特許 7436090 マルチクライアント管理アクセスを提供する光伝送システムの保護された区画化のための技術、及びこれを実施するネットワーク管理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-02-13

(45)【発行日】2024-02-21

(54)【発明の名称】マルチクライアント管理アクセスを提供する光伝送システムの保護された区画化のための技術、及びこれを実施するネットワーク管理システム

(51)【国際特許分類】

   G06F 21/31 20130101AFI20240214BHJP

   G06F 21/33 20130101ALI20240214BHJP

   G06F 21/60 20130101ALI20240214BHJP

   H04L 41/12 20220101ALI20240214BHJP

   H04L 41/22 20220101ALI20240214BHJP

【ＦＩ】

G06F21/31

G06F21/33

G06F21/60 360

H04L41/12

H04L41/22

【請求項の数】 15

【外国語出願】

(21)【出願番号】P 2019165840

(22)【出願日】2019-09-12

(65)【公開番号】P2020042821

(43)【公開日】2020-03-19

【審査請求日】2022-05-27

(31)【優先権主張番号】16/129,787

(32)【優先日】2018-09-12

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】502101180

【氏名又は名称】サブコム，エルエルシー

(74)【代理人】

【識別番号】110000877

【氏名又は名称】弁理士法人ＲＹＵＫＡ国際特許事務所

(74)【代理人】

【識別番号】100094112

【弁理士】

【氏名又は名称】岡部 讓

(74)【代理人】

【識別番号】100106183

【弁理士】

【氏名又は名称】吉澤 弘司

(74)【代理人】

【識別番号】100114915

【弁理士】

【氏名又は名称】三村 治彦

(74)【代理人】

【識別番号】100125139

【弁理士】

【氏名又は名称】岡部 洋

(72)【発明者】

【氏名】リチャード クラム

(72)【発明者】

【氏名】ジョナサン エム．リス

(72)【発明者】

【氏名】スシル パラウ

(72)【発明者】

【氏名】アントニオ シオリ

(72)【発明者】

【氏名】エリック ボドナー

(72)【発明者】

【氏名】シュレヤ ガウタム

【審査官】吉田 歩

(56)【参考文献】

【文献】米国特許出願公開第２０１７／００４１６９０（ＵＳ，Ａ１）

【文献】米国特許第０７１０３１４９（ＵＳ，Ｂ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／３１

Ｇ０６Ｆ ２１／３３

Ｇ０６Ｆ ２１／６０

Ｈ０４Ｌ ４１／１２

Ｈ０４Ｌ ４１／２２

(57)【特許請求の範囲】

【請求項1】

少なくとも２つのケーブル陸揚局間に配置された光伝送路と、該光伝送路に沿って配置された複数のネットワーク要素とを有する光通信システムを管理するシステムであって、該システムは、
前記光通信システムの異なるネットワーク要素を各々表す複数のネットワーク要素定義を定義するネットワーク要素テーブルと、
各ネットワーク要素に割り当てられたファイバー対及び／又はチャネル波長に少なくとも部分的に基づいて、前記複数のネットワーク要素定義の各々を、少なくとも１つのドメイン識別子と関連付ける区画化マッピングテーブルと、
複数のユーザーアクセスクレデンシャルと、関連付けられたユーザーアクセス属性とを記憶する複数のオーセンティケーターサーバーと、
ネットワーク管理システム（ＮＭＳ）に関連付けられるＮＭＳコントローラーであって、
ユーザーからネットワーク要素にアクセスするユーザー要求を受信することであって、該ユーザー要求は、第１のドメイン識別子と関連付けられているとともに、実行すべき動作の識別子を含むことと、
前記第１のドメイン識別子が前記ユーザー要求の前記ネットワーク要素と関連付けられていることを示す前記区画化マッピングテーブルに基づいて、前記ユーザー要求が前記ネットワーク要素にアクセスすることを認可されることを判断することと、
前記ユーザー要求が認可されることを判断したことに応答して、前記動作を実行することと、
を行う、ＮＭＳコントローラーと、
を備え、
前記ＮＭＳは、前記複数のオーセンティケーターサーバーと通信して、ユーザー要求内で受信されたユーザークレデンシャルを検証する認証インターフェースを含み、
前記複数のオーセンティケーターサーバーの各々は、異なるドメイン識別子と関連付けられる、システム。

【請求項2】

前記複数のオーセンティケーターサーバーの各々は、認証、認可、及びアカウンティング（ＡＡＡ）プロトコルを実施して、前記ＮＭＳコントローラーから認証要求を受信する、請求項１に記載のシステム。

【請求項3】

前記ユーザーアクセス属性は、ユーザーがアクセスを有する第１のタイプの機器と、該第１のタイプの機器にアクセスする１つ以上の特権とを定義する、請求項１または２に記載のシステム。

【請求項4】

前記区画化マッピングテーブルは、少なくとも１つの区画化マッピング構成ファイルを含み、該少なくとも１つの区画化マッピング構成ファイルは、各ドメイン識別子を、１つ以上のケーブル陸揚局、及び各ケーブル陸揚局と関連付けられたネットワーク要素についての機器アクセス権と関連付ける複数の規則を規定する、請求項１から３のいずれか一項に記載のシステム。

【請求項5】

前記ＮＭＳコントローラーは、前記ユーザー要求が認可されたことを判断したことに応答してメモリ内にアクセストークンを生成し、該アクセストークンは、前記ＮＭＳコントローラーが、前記区画化マッピングテーブル及び／又は前記ネットワーク要素テーブルにアクセスすることなく、後続のユーザー要求を検証することを可能にする、請求項１から４のいずれか一項に記載のシステム。

【請求項6】

前記区画化マッピングテーブル及び前記ネットワーク要素テーブルは、異なるケーブル陸揚局に配置された複数のＮＭＳサーバーコンピューターにわたって分散される、請求項１から５のいずれか一項に記載のシステム。

【請求項7】

前記ユーザー要求内の前記動作の識別子は、前記ネットワーク要素からログデータを索出する及び／又は前記ネットワーク要素の設定を調整する要求の少なくとも一方を含む、請求項１から６のいずれか一項に記載のシステム。

【請求項8】

前記ＮＭＳコントローラーは、前記区画化マッピングテーブル及び前記ユーザー要求と関連付けられたドメイン識別子に基づいて、前記ユーザーに割り当て又は制約されていない機器上の動作を実行することを試みるユーザー要求に応答して、前記ユーザーに否定応答（ＮＡＫ）を送信するように構成される、請求項１から７のいずれか一項に記載のシステム。

【請求項9】

前記複数のネットワーク要素は、海底ネットワーク要素であり、該海底ネットワーク要素は、光リピーター、分岐ユニット、及び／又は光イコライザーのうちの少なくとも１つを含む、請求項１から８のいずれか一項に記載のシステム。

【請求項10】

少なくとも２つのケーブル陸揚局間に配置された光伝送路と、該光伝送路に沿って配置された複数のネットワーク要素とを有する光通信システムを管理するコンピューター実施方法であって、該方法は、
コントローラーによって、ユーザーから前記複数のネットワーク要素のうちの一ネットワーク要素にアクセスするユーザー要求を受信することであって、該ユーザー要求は、第１のドメイン識別子と関連付けられているとともに、実行すべき動作の識別子を含むことと、
前記コントローラーによって、前記第１のドメイン識別子が前記ユーザー要求の前記ネットワーク要素と関連付けられていることを示す区画化マッピングテーブルに基づいて、前記ユーザー要求が前記ネットワーク要素にアクセスすることを認可されることを判断するとともに、前記ユーザー要求が認可されることを判断したことに応答して、前記動作を実行することと、
を含み、
複数のオーセンティケーターサーバーを介して、前記ユーザー要求内で受信されたユーザークレデンシャルを検証し、前記複数のオーセンティケーターサーバーの各々は、異なるドメイン識別子と関連付けられ、
前記複数のオーセンティケーターサーバーは、複数のユーザーアクセスクレデンシャルと、関連付けられたユーザーアクセス属性とを記憶する、方法。

【請求項11】

トポロジー情報を有するメッセージをユーザーデバイスに送信して、前記ユーザーデバイスのグラフィカルユーザーインターフェース（ＧＵＩ）に、前記トポロジー情報を視覚的に表示させることを更に含む、請求項１０に記載のコンピューター実施方法。

