕制御部１１は、ユーザ端末４０がサービスにアクセス可能か否かを判定する。サービスへのアクセスが可能な場合はステップＳ４３に処理が進み、不可の場合は終了する。
　〔ステップＳ４３〕制御部１１は、ユーザ端末４０とサービス（サービス実行サーバ３０）とをつなぐ閉域ネットワークを配備してサービスを提供する。
　図１７はユーザ端末のネットワーク接続から切断までの流れの一例を示すフローチャートである。
　〔ステップＳ５１〕制御部１１は、ユーザ端末４０のネットワーク接続時に認証を行い、認証が成功するとユーザ端末４０のネットワーク接続と同時に利用サービス情報を取得する。
　〔ステップＳ５２〕制御部１１は、利用サービス情報をもとに接続したユーザ端末４０が利用しうるサービスすべての閉域ネットワークを構築する際のリソースをプールする。なお、プールの上限を超える場合は、プールに同じサービスを持つ閉域ネットワークを検索し、プール中の閉域ネットワークのうち、構築するサービスの閉域ネットワークの数が少ない閉域ネットワークからプールする。
　〔ステップＳ５３〕制御部１１は、ユーザ端末４０からサービスへの接続を検出すると該当する閉域ネットワークを利用者環境に配備する。
　〔ステップＳ５４〕制御部１１は、サービスの終了を検出すると利用者環境から閉域ネットワークを回収する。
　＜閉域ネットワークの構築、配備および回収＞
　図１８は閉域ネットワークの構築を説明するための図である。ネットワークＮ０は、サービスを実行するサーバ３０ｃと、該サービスにアクセス可能なユーザ端末４０とが接続されており、ネットワークＮ０内にサーバ３０ｃとユーザ端末４０とを中継するネットワーク機器６が含まれる。
　制御部１１は、ネットワークＮ０に対して、サーバ３０ｃが提供するサービスにアクセス可能な閉域ネットワークｎ１０をユーザ端末４０のサービス開始前に事前に構築しておく。この場合、サーバ３０ｃからネットワーク機器６まで接続される閉域ネットワークｎ１０が構築され、ユーザ端末４０は閉域ネットワークｎ１０に対して、この時点では非接続状態になる。
　図１９は閉域ネットワークの配備および回収を説明するための図である。制御部１１は、閉域ネットワークの配備を行う場合、ユーザ端末４０からサービスへの経路情報を閉域ネットワーク情報テーブルから取得することで、ユーザ端末４０から利用するサービスにだけ繋がる閉域ネットワークを構築する。
　図１９の例では、制御部１１がユーザ端末４０からサービスの利用開始を検出した場合、制御部１１は、ネットワーク機器６からユーザ端末４０まで閉域ネットワークｎ１０をさらに接続して閉域ネットワークｎ１０－１を配備して、ユーザ端末４０とサーバ３０ｃとを通信可能にして、ユーザ端末４０に対してサービスの利用を可能にする。
　なお、ユーザ端末４０と接続した閉域ネットワークｎ１０－１は、閉域ネットワーク情報テーブルで管理されるデータから削除されてもよいし、配備中である旨のタグを付加して管理されてもよい。
　一方、制御部１１は、ユーザ端末４０からのサービスの利用終了を検出すると、閉域ネットワークの回収を行う。図１９の例では、制御部１１は、サーバ３０ｃとユーザ端末４０とを接続していた閉域ネットワークｎ１０－１を解放する。このとき、制御部１１は、閉域ネットワークｎ１０－１の解放後に、サーバ３０ｃからネットワーク機器６まで接続する閉域ネットワークｎ１０を再構築しておいてもよい。
　なお、閉域ネットワークの回収時は、閉域ネットワークの配備時に使用した経路情報を削除する。なお、回収時には経路情報の削除だけでなく、解放した閉域ネットワークを再構築して再構築したリソースの情報をプールしてもよい。
　＜類似の閉域ネットワーク＞
　図２０は類似の閉域ネットワークの抽出を説明するための図である。閉域ネットワークのリソースのプール数が上限に達しており、新規のユーザ端末４０ａに対して新たに閉域ネットワークの構築・プールをできない場合がある。
　この場合、既存のユーザ端末用にプールされている第１のサービスと、第１のサービスを行う閉域ネットワークとの第１の組み合わせが、新規のユーザ端末用にプールできなかった第２のサービスと、第２のサービスを行う閉域ネットワークとの第２の組み合わせと類似であり、かつ第１の組み合わせが既存のユーザ端末で使用されていない場合、新規のユーザ端末は、既存のユーザ端末用にプールされている第１のサービスと第１のサービスを行う閉域ネットワークとの第１の組み合わせを利用できる。
　なお、プール数上限時に類似の閉域ネットワークの抽出の判断としては、例えば、以下の２点が挙げられる。
　１）類似の閉域ネットワークで行われるサービスが、新たに構築・プールしたい閉域ネットワークで行われるサービスと類似していること。
　２）類似の閉域ネットワークの拠点ネットワークが新規のユーザ端末が接続する拠点ネットワークと同じであること。
　ここで、図２０に示すように、ネットワークＮ０では、ユーザ端末４０－１からユーザ端末４０－ｍそれぞれに対し、サービスＢからサービスＭにアクセス可能な複数の閉域ネットワーク（既存の閉域ネットワーク群ｇ１）が構築されている。このとき、新規のユーザ端末４０ａがサービスＢａを利用したいが、閉域ネットワークのリソースのプール数が上限に達しており、新たな閉域ネットワークを構築できないとする（状態ｓｔ１）。また、既存の閉域ネットワーク群ｇ１の中で既存のユーザ端末４０－１がサービスＢにアクセスしているものとする。
