JP5241763B2 - 通信システムおよび通信システムの制御方法 - Google Patents

Description

本発明は，複数のユーザでネットワークを共有でき、ユーザ間は互いに独立した仮想ネットワークを構築する仮想ネットワーク技術に関して、特に仮想ネットワーク上に通信パケットの情報処理を行うパケット処理装置を含むシステムの制御技術に関する。

都市間のように距離的に離れた場所にある企業等のユーザの情報システム間を接続する通信サービスを広域ネットワークサービスという。従来、広域ネットワークサービスには、ユーザの情報システム拠点間を専用線やATM網等の比較的高価な通信サービスが利用されてきた。近年、企業業務のIT化が著しく進展し、様々な情報を電子化し企業の拠点間で通信を行うようになってきており、このような需要に応えるため、より低コストでユーザの情報システムと接続しやすい広域イーサネット（登録商標）やIP-VPN等のIP・イーサネットベースの広域ネットワークサービスが利用されるようになってきている。

IP・イーサネットベースの広域ネットワークは、ユーザの情報システムで用いられるネットワーク標準プロトコルであるIPおよびイーサネット技術を用いたルータ装置（以下、ルータ）を利用することでユーザの情報システムとの接続容易性を提供している。また、ルータ間を接続するインターフェースは10Gbpsの広帯域の伝送技術が使われ、IP・イーサネットベースの広域ネットワークではこの広帯域のインターフェースを複数のユーザで共有することで、低コストなサービスを提供可能となっている。

IP・イーサネットベースの広域ネットワークは、広域ネットワークの基幹を構成するルータ群から成るコア網とコア網とユーザの拠点を接続するルータであるエッジルータとで構成される。ユーザの情報システム拠点間の通信に用いられる通信パケットはエッジルータでカプセル化されてコア網内の通信に使われるコア網ヘッダが通信パケットに追加される。コア網内のルータはコア網ヘッダを参照して通信パケットの転送を行うため、元のユーザの通信パケットを変更することなく広域ネットワークを使用した通信を行うことができる。

複数のユーザで広域ネットワークを共有するために、コア網ヘッダ内にはユーザを識別するためのユーザ識別ラベルが付けられる。コア網内のルータとエッジルータは、コア網ヘッダ内のユーザ識別ラベルによりユーザ毎の仮想的なプライベートネットワークを形成し、ユーザ間の通信パケットが互いに混ざらないようにセキュリティ性を保っている。

一方、ネットワークサービスの高度化に向け、上記の広域ネットワークサービスに加えユーザの通信パケットを処理する機能を提供するサービスが利用されるようになってきている。通信パケットを処理する機能としては様々なものがあるが、例えば、通信パケットの監視機能、通信パケットのキャッシュ機能などがある。通信パケットを処理の提供するパケット処理装置としては、インテル・アーキテクチャ（「インテル」は登録商標）に代表される汎用CPUを搭載した計算機装置、パケット処理に特化したネットワークプロセッサを搭載したパケット処理装置、特定のパケット処理ICを搭載したパケット処理装置等が考えられる。これらのパケット処理装置は、サービスとして提供する通信パケット処理機能に要求される高速処理性、プログラマビリティ性から決まる。

ＵＳ７，３０７，９９０号 ＵＳ７，１８５，１０６号

上記のようなユーザの通信パケットを処理する機能を広域ネットワークサービスとして提供する場合は、次の（１）〜（３）が要件となる。（１）パケット処理装置には広域ネットワークサービスでは複数のユーザにサービスを提供するため、通信パケットを処理する機能も複数のユーザにサービスを提供する必要がある。複数ユーザにサービスを提供するためには、複数台のパケット処理装置を使用したり、１台のパケット処理装置に複数のユーザを収容したりする必要がある。（２）広域ネットワークサービスでは、ユーザ毎に分離した仮想ネットワークを構成し、ユーザ間で通信パケットが混ざらないようにセキュリティ性を提供しているが、通信パケット処理機能を提供する際もユーザ間で通信パケットが混ざらないようにセキュリティ性を保つ必要がある。（３）パケット処理装置はユーザの情報システム拠点ではなく、広域ネットワークを構成するシステム上に配置されるため、広域ネットワークを構成するコア網とパケット処理装置を接続する必要がある。

ところが、上記のような要件を満たす通信パケット処理機能を広域ネットワークサービスとして提供するには、次のような問題が考えられる。

上記要件（１）から、パケット処理装置は複数のユーザの通信パケットを受信し、ユーザ毎に通信パケットを振り分ける必要がある。しかし、パケット処理装置をエッジルータ経由でコア網に接続する場合、パケット処理装置に到達する通信パケットはコア網ヘッダが削除されているため、コア網内の通信パケットで使用されるユーザ識別子を使用して、ユーザ毎に通信パケットを振り分けることができない。そのためユーザの通信パケット内の情報でユーザを識別する必要があるが、ユーザの通信パケットであるため識別情報の登録や管理が困難であると共に、ユーザの通信パケットはユーザが書き換え可能なため、ユーザ間の通信パケットの完全な分離ができず、上記要件（２）のセキュリティ性が保てない。

一方、パケット処理装置をコア網に直接接続する場合は、コア網内の通信パケットで使用しているユーザ識別子を使用してユーザ毎に通信パケットを振り分けることができる。しかし、コア網では様々な種類のトランスポート技術が用いられるが、コア網に接続可能なパケット処理装置の数は、コア網のトランスポート技術のプロトコルの標準化仕様の上限値やルータに搭載されたメモリなどのリソース量等から制限される。したがって、パケット処理装置の接続可能数はコア網のトランスポート技術に依存するという課題がある。

また、この構成では、パケット処理装置はコア網で使用される通信パケットの形式を解析する必要があるが、コア網で使用されるトランスポート技術毎に通信パケットの形式が異なるため、トランスポート技術毎に解析機能を開発する必要があり、システム構築コストが高くなるという課題がある。

上記の課題を解決するため、本発明の通信システムの一例では、論理的に通信範囲が分割された複数の仮想ネットワークから構成される第１のネットワーク（仮想ネットワーク網１）と第２のネットワーク（仮想ネットワーク網２）との中継処理を行う通信システムにおいて、第１のネットワーク及び第２のネットワークに接続され、第１のネットワーク内における通信パケットを識別する第１の識別子と前記第２のネットワーク内における通信パケットを識別する第２の識別子との対応を示す第１の対応情報と、第１の対応情報に基づいて通信パケットを識別する識別子を変換する識別子変換部と、からなるネットワーク中継処理装置と、第２のネットワーク網に接続され、通信パケットのデータ参照及び／又は書き換え処理を行うパケット処理部と、パケット処理部と第２の識別子との対応を示す第２の対応情報と、第２の対応情報に基づいて受信した通信パケットをパケット処理部に振り分けるパケット振分け部と、からなるパケット処理装置と、を有することを特徴とする。

また、他の通信システムの例として、ネットワーク中継処理装置は、受信した通信パケット通信プロトコル情報を中継先のネットワークのトランスポート技術に適したパケット形式に変換するネットワーク変換部を有することを特徴とする。

さらに、他の通信システムの例として、更に管理サーバを有し、管理サーバは、ネットワーク中継処理装置及びパケット処理装置に接続され、ユーザにパケット処理部を割り当てるパケット処理部割当て部と、割り当てられたパケット処理部とユーザの通信パケットを識別する第１の識別子と第２の識別子との対応を示す第３の対応情報と、第３の対応情報に基づいて第１の対応情報及び第２の対応情報の設定を行う設定管理部と、を有することを特徴とする。

本願発明によれば、広域ネットワークサービスでの広域コア網とは別に、パケット処理装置向けの仮想ネットワーク網を提供することにより、接続可能なパケット処理部の数がコア網のトランスポート技術に制限を受けることなく、自由にシステム構築することが可能になる。すなわち、コア網のトランスポート技術によるパケット処理部のスケーラビリティの制限を解除することが可能となる。

また、コア網の管理とパケット処理装置向けの仮想ネットワーク網の管理を分離することができ、パケット処理装置やパケット処理部の追加や削除するときにコア網への設定を削減することができる。これにより、通信システムおよびパケット処理機能の運用管理の容易性が向上する。