【請求項12】

前記メッセージは、共通オブジェクトリクエストブローカーアーキテクチャー（ＣＯＲＢＡ）又はＪａｖａＳｃｒｉｐｔオブジェクトノーテーション（ＪＳＯＮ）メッセージである、請求項１１に記載のコンピューター実施方法。

【請求項13】

前記ユーザー要求が認可されないことを判断したことに応答して、前記ユーザーに否定応答を送信することを更に含む、請求項１０に記載のコンピューター実施方法。

【請求項14】

前記コンピューター実施方法は、前記区画化マッピングテーブルを生成することを更に含み、前記区画化マッピングテーブルは、各ドメインを、１つ以上の認可されたケーブル陸揚局、及び各ケーブル陸揚局内の認可された機器と関連付ける、請求項１０に記載のコンピューター実施方法。

【請求項15】

少なくとも第１のケーブル陸揚局と第２のケーブル陸揚局との間に配置された光伝送路と、
前記光伝送路に結合された複数の海底光コンポーネントと、
複数のユーザーアクセスクレデンシャルと、関連付けられたユーザーアクセス属性とを記憶する複数のオーセンティケーターサーバーと、
ネットワーク管理システム（ＮＭＳ）コントローラーであって、
海底光コンポーネントにアクセスするユーザー要求を受信することであって、該ユーザー要求は、第１のドメイン識別子と関連付けられているとともに、実行すべき動作の識別子を含むことと、
前記第１のドメイン識別子が前記ユーザー要求の前記海底光コンポーネントと関連付けられていることを示す区画化マッピングテーブルに基づいて、前記ユーザー要求が前記海底光コンポーネントにアクセスすることを認可されることを判断することと、
前記ユーザー要求が認可されることを判断したことに応答して、前記動作を実行することと、
を行う、ＮＭＳコントローラーと、
を備え、
前記ＮＭＳコントローラーは、前記複数のオーセンティケーターサーバーと通信して、前記ユーザー要求内で受信されたユーザークレデンシャルを検証する認証インターフェースを含み、
前記複数のオーセンティケーターサーバーの各々は、異なるドメイン識別子と関連付けられる、光システム。

【発明の詳細な説明】

【技術分野】

【0001】

本願は、包括的には、通信システムに関し、より詳細には、所与のクライアントの認可された機器、及びユーザーの対応するドメインに基づいた特権を反映する光伝送システムのクライアントごとの「閲覧」を可能にする、複数のクライアント／顧客のための単一のアクセスポイント（point of access）を提供する光伝送システムを論理的に区画化する技術に関する。

【背景技術】

【0002】

ネットワーク管理は、ネットワーク故障を回避するとともに、ネットワーク性能を確保するために、種々のタイプの光ネットワーク内で異なるレベルにおいて行うことができる。通信ネットワークにおいて、要素管理システム（ＥＭＳ：element management system）を用いて、一ネットワーク内のネットワーク要素を監督及び管理することができる。通信ネットワークは、いくつかのＥＭＳと通信することによってネットワーク全体を管理するネットワーク管理システム（ＮＭＳ：network management system）も備えることができる。

【0003】

波長分割多重化（ＷＤＭ）システム等の光通信システムでは、例えば、ケーブルセグメントによって終端局又はケーブル局を相互接続して、ネットワークを形成することができる。光通信システム内のネットワーク要素は、ケーブル局に配置される機器（例えば、終端機器及び給電機器、コンピューター、電話、プリンター等）、及び、このケーブル局と関連付けられた機器（例えば、隣接するリピーター、分岐ユニット及びイコライザー）を含むことができる。そのようなシステムにおいて、ＥＭＳは、ケーブル局に（又は別個の位置に）配置するとともに、このケーブル局と関連付けられたネットワーク要素を管理するのに用いることができる。ＥＭＳは、要素管理機能を実行する１つ以上のサーバーと、ユーザーインターフェース（例えば、ＥＭＳによって管理されるネットワーク要素と関連付けられた情報を表示する）を提供する１つ以上のワークステーションとを備えることができる。ＮＭＳは、光通信システム全体又はネットワークを管理するために、複数のケーブル局のうちの１つに、又は別個の位置に配置することができる。

【0004】

海底の状況における光通信システムは、多くの場合、複数の団体の共同事業体によって所有及び運用されており、これらの団体の一部又は全ては、通信システム全体のこれらの団体の部分を管理するために完全なデータ及び運用上の独立性を望む。このアクセスをサポートする従前の手法は、場合によって全ての団体がアクセスすることができる給電機器（ＰＦＥ）等のシステムの共通部分のための別個のサーバー機器に加えて、団体ごとに専用の要素管理システム（ＥＭＳ）及びネットワーク管理システム（ＮＭＳ）のハードウェア及びソフトウェアを提供することを含む。専用のＥＭＳ及びＮＭＳのハードウェア及びソフトウェアは、各団体が光通信システムのこれらの団体の固有部分及び共同で所有された機器のみを管理することができることと、細粒度レベルにおいて機器についてのユーザーログイン及び特権レベルを管理する能力とを確実にする。しかしながら、専用のＥＭＳシステム及びＮＭＳシステムを提供することにより、多数の技術的課題が生み出され、重複した複数のシステムを維持するために、ハードウェア、ソフトウェアライセンシング、及び技術者に関連したコストが著しく高まるおそれがある。

【0005】

以下の図面と関連して読まれるべき以下の詳細な説明に対して参照が行われるべきであり、図面において、同様の参照符号は、同様の部分を表す。

【図面の簡単な説明】

【0006】

【図1】本開示に沿った光システムの１つの例示的な実施形態の簡略化されたブロック図である。

【図2】図１の光通信システムにおける使用に適したネットワーク管理システム（ＮＭＳ）の一例示の実施形態の簡略化されたブロック図である。

【図3】本開示の一実施形態に沿ったシステム区画化構成ファイルの一例である。

【図4】本開示に沿った一例のＮＭＳアーキテクチャの簡略化されたブロック図である。

【図5】本開示の一実施形態による、保護された区画化を提供するための光通信システムをプロビジョニングする一例の方法を示す図である。

【図6】本開示の一実施形態による、保護された区画化を実施する光通信システム内のユーザー要求を処理する一例の方法を示す図である。

【発明を実施するための形態】

【0007】

上述したように、専用ＮＭＳサーバーシステムを提供してマルチパーティＮＭＳデータアクセス及び制御を許可することは、ハードウェアの比較的非効率的な使用である。なぜならば、各顧客は、本質的に、ログインクレデンシャル、機器特権を管理するために、及び、システム動作を実行するとともに、ネットワーク要素から診断データを収集する要求をハンドリングするために、重複したハードウェアを与えられるためである。理論的には単一のセットのネットワーク管理ハードウェア及びソフトウェアがこれらの非効率性を克服するものの、システム等の実施は、光通信システムの性質に起因して技術上の複雑性を生み出し、したがって、いくつかの機器は、特定の顧客に固有のものとされる場合がある一方で、他の機器は、共同で所有される場合がある。

【0008】

これらのマルチパーティの課題は、簡略化された例によってより良く理解することができる。４つのファイバー対のうちの異なるファイバー対及び関連付けられた回線終端機器（ＬＴＥ：端局装置）を各々所有する４つの異なる団体の共同事業体によって所有することができる４つのファイバー対ケーブルシステムを検討する。いくつかのＬＴＥは、光ファイバーケーブルに沿って電力を提供する給電機器（ＰＦＥ）等の、全ての団体によって所有される共通機器とすることができる。さらに、回線モニタリング機器（ＬＭＥ）等のいくつかの共通機器は、共同で所有することができるが、ファイバー対ごとにデータを記憶することができる。この例において、各団体は、動作の目的でＬＭＥ機器へのアクセスを望む場合があるが、これらの団体のファイバー対に固有のデータがプライベートであるとともにシステム内の他の団体がアクセス不可能であることを望む場合もある。その上、各団体は、他の団体がユーザーログインデータテーブル及びセキュリティ特権を「見る」能力を有することなく、これらの団体の特有のユーザーログインに対する細粒度制御を有することを望む場合がある。