　この場合、制御部１１は、ユーザ端末４０－１用にプールされているサービスＢ＋閉域ネットワークの組み合わせｃ１１が、新規のユーザ端末４０ａ用にプールできなかったサービスＢａ＋閉域ネットワークの組み合わせｃ１２と類似であり、かつ組み合わせｃ１１をユーザ端末４０－１で使用していないことを検出する。
　このとき、制御部１１は、新規のユーザ端末４０ａに対して、ユーザ端末４０－１用にプールされているサービスＢ＋閉域ネットワークの組み合わせｃ１１を設定する（状態ｓｔ２）。このような類似の閉域ネットワークを抽出することで、閉域ネットワークのリソースのプール数が上限に達している場合でも、サービスを提供することが可能になる。
　一方、プール数が上限に達して新たに閉域ネットワークの構築・プールをできない場合、既に構築されている閉域ネットワークのプールのうちから、解放可能な閉域ネットワークを選択して、選択した閉域ネットワークを使用してもよい。
　この場合、解放する閉域ネットワークの選択としては、利用されていない配備時間が所定時間よりも長いものや、類似の閉域ネットワークが多数あるもの等から選択される。
　なお、新たに構築・プールしたい閉域ネットワークと、類似の閉域ネットワークとの違いは、例えば、閉域ネットワークで通信を行う際の送信元／送信先のＩＰアドレスで判断される。このため、制御部１１は、ユーザ端末のＩＰアドレスを新規のユーザのＩＰアドレス（例えば、送信元のＩＰアドレス）に変更することで、類似の閉域ネットワークを使用することができる。
　＜インシデント発生検知に応じた閉域ネットワークの遮断＞
　制御部１１は、閉域ネットワークを介してユーザ端末４０が利用しているサービスに対して、サービスを実行しているサーバへの攻撃（インシデント）を検出することができる。例えば、ＳＱＬ（Structured Query Language）インジェクションやＸＳＳ（cross site scripting）等のマルウェアを検出することができる。
　この場合、制御部１１は、当該サービスが行われている閉域ネットワークを回収し、ユーザ端末４０のネットワーク接続を切断し、プールから閉域ネットワークを解放する。また、制御部１１は、ユーザ端末を閉域ネットワークから切断した場合、ユーザ端末を閉域ネットワークに接続する際に使用した経路情報の削除を行う。これにより、新たに閉域ネットワークを構築する際の経路情報を保存するための記憶容量を確保することができる。
　なお、サービスは、閉域ネットワークをプールする際に、制御部１１からサービスイメージが配信されて実行される。またサービスイメージは、マルウェア感染していないことを確認した上で保存されることを前提としているため、プールした時点でマルウェア感染している可能性は低い。
　上記で説明した本発明の通信制御装置１および閉域ネットワーク管理サーバ１０は、コンピュータによって実現することができる。この場合、通信制御装置１および閉域ネットワーク管理サーバ１０が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。
　処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記憶部、光ディスク、光磁気記録媒体、半導体メモリ等がある。磁気記憶部には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープ等がある。光ディスクには、ＣＤ－ＲＯＭ／ＲＷ等がある。光磁気記録媒体には、ＭＯ（Magneto Optical disk）等がある。
　プログラムを流通させる場合、例えば、そのプログラムが記録されたＣＤ－ＲＯＭ等の可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶部に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
　プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶部に格納する。そして、コンピュータは、自己の記憶部からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。
　また、コンピュータは、ネットワークを介して接続されたサーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。また、上記の処理機能の少なくとも一部を、ＤＳＰ、ＡＳＩＣ、ＰＬＤ等の電子回路で実現することもできる。
　以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。
　上記については単に本発明の原理を示すものである。さらに、多数の変形、変更が当業者にとって可能であり、本発明は上記に示し、説明した正確な構成および応用例に限定されるものではなく、対応するすべての変形例および均等物は、添付の請求項およびその均等物による本発明の範囲とみなされる。
　１　通信制御装置
　１ａ　制御部
　１ｂ　記憶部
　３　サービス実行サーバ
　４　ユーザ端末
　Ｎ０　ネットワーク
　ｎ１　閉域ネットワーク