更に、パケット処理装置のパケット入出力部は、専用の仮想ネットワーク網に対応すれば良いため、コア網のトランスポート技術の種類が変わった場合に、それぞれのトランスポート技術に対応したパケット入出力部を搭載しなくても良いので、パケット処理装置の開発コストを低減することができる。

通信システムの物理装置構成のブロック図 通信システムのルータ装置の物理構成のブロック図 通信システムのパケット処理装置の物理構成のブロック図（その１） 通信システムの論理構成のブロック図（その１） 仮想ネットワーク中継情報の一例を示した説明図 パケット処理部割り当て情報の一例を示した説明図 ユーザ管理情報の一例を示した説明図（その１） ユーザへのパケット処理部の割り当て方法の一例を示したフローチャート（その１） ユーザ拠点での通信パケットの形式の一例を示した説明図 仮想ネットワーク網１内の通信パケットの形式の一例を示した説明図 仮想ネットワーク網２内の通信パケットの形式の一例を示した説明図 仮想ネットワーク中継処理装置の機能ブロックの一例を示した説明図 仮想ネットワーク中継処理装置の通信パケットの転送方法の一例を示したフローチャート パケット処理装置の機能ブロックの一例を示した説明図 通信システムのパケット処理装置の物理構成のブロック図（その２） 通信システムの論理構成のブロック図（その２） ユーザ管理情報の一例を示した説明図（その２） 通信システムの論理構成のブロック図（その３） ユーザ管理情報の一例を示した説明図（その３） ユーザへのパケット処理部の割り当て方法の一例を示したフローチャート（その２） パケット処理装置管理情報の一例を示した説明図 パケット処理装置管理部が生成する中間情報の一例を示した説明図 パケット処理装置管理部が生成する中間情報の一例を示した説明図 仮想ネットワーク管理サーバのグラフィカルインターフェースの一例を示した説明図 通信システムのパケット処理装置の機能ブロックの一例を示したブロック図

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するために全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は原則として省略する。

先ず本発明の第１の実施形態による通信システムについて説明する。最初に図１〜図３を用いて本発明の第１の実施形態による通信システムの物理装置の構成について説明する。図１は本発明の第１の実施形態による通信システムの物理装置構成のブロック図である。図２は第１の実施形態による通信システムのルータ装置の物理構成のブロック図である。図３は第１の実施形態による通信システムのパケット処理装置の物理構成のブロック図である。

図１に示すように、本実施の形態における通信システムは、ユーザの企業内情報システムやデータセンタ内の情報システムであるユーザの拠点104間の通信サービスを提供するための仮想ネットワーク網１（101）、ユーザの通信パケットを仮想ネットワーク網１（101）内で転送可能にするためにユーザの通信パケットのカプセル化処理（詳細は後述）を行うエッジルータ103、ユーザにユーザ通信パケットの処理機能を提供するパケット処理装置114、パケット処理装置114をユーザ拠点104と通信可能にするための仮想ネットワーク網２（111）、仮想ネットワーク網１（101）と仮想ネットワーク網２（111）を相互に接続して通信パケットを中継する仮想ネットワーク中継処理装置113、これら通信システムの設定、制御、運用管理を行う仮想ネットワーク管理サーバ115、から構成される。

仮想ネットワーク管理サーバ115と管理対象であるエッジルータ103、仮想ネットワーク網１（101）、仮想ネットワーク中継処理装置113、パケット処理装置114、仮想ネットワーク網２（111）は、管理ネットワーク116で接続される。なお、図１では、図を見やすくするためにエッジルータ103、仮想ネットワーク網１（101）、仮想ネットワーク網２（111）への管理ネットワーク116は省略している。また、仮想ネットワーク網１、および、仮想ネットワーク網２は、それぞれコアルータ（102、112）から構成されている。

図１に示すように、本実施例による通信システムの物理装置の構成の特徴は、パケット処理装置114を仮想ネットワーク網１（101）に接続するために、パケット処理装置114に専用の仮想ネットワーク網２（111）を構成し、仮想ネットワーク網１（101）と仮想ネットワーク網２（111）を相互に接続するための仮想ネットワーク中継処理装置113を持つことである。

次に、本実施例の通信システムを構成する装置の物理構成について説明する。図１のコアルータ112、エッジルータ103、仮想ネットワーク中継処理装置113は、いずれも図２に示すような典型的なルータ装置201の構成を取る。

典型的なルータ装置201は、他の装置とネットワークで接続するためのインターフェース機能を持つネットワークインターフェースカード（NIF)202、内部インターフェース205で装置内のネットワークインターフェースカード202を相互に接続し全対全でパケット転送を行うスイッチ（SW）204で構成される。ネットワークインターフェースカード202は、他の装置と通信ケーブル206で接続するためのインターフェースの通信ポート（PORT）203を搭載している。コアルータ112、エッジルータ103、仮想ネットワーク中継処理装置113は、パケット転送、パケット処理等の論理的な機能が装置毎に異なっているために物理装置として区別している。

本実施例による通信システムでは図１のパケット処理装置114は、図３に示すように、図２の典型的なルータ装置201の構成に通信パケットの処理を行うパケット処理ボード302を追加した構成をとる。ネットワークインターフェースカード202、インターフェースの通信ポート203、スイッチ204、内部インターフェース205については、典型的なルータ装置201と同じ構成である。一方、パケット処理ボード302は、通信パケットの処理をプログラミングすることが可能なネットワークプロセッサ(NPU)303、通信パケットの処理で必要なデータ等を保持するメモリ（Memory）304、スイッチ204と接続し通信パケットの入出力を行うI/O305から構成される。本実施例のパケット処理装置114では、ユーザ毎にパケット処理ボード302を割当てる、または、パケット処理ボード302を複数のユーザに割当てて共有して使用することで、パケット処理装置114を複数のユーザで共有することができる。

次に図４〜図７を用いて本実施例の論理構成について説明する。図４は本発明の第１の実施形態による通信システムの論理構成のブロック図、図５は第１の実施の形態による仮想ネットワーク中継情報の一例を示した説明図、図６は第１の実施の形態によるパケット処理部割り当て情報の一例を示した説明図、図７は第１の実施の形態によるユーザ管理情報の一例を示した説明図、である。

図４に示すように、仮想ネットワーク網１（101）は、ユーザ毎に分離された仮想ネットワーク、ユーザＡ仮想ネットワーク4011、ユーザＢ仮想ネットワーク4012、…を構成する。ユーザはユーザの拠点10411、10412、10421、10422をエッジルータ103経由で仮想ネットワーク網１（101）に接続することで、ユーザに割当てられた仮想ネットワーク4011、4012を使用してユーザの拠点間で通信を行うことができる。例えば、ユーザＡは、ユーザＡ仮想ネットワーク4011を用いてユーザＡ拠点10411とユーザＡ拠点10412間の通信を行うことができる。仮想ネットワーク網１（101）内では、ユーザ毎の通信パケットを完全に分離するためユーザの通信パケットに、ユーザ毎に仮想ネットワーク網１（101）内で固有な識別子、仮想ネットワーク網１ユーザ識別子を付加する。

仮想ネットワーク網２（111）は、パケット処理装置114を使用するユーザについて、ユーザ毎に分離された仮想ネットワーク、ユーザＡ仮想ネットワーク4021、ユーザＢ仮想ネットワーク4022、…を構成する。パケット処理装置114を使用しないユーザについては、仮想ネットワーク網２（111）上に仮想ネットワークを構成する必要はない。仮想ネットワーク網２（111）内では、ユーザ毎の通信パケットを完全に分離するためユーザの通信パケットに、ユーザ毎に仮想ネットワーク網２（111）内で固有な識別子、仮想ネットワーク網２ユーザ識別子を付加する。なお、図４では、図を見やすくするためにエッジルータ103への管理ネットワーク116は省略している。