【0009】

それゆえ、本開示は、包括的に、単一のＮＭＳシステムがＮ個の顧客ドメイン（又は単にドメイン）及び関連付けられたユーザーについてのデータアクセス及び制御を管理することを可能にする手法に関する。詳細には、本開示に沿ったＮＭＳは、ドメインによって光通信システムを論理的に区画化する方式／構成を含むことができる。ドメインごとに、区画化は、例えば、ファイバー対指定、波長指定、具体的に識別されたハードウェア要素、コンポーネントカテゴリ（例えば、リピーター、ＯＡＤＭ、ＰＦＥ等）又はこれらの任意の組み合わせによる固有の機器へのアクセスを含むユーザーごとのアクセス制約及び特権を更に規定することができる。ＮＭＳシステムは、認証に対するプロキシサーバー手法、例えば、リモート認証ダイアルインユーザーサービス（ＲＡＤＩＵＳ：Remote Authentication Dial In User Service）又は、各団体／顧客が、ユーザーログイン、アクセス特権、及び機器固有制約を確立することができる別個の認証データベースを維持することを可能にする他の適した手法を利用することができる。したがって、ＮＭＳは、プロキシサーバーを介してユーザーを検証し、各ユーザーが、当該ユーザーの特定のドメインと関連付けられた光通信システムの部分のみを含む、このシステムのセキュアな「閲覧」を有するように、区画化情報を介してドメイン制約を効力化することができる。ユーザーは、グラフィカルユーザーインターフェース（ＧＵＩ）を介して直接、又は、例えば、リモートオペレーションシステムサポート（ＯＳＳ）プログラム管理のために、レプリゼンテーショナルステートトランスファー（ＲｅＳＴ：Representational State Transfer）ベースアプリケーションプログラミングインターフェース（ＡＰＩ）を介して間接的に、ＮＭＳにアクセスすることができる。

【0010】

したがって、ユーザーは、所与のドメインと関連付けられた特定のファイバーケーブル、ファイバー対（複数の場合もある）、及び／又はチャネル波長に基づいて機器への細粒度アクセスを提供することができるＮＭＳによって提供されるセキュアでトランスペアレントな区画化方式に基づいて、共同で所有される要素を含む、システムのユーザーのそれぞれの部分へのアクセスを有することができる。その上、本開示に沿ったＮＭＳは、各ドメインが、別個の第三者サーバー内にドメイン自身のユーザークレデンシャルデータベースをリモートにホストすることを可能にし、これにより、データセキュリティ及び管理の容易さの目的でシステム要素とリモート第三者サーバーとの間の絶縁性を高めることができる。それゆえ、サーバーコンポーネントの全体数は、システムにアクセスすることを望む団体ごとに専用のＮＭＳ及び／又はＥＭＳサーバーシステムを提供する手法に対して削減することができ、いくつかの事例において、本開示に沿ったサーバープロセスは、パブリック又はプライベートクラウドサービスを介してホストすることができる。ハードウェア及びサーバーコンポーネント／機能のこの削減の多数の利益は、本開示の観点において明らかとなり、例えば、インストール及びメンテナンスの複雑度の低下、他の機器のためのラック／サーバールームスペースの増加、訓練すべき技術者の削減、並びに、ＮＭＳサーバー機能へのＡＰＩ及びＧＵＩアクセスの提供及び管理における柔軟性の増加を含む。

【0011】

ここで図面を参照すると、図１は、本開示に沿った光通信システム１００を示している。光通信システム１００は、限定することなく、説明の簡潔さのために非常に簡略化された形態において示されている。光通信システム１００は、複数の要素のうちの少なくとも一部が海面下に配置される海底光通信システムとして実施することができる。さらに、光通信システム１００は、複数のチャネル波長を介して送信することが可能な波長分割多重化（ＷＤＭ）システムとして実施することができる。図示するように、光通信システム１００は、複数のケーブル陸揚局（cable landing stations）、すなわちケーブル陸揚局１０２－１、１０２－２及び１０２－３の間に延在する光伝送路１０３を備える。

【0012】

図示するように、光通信１００は、比較的大きな地理的距離（例えば、数十キロメートル、数百キロメートル、又は数千キロメートル）に及ぶ、共同で１１０として示される光ファイバーケーブルを備える。それゆえ、海底光ネットワークは、例えば、海底に沿って配置されるか、又は、海に基礎をなすプラットフォーム上に配置される、複数の「ウェット」光コンポーネントを備えることができる。しかしながら、ケーブルセグメントは、この点において必ずしも限定されず、光通信システム１００は、少なくとも部分的に、或る長さの陸に基礎をなす光ファイバーセグメントを含むことができる。本明細書において開示される例及びシナリオは、ケーブル陸揚局すなわちＣＬＳを参照しているものの、本開示は、この点において必ずしも限定されない。例えば、本明細書において開示される技術は、例えば単にいくつかの名前を挙げるだけでも、ネットワークオペレーションセンター（ＮＯＣ：Network Operation Centers）及びリモートオペレーションポジション（ＲＯＰ：Remote Operation Positions）を含む、光通信システム内に配置される任意の局に等しく適用可能である。

【0013】

説明を続けると、光伝送路１０３は、１つ以上の光ファイバー対を含む少なくとも１つの光ケーブル１１０を含む。光伝送路１０３は、リピーター１１８－１、１１８－２及び１つ以上の分岐ユニット、例えばＢＵ１２５を含む複数の光コンポーネントを備える。ＢＵは、再プログラム可能光アド／ドロップマルチプレクサー（ＲＯＡＤＭ：reprogrammable optical add/drop multiplexers）、又は、分岐路、例えば分岐路１１４に対してチャネル波長を送受信するために好適な他の光フィルター／コンポーネント（例えば、リモートのモニタリング及び制御のための回路部を含むことができる）を含むことができる。各ケーブル陸揚局は、種々の光コンポーネントへのアクセスを提供するための、及び、システム内のコマンド／応答要素（ＣＲＥ）へのインターフェースを提供するための要素管理システム（ＥＭＳ）を含むことができる。

【0014】

ケーブル陸揚局１０２－１～１０２－３の各々は、海岸に沿って又はプラットフォーム上に配置することができる。ケーブル陸揚局１０２－１～１０２－３の各々は、チャネルラインカード（図示せず）等の回線終端機器（ＬＴＥ）、給電機器（ＰＦＥ）１１２－１等を含むことができる。ＰＦＥ１１２－１は、光伝送路１０３に沿って定電圧又は定電流を提供するように構成することができる。

【0015】

更に図示するように、第１のケーブル陸揚局１０２－１は、ＮＭＳ１０４－１、ＥＭＳ１０６－１及びＬＭＥ１０８－１を備える。ＮＭＳ１０４－１は、図２を参照して更に詳細に論述されるＮＭＳ２０４として実装することができる。各ＮＭＳは、Ｎ個のＥＭＳシステムと通信するように構成することができる。ＥＭＳシステムの各々は、所与のケーブル陸揚局にローカルの又は別の方法で隣接したリピーター及び他の要素等の光コンポーネントと通信するように構成することができる。ＬＭＥ機器を用いて高損失ループバック（ＨＬＬＢ：high loss loopback）又は他の測定を実行することで、公称性能を確実にするとともに、光伝送路１０３に沿った故障、例えばケーブル破断を検出することができる。

【0016】

任意選択で、冗長性及び耐故障性のために、かつ、ネットワーク要素のローカル管理のために、２つ以上のケーブル陸揚局が類似のコンポーネントを含むことができる。例えば、第２のケーブル陸揚局１０２－２は、ＮＭＳ１０４－２、ＥＭＳ１０６－２及びＬＭＥ１０８－２を備えることができる。更に以下で論述するように、ＮＭＳコンポーネント１０４－１、１０４－２の各々は、共同で単一のＮＭＳシステム２０４を形成することができ、それにより、ユーザーは、任意のＮＭＳコンポーネントに、例えばグラフィカルユーザーインターフェース（ＧＵＩ）を介して直接、又は、ＡＰＩを介してログインして、要求に対する処理を行わせることができる。この例において、ＮＭＳコンポーネントのうちの１つは、マスターとして動作することができ、それにより、スレーブＮＭＳシステムが、マスターの代理としての役割を担うか、又は、別の方法でハンドリング要求をマスターに転送する。マスターＮＭＳがオフラインに移行する場合には、光通信システム１００は、スレーブＮＭＳをマスターの役割に自動的に切り替えるように構成することができる。

