知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024120522
(43)【公開日】2024-09-05
(54)【発明の名称】ネットワーク管理システム
(51)【国際特許分類】
H04L 41/0894 20220101AFI20240829BHJP
G06F 21/60 20130101ALI20240829BHJP
H04L 41/0895 20220101ALI20240829BHJP
【ＦＩ】
H04L41/0894
G06F21/60 340
H04L41/0895
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2023027363
(22)【出願日】2023-02-24
(71)【出願人】
【識別番号】301022471
【氏名又は名称】国立研究開発法人情報通信研究機構
(74)【代理人】
【識別番号】100120868
【弁理士】
【氏名又は名称】安彦 元
(72)【発明者】
【氏名】森 優輝
(72)【発明者】
【氏名】木全 崇
(72)【発明者】
【氏名】高木 雅裕
(72)【発明者】
【氏名】寺西 裕一
(72)【発明者】
【氏名】河合 栄治
(72)【発明者】
【氏名】永野 秀尚
(57)【要約】
【課題】データリソースへのアクセス制御におけるオーバーヘッドの抑制を可能とするネットワーク管理システムを提供する。
【解決手段】データリソースへのアクセス制御を行なうネットワーク管理システム１００であって、データリソースと、データリソースにアクセスする複数の計算機２と、複数の計算機２に接続された複数のエッジゲートウェイ３と、複数のエッジゲートウェイ３に接続されたコントローラー１と、を備え、データポリシー４を保存する保存手段と、データポリシー４を参照し、エッジゲートウェイ３間に仮想ネットワーク５及び仮想ネットワーク５に接続するインタフェースを生成する仮想ネットワーク構成手段とを含むこと特徴とする。
【選択図】図１
【解決手段】データリソースへのアクセス制御を行なうネットワーク管理システム１００であって、データリソースと、データリソースにアクセスする複数の計算機２と、複数の計算機２に接続された複数のエッジゲートウェイ３と、複数のエッジゲートウェイ３に接続されたコントローラー１と、を備え、データポリシー４を保存する保存手段と、データポリシー４を参照し、エッジゲートウェイ３間に仮想ネットワーク５及び仮想ネットワーク５に接続するインタフェースを生成する仮想ネットワーク構成手段とを含むこと特徴とする。
【選択図】図１
【特許請求の範囲】
【請求項1】
データリソースへのアクセス制御を行なうネットワーク管理システムであって、
前記データリソース、及び前記データリソースにアクセスするアクセス主体を含む複数の計算機と、
複数の前記計算機に接続された複数のエッジゲートウェイと、
複数の前記エッジゲートウェイに接続されたコントローラーと、
を備え、
前記コントローラーは、
前記計算機の特徴を示す属性に基づき定義されたデータポリシーを保存する保存手段と、
前記データポリシーに基づき、複数の前記エッジゲートウェイ間に仮想ネットワークを生成する仮想ネットワーク構成手段と、
を含むこと
を特徴とするネットワーク管理システム。
前記データリソース、及び前記データリソースにアクセスするアクセス主体を含む複数の計算機と、
複数の前記計算機に接続された複数のエッジゲートウェイと、
複数の前記エッジゲートウェイに接続されたコントローラーと、
を備え、
前記コントローラーは、
前記計算機の特徴を示す属性に基づき定義されたデータポリシーを保存する保存手段と、
前記データポリシーに基づき、複数の前記エッジゲートウェイ間に仮想ネットワークを生成する仮想ネットワーク構成手段と、
を含むこと
を特徴とするネットワーク管理システム。
【請求項2】
前記コントローラーは、前記データポリシーを参照し、前記仮想ネットワークを介して前記データリソースにアクセスするためのインタフェースを生成し、前記インタフェースを介して、前記データポリシーに紐づく属性を有する計算機と、前記仮想ネットワークとを接続する制御手段をさらに含むこと
を特徴とする請求項１記載のネットワーク管理システム。
を特徴とする請求項１記載のネットワーク管理システム。
【請求項3】
前記保存手段に保存される前記データポリシーは、
前記データリソースの特徴を示すリソース属性と、前記アクセス主体の特徴を示す主体属性とを属性条件とし、複数の前記属性条件の集合であること
を特徴とする請求項１記載のネットワーク管理システム。
前記データリソースの特徴を示すリソース属性と、前記アクセス主体の特徴を示す主体属性とを属性条件とし、複数の前記属性条件の集合であること
を特徴とする請求項１記載のネットワーク管理システム。
【請求項4】
前記仮想ネットワーク構成手段は、
前記保存手段に保存された前記データポリシーを参照し、前記属性条件の包含関係に基づいて前記仮想ネットワーク間を接続し、前記接続の結果に基づいて、前記仮想ネットワークの経路を追加、または削除すること
を特徴とする請求項３記載のネットワーク管理システム。
前記保存手段に保存された前記データポリシーを参照し、前記属性条件の包含関係に基づいて前記仮想ネットワーク間を接続し、前記接続の結果に基づいて、前記仮想ネットワークの経路を追加、または削除すること
を特徴とする請求項３記載のネットワーク管理システム。
【請求項5】
前記仮想ネットワーク構成手段は、
前記保存手段に保存された前記データポリシーを参照し、前記データポリシーに変更があった場合に、前記変更に基づいて前記仮想ネットワークの経路を追加、または削除すること
を特徴とする請求項１記載のネットワーク管理システム。
前記保存手段に保存された前記データポリシーを参照し、前記データポリシーに変更があった場合に、前記変更に基づいて前記仮想ネットワークの経路を追加、または削除すること
を特徴とする請求項１記載のネットワーク管理システム。
【請求項6】
前記コントローラーは、前記データリソースと前記アクセス主体において新たにデータ処理を開始する場合に、複数の前記計算機の中から前記データ処理に対応する特定の計算機を決定し、前記特定の計算機と、前記仮想ネットワークとを接続するプロセッサー配備手段を、さらに備えること
を特徴とする請求項２記載のネットワーク管理システム。
を特徴とする請求項２記載のネットワーク管理システム。
【発明の詳細な説明】
【技術分野】
【0001】
この発明は、ネットワーク管理システムに関する。
【背景技術】
【0002】
近年、ＩｏＴのデータ処理を扱うエッジコンピューティング（ＩｏＴエッジコンピューティング）の台頭に伴い、エッジネットワーク、すなわち、家庭内や組織内のローカルネットワークに接続されたリソース（センサー機器、モバイル端末、サーバー機器等）や、それらに保存されたデータの活用が進んでいる。
【0003】
特に、産業応用におけるＩｏＴエッジコンピューティングにおいては、生成されるデータは機密性やプライバシーを保持する観点で、その利用方法や保管位置に制約があるデータポリシーが設定される。この場合、データの加エレベルに合わせたアクセス権限の設定やデータ種別に応じたデータ流通の範囲の限定を行う必要があり、管理の手間を軽減しつつ細かい粒度でのアクセス制御設定を可能とする「属性」に基づくデータへのアクセス制御方法（ＡＢＡＣ：Attributed Based Access Control。以降ＡＢＡＣとする）が多数提案されている。
【0004】
例えばエッジコンピューティングにおいては、機密情報やプライバシー情報が含まれないようにデータを加工すれば、情報漏洩リスクが低減されることとなる。そのため、幅広いアプリケーションへ提供するデータポリシーとして設定することができる。産業応用の例としては、例えば工場内の機器のセンサーデータをエッジネットワーク内のサーバーで加工し、結果のみ送信することで、工場外のネットワークヘセンサーデータを出さずに機器の稼働状況を関連企業へ提供・活用するクラウド上のサービスを実現することができるようになる。
【0005】
一方、工場内の機器のセンサーデータそのものは、企業の機密を含む場合が多いため、企業外のネットワークヘデータが漏洩しないよう、データポリシーを設定する必要がある。また、ＥＵのデータ保護規制ＧＤＰＲ（General Data Protection Regulation）では、例えば加盟国の経済領域内で取得した個人データは、原則上物理的に同領域内で処理する規制が設けられているため、こうした規制に対応するデータポリシーとして設定する必要がある。
【0006】
例えば従来のクラウドシステムにおいて、細かい粒度での制御を保ちつつ、管理の手問を軽減するための属性に基づくリソース（データを提供するプロセスが稼働する機器やサーバー）へのアクセス制御方法であるＡＢＡＣ、またはＲＢＡＣ（Roll-Based Access Control。以降、ＲＢＡＣとする）については、例えば非特許文献１に開示されている。また、クラウドコンピューティングにおいては、属性や権限を管理するクラウド上の認証サーバーを用いて認証・認可を行い、ＡＢＡＣによるアクセス制御を実施する方法については、例えば非特許文献２に開示されている。また、クラウド上でのＩｏＴのデータ処理を行う際、ＡＢＣＣ（Attributed-Based Communication Control。以降、ＡＢＣＣとする）と呼ばれるゲートウェイがＩｏＴのデータフローに対し、ＡＢＡＣに基づいてアクセス制御を実施する方法については、例えば非特許文献３に開示されている。また、認証サーバーに依存せず、属性に基づくデータアクセスを、属性暗号を用いて制御する方法であるＡＢＥ（ＡＢＥ：Attribute-Based Encryption。以降ＡＢＥとする）については、例えば非特許文献４、５に開示されている。また、アクセス制御を、アクセスの都度に認証するのではなく、アクセス主体が実行可能な操作に対してトークン、またはチケットを割り当て、各リソースにおいて割り当てられたトークンを確認する方法のＣａｐＢＡＣ（ＣａｐＢＡＣ：Capability-Based Access Control。以降ＣａｐＢＡＣとする）については、例えば非特許文献６に開示されている。