仮想ネットワーク中継処理装置113は、仮想ネットワーク網１エッジ405、仮想ネットワーク網２エッジ403、仮想ネットワーク中継部404、仮想ネットワーク中継情報406から構成される。図５は、仮想ネットワーク中継情報406を表形式で示したものであり、少なくとも、仮想ネットワーク網１（101）でユーザ毎に通信パケットを識別するための仮想ネットワーク網１ユーザ識別子K501、仮想ネットワーク網２（111）でユーザ毎に通信パケットを識別するための仮想ネットワーク網２ユーザ識別子K502、から成る。ユーザ識別子K503は、通信システム全体でユーザを管理するのに使用するユーザ名、または、識別子である。

仮想ネットワーク網１（101）内の通信パケットには、仮想ネットワーク網１（101）内でパケットの転送を行うために、前記仮想ネットワーク網１ユーザ識別子を含む情報が付加される。仮想ネットワーク網１エッジ405では、この仮想ネットワーク網１ユーザ識別子を含む情報の追加・削除を行う。一方、仮想ネットワーク網２（111）内の通信パケットには、仮想ネットワーク網２（111）内で通信パケットの転送を行うために、前記仮想ネットワーク網２ユーザ識別子を含む情報が付加される。仮想ネットワーク網２エッジ403では、この仮想ネットワーク網２ユーザ識別子を含む情報の追加・削除を行う。

仮想ネットワーク中継部404では、通信パケットを仮想ネットワーク網１（101）と仮想ネットワーク網２（111）の間で相互に転送するため、仮想ネットワーク中継情報406を参照して仮想ネットワーク網１ユーザ識別子K501と仮想ネットワーク網２ユーザ識別子K502を相互に変換する。また、仮想ネットワーク網１（101）と仮想ネットワーク網２（111）では通信パケットに含まれるプロトコル情報、例えば、優先度情報、の形式がことなるため、プロトコル情報の相互変換を行う。

パケット処理装置114は、ユーザに通信パケット処理機能を提供するパケット処理部4071、4072、…、パケット入出力部408、パケット処理部割り当て情報409から構成される。図６は、パケット処理部割り当て情報409を表形式で示したものであり、少なくとも、パケット処理装置114内でパケット処理部4071、4072、…、を識別するパケット処理部番号K601、仮想ネットワーク網２（111）でユーザ毎に通信パケットを識別するための仮想ネットワーク網２ユーザ識別子K602、から成る。ユーザ識別子K603は、通信システム全体でユーザを管理するのに使用するユーザ名、または、識別子である。

図６の例では、パケット処理部番号が1のパケット処理部4071をユーザＡに割り当てることを示している。このように、それぞれのパケット処理部4071、4072、…、は、個々のユーザに割り当てる。

パケット入出力部408は、仮想ネットワーク網２（111）に対して通信パケットの入出力を行う。仮想ネットワーク網２（111）からの通信パケットは、通信パケットに付加されている仮想ネットワーク網２ユーザ識別子とパケット処理部割り当て情報409を参照して、通信パケットの宛先となるパケット処理部4071、4072、…、を特定して、パケット処理部4071、4072、…、に転送する。また、パケット処理部4071、4072、…、からの通信パケットは、パケット処理部割り当て情報409を参照して、通信パケットが仮想ネットワーク網２内で転送できるように前記仮想ネットワーク網２ユーザ識別子を含む情報を付加する。

例えば、ユーザＡにパケット処理部１(4071)を割り当てた場合は、ユーザＡ拠点10411からの通信パケットは、仮想ネットワーク網１（101）上のユーザＡの仮想ネットワーク4011により仮想ネットワーク中継処理装置113に転送され、さらに仮想ネットワーク網２（111）上のユーザＡの仮想ネットワーク4021によりパケット処理装置114に転送され、パケット処理装置114のパケット入出力部408によりユーザ毎に振り分けられ、パケット処理部１(4071)に転送される。逆に、ユーザＡに割り当てられたパケット処理部１(4071)からの通信パケットは、パケット入出力部408から仮想ネットワーク網２（111）に送信されて、仮想ネットワーク網２（111）上のユーザＡの仮想ネットワーク4021により仮想ネットワーク中継処理装置113に転送され、仮想ネットワーク網１（101）上のユーザＡの仮想ネットワーク4011によりユーザＡ拠点10412に転送される。

次に仮想ネットワーク管理サーバ115の構成要素について説明する。サービス要求受付部410は、ユーザからの通信サービスやパケット処理サービスの利用要求を受け付ける。仮想ネットワーク網１管理部413は、サービス要求受付部410が受けたユーザからの通信サービス利用要求により、仮想ネットワーク網１（101）上にユーザの仮想ネットワーク4011、4012、…を生成、構成の変更、削除を行う。また、仮想ネットワーク網１（101）のコアルータ102、エッジルータ103のトポロジー情報、構成情報、設定情報を仮想ネットワーク網１管理情報417として保存する。

パケット処理装置管理部411は、サービス要求受付部410が受けたユーザからのパケット処理サービスの利用要求により、ユーザに割り当てるパケット処理装置114上にパケット処理部4071、4072、…、を決定、パケット処理部4071、4072、…、の生成・削除、ユーザへの割り当て・割り当て解除を行う。また、パケット処理装置管理部411は、パケット処理装置114の設置場所の情報、構成情報、設定情報をパケット処理装置管理情報416に保持し、パケット処理部4071、4072、…、のユーザ割り当て情報をユーザ管理情報415に保持する。

仮想ネットワーク網２管理部414は、サービス要求受付部410が受けたユーザからのパケット処理サービスの利用要求により、仮想ネットワーク網２（111）上にユーザの仮想ネットワーク4021、4022、…を生成、構成の変更、削除を行う。また、仮想ネットワーク網２（111）のコアルータ112のトポロジー情報、構成情報、設定情報を仮想ネットワーク網２管理情報418として保存する。仮想ネットワーク中継処理装置管理部412は、サービス要求受付部410が受けたユーザからのパケット処理サービスの利用要求により、ユーザの仮想ネットワーク網１ユーザ識別子と仮想ネットワーク網２ユーザ識別子の対応関係を解析し、仮想ネットワーク網１（101）と仮想ネットワーク網２（111）間でユーザのパケットが中継できるように仮想ネットワーク中継処理装置113に設定を行う。また、ユーザの仮想ネットワーク網１ユーザ識別子と仮想ネットワーク網２ユーザ識別子の対応情報をユーザ管理情報415に保持する。

図７は、ユーザ管理情報415を表形式で示したものであり、少なくとも、通信システム全体でユーザを管理するのに使用するユーザ名、または、識別子のユーザ識別子K701、仮想ネットワーク網１（101）でユーザ毎に通信パケットを識別するための仮想ネットワーク網１ユーザ識別子K702、仮想ネットワーク網２（111）でユーザ毎に通信パケットを識別するための仮想ネットワーク網２ユーザ識別子K703、パケット処理装置114を識別するための識別番号K704、パケット処理装置114内でパケット処理部4071、4072、…、を識別するパケット処理部番号K705から成る。

次に本実施例の通信システムの制御方法として、ユーザへのパケット処理部4071、4072、…、の割り当て方法と、通信パケットの仮想ネットワーク網１（101）、仮想ネットワーク中継処理装置113、パケット処理装置114での転送方法と、について説明する。

先ず、図８を用いてユーザへのパケット処理部4071、4072、…、の割り当て方法について述べる。図８は第１の実施の形態によるユーザへのパケット処理部の割り当て方法の一例を示したフローチャートである。図８に示すように、ユーザからのパケット処理サービスの利用要求に対して、通信システムの管理者は、仮想ネットワーク管理サーバ115のサービス要求受付部410に対してパケット処理サービスの利用要求を行う（ステップS801）。仮想ネットワーク管理サーバ115のパケット処理装置管理部411は、パケット処理装置管理情報416を参照し、通信システム内で使用していないパケット処理部4071、4072、…を表示する。通信システムの管理者は、サービス要求受付部410に対してユーザに割り当てるパケット処理部4071、4072、…を選択する（ステップS802）。