【0017】

図２は、本開示に沿った、一例のネットワーク管理システム（ＮＭＳ）アーキテクチャ２００を示している。ＮＭＳアーキテクチャ２００は、限定することなく、簡潔さのために非常に簡略化された形態において示されている。ＮＭＳアーキテクチャ２００は、例えば、複数のＮＭＳサーバー、ＥＭＳサーバー、ＬＭＥ等を含むそれぞれ異なる構成において実施することで、ＮＭＳアーキテクチャ２００を共同で提供することができる。このようにして、コンポーネントを複数のケーブル陸揚局、例えば図１のＣＬＳ１０２－１．．ＣＬＳ１０２－３の間に分散させることで、冗長性、耐故障性を提供するとともに、ＮＭＳアーキテクチャ２００のユーザーのための複数のアクセスポイントを提供することができる。したがって、ＮＭＳ２０４は、共同で、単一のＮＭＳサーバー、例えばＮＭＳ１０４－１として実装することもできるし、図１に示すような複数のＮＭＳシステム、例えばＮＭＳ１０４－１、１０４－２を含むこともできる。

【0018】

更に図示するように、ＮＭＳ２０４は、認証インターフェース２０６、システムリソースデータベース２１２、セキュリティマネージャー２２０、及びユーザーインターフェース２２４を含む複数の関連付けられたコンポーネントを備える。ＮＭＳ２０４は、ハードウェア（例えば回路部）、ソフトウェア、パブリック／プライベートクラウド、又はこれらの組み合わせにおいて実施することができる。一実施形態では、ＮＭＳ２０４は、コントローラー２０５（ＮＭＳコントローラーとも称される場合がある）によって実行することができる、メモリ２０７に記憶された複数の非一時的命令として少なくとも部分的に実施されることで、ＮＭＳプロセス、例えばそれぞれ図５及び図６のプロセス５００及び６００を実行することができる。本明細書において総称される場合、コントローラーは、プロセッサ（例えばｘ８６プロセス又は仮想コンピューター）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、又は他の任意の適した処理デバイス／回路部として実装することができる。

【0019】

ユーザーインターフェース２２４は、ユーザー、例えばユーザー２２９から要求を受信して処理するグラフィカルユーザーインターフェース（ＧＵＩ）コンポーネント及び／又はＡＰＩコンポーネントを含むことができる。一実施形態では、ユーザーインターフェースのＡＰＩは、ＲｅＳＴアーキテクチャを実装することができる。セキュリティマネージャー２２０は、ユーザーから受信された要求が、そのユーザーの関連付けられた特権及びアクセス権に基づいて許容可能であることを確実にするように構成することができる。ユーザーからの要求を処理するときにユーザーの権利の認証及び検証を実行するために、セキュリティマネージャー２２０は、認証インターフェース２０６を利用することができる。プロキシ認証インターフェースとも称される場合がある認証インターフェース２０６は、ワイドエリアネットワーク２０８、例えばインターネットを用いてリモートオーセンティケーター（remote authenticator）（複数の場合もある）２１４と通信することができる。

【0020】

リモートオーセンティケーター２１４の各々は、種々の顧客ドメインに対応することができるとともに、認証インターフェース２０６からの認証要求を処理するように構成することができる。以下で更に詳細に論述するように、各リモートオーセンティケーターにおける認証データが、例えば所定の方式を用いて、標準化された方法において記憶されることで、各エンティティが、ＮＭＳ２０４の要件と適合する方法においてこれらのエンティティのそれぞれのデータベースをプロビジョニングすることを可能にすることができる。それゆえ、セキュリティマネージャー２２０は、ユーザー２２９とユーザーのそれぞれのエンティティ／ドメインとの間の既知の関連付け（例えば、メモリ２０７に記憶される）に基づいて、特定のリモートオーセンティケーター２１４をトランスペアレントに選択することができる。代替的に、ユーザー２２９は、適切なリモートオーセンティケーターを選択することを可能にするＮＭＳ２０４と通信するときのエンティティ／顧客識別子を含むことができる。その場合、この事例において、セキュリティマネージャー２２０は、識別されたエンティティに基づいてリモートオーセンティケーター２１４を選択し、検証及び認証の目的で、識別されたエンティティのリモートオーセンティケーターと通信することができる。図２の実施形態がリモートオーセンティケーターとの通信を含むものの、本開示がこの点において限定されないことに留意されたい。例えば、ＮＭＳ２０４は、認証の目的でローカルデータベースを利用することもできるとともに、ローカルデータベースを用いてユーザーを認証することもできるし、所望の構成に依存して一部のユーザーをローカルに認証する一方で、リモートオーセンティケーターを用いて他のユーザーを認可するという双方を行うこともできる。

【0021】

認証データを提供することに加えて、各リモートオーセンティケーターは、ユーザーごとにアクセス属性を更に規定することができる。表１を参照して以下に更に詳細に論述されるように、アクセス属性は、例えば、ユーザーがアクセスすることができる機器の特定のカテゴリ／タイプ並びにその機器タイプについてのこれらのユーザーの権利及びアクセス特権を規定することによって、ユーザーが光通信システム１内のいずれの機器へのアクセスを有するのかを規定することができる。その場合、セキュリティマネージャー２２０は、ユーザー２２９のアクセス属性及び区画化マッピングテーブルに基づいてユーザー２２９から機器へのこれらの要求を許可又は拒否する。これについては、以下で更に詳細に論述される。

【0022】

ＮＭＳ２０４は、メモリ２０７に記憶されるシステムリソースデータベース２１２を備えることができる。システムリソースデータベース２１２は、例えば複数のＮＭＳ及びＥＭＳを含む複数のコンポーネント間に分散させることができ、図２に示す実施形態は、これに限定することを意図するものではない。例えば、各ケーブル陸揚局は、例として、ラインカード、ＰＦＥ、リピーター、ＬＭＥ、イコライザー、コンピューターサーバー、及び分岐ユニットを含む各関連付けられた光コンポーネントを表すデータを記憶するＥＭＳを備えることができる。その場合、ＮＭＳ２０４は、ケーブル陸揚局の各々からのＥＭＳデータを利用して、共同で、かつ論理的にネットワーク要素テーブル２３０を形成することができるが、データは、それぞれ異なるケーブル陸揚局間に物理的に分散させることができる。システムリソースデータベース２１２は、構造化照会言語（ＳＱＬ：structured query language）データベース、フラットファイル（例えば、ユニークユニバーサルマークアップ言語（ＸＭＬ））、インメモリデータ構造、又はこれらの任意の組み合わせを含むことができる。

【0023】

説明を続けると、区画化マッピングテーブル２３２は、ネットワーク要素テーブル２３０からのネットワーク要素を、顧客ドメイン／エンティティと関連付けるのに利用することができる。例えば、区画化マッピングテーブル２３２は、ドメイン（顧客ＩＤと称される場合がある）をケーブル陸揚局と関連付ける階層化構造を含むことができる。その場合、区画化マッピングは、機器レベル、光ファイバーケーブル、ファイバー対（複数の場合もある）、及び／又は１つ以上の目標波長までの下位の関連付けを更に規定することができる。図３を参照して以下で更に説明されるように、区画化マッピングテーブル２３２は、ＸＭＬ文書として表現される１つ以上の定義を含むことができるが、他のタイプのファイルフォーマットも本開示の範囲内にある。その場合、ＮＭＳ２０４は、例えば、機器を、その機器のそれぞれのケーブル局、光ファイバーケーブル（複数の場合もある）、ファイバー対（複数の場合もある）、及び／又はチャネル波長（複数の場合もある）と関連付けるネットワーク要素テーブル内の対応するエントリに基づいてシステム１００内の機器／要素へのユーザーアクセスを可能にするエントリを利用することができる。

【0024】

各顧客ドメインをそれぞれ異なるケーブル陸揚局と関連付けることもできるし、２つ以上の顧客ドメインを１つ以上の共通ケーブル陸揚局と関連付けることもできるということに留意されたい。本明細書において開示される保護された区画化方式は、所望の構成に依存して、ドメインがチャネル波長レベルまでの下位のいずれの特定の要素へのアクセスを有するかに対する細粒度の制御を可能にすることによってそのような混合されたドメインを有利に可能にする。

【0025】

それゆえ、動作時、ＮＭＳ２０４は、ユーザー２２９から要求を受信し、ユーザー２２９を、リモートオーセンティケーターを介して認証し、このユーザーと関連付けられたアクセス属性を受信することができる。その場合、ＮＭＳ２０４は、ユーザー２２９からの要求を処理し、アクセス属性及びシステムリソースデータベース２１２に基づいて要求を検証することができる。特に、ユーザー２２９と関連付けられた顧客ＩＤ（又はドメインＩＤ）を用いて、上述したように、区画化マッピングテーブル２３２内の１つ以上のエントリに基づいていずれの機器が認可されるかを求めることができる。