【先行技術文献】
【非特許文献】
【0007】
【非特許文献1】E. Yuan and J. Tong, Attributed Based Access Control（ABAC）for Web Services, IEEE International Conference on Web Services, 2005
【非特許文献2】V. Goyal, O. Pandey, A. Sahai, and B. Waters, Attribute-Based Encryption for Fine-Grained Access Control of Encrypted Data, Proceedings of the 13th ACM conference on Computer and communications security, p.89-98（2006）
【非特許文献3】B. Waters, Ciphertext-Policy Attribute-Based Encryption: An Expressive, Efficient, and Provably Secure Realization, Public Key Cryptography-PKC 2011: 14th International, p.53-70（2011）
【非特許文献4】Q. Zhou, M. Elbadry, F. Ye, and Y. Yang, Heracles: Scalable, Fine-Grained Access Control for Internet-of-Things in Enterprise Environments, IEEE INFOCOM 2018 IEEE Conference on Computer Communications, p.1772-1780（2018）
【非特許文献5】S. Dougherty, R. Tourani, G. Panwar, R. Vishwanathan, S. Misra, and S. Srikanteswara, APECS: A distributed access control framework for pervasive edge computing services, Proceedings of the 2021 ACM SIGSAC Conference on Computer and Communications Security, p.1405-1420（2021）
【非特許文献6】L. Hao, V. Naik, and H. Schulzrinne, DBAC: Directory-Based Access Control for Geographically Distributed ＩｏＴ Systems, IEEE INFOCOM 2022-IEEE Conference on Computer Communications. IEEE, p.360-369（2022）
【発明の概要】
【発明が解決しようとする課題】
【0008】
ここで、エッジコンピューティングなどの分散システムでは、データの処理・加工を伴うＩｏＴアプリケーションにおいて処理結果に含まれるデータの加工レベルに応じたデータポリシーが必要となる。データへのアクセス制御は、データポリシーに従って制御される。この制御を行うために従来技術を適用すると、クラウド上の管理サーバーとの間で生じる通信遅延や、低性能のデバイス等で行われる暗号処理によって、アクセス制御のオーバーヘッドが生じる課題がある。この点、上述した非特許文献１～６に開示された技術では、課題を解決することが難しい。
【0009】
そこで本発明は、上述した問題点に鑑みて案出されたものであり、その目的とするところは、データリソースへのアクセス制御におけるオーバーヘッドの抑制を可能とするネットワーク管理システムを提供することにある。
【課題を解決するための手段】
【0010】
第１発明に係るネットワーク管理システムは、データリソースへのアクセス制御を行なうネットワーク管理システムであって、前記データリソース、及び前記データリソースにアクセスするアクセス主体を含む複数の計算機と、複数の前記計算機に接続された複数のエッジゲートウェイと、複数の前記エッジゲートウェイに接続されたコントローラーと、を備え、前記コントローラーは、前記計算機の特徴を示す属性に基づき定義されたデータポリシーを保存する保存手段と、前記データポリシーに基づき、複数の前記エッジゲートウェイ間に仮想ネットワークを生成するネットワーク構成手段と、を含むことを特徴とする。
【0011】
第２発明に係るネットワーク管理システムは、第１発明において、前記コントローラーは、前記データポリシーを参照し、前記仮想ネットワークを介して前記データリソースにアクセスするためのインタフェースを生成し、前記インタフェースを介して、前記データポリシーに紐づく属性を有する計算機と、前記仮想ネットワークとを接続する制御手段をさらに含むことを特徴とする。
【0012】
第３発明に係るネットワーク管理システムは、第１発明において、前記保存手段に保存される前記データポリシーは、前記データリソースの特徴を示すリソース属性と、前記アクセス主体の特徴を示す主体属性とを属性条件とし、複数の前記属性条件の集合であることを特徴とする。
【0013】
第４発明に係るネットワーク管理システムは、第３発明において、前記仮想ネットワーク構成手段は、前記保存手段に保存された前記データポリシーを参照し、前記属性条件の包含関係に基づいて前記仮想ネットワーク間を接続し、前記接続の結果に基づいて、前記仮想ネットワークの経路を追加、または削除することを特徴とする。
【0014】
第５発明に係るネットワーク管理システムは、第１発明において、前記仮想ネットワーク構成手段は、前記保存手段に保存された前記データポリシーを参照し、前記データポリシーに変更があった場合に、前記変更に基づいて前記仮想ネットワークの経路を追加、または削除することを特徴とする。
【0015】
第６発明に係るネットワーク管理システムは、第２発明において、前記コントローラーは、前記データリソースと前記アクセス主体において新たにデータ処理を開始する場合に、複数の前記計算機の中から前記データ処理に対応する特定の計算機を決定し、前記特定の計算機と、前記仮想ネットワークとを接続するプロセッサー配備手段を、さらに備えることを特徴とする。
【発明の効果】
【0016】
第１発明～第６発明によれば、保存手段は、計算機の特徴を示す属性に基づき定義されたデータポリシーを保存する。また、仮想ネットワーク構成手段は、保存手段に保存されたデータポリシーを参照し、仮想ネットワークを生成する。このため、例えばクラウド上の管理サーバーとの間で生じる通信遅延や、低性能のデバイス等で行われる暗号処理によって、アクセス制御のオーバーヘッドが生じる可能性を抑制できる。これにより、データリソースへのアクセス制御におけるオーバーヘッドを抑制することが可能となる。
【0017】
特に、第２発明によれば、制御手段は、仮想ネットワーク及びインタフェースを介して、アクセス主体によるデータリソースへのアクセスを制御する。このため、データポリシーに基づき、データリソースにアクセスすることができる。これにより、データリソースへのアクセス制御におけるオーバーヘッドを抑制することができ、データリソースへのアクセス制御を向上することが可能となる。
【0018】
特に、第３発明によれば、データポリシーは、データリソースの特徴を示すリソース属性と、アクセス主体の特徴を示す主体属性とを属性条件とし、複数の属性条件の集合となる。このため、仮想ネットワーク構成手段は、データポリシーを参照し、仮想ネットワーク及びインタフェースを生成することができる。これにより、複数の属性条件に基づいたデータリソースへのアクセス制御におけるオーバーヘッドを抑制することが可能となる。
【0019】
特に、第４発明によれば、ネットワーク構成手段は、データポリシーを参照し、属性条件の包含関係に基づいて仮想ネットワーク間を接続する。このため、接続の結果に基づいて、仮想ネットワークの経路を追加、または削除することができる。これにより、データリソースが接続する仮想ネットワークの数を少なく保ちつつ、データリソースへのアクセス制御におけるオーバーヘッドを抑制することが可能となる。
【0020】
特に、第５発明によれば、仮想ネットワーク構成手段は、データポリシーを参照する。このため、データポリシーに変更があった場合に、変更に基づいて仮想ネットワークの経路を追加、または削除することができる。これにより、データポリシーの変更を反映しつつ、データリソースへのアクセス制御におけるオーバーヘッドを抑制することが可能となる。
【0021】