仮想ネットワーク管理サーバ115の仮想ネットワーク網２管理部414は、ユーザに割り当てたパケット処理部4071、4072、…とユーザの情報システム拠点104が通信できるように仮想ネットワーク網２（111）上にユーザの仮想ネットワーク4021、4022、…、を生成する。また、ユーザに割り当てた仮想ネットワーク4021、4022、…、の仮想ネットワーク網２ユーザ識別子をユーザ管理情報415に登録する（ステップS803）。パケット処理装置管理部411は、パケット処理装置114のパケット処理部割り当て情報409に、ユーザに割り当てたパケット処理部4071、4072、…と仮想ネットワーク網２ユーザ識別子を設定する。また、ユーザに割り当てたパケット処理部4071、4072、…と仮想ネットワーク網２ユーザ識別子をユーザ管理情報415に登録する（ステップS804）。

仮想ネットワーク管理サーバ115の仮想ネットワーク中継処理装置管理部412は、仮想ネットワーク網１管理情報417からユーザの仮想ネットワーク網１ユーザ識別子を参照し、仮想ネットワーク中継処理装置113の仮想ネットワーク中継情報406に、ユーザの仮想ネットワーク網１ユーザ識別子と仮想ネットワーク網２ユーザ識別子とを設定する。また、仮想ネットワーク網１ユーザ識別子をユーザ管理情報415に登録する（ステップS805）。

パケット処理装置管理部411は、パケット処理部4071、4072、…の初期設定を行うためにユーザに割り当てたパケット処理部4071、4072、…の有効化を行う（ステップS806）。仮想ネットワーク網２（111）内で、ユーザに割り当てたパケット処理部4071、4072、…、への通信パケットの転送ができるように、コアルータ112、パケット処理装置114、仮想ネットワーク中継処理装置113にルーティング情報の設定を行う（ステップ807）。ここでのルーティン情報の設定は、仮想ネットワーク網２（111）に用いるトランスポート技術によって異なり、仮想ネットワーク管理サーバ115が固定的にルーティング情報を設定する方法（固定的な方法）、仮想ネットワーク網を構成するコアルータ、エッジルータに搭載されたファームウェアが互いに通信し合い自律的にルーティング情報を設定する方法（自律的な方法）、通信パケットの送信元が通信開始時に仮想ネットワーク内のコアルータ、エッジルータに宛先を問い合わせてルーティング情報を設定する方法（問い合わせ方法）、等があるが、本実施例では何れの方法でも良い。

次に、仮想ネットワーク網１（101）内で、ユーザに割り当てたパケット処理部4071、4072、…、への通信パケットの転送ができるように、コアルータ102、エッジルータ103、仮想ネットワーク中継処理装置113にルーティング情報の設定を行う（ステップS808）。上記の仮想ネットワーク網２のルーティング情報の設定と同様に、ルーティン情報の設定は仮想ネットワーク網１（101）に用いるトランスポート技術によって異なるが、本実施例では、固定的な方法、自律的な方法、問い合わせ方法等の何れの方法でも良い。最後に、パケット処理装置管理部411は、ユーザに割り当てたパケット処理部4071、4072、…、上のパケット処理機能の動作を有効化してサービスを開始し、ユーザがパケット処理機能を使えるようにする（ステップ809）。

次に図９、図１０を用いて、仮想ネットワーク網１（101）を用いてユーザ拠点104間で通信パケットを転送する方法を説明する。図９は本発明の第１の実施形態によるユーザ拠点での通信パケットの形式の一例を示した説明図、図１０は本発明の第１の実施形態による仮想ネットワーク網１内の通信パケットの形式の一例を示した説明図である。

図９に示すように、ユーザＡ拠点10411、10412内の通信パケットは標準的なイーサネット形式を用いる。通信パケット901は、Tag-VLANを用いない場合のパケット形式で、宛先アドレス（DA）、送信元アドレス（SA）、ユーザのデータフレーム（User Frame）、誤り検査用のデータ（FCS）から成る。また、通信パケット902は、Tag-VLANを用いる場合のパケット形式で、通信パケット901の形式にVLANタグとして、タグの種類を示す（Type）とVLAN ID（VID）が追加される。一方、仮想ネットワーク網１（101）内では、ユーザ毎に仮想ネットワーク4011、4012、…、を提供するため、ユーザ毎に識別可能なトランスポート技術を用いる。本実施例では、仮想ネットワーク網１（101）のトランスポート技術としてMPLS（Multi-Protocol Label Switching）を使った場合を示すが、トランスポート技術については、他の技術を用いても良い。

図１０に示すように、MPLSの通信パケット1001は、宛先アドレス（DA）、送信元アドレス（SA）、タグの種類を示す（Type）、MPLSヘッダ（MPLS1、MPLS2）、ユーザのデータフレーム（User Frame）、誤り検査用のデータ（FCS）、から成る。MPLSヘッダ1002はそれぞれ、仮想ネットワークを識別するID（Lavel）、処理の優先度（EXP）、ラベルの継続を示す情報（S）、フレームの寿命を表す情報（TTL）から成る。仮想ネットワーク網１（101）内ではユーザを識別するために、MPLSヘッダ1002内の仮想ネットワークを識別するID（Lavel）にユーザを区別する識別子、すなわち、仮想ネットワーク網１ユーザ識別子を付けて区別を行う。

図４のユーザＡ拠点10411からユーザＡ拠点10412に通信パケットを転送する場合は、ユーザＡ拠点10411の通信パケット901、または、通信パケット902は、ユーザＡ拠点10411と仮想ネットワーク網１（101）を接続するエッジルータ103で仮想ネットワーク網１（101）での転送ができるように、通信パケット1001の形式にカプセル化して変換を行う。エッジルータ103は、ユーザＡの仮想ネットワーク網１ユーザ識別子（ID＝1）の情報を保持していて、通信パケット1001にユーザＡの仮想ネットワーク網１ユーザ識別子（ID＝1）を付加して仮想ネットワーク網１（101）に転送を行う。通信パケット1001には仮想ネットワーク網１ユーザ識別子（ID＝1）が付加されているため、仮想ネットワーク網１（101）内では、ユーザＡの仮想ネットワーク4011を用いて転送が行われ、宛先のユーザＡ拠点10412に接続されたエッジルータ103に送られる。エッジルータ103では、通信パケット1001の形式から通信パケット901、または、通信パケット902の形式にカプセル化を解除し変換を行う。

このようにして、送信元のユーザＡ拠点10411から送信先のユーザＡ拠点10412への通信パケットの転送が行われる。なお、送信元のユーザＡ拠点10411から仮想ネットワーク中継処理装置113へ通信パケットが転送される場合は、エッジルータ103で通信パケット901、または、通信パケット902をカプセル化した仮想ネットワーク網１の通信パケット1001が仮想ネットワーク中継処理装置113に転送される。

次に図１０、図１１、図１２、図１３を用いて、仮想ネットワーク中継処理装置113での通信パケットの中継方法を説明する。図１１は本発明の第１の実施形態による仮想ネットワーク網２内の通信パケットの形式の一例を示した説明図である。図１２は本発明の第１の実施形態による仮想ネットワーク中継処理装置の機能ブロックの一例を示した説明図である。図１３は、本発明の第１の実施形態による仮想ネットワーク中継処理装置の通信パケットの転送方法の一例を示したフローチャートである。

仮想ネットワーク網１（101）では、トランスポート技術として、前述と同じMPLS、すなわち、図１０に示す通信パケット形式を使った場合を示す。同様に、仮想ネットワーク網２（111）内でも、ユーザ毎に仮想ネットワーク4021、4022、…、を提供するため、ユーザ毎に識別可能なトランスポート技術を用いる。本実施例では、仮想ネットワーク網２（111）のトランスポート技術としてPBB-TE（Provider Backbone Bridging - Traffic Engineering）を使った場合を示すが、トランスポート技術については、他の技術を用いても良い。