【0026】

例示として、ユーザー２２９がユーザーインターフェース２２４を介して第１のファイバー対（Ｐ１）上の第１のリピーターＲ１についてのログデータを要求するシナリオを検討する。この例において、ＮＭＳ２０４は、セキュリティマネージャー２２０によって、ユーザー２２９、ネットワーク要素テーブル２３０、及び区画化マッピングテーブル２３２についてのアクセス属性を検査することによって、要求が処理されるべきか否かを判断することができる。例えば、ユーザーの顧客ドメインを第１のファイバー対Ｐ１と関連付ける区画化マッピングテーブル２３２内のエントリ、及び、第１のリピーター（Ｒ１）を第１のファイバー対Ｐ１と関連付けるネットワーク要素テーブル２３０内の対応するエントリに基づいて、第１のリピーターＲ１がユーザーの顧客ドメインと関連付けられる場合、その要求を、ＮＭＳ２０４によって、リピーターＲ１又はリピーターＲ１を担当するＥＭＳと通信することによって処理することができる。ＮＭＳ２０４によってリピーターＲ１から索出されるデータは、第１のファイバー対に対応するデータのみに限定される場合があるが、リピーターＲ１は、複数のファイバー対と関連付けることができることに留意されたい。

【0027】

一実施形態では、ＮＭＳ２０４は、ユーザー２２９からの要求に基づいてユーザー２２９にトポロジー情報を提供するように構成することができる。トポロジー情報は、ユーザー２２９がアクセスを有するネットワーク要素を表すデータを含むことができる。一実施形態では、トポロジー情報は、ネットワーク要素テーブル２３０及び区画化マッピングテーブル２３２から導出される。

【0028】

その場合、トポロジー情報は、ユーザー２２９がいずれの特定の要素へのアクセスを有するのかを視覚的に提示するのに、ユーザー２２９のコンピューティングデバイス、例えば、スマートフォン、ラップトップ、タブレットのＧＵＩによって利用することができる。いくつかの事例において、トポロジー情報は、ダイナミックユーザーインターフェース（図５及び図６を参照）を生成するのにユーザーデバイスによって利用することができる、共通オブジェクトリクエストブローカーアーキテクチャー（ＣＯＲＢＡ：Common Object Request Broker Architecture）メッセージとして実施することができる。さらに、ユーザー２２９は、視覚化されたトポロジー情報に基づいてＮＭＳを介して固有の機器への要求を行うことができる。例えば、ユーザーがアイコン、又は、光伝送路１０３に沿って配置された機器を表す他の視覚インディケーターを選択することを可能にするコンピューティングデバイスのＧＵＩを介してマップを提示することができる。その場合、ユーザー２２９は、診断データを要求することもできるし、設定を調整することもできるし、別の方法で、割り当てられたネットワーク要素／機器に要求をポストすることもできる。

【0029】

オーセンティケーターのプロビジョニング
ＮＭＳ２０４のための初期プロビジョニングは、オーセンティケーター、例えばリモートオーセンティケーター２１４ごとに認証サーバー構成を生成することを含む。認証サーバー構成は、各ユーザーがこれらのユーザーのそれぞれのエンティティの認証データベース内に記憶されたデータに対して認証することを可能にするようにして、光通信システム１つあたりに任意の数の独立したエンティティを可能にする。例えば、ＮＭＳ２０４へのアクセスの要求は、ワイドエリアネットワーク（ＷＡＮ）２０８を介して、例えばインターネットを介してリモートオーセンティケーター２１４と通信する認証インターフェース２０６を介してトランスペアレントにハンドリングすることができる。認証インターフェース２０６とリモートオーセンティケーター２１４との間の通信２１０は、認証、認可、及びアカウンティング（ＡＡＡ：Authentication, Authorization, and Accounting）プロトコルを利用することができるＲＡＤＩＵＳ認証手法を利用することができる。単にいくつかの名前を挙げるだけでも、ＴＡＣＡＣＳ＋又はＲｅｄ Ｈａｔアイデンティティマネージャー（ＩｄＭ：Identity Manager）等の他の認証システムを利用することができることに留意されたい。

【0030】

いずれの場合でも、任意の数のリモートオーセンティケーターを利用して、Ｎ個の異なるエンティティが、ＮＭＳ２０４を利用するとともに、それら自身のサーバーを用いて認証することを可能にすることができる。認証プロキシサーバー２１８は、認証（例えば、ログインアクセス）情報及び認可（例えば、アクセス属性）情報を索出するために、いずれの物理サーバー又は仮想インスタンスを（例えば、ドメインによって）アドレス指定すべきかを判断することができる。

【0031】

一実施形態では、リモートオーセンティケーター２１４の各認証サーバーは、ユーザーが、ＮＭＳ２０４を用いて認証するとともに、適切な機器アクセスクレデンシャルを得ることを可能にする構成を用いて構成することができる。機器アクセス属性又は単にアクセス属性は、ユーザーごとに、テーブル、フラットファイル、又は認証サーバーによる他のデータストアに記憶することができる。いくつかの事例において、アクセス属性は、事前定義された定義として表現され、この事前定義された定義は、共通定義／仕様に基づいて全ての認証サーバーにわたって一様である。アクセス属性は、所与のユーザーがアクセスすることが可能である機器のカテゴリを確立することができる。アクセス属性定義の１つの例示の仕様が表１に示されている。

【0032】

【表1】

【0033】

上記で示すように、基本アクセス属性は、３つのタイプのユーザーアクセス属性を含む。第１のタイプは、ＴＥＭＳＵｓｅｒ、ＷｅｔＰｌａｎｔＵｓｅｒ等のグローバルアクセス属性を含む。属性ＴＥＭＳＵｓｅｒを割り当てられたユーザーは、ＮＭＳシステム２０４が利用可能な任意のリソースにアクセスすることができる。同様に、属性ＷｅｔＰｌａｎｔＵｓｅｒを割り当てられたユーザーは、ＮＭＳシステム２０４を介して利用可能な任意のウェットプラントネットワーク要素、例えば、リピーター、イコライザー、海底電力変換ユニット、所定の波長フィルタリングユニット等にアクセスすることができる。

【0034】

第２のタイプは、特定のネットワーク要素への制限されたアクセスを含む。いくつかの事例において、ユーザーは、特定のネットワーク要素、又は、要素のグループに割り当てられる。上記で提供された例示の定義において、ＰＦＥＵｓｅｒ属性を割り当てられたユーザーは、給電機器（ＰＦＥ）へのアクセスを有し、ＬＭＳＵｓｅｒ属性を割り当てられたユーザーは、回線モニタリングシステム（ＬＭＳ：Line Monitoring System）デバイスへのアクセスを有し、終端回線増幅器（ＴＬＡ：Terminal Line Amplifier）属性を割り当てられたユーザーは、ＴＬＡデバイスへのアクセスを有し、ＣＲＥＵｓｅｒ属性を割り当てられたユーザーは、コマンド応答機器（ＣＲＥ：Command Response Equipment）へのアクセスを有し、ｓＷＭＵＵｓｅｒを割り当てられたユーザーは、スイッチ波長多重化ユニット（ｓＷＭＵ）へのアクセスを有し、ＷＳＳＲＯＡＤＭＵｓｅｒ属性を割り当てられたユーザーは、波長選択可能スイッチ再構成可能光アドドロップマルチプレクサー（ＷＳＳＲＯＡＭ：Wavelength Selectable Switched Reconfigurable Optical Add Drop Multiplexers）へのアクセスを有する。コード及びタイプ定義は、属性についての一意ＩＤを定義し、タイプは、上記で列挙されて論述されたように属性が許可するアクセスのタイプを表す。

【0035】

第３のタイプは、制約されたアクセスを含む。ＲｅｓｔｒｉｃｔｅｄＵｓｅｒ属性を割り当てられたユーザーは、特定のケーブル局内のアクセス機器からブロックされる可能性があるが、潜在的に別のケーブル局においてアクセスが可能である。提供された例示の属性は、限定することを意図するものではなく、その上、機器タイプ及びアクセス制御カテゴリの網羅的なリストを表すものでもないことに留意されたい。多数の他のタイプの機器及びアクセスカテゴリ／挙動が本開示の範囲内にある。

【0036】

説明を続けると、追加の属性定義が、表１に関して上述されたアクセス属性の各々についてのアクセス権を定義することができる。１つのそのような例が表２において提供される。