特に、第６発明によれば、コントローラーは、プロセッサー配備手段をさらに備える。このため、複数の計算機の中からデータ処理に対応する特定の計算機を決定し、特定の計算機と、仮想ネットワークとを接続することができる。これにより、データ処理を行う計算機を適切に選択しつつ、データリソースへのアクセス制御におけるオーバーヘッドを抑制することが可能となる。
【図面の簡単な説明】
【0022】
【発明を実施するための形態】
【0023】
以下、本発明を適用した実施形態におけるネットワーク管理システムの一例について、図面を参照しながら説明する。
【0024】
図１を参照して、本実施形態におけるネットワーク管理システム１００、及びコントローラー１の一例について説明する。ネットワーク管理システム１００は、例えばＡＢＡＣをＩｏＴエッジコンピューティング環境で実現するアクセス制御モデル（ＣＬＢＡＣ:Cross－Layer Based Control。以降、ＣＬＢＡＣとする）である。ネットワーク管理システム１００は、例えばＣＬＢＡＣによりＡＢＡＣによって定義されたデータポリシー４に従ったネットワークポリシーを持つ仮想ネットワーク５（Virtual Network）を生成することでアクセス制御を行う。
【0025】
ネットワーク管理システム１００は、データリソースへのアクセス制御を行なうシステムであって、データリソースへのアクセス制御を行なうコントローラー１と、データリソース、及びデータリソースにアクセスするアクセス主体を含む複数の計算機２と、複数の計算機２に接続された複数のエッジゲートウェイ３とにより構成される。コントローラー１は、複数のエッジゲートウェイ３に接続される。
【0026】
ネットワーク管理システム１００には、例えば複数のエッジゲートウェイ３、及びそれらに対してＣＬＢＡＣの制御を実施するコントローラー１（ＣＬＣ：Cross-Layer Controllerと呼ぶ）が接続される制御プレーン（Control Plane）が存在する。エッジゲートウェイ３は、基本的にはエッジネットワークと外部ネットワークとの境界に設置される。エッジゲートウェイ３間には、データの送受信を扱うデータプレーン（Data Plane）の物理ネットワークが存在し、エッジゲートウェイ３配下には複数の計算機２（computer）が接続される。計算機２は、例えばデータ提供プロセスや処理プロセスが動作するエッジサーバーや、ＩｏＴデバイスそのもの、スマートフォンなどに対応する。
【0027】
ネットワーク管理システム１００では、処理プロセスを実行するエッジサーバーはエッジゲートウェイ３が動作する。コントローラー１は、例えばエッジゲートウェイ３を介して、同サーバー上の処理プロセスの配備、起動、実行を制御する。コントローラー１は、例えばマイクロサービスとして各種の処理プロセスを動作するようにしてもよい。マイクロサービスのプログラム（コード）は、例えば十分に検証され、承認されていることを前提としてもよく、さらにエッジゲートウェイ３を含むネットワーク装置は、例えば信頼でき（不正動作を行わない）、エッジゲートウェイ３、およびエッジゲートウェイ３間を接続するネットワークは正しく動作するものとしてもよい。
【0028】
仮想ネットワーク５は、例えば計算機２に接続された複数のエッジゲートウェイ３間に生成される。センサーデータに対するアクセスは、コントローラー１が各アクセス主体に対して許可するデータ操作を設定する。そして生成された仮想ネットワーク５に対するアクセス制御が行われる。このため、例えば仮想ネットワーク５への接続を設定されていない計算機は、生成された仮想ネットワーク５に接続できないことになる。
【0029】
ネットワーク管理システム１００では、仮想ネットワーク５のネットワークレイヤ（Network Layer）の上位に、構成要素６（entity）が保存されるプラットフォームレイヤ（Platform Layer）、データポリシーが保存されるデータレイヤ（Data Layer）が存在する。仮想ネットワーク５が接続するプラットフォームレイヤの構成要素６（entity）については後述する。
【0030】
次に、図２を参照して、本実施形態におけるネットワーク管理システム１００のアクセス制御モデルと、他の公知のアクセス制御モデルの対比の一例について説明する。図２の（ａ）ＡＢＡＣ／ＲＢＡＣ、および（ｂ）ＣａｐＢＡＣは、公知のアクセス制御モデルであり、（ｃ）ＣＬＢＡＣは、ネットワーク管理システム１００におけるアクセス制御モデルである。
【0031】
まず（ａ）ＡＢＡＣ／ＲＢＡＣは、例えば属性暗号による実現を行なうものであり、各リソースはアクセスを許可する属性（RBACではrole）リストに応じた鍵を用いてデータの暗号化を行い、権限を持つアクセス主体（ユーザやプロセス）が復号できることを特徴としている。次に（ｂ）ＣａｐＢＡＣは、例えばアクセス主体が持つ権限（Capability list）に対応するトークンをリソースが検証し、データへのアクセス許可を与えることを特徴とする。そして（ｃ）ＣＬＢＡＣは、許可される属性を持つアクセス主体が、対応する仮想ネットワーク５へ接続できるか否か（ネットワークポリシー）によってアクセス制御を実現することを特徴とする。
【0032】
ネットワーク管理システム１００におけるアクセス制御モデルである（ｃ）ＣＬＢＡＣは、（ａ）ＡＢＡＣ／ＲＢＡＣ、および（ｂ）ＣａｐＢＡＣと比較して、例えばデータポリシー４の制御がネットワークポリシーの制御に変換されるため、ＯＳやネットワーク機器が有する基本機能（iptables、eBPF等）によりアクセス制御を実施でき、性能が向上すること、アクセス制御対象の集合の包含関係が、ネットワークのルーティングに置き換わること、アクセス主体が許可される地理的範囲を外れる場合はルーティングされず、データの流通範囲を制御できること、などの効果がある。さらに（ｃ）ＣＬＢＡＣは、ＳＤＮ（Software Defined Network）をべースとした境界型セキュリティの１つとみなしてもよい。
【0033】
次に、図３を参照して、本実施形態におけるネットワーク管理システム１００のレイヤ構造の一例について説明する。図３に示すＣＬＢＡＣの階層構造は、例えばデータレイヤ（Data Layer）、プラットフォームレイヤ（Platform Layer）、ネットワークレイヤ（Network Layer）の３階層の構造となる。ＣＬＢＡＣは、例えばデータレイヤのデータポリシー４をネットワークレイヤのネットワークポリシーにマッピングする。ＣＬＢＡＣはＳＤＮコントローラーの機能を含み、ＣＬＣはデータレイヤからネットワークレイヤまで統合する管理・制御を行う機能を含むようにしてもよい。またＣＬＣは、各データに付与されたデータポリシー４に合わせた仮想的ネットワークを生成し、仮想ネットワーク５との接続関係を制御する。さらにＣＬＣは、プラットフォームレイヤにおいて実行すべき処理プロセスの配置決定・動作指示を行う。
【0034】
（コントローラー１：ＣＬＣ）
次に、図４を参照して、本実施形態におけるコントローラー１（ＣＬＣ）の一例について説明する。図４（ａ）は、本実施形態におけるコントローラー１の構成の一例を示す模式図であり、図４（ｂ）は、本実施形態におけるコントローラー１の機能の一例を示す模式図である。
次に、図４を参照して、本実施形態におけるコントローラー１（ＣＬＣ）の一例について説明する。図４（ａ）は、本実施形態におけるコントローラー１の構成の一例を示す模式図であり、図４（ｂ）は、本実施形態におけるコントローラー１の機能の一例を示す模式図である。
【0035】
コントローラー１として、例えば各種のＩｏＴデバイス、サーバー機器、パーソナルコンピュータ（ＰＣ）等の電子機器が用いられるほか、例えばスマートフォン、タブレット型端末、ウェアラブル端末、ＩｏＴ（Internet of Things）デバイス等の電子機器、Ｒａｓｐｂｅｒｒｙ Ｐｉ（登録商標）等のシングルボードコンピュータが用いられてもよい。また、コントローラ－１は、例えばコントローラー１自体がクラウド上のサーバーでもよい。コントローラー１は、例えば図４（ａ）に示すように、筐体１０と、ＣＰＵ（Central Processing Unit）１０１と、ＲＯＭ（Read Only Memory）１０２と、ＲＡＭ（Random Access Memory）１０３と、保存部１０４と、Ｉ／Ｆ１０５とを備える。各構成１０１～１０５は、内部バス１１０により接続される。
【0036】
ＣＰＵ１０１は、コントローラー１全体を制御する。ＲＯＭ１０２は、ＣＰＵ１０１の動作コードを格納する。ＲＡＭ１０３は、ＣＰＵ１０１の動作時に使用される作業領域である。保存部１０４は、例えば各種のデータリソースと、データリソースにアクセスするアクセス主体とを属性条件、複数の前記属性条件を集合として定義されたデータポリシー４等の各種情報が保存される。保存部１０４として、例えばクラウド上のサーバー、ＨＤＤ（Hard Disk Drive）の他、ＳＳＤ（solid state drive）等のデータ保存装置が用いられる。なお、例えばコントローラー１は、外部との通信を暗号化してもよく、暗号化のためのアクセラレータを有してもよい。
【0037】
Ｉ／Ｆ１０５は、例えば物理的にエッジゲートウェイ３と接続される。さらにＩ／Ｆ１０５は、例えば管理者によるデータポリシーや必要な操作を、インターネット等を介して入出力するためのインタフェースを備えてもよい。
【0038】
＜データベース＞