図１１に示すように、PBB-TEの通信パケット1101は、仮想ネットワーク網２（111）内の宛先アドレス（P-DA）、仮想ネットワーク網２（111）内の送信元アドレス（P-SA）、タグの種類を示す情報（Type）、仮想ネットワーク網２（111）内での仮想ネットワークを識別するID、優先度を示す情報（B-VID、I-SID）、宛先アドレス（DA）、送信元アドレス（SA）、ユーザのデータフレーム（User Frame）、誤り検査用のデータ（FCS）、から成る。仮想ネットワーク網２（111）内ではユーザを識別するために、仮想ネットワーク網２（111）内での仮想ネットワークを識別するID、優先度を示す情報（B-VID、I-SID）にユーザを区別する識別子、すなわち、仮想ネットワーク網２ユーザ識別子を付けて区別を行う。

次に、図１２を用いて仮想ネットワーク中継処理装置113の詳細な機能ブロックに構成について説明する。前述の通り、仮想ネットワーク中継処理装置113は、大きな機能ブロックとして、仮想ネットワーク網１エッジ405、仮想ネットワーク網２エッジ403、仮想ネットワーク中継部404、仮想ネットワーク中継情報406から成る。

仮想ネットワーク網１エッジ405は、通信パケットの仮想ネットワーク網１（101）内のパケット形式にカプセル化・カプセル化解除の変換を行い、仮想ネットワーク網１（101）に対して通信パケットの送受信(1211)を行うカプセル化処理部1201、通信パケットの仮想ネットワーク網１（101）内のルーティング情報1203を保持するルーティング処理部1202を持つ。カプセル化処理部1201は、ルーティング情報を参照し（1217）、通信パケットを仮想ネットワーク網２（111）に転送するかの判定や通信パケットに仮想ネットワーク網１（101）内での転送情報を付加する。同様に仮想ネットワーク網２エッジ403は、通信パケットの仮想ネットワーク網２（111）内のパケット形式にカプセル化・カプセル化解除の変換を行い、仮想ネットワーク網２（111）に対して通信パケットの送受信(1210)を行うカプセル化処理部1206、通信パケットの仮想ネットワーク網２（111）内のルーティング情報1208を保持するルーティング処理部1207を持つ。カプセル化処理部1206は、ルーティング情報を参照し（1219）、通信パケットを仮想ネットワーク網１（101）に転送するかの判定や通信パケットに仮想ネットワーク網２（111）内での転送情報を付加する。

仮想ネットワーク網１（101）と仮想ネットワーク網２（111）との間での通信パケットの中継は、仮想ネットワーク中継部404で行われる。仮想ネットワーク中継部404の識別子変換部1204は、仮想ネットワーク網１（101）から仮想ネットワーク網２（111）への通信パケットの中継の場合は、仮想ネットワーク網１エッジ405のカプセル化処理部1201から通信パケット内の仮想ネットワーク網１ユーザ識別子を受け取り(1212)、仮想ネットワーク中継情報406から該仮想ネットワーク網１ユーザ識別子に対応する仮想ネットワーク網２ユーザ識別子を参照し(1218)、仮想ネットワーク網２ユーザ識別子を仮想ネットワーク網２エッジ403のカプセル化処理部1206に通知する(1213)。

また、仮想ネットワーク中継部404の仮想ネットワーク変換部1205は、仮想ネットワーク網１（101）から仮想ネットワーク網２（111）への通信パケットの中継の場合は、仮想ネットワーク網１エッジ405のカプセル化処理部1201から通信パケット内のプロトコル情報として、例えば、転送の優先度情報、パケットの経路情報等の受け取り(1214)、仮想ネットワーク網２（111）内のパケット形式に適合する形式に変換して、仮想ネットワーク網２ユーザ識別子を仮想ネットワーク網２エッジ403のカプセル化処理部1206に通知する(1215)。なお、仮想ネットワーク網２（111）から仮想ネットワーク網２ 101への通信パケットの中継の場合は、全く逆の処理になるので省略する。また、通信パケット内のユーザデータ等の仮想ネットワーク網１（101）と仮想ネットワーク網２（111）間で変換が不要な部分は、仮想ネットワーク網１エッジ405のカプセル化処理部1201と仮想ネットワーク網２エッジ403のカプセル化処理部1206間で中継される(1216)。なお、識別子変換部1204、仮想ネットワーク変換部1205共に、仮想ネットワーク網２（111）から仮想ネットワーク網１（101）への通信パケットの中継の場合は、全く逆の処理になるので省略する。

次に、図１３を用いて、ユーザＡの通信パケットについて、仮想ネットワーク網１（101）から仮想ネットワーク網２（111）へ中継する方法について述べる。

仮想ネットワーク中継処理装置113の仮想ネットワーク網１エッジ405は、仮想ネットワーク網１（101）のユーザＡ仮想ネットワーク4011から図１０に示すMPLS形式の通信パケット1001を受信する（ステップS1301）。仮想ネットワーク網１エッジ405のカプセル化処理部1201は、ルーティング情報1203を参照して、通信パケット1001の宛先が仮想ネットワーク網２（111）かどうかを判定する(ステップS1302)。ここで、宛先が仮想ネットワーク網２（111）でない場合は、通信パケット1001は他のルータに転送されるか、または、廃棄される(ステップS1307)。

通信パケット1001の宛先が仮想ネットワーク網２（111）の場合は、カプセル化処理部1201は、仮想ネットワーク網１（101）の通信パケット1001の仮想ネットワークを識別するID（Lavel）からユーザＡの仮想ネットワーク網１ユーザ識別子（ID＝1）を抽出する。識別子変換部1204は、仮想ネットワーク中継情報406を参照し、仮想ネットワーク網１ユーザ識別子（ID＝1）に対応する仮想ネットワーク網２ユーザ識別子（ID＝10）を取得し、仮想ネットワーク網２エッジ403に通知する（ステップS1303）。また、カプセル化処理部1201は、仮想ネットワーク網１（101）の通信パケット1001の、例えば、処理の優先度（EXP）から優先度情報を抽出する。仮想ネットワーク変換部1205は、抽出した優先度情報を仮想ネットワーク網２（111）で使えるようにプロトコルの変換を行い仮想ネットワーク網２エッジ403に通知する（ステップS1304）。

仮想ネットワーク網２エッジ403は、ルーティング情報1208を参照して、仮想ネットワーク網２（111）の通信パケット1101を生成する。また、仮想ネットワーク網２エッジ403は、仮想ネットワーク網２ユーザ識別子（ID＝10）と優先度情報を、仮想ネットワーク網２（111）の通信パケット1101の仮想ネットワーク網２（111）内での仮想ネットワークを識別するID、優先度を示す情報（B-VID、I-SID）に付加する（ステップS1305）。仮想ネットワーク網２エッジ403は、生成した通信パケット1101を仮想ネットワーク網２（111）に送信を行う（ステップS1306）。

次に図１１、図１４を用いて、パケット処理装置114での通信パケットの送受信方法を説明する。図１４は本発明の第１の実施形態によるパケット処理装置の機能ブロックの一例を示した説明図である。仮想ネットワーク網２（111）では、トランスポート技術として、前述と同じPBB-TE、すなわち、図１１に示す通信パケット形式を使った場合を示す。以下では、通信パケットの送受信方法の一例として、パケット処理部１4071をユーザＡに割り当てた場合の、ユーザＡの通信パケットの場合について説明する。図１４に示すように、パケット処理装置114は、前述の通り、パケット処理部4071、4072、…、パケット入出力部408、パケット処理部割り当て情報409から成る。パケット入出力部408は、パケット入力部1401とパケット出力部1402からなる。以下では、通信パケットの入力と出力について、それぞれの方法について述べる。

先ずパケット処理装置114に通信パケットが入力する場合について述べる。パケット入力部1401は、仮想ネットワーク網２ 101から図１１に示すPBB-TE形式の通信パケット1101をインターフェース1409経由で受信する。パケット入力部1401のパケット解析部1403は、受信した通信パケット1101を解析して、仮想ネットワーク網２（111）内での仮想ネットワークを識別するID、優先度を示す情報（B-VID、I-SID）からユーザＡの仮想ネットワーク網２ユーザ識別子（ID＝10）を抽出する。パケット解析部1403は、パケット処理部割り当て情報409を参照して(1410)、仮想ネットワーク網２ユーザ識別子（ID＝10）に対応する、すなわち、ユーザＡに割り当てたパケット処理部番号（ID＝1）を判定する。