【0037】

【表2】

【0038】

各ユーザーアクセス属性値には、３つのアクセス権の能力、すなわち、閲覧、制御及びアドミンのうちの１つを割り当てることができる。表２において上記で示したように、その場合、ＴＥＭＳＵｓｅｒ属性を割り当てられたユーザーには、３つのアクセスタイプのうちの１つを更に割り当てることができる。３つのアクセスタイプとは、閲覧属性を介した読み取り専用、制御属性を介した読み取り－書き込み、及び、アドミン属性を介したファームウェアアップグレード等の読み取り－書き込みを超えた管理タスクのためのアドミンレベルである。

【0039】

その場合、ユーザーエントリーを生成して、顧客ドメイン、ユーザー名、パスワード、グローバルシステムリソースアクセス又は特定のシステムリソースアクセス（例えば、表１に関して上述）、及び割り当てられたリソースへのアクセス権（例えば、表２に関して上述）を含む属性を割り当てることができる。したがって、ユーザーを生成することができ、システムは、特定のアクセス権を有する、複数のタイプのシステムリソースへの特定のアクセスを有するドメイン（顧客）によって区画化することができる。それゆえ、ユーザーは、ドメインによって区画化されるが、特定のアクセスについて、顧客及びケーブル局によって区画化されない。

【0040】

ＮＭＳ２０４について、システム区画化構成ファイルを生成して、区画化マッピングテーブル２３２として記憶することができる。システム区画化構成ファイルの生成は、各顧客がアクセスすることができる特定の機器、及びその機器についてのアクセス権を確立する１つ以上の規則を定義することを含むことができる。規則の生成は、１つ以上のケーブル陸揚局、光ファイバーケーブル、ファイバー対、チャネル波長、及び／又は特定の機器を識別することに基づいて、ドメインがいずれの機器へのアクセスが許可されるのかを定義することを更に含むことができる。システム区画化構成ファイルは、ドメイン及びリソースによるロバストで完全な区画化を可能にするＸＭＬ記述として表現することができる。区画化構成ファイルは、システム固有とすることができ、区画化サーバー機能がシステム内でインスタンス化される／実行される場所にかかわらずユーザーインターフェース２２４がこのファイルにアクセスすることができるように複製することができる。

【0041】

区画化マッピングテーブル２３２内での使用に適した１つのそのような例示のＸＭＬ構成ファイル３００が図３に示されている。図示するように、区画化定義ファイル３００は、階層構造であり、複数のセクションに分けられている。各々の示されているセクションが順に論述されるが、限定するように意図されたものではない。システムレベル情報は、例えば、システム名、ケーブル局の数、ファイバー対の数、及び顧客／ドメインの数を含むことができる。顧客中心情報は、例えば、直接又は間接的に（例えばＡＰＩを介して）ログインした、その顧客タイプのユーザーに関係する区画化情報を含むことができる。そのような情報は、ケーブル及びファイバー対によるそのユーザーのエンティティについてのウェットプラントアクセスを定義することができる（例えば、＜Ｗｅｔ Ｐｌａｎｔ＞セクション内、ＷＳＳ ＲＯＡＤＭ ＃３、ケーブル＃１上、ＡＤＭ＃１及び＃２へのアクセス）。さらに、この情報は、図３に示すＮＹＣケーブル局におけるユーザーエンティティ等のユーザーエンティティについての局区画化アクセスを定義することができる。局区画化アクセス定義は、さらに、ユーザーエンティティがケーブル局内のいずれのファイバー対にアクセスすることができるのか、例えば、以下の例においてファイバー対数１を規定し、そのユーザーエンティティについてのそのケーブル局における特定のネットワーク要素数（ＮＥ）のアクセス、例えば、ＮＹＣケーブル局、ケーブル＃１上のＰＦＥ＃１はアクセスが制約されないこと（アクセスは、この事例において、ユーザーの通常のアクセス権によって決定することができる）、及び、ＬＭＥ＃１はアクセスが制約されること（例えば、制約されたタイプのユーザーは、この事例において、ＬＭＳにアクセスすることができない）を規定することができる。いくつかの事例において、定義ファイルは、例えば、望まれる場合、海底ＲＯＡＤＭにおいて波長レベル又は帯域レベルと同じ細粒度にすることができる。

【0042】

保護された区画化ＮＭＳ（ＳＰ－ＮＭＳ）アクセスパターン及び方法論
上述したように、ＮＭＳ２０４は、ユーザーインターフェース２２４とＮＭＳ２０４との間に配置することができるセキュリティマネージャー２２０を備えることができる。ユーザーインターフェース２２４は、ＲｅＳＴ ＡＰＩ又は直接アクセスのためのユーザーインターフェースを実装することができるが、他のアーキテクチャも本開示の範囲内にある。セキュリティマネージャー２２０は、ユーザーインターフェース２２４を通して行われた要求をインターセプトすることができ、その要求を検証することができる。認証の状況、例えば、ログイン中の認証の状況において、セキュリティマネージャー２２０は、認証インターフェースを介して、リモートオーセンティケーター、例えばリモートオーセンティケーター２１４と通信することができる。その場合、所与のオーセンティケーターからの応答は、例えば肯定応答（ＡＣＫ）又は否定応答（ＮＡＫ）の形態において、ユーザー２２９に返信することができる。

【0043】

セキュリティマネージャー２２０は、メモリに、オーセンティケーターから受信されたユーザーアクセス属性をキャッシュすることもできる。セキュリティマネージャー２２０は、上述したように、区画化マッピングテーブル２３２内の区画化構成ファイルにアクセスして、これを、メモリ２０７にキャッシュすることもできる。ユーザーアクセス属性及び区画化構成ファイルを利用することにより、セキュリティマネージャー２２０は、ユーザー２２９が保護された区画化の方式において後続の要求を行うことを可能にする情報を含むアクセストークン２４２（メモリ２０７に記憶することができる）を生成することができる。アクセストークン２４２は、例えば、ＡＬＧ＿ＨＳ５１２が暗号化されたＪａｖａＳｃｒｉｐｔオブジェクトノーテーション（ＪＳＯＮ：JavaScript Object Notation）ウェブトークン（ＪＷＴ）として実施することができる。アクセストークン２４２は、ユーザーのドメインを表す値を含むことができ、ユーザー２２９は、ユーザーインターフェース２２４を介して要求を送信するときにアクセストークン２４２（又はその表現）を提供することができる。アクセストークン２４２は、セキュリティマネージャーに、例えばタイマーに基づいて所定の期間後にアクセストークンを無効化させる失効値を更に含むことができる。アクセストークンが失効した場合、ユーザー２２９は、再認証手順、例えば再ログインを通してセッションを再確立することができる。

【0044】

説明を続けると、セキュリティマネージャー２２０は、システムリソース、及び管理データ、例えば、アラーム、性能データ、制御動作等についてのＮＭＳ２０４への全ての要求を検証することができる。要求を検証するために、セキュリティマネージャー２２０は、認証記録及びリソース認可情報を提供する、メモリ２０７内の一時的にキャッシュされたデータに対するアクセストークンを検証することができる。その場合、要求ごとに、セキュリティインターフェース２２０は、所与のドメイン／ユーザーに割り当てられた区画化を検査することができ、関連付けられた局及びリソース（複数の場合もある）への要求されているアクセスを有効化する（例えば、許可する）か、又は代替的に、その要求を（例えば、ユーザー、ドメイン、及び／又は関連付けられた区画化属性に基づいて）拒否するかのいずれかを行うことになる。要求が有効化された場合、セキュリティマネージャー２２０は、例えば、ＮＭＳ２０４が要求されたトポロジー情報及び／又は要求された管理データを返送することによって、その要求を満たすことを可能にすることができる。

【0045】

要求は、ＮＭＳ２０４にローカルのユーザーインターフェース、及び／又は、ＮＭＳ２０４への／ＮＭＳ２０４からの外部ＡＰＩネットワーク管理動作要求を介してハンドリングすることができ、ＮＭＳ２０４は、上述したように、ユーザーごと、又は、顧客ドメインごとに全ての要求を検証する。クライアントＧＵＩの事例において、ＮＭＳ２０４は、システム内で利用可能である全てのリソース／機器を表示することができる非区画化システムを表示することができる。ユーザー２２９の観点から、セキュリティマネージャー２２０によって制御されるＮＭＳ２０４の区画化方式は、トランスペアレントであるようにみえる。言い換えれば、ユーザーは、場合によって、要求がセキュリティマネージャー２２０によって有効化されている状態で、又は有効化されていない状態で、ユーザーインターフェース２２４を介して要求を送信する。それゆえ、ユーザー２２９は、これらのユーザーの特定の顧客ドメインに割り当てられた機器へのアクセスを有する。