保存部１０４に保存されたデータベースには、例えばデータリソースと、データリソースにアクセスするアクセス主体との各種の属性条件（主体属性、リソース属性）、複数の属性条件が集合として定義されたデータポリシー４などが各々に対応づけられて保存される。属性条件は、主体属性、及びリソース属性を含む。主体属性は、例えば「アクセス主体」が有する属性であり、リソース属性は、例えば「データリソース」が有する属性であり、それぞれが対応づけられ保存部１１に保存される。また、データベースには、データを利用する利用者（ユーザ）に関する各種の情報（組織名や資格名・利用者等）のほか、例えば位置や時刻等の環境に関する属性を含んでもよい。
保存部１０４に保存されたデータベースには、例えばデータリソースと、データリソースにアクセスするアクセス主体との各種の属性条件（主体属性、リソース属性）、複数の属性条件が集合として定義されたデータポリシー４などが各々に対応づけられて保存される。属性条件は、主体属性、及びリソース属性を含む。主体属性は、例えば「アクセス主体」が有する属性であり、リソース属性は、例えば「データリソース」が有する属性であり、それぞれが対応づけられ保存部１１に保存される。また、データベースには、データを利用する利用者（ユーザ）に関する各種の情報（組織名や資格名・利用者等）のほか、例えば位置や時刻等の環境に関する属性を含んでもよい。
【0039】
また、データベースには、例えばコントローラー１と接続する他のコントローラー１、各種のＩｏＴデバイス、サーバー機器、パーソナルコンピュータ（ＰＣ）等の電子機器に関する識別情報、性能情報等が合わせて保存されるようにしてもよい。またデータベースには、例えば計算機２の属性を「構成要素６の属性」、ユーザの属性を「アクセス主体の属性」、プロバイダーの属性を「データリソースの属性」として保存するようにしてもよい。
【0040】
図４（ｂ）は、コントローラー１の機能の一例を示す模式図である。コントローラー１は、の保存部１１と、仮想ネットワーク構成部１２と、制御部１３と、プロセッサー配備部１４とを備え、例えば取得部や、各種の設定や情報等を更新する更新部（図示せず）等を備えてもよい。なお、図４（ｂ）に示した各機能は、ＣＰＵ１０１が、ＲＡＭ１０３を作業領域として、保存部１０４等に保存されたプログラムを実行することにより実現される。
【0041】
＜取得部＞
ネットワーク管理システム１００は、例えば取得部（図示せず）を備えてもよい。取得部は、例えば各種のデータリソース、データポリシー４等の情報を取得する。
ネットワーク管理システム１００は、例えば取得部（図示せず）を備えてもよい。取得部は、例えば各種のデータリソース、データポリシー４等の情報を取得する。
【0042】
＜保存部１１＞
保存部１１は、保存部１０４に保存されたデータベース等の各種情報を必要に応じて取出す。保存部１１は、各構成１１、１３～１５により取得又は生成された各種情報を、保存部１０４に保存する。
保存部１１は、保存部１０４に保存されたデータベース等の各種情報を必要に応じて取出す。保存部１１は、各構成１１、１３～１５により取得又は生成された各種情報を、保存部１０４に保存する。
【0043】
また保存部１１は、計算機の特徴を示す属性に基づき定義されたデータポリシー４を保存する。また、保存部１１が保存するデータポリシー４は、データリソースの特徴を示すリソース属性と、アクセス主体の特徴を示す主体属性とを属性条件とし、複数の属性条件を集合であってもよい。保存部１１に保存される各種の情報は、データレイヤの定義を、インターネットなどを介して取得する、あるいは管理者がインターネット等を介して明示的に入力可能としてもよい。
【0044】
＜仮想ネットワーク構成部１２＞
仮想ネットワーク構成部１２は、例えば保存部１１に保存された集合におけるデータポリシー４を参照する。仮想ネットワーク構成部１２は、例えばデータポリシー４に基づいて、エッジゲートウェイ３間に仮想ネットワーク５を生成し、例えば仮想ネットワーク５に接続するインタフェースを生成してもよい。
仮想ネットワーク構成部１２は、例えば保存部１１に保存された集合におけるデータポリシー４を参照する。仮想ネットワーク構成部１２は、例えばデータポリシー４に基づいて、エッジゲートウェイ３間に仮想ネットワーク５を生成し、例えば仮想ネットワーク５に接続するインタフェースを生成してもよい。
【0045】
仮想ネットワーク構成部１２は、例えばデータの利用シナリオ、利用シーン等のリクエストに基づいて、保存部１１に保存されたデータリソースと、データリソースにアクセスするアクセス主体とを属性条件とし、計算機２の特徴を示す属性に基づき定義されたデータポリシー４を参照するようにしてもよい。
【0046】
また仮想ネットワーク構成部１２は、参照したデータポリシー４に基づいて、リクエストが属性条件を満たす場合に、データリソースとアクセス主体におけるエッジゲートウェイの仮想ネットワーク５と、仮想ネットワーク５に接続するインタフェースとを、エッジゲートウェイ３に生成する。仮想ネットワーク構成部１２は、例えばリクエストが属性条件を満たす場合であれば、仮想ネットワーク５、またはインタフェースの何れか一方のみを生成するようにしてもよい。
【0047】
また仮想ネットワーク構成部１２は、保存部１１に保存されたデータポリシー４を参照し、属性条件の包含関係に基づいて仮想ネットワーク５間を接続する。属性条件の包含関係とは、例えばアクセス主体の属性条件として各々に設定された内容に基づくものであり、主体属性条件がないオープンな属性条件の場合は、オープンな仮想ネットワーク５へと接続される。他方、主体属性条件が制限されれば、オープンな属性条件として生成された仮想ネットワーク５は削除されることになる。なお属性条件の包含関係については、図５（ｂ）、図７（ａ）を用いて後述する。
【0048】
また仮想ネットワーク構成部１２は、仮想ネットワーク５の経路を追加、または削除により、仮想ネットワーク５に接続するインタフェースに追加、または削除があれば、合わせて対応するようにしてもよい。仮想ネットワーク構成部１２における仮想ネットワーク５の経路を追加、動作については、図７（ｂ）の疑似アルゴリズム「ａｄｄ＿ｐｒｏｃｅｓｓｏｒ」の疑似コードを用いて後述する。
【0049】
また仮想ネットワーク構成部１２は、保存部１１に保存されたデータポリシー４を参照し、属性条件の変更を確認する。そして仮想ネットワーク構成部１２は、確認の結果に基づいて、仮想ネットワーク５の経路を追加、または削除する。
【0050】
また仮想ネットワーク構成部１２は、属性条件の追加、または削除により、仮想ネットワーク５に接続するインタフェースに追加、または削除があれば、合わせて対応するようにしてもよい。
【0051】
＜制御部１３＞
制御部１３は、仮想ネットワーク構成部１２により生成された仮想ネットワーク５、及びインタフェースを介して、計算機２間（例えばデータリソースとアクセス主体との間）のアクセスを制御する。制御部１３は、仮想ネットワーク構成部１２により生成された仮想ネットワーク５、及びインタフェースをエッジゲートウェイに設定し、各種の処理プロセスを実行するエッジサーバーによるエッジゲートウェイ３を動作させる。制御部１３は、例えばエッジゲートウェイ３を介して、エッジサーバー上の各種の処理プロセスの配備、起動、実行の制御を行なう。
制御部１３は、仮想ネットワーク構成部１２により生成された仮想ネットワーク５、及びインタフェースを介して、計算機２間（例えばデータリソースとアクセス主体との間）のアクセスを制御する。制御部１３は、仮想ネットワーク構成部１２により生成された仮想ネットワーク５、及びインタフェースをエッジゲートウェイに設定し、各種の処理プロセスを実行するエッジサーバーによるエッジゲートウェイ３を動作させる。制御部１３は、例えばエッジゲートウェイ３を介して、エッジサーバー上の各種の処理プロセスの配備、起動、実行の制御を行なう。
【0052】
制御部１３は、例えば許可される属性を持つアクセス主体が、対応する仮想ネットワーク５へ接続できるか否か（ネットワークポリシー）によってアクセス制御を実現する。なお制御部１３は、例えば図３に示すＣＬＢＡＣの階層構造により、データレイヤのデータポリシー４をネットワークレイヤのネットワークポリシーにマッピングし、データレイヤからネットワークレイヤまで統合して管理・制御を行う。これにより、制御部１３は、各データに付与されたデータポリシー４に合わせて仮想的ネットワークを生成し、仮想ネットワーク５との接続関係を制御する。
【0053】
＜プロセッサー配備部１４＞
プロセッサー配備部１４は、データリソースとアクセス主体において新たにデータ処理を開始する場合に、データ処理に対応する属性条件を満たすプロセッサーを動作させる計算機２を決定する。プロセッサー配備部１４は、例えば保存部１１に保存される計算機２のスペック、台数、位置などの情報を確認し、リクエストに応じたデータ処理（加工等）に対応する属性条件を満たすプロセッサーを動作させる計算機２を決定するようにしてもよい。プロセッサー配備部１４は、決定した計算機２を生成した仮想ネットワーク５上に配備する。
プロセッサー配備部１４は、データリソースとアクセス主体において新たにデータ処理を開始する場合に、データ処理に対応する属性条件を満たすプロセッサーを動作させる計算機２を決定する。プロセッサー配備部１４は、例えば保存部１１に保存される計算機２のスペック、台数、位置などの情報を確認し、リクエストに応じたデータ処理（加工等）に対応する属性条件を満たすプロセッサーを動作させる計算機２を決定するようにしてもよい。プロセッサー配備部１４は、決定した計算機２を生成した仮想ネットワーク５上に配備する。
【0054】