パケット振り分け部1404は、パケット解析部1403から通信パケット1411と宛先のパケット処理部番号1412(ID＝1)を受信し、通信パケット1101をパケット処理部１(4071)に転送する(14131)。ここで、パケット処理部１(4071)に転送する通信パケット1101は、図１１に示す通信パケット全体を転送しても良いし、ユーザのデータフレーム（User Frame）だけを転送しても良い。パケット処理部１(4071)は、通信パケット1101を受信して、例えば、通信パケットの監視機能、通信パケットのキャッシュ機能等のパケット処理を行う。

次にパケット処理装置114から通信パケットを出力する場合について述べる。通信パケットを出力する場合は、パケット処理部１(4071)が通信パケットの送信元となる。パケット処理部１(4071)は、送信する通信パケットを生成し、パケット出力部1402に送信する(14141)。パケット出力部1402のカプセル化処理部1406は、パケット処理部１(4071)から通信パケットを受信すると、ルーティング処理部1407から仮想ネットワーク網２ 101のルーティング情報1408を参照して(1416)、仮想ネットワーク網２ 101での図１１に示すPBB-TE形式の通信パケット1101を生成する。また、パケット処理部割り当て情報409からパケット処理部１(4071)に対応する仮想ネットワーク網２ 101での仮想ネットワーク網２ユーザ識別子、すなわち、ユーザＡの仮想ネットワーク網２ユーザ識別子（ID＝10）を参照する(409)。カプセル化処理部1406は、仮想ネットワーク網２ユーザ識別子（ID＝10）を通信パケット1101の仮想ネットワーク網２（111）内での仮想ネットワークを識別するID、優先度を示す情報（B-VID、I-SID）に付加する。パケット出力部1402は、仮想ネットワーク網２（111）に生成した通信パケット1101を送信する(1409)。

このような通信パケットの転送方法を用いることで、ユーザＡの通信パケットは、ユーザＡ拠点10411から、ユーザＡ仮想ネットワーク4011、仮想ネットワーク中継処理装置113、ユーザＡ仮想ネットワーク4021、パケット処理装置114をそれぞれ経由して、宛先となるユーザＡに割り当てたパケット処理部１(4071)に転送される。

以上、本発明の第１の実施例では、仮想ネットワーク管理サーバ115が、ユーザ管理情報415として、ユーザ識別子K701、仮想ネットワーク網１ユーザ識別子K702、仮想ネットワーク網２ユーザ識別子K703、パケット処理装置の番号K704とパケット処理部番号K705を管理し、これを基にパケット処理装置114のパケット処理割り当て情報409、仮想ネットワーク中継情報406の設定を行うことで、ユーザ毎に分離した仮想ネットワークを用いて、ユーザ拠点104とパケット処理4071、4072、…、の間の通信を行うことが可能になる。

次に本発明の第２の実施形態による通信システムについて説明する。第２の実施例による通信システムは、図１に示す第１の実施例の通信システムと図３に示すパケット処理装置114と装置の物理構成が異なる以外は同じである。従って、以下では第１の実施例と異なる分部についてだけ説明し，同じ部分については説明を省略する。

図１５を用いて本実施例でのパケット処理装置114の物理構成について説明する。図１５は、第２の実施形態による通信システムのパケット処理装置の物理構成のブロック図である。図１５に示すように、本実施例のパケット処理装置114は、典型的な計算機アーキテクチャ、例えば、インテル・アーキテクチャ、の構成を取る。パケット処理装置114は、汎用プロセッサ（CPU）1502、メモリ（Memory）1504、ネットワークインターフェースカード1505、および、それらを相互に内部接続するチップセット(Chipset)1503から構成される。ネットワークインターフェースカード1505は、他の装置と通信ケーブル1507で接続するためのインターフェースの通信ポート（PORT）1506を搭載している。

次に図１５のパケット処理装置114内の機能ブロック構成について図２５を用いて説明する。図２５は、第２の実施の形態による通信システムのパケット処理装置の機能ブロックの一例を示したブロック図である。図２５に示すように、第２の実施例のパケット処理装置114では、パケット処理装置114上に仮想サーバソフトウェア2501、例えば、KVM（Kernel-based Virtual Machine）、を用いることで複数の仮想サーバ25021、25052を生成し、仮想サーバ2501上でユーザ毎のパケット処理部4071、4072を動作させることで、パケット処理装置114を複数のユーザで共有することができる。

通信ケーブル1507からパケット処理装置114に入力される入力パケットは、ネットワークインターフェースカード1505の通信ポート1506を経由して、仮想サーバソフトウェア2501内のパケット入出力部408に転送される（2504）。パケット入出力部408では入力パケットの宛先がどのパケット処理部4071、4072かを判定し、宛先となる仮想サーバ2502の仮想ネットワークインターフェースカード2503に対して入力パケットを転送する（25051、25052）。例えば、宛先がパケット処理部１ 4071の場合は、パケット処理部１ 4071を含む仮想サーバ25021の仮想ネットワークインターフェースカード2503に対して入力パケットを転送する（25051）。仮想ネットワークインターフェースカード2503に入力したパケットは、パケット処理部4071、4072に転送される。逆にパケット処理部4071、4072からパケット処理装置114の外部にパケットが出力される場合は、パケット処理部4071、4072からの出力パケットは、仮想ネットワークインターフェースカード2503に転送され（2506）、さらに仮想サーバソフトウェア2501内のパケット入出力部408に転送される（25051、25052）。パケット入出力部408では、出力パケットが仮想ネットワーク網２ 101で転送できるように出力パケットに対して処理を行う。この処理については、第１の実施例と同じである。パケット入出力部408からは、ネットワークインターフェースカード1505を経由して（2504）、パケット処理装置114の外部のネットワークに出力パケットが転送される（1507）。

次に本発明の第３の実施形態による通信システムについて説明する。第３の実施例による通信システムは、図４に示す第１の実施例の通信システムと論理構成が異なる以外は同じである。従って、以下では第１の実施例と異なる分部についてだけ説明し，同じ部分については説明を省略する。図１６、図１７を用いて本実施例での通信システムの論理構成について説明する。図１６は、本発明の第３の実施形態による通信システムの論理構成のブロック図、図１７は第３の実施の形態によるユーザ管理情報の一例を示した説明図、である。

図１６に示すように、第３の実施例での通信システムの論理構成は、仮想ネットワーク中継処理装置113に複数の仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、が接続される。第１の実施例と同じように、それぞれの仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、には、複数のパケット処理装置1141、1142が接続される。そのため、仮想ネットワーク中継処理装置113の構成は、それぞれの仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、用の仮想ネットワーク網２−１エッジ4031、仮想ネットワーク網２−２エッジ4032、…、および、仮想ネットワーク網２−１用仮想ネットワーク中継情報4061、仮想ネットワーク網２−２用仮想ネットワーク中継情報4062、…、が図４の第１の実施例と異なる。ただし、仮想ネットワーク網２−１エッジ4031、仮想ネットワーク網２−２エッジ4032、…、の機能は、第１の実施例と同じである。仮想ネットワーク網２−１用仮想ネットワーク中継情報4061、仮想ネットワーク網２−２用仮想ネットワーク中継情報4062、…、の情報は、第１の実施例と同じである。

また、仮想ネットワーク管理サーバ115の構成は、それぞれの仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、用の仮想ネットワーク網２−１管理部4141、仮想ネットワーク網２−２管理部4142、…、および、仮想ネットワーク網２−１管理情報4181、仮想ネットワーク網２−２管理情報4182、…、ユーザ管理情報1601が図４の第１の実施例と異なる。ただし、仮想ネットワーク網２−１管理部4141、仮想ネットワーク網２−２管理部4142、…、の機能は、第１の実施例と同じである。また、仮想ネットワーク網２−１管理情報4181、仮想ネットワーク網２−２管理情報4182、…、の情報は、第１の実施例と同じである。