Claims (11)

  1. 　コンピュータに、
    　ユーザ端末と、前記ユーザ端末がアクセスしうるサービスと、を含む利用サービス情報をメモリに記憶し、
    　前記利用サービス情報にもとづいて前記サービス毎の利用比率を算出し、
    　前記利用比率に応じたリソースをプールし、
    　前記サービスを配信しうる前記リソースを有する閉域ネットワークを前記サービスの開始前に前記ユーザ端末に対して非接続の状態で構築する、
    　処理を実行させる通信制御プログラム。
  2. 　前記処理は、
    　前記サービスの利用開始を検出した場合、前記閉域ネットワークを前記ユーザ端末に接続し、
    　前記サービスの利用終了を検出した場合、前記閉域ネットワークを前記ユーザ端末に対して非接続にする、
    　請求項１記載の通信制御プログラム。
  3. 　前記サービスを実行するサーバと、前記ユーザ端末とを接続するネットワークに、前記サーバと前記ユーザ端末とを中継するネットワーク機器が含まれ、
    　前記処理は、前記閉域ネットワークの構築時、前記閉域ネットワークが前記サーバと前記ネットワーク機器とに接続する請求項２記載の通信制御プログラム。
  4. 　前記処理は、前記サービスの利用開始を検出した場合、前記ネットワーク機器から前記ユーザ端末まで前記閉域ネットワークをさらに接続して前記ユーザ端末に対して前記サービスの利用を可能にする請求項３記載の通信制御プログラム。
  5. 　前記処理は、前記サービスの利用終了を検出した場合、前記サーバと前記ユーザ端末とを接続していた前記閉域ネットワークを解放し、解放後に前記サーバから前記ネットワーク機器まで接続する前記閉域ネットワークを再構築する請求項３記載の通信制御プログラム。
  6. 　前記処理は、
    　前記閉域ネットワークを構築する前記リソースの数が上限に達しており、新規ユーザ端末に対して新たな前記閉域ネットワークの構築を不可と判断した場合、
    　既存ユーザ端末に接続されており既に構築されている既存閉域ネットワーク群のうちから、新たに構築したい前記閉域ネットワークと類似する類似閉域ネットワークを抽出し、
    　抽出した前記類似閉域ネットワークを前記新規ユーザ端末に設定する、
    　請求項１記載の通信制御プログラム。
  7. 　前記処理は、
    　前記既存ユーザ端末にプールされている第１のサービスと、前記第１のサービスを行う閉域ネットワークとの第１の組み合わせが、前記新規ユーザ端末にプールできなかった第２のサービスと、前記第２のサービスを行う閉域ネットワークとの第２の組み合わせと類似であり、かつ前記第１の組み合わせが前記既存ユーザ端末で使用されていない場合、前記新規ユーザ端末に対して、前記第１の組み合わせを前記類似閉域ネットワークとして設定する請求項６記載の通信制御プログラム。
  8. 　前記処理は、前記閉域ネットワークを介して前記ユーザ端末が利用している前記サービスに対してセキュリティに関するインシデントを検出した場合、前記サービスが行われている前記閉域ネットワークを遮断する請求項１記載の通信制御プログラム。
  9. 　前記処理は、前記ユーザ端末が前記閉域ネットワークから切断された場合、前記ユーザ端末を前記閉域ネットワークに接続する際に使用した経路情報を削除する請求項１記載の通信制御プログラム。
  10. 　コンピュータが、
    　ユーザ端末と、前記ユーザ端末がアクセスしうるサービスと、を含む利用サービス情報をメモリに記憶し、
    　前記利用サービス情報にもとづいて前記サービス毎の利用比率を算出し、
    　前記利用比率に応じたリソースをプールし、
    　前記サービスを配信しうる前記リソースを有する閉域ネットワークを前記サービスの開始前に前記ユーザ端末に対して非接続の状態で構築する、
    　通信制御方法。
  11. 　ユーザ端末と、前記ユーザ端末がアクセスしうるサービスと、を含む利用サービス情報を記憶する記憶部と、
    　前記利用サービス情報にもとづいて前記サービス毎の利用比率を算出し、前記利用比率に応じたリソースをプールし、前記サービスを配信しうる前記リソースを有する閉域ネットワークを前記サービスの開始前に前記ユーザ端末に対して非接続の状態で構築させる制御部と、
    　を有する通信制御装置。
PCT/JP2020/031686 2020-08-21 2020-08-21 通信制御プログラム、通信制御方法および通信制御装置 WO2022038781A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/031686 WO2022038781A1 (ja) 2020-08-21 2020-08-21 通信制御プログラム、通信制御方法および通信制御装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/031686 WO2022038781A1 (ja) 2020-08-21 2020-08-21 通信制御プログラム、通信制御方法および通信制御装置