配備された計算機２は、仮想ネットワーク構成部１２により生成された仮想ネットワーク５と仮想ネットワーク５に接続するインタフェースとを用いて、制御部１３によるアクセス制限によりデータ処理を開始する。これにより、仮想ネットワーク５へのアクセス制御の向上を実現することが可能となる。
【0055】
なお、プロセッサー配備部１４における特定の計算機２と仮想ネットワーク５とを接続する動作については、図７（ｂ）の疑似アルゴリズム「ａｄｄ＿ｐｒｏｃｅｓｓｏｒ」の疑似コードを用いて後述する。
【0056】
（計算機２）
計算機２として、例えばコントローラー１と同様にＩｏＴデバイス、各種の電子機器で具現化されたものが用いられる。計算機２は、例えば図９に示すような複数のコントローラー１と通信可能な各拠点の各種のサーバー、ＩｏＴデバイス、クライアントのほか、中央制御装置等であってもよい。計算機２は、例えばデータ提供プロセスや処理プロセスが動作するエッジサーバーや、ＩｏＴデバイスそのもの、スマートフォンなどに対応する。
計算機２として、例えばコントローラー１と同様にＩｏＴデバイス、各種の電子機器で具現化されたものが用いられる。計算機２は、例えば図９に示すような複数のコントローラー１と通信可能な各拠点の各種のサーバー、ＩｏＴデバイス、クライアントのほか、中央制御装置等であってもよい。計算機２は、例えばデータ提供プロセスや処理プロセスが動作するエッジサーバーや、ＩｏＴデバイスそのもの、スマートフォンなどに対応する。
【0057】
（エッジゲートウェイ３）
エッジゲートウェイ３は、例えば基本的にはエッジネットワークと外部ネットワークとの境界に設置される。エッジゲートウェイ３間には、データの送受信を扱うデータプレーン（Data Plane）の物理ネットワークが存在し、エッジゲートウェイ３配下には複数の計算機２（computer）が接続される。
エッジゲートウェイ３は、例えば基本的にはエッジネットワークと外部ネットワークとの境界に設置される。エッジゲートウェイ３間には、データの送受信を扱うデータプレーン（Data Plane）の物理ネットワークが存在し、エッジゲートウェイ３配下には複数の計算機２（computer）が接続される。
【0058】
（データポリシー４）
データポリシー４は、保存部１０４のデータベース等に保存される。データポリシー４には、例えばデータリソースと、データリソースにアクセスするアクセス主体との各種の属性条件（主体属性、リソース属性）が複数の属性条件が、計算機２の特徴を示す属性に基づき定義されたものである。データポリシー４は、例えば後述する図５（ｂ）に示す属性条件の集合であって、例えばＡＢＡＣによるルール集合（ｌ１，ｌ２，ｌ３）として表現される。
データポリシー４は、保存部１０４のデータベース等に保存される。データポリシー４には、例えばデータリソースと、データリソースにアクセスするアクセス主体との各種の属性条件（主体属性、リソース属性）が複数の属性条件が、計算機２の特徴を示す属性に基づき定義されたものである。データポリシー４は、例えば後述する図５（ｂ）に示す属性条件の集合であって、例えばＡＢＡＣによるルール集合（ｌ１，ｌ２，ｌ３）として表現される。
【0059】
データポリシー４は、例えばヘルスケアデータ（体重・脈拍・運動量）などの未加工の個人データ（Rawデータ）では、公開しないというデータポリシー４として設定される。またデータポリシー４は、例えば資格名としての肩書き（Title）が医師（Doctor）である主体は、Ｒａｗデータへのアクセスを許可するデータポリシー４として設定される。また、識別子を仮名化する加工を施したデータ（Pseudonymizedデータ）は、主体のアクセス場所が日本（JP）ではない医師もアクセスを許可するデータポリシー４として設定される。さらに、ヘルスケアデータは、例えばリソース属性と対応づけられ、データリソースへのアクセスや加工等の処理を許可するデータポリシー４として設定されるようにしてもよい。
【0060】
（仮想ネットワーク５）
仮想ネットワーク５は、例えば接続する複数の計算機２の上位にあるエッジゲートウェイ３問に生成される。仮想ネットワーク５は、コントローラー１を用いて複数の仮想ネットワーク５が生成され、管理される。仮想ネットワーク５は、例えば仮想ネットワーク構成部１２によって、指定された属性条件の集合に基づいてリソースやアクセス主体が接続するように構成される。仮想ネットワーク５は、データアクセス時、アクセス主体は、この仮想ネットワーク５内で通常の通信が行われ、許可されないリソースへはアクセスできないように構成される。
仮想ネットワーク５は、例えば接続する複数の計算機２の上位にあるエッジゲートウェイ３問に生成される。仮想ネットワーク５は、コントローラー１を用いて複数の仮想ネットワーク５が生成され、管理される。仮想ネットワーク５は、例えば仮想ネットワーク構成部１２によって、指定された属性条件の集合に基づいてリソースやアクセス主体が接続するように構成される。仮想ネットワーク５は、データアクセス時、アクセス主体は、この仮想ネットワーク５内で通常の通信が行われ、許可されないリソースへはアクセスできないように構成される。
【0061】
（通信網）
通信網は、例えばコントローラー１等が通信回路を介して接続されるインターネット網等である。通信網は、いわゆる光ファイバ通信網で構成されてもよい。また、通信網は、有線通信網のほか、無線通信網等の公知の通信網で実現してもよい。また、Ｃｏｎｔｒｏｌ Ｐｌａｎｅは、例えばクローズドなネットワークで構成されるほか、例えば暗号化されたネットワークによって実現されるようにしてもよい。
通信網は、例えばコントローラー１等が通信回路を介して接続されるインターネット網等である。通信網は、いわゆる光ファイバ通信網で構成されてもよい。また、通信網は、有線通信網のほか、無線通信網等の公知の通信網で実現してもよい。また、Ｃｏｎｔｒｏｌ Ｐｌａｎｅは、例えばクローズドなネットワークで構成されるほか、例えば暗号化されたネットワークによって実現されるようにしてもよい。
【0062】
（サーバー）
サーバー（コントローラーサーバー、仮想サーバー等）には、例えば上述した各種情報が記憶される。サーバーには、例えば通信網を介して送られてきた各種情報が蓄積される。サーバーには、例えば保存部１０４と同様の情報が保存され、通信網を介してコントローラー１と各種情報の送受信が行われてもよい。即ち、コントローラー１は、保存部１０４の代わりにサーバーを用いてもよい。
サーバー（コントローラーサーバー、仮想サーバー等）には、例えば上述した各種情報が記憶される。サーバーには、例えば通信網を介して送られてきた各種情報が蓄積される。サーバーには、例えば保存部１０４と同様の情報が保存され、通信網を介してコントローラー１と各種情報の送受信が行われてもよい。即ち、コントローラー１は、保存部１０４の代わりにサーバーを用いてもよい。
【0063】
【0064】
図５（ａ）は、本実施形態におけるユースケースシナリオの一例を示す模式図である。図５は（ｂ）は、本実施形態における属性条件の集合の一例を示す模式図である本実施形態におけるユースケースシナリオの一例を示す模式図である。
【0065】
（構成要素６：エンティティ）
図５（ａ）に示す本実施形態におけるユースケースシナリオは、例えばヘルスケアのデータポリシー４に対応し、ネットワーク管理システム１００が生成する仮想ネットワーク５の例について説明する。また本実施形態では、仮想ネットワーク５に接続するプラットフォームレイヤの構成要素６（entity）として、例えば「ｕｓｅｒ」と「ｐｒｏｖｉｄｅｒ」を対象とする。
図５（ａ）に示す本実施形態におけるユースケースシナリオは、例えばヘルスケアのデータポリシー４に対応し、ネットワーク管理システム１００が生成する仮想ネットワーク５の例について説明する。また本実施形態では、仮想ネットワーク５に接続するプラットフォームレイヤの構成要素６（entity）として、例えば「ｕｓｅｒ」と「ｐｒｏｖｉｄｅｒ」を対象とする。
【0066】
また、図５（ｂ）に示す本実施形態における属性条件の集合は、例えば本ユースケースをＡＢＡＣによるルール集合（ｌ1，ｌ2，ｌ3）として表現され、ルール集合により包含関係が形成される。ルール集合は、例えばヘルスケアデータ（体重・脈拍・運動量）などの未加工の個人データ（Rawデータ）は、プライバシーに関わる情報であるため、公開しないデータポリシー４として設定されている（包含関係なし）。ただし、資格名としての肩書き（Title）が医師（Doctor）である主体は、主体のアクセス場所が日本（JP）である場合に診察・診療を可能とするため、Ｒａｗデータへのアクセスを許可するデータポリシー４として設定される（包含関係あり）。また、識別子を仮名化する加工を施したデータ（Pseudonymizedデータ）は、学術的分析を可能とするため、主体のアクセス場所が日本（JP）ではない医師もアクセスを許可するデータポリシー４として設定されることになる（包含関係あり）。
【0067】
また属性条件の集合は、例えば各データの利用シーンに応じて、個々のデータポリシー４が適宜にルール集合（ｌ１，ｌ２，ｌ３）として設定される。設定されたルール集合は、例えばデータリソースの利用において、属性条件（ルール集合）を満たす場合に（包含関係あり）、仮想ネットワーク５と仮想ネットワーク５に接続するインタフェースを生成するため参照される。他方、属性条件（ルール集合）を満たさなくなった場合は（包含関係なし）、元の仮想ネットワーク５と仮想ネットワーク５に接続するインタフェースは削除されることになる。
【0068】
＜＜ｕｓｅｒ＞＞