図１７は、ユーザ管理情報1601を表形式で示したものであり、図７の第１の実施例のユーザ管理情報415と比べて、仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、毎の仮想NW網２−１ユーザ識別子K7031、仮想NW網２−２ユーザ識別子K7032、…、の情報が追加されている。本実施例により、仮想ネットワーク網２(111)に接続可能なパケット処理装置114の数に制限がある場合に、複数の仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、が構成可能になることで、パケット処理装置114接続可能数を増やすことが可能になる。

次に本発明の第４の実施形態による通信システムについて説明する。第４の実施例による通信システムは、図４に示す第１の実施例の通信システムと論理構成が異なる以外は同じである。従って、以下では第１の実施例と異なる分部についてだけ説明し，同じ部分については説明を省略する。図１８、図１９を用いて本実施例での通信システムの論理構成について説明する。図１８は、本発明の第４の実施形態による通信システムの論理構成のブロック図、図１９は第４の実施の形態によるユーザ管理情報の一例を示した説明図、である。

図１８に示すように、第４の実施例での通信システムの論理構成は、仮想ネットワーク網１（101）に複数の仮想ネットワーク中継処理装置1131、1132、…、が接続される。それぞれの仮想ネットワーク中継処理装置1131、1132、…、には、仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、が接続される。第１の実施例と同じように、それぞれの仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、には、複数のパケット処理装置1141、1142が接続される。そのため、仮想ネットワーク管理サーバ115の構成は、それぞれの仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、用の仮想ネットワーク網２−１管理部4141、仮想ネットワーク網２−２管理部4142、…、および、仮想ネットワーク網２−１管理情報4181、仮想ネットワーク網２−２管理情報4182、…、ユーザ管理情報1801が、図４の第１の実施例と異なる。ただし、仮想ネットワーク網２−１管理部4141、仮想ネットワーク網２−２管理部4142、…、の機能は、第１の実施例と同じである。

また、仮想ネットワーク網２−１管理情報4181、仮想ネットワーク網２−２管理情報4182、…、の情報は、第１の実施例と同じである。

図１９は、ユーザ管理情報1801を表形式で示したものであり、図７の第１の実施例のユーザ管理情報415と比べて、仮想ネットワーク網２−１（1111）、仮想ネットワーク網２−２（1112）、…、毎の仮想NW網２−１ユーザ識別子K7031、仮想NW網２−２ユーザ識別子K7032、…、の情報が追加されている。本実施例により、仮想ネットワーク中継処理装置1131、1132、…、を、仮想ネットワーク網１(101)の距離的に離れた場所に配置することで、距離的に離れた場所にパケット処理装置114を配置することが実現することが可能になる。

次に本発明の第５の実施形態による通信システムについて説明する。第５の実施例による通信システムは、図１に示す第１の実施例の通信システムと図８に示すユーザへのパケット処理部の割り当て方法が異なる以外は同じである。従って、以下では第１の実施例と異なる分部についてだけ説明し，同じ部分については説明を省略する。図２０〜図２４を用いて本実施例での通信システムのユーザへのパケット処理部の割り当て方法について説明する。図２０は第５の実施の形態によるユーザへのパケット処理部の割り当て方法の一例を示したフローチャート、図２１は第５の実施の形態によるパケット処理装置管理情報の一例を示した説明図、図２２および図２３は第５の実施の形態によるパケット処理装置管理部が生成する中間情報の一例を示した説明図、図２４は第５の実施の形態による仮想ネットワーク管理サーバのグラフィカルインターフェースの一例を示した説明図である。

図２０に示すように、第５の実施の形態では、図８に示すユーザへのパケット処理部の割り当て方法で、ユーザに割り当てるパケット処理部114を選択する際に、未割り当てのパケット処理部114について、例えば、パケット処理部114のCPU性能、パケット処理部114のメモリ量、パケット処理部114への通信性能、パケット処理部114の位置等の値から割り当ての優先度を評価するステップを含む（ステップS2001）。通信システムの管理者は、仮想ネットワーク管理サーバ115が示す優先度順に並んだパケット処理部114のリストから、ユーザに割り当てるパケット処理部114を選択する（ステップS802）。なお、本実施例ではパケット処理部114を通信システムの管理者の人手で選択しているが、仮想ネットワーク管理サーバ115が優先度順にパケット処理部114を自動的に選択しても良い。

このようなパケット処理部114の評価を行うため、仮想ネットワーク管理サーバ115のパケット処理装置管理情報416は、図２１に示す情報を含む。図２１はパケット処理装置管理情報416の一部を表形式(2101)で示したものであり、パケット処理装置114を識別するための識別番号K2101、パケット処理装置114内でパケット処理部4071、4072、…、を識別するパケット処理部番号K2102、パケット処理部4071、4072、…、のユーザ割り当て状況K2103から成り、パケット処理部4071、4072、…、の性能等の仕様情報として、例えば、パケット処理部4071、4072、…、の利用可能なCPU性能値K2104、パケット処理部4071、4072、…、の利用可能なメモリ量K2105、パケット処理装置又はパケット処理部の位置、パケット処理部4071、4072、…、とユーザ拠点104間の通信性能K2106、を含む。

ここでCPU性能値K2104は、例えば、CPUまたはNPUの動作周波数、CPUまたはNPUのコア数、CPUまたはNPUの相対性能値（ベンチマークの値）、である。なお、仕様情報として、上記以外のパケット処理部4071、4072、…、の仕様の比較ができるものを用いても良い。パケット処理装置又はパケット処理部の位置とは、パケット処理装置又はパケット処理部の設置されている場所を示す情報である。通信性能とは、例えば、第１の仮想ネットワーク網のネットワーク帯域の空き情報、第２の仮想ネットワーク網のネットワーク帯域の空き情報、パケット処理装置への通信性能の実測値を示す情報である。

仮想ネットワーク管理サーバ115のパケット処理装置管理部411は、パケット処理装置管理情報2101を基にパケット処理部4071、4072、…、のユーザに未割り当てものについて、仕様情報を基にソーティングを行いユーザ割り当ての優先度を評価する。図２２、図２３に示すように、優先度を評価した中間情報は表形式で表すと、評価した優先度K2101、パケット処理装置114を識別するための識別番号K2101、パケット処理装置114内でパケット処理部4071、4072、…、を識別するパケット処理部番号K2102、パケット処理部4071、4072、…、の利用可能なCPU性能値K2104、パケット処理部4071、4072、…、の利用可能なメモリ量K2105、パケット処理部4071、4072、…、とユーザ拠点104間の通信性能K2106、から成る。

図２２に示す優先度を評価した中間情報2201は、CPU性能K2104で優先度を決めた場合のものである。一方、図２３に示す優先度を評価した中間情報2301は、通信性能K2106とCPU性能K2104 で優先度を決めた場合のものである。仮想ネットワーク管理サーバ115のサービス要求受付部410は、図２２、図２３の優先度を評価した中間情報から、ユーザに割り当てるパケット処理部4071、4072、…、の候補のリストを表示する。

図２４は、仮想ネットワーク管理サーバ115が提供するグラフィカルユーザインターフェース2401のパケット処理部の選択メニュー2402の例である。パケット処理部の選択メニュー2402には、優先度を評価した中間情報2201、2301を基に作られたユーザＸに割り当てるパケット処理部4071、4072、…、を優先順に並べた候補リスト2403、選択を中止するキャンセルボタン2405から成る。また、候補リスト2403にはパケット処理部4071、4072、…、を選択するための選択ボタン2404が含まれる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