【0046】

一実施形態では、そして区画化システムの状況では、ログイン又はユーザー検証のためのＡＰＩ要求が成功した後は、ＮＭＳ２０４は、トークン２４２を返すことができ、クライアント又はＡＰＩは、このトークンをキャッシュするとともに、このトークンに全てのネットワーク管理要求を供給することができる。クライアント要求、例えばアクセスシステムレベル情報のためのクライアント要求を受信すると、ＮＭＳ２０４は、呼び出し側エンティティがアクセスを有するケーブル及びファイバー対（又はチャネル波長）に関連した情報のみを返すことができる。その場合、ＧＵＩは、ＮＭＳ２０４から得た区画化情報、すなわちトポロジー情報に基づいたケーブル、ファイバー対及び関連したネットワーク要素リソースのみを表示することができる。

【0047】

例えば、ユーザー／クライアント２２９要求が、ファイバー対＃１へのアクセスのみを有するユーザーからである場合、ＮＭＳ２０４は、その構成に関連した情報のみを、区画化アクセスを定義するのにインターフェース定義言語（ＩＤＬ）データ構造を用いるＣＯＲＢＡメッセージで返すことができる。その場合、クライアントは、このＩＤＬ定義を読み取り、システムのいずれの特徴／エンティティがＧＵＩについて利用可能であるのかを動的に「学習する」ことができる。この点から、ユーザーは、利用可能なリソースへのこれらの定義されたアクセス権（閲覧又は制御）に基づいて、更なるシステム管理動作を開始することができる。

【0048】

ＮＭＳ２０４は、同様の方式において機能することができるＲｅＳＴ ＡＰＩを含むことができる。ＡＰＩが所与のユーザーを検証することへの呼び出しを行った後、トークン、例えばトークン２４２をそのＡＰＩ呼び出しにおいて返すことができ、そのトークンを全ての将来のＲｅＳＴ呼び出しに渡すことができ、そうでない場合、その呼び出しは、ＮＭＳ２０４によってリジェクトされ得る。ＧＥＴ動作について呼び出し側エンティティがアクセスすることができるリソースについてのみ、ＪａｖａＳｃｒｉｐｔオブジェクトノーテーション（ＪＳＯＮ）フォーマットにおける区画化情報をユーザーに渡して戻すことができる。ＲｅＳＴ制御動作（ＰＵＴ、ＰＯＳＴ及びＤＥＬＥＴＥ）は、呼び出し側エンティティが要求されたリソースへの制御アクセスを有する場合にのみ許可することができる。

【0049】

説明を続けると、一実施形態では、ＮＭＳ２０４は、光通信システムの種々の異なる態様について要求を処理する複数のサーバーコンポーネントを備えることができる。図４は、ユーザー要求を処理する複数の例示のサーバーコンポーネントを示している。図４に示すように、サーバーモジュールは、ウェットプラントマネージャー４０４、共通シェルフマネージャー４０６、回線モニタリングシステムマネージャー４０８、回線モニタリング機器マネージャー４１０、給電機器マネージャー４１２、コマンド応答機器マネージャー４１４、及び回線終端機器マネージャー４１６を含む。各々が順にここで論述されることになるが、以下で論述される特定のサーバーコンポーネント例は、網羅的ではなく、他の実施形態が本開示の範囲内にある。

【0050】

ウェットプラントマネージャー４０４は、リソースと、電力スイッチ分岐ユニット（ＰＳＢＵ）、分散補償ユニット（ＤＣＵ）、スイッチ波長多重化ユニット（ｓＷＭＵ）及びＷＳＳ ＲＯＡＤＭ等のウェットプラント機器に関連したリソース及び構成を求める要求を管理することができる。共通シェルフマネージャー４０６は、回線終端機器シェルフに関連したリソースを求める要求を管理することができる。ＬＭＳマネージャー４０８は、回線管理システムと、高損失ループバック（ＨＬＬＢ）データ、光スペクトルモニタリング（ＯＳＭ）データ、及び光時間ドメインリフレクトメーター（ＯＴＤＲ）データ等の関連データインターフェースとに関連したリソースをハンドリングすることができる。回線モニタリング機器マネージャー４１０は、ポート構成、ボード温度及び動作ステータス等の回線モニタリングハードウェア固有リソースを求める要求を管理することができる。ＰＦＥマネージャー４１２は、ハードウェア構成等の給電機器データと、システムの電圧及び電流データとを求める要求を管理することができる。ＬＴＥマネージャー４１６は、ドライＲＯＡＤＭ、内部負荷機器（ＩＬＥ）、及び終端回線増幅器（ＴＬＡ）等の全ての他の回線終端機器に関連した構成及びリソースを求める要求を管理することができる。コマンド応答機器マネージャー４１４は、ウェットプラントデバイスと通信するのに用いられるコマンド応答機器（ＣＲＥ）の構成及び動作を求める要求を管理することができる。

【0051】

前述の態様及び実施形態は、本開示に沿ったＮＭＳシステムのコントローラー、例えば図２のコントローラー２０５によって実行可能な１つ以上のプロセスにおいて実施することができる。図５は、本開示に沿ったＮＭＳシステムの構成のための１つのそのようなプロセス５００を示している。

【0052】

プロセス５００は、オーセンティケーター、区画化構成ファイルを構成する動作と、ＮＭＳシステムをプロビジョニングする動作とを含む。動作５０４において、プロセス５００は、オーセンティケーター（複数の場合もある）を構成することを含む。オーセンティケーター、例えばリモートオーセンティケーター２１４の構成は、例えばＡＡＡプロトコルを用いてリモート認可要求をハンドリングするための１つ以上のリモートコンピューターシステムを構成することを含むことができる。オーセンティケーターの構成は、ユーザー及び関連付けられたアクセス属性を、例えば表１に関して上述したように記憶し、共通フォーマットにおいて索出することを可能にする共通データベース方式を展開することを更に含むことができる。

【0053】

動作５０６において、プロセス５００は、図３を参照して図示されるとともに上述された区画化構成ＸＭＬファイル等の区画化構成ファイルを生成することを更に含む。区画化構成は、複数のドメイン、関連付けられた機器、及びアクセス規則／プロパティを確立することができる。各顧客ドメインのアクセスは、比較的細粒度なものとすることができ、１つ以上のケーブル陸揚局、光ケーブル、光ファイバー対、チャネル波長、又はこれらの任意の組み合わせと関連付けられた機器へのアクセスを制限するための定義を含むことができる。

【0054】

動作５０６において、プロセス５００は、ＮＭＳシステム、例えばＮＭＳ２０４をプロビジョニングすることを更に含む。ＮＭＳシステムをプロビジョニングすることは、ネットワーク要素テーブル２３０にエントリを追加することを含むことができ、各エントリは、機器中心詳細、例えば、機器のタイプ、ＩＰアドレス、ケーブル陸揚局、光ファイバー識別子、ファイバー対（複数の場合もある）、及び／又は関連付けられたチャネル波長（複数の場合もある）を定義する。動作５０６は、ドメインとネットワーク要素テーブル内の機器との間の関連付けを確立するために、区画化マッピングテーブル２３２にエントリを追加することを更に含むことができる。

【0055】

図６は、本開示に沿った、ＮＭＳによってユーザー要求を処理するプロセス６００の別の例示の実施形態を示している。動作６０２において、ユーザー要求は、ＮＭＳによって受信され、ユーザー要求は、実行すべき動作を識別するとともに、動作のための機器識別子を含むことができる。ユーザー要求は、ユーザーと関連付けられたドメイン識別子を更に含むことができ、ドメイン識別子は、ＮＭＳにおいて提供されるドメイン識別子に対応する。

【0056】

動作６０４において、ＮＭＳは、少なくとも部分的に区画化マッピングテーブル２３２及びユーザー要求と関連付けられたドメイン識別子に基づいてユーザー要求が認可されるか否かを判断する。一実施形態では、ＮＭＳは、区画化マッピングテーブル２３２及びネットワーク要素テーブル２３０を検査して、ユーザーがそれぞれのドメインに基づいていずれの機器にアクセスすることができるかを判断する。上述されたように、ドメインは、１つ以上のケーブル陸揚局、ファイバーケーブル、光ファイバー対、及び／又はチャネル波長と関連付けることができる。それゆえ、ＮＭＳは、ユーザーのドメイン及びこのドメインのために規定された関連付けに基づいて機器へのアクセスを許可又は拒否することができる。いくつかの事例において、ＮＭＳは、区画化マッピングテーブル及びネットワーク要素テーブルを再検査する必要なく、ユーザーによる繰り返される要求が検証されるのを可能にするトークンを生成する。したがって、後続のユーザー要求は、データベース動作を実行することなくトークンファイルに基づいて処理することで、場合によって、ユーザーが要求された機器へのアクセスを有するべきか否かを判断することができる。