「ｕｓｅｒ」は、例えばデータを利用する利用者に相当する構成要素６であり、ＡＢＡＣにおけるアクセス主体に相当し、組織名や資格名などの属性を持つ。さらに、位置や時刻などの環境属性も持つようにしてもよい。また「ｐｒｏｖｉｄｅｒ」は、例えば「ｐｒｏｃｅｓｓｏｒ」は「ｕｓｅｒ」を兼ねる構成としてもよい。
「ｕｓｅｒ」は、例えばデータを利用する利用者に相当する構成要素６であり、ＡＢＡＣにおけるアクセス主体に相当し、組織名や資格名などの属性を持つ。さらに、位置や時刻などの環境属性も持つようにしてもよい。また「ｐｒｏｖｉｄｅｒ」は、例えば「ｐｒｏｃｅｓｓｏｒ」は「ｕｓｅｒ」を兼ねる構成としてもよい。
【0069】
＜＜Ｐｒｏｖｉｄｅｒ＞＞
次に「ｐｒｏｖｉｄｅｒ」は、例えばデータを提供する提供者に相当する構成要素６であり、ＡＢＡＣにおけるリソースに相当し、２つのサブ種類として、「ＡＤＰ（Ａｔｏｍｉｃ Ｄａｔａ Ｐｒｏｖｉｄｅｒ）」と「Ｐｒｏｃｅｓｓｏｒ」を有するようにしてもよい。
次に「ｐｒｏｖｉｄｅｒ」は、例えばデータを提供する提供者に相当する構成要素６であり、ＡＢＡＣにおけるリソースに相当し、２つのサブ種類として、「ＡＤＰ（Ａｔｏｍｉｃ Ｄａｔａ Ｐｒｏｖｉｄｅｒ）」と「Ｐｒｏｃｅｓｓｏｒ」を有するようにしてもよい。
【0070】
＜＜ＡＤＰ（Ａｔｏｍｉｃ Ｄａｔａ Ｐｒｏｖｉｄｅｒ）＞＞
「ＡＤＰ」は、例えばデータを提供する構成要素６であり、データの入力は無く、データの出力のみ行い、センサーやストレージが相当する。
「ＡＤＰ」は、例えばデータを提供する構成要素６であり、データの入力は無く、データの出力のみ行い、センサーやストレージが相当する。
【0071】
＜＜Ｐｒｏｃｅｓｓｏｒ＞＞
「Ｐｒｏｃｅｓｓｏｒ」は、例えば入カデータを処理したデータを提供する構成要素６であり、入力となるデータを提供するｐｒｏｖｉｄｅｒを指定する。入力Ｐｒｏｖｉｄｅｒに対してｕｓｅｒに相当する。データ加工を行うマイクロサービスや処理プロセスがこれに相当する。
「Ｐｒｏｃｅｓｓｏｒ」は、例えば入カデータを処理したデータを提供する構成要素６であり、入力となるデータを提供するｐｒｏｖｉｄｅｒを指定する。入力Ｐｒｏｖｉｄｅｒに対してｕｓｅｒに相当する。データ加工を行うマイクロサービスや処理プロセスがこれに相当する。
【0072】
各構成要素６は、例えば計算機２で実行されるＯＳ上のプロセスであり、ｐｒｏｖｉｄｅｒが動作する計算機２が持つ属性はｐｒｏｖｉｄｅｒの属性とみなすようにしてもよい。各構成要素６は、例えば日本に置かれたサーバーをアクセス制御とするのであれば、サーバー上のｐｒｏｃｅｓｓｏｒｓを「Ｌｏｃａｔｉｏｎ（ｓ）＝“ＪＰ”」とすれば、主体属性条件を満たすこととなる。
【0073】
図５のユースケースシナリオは、へルスケアのデータポリシー４に対応し、仮想ネットワーク５は「ｕｓｅｒ」として、「ｕ（属性：Ｔｉｔｌｅ：Ｄｏｃｔｏｒ，Ｌｏｃａｔｉｏｎ：ＪＰ，ｖ（属性：Ｔｉｔｌｅ：Ｄｏｃｔｏｒ，Ｌｏｃａｔｉｏｎ：ＡＵ），ｗ（属性：Ｔｉｔｌｅ：Ｎｏｎｅ，Ｌｏｃａｔｉｏｎ：ＣＡ）が設定されているものとする。また、ＡＤＰとしてＸ, Ｚ が、ＰｒｏｃｅｓｓｏｒとしてＹが存在するものとする。ＹはＸを入カデータとして用いるデータ加工処理である。ここで、Ｘは未加工の生センサーデータ（属性：Ｌｅｖｅｌ：Ｒａｗ）であり、Ｙは未加工の生センサーデータを仮名処理（出力結果の属性：Ｌｅｖｅｌ：Ｐｓｅｕｄｏｎｙｍｉｚｅｄ）し、Ｚは統計データを提供（属性：Ｌｅｖｅｌ：Ａｎｏｎｙｍｉｚｅｄ）するものとする。
【0074】
また本実施形態におけるユースケースでは、コントローラー１は、データポリシー４の３つのルールに対応して３つの仮想ネットワークｎ1，ｎ2，ｎ3を生成する。また、ｌ2 はｌ1 を含むため（Ｔｉｔｌｅ（ｓ）＝“Ｄｏｃｔｏｒ”∧Ｌｏｃａｔｉｏｎ（ｓ）“ＪＰ”⊆Ｔｉｔｌｅ（ｓ）=“Ｄｏｃｔｏｒ”）、ｎ1からｎ2への経路を生成する。またＡＤＰ（Ｘ，Ｚ）は、それぞれリソース属性に対応するｎ1、ｎ3に接続している。ここでｐｒｏｃｅｓｓｏｒ Ｙは、リソース属性に対応してｎ2に接続しており、またｎ1に接続したＸを入力とするため、「 Ｔｉｔｌｅ：Ｄｏｃｔｏｒ」および 「Ｌｏｃａｔｉｏｎ：ＪＰ」に相当するアクセス主体属性を持つことになる。
【0075】
なお本実施形態では、例えばルールｌの主体属性の条件を「ｌ．Ｓ」、リソース属性の条件を「ｌ．Ｒ」とする。また、仮想ネットワークｎに対応するルールｌの「ｌ．ｓ」、「ｌ．Ｒ」を「ｎ．ｓ」、「ｎ．Ｒ」と表記する。なお、ルールｌが追加されると、ｌに対応する仮想ネットワーク５が生成される。ルールｌに対応する仮想ネットワーク５をｎとする。ｎが生成されると、システムに存在するｐｒｏｖｉｄｅｒのうち「ｎ．Ｒ」を満たすもの、及びシステムに存在するｕｓｅｒのうち「ｎ．Ｓ」を満たすものに対し（包含関係あり）、ｎへの接続許可が与えられることになる。これによって、例えば表現されたデータポリシー４を満たすネットワークポリシーを持つ仮想ネットワーク５が構成される。
【0076】
なお、例えば２つの仮想ネットワーク「ｎ．ｍ」が存在するとき、「ｎ．Ｓ」の主体属性条件が「ｍ．Ｓ」の主体属性条件に含まれる。すなわち、「ｎ．Ｓ⊆ｍ．Ｓ」ならば、「ｎ．Ｓ」を満たすｕｓｅｒは「ｍ．Ｓ」も満たすことになる（包含関係あり）ため、ｎに含まれるｕｓｅｒは全てｍに接続して良い（ｎ．Ｒ，ｍ．Ｒについても同様）。このため、ｎに含まれるｕｓｅｒを全てｍに接続しても良いが、同様のことは、仮想ネットワークｎから仮想ネットワークｍへ経路を加えることによって実現できる。この場合、経由する仮想ネットワーク５の数（ホップ数）が増えるが、ｕｓｅｒが接続しなければならない仮想ネットワーク５の数を減らすことが可能となる。
【0077】
図６（ａ）、及び（ｂ）は、本実施形態におけるネットワーク管理システム１００の動作の一例を示すフローチャートである。
【0078】
＜保存手段Ｓ１１０＞
まず図６（ａ）に示すように、保存部１１は、データポリシー４を保存する（保存手段Ｓ１１０）。保存部１１は、例えば前記データリソースの特徴を示すリソース属性と、アクセス主体の特徴を示す主体属性とを属性条件として、計算機２の特徴を示す属性に基づき定義されたデータポリシー４を保存する。保存部１１は、複数の属性条件を集合として定義されたデータポリシー４を保存するようにしてもよい。保存部１１は、例えばコントローラー１（ＣＬＣ）、計算機２などを介して、データポリシー４を保存部１０４に保存する。
まず図６（ａ）に示すように、保存部１１は、データポリシー４を保存する（保存手段Ｓ１１０）。保存部１１は、例えば前記データリソースの特徴を示すリソース属性と、アクセス主体の特徴を示す主体属性とを属性条件として、計算機２の特徴を示す属性に基づき定義されたデータポリシー４を保存する。保存部１１は、複数の属性条件を集合として定義されたデータポリシー４を保存するようにしてもよい。保存部１１は、例えばコントローラー１（ＣＬＣ）、計算機２などを介して、データポリシー４を保存部１０４に保存する。
【0079】
保存部１１は、例えば仮想ネットワーク構成部１２により生成された仮想ネットワーク５とインタフェース、アクセス主体を特定するユーザ情報、データリソース先を特定するプロバイダー情報、データリソース先とアクセス主体を含むプロセッサー、データリソースのみを行なうデータプロバイダーの各種の情報、仮想ネットワーク５間の接続結果、仮想ネットワーク５の経路、経路の追加または削除の履歴、データポリシー４の属性条件の変更、接続される計算機２の情報と仮想ネットワーク５上への配備に関する情報などを、複数の仮想ネットワーク５を介してデータリソースへのアクセス制御を行なう際に必要となる各種のデータや情報を、各々に対応づけて保存するようにしてもよい。
【0080】
＜仮想ネットワーク構成手段Ｓ１２０＞
仮想ネットワーク構成部１２は、仮想ネットワーク５とインタフェースを生成する（仮想ネットワーク構成手段Ｓ１２０）。仮想ネットワーク構成部１２は、例えばデータポリシー４に基づいて、エッジゲートウェイ３間に仮想ネットワーク５及び仮想ネットワーク５に接続するインタフェースを生成する。
仮想ネットワーク構成部１２は、仮想ネットワーク５とインタフェースを生成する（仮想ネットワーク構成手段Ｓ１２０）。仮想ネットワーク構成部１２は、例えばデータポリシー４に基づいて、エッジゲートウェイ３間に仮想ネットワーク５及び仮想ネットワーク５に接続するインタフェースを生成する。
【0081】
仮想ネットワーク構成部１２は、保存部１１に保存された複数の属性条件の集合におけるデータポリシー４を参照する。データポリシー４は、例えばコントローラー１の保存部１１のほか、他のデータベース（図示せず）などに記憶され、コントローラー１の管理者等により適宜に参照されるようにしてもよい。
【0082】
仮想ネットワーク構成部１２は、保存部１１に保存されたデータポリシー４に基づいて、データポリシー４の属性条件を満たす場合に、データリソースとアクセス主体におけるエッジゲートウェイ３の仮想ネットワーク５と仮想ネットワーク５に接続するインタフェースをエッジゲートウェイ３に生成する。
【0083】
仮想ネットワーク構成部１２は、例えば生成した仮想ネットワーク５とインタフェースを保存部１１に保存するようにしてもよい。仮想ネットワーク構成部１２は、例えばコントローラー１からの指示に基づいて、仮想ネットワーク５とインタフェースを生成するほか、例えば他の地域のコントローラー１、コントローラー１に接続される計算機２（ｕｓｅｒ、ｐｒｏｖｉｄｅｒなど）からの指示に基づいて、仮想ネットワーク５とインタフェースなどを生成するようにしてもよい。
【0084】