１０１…仮想ネットワーク網１、１０２…コアルータ、１０３…エッジルータ、１０４…ユーザ拠点、１０４１１・１０４１２…ユーザＡのユーザ拠点、１０４２１・１０４２２…ユーザＢのユーザ拠点、１１１・１１１１・１１１２…仮想ネットワーク網２、１１２…コアルータ、１１３・１１３１・１１３２…仮想ネットワーク中継処理装置、１１４…パケット処理装置、１１５…仮想ネットワーク管理サーバ、１１６…管理ネットワーク、２０１…典型的なルータ装置、２０２…ネットワークインターフェースカード（NIF)、２０３…通信ポート（PORT）、２０４…スイッチ（SW）、２０５…内部インターフェース、２０６…通信ケーブル、３０２…パケット処理ボード、３０３…ネットワークプロセッサ(NPU)、３０４…メモリ（Memory）、３０５…I/O、４０１１・４０１２…仮想ネットワーク網１の仮想ネットワーク、４０２１・４０２２…仮想ネットワーク網２の仮想ネットワーク、４０３・４０３１・４０３２…仮想ネットワーク網２エッジ、４０４…仮想ネットワーク中継部、４０５…仮想ネットワーク網２エッジ、４０６・４０６１・４０６２…仮想ネットワーク中継情報、４０７１・４０７２…パケット処理部、４０８…パケット入出力部、４０９…パケット処理部割り当て情報、４１０…サービス要求受付部、４１１…パケット処理装置管理部、４１２…仮想ネットワーク中継処理装置管理部、４１３…仮想ネットワーク網１管理部、４１４・４１４１・４１４２…仮想ネットワーク網２管理部、４１５・１６０１・１８０１…ユーザ管理情報、４１６…パケット処理装置管理情報、４１７…仮想ネットワーク網１管理情報、４１８・４１８１・４１８２…仮想ネットワーク網２管理情報、９０１…Tag-VLANを用いない場合のパケット形式、９０２…Tag-VLANを用いる場合のパケット形式、１００１…MPLSの通信パケット、１００２…MPLSヘッダ、１１０１…PBB-TEの通信パケット、１２０１…カプセル化処理部、１２０２…ルーティング処理部、１２０３…ルーティング情報、１２０４…識別子変換部、１２０５…仮想ネットワーク変換部、１２０６…カプセル化処理部、１２０７…ルーティング処理部、１２０８…ルーティング情報、１４０１…パケット入力部、１４０２…パケット出力部、１４０３…パケット解析部、１４０４…パケット振り分け部、１４０６…カプセル化処理部、１４０７…ルーティング処理部、１４０８…ルーティング情報、１５０２…汎用プロセッサ（CPU）、１５０３…チップセット、１５０４…メモリ（Memory）、１５０５…ネットワークインターフェースカード、１５０６…通信ポート（PORT）、１５０７…通信ケーブル、１６０１…ユーザ管理情報、１８０１…ユーザ管理情報、２４０１…仮想ネットワーク管理サーバのグラフィカルユーザインターフェース、２４０２…パケット処理部の選択メニュー、２４０３…パケット処理部の候補リスト、２４０４…選択ボタン、２４０５…キャンセルボタン

Claims (5)

1. 各々がいずれかのトランスポート技術を用いる、第１の仮想ネットワーク網と第２の仮想ネットワーク網とが、ネットワーク中継処理装置で接続される通信システムにおいて、
   前記第２の仮想ネットワーク網を複数有し、
   いずれかの前記第２の仮想ネットワーク網を専用の仮想ネットワーク網とし、当該専用の仮想ネットワーク網に接続されるパケット処理装置と、を有し、
   前記第２の仮想ネットワーク網の各々に、ユーザ毎に分離された仮想ネットワークが一つ以上構成され、
   前記第１の仮想ネットワーク網に、前記ユーザ毎に分離された仮想ネットワークが構成され、
   前記ネットワーク中継処理装置は、
   前記第１の仮想ネットワーク網において転送される第１の通信パケットと、前記第２の仮想ネットワーク網において転送される第２の通信パケットと、の相互変換を行う仮想ネットワーク中継部と、
   いずれかのユーザについて、当該ユーザの仮想ネットワークが構成されるいずれかの前記第２の仮想ネットワーク網を特定し、特定された前記第２の仮想ネットワーク網において前記ユーザを特定する、第２の通信パケットに付加される第２の識別子と、前記第１の仮想ネットワーク網に構成された各々の前記仮想ネットワークの前記ユーザを特定する、第１の通信パケットに付加される第１の識別子と、の対応を示す第１の対応情報と、を有し、
   前記仮想ネットワーク中継部は、
   該第１の対応情報に基づいて、前記受信した第１の通信パケットに付加された前記第１の識別子を前記第２の識別子へ変換する識別子変換部と、
   前記受信した第１の通信パケットのパケット形式を、前記第２の識別子で特定されるユーザの仮想ネットワークが構成され前記第２の仮想ネットワーク網におけるトランスポート技術に対応する、第２の通信パケットのパケット形式へ変換する仮想ネットワーク変換部と、を有し、
   前記パケット処理装置は、
   接続される専用の前記第２の仮想ネットワーク網のトランスポート技術に対応し、通信パケットのデータ参照及び／又は書き換え処理を行うパケット処理部と、
   該パケット処理部と前記第２の識別子との対応を示す第２の対応情報と、受信した通信パケットを該第２の対応情報に基づいていずれかの前記パケット処理部に振り分けるパケット振分け部と、を有する
   ことを特徴とする通信システム。
2. 請求項１に記載の通信システムであって、
   更に管理サーバを有し、
   該管理サーバは、
   前記ネットワーク中継処理装置及び前記パケット処理装置に接続され、ユーザに前記パケット処理部を割り当てるパケット処理部割当て部と、
   前記割り当てられたパケット処理部と前記ユーザの通信パケットを識別する前記第１の識別子と前記第２の識別子との対応を示す第３の対応情報と、該第３の対応情報に基づいて前記第１の対応情報及び前記第２の対応情報の設定を行う設定管理部と、を有する
   ことを特徴とする通信システム。
3. 請求項２に記載の通信システムであって、
   前記パケット処理部割当て部は、前記パケット処理部のCPU性能、メモリ量、位置、前記パケット処理部への通信性能のいずれか又は複数に基づいて前記パケット処理部を割り当てる
   ことを特徴とする通信システム。
4. 請求項１に記載の通信システムであって、
   前記ネットワーク中継処理装置を複数有し、
   各々の前記ネットワーク中継処理装置は、各々の前記第２の仮想ネットワーク網に接続され、
   各々の前記ネットワーク中継処理装置が有する前記第１の対応情報は、前記第１の仮想ネットワーク網における前記第１の識別子と、当該ネットワーク中継処理装置が接続されている前記第２の仮想ネットワーク網における前記第２の識別子と、の対応を示す
   ことを特徴とする通信システム。
5. 各々がいずれかのトランスポート技術を用いる、第１の仮想ネットワーク網と、複数の第２の仮想ネットワーク網との中継処理を行うネットワーク中継処理装置であって、
   各々の前記第２の仮想ネットワーク網には、当該第２の仮想ネットワーク網を専用の仮想ネットワーク網とするパケット処理装置が接続されており、
   前記第２の仮想ネットワーク網の各々に、ユーザ毎に分離された仮想ネットワークが一つ以上構成され、
   前記第１の仮想ネットワーク網に、前記ユーザ毎に分離された仮想ネットワークが構成されている場合、
   当該ネットワーク中継処理装置は、
   前記第１の仮想ネットワーク網において転送される第１の通信パケットと、前記第２の仮想ネットワーク網において転送される第２の通信パケットと、の相互変換を行う仮想ネットワーク中継部と、
   いずれかのユーザについて、当該ユーザの仮想ネットワークが構成されるいずれかの前記第２の仮想ネットワーク網を特定し、
   特定された前記第２の仮想ネットワーク網において前記ユーザを特定する、第２の通信パケットに付加される第２の識別子と、前記第１の仮想ネットワーク網に構成された各々の前記仮想ネットワークの前記ユーザを特定する、第１の通信パケットに付加される第１の識別子と、の対応を示す第１の対応情報と、を有し、
   前記仮想ネットワーク中継部は、
   該第１の対応情報に基づいて、前記受信した第１の通信パケットに付加された前記第１の識別子を前記第２の識別子へ変換する識別子変換部と、
   前記受信した第１の通信パケットのパケット形式を、前記第２の識別子で特定されるユーザの仮想ネットワークが構成され前記第２の仮想ネットワーク網におけるトランスポート技術に対応する、第２の通信パケットのパケット形式へ変換する仮想ネットワーク変換部と、を有する
   ことを特徴とするネットワーク中継処理装置。

Images