【0057】

ユーザー要求が認証されたことに応答して、動作６０６において、ＮＭＳは、要求を処理することができる。ユーザー要求を処理することは、例えば、トポロジー情報、目標要素のログデータを有するメッセージを送信すること、及び／又は、ネットワーク要素の動作設定を調整することを含むことができる。他方、要求が認可されない場合、動作６０８において、ＮＭＳは、否定応答（ＮＡＫ）を送信することができる。ＮＡＫメッセージは、ユーザー要求が失敗した理由を示すエラーコード又は他のデータ、例えば文字列を含むことができる。

【0058】

本開示の一態様に従って、光通信システムを管理するシステムが開示される。少なくとも２つのケーブル陸揚局間に配置された光伝送路と、この光伝送路に沿って配置された複数のネットワーク要素とを有する光通信システムであって、このシステムは、光通信システムの異なるネットワーク要素を各々表す複数のネットワーク要素定義を定義するネットワーク要素テーブルと、各ネットワーク要素に割り当てられたファイバー対及び／又はチャネル波長に少なくとも部分的に基づいて、複数のネットワーク要素定義の各々を、少なくとも１つのドメイン識別子と関連付ける区画化マッピングテーブルと、ネットワーク管理システム（ＮＭＳ）コントローラーであって、ユーザーからネットワーク要素にアクセスするユーザー要求を受信することであって、このユーザー要求は、第１のドメイン識別子と関連付けられているとともに、実行すべき動作の識別子を含むことと、第１のドメイン識別子がユーザー要求のネットワーク要素と関連付けられていることを示す区画化マッピングテーブルに基づいて、ユーザー要求がネットワーク要素にアクセスすることを認可されることを判断することと、ユーザー要求が認可されたことを判断したことに応答して、動作を実行することとを行う、ＮＭＳコントローラーとを備える、システム。

【0059】

本開示の別の態様に従って、少なくとも２つのケーブル陸揚局間に配置された光伝送路と、この光伝送路に沿って配置された複数のネットワーク要素とを有する光通信システムを管理するコンピューター実施方法が開示される。コントローラーによって、ユーザーから複数のネットワーク要素のうちの一ネットワーク要素にアクセスするユーザー要求を受信することであって、このユーザー要求は、第１のドメイン識別子と関連付けられているとともに、実行すべき動作の識別子を含むことと、コントローラーによって、第１のドメイン識別子がユーザー要求のネットワーク要素と関連付けられていることを示す区画化マッピングテーブルに基づいて、ユーザー要求がネットワーク要素にアクセスすることを認可されることを判断するとともに、ユーザー要求が認可されることを判断したことに応答して、動作を実行することとを含む、方法。

【0060】

本開示の別の態様に従って、光システムが開示される。少なくとも第１のケーブル陸揚局と第２のケーブル陸揚局との間に配置された光伝送路と、光伝送路に結合された複数の海底光コンポーネントと、ネットワーク管理システム（ＮＭＳ）コントローラーであって、海底光コンポーネントにアクセスするユーザー要求を受信することであって、このユーザー要求は、第１のドメイン識別子と関連付けられているとともに、実行すべき動作の識別子を含むことと、第１のドメイン識別子がユーザー要求の海底光コンポーネントと関連付けられていることを示す区画化マッピングテーブルに基づいて、ユーザー要求が海底光コンポーネントにアクセスすることを認可されることを判断することと、ユーザー要求が認可されることを判断したことに応答して、動作を実行することとを行う、ＮＭＳコントローラーとを備える、光システム。

【0061】

例示の実施形態の前述の記載は、図示及び説明の目的で提示されてきた。この記載は、網羅的であることも、開示された正確な形式に本開示を制限することも意図されていない。本開示に照らして、多くの変更形態及び変形形態が可能である。本開示の範囲は、この詳細な説明によって制限されるのではなく、本明細書に添付された特許請求の範囲によって制限されることが意図される。

【0062】

本明細書において記載された方法の実施形態は、コントローラー、プロセッサ及び／又は他のプログラマブルデバイスを用いて実施することができる。このために、本明細書において記載された方法は、１つ以上のプロセッサによって実行されるとこの方法を実行する、記憶された命令を有する有形の、非一時的コンピューター可読媒体上で実施することができる。

【0063】

それゆえ、例えば、ＮＭＳ２０４は、本明細書において記載された動作を実行する（例えば、ファームウェア又はソフトウェア内の）命令を記憶する記憶媒体を含むことができる。記憶媒体は、任意のタイプの有形媒体、例えば、フロッピーディスク、光ディスク、コンパクトディスクリードオンリーメモリ（ＣＤ－ＲＯＭ）、コンパクトディスクリライタブル（ＣＤ－ＲＷ）、及び磁気光ディスクを含む任意のタイプのディスク、半導体デバイス、例えば、リードオンリーメモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、例えばダイナミックＲＡＭ及びスタティックＲＡＭ、消去可能プログラマブルリードオンリーメモリ（ＥＰＲＯＭ）、電気的消去可能プログラマブルリードオンリーメモリ（ＥＥＰＲＯＭ）、フラッシュメモリ、磁気カード若しくは光カード、又は電子命令を記憶するのに適した任意のタイプの媒体を含むことができる。

【0064】

当業者であれば、本明細書における任意のブロック図は、本開示の原理を具現化する例示の回路構成の概念的な図を表すことが理解されるであろう。同様に、任意のブロック図、フローチャート、フロー図、状態遷移図、擬似コード等は、コンピューター可読媒体において実質的に表すことができるとともに、コンピューター又はプロセッサによって（そのようなコンピューター又はプロセッサが明示されているか否かを問わず）実行することができる種々のプロセスを表すことが理解されるであろう。ソフトウェアモジュール、又は単に、ソフトウェアであることが暗に示されるモジュールは、フローチャート要素又はプロセスステップの機能を示す他の要素及び／又は文章による説明の任意の組み合わせとして表すことができる。そのようなモジュールは、明示又は暗示されるハードウェアによって実行することができる。

【0065】

「プロセッサ」として表記される任意の機能ブロックを含む、図面に示す種々の要素の機能は、専用ハードウェア、及び、適切なソフトウェアと関連付けられた、ソフトウェアを実行することが可能であるハードウェアの使用を通じて提供することができる。この機能は、単一の専用プロセッサ、単一の共有プロセッサ、又は、一部を共有することができる複数の個々のプロセッサによって提供することができる。その上、「プロセッサ」という用語の明示的な使用は、ソフトウェアを実行することが可能なハードウェアを排他的に指すように解釈されるべきではなく、ソフトウェアを記憶する、デジタル信号プロセッサ（ＤＳＰ）ハードウェア、ネットワークプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、リードオンリーメモリ（ＲＯＭ）ランダムアクセスメモリ（ＲＡＭ）、及び不揮発性ストレージを暗に含むことができるが、これに限定されるものではない。従来の及び／又は慣習的な他のハードウェアも含めることができる。

【0066】

別段に指定されない限り、「実質的に」という語の使用は、正確な関係、条件、配置構成、配向、及び／又は他の特徴、及び、開示された方法及びシステムに実体的に影響を及ぼさない範囲で当業者によって理解されるようなこれらのものの偏差を含むように解釈することができる。本開示の全体を通して、名詞を修飾する数量を指定しない語の使用は、便宜的に用いられるものであるとともに、別段に指定されない限り、１つ、又は２つ以上の被修飾名詞を含むように理解することができる。「備える／含む（comprising）」、「含む／備える（including）」及び「有する（having）」という用語は、内包的であるように意図され、列挙された要素以外の追加要素が存在する場合があることを意味する。

【0067】

方法及びシステムは、本発明の特定の実施形態に対して説明されてきたものの、方法及びシステムはそのように制限されない。明らかに、多くの変更形態及び変形形態が、上記の教示に照らして明示的になる。本明細書において説明及び図示された詳細、部品の材料及び配置構成において多くの追加変更を、当業者は行うことができる。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】