また仮想ネットワーク構成部１２は、保存部１１に保存されたデータポリシー４を参照し、属性条件の包含関係に基づいて仮想ネットワーク５間の接続を行なうようにしてもよい。
【0085】
仮想ネットワーク構成部１２は、属性条件の包含関係と紐付けて、接続の結果を保存部１１に保存するようにしてもよい。これにより、データリソースとアクセス主体におけるアクセスを制御することができ、仮想ネットワーク５へのアクセス制御の向上を実現することが可能となる。
【0086】
また仮想ネットワーク構成部１２は、保存部１１に保存されたデータポリシー４を参照し、属性条件に変更があった場合に、変更に基づいて、接続関係を設定するようにしてもよい。
【0087】
仮想ネットワーク構成部１２は、属性条件に変更と紐付けて、接続の結果を保存部１１に保存するようにしてもよい。これにより、データリソースとアクセス主体におけるアクセスを制御することができ、仮想ネットワーク５へのアクセス制御の向上を実現することが可能となる。
【0088】
＜制御手段Ｓ１３０＞
制御部１３は、データリソースとアクセス主体のアクセスを制御する（制御手段Ｓ１３０）。制御部１３は、例えば仮想ネットワーク構成部１２により生成された仮想ネットワーク５とインタフェースを介して、データリソースとアクセス主体におけるアクセスを制御する。
制御部１３は、データリソースとアクセス主体のアクセスを制御する（制御手段Ｓ１３０）。制御部１３は、例えば仮想ネットワーク構成部１２により生成された仮想ネットワーク５とインタフェースを介して、データリソースとアクセス主体におけるアクセスを制御する。
【0089】
＜プロセッサー配備手段Ｓ１４０＞
次に図６（ｂ）に示すように、プロセッサー配備部１４は、例えばプロセッサーを計算機２上に配備し、仮想ネットワーク５に接続する（プロセッサー配備手段Ｓ１４０）。プロセッサー配備部１４は、データリソースとアクセス主体において新たにデータ処理を開始する場合に、複数の計算機２の中からデータ処理に対応する特定の計算機を決定する。プロセッサー配備部１４は、計算機２を生成した仮想ネットワーク５上に配備し、特定の計算機２と、仮想ネットワークとを接続する。
次に図６（ｂ）に示すように、プロセッサー配備部１４は、例えばプロセッサーを計算機２上に配備し、仮想ネットワーク５に接続する（プロセッサー配備手段Ｓ１４０）。プロセッサー配備部１４は、データリソースとアクセス主体において新たにデータ処理を開始する場合に、複数の計算機２の中からデータ処理に対応する特定の計算機を決定する。プロセッサー配備部１４は、計算機２を生成した仮想ネットワーク５上に配備し、特定の計算機２と、仮想ネットワークとを接続する。
【0090】
これにより、本実施形態におけるネットワーク管理システム１００の動作が終了してもよい。なお、保存手段Ｓ１１０によるデータリソースと、データリソースにアクセスするアクセス主体とを属性条件、計算機２の特徴を示す属性に基づき定義されたデータポリシー４の保存のタイミング、仮想ネットワーク構成手段Ｓ１２０における属性情報の変更、データレイヤの定義を、インターネットなどを介して取得する、あるいは、管理者がインターネット等を介して明示的に入力可能としてもよい。なお、ネットワーク管理システム１００は、例えばプロセッサー配備手段Ｓ１４０をさらに備えてもよい。
【0091】
（ネットワーク生成アルゴリズム）
ここで、図７を参照して、本実施形態におけるネットワーク管理システム１００ネットワーク生成アルゴリズムの一例について説明する。図７（ａ）は、本実施形態におけるコントローラー１の構成の一例を示すアルゴリズムであり、図７（ｂ）は、本実施形態におけるコントローラー１の機能の一例を示すアルゴリズムである。
ここで、図７を参照して、本実施形態におけるネットワーク管理システム１００ネットワーク生成アルゴリズムの一例について説明する。図７（ａ）は、本実施形態におけるコントローラー１の構成の一例を示すアルゴリズムであり、図７（ｂ）は、本実施形態におけるコントローラー１の機能の一例を示すアルゴリズムである。
【0092】
図７（ａ）の疑似アルゴリズムは、本実施形態における「ａｄｄ＿ｄａｔａ＿ｐｏｌｉｃｙ」を示し、仮想ネットワーク構成部１２における仮想ネットワーク５の経路を追加（または削除）の動作を実行するものである。
【0093】
「ａｄｄ＿ｄａｔａ＿ｐｏｌｉｃｙ」は、例えばデータポリシー４のルールを追加する際、対応する仮想ネットワーク５を生成するネットワーク生成アルゴリズムを記述した疑似コードである。
【0094】
また、図７（ｂ）の疑似アルゴリズムは、本実施形態における「ａｄｄ＿ｐｒｏｃｅｓｓｏｒ」を示す。「ａｄｄ＿ｐｒｏｃｅｓｓｏｒ」は、仮想ネットワーク構成部１２がデータ処理を行なう「ｐｒｏｃｅｓｓｏｒ」を追加する際、データポリシー４を満たす計算機２上に配備する「ｐｒｏｃｅｓｓｏｒ」追加アルゴリズムを記述した疑似コードとなる。
【0095】
図７（ａ）の疑似アルゴリズムは、例えばシステムに既に存在する仮想ネットワーク５の集合を（Ｎ,ｐｒｏｖｉｄｅｒ）の集合を（Ｐ,ｕｓｅｒ）の集合Ｕと表している。例えば３行目で追加されたルールｌに対応する新規仮想ネットワークｎを生成している。例えば４行目から８行目は、ｎとのアクセス主体属性条件の包含関係に応じて、既存の仮想ネットワーク５とｎ間の接続（経路）を設定する動作となる。
【0096】
本実施形態におけるアクセス制御では、変数を含む条件式を扱わないが、変数を含む条件式を扱わないときは、「ｒ１⊆ｒ２」であることは、ｒ２の全ての条件式に対応するＣｏｎｊｕｎｃｔｉｖｅ Ｃｏｎｓｔｒａｉｎｔ Ｍａｐｐｉｎｇ（例えば公知文献「C.K.Chang and H. Garcia-Molina, "Conjunctive Constraint Mapping for Data Translation" in Proceedings of the third ACM conference on Digital Libraries, 1998, p 49-58」に開示）がｒ１に存在するか否かによって判定可能となる。また９行目でｎにＮを加え，１０行目、１１行目で、経路の簡略化（Simplify_route）の手続きを行なう。この手続きは、例えば複数の経路で到達できるネットワーク間の経路のうち短い方を削除する動作となる。これにより、無駄な経路を省くことが可能となる。ただし、経由するネットワーク数に上限を設けられるものとし、上限を超える時は短い冗長経路を削除しない。
【0097】
また図７（ａ）の疑似アルゴリズムは、また１２行目から１５行目は、「ｐｒｏｖｉｄｅｒ ｐ」が、ｌのリソース属性条件（ｌ，Ｒ）を満たす場合、ｐが動作する計算機２（ｐ，Ｎｏｄｅ）をｎに接続（ネットワークインタフェースの追加）させている。これにより、１５行目（simplify_interface）はネットワークインタフェースの簡略化動作となる。動作は（Simplify_route）と同等となる。また、１６行目から１９行目は「ｕｓｅｒ ｕ」が、ｌのアクセス主体条件（ｕ，Ｓ）を満たす場合に、ｕが動作する計算機２（ｕ，Ｎｏｄｅ）をｎに接続する。この動作は、「ｐｒｏｖｉｄｅｒ」接続時と同様となる。
【0098】
次に、図７（ｂ）の疑似アルゴリズムは、「ａｄｄ＿ｐｒｏｃｅｓｓｏｒ」の疑似コードであり、プロセッサー配備部１４における特定の計算機２と仮想ネットワーク５とを接続する動作を実行するものである。
【0099】
「ａｄｄ＿ｐｒｏｃｅｓｓｏｒ」は、エッジコンピューティングにおいて、例えば新たな処理プロセスの実行が要求されたとき、複数の配備先計算機２の候補が存在することとなる。そのため、「ａｄｄ＿ｐｒｏｃｅｓｓｏｒ」では、アクセス権限を持つ適切な計算機２にプロセスを配備する操作となる。
【0100】
また図７（ｂ）の疑似アルゴリズムでは、システムに存在する利用可能な（使用されていない）計算機２の集合をＣと表記している。３行目から８行目で、ｐを実行するにあたり、データポリシー４を満たす計算機２集合Ａを導出している。Ａが「ｐｒｏｃｅｓｓｏｒ」を実行できる計算機２の候補集合となる。「ｐｒｏｃｅｓｓｏｒ」は、入力と出力を持ち、出力結果はリソース属性を持つ。ｐは、このリソース属性を満たす仮想ネットワーク５にアクセスを許可することになる。この仮想ネットワーク５をｎとしたとき、ｐへは（ｎ，Ｓ）を満たすアクセス主体しかアクセスできないため、ｐは（ｎ，Ｓ）を満たすアクセス主体相当とみなすことができる。
【0101】
また図７（ｂ）の疑似アルゴリズムでは、この時の（ｎ，Ｓ）を「ｐ．Ｒｅｓｔｒｉｃｔｉｏｎ」と表記する。ｐは、ｐが動作する計算機２（ｐ，Ｎｏｄｅ）をｃとしたとき（５行目で設定）、ｐが継承するｃの属性、および「ｐ．Ｒｅｓｔｒｉｃｔｉｏｎ」（６行目で設定）を満たす属性を持つアクセス主体とみなすことができる。この状態のｐがｐの入力（ｐ，Ｉｎｐｕｔ）が接続するＮのいずれかの仮想ネットワーク５に接続可能であれば、ｃは候補となる。この候補判定を行うのが７行目のｃｈｅｃｋ手続きとなる。ここで候補となった計算機２ｃをＡに加える（８行目）。９行目は、Ａの候補集合から１つの計算機２を選択する動作（select＿one）を示す。
【0102】
なお図７（ｂ）の疑似アルゴリズムでは、最も遅延が小さい位置にある計算機２や、性能が最も良い計算機２など、様々な基準による選択があり得るが、様々な基準は任意である。また１０行目は選択された計算機２にｐを配備する動作を示す。１１行目から１４行目は、例えばアクセス主体としてのｐを、主体属性条件を満たす仮想ネットワーク５ヘリソースとしてのｐを、リソース属性条件を満たす仮想ネットワーク５ヘ、それぞれ接続している。仮想ネットワーク５を「ｐｒｏｖｉｄｅｒ」へ接続する時の動作と同様に、ネットワークインタフェースの簡略化動作を含んでいる（１４行目）。
【0103】
（実装システムの構成）
ここで、図８に本実施形態による実装システムの一例について説明する。図８は、例えばマルチマスタ型リモートＩ／Ｏ制御ネットワークによる仮想ネットワーク生成機能を用いて、コンテナ化したアプリケーションの配備や自動スケール実行を行うことが可能なプラットフォームソフトウェアであるＫｕｂｅｒｎｅｔｅｓ（以降ｋ８ｓとする）で利用できるようＣＮＩ（Container Network Interface）プラグインとする実装の構成を示したものである。
ここで、図８に本実施形態による実装システムの一例について説明する。図８は、例えばマルチマスタ型リモートＩ／Ｏ制御ネットワークによる仮想ネットワーク生成機能を用いて、コンテナ化したアプリケーションの配備や自動スケール実行を行うことが可能なプラットフォームソフトウェアであるＫｕｂｅｒｎｅｔｅｓ（以降ｋ８ｓとする）で利用できるようＣＮＩ（Container Network Interface）プラグインとする実装の構成を示したものである。
【0104】
本実装では、コンテナ間の通信におけるｋ８ｓのネットワーク要件を満たすため、例えばＣａｌｉｃｏおよびＦｌａｎｎｅｌを使用している。また、本実装では、例えばコントローラー１は定義されたデータポリシー４をもとに仮想ネットワーク５を生成するものとし、ＥＷＧ上に仮想ネットワーク５へ接続するための仮想ゲートウェイ（ｖＧＷ：バーチャルゲートウェイ）を生成する。仮想ネットワーク５は、例えばＶＸＬＡＮによるＬ２ネットワークとして生成する。
【0105】
また本実装では、エッジゲートウェイ３配下の計算機２は、例えばｖＧＷを経由して仮想ネットワーク５に接続する。これにより外部ネットワークから仮想ネットワークへ接続する際は、エッジゲートウェイ３経由でＶＰＮを用いて接続することとなる。ネットワーク接続は、例えば各計算機２のＩＰアドレスは、コントローラー１が決定するようにしてもよい。ＶＰＮの実装にはＯｐｅｎＶＰＮを用いるようにしてもよい。これにより本実装では、ｕｓｅｒからの接続要求を受け付けるとＶＰＮ Ｇａｔｅｗａｙ（OpenVPNサーバー）が起動され、このＶＰＮ Ｇａｔｅｗａｙが許可された仮想ネットワーク５への接続を受け持つことになる。これにより、例えばＰｒｏｃｅｓｓｏｒの配備は、エッジゲートウェイ３上へのｋ８ｓのＰｏｄの配備によって実現される。各Ｐｏｄは接続が許可される仮想ネットワーク５へｖＧＷ経由での接続が可能となる。
【0106】
（エッジコンピューティング環境）
次に、図９を参照して、本実施形態によるエッジコンピューティング環境の一例について説明する。本実装では、ＣＬＢＡＣによるデータアクセス性能の実験評価では、ＮＩＣＴが提供するテストベツドＢ５Ｇ高信頼仮想化環境上の仮想マシンおよびＮＶＤＩＡ社製のシングルボードコンピュータであるＪｅｔｓｏｎ Ｎａｎｏを用いている。これらの計算機２は、エッジコンピューティング環境を想定し、図９に示すような、本実装による実験における各サーバー（認証可能サーバー、エッジゲートウェイ３、サーバー、ＩｏＴデバイス、クライアント）の用途、マシンスペック（CPU、RAM）とし、東京、大阪、石川の３拠点に分散して配置している。
次に、図９を参照して、本実施形態によるエッジコンピューティング環境の一例について説明する。本実装では、ＣＬＢＡＣによるデータアクセス性能の実験評価では、ＮＩＣＴが提供するテストベツドＢ５Ｇ高信頼仮想化環境上の仮想マシンおよびＮＶＤＩＡ社製のシングルボードコンピュータであるＪｅｔｓｏｎ Ｎａｎｏを用いている。これらの計算機２は、エッジコンピューティング環境を想定し、図９に示すような、本実装による実験における各サーバー（認証可能サーバー、エッジゲートウェイ３、サーバー、ＩｏＴデバイス、クライアント）の用途、マシンスペック（CPU、RAM）とし、東京、大阪、石川の３拠点に分散して配置している。
【0107】
図９に示す通り、本環境における評価では、例えば大阪のエッジゲートウェイ３上で動作するｕｓｅｒに相当するクライアントプロセスが、東京のエッジゲートウェイ３配下に存在するＩｏＴデバイス（provider）からデータを取得する際の応答時間として計測した。ＩｏＴデバイスでは、例えばｐｙｔｈｏｎ ｆｌａｓｋによるＨＴＴＰサーバーが、２４バイト（固定値）のデータを提供するものとする。比較対象として、クラウド上の認証サーバーを適用するＡＢＡＣ（Cloud）、およびＣａｐＢＡＣを用いている。Ｃｌｏｕｄの認証サーバーは、ｃａｓｂｉｎを用いて、ＣａｐＢＡＣ はＪＳＯＮ ＷｅｂＴｏｋｅｎ（JWT）を用いて、それぞれ実装するものとする。図９では、ＡＢＡＣ（Cloud）、およびＣａｐＢＡＣは、本実施形態のアクセス制御が用いる仮想ネットワーク５を経由しないため、アクセス要求を受信するたびに、ＡＢＡＣに基づくアクセス制御を実施することとなる。
【0108】
（ネットワーク管理システム１００の実験評価）
次に、図１０を参照して、本実施形態におけるネットワーク管理システム１００の実験評価の一例について説明する。図１０（ａ）は、Ｃｌｏｕｄにおける手法における実験評価の一例を示す結果であり、図１０（ｂ）は、ＣａｐＢＡＣにおける手法における実験評価の一例を示す結果であり、図１０（ｃ）は、本実施形態におけるネットワーク管理システム１００のＣＬＢＡＣにおける手法における実験評価の一例を示す結果である。
次に、図１０を参照して、本実施形態におけるネットワーク管理システム１００の実験評価の一例について説明する。図１０（ａ）は、Ｃｌｏｕｄにおける手法における実験評価の一例を示す結果であり、図１０（ｂ）は、ＣａｐＢＡＣにおける手法における実験評価の一例を示す結果であり、図１０（ｃ）は、本実施形態におけるネットワーク管理システム１００のＣＬＢＡＣにおける手法における実験評価の一例を示す結果である。
【0109】
図１０に示す本実施形態におけるネットワーク管理システム１００の実験評価の一例は、（ａ）Ｃｌｏｕｄ、（ｂ）ＣａｐＢＡＣ、（ｃ）ＣＬＢＡＣにおける各手法において、ユーザ数を１～２０人まで変化させた時の応答時問の計測結果を示している。各（ａ）～（ｃ）の応答時間の計測は、例えば１００回の試行で計測した応答時間の平均値を、それぞれ５ｔｈパーセンタイル、９５ｔｈパーセンタイルとして示す。
【0110】
まず（ａ）Ｃｌｏｕｄにおける手法では、例えばアクセス制御の際に、東京から石川にある認証サーバーに問い合わせを行うこととなる。そのため、応答時間は（ｂ）ＣａｐＢＡＣの手法、および（ｃ）ＣＬＢＡＣの手法の応答時間と比べて大きい時間を示している。ユーザ数２～２０人のそれぞれの応答時間の平均値は、８３ｍｓから１６９ｍｓの範囲内であり、ユーザ数２０人の存在時に２００ｍｓを超える応答時間となる結果を示す。
【0111】
次に（ｂ）ＣａｐＢＡＣの手法では、ユーザ数の増加に伴い応答時問が大きくなっていることを示す。これは、ｐｒｏｖｉｄｅｒのＩｏＴデバイスに相当するＪｅｔｓｏｎ Ｎａｎｏの処理性能は高性能のクラウドサーバー等と比較すると高くなく、トークン検証処理の増加にともなうオーバーヘッドが生じたことによるものである。ユーザ数２～２０人のそれぞれの応答時間の平均値は２７ｍｓから８１ｍｓの範囲内であり、ユーザ数２０人の存在時に１４０ｍｓを超える応答時間となる結果を示す。
【0112】
そして（ｃ）ＣＬＢＡＣの手法では、認証サーバーへの問い合わせやトークン検証処理のオーバーヘッドが存在しないため、ＶＸＬＡＮを介した仮想ネットワーク５を用いるオーバーヘッドのみ生じることになる。このため、ユーザ数２～２０人のそれぞれの応答時問の平均値は２４ｍｓから４８ｍｓの範囲内であり、ユーザ数２０人の存在時に７０ｍｓ以下の応答時間となる結果を示す。
【0113】
さらに（ｃ）ＣＬＢＡＣの手法では、応答時間はユーザ数１４人までは、平均応答遅延時問が３０ｍｓを超えることはなく、（ａ）Ｃｌｏｕｄにおける手法、および（ｂ）ＣａｐＢＡＣの手法と比べて、小さい応答時問の維持が可能となっていることを示す。
【0114】
本発明の実施形態を説明したが、この実施形態は例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【0115】
１ ：コントローラー
２ ：計算機
３ ：エッジゲートウェイ
４ ：データポリシー
５ ：仮想ネットワーク
６ ：構成要素
１０ ：筐体
１１ ：保存部
１２ ：仮想ネットワーク構成部
１３ ：制御部
１４ ：プロセッサー配備部
１００ ：ネットワーク管理システム
１０１ ：ＣＰＵ
１０２ ：ＲＯＭ
１０３ ：ＲＡＭ
１０４ ：保存部
１０５ ：Ｉ／Ｆ
１１０ ：内部バス
Ｓ１１０ ：保存手段
Ｓ１２０ ：仮想ネットワーク構成手段
Ｓ１３０ ：制御手段
Ｓ１４０ ：プロセッサー配備手段
２ ：計算機
３ ：エッジゲートウェイ
４ ：データポリシー
５ ：仮想ネットワーク
６ ：構成要素
１０ ：筐体
１１ ：保存部
１２ ：仮想ネットワーク構成部
１３ ：制御部
１４ ：プロセッサー配備部
１００ ：ネットワーク管理システム
１０１ ：ＣＰＵ
１０２ ：ＲＯＭ
１０３ ：ＲＡＭ
１０４ ：保存部
１０５ ：Ｉ／Ｆ
１１０ ：内部バス
Ｓ１１０ ：保存手段
Ｓ１２０ ：仮想ネットワーク構成手段
Ｓ１３０ ：制御手段
Ｓ１４０ ：プロセッサー配備手段
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