Publications (1)

Publication Number Publication Date
WO2022038781A1 true WO2022038781A1 (ja) 2022-02-24

Family

ID=80322602

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/031686 WO2022038781A1 (ja) 2020-08-21 2020-08-21 通信制御プログラム、通信制御方法および通信制御装置

Country Status (1)

Country Link
WO (1) WO2022038781A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009169672A (ja) * 2008-01-16 2009-07-30 Nec Corp 資源割当てシステム、資源割当て方法及びプログラム
JP2011248503A (ja) * 2010-05-25 2011-12-08 Nippon Telegr & Teleph Corp <Ntt> 情報サービスシステム
JP2016103113A (ja) * 2014-11-27 2016-06-02 株式会社日立製作所 計算機システム及び計算機リソースの割当て管理方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009169672A (ja) * 2008-01-16 2009-07-30 Nec Corp 資源割当てシステム、資源割当て方法及びプログラム
JP2011248503A (ja) * 2010-05-25 2011-12-08 Nippon Telegr & Teleph Corp <Ntt> 情報サービスシステム
JP2016103113A (ja) * 2014-11-27 2016-06-02 株式会社日立製作所 計算機システム及び計算機リソースの割当て管理方法

Similar Documents

Publication Publication Date Title
KR101934286B1 (ko) 네트워크 기능 가상화 관리 및 오케스트레이션 방법과 장치와 프로그램
US9003407B2 (en) Dynamically provisioning virtual machines
US10318550B2 (en) Systems and methods for autonomous resource discovery, management, and stitching
US11848854B1 (en) Method, apparatus, and computer program product for dynamic security based grid routing
US20120150930A1 (en) Cloud storage and method for managing the same
US20110035747A1 (en) Virtual machine package generation system, virtual machine package generation method, and virtual machine package generation program
US20130198354A1 (en) System and Method for Portable and Flexible Deployment of Servers
WO2019062722A1 (zh) 基于微服务架构的报文处理方法、装置和bras
JP7082673B2 (ja) セキュリティ保護方法および装置
CN110234140B (zh) 一种通信方法、装置、实体及存储介质
CN105898754A (zh) 一种用于基站管理的系统和基站管理方法
JP5503678B2 (ja) ホスト提供システム及びホスト提供方法
JP6962293B2 (ja) 通信制御装置、通信制御システム、通信制御方法および通信制御プログラム
JP3554134B2 (ja) ネットワーク接続経路探索方法、計算機、ネットワークシステム及び記憶媒体。
CN102929958A (zh) 元数据的处理方法，代理、转发设备，服务器及计算系统
CN114237809A (zh) 一种计算机系统、容器管理方法及装置
CN113467970A (zh) 云计算系统中的跨安全区域的资源访问方法及电子设备
WO2022038781A1 (ja) 通信制御プログラム、通信制御方法および通信制御装置
KR101936942B1 (ko) 분산형 컴퓨팅 가속화 플랫폼 장치 및 분산형 컴퓨팅 가속화 플랫폼 운영 방법
CN108228099A (zh) 一种数据存储的方法及装置
EP3857826B1 (en) Flexible unnumbered destination tunnels for virtual networks
KR101973946B1 (ko) 분산형 컴퓨팅 가속화 플랫폼 장치
CN102946617A (zh) 负荷分担方法、装置和系统
US10673937B2 (en) Dynamic record-level sharing (RLS) provisioning inside a data-sharing subsystem
US20180124170A1 (en) Resource management device and method

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20950346

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP